神州数码无线控制器及AP配置方法培训.ppt

无线控制器及AP配置方法培训 DCN客户服务中心 主要内容 无线网络基本结构 无线控制器基本配置模式及AP常规配置 无线控制器无线功能开启与关闭 无线集群的建立 AP配置管理 客户端接入认证配置 Portal认证配置 数据转发功能配置 射频管理功能配置 无线安全功能配置 主要内容 无线控制器基本配置模式 约定 无线控制器 即AC DCWS 6028有线无线智能一体化控制器AP 瘦AP 由AC进行控制和管理 无线控制器上标识AP及客户端的依据是MAC地址 无线控制器基本配置模式 无线全局配置模式APdatabase配置模式APprofile配置模式Radio配置模式 无线控制器基本配置模式 VAP配置模式Network配置模式CaptivePortal配置模式CaptivePortal实例配置模式 AP常规配置项 AP常规配置项 AP常规配置项 AP上面设置网关 查看路由表和ARP表 AP恢复出厂配置 or 无线控制器无线功能开启与关闭 无线功能正常开启的条件 AC上面有合法的用于无线模块的IP地址 无线IP地址来源 只能来源于AC上面loopback接口或者UP的三层接口的IP地址 无线IP地址配置方式 静态指定 动态选取 动态选取的IP优先级高于静态指定的IP 动态选取IP的原则 优先选择接口ID小的loopback接口的地址 不存在loopback接口时优先选择接口ID小的三层接口的IP地址 无线控制器无线功能开启与关闭 静态指定无线IP地址时无线功能的开启 设置静态的无线IP地址关闭无线地址的自动选择功能通过enable使能无线功能 无线控制器无线功能开启与关闭 无线控制器无线功能开启与关闭 通过showwireless命令来查看无线功能开启情况 主要查看最前面的几行信息 无线控制器无线功能开启与关闭 动态选取无线IP时无线功能的开启 打开自动选择无线IP的功能 此功能默认是打开的 如果之前使用了静态配置的方式 则需要重新打开 通过enable使能无线功能 无线控制器无线功能开启与关闭 AC上面存在如下的接口 在动态选取的情况下 接口loopback1的IP地址1 1 1 1会成为无线IP地址 无线控制器无线功能开启与关闭 无线控制器无线功能开启与关闭 无线功能的关闭 无线全局配置模式下通过noenable命令关闭无线功能 如果无线功能开启失败 如何检查呢 可能的原因 AC上面没有loopback接口或者up的三层接口 Loopback接口或者up的三层接口没有配置IP地址 静态配置的无线地址不是本机存在的loopback接口或者up的三层接口的IP地址 关闭了自动选取 但是没有配置静态IP 集群的建立 集群是WLAN运行的基础 多台无线控制器之间建立TLS连接 各个无线控制器与其所管理的AP建立TLS连接 进而构成了整个无线的集群 集群会选举一台AC为Controller 单台无线控制器和若干台AP可以构成最简单的集群 集群建立的过程就是AC AC间 AC AP之间建立TLS连接的过程 TLS连接的建立是通过自动发现来完成的 自动发现概述 自动发现方式 三层IP发现 二层广播发现 两种方式均通过发送discovery报文进行 整个自动发现的交互过程要求两个设备之间三层可达 三层发现的discovery报文可以跨越多个网段 二层广播发现discovery报文仅在同一个VLAN内转发 自动发现包括AP自动发现和AC自动发现 方式基本相同 略有区别 自动发现概述 三层自动发现列表ip list max256 二层广播自动发现vlan列表 max16 自动发现概述 打开 关闭自动发现功能 默认两种自动发现是打开的 可以通过no命令关闭 自动发现概述 AP自动发现 通过AP自动发现 可以使AP被某个AC管理 两种模式 AC主动发现AP AP处于被动发现状态AP主动发现AC 即在AP上面指定AC的IP地址 模式一 AC主动发现AP 在AC添加AP的database 即AP的mac地址 如果使用三层发现 则把AP的IP地址添加到ip list 如果使用二层发现 则把AP所在的vlanid添加到vlan list 模式一 AC主动发现AP 模式二 AP主动发现AC AP上面添加静态的AC的无线地址 最多4个 AC上面查看AP的管理状态 AP自动注册 AC上面可以设置AP上线时的认证模式为none 此时如果AC上面没有添加AP database 经过自动发现 AC会自动添加与之建立TLS连接的AP的database AC自动发现 如果使用三层发现 在AC的三层发现ip list中添加其他AC的无线IP 如果使用二层发现 将其他AC所属的vlanid添加到vlan list中 通过showwirelesspeer switch来查看集群中与本机建立TLS连接的其他AC 如果AP不能成功上线 如何检查 请尝试检查 AC和AP之间是否可以ping通 注意AC在pingAP的时候 要以无线IP作为源地址 如果不能ping通 需要检查AC的路由以及AP的网关 AC是否正确开启了自动发现功能 采用三层发现时 AP的IP地址是否存在于三层发现的ip list中 采用二层发现时 AP所在的vlanid是否存在于二层发现的vlan list中 AP上面是否正确指定了AC的无线IP地址 登录AP 通过get managed ap命令 查看mode一项的值是否为up 在AC上面打开自动发现的debugwirelessdiscoverypacketall来监控AC和AP之间的报文交互是否正常 AP配置下发 瘦AP的配置由管理它的AC通过approfile下发 AP上线后 管理AC会自动下发一次配置 每次更改了AP的配置 都要下发一次 所有应用这个profile的AP都会更新配置 AP配置下发 修改approfile对应AP的硬件类型 AP软件版本升级 AP软件升级包括Uboot升级和image文件升级 Uboot文件需要连接AP的串口 并进入AP的uboot模式进行升级操作 Image文件通常是在AP处于管理状态下 通过其管理AC来对其升级 AC升级AP的image文件两种方式 手动升级 自动升级 Uboot升级操作 在AP的串口 通过reboot重启AP 在AP开始重启的瞬间按住ctrl B 进入AP的uboot模式 通过setenv指定AP和tftp Server的IP地址 通过命令tftp从tftpServer下载tar格式的uboot文件 注意 必须大于0 x300000 且文件不能超过0 x2000000 通常我们在命令里面写300000 通过命令tar bootloader update更新uboot文件 执行reset重启AP Image文件升级操作 手动升级方式下 集群内的AP需要在Controller上面手动触发升级 Controller上面需要指定AP下载image文件的tftp路径 DCWS 6028 config wireless wirelessapdownloadimage type1tftp 192 168 1 5 7900R3 0 0 2 7 tarDCWS 6028 wirelessapdownloadstart升级完成后 AP会重启 Image文件升级操作 自动升级 AC上会存放一个AP的image文件 使能自动升级以后 当AP上线时 AC会比较当前AP的软件版本与本地存放的是否一致 如果不一致 就会将本地存放的版本下发给AP 由AP的直接管理AC进行升级 如果AP升级或者配置下发失败怎么办 请尝试检查 AP是否成功被AC管理 Showwirelessapstatus查看 Approfile设置的hwtype是否与AP一致 升级时 AP是否与TFTPServer连通 尤其是AP与Server跨三层的时候是否正确配置了网关 升级uboot的时候 下载文件的存储地址是否正确 300000 AP升级image时 AC上面配置的tftp路径是否正确 AP升级image时 AC上面配置的image type是否正确 type 1 温馨提示 客户端的接入认证 如果使用Windows自带的客户端 涉及到对无线网卡加密认证模式的一些配置 详细的配置方法可以参考文档 无线网卡配置方法 docx 张帆 网络SSID配置方法 每个network对应一个SSID在network模式下通过ssid配置网络的SSID配置下发AP后生效 指定用户接入的vlan 在network下指定该network所属的vlan 当用户接入到该network时 就相应的属于network所在的vlan 默认所有的network都在vlan1 Network模式下 通过vlan命令指定vlan 并下发到AP生效 用户的数据将在相应vlan内转发 客户端以open方式接入的配置方法 在network模式下 指定securitymode为none 此为默认配置 配置下发AP生效 可以通过showwirelessnetwork来查看 客户端以wpa personal方式接入 Network模式下配置 Securitymode设置为wpa personal Wpaversion可以设置为wpa wpa2以及wpa wpa2混合模式 默认为wpa wpa2混合模式 设置客户端认证的密码wpakey 配置下发AP生效 客户端以wpa personal方式接入 WPAWPA2WPA WPA2混合模式 默认方式 Radius认证相关配置 Wpa enterprise方式需要使用radius认证 AC上面radius相关的配置 配置radius认证的服务器IP地址 配置AC与radius服务器通信的密钥 配置radius认证的nasip地址 该地址要填写无线IP 配置AC发送radius报文使用的源地址 该地址要填写无线IP 使能AAA 配置AAAgroup并关联之前配置的radius服务器 Radius认证相关配置 Network下wpa enterprise相关配置 Network下 securitymode设置为wpa enterprise Wpaversion设置为wpa wpa2或者混合模式 配置radius认证服务器名称 Portal认证概述 PORTAL在英语中是入口的意思 PORTAL认证通常也称为Web认证 一般将PORTAL认证网站称为门户网站 未认证用户上网时 设备强制用户登录到特定站点 用户可以免费访问其中的服务 当用户需要使用互联网中的其它信息时 必须在门户网站进行认证 只有认证通过后才可以使用互联网资源 如果用户试图通过HTTP访问其他外网 将被强制访问PORTAL认证网站 从而开始PORTAL认证过程 Portal功能DCN实现 Portal配置 重定向 认证 计费 全局使能Portal功能 配置Portal服务器名称及地址 重定向URL中的IP 配置Portal实例并使能 Portal实例下配置认证 计费服务器 Portal实例下配置Portal服务器 Portal实例下配置计费和计费更新功能 将network关联到Portal实例 DCSM服务器配置方法请参考相关的产品培训 Portal配置 重定向 认证 计费 Portal认证使用RADIUS服务器进行认证和计费 RADIUS服务器的配置在上一章配置方法的基础上增加计费的相关配置 红色标识 Portal配置 重定向 认证 计费 Portal配置 重定向 认证 计费 Portal出现问题怎么办 请尝试检查 全局及instance是否均使能Portal Portal服务器是否配置正确 Portal服务器是否可达 RADIUS服务器是否可达 客户端接入的network是否映射到了某个Portal的instance DCSM服务器是否配置正确 尤其是添加无线设备的时候 设备的IP是否和AC的无线IP一致 数据转发方式 集中式隧道建立 AC和AP或者AC和AC之间建立TLS连接以后 自动会建立集中式隧道 隧道的起点和终点为AC或者AP 此时的隧道并不具有转发数据的功能 Jan0818 49 392006 LINK 3 UPDOWN Interfacecapwaptnl2 changedstatetoadministrativelyUP 集中式隧道配置 向集中式隧道的vlan list中添加vlan口 相应vlan的数据就会在集中式隧道内转发 Vlan list默认为空 集中式转发要求 管理vlan和用户数据vlan分开 管理报文不经过隧道转发 所以管理vlan不能添加到隧道的vlan list中 为了保证管理报文和隧道报文的正常转发 可以将AC上面连接隧道的端口设置为trunk口 nativevlan为管理vlan 集中式隧道配置 集中式隧道环路避免 如果将AC连接AP或者AC连接AC的端口设置为trunk口 则 该trunk口的allowedvlan不能包含集中式隧道的tunnel vlan 即不能含有vlan list中的vlan 集中式隧道配置 本地转发配置 本地转发是默认的转发形式 AC上面没有配置 遵守二 三层转发的一般规则 需要注意的是 本地转发涉及到AP的untagged vlan与管理vlan的修改 如果没有特殊需要可以不修改这两个值 如果需要修改 要保证管理vlan与untagged vlan一致 否则会导致AP掉线 也可以根据需要关闭AP的untagged功能 本地转发配置 什么是分布式转发 分布式转发是本地转发的一种 分布式转发通过漫游前后的两个AP之间建立分布式隧道 解决本地转发的三层漫游问题 三层漫游 漫游前后的两个AP不在同一网段 客户端在三层漫游时要求不能重新获取地址 分布式转发配置 基于network使能分布式隧道 配置下发AP生效 Home AP和Assoc AP均要使能 射频管理功能概述 射频参数设置 国家码 模式 功率 信道等 两大功能 自动功率调整 自动信道调整 射频参数设置 国家码设置Radio的工作模式 射频参数设置 设置AP的工作信道 需要重启AP 设置AP的功率 需要重启AP 自动功率调整说明 两种方式 手动触发 周期性触发 自动功率调整可以通过命令开启或者关闭 如果为AP配置了固定的功率 则不能进行自动功率调整 自动功率调整配置 手动触发 自动功率调整 周期性触发 设置功率调整的模式为周期性触发 调整周期为1小时 自动功率调整应用 黑洞补偿 自动功率调整的应用场景如下图所示 系统中3个AP处于稳定运行状态 这时 中间的AP由于特殊原因 发生故障 AC和AP之间的TCP连接断开 这时无线覆盖范围出现黑洞 原有覆盖范围内的client无法工作 自动功率调整应用 黑洞补偿 无线控制器探测到该AP失败后 统一根据系统中的AP射频信息 对各个AP的发射功率进行调整 使之达到最佳的覆盖范围 尽量补偿原有AP失败出现的信号黑洞 尽量保证原有client能正常工作 自动信道调整介绍 对于无线局域网 信道是非常稀缺的资源 每个AP只能够工作在非常有限的非重叠信道上 比如对于2 4G网络 只有 个非重叠信道 智能地为AP分配信道是无线应用的关键 同时 无线局域网工作的频段存在大量可能的干扰源 如雷达 微波炉等 它们将干扰AP的正常工作 通过信道调整功能 可以保证每个AP能够分配到最优的信道 尽可能地减少和避免相邻信道干扰 而且通过实时信道检测 使AP实时避开雷达 微波炉等干扰源 动态信道调整能够实现通信的持续进行 为网络的可靠传输提供保证 自动信道调整介绍 自动信道调整三种触发模式 手动触发 周期性触发和固定时间触发 如果为AP设置了固定的信道 则不能进行信道调整 如果关闭了自动信道调整功能 则不能进行自动信道调整 自动信道调整配置 手动触发 自动信道调整 周期性触发 设置调整周期 6 24h 为8小时 按此周期进行自动信道调整 自动信道调整应用 新增AP的场景 如下图所示 系统原有三个AP 分别采用了信道1 6 11 这时 系统在图中的左下角新增加了一个AP 新增AP初始信道选择信道1 自动信道调整应用 新增AP的场景 经过信道调整 使各个AP的信道达到最佳的状态 减小相互的干扰 无线安全简介 两大检测功能 AP威胁检测 Client威胁检测 AP威胁检测包含对11种威胁的检测 网管设置的非法AP 非法AP假冒合法的SSID Beacon帧中Vendor字段不合法 Beacon帧中没有SSID字段 在错误信道接收到managedAP的Beacon帧 ManagedAP发送无效的SSID AP工作在非法信道 合法的胖AP配置错误 UnmanagedAP接入有线网络 AP使用了错误的安全认证方式 AP工作在WDS模式 无线安全简介 Client威胁检测包括对7种威胁的检测 OUI不合法 KnownClientDatabase判定非法 认证请求帧帧泛洪攻击 探查请求帧泛洪攻击 解认证请求帧泛洪攻击 认证失败最大次数超过阈值 合法Client关联未知AP 威胁检测的运行依靠的是射频扫描 RF Scan 由集群的Controller进行决策 配置操作在Controller上面进行 并下发AP生效 AP威胁检测配置 AP威胁检测默认情况 AP威胁检测配置 Client威胁检测配置 Client威胁检测默认情况 Client威胁检测配置 谢谢