項(xiàng)目12.4 無線FIT模式多SSID的安全加密

項(xiàng)目12組建安全的無線局域網(wǎng)授課教師：管秀君吉林交通職業(yè)技術(shù)學(xué)院項(xiàng)目實(shí)戰(zhàn)任務(wù)12.4無線FIT模式多SSID的安全加密你是某公司的網(wǎng)管，由于無線信號沒有進(jìn)行加密，任何人都可以隨意接入，對網(wǎng)絡(luò)帶寬和安全造成很大影響，針對此現(xiàn)象，你決定對無線網(wǎng)絡(luò)進(jìn)行加密，而且對財(cái)務(wù)部和銷售部采用WPA2安全策略，只有知道這兩個(gè)部門無線密碼的人才能加入該部門的網(wǎng)絡(luò)。具體任務(wù)就是將網(wǎng)絡(luò)設(shè)備按照拓?fù)鋱D結(jié)構(gòu)進(jìn)行連接、完成相關(guān)IP地址規(guī)劃、基礎(chǔ)配置及無線加密配置、驗(yàn)證無線用戶接入需要密碼確認(rèn)

項(xiàng)目背景12.4.1

實(shí)施條件采用銳捷AP作為無線接入點(diǎn)，AC作為無線控制器集中控制AP和數(shù)據(jù)轉(zhuǎn)發(fā)，交換機(jī)SW和POE供電模塊為AP進(jìn)行供電。實(shí)施條件SWSTASTBG0/1Gi0/1Gi0/24G0/112.4.2

數(shù)據(jù)規(guī)劃相關(guān)IP數(shù)據(jù)及信息規(guī)劃如下：1．Lo0:/32--AC和AP建立CAPWAP隧道接口；2．SVI10:/24--AP管理地址網(wǎng)關(guān)；3．SVI20:/24--SW管理地址；4．SVI30:/24一財(cái)務(wù)部用戶網(wǎng)關(guān)地址；5．SVI40:/24一銷售部用戶網(wǎng)關(guān)地址；SVI4000:/30--SW和AC互聯(lián)地址段AP、SW和用戶的網(wǎng)關(guān)均放置于SW上數(shù)據(jù)規(guī)劃12.4.3

實(shí)施步驟（1）在Poe交換機(jī)上配置基本遠(yuǎn)程管理功能，并創(chuàng)建AP管理VLAN10、Poe交換機(jī)管理VLAN20、無線用戶VLAN30、40和Poe交換機(jī)與AC互聯(lián)VLAN4000。交換機(jī)基礎(chǔ)配置SW(config)#VLAN10創(chuàng)建VLAN10SW(config-vlan)#nameAP-Guanli命名VLAN10為AP-GuanliSW(config)#VLAN20創(chuàng)建VLAN20SW(config-vlan)#nameSW-Guanli命名VLAN20為SW-GuanliSW(config)#VLAN30創(chuàng)建VLAN30SW(config-vlan)#namecaiwu-Wifi命名VLAN30為caiwu-WifiSW(config)#VLAN40創(chuàng)建VLAN40SW(config-vlan)#namexiaoshou-Wifi命名VLAN40為xiaoshou-WifiSW(config)#

VLAN4000創(chuàng)建VLAN4000SW(config-vlan)#nameLink--AC-VLAN4000命名VLAN4000為Link--AC-VLAN4000SW(config-vlan)#exit退出（2）將交換機(jī)端口Gi0/1設(shè)置為access接口屬于VLAN10，Gi0/24配置為Trunk接口，并對Trunk接口進(jìn)行VLAN修剪優(yōu)化。交換機(jī)基礎(chǔ)配置SW(config)#interfacegigabitEthernet0/1進(jìn)入端口配置模式配置端口Gi0/1SW(config-if)#poeenable開啟poe供電功能SW(config-if)#switchportaccessvlan10把該端口配置為access接口SW(config-if)#exit退出SW(config)#interfacegigabitEthernet0/24進(jìn)入端口配置模式配置端口Gi0/24SW(config-if)#switchportmodetrunk把該端口配置為Trunk接口SW(config-if)#switchporttrunkallowedvlanremove1-29,31-3999,4001-4094將Trunk接口不必要的VLAN修剪掉，防止VLAN廣播泛洪SW(config-if)#descriptionLINK—AC-G0/1--接口描述SW(config-if)#exit退出SW(config)#showinterfacesgigabitEthernet0/24switchport查看端口Gi0/24的信息，同時(shí)也可以用于查看Gi0/1信息（3）在Poe交換機(jī)上創(chuàng)建無線用戶VLAN、AP管理VLAN、Poe交換機(jī)管理VLAN和Poe交換機(jī)與AC互聯(lián)VLAN的SVI地址，并且配置指向AC的loopback接口明細(xì)路由。

交換機(jī)基礎(chǔ)配置SW(config)#interfaceVLAN10進(jìn)入VLAN10的SVI接口SW(config-if-VLAN10)#description對AP的網(wǎng)關(guān)SVI接口描述為AP-GuanliSW(config-if-VLAN10)#ipaddress配置AP管理地址的網(wǎng)關(guān)SVI地址SW(config)#interfaceVLAN20進(jìn)入VLAN20的SVI接口SW(config-if-VLAN20)#descriptionSW-Guanli命名VLAN20為SW-GuanliSW(config-if-VLAN20)#ipaddress配置Poe交換機(jī)的管理IP地址SW(config)#interfaceVLAN30進(jìn)入VLAN30的SVI接口SW(config-if-VLAN30)#descriptioncaiwu-Wifi描述VLAN30為caiwu-WifiSW(config-if-VLAN30)#ipaddress配置財(cái)務(wù)部無線用戶的網(wǎng)關(guān)SVI地址SW(config)#interfaceVLAN40進(jìn)入VLAN40的SVI接口SW(config-if-VLAN30)#descriptionxiaoshou-Wifi描述VLAN40為xiaoshou-WifiSW(config-if-VLAN30)#ipaddress配置銷售部無線用戶的網(wǎng)關(guān)SVI地址SW(config)#interfaceVLAN4000進(jìn)入VLAN4000的SVI接口SW(config-if-VLAN4000)#descriptionLink--AC-VLAN4000--對SVI接口描述為Link--AC-VLAN4000SW(config-if-VLAN4000)#ipaddress52配置與AC互聯(lián)VLAN的IP地址SW(config)#iproute55添加指向AC的LO0明細(xì)路由SW(config)#showipinterfacebrief查看接口IP地址配置（4）在交換機(jī)上創(chuàng)建無線用戶和AP管理的DHCP地址池。交換機(jī)基礎(chǔ)配置SW(config)#servicedhcp開啟DHCP功能，默認(rèn)DHCP功能關(guān)閉SW(config)#ipdhcppoolAP-Guanli創(chuàng)建AP的DHCP地址池SW(dhcp-config)#option138ip配置APoption138字段指向AC的Lo0SW(dhcp-config)#network指定APDHCP分發(fā)地址段SW(dhcp-config)#default-router指定AP的網(wǎng)關(guān)地址SW(dhcp-config)#exit退出SW(config)#ipdhcppoolcaiwu-Wifi創(chuàng)建財(cái)務(wù)部無線用戶的DHCP地址池SW(dhcp-config)#network指定財(cái)務(wù)部無線用戶DHCP分發(fā)地址段SW(dhcp-config)#default-router指定財(cái)務(wù)部無線用戶的網(wǎng)關(guān)地址SW(config)#ipdhcppoolxiaoshou-Wifi創(chuàng)建銷售部無線用戶的DHCP地址池SW(dhcp-config)#network指定銷售部無線用戶DHCP分發(fā)地址段SW(dhcp-config)#default-router指定銷售部無線用戶的網(wǎng)關(guān)地址（1）在AC上配置基本遠(yuǎn)程管理功能，添加無線用戶VLAN和與核心互聯(lián)的VLAN，并創(chuàng)建核心互聯(lián)VLAN的SVI接口地址和loopback0的接口IP，將AC的G0/1接口配置為Trunk接口，進(jìn)行VLAN修剪；添加默認(rèn)路由指向Poe交換機(jī)。無線控制器基礎(chǔ)配置Ruijie#configureterminal從特權(quán)模式進(jìn)入到全局模式Ruijie(config)#hostnameAC對AC進(jìn)行命名AC(config)#usernameadminpasswordruijie創(chuàng)建用戶名和密碼AC(config)#linevty04進(jìn)入虛線路AC(config-line)#loginlocal采用本地用戶認(rèn)證AC(config)#VLAN30創(chuàng)建VLAN30AC(config-vlan)#namecaiwu-Wifi命名VLAN30為caiwu-WifiAC(config)#VLAN40創(chuàng)建VLAN40AC(config-vlan)#namexiaoshou-Wifi命名VLAN40為xiaoshou-WifiAC(config)#VLAN4000創(chuàng)建VLAN4000AC(config-vlan)#nameLink--SW-VLAN4000命名VLAN4000為Link--SW-VLAN4000AC(config)#interfacevlan4000進(jìn)入VLAN4000的SVI接口AC(config-if-VLAN4000)#descriptionLink--SW-VLAN4000對VLAN4000的SVI接口進(jìn)行描述AC(config-if-VLAN4000)#ipaddress52配置VLAN4000的SVI接口地址AC(config)#interfacegi0/1進(jìn)入G0/1接口AC(config-if)#switchportmodetrunk配置G0/1接口為Trunk接口AC(config-if)#switchporttrunkallvlanremove1-29,31-3999,4001-4094將不必要VLAN在Trunk口進(jìn)行修剪AC(config-if)#descriptionLink--SW-Gi0/24對G0/1口對端連接情況進(jìn)行描述AC(config)#interfaceloopback0進(jìn)入loopback0接口AC(config-if)#ipaddress55配置loopback0接口IP地址AC(config-if)#descriptionCAPWAP對loopback0接口進(jìn)行描述AC(config)#iproute添加默認(rèn)路由，保證loopback0能夠和AP管理網(wǎng)段路由互通（2）AP和AC的版本同步，AP和AC的版本必須一致，否則可能導(dǎo)致CAPWAP隧道異常發(fā)生。（注：可以先查看AP和AC的版本，如果AC和AP的版本一致，則不需要此版本同步過程）無線控制器基礎(chǔ)配置AC#copytftp://x.x.x.x/xxx.binflash:AP720I.bin將AP的主程序TFTP導(dǎo)入無線控制器AC(config)#ac-controller進(jìn)入AC控制模式AC(config-ac)#active-bin-fileAP720I.bin激活A(yù)P主程序AC(config-ac)#ap-serialAP720AP720-Ihw-verx.x創(chuàng)建AP系列，注：試驗(yàn)中根據(jù)具體實(shí)驗(yàn)設(shè)備進(jìn)行選擇AC(config-ac)#ap-imageAP720I.binAP720將AP系列和AP主程序進(jìn)行關(guān)聯(lián)（3）在AC上創(chuàng)建無線相關(guān)配置，包括WLAN-ID、SSID和ap-group。無線控制器基礎(chǔ)配置AC(config)#wlan-config1caiwubu創(chuàng)建WLAN1的SSID為caiwuAC(config)#wlan-config2xiaoshou創(chuàng)建WLAN1的SSID為xiaoshouAC(config)#ap-groupdefault進(jìn)入ap-group的default組AC(config-group)#interface-mapping130配置wlan-id1和財(cái)務(wù)部無線用戶VLAN30的對應(yīng)關(guān)系A(chǔ)C(config-group)#interface-mapping240配置wlan-id2和銷售部無線用戶VLA40N的對應(yīng)關(guān)系（4）將AP加入ap-group，并進(jìn)行信道規(guī)劃和命名。無線控制器基礎(chǔ)配置AC(config)#ap-configxxxx.xxxx.xxxx進(jìn)入AP配置模式，xxxx部分為實(shí)驗(yàn)AP的mac地址AC(config-ac)#ap-groupdefault將AP加入default組AC(config-ac)#ap-nameAP720-1對AP進(jìn)行命名，注：項(xiàng)目中會有很多AP存在，需要對每個(gè)AP進(jìn)行命名，便于網(wǎng)絡(luò)維護(hù)AC(config-ac)#channel11radio1對AP信道進(jìn)行調(diào)整，避免同頻干擾存在（1）針對財(cái)務(wù)部無線用戶采用WPA2進(jìn)行加密。無線安全加密配置AC(config)#wlansec1進(jìn)入無線安全配置模式AC(config-wlansec)#securityrsnenable使能WPA2加密AC(config-wla