11 | 您所在的位置:网站首页 › wifiap隔离在哪里 › 11 |
1 简介
本文档介绍了无线用户VLAN内二层隔离典型配置举例。 2 特性使用指南 2.1 配置前提本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请参考以设备实际情况为准。 本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。 3 配置举例 3.1 组网需求如图1所示,AC通过Switch连接AP,并作为DHCP服务器为AP和Client分配IP地址。在AC上配置客户端仅在VLAN200上线,并在VLAN 200上开启用户隔离功能,允许访问无线MAC地址为00bb-ccdd-eeff(无线网关)和0022-3344-5566(无线打印机)的设备,同时禁止有线用户(permit-mac允许的mac地址除外)发送广播、组播报文给无线用户。 图1 组网图 3.2 配置AC · 不同AP的Radio数量、支持协议不同,请以设备实际情况为准。本手册以WAP722S-W2为例进行介绍。 · 不同设备的LAN口掩码不同,请以设备实际情况为准。本手册以WAC380-30为例进行介绍。 · 首次登录设备需要配置国家码,配置不同国家码可能会造成部分功能无法使用,请以设备实际情况为准。本手册以配置国家码为CN为例进行介绍。
(1) 配置Console口参数 通过Console口登录设备时,配置PC可以通过终端仿真程序与设备建立连接。这里的“终端仿真程序”可选用超级终端或PuTTY等,用户可以运行这些程序来连接网络设备,这些程序的详细介绍和使用方法请参见该程序的使用指导。 打开配置终端,在配置终端上运行终端仿真程序,并设置终端参数。参数设置要求如下: · 波特率:9600 · 数据位:8 · 停止位:1 · 奇偶校验:无 · 流量控制:无 (2) 配置AC的接口 # 创建VLAN 100及其对应的VLAN接口,并为该接口配置IP地址192.168.0.1/24。AP将获取该IP地址与AC建立CAPWAP隧道。 system-view [AC] vlan 100 [AC-vlan100] quit [AC] interface vlan-interface 100 [AC-Vlan-interface100] ip address 192.168.0.1 24 [AC-Vlan-interface100] quit # 创建VLAN 200作为客户端接入的业务VLAN,并为该接口配置IP地址192.168.1.1/24,用于和无线客户端进行通信。 [AC] vlan 200 [AC-vlan200] quit [AC] interface vlan-interface 200 [AC-Vlan-interface200] ip address 192.168.1.1 24 [AC-Vlan-interface200] quit # 将与Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk,并允许VLAN 100和VLAN 200通过。 [AC] interface gigabitethernet 1/0/1 [AC-GigabitEthernet1/0/1] port link-type trunk [AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200 [AC-GigabitEthernet1/0/1] quit (3) 配置无线服务 # 创建无线服务模板1,并进入无线服务模板视图。 [AC] wlan service-template 1 # 配置SSID为service1。 [AC-wlan-st-1] ssid service1 # 配置客户端从无线服务service1上线后将被加入到VLAN 200。 [AC-wlan-st-1] vlan 200 # 开启无线服务模板。 [AC-wlan-st-1] service-template enable [AC-wlan-st-1] quit (4) 配置AP # 创建手工AP,名称为officeap,型号为WAP722S-W2,并配置序列号。 [AC] wlan ap officeap model WAP722S-W2 [AC-wlan-ap-officeap] serial-id 219801A1B28172E00001 # 进入Radio 2视图。 [AC-wlan-ap-officeap] radio 2 # 将无线服务模板1绑定到Radio 2上。 [AC-wlan-ap-officeap-radio-2] service-template 1 # 开启Radio 2的射频功能。 [AC-wlan-ap-officeap-radio-2] radio enable [AC-wlan-ap-officeap-radio-2] quit (5) 配置AP的配置文件 # 在AC上将配置文件apcfg.txt下发到AP。 [AC-wlan-ap-officeap] map-configuration apcfg.txt [AC-wlan-ap-officeap] quit (6) 配置用户隔离 # 在VLAN 200上开启用户隔离功能,允许访问无线MAC地址为00bb-ccdd-eeff(无线网关)和0022-3344-5566(无线打印机)的设备,同时禁止有线用户(permit-mac允许的mac地址除外)发送广播、组播报文给无线用户。 [AC] user-isolation vlan 200 enable [AC] user-isolation vlan 200 permit-mac 00bb-ccdd-eeff 0022-3344-5566 [AC] undo user-isolation permit-broadcast (7) 配置DHCP服务 # 开启DHCP功能。 [AC] dhcp enable # 创建名为VLAN100的DHCP地址池,为AP动态分配网段为192.168.0.0/24,不参与自动分配的IP地址为192.168.0.1和192.168.0.2,网关地址为192.168.0.1的IP地址。 [AC] dhcp server ip-pool vlan100 [AC-dhcp-pool-vlan100] network 192.168.0.0 mask 255.255.255.0 [AC-dhcp-pool-vlan100] forbidden-ip 192.168.0.1 192.168.0.2 [AC-dhcp-pool-vlan100] gateway-list 192.168.0.1 [AC-dhcp-pool-vlan100] quit # 创建名为VLAN200的DHCP地址池,为从service1上线的客户端分配网段为192.168.1.0/24,不参与自动分配的IP地址为192.168.1.1和192.168.1.2,网关地址为192.168.1.2,DNS服务器地址为114.114.114.114。 [AC] dhcp server ip-pool vlan200 [AC-dhcp-pool-vlan200] network 192.168.1.0 mask 255.255.255.0 [AC-dhcp-pool-vlan200] forbidden-ip 192.168.1.1 192.168.1.2 [AC-dhcp-pool-vlan200] gateway-list 192.168.1.2 [AC-dhcp-pool-vlan200] dns-list 114.114.114.114 [AC-dhcp-pool-vlan200] quit 3.3 配置Switch# 创建VLAN 100及其对应接口,并为该接口配置IP地址,用于转发AC和AP间CAPWAP隧道内的流量。 system-view [Switch] vlan 100 [Switch-vlan100] quit [Switch] interface vlan-interface 100 [Switch-Vlan-interface100] ip address 192.168.0.2 24 [Switch-Vlan-interface100] quit # 创建VLAN 200及其对应接口,并为该接口配置IP地址,用于和无线客户端进行通信。 [Switch] vlan 200 [Switch-vlan200] quit [Switch] interface vlan-interface 200 [Switch-Vlan-interface200] ip address 192.168.1.2 24 [Switch-Vlan-interface200] quit # 配置Switch和AC相连的接口GigabitEthernet1/0/1为Trunk类型,并允许VLAN 100和VLAN 200通过。 [Switch] interface gigabitethernet 1/0/1 [Switch-GigabitEthernet1/0/1] port link-type trunk [Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200 [Switch-GigabitEthernet1/0/1] quit # 配置Switch和AP相连的接口GigabitEthernet1/0/2为Trunk类型,禁止VLAN 1报文通过,允许VLAN 100、VLAN 200通过,当前Trunk口的PVID为100。 [Switch] interface gigabitethernet 1/0/2 [Switch-GigabitEthernet1/0/2] port link-type trunk [Switch-GigabitEthernet1/0/2] undo port trunk permit vlan 1 [Switch-GigabitEthernet1/0/2] port trunk permit vlan 100 200 [Switch-GigabitEthernet1/0/2] port trunk pvid vlan 100 [Switch-GigabitEthernet1/0/2] quit 3.4 配置apcfg.txtapcfg.txt的内容,要求为文本文件,按照命令行配置的顺序编写文本文件上传至AC即可,AC与AP关联后,通过map-configuration命令下发至AP生效。从而完成对AP的配置。
# apcfg.txt配置文件为: system-view vlan 200 quit interface GigabitEthernet 1/0/1 port link-type trunk port trunk permit vlan 200 3.5 验证结果VLAN 200中的无线用户通过无线网关可以访问Internet和无线打印机,而有线用户无法通过无线网关访问Internet。 3.6 配置文件· AC # dhcp enable # vlan 1 # vlan 100 # vlan 200 # dhcp server ip-pool vlan100 gateway-list 192.168.0.1 network 192.168.0.0 mask 255.255.255.0 forbidden-ip 192.168.0.1 192.168.0.2 # dhcp server ip-pool vlan200 gateway-list 192.168.1.2 network 192.168.1.0 mask 255.255.255.0 forbidden-ip 192.168.1.1 192.168.1.2 dns-list 114.114.114.114 # user-isolation vlan 200 enable # user-isolation vlan 200 permit-mac 00bb-ccdd-eeff 0022-3344-5566 # undo user-isolation permit-broadcast # interface Vlan-interface1 # interface Vlan-interface100 ip address 192.168.0.1 255.255.255.0 # interface Vlan-interface200 ip address 192.168.1.1 255.255.255.0 # interface GigabitEthernet1/0/1 port link-type trunk port trunk permit vlan 100 200 # wlan service-template 1 ssid service1 vlan 200 service-template enable # wlan ap officeap model WAP722S-W2 serial-id 219801A1B28172E00001 vlan 1 radio 1 radio 2 radio enable service-template 1 # · Switch # vlan 100 # vlan 200 # interface Vlan-interface100 ip address 192.168.0.2 255.255.255.0 # interface Vlan-interface200 ip address 192.168.1.2 255.255.255.0 # interface GigabitEthernet1/0/1 port link-type trunk port trunk permit vlan 100 200 # interface GigabitEthernet1/0/2 port link-type trunk undo port trunk permit vlan 1 port trunk permit vlan 100 200 port trunk pvid vlan 100 #
|
CopyRight 2018-2019 实验室设备网 版权所有 |