文/李子木 王繼龍

清華大學校園無線網(wǎng)建設(shè)七點思考

文/李子木 王繼龍

清華大學校園無線網(wǎng)第一期于2011年百年校慶之際建設(shè)完成，主要覆蓋教學科研辦公區(qū)域，系統(tǒng)架構(gòu)如圖1所示，采用獨立組網(wǎng)、集中管控、虛擬核心、冗余備份、獨立認證的結(jié)構(gòu)模式。圖2是實際的物理拓撲圖，其中圓綠點是AP、灰方塊是POE交換機、灰圓點是核心交換機，一共部署了2700顆支持802.11n標準的AP。

認證采用獨立網(wǎng)關(guān)服務(wù)器，部署在無線網(wǎng)出口位置，對沒有認證通過的IP進行HTTP重定向，將用戶引導到認證頁面。認證網(wǎng)關(guān)服務(wù)器與無線控制器完全獨立，一方面避免了不同廠商設(shè)備之間緊耦合可能帶來的兼容性互操作問題，另一方面，自建無線網(wǎng)的二級院系單位可以通過將上聯(lián)直接接入到學校無線網(wǎng)核心交換機上，通過學校的網(wǎng)關(guān)服務(wù)器進行認證，簡化了院系自建無線網(wǎng)的認證管理難度，實現(xiàn)了校建無線網(wǎng)與單位自建無線網(wǎng)的統(tǒng)一認證管理。

校園無線網(wǎng)開通了基于IVI/DIVI技術(shù)的IPv6實驗信號，實現(xiàn)IPv4和IPv6之間的對等訪問，如圖3所示。

同時，學校與運營商合作，在所有校園網(wǎng)的AP上廣播運營商Wi-Fi信號，建立了設(shè)備共享、地址獨立、認證獨立、安全獨立的合作運營模式。運營商用戶在清華大學接入運營商WLAN后，得到運營商IP地址，訪問網(wǎng)絡(luò)時需要在運營商進行認證，如果要訪問清華大學校內(nèi)資源，則需要首先到運營商進行認證，然后從清華大學的公網(wǎng)出口進來并進行校內(nèi)認證。在該模式下，除了物理設(shè)備是共享的，所有其他部分都是完全隔離、各自獨立，互不影響。

圖1　系統(tǒng)架構(gòu)示意

圖2　校園無線網(wǎng)拓撲

宿舍無線網(wǎng)設(shè)計

清華大學校園無線網(wǎng)二期是覆蓋全校學生宿舍，實現(xiàn)全校14000多間學生宿舍的無線上網(wǎng)。由于宿舍結(jié)構(gòu)的特殊性，需要具有針對性的設(shè)計和部署。為此，清華大學于兩年前在2個學生宿舍樓對4家主流無線設(shè)備廠商的5種設(shè)備型號進行了實際運行測試，最后確定了如圖4所示的宿舍無線網(wǎng)建設(shè)方案。

主干網(wǎng)絡(luò)采用雙核心虛擬扁平化結(jié)構(gòu)，通過網(wǎng)管系統(tǒng)，實現(xiàn)AP和POE交換機的免配置自動上線，簡化了網(wǎng)絡(luò)結(jié)構(gòu)和管理復(fù)雜度。房間內(nèi)采用支持802.11ac標準的放裝式AP掛頂安裝，防止私接設(shè)備帶來的網(wǎng)絡(luò)安全性和穩(wěn)定性問題。每2~3房間部署1顆AP，交叉補充覆蓋，避免單點故障導致的服務(wù)不可用（蜂窩式部署會產(chǎn)生單點故障的問題），為將來宿舍網(wǎng)絡(luò)無線化目標奠定基礎(chǔ)。

一些思考

在無線網(wǎng)絡(luò)建設(shè)和運行過程中，我們對無線網(wǎng)的一些關(guān)鍵問題進行了總結(jié)。

圖3　基于IVI/DIVI的IPv6實驗

圖4　宿舍無線網(wǎng)系統(tǒng)架構(gòu)示意

混合組網(wǎng) vs 獨立組網(wǎng)

這兩種組網(wǎng)方式各有短長，考慮到清華大學不少單位的有線網(wǎng)是內(nèi)部管理的，為了避免單位內(nèi)部有線網(wǎng)故障引發(fā)無線網(wǎng)故障，因此我們選擇了無線網(wǎng)獨立組網(wǎng)的工作模式，由學校統(tǒng)一管理運行，這樣無線網(wǎng)也可以作為有線網(wǎng)的一個備份。另外，在宿舍場景下，很多網(wǎng)絡(luò)故障是由于用戶私接各種設(shè)備到交換機端口引發(fā)的，這也是我們堅持采用無線獨立組網(wǎng)，不允許用戶私接設(shè)備到面板AP有線口的一個原因。

松耦合 vs 緊耦合

認證系統(tǒng)與無線控制器的對接是建設(shè)無線網(wǎng)的重要組成部分，在實際建設(shè)過程中發(fā)現(xiàn)，這種緊耦合方式使得認證廠商設(shè)備與無線廠商設(shè)備存在兼容性和互操作問題，導致認證和計費系統(tǒng)出現(xiàn)錯誤或不穩(wěn)定。為此，我們采用在無線網(wǎng)出口鏈路上部署獨立認證計費網(wǎng)關(guān)的松耦合方式，將認證系統(tǒng)與無線控制器分離，獨立運行獨立維護。而且，這樣做的好處是還可以接入二級院系自建的單位內(nèi)部無線網(wǎng)，使得院系單位可以通過學校的認證系統(tǒng)進行統(tǒng)一認證，簡化了院系自建無線網(wǎng)的難度。當然，這種方式對于實現(xiàn)無感知認證有些困難，這可以通過在移動終端上安裝客戶端軟件進行一定程度的彌補。總之，盡量減少不同系統(tǒng)間的耦合程度，是減少復(fù)雜系統(tǒng)運行風險和故障點的重要思路。

高密大空間 vs 低密小空間

無線網(wǎng)共享空氣介質(zhì)的CSMA/CA技術(shù)特點，使其在大空間高密度接入環(huán)境下的性能表現(xiàn)受到挑戰(zhàn)。在禮堂、教室、圖書館等區(qū)域，需要盡量提高單個AP的服務(wù)能力，盡量避免同頻干擾，這種場景下的無線網(wǎng)部署需要進行細致地勘測和設(shè)計，而宿舍這樣的小空間低密度環(huán)境則是天然的微蜂窩結(jié)構(gòu)，適合采用穿透性差的小功率AP，因此無線網(wǎng)部署需要針對這兩種不同的場景進行不同的設(shè)計。

本地轉(zhuǎn)發(fā) vs 集中轉(zhuǎn)發(fā)

本地轉(zhuǎn)發(fā)可以有效提高帶寬利用率，減輕控制器負載，但是在AP或POE交換機對網(wǎng)絡(luò)安全防護并不完全充分的情況下，采用集中轉(zhuǎn)發(fā)，將用戶流量引導至性能更高、功能更強的控制器或核心交換機，從而在這些設(shè)備上進行流量安全管控，從實際運行角度來看可能是一種可行的選擇方案。當然，集中轉(zhuǎn)發(fā)模式會增加控制器或核心交換機的負載壓力，對這些設(shè)備的硬件表項、轉(zhuǎn)發(fā)性能和安全管控能力都會提出更高要求。不過從校園網(wǎng)技術(shù)發(fā)展趨勢來講，分布式部署、集中化管理應(yīng)該是一個趨勢。

2.4G vs 5G

幾年前2.4G是Wi-Fi的主要工作頻段，所以無線網(wǎng)設(shè)計必須認真考慮2.4G同頻干擾的問題。隨著5G頻點在無線終端的迅速普及，5G終端數(shù)量迅速上升。1年多以前，清華大學無線網(wǎng)中2.4G和5G終端的比例約為3∶1，現(xiàn)在這一例約為1∶1。由于2.4G頻段已經(jīng)非?；靵y和擁擠，從目前的趨勢來看，5G頻段將逐漸成為Wi-Fi的主要工作頻段，高質(zhì)量高吞吐的數(shù)據(jù)傳輸將主要工作在這個頻段，而2.4G將逐漸成為對通信質(zhì)量要求不高、相對廉價的無線網(wǎng)解決方案的主要工作頻段，如在智能家居領(lǐng)域，由于無線傳輸?shù)臄?shù)據(jù)量不大，且5G穿透性較差，因此2.4G在智能家居領(lǐng)域的的應(yīng)用非常普遍。

設(shè)備安全管理

無線設(shè)備部署在全校各處，設(shè)備的安全管理是一個大問題。用戶單位搬家、裝修、調(diào)整等可能會導致設(shè)備遺失。為此，我們采用安全協(xié)管方式，與無線設(shè)備使用單位簽署“設(shè)備安全協(xié)管協(xié)議”，由用戶單位負責所轄區(qū)域內(nèi)的設(shè)備安全，最大程度實現(xiàn)對全校無線設(shè)備安全的有效看護。

未來技術(shù)發(fā)展

Wi-Fi技術(shù)雖然方便了普通用戶的使用，但是對網(wǎng)絡(luò)運維管理者來說卻需要付出很大的精力來考慮大量AP的布設(shè)位置、頻點優(yōu)化和功率調(diào)整。特別是當房間重新裝修、家具進行調(diào)整、人員發(fā)生變化時，經(jīng)常發(fā)現(xiàn)必須進行AP的再補點或位置遷移，此時又會涉及到網(wǎng)絡(luò)布線、穿墻打眼等工程問題，可以說，在當前技術(shù)條件下的無線網(wǎng)部署其實是很不方便和靈活的，遠遠不能滿足實際環(huán)境中經(jīng)常變化的網(wǎng)絡(luò)接入需求。希望未來無線網(wǎng)AP能夠向有線網(wǎng)信息點的方向發(fā)展，即插即用、按需開通，不用考慮同頻干擾和功率調(diào)優(yōu)，而且性能優(yōu)異，滿足高密度用戶環(huán)境下的帶寬需求。

（為清華大學信息化技術(shù)中心 ）