RRouterOS 中文手册
无线/CAPsMAN

CAPsMAN

中文英文原文
官方原文约 37 分钟阅读

本页介绍 RouterOS 中的 CAPsMAN（集中式接入点管理），涵盖无线控制器设置，包括 AAA 身份验证、RADIUS 服务器集成、客户端访问列表等内容。

CAPsMAN

信息

这是旧版 CAPsMAN（/caps-man），供运行 wireless 软件包（/interface/wireless）的设备使用。对于运行 wifi-qcom 或 wifi-qcom-ac 软件包（/interface/wifi 菜单）的设备，请参阅 WiFi CAPsMAN。两者相互独立：WiFi CAP 只能加入 WiFi CAPsMAN，旧版 CAP 只能加入旧版 CAPsMAN。 本节介绍 CAPsMAN 无线控制器文档。您可以用它为受支持的 RouterOS 无线设备配置集中式接入点管理。

CAPsMAN AAA

用于配置 CAPsMAN AAA 功能的设置位于 /caps-man/aaa 菜单：

属性说明
mac-format（string；默认：XX:XX:XX:XX:XX:XX）控制接入点在 MAC 身份验证和 MAC 计费 RADIUS 请求的 User-Name 属性中如何编码客户端 MAC 地址。
mac-mode（as-username | as-username-and-password；默认：as-username）默认情况下，接入点在 MAC 身份验证期间发送 Access-Request 时使用空密码。当此属性设置为 as-username-and-password 时，接入点会将 User-Password 属性设置为与 User-Name 属性相同的值。
mac-caching（disabled | time-interval；默认：disabled）如果此值设置为时间间隔，接入点会缓存 RADIUS MAC 身份验证响应指定时间，如果已有匹配的缓存条目，则不再联系 RADIUS 服务器。值 disabled 会禁用缓存，接入点将始终联系 RADIUS 服务器。
interim-update（disabled | time-interval；默认：disabled）使用 RADIUS 计费时，接入点会定期向 RADIUS 服务器发送计费信息更新。此属性指定默认更新间隔，RADIUS 服务器可以使用 Acct-Interim-Interval 属性覆盖它。
called-format（mac | mac:ssid | ssid；默认：mac:ssid）传递给 RADIUS 的 "called-id" 标识符格式。配置 RADIUS 服务器客户端时，可以指定 "called-id" 以区分多个条目。

示例

假设其他设置均已配置，只保留 "Security" 部分。

使用单个服务器的 Radius 身份验证

  1. 创建 CAPsMAN 安全配置。

  2. 配置 Radius 服务器客户端。

  3. 将配置分配给主配置文件（或直接分配给 CAP 本身）。

/caps-man/security/add authentication-types=wpa2-eap eap-methods=passthrough encryption=aes-ccm group-encryption=aes-ccm name=radius
/radius/add address=x.x.x.x secret=SecretUserPass service=wireless
/caps-man/configuration/set security=radius

为每个 SSID 使用不同 Radius 服务器的身份验证

  1. 创建 CAPsMAN 安全配置。

  2. 配置 AAA 设置。

  3. 配置 Radius 服务器客户端。

  4. 将配置分配给主配置文件（或直接分配给 CAP 本身）。

/caps-man/security/add authentication-types=wpa2-eap eap-methods=passthrough encryption=aes-ccm group-encryption=aes-ccm name=radius 
/caps-man/aaa/set called-format=ssid 
/radius/add address=x.x.x.x secret=SecretUserPass service=wireless called-id=SSID1 
/radius/add address=y.y.y.y secret=SecretUserPass service=wireless called-id=SSID2 
/caps-man/configuration/set security=radius

现在，所有连接到 ssid=SSID1 的 CAP 的客户端，其 radius 身份验证请求都会发送到 x.x.x.x；所有连接到 ssid=SSID2 的 CAP 的客户端，其请求都会发送到 y.y.y.y。

CAPsMAN 访问列表

CAPsMAN 上的访问列表是一组有序规则，用于允许/拒绝客户端连接到 CAPsMAN 控制下的任何 CAP。当客户端尝试连接到由 CAPsMAN 控制的 CAP 时，CAP 会将该请求转发给 CAPsMAN。作为注册过程的一部分，CAPsMAN 会查询访问列表，以确定是否允许客户端连接。访问列表的默认行为是允许连接。

访问列表规则会逐条处理，直到找到匹配规则。然后执行匹配规则中的动作。如果动作指定应接受客户端，则接受该客户端，并可能用访问列表规则中指定的参数覆盖其默认连接参数。

访问列表在 /caps-man/access-list 菜单中配置。访问列表规则有以下参数：

  • 客户端匹配参数：
    • address - 客户端的 MAC 地址。
    • mask - 比较客户端地址时应用的 MAC 地址掩码。
    • interface - 可选接口，用于与客户端实际连接的接口比较。
    • time - 规则匹配的每日时间和星期。
    • signal-range - 规则匹配时客户端信号必须处于的范围。
    • allow-signal-out-of-range - 允许客户端信号始终或在一段时间内超出范围的选项。
  • 动作参数 - 指定客户端匹配时执行的动作：
    • accept - 接受客户端。
    • reject - 拒绝客户端。
    • query-radius - 查询 RADIUS 服务器特定客户端是否允许连接。
  • 连接参数：
    • ap-tx-limit - 指向客户端方向的发送速率限制。
    • client-tx-limit - 指向 AP 方向的发送速率限制（仅适用于 RouterOS 客户端）。
    • client-to-client-forwarding - 指定是否允许将从该客户端接收的数据转发给连接到同一接口的其他客户端。
    • private-passphrase - 敏感 使用某种 PSK 身份验证算法时，为此客户端使用的 PSK 口令。
    • radius-accounting - 指定如果为此客户端完成 RADIUS 身份验证，是否应使用 RADIUS 流量计费。
    • vlan-mode - VLAN 标记模式，指定来自客户端的流量是否应打上标签（并在发往客户端时去除标签）。
    • vlan-id - 进行 VLAN 标记时使用的 VLAN ID。

CAPsMAN 信道

信道组设置允许配置与无线电信道相关的设置列表，例如无线电频段、频率、发射功率、扩展信道和宽度。

信道组设置在 Channels 配置文件菜单 /caps-man/channels 中配置。

属性说明
band（2ghz-b | 2ghz-b/g | 2ghz-b/g/n | 2ghz-onlyg | 2ghz-onlyn | 5ghz-a | 5ghz-a/n | 5ghz-onlyn；默认：）根据无线网卡的硬件能力定义工作无线电频段和模式
comment（string；默认：）信道组配置文件的简短描述
extension-channel（Ce | Ceee | eC | eCee | eeCe | eeeC | disabled；默认：）扩展信道配置。（例如 Ce = 扩展信道位于控制信道上方，eC = 扩展信道位于控制信道下方）
frequency（integer [0..4294967295]；默认：）AP 工作的信道频率值，单位为 MHz。
name（string；默认：）信道组配置文件的描述性名称
tx-power（integer [-30..40]；默认：）CAP 接口的发射功率（针对整个接口，而非单个链），单位为 dBm。不能设置高于国家法规或接口允许的值。默认使用国家或接口允许的最大值。
width（；默认：）设置信道宽度，单位为 MHz。（例如 20、40）
save-selected（；默认：yes）保存为 CAP 无线电选择的信道 - CAP 重新连接到 CAPsMAN 后将选择此信道，并一直使用到对该 CAP 完成信道重新优化。

CAPsMAN 配置

配置配置文件允许将预定义的“顶层”主设置应用于正在配置的 CAP 无线电。

配置配置文件在 /caps-man/configuration 菜单中配置：

属性说明
channel（list；默认：）从 Channel 名称（/caps-man/channels）中获取的用户定义列表
channel.band（2ghz-b | 2ghz-b/g | 2ghz-b/g/n | 2ghz-onlyg | 2ghz-onlyn | 5ghz-a | 5ghz-a/n | 5ghz-onlyn | 5ghz-a/n/ac | 5ghz-only-ac；默认：）定义使用的信道集合。
channel.control-channel-width（40mhz-turbo | 20mhz | 10mhz | 5mhz；默认：）定义使用的信道宽度集合。
channel.extension-channel（Ce | Ceee | eC | eCee | eeCe | eeeC | xx | xxxx | disabled；默认：）扩展信道配置。（例如 Ce = 扩展信道位于控制信道上方，eC = 扩展信道位于控制信道下方）
channel.frequency（integer [0..4294967295]；默认：）AP 工作的信道频率值，单位为 MHz。如果留空，CAPsMAN 会自动确定占用最少的最佳频率。
channel.reselect-interval（time [00:00:00]；[00:00:00..00:00:00]；默认：）选择占用最少频率的间隔，可以定义为随机间隔，例如 "30m..60m"。仅在 channel.frequency 留空时有效。
channel.save-selected（yes | no；默认：no）如果自动选择信道频率并使用了 channel.reselect-interval，则保存最后选择的频率。
channel.secondary-frequency（integer [0..4294967295]；默认：auto）指定用于 80+80MHz 配置的第二频率。将其设置为 Disabled 可禁用 80+80MHz 能力。
channel.skip-dfs-channels（yes | no；默认：no）如果 channel.frequency 留空，选择时将跳过 DFS 信道
channel.tx-power（integer [-30..40]；默认：）CAP 接口的发射功率（针对整个接口，而非单个链），单位为 dBm。不能设置高于国家法规或接口允许的值。默认使用国家或接口允许的最大值。
channel.width（；默认：）设置信道宽度，单位为 MHz。
comment（string；默认：）配置配置文件的简短描述
country（name of the country | no_country_set；默认：no_country_set）限制可用频段、频率以及每个频率的最大发射功率。还指定 scan-list 的默认值。值 no_country_set 是符合 FCC 规范的信道集合。
datapath（list；默认：）从 Datapath 名称（/caps-man/datapath）中获取的用户定义列表
datapath.bridge（list；默认：）应将特定接口自动添加为端口的网桥。仅在不使用本地转发时需要。
datapath.bridge-cost（integer [1..200000000]；默认：）作为网桥端口添加时使用的网桥端口开销
datapath.bridge-horizon（integer [0..4294967295]；默认：）作为网桥端口添加时使用的网桥水平
datapath.client-to-client-forwarding（yes | no；默认：no）控制是否允许连接到接口的无线客户端之间进行客户端到客户端转发；在本地转发模式下由 CAP 执行此功能，否则由 CAPsMAN 执行
datapath.interface-list（；默认：）
datapath.l2mtu（；默认：）设置二层 MTU 大小
datapath.local-forwarding（yes | no；默认：no）控制转发模式。如果禁用，所有 L2 和 L3 数据都会转发给 CAPsMAN，之后才做出进一步转发决策。注意，如果禁用，请确保参与同一广播域的每个 CAP 接口 MAC 地址唯一（包括本地 MAC，例如 Bridge-MAC）。
datapath.mtu（；默认：）设置 MTU 大小
datapath.openflow-switch（；默认：）将接口添加到的 OpenFlow 交换机端口（启用时）
datapath.vlan-id（integer [1..4095]；默认：）如果 vlan-mode 启用 VLAN 标记，则分配给接口的 VLAN ID
datapath.vlan-mode（use-service-tag | use-tag；默认：）启用并指定分配给接口的 VLAN 标签类型（使所有接收数据都打上 VLAN 标签，并允许接口仅发送带有指定标签的数据）
disconnect-timeout（；默认：）
distance（；默认：）
frame-lifetime（；默认：）
guard-interval（any | long；默认：any）是否允许使用短保护间隔（有关其对吞吐量的影响，请参阅 802.11n MCS 规范）。"any" 将根据数据速率使用短或长间隔，"long" 仅使用长间隔。
hide-ssid（yes | no；默认：）yes - AP 不会在信标帧中包含 SSID，也不会回复带有广播 SSID 的探测请求。no - AP 会在信标帧中包含 SSID，并回复带有广播 SSID 的探测请求。此属性仅在 AP 模式下生效。设置为 yes 可能会使某些客户端软件的无线网络列表中不再显示该网络。更改此设置不会提高无线网络的安全性，因为 AP 发送的其他帧中仍包含 SSID。
hw-protection-mode（；默认：）
hw-retries（；默认：）
installation（any | indoor | outdoor；默认：any）
keepalive-frames（enabled | disabled；默认：enabled）
load-balancing-group（string；默认：）将接口标记到负载均衡组。客户端要连接到该组中的接口，该接口已连接的客户端数量应与组内所有其他接口相同或更少。在 CAP 覆盖范围大量重叠的场景中很有用。
max-sta-count（integer [1..2007]；默认：）关联客户端的最大数量。
mode（；默认：ap）设置工作模式。目前仅支持 ap。
multicast-helper（default | disabled | full；默认：default）设置为 full 时，组播数据包将使用单播目标 MAC 地址发送，从而解决无线链路上的组播问题。此选项应仅在接入点上启用，客户端应配置为 station-bridge 模式。disabled - 禁用助手并使用组播目标 MAC 地址发送组播数据包。full - 所有组播数据包的 MAC 地址在发送前都会更改为单播 MAC 地址。default - 当前设置为 disabled 的默认选择。该值可能在将来版本中更改。
name（string；默认：）配置配置文件的描述性名称
rates（；默认：）从 Rates 名称（/caps-man/rates）中获取的用户定义列表
rates.basic（1Mbps | 2Mbps | 5.5Mbps | 6Mbps | 9Mbps | 11Mbps | 12Mbps | 18Mbps | 24Mbps | 36Mbps | 48Mbps | 54Mbps；默认：）
rates.supported（1Mbps | 2Mbps | 5.5Mbps | 6Mbps | 9Mbps | 11Mbps | 12Mbps | 18Mbps | 24Mbps | 36Mbps | 48Mbps | 54Mbps；默认：）
rates.ht-basic-mcs（list of (mcs-0 | mcs-1 | mcs-2 | mcs-3 | mcs-4 | mcs-5 | mcs-6 | mcs-7 | mcs-8 | mcs-9 | mcs-10 | mcs-11 | mcs-12 | mcs-13 | mcs-14 | mcs-15 | mcs-16 | mcs-17 | mcs-18 | mcs-19 | mcs-20 | mcs-21 | mcs-22 | mcs-23)；默认：mcs-0; mcs-1; mcs-2; mcs-3; mcs-4; mcs-5; mcs-6; mcs-7）每个连接客户端都必须支持的调制和编码方案。MCS 规范请参阅 802.11n。
rates.ht-supported-mcs（list of (mcs-0 | mcs-1 | mcs-2 | mcs-3 | mcs-4 | mcs-5 | mcs-6 | mcs-7 | mcs-8 | mcs-9 | mcs-10 | mcs-11 | mcs-12 | mcs-13 | mcs-14 | mcs-15 | mcs-16 | mcs-17 | mcs-18 | mcs-19 | mcs-20 | mcs-21 | mcs-22 | mcs-23)；默认：mcs-0; mcs-1; mcs-2; mcs-3; mcs-4; mcs-5; mcs-6; mcs-7; mcs-8; mcs-9; mcs-10; mcs-11; mcs-12; mcs-13; mcs-14; mcs-15; mcs-16; mcs-17; mcs-18; mcs-19; mcs-20; mcs-21; mcs-22; mcs-23）此设备声明支持的调制和编码方案。MCS 规范请参阅 802.11n。
rates.vht-basic-mcs（none | MCS 0-7 | MCS 0-8 | MCS 0-9；默认：none）每个连接客户端都必须支持的调制和编码方案。MCS 规范请参阅 802.11ac。可以为每个空间流设置 MCS 区间。none - 不使用所选空间流。MCS 0-7 - 客户端必须支持 MCS-0 至 MCS-7。MCS 0-8 - 客户端必须支持 MCS-0 至 MCS-8。MCS 0-9 - 客户端必须支持 MCS-0 至 MCS-9。
rates.vht-supported-mcs（none | MCS 0-7 | MCS 0-8 | MCS 0-9；默认：none）此设备声明支持的调制和编码方案。MCS 规范请参阅 802.11ac。可以为每个空间流设置 MCS 区间。none - 不使用所选空间流。MCS 0-7 - 设备声明支持 MCS-0 至 MCS-7。MCS 0-8 - 设备声明支持 MCS-0 至 MCS-8。MCS 0-9 - 设备声明支持 MCS-0 至 MCS-9。
rx-chains（list of integer [0..3]；默认：0）用于接收的天线。
security（string；默认：none）/caps-man/security 中安全配置的名称
security.authentication-types（list of string；默认：none）指定身份验证类型：wpa-psk、wpa2-psk、wpa-eap 或 wpa2-eap
security.disable-pmkid（；默认：）
security.eap-methods（eap-tls | passthrough；默认：none）eap-tls - 使用内置 EAP TLS 身份验证。passthrough - 接入点将身份验证过程转发给 RADIUS 服务器。
security.eap-radius-accounting（；默认：）指定如果为此客户端完成 RADIUS 身份验证，是否应使用 RADIUS 流量计费
security.encryption（aes-ccm | tkip；默认：）设置使用的单播加密算法类型
security.group-encryption（aes-ccm | tkip；默认：aes-ccm）接入点声明支持这些加密套件之一，可以选择多个值。接入点用它加密所有广播和组播帧。客户端只会尝试连接到使用指定组加密套件之一的接入点。tkip - 临时密钥完整性协议 - 与旧版 WEP 设备兼容的加密协议，但经过增强以修正某些 WEP 缺陷。aes-ccm - 更安全的 WPA 加密协议，基于可靠的 AES（高级加密标准）。没有 WEP 遗留设备的网络应仅使用此加密套件。
security.group-key-update（time: 30s..1h；默认：5m）控制接入点更新组密钥的频率。此密钥用于加密所有广播和组播帧。该属性仅对接入点生效。
security.passphrase（string；默认：） 敏感WPA 或 WPA2 预共享密钥
security.tls-certificate（none | name；默认：）当 security.tls-mode 设置为 no-certificates 以外的值时，接入点始终需要证书。
security.tls-mode（verify-certificate | dont-verify-certificate | no-certificates | verify-certificate-with-crl；默认：）此属性仅在 security.eap-methods 包含 eap-tls 时生效。verify-certificate - 要求远程设备具有有效证书。检查该证书是否由已知证书颁发机构签署。不进行额外的身份验证。证书可能包含有效期信息。如果路由器的时间或日期不正确，可能会因为路由器时钟超出有效期而拒绝有效证书。另请参阅证书配置。dont-verify-certificate - 不检查远程设备的证书。接入点不会要求客户端提供证书。no-certificates - 不使用证书。TLS 会话使用 2048 位匿名 Diffie-Hellman 密钥交换建立。verify-certificate-with-crl - 与 verify-certificate 相同，但还会通过检查证书吊销列表来验证证书是否有效。
ssid（string (0..32 chars)；默认：）SSID（服务集标识符）是在信标中广播的无线网络名称。
tx-chains（list of integer [0..3]；默认：0）用于发送的天线。

CAPsMAN 数据路径

数据路径设置控制与数据转发相关的方面。在 CAPsMAN 中，数据路径设置在数据路径配置文件菜单 /caps-man/datapath 中配置，也可直接在配置配置文件或接口菜单中以 datapath. 前缀设置。

有两种主要转发模式：

  • 本地转发模式，CAP 在本地向无线接口转发数据以及从无线接口转发数据。
  • 管理器转发模式，CAP 将通过无线接收的所有数据发送给 CAPsMAN，并且仅发送从 CAPsMAN 接收的无线数据。在此模式下，甚至客户端到客户端转发也由 CAPsMAN 控制和执行。

转发模式按接口配置 - 因此如果一个 CAP 提供 2 个无线电接口，可以配置一个以本地转发模式运行，另一个以管理器转发模式运行。虚拟 AP 接口同样如此 - 每个接口可以具有与主接口或其他虚拟 AP 接口不同的转发模式。

大多数数据路径设置仅在管理器转发模式下使用，因为在本地转发模式下 CAPsMAN 无法控制数据转发。

数据路径设置如下：

  • bridge -- 启用时要将接口添加为网桥端口的网桥接口。
  • bridge-cost -- 作为网桥端口添加时使用的网桥端口开销。
  • bridge-horizon -- 作为网桥端口添加时使用的网桥水平。
  • client-to-client-forwarding -- 控制是否允许连接到接口的无线客户端之间进行客户端到客户端转发；在本地转发模式下由 CAP 执行此功能，否则由 CAPsMAN 执行。
  • local-forwarding -- 控制转发模式。
  • openflow-switch -- 启用时要将接口添加为端口的 OpenFlow 交换机。
  • vlan-id -- 如果 vlan-mode 启用 VLAN 标记，则分配给接口的 VLAN ID。
  • vlan-mode -- VLAN 标记模式，指定是否应为接口分配 VLAN 标签（使所有接收数据都打上 VLAN 标签，并允许接口仅发送带有指定标签的数据）。

CAPsMAN 接口

CAPsMAN 接口在 /caps-man/interface 菜单中管理：

[admin@CM] > /caps-man/interface/print 
Flags: M - master, D - dynamic, B - bound, X - disabled, I - inactive, R - running 
# NAME RADIO-MAC MASTER-INTERFACE 
0 M BR cap2 00:0C:42:1B:4E:F5 none 
1 B cap3 00:00:00:00:00:00 cap2

CAPsMAN 管理器

属性说明
enabled（yes | no；默认：no）禁用或启用 CAPsMAN 功能
certificate（auto | certificate name | none；默认：none）设备证书
ca-certificate（auto | certificate name | none；默认：none）设备 CA 证书
require-peer-certificate（yes | no；默认：no）要求所有连接的 CAP 都具有有效证书
package-path（string |；默认：）RouterOS 软件包的文件夹位置。例如，使用 "/upgrade" 指定文件部分中的升级文件夹。如果设置为空字符串，CAPsMAN 可以使用内置 RouterOS 软件包，但请注意，这种情况下只有与 CAPsMAN 架构相同的 CAP 才会被升级。
upgrade-policy（none | require-same-version | suggest-same-version；默认：none）CAPsMAN 可以向 CAP 设备发送 NPK 软件包以升级它们。这会绕过 CAP 设备可能具有的任何升级通道偏好，并通过简单的版本号比较工作。如果 CAPsMAN 上安装了更高版本，它将发送软件包并升级设备，无论通道如何。none - 不执行升级。require-same-version - CAPsMAN 建议升级 CAP 的 RouterOS 版本，如果失败则不会配置该 CAP。（仍可手动配置）suggest-same-version - CAPsMAN 建议升级 CAP 的 RouterOS 版本，如果失败仍会进行配置

CAPsMAN 配置下发

CAPsMAN 根据 common-name 标识符区分 CAP。该标识符按以下规则生成：

  • 如果 CAP 提供证书，则标识符设置为证书中的 Common Name 字段。
  • 否则，标识符基于 CAP 提供的 Base-MAC，格式为 '[XX:XX:XX:XX:XX:XX]'。

当与 CAP 的 DTLS 连接成功建立后（意味着 CAP 标识符已知且有效），CAPsMAN 会确保没有使用相同标识符的陈旧 CAP 连接。当前连接的 CAP 列在 /caps-man/remote-cap 菜单中：

[admin@CM] /caps-man> remote-cap print 
# ADDRESS IDENT STATE RADIOS
0 00:0C:42:00:C0:32/27044 MT-000C4200C032 Run 1

CAPsMAN 根据无线接口（无线电）的内置 MAC 地址（radio-mac）区分实际接口。这意味着无法在一个 CAPsMAN 上管理两个具有相同 MAC 地址的无线电。当前由 CAPsMAN 管理（由已连接 CAP 提供）的无线电列在 /caps-man/radio 菜单中：

[admin@CM] /caps-man> radio print 
Flags: L - local, P - provisioned 
# RADIO-MAC INTERFACE REMOTE-AP-IDENT 
0 P 00:03:7F:48:CC:07 cap1 MT-000C4200C032

当 CAP 连接时，CAPsMAN 首先尝试根据 radio-mac 将每个 CAP 无线电绑定到 CAPsMAN 主接口。如果找到合适的接口，则使用主接口配置以及引用该特定主接口的从接口配置来设置无线电。此时，接口（主接口和从接口）被视为已绑定到无线电，无线电被视为已配置。

如果没有找到与无线电匹配的主接口，CAPsMAN 会执行“配置规则”。配置规则是一组有序规则，其中包含指定匹配哪个无线电的设置，以及指定无线电匹配后执行什么动作的设置。

用于匹配无线电的配置规则在 /caps-man/provisioning 菜单中配置：

属性说明
action（create-disabled | create-enabled | create-dynamic-enabled | none；默认：none）规则匹配时执行的动作，由以下设置指定：create-disabled - 为无线电创建禁用的静态接口。即接口将绑定到无线电，但无线电在手动启用接口前不会运行；create-enabled - 创建启用的静态接口。即接口将绑定到无线电，无线电将运行；create-dynamic-enabled - 创建启用的动态接口。即接口将绑定到无线电，无线电将运行；none - 不执行任何操作，使无线电处于未配置状态；
comment（string；默认：）配置规则的简短描述
common-name-regexp（string；默认：）用于按 common name 匹配无线电的正则表达式。每个 CAP 的 common name 标识符可在 /caps-man/radio 中作为 "REMOTE-CAP-NAME" 值找到
hw-supported-modes（a|a-turbo|ac|an|b|g|g-turbo|gn；默认：）按支持的无线模式匹配无线电
identity-regexp（string；默认：）用于按路由器标识匹配无线电的正则表达式
ip-address-ranges（IpAddressRange[,IpAddressRanges] max 100x；默认：""）匹配 IP 位于所配置地址范围内的 CAP。
master-configuration（string；默认：）如果 action 设置为创建接口，则会创建一个新的主接口，其配置设置为此配置配置文件
name-format（cap | identity | prefix | prefix-identity；默认：cap）指定 CAP 接口名称创建的语法。cap - 默认名称。identity - CAP 板卡的系统标识名称。prefix - 来自 name-prefix 值的名称。prefix-identity - 来自 name-prefix 值的名称加上 CAP 板卡的系统标识名称
name-prefix（string；默认：）可在 name-format 中用于创建 CAP 接口名称的名称前缀
radio-mac（MAC address；默认：00:00:00:00:00:00）要匹配的无线电 MAC 地址；空 MAC（00:00:00:00:00:00）表示匹配所有 MAC 地址
slave-configurations（string；默认：）如果 action 设置为创建接口，则会为此列表中的每个配置配置文件创建一个新的从接口。

警告

如果没有规则匹配无线电，则会执行隐式默认规则：动作为 create-enabled，且未设置任何配置。 要获取活动的配置下发匹配器：

[admin@CM] /caps-man/provisioning> print 
Flags: X - disabled 
0 radio-mac=00:00:00:00:00:00 action=create-enabled master-configuration=main-cfg 
slave-configurations=virtual-ap-cfg name-prefix=""

为方便用户，还提供了一些命令，可以对某个无线电或某个 AP 提供的所有无线电重新执行配置过程：

[admin@CM] > /caps-man/radio/provision 0

以及

[admin@CM] > /caps-man/remote-cap/provision 0

CAPsMAN 无线电

请参阅 /caps-man/provisioning

CAPsMAN 速率

请参阅 /caps-man/configuration

CAPsMAN 注册表

注册表包含连接到 CAPsMAN 控制无线电的客户端列表，可在 /caps-man/registration-table 菜单中查看：

[admin@CM] /caps-man> registration-table print
# INTERFACE MAC-ADDRESS UPTIME RX-SIGNAL
0 cap1 00:03:7F:48:CC:0B 1h38m9s210ms -36

CAPsMAN remote-cap

请参阅 /caps-man/provisioning

CAPsMAN 安全

假设其他设置均已配置，只保留 "Security" 部分。

使用单个服务器的 Radius 身份验证

  1. 创建 CAPsMAN 安全配置。

  2. 配置 Radius 服务器客户端。

  3. 将配置分配给主配置文件（或直接分配给 CAP 本身）。

/caps-man/security/add authentication-types=wpa2-eap eap-methods=passthrough encryption=aes-ccm group-encryption=aes-ccm name=radius 
/radius/add address=x.x.x.x secret=SecretUserPass service=wireless 
/caps-man/configuration/set security=radius

为每个 SSID 使用不同 Radius 服务器的身份验证

  1. 创建 CAPsMAN 安全配置。

  2. 配置 AAA 设置。

  3. 配置 Radius 服务器客户端。

  4. 将配置分配给主配置文件（或直接分配给 CAP 本身）。

/caps-man/security/add authentication-types=wpa2-eap eap-methods=passthrough encryption=aes-ccm group-encryption=aes-ccm name=radius 
/caps-man/aaa/set called-format=ssid 
/radius/add address=x.x.x.x secret=SecretUserPass service=wireless called-id=SSID1 
/radius/add address=y.y.y.y secret=SecretUserPass service=wireless called-id=SSID2 
/caps-man/configuration/set security=radius

现在，所有连接到 ssid=SSID1 的 CAP 的客户端，其 radius 身份验证请求都会发送到 x.x.x.x；所有连接到 ssid=SSID2 的 CAP 的客户端，其请求都会发送到 y.y.y.y。