Exemple de configuration de réseaux VLAN sur des points d'accès Aironet

Introduction

Ce document fournit un exemple de configuration qui démontre comment configurer des VLAN sur les points d'accès (AP) Cisco Aironet avec l'utilisation de l'interface de lignes de commande (CLI).

Conditions préalables

Conditions requises

Assurez-vous que vous répondez à ces exigences avant d'essayer cette configuration :

• Connaissance de la configuration de base des points d’accès Aironet

• Connaissance de la configuration de l’adaptateur Aironet 802.11 a/b/g à l’aide de l’utilitaire de bureau Aironet

• Connaissance de base de la configuration des commutateurs Cisco Catalyst et des routeurs Cisco

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Point d’accès Aironet de la série 1240AG qui exécute la version 12.4(3g)JA1 du logiciel Cisco IOS®

• Adaptateur client Aironet 802.11a/b/g

• Utilitaire de bureau Aironet qui exécute la version 2.5 du micrologiciel

• Commutateur Catalyst 2950 qui exécute la version 12.1(19)EA1 du logiciel Cisco IOS

• Routeur à services intégrés 2800 qui exécute la version 12.4(11)T du logiciel Cisco IOS

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Diagramme du réseau

Ce document utilise cette configuration du réseau.

Un point d’accès Aironet de la série 1200 comporte trois VLAN : VLAN 2, VLAN 20 et VLAN 30. La configuration indiquée dans ce document utilise le VLAN 2 en tant que VLAN natif, le VLAN 20 pour l’administrateur et le VLAN 30 pour les utilisateurs invités. Les utilisateurs sans fil qui appartiennent au service administrateur doivent se connecter au point d’accès et doivent pouvoir se connecter au réseau filaire des utilisateurs du service administrateur (sur le VLAN 20). Les utilisateurs invités sans fil doivent pouvoir se connecter à un serveur Web situé sur le segment filaire du VLAN 30. Un commutateur Catalyst 2950 connecte le point d’accès au réseau filaire. Un routeur à services intégrés 2800 se connecte au même commutateur et joue le rôle de serveur DHCP pour les clients sans fil qui appartiennent au VLAN 20 et au VLAN 30. Le routeur doit attribuer des adresses IP aux clients à partir de leur sous-réseau respectif. Vous devez configurer le point d’accès, le commutateur Catalyst et le routeur pour mettre en œuvre cette configuration.

Vous trouverez ci-dessous la liste des adresses IP utilisées pour les appareils désignés dans le document. Toutes les adresses IP utilisent 24 masques de sous-réseau.

• L’adresse IP de l’interface BVI (Bridge-Group Virtual Interface) (VLAN 2) : 172.16.1.20

• Le client sans fil (SSID admin) qui se connecte au VLAN 20 obtient une adresse IP du serveur DHCP du routeur à partir du sous-réseau 172.16.2.0

• Le client sans fil (SSID invité) qui se connecte au VLAN 30 obtient une adresse IP du serveur DHCP du routeur à partir du sous-réseau 172.16.3.0

• L’utilisateur admin sur le réseau filaire du VLAN 20 :172.16.2.60 (adresse IP statique)

• Serveur Web sur le VLAN 30 :172.16.3.60 (adresse IP statique)

• Sous-interface du routeur dans le VLAN 2 :172.16.1.1

• Sous-interface du routeur dans le VLAN 20 :172.16.2.1

• Sous-interface du routeur dans le VLAN 30 :172.16.3.1

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : Utilisez l’outil de recherche de commandes (clients inscrits seulement) pour en savoir plus sur les commandes figurant dans le présent document.

Pour que le point d’accès se connecte à un VLAN précis, vous devez configurer l’identificateur SSID (Secure Set Identifier) pour qu’il reconnaisse le VLAN. Le numéro ou le nom d’un VLAN permet de l’identifier. Par conséquent, si vous configurez le SSID sur un point d’accès pour reconnaître le nom ou le numéro d’un VLAN précis, vous pouvez établir une connexion au VLAN. Après l’établissement de la connexion, les clients sans fil qui se connectent au point d’accès à l’aide du SSID sont attribués à ce VLAN. Comme vous pouvez configurer jusqu’à 16 SSID par point d’accès, vous pouvez créer 16 VLAN sur un point d’accès. Pour configurer les VLAN sur les points d’accès et établir la connectivité, vous devez effectuer les étapes suivantes :

1. Configurez le VLAN natif sur le point d’accès.

2. Configurez les VLAN pour les utilisateurs invités et les utilisateurs admin sur le point d’accès.

3. Configurez le commutateur Catalyst.

4. Configurer le routeur

Configurer le VLAN natif sur le point d’accès

Le VLAN, auquel le point d’accès lui-même et d’autres dispositifs d’infrastructure, tels que le commutateur, se connectent, est appelé « VLAN natif ». Le VLAN natif du point d’accès est généralement différent des autres VLAN configurés sur le point d’accès. Il s’agit de l’interface BVI, qui est utilisée pour la gestion du point d’accès auquel une adresse IP est attribuée dans le sous-réseau du VLAN natif. Le trafic, comme le trafic de gestion, est envoyé à et par le point d’accès sur le VLAN natif, et n’est pas balisé. Tout le trafic non balisé reçu sur un port réseau IEEE 802.1Q (dot1q) est transmis avec le VLAN natif configuré pour ce port. Si le numéro VLAN d’un paquet est identique au numéro du VLAN natif du port d’envoi, le commutateur enverra le paquet sans balise. Dans le cas contraire, le commutateur enverra le paquet à l’aide d’une balise.

Pour configurer un VLAN natif sur un point d’accès, exécutez les commandes suivantes selon un mode de configuration globale sur le point d’accès :

AccessPoint<config>#interface fastethernet 0.2
AccessPoint<config-subif>#encapsulation dot1q 2 native

!--- Configure the encapsulation as dot1q and assign VLAN 2 as the native VLAN !--- on the Fast Ethernet interface.

AccessPoint<config-subif>#exit
AccessPoint<config>#interface dot11radio 0.2
AccessPoint<config-subif>#encapsulation dot1q 2 native

!--- Configure the encapsulation as dot1q and assign VLAN 2 as the native VLAN !--- on the radio interface.

AccessPoint<config-subif>#end

Configurer les VLAN pour les utilisateurs invités et les utilisateurs admin sur le point d’accès.

Ici, vous devez configurer deux VLAN, l’un pour les utilisateurs invités et l’autre pour les utilisateurs admin. Vous devez également associer le SSID à des VLAN précis. Cet exemple permet de configurer les éléments suivants :

• VLAN 20 pour le service administrateur avec le SSID admin

• VLAN 30 pour les utilisateurs invités avec le SSID invité

Afin de configurer ces VLAN, entrez les commandes suivantes selon un mode de configuration globale :

AccessPoint#configure terminal

!--- Enter global configuration mode.

AccessPoint(config)#interface dot11radio 0

!--- Enter radio interface configuration mode.

AccessPoint(config-if)#ssid Admin

!--- Configure the SSID "Admin".

AccessPoint(config-if-ssid)#vlan 20

!--- Assign VLAN 20 to the SSID.

AccessPoint(config-if-ssid)#authentication open

!--- Configure open authentication for the SSID.

AccessPoint(config-if-ssid)#end

AccessPoint(config) interface fastethernet 0.20

!--- Enter subinterface mode on the Fast Ethernet interface.

AccessPoint(config-subif) encapsulation dot1Q 20

!--- Set the encapsulation as dot1q for VLAN 20.

AccessPoint(config-subif) bridge-group 20 

!--- Assign the subinterface to bridge group 20.

AccessPoint(config-subif) exit

AccessPoint(config) interface dot11radio 0.20

!--- Enter subinterface mode on the radio interface.

AccessPoint(config-subif) encapsulation dot1Q 20 

!--- Set the encapsulation as dot1q for VLAN 20.

AccessPoint(config-subif) bridge-group 20

!--- Assign the subinterface to bridge group 20.

AccessPoint(config-subif) exit

Répétez la même procédure afin de configurer le VLAN 30 pour les utilisateurs administrateurs :

AccessPoint#configure terminal
AccessPoint(config)#interface dot11radio 0
AccessPoint(config-if)#ssid Guest
AccessPoint(config-if-ssid)#vlan 30
AccessPoint(config-if-ssid)#authentication open
AccessPoint(config-if-ssid)#end

AccessPoint(config) interface fastethernet 0.30
AccessPoint(config-subif) encapsulation dot1Q 30
AccessPoint(config-subif) bridge-group 30
AccessPoint(config-subif) exit

AccessPoint(config) interface dot11radio 0.30
AccessPoint(config-subif) encapsulation dot1Q 30
AccessPoint(config-subif) bridge-group 30
AccessPoint(config-subif) exit	

Remarque : ce document utilise l'authentification ouverte pour les SSID Admin et Guest. Les types d’authentification sont liés aux SSID que vous configurez pour le point d’accès. Pour en savoir plus sur la configuration des différents types d’authentification sur le point d’accès, consultez la section Configuration des typesd’authentification.

Configurer le commutateur Catalyst

L’étape suivante consiste à configurer les ports de commutateur qui permettront de connecter les points d’accès et le routeur au réseau filaire. Vous devez configurer le port de commutateur qui se connecte au point d’accès et au routeur en tant que port réseau, car ce port transporte le trafic en provenance de tous les VLAN du réseau sans fil. Dans cet exemple, les VLAN comprennent le VLAN 20, le VLAN 30 et le VLAN natif 2. Lorsque vous configurez le port de commutateur, qui se connecte au point d’accès et au routeur, assurez-vous que les VLAN natifs que vous configurez correspondent au VLAN natif sur le point d’accès et le routeur. Sinon, les trames seront interrompues. Afin de configurer le port réseau sur le commutateur, exécutez les commandes suivantes à partir de l’interface de ligne de commande (CLI) sur le commutateur :

Remarque : ce document utilise le commutateur Catalyst 2950. Les configurations du port de commutateur peuvent varier, selon le modèle de commutateur que vous utilisez. Comme le montre le schéma, l’interface FastEthernet 0/5 se connecte au routeur et l’interface FastEthernet 0/10 se connecte au point d’accès.

Switch#configure terminal 
Switch<config>#interface fastethernet 0/5

!--- Enter the interface mode for Fast Ethernet 0/5.

Switch<config-if>#switchport mode trunk 

!--- Configure the switch port mode to trunk mode.

Switch<config-if>#switchport trunk encapsulation dot1q

!--- Configure the encapsulation on the switch port to dot1q.

Switch<config-if>#switchport trunk native vlan 2

!--- Configure the native VLAN as VLAN 2.

Switch<config-if>#switchport trunk allowed vlan add 2,20,30

!--- Configure the list of VLANs that are allowed on the trunk port.

Switch<config-if>#switchport nonegotiate


Switch#configure terminal 
Switch<config>#interface fastethernet 0/10

!--- Enter the interface mode for Fast Ethernet 0/10

Switch<config-if>#switchport mode trunk 

!--- Configure the switch port mode to trunk mode.

Switch<config-if>#switchport trunk encapsulation dot1q

!--- Configure the encapsulation on the switch port to dot1q.

Switch<config-if>#switchport trunk native vlan 2

!--- Configure the native VLAN as VLAN 2.

Switch<config-if>#switchport trunk allowed vlan add 2,20,30

!--- Configure the list of VLANs that are allowed on the trunk port.

Switch<config-if>#switchport nonegotiate

Remarque : l'équipement sans fil Aironet basé sur le logiciel Cisco IOS ne prend pas en charge le protocole DTP (Dynamic Trunking Protocol). Par conséquent, le commutateur ne doit pas essayer de négocier le DTP.

Configurer le routeur

Le routeur est configuré en tant que serveur DHCP pour les clients sans fil dans le VLAN 20 et le VLAN 30. Le routeur dispose de trois sous-interfaces, une pour chacun des VLAN 2, VLAN 20 et VLAN 30, de sorte qu’il puisse attribuer des adresses IP aux clients dans le sous-réseau de leur VLAN respectif et effectuer le routage inter-VLAN.

Router#configure terminal
Router<config>#interface fastethernet 0/0.2

!--- Configures a Sub-interface .2 on fastethernet 0/0

Router<config-subif>#encapsulation dot1q 2 native 

!--- configures the encapsulation as dot1q and assigns VLAN 2 to the sub-interface This command also makes VLAN 2 as the Native VLAN. Here number 2 is the VLAN-id.

Router<config-subif>#ip address 172.16.1.1 255.255.255.0

!--- Assign ip address from Native VLAN 2 subnet - 172.16.1.0 /24 to the sub-interface

Router<config-subif>#exit
Router<config>#interface fastethernet 0/0.20

!--- Configures a Sub-interface .20 on fastethernet 0/0

Router<config-subif>#encapsulation dot1q 20 

!--- configures the encapsulation as dot1q and assigns VLAN 20 to the sub-interface Here number 20 is the VLAN-id.

Router<config-subif>#ip address 172.16.2.1 255.255.255.0

!--- Assign ip address from VLAN 20 subnet - 172.16.2.0 /24 to the sub-interface 

Router<config-subif>#exit
Router<config>#interface fastethernet 0/0.30

!--- Configures a Sub-interface .30 on fastethernet 0/0

Router<config-subif>#encapsulation dot1q 30 

!--- configures the encapsulation as dot1q and assigns VLAN 30 to the sub-interface Here number 30 is the VLAN-id.

Router<config-subif>#ip address 172.16.3.1 255.255.255.0

!--- Assign ip address from VLAN 30 subnet - 172.16.3.0 /24

Router<config-subif>#exit


DHCP Configuration starts here

Router<config>#ip dhcp excluded-address 172.16.2.1
Router<config>#ip dhcp excluded-address 172.16.3.1

!--- excluded-address command is used to exclude the specified ip addresses from the DHCP pool. In this case router's sub-interface addresses are excluded.

Router<config>#ip dhcp pool pool1

!--- Creates a DHCP pool with a name pool1 and enters the DHCP config mode

router<dhcp-config>#network 172.16.2.0 /24

!--- From this pool Clients are assigned ip addresses from 172.16.2.0 /24 Subnet i.e. from 172.16.2.2 - 172.16.2.254

router<dhcp-config>#default-router 172.16.2.1

!--- Default-gateway assigned to the client from this pool is 172.16.2.1 . Default-router is nothing but default-gateway

Router<config>#ip dhcp pool pool2

!--- Creates a DHCP pool with a name pool2 and enters the DHCP config mode

router<dhcp-config>#network 172.16.3.0 /24

!--- From this pool Clients are assigned ip addresses from 172.16.3.0 /24 Subnet i.e. from 172.16.3.2 - 172.16.3.254

router<dhcp-config>#default-router 172.16.3.1

!--- Default-gateway assigned to the client from this pool is 172.16.3.1 . 

Vérification

Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.

Vous pouvez vérifier si la configuration fonctionne comme prévu. Le client sans fil (utilisateur admin) configuré avec le SSID admin doit être connecté au VLAN 20. Le même utilisateur doit être en mesure de se connecter à l’utilisateur admin sur le réseau filaire, qui se trouve également sur le même VLAN. Activez le profil du client sans fil de l’utilisateur admin aux fins de vérification.

Remarque : Ce document n'explique pas comment configurer le client sans fil afin de configurer des profils. Pour en savoir plus sur la configuration de l’adaptateur du client sans fil, consultez la section Configuration de l’adaptateur client.

Cet exemple de fenêtre montre que le client sans fil est associé au point d’accès :

La commande Show dot11 association (afficher les associations dot11) du point d’accès permet également de vérifier que le client est connecté au VLAN 10 :

Note : L'outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .

AccessPoint#show dot11 associations

802.11 Client Stations on Dot11Radio0:

SSID [Admin] :

MAC Address    IP address      Device        Name            Parent         State
0040.96ac.e657 172.16.2.50     CB21AG/PI21AG Admin User      self           Assoc

Vous pouvez exécuter la commande Show VLANS (afficher les VLAN) du point d’accès afin d’afficher les VLAN qui y sont configurés. Voici un exemple :

AccessPoint#show vlans

Virtual LAN ID:  2 (IEEE 802.1Q Encapsulation)

   vLAN Trunk Interfaces:  Dot11Radio0.2
FastEthernet0.2

This is configured as native Vlan for the following interface(s) :
Dot11Radio0
FastEthernet0

   Protocols Configured:   Address:              Received:        Transmitted:
        Bridging        Bridge Group 1               1380                 712
        Other                                          0                  63

   0 packets, 0 bytes input
   733 packets, 50641 bytes output
        Bridging        Bridge Group 1               1380                 712
        Other                                          0                  63

   1381 packets, 98016 bytes input
   42 packets, 12517 bytes output

Virtual LAN ID:  20 (IEEE 802.1Q Encapsulation)

   vLAN Trunk Interfaces:  Dot11Radio0.20
FastEthernet0.20

   Protocols Configured:   Address:              Received:        Transmitted:
        Bridging        Bridge Group 20               798                 622
        Other                                          0                  19

   247 packets, 25608 bytes input
   495 packets, 43585 bytes output
        Bridging        Bridge Group 20               798                 622
        Other                                          0                  19

   552 packets, 37536 bytes input
   148 packets, 21660 bytes output

Virtual LAN ID:  30 (IEEE 802.1Q Encapsulation)

   vLAN Trunk Interfaces:  Dot11Radio0.30
FastEthernet0.30

   Protocols Configured:   Address:              Received:        Transmitted:
        Bridging        Bridge Group 30               693                 609
        Other                                          0                  19

   106 packets, 13373 bytes input
   517 packets, 48029 bytes output
        Bridging        Bridge Group 30               693                 609
        Other                                          0                  19

   605 packets, 47531 bytes input
   112 packets, 15749 bytes output

Vous pouvez maintenant vérifier si l’utilisateur admin sans fil peut se connecter à l’utilisateur admin filaire, configuré pour le même VLAN. Exécutez la commande ping sur le client sans fil. Voici un exemple :

D:\>ping 172.16.2.60

Pinging 172.16.2.60 with 32 bytes of data:

Reply from 172.16.2.60: bytes=32 time<10ms TTL=255
Reply from 172.16.2.60: bytes=32 time<10ms TTL=255
Reply from 172.16.2.60: bytes=32 time<10ms TTL=255
Reply from 172.16.2.60: bytes=32 time<10ms TTL=255

Ping statistics for 172.16.2.60:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 0ms, Maximum =  0ms, Average =  0ms

De même, vous pouvez vérifier si les utilisateurs invités sont connectés au VLAN 30. Vous pouvez exécuter la commande ping sur le client sans fil invité afin de tester la connectivité au serveur Web filaire. Voici un exemple :

D:\>ping 172.16.3.60

Pinging 172.16.3.60 with 32 bytes of data:

Reply from 172.16.3.60: bytes=32 time<10ms TTL=255
Reply from 172.16.3.60: bytes=32 time<10ms TTL=255
Reply from 172.16.3.60: bytes=32 time<10ms TTL=255
Reply from 172.16.3.60: bytes=32 time<10ms TTL=255

Ping statistics for 172.16.3.60:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 0ms, Maximum =  0ms, Average =  0ms

Dépannage

Utilisez cette section pour dépanner votre configuration.

Procédure de dépannage

Suivez ces instructions afin de faire le dépannage de votre configuration :

1. Vérifiez si le VLAN natif configuré sur le port de commutation et connecté au point d’accès correspond au VLAN natif du point d’accès.

   En cas de discordance du VLAN natif, le commutateur ne permet pas de se connecter.

2. Assurez-vous que tous les VLAN configurés pour le sans fil sont autorisés sur le port de commutation configuré en tant que ligne principale.

   Par défaut, tous les VLAN sont autorisés par l’entremise du port réseau.

3. Vérifiez si la commande Bridge-group (groupe de ponts) est configurée sur tous les VLAN, à l’exception du VLAN natif.

   Vous n’avez pas besoin de configurer un groupe de ponts sur la sous-interface que vous avez configurée en tant que VLAN natif. Ce groupe de ponts est automatiquement déplacé vers la sous-interface native afin de conserver la liaison au BVI 1, qui représente à la fois les interfaces radio et Ethernet.

   Attention : Lorsque vous configurez la commande bridge-group, ces commandes sont automatiquement activées :

   bridge-group 10 subscriber-loop-control
   bridge-group 10 block-unknown-source
   no bridge-group 10 source-learning
   no bridge-group 10 unicast-flooding
   bridge-group 10 spanning-disabled
   

   Il s’agit des paramètres par défaut standard, qui ne doivent pas être modifiés, sauf si vous y êtes invité. Si vous supprimez ces commandes, le WLAN risque de ne pas fonctionner comme prévu.

Dépannage des commandes

Vous pouvez également utiliser ces commandes afin d’effectuer le dépannage de votre configuration sur le point d’accès :

Note : L'outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .

• Show VLANS (afficher les VLAN)

• Show VLAN dot1q (afficher les VLAN dot1q)

• Show dot11 associations (afficher les associations dot11)

Sur le commutateur Catalyst 2950, vous pouvez utiliser ces commandes afin d’effectuer le dépannage de la configuration :

• Show VLANS (afficher les VLAN)

• Show interface FastEthernet x/x switchport (afficher l’interface FastEthernet x/x port du commutateur)

• Show interface FastEthernet x/x trunk (afficher l’interface FastEthernet x/x ligne principale)

Sur le routeur, exécutez ces commandes afin d’effectuer le dépannage de la configuration.

• debug ip dhcp server packet

• Show ip interface brief (afficher un aperçu de l’interface IP)

Voici une attribution au client réussie d’une adresse IP dans le SSID admin.

Router#debug ip dhcp server packet
*Nov 23 18:02:06.637: DHCPD: DHCPREQUEST received from client 0040.96ac.e657.

!--- Router receives the DHCP Request from the client

*Nov 23 18:02:06.637: DHCPD: No default domain to append - abort update
*Nov 23 18:02:06.637: DHCPD: Sending DHCPACK to client 0040.96ac.e657 (172.16.2.50).

!--- Router acknowledges the client's request

*Nov 23 18:02:06.637: DHCPD: creating ARP entry (172.16.2.2, 0040.96ac.e657).
*Nov 23 18:02:06.637: DHCPD: unicasting BOOTREPLY to client 0040.96ac.e657 (172.16.2.50).

!--- Router assigns ip address to the client from the VLAN 10 subnet

Informations connexes

• Utilisation de réseaux locaux virtuels à l'aide d'équipement sans fil Aironet Cisco
• Authentification EAP avec le serveur RADIUS
• Support et documentation techniques - Cisco Systems