无线局域网双 SSID构建方案及应用

游嘉俊

中国电信股份有限公司广东分公司

摘要：政企客户无线局域网主要应用在使用地点相对固定、数据流量较大、又有移动需求的场合,本文以远洋宾馆和星巴克咖啡连锁店的无线网络构建为案例，讨论如何利用WLAN网络在一套AP同时广播2个SSID情况下, 来满足客户对互联网访问采用多种不同认证模式的需求，实现网络多元化，达到共赢的模式。

关键词 ：双SSID；无线局域网；Chinanet

一、概述

随着政企客户对无线信息化需求的增加，为了分流大数据流量对3G网络造成的压力，中国电信综合考虑客户各个不同场景，采用了3G网络+WLAN网络的布网方式，即无线局域网模式来解决此类问题。以AP广播双SSID方式，实现运营商的业务与服务产品在政企用户的推广；其主要优势在于节约投资与维护成本，推动运营商与客户之间的协同营销，还可减少Wlan无线网络之间的信号干扰。

1.1 AP与AC之间的通讯和组网

目前广州电信采用的多为瘦AP, 瘦AP 加电后发出DHCP 请求，DHCP请求经过BRAS进行转发到AC设备，AC设备根据相应配置回应瘦AP的DHCP请求，瘦AP 获取到这些信息后，根据可接入的AC地址列表向相应的AC发起注册请求。

AP与AC之间的组网主要可以分为直通式和旁挂式两种：

直通式

旁挂式

对于现网的CHINANET WLAN，在原有的直通式基础上进行了优化扩展，对AC控制的数据流与AP和AC之间的数据流进行了分离，更有利于全网设备的控制：

1.2 关于多SSID

SSID（Service Set Identifier）也可以写为ESSID，用来区分不同的网络，无线网卡设置了不同的SSID就可以进入不同网络，SSID通常由AP广播出来。同一个AP同时放出多个SSID 信号（如SSID1,SSID2…….）供用户使用。

二、远洋宾馆双SSID网络构建

2.1需求分析

以远洋宾馆为例，酒店原已经建设好有线网络，属于小型的LAN网络模式，使用电信城域网线路作为出口接入互联网。客户需要电信方增加在大堂、商务楼层、房间等的无线覆盖，让进入酒店的人员通过无线方式获取CHINANET的信号，也可通过酒店自己的无线信号，登录酒店内部的网络，通过酒店原有的城域网出口接入互联网。

2.2解决方案--双SSID无线局域网功能实现

本项目设计的双SSID无线局域网将广播两个SSID，用于区分远洋宾馆接入用户和中国电信无线宽带接入用户。

远洋宾馆SSID名为OceanHotel,接入用户可在房间和大厅指定区域搜索wifi信号，通过酒店的内网认证使用内网原有的城域网出口访问互联网。

酒店其他用户可以搜索到Chinanet的SSID信号，通过中国电信提供的认证方式直接进行认证并连接到互联网，不受酒店内部网络的限制。

2.2.1总体网络拓扑

中国电信在远洋宾馆各楼层和房间等布设的AP（无线接入点），上联电信局端大容量AC（无线控制器），AC与酒店内的汇聚交换机通过裸纤互联，总体组网拓扑如下：

2.2.2 AP布放及覆盖

为保证宾馆SSID的无线接入用户良好的无线接入体验，综合考虑酒店房间和大厅的不同场景，AP的布放采用了不同的方式：

针对大厅区域，由于空间开阔，采用AP直接覆盖，满足用户容量和带宽有较高要求的会议室，商务中心，大厅等用户集中的场所；

针对客房区域，采用基于同轴电缆网络的WLAN宽带接入技术（WOC），将AP的无线信号耦合至酒店原有的有线电视传输系统，并通过改造房间电视信号面板为带无线天线的电视信号面板，实现房间的无线覆盖。

2.2.3 AP接入模式

为解决热点覆盖接入带宽瓶颈和室内WLAN部署AP供电问题，本方案中接入采用PON接入模式，并利用了PoE以太网供电技术为部分AP供电。在一些AP部署位置较远区域，采用多端口ONU设备，实现ONU+AP、ONU为AP供电并提供上行链路的部署。通过千兆以太网接口和千兆PoE供电，满足高带宽承载要求。

2.2.4 SSID数据上行

酒店中的AP设备广播两个SSID—“ChinaNet”和“OceanHotel”，客户所有无线接入流量均通过一套无线网络进行传输，从AP到AC之间的链路均为2个SSID共用，上联到AC设备后进行流量终结，与下面接入的客户数据流量分开。

当客户通过SSID“ChinaNet”进行连接时，可按照中国电信Wifi连接的方式通过中国电信大后台集中认证系统认证成功后接入Internet：如上面拓扑图中所示，蓝色虚线部分为ChinaNet SSID接入流量上行的路由；

当客户通过SSID“OceanHotel”进行连接时，宾馆SSID接入用户的数据通过前端AP收发并以隧道方式集中到AC上进行转发，进行二层的数据转发至宾馆的内网汇聚交换机，按照原有的方式进行到Internet的数据传输：如上面拓扑图中所示，绿色虚线部分为OceanHotel SSID接入流量转发的路由。

宾馆内网的汇聚交换机在接收到AC转发过来的二层数据报文之后，按照宾馆内部有线网络的认证方式，这部分无线客户流量转发去USG设备上面进行必要认证，保证安全性和满足可溯源返查的要求。

2.2.5安全防护认证

对于双SSID，2个SSID接入的认证机制是不同的，“ChinaNet”的SSID，接入到中国电信广东省分公司统一认证平台，推送中国电信无线网络Portal界面，电信方在AP和AC上对此SSID的接入用户进行了限速，相关的安全认证则采用全省统一的安全机制。

“OceanHotel”的SSID，是远洋宾馆自有的SSID，推送的Portal页面由客户指定，而客户连接到此SSID之后的认证也是经过宾馆原有的网络进行的，此过程对于中国电信方完全透明。出于安全性考虑，电信方在方案设计的同时建议宾馆方面对此SSID接入的客户进行必要的网络信息安全部署：进行WEP（Wired Equivalent Privacy）加密；有限度隐藏宾馆SSID，减少非法终端的尝试访问；对宾馆内网及WIFI进行科学规划，通过划分VLAN在USG上搭建安全审计系统，针对SSID所对应的VLAN进行策略配置、速率流量限制、连接终端数量限制、DDOS攻击防护等措施，提升网络的安全性和稳定性。

2.3项目总结

远洋宾馆双SSID无线局域网的构建，是在单个物理AP上面使用多个SSID信号，根据不同的SSID可以设置对应的业务、计费、认证模式、安全策略等，让不同的用户群体可以选择相应的个性化服务。同时，由于只需要一套的无线覆盖，大大节省了投资和建设成本，加以PON等大带宽上行的技术，为客户提供了稳定、高速、优质的网络服务，实现了电信、宾馆和客户三方面的共赢。

三、咖啡厅双SSID无线网络推广

通过对多家宾馆酒店的双SSID无线局域网构建应用后，中国电信方面逐渐将这种模式推广到同样要求数据流量较大、又有移动需求的连锁咖啡厅中，其中星巴克咖啡厅就是在远洋宾馆这个无线网络基础上改进之后的一个典型。

3.1 星巴克门店概述

星巴克为国际连锁的咖啡餐饮企业，其中国区的总部位于上海，在广州本地门店众多，遍布广州多个区域，由于其门店之间的差异，在客观上不可能如远洋宾馆无线网络地域单一，且接入上行的设备也会有所差异，但是总体上其门店对于无线网络信息化均有以下需求：

1、建立无线局域网需求；

2、中国电信无线网络推广及星巴克连锁个性化网络推广需求；

3、办公网络专线与无线网络共用承载链路需求；

3.2 星巴克无线方案

3.2.1 总体规划方案

针对星巴克门店总体的需求，中国电信为其设计了如下的无线网络体系：

1、使用PON接入方式开通业务的各门店开通两条专线，并使用多口ONU设备。其中：1条用于星巴克内部办公所需；1条用于星巴克对外广播的ChinaNet-Starbucks无线网络接入互联网所需；

2、各门店同时按照广东省电信公司ChinaNet无线公众热点建设规范标准进行WiFi覆盖；

3、各门店亦需根据项目要求提供1台商务领航2-1设备以做客户SSID接入的内网控制；

4、星巴克上行到Internet的使用PON+多口ONU，实现无线网络和办公专线一起在一条链路上跑；

5、统一配置瘦AP广播双SSID：ChinaNet、ChinaNet-Starbucks。

3.2.2 星巴克网络拓扑

由于各门店的差异，其网点大概可以分为三种形式接入：方案1：AP直接接入中兴ONU、方案2：AP直接接入华为ONU和方案3：AP通过华山交换机后采用AD接入，其中广州地区较多门店使用的是方案2，故下面的拓扑图以方案2为例。由于大部分门店均使用了1个AP，可能存在的一个接入点采用2个AP的情况，把第二个AP接入到ONU或者交换机的第二个LAN口即可，无需更改其他的设置和总体方案。

3.2.3 双SSID业务实现流程

星巴克无线Wifi系统采用城域网专线接入，使用AP+BELL商务领航2-1终端作为接入设备，AP负责广播双SSID；

本方案中提供双SSID的无线Wifi网络，分别广播ChinaNet和星巴克Wifi网络，ChinaNet为中国电信无线宽带标识， Starabucks是作为星巴克无线宽带标识， Starabucks主要面向星巴克上网顾客；

用户选择接入ChinaNet时，由中国电信推送Portal登陆界面，通过中国电信统一认证平台进行认证后接入互联网；

用户选择接入Starabucks时，首先推送星巴克个性化Portal登陆界面，连接回其上海总部的自有应用服务平台进行认证后接入互联网；

在星巴克此网络模式下，其双SSID业务实现流程总体如下：

1、ChinaNet SSID业务数据流：“终端——AP——ONU——OLT——BRAS——AC——互联网

2、ChinaNet-Starbucks SSID业务数据流：“终端——AP——BELL 2-1网关——ONU——OLT --BRAS——互联网

另外通过BELL 2-1商务领航网关设备和城域网线路，星巴克门店可以使用IPSec与上海总部连接，总部同样可以利用此线路全面监控到各门店情况，实施全面管理。

四、方案对比

对于远洋宾馆和星巴克咖啡连锁店的两个无线网络方案，均使用了双SSID的模式进行构建，但是由于宾馆与连锁咖啡厅在实际应用中的需求与行业特点等，具体方案中就会存在一定差异，中国电信提供的这类无线宽带网络结构具有较大的可扩充和延伸性，因此可以在整体结构不变的情况下，针对不同政企客户作出相应的调整。

4.1 方案相同点

两个方案中最大的相同点就是客户均有对无线信息化的需求，数据流量较大，单一的中国电信公众Wifi不能满足客户访问需求，因此使用了双SSID的模式，一方面利用中国电信无线网络覆盖的完善和稳定，提供客户所需的无线网络信号，另一方面按照客户自身的要求，提供一套无线网络可以让客户自由选择认证模式，享受不同的上网方式。

4.2 方案不同点

远洋宾馆由于宾馆目前只有一栋楼宇，因此不存在分支问题，宾馆尚无建立自有的应用平台，因此暂无采用个性化Portal的模式，经宾馆SSID连接时只是按照客户要求首先转向其宾馆网页，相对简单。

对于星巴克咖啡厅，由于其总部在上海，广州本地也有较多分店，选用的模式中直接在客户分店内网使用BELL 2-1商务领航网关，作为客户内网和无线网络之间的一个接口，既可以直接让星巴克SSID的流量通过此网关直接转发，也可以通过IPSec让总部可以连接到网关上对客户内网进行管理，一举多得。

五、结束语

随着各大运营商客户对无线信息化需求的增加，无线局域网的应用市场越来越广阔，在运营商建设成本和客户个性化需求方面的平衡中，双SSID无线局域网的构建很好的达到了几方共赢的目的。

9