如何建置校園 WiFi 網路：大學 IT 指南

歡迎閱讀 Purple 企業網路簡報。今天我們要探討一個重大的基礎設施挑戰：如何構建校園 WiFi 網路。具體而言，我們將探討大學與大型場館的部署。如果您是 CTO、IT 總監或網路架構師，這份簡報正是為您準備的。我們將拋開理論，專注於高密度無線環境中實際部署的現實情況。 讓我們首先從背景談起。校園 WiFi 網路已不再只是便利性的象徵，而是關鍵的基礎設施。學生在開學第一天就會攜帶三到四台裝置。教職員需要穩定的連線來進行視訊會議、使用雲端應用程式和建築管理系統。此外，校園本身也正日益成為一個智慧環境 - 物聯網感測器、數位看板和門禁控制全都承載在同一個無線基礎設施上。 挑戰不僅僅在於訊號覆蓋範圍，而在於容量。這項區別是本簡報中最重要的核心概念。 讓我們從基礎開始：現場勘測。 在校園環境中，使用樓層平面圖進行預測性勘測僅僅是起點。您絕對需要進行主動式的現場勘測。我們看到太多場館僅依賴軟體模型。十九世紀演講廳的磚牆對訊號的衰減，與現代乾式牆完全不同。一棟擁有厚石牆和高天花板的維多利亞時代建築，其無線電波行為將與專門建造的現代校園大樓截然不同。 您的主動勘測應規劃出高密度區域 - 禮堂、學生會館、圖書館、自助餐廳 - 並識別無線電干擾源。微波爐、Bluetooth 裝置，甚至鄰近的網路，如果您沒有將其納入考量，都會降低網路效能。 勘測的輸出結果應為一張熱圖，顯示每棟建築每個樓層的訊號強度、通道利用率和干擾程度。這將成為您部署基地台（AP）規劃的基礎。 現在，在規劃基地台部署時，經驗法則是「容量重於覆蓋範圍」。這已不再僅僅是將訊號傳送到教室角落的問題，而是要在擁有三百個座位的階梯教室中，支援每位學生三台裝置。這意味著必須部署高密度基地台（通常是 WiFi 6 或 WiFi 6E），並積極管理通道重疊。 對於高密度空間，請考慮部署配備定向天線的基地台，將無線電能量向下集中到座位區，而不是使用朝所有方向發射訊號並導致相鄰 AP 之間產生干擾的全向天線。 接下來談談架構。 三層模型是企業校園網路的標準架構：管理層、核心層與存取層。 最上層是您的集中式 WLAN 控制器，無論是本地部署或雲端管理。這是網路的大腦，負責處理所有基地台的無縫漫遊、策略執行、無線電頻率（RF）最佳化及韌體管理。雲端管理控制器已成為新部署的主流選擇，因為它們簡化了多據點管理並降低了本地硬體成本。 中間層是您的核心與分配交換基礎架構。這些是高容量的交換器，負責匯聚來自存取層的流量，並將其路由至您的網際網路閘道器和內部資源。 最底層是您的存取層：乙太網路供電（PoE）交換器以及無線基地台本身。對於新部署而言，PoE Plus 是最低標準，因為 WiFi 6 基地台比其前代產品消耗更多電力。 現在我們來談談使用者註冊與驗證，因為這正是許多校園網路在實際運作中失敗的地方。 您有數以千計的臨時使用者：在校學生、教職員、訪問學者、會議代表和一般大眾。每個群體都有不同的存取需求和不同的安全影響。 對於教職員和在校學生，實施 802.1X 搭配 EAP 驗證是不可妥協的要求。這會將無線存取連結到您現有的身分驗證提供者，無論是 Active Directory、LDAP 還是雲端身分服務。使用者使用其機構憑證進行驗證，網路隨後會將其動態分配至相應的 VLAN。這提供了符合 ISO 27001 和 Cyber Essentials 等標準要求的加密、憑證架構存取。 對於訪客和臨時使用者，您需要一個安全、合規且不會產生大量客服工單的 Captive Portal 解決方案。這正是專用訪客 WiFi 平台能發揮真正價值的地方。像 Purple 的 Guest WiFi 平台這類的解決方案，能提供安全、符合 GDPR 規範的註冊流程、可自訂的登入頁面，以及至關重要的場域使用狀況分析。您可以洞察人流量模式、停留時間和尖峰使用時段，這些資訊都具有實質的營運價值。 接下來討論 VLAN 和網路分段。 適當的 VLAN 分段對於安全性和效能都至關重要。您起碼應該為教職員、學生、訪客和 IoT 設備劃分獨立的 VLAN。您的 IoT VLAN 尤為重要。智慧建築感測器、HVAC 控制器、數位看板和安全監控相機絕不應該與使用者裝置共享同一個網路區段。帶有漏洞的 IoT 裝置絕不能有機會與學生的筆記型電腦進行通訊。 現在我們來談談漫遊，因為無縫切換對於使用者體驗至關重要。 當使用者從圖書館走到餐廳時，他們的 VoIP 通話不應該中斷。他們的視訊串流不應該緩衝。他們的雲端應用程式不應該逾時。要實現這一點，需要仔細調整發射功率並實作快速漫遊標準。 您需要了解的三個標準是 802.11k、802.11v 和 802.11r。這些有時被合稱為快速漫遊三劍客。802.11k 允許存取點向用戶端提供鄰近 AP 的清單，以便裝置在需要漫遊之前就先知道要去哪裡。802.11v 允許網路向用戶端建議其應漫遊到更好的 AP。而 802.11r 則可實現快速 BSS 轉換，大幅縮短漫遊期間的驗證時間 - 這對於語音和即時應用程式至關重要。 但如果您的發射功率設定錯誤，這一切都將無法運作。如果您的 AP 以全功率發射，用戶端裝置即使在有更近的 AP 可用時，也會固守在原本的 AP 上。這就是經典的黏性用戶端問題。裝置看到來自遠處 AP 的強訊號，因而拒絕漫遊到更近的 AP，導致該使用者的效能降低，並對遠處的 AP 造成不必要的負載。 解決方案是調整您的蜂巢大小。降低發射功率，使相鄰 AP 的覆蓋蜂巢剛好重疊 - 通常大約在百分之十五到二十之間。並在您的存取點上停用最低的數據傳輸速率 - 1、2 和 5.5 Mbps。當您允許裝置以這些舊有速度連線時，它們會無限期地保持微弱訊號。停用這些速率可迫使裝置中斷連線並漫遊到訊號更強的 AP。 接下來進行一些快速問答，這些是我們最常從客戶那裡聽到的問題。 問題一：我們是否應該將 IoT 裝置劃分到獨立的網路中？當然。將 IoT 裝置 - 智慧顯示器、HVAC 感測器、門禁控制系統 - 放入具有嚴格防火牆規則的專用 VLAN 中。不要讓它們擁塞您的主要數據網路，也不要允許它們與使用者裝置進行橫向通訊。 問題二：我們如何處理不支援現代驗證的舊型裝置？對於無法執行 802.1X 的裝置 - 例如學生宿舍中較舊的智慧電視或遊戲主機 - 請實作 MAC 驗證旁路（MAB）。這允許您註冊特定的裝置 MAC 位址，並將其分配給適當的 VLAN，而無需進行基於認證憑據的驗證。 問題三：戶外覆蓋如何處理？這非常重要，但往往被忽視。使用配備定向天線的加固型、防風雨存取點來覆蓋中庭、戶外座位區和體育設施。戶外 AP 需要處理極端溫度、潮濕和防破壞性能 - 切勿在戶外佈署室內型號。 問題四：我們如何處理管理平面的安全性？請確保您的控制器管理介面位於專用的管理 VLAN，且僅能從授權的管理員工作站存取。為所有管理員帳戶啟用多因素驗證，並定期審查存取點的安全狀況。 總結今天簡報的重點： 第一：針對容量進行設計，而不僅僅是訊號覆蓋範圍。在現代校園環境中，瓶頸幾乎從不存於訊號強度，而是高效服務數百台同時連線裝置的能力。 第二：進行實地現場射頻（RF）勘測。不要完全依賴預測模型。建築材料、干擾源和物理佈局都需要在真實世界中進行驗證。 第三：實施具有集中式管理的健全三層式架構。雲端管理的控制器可為您提供整個園區的能見度與控制權。 第四：對教職員和學生使用 802.1X，對訪客使用安全的 Captive Portal。利用您的訪客 WiFi 平台收集分析數據並提升營運智慧。 第五：調整您的網路以實現無縫漫遊。實施 802.11k、v 和 r。降低發射功率、停用舊版數據傳輸速率並消除黏性用戶端。 第六：使用 VLAN 進行網路區隔。將物聯網（IoT）、訪客、教職員和學生的流量分開。 若要進行更深入的技術探討，包括架構圖、實際操作範例和完整的實施檢核表，請閱讀 Purple 官方網站上關於如何建置校園 WiFi 網路的完整指南。 感謝收聽 Purple 企業網路簡報。