智簡園區(qū)WLAN IPv6技術(shù)白皮書

1、華為智簡園區(qū) WLAN IPv6技術(shù)白皮書目錄 HYPERLINK l _bookmark0 前言i HYPERLINK l _bookmark1 概述1 HYPERLINK l _bookmark2 產(chǎn)生背景1 HYPERLINK l _bookmark3 技術(shù)實(shí)現(xiàn)2 HYPERLINK l _bookmark4 客戶價(jià)值2 HYPERLINK l _bookmark5 方案原理4 HYPERLINK l _bookmark6 WLAN IPv6 組網(wǎng)場景4 HYPERLINK l _bookmark7 WLAN IPv6 組網(wǎng)分類4 HYPERLINK l _bookmark8 本地轉(zhuǎn)發(fā)與

2、集中轉(zhuǎn)發(fā)5 HYPERLINK l _bookmark9 L2 網(wǎng)橋與 L3 網(wǎng)橋6 HYPERLINK l _bookmark10 IPv4/IPv6 混合接入7 HYPERLINK l _bookmark11 IPv6 管理和控制8 HYPERLINK l _bookmark12 WLAN 的網(wǎng)管需求8 HYPERLINK l _bookmark13 AP 的IPv6 地址配置方式9 HYPERLINK l _bookmark14 AC 的IPv6 地址配置方式9 HYPERLINK l _bookmark15 IPv6 AC 發(fā)現(xiàn)方式9 HYPERLINK l _bookmark16 A

3、P-AC 間隧道建立10 HYPERLINK l _bookmark17 AP 版本加載11 HYPERLINK l _bookmark18 多SSID 的IPv6 支持11 HYPERLINK l _bookmark19 QoS 與組播12 HYPERLINK l _bookmark20 QoS 映射與調(diào)度12 HYPERLINK l _bookmark21 組播功能需求13 HYPERLINK l _bookmark22 安全與認(rèn)證15 HYPERLINK l _bookmark23 網(wǎng)絡(luò)安全15 HYPERLINK l _bookmark24 終端防護(hù)15 HYPERLINK l _bo

4、okmark25 AAA16 HYPERLINK l _bookmark26 其他功能特性19 HYPERLINK l _bookmark27 WLAN 漫游場景19 HYPERLINK l _bookmark28 DHCPv6 相關(guān)19 HYPERLINK l _bookmark29 頻譜分析和無線定位21 HYPERLINK l _bookmark30 典型組網(wǎng)應(yīng)用22 HYPERLINK l _bookmark31 雙棧網(wǎng)絡(luò)方案22 HYPERLINK l _bookmark32 終端隧道方案23 HYPERLINK l _bookmark33 A 縮 略語25 1 概 述產(chǎn)生背景互聯(lián)網(wǎng)

5、的發(fā)展是由業(yè)務(wù)和應(yīng)用驅(qū)動的，其 IP 協(xié)議要求每個網(wǎng)絡(luò)終端都具有唯一的可尋址的 IP 地址，而現(xiàn)有的 IPv4 地址只能提供 43 億地址，其中可用的約 30 億，地球上平均每人分配不到一個地址，IANA(The Internet Assigned Numbers Authority，互聯(lián)網(wǎng)數(shù)字分配機(jī)構(gòu))已于 2011 年 2 月將最后的 5 個 A 類IPv4 地址段一次性地分配完畢。隨著物聯(lián)網(wǎng)及工業(yè)互聯(lián)網(wǎng)的發(fā)展，移動終端和物聯(lián)網(wǎng)等海量終端應(yīng)用是 IP 地址需求的最大來源，IPv4 地址空間不足的問題日益突出，嚴(yán)重影響新的無線接入用戶和新的業(yè)務(wù)的發(fā)展，因此將園區(qū)網(wǎng)絡(luò)從 IPv4 升級到 IP

6、v6，可以從根本上解決IP 地址短缺的問題。解決地址短缺問題是IPv6 發(fā)展的最大動力，世界各個國家均制定了 IPv6 發(fā)展的戰(zhàn)略步驟，Windows、linux 終端早已支持 IPv6，智能終端(手機(jī)、平板)也都支持 IPv6，網(wǎng)絡(luò)廠商的路由器/交換機(jī)絕大部分也都支持 IPv4/IPv6 雙棧，可以構(gòu)建純 IPv6 網(wǎng)絡(luò)或IPv4/IPv6 的雙棧網(wǎng)絡(luò)。從 20 世紀(jì) 90 年代末起，中國將 IPv6 關(guān)鍵技術(shù)研究課題作為國家重大專項(xiàng)立項(xiàng)，國家教育科研網(wǎng) CERNET 在 1998 年 6 月加入了 6Bone（IETF（Internet 工程任務(wù)組）用于對 IPv6 進(jìn)行測試的網(wǎng)絡(luò)），隨后

7、啟動了 Internet6 計(jì)劃，目前已經(jīng)在中國的高校間搭建 IPv6 網(wǎng)絡(luò)，形成一個大規(guī)模的 IPv6 研究和試驗(yàn)網(wǎng)絡(luò)。IPv6 可提供大量的 IPv6 地址，從而徹底解決地址短缺的問題。但是如果部署一個全新的純 IPv6 網(wǎng)絡(luò)，現(xiàn)有的絕大多數(shù)基于 IPv4 的應(yīng)用將無法在此 IPv6 網(wǎng)絡(luò)上運(yùn)行。運(yùn)行在純 IPv6 網(wǎng)絡(luò)上的應(yīng)用與 IPv4 互通在現(xiàn)階段相當(dāng)困難?，F(xiàn)階段單靠 NAT64 設(shè)備進(jìn)行網(wǎng)絡(luò)層翻譯處理在應(yīng)用部署上仍然存在一些問題。隨著時(shí)間推移，越來越多的 IPv6 程序?qū)捎妙愃?STUN/ICE 之類的技術(shù)在應(yīng)用層面來處理與 IPv4 網(wǎng)絡(luò)互通的問題，由應(yīng)用程序自身來感知 NA

8、T64 的存在并獲得相關(guān)地址轉(zhuǎn)換信息，以進(jìn)行相應(yīng)的互通處理?，F(xiàn)有網(wǎng)絡(luò)依賴純 IPv6 來解決地址短缺是不可行的。綜合以上分析，不論是運(yùn)營商網(wǎng)絡(luò)還是企業(yè)園區(qū)網(wǎng)絡(luò)同時(shí)支持 IPv4 和 IPv6 雙協(xié)議棧在相當(dāng)長的時(shí)間內(nèi)是必然的，而且若干年內(nèi)必然是 IPv4 公網(wǎng)、IPv6 網(wǎng)絡(luò)、IPv4 私網(wǎng)并存， 與現(xiàn)有 IPv4 網(wǎng)絡(luò)相比復(fù)雜度將大大增加，對網(wǎng)絡(luò)建設(shè)、運(yùn)維將產(chǎn)生重要影響。技術(shù)實(shí)現(xiàn)華為公司的 WLAN AC/AP、交換機(jī)、安全等產(chǎn)品，通過部署 IPv4/IPv6 雙棧，無線園區(qū)網(wǎng)方案不僅支持 IPv4 網(wǎng)絡(luò)部署，同時(shí)支持 IPv6 網(wǎng)絡(luò)部署。可以構(gòu)建 IPv4/IPv6 over IPv4/I

9、Pv6 多種組網(wǎng)方式?？蛻魞r(jià)值1、支持靈活多樣的 IPv6 組網(wǎng)，滿足多種場景需求目前絕大部分企事業(yè)的基礎(chǔ)接入網(wǎng)絡(luò)全部是 IPv4 網(wǎng)絡(luò)支持 IPv6 雙棧功能，在這種基礎(chǔ)網(wǎng)絡(luò)中構(gòu)建IPv6 的 WLAN 網(wǎng)絡(luò)，涉及IPv6 over IPv4 組網(wǎng)和雙棧組網(wǎng)，即滿足在現(xiàn)有IPv4 基礎(chǔ)網(wǎng)絡(luò)上，接入 IPv6 的無線 STA，實(shí)現(xiàn)對 IPv6 終端接入網(wǎng)絡(luò)相互訪問的通信需求。華為公司 WLAN 產(chǎn)品除了支持上述典型 IPv6 組網(wǎng)外，同時(shí)支持另外兩種 IPv6 的 WLAN 組網(wǎng)方式：IPv4 over IPv6，IPv6 over IPv6，針對多樣的的客戶網(wǎng)絡(luò)現(xiàn)狀和訴求，提供靈活的 WLA

10、N IPv6 組網(wǎng)支持。2、支持多種 IPv6 動態(tài)路由協(xié)議，易于部署Fit AP+AC 的 Infrastructure WLAN 組網(wǎng)架構(gòu)下，華為公司產(chǎn)品支持本地轉(zhuǎn)發(fā)和集中轉(zhuǎn)發(fā)兩種轉(zhuǎn)發(fā)模式。集中轉(zhuǎn)發(fā)模式（又稱隧道轉(zhuǎn)發(fā)），本質(zhì)是一種 Overlay 的組網(wǎng)方式， WLAN 系統(tǒng)將無線用戶的數(shù)據(jù)報(bào)文通過 AC-AP 間的 CAPWAP 隧道，穿越接入基礎(chǔ)承載網(wǎng)絡(luò)，實(shí)現(xiàn)報(bào)文的轉(zhuǎn)發(fā)。此時(shí)業(yè)界有些廠商產(chǎn)品僅支持 WLAN 系統(tǒng)做 L2 轉(zhuǎn)發(fā)的功能， WLAN AC 不能作為終端的 IP 網(wǎng)關(guān)，華為公司 WLAN IPv6 組網(wǎng)方案，可以支持 WLAN AC 作為 STA IPv6 網(wǎng)關(guān)的組網(wǎng)場景，并

11、且除了支持 IPv6 靜態(tài)路由協(xié)議外，同時(shí)支持多種 IPv6 動態(tài)路由協(xié)議。無論本地轉(zhuǎn)發(fā)、集中轉(zhuǎn)發(fā)，華為 WLAN AC 都支持做 IPv6 網(wǎng)關(guān)和多種 IPv6 動態(tài)路由協(xié)議，這進(jìn)一步提供了組網(wǎng)多樣性和靈活性，并減少了部署單獨(dú)的 IPv6 路由器的必要性。3、提供強(qiáng)大的 IPv6 網(wǎng)管/AAA/DHCP 能力，節(jié)省客戶投資華為公司 WLAN AP/AC 系統(tǒng)，支持與 IPv6 的網(wǎng)管系統(tǒng)配合，提供完整的網(wǎng)絡(luò)管理功能； 支持與 IPv6 的 AAA（radius）系統(tǒng)配合提供 IPv4 和IPv6 終端的認(rèn)證、授權(quán)和計(jì)費(fèi)。WLAN AC 支持 DHCPv6 relay 和 snooping 等

12、特性，即不僅僅支持與外置的 DHCPv6 服務(wù)器配合，實(shí)現(xiàn) IPv6 終端地址分配，同時(shí)支持內(nèi)置 DHCPv6 服務(wù)器，直接為 IPv6 終端和 AP 分配地址，為客戶快速組網(wǎng)提供了便利性，同時(shí)節(jié)省了網(wǎng)絡(luò)投資。4、豐富的 IPv6 相同安全功能，讓網(wǎng)絡(luò)更安全華為 WLAN 系統(tǒng)，不僅僅支持傳統(tǒng)的 IPv6 ACL，并且支持 radius 授權(quán)時(shí)動態(tài)下發(fā) IPv6 ACL。華為 WLAN 系統(tǒng)還支持防止終端 IP 地址仿冒的 IPv6 Source Guard，支持防止終端私設(shè) DHCPv6 服務(wù)器的 DHCPv6 Srv Guard 特性，支持 Dynamic ND 防護(hù)，從而禁止其他終端仿冒

13、該 STA 的 IPv6 地址進(jìn)行 ND 應(yīng)答（同 IPv4 的 DAI）。 2 方案原理WLAN IPv6 組網(wǎng)場景WLAN IPv6 組網(wǎng)分類構(gòu)建 WLAN 網(wǎng)絡(luò)，視基礎(chǔ)網(wǎng)絡(luò)類型和接入無線終端的通信類型，可分解為如下四種組網(wǎng)場景：圖2-1 WLAN IPv4/IPv6 系列組網(wǎng)圖中涉及 IPv6 的 WLAN 組網(wǎng)方式是前三種組網(wǎng)：IPv6 over IPv4，IPv4 over IPv6，IPv6 over IPv6 以及設(shè)備部署雙棧的場景，圖中最后一種 IPv4 over IPv4 組網(wǎng)就是純IPv4 組網(wǎng)方式，與IPv6 無關(guān)。IPv6 over IPv4 的組網(wǎng)，適用于園區(qū)網(wǎng)是純I

14、Pv4 網(wǎng)絡(luò)，而無線終端采用 IPv6 進(jìn)行通信的場景；IPv4 over IPv6 的組網(wǎng)，適用于園區(qū)網(wǎng)是純IPv6 網(wǎng)絡(luò)，而無線終端采用 IPv4 進(jìn)行通信的場景；IPv6 over IPv6 的組網(wǎng)，則是在 IPv6 網(wǎng)絡(luò)中構(gòu)建無線IPv6 通信網(wǎng)絡(luò)的純 IPv6 網(wǎng)絡(luò)的場景；支持雙棧的組網(wǎng)，則是 IPv4 的終端走 IPv4 轉(zhuǎn)發(fā)，IPv6 的終端走 Ipv6 轉(zhuǎn)發(fā)。當(dāng)下，絕大部分企事業(yè)的基礎(chǔ)接入網(wǎng)絡(luò)主要是 IPv4 網(wǎng)絡(luò)，小范圍區(qū)域有 IPv6 實(shí)驗(yàn)網(wǎng)， 故在這種基礎(chǔ)網(wǎng)絡(luò)中構(gòu)建 IPv6 的 WLAN 網(wǎng)絡(luò)，初始階段最典型的就是 IPv6 over IPv4 的組網(wǎng)滿足在現(xiàn)有 IPv

15、4 網(wǎng)絡(luò)不動的基礎(chǔ)上，接入 IPv6 的無線 STA，實(shí)現(xiàn)終端跨越 IPv4 接入網(wǎng)絡(luò)相互訪問的通信需求。下一階段是通過基礎(chǔ)接入網(wǎng)部署雙棧，實(shí)現(xiàn) IPv4 與IPv6 同時(shí)承載。本地轉(zhuǎn)發(fā)與集中轉(zhuǎn)發(fā)在瘦 AP+AC 的 WLAN 組網(wǎng)架構(gòu)下，華為公司產(chǎn)品支持本地轉(zhuǎn)發(fā)和集中轉(zhuǎn)發(fā)兩種轉(zhuǎn)發(fā)模式，如下圖所示：圖2-2 WLAN 集中轉(zhuǎn)發(fā)和本地轉(zhuǎn)發(fā)集中轉(zhuǎn)發(fā)下，STA 的數(shù)據(jù)報(bào)文是封裝在 CAPWAP 隧道中，穿越基礎(chǔ)接入承載網(wǎng)絡(luò)，在AC 處出隧道實(shí)現(xiàn)原始報(bào)文的轉(zhuǎn)發(fā)處理。而本地轉(zhuǎn)發(fā)下，STA 的數(shù)據(jù)報(bào)文從 AP 接入后直接進(jìn)入基礎(chǔ)承載網(wǎng)絡(luò)實(shí)現(xiàn)轉(zhuǎn)發(fā)處理?？梢?，本地轉(zhuǎn)發(fā)下，要求 STA 的通信方式與基礎(chǔ)承載網(wǎng)絡(luò)

16、采用相同的 IP 方式，也就是說，本地轉(zhuǎn)發(fā)下僅適用于 IPv6 over IPv6 及 IPv4 over IPv4 這兩種組網(wǎng)方式。對于IPv6 over IPv4 和IPv4 over IPv6 這兩種組網(wǎng)方式，僅能采用集中轉(zhuǎn)發(fā)的轉(zhuǎn)發(fā)模式。在 AP 及 AC 支持雙棧的組網(wǎng)方式下，既支持集中轉(zhuǎn)發(fā)也支持本地轉(zhuǎn)發(fā)。L2 網(wǎng)橋與 L3 網(wǎng)橋集中轉(zhuǎn)發(fā)模式，又稱為隧道轉(zhuǎn)發(fā)，本質(zhì)是一種 Overlay 的組網(wǎng)方式，WLAN 系統(tǒng)將無線用戶的數(shù)據(jù)報(bào)文通過 AC-AP 間的 CAPWAP 隧道，穿越接入基礎(chǔ)承載網(wǎng)絡(luò)，實(shí)現(xiàn)報(bào)文的轉(zhuǎn)發(fā)。對于純 IPv6 網(wǎng)絡(luò)場景(IPv6 over IPv6)和雙棧場景，是可

17、以采用本地轉(zhuǎn)發(fā)模式的 WLAN IPv6 組網(wǎng)場景，其他都只能采用隧道轉(zhuǎn)發(fā)模式。在隧道轉(zhuǎn)發(fā)模式下，AC 扮演不同的角色，支持 IPv6 組網(wǎng)會對 AC 產(chǎn)生不同的功能訴求。簡單說，以IPv6 over IPv4 為例，集中轉(zhuǎn)發(fā)下 AP-AC 間存在一個 CAPWAP 隧道，STA 數(shù)據(jù)通過隧道穿越“接入承載網(wǎng)絡(luò)”，此時(shí) AP/AC 作為隧道的端點(diǎn)，對隧道內(nèi)的 STA 數(shù)據(jù)流是可見的，而中間的“接入承載網(wǎng)絡(luò)”對 STA 數(shù)據(jù)流完全不可見。對于 STA 通信， AP 是固定扮演 L2 交換機(jī)的角色，而 AC 則在不同的組網(wǎng)場景下，可選擇性的扮演 L2 交換機(jī)或者IPv6 L3 網(wǎng)關(guān)/路由器的角色。

18、此時(shí) WLAN AC 可以作為無線用戶的 L3 網(wǎng)關(guān)，也可以是一個 L2 網(wǎng)橋，如下圖所示： 圖2-3 AC 做 L3 網(wǎng)關(guān)和 AC 做 L2 網(wǎng)橋 說明上圖以IPv6 over IPv4 為例闡述，IPv4 over IPv6、IPv6 over IPv6 的場景類似（圖略）。對于 STA，AC 做 L2 交換機(jī)（上圖左）當(dāng) AC 做 L2 網(wǎng)橋情況下，AC 對于隧道中的 STA 報(bào)文，僅僅做 L2 轉(zhuǎn)發(fā)處理，無需支持 IPv6 的 L3 路由功能，無需支持 IPv6 動態(tài)路由、DHCPv6 等IPv6 相關(guān)協(xié)議功能，此時(shí)，AC 基本上只要支持純粹的單IPv4 協(xié)議棧的 L2 交換機(jī)功能即可

19、。 說明當(dāng)AC 上如果需要支持STA 的Portal 認(rèn)證、DHCP SNP、IP Source Guard 等三層特性時(shí)， 即使AC 僅作L2 交換機(jī)，仍舊需要 IPv4/IPv6 部分雙棧能力。對于 STA，AC 做 L3 網(wǎng)關(guān)（路由器/L3 交換機(jī)）（上圖右）當(dāng) AC 做 L3 網(wǎng)關(guān)情況下，AC 成為 IPv6 網(wǎng)絡(luò)和 IPv4 網(wǎng)絡(luò)的邊界，即 AC 與上行的IPv6 網(wǎng)絡(luò)直接接口，而相對于 AC 做 L2 網(wǎng)橋的場景時(shí)，AC 是通過上行一個單獨(dú)的IPv6 路由器接入 IPv6 網(wǎng)絡(luò)的，故此時(shí) AC 需要支持 IPv6 的相關(guān)協(xié)議功能，AC 必須是一個 IPv4/IPv6 的雙棧設(shè)備。對

20、于 IPv6 over IPv4、IPv4 over IPv6、IPv6 over IPv6 集中轉(zhuǎn)發(fā)三種場景，AC 都存在做 L2 網(wǎng)橋和 L3 網(wǎng)關(guān)的場景差異，具有類似的功能訴求。對于 IPv6 over IPv6 本地轉(zhuǎn)發(fā)場景，此時(shí) AC 完全是 IPv6 網(wǎng)絡(luò)中的節(jié)點(diǎn)，IPv6 動態(tài)路由需求是明確需要支持的。華為公司的 WLAN 產(chǎn)品，全面支持 IPv4/IPv6 雙棧，WLAN AC 產(chǎn)品支持 IPv6 動態(tài)路由協(xié)議，包括 OSPFv6、RIPv6、ISISv6、BGPv6，靈活滿足客戶靈活的組網(wǎng)需求。IPv4/IPv6 混合接入對于同時(shí)存在 IPv4 和 IPv6 終端的場景，可以

21、通過如下兩種接入部署方案。圖2-4 IPv4/IPv6 無線混合接入場景部署不同的 SSID，分別為 IPv4 和 IPv6 的終端，提供 WLAN 無線接入服務(wù)。部署一個 SSID，同時(shí)接入 IPv4 和 IPv6 終端，每個終端僅使用單一 IP 地址（IPv4 或者 IPv6）進(jìn)行通信。IPv6 管理和控制WLAN AP/AC 作為支持IPv4/IPv6 雙棧產(chǎn)品，網(wǎng)管和控制方面支持如下特性功能：WLAN AC 的 IPv6 網(wǎng)管功能WLAN AP 的 IPv6 地址配置WLAN IPv6 AC 發(fā)現(xiàn)方式WLAN IPv6 AP-AC 間隧道建立WLAN AP 版本加載WLAN 的網(wǎng)管需求

22、圖2-5 WLAN IPv6 網(wǎng)絡(luò)管理作為 IPv4/IPv6 雙棧 WLAN 產(chǎn)品，支持網(wǎng)管為 IPv6 的網(wǎng)管平臺的直接管理。在 WLAN的架構(gòu)下，整個 WLAN 系統(tǒng)對外僅由 AC 對外暴露網(wǎng)管接口，網(wǎng)管統(tǒng)一對 AC 進(jìn)行網(wǎng)管控制，再由 AC 通過 CAPWAP 控制通道，實(shí)現(xiàn)對所有 AP 的集中管控。即 AP 沒有獨(dú)立的網(wǎng)管通路，僅 AC 具有網(wǎng)管通路。WLAN 中設(shè)備管理的 IPv6 支持的特性需求，本質(zhì)上沒有任何 WLAN 的特殊性，與其他數(shù)通設(shè)備（交換機(jī)/路由器）一樣，具備如下IPv6 功能特性。支持 IPv6 的TCP/UDP 通信；SNMP 支持 IPv6；Telnet、SS

23、H 支持 IPv6；IPv6 Web 網(wǎng)管雖然現(xiàn)網(wǎng)大多仍舊是IPv4 網(wǎng)管，但華為公司產(chǎn)品仍舊支持 IPv6 的網(wǎng)管對 WLAN 系統(tǒng)進(jìn)行管控，并支持 IPv6 終端直接通過 WLAN AC 的業(yè)務(wù)端口，通過IPv6 Web 網(wǎng)管特性和Telnetv6 登錄，實(shí)施網(wǎng)絡(luò)管理。AP 的 IPv6 地址配置方式SLAAC 方式AP 具有 SLAAC（Stateless address autoconfiguration，無狀態(tài)地址自動配置）自動地址功能。IPv6 特有的自動配置方式，即主機(jī)（AP）根據(jù)收到的 RA（路由通告），使用其中的網(wǎng)段地址+主機(jī)生成的后綴，自動生成一個全局 IPv6 地址。St

24、atic 方式通過靜態(tài)配置的方式進(jìn)行地址配置，具體方式可以是通過串口連接 AP 的方式進(jìn)行直接配置，或者通過先通過其他方式 AP-AC 建立連接后，在 AC 上強(qiáng)制配置靜態(tài) AP IPv6， 重啟 AP 后生效。AC 的 IPv6 地址配置方式AC 的 IP 地址采用靜態(tài)的方式進(jìn)行配置。IPv6 AC 發(fā)現(xiàn)方式DHCPv6 option 52通過 Option52 獲取 AC IPv6 list(RFC5417）注：IPv4 中是 Option138（但實(shí)際中Option43 更常見）。AP 在通過DHCP 獲取自身IP 地址時(shí)，同時(shí)獲取 DHCP Option52 選項(xiàng)，從而獲得 AC 的I

25、Pv6 地址列表。DNS AAAA(IPv6）（基于 V6 互聯(lián)）相對于傳統(tǒng)的IPv4 組網(wǎng)下的DNS 獲取 AC 地址方式的區(qū)別在于，DNS 服務(wù)器是 V6 的。此時(shí)通過 DHCP Option 選項(xiàng)攜帶 AC 域名和 DNSv6 Server，AP 根據(jù)域名獲取 AC 的IPv6 地址。即網(wǎng)絡(luò)中部署 DNSv6 Server，AP 通過 DHCP 方式獲取自身地址后，同時(shí)通過 DHCP Option 得到 AC 對應(yīng)的域名，通過 DNSv6 查詢該域名 AC 對應(yīng)的 IPv6 地址。AP-AC 間隧道建立IPv6 隧道建立：AP-AC 是 IPv6 組網(wǎng)，即建立 IPv6 的 CAPWAP

26、 隧道。DS AP 的優(yōu)選 V4 隧道：對于雙棧的 AP，當(dāng)?shù)刂贩峙浜?AC 發(fā)現(xiàn)有 V4 和 V6 兩種選擇時(shí)，優(yōu)選 IPv4 CAPWAP 隧道建立，失敗后再選擇進(jìn)行 IPv6 的建立方法。Fit AP 自動建立隧道的過程如下：Fit AP 正 常 上 電 運(yùn) 行 ， 通 過 DHCP/STATIC/SLAAC （ Stateless address autoconfiguration，無狀態(tài)地址自動配置）等方式獲取 IP 地址。沒有靜態(tài)配置 AC 地址情況下，AP 通過動態(tài)的方式發(fā)現(xiàn) AC。如果同時(shí)可以存在 IPv4 和 IPv6 連接可能，優(yōu)先嘗試使用 IPv4 建立與 AC 的連接。

27、如果 IPv4 方式與 AC 連接失敗，AP 切換使用 IPv6，嘗試與 AC 建立連接。與 AC 連接建立成功，從 AC 獲取配置，提供無線服務(wù)；建立失敗，重新優(yōu)先 IPv4方式發(fā)起連接建立過程。 說明上述流程同時(shí)適用于 AP-AC 間L2 和L3 組網(wǎng)場景。上文描述了在 IPv6/IPv4 雙棧網(wǎng)絡(luò)中的 AP 與 AC 之間詳細(xì)的 CAPWAP 隧道建立流程， 下面詳細(xì)介紹在 IPv6 環(huán)境中，AP 與 AC 之間建立 CAPWAP 隧道的過程：在以下的條件下，AP 會切換到IPv6 模式：Fit AP 無法從 DHCP server 獲取到IPv4 網(wǎng)絡(luò)地址。Fit AP 在IPv4 網(wǎng)

28、絡(luò)沒有無線控制器響應(yīng) Fit AP 的發(fā)現(xiàn)請求。Fit AP 在IPv4 網(wǎng)絡(luò)中和所有的無線控制器建立連接失敗。當(dāng) AP 切換為IPv6 模式后，采用如下步驟與 AC 建立 CAPWAP 隧道：預(yù)先在無線控制器上配置 AP 的配置信息，在 DHCP server 上配置域名（放在OPTION15 中下發(fā)），在 DNS server 上配置該無線控制器的域名對應(yīng)的 IP 地址。AP 啟動以后會通過DHCP 獲取獲取IP 地址、DNS server、域名。AP 從 DNS server 獲取該 AC 域名對應(yīng)的IP 地址，AP 向該 IP 地址發(fā)送發(fā)現(xiàn)請求。接收到發(fā)現(xiàn)請求報(bào)文的無線控制器會檢查該

29、AP 是否有接入本機(jī)的權(quán)限，如果有則回應(yīng)發(fā)現(xiàn)響應(yīng)。無線控制器和 AP 間建立 CAPWAP 隧道。 說明AP 有多種獲取 AC 地址的方式，上面僅給出了DHCP+DNS 解析的方式，其它方式參見章節(jié)“IPv6 AC 發(fā)現(xiàn)方式”。AP 版本加載AP 版本加載，有 CAPWAP 和 FTP 加載方式。CAPWAP 加載方式：AP 通過 CAPWAP 控制信令和控制通道，從 AC 獲取自身版本，整個流程與 IPv6 無關(guān)，無論IPv4 網(wǎng)絡(luò)還是IPv6 網(wǎng)絡(luò)下，均可支持。FTP 加載方式：AP 支持 FTPv6 Client，管理員可以將 AP 的版本集中的存放在FTPv6 Server 中（FTP

30、v6 Sever 可以是 WLAN AC 設(shè)備，也可以是一個獨(dú)立的 FTPv6 服務(wù)器），AP 通過內(nèi)置的FTPv6 Client 功能從 FTPv6 Server 獲取版本。多 SSID 的 IPv6 支持WLAN AP 支持最大配置 16 個 VAP，每個 VAP 可以采用不同的 SSID，提供多種不同的WLAN 接入服務(wù)?？蛻艨赡苄枰渴鸲鄠€ SSID，分別為 IPv4 和 IPv6 的終端提供無線接入服務(wù)，也可能部署一個 SSID 同時(shí)為IPv4 終端、IPv6 終端及雙棧終端提供無線接入服務(wù)。支持 IPv6/IPv4 SSID 混合配置 說明此部署針對STA 為單棧終端場景，對于雙棧

31、 STA 終端，同樣支持。QoS 與組播QoS 映射與調(diào)度圖2-6 WLAN QoS 映射上圖中：用戶 DSCP 到隧道DSCP 的映射就是根據(jù) STA 的 DSCP 字段，決定 CAPWAP 隧道報(bào)文的 DSCP 字段，對應(yīng)上圖中的綠色映射關(guān)系指定隧道優(yōu)先級（DSCP 或 802.1p）就是指定隧道報(bào)文的 QoS 優(yōu)先級值，僅高 bit 位部分，未指定的低 bit 位設(shè)為 0。圖示見上。流分類，并指定優(yōu)先級及 QoS（DSCP 或 802.1p）WMM QoS實(shí)現(xiàn) STA 報(bào)文的IPv6 TC 字段與空口 WMM 字段的映射當(dāng) AP 采用集中轉(zhuǎn)發(fā)時(shí)，會在 AP-AC 通信報(bào)文上增加一個 CA

32、PWAP 隧道，此時(shí)報(bào)文將包含兩個MAC 頭（圖中虛線部分）。上行方向：AP 收到 STA 空口報(bào)文后，管理員可以采用 IP 頭或 802.11e 的優(yōu)先級作為報(bào)文的優(yōu)先級，并進(jìn)一步映射到隧道外的報(bào)文優(yōu)先級標(biāo)簽中（圖中下半部分的綠色箭頭）；管理員也可以直接指定隧道外的報(bào)文優(yōu)先級標(biāo)簽；隧道內(nèi)的轉(zhuǎn)換后的以太報(bào)文 802.1p 標(biāo)簽則直接從 802.11e 進(jìn)行映射。在 AC 處，出隧道時(shí)，直接剝離 CAPWAP 頭即可。下行方向：AC 收到網(wǎng)絡(luò)側(cè)報(bào)文后，管理員可以采用 IP 頭或 802.1p 的優(yōu)先級作為報(bào)文的優(yōu)先級，并進(jìn)一步映射到隧道外的報(bào)文優(yōu)先級標(biāo)簽中（圖中上半部分的綠色箭頭）；管理員也可以

33、直接指定隧道外的報(bào)文優(yōu)先級標(biāo)簽；在 AP 處，空口發(fā)送時(shí)，802.11e 優(yōu)先級直接根據(jù)隧道內(nèi)原始報(bào)文的優(yōu)先級標(biāo)簽進(jìn)行映射。這個 QoS 優(yōu)先級映射流程是 IPv4 下支持的 QoS 映射機(jī)理，引入 IPv6 后，并沒有引入特殊的功能要求，僅僅是 IPv4 和 IPv6 中DSCP 取值字段不同而已：IPv4：“圖中 DSCP 值”=IPv4 頭 TOS 字段的高 3bit。IPv6：“圖中 DSCP 值”=IPv6 頭 TC 字段的高 3bit（TC: Traffic Class）注：映射過程中，未覆蓋的低 bit 位全部設(shè)置成 0。組播功能需求圖2-7 WLAN IPv6 組播對于組播，首

34、先支持上述典型場景場景（AP-AC 集中轉(zhuǎn)發(fā)，AC 做 L2 交換機(jī)，但支持 IPv6 MLD snooping 功能），此時(shí)對于 STA，AC 不扮演IPv6 Router 的功能，此場景下 AC 無需支持 IPv6 PIM 特性功能，但要支持 MLD SNP 功能和組播二三層混跑功能。對于 AC 做 L3 網(wǎng)關(guān)的場景，同樣支持IPv6 MLD Proxy 方式的組播部署（圖略）。 說明上圖僅繪制了集中轉(zhuǎn)發(fā)場景，本地轉(zhuǎn)發(fā)場景下，機(jī)理類似一致。WLAN 系統(tǒng)支持如下功能：IPv6 MLD Snooping即 MLD Snooping 功能，AP 和 AC 都支持，AP/AC 監(jiān)測上行過路的 M

35、LD 加入請求，登記下行端口的組播加入情況，建立組播轉(zhuǎn)發(fā)表，當(dāng)從上行端口收到某組播組報(bào)文后，查詢組播轉(zhuǎn)發(fā)表，向加入了該組播組的其他端口進(jìn)行復(fù)制轉(zhuǎn)發(fā)。 說明集中轉(zhuǎn)發(fā)、本地轉(zhuǎn)發(fā)下都支持。IPv6 MLD Snooping ProxyAC 不做 STA 的網(wǎng)關(guān)，AC 上啟用MLD snooping Proxy，由 AC 統(tǒng)一代理 STA 向上游監(jiān)聽者（路由器）發(fā)組播加入，同時(shí)向上行路由器應(yīng)答組播報(bào)告。 說明該特性僅AC 上支持，AP 上不支持，故即可在部署集中轉(zhuǎn)發(fā)模式時(shí)適用。IPv6 組播 VLAN圖2-8 WLAN IPv6 組播 VLAN不同 VAP 使用不同的 Service VLAN（簡稱

36、Srv VLAN），但同時(shí)對應(yīng)一個上行的組播 VLAN，該特性與 IPv4 下的組播 VLAN 一致，此特性對應(yīng)的 AR（分配需求）就是“WLAN DBSS 虛接口支持組播 VLAN”。 說明該特性僅要求集中轉(zhuǎn)發(fā)時(shí)支持，即要求AC 上支持，AP 無需支持。IPv6 的組播轉(zhuǎn)單播AP 將網(wǎng)絡(luò)下發(fā)的組播報(bào)文，在空口以單播的形式發(fā)給 STA。該功能在 IPv4 中已經(jīng)支持，是解決組播無法重傳、組播速率太低的手段。IPv6 中對于業(yè)務(wù)組播繼承此特性，但對于 RA（路由通告）組播要做特殊處理，具體參見需求“RA 的組播轉(zhuǎn)單播”。 說明集中轉(zhuǎn)發(fā)、本地轉(zhuǎn)發(fā)都要求支持。RA（路由通告）的組播轉(zhuǎn)單播當(dāng)一個 AP

37、 配置了多個 VAP，且不同 VAP 對應(yīng)不同IPv6 網(wǎng)段時(shí)，為了支持 IPv6 的跨 VLAN 漫游，需要配置使能 RA（路由通告）的組播轉(zhuǎn)單播功能。否則 RA 組播給STA，將導(dǎo)致漫游 STA 收到漫游地多個網(wǎng)段的 RA，根據(jù) SLAAC（Stateless address autoconfiguration，無狀態(tài)地址自動配置）機(jī)制將產(chǎn)生多個 IPv6 地址。IPv6 中 RA（路由通告）是周期性的向所有 STA“廣播”，如果全部轉(zhuǎn)為單播將消耗大量的空口資源。此時(shí)，如果不存在多 VAP 多 IPv6 網(wǎng)段的配置需求，比如是單 VAP 部署的話，在接入的 IPv6 終端少（比如5）的情況

38、下，建議考慮取消 RA 的組播轉(zhuǎn)單播特性，降低空口資源占用。安全與認(rèn)證網(wǎng)絡(luò)安全L3 的網(wǎng)絡(luò)安全隔離通過 ACL 實(shí)現(xiàn)，在 WLAN 系統(tǒng)中，根據(jù)轉(zhuǎn)發(fā)模式的不同，ACL 的實(shí)現(xiàn)點(diǎn)不同：集中轉(zhuǎn)發(fā)時(shí)，freerule/ACL 由 WLAN AC 實(shí)現(xiàn)；本地轉(zhuǎn)發(fā)時(shí)，數(shù)據(jù)流量直接在 WLAN AP 上實(shí)現(xiàn)轉(zhuǎn)發(fā)，WLAN AC 不一定處于數(shù)據(jù)轉(zhuǎn)發(fā)路徑中，故此時(shí) freerule/ACL 由 WLAN AP 實(shí)現(xiàn)。華為公司全系列 WLAN 產(chǎn)品均支持 IPv4 的 ACL，也支持 IPv6 的 ACL。終端防護(hù)圖2-9 WLAN IPv6 組播 說明紅色代表用戶設(shè)備特性，藍(lán)色代表設(shè)備功能，用于支撐紅色特性的

39、實(shí)現(xiàn)。上述這些特性要求集中轉(zhuǎn)發(fā)和本地轉(zhuǎn)發(fā)下都支持。圖中特性功能的描述如下：IPv6 SG即 IPv6 SourceGuard，類似于 IPv4 SourceGuard 功能，核心目的是為了防止終端IP 地址仿冒。IPv6 SG 基于DHCPv6 SNP 或靜態(tài)綁定方式獲取 STA 的 IP 配置，建AAA立 STA IP 和MAC 的綁定關(guān)系。該特性基于設(shè)備的 ND SNP/Cache 和 DHCP SNP 功能實(shí)現(xiàn)，邏輯同 IPv4 SG（流圖略）。機(jī)理就是根據(jù) STA 的 IPv6 地址和MAC 地址的綁定關(guān)系，對收到的報(bào)文進(jìn)行綁定關(guān)鍵校驗(yàn)，丟棄不符合綁定關(guān)系的報(bào)文，同時(shí)啟用ND SNP

40、功能，對 ND 報(bào)文進(jìn)行檢查，丟棄不符合綁定關(guān)系的非法 ND 報(bào)文。DHCPv6 Srv Guard同 IPv4 中的 DHCPv4 Srv Guard，目的是禁止 STA 私建 DHCP 服務(wù)器，實(shí)現(xiàn)原理就是丟棄 STA 發(fā)的DHCP 服務(wù)器應(yīng)答報(bào)文。當(dāng)前版本集中轉(zhuǎn)發(fā)和本地轉(zhuǎn)發(fā)都支持，故該DHCPv6 Srv Guard 統(tǒng)一在 AP 上實(shí)現(xiàn)。對于 AC 上的有線端口，也支持該特性。Dynamic ND 防護(hù)禁止其他終端仿冒該 STA 的IPv6 地址進(jìn)行 ND 應(yīng)答，同 IPv4 的 DAI。對于 WLAN 接入的無線 STA，在 AP 上實(shí)現(xiàn)；對于非 WLAN 接入的（如從 AC 有線口

41、接入的終端），在 AC 上實(shí)現(xiàn)。基于用戶/角色的IPv6 ACL：就是 Radius 指定用戶 ACL該特性對應(yīng)于思科的 AAA Override，就是 Radius 下發(fā)用戶 ACL 或角色（用戶組），將其應(yīng)用到認(rèn)證用戶上。該特性功能在IPv4 中已經(jīng)實(shí)現(xiàn)。對于IPv6 而言，對于系統(tǒng)的新功能要求是：新增 Radius 屬性，承載 IPv6 ACL 項(xiàng)，用于 Radius 通知下發(fā)該用戶 IPv6 ACL修改設(shè)備上用戶組配置，增加對 IPv6 ACL 指定，支持同時(shí)綁定 IPv4 和IPv6ACL對于無線終端的用戶認(rèn)證，分 802.1X 認(rèn)證和Portal 認(rèn)證兩種方式。802.1X 認(rèn)證8

42、02.1X 認(rèn)證的基本框架是：終端認(rèn)證者認(rèn)證服務(wù)器，其中終端認(rèn)證者之間是純L2 技術(shù)，與 IPv4 或者 IPv6 無關(guān)；認(rèn)證者認(rèn)證服務(wù)器之間通常采用 Radius 認(rèn)證方式， 如果要支持 IPv6，就要支持與 IPv6 的 Radius 服務(wù)器互通。圖2-10 WLAN IPv6 AAA 組網(wǎng)WLAN AC 支持 IPv4/IPv6 雙棧，既可以接 IPv4 的 Radius 服務(wù)器，也可以接 IPv6 的Radius 服務(wù)器。802.1X 認(rèn)證的基礎(chǔ)框架中有三個角色：終端 Client、認(rèn)證者 Authenticator、認(rèn)證服務(wù)器，其中認(rèn)證者含 Radius Client 功能。而在 W

43、LAN 系統(tǒng)中，有 AP 和 AC 兩個網(wǎng)元設(shè)備，當(dāng)前 WLAN 系統(tǒng)無論部署集中轉(zhuǎn)發(fā)還是本地轉(zhuǎn)發(fā)，系統(tǒng)都采用集中認(rèn)證的方式，此時(shí)固定由 WLAN AC 扮演“認(rèn)證者”的角色，即實(shí)現(xiàn) Radius Client 功能。圖示如下：圖2-11 802.1X 認(rèn)證的 WLAN 組網(wǎng)場景Radius 認(rèn)證時(shí)，可能會從 Radius 服務(wù)器獲取 IPv6 相關(guān)的擴(kuò)展選項(xiàng)，比如 ACL、STA的 IP 地址等，以支持 IPv6 終端的接入認(rèn)證、授權(quán)和計(jì)費(fèi)功能。Portal 認(rèn)證Portal 認(rèn)證的組網(wǎng)框架如下：圖2-12 WLAN 系統(tǒng) Portal 認(rèn)證流圖Portal 認(rèn)證流程大致分為三段處理：STA

44、 訪問Portal 服務(wù)器，輸入賬號/密碼觸發(fā)認(rèn)證Portal 服務(wù)器與 WLAN AC 建立連接，交互用戶賬號/密碼信息WLAN AC 與 Radius 服務(wù)器建立連接，通過 radius 完成用戶認(rèn)證過程對于 IPv6 的 STA，STA 可以直接訪問 IPv6 的 Portal 服務(wù)器，而 Portal 服務(wù)器需要支持 IPv4/IPv6 雙棧能力，通過 IPv4 地址與 WLAN AC 通信，完成后續(xù)用戶認(rèn)證功能。采用 Portal 認(rèn)證時(shí)，通常無線鏈路都是開放的（對應(yīng)于鏈路層 Open 方式），也就是無線用戶無需鏈路認(rèn)證，即可建立空口連接，但此時(shí)無線用戶尚不能真正訪問網(wǎng)絡(luò)資源， 華為

45、公司提供了 freerule 手段，在用戶通過 Portal 認(rèn)證前，可以訪問開放服務(wù)區(qū)資源， 如 DNS 服務(wù)器、安全補(bǔ)丁服務(wù)器、Portal 認(rèn)證服務(wù)器等。Freerule，就是通過 ACL 實(shí)現(xiàn)，同時(shí)支持 IPv4 ACL 和IPv6 ACL。集中轉(zhuǎn)發(fā)時(shí)，freerule/ACL 由 WLAN AC 實(shí)現(xiàn)； 本地轉(zhuǎn)發(fā)時(shí)，數(shù)據(jù)流量直接在 WLAN AP 上實(shí)現(xiàn)轉(zhuǎn)發(fā)，WLAN AC 不一定處于數(shù)據(jù)轉(zhuǎn)發(fā)路徑中，故此時(shí) freerule/ACL 由 WLAN AP 實(shí)現(xiàn)。其他功能特性WLAN 漫游場景對于 IPv6 的組網(wǎng)場景而言(IPv4 over IPv6，IPv6 over IPv4，IP

46、v6 over IPv6、雙棧)， IPv4 over IPv6 組網(wǎng)時(shí)僅僅網(wǎng)絡(luò)是IPv6 的，IPv4 STA 的漫游對 IPv6 的網(wǎng)絡(luò)沒有影響， 故其完整的支持了 IPv4 over IPv4 組網(wǎng)下的漫游特性。對于 IPv6 STA 的漫游支持能力，系統(tǒng)要支持相同 VLAN 內(nèi)漫游、跨 VLAN 漫游。相同 VLAN 內(nèi)漫游對 WLAN 系統(tǒng)無特殊的功能要求，與 IPv4 下的漫游一致。IPv6 下的跨 VLAN 漫游如果 IPv6 終端采用靜態(tài)IPv6 地址配置或 DHCPv6 地址配置，終端漫游后，漫游目的地 AP，會將該終端用戶的報(bào)文封裝在漫游前的 VLAN 中在網(wǎng)絡(luò)中轉(zhuǎn)發(fā)，從而

47、保證無線用戶IP 地址不變，平滑漫游，業(yè)務(wù)不中斷的目的?？?AC 漫游跨 AC 漫游，基本上同 IPv4 下的跨 AC 漫游，對于 IPv6 靜態(tài)地址配置和 DHCP 地址配置方式，沒有特殊要求。而對于 SLAAC（Stateless address autoconfiguration，無狀態(tài)地址自動配置）地址配置方式下的 IPv6 終端漫游具有與 IPv6 跨 VLAN 漫游相同的問題，同樣需要組播 RA（路由通告）轉(zhuǎn)單播的特殊處理方式實(shí)現(xiàn)漫游支持。DHCPv6 相關(guān)IPv6 組網(wǎng)時(shí)，網(wǎng)絡(luò)可以部署獨(dú)立 DHCPv6 服務(wù)器，也可也在 WLAN AC 上內(nèi)置 DHCPv6服務(wù)器，減少客戶網(wǎng)絡(luò)建

48、設(shè)投資，實(shí)現(xiàn)網(wǎng)絡(luò)快速部署。當(dāng)網(wǎng)絡(luò)部署獨(dú)立的 DHCPv6 服務(wù)器時(shí)，WLAN AC 可以扮演 DHCP Relay 或 DHCP SNOOPING 的角色。WLAN AC 支持 DHCPv6 Relay如果 WLAN AC 對無線用戶僅僅做 L2 交換機(jī)，此時(shí)由上游的路由器部署DHCPv6 Relay，為最終無線 STA 分配 IPv6 地址，參見下圖；圖2-13 WLAN AC DHCP Relay 部署當(dāng) WLAN AC 對無線用戶流量做 L3 網(wǎng)關(guān)時(shí)，可以在 WLAN AC 上使能 DHCPv6 Relay 功能，為最終無線 STA 分配 IPv6 地址。 說明雖然上圖 AP-AC 間存

49、在CAPWAP 隧道，其實(shí)無論采用集中轉(zhuǎn)發(fā)還是本地轉(zhuǎn)發(fā)，WLAN AC 都可以為無線用戶做DHCPv6 Relay 功能。AP/AC 支持 DHCPv6 SNP當(dāng) WLAN AC 做無線用戶的 L2 交換機(jī)時(shí)，可以使能DHCPv6 Snooping 功能，獲取終端分配的 IPv6 地址，并為IPv6 Source Guard 提供支持。圖2-14 WLAN AC DHCP Snooping 部署 說明雖然上圖 AP-AC 間存在CAPWAP 隧道，其實(shí)無論采用集中轉(zhuǎn)發(fā)還是本地轉(zhuǎn)發(fā)，WLAN AC 都可以為無線用戶做DHCPv6 SNP 功能。當(dāng)客戶出于快速建網(wǎng)等目錄，可能沒有部署獨(dú)立的 DHC

50、Pv6 服務(wù)器，此時(shí)可以啟用WLAN AC 內(nèi)置的 DHCPv6 服務(wù)器功能，同時(shí)為 STA 和 AP 分配IPv6 地址。特別要新增支持 DHCPv6 option 52，為 AP 指定 AC 的IP 地址。頻譜分析和無線定位圖2-15 頻譜分析/無線定位的 IPv6 支持頻譜分析和無線定位，與終端是 IPv4 還是 IPv6 無關(guān)，WLAN AP 采集無線信道信息， 集中送 WLAN AC 進(jìn)行預(yù)處理，最終通過 WLAN AC 與服務(wù)器的 IPv6 Socket 連接，送相應(yīng)的服務(wù)器處理。即只要 WLAN AC 支持 IPv6 協(xié)議棧，能與 IPv6 的服務(wù)器建立IPv6Socket 連接即可。 3 典型組網(wǎng)應(yīng)用目前現(xiàn)網(wǎng) IPv4 仍舊占據(jù)統(tǒng)治地位，不過高校/教育網(wǎng)已經(jīng)建立了 IPv6 的骨干網(wǎng)(IPv6 CRENET)，實(shí)現(xiàn)了各個高校之間的 IPv6 互通。這里以高校場景為例，描述 WLAN IPv6 組網(wǎng)。各個高?？梢愿鶕?jù)自身的實(shí)際情況和需要，獨(dú)