L05 新一代WNAC智能无线控制器的集中转发模式（EBR模式）.doc

新一代WNAC智能无线控制器的集中转发模式 （EBR方式） 新一代WNAC智能无线控制器的集中转发模式有两种： 给wlan设置三层虚接口，用户连入SSID后，直接以wlan虚接口作为网关，就像电脑直接连在AC的wlan“端口”上一样，通过三层路由去访问目标地址。此时需要AC做DHCP Server给wlan下的用户分配IP，或者Relay其他DHCP Server的IP。 设置EBR（Extended Bridge），将AC上的Radio三层虚接口与AC某个物理三层接口绑定到EBr，在EBr内的所有接口将失去三层功能，用户数据通过无线虚接口二层透传到物理接口。此种应用主要用于需要AC集中转发，但又不想通过三层方式访问某些资源（例如要用其他DHCP Server但不用AC做DHCP Relay）的场景。 本文主要描述第二种集中转发方式，文章会描述如何创建安全策略、创建wlan、创建Radio虚接口、创建EBR以及手工和自动方式关联AP，使AP将所有信息，包括管理信息和用户信息，都上传到AC，再由AC负责转发出去。通过本例，可以了解到以下内容： AC上VLAN的配置 AC的 promiscuous（混杂）接口配置 子接口配置 AP通过DHCP Option43获取AC地址 AC上DHCP Sever的建立 AC上创建静态路由 无线安全策略的建立 无线wlan的创建 Radio三层接口的配置 EBr的配置 无线AP与AC的关联 操作方式以Web页面为主，但有些内容也会描述命令行的方式。 案例介绍 一台三层核心交换机上旁挂了一台AC，AC的eth1-12通过promiscuous（混杂）接口方式与三层交换机vlan10连接，同时该端口创建了两个子接口，交换机上也创建了两个相对应的vlan tag，对应到两个用户vlan。交换机vlan1连接路由器，两台AP也连在vlan1内。两台AP都广播两个SSID，分别为NG1（不加密）和NG2（WPA-PSK）。用户连入NG1后，会与三层交换机的vlan2二层互通；连入NG2后，会与三层交换机的vlan3二层互通。具体拓扑结构如下图： 配置Vlan 根据拓扑图中的描述，我们需要在AC上创建2个vlan： Vlan2和Vlan3。这主要是为了后面创建子接口时有相应vlan来对应，因此不用给vlan2和vlan3指派端口和IP。具体VLAN设置方法请参考L02。 命令行中配置上述内容 配置promiscuous接口和子接口 进入“控制”“端口管理”“功能配置”中，将Eth1-12设为promiscuous模式，并配置IP地址。 进入“控制”“端口管理”“子接口”，为Eth1-12端口创建子接口，打上vlan tag 2。 再创建另一个子接口，打上vlan tag 3。 注：子接口的编号跟它的vlan tag号是一致的。例如这个地方子接口就是Eth1-12.2和Eth1-12.3。 命令行中配置上述内容 配置静态路由 为了AP1和AP2通讯能跟AC关联，AC必须跟这些AP路由可通。所以需要在AC上建立静态路由，与AP所在VLAN（即交换机vlan1）可通，所以要在AC上配置一条静态路由，通过交换机的eth1-12访问到AP。（具体设置方法可参考L02） 命令行中配置上述内容 配置DHCP服务器 由于AC跟AP是跨三层部署，所以需要用到DHCP Option43的方式让AP发现AC。由于有的三层交换机的DHCP Server功能不带Option功能，所以我们可以用AC来做DHCP服务器，在三层交换机上做DHCP Relay，实现AP通过Option43获得AC地址的功能。 在AC上创建一个DHCP池，对应vlan1。其中Option43处设置AC的IP地址。 另外还需要创建一个对应Eth1-12本身IP的地址池，即192.168.10.x的地址池，否则DHCP服务不能正常启动。 创建无线安全策略 要建立无线SSID，首先要建立安全策略，然后再把安全策略绑定到相关SSID上。创建无线安全策略的方法如下： 进入“无线”“无线安全”“创建安全策略”，建立一个名为“open”的安全策略。 同样方法建立一个名为“wpa-psk”的安全策略。完成后在“安全策略列表”中可以看到两个策略，但默认都是802.1x类型，需要手工修改。 鼠标移到要修改的策略后面的小三角后，选“配置”，修改加密方式，点“确定”保存。  设置完后，可在列表中看到保存后的安全策略。  上述配置的命令行方式如下 设置wlan Wlan是AC里面重要的一个概念，它包含了安全策略、SSID等信息，并决定了本地转发和集中转发模式的选择。 进入“无线”“WLAN”“创建WLAN”，建立两个SSID。其中WLAN ESSID为AP广播出来的SSID号。