无线网络培训资料

WirelessSwitch

培训资料ContentsWireless基础概念Wireless组网方式介绍Wirelessswitch功能分析Wirelessswitch产品介绍WLAN技术标准情况802.11802.11b802.11g802.11a标准发布时间July1997Sept1999June2003Sept1999合法频宽83.5MHz83.5MHz83.5MHz325MHz频率范围2.400-2.483GHz2.400-2.483GHz2.400-2.483GHz5.150-5.350GHz5.725-5.850GHz非重叠信道33312单载频数据速率1,21,2,5.5,116,9,12,18,

24,36,48,546,9,12,18,

24,36,48,54MaxUDPThroughput

(1500byte)1.7Mbps7.1Mbps30.9Mbps30.9MbpsMaxTCP/IPThroughput(1500byte)1.6Mbps5.9Mbps24.4Mbps24.4MbpsAdHoc模式包括:Stations(STA)任何的wireless设备设备之间相互点对点对等通信IndependentBasicServiceSet(IBSS)通过唯一的SSID来标识网络中没有AP设备，也没有公共连接连到DS有线网络802.11网络配置–Adhoc模式IBSSSTA1STA2STA3Servicesetidentify(SSID)Infrastructure模式包括:Stations(STA)任何的wireless设备AccessPoint(AP)将

BSS连接到DS负责STA间的数据转发BasicServiceSet(BSS)一个AP所控制的的区域通过BSSID（AP的MAC地址）来唯一标识终端在一个

BSS内可以相互通信ExtendedServiceSet(ESS)采用相同的SSID的多个BSS形成的更大规模的虚拟BSS终端在同一ESS内可以通信并且可以在下属的多个

BSS间移动ESS通过SSID来唯一标识DistributionService(DS)连接多个BSS的网络以及有线网络可以采用无线或有线技术，通常采用以太网技术DSESS1802.11网络配置–Infrastructure模式BSS2AP3Servicesetidentify(SSID1)BSS1AP2Servicesetidentify(SSID1)BSS3STA1STA2STA3AP1Servicesetidentify(SSID2)Portaltowire基于CSMA/CA原理，属于最基本的接入方式STA传送数据报文的基本过程当检测到媒体busy时不发送报文当检测到媒体空闲IFS时间长度以后启动一个定时器back-offtimer，该定时器的尺寸为Contentionwindow（尺寸有限制的随机数），当定时器到时后开始发送报文当本次发送失败需要重传时，随着重传次数的增加Contentionwindow的尺寸逐渐加大当本次发送成功或者达到重传次数上限需要丢弃报文时，resetContentionwindow的尺寸为初始值802.11MACaccess

–DCF（distributedcoordinationfunction）方式IFSIFS推迟发送直到媒体空闲IFS时间长度BusyFrameContentionwindowback-off定时启动MediumbusySendframeTimeDCF模式下利用RTS/CTS进行数据传输的典型过程：802.11MACaccess–DCF方式（续2）STA1APSTA2RTS请求发送CTS同意发送数据ACK发送确认RTS请求发送CTS同意发送数据ACK发送确认RA＝AP，TA＝STA1RA＝STA1RA＝STA1RA＝AP，TA＝STA1,DA=STA2,SA=STA1RA＝STA2，TA＝APRA＝APRA＝STA2，TA＝AP,DA=STA2,SA=STA1RA＝APRA:ReceiverAddressTA:TransmitterAddressSA:SourceAddressDA:DestinationAddress802.11管理功能–用户接入过程STAAPDiscovery选择AP(采用侦听Beacon帧或发送Probe帧)AuthenticationAssociation和建立Association关系的AP收发数据802.11MAC使用Scanning功能来完成Discovery寻找和加入一个网络当STA漫游时寻找一个新的APPassiveScanning通过侦听AP定期发送的Beacon帧来发现网络，Beacon帧中包含该AP所属的BSS的基本信息以及AP的基本能力级，包括：BSSID（AP的MAC地址）、SSID、支持的速率、支持的认证方式，加密算法、Beacons帧发送间隔，使用的信道等当未发现包含期望的SSID的BSS时，STA可以工作于IBSS状态ActiveScanning在每个信道上发送Proberequest报文，从ProbeResponse中获取BSS的基本信息，ProbeResponse包含的信息和Beacon帧类似802.11管理功能-Discovery802.11支持两种基本的认证方式Open-systemAuthentication等同于不需要认证，没有任何安全防护能力通过其他方式来保证用户接入网络的安全性，例如Addressfilter、用户报文中的SSIDShared－KeyAuthentication采用WEP加密算法Attacker可以通过监听AP发送的明文Challengetext和STA回复的密文Challengetext计算出WEPKEYSTA可以通过Deauthentication来终结认证关系802.11管理功能-AuthenticationSTAAPAuthenticationrequestAuthenticationResponse(success)STAAPAuthenticationrequestPlaintextchallengeCiphertextchallengeAuthenticationResponse(success)预置Key用Key加密明文密文解密和明文比较预置KeyAssociationSTA通过Association和一个AP建立关联，后续的数据报文的收发只能和建立Association关系的AP进行ReassociationSTA在从一个老的AP移动到新AP时通过Reassociation和新AP建立关联Reassociation前必须经历Authentication过程DeassociationSTA通过Deassociation和AP解除关联关系802.11管理功能-AssociationSTAAPAssociationrequest

(SSID)AssociationResponse(AssociationID)STANewAP数据OldAP检测到NewAP信号强Reassociation请求(oldAPaddress)Reassociation应答采用基于RC4对称流加密算法的WEP加密STA和AP需要预先配置相同的静态Key，Key的长度为40bit或104bit每次对数据加密的Key＝静态Key＋24bit的IV值（IV值为动态生成）所有的STA共用相同的静态Key造成：当用户的STA丢失或者用户离职时需要对所有用户STA重新配置新的静态Key。静态Key泄漏被发现前，网络存在安全隐患24bit的IV值太短造成：Attacker可以在分析侦听到的1M-4M用户报文后破解加密Key802.11管理功能-EncryptionSTAAP加密报文＋IV值IV静态KeyKey生成器Key流XOR用户数据明文加密报文IV静态KeyKey生成器Key流XOR用户数据明文加密报文存在严重的安全隐患，不适合企业用户使用认证体制不完善，认证功能形同虚设缺乏双向认证手段STA无法识别非法的AP加密Key易被破译，用户数据易被窃听802.11i解决上述问题对于QOS支持能力差，不适合Voice业务对于DCF模式：在无线空口，所有用户数据平等地竞争无线资源数据报文没有划分的优先级，在AP无法分类处理802.11e(WMM)解决上述问题802.11协议的主要缺陷和演进引入RSNA(robustsecuritynetworkassociation)概念增强了STA和AP的认证机制支持802.1x认证，并采用双向认证方式有效的防止非法AP的使用增加了Key的生成、管理以及传递的机制每用户使用独立的Key通过非对称密钥算法生成和传递用户数据加密使用的Key增加了两类对称加密算法，加密强度大大增强TKIP：核心仍然是RC4算法CCMP：核心为AES算法802.11i协议－安全认证和加密802.11e协议－QOS保证（续）EDCA调度模式优先级队列1优先级队列2优先级队列3优先级队列4BusyFrameTimeAIFS4CW4AIFS3CW3FrameAIFS2CW2FrameAIFS1CW1FrameHCCA调度模式STA1STA2STA3APTime优先级协商AP对STA报文的调度优先级高优先级中优先级低FrameFrameFrameFrameFrameFrameWireless网络的漫游（Roaming）Wireless漫游的概念STA可以在属于同一个ESS的AP接入点接入STA可以在Wireless网络中任意移动，同时保证已有的业务不中断，用户的标识（IP地址）不改变Wireless漫游的分类二层漫游在同一个子网内的AP间漫游由于不涉及子网的变化，因此只需保证用户在AP间切换时访问网络的权限不变即可。三层漫游在不同子网内的AP间漫游Wireless相关组织和协议－IEEEPHY802.11(1/2Mbps)802.11b(5.5/11Mbps)802.11k无线资源管理802.11a(54Mbps)802.11h动态频率选择和功能控制(欧洲标准)MAC802.11MAC802.11f-漫游和切换802.11e---QoS802.11i安全增强

物理层

数据链路层802.3PHY802.3MAC802.11PHY802.11MAC802.2LLC802.2LLCOSI802.3LAN

无线LAN802.11g(54Mbps)802.11j日本标准Wireless其他相关组织和协议Wi-Fi联盟成立于1999年的Wi-Fi联盟是一个非牟利国际协会，旨在认证基于IEEE802.11规格的无线局域网产品的互操作性和推动wireless新标准的制定目前已知的相关标准WPA：802.11i的子集，支持802.1x认证以及TKIP加密算法WPA2：802.11iWMM：802.1e的子集，支持EDCA方式WAPI中国无线网络产品国标中安全机制的标准，包括无线局域网鉴别（WAI）和保密基础结构（WPI）两部分。核心技术由西安捷通公司掌握。由于其加密算法未公开，只能购买指定公司的加密芯片，因此遭到国外大多数公司的抵制

。未来是否以及何时会强制执行目前还不太明朗。ContentsWireless基础概念Wireless组网方式介绍Wirelessswitch功能分析Wirelessswitch产品介绍Wireless组网方式一－AutonomousWLANArchitecture实现厂商华为、Cisco、3com等网络组成可以由AP独立组网或者由AP＋普通Lanswitch组建更大规模的网络该组网方案中的AP接入节点俗称FatAPWireless功能实现由AP来完成所有的802.11定义的服务和功能AP支持本地和远程配置，并在本地保存系统配置适合应用场所家庭中小型网络主要缺陷当组建大型网络时对于大批量AP的配置工作量巨大AP设备的丢失可造成系统配置的泄露，存在安全隐患对于RogueAP检测等需要AP间协同工作的支持能力差对于三层漫游或不支持或通过其他辅助设备配合支持AP成本高STA1STA2STA3AP1……AP1APnSTAsWire网络AP独立组网AP＋Lanswitch组网Wireless组网方式二－CentralizedWLANArchitecture网络组成由AP＋Wirelessswitch组成该组网方案中的AP接入节点俗称ThinAP和FitAP，Wirelessswitch被称为AccessController（AC）Wireless功能实现由AP所完成的802.11MAC功能的不同又分为LocalMAC、SplitMAC模式由Wirelessswitch通过控制协议来控制AP的行为，用户不能直接配置AP，AP的配置信息保存在Wirelessswitch上适合应用场所中大型企业网……AP1APnSTAsWirelessswitch数据隧道数据隧道Wire网络控制信息CentralizedWLANArchitecture－Feature比较FeatureLocalMACSplitMACAP和AC的连接直连或透过L2/L3网络直连或透过L2/L3网络AP配置通过AC通过ACRF配置通过AC通过AC802.1x认证AC作为authenticatorAC作为authenticator802.11帧到802.3帧转换APAC802.11帧加密和解密APAC（Aruba在AP）QOS队列调度APAPRTS/CTS/ACK处理APAP对Wirelessswitch的负荷LocalBridging低802.3FrameTunnel高更高Wireless组网方式三－DistributedMeshArchitecture区域3区域1区域2Server区域4802.11adhoc连接网络组成Mesh节点＋用户设备适合应用场所不适合有线网络的场所，例如高速公路上的网络摄像头特点数据网络不用布线，只供电；一般Mesh网络具有多个网络出口；规模由10到100左右，组建大网时，采用多个Mesh网络进行操作；MeshAP都可以做到0配置；自愈能力：网络路径快速自愈主要缺点受802.11的带宽限制无法组成较大规模的网络，不能支持太多的跳数，否则延迟很大标准部成熟，厂商设备不能互通PC监控设备ContentsWireless基础概念Wireless组网方式介绍Wirelessswitch功能分析Wirelessswitch产品介绍Wirelessswitch功能分析－连接方式Wirelessswitch和AP支持以下三种连接方式：AP1AP2Wirelessswitch直连模式AP1AP1Wirelessswitch二层网络连接模式L2AP2AP2Wirelessswitch三层网络连接模式L3/RouterWirelessswitch功能分析－用户权限控制支持多种认证方式:802.1x,MAC认证,portal认证用户VLAN的支持基于认证结果的用户VLAN基于SSID的缺省VLAN,支持guest用户接入基于认证结果的用户ACL基于认证结果的用户漫游权限Wirelessswitch功能分析－设备安全Wirelessswitch和AP的关联和认证AP软件版本的管理和下发AP配置文件的管理和下发Wirelessswitch功能分析－RF安全RogueAP或Rogue用户的鉴别RogueAP的发现Adhoc网络的发现RogueAP或Rogue用户的物理位置定位发现RogueAP、RogueUser、Attacker以后的动作策略在RogueAP附近的AP模仿RogueAP向RogueAP下的用户发Disassociation在Attacker连接的AP上将其Disassociation，并将其列入黑名单，禁止再次接入Wirelessswitch功能分析－RF安全(续)RogueAP和Adhoc网络的发现定期发送ProbeProberesponse新节点信息报告分析发现RougeAP或Adhoc网络RogueAP和Adhoc网络的物理位置定位信号强度1AP1AP2APRogueAPACAP3信号强度2信号强度3位置信息1位置信息2位置信息3通过不同AP反馈的位置信息定位RougeAP的位置RogueAPWirelessswitch无线网管－网络规划集成RF网络规划基于建筑CAD图进行RF衰减计算和规划网络覆盖能力的规划图形话的覆盖示意图根据用户数量和使用带宽计算部署AP的数量自动计算和部属AP摆放的位置自动选择AP的信道和发射功率根据AP的放置位置和附近的障碍物动态刷新覆盖情况规划方案图形报表RF拓朴显示非法用户或AP检测和定位APAd-hoc用户用户统计目前所在AP的位置用户漫游历史记录性能统计Byuser,radio,APs,WirelessSwitch,VLAN表格、图形、文件输出配置文件管理和软件加载配置、软件集中加载加载错误回退功能Wirelessswitch无线网管－部署和管理AP1AP2L3网络无线交换机无线交换机L3网络L3网络语音电话系统WMM服务类型＝7语音数据隧道headerIPtos＝0xe0语音数据用户数据header802.1P＝7语音数据用户数据header802.1P＝7语音数据隧道headerIPtos＝0xe0语音数据WMM服务类型＝7语音数据用户1用户2Wirelessswitch功能分析－QOSWirelessswitch功能分析－冗余和可靠性在一个漫游域中存在一个主Wirelessswitch，主Wirelessswitch掌握漫游域中其他Wirelessswitch的信息，当主Wirelessswitch故障时应该支持选举新的主Wirelessswitch对于每个AP都支持两个Wirelessswitch上行互为备份，当其中一个发生故障时快速切换到另外一个Wirelessswitch，保证用户数据不丢失支持双以太网上行接口，正常工作时，主接口收发报文，备接口阻塞，当主接口发生故障时，备接口接替主接口开始工作支持双以太网上行接口的POE供电选择AC工作链路POE端口切换工作链路POEAP物理端口故障的切换ACAC工作链路POEAP在Wirelessswitch故障以后的切换工作链路链路切换LSWLSW3comWirelessswitch－本地数据转发STAServer网络拓扑图STA和Server通信的处理时续图VLAN1VLAN1VLAN1VLAN1IP:IP:IP:IP:STAACL2SA＝STAMACDA＝ServerMACSIP＝DIP＝SA＝APMACDA＝ACMACVLAN＝VLAN1SIP＝DIP＝二层隧道封装APSA＝STAMACDA＝ServerMACVLAN＝VLAN1SIP＝DIP＝ServerAPACSA＝STAMACDA＝ServerMACVLAN＝VLAN1SIP＝DIP＝SA＝STAMACDA＝ServerMACSIP＝DIP＝L2STA和其他用户的通信都必须通过Wirelessswitch，即使是本地用户加隧道封装解隧道封装，交换3comWirelessswitch－三层漫游STAServer网络拓扑图VLAN1VLAN1IP:IP:IP:IP:AC1APVLAN1IP:AC2IP:3comWirelessswitch－三层漫游(续)STA和Server通信的处理时续图STASA＝STAMACDA＝ServerMACSIP＝DIP＝SIP＝DIP＝二层隧道封装SA＝STAMACDA＝ServerMACVLAN＝VLAN1SIP＝DIP＝ServerAPAC1SA＝STAMACDA＝ServerMACVLAN＝VLAN1SIP＝DIP＝SA＝STAMACDA＝ServerMACSIP＝DIP＝L2AC2加隧道封装解隧道封装交换加隧道封装SIP＝DIP＝二层隧道封装SA＝STAMACDA＝ServerMACVLAN＝VLAN1SIP＝DIP＝解隧道封装交换ContentsWireless基础概念Wireless组网方式介绍Wirelessswitch功能分析Wirelessswitch产品介绍Wirelessswitch产品分类按功能和形态分为：Wirelesscontroller端口密度低,有线特性很少，主要处理无线终端和外界通信的报文一般旁路在有线交换机旁边价格昂贵Unifiedswitch端口密度高，有线特性丰富，同时作为有线和无线的交换设备由于业界还没有集成有线和无线功能的交换芯片，目前业界的做法一般是采用有线ASIC＋处理无线的NPU目前的价格很贵，未来应该和现有的有线设备价格接近按网络位置分Campus级：接入的AP数量一般都在100个以上，产品形态：独立的controller一般为GE接口，不支持POE供电，Unifiedswitch一般是交换机上的单臂控制器业务板