管理员工 WiFi 的带宽：流量整形、QoS 以及减少流量

如何管理员工 WiFi 的带宽：流量整形、QoS 与减少流量 - Purple 技术简报。 欢迎收听。如果您正在收听本期内容，您可能正在处理企业 IT 中最常见的一个抱怨：员工反映 WiFi 速度慢。也许是酒店后勤团队在办理入住登记时遇到网络卡顿；或者是零售连锁店的 POS 终端出现连接超时；又或者是会议中心内音视频团队在直播活动期间无法获得稳定的网络连接。无论在哪种场景下，根本原因几乎都是相同的 - 您的流量超出了网络的设计承载能力，而且错误的流量获取了优先级。 在本期简报中，我们将涵盖三个方面：流量整形和 QoS 在员工 WiFi 环境中是如何实际运作的、不同场所类型的实际部署方案，以及如何通过部署 Purple Shield 阻止广告来显著降低您的整体网络负荷 - 这一切都无需改动您的线路带宽，也无需在基础设施升级上花一分钱。 让我们开始吧。 第一部分：深入了解问题。 大多数企业场所运行的都是共享的互联网连接。员工 WiFi、宾客 WiFi、后勤系统、CCTV、建筑管理系统 - 它们都共享同一个上行管道。当该管道发生拥堵时，所有服务的质量都会下降。但并非所有流量都是同等重要的。VoIP 通话在话中中断是灾难性的，而软件更新多花两分钟则是无关紧要的。问题在于，在没有主动管理的情况下，您的网络无法区分这两者。 流量整形是您用来告诉网络哪些流量更重要的机制。而服务质量（QoS）则是定义这些规则的框架。两者结合，使您能够确保关键应用程序的带宽，并限制其他所有流量。 IEEE 802.11e 标准通过一种名为 WMM（无线多媒体）的机制将 QoS 引入到无线网络中。WMM 定义了四个访问类别：语音、视频、尽力而为和后台。来自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi 的每一款现代接入点都支持 WMM。问题在于您是否正确地使用了它。 在有线网络端，QoS 是通过 IP 报头中的 DSCP（区分服务代码点）标记来实现的。DSCP EF（代表快速转发）用于语音流量。DSCP AF41 用于视频会议。DSCP CS1 是后台类 - 软件更新、大容量传输以及任何可以等待的事务。当您将应用程序流量映射到正确的 DSCP 标记，并配置您的交换机和接入点以遵守这些标记时，您就可以为您关注的关键应用程序获得可预测的性能。 第二部分：架构与细分。在配置QoS之前，您需要正确地对网络进行细分。Staff WiFi应该位于其独立的VLAN（虚拟局域网）上，与guest WiFi和IoT设备完全隔离。这不仅是PCI DSS和GDPR规定的安全要求，也是有效实施QoS的前提条件，因为您可以对不同的VLAN应用不同的策略。 典型的企业场所网络架构如下：您拥有一台连接到互联网网关的核心交换机。在这台交换机下，划分了多个VLAN：一个用于员工设备，一个用于访客接入，一个用于POS和支付系统，一个用于楼宇管理。每个VLAN都有自己的QoS策略。员工VLAN获得最高的保证带宽分配。访客VLAN则设有单用户速率限制（通常为下行每秒2至5兆比特），以确保没有单个访客可以占用全部连接。 在员工VLAN本身，您可以应用应用感知型QoS。POS交易和RADIUS认证流量获得DSCP EF（最高优先级）。您的ERP系统和视频会议工具获得DSCP AF41。普通网页浏览采用尽力而为（Best Effort）模式。软件更新和操作系统补丁下载则获得DSCP CS1，它们在后台运行，不会与业务运营流量竞争。 在认证方面，员工设备应使用802.1X进行身份验证，配合基于证书的EAP-TLS或配合MSCHAPv2的PEAP对接您的RADIUS服务器。如果您正在运行Microsoft Entra ID、Okta或Google Workspace，Purple可以通过SAML和SCIM与这三者直接集成，从而使您的身份提供商成为网络准入的唯一信任源。当员工离职时，您只需在Entra ID中撤销其访问权限，其网络访问权限就会自动消失。 第三部分：隐形的带宽消耗 - 以及Shield如何解决这一问题。 这是大多数IT团队都没有考虑过的问题。员工WiFi上的很大一部分流量与您的业务毫无关系。员工访问的每个网页都会加载数十个第三方广告网络、追踪像素、分析脚本和遥测端点。来自Ghostery及类似广告拦截分析机构的研究一致表明，在典型的浏览会话中，广告和追踪器请求占总HTTP请求的25%至40%之间。 这些流量消耗了真实的带宽。它消耗了DNS查询容量。它为每次页面加载增加了延迟。并且它引入了安全风险 - 恶意广告、强制下载以及通过追踪像素进行的数据外泄都是真实的攻击媒介。 Purple Shield在网络层面解决了这个问题。Shield作为DNS层过滤器运行，而不是依赖员工可能安装也可能未安装的浏览器扩展。来自员工VLAN的每个DNS查询在解析之前都会通过Shield的阻止列表。广告网络域名、已知的追踪器端点和恶意域名在下载单个字节的内容之前就会被阻止。设备永远不会建立连接。带宽也永远不会被消耗。在实际应用中，在员工 WiFi 上部署 Shield 的场所报告称，总 DNS 查询量减少了约 30%。这部分带宽以前被浪费在广告和追踪器上，现在可用于您的 ERP 系统、视频通话和 POS 终端。您相当于在无需支付更快线路费用的情况下，获得了 30% 的带宽升级。 Shield 还能减少您的安全风险。通过在 DNS 层拦截已知的恶意域名，您可以消除终端防病毒软件经常漏掉的一类威胁 - 特别是对于未运行传统安全软件的 IoT 设备和共享终端。 第四部分：实际部署案例。 让我为您介绍两种场景。 第一种：一家拥有 200 间客房的酒店。后台团队在同一个网络上运行物业管理软件、VoIP 电话系统和视频监控平台。访客 WiFi 处于独立的 VLAN 上，每个用户限速 5 Mbps，但员工 VLAN 没有 QoS 策略。在办理入住的高峰期，由于员工在流式传输音乐且监控系统正在上传录像，物业管理系统变得极其缓慢。 解决方案：将 DSCP EF 应用于物业管理系统的流量和 VoIP 系统。将 DSCP AF41 应用于监控上传流量 - 这很重要，但对延迟不敏感。将 DSCP CS1 应用于其他所有流量。在员工 VLAN 上部署 Shield 以消除广告和追踪器流量。结果：在高峰期，物业管理系统的响应时间缩短了 40% 以上。在用于评估语音质量的平均意见得分（MOS）量表上，VoIP 通话质量有了显著提升。 第二种：拥有 50 家门店的零售连锁店。每家门店都有单条 100 Mbps 的宽带连接，由员工 WiFi、访客 WiFi 和 POS 终端共享。在繁忙的营业期间，员工在个人设备上的浏览行为使连接达到饱和，导致 POS 交易开始超时。该连锁店正考虑升级到 200 Mbps 线路，整个连锁体系每年将增加约 18,000 英镑的成本。 解决方案：将 POS 终端隔离到具有保证带宽的专用 VLAN 上。在员工 WiFi VLAN 上应用每用户速率限制 - 下行每用户 10 Mbps，上行 2 Mbps。部署 Shield 以消除广告流量。这一组合将高峰期使用率降低了 35%，POS 超时次数降至零，线路升级得以无限期推迟。仅在线路成本上，每年就节省了 18,000 英镑。而 Shield 和 QoS 配置的成本仅为其中的一小部分。 第五部分：部署中的常见陷阱。 有几点需要注意。 DSCP 重标记。许多 ISP 和某些企业级交换机会在网络边界清除或重标记 DSCP 值。请检查您的 QoS 标记在从设备到应用的全路径中是否得以保留。在网关处使用数据包捕获进行验证。 WMM和旧版设备。一些旧设备 - 特别是共享终端和IoT传感器 - 无法正常支持WMM。它们可能会忽略QoS标记，或生成带有错误DSCP值的流量。在部署QoS策略之前，请先审计您的设备清单。 速率限制和突发流量。每个用户10 Mbps的硬性速率限制听起来很合理，但如果20名员工同时触发软件更新，您将达到总上限。请使用带突发允许的令牌桶整形，而不是硬性策略器。这允许短时间的突发，同时限制持续的高带宽使用。 Shield和DNS-over-HTTPS。如果员工设备使用DNS-over-HTTPS来绕过您的DNS解析器，Shield的过滤将不会生效。您需要在防火墙上阻止DNS-over-HTTPS，或者通过MDM配置您的设备以使用您的内部DNS解析器。这是一个一次性的配置步骤，而不是持续的管理负担。 第六部分：快速问答。 如果我有充足的带宽，我还需要QoS吗？需要。带宽并不等同于性能。如果单个设备正在运行大容量文件传输，那么即使是1 Gbps的连接且没有QoS，也仍然会提供较差的VoIP质量。QoS可确保对延迟敏感的流量获得所需的队列优先级，而不管总吞吐量如何。 我可以在不更换现有硬件的情况下部署Shield吗？可以。Shield作为DNS叠加层运行。您只需将DHCP服务器指向Purple的DNS解析器，Shield就会立即生效。它适用于Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks和Fortinet - 无需更换硬件。 我该如何衡量效果？跟踪部署前后的三个指标：上行链路的峰值利用率百分比、每小时DNS查询量以及关键系统的应用程序响应时间。Purple的仪表板会实时呈现这三个指标。 第七部分：总结与后续步骤。 总结。管理员工WiFi带宽并不是要购买更多带宽。而是要确保您拥有的带宽用于正确的地方。流量整形和QoS为您提供控制力。Purple Shield为您减少不必要的流量。它们结合在一起，无需基础设施支出即可实现应用程序性能的显著提升。 您的下一步行动：审计您当前的VLAN结构，并确认员工WiFi已与访客和IoT流量隔离。将您的关键应用程序映射到DSCP类别。在您的员工VLAN上部署Shield并测量DNS查询的减少量。随着设备数量的变化，每季度审查一次每个用户的速率限制。 如果您想深入了解其中任何内容，可以在purple.ai上获取完整的书面指南。它详细介绍了技术架构，包括主要硬件平台的配置示例，并逐步介绍了Shield部署的ROI计算。 感谢收听。以上是Purple的技术简报。