ARUBA课程学习指南.docx
- 文档编号:11879416
- 上传时间:2023-04-08
- 格式:DOCX
- 页数:7
- 大小:19.36KB
ARUBA课程学习指南.docx
《ARUBA课程学习指南.docx》由会员分享,可在线阅读,更多相关《ARUBA课程学习指南.docx(7页珍藏版)》请在冰豆网上搜索。
ARUBA课程学习指南
IEEE802.11无线标准
WIFI:
802.11a/b/g/n(非营利厂商联盟),802.11中的某些标准的组合
WLAN:
无线局域网
任务:
配置单AC,两个SSID,GUEST/内部
学习OS5.0
学习章节:
1.无线架构
2.控制器初始设置
3.AP配置
4.认证
5.防火墙策略
6.用户角色配置
7.RF规划
8.自适应射频管理
9.WEB认证(potal)
10.远程AP部署
朱志立
CWNT讲师
架构和特性:
成员:
终端、AP(65、70、125、85)、承载网络、AC(200、600、800、2400、3000、6000)、数据中心
ARUBAOS(baseOS最基础的,不需要LISENSE)
(支持L3部署,支持VLAN,状态防火墙,热点,入侵检测)
推送策略使用PAPI指令,UDPPORT8211,数据使用GRE(IP协议47)隧道封装802.11帧
SSID:
服务级ID,ARUBA最多可以释放16个VAP,每个VAP可以关联一个SSID
ESSID:
(扩展服务级ID)
BSSID:
(表示实际BASEMAC地址)
WLANPROFILE
SSIDROFILE
AAAPROFILE
802.1PROFILE
AC嵌套(总部有一个ACMASTER(主要用于配置,策略管理),其他地方LOCALCONTROLLER,所有的策略有ACMASTER推送)
另外master不一定需要多么高端,主要流量都集中在localcontroller上
控制器的角色:
Standalone(单AC,Master和Local合一)
缺省每一个客户端的数据帧都会被封装到GRE(封装过程中不更改数据包WPA加密就是WPA加密,WPA2加密就是WPA2加密)隧道给AC,AC解密然后由AC转发出去,如果觉得AC控制能力不强,或者觉得不需要很高的安全性,则也可以由AC直接解密封装至网络里面。
AC本身就是一个L3交换机(可做L2SW使用),几个口接口,每个接口都独立。
部署模式:
1、AP先直接接AC,AC在转发,每个楼层或者AP集中地方都放一个AC。
2、AC放置在核心网络,AP通过GRE隧道和AC建立连接。
一个基本初始化配置的过程:
AP首先需要DHCP获取IP地址和AC的地址,通过DHCPOPTION或者DNS得到AC地址
AP从控制器通过FTP【新】或者TFTP【老】协议下载IMAGE镜像和配置
AP创建GRE隧道和AC链接
客户端链接AP,AP封装给AC
AC解密并交换出去。
AP通过PAPI协议与AC随时沟通。
如果判断AP没有故障呢?
通过GREKEEPLIVE(1秒)和PAPIHELLO(60秒)
到底应该把AC做L3还是L2呢?
根据实际情况判断,特别注意DHCP的RELAY
L2:
PC------AP-------AC--------AP------PC
PC发送DHCPREQUESTAP通过GRE。
。
。
。
。
此处省略(基本网络通信规则,封装解封装)
L3:
目前AC不支持BGP,支持OSPF等
AC配置(WEB界面):
状态---配置---诊断—维护(重启,保存配置等)----射频规划(区域-楼栋-楼层等支持热图)—日志报告
一个AC有一个FLASH两个分区,可以支持两个OS
诊断:
ping,AAA测试,DEBUG等
2.4G中国13个信道,香港9个,日本14个
5.8G中国5个(高频:
149-154),美国等20-30个,5G低频(36-56),不建议使用64-140,很多网卡不支持。
同频干扰(工作在同一信道干扰),邻频干扰(1信道和2信道),基本无干扰(1信道基本和6信道无干扰,相隔5个信道基本无干扰,除非功率非常大),即1,6,11
AC初始化IP:
172.16.0.254
初始化配置(initialcontroller)----campuswireless(园区型)-----名称-选择国别(不同国家标准不同)、日期(手工填或者NTP服务器)、时区、密码(用户密码,ENABLE密码,实验的时候建议使用admin1,enable两个密码)
配置控制器模式
配置VLAN(缺省所有端口都在VLAN1)
配置控制器IP地址
配置控制器缺省网关
PORT配置,可以修改模式(MTU=1500,帧头=14,帧尾=4,所以最大传输单元为1518,TAG=4)
初始化配置中是不可以配置LOOPBAKCP地址的,初始化完成后才可以配置
如果遇到配置不保存的情况,用SSH或者串口进去敲SAVE
配置重启后配置控制器模式,LOOPBAKC地址,建议不启用生成树协议,在NETWORK-VLANID配置VLANINTERFACE,在NETWORK-IP下配置接口
LICENSE:
1.评估板LICENSE(一次30天,最多90天)
2.永久版本
BASEAOS不是LICESENSE
PEFNG----安全
PEFVPN---VPN
WIP----高级安全,例如指纹识别
CONTENTSECURITY–内容安全,基于云安全
APCAPACITY-----AP支持LICENSE
导入config-systemsettings
配置CLI命令showlicenselimits(查看)licenseadd“ID”(添加)
WLAN配置:
选择园区型,配置VLAN,SSID,认证
对于园区型AP,默认是信任,对于REMOTE,默认是不信任
对于AP组,比如某些AP组是楼栋的,有guest,VOICE,内网等,比如仓库只有办公和扫描仪等根据这个分组
APGROUP配置
1.WLAN—VAP-策略—SSID管理等等,VAP需要关联VLAN,转发模式,允许的频段(ABG或者ALL),是否开启,带宽控制等
APgroup{WLAN、RF、AP、QOS等}
如何吐出SSID,园区型—选择APGROUP---选择SSID---选择模式【隧道模式(所有数据通过GRE隧道到AC)、(AP解密,把不加密的报文给AC,减轻AC的解密压力)、直接桥接,AP直接解密给网络。
---选择频段、VLAN----选择这个SSID给谁用【内部用户(使用WPA2企业版需要AAA服务器—新建AAA服务器(或者使用控制器自带的),使用WPA企业版,不加密、WEP加密、开放式)或者GUEST-----指定防火墙参数(选择策略、规则)---选择认证后的角色---配置完成后开始推送
实验状态:
P-2-40
AP预置:
1.一个AP只能属于一个AP组
2.AP启动-获取IP地址-获取控制器IP地址(可以通过DHCP-option43,或者DNS-aruba-或者ADP协议组播239.0.82.11)-得到IMAGE和配置—重启
3.AP可以使用动态或者静态IP地址根据实际情况来进行配置。
4.读取AP名字和AP组
5.开始工作
清空AP1.purgeenv—SA—RESTART
AC中对AP进行配置:
APinstall-provision-选择AP-园区型-可以设置AP链接控制器的IP—配置IP获取模式—配合天线类型—建议勾选取消FQLN—测试AP(通过ping等操作)
对于老的AP没有console口的可以用SPOE线缆来配置。
AP抓包,AP支持抓包后通过GRE信道传送回
常用AP命令:
Showapessid等
第四章:
认证
SSID认证(可隐藏)
MAC地址认证
WEB认证(Captiveportal)
802.1X认证
IEEE802.11
WPA,WPA-PSK(预共享密钥),WPA-ENTERPRISE
目前AES支持128,192,256,目前采用128bit
第五章:
防火墙
1.基于身份的防火墙
2.可以进行带宽控制(对所有用户、或者每个用户),QOS配置
3.第一条策略的第一条规则匹配后,下面所有的规则都不匹配。
4.规则选项,源IP目的IP,服务,动作、时间(在RULE里面配置)
5.别名,netdesinternal-network
Network172.16.0.0255.255.0.0
Useranysvc-dhcppermit(user表示有IP的)这样就会导致所有用户拿不到IP
应该改成anyany
6.LOG/MIRROr(端口镜像)/queue/time-range
PF
0dbm=1mw
10dbm=10mw(在某个方向)
20dbm=100mw(在某个方向)
-10dbm=0.1mw
-50dbm=10-5mw
ARM
2.4G干扰严重
存在隐藏节点问题,两个客户端一个AP,如果两个客户端互相信号没有重叠,但是都能到AP,就会导致AP收到的正玄波变形。
可采用减少发射功率和RST/CTS功能避免。
FR=C,频率越大,波长越小,所以5G容易衰减,2.4G就会信号比较强。
所以客户端更多的去链接2.4G,导致2.4拥塞
微波炉工作在2.45G,功率1000W,无线功率10-7mw,干扰严重
解决,有限工作在5G,通过双频AP,限制2.4G链接,从而给5G更多的机会。
可以通过监控图表看到自己的部署的AP、干扰IP、非法AP
传输功率调整:
降低覆盖重叠,减少冲突。
Portal页面:
一般适用于访客,用于认证。
访客首先关联IP,打开任意页面,跳转
选择认证模式(1.输入用户名密码,2.输入E-mai地址3.不认证4.不弹出,直接认证)
一般guest选择OPEN,不认证NONE
远程AP(remoto-AP)
1.所有的AP均可用remotoAP(RAP-2,RAP-5)
2.remotoAP和AC通过L2TP/IPSEC隧道
3.转发模式(桥接模式、tunnelmode、隧道分离)
4.PEFV需要license(防火墙VPN)
5.配置L2TP,需要进行简单配置
6.配置remotoAP是需要相应的组的。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- ARUBA 课程 学习指南