本地转发环境WX系列AC实现Remote AP功能的典型配置(V5)

1、由于AP数量比较多为了减轻AC的负载压力开启数据本地转发，

2、对于无线要求较高，为了防止AC宕机情况下造成AP掉线无法发射信号，要在AC上配置remote AP功能，实现AC与AP之间隧道断开之后还能保证AP在线正常发射ssid信号，且还能让新的终端接入该无线ssid。

AC做旁挂，用于AP注册

AP注册使用vlan 100

无线用户业务使用vlan 200

dhcp服务和网关都放在核心交换机上

1、AC主要配置：
#
 wlan auto-ap enable
 wlan auto-persistent enable
#
vlan 100
#
vlan 200
#
wlan service-template 8 crypto
 ssid 2000
 bind WLAN-ESS 5
 cipher-suite tkip
 cipher-suite ccmp
 security-ie rsn
 security-ie wpa
 client forwarding-mode local  //数据本地转发
 authentication-mode backup    //备份模式，也可以直接使用本地认证模式authentication-mode local
#
interface WLAN-ESS5
 port link-type hybrid
 port hybrid vlan 1 untagged
 mac-vlan enable           //开启mac-vlan，对不同ap可下发不同vlan
 port-security port-mode psk
 port-security tx-key-type 11key
 port-security preshared-key pass-phrase cipher $c$3$yxO2S9z6yCOmHHsi/cdvNchdheRvf
#
interface Vlan-interface100
 ip address 192.168.100.254 255.255.255.0
#
wlan ap room2 model WA2620i-AGN id 1
 map-configuration 2.txt
 serial-id 219801A0CMC146000765
 hybrid-remote-ap enable
 radio 1
  service-template 8 vlan-id 200      //对room2 ap无线ssid下发vlan200
  radio enable
 radio 2
  service-template 8 vlan-id 200
  radio enable
#
interface GigabitEthernet1/0/1       //跟核心互联接口放通ap注册vlan100
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 100
#
 ip route-static 0.0.0.0 0.0.0.0 192.168.100.1

map文件内容
<wx3540E>more 2.txt
port-security enable
vlan 200
interface g1/0/1
port link-type trunk
port trunk permit vlan all

#

2、核心交换机主要配置：

#
vlan 100
#
vlan 200
#
dhcp server ip-pool vlan100
 network 192.168.100.0 mask 255.255.255.0
 gateway-list 192.168.100.1
#
dhcp server ip-pool vlan200
 network 192.168.200.0 mask 255.255.255.0
 gateway-list 192.168.200.1
 dns-list 114.114.114.114
#               
interface Vlan-interface100
 ip address 192.168.100.1 255.255.255.0
#
interface Vlan-interface200
 ip address 192.168.200.1 255.255.255.0
#
interface GigabitEthernet1/0/1       //跟AC互联接口放通ap注册vlan100
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 100
#
interface GigabitEthernet1/0/10       //下联接口放通ap注册vlan和无线本地转发vlan
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 100 200 
#

3、接入交换机配置：
#
dhcp snooping enable
#
vlan 100
#
vlan 200
#
interface GigabitEthernet1/0/1       //跟核心互联接口
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 100 200
 dhcp snooping trust
#
interface GigabitEthernet1/0/2       //连AP接口
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 100 200 
 port trunk pvid vlan 100
#

1、hybrid-remote-ap enable开启ap的remote ap功能，保证隧道断开后还能发射信号，原连接客户不下线；

2、无线服务模板下authentication-mode local用于开启无线用户连接无线时进行AP本地认证功能，默认为AC集中式认证，与本地转发区别为一个为连接控制层面，一个为数据转发层面，如果使用默认的话，会造成隧道断开新用户无法连接；

 对于backup模式：

AP和AC连接正常时，使用AC集中式认证。AC和AP的连接出现故障后，原有的客户端不会下线，如果有新的客户端需要接入，将自动使用AP本地认证，客户端接入后，数据转发方式为本地转发。当Remote AP功能开启时，AP和AC恢复连接后，AP会强制所有客户端下线，AC重新对客户端进行认证后，客户端才可接入；当Remote AP功能关闭且AC和AP连接断开时，客户端不能接入。当AC和AP恢复连接后，客户端由AC进行集中认证后，才可接入。

3、对于发射加密ssid的ap开启remote ap功能，需要在map文件中额外下发一行端口安全配置port-security enable，否则会造成隧道断开新用户无法连接。