Guide de déploiement des points d'accès REAP au niveau de la filiale

Introduction

Ce document fournit des informations qui doivent être prises en compte lors du déploiement du point d'accès de périphérie distante (REAP). Référez-vous à Exemple de configuration d'un point d'accès de périphérie distant (REAP) avec des points d'accès légers et des contrôleurs de réseau local sans fil (WLC) pour obtenir des informations de configuration REAP de base.

Remarque : la fonctionnalité REAP est prise en charge jusqu'à la version 3.2.215 du WLC. À partir de la version 4.0.155.5 du WLC, cette fonctionnalité est appelée Hybrid REAP (H-REAP) avec peu d'améliorations jusqu'à la version 7.0.x.x. À partir de la version 7.2.103, cette fonctionnalité est appelée FlexConnect.

Les points d'accès traditionnels basés sur le protocole LWAPP (Lightweight Access Point Protocol) (également appelés LAP), tels que les points d'accès 1010, 1020 et 1100 et 1200 qui exécutent le logiciel Cisco IOS® Version 12.3(7)JX ou ultérieure, permettent une gestion centralisée et contrôle via les contrôleurs LAN sans fil (WLC) de Cisco. En outre, ces LAP permettent aux administrateurs d'exploiter les contrôleurs comme points uniques d'agrégation de données sans fil.

Bien que ces LAP permettent aux contrôleurs d'exécuter des fonctions avancées telles que la QoS et l'application des listes de contrôle d'accès (ACL), l'exigence du contrôleur d'être un point d'entrée et de sortie unique pour l'ensemble du trafic client sans fil peut entraver, plutôt que permettre, la capacité à répondre adéquatement aux besoins des utilisateurs. Dans certains environnements, tels que les bureaux distants, la fin de toutes les données utilisateur sur les contrôleurs peut s'avérer trop gourmande en bande passante, en particulier lorsque le débit est limité sur une liaison WAN. En outre, lorsque les liaisons entre les LAP et les WLC sont sujettes à des pannes, comme c'est souvent le cas pour les liaisons WAN vers les bureaux distants, l'utilisation de LAP qui reposent sur les WLC pour la terminaison des données utilisateur entraîne une coupure de la connectivité sans fil en période de panne WAN.

À la place, vous pouvez utiliser une architecture AP dans laquelle le plan de contrôle LWAPP traditionnel est exploité afin d'effectuer des tâches, telles que la gestion de la configuration dynamique, la mise à niveau logicielle des points d'accès et la détection des intrusions sans fil. Cela permet aux données sans fil de rester locales et à l'infrastructure sans fil d'être gérée de manière centralisée et résiliente face aux pannes de WAN.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Présentation de l'architecture REAP du 1030

Le Cisco 1030 REAP sépare le plan de contrôle LWAPP du plan de données sans fil afin de fournir des fonctionnalités à distance. Les WLC Cisco sont toujours utilisés pour le contrôle et la gestion centralisés de la même manière que les LAP standard. La différence est que toutes les données utilisateur sont pontées localement au niveau de l'AP. L'accès aux ressources du réseau local est maintenu pendant les pannes de réseau étendu. La Figure 1 illustre une architecture REAP de base.

Figure 1 : Schéma d'architecture REAP de base

Remarque : Voir l'annexe A pour une liste des différences de base dans la fonctionnalité REAP par rapport aux LAP traditionnels.

Quand les points d'accès REAP doivent-ils être utilisés ?

Le point d'accès REAP Cisco 1030 doit être utilisé principalement dans les deux conditions suivantes :

• Si la liaison entre le LAP et le WLC est sujette à des pannes, le REAP 1030 peut être utilisé pour permettre aux utilisateurs sans fil d'accéder sans interruption aux données en cas de défaillance de la liaison.

• Si toutes les données utilisateur doivent être terminées localement, ce qui signifie qu'au niveau du port câblé de l'AP (par opposition à être terminées au niveau du contrôleur, comme c'est le cas pour tous les autres LAP), le REAP 1030 peut être utilisé pour permettre un contrôle central via l'interface du contrôleur et/ou le système de contrôle sans fil (WCS). Cela permet aux données de rester locales.

Lorsque la couverture ou la densité d'utilisateurs nécessite plus de deux ou trois points d'accès REAP 1030 sur un seul site, considérez le déploiement d'un WLC 2006 ou 2106. Ces contrôleurs peuvent prendre en charge jusqu'à 6 LAP de tout type. Cela peut s'avérer plus rentable et fournir un ensemble complet de fonctionnalités par rapport à un déploiement REAP uniquement.

Comme pour tous les points d'accès de la gamme 1000, un seul point d'accès de 1 030 couvre environ 5 000 pieds carrés. Cela dépend des caractéristiques de propagation des radiofréquences (RF) sur chaque site, du nombre requis d'utilisateurs sans fil et de leurs besoins en débit. Dans la plupart des déploiements courants, un seul point d'accès de la gamme 1000 peut prendre en charge 12 utilisateurs à 512 kbits/s sur 802.11b et 12 utilisateurs à 2 mbits/s sur 802.11a, simultanément. Comme pour toutes les technologies 802.11, l'accès au support est partagé. Par conséquent, lorsque davantage d'utilisateurs rejoignent le point d'accès sans fil, le débit est partagé en conséquence. Encore une fois, à mesure que la densité des utilisateurs augmente et/ou que les besoins en débit augmentent, considérez l'ajout d'un WLC local pour économiser sur le coût par utilisateur et augmenter les fonctionnalités.

Remarque : Vous pouvez configurer les 1030 REAP pour qu'ils fonctionnent de manière identique aux autres LAP. Par conséquent, lorsque des WLC sont ajoutés pour faire évoluer la taille de l'infrastructure WLAN des sites distants, les investissements REAP existants peuvent continuer à être exploités.

Déployer REAP

Comme le REAP 1030 est conçu pour être placé sur des sites distants éloignés de l'infrastructure du WLC, les méthodes traditionnelles sans intervention LAP utilisées pour détecter et joindre les contrôleurs (comme l'option DHCP 43) ne sont généralement pas utilisées. Au lieu de cela, le LAP doit d'abord être amorcé afin de permettre au 1030 de se connecter à nouveau à un WLC sur un site central.

L'attribution de privilèges est un processus dans lequel les LAP reçoivent une liste de WLC auxquels ils peuvent se connecter. Une fois connectés à un seul WLC, les LAP sont informés de tous les contrôleurs du groupe de mobilité et équipés de toutes les informations nécessaires pour rejoindre n'importe quel contrôleur du groupe. Référez-vous à Déploiement de contrôleurs LAN sans fil Cisco 440X pour plus d'informations sur les groupes de mobilité, l'équilibrage de charge et la redondance des contrôleurs.

Pour ce faire sur le site central, tel qu'un centre d'exploitation de réseau (NOC) ou un centre de données, les REAP doivent être connectés au réseau câblé. Cela leur permet de découvrir un seul WLC. Une fois joints à un contrôleur, les LAP téléchargent la version du système d'exploitation LAP qui correspond à l'infrastructure WLAN. Ensuite, les adresses IP de tous les WLC du groupe de mobilité sont transférées aux AP. Cela permet aux points d'accès, lorsqu'ils sont mis sous tension sur leurs sites distants, de découvrir et de joindre le contrôleur le moins utilisé à partir de leurs listes, à condition que la connectivité IP soit disponible.

Remarque : l'option DHCP 43 et la recherche DNS (Domain Name System) fonctionnent également avec les REAP. Référez-vous à Déploiement de contrôleurs de réseau local sans fil de la gamme Cisco 440X pour plus d'informations sur la façon de configurer DHCP ou DNS sur des sites distants afin de permettre aux points d'accès de trouver des contrôleurs centraux.

À ce stade, le 1030 peut recevoir des adresses statiques si vous le souhaitez. Cela garantit que le système d’adressage IP correspond au site distant de destination. En outre, les noms des WLC peuvent être entrés afin de détailler les trois contrôleurs que chaque LAP tentera de connecter. Si ces trois paramètres échouent, la fonctionnalité d'équilibrage de charge automatique de LWAPP permet au LAP de choisir le point d'accès le moins chargé dans la liste restante de contrôleurs dans le cluster. La modification de la configuration du LAP peut être effectuée via l'interface de ligne de commande (CLI) du WLC ou l'interface utilisateur graphique, ou plus facilement via le WCS.

Remarque : les REAP 1030 nécessitent que les WLC auxquels ils se connectent fonctionnent en mode LWAPP de couche 3. Cela signifie que les contrôleurs doivent recevoir des adresses IP. En outre, les WLC nécessitent qu'un serveur DHCP soit disponible sur chaque site distant, ou des adresses statiques doivent être attribuées lors du processus d'amorçage. La fonctionnalité DHCP intégrée aux contrôleurs ne peut pas être utilisée pour fournir des adresses aux LAP des années 1030 ou à leurs utilisateurs.

Avant de mettre les LAP 1030 hors tension pour les expédier vers des sites distants, assurez-vous que chaque 1030 est défini sur le mode REAP. Ceci est très important car la valeur par défaut de tous les LAP est d'exécuter des fonctionnalités locales régulières et les 1030 doivent être configurés pour exécuter la fonctionnalité REAP. Cela peut être fait au niveau du LAP via l'interface de ligne de commande ou l'interface utilisateur graphique du contrôleur, ou plus facilement via les modèles WCS.

Fonctions de base de tarification REAP

Une fois que 1030 REAP sont connectés à un WLC au sein du groupe de mobilité auquel les REAP se connectent lorsqu'ils sont placés sur des sites distants, ces informations peuvent être fournies :

Paramètres REAP requis

• Une liste d'adresses IP pour le WLC dans le groupe de mobilité (fournie automatiquement lors de la connexion contrôleur/point d'accès)

• Mode REAP (les AP doivent être configurés pour fonctionner en mode REAP afin d'exécuter la fonctionnalité REAP)

Paramètres REAP facultatifs

• Adresses IP attribuées de manière statique (entrée de paramètre facultative par point d'accès)

• Noms des WLC principaux, secondaires et tertiaires (une entrée de paramètre facultative par point d'accès ou via des modèles WCS)

• Nom du point d'accès (entrée de paramètre d'information facultative par point d'accès)

• Informations sur l'emplacement des points d'accès (une entrée de paramètre d'information facultative par point d'accès ou via des modèles WCS)

Exigences de liaison REAP-contrôleur

Lorsque vous prévoyez de déployer des REAP, vous devez vous souvenir de quelques exigences de base. Ces exigences concernent la vitesse et la latence du trafic de contrôle LWAPP REAP des liaisons WAN. Le LAP 1030 est destiné à être utilisé sur les liaisons WAN, telles que le tunnel de sécurité IP, le relais de trames, la DSL (non PPPoE) et les lignes louées.

Remarque : L'implémentation LWAPP REAP 1030 suppose un chemin MTU de 1 500 octets entre l'AP et le WLC. Toute fragmentation qui se produit en transit en raison d'un MTU inférieur à 1 500 octets conduit à des résultats imprévisibles. Par conséquent, le LAP 1030 n'est pas adapté aux environnements, tels que PPPoE, où les routeurs fragmentent proactivement les paquets en moins de 1 500 octets.

La latence de liaison WAN est particulièrement importante car tous les LAP 1030 renvoient par défaut des messages de pulsation aux contrôleurs toutes les 30 secondes. Après la perte des messages de pulsation, les LAP envoient 5 pulsations successives, une fois par seconde. Si aucun n'aboutit, le LAP détermine que la connectivité du contrôleur est interrompue et que les années 1030 repassent en mode REAP autonome. Bien que le LAP 1030 puisse tolérer des latences importantes entre lui-même et le WLC, il est nécessaire de s'assurer que la latence ne dépasse pas 100 ms entre le LAP et le contrôleur. Cela est dû aux compteurs côté client qui limitent le temps d'attente des clients avant que les compteurs ne déterminent qu'une authentification a échoué.

Limites REAP

Bien que le point d'accès 1030 soit conçu pour être géré de manière centralisée et pour fournir un service WLAN pendant les pannes de liaison WAN, il existe certaines différences entre les services que le point d'accès REAP offre avec la connectivité WLC et ce qu'il peut fournir lorsque la connectivité est interrompue.

WLAN

Bien que le 1030 REAP puisse prendre en charge jusqu'à 16 WLAN (profils sans fil contenant un SSID [Service Set Identifier] chacun, ainsi que toutes les politiques de sécurité, de qualité de service et autres), chacun avec son propre MBSSID (Multiple Basic Service Set ID), le 1030 REAP ne peut prendre en charge le premier WLAN que lorsque la connectivité avec un contrôleur est interrompue. En cas de panne de la liaison WAN, tous les WLAN sauf le premier sont désactivés. Par conséquent, le WLAN 1 doit être conçu comme le WLAN principal et les politiques de sécurité doivent être planifiées en conséquence. La sécurité sur ce premier WLAN est particulièrement importante, car si la liaison WAN échoue, l'authentification RADIUS principale le fait également. Ceci est dû au fait que ce trafic traverse le plan de contrôleur LWAPP. Par conséquent, aucun utilisateur ne bénéficie d'un accès sans fil.

Il est recommandé d'utiliser une méthode d'authentification/chiffrement locale, telle que la partie clé pré-partagée de Wi-Fi Protected Access (WPA-PSK), sur ce premier WLAN. WEP (Wired Equivalent Privacy) est suffisant, mais n'est pas recommandé en raison de vulnérabilités connues de sécurité.Lorsque WPA-PSK (ou WEP) est utilisé, les utilisateurs correctement configurés peuvent toujours accéder aux ressources du réseau local même si la liaison WAN est interrompue.

Remarque : toutes les méthodes de sécurité RADIUS nécessitent que les messages d'authentification soient transmis sur le plan de contrôle LWAPP vers le site central. Par conséquent, tous les services RADIUS ne sont pas disponibles pendant les pannes de réseau étendu. Cela inclut, mais sans s'y limiter, l'authentification MAC RADIUS, 802.1X, WPA, WPA2 et 802.11i.

Le REAP 1030 ne peut résider que sur un seul sous-réseau, car il ne peut pas effectuer d'étiquetage VLAN 802.1q. Par conséquent, le trafic sur chaque SSID se termine sur le même sous-réseau sur le réseau câblé. Cela signifie que, bien que le trafic sans fil puisse être segmenté sur l'air entre les SSID, le trafic utilisateur n'est pas séparé du côté câblé.

Sécurité

Le 1030 REAP peut fournir toutes les politiques de sécurité de couche 2 prises en charge par l'architecture WAN basée sur contrôleur de Cisco. Cela inclut tous les types d'authentification et de cryptage de couche 2, tels que WEP, 802.1X, WPA, WPA2 et 802.11i. Comme indiqué précédemment, la plupart de ces stratégies de sécurité nécessitent une connectivité WLC pour l'authentification principale. WEP et WPA-PSK sont entièrement implémentés au niveau du point d'accès et ne nécessitent pas d'authentification RADIUS principale. Par conséquent, même si la liaison WAN est arrêtée, les utilisateurs peuvent toujours se connecter. La fonctionnalité de liste d'exclusion de client fournie dans le WLC Cisco est prise en charge par le LAP 1030. Fonctions de filtrage MAC sur le 1030 si la connectivité au contrôleur est disponible.

Remarque : le REAP ne prend pas en charge WPA2-PSK lorsque l'AP est en mode autonome.

Toutes les stratégies de sécurité de couche 3 ne sont pas disponibles avec le LAP 1030. Ces stratégies de sécurité incluent l'authentification Web, la terminaison VPN basée sur un contrôleur, les listes de contrôle d'accès et le blocage peer-to-peer, car elles sont implémentées au niveau du contrôleur. Le transfert VPN fonctionne pour les clients qui se connectent à des concentrateurs VPN externes. Cependant, la fonctionnalité de contrôleur qui autorise uniquement le trafic destiné à un concentrateur VPN spécifié (transfert VPN uniquement) ne le permet pas.

Traduction d'adresses réseau (NAT)

Les WLC auxquels les REAP se connectent ne peuvent pas résider derrière les limites NAT. Cependant, les REAP sur les sites distants peuvent se trouver derrière une boîte NAT, à condition que les ports utilisés pour LWAPP (ports UDP 1222 et 1223) soient transférés vers les années 1030. Cela signifie que chaque REAP doit avoir une adresse statique pour que le transfert de port fonctionne de manière fiable, et que seul un point d'accès peut résider derrière chaque instance NAT. La raison en est que seule une instance de transfert de port unique peut exister par adresse IP NAT, ce qui signifie qu'un seul LAP peut fonctionner derrière chaque service NAT sur les sites distants. La NAT un à un peut fonctionner avec plusieurs REAP car les ports LWAPP peuvent être transférés pour chaque adresse IP externe à chaque adresse IP interne (adresse IP REAP statique).

Quality of Service (QoS)

La hiérarchisation des paquets basée sur les bits de priorité 802.1p n'est pas disponible, car le protocole REAP ne peut pas effectuer d'étiquetage 802.1q. Cela signifie que les technologies Wi-Fi Multimedia (WMM) et 802.11e ne sont pas prises en charge. La hiérarchisation des paquets basée sur le SSID et la mise en réseau des bases d'identité est prise en charge. Cependant, l'affectation de VLAN via la mise en réseau basée sur l'identité ne fonctionne pas avec le REAP, car il ne peut pas effectuer l'étiquetage 802.1q.

Itinérance et équilibrage de charge client

Dans les environnements où plus d'un REAP est présent et où la mobilité inter-AP est attendue, chaque LAP doit se trouver sur le même sous-réseau. La mobilité de couche 3 n'est pas prise en charge dans le LAP 1030. En règle générale, ce n'est pas une limitation car les bureaux distants n'utilisent généralement pas suffisamment de LAP pour nécessiter une telle flexibilité.

Un équilibrage de charge client agressif est fourni sur tous les REAP dans les sites avec plus d'un point d'accès lorsque la connectivité du contrôleur en amont est disponible (seul l'équilibrage de charge est activé sur le contrôleur hôte).

Gestion des ressources radio (RRM)

Lorsque la connectivité aux contrôleurs est présente, 1030 LAP reçoivent un canal dynamique et une sortie d'alimentation du mécanisme RRM dans les WLC. Lorsque la liaison WAN est hors service, RRM ne fonctionne pas et les paramètres de canal et d'alimentation ne sont pas modifiés.

Détection des anomalies et fonctionnalité IDS

L'architecture REAP prend en charge toutes les signatures de détection des intrusions et de détection des intrusions (IDS) non fiables qui correspondent à celles des LAP standard. Cependant, lorsque la connectivité est perdue avec un contrôleur central, toutes les informations collectées ne sont pas partagées. Par conséquent, la visibilité sur les domaines RF des sites distants est perdue.

Récapitulatif des limites REAP

Le tableau de l'annexe B récapitule les fonctionnalités du REAP pendant le fonctionnement normal et lorsque la connexion au WLC sur la liaison WAN n'est pas disponible.

Gérer l'architecture REAP et WLAN centrale

La gestion REAP 1030 n'est pas différente de celle des LAP et des WLC ordinaires. La gestion et la configuration sont effectuées au niveau du contrôleur, soit par l'interface de ligne de commande de chaque contrôleur, soit par l'interface utilisateur graphique Web. La configuration à l'échelle du système et la visibilité du réseau sont fournies via le WCS, où tous les contrôleurs et points d'accès (REAP ou autre) peuvent être gérés comme un seul système. Lorsque la connectivité du contrôleur REAP est interrompue, les capacités de gestion sont également perturbées.

Architecture WLAN centralisée avec REAP

La Figure 2 montre comment chaque partie de l'architecture LWAPP centralisée fonctionne ensemble pour répondre à divers besoins de réseau sans fil. Les services de gestion et de localisation sont fournis de manière centralisée via le WCS et l'appliance de localisation 2700.

Figure 2 : Architecture WLAN centralisée avec REAP

Annexe A

Quelles sont les principales différences entre l'architecture REAP et les LAP standard ?

• Si l'option DHCP 43 ou la résolution DNS n'est pas disponible sur les sites distants, le 1030 doit d'abord être amorcé au niveau du bureau central. Ensuite, il est expédié vers le site de destination.

• En cas de panne de liaison WAN, seul le premier WLAN reste actif.

  • Les politiques de sécurité qui nécessitent RADIUS échoueront.

  • L'authentification/chiffrement qui utilise WPA-PSK est recommandée pour WLAN 1. WEP fonctionne, mais n'est pas recommandé.

• Pas de cryptage de couche 3 (cryptage de couche 2 uniquement)

• Les WLC auxquels les REAP se connectent ne peuvent pas résider derrière les limites NAT. Cependant, les REAP peuvent, à condition que chaque adresse IP REAP statique interne ait les deux ports LWAPP (1222 et 1223) qui lui sont transmis.

  Remarque : la traduction d'adresses de port (PAT) / NAT avec surcharge n'est pas prise en charge car le port source du trafic LWAPP qui provient du LAP peut changer au fil du temps. Ceci rompt l'association LWAPP. Le même problème peut survenir avec les implémentations NAT pour REAP où l'adresse du port change, comme PIX/ASA, qui dépend de la configuration.

• Seuls les messages de contrôle LWAPP traversent la liaison WAN.

• Le trafic de données est ponté sur le port Ethernet du 1030.

• Le LAP 1030 n'effectue pas de marquage 802.1Q (VLAN). Par conséquent, le trafic sans fil de tous les SSID se termine sur le même sous-réseau câblé.

Annexe B

Quelles sont les différences de fonctionnalité entre les modes REAP normaux et autonomes ?

		REAP (mode normal)	REAP (mode autonome)
Protocoles	IPv4	Oui	Oui
	IPv6	Oui	Oui
	Tous les autres protocoles	Oui (uniquement si le client est également activé sur IP)	Oui (uniquement si le client est également activé sur IP)
	ARP proxy IP	Non	Non
WLAN	Nombre de SSID	16	1 (le premier)
	Affectation dynamique de canaux	Oui	Non
	Contrôle dynamique de l'alimentation	Oui	Non
	Équilibrage de charge dynamique	Oui	Non
VLAN	Interfaces multiples	Non	Non
	Prise en charge 802.1Q	Non	Non
Sécurité WLAN	Détection des points d'accès indésirables	Oui	Non
	Liste d'exclusion	Oui	Oui (membres existants uniquement)
	Blocage peer-to-peer	Non	Non
	Système de détection des intrusions	Oui	Non
Sécurité de couche 2	Authentification MAC	Oui	Non
	802.1X	Oui	Non
	WEP (64/128/152 bits)	Oui	Oui
	WPA-PSK	Oui	Oui
	WPA2-PSK	Oui	Non
	WPA-EAP	Oui	Non
	WPA2-EAP	Oui	Non
Sécurité de couche 3	Authentification Web	Non	Non
	IPsec	Non	Non
	L2TP	Non	Non
	Passthrough VPN	Non	Non
	Listes de contrôle d'accès	Non	Non
QoS	Profils QoS	Oui	Oui
	QoS de liaison descendante (files d'attente de contournement arrondi pondérées)	Oui	Oui
	Prise en charge 802.1p	Non	Non
	Contrats de bande passante par utilisateur	Non	Non
	WMM	Non	Non
	802.11e (à venir)	Non	Non
	Remplacement du profil QoS AAA	Oui	Non
Mobilité	Intra-sous-réseau	Oui	Oui
	Inter-sous-réseau	Non	Non
DHCP	Serveur DHCP interne	Non	Non
	Serveur DHCP externe	Oui	Oui
Topologie	Connexion directe (2006)	Non	Non

Informations connexes

• Exemple de configuration d'un point d'accès Remote-Edge (REAP) avec des points d'accès légers et des contrôleurs de réseau local sans fil
• Équilibrage de charge et mode secours des points d'accès dans les réseaux sans fil unifiés
• Déployer les Contrôleurs de LAN sans fil de la gamme Cisco 440X
• Exemple de configuration de base d'un contrôleur LAN sans fil et d'un point d'accès léger
• Support et documentation techniques - Cisco Systems