1 Bonjour网关基于AP名称过滤控制配置举例

1.1  简介

Bonjour网关基于AP名称过滤控制功能，通过AP名称标识对Bonjour服务发现进行过滤，使教师终端（如MacBook或iPad）仅能发现和访问与其接入AP名称匹配的服务。本举例介绍如何配置该功能，实现按AP名称隔离Apple TV投屏服务，避免跨区域干扰。

1.2  组网需求

如图1-1所示，网络采用集中式无线转发架构。AC旁挂在Switch1上，Switch1的以太网接口上行连接网关，下行连接到Switch2（PoE交换机），Switch2为AP提供数据连接和PoE供电。具体需求如下：

·     在Switch1上创建一个AP管理VLAN和终端业务VLAN，并且作为DHCP Server为AP和终端分配IP地址。

·     确保Switch1与AC、Switch2之间，以及Switch2与AP之间的链路能够透传管理与业务流量，实现双向可达。

·     在AC上创建两个服务模板，分别对应Apple TV专用和教师终端专用的两个SSID，以支持Apple TV和教师终端的网络接入。

图1-1 Bonjour网关基于AP名称过滤控制配置组网图

 

表1-1 数据规划表

设备	接口	IP地址
AC	Vlan-int 20（管理VLAN）	192.168.20.2/24
	Vlan-int 30（业务VLAN-Apple TV专用）	-
	Vlan-int 31（业务VLAN-教师终端专用）	-
Switch1	Vlan-int 20（管理VLAN）	192.168.20.1/24
	Vlan-int 30（业务VLAN-Apple TV专用）	192.168.30.1/24
	Vlan-int 31（业务VLAN-教师终端专用）	192.168.31.1/24

1.3  配置思路

·     完成基础网络搭建，确保AP、AC及终端间网络互通。

·     为Apple TV和教师终端分别创建独立的无线服务。

·     启用Bonjour网关功能，并配置基于AP名称的过滤策略，将策略应用到教师终端对应的服务模板上。

1.4  配置注意事项

·     配置AP的序列号时，请确保该序列号与AP唯一对应。

·     配置交换机和AP相连的接口为Access口。禁止VLAN 1报文通过，以防止VLAN 1内报文过多。

·     启用Bonjour网关功能时，需先全局开启，再确保AP组或AP已开启（AP组默认开启）。

·     在集中转发模式下，AP的业务流量和Bonjour服务发现均通过CAPWAP隧道回到AC处理。本典型配置仅在集中转发模式下生效，不适用于本地转发模式。

1.5  配置步骤

1.5.1  配置Switch1

1. 配置接口

(1)     创建VLAN 20，并配置IP地址，用于转发AC和AP间的CAPWAP隧道内的流量。

<Switch1> system-view

[Switch1] vlan 20

[Switch1-vlan20] quit

[Switch1] interface vlan-interface 20

[Switch1-Vlan-interface20] ip address 192.168.20.1 255.255.255.0

[Switch1-Vlan-interface20] quit

(2)     创建VLAN 30，并配置IP地址，终端使用该VLAN接入Apple TV专用无线网络。

[Switch1] vlan 30

[Switch1-vlan30] quit

[Switch1] interface vlan-interface 30

[Switch1-Vlan-interface30] ip address 192.168.30.1 255.255.255.0

[Switch1-Vlan-interface30] quit

(3)     创建VLAN 31，并配置IP地址，终端使用该VLAN接入教师终端专用无线网络。

[Switch1] vlan 31

[Switch1-vlan31] quit

[Switch1] interface vlan-interface 31

[Switch1-Vlan-interface31] ip address 192.168.31.1 255.255.255.0

[Switch1-Vlan-interface31] quit

(4)     配置Switch1和AC相连的接口GigabitEthernet1/0/1为Trunk类型，禁止VLAN 1报文通过，允许VLAN 20、VLAN 30和VLAN 31通过。

[Switch1] interface GigabitEthernet 1/0/1

[Switch1-GigabitEthernet1/0/1] port link-type trunk

[Switch1-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch1-GigabitEthernet1/0/1] port trunk permit vlan 20 30 31

[Switch1-GigabitEthernet1/0/1] quit

(5)     配置Switch1和Switch2相连的接口GigabitEthernet1/0/2为Trunk类型，禁止VLAN 1报文通过，允许VLAN 20通过。

[Switch1] interface GigabitEthernet 1/0/2

[Switch1-GigabitEthernet1/0/2] port link-type trunk

[Switch1-GigabitEthernet1/0/2] undo port trunk permit vlan 1

[Switch1-GigabitEthernet1/0/2] port trunk permit vlan 20

[Switch1-GigabitEthernet1/0/2] quit

2. 配置DHCP server

(1)     开启DHCP server功能。

[Switch1] dhcp enable

(2)     配置DHCP地址池2，为AP分配地址范围为192.168.20.0/24，网关地址为192.168.20.1；不参与自动分配的IP地址为AC的VLAN20接口的IP地址192.168.20.2。

[Switch1] dhcp server ip-pool 2

[Switch1-dhcp-pool-2] network 192.168.20.0 mask 255.255.255.0

[Switch1-dhcp-pool-2] gateway-list 192.168.20.1

[Switch1-dhcp-pool-2] forbidden-ip 192.168.20.2

[Switch1-dhcp-pool-2] quit

(3)     配置DHCP地址池3，为连接Apple TV网络的终端分配地址范围为192.168.30.0/24，DNS服务器地址为网关地址（实际使用过程中，请根据实际网络规划配置无线终端的DNS服务器地址），网关地址为192.168.30.1。

[Switch1] dhcp server ip-pool 3

[Switch1-dhcp-pool-3] network 192.168.30.0 mask 255.255.255.0

[Switch1-dhcp-pool-3] gateway-list 192.168.30.1

[Switch1-dhcp-pool-3] dns-list 192.168.30.1

[Switch1-dhcp-pool-3] quit

(4)     配置DHCP地址池4，为连接教师终端网络的终端分配地址范围为192.168.31.0/24，DNS服务器地址为网关地址（实际使用过程中，请根据实际网络规划配置无线终端的DNS服务器地址），网关地址为192.168.31.1。

[Switch1] dhcp server ip-pool 4

[Switch1-dhcp-pool-4] network 192.168.31.0 mask 255.255.255.0

[Switch1-dhcp-pool-4] gateway-list 192.168.31.1

[Switch1-dhcp-pool-4] dns-list 192.168.31.1

[Switch1-dhcp-pool-4] quit

1.5.2  配置Switch2

(1)     创建VLAN 20，用于转发AC和AP间CAPWAP隧道内的流量。

<Switch2> system-view

[Switch2] vlan 20

[Switch2-vlan20] quit

(2)     配置Switch2与Switch1相连的接口GigabitEthernet1/0/1为Trunk类型，禁止VLAN 1报文通过，允许VLAN 20通过。

[Switch2] interface GigabitEthernet 1/0/1

[Switch2-GigabitEthernet1/0/1] port link-type trunk

[Switch2-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch2-GigabitEthernet1/0/1] port trunk permit vlan 20

[Switch2-GigabitEthernet1/0/1] quit

(3)     配置Switch2和AP1相连的接口GigabitEthernet1/0/2为Access类型，允许VLAN 20通过，并开启PoE远程供电功能。

[Switch2] interface GigabitEthernet 1/0/2

[Switch2-GigabitEthernet1/0/2] port link-type access

[Switch2-GigabitEthernet1/0/2] port access vlan 20

[Switch2-GigabitEthernet1/0/2] poe enable

[Switch2-GigabitEthernet1/0/2] quit

(4)     配置Switch2和AP2相连的接口GigabitEthernet1/0/3为Access类型，允许VLAN 20通过，并开启PoE远程供电功能。

[Switch2] interface GigabitEthernet 1/0/3

[Switch2-GigabitEthernet1/0/3] port link-type access

[Switch2-GigabitEthernet1/0/3] port access vlan 20

[Switch2-GigabitEthernet1/0/3] poe enable

[Switch2-GigabitEthernet1/0/3] quit

1.5.3  配置AC

1. 配置接口

(1)     创建VLAN 20及其对应的VLAN接口，并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。

[AC] vlan 20

[AC-vlan20] quit

[AC] interface vlan-interface 20

[AC-Vlan-interface20] ip address 192.168.20.2 255.255.255.0

[AC-Vlan-interface20] quit

(2)     创建VLAN 30，用于承载Apple TV专用业务的流量。

[AC] vlan 30

[AC-vlan30] quit

(3)     创建VLAN 31，用于承载教师终端专用业务的流量。

[AC] vlan 31

[AC-vlan31] quit

(4)     配置AC和Switch1相连的接口GigabitEthernet1/0/1为Trunk类型，禁止VLAN 1报文通过，允许VLAN 20、VLAN 30和VLAN 31通过。

[AC] interface GigabitEthernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 20 30 31

[AC-GigabitEthernet1/0/1] quit

2. 配置无线服务

(1)     创建服务模板apple_tv，配置SSID为apple_tv，所属VLAN为30。

[AC] wlan service-template apple_tv

[AC-wlan-st-apple_tv] ssid apple_tv

[AC-wlan-st-apple_tv] vlan 30

(2)     配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。

[AC-wlan-st-apple_tv] akm mode psk

[AC-wlan-st-apple_tv] preshared-key pass-phrase simple 12345678

(3)     配置加密套件为CCMP，安全信息元素为RSN。

[AC-wlan-st-apple_tv] cipher-suite ccmp

[AC-wlan-st-apple_tv] security-ie rsn

(4)     使能服务模板。

[AC-wlan-st-apple_tv] service-template enable

[AC-wlan-st-apple_tv] quit

(5)     创建服务模板teacher，其SSID为teacher，所属VLAN为31。

[AC] wlan service-template teacher

[AC-wlan-st-teacher] ssid teacher

[AC-wlan-st-teacher] vlan 31

(6)     配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。

[AC-wlan-st-teacher] akm mode psk

[AC-wlan-st-teacher] preshared-key pass-phrase simple 12345678

(7)     配置加密套件为CCMP，安全信息元素为RSN。

[AC-wlan-st-teacher] cipher-suite ccmp

[AC-wlan-st-teacher] security-ie rsn

(8)     使能服务模板。

[AC-wlan-st-teacher] service-template enable

[AC-wlan-st-teacher] quit

3. 配置AP

(1)     创建手工AP，名称为ap1，配置型号、序列号并将无线服务模板apple_tv、teacher绑定到指定的射频接口上，并启用射频功能。

[AC] wlan ap ap1 model WA6320

[AC-wlan-ap-ap1] serial-id 219801A28N819CE0001T

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] service-template apple_tv

[AC-wlan-ap-ap1-radio-1] service-template teacher

[AC-wlan-ap-ap1-radio-1] radio enable

 

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

(2)     创建手工AP，名称为ap2，配置型号、序列号并将无线服务模板apple_tv、teacher绑定到指定的射频接口上，并启用射频功能。

[AC] wlan ap ap2 model WA6320

[AC-wlan-ap-ap2] serial-id 219801A28N819CE0002T

[AC-wlan-ap-ap2] radio 1

[AC-wlan-ap-ap2-radio-1] service-template apple_tv

[AC-wlan-ap-ap2-radio-1] service-template teacher

[AC-wlan-ap-ap2-radio-1] radio enable

[AC-wlan-ap-ap2-radio-1] quit

[AC-wlan-ap-ap2] quit

4. 配置Bonjour网关功能

(1)     配置Bonjour网关模式为自定义模式。

[AC] bonjour service-mode custom

(2)     激活Apple TV服务所需的相关服务类型。

[AC] bonjour activate service type airplay

[AC] bonjour activate service type raop

 

(3)     开启全局Bonjour网关功能。

[AC] bonjour global enable

(4)     进入AP1视图，开启该AP的Bonjour网关功能。

[AC] wlan ap ap1

[AC-wlan-ap-ap1] bonjour enable

[AC-wlan-ap-ap1] quit

(5)     进入AP2视图，开启该AP的Bonjour网关功能。

[AC] wlan ap ap2

[AC-wlan-ap-ap2] bonjour enable

[AC-wlan-ap-ap2] quit

(6)     创建名称为teacher的Bonjour策略，并在策略中配置基于AP名称的代答过滤方式。通过teacher SSID接入的终端可以查找VLAN 30（Apple TV 网络）中的服务。

[AC] bonjour policy teacher

[AC-bp-teacher] service vlan 30

[AC-bp-teacher] proxy-target ap-name

[AC-bp-teacher] quit

(7)     在SSID为teacher的服务模板上应用已创建的Bonjour策略。

[AC] wlan service-template teacher

[AC-wlan-st-teacher] bonjour apply policy teacher

[AC-wlan-st-teacher] quit

1.6  验证配置

首先，使用display bonjour policy命令查看已创建的Bonjour策略teacher的详细信息，确认其配置是否正确。

[AC] display bonjour policy teacher

Bonjour policy name                    : teacher

VLAN                                      : 30

Access-VLAN                              : Disable

Proxy-target                             : ap-name

根据显示结果可知，策略teacher已成功创建，其服务VLAN为30，并已配置为基于AP名称进行服务过滤。

接下来，通过两个典型的终端连接场景来验证基于AP名称的过滤控制是否按预期工作。

·     场景一：教师终端与Apple TV连接至同一AP

在此场景下，教师终端和Apple TV均连接到AP ap1上。使用display wlan client命令查看终端连接状态。

[AC] display wlan client

Total number of clients: 2

MAC address      User name   AP name   R   SSID       IP address     VLAN 

aa5e-3060-5d4e   N/A          ap1       1   teacher    192.168.31.2   31 

ac64-cf13-4544   N/A          ap1       1   apple_tv   192.168.30.2   30 

根据显示结果可知，教师终端（MAC：aa5e-3060-5d4e）与Apple TV（MAC：ac64-cf13-4544）均接入AP ap1。由于两者连接至同一个AP，符合teacher策略中proxy-target ap-name的过滤规则，因此教师终端能够发现并成功向同一AP下的Apple TV投屏。

·     场景二：教师终端与Apple TV连接至不同AP

在此场景下，教师终端连接到AP ap2，而Apple TV仍连接在AP ap1。再次查看终端连接状态。

[AC] display wlan client

Total number of clients: 2

MAC address      User name   AP name   R   SSID       IP address     VLAN 

aa5e-3060-5d4e   N/A          ap2       1   teacher    192.168.31.2   31 

ac64-cf13-4544   N/A          ap1       1   apple_tv   192.168.30.2   30 

根据显示结果可知，教师终端（MAC：aa5e-3060-5d4e）接入AP ap2，Apple TV（MAC：ac64-cf13-4544）接入AP ap1。由于两者连接至不同的AP，不符合teacher策略中proxy-target ap-name的过滤规则，因此教师终端在投屏时将无法发现位于另一台AP ap1上的Apple TV。

验证结果表明，基于AP名称的Bonjour网关过滤功能已正常生效，实现了按接入点隔离投屏设备的效果，有效避免了跨AP的投屏干扰。

1.7  配置文件

·     Switch1：

#

dhcp enable

#

vlan 20

#

vlan 30

#

vlan 31

#

dhcp server ip-pool 2

 network 192.168.20.0 mask 255.255.255.0

 gateway-list 192.168.20.1

 forbidden-ip 192.168.20.2

#

dhcp server ip-pool 3

 network 192.168.30.0 mask 255.255.255.0

 gateway-list 192.168.30.1

 dns-list 192.168.30.1

#

dhcp server ip-pool 4

 network 192.168.31.0 mask 255.255.255.0

 gateway-list 192.168.31.1

 dns-list 192.168.31.1

#

interface vlan-interface 20

 ip address 192.168.20.1 255.255.255.0

#

interface vlan-interface 30

 ip address 192.168.30.1 255.255.255.0

#

interface vlan-interface 31

 ip address 192.168.31.1 255.255.255.0

#

interface GigabitEthernet 1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20 30 31

#

interface GigabitEthernet 1/0/2

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20

#

·     Switch2：

#

vlan 20

#

interface GigabitEthernet 1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20

#

interface GigabitEthernet 1/0/2

 port link-type access

 port access vlan 20

 poe enable

#

interface GigabitEthernet 1/0/3

 port link-type access

 port access vlan 20

 poe enable

#

·     AC：

#

vlan 20

#

vlan 30

#

vlan 31

#

interface vlan-interface 20

 ip address 192.168.20.2 255.255.255.0

#

interface GigabitEthernet 1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20 30 31

#

 bonjour service-mode custom

 bonjour global enable

 bonjour activate service type airplay

 bonjour activate service type raop

#

bonjour policy teacher

 service vlan 30

 proxy-target ap-name

#

wlan service-template apple_tv

 ssid apple_tv

  vlan 30

 akm mode psk

 preshared-key pass-phrase simple $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM

 cipher-suite ccmp

 security-ie rsn

 client forwarding-location ac

 undo bss transition-management enable

 service-template enable

#

wlan service-template teacher

 ssid teacher

  vlan 31

 akm mode psk

 preshared-key pass-phrase simple $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM

 cipher-suite ccmp

 security-ie rsn

 client forwarding-location ac

 undo bss transition-management enable

 service-template enable

 bonjour apply policy teacher

#

wlan ap ap1 model WA7538

 serial-id 219801A28N819CE0001T

 vlan 1

 bonjour enable

 radio 1

  radio enable

  service-template apple_tv

  service-template teacher

  radio 2

 gigabitethernet 1

#

wlan ap ap2 model WA7538

 serial-id 219801A28N819CE0002T

 vlan 1

 bonjour enable

 radio 1

  radio enable

  service-template apple_tv

  service-template teacher

 radio 2 

 gigabitethernet 1

1.8  相关资料

·     《H3C 无线控制器产品 配置指导》中的“Bonjour网关配置”。

·     《H3C 无线控制器产品 命令参考》中的“Bonjour网关命令”。