Roaming na L2 na WLAN controlleru Ján Podracký, POD123 Jan Černý, CER442 Abstrakt: Cílem úlohy je realizace bezdrátové sítě s funkčním roamingem na L2 vrstvě, spravované centrálně pomocí WLAN controlleru, která umožní bezdrátovým klientům přistupovat k síťovým zdrojům. V případě výpadku jednoho přístupového bodu (AP) musí WLC kontroler zabězpečit, že klienti přejdou k jinému přístupovému bodu. V případě přechodu k silnějšímu zdroji signálu budou asociováni s novým AP. Klíčová slova: roaming, L2, WLAN kontroler 1/17
Roaming...3 Cisco Wireless LAN Controller (WLC)...3 Topologie sítě:...4 1 Použitá zařízení:...5 2 Adresování:...5 Konfigurace:...5 1 Zprovoznění WLAN controlleru:...6 2 Konfigurace DHCP - na PC pod systémem Ubuntu 9.10...7 3 Příprava AP...7 4 Konfigurace WLAN...8 5 Konfigurace AP...10 6 Nastavení parametrů pro roaming...11 Připojení koncových uživatelů k WLAN sítí...12 Roaming na L2...14 Přepojení při přechodu klienta k silnějšímu AP:...16 Master Slave konfigurace:...16 Závěr:...16 2/17
Roaming je v bezdrátových sítích přechod klienta mezi přístupovými body. Roaming může probíhat na druhé nebo třetí vrstvě síťové architektury. Roaming na druhé vrstvě znamená, že se uživatel přesunuje od jednoho přístupového bodu k druhému v rámci téže podsítě - řeší se tedy především fyzické předání uživatele mezi dvěma přístupovými body. Pokud se však uživatel přesouvá do jiné IP sítě, musí kromě vlastního předání mezi přístupovými body také dojít ke změně IP adresy. Centralizované řešení však tento problém dokáže vyřešit a není potřeba IP adresu měnit. Uživatelská data vstupují do pevné sítě z controlleru, na kterém se uživatel poprvé asocioval. Roaming mezi dvěma sousedními přístupovými body může proběhnout zcela transparentně. Pokud se uživatel dostane do oblasti slabého signálu, začne si klient automaticky vyhledávat kvalitnější signál. Klient skenuje kanály 802.11 a sestaví si seznam vhodných přístupových bodů, z nichž jeden si následně vybere, opětovně se ověří a vymění klíče. Celý princip roamingu je znázorněn na následujícím obrázku. Obr. 1: Roaming na L2 a L3 Cisco Wireless LAN Controller (WLC) Slouží pro centralizovanou správu wireless sítí a umožňuje tak provádět konfigurační změny na jednom místě. Při nasazení WLC dochází k rozdělení činností mezi něj a AP v síti. Stručně řečeno, funkce AP jsou omezeny na operace, které je třeba provádět v reálném čase, jako je řízení provozu v buňce, zasílání, šifrování a dešifrování dat a podobně. Naproti tomu inteligentní činnosti, jako například autentizace klientů, správu klíčů, či správu konfigurací AP provádí WLC. Přes WLC také procházejí veškeré datové toky mezi AP. Každé z řízených AP je propojeno s WLC tunelem a všechny pakety směřující mimo jeho vlastní bezdrátovou buňku předává tímto tunelem WLC, které pak rozhoduje o jejich dalším zpracování. Nasazení WLC znamená, že původní operační systém AP je nahrazen specializovanou verzí pro spolupráci s WLC. Cisco termín pro AP s tímto systémem je Lightweight AP. V praxi to znamená, že jeho funkčnost je znatelně omezena, protože mnohé úkoly přebírá WLC. WLC lze do sítě nasadit několik. Jednak z kapacitních důvodů (počet AP obsluhovaných jedním WLC je omezený), jednak k zajištění redundance pro případ výpadku některého z těchto řídicích prvků. Zde se budeme věnovat nejjednodušší situaci s jedním WLC. Základní přednosti nasazení WLC jsou následující: Konfigurace a správa AP je mnohem jednodušší, zejména při jejich velkém počtu. 3/17
Automatické řízení rádiových kanálů a vysílacího výkonu usnadňuje vyladění sítě pro pokrytí daného prostoru. Přináší rozšiřující funkce pro síť samotnou (zejména plynulý přechod uživatelských stanic mezi AP) i pro její správu (např. detekce pirátských AP). Jednotné zabezpečení sítě Za zápory lze považovat: Při nasazení jediného WLC představuje toto zařízení kritický bod, jehož selhání bude mít pro bezdrátovou síť fatální důsledky. Vysoké náklady, které představují velmi zhruba 50 % ceny řízených AP. Na rozdíl od konkurence Cisco Systems (zatím) nenabízí levnější omezené AP, které jsou schopny pracovat pouze v kombinaci s centrálním řízením. Současná verze software nepodporuje IPv6. Pro IPv6 datagramy se zařízení chová jako bridge. Datové toky mezi AP procházejí (prostřednictvím tunelů) WLC, zpravidla tedy nejsou optimální. Z našeho pohledu, kdy je větší počet AP v síti, tak přednosti jednoznačně převažují. Pro velké bezdrátové sítě je centrální řízení de facto nutností. Obr. 2: Wireless LAN Controller (WLC) Cisco AIR-WLC2106k9 Topologie sítě: Cílem této úlohy je centrálne pomocí WLC kontroleru a k němu připojených dvou AP přístupových bodú nakonfigurovat wifi síť s názvem SSID johny. Dále budeme ověřovat Roaming na L2 síťové vrstvě a to v případě výpadku jednoho přístupového bodu (AP) musí WLC kontroler zabězpečit, že klienti přejdou k jinému přístupovému bodu v síti nebo v případě přechodu klienta k silnějšímu zdroji signálu bude asociován u nového AP. 4/17
Obr. 3: Topologie site 1 Použitá zařízení: Přístupové body (LAP) 2 x Cisco Aironet 1200 Series Wireless LAN Controller (WLC) Cisco AIR-WLC2106-K9 Switch Cisco Catalyst 2960 Notebook HP 6735s Notebook Asus F3E Laboratorní PC 1 Adresování: Mezi WLC a LAP je L2 konektivita Přístupové body šíři SSID johny Síť pro připojení LAP: 192.168.1.0/24 Konfigurace: 5/17
1 Zprovoznění WLAN controlleru: 1.Příprava WLC a smazání staré konfigurace připojíme k WLC konzolový kabel. Při zobrazení startování WLC na terminál stiskněte klávesu ESC pro zobrazení konfiguračních možností. Zvolte možnost Clear configuration nebo pomocí tužky resetujeme controller a postupně projdeme průvodce konfigurací na WLC: První dotaz u vizardu je nastavení názvu systému: Welcome to the Cisco Wizard Configuration Tool Use the '-' character to backup WLAN Controller:#WLC Pak následuje nastavení přihlašovacího jména a hesla administrátora: Enter Administrative User Name (24 characters max):cisco Enter Administrative Password (24 characters max):cisco Pokračujeme nastavením IP adres pro management rozhraní, masky, výchozí brány a volíme také identifikátor VLAN nebo 0 pro zakázání podporu VLAN. Jelikož má kontrolér pouze jeden fyzický port (štandardně jako port 1), můžeme na něm vytvářet více statických nebo dynamických logických rozhraní a tyto rozhraní pak můžou nebo nemusí být přiřazeny do nějaké VLAN. Ve výchozím nastavení má WLC dvě statické rozhraní nepřiřazené do žádné VLAN: a)management interface b)ap-manager interface Management interface je používán pro řídící účely s možností výběru webového rozhraní pro nastavování WLC: Management Management Management Management Management Interface Interface Interface Interface Interface IP Address: 192.168.1.1 Netmask: 255.255.255.0 Default Router: 192.168.1.254 VLAN Identifier (0 = untagged): Port Num [1]: Nastavíme IP adresy externího DHCP serveru, který bude obstarávat IP adresy pro klienty a management rozhraní: Management Interface DHCP Server IP Address:192.168.1.10 Nastavíme IP adresy a DHCP serveru pro AP manager rozhraní : AP Manager Interface IP Address:192.168.1.2 AP-Manager is on Management subnet, using same values AP Manager Interface DHCP Server:192.168.1.10 Nastavíme IP adresy virtuální brány. Tato brána bude použita pro zabezpečení: Virtual Gateway IP Address:1.1.1.1 Vložíme jméno Cisco WLAN solution mobility group (RF group) co znamená množina kontrolérů, které jsou si schopny vzájemně vyměňovat informace pro optimalizaci svých RRM: Mobility/RF Group Name:cisco-group Vložíme jméno sítě. Toto je výchozí SSID, které přístupový bod používá pro spojení s kontrolérem: Network Name (SSID): johny Povolení nebo zamítnutí statické IP pro klienty. Zadáním yes se povolí klientovi zadat vlastní IP adresu. Při zadání no je zapotřebí, aby klient požádal o IP adresu z DHCP serveru: Allow Static IP Addresses [YES][no]:yes Pokud budeme chtít používat RADIUS Server, co jsme nepoužívali zvolíme v této fázi no: Configure a RADIUS Server now? [YES][no]: no 6/17
Warning! The default WLAN security policy requires a RADIUS server. Please see documentation for more details. Nyní zadejte kód země, ptorože má vliv na volbu kanálů pro přípojné body: Enter Country Code (enter 'help' for a list of countries) [US]: CZ Povolení nebo zakázání podpory pro 802.11b, 802.11a a 802.11g: Enable 802.11b Network [YES][no]: yes Enable 802.11a Network [YES][no]: yes Enable 802.11g Network [YES][no]: yes Povolení nebo zakázání Radio Resource Management (RRM) : Enable Auto-RF [YES][no]:no Konfigurace NTP serveru: Configure Configure Enter the Enter the a NTP server now? [YES][no]: no the system time now? [YES][no]: yes date in MM/DD/YY format: 11/02/09 time in HH:MM:SS format: 11:00:00 Uložení konfigurace a restart: Configuration correct? If yes, system will save it and reset. [yes] [NO]:yes Configuration saved! Resetting system with new configuration... Po dokončení konfigurace se WLC restartuje s novým nastavením a zastaví se na následujícím: User: 1.Pro zpřístupnění GUI na WLC je nutno zadat z konzole příkaz config network webmode enable Poté stačí ve WWW prohlížeči zadat adresu management interfacu WLC (192.168.1.1). 7/17
1 Konfigurace DHCP - na PC pod systémem Ubuntu 9.10 DHCP server bude obstarávat IP adresy pro klienty a management rozhraní. V našem příkladu je PC se systemem Ubuntu 9.10 zprovozěn jako DHCP server, který poskytuje IP adresy pro síť 192.168.1.0/24, ve které je připojeno naše LAP, takže LAP dostane IP adresu například 192.168.1.61. DHCP server také poskytne LAP (pomocí volby 43 viz. dhcpd.conf) informaci o tom, že IP adresa WLC je 192.168.1.1 Nainstalujeme DHCP server s repozitářů: sudo apt-get install dhcp3-server Otevřeme konfigurační soubor: nano -w /etc/dhcp3/dhcpd.conf Vložíme následující řádky do konfiguračního souboru: # Sample /etc/dhcpd.conf option space cisco-wlc; option space cisco-wlc.lwappcontrollers code 241=array of ipaddress; option space cisco-wlc-encap code 43=encapsulate cisco-wlc; option space cisco-wlc.lwappcontrollers 192.168.1.1; default-lease-time 600; max-lease-time 7200; option subnet-mask 255.255.255.0; option broadcast-address 192.168.1.255; option routers 192.168.1.254; option domain-name-servers 192.168.1.1; subnet 192.168.1.0 netmask 255.255.255.0 { 8/17
} range 192.168.1.60 192.168.1.70; Nastartujeme DHCP server příkazem: /etc/init.d/dhcp3-server start 2 Příprava AP Nejprve provedeme reset do továrního nastavení. LAP odpojíme od napájení. Přidržíme tlačítko MODE a pak opětovně připojíme napájení do sítě a čekáme dokud neprobliknou LED. AP je pak nastaveno na defaultní hodnoty s přihlašovacím jménem a heslem Cisco. IP adresy budou LAP přiděleny DHCP serverem, který také poskytne (pomocí volby 43 viz. dhcpd.conf) informaci o tom, že IP adresa WLC je 192.168.1.1. Pak nám už WLC controller automaticky inicializuje LAP v sítí. Viz obrázek 4. Nyní můžeme konfigurovat naši bezdrátovou síť centrálně z jednoho místa. Pro naše testovací účely jsme vytvořili síť s názvem Johny a pro zjednodušení jsme nepoužili žádnou z šifrovacích metod. Nechali jsme tedy síť otevřenou všem zájemcům pro testování. Obr.4: Inicializace AP 3 Konfigurace WLAN V sekci WLAN -> WLAN najdeme WLAN s SSID johny, kterou jsme vytvořili při úvodní konfiguraci WLC kontroléru. Kliknutím na vytvořenou WLAN přejdeme do editačního módu s názvem General hlavní parametry, kde musíme zaškrtnout Status - enabled, tak jako je na obrázku 5. Pak přejdeme na záložku Advanced, kde múžeme upravit (pokuď provedeme změnu) adresu DHCP serveru (192.168.1.10) nebo zrušit externí DHCP server na poté nastavit interní. Viz. obrázek 5. 9/17
Obr. 5: Hlavní parametry WLAN 10/17
4 Konfigurace AP V sekci WIRELESS -> Access Points->Radios ->802.11b/g/n nastavíme jednotlivým AP kanál, na kterém budou vysílat dle topologie: AP1: AP2: kanál 3, 20 db kanál 11, 5 db a potřebnou sílu signálu. Obr. 6. Obr. 6: Nastavení kanálu AP 11/17
1 Nastavení parametrů pro roaming V sekci WIRELESS -> 802.11b/g/n ->Client Roaming je možné nastavit parametry pro roaming jako minimální sílu signálu pro přechod k jinému LAP, zpoždění a čas v sekundách do kolika se musí přechod k jinému LAP uskutečnit. My jsme tyto parametry neměnili a necháváme defaultní hodnoty, protože jsme byli omezení prostorem pro měření a nemohli jsme pořádně otestovat přechod mezi LAP v závislosti na sile signálu. Obr. 7. Obr. 7: Parametry roaming 12/17
Připojení koncových uživatelů k WLAN sítí Pomocí dvou koncových stanic jsme se připojili k WLAN síti johny. Připojení je možné vidět na obrázku 8, kde DHCP server přidělil jednomu koncovému zařízení adresu 192.168.1.60 a druhému 192.168.1.62. V sekci MONITOR ->Clients múžeme vidět připojený AP1 a AP2 a jejich MAC adresy (označený zeleným rámečkem) a taktéž koncové stanice připojené k síti johny u různých AP (označený červeným rámečkem). Obr. 9. Obr. 8: Připojení koncového zařízení k AP 13/17
Obr. 9: Připojení klienti 14/17
Roaming na L2 Samotné otestování roamingu jsme prováděli tak, že jsme vyřadili jedno AP z činnosti odpojením z napájecí sítě (v našem případě AP1) a k němu připojené koncové zařízení ASUS se během krátkeho času asociovalo na AP2. Na obrázku 10, je vidět ping z notebooku na AP2 a následný výpadek AP1 (ke kterému byl předtím připojen), kde nám vypadl 1 ping v průběhu přehození z AP1 na AP2. Pro kontrolu pak přejdete na sekci klienti a všimnete si, že všichni klienti jsou připojeni k AP2 (obr. 11) a po rozkliknutí klienta získáte podrobnosti detaily o připojení (obr. 12). Obr. 10: Přepojení z AP1 na AP2 15/17
Obr. 11: Klienti připojení k AP2 po vyřazení AP1 16/17
Obr. 12: Detail klienta a připojení Přepojení při přechodu klienta k LAP se silnějším signálem: Další testem bylo přepojení klienta při přechodu k silnějšímu zdroji signálu. Tento test byl o něco složitější. Dlouho jsme museli nastavovat optimální výkony obou AP. Nakonec jsme byli nuceni jedno z AP dát do jednoho rohu místnosti a druhé na druhý konec místnosti. Situace byla velmi podobná, ale výpadek byl podle subjektivního pocitu daleko menší. Master Slave konfigurace: Tak jak bylo v teoretickém úvodu řečeno, neměl by být problém nakonfigurovat wlan controller jako master a mít další controller jako slave. V případě výpadku hlavního controlleru by veškeré funkce přebral záložní controller. V laboratoři byl k dispozici další wlan controller. Avšak byl jako modulem jednoho ze síťových prvků, který se nám podařilo nakonec rozchodit a nakonfigurovat ale zprovoznit síť se dvěma AP jako master a slave se nám už nepodařilo z neznámich příčin. Závěr: Roaming na L2 se nám podařilo úspěšně zprovoznit a otestovali jsme se centrální konfiguraci přes wlan controller. Přepojování klientů taktéž probíhalo bezproblémově. Osobně jsme byli velice překvapeni možnostmi cisco wlan. Je to vůbec poprvé co jsme se v praxi setkali s konfigurací wireless sítě na technologii cisco. 17/17