11-WLAN流量优化配置指导

02-用户隔离配置

1 用户隔离

1.1 用户隔离简介

用户隔离，即对使用同一公共无线服务或在同一VLAN进行通信的用户进行报文隔离，从而达到提高用户安全性、缓解设备转发压力和减少射频资源消耗的目的。

1.1.1 用户隔离方式介绍

用户隔离包括基于SSID的用户隔离和基于VLAN的用户隔离：

· 基于SSID的用户隔离：用于隔离同一SSID下的无线用户。

· 基于VLAN的用户隔离：用于隔离同一VLAN内的有线用户和无线用户。

1.1.2 基于SSID的用户隔离

基于SSID的用户隔离功能适用于集中式转发和本地转发场景下，设备开启基于SSID的用户隔离功能后，通过该SSID接入无线服务且处于同一VLAN内的无线用户之间将不能够互相访问。

1. 集中式转发场景下基于SSID的用户隔离机制

如图1-1所示，在集中式转发场景下，Client 1～Client 3分别通过AP 1～AP 3接入无线网络，Client 1和Client 2属于VLAN 100，Client 3属于VLAN 200。在AC上开启基于SSID的用户隔离功能：

· Client 1在VLAN 100内发送广播/组播报文，AC收到广播/组播报文后，不再将广播/组播报文复制及转发给网络中的AP，而是仅将去掉CAPWAP隧道封装的报文通过有线接口转发给Switch。

· Client 1在VLAN 100内向Client 2发送单播报文，AC收到单播报文后，不将报文转发给AP 2，而是直接丢弃该单播报文。

图1-1 集中式转发场景下报文路径转发示意图

2. 本地转发场景下基于SSID的用户隔离机制

该机制仅隔离同一AP下的无线客户端。

如图1-2所示，在本地转发场景下，Client 1～Client 4分别通过AP 1～AP 3接入无线网络，Client 1～Client 3属于VLAN 100，Client 4属于VLAN 200。在AP 1上开启基于SSID的用户隔离功能：

· Client 1在VLAN 100内发送广播/组播报文，AP 1收到广播/组播报文后，仅将报文通过有线接口转发给同一VLAN内的有线网络用户AP 2、AP 3和Host，不再将报文转发给无线用户Client 2。AP 2接收到报文后转发给无线用户Client 3，AP 3接收到报文后不会将其转发给Client 4。

· Client 1在VLAN 100内向Client 2发送单播报文，AP 1收到单播报文后，不将报文转发给Client 2，而是直接丢弃该单播报文。

图1-2 本地转发场景下报文路径转发示意图

1.1.3 基于VLAN的用户隔离

基于VLAN的用户隔离功能适用于集中式转发和本地转发场景下，设备在指定VLAN内开启该功能后，该VLAN内的有线用户之间、有线用户和无线用户之间以及无线用户之间（无论无线用户是否使用同一SSID接入WLAN网络）的互相访问将按照表1-1的机制进行隔离。

表1-1 基于VLAN的用户隔离处理机制

数据报文转发方式	收到单播报文	收到广播/组播报文
集中式转发	AC直接丢弃该单播报文	AC仅将报文转发给同一VLAN内的有线用户，不向同一VLAN内的无线用户转发
本地转发	Fit AP直接丢弃该单播报文	Fit AP仅将报文通过有线接口转发给同一VLAN内的有线或无线用户，不向同一VLAN内通过该AP接入的无线用户转发

1. 集中式转发场景下基于VLAN的用户隔离机制（AC接收无线用户发送的报文）

如图1-3所示，在集中式转发场景下，无线用户Client 1和Client 2通过AP 1接入无线网络，Client 3通过AP 2接入无线网络，Client 1～Client 3和有线用户Server、Host都属于VLAN 100。在AC上开启基于VLAN的用户隔离功能：

· Client 1在VLAN 100内发送广播/组播报文，AC收到广播/组播报文后，不再将广播/组播报文复制及转发给网络中的AP，而是仅将去掉CAPWAP隧道封装的报文通过有线接口转发给同一VLAN内的有线用户Host和Server。

· Client 1在VLAN 100内向Client 3发送单播报文，AC收到单播报文后，不将报文转发给AP 2，而是直接丢弃该单播报文。

图1-3 无线用户报文路径转发示意图

2. 集中式转发场景下基于VLAN的用户隔离机制（AC接收有线用户发送的报文）

如图1-4所示，在集中式转发场景下，无线用户Client 1和Client 2通过AP 1接入无线网络，Client 3通过AP 2接入无线网络，Client 1～Client 3和有线用户Server、Host都属于VLAN 100。在AC上开启基于VLAN的用户隔离功能：

· Host在VLAN 100内发送广播/组播报文，该报文转发到AC和有线网络用户Server，AC收到该广播/组播报文后不再将广播/组播报文进行CAPWAP封装转发给AP，而是直接丢弃。

· Host在VLAN 100内向Client 3发送单播报文，AC收到单播报文后，不将报文转发给AP 2，而是直接丢弃该单播报文。

图1-4 有线用户报文路径转发示意图

3. 本地转发场景下基于VLAN 的用户隔离机制（AP接收无线用户发送的报文）

如图1-5所示，在本地转发场景下，无线用户Client 1和Client 2通过AP 1接入无线网络，Client 3通过AP 2接入无线网络，Client 1～Client 3和有线用户Server、Host都属于VLAN 100。在AP 1上开启基于VLAN的用户隔离功能：

· Client 1在VLAN 100内发送广播/组播报文，AP 1接收到该报文后仅将报文通过有线接口转发给同一VLAN内的有线网络用户Server、AP 2和Host。AP 2接收到报文后转发给无线用户Client 3，而AP 1不再将报文转发给无线用户Client 2。

· Client 1在VLAN 100内向Client 3发送单播报文，AP 1收到单播报文后，不将报文转发给AP 2，而是直接丢弃该单播报文。

图1-5 无线用户报文路径转发示意图

4. 本地转发场景下基于VLAN的用户隔离机制（AP接收有线用户发送的报文）

如图1-6所示，在本地转发场景下，无线用户Client 1和Client 2通过AP 1接入无线网络，Client 3通过AP 2接入无线网络，Client 1～Client 3和有线用户Server、Host都属于VLAN 100。在AP 1上开启基于VLAN的用户隔离功能：

· Host在VLAN 100内发送广播/组播报文，该报文由Switch转发到有线网络Server、AC、AP 1和AP 2。AP 1接收到报文后不再将广播报文转发给无线用户Client 1和Client 2，而是直接丢弃；AP 2接收到报文后转发给无线用户Client 3。

· Host在VLAN 100内向Client 1发送单播报文，AP 1收到单播报文后，不将报文转发给Client 1，而是直接丢弃该单播报文。

图1-6 有线用户报文路径转发示意图

1.2 配置基于SSID的用户隔离功能

(1) 进入系统视图。

system-view

(2) 进入无线服务模板视图。

wlan service-template service-template-name

(3) 开启基于SSID的用户隔离功能。

user-isolation enable

缺省情况下，基于SSID的用户隔离功能处于关闭状态。

1.3 配置基于VLAN的用户隔离功能

1. 硬件适配关系

本特性的支持情况与设备型号有关，请以设备的实际情况为准。

产品系列	产品型号	说明
MSG系列	MSG360-4 MSG360-4-PWR MSG360-10 MSG360-10S MSG360-10-PWR MSG360-10-LTE MSG360-20 MSG360-40 MSG360-22L-PWR	不支持
WX2500H-WiNet系列	WX2510H-PWR-WiNet WX2560H-WiNet	支持
WX3500H-WiNet系列	WX3508H-WiNet	支持
WAC系列	WAC380-30 WAC380-60 WAC380-90 WAC380-120 WAC381	支持
WX2500H-LI系列	WX2540H-LI WX2560H-LI	支持
WX3500H-LI系列	WX3510H-LI WX3520H-LI	支持
AC1000系列	AC1016 AC1108	支持

2. 配置限制和指导

基于VLAN的用户隔离功能适用于集中式转发和本地转发应用场景：

· 在集中式转发应用场景下，仅需要直接在AC上开启该功能；

· 在本地转发应用场景下，需要将下面配置步骤中的命令按顺序编写到配置文件中，再通过map-configuration命令在AC上为AP指定该配置文件，通过将配置文件中的命令下发到AP的方式来开启该功能。关于配置文件的相关介绍和配置，请参见“WLAN接入配置指导”中的“WLAN接入”。

开启指定VLAN的用户隔离功能前，请务必将指定VLAN用户的网关MAC地址加入到允许转发列表中。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置指定VLAN的MAC地址允许转发列表。

user-isolation vlan vlan-list permit-mac mac-list

缺省情况下，未配置指定VLAN的MAC地址允许转发列表。

设备可以正常转发该VLAN内所有用户发送的单播/组播/广播报文或接收其他用户向该用户发送的单播报文。

(3) 开启指定VLAN的用户隔离功能。

user-isolation vlan vlan-list enable [ permit-unicast ]

缺省情况下，基于VLAN的用户隔离功能处于关闭状态。

(4) （可选）配置允许转发有线用户发送给无线用户的广播和组播报文。

user-isolation permit-broadcast

缺省情况下，隔离有线用户发往无线用户的广播和组播报文。

(5) （可选）允许指定VLAN内的无线用户接收广播和组播报文。

user-isolation vlan vlan-list permit-bmc acl [ ipv6 ] acl-number

缺省情况下，同一VLAN内的无线用户不能接收广播和组播报文。

1.4 用户隔离显示与维护

在完成上述配置后，在任意视图下执行display命令可以查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除用户隔离统计信息。

display user-isolation statistics [ vlan vlan-id ]和reset user-isolation statistics [ vlan vlan-id ]的支持情况请参见命令参考。

表1-2 用户隔离显示与维护

操作	命令
显示基于VLAN的用户隔离统计信息	display user-isolation statistics [ vlan vlan-id ]
清除基于VLAN的用户隔离统计信息	reset user-isolation statistics [ vlan vlan-id ]

1.5 用户隔离典型配置举例

本手册中的AP型号和序列号仅为举例，具体支持的AP型号和序列号请以设备的实际情况为准。