无线局域网基础知识

传输媒体媒体访问控制模式CSMA/CD，而IEEE802.11无线LAN所采用的是CSMA/CA(带冲突避免的载波监控多路访问技术)。 虽然CSMA/CD该协议已成功应用于有线连接的局域网，但无线局域网不能简单地应用CSMA/CD协议的主要原因是： 第一，CSMA/CD协议要求一个网站在发送本网站数据的同时不断检测信道，以发现是否有其他网站也在发送数据，从而实现冲突检测的功能。然而，在无线局域网设备中实现这一功能成本过高。 第二，更重要的是，即使冲突检测功能可以实现，并且在发送数据报告时检测到信道是免费的，由于无线电波可以方向，传输距离有限，接收端仍可能发生冲突，导致隐藏站问题和暴露站问题。 此外，由于特殊的传输条件，无线信道的动态范围非常大。这使得发送站无法使用冲突检测来确定是否发生碰撞。 因此，无线局域网不能使用CSMA/CD在此基础上，协议制定了更适合无线网络共享信道的载波监路访问/冲突CSMA/CA协议。CSMA/CA协议利用ACK信号是为了避免冲突，也就是说，只有当客户端收到网络返回时ACK在确认发送的数据已正确达到目的之前，信号已被确认。 通过使用CSMA(载波监控多路访问技术)使多个终端设备共享传输介质(无线LAN它指的是无线带宽频带)能够实时检测到未被占用的频点。 在以太网CD(冲突域)是指数据发送时发现的冲突，发生冲突时随机发送。LAN其中，如果载波侦听是随机进行的，当其他终端程序正在发送数据时，在对方终端发送完成后，等待随机时间继续发送数据。这个过程被称为CA(避免冲突)，因为对方发送数据后，也可能引起无线传输冲突。 在以太网中，传输媒介能通过异常电气信号检测到冲突的发生。但无线通信不会产生电气信号，因此需要使用CSMA/CA代替CSMA/CD。

CSMA/CA协议的主要工作流程如图所示： (1)当主机需要发送数据帧时，首先检测信道，并连续检测到信道空闲到达DIFS之后，主机发送数据帧。接收主机正确接收数据帧，等待SIFS然后立即确认数据帧。如果源站未在规定时间内收到确认帧ACK，就必须重传此帧，直到收到确认为止，或者经过若干次重传失败后放弃发送。 (2)当一个站检测到信道传输时MAC帧首部的持续时间字段时，调整网络分配的向量NAV。NAV指出需要多长时间才能完成传输，使信道进入空闲状态。因此，信道处于繁忙状态，或由于物理载波监控检测到繁忙，或由于MAC层的虚拟载波监控机制指出信道很忙。 CSMA/CA分为两类，第一类是时间多路复用技术和CSMA/CD组合方式；第二类是二次检测，避免冲突。这两种方法分别介绍如下。 第一种避免冲突的工作方法如下：每次传输结束后，立即将时间划分为网络中的时间片。结点根据时间片的先后发送信息，具有第一个时间片的结点首先发送，发送结束后，按优先权顺序把发送权交给具有第二个时间片的结点。当轮到某个结点而且结点没有报纸可发时，它的时间片是空闲的。如果时间片轮回一周后所有结点都没有报纸可发，那么网络就会返回CSMA/CD此时，以竞争的方式获得信道。信道在CSMA/CD使用一次后，系统回到时间片。在这种可以避免冲突的系统中，一些结点通常会给予特殊的优先权，这样它们总是可以在第一时间发送信息。若未使用时间片，则在其它结点轮流分配时间片。在这个系统中，结点必须能够完成片的同步，执行分配时间片的算法以及CSMA/CD方式的算法，因此，实现起来较复杂，价格也较贵。这种方法的优点是效率高。 第二类避免冲突的CSMA/CA技术，称为二次检测信道访问技术。这是一种与第一种方式完全不同的CSMA/CA技术。它由结点在发送信息前对介质进行两次检测来避免冲突的发生，其工作方式如下：准备发送信息的结点在发送前侦听介质一段时间（大约为介质最长传播延迟时间的2倍），如果在这一段时间内介质为“闲”，则开始准备发送，发送准备的时间较长，约为前一段侦听时间的2~3倍。准备结束后，真正要将信息发送前，再由结点对介质进行一次迅速短暂的侦听，若仍为空闲，则可正式发送。如果这时侦听到介质上有信息传输，则马上停止自己即将开始的发送。按某种算法延迟一段随机时间，然后再重复以上的二次检测过程，所以这种方式又称为“二次检测”法。由于第二次侦听的时间短，在这么短暂的时间内有两个点同时发送信息的可能性很小，因此基本上可以避免冲突。同时，这种方式没有“边发边听”，而仅仅是“先听后发”，这样，用不着“边听边发”的复杂的冲突检测装置，降低了成本。这种方法的缺点是，发送后一旦发生冲突，也不中止自己的发送，直到发送完毕才知道错误，再重新侦听、重发 [3] 。

（1）帧类型 802.11 MAC有三种帧类型：数据帧，控制帧，管理帧。  数据帧 Data帧：货真价实的数据帧，所有802.11的数据报文的承载体。 Null帧：很奇怪的数据帧，只有两部分：802.11 MAC头+FCS尾。Station可以通过使用Null帧通知基站自己省电模式的改变。  控制帧 协助发送数据帧的控制报文，例如： RTS、CTS，ACK报文。 RTS/CTS：负责无线信道的清空，取得媒介控制权 PS-Poll：当Station从省电模式醒来，可以发送PS-Poll帧，从基站获取缓存帧 ACK：由于无线不可靠性，在没有定义特定回帧的情况下，接收端接收报文后需要回应ACK帧向发送端确认接收到了报文。 Block Ack Request/Block ACK：802.11n中，为了提升MAC层效率，使用一个BlockACK机制对收到的一批数据帧一次性确认。Block Ack Request/Block ACK用来建立BlockACK通道。  管理帧 负责STA和AP之间的能力级的交互，认证、关联等管理工作。 Beacon：信标帧，周期性宣告某个802.11网络的存在。包含网络名称（SSID），支持的速率，认证类型等。 Probe Request/Response：探测帧，Station或基站均可发送Probe Request来探测周围有哪些802.11网络，接收到的基站需回应Probe Response，Probe Response帧中基本包含了Beacon帧的所有参数。 其它：Authentication \认证帧、Deauthentication\去认证帧、Association\关联帧、Reassociation\重关联帧、Disassociation\去关联帧 （2）帧格式

Protocol Version（协议版本）：表名IEEE802.11中使用的版本，接收端会根据此信息判断是否支持接受数据帧的协议版本 Type（类型）：表示每个数据帧的功能（控制[control]、数据[data]、管理[management]） Subtype（子类型）：每个数据帧类型下的子类型，用于执行某一类型下的特定功能 To DS | From DS：一般只用于与接入点关联的终端之间传输的数据帧类型。1表示发送源为信号基站，0表示发送源为终端 More Frag：将上层分组碎片后进行发送使用。1表示后续存在碎片数据帧，0表示当前数据帧为最后的碎片数据帧或不存在碎片数据帧 Retry：1表示再次发送数据帧，0表示不在发送数据帧 More Data：表示是否存在等待后续发送的分组，1表示存在 WEP：是否进行WEP加密，1表示进行加密 Order：1表示数据帧严格按照strictly ordered（发送接收顺序无法替换）的标准进行发送

网络分层模型

传输方式

（1）AP的一个重要的功能就是中继，所谓中继就是在两个无线点间把无线信号放大一次，使得远端的客户端可以接受到更强的无线信号。例如我在a点放置一个AP，而在c点有一个客户端，之间有120米的距离，从a点到c点信号已经削弱很多，于是我在中途60米处的b点放一个AP做为中继，这样c点的客户端的信号就可以有效的增强，保证了传输速度和稳定性。 （2）AP另外一个重要的功能是桥接，桥接就是链接两个端点，实现两个无线AP间的数据传输，想要把两个有线局域网连接起来，一般就选择通过AP来桥接，例如我在a点有一个15台电脑组成的有线局域网，b点有一个25台电脑组成的有线局域网，但是ab两点的距离很远，超过了100米，通过有线连接已不可能，那么怎么把两个局域网连接在一起呢？这就需要在a点和b点各设置一个AP，开启AP桥接功能，这样ab两点的局域网就可以互相传输数据了。需要提醒的是，没有WDS功能的AP，桥接后两点是没有无线信号覆盖的。 （3）最后一个功能是“主从模式”，在这个模式下工作的AP会被主AP或者无线路由看做是一台无线客户端，比如无线网卡或者是无线模块。这样可以方便网管统一管理子网络，实现一点对多点的连接，AP的客户端是多点，无线路由或主AP是一点。这个功能常被应用在无线局域网和有线局域网的连接中，比如a点是一个20台电脑组成的有线局域网，b点是一个15台电脑组成的无线局域网，b点已经是有一台无线路由了，如果a想接入b，在a点加一个AP，并开启主从模式，并把AP接入a点的交换机，这样所有a点的电脑就可以连接b点的了。

1.组成要素 1）STA（工作站）：内置无线网卡 2）AP（无线接入点）：提供有线LAN的连接，同时提供无线LAN的连接 3）IBSS（独立基本服务集）：包含1个或以上的无线网络，无法访问DS（分类系统）时，使用该模式（ad-hoc模式） 4）BSS（基本服务集）：由一个无线LAN访问和一个以上的无限客户端组成的无线网络，也成为基础设施无线网络，BSS内的STA通信均通过AP完成 5）ESS（扩展服务集）：同上，但具有两个以上的AP群 6）DS（分发系统）：放置于不同的BSS内的AP通过DS互相连接，使得STA可以从一个BSS向其他BSS移动；DS是BSS之间逻辑连接的要素，使STA在BSS之间能够实现漫游 2.图片说明

3.无线LAN拓扑 1）与通信终端之间直接互联的"ad-hoc模式"：

2）通过AP连接有线网络的"基本设施模式":

无线LAN的接入点： 在有线网络中，使用有线线缆将个人计算机同交换机相连；在无线组网中，使用AP将多台个人计算机连接到LAN网段中；接入点一般使用RJ45接口同交换机或路由器进行连接，使得无线LAN内的终端能访问有线LAN或互联网 4. SSID、BSSID和ESSID 服务集标识符SSID（Service Set Identifier）是无线网络的标识，用来区分不同的无线网络。 SSID可以分为以下两种。 基本服务集标识符BSSID（Basic Service Set Identifier），是AP上每个VAP的数据链路层MAC地址，根据BSSID能够快速的定位到具体的VAP。 扩展服务集标识符ESSID（Extended Service Set Identifier），是一个或一组无线网络的标识。日常用户使用手机等无线终端搜索到的无线网络的名称，就是ESSID。由于人们的习惯叫法，ESSID一般就被认为是SSID。

1）关联 将无线LAN终端同接入点连接的过程称为关联。 详细过程：

1、 扫描 根据扫描结果获取信道或SSID信息。 主动（active )扫描： 会主动传送 Probe Request 帧，以辨识该区有哪些网络存在。在每个频道上，工作站都会岭出 Probe Request 帧，请求某个特定网络予以回应。主动扫描系主动试图寻找网络，而不是听候网络宣告本身的存在。单一 Probe Request 导致好几个 Probe Response 的情况＋分常见。扫描程序的目的，在于找出工作站可以加入的所有基本服务区域，因此一个 broadcast（广播式）Probe Request 会收到范围内所有基站的回应。 探测请求帧又可以分为两类，一类是未指定任何SSID，一类是指定了SSID的。 1、 探测请求帧里面如果没有指定SSID，就是意味着这个探测请求想要获取到周围所有能够获取到的无线网络信号。所有收到这个广播探测请求帧的AP都会回应STA，并表明自己的SSID是什么，这样STA就能够搜索到周围的所有无线网络了。（注意如果AP的无线网络中配置了Beacon帧中隐藏SSID的功能，此时AP是不会回应STA的广播型探测请求帧的，STA也就无法通过这种方式获取到SSID信息。） 2、 探测请求帧中指定了SSID，这就表示STA只想找到特定的SSID，不需要除指定SSID之外的其它无线网络。AP收到了请求帧后，只有发现请求帧中的SSID和自己的SSID是相同的情况下，才会回应STA。 被动（passive）扫描： 则是被动聆听 Beacon 帧，可以节省电池的电力，因为不需要传送任何信号。在被动扫描中，工作站会在频道表（channel list）所列的各个频道之间不断切换，并静候 Beacon 帧的到来。所收到的任何帧都会被暂存起来，以便取出传送这些帧之 BSS 的相关数据。 扫描结束后会产生一份扫描报告。这份报告列出了该次扫描所发现的所有 BSS 及其相关参数。进行扫描的工作站可以利用这份完整的参数清单，加入（join）其所发现的任何网络。 2、 认证请求、应答 执行开放认证或共享密钥认证 3、 关联请求、应答 接入点收到来自客户端的关联请求；当请求无误时，回复状态码“success”的应答消息 2）接入控制 ESSID隐身 MAC过滤

1）开放系统认证 无需客户端输入用户名及密码就可向Approach发出认证请求，该接入点可容纳所有认证请求，一般用于公共无线LAN中。 由于任何人都可完成认证，还需要IPsec VPN或SSL VPN完成最终网络的访问 2）共享密钥认证 使用WEP或WAP加密标准，预先对接入点和客户端进行设置相同口令，通过该口令后就可建立无线通信链路 对于不预先知道密钥的客户端就无法与AP进行关联 3）IEEE802.1X（用户认证与访问控制协议） 不仅适用于无线LAN，也可用于有线LAN中。 由认证请求方、认证者、认证服务器组成。认证方式采用EAP（扩展认证协议），认证者将来自请求方的EAP消息封装成RADIUS数据帧给认证服务器，当服务器完成认证后，认证者会通知请求方并将请求方视为通过认证的终端，此后来自该终端上的MAC数据帧能转发到LAN、其他终端或互联网上 认证信息使用用户名、口令、数字证书等任意一种

由于无线通信是通过电磁波进行传输，所以只要在电磁波覆盖范围内就会被接收到，再加上有无线数据解析器等工具。因此恶意用户很容易截获他人的通信数据。为了防止无线通信被窃听或篡改，必须对信息进行加密。

1）WEP（有线等效保密）： 基于RC4算法的密钥形式完成无线数据加密；共有三种加密方式： 1>40bit的密钥加24bit的初始向量（IV）,组成64bit长的加密方式 2>104bit的密钥加24bit的初始向量，组128bit长的加密方式 3>128bit的密钥加24bit的初始向量，组152bit长的加密方式 密钥长度越短，破解时间就越短，主流为128bit加密 2）WPA（Wi-Fi保护接入）： 同SSID与WEP密钥一同加密，并使用定期自动更新用户认证功能和密钥的TKIP（临时密钥完整性协议） 共有两种模式进行加密： 1>用于小规模的个人模式（WPA-PSK）：同接入点之间连接的客户端使用所有密钥都相同的预共享密钥（PSK）方式 2>用于企业的企业模式：再PSK基础上增加IEEE802.1X认证服务器，使得不同用户能使用不同用户名和密码接入AP WEP和TKIP区别

3）WPA2 采用AES作为加密算法，且AES支持长度为128bit、196bit、256bit的密钥，向下兼容WPA，接入点加密可设置为：WPA-PSK（TKIP）、WPA-PSK（AES）、WPA2-PSK（TKIP）、WPA2-PSK（AES） 4）IEEE802.11i 新版无线LAN安全性标准，其中加密通信包括WPA、WPA2所有内容，还添加了IEEE802.1X与EAP作为用户认证标准

除了 TKIP 与 CCMP，802.11i 还定义了一组程序，称为固安网络（Robust Security Network，简称 RSN）。这组程序主要在定义密钥的产生与传递方式。 1）802.11i 密钥阶层体系 链路层加密协议使用了两种密钥。成对密钥（pairwise keys）用来保护工作站与 AP 之间往来的数据。群组密钥（group keys）用来保护 AP 至所连接工作站之间的广播或组播数据。成对密钥系产生自身份认证信息；群组密钥则是由基站动态产生然后传递给各工作站的。 1、成对密钥阶层体系 TKIP 与 CCMP 均使用单一主钥来产生帧保护过程所需要的其他密钥。利用衍生密钥，工作站得以更新加密密钥，毋须重新执行整个认证程序。主钥本身扮演着秘密根源（root secret）的角色，必须小心保护，因为所有配钥素材（keying materia）均衍生于此。密钥分级（key hierarchy）的部分目的，是为了衍生「用来保护临时密钥之递送」的密钥。 配钥是从主钥开始。在成对密钥体系中，主钥称为成对主钥（pairwise master key，简称PMK），长度为 256 个位元。PMK 必然有其来源。在 WPA-PSK 中，便是使用成对主钥。在使用认证服务器的情况下，主钥是计算产生自 RADIUS 服务器中，然后以 Microsoft Point-to-Point Encryption（简称 MPPE）这个厂商特有的 RADIUS 属性，送给基站。 2、群组密钥阶层体系 链路层安全协议为广播与组播使用了另一组不同的密钥。已连接的各工作站均拥有不同的预设主钥（pre-master key），因此无法从认证过程中推衍出组播所需要的密钥。事实上，认证者拥有群组主钥（group master key，简称 GMK），以作为临时密钥的基础。通过准随机函式，群组主钥会被展开成群组密钥体系，如图 7-9 所示。在此并未产生密钥加密（key encryption）或密钥确认（key confirmation）密钥，因为密钥交换（key exchange）系以「成对 EAPOL 密钥」（pairwise EAPOL keys）来传递密钥。 当工作站离开网络，不论是使用完毕或被踢出网络，网络系统即可更新群组密钥。在 TKIP中，反制措施也会导致系统重新产生群组密钥。 2）802.11i 密钥的产生与传递 802.11i 规范了一种衍生密钥的机制，而不仅是采用主钥并以之为加密协议的输入项。为了防范重放攻击，密钥的交换使用了随机乱数，并且需要经过磋商。成对与群组密钥系分别通过各自的磋商加以更新

漫游：STA在同一个ESS的AP接入，STA可在无线网络中任意移动，保证已有业务不会中断，用户标识（IP）不变

1）二层漫游 指STA在同一子网内的AP间漫游

2）三层漫游 指STA在不同子网间的AP间漫游。三层漫游的实现主要在跨网段进行通信，而且在漫游后，地址保持不变。 三层漫游——隧道转发模式：

三层漫游——直接转发模式：

智能漫游主动引导的方式： 1 检测终端的信噪比：在AP侧会配置触发终端漫游的信噪比门限值，当AP检测到终端的信噪比低于该门限值时，AP会主动向终端发送解除关联报文，使终端关联到信噪比更高的AP。 2 检测终端的速率：在AP侧会配置触发终端漫游的速率门限值，当AP检测到终端的速率低于该门限值时，AP会主动向终端发送解除关联报文，使终端关联到通信速率更快的AP。

1）WLAN的最大通信速率 无论有线还是无线都受最大通信速率的限制，所以快速以太网的100Mbit/s和IEEE802.11g的54Mbit/s表示在物理层进行数据传输是的传输速率极限 无限还使用了CSMA/CA协议，使得数据在发送时有等待的时间。所以最大传输速率在IEEE802.11a中只达到20Mbit/s、IEEE802.11b中为4.5Mbit/s，IEEE802.11g中为20Mbit/s 2)覆盖范围 基础设施模式下，终端同接入点进行通信的最大距离半径称为覆盖范围。根据终端与接入点的距离不同，最大传输速率也不同，距离接入点越远，通信延迟越大，数据传输速率就越低 3）多径

MIMO使用配有天线的多个无线通信线路使得通信速率上升 空间上独立的多个天线会同时发送相同频率的无线信号，各个同频信号可称为空间数据流。各个数据流由发送天线进行传输路径分割，最终到达多个接收天线。空间流概念：

无线电在同一时间发送多个信号，每一份信号都是一个空间流。空间流使用自己的发射机和天线进行发送，每个空间流通过不同的路径到达接收机。无线系统能够发送和接收空间流，并能够区分发往或来自不同空间方位的信号。 在MIMO系统中，收发天线的数据被分成多个独立的空间流，空间流越多，独立处理数据的路数就越多，速率也越高。

在802.11n中，最高传输速率按照空间流的变化为线性变化，例如，1个独立空间流最高速率可到150Mbps；2个独立空间流最高速率为300Mbps。802.11n设备最大支持4x4，4个空间流，速率高达600Mbps。空间流数是决定最高物理传输速率的参数。 在MIMO系统中，空间流数一般小于或等于天线的数目。如果收发天线数量不相等，那么空间流数等于或小于收发端最小的天线数目。例如，4x4的MIMO系统可以用于传送4个或者更少的空间流，而3x2的MIMO系统可以传送2个或者小于2个的空间流。

发送方使用空时编码（STC）将发送信号在时间和空间上进行重做形成并列传输信号，再通过M个天线发送通信电波 接收方使用N个天线接收多径传输来的电波，同样使用空时解码（STD）对信号进行分离组合，从而成功接受所有信号 在多径传输中通过多条路径，能与天线数量形成正比来提高无线数据的传输速度

1、wifi隔离是什么 无线隔离又称客户端隔离(client isolation)，也称AP隔离，指的是阻止连接路由器的设备之间互相访问，多见于无线通信方面，常见于路由器设置中。 AP隔离非常类似有线网络的VLAN(虚拟局域网)，将所有的无线客户端设备之间完全隔离，是客户端只能访问AP接入的固定网络。通俗来讲，就是各个连接无线的客户机（如手机、电脑等）之间无法互相通讯的，即你无法在两台同时连接AP的电脑间使用类似共享文件等功能。因此，在开启该功能之后，可以保护不同用户间的数据安全，有利于抵御外部攻击。 2、wifi隔离的应用场景 （1）、非常适合大型的会议室、酒店、机场等公共场所的无线网络建设，让各个接入的无线客户端之间相互保持隔离，提供彼此间更加安全的接入。 （2）、对于家庭用户来说没有太多的实际意义，但企业用户在一些特殊的场合可以采用这种方式来加强无线网络的安全性。例如有客户或外单位人员参加的会议等公共活动。 （3）、用于对酒店和机场等公共热点Hot Spot的架设，让接入的无线客户端保持隔离，提供安全的Internet接入。 3、wifi隔离的原理 对接收到的数据报文进行解析，如果目的地址是单播地址，且目的地址位于无线系统中，则此时根据“无线隔离”的关键字的值来做相应处理，如果开启无线隔离，则将收到的包直接丢弃。  IEEE 802.11常见的技术标准

连接DHCP同一个LAN口的AP设备，如果不通过桥接VLAN，其通过AP接入的无线设备，只能拿到对应该LAN口的IP地址，即使同一个AP下有不同的ssid，也只会拿到该LAN口的IP，这样的情况会限制无线客户端的接入数量，最多有255-2个无线设备接入（网络地址和广播地址不参与地址分配），因此要用到桥接VLAN。在桥接VLAN中，在对应的SSID中，可以拿到所设置的桥接VLAN中IP，不仅仅是AP所连的LAN口IP。

AP页面ssid设置的桥接vlan为vlan5；通过vlan4管理AP，相当于在vlan4中，重新起了一个DHCP server，其IP为172网段，地址池可以自己配，如下图（如果不通过桥接vlan，无线设备只能拿到vlan4中的IP）；37、43、41端口都处于vlan5同一个vlan中。

配置各端口的前提是：

1. PC要和G2通； 上行：PC出来的报文不带tag，37端口为其打上tag4，到达43端口，允许通过，出43端口时，为其剥掉tag4，到达LAN1口，为其打上tag4,PC可以拿到vlan4网段的地址； 下行：出LAN1，剥掉tag4，到达43端口，打上tag4，到达37端口，允许通过，出37端口，剥掉tag4,到达PC时，无tag。上下行均通。
2. PC要和AP通； 上行：PC出来的报文不带tag，37端口为其打上tag4，到达41端口，允许通过，出41端口时，为其剥掉tag4，到达AP；下行：从AP出来的报文，不带tag，到达41端口为其打上tag4，达到37端口，允许通过，出37端口时，剥掉tag4，最终到达PC的为不带tag的报文。上下行均通。
3. AP 要和G2通。 AP要上线，是通过AP和G2之间的CAPWAP通道，AP要获取G2分配的地址时，APvlan1和vlan3999循环交替发送DHCP discover报文，二者的区别是，vlan1不带tag，vlan3999带tag3999。上行：AP DHCP discover报文为vlan1发送时。不带tag，到达41端口，为其打上tag4，到达43端口，允许通过，出43端口时，剥掉tag4，到达LAN1口，为其打上tag4，拿到在vlan4中起的另一个DHCPserver提供的172网段的IP；下行：出LAN1口时，去掉tag4，到达43口，打上tag4，到达41端口，允许通过，出41端口时，去掉tag4，到达AP，不带tag。上下行均通。 4.无线设备与G2通。 上行：无线设备发出的报文不带tag，到达AP时，由于设置了桥接vlan，AP为其打上tag5，到达41端口，允许通过，仍然带着tag5，到达43端口，允许通过，仍然带着tag5，到达LAN1口，允许通过，从vlan5中获取IP地址。下行：从LAN1口发出，到达43端口，允许通过，到达41端口，允许通过，仍然带着tag5，达到AP，AP由于设置了桥接vlan，会为其剥掉tag5，最终到达无线设备的报文不带tag。上下行均通。 注：AP上配置桥接vlan时，上行可以为报文打上对应的tag，下行，可以为报文剥去对应的tag。

在无线局域网中，无线用户流量的转发方式根据是否需要经过AC统一转发分为直接转发（本地转发）和隧道转发（集中转发）。 AC通过CAPWAP协议控制管理下连的AP，在AP和AC之间存在一条CAPWAP隧道。 隧道转发：无线用户的数据报文到达AP后，需要经过CAPWAP数据隧道封装发送给AC，然后由AC再转发到上层网络。

直接转发：无线用户的数据报文到达AP后，不需要经过CAPWAP数据隧道封装而直接转发到上层网络。

优缺点： 数据转发方式 优点 缺点 隧道转发 AC集中转发无线用户数据报文，安全性好，方便集中管理。 无线用户数据报文必须经过AC转发，报文转发效率低，AC所受压力大。 直接转发 无线用户数据报文不需要经过AC转发，报文转发效率高，AC所受压力小。 无线用户数据报文不便于集中管理。

无线控制器(AC)和FIT AP：AP零配置，硬件主要由CPU＋内存＋RF构成，配置要从无线控制器上下载。主要功能是转发和上报。AP和无线控制器AC之间的流量通过CAPWAP隧道封装转发。 CAPWAP协议为AP和AC定义了一套通用并且完全独立于第二层协议的传输机制。CAPWAP协议在AP和AC之间分别建立控制隧道和数据隧道。

（1）AP选择AC优先级： 1 静态配置AC的IP地址 AP如果有静态配置，那么就会一直进行静态配置的AC发现过程，不停循环往复。静态配置AC的地址需要AP预先做好设置，AP启动后，便按照配置好的AC IP地址发送单播Discovery Request报文。 2 DHCP Option 43 选项

DHCP Option 43 是一项需要在DHCP服务器上配置的功能，它会在返回AP网络配置的报文中携带AC地址列表，AP同时向列表中所有的AC地址发送单播Discovery Request报文，开始DHCP选项的AC发现过程。 3 广播、组播报文发现 AP按照广播组播地址（IPv4广播：255.255.255.255、IPv4组播：224.0.1.140、IPv6组播：FF02:0:0:0:0:0:0:18C、IPv6没有广播地址）同时发送Discovery Request报文。AC需要支持组播请求与广播请求，并分别回应。 4 DHCP+DNS解析 AP使用DHCP服务器返回的AC主机名称与指定域名前缀组装到一起得到域名，格式为“前缀.主机名”xxxx.xxx，再从DNS server获取H3C.xxxx.xxx的IP地址列表。AP向地址列表中的所有AC发送单播Discovery Request报文。 （2）CAPWAP隧道的建立

（3）AP下载版本 如果AP中的版本信息不符合AC的要求，还要进行版本下载，然后重启。 （4）AP下载配置 得到最新版本后的AP会要求AC下发最新的配置，然后AP才能进入运行状态。 （5）隧道保活 隧道保活是一个常态机制，在隧道建立后就必须进行保活，如果在一定得时间后AP与AC不能收到彼此的保活报文，那么隧道就会断开。