智简园区WLAN IPv6技术白皮书

1、华为智简园区 WLAN IPv6技术白皮书目录 HYPERLINK l _bookmark0 前言i HYPERLINK l _bookmark1 概述1 HYPERLINK l _bookmark2 产生背景1 HYPERLINK l _bookmark3 技术实现2 HYPERLINK l _bookmark4 客户价值2 HYPERLINK l _bookmark5 方案原理4 HYPERLINK l _bookmark6 WLAN IPv6 组网场景4 HYPERLINK l _bookmark7 WLAN IPv6 组网分类4 HYPERLINK l _bookmark8 本地转发与

2、集中转发5 HYPERLINK l _bookmark9 L2 网桥与 L3 网桥6 HYPERLINK l _bookmark10 IPv4/IPv6 混合接入7 HYPERLINK l _bookmark11 IPv6 管理和控制8 HYPERLINK l _bookmark12 WLAN 的网管需求8 HYPERLINK l _bookmark13 AP 的IPv6 地址配置方式9 HYPERLINK l _bookmark14 AC 的IPv6 地址配置方式9 HYPERLINK l _bookmark15 IPv6 AC 发现方式9 HYPERLINK l _bookmark16 A

3、P-AC 间隧道建立10 HYPERLINK l _bookmark17 AP 版本加载11 HYPERLINK l _bookmark18 多SSID 的IPv6 支持11 HYPERLINK l _bookmark19 QoS 与组播12 HYPERLINK l _bookmark20 QoS 映射与调度12 HYPERLINK l _bookmark21 组播功能需求13 HYPERLINK l _bookmark22 安全与认证15 HYPERLINK l _bookmark23 网络安全15 HYPERLINK l _bookmark24 终端防护15 HYPERLINK l _bo

4、okmark25 AAA16 HYPERLINK l _bookmark26 其他功能特性19 HYPERLINK l _bookmark27 WLAN 漫游场景19 HYPERLINK l _bookmark28 DHCPv6 相关19 HYPERLINK l _bookmark29 频谱分析和无线定位21 HYPERLINK l _bookmark30 典型组网应用22 HYPERLINK l _bookmark31 双栈网络方案22 HYPERLINK l _bookmark32 终端隧道方案23 HYPERLINK l _bookmark33 A 缩 略语25 1 概 述产生背景互联网

5、的发展是由业务和应用驱动的，其 IP 协议要求每个网络终端都具有唯一的可寻址的 IP 地址，而现有的 IPv4 地址只能提供 43 亿地址，其中可用的约 30 亿，地球上平均每人分配不到一个地址，IANA(The Internet Assigned Numbers Authority，互联网数字分配机构)已于 2011 年 2 月将最后的 5 个 A 类IPv4 地址段一次性地分配完毕。随着物联网及工业互联网的发展，移动终端和物联网等海量终端应用是 IP 地址需求的最大来源，IPv4 地址空间不足的问题日益突出，严重影响新的无线接入用户和新的业务的发展，因此将园区网络从 IPv4 升级到 IP

6、v6，可以从根本上解决IP 地址短缺的问题。解决地址短缺问题是IPv6 发展的最大动力，世界各个国家均制定了 IPv6 发展的战略步骤，Windows、linux 终端早已支持 IPv6，智能终端(手机、平板)也都支持 IPv6，网络厂商的路由器/交换机绝大部分也都支持 IPv4/IPv6 双栈，可以构建纯 IPv6 网络或IPv4/IPv6 的双栈网络。从 20 世纪 90 年代末起，中国将 IPv6 关键技术研究课题作为国家重大专项立项，国家教育科研网 CERNET 在 1998 年 6 月加入了 6Bone（IETF（Internet 工程任务组）用于对 IPv6 进行测试的网络），随后

7、启动了 Internet6 计划，目前已经在中国的高校间搭建 IPv6 网络，形成一个大规模的 IPv6 研究和试验网络。IPv6 可提供大量的 IPv6 地址，从而彻底解决地址短缺的问题。但是如果部署一个全新的纯 IPv6 网络，现有的绝大多数基于 IPv4 的应用将无法在此 IPv6 网络上运行。运行在纯 IPv6 网络上的应用与 IPv4 互通在现阶段相当困难。现阶段单靠 NAT64 设备进行网络层翻译处理在应用部署上仍然存在一些问题。随着时间推移，越来越多的 IPv6 程序将会采用类似 STUN/ICE 之类的技术在应用层面来处理与 IPv4 网络互通的问题，由应用程序自身来感知 NA

8、T64 的存在并获得相关地址转换信息，以进行相应的互通处理。现有网络依赖纯 IPv6 来解决地址短缺是不可行的。综合以上分析，不论是运营商网络还是企业园区网络同时支持 IPv4 和 IPv6 双协议栈在相当长的时间内是必然的，而且若干年内必然是 IPv4 公网、IPv6 网络、IPv4 私网并存， 与现有 IPv4 网络相比复杂度将大大增加，对网络建设、运维将产生重要影响。技术实现华为公司的 WLAN AC/AP、交换机、安全等产品，通过部署 IPv4/IPv6 双栈，无线园区网方案不仅支持 IPv4 网络部署，同时支持 IPv6 网络部署。可以构建 IPv4/IPv6 over IPv4/I

9、Pv6 多种组网方式。客户价值1、支持灵活多样的 IPv6 组网，满足多种场景需求目前绝大部分企事业的基础接入网络全部是 IPv4 网络支持 IPv6 双栈功能，在这种基础网络中构建IPv6 的 WLAN 网络，涉及IPv6 over IPv4 组网和双栈组网，即满足在现有IPv4 基础网络上，接入 IPv6 的无线 STA，实现对 IPv6 终端接入网络相互访问的通信需求。华为公司 WLAN 产品除了支持上述典型 IPv6 组网外，同时支持另外两种 IPv6 的 WLAN 组网方式：IPv4 over IPv6，IPv6 over IPv6，针对多样的的客户网络现状和诉求，提供灵活的 WLA

10、N IPv6 组网支持。2、支持多种 IPv6 动态路由协议，易于部署Fit AP+AC 的 Infrastructure WLAN 组网架构下，华为公司产品支持本地转发和集中转发两种转发模式。集中转发模式（又称隧道转发），本质是一种 Overlay 的组网方式， WLAN 系统将无线用户的数据报文通过 AC-AP 间的 CAPWAP 隧道，穿越接入基础承载网络，实现报文的转发。此时业界有些厂商产品仅支持 WLAN 系统做 L2 转发的功能， WLAN AC 不能作为终端的 IP 网关，华为公司 WLAN IPv6 组网方案，可以支持 WLAN AC 作为 STA IPv6 网关的组网场景，并

11、且除了支持 IPv6 静态路由协议外，同时支持多种 IPv6 动态路由协议。无论本地转发、集中转发，华为 WLAN AC 都支持做 IPv6 网关和多种 IPv6 动态路由协议，这进一步提供了组网多样性和灵活性，并减少了部署单独的 IPv6 路由器的必要性。3、提供强大的 IPv6 网管/AAA/DHCP 能力，节省客户投资华为公司 WLAN AP/AC 系统，支持与 IPv6 的网管系统配合，提供完整的网络管理功能； 支持与 IPv6 的 AAA（radius）系统配合提供 IPv4 和IPv6 终端的认证、授权和计费。WLAN AC 支持 DHCPv6 relay 和 snooping 等

12、特性，即不仅仅支持与外置的 DHCPv6 服务器配合，实现 IPv6 终端地址分配，同时支持内置 DHCPv6 服务器，直接为 IPv6 终端和 AP 分配地址，为客户快速组网提供了便利性，同时节省了网络投资。4、丰富的 IPv6 相同安全功能，让网络更安全华为 WLAN 系统，不仅仅支持传统的 IPv6 ACL，并且支持 radius 授权时动态下发 IPv6 ACL。华为 WLAN 系统还支持防止终端 IP 地址仿冒的 IPv6 Source Guard，支持防止终端私设 DHCPv6 服务器的 DHCPv6 Srv Guard 特性，支持 Dynamic ND 防护，从而禁止其他终端仿冒

13、该 STA 的 IPv6 地址进行 ND 应答（同 IPv4 的 DAI）。 2 方案原理WLAN IPv6 组网场景WLAN IPv6 组网分类构建 WLAN 网络，视基础网络类型和接入无线终端的通信类型，可分解为如下四种组网场景：图2-1 WLAN IPv4/IPv6 系列组网图中涉及 IPv6 的 WLAN 组网方式是前三种组网：IPv6 over IPv4，IPv4 over IPv6，IPv6 over IPv6 以及设备部署双栈的场景，图中最后一种 IPv4 over IPv4 组网就是纯IPv4 组网方式，与IPv6 无关。IPv6 over IPv4 的组网，适用于园区网是纯I

14、Pv4 网络，而无线终端采用 IPv6 进行通信的场景；IPv4 over IPv6 的组网，适用于园区网是纯IPv6 网络，而无线终端采用 IPv4 进行通信的场景；IPv6 over IPv6 的组网，则是在 IPv6 网络中构建无线IPv6 通信网络的纯 IPv6 网络的场景；支持双栈的组网，则是 IPv4 的终端走 IPv4 转发，IPv6 的终端走 Ipv6 转发。当下，绝大部分企事业的基础接入网络主要是 IPv4 网络，小范围区域有 IPv6 实验网， 故在这种基础网络中构建 IPv6 的 WLAN 网络，初始阶段最典型的就是 IPv6 over IPv4 的组网满足在现有 IPv

15、4 网络不动的基础上，接入 IPv6 的无线 STA，实现终端跨越 IPv4 接入网络相互访问的通信需求。下一阶段是通过基础接入网部署双栈，实现 IPv4 与IPv6 同时承载。本地转发与集中转发在瘦 AP+AC 的 WLAN 组网架构下，华为公司产品支持本地转发和集中转发两种转发模式，如下图所示：图2-2 WLAN 集中转发和本地转发集中转发下，STA 的数据报文是封装在 CAPWAP 隧道中，穿越基础接入承载网络，在AC 处出隧道实现原始报文的转发处理。而本地转发下，STA 的数据报文从 AP 接入后直接进入基础承载网络实现转发处理。可见，本地转发下，要求 STA 的通信方式与基础承载网络

16、采用相同的 IP 方式，也就是说，本地转发下仅适用于 IPv6 over IPv6 及 IPv4 over IPv4 这两种组网方式。对于IPv6 over IPv4 和IPv4 over IPv6 这两种组网方式，仅能采用集中转发的转发模式。在 AP 及 AC 支持双栈的组网方式下，既支持集中转发也支持本地转发。L2 网桥与 L3 网桥集中转发模式，又称为隧道转发，本质是一种 Overlay 的组网方式，WLAN 系统将无线用户的数据报文通过 AC-AP 间的 CAPWAP 隧道，穿越接入基础承载网络，实现报文的转发。对于纯 IPv6 网络场景(IPv6 over IPv6)和双栈场景，是可

17、以采用本地转发模式的 WLAN IPv6 组网场景，其他都只能采用隧道转发模式。在隧道转发模式下，AC 扮演不同的角色，支持 IPv6 组网会对 AC 产生不同的功能诉求。简单说，以IPv6 over IPv4 为例，集中转发下 AP-AC 间存在一个 CAPWAP 隧道，STA 数据通过隧道穿越“接入承载网络”，此时 AP/AC 作为隧道的端点，对隧道内的 STA 数据流是可见的，而中间的“接入承载网络”对 STA 数据流完全不可见。对于 STA 通信， AP 是固定扮演 L2 交换机的角色，而 AC 则在不同的组网场景下，可选择性的扮演 L2 交换机或者IPv6 L3 网关/路由器的角色。

18、此时 WLAN AC 可以作为无线用户的 L3 网关，也可以是一个 L2 网桥，如下图所示： 图2-3 AC 做 L3 网关和 AC 做 L2 网桥 说明上图以IPv6 over IPv4 为例阐述，IPv4 over IPv6、IPv6 over IPv6 的场景类似（图略）。对于 STA，AC 做 L2 交换机（上图左）当 AC 做 L2 网桥情况下，AC 对于隧道中的 STA 报文，仅仅做 L2 转发处理，无需支持 IPv6 的 L3 路由功能，无需支持 IPv6 动态路由、DHCPv6 等IPv6 相关协议功能，此时，AC 基本上只要支持纯粹的单IPv4 协议栈的 L2 交换机功能即可

19、。 说明当AC 上如果需要支持STA 的Portal 认证、DHCP SNP、IP Source Guard 等三层特性时， 即使AC 仅作L2 交换机，仍旧需要 IPv4/IPv6 部分双栈能力。对于 STA，AC 做 L3 网关（路由器/L3 交换机）（上图右）当 AC 做 L3 网关情况下，AC 成为 IPv6 网络和 IPv4 网络的边界，即 AC 与上行的IPv6 网络直接接口，而相对于 AC 做 L2 网桥的场景时，AC 是通过上行一个单独的IPv6 路由器接入 IPv6 网络的，故此时 AC 需要支持 IPv6 的相关协议功能，AC 必须是一个 IPv4/IPv6 的双栈设备。对

20、于 IPv6 over IPv4、IPv4 over IPv6、IPv6 over IPv6 集中转发三种场景，AC 都存在做 L2 网桥和 L3 网关的场景差异，具有类似的功能诉求。对于 IPv6 over IPv6 本地转发场景，此时 AC 完全是 IPv6 网络中的节点，IPv6 动态路由需求是明确需要支持的。华为公司的 WLAN 产品，全面支持 IPv4/IPv6 双栈，WLAN AC 产品支持 IPv6 动态路由协议，包括 OSPFv6、RIPv6、ISISv6、BGPv6，灵活满足客户灵活的组网需求。IPv4/IPv6 混合接入对于同时存在 IPv4 和 IPv6 终端的场景，可以

21、通过如下两种接入部署方案。图2-4 IPv4/IPv6 无线混合接入场景部署不同的 SSID，分别为 IPv4 和 IPv6 的终端，提供 WLAN 无线接入服务。部署一个 SSID，同时接入 IPv4 和 IPv6 终端，每个终端仅使用单一 IP 地址（IPv4 或者 IPv6）进行通信。IPv6 管理和控制WLAN AP/AC 作为支持IPv4/IPv6 双栈产品，网管和控制方面支持如下特性功能：WLAN AC 的 IPv6 网管功能WLAN AP 的 IPv6 地址配置WLAN IPv6 AC 发现方式WLAN IPv6 AP-AC 间隧道建立WLAN AP 版本加载WLAN 的网管需求

22、图2-5 WLAN IPv6 网络管理作为 IPv4/IPv6 双栈 WLAN 产品，支持网管为 IPv6 的网管平台的直接管理。在 WLAN的架构下，整个 WLAN 系统对外仅由 AC 对外暴露网管接口，网管统一对 AC 进行网管控制，再由 AC 通过 CAPWAP 控制通道，实现对所有 AP 的集中管控。即 AP 没有独立的网管通路，仅 AC 具有网管通路。WLAN 中设备管理的 IPv6 支持的特性需求，本质上没有任何 WLAN 的特殊性，与其他数通设备（交换机/路由器）一样，具备如下IPv6 功能特性。支持 IPv6 的TCP/UDP 通信；SNMP 支持 IPv6；Telnet、SS

23、H 支持 IPv6；IPv6 Web 网管虽然现网大多仍旧是IPv4 网管，但华为公司产品仍旧支持 IPv6 的网管对 WLAN 系统进行管控，并支持 IPv6 终端直接通过 WLAN AC 的业务端口，通过IPv6 Web 网管特性和Telnetv6 登录，实施网络管理。AP 的 IPv6 地址配置方式SLAAC 方式AP 具有 SLAAC（Stateless address autoconfiguration，无状态地址自动配置）自动地址功能。IPv6 特有的自动配置方式，即主机（AP）根据收到的 RA（路由通告），使用其中的网段地址+主机生成的后缀，自动生成一个全局 IPv6 地址。St

24、atic 方式通过静态配置的方式进行地址配置，具体方式可以是通过串口连接 AP 的方式进行直接配置，或者通过先通过其他方式 AP-AC 建立连接后，在 AC 上强制配置静态 AP IPv6， 重启 AP 后生效。AC 的 IPv6 地址配置方式AC 的 IP 地址采用静态的方式进行配置。IPv6 AC 发现方式DHCPv6 option 52通过 Option52 获取 AC IPv6 list(RFC5417）注：IPv4 中是 Option138（但实际中Option43 更常见）。AP 在通过DHCP 获取自身IP 地址时，同时获取 DHCP Option52 选项，从而获得 AC 的I

25、Pv6 地址列表。DNS AAAA(IPv6）（基于 V6 互联）相对于传统的IPv4 组网下的DNS 获取 AC 地址方式的区别在于，DNS 服务器是 V6 的。此时通过 DHCP Option 选项携带 AC 域名和 DNSv6 Server，AP 根据域名获取 AC 的IPv6 地址。即网络中部署 DNSv6 Server，AP 通过 DHCP 方式获取自身地址后，同时通过 DHCP Option 得到 AC 对应的域名，通过 DNSv6 查询该域名 AC 对应的 IPv6 地址。AP-AC 间隧道建立IPv6 隧道建立：AP-AC 是 IPv6 组网，即建立 IPv6 的 CAPWAP

26、 隧道。DS AP 的优选 V4 隧道：对于双栈的 AP，当地址分配和 AC 发现有 V4 和 V6 两种选择时，优选 IPv4 CAPWAP 隧道建立，失败后再选择进行 IPv6 的建立方法。Fit AP 自动建立隧道的过程如下：Fit AP 正 常 上 电 运 行 ， 通 过 DHCP/STATIC/SLAAC （ Stateless address autoconfiguration，无状态地址自动配置）等方式获取 IP 地址。没有静态配置 AC 地址情况下，AP 通过动态的方式发现 AC。如果同时可以存在 IPv4 和 IPv6 连接可能，优先尝试使用 IPv4 建立与 AC 的连接。

27、如果 IPv4 方式与 AC 连接失败，AP 切换使用 IPv6，尝试与 AC 建立连接。与 AC 连接建立成功，从 AC 获取配置，提供无线服务；建立失败，重新优先 IPv4方式发起连接建立过程。 说明上述流程同时适用于 AP-AC 间L2 和L3 组网场景。上文描述了在 IPv6/IPv4 双栈网络中的 AP 与 AC 之间详细的 CAPWAP 隧道建立流程， 下面详细介绍在 IPv6 环境中，AP 与 AC 之间建立 CAPWAP 隧道的过程：在以下的条件下，AP 会切换到IPv6 模式：Fit AP 无法从 DHCP server 获取到IPv4 网络地址。Fit AP 在IPv4 网

28、络没有无线控制器响应 Fit AP 的发现请求。Fit AP 在IPv4 网络中和所有的无线控制器建立连接失败。当 AP 切换为IPv6 模式后，采用如下步骤与 AC 建立 CAPWAP 隧道：预先在无线控制器上配置 AP 的配置信息，在 DHCP server 上配置域名（放在OPTION15 中下发），在 DNS server 上配置该无线控制器的域名对应的 IP 地址。AP 启动以后会通过DHCP 获取获取IP 地址、DNS server、域名。AP 从 DNS server 获取该 AC 域名对应的IP 地址，AP 向该 IP 地址发送发现请求。接收到发现请求报文的无线控制器会检查该

29、AP 是否有接入本机的权限，如果有则回应发现响应。无线控制器和 AP 间建立 CAPWAP 隧道。 说明AP 有多种获取 AC 地址的方式，上面仅给出了DHCP+DNS 解析的方式，其它方式参见章节“IPv6 AC 发现方式”。AP 版本加载AP 版本加载，有 CAPWAP 和 FTP 加载方式。CAPWAP 加载方式：AP 通过 CAPWAP 控制信令和控制通道，从 AC 获取自身版本，整个流程与 IPv6 无关，无论IPv4 网络还是IPv6 网络下，均可支持。FTP 加载方式：AP 支持 FTPv6 Client，管理员可以将 AP 的版本集中的存放在FTPv6 Server 中（FTP

30、v6 Sever 可以是 WLAN AC 设备，也可以是一个独立的 FTPv6 服务器），AP 通过内置的FTPv6 Client 功能从 FTPv6 Server 获取版本。多 SSID 的 IPv6 支持WLAN AP 支持最大配置 16 个 VAP，每个 VAP 可以采用不同的 SSID，提供多种不同的WLAN 接入服务。客户可能需要部署多个 SSID，分别为 IPv4 和 IPv6 的终端提供无线接入服务，也可能部署一个 SSID 同时为IPv4 终端、IPv6 终端及双栈终端提供无线接入服务。支持 IPv6/IPv4 SSID 混合配置 说明此部署针对STA 为单栈终端场景，对于双栈

31、 STA 终端，同样支持。QoS 与组播QoS 映射与调度图2-6 WLAN QoS 映射上图中：用户 DSCP 到隧道DSCP 的映射就是根据 STA 的 DSCP 字段，决定 CAPWAP 隧道报文的 DSCP 字段，对应上图中的绿色映射关系指定隧道优先级（DSCP 或 802.1p）就是指定隧道报文的 QoS 优先级值，仅高 bit 位部分，未指定的低 bit 位设为 0。图示见上。流分类，并指定优先级及 QoS（DSCP 或 802.1p）WMM QoS实现 STA 报文的IPv6 TC 字段与空口 WMM 字段的映射当 AP 采用集中转发时，会在 AP-AC 通信报文上增加一个 CA

32、PWAP 隧道，此时报文将包含两个MAC 头（图中虚线部分）。上行方向：AP 收到 STA 空口报文后，管理员可以采用 IP 头或 802.11e 的优先级作为报文的优先级，并进一步映射到隧道外的报文优先级标签中（图中下半部分的绿色箭头）；管理员也可以直接指定隧道外的报文优先级标签；隧道内的转换后的以太报文 802.1p 标签则直接从 802.11e 进行映射。在 AC 处，出隧道时，直接剥离 CAPWAP 头即可。下行方向：AC 收到网络侧报文后，管理员可以采用 IP 头或 802.1p 的优先级作为报文的优先级，并进一步映射到隧道外的报文优先级标签中（图中上半部分的绿色箭头）；管理员也可以

33、直接指定隧道外的报文优先级标签；在 AP 处，空口发送时，802.11e 优先级直接根据隧道内原始报文的优先级标签进行映射。这个 QoS 优先级映射流程是 IPv4 下支持的 QoS 映射机理，引入 IPv6 后，并没有引入特殊的功能要求，仅仅是 IPv4 和 IPv6 中DSCP 取值字段不同而已：IPv4：“图中 DSCP 值”=IPv4 头 TOS 字段的高 3bit。IPv6：“图中 DSCP 值”=IPv6 头 TC 字段的高 3bit（TC: Traffic Class）注：映射过程中，未覆盖的低 bit 位全部设置成 0。组播功能需求图2-7 WLAN IPv6 组播对于组播，首

34、先支持上述典型场景场景（AP-AC 集中转发，AC 做 L2 交换机，但支持 IPv6 MLD snooping 功能），此时对于 STA，AC 不扮演IPv6 Router 的功能，此场景下 AC 无需支持 IPv6 PIM 特性功能，但要支持 MLD SNP 功能和组播二三层混跑功能。对于 AC 做 L3 网关的场景，同样支持IPv6 MLD Proxy 方式的组播部署（图略）。 说明上图仅绘制了集中转发场景，本地转发场景下，机理类似一致。WLAN 系统支持如下功能：IPv6 MLD Snooping即 MLD Snooping 功能，AP 和 AC 都支持，AP/AC 监测上行过路的 M

35、LD 加入请求，登记下行端口的组播加入情况，建立组播转发表，当从上行端口收到某组播组报文后，查询组播转发表，向加入了该组播组的其他端口进行复制转发。 说明集中转发、本地转发下都支持。IPv6 MLD Snooping ProxyAC 不做 STA 的网关，AC 上启用MLD snooping Proxy，由 AC 统一代理 STA 向上游监听者（路由器）发组播加入，同时向上行路由器应答组播报告。 说明该特性仅AC 上支持，AP 上不支持，故即可在部署集中转发模式时适用。IPv6 组播 VLAN图2-8 WLAN IPv6 组播 VLAN不同 VAP 使用不同的 Service VLAN（简称

36、Srv VLAN），但同时对应一个上行的组播 VLAN，该特性与 IPv4 下的组播 VLAN 一致，此特性对应的 AR（分配需求）就是“WLAN DBSS 虚接口支持组播 VLAN”。 说明该特性仅要求集中转发时支持，即要求AC 上支持，AP 无需支持。IPv6 的组播转单播AP 将网络下发的组播报文，在空口以单播的形式发给 STA。该功能在 IPv4 中已经支持，是解决组播无法重传、组播速率太低的手段。IPv6 中对于业务组播继承此特性，但对于 RA（路由通告）组播要做特殊处理，具体参见需求“RA 的组播转单播”。 说明集中转发、本地转发都要求支持。RA（路由通告）的组播转单播当一个 AP

37、 配置了多个 VAP，且不同 VAP 对应不同IPv6 网段时，为了支持 IPv6 的跨 VLAN 漫游，需要配置使能 RA（路由通告）的组播转单播功能。否则 RA 组播给STA，将导致漫游 STA 收到漫游地多个网段的 RA，根据 SLAAC（Stateless address autoconfiguration，无状态地址自动配置）机制将产生多个 IPv6 地址。IPv6 中 RA（路由通告）是周期性的向所有 STA“广播”，如果全部转为单播将消耗大量的空口资源。此时，如果不存在多 VAP 多 IPv6 网段的配置需求，比如是单 VAP 部署的话，在接入的 IPv6 终端少（比如5）的情况

38、下，建议考虑取消 RA 的组播转单播特性，降低空口资源占用。安全与认证网络安全L3 的网络安全隔离通过 ACL 实现，在 WLAN 系统中，根据转发模式的不同，ACL 的实现点不同：集中转发时，freerule/ACL 由 WLAN AC 实现；本地转发时，数据流量直接在 WLAN AP 上实现转发，WLAN AC 不一定处于数据转发路径中，故此时 freerule/ACL 由 WLAN AP 实现。华为公司全系列 WLAN 产品均支持 IPv4 的 ACL，也支持 IPv6 的 ACL。终端防护图2-9 WLAN IPv6 组播 说明红色代表用户设备特性，蓝色代表设备功能，用于支撑红色特性的

39、实现。上述这些特性要求集中转发和本地转发下都支持。图中特性功能的描述如下：IPv6 SG即 IPv6 SourceGuard，类似于 IPv4 SourceGuard 功能，核心目的是为了防止终端IP 地址仿冒。IPv6 SG 基于DHCPv6 SNP 或静态绑定方式获取 STA 的 IP 配置，建AAA立 STA IP 和MAC 的绑定关系。该特性基于设备的 ND SNP/Cache 和 DHCP SNP 功能实现，逻辑同 IPv4 SG（流图略）。机理就是根据 STA 的 IPv6 地址和MAC 地址的绑定关系，对收到的报文进行绑定关键校验，丢弃不符合绑定关系的报文，同时启用ND SNP

40、功能，对 ND 报文进行检查，丢弃不符合绑定关系的非法 ND 报文。DHCPv6 Srv Guard同 IPv4 中的 DHCPv4 Srv Guard，目的是禁止 STA 私建 DHCP 服务器，实现原理就是丢弃 STA 发的DHCP 服务器应答报文。当前版本集中转发和本地转发都支持，故该DHCPv6 Srv Guard 统一在 AP 上实现。对于 AC 上的有线端口，也支持该特性。Dynamic ND 防护禁止其他终端仿冒该 STA 的IPv6 地址进行 ND 应答，同 IPv4 的 DAI。对于 WLAN 接入的无线 STA，在 AP 上实现；对于非 WLAN 接入的（如从 AC 有线口

41、接入的终端），在 AC 上实现。基于用户/角色的IPv6 ACL：就是 Radius 指定用户 ACL该特性对应于思科的 AAA Override，就是 Radius 下发用户 ACL 或角色（用户组），将其应用到认证用户上。该特性功能在IPv4 中已经实现。对于IPv6 而言，对于系统的新功能要求是：新增 Radius 属性，承载 IPv6 ACL 项，用于 Radius 通知下发该用户 IPv6 ACL修改设备上用户组配置，增加对 IPv6 ACL 指定，支持同时绑定 IPv4 和IPv6ACL对于无线终端的用户认证，分 802.1X 认证和Portal 认证两种方式。802.1X 认证8

42、02.1X 认证的基本框架是：终端认证者认证服务器，其中终端认证者之间是纯L2 技术，与 IPv4 或者 IPv6 无关；认证者认证服务器之间通常采用 Radius 认证方式， 如果要支持 IPv6，就要支持与 IPv6 的 Radius 服务器互通。图2-10 WLAN IPv6 AAA 组网WLAN AC 支持 IPv4/IPv6 双栈，既可以接 IPv4 的 Radius 服务器，也可以接 IPv6 的Radius 服务器。802.1X 认证的基础框架中有三个角色：终端 Client、认证者 Authenticator、认证服务器，其中认证者含 Radius Client 功能。而在 W

43、LAN 系统中，有 AP 和 AC 两个网元设备，当前 WLAN 系统无论部署集中转发还是本地转发，系统都采用集中认证的方式，此时固定由 WLAN AC 扮演“认证者”的角色，即实现 Radius Client 功能。图示如下：图2-11 802.1X 认证的 WLAN 组网场景Radius 认证时，可能会从 Radius 服务器获取 IPv6 相关的扩展选项，比如 ACL、STA的 IP 地址等，以支持 IPv6 终端的接入认证、授权和计费功能。Portal 认证Portal 认证的组网框架如下：图2-12 WLAN 系统 Portal 认证流图Portal 认证流程大致分为三段处理：STA

44、 访问Portal 服务器，输入账号/密码触发认证Portal 服务器与 WLAN AC 建立连接，交互用户账号/密码信息WLAN AC 与 Radius 服务器建立连接，通过 radius 完成用户认证过程对于 IPv6 的 STA，STA 可以直接访问 IPv6 的 Portal 服务器，而 Portal 服务器需要支持 IPv4/IPv6 双栈能力，通过 IPv4 地址与 WLAN AC 通信，完成后续用户认证功能。采用 Portal 认证时，通常无线链路都是开放的（对应于链路层 Open 方式），也就是无线用户无需链路认证，即可建立空口连接，但此时无线用户尚不能真正访问网络资源， 华为

45、公司提供了 freerule 手段，在用户通过 Portal 认证前，可以访问开放服务区资源， 如 DNS 服务器、安全补丁服务器、Portal 认证服务器等。Freerule，就是通过 ACL 实现，同时支持 IPv4 ACL 和IPv6 ACL。集中转发时，freerule/ACL 由 WLAN AC 实现； 本地转发时，数据流量直接在 WLAN AP 上实现转发，WLAN AC 不一定处于数据转发路径中，故此时 freerule/ACL 由 WLAN AP 实现。其他功能特性WLAN 漫游场景对于 IPv6 的组网场景而言(IPv4 over IPv6，IPv6 over IPv4，IP

46、v6 over IPv6、双栈)， IPv4 over IPv6 组网时仅仅网络是IPv6 的，IPv4 STA 的漫游对 IPv6 的网络没有影响， 故其完整的支持了 IPv4 over IPv4 组网下的漫游特性。对于 IPv6 STA 的漫游支持能力，系统要支持相同 VLAN 内漫游、跨 VLAN 漫游。相同 VLAN 内漫游对 WLAN 系统无特殊的功能要求，与 IPv4 下的漫游一致。IPv6 下的跨 VLAN 漫游如果 IPv6 终端采用静态IPv6 地址配置或 DHCPv6 地址配置，终端漫游后，漫游目的地 AP，会将该终端用户的报文封装在漫游前的 VLAN 中在网络中转发，从而

47、保证无线用户IP 地址不变，平滑漫游，业务不中断的目的。跨 AC 漫游跨 AC 漫游，基本上同 IPv4 下的跨 AC 漫游，对于 IPv6 静态地址配置和 DHCP 地址配置方式，没有特殊要求。而对于 SLAAC（Stateless address autoconfiguration，无状态地址自动配置）地址配置方式下的 IPv6 终端漫游具有与 IPv6 跨 VLAN 漫游相同的问题，同样需要组播 RA（路由通告）转单播的特殊处理方式实现漫游支持。DHCPv6 相关IPv6 组网时，网络可以部署独立 DHCPv6 服务器，也可也在 WLAN AC 上内置 DHCPv6服务器，减少客户网络建

48、设投资，实现网络快速部署。当网络部署独立的 DHCPv6 服务器时，WLAN AC 可以扮演 DHCP Relay 或 DHCP SNOOPING 的角色。WLAN AC 支持 DHCPv6 Relay如果 WLAN AC 对无线用户仅仅做 L2 交换机，此时由上游的路由器部署DHCPv6 Relay，为最终无线 STA 分配 IPv6 地址，参见下图；图2-13 WLAN AC DHCP Relay 部署当 WLAN AC 对无线用户流量做 L3 网关时，可以在 WLAN AC 上使能 DHCPv6 Relay 功能，为最终无线 STA 分配 IPv6 地址。 说明虽然上图 AP-AC 间存

49、在CAPWAP 隧道，其实无论采用集中转发还是本地转发，WLAN AC 都可以为无线用户做DHCPv6 Relay 功能。AP/AC 支持 DHCPv6 SNP当 WLAN AC 做无线用户的 L2 交换机时，可以使能DHCPv6 Snooping 功能，获取终端分配的 IPv6 地址，并为IPv6 Source Guard 提供支持。图2-14 WLAN AC DHCP Snooping 部署 说明虽然上图 AP-AC 间存在CAPWAP 隧道，其实无论采用集中转发还是本地转发，WLAN AC 都可以为无线用户做DHCPv6 SNP 功能。当客户出于快速建网等目录，可能没有部署独立的 DHC

50、Pv6 服务器，此时可以启用WLAN AC 内置的 DHCPv6 服务器功能，同时为 STA 和 AP 分配IPv6 地址。特别要新增支持 DHCPv6 option 52，为 AP 指定 AC 的IP 地址。频谱分析和无线定位图2-15 频谱分析/无线定位的 IPv6 支持频谱分析和无线定位，与终端是 IPv4 还是 IPv6 无关，WLAN AP 采集无线信道信息， 集中送 WLAN AC 进行预处理，最终通过 WLAN AC 与服务器的 IPv6 Socket 连接，送相应的服务器处理。即只要 WLAN AC 支持 IPv6 协议栈，能与 IPv6 的服务器建立IPv6Socket 连接即可。 3 典型组网应用目前现网 IPv4 仍旧占据统治地位，不过高校/教育网已经建立了 IPv6 的骨干网(IPv6 CRENET)，实现了各个高校之间的 IPv6 互通。这里以高校场景为例，描述 WLAN IPv6 组网。各个高校可以根据自身的实际情况和需要，独