目录
1.物联发展带来的挑战
1.1 网络建设趋势
1.2 物联时代的挑战
2.Huawei iConnect的方案构想
3.方案的实现及流程
3.1 方案实现: WLAN弓导IoT终端接入物联网SSID
3.2 方案实现:通过华为iConnect-URL携带终端电子身份信息
3.3 方案实现:华为iConnect字段定义
3.4 方案实现:终端侧证书服务器地址获取
3.5 方案实现:端侧到控制器申请证书及再次接入配置接口
3.6 实现流程:有线终端\WLAN无线接入
4.方案小结
4.1 iConnect现有其他能力V1.0
4.2端侧方案构建方式
5.总结
1.物联发展带来的挑战
1.1 网络建设趋势
企业数字化、智能化驱动了端侧/云端，IoT/数字平台/应用层的快速发展，实现园区数字化、智能化
端侧loT的快速发展趋势向数字化、智能化、IP化、无线化方向演进。
如:物流领域的AGV、商超的电子价签、智能制造的工业以太等
• 智能终端
• 传感技术
• 智能控制系统
• 物联无线
平台化策略。
如: Cisco的Kinetic等 、H3C的绿洲物联网平台、Data Engine大数据平台、华为的ROMA、亚马逊的AWS IoT、霍尼韦尔的BPS等
• 平台作为核心能力构建
• 各类IoT平台、数据中台、边缘计算平台快速兴起
• 各类厂商都有发力包括:互联网厂家、友商、传统厂商
应用的爆发式增长
• 伴随着端侧的数字化和智能化技术成熟，上层应用也在爆发式增长
• 不仅仅关注成本，业务更关注SLA。如:各位RTLS系统、IOC系统的兴起、各种行业应用
1.2 物联时代的挑战
华为XX(总面积9800平)改造实践
• 办公设备连接数约2000个，物联设备5611个。物联设备约是办公设备连接数的2.8倍。
• 一期改造:安防、资产管理、信息发布，带来661eth接入、 236AP接入点:
• 二期改造:门禁闸机、BA、 照明、消防网，预计增加:530+Eth、583+wifi、 3687+PLC
遇到的挑战总结
• 开局复杂
• 运维复杂
• 网络容量
• 接入安全
2.Huawei iConnect的方案构想
iConnect整体框架的愿景:
以数字化/智能化契机，构筑网络为中心，覆盖云管端的高效协同体系，提升园区ICT的整体效率和体验
痛点&挑战：
• 终端/业务识别精准化:海量终端识别、规则制定，实时性、准确性。
• 终端/业务管理自动化:针对不同设备制定不同的接入、访问/管理规则，策略生成和下发自动化。
• 网络响应及时化:当终端安全状态、应用业务诉求等发生变化时准确感知，自动化进行网络策略调优调整。
解决方案：
通过四个体系的协议标准，统一云网端语言，构建一套覆盖即插即用、接入控制、业务协同、安全可信的园区ICT基础架构体系
价值：
• For客户:安全可信、高效灵活、可视可管
• For终端设备:业务优化、协同效率提升安全可靠、协议栈预集成
• For模组厂商:SDK预集成，安全扩展
• For网络厂商:自动化的设备全生命周期管理
iConnect云网协同
• 标准化物模型:标准化终端状态接口、数据接口
• 标准化业务模型:
• 标准化策略模型:终端、应用策略、行为建模，标准化映射到网络权限策略，安全策略、QoS策略
iConnect端网协同
• 自动化/安全:端侧即插即用、精准识别、
• 安全接入、隔离加密
• 无线体验优化:WIFI终端漫游化、应用加速物联射频协同
• 边缘数据协同
iConnect端侧改造方式
• 硬件模组/ SDK方式协助端侧进行IP化、无线化;
• 电子身份规约
现阶段主要关注点:
• 终端即插即用
• 终端接入安全问题
• 终端权限控制自动化
• 终端无线业务体验等问题
现状:
• 人工干预部署
• 控制器扫描(准确率低、性能占用大)
3.方案的实现及流程
• 场景:园区IoT生态的繁荣，带来了针对IoT终端即插即用、安全接入、可视可管、权限自动化等维度的诉求
• 现状:部署阶段需要人工介入；终端的识别准确率低/复杂度高(依赖监听、扫描等方式推测终端的类型和行为，准确率有提升空间) ；策略控制器需要人工识别分析配置
• 方案:联合云管端厂商构建E2E的方案体系，由以前的被动推测IoT终端是什么到推动IoT终端主动告知我们他是什么，他需要什么，最终实现四个维度的诉求
• 优点:即插即用、准确度100%，信息全，复杂度低，可扩展性强、策略自动化
方案实现的主要过程
• AP引导终端设备按约接入对应SSID，接入报文中携带iConnect-URL (携带终端电子身份)
• 进行接入认证(根据特定场景，进行特定的认证)
• (可选)定义开放接口，和应用层交互获取额外的终端信息(包括扩展信息，策略模型等)
• 根据相关信息，在网络平台上进行可视、策略生成
• 策略授权，及后续步骤(如二次接入等)
方案实现的关键技术
• 轻量级安全接入当前EAP-TLS安全性高，但对终端资源要求较高，需要研究轻量级安全接入能力
• 轻量级端侧拨测能力适用于轻量资源下的端侧拨测能力，借助端侧起始的拨测感知网络状态(接入认证、信号覆盖感知等)，提升整体运维效率
3.1 方案实现: WLAN弓导IoT终端接入物联网SSID
• 主要思想:在Beacon、Probe Response报文中携带描述符:标明该SSID用于iconnect接入，以及对应的版本号，如"iconnect v1"
• 报文载体：Beacon/Probe response
• 交互行为：
（1）Beacon帧中，携带厂商私有EI取名ND (Network Description) 标示该SSID用于华为iConnect的接入，版本号为v1
（2）端侧解析Beacon帧携带的ND，按照指定的版本协议规定，进行下面的首次接入过程
• 字段定义：EI ID 211、Feature ID 9
• 优点：部署自由度提升，避免和ssid名称直接绑定，携带版本号，后续由扩展空间
3.2 方案实现:通过华为iConnect-URL携带终端电子身份信息
• 主要思想：将终端信息组装成http-url地址，借用RFC8520相关定义的协议字段
• 报文载体：参考RFC 8520定义，DHCP、LLDP、 EAP、Radius等
• 交互行为：
（1）在接入报文中携带URL字段，借助RFC定义的Option字段
（2）接入认证设备解析报文，通知到控制器
• 字段定义：https: //iconnect.com/v1(版本号)/终端信息字段
• 好处：
（1）借用标准字段，尊崇标准流程
（2）携带版本号，利于后续扩展
3.3 方案实现:华为iConnect字段定义
• 原则:专注于IoT终端的基础信息+网络信息，重点定义网络四层以下的相关字段
• 业务:覆盖可视化呈现内容、流信息(5元组)、策略权限(允许访问)、流的诉求(连通性、时延、带宽..)
• 优点:除了基本访问权限管理，增加了Q0S、隔离安全等维度考虑，对支持IoT业务的支撑更为完善
3.4 方案实现:终端侧证书服务器地址获取
DHCP获取地址
• 主要思想:通过DHCP Option字段携带证书服务器地址;便于终端去申请证书
• 报文载体:DHCP报文
• 交互行为:客户端发送DHCP报文，服务器回送的报文中携带相关字段
• 字段定义:实现在厂商125字段中，添加SubOption
• 好处:可以推送标准
静态地址接入
• 主要思想:此时无法通过DHCP Option字段携带证书服务器地址;需要管理员提前再控制器配置Redirect-ACL和Redirect-URL授权
• 交互行为:客户端访问网关ip申请证书，由AP/交换机设备进行重定向到证书服务器
• 好处:借助portal页面重定向流程
3.5 方案实现:端侧到控制器申请证书及再次接入配置接口
控制器提供restful接口用于证书申请: https://ip:port/boarding/config
IP和端口在客户端上需要支持可配置。
3.6 实现流程:有线终端\WLAN无线接入
（1）实现流程——有线终端接入
（2）实现流程——WLAN无线接入
4.方案小结
网络侧和端侧的区别如下
4.1 iConnect现有其他能力V1.0
物联协同(射频协同、信息共享)
场景:以电子价签为例
主要思路如下
• 信道级干扰协调，基于RFID信道AP生成不可用信道，调优时作为输入
• 价签有业务时通知WIFI固定时间窗内减少报文发送，减小空口占空比
漫游优化
场景:面向漫游性能要求较高的场景，如AGV等
主要思路如下
• 之前终端可能是全信道扫描，现在是AP会告知agv小车，邻近ap的信道让其扫描的更加有目的性
• 漫游时，AP缓存报文，防止漫游过程中丢包
应用加速
场景:面向游戏、语音、视频和金融等类型应用时的体验提升
主要思路如下
• 终端感知需要进行优先级调整的流量，通过协议上报AP
• AP对流量进行加速
4.2端侧方案构建方式
[模组改造适用场景]
• 终端现有控制板，增加模组连接控制板，实现即插即用、安全接入等
[模组改造适配开发]
• 终端的MCU要符合规格、安全认证要求;主控板上增加MSIP协议适配开发，适配程序的Slip源代码华为开源共享给终端厂家，方便快速、简化适配开发
• 模组选择经联盟认证的MCU, WIFI模组由模组厂家集成SDK、LiteOS、 WIFI驱动(模组厂家适配)等
[SDK集成适用场景]
• 终端现有控制板，支持WIF/IP联网
[SDK集成适配开发]
• 硬件MCU符合安全认证要求
• OS层可以选用LiteOS
• 移植SDK到终端设备控制板以实现自动联网
5.总结
从狭义的方面说，为什么需要iConnect？
因为，在智简园区场景中，物联网络如楼宇自动化BA（Building Automation）建设早于园区网络的部署，因此需要园区网络支持物联网络的局部调试。一方面，由于部分物联设备，如门禁、空调联网温控等没有网络操作界面，因此对物联设备安装调试人员的要求比较高；另一方面，物联设备接入网络后还有很多安全隐患，如门禁、闸机、摄像头等容易受到攻击、仿冒，因此物联终端还需要通过网络进行数字证书申请和下发，操作比较复杂。iConnect的出现，可以解决上述问题。使用iConnect的物联网终端也被称为iConnect终端。
从广义的方面说，为什么需要万物互联？
在物联网领域内，设备的差异表现为协议不同和数据模型不同。不同的设备，因其行业作用、实时性、可靠性等要求不同，会采用不同的通讯协议，设备生产厂家还会按需求定义出不同的私有协议。同时，即使是同一类设备，厂家在做设备联接时，会按照不同的格式来定义设备数据，造成同一类设备被系统读取的模式也不一样。华为物联网中间件平台实现不同厂商能够在同一个网络通信,实现资源共享和统一的管理。借助华为物联网的技术，未来或是一个万物互联的时代。
总而言之，Huawei iConnect的愿景，就是以数字化/智能化契机，构筑网络为中心，覆盖云管端的高效协同体系，提升园区ICT的整体效率和体验。
我不仅相信iConnect的未来，我也相信万物物联的未来！
本文参与华为云社区【内容共创】活动第17期。
https://bbs.huaweicloud.com/blogs/358780
任务 25 ： Huawei iConnect使能物联终端一触即联