- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
12-WLAN高可靠性配置
本章节下载： 12-WLAN高可靠性配置 (1.11 MB)
在集中式转发模式下，AC在汇聚层上承担了大量AP的状态维护和数据转发工作。AC设备的故障将导致无线网络的服务中断。双链路备份组网中，两AC互为备份，极大地降低了单AC故障造成无线网络中断的风险。
双链路备份适用于对流量传输连续性要求不高的环境。
双链路备份功能为AP提供两个上行链路，在两条链路上分别建立主隧道与备隧道。AP与主备AC仅建立CAPWAP隧道，但AC间互不感知，因而在主AC不可用等情况下，通过AC转发的数据流量在进行CAPWAP主备隧道切换时会出现短暂中断现象。当发生故障的主AC恢复正常后，可以通过配置CAPWAP隧道抢占功能来根据AP连接AC的优先级决定CAPWAP主隧道。
图1-1 双链路备份组网图
本手册中的AP型号和序列号仅为举例，具体支持的AP型号和序列号请以设备的实际情况为准。
双链路备份、AP热备份、客户化热备份和WLAN上行链路检测的支持情况与设备型号有关，请以设备的实际情况为准。
|
系列 |
型号 |
说明 |
|
F5000系列 |
F5000-AI-160-G、F5000-AI-120-G、F5000-AI-85-G、F5000-AI-80-G、F5000-AI-65-G、F5000-AI-25-G、F5000-AI-15-G、F5000-A-G、F5000-A-G2、F5000-E-G2、F5080 |
不支持 |
|
F5000-AI360、F5000-AI160、F5000-AI120 |
支持 |
|
|
F1000系列 |
F1000-AI-90、F1000-AI-35-G、F1000-AI-15-G |
支持 |
|
F1000-AI-55-G、F1000-AI-03-E、F1000-AI-03-G、F1000-W1000 |
不支持 |
为使双链路备份功能能够正常运行，需要在两台AC设备上均完成以下配置：
完成手工AP或自动AP相关配置，确保AP可以与两台AC分别建立CAPWAP隧道连接。需要注意的是，若选择手工AP方式建立CAPWAP隧道连接，则要求两台AC上配置的AP名称相同且都配置序列号或都配置MAC地址。相关配置请参见“AP管理”。
在对AP进行配置时，可以采用如下方式：
· 针对单台AP，在AP视图下进行配置。
· 针对同一个AP组内的AP，在AP组视图下针对AP组进行配置。
· 在全局配置视图下针对所有AP进行全局配置。
对于一台AP，这些配置的生效优先级从高到低为：针对AP的配置、AP组中的配置、全局配置。
(1) 配置优先级及备AC的IP地址
(2) （可选）配置CAPWAP主隧道抢占功能
(3) （可选）配置终端保持功能
双链路备份下，AP需要先和一个AC建立CAPWAP隧道，该隧道即为主隧道，建立CAPWAP主隧道的AC为该AP的主AC。因此，如果要为AP指定需要连接的主AC，需要在该AC上配置较高的AP连接优先级，保证AP优先与该AC建立CAPWAP隧道，确立其主AC的身份。
主AC上需要配置备AC的IP地址，当AP与主AC建立CAPWAP主隧道后，将根据主AC下发的配置与备AC建立CAPWAP备隧道。
(1) 进入系统视图。
system-view
(2) 进入AP视图、AP组视图、虚拟AP组视图或全局配置视图。
¡ 进入AP视图。
wlan ap ap-name
¡ 进入AP组视图。
wlan ap-group group-name
¡ 进入虚拟AP组视图。
wlan virtual-ap-group group-name
¡ 进入全局配置视图。
wlan global-configuration
(3) 配置AP连接AC的优先级。
priority priority
缺省情况下：
¡ AP视图：AP组有配置的情况下，继承AP组配置，AP组无配置的情况下，继承全局配置。
¡ AP组视图：继承全局配置。
¡ 虚拟AP组视图：继承全局配置。
¡ 全局配置视图：AP连接的优先级为4。
(4) 配置备份AC的IP地址。
backup-ac { ip ipv4-address | ipv6 ipv6-address }
缺省情况下：
¡ AP视图：AP组有配置的情况下，继承AP组配置，AP组无配置的情况下，继承全局配置。
¡ AP组视图：继承全局配置。
¡ 虚拟AP组视图：继承全局配置。
¡ 全局配置视图：未配置备份AC的IP地址。
在双链路备份组网环境中，默认情况下，只有当AP所连接的主AC发生故障时，备AC才会将CAPWAP备份隧道切换为主隧道。若原主AC开启了CAPWAP主隧道抢占功能，且其上为AP配置的连接优先级高于原备AC（新主AC）上的优先级，则在原主AC故障恢复后，AP会先与其建立CAPWAP备份隧道，并在延迟10分钟后将该备份隧道切换为主隧道。
(1) 进入系统视图。
system-view
(2) 进入AP视图、AP组视图、虚拟AP组视图或全局配置视图。
¡ 进入AP视图。
wlan ap ap-name
¡ 进入AP组视图。
wlan ap-group group-name
¡ 进入虚拟AP组视图。
wlan virtual-ap-group group-name
¡ 进入全局配置视图。
wlan global-configuration
(3) 配置CAPWAP主隧道抢占功能。
wlan tunnel-preempt { disable | enable }
缺省情况下：
¡ AP视图：AP组有配置的情况下，继承AP组配置，AP组无配置的情况下，继承全局配置。
¡ AP组视图：继承全局配置。
¡ 虚拟AP组视图：继承全局配置。
¡ 全局配置视图：CAPWAP主隧道抢占功能处于关闭状态。
在双链路备份组网中，AP与两台AC分别建立CAPWAP主备链路。当主AC发生故障时，备链路将会切换为主链路，确保业务持续运行，在一定程度上缩短了因AC故障导致的业务中断时间。但整网终端仍需经历下线与重新上线过程，影响整体网络体验。开启终端保持在线功能后，备AC会利用临时的终端数据保障主备倒换期间终端不掉线。
临时终端数据虽然不会影响终端的基本业务功能（例如：正常通信、上下线），却会导致终端的部分高级功能不可用（例如：ACL访问控制、CAR限速）。为了解决这一问题，可以在主备倒换完成后，在新的主AC上强制终端下线，并删除下线终端的临时数据。终端重新上线后，新主AC将生成完整的正常终端数据。
在本地转发模式下，本功能配合Portal认证时，请配置MAC-trigger快速认证实现无感知认证。
在集中转发模式下，本功能配合Portal认证时，请配置远程MAC+远程Portal实现无感知认证。
(1) 进入系统视图。
system-view
(2) 进入全局配置视图。
wlan global-configuration
(3) 开启终端保持在线功能。
client-persistence enable
缺省情况下，终端保持在线功能处于关闭状态。
(4) 强制通过终端保持在线功能维持的终端下线。请选择其中一项进行配置。
¡ 请在系统视图下执行以下命令，开启终端保持数据恢复功能。（分批强制保持终端下线）
wlan persistent-client reconnect delay delay-minutes period period-minutes
¡ 请在任意视图下执行以下命令，清除通过终端保持在线功能维持的所有无线终端。（一次性强制所有保持终端下线）
reset wlan persistent-client
随着无线网络规模的不断扩大，企业和运营商对网络的高可靠性和高可用性要求日益提升。通常在双链路部署环境中，通过部署两台AC实现备份以保障无线网络的连续性和稳定性。双链路备份机制要求主备AC上的WLAN相关配置完全一致。然而，实际业务中WLAN配置内容繁杂，手动在两台AC上进行逐条配置既费时又易出错，增加了运维难度，也存在配置不一致导致故障的风险。
AC间配置同步是指在两台AC设备之间自动同步WLAN相关配置的技术。该技术通过在一台AC上完成配置后，自动将相关配置同步到另一台AC，确保两台AC的WLAN相关配置一致。
· 使用AC间配置同步功能时，需要先建立SmartMC网络。
· 设备在VLAN1内建立SmartMC网络，为保证SmartMC功能正常运行，请不要对VLAN1进行安全性相关配置。
· AC间配置同步功能仅支持在TM角色的AC设备上进行配置。
AC间配置同步配置任务如下：
(1) 开启SmartMC功能
(2) （可选）修改成员设备缺省用户admin的密码
配置SmartMC功能前，用户需要在管理设备和成员设备上配置如下功能：
· 开启Telnet服务，配置VTY用户线的认证方式为scheme。关于Telnet及VTY用户线的详细介绍，请参见“基础配置指导”中的“登录设备”。
· 配置本地用户及密码，并配置该用户的服务类型为Telnet、HTTP和HTTPS，RBAC角色为network-admin。关于本地用户的详细介绍，请参见“安全配置指导”中的“AAA”。关于用户角色的详细介绍，具体请参见“基础配置指导”中的“RBAC”。
¡ 对于管理设备，所设置的本地用户的用户名和密码要和smartmc tm username username password { cipher | simple } string enable命令指定用户名、密码相同，管理设备使用此本地用户进行内部通信。
¡ 对于成员设备，请设置用户名为admin、密码为admin的本地用户。因为管理设备使用缺省用户名admin、密码admin和其建立NETCONF会话，以将其加入到SmartMC网络中。缺省情况下，设备对本地用户的密码复杂度进行了限制，请先执行password-control length 4、password-control composition type-number 1 type-length 1和undo password-control complexity user-name check命令，降低设备对admin用户密码复杂度的要求，再设置密码为admin。有关Password Control相关命令的详细介绍，请参见“安全命令参考”中的“Password Control”。
SmartMC网络构建成功后，可以在管理设备使用smartmc tc password命令修改成员设备缺省用户admin的密码，提高密码的复杂度。密码修改成功后，可以登录到成员设备，通过Password Control相关命令，恢复设备对本地用户admin的密码复杂度的限制。
· 开启基于HTTP的NETCONF over SOAP功能。关于NETCONF over SOAP功能的详细介绍，具体请参见“网络管理和监控配置指导”中的“NETCONF”。
· 全局开启LLDP功能。关于LLDP功能的详细介绍，具体请参见“二层技术-以太网交换配置指导”中的“LLDP”。
· 如果需要使用Web管理成员设备和管理设备，则需要开启HTTP或HTTPS服务，并配置本地用户的服务类型为HTTP或HTTPS。关于Web登录、HTTP和HTTPS的详细介绍，请参见“基础配置指导”中的“登录设备”。
SmartMC（Smart Management Center，智能管理中心）功能用于集中管理和维护网络边缘大量分散的网络设备。SmartMC网络中有且只有一台设备为管理设备，其他设备均为成员设备。通过在管理设备上进行简单的配置，即可实现对整个网络中的所有成员设备进行批量管理。
SmartMC网络元素主要有：
· TM（Topology master，管理设备）：管理SmartMC网络中所有设备。
· TC（Topology client，成员设备）：SmartMC网络中被管理的设备。
用户分别登录到管理设备和成员设备上，开启SmartMC功能。当SmartMC网络自动构建成功后，便可以在管理设备上配置相关功能，实现对成员设备的配置、管理。
一个SmartMC网络有且仅有一台管理设备。
将管理设备切换为成员设备或关闭SmartMC功能时，会清空当前运行配置中与SmartMC功能相关的配置。
SmartMC功能会占用一定的ACL资源，如果ACL资源不足，会导致SmartMC功能开启失败。请使用display acl命令查看ACL的配置和运行情况，并根据实际情况使用undo acl命令删除不需要的ACL。释放ACL资源后，再开启SmartMC功能。有关ACL的详细介绍，请参见“ACL和QoS配置指导”中的“ACL”。
开启SmartMC功能时，设备会检查80端口、443端口是否被占用，因为HTTP和HTTPS服务需要占用这两个端口号，如果80端口或者443端口被占用，则SmartMC功能开启失败。
本特性的支持情况与设备型号有关，请以设备的实际情况为准。
|
系列 |
型号 |
说明 |
|
F5000系列 |
F5000-AI-160-G、F5000-AI-120-G、F5000-AI-85-G、F5000-AI-80-G、F5000-AI-65-G、F5000-AI-25-G、F5000-AI-15-G、F5000-A-G、F5000-A-G2、F5000-E-G2、F5080 |
- |
|
F5000-AI360、F5000-AI160、F5000-AI120 |
不支持 |
|
|
F1000系列 |
F1000-AI-15-G |
支持 |
|
F1000-AI-90、F1000-AI-35-G |
不支持 |
|
|
F1000-AI-55-G、F1000-AI-03-E、F1000-AI-03-G、F1000-W1000 |
- |
(1) 进入系统视图。
system-view
(2) 开启SmartMC功能并配置设备的角色。
smartmc { tc | tm username username password { cipher | simple } string } enable
缺省情况下，SmartMC功能处于关闭状态。
对于自动加入SmartMC网络的成员设备，管理设备会使用缺省用户名admin、密码admin与其建立NETCONF会话，并将其加入到SmartMC网络中。SmartMC网络组建完成后，建议用户修改缺省用户admin的密码，提高SmartMC网络的安全性。
该功能只能修改自动加入SmartMC网络的成员设备。
用户不能修改手动添加到SmartMC网络中的成员设备的密码，否则将导致管理设备无法对成员设备进行管理。
用户可以执行display smartmc tc verbose命令查看成员设备添加到SmartMC网络的方式。
本特性的支持情况与设备型号有关，请以设备的实际情况为准。
|
系列 |
型号 |
说明 |
|
F5000系列 |
F5000-AI-160-G、F5000-AI-120-G、F5000-AI-85-G、F5000-AI-80-G、F5000-AI-65-G、F5000-AI-25-G、F5000-AI-15-G、F5000-A-G、F5000-A-G2、F5000-E-G2、F5080 |
- |
|
F5000-AI360、F5000-AI160、F5000-AI120 |
不支持 |
|
|
F1000系列 |
F1000-AI-15-G |
支持 |
|
F1000-AI-90、F1000-AI-35-G |
不支持 |
|
|
F1000-AI-55-G、F1000-AI-03-E、F1000-AI-03-G、F1000-W1000 |
- |
(1) 进入系统视图。
system-view
(2) 修改成员设备缺省用户admin的密码。
smartmc tc password [ cipher ] string
在完成上述配置后，在AC任意视图下执行display命令可以显示配置后的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令清除双链路备份的相关信息。
表1-1 双链路备份显示和维护
|
操作 |
命令 |
|
display wlan persistent-client |
如图1-2所示，AP通过Access Switch、Core Switch连接到AC 1和AC 2连接，具体要求如下：
· 使用双链路备份对AC进行备份，AC 1工作在主用状态，AC 2工作在备用状态，当AC 1发生故障或主备AC切换时，AP可以通过AC 2继续提供服务，当AC 1恢复工作后，AP重新关联到AC 1。
· 在AC 1上安装License，AC 2上不安装License，通过配置AP License共享功能来实现未安装License的AC 2共享AC 1的License。
· 无线客户端Client通过VLAN 200接入网络。
· AC和AP之间跨三层网络建立连接，在DHCP server上配置AP通过Option43方式获取AC的IP地址完成三层注册。
表1-2 组网图示例接口与设备实际接口对应关系
|
组网图示例接口 |
设备实际接口 |
|
Interface1 |
GigabitEthernet1/0/1 |
|
Interface2 |
GigabitEthernet1/0/2 |
|
Interface3 |
GigabitEthernet1/0/3 |
|
Interface4 |
GigabitEthernet1/0/4 |
(1) 安装License
# 配置AC 1安装License，配置步骤略。
(2) 配置AC1的接口
# 创建VLAN 20及其对应的VLAN接口，并配置Vlan-interface20接口的IP地址为10.1.1.1/16，AP将通过该IP地址与AC 1建立CAPWAP隧道。
<AC1> system-view
[AC1] vlan 20
[AC1-vlan20] quit
[AC1] interface vlan-interface 20
[AC1-Vlan-interface20] ip address 10.1.1.1 16
[AC1-Vlan-interface20] quit
# 创建VLAN 200，AC 1需要使用该VLAN转发无线客户端数据报文。
[AC1] vlan 200
[AC1-vlan200] quit
# 将AC 1与Core Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk，允许VLAN 20和VLAN 200通过。
[AC1] interface gigabitethernet 1/0/1
[AC1-GigabitEthernet1/0/1] port link-type trunk
[AC1-GigabitEthernet1/0/1] port trunk permit vlan 20 200
[AC1-GigabitEthernet1/0/1] quit
(3) 配置三层路由
# 配置AC 1缺省路由下一跳为Core Switch的IP地址10.1.1.3。
[AC1] ip route-static 0.0.0.0 0 10.1.1.3
(4) 配置双链路备份功能
# 创建AP组group1并配置AP连接的优先级为7。
[AC1] wlan ap-group group1
[AC1-wlan-ap-group-group1] priority 7
# 配置备AC IP地址为10.1.1.2。
[AC1-wlan-ap-group-group1] backup-ac ip 10.1.1.2
# 配置CAPWAP隧道抢占功能，当AC故障恢复后AP可以重新关联到主AC。
[AC1-wlan-ap-group-group1] wlan tunnel-preempt enable
[AC1-wlan-ap-group-group1] quit
(5) 配置AP License共享功能
# 配置AP License共享功能。
[AC1] wlan ap-license-group
[AC1-wlan-als-group] local ip 10.1.1.1
[AC1-wlan-als-group] member ip 10.1.1.2
[AC1-wlan-als-group] ap-license-synchronization enable
[AC1-wlan-als-group] quit
(6) 配置无线服务
# 创建无线服务模板1，并进入无线服务模板视图。
[AC1] wlan service-template 1
# 配置SSID为service。
[AC1-wlan-st-1] ssid service
# 配置无线客户端上线后将被加入到VLAN 200。
[AC1-wlan-st-1] vlan 200
# 配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。
[AC1-wlan-st-1] akm mode psk
[AC1-wlan-st-1] preshared-key pass-phrase simple 12345678
# 配置加密套件为CCMP，安全信息元素为RSN。
[AC1-wlan-st-1] cipher-suite ccmp
[AC1-wlan-st-1] security-ie rsn
# 使能无线服务模板。
[AC1-wlan-st-1] service-template enable
[AC1-wlan-st-1] quit
(7) 配置手工AP
# 创建AP，配置AP名称为ap1，型号名称选择WA6520，并配置序列号为219801A28N819CE0002T。
[AC1] wlan ap ap1 model WA6520
[AC1-wlan-ap-ap1] serial-id 219801A28N819CE0002T
[AC1-wlan-ap-ap1] quit
(8) 配置AP入组
# 配置AP名称入组规则。
[AC1] wlan ap-group group1
[AC1-wlan-ap-group-group1] ap ap1
(9) 绑定无线服务
# 将无线服务模板1绑定到AP组group1下的Radio 2上。
[AC1-wlan-ap-group-group1] ap-model WA6520
[AC1-wlan-ap-group-group1-ap-model-WA6520] radio 2
[AC1-wlan-ap-group-group1-ap-model-WA6520-radio-2] service-template 1
# 开启Radio 2的射频功能。
[AC1-wlan-ap-group-group1-ap-model-WA6520-radio-2] radio enable
[AC1-wlan-ap-group-group1-ap-model-WA6520-radio-2] quit
[AC1-wlan-ap-group-group1-ap-model-WA6520] quit
(1) 配置AC2的接口
# 创建VLAN 20及其对应的VLAN接口，并配置Vlan-interface20接口的IP地址为10.1.1.2/16，AP将通过该IP地址与AC 2建立CAPWAP隧道。
<AC2> system-view
[AC2] vlan 20
[AC2-vlan20] quit
[AC2] interface Vlan-interface 20
[AC2-Vlan-interface20] ip address 10.1.1.2 16
[AC2-Vlan-interface20] quit
# 创建VLAN 200，AC 2需要使用该VLAN转发无线客户端数据报文。
[AC2] vlan 200
[AC2-vlan200] quit
# 将AC 2与Core Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk，允许VLAN 20和VLAN 200通过。
[AC2] interface gigabitethernet 1/0/1
[AC2-GigabitEthernet1/0/1] port link-type trunk
[AC2-GigabitEthernet1/0/1] port trunk permit vlan 20 200
[AC2-GigabitEthernet1/0/1] quit
(2) 配置三层路由
# 配置AC 2缺省路由下一跳为Core Switch的IP地址10.1.1.3。
[AC2] ip route-static 0.0.0.0 0 10.1.1.3
(3) 配置双链路备份功能
# 创建AP组group1并配置备AC IP地址为10.1.1.1，AP连接的优先级无需配置，保持缺省配置即可。
[AC2] wlan ap-group group1
[AC2-wlan-ap-group-group1] backup-ac ip 10.1.1.1
[AC2-wlan-ap-group-group1] quit
(4) 配置AP License共享功能
# 配置AP License共享功能。
[AC2] wlan ap-license-group
[AC2-wlan-als-group] local ip 10.1.1.2
[AC2-wlan-als-group] member ip 10.1.1.1
[AC2-wlan-als-group] ap-license-synchronization enable
[AC2-wlan-als-group] quit
(5) 配置无线服务
# 创建无线服务模板1，并进入无线服务模板视图。
[AC2] wlan service-template 1
# 配置SSID为service。
[AC2-wlan-st-1] ssid service
# 配置无线客户端上线后将被加入到VLAN 200。
[AC2-wlan-st-1] vlan 200
# 配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。
[AC2-wlan-st-1] akm mode psk
[AC2-wlan-st-1] preshared-key pass-phrase simple 12345678
# 配置加密套件为CCMP，安全信息元素为RSN。
[AC2-wlan-st-1] cipher-suite ccmp
[AC2-wlan-st-1] security-ie rsn
# 使能无线服务模板。
[AC2-wlan-st-1] service-template enable
[AC2-wlan-st-1] quit
(6) 配置手工AP
# 创建AP，配置AP名称为ap1，型号名称选择WA6520，并配置序列号为219801A28N819CE0002T。
[AC2] wlan ap ap1 model WA6520
[AC2-wlan-ap-ap1] serial-id 219801A28N819CE0002T
[AC2-wlan-ap-ap1] quit
(7) 配置AP入组
# 配置AP名称入组规则。
[AC2] wlan ap-group group1
[AC2-wlan-ap-group-group1] ap ap1
(8) 绑定无线服务
# 将无线服务模板1绑定到AP组group1下的Radio 2上。
[AC2-wlan-ap-group-group1] ap-model WA6520
[AC2-wlan-ap-group-group1-ap-model-WA6520] radio 2
[AC2-wlan-ap-group-group1-ap-model-WA6520-radio-2] service-template 1
# 开启Radio 2的射频功能。
[AC2-wlan-ap-group-group1-ap-model-WA6520-radio-2] radio enable
[AC2-wlan-ap-group-group1-ap-model-WA6520-radio-2] quit
[AC2-wlan-ap-group-group1-ap-model-WA6520] quit
(1) 配置Core Switch接口
# 创建VLAN 100和VLAN 20，并配置IP地址，用于转发AC和AP间CAPWAP隧道内的流量。
<Core Switch> system-view
[Core Switch] vlan 100
[Core Switch-vlan100] quit
[Core Switch] interface vlan-interface 100
[Core Switch-Vlan-interface100] ip address 10.3.1.1 16
[Core Switch-Vlan-interface100] quit
[Core Switch] vlan 20
[Core Switch-vlan20] quit
[Core Switch] interface vlan-interface 20
[Core Switch-Vlan-interface20] ip address 10.1.1.3 16
[Core Switch-Vlan-interface20] quit
# 创建VLAN 200，并为该接口配置IP地址。Client使用该VLAN接入无线网络。
[Core Switch] vlan 200
[Core Switch-vlan200] quit
[Core Switch] interface vlan-interface 200
[Core Switch-Vlan-interface200] ip address 10.4.1.1 16
[Core Switch-Vlan-interface200] quit
# 配置Core Switch与AC 1相连的GigabitEthernet1/0/1接口的属性为Trunk，允许VLAN 20和VLAN 200通过。
[Core Switch] interface gigabitethernet 1/0/1
[Core Switch-GigabitEthernet1/0/1] port link-type trunk
[Core Switch-GigabitEthernet1/0/1] port trunk permit vlan 20 200
[Core Switch-GigabitEthernet1/0/1] quit
# 配置Core Switch与AC 2相连的GigabitEthernet1/0/2接口属性为Trunk，允许VLAN 20和VLAN 200通过。
[Core Switch] interface gigabitethernet 1/0/2
[Core Switch-GigabitEthernet1/0/2] port link-type trunk
[Core Switch-GigabitEthernet1/0/2] port trunk permit vlan 20 200
[Core Switch-GigabitEthernet1/0/2] quit
# 配置Core Switch与Access Switch相连的GigabitEthernet1/0/3接口属性为Trunk，允许VLAN 100通过，当前Trunk口的PVID为100。
[Core Switch] interface gigabitethernet 1/0/3
[Core Switch-GigabitEthernet1/0/3] port link-type trunk
[Core Switch-GigabitEthernet1/0/3] port trunk permit vlan 100
[Core Switch-GigabitEthernet1/0/3] port trunk pvid vlan 100
[Core Switch-GigabitEthernet1/0/3] quit
(2) 配置DHCP功能
# 配置DHCP地址池100，用于为AP分配IP地址，地址范围为10.3.0.0/16，网关地址为10.3.1.1。
[Core Switch] dhcp server ip-pool 100
[Core Switch-dhcp-pool-100] network 10.3.0.0 mask 255.255.0.0
[Core Switch-dhcp-pool-100] gateway-list 10.3.1.1
# 配置DHCP Option43的内容为AC 1和AC 2的十六进制IP地址。
[Core Switch-dhcp-pool-100] option 43 hex 800b0000020a0101010a010102
[Core Switch-dhcp-pool-100] quit
# 配置DHCP地址池2为Client分配地址范围为10.4.0.0/16，为Client分配的DNS服务器地址为网关地址（实际使用过程中请根据实际网络规划配置无线客户端的DNS服务器地址），网关地址为10.4.1.1。
[Core Switch] dhcp server ip-pool 2
[Core Switch-dhcp-pool-2] network 10.4.0.0 mask 255.255.0.0
[Core Switch-dhcp-pool-2] gateway-list 10.4.1.1
[Core Switch-dhcp-pool-2] dns-list 10.4.1.1
[Core Switch-dhcp-pool-2] quit
# 开启DHCP server服务。
[Core Switch] dhcp enable
(3) 配置Core Switch连接外网
# 创建VLAN 400，并配置IP地址，用于转发去往外网的流量。
[Core Switch] vlan 400
[Core Switch-vlan400] quit
[Core Switch] interface vlan-interface 400
[Core Switch-Vlan-interface400] ip address 10.10.1.1 16
[Core Switch-Vlan-interface400] quit
# 配置Core Switch与外网相连的GigabitEthernet1/0/4接口属性为Access，并允许VLAN 400通过。
[Core Switch] interface gigabitethernet 1/0/4
[Core Switch-GigabitEthernet1/0/4] port link-type access
[Core Switch-GigabitEthernet1/0/4] port access vlan 400
[Core Switch-GigabitEthernet1/0/4] quit
# 配置Core Switch缺省路由下一跳为Router的IP地址10.10.1.2。
[Core Switch] ip route-static 0.0.0.0 0 10.10.1.2
# 创建VLAN 100，VLAN 100为AP接入的VLAN。
<Access Switch> system-view
[Access Switch] vlan 100
[Access Switch-vlan100] quit
# 配置Access Switch与Core Switch相连的接口GigabitEthernet1/0/1为Trunk类型，允许VLAN 100通过，当前Trunk口的PVID为100。
[Access Switch] interface gigabitethernet 1/0/1
[Access Switch-GigabitEthernet1/0/1] port link-type trunk
[Access Switch-GigabitEthernet1/0/1] port trunk permit vlan 100
[Access Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100
[Access Switch-GigabitEthernet1/0/1] quit
# 配置Access Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过。
[Access Switch] interface gigabitethernet 1/0/2
[Access Switch-GigabitEthernet1/0/2] port link-type access
[Access Switch-GigabitEthernet1/0/2] port access vlan 100
# 开启PoE接口远程供电功能。
[Access Switch-GigabitEthernet1/0/2] poe enable
[Access Switch-GigabitEthernet1/0/2] quit
(1) 在AC 1上通过display wlan ap-license-group命令查看AP License共享组已经建立，AP License共享组内的License总数为AC 1和AC 2安装的License总和。
<AC1> display wlan ap-license-group
Group total licenses: 256
Group used licenses: 1
AP license synchronization: Enabled
Local IP: 10.1.1.1
Local role: Master
Member information: 1
IP address Total Used Member role State Online duration
10.1.1.2 0 0 Master UP 00hr 1min 51sec
(2) 通过display wlan ap all命令在AC 1查看AP的状态为R/M。
<AC1> display wlan ap all
Total number of APs: 1
Total number of connected APs: 1
Total number of connected manual APs: 1
Total number of connected auto APs: 0
Total number of connected common APs: 1
Total number of connected WTUs: 0
Total number of inside APs: 0
Maximum supported APs: 384
Remaining APs: 383
Total AP licenses: 256
Local AP licenses: 256
Server AP licenses: 0
Remaining local AP licenses: 255
Sync AP licenses: 0
AP information
State : I = Idle, J = Join, JA = JoinAck, IL = ImageLoad
C = Config, DC = DataCheck, R = Run, M = Master, B = Backup
Online time : Day:Hour:Minute:Second
AP name APID State Model Serial ID G
roup name Online time Clients Mode IP address
ap1 1 R/M WA6520 219801A28N819CE0002T
group1 0:00:00:46 1 Fit 10.3.1.2
(3) 通过display wlan ap all命令在AC 2查看AP的状态为R/B，共享AP License数量为256。
<AC2> display wlan ap all
Total number of APs: 1
Total number of connected APs: 1
Total number of connected manual APs: 1
Total number of connected auto APs: 0
Total number of connected common APs: 1
Total number of connected WTUs: 0
Total number of inside APs: 0
Maximum supported APs: 384
Remaining APs: 383
Total AP licenses: 256
Local AP licenses: 256
Server AP licenses: 0
Remaining local AP licenses: 256
Sync AP licenses: 256
AP information
State : I = Idle, J = Join, JA = JoinAck, IL = ImageLoad
C = Config, DC = DataCheck, R = Run, M = Master, B = Backup
Online time : Day:Hour:Minute:Second
AP name APID State Model Serial ID G
roup name Online time Clients Mode IP address
ap1 1 R/B WA6520 219801A28N819CE0002T
group1 0:00:00:56 1 Fit 10.3.1.2
(4) 模拟AC 1故障，将AC 1的Vlan-interface20接口关闭，等待一段时间（根据CAPWAP隧道保活时间而定，默认为30秒，集中转发模式时，期间流量会中断），AP会切换至AC 2上线，在AC 2上通过display wlan ap all命令查看AP的状态为R/M。
<AC2> display wlan ap all
Total number of APs: 1
Total number of connected APs: 1
Total number of connected manual APs: 1
Total number of connected auto APs: 0
Total number of connected common APs: 1
Total number of connected WTUs: 0
Total number of inside APs: 0
Maximum supported APs: 384
Remaining APs: 383
Total AP licenses: 256
Local AP licenses: 256
Server AP licenses: 0
Remaining local AP licenses: 255
Sync AP licenses: 256
AP information
State : I = Idle, J = Join, JA = JoinAck, IL = ImageLoad
C = Config, DC = DataCheck, R = Run, M = Master, B = Backup
Online time : Day:Hour:Minute:Second
AP name APID State Model Serial ID G
roup name Online time Clients Mode IP address
ap1 1 R/M WA6520 219801A28N819CE0002T
group1 0:00:30:46 1 Fit 10.3.1.2
(5) 模拟AC 1故障恢复，开启AC 1的Vlan-interface20接口，AP会立即在AC 1上线且CAPWAP隧道状态为R/B。由于配置了CAPWAP隧道抢占功能，等待10分钟后，通过display wlan ap all命令在AC 1上查看AP的状态恢复为R/M，在AC 2上查看AP的状态恢复为R/B。
· AC1
#
vlan 20
#
vlan 200
#
wlan service-template 1
ssid service
vlan 200
akm mode psk
preshared-key pass-phrase cipher $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM
cipher-suite ccmp
security-ie rsn
service-template enable
#
interface Vlan-interface20
ip address 10.1.1.1 255.255.0.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 20 200
#
ip route-static 0.0.0.0 0 10.1.1.3
#
wlan ap-group group1
priority 7
wlan tunnel-preempt enable
backup-ac ip 10.1.1.2
ap ap1
ap-model WA6520
radio 2
radio enable
service-template 1
#
wlan ap ap1 model WA6520
serial-id 219801A28N819CE0002T
#
wlan ap-license-group
local ip 10.1.1.1
member ip 10.1.1.2
ap-license-synchronization enable
#
· AC2
#
vlan 20
#
vlan 200
#
wlan service-template 1
ssid service
vlan 200
akm mode psk
preshared-key pass-phrase cipher $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM
cipher-suite ccmp
security-ie rsn
service-template enable
#
interface Vlan-interface20
ip address 10.1.1.2 255.255.0.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 20 200
#
ip route-static 0.0.0.0 0 10.1.1.3
#
wlan ap-group group1
backup-ac ip 10.1.1.1
ap ap1
ap-model WA6520
radio 2
radio enable
service-template 1
#
wlan ap ap1 model WA6520
serial-id 219801A28N819CE0002T
#
wlan ap-license-group
local ip 10.1.1.2
member ip 10.1.1.1
ap-license-synchronization enable
#
· Core Switch
#
dhcp enable
#
vlan 20
#
vlan 100
#
vlan 200
#
vlan 400
#
dhcp server ip-pool 100
gateway-list 10.3.1.1
network 10.3.0.0 mask 255.255.0.0
option 43 hex 800b0000020a0101010a010102
#
dhcp server ip-pool 2
gateway-list 10.4.1.1
network 10.4.0.0 mask 255.255.0.0
dns-list 10.4.1.1
#
interface Vlan-interface20
ip address 10.1.1.3 255.255.0.0
#
interface Vlan-interface100
ip address 10.3.1.1 255.255.0.0
#
interface Vlan-interface200
ip address 10.4.1.1 255.255.0.0
#
interface Vlan-interface400
ip address 10.10.1.1 255.255.0.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 20 200
#
interface GigabitEthernet1/0/2
port link-type trunk
port trunk permit vlan 20 200
#
interface GigabitEthernet1/0/3
port link-type trunk
port trunk permit vlan 100
port trunk pvid vlan 100
#
interface GigabitEthernet1/0/4
port link-type access
port access vlan 400
#
ip route-static 0.0.0.0 0 10.10.1.2
#
· Access Switch
#
vlan 100
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 100
port trunk pvid vlan 100
#
interface GigabitEthernet1/0/2
port link-type access
port access vlan 100
poe enable
#
为了保证双链路场景下两台AC设备的配置一致，建议在TM角色的AC上进行相关配置，然后将这些配置同步到TC角色的AC上。
可同步的配置包括AP视图、AP组视图、全局配置视图、Radio视图、AP组Radio视图、无线服务模板视图等视图下的配置，以及接入认证相关的配置。
随着软件版本的更新，可同步配置会不断迭代更新。具体可同步的配置请根据设备的实际情况来确认。
|
视图 |
命令 |
描述 |
说明 |
|
系统视图 |
wlan global-configuration |
命令用来进入全局配置视图 |
执行命令后会进入视图，这些视图及其子视图下面的命令都会同步，但如下命令不会同步： · control-address { ip ipv4-address | ipv6 ipv6-address } · priority priority · backup-ac { ip ipv4-address | ipv6 ipv6-address } · portal { bas-ip ipv4-address | bas-ipv6 ipv6-address } · nas-id nas-identifier · nas-port-id nas-port-id · nas-ip { ipv4-address | ipv6 ipv6-address } |
|
wlan ap |
命令用来创建手工AP，并进入AP视图。如果指定的AP已经存在，则直接进入AP视图 |
||
|
wlan ap-group |
命令用来创建AP组，并进入AP组视图。如果指定的AP组已经存在，则直接进入AP组视图 |
||
|
wlan service-template |
命令用来创建无线服务模板，并进入无线服务模板视图。如果指定的无线服务模板已经存在，则直接进入无线服务模板视图 |
||
|
user-profile |
命令用来创建User Profile，并进入User Profile视图。如果指定的User Profile已经存在，则直接进入User Profile视图 |
||
|
configuration profile |
命令用来创建一个配置模板，指定AP的型号，并进入配置模板视图。如果指定的配置模板已经存在，则直接进入配置模板视图 |
||
|
wlan accounting-policy |
命令用来创建计费策略，并进入计费策略视图。如果指定的计费策略已经存在，则直接进入计费策略视图 |
||
|
radius dynamic-author server |
命令用来开启RADIUS DAE服务，并进入RADIUS DAE服务器视图 |
||
|
radius scheme |
命令用来创建RADIUS方案，并进入RADIUS方案视图。如果指定的RADIUS方案已经存在，则直接进入RADIUS方案视图 |
||
|
vlan-group |
命令用来创建一个VLAN组，并进入VLAN组视图。如果指定的VLAN组已经存在，则直接进入该VLAN组视图 |
||
|
vlan |
命令用来创建VLAN，并进入VLAN视图。如果指定的VLAN已存在，则直接进入该VLAN的视图 |
||
|
portal server |
命令用来创建Portal认证服务器，并进入Portal认证服务器视图。如果指定的Portal认证服务器已经存在，则直接进入Portal认证服务器视图 |
||
|
domain |
命令用来创建ISP域，并进入ISP域视图。如果指定的ISP域已经存在，则直接进入ISP域视图 |
||
|
eap-profile |
命令用来创建EAP认证方案，并进入EAP认证方案视图。如果指定的EAP认证方案已存在，则直接进入EAP认证方案视图 |
||
|
portal local-web-server |
命令用来开启本地Portal服务，并进入基于HTTP/HTTPS协议的本地Portal Web服务视图 |
||
|
portal extend-auth-server |
命令用来创建第三方认证服务器，并进入第三方认证服务器视图。如果指定的第三方认证服务器已经存在，则直接进入第三方认证服务器视图 |
||
|
portal mac-trigger-server |
命令用来创建MAC绑定服务器，并进入MAC绑定服务器视图。如果指定的MAC绑定服务器已经存在，则直接进入MAC绑定服务器视图 |
||
|
系统视图 |
acl logging interval |
命令用来配置报文过滤日志信息的生成与发送周期，同时开启报文的首包上送功能 |
- |
|
acl trap interval |
命令用来配置报文过滤告警信息的生成与发送周期 |
||
|
wlan nas-port-id format |
命令用来配置无线客户端的NAS-Port-ID属性的格式 |
||
|
radius session-control enable |
命令用来开启RADIUS session control功能 |
||
|
port-security enable |
命令用来开启端口安全 |
||
|
wlan client-security authentication clear-previous-connection |
命令用来开启已认证无线客户端再次上线认证清除旧连接功能 |
||
|
wlan authentication optimization |
命令用来配置802.1X认证、MAC地址认证及二层Portal认证的认证成功率、在线用户异常下线率的优化参数值 |
||
|
wlan password-failure-limit enable |
命令用来开启密码错误限制功能 |
||
|
dot1x authentication-method |
命令用来配置802.1X系统的认证方法 |
||
|
dot1x domain-delimiter |
命令用来配置802.1X支持的域名分隔符 |
||
|
dot1x retry |
命令用来设置设备向接入用户发送认证请求报文的最大次数 |
||
|
dot1x timer |
命令用来配置802.1X的定时器参数 |
||
|
domain default enable |
命令用来配置系统缺省的ISP域，所有在登录时没有提供ISP域名的用户都属于这个域 |
||
|
domain if-unknown |
命令用来为未知域名的用户指定ISP域 |
||
|
mac-authentication access-user log enable |
命令用来开启MAC地址认证接入用户日志信息功能 |
||
|
mac-authentication authentication-method |
命令用来配置MAC地址认证采用的认证方法 |
||
|
mac-authentication timer |
命令用来配置MAC地址认证的定时器参数 |
||
|
mac-authentication user-name-format |
命令用来配置MAC地址认证用户的账号格式 |
||
|
dns server |
命令用来配置域名服务器的IPv4地址 |
||
|
dns snooping enable |
命令用来开启DNS Snooping功能 |
大型WLAN网络中通常需要多个AC来管理大量AP，各个AC独立工作管理难度大，且单台AC设备的故障将导致其下连接的无线网络服务中断。为了解决上述问题，可以将多台AC组成IRF，并在成员AC之间进行AP热备份，既能保证对AP进行统一管理，同时对AP的信息进行备份，又能保证在有AC出现故障时，保持AP在线和无线服务不中断。
以AC是否为IRF中的主用设备将AC区分为以下角色：
· 主AC：即IRF中的主设备，负责管理整个IRF的资源。
· 从AC：即IRF中的从设备，处理业务、转发报文的同时作为主AC的备份设备运行。当主AC故障时，系统会自动从从AC中选举一个新的主AC接替原主AC工作。
以AC能否和AP建立CAPWAP隧道将AC区分为以下角色：
· 活跃AC：可以和AP建立CAPWAP隧道的AC，主AC一定是活跃AC。
· 非活跃AC：除活跃AC外的其它AC，不可以和AP建立CAPWAP隧道，非活跃AC仅能是从AC。当有活跃AC出现故障，非活跃AC将被选为活跃AC。
以AP和AC的位置关系将AC区分为直连AC和非直连AC，AP发起CAPWAP隧道连接时，IRF内收到AP首报文的AC为直连AC。
通过AP热备份，活跃AC会将连接的所有AP的信息备份到IRF内的其它AC上。当活跃AC发生故障，会重新选举一个主AC成为活跃AC，并恢复故障AC上的AP。
AP热备份配置任务如下：
(1) 开启AP热备份功能
配置AP热备份前，请先将要进行AP热备份的AC组成IRF，有关IRF的详细介绍和配置请参见“可靠性配置指导”中的“IRF”。
通过AP热备份，活跃AC会将连接的所有AP的信息备份到IRF内的其它AC上。当活跃AC发生故障，会重新选举一个主AC成为活跃AC，并恢复故障AC上的AP。
关闭AP热备份功能后，所有AC将删除其上已经备份的AP信息。
(1) 进入系统视图。
system-view
(2) 开启AP热备份功能。
wlan ap-backup hot-backup enable global
缺省情况下，AP热备份功能处于关闭状态。
在完成AP热备份配置后，在AC任意视图下执行display命令可以显示配置后的AP热备份状态，通过查看显示信息验证配置的效果。
表2-1 AP热备份显示和维护
|
操作 |
命令 |
|
显示IRF中所有成员AC的AP热备份状态 |
display wlan ap backup multislot |
大型WLAN网络中可以通过多台AC组成IRF实现成员AC之间对AP的热备份。当有AC发生故障，其他AC可以恢复故障AC上的AP，但由于AC之间没有备份客户端的数据，就需要客户端重新接入。为了解决上述问题，可以在开启AP热备份的基础上，在成员AC之间进行客户端热备份，保证AC出现故障时，AP和客户端仍能保持在线。
设备仅对客户端热备份功能开启后接入的客户端进行备份。关闭客户端热备份功能后，所有AC将删除其上已经备份的客户端信息。
客户端热备份功能需要与AP热备份功能配合使用，只有AP热备份功能和客户端热备份功能同时开启，客户端热备份功能才会生效。
开启AP热备份功能和客户端热备功能之后，活跃AC就能将其上连接的所有AP和客户端信息备份到IRF内的其它AC上。当活跃AC发生故障，主AC会选择一个AC来恢复故障AC上的AP和客户端信息。有关AP热备份功能和AC的选择规则请参见“AP热备份”。
(1) 进入系统视图。
system-view
(2) 开启客户端热备份功能。
wlan client-backup hot-backup enable
缺省情况下，客户端热备份功能处于关闭状态。
只有在客户端热备份功能开启的情况下，本功能才会生效。
本功能仅对新接入的客户端生效。
客户端上线后，如果在热备份延时时间内发生了主备AC切换，客户端需要重新上线。
客户端上线后，如果在热备份延时时间内主AC客户端管理进程发生重启，则只要发生主备AC切换，客户端就需要重新上线。
(1) 进入系统视图。
system-view
(2) 配置客户端热备份延时时间。
wlan client-backup hot-backup delay delay-time
缺省情况下，客户端热备份的延时时间为60秒。
完成客户端热备份配置且有客户端上线后，在AC任意视图下执行display命令可以显示客户端的备份信息。
表3-1 客户端热备份显示和维护
|
操作 |
命令 |
|
显示AC上备份的802.1X认证用户信息 |
display dot1x connection-backup [ ap ap-name [ radio radio-id ] ] slot slot-number |
|
显示AC上备份的MAC地址认证用户信息 |
display mac-authentication connection-backup [ ap ap-name [ radio radio-id ] ] slot slot-number |
|
显示IRF中指定成员设备上的客户端热备份信息 |
display wlan client-backup [ ap ap-name [ radio radio-id ] | mac-address mac-address ] [ verbose ] [ slot slot-number ] |
如图3-1所示，AC 1和AC 2组成IRF。配置其中一台AC作为活跃AC，并备份AP信息和客户端信息，保证客户端在线。
# 创建二层聚合接口1，并配置该聚合接口对应的聚合组工作在动态聚合模式下。
<Switch> system-view
[Switch] interface bridge-aggregation 1
[Switch-Bridge-Aggregation1] link-aggregation mode dynamic
[Switch-Bridge-Aggregation1] quit
# 将端口GigabitEthernet1/0/1加入到聚合组1中。
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-aggregation group 1
[Switch-GigabitEthernet1/0/1] quit
# 将端口GigabitEthernet1/0/2加入到聚合组1中。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-aggregation group 1
[Switch-GigabitEthernet1/0/2] quit
# 开启聚合流量重定向功能，实现聚合链路上流量的不中断。
[Switch] link-aggregation lacp traffic-redirect-notification enable
(1) 配置IRF端口
# 创建IRF端口1，并将端口Ten-GigabitEthernet1/0/25加入到IRF端口1。
<AC1> system-view
[AC1] interface ten-gigabitethernet 1/0/25
[AC1-Ten-GigabitEthernet1/0/25] shutdown
[AC1-Ten-GigabitEthernet1/0/25] quit
[AC1] irf-port 1
[AC1-irf-port1] port group interface ten-gigabitethernet 1/0/25
[AC1-irf-port1] quit
[AC1] interface ten-gigabitethernet 1/0/25
[AC1-Ten-GigabitEthernet1/0/25] undo shutdown
[AC1-Ten-GigabitEthernet1/0/25] quit
(2) 配置成员优先级
# 配置AC 1的优先级为2，用于保证AC 1可竞选为主设备。
[AC1] irf member 1 priority 2
(3) 激活IRF端口
# 保存配置并激活IRF端口配置。
[AC1] save
The current configuration will be written to the device. Are you sure? [Y/N]:y
Please input the file name(*.cfg)[cfa0:/startup.cfg]
(To leave the existing filename unchanged, press the enter key):
Validating file. Please wait...
Saved the current configuration to mainboard device successfully.
[AC1] irf-port-configuration active
(1) 配置成员编号
# 配置AC 2的成员编号为2，并重启设备使其生效。
<AC2> system-view
[AC2] irf member 1 renumber 2
Renumbering the member ID may result in configuration change or loss. Continue?[
Y/N]:y
[AC2] quit
<AC2> reboot
Start to check configuration with next startup configuration file, please wait..
.......DONE!
Current configuration may be lost after the reboot, save current configuration?
[Y/N]:y
Please input the file name(*.cfg)[cfa0:/startup.cfg]
(To leave the existing filename unchanged, press the enter key):
cfa0:/startup.cfg exists, overwrite? [Y/N]:y
Validating file. Please wait...
Saved the current configuration to mainboard device successfully.
This command will reboot the device. Continue? [Y/N]:y
Now rebooting, please wait...
(2) 配置IRF端口
# 创建IRF端口2，并将端口Ten-GigabitEthernet2/0/25加入到IRF端口2。
<AC2> system-view
[AC2] interface ten-gigabitethernet 2/0/25
[AC2-Ten-GigabitEthernet2/0/25] shutdown
[AC2-Ten-GigabitEthernet2/0/25] quit
[AC2] irf-port 2
[AC2-irf-port2] port group interface ten-gigabitethernet 2/0/25
[AC2-irf-port2] quit
[AC2] interface ten-gigabitethernet 2/0/25
[AC2-Ten-GigabitEthernet2/0/25] undo shutdown
[AC2-Ten-GigabitEthernet2/0/25] quit
(3) 激活IRF端口
# 保存配置并激活IRF端口配置。
[AC2] save
The current configuration will be written to the device. Are you sure? [Y/N]:y
Please input the file name(*.cfg)[cfa0:/startup.cfg]
(To leave the existing filename unchanged, press the enter key):
Validating file. Please wait...
Saved the current configuration to mainboard device successfully.
[AC2] irf-port-configuration active
System is starting...
# 完成以上配置后，AC 2会竞选成为备设备，和AC 1组成IRF。
如果IRF分裂后主备AC同时运行，则会出现IRF双主机，此时主备AC具有相同的IP地址，会导致网络冲突，可以通过MAD检测功能避免此问题。
# 将系统的名称设置为IRF以示区别。
<AC1> system-view
[AC1] system-name IRF
# 配置成员设备1的描述信息为AC 1，成员设备2的描述信息为AC 2。
[IRF] irf member 1 description AC 1
[IRF] irf member 2 description AC 2
# 创建二层聚合接口1，并配置该聚合接口对应的聚合组工作在动态聚合模式下。
[IRF] interface bridge-aggregation 1
[IRF-Bridge-Aggregation1] link-aggregation mode dynamic
# 开启LACP MAD检测功能。
[IRF-Bridge-Aggregation1] mad enable
[IRF-Bridge-Aggregation1] quit
# 开启聚合流量重定向功能，实现聚合链路上流量的不中断。
[IRF] link-aggregation lacp traffic-redirect-notification enable
# 将端口GigabitEthernet1/0/1加入到聚合组1中。
[IRF] interface gigabitethernet 1/0/1
[IRF-GigabitEthernet1/0/1] port link-aggregation group 1
[IRF-GigabitEthernet1/0/1] quit
# 将端口GigabitEthernet2/0/1加入到聚合组1中。
[IRF] interface gigabitethernet 2/0/1
[IRF-GigabitEthernet2/0/1] port link-aggregation group 1
[IRF-GigabitEthernet2/0/1] quit
(1) 配置AC的接口
# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。
[IRF] vlan 100
[IRF-vlan100] quit
[IRF] interface vlan-interface 100
[IRF-Vlan-interface100] ip address 192.168.1.2 24
[IRF-Vlan-interface100] quit
# 创建VLAN 200，Client使用该VLAN接入无线网络。
[IRF] vlan 200
[IRF-vlan200] quit
# 配置AC和Switch相连的二层聚合接口1为Trunk类型，允许VLAN 100和VLAN 200通过。
[IRF] interface bridge-aggregation 1
[IRF-Bridge-Aggregation1] port link-type trunk
[IRF-Bridge-Aggregation1] port trunk permit vlan 100 200
[IRF-Bridge-Aggregation1] quit
(2) 配置无线服务
# 创建无线服务模板1，并进入无线服务模板视图。
[IRF] wlan service-template 1
# 配置SSID为service。
[IRF-wlan-st-1] ssid service
# 配置无线客户端上线后将被加入到VLAN 200。
[IRF-wlan-st-1] vlan 200
# 配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。
[IRF-wlan-st-1] akm mode psk
[IRF-wlan-st-1] preshared-key pass-phrase simple 12345678
# 配置加密套件为CCMP，安全信息元素为RSN。
[IRF-wlan-st-1] cipher-suite ccmp
[IRF-wlan-st-1] security-ie rsn
# 配置客户端数据报文转发位置为AC。（如果客户端数据报文的缺省转发位置与本配置相同，请跳过此步骤）
[IRF-wlan-st-1] client forwarding-location ac
# 开启无线服务模板。
[IRF-wlan-st-1] service-template enable
[IRF-wlan-st-1] quit
(3) 配置AP
在大规模组网时，推荐在AP组内进行配置。
# 创建手工AP，名称为ap1，型号名称为WA6520，设置AP序列号为219801A28N819CE0002T。
[IRF] wlan ap ap1 model WA6520
[IRF-wlan-ap-ap1] serial-id 219801A28N819CE0002T
[IRF-wlan-ap-ap1] quit
# 创建AP组group1，并配置AP名称入组规则。
[IRF] wlan ap-group group1
[IRF-wlan-ap-group-group1] ap ap1
# 进入Radio 2视图。
[IRF-wlan-ap-group-group1] ap-model WA6520
[IRF-wlan-ap-group-group1-ap-model-WA6520] radio 2
# 将无线服务模板1绑定到AP组group1下的Radio 2上。
[IRF-wlan-ap-group-group1-ap-model-WA6520-radio-2] service-template 1
# 开启Radio 2的射频功能。
[IRF-wlan-ap-group-group1-ap-model-WA6520-radio-2] radio enable
[IRF-wlan-ap-group-group1-ap-model-WA6520-radio-2] quit
[IRF-wlan-ap-group-group1-ap-model-WA6520] quit
[IRF-wlan-ap-group-group1] quit
(4) 配置AP热备份和客户端热备份功能
# 开启AP热备份功能。
[IRF] wlan ap-backup hot-backup enable global
# 开启客户端热备份功能。
[IRF] wlan client-backup hot-backup enable
(5) 配置Switch的接口
# 创建VLAN 100、VLAN 200和VLAN 300及其对应接口，并为该接口配置IP地址。VLAN 100用于转发AC和AP间CAPWAP隧道内的流量，VLAN 200用于转发Client无线报文，VLAN 300用于转发去往或者来自于Internet的流量。
[Switch] vlan 100
[Switch-vlan100] quit
[Switch] interface vlan-interface 100
[Switch-Vlan-interface100] ip address 192.168.1.1 24
[Switch-Vlan-interface100] quit
[Switch] vlan 200
[Switch-vlan200] quit
[Switch] interface vlan-interface 200
[Switch-Vlan-interface200] ip address 192.168.2.1 24
[Switch-Vlan-interface200] quit
[Switch] vlan 300
[Switch-vlan300] quit
[Switch] interface vlan-interface 300
[Switch-Vlan-interface300] ip address 192.168.3.1 24
[Switch-Vlan-interface300] quit
# 配置Switch和AC相连的二层聚合接口1为Trunk类型，允许VLAN 100和VLAN 200通过。
[Switch] interface bridge-aggregation 1
[Switch-Bridge-Aggregation1] port link-type trunk
[Switch-Bridge-Aggregation1] port trunk permit vlan 100 200
[Switch-Bridge-Aggregation1] quit
# 配置Switch和AP相连的接口GigabitEthernet1/0/4为Trunk类型，允许VLAN 100通过，当前Trunk口的PVID为100。
[Switch] interface gigabitethernet 1/0/4
[Switch-GigabitEthernet1/0/4] port link-type trunk
[Switch-GigabitEthernet1/0/4] port trunk permit vlan 100
[Switch-GigabitEthernet1/0/4] port trunk pvid vlan 100
# 开启Switch和AP相连的接口GigabitEthernet1/0/4的PoE供电功能。
[Switch-GigabitEthernet1/0/4] poe enable
[Switch-GigabitEthernet1/0/4] quit
# 配置Switch与Internet相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN 300通过。
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] port link-type access
[Switch-GigabitEthernet1/0/3] port access vlan 300
[Switch-GigabitEthernet1/0/3] quit
# 配置Switch去往Internet的缺省路由。
[Switch] ip route-static 0.0.0.0 0 192.168.3.2
(6) 配置DHCP服务
# 开启DHCP功能。
[Switch] dhcp enable
# 创建名为vlan100的DHCP地址池，为AP分配IP地址。配置地址池动态分配的网段为192.168.1.0/24，地址池中不参与自动分配的IP地址为192.168.1.2，网关地址为192.168.1.1。
[Switch] dhcp server ip-pool vlan100
[Switch-dhcp-pool-vlan100] network 192.168.1.0 mask 255.255.255.0
[Switch-dhcp-pool-vlan100] forbidden-ip 192.168.1.2
[Switch-dhcp-pool-vlan100] gateway-list 192.168.1.1
[Switch-dhcp-pool-vlan100] quit
# 创建名为vlan200的DHCP地址池，为Client分配IP地址。配置地址池动态分配的网段为192.168.2.0/24，为Client分配的DNS服务器地址为网关地址（实际使用过程中请根据实际网络规划配置无线客户端的DNS服务器地址），网关地址为192.168.2.1。
[Switch] dhcp server ip-pool vlan200
[Switch-dhcp-pool-vlan200] network 192.168.2.0 mask 255.255.255.0
[Switch-dhcp-pool-vlan200] gateway-list 192.168.2.1
[Switch-dhcp-pool-vlan200] dns-list 192.168.2.1
[Switch-dhcp-pool-vlan200] quit
完成上述配置后，可以使用display wlan client-backup命令查看到指定成员设备上的客户端热备份信息。
[IRF] display wlan client-backup slot 2
Total number of clients: 1
MAC address User name AP name R IP address VLAN
7854-2e1c-c59e N/A ap1 2 192.168.2.2 200
· IRF
#
sysname IRF
#
irf member 1 priority 2
irf member 2 priority 1
irf member 1 description AC 1
irf member 2 description AC 2
#
link-aggregation lacp traffic-redirect-notification enable
#
vlan 100
#
vlan 200
#
irf-port 1
port group interface Ten-GigabitEthernet1/0/25
#
irf-port 2
port group interface Ten-GigabitEthernet2/0/25
#
wlan service-template 1
ssid service
vlan 200
client forwarding-location ac
akm mode psk
preshared-key pass-phrase cipher $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM
cipher-suite ccmp
security-ie rsn
service-template enable
#
interface Bridge-Aggregation1
port link-type trunk
port trunk permit vlan 1 100 200
link-aggregation mode dynamic
mad enable
#
interface Vlan-interface100
ip address 192.168.1.2 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 1 100 200
port link-aggregation group 1
#
interface GigabitEthernet2/0/1
port link-type trunk
port trunk permit vlan 1 100 200
port link-aggregation group 1
#
wlan client-backup hot-backup enable
#
wlan ap-backup hot-backup enable global
#
wlan ap-group group1
ap ap1
ap-model WA6520
radio 2
radio enable
service-template 1
#
wlan ap ap1 model WA6520
serial-id 219801A28N819CE0002T
#
· Switch
#
link-aggregation lacp traffic-redirect-notification enable
#
dhcp enable
#
vlan 100
#
vlan 200
#
vlan 300
#
dhcp server ip-pool vlan100
gateway-list 192.168.1.1
network 192.168.1.0 mask 255.255.255.0
forbidden-ip 192.168.1.2
#
dhcp server ip-pool vlan200
gateway-list 192.168.2.1
network 192.168.2.0 mask 255.255.255.0
dns-list 192.168.2.1
#
interface Bridge-Aggregation1
port link-type trunk
port trunk permit vlan 1 100 200
link-aggregation mode dynamic
#
interface Vlan-interface100
ip address 192.168.1.1 255.255.255.0
#
interface Vlan-interface200
ip address 192.168.2.1 255.255.255.0
#
interface Vlan-interface300
ip address 192.168.3.1 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 1 100 200
port link-aggregation group 1
#
interface GigabitEthernet1/0/2
port link-type trunk
port trunk permit vlan 1 100 200
port link-aggregation group 1
#
interface GigabitEthernet1/0/3
port access vlan 300
#
interface GigabitEthernet1/0/4
port link-type trunk
port trunk permit vlan 1 100
port trunk pvid vlan 100
poe enable
#
ip route-static 0.0.0.0 0 192.168.3.2
#
当AC的上行链路出现故障时，该AC将无法提供访问外部网络的服务，而已关联的无线客户端无法感知AC上行链路的故障，因此不能自动切换接入的无线网络。通过配置WLAN上行链路检测功能，可以将AC下的AP射频状态与上行链路状态进行关联，及时关闭不能正常提供服务的射频，使无线客户端能够主动切换至其它无线网络。
当AP的上行链路出现故障时，该AP将无法提供访问外部网络的服务，而已关联的无线客户端无法感知AP上行链路的故障，因此不能自动切换接入的无线网络。通过配置WLAN上行链路检测功能，可以将AP的射频状态或者无线服务状态与上行链路状态进行关联，及时关闭不能正常提供服务的射频或者无线服务，使无线客户端能够主动切换至其它无线网络。
上行链路检测功能的实现方式是将监测模块、Track项与WLAN上行链路检测模块进行联动。监测模块负责监测上行链路的可达性；Track模块根据监测模块的监测结果改变Track项的状态；WLAN上行链路检测模块根据Track项的状态调整射频的工作状态：
· 如果Track项状态为Positive，则允许开启AP射频。
· 如果Track项状态为Negative，则关闭AP射频。
· 如果Track项状态为NotReady，则不更改AP射频的当前状态。
上行链路检测功能的实现方式是将监测模块、Track项与WLAN上行链路检测模块进行联动。监测模块负责监测上行链路的可达性；Track模块根据监测模块的监测结果改变Track项的状态；WLAN上行链路检测模块根据Track项的状态调整射频或者无线服务的工作状态：
· 如果Track项状态为Positive，则允许开启AP射频或者无线服务。
· 如果Track项状态为Negative，则关闭AP射频或者无线服务。
· 如果Track项状态为NotReady，则不更改AP射频或者无线服务的当前状态。
有关Track的详细介绍和配置，请参见“可靠性配置指导”中的“Track”。
为使WLAN上行链路检测功能能够正常运行，需要先配置对上行链路进行监测的监测模块，并将配置的监测模块与Track进行联动。有关Track支持联动的监测模块类型和Track与监测模块进行联动的详细配置请参见“可靠性配置指导”中的“Track”。
(1) 进入系统视图。
system-view
(2) 配置WLAN上行链路检测与Track项联动。
wlan uplink track track-entry-number
缺省情况下，未配置WLAN上行链路检测与任何Track项联动。
AC 1管理的AP 1和AC 2管理的AP 2共同为一个区域的无线客户端提供服务。要求在AC上配置WLAN上行链路检测功能，使用NQA测试组监测上行链路可达性。当AC发现上行链路出现故障，其管理的AP的Radio将被关闭，让客户端仅可以通过上行链路正常工作的AC下的AP接入网络。
图4-1 WLAN上行链路检测典型组网图
(1) 配置AC 1
# 创建ICMP-echo类型的NQA测试组。
<AC1> system-view
[AC1] nqa entry admin test
[AC1-nqa-admin-test] type icmp-echo
# 配置ICMP-echo测试操作中探测报文的目的IPv4地址为10.1.1.1。
[AC1-nqa-admin-test-icmp-echo] destination ip 10.1.1.1
# 配置测试频率为100ms。
[AC1-nqa-admin-test-icmp-echo] frequency 100
# 建立序号为1的联动项，连续探测失败5次，触发其他模块联动。
[AC1-nqa-admin-test-icmp-echo] reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
[AC1-nqa-admin-test-icmp-echo] quit
# 启动ICMP-echo测试操作。
[AC1] nqa schedule admin test start-time now lifetime forever
# 创建与NQA测试组（管理员为admin，操作标签为test）中联动项1关联的Track项1。
[AC1] track 1 nqa entry admin test reaction 1
# 配置上行链路检测与Track项1关联。
[AC1] wlan uplink track 1
# 创建VLAN 400，并配置IP地址，用于转发去往上行链路的流量。
[AC1] vlan 400
[AC1-vlan400] quit
[AC1] interface vlan-interface 400
[AC1-Vlan-interface400] ip address 10.1.1.2 24
[AC1-Vlan-interface400] quit
# 配置AC1与上行链路相连的GigabitEthernet1/0/1接口属性为Access，并允许VLAN 400通过。
[AC1] interface gigabitethernet 1/0/1
[AC1-GigabitEthernet1/0/1] port link-type access
[AC1-GigabitEthernet1/0/1] port access vlan 400
[AC1-GigabitEthernet1/0/1] quit
# 配置AC1缺省路由下一跳为Router的IP地址10.1.1.1。
[AC1] ip route-static 0.0.0.0 0 10.1.1.1
(2) 配置AC 2
# 创建ICMP-echo类型的NQA测试组。
<AC2> system-view
[AC2] nqa entry admin test
[AC2-nqa-admin-test] type icmp-echo
# 配置ICMP-echo测试操作中探测报文的目的IPv4地址为11.1.1.1。
[AC2-nqa-admin-test-icmp-echo] destination ip 11.1.1.1
# 配置测试频率为100ms。
[AC2-nqa-admin-test-icmp-echo] frequency 100
# 建立序号为1的联动项，连续探测失败5次，触发其他模块联动。
[AC2-nqa-admin-test-icmp-echo] reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
[AC2-nqa-admin-test-icmp-echo] quit
# 启动ICMP-echo测试操作。
[AC2] nqa schedule admin test start-time now lifetime forever
# 创建与NQA测试组（管理员为admin，操作标签为test）中联动项1关联的Track项1。
[AC2] track 1 nqa entry admin test reaction 1
# 配置上行链路检测与Track项1关联。
[AC2] wlan uplink track 1
# 创建VLAN 400，并配置IP地址，用于转发去往上行链路的流量。
[AC2] vlan 400
[AC2-vlan400] quit
[AC2] interface vlan-interface 400
[AC2-Vlan-interface400] ip address 11.1.1.2 24
[AC2-Vlan-interface400] quit
# 配置AC2与上行链路相连的GigabitEthernet1/0/1接口属性为Access，并允许VLAN 400通过。
[AC2] interface gigabitethernet 1/0/1
[AC2-GigabitEthernet1/0/1] port link-type access
[AC2-GigabitEthernet1/0/1] port access vlan 400
[AC2-GigabitEthernet1/0/1] quit
# 配置AC2缺省路由下一跳为Router的IP地址11.1.1.1。
[AC2] ip route-static 0.0.0.0 0 11.1.1.1
(3) 配置Router
# 配置Router与Switch 1相连的接口GigabitEthernet1/0/1的IP地址。
<Router> system-view
[Router] interface gigabitethernet 1/0/1
[Router-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0
[Router-GigabitEthernet1/0/1] quit
# 配置Router与Switch 2相连的接口GigabitEthernet1/0/2的IP地址。
[Router] interface gigabitethernet 1/0/2
[Router-GigabitEthernet1/0/2] ip address 11.1.1.1 255.255.255.0
[Router-GigabitEthernet1/0/2] quit
# 完成以上配置后，通过display track命令和display wlan ap命令查看Track项的信息和AP的信息可以看到当Track项状态为Positive时，AP的射频状态为Up。
· 查看Track项1的信息。
<AC1> display track 1
Track ID: 1
State: Positive
Duration: 0 days 0 hours 0 minutes 32 seconds
Tracked object type: NQA
Notification delay: Positive 0, Negative 0 (in seconds)
Tracked object:
NQA entry: admin test
Reaction: 1
Remote IP/URL: 10.1.1.1
Local IP: --
Interface: --
· 查看ap1的详细信息。
<AC1> display wlan ap name ap1 verbose
AP name : ap1
AP ID : 1
……略……
Radio 1:
BSSID : d461-fe59-4d20
State : Up
……略……
Radio 2:
BSSID : d461-fe59-4d30
State : Up
……略……
# 当Track项状态为Negative时，AP的射频状态为Down。
· 查看Track项1的信息。
<AC1> display track 1
Track ID: 1
State: Negative
Duration: 0 days 0 hours 0 minutes 29 seconds
Tracked object type: NQA
Notification delay: Positive 0, Negative 0 (in seconds)
Tracked object:
NQA entry: admin test
Reaction: 1
Remote IP/URL: 10.1.1.1
Local IP: --
Interface: --
· 查看ap1的详细信息。
<AC1> display wlan ap name ap1 verbose
AP name : ap1
AP ID : 1
……略……
Radio 1:
BSSID : d461-fe59-4d20
State : Down
……略……
Radio 2:
BSSID : d461-fe59-4d30
State : Down
……略……
· AC1
#
track 1 nqa entry admin test reaction 1
#
vlan 400
#
nqa entry admin test
type icmp-echo
destination ip 10.1.1.1
frequency 100
reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
#
nqa schedule admin test start-time now lifetime forever
#
interface Vlan-interface400
ip address 10.1.1.2 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-mode bridge
port access vlan 400
#
ip route-static 0.0.0.0 0 10.1.1.1
#
wlan uplink track 1
#
· AC2
#
track 1 nqa entry admin test reaction 1
#
vlan 400
#
nqa entry admin test
type icmp-echo
destination ip 11.1.1.1
frequency 100
reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
#
nqa schedule admin test start-time now lifetime forever
#
interface Vlan-interface400
ip address 11.1.1.2 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-mode bridge
port access vlan 400
#
ip route-static 0.0.0.0 0 11.1.1.1
#
wlan uplink track 1
#
· Router
#
interface GigabitEthernet1/0/1
port link-mode route
ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet1/0/2
port link-mode route
ip address 11.1.1.1 255.255.255.0
#
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
