wlan-接入

胖AP可以

1.2  WLAN客户端接入控制

WLAN接入控制的主要目的为对用户接入网络和访问网络进行控制，WLAN接入控制的方式有以下几种：

·     基于AP组的接入控制。

·     基于SSID的接入控制。

·     基于名单的接入控制。

·     基于ACL的接入控制。

1.2.1  基于AP组的接入控制

如图1-5所示，无线网络中有3个AP，要求Client 1和Client 2只能通过AP 1或AP 2接入网络，Client 3只能通过AP 3接入网络。为实现上述要求，将AP 1和AP 2添加进AP组1中，AP 3添加进AP组2中。AC上配置Client 1和Client 2对应的User Profile指定允许接入的AP组为AP组1，Client 3对应的User Profile指定允许接入的AP组为AP组2。当Client 1、Client 2和Client 3准备接入网络并通过身份认证后，认证服务器会将与用户账户绑定的User Profile名称下发给AC，AC根据指定User Profile里配置的内容查看客户端关联的AP是否在允许接入的AP组中，如果客户端关联的AP在允许接入的AP组中，客户端成功上线，否则上线失败。

图1-5 基于AP组的接入控制组网应用

1.2.2  基于SSID的接入控制

如图1-6所示，无线网络中有3个AP，要求Client 1和Client 2只能接入的SSID名称为ssida的无线服务，Client 3只能接入的SSID名称为ssidb的无线服务。为实现上述要求，AC上配置Client 1和Client 2对应的User Profile指定允许接入的SSID名称为ssida，Client 3对应的User Profile指定允许接入的SSID名称为ssidb。当Client 1、Client 2和Client 3准备接入网络并通过身份认证后，认证服务器会将与用户账户绑定的User Profile名称下发给AC，AC根据指定User Profile里配置的内容查看客户端关联的SSID是否为允许接入的SSID，如果客户端关联的SSID为指定允许接入的SSID，客户端成功上线，否则上线失败。

图1-6 基于SSID的接入控制组网应用

1.2.3  基于名单的接入控制

无线网络很容易受到各种网络威胁的影响，非法设备对于无线网络来说是一个很严重的威胁，因此需要对客户端的接入进行控制。通过黑名单和白名单功能来过滤客户端，对客户端进行控制，防止非法客户端接入无线网络，可以有效的保护企业网络不被非法设备访问，从而保证无线网络的安全。

1. 白名单

白名单定义了允许接入无线网络的客户端MAC地址表项，不在白名单中的客户端不允许接入。白名单表项只能手工添加和删除。

2. 黑名单

黑名单定义了禁止接入无线网络的客户端MAC地址表项，在黑名单中的客户端不允许接入。黑名单分为静态黑名单和动态黑名单，以下分别介绍。

·     静态黑名单

静态添加、删除表项的黑名单称为静态黑名单，当无线网络明确拒绝某些客户端接入时，可以将这些客户端加入静态黑名单。

·     动态黑名单

动态添加、删除表项的黑名单称为动态黑名单。在配置了对非法设备进行反制、无线客户端二次接入认证等场景下，设备会将明确拒绝接入的客户端MAC地址加入到动态黑名单，当动态黑名单表项到达老化超时时间后，删除该表项。基于AC生效的动态黑名单会对所有与AC相连的AP生效，基于AP生效的动态黑名单仅对客户端接入的AP生效。有关反制功能的详细介绍，请参见“WLAN安全配置指导”中的“WIPS”。

3. 客户端过滤机制

当收到客户端关联请求报文或AP向AC发送的Add mobile报文时，无线设备将使用白名单和黑名单对客户端的MAC地址进行过滤。以图1-7为例，具体的过滤机制如下：

(1)     当AC上存在白名单时，AC将判断Client 1的MAC地址是否在白名单中，如果在白名单中，则允许客户端从任意一个AP接入无线网络，如果Client 1不在白名单中，则拒绝Client 1从任何一个AP接入。

(2)     当AC上不存在白名单时，AC则判断Client 1的MAC地址是否在静态黑名单中，若Client 1在静态黑名单中则拒绝Client 1从任何一个AP接入无线网络。

(3)     当AC上不存在白名单且Client 1的MAC地址不在静态黑名单中时，为Client 1配置了二次接入认证时间间隔或者AP收到Client 1的攻击报文：如果配置了动态黑名单基于AP生效，则AC会将Client 1的MAC地址添加到动态黑名单中，并仅拒绝Client 1从AP 1上接入无线网络，但仍允许Client 1从AP 2或AP 3接入无线网络；如果配置了动态黑名单基于AC生效，则拒绝Client 1从任何一个AP接入无线网络。

图1-7 客户端过滤机制组网图

1.2.4  基于ACL的接入控制

基于ACL的接入控制是指，设备根据指定ACL中配置的规则对新接入的无线客户端进行接入控制。

当无线客户端接入无线网络时，设备通过判断无线客户端MAC地址与指定的ACL规则的匹配情况对客户端进行过滤，具体的过滤机制如下：

·     如果匹配上某permit规则，则允许无线客户端接入无线网络；

·     如果匹配上某deny规则，则拒绝无线客户端接入无线网络；

·     如果未匹配上任何规则，则拒绝其接入。