虛擬園區網無線接入控制1功能需求分析對于綜合性的園區，接入網絡的用戶包括訪客、合作伙伴、內部員工等，內部員工也分為技術、財務、辦公等不同的部門，這就要求園區網絡能夠在用戶接入時，實時識別用戶的身份，并根據既定的安全策略，為用戶下發對應的訪問權限，保證不同用戶之間安全隔離，以及網絡資源的授權訪問。這樣的網絡稱之為虛擬化園區網絡。虛擬化園區網絡中，用戶的接入方式包括局域網有線接入、廣域網接入、遠程VPN接入、無線接入等。通常的接入方式是局域網交換機有線接入；隨著無線應用成為園區網絡建設的熱點，用戶將會更多通過無線局域網（WLAN）接入到園區網絡中。因此，園區網絡規劃中不僅要考慮如何對無線接入用戶進行身份識別和控制、訪問權限下發，并且需要將有線接入認證與無線接入認證融合，采用統一的安全策略，使得用戶通過有線、無線方式接入，都具有一致的身份識別和訪問權限控制。有線接入控制：不同的用戶接入交換機，獲

得的訪問權限不問無線接入控制：不同的用戶接入無線網絡，獲得的訪問權限不同一體化接入控制：相同用戶通過有線.無線接

人，獲得的訪問權限相同2有線方式實現對于有線方式，用戶通過接入交換機接入網絡。此時認證的控制點在接入交換機上。PE:VIAK對應VPNVLAMl1VPMlVLAN23VpM2VLAM33VPM3VLAN44VPM4認證服務器用戶名二題碼下發VrLAlI用戶名1?密碼VLANll用戶名2空碼VLAN22用戶名3空碼VLAN33用戶名4:空碼VLAN44具體的實現過程是，用戶在接入網絡時，需要經過802.1x認證。用戶與接入交換機連接后，在通過認證之前，交換機的受控端口屬于非授權狀態，端口被關閉，此時用戶不能訪問網絡資源。用戶通過身份認證后，端口進入授權狀態，并通過認證服務器下發受控端口的所屬VLAN和安全策略，用戶只能訪問所屬VLAN和安全策略下的網絡資源。對于園區核心采用MPLSVPN構建的網絡，接入交換機（作為CE）的VLAN與匯聚（作為PE）交換機的VPN進行關聯綁定，實現全網端到端的邏輯隔離和虛擬化。3無線方式實現對于無線方式，用戶通過無線AP接入無線網絡，因為FitAP模式下，AP只是將用戶的802.11MAC報文進行CAPWAP隧道封裝，透傳給無線控制器AC，因此無線用戶訪問網絡資源的流量是通過AC進行轉發和控制的。此時可以在無線控制器AC上為每個用戶分配不同的VLAN和ACL安全策略。具體的實現過程是，用戶通過認證之前，不能接入AP；通過身份認證后，無線控制器根據認證服務器下發的所屬VLAN和安全策略，將用戶劃分到對應的VLAN，用戶只能訪問所屬VLAN中的無線和有線網絡資源。對于園區核心采用MPLSVPN構建的網絡，無線控制器AC（作為CE）的VLAN與匯聚或核心（作為PE）交換機的VPN進行關聯綁定，實現無線網絡與有線網絡的端到端邏輯隔離和虛擬化。對于FATAP模式，不能實現這種動態VLAN和訪問權限下發的功能。PE:VLAIHtfVPNVrLAHL1VPMlVLAM2□VPM2VLAM盟VPMSVLΛH44VPM4認I正月岳哥器:船小??用戶名二密嗎下發VrlAM用戶名1：密碼VLAN11用戶名之盤嗎VLAN22用戶名3:身瑪VLAN3G用戶名4:密碼VLAΓM^網絡管理員在認證服務器（CAMS）上為對應的用戶指定下發的VLAN以及ACL,接入用戶通過認證后，