網(wǎng)絡(luò)設(shè)備安裝與調(diào)試技術(shù) 課件 第11章-組建無線局域網(wǎng)( 華三版-01基礎(chǔ)篇 )

第11章組建無線局域網(wǎng)編著：

秦?zé)鰟诖浣?/p>

無線局域網(wǎng)（WLAN）是指以無線信道作為傳輸媒介的局域網(wǎng)絡(luò)。無線局域網(wǎng)WLAN的傳輸介質(zhì)包括紅外線、無線電波等，紅外技術(shù)已逐漸被藍(lán)牙技術(shù)（IEEE802.15）取代。藍(lán)牙工作在2.4GHz頻段，傳輸速率最高1Mb/s，傳輸距離最大10米，用于個人操作空間，藍(lán)牙技術(shù)與IEEE802.11協(xié)議互相補(bǔ)充。無線局域網(wǎng)基于IEEE802.11協(xié)議簇工作。IEEE802.11協(xié)議簇包括802.11a、802.11b、802.11g、802.11n（Wi-Fi4）、802.11ac（Wi-Fi5）和802.11ax（Wi-Fi6）等多個標(biāo)準(zhǔn)。其中，2019年推出的802.11ax工作頻率為2.4GHz或5GHz，寬帶速率可達(dá)600~9608Mb/s。11.1無線局域網(wǎng)基礎(chǔ)

常見的WLAN組網(wǎng)設(shè)備如下：

1.無線工作站（STA），指連接到無線網(wǎng)絡(luò)的計(jì)算機(jī)或智能終端。如PC、平板電腦、智能手機(jī)、無線打印機(jī)等。

2.無線接入點(diǎn)（AP），指為無線工作站連接到無線網(wǎng)絡(luò)提供接入服務(wù)的無線網(wǎng)絡(luò)設(shè)備。分為胖AP（FATAP）和瘦AP（FITAP）。胖AP適用于規(guī)模較小的環(huán)境，每臺胖AP需要單獨(dú)配置，胖AP除了具有基本的射頻信號接入功能外，還具有IP地址分配、安全管理等網(wǎng)絡(luò)管理功能；瘦AP適用于規(guī)模較大的環(huán)境，僅對外提供射頻信號接入功能，各瘦AP無法單獨(dú)配置，而是集中由一臺專門的設(shè)備統(tǒng)一配置，減輕大規(guī)模環(huán)境下管理員的工作負(fù)擔(dān)，提高工作效率。11.1.1常見的WLAN組網(wǎng)設(shè)備3.無線接入控制器（AccessController，AC），指用于集中控制管理瘦AP的網(wǎng)絡(luò)設(shè)備。采用瘦AP組網(wǎng)時(shí)，由AC承擔(dān)對AP的管理任務(wù)、向瘦AP下發(fā)配置，提供IP地址分配、DHCP服務(wù)等網(wǎng)絡(luò)管理功能。網(wǎng)絡(luò)管理員一般只需關(guān)注AC，無需逐一對AP進(jìn)行配置，減少了工作量，增強(qiáng)了WLAN的擴(kuò)展性。4.天線，由發(fā)送端天線和接收端天線組成。發(fā)送端發(fā)射的射頻信號通過饋線輸送到發(fā)送端天線，由天線以電磁波的形式輻射出去；接收端天線接收到電磁波后，再通過饋線輸送到接收端。兩個無線設(shè)備相距較遠(yuǎn)時(shí)，可借助天線提升射頻信號強(qiáng)度。11.1.2無線局域網(wǎng)安全

如果無線接入點(diǎn)沒有開啟安全設(shè)置功能，那么周邊的移動終端都可以查看到它的SSID（服務(wù)集標(biāo)識符）值，無須密碼直接接入，造成安全隱患，因此為WLAN開啟安全設(shè)置是很重要的。WLAN安全設(shè)置包括禁用SSID廣播、數(shù)據(jù)加密等。

1.SSID代表了一個無線局域網(wǎng)，只有連接到相同SSID值的終端才能直接通信。禁用SSID廣播可以避免無線網(wǎng)絡(luò)的SSID顯示在用戶無線網(wǎng)卡發(fā)現(xiàn)的SSID列表中，減少受到攻擊的概率。另外，由于無線路由器或無線AP都有默認(rèn)SSID值，為避免攻擊者嘗試使用默認(rèn)SSID連接無線網(wǎng)絡(luò)，啟用WLAN時(shí)建議修改SSID值。

2.為避免非法用戶入侵和竊聽，需要開啟加密、認(rèn)證等功能。無線網(wǎng)絡(luò)的數(shù)據(jù)加密技術(shù)有WEP（有線等效保密）、WPA、WPA2、WPA3等。WEP是802.11系列標(biāo)準(zhǔn)定義的鏈路層加密協(xié)議，協(xié)議核心是李斯特加密（RivestCipher4，RC4）算法，算法采用靜態(tài)共享密鑰（PSK），稱為靜態(tài)WEP。由于靜態(tài)WEP安全性較低，有些廠商結(jié)合802.1X技術(shù)，推出了動態(tài)WEP標(biāo)準(zhǔn)。

3.為克服靜態(tài)WEP的弱點(diǎn)，Wi-Fi聯(lián)盟也于2003年推出了WPA（Wi-Fi保護(hù)接入）標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)在WEP的基礎(chǔ)上提出了TKIP（臨時(shí)密鑰完整性協(xié)議）加密方式。TKIP保留了WEP的基本架構(gòu)，仍使用RC4的流加密機(jī)制，但增加了初始向量的長度、不再采用所有用戶共用密鑰而改用動態(tài)密鑰機(jī)制為每個用戶生成獨(dú)立密鑰、采用MIC（信息完整性校驗(yàn)）機(jī)制通過完整性校驗(yàn)保護(hù)源地址、為每個幀分配序列號防范重放攻擊等。

4.隨著2004年IEEE推出802.11i標(biāo)準(zhǔn)，Wi-Fi聯(lián)盟也以此為基準(zhǔn)修訂WPA，推出了WPA2。WPA2采用802.11i定義的默認(rèn)加密方式CCMP（計(jì)數(shù)器模式密碼塊鏈信息認(rèn)證協(xié)議），CCMP使用AES（高級加密標(biāo)準(zhǔn)）作為加密算法，該算法彌補(bǔ)了RC4的缺陷，安全性更高。但AES對硬件要求較高，無法通過軟件升級舊設(shè)備或舊網(wǎng)卡的方式支持CCMP。

5.為了滿足兼容性，目前WPA和WPA2都支持802.1X和PSK認(rèn)證，也都支持TKIP和CCMP加密算法。WPA和WPA2的不同主要表現(xiàn)在協(xié)議報(bào)文格式上的不同。WPA和WPA2分為個人版和企業(yè)版。個人版在AP和STA間采用預(yù)共享密鑰（PSK）的方式進(jìn)行認(rèn)證；企業(yè)版采用專門的認(rèn)證服務(wù)器通過802.1X等方式進(jìn)行認(rèn)證。

6.2018年1月，Wi-Fi聯(lián)盟在WPA2的基礎(chǔ)上發(fā)布了新一代的WPA3，WPA3個人版采用SAE（對等實(shí)體同時(shí)驗(yàn)證）協(xié)議取代了WPA/WPA2的PSK認(rèn)證方式，可有效抵御離線字典攻擊和增加暴力破解的難度。WPA3個人版采用向前保密，使攻擊者就算有密碼也無法解密截獲的數(shù)據(jù)。WPA3企業(yè)版沒有從根本上改變原有協(xié)議，主要從數(shù)據(jù)保護(hù)、流量保護(hù)和管理幀保護(hù)等方面進(jìn)行了提升。11.1.3CAPWAP隧道一、AC與AP間隧道的建立在瘦AP+AC的組網(wǎng)模式中，全網(wǎng)的AP由AC統(tǒng)一管理，AC承擔(dān)了AP配置、用戶接入認(rèn)證等管理功能，AC與AP之間采用稱為CAPWAP的通信協(xié)議建立隧道。CAPWAP隧道包括控制通道和數(shù)據(jù)通道兩種，分別使用UDP的5246端口和5247端口。CAPWAP隧道的建立過程如下：1.AP獲取地址。通過配置DHCP服務(wù)（可在AC或核心交換機(jī)等設(shè)備上配置），為AP分配IP地址。2.AP發(fā)現(xiàn)AC。AP可以通過DHCP服務(wù)的Option43字段或通過DNS解析獲取AC的IP地址。獲取到AC的地址后，AP發(fā)送DiscoveryRequest報(bào)文嘗試關(guān)聯(lián)AC（三層網(wǎng)絡(luò)通過單播、二層網(wǎng)絡(luò)通過廣播），AC收到請求后返回?cái)y帶有AC優(yōu)先級和當(dāng)前已關(guān)聯(lián)AP數(shù)量等信息的DiscoveryResponse給AP，由AP決定與哪個AC建立連接。3.建立DTLS連接。DTLS（DatagramTransportLevelSecurity，數(shù)據(jù)報(bào)安全傳輸協(xié)議）是UDP版本的TLS，用于防數(shù)據(jù)被竊聽、篡改、身份冒充等。AC在DiscoveryResponse中會指示是否采用DTLS加密CAPWAP隧道中的UDP報(bào)文。

4.AP加入AC。AP發(fā)送JoinRequest報(bào)文請求加入AC并建立控制通道，AC發(fā)送JoinResponse響應(yīng)。

5.AP版本升級。AP根據(jù)JoinResponse攜帶的版本要求判斷自身版本是否符合，若不符合則向AC申請下發(fā)新版本。

6.AP配置下發(fā)。AP版本達(dá)到要求后，向AC發(fā)送ConfigurationStatusRequest（配置狀態(tài)請求）報(bào)文，請求報(bào)文攜帶了AP現(xiàn)有的配置，若AC發(fā)現(xiàn)AP的配置不符合要求，則發(fā)送ConfigurationStatusResponse報(bào)文通知AP同步配置。

7.AP配置確認(rèn)。AP配置完成后，向AC發(fā)送ChangeStateEventRequest（配置確認(rèn)請求）報(bào)文，其中包含射頻、錯誤碼、配置信息等。AC回復(fù)ChangeStateEventResponse（配置確認(rèn)響應(yīng)）。

8.AP運(yùn)行。配置確認(rèn)后，意味著CAPWAP的控制通道已成功建立，AP進(jìn)入運(yùn)行狀態(tài)，可以開始轉(zhuǎn)發(fā)數(shù)據(jù)了。AP運(yùn)行后會定期向AC發(fā)送EchoRequest（控制通道?；睿﹫?bào)文，AC回應(yīng)EchoResponse（控制通道響應(yīng)）表示控制通道正常；另外，AP還定期向AC發(fā)送Keepalive（數(shù)據(jù)通道?；睿﹫?bào)文，AC回應(yīng)Keepalive報(bào)文表示數(shù)據(jù)通道正常。

二、CAPWAP數(shù)據(jù)的傳輸

CAPWAP隧道承載的數(shù)據(jù)包括管理報(bào)文和業(yè)務(wù)報(bào)文。其中，管理報(bào)文必須封裝在CAPWAP控制通道中，在AP和AC間傳輸；業(yè)務(wù)報(bào)文則可選擇不經(jīng)過CAPWAP封裝直接由AP轉(zhuǎn)發(fā)到上行網(wǎng)絡(luò)（稱為直接轉(zhuǎn)發(fā)或本地轉(zhuǎn)發(fā)），也可選擇先由AP封裝到CAPWAP數(shù)據(jù)通道中傳輸給AC，再由AC進(jìn)一步轉(zhuǎn)發(fā)（稱為隧道轉(zhuǎn)發(fā)或集中轉(zhuǎn)發(fā)）。

1.以管理報(bào)文從AC發(fā)往AP為例分析管理報(bào)文的傳輸。管理載荷在AC上會先封裝CAPWAP頭部，再封裝UDP/IP頭部，再封裝802.3以太網(wǎng)頭部，最后封裝上管理VLANID頭部形成管理報(bào)文。封裝好后的管理報(bào)文途經(jīng)交換機(jī)轉(zhuǎn)發(fā)給AP。交換機(jī)在與AP相連的端口上一般要將PVID設(shè)置為管理VLANID，這樣交換機(jī)就會先去掉PVID（即管理VLANID），再將管理報(bào)文轉(zhuǎn)交給AP。之所以要這樣處理，是因?yàn)锳P一般只將不帶VLAN標(biāo)記的報(bào)文識別為管理報(bào)文。AP識別出管理報(bào)文后，依次去掉報(bào)文的802.3頭部、UDP/IP頭部和CAPWAP頭部，再對剩下的管理載荷進(jìn)行處理。

2.再以業(yè)務(wù)報(bào)文從無線終端發(fā)往AP為例，分析業(yè)務(wù)報(bào)文的直接轉(zhuǎn)發(fā)模式和隧道轉(zhuǎn)發(fā)模式。在直接轉(zhuǎn)發(fā)模式下，無線工作站的無線網(wǎng)卡將業(yè)務(wù)數(shù)據(jù)封裝上無線的802.11頭部，通過無線信道發(fā)送到AP，AP收到的業(yè)務(wù)報(bào)文后，去除無線的802.11頭部，封裝上有線以太網(wǎng)的802.3頭部，然后直接將其通過上行交換機(jī)轉(zhuǎn)發(fā)到上行網(wǎng)絡(luò)，無需經(jīng)過AC集中處理，適用于中小規(guī)模的WLAN；隧道模式下，業(yè)務(wù)報(bào)文在AP上進(jìn)行CAPWAP封裝后經(jīng)CAPWAP數(shù)據(jù)通道傳到AC，由AC將其解封裝后轉(zhuǎn)發(fā)到上行網(wǎng)絡(luò)，有利于數(shù)據(jù)傳輸?shù)陌踩?、有利于AC對數(shù)據(jù)的集中控制和管理，適用于在現(xiàn)網(wǎng)中新增設(shè)備、減少對現(xiàn)網(wǎng)的改動。11.2無線設(shè)備的配置

在PacketTracer中搭建如圖11-1所示拓?fù)?，完成思科無線設(shè)備的配置。11.2.1思科無線設(shè)備的配置圖11-1思科無線設(shè)備配置的拓?fù)?/p>

1.如圖11-2所示，為RS1添加“AC-POWER-SUPPLY”模塊。

2.如圖11-3所示，為AP1添加“ACCESS_POINT_POWER_ADAPTER”模塊。圖11-2為RS1添加“AC-POWER-SUPPLY”模塊圖11-3為AP1添加“ACCESS_POINT_POWER_ADAPTER”模塊

3.RS1的配置，命令如下：RS1(config)#vlan100RS1(config-vlan)#exitRS1(config)#vlan101RS1(config-vlan)#exitRS1(config)#interfacegigabitEthernet1/0/1RS1(config-if)#switchportmodetrunkRS1(config-if)#switchporttrunknativevlan101RS1(config-if)#exitRS1(config)#interfacegigabitEthernet1/0/2RS1(config-if)#switchportmodeaccessRS1(config-if)#switchportaccessvlan101RS1(config-if)#exitRS1(config)#intgigabitEthernet1/0/3RS1(config-if)#noswitchportRS1(config-if)#ipaddress172.16.1.1255.255.255.0RS1(config-if)#exitRS1(config)#iproutingRS1(config)#interfacevlan100RS1(config-if)#ipaddress192.168.100.1255.255.255.0RS1(config-if)#exitRS1(config)#interfacevlan101RS1(config-if)#ipaddress192.168.101.1255.255.255.0RS1(config-if)#exitRS1(config)#routerospf1RS1(config-router)#network192.168.0.00.0.255.255area0RS1(config-router)#network172.16.1.00.0.0.255area0RS1(config-router)#exitRS1(config)#servicedhcpRS1(config)#ipdhcppoolAPRS1(dhcp-config)#network192.168.101.0255.255.255.0RS1(dhcp-config)#default-router192.168.101.1RS1(dhcp-config)#option43ip192.168.101.2RS1(dhcp-config)#exitRS1(config)#ipdhcppoolSTARS1(dhcp-config)#network192.168.100.0255.255.255.0RS1(dhcp-config)#default-router192.168.100.1RS1(dhcp-config)#exitRS1(config)#ipdhcpexcluded-address192.168.101.1192.168.101.24.R1的配置，命令如下：R1(config)#interfacegigabitEthernet0/0R1(config-if)#ipaddress172.16.1.2255.255.255.0R1(config-if)#noshutdownR1(config-if)#exitR1(config)#routerospf1R1(config-router)#network172.16.1.00.0.0.255area0

5.如圖11-4所示，在AC1的“Config”選項(xiàng)夾的“Management”選項(xiàng)，將AC1的IP地址配置為192.168.101.2，子網(wǎng)掩碼配置為255.255.255.0，缺省網(wǎng)關(guān)配置為192.168.101.1。圖11-4AC1的IP地址配置

6.如圖11-5所示，在AC1的“Config”選項(xiàng)夾的“WirelessLANs”選項(xiàng)，將AC的Name設(shè)為“guest”，SSID設(shè)置為“guest”，業(yè)務(wù)VLAN設(shè)置為VLAN100，認(rèn)證方式選擇“WPA2-PSK”，預(yù)共享密鑰設(shè)置為“12345678”，加密算法選用“AES”，其它選默認(rèn)值。最后點(diǎn)擊“Save”按鈕。圖11-5AC1的“WirelessLANs”配置7.如圖11-6所示，在AC1的“Config”選項(xiàng)夾的“APGroups”選項(xiàng)，可以看到，加入了默認(rèn)AP組的無線局域網(wǎng)（WirelessLANs）有剛才配置的“guest”，加入了默認(rèn)AP組的AP有AP1。此處采用默認(rèn)值。圖11-6AC1的“APGroups”配置

8.如圖11-7所示，AP1的缺省網(wǎng)關(guān)已經(jīng)通過DHCP自動獲取到了，是192.168.101.1。圖11-7查看AP1的缺省網(wǎng)關(guān)已經(jīng)通過DHCP自動獲取9.如圖11-8所示，AP1加入的AC地址通過DHCP的option43自動獲取到了，是