随着黑客技术的提高，对信息安全也提出更高的要求。防御黑客除了传统的 边界防御设备外，还需具备智能化、高度自动化、响应速度快的信息安全产品 配备技术力量雄厚、响应及时的本地化服务队伍，才能做好各种预防检测工作 达到防惠于未然

任何安全防御措施都不是绝对安全的，都可能被攻破。但是建立一个多重安 全保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信 息的安全，才能够有效抵御各种安全风险。

一致性原则主要是指信息安全同题应与整个网络的工作周期（或生命周期） 司时存在，制定的安全体系结构必须与网络的安全需求相一致。安全的网络系统 设计（包括初步或详细设计）及实施计划、网络验证、验收、运行等，都要有安 全的内容及措施，实际上，在网络建设的开始就考虑信息安全对策，比在网络建 设好后再考虑安全措施，不但容易，且花费也小得多。

SUNDRAY 信锐技术

工程技术银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

了安全性。其次，措施的采用不能影响系统的正常运行。不能够违背信息化建设 必须以应用系统为基础，满足业务高效、易操作的原则

由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加， 网络脆弱性也会不断增加。一劳永逸地解决信息安全问题是不现实的。同时由于 实施信息安全措施需相当的费用支出。因此充分考虑系统的可扩展性，根据资金 情况分步实施，既可满足网络系统及信息安全的基本需求，亦可节省费用开支。

在软件、硬件、网络、安全和制度建设等方面都必须遵守国家和行业的相关 法规、标准和规范。充分考虑工作特点，补充和完善符合实际的组织业务信息标 准。

SUNDRAY 信锐技术

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

根据用户无线网络需求情况，结合信锐产品自身技术特点，为了满足XXX 银行本次无线升级改造需求，构建一个高速、稳定、安全、可靠、易于管理的无 线接入网络的需求，设计如下图所示的网络架构

SUNDRAY 信锐技术

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

根据现场初步勘测，本次建设主要有以下儿个典型场景： ? 营业网点大厅 在营业网点大厅区域采用吸顶或者壁挂方式进行无线信号的覆盖。采用双频 无线AP覆盖，保证营业网点大厅区域的网络体验

在营业网点大厅区域采用吸顶或者壁挂方式进行无线信号的覆盖。采用双频 无线AP覆盖，保证营业网点大厅区域的网络体验，

2.2.2AP点位部署分布设计

SUNDRAY 信锐技术

2.3上网认证设计方案

2.3.1.1 802.1X 认证

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

2.3.2网点访客认证

SUNDR 信锐技

SUNDRAY 信锐技术

2.3.2.2银行APP认证

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

增加手机银行装机量 支持安装手机银行才能使用WiFi

2.4无线安全设计方案

2.4.1无线网络物理隔离

业务引流、手机银行 引导用户部分业务使用手机银行办理

根据XXX银行全国营业网点需求，营业厅无线网络采用物理隔离，单独的 上网出口。避免与内部网络发生数据交互，从而引发安全事故，泄露银行客户的 信息。

2.4.2动态黑名单，自动封堵攻击源

无线控制器NAC联动上网行为管理会实时监控XXX银行网点无线网络安 全情况，如果网络中出现攻击终端，无线控制器会将其自动列入动态黑名单，在 段时间内禁止其接入。一段时间后检测如果该终端还存在攻击，则继续列入黑 名单。如果恢复正常则允许其接入。

SUNDRAY 信锐技术

2.4.3全面的应用、URL识别，禁止访问非法网约

2.4.3全面的应用、URL 识别，禁止访问非法网络

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

XX银行网点用户可能出现的访 向非法应用、URL的情况，信锐无线系统 具备全面的应用、URL识别，涵盖目前主流网络应用和URL，识别率高，可精 确控制用户上网行为，防止访问非法网络，提高网络安全性，规避法律风险。

2.5.1.1身份数据收集客流分析

SUNDR 信锐技

SUNDRAY 信锐技术

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

WiFi的智能手机等移动设备，都可以被营业厅WiFi监测到并记录下来，包括手 机MAC、出现时间、出现次数、驻留时长等，无需额外部署特殊设备

2.5.1.2大数据展现用户线上金融行为

记录顾客使用的应用程序和访问的网站等上网行为，提供应用类型、URL、 热门论坛、论坛热帖排行，可分析顾客最爱使用的应用类型TOP：可以查看某类 具体的应用类型的应用TOP，如查看用户最爱使用的社交网络TOP；可以查看 到具体哪些用户喜欢使用这种应用类型

2.5.2线上顾客用户画像

2.5.2.1整体用户画像

URL应用TOP10展示

用户画像功能是利用无线网络收 活用片欧网络身份信息、欧 络访问行为、上网行为等信息),对所有用 的数据进行大数据分析的实际落地

SUNDRA 信锐技术

SUNDRAY 信锐技术

业网点无线网络建设解决方

2.5.2.2单个用户画像

单个访客画像能够直观的表达出单个用户的画像情况，包含：归属地、应用 标签、驻留时间、Wif使用时长、出现日期、出现时段、来访频次、活动时光轴、 终端类型等

SUNDRAY 信锐技术

2.6无线网络稳定性设计方案

2.6.1.1 AC 1+1穴余

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

全国营业网点的的数量众多，采用分布式两中心方式在每个中心部署2台控 制器，实现企业无线网络的余灾备，增加网络可靠性，避免单点故障。 两台控制器实现亢余热备方案，一台为主机，一台为备机，当主机运行正常 时，备机处于待命状态，主机上的必要配置（例如WLAN配置，用户信息等） 同步到备机上面，一旦主机出现运行故障，则AP自动切换到备机上运行，保证 用户业务不中断：当主机恢复后，AP切换回主机

2.6.1.2ACN+1允余

息部的管理员，可以通过息部的控制器去管理分支机构的控制器，从而实现 了权限管理的分权分级。在权限管理分权分级的同时，也实现了N+1的亢余备 分，比如某分支机构的控制器由于某原因导致断线，那么总部的控制器可以接管 分支机构的AP，从而保证了无线网络永不断线，形成N+1的备份机制

2.6.1.3AP灾备亢余

传统的AC+FITAP网络架构，AC作为无线网络中最核心的设备，当AC岩 机之后，无线网络将变得不可用，通过AP灾备亢余方案，当AP与无线控制器 因外界因素（如AC宕机、控制器与核心交换机网线断开）造成的通信连接断开 后，自动启用应急策略或应急SSID，新接入的用户会划分到指定的应急VLAN 以及分配相应的应急角色，仍然能保证用户正常上网以及新用户的认证接入，当 网络恢复正常时，这些用户会从灾备角色中剔除，提高网络的稳定性和可靠性

SUNDRAY 信锐技术

2.7无线管理运维设计方案

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

随着移动互联网的发展，传统的无线从机房逐渐向移动端转移。无线管理不 但能够用电脑通过传统的Web页面进行管理，也可以通过手机APP（信锐云助 手）去管理（安卓市场或者APPstore下载），所以在管理无线网络方面，信锐也 走进了移动互联网化。信锐云助手主要是为了帮助用户通过手机远程去管理无线 控制器，

2.7.2控制器集中管理

信锐无线控制器集中管理功能，也就是控制器N+1功能，即在N个地方分 别部署一台无线控制器，然后通过一台无线控制器对所有的无线控制器进行统 集中管理，配置包括：建立无线SSID、配置访问权限、流控策略等。除了涉及 到网点控制器物理端口和下面所管理的AP的物理端口相关配置，比如网点控制 器的接口IP、接口VLAN以及一些不常用的配置，无法做到统一管理之外，其 他的都可以

SUNDRA 信锐技入

SUNDRAY 信锐技术

2.7.3分权分级管理

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

信锐无线控制器拥有丰富的管理员控制权限，通过管理员分权分级，可以灵 活的、精细的控制每个管理员的管理权限，方便网络的维护管理。 管理员类型分为超级管理员、普通管理员、营销管理员。超级管理员可以配 置、修改无线控制器上所有的配置，普通管理员是由超级管理员分配的，不同的 普通管理员可以是不同的管理权限，营销功能和控制器网络功能属于截然不同的 功能范畴，因此信锐无线将营销管理员从管理员中独立开来，保证营销人员发挥 他们的营销专长，使其专注于营销策略的配置，并且不用担心错误的操作影响控 制器的网络功能

2.7.4 AP零配置

所有无线热点的配置统一在无线控制器上配置，部署简单，配置简易，实现 用户零学习成本。配置支持自动以及手工备份和还原，双重保证无线热点的24 小时不间断运行

所有无线热点支持从云端自动升级到最新的版本，不同硬件型号AP能自动 判断并完成升级，无线客户手工干预，降低了后续升级维护成本。客户可选择夜 里自动升级，减少白天升级导致的业务中断问题

2.7.6可视化的热点地图

新金融趋势下业务的快速发展，无线热点部著剧增，无线管理面临看复杂的 设备管理问题。可视化的热点地图，通过地图展示可有效地帮助网络管理人员快 速地分析和掌握设备的实时运行状态和负载情况。该特性以地图式的展现方式， 分层管理设备，以掌握设备的实时运行状态。

2.7.7远程AP智能连接

部分企业分支部署远程AP，需要接入到总部的无线控制器，以便通过无线 网络访问总部的资源，而企业总部的出口IP经常变换，给远程AP连接总部带 来极大的困扰。 信锐技术提供智能连接技术，总部IP变换对于远程AP而言是透明的，不需 要任何手工操作便可快速地恢复网络，保证业务不中断

SUNDRAY 信锐技术

3.1招商银行全国营业厅

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

招商银行，是中国第一家完全由企业法人持股的股份制商业银行，简称招行 成于1987年4月8日，由香港招商局集团有限公司创办，是中国内地规模第六 大的银行、香港中资金融股的八行五保之一。 由于之前招行网点采用他人代建部署的无线，出现网络不稳定、用户信息不 可控、无法获取用户上网行为等劣势，本次项目决定对招商银行全行网点WIFI 进行改造，完全由招行自建

（1） 全国1800多个营业网点无线覆盖； （2） 为顾客提供一次登录、多次有效；一地登录、多地有效的上网方案 （3） 收集客户登陆网络信息，收集用户的网络身份及上网行为 （4） 向招行顾客提供精准营销信息推送服务。 解决方案及方案价值 >采用“瘦AP十两台方兆控制器"方式部署无线网络，控制器旁挂于核心交 换机，做本地转发，无线控制器部署在深圳中心机房； 》全行网点客户端统一认证、上网流本地转发； >通过后台统一认证管理平台集中管理全行无线客户端认证：

银行营业网点无线网络建设解决方案

业网点无线网络建设解决方

3.2中国银行福建省分行

3.3中国建设银行贵州省分行

建设银行贵州分行现有分支网点200多个，拥有自助设备近千台，设立一百 多家理财中心，主要为贵州省区域内企业以及个人客户提供广泛的金融产品和服 务。为更好的向客户提供高质量的服务，提升业务竞争力，建行计划在辖内网点 部署WiFi无线网络，为客户提供免费互联网服务。

起重机标准规范范本SUNDRAY 信锐技术

银行营业网点无线网络建设解决方案

眼行营业网点无线网络建设

1 本次项目中，建行贵州分行要求实现分行及各分支机构网络信号无 死角覆盖，满足银行电子银行终端设备以及客户无线接入需求。 （2）作为金融机构，建行对无线网络的安全性提出了较高的要求，同时对 于其下上百家分支机构则要求能实现网络统一管控。

针对此项目需求，信锐技术采用了双机热备、控制器加无线接入点的形式进 行组网。控制器位于分行总部机房，营业网点分别放置接入点通信标准，由总部集中管控。 无线信号范围覆盖网点办公区、营业大厅、客户等候区、VIP客户接待区等。针 对网络用途的不同分别统一设置两个无线信号，其中一个供客户使用，而另一个 藏的SSID供银行电子终端使用。 在信锐无线提供的解决方案中，充分考虑了银行的安全性诉求，严格区分上 网权限，并结合上网行为管理做严格管控，保障工行各营业网点内网安全；对于 客户使用的网络也采取了终端隔离、防钓鱼AP、权限管控等多种策略，保证客 卢使用网络的安全性。在接入效果上，客户可通过接入网络的电子终端办理个人 业务，降低银行工作人员工作量；同时满足客户等候办理业务期间使用wifi上网 的需求，提高客户对银行工作的满意度。而作为增值部分，银行在向客户提供免 费网络的同时，更可通过自定义认证方式的途径向客户介绍建行金融产品，提升 客户感知度，推动电子银行业务增长

3.4中国工商银行惠州市分行