ENSP WLAN三层旁挂组网直接+隧道转发实验

原创 已于 2025-11-30 21:18:10 修改 · 370 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络 #WLAN

于 2025-11-23 21:19:37 首次发布

实验拓扑图

实验关键：

        1. AP管理：vlan50的网关配置在SW上，dhcp分配地址时加option 43 sub-option 2 ip-address 192.168.100.2，为AP指明AC的capwap源地址

        2. 直接转发模式：业务vlan10的网关配置在SW上

        3. 隧道转发模式：业务vlan20的网关配置在AC上（不能设置在SW上，否则终端无法获取IP地址，因为数据直接走capwap隧道封装）

        4. SW上和AP互联的接口trunk，允许10和50，PVID设置为50

        5. AP上线时可先将认证改为不认证，待上线后再改为MAC认证

R2R1ACSW
#
interface GigabitEthernet0/0/0
 ip address 12.1.1.2 255.255.255.0
#
interface LoopBack0
 ip address 2.2.2.2 255.255.255.255
#
ip route-static 1.2.3.4 255.255.255.255 12.1.1.1
#		#
acl number 3000 
 rule 5 permit ip
#
 nat address-group 0 1.2.3.4 1.2.3.4
#
interface GigabitEthernet0/0/0
 ip address 12.1.1.1 255.255.255.0
 nat outbound 3000 address-group 0
#
interface GigabitEthernet0/0/1
 ip address 192.168.100.1 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 192.168.200.1 255.255.255.0
#
interface LoopBack0
 ip address 1.1.1.1 255.255.255.255
#
ospf 1 router-id 1.1.1.1
 default-route-advertise
 area 0.0.0.0
  network 1.1.1.1 0.0.0.0
  network 192.168.200.1 0.0.0.0
#
ip route-static 0.0.0.0 0.0.0.0 12.1.1.2
ip route-static 192.168.20.0 255.255.255.0 192.168.100.2
#		#
vlan batch 20 100
#
dhcp enable
#
interface Vlanif20
 ip address 192.168.20.1 255.255.255.0
 dhcp select interface
#
interface Vlanif100
 ip address 192.168.100.2 255.255.255.0
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 100
#
ip route-static 0.0.0.0 0.0.0.0 192.168.100.1
#
capwap source interface vlanif100
#
wlan
 security-profile name guest
  security wpa-wpa2 psk pass-phrase %^%#,Ce1C15)@2$7Y-F9>=q$g#G6U{B"WYXhck7Te322
%^%# aes-tkip
 security-profile name office
  security wpa-wpa2 psk pass-phrase %^%#=*lX>uZ!T--.'Q9CV6y5[H%GB`D[x>!;$Q4/k38~
%^%# aes-tkip
 ssid-profile name guest
  ssid guest
 ssid-profile name office
  ssid office
 vap-profile name guest
  forward-mode tunnel
  service-vlan vlan-id 20
  ssid-profile guest
  security-profile guest
 vap-profile name office
  service-vlan vlan-id 10
  ssid-profile office
  security-profile office
 regulatory-domain-profile name china
 ap-group name home
  regulatory-domain-profile china
  radio 0
   vap-profile office wlan 1
   vap-profile guest wlan 2
  radio 1
   vap-profile office wlan 1
   vap-profile guest wlan 2
  radio 2
   vap-profile office wlan 1
   vap-profile guest wlan 2
 ap-id 0 type-id 56 ap-mac 00e0-fc96-8050 ap-sn 210235448310351ADC01
  ap-name AP1
  ap-group home
 ap-id 1 type-id 56 ap-mac 00e0-fcde-67c0 ap-sn 210235448310FB280B33
  ap-name AP2
  ap-group home
#		#
vlan batch 10 50 200
#
dhcp enable
#
ip pool vlan50
 gateway-list 192.168.50.1
 network 192.168.50.0 mask 255.255.255.0
 excluded-ip-address 192.168.50.101 192.168.50.254
 option 43 sub-option 2 ip-address 192.168.100.2
#
interface Vlanif10
 ip address 192.168.10.1 255.255.255.0
 dhcp select interface
#
interface Vlanif50
 ip address 192.168.50.1 255.255.255.0
 dhcp select global
#
interface Vlanif200
 ip address 192.168.200.2 255.255.255.0
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 200
#
interface GigabitEthernet0/0/2
 port link-type trunk
 port trunk pvid vlan 50
 undo port trunk allow-pass vlan 1
 port trunk allow-pass vlan 10 50
 stp edged-port enable
#
interface GigabitEthernet0/0/3
 port link-type trunk
 port trunk pvid vlan 50
 undo port trunk allow-pass vlan 1
 port trunk allow-pass vlan 10 50
 stp edged-port enable
#
interface LoopBack0
 ip address 3.3.3.3 255.255.255.255
#
ospf 1 router-id 3.3.3.3
 import-route direct
 area 0.0.0.0
  network 3.3.3.3 0.0.0.0
  network 192.168.200.2 0.0.0.0
#

隧道转发模式下数据包封装

实验效果（2.2.2.2为R2上loopback 0接口地址）

实验详细配置

R1配置：

<R1>dis cur
[V200R003C00]
#
 sysname R1
#
 snmp-agent local-engineid 800007DB03000000000000
 snmp-agent 
#
 clock timezone China-Standard-Time minus 08:00:00
#
portal local-server load portalpage.zip
#
 drop illegal-mac alarm
#
 set cpu-usage threshold 80 restore 75
#
acl number 3000  
 rule 5 permit ip 
#
aaa 
 authentication-scheme default
 authorization-scheme default
 accounting-scheme default
 domain default 
 domain default_admin 
 local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$
 local-user admin service-type http
#
firewall zone Local
 priority 15
#
 nat address-group 0 1.2.3.4 1.2.3.4
#
interface GigabitEthernet0/0/0
 ip address 12.1.1.1 255.255.255.0 
 nat outbound 3000 address-group 0 
#
interface GigabitEthernet0/0/1
 ip address 192.168.100.1 255.255.255.0 
#
interface GigabitEthernet0/0/2
 ip address 192.168.200.1 255.255.255.0 
#
interface NULL0
#
interface LoopBack0
 ip address 1.1.1.1 255.255.255.255 
#
ospf 1 router-id 1.1.1.1 
 default-route-advertise
 area 0.0.0.0 
  network 1.1.1.1 0.0.0.0 
  network 192.168.200.1 0.0.0.0 
#
ip route-static 0.0.0.0 0.0.0.0 12.1.1.2
ip route-static 192.168.20.0 255.255.255.0 192.168.100.2
#
user-interface con 0
 authentication-mode password
user-interface vty 0 4
user-interface vty 16 20
#
wlan ac
#
return

R2配置：

<R2>dis cur
[V200R003C00]
#
 sysname R2
#
 snmp-agent local-engineid 800007DB03000000000000
 snmp-agent 
#
 clock timezone China-Standard-Time minus 08:00:00
#
portal local-server load portalpage.zip
#
 drop illegal-mac alarm
#
 set cpu-usage threshold 80 restore 75
#
aaa 
 authentication-scheme default
 authorization-scheme default
 accounting-scheme default
 domain default 
 domain default_admin 
 local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$
 local-user admin service-type http
#
firewall zone Local
 priority 15
#
interface GigabitEthernet0/0/0
 ip address 12.1.1.2 255.255.255.0 
#
interface GigabitEthernet0/0/1
#
interface GigabitEthernet0/0/2
#
interface NULL0
#
interface LoopBack0
 ip address 2.2.2.2 255.255.255.255 
#
ip route-static 1.2.3.4 255.255.255.255 12.1.1.1
#
user-interface con 0
 authentication-mode password
user-interface vty 0 4
user-interface vty 16 20
#
wlan ac
#
return

AC配置：

<AC6005>dis cur
#
 set memory-usage threshold 0
#
ssl renegotiation-rate 1 
#
vlan batch 20 100
#
authentication-profile name default_authen_profile
authentication-profile name dot1x_authen_profile
authentication-profile name mac_authen_profile
authentication-profile name portal_authen_profile
authentication-profile name macportal_authen_profile
#
dhcp enable
#
diffserv domain default
#
radius-server template default
#
pki realm default
 rsa local-key-pair default
 enrollment self-signed
#
ike proposal default
 encryption-algorithm aes-256 
 dh group14 
 authentication-algorithm sha2-256 
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256 
 prf hmac-sha2-256 
#
free-rule-template name default_free_rule
#
portal-access-profile name portal_access_profile
#
aaa
 authentication-scheme default
 authentication-scheme radius
  authentication-mode radius
 authorization-scheme default
 accounting-scheme default
 domain default
  authentication-scheme radius
  radius-server default
 domain default_admin
  authentication-scheme default
 local-user admin password irreversible-cipher $1a$j^g}"am6~1$@TmDZOokG1(4o6A\'X
Q3B4S-BS{@S+:,(#Y(6(C%$
 local-user admin privilege level 15
 local-user admin service-type http
#
interface Vlanif20
 ip address 192.168.20.1 255.255.255.0
 dhcp select interface
#
interface Vlanif100
 ip address 192.168.100.2 255.255.255.0
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 100
#
interface GigabitEthernet0/0/2
#
interface GigabitEthernet0/0/3
#
interface GigabitEthernet0/0/4
#
interface GigabitEthernet0/0/5
#
interface GigabitEthernet0/0/6
#
interface GigabitEthernet0/0/7
 undo negotiation auto
 duplex half
#
interface GigabitEthernet0/0/8
 undo negotiation auto
 duplex half
#
interface NULL0
#
 snmp-agent local-engineid 800007DB03000000000000
 snmp-agent 
#
ssh server secure-algorithms cipher aes256_ctr aes128_ctr
ssh server key-exchange dh_group14_sha1
ssh client secure-algorithms cipher aes256_ctr aes128_ctr
ssh client secure-algorithms hmac sha2_256
ssh client key-exchange dh_group14_sha1
#
ip route-static 0.0.0.0 0.0.0.0 192.168.100.1
#
capwap source interface vlanif100
#
user-interface con 0
 authentication-mode password
user-interface vty 0 4
 protocol inbound all
user-interface vty 16 20
 protocol inbound all
#
wlan
 traffic-profile name default
 security-profile name guest
  security wpa-wpa2 psk pass-phrase %^%#,Ce1C15)@2$7Y-F9>=q$g#G6U{B"WYXhck7Te322
%^%# aes-tkip
 security-profile name office
  security wpa-wpa2 psk pass-phrase %^%#=*lX>uZ!T--.'Q9CV6y5[H%GB`D[x>!;$Q4/k38~
%^%# aes-tkip
 security-profile name default
 security-profile name default-wds
 security-profile name default-mesh
 ssid-profile name guest
  ssid guest
 ssid-profile name office
  ssid office
 ssid-profile name default
 vap-profile name guest
  forward-mode tunnel
  service-vlan vlan-id 20
  ssid-profile guest
  security-profile guest
 vap-profile name office
  service-vlan vlan-id 10
  ssid-profile office
  security-profile office
 vap-profile name default
 wds-profile name default
 mesh-handover-profile name default
 mesh-profile name default
 regulatory-domain-profile name china
 regulatory-domain-profile name default
 air-scan-profile name default
 rrm-profile name default
 radio-2g-profile name default
 radio-5g-profile name default
 wids-spoof-profile name default
 wids-profile name default
 wireless-access-specification
 ap-system-profile name default
 port-link-profile name default
 wired-port-profile name default
 serial-profile name preset-enjoyor-toeap 
 ap-group name home
  regulatory-domain-profile china
  radio 0
   vap-profile office wlan 1
   vap-profile guest wlan 2
  radio 1
   vap-profile office wlan 1
   vap-profile guest wlan 2
  radio 2
   vap-profile office wlan 1
   vap-profile guest wlan 2
 ap-group name default
 ap-id 0 type-id 56 ap-mac 00e0-fc96-8050 ap-sn 210235448310351ADC01
  ap-name AP1
  ap-group home
 ap-id 1 type-id 56 ap-mac 00e0-fcde-67c0 ap-sn 210235448310FB280B33
  ap-name AP2
  ap-group home
 provision-ap
#
dot1x-access-profile name dot1x_access_profile
#
mac-access-profile name mac_access_profile
#
return

SW配置：

<SW>dis cur
#
sysname SW
#
vlan batch 10 50 200
#
cluster enable
ntdp enable
ndp enable
#
drop illegal-mac alarm
#
dhcp enable
#
diffserv domain default
#
drop-profile default
#
ip pool vlan50
 gateway-list 192.168.50.1
 network 192.168.50.0 mask 255.255.255.0
 excluded-ip-address 192.168.50.101 192.168.50.254
 option 43 sub-option 2 ip-address 192.168.100.2
#
aaa
 authentication-scheme default
 authorization-scheme default
 accounting-scheme default
 domain default
 domain default_admin
 local-user admin password simple admin
 local-user admin service-type http
#
interface Vlanif1
#
interface Vlanif10
 ip address 192.168.10.1 255.255.255.0
 dhcp select interface
#
interface Vlanif50
 ip address 192.168.50.1 255.255.255.0
 dhcp select global
#
interface Vlanif200
 ip address 192.168.200.2 255.255.255.0
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 200
#
interface GigabitEthernet0/0/2
 port link-type trunk
 port trunk pvid vlan 50
 undo port trunk allow-pass vlan 1
 port trunk allow-pass vlan 10 50
 stp edged-port enable
#
interface GigabitEthernet0/0/3
 port link-type trunk
 port trunk pvid vlan 50
 undo port trunk allow-pass vlan 1
 port trunk allow-pass vlan 10 50
 stp edged-port enable
#
interface GigabitEthernet0/0/4
#
interface GigabitEthernet0/0/5
#
interface GigabitEthernet0/0/6
#
interface GigabitEthernet0/0/7
#
interface GigabitEthernet0/0/8
#
interface GigabitEthernet0/0/9
#
interface GigabitEthernet0/0/10
#
interface GigabitEthernet0/0/11
#
interface GigabitEthernet0/0/12
#
interface GigabitEthernet0/0/13
#
interface GigabitEthernet0/0/14
#
interface GigabitEthernet0/0/15
#
interface GigabitEthernet0/0/16
#
interface GigabitEthernet0/0/17
#
interface GigabitEthernet0/0/18
#
interface GigabitEthernet0/0/19
#
interface GigabitEthernet0/0/20
#
interface GigabitEthernet0/0/21
#
interface GigabitEthernet0/0/22
#
interface GigabitEthernet0/0/23
#
interface GigabitEthernet0/0/24
#
interface NULL0
#
interface LoopBack0
 ip address 3.3.3.3 255.255.255.255
#
ospf 1 router-id 3.3.3.3
 import-route direct
 area 0.0.0.0
  network 3.3.3.3 0.0.0.0
  network 192.168.200.2 0.0.0.0
#
user-interface con 0
user-interface vty 0 4
#
return

三层旁挂组网华为ensp（作业）
m0_74741186的博客
09-29 868
对于隧道模式，ap需要将vlan交给ac处理，所以在核心交换机上，需要对ac通行业务vlan 101 102，直接转发是在ap上直接处理。我用的wpa-wpa2，在pc上显示的无认证方式，配置wpa2显示有wpa2认证。总结，可能部分代码有错误，但是这个网络连通性没问题，测试没问题。
eNSP中配置WLAN（旁挂三层组网直接转发）全网最详解
白话聊网络的博客
05-07 4093
AC-wlan-sec-prof-employee] security wpa-wpa2 psk pass-phrase YsHsjx_202206 aes // 为名为 employee 的安全配置文件配置安全策略，采用 WPA - WPA2 混合模式的预共享密钥（PSK）认证方式，预共享密钥为 YsHsjx_202206，加密算法使用 AES。”的无线网络，采用wpa/wpa2-psk 认证，用户需要输入密码。”的无线网络，采用wpa/wpa2-psk 认证，用户需要输入密码。
eNSP中配置WLAN（旁挂三层组网直接转发）
UID506789241的博客
06-09 5491
以有线电缆或光纤作为传输介质的有线局域网应用广泛，但有线传输介质的铺设成本高，位置固定，移动性差。随着人们对网络的便携性和移动性的要求日益增强，传统的有线网络已经无法满足需求，WLAN (Wireless Local Area Network，无线局域网)技术应运而生。目前，WLAN已经成为一种经济、高效的网络接入方式。
eNSP：WLAN组网，旁挂直接转发（也可以隧道）
2503_92444922的博客
06-27 1478
本文介绍了华为eNSP模拟器中WLAN组网的基础配置流程，适合新手学习。内容包括：网络拓扑规划（使用AC6005、AP2050等设备）、VLAN和DHCP配置（区分管理VLAN10和业务VLAN11）、AP上线步骤（创建AP组、配置认证方式）以及WLAN业务参数设置。重点对比了直接转发和隧道转发的配置差异，并提供了常见问题解决方法（如AP无法上线时可尝试重启AC）。最后通过STA测试验证配置成功，包括IP获取和网络连通性测试。文中包含详细配置命令，帮助读者完成从AP上线到业务流转发的完整流程。
由浅入深玩转华为WLAN—-7 旁挂+三层+隧道转发方式组网
网络之路Blog（其他平台同名）
03-07 8103
说明 WLAN配置示例2（旁挂组网隧道 or 直接转发），这种方式比较适合中小型企业，AC旁挂在三层交换机旁边，只是用于来与AP建立CAPWAP隧道，下发业务给AP，如果在隧道方式下的话，那么业务流量也会由CAPWAP隧道进行封装交给AC处理，再由AC来转发，而直接转发的话，则由AP本地交换了，不需要交给AC，这样可以减轻AC的负担，具体使用可以根据需求来决定。 掌握目标 1、理解旁挂组网与直接 or隧道转发的方式 2、AP静态关联AC的方法【补充，之前都是以动态或者option43方式】 3、三层.
【eNSP实战】旁挂二层组网—直接转发
qq_57764123的博客
03-18 762
拓图 要求： AC1配置：LSW1配置：LSW2配置：（一）在AR1路由器上的配置 （二）在LSW1核心交换机上的配置 （三）在接入层LSW2交换机上的配置 （四）在AC1上的配置 在LSW11上查看AP是否已经获取到IP地址 （一）指定与AP建立CAPWAP隧道的接口或地址 （二）配置域管理模板 （三）创建AP组 （四）配置AP接入验证模式 在AC1上查看AP上行情况 （一）配置SSID模板 （二）配置安全模板 （三）配置VAP模板 （四）在AP组中应用VAP模板 四、STA接入 STA设备
WLAN-案例-4-旁挂三层组网（直接转发/隧道转发）
梅利333
12-12 1595
option 43 sub-option 3 ascii 192.168.11.1 //通过三层的方式 告诉AP，AC是哪一台。interface GigabitEthernet0/0/2 //连接AC的接口。interface GigabitEthernet0/0/2 //连接AC的接口。遵循隧道模式的原则，所有的数据都 会走AC，所以在关键接口上一定要放行相应的业备流量。看好是哪种转发模式，是直接转发的，那么业务流量不走AC。无论你是二层组网，还是二层组网，1 和AC 的连接，
【eNSP实战】旁挂三层组网—直接转发
qq_57764123的博客
03-19 741
拓图要求：AC1上配置;
WLAN实验-旁挂三层组网隧道转发
热门推荐
qq_45959697的博客
03-20 1万+
旁挂三层组网隧道转发
华为ensp---AC三层旁挂组网实验（参照华为官方手册）
qq_33754943的博客
07-15 1万+
AC-wlan-ap-group-emp]vap-profileempwlan1radioall\绑定VAP员工模板。[AC-wlan-ap-group-emp]vap-profileguestwlan2radioall\绑定VAP访客模板。[AC-wlan-ap-group-emp]regulatory-domain-profileemp\绑定域模板。[AC-wlan-view]disvapssidemp\查询员工SSID信息。...
生命在于研究——ensp配置旁挂三层组网示例【OSPF+两个无线网络WPAPSK认证+DHCP】
易水哲的博客
08-09 1万+
ensp配置旁挂三层组网示例【OSPF+两个无线网络WPAPSK认证+DHCP】 一、业务需求 1、路由使用OSPF，Vlan的网关配置在LSW1上。 2、WLan采用三层组网、AC旁挂模式。 3、创建两个无线网络，分别为ycu和guest，其中ycu网络的密码为“peiyimiao”，业务数据采用直接转发模式；guest网络的密码为guest，业务数据采用隧道转发模式。 4、DHCP配置在AC上，给AP使用的DHCP名为ap，给ycu使用的DHCP名为ycu，给guest使用的DHCP名为guest。 5
【eNSP实战】旁挂二层组网—隧道转发
qq_57764123的博客
03-18 666
拓图要求：LSW2交换机上不做任何配置。
网闸的作用与功能：2025新型网闸全面介绍！
2501_93735104的博客
11-28 734
网闸的作用与功能，简单来说，就是安全隔离+数据交换，今天我们要重点说的一种新型网闸产品，是传统网闸+文件摆渡系统的结合体，以《Ftrans网络安全隔离与信息交换系统》为典型代表，不仅包含网闸隔离、协议玻璃、数据交换等功能，还支持面向用户的跨网文件传输，有效防止敏感信息泄露，提供多种传输方式、支持多种使用场景、增强数据安全性和合规性，降低运营成本。：提供全链路API集成管控能力。可控数据交换：隔离的同时，专门开一条唯一的、能管控的安全通道，解决 “完全断开就没法干活” 的问题，保证必要数据能安全交换。
测试 Securing Kamailio’s JSON-RPC over HTTP
fs交流的博客
11-27 399
kamailio # 启动 kamailio。
[AWS Kinesis Video Streams]flutter集成webrtc 支持 kvs-信令协议修改
lvj_158的专栏
11-26 515
本文介绍了在Flutter中集成WebRTC并适配AWS KVS信令协议的修改方案。主要内容包括：1) 修改SDP offer部分，按照KVS协议格式封装JSON数据；2) 调整answer解析逻辑，处理WebSocket回调中的设备端信令；3) 修改ICE candidate处理流程，添加延迟发送机制。文中提供了关键代码片段和运行日志，展示了修改后的信令交互过程。这些修改使Flutter应用能够与KVS服务进行WebRTC连接，实现实时音视频通信功能。
自定义协议设计与实践：从协议必要性到JSON流式处理
祯的博客
11-28 1038
本文探讨了自定义网络协议的必要性及其实现方法。首先分析了通用协议（如HTTP）的局限性：性能开销大、功能冗余、通信模式不匹配等问题。其次阐述了自定义协议的优势：极致性能、高度定制化、低资源消耗和增强安全性。文章详细介绍了自定义协议的应用场景（物联网、游戏、区块链等）和开发代价（高维护成本、调试困难等）。重点讲解了基于TCP的流式数据处理方法，提出"长度头+消息体"的解决方案，并给出基于jsoncpp的实现示例。
前端跨域解决方案
2509_93942660的博客
11-28 485
如果涉及带凭证的请求，比如cookie，还得加Access-Control-Allow-Credentials: true，并且Origin不能是通配符。原理很简单，前端请求发给同域的代理，代理再转发给目标服务器，绕过浏览器限制。比如，你页面里嵌了个第三方iframe，想和它通信，就可以用window.postMessage发消息，对方用message事件接收。JSONP适合老项目，CORS是首选标准，代理在开发时好用，WebSocket专攻实时，postMessage处理iframe问题。
网络安全（黑客技术）—2025自学手册
2401_84760527的博客
11-24 1431
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
动态路由协议-ospf
最新发布
zdd56789的博客
11-29 116
ospf路由简介
ensp 二层旁挂ac组网隧道转发
03-28
<think>好的，用户的问题是关于ENSP中二层旁挂AC组网的隧道转发配置和原理。我需要先理解用户的需求，然后结合提供的引用内容来组织回答。首先，用户可能已经了解了一些基本概念，比如二层旁挂组网和直连转发，现在想深入隧道转发的配置和原理。 根据提供的引用，特别是引用1、2、3，里面提到了旁挂组网的不同转发模式。比如引用1详细讨论了旁挂+三层+隧道转发，而引用2和3是关于二层旁挂直连转发的实验。隧道转发和直接转发的区别在于数据流经AC与否，这点需要明确说明。 首先，我应该解释二层旁挂AC组网的基本结构，说明AC的位置和连接方式。然后，区分隧道转发和直接转发的不同，强调隧道转发中数据需要经过AC封装处理，而直接转发则不经过。接下来，需要详细说明隧道转发的配置步骤，可能包括VLAN划分、AC与AP的通信、业务VLAN和隧道配置，以及安全策略等。同时，要结合引用中的配置示例，如引用3中的VAP配置，可能需要调整到隧道模式。 另外，用户可能对隧道转发的工作原理感兴趣，比如CAPWAP协议的作用，数据封装解封装的过程。这部分需要简明扼要地解释，确保用户理解数据是如何通过隧道传输的。 最后，生成相关问题时要覆盖用户可能进一步询问的方向，比如与直连转发的对比、配置注意事项、适用场景以及CAPWAP协议的具体作用等。需要确保问题有针对性，能够帮助用户深化理解。 需要注意的是，回答中要正确使用LaTeX格式，虽然这里可能涉及的技术术语较多，但数学公式可能较少，所以主要检查标号和格式是否正确。同时，引用标识要正确对应，比如引用1对应隧道转发的组网配置，引用3涉及VAP配置等。 总结回答结构：先介绍二层旁挂组网，再对比两种转发模式，详细讲解隧道转发的配置步骤和原理，最后总结其优缺点和应用场景。确保每一步都清晰，并引用相关参考资料。</think>### ENSP二层旁挂AC组网隧道转发配置与原理 #### 一、二层旁挂AC组网基础 在华为ENSP中，**二层旁挂AC组网**指AC（接入控制器）通过二层交换机连接到网络，不直接参与用户数据传输，仅负责管理AP（接入点）和控制信令[^1]。AP与AC之间通过**CAPWAP协议**建立隧道，实现配置下发、状态同步等功能。 #### 二、隧道转发与直接转发的区别 1. **直接转发（Direct Forward）** 数据流量由AP直接转发至上层网络，不经过AC[^2]。 2. **隧道转发（Tunnel Forward）** 所有用户数据需通过CAPWAP隧道封装后传输至AC，再由AC解封装并转发至目标网络[^3]。 #### 三、隧道转发配置步骤 1. **基础网络规划** - 划分管理VLAN（AP与AC通信）和业务VLAN（用户数据）。 - 示例：管理VLAN 100，业务VLAN 101。 2. **AC配置** ```bash # 创建AP组并关联VAP模板 [AC] wlan [AC-wlan-view] ap-group name tunnel-group [AC-wlan-ap-group-tunnel-group] vap-profile vap-tunnel wlan 1 radio all # 配置CAPWAP隧道模式为隧道转发 [AC-wlan-view] forward-mode tunnel # 关键步骤[^1] # 配置业务VLAN [AC-wlan-view] service-vlan 101 ``` 3. **AP注册与隧道建立** - AP通过DHCP获取IP地址后，自动与AC建立CAPWAP隧道。 - 验证命令：`display ap all` 查看AP状态为“normal”。 4. **安全策略（可选）** ```bash # 配置WPA2-PSK认证 [AC-wlan-view] security-profile name sec-tunnel [AC-wlan-sec-prof-sec-tunnel] security wpa2 psk passphrase 12345678 aes ``` #### 四、隧道转发原理 1. **数据封装流程** - 用户数据（如IP报文）由AP接收后，通过CAPWAP隧道添加外层IP头（源IP为AP，目的IP为AC）。 - AC解封装后，根据业务VLAN将数据转发至目标网络[^1]。 2. **优势与限制** - **优势**：集中管控流量，支持高级策略（如QoS、流量过滤）。 - **限制**：AC需处理所有数据，可能成为性能瓶颈。 #### 五、典型组网拓扑 ``` [AP] ---(Trunk, VLAN 100/101)---> [二层交换机] ---(Trunk, VLAN 100)---> [AC] | +---(Access, VLAN 101)---> [上层网络] ```
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值