部署aruba无线控制器及无线AP

部署无线控制器及无线AP

这章主要介绍如何将Aruba移动控制器和Aruba AP接入你的有线网络。看完这章的介绍以后，你就可以配置AP,同样的介绍在第3卷里。 这章主要介绍了以下几部分：  “配置的介绍” 第48页

 “配置Aruba移动控制器” 第52页  “部署APs” 第57页  “附加的配置” 第61页

配置的介绍

这个部分介绍了典型的部署情况和任务，你必须把Aruba移动控制器和Aruba AP接入到你的有线网络。

部署环境一：路由器是控制器和客户端的默认网关

在这个部署环境中，Aruba AP和移动控制器连接在相同的子网上，并且使用被指定的子网IP地址。在AP与控制器中间没有路由器。AP能够被物理的连接到控制器上。控制器上的上行端口被连接到2层交换机或者路由器上。 你必须完成下列任务： 1. 进行初始化设置

 设置VLAN 1的IP地址

 设置默认网关的IP地址，将控制器连接到上行的路由器 2. 把移动控制器上的上行端口连接到交换机或者路由器的端口上，默认的，控制器上

的所有端口都是Access端口并且所有端口都属于同一个VLAN

3. 部署AP。所有的AP会使用Aruba Discovery Protocol（ADP）协议来发现移动控制

器。

为所有用户指定VLAN并且配置VLAN 1的SSID。

部署环境二：对于所有客户端来说移动控制器是默认网关

在这个部署环境中，Aruba移动控制器和AP在不同的子网中，而且AP在多个子网中。移动控制器将作为无线网络的一个路由器（移动控制器作为无线客户端的默认网关）。控制器上的上行端口被连接到2层交换机或路由器上；这是一个属于VLAN 1的Access端口。

你必须完成下列任务： 1. 进行初始化设置

 设置VLAN 1的IP地址

 设置默认网关的IP地址，将控制器连接到上行的路由器 2. 把移动控制器上的接口连接到交换机或者路由器的接口上 3. 部署AP。所有的AP会使用DNS或DHCP来发现移动控制器。 4. 在控制器上为无线子网配置VLAN

5. 为每个指定了VLAN的无线子网配置SSID

注意：在控制器上必须为每个无线客户端的VLAN配置一个IP地址。在上行的交换机或

路由器中，你必须为每个客户端VLAN配置静态路由，并且将下一跳地址设为移动控制器VLAN 1的地址。

部署环境三：路由器是控制器和客户端的默认网关

在这个部署环境中，Aruba移动控制器和AP在不通的子网中，而且AP在多个子网中。

在AP和移动控制器中有路由器。控制器通过一个Trunk端口与2层交换机或路由器相连，为所有的无线客户端VLAN传送数据流量。一个上行路由器作为所有无线客户端的默认

网关。

注意：在这个部署环境中，控制器与交换机或路由器不使用VLAN 1端口连接，而是通

过Trunk口连接。在进行初始化设置时，当提醒你为VLAN 1配置IP地址和默认网关时，使用默认值即可。下一步，你要配置适当的VLAN与交换机或路由器和默认网关相连。

你必须完成下列任务：

1. 进行初始化设置

 使用默认的IP作为VLAN 1的IP地址。因为VLAN 1不通过Trunk口与2层交换机

或者路由器相连，所以，你必须在下一步配置适当的VLAN进行连接。  不要指定默认网关（使用默认值“none”）。下一步，你需要配置一个默认

网关。

2. 在一个你将要连接的控制器上创建一个VLAN并且VLAN ID要与交换机或路由器上

的VLAN相同。将控制器上的一个端口添加到这个VLAN，并且将这个端口配置为Trunk口。

3. 将客户端VLAN加到Trunk口上。 4. 在移动控制器上配置默认网关。这个网关IP地址是你控制器连接的那台路由器的IP

地址。

5. 在移动控制器上配置Loopback接口。

6. 将移动控制器上的上行端口连接到交换机或路由器上。 7. 部署AP。所有AP会使用DNS或DHCP来发现控制器。

你可以为每个无线用户子网配置VLAN，并且为每个指定了VLAN的子网配置SSID。

配置Aruba移动控制器

不是一个基本的Aruba移动边缘系统主要有两个方面：

 连接和配置Aruba移动控制器到有线网络（在这部分介绍）  部署Aruba AP（下部分介绍） 将移动控制器连接到有线网络：

1. 进行初始设置配置控制器管理信息

2. （配置环境三）配置VLAN并把控制器连接到你的网络。如果你使用VLAN 1把控制器

连接到网络就不需要执行这一步操作。 3. 将控制器上的端口连接到你的网络

4. （可选）为控制器配置一个Loopback地址。如果你正在以VLAN 1的IP地址作为控制器

的IP地址，就不需要执行这一步操作。 下面是步骤的详细描述。 1. 进行初始化设置

当你第一次连接控制器时，可以任意选择serial console口方式或者是Web浏览器方式，在初始设置中，需要你设置控制器角色（Master or Local）以及管理员和配置访问密码。初始设置中也需要你为控制器配置国家代码，这个设置是调整了AP所使用的射频范围。 初始设置会让你为控制器的VLAN 1接口配置一个IP地址，这样你就能通过远程SSH或者Web UI会话对移动控制器进行访问和配置。为VLAN 1配置一个IP地址，确保在初始配置结束后移动控制器上有指定的IP地址和默认网关。

当你完成初始配置以后，移动控制器就将重新启动并使用新的配置。可以通过Aruba Quick Start Guide查看关于使用初始设置的信息。

你可以使用初始配置时设置的管理员密码连接到控制器上并且使用控制器的部分功能：

 你可以继续使用serial口连接控制器并且进入命令行接口（CLI）。（第18章，“配置

访问管理”查阅关于如何访问CLI和输入配置命令的相关信息。）

 你可以通过以太网线从PC连接到控制器的以太网接口上，然后使用下列方法之一进行

访问：

 使用VLAN 1地址启动SSH会话，输入CLI命令。  在浏览器中输入VLAN 1的地址，启动Web UI。 2. 为网络连接配置VLAN

如果你要配置Trunk口将Aruba移动控制器和其他2层交换机相连，你必须依照使用说明书中的这部分介绍进行配置（在第50页，“部署环境三”有显示）。

这一部分介绍了如何使用Web UI和CLI进行下列配置（下一步只显示如何使用Web UI）  在移动控制器上创建一个VLAN并且给它分配一个IP地址。

 将移动控制器连接到网络中的端口分配到VLAN中。（例如，通常使用Gigabit口与

上行路由器进行连接.）在这个配置范例中，一台Aruba 2400是通过它的Gigabit以太口1/25连接到网络中的。  配置端口为Trunk端口。

 为移动控制器配置默认网关。 创建VLAN

下列配置是创建VLAN 5并且分配IP地址为10.3.22.20/24 *使用Web UI创建VLAN：

1. 点击菜单条中的“Configuration”。在“Network”下，点击“VLANs”选项。

注意：在这本说明的其他部分，特定的Web UI命令，被缩短显示。例如：

“Configuration >Network > VLANs”。

2. 点击“ADD”创建新的VLAN。

3. 在“Add New VLAN”显示页面上，输入“5”作为VLAN ID并且点击“Apply”。 4. 通过Web UI“Configuration > Network > IP > IP Interfaces”页。在刚刚创建的VLAN

上点击“Edit”。选择下列可以的IP地址。为VLAN口输入IP地址和子网掩码。如果需要，你也可以为VLAN配置DHCP服务器的地址，再点击“Add”。 5. 点击“Apply”保存这个配置。

6. 在Web页面的顶部，点击“Save Configuration”。

注意：在Web配置界面中，点击“Save Configuration”按钮把配置保存，并且在

控制器重新启动以后任然有效。点击“Apply”按钮把配置保存到正在执行的配置当中去，当控制器重新启动以后就不存在了。养成一个好的习惯，在配置过以后点击“Apply”将配置保存在正在运行的配置中，当最后确定操作以后，点击“Save Configuration”将配置保存。

*使用CLI创建VLAN： (aruba)

User: admin Password: ***** (aruba) >enable Password:******

(aruba) #configure terminal

Enter Configuration commands, one per line. End with CNTL/Z (aruba) (config) #vlan 5

(aruba) (config) #interface vlan 5

(aruba) (config-subif)#ip address 10.3.22.20 255.255.255.0 (aruba) (config-subif)#exit

(aruba) (config) #write memory 分配并且配置Trunk口

下列配置是将一个Gigabit以太口设置为Trunk口。 *使用Web UI配置Trunk口：

1. 在Web UI上依次点击“Configuration > Network > Ports”页面。 2. 在端口选择的部分中，将移动控制器连接到网络中的端口选中。 3. 将端口模式选择为“Trunk”

4. 对于本地VLAN，在下拉列表中选择VLAN 5点击“”箭头。 5. 点击“Apply”。

*使用CLI配置Trunk口：

interface gigabitethernet 1/25 switchport mode trunk

switchport trunk native vlan

为了确认端口设置是否成功，使用show vlan命令查看： (aruba) (config) #show vlan VLAN CONFIGURATION ------------------

VLAN Name Ports ---- ---- -----

1 Default Fa1/0-23 Gig1/24 5 VLAN0005 Gig1/25 配置默认网关

下列配置是指定移动控制器的默认网关。 *使用Web UI配置默认网关：

1. 依次点击“Configuration > Network > IP > IP Routes”页面。 2. 在默认网关栏中输入：10.3.22.1 3. 点击“Apply”。 *使用CLI 配置默认网关： ip default-gateway 10.3.22.1 将控制器连入网络

将移动控制器上的端口连接到适当的2层交换机或路由器的端口上。确定你的网线连接正确，并且端口的指示灯显示正常。关于Aruba移动控制器的端口LED灯和线缆的相关资料请查阅安装向导。

注意：在许多的部署环境中，一个外部防火墙被放置在Aruba各种不同的设备中间。

附录B，在“外部防火墙设置”中，描述了一定要在外部防火墙上允许Aruba网络进行适当的操作。

确认移动控制器在网络上是可达的：

 如果你使用VLAN 1把移动控制器连接到网络中（部署环境一和部署环境二），你

可以在一个工作站中通过网络Ping控制器的VLAN 1地址。

 如果你创建且配置了一个新的VLAN（部署环境三），你可以在一个工作站中通过

网络Ping这个新VLAN的IP地址。

配置控制器的Loopback接口

如果你不使用VLAN 1把控制器连接到网络中，你一定要配置一个Loopback接口地址(见第50页，部署环境三)。

如果配置了以后，Loopback地址就被用作控制器的IP地址。 如果你不为控制器配置一个Loopback地址，那么VLAN 1的地址就将被指定为控制器的IP地址。

注意：如果你配置或者修改了Loopback地址以后，一定要重新启动控制器。

Aruba操作系统允许将Loopback地址指定为VLAN接口的IP地址空间。在本例的拓扑中，控制器上的VLAN 5接口先配置IP地址为10.3.22.20/24。在这个例子中，Loopback接口的IP地址是10.3.22.220。

注意：你可以配置一个32位的Loopback地址作为主机地址。Loopback地址应该来自

于外部网络的路由表。

*使用Web UI配置Loopback：

1. 依次点击“Configuration > Network > Controller > System Settings”页面。 2. 在Loopback接口下面输入IP地址。

3. 点击页面底部的“Apply”（你可能需要往下移动页面才能看到）。

4. 在页面的顶部，点击“Save Configuration”。你必须要重新启动控制器才能让新

的IP地址生效。

5. 依次点击“Maintenance > Controller > Reboot Controller”页面。 6. 点击“Continue”。 *使用CLI配置Loopback：

interface loopback ip address 10.3.22.220

为了确定控制器在网络上是可达的，在一台工作站上通过网络Ping一下控制器的Loopback地址。

部署APs

在Aruba移动边缘系统中，Aruba的AP和AM被设计成为在安装的时候只需要很少的命令就可以进行运行。一旦AP与控制器建立了通信，你就可以通过应用移动边缘系统的Web UI界面对一个或者一组AP进行配置。 你可以通过一下步骤部署AP：

1. 运行基于JAVA的RF PLAN工具帮助你决定AP并且输入平面图帮助你安装。

2. 确定，当他们被连接到网络的时候，AP能够找到控制器。有几个方法让可以决定

让哪一个AP能够找到控制器。

3. 通过将AP连接到以太网口安装AP。如果没有是用POE供电，就需要给AP一个外

接电源。

4. 在移动控制器上配置AP。 详细步骤介绍：

运行Aruba RF PLAN

RF PLAN是一个基于JAVA的对网络没有影响的，为你提供报告，帮组你决定AP数量和安装位置应用软件。对于使用RF PLAN的更多相关信息，请查阅RF PLAN安装和使用指南。

AP与移动控制器相连

在你安装AP到网络环境中之前，你必须确定AP能够找到并且连接到移动控制器上。 你必须明确的确定一下各项：

 当接入网络以后，每一个AP都能被分配到一个有效的IP地址。  AP能够正确的找到移动控制器的位置。

注意：Aruba AP第一次启动的时候使用TFTP协议从移动控制器上获得它们的软件

镜像和配置。在初始启动之后，AP使用FTP协议从移动控制器上获得它们的软件镜像和配置。在许多的部署环境中，一个外部防火墙被放置在Aruba各种不同的设备中间。附录B，在“外部防火墙设置”中，描述了一定要在外部防火墙上允许Aruba网络进行适当的操作。

使AP获得IP地址

与控制器相连的每一个AP在子网中都要有一个唯一的IP地址。Aruba推荐使用DHCP协议为AP分配IP地址；DHCP服务器可以是一台网络中已有的服务器或者是配置在Aruba移动控制器上。

你可以使用相同子网中现有的DHCP服务器以提供它的IP信息给AP。你也可以在相同子网中配置一台设备作为其他子网的DHCP服务器的代理。关于DHCP服务器或DHCP代理，请参阅代理商编写的文件。

如故AP与主移动控制器在同一个子网中，你就可以将移动控制器配置为DHCP服务器为AP分配IP地址。移动控制器必须是这个子网中唯一的DHCP服务器。 *使用Web UI在控制器上设置DHCP服务器：

1. 依次点击“Configuration > Network > IP > DHCP Server”页面。 2. 选择“Enable DHCP Server”选项栏。 3. 在地址池配置部分，点击“Add”。

4. 输入子网的信息，确定一个IP地址分配范围，点击“Done”。 5. 如果在子网中有IP地址不要被分配：

A. 在排除地址范围（Excluded Address Range）部分，点击“Add”。

B. 将不要分配的地址添加到排除地址范围（Excluded Address Range）中。 C. 点击“Done”。

6. 点击网页底部的“Apply”。

*使用CLI在控制器上设置DHCP服务器： ip dhcp excluded-address ipaddr ipaddr2 ip dhcp pool name default-router ipaddr dns-server ipaddr domain-name name network ipaddr mask 设置移动控制器

一个ARUBA AP能使用下列方式发现移动控制器的IP地址：  通过DNS服务器  通过DHCP服务器

 使用Aruba Discovery Protocol（ADP）协议 通过一台DNS服务器

Aruba AP的出厂设置是使用Aruba-master作为主移动控制器的主机名。你必

须在DNS服务器上设置主机名为Aruba-master以及对应的IP地址，用来DNS服务器对该名称和IP地址的解析。

关于如何在DNS服务器上配置主机名，请参阅服务器生产厂家的文档。 注意：Aruba推荐使用DNS服务器为AP提供主移动控制器的IP地址，因为它

可以最小化改变网络结构并且是AP可以灵活的部署。 通过一台DHCP服务器

你可以配置一台DHCP服务器为你的主移动控制器提供IP地址。你必须配置

DHCP服务器用DHCP代理选项的43将IP地址发送给移动控制器。Aruba AP将DHCP请求标识同一的视为一体。当DHCP服务器回应请求的时候，它将发送选项值为43到控制器的IP。

关于如何配置一个DHCP服务器的代理以及特定功能，查阅附录A的

Configuring DHCP with Vendor-Specific Options或者查阅服务器生产厂家的使用说明。

通过使用ADP(Aruba Discovery Protocol)

ADP协议在所有的Aruba AP和移动控制器上都被预先设定激活的。所有使用

ADP的AP和移动控制器都要被连接在同一个2层网络中。如果设备不在同一层上，那么一定要使用3层的发现机制，如：DNS、DHCP或ICMP。

通过ADP协议，AP周期性的发送广播，查询主移动控制器的位置。你可能需

要额外的网络配置，依赖于AP和控制器是否在同一个广播域中：

 如果AP和主移动控制器在同一个广播域中，主控制器就自动的以他自己

的IP地址回应AP的查询。

 如果AP和主移动控制器不在同一个广播域中，你必须在网络上启用多点

广播（ADP使用的目的组播地址是239.0.82.11）控制器才能回应AP的查询。你也必须确定，所有的路由器都要配置IGMP协议，控制器可以发送这些请求并且可以把这些包多点传送出去。

 使用一下命令可以确定ADP和IGMP是否在控制器上启用：

(WLAN_Switch) #show adp config ADP Configuration ----------------- key value --- -----

discovery enable igmp-join enable

如果ADP和IGMP选项没有被启用，使用一下命令启用： (WLAN_Switch) (config) #adp discovery enable (WLAN_Switch) (config) #adp igmp-join enable

安装AP

使用RF PLAN产生安装AP的位置图。你可以把AP直连到移动控制器上的端口，或把AP连接到另一个交换机或着一个和控制器相连的2层或3层的路由器上。 如果控制器上的以太口支持802.3af POE供电，那么控制器就会对AP自动供电。如果端口的POE功能不可用，那么你必须为Aruba AP提供一个交流电源。更多信息，请查阅AP专业的安装手册。

一旦AP接入网络并且通电，它就会用某种方法查询主移动控制器，具体介绍见第59页“Locate the Mobility Controller”。

通过Web UI你可以在控制器上看到已经连接到控制器的AP。依次点击“Configuration > Wireless > AP Installation”页面。图2-6显示了这个例子。

图2-6 AP连接到控制器

更新RF PLAN

在部署完AP以后，在RF PLAN中更新AP位置图。Aruba移动边缘系统的位置追踪功能

模块允许提供更多的正确的结果，例如：用户定位、非法入侵AP、恶意AP和其他安全选项、RF干扰源。

额外配置

当你安装好一个基本的Aruba移动边缘系统之后，Aruba AP就会吐出默认名为aruba-ap

的SSID。无线用户可以通过这一SSID进行连接，但是由于你还没有设置认证、策略或用户角色，他们将不能够访问网络。在Aruba OS使用手册的其他卷中会介绍怎样通过基本设置配置用户角色、防火墙策略、认证、认证服务器和其他无线功能模块。

Aruba OS使用手册的第5章“Configuring Access Points”介绍了如何配置APs。Aruba OS使用手册的其他卷提供了关于Aruba移动边缘系统的其他功能模块的配置和使用方法。

第3章 配置网络参数

这一章介绍了在Aruba移动控制器上的一些基本网络配置。主要介绍了一下几点：  “配置VLAN”第页  “配置静态路由”第72页

 “配置Loopback IP地址”第73页

配置VLAN

Aruab移动控制器的运行和2层交换机一样使用VLAN作为广播域。在2层交换机和控制器之间需要一台外部路由器来转发流量。经过在控制器上定义以后，在移动控制器上，也能实现3层交换机在VLAN之转发数据的功能。

你可以将控制器上的一个或者多个端口配置为VLAN成员。另外，每个无线客户端会在控制器上组成一个虚拟的端口，通过VLAN指定成员的资格。根据你的网络需要，你可以把所以认证的无线用户放入同一个VLAN或者放入不同的VLAN。VLAN可以存在移动控制器的内部，也可以通过802.1q标识延生到外部的控制器上。

你可以选择性的为Aruba移动控制器上的VLAN配置一个IP地址和子网掩码。当VLAN中至少有一个物理端口是UP的时候，IP地址也是UP的。VLAN IP地址可以被外部当作网关使用；数据包可以通过控制器上的VLAN IP地址根据路由表进行转发。 *使用Web UI创建或修改VLAN：

1. 依次点击“Configuration > Network > VLANs”页面。

2. 点击“Add”创建一个新的VLAN（点击“Edit”编辑一个现有的VLAN）。 3. 在“Add New VLAN”显示页上，输入VLAN ID。

4. 添加物理端口到VLAN中，在“Assign this VLAN to Ports”中点击端口。 5. 点击“Apply”。

*使用CLI创建或修改VLAN： vlan

interface fastethernet|gigabitethernet / switchport access vlan 配置端口

默认的，一个端口只传输被指定VLAN的数据流量。你可以选择将一个端口配置为Trunk端口，用来传送多个VLAN的流量。一个Trunk端口使用802.1q协议为不同的VLAN打上标识。对于Trunk端口来说，所传输的是所有被记入VLAN列表的VLAN流量。你也能为端口记入本地VLAN（本地VLAN不用打VLAN标识）。 *使用Web UI配置端口：

1. 依次点击“Configuration > Network > Ports”页面。 2. 在端口选择部分，点击你想要配置的端口。 3. 端口类型选择“Trunk”。

4. 在下拉列表中选择需要加载的VLAN，点击“”箭头。

5. 为了让端口传送特定的VLAN数据流量，选择允许的VLAN列表。在下拉菜单中选择被允

许的VLAN或者不被允许的VLAN，点击“”箭头。 6. 点击“Apply”。 *使用CLI配置端口：

interface fastethernet|gigabitethernet / switchport mode trunk

switchport trunk native vlan

switchport trunk allowed vlan , VLAN的直指定

通过一些方法可以将客户端指定给某个VLAN。有的VLAN被分配了一个优先级。VLAN的指定是（从优先级低的到优先级高的）：

1. 默认的VLAN是为虚拟AP的配置文件所设置的VLAN。

2. 在客户端认证之前，VLAN可以获得基于客户端属性的规则（SSID,BSSID,客户端MAC

地址，位置和加密类型）。VLAN可以把特定VLAN的所配置的用户角色规则带给用户。 3. 在客户端认证之后， VLAN可以是一个配置了默认角色的认证方法，例如：802.1x或

VPN。

4. 在客户端认证之后，VLAN可以获得认证服务器返回的属性（server-derived规则）。VLAN

可以把特定VLAN的所配置的用户角色规则带给用户。

5. 在客户端认证之后，VLAN能获得来自微软隧道的属性（隧道类型，隧道媒介类型和似

有隧道组ID）。所有三个属性必须全部获得。这不需要任何的server-derived规则。 6. 在客户端认证之后，VLAN能够通过来自Aruba的VSA（Vendor Specific Attributes）对

RADIUS服务器进行认证。这也不需要任何的server-derived规则。 注意：如果Aruba VSA存在，它该过先前任何一个VLAN的指定。 为VLAN指定静态IP地址

你可以在移动控制器上为静态VLAN分配IP地址。至少要有一个控制器上的VLAN被分配静态IP地址。

*使用Web UI为VLAN指定静态IP地址：

1. 在Web UI上依次点击“Configuration > Network > IP > IP Interfaces”页面。在刚刚添

加的VLAN上，点击“Edit”。

2. 选择使用下了IP地址选项。为VLAN接口设置IP地址和子网掩码。如果需要，你也可以

通过DHCP服务器为VLAN分配地址，点击“Add”。 3. 点击“Apply”。

*使用CLI为VLAN指定静态IP地址： interface vlan

ip address