商超物联网~配置学生健康与安全

程序员--青青

于 2024-07-21 20:00:00 发布

阅读量366

点赞数 13

文章标签：安全网络

本文链接：https://blog.csdn.net/ZL_1618/article/details/140530354

版权

配置学生健康与安全示实验

作者：知孤云出岫

作者主页：点击这里

组网图形

图1 配置学生健康与安全示例组网图

业务需求
组网需求
数据规划
配置思路
配置注意事项
操作步骤
配置文件

业务需求

某学校由于重视学生的健康与安全，希望能够通过技术手段监控和查看学生平时的健康与安全信息。

为实现学校需求，可以采用学生健康与安全物联网方案，与WLAN网络复用同一网络。

组网需求

AC组网方式：旁挂二层组网。
DHCP部署方式：AC作为DHCP服务器为AP和STA分配IP地址。
业务数据转发方式：直接转发。

数据规划

表1 AC数据规划表配置项	数据
管理VLAN	VLAN100
业务VLAN	VLAN101
AC的源接口	VLANIF100
DHCP服务器	AC作为DHCP服务器为AP和STA分配IP地址
STA的IP地址池	10.23.101.2～10.23.101.254/24
AP组

名称：ap-group1
引用模板：VAP模板wlan-net、域管理模板default
IoT插卡接口对应的本端TCP端口号：50200

域管理模板 |

名称：default
国家码：CN

SSID模板 |

名称：wlan-net
SSID名称：wlan-net

安全模板 |

名称：wlan-net
安全策略：WPA-WPA2+PSK+AES
密码：a1234567

VAP模板 |

名称：wlan-net
转发模式：直接转发
业务VLAN：VLAN101
引用模板：SSID模板wlan-net、安全模板wlan-net

IoT模板 |

名称：wlan-iot
上位机的IP地址：10.23.200.1
上位机的端口号：3000
代理信任主机：10.23.102.253/255.255.255.0
共享密钥：aabb0011@11

配置思路

配置AP、Switch、AC和上位机之间的网络互通。
配置AC作为DHCP服务器为AP和STA分配IP地址。
配置AP上线。
配置WLAN覆盖业务。
配置AP与上位机的通信参数。
在上位机上添加AP的IP地址并配置与AP一致的共享密钥。

配置注意事项

纯组播报文由于协议要求在无线空口没有ACK机制保障，且无线空口链路不稳定，为了纯组播报文能够稳定发送，通常会以低速报文形式发送。如果网络侧有大量异常组播流量涌入，则会造成无线空口拥堵。为了减小大量低速组播报文对无线网络造成的冲击，建议配置组播报文抑制功能。配置前请确认是否有组播业务，如果有，请谨慎配置限速值。
- 业务数据转发方式采用直接转发时，建议在直连AP的交换机接口上配置组播报文抑制。
- 业务数据转发方式采用隧道转发时，建议在AC的流量模板下配置组播报文抑制。
建议在与AP直连的设备接口上配置端口隔离，如果不配置端口隔离，尤其是业务数据转发方式采用直接转发时，可能会在VLAN内形成大量不必要的广播报文，导致网络阻塞，影响用户体验。
隧道转发模式下，管理VLAN和业务VLAN不能配置为同一VLAN，且AP和AC之间只能放通管理VLAN，不能放通业务VLAN。
V200R021C00版本开始，配置CAPWAP源接口或源地址时，会检查和安全相关的配置是否已存在，包括DTLS加密的PSK、AC间DTLS加密的PSK、登录AP的用户名和密码、全局离线管理VAP的登录密码，均已存在才能成功配置，否则会提示用户先完成相关的配置。
V200R021C00版本开始，AC默认开启CAPWAP控制隧道的DTLS加密功能。开启该功能，添加AP时AP会上线失败，此时需要先开启CAPWAP DTLS不认证方式（capwap dtls no-auth enable ）让AP上线，以便AP获取安全凭证，AP上线后应及时关闭该功能（undo capwap dtls no-auth enable ），避免未授权AP上线。

操作步骤

1.配置交换机和AC，使AP与AC之间互通

# 配置接入交换机Switch。将Switch的接口GE0/0/1～GE0/0/4加入VLAN100（管理VLAN）和VLAN101（业务VLAN）。
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 100 to 101
[Switch] interface gigabitethernet 0/0/1
[Switch-GigabitEthernet0/0/1] port link-type trunk
[Switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 100 to 101
[Switch-GigabitEthernet0/0/1] quit
[Switch] interface gigabitethernet 0/0/2
[Switch-GigabitEthernet0/0/2] port link-type trunk
[Switch-GigabitEthernet0/0/2] port trunk pvid vlan 100
[Switch-GigabitEthernet0/0/2] port trunk allow-pass vlan 100 to 101
[Switch-GigabitEthernet0/0/2] quit
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] port link-type trunk
[Switch-GigabitEthernet0/0/3] port trunk pvid vlan 100
[Switch-GigabitEthernet0/0/3] port trunk allow-pass vlan 100 to 101
[Switch-GigabitEthernet0/0/3] quit
[Switch] interface gigabitethernet 0/0/4
[Switch-GigabitEthernet0/0/4] port link-type trunk
[Switch-GigabitEthernet0/0/4] port trunk pvid vlan 100
[Switch-GigabitEthernet0/0/4] port trunk allow-pass vlan 100 to 101
[Switch-GigabitEthernet0/0/4] quit
# 配置AC。配置接口GE0/0/1加入VLAN100、VLAN101。

<HUAWEI> system-view
[HUAWEI] sysname AC
[AC] vlan batch 100 to 101
[AC] interface gigabitethernet 0/0/1
[AC-GigabitEthernet0/0/1] port link-type trunk
[AC-GigabitEthernet0/0/1] port trunk allow-pass vlan 100 101
[AC-GigabitEthernet0/0/1] quit

配置AP与服务器之间的互通。

请根据实际组网情况配置路由，保证AP与上位机间网络互通。

配置AC作为DHCP服务器，为AP和STA分配IP地址

配置基于接口地址池的DHCP服务器。

DNS服务器地址请根据实际需要配置。常用配置方法如下：
接口地址池场景，需要在VLANIF接口视图下执行命令dhcp server dns-list ip-address &<1-8>。
全局地址池场景，需要在IP地址池视图下执行命令dns-list ip-address &<1-8>。
[AC] dhcp enable
[AC] interface vlanif 100
[AC-Vlanif100] ip address 10.23.100.1 24
[AC-Vlanif100] dhcp select interface
[AC-Vlanif100] quit
[AC] interface vlanif 101
[AC-Vlanif101] ip address 10.23.101.1 24
[AC-Vlanif101] dhcp select interface
[AC-Vlanif101] quit

配置AP上线

创建AP组，用于将相同配置的AP都加入同一AP组中。

[AC] wlan
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] quit
# 创建域管理模板，在域管理模板下配置AC的国家码并在AP组下引用域管理模板。
[AC-wlan-view] regulatory-domain-profile name default
[AC-wlan-regulate-domain-default] country-code cn
[AC-wlan-regulate-domain-default] quit
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] regulatory-domain-profile default
Warning: Modifying the country code will clear channel, power and antenna gain configurations of the radio and reset the AP. Continue?[Y/N]:y  
[AC-wlan-ap-group-ap-group1] quit
[AC-wlan-view] quit
# 配置AC的源接口。
[AC] capwap source interface vlanif 100
# 在AC上离线导入AP，并将AP加入AP组“ap-group1”中。根据AP的部署位置为AP配置名称，便于从名称上就能够了解AP的部署位置。例如MAC地址为60de-4476-e360的AP部署在教室内，命名为room_1；MAC地址为60de-4476-e460和60de-4476-e560的AP分别部署在校门内外侧，命名为door_1和door_2。
ap auth-mode命令缺省情况下为MAC认证，如果之前没有修改其缺省配置，可以不用执行ap auth-mode mac-auth。

举例中使用的AP为AP4050DN-E，具有射频0和射频1两个射频。

[AC] wlan
[AC-wlan-view] ap auth-mode mac-auth
[AC-wlan-view] ap-id 0 ap-mac 60de-4476-e360
[AC-wlan-ap-0] ap-name room_1
Warning: This operation may cause AP reset. Continue? [Y/N]:y
[AC-wlan-ap-0] ap-group ap-group1
Warning: This operation may cause AP reset. If the country code changes, it will clear channel, power and antenna gain configuration s of the radio, Whether to continue? [Y/N]:y  
[AC-wlan-ap-0] quit
[AC-wlan-view] ap-id 1 ap-mac 60de-4476-e460
[AC-wlan-ap-1] ap-name door_1
Warning: This operation may cause AP reset. Continue? [Y/N]:y
[AC-wlan-ap-1] ap-group ap-group1
Warning: This operation may cause AP reset. If the country code changes, it will clear channel, power and antenna gain configuration s of the radio, Whether to continue? [Y/N]:y  
[AC-wlan-ap-1] quit
[AC-wlan-view] ap-id 2 ap-mac 60de-4476-e560
[AC-wlan-ap-2] ap-name door_2
Warning: This operation may cause AP reset. Continue? [Y/N]:y
[AC-wlan-ap-2] ap-group ap-group1
Warning: This operation may cause AP reset. If the country code changes, it will clear channel, power and antenna gain configuration s of the radio, Whether to continue? [Y/N]:y  
[AC-wlan-ap-2] quit
# 将AP上电后，当执行命令display ap all查看到AP的“State”字段为“nor”时，表示AP正常上线。

[AC-wlan-view] display ap all
Total AP information:
nor  : normal          [3]
ExtraInfo : Extra information     
P  : insufficient power supply 
----------------------------------------------------------------------------------------------
ID   MAC            Name   Group     IP            Type            State STA Uptime ExtraInfo
----------------------------------------------------------------------------------------------
0    60de-4476-e360 room_1 ap-group1 10.23.100.254 AP4050DN-E      nor   0   51S    -
1    60de-4476-e460 door_1 ap-group1 10.23.100.253 AP4050DN-E      nor   0   45S    -
2    60de-4476-e560 door_2 ap-group1 10.23.100.252 AP4050DN-E      nor   0   25S    -
----------------------------------------------------------------------------------------------
Total: 3

配置WLAN覆盖业务

创建名为“wlan-net”的安全模板，并配置安全策略。

举例中以配置WPA-WPA2+PSK+AES的安全策略为例，密码为“a1234567”，实际配置中请根据实际情况，配置符合实际要求的安全策略。

[AC-wlan-view] security-profile name wlan-net
[AC-wlan-sec-prof-wlan-net] security wpa-wpa2 psk pass-phrase a1234567 aes
[AC-wlan-sec-prof-wlan-net] quit
# 创建名为“wlan-net”的SSID模板，并配置SSID名称为“wlan-net”。
[AC-wlan-view] ssid-profile name wlan-net
[AC-wlan-ssid-prof-wlan-net] ssid wlan-net
[AC-wlan-ssid-prof-wlan-net] quit
# 创建名为“wlan-net”的VAP模板，配置业务数据转发模式、业务VLAN，并且引用安全模板和SSID模板。
[AC-wlan-view] vap-profile name wlan-net
[AC-wlan-vap-prof-wlan-net] forward-mode direct-forward
[AC-wlan-vap-prof-wlan-net] service-vlan vlan-id 101
[AC-wlan-vap-prof-wlan-net] security-profile wlan-net
[AC-wlan-vap-prof-wlan-net] ssid-profile wlan-net
[AC-wlan-vap-prof-wlan-net] quit
# 配置AP组引用VAP模板，AP上射频0和射频1都使用VAP模板“wlan-net”的配置。
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] vap-profile wlan-net wlan 1 radio 0
[AC-wlan-ap-group-ap-group1] vap-profile wlan-net wlan 1 radio 1
[AC-wlan-ap-group-ap-group1] quit

配置AP与上位机的通信参数

[AC-wlan-view] iot-profile name wlan-iot
[AC-wlan-iot-prof-wlan-iot] management-server server-ip 10.23.200.1 server-port 3000
[AC-wlan-iot-prof-wlan-iot] config-agent permit ip-address 10.23.102.253 255.255.255.0
[AC-wlan-iot-prof-wlan-iot] share-key aabb0011@11
[AC-wlan-iot-prof-wlan-iot] quit
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] card 1
[AC-wlan-group-card-ap-group1/1] iot-profile wlan-iot config-agent tcp port 50200
[AC-wlan-group-card-ap-group1/1] quit
[AC-wlan-ap-group-ap-group1] quit
在上位机上添加AP的IP地址并配置与AP一致的共享密钥
检查配置结果

WLAN业务配置会自动下发给AP。配置完成后，通过执行命令display vap ssid wlan-net查看如下信息，当“Status”项显示为“ON”时，表示AP对应的射频上的VAP已创建成功。

[AC-wlan-view] display vap ssid wlan-net
WID : WLAN ID
--------------------------------------------------------------------------------
AP ID AP name RfID WID    BSSID          Status  Auth type     STA   SSID
--------------------------------------------------------------------------------
0     room_1  0    1      60DE-4476-E360 ON      WPA/WPA2-PSK  1     wlan-net
0     room_1  1    1      60DE-4476-E370 ON      WPA/WPA2-PSK  0     wlan-net
0     door_1  0    1      60DE-4476-E460 ON      WPA/WPA2-PSK  1     wlan-net
0     door_1  1    1      60DE-4476-E470 ON      WPA/WPA2-PSK  0     wlan-net
0     door_2  0    1      60DE-4476-E560 ON      WPA/WPA2-PSK  1     wlan-net
0     door_2  1    1      60DE-4476-E570 ON      WPA/WPA2-PSK  0     wlan-net
------------------------------------------------------------------------------------
Total: 6
# 查看IoT模板的配置信息。
[AC-wlan-view] display iot-profile name wlan-iot
--------------------------------------------------------------------------------
Type                             : common
Agent permit IP address          : 10.23.102.253
Agent permit net-mask            : 255.255.255.0
Management server IP address     : 10.23.200.1
Management server port           : 3000
ExtManagement server IP address  : -
ExtManagement server port        : -
Share key                        : ******
--------------------------------------------------------------------------------

配置文件

接入交换机的配置文件
```
#
```
sysname Switch

vlan batch 100 to 101

interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 100 to 101

interface GigabitEthernet0/0/2
port link-type trunk
port trunk pvid vlan 100
port trunk allow-pass vlan 100 to 101

interface GigabitEthernet0/0/3
port link-type trunk
port trunk pvid vlan 100
port trunk allow-pass vlan 100 to 101

interface GigabitEthernet0/0/4
port link-type trunk
port trunk pvid vlan 100
port trunk allow-pass vlan 100 to 101

return
AC的配置文件
```
#
```
sysname AC

vlan batch 100 to 101

dhcp enable

interface Vlanif100
ip address 10.23.100.1 255.255.255.0
dhcp select interface

interface Vlanif101
ip address 10.23.101.1 255.255.255.0
dhcp select interface

interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 100 101

capwap source interface vlanif100

wlan
security-profile name wlan-net
security wpa-wpa2 psk pass-phrase %^{%#CU9SYQg[.Vxx;xH%>nwFA.WJ6i/Fm~me>&W%`b/-%}%# aes
ssid-profile name wlan-net
ssid wlan-net
vap-profile name wlan-net
service-vlan vlan-id 101
ssid-profile wlan-net
security-profile wlan-net
regulatory-domain-profile name default
iot-profile name wlan-iot
config-agent permit ip-address 10.23.102.253 255.255.255.0
management-server server-ip 10.23.200.1 server-port 3000
share-key %^{%#vj*JIT.]q%6Q6[VqoHMJHs(5Oss3g3*%@r9Vy%aW%}%#
ap-group name ap-group1
radio 0
vap-profile wlan-net wlan 1
radio 1
vap-profile wlan-net wlan 1
card 1
iot-profile wlan-iot config-agent tcp port 50200
ap-id 0 ap-mac 60de-4476-e360 ap-sn 210235419610D2000066
ap-name room_1
ap-group ap-group1
ap-id 1 ap-mac 60de-4476-e460 ap-sn 210235419610D2000067
ap-name door_1
ap-group ap-group1
ap-id 2 ap-mac 60de-4476-e560 ap-sn 210235419610D2000068
ap-name door_2
ap-group ap-group1

return

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。