wlan技術(shù)培訓(xùn)ppt課件-資料下載頁(yè)

　　

【正文】 定的VLAN構(gòu)成一個(gè)虛接口。 虛接口的概念在瘦 AP架構(gòu)的集中轉(zhuǎn)發(fā)中非常重要。 啟用 NAT 在只有一個(gè)虛接口可以進(jìn)入公網(wǎng)時(shí)，其他的虛接口可以通過(guò) NAT來(lái)進(jìn)入公網(wǎng)， NAT也解決了公網(wǎng)地址不夠的問(wèn)題。 要在可以進(jìn)公網(wǎng)的虛接口開(kāi) NAT。 案例分析 業(yè)務(wù) VLAN有 3個(gè)： 第一個(gè) VLAN100為校園網(wǎng)，對(duì)應(yīng)的 SSID為 CMedu，在 AC上啟用 DHCP服務(wù)器，分配地址范圍， ~。 第二個(gè) VLAN200為移動(dòng)網(wǎng)，對(duì)應(yīng)的 SSID為 CMCC，在 AC上啟用 DHCP服務(wù)器，分配地址范圍， ~ 第三個(gè)為 VLAN300是有線網(wǎng)。，在思科設(shè)備上啟用 DHCP服務(wù)器，分配地址： ～ ,該地址必須和校園服務(wù)器的子網(wǎng)在一個(gè)網(wǎng)段。 外網(wǎng)的認(rèn)證： 學(xué)生登錄到 CMCC，業(yè)務(wù) VLAN打 VLAN200， AP通過(guò)隧道傳送到 AC， AC的 WLAN接口和另外臺(tái) AC的認(rèn)證模塊相連接，由 AC的認(rèn)證模塊對(duì)用戶(hù)鑒權(quán)、認(rèn)證。用戶(hù)的出口換在思科設(shè)備上打 VLAN200，和移動(dòng)城域網(wǎng)連接，提供用戶(hù)上網(wǎng)服務(wù)。 校園網(wǎng)： 學(xué)生登錄到 CMCCEDU，業(yè)務(wù)數(shù)據(jù)打 VLAN100，采用本地轉(zhuǎn)發(fā)模式，通話匯聚交換機(jī)思科設(shè)備上連接到校園服務(wù)器上，學(xué)生登錄校園網(wǎng)，由校園網(wǎng)服務(wù)器進(jìn)行認(rèn)證。 有線網(wǎng)： 學(xué)生通過(guò)有線連接到 ONU，為有線用戶(hù)打 VLAN300，該業(yè)務(wù)VLAN300通過(guò) OLT連接到匯聚交換機(jī)思科設(shè)備上，而有線采用移動(dòng)租用寬帶，在校園內(nèi)部的認(rèn)證服務(wù)器對(duì)學(xué)生進(jìn)行認(rèn)證計(jì)費(fèi)，為學(xué)生用戶(hù)提供上網(wǎng)業(yè)務(wù)。 AC分工： 一臺(tái) AC負(fù)責(zé)對(duì) AP進(jìn)行管理，對(duì) AC分配公網(wǎng) IP地址，另外一臺(tái)負(fù)責(zé)對(duì)移動(dòng)的用戶(hù)認(rèn)證鑒權(quán)計(jì)費(fèi)。 DHCP服務(wù)池的分配： AC有兩個(gè) DHCP池， VLAN100DHCP服務(wù)器，VLAN200 DHCP服務(wù)器，匯聚交換機(jī) 6509上有一個(gè) DHCP池， VLAN300 DHCP服務(wù)器。 Protal/Radius CMNET AC(1+1) Transmission Network AAA Server Web Server DHCP Server NM Server Antenna AP Switches Aggregation switches Core switches WLAN覆蓋示意圖 AAA Server 城域網(wǎng)解決方案 描述： 在本網(wǎng)絡(luò)架構(gòu)中，無(wú)線終端的數(shù)據(jù)報(bào)文在到達(dá)AP后，被 AP以隧道封裝后送達(dá)無(wú)線交換機(jī)的 LAN端口，解封后丟到WAN端口。 無(wú)線終端同樣需要經(jīng)過(guò) Bras的接入認(rèn)證后才能訪問(wèn) Inter。 特點(diǎn)： 無(wú)需對(duì)現(xiàn)有網(wǎng)絡(luò)做任何變更 無(wú)線網(wǎng)絡(luò)和有線網(wǎng)絡(luò)完全隔離 可以通過(guò) VLAN對(duì)無(wú)線用戶(hù)進(jìn)行隔離。 路由器 BRAS 交換機(jī) Inter 以太網(wǎng) 交換機(jī) 城域網(wǎng) 無(wú)線交換機(jī) 路由器 運(yùn)營(yíng)商 AAA Server 校園網(wǎng)解決方案 交換機(jī) Inter 交換機(jī) 校園網(wǎng) 無(wú)線交換機(jī) 交換機(jī) 描述： 校園網(wǎng)目前遇到的主要問(wèn)題是雙重認(rèn)證的問(wèn)題：用戶(hù)訪問(wèn)校園網(wǎng)要認(rèn)證，但不收費(fèi)，用戶(hù)訪問(wèn)外網(wǎng)要認(rèn)證，要收費(fèi)。 特點(diǎn)： 支持 WEB和 重認(rèn)證。可以定義需要進(jìn)行 WEB認(rèn)證的目的 IP地址的黑白名單。 用戶(hù)首先進(jìn)行 認(rèn)證，以訪問(wèn)無(wú)線網(wǎng)絡(luò)。 當(dāng)用戶(hù)訪問(wèn)的 IP不在白名單內(nèi)時(shí)，會(huì)彈出 WEB登陸界面。 BRAS 學(xué)校 AAA Server 訪問(wèn)外網(wǎng) 訪問(wèn)校園網(wǎng) GO 需要注意的技術(shù)問(wèn)題 提請(qǐng)注意的問(wèn)題 虛擬局域網(wǎng)的問(wèn)題 瘦 AP與無(wú)線控制器的關(guān)聯(lián)方式 隧道安全機(jī)制的不同 虛擬局域網(wǎng)的問(wèn)題 出于安全的考慮，目前以 AP為單位劃分了 VLAN，那么這對(duì)于瘦 AP與無(wú)線控制器的通信是否會(huì)造成影響 ? 如通過(guò) DHCP服務(wù)器 ，瘦 AP與 AC設(shè)備的 IP地址分屬于不同的局域網(wǎng)。此時(shí)這兩個(gè)設(shè)備雖然通過(guò) 路由器 仍然可以進(jìn)行通信，但是對(duì)于其傳遞的管理信息是否會(huì)造成不利的影響呢 ? 通常情況下是不會(huì)造成不利影響的，或者說(shuō)，其不利影響可以忽略不計(jì)。這主要是因?yàn)樗淼婪庋b的原因：在 AC與瘦 AP進(jìn)行數(shù)據(jù)傳送時(shí)，隧道會(huì)將他們之間需要傳送的數(shù)據(jù)封裝到 IP分組中，從而可以跨越虛擬局域網(wǎng)交換或者路由這些信息。如果此時(shí)需要通過(guò)路由器來(lái)進(jìn)行路由，那么在傳送的環(huán)節(jié)中就多出了一環(huán)，速率會(huì)稍微受到了一些影響，不過(guò)除非這個(gè)路由器是企業(yè)網(wǎng)絡(luò)中的瓶頸資源，否則的話，這個(gè)不利影響可以忽略不計(jì)。 不過(guò)如果部署在不同的 VLAN中，對(duì)于后續(xù)故障的排查也會(huì)產(chǎn)生不利的影響。比如說(shuō)當(dāng) AC與瘦 AP無(wú)法正常通信的話，那么造成這個(gè)故障的原因還需要考慮路由器路由信息的原因，遇到故障的時(shí)候，就必須多測(cè)試幾個(gè)地方。所以雖然 AC與瘦 AP可以分屬于不同 VLAN，但是，為了后續(xù)工作的方便，盡量不要這么做，盡量部署在相同的 VLAN中，把他們部署在不同的 VLAN中只是不得已而為之的做法。比如企業(yè)中有三個(gè) AP，分屬于三個(gè)不同的 VLAN，此時(shí)，為他們分別配制三個(gè)不同的無(wú)線局域網(wǎng)控制器則顯然是不合理的。在遇到這種情況時(shí)，只需要配備一個(gè)無(wú)線局域網(wǎng)控制器。對(duì)它們進(jìn)行統(tǒng)一管理。 瘦 AP與 AC的關(guān)聯(lián)方式 從上面的工作原理我們可以看到，瘦 AP主動(dòng)與 AC進(jìn)行聯(lián)系，如果無(wú)線網(wǎng)絡(luò)比較復(fù)雜，有多臺(tái) AC的話， AP會(huì)與哪個(gè)無(wú)線局域網(wǎng)控制器進(jìn)行綁定的 ? 這個(gè)主動(dòng)權(quán)主要在瘦 AP，而不在于 AC上。通常情況下，瘦 AP會(huì)發(fā)送廣播信息，以獲得其周邊的所有無(wú)線局域網(wǎng)控制器的 IP地址，根據(jù)得到 IP地址時(shí)間的先后順序，依次進(jìn)行連接請(qǐng)求，并自動(dòng)綁定第一個(gè)允許其連接請(qǐng)求的 AC。但是，這往往會(huì)造成管理上的混亂。出于負(fù)載均衡或者安全的需要，需要將 AP能夠綁定到特定的 AC上去。 隧道安全機(jī)制的不同 在瘦 AP與 AC進(jìn)行通信時(shí)，會(huì)采用兩條隧道，分別用來(lái)傳送控制信息與數(shù)據(jù)信息。通常情況下，控制報(bào)文在傳送的過(guò)程中是不加密的，而數(shù)據(jù)報(bào)文在傳送的過(guò)程中是加密的。雖然有隧道的保護(hù)，但是其管理信息在隧道中進(jìn)行明文傳輸則仍然會(huì)有一定的安全隱患。為此需要通過(guò) IPSec等安全策略，來(lái)保障其信息傳輸?shù)陌踩浴７駝t的話，非法供給者就可以通過(guò)竊聽(tīng)等手段來(lái)獲取管理信息，并進(jìn)行偽造，從而讓一些非法的客戶(hù)端可以通過(guò)其認(rèn)證，連接到這個(gè)無(wú)線局域網(wǎng)中。所以，需要通過(guò) IP安全策略等手段來(lái)加密管理信息仍然是非常有必要的。不過(guò)在采用這些額外的安全手段時(shí)，需要進(jìn)行仔細(xì)的測(cè)試，以判斷能否與目前實(shí)施的安全策略兼容。 現(xiàn)場(chǎng)問(wèn)題簡(jiǎn)單分析舉例 PPPOE認(rèn)證問(wèn)題 中間人攻擊 PPPOE認(rèn)證問(wèn)題 1． 終端用戶(hù)有時(shí)能撥上去，有時(shí)撥不上去 2． 已經(jīng)登陸上去的用戶(hù)注銷(xiāo)，再次登陸也登不上去，顯示的用戶(hù)名密碼錯(cuò)誤 解決方法：到客戶(hù)現(xiàn)場(chǎng)，先看設(shè)備的整體配置情況，再查看連接設(shè)備的核心交換機(jī)配置，都沒(méi)問(wèn)題，用戶(hù)上網(wǎng)用的是公網(wǎng)地址！ 達(dá)到高峰期時(shí) ,在本機(jī)撥號(hào)上網(wǎng)，果然提示用戶(hù)名和密碼錯(cuò)誤，這時(shí)抓包，連同登陸過(guò)程抓下來(lái)分析，發(fā)現(xiàn)異常：當(dāng)撥號(hào)進(jìn)行到 PPP驗(yàn)證階段 ,服務(wù)器響應(yīng)給客戶(hù)機(jī)的信息中包含 “DHCP NO IP”，原來(lái)是服務(wù)器可分配的地址池已經(jīng)用完了，這時(shí)登陸服務(wù)器查看，果然如此。網(wǎng)絡(luò)中默認(rèn)用戶(hù)開(kāi)機(jī)登陸時(shí)會(huì)自動(dòng)獲取一個(gè)地址，而 PPPOE成功后又獲得一個(gè)地址，這樣一個(gè)用戶(hù)就有兩個(gè)地址，而公網(wǎng)地址池僅僅能維持一臺(tái) PC一個(gè) IP，在接入服務(wù)器上做了 PPPOE下不響應(yīng) DHCP請(qǐng)求的設(shè)置后，問(wèn)題解決。 偽造 AP 的攻擊方式示意 后臺(tái) AS 合法 AP 偽造 AP 用戶(hù)（終端） 攻擊者利用偽造 AP進(jìn)行中間人攻擊： 偽造 AP對(duì)于用戶(hù)（終端）相當(dāng)于合法 AP；對(duì)于合法 AP相當(dāng)于用戶(hù)（終端） 能力需求 1．基本的網(wǎng)絡(luò)常識(shí) 2．熟練使用各種工具軟件 3*．抓包分析各種協(xié)議報(bào)文 構(gòu)建協(xié)議環(huán)境 ,對(duì)不同包進(jìn)行分析 : *HTTP會(huì)話截持 ,ids旁路控制原理 ,ipass會(huì)話包分析 。 *PPPOE, RBAS與后臺(tái) RADIUS交互的 RADIUS認(rèn)證計(jì)費(fèi)報(bào)文分析 。 *LINUX搭建 SNMP服務(wù)器，抓包分析 SNMPv2的各種報(bào)文 。 *搭建 DHCP服務(wù)器并分析 DHCP在本地應(yīng)用及開(kāi)啟 DHCP中繼的不同 。 *HTTP代理及 SOCKET代理的原理 ,配置 IPSEC,PPTP,L2TP服務(wù)器 ,分析用戶(hù)在撥號(hào)過(guò)程中的交互報(bào)文及 NATT情況下查看報(bào)文的變化 ,并且在同時(shí)配置了 VPN與 NAT后判斷 IOS的處理機(jī)制 。 *分析 HTTP Tunnel下偽裝正常提供服務(wù)器的端口進(jìn)行防火墻穿越 。 *IPV6下的鄰居發(fā)現(xiàn)機(jī)制及路由原理 。 *分析 Nmap下的各種 TCP， UDP， ICMP,掃描技術(shù) ,分析 HTTP,TELNET,DNS，F(xiàn)TP,RIPV1,RIPV2,OSPF,VRRP等常見(jiàn)協(xié)議 。 *PIX防火墻對(duì) TCP序列號(hào)的擾亂 ,強(qiáng)制修改 MSS及對(duì)分片的處理機(jī)制 *Tiny fragment攻擊 *TCP/IP協(xié)議本身的分析 3*．抓包分析各種協(xié)議報(bào)文 GO WLAN發(fā)展 WLAN發(fā)展 運(yùn)營(yíng)商：加速 3G+WLAN發(fā)展 WLAN作為 3G業(yè)務(wù)的良好補(bǔ)充，兩種技術(shù)擁有不同的便利性。 WLAN相對(duì)于 3G的優(yōu)勢(shì)在于上網(wǎng)費(fèi)用比較便宜。以 CMCC為例，它提供的筆記本 WLAN業(yè)務(wù)每分鐘收費(fèi)，而目前 3G業(yè)務(wù) TD流量費(fèi)為 /KB。按照消費(fèi)者使用高速上網(wǎng)的習(xí)慣，3G上網(wǎng)的費(fèi)用會(huì)大于使用 WLAN上網(wǎng)。此外， WLAN目前使用的技術(shù)理論下行速度在11MB/S左右，而捆綁了 HSDPA的 TD技術(shù)的理論下行速度則為 Mbps。其他運(yùn)營(yíng)商的 3G網(wǎng)絡(luò)下行速度也在 3 Mbps左右。消費(fèi)者在有 WLAN網(wǎng)絡(luò)覆蓋范圍內(nèi)使用無(wú)線局域網(wǎng)上網(wǎng)的效果明顯會(huì)好于 3G上網(wǎng)。當(dāng)然， WLAN也有自己的弊端，那就滿(mǎn)足不了用戶(hù)的“ Mobile”業(yè)務(wù)需求，這大大制約了它的發(fā)展。 3G在用戶(hù)移動(dòng)使用時(shí)會(huì)自動(dòng)切換基站，而 WLAN卻無(wú)法保證消費(fèi)者在移動(dòng)狀態(tài)下長(zhǎng)時(shí)間穩(wěn)定的上網(wǎng)。一般情況下，大家都會(huì)選擇固定場(chǎng)所來(lái)使用 WLAN網(wǎng)絡(luò)，而移動(dòng)狀態(tài)下使用 3G上網(wǎng)。 當(dāng)然，對(duì)于運(yùn)營(yíng)商不僅僅需要考慮 3G與 WLAN兩種網(wǎng)絡(luò)的快速搭建完善，更多的是如何平衡兩種網(wǎng)絡(luò)的發(fā)展，使其互相補(bǔ)充又不互相排擠。 所以，目前運(yùn)營(yíng)商 WLAN的發(fā)展政策給我們創(chuàng)造了更多機(jī)會(huì)。 Thank u. 服務(wù)無(wú)限延伸