其他分享
首页 > 其他分享> > 6、小型企业无线网部署(案例2):三个无线常见组网场景,掌握了说明你开始进阶了~

6、小型企业无线网部署(案例2):三个无线常见组网场景,掌握了说明你开始进阶了~

作者:互联网

正式内容


图片


客户需求分析来规划

1、利用AR路由对接外网,并且设置一个内网地址对接内网

2、由于客户希望2个SSID对应不同的网段,那么我们可以有几种可选

    (1) AR1220有8个LAN口,可以做多VLAN对接二层交换机,可以实现SSID关联不同VLAN网段

    (2)AR1220继续三层口对接交换机,AC旁挂,AC把访客SSID启用隧道转发

3、客户希望点餐用的SSID不被搜索到,需要启用隐藏功能

4、访客用的SSID只允许上网,要求限速、隔离,那么我们需要限制访客能够访问到内网的点餐网段

5、考虑到访客流动性大,DHCP租期30分钟

6、点餐SSID的网段必须跟服务器在同一个网段,服务器不支持跨网段



图片


拓扑一:VLANIF或子接口形式

图片

1、对比用子接口的形式用VLANIF更加方便,所以这里采用VLANIF形式,然后把下行口配置成trunk,划分了三个网段,一个给点餐、一个给访客、管理。

2、交换机对接路由器的口为trunk,对接点餐划分到VLAN2,对接AP AC为trunk(这个就是我们接下来要弄的知识点)

3、AC单独起一个管理VLAN网段给 AP分配地址,并且给SSID划分对应VLAN

4、由于SSID的流量附带了VLAN,那么自然对接AP的口要划分成trunk,能够允许这些VLAN通过。

 

新知识学习

了解管理VLAN与业务VLAN

 在刚整个拓扑中,我们可以看到分为了管理、点餐、访客VLAN,我们把AP上线的VLAN叫做管理VLAN,实际无线终端的VLAN叫做业务VLAN,比如这里的VLAN4就是管理VLAN、VLAN 2跟3为业务VLAN。

 管理VLAN与业务VLAN划分出来的好处(1)减少AP占用业务VLAN的地址  (2)业务VLAN可以做不同的策略,比如该案例中我们需要对访客VLAN做限速、隔离、ACL限制,因为有了VLAN网段,做的策略不会影响到管理VLAN以及点餐的。(3)方便维护,通常管理VLAN是整个网络设备用的VLAN。

 

这里出现了一个问题:管理VLAN跟业务VLAN能否是同一个VLAN呢?

那肯定是可以的,在之前我们的案例1以及之前的拓扑环境都是管理、业务在一个VLAN,这种方式只适合小型环境,没有太大需求的,我们可以把管理跟业务都放一个里面,通常情况下,如果设备支持VLAN功能,那么建议划分管理与业务VLAN的,扩展性以及可管理性都是推荐的。

 

底层配置

1、internet路由器

[Huawei]interface  g0/0/0

[Huawei-GigabitEthernet0/0/0]ipaddress 114.114.114.114 24

 

2、出口路由器

[AR1220]interfaceg0/0/0                              

[AR1220-GigabitEthernet0/0/0]ipaddress 114.114.114.1 24

#

[AR1220]ip route-static0.0.0.0 0.0.0.0 114.114.114.114

#

[AR1220]vlan batch 2 to4

#

[AR1220]dhcp enable

#

[AR1220]interface  vlan 2

[AR1220-Vlanif2]ipaddress 192.168.100.1 24

[AR1220-Vlanif2]dhcpselect  interface

[AR1220-Vlanif2]dhcpserver dns-list 223.5.5.5 223.6.6.6

[AR1220-Vlanif2]dhcp server excluded-ip-address 192.168.100.254

#

[AR1220]interface  vlan 3

[AR1220-Vlanif3]ipaddress 192.168.200.1 24

[AR1220-Vlanif3]dhcpselect  interface

[AR1220-Vlanif3]dhcpserver dns-list 223.5.5.5 223.6.6.6

[AR1220-Vlanif3]dhcpserver lease day 0 hour 0 minute 30

 

#

[AR1220]interface  vlan 4

[AR1220-Vlanif4]ipaddress 192.168.255.1 24

[AR1220-Vlanif4]dhcpselect  interface

[AR1220-Vlanif4]dhcpserver excluded-ip-address 192.168.255.2 192.168.255.3

#

[AR1220]interfaceEthernet0/0/0

[AR1220-Ethernet0/0/0]portlink-type trunk

[AR1220-Ethernet0/0/0]porttrunk allow-pass vlan 2 to 4

#

[AR1220]acl number 3000

[AR1220-acl-adv-3000]rule  permit ip

[AR1220]interface  g0/0/0

[AR1220-GigabitEthernet0/0/0]natoutbound 3000

 

 

3、交换机配置

[SW]vlan batch 2 to 4

#

[SW]interface  g0/0/1  //对接路由器的接口

[SW-GigabitEthernet0/0/1]port link-type trunk

[SW-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 to 4

#

[SW]interface  g0/0/6  //接服务器接口

[SW-GigabitEthernet0/0/6]port link-type access

[SW-GigabitEthernet0/0/6]port default vlan  2

#

[SW]interface  g0/0/5

[SW-GigabitEthernet0/0/5]portlink-type access

[SW-GigabitEthernet0/0/5]port default vlan 4

#

[SW]interface g0/0/2

[SW-GigabitEthernet0/0/2]port link-type trunk

[SW-GigabitEthernet0/0/2]port trunk pvid vlan 4

[SW-GigabitEthernet0/0/2]port trunk allow-pass vlan 2 to 4

#

[SW]interfaceg0/0/3

[SW-GigabitEthernet0/0/3]port link-type trunk

[SW-GigabitEthernet0/0/3]port trunk pvid vlan 4

[SW-GigabitEthernet0/0/3]port trunk allow-pass vlan 2 to 4

#

[SW]interfaceg0/0/4

[SW-GigabitEthernet0/0/4]port link-type trunk

[SW-GigabitEthernet0/0/4]port trunk pvid vlan 4

[SW-GigabitEthernet0/0/4]port trunk allow-pass vlan 2 to 4

#

[SW]interface  vlan 4

[SW-Vlanif4]ip address192.168.255.3 24

#

[SW]ip route-static 0.0.0.0 0.0.0.0 192.168.255.1

 

这里有两个地方比较重要(1)管理VLAN开启DHCP,这个AP获取是需要的,并且排除掉用过的一个是AC 一个是交换机的管理地址(2)对接AP的口为trunk,并且PVID为VLAN4,PVID的作用就是说当AP自身的流量经过交换机的时候会打上PVID指定的VLAN,我们这里规划管理网段是VLAN4,所以这里PVID为4,并且允许2、3、4VLAN通过。

 

4、AC配置

 

[AC6005]vlan 4

#

[AC6005]interface  g0/0/1

[AC6005-GigabitEthernet0/0/1]port link-type access

[AC6005-GigabitEthernet0/0/1]port default vlan 4

#

[AC6005]ip route-static 0.0.0.0 0.0.0.0 192.168.255.1

#

[AC6005]interface  vlan 4

[AC6005-Vlanif4]ip address 192.168.255.2 24

#

 

无线业务配置

[AC6005]capwapsource  interface Vlanif 4

#

[AC6005]wlan

[AC6005-wlan-view]apauth-mode no-auth

#

[AC6005-wlan-view]ssid-profile name diancan

[AC6005-wlan-ssid-prof-diancan]ssid diancan

[AC6005-wlan-ssid-prof-diancan]ssid-hide enable

#

[AC6005-wlan-view]security-profile name diancan

[AC6005-wlan-sec-prof-diancan]securitywpa2 psk pass-phrase 88888888 aes

#

[AC6005-wlan-view]ssid-profilename WIFI-GUEST

[AC6005-wlan-ssid-prof-WIFI-GUEST]ssid WIFI-GUEST

#

[AC6005-wlan-view]security-profilen ame WIFI-GUEST

[AC6005-wlan-sec-prof-WIFI-GUEST]securityw pa2 psk pass-phrase 66668888 aes

#

[AC6005-wlan-view]vap-profilename diancan

[AC6005-wlan-vap-prof-diancan]ssid-profile diancan

[AC6005-wlan-vap-prof-diancan]security-profile diancan

[AC6005-wlan-vap-prof-diancan]service-vlanvlan-id 2

#

[AC6005-wlan-view]vap-profile name WIFI-GUEST

[AC6005-wlan-vap-prof-WIFI-GUEST]ssid-profile WIFI-GUEST

[AC6005-wlan-vap-prof-WIFI-GUEST]security-profile WIFI-GUEST

[AC6005-wlan-vap-prof-WIFI-GUEST]service-vlan vlan-id 3

#

[AC6005-wlan-view]ap-groupname default

[AC6005-wlan-ap-group-default]vap-profile diancan wlan 1 radio all

[AC6005-wlan-ap-group-default]vap-profile WIFI-GUEST wlan 2 radio all

#

红色标记的配置详细讲解

1、ssid-hide enable:用于隐藏SSID,不能被正常搜到到,只有手动添加才行

2、service-vlan vlan-id:用于指定该VAP的业务VLAN,默认属于VLAN1,这里点餐在VLAN2,GUEST在VLAN3,所以指定了不同的VLAN。

3、至此除了限速、隔离、以及限制暂时没做,其他都完成了,我们先来验证下。


验证


图片


打开后,发现只能看到一个SSID,因为diancan是被隐藏了的,  先连接试试


图片


连接获取的是业务VLAN3的地址。


图片

图片


目前GUEST是访问内网服务器也通,访问外网也可以,而客户的需求是只希望GUEST的访客能上网。而且我们搜索不到diancan的SSID,这里是被隐藏了,而且模拟器客户端是没办法手动添加SSID,所以这里我们可以看到隐藏成功了,我们把隐藏功能去掉来验证跟测试。

 

[AC6005]wlan

[AC6005-wlan-view] ssid-profile name diancan

[AC6005-wlan-ssid-prof-diancan]undo ssid-hide enable


图片


这时候就出现信号了,连接看看


图片

图片


访问服务器跟外网都没问题。

 

 

剩下客户的需求

客户希望访客这一块进行用户隔离、只能访问外网以及限速。这就需要用到我们最开始学习模板的时候的其中一个了,就是流量模板

 

[AC6005]acl number 3000

[AC6005-acl-adv-3000]rule  deny ip source 192.168.200.0 0.0.0.255destination 192.168.100.0 0.0.0.255

 

二层隔离

[AC6005]wlan

[AC6005-wlan-view]traffic-profilename WIFI-GUEST

[AC6005-wlan-traffic-prof-WIFI-GUEST]user-isolatel2

 

基于客户端的限速(下载给2mb,上行给1mb,vap是限制这个业务模板的整体速率)

[AC6005-wlan-traffic-prof-WIFI-GUEST]rate-limitclient down 2048

[AC6005-wlan-traffic-prof-WIFI-GUEST]rate-limitclient up 1024

[AC6005-wlan-traffic-prof-WIFI-GUEST]rate-limitvap down 20480

[AC6005-wlan-traffic-prof-WIFI-GUEST]rate-limitvap up 10240

通常情况下,我们会限制访客的速率,基于每客户端,也可以配合基于VAP整体限速,这里的意思是每个客户端下载给2m,上行1m,整体下载不能超过20m,上行10m。

 

网段限制

[AC6005-wlan-traffic-prof-WIFI-GUEST]traffic-filterinbound ipv4 acl 3000

这个我们之前定义了一个ACL 3000,拒绝了访客访问点餐的网段,然后允许访问其他,也就是允许上网。

 

[AC6005-wlan-view]vap-profilename WIFI-GUEST

[AC6005-wlan-vap-prof-WIFI-GUEST]traffic-profileWIFI-GUEST

这里说下一定要用自定义模板,原因就是如果用默认的,那么diancan对应的VAP也会继承这个配置,而我们用自定义的则不会影响其他VAP

 

 

交换机对接AP的口启用隔离(直接转发场景需要)

[SW]interface g0/0/2

[SW-GigabitEthernet0/0/2]port-isolateenable

[SW-GigabitEthernet0/0/2]interfaceg0/0/3  

[SW-GigabitEthernet0/0/3]port-isolateenable

[SW-GigabitEthernet0/0/3]interfaceg0/0/4  

[SW-GigabitEthernet0/0/4]port-isolateenabl

 

测试

 

图片

图片


可以看到用户隔离是生效的,用户隔离的作用就是在同一个VAP下面不能互访,相互隔离,互不影响,只能上外网。


图片


但是可以看到访问100.254也就是点餐系统还是可以访问,这里特意说明下,模拟器暂时模拟不了ACL用户限制的功能,配置了但是补生效。


图片

图片


可以看到是用户隔离开启了二层,限速也是我们定义的数值(模拟器没办法测试实际速率,下一篇用AR真机在演示这个功能),也能看到ACL是被调用过了的。

 

模拟器临时解决办法(把策略坐在路由器网关上面,实际环境肯定是用AC下发,因为流量在AP就被终结了,不占用其他资源)

 

路由器上面

[AR1220]acl number 3001

[AR1220-acl-adv-3001]rule  deny ip source 192.168.200.0 0.0.0.255destination 192.168.100.0 0.0.0.255

 

interface Vlanif3

 traffic-filter inbound acl 3001


图片


这时候就不通了,但是这个限制他是不太建议的 因为流量从客户端-----AP----交换机-----到AR才被阻止,实际环境我们调用了ACL后,流量就直接在AP上面就被阻止掉了。

 

整体回顾

在实施这个网络结构的时候,要注意以下的地方

1、如果交换机是三层的话,那么我们网关就起在三层上面

2、如果交换机是二层可配置的,那么我们网关起在路由器上面(通过VLANIF或者子接口形式)

3、客户需要SSID关联多网段的时候,我们需要VAP关联具体的VLAN

4、关于限速、用户隔离、限制访问都是在流量模板下完成,而且要自定义模板

5、交换机对接AP的口为trunk,PVID为管理VLAN,然后允许管理与业务VLAN通过,这样的话默认AP自身的流量就在管理VLAN,而业务VLAN发出来的时候会打上VLAN报文,自然在其他VLAN。

6、整个环境依赖交换机是否可配置,如果是傻瓜式的,那么这种方案就实施不了,因为没办法对接AP以及路由器接口,透传不了VLAN,整个网络只能在一个网段。


图片


客户端整体流量的走向

访客流量:客户端-----AP----交换机----出口路由器-----外网

点餐流量:客户端-----AP----交换机----点餐服务器

                 客户端-----AP----交换机----出口路由器-----外网

 

可以看到整个流量走向里面,数据并没有经过AC,AC就起到一个管理AP的作用,这种组网我们叫做旁挂直接转发组网。(旁挂的意思是AC旁挂在交换机上面,只起到管理AP、维护客户端的作用,直接转发的意思是数据包直接从交换机出去转发到网络,而不是直接先到AC,再由AC中转。)旁挂直接转发的核心就看AP到AC之间经过的交换机能否支持VLAN功能(也就是可配置交换机),只有支持的情况下这种组网架构才能够实施,达到最优。当然实际中存在各种各样的组网情况,不都是这么美好的,下面我们来看第二个拓扑案例。(如果觉得听不懂,那么可以购买本章节课程,听听博主视频讲解,更加通俗易懂哦)

 

 

拓扑二:AR三层接口配置网关,对接傻瓜交换机场景

图片


1、由于交换机是傻瓜交换机,那么我们AR路由器用的三层接口直接配置网关地址 192.168.100.1作为网关,开启DHCP

2、AC配置一个管理地址作为AP上线通信用

3、难点在于客户需要两个SSID,点餐在192.168.100.0/24网段,而GUEST需要在192.168.200.0/24网段,交换机还是傻瓜的不支持VLAN,这时候就需要用到一个新的知识点,隧道转发技术,把GUEST的网关做在AC上面,然后与路由互相写路由。

 

新知识学习

隧道转发:在我们学习CAPWAP报文的时候知道分为控制报文与数据报文,隧道转发的意思是AP把客户端业务流量通过CAPWAP数据通道直接转发给AC,然后由AC在处理交给其他网络出去,那么我们在什么场景下使用到隧道转发模式

(1)客户有多SSID网段需求,但是AP交换机不支持VLAN配置(傻瓜交换机,另外不单单是接AP的交换机要支持,从AP到网关中间经过的设备都需要支持能够透传管理与业务VLAN),这种情况下,我们只能通过隧道转发来实现多网段的场景。

(2)想通过AC集中控制客户端流量、认证登功能的时候也会用到,把业务流量全部引向AC。

 

底层配置

1、internet路由器

[internet]interfaceg0/0/0

[internet-GigabitEthernet0/0/0]ipaddress 114.114.114.114 24

 

2、出口路由器配置

[AR1220]interface  g0/0/1

[AR1220-GigabitEthernet0/0/1]ipaddress 114.114.114.1 24

[AR1220]ip route-static0.0.0.0 0.0.0.0 114.114.114.114

#

[AR1220]dhcp enable

#

[AR1220]int g0/0/0

[AR1220-GigabitEthernet0/0/0]ipadd 192.168.100.1 24

[AR1220-GigabitEthernet0/0/0]dhcpserver dns-list 223.5.5.5 223.6.6.6

[AR1220-GigabitEthernet0/0/0]dhcpserver excluded-ip-address 192.168.100.2

[AR1220-GigabitEthernet0/0/0]dhcpserver excluded-ip-address 192.168.100.254

#

[AR1220]acl  number 3000

[AR1220-acl-adv-3000]rule  permit ip

#

[AR1220]interface  g0/0/1

[AR1220-GigabitEthernet0/0/1]natoutbound 3000

 

3、AC基本配置

[AC6005]dhcp enable

#

[AC6005]vlan 3

#

[AC6005]interface  vlan 3

[AC6005-Vlanif3]ipaddress 192.168.200.1 24

[AC6005-Vlanif3]dhcpselect  interface

[AC6005-Vlanif3]dhcpserver dns-list 223.5.5.5 223.6.6.6

#

[AC6005]interface  vlan 1

[AC6005-Vlanif1]ipaddress 192.168.100.2 24

#

[AC6005]ip route-static0.0.0.0 0.0.0.0 192.168.100.1

 

无线业务相关配置

[AC6005]capwap sourceinterface Vlanif 1

#

[AC6005]wlan

[AC6005-wlan-view]apauth-mode no-auth

#

[AC6005-wlan-view]ssid-profilename diancan

[AC6005-wlan-ssid-prof-diancan]ssiddiancan

[AC6005-wlan-ssid-prof-diancan]ssid-hide enable

#

[AC6005-wlan-view]security-profilename diancan

[AC6005-wlan-sec-prof-diancan]securitywpa2 psk pass-phrase 88888888 aes

 

[AC6005-wlan-view]ssid-profilename WIFI-GUEST

[AC6005-wlan-ssid-prof-WIFI-GUEST]ssidWIFI-GUEST

#

[AC6005-wlan-view]security-profilename WIFI-GUEST

[AC6005-wlan-sec-prof-WIFI-GUEST]securitywpa2 psk pass-phrase 66668888 aes

#

[AC6005-wlan-view]vap-profile  name diancan

[AC6005-wlan-vap-prof-diancan]ssid-profilediancan

[AC6005-wlan-vap-prof-diancan]security-profilediancan

#

[AC6005-wlan-view]vap-profile  name WIFI-GUEST

[AC6005-wlan-vap-prof-WIFI-GUEST]ssid-profile  WIFI-GUEST

[AC6005-wlan-vap-prof-WIFI-GUEST]security-profileWIFI-GUEST

[AC6005-wlan-vap-prof-WIFI-GUEST]service-vlanvlan-id 3

[AC6005-wlan-vap-prof-WIFI-GUEST]forward-mode  tunnel

#

[AC6005-wlan-view]ap-groupname default

[AC6005-wlan-ap-group-default]vap-profilediancan wlan 1 radio  all

[AC6005-wlan-ap-group-default]vap-profileWIFI-GUEST wlan 2 radio all

#

关于流量模板限速、安全策略、隔离这里参考上面,这里不在讲解了,我们来熟悉隧道转发。


图片


由于diancan隐藏了SSID,所以这里看不到,我们先测试WIFI-GUEST


图片

图片


可以看到获取的是200网段的,也就是我们AC分配的,VLAN为3.


图片


目前访问到网关可以,但是访问外网不行。


分析:

图片


数据包的走向:客户端---AP(AP把业务数据封装在CAPWAP数据然后转发到AC)----傻瓜交换机-----AC(AC收到CAPWAP数据包解封装后看到实际数据业务,由于访客的网关在AC上面,AC会进行处理,查找去往114的路由,由默认路由,它会把数据包发给AR,AR查找目的路由发现给外网,直接NAT转换发出去。回包的时候,外网回包到AR出口路由器,出口路由通过NAT会话表找到发现去往192.168.200.X的,查找路由表,发现没有去192.168.200.X的路由,数据包直接丢弃。)可以发现整个网络缺少路由,AR不知道192.168.200.0在哪,需要我们写静态路由回包。

 

[AR1220]ip route-static 192.168.200.0 24 192.168.100.2


图片


可以看到这时候数据包就通了,因为加了静态路由有了回包路由。

 

(思考题)实际情况容易遇到的问题: 实际中可能会遇到这台AR路由没有权限操作或者密码忘记进不去加不了配置,我们只能通过AC来解决,这个时候我们改如何解决?

 

关于点餐的

[AC6005-wlan-view] ssid-profile name diancan

[AC6005-wlan-ssid-prof-diancan]undo ssid-hide enable

我们把隐藏去掉来测试点餐的(模拟器不支持手动添加)


图片

图片


获取的地址是192.168.100.250,默认VLAN1的。


图片


整体数据包走向

1、访客流量用的隧道转发,客户端流量-----AP1(封装CAPWAP)----傻瓜交换机----AC------目的地

2、点餐流量用的直接转发,客户端流量-----AP1(业务默认VLAN)---傻瓜交换机----到服务器或者出口出去

 

博主经验分享

(1)能用直接转发的场景,就部署直接转发,因为业务数据都从交换机---网关直接出去了,不用通过AC绕一圈,增加AC的负担,直接转发场景得满足AP上接交换机一直到业务网关的中间设备都必须支持VLAN透传,只有支持透传的情况下,数据包业务才能通过交换机直接到网关然后转发出去,特别是多SSID网段场景,多SSID通常会关联VLAN。(单SSID场景的话,傻瓜交换机也是可以实现直接转发的, 因为都在一个网段,都在一个局域网,所以在配置的时候一定要注意整个AP到上层网络的接口全部要放行需要的VLAN通过)

(2)隧道转发的场景,一般是面向AP的交换机是傻瓜,或者中间网络设备配置不了,那么这个时候我们只能被动选择转发场景,这种组网会增加无线业务的延迟,特别是在客户端比较多的情况下。

扩展案例:客户原本网络AR路由+傻瓜交换机,变更后希望加入无线业务,新增加了一台AC+3台AP,需要多SSID 多网段,

如果是这种组网架构应该如何来部署跟解决?

本文首发于公众号:网络之路博客

标签:GUEST,AC6005,WIFI,wlan,进阶,VLAN,无线网,AR1220,组网
来源: https://blog.51cto.com/ccieh3c/2676198