无线局域网：IEEE 802.11标准、WLAN拓扑、无线安全机制与AP部署
无线局域网（WLAN）是现代网络基础设施中不可或缺的接入层组成部分。本章围绕IEEE 802.11协议体系、WLAN拓扑结构、无线安全机制的演进（WEP→WPA→WPA2→WPA3）以及无线控制器与AP的部署模式展开，帮助考生建立从协议原理到工程实施、从安全算法到组网架构的完整知识链条。重点掌握802.11帧类型与CSMA/CA机制、四种拓扑的适用场景、四种安全协议的认证与加密差异，以及AC+Fit AP与Fat AP的选型逻辑。
4.1 IEEE 802.11 标准体系与核心原理
核心原理：IEEE 802.11 是无线局域网的基础协议族，定义了物理层（PHY）和介质访问控制层（MAC）的规范。物理层先后经历了 DSSS、OFDM、MIMO-OFDM 等演进，MAC 层则采用 CSMA/CA（载波侦听多址接入/冲突避免）机制，通过 RTS/CTS 握手、NAV 网络分配向量和随机退避算法来减少无线信道中的帧冲突。802.11 帧分为管理帧（Beacon、Probe、Association）、控制帧（RTS、CTS、ACK）和数据帧三类，其中 Beacon 帧周期性广播 SSID、速率集、能力信息，是 STA 发现网络的基础。
标准演进关键参数：
| 标准 | 频段 | 信道带宽 | 最大速率 | 关键技术 |
|---|---|---|---|---|
| 802.11a | 5GHz | 20MHz | 54Mbps | OFDM |
| 802.11b | 2.4GHz | 22MHz | 11Mbps | DSSS/HR-DSSS |
| 802.11g | 2.4GHz | 20MHz | 54Mbps | OFDM（兼容b） |
| 802.11n | 2.4/5GHz | 20/40MHz | 600Mbps | MIMO、帧聚合 |
| 802.11ac | 5GHz | 80/160MHz | 6.9Gbps | MU-MIMO、256-QAM |
| 802.11ax | 2.4/5/6GHz | 20-160MHz | 9.6Gbps | OFDMA、TWT、BSS Coloring |
4.2 WLAN 拓扑结构与组网模式
四种基本拓扑：
- IBSS（独立基本服务集）：即 Ad-Hoc 模式，STA 之间直接通信，无 AP 参与，适用于临时组网（如文件共享），覆盖范围小。
- BSS（基础服务集）：由一个 AP 和若干 STA 组成，所有通信经 AP 转发，是 WLAN 最基本的单元。
- ESS（扩展服务集）：多个 BSS 通过分布式系统（DS）互连，STA 可在不同 AP 间无缝漫游，是园区网的标准形态。
- Mesh 拓扑：MPP（Mesh Portal Point）接入有线网络，MP（Mesh Point）之间通过无线链路互连，适合无有线回传的室外场景。
判断方法：根据网络规模、漫游需求和回传条件选择拓扑。家庭/小型办公室使用单 BSS；大型园区使用 ESS + AC 集中管理；室外无光纤区域优先考虑 Mesh。
4.3 无线安全机制：WEP/WPA/WPA2/WPA3
安全机制演进与对比：
| 协议 | 加密算法 | 认证方式 | 密钥管理 | 主要缺陷 |
|---|---|---|---|---|
| WEP | RC4（64/128位） | 共享密钥 | 静态 | IV 重用、CRC32 完整性弱 |
| WPA | TKIP（RC4+MIC） | PSK / 802.1X | 动态（PTK/GTK） | 仍基于 RC4，可被暴力破解 |
| WPA2 | CCMP（AES） | PSK / 802.1X | 动态（EAPOL 四次握手） | KRACK 攻击（802.11i 漏洞） |
| WPA3 | GCMP（AES-256） | SAE（同时认证） | 动态 + 前向保密 | 兼容性要求高 |
核心原理：WPA2 的 PSK 模式使用 PBKDF2 派生 PMK，四次握手生成 PTK 和 GTK；WPA3 的 SAE（Simultaneous Authentication of Equals）基于 Dragonfly 协议，抵抗离线字典攻击，并引入前向保密——即使 PSK 泄露，也无法解密历史流量。
4.4 无线控制器与 AP 部署模式
Fat AP vs Fit AP：
- Fat AP（胖AP）：独立完成射频管理、认证、加密、转发，无需外部控制器。适合小型网络，但无法集中管理，漫游性能差。
- Fit AP（瘦AP）：仅负责射频收发，配置、认证、漫游决策均由 AC 集中处理。AC 与 AP 之间通过 CAPWAP 协议建立控制隧道和数据隧道。
AC 部署方式：
- 旁挂式：AC 旁挂在核心交换机上，AP 数据流量经 CAPWAP 隧道转发至 AC（集中转发）或本地转发（AC 只下发策略）。
- 直连式：AC 串接在 AP 与核心网络之间，所有流量强制经过 AC，适合安全要求高的场景。
- 云化管理：AC 功能虚拟化部署在云平台，AP 通过 Internet 注册，适合多分支连锁场景。
常见误区：
- 误区一：认为 WPA2 安全——KRACK 攻击可绕过加密，需及时升级固件。
- 误区二：Fat AP 也能做无缝漫游——实际 Fat AP 间无协调机制，漫游丢包严重。
- 误区三：AC 集中转发适合所有场景——大流量视频监控场景下，集中转发会造成 AC 瓶颈，应使用本地转发。
- 误区四：忽略 5GHz 频段规划——2.4GHz 只有 3 个不重叠信道，密集部署必须优先使用 5GHz。