項目12.4 無線FIT模式多SSID的安全加密

項目12組建安全的無線局域網授課教師：管秀君吉林交通職業(yè)技術學院項目實戰(zhàn)任務12.4無線FIT模式多SSID的安全加密你是某公司的網管，由于無線信號沒有進行加密，任何人都可以隨意接入，對網絡帶寬和安全造成很大影響，針對此現象，你決定對無線網絡進行加密，而且對財務部和銷售部采用WPA2安全策略，只有知道這兩個部門無線密碼的人才能加入該部門的網絡。具體任務就是將網絡設備按照拓撲圖結構進行連接、完成相關IP地址規(guī)劃、基礎配置及無線加密配置、驗證無線用戶接入需要密碼確認

項目背景12.4.1

實施條件采用銳捷AP作為無線接入點，AC作為無線控制器集中控制AP和數據轉發(fā)，交換機SW和POE供電模塊為AP進行供電。實施條件SWSTASTBG0/1Gi0/1Gi0/24G0/112.4.2

數據規(guī)劃相關IP數據及信息規(guī)劃如下：1．Lo0:/32--AC和AP建立CAPWAP隧道接口；2．SVI10:/24--AP管理地址網關；3．SVI20:/24--SW管理地址；4．SVI30:/24一財務部用戶網關地址；5．SVI40:/24一銷售部用戶網關地址；SVI4000:/30--SW和AC互聯地址段AP、SW和用戶的網關均放置于SW上數據規(guī)劃12.4.3

實施步驟（1）在Poe交換機上配置基本遠程管理功能，并創(chuàng)建AP管理VLAN10、Poe交換機管理VLAN20、無線用戶VLAN30、40和Poe交換機與AC互聯VLAN4000。交換機基礎配置SW(config)#VLAN10創(chuàng)建VLAN10SW(config-vlan)#nameAP-Guanli命名VLAN10為AP-GuanliSW(config)#VLAN20創(chuàng)建VLAN20SW(config-vlan)#nameSW-Guanli命名VLAN20為SW-GuanliSW(config)#VLAN30創(chuàng)建VLAN30SW(config-vlan)#namecaiwu-Wifi命名VLAN30為caiwu-WifiSW(config)#VLAN40創(chuàng)建VLAN40SW(config-vlan)#namexiaoshou-Wifi命名VLAN40為xiaoshou-WifiSW(config)#

VLAN4000創(chuàng)建VLAN4000SW(config-vlan)#nameLink--AC-VLAN4000命名VLAN4000為Link--AC-VLAN4000SW(config-vlan)#exit退出（2）將交換機端口Gi0/1設置為access接口屬于VLAN10，Gi0/24配置為Trunk接口，并對Trunk接口進行VLAN修剪優(yōu)化。交換機基礎配置SW(config)#interfacegigabitEthernet0/1進入端口配置模式配置端口Gi0/1SW(config-if)#poeenable開啟poe供電功能SW(config-if)#switchportaccessvlan10把該端口配置為access接口SW(config-if)#exit退出SW(config)#interfacegigabitEthernet0/24進入端口配置模式配置端口Gi0/24SW(config-if)#switchportmodetrunk把該端口配置為Trunk接口SW(config-if)#switchporttrunkallowedvlanremove1-29,31-3999,4001-4094將Trunk接口不必要的VLAN修剪掉，防止VLAN廣播泛洪SW(config-if)#descriptionLINK—AC-G0/1--接口描述SW(config-if)#exit退出SW(config)#showinterfacesgigabitEthernet0/24switchport查看端口Gi0/24的信息，同時也可以用于查看Gi0/1信息（3）在Poe交換機上創(chuàng)建無線用戶VLAN、AP管理VLAN、Poe交換機管理VLAN和Poe交換機與AC互聯VLAN的SVI地址，并且配置指向AC的loopback接口明細路由。

交換機基礎配置SW(config)#interfaceVLAN10進入VLAN10的SVI接口SW(config-if-VLAN10)#description對AP的網關SVI接口描述為AP-GuanliSW(config-if-VLAN10)#ipaddress配置AP管理地址的網關SVI地址SW(config)#interfaceVLAN20進入VLAN20的SVI接口SW(config-if-VLAN20)#descriptionSW-Guanli命名VLAN20為SW-GuanliSW(config-if-VLAN20)#ipaddress配置Poe交換機的管理IP地址SW(config)#interfaceVLAN30進入VLAN30的SVI接口SW(config-if-VLAN30)#descriptioncaiwu-Wifi描述VLAN30為caiwu-WifiSW(config-if-VLAN30)#ipaddress配置財務部無線用戶的網關SVI地址SW(config)#interfaceVLAN40進入VLAN40的SVI接口SW(config-if-VLAN30)#descriptionxiaoshou-Wifi描述VLAN40為xiaoshou-WifiSW(config-if-VLAN30)#ipaddress配置銷售部無線用戶的網關SVI地址SW(config)#interfaceVLAN4000進入VLAN4000的SVI接口SW(config-if-VLAN4000)#descriptionLink--AC-VLAN4000--對SVI接口描述為Link--AC-VLAN4000SW(config-if-VLAN4000)#ipaddress52配置與AC互聯VLAN的IP地址SW(config)#iproute55添加指向AC的LO0明細路由SW(config)#showipinterfacebrief查看接口IP地址配置（4）在交換機上創(chuàng)建無線用戶和AP管理的DHCP地址池。交換機基礎配置SW(config)#servicedhcp開啟DHCP功能，默認DHCP功能關閉SW(config)#ipdhcppoolAP-Guanli創(chuàng)建AP的DHCP地址池SW(dhcp-config)#option138ip配置APoption138字段指向AC的Lo0SW(dhcp-config)#network指定APDHCP分發(fā)地址段SW(dhcp-config)#default-router指定AP的網關地址SW(dhcp-config)#exit退出SW(config)#ipdhcppoolcaiwu-Wifi創(chuàng)建財務部無線用戶的DHCP地址池SW(dhcp-config)#network指定財務部無線用戶DHCP分發(fā)地址段SW(dhcp-config)#default-router指定財務部無線用戶的網關地址SW(config)#ipdhcppoolxiaoshou-Wifi創(chuàng)建銷售部無線用戶的DHCP地址池SW(dhcp-config)#network指定銷售部無線用戶DHCP分發(fā)地址段SW(dhcp-config)#default-router指定銷售部無線用戶的網關地址（1）在AC上配置基本遠程管理功能，添加無線用戶VLAN和與核心互聯的VLAN，并創(chuàng)建核心互聯VLAN的SVI接口地址和loopback0的接口IP，將AC的G0/1接口配置為Trunk接口，進行VLAN修剪；添加默認路由指向Poe交換機。無線控制器基礎配置Ruijie#configureterminal從特權模式進入到全局模式Ruijie(config)#hostnameAC對AC進行命名AC(config)#usernameadminpasswordruijie創(chuàng)建用戶名和密碼AC(config)#linevty04進入虛線路AC(config-line)#loginlocal采用本地用戶認證AC(config)#VLAN30創(chuàng)建VLAN30AC(config-vlan)#namecaiwu-Wifi命名VLAN30為caiwu-WifiAC(config)#VLAN40創(chuàng)建VLAN40AC(config-vlan)#namexiaoshou-Wifi命名VLAN40為xiaoshou-WifiAC(config)#VLAN4000創(chuàng)建VLAN4000AC(config-vlan)#nameLink--SW-VLAN4000命名VLAN4000為Link--SW-VLAN4000AC(config)#interfacevlan4000進入VLAN4000的SVI接口AC(config-if-VLAN4000)#descriptionLink--SW-VLAN4000對VLAN4000的SVI接口進行描述AC(config-if-VLAN4000)#ipaddress52配置VLAN4000的SVI接口地址AC(config)#interfacegi0/1進入G0/1接口AC(config-if)#switchportmodetrunk配置G0/1接口為Trunk接口AC(config-if)#switchporttrunkallvlanremove1-29,31-3999,4001-4094將不必要VLAN在Trunk口進行修剪AC(config-if)#descriptionLink--SW-Gi0/24對G0/1口對端連接情況進行描述AC(config)#interfaceloopback0進入loopback0接口AC(config-if)#ipaddress55配置loopback0接口IP地址AC(config-if)#descriptionCAPWAP對loopback0接口進行描述AC(config)#iproute添加默認路由，保證loopback0能夠和AP管理網段路由互通（2）AP和AC的版本同步，AP和AC的版本必須一致，否則可能導致CAPWAP隧道異常發(fā)生。（注：可以先查看AP和AC的版本，如果AC和AP的版本一致，則不需要此版本同步過程）無線控制器基礎配置AC#copytftp://x.x.x.x/xxx.binflash:AP720I.bin將AP的主程序TFTP導入無線控制器AC(config)#ac-controller進入AC控制模式AC(config-ac)#active-bin-fileAP720I.bin激活AP主程序AC(config-ac)#ap-serialAP720AP720-Ihw-verx.x創(chuàng)建AP系列，注：試驗中根據具體實驗設備進行選擇AC(config-ac)#ap-imageAP720I.binAP720將AP系列和AP主程序進行關聯（3）在AC上創(chuàng)建無線相關配置，包括WLAN-ID、SSID和ap-group。無線控制器基礎配置AC(config)#wlan-config1caiwubu創(chuàng)建WLAN1的SSID為caiwuAC(config)#wlan-config2xiaoshou創(chuàng)建WLAN1的SSID為xiaoshouAC(config)#ap-groupdefault進入ap-group的default組AC(config-group)#interface-mapping130配置wlan-id1和財務部無線用戶VLAN30的對應關系AC(config-group)#interface-mapping240配置wlan-id2和銷售部無線用戶VLA40N的對應關系（4）將AP加入ap-group，并進行信道規(guī)劃和命名。無線控制器基礎配置AC(config)#ap-configxxxx.xxxx.xxxx進入AP配置模式，xxxx部分為實驗AP的mac地址AC(config-ac)#ap-groupdefault將AP加入default組AC(config-ac)#ap-nameAP720-1對AP進行命名，注：項目中會有很多AP存在，需要對每個AP進行命名，便于網絡維護AC(config-ac)#channel11radio1對AP信道進行調整，避免同頻干擾存在（1）針對財務部無線用戶采用WPA2進行加密。無線安全加密配置AC(config)#wlansec1進入無線安全配置模式AC(config-wlansec)#securityrsnenable使能WPA2加密AC(config-wla