- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-WLAN高可靠性配置
本章节下载： 01-WLAN高可靠性配置 (481.11 KB)
在集中式转发模式下，AC在汇聚层上承担了大量AP的状态维护和数据转发工作。AC设备的故障将导致无线网络的服务中断。双链路备份组网中，两AC互为备份，极大地降低了单AC故障造成无线网络中断的风险。
双链路备份适用于对流量传输连续性要求不高的环境。
双链路备份功能为AP提供两个上行链路，在两条链路上分别建立主隧道与备隧道。AP与主备AC仅建立CAPWAP隧道，但AC间互不感知，因而在主AC不可用等情况下，通过AC转发的数据流量在进行CAPWAP主备隧道切换时会出现短暂中断现象。当发生故障的主AC恢复正常后，可以通过配置CAPWAP隧道抢占功能来根据AP连接AC的优先级决定CAPWAP主隧道。
图1-1 双链路备份组网图
为使双链路备份功能能够正常运行，需要在两台AC设备上均完成以下配置：
完成手工AP或自动AP相关配置，确保AP可以与两台AC分别建立CAPWAP隧道连接。需要注意的是，若选择手工AP方式建立CAPWAP隧道连接，则要求两台AC上配置的AP名称相同且都配置序列号或都配置MAC地址。相关配置请参见“AP管理”。
在对AP进行配置时，可以采用如下方式：
· 针对单台AP，在AP视图下进行配置。
· 针对同一个AP组内的AP，在AP组视图下针对AP组进行配置。
· 在全局配置视图下针对所有AP进行全局配置。
对于一台AP，这些配置的生效优先级从高到低为：针对AP的配置、AP组中的配置、全局配置。
(1) 配置优先级及备AC的IP地址
(2) （可选）配置CAPWAP主隧道抢占功能
(3) （可选）配置双链路场景下AC间配置同步功能
双链路备份下，AP需要先和一个AC建立CAPWAP隧道，该隧道即为主隧道，建立CAPWAP主隧道的AC为该AP的主AC。因此，如果要为AP指定需要连接的主AC，需要在该AC上配置较高的AP连接优先级，保证AP优先与该AC建立CAPWAP隧道，确立其主AC的身份。
主AC上需要配置备AC的IP地址，当AP与主AC建立CAPWAP主隧道后，将根据主AC下发的配置与备AC建立CAPWAP备隧道。
(1) 进入系统视图。
system-view
(2) 进入AP视图或AP组视图。
¡ 进入AP视图。
wlan ap ap-name
¡ 进入AP组视图。
wlan ap-group group-name
(3) 配置AP连接AC的优先级。
priority priority
缺省情况下：
¡ AP视图：继承AP组配置。
¡ AP组视图：AP连接优先级为4。
(4) 配置备份AC的IP地址。
backup-ac { ip ipv4-address | ipv6 ipv6-address }
缺省情况下：
¡ AP视图：继承AP组配置。
¡ AP组视图：未配置备份AC的IP地址。
在双链路备份组网环境中，缺省情况下，当AP连接的主AC故障时，备AC才会将CAPWAP备份隧道转换为主隧道。当备份AC开启了CAPWAP主隧道抢占功能后，如果备份AC上配置的AP连接AC的优先级高于主AC上配置的优先级，则备份AC在延迟10分钟后将CAPWAP备份隧道切换为主隧道。
(1) 进入系统视图。
system-view
(2) 进入AP视图、AP组视图或全局配置视图。
¡ 进入AP视图。
wlan ap ap-name
¡ 进入AP组视图。
wlan ap-group group-name
¡ 进入全局配置视图。
wlan global-configuration
(3) 配置CAPWAP主隧道抢占功能。
wlan tunnel-preempt { disable | enable }
缺省情况下：
AP视图：继承AP组配置。
AP组视图：继承全局配置视图配置。
全局配置视图：CAPWAP主隧道抢占功能处于关闭状态。
随着无线网络规模的不断扩大，企业和运营商对网络的高可靠性和高可用性要求日益提升。通常在双链路部署环境中，通过部署两台AC实现备份以保障无线网络的连续性和稳定性。双链路备份机制要求主备AC上的WLAN相关配置完全一致。然而，实际业务中WLAN配置内容繁杂，手动在两台AC上进行逐条配置既费时又易出错，增加了运维难度，也存在配置不一致导致故障的风险。
AC间配置同步是指在两台AC设备之间同步WLAN相关配置的技术。该技术通过在一台AC上完成配置后，手动将相关配置同步到另一台AC，确保两台AC的WLAN相关配置一致。
· 使用AC间配置同步功能时，需要先建立SmartMC网络。
· 设备在VLAN1内建立SmartMC网络，为保证SmartMC功能正常运行，请不要对VLAN1进行安全性相关配置。
· AC间配置同步功能仅支持在TM角色的AC设备上进行配置。
· AC间配置同步功能为一次性操作，同步完成后，如果后续配置发生变更，需重新执行同步操作。
AC间配置同步配置任务如下：
(1) 开启SmartMC功能
(2) （可选）修改成员设备缺省用户admin的密码
(4) （可选）在双链路场景下触发AC间WLAN配置信息的一致性检查
配置SmartMC功能前，用户需要在管理设备和成员设备上配置如下功能：
· 开启Telnet服务，配置VTY用户线的认证方式为scheme。关于Telnet及VTY用户线的详细介绍，请参见“基础配置指导”中的“登录设备”。
· 配置本地用户及密码，并配置该用户的服务类型为Telnet、HTTP和HTTPS，RBAC角色为network-admin。关于本地用户的详细介绍，请参见“用户接入与认证配置指导”中的“AAA”。关于用户角色的详细介绍，具体请参见“基础配置指导”中的“RBAC”。
¡ 对于管理设备，所设置的本地用户的用户名和密码要和smartmc tm username username password { cipher | simple } string enable命令指定用户名、密码相同，管理设备使用此本地用户进行内部通信。
¡ 对于成员设备，请设置用户名为admin、密码为admin的本地用户。因为管理设备使用缺省用户名admin、密码admin和其建立NETCONF会话，以将其加入到SmartMC网络中。缺省情况下，设备对本地用户的密码复杂度进行了限制，请先执行password-control length 4、password-control composition type-number 1 type-length 1和undo password-control complexity user-name check命令，降低设备对admin用户密码复杂度的要求，再设置密码为admin。有关Password Control相关命令的详细介绍，请参见“安全命令参考”中的“Password Control”。
SmartMC网络构建成功后，可以在管理设备使用smartmc tc password命令修改成员设备缺省用户admin的密码，提高密码的复杂度。密码修改成功后，可以登录到成员设备，通过Password Control相关命令，恢复设备对本地用户admin的密码复杂度的限制。
· 开启基于HTTP的NETCONF over SOAP功能。关于NETCONF over SOAP功能的详细介绍，具体请参见“网络管理和监控配置指导”中的“NETCONF”。
· 全局开启LLDP功能。关于LLDP功能的详细介绍，具体请参见“网络互通配置指导”中的“LLDP”。
· 如果需要使用Web管理成员设备和管理设备，则需要开启HTTP或HTTPS服务，并配置本地用户的服务类型为HTTP或HTTPS。关于Web登录、HTTP和HTTPS的详细介绍，请参见“基础配置指导”中的“登录设备”。
SmartMC（Smart Management Center，智能管理中心）功能用于集中管理和维护网络边缘大量分散的网络设备。SmartMC网络中有且只有一台设备为管理设备，其他设备均为成员设备。通过在管理设备上进行简单的配置，即可实现对整个网络中的所有成员设备进行批量管理。
SmartMC网络元素主要有：
· TM（Topology master，管理设备）：管理SmartMC网络中所有设备。
· TC（Topology client，成员设备）：SmartMC网络中被管理的设备。
用户分别登录到管理设备和成员设备上，开启SmartMC功能。当SmartMC网络自动构建成功后，便可以在管理设备上配置相关功能，实现对成员设备的配置、管理。
一个SmartMC网络有且仅有一台管理设备。
将管理设备切换为成员设备或关闭SmartMC功能时，会清空当前运行配置中与SmartMC功能相关的配置。
SmartMC功能会占用一定的ACL资源，如果ACL资源不足，会导致SmartMC功能开启失败。请使用display acl命令查看ACL的配置和运行情况，并根据实际情况使用undo acl命令删除不需要的ACL。释放ACL资源后，再开启SmartMC功能。有关ACL的详细介绍，请参见“安全配置指导”中的“ACL”。
开启SmartMC功能时，设备会检查80端口、443端口是否被占用，因为HTTP和HTTPS服务需要占用这两个端口号，如果80端口或者443端口被占用，则SmartMC功能开启失败。
(1) 进入系统视图。
system-view
(2) 开启SmartMC功能并配置设备的角色。
smartmc { tc | tm username username password { cipher | simple } string } enable
缺省情况下，SmartMC功能处于关闭状态。
对于自动加入SmartMC网络的成员设备，管理设备会使用缺省用户名admin、密码admin与其建立NETCONF会话，并将其加入到SmartMC网络中。SmartMC网络组建完成后，建议用户修改缺省用户admin的密码，提高SmartMC网络的安全性。
该功能只能修改自动加入SmartMC网络的成员设备。
用户不能修改手动添加到SmartMC网络中的成员设备的密码，否则将导致管理设备无法对成员设备进行管理。
用户可以执行display smartmc tc verbose命令查看成员设备添加到SmartMC网络的方式。
(1) 进入系统视图。
system-view
(2) 修改成员设备缺省用户admin的密码。
smartmc tc password [ cipher ] string
缺省情况下，成员设备缺省用户admin的密码为admin。
为了保证双链路场景下两台AC设备的配置一致，建议在TM角色的AC上进行相关配置，然后将这些配置同步到TC角色的AC上。
可同步的配置包括AP视图、AP组视图、全局配置视图、Radio视图、AP组Radio视图、无线服务模板视图等视图下的配置，以及接入认证相关的配置。可以同步的具体配置请参见“附录A AC间配置同步”。
配置本功能会出现以下两种情况：
· 当两台AC设备的WLAN配置相同时，配置本功能不会同步配置。
· 当两台AC设备的WLAN配置不同时，配置本功能会在TM角色的AC设备上自动生成一个名为wlan_cfgsync.diff的diff文件，并进行WLAN配置的同步操作。您可以使用more命令查看该diff文件以查看两台AC设备之间的不同WLAN配置。
(1) 进入系统视图。
system-view
(2) 在双链路场景下同步AC间的WLAN配置。
wlan sync-configuration { from | to } peer-ac mac-address
当需要确认双链路场景下AC间WLAN配置信息是否一致时，可以通过该功能即时触发WLAN配置信息的一致性检查。当配置不一致时，则TM角色的AC设备将会自动生成一个diff文件wlan_cfgsync.diff。用户可以通过more命令查看该diff文件，并决定是否要进行WLAN配置的同步操作，以及同步的方向。
(1) 进入系统视图。
system-view
(2) 在双链路场景下触发AC间WLAN配置信息的一致性检查。
wlan sync-configuration check peer-ac mac-address
在完成上述配置后，在AC任意视图下执行display命令可以显示配置后的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令清除双链路备份的相关信息。
表1-1 双链路备份显示和维护
|
操作 |
命令 |
|
显示SmartMC功能的配置信息 |
display smartmc configuration |
|
显示成员设备的信息 |
display smartmc tc [ tc-id ] [ verbose ] |
|
显示双链路场景下AC间配置同步的历史记录 |
display wlan sync-configuration history |
|
清除双链路场景下AC间配置同步的历史记录 |
reset wlan sync-configuration history |
如图1-2所示，AP通过Access Switch、Core Switch连接到AC 1和AC 2连接，具体要求如下：
· 使用双链路备份对AC进行备份，AC 1工作在主用状态，AC 2工作在备用状态，当AC 1发生故障或主备AC切换时，AP可以通过AC 2继续提供服务，当AC 1恢复工作后，AP重新关联到AC 1。
· 在AC 1上安装License，AC 2上不安装License，通过配置AP License共享功能来实现未安装License的AC 2共享AC 1的License。
· 无线客户端Client通过VLAN 200接入网络。
· AC和AP之间跨三层网络建立连接，在DHCP server上配置AP通过Option43方式获取AC的IP地址完成三层注册。
表1-2 组网图示例接口与设备实际接口对应关系
|
组网图示例接口 |
设备实际接口 |
|
Interface1 |
GigabitEthernet1/0/1 |
|
Interface2 |
GigabitEthernet1/0/2 |
|
Interface3 |
GigabitEthernet1/0/3 |
|
Interface4 |
GigabitEthernet1/0/4 |
(1) 安装License
# 配置AC 1安装License，配置步骤略。
(2) 配置AC1的接口
# 创建VLAN 20及其对应的VLAN接口，并配置Vlan-interface20接口的IP地址为10.1.1.1/16，AP将通过该IP地址与AC 1建立CAPWAP隧道。
<AC1> system-view
[AC1] vlan 20
[AC1-vlan20] quit
[AC1] interface vlan-interface 20
[AC1-Vlan-interface20] ip address 10.1.1.1 16
[AC1-Vlan-interface20] quit
# 创建VLAN 200，AC 1需要使用该VLAN转发无线客户端数据报文。
[AC1] vlan 200
[AC1-vlan200] quit
# 将AC 1与Core Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk，允许VLAN 20和VLAN 200通过。
[AC1] interface gigabitethernet 1/0/1
[AC1-GigabitEthernet1/0/1] port link-type trunk
[AC1-GigabitEthernet1/0/1] port trunk permit vlan 20 200
[AC1-GigabitEthernet1/0/1] quit
(3) 配置三层路由
# 配置AC 1缺省路由下一跳为Core Switch的IP地址10.1.1.3。
[AC1] ip route-static 0.0.0.0 0 10.1.1.3
(4) 配置双链路备份功能
# 创建AP组group1并配置AP连接的优先级为7。
[AC1] wlan ap-group group1
[AC1-wlan-ap-group-group1] priority 7
# 配置备AC IP地址为10.1.1.2。
[AC1-wlan-ap-group-group1] backup-ac ip 10.1.1.2
# 配置CAPWAP隧道抢占功能，当AC故障恢复后AP可以重新关联到主AC。
[AC1-wlan-ap-group-group1] wlan tunnel-preempt enable
[AC1-wlan-ap-group-group1] quit
(5) 配置AP License共享功能
# 配置AP License共享功能。
[AC1] wlan ap-license-group
[AC1-wlan-als-group] local ip 10.1.1.1
[AC1-wlan-als-group] member ip 10.1.1.2
[AC1-wlan-als-group] ap-license-synchronization enable
[AC1-wlan-als-group] quit
(6) 配置无线服务
# 创建无线服务模板1，并进入无线服务模板视图。
[AC1] wlan service-template 1
# 配置SSID为service。
[AC1-wlan-st-1] ssid service
# 配置无线客户端上线后将被加入到VLAN 200。
[AC1-wlan-st-1] vlan 200
# 配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。
[AC1-wlan-st-1] akm mode psk
[AC1-wlan-st-1] preshared-key pass-phrase simple 12345678
# 配置加密套件为CCMP，安全信息元素为RSN。
[AC1-wlan-st-1] cipher-suite ccmp
[AC1-wlan-st-1] security-ie rsn
# 使能无线服务模板。
[AC1-wlan-st-1] service-template enable
[AC1-wlan-st-1] quit
(7) 配置手工AP
# 创建AP，配置AP名称为ap1，型号名称选择WA6320，并配置序列号为219801A28N819CE0002T。
[AC1] wlan ap ap1 model WA6320
[AC1-wlan-ap-ap1] serial-id 219801A28N819CE0002T
[AC1-wlan-ap-ap1] quit
(8) 配置AP入组
# 配置AP名称入组规则。
[AC1] wlan ap-group group1
[AC1-wlan-ap-group-group1] ap ap1
(9) 绑定无线服务
# 将无线服务模板1绑定到AP组group1下的Radio 2上。
[AC1-wlan-ap-group-group1] ap-model WA6320
[AC1-wlan-ap-group-group1-ap-model-WA6320] radio 2
[AC1-wlan-ap-group-group1-ap-model-WA6320-radio-2] service-template 1
# 开启Radio 2的射频功能。
[AC1-wlan-ap-group-group1-ap-model-WA6320-radio-2] radio enable
[AC1-wlan-ap-group-group1-ap-model-WA6320-radio-2] quit
[AC1-wlan-ap-group-group1-ap-model-WA6320] quit
(1) 配置AC2的接口
# 创建VLAN 20及其对应的VLAN接口，并配置Vlan-interface20接口的IP地址为10.1.1.2/16，AP将通过该IP地址与AC 2建立CAPWAP隧道。
<AC2> system-view
[AC2] vlan 20
[AC2-vlan20] quit
[AC2] interface Vlan-interface 20
[AC2-Vlan-interface20] ip address 10.1.1.2 16
[AC2-Vlan-interface20] quit
# 创建VLAN 200，AC 2需要使用该VLAN转发无线客户端数据报文。
[AC2] vlan 200
[AC2-vlan200] quit
# 将AC 2与Core Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk，允许VLAN 20和VLAN 200通过。
[AC2] interface gigabitethernet 1/0/1
[AC2-GigabitEthernet1/0/1] port link-type trunk
[AC2-GigabitEthernet1/0/1] port trunk permit vlan 20 200
[AC2-GigabitEthernet1/0/1] quit
(2) 配置三层路由
# 配置AC 2缺省路由下一跳为Core Switch的IP地址10.1.1.3。
[AC2] ip route-static 0.0.0.0 0 10.1.1.3
(3) 配置双链路备份功能
# 创建AP组group1并配置备AC IP地址为10.1.1.1，AP连接的优先级无需配置，保持缺省配置即可。
[AC2] wlan ap-group group1
[AC2-wlan-ap-group-group1] backup-ac ip 10.1.1.1
[AC2-wlan-ap-group-group1] quit
(4) 配置AP License共享功能
# 配置AP License共享功能。
[AC2] wlan ap-license-group
[AC2-wlan-als-group] local ip 10.1.1.2
[AC2-wlan-als-group] member ip 10.1.1.1
[AC2-wlan-als-group] ap-license-synchronization enable
[AC2-wlan-als-group] quit
(5) 配置无线服务
# 创建无线服务模板1，并进入无线服务模板视图。
[AC2] wlan service-template 1
# 配置SSID为service。
[AC2-wlan-st-1] ssid service
# 配置无线客户端上线后将被加入到VLAN 200。
[AC2-wlan-st-1] vlan 200
# 配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。
[AC2-wlan-st-1] akm mode psk
[AC2-wlan-st-1] preshared-key pass-phrase simple 12345678
# 配置加密套件为CCMP，安全信息元素为RSN。
[AC2-wlan-st-1] cipher-suite ccmp
[AC2-wlan-st-1] security-ie rsn
# 使能无线服务模板。
[AC2-wlan-st-1] service-template enable
[AC2-wlan-st-1] quit
(6) 配置手工AP
# 创建AP，配置AP名称为ap1，型号名称选择WA6320，并配置序列号为219801A28N819CE0002T。
[AC2] wlan ap ap1 model WA6320
[AC2-wlan-ap-ap1] serial-id 219801A28N819CE0002T
[AC2-wlan-ap-ap1] quit
(7) 配置AP入组
# 配置AP名称入组规则。
[AC2] wlan ap-group group1
[AC2-wlan-ap-group-group1] ap ap1
(8) 绑定无线服务
# 将无线服务模板1绑定到AP组group1下的Radio 2上。
[AC2-wlan-ap-group-group1] ap-model WA6320
[AC2-wlan-ap-group-group1-ap-model-WA6320] radio 2
[AC2-wlan-ap-group-group1-ap-model-WA6320-radio-2] service-template 1
# 开启Radio 2的射频功能。
[AC2-wlan-ap-group-group1-ap-model-WA6320-radio-2] radio enable
[AC2-wlan-ap-group-group1-ap-model-WA6320-radio-2] quit
[AC2-wlan-ap-group-group1-ap-model-WA6320] quit
(1) 配置Core Switch接口
# 创建VLAN 100和VLAN 20，并配置IP地址，用于转发AC和AP间CAPWAP隧道内的流量。
<Core Switch> system-view
[Core Switch] vlan 100
[Core Switch-vlan100] quit
[Core Switch] interface vlan-interface 100
[Core Switch-Vlan-interface100] ip address 10.3.1.1 16
[Core Switch-Vlan-interface100] quit
[Core Switch] vlan 20
[Core Switch-vlan20] quit
[Core Switch] interface vlan-interface 20
[Core Switch-Vlan-interface20] ip address 10.1.1.3 16
[Core Switch-Vlan-interface20] quit
# 创建VLAN 200，并为该接口配置IP地址。Client使用该VLAN接入无线网络。
[Core Switch] vlan 200
[Core Switch-vlan200] quit
[Core Switch] interface vlan-interface 200
[Core Switch-Vlan-interface200] ip address 10.4.1.1 16
[Core Switch-Vlan-interface200] quit
# 配置Core Switch与AC 1相连的GigabitEthernet1/0/1接口的属性为Trunk，允许VLAN 20和VLAN 200通过。
[Core Switch] interface gigabitethernet 1/0/1
[Core Switch-GigabitEthernet1/0/1] port link-type trunk
[Core Switch-GigabitEthernet1/0/1] port trunk permit vlan 20 200
[Core Switch-GigabitEthernet1/0/1] quit
# 配置Core Switch与AC 2相连的GigabitEthernet1/0/2接口属性为Trunk，允许VLAN 20和VLAN 200通过。
[Core Switch] interface gigabitethernet 1/0/2
[Core Switch-GigabitEthernet1/0/2] port link-type trunk
[Core Switch-GigabitEthernet1/0/2] port trunk permit vlan 20 200
[Core Switch-GigabitEthernet1/0/2] quit
# 配置Core Switch与Access Switch相连的GigabitEthernet1/0/3接口属性为Trunk，允许VLAN 100通过，当前Trunk口的PVID为100。
[Core Switch] interface gigabitethernet 1/0/3
[Core Switch-GigabitEthernet1/0/3] port link-type trunk
[Core Switch-GigabitEthernet1/0/3] port trunk permit vlan 100
[Core Switch-GigabitEthernet1/0/3] port trunk pvid vlan 100
[Core Switch-GigabitEthernet1/0/3] quit
(2) 配置DHCP功能
# 配置DHCP地址池100，用于为AP分配IP地址，地址范围为10.3.0.0/16，网关地址为10.3.1.1。
[Core Switch] dhcp server ip-pool 100
[Core Switch-dhcp-pool-100] network 10.3.0.0 mask 255.255.0.0
[Core Switch-dhcp-pool-100] gateway-list 10.3.1.1
# 配置DHCP Option43的内容为AC 1和AC 2的十六进制IP地址。
[Core Switch-dhcp-pool-100] option 43 hex 800b0000020a0101010a010102
[Core Switch-dhcp-pool-100] quit
# 配置DHCP地址池2为Client分配地址范围为10.4.0.0/16，为Client分配的DNS服务器地址为网关地址（实际使用过程中请根据实际网络规划配置无线客户端的DNS服务器地址），网关地址为10.4.1.1。
[Core Switch] dhcp server ip-pool 2
[Core Switch-dhcp-pool-2] network 10.4.0.0 mask 255.255.0.0
[Core Switch-dhcp-pool-2] gateway-list 10.4.1.1
[Core Switch-dhcp-pool-2] dns-list 10.4.1.1
[Core Switch-dhcp-pool-2] quit
# 开启DHCP server服务。
[Core Switch] dhcp enable
(3) 配置Core Switch连接外网
# 创建VLAN 400，并配置IP地址，用于转发去往外网的流量。
[Core Switch] vlan 400
[Core Switch-vlan400] quit
[Core Switch] interface vlan-interface 400
[Core Switch-Vlan-interface400] ip address 10.10.1.1 16
[Core Switch-Vlan-interface400] quit
# 配置Core Switch与外网相连的GigabitEthernet1/0/4接口属性为Access，并允许VLAN 400通过。
[Core Switch] interface gigabitethernet 1/0/4
[Core Switch-GigabitEthernet1/0/4] port link-type access
[Core Switch-GigabitEthernet1/0/4] port access vlan 400
[Core Switch-GigabitEthernet1/0/4] quit
# 配置Core Switch缺省路由下一跳为Router的IP地址10.10.1.2。
[Core Switch] ip route-static 0.0.0.0 0 10.10.1.2
# 创建VLAN 100，VLAN 100为AP接入的VLAN。
<Access Switch> system-view
[Access Switch] vlan 100
[Access Switch-vlan100] quit
# 配置Access Switch与Core Switch相连的接口GigabitEthernet1/0/1为Trunk类型，允许VLAN 100通过，当前Trunk口的PVID为100。
[Access Switch] interface gigabitethernet 1/0/1
[Access Switch-GigabitEthernet1/0/1] port link-type trunk
[Access Switch-GigabitEthernet1/0/1] port trunk permit vlan 100
[Access Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100
[Access Switch-GigabitEthernet1/0/1] quit
# 配置Access Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过。
[Access Switch] interface gigabitethernet 1/0/2
[Access Switch-GigabitEthernet1/0/2] port link-type access
[Access Switch-GigabitEthernet1/0/2] port access vlan 100
# 开启PoE接口远程供电功能。
[Access Switch-GigabitEthernet1/0/2] poe enable
[Access Switch-GigabitEthernet1/0/2] quit
(1) 在AC 1上通过display wlan ap-license-group命令查看AP License共享组已经建立，AP License共享组内的License总数为AC 1和AC 2安装的License总和。
<AC1> display wlan ap-license-group
Group total licenses: 256
Group used licenses: 1
AP license synchronization: Enabled
Local IP: 10.1.1.1
Local role: Master
Member information: 1
IP address Total Used Member role State Online duration
10.1.1.2 0 0 Master UP 00hr 1min 51sec
(2) 通过display wlan ap all命令在AC 1查看AP的状态为R/M。
<AC1> display wlan ap all
Total number of APs: 1
Total number of connected APs: 1
Total number of connected manual APs: 1
Total number of connected auto APs: 0
Total number of connected common APs: 1
Total number of connected WTUs: 0
Total number of inside APs: 0
Maximum supported APs: 384
Remaining APs: 383
Total AP licenses: 256
Local AP licenses: 256
Server AP licenses: 0
Remaining local AP licenses: 255
Sync AP licenses: 0
AP information
State : I = Idle, J = Join, JA = JoinAck, IL = ImageLoad
C = Config, DC = DataCheck, R = Run, M = Master, B = Backup
Online time : Day:Hour:Minute:Second
AP name APID State Model Serial ID G
roup name Online time Clients Mode IP address
ap1 1 R/M WA6320 219801A28N819CE0002T
group1 0:00:00:46 1 Fit 10.3.1.2
(3) 通过display wlan ap all命令在AC 2查看AP的状态为R/B，共享AP License数量为256。
<AC2> display wlan ap all
Total number of APs: 1
Total number of connected APs: 1
Total number of connected manual APs: 1
Total number of connected auto APs: 0
Total number of connected common APs: 1
Total number of connected WTUs: 0
Total number of inside APs: 0
Maximum supported APs: 384
Remaining APs: 383
Total AP licenses: 256
Local AP licenses: 256
Server AP licenses: 0
Remaining local AP licenses: 256
Sync AP licenses: 256
AP information
State : I = Idle, J = Join, JA = JoinAck, IL = ImageLoad
C = Config, DC = DataCheck, R = Run, M = Master, B = Backup
Online time : Day:Hour:Minute:Second
AP name APID State Model Serial ID G
roup name Online time Clients Mode IP address
ap1 1 R/B WA6320 219801A28N819CE0002T
group1 0:00:00:56 1 Fit 10.3.1.2
(4) 模拟AC 1故障，将AC 1的Vlan-interface20接口关闭，等待一段时间（根据CAPWAP隧道保活时间而定，默认为30秒，集中转发模式时，期间流量会中断），AP会切换至AC 2上线，在AC 2上通过display wlan ap all命令查看AP的状态为R/M。
<AC2> display wlan ap all
Total number of APs: 1
Total number of connected APs: 1
Total number of connected manual APs: 1
Total number of connected auto APs: 0
Total number of connected common APs: 1
Total number of connected WTUs: 0
Total number of inside APs: 0
Maximum supported APs: 384
Remaining APs: 383
Total AP licenses: 256
Local AP licenses: 256
Server AP licenses: 0
Remaining local AP licenses: 255
Sync AP licenses: 256
AP information
State : I = Idle, J = Join, JA = JoinAck, IL = ImageLoad
C = Config, DC = DataCheck, R = Run, M = Master, B = Backup
Online time : Day:Hour:Minute:Second
AP name APID State Model Serial ID G
roup name Online time Clients Mode IP address
ap1 1 R/M WA6320 219801A28N819CE0002T
group1 0:00:30:46 1 Fit 10.3.1.2
(5) 模拟AC 1故障恢复，开启AC 1的Vlan-interface20接口，由于配置了CAPWAP隧道抢占功能，等待一段时间后，AP会重新在AC 1上线，通过display wlan ap all命令在AC 1上查看AP的状态恢复为R/M，在AC 2 上查看AP的状态恢复为R/B。
· AC1
#
vlan 20
#
vlan 200
#
wlan service-template 1
ssid service
vlan 200
akm mode psk
preshared-key pass-phrase cipher $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM
cipher-suite ccmp
security-ie rsn
service-template enable
#
interface Vlan-interface20
ip address 10.1.1.1 255.255.0.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 20 200
#
ip route-static 0.0.0.0 0 10.1.1.3
#
wlan ap-group group1
priority 7
wlan tunnel-preempt enable
backup-ac ip 10.1.1.2
ap ap1
ap-model WA6320
radio 2
radio enable
service-template 1
#
wlan ap ap1 model WA6320
serial-id 219801A28N819CE0002T
#
wlan ap-license-group
local ip 10.1.1.1
member ip 10.1.1.2
ap-license-synchronization enable
#
· AC2
#
vlan 20
#
vlan 200
#
wlan service-template 1
ssid service
vlan 200
akm mode psk
preshared-key pass-phrase cipher $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM
cipher-suite ccmp
security-ie rsn
service-template enable
#
interface Vlan-interface20
ip address 10.1.1.2 255.255.0.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 20 200
#
ip route-static 0.0.0.0 0 10.1.1.3
#
wlan ap-group group1
backup-ac ip 10.1.1.1
ap ap1
ap-model WA6320
radio 2
radio enable
service-template 1
#
wlan ap ap1 model WA6320
serial-id 219801A28N819CE0002T
#
wlan ap-license-group
local ip 10.1.1.2
member ip 10.1.1.1
ap-license-synchronization enable
#
· Core Switch
#
dhcp enable
#
vlan 20
#
vlan 100
#
vlan 200
#
vlan 400
#
dhcp server ip-pool 100
gateway-list 10.3.1.1
network 10.3.0.0 mask 255.255.0.0
option 43 hex 800b0000020a0101010a010102
#
dhcp server ip-pool 2
gateway-list 10.4.1.1
network 10.4.0.0 mask 255.255.0.0
dns-list 10.4.1.1
#
interface Vlan-interface20
ip address 10.1.1.3 255.255.0.0
#
interface Vlan-interface100
ip address 10.3.1.1 255.255.0.0
#
interface Vlan-interface200
ip address 10.4.1.1 255.255.0.0
#
interface Vlan-interface400
ip address 10.10.1.1 255.255.0.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 20 200
#
interface GigabitEthernet1/0/2
port link-type trunk
port trunk permit vlan 20 200
#
interface GigabitEthernet1/0/3
port link-type trunk
port trunk permit vlan 100
port trunk pvid vlan 100
#
interface GigabitEthernet1/0/4
port link-type access
port access vlan 400
#
ip route-static 0.0.0.0 0 10.10.1.2
#
· Access Switch
#
vlan 100
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 100
port trunk pvid vlan 100
#
interface GigabitEthernet1/0/2
port link-type access
port access vlan 100
poe enable
#
为了保证双链路场景下两台AC设备的配置一致，建议在TM角色的AC上进行相关配置，然后将这些配置同步到TC角色的AC上。
可同步的配置包括AP视图、AP组视图、全局配置视图、Radio视图、AP组Radio视图、无线服务模板视图等视图下的配置，以及接入认证相关的配置。
随着软件版本的更新，可同步配置会不断迭代更新。具体可同步的配置请根据设备的实际情况来确认。
|
视图 |
命令 |
描述 |
说明 |
|
系统视图 |
wlan global-configuration |
命令用来进入全局配置视图 |
执行命令后会进入视图，这些视图及其子视图下面的命令都会同步，但如下命令不会同步： · control-address { ip ipv4-address | ipv6 ipv6-address } · priority priority · backup-ac { ip ipv4-address | ipv6 ipv6-address } · portal { bas-ip ipv4-address | bas-ipv6 ipv6-address } · nas-id nas-identifier · nas-port-id nas-port-id · nas-ip { ipv4-address | ipv6 ipv6-address } |
|
wlan ap |
命令用来创建手工AP，并进入AP视图。如果指定的AP已经存在，则直接进入AP视图 |
||
|
wlan ap-group |
命令用来创建AP组，并进入AP组视图。如果指定的AP组已经存在，则直接进入AP组视图 |
||
|
wlan service-template |
命令用来创建无线服务模板，并进入无线服务模板视图。如果指定的无线服务模板已经存在，则直接进入无线服务模板视图 |
||
|
user-profile |
命令用来创建User Profile，并进入User Profile视图。如果指定的User Profile已经存在，则直接进入User Profile视图 |
||
|
configuration profile |
命令用来创建一个配置模板，指定AP的型号，并进入配置模板视图。如果指定的配置模板已经存在，则直接进入配置模板视图 |
||
|
wlan accounting-policy |
命令用来创建计费策略，并进入计费策略视图。如果指定的计费策略已经存在，则直接进入计费策略视图 |
||
|
radius dynamic-author server |
命令用来开启RADIUS DAE服务，并进入RADIUS DAE服务器视图 |
||
|
radius scheme |
命令用来创建RADIUS方案，并进入RADIUS方案视图。如果指定的RADIUS方案已经存在，则直接进入RADIUS方案视图 |
||
|
vlan-group |
命令用来创建一个VLAN组，并进入VLAN组视图。如果指定的VLAN组已经存在，则直接进入该VLAN组视图 |
||
|
vlan |
命令用来创建VLAN，并进入VLAN视图。如果指定的VLAN已存在，则直接进入该VLAN的视图 |
||
|
portal server |
命令用来创建Portal认证服务器，并进入Portal认证服务器视图。如果指定的Portal认证服务器已经存在，则直接进入Portal认证服务器视图 |
||
|
domain |
命令用来创建ISP域，并进入ISP域视图。如果指定的ISP域已经存在，则直接进入ISP域视图 |
||
|
eap-profile |
命令用来创建EAP认证方案，并进入EAP认证方案视图。如果指定的EAP认证方案已存在，则直接进入EAP认证方案视图 |
||
|
portal local-web-server |
命令用来开启本地Portal服务，并进入基于HTTP/HTTPS协议的本地Portal Web服务视图 |
||
|
portal extend-auth-server |
命令用来创建第三方认证服务器，并进入第三方认证服务器视图。如果指定的第三方认证服务器已经存在，则直接进入第三方认证服务器视图 |
||
|
portal mac-trigger-server |
命令用来创建MAC绑定服务器，并进入MAC绑定服务器视图。如果指定的MAC绑定服务器已经存在，则直接进入MAC绑定服务器视图 |
||
|
系统视图 |
acl logging interval |
命令用来配置报文过滤日志信息的生成与发送周期，同时开启报文的首包上送功能 |
- |
|
acl trap interval |
命令用来配置报文过滤告警信息的生成与发送周期 |
||
|
wlan nas-port-id format |
命令用来配置无线客户端的NAS-Port-ID属性的格式 |
||
|
radius session-control enable |
命令用来开启RADIUS session control功能 |
||
|
port-security enable |
命令用来开启端口安全 |
||
|
wlan client-security authentication clear-previous-connection |
命令用来开启已认证无线客户端再次上线认证清除旧连接功能 |
||
|
wlan authentication optimization |
命令用来配置802.1X认证、MAC地址认证及二层Portal认证的认证成功率、在线用户异常下线率的优化参数值 |
||
|
wlan password-failure-limit enable |
命令用来开启密码错误限制功能 |
||
|
dot1x authentication-method |
命令用来配置802.1X系统的认证方法 |
||
|
dot1x domain-delimiter |
命令用来配置802.1X支持的域名分隔符 |
||
|
dot1x retry |
命令用来设置设备向接入用户发送认证请求报文的最大次数 |
||
|
dot1x timer |
命令用来配置802.1X的定时器参数 |
||
|
domain default enable |
命令用来配置系统缺省的ISP域，所有在登录时没有提供ISP域名的用户都属于这个域 |
||
|
domain if-unknown |
命令用来为未知域名的用户指定ISP域 |
||
|
mac-authentication access-user log enable |
命令用来开启MAC地址认证接入用户日志信息功能 |
||
|
mac-authentication authentication-method |
命令用来配置MAC地址认证采用的认证方法 |
||
|
mac-authentication timer |
命令用来配置MAC地址认证的定时器参数 |
||
|
mac-authentication user-name-format |
命令用来配置MAC地址认证用户的账号格式 |
||
|
dns server |
命令用来配置域名服务器的IPv4地址 |
||
|
dns snooping enable |
命令用来开启DNS Snooping功能 |
当AC的上行链路出现故障时，该AC将无法提供访问外部网络的服务，而已关联的无线客户端无法感知AC上行链路的故障，因此不能自动切换接入的无线网络。通过配置WLAN上行链路检测功能，可以将AC下的AP射频状态与上行链路状态进行关联，及时关闭不能正常提供服务的射频，使无线客户端能够主动切换至其它无线网络。
上行链路检测功能的实现方式是将监测模块、Track项与WLAN上行链路检测模块进行联动。监测模块负责监测上行链路的可达性；Track模块根据监测模块的监测结果改变Track项的状态；WLAN上行链路检测模块根据Track项的状态调整射频的工作状态：
· 如果Track项状态为Positive，则允许开启AP射频。
· 如果Track项状态为Negative，则关闭AP射频。
· 如果Track项状态为NotReady，则不更改AP射频的当前状态。
有关Track的详细介绍和配置，请参见“可靠性配置指导”中的“Track”。
为使WLAN上行链路检测功能能够正常运行，需要先配置对上行链路进行监测的监测模块，并将配置的监测模块与Track进行联动。有关Track支持联动的监测模块类型和Track与监测模块进行联动的详细配置请参见“可靠性配置指导”中的“Track”。
(1) 进入系统视图。
system-view
(2) 配置WLAN上行链路检测与Track项联动。
wlan uplink track track-entry-number
缺省情况下，未配置WLAN上行链路检测与任何Track项联动。
AC 1管理的AP 1和AC 2管理的AP 2共同为一个区域的无线客户端提供服务。要求在AC上配置WLAN上行链路检测功能，使用NQA测试组监测上行链路可达性。当AC发现上行链路出现故障，其管理的AP的Radio将被关闭，让客户端仅可以通过上行链路正常工作的AC下的AP接入网络。
图2-1 WLAN上行链路检测典型组网图
(1) 配置AC 1
# 创建ICMP-echo类型的NQA测试组。
<AC1> system-view
[AC1] nqa entry admin test
[AC1-nqa-admin-test] type icmp-echo
# 配置ICMP-echo测试操作中探测报文的目的IPv4地址为10.1.1.1。
[AC1-nqa-admin-test-icmp-echo] destination ip 10.1.1.1
# 配置测试频率为100ms。
[AC1-nqa-admin-test-icmp-echo] frequency 100
# 建立序号为1的联动项，连续探测失败5次，触发其他模块联动。
[AC1-nqa-admin-test-icmp-echo] reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
[AC1-nqa-admin-test-icmp-echo] quit
# 启动ICMP-echo测试操作。
[AC1] nqa schedule admin test start-time now lifetime forever
# 创建与NQA测试组（管理员为admin，操作标签为test）中联动项1关联的Track项1。
[AC1] track 1 nqa entry admin test reaction 1
# 配置上行链路检测与Track项1关联。
[AC1] wlan uplink track 1
# 创建VLAN 400，并配置IP地址，用于转发去往上行链路的流量。
[AC1] vlan 400
[AC1-vlan400] quit
[AC1] interface vlan-interface 400
[AC1-Vlan-interface400] ip address 10.1.1.2 24
[AC1-Vlan-interface400] quit
# 配置AC1与上行链路相连的GigabitEthernet1/0/1接口属性为Access，并允许VLAN 400通过。
[AC1] interface gigabitethernet 1/0/1
[AC1-GigabitEthernet1/0/1] port link-type access
[AC1-GigabitEthernet1/0/1] port access vlan 400
[AC1-GigabitEthernet1/0/1] quit
# 配置AC1缺省路由下一跳为Router的IP地址10.1.1.1。
[AC1] ip route-static 0.0.0.0 0 10.1.1.1
(2) 配置AC 2
# 创建ICMP-echo类型的NQA测试组。
<AC2> system-view
[AC2] nqa entry admin test
[AC2-nqa-admin-test] type icmp-echo
# 配置ICMP-echo测试操作中探测报文的目的IPv4地址为11.1.1.1。
[AC2-nqa-admin-test-icmp-echo] destination ip 11.1.1.1
# 配置测试频率为100ms。
[AC2-nqa-admin-test-icmp-echo] frequency 100
# 建立序号为1的联动项，连续探测失败5次，触发其他模块联动。
[AC2-nqa-admin-test-icmp-echo] reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
[AC2-nqa-admin-test-icmp-echo] quit
# 启动ICMP-echo测试操作。
[AC2] nqa schedule admin test start-time now lifetime forever
# 创建与NQA测试组（管理员为admin，操作标签为test）中联动项1关联的Track项1。
[AC2] track 1 nqa entry admin test reaction 1
# 配置上行链路检测与Track项1关联。
[AC2] wlan uplink track 1
# 创建VLAN 400，并配置IP地址，用于转发去往上行链路的流量。
[AC2] vlan 400
[AC2-vlan400] quit
[AC2] interface vlan-interface 400
[AC2-Vlan-interface400] ip address 11.1.1.2 24
[AC2-Vlan-interface400] quit
# 配置AC2与上行链路相连的GigabitEthernet1/0/1接口属性为Access，并允许VLAN 400通过。
[AC2] interface gigabitethernet 1/0/1
[AC2-GigabitEthernet1/0/1] port link-type access
[AC2-GigabitEthernet1/0/1] port access vlan 400
[AC2-GigabitEthernet1/0/1] quit
# 配置AC2缺省路由下一跳为Router的IP地址11.1.1.1。
[AC2] ip route-static 0.0.0.0 0 11.1.1.1
(3) 配置Router
# 配置Router与Switch 1相连的接口GigabitEthernet1/0/1的IP地址。
<Router> system-view
[Router] interface gigabitethernet 1/0/1
[Router-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0
[Router-GigabitEthernet1/0/1] quit
# 配置Router与Switch 2相连的接口GigabitEthernet1/0/2的IP地址。
[Router] interface gigabitethernet 1/0/2
[Router-GigabitEthernet1/0/2] ip address 11.1.1.1 255.255.255.0
[Router-GigabitEthernet1/0/2] quit
# 完成以上配置后，通过display track命令和display wlan ap命令查看Track项的信息和AP的信息可以看到当Track项状态为Positive时，AP的射频状态为Up。
· 查看Track项1的信息。
<AC1> display track 1
Track ID: 1
State: Positive
Duration: 0 days 0 hours 0 minutes 32 seconds
Tracked object type: NQA
Notification delay: Positive 0, Negative 0 (in seconds)
Tracked object:
NQA entry: admin test
Reaction: 1
Remote IP/URL: 10.1.1.1
Local IP: --
Interface: --
· 查看ap1的详细信息。
<AC1> display wlan ap name ap1 verbose
AP name : ap1
AP ID : 1
……略……
Radio 1:
BSSID : d461-fe59-4d20
State : Up
……略……
Radio 2:
BSSID : d461-fe59-4d30
State : Up
……略……
# 当Track项状态为Negative时，AP的射频状态为Down。
· 查看Track项1的信息。
<AC1> display track 1
Track ID: 1
State: Negative
Duration: 0 days 0 hours 0 minutes 29 seconds
Tracked object type: NQA
Notification delay: Positive 0, Negative 0 (in seconds)
Tracked object:
NQA entry: admin test
Reaction: 1
Remote IP/URL: 10.1.1.1
Local IP: --
Interface: --
· 查看ap1的详细信息。
<AC1> display wlan ap name ap1 verbose
AP name : ap1
AP ID : 1
……略……
Radio 1:
BSSID : d461-fe59-4d20
State : Down
……略……
Radio 2:
BSSID : d461-fe59-4d30
State : Down
……略……
· AC1
#
track 1 nqa entry admin test reaction 1
#
vlan 400
#
nqa entry admin test
type icmp-echo
destination ip 10.1.1.1
frequency 100
reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
#
nqa schedule admin test start-time now lifetime forever
#
interface Vlan-interface400
ip address 10.1.1.2 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-mode bridge
port access vlan 400
#
ip route-static 0.0.0.0 0 10.1.1.1
#
wlan uplink track 1
#
· AC2
#
track 1 nqa entry admin test reaction 1
#
vlan 400
#
nqa entry admin test
type icmp-echo
destination ip 11.1.1.1
frequency 100
reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
#
nqa schedule admin test start-time now lifetime forever
#
interface Vlan-interface400
ip address 11.1.1.2 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-mode bridge
port access vlan 400
#
ip route-static 0.0.0.0 0 11.1.1.1
#
wlan uplink track 1
#
· Router
#
interface GigabitEthernet1/0/1
port link-mode route
ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet1/0/2
port link-mode route
ip address 11.1.1.1 255.255.255.0
#
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
