WLAN设计

隧道转发方式

隧道转发方式是指无线用户的业务报文到达AP后，需要经过CAPWAP隧道封装后发送给WAC，然后由WAC再转发到其他网络。在集中式网关方案中，如果无线用户业务报文采用隧道转发方式，其流量转发模型如图2-35所示。

隧道转发方式的优点是WAC与AP间链路上的交换机不需要再放通业务VLAN，进行端口加入VLAN的配置，便于集中控制和管理。缺点就是无线用户业务流量都集中在WAC进行转发，WAC的压力比较大。

图2-35 隧道转发方式的无线用户业务流量模型

直接转发方式

直接转发方式是指用户的业务报文到达AP后，不经过CAPWAP隧道封装而直接转发到其他网络。在集中式网关方案中，如果无线用户业务报文采用直接转发方式，其流量转发模型如图2-36所示。

直接转发方式的优点是本地无线用户的东西向业务流量不需要经过WAC，可以直接通过本地接入交换机进行转发。缺点就是WAC与AP间链路上的交换机需要放通业务VLAN，进行端口加入VLAN的配置，不便于集中控制和管理。

图2-36 直接转发方式的无线用户业务流量模型

表2-17针对隧道转发模式和直接转发模式做了比较，在大中型园区网络虚拟化方案中，无论网关方案如何选择，都建议采用隧道转发模式，提供流量的集中管理与控制。本章节的后续无线网络规划都是基于隧道转发方式进行设计。

AP获取管理IP地址规划

在WAC+Fit AP的无线网络架构中，为了提高部署效率，AP一般采用DHCP方式，通过配置DHCP服务器，使AP作为DHCP客户端向DHCP服务器请求管理IP地址。在集中式网关方案中，Border设备会同时作为有线、无线管理子网的DHCP服务器，向接入交换机、汇聚交换机、AP自动分配管理IP地址；AP首次即插即用上线，以及管理VLAN的切换，都是与交换机统一规划，详细内容可参考开局设计。

WAC关联AP规划

WAC关联AP主要是为了保证接入的AP合法，如果接入网络的AP信息与WAC上关联的AP信息不匹配，即不允许其上线。在大中型园区虚拟化集中式网关场景中，WAC关联AP需要在iMaster NCE-Campus上完成：

1. 首先，园区站点在添加设备时录入AP的ESN。由于大中型园区网络的AP数量较多，推荐采用“网络规划导入”的方式，在导入物理规划链路的同时，添加AP的ESN。
2. AP的ESN录入完成后，在iMaster NCE-Campus的“网络配置”页签的“管理Fit AP”选项中，即可看到WAC能够关联的AP。在“WAC”列表选中核心设备所在行，然后单击右下角“添加”，就能够将AP纳入核心设备管理。

CAPWAP源接口规划

对于采用WAC+Fit AP架构的大中型园区虚拟化场景，AP的无线业务配置主要通过WAC的Web网管或者命令行方式进行集中配置，其中，包括用于WAC与AP建立CAPWAP隧道的CAPWAP源接口配置。

SSID规划

一般按照不同的用户角色或者不同的业务类型规划SSID。例如大型商业场景可针对三种不同的无线业务，规划3个SSID，如图2-37所示。Employee用于员工的无线办公接入；Guest用于访客的Internet上网；Dumb用于打印机等哑终端接入。对于非面向终端用户的SSID，例如用于打印机接入的SSID，可设置为隐藏SSID的方式，以避免被普通用户搜索到。

图2-37 SSID规划示意图

无线业务VLAN规划

AP在接收到无线用户的业务数据，向有线侧进行转发时，就需要规划无线业务VLAN，用于在有线侧区分不同的无线业务类型或用户群体。在无线侧，SSID也同样承担了区分无线业务类型或用户群体的工作。因此，在无线网络规划中必须综合考虑VLAN与SSID的映射关系，映射关系有1:1/1:N两种，分别适用于不同的场景，详细如表2-18所示。

大中型园区规模较大，接入终端数量多，通常需要根据区域制定不同策略，通常需要选择SSID：VLAN =1:N映射策略。

无线的广播域范围由SSID决定，在SSID与VLAN为1:N对应关系时，建议开启广播转单播的功能，以避免无线广播域的产生。

NAC认证控制点设计

NAC是一种有线和无线都适用的网络准入方案，常用的认证技术包括802.1X、MAC和Portal认证，一般有线用户是基于交换机接入端口做接入控制，无线用户是基于SSID做接入控制。无线用户接入在选择认证方式时和有线用户接入规划的思路相同，主要考虑不同的用户角色或者终端类型，详细可参考“接入控制设计”中的“用户认证方式设计”。

采用WAC+Fit AP架构的WLAN网络中，无线认证控制点为WAC。集中式网关方案中，根据采用的不同WAC类型，无线认证控制点的部署过程有所不同。

• 独立WAC旁挂Border

  如果集中式网关方案中采用独立WAC旁观Border，那么无线认证控制点侧需要登录WAC的Web网管进行统一配置，如图2-40所示。具体配置过程如下：

  1. 在WAC配置AAA模板资源，包括RADIUS服务器模板、Portal服务器模板、接入认证模板等。
  2. 在AP将配置好的接入认证模板与SSID进行关联。
  图2-40 WLAN认证控制点侧配置示意图（独立WAC旁挂Border）
  
• Border作为随板WAC

  如果集中式网关方案中采用Border作为随板WAC，那么认证模板除了可以登录WAC的Web网管配置外，还可以在iMaster NCE-Campus配置，然后通过“站点配置”页签，向随板WAC下发，如图2-41所示。具体配置过程如下：

  1. 通过iMaster NCE-Campus创建模板，模板资源在“站点配置”页签设置并下发到WAC。
  2. 在AP将配置好的接入认证模板与SSID进行关联。只能登录WAC的Web网管配置AP上的无线业务。
  图2-41 WLAN认证控制点侧配置示意图（Border作为随板WAC）
  

  集中式网关方案中，在“站点配置”页签配置接入认证，不仅仅是在WAC采用随板WAC时，能够向WAC下发认证模板；而且如果无线接入认证采用iMaster NCE-Campus内置的认证服务器，必须配置此步骤来使得iMaster NCE-Campus记录认证控制点、SSID和认证模板的对应关系。

安全策略设计

除了传统的NAC方案外，WLAN本身的802.11标准还提供了WEP、WPA、WPA2和WAPI四种安全策略机制。每种安全策略体现了一整套安全机制，包括无线链路建立时的链路认证方式，无线用户上线时的用户接入认证方式和无线用户传输数据业务时的数据加密方式。表2-19是针对这几种安全策略的比较。

通常WLAN在考虑网络准入时，NAC和安全策略会综合考虑，形成适合不同场景的组合控制方案。表2-20列出了不同WLAN安全策略，推荐的NAC用户接入认证方式，以及适用的场景。