锐捷无线控制器基础配置

 基于无线控制器配置的项目规划简述

本项目围绕中小型企业 / 校园无线局域网（WLAN）建设展开，核心目标是搭建 “安全隔离、按需管控、易运维” 的无线网络，满足内部员工办公与外部访客临时接入需求，以下从项目目标、网络架构、功能规划、安全设计、运维保障 5 个维度简述规划内容：

一、项目核心目标

1. 业务接入需求：区分 “内部用户” 与 “访客” 两类接入场景，内部用户需稳定高速的无线连接（支持办公、业务系统访问），访客需有限制的临时接入（隔离内部网络）；
2. AP 管理需求：实现 AP 的集中管控（含 AP 发现、配置下发、状态监控），避免分散管理的低效问题；
3. 安全合规需求：通过 VLAN 隔离、身份认证、访问控制等手段，防止非法接入、数据泄露及网络攻击；
4. 资源管控需求：限制单用户带宽占用，避免个别用户滥用网络资源，保障整体无线体验。

二、网络架构规划

1. 网络层级设计（简化三层架构）拓扑如下

• 核心层：由网关设备（IP：172.16.100.1）承担路由转发，连接无线控制器与上层网络（如互联网、核心业务区）；无线控制器（管理 IP：172.16.100.254）作为核心管控节点，通过 Trunk 接口（如 G0/2）连接 AP 设备，AP 负责无线信号覆盖；
• 终端层：内部员工终端（连接 SSID “WiFi”）、访客终端（连接 SSID “Guest”）通过无线接入网络。

2. VLAN 与业务映射

VLAN ID	业务类型	作用说明	关联接口 / 场景
100	设备管理 VLAN	无线控制器管理 IP 所在 VLAN，用于远程运维	控制器 Vlanif100、上联网关接口
110	AP 管理 VLAN	AP 与控制器通信的 “控制通道”，传递配置与状态	AP 的管理端口、控制器 Trunk 接口
120	内部用户 VLAN	内部用户无线数据转发 VLAN，隔离访客流量	内部用户 VAP 模板、AP 数据端口
130	AP 有线 VLAN	AP 自身有线端口（如备用接入）的业务 VLAN	AP 有线访问端口
140	访客 VLAN	访客无线数据转发 VLAN，与内部网络完全隔离	访客 VAP 模板、AP 数据端口

三、核心功能规划

1. 无线接入功能

• SSID 规划：部署 2 个独立 SSID，“WiFi”（内部专用）、“Guest”（访客专用），均广播 SSID 便于终端发现；
• 转发模式：采用 “本地转发”（AP 本地处理终端数据），减轻控制器数据转发压力，适合中小规模覆盖（AP 数量≤50）；
• 资源管控：单用户上行带宽限制为 “平均 5120kbps、突发 8192kbps”，单个 WLAN 最大接入 100 用户，避免网络过载。

这份配置是锐捷（Ruijie）无线控制器的基础配置，主要实现无线网络搭建、VLAN 隔离、安全认证及设备管理功能。以下是逐段解析及关键说明：

一、基础配置（主机名与 VLAN 划分）

hostname WLAN  # 设备命名为"WLAN"，便于识别设备角色（无线相关设备）
vlan 100
name Management  # VLAN 100：管理VLAN（设备自身管理、与上层通信）
vlan 110
name Mgmt_AP  # VLAN 110：AP管理VLAN（用于AP与控制器之间的通信）
vlan 120
name WIFI_user  # VLAN 120：内部用户无线VLAN（员工等授权用户使用）
vlan 130
name AP_TD  # VLAN 130：AP有线端口VLAN（AP的有线接入端口所属VLAN）
vlan 140
name WIFI_guest  # VLAN 140：访客无线VLAN（外部访客使用，需隔离）

说明：通过 VLAN 隔离不同业务（管理、AP 通信、内部用户、访客），符合网络隔离原则，提升安全性。

二、三层接口与路由配置

interface vlan 100  # 管理VLAN的三层接口（设备管理IP）
ip address 172.16.100.254 255.255.255.0  # 管理IP：172.16.100.254/24
interface LoopBack 0  # 环回接口（常用于设备标识、路由协议等）
ip address 1.1.1.1 255.255.255.0  # 环回IP：1.1.1.1/24ip route 0.0.0.0 0.0.0.0 172.16.100.1  # 默认路由：指向网关172.16.100.1（上连设备）

说明：

• VLAN 100 接口作为设备管理 IP，用于远程登录、与上层网络通信；
• 环回接口通常用于路由协议（如 OSPF）的 Router ID，或设备唯一标识；
• 默认路由确保设备能访问外部网络（如 DNS、NTP 服务器）。

三、物理接口配置（互联核心交换机）

int gigabitEthernet 0/2  # 千兆接口0/2（推测连接AP或上联交换机）ip dhcp snooping  # 启用DHCP snooping（防止AP获取到非法DHCP地址）switchport mode trunk  # 接口模式为trunk（允许多VLAN通过）switchport trunk allowed vlan only 100,110,120,130,140  # 仅允许业务相关VLAN通过，增强安全性

说明：

• 接口 0/2 作为 trunk 口，允许 AP 管理（110）、用户数据（120/140）、设备管理（100）、AP 有线（130）VLAN 通过，符合 “最小权限” 原则；
• DHCP snooping 防止 AP 从非法 DHCP 服务器获取地址，保障 AP 与控制器通信正常。

四、WLAN（无线）配置

1. WLAN 基本参数（SSID 配置）

wlan-config 1 WiFi  # 创建WLAN 1，SSID为"XQDYXX-D2FX"（内部用户用）enable-broad-ssid  # 广播SSID（用户可搜索到）tunnel local  # 采用本地转发模式（数据在AP本地转发，减轻控制器压力）wlan-config 2 Guest  # 创建WLAN 2，SSID为"Guest"（访客用）enable-broad-ssid  # 广播SSIDtunnel local  # 本地转发wlan-based per-user-limit up-streams average-data-rate 5120 burst-data-rate 8192  # 限制单用户上行平均速率5120kbps，突发8192kbps（限速防滥用）sta-limit 100  # 单个WLAN最大接入用户数100（防止过载）

说明：

• 区分内部用户和访客 SSID，便于权限控制；
• 本地转发模式适合中小规模网络，减少控制器数据转发压力；
• 限速和用户数限制避免个别用户占用过多带宽。

2. AP 组与 VLAN 映射（AP 关联 WLAN 与 VLAN）

ap-group default  # 对默认AP组配置（所有未指定组的AP归属此组）interface-mapping 1 120  # WLAN 1（内部用户）映射到VLAN 120（数据走用户VLAN）interface-mapping 2 140  # WLAN 2（访客）映射到VLAN 140（访客隔离VLAN）wired-vlan 130  # AP自身的有线端口（如AP的LAN口）归属VLAN 130

说明：通过 AP 组统一配置 AP 的 WLAN 与 VLAN 映射，简化批量管理（新增 AP 加入该组后自动生效）。

3. WLAN 安全配置

wlansec 1  # WLAN 1（内部用户）的安全配置security rsn enable  # 启用RSN（802.11i，比WEP/WPA更安全）security rsn ciphers aes enable  # 加密算法使用AES（不建议用TKIP，安全性低）security rsn akm psk enable  # 认证方式为PSK（预共享密钥）security rsn akm psk set-key ascii Admin@123  # PSK密钥：Admin@123（明文设置，实际建议用加密方式）wlansec 2  # WLAN 2（访客）的安全配置ip verify source port-security  # 启用IP源验证（防止IP欺骗）arp-check  # 启用ARP检查（防止ARP欺骗攻击）

说明：

• 内部用户 WLAN 用 WPA2-PSK+AES（较安全）
• 访客 WLAN 启用 IP 和 ARP 检查，增强防攻击能力（但未配置认证方式，可能为开放式或 Portal 认证，此处未体现）。

五、设备管理与访问控制（登录配置）

enable password 0 Ruijie@123  # 特权模式密码：Ruijie@123（0表示明文存储，建议用7加密）
no enable secret  # 禁用enable secret（优先级高于enable password，此处仅用简单密码）
no password policy strong  # 关闭强密码策略（不建议，生产环境应启用强密码）
no password policy min-size  # 关闭密码最小长度限制（不安全，建议保留默认）
no password policy forced-password-modify  # 关闭强制密码修改（用户可长期使用同一密码，不安全）
no snmp-server enable secret-dictionary-check  # 关闭SNMP密钥字典检查（降低安全性）
enable user-block disable  # 禁用用户登录失败锁定（可能被暴力破解，建议启用）username admin password 0 Ruijie!@#123  # 创建管理员用户admin，密码Ruijie!@#123（明文）
username admin login mode telnet  # 允许admin通过telnet登录（telnet明文传输，不安全，建议禁用）
username admin login mode ssh  # 允许admin通过ssh登录（推荐，加密传输）
username admin login mode console  # 允许admin通过console口登录line console 0  # 控制台线路配置（默认无需密码，此处未额外设置）
line vty 0 4  # VTY线路（远程登录，0-4共5个会话）login local  # 采用本地用户认证（使用username配置的账号密码）password 0 Ruijie@123 # VTY线路额外设置密码（与enable密码重复，可省略，以local认证为主）

说明：管理配置存在较多安全隐患，可优化：

• 密码用明文存储（0），建议改为加密存储（password 7 <加密串>）；
• 关闭强密码策略、登录失败锁定，易被暴力破解，生产环境应启用；
• 允许 telnet 登录（明文），建议禁用（no username admin login mode telnet），仅保留 ssh；
• 控制台线路未设置密码，物理访问存在风险，建议配置line console 0; password <密码>; login。