H3C WX3520H-LI無線控制器

H3C WX3500H-LI是新華三技術有限公司（以下簡稱H3C公司）自主研發的新一代高性能有線無線一體化控制器（AC，Access Controller）產品系列。WX3500H-LI系列無線控制器定位國內企業網市場，具有大容量、高可靠、業務類型豐富等特點。硬件方面WX3500H-LI系列配備高性能多核CPU，可以做到無線隧道全尺寸報文線速轉發。軟件方面，采用H3C全新一代Comware V7網絡操作系統平臺（以下簡稱V7系統），除支持原系統的精細化用戶控制管理、完善的射頻資源管理、7X24小時無線安全管控、二三層快速漫游、靈活的QoS控制、IPv4&IPv6雙棧等多項功能之外，還支持多核控制平面、新一代無線定位、Bonjour、Hotspot2.0等新興的無線軟件特性。相比傳統無線控制器，WX3500H-LI系列支持云計算管理、分層AC、IRF等多種靈活的組網方式。

H3C WX3500H-LI系列無線控制器包含WX3510H-LI和WX3520H-LI兩款型號*。配合H3C Fit AP產品系列，可以滿足大中型企業園區WLAN接入、無線城域網覆蓋、熱點覆蓋等無線場景的典型應用。

硬件規格

軟件規格

提供對802.11ax AP的管理

WX3500H-LI系列無線控制器在支持對傳統802.11a/b/g/n/ac AP管理的同時，還可以與H3C基于802.11ax協議的AP配合組網，從而提供相當于傳統802.11a/b/g/n/ac協議數倍的無線接入速率，能夠覆蓋更大的范圍，使無線多媒體應用成為現實。

基于全新的操作系統

WX3500H-LI系列無線控制器采用H3C新一代V7系統開發，新的操作系統極大提升產品的性能和可靠性，能夠滿足企業市場上越來越復雜的網絡應用，相比上一代操作系統，V7系統具有多方面的優勢：

多核控制：在V7系統中可以根據需要調整CPU控制核和轉發核的分配比例，可根據需求達到一個最佳平衡，能夠充分提升CPU的控制計算及數據計算的能力，同時提供強大的并發計算能力。

支持用戶態多任務：V7系統采用全新的軟件運行權限控制方式，絕大多數網絡業務都運行在用戶態，不同網絡業務占用不同的任務，每個任務占用獨立的資源，某一任務運行錯誤只局限在本任務之內，不影響其他任務，使系統能夠保持安全可靠地運行。

用戶態任務監控：V7系統具有任務監控功能，系統專門監控用戶態的各個任務的運行情況，如果用戶態任務出現異常情況，系統會重載該任務，使業務能夠迅速恢復。

采用新的單獨業務升級的方式：V7系統支持單獨的業務升級，只升級單獨的某個業務模塊而不需更新整個軟件，相對公司前一代操作系統，可大大減少重啟升級的次數，保證升級的安全性，有效提供網絡穩定性。

提供強大的有線無線處理性能

WX3500H-LI系列無線控制器采用新型高性能多核CPU，WX3520H-LI控制器的CPU采用4個獨立內核，可以虛擬16個內核，WX3510H-LI采用2個獨立內核，可以虛擬8個內核，依托強大的計算能力，設備除了管理的用戶數提升，并發性能提高外，還能及時響應，改善用戶的使用體驗。

提供高密端口接入

WX3500H-LI系列無線控制器在對外接口提供了高密的端口接入，以支持更好的有線無線一體化接入（包括用戶接入，用戶認證，計費等的管理，有線無線用戶統一管理），根據款型對外提供的不同的業務接口，以滿足不同市場的要求。產品通過提供高密端口及多種端口類型，能滿足用戶靈活組網和網絡接入。

WX3510H-LI，對外提供6個GE、2個GE Combo、1個USB口；

WX3520H-LI，對外提供8個GE Combo 和 2個SFP+；

用戶可根據設備提供對外的接口及處理性能靈活的選擇產品。

支持星型IRF

WX3500H-LI系列無線控制器可支持H3C最新開發的星型IRF模型，相比普通級聯的IRF模型，星型模型采用二層網絡（虛擬成一個中心點）連接多臺設備，組網更靈活方便。星型IRF模型的核心思想是將多臺設備以星型拓撲連接在一起，虛擬化成一臺分布式設備，具有以下優勢：

組網簡單：星型IRF無須專用堆疊線和專門堆疊口，只需要通過交換機或者直接連線，二層相通即可建立堆疊。

能力疊加：星型IRF整體對外呈現一臺虛擬AC，虛擬AC的管理AP和用戶數量是多臺AC能力的疊加。

配置簡單：在虛擬AC上的配置，能自動同步到所有物理AC。

高可靠的備份：支持M+N熱備份，即所有業務的備份，一臺AC宕機不影響虛擬AC的功能，當前WX3500H-LI系列無線控制器支持最多2臺設備堆疊。

靈活的license控制：星型IRF中一臺設備安裝License，其他設備可共享使用， 虛擬AC的接入AP數是IRF中設備安裝的License數目之和；另外，License雖然跟設備具體綁定和安裝，但可以方便的卸載和遷移。

支持分層AC架構

分層AC架構是H3C創新提出的針對市場上多級組網需求的全新組網模型，分層AC采用類似大型連鎖企業機構集中控制分級管理的架構方式，由一個總的核心層管理AC下掛多個本地接入層AC，接入層AC直接下掛AP。接入層AC主要功能包括AP接入和數據轉發等實時性業務，核心層AC主要做網絡的管理控制和集中認證等非實時性全局業務，另外核心層AC也具有普通AC的接入AP及數據轉發功能。核心層AC為高性能AC，布置在匯聚層；而接入層AC可以由標準AC、All-in-one AC（具備路由、DPI功能）或有線無線一體化交換機組成，跟現有網絡平級布置；分層AC的這種架構模型將有線無線一體化理念推向新的高度，能夠適用于大規模無線網絡部署。分層AC模型天然支持總部和分支的應用場景，核心鏈路帶寬和核心層AC轉發能力不再成為瓶頸，核心層AC集中控制，接入層AC和下掛AP能夠很方便的實現自動升級和配置同步，極大地簡化了版本升級工作。在漫游場景，接入層AC負責AP間切換，漫游性能也得到極大提升。

支持丘比特定位

WX3500H-LI系列支持CUPID方式進行無線定位，因為準確度高，也稱為丘比特定位系統。丘比特定位系統采用了類似于雷達探測的原理，AP主動給客戶端發送探測報文，通過計算發送報文和響應報文的時間差來計算客戶端的位置。

提供新一代智能業務感知

智能業務感知（Intelligent Application Aware）為有線和無線用戶提供基于用戶角色的應用層安全、QOS和轉發策略。通過智能業務感知功能，可以指定誰能訪問網絡，他的各種應用（如http, ftp等）能訪問的網絡范圍以及允許的網絡帶寬。相比上一代產品，新一代智能業務感知業務加入了對報文深度分析（DPI）功能，擴充了應用的識別和統計功能。在上一代系統中，主要是基于以太網協議的四層端口號粗獷的識別，（比如80端口對應HTTP協議，20/21對應FTP，8000端口對應QQ等），用戶可以通過設置代理之類的方式繞過訪問限制，而在新一代系統中，直接基于以太網協議報文的七層特征，根據具體應用中報文的特征庫進行識別，對于這樣精準的識別，是可以進行完全的限制。通過報文深度解析功能不需要逐條設置禁止訪問的網站（例如京東、淘寶、一號店等網站），而只需要設置禁止訪問購物類網站即可，簡化了配置工作，提升了效率。

提供靈活的數據轉發方式

傳統的無線控制器部署一般采用集中式轉發模式，AC可以對報文進行全面控制和安全監管，但所有的無線業務流量需要到AC進行統一處理，核心鏈路帶寬和AC轉發能力容易成為瓶頸。特別是AP和AC通過廣域網方式進行連接時，AP作為數據接入設備部署在分支機構，而AC部署在總部，所有用戶數據由AP發送到AC，再由AC進行集中轉發，導致轉發效率低下。WX3500H-LI系列無線控制器可以支持集中式轉發、分布式轉發、策略轉發，用戶根據業務需要和網絡實際情況可以靈活設置轉發方式。

WX3500H-LI系列無線控制器同時支持集中認證本地轉發的組網方式，在數據流本地轉發的情況下，提供802.1X和Portal的集中認證和管理。

支持運營級無線用戶接入控制和管理

基于用戶的接入控制是WX3500H-LI系列無線控制器產品的一大特色，User Profile(用戶配置文件)提供一個配置模板，能夠保存預設配置(一系列配置的集合)。用戶可以根據不同的應用場景為User Profile配置不同的內容，比如CAR(Committed Access Rate，承諾訪問速率)策略和QoS(Quality of Service，服務質量)策略等。

用戶訪問設備時，需要先進行身份認證。在認證過程中，認證服務器會將User Profile名稱下發給設備，設備會立即啟用User Profile里配置的具體內容。當用戶通過認證訪問設備時，設備將通過這些具體內容限制用戶的訪問行為。當用戶下線時，系統會自動禁用User Profile下的配置項，從而取消User Profile對用戶的限定。因此，User Profile適用于限制上線用戶的訪問行為，沒有用戶上線(可能是沒有用戶接入、或者用戶沒有通過認證、或者用戶下線)時，User Profile是預設配置，并不生效。

另外，WX3500H-LI系列無線控制器還支持基于MAC的認證接入控制方式，這種方式不但可以使得客戶在AAA服務器上對用戶組進行權限的配置和修改，同時支持對具體用戶的權限的配置，這種精細的用戶權限控制大大增強了無線網絡的可用度，網管人員可以輕松通過該方式對不同級別的人或人群進行接入權限分配。

基于MAC的VLAN同樣也是WX3500H-LI系列無線控制器的一大特色，在控制策略上，管理員可以把相同性質的用戶(MAC)劃分到同一個VLAN，同時在控制器上基于VLAN配置安全策略，這樣做既可以簡化系統配置，又可以做到用戶級粒度的精細管理。

出于安全性或計費等考慮，系統管理員可能希望控制無線用戶接入到網絡中的位置。WX3500H-LI系列無線控制器支持基于AP位置的用戶接入控制。當無線用戶接入網絡時，可以通過認證服務器向AC下發允許用戶接入的AP列表，在AC上進行接入控制，從而達到限制無線用戶只能接入到指定位置的AP的目的。

支持信道智能切換

無線局域網中，信道是非常稀缺的資源，每個AP只能夠工作在非常有限的非重疊信道上，比如對于2.4G網絡，只有３個非重疊信道，所以如何智能地為AP分配信道是無線應用的關鍵。

無線局域網工作的頻段存在大量可能的干擾源，如雷達、微波爐，它們在網絡中的出現將干擾AP的正常工作。通過信道智能切換功能，可以保證每個AP能夠分配到最優的信道，盡可能地減少和避免相鄰信道干擾，而且通過實時信道干擾檢測，可以讓AP實時避開雷達，微波爐等干擾源。

支持智能AP負載分擔

802.11協議把無線漫游的決策交給了無線客戶端，無線客戶端一般會根據AP信號強度(RSSI)選擇AP，這很容易導致大量的客戶端僅僅因為某個AP信號較強而連接到同一個AP上。由于這些客戶端共享無線媒介，導致每個客戶端的網絡吞吐將大量減少。

智能負載分擔方法可以實時地分析無線客戶端的位置，動態地確定在當前時刻和當前位置下哪些AP可以彼此分擔負載，通過控制無線客戶端接入的AP，來實現這些AP間的負載分擔。系統不僅支持按照用戶在線會話數的負載分擔，而且支持按照用戶流量負載的分擔。

支持7層移動安全檢測/防御(wIDS/wIPS)

WX3500H-LI系列無線控制器支持的移動安全防御模式有：黑名單、白名單、Rogue防御、畸形報文檢測、非法用戶下線、基于可預設升級的Signature MAC層攻擊檢測與反制(例如：DoS攻擊，Flood攻擊、中間人攻擊)等。配合無線應用控制臺內置的海量智能專家知識庫，可以獲得靈活的無線安全策略判斷依據，對于明確的非法攻擊源(AP或終端等)，實現可視的物理位置跟蹤監控和交換機物理端口移除。

通過配合H3C專業核心層防火墻/IPS設備，更可以實現移動園區的7層立體安全防御，滿足真正的從無線(802.11)到有線(802.3)端到端安全防護需求。

支持802.1x認證，MAC地址認證，Portal認證等

WX3500H-LI系列無線控制器支持多種認證方式：

?802.1x認證：WX3500H-LI系列無線控制器支持TLS、PEAP、TTLS、MD5、SIM卡等多種802.1x的認證方式，同時還支持802.1x本地認證方式，提供對MD5、TLS、PEAP這幾種主流認證方式的支持，用戶不再需要額外配置AAA服務器。WX3500H-LI系列無線控制器還支持通過802.1x認證后動態授權VLAN和ACL功能，對用戶的策略可以事先設定好，用戶認證時，系統自動配置客戶權限。

?MAC地址認證：WX3500H-LI系列無線控制器支持MAC地址認證，對一些手持終端(例如：Wi-Fi Phone、手持移動終端等)并不方便采取電腦上的認證方式，MAC地址認證卻可以輕松解決該問題，實現在控制器或者AAA服務器上配置好合法的MAC地址，這些MAC地址對應的終端就可以被允許被接入到網絡，而事先沒有被配置的非法終端則不能接入無線網絡，該功能極大地方便了例如無線醫療系統等應用，MAC地址認證可以確保只有醫院的PDA工作終端才能接入到無線網絡，而拒絕病人的無線PDA使用專用無線網絡。

?Portal認證：WX3500H-LI系列無線控制器提供內置的Portal認證服務器。該認證方式無需客戶端配合，直接通過瀏覽器WEB Portal頁面作為認證通道，當用戶認證通過后，可以靈活跳轉到指定訪問首頁并啟動相應授權和計費。同時也可以根據策略要求，靈活推送定制Portal頁面，達到廣告宣傳、信息傳遞的作用，廣泛使用在無線校園、無線城市、訪客接入等應用場景。

支持IPv4/IPv6雙協議棧(Native IPv6)

WX3500H-LI系列無線控制器支持無線客戶的IPV6接入。在隧道起點AP上，由于設備對IPv6感知，所以可以做到IPv6優先級到隧道優先級映射等；在AC側，同樣可以對IPv6報文進行ACL過濾等復雜的控制和過濾。

WX3500H-LI系列無線控制器同樣可以部署在IPv6網絡中，AC和AP之間自動協商成IPv6隧道。AC和AP完全工作在IPv6狀態時，無線控制器仍能正確地感知IPv4，并能處理無線客戶的IPv4報文。WX3500H-LI系列無線控制器IPv4/6靈活的適應能力，能滿足客戶在IPv4到IPv6網絡遷移中的各種復雜的應用，既能在IPv6孤島中給客戶提供IPv4的服務，同時也能在IPv4孤島中讓用戶輕松通過IPv6協議登錄到網絡。

針對校園網層出不窮的IPv6偽造報文攻擊，WX3500H-LI系列無線控制器支持IPv6 SAVI(Source Address Validation，源地址有效性驗證)技術。通過對地址分配協議的偵聽獲取用戶的IP地址，保證隨后的應用中能夠使用正確地址上網，且不可偽造他人IP地址，保證了源地址的可靠性。同時，通過IPv6 SAVI和Portal技術的結合，進一步保證了所有上網用戶報文的真實性和安全性。

提供端到端的QoS

WX3500H-LI系列無線控制器基于新一代V7系統開發，不但對Diff-Serv標準完善支持，同時增加了對IPv6協議的QoS支持。

QoS Diff-Serv 模型中主要包括流分類、流量監管(Policing)、隊列管理、隊列調度(Scheduling)等，完整實現了標準中定義的EF、AF1～AF4、BE等六組PHB及業務，使網絡運營商可為用戶提供具有不同服務質量等級的服務保證，使Internet真正成為同時承載數據、語音和視頻業務的綜合網絡。

支持快速的二、三層漫游

H3C公司的集中式無線架構不但能方便地實施二層漫游，而且非常有利于跨三層的漫游實現，用Fat AP部署的WLAN網絡，由于AP之間傳遞的信息有限，導致垮三層的漫游實現及其麻煩，集中式架構非常容易解決跨三層漫游的問題，WX3500H-LI系列無線控制器支持二、三層漫游，漫游域不受子網的限制。這種優秀的漫游特性，可以讓客戶在規劃無線網絡時，無需過多考慮現有網絡的規劃，更多關注在無線信號的覆蓋即可，這種方式大大簡化了前期的網絡規劃，減少了網絡規劃成本。

傳統模式下，當無線用戶終端使用802.1x作為802.11接入認證和密鑰交互的手段時，無線用戶終端和AP間的交互報文會非常的多。當無線用戶終端在兩個AP間漫游時，如果無線用戶終端在新AP接入的過程完全遵從完整的802.1x的交互過程，勢必造成漫游切換的時間過長，對于某些對漫游切換時間敏感的業務(例如語音業務)，這樣的長切換時間是無法忍受的。WX3500H-LI系列無線控制器采用Key caching技術完成漫游時用戶的快速切換，Key caching技術在用戶的安全接入和快速漫游間做了一個很好的平衡，可以使無線用戶終端在兩個AP間進行漫游時不必重新進行完整的802.1x認證交互過程，同時又能保證用戶身份的識別和密鑰使用的連續性；無線用戶采用快速漫游方式，單AC內漫游時間不超過50ms，滿足了語音業務的苛刻需求。

支持多種分支機構遠程接入場景

?當AC和AP通過廣域網鏈路進行連接時，用戶可以靈活選擇集中轉發或本地轉發模式，提升分支機構局域網打印訪問、終端互訪等業務性能。

?當廣域網鏈路發生故障或AC發生故障時，在線用戶不掉線，可以繼續訪問本地資源，并且可支持AC逃生功能。

?當分支機構AP部署于私網內時，AC可以穿越NAT與AP進行通信。