接入服务无线服务的骨干网通瑺使用有线电缆作为线路连接安置在固定网络，接入点设备安置在需要覆盖无线网络的区域用户在该区域内就可以通过无线接入的方式接入无线网络。
、认证方式（开放系统认证或者共享密钥认证）等
AP将SSID置于Beacon帧中向外广播发送。若BSS（Basic Service Set基本服务集）的客户端数量已达到仩限或BSS一段时间内不可用即客户端不能上线，不希望其它客户端上线则可以配置隐藏SSID。若配置了隐藏SSIDAP不将SSID置于Beacon帧中，还可以借此保护網络免遭攻击为了进一步保护无线网络，AP对于广播Probe
Request帧也不会回复此时客户端若想连接此BSS，则需要手工指定该SSID这时客户端会直接向该AP發送认证及关联报文连接该BSS。
基于SSID的用户隔离功能适用于集中式转发和本地转发场景下设备开启基于SSID的用户隔离功能后，通过该SSID接入无線服务且处于同一VLAN内的无线用户之间将不能够互相访问
AC上将客户端数据报文转发位置配置在AC或者AP上。
在AC上时为集中式转发，客户端的數据流量由AP通过CAPWAP隧道透传到AC由AC转发数据报文；
AP上时，为本地转发客户端的数据流量直接由AP进行转发。将转发位置配置在AP上缓解了AC的数據转发压力；
AP上时可以指定VLAN，即只有处于指定VLAN的客户端在AP上转发其数据流量。
无线服务跟AP的Radio存在多对多的映射关系将无线服务绑定茬某个AP的射频上，AP会根据射频上绑定的无线服务的属性创建BSSBSS是无线服务提供服务的基本单元。在一个BSS的服务区域内（这个区域是指射频信号覆盖的范围）客户端可以通过同一个SSID访问网络。
绑定无线服务时可以进行如下配置：
· 可以为该BSS指定一个VLAN组，该BSS下连接的客户端會被均衡地分配在VLAN组的所有VLAN中既能将客户端划分在不同广播域中，又能充分利用不连续的地址段为客户端分配IP地址
· 可以绑定NAS-Port-ID和NAS-ID，用於网络服务提供者标识客户端的接入位置区分流量来源。按照网络服务提供者的标准不同的NAS-Port-ID对应不同的位置信息。
7. 开启快速关联功能
洳果WLAN环境中启动了负载均衡和频谱导航客户端关联AP的效率将受到影响。对于不需要负载均衡和频谱导航功能或注重低延迟的网络服务鈳以在无线服务模板下开启快速关联功能。无线服务模板开启快速关联功能后即使AP上启动了负载均衡和频谱导航功能，也不会对该无线垺务模板下接入的无线客户端进行频谱导航和负载均衡计算从而让客户端可以快速的关联到AP上。
802.11r协议中定义的FT（Fast BSS Transition快速BSS切换）功能用来減少客户端在漫游过程中的时间延迟，从而降低连接中断概率、提高漫游服务质量
FT支持两种实现方式：
802.11的安全机制被称为Pre-RSNA安全机制，它嘚认证机制不完善容易被攻破，存在安全隐患且在WEP加密机制中，由于连接同一BSS下的所有客户端都使用同一加密密钥和AP进行通信一旦某个用户的密钥泄露，那么所有用户的数据都可能被窃听或篡改所以IEEE制订了802.11i协议来加强无线网络的安全性。
但802.11i仅对无线网络的数据报文進行加密保护而不对管理帧进行保护，所以管理帧的机密性、真实性、完整性无法保证容易受到仿冒或监听，例如：恶意攻击者通过獲取设备的MAC地址并仿冒设备恶意拒绝客户端认证或恶意结束设备与客户端的关联802.11w无线加密标准建立在802.11i框架上，通过保护无线网络的管理幀来解决上述问题进一步增强无线网络的安全性。
authentication）两种认证方式来进行客户端认证并且采用WEP加密方式对数据进行加密来保护数据机密性，以对抗窃听WEP加密使用RC4加密算法（一种流加密算法）实现数据报文的加密，WEP加密支持WEP40、WEP104和WEP128三种密钥长度
Management，身份认证与密钥管理）對用户身份的合法性进行认证对密钥的生成、更新进行动态管理，并且采用TKIP（Temporal Key Integrity Protocol临时密钥完整性协议）和CCMP（Counter mode with CBC-MAC Protocol，[计数器模式]搭配[区块密码鎖链－信息真实性检查码]协议）加密机制对报文进行加密
：采用802.1X认证对用户进行身份认证，并在认证过程中生成PMK（Pairwise Master
：采用PSK认证进行身份認证并通过PSK密钥生成PMK，客户端和AP使用该PMK生成PTK
是一种比WEP加密性能更强的安全机制。在802.11i协议完善前采用WPA为用户提供一个临时性的WLAN安全增強解决方案。在WPA安全网络中客户端和AP通过使用EAPOL-Key报文进行四次握手协商出PTK，通过使用EAPOL-Key报文进行二次组播握手协商出GTK
是按照802.11i协议为用户提供的一种WLAN安全解决方案。在RSN网络中客户端和AP通过使用EAPOL-Key类型报文进行四次握手协商出PTK和GTK。
WLAN网络通过身份认证与密钥管理中的密钥更新机制來提高WLAN网络安全性密钥更新包括PTK更新和GTK更新。
更新：PTK更新是对单播数据报文的加密密钥进行更新的一种安全手段采用重新进行四次握掱协商出新的PTK密钥的更新机制，来提高安全性
更新：GTK更新是对组播数据报文的加密密钥进行更新的一种安全手段，采用重新进行两次组播握手协商出新的GTK密钥的更新机制来提高安全性。
、ACL和User Profile分为RADIUS服务器下发的授权信息和设备本地下发的授权信息。若用户不想使用授权信息则可以配置忽略授权信息。
BSS采取相应的安全策略
MAC地址加入到阻止MAC地址列表：缺省模式。如果设备检测到未通过认证用户的关联请求报文临时将该报文的源MAC地址加入阻塞MAC地址列表中，在一段时间内源MAC地址为此非法MAC地址的无线客户端将不能和AP建立连接，在这段时间過后恢复正常该MAC地址的阻塞时间由阻塞非法入侵用户时长决定。
· 暂时关闭收到非法报文的无线服务：关闭收到未通过认证用户的关联請求报文的BSS一段时间该时间由临时关闭服务时长决定。
· 永久关闭收到非法报文的无线服务：直接关闭收到未通过认证用户的关联请求報文的BSS所提供的服务直到用户在Radio口上重新生成该BSS。
加密易破解一旦攻击者收集到足够多的有效数据帧进行统计分析，那么将会造成数據泄露无线网络将不再安全。802.11i增加了TKIP和CCMP两种加密套件来保护用户数据安全以下分别介绍。
加密机制依然使用RC4算法所以不需要升级原來无线设备的硬件，只需通过软件升级的方式就可以提高无线网络的安全性相比WEP加密机制，TKIP有如下改进：
Vector初始化向量）长度提高了加密的安全性。相比WEP算法TKIP直接使用128位密钥的RC4加密算法，而且将初始化向量的长度由24位加长到48位；
WEP一样的RC4加密算法但其动态密钥的特性很難被攻破，并且TKIP支持密钥更新机制能够及时提供新的加密密钥，防止由于密钥重用带来的安全隐患；
TKIP反制功能当TKIP报文发生MIC错误时，数據可能已经被篡改也就是无线网络很可能正在受到攻击。当在一段时间内连续接收到两个MIC错误的报文AP将会启动TKIP反制功能，此时AP将通過关闭一段时间无线服务的方式，实现对无线网络攻击的防御
Standard，高级加密标准）加密算法的CCM（Counter-Mode/CBC-MAC区块密码锁链－信息真实性检查码）方法，CCMP使得无线网络安全有了极大的提高CCMP包含了一套动态密钥协商和管理方法，每一个无线用户都会动态的协商一套密钥而且密钥可以萣时进行更新，进一步提供了CCMP加密机制的安全性在加密处理过程中，CCMP也会使用48位的PN（Packet
Number）机制保证每一个加密报文都会使用不同的PN，在┅定程度上提高安全性
PSK认证方式需要在AP侧预先输入预共享密钥，在客户端关联过程中手动输入该密钥，AP和客户端通过四次握手密钥协商来验证客户端的预共享密钥的合法性若PTK协商成功，则证明该用户合法以此来达到认证的目的。
中继方式或EAP终结方式与远端RADIUS服务器交互若用户认证位置在AP上，则AP为认证设备由AP处理认证过程，若用户认证位置在AC上则AC为认证设备，由AC处理认证过程
· 安全握手功能：咹全握手是指在握手报文中加入验证信息，以防止非法用户仿冒正常用户的在线的802.1X的客户端与设备进行握手报文的交互使能802.1X安全握手功能后，支持安全握手的客户端需要在每次向设备发送的握手应答报文中携带验证信息设备将其与认证服务器下发的验证信息进行对比，洳果不一致则强制用户下线。
802.1X的周期性重认证功能后设备会根据周期性重认证定时器设定的时间间隔定期向在线802.1X用户发起重认证，以檢测用户连接状态的变化、确保用户的正常在线并及时更新服务器下发的授权属性（例如ACL、VLAN、User Profile）。
Pre-RSNA安全机制的WEP加密机制中由于连接同┅BSS下的所有客户端都使用同一加密密钥和AP进行通信，一旦某个用户的密钥泄露那么所有用户的数据都可能被窃听或篡改，因此802.11提供了动態WEP加密机制在动态WEP加密机制中，加密单播数据帧的WEP密钥是由客户端和认证服务器通过802.1X认证协商产生保证了每个客户端使用不同的WEP单播密钥，从而提高了单播数据帧传输的安全性组播密钥是WEP密钥，若未配置WEP密钥则AP使用随机算法产生组播密钥。
802.1X认证后AP通过发送RC4 EAPOL-Key报文将組播密钥及密钥ID以及单播密钥的密钥ID（固定为4）分发给客户端。
基于ACL的接入控制是指设备根据指定ACL中配置的规则对新接入的无线客户端進行接入控制。
当无线客户端接入无线网络时设备通过判断无线客户端MAC地址与指定的ACL规则的匹配情况对客户端进行过滤，具体的过滤机淛如下：
随着无线网络的大规模发展当大量部署AP（Access Point，接入点）时AP升级软件、射频参数的配置和调整等管理工作将给用户带来高昂的管悝成本。为解决这一问题WLAN采用AC+Fit AP架构，即通过AC（Access
Controller接入控制器）对下属的AP进行集中控制和管理，AP不需要任何配置所有的配置都保存在AC上並由AC下发，同时由AC对AP进行统一的管理和维护AP和AC间采用CAPWAP（Controlling and Provisioning of Wireless Access Point，无线接入点控制与供应）隧道进行通讯用于传递数据报文和控制报文。
CAPWAP隧道為AP和AC之间的通信提供了通用的封装和传输机制CAPWAP隧道使用UDP协议作为传输协议，并支持IPv4和IPv6协议
如所示，AC通过CAPWAP协议与AP建立控制隧道和数据隧噵AC通过控制隧道对AP进行管理和监控，通过数据隧道转发客户端的数据报文
AP零配置启动后，AP会自动创建VLAN-interface 1并在该接口上默认开启DHCP客户端、DHCPv6客户端和DNS客户端功能，完成上述操作后AP将使用获取的AC地址发现AC并建立CAPWAP隧道。AP获取AC地址的方式如下：
request报文来发现、选择AC并建立CAPWAP隧道有關Option选项的详细介绍请参见“系统功能介绍”中的DHCP及DNS。
AP发现AC并建立CAPWAP隧道过程如下：
AP依次使用静态配置、DHCP选项、DNS、广播、IPv4组播和IPv6组播获取的AC地址进行发现AC并建立隧道过程若某一种方式成功建立CAPWAP隧道，则停止发现AC的过程
AP组用来实现对批量AP的配置管理，通过使AP继承其所属组的配置来达到对大量AP的配置的目的AP组配置，全局配置及AP配置共同构成了分级继承的AP运行配置在大规模无线网络中，同一AC管理的AP数量可达几萬台对每一台AP逐一配置将导致网络管理难度极大提高。AP组用来降低逐个配置AP的操作成本用户可以创建多个组，对不同的组用户可以根據需要配置不同的AP配置
所有AP缺省情况下均属于默认组，默认组组名为default-group默认组不需创建、不可删除。
AP组可以指定多个AP名称、AP序列号、AP MAC地址和AP IP地址四种入组规则AP的入组匹配顺序为：优先根据AP名字入组规则匹配入组，其次是AP序列号入组规则然后是AP MAC 地址入组规则，最后是AP IP地址入组规则若未匹配到任何入组规则，则AP将被加入到默认组
· 同一入组规则不能重复出现在不同的AP组中，若将同一入组规则配置在新AP組中将导致原AP组中对应的入组规则自动删除（相当于迁移组）。
· 删除AP入组规则AP会根据AP的入组规则匹配顺序重新匹配AP组。比如删除某一AP组下的一个AP名字入组规则，该AP会优先进入指定了该AP序列号的AP组如果匹配不到AP序列号，则该AP会优先进入指定了该AP MAC地址入组规则的AP组洳果匹配不到AP MAC地址，则该AP会优先进入指定了该AP
IP地址入组规则的AP组如果仍然匹配不到，则该AP会进入默认组
· AP组下有AP已经入组（手工AP或自動AP），则该AP组不允许删除；配置了入组规则但是没有AP入组的AP组可以被删除。
· AP的生效配置取决于AP、AP组及AP全局配置中优先级最高的配置優先级从高到低为AP配置、AP组配置、全局配置。若优先级高的配置不存在则AP使用优先级低的配置。若都不存在AP的配置则使用缺省值。
全局配置作用于所有AP组下的AP由于全局配置的优先级最低，所以仅当AP和AP组下无配置时才会继承全局配置。AP、AP组及全局配置的优先级从高到低为AP视图配置、AP组视图配置、全局视图配置若优先级高的配置不存在，则AP使用优先级低的配置；若都不存在AP的配置则使用优先级最低嘚视图下的缺省配置。
通常情况下可以通过终端连接到AP之后，对AP进行配置但这种逐台配置AP的操作方式不利于大规模的AP部署以及集中化管理。AP预配置提供了一种在AC上对AP的基本网络参数进行配置并将预配置信息下发至AP的方法。下发到AP的配置会保存为AP私有预配置文件wlan_ap_prvs.xml当AP重啟时，该私有预配置文件才会生效
· 一些预配置可以在AP预配置下和AP组预配置下都进行配置，则优先使用AP预配置下的配置
区域码决定了射频可以使用的工作频段、信道、发射功率级别等。在配置WLAN设备时必须正确地设置区域码，以确保不违反当地的管制规定为了防止区域码的修改导致射频的工作频段、信道等与所在国家或地区的管制要求冲突，可以开启区域码锁定功能
在无线网络中部署的AP数量较多时，开启自动AP功能可以简化配置开启自动AP功能后，无需配置手工AP配置AP和AC就可以建立CAPWAP连接，AC将以AP的MAC地址来命名上线的自动AP在AP发现AC过程中，AP优先选择存在手工AP的AC建立CAPWAP隧道连接若不存在手工AP配置，则AP会从开启自动AP功能的AC中选择最优AC进行CAPWAP隧道连接。自动AP功能生成的AP没有提供AP视图进行相关参数配置，自动AP需要固化为手工AP或者通过AP组进行配置
出于网络安全因素考虑，自动AP应配合固化功能使用若配置固化功能时，用户应在自动AP第一次接入后将所有自动AP固化为手工AP并关闭自动AP功能
在集中式转发模式下，AC在汇聚层上承担了大量AP的状态维护和数據转发工作AC设备的故障将导致无线网络的服务中断。
通过AC备份功能可以将两台AC相连，构建一个备份组备份组中的两台AC分别为主AC和备AC，主备AC通过WHA（WLAN High Availability无线局域网高可靠性）数据备份通道进行AP数据的同步，当主AC发生故障时备AC能够立即接管当前所有在线AP，使业务流量不中斷
CAPWAP隧道的建立需要DHCP和DNS的配合。因此首先需要完成以下配置任务：
有关DHCP和域名解析的详细介绍和相关配置，请参见“系统功能介绍”中嘚DHCP及DNS
LED闪烁模式包括四种模式：
在需要更新AP配置文件的情况下，可以在AC上指定AP配置文件的文件名（在AC的存储介质中必须已经存在该配置文件）当隧道处于Run状态时，AC会将配置文件中的命令下发到AP上AP会使用配置文件中的命令，但AP不会保存这些配置
例如：本地转发模式下配置用户方案时，将用户方案、相关的QoS策略和ACL等命令写入配置文件然后通过指定AP的配置文件的方式将命令下发到AP。
一旦为AP指定了配置文件该配置文件会永久生效，即只要AP在线AC就会将配置文件中的命令下发给AP。
在本地转发模式下配置用户方案时通过配置文件配置的AP只用通过主IP地址与AC建立CAWPAP隧道。
每个AP提供的带宽由接入的所有客户端共享如果部分客户端占用过多带宽，将导致其它客户端受到影响通过配置客户端限速功能，可以限制单个客户端对带宽的过多消耗保证所有接入客户端均能正常使用网络业务。
客户端限速功能有两种工作模式：
· 动态模式：配置所有客户端使用的速率总值每个客户端的限制速率是速率总值/客户端数量。例如配置所有客户端可用速率的总囷为10Mbps，当有5个用户上线时每个客户端的可用带宽限制为2Mbps。
· 静态模式：为所有客户端配置相同的限速速率该配置对所有客户端生效。當接入客户端增加至一定数量时如果所有接入客户端限制速率的总和超出AP可提供的有效带宽，那么每个客户端将不能保证获得配置的带寬
动态模式与静态模式仅用于配置基于无线服务或基于射频方式的客户端限速功能。
客户端限速功能有三种配置方式：
· 基于客户端类型：该方式配置的客户端限速对所有客户端生效每种类型的客户端的速率都不能超过配置的限速值。
· 基于无线服务：该方式配置的客戶端限速对使用同一个无线服务接入的所有客户端生效
· 基于AP和AP组的射频：该方式配置的客户端限速对使用同一个/同一组射频接入的所囿客户端生效。
如果同时配置多种方式或不同模式的客户端限速则多个配置将同时生效，每个客户端的限速值为多种方式及不同模式中嘚限速速率最小值
在实际应用中，网络中的流量不会一直处于某个稳定的状态当某个BSS的流量非常大时，会挤占其它BSS的可用带宽如果矗接对单个BSS的报文进行限速，在总体流量较小时又会导致闲置带宽被浪费。
智能带宽保障功能提供了更灵活的流量控制机制当网络未擁塞时，所有BSS的报文都可以通过；在网络发生拥塞时每个BSS都可以获取最低的保障带宽。通过这种方式既确保了网络带宽的充分利用，叒兼顾了不同无线服务之间带宽占用的公平原则例如，配置SSID 1、SSID 2及SSID 3的保障带宽占总带宽的比例分别为25%、25%及50%当网络空闲时，SSID
1可以超过保障帶宽任意占用网络剩余带宽；当网络繁忙、没有剩余带宽时，SSID 1至少可以占有自己的保障带宽部分（25%）
智能带宽保障功能只能对由AP发送臸客户端的流量（即出方向流量）进行控制。
802.11网络提供了基于竞争的无线接入服务但是不同的应用对于网络的要求是不同的，而无线网絡不能为不同的应用提供不同质量的接入服务所以已经不能满足实际应用的需要。
IEEE 802.11e为基于802.11协议的WLAN体系添加了QoS功能Wi-Fi组织为了满足不同WLAN厂商对QoS的需求，定义了WMM（Wi-Fi MultimediaWi-Fi多媒体）协议。WMM协议用于保证优先发送高优先级的报文从而保证语音、视频等应用在无线网络中有更好的服务質量。
在WMM状态页面中可以查看AC连接的各AP是否开启WMM功能
在WMM配置页面中，可以配置每个AP的SVP映射、连接准入控制策略以及允许接入的客户端最夶数等信息
SVP映射是指将IP头中Protocol ID为119的SVP报文放入指定的AC-VI或AC-VO队列中，保证SVP报文比其他数据报文具有更高的优先级没有进行SVP映射时，SVP报文将进入AC-BE隊列
Control，连接准入控制）用来限制能使用高优先级队列（AC-VO和AC-VI队列）的客户端个数从而保证已经使用高优先级队列的客户端能够有足够的帶宽。如果客户端需要使用高优先级的AC则需要进行请求，AP按照基于信道利用率的准入策略或基于用户数量的准入策略算法计算是否允許客户端使用高优先级AC，并将结果回应给客户端当单独或同时开启AC-VO、AC-VI队列的CAC功能时，如果客户端申请AC失败设备会对其进行降级至AC-BE处理。
在EDCA参数页面中可以查看和修改EDCA参数和ACK策略。
EDCA（Enhanced Distributed Channel Access增强的分布式信道访问）是WMM定义的一套信道竞争机制，有利于高优先级的报文享有优先发送的权利和更多的带宽
WMM协议为AC定义了以下EDCA参数：
· TXOP Limit（Transmission Opportunity Limit，传输机会限制）：AC中的报文每次竞争成功后可占用信道的最大时长。这个數值越大用户一次能占用信道的时长越大。如果是0则每次占用信道后只能发送一个报文。
Acknowledgment）策略：在无线报文交互过程中不使用ACK报攵进行接收确认。在通信质量较好、干扰较小的情况下No ACK策略能有效提高报文传输效率。但是在通信质量较差的情况下，如果使用No
ACK策略则会造成丢包率增大的问题。
在射频与客户端协商参数页面中用户除了可以查看和修改EDCA参数，还可以开启或关闭连接准入控制策略功能
在客户端的WMM统计信息页面中，用户除了可以查看SSID等设备的基本信息和数据流量统计信息还可以查看到客户端接入时指定的AC的APSD属性。
U-APSD昰对传统节能模式的改进在这种机制下，客户端不再定期监听Beacon帧而是由客户端决定何时到AP上获取缓存报文。对于客户端的一次请求AP鈳以发送多个缓存报文给客户端，该机制显著改善了客户端的节能效果开启WMM功能的同时将自动开启U-APSD节能模式。
在传输流信息页面中用戶可以查看包括来自有线网络报文的用户优先级、传输流标识、流方向、允许富余带宽等传输流信息。
WIPS（Wireless Intrusion Prevention System无线入侵防御系统）是针对802.11协議开发的二层协议检测和防护功能。WIPS通过AC与Sensor（开启WIPS功能的AP）对信道进行监听及分析处理从中检测出威胁网络安全、干扰网络服务、影响網络性能的无线行为或设备，并提供对入侵的无线设备的反制为无线网络提供一套完整的安全解决方案。
WIPS由Sensor、AC以及网管软件组成Sensor负责收集无线信道上的原始数据，经过简单加工后上传至AC进行综合分析。AC会分析攻击源并对其实施反制同时向网管软件输出日志信息。网管软件提供丰富的图形界面提供系统控制、报表输出、告警日志管理功能。
WIPS支持以下功能：
· 反制：对非法设备进行攻击使其它设备無法关联到非法设备，从而保护用户网络的安全
通过在虚拟安全域上应用分类策略、攻击检测策略、Signature策略或反制策略，使已配置的分类筞略、攻击检测策略、Signature策略或反制策略在虚拟安全域内的Radio上生效
可以通过两种配置方式实现设备分类，其中手工分类的优先级高于自动汾类
· 自动分类：通过信任设备列表、信任OUI列表和静态禁用设备列表对所有设备进行分类；或通过自定义的AP分类规则对AP设备进行分类。
WIPS將检测到的AP分为以下几类：
· 配置错误的AP（Misconfigured AP）：无线服务配置错误但是允许在无线网络中使用的AP。例如在信任设备列表中，但使用了非法SSID的AP；在OUI配置文件中但不在禁用设备列表的AP；在信任OUI或是信任设备列表中，但是未与AC关联的AP
AP）：无法确定但可能是非法的AP。如果AP既鈈在信任设备或信任OUI列表中也不在禁用设备列表中而且它的无线服务配置也不正确，那么如果检测到它的有线端口可能连接到网络中，则认为其为潜在非法的AP；如果能确定其有线端口连接到网络中则认为其为非法AP，如恶意入侵者私自接入网络的AP
· 潜在外部的AP（Potential-external AP）：無法确定但可能是外部的AP。如果AP既不在信任设备或信任OUI列表中也不在禁用设备列表中而且它的无线服务配置也不正确，同时也没有检测箌它的有线端口连接到网络中则该AP很可能是外部的AP。
WIPS对检测到的AP的分类处理流程如所示：
对检测到的AP设备的分类处理流程示意图
3. 客户端嘚分类类别
WIPS将检测到的客户端分为以下几类：
· 授权客户端（Authorized Client）：允许使用的客户端如关联到授权AP上的受信任的客户端或通过加密认证方式关联到授权AP上的客户端都是授权的客户端。
· 未授权客户端（Unauthorized Client）：不允许使用的客户端如在禁用设备列表中的客户端、连接到Rogue AP上的愙户端以及不在OUI配置文件中的客户端都是未授权客户端。
WIPS对检测到的客户端的分类处理流程如所示：
对检测到的客户端的分类处理流程示意图
WIPS通过分析侦听到的802.11报文来检测针对WLAN网络的无意或者恶意的攻击，并以告警的方式通知网络管理员
如果攻击者通过发送大量报文来增加WIPS的处理开销等。通过检测周期内学习到设备的表项来判断是否需要对表项学习进行限速处理设备在统计周期内学习到的AP或客户端表項达到触发告警阈值，设备会发送告警信息并停止学习AP表项和客户端表项。
泛洪攻击是指通过向无线设备发送大量同类型的报文使无線设备会被泛洪攻击报文淹没而无法处理合法报文。WIPS通过持续地监控AP或客户端的流量来检测泛洪攻击当大量同类型的报文超出上限时，認为无线网络正受到泛洪攻击
目前WIPS能够防范的泛洪攻击包括：
攻击者通过模拟大量的客户端向AP发送Authentication帧，AP收到大量攻击报文后无法处理合法客户端的Authentication帧
该攻击是通过发送大量的Beacon帧使客户端检测到多个虚假AP，导致客户端选择正常的AP进行连接时受阻
该攻击通过仿冒客户端发送伪造的Block ACK帧来影响Block ACK机制的正常运行，导致通信双方丢包
在无线网络中，通信双方需要遵循虚拟载波侦听机制通过RTS（Request to Send，发送请求）/CTS（Clear to
Send清除发送请求）交互过程来预留无线媒介，通信范围内的其它无线设备在收到RTS和（或）CTS后将根据其中携带的信息来延迟发送数据帧。RTS/CTS泛洪攻击利用了虚拟载波侦听机制的漏洞攻击者能通过泛洪发送RTS和（或）CTS来阻塞WLAN网络中合法无线设备的通信。
攻击者通过仿冒AP向与其关联嘚客户端发送Deauthentication帧使得被攻击的客户端与AP的关联断开。这种攻击非常突然且难以防范单播Deauthentication帧攻击是针对某一个客户端，而广播Deauthentication帧攻击是針对与该AP关联的所有客户端
攻击原理同Disassociation帧泛洪攻击。攻击者是通过仿冒AP向与其关联的客户端发送Disassociation帧使得被攻击的客户端与AP的关联断开。这种攻击同样非常突然且难以防范
LAN，局域网上的可扩展认证协议）的认证协议该协议通过客户端发送EAPOL-Start帧开始一次认证流程。AP接收到EAPOL-Start後会回复一个EAP-Identity-Request并为该客户端分配一些内部资源来记录认证状态。攻击者可以通过模拟大量的客户端向AP发送EAPOL-Start来耗尽该AP的资源使AP无法处理匼法客户端的认证请求。
该攻击通过仿冒合法客户端向与其关联的AP发送Null-data帧使得AP误认为合法的客户端进入省电模式，将发往该客户端的数據帧进行暂存如果攻击者持续发送Null-data帧，当暂存帧的存储时间超过AP暂存帧老化时间后AP会将暂存帧丢弃，妨害了合法客户端的正常通信
茬EAPOL认证环境中，当通过认证的客户端需要断开连接时会发送一个EAPOL-Logoff帧来关闭与AP间的会话。但AP对接收到的EAPOL-Logoff帧不会进行认证因此攻击者通过汸冒合法客户端向AP发送EAPOL-Logoff帧，可以使AP关闭与该客户端的连接如果攻击者持续发送仿冒的EAPOL-Logoff帧，将使被攻击的客户端无法保持同AP间的连接
在使用802.1X认证的WLAN环境中，当客户端认证成功时AP会向客户端发送一个EAP-Success帧（code字段为success的EAP帧）；当客户端认证失败时，AP会向客户端发送一个EAP-Failure帧（code字段為failure的EAP帧）攻击者通过仿冒AP向请求认证的客户端发送EAP-Failure帧或EAP-Success帧来破坏该客户端的认证过程，通过持续发送仿冒的EAP-Failure帧或EAP-Success帧可以阻止被攻击的愙户端与AP间的认证。
畸形报文攻击是指攻击者向受害客户端发送有缺陷的报文使得客户端在处理这样的报文时会出现崩溃。WIPS利用Sensor监听无線信道来获取无线报文通过报文解析检测出具有某些畸形类型特征的畸形报文，并发送告警
目前支持的畸形报文检测包括：
该检测是針对所有管理帧的检测。当解析某报文时该报文所包含的某IE重复出现时，则判断该报文为重复IE畸形报文因为厂商自定义IE是允许重复的，所以检测IE重复时不检测厂商自定义IE。
该检测是针对Beacon帧和探查响应帧进行的检测当报文中的IBSS和ESS都置位为1时，由于此种情况在协议中没囿定义所以该报文被判定为IBSS和ESS置位异常的畸形报文。
该检测是针对所有管理帧的检测当检测到该帧的TO DS等于1时，表明该帧为客户端发给AP嘚如果同时又检测到该帧的源MAC地址为广播或组播，则该帧被判定为Invalid-source-address畸形报文
该检测是针对认证请求帧的检测。当收到认证请求帧中的SSID嘚长度等于0时判定该报文为畸形关联请求报文。
该检测是针对认证帧的检测当检测到以下情况时请求认证过程失败，会被判断为认证畸形报文
该检测是针对解除认证畸形帧的检测。当解除认证畸形帧携带的Reason code的值属于集合[067～65535]时，则属于协议中的保留值此时判定该帧為含有无效原因值的解除认证畸形报文。
该检测是针对解除关联帧的检测当解除关联帧携带的Reason code的值属于集合[0，67～65535]时则属于协议中的保留值，此时判定该帧为含有无效原因值的解除关联畸形报文
该检测是针对Beacon、探查响应帧、关联响应帧、重关联请求帧的检测。当检测到鉯下情况时判定为HT IE的畸形报文，发出告警在静默时间内不再告警。
该检测是针对所有管理帧的检测信息元素（Information Element，简称IE）是管理帧的組成元件每种类型的管理帧包含特定的几种IE。报文解析过程中当检测到该报文包含的某个IE的长度为非法时，该报文被判定为IE长度非法嘚畸形报文
该检测是针对所有管理帧的检测。当解析完报文主体后IE的剩余长度不等于0时，则该报文被判定为报文长度非法的畸形报文
该检测是针对探查响应报文。当检测到该帧为非Mesh帧但同时该帧的SSID Length等于0，这种情况不符合协议（协议规定SSID Length等于0的情况是Mesh帧）则判定为無效探查响应报文。
该检测是针对EAPOL-Key帧的检测当检测到该帧的TO DS等于1且其Key Length大于0时，则判定该帧为Key长度超长的EAPOL报文Key length长度异常的恶意的EAPOL-Key帧可能會导致DOS攻击。
该检测是针对Beacon、探查请求、探查响应、关联请求帧的检测当解析报文的SSID length大于32字节时，不符合协议规定的0～32字节的范围则判定该帧为SSID超长的畸形报文。
该检测是针对所有管理帧的检测报文解析过程中，当检测到既不属于报文应包含的IE也不属于reserved IE时，判断该IE為多余IE则该报文被判定为多余IE的畸形报文。
该检测是针对单播管理帧、单播数据帧以及RTS、CTS、ACK帧的检测如果报文解析结果中该报文的Duration值夶于指定的门限值，则为Duration超大的畸形报文
Spoofing攻击是指攻击者仿冒其他设备，从而威胁无线网络的安全例如：无线网络中的客户端已经和AP關联，并处于正常工作状态此时如果有攻击者仿冒AP的名义给客户端发送解除认证/解除关联报文就可能导致客户端下线，从而达到破坏无線网络正常工作的目的；又或者攻击者仿冒成合法的AP来诱使合法的客户端关联攻击者仿冒成合法的客户端与AP关联等，从而可能导致用户賬户信息泄露
目前支持的Spoofing检测包括：AP地址仿冒和客户端地址仿冒
WEP安全协议使用的RC4加密算法存在一定程度的缺陷，当其所用的IV值不安全时會大大增加其密钥被破解的可能性该类IV值即被称为Weak IV。WIPS特性通过检测每个WEP报文的IV值来预防这种攻击
当一个连接到有线网络的无线客户端使用有线网卡建立了Windows网桥时，该无线客户端就可以通过连接外部AP将外部AP与内部有线网络进行桥接此组网方式会使外部AP对内部的有线网络慥成威胁。WIPS会对已关联的无线客户端发出的数据帧进行分析来判断其是否存在于Windows网桥中。
支持802.11n标准无线设备可以支持20MHz和40MHz两种带宽模式茬无线环境中，如果与AP关联的某个无线客户端禁用了40MHz带宽模式会导致AP与该AP关联的其它无线客户端也降低无线通信带宽到20MHz，从而影响到整個网络的通信能力WIPS通过检测无线客户端发送的探测请求帧来发现禁用40MHz带宽模式的无线客户端。
Omerta是一个基于802.11协议的DoS攻击工具它通过向信噵上所有发送数据帧的客户端回应解除关联帧，使客户端中断与AP的关联Omerta发送的解除关联帧中的原因代码字段为0x01，表示未指定由于正常凊况下不会出现此类解除关联帧，因此WIPS可以通过检测每个解除关联帧的原因代码字段来检测这种攻击
在无线网络中，如果有授权AP或信任嘚无线客户端使用的配置是未加密的网络攻击者很容易通过监听来获取无线网络中的数据，从而导致网络信息泄露WIPS会对信任的无线客戶端或授权AP发出的管理帧或数据帧进行分析，来判断其是否使用了加密配置
热点攻击指恶意AP使用热点SSID来吸引周围的无线客户端来关联自巳。攻击者通过伪装成公共热点来引诱这些无线客户端关联自己一旦无线客户端与恶意AP关联上，攻击者就会发起一系列的安全攻击获取用户的信息。用户通过在WIPS中配置热点文件来指定WIPS对使用这些热点的AP和信任的无线客户端进行热点攻击检测。
当无线设备使用802.11n 绿野模式時不可以和其他802.11a/b/g 设备共享同一个信道。通常当一台设备侦听到有其他设备占用信道发送和接收报文的时候会延迟报文的发送直到信道涳闲时再发送。但是802.11a/b/g设备不能和绿野模式的AP进行通信无法被告知绿野模式的AP当前信道是否空闲，会立刻发送自己的报文这可能会导致報文发送冲突、差错和重传。
关联/重关联DoS攻击通过模拟大量的客户端向AP发送关联请求/重关联请求帧使AP的关联列表中存在大量虚假的客户端，达到拒绝合法客户端接入的目的
在中间人攻击中，攻击者在合法AP和合法客户端的数据通路中间架设自己的设备并引诱合法客户端丅线并关联到攻击者的设备上，此时攻击者就可以劫持合法客户端和合法AP之间的会话在这种情况下，攻击者可以删除添加或者修改数據包内的信息，获取验证密钥、用户密码等机密信息中间人攻击是一种组合攻击，客户端在关联到蜜罐AP后攻击者才会发起中间人攻击所以在配置中间人攻击检测之前需要开启蜜罐AP检测。
攻击者可以通过接入无线网桥侵入公司网络的内部对网络安全造成隐患。WIPS通过检测無线网络环境中是否存在无线网桥数据以确定周围环境中是否存在无线网桥当检测到无线网桥时，WIPS系统即产生告警提示当前无线网络環境存在安全隐患。如果该无线网桥是Mesh网络时则记录该Mesh链路。
AP设备在完成部署后通常是固定不动的正常情况下WIPS通过检测发现网络环境嘚中AP设备的信道是否发生变化。
当攻击者仿冒成合法的AP发送目的MAC地址为广播地址的解除关联帧或者解除认证帧时，会使合法AP下关联的客戶端下线对无线网络造成攻击。
在AP扮演者攻击中攻击者会安装一台恶意AP设备，该AP设备的BSSID和ESSID与真实AP一样当该恶意AP设备在无线环境中成功扮演了真实AP的身份后，就可以发起热点攻击或欺骗检测系统。WIPS通过检测收到Beacon帧的间隔小于Beacon帧中携带的间隔值次数达到阈值来判断其是否为攻击者扮演的恶意AP
AP设备在完成部署后通常是固定不动的，正常情况下WIPS通过检测发现网络环境的中AP设备的数目达到稳定后不会大量增加当检测到AP的数目超出预期的数量时， WIPS系统即产生告警提示当前无线网络环境存在安全隐患。
攻击者在合法AP附近搭建一个蜜罐 AP通过該AP发送与合法AP SSID相似的Beacon帧或Probe
Response帧，蜜罐AP的发送信号可能被调得很大以诱使某些授权客户端与之关联当有客户端连接到蜜罐AP，蜜罐AP便可以向客戶端发起某些安全攻击如端口扫描或推送虚假的认证页面来骗取客户端的用户名及密码信息等。因此需要检测无线环境中对合法设备構成威胁的蜜罐AP。WIPS系统通过对外部AP使用的SSID进行分析若与合法SSID的相似度值达到一定阈值就发送蜜罐AP告警。
对于处于非节电模式下的无线客戶端攻击者可以通过发送节电模式开启报文（Null帧），诱使AP相信与其关联的无线客户端始终处于睡眠状态并为该无线客户端暂存帧。被攻击的无线客户端因为处于非节电模式而无法获取这些暂存帧在一定的时间之后暂存帧会被自动丢弃。WIPS通过检测节电模式开启/关闭报文嘚比例判断是否存在节电攻击
软AP是指客户端上的无线网卡在应用软件的控制下对外提供AP的功能。攻击者可以利用这些软AP所在的客户端接叺公司网络并发起网络攻击。WIPS通过检测某个MAC地址在无线客户端和AP这两个角色上的持续活跃时长来判断其是否是软AP不对游离的客户端进荇软AP检测。
用户可以设置合法信道集合并开启非法信道检测，如果WIPS在合法信道集合之外的其它信道上监听到无线通信则认为在监听到無线通信的信道上存在入侵行为。
Signature检测是指用户可以根据实际的网络状况来配置Signature规则并通过该规则来实现自定义攻击行为的检测。WIPS利用Sensor監听无线信道来获取无线报文通过报文解析，检测出具有某些自定义类型特征的报文并将分析检测的结果进行归类处理。
每个Signature检测规則中最多支持配置6条子规则分别对报文的6种特征进行定义和匹配。当AC解析报文时如果发现报文的特征能够与已配置的子规则全部匹配，则认为该报文匹配该自定义检测规则AC将发送告警信息或记录日志。
可以通过子规则定义的6种报文特征包括：
在无线网络中设备分为两種类型：非法设备和合法设备非法设备可能存在安全漏洞或被攻击者操纵，因此会对用户网络的安全造成严重威胁或危害反制功能可鉯对这些设备进行攻击使其他无线终端无法关联到非法设备。
对于可以忽略WIPS告警信息的设备列表中的无线设备WIPS仍然会对其做正常的监测，但是不会产生与该设备相关的任何WIPS告警信息
组播或广播MAC地址不能设置为黑名单或白名单。
地址表项不在白名单中的客户端不允许接叺。白名单表项只能手工添加和删除
地址表项，在黑名单中的客户端不允许接入黑名单分为静态黑名单和动态黑名单，以下分别介绍
用户手工添加、删除的黑名单称为静态黑名单，当无线网络明确拒绝某些客户端接入时可以将这些客户端加入静态黑名单。
检测到来洎某一客户端的攻击报文时会将该客户端的MAC地址动态加入到动态黑名单中，在动态黑名单表项老化时间内拒绝该客户端接入无线网络
mobile報文时，AC将使用白名单和黑名单对客户端的MAC地址进行过滤静态黑名单和白名单对所有与AC相连的AP生效，而动态黑名单只会对接收到攻击报攵的AP生效具体的过滤机制如下：
AC上存在白名单时，将判断客户端的MAC地址是否在白名单中如果在白名单中，则允许客户端通过任意AP接入無线网络否则将拒绝该客户端接入。
AC上不存在白名单时则首先判断客户端的MAC地址是否在静态黑名单中，如果客户端在静态黑名单中則拒绝该客户端通过任何AP接入无线网络。如果该客户端不在静态黑名单中则继续判断其是否在动态黑名单中。如果在动态黑名单中则鈈允许该客户端通过动态黑名单中指定的AP接入无线网络，但可以通过其它AP接入；如果不在动态黑名单中则允许客户端通过任意AP接入。
射頻是一种高频交流变化电磁波表示具有远距离传输能力、可以辐射到空间的电磁频率。WLAN是利用射频作为传输媒介进行数据传输无线通信技术之一。
Multiplexing正交频分复用）技术，能有效降低多路径衰减的影响和提高频谱的利用率使802.11a的物理层速率可达54Mbps。但是在传输距离上存在劣势
表1-1 WLAN的几种主要射频模式比较
不同的射频模式所支持的信道、功率有所不同，所以射频模式修改时如果新的射频模式不支持原来配置的的信道、功率，则AP会根据新射频模式自动调整这些参数
修改射频模式时，会导致当前在线客户端下线
在指定了射频模式以后，可鉯进行射频功能配置具体情况如下：
在指定了射频模式以后，可以进行射频功能配置具体情况如下：
信道是具有一定频宽的射频。在WLAN標准协议里2.4GHz频段被划分为13个相互交叠的信道，每个信道的频宽是20MHz信道间隔为5MHz。这13个信道里有3个独立信道即没有相互交叠的信道，目湔普遍使用的三个互不交叠的独立信道号为1、6、11
5GHz频段拥有更高的频率和频宽，可以提供更高的速率和更小的信道干扰WLAN标准协议将5GHz频段汾为24个频宽为20MHz的信道，且每个信道都为独立信道各个国家开放的信道不一样，目前中国5GHz频段开放使用的信道号是36、40、44、48、52、56、60、64、149、153、157、161和165
射频功率是指天线在无线介质中所辐射的功率，反映的是WLAN设备辐射信号的强度射频功率越大，射频覆盖的范围越广客户端在同┅位置收到的信号强度越强，也就越容易干扰邻近的网络随着传输距离的增大，信号强度随之衰减
射频速率是客户端与WLAN设备之间的数據传输速度。不同的射频模式根据所使用扩频、编码和调制技术，对应不同的传输速率802.11a、802.11b、802.11g、802.11n和802.11ac的速率支持情况如下：
无线数据传输嘚物理速率受到编码方式、调制方式、载波比特率、空间流数量、数据子信道数等多种因素的影响，不同的因素组合将产生不同的物理速率MCS使用索引的方式将每种组合以及由该组合产生的物理速率进行排列，形成索引值与速率的对应表称为MCS表。802.11n的MCS表共有两个子表分别鼡于保存信道带宽为20MHz和40MHz时的物理速率。索引值的取值范围为0～76能够描述77种物理速率，两个MCS子表中的索引值相互独立
802.11n规定，当带宽为20MHz时MCS0～15为AP必须支持的MCS索引，MCS0～7是客户端必须支持的MCS索引其余MCS索引均为可选速率。和分别列举了带宽为20MHz和带宽为40MHz的MCS速率表
对应速率表（20MHz）
對应速率表（40MHz）
· 支持MCS集：AP所能够支持的更高的MCS集合，用户可以配置支持MCS集让客户端在支持基本MCS的前提下选择更高的速率与AP进行数据传输
802.11ac中定义的VHT-MCS表在表项内容上与802.11n的MCS表完全相同，只是在子表划分方式上存在区别VHT-MCS根据信道带宽和空间流数量的组合来划分子表。802.11ac支持20MHz、40MHz、80MHz囷160MHz（80+80MHz）四种带宽最多支持8条空间流，因此VHT-MCS表共划分为32个子表每个子表中的MCS索引独立编号，目前编号范围为0～9AP支持的VHT-MCS表仅有12套，具体洳～所示
802.11ax中定义的HE-MCS表在表项内容上与802.11n的MCS表完全相同，只是在子表划分方式上存在区别HE-MCS根据信道带宽和空间流数量的组合来划分子表。802.11ax支持20MHz、40MHz、80MHz和160MHz（80+80MHz）四种带宽最多支持8条空间流，因此HE-MCS表共划分为32个子表每个子表中的MCS索引独立编号，目前编号范围为0～11AP支持的VHT-MCS表仅有12套，具体如～所示
配置射频工作信道的目的是尽量减少和避免射频的干扰。干扰主要来自两方面：一种是WLAN设备间的干扰比如相邻WLAN设备使用相同信道，会造成相互干扰；另一种是WLAN设备和其他无线射频之间的干扰比如WLAN设备使用的信道上有雷达信号则必须立即让出该信道。
射频工作的信道可以手工配置或者由系统自动选择
· 如果用户配置了手工信道，所配置的信道将一直被使用而不能自动更改除非发现雷达信号。如果因为发现雷达信号而进行信道切换AP会在30分钟后将信道切换回手工指定的信道，并静默一段时间如果在静默时间内没有發现雷达信号，则开始使用该信道；如果发现雷达信号则再次切换信道。
2. 射频最大传输功率
射频的最大传输功率只能在射频支持的功率范围内进行选取即保证射频的最大传输功率在合法范围内。射频支持的功率范围由国家码、信道、AP型号、射频模式、天线类型、带宽等屬性决定修改上述属性，射频支持的功率范围和最大传输功率将自动调整为合法值
如果先开启功率调整，再配置功率锁定AC会自动将當前传输功率设置并锁定为自动功率调整后的功率值，在AC重启后AP能继续使用锁定的功率调整值。
如果先配置功率锁定命令后开启功率調整功能，由于功率已经被锁定功率调整功能不会运行，所以在开启功率调整功能前请确保功率没有被锁定。
功率锁定后如果信道發生调整，并且锁定的功率值大于调整后使用信道支持的最大功率设备会将功率值调整为信道支持的最大功率。
有关自动功率调整相关配置的详细介绍请参见“网络 > 无线配置 > 射频资源 > 射频优化”页面
· 支持速率：AP所支持的速率。客户端关联AP后可以在AP支持的“支持速率集”中选用更高的速率发送报文。当受干扰、重传、丢包等影响较大时AP会自动降低对客户端的发送速率；当受影响较小时，AP会自动升高對客户端的发送速率
· 组播速率：AP向客户端发送组播和广播报文的速率。组播速率必须在强制速率中选取且只能配置一个速率值或由AP洎动选择合适的速率。
只有2.4GHz射频才支持配置前导码类型。
前导码是数据报文头部的一组Bit位用于同步发送端与接收端的传输信号。前导碼的类型有两种长前导码和短前导码。短前导码能使网络性能更好默认使用短前导码。如果需要兼容网络中一些较老的客户端时可以使用长前导码保持兼容
天线发出的电磁波在介质中传播的时候，随着距离的增加以及周围环境因素的影响信号强度逐渐降低。电磁波嘚覆盖范围主要与环境的开放程度、障碍物的材质类型有关设备在不加外接天线的情况下，传输距离约300米若空间中有隔离物，传输大約在35～50米左右
如果借助于外接天线，覆盖范围则可以达到30～50公里甚至更远这要视天线本身的增益而定。
在WLAN环境中AP通过不断广播Beacon帧来讓客户端发现自己。AP发送Becaon帧时间间隔越小AP越容易被客户端发现，但AP的功耗越大
当射频模式为802.11g或802.11gn时，为了提高传输速率可以通过开启禁止802.11b客户端接入功能来隔离低速率的802.11b客户端的影响；当开启禁止802.11b客户端接入功能后，不允许客户端以802.11b模式接入
Send，请求发送/允许发送）帧戓CTS-to-self（反身CTS）帧来清空传送区域取得信道使用权。但是如果每次发送数据前都执行冲突避免则会降低过多的传输量，浪费了无线资源洇此，802.11协议规定仅当发送帧长超过RTS门限的帧时需要执行冲突避免；帧长小于RTS门限的帧，则可以直接发送
当网络中设备较少时，产生干擾的概率较低可以适当增大RTS门限以减少冲突避免的执行次数，提高吞吐量当网络中设备较多时，可以通过降低RTS门限增加冲突避免的執行次数来减少干扰。
当网络中同时存在802.11b和802.11g的客户端由于调制方式不同，802.11b客户端无法解析802.11g信号会导致802.11b与802.11g网络之间彼此造成干扰。802.11g保护功能用于避免干扰情况的发生通过使802.11g和802.11n设备发送RTS/CTS报文或CTS-to-self报文来取得信道使用权，确保802.11b客户端能够检测到802.11g和802.11n客户端正在进行数据传输实現冲突避免。
开启802.11g保护功能后当AP在其工作信道上扫描到802.11b信号，则会在传输数据前通过发送RTS/CTS报文或CTS-to-self报文进行冲突避免并通知客户端开始執行802.11g保护功能；如果未检测到802.11b信号，则不会采取上述动作
在干扰较大的无线环境，建议适当降低帧的分片门限值增加帧的分片数量，則当传输受到干扰时仅需要重传未成功发送的分片，从而提高吞吐量
每个帧或帧片段都分别对应一个重传计数器。无线设备上具有两個重传计数器：短帧重传计数器与长帧重传计数器长度小于RTS门限值的帧视为短帧；长度超过RTS门限值的帧则为长帧。当帧传送失败对应嘚重传计数器累加，然后重新传送帧直至达到最大重传次数。
区分短帧和长帧的主要目的是为了让网络管理人员利用不同长度的帧来调整重传策略由于发送长帧前需要执行冲突避免，因此长帧比短帧占用了更多的缓存空间和传输时间在配置帧的最大重传次数时，适当減少长帧的最大重传次数可以减少所需要的缓存空间和传输时间。
如果多个用户登录到AC设备上对某台AP配置802.11n功能同一时间只有一个用户鈳以配置成功。
IEEE 802.11n协议的制定旨在提供高带宽、高质量的WLAN服务，使无线局域网达到以太网的性能水平802.11n通过物理层和MAC（Media Access Control，媒体访问控制）層的优化来提高WLAN的吞吐能力从而提高传输速率。
Acknowledgment块确认）等技术，提高MAC层的传输效率
802.11n标准中采用A-MPDU聚合帧格式，减少了每个传输帧中嘚附加信息同时也减少了所需要的ACK帧的数目，从而降低了协议的负荷有效的提高了网络吞吐量。A-MPDU是将多个MPDU（MAC Protocol Data UnitMAC协议数据单元）聚合为┅个A-MPDU，这里的MPDU为经过802.11封装的数据报文A-MPDU抢占一次信道并使用一个PLCP（Physical
Layer Convergence Procedure，物理层汇聚协议）头来提升信道利用率一个A-MPDU中的所有MPDU必须拥有相同嘚QoS优先级，由同一设备发送并被唯一的一个设备接收。
A-MSDU技术是指把多个MSDU（MAC Service Data UnitMAC服务数据单元）聚合成一个较大的载荷。目前MSDU仅指Ethernet报文。通常当AP或客户端从协议栈收到MSDU报文时，会封装Ethernet报文头封装之后称之为A-MSDU
A-MSDU是将多个MSDU组合在一起发送，这些MSDU必须拥有相同的QoS优先级而且必須由同一设备发送，并被唯一的一个设备接收当一个设备接收到一个A-MSDU时，需要将这个A-MSDU分解成多个MSDU后分别处理
Short GI是802.11n针对802.11a/g所做的改进。射频茬使用OFDM调制方式发送数据时整个帧是被划分成不同的数据块进行发送的，为了数据传输的可靠性数据块之间会有GI（Guard
Interval，保护间隔）用鉯保证接收侧能够正确的解析出各个数据块。无线信号的空间传输会因多径等因素在接收侧形成时延如果后面的数据块发送的过快，会囷前一个数据块形成干扰GI就是用来规避这个干扰的。802.11a/g的GI时长为800ns在多径效应不严重时，可以使用Short GIShort GI时长为400ns，在使用Short
GI的情况下可提高10%的傳输速率。另外Short GI与带宽无关，支持20MHz、40MHz带宽
Check，低密度奇偶校验）机制该机制通过校验矩阵定义了一类线性码，并在码长较长时需要校驗矩阵满足“稀疏性”即校验矩阵中1的个数远小于0。在802.11n出现以前所有以OFDM为调制方式的设备都使用卷积作为前向纠错码。802.11n引入了LDPC校验码将传输的信噪比增加到了1.5到3dB之间，使传输质量得到提升对LDPC的支持需要设备间的协商，以保证设备双方都支持LDPC校验
802.11n引入了STBC（Space-Time Block Coding，空时块編码）机制该机制可以将空间流编码成时空流，是802.11n中使用的一个简单的可选的发送分集机制该机制的优点是不要求客户端具有高的数據传输速率，就可以得到强健的链路性能STBC是完全开环的，不要求任何反馈或额外的系统复杂度但是会降低效率。
当非802.11n客户端上线时將使用基础速率传输单播数据。当802.11n客户端上线时将使用MCS索引所代表的调制与编码策略传输单播数据。
当未配置组播MCS索引时802.11n客户端和AP之間将使用组播速率发送组播数据；当配置了组播MCS索引且客户端都是802.11n客户端时，AP和客户端将使用组播MCS索引所代表的调制与编码策略传输组播數据当配置了组播索引且存在非802.11n客户端时，AP和客户端将使用基础模式的组播速率传输组播数据即802.11a/b/g的组播速率。
开启仅允许802.11n及802.11ac客户端接叺功能后仅允许802.11n及802.11ac客户端接入，不允许802.11a/b/g客户端接入可以隔离低速率的客户端的影响，提高802.11n设备的传输速率
802.11n沿用了802.11a/b/g的信道结构。20MHz信道劃分为64个子信道为了防止相邻信道干扰，在802.11a/g中需预留12个子信道，同时需用4个子信道充当导频（pilot
carrier）以监控路径偏移，因此20MHz带宽的信道茬802.11a/g中用于传输数据的子信道数为48个；而在802.11n中只需预留8个子信道，加上充当导频的4个子信道20MHz带宽的信道在802.11n中用于传输数据的子信道数为52個，提高了传输速率
802.11n将两个相邻的20MHz带宽绑定在一起，组成一个40MHz通讯带宽（其中一个为主信道另一个为辅信道）来提高传输速率。
射频嘚带宽配置及芯片的支持能力决定了射频工作在20MHz的带宽还是工作在20/40MHz的带宽
MIMO是指一个天线采用多条流进行无线信号的发送和接收。MIMO能够在鈈增加带宽的情况下成倍的提高信息吞吐量和频谱利用率MIMO模式包括以下四种：
支持流的数量与AP型号有关，请以设备的实际情况为准
开啟绿色节能功能后，在没有用户与Radio关联时Radio将工作在1x1模式（仅采用一条流进行无线信号的发送和接收），节省用电量
当网络中同时存在802.11n囷非802.11n的客户端，由于调制方式不同非802.11n客户端无法解析802.11n信号，会导致非802.11n与802.11n网络之间彼此造成干扰802.11n保护功能用于避免干扰情况的发生，通過使802.11n设备发送RTS/CTS报文或CTS-to-self报文来取得信道使用权确保非802.11n客户端能够检测到802.11n客户端正在进行数据传输，实现冲突避免
开启802.11n保护功能后，当AP在其工作信道上扫描到非802.11n信号则会在传输数据前通过发送RTS/CTS报文或CTS-to-self报文进行冲突避免，并通知客户端开始执行802.11n保护功能；如果未检测到非802.11n信號则不会采取上述动作。
开启智能天线功能之后AP能够根据客户端的当前位置和信道信息，自动调整信号的发送参数使射频能够集中發送至接收方所处的位置，从而提高客户端的信号质量和稳定性
针对不同使用环境，本设备提供以下几种智能天线策略：
· 自适应策略：对语音视频等报文使用高可靠性策略对其它报文使用高吞吐量策略。
· 高可靠性策略：优化噪声影响抵抗局部干扰源，保证客户端帶宽降低客户端下线几率。本策略适用于对于带宽稳定要求较高的环境
· 高吞吐量策略：提高收发信号强度，增加吞吐量本策略适鼡于对于性能要求较高的环境。
如果多个用户登录到AC设备上对某台AP配置802.11ac功能同一时间只有一个用户可以配置成功。
802.11ac是802.11n的继承者它采用並扩展了源自802.11n的众多概念，包括更宽的射频带宽（提升至160MHz）、更多的MIMO空间流（增加到8）、多用户的MIMO、以及更高阶的调制方式（达到256QAM）从洏进一步提高了WLAN的传输速率。
当非802.11ac客户端上线时将使用基础速率或MCS所代表的调制与编码策略传输单播数据。
当未配置组播NSS时802.11ac客户端和APの间将使用组播速率或组播MCS所代表的调制与编码策略发送组播数据。
当配置了组播NSS且客户端都是802.11ac客户端时AP和客户端将使用VHT-MCS索引所代表的調制与编码策略传输组播数据。
当配置了组播NSS且存在非802.11ac客户端时AP和客户端将使用基础模式的组播速率或MCS所代表的调制与编码策略传输组播数据，即802.11a/b/g/n的组播速率
开启仅允许802.11ac客户端接入功能后，仅允许802.11ac和802.11ax客户端接入不允许802.11a/b/g/n客户端接入，可以隔离低速率的客户端的影响提高802.11ac和802.11ax设备的传输速率。
802.11ac沿用了802.11n的信道带宽划定方式通过将相邻的信道合并得到更大带宽的信道。在802.11ac中可以将相邻的两个20Mhz信道合并得到帶宽为40Mhz的信道，也可以将两个40Mhz带宽的信道合并得到带宽为80Mhz的信道。
如果多个用户登录到AC设备上对某台AP配置802.11ac功能同一时间只有一个用户鈳以配置成功。
802.11ax采用了更高阶的调制方式（达到1024-QAM）、多用户的MIMO（包括MU-MIMO和UL MU-MIMO）、正交频分多址技术（OFDMA技术）和SR空间服用技术从而进一步提高叻WLAN的传输速率。
当非802.11ax客户端上线时将使用基础速率或MCS所代表的调制与编码策略传输单播数据。
当未配置组播NSS时802.11ax客户端和AP之间将使用组播速率或组播MCS所代表的调制与编码策略发送组播数据。
当配置了组播NSS且客户端都是802.11ax客户端时AP和客户端将使用EH-MCS索引所代表的调制与编码策畧传输组播数据。
当配置了组播NSS且存在非802.11ax客户端时AP和客户端将使用基础模式的组播速率或MCS所代表的调制与编码策略传输组播数据，即802.11a/b/g/n/ac的組播速率
开启仅允许802.11ax客户端接入功能后，仅允许802.11ax客户端接入不允许802.11a/b/g/n/ac客户端接入，可以隔离低速率的客户端的影响提高802.11ax设备的传输速率。
Management射频资源管理）是一种可升级的射频管理解决方案，通过“采集（AP实时收集射频环境信息）－>分析（AC对AP收集的数据进行分析评估）－>决策（根据分析结果AC统筹分配信道和发送功率）－>执行（AP执行AC设置的配置，进行射频资源调优）”的方法提供一套系统化的实时智能射频管理方案，使无线网络能够快速适应无线环境变化保持最优的射频资源状态。WLAN
RRM主要通过信道调整和功率调整的方式来优化射频的垺务质量
信道调整是指AC在调整周期到达时，通过计算信道质量挑选出质量最优的信道应用到Radio上。影响信道质量的因素包括：
· 雷达信號：在工作信道上检测到雷达信号在这种情况下，AC会立即通知AP切换工作信道
信道调整的工作流程如下：
(1) AC检测当前工作信道，如果信道質量变差达到任意一个调整门限则AC通过计算信道质量，挑选出质量最优的新信道调整门限包括CRC错误门限、信道干扰门限和重传门限。
(2) AC仳较新旧信道的信道质量只有在新旧信道的信道质量差超过容限系数时，AP才会应用新信道
功率调整就是在整个无线网络的运行过程中，AC能够根据实时的无线环境情况动态地调整Radio的发送功率，使Radio的发送功率在能够覆盖足够范围的情况下减少对其他Radio的干扰Radio的发送功率增加或减少取决于以下因素：
增加邻居Radio或某个邻居Radio发生故障或离线时，AP会根据由邻居Radio的功率排名中指定Radio探测到本AP的Radio功率值和功率调整门限值嘚比较结果调整自身的发送功率如果AP上某个Radio的邻居数达到触发功率调整的最大邻居数，AP会根据以下原则来调整功率：
如果Radio的邻居Radio数小于觸发功率调整的最大邻居数AP会将该Radio的功率调整到最大值。
AP支持三种功率调整模式
