企业部署轻量级AP应该注意三大问题

在思科的统一无线管理策略中,将无线发射点分为轻量级AP与无线局域网控制器两个部分,两者各司其责。轻量级AP只负责信号的接收与发送,而无线局域网控制器则负责客户端身份认证、安全策略管理等等。所以在部署思科无线局域网的时候,就需要注意合理部署轻量级 AP,让其能够跟无线局域网有机的联系起来。

10年积累的成都做网站、网站制作经验,可以快速应对客户对网站的新想法和需求。提供各种问题对应的解决方案。让选择我们的客户得到更好、更有力的网络服务。我虽然不认识你,你也不认识我。但先网站设计后付款的网站建设流程,更有凉山州免费网站建设让你可以放心的选择与我们合作。

为了帮助大家能够深一步认识轻量级AP的部署,笔者就先谈谈轻量级AP的工作原理。然后结合这个工作原理来谈谈其部署的重点与注意事项。简单的来说,轻量级AP从启动到正常运行大致可以分为四个步骤。

第一步:轻量级AP从DHCP服务器那里获得一个IP地址。虽然轻量级AP只是一个无线信号接入点,但是其仍然是一个网络设备。其要在局域网络中进行正常的数据传送,其仍然需要一个合法的IP地址。为此在启动的时候,轻量级AP需要从DHCP服务器中获得一个合法的IP地址。

第二步:与无线局域网控制器建立联系。轻量级AP在启动过程中,会通过广播的方式取得所有无线局域网控制器的IP地址。如果不考虑其他因素的话,则其会先向其获得的第一个无线局域网控制器发送连接请求。如果无线局域网控制器没有回应的话,则会尝试下一个IP地址。无线局域网控制器接收到这个请求信息时,便会向轻量级AP发送加入应达的信息。如此就可以把轻量级AP与无线局域网控制器绑定在一起。

第三步:策略代码的比较与更新。无线局域网控制器在绑定了轻量级AP之后,就会把其代码印象版本与本地存储的代码映像版本进行比较。如果在连接之前,无线局域网控制器中的某些策略发生了变更,则轻量级AP将会从无线局域网控制器中下载并启用最新的印象代码。不过要生效的话,轻量级AP必须重新启动。

第四步:隧道的建立。当以上三个步骤完成之后,轻量级AP与无线局域网控制器之间会建立起两条隧道,分别为传送管理信息的LWAPP控制信息隧道与用户数据的数据隧道。这两个隧道并不能够用来实现数据负载均衡,而是各有各的用途。即使在客户端数据交换频繁的时候,用来传输控制信息的隧道也不用购用来传递数据信息。

可见,轻量级AP的工作原理是非常简单的。因为其大部分的复杂工作,如客户端的身份认证等等,都是由独立的无线局域网控制器完成的。为此在部署轻量级AP的时候,其重点就是如何保证轻量级AP与无线局域网控制器之间的连接。如果这个连接中断的话,则即使轻量级AP工作正常,用户仍然无法通过这个轻量级AP来收发信息。为了保障他们之间的有效连接,网络管理员需要注意以下几个方面的问题。

1、虚拟局域网的问题

如果企业处于安全的考虑,在企业网络中部署了虚拟局域网。此时对于轻量级AP与无线局域网控制器的通信是否会造成影响?如通过DHCP服务器,轻量级AP与无线局域网控制器设备的IP地址分属于不同的局域网。此时这两个设备虽然通过路由器仍然可以进行通信,但是对于其传递的管理信息是否会造成不利的影响呢?通常情况下,使不会造成不利影响的。或者说,其不利影响可以忽略不计。这主要是因为隧道封装的原因。在无线局域网控制器与轻量级AP进行数据传送时,隧道会将他们之间需要传送的数据封装到IP分组中,从而可以跨越虚拟局域网交换或者路由这些信息。如果此时需要通过路由器来进行路由,所以其在传送的环节中就多出了一环,其速率稍微受到了一些影响。不过除非这个路由器是企业网络中的瓶颈资源,否则的话,这个不利影响可以忽略不计。

不过如果部署在不同的虚拟局域网中,对于后续故障的排测也会产生不利的影响。如当无线局域网控制器与轻量级AP无法正常通信的话,那么造成这个故障的原因还需要考虑路由器路由信息的原因。所以在遇到故障时,就必须多测试几个地方。所以虽然无线局域网控制器与轻量级AP可以分属于不同的局域网,但是,为了后续工作的方面,尽量不要这么做。即尽量部署在相同的虚拟局域网中。把他们部署在不同的局域网中只是不得已而为之的做法。如企业中有三个无线接入点,分属于三个不同的虚拟局域网。此时,为他们分别配制三个不同的无线局域网控制器则显然是不合理的。在遇到这种情况时,只需要配备一个无线局域网控制器。其中有两个轻量级AP只好与无线局域网控制器分属于不同的虚拟局域网,以节省硬件的成本,并实现统一管理。

2、轻量级AP与无线局域网控制器的关联方式

从上面的工作原理中,我们可以看到,都是轻量级AP主动与无线局域网控制器进行联系。也就是说,如果企业无线网络比较复杂,有多个无线局域网控制器的话,轻量级AP会与那个无线局域网控制器进行绑定的?这个主动权主要在轻量级AP,而不在于无线局域网控制器上。通常情况下,轻量级AP会发送广播信息,以获得其周边的所有无线局域网控制器的IP地址。并会根据得到IP地址时间的先后顺与,依次进行连接请求。并自动绑定第一个允许其连接请求的无线局域网控制器。但是,这往往会造成管理上的混乱。如企业网络管理员出于负载均衡的需要,或者出于安全的需要,往往希望轻量级AP能够连接到特定的无线局域网控制器上去。而这种绑定方式,显然不能够满足管理员维护无线网络的需要。

为此,思科的轻量级AP采取了一个自定义无线局域网控制器IP地址列表的功能。即在每一个轻量级AP内,都能够维护一个组多可达三个IP地址的列表,而且这个三个无线局域网控制器的IP地址有先后顺序。第一个IP地址代表的无线局域网控制器为主控制器,第二个辅助无线局域网控制器,第三个会后给辅助无线局域网控制器。如果采用了这个列表之后,那么当轻量级AP启动时,就不会去搜寻其周围的无线局域网控制器。而是直接利用这个列表中的IP地址与无线局域网控制器进行连接,要求与其建立联系。如果当这规定的三个IP地址都不可用时,才会发送IP子网广播来寻找可用的无线局域网控制器。

3、隧道安全机制的不同

在轻量级AP与无线局域网控制器进行通信时,会采用两条隧道,分别用来传送控制信息与数据信息。通常情况下,控制信息在传送的过程中是不加密的,而数据信息在传送的过程中是加密的。虽然有隧道的保护,但是其管理信息在隧道中进行明文传输则仍然会有一定的安全隐患。为此需要通过IPSec等安全策略,来保障其信息传输的安全性。否则的话,非法供给者就可以通过窃听等手段来获取管理信息,并进行伪造,从而让一些非法的客户端可以通过其认证,连接到这个无线局域网中。所以,如果企业无线网络中的数据比较重要,会让一些攻击者不惜花大代价来进行攻击的话,则通过IP安全策略等手段来加密管理信息仍然是非常有必要的。不过在采用这些额外的安全手段时,需要进行仔细的测试,以判断能否与思科无线统一安全策略兼容。虽然说思科的产品其兼容性一般不会有多大的问题,因为其本身就是很多网络标准的制定者。不过为了保险,这个兼容性测试仍然是必需的。

【编辑推荐】

  1. 网络安全领域僧多粥少 思科亦受挫
  2. 如何用思科和H3C设备解决ARP病毒
  3. 深入了解IT安全认证:思科微软均提升其重要性

文章题目:企业部署轻量级AP应该注意三大问题
网页URL:http://www.mswzjz.com/qtweb/news10/177660.html

网站建设、网络推广公司-创新互联,是专注品牌与效果的网站制作,网络营销seo公司;服务项目有等

广告

声明:本网站发布的内容(图片、视频和文字)以用户投稿、用户转载内容为主,如果涉及侵权请尽快告知,我们将会在第一时间删除。文章观点不代表本网站立场,如需处理请联系客服。电话:028-86922220;邮箱:631063699@qq.com。内容未经允许不得转载,或转载时需注明来源: 创新互联