说明
WLAN配置示例2(旁挂组网隧道 or 直接转发),这种方式比较适合中小型企业,AC旁挂在三层交换机旁边,只是用于来与AP建立CAPWAP隧道,下发业务给AP,如果在隧道方式下的话,那么业务流量也会由CAPWAP隧道进行封装交给AC处理,再由AC来转发,而直接转发的话,则由AP本地交换了,不需要交给AC,这样可以减轻AC的负担,具体使用可以根据需求来决定。
掌握目标
1、理解旁挂组网与直接 or 隧道转发的方式
2、AP静态关联AC的方法【补充,之前都是以动态或者option43方式】
3、三层交换机配置
4、AC的配置
5、只允许访客访问特定的流量,通过ACL下放
拓扑具体的VLAN信息与IP网段都包括,该实验主要是演示三层组网 旁挂+隧道或者直接转发方式的组网情况,并且包括怎么通过AC上面配置ACL来下放到AP上面限制客户端的流量。
1、理解旁挂组网与直接 or 隧道转发的方式
如果在隧道方式下的话,那么业务流量也会由CAPWAP隧道进行封装交给AC处理,再由AC来转发,而直接转发的话,则由AP本地交换了,不需要交给AC,这样可以减轻AC的负担,还可以配需华为的feature,在AC失效后,AP还能继续为客户端提供业务转发。
2、AP静态关联AC的方法【补充,之前都是以动态或者option43方式】
在AP上面配置模式为静态,配置自己的IP地址与网关,最后指定AC的地址在哪,重启设备即可。
3、三层交换机配置
dhcp enable
interface Vlanif100
ip address 10.1.100.1 255.255.255.0
dhcp select interface
dhcp server option 43 sub-option 3 ascii 10.1.201.100
这里配置了option 43,指定AC的地址
#
interface Vlanif101
ip address 10.1.101.1 255.255.255.0
dhcp select interface
dhcp server dns-list 8.8.8.8
#
interface Vlanif102
ip address 10.1.102.1 255.255.255.0
dhcp select interface
dhcp server dns-list 8.8.8.8
#
interface Vlanif200
ip address 10.1.200.2 255.255.255.0
#
interface Vlanif800
ip address 10.1.201.1 255.255.255.0
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1
port link-type access
port default vlan 100
#
interface GigabitEthernet0/0/2
port link-type access
port default vlan 100
#
interface GigabitEthernet0/0/3
port link-type access
port default vlan 200
#
interface GigabitEthernet0/0/4
port link-type trunk
port trunk allow-pass vlan 100 to 102 200 800
说明:这里演示是以隧道方式组网演示的,所以交换机接AP的接口都为Access接口,如果是直接转发的话,那么必须为hybrid或者trunk,其中PVID必须等于AC的源地址的VLAN,也就是与AP建立CAPWAP隧道的VLAN,为管理VLAN,然后还需要放行业务VLAN,否则PC关联不上,DHCP获取不到地址。!!!
ospf 1 router-id 3.3.3.3
area 0.0.0.0
network 10.1.200.2 0.0.0.0
network 10.1.201.1 0.0.0.0
area 0.0.0.1
network 10.1.100.1 0.0.0.0
network 10.1.101.1 0.0.0.0
network 10.1.102.1 0.0.0.0
4、AC的配置
acl number 3001
rule 5 permit ip destination 10.1.201.100 0
rule 10 deny ip destination 10.0.0.0 0.255.255.255
rule 15 permit ip
说明:拒绝访客访问内部员工网络
interface Vlanif103
ip address 192.168.103.1 255.255.255.0
traffic-filter inbound acl 3001
dhcp select interface
dhcp server dns-list 8.8.8.8
#
interface Vlanif800
ip address 10.1.201.100 255.255.255.0
#
ospf 1 router-id 2.2.2.2
area 0.0.0.0
network 10.1.201.100 0.0.0.0
area 0.0.0.103
network 192.168.103.1 0.0.0.0
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 100 to 102 800
interface Wlan-Ess0
port hybrid untagged vlan 101
#
interface Wlan-Ess1
port hybrid untagged vlan 102
#
interface Wlan-Ess2
port hybrid untagged vlan 103
说明:该接口用来关联每一个服务集的,下发的时候告诉下面的AP打上什么样的VLAN。
wlan
wlan ac source interface vlanif800
ap id 0 type-id 19 mac 00e0-fc03-d740 sn 2102354483106C6FFC3E 【采用MAC认证方式来让AP上线】
ap id 1 type-id 19 mac 00e0-fc03-1360 sn 210235448310646DC543
wmm-profile name wmm id 0
traffic-profile name tra id 0
security-profile name sec id 0
service-set name valn101 id 0 【创建一个服务集,它的转发方式为tunnel,关联了WLAN-ESS0接口,SSID为VLAN 101】
forward-mode tunnel
wlan-ess 0
ssid vlan101
traffic-profile id 0
security-profile id 0
service-vlan 101
service-set name vlan102 id 1
forward-mode tunnel
wlan-ess 1
ssid vlan102
traffic-profile id 0
security-profile id 0
service-vlan 102
service-set name guest103 id 2
forward-mode tunnel
wlan-ess 2
ssid vlan103
user-isolate
traffic-profile id 0
security-profile id 0
service-vlan 103
radio-profile name 2g11n id 0 【指定射频类型为2.4G的,关联WMM】
radio-type 80211bgn
wmm-profile id 0
radio-profile name 5g11n id 1 【指定射频类型为5G的,关联WMM】
radio-type 80211an
wmm-profile id 0
ap 0 radio 0 【在ap的射频下,0表示2.4G,关联刚刚的射频profile,然后关联服务集,服务集是可以关联多个的,可以多个SSID】
radio-profile id 0
service-set id 0 wlan 1
service-set id 1 wlan 2
service-set id 2 wlan 3
ap 0 radio 1
radio-profile id 1
channel 40MHz-minus 153
service-set id 0 wlan 1
service-set id 1 wlan 2
service-set id 2 wlan 3
ap 1 radio 0
radio-profile id 0
channel 20MHz 6
service-set id 0 wlan 1
service-set id 1 wlan 2
service-set id 2 wlan 3
ap 1 radio 1
radio-profile id 1
channel 40MHz-minus 161
service-set id 0 wlan 1
service-set id 1 wlan 2
service-set id 2 wlan 3
说明:注意频段不要冲突,这里要手工修改下,模拟器不支持自动分配。
这里用的的tunnel转发模式的,默认情况下为直接,所以如果想为直接的转发模式,可以不需要配置forward-mode tunnel,如果为直接转发的话,那么交换机注意不能为Access接口,必须为hybrid或者trunk,PVID=AC与AP建立CAWPWAP隧道的VLAN,然后给业务VLAN打上Tag,否则会出现客户端连接不了AP,获取不到地址的情况。
5、只允许访客访问特定的流量,通过ACL下放
在tunnel的模式下,所有的流量都是会经过AC上面的VLAN接口的,所以策略是在AC的VLAN接口下做,但是如果是直接转发就不一样了。
acl number 3001
rule 5 permit ip destination 10.1.201.100 0
rule 10 deny ip destination 10.0.0.0 0.255.255.255
rule 15 permit ip
说明:拒绝访客访问内部员工网络
service-set name guest103 id 2
traffic-filter inbound acl 3001
它会在AP关联的时候,就会自动下发给AP,那么AP的接口上面就会有该ACL,直接在AP上面对客户端的流量做限制。所以在做控制的时候,一定要区分是在什么方式下,是直接转发还是隧道转发,不同的模式,策略应用的方式也不一样。
(源文件放在评论)
上一篇回顾
VLAN应用系列(5)主流厂商交换机VLAN接口不通?怎么办
下一篇学习