内容來源：華為固網資料部出品。

AC FIT AP架構的網絡中存在兩種報文：一類是AC管理控制AP的報文，稱為管理報文（也叫控制報文）；

另一類是STA的用戶數據報文，稱為業務報文。

如上圖所示，圖中的虛線表示報文的轉發路徑。管理報文隻在AC和AP之間的網絡中傳輸，需要經過CAPWAP隧道轉發。業務報文在STA和STA要訪問的網絡之間傳輸。業務報文存在兩種轉發方式，直接轉發（本地轉發）和隧道轉發（集中轉發），隧道轉發方式下業務報文需要經過CAPWAP隧道轉發，直接轉發方式下不經過CAPWAP隧道轉發。公衆号：網絡工程師阿龍

本期分享的内容是直接轉發和隧道轉發兩種方式下業務報文的轉發處理流程，為便于理解，我們先來了解管理報文的轉發處理流程。

結合下面的圖來分析管理報文的轉發處理流程。組網較為簡單，旨在便于描述原理。

從上往下看圖，右側報文結構簡圖從右往左看。圖上的Payload看做是AC想要發送給AP的實際有效信息，即管理報文的實際内容。（直接轉發和隧道轉發是針對業務報文而言的，管理報文和直接轉發、隧道轉發沒有半毛錢關系，管理報文隻有一種轉發處理流程。）

AC在發送Payload前，需要先把Payload封裝在CAPWAP隧道中。所謂封裝在CAPWAP隧道中，實際就是在Payload報文外面增加一節CAPWAP字段，這樣“看起來”隻要是有CAPWAP字段的報文就認為是封裝在了CAPWAP隧道中。

增加CAPWAP字段後，再增加UDP/IP字段和802.3字段，這裡的802.3字段表示這個報文将要通過有線的以太網進行傳輸。

最後，AC還要給這個報文加上管理VLAN。所謂管理VLAN，是指報文在CAPWAP封裝後添加的外層VLAN。在AC與AP間的網絡中，管理報文會一直帶着管理VLAN進行轉發處理。

結合實際的配置來看，AC到AP間的網絡都需要允許攜帶管理VLAN的報文通過，以保證管理報文能夠在AC和AP間正常傳輸。

• 1、如果AC與AP間的網絡是三層組網，管理VLAN會在報文轉發過程中随之改變，圖中的VLAN m’≠VLAN m。（這裡是以在交換機Switch上進行三層轉發為例，為便于記憶，m取management的第一個字母。）
• 2、如果AC與AP間的網絡是二層組網，管理VLAN會保持不變，則圖中的VLAN m’=VLAN m。

當報文從上遊到下遊轉發到直連AP的接口，即圖中Switch連接AP的接口時，需要去掉報文外層的管理VLAN，再将剩下的報文内容發送給AP。默認情況下，AP隻能識别處理不帶有管理VLAN的管理報文并解除CAPWAP封裝，識别出管理報文的具體内容Payload。

結合實際的配置，直連AP的設備接口通常都要求配置PVID為管理VLAN，目的就是在此接口發送報文給AP的時候，去掉報文外層的管理VLAN。

當然，如果接口上沒有配置PVID，或者說AP接收到的報文就是帶有管理VLAN，也是有應對方法的，這時候需要針對AP配置management-vlan為管理VLAN m，這樣AP在接收到帶有管理VLAN的報文後，還是能夠識别并去掉管理VLAN，解除CAPWAP封裝，解析出Payload。

結合下圖來分析直接轉發方式下業務報文的轉發處理流程。

同樣上面往下，右邊往左看圖。圖上的Payload是STA訪問的網絡設備發送給STA的實際有效信息，即業務報文的實際内容。圖中有兩個AC，如果AC處在中轉站處，表示是AC直連式組網；如果AC處在醬油黨處，表示是AC旁挂式組網；不是指有兩個AC同時存在于網絡中。無論AC處于哪裡，業務報文都是按照同樣的轉發路徑，從Internet一直轉發到STA。

發送給STA的Payload在進入網絡的時候就會進行一次封裝，這個封裝不是指CAPWAP封裝，而是在Payload報文外面增加一段802.3字段和添加業務VLAN（在圖中未體現UDP/IP字段，可以理解為已經包含在了Payload中）。業務VLAN即是指業務報文外層的VLAN。

直接轉發方式下，業務報文不會進行CAPWAP封裝。

結合實際的配置來看，直接轉發方式下，從上層網絡Internet到AP之間都是要允許攜帶業務VLAN的報文通過，以保證業務報文能夠在Internet和STA間正常傳輸。

• 1、AC直連組網場景下，AC處在如圖中的中轉站處，在收到上層網絡發送來的Payload信息後，會和其它的交換機一樣隻進行報文轉發，不進行CAPWAP封裝，圖中的中轉站AC收到的報文和交換機收到的報文格式是一緻的，且AC的任務也是和交換機一樣轉發業務報文給下一個網絡設備，
• 2、AC旁挂組網場景下，AC處在如圖中的醬油黨處，是不會收到業務報文的，在這種場景下，業務報文根本不需要經過AC，直接經過交換機和AP就轉發給STA了。

同樣業務VLAN在轉發過程中也可能存在VLAN變化的情況：

• 1、如果上層網絡Internet到AP之間是三層組網，業務VLAN會在報文轉發過程中随之改變，圖中的VLAN s’≠VLAN s。（這裡是以在交換機Switch上進行三層轉發為例，為便于記憶，s取service的第一個字母。）
• 2、如果上層網絡Internet到AP之間是二層組網，業務VLAN會保持不變，則圖中的VLAN s’=VLAN s。

結合實際的配置來看，直接轉發方式下，從上層網絡到AP之間都是要允許攜帶業務VLAN的報文通過。

當業務報文從上遊到下遊轉發到AP時，AP也要對接收到的報文進行兩項處理，先是将外層的業務VLAN去掉，然後将原有的802.3字段改為802.11字段，802.11字段表示這個報文将采用無線傳輸的方式轉發出去。處理完成後，AP将業務報文無線傳輸給STA。

STA接收到業務報文後，去除掉外層的802.11字段，剩餘的Payload字段被STA解析處理後就可以識别出具體内容了。由于STA無法識别帶有VLAN的報文，所以AP在發送報文給STA前，必須要先去掉業務報文中的VLAN。

同樣看下圖來分析隧道轉發方式下業務報文的轉發處理流程。

圖上的Payload是STA訪問的網絡設備發送給STA的實際有效信息，即業務報文的實際内容，以AC直連式組網為例說明。

和直接轉發一樣，發給STA的Payload在進入網絡的時候就會進行封裝，不是CAPWAP封裝，而是在Payload報文外面增加802.3字段和添加業務VLAN（在圖中未體現UDP/IP字段，可以理解為已經包含在了Payload中）。完成後業務報文将徑直發給AC。隧道轉發方式下，所有的業務報文都必須轉發到AC。

AC接收到業務報文後，會進行CAPWAP封裝，将收到的整個業務報文看做一個新的Payload，在外層添加CAPWAP字段，增加UDP/IP字段和802.3字段。最後再為業務報文加上管理VLAN。可以看出AC上處理業務報文的過程和處理管理報文的過程是相同的。

在AC與AP間的網絡中，業務報文會一直帶着管理VLAN進行轉發處理。

結合實際的配置來看，隧道轉發方式下，從上層網絡Internet到AC之間的網絡設備上要允許攜帶業務VLAN的報文通過，在AC和AP間的網絡設備上要允許攜帶管理VLAN的報文通過。以保證業務報文能夠在Internet和STA間正常傳輸。

因為AC和AP間的網絡上業務報文是CAPWAP封裝的對象，業務VLAN可以看做是新的Payload的一部分，不會被網絡設備感知到，所以這段網絡上隻要求允許攜帶管理VLAN的報文通過即可。隻要管理VLAN能夠通過，業務VLAN同樣也就打包在管理VLAN中通過了。

同樣管理VLAN在轉發過程中也可能存在VLAN變化的情況：

• 1、如果AC與AP間的網絡是三層組網，管理VLAN會在報文轉發過程中随之改變，圖中的VLAN m’≠VLAN m。
• 2、如果AC與AP間的網絡是二層組網，管理VLAN會保持不變，則圖中的VLAN m’=VLAN m。

當報文從上遊到下遊轉發到直連AP的接口，即圖中Switch連接AP的接口時，需要去掉報文外層的管理VLAN，然後把剩下的報文内容發送給AP。如果不去掉，則需要在AP上配置management-vlan，這塊原理和管理VLAN的處理流程一緻。不同點在于下面AP的處理方式。

AP除了需要解除CAPWAP封裝外，還需要把業務VLAN去掉，再将VLAN後的802.3字段替換為802.11報文，因為業務報文是發送給STA的，需要把不帶VLAN的業務報文通過無線方式傳送到STA處，這樣STA才能最終接收到能夠識别的數據。

最終STA解析業務報文内容的流程和直接轉發方式下的一樣，STA接收到業務報文後，去除掉外層的802.11字段，剩餘的Payload字段被STA解析處理即可。同樣由于STA無法識别帶有VLAN的報文，所以AP在發送報文給STA前，必須要先去掉業務報文中的VLAN。

由于直接轉發方式和隧道轉發方式下對業務報文存在有不同的處理流程，兩種方式之間互相對比，各自存在着一些優缺點。隧道轉發方式中，由于所有的業務數據都需要轉發到AC，所以在AC上容易集中管理和控制業務報文，并且由于業務報文都封裝在了CAPWAP隧道中，提高了業務報文的安全性。但是同樣由于所有業務報文都轉發給AC，對AC的報文處理能力要求較高。直接轉發方式的特點則剛好與隧道轉發相反。

優缺點對比表如下：

數據轉發方式優點缺點隧道轉發AC集中轉發數據報文，安全性更高，方便集中管理和控制，新增設備部署配置方便，對現網改動小。業務數據必須經過AC封裝轉發，報文轉發效率比直接轉發方式低，AC所受壓力大。直接轉發業務數據不需要經過AC封裝轉發，報文轉發效率高，AC所受壓力小。業務數據不便于集中管理和控制，新增設備部署對現網改動大。

組網選用隧道轉發還是直接轉發，需要結合實際的需求和現網狀況才能選擇出更适合自己的方式。

更多精彩资讯请关注tft每日頭條，我们将持续为您更新最新资讯!