教你玩無線交換機 組建無線網(wǎng)實戰(zhàn)攻略

　　本文將通過詳細剖析WLAN的網(wǎng)絡(luò)架構(gòu)和AP、控制器的功能，闡明WLAN交換機和控制器的作用。本文還將介紹控制器到AP之間接口的不同功能。之后，本文將說明集中式架構(gòu)中與第二/三層移動有關(guān)的變量，最終還將指出關(guān)于這些架構(gòu)的一些常見錯誤觀點和實際情況。

　　本文用無線終端（WTP）一詞來泛指AP，用接入控制器（AC）一詞來泛指WLAN控制功能（無論是部署在WLAN交換機還是獨立控制器上）。

WLAN交換機能夠通過有線連接（借助一個交換機端口）連接到WLAN接入點（AP）。它們還能通過它們的其他交換機端口連接到企業(yè)網(wǎng)絡(luò)。這些交換機是連接到企業(yè)有線網(wǎng)絡(luò)的“網(wǎng)關(guān)”――所有來自于WLAN客戶端的數(shù)據(jù)幀都必須通過WLAN交換機發(fā)送到企業(yè)網(wǎng)絡(luò)。

　　要理解WLAN交換機的功能及其在網(wǎng)絡(luò)中的應(yīng)用，首先需要了解WLAN的網(wǎng)絡(luò)架構(gòu)和接入點的功能。我們可以將WLAN交換機視為控制設(shè)備，將AP視為無線終端。

　　WLAN網(wǎng)絡(luò)的主要架構(gòu)

　　常見的WLAN網(wǎng)絡(luò)架構(gòu)主要有三種：

　　1. 自治式架構(gòu)

　　2. 集中式架構(gòu)

　　3. 分布式架構(gòu)

　　下面幾節(jié)將深入地介紹這三種架構(gòu)。

　　自治式架構(gòu)

　　在自治式架構(gòu)中，WTP完全部署和端接802.11功能。因此，有線局域網(wǎng)上的數(shù)據(jù)幀全部都是802.3幀。每個WTP都可以作為網(wǎng)絡(luò)上的一個單獨的網(wǎng)絡(luò)實體，進行獨立的管理。這種網(wǎng)絡(luò)中的接入點通常被稱為“胖AP”（參見圖1）。

圖1. 自治式WLAN網(wǎng)絡(luò)中的胖AP

　　在WLAN部署的發(fā)展初期，大部分AP都是自治式AP，可以作為獨立的網(wǎng)絡(luò)實體進行管理。在過去幾年中，采用AC和WTP的集中式架構(gòu)（詳見下文）開始受到越來越廣泛的關(guān)注。集中式架構(gòu)的主要優(yōu)勢在于，對于企業(yè)中的多個WTP，它能為網(wǎng)絡(luò)管理員提供一種結(jié)構(gòu)化的、層次化的控制模式。

　　集中式架構(gòu)是一種層次化的架構(gòu)，包括一個負責配置、控制和管理多個WTP的WLAN控制器。WLAN控制器也被稱為接入控制器（AC）。802.11功能由WTP和AC共同承擔。與自治式架構(gòu)相比，這種模式中的WTP的功能有所減弱，因此它們又被稱為“瘦AP”。AP上的部分功能是可變的，詳見下一節(jié)的介紹（參見圖2）。

圖2 集中式WLAN網(wǎng)絡(luò)架構(gòu)中的瘦AP

　　分布式架構(gòu)

　　在分布式架構(gòu)中，不同的WTP通過有線或者無線連接，與其他WTP建立起分布式網(wǎng)絡(luò)。一個由WTP組成的網(wǎng)狀網(wǎng)就是這種架構(gòu)的典型例子。網(wǎng)狀網(wǎng)中的WTP可以與802.11鏈路或者有線802.3鏈路相連接。這種架構(gòu)通常用在城市網(wǎng)絡(luò)和其他需要“室外”組件的部署之中。分布式架構(gòu)不屬于本文的討論范圍。

　　WTP功能――胖、瘦和適中AP

　　要理解自治式和集中式架構(gòu)，首先需要分析AP所執(zhí)行的功能。我們首先從胖AP開始談起，它構(gòu)成了自治式架構(gòu)的核心。之后我們將介紹瘦AP，它是基于WLAN交換機或者控制器的集中式架構(gòu)的重要組成部分。本文隨后將介紹一種名為“適中AP”的新型組件的功能。它是一種專門針對集中式架構(gòu)進行了優(yōu)化的AP.

　　胖接入點

　　圖1顯示了一個采用胖接入點的自治式網(wǎng)絡(luò)。AP是網(wǎng)絡(luò)中的一個可以尋址的節(jié)點，在其接口上具有自己的IP地址。它能在有線和無線接口之間轉(zhuǎn)發(fā)流量。它還可以擁有多個有線接口，在不同的有線接口之間轉(zhuǎn)發(fā)流量――類似于一臺第二層或者第三層交換機。與企業(yè)有線網(wǎng)絡(luò)的連接能通過一個第二層或者第三層網(wǎng)絡(luò)實現(xiàn)。

　　值得注意的一點是，胖AP不會通過隧道向其他設(shè)備“返回”流量。這個特點非常重要，本文在介紹其他AP類型時還將提及這一點。另外，胖AP能提供“類似于路由器”的功能，例如動態(tài)主機配置協(xié)議（DHCP）服務(wù)器功能。

　　AP的管理是通過一種協(xié)議（例如簡單網(wǎng)絡(luò)管理協(xié)議[SNMP]，或者用于Web管理的超文本傳輸協(xié)議[HTTP]）和一個命令行接口進行的。為了管理多個AP，網(wǎng)絡(luò)管理員必須通過這些管理機制之一連接每個AP.每個AP在網(wǎng)絡(luò)拓撲圖上都顯示為一個單獨的節(jié)點。任何用于管理、控制的節(jié)點匯聚都必須在網(wǎng)絡(luò)管理系統(tǒng)（NMS）級別完成，這包括開發(fā)一個NMS應(yīng)用。

　　胖AP還增強了多種功能，例如準許對特定WLAN客戶端的流量進行過濾的訪問控制列表（ACL）。這些設(shè)備的另外一個重要的功能是對與服務(wù)質(zhì)量（QoS）有關(guān)的功能的配置和實施。例如，來自特定移動基站的流量可能需要高于其他流量的優(yōu)先級?；蛘?，您可能需要為來自于移動基站的流量插入和實施 IEEE 802.1p優(yōu)先級，或者差分服務(wù)代碼點（DSCP）。總而言之，因為這些AP能夠提供交換機或者路由器的很多功能，它們可以在一定程度上充當交換機或者路由器。

　　這種AP的不足在于復(fù)雜性。胖AP通常建立在功能強大的硬件的基礎(chǔ)上，需要復(fù)雜的軟件。因為比較復(fù)雜，這些設(shè)備的安裝和維護成本很高。盡管如此，這些設(shè)備在小型網(wǎng)絡(luò)中也能發(fā)揮一定的作用。

　　有些胖AP在后端針對控制和管理功能采用了一個控制器。這些控制器會形成胖AP的一個略微簡化的版本――即所謂的“適中AP”，下文將詳細加以介紹。

　　顧名思義，瘦AP的目的是降低AP的復(fù)雜性。對其進行簡化的一個重要原因是AP的位置。很多企業(yè)都對AP采用了高密度安裝的方式（因為分布在一些很難進入的區(qū)域），以便為每個基站提供最佳的射頻連接。在倉庫等特殊環(huán)境中，這種現(xiàn)象表現(xiàn)得更加明顯。由于這些原因，網(wǎng)絡(luò)管理人員希望只安裝一次AP，而不需要對其進行復(fù)雜的維護。

　　瘦AP通常又被稱為“智能天線”，它們的主要功能是接收和發(fā)送無線流量。它們會將無線數(shù)據(jù)幀發(fā)回到一個控制器，然后對這些數(shù)據(jù)幀進行處理，再交換到有線WLAN（參見圖2）。

　　這種AP使用了一個（通常是加密的）隧道來將無線流量發(fā)回到控制器。最基本的瘦AP甚至不進行WLAN加密，例如有線等效加密（WEP）或者 WiFi受保護接入（WPA/WPA2）。這種加密由控制器完成――AP只負責發(fā)送或者接收經(jīng)過加密的無線數(shù)據(jù)幀，從而保持AP的簡便性，避免升級其硬件或者軟件的必要性。

　　WPA2的面世使得在控制器上進行加密變成了一項非常迫切的任務(wù)。雖然WPA在硬件上與WEP兼容，只需要進行固件升級，但是WPA2并不向后兼容。網(wǎng)絡(luò)管理人員不需要更換整個企業(yè)的AP，而是只需要將無線流量發(fā)送到能夠進行WPA2解密的控制器，之后數(shù)據(jù)幀將會被發(fā)送到有線局域網(wǎng)。

　　在AP和控制器之間傳輸控制和數(shù)據(jù)流量的協(xié)議是專用的。而且，無法在第二/三層，將AP作為一個統(tǒng)一的實體加以管理――它可能通過控制器進行管理，而NMS能通過HTTP、SNMP或者CLI/Telnet與控制器進行通信。一個控制器可以管理和控制多個AP，這意味著控制器應(yīng)當基于功能強大的硬件，并且通常能夠執(zhí)行交換和路由功能。另外一個重要的要求是，AP和AC之間的連接和隧道應(yīng)當確保這兩個實體之間的分組延時保持在很低的水平。

　　對于瘦AP而言，QoS的執(zhí)行和基于ACL的過濾都是由控制器處理的――這并不會導(dǎo)致問題，因為所有來自AP的數(shù)據(jù)幀在任何情況下都必須經(jīng)由控制器傳輸。ACL和QoS的集中控制功能也并不罕見――使用胖AP的網(wǎng)絡(luò)也采用了這種方式。這種安裝方式將控制器作為管理從AP到有線網(wǎng)絡(luò)的流量的網(wǎng)關(guān)。但是，瘦AP的控制器功能采用了一種新的方式，尤其是在數(shù)據(jù)層面和轉(zhuǎn)發(fā)功能方面?？刂破鞴δ鼙患傻竭B接無線和有線局域網(wǎng)的以太網(wǎng)交換機之中――這催生了稱為“WLAN交換機”的設(shè)備系列。

　　在這種情況下，無線MAC架構(gòu)被稱為遠程MAC架構(gòu)。整套802.11 MAC功能都被轉(zhuǎn)移到WLAN控制器上，包括對延時敏感的MAC功能。

　　適中接入點

　　適中AP也在得到越來越廣泛的歡迎，因為它們結(jié)合了胖AP和瘦AP的優(yōu)點。適中AP能夠在提供無線加密功能的同時，利用AC進行實際的密鑰交換。這種方式被用于使用最新的、支持WPA2的無線芯片組的新型AP.管理和策略功能由通過隧道連接到多個AP的控制器執(zhí)行。

　　而且，適中AP還提供了一些額外的功能，例如讓基站能通過DHCP獲得IP地址的DHCP中繼功能。另外，適中AP能夠執(zhí)行基于服務(wù)集標識符（SSID）的VLAN標記功能，讓客戶端可以與AP建立關(guān)聯(lián)（在AP支持多個SSID的情況下）。

　　適中AP支持兩種類型的MAC部署，即本地MAC和分離MAC架構(gòu)。本地MAC指的是所有無線MAC功能都在AP執(zhí)行。完整802.11 MAC功能（包括管理和控制幀的處理）都由AP執(zhí)行。這些功能包括一些對時間敏感的功能（也被稱為實時MAC功能）。

　　分離MAC架構(gòu)會在AP和控制器之間分配MAC功能。實時MAC功能包括信標生成，檢測信號傳輸和響應(yīng)，控制幀處理（例如Request to Send和Clear to Send，即RTS和CTS），重新傳輸?shù)?。非實時功能包括身份驗證和解除驗證；關(guān)聯(lián)和重新關(guān)聯(lián)；以太網(wǎng)和無線局域網(wǎng)之間的橋接；以及分段等。

　　不同供應(yīng)商的產(chǎn)品在AP和控制器之間分配功能的方式有所不同。在某些情況下，甚至它們對實時的定義也有所不同。一種常見的適中AP實施包括AP的本地MAC，以及AP的管理和控制功能。

　　集中式WLAN架構(gòu)的下一個關(guān)鍵組件是接入控制器（AC）。在下文中，我們認為控制器功能部署在一臺WLAN交換機上，并將該功能稱為AC.我們還用“WTP”一詞指代AP（包括胖、瘦或者適中）。

　　IETF的無線接入點的控制和配置（CAPWAP）工作小組正在定義AP及其所控制的WTP之間的接口和協(xié)議。本節(jié)將用CAPWAP框架來詳細介紹AC和WTP之間的接口。[3，4，5]

　　圖3顯示了一個包含多個AC和WTP的企業(yè)網(wǎng)絡(luò)。WTP能通過一個第二層（交換）或者第三層（路由）網(wǎng)絡(luò)連接到AC.WTP和AC之間的接口負責下列功能：

　　* 通過WTP發(fā)現(xiàn)和選擇一個AC

　　* 通過AC將固件下載到WTP――在啟動和WTP觸發(fā)之后

　　* WTP和AC之間的功能協(xié)商

　　* WTP和AC之間的雙向身份驗證

　　* WTP和AC之間的配置、狀態(tài)和統(tǒng)計數(shù)據(jù)交換

　　* 有線和無線網(wǎng)段之間的QoS映射

圖3 ：使用多個AC、WTP和CAPWAP協(xié)議的集中式WLAN架構(gòu)

　　園區(qū)網(wǎng)絡(luò)和互聯(lián)網(wǎng)

　　WLAN交換機/接入控制器（AC）

　　第二/三層網(wǎng)絡(luò) AC和WTP之間的、用于配置和控制的CAPWAP協(xié)議

　　第二/三層網(wǎng)絡(luò)

　　無線網(wǎng)絡(luò)上的802.11幀 無線局域網(wǎng)端接點（WTP）

　　另外，盡管CAPWAP并沒有明確定義所有細節(jié)，但是AC可以通過配置和監(jiān)控它所控制的區(qū)域中的不同接入點，執(zhí)行無線資源管理（RRM）和惡意 AP檢測等功能。這些功能的范圍會因為供應(yīng)商部署方式的不同而有所不同。AC提供的另外一項重要功能是移動管理。以下章節(jié)將在CAPWAP的基礎(chǔ)上，提供更多關(guān)于這些功能的細節(jié)。請注意，截止到本文撰寫時為止，IETF仍然在制定基于思科輕型接入點協(xié)議（LWAPP）的CAPWAP協(xié)議（2006年3 月）。

　　WTP可以通過發(fā)現(xiàn)請求消息，發(fā)現(xiàn)可供連接的AC.一個或者多個AC（根據(jù)網(wǎng)絡(luò)拓撲的不同）會響應(yīng)這些請求消息。AC和WTP之間的通信是通過用戶數(shù)據(jù)報協(xié)議（UDP）進行的。WTP會決定連接哪一個AC，再試圖與該AC建立一個安全的會話。后續(xù)的CAWAP分組將通過安全會話發(fā)送。

　　接著，AC和WTP之間會進行配置交換。這些交換包括：

　　* IEEE SSID

　　* 安全參數(shù)（用于WEP、WPA和WPA2）

　　* 廣播的數(shù)據(jù)速率（11或者54Mbps）

　　* 需要使用的無線通道

　　CAPWAP功能

　　CAPWAP控制消息包括下列消息類型：

　　* 發(fā)現(xiàn)

　　* WTP配置－用于向WTP發(fā)布一個特定的配置，以及從WTP獲取統(tǒng)計信息；統(tǒng)計信息包括下列信息：

　　* 分段數(shù)據(jù)幀的個數(shù)，以及發(fā)送、接收的組播數(shù)據(jù)幀的個數(shù)

　　* 發(fā)送重試的次數(shù)，過度重試的次數(shù)（失敗次數(shù)）

　　* 成功發(fā)送和失敗的發(fā)送請求（RTS）的個數(shù)

　　* 出錯數(shù)據(jù)幀的個數(shù)：重復(fù)數(shù)據(jù)幀，錯誤確認，解密錯誤，幀檢查序列（FCS）錯誤數(shù)等

　　配置包括信標期限、最大發(fā)送功率等級、正交頻分多路復(fù)用（OFDM）控制、天線控制、支持速率、QoS和加密等。

　　* 移動會話管理－向WTP發(fā)布特定的移動策略

　　AC能添加關(guān)于特定移動設(shè)備的策略信息，包括WTP應(yīng)當為該移動設(shè)備使用的安全參數(shù)。它可能包括WTP是否應(yīng)當為該移動設(shè)備轉(zhuǎn)發(fā)或者丟棄流量。

　　* 固件管理――用于向WTP發(fā)布特定的固件鏡像。

　　AC和WTP交互

　　WTP能提供多種信息，例如硬件、軟件或者引導(dǎo)版本；最大無線頻段數(shù)；當前使用的無線頻段；加密功能；無線頻段類型（802.11b/g/a/n）；MAC類型（本地、分離或者兩者皆有）；隧道模式；以及AC和WTP之間的幀類型（例如，本地橋接或者自帶橋接――即將所有用戶載荷封裝為原始無線幀）。

　　AC信息包括硬件或者軟件版本，目前與AC關(guān)聯(lián)的移動基站的個數(shù)，目前連接到AC的WTP個數(shù)，所有這些設(shè)備的最大數(shù)量，AC和WTP之間的安全參數(shù)（身份驗證證書），控制IPv4或者IPv6地址等。

　　因為WTP屬于“適中AP”，它們還能配置一個來自AC的IP地址。另外一個可供配置的參數(shù)是MAC地址級別的ACL.

　　隨時可以通過AC重啟（重新設(shè)定）WTP.WTP能獨立地通過一個鏡像數(shù)據(jù)請求來索取一個新的鏡像，之后接收鏡像數(shù)據(jù)響應(yīng)和鏡像數(shù)據(jù)本身。

　　在WTP確定需要向AC發(fā)送重要的信息時，WTP會發(fā)出事件。這些信息可能包括用于從WTP向AC發(fā)送調(diào)試信息的數(shù)據(jù)傳輸消息。

　　無線資源管理是一個通用詞匯，用以描述在AP上對無線頻段的控制和配置?？刂频念愋桶ㄗ詣拥鼗蛘吒鶕?jù)用戶的輸入降低和提高強度――例如，如果由一個AC控制的兩個WTP互相干擾，那么AC會向其中一個AP發(fā)送一個信號，降低它的強度。它還可以根據(jù)用戶的配置執(zhí)行該操作。

　　有些WTP還被設(shè)置為能夠充當“無線監(jiān)視器”；即它們能在不發(fā)送數(shù)據(jù)時監(jiān)控通道。人們目前對于這種WTP使用模式的有效性還存有一定的爭議―― 有些供應(yīng)商使用專門的無線監(jiān)視器，而不是讓它們的WTP承擔雙重職能。在使用專用無線監(jiān)視器的情況下，無需擔心降低客戶基站服務(wù)質(zhì)量的降低，就能掃描和監(jiān)視所有通道。

　　無線監(jiān)視器能將所有與其他接入點有關(guān)的信息轉(zhuǎn)發(fā)到AC.AC能夠判斷信息針對的是一個有效的WTP（即的確存在于網(wǎng)絡(luò)之上，并且已經(jīng)注冊到AC），還是一個“惡意”接入點。如果針對的是一個惡意接入點，AC可以執(zhí)行多個步驟，防止客戶端連接到該AP――例如，它可以命令無線監(jiān)視器通過提高同一個通道上的發(fā)射功率，“阻止”這個惡意AP.

　　移動管理

　　移動管理可以采取兩種形式――第二層和第三層移動。假設(shè)一個客戶端從一個WTP移動到另外一個WTP――當一個使用筆記本電腦的用戶在同一棟大樓的兩個會議室之間移動時，可能會發(fā)生這種情況?？蛻艋緯匦玛P(guān)聯(lián)新的WTP，之后進行身份驗證。請注意，在它與新的AP“建立起” 關(guān)聯(lián)之前，它與原先的AP的關(guān)聯(lián)會被“中斷”；因此WLAN中的切換被稱為“先中斷，后建立”。雖然這種方式可能導(dǎo)致潛在的流量中斷（和重新傳輸），但是它仍然優(yōu)于“先建立，后中斷”（用于蜂窩網(wǎng)絡(luò)的通信），可以保持客戶端無線連接的簡便和廉價。

　　理解第二層和第三層移動的方法之一是將第二層移動視為在受同一個AC控制的（即隸屬于同一個第三層網(wǎng)絡(luò)）AP之間的移動，而第三層移動則是在受不同AC控制的AP之間的移動。

　　第二層移動網(wǎng)絡(luò)管理

　　第二層移動意味著當基站從一個WTP移動到另外一個時，IP尋址能力不會受到影響，這意味著所有的AP都位于同一個第二層網(wǎng)絡(luò)上，即它們都連接到同一個AC（參見圖4）。為了防止發(fā)送第二層客戶端的數(shù)據(jù)丟失，WLAN交換機現(xiàn)在必須將客戶端數(shù)據(jù)轉(zhuǎn)發(fā)到新的WTP.在客戶端關(guān)聯(lián)之后，新的WTP會發(fā)出一個以太網(wǎng)幀到AC，并將客戶端的MAC地址作為源地址。交換機現(xiàn)在能將客戶端的MAC地址關(guān)聯(lián)到連接新WTP的端口。

　　雖然這種流程適用于AP和AC之間的第二層（交換網(wǎng)絡(luò)）連接，但是在它們之間使用隧道連接時，需要一種略有不同的方法。AC會在從新的WTP收到MAC幀之后，將客戶端的映射轉(zhuǎn)移到一個不同的隧道（即一個虛擬端口）。

　　第二層切換的另外一個需要考慮的問題是WTP的數(shù)據(jù)緩存。在正常情況下，交換機或者AC在從新的WTP收到信息之前不會意識到切換的必要性。但是，如果WTP具有增強的統(tǒng)計信息，它就可以判定某個特定的客戶端已經(jīng)從原先的WTP移出，從而停止向原先的WTP轉(zhuǎn)發(fā)數(shù)據(jù)。這些統(tǒng)計信息可能包括：無線鏈路上的載波偵聽多點接入/沖突避免（CSMA/CA）MAC層協(xié)議的最大重試次數(shù)。交換機并不需要緩存數(shù)據(jù)，因為它并不清楚什么時候需要切換到新的 WTP.這種方式有助于避免在原有WTP和AC之間的鏈路上浪費流量。

　　有些供應(yīng)商借助胖AP，為解決這個問題采取了一種不同的方法。根據(jù)這種方法，AP會在從交換機收到一個表明客戶端已經(jīng)轉(zhuǎn)移到另一個交換機端口的數(shù)據(jù)幀之前，一直緩存流量。這些AP能將緩存的流量發(fā)送到交換機，再由交換機轉(zhuǎn)發(fā)流量到新的WTP.因為我們的目的是降低WTP的復(fù)雜性，這種方法在集中式AC+WTP架構(gòu)中顯然不是首選的方法。

　　第二層漫游的另一個重要特點是需要在新的WTP上進行預(yù)先身份驗證。通過802.11i，客戶端可以針對相鄰WTP進行預(yù)先身份驗證，以使得向不同WTP的漫游不需要經(jīng)歷冗長的身份驗證流程，即不需要向新WTP發(fā)送雙主密鑰（PMK）。（但是仍然需要獲得雙過渡密鑰[PTK].）

　　當AC為某個特定客戶端保持PMK時（通過與一個RADIUS服務(wù)器的交互），該流程將自動進行――即AC將針對客戶端的PMK發(fā)送到新的WTP.802.11幀的加密仍然利用新的PTK，由原有的和新的WTP完成。

　　移動IP解決了第三層移動所存在的問題[6].我們在這里并不打算討論移動IP的具體細節(jié)，但是需要指出的是，它包含三個不同的組件。客戶端本地網(wǎng)絡(luò)上的本地代理（HA）負責客戶端的地址。所有發(fā)送客戶端的（不變）IP地址的分組都被發(fā)送到本地代理。如果客戶端位于本地網(wǎng)絡(luò)上，HA會直接將分組轉(zhuǎn)發(fā)到客戶端。如果它位于一個外部網(wǎng)絡(luò)或者受訪網(wǎng)絡(luò)上，HA會將分組轉(zhuǎn)發(fā)到一個位于受訪網(wǎng)絡(luò)上的外部代理（FA）。

　　為此，它必須設(shè)置一個指向FA的隧道――這通常是一個通用路由封裝（GRE）或者IP-in-IP隧道。

　　在從隧道中分離出原始分組之后，F(xiàn)A負責將該分組轉(zhuǎn)發(fā)到客戶端。這只是大概的描述，實際上其中涉及到大量其他的步驟。在無線局域網(wǎng)中，實現(xiàn)第三層客戶端移動的關(guān)鍵在于移動IP終端所在的位置。有些客戶基站包括一個針對MIP客戶端的軟件堆棧。

　　 這種客戶端MIP（CMIP）軟件會：

　　* 分離分組中的MIP報頭

　　* 插入一個新的報頭，讓客戶端的高層應(yīng)用確信該分組是發(fā)往該客戶端在外部網(wǎng)絡(luò)上的IP地址的

　　*

　　CMIP方法是部署MIP的推薦方法。但是它的不足在于，必須為網(wǎng)絡(luò)中的每個移動基站添加一個MIP客戶端――在存在大量的移動基站時，這種配置可能相當繁瑣。

　　集中式AC+WTP架構(gòu)為解決這個問題提供了一個途徑。有些AC/WLAN交換機供應(yīng)商在AC上部署了MIP功能，以使得客戶端不需要進行改動。有些部署將其稱為代理MIP功能。

　　AC能充當一個FA，端接來自于HA的隧道，以及在轉(zhuǎn)發(fā)分組到客戶端時，對發(fā)往客戶端在受訪網(wǎng)絡(luò)上的地址的分組進行解析。在客戶端發(fā)出第三層分組時，它會通過AC發(fā)送這些分組，進而修改源IP地址的報頭，通過隧道將這些分組發(fā)送到HA.這種流程被稱為“反向隧道”（參見圖4）。

圖4 集中式WLAN網(wǎng)絡(luò)架構(gòu)中的第二層和第三層移動

　　企業(yè)網(wǎng)絡(luò)

　　AC充當基站A的移動IP本地代理？？

　　AC充當基站A的移動IP外部代理（FA）和代理MIP 客戶端

　　WLAN交換機/接入控制器（AC）

　　第二層網(wǎng)絡(luò) 第二層網(wǎng)絡(luò)

　　基站A 第二層移動客戶端轉(zhuǎn)移到同一個AC上的AP

　　基站A 漫游到同一個第三層網(wǎng)絡(luò)上的AP

　　基站A 漫游到不同第三層網(wǎng)絡(luò)上的AP

　　第三層移動－在移動基站從AP移動到不同AC時

　　在考慮一個包含多個AC和AP的大型企業(yè)網(wǎng)絡(luò)拓撲時，您可以考慮在不同AC之間建立MIP隧道。（即，它們充當一組用戶的外部代理，以及另外一組用戶的本地代理）從可擴展性的角度來說，AC必須具有足夠的處理能力和交換容量（交換從AP到AC的隧道到AC之間的隧道）。

WLAN交換機和集中式架構(gòu)――常見的錯誤觀點
　　前面幾節(jié)介紹了集中式AC+WTP架構(gòu)的不同方面，以及一些值得注意的部署要素。本節(jié)將介紹關(guān)于這些架構(gòu)及其部署的一些常見的錯誤觀點，目的是更好地檢查這個尚處于發(fā)展階段的領(lǐng)域。
　　* 錯誤觀點1：AC需要執(zhí)行交換功能――因而被命名為WLAN交換機。
　　AC并不需要達到這樣的要求。事實上，最早的AC都是一些附加設(shè)備（例如運行Linux的PC）?？刂乒δ苁遣渴鸬闹匾M成部分――交換通常被用于加快對AP收發(fā)的流量的轉(zhuǎn)發(fā)速度。
　　* 錯誤觀點2：惡意WTP檢測是AC的一項標準功能。
　　在某些部署中需要該功能，但是這并非是必要的“標準”。一個原因是，各個供應(yīng)商在這方面采取了不同的做法（例如，他們用來將WTP劃分為惡意WTP的算法）。另外一個原因是，AC必須依靠AP或者無線監(jiān)視器，這種依賴性會隨著部署方式的不同而不同。
　　* 錯誤觀點3：胖、瘦和適中AP之間的界限是非常明確的。
　　目前存在很多種不同的AP（和AC）功能實現(xiàn)方式，因此這種觀點并不一定是正確的。如需查看一個WTP和AC實現(xiàn)的分類（快照）范例，請參閱RFC 4118[4].
　　* 錯誤觀點4：第二層和第三層移動是AC+WTP架構(gòu)的標準功能。
　　這種觀點實際上是錯誤的。針對第三層移動部署的代理MIP只是往這個方向邁出的一步，而大部分AC供應(yīng)商都依靠專用的機制提供AC-AC通信和第三層移動功能。
　　* 錯誤觀點5：安全功能（例如防火墻、入侵檢測等）不屬于AC的功能。
　　一些供應(yīng)商的做法已駁斥了這種觀點：他們將這些功能加入到了他們的AC之中。這是供應(yīng)商樹立特色的途徑之一。
　　總結(jié)
　　本文列出了CAPWAP控制功能的主要特性，以及在部署AC+WTP架構(gòu)時，與第二層、第三層移動有關(guān)的一些問題。盡管IETF正在為這個新興的領(lǐng)域制定標準協(xié)議，供應(yīng)商仍然有足夠的空間樹立自己的特色。本文通過詳細介紹依靠集中式控制器管理一組無線終端的架構(gòu)，闡述了WLAN交換機的功能和部署。