CN101888618A - 一种无线局域网中报文的处理方法和设备 - Google Patents

Abstract

本发明公开了一种无线局域网中报文的处理方法和设备，通过采用本发明，AC设备在向接入设备发送有线报文时，需要在该有线报文中携带对应的至少两层VLAN TAG信息，而如果需要对无线客户端进行认证时，AAA服务器只需要根据该至少两层VLAN TAG信息对无线客户端进行认证即可，不需要新增用户身份认证识别机制，提高了用户的使用感受。

Description

一种无线局域网中报文的处理方法和设备

技术领域

本发明涉及通信技术领域，特别是涉及一种无线局域网中报文的处理方法和设备。

背景技术

WLAN(Wireless Local Area Networks，无线局域网)提供了一种局域网的无线连接服务，能够提供高速的无线数据接入，已经广泛应用于城市、企业、楼宇、家庭等各种场所。和传统的有线接入方式相比，无线局域网让网络的使用者更加自由，彻底摆脱了线缆和端口位置的束缚，而且无线局域网使得终端具有便于携带，易于移动等优点，免去或减少了繁杂的网络布线，只需要安放一个或多个AP(Access Point，接入点)设备就可以建立覆盖整个建筑或地区的局域网络。

目前的无线局域网中，有FAT(胖)AP模式、和AC(Access Controller，接入控制器)+FIT(瘦)AP模式，其中，AC+FIT AP由于可管理性强，适于大规模部署，得到了越来越广泛的应用。

在AC+FIT AP模式的组网中，AC与FIT AP(以下均以AP进行描述)之间可以通过专有的协议隧道进行连接，其中，相关的专用协议为CAPWAP(Controlling and Provisioning of Wireless Access Point，无线接入点控制与供应)，CAPWAP协议定义了AP与AC之间如何进行通信，并为实现AP和AC之间的互通性提供了一个通用的封装和传输机制，如图1所示的CAPWAP协议示意图。

具体的，CAPWAP提供了数据隧道来封装AP发往AC的数据包(例如802.11协议的数据包)，在具体的实现上，CAPWAP可以使用LWAPP(Light Weight Access Point Protocol，轻型接入点协议)隧道来实现AC与AP之间的数据传输，如图2所示的LWAPP协议示意图。可以看出，LWAPP隧道的建立使得AP在进行数据转发时，不需要考虑AP与AC之间复杂的路由关系，并使AC与AP之间的联系变得简单。

另外，VLAN(Virtual Local Area Network，虚拟局域网)TAG域中只有12个比特位用于表示VLAN ID，从而使得设备最多可以支持4094个VLAN，而在实际应用中(尤其是在城域网中)，需要大量的VLAN来隔离用户，4094个VLAN远远不能满足需求，为了解决该问题，QinQ(802.1Q in 802.1Q)技术应运而生。其中，QinQ是一种基于802.1Q封装的隧道协议，能够提供点到多点的L2VPN(L2 Virtual Private Network，二层虚拟专用网络)服务机制，该QinQ将用户私网的VLAN TAG封装在公网VLAN TAG中，而最终报文中将携带着两层TAG穿越服务提供商的骨干网络，从而为用户提供一种较为简单的二层VPN隧道。在公网中，设备将只根据外层VLAN TAG来对报文进行转发，而用户的私网VLAN TAG在传输过程中，将被当作报文中的数据部分来进行传输。

基于QinQ的特点，在运营商有线网络中，网管可通过QinQ实现基于位置的用户认证，如图3所示的有线QinQ网络示意图。用户流量(例如，主机2发出报文对应的流量)在楼道交换机(例如，楼道交换机A)上被打上内层VLAN TAG，并在园区交换机(例如，园区交换机M)上被打上外层VLAN TAG。通过为各个交换机分配的固定的VLAN，网管可根据用户流量的双层TAG，确定主机的接入位置。例如，为楼道交换机A分配固定的VLAN 10、为楼道交换机B分配固定的VLAN 11、为楼道交换机C分配固定的VLAN 12、为园区交换机M分配固定的VLAN 14、为园区交换机N分配固定的VLAN15，如果网管根据用户流量得到QinQ信息(即双层VLAN TAG信息)为：外层VLAN TAG为VLAN 14，内层VLAN TAG为VLAN 10，则网管确定主机的接入位置为接入到楼道交换机A，并通过楼道交换机A接入到园区交换机M。

进一步的，由于根据该QinQ信息能够确定主机的接入位置，则运营商的BAS(Broadband Access Server，宽带接入服务器)设备，在向AAA(Authentication Authorization Accounting，认证、授权和计费)服务器进行认证时，可携带上述QinQ信息作为用户身份信息，从而实现基于位置的用户认证。

但是，如果将无线网络的用户认证应用到上述有线网络的通过QinQ实现基于位置的用户认证的场景中时，现有技术中的用户身份需要通过用户名和密码表达，用户的使用感受较差。

发明内容

本发明提供一种无线局域网中报文的处理方法和设备，以在WLAN网络中通过VLAN TAG信息实现基于无线客户端接入位置的用户认证。

为了达到上述目的，本发明提出了一种无线局域网中报文的处理方法，应用于包括无线客户端、接入点AP设备、接入控制器AC设备、接入设备和AAA服务器的系统中，所述AP设备与所述AC设备之间建立了轻型接入点协议LAWPP隧道，且所述LAWPP隧道承载在有线网络中，所述有线网络中包含至少两层交换机，其特征在于，所述方法包括以下步骤：

所述AC设备接收来自所述AP设备的第一LAWPP报文，所述第一LAWPP报文中携带了第一无线报文、所述AP设备添加的LAWPP信息、以及所述至少两层交换机添加的至少两层虚拟局域网VLAN TAG信息；

所述AC设备清除所述第一LAWPP报文中的LAWPP信息和至少两层VLAN TAG信息得到所述第一无线报文；并根据所述LAWPP信息记录所述AP设备与所述至少两层VLAN TAG信息的对应关系；

所述AC设备根据所述第一无线报文确定第一目的接口，将所述第一无线报文转换为第一有线报文；并根据所述第一无线报文获取所述无线客户端接入的AP，根据该接入的AP以及该对应关系查找所述至少两层VLAN TAG信息；

所述AC设备将所述至少两层VLAN TAG信息添加到所述第一有线报文中，并通过所述第一目的接口将携带了所述至少两层VLAN TAG信息的第一有线报文转发给所述接入设备，经由所述接入设备将携带了所述至少两层VLAN TAG信息的第一有线报文转发给AAA服务器进行认证。

根据所述LAWPP信息记录所述AP设备与所述至少两层VLAN TAG信息的对应关系，具体包括：

所述AC设备根据所述LAWPP信息确定所述LAWPP隧道对应的AP设备；

所述AC设备记录所述LAWPP隧道对应的AP设备与所述至少两层VLAN TAG信息的对应关系。

根据所述第一无线报文获取所述无线客户端接入的AP，具体包括：

所述AC设备根据所述第一无线报文中的BSS ID确定为所述无线客户端提供服务的AP为所述无线客户端接入的AP。

所述第一无线报文包括所述无线客户端的认证请求报文；

所述接入设备将携带了所述至少两层VLAN TAG信息的第一有线报文转发给AAA服务器进行认证，具体包括：

当接收到携带了所述至少两层VLAN TAG信息的第一有线报文时，所述AAA服务器根据所述至少两层VLAN TAG信息对所述无线客户端进行认证。

所述接入设备将携带了所述至少两层VLAN TAG信息的第一有线报文转发给AAA服务器进行认证，之后还包括：

所述AC设备接收来自所述接入设备的第二有线报文，根据所述第二有线报文确定第二目的接口，并将所述第二有线报文转换为第二无线报文；

所述AC设备获取所述第二无线报文对应的LAWPP隧道，并根据所述LAWPP隧道对应的AP设备以及该对应关系，查找所述至少两层VLAN TAG信息；

所述AC设备将所述第二无线报文封装为第二LAWPP报文，并将所述至少两层VLAN TAG信息添加到所述第二LAWPP报文中；

所述AC设备通过所述LAWPP隧道和所述第二目的接口将携带所述至少两层VLAN TAG信息的第二LAWPP报文发送给所述AP设备。

所述第二有线报文包括所述AAA服务器对所述无线客户端的认证响应报文；

所述AC设备通过所述LAWPP隧道和所述第二目的接口将携带所述至少两层VLAN TAG信息的第二LAWPP报文发送给所述AP设备，之后还包括：

所述至少两层交换机接收来自所述AC设备的携带所述至少两层VLANTAG信息的第二LAWPP报文，清除所述至少两层VLAN TAG信息，并将清除了所述至少两层VLAN TAG信息的第二LAWPP报文发送给AP设备；

所述AP设备解封装所述第二LAWPP报文得到所述第二无线报文，将所述第二无线报文发送给所述无线客户端，以完成对所述无线客户端的认证。

另一方面，本发明还提供一种AC设备，应用于包括无线客户端、AP设备、所述AC设备、接入设备和AAA服务器的系统中，所述AP设备与所述AC设备之间建立了LAWPP隧道，且所述LAWPP隧道承载在有线网络中，所述有线网络中包含至少两层交换机，其特征在于，该AC设备进一步包括：

上行接收模块，用于接收来自所述AP设备的第一LAWPP报文，所述第一LAWPP报文中携带了第一无线报文、所述AP设备添加的LAWPP信息、以及所述至少两层交换机添加的至少两层虚拟局域网VLAN TAG信息；

上行生成模块，与所述上行接收模块连接，用于清除所述第一LAWPP报文中的LAWPP信息和至少两层VLAN TAG信息得到所述第一无线报文；

记录模块，与所述上行接收模块连接，用于根据所述LAWPP信息记录所述AP设备与所述至少两层VLAN TAG信息的对应关系；

上行确定模块，与所述上行生成模块连接，用于根据所述第一无线报文确定第一目的接口；

上行转换模块，与所述上行生成模块连接，用于将所述第一无线报文转换为第一有线报文；

上行获取模块，与所述上行生成模块连接，用于根据所述第一无线报文获取所述无线客户端接入的AP；

上行查找模块，与所述上行获取模块和所述记录模块分别连接，用于根据该接入的AP以及该对应关系查找所述至少两层VLAN TAG信息；

上行添加模块，与所述上行查找模块和所述上行转换模块分别连接，用于将所述至少两层VLAN TAG信息添加到所述第一有线报文中；

上行发送模块，与所述上行添加模块和所述上行确定模块分别连接，用于通过所述第一目的接口将携带了所述至少两层VLAN TAG信息的第一有线报文转发给所述接入设备，经由所述接入设备将携带了所述至少两层VLANTAG信息的第一有线报文转发给AAA服务器进行认证。

所述记录模块，具体用于根据所述LAWPP信息确定所述LAWPP隧道对应的AP设备；并记录所述LAWPP隧道对应的AP设备与所述至少两层VLANTAG信息的对应关系。

所述上行获取模块，具体用于根据所述第一无线报文中的BSS ID确定为所述无线客户端提供服务的AP为所述无线客户端接入的AP。

该AC设备还包括：

下行接收模块，用于接收来自所述接入设备的第二有线报文；

下行确定模块，与所述下行接收模块连接，用于根据所述第二有线报文确定第二目的接口；

下行转换模块，与所述下行接收模块连接，用于将所述第二有线报文转换为第二无线报文；

下行获取模块，与所述下行转换模块连接，用于获取所述第二无线报文对应的LAWPP隧道；

下行查找模块，与所述下行获取模块和所述记录模块分别连接，用于根据所述LAWPP隧道对应的AP设备以及该对应关系，查找所述至少两层VLAN TAG信息；

下行添加模块，与所述下行转换模块和所述下行查找模块分别连接，用于将所述第二无线报文封装为第二LAWPP报文，并将所述至少两层VLANTAG信息添加到所述第二LAWPP报文中；

下行发送模块，与所述下行添加模块和所述下行确定模块分别连接，用于通过所述LAWPP隧道和所述第二目的接口将携带所述至少两层VLANTAG信息的第二LAWPP报文发送给所述AP设备。

与现有技术相比，本发明至少具有以下优点：

通过使用QinQ信息(即至少两层VLAN TAG信息)对用户进行认证，不需要新增用户身份认证识别机制，提高了用户的使用感受。

附图说明

图1为现有技术中CAPWAP协议示意图；

图2为现有技术中LWAPP协议示意图；

图3为现有技术中有线QinQ网络示意图；

图4为本发明提出的一种无线局域网中报文的处理方法流程图；

图5为本发明提出的一种应用场景示意图；

图6为对应图5应用场景所提出的一种无线局域网中报文的处理方法流程图；

图7为本发明中以太网链路传输的LAWPP报文格式示意图；

图8为本发明中LWAPP数据报文作为UDP的载荷的格式示意图；

图9为本发明中802.3头中携带内层VLAN TAG信息和外层VLAN TAG信息的示意图；

图10为本发明中AC设备转发结构示意图；

图11为本发明提出的一种AC设备的结构图。

具体实施方式

本发明中，AC设备在向接入设备发送有线报文时，需要在该有线报文中携带对应的至少两层VLAN TAG信息，而如果需要对无线客户端进行认证时，AAA服务器只需要根据该至少两层VLAN TAG信息对无线客户端进行认证即可，不需要新增用户身份认证识别机制，提高了用户的使用感受。

基于上述思想，本发明中提供一种无线局域网中报文的处理方法，应用于包括无线客户端、接入点AP设备、接入控制器AC设备、接入设备和AAA服务器的系统中，所述AP设备与所述AC设备之间建立了轻型接入点协议LAWPP隧道，且所述LAWPP隧道承载在有线网络中，所述有线网络中包含至少两层交换机，如图4所示，该方法包括以下步骤：

步骤401，所述AC设备接收来自所述AP设备的第一LAWPP报文，所述第一LAWPP报文中携带了第一无线报文、所述AP设备添加的LAWPP信息、以及所述至少两层交换机添加的至少两层虚拟局域网VLAN TAG信息。

步骤402，所述AC设备清除所述第一LAWPP报文中的LAWPP信息和至少两层VLAN TAG信息得到所述第一无线报文；并根据所述LAWPP信息记录所述AP设备与所述至少两层VLAN TAG信息的对应关系。

步骤403，所述AC设备根据所述第一无线报文确定第一目的接口，并将所述第一无线报文转换为第一有线报文。

步骤404，所述AC设备根据所述第一无线报文获取所述无线客户端接入的AP，并根据该接入的AP以及该对应关系查找所述至少两层VLAN TAG信息。

步骤405，所述AC设备将所述至少两层VLAN TAG信息添加到所述第一有线报文中，并通过所述第一目的接口将携带了所述至少两层VLAN TAG信息的第一有线报文转发给所述接入设备。

为了更加清楚的阐述本发明提供的技术方案，以下结合一种具体的应用场景对本发明进行详细描述。如图5所示，为本发明提供的一种组网示意图，本应用场景下，包括AC设备和多个AP设备，该AP设备以FIT AP 1、FIT AP2、FIT AP 3、FIT AP 4为例进行说明，无线客户端(Station)1通过无线方式与FITAP 1连接，Station 2通过无线方式与FIT AP 4连接。

各个AP设备与AC设备之间建立了LAWPP隧道(例如，FIT AP 1与AC建立了LAWPP隧道1，FIT AP 2与AC建立了LAWPP隧道2)，而LAWPP隧道承载在有线网络中，该有线网络中包含至少两层交换机。其中，对于每层交换机来说，需要为相关报文打上一层VLAN TAG，例如，当有3层交换机时，则通过有线网络的报文需要被打上3层VLAN TAG，为了方便描述，本发明中以包含两层交换机为例进行说明。

本发明中，与FIT AP连接的交换机为内层交换机，用于为相关报文打上内层VLAN TAG，与AC连接的交换机为外层交换机，用于为相关报文打上外层VLAN TAG。本应用场景下，内层交换机为楼道交换机A、楼道交换机B和楼道交换机C，外层交换机为园区交换机M和园区交换机N。

另外，本应用场景下，还包括接入设备(以BAS设备为例进行说明)和AAA服务器，该BAS设备与AC设备和AAA服务器连接。

基于上述应用场景，以需要对无线客户端1进行身份认证为例进行说明，如图6所示，该无线局域网中报文的处理方法包括以下步骤：

步骤601，无线客户端向AP设备发送第一无线报文。例如，无线客户端1向FIT AP 1发送第一无线报文。其中，该第一无线报文可以为第一802.11报文，且该第一无线报文为无线客户端1的认证请求报文。

其中，为了区分上行方向和下行方向上的报文，本应用场景下将上行方向的报文对应为第一报文，并将下行方向的报文对应为第二报文。

步骤602，AP设备将第一无线报文封装为第一LAWPP报文。

具体的，由于AP设备与AC设备之间建立了LAWPP隧道，为了实现AP设备与AC设备之间的通信，AP设备需要将第一无线报文封装为第一LAWPP报文，该第一LAWPP报文中携带了第一无线报文，以及LAWPP信息。

步骤603，AP设备通过LAWPP隧道将第一LAWPP报文发送给AC设备。

需要注意的是，由于LAWPP隧道承载在有线网络中，在将第一LAWPP报文发送给AC设备的过程中，该第一LAWPP报文会被添加上两层VLANTAG。

具体的，当第一LAWPP报文发送至内层交换机(例如，楼道交换机A)时，会被内层交换机添加上内层VLAN TAG，当第一LAWPP报文发送至外层交换机(例如，园区交换机M)时，会被外层交换机添加上外层VLAN TAG。

步骤604，AC设备接收第一LAWPP报文。

当AC设备接收到第一LAWPP报文时，该第一LAWPP报文中携带了第一无线报文(以802.11报文为例)、LAWPP信息(例如，LAWPP头等)和VLAN TAG信息(携带于802.3头中)。

如图7所示的以太网链路传输的LAWPP报文格式示意图，LWAPP将承载于UDP(User Datagram Protocol，用户数据包协议)报文中，该LWAPP数据报文将作为UDP的载荷，格式如图8所示。该802.3头中可携带VLAN信息，包括内层VLAN TAG信息和外层VLAN TAG信息，如图9所示的802.3头中携带内层VLAN TAG信息和外层VLAN TAG信息的示意图。

步骤605，AC设备清除第一LAWPP报文中的LAWPP信息和VLAN TAG信息得到第一无线报文，并记录AP设备与VLAN TAG信息的对应关系。

其中，该第一无线报文为无线客户端向AP设备发送802.11报文，由于第一LAWPP报文中携带了第一无线报文、LAWPP信息和VLAN TAG信息，则清除LAWPP信息(可以通过解封装的方式进行清除)和VLAN TAG信息后，即可以得到第一无线报文。

如图10所示的AC设备转发结构示意图，当AC设备通过以太网接收到第一LAWPP报文后，在LWAPP隧道终结处理过程中，需要清除LAWPP信息和VLAN TAG信息。

需要说明的是，本应用场景下，可以在AC设备中添加AP管理模块(该AP管理模块可以进一步拆分为多个模块，或者该AP管理模块的功能还可以由AC设备中的其他功能模块实现)，并通过该AP管理模块对相关报文进行处理。

另外，AC设备(例如，通过AP管理模块)在LWAPP隧道终结处理过程中，还需要记录AP设备与VLAN TAG信息的对应关系。

具体的，AC设备可以根据LAWPP信息确定LAWPP隧道对应的AP设备，当接收到第一LAWPP报文时，能够根据LAWPP信息获知相应的LAWPP隧道，而由于LWAPP隧道与AP设备一一对应，则根据该LAWPP隧道，能够确定对应的AP设备。例如，当从LAWPP隧道1接收到第一LAWPP报文时，则确定对应的AP设备为FITAP 1。

进一步的，根据第一LAWPP报文中携带的VLAN TAG信息，以及确定的AP设备，则能够记录AP设备与VLAN TAG信息的对应关系，如表1所示的对应关系。

AP设备	VLAN TAG信息
		FIT AP 1	外层VLAN 14，内层VLAN 10

如图10所示，AP管理模块记录AP设备与VLAN TAG信息的对应关系，以及清除LAWPP信息和VLAN TAG信息的过程如控制流1所示。

需要注意的是，本应用场景下，在LWAPP隧道终结处理过程中，还可以通过手工配置(例如，分配AP与对应的VLAN TAG信息)的方式，记录AP设备与VLAN TAG信息的对应关系，本发明中不再详加赘述。

步骤606，AC设备根据第一无线报文确定第一目的接口，并将第一无线报文转换为第一有线报文。

具体的，当得到第一无线报文(802.11报文)后，根据该802.11报文中携带的目的MAC(MediaAccess Control，介质访问控制)地址，以及自身存储的ARP(Address Resolution Protocol，地址解析协议)表项，则AC设备能够确定第一目的接口(即AC设备上行连接BAS设备的以太口)。

另外，当得到第一无线报文(802.11报文)后，AC设备还需要将该第一无线报文转换为第一有线报文(802.3报文)，该转换过程本应用场景下不再详加赘述。

需要注意的是，在AC设备上，上述确定第一目的接口、将第一无线报文转换为第一有线报文的过程可以是AP管理模块通过二层交换实现的，如图10所示的控制流2的过程。

步骤607，AC设备根据第一无线报文获取无线客户端接入的AP，并根据该接入的AP查找对应的VLAN TAG信息。

具体的，由于第一无线报文中携带了BSS(Basic Service Set，基础服务集合)ID，每个BSS对应一个无线接入服务(即AP对无线客户端的无线接入服务)，当获知BSS ID后，则能够确定哪个AP为哪个无线客户端提供无线接入服务，即AC设备能够根据该BSS ID获知无线客户端的所属AP，从而获知无线客户端接入的AP。

进一步的，当确定了接入的AP后，通过查找表1所示的对应关系，即能够查找到对应的VLAN TAG信息。例如，当获知无线客户端接入的AP为FITAP 1时，通过查找表1所示的对应关系，能够查询到的VLAN TAG信息为外层VLAN 14，内层VLAN 10。

步骤608，AC设备将查找到的VLAN TAG信息添加到第一有线报文中，并根据确定的第一目的接口将携带了VLAN TAG信息的第一有线报文转发给BAS设备。其中，AC设备需要将双层VLAN TAG(即内层VLAN TAG和外层VLAN TAG)作为第一有线报文(802.3报文)双层VLAN TAG。

需要注意的是，在AC设备上，将VLAN TAG信息添加到第一有线报文、根据确定的第一目的接口，并通过以太网将第一有线报文发送给BAS设备的过程可以是AP管理模块执行的，如图10所示的控制流3的过程。

步骤609，BAS设备将携带了两层VLAN TAG信息的第一有线报文发送给AAA服务器。

步骤610，AAA服务器根据两层VLAN TAG信息对无线客户端进行认证。

具体的，根据双层VLAN TAG信息，则AAA服务器能够确定无线客户端的接入位置，从而对该无线客户端进行认证。

例如，图5所示的应用场景下，无线客户端1通过FIT AP 1连接到楼道交换机A、连接到园区交换机M、连接到AC设备、连接到BAS设备、并连接到AAA服务器时，则AAA服务器获得的两层VLAN TAG信息为楼道交换机A的VLAN以及园区交换机M的VLAN，则AAA服务器确定无线客户端1的位置是连接在园区交换机M和楼道交换机A下。如果园区交换机M为公司1的交换机，楼道交换机A为部门1的交换机，而AAA服务器知道公司1、部门1下连接的所有客户端均能够通过身份认证时，则AAA服务器根据两层VLAN TAG信息对无线客户端1进行认证成功。

步骤611，AAA服务器通过BAS设备向AC设备返回第二有线报文。其中，该第二有线报文为针对上述第一有线报文的回应报文(即认证响应报文)。

步骤612，AC设备接收来自BAS设备的第二有线报文，根据第二有线报文确定第二目的接口，并将第二有线报文转换为第二无线报文。

具体的，当接收到第二有线报文(802.3报文)后，根据该802.3报文中携带的目的MAC地址，以及自身存储的ARP表项，则AC设备能够确定第二目的接口(即AC设备下行连接AP设备的以太口)。

另外，当得到第二有线报文(802.3报文)后，AC设备还需要将该第二有线报文转换为第二无线报文(802.11报文)，该转换过程本应用场景下不再详加赘述。

步骤613，AC设备获取第二无线报文使用的LAWPP隧道，并根据LAWPP隧道对应的AP设备、以及AP设备与VLAN TAG信息的对应关系，查找对应的VLAN TAG信息。

具体的，第二无线报文需要封装为第二LWAPP报文并通过LAWPP隧道发送给AP设备，则AC设备能够获取到第二无线报文使用的LAWPP隧道，而由于LWAPP隧道与AP设备一一对应，则根据该LAWPP隧道，能够确定对应的AP设备。

根据该AP设备，以及表1所示的对应关系，即能够查找到对应的VLANTAG信息。

步骤614，AC设备将第二无线报文和LAWPP信息封装为第二LAWPP报文，并将VLAN TAG信息携带在第二LAWPP报文中。

具体的，为了通过LAWPP隧道发送第二无线报文，需要将第二无线报文和LAWPP信息封装为第二LAWPP报文，另外，还需要将VLAN TAG信息携带在第二LAWPP报文中。

步骤615，AC设备通过LAWPP隧道和第二目的接口将第二LAWPP报文发送给AP设备。

其中，在将第二LAWPP报文发送给AP设备的过程中，该第二LAWPP报文需要经过外层交换机和内层交换机。

具体的，由于第二LAWPP报文中携带了双层VLAN TAG(即内层VLANTAG和外层VLAN TAG)，当第二LAWPP报文经过外层交换机时，该外层交换机需要清除外层VLAN TAG；当第二LAWPP报文经过内层交换机时，该内层交换机需要清除内层VLAN TAG。

因此，当第二LAWPP报文发送至AP设备时，该内层VLAN TAG和外层VLAN TAG已经被对应的内层交换机和外层交换机清除。

步骤616，AP设备解封装第二LAWPP报文得到第二无线报文，将第二无线报文发送给无线客户端，以完成对无线客户端的认证。

其中，该第二无线报文为第一无线报文对应的响应报文，例如，当第一无线报文为认证请求报文时，则第二无线报文为认证响应报文，当无线客户端接收到第二无线报文后，便能够确定自身是否通过认证。

基于与上述方法同样的发明构思，本发明还提出了一种AC设备，应用于包括无线客户端、AP设备、所述AC设备、接入设备和AAA服务器的系统中，所述AP设备与所述AC设备之间建立了LAWPP隧道，且所述LAWPP隧道承载在有线网络中，所述有线网络中包含至少两层交换机，如图11所示，该AC设备进一步包括：

上行接收模块11，用于接收来自所述AP设备的第一LAWPP报文，所述第一LAWPP报文中携带了第一无线报文、所述AP设备添加的LAWPP信息、以及所述至少两层交换机添加的至少两层虚拟局域网VLAN TAG信息；

上行生成模块12，与所述上行接收模块11连接，用于清除所述第一LAWPP报文中的LAWPP信息和至少两层VLAN TAG信息得到所述第一无线报文；

记录模块13，与所述上行接收模块11连接，用于根据所述LAWPP信息记录所述AP设备与所述至少两层VLAN TAG信息的对应关系；

所述记录模块13，具体用于根据所述LAWPP信息确定所述LAWPP隧道对应的AP设备；并记录所述LAWPP隧道对应的AP设备与所述至少两层VLAN TAG信息的对应关系。

上行确定模块14，与所述上行生成模块12连接，用于根据所述第一无线报文确定第一目的接口；

上行转换模块15，与所述上行生成模块12连接，用于将所述第一无线报文转换为第一有线报文；

上行获取模块16，与所述上行生成模块12连接，用于根据所述第一无线报文获取所述无线客户端接入的AP；

所述上行获取模块16，具体用于根据所述第一无线报文中的BSS ID确定为所述无线客户端提供服务的AP为所述无线客户端接入的AP。

上行查找模块17，与所述上行获取模块16和所述记录模块13分别连接，用于根据该接入的AP以及该对应关系查找所述至少两层VLAN TAG信息；

上行添加模块18，与所述上行查找模块17和所述上行转换模块15分别连接，用于将所述至少两层VLAN TAG信息添加到所述第一有线报文中；

上行发送模块19，与所述上行添加模块18和所述上行确定模块14分别连接，用于通过所述第一目的接口将携带了所述至少两层VLAN TAG信息的第一有线报文转发给所述接入设备，经由所述接入设备将携带了所述至少两层VLAN TAG信息的第一有线报文转发给AAA服务器进行认证。

进一步的，该AC设备还包括：

下行接收模块21，用于接收来自所述接入设备的第二有线报文；

下行确定模块22，与所述下行接收模块21连接，用于根据所述第二有线报文确定第二目的接口；

下行转换模块23，与所述下行接收模块21连接，用于将所述第二有线报文转换为第二无线报文；

下行获取模块24，与所述下行转换模块23连接，用于获取所述第二无线报文对应的LAWPP隧道；

下行查找模块25，与所述下行获取模块24和所述记录模块13分别连接，用于根据所述LAWPP隧道对应的AP设备以及该对应关系，查找所述至少两层VLAN TAG信息；

下行添加模块26，与所述下行转换模块23和所述下行查找模块25分别连接，用于将所述第二无线报文封装为第二LAWPP报文，并将所述至少两层VLAN TAG信息添加到所述第二LAWPP报文中；

下行发送模块27，与所述下行添加模块26和所述下行确定模块22分别连接，用于通过所述LAWPP隧道和所述第二目的接口将携带所述至少两层VLAN TAG信息的第二LAWPP报文发送给所述AP设备。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (10)

1.一种无线局域网中报文的处理方法，应用于包括无线客户端、接入点AP设备、接入控制器AC设备、接入设备和AAA服务器的系统中，所述AP设备与所述AC设备之间建立了轻型接入点协议LAWPP隧道，且所述LAWPP隧道承载在有线网络中，所述有线网络中包含至少两层交换机，其特征在于，所述方法包括以下步骤：

所述AC设备接收来自所述AP设备的第一LAWPP报文，所述第一LAWPP报文中携带了第一无线报文、所述AP设备添加的LAWPP信息、以及所述至少两层交换机添加的至少两层虚拟局域网VLAN TAG信息；

所述AC设备清除所述第一LAWPP报文中的LAWPP信息和至少两层VLAN TAG信息得到所述第一无线报文；并根据所述LAWPP信息记录所述AP设备与所述至少两层VLAN TAG信息的对应关系；

所述AC设备根据所述第一无线报文确定第一目的接口，将所述第一无线报文转换为第一有线报文；并根据所述第一无线报文获取所述无线客户端接入的AP，根据该接入的AP以及该对应关系查找所述至少两层VLAN TAG信息；

所述AC设备将所述至少两层VLAN TAG信息添加到所述第一有线报文中，并通过所述第一目的接口将携带了所述至少两层VLAN TAG信息的第一有线报文转发给所述接入设备，经由所述接入设备将携带了所述至少两层VLAN TAG信息的第一有线报文转发给AAA服务器进行认证。

2.如权利要求1所述的方法，其特征在于，根据所述LAWPP信息记录所述AP设备与所述至少两层VLAN TAG信息的对应关系，具体包括：

所述AC设备根据所述LAWPP信息确定所述LAWPP隧道对应的AP设备；

所述AC设备记录所述LAWPP隧道对应的AP设备与所述至少两层VLAN TAG信息的对应关系。

3.如权利要求1所述的方法，其特征在于，根据所述第一无线报文获取所述无线客户端接入的AP，具体包括：

所述AC设备根据所述第一无线报文中的BSS ID确定为所述无线客户端提供服务的AP为所述无线客户端接入的AP。

4.如权利要求1所述的方法，其特征在于，所述第一无线报文包括所述无线客户端的认证请求报文；

所述接入设备将携带了所述至少两层VLAN TAG信息的第一有线报文转发给AAA服务器进行认证，具体包括：

当接收到携带了所述至少两层VLAN TAG信息的第一有线报文时，所述AAA服务器根据所述至少两层VLAN TAG信息对所述无线客户端进行认证。

5.如权利要求1所述的方法，其特征在于，所述接入设备将携带了所述至少两层VLAN TAG信息的第一有线报文转发给AAA服务器进行认证，之后还包括：

所述AC设备接收来自所述接入设备的第二有线报文，根据所述第二有线报文确定第二目的接口，并将所述第二有线报文转换为第二无线报文；

所述AC设备获取所述第二无线报文对应的LAWPP隧道，并根据所述LAWPP隧道对应的AP设备以及该对应关系，查找所述至少两层VLAN TAG信息；

所述AC设备将所述第二无线报文封装为第二LAWPP报文，并将所述至少两层VLAN TAG信息添加到所述第二LAWPP报文中；

所述AC设备通过所述LAWPP隧道和所述第二目的接口将携带所述至少两层VLAN TAG信息的第二LAWPP报文发送给所述AP设备。

6.如权利要求5所述的方法，其特征在于，所述第二有线报文包括所述AAA服务器对所述无线客户端的认证响应报文；

所述AC设备通过所述LAWPP隧道和所述第二目的接口将携带所述至少两层VLAN TAG信息的第二LAWPP报文发送给所述AP设备，之后还包括：

所述至少两层交换机接收来自所述AC设备的携带所述至少两层VLANTAG信息的第二LAWPP报文，清除所述至少两层VLAN TAG信息，并将清除了所述至少两层VLAN TAG信息的第二LAWPP报文发送给AP设备；

所述AP设备解封装所述第二LAWPP报文得到所述第二无线报文，将所述第二无线报文发送给所述无线客户端，以完成对所述无线客户端的认证。

7.一种AC设备，应用于包括无线客户端、AP设备、所述AC设备、接入设备和AAA服务器的系统中，所述AP设备与所述AC设备之间建立了LAWPP隧道，且所述LAWPP隧道承载在有线网络中，所述有线网络中包含至少两层交换机，其特征在于，该AC设备进一步包括：

上行接收模块，用于接收来自所述AP设备的第一LAWPP报文，所述第一LAWPP报文中携带了第一无线报文、所述AP设备添加的LAWPP信息、以及所述至少两层交换机添加的至少两层虚拟局域网VLAN TAG信息；

上行生成模块，与所述上行接收模块连接，用于清除所述第一LAWPP报文中的LAWPP信息和至少两层VLAN TAG信息得到所述第一无线报文；

记录模块，与所述上行接收模块连接，用于根据所述LAWPP信息记录所述AP设备与所述至少两层VLAN TAG信息的对应关系；

上行确定模块，与所述上行生成模块连接，用于根据所述第一无线报文确定第一目的接口；

上行转换模块，与所述上行生成模块连接，用于将所述第一无线报文转换为第一有线报文；

上行获取模块，与所述上行生成模块连接，用于根据所述第一无线报文获取所述无线客户端接入的AP；

上行查找模块，与所述上行获取模块和所述记录模块分别连接，用于根据该接入的AP以及该对应关系查找所述至少两层VLAN TAG信息；

上行添加模块，与所述上行查找模块和所述上行转换模块分别连接，用于将所述至少两层VLAN TAG信息添加到所述第一有线报文中；

上行发送模块，与所述上行添加模块和所述上行确定模块分别连接，用于通过所述第一目的接口将携带了所述至少两层VLAN TAG信息的第一有线报文转发给所述接入设备，经由所述接入设备将携带了所述至少两层VLANTAG信息的第一有线报文转发给AAA服务器进行认证。

8.如权利要求7所述的AC设备，其特征在于，

所述记录模块，具体用于根据所述LAWPP信息确定所述LAWPP隧道对应的AP设备；并记录所述LAWPP隧道对应的AP设备与所述至少两层VLANTAG信息的对应关系。

9.如权利要求7所述的AC设备，其特征在于，

所述上行获取模块，具体用于根据所述第一无线报文中的BSS ID确定为所述无线客户端提供服务的AP为所述无线客户端接入的AP。

10.如权利要求7所述的AC设备，其特征在于，该AC设备还包括：

下行接收模块，用于接收来自所述接入设备的第二有线报文；

下行确定模块，与所述下行接收模块连接，用于根据所述第二有线报文确定第二目的接口；

下行转换模块，与所述下行接收模块连接，用于将所述第二有线报文转换为第二无线报文；

下行获取模块，与所述下行转换模块连接，用于获取所述第二无线报文对应的LAWPP隧道；

下行查找模块，与所述下行获取模块和所述记录模块分别连接，用于根据所述LAWPP隧道对应的AP设备以及该对应关系，查找所述至少两层VLAN TAG信息；

下行添加模块，与所述下行转换模块和所述下行查找模块分别连接，用于将所述第二无线报文封装为第二LAWPP报文，并将所述至少两层VLANTAG信息添加到所述第二LAWPP报文中；

下行发送模块，与所述下行添加模块和所述下行确定模块分别连接，用于通过所述LAWPP隧道和所述第二目的接口将携带所述至少两层VLANTAG信息的第二LAWPP报文发送给所述AP设备。

Images