H3CWLAN企業(yè)培訓(xùn)

1、H3C WLAN培訓(xùn)培訓(xùn)Page 2目目 錄錄 WLAN基礎(chǔ)知識(shí)WLAN組網(wǎng)方式FAT AP的典型應(yīng)用與配置無(wú)線控制器FIT AP基本配置無(wú)線控制器的可靠性1+1熱備份AP之間的漫游Page 3WLAN基礎(chǔ)知識(shí)基礎(chǔ)知識(shí) WLAN是基于IEEE802.11標(biāo)準(zhǔn)的無(wú)線局域網(wǎng)，在局域網(wǎng)絡(luò)環(huán)境中使用可以不必授權(quán)的ISM頻段中的2.4GHz或5GHz射頻波段進(jìn)行無(wú)線連接。主要解決百米左右的接入。 WLANWLAN的優(yōu)勢(shì)：的優(yōu)勢(shì)： 靈活性和移動(dòng)性。安裝便捷。易于進(jìn)行網(wǎng)絡(luò)規(guī)劃和調(diào)整。易于擴(kuò)展。Page 4WLAN基礎(chǔ)知識(shí)基礎(chǔ)知識(shí) WLANWLAN的不足：的不足： 性能：無(wú)線局域網(wǎng)是依靠無(wú)線電波進(jìn)行傳輸?shù)?。這

2、些電波通過(guò)無(wú)線發(fā)射裝置進(jìn)行發(fā)射，而建筑物、車輛、樹(shù)木和其它障礙物都可能阻礙電磁波的傳輸，所以會(huì)影響網(wǎng)絡(luò)的性能。 速率：無(wú)線信道的傳輸速率與有線信道相比要低得多。 安全性：本質(zhì)上無(wú)線電波不要求建立物理的連接通道，無(wú)線信號(hào)是發(fā)散的。從理論上講，很容易監(jiān)聽(tīng)到無(wú)線電波廣播范圍內(nèi)的任何信號(hào)，造成通信信息泄漏。 Page 5WLAN基礎(chǔ)知識(shí)基礎(chǔ)知識(shí) 主要WLAN技術(shù)：802.11b 802.11a 802.11g 802.11n802.11b802.11g802.11n工作頻段2.4G2.4G2.4G/5.8G最大帶寬11M54M300M可用信道1 6 111 6 11149 153 157 161 16

3、5Page 6WLAN基礎(chǔ)知識(shí)基礎(chǔ)知識(shí)11n11n的頻寬模式的頻寬模式l 兩種頻寬模式兩種頻寬模式802.11n同時(shí)定義了2.4GHz頻段和5GHz頻段的WLAN標(biāo)準(zhǔn)，與11a/b/g只用20MHz帶寬不同的是11n定義了兩種頻帶寬度：HT20（20MHz帶寬）和HT40（40MHz帶寬），在HT40模式下可以獲得HT20模式兩倍以上的吞吐量。20MHz: 滿足兼容性40MHZ: 滿足高性能需求Page 7l 40MHz 40MHz 頻寬頻寬High Throughput (HT) 信道，提供兩倍于20MHz頻寬模式的帶寬兩個(gè)20MHz信道被捆綁，一個(gè)是主，一個(gè)是輔主信道: 發(fā)送beacon報(bào)

4、文和部分?jǐn)?shù)據(jù)報(bào)文輔信道: 發(fā)送其它報(bào)文l 40MHz 40MHz 頻寬模式基本不建議在頻寬模式基本不建議在2.4GHz2.4GHz使用使用在2.4GHz沒(méi)有互不干擾的40MHz信道WLAN基礎(chǔ)知識(shí)Page 8WLAN基礎(chǔ)知識(shí)基礎(chǔ)知識(shí)WLANWLAN安全概述：安全概述：WLAN具有安裝便捷、使用靈活、經(jīng)濟(jì)節(jié)約、易于擴(kuò)展等有線網(wǎng)絡(luò)無(wú)法比擬的優(yōu)點(diǎn)，但是由于無(wú)線局域網(wǎng)信道開(kāi)放的特點(diǎn)，使攻擊者能夠很容易的進(jìn)行竊聽(tīng)，破壞，因此安全性成為阻礙無(wú)線局域網(wǎng)發(fā)展的最重要因素。 鏈路認(rèn)證方式：鏈路認(rèn)證方式：1.1.開(kāi)放系統(tǒng)認(rèn)證（開(kāi)放系統(tǒng)認(rèn)證（Open system authenticationOpen system

5、 authentication）Page 9WLAN基礎(chǔ)知識(shí)基礎(chǔ)知識(shí) 2. 共享密鑰認(rèn)證（共享密鑰認(rèn)證（Shared key authentication）Page 10WLAN基礎(chǔ)知識(shí)基礎(chǔ)知識(shí)用戶接入認(rèn)證用戶接入認(rèn)證 (1)PSK認(rèn)證 PSK認(rèn)證需要實(shí)現(xiàn)在無(wú)線客戶端和設(shè)備端配置相同的預(yù)共享密鑰，如果密鑰相同，PSK接入認(rèn)證成功；如果密鑰不同，PSK接入認(rèn)證失敗。 (2)MAC接入認(rèn)證本地MAC地址認(rèn)證：當(dāng)選用本地認(rèn)證方式進(jìn)行MAC地址認(rèn)證時(shí)，需要在設(shè)備上預(yù)先配置允許訪問(wèn)的MAC地址列表，如果客戶端的MAC地址不在允許訪問(wèn)的MAC地址列表，將被拒絕其接入請(qǐng)求。 通過(guò)RADIUS服務(wù)器進(jìn)行MAC

6、地址認(rèn)證：當(dāng)MAC接入認(rèn)證發(fā)現(xiàn)當(dāng)前接入的客戶端為未知客戶端，會(huì)主動(dòng)向RADIUS服務(wù)器發(fā)起認(rèn)證請(qǐng)求，在RADIUS服務(wù)器完成對(duì)該用戶的認(rèn)證后，認(rèn)證通過(guò)的用戶可以訪問(wèn)無(wú)線網(wǎng)絡(luò)以及相應(yīng)的授權(quán)信息。 (3)802.1x認(rèn)證 802.1x協(xié)議是一種基于端口的網(wǎng)絡(luò)接入控制協(xié)議，該技術(shù)也是用于WLAN的一種增加網(wǎng)絡(luò)安全的解決方案。當(dāng)客戶端與AP關(guān)聯(lián)后，是否可以使用AP提供的無(wú)線服務(wù)要取決于802.1x的認(rèn)證結(jié)果。如果客戶端能通過(guò)認(rèn)證，就可以訪問(wèn)WLAN中的資源；如果不能通過(guò)認(rèn)證，則無(wú)法訪問(wèn)WLAN中的資源。 (4)portal 認(rèn)證Page 11用戶接入管理過(guò)程用戶接入管理過(guò)程無(wú)線客戶端有兩種方式可以獲取

7、到周圍的無(wú)線網(wǎng)絡(luò)信息：一種是被動(dòng)掃描，無(wú)線客戶端只是通過(guò)監(jiān)聽(tīng)周圍AP發(fā)送的Beacon（信標(biāo)幀）獲取無(wú)線網(wǎng)絡(luò)信息；另外一種為主動(dòng)掃描，無(wú)線客戶端在掃描的時(shí)候，同時(shí)主動(dòng)發(fā)送一個(gè)探測(cè)請(qǐng)求幀（Probe Request幀），通過(guò)收到探查響應(yīng)幀（Probe Response）獲取網(wǎng)絡(luò)信號(hào)。WLAN基礎(chǔ)知識(shí)基礎(chǔ)知識(shí)Page 12 用戶接入管理過(guò)程用戶接入管理過(guò)程WLAN基礎(chǔ)知識(shí)Page 13WLAN組網(wǎng)方式組網(wǎng)方式“胖”接入點(diǎn)：即傳統(tǒng)AP，除了提供基本的無(wú)線連接功能外，還提供安全、管理和性能增強(qiáng)功能。導(dǎo)致單一AP設(shè)備結(jié)構(gòu)復(fù)雜，比較昂貴且難于管理?！笆荨苯尤朦c(diǎn)：與傳統(tǒng)的“胖”AP方案相比，“瘦”接入點(diǎn)剝離

8、其他功能只提供可靠、高性能的RF功能。WLAN交換機(jī) +“瘦”接入點(diǎn)方案：WLAN交換機(jī)和“瘦”AP配合在一起提供傳統(tǒng)AP的功能，WLAN交換機(jī)集中處理所有的安全、性能和管理等功能，“瘦”AP僅僅提供可靠的、高性能的無(wú)線連接。WLAN交換機(jī)方案除具有部署經(jīng)濟(jì)、易于管理等特點(diǎn)外，還支持快速切換、安全、接入第三方AP等高級(jí)功能。Page 14FAT AP設(shè)備的典型組網(wǎng)設(shè)備的典型組網(wǎng)l 企業(yè)網(wǎng)絡(luò)的組網(wǎng)模式：AP1APnSTAsl 家庭或soho網(wǎng)絡(luò)的組網(wǎng)模式：APADSL ModemWAN以太交換機(jī)以太交換機(jī)PCSTAs企業(yè)核心網(wǎng)企業(yè)核心網(wǎng)Page 15無(wú)線交換機(jī)和無(wú)線交換機(jī)和FIT AP的典型組網(wǎng)

9、的典型組網(wǎng)AP無(wú)線交換機(jī)無(wú)線交換機(jī)無(wú)線交換機(jī)無(wú)線交換機(jī)無(wú)線交換機(jī)無(wú)線交換機(jī)L2網(wǎng)絡(luò)網(wǎng)絡(luò)L3網(wǎng)絡(luò)網(wǎng)絡(luò)APAPAPAPAPPage 16AP直連或通過(guò)二層網(wǎng)絡(luò)連接時(shí)的注冊(cè)流程直連或通過(guò)二層網(wǎng)絡(luò)連接時(shí)的注冊(cè)流程AP從無(wú)線交換機(jī)下載最新軟件版本、配置4.AP開(kāi)始正常工作和無(wú)線交換機(jī)交換用戶數(shù)據(jù)報(bào)文無(wú)線交換機(jī)無(wú)線交換機(jī)APAPDHCP Server1、獲取IP地址2、發(fā)送二層廣播發(fā)現(xiàn)請(qǐng)求4、版本、配置下載3、無(wú)線交換機(jī)發(fā)現(xiàn)響應(yīng)5、用戶數(shù)據(jù)傳遞 AP通過(guò)DHCP server獲取IP地址 AP發(fā)出二層廣播的發(fā)現(xiàn)請(qǐng)求報(bào)文試圖聯(lián)系一個(gè)無(wú)線交換機(jī) 接收到發(fā)現(xiàn)請(qǐng)求報(bào)文的無(wú)線交換機(jī)會(huì)檢查該AP是否有接入本機(jī)的權(quán)限，

10、如果有則回應(yīng)發(fā)現(xiàn)響應(yīng)APAP與無(wú)線交換機(jī)直連或通過(guò)二層網(wǎng)絡(luò)連接：與無(wú)線交換機(jī)直連或通過(guò)二層網(wǎng)絡(luò)連接：Page 17AP通過(guò)三層網(wǎng)絡(luò)連接時(shí)的注冊(cè)流程通過(guò)三層網(wǎng)絡(luò)連接時(shí)的注冊(cè)流程APDHCPServer無(wú)線交換機(jī)無(wú)線交換機(jī)1、獲取IP地址、option 43屬性4、版本、配置下載5、用戶數(shù)據(jù)傳遞 AP會(huì)從option 43屬性中獲取無(wú)線交換機(jī)的IP地址，然后向無(wú)線控制器發(fā)送單播發(fā)現(xiàn)請(qǐng)求。2、無(wú)線交換機(jī)發(fā)現(xiàn)請(qǐng)求3、無(wú)線交換機(jī)發(fā)現(xiàn)響應(yīng) AP通過(guò)DHCP server獲取IP地址、option 43屬性(攜帶無(wú)線交換機(jī)的IP地址信息) 接收到發(fā)現(xiàn)請(qǐng)求報(bào)文的無(wú)線交換機(jī)會(huì)檢查該AP是否有接入本機(jī)的權(quán)限，如果

11、有則回應(yīng)發(fā)現(xiàn)響應(yīng)。 AP從無(wú)線交換機(jī)下載最新軟件版本、配置APAP與無(wú)線交換機(jī)通過(guò)三層網(wǎng)絡(luò)連接：與無(wú)線交換機(jī)通過(guò)三層網(wǎng)絡(luò)連接：AP開(kāi)始正常工作和無(wú)線交換機(jī)交換用戶數(shù)據(jù)報(bào)文Page 18Option 43屬性配置舉例屬性配置舉例 Option 43選項(xiàng)說(shuō)明80：選項(xiàng)類型，固定為80，1個(gè)字節(jié)。0B: 選項(xiàng)長(zhǎng)度，表示其后內(nèi)容的長(zhǎng)度（十六進(jìn)制數(shù)的個(gè)數(shù)，這里表示后面有11個(gè)十六進(jìn)制數(shù)），一個(gè)字節(jié)。0000: Server type ，固定配為0000兩個(gè)字節(jié)。02：后面IP地址的個(gè)數(shù)，一個(gè)字節(jié)。12010701,12010702：兩個(gè)AC的IP地址的十六進(jìn)制表示 ，分別是18.1.7.1和18.1.7

12、.2 ，其中18.1.7.1為主AC.l Microsoft DHCP Serverl H3C H3C設(shè)備內(nèi)置設(shè)備內(nèi)置DHCP ServerDHCP ServerPage 19無(wú)線交換機(jī)的數(shù)據(jù)轉(zhuǎn)發(fā)原理無(wú)線交換機(jī)的數(shù)據(jù)轉(zhuǎn)發(fā)原理STAServerVLAN 1IP:1.0.0.1無(wú)線交換機(jī)無(wú)線交換機(jī)Fit AP隧道口隧道口隧道口隧道口IP:3.0.0.1l 無(wú)線交換機(jī)和無(wú)線交換機(jī)和AP間數(shù)據(jù)轉(zhuǎn)發(fā)的核心思想間數(shù)據(jù)轉(zhuǎn)發(fā)的核心思想 在無(wú)線交換機(jī)和AP之間建立IPinIP隧道，無(wú)線交換機(jī)將這些隧道看做虛擬物理端口； 無(wú)線客戶端STA的任何數(shù)據(jù)報(bào)文都將由AP通過(guò)IPinIP隧道交給無(wú)線交換機(jī)，由無(wú)線交換機(jī)統(tǒng)一

13、轉(zhuǎn)發(fā)； 無(wú)線交換機(jī)從IPinIP隧道接收到用戶的數(shù)據(jù)后先解隧道封裝，然后做數(shù)據(jù)交換，如果出接口為隧道則對(duì)數(shù)據(jù)報(bào)文再次加上隧道封裝，直到交換到最遠(yuǎn)端。核心交換機(jī)核心交換機(jī)接入交換機(jī)接入交換機(jī)Fit AP隧道口隧道口STAVLAN 2IP:2.0.0.1VLAN 1IP:1.0.0.2Page 20STAPC的數(shù)據(jù)轉(zhuǎn)發(fā)的數(shù)據(jù)轉(zhuǎn)發(fā)SASTA MACDAPC MACVLANVLAN1SIP1.0.0.1DIP1.0.0.2SASTA MACDAPC MACSIP1.0.0.1DIP1.0.0.2STAIP:1.0.0.1IP:1.0.0.3IP:1.0.0.4PC無(wú)線交換機(jī)無(wú)線交換機(jī)L2交換機(jī)交換機(jī)S

14、ASTA MACDAPC MACSIP1.0.0.1DIP1.0.0.2APL2交換機(jī)交換機(jī)無(wú)線交換機(jī)無(wú)線交換機(jī)SASTA MACDAPC MACSIP1.0.0.1DIP1.0.0.2APPCIP:1.0.0.2STASAAP MACDAAC MACVLANVLAN 1SIP1.0.0.3DIP1.0.0.4IPinIP隧道封裝解解IPinIP隧道封裝，隧道封裝，802.11-802.3轉(zhuǎn)換轉(zhuǎn)換加加IPinIP隧道封裝隧道封裝802.11報(bào)文報(bào)文VLAN 1VLAN 1VLAN 1Page 21FAT AP的典型應(yīng)用與配置的典型應(yīng)用與配置交換機(jī)交換機(jī)FAT AP(V5)無(wú)線客戶端無(wú)線客戶端t

15、runkl 實(shí)例：實(shí)例： FAT AP上配置兩個(gè)vlan：vlan 1000和vlan 256vlan 1000為管理vlan；vlan 256為業(yè)務(wù)vlan，所有的無(wú)線客戶端都屬于vlan 256FAT AP的管理IP地址為10.10.1.50/24，網(wǎng)關(guān)為10.10.1.254服務(wù)集標(biāo)識(shí)SSID為H3C-wireless，無(wú)認(rèn)證無(wú)加密Page 22配置步驟（配置步驟（1 1） 步驟一：步驟一：創(chuàng)建業(yè)務(wù)創(chuàng)建業(yè)務(wù)vlan（vlan256）和管理）和管理vlan（vlan 1000），并配置管理），并配置管理IP地址地址 H3C vlan 256 H3C-vlan256 quit H3C vla

16、n 1000 H3C-vlan1000 quit H3C interface vlan 1000 H3C-Vlan-interface1000 ip address 10.10.1.50 255.255.255.0 H3C-Vlan-interface1000 quit 步驟二：步驟二：將上行以太網(wǎng)口配置為將上行以太網(wǎng)口配置為Trunk類型類型 H3C interface Ethernet 1/0/1 H3C-Ethernet1/0/1 port link-type trunk H3C-Ethernet1/0/1 port trunk permit vlan all 步驟三：步驟三：創(chuàng)建無(wú)線接

17、口創(chuàng)建無(wú)線接口 H3C interface WLAN-BSS 1 H3C-WLAN-BSS1 port access vlan 256 Page 23配置步驟（配置步驟（2 2） 步驟四：步驟四：創(chuàng)建無(wú)線服務(wù)模板（創(chuàng)建無(wú)線服務(wù)模板（SSID名稱為名稱為H3C-wireless） H3C wlan service-template 1 clear H3C-wlan-st-1 authentication-method open-system H3C-wlan-st-1 ssid H3C-wireless H3C-wlan-st-1 service-template enable 步驟五：步驟五：

18、在在11g射頻卡上綁定無(wú)線服務(wù)模板和無(wú)線接口，配置信道為射頻卡上綁定無(wú)線服務(wù)模板和無(wú)線接口，配置信道為11、功率為、功率為15dBm H3C interface WLAN-Radio 1/0/1 H3C-WLAN-Radio1/0/1 service-template 1 interface WLAN-BSS 1 H3C-WLAN-Radio1/0/1 radio-type dot11g H3C-WLAN-Radio1/0/1 channel 11 H3C-WLAN-Radio1/0/1 max-power 15 注：默認(rèn)情況下，功率為20dBm（即100mW）；信道為自動(dòng)選擇。 步驟六：步驟

19、六：配置默認(rèn)路由配置默認(rèn)路由 H3C ip route-static 0.0.0.0 0 10.10.1.254Page 24無(wú)線控制器無(wú)線控制器FIT AP基本配置組網(wǎng)圖基本配置組網(wǎng)圖無(wú)線控制器無(wú)線控制器三層交換機(jī)三層交換機(jī)FIT APDHCP Server無(wú)線客戶端無(wú)線客戶端VLAN 1、4VLAN 2VLAN 3192.168.1.99192.168.3.99交換機(jī)：VLAN 1接口地址為192.168.1.254VLAN 2接口地址為192.168.2.254VLAN 3接口地址為192.168.3.254VLAN 4接口地址為192.168.4.254trunk組網(wǎng)說(shuō)明各網(wǎng)段網(wǎng)關(guān)都在

20、三層交換機(jī)上AP屬于VLAN 2（192.168.2.0/24網(wǎng)段）無(wú)線客戶端屬于VLAN 4（192.168.4.0/24網(wǎng)段）ssid: H3CPage 25無(wú)線控制器無(wú)線控制器FIT AP基本配置基本配置Page 26同時(shí)集中轉(zhuǎn)發(fā)與本地轉(zhuǎn)發(fā)邏輯示意同時(shí)集中轉(zhuǎn)發(fā)與本地轉(zhuǎn)發(fā)邏輯示意CMNet國(guó)干網(wǎng)A高校出口路由器APAPAPAPAPAPAC1AC2B高校出口路由器移動(dòng)PORTAL SERVER移動(dòng)RADIUS服務(wù)器A高校樓層交換機(jī)A高校內(nèi)部用戶接入控制器A高校RADIUS服務(wù)器SSID:CMCCSSID:SCHOOLPage 27N+1熱備實(shí)現(xiàn)原理及切換熱備實(shí)現(xiàn)原理及切換Keep Live2

21、/3層網(wǎng)絡(luò)層網(wǎng)絡(luò)1、AP加入主AC時(shí)，AC會(huì)向AP主動(dòng)下發(fā)備用AC的地址。2、主AC正常時(shí)，數(shù)據(jù)流通過(guò)主AC處理，3、備用AC與主用AC之間同步業(yè)務(wù)數(shù)據(jù)。4、AP與AC間保持KEEPLIVE通信5、如主AC失效，則AP在規(guī)定時(shí)間內(nèi)將收不到KEEPLIVE信息。6、則AP根據(jù)先前留下的備AC地址，加入備用AC，并接受備用AC的控制。數(shù)據(jù)流通過(guò)備AC處理。7、由于主AC與備AC間業(yè)務(wù)數(shù)據(jù)是同步的，因此，用戶的業(yè)務(wù)并不會(huì)受到影響。AP主主AC備備AC備備AC備AC IPPage 28無(wú)線控制器的可靠性無(wú)線控制器的可靠性1+1熱備份熱備份APAC1AC21、獲取AC列表（AC1、AC2）DHCP Se

22、rver4、與AC2建立備份隧道連接AC1宕機(jī)2、與AC1建立主隧道連接l 步驟一：步驟一：AC1上配置上配置AP的靜態(tài)模板的靜態(tài)模板 AC1 wlan ap ap1 model WA2100 AC1-wlan-ap-ap1 serial-id H3CFITAP AC1-wlan-ap-ap1 priority level 6l 步驟二：步驟二：AC2上配置上配置AP的靜態(tài)模板的靜態(tài)模板 AC2 wlan ap ap1 model WA2100 AC2-wlan-ap-ap1 serial-id H3CFITAPl 說(shuō)明說(shuō)明 AC2不配置優(yōu)先級(jí)，則使用默認(rèn)優(yōu)先級(jí)4，也可以配置為其他的小于6的優(yōu)先級(jí)3、通知AP備份AC為AC2主隧道（負(fù)責(zé)數(shù)據(jù)流量轉(zhuǎn)發(fā)）備份隧道AP檢測(cè)到主隧道down備份隧道切換為主隧道l 步驟三：步驟三：AC1上配置其上配置其Backup AC為為AC2 AC1 wlan backup-ac AC2-ip addres