同一个SSID实现多个动态VLAN的分配.docx
- 文档编号:11339233
- 上传时间:2023-02-28
- 格式:DOCX
- 页数:38
- 大小:1.54MB
同一个SSID实现多个动态VLAN的分配.docx
《同一个SSID实现多个动态VLAN的分配.docx》由会员分享,可在线阅读,更多相关《同一个SSID实现多个动态VLAN的分配.docx(38页珍藏版)》请在冰豆网上搜索。
同一个SSID实现多个动态VLAN的分配
XX公司
无线工程实施手册
目录
第一章:
工程概述3
1工程介绍3
2设计方案及实现目标3
第二章:
无线工程项目实施4
2.1步骤一:
项目实施准备工作5
2.2步骤二:
现场勘查5
2.3步骤三:
工程实施协调会5
2.4步骤四:
设备连接6
第三章:
配置文档7
3.1控制器C4402配置7
3.1.1注册AP到控制器7
3.1.2配置AP9
3.1.3配置RADUIS服务器11
3.1.4增加WLAN12
3.2ACS配置15
3.2.1初次使用ACS15
3.2.2创建一个用户15
3.2.3定义AAA客户端17
3.2.4安装证书,选择认证类型18
3.3实现一个SSID接入多个动态VLAN网段20
3.4客户端配置30
第一章:
工程概述
1工程介绍
XX公司(以下简称XX电子公司)是世界上最大的显示器生产企业地处福清市,新厂区办公楼为5层。
XX电子公司无线网络需求是在整座办公楼内做无线信号覆盖,办公楼层和会议室楼层,外来客户可以实现无线移动办公。
XX电子公司无线局域网本期工程无线网络信号需要覆盖区域总共五楼。
无线用户需要在上述区域的任何地方上网且用户可以在新厂区办公楼内无缝漫游。
2设计方案及实现目标
根据XX电子公司大楼的信息点部署,物理分布和实际网络结构特点,此次工程实施选用集中无线网络解决方案,整体划一,系统管理,准确定位,高效运营,全面满足XX电子公司无线网络的业务需求。
网络拓扑图如下
在中心机房放置思科无线综合控制器AIR-WLC4402-50-K9,通过光口与核心交换机6506相连。
AP布置在各楼层,通过楼层交换机连接到核心交换机上。
由于工程使用“瘦”AP1020,因此在核心交换机上设置DHCP,以将AP注册到控制器C4402上。
将ACS和WCS连入服务器网段。
第二章:
无线工程项目实施
步骤
实施内容
注意事项
1
准备工作
1.准备好新增设备所需的电源及空间
2.连到新的核心交换机需要重新布线
3.所有需要连接到核心交换机上的网线必须打标签标记。
4.备份所有网络设备的配置
2
现场堪查
检查现场的工程实施环境,包括各楼层AP的连接线路是否到位、设备是否满足工程实施的要求,线缆、工具、网络跳线等,以及跳线是否标识清楚准确。
3
工程实施会议
落实工程实施内容,明确参与人员的实施步骤,落实业务验证人员安排与要求。
4
硬件调整
1.控制器上架
2.ACS上架
3.设备连接:
控制器和ACS根据端口分配表连入到核心交换机上。
AP分别接入楼层交换机。
5
核心交换机(二层)配置
TRUNK、VLAN、端口配置等
6
核心交换机(三层)配置
DHCP、interfacevlan地址
7
接入层交换机配置
TRUNK、VTP、VLAN、端口配置等
8
业务验证
AP是否连入到控制器上,是否可以WEB配置控制器和ACS等
2.1步骤一:
项目实施准备工作
●准备好设备所需的电源及空间,无线控制器C4402有两路电源到机柜,机柜应配备足够的接线排。
●连到新的核心交换机需要重新布线
●所有需要连接到核心交换机上的网线必须打标签标记。
需要综合布线单位提供信息点和跳线架的映射表。
●备份所有网络设备的配置。
●机房网络机柜的防静电工作是否齐备。
2.2步骤二:
现场勘查
检查现场的工程实施环境,包括各楼层AP所要连接的线路是否到位、设备是否满足工程实施的要求,线缆、工具、网络跳线等,以及跳线是否标识清楚准确。
2.3步骤三:
工程实施协调会
召开所有项目相关人员参与的项目协调会,落实工程实施内容,明确参与人员的实施步骤,落实业务验证人员安排与要求。
2.4步骤四:
设备连接
控制器C4402和ACS连接表
设备名称
对应核心交换机端口
设备管理地址
设备口令
设备放置地点
控制器C4402
G3/16
172.16.31.198
User:
admin
机房
Pass:
admin
ACS4.0
G1/46
172.16.31.199
User:
admin
机房
Pass:
acs4.0@tpv
接入点(AP)分布及连接
楼层
AP:
序列号
AP:
MAC地址
管理地址
设备放置地点(按图纸所标)
1楼
WCN103903U6
000B8582C9C0
DHCP
人事部
WCN103903T7
000B8582C8F0
DHCP
MP
2楼
WCN103903TW
000B8582C920
DHCP
WX1
WCN103903RN
000B8582C460
DHCP
WX2
WCN103903QS
000B8582C280
DHCP
WX3
WCN103903RQ
000B8582C480
DHCP
WX4
3楼
WCN103903R4
000B8582C340
DHCP
WX1
WCN103903U0
000B8582C296
DHCP
WX3
WCN1039
000B8582C470
DHCP
总办
4楼
WCN103903QE
000B8582C1C0
DHCP
WX2
WCN103903QM
000B8582C230
DHCP
WX1
WCN103903S2
000B8582C540
DHCP
外走道
5楼
WCN103903U4
000B8582C9A0
DHCP
外走道
WCN103903S0
000B8582C5F0
DHCP
WX2
WCN103903RE
000B8582C3E0
DHCP
WX1
第三章:
配置文档
3.1控制器C4402配置
3.1.1注册AP到控制器
●将控制器C4402放置妥当,使用设备自带的DT-9连接线,将计算机连接到控制器上。
●使用系统自带的超级终端连接(波特率为9600)
●上电,在看到提示后,输入用户名和密码(第一次开机,默认用户名:
admin,密码admin)
●第一次上电,设备将使用向导配置(在向导配置中,可以设备设备名称,管理IP,AP管理IP,DHCP等必须的设置)
SystemName[Cisco_43:
eb:
22]:
c4402
EnterAdministrativeUserName(24charactersmax):
admin
EnterAdministrativePassword(24charactersmax):
admin
ServiceInterfaceIPAddressConfiguration[none][DHCP]:
192.168.160.1
解释:
该端口地址是可选的(可配也可不配)。
如果配置,它需与下面的管理接口地址不在同一网段
EnableLinkAggregation(LAG)[yes][NO]:
No
解释:
此项是选择是否起用链路会聚。
此次工程只使用一个光口,所以选“no”。
如果启用的话,就意味着将2个光口都同时使用,那么对应的上联的核心交换机6506也就启用2个光口,并在交换机上配置portchannel。
这将在下面进一步进行说明。
ManagementInterfaceIPAddress:
172.16.31.198
解释:
该端口地址是强制,必须配的。
这个地址是用来进行配置,管理的。
当系统起用了WEB图文方式后,就使用这个地址登陆到控制器上。
ManagementInterfaceNetmask:
255.255.255.0
ManagementInterfaceDefaultRouter:
172.16.31.250
解释:
该地址为VLAN的地址,即网关
ManagementInterfaceVLANIdentifier(0=untagged):
130
解释:
该值为VLAN的ID
ManagementInterfacePortNum[1to2]:
1
解释:
只选用一个光口,即选“1”
ManagementInterfaceDHCPServerIPAddress:
172.16.31.250
解释:
该地址为强制,必须配的。
配置DHCP服务器的IP地址
APTransportMode[layer2][LAYER3]:
LAYER3
解释:
如果AP与控制器在同一网段,选“layer2”。
如果AP与控制器不在同一网段,选“layer3”
APManagerInterfaceIPAddress:
172.16.31.197
解释:
该地址为强制的,必须配的。
配置AP的管理地址。
AP使用LWAPP协议与控制器通信,这里将IP地址配为与管理IP同一网段。
正常情况下,客户端可ping通管理IP地址,对AP管理地址是ping不通的。
该地址的设置只是为了正确将AP注册到控制器上
AP−ManagerisonManagementsubnet,usingsamevalues
APManagerInterfaceDHCPServer(192.168.50.3):
172.16.31.250
VirtualGatewayIPAddress:
172.16.31.9
Mobility/RFGroupName:
RFgroupname
NetworkName(SSID):
SSID
AllowStaticIPAddresses[YES][no]:
yes
ConfigureaRADIUSServernow?
[YES][no]:
no
EnterCountryCode(enter'help'foralistofcountries)[US]:
CN
解释:
配置国家代码。
默认为US(美国)。
需要强调的是,国家代码将根据你的AP的具体型号而定。
此次XX选用的是AIR-AP1020-C-K9(中国大陆销售),所以选用CN。
如果没有正确选用国家代码的话,那么将造成AP无法注册到控制器上。
Enable802.11bNetwork[YES][no]:
yes
Enable802.11aNetwork[YES][no]:
yes
Enable802.11gNetwork[YES][no]:
yes
解释:
起用802.11a/b/g
到这,向导配置结束。
我们就可以通过WEB方式来进行配置了
●启用WEB方式配置。
confignetworkwebmodeenable
confignetworksecurewebenable
在IE地址拦里输入“http:
//172.16.31.198,使用控制器的WEB配置,如下图所示:
为刚才利用向导配置后的信息
●配置核心交换机6506
◆配置与控制器相连的光口3/16
interfaceGigabitEthernet3/16(选用3/16与控制器相连)
switchport
switchporttrunkencapsulationdot1q(选择传输模式为trunk,因为控制器的分配口光1的模式为trunk,且是不能更改的)
switchportmodetrunk
◆配置DHCP,AP连接到VLAN1上。
ipdhcpexcluded-address192.168.0.1192.168.0.199
ipdhcpexcluded-address192.168.0.231192.168.0.254(VLAN1为设备的管理地址。
分配AP的DHCP地址为192.168.0.200~192.168.0.230)
ipdhcppoolAP_manager_vlan1(启用DHCP)
network192.168.0.0255.255.255.0
default-router192.168.0.1
dns-server172.16.31.9172.16.31.35
●配置楼层交换机
Interfacerangefast0/9–13(每层楼配置4个AP,选用9到13口)
Switchportmodeaccess
Switchportaccessvlan1
●以上配置完毕后,AP就可注册到控制器C4402上了。
如图所示:
3.1.2配置AP
在WEB界面下,可对AP进行的操作有命名,配置无线机制,天线,通道等。
●命名,配置IP地址
在WEB界面下,WIRLESS—Detail,如图
默认AP的系统命名为取用AP的MAC地址,为了方便管理,可对AP进行自定义命名。
默认情况下,AP的地址为DHCP地址取的,在AP重新加电后,其地址通过DHCP重新获得。
系统也可以允许配置个静态地址。
以上配置均可通过打开的图文界面进行配置管理。
●配置AP的无线机制,天线,通道
AP有内制天线,此次工程由于AP的布置为放置与天花板上,故需采用外制天线。
禁用802.11A。
以上配置可通过WIRLESS—802.11B/GRadios—Config配置,如图
3.1.3配置RADUIS服务器
SECURITY—RADUISauthentication,如图所示
输入RADUIS服务器的地址,密钥(该密钥需与ACS上的一致),默认端口为1812(如果无特殊情况,不改变)
配置完成后,如图
3.1.4增加WLAN
1选择Controller>Interfaces>New.(建立接口)
2输入接口名称和VLANID,点Apply。
设接口名称为“group”,VLANID为“116”在完成并应用后,出现如下图:
输入IP地址,掩码,网关,端口(光口1),DHCP地址
3工程需建立三个接口网段,以以上方法依次建立名称为group,meeting_room,guest三个网段
4点击WLANS—NEW,WLANID为“1”,SSID为“TPVAOC”,点Apply,出现下图,以进行配置。
由于要求只使用一个SSID,通过认证不同,实现多个动态VLAN的分配,因此要将allowaaaoverride拦勾上。
InterfaceName拦可任选一个Interface。
启用802.1X认证,从下拉栏选择RADUIS服务器地址
5配置完,检验,如下图。
3.2ACS配置
3.2.1初次使用ACS
1使用设备自带的控制线,将计算机连接到ACS上
2打开操作系统的超级终端(波特率为115200)
3设备上电,开机。
在一系列提示符后,要求输入用户名和密码(初始为用户名:
administrator,密码:
setup)。
4再输入完成后,系统后立即要求你更换新的用户名和密码。
密码要求不少于6个字符,且密码的字符最少为三个不同的类型(如acs4.0@123)
5在新用户名和密码设置成功后,系统随后提示你,是否为ACS设置一个静态的IP地址
UseStaticIPAddress[Yes]:
yes
a.TospecifytheACSSEIPaddress,attheIPAddress[xx.xx.xx.xx]:
prompt,typetheIPaddress,
andthenpressEnter.
b.AttheSubnetMask[xx.xx.xx.xx]:
prompt,typethesubnetmaskvalue,andthenpressEnter.
c.AttheDefaultGateway[xx.xx.xx.xx]:
prompt,typethedefaultgatewayvalue,andthenpress
Enter.
d.AttheDNSServers[xx.xx.xx.xx]:
prompt,typetheaddressofanyDNSserversthatyouintend
touse(separateeachbyasinglespace),andthenpressEnter.
在这里设置地址为172.16.31.199
6设置完成以上参数后,将ACS连入相应的网段(ACS上有2个以太口。
一次只能选用任意一个以太口,不能同时选用2个)
7重新启动设备,在看到应用都正常后,即可通过WEB界面登陆ACS进行管理和配置。
8注1:
在IE栏输入http:
//172.16.31.199:
2002(2002为进入ACS的端口号,必须加)。
客户端的PC上需加载JAVA程序,否则页面将无法正常显示。
注2:
如果忘了密码,无法进行配置管理,或出现其他情况,需要将系统进行重新配置的话。
可将设备自带的恢复光盘放入ACS的光驱,然后将ACS断电,在上电。
等系统提示你取出光盘时,这时ACS恢复到初始化界面,可从步骤三开始配置。
3.2.2创建一个用户
1点击UserSetup,输入一个用户名,再点Add/Edit.如图
2在弹出“usersetup”的窗口页面后,定义参数。
默认情况下,增加的用户都属于defaulegroup组中。
如果你要将特定的用户分配到不同的组里去,那么你就需要去指定它。
如图
3.2.3定义AAA客户端
1NetworkConfiguration—AAAClinet,输入C4402的管理地址,KEY(必须与控制器上的配置一致),认证类型选择“CiscoAironet),提交并应用。
如图所示:
3.2.4安装证书,选择认证类型
1由于需要使用EAP认证方式,因此需要安装证书。
如图所示:
2输入参数,并选择自动安装,如图所示:
3完成后,检验证书的安装,如图所示:
4在证书正确安装后,选择认证类型;如图所示:
3.3实现一个SSID接入多个动态VLAN网段
在大多数的无线网络中,每一个无线局域网对应一个SSID,客户端则根据SSID来接入网络。
这就有一定的局限性,客户端被局限在一个相应的范围内,不能连接到不同的SSID上。
CISCO无线集中控制管理提供了一个SSID接入多个动态WLAN的解决方案。
在工程实施中,3个无线网段,在ACS上设置三个用户组进行对应。
对三个用户组进行相应的设置,以让客户端得到其指定的WLAN中。
1.在控制器上设置好3个网段,具体方法见3.1.4的步骤2,如图:
2.在控制器上设置一个SSID,具体方法见3.1.4的步骤4。
如图:
3.到步骤2,控制器上的设置结束,以下均为ACS设置。
首先设置3个组,分别重命名为group,meeting_rooming,guest。
设置一个用户,UserSetup—Add/Edit。
用户名为group,
4.在出现的编辑页面中,写入必须的信息。
注意:
此处的密码就是认证时的密码。
并将该用户分配到一个指定的组中,这里将它加入到group组中。
如图:
5.设置组的属性,GroupSetup—EditSetting。
为了方便管理,可重命名该组名。
6.在弹出的编辑页面,设置IETFRADIUSAttributes。
在(081)中的值为VLANID,这里有在控制器上的group的VLANID116。
如图:
7.依次配置其他2个组。
检验IETFRADIUSAttributes是否生效。
通过InterfaceConfiguration>RADIUS(IETF)页面查看。
如图:
8.选择SharedProfileComponents—RADIUSAuthorizationComponents,如图
9.在弹出的页面下,增加一个“group”。
在ADDNEWATTRIBUTE中,选择IETF中编号为64,65,81拦编辑,配置方法与步骤6相似,提交。
如图:
9此时group设置完成,如图
10依次再分别设置“guest”和“internal”,完成如图:
11选择NetworkAccessProfile—ADDProflie,分别建立“group”,“guest”和“internal”,如图
12选择Policies—Authentication和Authorization分别进行相应的配置,如图
13选择ExternalUserDatabase,在这里将用户进行指定归类,加入到不同的组中。
首先选择用户组,如图:
14选择externaluserdatabase—databaseconfig—windowsdatabase—config—widowsauthenticationconfiguration—configuredomainlist,此时可以看到Windows数据库的信息列表在左边显示出来,选择你所想要的加入到ACS中。
这里选择“FQO”。
再选择enablemachineaccessrestrictions选项。
15选择externaluserdatabase—databasegroupmapping,在显示的页面中选择“FQO”,如图
16在显示的页面里就可以对Windows中的数据库用户进行分别归类,映射其到不同的组。
这样在客户端进行认证时,ACS将知道该客户端所要连入的VLAN,并为其分配相对应的网段IP。
3.4客户端配置
客户端要求操作系统为WindowsXPSP2,下面的图例就是以XP系统自带的无线网络连接来说明的。
如果客户端操作系统为Windows2000,系统则不提供此连接,需使用第三方软件来实现。
这里,采用802.1X安全认证。
1.右键单击无线网卡,选择“查看可用的无线网络”,如图:
2.在弹出的菜单中,刷新网络列表。
图中,可看到一个SSID为“229B36”,点击它,在“相关任务”栏中,选择“更改高级设置”,如图:
3.弹出“无线网络连接属性”表,选择“无线网络配置”栏选项,如图:
4.在“无线网络配置”选项下,我们可看到在“首选网络”中,看到“229b36”在列表中,选择并点“属性”以进一步进行更改,如图:
5.弹出属性列表。
在“关联”菜单栏里,网络验证为“开放式”,数据加密为“WEP”,如图
6.配置“验证”栏:
启用“起用此网络的IEEE802.1X验证”,EAP类型选择为“受保护的EAP(PEAP)”,再点“属性”,进行进一步配置。
如图:
7.在“受保护的EAP属性”栏里,默认时“验证服务器证书”栏是被启用的。
因此次工程没有使用到证书服务器,所以将“验证服务器证书”栏禁用。
在“选择验证方法”里选择“安全密码(EAP-MSCHAPV2),选择“配置”。
如图:
8.在弹出的“EAPMSCHAPV2属性”栏里,默认的“自动使用Windows登录名和密码”栏是启用的。
该操作启用时,在认证过程中
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 同一个 SSID 实现 动态 VLAN 分配
![提示](https://static.bdocx.com/images/bang_tan.gif)