網(wǎng)絡設備安裝與調(diào)試技術 課件 （秦燊）第11章 組建無線局域網(wǎng)

第11章組建無線局域網(wǎng)編著：

秦燊

無線局域網(wǎng)（WLAN）是指以無線信道作為傳輸媒介的局域網(wǎng)絡。無線局域網(wǎng)WLAN的傳輸介質(zhì)包括紅外線、無線電波等，紅外技術已逐漸被藍牙技術（IEEE802.15）取代。藍牙工作在2.4GHz頻段，傳輸速率最高1Mb/s，傳輸距離最大10米，用于個人操作空間，藍牙技術與IEEE802.11協(xié)議互相補充。無線局域網(wǎng)基于IEEE802.11協(xié)議簇工作。IEEE802.11協(xié)議簇包括802.11a、802.11b、802.11g、802.11n（Wi-Fi4）、802.11ac（Wi-Fi5）和802.11ax（Wi-Fi6）等多個標準。其中，2019年推出的802.11ax工作頻率為2.4GHz或5GHz，寬帶速率可達600~9608Mb/s。11.1無線局域網(wǎng)基礎

常見的WLAN組網(wǎng)設備如下：

1.無線工作站（STA），指連接到無線網(wǎng)絡的計算機或智能終端。如PC、平板電腦、智能手機、無線打印機等。

2.無線接入點（AP），指為無線工作站連接到無線網(wǎng)絡提供接入服務的無線網(wǎng)絡設備。分為胖AP（FATAP）和瘦AP（FITAP）。胖AP適用于規(guī)模較小的環(huán)境，每臺胖AP需要單獨配置，胖AP除了具有基本的射頻信號接入功能外，還具有IP地址分配、安全管理等網(wǎng)絡管理功能；瘦AP適用于規(guī)模較大的環(huán)境，僅對外提供射頻信號接入功能，各瘦AP無法單獨配置，而是集中由一臺專門的設備統(tǒng)一配置，減輕大規(guī)模環(huán)境下管理員的工作負擔，提高工作效率。11.1.1常見的WLAN組網(wǎng)設備3.無線接入控制器（AccessController，AC），指用于集中控制管理瘦AP的網(wǎng)絡設備。采用瘦AP組網(wǎng)時，由AC承擔對AP的管理任務、向瘦AP下發(fā)配置，提供IP地址分配、DHCP服務等網(wǎng)絡管理功能。網(wǎng)絡管理員一般只需關注AC，無需逐一對AP進行配置，減少了工作量，增強了WLAN的擴展性。4.天線，由發(fā)送端天線和接收端天線組成。發(fā)送端發(fā)射的射頻信號通過饋線輸送到發(fā)送端天線，由天線以電磁波的形式輻射出去；接收端天線接收到電磁波后，再通過饋線輸送到接收端。兩個無線設備相距較遠時，可借助天線提升射頻信號強度。11.1.2無線局域網(wǎng)安全

如果無線接入點沒有開啟安全設置功能，那么周邊的移動終端都可以查看到它的SSID（服務集標識符）值，無須密碼直接接入，造成安全隱患，因此為WLAN開啟安全設置是很重要的。WLAN安全設置包括禁用SSID廣播、數(shù)據(jù)加密等。

1.SSID代表了一個無線局域網(wǎng)，只有連接到相同SSID值的終端才能直接通信。禁用SSID廣播可以避免無線網(wǎng)絡的SSID顯示在用戶無線網(wǎng)卡發(fā)現(xiàn)的SSID列表中，減少受到攻擊的概率。另外，由于無線路由器或無線AP都有默認SSID值，為避免攻擊者嘗試使用默認SSID連接無線網(wǎng)絡，啟用WLAN時建議修改SSID值。

2.為避免非法用戶入侵和竊聽，需要開啟加密、認證等功能。無線網(wǎng)絡的數(shù)據(jù)加密技術有WEP（有線等效保密）、WPA、WPA2、WPA3等。WEP是802.11系列標準定義的鏈路層加密協(xié)議，協(xié)議核心是李斯特加密（RivestCipher4，RC4）算法，算法采用靜態(tài)共享密鑰（PSK），稱為靜態(tài)WEP。由于靜態(tài)WEP安全性較低，有些廠商結合802.1X技術，推出了動態(tài)WEP標準。

3.為克服靜態(tài)WEP的弱點，Wi-Fi聯(lián)盟也于2003年推出了WPA（Wi-Fi保護接入）標準，該標準在WEP的基礎上提出了TKIP（臨時密鑰完整性協(xié)議）加密方式。TKIP保留了WEP的基本架構，仍使用RC4的流加密機制，但增加了初始向量的長度、不再采用所有用戶共用密鑰而改用動態(tài)密鑰機制為每個用戶生成獨立密鑰、采用MIC（信息完整性校驗）機制通過完整性校驗保護源地址、為每個幀分配序列號防范重放攻擊等。

4.隨著2004年IEEE推出802.11i標準，Wi-Fi聯(lián)盟也以此為基準修訂WPA，推出了WPA2。WPA2采用802.11i定義的默認加密方式CCMP（計數(shù)器模式密碼塊鏈信息認證協(xié)議），CCMP使用AES（高級加密標準）作為加密算法，該算法彌補了RC4的缺陷，安全性更高。但AES對硬件要求較高，無法通過軟件升級舊設備或舊網(wǎng)卡的方式支持CCMP。

5.為了滿足兼容性，目前WPA和WPA2都支持802.1X和PSK認證，也都支持TKIP和CCMP加密算法。WPA和WPA2的不同主要表現(xiàn)在協(xié)議報文格式上的不同。WPA和WPA2分為個人版和企業(yè)版。個人版在AP和STA間采用預共享密鑰（PSK）的方式進行認證；企業(yè)版采用專門的認證服務器通過802.1X等方式進行認證。

6.2018年1月，Wi-Fi聯(lián)盟在WPA2的基礎上發(fā)布了新一代的WPA3，WPA3個人版采用SAE（對等實體同時驗證）協(xié)議取代了WPA/WPA2的PSK認證方式，可有效抵御離線字典攻擊和增加暴力破解的難度。WPA3個人版采用向前保密，使攻擊者就算有密碼也無法解密截獲的數(shù)據(jù)。WPA3企業(yè)版沒有從根本上改變原有協(xié)議，主要從數(shù)據(jù)保護、流量保護和管理幀保護等方面進行了提升。11.1.3CAPWAP隧道一、AC與AP間隧道的建立在瘦AP+AC的組網(wǎng)模式中，全網(wǎng)的AP由AC統(tǒng)一管理，AC承擔了AP配置、用戶接入認證等管理功能，AC與AP之間采用稱為CAPWAP的通信協(xié)議建立隧道。CAPWAP隧道包括控制通道和數(shù)據(jù)通道兩種，分別使用UDP的5246端口和5247端口。CAPWAP隧道的建立過程如下：1.AP獲取地址。通過配置DHCP服務（可在AC或核心交換機等設備上配置），為AP分配IP地址。2.AP發(fā)現(xiàn)AC。AP可以通過DHCP服務的Option43字段或通過DNS解析獲取AC的IP地址。獲取到AC的地址后，AP發(fā)送DiscoveryRequest報文嘗試關聯(lián)AC（三層網(wǎng)絡通過單播、二層網(wǎng)絡通過廣播），AC收到請求后返回攜帶有AC優(yōu)先級和當前已關聯(lián)AP數(shù)量等信息的DiscoveryResponse給AP，由AP決定與哪個AC建立連接。3.建立DTLS連接。DTLS（DatagramTransportLevelSecurity，數(shù)據(jù)報安全傳輸協(xié)議）是UDP版本的TLS，用于防數(shù)據(jù)被竊聽、篡改、身份冒充等。AC在DiscoveryResponse中會指示是否采用DTLS加密CAPWAP隧道中的UDP報文。

4.AP加入AC。AP發(fā)送JoinRequest報文請求加入AC并建立控制通道，AC發(fā)送JoinResponse響應。

5.AP版本升級。AP根據(jù)JoinResponse攜帶的版本要求判斷自身版本是否符合，若不符合則向AC申請下發(fā)新版本。

6.AP配置下發(fā)。AP版本達到要求后，向AC發(fā)送ConfigurationStatusRequest（配置狀態(tài)請求）報文，請求報文攜帶了AP現(xiàn)有的配置，若AC發(fā)現(xiàn)AP的配置不符合要求，則發(fā)送ConfigurationStatusResponse報文通知AP同步配置。

7.AP配置確認。AP配置完成后，向AC發(fā)送ChangeStateEventRequest（配置確認請求）報文，其中包含射頻、錯誤碼、配置信息等。AC回復ChangeStateEventResponse（配置確認響應）。

8.AP運行。配置確認后，意味著CAPWAP的控制通道已成功建立，AP進入運行狀態(tài)，可以開始轉發(fā)數(shù)據(jù)了。AP運行后會定期向AC發(fā)送EchoRequest（控制通道?；睿﹫笪?，AC回應EchoResponse（控制通道響應）表示控制通道正常；另外，AP還定期向AC發(fā)送Keepalive（數(shù)據(jù)通道?；睿﹫笪?，AC回應Keepalive報文表示數(shù)據(jù)通道正常。

二、CAPWAP數(shù)據(jù)的傳輸

CAPWAP隧道承載的數(shù)據(jù)包括管理報文和業(yè)務報文。其中，管理報文必須封裝在CAPWAP控制通道中，在AP和AC間傳輸；業(yè)務報文則可選擇不經(jīng)過CAPWAP封裝直接由AP轉發(fā)到上行網(wǎng)絡（稱為直接轉發(fā)或本地轉發(fā)），也可選擇先由AP封裝到CAPWAP數(shù)據(jù)通道中傳輸給AC，再由AC進一步轉發(fā)（稱為隧道轉發(fā)或集中轉發(fā)）。

1.以管理報文從AC發(fā)往AP為例分析管理報文的傳輸。管理載荷在AC上會先封裝CAPWAP頭部，再封裝UDP/IP頭部，再封裝802.3以太網(wǎng)頭部，最后封裝上管理VLANID頭部形成管理報文。封裝好后的管理報文途經(jīng)交換機轉發(fā)給AP。交換機在與AP相連的端口上一般要將PVID設置為管理VLANID，這樣交換機就會先去掉PVID（即管理VLANID），再將管理報文轉交給AP。之所以要這樣處理，是因為AP一般只將不帶VLAN標記的報文識別為管理報文。AP識別出管理報文后，依次去掉報文的802.3頭部、UDP/IP頭部和CAPWAP頭部，再對剩下的管理載荷進行處理。

2.再以業(yè)務報文從無線終端發(fā)往AP為例，分析業(yè)務報文的直接轉發(fā)模式和隧道轉發(fā)模式。在直接轉發(fā)模式下，無線工作站的無線網(wǎng)卡將業(yè)務數(shù)據(jù)封裝上無線的802.11頭部，通過無線信道發(fā)送到AP，AP收到的業(yè)務報文后，去除無線的802.11頭部，封裝上有線以太網(wǎng)的802.3頭部，然后直接將其通過上行交換機轉發(fā)到上行網(wǎng)絡，無需經(jīng)過AC集中處理，適用于中小規(guī)模的WLAN；隧道模式下，業(yè)務報文在AP上進行CAPWAP封裝后經(jīng)CAPWAP數(shù)據(jù)通道傳到AC，由AC將其解封裝后轉發(fā)到上行網(wǎng)絡，有利于數(shù)據(jù)傳輸?shù)陌踩?、有利于AC對數(shù)據(jù)的集中控制和管理，適用于在現(xiàn)網(wǎng)中新增設備、減少對現(xiàn)網(wǎng)的改動。11.2無線設備的配置

在PacketTracer中搭建如圖11-1所示拓撲，完成思科無線設備的配置。11.2.1思科無線設備的配置圖11-1思科無線設備配置的拓撲

1.如圖11-2所示，為RS1添加“AC-POWER-SUPPLY”模塊。

2.如圖11-3所示，為AP1添加“ACCESS_POINT_POWER_ADAPTER”模塊。圖11-2為RS1添加“AC-POWER-SUPPLY”模塊圖11-3為AP1添加“ACCESS_POINT_POWER_ADAPTER”模塊

3.RS1的配置，命令如下：RS1(config)#vlan100RS1(config-vlan)#exitRS1(config)#vlan101RS1(config-vlan)#exitRS1(config)#interfacegigabitEthernet1/0/1RS1(config-if)#switchportmodetrunkRS1(config-if)#switchporttrunknativevlan101RS1(config-if)#exitRS1(config)#interfacegigabitEthernet1/0/2RS1(config-if)#switchportmodeaccessRS1(config-if)#switchportaccessvlan101RS1(config-if)#exitRS1(config)#intgigabitEthernet1/0/3RS1(config-if)#noswitchportRS1(config-if)#ipaddress172.16.1.1255.255.255.0RS1(config-if)#exitRS1(config)#iproutingRS1(config)#interfacevlan100RS1(config-if)#ipaddress192.168.100.1255.255.255.0RS1(config-if)#exitRS1(config)#interfacevlan101RS1(config-if)#ipaddress192.168.101.1255.255.255.0RS1(config-if)#exitRS1(config)#routerospf1RS1(config-router)#network192.168.0.00.0.255.255area0RS1(config-router)#network172.16.1.00.0.0.255area0RS1(config-router)#exitRS1(config)#servicedhcpRS1(config)#ipdhcppoolAPRS1(dhcp-config)#network192.168.101.0255.255.255.0RS1(dhcp-config)#default-router192.168.101.1RS1(dhcp-config)#option43ip192.168.101.2RS1(dhcp-config)#exitRS1(config)#ipdhcppoolSTARS1(dhcp-config)#network192.168.100.0255.255.255.0RS1(dhcp-config)#default-router192.168.100.1RS1(dhcp-config)#exitRS1(config)#ipdhcpexcluded-address192.168.101.1192.168.101.24.R1的配置，命令如下：R1(config)#interfacegigabitEthernet0/0R1(config-if)#ipaddress172.16.1.2255.255.255.0R1(config-if)#noshutdownR1(config-if)#exitR1(config)#routerospf1R1(config-router)#network172.16.1.00.0.0.255area0

5.如圖11-4所示，在AC1的“Config”選項夾的“Management”選項，將AC1的IP地址配置為192.168.101.2，子網(wǎng)掩碼配置為255.255.255.0，缺省網(wǎng)關配置為192.168.101.1。圖11-4AC1的IP地址配置

6.如圖11-5所示，在AC1的“Config”選項夾的“WirelessLANs”選項，將AC的Name設為“guest”，SSID設置為“guest”，業(yè)務VLAN設置為VLAN100，認證方式選擇“WPA2-PSK”，預共享密鑰設置為“12345678”，加密算法選用“AES”，其它選默認值。最后點擊“Save”按鈕。圖11-5AC1的“WirelessLANs”配置7.如圖11-6所示，在AC1的“Config”選項夾的“APGroups”選項，可以看到，加入了默認AP組的無線局域網(wǎng)（WirelessLANs）有剛才配置的“guest”，加入了默認AP組的AP有AP1。此處采用默認值。圖11-6AC1的“APGroups”配置

8.如圖11-7所示，AP1的缺省網(wǎng)關已經(jīng)通過DHCP自動獲取到了，是192.168.101.1。圖11-7查看AP1的缺省網(wǎng)關已經(jīng)通過DHCP自動獲取9.如圖11-8所示，AP1加入的AC地址通過DHCP的option43自動獲取到了，是192.168.101.2。10.如圖11-9所示，AP1的IP地址和子網(wǎng)掩碼已經(jīng)通過DHCP自動獲取到了，分別為192.168.101.3和255.255.255.0。圖11-8查看AP1獲取到的AC地址圖11-9查看AP1獲取到的IP地址和子網(wǎng)掩碼11.如圖11-10所示，在無線工作站STA1的“Config”選項夾的“Settings”選項，缺省網(wǎng)關已經(jīng)通過DHCP自動獲取到了，是192.168.100.1。圖11-10查看在STA1的缺省網(wǎng)關已經(jīng)通過DHCP自動獲取12.如圖11-11所示，打開STA1的“Desktop”選項夾的“PCWireless”配置項。圖11-11打開STA1的“PCWireless”配置項13.如圖11-12所示，在彈框中選擇“Connect”選項夾，選中值為“guest”的SSID，點擊“Connect”按鈕。圖11-12連接值為“guest”的SSID14.如圖11-13所示，在彈框中輸入預共享密鑰“12345678”，點擊“Connect”按鈕進行連接。

圖11-13輸入預共享密鑰進行連接15.如圖11-14所示，成功連接后，點擊STA1的“Config”選項夾的“Wireless0”選項，可以看到無線網(wǎng)絡的相關信息，本工作站通過DHCP獲取到的IP地址為192.168.100.2。16.在兩臺工作站上ping路由器R1的地址172.16.1.2，可以看到，都能ping通。圖11-14查看STA1的“Wireless0”選項謝謝欣賞第11章組建無線局域網(wǎng)編著：

秦燊無線局域網(wǎng)（WLAN）是指以無線信道作為傳輸媒介的局域網(wǎng)絡。無線局域網(wǎng)WLAN的傳輸介質(zhì)包括紅外線、無線電波等，紅外技術已逐漸被藍牙技術（IEEE802.15）取代。藍牙工作在2.4GHz頻段，傳輸速率最高1Mb/s，傳輸距離最大10米，用于個人操作空間，藍牙技術與IEEE802.11協(xié)議互相補充。無線局域網(wǎng)基于IEEE802.11協(xié)議簇工作。IEEE802.11協(xié)議簇包括802.11a、802.11b、802.11g、802.11n（Wi-Fi4）、802.11ac（Wi-Fi5）和802.11ax（Wi-Fi6）等多個標準。其中，2019年推出的802.11ax工作頻率為2.4GHz或5GHz，寬帶速率可達600~9608Mb/s。11.1無線局域網(wǎng)基礎

常見的WLAN組網(wǎng)設備如下：

1.無線工作站（STA），指連接到無線網(wǎng)絡的計算機或智能終端。如PC、平板電腦、智能手機、無線打印機等。

2.無線接入點（AP），指為無線工作站連接到無線網(wǎng)絡提供接入服務的無線網(wǎng)絡設備。分為胖AP（FATAP）和瘦AP（FITAP）。胖AP適用于規(guī)模較小的環(huán)境，每臺胖AP需要單獨配置，胖AP除了具有基本的射頻信號接入功能外，還具有IP地址分配、安全管理等網(wǎng)絡管理功能；瘦AP適用于規(guī)模較大的環(huán)境，僅對外提供射頻信號接入功能，各瘦AP無法單獨配置，而是集中由一臺專門的設備統(tǒng)一配置，減輕大規(guī)模環(huán)境下管理員的工作負擔，提高工作效率。11.1.1常見的WLAN組網(wǎng)設備3.無線接入控制器（AccessController，AC），指用于集中控制管理瘦AP的網(wǎng)絡設備。采用瘦AP組網(wǎng)時，由AC承擔對AP的管理任務、向瘦AP下發(fā)配置，提供IP地址分配、DHCP服務等網(wǎng)絡管理功能。網(wǎng)絡管理員一般只需關注AC，無需逐一對AP進行配置，減少了工作量，增強了WLAN的擴展性。4.天線，由發(fā)送端天線和接收端天線組成。發(fā)送端發(fā)射的射頻信號通過饋線輸送到發(fā)送端天線，由天線以電磁波的形式輻射出去；接收端天線接收到電磁波后，再通過饋線輸送到接收端。兩個無線設備相距較遠時，可借助天線提升射頻信號強度。11.1.2無線局域網(wǎng)安全

如果無線接入點沒有開啟安全設置功能，那么周邊的移動終端都可以查看到它的SSID（服務集標識符）值，無須密碼直接接入，造成安全隱患，因此為WLAN開啟安全設置是很重要的。WLAN安全設置包括禁用SSID廣播、數(shù)據(jù)加密等。

1.SSID代表了一個無線局域網(wǎng)，只有連接到相同SSID值的終端才能直接通信。禁用SSID廣播可以避免無線網(wǎng)絡的SSID顯示在用戶無線網(wǎng)卡發(fā)現(xiàn)的SSID列表中，減少受到攻擊的概率。另外，由于無線路由器或無線AP都有默認SSID值，為避免攻擊者嘗試使用默認SSID連接無線網(wǎng)絡，啟用WLAN時建議修改SSID值。

2.為避免非法用戶入侵和竊聽，需要開啟加密、認證等功能。無線網(wǎng)絡的數(shù)據(jù)加密技術有WEP（有線等效保密）、WPA、WPA2、WPA3等。WEP是802.11系列標準定義的鏈路層加密協(xié)議，協(xié)議核心是李斯特加密（RivestCipher4，RC4）算法，算法采用靜態(tài)共享密鑰（PSK），稱為靜態(tài)WEP。由于靜態(tài)WEP安全性較低，有些廠商結合802.1X技術，推出了動態(tài)WEP標準。

3.為克服靜態(tài)WEP的弱點，Wi-Fi聯(lián)盟也于2003年推出了WPA（Wi-Fi保護接入）標準，該標準在WEP的基礎上提出了TKIP（臨時密鑰完整性協(xié)議）加密方式。TKIP保留了WEP的基本架構，仍使用RC4的流加密機制，但增加了初始向量的長度、不再采用所有用戶共用密鑰而改用動態(tài)密鑰機制為每個用戶生成獨立密鑰、采用MIC（信息完整性校驗）機制通過完整性校驗保護源地址、為每個幀分配序列號防范重放攻擊等。

4.隨著2004年IEEE推出802.11i標準，Wi-Fi聯(lián)盟也以此為基準修訂WPA，推出了WPA2。WPA2采用802.11i定義的默認加密方式CCMP（計數(shù)器模式密碼塊鏈信息認證協(xié)議），CCMP使用AES（高級加密標準）作為加密算法，該算法彌補了RC4的缺陷，安全性更高。但AES對硬件要求較高，無法通過軟件升級舊設備或舊網(wǎng)卡的方式支持CCMP。

5.為了滿足兼容性，目前WPA和WPA2都支持802.1X和PSK認證，也都支持TKIP和CCMP加密算法。WPA和WPA2的不同主要表現(xiàn)在協(xié)議報文格式上的不同。WPA和WPA2分為個人版和企業(yè)版。個人版在AP和STA間采用預共享密鑰（PSK）的方式進行認證；企業(yè)版采用專門的認證服務器通過802.1X等方式進行認證。

6.2018年1月，Wi-Fi聯(lián)盟在WPA2的基礎上發(fā)布了新一代的WPA3，WPA3個人版采用SAE（對等實體同時驗證）協(xié)議取代了WPA/WPA2的PSK認證方式，可有效抵御離線字典攻擊和增加暴力破解的難度。WPA3個人版采用向前保密，使攻擊者就算有密碼也無法解密截獲的數(shù)據(jù)。WPA3企業(yè)版沒有從根本上改變原有協(xié)議，主要從數(shù)據(jù)保護、流量保護和管理幀保護等方面進行了提升。11.1.3CAPWAP隧道一、AC與AP間隧道的建立在瘦AP+AC的組網(wǎng)模式中，全網(wǎng)的AP由AC統(tǒng)一管理，AC承擔了AP配置、用戶接入認證等管理功能，AC與AP之間采用稱為CAPWAP的通信協(xié)議建立隧道。CAPWAP隧道包括控制通道和數(shù)據(jù)通道兩種，分別使用UDP的5246端口和5247端口。CAPWAP隧道的建立過程如下：1.AP獲取地址。通過配置DHCP服務（可在AC或核心交換機等設備上配置），為AP分配IP地址。2.AP發(fā)現(xiàn)AC。AP可以通過DHCP服務的Option43字段或通過DNS解析獲取AC的IP地址。獲取到AC的地址后，AP發(fā)送DiscoveryRequest報文嘗試關聯(lián)AC（三層網(wǎng)絡通過單播、二層網(wǎng)絡通過廣播），AC收到請求后返回攜帶有AC優(yōu)先級和當前已關聯(lián)AP數(shù)量等信息的DiscoveryResponse給AP，由AP決定與哪個AC建立連接。3.建立DTLS連接。DTLS（DatagramTransportLevelSecurity，數(shù)據(jù)報安全傳輸協(xié)議）是UDP版本的TLS，用于防數(shù)據(jù)被竊聽、篡改、身份冒充等。AC在DiscoveryResponse中會指示是否采用DTLS加密CAPWAP隧道中的UDP報文。

4.AP加入AC。AP發(fā)送JoinRequest報文請求加入AC并建立控制通道，AC發(fā)送JoinResponse響應。

5.AP版本升級。AP根據(jù)JoinResponse攜帶的版本要求判斷自身版本是否符合，若不符合則向AC申請下發(fā)新版本。

6.AP配置下發(fā)。AP版本達到要求后，向AC發(fā)送ConfigurationStatusRequest（配置狀態(tài)請求）報文，請求報文攜帶了AP現(xiàn)有的配置，若AC發(fā)現(xiàn)AP的配置不符合要求，則發(fā)送ConfigurationStatusResponse報文通知AP同步配置。

7.AP配置確認。AP配置完成后，向AC發(fā)送ChangeStateEventRequest（配置確認請求）報文，其中包含射頻、錯誤碼、配置信息等。AC回復ChangeStateEventResponse（配置確認響應）。

8.AP運行。配置確認后，意味著CAPWAP的控制通道已成功建立，AP進入運行狀態(tài)，可以開始轉發(fā)數(shù)據(jù)了。AP運行后會定期向AC發(fā)送EchoRequest（控制通道?；睿﹫笪模珹C回應EchoResponse（控制通道響應）表示控制通道正常；另外，AP還定期向AC發(fā)送Keepalive（數(shù)據(jù)通道保活）報文，AC回應Keepalive報文表示數(shù)據(jù)通道正常。

二、CAPWAP數(shù)據(jù)的傳輸

CAPWAP隧道承載的數(shù)據(jù)包括管理報文和業(yè)務報文。其中，管理報文必須封裝在CAPWAP控制通道中，在AP和AC間傳輸；業(yè)務報文則可選擇不經(jīng)過CAPWAP封裝直接由AP轉發(fā)到上行網(wǎng)絡（稱為直接轉發(fā)或本地轉發(fā)），也可選擇先由AP封裝到CAPWAP數(shù)據(jù)通道中傳輸給AC，再由AC進一步轉發(fā)（稱為隧道轉發(fā)或集中轉發(fā)）。

1.以管理報文從AC發(fā)往AP為例分析管理報文的傳輸。管理載荷在AC上會先封裝CAPWAP頭部，再封裝UDP/IP頭部，再封裝802.3以太網(wǎng)頭部，最后封裝上管理VLANID頭部形成管理報文。封裝好后的管理報文途經(jīng)交換機轉發(fā)給AP。交換機在與AP相連的端口上一般要將PVID設置為管理VLANID，這樣交換機就會先去掉PVID（即管理VLANID），再將管理報文轉交給AP。之所以要這樣處理，是因為AP一般只將不帶VLAN標記的報文識別為管理報文。AP識別出管理報文后，依次去掉報文的802.3頭部、UDP/IP頭部和CAPWAP頭部，再對剩下的管理載荷進行處理。

2.再以業(yè)務報文從無線終端發(fā)往AP為例，分析業(yè)務報文的直接轉發(fā)模式和隧道轉發(fā)模式。在直接轉發(fā)模式下，無線工作站的無線網(wǎng)卡將業(yè)務數(shù)據(jù)封裝上無線的802.11頭部，通過無線信道發(fā)送到AP，AP收到的業(yè)務報文后，去除無線的802.11頭部，封裝上有線以太網(wǎng)的802.3頭部，然后直接將其通過上行交換機轉發(fā)到上行網(wǎng)絡，無需經(jīng)過AC集中處理，適用于中小規(guī)模的WLAN；隧道模式下，業(yè)務報文在AP上進行CAPWAP封裝后經(jīng)CAPWAP數(shù)據(jù)通道傳到AC，由AC將其解封裝后轉發(fā)到上行網(wǎng)絡，有利于數(shù)據(jù)傳輸?shù)陌踩?、有利于AC對數(shù)據(jù)的集中控制和管理，適用于在現(xiàn)網(wǎng)中新增設備、減少對現(xiàn)網(wǎng)的改動。11.2.2華為無線設備的配置

如圖11-15所示，搭建拓撲，完成華為無線設備的配置。其中，AC采用設備AC6005，AP采用設備AP6050。規(guī)劃VLAN100為業(yè)務VLAN、VLAN101為管理VLAN。

圖11-15華為無線設備配置的拓撲11.2無線設備的配置

1.將AC與AP鏈接的端口配置為trunk類型、端口PVID為管理VLAN101。命令如下：[AC6005]vlanbatch100101//創(chuàng)建VLAN100和101[AC6005]interfaceGigabitEthernet0/0/1[AC6005-GigabitEthernet0/0/1]portlink-typetrunk[AC6005-GigabitEthernet0/0/1]porttrunkallow-passvlanall[AC6005-GigabitEthernet0/0/1]quit[AC6005]interfaceGigabitEthernet0/0/2[AC6005-GigabitEthernet0/0/2]portlink-typetrunk//設置端口配置為trunk類型[AC6005-GigabitEthernet0/0/2]porttrunkpvidvlan101//修改PVID為管理VLAN101[AC6005-GigabitEthernet0/0/2]porttrunkallow-passvlanall

2.配置VLANIF接口DHCP功能，PC的地址通過VLAN100使用全局地址池自動獲??；AP的地址通過管理VLAN101使用接口地址池自動獲取。命令如下:[AC6005]ippoolpoolAC//創(chuàng)建全局地址池poolAC[AC6005-ip-pool-poolAC]network192.168.100.0mask24[AC6005-ip-pool-poolAC]gateway-list192.168.100.1[AC6005-ip-pool-poolAC]dns-list192.168.100.1[AC6005-ip-pool-poolAC]excluded-ip-address192.168.100.2[AC6005-ip-pool-poolAC]quit[AC6005]dhcpenable[AC6005]interfaceVlanif100[AC6005-Vlanif100]ipaddress192.168.100.2255.255.255.0[AC6005-Vlanif100]dhcpselectglobal//配置PC通過全局地址池獲取IP地址[AC6005-Vlanif100]quit[AC6005]interfaceVlanif101[AC6005-Vlanif101]ipaddress192.168.101.124[AC6005-Vlanif101]dhcpselectinterface//配置AP通過接口地址池自動獲取IP地址

3.創(chuàng)建AP組,命令如下：[AC6005]capwapsourceinterfaceVlanif101//配置AC管理AP的源接口[AC6005]wlan[AC6005-wlan-view]ap-groupnameap01//創(chuàng)建AP組ap01[AC6005-wlan-ap-group-ap01]quit[AC6005-wlan-view]regulatory-domain-profilenameregDomainProf//創(chuàng)建監(jiān)管域模板[AC6005-wlan-regulate-domain-regDomainProf]country-codeCN[AC6005-wlan-regulate-domain-regDomainProf]quit[AC6005-wlan-view]ap-groupnameap01//進入AP組ap01[AC6005-wlan-ap-group-ap01]regulatory-domain-profileregDomainProf//綁定監(jiān)管域模板Warning:Modifyingthecountrycodewillclearchannel,powerandantennagainconfigurationsoftheradioandresettheAP.Continue?[Y/N]:y//選擇Y[AC6005-wlan-ap-group-ap01]quit[AC6005-wlan-view]quit

4.將AP綁定到AP組中,命令如下：[AC6005]wlan[AC6005-wlan-view]apauth-modemac-auth//配置認證模式為mac認證，這是缺省值[AC6005-wlan-view]ap-id0ap-mac00E0-FC82-1E90//指定接受管理的AP的MAC

如圖11-16所示，AP1的MAC地址是00E0-FC82-1E90。[AC6005-wlan-ap-0]ap-namearea_1[AC6005-wlan-ap-0]ap-groupap01//將該AP綁定到AP組ap01中Warning:ThisoperationmaycauseAPreset.Ifthecountrycodechanges,itwillclearchannel,powerandantennagainconfigurationsoftheradio,Whethertocontinue?[Y/N]:y[AC6005-wlan-ap-0]return圖11-16查看AP1的MAC地址

5.將AP上電，執(zhí)行命令displayapall，如果查看到AP的“State”字段為“nor”，表示AP正常上線。命令如下：<AC6005>displayapall-----------------------------------------------------------------------------------------------------------------------IDMACNameGroupIPTypeStateSTAUptime-----------------------------------------------------------------------------------------------------------------------000e0-fc82-1e90area_1ap01192.168.101.200AP6050DNnor02M:14S-----------------------------------------------------------------------------------------------------------------------Total:1

6.配置WLAN的業(yè)務參數(shù),方法如下：

（1）創(chuàng)建SSID模板，命令如下：[AC6005]wlan[AC6005-wlan-view]ssid-profilenamessidProf//創(chuàng)建SSID模板ssidProf[AC6005-wlan-ssid-prof-ssidProf]ssidhuawei//配置SSID名稱為“huawei”

（2）配置安全模板(可選)，命令如下：[AC6005-wlan-view]security-profilenamesecProf//創(chuàng)建安全模板secProf[AC6005-wlan-sec-prof-secProf]securitywpa2pskpass-phrasehuawei@123aes//認證類型采用wpa2，密碼設為huawei@123，加密算法采用aes

（3）創(chuàng)建VAP模板，配置業(yè)務數(shù)據(jù)轉發(fā)模式、業(yè)務VLAN，并引用SSID模板和安全模板，命令如下：[AC6005-wlan-view]vap-profilenamevapProf//創(chuàng)建VAP模板[AC6005-wlan-vap-prof-vapProf]forward-modetunnel//轉發(fā)模式設置為隧道模式[AC6005-wlan-vap-prof-vapProf]service-vlanvlan-id100//業(yè)務VLAN綁定到VLAN100[AC6005-wlan-vap-prof-vapProf]ssid-profilessidProf//綁定ssid模板[AC6005-wlan-vap-prof-vapProf]security-profilesecProf//綁定安全模板[AC6005-wlan-vap-prof-vapProf]quit

（4）配置AP組引用VAP模板，AP上射頻0使用VAP模板的配置，因為實驗中只有一個AP，所以使用射頻0，命令如下：[AC6005-wlan-view]ap-groupnameap01[AC6005-wlan-ap-group-ap01]vap-profilevapProfwlan1radio0[AC6005-wlan-ap-group-ap01]return

（5）WLAN業(yè)務配置會自動下發(fā)給AP，配置完成后，通過執(zhí)行命令displayvapssidhuawei查看如下信息，當“Status”項顯示為“ON”時，表示AP對應的射頻上的VAP已創(chuàng)建成功，命令如下：<AC6005>displayvapssidhuaweiWID:WLANIDAPIDAPnameRfIDWIDBSSIDStatusAuthtypeSTASSID

0area_10100E0-FC82-1E90ONWPA2-PSK0huawei

7.如圖11-17所示，在STA1上進行連接測試，雙擊值為“huawei”的SSID，輸入密碼“huawei@123”進行連接。圖11-17在STA1上進行連接測試

8.連接成功后的效果圖如圖11-18所示。圖11-18無線連接成功的效果圖謝謝欣賞第11章組建無線局域網(wǎng)編著：

秦燊無線局域網(wǎng)（WLAN）是指以無線信道作為傳輸媒介的局域網(wǎng)絡。無線局域網(wǎng)WLAN的傳輸介質(zhì)包括紅外線、無線電波等，紅外技術已逐漸被藍牙技術（IEEE802.15）取代。藍牙工作在2.4GHz頻段，傳輸速率最高1Mb/s，傳輸距離最大10米，用于個人操作空間，藍牙技術與IEEE802.11協(xié)議互相補充。無線局域網(wǎng)基于IEEE802.11協(xié)議簇工作。IEEE802.11協(xié)議簇包括802.11a、802.11b、802.11g、802.11n（Wi-Fi4）、802.11ac（Wi-Fi5）和802.11ax（Wi-Fi6）等多個標準。其中，2019年推出的802.11ax工作頻率為2.4GHz或5GHz，寬帶速率可達600~9608Mb/s。11.1無線局域網(wǎng)基礎

常見的WLAN組網(wǎng)設備如下：

1.無線工作站（STA），指連接到無線網(wǎng)絡的計算機或智能終端。如PC、平板電腦、智能手機、無線打印機等。

2.無線接入點（AP），指為無線工作站連接到無線網(wǎng)絡提供接入服務的無線網(wǎng)絡設備。分為胖AP（FATAP）和瘦AP（FITAP）。胖AP適用于規(guī)模較小的環(huán)境，每臺胖AP需要單獨配置，胖AP除了具有基本的射頻信號接入功能外，還具有IP地址分配、安全管理等網(wǎng)絡管理功能；瘦AP適用于規(guī)模較大的環(huán)境，僅對外提供射頻信號接入功能，各瘦AP無法單獨配置，而是集中由一臺專門的設備統(tǒng)一配置，減輕大規(guī)模環(huán)境下管理員的工作負擔，提高工作效率。11.1.1常見的WLAN組網(wǎng)設備3.無線接入控制器（AccessController，AC），指用于集中控制管理瘦AP的網(wǎng)絡設備。采用瘦AP組網(wǎng)時，由AC承擔對AP的管理任務、向瘦AP下發(fā)配置，提供IP地址分配、DHCP服務等網(wǎng)絡管理功能。網(wǎng)絡管理員一般只需關注AC，無需逐一對AP進行配置，減少了工作量，增強了WLAN的擴展性。4.天線，由發(fā)送端天線和接收端天線組成。發(fā)送端發(fā)射的射頻信號通過饋線輸送到發(fā)送端天線，由天線以電磁波的形式輻射出去；接收端天線接收到電磁波后，再通過饋線輸送到接收端。兩個無線設備相距較遠時，可借助天線提升射頻信號強度。11.1.2無線局域網(wǎng)安全

如果無線接入點沒有開啟安全設置功能，那么周邊的移動終端都可以查看到它的SSID（服務集標識符）值，無須密碼直接接入，造成安全隱患，因此為WLAN開啟安全設置是很重要的。WLAN安全設置包括禁用SSID廣播、數(shù)據(jù)加密等。

1.SSID代表了一個無線局域網(wǎng)，只有連接到相同SSID值的終端才能直接通信。禁用SSID廣播可以避免無線網(wǎng)絡的SSID顯示在用戶無線網(wǎng)卡發(fā)現(xiàn)的SSID列表中，減少受到攻擊的概率。另外，由于無線路由器或無線AP都有默認SSID值，為避免攻擊者嘗試使用默認SSID連接無線網(wǎng)絡，啟用WLAN時建議修改SSID值。

2.為避免非法用戶入侵和竊聽，需要開啟加密、認證等功能。無線網(wǎng)絡的數(shù)據(jù)加密技術有WEP（有線等效保密）、WPA、WPA2、WPA3等。WEP是802.11系列標準定義的鏈路層加密協(xié)議，協(xié)議核心是李斯特加密（RivestCipher4，RC4）算法，算法采用靜態(tài)共享密鑰（PSK），稱為靜態(tài)WEP。由于靜態(tài)WEP安全性較低，有些廠商結合802.1X技術，推出了動態(tài)WEP標準。

3.為克服靜態(tài)WEP的弱點，Wi-Fi聯(lián)盟也于2003年推出了WPA（Wi-Fi保護接入）標準，該標準在WEP的基礎上提出了TKIP（臨時密鑰完整性協(xié)議）加密方式。TKIP保留了WEP的基本架構，仍使用RC4的流加密機制，但增加了初始向量的長度、不再采用所有用戶共用密鑰而改用動態(tài)密鑰機制為每個用戶生成獨立密鑰、采用MIC（信息完整性校驗）機制通過完整性校驗保護源地址、為每個幀分配序列號防范重放攻擊等。

4.隨著2004年IEEE推出802.11i標準，Wi-Fi聯(lián)盟也以此為基準修訂WPA，推出了WPA2。WPA2采用802.11i定義的默認加密方式CCMP（計數(shù)器模式密碼塊鏈信息認證協(xié)議），CCMP使用AES（高級加密標準）作為加密算法，該算法彌補了RC4的缺陷，安全性更高。但AES對硬件要求較高，無法通過軟件升級舊設備或舊網(wǎng)卡的方式支持CCMP。

5.為了滿足兼容性，目前WPA和WPA2都支持802.1X和PSK認證，也都支持TKIP和CCMP加密算法。WPA和WPA2的不同主要表現(xiàn)在協(xié)議報文格式上的不同。WPA和WPA2分為個人版和企業(yè)版。個人版在AP和STA間采用預共享密鑰（PSK）的方式進行認證；企業(yè)版采用專門的認證服務器通過802.1X等方式進行認證。

6.2018年1月，Wi-Fi聯(lián)盟在WPA2的基礎上發(fā)布了新一代的WPA3，WPA3個人版采用SAE（對等實體同時驗證）協(xié)議取代了WPA/WPA2的PSK認證方式，可有效抵御離線字典攻擊和增加暴力破解的難度。WPA3個人版采用向前保密，使攻擊者就算有密碼也無法解密截獲的數(shù)據(jù)。WPA3企業(yè)版沒有從根本上改變原有協(xié)議，主要從數(shù)據(jù)保護、流量保護和管理幀保護等方面進行了提升。11.1.3CAPWAP隧道一、AC與AP間隧道的建立在瘦AP+AC的組網(wǎng)模式中，全網(wǎng)的AP由AC統(tǒng)一管理，AC承擔了AP配置、用戶接入認證等管理功能，AC與AP之間采用稱為CAPWAP的通信協(xié)議建立隧道。CAPWAP隧道包括控制通道和數(shù)據(jù)通道兩種，分別使用UDP的5246端口和5247端口。CAPWAP隧道的建立過程如下：1.AP獲取地址。通過配置DHCP服務（可在AC或核心交換機等設備上配置），為AP分配IP地址。2.AP發(fā)現(xiàn)AC。AP可以通過DHCP服務的Option43字段或通過DNS解析獲取AC的IP地址。獲取到AC的地址后，AP發(fā)送DiscoveryRequest報文嘗試關聯(lián)AC（三層網(wǎng)絡通過單播、二層網(wǎng)絡通過廣播），AC收到請求后返回攜帶有AC優(yōu)先級和當前已關聯(lián)AP數(shù)量等信息的DiscoveryResponse給AP，由AP決定與哪個AC建立連接。3.建立DTLS連接。DTLS（DatagramTransportLevelSecurity，數(shù)據(jù)報安全傳輸協(xié)議）是UDP版本的TLS，用于防數(shù)據(jù)被竊聽、篡改、身份冒充等。AC在DiscoveryResponse中會指示是否采用DTLS加密CAPWAP隧道中的UDP報文。

4.AP加入AC。AP發(fā)送JoinRequest報文請求加入AC并建立控制通道，AC發(fā)送JoinResponse響應。

5.AP版本升級。AP根據(jù)JoinResponse攜帶的版本要求判斷自身版本是否符合，若不符合則向AC申請下發(fā)新版本。

6.AP配置下發(fā)。AP版本達到要求后，向AC發(fā)送ConfigurationStatusRequest（配置狀態(tài)請求）報文，請求報文攜帶了AP現(xiàn)有的配置，若AC發(fā)現(xiàn)AP的配置不符合要求，則發(fā)送ConfigurationStatusResponse報文通知AP同步配置。

7.AP配置確認。AP配置完成后，向AC發(fā)送ChangeStateEventRequest（配置確認請求）報文，其中包含射頻、錯誤碼、配置信息等。AC回復ChangeStateEventResponse（配置確認響應）。

8.AP運行。配置確認后，意味著CAPWAP的控制通道已成功建立，AP進入運行狀態(tài)，可以開始轉發(fā)數(shù)據(jù)了。AP運行后會定期向AC發(fā)送EchoRequest（控制通道?；睿﹫笪?，AC回應EchoResponse（控制通道響應）表示控制通道正常；另外，AP還定期向AC發(fā)送Keepalive（數(shù)據(jù)通道保活）報文，AC回應Keepalive報文表示數(shù)據(jù)通道正常。

二、CAPWAP數(shù)據(jù)的傳輸

CAPWAP隧道承載的數(shù)據(jù)包括管理報文和業(yè)務報文。其中，管理報文必須封裝在CAPWAP控制通道中，在AP和AC間傳輸；業(yè)務報文則可選擇不經(jīng)過CAPWAP封裝直接由AP轉發(fā)到上行網(wǎng)絡（稱為直接轉發(fā)或本地轉發(fā)），也可選擇先由AP封裝到CAPWAP數(shù)據(jù)通道中傳輸給AC，再由AC進一步轉發(fā)（稱為隧道轉發(fā)或集中轉發(fā)）。

1.以管理報文從AC發(fā)往AP為例分析管理報文的傳輸。管理載荷在AC上會先封裝CAPWAP頭部，再封裝UDP/IP頭部，再封裝802.3以太網(wǎng)頭部，最后封裝上管理VLANID頭部形成管理報文。封裝好后的管理報文途經(jīng)交換機轉發(fā)給AP。交換機在與AP相連的端口上一般要將PVID設置為管理VLANID，這樣交換機就會先去掉PVID（即管理VLANID），再將管理報文轉交給AP。之所以要這樣處理，是因為AP一般只將不帶VLAN標記的報文識別為管理報文。AP識別出管理報文后，依次去掉報文的802.3頭部、UDP/IP頭部和CAPWAP頭部，再對剩下的管理載荷進行處理。

2.再以業(yè)務報文從無線終端發(fā)往AP為例，分析業(yè)務報文的直接轉發(fā)模式和隧道轉發(fā)模式。在直接轉發(fā)模式下，無線工作站的無線網(wǎng)卡將業(yè)務數(shù)據(jù)封裝上無線的802.11頭部，通過無線信道發(fā)送到AP，AP收到的業(yè)務報文后，去除無線的802.11頭部，封裝上有線以太網(wǎng)的802.3頭部，然后直接將其通過上行交換機轉發(fā)到上行網(wǎng)絡，無需經(jīng)過AC集中處理，適用于中小規(guī)模的WLAN；隧道模式下，業(yè)務報文在AP上進行CAPWAP封裝后經(jīng)CAPWAP數(shù)據(jù)通道傳到AC，由AC將其解封裝后轉發(fā)到上行網(wǎng)絡，有利于數(shù)據(jù)傳輸?shù)陌踩?、有利于AC對數(shù)據(jù)的集中控制和管理，適用于在現(xiàn)網(wǎng)中新增設備、減少對現(xiàn)網(wǎng)的改動。11.2.3華三無線設備的配置

在HCL中搭建如圖11-19所示的拓撲，完成華三無線設備的配置。

圖11-19華三無線設備配置的拓撲11.2無線設備的配置1.AC的vlan、dhcp配置，命令如下：[AC1]vlan100[AC1-vlan100]quit[AC1]vlan101[AC1-vlan101]quit[AC1]interfaceVlan-interface100[AC1-Vlan-interface100]ipaddress192.168.100.124[AC1-Vlan-interface100]quit[AC1]interfaceVlan-interface101[AC1-Vlan-interface101]ipaddress192.168.101.124[AC1-Vlan-interface101]quit[AC1]interfaceGigabitEthernet1/0/0[AC1-GigabitEthernet1/0/0]portlink-typetrunk[AC1-GigabitEthernet1/0/0]porttrunkpermitvlan100101[AC1-GigabitEthernet1/0/0]quit[AC1]dhcpserverip-poolvlan100[AC1-dhcp-pool-vlan100]network192.168.100.024[AC1-dhcp-pool-vlan100]gateway-list192.168.100.1[AC1-dhcp-pool-vlan100]quit[AC1]dhcpserverip-poolvlan101[AC1-dhcp-pool-vlan101]network192.168.101.024[AC1-dhcp-pool-vlan101]gateway-list192.168.101.1[AC1-dhcp-pool-vlan101]forbidden-ip192.168.101.1[AC1-dhcp-pool-vlan101]quit[AC1]dhcpenable2.交換機SW1的vlan配置，命令如下：[SW1]vlan100[SW1-vlan100]quit[SW1]vlan101[SW1-vlan101]quit[SW1]interfaceGigabitEthernet1/0/1[SW1-GigabitEthernet1/0/1]portlink-typetrunk[SW1-GigabitEthernet1/0/1]porttrunkpermitvlan100101[SW1-GigabitEthernet1/0/1]undoporttrunkpermitvlan1[SW1-GigabitEthernet1/0/1]quit[SW1]interfaceGigabitEthernet1/0/2[SW1-GigabitEthernet1/0/2]portlink-typetrunk[SW1-GigabitEthernet1/0/2]porttrunkpermitvlan100101[SW1-GigabitEthernet1/0/2]undoporttrunkpermitvlan1[SW1-GigabitEthernet1/0/2]porttrunkpvidvlan1013..在AC1上開啟自動AP，命令如下：[AC1]wlanauto-apenable//開啟自動AP使用自動AP的功能是為了在無線網(wǎng)絡中部署的AP數(shù)量較多時，使用自動AP功能可以減少管理員的配置工作量，并可以簡化配置，避免多次配置AP序列號，同時降低了配置出錯的概率。開啟自動AP一段時間后，在AC上出現(xiàn)以下提示：%Aug1615:33:21:7522023AC1APMGR/6/APMGR_AP_ONLINE:-MDC=1;AP5ccc-d5d7-0300cameonline.StatechangedtoRun.%Aug1615:33:21:7532023AC1CWS/6/CWS_AP_UP:-MDC=1;MasterCAPWAPtunneltoAP5ccc-d5d7-0300wentup.4.在AC1查詢AP信息，顯示所有AP的信息，這里的主要目的是看自動上線的AP的名稱及其他參數(shù)信息，命令如下：[AC1]displaywlanapallTotalnumberofAPs:1TotalnumberofconnectedAPs:1TotalnumberofconnectedmanualAPs:0TotalnumberofconnectedautoAPs:1TotalnumberofconnectedcommonAPs:1TotalnumberofconnectedWTUs:0TotalnumberofinsideAPs:0MaximumsupportedAPs:60000RemainingAPs:59999TotalAPlicenses:60000LocalAPlicenses:60000ServerAPlicenses:0RemaininglocalAPlicenses:59999SyncAPlicenses:0

可以看到，AP名稱被命名為5ccc-d5d7-0300。

5.在AC上修改AP名稱，命令如下：[AC1]wlanauto-appersistentall//將自動AP固化為持久的可配置AP，否則無法修改AP名稱[AC1]wlanrename-ap5ccc-d5d7-0300ap1//修改AP名稱，將"5ccc-d5d7-0300"重命名為"ap1"

6.在AC上對AP進行配置，命令如下：[AC1]wlanservice-template1//創(chuàng)建無線服務模板[AC1-wlan-st-1]ssidguest//在無線服務模板視圖下配置SSID,即無線網(wǎng)絡名稱（WiFi名稱）[AC1-wlan-st-1]service-templateenable//開啟無線服務模板[AC1-wlan-st-1]quit[AC1]wlanap-groupgroup1//創(chuàng)建Wlan組[AC1-wlan-ap-group-group1]apap1//將名稱為"ap1"的ap加入到本組中[AC1-wlan-ap-group-group1]ap-modelWA6320-HCL//創(chuàng)建并進入AP組下的AP型號視圖[AC1-wlan-ap-group-group1-ap-model-WA6320-HCL]radio1//進入Radio視圖[AC1-wlan-ap-group-group1-ap-model-WA6320-HCL-radio-1]service-template1vlan100

//無線服務模板綁定Radio時綁定的VLANID，此處VLAN就是用戶dhcp獲取的網(wǎng)關vlanid[AC1-wlan-ap-group-group1-ap-model-WA6320-HCL-radio-1]radioenable//開啟射頻功能,即WiFi可被搜索7.如圖11-20所示，右擊Phone1，在彈出的菜單中選擇“配置”。圖11-20打開Phone1的配置界面8.如圖11-21所示，在“打開WIFI？”欄中選擇“是”，點開“連接狀態(tài)”列的開關鈕，點擊“IPv4配置”欄“DHCP”選項的“啟用”按鈕。圖11-21對Phone1進行WIFI連接配置9.如圖11-22所示，終端成功聯(lián)網(wǎng)。圖11-22終端成功聯(lián)網(wǎng)謝謝欣賞第11章組建無線局域網(wǎng)編著：

秦燊

無線局域網(wǎng)（WLAN）是指以無線信道作為傳輸媒介的局域網(wǎng)絡。無線局域網(wǎng)WLAN的傳輸介質(zhì)包括紅外線、無線電波等，紅外技術已逐漸被藍牙技術（IEEE802.15）取代。藍牙工作在2.4GHz頻段，傳輸速率最高1Mb/s，傳輸距離最大10米，用于個人操作空間，藍牙技術與IEEE802.11協(xié)議互相補充。無線局域網(wǎng)基于IEEE802.11協(xié)議簇工作。IEEE802.11協(xié)議簇包括802.11a、802.11b、802.11g、802.11n（Wi-Fi4）、802.11ac（Wi-Fi5）和802.11ax（Wi-Fi6）等多個標準。其中，2019年推出的802.11ax工作頻率為2.4GHz或5GHz，寬帶速率可達600~9608Mb/s。11.1無線局域網(wǎng)基礎

常見的WLAN組網(wǎng)設備如下：

1.無線工作站（STA），指連接到無線網(wǎng)絡的計算機或智能終端。如PC、平板電腦、智能手機、無線打印機等。

2.無線接入點（AP），指為無線工作站連接到無線網(wǎng)絡提供接入服務的無線網(wǎng)絡設備。分為胖AP（FATAP）和瘦AP（FITAP）。胖AP適用于規(guī)模較小的環(huán)境，每臺胖AP需要單獨配置，胖AP除了具有基本的射頻信號接入功能外，還具有IP地址分配、安全管理等網(wǎng)絡管理功能；瘦AP適用于規(guī)模較大的環(huán)境，僅對外提供射頻信號接入功能，各瘦AP無法單獨配置，而是集中由一臺專門的設備統(tǒng)一配置，減輕大規(guī)模環(huán)境下管理員的工作負擔，提高工作效率。11.1.1常見的WLAN組網(wǎng)設備3.無線接入控制器（AccessController，AC），指用于集中控制管理瘦AP的網(wǎng)絡設備。采用瘦AP組網(wǎng)時，由AC承擔對AP的管理任務、向瘦AP下發(fā)配置，提供IP地址分配、DHCP服務等網(wǎng)絡管理功能。網(wǎng)絡管理員一般只需關注AC，無需逐一對AP進行配置，減少了工作量，增強了WLAN的擴展性。4.天線，由發(fā)送端天線和接收端天線組成。發(fā)送端發(fā)射的射頻信號通過饋線輸送到發(fā)送端天線，由天線以電磁波的形式輻射出去；接收端天線接收到電磁波后，再通過饋線輸送到接收端。兩個無線設備相距較遠時，可借助天線提升射頻信號強度。11.1.2無線局域網(wǎng)安全

如果無線接入點沒有開啟安全設置功能，那么周邊的移動終端都可以查看到它的SSID（服務集標識符）值，無須密碼直接接入，造成安全隱患，因此為WLAN開啟安全設置是很重要的。WLAN安全設置包括禁用SSID廣播、數(shù)據(jù)加密等。

1.SSID代表了一個無線局域網(wǎng)，只有連接到相同SSID值的終端才能直接通信。禁用SSID廣播可以避免無線網(wǎng)絡的SSID顯示在用戶無線網(wǎng)卡發(fā)現(xiàn)的SSID列表中，減少受到攻擊的概率。另外，由于無線路由器或無線AP都有默認SSID值，為避免攻擊者嘗試使用默認SSID連接無線網(wǎng)絡，啟用WLAN時建議修改SSID值。

2.為避免非法用戶入侵和竊聽，需要開啟加密、認證等功能。無線網(wǎng)絡的數(shù)據(jù)加密技術有WEP（有線等效保密）、WPA、WPA2、WPA3等。WEP是802.11系列標準定義的鏈路層加密協(xié)議，協(xié)議核心是李斯特加密（RivestCipher4，RC4）算法，算法采用靜態(tài)共享密鑰（PSK），稱為靜態(tài)WEP。由于靜態(tài)WEP安全性較低，有些廠商結合802.1X技術，推出了動態(tài)WEP標準。

3.為克服靜態(tài)WEP的弱點，Wi-Fi聯(lián)盟也于2003年推出了WPA（Wi-Fi保護接入）標準，該標準在WEP的基礎上提出了TKIP（臨時密鑰完整性協(xié)議）加密方式。TKIP保留了WEP的基本架構，仍使用RC4的流加密機制，但增加了初始向量的長度、不再采用所有用戶共用密鑰而改用動態(tài)密鑰機制為每個用戶生成獨立密鑰、采用MIC（信息完整性校驗）機制通過完整性校驗保護源地址、為每個幀分配序列號防范重放攻擊等。

4.隨著2004年IEEE推出802.11i標準，Wi-Fi聯(lián)盟也以此為基準修訂WPA，推出了WPA2。WPA2采用802.11i定義的默認加密方式CCMP（計數(shù)器模式密碼塊鏈信息認證協(xié)議），CCMP使用AES（高級加密標準）作為加密算法，該算法彌補了RC4的缺陷，安全性更高。但AES對硬件要求較高，無法通過軟件升級舊設備或舊網(wǎng)卡的方式支持CCMP。

5.為了滿足兼容性，目前WPA和WPA2都支持802.1X和PSK認證，也都支持TKIP和CCMP加密算法。WPA和WPA2的不同主要表現(xiàn)在協(xié)議報文格式上的不同。WPA和WPA2分為個人版和企業(yè)版。個人版在AP和STA間采用預共享密鑰（PSK）的方式進行認證；企業(yè)版采用專門的認證服務器通過802.1X等方式進行認證。

6.2018年1月，Wi-Fi聯(lián)盟在WPA2的基礎上發(fā)布了新一代的WPA3，WPA3個人版采用SAE（對等實體同時驗證）協(xié)議取代了WPA/WPA2的PSK認證方式，可有效抵御離線字典攻擊和增加暴力破解的難度。WPA3個人版采用向前保密，使攻擊者就算有密碼也無法解密截獲的數(shù)據(jù)。WPA3企業(yè)版沒有從根本上改變原有協(xié)議，主要從數(shù)據(jù)保護、流量保護和管理幀保護等方面進行了提升。11.1.3CAPWAP隧道一、AC與AP間隧道的建立在瘦AP+AC的組網(wǎng)模式中，全網(wǎng)的AP由AC統(tǒng)一管理，AC承擔了AP配置、用戶接入認證等管理功能，AC與AP之間采用稱為CAPWAP的通信協(xié)議建立隧道。CAPWAP隧道包括控制通道和數(shù)據(jù)通道兩種，分別使用UDP的5246端口和5247端口。CAPWAP隧道的建立過程如下：1.AP獲取地址。通過配置DHCP服務（可在AC或核心交換機等設備上配置），為AP分配IP地址。2.AP發(fā)現(xiàn)AC。AP可以通過DHCP服務的Option43字段或通過DNS解析獲取AC的IP地址。獲取到AC的地址后，AP發(fā)送DiscoveryRequest報文嘗試關聯(lián)AC（三層網(wǎng)絡通過單播、二層網(wǎng)絡通過廣播），AC收到請求后返回攜帶有AC優(yōu)先級和當前已關聯(lián)AP數(shù)量等信息的DiscoveryResponse給AP，由AP決定與哪個AC建立連接。3.建立DTLS連接。DTLS（DatagramTransportLevelSecurity，數(shù)據(jù)報安全傳輸協(xié)議）是UDP版本的TLS，用于防數(shù)據(jù)被竊聽、篡改、身份冒充等。AC在DiscoveryResponse中會指示是否采用DTLS加密CAPWAP隧道中的UDP報文。

4.AP加入AC。AP發(fā)送JoinRequest報文請求加入AC并建立控制通道，AC發(fā)送JoinResponse響應。

5.AP版本升級。AP根據(jù)JoinResponse攜帶的版本要求判斷自身版本是否符合，若不符合則向AC申請下發(fā)新版本。

6.AP配置下發(fā)。AP版本達到要求后，向AC發(fā)送ConfigurationStatusRequest（配置狀態(tài)請求）報文，請求報文攜帶了AP現(xiàn)有的配置，若AC發(fā)現(xiàn)AP的配置不符合要求，則發(fā)送ConfigurationStatusResponse報文通知AP同步配置。

7.AP配置確認。AP配置完成后，向AC發(fā)送ChangeStateEventRequest（配置確認請求）報文，其中包含射頻、錯誤碼、配置信息等。AC回復ChangeStateEventResponse（配置確認響應）。

8.AP運行。配置確認后，意味著CAPWAP的控制通道已成功建立，AP進入運行狀態(tài)，可以開始轉發(fā)數(shù)據(jù)了。AP運行后會定期向AC發(fā)送EchoRequest（控制通道保活）報文，AC回應EchoResponse（控制通道響應）表示控制通道正常；另外，AP還定期向AC發(fā)送Keepalive（數(shù)據(jù)通道?；睿﹫笪?，AC回應Keepalive報文表示數(shù)據(jù)通道正常。

二、CAPWAP數(shù)據(jù)的傳輸

CAPWAP隧道承載的數(shù)據(jù)包括管理報文和業(yè)務報文。其中，管理報文必須封裝在CAPWAP控制通道中，在AP和AC間傳輸；業(yè)務報文則可選擇不經(jīng)過CAPWAP封裝直接由A