第9章

無線局域網學習目標和素質目標了解WLAN的組網方式。了解CAPWAP協議。了解AC+AP的幾種組網方式。了解WLAN中終端的漫游過程。掌握AC+AP直連式二層組網配置。掌握AC+AP旁掛式三層組網配置。培養學生對錯誤的分辨能力。形成嚴謹踏實的工作作風。9.1無線接入點控制和配置協議WLAN的組網方式很多，不同方式滿足不同的用戶需求，大型企業或者園區網絡中通常采用AC+瘦AP這種方式，該方式要求很多技術的支持。WLAN讓網絡使用更自由WLAN讓工作更高效酒店醫院商業中心交通樞紐行業辦公網生產網校園網高新技術網政府、金融、交通、能源電力、石油、制造行業學校校園網高新科技園區網讓用戶隨時隨地的接入網絡。為不同行業提供更加靈活、多樣的組網方案，滿足各行各業對于網絡應用的需求。9.1.1WLAN組網方式常見的WLAN的組網方式有AD-Hoc、胖AP、AC+瘦AP。Ad-Hoc方式組網：所有節點的地位平等，組成一個對等式網絡。網絡無設置任何的中心控制節點，節點不僅具有普通移動終端所需的功能，而且具有報文轉發能力。STA3STA2STA19.1.1WLAN組網方式胖AP(FATAP)方式組網：FATAP（胖AP）架構又稱為自治式網絡架構。當部署單個AP時，由于FATAP具備較好的獨立性，不需要另外部署集中控制設備，部署起來很方便，成本較低廉。隨著WLAN覆蓋面積增大，接入用戶增多，需要部署的FATAP數量也會增多。而每個FATAP又是獨立工作的，缺少統一的控制設備，因此管理、維護這些FATAP就變得十分麻煩。所以對于企業而言，不推薦FATAP架構，推薦使用AC+FITAP架構。InternetFATAPFATAPFATAP9.1.1WLAN組網方式AC+瘦AP（FitAP）方式組網：APAPSTASTAACAC被稱為無線控制器，是無線網絡的核心。瘦AP無法單獨運行，必須在無線控制器的控制下運行。瘦AP負責移動終端報文的收發、加解密、802.11協議的物理層功能、射頻空口的統計、接受無線控制器的管理等功能。AC負責無線網絡的接入控制、轉發和統計、AP的配置監控、漫游管理、AP的網管代理、安全控制。該方式通常用于大型WLAN的組建。9.1.1WLAN組網方式胖AP與瘦AP組網方式比較AC+瘦AP胖AP投資AP成本較低，易管理；AC成本高。AP成本較高，但是無AC投入。WLAN組網AP不能單獨工作，需要由AC集中代理維護管理；AP本身零配置，適合大規模組網；存在多廠商兼容性問題，AC和AP間為私有協議，必須為同廠家設備；每個AC管理AP容量較少。需要對AP下發配置文件；有網管情況下可以支持大規模網絡部署和海量規模用戶管理;不存在兼容性問題：基于AP和網管系統之間采用標準的IP層協議互通；網管可以實現海量AP統一集中管理和維護，并實現與現有寬帶網絡融合管理。業務能力二層、三層漫游；可擴展語音等豐富業務；可以通過AC增強業務QoS、安全等功能。二層漫游；實現簡單數據接入。9.1.2CAPWAP協議CAPWAP協議背景AC+FITAP的組網架構園區網絡AC移動用戶AP1移動用戶移動用戶……AP2APn二、三層網絡傳統FATAP組網難以滿足需求企業級用戶部署AP的數量龐大，對集中運維管控、安全性提出了更高的要求。傳統FATAP組網已經難于滿足需求：自治管理，安全無法保證；實現不了精細化的用戶管控；大批量部署難度高，只適合SOHO級小規模組網。FITAP+AC組網架構，適合中大規模組網場景，且可以實現：集中可視化管控，降低運維成本對用戶實現精細化策略管理支持認證計費場景，不同層面保證企業數據安全增值業務能力：可擴展更多豐富業務在此應用背景下，CAPWAP協議—ControlandProvisioningofWirelessAccessPoints，用于AC與AP通信的協議規范也應運而生。解決方案9.1.2CAPWAP協議在AC+瘦AP組網方式中，AC和AP的互通可以使用CAPWAP（ControlAndProvisioningofWirelessAccessPoints）協議實現。什么是CAPWAP隧道CAPWAP（無線接入點控制和配置協議）：定義了如何對AP進行管理、業務配置，即AC通過CAPWAP隧道來實現對AP的集中管理和控制。AP對AC的自動發現。AP與AC間的狀態維護。AC通過CAPWAP隧道對AP進行管理、業務配置下發。當采用隧道轉發模式時，AP將STA發出的數據通過CAPWAP隧道實現與AC之間的交互。CAPWAP隧道的功能園區網絡CAPWAP隧道AC移動用戶AP1移動用戶移動用戶……AP2APnCAPWAP隧道CAPWAP隧道傳遞控制信息用戶數據9.1.2CAPWAP協議CAPWAP協議是基于UDP的應用層協議，有兩種類型的報文：控制報文、數據報文。

報文類型功能UDP端口加密控制報文管理AP5246大部分是密文數據報文轉發用戶業務數據5247大部分是明文IPHeaderUDPHeaderCAPWAPHeaderControlHeaderMessageElementIPHeaderUDPHeaderCAPWAPDTLSHeaderDTLSHeaderCAPWAPHeaderControlHeaderMessageElementDTLSTailIPHeaderUDPHeaderCAPWAPHeaderEthernetPacketIPHeaderUDPHeaderCAPWAPDTLSHeaderDTLSHeaderCAPWAPHeaderEthernetPacketDTLSTail控制報文數據報文對應的控制報文和數據報文格式如下所示：DTLS加密9.1.3WLAN轉發模式AC+瘦AP組網方式中，數據流有兩種轉發模式：直接轉發模式和隧道轉發模式。直接轉發模式中數據流從移動終端到達AP后，由AP直接發送到有線網絡中的交換設備進行轉發。AC和AP之間的CAPWAP協議隧道主要用于封裝它們之間的管理流，數據流不用CAPWAP協議封裝。AC核心交換機匯聚交換機CAPWAP隧道數據流量控制流量9.1.3WLAN轉發模式在隧道轉發模式中數據流從移動終端到達AP后，由AP使用CAPWAP協議進行封裝，發送到AC，再由AC發送到有線網絡中的交換設備進行轉發。AC和AP之間的CAPWAP協議隧道不僅用于封裝管理流，還用于封裝數據流。AC核心交換機匯聚交換機CAPWAP隧道數據流量控制流量9.1.3WLAN轉發模式直接轉發模式和隧道轉發模式對比轉發模式優

點缺

點直接轉發AC所受壓力小轉發效率高方便故障定位業務數據不需要經過AC轉發報文不需要經過多次封裝解封裝安全性不夠中間網絡可以解析出用戶報文中間網絡需要透傳業務VLAN增加了AC與AP間二層網絡的維護工作量業務數據不便于集中管理和控制隧道轉發安全性高AC集中轉發數據報文方便集中管理和控制經過DTLS加密，中間網絡不易解析出用戶報文內容AC和AP之間只需透傳管理VLAN配置簡單不利于故障定位業務數據必須經過AC轉發數據報文需要封裝CAPWAP隧道報頭AC所受壓力大轉發效率較直接轉發低9.1.4CAPWAP協議的隧道建立與維護CAPWAP（無線接入點控制和配置協議）用于無線終端接入點（AP）和無線網絡控制器（AC）之間的通信交互，實現AC對其所關聯的AP的集中管理和控制。CAPWAP協議功能包含：AP對AC的自動發現及AP&AC的狀態機運行、維護。AC對AP進行管理、業務配置下發。STA數據封裝CAPWAP隧道進行轉發。園區網絡CAPWAP隧道AC移動用戶AP1移動用戶移動用戶……AP2APnCAPWAP隧道CAPWAP隧道傳遞控制信息用戶數據9.1.4CAPWAP協議的隧道建立與維護

CAPWAP協議的隧道建立與維護分為8個過程APACDiscoveryRequestDiscoveryResponseJoinRequestJoinResponseDHCP服務器DHCPDiscovery（廣播）DHCPRequest（廣播）DHCPAck（單播）DHCPOffer（單播）DHCP交互發現階段DTLS連接DTLSJoinAPACImageDataRequestImageDataRequest

ResponseImageDataDataCheckRun（數據）Run（控制）ConfigurationStatusRequestConfigurationStatusResponseConfigurationStatusChangeStateEventRequestChangeStateEventResponseKeepaliveKeepaliveEchoRequestEchoResponseConfigurationUpdateRequestConfigurationUpdateResponseConfigurationUpdate129.1.4CAPWAP協議的隧道建立與維護1.DHCP交互AP獲取IP地址Discovery階段DTLS連接（可選）Join階段……Step1：DHCP的四步交互首先AP發送discover廣播報文，請求DHCP服務器響應；在DHCP服務器監聽到discover報文后，響應AP一個DHCPoffer報文，該報文中會包含一個租約期限的信息。當AP端收到多臺DHCPServer的響應時，只會挑選其中一個offer（通常是最先抵達的那個），然后向網絡中發送一個DHCPrequest廣播報文，告訴所有的offer服務器結果；當DHCP服務器接收到AP的request報文之后，會向AP發送一個DHCPAck響應，該報文中攜帶的信息包括了AP的IP地址，租約期限，網關信息，以及DNSserverIP等，以此確定租約的正式生效，就此完成DHCP的四步交互工作。APDHCPDiscovery（廣播）發現網絡中的DHCP服務器DHCPServerDHCPRequest（廣播）通知DHCPServer本機選擇的IP地址DHCPAck（單播）確認地址分配DHCPOffer（單播）從地址池中挑選可用IP地址，回應AP12349.1.4CAPWAP協議的隧道建立與維護2.Discovery過程AP獲得AC的IP地址后，將使用AC發現機制來獲知哪些AC是可用的，并與最佳AC來建立CAPWAP協議隧道。Step2：Discovery階段（AP發現AC階段）AP以單播（三層組網DHCPOption43獲取AC的IP）或廣播(二層組網）的形式發送發現請求報文試圖關聯AC。AC收到AP的DiscoveryRequest以后，會發送一個單播DiscoverResponse給AP，AP可以通過DiscoverResponse中所帶的AC優先級或者AC上當前AP的個數等，確定與哪個AC建立會話。AP獲取IP地址Discovery階段DTLS連接（可選）Join階段……APAC…DiscoveryRequestDiscoveryResponse569.1.4CAPWAP協議的隧道建立與維護3.DTLS（DatagramTransportLayerSecurity，數據報傳輸層安全協議）握手過程（可選）Step3：DTLS連接（可選）AP與AC之間DTLSconnect消息交互，該過程是可選過程，根據報文是否需要加密來決定。是否需要加密的開關在discoverresponse報文中。AP獲取IP地址Discovery階段DTLS連接（可選）Join階段……APAC…DiscoveryRequestDiscoveryResponseDTLS（可選）567IPHeaderUDPHeaderCAPWAPDTLSHeaderDTLSHeaderCAPWAPHeaderControlHeaderMessageElementDTLSTailIPHeaderUDPHeaderCAPWAPDTLSHeaderDTLSHeaderCAPWAPHeaderEthernetPacketDTLSTail9.1.4CAPWAP協議的隧道建立與維護4.Join過程AP獲取IP地址Discovery階段DTLS連接（可選）Join階段ImageData階段APACDiscoveryRequestDiscoveryResponseDTLS（可選）5678JoinResponse9Step4：Join在完成DTLS握手后，AC與AP開始建立控制通道，AP發送JoinRequest報文請求在AC上線。AC回應的JoinResponse報文中會攜帶用戶配置的升級版本號，握手報文間隔/超時時間，控制報文優先級等信息。JoinRequest……9.1.4CAPWAP協議的隧道建立與維護5.ImageData過程（可選）AP獲取IP地址Discovery階段DTLS連接（可選）Join階段ImageData階段APACDiscoveryRequestDiscoveryResponseDTLS（可選）5678JoinResponse910ImageDataRequest（可選）ImageDataResponse（可選）11Step5：ImageData（版本升級，版本一致跳過）AP根據協商參數判斷當前版本是否是最新版本，如果不是最新版本，則AP將在CAPWAP隧道上開始更新軟件版本，AP向AC發送ImageDataRequest請求下載最新軟件版本；AC收到請求后下發軟件版本，AP在軟件版本更新完成后重新啟動，重復進行AC發現、建立CAPWAP隧道、加入過程。JoinRequest……9.1.4CAPWAP協議的隧道建立與維護6.Configure過程ImageData階段ConfigurationStatusDataCheckRun（數據）……APAC…14ChangeStateEventRequestChangeStateEventResponse1512ConfigurationStatusRequest13ConfigurationStatusResponseStep6：ConfigurationStatusAP發送ConfigurationStatusRequest報文（攜帶AC

Name，Radio等信息），啟動等待ConfigurationStatusResponse報文超時定時器。AC收到報文后，遷移狀態并回應Response報文（目前此階段沒有下發配置，都是在run狀態之后統一下發）；AP收到報文后，停止等待Response報文超時定時器，并遷移到DataCheck狀態。Step7：DataCheckAP發送ChangeStateEventRequest報文（攜帶Radio,ResultCode等信息），并啟動等待Response超時定時器；AC收到ChangeStateEventRequest后，遷移狀態到DataCheck并回Response報文（目前沒有攜帶錯誤碼信息）；AP收到Response報文后，停止等待Response超時定時器并遷移到run狀態。9.1.4CAPWAP協議的隧道建立與維護8.Run過程ImageData階段ConfigurationStatusDataCheckRun（數據隧道）Run（控制隧道）APAC14ChangeStateEventRequestChangeStateEventResponse1512ConfigurationStatusRequest13ConfigurationStatusResponse18EchoRequestEchoResponse1916Keepalive17KeepaliveStep8：Run（數據）AP發送keepalive到AC，AC收到keepalive后表示數據隧道建立。AC回應keepalive，AP進入“normal”狀態，開始正常工作。Step8：Run（控制）AP進入Run狀態后，同時發送echorequest報文給AC，宣布建立好CAPWAP管理隧道并啟動echo發送定時器和隧道檢測超時定時器以檢測管理隧道時候異常。當AC收到EchoRequest報文后，同樣進入Run狀態，并回應EchoResponse報文給AP，啟動隧道超時定時器。AP收到EchoResponse報文后，會重設檢驗隧道超時的定時器。此時，AP已經正常上線。……9.1.4CAPWAP協議的隧道建立與維護9.ConfigurationUpdateDataCheckRun（數據）Run（控制）ConfigurationUpdateAPAC18EchoRequestEchoResponse1916Keepalive17Keepalive2021Step9：ConfigurationUpdateAC對AP的配置進行更新，當AP的配置需要進行更新時，AC會向AP發送configurationupdaterequest報文。AP接收到AC的請求后會向AC回一個ConfigurationUpdateResponse報文，AC收到AP的ConfigurationUpdateResponse報文后，進行配置更新。ConfigurationUpdateRequestConfigurationUpdateResponse9.2AC+瘦AP組網AC+瘦AP組網方式是大型企業或者園區網絡中常用的WLAN組網方式。根據AC和AP連接的網絡架構可分為二層組網和三層組網；根據AC在網絡中的位置，可分為直連式組網和旁掛式組網。二層組網和三層組網、直連式組網和旁掛式組網可以組合成4種方式：直連式二層組網、旁掛式二層組網、直連式三層組網、旁掛式三層組網。AC+瘦AP組網中，數據流轉發模式又包括直接轉發和隧道轉發，所以組網方式和轉發模式的組合有8種。9.2.1二層、三層組網二層組網AC和AP直連或者AC和AP之間通過二層網絡進行連接的網絡稱為二層組網，如圖所示。二層組網比較簡單，AC通常配置為DHCP服務器，無需配置DHCP代理，簡化了配置。由于AC和AP在同一廣播域中，因此AP通過廣播很容易就能發現AC。二層組網適用于簡單的組網，但是由于要求AC和AP在同一個二層網絡中，所以局限性較大，不適用于有大量三層路由的大型網絡。9.2.1二層、三層組網三層組網AC和AP之間通過三層網絡進行連接的網絡稱為三層組網，如圖所示。在三層組網中，AC和AP不在同一廣播域中，AP需要通過DHCP代理從AC獲得IP地址，或者額外部署DHCP服務器為AP分配IP地址。由于AP無法通過廣播發現AC，所以需要在DHCP服務器上配置option43來指明AC的IP地址。三層組網雖然比較復雜，但是由于AC和AP可以放在不同的網絡中，只需要它們之間IP可達即可，所以部署非常靈活，適用于大型網絡的無線組網。9.2.2直連式和旁掛式組網直連式組網AP和AC與核心網絡串聯在一起，移動終端的數據流需要經過AC到達上層網絡。在這種組網方式中，AC需要轉發移動終端的數據流，壓力較大；并且，如果是在已有的有線網絡中新增無線網絡，在核心網絡和IP網絡中插入AC會改變原有拓撲。但該種組網架構清晰，實施較為容易。9.2.2直連式和旁掛式組網旁掛式組網AC并不在AP和核心網絡的中間，而是位于網絡的一側（通常是旁掛在匯聚交換機或者核心交換機上）。由于實際組建WLAN時，大多情況是已經建好了有線網絡，旁掛式組網不需要改變現有網絡的拓撲，所以它是較為常用的組網方式。旁掛式組網如果采用直接轉發模式，移動終端的數據流不需要經過AC就能到達上層網絡，AC的壓力較小。旁掛式組網如果采用隧道轉發模式，移動終端的數據流要通過CAPWAP協議隧道發送到AC，AC再把數據轉發到上層網絡，AC也將面臨較大壓力。9.2.2直連式和旁掛式組網AC+FITAP組網特點對比組網描述特點直連模式+二層組網+直接轉發數據流量無迂回，轉發效率高。旁掛模式+二層組網+直接轉發數據流量無迂回，轉發效率高，便于在現有網絡上疊加建設WLAN，也便于熱備方案部署。旁掛模式+二層組網+隧道轉發數據VLAN配置簡單，隧道轉發提供了二層隧道，可支持802.1X認證，便于在現有網絡上疊加建設WLAN，也便于熱備方案部署。旁掛模式+三層組網+隧道轉發數據VLAN配置簡單，隧道轉發提供了二層隧道，可支持802.1X認證，便于在現有網絡上疊加建設WLAN，也便于熱備方案部署。旁掛模式+三層組網+直接轉發數據流量無迂回，轉發效率高，便于在現有網絡上疊加建設WLAN，也便于熱備方案部署。9.2.3AC+AP組網中的VLAN管理VLAN管理VLAN主要用來實現AC和AP直接的通信，主要是DHCP報文、ARP報文、APCAPWAP控制報文和數據報文。二層組網時，AP和AC在同一管理VLAN上；三層組網時，AC和AP在不同的管理VLAN上，甚至不同的AP是在不同的管理VLAN上，需要正確配置IP網絡的VLAN間路由使得AC和AP可以通信。配置WLAN時，沒有正確配置有線網絡的路由會造成管理VLAN之間無法通信，以及DHCP服務器或者DHCP代理配置不正確會導致AP發現不了AC，這是最常見的錯誤。9.2.3AC+AP組網中的VLAN業務VLAN業務VLAN主要負責傳輸WLAN用戶（移動終端，也稱為STA）上網時的數據，它就是WLAN用戶接入后用戶所在的VLAN。對于AP來說，在直接轉發模式下，業務VLAN是AP為用戶的數據所加的VLAN標簽。圖中AP1和S1之間的鏈路為Trunk鏈路，AP1收到PC1的數據后，將加上VLAN1的標簽發往S1；AP2收到PC2的數據后，將加上VLAN2的標簽發往S1。如果在隧道轉發模式下，業務VLAN是CAPWAP協議隧道內用戶報文的VLAN標簽。AP1收到PC1的數據后，將加上VLAN1的標簽，再把數據封裝在CAPWAP報文發送到AC，AC解封CAPWAP后得到帶VLAN1標簽的數據報文后再轉發到目的網絡9.2.3AC+AP組網中的VLAN直連式組網+直接轉發APVLAN11IP01SwitchRouterACMobilePC1IP1ACIP-VLAN11：00managementVLAN101：00serviceVLANAPVLAN11IP02SSID:HW101ServiceVLAN101MobilePC2IP2SwitchIPVLAN101GatewayDot1q101Dot1q11101CAPWAPDASAdot1qSIPDIPDATAFCSGw

MACPc

MACVLAN1011abcdefgFCS離開AP時的用戶幀數據報文控制報文9.2.4WLAN的基本業務配置流程創建AP組。配置網絡互通。配置AC系統參數。配置AC為瘦AP下發WLAN業務。9.2.4WLAN的基本業務配置流程創建AP組配置網絡互通配置AC系統參數AP上線配置SSID模板配置安全模板配置VAP模板配置模板綁定VAP模板綁定AP或AP組綁定模板9.2.4WLAN的基本業務配置流程配置AP上線添加AP有三種方式：離線導入AP、自動發現AP以及手工確認未認證列表中的AP。配置網絡互通配置DHCP服務器，為AP和STA分配IP地址，也可將AC設備配置為DHCP服務器。配置AP到DHCP服務器間的網絡互通；配置AP到AC之間的網絡互通。創建AP組每個AP都會加入并且只能加入到一個AP組中，AP組通常用于多個AP的通用配置。配置AC的國家碼（域管理模板）國家碼用來標識AP射頻所在的國家，不同國家碼規定了不同的AP射頻特性，包括AP的發送功率、支持的信道等。配置源接口或源地址（與AP建隧道）每臺AC都必須唯一指定一個IP地址或接口，該AC設備下掛接的AP學習到此IP地址或者此接口下配置的IP地址，用于AC和AP間的通信，以及CAPWAP隧道的建立。配置AP上線時自動升級（可選）自動升級是指AP在上線過程中自動對比自身版本與AC或SFTP或FTP服務器上配置的AP版本是否一致，如果版本不一致，則進行升級，然后AP自動重啟再重新上線。添加AP設備（配置AP認證模式）9.2.4WLAN的基本業務配置流程配置和綁定模板為了方便用戶配置和維護WLAN的各個功能，針對WLAN的不同功能和特性設計了各種類型的模板，這些模板統稱為WLAN模板。AP或AP組的各個射頻域管理模板射頻模板射頻模板主要用于優化射頻的參數，以及配置信道切換業務不中斷功能。VAP模板在VAP模板下配置各項參數，同時還可以引用SSID模板、安全模板、認證模板等。其他模板AP系統模板、定位模板、WIDS模板、Mesh模板等。域管理模板提供對AP的國家碼、調優信道集合和調優帶寬等的配置。引用引用引用射頻參數配置配置基本射頻參數：工作頻段、信道、發射功率等。引用創建SSID模板創建安全模板SSID用來指定不同的無線網絡。在STA上搜索可接入的無線網絡時，顯示出來的網絡名稱就是SSID。SSID模板主要用于配置WLAN網絡的SSID名稱。配置WLAN安全策略，可以對無線終端（STA）進行身份驗證，對用戶的報文進行加密，保護WLAN網絡和用戶的安全。配置數據轉發方式配置業務VLAN配置數據報文的轉發模式。VAP下發給AP的二層業務數據報文中都會帶有業務VLAN的VLANID。VAP模板引用引用9.2.4WLAN的基本業務配置流程VAP模板9.3WLAN漫游移動終端（STA）是會移動的，當移動終端在同一個AP信號覆蓋下移動并不稱為漫游，只有當移動終端在不同AP信號覆蓋范圍之間移動才稱為漫游。可以漫游是AC+AP組網的一大特點。9.3.1漫游簡介WLAN漫游是指STA在