搜索
公司要做AP和AC，从今天开始学习capwap。1capwap的前世今生1.1胖AP、瘦AP、AC传统的WLAN网络都是为企业或家庭内少量移动用户的接入而组建的。因此，只需要一个无线路由器就可以搞定了，就好像现在家用的无线路由器就是胖AP。胖AP将WLAN的物理层、用户数据加密、用户认证、QOS、网络管理、漫游技术以及其他应用层的功能集于一身，功能全，结构复杂。随着无线网络的发展，现在需要部署无线设备的地方越来越多，胖AP的弊端也随之显现出来：WLAN建网时需要对成百上千的AP进行逐一配置：网管IP地址、SSID和加密认证方式等无线业务参数、信道和发射功率等射频参数、ACL和QOS等服务策略，很容易因误配置而造成配置不一致。为了管理AP，需要维护大量AP的IP地址和设备的映射关系，每新增加一批AP设备都需要进行地址关系维护。接入AP的边缘网络需要更改VLAN、ACL等配置以适应无线用户的接入，为了能够支持用户的无缝漫游，需要在边缘网络上配置所有无线用户可能使用的VLAN和ACL。察看网络运行状况和用户统计时需要逐一登录到AP设备才能完成察看。在线更改服务策略和安全策略设定时也需要逐一登录到AP设备才能完成设定。升级AP软件无法自动完成，维护人员需要手动逐一对设备进行软件升级，费时费力AP设备的丢失意味着网络配置的丢失，在发现设备丢失前，网络存在入侵隐患，在发现设备丢失后又需要全网重配置。在这种情况下，瘦AP+AC的组网方式应用而生。其中无线控制器负责无线网络的接入控制，转发和统计、AP的配置监控、漫游管理、AP的网管代理、安全控制；瘦AP负责802.11报文的加解密、802.11的PHY功能、接受无线控制器的管理、RF空口的统计等简单功能。其组网图如下所示：通过无线控制器（AC）来管理多个AP，AP和AC间采用隧道协议进行通讯，无线接入报文的处理在AP和AC间分担实现。瘦AP+AC的组网方式的优点如下：瘦AP的配置保存在无线控制器中，瘦AP启动时会自动从无线控制器下载合适的设备配置信息瘦AP需要能够自动获取IP地址，同时瘦AP需要能够自动发现可接入的无线控制器，并对无线控制器和瘦AP之间的网络拓扑不敏感无线控制器支持瘦AP的配置代理和查询代理，能够将用户对瘦AP的配置顺利传达到指定的瘦AP设备，同时可以实时察看瘦AP的状态和统计信息无线控制器保存瘦AP的最新软件，并负责瘦AP软件的自动更新为了更加清晰的了解胖AP和瘦AP+AC的特点，简单罗列一下。胖AP的主要特点：胖AP是与瘦AP相对来讲的，胖AP将WLAN的物理层、用户数据加密、用户认证、QOS、网络管理、漫游技术以及其他应用层的功能集于一身。胖AP无线网络解决方案可由由胖AP直接在有线网的基础上构成。胖AP设备结构复杂，且难于集中管理。瘦AP的主要特点：瘦AP是相对胖AP来讲的，它是一个只有加密、射频功能的AP，功能单一，不能独立工作。整个瘦AP无线网络解决方案由无线控制器和瘦AP在有线网的基础上构成。瘦AP上“零配置”，所有配置都集中到无线交换机上。这也促成了瘦AP解决方案更加便于集中管理，并由此具有三层漫游、基于用户下发权限等胖AP不具备的功能。简而言之，如果是小规模使用，胖AP是最好的，如果是要大规模部署，瘦AP+AC是明智之选。1.2CAPWAP的起源既然瘦AP不能单独工作，必须和AC配合使用，那么两者之间总要有一种协议可以让它们能够进行互联和沟通吧。因此，思科老大哥整了一个LWAPP协议，而这个协议正是CAPWAP协议的前身！但是请大家注意，LWAPP这个东西是人家思科的私有的，其他厂商是不能直接使用，否则就要吃官司……，于是，其他厂商就按照自己的想法也整了一个协议，这样一来就乱了，你整个协议我也整个协议，如果瘦AP和AC都是一样厂商自然没问题，如果要是不易厂商的，就没法通信了……于是乎，IETF为了解决隧道协议不兼容问题造成的A厂家的AP和B厂家的AC无法进行互通，在2005年成立了CAPWAP工作组以标准化AP和AC间的隧道协议。2初识CAPWAP2.1CAPWAP简介说了半天CAPWAP，连全称都还没说，汗……CAPWAP——ControlAndProvisioningofWirelessAccessPointsProtocolSpecification。其由两个部分组成：CAPWAP协议和无线BINDING协议。前者是一个通用的隧道协议，完成AP发现AC等基本协议功能，和具体的无线接入技术无关。后者是提供具体和某个无线接入技术相关的配置管理功能。这么说吧，前者规定了各个阶段需要干什么事，后者就是具体到在各种接入方式下应该怎么完成这些事。CAPWAP协议在2009年4月的RFC5415中发布，无线BINGDING协议目前只出台了接入方式为802.11的RFC，也是2009年4月发布的，RFC编号为5416。PS：漂移一下，顺带提一下802.11、802.15、802.16、802.20等无线接入方式的区别。*******************************************************************************目前，IEEE802旗下的无线网络协议一共有802.11、802.15、802.16和802.20等四大种类，这四大类协议中又包含各种不同性能的子协议，显得很混乱的样子……IEEE802.11体系定义的是无线局域网标准（WLAN，WirelessLocalAreaNetwork），针对家庭和企业中的局域网而设计，应用范围一般局限在一个建筑物或一个小建筑物群（如学校、小区等）。IEEE802.15定义的其实是无线个人网络（WPAN，WirelessPersonalAreaNetwork），主要用于个人电子设备与PC的自动互联，这类设备包括手机、MP3播放器、便携媒体播放器、数码相机、掌上电脑等等。IEEE802.16是一种广带无线接入技术（BroadbandWirelessAccess，BWA），主要用于远距离、高速度的通讯环境，定义的是城域网络（MAN，MetropolitanAreaNetwork），性能可媲美Cable电缆、DSL、T1专线等传统的有线技术。IEEE802.16包含802.16和802.16a两项子协议，前者的作用距离为2公里，传输速率在30Mbps至130Mbps之间，而802.16a的传输距离可达到50公里，速率也能达到75Mbps—看得出，在上述各种无线通讯技术中，还没有哪项技术可以在有效范围和性能标准上都盖过IEEE802.16a。IEEE802.20与802.16在特性上有些类似，都具有传输距离远、速度快的特点。不过802.20是一项移动广带接入技术（MobileBroadbandWirelessAccess，MBWR），他更侧重于设备的可移动性，例如在高速行驶的火车、汽车上都能实现数据通讯（802.16无法做到这一点）。**********************************************************************************************************************CAPWAP协议的主要功能：AP自动发现AC，AC对AP进行安全认证，AP从AC获取软件映像，AP从AC获得初始和动态配置等。此外，系统可以支持本地数据转发和集中数据转发。瘦AP架构让AC具有了对整个WLAN网络的完整视图，为无线漫游、无线资源管理等业务功能的实现提供了基础。2.2一些名词无线控制器(AC)：网络实体，在网络架构的数据层，控制层，管理层或者联合起来提供WTP到网络的访问服务。CAPWAP控制信道：一个双向信道，由AC的IP地址，WTP的IP地址，AC控制端口，WTP控制端口，传输层协议（UDP或者UDP-Lite）定义，在这之上可以收发CAPWAP的控制报文。CAPWAP数据信道：一个双向信道，由AC的IP地址，WTP的IP地址，AC数据端口，WTP数据端口，传输层协议（UDP或者UDP-Lite）定义，在这之上可以收发CAPWAP的数据报文。STATION：一个包含无线接口的设备无线终端WTP：物理或者网络实体，包含一个射频天线和无线物理层可以传输和接收STA在无线存取网络的数据。2.3CAPWAP的模式CAPWAP协议支持两种模式的操作：SplitMAC和LocalMAC。SplitMAC：在splitMAC模式下，所有二层的无线数据和管理帧都会被CAPWAP协议封装，然后在AC和WTP之间交换。如下图中所示，从一个Station收到的无线帧，会被直接封装，然后转发给AC。LocalMAC：本地转发模式允许数据帧可以用本地桥或者使用802.3的帧形式用隧道转发。在这种情况下，二层无线管理帧在WTP本地已经处理，然后转发给AC。下图显示了本地转发模式，Station传送的无线帧被封装成802.3数据帧，然后转发给AC。2.4CAPWAP的负载类型CAPWAP协议传输层运输两种类型的负载：数据消息封装转发无线帧控制消息管理WTP和AC之间交换的管理消息CAPWAP数据和控制报文基于不同的UDP端口发送，且可以被分段，因此数据和控制报文可以超过MTU长度。2.5CAPWAP会话创建过程CAPWAP协议从发现阶段开始。WTPs发送一个发现请求消息，任何接收到这个请求的AC将会回应一个发现响应报文。接收到发现响应报文，WTP选择一个AC来建立一个基于DTLS的安全会话。为了建立DTLS安全连接，WTP将需要一个预先提供的数据，将在后面说明。CAPWAP协议报文将会被分段成网络支持的最大长度。一旦WTP和AC完成了DTLS会话建立，两者之间会交换配置，来在版本信息上达成一致。在这个交换过程之间，WTP可能会接收到规定设置，然后会开启这些设置。当WTP和AC之间完成版本和设置的交换，并且WTP已经开启，CAPWAP协议将被使用来封装AC和WTP之间发送的无线数据帧。如果用户数据或者协议控制数据长度超过WTP和AC之间的MTU会导致CAPWAP协议将L2层帧分片。被分片的CAPWAP报文将会被重新组成原来的封装报文。2.5.1AC发现机制WTP使用AC发现机制来得知哪些AC是可用的，决定最佳的AC来建立CAPWAP连接。WTP的发现过程是可选的。如果在WTP上静态配置了AC，那么WTP并不需要完成AC的发现过程。WTP首先发送一个DiscoveryRequestmessage给受限的广播地址，或者CAPWAP的多播地址(224.0.1.140)，或者是预配置的AC的单播地址。在IPV6网络中，由于广播并不存在，因此使用AllACsmulticastaddress(FF0X:0:0:0:0:0:0:18C)来代替。当接收到DiscoveryRequestmessage消息，AC发送一个单播DiscoveryResponsemessage给WTP。WTP可以通过DiscoveryResponsemessage中所带的AC优先级，支持的CAPWAPbinding来选择与哪个AC建立会话。除了上面的发现机制，WTP还可以使用DNS或者DHCP来发现AC。2.5.2DTLS握手WTP首先发送一个ClientHello消息来发起握手，说明它支持的密码算法列表、压缩方法及最高协议版本和其他一些需要的消息。AC回复一个HelloVerifyReuqest消息，client必须重传添加了cookie的ClientHello。server然后验证cookie，如果有效的话才开始进行握手。AC回应一个ServerHello消息，包含服务器选择的连接参数，源自客户端初期所提供的ClientHello，确定了这次通信所需要的算法，然后发过去自己的证书（里面包含了身份和自己的公钥）。Client在收到这个消息后会生成一个秘密消息，用SSL服务器的公钥加密后传过去，SSL服务器端用自己的私钥