AP零配置技术白皮书.doc

AP零配置技术白皮书AP零配置技术白皮书关键词：WLAN、AP摘 要：本文讲述了传统WLAN网络部署AP中遇到的一些问题，以及AP零配置给用户带来的好处，另外通过描述H3C公司FIT AP的启动和工作方法来介绍AP零配置的实现原理。缩略语：缩略语英文全名中文解释APAccess Point无线接入点ACAccess Controller无线控制器STAWireless Station（Client）无线客户端WLAN Wireless Local Area Ntework无线局域网DHCPDynamic Host Configuration Protocol动态主机配置协议DNSDomain Name System域名系统杭州华三通信技术有限公司第2页，共9页目 录1 概述32 AP零配置42.1 无线控制器和FIT AP之间的网络拓扑42.2 获取IP地址52.3 发现相同二层网络内的无线控制器52.4 发现跨三层网络的无线控制器62.5 部署于IPv6双栈网络72.6 AP软件下载82.7 配置下发83 结论94 产品信息91 概述传统的WLAN网络都是为企业或家庭内少量移动用户的接入而组建的，这类网络典型的组网方式是采用FAT AP有线交换机的分布式WLAN组网模式，由AP来完成用户的无线接入、用户权限认证、用户安全策略实施，对WLAN网络设备的管理也是分布式的。随着WLAN技术的成熟和应用的普及，越来越多的企业开始大规模部署WLAN网络，接入的用户数和无线设备的规模都在成倍增长，网络维护人员在建设和维护WLAN网络时发现采用传统的WLAN组网和管理模式已经很难适应现有的WLAN网络规模。目前在中大型WLAN网络的建设和维护中遇到的主要问题有：l WLAN建网时需要对成百上千的AP进行逐一配置：网管IP地址、SSID和加密认证方式等无线业务参数、信道和发射功率等射频参数、ACL和QOS等服务策略，很容易因误配置而造成配置不一致。l 为了管理AP，需要维护大量AP的IP地址和设备的映射关系，每新增加一批AP设备都需要进行地址关系维护。l 接入AP的边缘网络需要更改VLAN、ACL等配置以适应无线用户的接入，为了能够支持用户的无缝漫游，需要在边缘网络上配置所有无线用户可能使用的VLAN和ACL。l 察看网络运行状况和用户统计时需要逐一登录到AP设备才能完成察看。在线更改服务策略和安全策略设定时也需要逐一登录到AP设备才能完成设定。l 升级AP软件无法自动完成，维护人员需要手动逐一对设备进行软件升级，费时费力。l AP设备的丢失意味着网络配置的丢失，在发现设备丢失前，网络存在入侵隐患，在发现设备丢失后又需要全网重配置。随着建网、组网问题的不断出现，一种全新的WLAN网络架构无线控制器FIT AP集中式WLAN管理模式应运而生。无线控制器FIT AP控制架构对设备的功能进行了重新划分，其中无线控制器负责无线网络的接入控制，转发和统计、AP的配置监控、漫游管理、AP的网管代理、安全控制；FIT AP负责802.11报文的加解密、802.11的PHY功能、接受无线控制器的管理、RF空口的统计等简单功能。H3C公司在支持这种新的网络架构时将一些新的智能功能集成在FIT AP和无线控制器中，以便于给用户呈现统一的网络管理接口：l FIT AP的配置保存在无线控制器中，FIT AP启动时会自动从无线控制器下载合适的设备配置信息。l FIT AP需要能够自动获取IP地址，同时FIT AP需要能够自动发现可接入的无线控制器，并对无线控制器和FIT AP之间的网络拓扑不敏感。l 无线控制器支持FIT AP的配置代理和查询代理，能够将用户对FIT AP的配置顺利传达到指定的FIT AP设备，同时可以实时查看FIT AP的状态和统计信息。l 无线控制器保存FIT AP的最新软件，并负责FIT AP软件的自动更新。H3C公司通过这一全新的网络管理接口可以很好的解决目前大、中型WLAN网络组网中存在的管理问题：l 用户只需要建立业务参数模板和设备参数模板，并设定指定的AP引用这些模板，当FIT AP启动时无线控制器会根据预先的配置引用信息给FIT AP下发配置，用户的配置工作量大大减少。l 用户对FIT AP的管理是通过无线控制器来代理完成，网管不再关心FIT AP的IP地址，FIT AP和无线控制器之间的关联是自动完成，不再需要用户对AP进行配置干预。l 无线用户的数据报文被FIT AP封装在AP和AC间的数据隧道中，接入AP的边缘网络不需要再为无线用户的接入而更改VLAN和ACL等配置。l 无线控制器保存了所管理的FIT AP的运行状况和在线用户统计信息，维护人员只需登录到指定的无线控制器就可以完成信息查看。用户对FIT AP的管理是通过无线控制器来代理完成，因此在线更改服务策略设定和安全策略设定也不再需要逐一登录到AP设备，而只需要登录到指定的无线控制器就可以完成设置，无线控制器会自动把新的配置下发到指定的FIT AP。l 用户不再需要手动逐一对AP设备进行软件升级，AP在每次重新启动时会自动比较当前运行的版本和无线控制器上保存的版本，如果无线控制器上保存的版本更新，FIT AP会自动更新本地的软件镜像。l AP本地不再保存配置信息，即使设备丢失也不存在因配置丢失而出现的安全隐患。2 AP零配置2.1 无线控制器和FIT AP之间的网络拓扑在集中式WLAN管理模式中，H3C的FIT AP和无线控制器之间可以支持两种网络拓扑结构，如图1所示： (1) 二层网络连接模式：FIT AP和无线控制器同属于一个二层广播域，FIT AP和AC之间通过二层交换机互联。(2) 三层网络连接模式：FIT AP和无线控制器属于不同的IP网段，FIT AP和AC之间的通信需要通过路由器或者三层交换机三层转发来完成。图1 无线控制器和FIT AP之间的网络拓扑2.2 获取IP地址FIT AP在和网络通信前必须能够获取自身的IP地址，为了减少维护人员的配置，FIT AP必须能够支持自动获取IP地址，目前业界标准的做法是采用DHCP client功能。AP启动以后会在其上行接口上通过DHCP client模块发起获取IP地址的过程。 通过DHCP的协议交互FIT AP可以从DHCP server获取到以下信息：l 自身使用的IP地址l DNS server的IP地址l 网关IP地址l 域名l 可接入的无线控制器的IP地址列表（通过DHCP option43提供）等。2.3 发现相同二层网络内的无线控制器FIT AP一旦获取到IP地址，就会通过广播方式发起无线控制器发现请求。和AP同属于相同二层广播域的无线控制器，会根据预先配置的可接入AP列表和当前的负载情况决定是否响应AP的发现请求。通过用户的预先配置和无线控制器自身的判断可以使FIT AP均衡的接入到不同的无线控制器。FIT AP和无线控制器的交互过程详见图2。图2 相同广播域内的无线控制器发现过程2.4 发现跨三层网络的无线控制器H3C的FIT AP还支持通过跨三层网络的无线控制器的管理。在这种情况下由于FIT AP和无线控制器之间跨越了三层网络，因此FIT AP已经无法通过二层广播方式来发现无线控制器而只能通过单播形式来发现远端的无线控制器，但FIT AP如何能够获取到无线控制器的IP地址呢？H3C的FIT AP支持两种方法来实现这一功能：(1) FIT AP从DHCP server获取IP地址时同时会获取到自身的domain名字和DNS server地址，FIT AP将获取到的domain名字和固定的H3C串拼接成H3C.xxxx.xxx的DNS域名，同时FIT AP会向DNS server请求解析获取H3C.xxxx.xxx的IP地址，用户只需在DNS server上配置H3C.xxxx.xxx对应的无线控制器的IP地址，AP就能获取到无线控制器的IP地址并向该IP地址发送无线控制器发现请求。(2) 用户在DHCP server上通过option43属性来配置无线控制器的IP地址，当FIT AP在从DHCP server获取IP地址时，通过解析DHCP回应报文中携带的option43属性就可以获取无线控制器的IP地址并向该IP地址发送无线控制器发现请求。图3描述了一个FIT AP发现AC的典型交互过程：图3 FIT AP发现无线控制器的典型交互过程(1) 预先在AC上配置AP的配置信息，在DHCP server上配置域名，在DNS server上配置AC的域名对应的IP地址，其中AC的域名为H3C.xxxx.xxx，xxxx.xxx和用户在DHCP Server上配置的域名相同。(2) AP启动以后会通过DHCP获取获取IP地址、DNS server、域名。(3) AP发出二层广播的发现请求报文试图联系一个AC。(4) 如果长时间没有响应AP会认为在自己相同的子网内没有合适的AC可以接入，AP会从DNS server获取H3C.xxxx.xxx的IP地址，其中xxxx.xxx是从DHCP server学习到的域名，AP向该IP地址发送发现请求。(5) 接收到发现请求报文的AC会检查该AP是否有接入本机的权限，如果有则回应发现响应。(6) AC和AP间建立CAPWAP隧道。2.5 部署于IPv6双栈网络为了适应下一代IP网络的部署要求，H3C公司的FIT AP能够同时满足IPv4和IPv6两种不同网络的组网要求（图4所示），为了简化用户的配置，在不需要用户配置干预的情况下自适应的调整以适应不同组网要求，作为FIT AP的缺省发现方式FIT AP会首先作为IPv4节点发起对无线控制器的发现过程，当发现过程失败以后，FIT AP会切换到IPv6节点方式继续发起对无线控制器的发现过程。FIT AP会在以下情况下切换到IPv6模式：l FIT AP无法从DHCP server获取到IPv4网络地址。l FIT AP在IPv4网络没有无线控制器响应FIT AP的发现请求。l FIT AP在IPv4网络中和所有的无线控制器建立连接失败。图4 AP和无线控制器部署于IPv4/IPv6双栈网络2.6 AP软件下载很多情况下网络维护者需要升级FIT AP的软件，如果采用传统的设备升级方法则需要网络维护者利用TFTP/FTP来逐一对需要升级的AP进行软件升级，为了保证升级以后的可回退性，还需要在AP的Flash空间中保存备份软件。这种升级方式大大增加了网络维护者的工作量，同时为了支持升级以后的可回退性而增加的FLASH空间会提升AP的成本。为了简化网络维护者的工作，H3C的FIT AP在每次启动时都会比较本地保存的软件版本和无线控制器上保存的FIT AP的软件版本，一旦FIT AP发现本地保存的版本不是最新版本时，FIT AP会主动要求从无线控制器下载最新的软件版本，这个下载更新过程无需用户配置干预。为了保证下载过程的可回退性，H3C的FIT AP的Bootrom软件可以监控下载的FIT AP软件的运行状况，一旦发现FIT AP软件无法正常启动，Bootrom软件会接管和无线控制器的交互，强制升级本地软件版本。2.7 配置下发FIT AP为了给无线用户提供接入服务需要获得无线业务参数、射频参数等配置信息。在分布式管理模型中网络维护者需要登录到每台AP上对这些参数进行逐一配置，配置工作量巨大。在集中式管理模型中，FIP AP的配置信息保存在无线控制器上，FIT AP在每次系统启动时都会从无线控制器上下载。为了方便配置，H3C的无线控制器提供了通用的业务模板和设备模板，用户可以根据开通的业务建立一个模板，并由不同的AP来引用。例如：用户可以配置一个针对加密用户的服务模板，该模板内包含：ssid“TKIP加密”，加密方式TKIP，认证方式802.1x，模板被AP1AP10引用，这样用户