配置安全策略为WPA认证（PSK认证+TKIP加密）的业务示例

华为WLAN专题报道【详细模版命令解释】【组网模式大分析】

请查看这里：

http://www.elvhome.com/html/20151110/2015111010100652851.html

配置安全策略为WPA认证（PSK认证+TKIP加密）的业务示例

适用的AC：AC6605、AC6005

适用的AP：所有形态的AP

组网需求

如图1所示，现有网络中AC连接上层网络，并通过接入交换机连接管理AP。

若在无线网络中使用WEP认证加密的安全策略，安全性比较低，加密的数据比较容易被破解。用户希望通过配置WPA-PSK认证和TKIP加密的方式，加强无线网络中的数据安全。

图1 组网配置图

数据规划

配置流程

按照图1进行物理连接，保证AC与IP骨干网之间网络连接正常。

配置接入交换机，保证AC与AP二层互通。

在AC上配置WLAN相关业务。

业务下发至AP，用户完成业务验证。

配置注意事项

接入交换机或AC上直接接AP的端口，需要添加管理VLAN tag。AP上为零配置。

业务IP地址池给STA分配IP地址，管理IP地址池给AP分配IP地址，两种地址池需要分开配置。

需要将所有二层交换机在AP管理VLAN和业务VLAN内的下行口上配置端口隔离，如果不配置端口隔离，可能会在VLAN内存在不必要的广播报文，或者导致不同AP间的WLAN用户二层互通的问题。端口隔离功能未开启时，建议从接入交换机到AC之间的所有网络设备的接口都配置undo port trunk allow-pass vlan 1，防止引起报文冲突，占用端口资源。

操作步骤

1、配置接入交换机

# 使接入交换机透传所有的业务VLAN，由接入交换机给AP管理报文添加VLAN 100 tag，配置AP到AC之间VLAN 100互通。直接转发模式下需要配置AP到AC之间业务VLAN 101内互通

<Quidway> system-view
[Quidway] vlan batch 101 100
[Quidway] interface ethernet 0/0/1
[Quidway-Ethernet0/0/1] port link-type trunk
[Quidway-Ethernet0/0/1] port trunk pvid vlan 100
[Quidway-Ethernet0/0/1] port trunk allow-pass vlan 101 100
[Quidway-Ethernet0/0/1] port-isolate enable
[Quidway-Ethernet0/0/1] quit
[Quidway] interface gigabitEthernet 0/0/1
[Quidway-GigabitEthernet0/0/1] port link-type trunk
[Quidway-GigabitEthernet0/0/1] port trunk allow-pass vlan 101 100
[Quidway-GigabitEthernet0/0/1] quit

 2、配置AC

a、配置AC，使AP与AC之间能够传输管理报文和业务报文 

# 配置AC，将接口GE0/0/1加入VLAN100、VLAN101

<AC6605> system-view
[AC6605] sysname AC[AC] vlan batch 100 101
[AC] interface gigabitethernet 0/0/1
[AC-GigabitEthernet0/0/1] port link-type trunk
[AC-GigabitEthernet0/0/1] port trunk allow-pass vlan 100 to 101
[AC-GigabitEthernet0/0/1] quit

b、配置AC与上层网络设备互通

说明： 根据实际组网情况在AC上行口配置业务VLAN透传，和上行网络设备互通。

# 配置AC上行接口GE0/0/2加入VLAN101。

[AC] interface gigabitethernet 0/0/2
[AC-GigabitEthernet0/0/2] port link-type trunk
[AC-GigabitEthernet0/0/2] port trunk allow-pass vlan 101
[AC-GigabitEthernet0/0/2] quit

c、配置AC作为AP和STA的DHCP服务器

[AC] interface Vlanif 100
[AC-Vlanif100] ip address 192.168.10.1 24
[AC-Vlanif100] dhcp select interface
[AC-Vlanif100] quit[AC] interface Vlanif 101
[AC-Vlanif101] ip address 192.168.11.1 24
[AC-Vlanif101] dhcp select interface
[AC-Vlanif101] quit

d、配置AC的全局参数

# 配置AC的国家码、AC ID、运营商标识和AC的源接口

[AC] wlan ac-global country-code cn
  Warning: Modify the country code may delete configuration on those AP which use the global country code and reset them, are you sure to continue?[Y/N]:y 
[AC] wlan ac-global ac id 1 carrier id other
[AC] wlan
[AC-wlan-view] wlan ac source interface vlanif 100

e、配置AP并上线

# 配置AP的认证方式为MAC认证

[AC-wlan-view] ap-auth-mode mac-auth

# 根据查询到的AP设备类型ID（AP6010DN-AGN type-id为19），离线添加AP

[AC-wlan-view] ap id 1 type-id 19 mac 60de-4476-e360

# 将AP加入指定域

[AC-wlan-view] ap-region id 101
[AC-wlan-ap-region-101] quit
[AC-wlan-view] ap id 1
[AC-wlan-ap-1] region-id 101
[AC-wlan-ap-1] quit

# 查看AP的上线状态

f、配置WLAN-ESS虚接口

[AC] interface wlan-ess 0
[AC-Wlan-Ess0] port hybrid pvid vlan 101
[AC-Wlan-Ess0] port hybrid untagged vlan 101
[AC-Wlan-Ess0] quit

g、配置WLAN业务参数

# 配置WMM模板和射频模板，参数采用默认配置，将WMM模板绑定到射频模板

[AC] wlan[AC-wlan-view] wmm-profile name huawei-ap1
[AC-wlan-wmm-prof-huawei-ap1] quit
[AC-wlan-view] radio-profile name huawei-ap1
[AC-wlan-radio-prof-huawei-ap1] wmm-profile name huawei-ap1
[AC-wlan-radio-prof-huawei-ap1] quit

# 配置安全模板,设置安全策略为WPA认证，认证方式为预共享密钥方式，加密方式为TKIP，加密密钥为12345678

[AC-wlan-view] security-profile name huawei-ap
[AC-wlan-sec-prof-huawei-ap] security-policy wpa
[AC-wlan-sec-prof-huawei-ap] wpa authentication-method psk pass-phrase cipher 12345678 encryption-method tkip
[AC-wlan-sec-prof-huawei-ap] quit

# 配置流量模板，参数采用默认配置

[AC-wlan-view] traffic-profile name huawei-ap
[AC-wlan-traffic-prof-huawei-ap] quit

# 配置AP1的服务集，设置数据转发模式为直接转发。默认转发模式为直接转发

[AC-wlan-view] service-set name huawei-1
[AC-wlan-service-set-huawei-1] ssid huawei
[AC-wlan-service-set-huawei-1] wlan-ess 0
[AC-wlan-service-set-huawei-1] service-vlan 101
[AC-wlan-service-set-huawei-1] security-profile name huawei-ap
[AC-wlan-service-set-huawei-1] traffic-profile name huawei-ap
[AC-wlan-service-set-huawei-1] forward-mode direct-forward
[AC-wlan-service-set-huawei-1] quit

h、配置AP对应的VAP并下发配置

[AC-wlan-view] ap 1 radio 0
[AC-wlan-radio-1/0] radio-profile name huawei-ap1
[AC-wlan-radio-1/0] service-set name huawei-1
[AC-wlan-radio-1/0] quit
[AC-wlan-view] commit ap 1
  Warning: Committing configuration may cause service interruption,continue?[Y/N] y

4、验证配置结果

 无线用户可以搜索到SSID为huawei的WLAN网络，用户需要输入预共享密钥12345678才能正常使用WLAN服务。

用户在AC使用命令display security-profile { all | { id profile-id | name profile-name } [ detail ] }命令，可以查询到接入安全的配置策略。

在AC的WLAN视图下使用命令display statistics sta mac-address，可以查看到关联PC的认证统计信息。