華為3Com無(wú)線產(chǎn)品部

1、3Com無(wú)線產(chǎn)品部無(wú)線技術(shù)培訓(xùn)膠片-WLAN基礎(chǔ)概念及工作原理ContentsWLAN基礎(chǔ)概念工作原理簡(jiǎn)介IEEE802.11基本協(xié)議IEEE802.11其它協(xié)議其它回顧了解無(wú)線應(yīng)用無(wú)線應(yīng)用無(wú)所不在注意：此圖片引用CISCO的無(wú)線技術(shù)關(guān)系示意圖室外高速移動(dòng)中速移動(dòng)靜止室內(nèi)步行靜止/桌面0.1Mbps 1Mbps 10Mbps 100Mbps 400Mbps移動(dòng)性2.5G3GWLANUWBWiMAX數(shù)據(jù)速率Mesh NetworkersWLAN技術(shù)主要解決百米左右的接入WLAN印象安全前提下的一種移動(dòng)數(shù)據(jù)網(wǎng)絡(luò)：是以無(wú)線方式構(gòu)建/用使用線纜相連接的局域網(wǎng)，利用電磁波在空氣中發(fā)送和接收數(shù)據(jù)；數(shù)據(jù)傳輸

2、速率現(xiàn)在已經(jīng)能夠達(dá)到54Mbps，傳輸距離可遠(yuǎn)至40公里以上；是對(duì)有線聯(lián)網(wǎng)方式的一種補(bǔ)充和擴(kuò)展，具有移動(dòng)特征；在補(bǔ)充有線的同時(shí)完成有線所不能的WLAN協(xié)議族PHY802.11(1/2 Mbps)802.11b(5.5/11 Mbps)802.11g(54 Mbps)802.11a(54 Mbps)MAC802.11/11a/11b/11g MAC802.11f-漫游和切換802.11e-QoS802.11i 安全增強(qiáng)802.11n(應(yīng)用帶寬過(guò)100M)802.11s-mesh802.11r快切中國(guó)政府針對(duì)WLAN的主要成果：WAPI標(biāo)準(zhǔn)WLAN三種標(biāo)準(zhǔn)的比較標(biāo)準(zhǔn)802.11b802.11a80

3、2.11g發(fā)布時(shí)間July 1999July 1999June 2003工作頻段2.4GHz2.497GHz5.155.35GHz5.4255.675GHz5.7255.875GHz2.4GHz2.497GHz有效帶寬5.5M24.7M24.7M無(wú)交疊信道3 (相鄰小區(qū)中心頻率間隔至少25MHz）12（中國(guó)地區(qū)可用的為5個(gè)）3(允許3個(gè)AP在同一地點(diǎn)相互無(wú)干擾的工作)編碼技術(shù)CCK/DSSSOFDMCCK/OFDM最高速率11Mbps54Mbps54Mbps無(wú)線覆蓋范圍100m50m100m兼容性通過(guò)Wi-Fi認(rèn)證的產(chǎn)品之間可以互通與11b/g不能互通與11b產(chǎn)品可互通相關(guān)組織及其在WLAN領(lǐng)

4、域的貢獻(xiàn)Wi-Fi聯(lián)盟成立于1999年的Wi-Fi聯(lián)盟是一個(gè)非牟利國(guó)際協(xié)會(huì)，旨在認(rèn)證基于IEEE 802.11規(guī)格的無(wú)線局域網(wǎng)產(chǎn)品的互操作性和推動(dòng)wireless新標(biāo)準(zhǔn)的制定目前已知的相關(guān)標(biāo)準(zhǔn)WPA：802.11i的子集，支持802.1x認(rèn)證以及TKIP加密算法WPA2： 802.11iWMM：802.1e的子集，支持EDCA方式WAPI中國(guó)無(wú)線網(wǎng)絡(luò)產(chǎn)品國(guó)標(biāo)中安全機(jī)制 的標(biāo)準(zhǔn)，包括無(wú)線局域網(wǎng)鑒別（WAI）和保密基礎(chǔ)結(jié)構(gòu)（WPI）兩部分。核心技術(shù)由西安捷通公司掌握。由于其加密算法未公開(kāi)，只能購(gòu)買(mǎi)指定公司的加密芯片，因此遭到國(guó)外大多數(shù)公司的抵制。未來(lái)是否以及何時(shí)會(huì)強(qiáng)制執(zhí)行目前還不太明朗 。IEEE

5、、IETF802.11的系列標(biāo)準(zhǔn)（IEEE）；CAPWAP工作組（IETF）WLAN對(duì)人體的電磁輻射是安全的很多的研究已經(jīng)證明，WLAN產(chǎn)品以在家庭及商業(yè)中使用，對(duì)人體來(lái)說(shuō)是安全；典型的WLAN產(chǎn)品輸出功率為100mw(AP)，對(duì)于網(wǎng)卡來(lái)說(shuō)，通常只有10mw至50mw；相比較來(lái)說(shuō)，手機(jī)的發(fā)射功率在通話時(shí)可以超過(guò)200mw；政府有相關(guān)的法令對(duì)發(fā)射功率進(jìn)行嚴(yán)格的限制；對(duì)人體是否具有影響取決于：距離與功率ContentsWLAN基礎(chǔ)概念工作原理簡(jiǎn)介IEEE802.11基本協(xié)議IEEE802.11其它協(xié)議其它回顧調(diào)制技術(shù)： OFDM 技術(shù)特點(diǎn)正交頻分復(fù)用(Orthogonal Frequency Di

6、vision Multiplexing, OFDM) 基本思想是將高速的數(shù)據(jù)流分配到多個(gè)相互正交的子載波上同時(shí)傳輸輸入數(shù)據(jù)：1 0 0 1 0 1 0 0 1 0 1 0 0 1 0 1 0 1 1 0 1 0 0 1 0 1 0 1 0 1 0 0 1 1 0 0 子載波1: 1 1 0 0 0 1 1 0 0 1 0 1 子載波2: 0 0 0 1 1 0 0 0 1 0 0 0 子載波1: 0 1 1 0 0 1 1 1 0 1 1 0 調(diào)制：OFDM技術(shù)優(yōu)點(diǎn) 抗頻率選擇性衰落和窄帶干擾能力強(qiáng) OFDM把用戶(hù)信息通過(guò)多個(gè)子載波傳輸； 通過(guò)子載波的聯(lián)合編碼，達(dá)到了子信道間的頻率分集的作用；

7、 增強(qiáng)了對(duì)脈沖噪聲和信道快衰落的抵抗力； 抗多徑效應(yīng)能力強(qiáng)；MAC仲裁機(jī)制目前各個(gè)廠商都是實(shí)現(xiàn)的DCF方式，PCF方式?jīng)]有實(shí)現(xiàn)注意：此圖片引用友商，沒(méi)有作更改隨機(jī)退避（DCF方式）Frame Exchange Frame ExchangeFrameExchangeFrameExchangeDIFSDIFSDIFSSTA 1STA 2STA 3STA 4退避窗口退避窗口退避窗口QOS的機(jī)制就由此而產(chǎn)生DirectSignalReflectedSignalsAlsoMultipath fadingPC CardAccess Point (AP)干擾：多徑干擾干擾：電磁干擾2.4GHz為ISM頻段，

8、不需授權(quán)即可使用。同一區(qū)域內(nèi)AP之間的互相干擾，干擾方式分為同信道干擾和鄰信道干擾。其他干擾源-微波爐-醫(yī)療設(shè)備-雙向?qū)ず粝到y(tǒng)-脈沖雷達(dá)系統(tǒng)-其它無(wú)線通訊系統(tǒng)形式主要包括：同頻競(jìng)爭(zhēng)、斜波干擾、線性調(diào)制干擾等等功率在穿過(guò)障礙物后衰減墻，門(mén)，等等電磁波的穿透性能是和頻率相關(guān)的。當(dāng)發(fā)射功率不足夠大時(shí)，在建筑物后形成無(wú)線覆蓋盲區(qū)。傳播：障礙物、空氣等等有效帶寬802.11b:空口：11 Mbps,應(yīng)用層理論帶：6 Mbps，一般為：5Mbps左右802.11g：空口：54 Mbps，應(yīng)用層理論帶寬：24.4Mbps，一般:22Mbps左右802.11a：與11g基本相同；AP接入的用戶(hù)數(shù)基本可以均分其

9、有效帶寬不穩(wěn)定是無(wú)線通訊所存在的缺陷，主要由于環(huán)境造成的；物理建筑的構(gòu)成共享介質(zhì)用戶(hù)數(shù)數(shù)據(jù)量測(cè)試時(shí)注意：最好使用長(zhǎng)包測(cè)試（包長(zhǎng)：）；最是二點(diǎn)測(cè)試（AP+網(wǎng)卡）；吞吐量示意圖覆蓋范圍802.11g的理論覆蓋與802.11b的相同，比802.11a覆蓋距離增加50覆蓋距離與環(huán)境、功率等因素存在很大的關(guān)系ContentsWLAN基礎(chǔ)概念工作原理簡(jiǎn)介IEEE802.11基本協(xié)議IEEE802.11其它協(xié)議其它回顧802.11標(biāo)準(zhǔn)簡(jiǎn)介在此802.11標(biāo)準(zhǔn)定義了PHY層與MAC層內(nèi)容802.11的網(wǎng)絡(luò)框架基本概念：ESSBSSBSSID協(xié)議狀態(tài)機(jī)802.11MAC層負(fù)責(zé)客戶(hù)端與AP之間的通訊。主要功能包括

10、：掃描、接入、認(rèn)證、加密、漫游和同步。802.11 MAC 報(bào)文分類(lèi)：數(shù)據(jù)幀用戶(hù)的數(shù)據(jù)報(bào)文控制幀協(xié)助發(fā)送數(shù)據(jù)幀的控制報(bào)文，例如：RTS、CTS，ACK、PS-POLL等管理幀負(fù)責(zé)STA和AP之間的能力級(jí)的交互，認(rèn)證、關(guān)聯(lián)等管理工作，例如：Beacon，Probe，Association，Authentication等802.11 MAC層工作原理概述802.11 MAC層工作原理用戶(hù)接入管理過(guò)程STAAP Discovery選擇AP(采用偵聽(tīng)Beacon幀或發(fā)送Probe幀)AuthenticationAssociation和建立Association關(guān)系的AP收發(fā)數(shù)據(jù)802.11 MAC 使

11、用Scanning功能來(lái)完成Discovery尋找和加入一個(gè)網(wǎng)絡(luò)當(dāng)STA漫游時(shí)尋找一個(gè)新的APPassive Scanning通過(guò)偵聽(tīng)AP定期發(fā)送的Beacon幀來(lái)發(fā)現(xiàn)網(wǎng)絡(luò)， Beacon幀中包含該AP所屬的BSS的基本信息以及AP的基本能力級(jí)，包括： BSSID（AP的MAC地址）、 SSID、支持的速率、支持的認(rèn)證方式，加密算法、 Beacons幀發(fā)送間隔，使用的信道等當(dāng)未發(fā)現(xiàn)包含期望的SSID的BSS時(shí)，STA可以工作于IBSS狀態(tài)Active Scanning在每個(gè)信道上發(fā)送Probe request報(bào)文，從Probe Response中獲取BSS的基本信息， Probe Respon

12、se包含的信息和Beacon幀類(lèi)似802.11 MAC層工作原理 Scanning掃描802.11支持兩種基本的認(rèn)證方式Open-system Authentication等同于不需要認(rèn)證，沒(méi)有任何安全防護(hù)能力通過(guò)其他方式來(lái)保證用戶(hù)接入網(wǎng)絡(luò)的安全性，例如Address filter、用戶(hù)報(bào)文中的SSIDSharedKey Authentication采用WEP加密算法Attacker可以通過(guò)監(jiān)聽(tīng)AP發(fā)送的明文Challenge text和STA回復(fù)的密文Challenge text計(jì)算出WEP KEYSTA和AP均可通過(guò)Deauthentication來(lái)終結(jié)認(rèn)證關(guān)系802.11 MAC層工作原

13、理 Authentication認(rèn)證STAAPAuthentication requestAuthentication Response (success)STAAPAuthentication requestPlain text challengeCipher text challengeAuthentication Response (success)預(yù)置Key用Key加密明文密文解密和明文比較預(yù)置KeyAssociationSTA通過(guò)Association和一個(gè)AP建立關(guān)聯(lián)，后續(xù)的數(shù)據(jù)報(bào)文的收發(fā)只能和建立Association關(guān)系的AP進(jìn)行ReassociationSTA在從一個(gè)老的AP

14、移動(dòng)到新AP時(shí)通過(guò)Reassociation和新AP建立關(guān)聯(lián)Reassociation前必須經(jīng)歷Authentication過(guò)程DeassociationSTA和AP均可通過(guò)Deassociation和AP解除關(guān)聯(lián)關(guān)系802.11 MAC層工作原理 Association關(guān)聯(lián)STAAPAssociation request (SSID)Association Response (Association ID)STANew AP數(shù)據(jù)Old AP檢測(cè)到New AP信號(hào)強(qiáng)Reassociation請(qǐng)求(old AP address)DeassociationReassociation應(yīng)答采用基于RC

15、4對(duì)稱(chēng)流加密算法的WEP加密STA和AP需要預(yù)先配置相同的靜態(tài)Key，Key的長(zhǎng)度為40 bit或104bit每次對(duì)數(shù)據(jù)加密的Key靜態(tài)Key24bit的IV值（IV值為動(dòng)態(tài)生成）所有的STA共用相同的靜態(tài)Key造成：當(dāng)用戶(hù)的STA丟失或者用戶(hù)離職時(shí)需要對(duì)所有用戶(hù)STA重新配置新的靜態(tài)Key。靜態(tài)Key泄漏被發(fā)現(xiàn)前，網(wǎng)絡(luò)存在安全隱患24bit的IV值太短造成：Attacker可以在分析偵聽(tīng)到的1M-4M用戶(hù)報(bào)文后破解加密Key802.11 MAC層工作原理 -Encryption 加密STAAP加密報(bào)文IV值IV靜態(tài)KeyKey生成器Key流XOR用戶(hù)數(shù)據(jù)明文加密報(bào)文IV靜態(tài)KeyKey生成器

16、Key流XOR用戶(hù)數(shù)據(jù)明文加密報(bào)文802.11 MAC層工作原理漫游和同步Wireless漫游的概念STA可以在屬于同一個(gè)ESS的AP接入點(diǎn)接入，可以使用同一信道或不同信道；STA可以在Wireless網(wǎng)絡(luò)中任意移動(dòng)，同時(shí)保證已有的業(yè)務(wù)不中斷，用戶(hù)的標(biāo)識(shí)（IP地址）不改變。Wireless漫游的分類(lèi)二層漫游在同一個(gè)子網(wǎng)內(nèi)的AP間漫游由于不涉及子網(wǎng)的變化，因此只需保證用戶(hù)在AP間切換時(shí)訪問(wèn)網(wǎng)絡(luò)的權(quán)限不變即可。為了保證快速的切換，通常都會(huì)利用STA在原有AP上使用的資源（例如Key等）三層漫游在不同子網(wǎng)內(nèi)的AP間漫游除了要實(shí)現(xiàn)二層漫游中提到的內(nèi)容以外，通常會(huì)采用一些特殊手段來(lái)保證用戶(hù)業(yè)務(wù)的不中斷。

17、目前較流行的做法有：Mobile IP、 VLAN二層透?jìng)?、GRE二層隧道、IP in IP三層隧道等ContentsWLAN基礎(chǔ)概念工作原理簡(jiǎn)介IEEE802.11基本協(xié)議IEEE802.11其它協(xié)議802.11i802.11e其它回顧從加密到安全WEP夠了嗎？整個(gè)網(wǎng)絡(luò)公用一個(gè)共享密鑰，一旦丟失，整個(gè)網(wǎng)絡(luò)都很危險(xiǎn)。 RC4加密算法本身過(guò)于簡(jiǎn)單。 IV向量太短，且用明文傳送，容易被監(jiān)聽(tīng) 咋辦呢？增加一種密鑰管理機(jī)制 更高級(jí)的加密算法 引入RSNA (robust security network association)概念 增強(qiáng)了STA和AP的認(rèn)證機(jī)制支持802.1x認(rèn)證，并采用雙向認(rèn)證方式

18、有效的防止非法AP的使用支持Pre-shared key認(rèn)證方式，該方式要求在STA側(cè)預(yù)先配置Key，AP通過(guò)4次握手Key協(xié)商協(xié)議來(lái)驗(yàn)證STA側(cè)Key的合法性增加了 Key的生成、管理以及傳遞的機(jī)制每用戶(hù)使用獨(dú)立的Key通過(guò)非對(duì)稱(chēng)密鑰算法生成和傳遞用戶(hù)數(shù)據(jù)加密使用的Key增加了兩類(lèi)對(duì)稱(chēng)加密算法，加密強(qiáng)度大大增強(qiáng)TKIP：核心仍然是RC4算法CCMP：核心為AES算法802.11 i協(xié)議安全認(rèn)證和加密802.11 i協(xié)議用戶(hù)通過(guò)802.1x認(rèn)證接入過(guò)程TLS認(rèn)證舉例STAAPOpen-system AuthenticationAssociationEAPOL startEAPOL-Reques

19、t/User IdentityEAPOL-Request/User Identity服務(wù)器證書(shū)/公鑰STA證書(shū)/用公鑰加密的Master key認(rèn)證成功4次握手Key協(xié)商加密數(shù)據(jù)報(bào)文Radius ServerUser Identity服務(wù)器證書(shū)/公鑰STA證書(shū)/用公鑰加密的Master key認(rèn)證成功/PMK驗(yàn)證服務(wù)器證書(shū)用公鑰加密Master Key生成PMK驗(yàn)證STA證書(shū)用私鑰解密Master Key生成PMKPMK一致性檢查生成其他KeyPMK一致性檢查生成其他Key802.11 i協(xié)議Key caching技術(shù)Key caching過(guò)程：STA第一次接入時(shí)（接入Old AP）采用正常的

20、802.1x認(rèn)證過(guò)程認(rèn)證通過(guò)后STA把使用的PMK信息保存在Cache中STA向New AP發(fā)起Reassociation時(shí)協(xié)商使用PMK Cache方式做認(rèn)證STA利用在Cache中保存的在Old AP中使用的PMK和New AP發(fā)起4次握手協(xié)商過(guò)程協(xié)商成功，STA開(kāi)始傳送數(shù)據(jù)報(bào)文Key的保存：STA保存在cache中，以便于在AP切換時(shí)使用New AP可以通過(guò)在STA Reassociation時(shí)從Old AP獲取PMK信息或者每個(gè)AP向鄰居AP定期發(fā)送連接的STA的 Key cacheSTAAPPMK CacheXXXXXXXNew APOld APSTA1PMK CacheXXXXXX

21、XSTA1PMK CacheXXXXXXX優(yōu)點(diǎn)：STA在切換AP以后不必在進(jìn)行煩瑣的802.1x認(rèn)證和Key交換，加快了切換速度缺點(diǎn)：需要STA軟件支持ContentsWLAN基礎(chǔ)概念工作原理簡(jiǎn)介IEEE802.11基本協(xié)議IEEE802.11其它協(xié)議802.11i802.11e其它回顧802.11e 協(xié)議QOS保證802.11e引入HCF（Hybrid Coordination Function）概念針對(duì)DCF模式的改進(jìn)：EDCA（Enhanced Distributed Channel Access）支持8個(gè)業(yè)務(wù)優(yōu)先級(jí)報(bào)文標(biāo)記(IEEE 802.1d)，可被映射到4個(gè)輸出隊(duì)列高優(yōu)先級(jí)的報(bào)文

22、通過(guò)設(shè)置較短的IFS和Contention window來(lái)優(yōu)先獲取無(wú)線空口的訪問(wèn)能力針對(duì)PCF模式的改進(jìn)：HCCA（HCF Controlled Channel Access）STA通過(guò)和AP協(xié)商data rate, delay, packet size等參數(shù)來(lái)形成針對(duì)該STA的調(diào)度機(jī)制IFS之間的關(guān)系802.11e 協(xié)議QOS保證（續(xù)）EDCA調(diào)度模式優(yōu)先級(jí)隊(duì)列1優(yōu)先級(jí)隊(duì)列2優(yōu)先級(jí)隊(duì)列3優(yōu)先級(jí)隊(duì)列4BusyFrameTimeAIFS4CW4AIFS3CW3FrameAIFS2CW2FrameAIFS1CW1FrameHCCA調(diào)度模式STA1STA2STA3APTime優(yōu)先級(jí)協(xié)商AP對(duì)STA報(bào)

23、文的調(diào)度優(yōu)先級(jí)高優(yōu)先級(jí)中優(yōu)先級(jí)低FrameFrameFrameFrameFrameFrameContentsWLAN基礎(chǔ)概念工作原理簡(jiǎn)介IEEE802.11基本協(xié)議IEEE802.11其它協(xié)議其它回顧無(wú)線交換機(jī)802.11 a/b/g天線加密移動(dòng) IP, IPSec, 認(rèn)證802.1x, TKIP, Qos, 切換, 802.11hAP點(diǎn)監(jiān)測(cè)用戶(hù)放火墻網(wǎng)絡(luò)自愈RF 管理無(wú)線欺騙防護(hù)802.11a/b/g移動(dòng) IP, IPSec, 認(rèn)證802.1x, TKIP, Qos, 切換, 802.11h天線加密更易管理的無(wú)線解決方案 “胖”AP“瘦”AP低成本APWLAN關(guān)鍵技術(shù)瘦接入點(diǎn)和無(wú)線交換機(jī)In

24、ternet普通交換機(jī)InternetWLAN典型組網(wǎng)模式胖AP組網(wǎng)：包括AP、L2交換機(jī)、管理軟件和業(yè)務(wù)軟件，適合規(guī)模較小并對(duì)管理和漫游要求比較低的網(wǎng)絡(luò)部署，典型產(chǎn)品是WA1208E系列無(wú)線網(wǎng)橋模式：分為點(diǎn)對(duì)點(diǎn)或點(diǎn)對(duì)多點(diǎn)（一般不超過(guò)六點(diǎn)），解決長(zhǎng)距離無(wú)線連接問(wèn)題，一般需要配定向天線，在無(wú)遮擋的情況下可達(dá)到20KM以上，典型產(chǎn)品是WA1208E-AGP(WDS模式）和WB2010/WB2011無(wú)線控制器FitAP組網(wǎng)：以無(wú)線控制器為核心的集中式維護(hù)管理，L2/L3層漫游特性，完善的安全體系使之更適合部署大型網(wǎng)絡(luò)，并能與現(xiàn)存有線網(wǎng)絡(luò)很好結(jié)合，實(shí)現(xiàn)增值服務(wù)。典型產(chǎn)品是3COM的WX4400/WX1200無(wú)線控制器/交換機(jī)和AP2750/AP3750 瘦AP，如下圖所示AAA服務(wù)器無(wú)線交換機(jī)POE交換機(jī)Thin AP網(wǎng)管服務(wù)器WLAN兩種典型組網(wǎng)模式比較 組網(wǎng)模式 項(xiàng)目Fat AP獨(dú)立組網(wǎng)Wireless ControllerFitAP組網(wǎng) 管理維護(hù)集中管理能力比較弱，維護(hù)較困難管理性較強(qiáng)，容易維護(hù) 漫游只支持二層漫游較強(qiáng)的二、三層漫游能力，可保證一定的切換時(shí)間 缺點(diǎn)集中管理能力差，不支持三層漫游特殊環(huán)境的工程能力比較差，硬件配置無(wú)法滿(mǎn)足復(fù)雜環(huán)境應(yīng)用標(biāo)準(zhǔn)完善性802.11f主要考慮到漫游，但沒(méi)有考慮漫游過(guò)程中后端系統(tǒng)的一致性問(wèn)題，需求各個(gè)廠商自行解決基本都已經(jīng)考慮，但還沒(méi)有完全標(biāo)準(zhǔn)化，