第11章組建無線局域網(wǎng)編著：

秦?zé)鰟诖浣?/p>

無線局域網(wǎng)（WLAN）是指以無線信道作為傳輸媒介的局域網(wǎng)絡(luò)。無線局域網(wǎng)WLAN的傳輸介質(zhì)包括紅外線、無線電波等，紅外技術(shù)已逐漸被藍(lán)牙技術(shù)（IEEE802.15）取代。藍(lán)牙工作在2.4GHz頻段，傳輸速率最高1Mb/s，傳輸距離最大10米，用于個人操作空間，藍(lán)牙技術(shù)與IEEE802.11協(xié)議互相補(bǔ)充。無線局域網(wǎng)基于IEEE802.11協(xié)議簇工作。IEEE802.11協(xié)議簇包括802.11a、802.11b、802.11g、802.11n（Wi-Fi4）、802.11ac（Wi-Fi5）和802.11ax（Wi-Fi6）等多個標(biāo)準(zhǔn)。其中，2019年推出的802.11ax工作頻率為2.4GHz或5GHz，寬帶速率可達(dá)600~9608Mb/s。11.1無線局域網(wǎng)基礎(chǔ)

常見的WLAN組網(wǎng)設(shè)備如下：

1.無線工作站（STA），指連接到無線網(wǎng)絡(luò)的計算機(jī)或智能終端。如PC、平板電腦、智能手機(jī)、無線打印機(jī)等。

2.無線接入點（AP），指為無線工作站連接到無線網(wǎng)絡(luò)提供接入服務(wù)的無線網(wǎng)絡(luò)設(shè)備。分為胖AP（FATAP）和瘦AP（FITAP）。胖AP適用于規(guī)模較小的環(huán)境，每臺胖AP需要單獨配置，胖AP除了具有基本的射頻信號接入功能外，還具有IP地址分配、安全管理等網(wǎng)絡(luò)管理功能；瘦AP適用于規(guī)模較大的環(huán)境，僅對外提供射頻信號接入功能，各瘦AP無法單獨配置，而是集中由一臺專門的設(shè)備統(tǒng)一配置，減輕大規(guī)模環(huán)境下管理員的工作負(fù)擔(dān)，提高工作效率。11.1.1常見的WLAN組網(wǎng)設(shè)備3.無線接入控制器（AccessController，AC），指用于集中控制管理瘦AP的網(wǎng)絡(luò)設(shè)備。采用瘦AP組網(wǎng)時，由AC承擔(dān)對AP的管理任務(wù)、向瘦AP下發(fā)配置，提供IP地址分配、DHCP服務(wù)等網(wǎng)絡(luò)管理功能。網(wǎng)絡(luò)管理員一般只需關(guān)注AC，無需逐一對AP進(jìn)行配置，減少了工作量，增強(qiáng)了WLAN的擴(kuò)展性。4.天線，由發(fā)送端天線和接收端天線組成。發(fā)送端發(fā)射的射頻信號通過饋線輸送到發(fā)送端天線，由天線以電磁波的形式輻射出去；接收端天線接收到電磁波后，再通過饋線輸送到接收端。兩個無線設(shè)備相距較遠(yuǎn)時，可借助天線提升射頻信號強(qiáng)度。11.1.2無線局域網(wǎng)安全

如果無線接入點沒有開啟安全設(shè)置功能，那么周邊的移動終端都可以查看到它的SSID（服務(wù)集標(biāo)識符）值，無須密碼直接接入，造成安全隱患，因此為WLAN開啟安全設(shè)置是很重要的。WLAN安全設(shè)置包括禁用SSID廣播、數(shù)據(jù)加密等。

1.SSID代表了一個無線局域網(wǎng)，只有連接到相同SSID值的終端才能直接通信。禁用SSID廣播可以避免無線網(wǎng)絡(luò)的SSID顯示在用戶無線網(wǎng)卡發(fā)現(xiàn)的SSID列表中，減少受到攻擊的概率。另外，由于無線路由器或無線AP都有默認(rèn)SSID值，為避免攻擊者嘗試使用默認(rèn)SSID連接無線網(wǎng)絡(luò)，啟用WLAN時建議修改SSID值。

2.為避免非法用戶入侵和竊聽，需要開啟加密、認(rèn)證等功能。無線網(wǎng)絡(luò)的數(shù)據(jù)加密技術(shù)有WEP（有線等效保密）、WPA、WPA2、WPA3等。WEP是802.11系列標(biāo)準(zhǔn)定義的鏈路層加密協(xié)議，協(xié)議核心是李斯特加密（RivestCipher4，RC4）算法，算法采用靜態(tài)共享密鑰（PSK），稱為靜態(tài)WEP。由于靜態(tài)WEP安全性較低，有些廠商結(jié)合802.1X技術(shù)，推出了動態(tài)WEP標(biāo)準(zhǔn)。

3.為克服靜態(tài)WEP的弱點，Wi-Fi聯(lián)盟也于2003年推出了WPA（Wi-Fi保護(hù)接入）標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)在WEP的基礎(chǔ)上提出了TKIP（臨時密鑰完整性協(xié)議）加密方式。TKIP保留了WEP的基本架構(gòu)，仍使用RC4的流加密機(jī)制，但增加了初始向量的長度、不再采用所有用戶共用密鑰而改用動態(tài)密鑰機(jī)制為每個用戶生成獨立密鑰、采用MIC（信息完整性校驗）機(jī)制通過完整性校驗保護(hù)源地址、為每個幀分配序列號防范重放攻擊等。

4.隨著2004年IEEE推出802.11i標(biāo)準(zhǔn)，Wi-Fi聯(lián)盟也以此為基準(zhǔn)修訂WPA，推出了WPA2。WPA2采用802.11i定義的默認(rèn)加密方式CCMP（計數(shù)器模式密碼塊鏈信息認(rèn)證協(xié)議），CCMP使用AES（高級加密標(biāo)準(zhǔn)）作為加密算法，該算法彌補(bǔ)了RC4的缺陷，安全性更高。但AES對硬件要求較高，無法通過軟件升級舊設(shè)備或舊網(wǎng)卡的方式支持CCMP。

5.為了滿足兼容性，目前WPA和WPA2都支持802.1X和PSK認(rèn)證，也都支持TKIP和CCMP加密算法。WPA和WPA2的不同主要表現(xiàn)在協(xié)議報文格式上的不同。WPA和WPA2分為個人版和企業(yè)版。個人版在AP和STA間采用預(yù)共享密鑰（PSK）的方式進(jìn)行認(rèn)證；企業(yè)版采用專門的認(rèn)證服務(wù)器通過802.1X等方式進(jìn)行認(rèn)證。

6.2018年1月，Wi-Fi聯(lián)盟在WPA2的基礎(chǔ)上發(fā)布了新一代的WPA3，WPA3個人版采用SAE（對等實體同時驗證）協(xié)議取代了WPA/WPA2的PSK認(rèn)證方式，可有效抵御離線字典攻擊和增加暴力破解的難度。WPA3個人版采用向前保密，使攻擊者就算有密碼也無法解密截獲的數(shù)據(jù)。WPA3企業(yè)版沒有從根本上改變原有協(xié)議，主要從數(shù)據(jù)保護(hù)、流量保護(hù)和管理幀保護(hù)等方面進(jìn)行了提升。11.1.3CAPWAP隧道一、AC與AP間隧道的建立在瘦AP+AC的組網(wǎng)模式中，全網(wǎng)的AP由AC統(tǒng)一管理，AC承擔(dān)了AP配置、用戶接入認(rèn)證等管理功能，AC與AP之間采用稱為CAPWAP的通信協(xié)議建立隧道。CAPWAP隧道包括控制通道和數(shù)據(jù)通道兩種，分別使用UDP的5246端口和5247端口。CAPWAP隧道的建立過程如下：1.AP獲取地址。通過配置DHCP服務(wù)（可在AC或核心交換機(jī)等設(shè)備上配置），為AP分配IP地址。2.AP發(fā)現(xiàn)AC。AP可以通過DHCP服務(wù)的Option43字段或通過DNS解析獲取AC的IP地址。獲取到AC的地址后，AP發(fā)送DiscoveryRequest報文嘗試關(guān)聯(lián)AC（三層網(wǎng)絡(luò)通過單播、二層網(wǎng)絡(luò)通過廣播），AC收到請求后返回攜帶有AC優(yōu)先級和當(dāng)前已關(guān)聯(lián)AP數(shù)量等信息的DiscoveryResponse給AP，由AP決定與哪個AC建立連接。3.建立DTLS連接。DTLS（DatagramTransportLevelSecurity，數(shù)據(jù)報安全傳輸協(xié)議）是UDP版本的TLS，用于防數(shù)據(jù)被竊聽、篡改、身份冒充等。AC在DiscoveryResponse中會指示是否采用DTLS加密CAPWAP隧道中的UDP報文。

4.AP加入AC。AP發(fā)送JoinRequest報文請求加入AC并建立控制通道，AC發(fā)送JoinResponse響應(yīng)。

5.AP版本升級。AP根據(jù)JoinResponse攜帶的版本要求判斷自身版本是否符合，若不符合則向AC申請下發(fā)新版本。

6.AP配置下發(fā)。AP版本達(dá)到要求后，向AC發(fā)送ConfigurationStatusRequest（配置狀態(tài)請求）報文，請求報文攜帶了AP現(xiàn)有的配置，若AC發(fā)現(xiàn)AP的配置不符合要求，則發(fā)送ConfigurationStatusResponse報文通知AP同步配置。

7.AP配置確認(rèn)。AP配置完成后，向AC發(fā)送ChangeStateEventRequest（配置確認(rèn)請求）報文，其中包含射頻、錯誤碼、配置信息等。AC回復(fù)ChangeStateEventResponse（配置確認(rèn)響應(yīng)）。

8.AP運行。配置確認(rèn)后，意味著CAPWAP的控制通道已成功建立，AP進(jìn)入運行狀態(tài)，可以開始轉(zhuǎn)發(fā)數(shù)據(jù)了。AP運行后會定期向AC發(fā)送EchoRequest（控制通道保活）報文，AC回應(yīng)EchoResponse（控制通道響應(yīng)）表示控制通道正常；另外，AP還定期向AC發(fā)送Keepalive（數(shù)據(jù)通道保活）報文，AC回應(yīng)Keepalive報文表示數(shù)據(jù)通道正常。

二、CAPWAP數(shù)據(jù)的傳輸

CAPWAP隧道承載的數(shù)據(jù)包括管理報文和業(yè)務(wù)報文。其中，管理報文必須封裝在CAPWAP控制通道中，在AP和AC間傳輸；業(yè)務(wù)報文則可選擇不經(jīng)過CAPWAP封裝直接由AP轉(zhuǎn)發(fā)到上行網(wǎng)絡(luò)（稱為直接轉(zhuǎn)發(fā)或本地轉(zhuǎn)發(fā)），也可選擇先由AP封裝到CAPWAP數(shù)據(jù)通道中傳輸給AC，再由AC進(jìn)一步轉(zhuǎn)發(fā)（稱為隧道轉(zhuǎn)發(fā)或集中轉(zhuǎn)發(fā)）。

1.以管理報文從AC發(fā)往AP為例分析管理報文的傳輸。管理載荷在AC上會先封裝CAPWAP頭部，再封裝UDP/IP頭部，再封裝802.3以太網(wǎng)頭部，最后封裝上管理VLANID頭部形成管理報文。封裝好后的管理報文途經(jīng)交換機(jī)轉(zhuǎn)發(fā)給AP。交換機(jī)在與AP相連的端口上一般要將PVID設(shè)置為管理VLANID，這樣交換機(jī)就會先去掉PVID（即管理VLANID），再將管理報文轉(zhuǎn)交給AP。之所以要這樣處理，是因為AP一般只將不帶VLAN標(biāo)記的報文識別為管理報文。AP識別出管理報文后，依次去掉報文的802.3頭部、UDP/IP頭部和CAPWAP頭部，再對剩下的管理載荷進(jìn)行處理。

2.再以業(yè)務(wù)報文從無線終端發(fā)往AP為例，分析業(yè)務(wù)報文的直接轉(zhuǎn)發(fā)模式和隧道轉(zhuǎn)發(fā)模式。在直接轉(zhuǎn)發(fā)模式下，無線工作站的無線網(wǎng)卡將業(yè)務(wù)數(shù)據(jù)封裝上無線的802.11頭部，通過無線信道發(fā)送到AP，AP收到的業(yè)務(wù)報文后，去除無線的802.11頭部，封裝上有線以太網(wǎng)的802.3頭部，然后直接將其通過上行交換機(jī)轉(zhuǎn)發(fā)到上行網(wǎng)絡(luò)，無需經(jīng)過AC集中處理，適用于中小規(guī)模的WLAN；隧道模式下，業(yè)務(wù)報文在AP上進(jìn)行CAPWAP封裝后經(jīng)CAPWAP數(shù)據(jù)通道傳到AC，由AC將其解封裝后轉(zhuǎn)發(fā)到上行網(wǎng)絡(luò)，有利于數(shù)據(jù)傳輸?shù)陌踩浴⒂欣贏C對數(shù)據(jù)的集中控制和管理，適用于在現(xiàn)網(wǎng)中新增設(shè)備、減少對現(xiàn)網(wǎng)的改動。11.2.3華三無線設(shè)備的配置

在HCL中搭建如圖11-19所示的拓?fù)洌瓿扇A三無線設(shè)備的配置。

圖11-19華三無線設(shè)備配置的拓?fù)?1.2無線設(shè)備的配置1.AC的vlan、dhcp配置，命令如下：[AC1]vlan100[AC1-vlan100]quit[AC1]vlan101[AC1-vlan101]quit[AC1]interfaceVlan-interface100[AC1-Vlan-interface100]ipaddress192.168.100.124[AC1-Vlan-interface100]quit[AC1]interfaceVlan-interface101[AC1-Vlan-interface101]ipaddress192.168.101.124[AC1-Vlan-interface101]quit[AC1]interfaceGigabitEthernet1/0/0[AC1-GigabitEthernet1/0/0]portlink-typetrunk[AC1-GigabitEthernet1/0/0]porttrunkpermitvlan100101[AC1-GigabitEthernet1/0/0]quit[AC1]dhcpserverip-poolvlan100[AC1-dhcp-pool-vlan100]network192.168.100.024[AC1-dhcp-pool-vlan100]gateway-list192.168.100.1[AC1-dhcp-pool-vlan100]quit[AC1]dhcpserverip-poolvlan101[AC1-dhcp-pool-vlan101]network192.168.101.024[AC1-dhcp-pool-vlan101]gateway-list192.168.101.1[AC1-dhcp-pool-vlan101]forbidden-ip192.168.101.1[AC1-dhcp-pool-vlan101]quit[AC1]dhcpenable2.交換機(jī)SW1的vlan配置，命令如下：[SW1]vlan100[SW1-vlan100]quit[SW1]vlan101[SW1-vlan101]quit[SW1]interfaceGigabitEthernet1/0/1[SW1-GigabitEthernet1/0/1]portlink-typetrunk[SW1-GigabitEthernet1/0/1]porttrunkpermitvlan100101[SW1-GigabitEthernet1/0/1]undoporttrunkpermitvlan1[SW1-GigabitEthernet1/0/1]quit[SW1]interfaceGigabitEthernet1/0/2[SW1-GigabitEthernet1/0/2]portlink-typetrunk[SW1-GigabitEthernet1/0/2]porttrunkpermitvlan100101[SW1-GigabitEthernet1/0/2]undoporttrunkpermitvlan1[SW1-GigabitEthernet1/0/2]porttrunkpvidvlan1013..在AC1上開啟自動AP，命令如下：[AC1]wlanauto-apenable//開啟自動AP使用自動AP的功能是為了在無線網(wǎng)絡(luò)中部署的AP數(shù)量較多時，使用自動AP功能可以減少管理員的配置工作量，并可以簡化配置，避免多次配置AP序列號，同時降低了配置出錯的概率。開啟自動AP一段時間后，在AC上出現(xiàn)以下提示：%Aug1615:33:21:7522023AC1APMGR/6/APMGR_AP_ONLINE:-MDC=1;AP5ccc-d5d7-0300cameonline.StatechangedtoRun.%Aug1615:33:21:7532023AC1CWS/6/CWS_AP_UP:-MDC=1;MasterCAPWAPtunneltoAP5ccc-d5d7-0300wentup.4.在AC1查詢AP信息，顯示所有AP的信息，這里的主要目的是看自動上線的AP的名稱及其他參數(shù)信息，命令如下：[AC1]displaywlanapallTotalnumberofAPs:1TotalnumberofconnectedAPs:1TotalnumberofconnectedmanualAPs:0TotalnumberofconnectedautoAPs:1TotalnumberofconnectedcommonAPs:1TotalnumberofconnectedWTUs:0TotalnumberofinsideAPs:0MaximumsupportedAPs:60000RemainingAPs:59999TotalAPlicenses:60000LocalAPlicenses:60000ServerAPlicenses:0RemaininglocalAPlicenses:59999SyncAPlicenses:0

可以看到，AP名稱被命名為5ccc-d5d7-0300。

5.在AC上修改AP名稱，命令如下：[AC1]wlanauto-appersistentall//將自動AP固化為持久的可配置AP，否則無法修改AP名稱[AC1]wlanrename-ap5ccc-d5d7-0300ap1//修改AP名稱，將"5ccc-d5d7-0300"重命名為"ap1"

6.在AC上對AP進(jìn)行配置，命令如下：[AC1]wlanservice-template1//創(chuàng)建無線服務(wù)模板[AC1-wlan-st-1]ssidguest//在無