由浅入深玩转华为WLAN—-6 旁挂+三层+隧道转发方式组网
转载自微信公众号：网络之路博客
WLAN配置示例2（旁挂组网隧道），这种方式比较适合中小型企业，AC旁挂在三层交换机旁边，只是用于来与AP建立CAPWAP隧道，下发业务给AP，如果在隧道方式下的话，那么业务流量也会由CAPWAP隧道进行封装交给AC处理，再由AC来转发，而直接转发的话，则由AP本地交换了，不需要交给AC，这样可以减轻AC的负担，具体使用可以根据需求来决定。（这里以隧道模式演示，实际根据环境来选择隧道还是直接转发，能够支持直接转发的条件那就用直接转发更好）
掌握目标
1、AP静态关联AC的方法【补充，之前都是以动态或者option43方式】
2、三层交换机配置
3、AC的配置
4、只允许访客访问特定的流量，通过ACL下放
实验文件可以通过模拟器加载
1、AP静态配置关联AC（特殊情况用的到）
在AP上面配置模式为静态，配置自己的IP地址与网关，最后指定AC的地址在哪，重启设备即可。
2、三层交换机配置
dhcp enable
interface Vlanif100
ip address 10.1.100.1 255.255.255.0
dhcp select interface
dhcp server option 43 sub-option 3 ascii 10.1.201.100
这里配置了option 43，指定AC的地址
#
interface Vlanif101
ip address 10.1.101.1 255.255.255.0
dhcp select interface
dhcp server dns-list 8.8.8.8
#
interface Vlanif102
ip address 10.1.102.1 255.255.255.0
dhcp select interface
dhcp server dns-list 8.8.8.8
#
interface Vlanif200
ip address 10.1.200.2 255.255.255.0
#
interface Vlanif800
ip address 10.1.201.1 255.255.255.0
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1
port link-type access
port default vlan 100
#
interface GigabitEthernet0/0/2
port link-type access
port default vlan 100
#
interface GigabitEthernet0/0/3
port link-type access
port default vlan 200
#
interface GigabitEthernet0/0/4
port link-type trunk
port trunk allow-pass vlan 100 to 102 200 800
说明：这里演示是以隧道方式组网演示的，所以交换机接AP的接口都为Access接口，如果是直接转发的话，那么必须为hybrid或者trunk，其中PVID必须等于AC的源地址的VLAN，也就是与AP建立CAPWAP隧道的VLAN，为管理VLAN，然后还需要放行业务VLAN，否则PC关联不上，DHCP获取不到地址。!!!
ospf 1 router-id 3.3.3.3
area 0.0.0.0
network 10.1.200.2 0.0.0.0
network 10.1.201.1 0.0.0.0
area 0.0.0.1
network 10.1.100.1 0.0.0.0
network 10.1.101.1 0.0.0.0
network 10.1.102.1 0.0.0.0
3、AC配置
acl number 3001
rule 5 permit ip destination 10.1.201.100 0
rule 10 deny ip destination 10.0.0.0 0.255.255.255
rule 15 permit ip
说明：拒绝访客访问内部员工网络
interface Vlanif103
ip address 192.168.103.1 255.255.255.0
traffic-filter inbound acl 3001
dhcp select interface
dhcp server dns-list 8.8.8.8
#
interface Vlanif800
ip address 10.1.201.100 255.255.255.0
#
ospf 1 router-id 2.2.2.2
area 0.0.0.0
network 10.1.201.100 0.0.0.0
area 0.0.0.103
network 192.168.103.1 0.0.0.0
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 100 to 102 800
interface Wlan-Ess0
port hybrid untagged vlan 101
#
interface Wlan-Ess1
port hybrid untagged vlan 102
#
interface Wlan-Ess2
port hybrid untagged vlan 103
说明：该接口用来关联每一个服务集的，下发的时候告诉下面的AP打上什么样的VLAN。
wlan
wlan ac source interface vlanif800
ap id 0 type-id 19 mac 00e0-fc03-d740 sn 2102354483106C6FFC3E 【采用MAC认证方式来让AP上线】
ap id 1 type-id 19 mac 00e0-fc03-1360 sn 210235448310646DC543
wmm-profile name wmm id 0
traffic-profile name tra id 0
security-profile name sec id 0
service-set name valn101 id 0 【创建一个服务集，它的转发方式为tunnel，关联了WLAN-ESS0接口，SSID为VLAN 101】
forward-mode tunnel
wlan-ess 0
ssid vlan101
traffic-profile id 0
security-profile id 0
service-vlan 101
service-set name vlan102 id 1
forward-mode tunnel
wlan-ess 1
ssid vlan102
traffic-profile id 0
security-profile id 0
service-vlan 102
service-set name guest103 id 2
forward-mode tunnel
wlan-ess 2
ssid vlan103
user-isolate
traffic-profile id 0
security-profile id 0
service-vlan 103
radio-profile name 2g11n id 0 【指定射频类型为2.4G的，关联WMM】
radio-type 80211bgn
wmm-profile id 0
radio-profile name 5g11n id 1 【指定射频类型为5G的，关联WMM】
radio-type 80211an
wmm-profile id 0
ap 0 radio 0 【在ap的射频下，0表示2.4G，关联刚刚的射频profile，然后关联服务集，服务集是可以关联多个的，可以多个SSID】
radio-profile id 0
service-set id 0 wlan 1
service-set id 1 wlan 2
service-set id 2 wlan 3
ap 0 radio 1
radio-profile id 1
channel 40MHz-minus 153
service-set id 0 wlan 1
service-set id 1 wlan 2
service-set id 2 wlan 3
ap 1 radio 0
radio-profile id 0
channel 20MHz 6
service-set id 0 wlan 1
service-set id 1 wlan 2
service-set id 2 wlan 3
ap 1 radio 1
radio-profile id 1
channel 40MHz-minus 161
service-set id 0 wlan 1
service-set id 1 wlan 2
service-set id 2 wlan 3
这里用的的tunnel转发模式的，默认情况下为直接，所以如果想为直接的转发模式，可以不需要配置forward-mode tunnel，如果为直接转发的话，那么交换机注意不能为Access接口，必须为hybrid或者trunk，PVID=AC与AP建立CAWPWAP隧道的VLAN，然后给业务VLAN打上Tag，否则会出现客户端连接不了AP，获取不到地址的情况。
4、只允许访客访问特定流量，通过ACL下放
在tunnel隧道转发的模式下，所有的流量都是会经过AC，如果网关在AC上面则在AC的VLANIF下面调用，否则在三层交换机上面调用。
在直接转发的模式下，就不一样了，可以直接在traffice-filter里面调用，配置如下。
rule 5 permit ip destination 10.1.201.100 0
rule 10 deny ip destination 10.0.0.0 0.255.255.255
rule 15 permit ip
说明：拒绝访客访问内部员工网络
service-set name guest103 id 2
traffic-filter inbound acl 3001
它会在AP关联的时候，就会自动下发给AP，那么AP的接口上面就会有该ACL，直接在AP上面对客户端的流量做限制。所以在做控制的时候，一定要区分是在什么方式下，是直接转发还是隧道转发，不同的模式，策略应用的方式也不一样。
！ 提问与分享（想提高自己，从独立思考与分享开始）
提问：实际运用中，可能大部分都会选择直接转发，那么什么情况下会选择隧道转发呢？分享：实验可以通过模拟器直接完成，记得老版本选用分享的考试版本即可，最新版本是采用的V2R7命令行有差别。
实验源文件：
链接：https://pan.baidu.com/s/1y665TiaLaLf9sYXLFgBchA
提取码：pb3v
复制这段内容后打开百度网盘手机App，操作更方便哦