Mini-module d’interface physique Wi-Fi (MPIM)
Le module mini-interface physique Wi-Fi (Mini-PIM) pour pare-feu SRX Series fournit une solution de point d’accès sans fil (ou LAN sans fil) intégrée ainsi que le routage, la commutation et la sécurité dans un seul appareil. Les rubriques ci-dessous décrivent la présentation et la configuration du Mini-PIM Wi-Fi sur les pare-feu SRX Series.
Présentation du module d’interface mini-physique Wi-Fi
Le module d’interface mini-physique Wi-Fi (Wi-Fi Mini-PIM) pour SRX320, SRX340, SRX345, SRX380 et SRX550M fournit un point d’accès sans fil intégré (ou LAN sans fil) ainsi que le routage, la commutation et la sécurité dans un seul appareil. Mini-PIM prend en charge les normes sans fil 802.11ac Wave 2 et est rétrocompatible avec 802.11a/b/g/n. Vous pouvez utiliser les trois nouveaux modèles de Mini-PIM Wi-Fi en fonction des exigences régionales de la norme sans fil ;
SRX-MP-WLAN-US — Modèle basé sur la norme sans fil des États-Unis.
SRX-MP-WLAN-IL : modèle basé sur la norme sans fil d’Israël.
SRX-MP-WLAN-WW — Modèle pour les autres pays.
Vous ne pouvez pas modifier le code pays pour les modèles SRX-MP-WLAN-US et SRX-MP-WLAN-IL car ils sont fixes. Le Mini-PIM Wi-Fi peut coexister avec d’autres Mini-PIM pris en charge par le pare-feu SRX Series. Le tableau 1 fournit un récapitulatif des fonctionnalités prises en charge par Mini-PIM.
Les déploiements typiques d’une solution Mini-PIM Wi-Fi sont les suivants :
Connectivité LAN sans fil sécurisée aux terminaux des utilisateurs de l’entreprise dans les succursales distantes. Les fonctions 802.11ac, WPA2, 802.1X et de mappage SSID-VLAN assurent une connectivité LAN sans fil sécurisée.
Connectivité réseau directe aux appareils Internet des objets (IoT) de l’entreprise. Les fonctions de sécurité des pare-feu SRX Series sécurisent les appareils IoT.
Pour plus d’informations sur l’installation du mini-PIM Wi-Fi pour les passerelles de services SRX Series, reportez-vous à la section Installation du mini-PIM Wi-Fi pour les passerelles de services Wi-Fi.
- Interface LAN sans fil en mode cluster de châssis
- Interface LAN sans fil en mode couche 3 (L3)
- Interface LAN sans fil en mode couche 2 (L2)
- Fonctionnalités prises en charge par le mini-PIM Wi-Fi
Interface LAN sans fil en mode cluster de châssis
Le Mini-PIM est également pris en charge en mode cluster de châssis pour assurer la redondance. Les utilisateurs sans fil sont connectés à l’interface active dans le groupe de redondance. Pour prendre en charge le mode cluster de châssis pour l’interface LAN sans fil Mini-PIM, vous devez configurer la configuration du cluster de châssis avec deux interfaces wl-x/0/0 LAN sans fil et wl-y/0/0, où x indique le numéro d’emplacement que l’interface LAN sans fil Mini-PIM branche sur le nœud 0 et Y indique le numéro d’emplacement que l’interface LAN sans fil Mini-PIM branche sur le nœud 1.
En mode cluster de châssis, une interface LAN sans fil est active, l’autre interface LAN sans fil est inactive. Le client Wi-Fi est associé à l’interface LAN sans fil active.
Vous trouverez ci-dessous la liste des événements qui déclenchent le basculement de l’interface LAN sans fil dans les cas suivants :
l’interface LAN sans fil est anormale.
L’interface LAN sans fil principale est en panne.
Groupe redondant auquel appartient l’interface LAN sans fil à basculement manuel.
Le nœud de l’interface WLAN principal est défaillant.
Après le basculement de l’interface LAN sans fil, l’interface LAN sans fil inactive d’origine devient active et les sessions client Wi-Fi sont reconnectées à la nouvelle interface LAN sans fil principale.
Avec le mode cluster de châssis, le processus WLAND s’exécute sur les deux nœuds. Le WLAND sur le nœud principal envoie la configuration WLAN au PFE sur deux nœuds, puis le PFE transmet la configuration à la carte d’interface LAN sans fil locale afin que deux cartes d’interface LAN sans fil aient la même configuration.
Pour surveiller l’état de l’interface LAN sans fil, WLAND détecte que l’interface LAN sans fil est anormale, ce qui peut déclencher un basculement de groupe redondant. En mode couche 3, par défaut, le moniteur d’activité de l’interface LAN sans fil est configuré pour la haute disponibilité WLAN à l’aide des set chassis cluster redundancy-group 1 interface-monitor wl-2/0/0 weight 255 commandes et set chassis cluster redundancy-group 1 interface-monitor wl-7/0/0 weight 255.
La nouvelle interface LAN sans fil principale est active et la carte d’interface LAN sans fil anormale est redémarrée et passe à l’état inactif. Le client Wi-Fi est automatiquement reconnecté à l’interface LAN sans fil active, car la configuration (radio, canal, bande passante, SSID, etc.) sur le WAP actif est identique à celle de l’interface LAN sans fil d’origine.
Interface LAN sans fil en mode couche 3 (L3)
Les interfaces sont configurées en tant qu’interface subordonnée de RETH à l’aide de la commande set interfaces wl-x/0/0 gigether-options redundant-parent reth-interface. Vous pouvez ajouter l’interface RETH à un groupe redondant et définir la priorité pour chaque nœud du groupe redondant. Une seule interface LAN sans fil est active dans le groupe redondant et l’autre est inactive.
Interface LAN sans fil en mode couche 2 (L2)
Vous pouvez créer des pare-feu SRX Series en mode cluster de châssis avec une interface LAN sans fil Mini-PIM. Les interfaces LAN sans fil homologues sont configurées dans le même VLAN et l’interface LAN sans fil sur le nœud principal du groupe redondant zéro est choisie comme interface active par défaut. Mode L2 (family ethernet-switching) de l’interface LAN sans fil se comporte comme n’importe quel autre port de commutation L2 (port trunk).
Fonctionnalités prises en charge par le mini-PIM Wi-Fi
Le Tableau 1 répertorie les principales fonctionnalités prises en charge par le Mini-PIM Wi-Fi.
Caractéristique |
Description |
|---|---|
MU-MIMO 2x2 |
Permet la transmission de données à plusieurs clients simultanément. |
Deux radios |
Les deux radios des bandes 2,4 GHz et 5 GHz sont prises en charge simultanément. La vitesse maximale prise en charge peut atteindre 1,2 Gbit/s. |
Points d’accès virtuels (VAP) et fonctionnalités VLAN |
|
Coexistence d’interfaces |
Le Mini-PIM Wi-Fi coexiste avec les interfaces 4G LTE, VDSL, T1 et série. |
Méthodes d’authentification des clients |
Les méthodes d’authentification des clients prises en charge sont Wi-Fi Protected Access (WPA), Enterprise (normes WPA2) et Wi-Fi Protected Access (WPA) Personnel (combinaisons de chiffrement AES-CCMP et normes WPA2). |
Configurer le mini-PIM Wi-Fi
Vous pouvez configurer les radios et les points d’accès virtuels sur le Mini-PIM Wi-Fi. Cette rubrique contient des sections décrivant la configuration de base du Mini-PIM Wi-Fi au niveau de l’interface sans fil. Pour plus d’informations sur l’installation d’un mini-PIM Wi-Fi, reportez-vous à la section Installation du mini-PIM Wi-Fi pour les passerelles de services SRX Series.
Les sections suivantes décrivent comment configurer le Mini-PIM Wi-Fi sur votre pare-feu SRX Series.
- Configurer les paramètres réseau pour le mini-PIM Wi-Fi
- Configurer les VLAN
- Configurer plusieurs VLAN et SSID
Configurer les paramètres réseau pour le mini-PIM Wi-Fi
Configurer l’interface wl-
Le nom de l’interface du Mini-PIM est désigné par wl-x/0/0, où x se trouve l’emplacement de la passerelle de services SRX Series dans lequel le Mini-PIM est installé. L’interface wl- est créée automatiquement lorsque vous insérez le Mini-PIM dans la fente du pare-feu SRX Series.
Pour configurer l’interface LAN sans fil :
Configurer le point d’accès
Pour configurer le point d’accès associé à l’interface LAN sans fil wl-x/0/0 :
-
Configurez l’interface.
[edit] user@host# set wlan access-point name interface wl-x/0/0
-
Définissez le code du pays (applicable uniquement pour les modèles SRX-MP-WLAN-WW du Mini-PIM).
Note:Si vous ne définissez pas l’indicatif de pays pour les modèles SRX-MP-WLAN-WW, le Mini-PIM considère que l’indicatif de pays est US. Vous ne pouvez pas définir l’indicatif de pays pour les modèles SRX-MP-WLAN-US et SRX-MP-WLAN-IL.
[edit] user@host# set wlan access-point name access-point-options country country-code
-
Définissez l’emplacement physique (emplacement de votre périphérique matériel, exemple : 1er étage).
[edit] user@host# set wlan access-point name location location
-
Validez la configuration.
[edit] user@host# commit
Configurer les radios
Chaque point d’accès dispose de deux radios : la radio 1 fonctionne avec une bande passante de 5 GHz et la radio 2 avec une bande passante de 2,4 GHz. Un VAP est configuré en fonction de la radio. Vous pouvez configurer jusqu’à huit VAP par radio et mapper jusqu’à 16 ESSID à des VLAN individuels. Le Wi-Fi Mini-PIM permet aux deux radios (2,4 et 5 GHz) de fonctionner simultanément. Vous pouvez également désactiver une radio. Le Tableau 2 répertorie les modes pris en charge sur chaque radio.
Toute modification des paramètres radio peut entraîner l’arrêt et le redémarrage des processus système du point d’accès. Si cela se produit, les clients sans fil connectés au point d’accès perdent temporairement leur connectivité. Nous vous recommandons de modifier les paramètres radio lorsque le trafic WLAN est faible.
| Radio |
Modes pris en charge |
|---|---|
| Radio 1 (5,0 GHz) |
|
| Radio 2 (2,4 GHz) |
|
Pour configurer la radio :
-
Configurez le mode radio. Radio 1 prend en charge les modes can et an. Radio 2 ne prend en charge que le mode gn.
For radio 1: [edit] user@host# set wlan access-point name radio 1 radio-options mode [an|acn]
For radio 2: [edit] user@host# set wlan access-point name radio 2 radio-options mode gn
-
Configurez le numéro de canal. Si vous sélectionnez auto, le Mini-PIM choisit automatiquement le canal. Par défaut, le numéro de canal est défini sur
auto.[edit] user@host# set wlan access-point name radio [1|2] radio-options channel number [auto | channel-number]
-
Configurez la bande passante du canal. La largeur de bande par défaut est de 20 MHz pour la radio 2,4 GHz et de 40 MHz pour la radio 5 GHz. Vous ne pouvez définir que 80 MHz comme largeur de bande pour la radio 5 GHz et non pour la 2,4 GHz.
[edit] user@host# set wlan access-point name radio [1|2] radio-options channel bandwidth [20|40|80]
-
Configurez la puissance d’émission. Vous pouvez configurer la puissance d’émission par radio.
Note:Lorsque vous configurez la puissance d’émission, la carte Mini-PIM fixera la puissance d’émission à la valeur spécifiée définie, dans ce cas, la fonctionnalité de puissance par débit ne fonctionne pas. Il est donc recommandé de ne pas régler la puissance d’émission sur une valeur spécifiée. Si vous ne configurez pas la puissance d’émission (ne fixez pas la puissance d’émission à une valeur spécifiée), la fonctionnalité de puissance par débit fonctionne. Si vous configurez le pourcentage de puissance de transmission sur 100, il choisit l’option «
auto», le comportement est similaire à aucune puissance de transmission configurée et la fonctionnalité de puissance par débit fonctionnera.[edit] user@host# set wlan access-point name radio [1|2] radio-options transmit-power percent
-
Validez la configuration.
[edit] user@host# commit
Dans les pays où la sélection dynamique de fréquence (DFS) est requise, la carte Wi-Fi effectue les vérifications appropriées pour le radar. DFS est activé par défaut. Si vous définissez la
channel numbervaleur surauto, le point d’accès sélectionne le canal dans la liste des canaux DFS et non-DFS. Vous pouvez désactiver DFS à l’aide de l’optiondfs-offset wlan access-point name radio 1 radio-options dfs-off.Seule la radio 5 GHz (radio 1) prend en charge DFS.
Pour plus d’informations sur DFS, reportez-vous à la section Canaux et fréquences pris en charge sur le mini-PIM Wi-Fi.
Configurer les points d’accès virtuels (VAP)
Les VAP permettent de segmenter le LAN sans fil en plusieurs domaines de diffusion qui sont les équivalents sans fil des VLAN Ethernet. Pour configurer le VAP :
-
Saisissez un ID et une description pour le VAP.
[edit] user@host# set wlan access-point name radio [1|2] virtual-access-point id description description
-
Entrez la valeur SSID.
[edit] user@host# set wlan access-point name radio [1|2] virtual-access-point id ssid ssid
-
Configurez l’une des méthodes d’authentification de sécurité suivantes pour le VAP.
-
none : les données transférées entre les clients et le point d’accès ne sont pas chiffrées. Les clients peuvent s’associer au point d’accès sans aucune authentification.
[edit] user@host# set wlan access-point name radio [1|2] virtual-access-point id security none
-
wpa-enterprise : l’appareil s’authentifie via un serveur RADIUS conforme à la norme 802.1X.
[edit] user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-enterprise cipher-suites ccmp user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-enterprise radius-server ip-address user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-enterprise radius-port port user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-enterprise radius-key secret-key user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-enterprise wpa-version v2
-
wpa-personal : l’appareil utilise des clés prépartagées (PSK) ou une phrase secrète pour l’authentification et le chiffrement. Les clés sont stockées sur l’appareil et sur tous les clients sans fil. Vous n’avez pas besoin de configurer un serveur d’authentification distinct.
[edit] user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-personal cipher-suites ccmp user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-personal key-type [ascii|hex] user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-personal key password user@host# set wlan access-point name radio [1|2] virtual-access-point id security wpa-personal wpa-version v2
-
-
Configurez et spécifiez les limites de débit de chargement et de téléchargement sur le Mini-PIM Wi-Fi. La plage pour
upload-limitetdownload-limitest de 256 Kbit/s à 1 048 576 Kbit/s.[edit] user@host# set wlan access-point name radio [1|2] virtual-access-point id upload-limit upload-limit-rate user@host# set wlan access-point name radio [1|2] virtual-access-point id download-limit download-limit-rate
-
Spécifiez le nombre maximal de clients pouvant être connectés au VAP.
[edit] user@host# set wlan access-point name radio [1|2] virtual-access-point id maximum-stations number
-
Validez la configuration.
[edit] user@host# commit
Une fois la configuration terminée, vous pouvez afficher les paramètres à l’aide de la show wlan access-points name detail commande.
Configurer les VLAN
Configurer les VLAN en fonction de la fonction VAP
(Facultatif) Un point d’accès unique est séparé en plusieurs points d’accès virtuels (VA) individuels simulant plusieurs points d’accès dans un seul système. Le point d’accès prend en charge plusieurs VLAN. Pour configurer l’ID de VLAN en fonction du PAP :
Configurer l’authentification WPA pour l’entreprise
(Facultatif) Le Wi-Fi Protected Access (WPA) d’entreprise est une norme de la Wi-Fi Alliance qui utilise l’authentification du serveur RADIUS avec la suite de chiffrement AES-CCMP. Avec ce mode, vous pouvez utiliser un cryptage de haute sécurité ainsi qu’une authentification des utilisateurs gérée de manière centralisée. Seule la norme WPA2 est prise en charge. Pour configurer l’authentification d’entreprise WPA :
Configurez le carnet d’adresses et attribuez une zone de sécurité.
[edit] user@host# set security address-book book-name address address-name ip-prefix user@host# set security address-book book-name attach zone trust user@host# set security address-book book-name attach zone dot1x
Configurez l’ensemble de règles de la source de sécurité de la zone de confiance à l’authentification WPA.
[edit] user@host# set security nat source rule-set rule-set-name from zone trust user@host# set security nat source rule-set rule-set-name to zone dot1x
Configurez la source de sécurité pour qu’elle corresponde à l’adresse source et à l’adresse de destination.
[edit] user@host# set security nat source rule-set rule-set-name rule rule-name match source-address ip-address user@host# set security nat source rule-set rule-set-name rule rule-name match destination-address ip-address
Configurez le protocole UDP et la source de sécurité sur l’interface.
[edit] user@host# set security nat source rule-set rule-set-name rule rule-name match protocol udp user@host# set security nat source rule-set rule-set-name rule rule-name then source-nat interface
Attribuez les stratégies de sécurité à l’adresse source et à l’adresse de destination.
[edit] user@host# set security policies from-zone trust to-zone dot1x policy internet-access match source-address ip-address user@host# set security policies from-zone trust to-zone dot1x policy internet-access match destination-address ip-address user@host# set security policies from-zone trust to-zone dot1x policy internet-access match application any user@host# set security policies from-zone trust to-zone dot1x policy internet-access then permit
Validez la configuration.
Une fois la configuration terminée, vous pouvez afficher les paramètres à l’aide de la show wlan access-points name virtual-access-points commande.
Configurer plusieurs VLAN et SSID
Vous pouvez configurer 8 VAP sur chaque radio et chaque VAP est identifié par le SSID. Jusqu’à 16 SSID peuvent être configurés sur le Mini-PIM Wi-Fi. Vous pouvez mapper un VLAN à chaque SSID ou attribuer un seul VLAN à plusieurs SSID Le client se connecte au VAP à l’aide du SSID et est associé au VLAN mappé au SSID.
Vous pouvez configurer plusieurs SSID pour fournir différents niveaux d’accès à différents équipements et utilisateurs. Voici un exemple de configuration pour trois types d’utilisateurs différents qui se connectent à différents VAP. Chaque VAP est associé à un VLAN différent.
Interface |
VLAN ID |
Pool d’adresses |
VAP |
SSID (SSID) |
Pool d’adresses |
|---|---|---|---|---|---|
WL-2/0/0.0 |
100 |
junosDHCPPool |
|
|
192.168.2.0/24 |
WL-2/0/0,10 |
10 |
junosDHCPPool1 |
VAP1 |
VAP-10 |
192.168.10.0/24 |
WL-2/0/0,20 |
20 |
junosDHCPPool2 |
VAP2 |
VAP-20 |
192.168.20.0/24 |
WL-2/0/0,30 |
30 |
junosDHCPPool3 |
VAP3 |
VAP-30 |
192.168.30.0/24 |
Vérification
Affichez des informations sur les paramètres configurés sur le Mini-PIM Wi-Fi.
-
Pour afficher le détail de tous les points d’accès configurés sur le Mini-PIM :
user@host# show wlan access-pointsActive access points information Access-Point Type Interface Radio-mode/Channel/Bandwidth wap3 Int wl-2/0/0 acn/120/40, gn/11/20
-
Permet d’afficher l’état du point d’accès spécifique.
user@host# show wlan access-points ap-name detail
show wlan access-points wap3 detail Active access point detail information Access Point : wap3 Description : juniper_name:srx345-rocket_1_interface:wl-3/0/0 Type : Internal Location : Floor_srx345-rocket_1 Firmware Version : v1.2.9 Alternate Version : v1.5.5-1-g62e9ba0 Country : US Access Interface : wl-3/0/0 System Time : Wed Dec 28 16:13:04 UTC 2022 Packet Capture : Off Ethernet Port: MAC Address : 72:19:2a:56:a2:0c Radio1: Status : On MAC Address : 94:f7:ad:2c:08:41 Temperature : 49 Mode : IEEE 802.11a/n/ac Channel : 153 Bandwidth : 40 Transmit Power : 100 Radio2: Status : On MAC Address : 94:f7:ad:2c:08:42 Temperature : 48 Mode : IEEE 802.11g/n Channel : 6 Bandwidth : 40 Transmit Power : 100
-
Permet d’afficher les détails des clients connectés au point d’accès.
user@host# show wlan access-points ap-name client-associationsAccess point client associations information Access point: wap3 VAP Client MAC Address Auth Packets Rx/Tx Bytes Rx/Tx Radio1:5g_vap1 00:00:5e:00:53:a3 NO 3/0 510/0
-
Pour afficher des détails sur les points d’accès virtuels.
user@host# run show wlan access-points ap-name virtual-access-points all
Virtual access points information Access point name: wap3 Radio1: VAP0: SSID : srx345-rocket_vap_5G_1 Description : srx345-rocket_vap_5G MAC Address : 94:f7:ad:2c:08:41 Maximum Station : 127 Broadcast SSID : Enable Station Isolation : Disable Upload Limit : Disable Download Limit : Disable VLAN ID : 100 Station MAC Filter : Disable Traffic Statistics: Input Bytes : 0 Output Bytes : 0 Input Packets : 0 Output Packets : 0 Radio2: VAP0: SSID : srx345-rocket_vap_2.4G_1 Description : srx345-rocket_vap_2dot4G MAC Address : 94:f7:ad:2c:08:42 Maximum Station : 127 Broadcast SSID : Enable Station Isolation : Disable Upload Limit : Disable Download Limit : Disable VLAN ID : 100 Station MAC Filter : Disable Traffic Statistics: Input Bytes : 0 Output Bytes : 0 Input Packets : 0 Output Packets : 0