隧道中断时Remote-AP实现老终端不掉线且允许新终端接入的典型配置（V5）

Remote-AP是一种针对远程办公、小分支机构或家庭办公的解决方案。如下图所示，通过Internet网络，公司总部统一部署和管理连接远程办公室或小分支机构的Remote-AP，在这些地方不需要在单独部署一个AC。当Remote-AP和AC处于连接状态时，由AC管理Remote-AP。当Remote-AP与AC之间的隧道断开时，AP会自动开启本地转发模式（与AC上是否配置本地转发无关），继续为已接入的客户端提供无线接入服务，保证这些客户端能够继续对访问本地资源。

从网络安全因素考虑，在网络修复期间，Remote-AP允许新的客户端接入。当AP与AC重新建立隧道后，AP会自动切换回到集中转发模式，并强制Remote-AP上所有的客户端下线，所有客户端需要重新接入。

WX系列AC、Fit AP、交换机、便携机（安装有无线网卡）、DHCP Server

一、AC的认证模式有三种
通过配置认证模式，可以控制客户端的认证。

AC集中式认证模式
集中式认证是由AC对客户端进行认证，数据转发方式与命令client forwarding-mode local的设置情况有关。AC和AP的连接出现故障后，客户端会掉线，所以此种模式不适合Remote-ap功能。

Local认证模式
Local认证即AP本地认证，且必须为本地转发，该模式下AP直接作为认证实体对客户端进行认证，客户端接入后，数据转发方式为本地转发。即使AC和AP的连接发生故障，也不会影响已接入用户的认证状态及新的用户接入。当隧道恢复后，终端会掉线由AC重新集中认证再接入。

Backup认证模式
AP和AC连接正常时，使用AC集中式认证。当开启Remote-Ap功能后，AC和AP的连接出现故障后，原有的客户端不会下线，如果有新的客户端需要接入，将自动使用AP本地认接入，且自动转成本地转发。当AC和AP恢复连接后，客户端由AC进行集中认证后，才可接入。

二、AC的转发模式有两种

集中转发和本地转发模式。

三、当配置Remote-Ap时，要求PSK加密，正常情况下是集中转发集中认证，当隧道中断时转为本地转发和本地认证，且老用户不中断，新用户可接入。所以需配置Backup认证模式，集中转发但需下发MAP文件将业务VLAN和放通上行端口VLAN。配置如下：

[6108]interface WLAN-ESS220
      [6108-WLAN-ESS220]port link-type hybrid
      [6108-WLAN-ESS220]undo port hybrid vlan 1
      [6108-WLAN-ESS220]port hybrid vlan 32 untagged
      [6108-WLAN-ESS220]port hybrid pvid vlan 32
      [6108-WLAN-ESS220]mac-vlan enable
      [6108-WLAN-ESS220]port-security port-mode psk
      [6108-WLAN-ESS220]port-security tx-key-type 11key
      [6108-WLAN-ESS220]port-security preshared-key pass-phrase simple 12345678

[6108]wlan service-template 220 crypto
      [6108-wlan-st-220]ssid portal-v5-v5
      [6108-wlan-st-220]bind WLAN-ESS 220
      [6108-wlan-st-220]cipher-suite ccmp
      [6108-wlan-st-220]security-ie rsn
      [6108-wlan-st-220]authentication-mode backup  //配置认证模式为Backup
      [6108-wlan-st-220]service-template enable

[6108]wlan ap ap7 model WA4330-ACN id 8
      [6108-wlan-ap-ap7]serial-id 210235A1K6C161001233
      [6108-wlan-ap-ap7]map-configuration remote-ap.txt
      [6108-wlan-ap-ap7]hybrid-remote-ap enable   //开启Remote-Ap功能
      [6108-wlan-ap-ap7-radio-1]service-template 220 vlan-id 32
      [6108-wlan-ap-ap7-radio-1]radio enable

Map文件内容：

#
     sys
     port-security enable
     vlan 32
     interface g 1/0/1
     port link-type trunk
     port trunk permit vlan all
     #

注意：需要给AP下发MAP文件，如果是PSK认证MAP文件中要包括端口安全的使能；认证模式配置为Backup。