优化参考

4 无线网络通用优化

4.1  信道优化

4.1.1  问题说明

在实际的安装部署中，为了保证信号质量，必须部署足够数量的AP，这就可能造成AP的信号覆盖范围出现重叠，AP之间互相可见。如果所有AP都工作在相同信道，共享同一个信道的频率资源，就会造成整个WLAN网络性能较低。此时，建议采用如下原则：

·     根据实际需求选择互不重叠的一组物理信道来构建多个虚拟的独立的WLAN网络，各个网络独立使用一个信道的带宽。例如，使用2.4G频段时可以使用1、6、11三个非重叠信道构建WLAN网络。

·     信道规划调整需要考虑三维空间的信号覆盖情况，无论是水平方向还是垂直方向都要做到无线的蜂窝式覆盖，最大可能的避免同楼层和上下楼层间的同频干扰。

图4-1 信道规划示意图

4.1.2  配置建议

802.11n网络在实际部署时，无论是2.4G频段或5G频段，建议都采用20MHz模式进行覆盖，以加强信道隔离与复用，提升WLAN网络整体性能。

4.1.3  配置命令

【命令】

channel { channel-number | auto { lock | unlock } }

【缺省情况】

Radio视图下，继承AP组配置。

AP组Radio视图下，工作信道为auto unlock模式。

【视图】

Radio视图

AP组Radio视图

【参数】

channel-number：手动配置的射频工作信道。取值范围由国家码和射频模式决定。

auto lock：自动选择信道并加锁模式，由设备根据实际环境自动选择最优信道，并将该信道锁定。

auto unlock：自动选择信道并解锁模式。由设备根据实际环境自动选择最优信道，并将该信道设置为无锁模式。

【使用指导】

在手工指定工作信道模式时，如果在当前工作信道上发现雷达信号，则AP会立即将工作信道调整至其他信道。AP会在30分钟后将信道切换回手工指定的信道，并静默一段时间，如果在静默时间内没有发现雷达信号，则开始使用该信道；如果发现雷达信号，则再次切换信道。

在自动选择信道模式上，无论信道加锁与否，如果在当前工作信道上发现雷达信号，则AP会立即将工作信道调整至其他信道。

Radio视图下配置的优先级高于AP组Radio视图下的配置。

【举例】

# 配置射频工作信道号为6。

<AC> system-view

[AC] wlan ap ap3 model WA4320i-ACN

[AC-wlan-ap-ap3] radio 2

[AC-wlan-ap-ap3-radio-1] channel 6

【命令】

channel band-width { 20 | 40 [ auto-switch ] | 80 | { 160 | dual-80 } [ secondary-channel channel-number ] }

【缺省情况】

Radio视图下，继承AP组配置。

AP组Radio视图下，802.11ac射频模式的带宽模式为80MHz，802.11gac射频模式的带宽模式为20MHz，802.11an射频模式的带宽模式为40MHz，802.11gn射频模式的带宽模式为20MHz。

【视图】

Radio视图

AP组Radio视图

【参数】

20：将带宽模式设置成20MHz。

40：将带宽模式设置成40MHz。

80：将带宽模式设置成80MHz。

auto-switch：允许在20MHz和40MHz之间自动切换。仅当Radio模式为dot11gn和dot11gac模式时，支持配置本参数。

160：将带宽模式设置成160MHz。

dual-80：将带宽模式设置成（80+80）MHz。

secondary-channel channel-number：手工配置160/(80+80)MHz带宽模式下的辅信道。

【使用指导】

该命令仅对802.11n、802.11ac和802.11gac类型的Radio有效。当Radio模式切换时，带宽恢复切换模式下的缺省值。

·     在指定带宽为40MHz情况下，如果找到两条可以绑定到一起的相邻信道，那么使用40MHz带宽；如果找不到可以绑定的相邻信道，那么实际只能使用20MHz带宽。

·     在指定带宽为80MHz情况下，如果找到一组可以绑定为80MHz的相邻信道，那么使用80MHz带宽；如果找不到可以绑定为80MHz的一组信道，但可以找到两条可以绑定为40MHz带宽的信道，那么使用40MHz带宽；如果找不到可以绑定的信道，那么实际只能使用20MHz带宽。

·     在指定带宽为160MHz情况下，如果找到一组可以绑定为160MHz的相邻信道，那么使用160MHz带宽；如果找不到可以绑定为160MHz的一组信道，但可以找到一组绑定为80MHz的相邻信道，那么使用80MHz带宽；如果找不到可以绑定为80MHz的一组信道，但可以找到一组绑定为40MHz带宽的信道，那么使用40MHz带宽；如果找不到可以绑定的信道，那么实际只能使用20MHz带宽。

·     在指定带宽为（80+80）MHz情况下，如果找到一组可以绑定为160MHz的相邻信道，那么使用160MHz带宽；如果找不到可以绑定为160MHz的一组信道，但可以找到两组虽不相邻，但每组都可以绑定为80MHz的相邻信道，那么使用（80+80）MHz带宽；如果找不到可以绑定为（80+80）MHz的一组信道，但可以找到一组绑定为80MHz的相邻信道，那么使用80MHz带宽；如果找不到可以绑定为80MHz的一组信道，但可以找到一组绑定为40MHz带宽的信道，那么使用40MHz带宽；如果找不到可以绑定的信道，那么实际只能使用20MHz带宽。

根据协议规定，射频实际工作频宽一分为二，其中第一个频宽所处位置由主信道决定，第二个频宽所处位置由辅信道决定。主信道发送数据帧和所有的控制、管理帧；辅信道与主信道捆绑，仅发送数据帧。当使用channel命令配置了主信道，且射频的实际工作频宽为160/(80+80)MHz时，可使用secondary-channel参数指定第二个80M频宽的位置。其他情况下辅信道均由系统自动选择。

Radio视图下配置的优先级高于AP组Radio视图下的配置。

如果带宽配置继承AP组，则辅信道也继承AP组，反之辅信道也不继承AP组。

【举例】

# 配置Radio1的带宽为20MHz。

<AC> system-view

[AC] wlan ap ap3 model WA4320i-AGN

[AC-wlan-ap-ap3] radio 1

[AC-wlan-ap-ap3-radio-1] channel band-width 20

4.2  功率规划和设置固定功率

4.2.1  应用说明

信道规划和功率调整是WLAN网络首要的、最先实施的优化方法。完成信道规划就相当于完成了多个虚拟WLAN网络的构建。AP发射功率的调整需要关注每个虚拟WLAN网络，通过调整同一信道的AP的发射功率，降低这些AP之间的可见度，加强相同信道频谱资源的复用，提高WLAN网络的整体性能。

4.2.2  配置命令

【命令】

max-power radio-power

【缺省情况】

Radio视图下，继承AP组配置。

AP组Radio视图下，射频使用支持的最大功率。

【视图】

Radio视图

AP组Radio视图

【参数】

radio-power：射频的最大传输功率，其取值范围由国家码、信道、AP型号、射频模式、天线类型、带宽等属性决定。

【使用指导】

射频的最大传输功率只能在射频支持的功率范围内进行选取，即保证射频的最大传输功率在合法范围内。射频支持的功率范围由国家码、信道、AP型号、射频模式、天线类型、带宽等属性决定，修改上述属性，射频支持的功率范围和最大传输功率将自动调整为合法值。

如果开启了射频的功率锁定功能，则AC会将射频最大传输功率修改为射频当前传输功率。

Radio视图下配置的优先级高于AP组Radio视图下的配置。

不建议开启动态功率调整功能。由于终端本身会实时关注周围AP信号强度，如果开启动态功率调整，可能会导致终端无端漫游，使用效果变差。关于动态功率调整的详细介绍，请参见“WLAN配置指导”中的“WLAN RRM”。

【举例】

# 配置射频最大传输功率为5dBm。

<AC> system-view

[AC] wlan ap ap3 model WA4320i-ACN

[AC-wlan-ap-ap3] radio 1

[AC-wlan-ap-ap3-radio-1] max-power 5

4.3  为无线业务构建独立的VLAN

4.3.1  应用说明

WLAN无线网络理论上就是一个二层的接入网络，而这个二层网络通常直接连接到现有的有线网络中。

无线网络中，广播/组播报文会使用最低速率发送广播报文，所以当广播报文比较多时，会较多地消耗信道空口资源，从而影响整个无线网络性能和应用。一个广播报文通常会向VLAN内的所有AP发送，同时消耗所有AP的资源，所以在构建WLAN网络时，在条件允许的情况下，一定为无线业务创建独立的VLAN，而不要和有线网络使用相同的VLAN，这样即可以避免大量的广播/组播报文对无线网络的影响，又可以避免不必要的攻击。

此外，AC有线口只放通必要的VLAN，在本地转发情况下不要放通无线业务VLAN。

4.3.2  实施说明

在规划WLAN网络时，建议分配有线网络未使用的VLAN给WLAN接入使用。可以通过无线服务模板对应的接口配置对应的VLAN，也可以在为AP绑定无线服务模板时指定VLAN，还可以在无线客户端接入的时候授权VLAN，具体配置请参考《WLAN配置指导》。

为了使网络规划更清晰，WLAN网络仅作为一个新增的接入网络，所有的流量和接入都可以通过现有的有线网络设备进行监管和控制。可以将WLAN网络的构建、无线客户端接入管理等功能放在无线控制器上，而将业务VLAN的网关统一放在有线网络设备上，相当于在一个现有的有线网络设备上增加了一个独立的无线二层网络。

4.4  无线用户VLAN内二层隔离

4.4.1  应用说明

同一VLAN内，来自无线客户端的广播、组播报文会向所有放通该VLAN的AP上广播，而且在空间介质中广播报文通常使用最低速率进行发送。当广播报文比较多时，会占用较多的空口资源，在一定程度上影响到整个网络性能。

无线用户VLAN内二层隔离可以在AC上控制无线用户只能访问网关设备，而不能互相之间访问。同时，通过配置undo user-isolation permit broadcast禁止有线用户（user-isolation vlan permit-mac允许的MAC地址除外）发送广播、组播报文给无线用户，无线用户到有线用户的广播、组播报文不受限制。这样可以大量减少整个WLAN网络的广播流量，提高WLAN网络的整体性能。

4.4.2  配置命令

【命令】

user-isolation vlan vlan-list enable [ permit-unicast ]

【缺省情况】

基于VLAN的用户隔离功能处于关闭状态。

【视图】

系统视图

【参数】

vlan-list：VLAN列表，表示开启用户隔离功能的VLAN的范围。表示方式为vlan-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id的取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以输入10次。

permit-unicast：表示不隔离单播，仅隔离广播和组播。如果未指定该参数，表示同时隔离单播、广播和组播。

【使用指导】

为了避免在指定VLAN上开启用户隔离功能后，出现断网情况，用户必须根据user-isolation vlan permit-mac命令先将用户网关的MAC地址加入到用户隔离允许列表中，再开启该VLAN的用户隔离功能。

如果多次执行user-isolation vlan enable命令，则开启用户隔离功能的VLAN是多次配置中指定的VLAN的合集；若同一VLAN多次配置，则最后一条配置生效。

【举例】

# 在VLAN 1上开启用户隔离功能。

<Sysname> system-view

[Sysname] user-isolation vlan 1 enable

【命令】

user-isolation vlan vlan-list permit-mac mac-list

【缺省情况】

未配置指定VLAN的MAC地址允许转发列表。

【视图】

系统视图

【参数】

vlan-list：VLAN列表。表示方式为vlan-list ＝ { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id的取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以输入10次。

mac-list：MAC地址允许转发列表，MAC地址格式为H-H-H。在一个VLAN内最多可以配置64个允许的MAC地址，该MAC地址不允许为广播或组播地址。

【使用指导】

配置指定VLAN的MAC地址允许转发列表，当在该VLAN内开启用户隔离功能后，所配置的MAC地址不会被隔离。

如果多次执行user-isolation vlan permit-mac命令，则指定VLAN允许的MAC地址为多次配置的MAC地址的集合。每一个VLAN内最多允许配置64个允许的MAC地址，一次最多允许配置16个允许的MAC地址。

【举例】

# 配置VLAN 1所允许MAC地址为00bb-ccdd-eeff和0022-3344-5566。

<Sysname> system-view

[Sysname] user-isolation vlan 1 permit-mac 00bb-ccdd-eeff 0022-3344-5566

【命令】

user-isolation permit-broadcast

【缺省情况】

隔离有线用户发往无线用户的广播和组播报文。

【视图】

系统视图

【使用指导】

当有线用户和无线用户属于同一VLAN或用户接入的AC设备工作于IRF环境时必须隔离有线用户发往无线用户的广播和组播报文，其他情况下允许接收有线用户发送给无线用户的广播和组播报文。

在本地转发组网下实施二层隔离需要通过MAP文件把相关配置下发到AP上。

【举例】

# 在VLAN 10上开启用户隔离功能，允许访问MAC地址为00bb-ccdd-eeff和0022-3344-5566的设备（允许的MAC地址通常为网关MAC地址），同时禁止有线用户（permit-mac允许的mac地址除外）发送广播、组播报文给无线用户。

<AC> system-view

[AC] user-isolation vlan 10 enable

[AC] user-isolation vlan 10 permit-mac 00bb-ccdd-eeff 0022-3344-5566

[AC] undo user-isolation permit-broadcast

4.5  Vlan-group分配模式配置为静态

4.5.1  应用说明

无线AC可以通过使用VLAN组特性，将其VLAN成员分配给上线的各客户端，使各客户端均匀分布在各VLAN，从而达到减小广播域的目的，同时还可以提高对非连续地址段的利用率。AC默认VLAN组VLAN分配方式为动态，即客户端首次上线时，无线服务模板绑定Radio时指定的VLAN组会为用户随机分配一个VLAN。客户端再次上线时VLAN组再次随机为客户端分配VLAN。采用该分配方式，客户端会被均衡地分配在VLAN组的所有VLAN中。对于终端而言，连接SSID不变的情况下，部分终端会出现地址更新慢，甚至不更新地址的情况，最终导致用户体验变差，因此当使用VLAN组特性时，如无特殊需求，强烈建议配置为静态分配方式，即终端再次上线时直接继承上次VLAN组分配的VLAN。

4.5.2  配置命令

【命令】

client vlan-alloc { dynamic | static | static-compatible }

【参数】

dynamic：表示动态分配方式

static：表示静态分配方式

static-compatible：表示静态兼容分配方式。

【使用指导】

客户端首次上线时，AP会为动态分配方式下的客户端随机分配无线服务模板绑定Radio时指定的VLAN组内的一个VLAN，根据客户端的MAC地址为静态分配、静态兼容分配方式下的客户端分配VLAN。客户端再次上线时被分配的VLAN将由配置的VLAN分配方式决定：

·     静态分配方式下，直接继承上次VLAN组分配的VLAN。若客户端的IP地址在租约内，仍为客户端分配同一个IP地址。采用该分配方式，可以减少IP地址的消耗。

·     动态分配方式下，VLAN组再次随机为客户端分配VLAN。采用该分配方式，客户端会被均衡地分配在VLAN组的所有VLAN中。

·     静态兼容分配方式下，可以保证客户端在采用静态分配方式的Comware V5 版本AC设备与ComwareV7版本的AC之间漫游时，被分配相同的VLAN。

【举例】

# 配置客户端的VLAN分配方式为静态分配方式。

[AC] wlan service-template service1

[AC-wlan-st-service1] client vlan-alloc static

4.6  关闭WLAN低速率

4.6.1  应用说明

无线WLAN网络中不是使用固定的速率发送所有的报文，而是使用一个速率集进行报文发送（例如11g支持1、2、5.5、11、6、9、12、18、24、36、48、54Mbps），实际无线终端或者AP在发送报文的时候会动态的在这些速率中选择一个速率进行发送。通常提到的11g可以达到速率主要指所有报文都采用54M速率进行发送的情况，而且是指的一个空口信道的能力。而实际上大量的广播报文和无线的管理报文都使用最低速率1Mbps进行发送，所以会消耗一定的空口资源。在无线网络中，不考虑信号传输距离的情况下，可以将1、2、6和9Mbps速率禁用，这样可以整体上减少广播报文和管理报文对空口资源的占用。

对于信号强度比较弱的终端，或者距离比较远的终端，关闭低速率应用后可能会出现丢包现象。但是正常的室内覆盖，信号强度可以保证，所以要求在室内覆盖情况下关闭WLAN低速率。

4.6.2  配置命令

【命令】

rate disabled rate-value

【缺省情况】

Radio视图下，继承AP组配置。

AP组Radio视图下：

·     802.11a/802.11an/802.11ac：

¡     禁用速率：无。

¡     强制速率：6，12，24。

¡     组播速率：自动从强制速率中选择合适的速率。

¡     支持速率：9，18，36，48，54。

·     802.11b：

¡     禁用速率：无。

¡     强制速率：1，2。

¡     组播速率：自动从强制速率中选择合适的速率。

¡     支持速率：5.5，11。

·     802.11g/802.11gn/802.11gac：

¡     禁用速率：无。

¡     强制速率：1，2，5.5，11。

¡     组播速率：自动从强制速率中选择合适的速率。

¡     支持速率：6，9，12，18，24，36，48，54。

【视图】

Radio视图

AP组Radio视图

【参数】

rate-value：速率值，单位为Mbps。可配置多个速率，用空格分隔。

·     802.11a/802.11an/802.11ac：可以取值6、9、12、18、24、36、48、54。

·     802.11b：可以取值1、2、5.5、11。

·     802.11g/802.1gn/802.11gac：可以取值1、2、5.5、6、9、11、12、18、24、36、48、54。

【举例】

# 配置802.11g模式的禁用速率：1、2、5.5、6、9Mbps。（Radio视图）

[AC] wlan ap test

[AC-wlan-ap-test] radio 2

[AC-wlan-ap-test-radio-2] rate disabled 1 2 5.5 6 9

# 配置802.11g模式的禁用速率：1、2、5.5、6、9Mbps。（AP组Radio视图）

[AC] wlan ap-group test-group

[AC-wlan-ap-group-test-group] ap-model WA2620-AGN

[AC-wlan-ap-group-test-group-ap-model-WA2620-AGN] radio 2

[AC-wlan-ap-group-test-group-ap-model-WA2620-AGN-radio-2] rate disabled 1 2 5.5 6 9

4.7  开启无线用户限速

4.7.1  应用说明

WLAN网络中每一个AP提供的可用带宽有限，且由接入的无线客户端共享，如果个别的无线用户通过WLAN下载文件，可能达到非常大的流量，进而直接耗尽当前共享带宽，造成其他无线用户访问网络慢、ping丢包等问题。通过配置用户限速功能，可以限制部分无线客户端对带宽的过多消耗，保证所有接入无线客户端均能正常使用网络业务。基于无线客户端的速率限制功能有两种模式：动态模式和静态模式，其中静态模式为静态的配置每个客户端的速率，即配置的速率是同一个AP内每个客户端的最大速率。

4.7.2  配置命令

【命令】

client-rate-limit { inbound | outbound } mode { dynamic | static } cir cir

【缺省情况】

Radio视图下，继承AP组Radio配置。

AP组Radio视图下，未配置基于射频的客户端限速速率。

【视图】

Radio视图

AP组Radio视图

【参数】

inbound：入方向，即限制客户端发送数据的速率。

outbound：出方向，即限制客户端接收数据的速率。

dynamic：配置限速模式为动态模式。在该模式下，单个客户端的限速速率为总限速速率/客户端总数。

static：配置限速模式为静态模式，所有客户端的限速速率为固定值。

cir cir：配置客户端限速速率。在静态模式下表示为所有客户端配置相同的限速速率；在动态模式下表示配置所有客户端的限速速率总和。cir的取值范围为16～300000，单位为Kbps。

【使用指导】

在同一视图下，开启了基于射频的客户端限速功能且配置了客户端速率限制，则该视图的客户端限速功能生效。

可以同时指定出方向和入方向的速率限制。

Radio视图下客户端限速功能生效的优先级高于AP组Radio视图。

【举例】

# 配置客户端限速功能，使单个客户端发送数据的最大速率为512Kbps，单个客户端接收数据的最大速率为2048Kbps。（Radio视图）

<AC> system-view

[AC] wlan ap ap1 model WA4320i-ACN

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-1] client-rate-limit enable

[AC-wlan-ap-ap1-1] client-rate-limit inbound mode static cir 512

[AC-wlan-ap-ap1-1] client-rate-limit outbound mode static cir 2048

# 配置客户端限速功能，使单个客户端发送数据的最大速率为512Kbps，单个客户端接收数据的最大速率为2048Kbps。（AP组Radio视图）

<AC> system-view

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] ap-model WA4320i-ACN

[AC-wlan-ap-group-group1-ap-model-WA4320i-ACN] radio 1

[AC-wlan-ap-group-group1-ap-model-WA4320i-ACN-radio-1] client-rate-limit enable

[AC-wlan-ap-group-group1-ap-model-WA4320i-ACN-radio-1]client-rate-limit inbound mode static cir 512

[AC-wlan-ap-group-group1-ap-model-WA4320i-ACN-radio-1]client-rate-limit outbound mode static cir 2048

4.8  Portal配置用户闲置切断功能

4.8.1  应用说明

当AC作为接入设备，承载Portal认证业务时，如果服务器侧没有设置用户的闲置切断功能，会导致终端下线后，用户认证表项长期在设备上存在，如果此时终端重新接入，并获取到了新的IP地址，就有可能出现冲突，导致无法认证通过，此外大量的残留表项还会消耗设备的资源，因此无特殊需求的情况下，强烈建议开启设备上用户的闲置切断功能。

4.8.2  配置命令

【命令】

authorization-attribute idle-cut minutes [ flow ]

【缺省情况】

当前ISP域下的用户闲置切换功能处于关闭状态。

【视图】

ISP域视图

【参数】

minutes：指定用户的闲置切断时间。其中，minutes的取值范围为1～600，单位为分钟。

flow：用户在闲置切断时间内产生的数据流量，取值范围1～10240000，单位为字节，缺省值为10240。

【举例】

# 指定ISP域test下的用户闲置切断时间为30分钟，闲置切断时间内产生的流量为10240字节。

<AC> system-view

[AC] domain test

[AC-isp-test] authorization-attribute idle-cut 30 10240

4.9  关闭广播Probe探测回应

4.9.1  应用说明

WLAN有两种探测机制：一种为无线终端被动的侦听Beacon帧，根据获取的无线网络情况，选择AP建立连接；另外一种为无线终端主动发送Probe request探测周围的无线网络，然后根据获取的Probe Response报文获取周围的无线网络信息，之后选择AP建立连接。

本功能主要针对Probe探测方式。

根据Probe Request帧（探测请求帧）是否携带SSID，可以将主动扫描分为两种：

·     广播方式的Probe探测，客户端发送的Probe Request帧中SSID为空，也就是SSID IE的长度为0；

·     单播方式的Probe探测，客户端发送的Probe Request帧携带指定的SSID。

而大部分的无线终端都不会指定要连接的SSID，这样就造成了无线终端会大量发送广播Probe Request探测，造成所有的接收到该报文的AP设备都会回应Probe Response报文，而这些报文都使用低速率进行发送，会消耗一定的空间资源，因此，可以考虑关闭广播Probe探测功能，使AP针对SSID为空的探测请求不进行回复，有效降低空口的消耗，使整个WLAN网络性能得到一定的提升。

4.9.2  配置命令

【命令】

broadcast-probe reply disable

【缺省情况】

AP视图：继承AP组配置。

AP组视图：AP回复广播Probe request报文。

【视图】

AP视图

AP组视图

【举例】

# 在ap1上开启AP不回应广播Probe request报文功能。（AP视图）

<AC> system-view

[AC] wlan ap ap1 model WA4320i-ACN

[AC-wlan-ap-ap1]  broadcast-probe reply disable

# 在AP组上开启AP不回应广播Probe request报文功能。（AP组视图）

<AC> system-view

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] broadcast-probe reply disable

4.10  加密方式设置

4.10.1  应用说明

在WLAN网络中，空口设置明文不加密，可以减少因加密带来的密钥协商时间开销，获取最大的无线空口性能。在11n网络中，如果因安全因素考虑必须设置加密，建议加密方式设置为RSN+CCMP，不推荐使用TKIP或者WEP加密方式，这两种加密方式无法发挥11n网络的高带宽性能。

4.10.2  配置命令

【命令】

akm mode { dot1x | private-psk | psk | anonymous-dot1x }

【缺省情况】

未配置身份认证与密钥管理。

【视图】

无线服务模板视图

【参数】

dot1x：表示身份认证与密钥管理的模式是802.1X模式。

private-psk：表示身份认证与密钥管理的模式是Private-PSK模式。

psk：表示身份认证与密钥管理的模式是PSK模式。

anonymous-dot1x：表示身份认证与密钥管理的模式是Wi-Fi联盟匿名802.1X模式。

【使用指导】

本命令只能在无线服务模板处于关闭状态时配置，并且只能配置一种模式。

当WLAN网络采用RSNA安全机制时，必须配置身份认证与密钥管理。若配置了身份认证与密钥管理模式为Wi-Fi联盟匿名802.1X模式，则安全IE只能配置为OSEN IE。

每一种身份认证模式都有互相依赖的用户认证方式：

·     802.1X模式和802.1X用户认证模式相互依赖，必须同时配置。有关802.1X的详细介绍请参见“WLAN配置指导”中的“WLAN用户接入认证”。

·     Private-PSK模式和MAC地址认证模式相互依赖，必须同时配置，有关MAC地址认证的详细介绍请参见“WLAN配置指导”中的“WLAN用户接入认证”。

·     PSK模式和MAC地址认证模式或Bypass用户认证模式相互依赖，必须同时配置。有关MAC地址认证和Bypass认证的详细介绍请参见“WLAN配置指导”中的“WLAN用户接入认证”。

·     Wi-Fi联盟匿名802.1X模式和802.1X用户认证模式相互依赖，必须同时配置。

【举例】

# 配置身份认证与密钥管理模式为PSK模式。

<Sysname> system-view

[Sysname] wlan service-template security

[Sysname-wlan-st-security] akm mode psk

【命令】

security-ie { osen | rsn | wpa }

【缺省情况】

信标和探查响应帧不携带WPA IE、RSN IE或OSEN IE。

【视图】

无线服务模板视图

【参数】

osen：设置在AP发送信标和探查响应帧时携带OSEN IE。OSEN IE通告了AP的OSEN能力。

rsn：设置在AP发送信标和探查响应帧时携带RSN IE。RSN IE通告了AP的RSN能力。

wpa：设置在AP发送信标和探查响应帧时携带WPA IE。WPA IE通告了AP的WPA能力。

【使用指导】

本命令只能在无线服务模板处于关闭状态时配置，并且必须要配置CCMP或TKIP加密套件。

当WLAN网络采用RSNA安全机制时，必须配置安全IE。

若配置了安全IE为OSEN IE，则只能配置认证密钥管理模式为Wi-Fi联盟匿名802.1X模式。

【举例】

# 配置信标帧和探查响应帧携带RSN信息元素。

<Sysname> system-view

[Sysname] wlan service-template security

[Sysname-wlan-st-security] security-ie rsn

【命令】

cipher-suite { ccmp | tkip | wep40 | wep104 | wep128 }

【缺省情况】

未配置加密套件。

【视图】

无线服务模板视图

【参数】

ccmp：AES-CCMP加密套件。

tkip：TKIP加密套件。

wep40：WEP40加密套件。

wep104：WEP104加密套件。

wep128：WEP128加密套件。

【使用指导】

本命令只能在无线服务模板处于关闭状态时配置。

如果配置了安全IE，则必须配置TKIP或者CCMP加密套件中的一种。当WLAN网络采用RSNA安全机制时，必须配置加密套件。

WEP加密套件只能配置WEP40/WEP104/WEP128其中的一种，且需要配置与加密套件种类相对应的WEP密钥及WEP密钥ID。

WEP128和CCMP或TKIP不能同时配置。

【举例】

# 配置在帧加密时使用TKIP加密套件。

<Sysname> system-view

[Sysname] wlan service-template security

[Sysname-wlan-st-security] cipher-suite tkip

4.11  禁止弱信号终端接入

4.11.1  应用说明

在WLAN网络中，信号强度较弱的无线客户端，虽然也可以接入到网络中，但是所能够获取的网络性能和服务质量要比信号强度较强的无线客户端差很多。如果弱信号的无线客户端在接入到WLAN网络的同时还在大量地下载数据，就会占用较多的信道资源，最终必然对其他的无线客户端造成很大的影响。

禁止弱信号客户端接入功能，通过配置允许接入的无线客户端的最小信号强度门限值，可以直接拒绝信号强度低于指定门限的无线客户端接入到WLAN网络中，减少弱信号客户端对其他无线客户端的影响，从而提升整个WLAN网络的性能。

4.11.2  配置命令

【命令】

option client reject { disable | enable [ rssi rssi-value ] }

【缺省情况】

Radio视图下，继承AP组配置。

AP组Radio视图下，禁止弱信号客户端接入功能处于关闭状态。

【视图】

Radio视图

AP组Radio视图

【参数】

rssi rssi-value：无线客户端信号强度门限值，取值范围为5～100，缺省值为10，建议值为10。

【使用指导】

如果终端接入后信号强度低于门限值，AP不会主动踢掉终端，但是如果终端断开连接后重新关联则无法成功。

禁止弱信号终端接入需要考虑场景覆盖信号强度情况，如场景覆盖信号强度偏弱，可能导致终端无法正常接入。

【举例】

# 开启禁止弱信号客户端接入功能，并配置信号强度门限值为10。（Radio视图）

<AC> system-view

[AC] wlan ap ap1 model WA4320i-ACN

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] option client reject enable rssi 10

# 开启禁止弱信号客户端接入功能，并配置信号强度门限值为10。（AP组Radio视图）

<AC> system-view

[AC] wlan ap-group 1

[AC-wlan-ap-group-1] ap-model WA4320i-ACN

[AC-wlan-ap-group-1-ap-model-WA4320i-ACN] radio 1

[AC-wlan-ap-group-1-ap-model-WA4320i-ACN-radio-1] option client reject enable rssi 10

4.12  AC有线口只放通必要的VLAN

非业务广播报文进入AC会复制到所有AP空口，从而影响AC性能，甚至对AC造成冲击。为了防止不必要报文进入AC，建议AC有线口以及对端互联的交换机端口只放通必要的VLAN，禁止配置permit vlan all。当组网为本地转发时，无线业务报文不经过AC，所以AC有线口不需要放通本地转发业务VLAN，防止报文迂回到AC影响性能。

4.13  AC-AP有线链路质量稳定

CAPWAP隧道通过中间的有线链路承载，要求AP和AC之间Ping大于1500字节的数据包丢包率小于1%，平均延迟小于50ms。

4.14  IRF链路采用独立VLAN

4.14.1  应用说明

当AC通过二层交换机建立IRF时，要求IRF链路使用的VLAN独立于业务VLAN。建议在交换机上将与AC IRF堆叠口连接的端口配置为Access口，VLAN独立规划。本优化不需要AC做配置调整。

4.14.2  配置命令

【命令】

vlan { vlan-id1 [ to vlan-id2 ] | all }

【缺省情况】

系统只有一个缺省VLAN（VLAN 1）。

【视图】

系统视图

【参数】

vlan-id1：VLAN的编号，取值范围为1～4094。

vlan-id1 to vlan-id2：指定VLAN的编号范围。vlan-id1和vlan-id2为VLAN的编号，取值范围为1～4094。vlan-id2的值要大于或等于vlan-id1的值。

all：当设备允许创建的最大VLAN数小于4094时，不支持该参数。

【使用指导】

用户不能创建和删除缺省VLAN（VLAN 1）

动态学习到的VLAN，以及被其他应用锁定不让删除的VLAN，都不能使用undo vlan命令直接删除。只有将相关配置删除之后，才能删除相应的VLAN。

【举例】

# 创建VLAN 2，并进入该VLAN视图。

<Sysname> system-view

[Sysname] vlan 2

【命令】

port interface-list

【缺省情况】

系统将所有端口都加入到VLAN 1。

【视图】

VLAN视图

【参数】

interface-list：以太网接口列表。表示方式为interface-list = { interface-type interface-number1 [ to interface-type interface-number2 ] }&<1-10>，其中interface-type interface-number为端口类型和端口编号，interface-number2的值要大于或等于interface-number1的值，&<1-10>表示前面的参数最多可以输入10次。

【使用指导】

通过本命令只能将Access端口加入到VLAN中，不能将Trunk和Hybrid端口加入到VLAN中。

设备上的所有端口的缺省链路类型都是Access类型，但用户可以自行切换端口类型，具体配置可参考命令port link-type。

【举例】

# 向VLAN2中添加端口GigabitEthernet1/0/1～GigabitEthernet1/0/2。

<Sysname> system-view

[Sysname] vlan 2

[Sysname-vlan2] port gigabitethernet 1/0/1 to gigabitethernet 1/0/2

4.15  IRF端口绑定多链路时采用静态聚合

4.15.1  应用说明

当AC通过二层交换机建立IRF时，IRF堆叠口绑定了多个物理口，此时需要将交换机与IRF堆叠口连接的多个端口配置成静态聚合，不允许使用动态聚合。本优化不需要AC做配置调整。

4.15.2  配置命令

【命令】

interface bridge-aggregation interface-number

【缺省情况】

不存在二层聚合接口。

【视图】

系统视图

【参数】

interface-number：指定二层聚合接口的编号。

【使用指导】

创建二层聚合接口后，系统将自动生成同编号的二层聚合组，且该聚合组缺省工作在静态聚合模式下。

删除二层聚合接口的同时会删除其对应的二层聚合组，如果该聚合组内有成员端口，那么这些成员端口将自动从该聚合组中退出。

【举例】

# 创建二层聚合接口1，并进入二层聚合接口1的视图。

<Sysname> system-view

[Sysname] interface bridge-aggregation 1

【命令】

port link-aggregation group group-id

【缺省情况】

接口未加入任何聚合组。

【视图】

二层以太网接口视图

【参数】

group-id：指定聚合组所对应聚合接口的编号。

【举例】

#创建二层聚合接口2，并进入二层聚合接口2视图

[Switch] interface Bridge-Aggregation 2

#将Switch内联口Ten-GigabitEthernet 1/2/0/1加入到聚合组2中

[Switch] interface Ten-GigabitEthernet 1/2/0/1

[Switch-Ten-GigabitEthernet1/2/0/1] port link-aggregation group 2

4.16  IRF链路的对端交换机端口关闭STP功能

4.16.1  应用说明

当AC通过交换机建立IRF时，需要在交换机侧将与IRF堆叠口连接的端口关闭STP功能。同时，AC上IRF堆叠物理口也需要关闭STP功能。

4.16.2  配置说明

【命令】

undo stp enable

【缺省情况】

端口上的生成树协议处于开启状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【举例】

# 在端口GigabitEthernet1/0/1上关闭生成树协议。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] undo stp enable