06-无线配置

本章节下载 (2.12 MB)

06-无线配置

2.3.2 基于接入服务的VLAN配置举例

3.2.1 配置802.11a/802.11b/802.11g射频速率

1 概览

1.1 查看无线服务

在界面左侧的导航栏中选择“接口配置 > 无线 > 概览”，点击指定的无线服务后，可以查看相关的详细信息、统计信息、连接历史。

1.1.1 查看无线服务的详细信息

clear类型无线服务的详细信息如图1-1所示，详细信息中的各字段解释请参见表1-1。

图1-1 查看clear类型的无线服务的详细信息

表1-1 clear类型无线服务显示信息描述表

配置项	说明
Service Template Number	当前无线服务号
SSID	Service Set Identifier，表示设置的服务组合识别码
Service Template Type	服务模板类型
Authentication Method	使用的认证类型，clear类型的无线服务只能使用Open System（开放系统认证）方式
SSID-hide	l Disable：启用SSID通告 l Enable：禁用SSID通告。SSID隐藏后，设备发送的信标帧里面不包含SSID信息
Service Template Status	服务模板状态： l Enable：无线服务处于使能状态 l Disable：无线服务处于关闭状态
Maximum clients per BSS	一个BSS中能够连接的最大客户端数

clear类型无线服务的详细信息如图1-2所示，详细信息中的各字段解释请参见表1-2。

图1-2 查看crypto类型的无线服务的详细信息

表1-2 crypto类型无线服务显示信息描述表

配置项	说明
Service Template Number	当前无线服务号
SSID	Service Set Identifier，表示设置的服务组合识别码
Service Template Type	服务模板类型
Security IE	安全IE：WPA或RSN
Authentication Method	使用的认证类型：Open System（开放系统认证）或者Shared Key（共享密钥认证）；
SSID-hide	l Disable：启用SSID通告 l Enable：禁用SSID通告。SSID隐藏后，设备发送的信标帧里面不包含SSID信息
Cipher Suite	加密套件：CCMP、TKIP、WEP40、WEP104或WEP128
TKIP Countermeasure Time(s)	TKIP反制策略时间，单位为秒
PTK Life Time(s)	PTK生存时间，单位为秒
GTK Rekey	GTK密钥更新配置
GTK Rekey Method	GTK密钥更新方法：基于包或基于时间
GTK Rekey Time(s)	当选择基于时间的GTK密钥更新方法时，显示GTK密钥更新时间，单位为秒当选择基于包的GTK密钥更新方法时，显示数据包的数目
Service Template Status	服务模板状态： l Enable：无线服务处于使能状态 l Disable：无线服务处于关闭状态
Maximum clients per BSS	一个BSS中能够连接的最大客户端数

1.2 查看射频

1.2.1 查看与射频绑定的无线服务

在界面左侧的导航栏中选择“接口配置 > 无线 > 概览”，单击“射频”页签。点击指定的射频单元后，选择“无线服务”，可以查看与射频绑定的无线服务。

图1-5 查看射频的详细信息

显示表格中的“背景噪声”表示无线通信过程中遇到的各种随机的电磁波。对于背景噪声较强的环境，可以通过“增加信号功率”或“降低背景噪声”来改善SNR（Signal-to-Noise Ratio，信噪比）。

1.2.2 查看射频的详细信息

在界面左侧的导航栏中选择“接口配置 > 无线 > 概览”，单击“射频”页签。点击指定的射频单元后，选择“详细信息”，可以查看射频相关的详细信息。

图1-6 查看射频的详细信息

表1-3 射频的详细显示信息描述表

字段	描述
WLAN-Radio1/0当前状态	WLAN-Radio接口的物理层链路状态
IP Packet Frame Type	接口输出帧封装类型
Hardware Address	接口的MAC地址
Radio-type dot11a	接口使用的WLAN的协议类型
channel	接口使用的信道，auto表示channel是由系统自动选择的如果信道是用户手工配置的，则该字段的显示格式为“channel configured-channel
power(dBm)	接口的发送功率（单位为dBm）
Received: 2 authentication frames, 2 association frames	收到的：认证帧的个数，关联帧的个数
Sent out: 2 authentication frames, 2 association frames	发送的：认证帧的个数，关联帧的个数
Stations: 0 associating, 2 associated	无线用户数目：当前正在关联的会话的数目，当前已经关联的会话的数目
Input : 70686 packets, 6528920 bytes : 255 unicasts, 34440 bytes : 70461 multicasts/broadcasts, 6494480 bytes : 0 fragmented : 414 discarded, 26629 bytes : 0 duplicates, 3785 FCS errors : 0 decryption errors	接口物理层输入报文统计信息： l 总包数，总字节数 l 单播总包数，单播总字节数 l 组播/广播总包数，组播/广播总字节数 l 分片报文总个数 l 被丢弃的总包数，被丢弃的总字节数 l 收到的重复帧的个数，FCS错误的次数 l 解密错误的次数
Output: 3436 packets, 492500 bytes : 3116 unicasts, 449506 bytes : 320 multicasts/broadcasts, 42994 bytes : 0 fragmented : 948 discarded, 100690 bytes : 0 failed RTS, 1331 failed ACK : 4394 transmit retries, 1107 multiple transmit retries	接口物理层输出报文统计信息： l 总包数，总字节数 l 单播总包数，单播总字节数 l 组播/广播总包数，组播/广播总字节数 l 分片报文的总个数 l 被丢弃的总包数，被丢弃的总字节数 l 发送失败的RTS报文个数，发送失败的ACK报文个数 l 本次重传发送的帧的个数，重传的次数

1.3 查看客户端

1.3.1 查看客户端详细信息

在界面左侧的导航栏中选择“接口配置 > 无线 > 概览”，单击“客户端”页签。进入页面后，选择“详细信息”页签，点击指定的客户端后，可以查看相关的详细信息。

客户端详细信息如图1-7所示，客户端详细信息中的各字段解释，请参见表1-5。

图1-7 查看客户端详细信息

表1-4 信号质量描述表

字段

描述

信号质量

：只显示最下方1个信号格，表示0<RSSI<=20

：显示2个信号格，表示20<RSSI<=30

：显示3个信号格，表示30<RSSI<=35

：显示4个信号格，表示35<RSSI<=40

：显示5个信号格，表示40<RSSI

表1-5 客户端详细显示信息描述表

字段	描述
MAC address	客户端的MAC地址
AID	客户端的关联ID
Radio Interface	WLAN射频接口
SSID	设备提供的SSID
BSSID	设备的MAC地址
Port	与客户端关联的WLAN-BSS接口
VLAN	客户端所处的VLAN
State	客户端的状态，例如：Running（运行）
Power Save Mode	客户端的节电模式：Active（激活）或者Sleep（睡眠）
Wireless Mode	无线模式：802.11a，802.11b，802.11g，802.11an，802.11gn
QoS Mode	设备是否支持WMM标志
Listen Interval (Beacon Interval)	客户端激活后监听信标帧的时间间隔，单位为Beacon interval（信标发送时间间隔）
RSSI	接收信号强度指示，该值表明了设备检测到Client的信号强度
SNR	信噪比
Rx/Tx Rate	上一个帧的接收和传输速率
Client Type	客户端类型，例如：RSN、WPA或Pre-RSN
Authentication Method	认证方式，例如：开放系统认证或共享密钥认证
AKM Method	AKM套件，如Dot1X，PSK
4-Way Handshake State	4次握手状态中的一种： l IDLE：初始化状态 l PTKSTART：4次握手初始化完毕 l PTKNEGOTIATING：发送了有效消息3 l PTKINITDONE：4次握手成功
Group Key State	组密钥状态，包括以下几种： l IDLE：初始化状态 l REKEYNEGOTIATE：AC向用户发送初始化消息 l REKEYESTABLISHE：密钥更新成功
Encryption Cipher	加密密码：明文或者密文加密的类型
Roam Status	漫游状态：正常或者快速漫游
Up Time	客户端和设备关联的时间

该页面的控件含义如下：

l <刷新>按钮

单击<刷新>按钮，刷新当前页面的显示信息。

l <黑名单>按钮

单击<黑名单>按钮，可以把选定的客户端加入到静态黑名单中，静态黑名单可以选择通过“安全 > 黑白名单”进行查看。

l <清空统计>按钮

单击<清空统计>按钮，可以删除列表中的所有项或清除所有统计信息。

l <断开连接>按钮

单击<断开连接>按钮，可以使选定的客户端下线。

1.3.2 查看客户端统计信息

在界面左侧的导航栏中选择“接口配置 > 无线 > 概览”，单击“客户端”页签。进入页面后，选择“统计信息”页签，点击指定的客户端后，可以查看相关的统计信息。

客户端统计信息如图1-8所示，客户端统计信息中的各字段解释，请参见表1-6。

图1-8 查看客户端详细信息

表1-6 客户端统计信息显示信息描述表

字段	描述
AP Name	接入点名称
Radio Id	射频ID号
SSID	设备提供的SSID
BSSID	设备的MAC地址
MAC Address	客户端的MAC地址
RSSI	接收信号强度指示，该指表明了设备检测到Client的信号强度
Transmitted Frames	发送的帧的数目
Back Ground(Frames/Bytes)	以帧或字节为单位对背景流优先级队列进行统计
Best Effort(Frames/Bytes)	以帧或字节为单位对尽力而为流优先级队列进行统计
Video(Frames/Bytes)	以帧或字节为单位对视频流优先级队列进行统计
Voice(Frames/Bytes)	以帧或字节为单位对语音流优先级队列进行统计
Received Frames	收到的帧的数目
Discarded Frames	丢弃的帧的数目

2 接入服务

WLAN（Wireless Local Area Network，无线局域网）技术是当今通信领域的热点之一，和有线相比，无线局域网的启动和实施相对简单，成本相对低廉，一般只要安放一个或多个接入点设备就可建立覆盖整个建筑或地区的局域网络。然而，WLAN系统不是完全的无线系统，它的服务器和骨干网仍然安置在有线网络，只是用户可以通过无线方式接入网络。

使用WLAN解决方案，网络运营商和企业能够为用户提供方便的无线接入服务，主要包括：

l 通过无线网络，用户可以方便的接入网络，并访问已有网络或因特网；

l 安全问题是无线网络最大的挑战，当前无线网络可以使用不同认证和加密方式，提供安全的无线网络接入服务；

l 在无线网络内，用户可以在网络覆盖区域内自由移动，彻底摆脱有线束缚。

2.1 接入服务简介

2.1.1 常用术语

(1) 客户端

带有无线网卡的PC、便携式笔记本电脑以及支持WiFi功能的各种终端。

(2) SSID

SSID（Service Set Identifier，服务组合识别码），客户端可以先扫描所有网络，然后选择特定的SSID接入某个指定无线网络。

(3) 无线介质

无线介质是用于在无线用户间传输帧的介质。WLAN系统使用无线射频作为传输介质。

2.1.2 无线用户接入过程

无线用户首先需要通过主动/被动扫描发现周围的无线服务，再通过认证和关联两个过程后，才能和设备建立连接，最终接入无线局域网。整个过程如图2-1所示。

图2-1 建立无线连接过程

1. 无线扫描

无线客户端有两种方式可以获取到周围的无线网络信息：一种是被动扫描，无线客户端只是通过监听周围设备发送的Beacon（信标帧）获取无线网络信息；另外一种为主动扫描，无线客户端在扫描的时候，同时主动发送一个探测请求帧（Probe Request帧），通过收到探查响应帧（Probe Response）获取网络信号。

无线客户端在实际工作过程中，通常同时使用被动扫描和主动扫描获取周围的无线网络信息。

(1) 主动扫描

无线客户端工作过程中，会定期地搜索周围的无线网络，也就是主动扫描周围的无线网络。根据Probe Request帧（探测请求帧）是否携带SSID，可以将主动扫描分为两种：

l 客户端发送Probe Request帧（SSID为空，也就是SSID IE的长度为0）：客户端会定期地在其支持的信道列表中，发送探查请求帧（Probe Request）扫描无线网络。当设备收到探查请求帧后，会回应探查响应帧（Probe Response）通告可以提供的无线网络信息。无线客户端通过主动扫描，可以主动获知可使用的无线服务，之后无线客户端可以根据需要选择适当的无线网络接入。无线客户端主动扫描方式的过程如图2-2所示。

图2-2 主动扫描过程（Probe Request中SSID为空，也就是不携带任何SSID信息）

l 客户端发送Probe Request（Probe Request携带指定的SSID）：当无线客户端配置希望连接的无线网络或者已经成功连接到一个无线网络情况下，客户端也会定期发送探查请求帧（Probe Request）(该报文携带已经配置或者已经连接的无线网络的SSID)，当能够提供指定SSID无线服务的设备接收到探测请求后回复探查响应。通过这种方法，无线客户端可以主动扫描指定的无线网络。这种无线客户端主动扫描方式的过程如图2-3所示。

图2-3 主动扫描过程（Probe Request携带指定的SSID为“office”）

(2) 被动扫描

被动扫描是指客户端通过侦听设备定期发送的Beacon帧发现周围的无线网络。提供无线网络服务的设备设备都会周期性发送Beacon帧，所以无线客户端可以定期在支持的信道列表监听信标帧获取周围的无线网络信息。当用户需要节省电量时，可以使用被动扫描。一般VoIP语音终端通常使用被动扫描方式。被动扫描的过程如图2-4所示。

图2-4 被动扫描过程

2. 认证过程

为了保证无线链路的安全，设备需要完成对客户端的认证，只有通过认证后才能进入后续的关联阶段。802.11链路定义了两种认证机制：开放系统认证和共享密钥认证。

l 开放系统认证（Open system authentication）

开放系统认证是缺省使用的认证机制，也是最简单的认证算法，即不认证。如果认证类型设置为开放系统认证，则所有请求认证的客户端都会通过认证。开放系统认证包括两个步骤：第一步是无线客户端发起认证请求，第二步设备确定无线客户端可以通过无线链路认证，并向无线客户端回应认证结果为“成功”。

图2-5 开放系统认证过程

l 共享密钥认证

共享密钥认证是除开放系统认证以外的另外一种链路认证机制。共享密钥认证需要客户端和设备端配置相同的共享密钥。

共享密钥认证的认证过程为：客户端先向设备发送认证请求，设备端会随机产生一个Challenge（即一个字符串）发送给客户端；客户端会将接收到的Challenge加密后再发送给设备；设备接收到该消息后，对该消息解密，然后对解密后的字符串和原始字符串进行比较。如果相同，则说明客户端通过了Shared Key链路认证；否则Shared Key链路认证失败。

图2-6 共享密钥认证过程

3. 关联过程

如果用户想接入无线网络，必须同特定的设备关联。当用户通过指定SSID选择无线网络，并通过设备链路认证后，就会立即向设备发送关联请求。设备会对关联请求帧携带的能力信息进行检测，最终确定该无线终端支持的能力，并回复关联响应通知链路是否关联成功。通常，无线终端同时只可以和一个设备建立链路，而且关联总是由无线终端发起。

4. 其他相关过程

(1) 解除认证

解除认证用于中断已经建立的链路或者认证，无论设备还是无线终端都可以发送解除认证帧断开当前的链接过程。无线系统中，有多种原因可以导致解除认证，如：

l 接收到非认证用户的关联或解除关联帧。

l 接收到非认证用户的数据帧。

l 接收到非认证用户的PS-Poll帧。

(2) 解除关联

无论设备还是无线终端都可以通过发送解除关联帧以断开当前的无线链路。无线系统中，有多种原因可以导致解除关联，如：

l 接收到已认证但未关联用户的数据帧。

l 接收到已认证但未关联用户的PS-Poll帧。

2.1.3 WLAN服务的数据安全

相对于有线网络，WLAN存在着与生俱来的数据安全问题。在一个区域内的所有的WLAN设备共享一个传输媒介，任何一个设备可以接收到其他所有设备的数据，这个特性直接威胁到WLAN接入数据的安全。

802.11协议也在致力于解决WLAN的安全问题，主要的方法为对数据报文进行加密，保证只有特定的设备可以对接收到的报文成功解密。其他的设备虽然可以接收到数据报文，但是由于没有对应的密钥，无法对数据报文解密，从而实现了WLAN数据的安全性保护。目前支持四种安全服务。

(1) 明文数据

该种服务本质上为无安全保护的WLAN服务，所有的数据报文都没有通过加密处理。

(2) WEP加密

WEP（Wired Equivalent Privacy，有线等效加密）用来保护无线局域网中的授权用户所交换的数据的机密性，防止这些数据被随机窃听。WEP使用RC4加密算法实现数据报文的加密保护，通过共享密钥来加密密钥管理，理论上增加了网络侦听，会话截获等的攻击难度。根据使用的密钥长度，WEP包括WEP40、WEP104和WEP128。密钥长度的增加在一定程度上提高了WEP加密的安全性，但是受到RC4加密算法、过短的初始向量和静态配置密钥的限制，WEP加密还是存在比较大的安全隐患。

WEP加密方式可以分别和Open system、Shared key链路认证方式使用。

l 采用Open system authentication方式：此时WEP密钥只做加密，即使密钥配置不一致，用户也可以成功建立无线链路，但所有的数据都会因为密钥不一致被接收端丢弃。

l 采用Shared key authentication方式：此时WEP密钥同时作为认证密钥和加密密钥，如果密钥配置不一致，客户端就不能通过链路认证，也就无法接入无线网络。

(3) TKIP加密

虽然TKIP加密机制和WEP加密机制都是使用RC4算法，但是相比WEP加密机制，TKIP加密机制可以为WLAN提供更加安全的保护。

首先，TKIP通过增长了算法的IV（初始化向量）长度提高了加密的安全性。相比WEP算法，TKIP直接使用128位密钥的RC4加密算法，而且将初始化向量的长度由24位加长到48位；

其次，TKIP机密机制实现了密钥的动态协商，解决了WEP加密需要静态配置密钥的限制。TKIP使用一种密钥构架和管理方法，通过由认证服务器动态生成分发的密钥来取代单个静态密钥，虽然TKIP采用的还是和WEP一样的RC4加密算法，但其动态密钥的特性很难被攻破；

另外，TKIP还支持了MIC认证（Message Integrity Check，信息完整性校验）和Countermeasure功能。当TKIP报文发生MIC错误时，数据可能已经被篡改，也就是无线网络很可能正在受到攻击。当在一段时间内连续接收到两个出现MIC错误的报文，设备将会启动Countermeasure功能，此时，设备将通过静默一段时间不提供服务，实现对无线网络的攻击防御。

(4) CCMP加密

CCMP（Counter mode with CBC-MAC Protocol，[计数器模式]搭配[区块密码锁链－信息真实性检查码]协议）加密机制是基于AES（Advanced Encryption Standard，高级加密标准）加密算法的CCM（Counter-Mode/CBC-MAC，区块密码锁链－信息真实性检查码）方法。CCM结合CTR（Counter mode，计数器模式）进行机密性校验，同时结合CBC-MAC（区块密码锁链－信息真实性检查码）进行认证和完整性校验。CCMP中的AES块加密算法使用128位的密钥和128位的块大小。同样CCMP包含了一套动态密钥协商和管理方法，每一个无线用户都会动态的协商一套密钥，而且密钥可以定时进行更新，进一步提供了CCMP加密机制的安全性。在加密处理过程中，CCMP也会使用48位的PN（Packet Number）机制，保证每一个加密报文报文都会是用不同的PN，在一定程度上提高安全性。

2.1.4 用户接入认证

当无线终端成功和设备建立无线链路，可以认为无线终端成功接入到无线网络，但是为了无线网络的安全和管理，无线接入用户只有通过后面的接入认证后才可能真正访问网络资源。其中PSK（Preshared Key预共享密钥）认证和802.1x认证伴随着无线链路的动态密钥协商和管理，所以和无线链路协商关系比较密切，而且它的认证和无线链路本身没有直接关系。

(1) PSK认证

WPA和WPA2无线接入都支持PSK认证，无线客户端接入无线网络前，需要配置和设备相同的预共享密钥。

四次握手（4-Way Handshake）密钥协商通过802.1x的4个密钥报文交互为无线链路在无线终端和设备侧动态协商出私有密钥，而预共享密钥将作为密钥协商的种子密钥使用。在协商过程中，种子密钥将被双方进行验证，只有密钥设置相同，密钥协商才可以成功，也就是无线用户成功通过PSK接入认证；否则无线用户PSK接入认证失败，无线用户链路将被断开。

(2) 802.1x认证

802.1x协议是一种基于端口的网络接入控制协议（Port Based Network Access Control Protocol）。“基于端口的网络接入控制”是指在WLAN接入设备的端口这一级对所接入的用户设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问WLAN中的资源；如果不能通过认证，则无法访问WLAN中的资源。

(3) MAC接入认证

MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法,它不需要用户安装任何客户端软件。设备在首次检测到用户的MAC地址以后，即启动对该用户的认证操作。认证过程中，也不需要用户手动输入用户名或者密码。在WLAN网络应用中，MAC认证需要预先获知可以访问无线网络的终端设备MAC地址，所以一般适用于用户比较固定的、小型的无线网络，例如家庭、小型办公室等环境。

MAC地址认证分为以下两种方式：

l 本地MAC地址认证：当选用本地认证方式进行MAC地址认证时，直接在设备上完成对用户的认证，此时需要在设备上配置本地用户名和密码。通常情况下，可以采用MAC地址作为用户名，需要事先获知无线接入用户的MAC地址并配置为配置的本地用户名。无线用户接入网络时，只有存在用户的MAC地址可以认证通过，其它用户将被拒绝接入。

图2-7 本地MAC地址认证

l 通过RADIUS服务器进行MAC地址认证：当选用RADIUS服务器认证方式进行MAC地址认证时，设备作为RADIUS客户端，与RADIUS服务器配合完成MAC地址认证操作。当MAC接入认证发现当前接入的客户端为未知客户端，设备作为RADIUS客户端，会与RADIUS服务器完成MAC地址认证。在RADIUS服务器完成对该用户的认证后，认证通过的用户可以访问无线网络，而且RADIUS服务器可以下发相应的授权信息。

图2-8 本地MAC地址认证

采用RADIUS服务器进行MAC地址认证时，可以通过在各无线服务下分别指定各自的domain域，将不同SSID的MAC地址认证用户信息发送到不同的远端RADIUS服务器。

2.1.5 802.11n协议

802.11n作为802.11协议族的一个新协议，支持2.4GHz和5GHz两个频段，致力于为WLAN接入用户提供更高的“接入速率”，802.11n主要通过增加带宽和提高信道利用率两种方式来提高通讯速率。

增加带宽：802.11n通过将两个20MHz的带宽绑定在一起组成一个40MHz通讯带宽，在实际工作时可以作为两个20MHz的带宽使用。当使用40MHz带宽时，可将速率提高一倍，提高无线网络的吞吐量。

提高信道利用率：对信道利用率的提高主要体现在三个方面。

l A-MPDU聚合帧：即将多个MPDU聚合为一个A-MPDU，只保留一个PHY头，减少了传输每个MPDU的PHY头，同时还减少了ACK帧的数目，从而降低了协议的负荷，有效的提高信道利用率。

l A-MSDU特性：该特性实现了将多个MSDU组合成一个MSDU发送，与A-MPDU类似，通过聚合，A-MSDU特性有效减少了传输多个MSDU的MAC头的信息，提高了MAC层的传输效率，最终提高了信道利用率。

l 物理层提供短间隔功能：已有的802.11a和802.11g的GI（Guard Interval）时长800us，而802.11n可以支持短间隔Short GI，其时长为400us，可以有效减少信道空闲时间，提高信道利用率。使用Short GI时，可以提高大约10%的性能。

2.2 配置无线服务

2.2.1 新建无线服务

在界面左侧的导航栏中选择“接口配置 > 无线 > 接入服务”，进入如图2-9所示接入服务配置页面。

图2-9 接入服务配置页面

单击<新建>按钮，进入如图2-10所示无线服务新建页面。

图2-10 接入服务新建页面

新建无线服务的详细配置如表2-1所示。

表2-1 新建无线服务的详细配置

配置项	说明
射频单元	支持的射频号，取值为1或2。实际的取值与设备的型号有关，请以设备的实际情况为准
射频模式	实际的取值与设备的型号以及射频单元有关，请以设备的实际情况为准
无线服务名称	设置SSID（Service Set Identifier，服务组合识别码） SSID的名称应该尽量具有唯一性。从安全方面考虑不应该体现公司名称，也不推荐使用长随机数序列作为SSID，因为长随机数序列只是增加了Beacon报文长度和使用难度，对无线安全没有改进
无线服务类型	选择无线服务类型： l clear：使用明文发送数据 l crypto：使用密文发送数据

2.2.2 配置clear类型无线服务

1. clear类型无线服务基本配置

在界面左侧的导航栏中选择“接口配置 > 无线 > 接入服务”，在列表中找到要进行配置的clear类型无线服务，单击对应的图标，进入如图2-11所示的配置页面。

图2-11 clear类型无线服务基本配置页面

clear类型无线服务基本配置的详细配置如表2-2所示。

表2-2 clear类型无线服务基本配置的详细配置

配置项	说明
无线服务名称	显示选择的SSID
VLAN（Untagged）	添加Untagged的VLAN ID，VLAN（Untagged）表示端口成员发送该VLAN报文时不带Tag标签
缺省VLAN	设置端口的缺省VLAN 在缺省情况下，所有端口的缺省VLAN均为VLAN 1，设置新的缺省VLAN后，VLAN 1为Untagged的VLAN ID
删除VLAN	删除已有Tagged和Untagged的VLAN ID
网络隐藏	配置是否在信标帧中通告SSID，缺省情况下，信标帧通告SSID l Enable：禁止在信标帧中通告SSID l Disable：在信标帧中通告SSID l SSID隐藏后，设备发送的信标帧里面不包含SSID信息，接入客户端必须在无线网卡上手动配置该SSID标识才能接入设备 l 隐藏SSID对无线安全意义不大。允许广播SSID可以使客户端更容易发现AP

2. clear类型无线服务高级配置

在界面左侧的导航栏中选择“接口配置 > 无线 > 接入服务”，在列表中找到要进行配置的clear类型无线服务，单击对应的图标，进入clear类型无线服务高级配置页面。

图2-12 clear类型无线服务高级配置页面

clear类型无线服务高级配置的详细配置如表2-3所示。

表2-3 clear类型无线服务高级配置的详细配置

配置项

说明

关联最大用户数

在一个射频下，某个SSID下关联客户端的最大个数

当某个SSID下关联的客户端达到最大个数时，该SSID会自动隐藏

管理权限

上线的客户端对设备WEB界面的管理权限

l Disable：表示上线的客户端对设备WEB界面没有管理权限

l Enable：表示上线的客户端对设备WEB界面有管理权限

3. clear类型无线服务安全配置

在界面左侧的导航栏中选择“接口配置 > 无线 > 接入服务”，在列表中找到要进行配置的clear类型无线服务，单击对应的图标，进入clear类型无线服务安全配置页面。

clear类型无线服务基本配置的详细配置如表2-4所示。

表2-4 clear类型无线服务安全配置的详细配置

配置项	说明
认证方式	clear类型只能选择Open-System方式
端口安全	l mac-authentication：对接入用户采用MAC地址认证 l mac-else-userlogin-secure：端口同时处于mac-authentication模式和userlogin-secure模式，但MAC地址认证优先级大于802.1x认证；对于非802.1x报文直接进行MAC地址认证。对于802.1x报文先进行MAC地址认证，如果MAC地址认证失败进行802.1x认证 l mac-else-userlogin-secure-ext：与mac-else-userlogin-secure类似，但允许端口下有多个802.1x和MAC地址认证用户 l userlogin-secure：对接入用户采用基于端口的802.1X认证，此模式下，端口允许多个802.1X认证用户接入，但只有一个用户在线 l userlogin-secure-or-mac：端口同时处于userlogin-secure模式和mac-authentication模式，但802.1x认证优先级大于MAC地址认证；在用户接入方式为无线的情况下，报文首先进行802.1x认证，如果802.1x认证失败再进行MAC地址认证 l userlogin-secure-or-mac-ext：与userlogin-secure-or-mac类似，但允许端口下有多个802.1x和MAC地址认证用户 l userlogin-secure-ext：对接入用户采用基于MAC的802.1x认证，且允许端口下有多个802.1x用户：由于安全模式种类较多，为便于记忆，部分端口安全模式名称的构成可按如下规则理解： l “userLogin”表示基于端口的802.1X认证； l “mac”表示MAC地址认证； l “Else”之前的认证方式先被采用，失败后根据请求认证的报文协议类型决定是否转为“Else”之后的认证方式； l “Or”连接的两种认证方式无固定生效顺序，设备根据请求认证的报文协议类型决定认证方式，但无线接入的用户先采用802.1X认证方式； l 携带“Secure”的userLogin表示基于MAC地址的802.1X认证； l 携带“Ext”表示可允许多个802.1X用户认证成功，不携带则表示仅允许一个802.1X用户认证成功
最大用户数	控制能够通过某端口接入网络的最大用户数

(1) 当选择mac-authentication时，需要配置如下选项：

图2-13 mac-authentication端口安全配置页面

表2-5 mac-authentication端口安全配置的详细配置

配置项	说明
端口模式	mac-authentication：对接入用户采用MAC地址认证
最大用户数	控制能够通过某端口接入网络的最大用户数
MAC认证	选中“MAC认证”前的复选框
域名	在下拉框中选择已存在的域设备的缺省域为“system”。在界面左侧的导航栏中选择“认证 > AAA”，选择“域设置”页签，在域名下拉输入框中可以新建域在该选项中选择的域名仅对此无线服务生效

(2) 当选择userlogin-secure/userlogin-secure-ext时，需要配置如下选项：

图2-14 userlogin-secure/userlogin-secure-ext端口安全配置页面（以userlogin-secure为例）

表2-6 userlogin-secure/userlogin-secure-ext端口安全配置的详细配置

配置项	说明
端口模式	l userlogin-secure：对接入用户采用基于端口的802.1X认证，此模式下，端口允许多个802.1X认证用户接入，但只有一个用户在线 l userlogin-secure-ext：对接入用户采用基于MAC的802.1x认证，且允许端口下有多个802.1x用户
最大用户数	控制能够通过某端口接入网络的最大用户数
域名	在下拉框中选择已存在的域，配置了强制认证域后，所有从该端口接入的802.1X用户将被强制使用该认证域来进行认证、授权和计费设备的缺省域为“system”。在界面左侧的导航栏中选择“认证 > AAA”，选择“域设置”页签，在域名下拉输入框中可以新建域
认证方法	l EAP：采用EAP认证方式。采用EAP认证方式意味着设备直接把802.1X用户的认证信息以EAP报文直接封装到RADIUS报文的属性字段中，发送给RADIUS服务器完成认证，而无须将EAP报文转换成标准的RADIUS报文后再发给RADIUS服务器来完成认证 l CHAP：采用CHAP认证方式。缺省情况下，采用CHAP认证方式。只在网络上传输用户名，而并不传输口令。相比之下，CHAP认证保密性较好，更为安全可靠 l PAP：采用PAP认证方式。PAP采用明文方式传送口令
用户握手	l Enable：开启在线用户握手功能，通过设备端定期向客户端发送握手报文来探测用户是否在线。缺省情况下，在线用户握手功能处于开启状态 l Disable：关闭在线用户握手功能
多播触发	l Enable：开启802.1X的组播触发功能，即周期性地向客户端发送组播触发报文。缺省情况下，802.1X的组播触发功能处于开启状态 l Disable：关闭802.1X的组播触发功能对于无线局域网来说，可以由客户端主动发起认证，或由无线模块发现用户并触发认证，而不必端口定期发送802.1X的组播报文来触发。同时，组播触发报文会占用无线的通信带宽，因此建议无线局域网中的接入设备关闭该功能

(3) 当选择其他四种端口安全时，需要配置如下选项：

图2-15 四种端口安全配置页面（以mac-else-userlogin-secure为例）

表2-7 其他四种端口安全配置的详细配置

配置项	说明
端口模式	l mac-else-userlogin-secure：端口同时处于mac-authentication模式和userlogin-secure模式，但MAC地址认证优先级大于802.1x认证；对于非802.1x报文直接进行MAC地址认证。对于802.1x报文先进行MAC地址认证，如果MAC地址认证失败进行802.1x认证 l mac-else-userlogin-secure-ext：与mac-else-userlogin-secure类似，但允许端口下有多个802.1x和MAC地址认证用户 l userlogin-secure-or-mac：端口同时处于userlogin-secure模式和mac-authentication模式，但802.1x认证优先级大于MAC地址认证；在用户接入方式为无线的情况下，报文首先进行802.1x认证，如果802.1x认证失败再进行MAC地址认证 l userlogin-secure-or-mac-ext：与userlogin-secure-or-mac类似，但允许端口下有多个802.1x和MAC地址认证用户
最大用户数	控制能够通过某端口接入网络的最大用户数
域名	在下拉框中选择已存在的域，配置了强制认证域后，所有从该端口接入的802.1X用户将被强制使用该认证域来进行认证、授权和计费设备的缺省域为“system”。在界面左侧的导航栏中选择“认证 > AAA”，选择“域设置”页签，在域名下拉输入框中可以新建域
认证方法	l EAP：采用EAP认证方式。采用EAP认证方式意味着设备直接把802.1X用户的认证信息以EAP报文直接封装到RADIUS报文的属性字段中，发送给RADIUS服务器完成认证，而无须将EAP报文转换成标准的RADIUS报文后再发给RADIUS服务器来完成认证 l CHAP：采用CHAP认证方式。缺省情况下，采用CHAP认证方式。只在网络上传输用户名，而并不传输口令。相比之下，CHAP认证保密性较好，更为安全可靠 l PAP：采用PAP认证方式。PAP采用明文方式传送口令
用户握手	l Enable：开启在线用户握手功能，通过设备端定期向客户端发送握手报文来探测用户是否在线。缺省情况下，在线用户握手功能处于开启状态 l Disable：关闭在线用户握手功能
多播触发	l Enable：开启802.1X的组播触发功能，即周期性地向客户端发送组播触发报文。缺省情况下，802.1X的组播触发功能处于开启状态。 l Disable：关闭802.1X的组播触发功能对于无线局域网来说，可以由客户端主动发起认证，或由无线模块发现用户并触发认证，而不必端口定期发送802.1X的组播报文来触发。同时，组播触发报文会占用无线的通信带宽，因此建议无线局域网中的接入设备关闭该功能
MAC认证	选中“MAC认证”前的复选框
域名	在下拉框中选择已存在的域设备的缺省域为“system”。在界面左侧的导航栏中选择“认证 > AAA”，选择“域设置”页签，在域名下拉输入框中可以新建域在该选项中选择的域名仅对此无线服务生效

2.2.3 配置crypto类型无线服务

1. crypto类型无线服务基本配置

在界面左侧的导航栏中选择“接口配置 > 无线 > 接入服务”，在列表中找到要进行配置的crypto类型无线服务，单击对应的图标，进入如图2-16所示页面。

图2-16 crypto类型无线服务基本配置页面

crypto类型无线服务基本配置的详细配置请参见表2-2。

2. crypto类型无线服务高级配置

在界面左侧的导航栏中选择“接口配置 > 无线 > 接入服务”，在列表中找到要进行配置的crypto类型无线服务，单击对应的图标，进入如图2-17所示页面。

图2-17 crypto类型无线服务高级配置页面

crypto类型无线服务高级配置的详细配置如表2-8所示。

表2-8 crypto类型无线服务高级配置的详细配置

配置项	说明
关联最大用户数	在一个射频下，某个SSID下的关联客户端的最大个数当某个SSID下关联的客户端达到最大个数时，该SSID会自动隐藏
PTK生存时间	设置PTK的生存时间，PTK通过四次握手方式生成
TKIP反制策略实施时间	设置反制策略实施时间。缺省情况下，TKIP反制策略实施的时间为0秒，即不启动反制策略；如果时间设置为其他值则启动反制策略； MIC（Message Integrity Check，信息完整性校验）是为了防止黑客的篡改而定制的，它采用Michael算法，具有很高的安全特性。当MIC发生错误的时候，数据很可能已经被篡改，系统很可能正在受到攻击。启动反制策略后，如果在一定时间内发生了两次MIC错误，则会解除所有关联到该无线服务的客户端，并且只有在TKIP反制策略实施的时间后，才允许客户端重新建立关联
管理权限	上线的客户端对设备WEB界面的管理权限 l Disable：表示上线的客户端对设备WEB界面没有管理权限 l Enable：表示上线的客户端对设备WEB界面有管理权限
GTK更新方法	GTK由AC生成，在AP和客户端认证处理的过程中通过组密钥握手和4次握手的方式发送到客户端。客户端使用GTK来解密组播和广播报文 l 选用基于时间更新的方法，需要指定GTK密钥更新的周期时间间隔 l 选用基于数据包更新的方法，需要指定传输的数据包的数目，在传送指定数目的数据包后更新GTK 缺省情况下，GTK密钥更新采用基于时间的方法，缺省的时间间隔是86400秒
客户端离线更新GTK	启动当客户端离线时更新GTK的功能缺省情况下，客户端离线更新GTK的功能处于关闭状态

3. crypto类型无线服务安全配置

在界面左侧的导航栏中选择“接口配置 > 无线 > 接入服务”，在列表中找到要进行配置的crypto类型无线服务，单击对应的图标，进入如图2-18所示页面。

图2-18 crypto类型无线服务安全配置页面

crypto类型无线服务安全配置的详细配置如表2-9所示。

表2-9 crypto类型无线服务安全配置的详细配置

配置项	说明
认证方式	链路认证方式，可选择以下几种： l Open-System：即不认证，如果认证类型设置为开放系统认证，则所有请求认证的客户端都会通过认证 l Shared-Key：共享密钥认证需要客户端和设备端配置相同的共享密钥；只有在使用WEP加密时才可选用shared-key认证机制 l Open-System and Shared-Key：可以同时选择使用Open-System和Shared-Key认证
加密类型	无线服务支持加密机制 l CCMP：一种基于AES加密算法的加密机制 l TKIP：一种基于RC4算法和动态密钥管理的加密机制 l CCMP and TKIP：可以同时选择使用CCMP和TKIP加密
安全IE	无线服务类型（Beacon或者Probe response报文中携带对应的IE信息）： l WPA：在802.11i协议之前，Wi-Fi Protected Access定义的安全机制 l WPA2：802.11i定义的安全机制，也就是RSN（Robust Security Network，健壮安全网络）安全机制，提供比WEP和WPA更强的安全性 l WPA and WPA2：同时选择使用WPA和WPA2
WEP加密
密钥类型	l WEP 40：选择WEP 40进行加密 l WEP 104：选择WEP 104进行加密 l WEP 128：选择WEP 128进行加密
密钥ID	密钥ID用来配置密钥索引号，可选以下几种： 1：选择密钥索引为1 2：选择密钥索引为2 3：选择密钥索引为3 4：选择密钥索引为4 在WEP中有四个静态的密钥。其密钥索引分别是1、2、3和4。指定的密钥索引所对应的密钥将被用来进行帧的加密和解密
长度	选择WEP密钥长度 l 当密钥类型选择WEP 40时，可选的密钥长度5个字符（5 Alphanumeric Chars）或者10位16进制数（10 Hexadecimal Chars） l 当密钥类型选择WEP 104时，可选的密钥长度13个字符（13 Alphanumeric Chars）或者26位16进制数（26 Hexadecimal Chars） l 当密钥类型选择WEP 128时，可选的密钥长度16个字符（16 Alphanumeric Chars）或者32位16进制数（32 Hexadecimal Chars）
密钥	配置WEP密钥
端口安全	请参见表2-4 “认证方式”、“加密类型”等参数直接决定了端口模式的可选范围，具体请参见表2-12 在选则“加密类型”后，增加以下四种端口安全模式： l mac and psk：接入用户必须先进行MAC地址认证，通过认证后使用预先配置的预共享密钥与设备协商，协商成功后可访问端口 l psk：接入用户必须使用设备上预先配置的静态密钥，即PSK（Pre-Shared Key，预共享密钥）与设备进行协商，协商成功后可访问端口 l userlogin-secure-ext：对接入用户采用基于MAC的802.1x认证，且允许端口下有多个802.1x用户

(1) 当选择mac and psk时，需要配置如下选项：

图2-19 mac and psk端口安全配置页面

表2-10 mac and psk端口安全配置的详细配置

配置项	说明
端口模式	mac and psk：接入用户必须先进行MAC地址认证，通过认证后使用预先配置的预共享密钥与设备协商，协商成功后可访问端口
最大用户数	控制能够通过某端口接入网络的最大用户数
MAC认证	选中“MAC认证”前的复选框
域名	在下拉框中选择已存在的域设备的缺省域为“system”。在界面左侧的导航栏中选择“认证 > AAA”，选择“域设置”页签，在域名下拉输入框中可以新建域在该选项中选择的域名仅对此无线服务生效
域共享密钥	l pass-phrase：以字符串方式输入预共享密钥，输入8～63个字符的可显示字符串。 l raw-key：以十六进制数方式输入预共享密钥，输入长度是64位的合法十六进制数。

(2) 当选择psk时，需要配置如下选项：

图2-20 psk端口安全配置页面

表2-11 psk端口安全配置的详细配置

配置项	说明
端口模式	psk：接入用户必须使用设备上预先配置的静态密钥，即PSK（Pre-Shared Key，预共享密钥）与设备进行协商，协商成功后可访问端口
最大用户数	控制能够通过某端口接入网络的最大用户数
域共享密钥	l pass-phrase：以字符串方式输入预共享密钥，输入8～63个字符的可显示字符串。 l raw-key：以十六进制数方式输入预共享密钥，输入长度是64位的合法十六进制数。

(3) 当选择userlogin-secure-ext时，需要配置的选项如“2.2.2 3. (2)”：

2.2.4 安全参数关系表

clear类型和crypto类型无线服务类型下，各参数之间的关系：

表2-12 安全参数关系表

服务类型	认证方式	加密类型	安全IE	WEP加密/密钥ID	端口模式
clear	Open-System	不可选	不可选	不可选	mac-authentication mac-else-userlogin-secure mac-else-userlogin-secure-ext userlogin-secure userlogin-secure-ext userlogin-secure-or-mac userlogin-secure-or-mac-ext
crypto	Open-System	选择	必选	WEP加密可选/密钥ID可选1234	mac and psk psk userlogin-secure-ext
	Open-System	不选择	不可选	WEP加密必选/密钥ID可选1234	mac-authentication
	Shared-Key	不可选	不可选	WEP加密必选/密钥ID可选1234	mac-authentication
	Open-System and Shared-Key	选择	必选	WEP加密可选/密钥ID可选1234	mac and psk psk userlogin-secure-ext
	Open-System and Shared-Key	不选择	不可选	WEP加密必选/密钥ID可选1234	mac-authentication

2.3 无线接入配置举例

2.3.1 无线服务典型配置举例

1. 组网需求

某部门为了保证工作人员可以随时随地访问部门内部的网络资源，需要在设备上开启无线功能实现移动办公。

具体要求如下：

l 提供SSID为service1的明文方式的无线接入服务。

l 采用目前较为常用的802.11g射频模式。

图2-21 无线服务组网图

2. 配置步骤

(1) 配置无线服务

# 创建无线服务。

在导航栏中选择“接口配置 > 无线 > 接入服务”，单击<新建>按钮，进入如图2-22所示无线服务新建页面。

图2-22 创建无线服务

l 选择射频单元为“1”。

l 设置无线服务名称为“service1”。

l 选择无线服务类型为“clear”。

l 单击<确定>按钮完成操作。

(2) 开启无线服务

在导航栏中选择“接口配置 > 无线 > 接入服务”，进入如图2-23所示页面。

图2-23 开启无线服务

l 选中“service1”前的复选框。

l 单击<开启>按钮完成操作。

(3) 开启802.11g射频（缺省情况下，802.11g处于开启状态，此步骤可选）

在导航栏中选择“接口配置 > 无线 > 射频”，进入图2-24所示射频设置页面，确认802.11g处于开启状态。

图2-24 开启802.11g射频

3. 验证配置结果

在导航栏中选择“接口配置 > 无线 > 概览”，单击“客户端”页签，可以查看成功上线的客户端。

4. 配置注意事项

配置无线服务需注意如下事项：

l 选择正确的区域码。

l 确认射频单元处于开启状态。