1 Bonjour网关基于AP组过滤控制配置举例

1.1  简介

Bonjour网关基于AP组过滤控制功能，通过AP组标识对Bonjour服务发现进行过滤，使教师终端（如MacBook或iPad）仅能发现和访问与其接入AP组匹配的服务。本举例介绍如何配置该功能，实现按AP组隔离Apple TV投屏服务，避免跨区域干扰。

1.2  组网需求

如图1-1所示，网络采用集中式无线转发架构。AC旁挂在Switch1上，Switch1的以太网接口上行连接网关，下行连接到Switch2（PoE交换机），Switch2为AP提供数据连接和PoE供电。具体需求如下：

·     在Switch1上创建一个AP管理VLAN和终端业务VLAN，并且作为DHCP Server为AP和终端分配IP地址。

·     确保Switch1与AC、Switch2之间，以及Switch2与AP之间的链路能够透传管理与业务流量，实现双向可达。

·     在AC上创建两个服务模板，分别对应Apple TV专用和教师终端专用的两个SSID，以支持Apple TV和教师终端的网络接入。

图1-1 Bonjour网关基于AP组过滤控制配置组网图

 

表1-1 数据规划表

设备	接口	IP地址
AC	Vlan-int 20（管理VLAN）	192.168.20.2/24
	Vlan-int 30（业务VLAN-Apple TV专用）	-
	Vlan-int 31（业务VLAN-教师终端专用）	-
Switch1	Vlan-int 20（管理VLAN）	192.168.20.1/24
	Vlan-int 30（业务VLAN-Apple TV专用）	192.168.30.1/24
	Vlan-int 31（业务VLAN-教师终端专用）	192.168.31.1/24

1.3  配置思路

·     完成基础网络搭建，确保AP、AC及终端间网络互通。

·     为Apple TV和教师终端分别创建独立的无线服务。

·     启用Bonjour网关功能，并配置基于AP组的过滤策略，将策略应用到教师终端对应的服务模板上。

1.4  配置注意事项

·     配置AP的序列号时，请确保该序列号与AP唯一对应。

·     配置交换机和AP相连的接口为Access口。禁止VLAN 1报文通过，以防止VLAN 1内报文过多。

·     启用Bonjour网关功能时，需先全局开启，再确保AP组或AP已开启（AP组默认开启）。

·     在集中转发模式下，AP的业务流量和Bonjour服务发现均通过CAPWAP隧道回到AC处理。本典型配置仅在集中转发模式下生效，不适用于本地转发模式。

1.5  配置步骤

1.5.1  配置Switch1

1. 配置接口

(1)     创建VLAN 20，并配置IP地址，用于转发AC和AP间的CAPWAP隧道内的流量。

<Switch1> system-view

[Switch1] vlan 20

[Switch1-vlan20] quit

[Switch1] interface vlan-interface 20

[Switch1-Vlan-interface20] ip address 192.168.20.1 255.255.255.0

[Switch1-Vlan-interface20] quit

(2)     创建VLAN 30，并配置IP地址，终端使用该VLAN接入Apple TV专用无线网络。

[Switch1] vlan 30

[Switch1-vlan30] quit

[Switch1] interface vlan-interface 30

[Switch1-Vlan-interface30] ip address 192.168.30.1 255.255.255.0

[Switch1-Vlan-interface30] quit

(3)     创建VLAN 31，并配置IP地址，终端使用该VLAN接入教师终端专用无线网络。

[Switch1] vlan 31

[Switch1-vlan31] quit

[Switch1] interface vlan-interface 31

[Switch1-Vlan-interface31] ip address 192.168.31.1 255.255.255.0

[Switch1-Vlan-interface31] quit

(4)     配置Switch1和AC相连的接口GigabitEthernet1/0/1为Trunk类型，禁止VLAN 1报文通过，允许VLAN 20、VLAN 30和VLAN 31通过。

[Switch1] interface GigabitEthernet 1/0/1

[Switch1-GigabitEthernet1/0/1] port link-type trunk

[Switch1-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch1-GigabitEthernet1/0/1] port trunk permit vlan 20 30 31

[Switch1-GigabitEthernet1/0/1] quit

(5)     配置Switch1和Switch2相连的接口GigabitEthernet1/0/2为Trunk类型，禁止VLAN 1报文通过，允许VLAN 20通过。

[Switch1] interface GigabitEthernet 1/0/2

[Switch1-GigabitEthernet1/0/2] port link-type trunk

[Switch1-GigabitEthernet1/0/2] undo port trunk permit vlan 1

[Switch1-GigabitEthernet1/0/2] port trunk permit vlan 20

[Switch1-GigabitEthernet1/0/2] quit

2. 配置DHCP server

(1)     开启DHCP server功能。

[Switch1] dhcp enable

(2)     配置DHCP地址池2，为AP分配地址范围为192.168.20.0/24，网关地址为192.168.20.1；不参与自动分配的IP地址为AC的VLAN20接口的IP地址192.168.20.2。

[Switch1] dhcp server ip-pool 2

[Switch1-dhcp-pool-2] network 192.168.20.0 mask 255.255.255.0

[Switch1-dhcp-pool-2] gateway-list 192.168.20.1

[Switch1-dhcp-pool-2] forbidden-ip 192.168.20.2

[Switch1-dhcp-pool-2] quit

(3)     配置DHCP地址池3，为连接Apple TV网络的终端分配地址范围为192.168.30.0/24，DNS服务器地址为网关地址（实际使用过程中，请根据实际网络规划配置无线终端的DNS服务器地址），网关地址为192.168.30.1。

[Switch1] dhcp server ip-pool 3

[Switch1-dhcp-pool-3] network 192.168.30.0 mask 255.255.255.0

[Switch1-dhcp-pool-3] gateway-list 192.168.30.1

[Switch1-dhcp-pool-3] dns-list 192.168.30.1

[Switch1-dhcp-pool-3] quit

(4)     配置DHCP地址池4，为连接教师终端网络的终端分配地址范围为192.168.31.0/24，DNS服务器地址为网关地址（实际使用过程中，请根据实际网络规划配置无线终端的DNS服务器地址），网关地址为192.168.31.1。

[Switch1] dhcp server ip-pool 4

[Switch1-dhcp-pool-4] network 192.168.31.0 mask 255.255.255.0

[Switch1-dhcp-pool-4] gateway-list 192.168.31.1

[Switch1-dhcp-pool-4] dns-list 192.168.31.1

[Switch1-dhcp-pool-4] quit

1.5.2  配置Switch2

(1)     创建VLAN 20，用于转发AC和AP间CAPWAP隧道内的流量。

<Switch2> system-view

[Switch2] vlan 20

[Switch2-vlan20] quit

(2)     配置Switch2与Switch1相连的接口GigabitEthernet1/0/1为Trunk类型，禁止VLAN 1报文通过，允许VLAN 20通过。

[Switch2] interface GigabitEthernet 1/0/1

[Switch2-GigabitEthernet1/0/1] port link-type trunk

[Switch2-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch2-GigabitEthernet1/0/1] port trunk permit vlan 20

[Switch2-GigabitEthernet1/0/1] quit

(3)     配置Switch2和AP1相连的接口GigabitEthernet1/0/2为Access类型，允许VLAN 20通过，并开启PoE远程供电功能。

[Switch2] interface GigabitEthernet 1/0/2

[Switch2-GigabitEthernet1/0/2] port link-type access

[Switch2-GigabitEthernet1/0/2] port access vlan 20

[Switch2-GigabitEthernet1/0/2] poe enable

[Switch2-GigabitEthernet1/0/2] quit

(4)     配置Switch2和AP2相连的接口GigabitEthernet1/0/3为Access类型，允许VLAN 20通过，并开启PoE远程供电功能。

[Switch2] interface GigabitEthernet 1/0/3

[Switch2-GigabitEthernet1/0/3] port link-type access

[Switch2-GigabitEthernet1/0/3] port access vlan 20

[Switch2-GigabitEthernet1/0/3] poe enable

[Switch2-GigabitEthernet1/0/3] quit

(5)     配置Switch2和AP3相连的接口GigabitEthernet1/0/4为Access类型，允许VLAN 20通过，并开启PoE远程供电功能。

[Switch2] interface GigabitEthernet 1/0/4

[Switch2-GigabitEthernet1/0/4] port link-type access

[Switch2-GigabitEthernet1/0/4] port access vlan 20

[Switch2-GigabitEthernet1/0/4] poe enable

[Switch2-GigabitEthernet1/0/4] quit

1.5.3  配置AC

1. 配置接口

(1)     创建VLAN 20及其对应的VLAN接口，并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。

[AC] vlan 20

[AC-vlan20] quit

[AC] interface vlan-interface 20

[AC-Vlan-interface20] ip address 192.168.20.2 255.255.255.0

[AC-Vlan-interface20] quit

(2)     创建VLAN 30，用于承载Apple TV专用业务的流量。

[AC] vlan 30

[AC-vlan30] quit

(3)     创建VLAN 31，用于承载教师终端专用业务的流量。

[AC] vlan 31

[AC-vlan31] quit

(4)     配置AC和Switch1相连的接口GigabitEthernet1/0/1为Trunk类型，禁止VLAN 1报文通过，允许VLAN 20、VLAN 30和VLAN 31通过。

[AC] interface GigabitEthernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 20 30 31

[AC-GigabitEthernet1/0/1] quit

2. 配置无线服务

(1)     创建服务模板apple_tv，配置SSID为apple_tv，所属VLAN为30。

[AC] wlan service-template apple_tv

[AC-wlan-st-apple_tv] ssid apple_tv

[AC-wlan-st-apple_tv] vlan 30

(2)     配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。

[AC-wlan-st-apple_tv] akm mode psk

[AC-wlan-st-apple_tv] preshared-key pass-phrase simple 12345678

(3)     配置加密套件为CCMP，安全信息元素为RSN。

[AC-wlan-st-apple_tv] cipher-suite ccmp

[AC-wlan-st-apple_tv] security-ie rsn

(4)     使能服务模板。

[AC-wlan-st-apple_tv] service-template enable

[AC-wlan-st-apple_tv] quit

(5)     创建服务模板teacher，其SSID为teacher，所属VLAN为31。

[AC] wlan service-template teacher

[AC-wlan-st-teacher] ssid teacher

[AC-wlan-st-teacher] vlan 31

(6)     配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。

[AC-wlan-st-teacher] akm mode psk

[AC-wlan-st-teacher] preshared-key pass-phrase simple 12345678

(7)     配置加密套件为CCMP，安全信息元素为RSN。

[AC-wlan-st-teacher] cipher-suite ccmp

[AC-wlan-st-teacher] security-ie rsn

(8)     使能服务模板。

[AC-wlan-st-teacher] service-template enable

[AC-wlan-st-teacher] quit

3. 配置AP

(1)     创建手工AP，名称为ap1，配置型号、序列号并将无线服务模板apple_tv绑定到指定的射频接口上，并启用射频功能。

[AC] wlan ap ap1 model WA6320

[AC-wlan-ap-ap1] serial-id 219801A28N819CE0001T

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] service-template apple_tv

[AC-wlan-ap-ap1-radio-1] radio enable

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

(2)     创建手工AP，名称为ap2，配置型号、序列号并将无线服务模板apple_tv绑定到指定的射频接口上，并启用射频功能。

[AC] wlan ap ap2 model WA6320

[AC-wlan-ap-ap2] serial-id 219801A28N819CE0002T

[AC-wlan-ap-ap2] radio 1

[AC-wlan-ap-ap2-radio-1] service-template apple_tv

[AC-wlan-ap-ap2-radio-1] radio enable

[AC-wlan-ap-ap2-radio-1] quit

[AC-wlan-ap-ap2] quit

(3)     创建手工AP，名称为ap3，配置型号、序列号并将无线服务模板teacher绑定到指定的射频接口上，并启用射频功能。

[AC] wlan ap ap3 model WA6320

[AC-wlan-ap-ap3] serial-id 219801A28N819CE0003T

[AC-wlan-ap-ap3] radio 1

[AC-wlan-ap-ap3-radio-1] service-template teacher

[AC-wlan-ap-ap3-radio-1] radio enable

[AC-wlan-ap-ap3-radio-1] quit

[AC-wlan-ap-ap3] quit

4. 配置Bonjour网关功能

(1)     配置Bonjour网关模式为自定义模式。

[AC] bonjour service-mode custom

(2)     激活Apple TV服务所需的相关服务类型。

[AC] bonjour activate service type airplay

[AC] bonjour activate service type raop

 

(3)     开启全局Bonjour网关功能。

[AC] bonjour global enable

(4)     进入AP组的group1视图，加入ap1和ap3，并开启该AP组的Bonjour网关功能。

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] ap ap1

[AC-wlan-ap-group-group1] ap ap3

[AC-wlan-ap-group-group1] bonjour enable

[AC-wlan-ap-group-group1] quit

(5)     进入AP组的group2视图，加入ap2，并开启该AP组的Bonjour网关功能。

[AC] wlan ap-group group2

[AC-wlan-ap-group-group2] ap ap2

[AC-wlan-ap-group-group2] bonjour enable

[AC-wlan-ap-group-group2] quit

(6)     创建名称为teacher的Bonjour策略，并在策略中配置基于AP组的代答过滤方式。通过名为teacher的SSID接入的终端仅能查找与其接入AP组（group 1）一致的服务资源，自动过滤掉group 2中的服务。

[AC] bonjour policy teacher

[AC-bp-teacher] service vlan 30

[AC-bp-teacher] proxy-target ap-group

[AC-bp-teacher] quit

(7)     在SSID为teacher的服务模板上应用已创建的Bonjour策略。

[AC] wlan service-template teacher

[AC-wlan-st-teacher] bonjour apply policy teacher

[AC-wlan-st-teacher] quit

1.6  验证配置

配置完成后，可通过以下步骤验证基于AP组的Bonjour网关过滤功能是否生效。

(1)     查看已创建的Bonjour策略

使用display bonjour policy命令查看已创建的Bonjour策略teacher的详细信息，确认其配置是否正确。

[AC] display bonjour policy teacher

Bonjour policy name                    : teacher

VLAN                                      : 30

Access-VLAN                              : Disable

Proxy-target                             : ap-group

根据显示结果可知，策略teacher已成功创建，其服务VLAN为30，并已配置为基于AP组进行服务过滤。

(2)     查看AP分组情况

使用display current-configuration命令查看AP分组情况。

[AC] display current-configuration | include ap

wlan ap-group group1

 ap ap1

 ap ap3

wlan ap-group group2

 ap ap2

(3)     验证基于AP组的过滤效果

根据上述配置，教师终端（接入AP3）、Apple TV1（接入AP1）以及Apple TV2（接入AP2）。AP1和AP3同属group1，AP2属于group2。在教师终端上启动投屏功能，若在可用设备列表中仅能看到Apple TV1，而无法看到Apple TV2，则证明基于AP组的Bonjour网关过滤功能已生效，成功实现了按AP组隔离。

(4)     查看无线终端连接状态（辅助验证）

使用display wlan client命令可以查看所有已连接的无线终端，确认终端已正确接入其所属SSID及AP。此命令会列出所有在线客户端，无论其Bonjour服务是否被网关过滤。

[AC] display wlan client

Total number of clients: 3

MAC address      User name    AP name         R    SSID              IP address       VLAN

ac64-cf13-4544   N/A           ap1              1  apple_tv           192.168.30.2     30

6839-4331-2677   N/A           ap2              1  apple_tv           192.168.30.5     30

aa5e-3060-5d4e   N/A           ap3              1  teacher            192.168.31.2     31

1.7  配置文件

·     Switch1：

#

dhcp enable

#

vlan 20

#

vlan 30

#

vlan 31

#

dhcp server ip-pool 2

 network 192.168.20.0 mask 255.255.255.0

 gateway-list 192.168.20.1

 forbidden-ip 192.168.20.2

#

dhcp server ip-pool 3

 network 192.168.30.0 mask 255.255.255.0

 gateway-list 192.168.30.1

 dns-list 192.168.30.1

#

dhcp server ip-pool 4

 network 192.168.31.0 mask 255.255.255.0

 gateway-list 192.168.31.1

 dns-list 192.168.31.1

#

interface vlan-interface 20

 ip address 192.168.20.1 255.255.255.0

#

interface vlan-interface 30

 ip address 192.168.30.1 255.255.255.0

#

interface vlan-interface 31

 ip address 192.168.31.1 255.255.255.0

#

interface GigabitEthernet 1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20 30 31

#

interface GigabitEthernet 1/0/2

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20

#

·     Switch2：

#

vlan 20

#

interface GigabitEthernet 1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20

#

interface GigabitEthernet 1/0/2

 port link-type access

 port access vlan 20

 poe enable

#

interface GigabitEthernet 1/0/3

 port link-type access

 port access vlan 20

 poe enable

#

interface GigabitEthernet 1/0/4

 port link-type access

 port access vlan 20

 poe enable

#

·     AC：

#

vlan 20

#

vlan 30

#

vlan 31

#

interface vlan-interface 20

 ip address 192.168.20.2 255.255.255.0

#

interface GigabitEthernet 1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20 30 31

#

 bonjour service-mode custom

 bonjour global enable

 bonjour activate service type airplay

 bonjour activate service type raop

#

bonjour policy teacher

 service vlan 30

 proxy-target ap-group

#

wlan service-template apple_tv

 ssid apple_tv

  vlan 30

 akm mode psk

 preshared-key pass-phrase simple $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM

 cipher-suite ccmp

 security-ie rsn

 client forwarding-location ac

 undo bss transition-management enable

 service-template enable

#

wlan service-template teacher

 ssid teacher

  vlan 31

 akm mode psk

 preshared-key pass-phrase simple $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM

 cipher-suite ccmp

 security-ie rsn

 client forwarding-location ac

 undo bss transition-management enable

 service-template enable

 bonjour apply policy teacher

#

wlan ap-group group1

 vlan 1

 radio 2.4g

 radio 5g

 radio 6g

 ap ap1

 ap ap3

#

wlan ap-group group2

 vlan 1

 radio 2.4g

 radio 5g

 radio 6g

 ap ap2

#

wlan ap ap1 model WA7538

 serial-id 219801A28N819CE0001T

 vlan 1

 radio 1

  radio enable

  service-template apple_tv

  radio 2

 gigabitethernet 1

#

wlan ap ap2 model WA7538

 serial-id 219801A28N819CE0002T

 vlan 1

 radio 1

  radio enable

  service-template apple_tv

 radio 2 

 gigabitethernet 1

#

wlan ap ap3 model WA7538

 serial-id 219801A28N819CE0003T

 vlan 1

 radio 1

  radio enable

  service-template teacher

 radio 2

 gigabitethernet 1

#

1.8  相关资料

·     《H3C 无线控制器产品 配置指导》中的“Bonjour网关配置”。

·     《H3C 无线控制器产品 命令参考》中的“Bonjour网关命令”。