排除Cisco DNA中心上无线软件定义访问故障
下载选项
非歧视性语言
此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。
关于此翻译
思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。
目录
简介
本文档介绍无线常见问题以及如何对Cisco DNA Center上的软件定义访问进行故障排除。
交换矩阵命令备忘表
这些是控制节点、边缘节点、无线局域网控制器(WLC)和接入点(AP)上交换矩阵的命令备忘单。
控制节点：
- show lisp instance-id <L2 ap instance id> ethernet server - MAC到终端标识(EID)映射
- show lisp instance-id <L3 ap instance id> ipv4 server - IP到EID的映射
- show lisp instance-id 8188 ethernet server address-resolution — 特定实例ID的MAC到IP映射
- show lisp site
- show tech-support
- show tech-support lisp
边缘节点：
- show lisp instance-id <L2 ap instance id> ethernet database wlc
- show lisp instance-id <L2 client instance id> ethernet database wlc
- show access-tunnel summary
- show platform software fed switch active ifm interfaces access-tunnel
- show platform software access-tunnel switch active R0
- show platform software access-tunnel switch active R0 statistics
- show platform software access-tunnel switch active F0
- show platform software access-tunnel switch active F0 statistics
- show platform software object-manager switch active F0 statistics
- show platform software object-manager switch active F0 pending-issue-update
- show platform software object-manager switch active F0 pending-ack-update
- show platform software object-manager switch active F0 error-object
- show tech-support
- show tech-support lisp
WLC(AireOS):
- show fabric ap summary
- show fabric summary
- show fabric map-server summary
- show run-config
- show run-config命令
- show tech
WLC(IOS-XE)
- show ap summary
- show fabric ap summary
- show wireless fabric summary
- show wireless client summary
- show tech-support wireless
- show tech-support wireless fabric
- show tech-support lisp(如果机箱中的交换矩阵或9300/9400/9500上运行的嵌入式无线)
- show tech-support(如果机箱中的交换矩阵或运行于9300/9400/9500的嵌入式无线)
访问点:
- show ip tunnel fabric
- show tech-support
从思科DNA中心推送AireOS WLC配置
此处显示调配后从思科DNA中心推送的AireOS WLC配置(注意：将参考用作3504 WLC)。
在WLC调配后显示radius summary:
(sdawlc3504) >show radius summary
Vendor Id Backward Compatibility................. Disabled
Call Station Id Case............................. lower
Accounting Call Station Id Type.................. Mac Address
Auth Call Station Id Type........................ AP's Radio MAC Address:SSID
Extended Source Ports Support.................... Enabled
Aggressive Failover.............................. Disabled
Keywrap.......................................... Disabled
Fallback Test:
Test Mode.................................... Passive
Probe User Name.............................. cisco-probe
Interval (in seconds)........................ 300
MAC Delimiter for Authentication Messages........ hyphen
MAC Delimiter for Accounting Messages............ hyphen
RADIUS Authentication Framed-MTU................. 1300 Bytes
Authentication Servers
Idx Type Server Address Port State Tout MgmtTout RFC3576 IPSec - state/Profile Name/RadiusRegionString
--- ---- ---------------- ------ -------- ---- -------- ------- -------------------------------------------------------
1 * NM 192.168.2.193 1812 Enabled 2 5 Enabled Disabled - /none
2 M 172.27.121.193 1812 Enabled 2 5 Enabled Disabled - /none
WLAN配置推送在show wlan summary下显示。
(sdawlc3504) >show wlan summary Number of WLANs.................................. 7 WLAN ID WLAN Profile Name / SSID Status Interface Name PMIPv6 Mobility ------- ----------------------------------------------------------------------- -------- -------------------- --------------- 1 Test / Test Enabled management none 17 dnac_guest_F_global_5dfbd_17 / dnac_guest_206 Disabled management none 18 dnac_psk_2_F_global_5dfbd_18 / dnac_psk_206 Disabled management none 19 dnac_wpa2__F_global_5dfbd_19 / dnac_wpa2_206 Enabled management none 20 dnac_open__F_global_5dfbd_20 / dnac_open_206 Enabled management none 21 Test!23_F_global_5dfbd_21 / Test!23 Disabled management none
从思科DNA中心推送WLC配置
此处显示在将WLC添加到交换矩阵后从思科DNA中心推送的WLC配置。
如何检查映射服务器是否可达？
将WLC添加到交换矩阵后显示交换矩阵映射服务器摘要。
(sdawlc3504) >show fabric map-server summary MS-IP Connection status -------------------------------- 192.168.4.45 UP 192.168.4.66 UP
调试交换矩阵映射服务器连接
由于各种原因，控制平面(CP)连接可能会中断或停止。
- 如果CP关闭。（本例中不是）
- 连接WLC和CP的中间节点（例如融合路由器）断开。
- 如果CP与WLC的连接因链路关闭而中断。这可以是WLC到直接邻居，也可以是CP到WLC的直接邻居。
show fabric map-server detailed
show fabric TCP creation-history <Map-Server IP>
可提供进一步信息的调试
debug fabric lisp map-server tcp enable
debug fabric lisp map-server all enable
如何检查交换矩阵是否已启用以及预期输出是什么？
将WLC添加到交换矩阵后显示交换矩阵摘要。
(sdawlc3504) >show fabric summary Fabric Support................................... enabled Enterprise Control Plane MS config -------------------------------------- Primary Active MAP Server IP Address....................................... 192.168.4.45 Secondary Active MAP Server IP Address....................................... 192.168.4.66 Guest Control Plane MS config ------------------------------- Fabric TCP keep alive config ---------------------------- Fabric MS TCP retry count configured ............ 3 Fabric MS TCP timeout configured ................ 10 Fabric MS TCP keep alive interval configured .... 10 Fabric Interface name configured .............. management Fabric Clients registered ..................... 0 Fabric wlans enabled .......................... 3 Fabric APs total Registration sent ............ 30 Fabric APs total DeRegistration sent .......... 9 Fabric AP RLOC reguested ...................... 15 Fabric AP RLOC response received .............. 30 Fabric AP RLOC send to standby ................ 0 Fabric APs registered by WLC .................. 6 VNID Mappings configured: 4 Name L2-Vnid L3-Vnid IP Address/Subnet -------------------------------- ---------- ---------- --------------------------------- 182_10_50_0-INFRA_VN 8188 4097 182.10.50.0 / 255.255.255.128 10_10_10_0-Guest_Area 8190 0 0.0.0.0 / 0.0.0.0 182_10_100_0-DEFAULT_VN 8191 0 0.0.0.0 / 0.0.0.0 182_11_0_0-DEFAULT_VN 8189 0 0.0.0.0 / 0.0.0.0 Fabric Flex-Acl-tables Status -------------------------------- ------- DNAC_FABRIC_FLEX_ACL_TEMPLATE Applied Fabric Enabled Wlan summary WLAN ID SSID Type L2 Vnid SGT RLOC IP Clients VNID Name ------- -------------------------------- ---- ---------- ------ --------------- ------- -------------------------------- 19 dnac_wpa2_206 WLAN 8189 0 0.0.0.0 0 182_11_0_0-DEFAULT_VN 20 dnac_open_206 WLAN 8189 0 0.0.0.0 0 182_11_0_0-DEFAULT_VN
从思科DNA中心推送WLAN配置
在WLC添加到交换矩阵后，在show fabric wlan summary下可以看到来自Cisco DNA Center的WLAN配置推送，并且客户端IP池已分配到交换矩阵无线局域网(WLAN)下的Provision > Fabric > Host Onboarding。
交换矩阵调配后显示交换矩阵wlan摘要。
(sdawlc3504) >show fabric wlan summary WLAN ID SSID Type L2 Vnid SGT RLOC IP Clients VNID Name ------- -------------------------------- ---- ---------- ------ --------------- ------- -------------------------------- 19 dnac_wpa2_206 WLAN 8189 0 0.0.0.0 0 182_11_0_0-DEFAULT_VN 20 dnac_open_206 WLAN 8189 0 0.0.0.0 0 182_11_0_0-DEFAULT_VN
调试无线问题
AP加入调试/接入隧道形成调试
1.检查AP是否获得IP地址。
交换矩阵边缘上的show ip dhcp snooping binding →
如果它没有为连接的AP接口显示IP，请在交换机上启用这些调试，并检查AP是否获得IP。
debug ip dhcp snooping packet
debug ip dhcp snooping event
附于下面的日志文→
示例：
Floor_Edge-6#sh ip dhcp snooping binding
MacAddress IpAddress Lease(sec) Type VLAN Interface
------------------ --------------- ---------- ------------- ---- --------------------
0C:75:BD:0D:46:60 182.10.50.7 670544 dhcp-snooping 1021 GigabitEthernet1/0/7 → AP interface should be having an IP
2.检查AP是否加入WLC。
- 在WLC上显示ap summary→
- 在WLC上显示ap join stat summary →
如果AP从未加入WLC，请在WLC上启用这些调试。
- debug capwap events enable
- debug capwap errors enable
3.如果AP形成CAPWAP，但AP和交换机之间没有形成接入隧道，请执行这些检查
步骤1. WLC中的AP是否具有RLOC IP，如果不是，请在此处检查点1。
1.为了使交换矩阵控制平面协议更具弹性，每个交换矩阵节点的全局路由表中必须存在到WLC的特定路由。到WLC IP地址的路由应重新分发到边界的底层IGP协议中，或在每个节点静态配置。换句话说，WLC不应通过默认路由到达。
步骤2.如果WLC中的AP显示正确的RLOC，并在show fabric summary下显示RLOC请求，而RLOC收到所有正常，请检查这些步骤
2.检查控制平面节点show lisp instance-id <L2 ap instance id> ethernet server→它应包含AP的基本无线电MAC。
检查交换矩阵边缘节点show lisp instance-id <L2 ap instance id> ethernet database wlc → 。它应包含AP的基本无线MAC，而不是AP的以太网MAC。
如果上述2个命令不显示AP的基本无线电MAC，且接入隧道未形成。在控制平面上启用debug lisp control-plane all，并在日志记录中搜索基本无线电MAC。
注意：debug lisp control-plane all on Control plane确实很繁琐，请在打开调试之前禁用控制台日志记录。
如果您看到身份验证失败，请检查WLC和CP节点之间的身份验证密钥。
Dec 7 17:42:01.655: LISP-0: MS Site EID IID 8188 prefix any-mac SVC_VLAN_IAF_MAC site site_uci, Registration failed authentication for more specific 2c0b.e9c6.ec80/48
Dec 7 17:42:01.659: LISP-0: Building reliable registration message registration-rejected for IID 8188 EID 2c0b.e9c6.ec80/48 , Rejection Code: authentication failure/2.如何检查WLC和CP之间交换矩阵配置上的身份验证密钥。
在WLC上，请在GUI上的“控制器”>“交换矩阵配置”>“控制平面”>（预共享密钥）下进行检查
On CP, please check on switch using sh running-config | b map-server session CP#sh running-config | b map-server session map-server session passive-open WLC site site_uci description map-server configured from apic-em authentication-key
注意：通常，Cisco DNA中心推送此密钥，因此除非需要并知道CP/WLC上配置了什么，否则请勿更改密钥]
4.访问隧道的常规检查和show命令。
- show access-tunnel summary
Floor_Edge-6#sh access-tunnel summary Access Tunnels General Statistics: Number of AccessTunnel Data Tunnels = 5 Name SrcIP SrcPort DestIP DstPort VrfId ------ --------------- ------- --------------- ------- ---- Ac4 192.168.4.68 N/A 182.10.50.6 4789 0 Ac24 192.168.4.68 N/A 182.10.50.5 4789 0 Ac19 192.168.4.68 N/A 182.10.50.8 4789 0 Ac15 192.168.4.68 N/A 182.10.50.7 4789 0 Ac14 192.168.4.68 N/A 182.10.50.2 4789 0 Name IfId Uptime ------ ---------- -------------------- Ac4 0x00000037 2 days, 20:35:29 Ac24 0x0000004C 1 days, 21:23:16 Ac19 0x00000047 1 days, 21:20:08 Ac15 0x00000043 1 days, 21:09:53 Ac14 0x00000042 1 days, 21:03:20
- show platform software fed switch active ifm interfaces access-tunnel
Floor_Edge-6#show platform software fed switch active ifm interfaces access-tunnel Interface IF_ID State ---------------------------------------------------------------- Ac4 0x00000037 READY Ac14 0x00000042 READY Ac15 0x00000043 READY Ac19 0x00000047 READY Ac24 0x0000004c READY Floor_Edge-6#
如果命令b)下的Access-tunnels高于a)，则是问题。此处交换矩阵边缘未正确清除馈送条目，因此与IOS相比，馈送上有多个接入隧道条目。执行此处所示的命令后，比较目标IP。如果多个接入隧道共享同一目标IP，则这是编程的问题。
- show platform software fed switch active ifm if-id <每个AP IF-ID>
注意：每个IF-ID都可从上一命令获取。
Floor_Edge-6#show platform software fed switch active ifm if-id 0x00000037
Interface IF_ID : 0x0000000000000037
Interface Name : Ac4
Interface Block Pointer : 0xffc0b04c58
Interface State : READY
Interface Status : ADD
Interface Ref-Cnt : 2
Interface Type : ACCESS_TUNNEL
Tunnel Type : L2Lisp
Encap Type : VxLan
IF_ID : 0x37
Port Information
Handle ............ [0x2e000094]
Type .............. [Access-tunnel]
Identifier ........ [0x37]
Unit .............. [55]
Access tunnel Port Logical Subblock
Access Tunnel id : 0x37
Switch Num : 1
Asic Num : 0
PORT LE handle : 0xffc0b03c58
L3IF LE handle : 0xffc0e24608
DI handle : 0xffc02cdf48
RCP service id : 0x0
HTM handle decap : 0xffc0e26428
RI handle decap : 0xffc0afb1f8
SI handle decap : 0xffc0e26aa8
RCP opq info : 0x1
L2 Brdcast RI handle : 0xffc0e26808
GPN : 3201
Encap type : VXLAN
L3 protocol : 17
Src IP : 192.168.4.68
Dest IP : 182.10.50.6
Dest Port : 4789
Underlay VRF : 0
XID cpp handle : 0xffc03038f8
Port L2 Subblock
Enabled ............. [No]
Allow dot1q ......... [No]
Allow native ........ [No]
Default VLAN ........ [0]
Allow priority tag ... [No]
Allow unknown unicast [No]
Allow unknown multicast[No]
Allow unknown broadcast[No]
Allow unknown multicast[Enabled]
Allow unknown unicast [Enabled]
IPv4 ARP snoop ....... [No]
IPv6 ARP snoop ....... [No]
Jumbo MTU ............ [0]
Learning Mode ........ [0]
Port QoS Subblock
Trust Type .................... [0x7]
Default Value ................. [0]
Ingress Table Map ............. [0x0]
Egress Table Map .............. [0x0]
Queue Map ..................... [0x0]
Port Netflow Subblock
Port CTS Subblock
Disable SGACL .................... [0x0]
Trust ............................ [0x0]
Propagate ........................ [0x1]
%Port SGT .......................... [-180754391]
Ref Count : 2 (feature Ref Counts + 1)
IFM Feature Ref Counts
FID : 91, Ref Count : 1
No Sub Blocks Present
- show platform software access-tunnel switch active R0
Floor_Edge-6#show platform software access-tunnel switch active R0 Name SrcIp DstIp DstPort VrfId Iif_id --------------------------------------------------------------------- Ac4 192.168.4.68 182.10.50.6 0x12b5 0x0000 0x000037 Ac14 192.168.4.68 182.10.50.2 0x12b5 0x0000 0x000042 Ac15 192.168.4.68 182.10.50.7 0x12b5 0x0000 0x000043 Ac19 192.168.4.68 182.10.50.8 0x12b5 0x0000 0x000047 Ac24 192.168.4.68 182.10.50.5 0x12b5 0x0000 0x00004c
- show platform software access-tunnel switch active R0 statistics
Floor_Edge-6#show platform software access-tunnel switch active R0 statistics Access Tunnel Counters (Success/Failure) ------------------------------------------ Create 6/0 Create Obj Download 6/0 Delete 3/0 Delete Obj Download 3/0 NACK 0/0
- show platform software access-tunnel switch active F0
Floor_Edge-6#show platform software access-tunnel switch active F0 Name SrcIp DstIp DstPort VrfId Iif_id Obj_id Status -------------------------------------------------------------------------------------------- Ac4 192.168.4.68 182.10.50.6 0x12b5 0x000 0x000037 0x00d270 Done Ac14 192.168.4.68 182.10.50.2 0x12b5 0x000 0x000042 0x03cbca Done Ac15 192.168.4.68 182.10.50.7 0x12b5 0x000 0x000043 0x03cb9b Done Ac19 192.168.4.68 182.10.50.8 0x12b5 0x000 0x000047 0x03cb6b Done Ac24 192.168.4.68 182.10.50.5 0x12b5 0x000 0x00004c 0x03caf4 Done
- show platform software access-tunnel switch active F0 statistics
Floor_Edge-6#show platform software access-tunnel switch active F0 statistics Access Tunnel Counters (Success/Failure) ------------------------------------------ Create 0/0 Delete 3/0 HW Create 6/0 HW Delete 3/0 Create Ack 6/0 Delete Ack 3/0 NACK Notify 0/0
- show platform software object-manager switch active f0 statistics
Floor_Edge-6#show platform software object-manager switch active f0 statistics Forwarding Manager Asynchronous Object Manager Statistics Object update: Pending-issue: 0, Pending-acknowledgement: 0 Batch begin: Pending-issue: 0, Pending-acknowledgement: 0 Batch end: Pending-issue: 0, Pending-acknowledgement: 0 Command: Pending-acknowledgement: 0 Total-objects: 987 Stale-objects: 0 Resolve-objects: 3 Error-objects: 1 Paused-types: 0
- show platform software object-manager switch active f0 pending-issue-update
- show platform software object-manager switch active f0 pending-ack-update
- show platform software object-manager switch active f0 error-object
5.需要收集的跟踪和调试。
步骤1.在启用跟踪/调试之前收集存档日志
request platform software trace archive target flash:<Filename>
Floor_Edge-6#request platform software trace archive target flash:Floor_Edge-6_12_14_18 Waiting for trace files to get rotated. Creating archive file [flash:Floor_Edge-6_12_14_18.tar.gz] Done with creation of the archive file: [flash:Floor_Edge-6_12_14_18.tar.gz]
第二步： 增加日志记录缓冲区并禁用控制台。
Floor_Edge-6(config)#logging buffered 214748364 Floor_Edge-6(config)#no logging console
步骤3.设置跟踪。
- set platform software trace forwarding switch active R0 access-tunnel verbose
- set platform software trace forwarding switch active F0 access-tunnel verbose
- set platform software trace fed switch active ifm_main debug
- set platform software trace fed switch active access_tunnel verbose
- set platform software trace forwarding-manager switch active F0 aom verbose
步骤4.启用调试。
- debug l2lisp all
- debug lisp control-plane all
- debug platform software l2lisp events
第五步： 连接AP的关闭/无关闭接口端口。
步骤6.收集与步骤1相同的归档日志，并使用不同的文件名。
步骤 7. 将日志记录文件重定向到闪存。
Floor_Edge-6#show logging | redirect flash:<文件名>
Floor_Edge-6#show logging | redirect flash:console_logs_Floor_Edge-6_12_14_18
客户端调试
在SDA FEW上调试无线客户端的问题可能会变得棘手。
请按照此工作流程逐个淘汰一台设备。
1. WLC
2.交换矩阵边缘
3.接入点（如果交换矩阵边缘上的调试指向AP）
4.中间/边界节点。（如果数据路径问题）
5.控制平面节点。（如果控制路径问题）
WLC调试
对于客户端连接问题，请通过收集有关WLC的信息（包括show命令和调试）开始调试。
AireOS WLC show命令：
- show run-config
- show tech
- show wlan summary
- show wlan <id> —>收集所有SSID的此输出，至少1个用于工作和非工作
- show fabric summary
- show fabric map-server summary
- show client summary
- show client detail <mac_id>
AireOS WLC调试命令：
- debug client <mac1> —> Client assoc、roaming、debug。
- debug fabric client detail enable —>这提供信息交换矩阵注册消息
交换矩阵边缘调试
在WLC上调试并观察到客户端不存在与控制平面路径相关的问题后。客户端从Assoc、Authentication移出，并使用正确的SGT标记或AAA参数运行状态，请移至此步骤以进一步隔离问题。
要验证的另一点是，如上述AP调试部分所述，接入隧道编程是正确的。
show命令以验证：
从中查找L2 lisp实例ID（从上面显示客户端详细信息<mac_id>）
show lisp instance-id
ethernet database wlc
--> This lists all WLC associated clients for that specific L2 lisp instance ID. A number of sources should match the number of Control plane nodes in the network
show lisp instance-id
ethernet database wlc
--> This shows the detail for the specific client
show device-tracking database | i Vl --> Find Specific SVI where the client is connected and needs to be present.
show device-tracking database | i
show ip arp vrf
show mac address-table vlan
show platform software fed switch active matm macTable vlan
--> If this is correct, programming for wireless client is happening correctly on local switch. show platform software matm switch active F0 mac
交换矩阵边缘上的调试命令
如果在交换矩阵边缘上对客户端条目进行编程时出现问题，需要收集馈送的跟踪。启用这些调试后，有2种方法可以执行相同操作。
无论使用何种方法，都需要启用调试和set命令。
- set platform software trace fed switch active all-modules emergency
- set platform software trace fed switch active l2_fib_entry verbose
- set platform software trace fed switch active l2_fib_adj verbose
- set platform software trace fed switch active inject verbose
- set platform software trace fed switch active matm verbose
debug（确保禁用控制台日志记录并增加日志记录缓冲区）
- debug device-tracking
- debug lisp control-plane all
- debug platform fhs all
- debug platform software l2lisp events
- debug matm all
方法1.在启用调试后收集特定客户端的无线活动跟踪日志。
注意：如果DHCP问题，请不要使用此方法]
等待问题重新生成
- debug platform condition mac <mac-id> control-plane
- debug platform condition start
- debug platform condition stop
- 请求平台软跟踪过滤器二进制无线上下文mac <mac-id>
在问题重现后，将控制台日志重定向到闪存。
方法2.在启用调试后收集存档跟踪日志。
等待问题重新生成
请求平台软件跟踪归档
收集文件，解码日志，并分析客户端mac的fed、ios、fman日志。
在问题重现后，将控制台日志重定向到闪存。
接入点调试
2800/3800/1562 AP型号的调试：
对于AP端问题，请确保在收集AP端日志并连接到SR之前收集所有WLC show命令和日志。
请执行以下步骤以调试客户端上与数据相关的问题。
1.收集AP show命令：（测试完成前后2-3次）
- show clock
- term len 0
- 术语mon
- show tech
- show logging
- show controllers nss stats show controllers nss status
- show ip tunnel fabric
如果CWA问题，除顶部命令外，请收集以下日志。测试完成前后，需要收集一次以下命令。
- show client access-lists pre-auth all <client mac>
- show client access-lists post-auth all <client mac>
- show ip access-lists
- show controller d [0/1] client
- show capwap cli detailrcb
- show tech support
2. AP调试（按MAC地址过滤）
客户端数据路径问题：
- debug dot11 client datapath eapol addr <mac>
- debug dot11 client datapath dhcp addr <mac>
- debug dot11 client datapath arp addr <mac>
客户端AP跟踪：
- config ap client-trace address add <mac>
- config ap client-trace output console-log enable
- config ap client-trace filter all enable
- config ap client-trace filter probe disable
- config ap client-trace start
- 术语mon
- exec-timeout 0 0
CWA问题：
- debug capwap client avc all
- debug capwap client acl
- debug client <client mac>
- debug dot11 client level info address <mac>
- debug dot11 client level events address <mac>
- debug flexconnect pmk
用例调试
客户端CWA调试
注意事项：
- 在SDA中部署CWA时，请始终使用DNAC部署配置。
- 使用DNAC部署后，授权策略、身份验证策略和授权配置文件也将由DNAC在ISE上部署。
- 身份验证的标识需要手动配置，就像Dot1x一样
了解问题在哪个阶段出现。
步骤1.客户端是否获得IP地址并移至Webauth Pending?
- 如果是，请转到下一步。
- 如果否，则问题处于初始加入阶段。
- 检查WLC和AP上的配置。
- 检查AP上推送的ACL，并匹配WLC上的ACL
- 如果ACL未正确推送，请重新加载AP，并确保其处于未推送配置的临时状态。在1个AP上确认后，确保通过DNAC完成AP调配。
步骤2.客户端是否能加载重定向页面？
- 如果是，请转到下一步。
- 如果否，则问题可能在多个位置。
- 检查WLC和AP上的配置。
- 检查AP上推送的ACL，并匹配WLC上的ACL
- 如果ACL未正确推送，请重新加载AP，并确保其处于未推送配置的临时状态。在1个AP上确认后，确保通过DNAC完成AP调配。
- 检查从WLC到ISE和交换机（其中AP连接到ISE）的可达性。确保两者之间没有防火墙
- 检查DNS配置是否正确。
步骤3.客户端能否看到网页，但问题在于登录和成功？
- 确保仔细检查步骤1和步骤2配置。
- 确保授权配置文件、身份验证策略和授权策略正确。
- 检查ISE实时日志
- 确保在ISE标识中正确配置了用户名/密码。
- 如果一切正常，请按如下所示收集WLC和AP上的调试。
1. WLC上的调试：
- 分别收集AireOS和Polaris的show命令：
AireOS:
- show run-config
- show wlan summary
- show wlan <id_for_guest>
- show flexconnect acl summary
- show flexconnect acl detailed <ACl_from_previous_command>
极星：
- show running
- show tech-support wireless
- show tech-support wireless fabric
- show wlan summary
- show wlan id <id_for_guest>
- show ap name <AP_name> config general
- show running-config |秒ACL
- show wireless profile flex summary
- show wireless profile flex detailed <profile_name_from_above>
- 在AireOS和Polaris上启用这些调试。
AireOS:
- debug client <client_mac>
- debug aaa all enable
- 重现问题
- 收集控制台/ssh/telnet日志
波兰(9300/9400/9500):
set platform software trace wncd switch active r0 all-modules debug
重现问题
show platform software trace message wncd switch active R0 reverse | redirect flash:<filename>
请求平台软件跟踪归档
从闪存收集两个文件
2.接入点调试：
收集ACL信息：
show ip access-lists
从AP收集以下调试：
- debug capwap client avc all
- debug capwap client acl
- debug client <client mac>
- debug dot11 client level info address <mac>
- debug dot11 client level events address <mac>
- debug flexconnect pmk
客户端DHCP调试
使用这些调试可以调试某些问题。
1.未在交换机上看到DHCP发现消息。
2.无线客户端无法返回DHCP提供。在debug ip dhcp snooping packet logs下观察到DHCP Discover(DHCP发现)。
3.收集与AP连接的端口、上行链路端口和与融合端DHCP服务器连接的端口上的数据包捕获。
调试/显示命令，可以是：
1.检查Cisco DNA Center（如果SSID已分配给IP池）。
2.检查WLC上是否启用了WLAN。
3.检查是否启用了无线电以及是否同时启用了802.11a和802.11b网络。
AP上的客户端性能调试
1.将问题缩小到有线或无线或影响两者。在同一VNID上连接到无线的客户端上测试相同流量，并在同一VNID上测试有线上的相同流量。
2.如果同一VN上交换矩阵中的有线客户端没有遇到问题，但无线客户端遇到问题，则问题出在AP端。
3.要在AP端针对任何客户端性能或与流量相关的问题进行调试，请确保客户端连接不是问题，首先。
4.确保在WLC上使用调试客户端时，客户端在漫游、会话超时或稳定连接到同一AP期间观察到降级。
5.在缩小范围后，发现问题出在同一个AP上，请按照以下步骤收集3800/2800/4800个AP上的调试，以及连接到AP的交换机上的数据包捕获和空中数据包捕获。
步骤1.确保用于重现问题的流量实际上是模拟问题。
步骤2.需要在执行测试的客户端设置无线数据包捕获。
Instructions for collecting over-the-air packet captures:
Here you find the guide how to set up an Over-The-Air packet capture, you can use a windows client machine, apple client machine or configure a sniffer mode AP (suggested). https://www.cisco.com/c/en/us/support/docs/wireless-mobility/80211/200527-Fundamentals-of-802-11-Wireless-Sniffing.html There are few things we need to consider: +Use an Open L2/L3 security SSID to avoid encryption on the packets through the air. +Set client-serving-AP and sniffer AP on the same channel. +Sniffer AP should be close enough to capture what serving-client-AP is receiving or sending. SPAN session should be taken at the same time than OTA pcap for a proper analysis, how to configure a SPAN session (swport traffic mirroring): Nexus switches: https://www.cisco.com/c/en/us/support/docs/switches/nexus-7000-series-switches/113038-span-nexus-config.html IOS switches: https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960x/software/15-0_2_EX/network_management/configuration_guide/b_nm_15ex_2960-x_cg/b_nm_15ex_2960-x_cg_chapter_0111.html
步骤3.从WLC调试客户端，并从连接AP的交换机捕获数据包。交换机EPC捕获可用于捕获这些日志。
步骤4.从3800 AP ssh/telnet会话进行调试
Logs to be collected from 3800 AP: A) Run following commands once before starting the test. [Once all commands are tested, copy all commands in a text file so that it is easy to copy and paste on devshell, we would need multiple iterations of this command outputs during the test] Step A Devshell commands on AP - Use SSH. -------------------------------------------------- 1) To Get wired0 input packet count date cd /click/fromdev_wired0/ cat icounts ocounts calls 2) Fabric gateway and clients cat /click/client_ip_table/cli_fabric_clients cd /click/fabric_tunnel/ cat show_fabric_gw 3) Tunnel Decap stats cd /click/tunnel_decap/ cat icounts ocounts tunnel_decap_stats tunnel_decap_no_match decap_vxlan_stats cat tunnel_decap_list 4) Tunnel Encap stats cd /click/tunnel_encap/ cat icounts ocounts tunnel_encap_stats encap_vxlan_stats tunnel_encap_discard cat get_mtu eogre_encap_list 5) Wireless client stats
注意：需要在正确的radio vap组合上发出这些最后一组命令。例如，如果客户端在无线电1上，则vap 1:cat /click/client_ip_table/list =从输出中，检查客户端连接的端口/接口aprXvY，使用相同命令获取以下输出。cd /click/fromdev_apr1v3/ cat icounts ocounts calls cd /click/todev_apr1v3/ cat icounts ocounts calls步骤B - E B)在AP之间启动OTA。客户端.并启动有线PCAP（连接客户端的生成AP端口）。（分析需要有线和无线pcap。）C)使用开放身份验证WLAN（无安全性来分析OTA pcap）。 开始iperf测试，并使其持续运行10-15分钟。D)使用date命令每两分钟重复步骤A。重复5次或多次。E)测试完成后 — 从AP收集show tech。
AP自注册
传统方法/步骤：
认为AP Vlan Scope具有指向WLC的选项43或选项60。
1.选择Authentication（身份验证）作为No Authentication(无身份验证)。
2.使用AP IP池配置Infra_VN，使用无线客户端IP池配置Default_VN。
3.配置AP与Infra_VN连接的边缘接口端口。
4.一旦AP获取IP并加入WLC，便会在设备清单中发现。
5.选择AP并将其分配给特定站点并调配AP。
6.调配后，AP将分配给在将WLC添加到交换矩阵期间创建的AP组。
即插即用/零接触AP调配
它被视为AP Vlan范围具有指向Cisco DNA中心的选项43。按照DNAC指南配置AP PNP
交换矩阵边缘端：
启用这些调试。
- debug ip dhcp snooping packet
- debug ip dhcp snooping event
反馈