观察无线数据转发及CAPWAP隧道建立

数据转发

观察一：本地转发数据封装

转发过程

1. 终端想要去访问外网地址，终端直接封装本地VLANID，源目IP及MAC地址，然后发给所连接AP。
2. AP收到终端发来的数据之后，会把802.11帧转换为802.3以太帧，然后因为数据转发方式是本地转发，所以AP不会对用户的数据包打上CAPWAP的标签， AP会直接根据终端的目标IP发给出口或者网关设备。，此时AP上面用户数据走的是用户所属的VLAN，不经过CAPWAP隧道的转发。
3. 当用户的数据返回时，网关/边界设备收到的数据根据表项把用户的数据发给对应的AP设备，当AP设备收到后，会把以太网帧转换为802.11无线帧，然后把数据发给用户。
4. 在用户开始发送数据到AP，直到请求的数据返回，整个过程，用户的数据不会打上capwap隧道的标签，用户的数据直接通过AP，根据路由转发至网关/边界，然后出外网。返回的过程也是的一样的，AP此时的角色只是转发用户的数据，并不会对用户的数据做出改变。

观察二：集中转发数据封装

转发过程

集中转发是通过AP与AC之间建立capwap隧道，用户的数据通过这个隧道来传输数据的转发方式，因为隧道是AP与AC之间建立的，所以用户的数据一定要经过AC来进行转发。而且隧道是AC与AP的之间的，用户数据传输的时候，实际打的是AP的VLAN IDtang。所以在AC与AP的互联口只需要将端口设置为AP所属的VLAN，用户的数据也是可以正常转发的。

1. 终端在本地封装自己的数据报文，报文包含本机IP，目标IP，vlan id。因为转发方式是集中转发，所以终端会对数据打上capwap数据封装的标签，报文里面有当前连接AP的CAPWAP数据端口号和AC的CAPWAP数据隧道的端口号，AP的IP地址，AC的地址。然后将封装的报文通过空口发给AP。
2. AP收到终端的报文之后，它把802.11帧转换为802.3的以太网帧格式，不会对用户的数据包进行源目IP/MAC进行更改，并且终端所属的VLAN是隐藏在数据报文中的。然后AP会根据AC下发下来的配置信息添加AP本身vlan的标记，然后将数据封装通过cpwap数据隧道UDP端口号10001发给AC。
3. AC收到AP发过来的报文后，会先进行解capwap封装操作还原以太网帧，然后AC再根据收到的数据报文里面的目的IP进行转发到其他的设备。
4. 当用户请求的数据返回来的时候，网关/边界设备会根据相应的表项，把用户的数据转发给AC，然后再由AC来进行解封装，如果是下发给当前关联的AP的话， AC会先对数据进行CAPWAP封装然后再根据数据包的目的MAC，转发给对应的AP设备，AP设备收到发过来的数据包之后，会将802.3的以太网帧，转换为802.11帧，然后再通过无线转发给用户。用户才收到最终的数据。
5. 从用户开始请求资源时，直到用户请求完成关闭连接的整个过程，终端的数据全部都是在AC与AP建立的CAPWAP中进行传输，所有的数据全部经过AC。除此之外不会走其他的通道。

观察三：CAPWAP隧道建立-关闭DTLS

CAPWAP隧道建立的时候，AP请求加入AC发起join request前，会先发起DTLS验证，只有当DTLS验证成功后，才会正式发起加入的请求，DTLS验证后，整个Join过程都是加密的。关闭DTLS后，直接跳过了验证，join过程也都是明文进行交互，通过抓包是可以看到设备的信息的。