目 录 1 WLAN 接 入 配 置 1-1 1.1 WLAN 接 入 简 介 1-1 1.1.1 无 线 扫 描 1-1 1.1.2 关 联 1-3 1.2 WLAN 客 户 端 接 入 控 制 1-4 1.2.1 基 于 AP 组 的 接 入 控 制 1-4 1.2.2 基 于 SSID 的 接 入 控 制 1-4 1.3 零 漫 游 1-5 1.4 WLAN 接 入 配 置 任 务 简 介 1-6 1.5 配 置 WLAN 接 入 1-6 1.5.1 创 建 无 线 服 务 模 板 1-6 1.5.2 配 置 SSID 1-6 1.5.3 使 能 无 线 服 务 模 板 1-7 1.5.4 绑 定 无 线 服 务 模 板 1-7 1.5.5 配 置 区 域 码 1-8 1.6 WLAN 接 入 显 示 和 维 护 1-8 1.7 WLAN 接 入 典 型 配 置 举 例 1-8 i
1 WLAN 接 入 配 置 本 文 中 的 AP 指 的 是 LA3616 无 线 网 关 1.1 WLAN 接 入 简 介 WLAN 接 入 为 用 户 提 供 接 入 网 络 的 服 务 无 线 服 务 的 骨 干 网 通 常 使 用 有 线 电 缆 作 为 线 路 连 接 安 置 在 固 定 网 络, 接 入 点 设 备 安 置 在 需 要 覆 盖 无 线 网 络 的 区 域, 用 户 在 该 区 域 内 就 可 以 通 过 无 线 接 入 的 方 式 接 入 无 线 网 络 1.1.1 无 线 扫 描 客 户 端 首 先 需 要 通 过 主 动 / 被 动 扫 描 方 式 发 现 周 围 的 无 线 网 络, 再 通 过 链 路 层 认 证 关 联 和 用 户 接 入 认 证 三 个 过 程 后, 才 能 和 AP 建 立 连 接, 最 终 接 入 无 线 服 务 整 个 过 程 如 图 1-1 所 示 有 关 链 路 层 认 证 的 详 细 介 绍 及 相 关 配 置 请 参 见 WLAN 配 置 指 导 中 的 WLAN 用 户 安 全 有 关 用 户 接 入 认 证 的 详 细 介 绍 及 相 关 配 置 请 参 见 WLAN 配 置 指 导 中 的 WLAN 用 户 接 入 认 证 图 1-1 建 立 无 线 连 接 过 程 1-1
客 户 端 在 实 际 工 作 过 程 中, 通 常 同 时 使 用 主 动 扫 描 和 被 动 扫 描 获 取 周 围 的 无 线 网 络 信 息 1. 主 动 扫 描 主 动 扫 描 是 指 客 户 端 在 工 作 过 程 中, 会 定 期 地 搜 索 周 围 的 无 线 网 络, 也 就 是 主 动 扫 描 周 围 的 无 线 网 络 客 户 端 在 扫 描 的 时 候, 会 主 动 广 播 Probe Request 帧 ( 探 测 请 求 帧 ), 通 过 收 到 Probe Response 帧 ( 探 测 响 应 帧 ) 获 取 无 线 网 络 信 息 根 据 Probe Request 帧 是 否 携 带 SSID(Service Set Identifier, 服 务 集 标 识 符 ), 可 以 将 主 动 扫 描 分 为 两 种 : 客 户 端 发 送 Probe Request 帧 (Probe Request 中 SSID 为 空, 也 就 是 SSID 这 个 信 息 元 素 的 长 度 为 0): 客 户 端 会 定 期 地 在 其 支 持 的 信 道 列 表 中, 发 送 Probe Request 帧 扫 描 无 线 网 络 当 AP 收 到 Probe Request 帧 后, 会 回 复 Probe Response 帧 通 告 可 以 提 供 服 务 的 无 线 网 络 信 息 客 户 端 通 过 主 动 扫 描, 可 以 主 动 获 知 可 使 用 的 无 线 服 务, 之 后 客 户 端 可 以 根 据 需 要 选 择 适 当 的 无 线 网 络 接 入 客 户 端 主 动 扫 描 方 式 的 过 程 如 图 1-2 所 示 图 1-2 主 动 扫 描 过 程 (Probe Request 中 SSID 为 空, 也 就 是 不 携 带 任 何 SSID 信 息 ) 客 户 端 发 送 Probe Request 帧 ( 携 带 指 定 的 SSID): 在 客 户 端 上 配 置 了 希 望 连 接 的 无 线 网 络 或 者 客 户 端 已 经 成 功 连 接 到 一 个 无 线 网 络 的 情 况 下, 客 户 端 会 定 期 发 送 Probe Request 帧 ( 携 带 已 经 配 置 或 者 已 经 连 接 的 无 线 网 络 的 SSID), 能 够 提 供 指 定 SSID 无 线 服 务 的 AP 接 收 到 Probe Request 帧 后, 会 回 复 Probe Response 帧 通 过 这 种 方 法, 客 户 端 可 以 主 动 扫 描 指 定 的 无 线 网 络 这 种 客 户 端 主 动 扫 描 方 式 的 过 程 如 图 1-3 所 示 1-2
Beacon 图 1-3 主 动 扫 描 过 程 (Probe Request 携 带 指 定 为 APPLE 的 SSID) 2. 被 动 扫 描 被 动 扫 描 是 指 客 户 端 通 过 侦 听 AP 定 期 发 送 的 Beacon 帧 ( 信 标 帧 ) 发 现 周 围 的 无 线 网 络 提 供 无 线 服 务 的 AP 设 备 都 会 周 期 性 地 广 播 发 送 Beacon 帧, 所 以 客 户 端 可 以 定 期 在 支 持 的 信 道 列 表 监 听 Beacon 帧 获 取 周 围 的 无 线 网 络 信 息, 从 而 接 入 AP 当 客 户 端 需 要 节 省 电 量 时, 可 以 使 用 被 动 扫 描 被 动 扫 描 的 过 程 如 图 1-4 所 示 图 1-4 被 动 扫 描 过 程 Client Beacon AP Client 1.1.2 关 联 当 客 户 端 通 过 指 定 SSID 选 择 无 线 网 络, 并 通 过 AP 链 路 认 证 后, 就 会 立 即 向 AP 发 送 Association Request 帧 ( 关 联 请 求 帧 ),AP 会 对 Association Request 帧 携 带 的 能 力 信 息 进 行 检 测, 最 终 确 定 该 客 户 端 支 持 的 能 力, 并 回 复 Association Response 帧 ( 关 联 响 应 帧 ) 通 知 客 户 端 链 路 是 否 关 联 成 功 1-3
1.2 WLAN 客 户 端 接 入 控 制 WLAN 接 入 控 制 的 主 要 目 的 为 对 用 户 接 入 网 络 和 访 问 网 络 进 行 控 制,WLAN 接 入 控 制 的 方 式 有 基 于 AP 组 的 接 入 控 制 基 于 SSID 的 接 入 控 制 和 基 于 名 单 的 接 入 控 制 三 种 方 式 1.2.1 基 于 AP 组 的 接 入 控 制 如 图 1-5 所 示, 无 线 网 络 中 有 3 个 AP, 要 求 Client 1 和 Client 2 只 能 通 过 AP 1 或 AP 2 接 入 网 络, Client 3 只 能 通 过 AP 3 接 入 网 络 为 实 现 上 述 要 求, 将 AP 1 和 AP 2 添 加 进 AP 组 1 中,AP 3 添 加 进 AP 组 2 中 AC 上 配 置 Client 1 和 Client 2 对 应 的 User Profile 指 定 允 许 接 入 的 AP 组 为 AP 组 1,Client 3 对 应 的 User Profile 指 定 允 许 接 入 的 AP 组 为 AP 组 2 当 Client 1 Client 2 和 Client 3 准 备 接 入 网 络 并 通 过 身 份 认 证 后, 认 证 服 务 器 会 将 与 用 户 帐 户 绑 定 的 User Profile 名 称 下 发 给 AC,AC 根 据 指 定 User Profile 里 配 置 的 内 容 查 看 客 户 端 关 联 的 AP 是 否 在 允 许 接 入 的 AP 组 中, 如 果 客 户 端 关 联 的 AP 在 允 许 接 入 的 AP 组 中, 客 户 端 成 功 上 线, 否 则 上 线 失 败 图 1-5 基 于 AP 组 的 接 入 控 制 组 网 应 用 AP 1 Client 1 IP network AC AP 2 Client 2 AP group 1 RADIUS server AP 3 Client 3 AP group 2 1.2.2 基 于 SSID 的 接 入 控 制 如 图 1-6 所 示, 无 线 网 络 中 有 3 个 AP, 要 求 Client 1 和 Client 2 只 能 接 入 的 SSID 名 称 为 ssida 的 无 线 服 务,Client 3 只 能 接 入 的 SSID 名 称 为 ssidb 的 无 线 服 务 为 实 现 上 述 要 求,AC 上 配 置 Client 1 和 Client 2 对 应 的 User Profile 指 定 允 许 接 入 的 SSID 名 称 为 ssida,client 3 对 应 的 User Profile 指 定 允 许 接 入 的 SSID 名 称 为 ssidb 当 Client 1 Client 2 和 Client 3 准 备 接 入 网 络 并 通 过 身 份 认 证 后, 认 证 服 务 器 会 将 与 用 户 帐 户 绑 定 的 User Profile 名 称 下 发 给 AC,AC 根 据 指 定 User Profile 里 配 置 的 内 容 查 看 客 户 端 关 联 的 SSID 是 否 为 允 许 接 入 的 SSID, 如 果 客 户 端 关 联 的 SSID 为 指 定 允 许 接 入 的 SSID, 客 户 端 成 功 上 线, 否 则 上 线 失 败 1-4
图 1-6 基 于 SSID 的 接 入 控 制 组 网 应 用 1.3 零 漫 游 零 漫 游 功 能 用 来 避 免 无 线 客 户 端 在 不 同 AP 间 漫 游 时 发 生 掉 线 和 报 文 丢 失 开 启 零 漫 游 功 能 的 多 个 AP 为 客 户 端 提 供 统 一 的 虚 拟 服 务, 客 户 端 选 择 接 入 一 个 AP 后, 其 余 AP 实 时 监 控 客 户 端 的 信 号 强 度 当 AC 发 现 其 它 AP 能 够 比 当 前 AP 提 供 更 高 质 量 的 服 务 时, 将 指 定 新 AP 为 客 户 端 提 供 无 线 服 务 如 图 1-7 所 示, 无 线 网 络 中 存 在 两 个 AP, 零 漫 游 的 实 现 方 式 如 下 所 述 : (1) AP 上 开 启 零 漫 游 功 能 后, 当 网 络 中 的 AP 收 到 来 自 客 户 端 的 Probe Request 帧,AC 会 为 该 客 户 端 生 成 一 个 虚 拟 的 服 务, 该 虚 拟 服 务 的 BSSID 将 由 AC 的 桥 MAC 地 址 AP ID 和 客 户 端 的 MAC 地 址 组 成,AP 会 用 这 个 虚 拟 BSSID 来 与 客 户 端 进 行 交 互 (2) 如 果 客 户 端 选 择 通 过 AP 1 上 线, 则 AC 会 将 AP 1 的 虚 拟 BSSID 通 告 到 AP 2 上 AP 2 将 替 换 本 地 的 虚 拟 BSSID, 并 监 控 该 客 户 端 的 信 号 强 度 (3) 当 AC 发 现 AP 2 对 客 户 端 而 言 服 务 质 量 更 好 时, 即 AP 2 接 收 到 客 户 端 报 文 的 RSSI(Received Signal Strength Indicator, 接 收 信 号 强 度 指 示 ) 值 达 到 / 超 过 RSSI 门 限 值, 并 且 与 AP 1 所 接 收 到 的 客 户 端 报 文 RSSI 值 的 差 值 达 到 / 超 过 RSSI 差 值 门 限, 那 么 AC 将 指 定 AP 2 为 客 户 端 提 供 无 线 服 务 由 于 客 户 端 始 终 使 用 相 同 的 虚 拟 BSSID 发 送 数 据, 所 以 即 使 为 客 户 端 提 供 无 线 服 务 的 AP 发 生 变 化, 对 客 户 端 而 言 使 用 的 无 线 服 务 却 是 相 同 的 1-5
图 1-7 零 漫 游 示 意 图 1.4 WLAN 接 入 配 置 任 务 简 介 表 1-1 WLAN 接 入 配 置 任 务 简 介 配 置 任 务 说 明 详 细 配 置 创 建 无 线 服 务 模 板 必 选 1.5.1 配 置 SSID 必 选 1.5.2 使 能 无 线 服 务 模 板 必 选 1.5.3 绑 定 无 线 服 务 模 板 ( 仅 FAT AP) 必 选 1.5.4 配 置 区 域 码 可 选 1.5.5 1.5 配 置 WLAN 接 入 1.5.1 创 建 无 线 服 务 模 板 无 线 服 务 模 板 即 一 类 无 线 服 务 属 性 的 集 合, 如 无 线 网 络 的 SSID 认 证 方 式 ( 开 放 系 统 认 证 或 者 共 享 密 钥 认 证 ) 等 表 1-2 创 建 无 线 服 务 模 板 操 作 命 令 说 明 进 入 系 统 视 图 system-view - 创 建 无 线 服 务 模 板 配 置 无 线 服 务 模 板 VLAN wlan service-template service-template-name vlan vlan-id 缺 省 情 况 下, 未 创 建 无 线 服 务 模 板 缺 省 情 况 下, 无 线 服 务 模 板 的 VLAN 为 1 1.5.2 配 置 SSID AP 将 SSID 置 于 Beacon 帧 中 向 外 广 播 发 送 1-6
表 1-3 配 置 SSID 操 作 命 令 说 明 进 入 系 统 视 图 system-view - 进 入 无 线 服 务 模 板 视 图 wlan service-template service-template-name - 配 置 SSID ssid ssid-name 缺 省 情 况 下, 未 配 置 SSID SSID 的 名 称 应 该 尽 量 具 有 唯 一 性 从 安 全 方 面 考 虑, 不 应 该 体 现 公 司 名 称 1.5.3 使 能 无 线 服 务 模 板 表 1-4 打 开 无 线 服 务 模 板 操 作 命 令 说 明 进 入 系 统 视 图 system-view - 进 入 无 线 服 务 模 板 视 图 wlan service-template service-template-name - 打 开 无 线 服 务 模 板 service-template enable 缺 省 情 况 下, 无 线 服 务 模 板 处 于 关 闭 状 态 1.5.4 绑 定 无 线 服 务 模 板 无 线 服 务 模 板 跟 AP 的 Radio 存 在 多 对 多 的 映 射 关 系, 将 无 线 服 务 模 板 绑 定 在 某 个 AP 的 射 频 接 口 上,AP 会 根 据 射 频 接 口 上 绑 定 的 无 线 服 务 模 板 的 无 线 服 务 属 性 创 建 无 线 服 务 BSS BSS 是 无 线 服 务 提 供 服 务 的 基 本 单 元 在 一 个 BSS 的 服 务 区 域 内 ( 这 个 区 域 是 指 射 频 信 号 覆 盖 的 范 围 ), 客 户 端 能 够 相 互 通 信 表 1-5 绑 定 无 线 无 线 服 务 模 板 操 作 命 令 说 明 进 入 系 统 视 图 system-view - 进 入 WLAN 射 频 接 口 视 图 interface wlan-radio interface-number - 绑 定 无 线 服 务 模 板 service-template service-template-name 缺 省 情 况 下, 未 绑 定 无 线 无 线 服 务 模 板 射 频 能 绑 定 的 最 大 无 线 服 务 模 板 个 数 为 16 个 1-7
1.5.5 配 置 区 域 码 区 域 码 决 定 了 射 频 可 以 使 用 的 工 作 频 段 信 道 发 射 功 率 级 别 等 在 配 置 WLAN 设 备 时, 必 须 正 确 地 设 置 区 域 码, 以 确 保 不 违 反 当 地 的 管 制 规 定 为 了 防 止 区 域 码 的 修 改 导 致 射 频 的 工 作 频 段 信 道 等 与 所 在 国 家 或 地 区 的 管 制 要 求 冲 突, 可 以 开 启 区 域 码 锁 定 功 能 表 1-6 配 置 全 局 区 域 码 操 作 命 令 说 明 进 入 系 统 视 图 system-view - 进 入 全 局 配 置 视 图 wlan global-configuration - 配 置 区 域 码 region-code code 缺 省 情 况 下, 区 域 码 为 CN 开 启 区 域 码 锁 定 功 能 region-code-lock enable 缺 省 情 况 下, 区 域 码 锁 定 功 能 处 于 关 闭 状 态 1.6 WLAN 接 入 显 示 和 维 护 在 完 成 上 述 配 置 后, 在 任 意 视 图 下 执 行 display 命 令 可 以 显 示 配 置 后 WLAN 接 入 的 运 行 情 况, 通 过 查 看 显 示 信 息 验 证 配 置 效 果 在 用 户 视 图 下 执 行 wlan link-test 命 令 可 以 检 测 AP 与 指 定 客 户 端 之 间 的 无 线 链 路 质 量, 检 测 内 容 包 括 : 信 号 强 度 报 文 重 传 次 数 RTT(Round-trip Time, 往 返 时 间 ) 等 表 1-7 WLAN 接 入 显 示 和 维 护 操 作 命 令 显 示 无 线 服 务 模 板 信 息 display wlan service-template [ service-template-name ] 显 示 客 户 端 的 信 息 display wlan client [ interface wlan-radio interface-number mac-address mac-address service-template service-template-name ] [ verbose ] 1.7 WLAN 接 入 典 型 配 置 举 例 1. 组 网 需 求 AP 通 过 交 换 机 与 有 线 网 络 相 连 在 Switch 上 开 启 DHCP server 功 能, 为 AP 和 客 户 端 分 配 IP 地 址 AP 提 供 SSID 为 trade-off 的 无 线 接 入 服 务 1-8
2. 组 网 图 图 1-8 无 线 接 入 组 网 图 3. 配 置 步 骤 # 配 置 无 线 无 线 服 务 模 板 service1, 配 置 SSID 为 trade-off, 并 使 能 服 务 模 版 <AP> system-view [AP] wlan service-template service1 [AP-wlan-st-service1] ssid trade-off [AP-wlan-st-service1] service-template enable [AP-wlan-st-service1] quit # 将 无 线 服 务 模 板 service1 绑 定 到 WLAN-Radio 0/1 接 口 [AP] interface wlan-radio 0/1 [AP-WLAN-Radio0/1] undo shutdown [AP-WLAN-Radio0/1] service-template service1 [AP-WLAN-Radio0/1] quit 4. 验 证 配 置 (1) 配 置 完 成 后, 在 AP 上 执 行 display wlan service-template 命 令, 可 以 看 到 所 有 已 经 创 建 的 无 线 服 务 模 板 模 板 无 线 服 务 模 板 service1 的 SSID 为 trade-off, 无 线 服 务 模 板 已 经 使 能, 其 它 配 置 项 都 使 用 缺 省 值 [AP] display wlan service-template Service template name : service1 SSID : trade-off SSID-hide : Disabled Service template status : Enabled Maximum clients per BSS : 64 VLAN ID : 3 AKM mode : Not configured Security IE : Not configured Cipher suite : Not configured TKIP countermeasure time : 0 s PTK life time : 43200 s GTK rekey : Enabled GTK rekey method : Time-based GTK rekey time : 86400 s GTK rekey client-offline : Disabled Authentication mode : 802.1X Intrusion protection : Disabled Intrusion protection mode : Temporary-block Temporary block time : 180 sec Temporary service stop time : 20 sec 1-9
Fail VLAN ID : 1 Critical VLAN ID : Not configured 802.1X handshake : Enabled 802.1X handshake secure : Disabled 802.1X domain : my-domain MAC-auth domain : Not configured Max 802.1X users : 4096 Max MAC-auth users : 4096 802.1X re-authenticate : Enabled Authorization fail mode : Online Accounting fail mode : Online Authorization : Permitted Key derivation : N/A PMF status : Disabled (2) MAC 地 址 为 0023-8933-223b 的 客 户 端 可 以 连 接 无 线 网 络 名 称 为 trade-off 的 无 线 网 络 在 AP 上 执 行 display wlan client 命 令, 可 以 看 到 所 有 连 接 成 功 的 客 户 端 [AP] display wlan client service-template service1 Total number of clients: 3 MAC address Username APID/RID IP address VLAN ID 0023-8933-223b user 1024/1 3.0.0.3 3 1-10