03-WLAN服务配置

Size: px

Start display at page:

Download "03-WLAN服务配置"

桑包
5 years ago
Views:

1 目录 1 WLAN 配置 WLAN 服务简介常用术语无线用户接入过程协议概述 WLAN 拓扑 FAT AP 组网拓扑协议和标准配置 WLAN 服务配置全局 WLAN 参数配置国家码配置服务模板配置 AP 射频配置射频接口配置 n 配置上行接口 WLAN 服务的显示和维护无线用户隔离无线用户隔离简介使能无线用户隔离功能 WLAN 服务典型配置举例 WLAN 服务典型配置举例 n 配置举例 i

2 不同型号产品的特性功能支持情况略有不同, 详细请参见特性差异化列表部分的介绍设备支持的接口类型和编号与设备的实际情况相关, 本手册涉及以太网接口的配置举例统一使用 Eth 口举例说明实际使用中请根据具体设备的接口类型和编号进行配置设备支持的射频类型取决于设备的型号, 使用中请以设备实际情况为准本手册中所述的 AP 设备可以指代一般意义下的 AP 设备和无线网桥无线 Mesh 设备 1 WLAN 配置 1.1 WLAN 服务简介 WLAN(Wireless Local Area Network, 无线局域网 ) 技术是当今通信领域的热点之一, 和有线相比, 无线局域网的启动和实施相对简单, 成本相对低廉, 一般只要安放一个或多个接入点设备就可建立覆盖整个建筑或地区的局域网络然而,WLAN 系统不是完全的无线系统, 它的服务器和骨干网仍然安置在固定网络, 只是用户可以通过无线方式接入网络使用 WLAN 解决方案, 网络运营商和企业能够为用户提供方便的无线接入服务, 主要包括 : 通过无线网络, 用户可以方便的接入到无线网络, 并访问已有网络或因特网 ; 安全问题是无线网络最大的挑战, 当前无线网络可以使用不同认证和加密方式, 提供安全的无线网络接入服务 ; 在无线网络内, 无线用户可以在网络覆盖区域内自由移动, 彻底摆脱有线束缚常用术语 (1) 客户端带有无线网卡的 PC 便携式笔记本电脑以及支持 WiFi 功能的各种终端 (2) AP(Access Point, 接入点 ) AP 提供无线客户端到局域网的桥接功能, 在无线客户端同无线局域网之间进行无线到有线和有线到无线的帧转换 (3) FAT AP 一种控制和管理无线客户端的无线设备帧在客户端和有线网之间传输需要经过无线到有线以及有线到无线的转化, 而 FAT AP 在这个过程中起到了桥梁的作用 (4) SSID SSID(Service Set Identifier, 服务组合识别码 ), 客户端可以先扫描所有网络, 然后选择特定的 SSID 接入某个指定无线网络 (5) 无线介质无线介质是用于在 AP 和客户端间传输帧的介质 WLAN 系统使用无线射频作为传输介质 1-1

3 1.1.2 无线用户接入过程无线用户首先需要通过主动 / 被动扫描发现周围的无线服务, 再通过认证和关联两个过程后, 才能和 AP 建立连接, 最终接入无线局域网图 1-1 建立无线连接过程 Client AP 主动扫描 / 被动扫描 Authentication Request Authentication Response Association Request Association Response 1. 无线扫描无线客户端有两种方式可以获取到周围的无线网络信息 : 一种是被动扫描, 无线客户端只是通过监听周围 AP 发送的信标帧 (Beacon 帧 ) 获取无线网络信息 ; 另外一种为主动扫描, 无线客户端在扫描的时候, 同时主动发送一个探测请求帧 (Probe Request 帧 ), 通过收到探测响应帧 (Probe Response) 获取网络信号无线客户端在实际工作过程中, 通常同时使用被动扫描和主动扫描获取周围的无线网络信息 (1) 主动扫描无线客户端工作过程中, 会定期地搜索周围的无线网络, 也就是主动扫描周围的无线网络根据探测请求帧 (Probe Request 帧 ) 是否携带指定 SSID, 可以将主动扫描可以分为两种 : 客户端发送广播 Probe Request 帧 (SSID 为空, 也就是 SSID IE 的长度为 0): 客户端会定期地在其支持的信道列表中, 发送广播探测请求帧 (Probe Request 帧 ) 扫描无线网络当 AP 收到探测请求帧后, 会回应探测响应帧 (Probe Response 帧 ) 通告可以提供的无线网络信息无线客户端通过主动扫描, 可以主动获知可使用的无线服务, 之后无线客户端可以根据需要选择适当的无线网络接入图 1-2 主动扫描过程 (Probe Request 中 SSID 为空, 也就是不携带任何 SSID 信息 ) 1-2

4 客户端发送单播帧 (Probe Request 携带指定的 SSID): 当无线客户端配置希望连接的无线网络或者已经成功连接到一个无线网络情况下, 客户端也会定期发送单播探测请求帧 (Probe Request 帧 )( 该报文携带已经配置或者已经连接的无线网络的 SSID), 当能够提供指定 SSID 无线服务的 AP 接收到探测请求后回复探测响应通过这种方法, 无线客户端可以主动扫描指定的无线网络图 1-3 主动扫描过程 (Probe Request 携带指定的 SSID 为 AP 1 ) (2) 被动扫描被动扫描是指客户端通过侦听 AP 定期发送的 Beacon 帧发现周围的无线网络提供无线网络服务的 AP 设备都会周期性发送 Beacon 帧, 所以无线客户端可以定期在支持的信道列表监听信标帧获取周围的无线网络信息当用户需要节省电量时, 可以使用被动扫描一般 VoIP 语音终端通常使用被动扫描方式图 1-4 被动扫描过程 2. 认证过程为了保证无线链路的安全, 无线用户接入过程中 AP 需要完成对无线终端的认证, 只有通过认证后才能进入后续的关联阶段链路定义了两种认证机制 : 开放系统认证和共享密钥认证开放系统认证共享密钥认证关于两种认证的详细介绍请参见 WLAN 配置指导中的 WLAN 安全 3. 关联过程如果用户想接入无线网络, 必须同特定的 AP 关联当用户通过指定 SSID 选择无线网络, 并通过 AP 链路认证后, 就会立即向 AP 发送关联请求 AP 会对关联请求帧携带的能力信息进行检测, 最终确定该无线终端支持的能力, 并回复关联响应通知链路是否关联成功通常, 无线终端同时只可以和一个 AP 建立链路, 而且关联总是由无线终端发起 1-3

5 4. 其他相关报文 (1) 解除认证解除认证用于中断已经建立的链路或者认证, 无论 AP 还是无线终端都可以发送解除认证帧断开当前的链接过程关系无线系统中, 有多种原因可以导致解除认证, 如 : 接收到非认证用户的关联或解除关联帧接收到非认证用户的数据帧接收到非认证用户的 PS-Poll 帧 (2) 解除关联无论 AP 还是无线终端都可以通过发送解除关联帧以断开当前的无线链路无线系统中, 有多种原因可以导致解除关联, 如 : 接收到已认证但未关联用户的数据帧接收到已认证但未关联用户的 PS-Poll 帧解除关联帧可以是广播帧或单播帧协议概述 WMAC(Wireless Media Access Control, 无线介质接入控制 ) 功能包括 : 信标生成处理探查请求处理开放系统认证处理关联解除关联重新关联处理解除认证电源管理分片和分片重组协议帧到以太网帧转换以太网帧到协议帧转换保活机制空闲超时机制干净信道查找 1.3 WLAN 拓扑 FAT AP 组网拓扑 FAT AP 组网有以下几种拓扑 : 单一 BSS 多 ESS 单一 ESS 多 BSS 1. 单一 BSS 一个 AP 所覆盖的范围被称为 BSS(Basic Service Set, 基本服务集 ) 每一个 BSS 由 BSSID 来标识最简单的 WLAN 可以由一个 BSS 建立, 所有的无线客户端都在同一个 BSS 内如果这些客户端都得到了同样的授权, 那么他们就可以互相通信图 1-5 为单一 BSS 网络组网示意图 1-4

6 图 1-5 单一 BSS 网络这些客户端可以互相访问, 也可以访问网络中的主机属于同一 BSS 的客户端之间的通信由 FAT AP 实现 2. 多 ESS 在相同逻辑管理域下的所有客户端组成一个 ESS(Extended Service Set, 扩展服务集 ) 多 ESS 拓扑结构用于网络中存在多个逻辑管理域的情况当一个移动用户加入到某个 FAT AP, 它可以加入一个可用的 ESS 图 1-6 为多 ESS 网络组网示意图图 1-6 多 ESS 网络通常,FAT AP 可以同时提供多个逻辑 ESS FAT AP 中的 ESS 的配置主要通过发送信标或探查响应帧, 在网络中广播这些 ESS 的当前信息, 客户端可以根据情况选择加入的 ESS 在 FAT AP 上, 可以配置不同的 ESS 域, 并可以配置当这些域中的用户通过身份认证后, 允许 FAT AP 通告并接受这些用户 3. 单一 ESS 多 BSS( 多重射频情况 ) 图 1-7 所示组网描述了 FAT AP 在单一逻辑管理时有超过一个频段的应用所有的频段支持相同的服务集 ( 在同一个 ESS 内 ), 但由于属于不同的 BSS 所以逻辑上的覆盖范围是不同的 1-5

7 图 1-7 单一 ESS 多 BSS 组网 Internet Gateway FAT AP BSS 1 Radio 1 Radio 2 BSS 2 Client 1 ESS 1 ESS 1 Client 2 这种组网也应用于需要共同支持 a 和 b/g 的情形图 1-7 所示为两个客户端连接到不同的频段, 但属于相同 ESS 和不同 BSS 的情形 1.4 协议和标准 ANSI/IEEE Std , 1999 Edition IEEE Std a IEEE Std b IEEE Std g IEEE Std i IEEE Std 配置 WLAN 服务 WLAN 服务配置包括 WLAN 全局配置国家码服务模板和射频策略的配置表 1-1 WLAN 服务配置任务配置任务说明详细配置配置 WLAN 全局参数包括空闲超时时间生存时间广播探测配置配置全局 WLAN 参数配置国家码包括要进行射频操作的国家的代码缺省值是 CN 配置国家码配置服务模板缺省没有配置服务模板配置服务模板配置 AP 射频包括配置射频类型信道和最大功率配置 AP 射频配置射频接口包括射频接口下可以配置的一系列射频参数配置射频接口 1-6

8 1.5.1 配置全局 WLAN 参数表 1-2 配置全局 WLAN 参数操作命令说明进入系统视图 system-view - 配置 AP 和无线客户端之间连接允许的最大空闲时间配置无线客户端的保活时间间隔配置 AP 回复客户端发送的 SSID 为空的探测请求 wlan client idle-timeout interval wlan client keep-alive interval wlan broadcast-probe reply 缺省情况下, 空闲时间为 3600 秒缺省情况下, 关闭客户端的保活功能缺省情况下,AP 会回复客户端发送的 SSID 为空的探测请求配置国家码国家码用来标识使用射频所在的国家, 它规定了射频特性, 如功率和可用于帧传输的信道总数在配置 AP 之前, 必须配置有效的国家码或区域码表 1-3 配置国家码操作命令说明进入系统视图 system-view - 配置国家码 wlan country-code code 必选缺省情况下, 国家码为 CN 关于国家码和国家的对应关系表请参见 WLAN 命令参考配置服务模板 WLAN 服务模板包括一些属性, 如 SSID 和认证算法 ( 开放系统认证或共享密钥认证 ) 服务模板有两种类型 : 明文模板 (clear) 和密文模板 (crypto) 明文类型的服务模板不可以改为密文类型, 如果想将明文类型的模板改为密文类型, 必须首先删除原有的服务模板, 然后重新配置一个密文类型的服务模板反之亦然表 1-4 配置服务模板操作命令说明进入系统视图 system-view - 配置 WLAN 服务模板 wlan service-template service-template-number { clear crypto wapi } 必选缺省情况下, 已经配置了一个 clear 类型的服务模板 1-7

9 操作命令说明配置 SSID ssid ssid-name 必选配置信标帧不通告 SSID 指定在同一个射频下, 某个 SSID 下的关联客户端的最大个数选择认证方式使能服务模板 beacon ssid-hide client max-count max-number authentication-method { open-system shared-key } service-template enable 缺省情况下, 信标帧通告 SSID 缺省情况下, 最多可以关联 64 个客户端必选共享密钥认证模式请参见 WLAN 配置指导中的 WLAN 安全必选缺省情况下, 禁用服务模板配置 AP 射频该配置任务用来配置 AP 射频, 包括配置射频类型信道和最大功率如果某个射频策略被映射到一个射频, 则该射频继承在射频策略里配置的所有参数表 1-5 配置 AP 射频操作命令说明进入系统视图 system-view - 进入射频接口视图配置射频类型配置当前射频的服务模板和使用的接口配置射频的工作信道配置最大射频功率 interface wlan-radio interface-number radio-type { dot11b dot11g dot11a } service-template service-template-number interface wlan-bss interface-number channel { channel-number auto } max-power max-power - 必选必选缺省情况下, 使用自动选择信道模式射频的工作信道由国家码和射频模式决定信道列表与设备的型号有关, 请以设备的实际情况为准射频的最大功率与国家码射频模式信道 AP 型号和天线类型相关, 如果采用 n 射频模式, 那么射频的最大功率和带宽模式也相关配置前导码类型 preamble { long short } 缺省情况下, 支持短前导码 1-8

10 1.5.5 配置射频接口射频接口下可以配置一系列的射频参数如果将某个射频接口映射到某个射频 ( 比如 b/g 或 a), 则该射频就继承在射频接口里配置的所有参数表 1-6 配置射频接口操作命令说明进入系统视图 system-view - 进入 WLAN 射频接口视图 interface wlan-radio interface-number 必选设置发送信标帧的时间间隔设置信标帧的 DTIM 周期 (Delivery Traffic Indication Message, 数据待传指示信息 ) 设置数据包无分片传输的最大包长设置 RTS(Request to Send, 发送请求 ) 的门限值设置帧长超过 RTS 门限值的帧的最大重传次数设置帧长不大于 RTS 门限值的帧的最大重传次数设置 AP 保存接收到的数据包的时间间隔 beacon-interval interval dtim counter fragment-threshold size rts-threshold size long-retry threshold count short-retry threshold count max-rx-duration interval 缺省情况下, 发送信标帧的时间间隔为 100TU(Time Unit, 时间单位 ) 缺省情况下,counter 值为 1 DTIM 周期是信标周期的 counter 倍缺省情况下, 无分片传输的最大包长为 2346 字节缺省情况下,RTS 门限值为 2346 字节缺省情况下, 帧长超过 RTS 门限值的帧的最大重传次数为 4 缺省情况下, 帧长不大于 RTS 门限值的帧的最大重传次数为 7 缺省情况下,AP 保存接收的数据包的时间间隔为 2000 毫秒配置 n n 作为协议族的一个新协议, 支持 2.4GHz 和 5GHz 两个频段, 致力于为 WLAN 接入用户提供更高的接入速率,802.11n 提高通讯速率的手段主要在于增加带宽和提高信道利用率两个方面 1. 增加带宽 n 通过将两个 20MHz 的带宽绑定在一起组成一个 40MHz 通讯带宽, 在实际工作时可以作为两个 20MHz 的带宽使用 ( 一个为主带宽, 一个为次带宽, 收发数据时既可以以 40MHz 的带宽工作, 也可以以单个 20MHz 带宽工作 ), 这样可将速率提高一倍, 提高无线网络的吞吐量 2. 提高信道利用率对信道利用率的提高举措主要体现在三个方面 1-9

11 A-MPDU 聚合帧 : 即将多个 MPDU 聚合为一个 A-MPDU, 只保留一个 PHY 头, 减少了传输每个 MPDU 的 PHY 头, 同时还减少了 ACK 帧的数目, 从而降低了协议的负荷, 有效的提高信道利用率 A-MSDU 特性 : 该特性实现了将多个 MSDU 组合成一个 MSDU 发送, 与 A-MPDU 类似, 通过聚合,A-MSDU 特性有效减少了传输多个 MSDU 的 MAC 头的信息, 提高了 MAC 层的传输效率, 最终提高了信道利用率物理层提供短间隔功能 : 已有的 a 和 g 的 GI(Guard Interval) 时长 800us, 而 n 可以支持短间隔 Short GI, 其时长为 400us, 可以有效减少信道空闲时间, 提高信道利用率使用 Short GI 时, 可以提高大约 10% 的性能表 1-7 配置 n 操作命令说明进入系统视图 system-view - 进入射频接口视图 interface wlan-radio interface-number - 进入射频模板视图 radio-type { dot11an dot11gn } - 指定当前 Radio 接口的带宽模式使能仅允许 n 用户接入功能配置短间隔功能使能指定接口的 A-MSDU 功能使能指定接口的 A-MPDU 功能 channel band-width { } client dot11n-only short-gi enable a-msdu enable a-mpdu enable 缺省情况下,802.11an 类型的 Radio 接口的带宽工作在 40MHz,802.11gn 类型的 Radio 接口的带宽工作在 20MHz 缺省情况下,802.11an 类型的接口可以允许 a 用户接入 ;802.11gn 类型的接口可以允许 b/g 的用户接入缺省情况下,Short GI 功能处于使能状态缺省情况下,802.11n 模式下 A-MSDU 功能处于使能状态缺省情况下, 在 n 模式下 A-MPDU 功能处于使能状态 n 的配置与设备实际情况相关, 使用中请以设备实际情况为准关于 n 的基本 MCS 集和支持 MCS 集请参见 WLAN 配置指导中的 WLANRRM 1-10

12 1.6 配置上行接口 FAT AP 通常需要通过以太网接口或 Radio 口 ( 桥接链路 ) 接入上行网络, 如图 1-8 和图 1-9 所示如果 AP 的上行以太网口或 Radio 口出现故障, 将导致 AP 及关联到 AP 的无线客户端无法继续访问上行网络开启上行链路检测后, 一旦出现 AP 的上行接口故障,AP 将停止提供无线接入服务, 无线客户端将无法搜索到该 AP 的 SSID, 直至故障 AP 上行口恢复正常工作后, 无线客户端将可以重新接入该 AP 上行链接检测功能, 保证了在无线客户端所关联的 AP 出现上行口故障后, 同时, 在同一区域还有其他正常工作 AP 覆盖的情况下, 无线客户端可以通过关联到其他正常工作的 AP 接入上行网络图 1-8 上行链路检测组网图 ( 上行接口为以太网口 ) 图 1-9 上行链路检测组网图 ( 上行接口为 Radio 口 ) 表 1-8 配置上行接口操作命令说明进入系统视图 system-view - 配置上行接口 ( 上行接口为以太网口 ) 配置上行接口 ( 上行接口为 Radio 口 ) wlan uplink-interface interface-type interface-number wlan uplink-interface mesh-link interface-type interface-number 缺省情况下, 没有配置上行接口缺省情况下, 没有配置上行接口有关 wlan uplink-interface mesh-link 命令的详细介绍, 请参见 WLAN 命令参考中的 WDS 1-11

13 1.7 WLAN 服务的显示和维护完成上述配置后, 在任意视图下执行 display 命令可以显示配置后 WLAN 服务的运行情况, 通过查看显示信息验证配置的效果在用户视图下, 执行 reset 命令清除 WLAN 服务的相关信息表 1-9 WLAN 服务的显示和维护操作命令显示 AP 配置信息 display wlan client { interface wlan-radio [ radio-number ] mac-address mac-address service-template service-template-number } [ verbose ] 显示指定的服务模板的信息 display wlan service-template [ service-template-number ] 显示指定客户端的统计信息 display wlan statistics client { all mac-address mac-address } 切断客户端的连接 reset wlan client { all mac-address mac-address } 清除客户端的统计信息 reset wlan statistics client { all mac-address mac-address } 1.8 无线用户隔离无线用户隔离简介在各类公共场合以及网络运营商大中型企业金融机构等环境中, 有些用户需要在热点公共地区 ( 如机场咖啡店等 ) 通过无线接入 Internet, 因此用户认证问题就显得至关重要如果不能准确可靠地进行用户认证, 非法用户就可以未经授权而擅自使用网络资源, 不仅会占用宝贵的无线信道资源, 增加带宽费用, 还会降低合法用户的服务质量, 并给无线接入服务提供商带来不可接受的损失无线用户二层隔离功能结合 IEEE802.1i RADIUS 的用户认证以及计费方式可以给用户提供专业级的安全保障用户隔离功能是指关联到同一个 AP 上的所有无线用户之间的二层报文 ( 单播 / 广播 ) 相互不能转发, 从而使无线用户之间不能直接进行通讯图 1-10 用户隔离组网图 1-12

14 在图 1-10 中, 在 AP 上开启用户隔离功能后,Cleint 1~Client 4 之间不能互通, 也无法学习到对方的 MAC 地址和 IP 地址使能无线用户隔离功能表 1-10 使能无线用户隔离功能操作命令说明进入系统视图 system-view - 使能无线用户隔离功能 l2fw wlan-client-isolation enable 缺省情况下, 无线用户隔离功能处于使能状态 1.9 WLAN 服务典型配置举例 WLAN 服务典型配置举例 1. 组网需求某部门为了保证工作人员可以随时随地访问部门内部的网络资源, 需要通过部署 AP 实现移动办公具体要求如下 : AP 提供 SSID 为 service 的明文方式的无线接入服务采用目前较为常用的 g 射频模式 2. 组网图图 1-11 WLAN 服务组网图 LAN Segment 3. 配置步骤 (1) 配置 FAT AP # 创建 WLAN BSS 接口 <AP> system-view [AP] interface WLAN-BSS 1 [AP-WLAN-BSS1] quit # 配置 WLAN 服务模板为 clear 模式, 不配置认证方式, 使能服务模板 [AP] wlan service-template 1 clear [AP-wlan-st-1] ssid service [AP-wlan-st-1] authentication-method open-system [AP-wlan-st-1] service-template enable [AP-wlan-st-1]quit # 在 WLAN-Radio 1/0/1 上绑定无线服务模板 1 和 WLAN-BSS 1 [AP] interface WLAN-Radio 1/0/1 [AP-WLAN-Radio1/0/1] radio-type dot11g 1-13

15 [AP-WLAN-Radio1/0/1] channel 6 [AP-WLAN-Radio1/0/1] service-template 1 interface WLAN-BSS 1 (2) 验证结果客户端可以成功关联 AP, 上线后可以访问网络可以使用 display wlan client display connection 命令查看上线的客户端 n 配置举例 n 特性的支持情况与设备实际情况相关, 使用中请以设备实际情况为准 1. 组网需求某公司为了满足多媒体应用的高带宽要求, 需要部署高速接入的 n 无线网络具体要求如下 : AP 提供 SSID 为 service 的明文方式的无线接入服务为了保护现有投资, 兼容现有的 g 无线网络, 采用 gn 射频模式 2. 组网图图 n 配置组网图 LAN Segment 3. 配置步骤 (1) 配置 FAT AP # 创建 WLAN BSS 接口 <AP> system-view [AP] interface WLAN-BSS 1 [AP-WLAN-BSS1] quit # 配置 WLAN 服务模板为 clear 模式, 不配置认证方式, 并将 WLAN-BSS 接口与该服务模板绑定 [AP] wlan service-template 1 clear [AP-wlan-st-1] ssid service [AP-wlan-st-1] authentication-method open-system [AP-wlan-st-1] service-template enable [AP-wlan-st-1] quit # 配置工作带宽为 40MHz, 并在 WLAN-Radio 1/0/1 上绑定无线服务模板 1 和 WLAN-BSS 1 [AP] interface WLAN-Radio 1/0/1 [AP-WLAN-Radio1/0/1] radio-type dot11gn [AP-WLAN-Radio1/0/1] channel 6 [AP-WLAN-Radio1/0/1] channel band-width 40 [AP-WLAN-Radio1/0/1] service-template 1 interface WLAN-BSS 1 (2) 验证结果 1-14

16 客户端可以成功关联 AP, 上线后可以访问网络可以使用 display wlan client display connection 命令查看上线的客户端在 display wlan client 的显示信息中会显示 11n 客户端的信息 1-15

01-特性差异化列表

01-特性差异化列表目录 1 适用型号及对应软件版本... 1-1 2 特性支持情况... 2-1 3 命令行及参数支持情况... 3-1 i 在使用 H3C WA 系列无线局域网接入点设备前请先阅读本章内容 1 适用型号及对应软件版本 H3C WA 系列无线局域网接入点设备包含 WA1208E 系列,WA2200 系列和 WA2600 系列具体型号和对应的软件版本信息请参见表 1-1 表 1-1 产品型号及软件版本