实验背景

在现代企业网络环境中，无线网络已成为员工和访客接入网络的主要方式。然而，不同用户群体对网络的安全性、性能和访问权限有着不同的需求。企业内部员工需要访问敏感的业务系统和内部资源，而访客用户则只需要基本的互联网访问权限。这种差异化的需求要求网络管理员能够实现有效的网络隔离和访问控制。

本实验旨在模拟一个典型的企业无线网络部署场景，通过以下技术手段实现网络的安全隔离和高效管理：

• VLAN技术：通过虚拟局域网（VLAN）实现逻辑上的网络隔离，将不同用户群体划分到不同的广播域中，提高网络安全性并减少广播风暴。
• 无线局域网（WLAN）：为企业内部员工和访客提供无线接入服务，通过不同的SSID和加密方式区分用户类型。
• AC+AP架构：采用无线控制器（AC）和接入点（AP）的集中管理架构，实现无线网络的统一配置、管理和监控。
• DHCP服务：为不同VLAN的用户自动分配IP地址，简化网络管理。
• 路由配置：确保不同VLAN间的通信以及无线用户访问互联网的需求。

实验的核心目标是：

1. 实现企业内部员工无线网络和访客无线网络的物理隔离和逻辑隔离
2. 确保企业内部网络数据的安全性和保密性
3. 提供稳定可靠的无线网络服务，满足不同用户群体的需求
4. 建立可扩展、易管理的网络架构，便于后续维护和升级

通过本实验的配置，可以学习到企业级无线网络规划、VLAN划分、AC+AP部署、DHCP服务配置以及路由策略制定等关键网络技术，为实际工作中的网络部署和维护提供实践经验。

现网中为了实现游客用户使用的无线网和公司内部无线网区分开,实现对数据的保密性,故如下

实验拓扑如上:

一、VLAN划分

LSW2 VLAN配置：

• VLAN 10（ap管理VLAN）
• VLAN 20（用户1业务VLAN）
• VLAN 30（用户2业务VLAN）
• VLAN 50（与路由器互联VLAN）
• VLAN 60（AC与SW2互联VLAN）

LSW3 VLAN配置：

• VLAN 10（ap管理VLAN）
• VLAN 30（用户2业务VLAN）

二、WLAN配置

LWS2角色：作为AP和业务VLAN的DHCP服务器

无线用户配置：

用户	SSID	转发方式	加密标准	业务VLAN
用户1	szb1	隧道转发	WPA-WPA2 PSK AES	VLAN 20
用户2	szb2	直连转发	开放系统（无加密）	VLAN 30

国家码：CN（中国）

用户1密码:a1234567 ,隧道转发

用户2:直接转发

LSW3:

sy
sysname SW2
vlan ba 10 30
int g0/0/1
port li tr
port tr a v 10 30
int e0/0/2
port li tr
port tr pvid vlan 10
port tr a v 10 30
int e0/0/1
port li tr
port tr pvid vlan 10
port tr a v 10 30

LSW2:

sy
sysname SW1
vlan b 10 20 30 50 60
int vlan 10
ip add 10.1.10.1  24
int vlan 20
ip add 10.1.20.1 24
int vlan 30
ip add 10.1.30.1 24
int vlan 50
ip add 10.1.50.1 24
int vlan 60
ip add 10.1.60.1 24
quit
dhcp en
ip pool vlan10
gateway-list 10.1.10.1
network 10.1.10.0 mask 255.255.255.0
dns-list 8.8.8.8
option 43 sub-option 2 ip-address 10.10.10.10

ip pool vlan20
gateway-list 10.1.20.1
network 10.1.20.0 mask 255.255.255.0
dns-list 8.8.8.8

ip pool vlan30
gateway-list 10.1.30.1
network 10.1.30.0 mask 255.255.255.0
dns-list 8.8.8.8

int vlan 10
dhcp select global
int vlan 20
dhcp select global
int vlan 30
dhcp select global

int g0/0/3

port li tr 

port tr a v 10 30

int g0/0/2

port li tr

port tr a vlan 20 60

q

interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 50
ip route-static 10.10.10.10 32 10.1.60.2              #指向ac不然无法ap发现ac

AC2:

sy
sysname AC
vlan ba 20 60
int vlan 60
ip add 10.1.60.2 24
q
int g0/0/2
port li tr
port tr a v 20 60
q
int loopback 0
ip add 10.10.10.10  32
q
ip route-static 10.1.20.0 24 10.1.60.1 #出路由
ip route-static 10.1.30.0 24 10.1.60.1 #出路由
capwap source interface LoopBack 0 #向外宣告ac地址
wlan
ap-group name szb #创建ap组
q
ap auth no #ap认证模式为不认证
q
dis ap all #查看ap是否上线

#ap上线后如下配置

wlan
ap-id 0
ap-group szb
ap-name yw1
q
ap-id 1
ap-group szb
ap-name yw2
q
ssid-porfile  name szb1
ssid szb1
q
ssid-porfile  name szb2
ssid szb2
q
security-porfile name szb1
security wpa-wpa2 psk pass-  a1234567 aes
q
security-porfile name szb2
security open
q
vap-profile name szb1
ssid-profile szb1
security-profile szb1
service-vlan vlan-id 20
forward-mode tunnel
vap-profile name szb2
ssid-profile szb2
security-profile szb2
service-vlan vlan-id 30
forward-mode dir
q
re      name szb
coun    CN
ap-group name szb
re     szb
vap-profile szb1  wlan 1 radio   all
vap-profile szb2  wlan 2 radio   all
q

R1

sy

sysname R1

int g0/0/1

ip add 10.1.50.2 24

ip route-static 0.0.0.0 0.0.0.0 10.1.50.1       #内网地址路由,不然路由器ping不同内网

#完成后如上