ARUBA-ACMS培训5.2-无线控制器常用的配置优化建议.pptxVIP

俞世丹 Mobile:syu@ Aruba Networks Module25： 无线控制器常用的配置优化建议 People move. Networks must follow.™ 网络层优化配置建议 对于单臂连接拓扑，关闭spanning-tree no spanning-tree 关闭ADP协议 adp discover disable adp igmp-join disable 关闭control-plane-security control-plane-security no cpsec-enable 指定控制器的Controller-ip（默认为VLAN1的接口地址） controller-ip vlan id 关闭系统缺省的vlan 1 Interface vlan 1 no ip address Interface vlan 1 shutdown 指定Radius Source-IP为控制器上联vlan的接口地址 ip radius source-ip-address vlan-id 防火墙全局配置优化建议 如果没有VoWiFi应用，禁用VoIP应用层网关 firewall disable-stateful-sip-processing firewall disable-stateful-sccp-processing firewall disable-stateful-h323-processing firewall disable-stateful-ua-processing firewall disable-stateful-vocera-processing 如果可能的话，关闭无线用户之间的互访 firewall deny-inter-user-bridge firewall deny-inter-user-traffic 设置validuser策略，定义可以加入用户列表的地址范围 ip access-list session validuser any any svc-dhcp permit alias user-gw any any deny alias user-net any any permit 防火墙角色配置优化建议 角色的命名需要尽可能便于理解 策略的定义尽可能借助网络别名和服务别名来实现 在所有角色中，按照实际需求实施会话数控制策略 user-role corp-role max-session 200 为所有角色配置一套基本策略 ip access-list session basic-acl user any udp 68 deny any any svc-dhcp permit user any svc-dns permit 在所有角色中，禁止用户对控制器管理接口的访问 ip access-list session controller-if-acl user alias controller-if svc-ssh deny user alias controller-if tcp 4343 deny user alias controller-if svc-telnet deny 无线网络配置优化建议 在wlan ssid-profile中优化802.11g的协商和发送速率 wlan ssid-profile name g-basic-rate 6 12 24 wlan ssid-profile name g-tx-rate 6 12 24 36 48 54 802.11n标准明确放弃WEP和TKIP加密算法，对于需要加密的无线信号，必须采用AES加密方式 在wlan virtual-ap中启用广播优化和频段负载均衡 wlan virtual-ap name broadcast-filter arp wlan virtual-ap name broadcast-filter all wlan virtual-ap name bandsteering 在wlan virtual-ap中采用vlan-name设置 Wwan virtual-ap name vlan vlan-name 在portal认证的初始角色中，允许访问OCSP查询站点 ip access-list session ocsp-acl user alias comodaca svc-http permit user alias comodaca svc-https permit 射频参数配置优化建议 在rf arm-profile中关闭40MHz频宽 rf arm-profile name 40MHz-allowed-bands none 在rf arm-prof