某地产公司大厦自用办公楼位于南山区科技园华润城E栋，置地总部办公楼层第45层到51层，办公人数约600人左右；
深圳大区及物业总部办公楼层3F,4F,6F,20F,24F,44F，办公人数约1000人左右。需在办公区建设企业级无线网络系统，
作为有线网络的延伸，以满足员工、合作伙伴、来宾访客等不同层次的移动应用需求，并做到有效管理，安全可靠。


1.1 项目目标
通过无线网络系统的实施实现以下目标：
a) 建设统一的无线网络系统平台，包括无线控制器、无线接入点和无线网络管理软件；
b) 无线网络系统平台设计要求实现高安全性和可用性，并支持后续无缝扩容和统一管理；


1.2 华润置地大厦有线网络系统架构
a) 华润置地大厦共51层，其中规划3F,5F,6F,20F,24F,44F为深圳大区及物业办公楼层，第45层到51层为置地总部办公楼层。
置地总部机房位于47层，机房面积约10平方米，其他楼层各有一个配线间机房，面积约7平方米；深圳大区及物业总部机房
位于24层，机房面积约10平方米，并且在3F,5F,6F,20F,44F各有一个配线间机房，面积约7平方米。
b) 网络结构采用稳定的二层网络结构，即核心层和接入层。
c) 核心网络采用双机热备模式，楼层交换机采用堆叠模式部署，通过双链路上传到核心交换机。
d) 主干为10G带宽上联，接入1G到桌面。
e) 口采用2台上网行为管理设备，做双机热备。
f) 出口线路采用双出口线路。
g) 各楼层配线间机房已配备相应端口数量的千兆接入层POE交换机。


置地总部网络拓扑图和深圳大区网络拓扑图如下：



2 建设思路
2.1.无线架构



总部和大区各独立建设一套无线网络系统，每套无线网络系统要求如下：
a) 无线方案采用双机冗余组网方式，实现无线高可用性；
b) 支持分支点实现无线VPN方式接入到大区或总部，其中无线设备和用户认证统一管理；
c) 总部、大区、各个分点办公室无线网络系统无缝对接，实现无线统一认证管理，无缝漫游接入。


2.2. 无线认证
统一规划三个无线SSID：Crland-Employee、Crland-Partner和Crland-Guest。其中公司员工登录Crland-Employee，
采用AD域账号进行登录认证进入内网进行办公；合作伙伴登录Crland-Partner，由本地管理员分配临时接入内网账号，
访问指定公司内网；访客登录Crland-Guest，采用本地静态密码接入互联网。


3 无线设备技术要求
3.1 设备数量
 

序号	名称和说明	单位	数量	置地总部	深圳大区	品牌
1	无线控制器	套	4	2	2	Cisco
2	室内无线接入点	台	196	96	100	Cisco
3	无线网络管理软件	套	2	1	1	Cisco
4	无线认证系统	套	2	1	1	Cisco
5	配套服务器	台	2	2	0	IBM
6	光模块配件	块	16	8	8	Cisco

3.2无线控制器技术参数
 

类型	指标项	技术规范要求
硬件要求	设备形态	19寸机架式设备，1RU，紧凑型设备，节省机柜空间
	电源、风扇	支持冗余电源，支持独立式可更换风扇模块
	物理端口	支持10GBASE-X(SFP+)端口2个
性能要求	支持AP数量	单台无线控制器可管理AP数量500个
	支持用户数量	单台无线控制器可管理用户数量5000个
	数据吞吐能力	单台无线控制器数据吞吐能力20Gbps
可用性	冗余备份	支持本地、异地控制器冗余备份功能 (1) 支持1+1或N+1备份功能，N无数量限制 (2) 支持Active/Slave结构，通过VRRP冗余备份协议 (3) 支持主从结构，只需配置主控制器，从控制器的配置自动同步
	可靠性	（1）无线交换机设备的年可用性指标为99.99%； （2）无线交换机设备平均无故障运行时间不少于5年
	ARM智能射频管理	支持ARM智能射频管理功能，能够根据无线环境干扰等条件的变化智能动态调整优化AP工作信道和发射功率。消除网络管理人员管理射频技术细节的需求，保障无线网络在复杂多变的无线环境中始终保持稳定和高效。
	频谱分析功能	支持以AP为传感器进行无线频谱环境的分析评估
	负载均衡	(1) 支持基于无线信道频谱容量的多AP间用户负载均衡 (2) 支持基于用户数量的多AP间用户负载均衡 (3) 支持基于AP流量负载的多AP间用户负载均衡
	VLAN   pool功能	支持802.1q   VLAN协议，具有VLAN Pool功能，可以动态从VLAN   Pool中随机给用户分配Vlan
	漫游支持	支持跨L2/L3网段漫游（Roaming）功能，支持认证通过后的使用者在不同的IP子网段、不同的AP 与无线交换机间无缝地进行网络漫游。
	Remote   AP支持	支持通过L2TP/IPSec方式穿越Internet部署AP
	VoIP支持	支持VoIP应用智能识别、自动提供QoS保障，并提供智能语音呼叫质量统计，智能语音呼叫控制（Call   Admission Control），VoIP信令跟踪分析功能
安全性	用户角色控制	支持根据用户接入层信息、认证服务器返回用户属性等信息灵活设置用户角色 支持同一SSID接入用户，根据不同角色分配不同的访问权限 支持对用户角色的应用层进行访问控制和带宽控制
	用户安全策略控制	支持根据用户角色而非固定的网络层信息进行用户安全策略控制
	访问控制	无线交换机具备基于个人的状态防火墙功能，对网络封包进行严密的存取控制。且无线交换机必须提供用户联机管理机制，包括针对特定使用者限制其可联机的网络目的IP地址网段(IP address subnet)、可使用的网络服务(包括HTTP，POP3，SIP等)，并可由本校网管人员在远程以Web设定与修改使用限制等管理功能
	黑名单	支持黑名单功能：即当发现在线用户有异常现象时，系统能自动中断该用户之网络连接并将其置入黑名单。  (1) 用户认证失败次数达到规定阀值时  (2) 用户存在攻击网络行为时（如ping flooding）  (3) 用户试图访问安全策略所禁止的特定网络资源时
	设备类型区分	(1) 支持在控制器上针对iPad，iPhone，Android等智能终端设备进行区分。并可以针对不同设备作不同的安全策略，无须用户认证  (2) 支持对新型智能终端及安全的定义与管理
	用户带宽控制	(1) 带宽控制支持按用户角色总体控制和每用户带宽控制两种方式   (2) 支持根据用户角色分别设置上、下行带宽控制，为高优先级用户及应用提供带宽保障
	无线入侵检测	支持智能无线入侵检测功能，如非法AP、仿冒AP、DoS攻击等，保障无线网络安全
	远程抓包	支持通过控制器远程抓取AP无线用户侧空口数据包，以便进行远程故障诊断
管理	管理界面	支持命令行和Web两种方式对无线控制器进行配置管理
	单一平台管理	支持通过主控制器进行多台无线控制器集群配置管理，以保证无线网络具有无缝扩容能力，不受单台设备容量限制
认证	无委会核准证明	必须提供工业与信息化部无线电管理局入网核准证书
	Wi- Fi认证	必须提供WiFi联盟（Wi-Fi Alliance）认证证书
	ICSA认证	必须提供经国际计算机安全联盟（ICSA）认证的用户状态防火墙功能
	质保证明	提供原厂项目授权及原厂质保服务确认

3.3室内无线接入点技术参数

类型 指标项 技术规范要求 硬件要求 接入协议 支持802.11a/b/g/n/ac 接入模式 (1) 支持2X2   MIMO
(2) 支持2空间流，2.4GHz模式下提供300Mbps接入速率，5GHz模式下提供876Mbps接入速率
(3) 射频卡可软件配置，选择2.4GHz或者5GHz 供电 (1) 支持DC源
(2) 支持802.3af/802.3at   POE供电方式 天线组成 内置天线型AP，天线数量4；天线增益2.4GHz4   dBi；5.8GHz6 dBi 以太网接口 (1) 1个10/100/1000Mbps(RJ45)
  (2) 支持自动感知链路速度和 MDI/MDX
  (3) 支持802.3az Energy Efficient Ethernet (EEE) 防盗设置 提供防盗锁或防盗功能设置 设备初始化设置 提供设备初始化设置按钮(Reset) 高吞吐量 (HT)
  超高吞吐量(VHT) (1) 支持802.11n高吞吐量(HT)：HT 20/40
  (2) 支持802.11ac超高吞吐量(VHT)：VHT 20/40/80 数据包聚合 支持802.11n/ac数据包聚合：A-MPDU，A-MSDU 支持频段 支持中国授权使用的频段（同时工作）：
5.8G频段支持从5.745GHz到5825GHz，149/153/157/161/165共5个信道；
2.4G频段支持从2.412GHz到2.472GHz，1-13共13个信道。 工作温度 0-40°C 工作湿度 5%-95%（非冷凝） 功能要求 胖瘦AP工作模式 支持胖瘦工作模式互转，无需任何硬件更换或者软件授权 VPN远程无线组网 支持AP跨广域网通过IPSec VPN与控制器连结，用户可以通过远程AP访问公司内网资源 业务区分 支持Multi－ESSID Mesh功能 所有AP均可以通过控制器无缝设置为Mesh网络节点，按需灵活实现Mesh组网，无需任何硬件更换。 传输安全 支持基于MACsec的链路层加密技术 防干扰功能<