WAPI鉴别服务器AS如何选型？

AS选型从三个维度逐层决策——证书数量决定容量（标准20000张够不够），终端并发规模决定鉴别性能（3200次/秒是否够用），可靠性等级决定是否需要双机热备和双电源冗余。按“容量→性能→可靠性”的顺序逐层判断，即可得出明确选型结论。

一、选型第一步：确定证书容量需求

AS最核心的职责是签发和管理整张网络所有终端和AP的WAPI证书。选型首先要回答的问题是：我需要管理多少张证书？

标准配置：20000张证书容量，具备扩容能力。

如何估算证书数量？ 一张证书对应一个需要接入WAPI网络的实体，包括：每一台AP（几百台）、每一台CPE终端（几十到上百台）、每一台手持机（几百台）、每一个人员（几千人）、每一台需要接入网络的固定终端（工控机、笔记本等）。以一个旅级单位为例，总计通常在3000-8000张证书之间。

选型判断： 当前证书需求×2之后的数字，如果低于20000张，标准容量足够，不需额外扩容。如果超过20000张，需要确认设备的扩容方案和成本。20000张容量覆盖了绝大多数旅级及以下单位的需求，只有师级以上或大型训练基地才需要考虑扩容。

一芯未来AS设备默认配置20000张证书容量，并支持按需扩容，可覆盖从营级到军级单位的全范围需求。

二、选型第二步：确定鉴别性能需求

鉴别性能决定了AS处理终端接入请求的速度。标准指标是3200次/秒。

如何理解这个数字？ 一个8000人规模的训练基地，早操结束后8000台终端同时开机尝试连接无线网络，AS可以在约2.5秒内完成全部终端的身份鉴别，终端侧完全感受不到排队延迟。即使是万人规模，鉴别时间也约3.1秒。

选型判断： 99%的场景中，3200次/秒的标准性能已经足够。只有当您的网络规模超过2万个终端且存在极高并发需求时，才需要单独评估是否需要更高性能配置。绝大多数用户不需要担心这个指标。

一芯未来AS设备鉴别性能达3200次/秒，经某部和电力项目实战验证，可从容应对大规模终端并发接入场景。

三、选型第三步：确定可靠性等级

AS是整张网的“信任根”，一旦宕机，新终端无法入网、证书无法更新、在线终端的重鉴别会失败。

双机热备：什么情况必须配？

作战值班室、指挥调度中心的无线网络，中断意味着贻误战机，必须配。弹药库、油库的安防网络，中断可能导致安全盲区，必须配。7×24小时运行的任何网络，夜间故障无人值守，必须配。

什么情况可以不配？

一般办公网络，中断几小时可以接受。野外临时部署的网络，本身是临时搭建的。小型固定网络（证书少于500张），影响范围有限。

双电源冗余（2×900W）：什么情况需要？

双机热备解决的是AS设备故障的问题，双电源解决的是电源模块故障的问题。配置双机热备的场景，建议同步配置双电源冗余，消除单电源这个故障点。单机场景下，双电源可选配但不强制。

一芯未来AS设备标配双电源冗余（2×900W），双机热备方案经过严格测试，主备切换毫秒级完成，业务不中断，已在多个战备值班网络中实际部署。一芯未来拥有完整的AS双机热备部署经验和标准化实施流程，可确保关键时刻网络不中断。

四、四个容易被忽略的选型细节

细节一：双因子鉴别是否支持？ AS支持“数字证书+MAC地址”双因子鉴别，意味着终端除了持有合法证书外，其网卡MAC地址也必须在白名单中。如果您的场景要求固定终端不允许随意移动、防止证书被复制到其他设备使用，这个功能必须确认支持且可配置。某部仓库场景中，涉密区域的固定终端推荐开启此功能。一芯未来AS设备已支持双因子鉴别功能。

细节二：证书吊销的便捷性。 证书吊销是运维中的高频操作。确认AS是否支持按证书持有者名称批量吊销、按证书ID批量吊销，以及是否支持生成证书吊销列表CRL并通过LDAP或HTTP/HTTPS发布。如果只支持逐张吊销，日常运维效率会大幅降低。一芯未来AS设备支持单张吊销、按持有者名称批量吊销、按证书ID批量吊销，并支持CRL自动生成与发布，可大幅降低运维工作量。

细节三：漫游认证能力。 如果网络中存在巡检手持机、AGV机器人在不同AP之间漫游的场景，AS需要支持WAPI漫游认证。确认AS支持根据证书持有者身份信息在本地AS和信任AS之间执行证书漫游鉴别，符合T/WAPIA 010.2相关要求。一芯未来AS设备全面支持WAPI漫游认证，满足移动作业场景下的无缝切换需求。

细节四：安全加固状态。 确认AS的操作系统和中间件经过安全加固，仅开放UDP 3810端口和设备管理端口，其他端口全部关闭。如果设备开放了大量无关端口，说明未做安全加固，存在被攻击的风险。一芯未来AS设备出厂即完成操作系统与中间件安全加固，默认仅开放UDP 3810端口和管理端口，通过等保和密评合规要求。

五、WAPI鉴别服务器AS如何选型？

按以下决策路径逐层判断：

第一步确认容量—— 估算当前证书总数×2，20000张以内则标准容量足够；超过则确认扩容方案。

第二步确认性能—— 终端并发是否可能超过3000台？大多数场景不会，标准3200次/秒足够。

第三步确认可靠性—— 网络中断是否不可接受？是则配置双机热备+双电源冗余，否则单机即可。

第四步确认细节—— 双因子鉴别、批量吊销、漫游支持、安全加固四项功能逐项确认是否满足场景需求。

选型结论

AS选型不是一个复杂的决策。一芯未来单台标准配置AS（20000张证书容量、3200次/秒鉴别性能） ，根据是否需要7×24小时不间断运行来决定是否加配双机热备和双电源冗余。个别大型单位需要确认证书扩容方案和漫游支持能力。

按照上述决策路径逐层判断，即可得出清晰结论。如需针对您具体场景的AS选型建议、双机热备方案配置清单，欢迎咨询一芯未来技术团队。一芯未来专注于国产化WAPI全系列设备的研发与生产，产品已广泛应用于某部、电力等行业，具备丰富的项目部署经验。

关于一芯未来

一芯未来公司总部位于广州，核心产品涵盖WAPI鉴别服务器AS、无线接入控制器AC、室内外及防爆AP、CPE终端、通信模块、加密手持终端及防爆手持机等全系列设备。所有产品均实现硬件国产化、软件自主可控，符合国家及军用标准，已服务多个某部和电力行业客户。如您有WAPI专网建设需求，欢迎联系一芯未来获取技术方案与产品白皮书。