استكشاف أخطاء نقطة وصول خفيفة الوزن تفشل في الانضمام إلى WLC وإصلاحها

المقدمة

يصف هذا المستند عملية اكتشاف وحدة تحكم الشبكة المحلية اللاسلكية (WLC) AireOS والانضمام. 

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• معرفة أساسية بتكوين نقاط الوصول في الوضع Lightweight (LAPs) و Cisco AireOS WLCs

• المعرفة الأساسية لبروتوكول نقطة وصول Lightweight ‏(CAPWAP)

المكونات المستخدمة

يركز هذا المستند على قوائم التحكم في الشبكة المحلية اللاسلكية (WLC) الخاصة بنظام التشغيل AireOS ولا يغطي Catalyst 9800 على الرغم من أن عملية الانضمام متشابهة غالبا.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

نظرة عامة على عملية اكتشاف WLC والانضمام

في شبكة Cisco Unified Wireless Network، يجب أن تكتشف نقاط LAP وحدة WLC وتنضم إليها أولاً قبل أن تتمكن من صيانة الأجهزة العميلة اللاسلكية.

ومع ذلك، يقدم هذا سؤالا: كيف عثرت نقاط الوصول في الوضع Lightweight على عنوان IP الخاص بإدارة وحدة التحكم عندما تكون على شبكة فرعية مختلفة؟

إذا لم تخبر نقطة الوصول Lightweight (LAP) حيث تكون وحدة التحكم عبر خيار DHCP رقم 43، أو تحليل نظام اسم المجال (DNS)Cisco-capwap-controller.local_domain، أو تكوينه بشكل ثابت، فإن نقطة الوصول Lightweight لا تعرف أين في الشبكة للعثور على واجهة إدارة وحدة التحكم.

بالإضافة إلى هذه الطرق، تبحث نقطة LAP تلقائيًا في الشبكة الفرعية المحلية عن وحدات التحكم ذات نطاق البث المحلي 255.255.255.255. كما تتذكر نقطة LAP عنوان IP الخاص بالإدارة لأي وحدة تحكم تنضم إليها عبر عمليات إعادة التمهيد. لذلك، إذا قمت بوضع نقطة الوصول في الوضع Lightweight أولا على الشبكة الفرعية المحلية لواجهة الإدارة، فإنها تجد واجهة إدارة وحدة التحكم وتتذكر العنوان. وهذا ما يسمى بالتمهيد. هذا التمهيد لا يساعد في العثور على وحدة التحكم إذا قمت باستبدال نقطة LAP لاحقًا. لذلك، cisco يوصي إستعمال من ال DHCP خيار 43 أو DNS طريقة.

تتصل نقاط LAP دائمًا بعنوان واجهة الإدارة الخاصة بوحدة التحكم أولاً باستخدام طلب اكتشاف. ثم يخبر جهاز التحكم نقطة الوصول في الوضع Lightweight بواجهة مدير نقطة الوصول من الطبقة 3 (والتي يمكن أيضا أن تكون الإدارة بشكل افتراضي) عنوان IP حتى يمكن لنقطة الوصول في الوضع Lightweight إرسال طلب انضمام إلى واجهة مدير نقطة الوصول بعد ذلك.

تمر نقطة الوصول (AP) بهذه العملية عند بدء التشغيل:

1. تعمل نقطة LAP على تمهيد عنوان IP وتطبق عليه بروتوكول DHCP إذا لم يكن قد تم تعيين عنوان IP ثابت له سابقًا.
2. ترسل نقطة LAP طلبات الاكتشاف إلى وحدات التحكم من خلال خوارزميات الاكتشاف المختلفة وتنشئ قائمة بوحدات التحكم. وبشكل أساسي، تتعرف نقطة LAP على أكبر عدد ممكن من عناوين واجهة الإدارة لقائمة وحدات التحكم من خلال:
   1. DHCP خيار 43 (جيد للشركات العالمية حيث توجد المكاتب ووحدات التحكم في قارات مختلفة).
   2. إدخال DNS cisco-capwap-controller (جيد للشركات المحلية - يمكن إستخدامه أيضا للعثور على مكان انضمام نقاط الوصول (AP) الجديدة للعلامة التجارية) إذا كنت تستخدم CAPWAP، فتأكد من وجود إدخال DNS ل cisco-capwap-controller.
   3. عناوين IP الخاصة بالإدارة بوحدات التحكم التي تتذكرها نقطة LAP سابقًا.
   4. بث من الطبقة 3 على الشبكة الفرعية.
   5. معلومات مكونة بشكل ثابت.
   6. وحدات التحكم الموجودة في مجموعة إمكانية التنقل بوحدة WLC التي انضمت إليها نقطة الوصول (AP) مؤخرًا.

   من بين هذه القائمة، تعد أسهل طريقة يمكن استخدامها للنشر هي وضع نقاط LAP على نفس الشبكة الفرعية الخاصة بواجهة الإدارة بوحدة التحكم والسماح بنطاق بث نقاط LAP من الطبقة الثالثة بالعثور على وحدة التحكم. يجب إستخدام هذه الطريقة للشركات التي لديها شبكة صغيرة ولا تمتلك خادم DNS محلي.

   وأسهل طريقة للنشر بعد ذلك هي استخدام إدخال DNS ببروتوكول DHCP. يمكن أن يكون لديك إدخالات متعددة باسم DNS نفسه. وهذا يسمح لنقطة LAP باكتشاف وحدات تحكم متعددة. يجب إستخدام هذه الطريقة من قبل الشركات التي لديها كافة وحدات التحكم الخاصة بها في موقع واحد وتمتلك خادم DNS محلي. أو، إذا كان لدى الشركة لاحقات DNS متعددة ويتم فصل وحدات التحكم باللاحقة.

   يتم إستخدام خيار DHCP رقم 43 من قبل الشركات الكبيرة لتوطين المعلومات بواسطة DHCP. تُستخدَم هذه الطريقة من قبل المؤسسات الكبيرة التي تملك لاحقة DNS واحدة. على سبيل المثال، تمتلك شركة Cisco بنايات في أوروبا وأستراليا والولايات المتحدة. لضمان انضمام نقاط LAP إلى وحدات التحكم محليًا فقط، لا تستطيع Cisco استخدام إدخال DNS ويجب أن تستخدم معلومات خيار DHCP رقم 43 لإخبار نقاط LAP بعنوان IP الخاص بالإدارة لوحدة التحكم المحلية الخاصة بها.

   أخيرا، استعملت تشكيل ساكن إستاتيكي لشبكة أن لا يتلقى DHCP نادل. يمكنك تكوين المعلومات اللازمة للانضمام إلى وحدة تحكم بشكل ثابت بواسطة منفذ وحدة التحكم وواجهة سطر الأوامر (CLI) لنقاط الوصول (APs). للحصول على معلومات حول كيفية تكوين معلومات وحدة التحكم بشكل ثابت باستخدام واجهة سطر أوامر (CLI) نقطة الوصول، أستخدم هذا الأمر:

   AP#capwap ap primary-base <WLCName> <WLCIP>

   أحلت لمعلومة على كيف أن يشكل DHCP خيار 43 على DHCP نادل، ال DHCP خيار 43 تشكيل مثال
3. أرسل طلب اكتشاف إلى كل وحدة تحكم في القائمة وانتظر الرد على اكتشاف وحدة التحكم الذي يحتوي على اسم النظام وعناوين IP لنقطة الوصول (AP-Manager) وعدد نقاط الوصول المرفقة بالفعل بكل واجهة AP-Manager والسعة الزائدة الإجمالية لوحدة التحكم.
4. انظر إلى قائمة وحدة التحكم وأرسل طلب انضمام إلى وحدة تحكم بهذا الترتيب (فقط إذا تلقت نقطة الوصول (AP) رد اكتشاف منها):
   1. اسم نظام وحدة التحكم الأساسية (تم تكوينه مسبقا على نقطة الوصول في الوضع Lightweight).
   2. اسم نظام وحدة التحكم الثانوية (تم تكوينه مسبقا على نقطة الوصول في الوضع Lightweight).
   3. اسم نظام وحدة التحكم الثالثة (تم تكوينه مسبقا على نقطة الوصول في الوضع Lightweight).
   4. وحدة التحكم الأساسية (إذا لم يتم تكوين نقطة الوصول في الوضع Lightweight من قبل باستخدام أي أسماء وحدات التحكم الأساسية أو الثانوية أو الثالثية. يستخدم دائما لمعرفة وحدة التحكم التي تعد وحدة تحكم في الوصول إلى نقاط الوصول في الوضع Lightweight (LAPs) جديدة تماما.
   5. في حالة عدم ظهور أي من الشروط السابقة، يتم موازنة الأحمال عبر وحدات التحكم باستخدام قيمة السعة الزائدة في إستجابة الاكتشاف.

      إذا كانت وحدتا التحكم بنفس السعة الزائدة، فأرسل طلب الانضمام إلى وحدة التحكم الأولى التي استجابت لطلب الاكتشاف باستجابة اكتشاف. إذا كانت وحدة تحكم واحدة بها عدة مديرين لنقاط الوصول على واجهات متعددة، فاختر واجهة مدير نقاط الوصول التي تحتوي على أقل عدد من نقاط الوصول.

      تستجيب وحدة التحكم لجميع طلبات الاستكشاف دون بيانات اعتماد اعتماد الشهادة أو AP. ومع ذلك، يجب أن تحتوي طلبات الانضمام على شهادة صالحة للحصول على إستجابة انضمام من وحدة التحكم. إذا لم تتلق نقطة الوصول في الوضع Lightweight إستجابة انضمام من إختيارها، فإن نقطة الوصول في الوضع Lightweight تحاول إستخدام وحدة التحكم التالية في القائمة، ما لم تكن وحدة التحكم عبارة عن وحدة تحكم مكونة (أساسية/ثانوية/ثالثة).

5. عندما تتلقى رد الانضمام، تُجري نقطة الوصول (AP) عملية التحقق للتأكد من وجود نفس الصورة الموجودة لدى وحدة التحكم لديها. إذا لم يكن الأمر كذلك، تقوم نقطة الوصول (AP) بتنزيل الصورة من وحدة التحكم وإعادة التمهيد لتحميل الصورة الجديدة وبدء العملية من البداية مجددًا من الخطوة 1.
6. وإذا كانت لديها نفس صورة البرنامج، فإنها تطلب التكوين من وحدة التحكم وتنتقل إلى الحالة المسجَّلة على وحدة التحكم.

   بعد تنزيل التكوين، يمكن لنقطة الوصول إعادة التحميل مرة أخرى لتطبيق التكوين الجديد. لذلك، يمكن أن تحدث إعادة تحميل إضافية وهو سلوك طبيعي.

تصحيح الأخطاء من وحدة التحكم

هناك a few أمر debug على الجهاز تحكم أنت يستطيع استعملت أن يرى هذا عملية كامل على ال CLI:

• debug capwap events enable:لإظهار حزم الاكتشاف وحزم الانضمام.

• debug capwap packet enable:لإظهار معلومات مستوى الحزمة لحزم الاكتشاف والانضمام.

• debug pm pki enable:لإظهار عملية التحقق من صحة الشهادة.

• debug disable-all:إيقاف تشغيل عمليات تصحيح الأخطاء.

باستخدام تطبيق جهاز طرفي يمكنه التقاط المُخرَج إلى ملف سجل أو لوحة تحكم في وحدة التحكم لديك أو بروتوكول Secure Shell ‏(SSH)/Telnet إليها، أدخل الأوامر التالية:

    config session timeout 120
    config serial timeout 120
    show run-config     (and spacebar thru to collect all)
 
    debug mac addr  
      
    (in xx:xx:xx:xx:xx format)
    debug client  
      

    debug capwap events enable
    debug capwap errors enable
    debug pm pki enable

بعد التقاط تصحيح الأخطاء، أستخدم الأمرdebug disable-allلتعطيل جميع تصحيح الأخطاء.

تظهر الأقسام التالية إخراج هذه الأوامر عند تسجيل نقاط الوصول في الوضع Lightweight debug (LAP) باستخدام وحدة التحكم.

debug capwap events enable

يوفر هذا الأمر معلومات حول أحداث CAPWAP والأخطاء التي تحدث في عملية اكتشاف CAPWAP والانضمام.

 debug capwap events enable هذا هو مخرج الأمر لنقطة الوصول في الوضع Lightweight (LAP) التي تحتوي على نفس الصورة مثل عنصر التحكم في الشبكة المحلية اللاسلكية (WLC):

debug capwap events enable

*spamApTask7: Jun 16 12:37:36.038: 00:62:ec:60:ea:20 Discovery Request from 172.16.17.99:46317

!--- CAPWAP discovery request sent to the WLC by the LAP.

*spamApTask7: Jun 16 12:37:36.039: 00:62:ec:60:ea:20 Discovery Response sent to 172.16.17.99 port 46317

!--- WLC responds to the discovery request from the LAP.

*spamApTask7: Jun 16 12:38:43.469: 00:62:ec:60:ea:20 Join Request from 172.16.17.99:46317

!--- LAP sends a join request to the WLC.
*spamApTask7: Jun 16 12:38:33.039: 00:62:ec:60:ea:20 Join Priority Processing status = 0, Incoming Ap's Priority 1, MaxLrads = 75, joined Aps =0
*spamApTask7: Jun 16 12:38:43.469: 00:62:ec:60:ea:20 Join Request from 172.16.17.99:46317

*spamApTask7: Jun 16 12:38:43.472: 00:62:ec:60:ea:20 Join Version: = 134256640

*spamApTask7: Jun 16 12:38:43.473: 00:62:ec:60:ea:20 apType = 46 apModel: AIR-CAP2702I-E-K9

*spamApTask7: Jun 16 12:38:43.473: 00:62:ec:60:ea:20 Join resp: CAPWAP Maximum Msg element len = 90

*spamApTask7: Jun 16 12:38:43.473: 00:62:ec:60:ea:20 Join Response sent to 172.16.17.99:46317
*spamApTask7: Jun 16 12:38:43.473: 00:62:ec:60:ea:20 CAPWAP State: Join

!--- WLC responds with a join reply to the LAP.
*spamApTask7: Jun 16 12:38:43.964: 00:62:ec:60:ea:20 Configuration Status from 172.16.17.99:46317

*spamApTask7: Jun 16 12:38:43.964: 00:62:ec:60:ea:20 CAPWAP State: Configure

!--- LAP requests for the configuration information from the WLC.


*spamApTask7: Jun 16 12:38:43.964: 00:62:ec:60:ea:20 Updating IP info for AP 00:62:ec:60:ea:20 -- static 0, 172.16.17.99/255.255.254.0, gtw 172.16.16.1
*spamApTask7: Jun 16 12:38:43.964: 00:62:ec:60:ea:20 Updating IP 172.16.17.99 ===> 172.16.17.99 for AP 00:62:ec:60:ea:20
*spamApTask7: Jun 16 12:38:43.964: 00:62:ec:60:ea:20 Running spamDecodeVlanProfMapPayload for00:62:ec:60:ea:20
*spamApTask7: Jun 16 12:38:43.964: 00:62:ec:60:ea:20 Setting MTU to 1485
*spamApTask7: Jun 16 12:38:44.019: 00:62:ec:60:ea:20 Configuration Status Response sent to 172:16:17:99


!--- WLC responds by providing all the necessary configuration information to the LAP.

*spamApTask7: Jun 16 12:38:46.882: 00:62:ec:60:ea:20 Change State Event Request from 172.16.17.99:46317

*spamApTask7: Jun 16 12:38:46.883: 00:62:ec:60:ea:20 Radio state change for slot: 0 state: 2 cause: 0 detail cause: 69
*spamApTask7: Jun 16 12:38:46.883: 00:62:ec:60:ea:20 Change State Event Response sent to 172.16.17.99:46317
.
.
.
.

*spamApTask7: Jun 16 12:38:46.883: 00:62:ec:60:ea:20 CAPWAP State: Run

*spamApTask7: Jun 16 12:38:46.883: 00:62:ec:60:ea:20 Sending the remaining config to AP 172.16.17.99:46317! 
.
.
.
.

!--- LAP is up and ready to service wireless clients.

*spamReceiveTask: Jun 16 12:38:46.897: 00:62:ec:60:ea:20 Configuration update request for RrmInterferenceCtrl payload sent to 172:16:17:99

*spamReceiveTask: Jun 16 12:38:46.897: 00:62:ec:60:ea:20 Configuration update request for RrmNeighbourCtrl payload sent to 172.16.17.99

*spamReceiveTask: Jun 16 12:38:46.897: 00:62:ec:60:ea:20 Configuration update request for RrmReceiveCtrl payload sent to 172:16:17:99

*spamReceiveTask: Jun 16 12:38:46.897: 00:62:ec:60:ea:20 Configuration update request for CcxRmMeas payload sent to 172.16.17.99


!--- WLC sends all the RRM and other configuration parameters to the LAP. 

كما ذكرنا في القسم السابق، بمجرد تسجيل نقطة LAP مع وحدة WLC، فإنها تُجري عملية التحقق لمعرفة ما إذا كان لديها نفس صورة وحدة التحكم. إذا كانت الصور الموجودة على نقطة LAP ووحدة WLC مختلفة، فإن نقاط LAP تقوم بتنزيل الصورة الجديدة من وحدة WLC أولاً. أما إذا كانت نقطة LAP لديها الصورة نفسها، فستستمر في تنزيل التكوين والمعلمات الأخرى من وحدة WLC.

يمكنك رؤية هذه الرسائل في إخراج الأمر إذا كانت debug capwap events enable نقطة الوصول في الوضع Lightweight تقوم بتنزيل صورة من وحدة التحكم كجزء من عملية التسجيل:

*spamApTask6: Jun 17 14:23:28.677: 00:62:ec:60:ea:20 Sending image data block of length 1324 and msgLength = 1327

*spamApTask6: Jun 17 14:23:28.677: 00:62:ec:60:ea:20 Image Data Request sent to 172.16.17.201:46318

*spamApTask6: Jun 17 14:23:28.693: 00:62:ec:60:ea:20 Image data Response from 172.16.17.201:46318

بمجرد اكتمال تنزيل الصورة، تقوم نقطة الوصول في الوضع Lightweight بإعادة تمهيد نقطة الوصول في الوضع Lightweight وتشغيل الاكتشاف والانضمام إلى الخوارزمية مرة أخرى.

debug pm pki enable

كجزء من عملية الانضمام، يصادق عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) كل نقطة وصول (LAP) عن طريق تأكيد أن شهادتها صالحة.

عندما ترسل نقطة الوصول (AP) إلى CAPWAP طلب الانضمام إلى وحدة WLC، فإنها تقوم بتضمين شهادة X.509 الخاصة بها في رسالة CAPWAP. كما تقوم نقطة الوصول أيضًا بإنشاء معرف جلسة عشوائي يتم تضمينه أيضًا في طلب الانضمام إلى CAPWAP. عندما يستلم عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) طلب انضمام CAPWAP، فإنه يتحقق من توقيع شهادة X.509 باستخدام مفتاح AP العام ويتحقق من إصدار الشهادة من قبل مرجع مصدق موثوق به.

كما تبحث في تاريخ ووقت بدء الفاصل الزمني لصلاحية شهادة AP وتقارن هذا التاريخ والوقت بتاريخها ووقتها (ومن ثم يلزم تعيين ساعة وحدة التحكم بالقرب من التاريخ والوقت الحاليين). إذا تم التحقق من صحة شهادة X.509، فستقوم وحدة WLC بإنشاء مفتاح تشفير AES عشوائي. تقوم وحدة التحكم في الشبكة المحلية اللاسلكية (WLC) بتنزيل مفاتيح AES في محرك التشفير الخاص بها حتى يمكنها تشفير رسائل التحكم في CAPWAP المستقبلية المتبادلة مع نقطة الوصول وفك تشفيرها. لاحظ أنه يتم إرسال حزم البيانات بشكل واضح في نفق CAPWAP بين نقطة LAP ووحدة التحكم.

 debug pm pki enable يعرض الأمر عملية التحقق من صحة الشهادة التي تحدث في مرحلة الانضمام على وحدة التحكم. يعرض debug pm pki enable الأمر أيضا مفتاح تجزئة AP في عملية الربط، إذا كان لنقطة الوصول شهادة موقعة ذاتيا (SSC) تم إنشاؤها بواسطة برنامج تحويل LWAPP. إذا كان لنقطة الوصول شهادة مثبتة مصنعة (MIC)، فلن ترى مفتاح تجزئة.

هنا الإنتاج من الأمر عندما ال debug pm pki enable LAP مع MIC يربط الجهاز تحكم:

*spamApTask4: Mar 20 11:05:15.687: [SA] OpenSSL Get Issuer Handles: locking ca cert table

*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: x509 subject_name /C=US/ST=California/L=San Jose/O=Cisco Systems/
CN=AP3G2-1005cae83a42/emailAddress=support@cisco.com
*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: issuer_name /O=Cisco Systems/CN=Cisco Manufacturing CA
*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: CN AP3G2-1005cae83a42
*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: issuerCertCN Cisco Manufacturing CA
*spamApTask4: Mar 20 11:05:15.688: [SA] GetMac: MAC: 1005.cae8.3a42
*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: openssl Mac Address in subject is 10:05:ca:e8:3a:42
*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: CN AP3G2-1005cae83a42
*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: issuerCertCN Cisco Manufacturing CA
*spamApTask4: Mar 20 11:05:15.688: [SA] GetMac: MAC: 1005.cae8.3a42
*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: openssl Mac Address in subject is 10:05:ca:e8:3a:42
*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: Cert Name in subject is AP3G2-1005cae83a42

*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: Extracted cert issuer from subject name.


*spamApTask4: Mar 20 11:05:15.688: [SA] OpenSSL Get Issuer Handles: Cert is issued by Cisco Systems.

*spamApTask4: Mar 20 11:05:15.688: [SA] Retrieving x509 cert for CertName cscoDefaultMfgCaCert
*spamApTask4: Mar 20 11:05:15.688: [SA] sshpmGetCID: called to evaluate <cscoDefaultMfgCaCert>
*spamApTask4: Mar 20 11:05:15.688: [SA] sshpmGetCID: Found matching CA cert cscoDefaultMfgCaCert in row 5
*spamApTask4: Mar 20 11:05:15.688: [SA] Found CID 260e5e69 for certname cscoDefaultMfgCaCert

*spamApTask4: Mar 20 11:05:15.688: [SA] CACertTable: Found matching CID cscoDefaultMfgCaCert in row 5 x509 0x2cc7c274

*spamApTask4: Mar 20 11:05:15.688: [SA] Retrieving x509 cert for CertName cscoDefaultNewRootCaCert
*spamApTask4: Mar 20 11:05:15.688: [SA] sshpmGetCID: called to evaluate <cscoDefaultNewRootCaCert>
*spamApTask4: Mar 20 11:05:15.688: [SA] sshpmGetCID: Found matching CA cert cscoDefaultNewRootCaCert in row 4

*spamApTask4: Mar 20 11:05:15.688: [SA] Found CID 28d7044e for certname cscoDefaultNewRootCaCert
*spamApTask4: Mar 20 11:05:15.688: [SA] CACertTable: Found matching CID cscoDefaultNewRootCaCert in row 4 x509 0x2cc7c490
*spamApTask4: Mar 20 11:05:15.691: [SA] Verify User Certificate: X509 Cert Verification return code: 1
*spamApTask4: Mar 20 11:05:15.691: [SA] Verify User Certificate: X509 Cert Verification result text: ok
*spamApTask4: Mar 20 11:05:15.691: [SA] sshpmGetCID: called to evaluate <cscoDefaultMfgCaCert>
*spamApTask4: Mar 20 11:05:15.691: [SA] sshpmGetCID: Found matching CA cert cscoDefaultMfgCaCert in row 5

*spamApTask4: Mar 20 11:05:15.691: [SA] Verify User Certificate: OPENSSL X509_Verify: AP Cert Verfied Using >cscoDefaultMfgCaCert<

*spamApTask4: Mar 20 11:05:15.691: [SA] OpenSSL Get Issuer Handles: Check cert validity times (allow expired NO)
*spamApTask4: Mar 20 11:05:15.691: [SA] sshpmGetCID: called to evaluate <cscoDefaultIdCert>
*spamApTask4: Mar 20 11:05:15.691: [SA] sshpmGetCID: Found matching ID cert cscoDefaultIdCert in row 2
*spamApTask4: Mar 20 11:05:15.691: [SA] sshpmFreePublicKeyHandle: called with 0x1b0b9380

*spamApTask4: Mar 20 11:05:15.691: [SA] sshpmFreePublicKeyHandle: freeing public key

تصحيح الأخطاء من نقطة الوصول (AP)

إذا لم تشير تصحيح أخطاء وحدة التحكم إلى طلب انضمام، فيمكنك تصحيح أخطاء العملية من نقطة الوصول إذا كانت نقطة الوصول تحتوي على منفذ وحدة تحكم. يمكنك رؤية عملية تمهيد نقطة الوصول باستخدام الأوامر التالية، ولكن يجب عليك أولاً الدخول إلى وضع التمكين (كلمة المرور الافتراضية هي Cisco).

• debug dhcp detail :لإظهار معلومات خيار DHCP رقم 43.

• debug ip udp: يبدي كل ربط UDP يستلم ويرسل ب ال ap.

• debug capwap client event :لإظهار أحداث capwap لنقطة الوصول (AP).

• debug capwap client error:لإظهار أخطاء capwap لنقطة الوصول (AP).
• debug dtls client event:لإظهار أحداث DTLS لنقطة الوصول (AP).
• debug dtls error enable:لإظهار أخطاء DTLS لنقطة الوصول (AP).

• undebug all:لتعطيل عمليات تصحيح الأخطاء على نقطة الوصول (AP).

هنا مثال من الإنتاج منdebug capwapالأمر. يعطي هذا إنتاج جزئي فكرة عن الربط يرسل ب ال ap في الجزمة عملية أن يكتشف والانضمام إلى جهاز تحكم.

AP can discover the WLC via one of these options :

!--- AP discovers the WLC via option 43

*Jun 28 08:43:05.839: %CAPWAP-5-DHCP_OPTION_43: Controller address 10.63.84.78 obtained through DHCP
*Jun 28 08:43:15.963: %CAPWAP-3-EVENTLOG: Discovery Request sent to 10.63.84.78 with discovery type set to 2

!--- capwap Discovery Request using the statically configured controller information.

*Jun 28 08:43:15.963: %CAPWAP-3-EVENTLOG: Discovery Request sent to 10.63.84.32 with discovery type set to 1

!--- Capwap Discovery Request sent using subnet broadcast.

*Jun 28 08:43:15.963: %CAPWAP-3-EVENTLOG: Discovery Request sent to 255.255.255.255 with discovery type set to 0

!--- capwap Join Request sent to AP-Manager interface on DHCP discovered controller.

*Jun 28 08:40:29.031: %CAPWAP-5-SENDJOIN: sending Join Request to 10.63.84.78

نقطة LAP لا تنضم إلى وحدة التحكم، ما السبب؟

تحقق من الأساسيات أولاً

• هل يمكن حدوث تواصل بين نقطة الوصول (AP) ووحدة WLC؟

• تأكد من حصول نقطة الوصول على عنوان من DHCP (تحقق من تأجير خادم DHCP لعنوان MAC لنقطة الوصول).

• يؤز ال ap من الجهاز تحكم.

• تحقق مما إذا كان تكوين STP على المحول صحيحا، لذلك لا يتم حظر الحزم إلى شبكات VLAN.

• إذا نجحت أوامر اختبار الاتصال، فتأكد من أن نقطة الوصول (AP) لديها طريقة واحدة على الأقل يمكن من خلالها اكتشاف وحدة تحكم WLC واحدة على الأقل أو telnet‏/ssh في وحدة التحكم لتشغيل عمليات تصحيح الأخطاء.

• في كل مرة تتم فيها إعادة تمهيد نقطة الوصول (AP)، فإنها تبدأ تسلسل اكتشاف WLC وتحاول تحديد موقع نقطة الوصول (AP). أعد تمهيد نقطة الوصول (AP) وتحقق مما إذا كانت تنضم إلى WLC.

فيما يلي بعض المشاكل شائعة الظهور التي لا تنضم بسببها نقاط LAP إلى WLC.

إشعار ميداني: انتهاء مدة الشهادة - FN63942

تكون الشهادات المضمنة في الأجهزة صالحة لمدة 10 سنوات بعد التصنيع. إذا كانت نقاط الوصول (APs) أو عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) يزيد عمره عن 10 سنوات، يمكن أن تتسبب الشهادات منتهية الصلاحية في حدوث مشاكل في انضمام نقطة الوصول. يتوفر المزيد من المعلومات حول هذه المشكلة في هذا إشعار ميداني: إشعار ميداني: FN63942.

المشاكل المحتملة للبحث عنها: أمثلة

المشكلة 1: وقت وحدة التحكم خارج فترة صلاحية الشهادة

أكمِل الخطوات التالية لاستكشاف هذه المشكلة وإصلاحها:

1. أصدرتdebug dtls client error + debug dtls client eventأمر على ال ap:
   
   

   
   *Jun 28 09:21:25.011: DTLS_CLIENT_EVENT: dtls_process_Certificate: Processing...Peer certificate verification failed 001A
   *Jun 28 09:21:25.031: DTLS_CLIENT_ERROR: ../capwap/base_capwap/capwap/base_capwap_wtp_dtls.c:509 Certificate verified failed!
   *Jun 28 09:21:25.031: DTLS_CLIENT_EVENT: dtls_send_Alert: Sending FATAL : Bad certificate Alert
   *Jun 28 09:21:25.031: DTLS_CLIENT_EVENT: dtls_client_process_record: Error processing Certificate.
   *Jun 28 09:21:25.031: DTLS_CLIENT_EVENT: dtls_disconnect: Disconnecting DTLS connection 0x8AE7FD0
   *Jun 28 09:21:25.031: DTLS_CLIENT_EVENT: dtls_free_connection: Free Called... for Connection 0x8AE7FD0
   *Jun 28 09:21:25.031: DTLS_CLIENT_EVENT: dtls_send_Alert: Sending FATAL : Close notify Alert
   
   

   تظهر هذه المعلومات بوضوح أن وقت وحدة التحكم يقع خارج فترة صلاحية الشهادة لنقطة الوصول. لذلك، لا يمكن لنقطة الوصول (AP) التسجيل باستخدام وحدة التحكم. يكون للشهادات المُثبَّتة في نقطة الوصول (AP) فاصل زمني للصلاحية محدد مسبقًا. يجب تعيين وقت وحدة التحكم بحيث يكون ضمن فترة صلاحية الشهادة لشهادة AP.

2. أصدرت الأمر من الجهاز تحكم CLI in order to دققت show time التاريخ والوقت مجموعة على جهاز تحكم ك يقع ضمن هذا صحة فاصل. إذا كان وقت وحدة التحكم أعلى أو أقل من هذا الفاصل الزمني لصلاحية الشهادة، فقم بتغيير وقت وحدة التحكم ليقع ضمن هذا الفاصل الزمني.
   
   
   

   ملاحظة: إذا لم يتم تعيين الوقت بشكل صحيح على وحدة التحكم، فاخترCommands > Set Timeفي وضع واجهة المستخدم الرسومية (GUI) لوحدة التحكم، أو قم بإصدار الأمر config time في واجهة سطر الأوامر (CLI) لوحدة التحكم لتعيين وقت وحدة التحكم.

   
   
   

3.  show crypto ca certificates على نقاط الوصول ذات الوصول إلى واجهة سطر الأوامر (CLI)، تحقق من الشهادات باستخدام الأمر من واجهة سطر الأوامر (CLI) لنقطة الوصول (AP).

   يتيح لك هذا الأمر التحقق من الفاصل الزمني لصلاحية الشهادة المعين في نقطة الوصول (AP). وفيما يلي مثال على هذا:

   AP00c1.649a.be5c#show crypto ca cert
   ............................................
   ............................................
   .............................................
   ................................................
   Certificate
   Status: Available
   Certificate Serial Number (hex): 7D1125A900000002A61A
   Certificate Usage: General Purpose
   Issuer:
   cn=Cisco Manufacturing CA SHA2
   o=Cisco
   Subject:
   Name: AP1G2-00c1649abe5c
   e=support@cisco.com
   cn=AP1G2-00c1649abe5c
   o=Cisco Systems
   l=San Jose
   st=California
   c=US
   CRL Distribution Points:
   http://www.cisco.com/security/pki/crl/cmca2.crl
   Validity Date:
   start date: 01:05:37 UTC Mar 24 2016
   end date: 01:15:37 UTC Mar 24 2026
   Associated Trustpoints: Cisco_IOS_M2_MIC_cert
   Storage:
   ..................................
   ....................................
   ......................................

   لا يتم سرد الإخراج بأكمله لأنه يمكن أن يكون هناك العديد من فواصل الصلاحية المرتبطة بمخرجات هذا الأمر. ضع في الاعتبار فقط فترة الصلاحية المحددة بواسطة TrustPoint المقترن: Cisco_IOS_MIC_CERT مع اسم نقطة الوصول ذات الصلة في حقل الاسم. في هذا مثال إنتاج، هو الاسم: C1200-001563e50c7e. هذا هو الفاصل الزمني الفعلي لصلاحية الشهادة الذي يجب وضعه في الاعتبار.

4. رجاء أحلت cisco بق id CSCuq19142 ينتج عن LAP/WLC MIC أو SSC LIFE فشل DTLS: Cisco BUG CSCuq19142.

المشكلة 2: عدم التطابق في المجال التنظيمي

ترى هذه الرسالة في إخراج الأمرdebug capwap events enable:

*spamApTask7: Jun 28 11:56:49.177: 00:cc:fc:13:e5:e0 AP 00:cc:fc:13:e5:e0: Country code is not configured(BE ).
*spamApTask7: Jun 28 11:56:49.177: 00:cc:fc:13:e5:e0 AP 00:cc:fc:13:e5:e0: Country code is not configured(BE ).
*spamApTask7: Jun 28 11:56:49.177: 00:cc:fc:13:e5:e0 Setting MTU to1485
*spamApTask7: Jun 28 11:56:49.177: 00:cc:fc:13:e5:e0 AP 00:cc:fc:13:e5:e0: Country code is not configured(BE ).
*spamApTask7: Jun 28 11:56:49.177: 00:cc:fc:13:e5:e0 Regulatory Domain Mismatch: AP 00:cc:fc:13:e5:e0 not allowed to join. Allowed domains: 802.11bg:-A
*spamApTask7: Jun 28 11:56:49.177: 00:cc:fc:13:e5:e0 Finding DTLS connection to delete for AP (192:168:47:29/60390)
*spamApTask7: Jun 28 11:56:49.177: 00:cc:fc:13:e5:e0 Disconnecting DTLS Capwap-Ctrl session 0x1d4df620 for AP (192:168:47:29/60390). Notify(true)
*spamApTask7: Jun 28 11:56:49.177: 00:cc:fc:13:e5:e0 acDtlsPlumbControlPlaneKeys: lrad:192.168.47.29(60390) mwar:10.63.84.78(5246)


WLC msglog show these messages :

*spamApTask5: Jun 28 11:52:06.536: %CAPWAP-3-DTLS_CLOSED_ERR: capwap_ac_sm.c:7095 00:cc:fc:13:e5:e0: DTLS connection 
closed forAP 192:168:47:28 (60389), Controller: 10:63:84:78 (5246) Regulatory Domain Mismatch

تشير الرسالة بوضوح إلى وجود عدم تطابق في المجال التنظيمي لنقطة الوصول في الوضع Lightweight (LAP) ووحدة التحكم في الشبكة المحلية اللاسلكية (WLC). يدعم عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) مجالات تنظيمية متعددة، ولكن يجب تحديد كل مجال تنظيمي قبل أن تتمكن نقطة وصول من ذلك المجال من الانضمام. على سبيل المثال، لا يمكن استخدام WLC التي تستخدم المجال التنظيمي -A إلا مع نقاط الوصول (APs) التي تستخدم المجال التنظيمي -A (وهكذا). عندما تشتري نقاط وصول، تأكد من أنها تتشارك في نفس المجال التنظيمي. عندها فقط يمكن تسجيل نقاط الوصول (APs) باستخدام WLC.

المشكلة 3: قائمة تخويل نقطة الوصول الممكنة على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC)، نقطة الوصول في الوضع Lightweight ليست في قائمة التخويل

في مثل هذه الحالات، ترى هذه الرسالة على وحدة التحكم فيdebug capwap events enableإخراج الأمر:

Wed Sep 12 17:42:39 2007: 00:0b:85:51:5a:e0 Received CAPWAP DISCOVERY REQUEST 
from AP 00:0b:85:51:5a:e0 to 00:0b:85:33:52:80 on port '1'
Wed Sep 12 17:42:39 2007: 00:0b:85:51:5a:e0 Successful transmission of 
CAPWAP Discovery-Response to AP 00:0b:85:51:5a:e0 on Port 1
Wed Sep 12 17:42:39 2007: 00:0b:85:51:5a:e0 Received LWAPP DISCOVERY REQUEST 
from AP 00:0b:85:51:5a:e0 to ff:ff:ff:ff:ff:ff on port '1'
Wed Sep 12 17:42:39 2007: 00:0b:85:51:5a:e0 Successful transmission of 
CAPWAP Discovery-Response to AP 00:0b:85:51:5a:e0 on Port 1
Wed Sep 12 17:42:50 2007: 00:0b:85:51:5a:e0 Received CAPWAP JOIN REQUEST 
from AP 00:0b:85:51:5a:e0 to 00:0b:85:33:52:80 on port '1'
Wed Sep 12 17:42:50 2007: 00:0b:85:51:5a:e0 AP ap:51:5a:e0: txNonce  00:0B:85:33:52:80 
rxNonce  00:0B:85:51:5A:E0 
Wed Sep 12 17:42:50 2007: 00:0b:85:51:5a:e0 CAPWAP Join-Request MTU path from 
AP 00:0b:85:51:5a:e0 is 1500, remote debug mode is 0
Wed Sep 12 17:42:50 2007: spamRadiusProcessResponse: AP Authorization failure
for 00:0b:85:51:5a:e0

إن يستعمل أنت ثني أن يتلقى وحدة طرفية للتحكم ميناء، أنت ترى هذا رسالة عندما يصدر أنتdebug capwap client errorالأمر:

AP001d.a245.a2fb#
*Mar  1 00:00:52.267: LWAPP_CLIENT_ERROR_DEBUG: spamHandleJoinTimer: Did not receive the
Join response
*Mar  1 00:00:52.267: LWAPP_CLIENT_ERROR_DEBUG: No more AP manager IP addresses remain.

وهذا أيضا مؤشر واضح على أن نقطة الوصول في الوضع Lightweight ليست جزءا من قائمة تخويل نقطة الوصول (AP) على وحدة التحكم.

يمكنك عرض حالة قائمة تخويل نقطة الوصول باستخدام هذا الأمر:

(Cisco Controller) >show auth-list

Authorize APs against AAA ....................... enabled
Allow APs with Self-signed Certificate (SSC) .... disabled

استعملت in order to أضفت {upper}lap إلى ال ap تخويل قائمة،config auth-list add mic الأمر. للحصول على مزيد من المعلومات حول كيفية تكوين تفويض نقطة LAP، ارجع إلى مثال على تكوين تفويض نقطة وصول Lightweight ‏(LAP) في شبكة لاسلكية موحدة من Cisco.

المشكلة 4: هناك شهادة أو تلف في المفتاح العام على نقطة الوصول

لا تنضم نقطة LAP إلى وحدة تحكم نظرًا لوجود مشكلة في الشهادة.

أصدرتdebug capwap errors enableالأمرdebug pm pki enable. تظهر لك رسائل تشير إلى الشهادات أو المفاتيح المُعطَّلة.

Tue Aug 12 17:36:09 2008: 00:0f:24:a9:52:e0
 CAPWAP Join Request does not include valid certificate in CERTIFICATE_PAYLOAD
 from AP 00:0f:24:a9:52:e0.
Tue Aug 12 17:36:09 2008: 00:0f:24:a9:52:e0
 Deleting and removing AP 00:0f:24:a9:52:e0 from fast path
Tue Aug 12 17:36:09 2008: 00:0f:24:a9:52:e0 Unable to free public key for AP

استخدم أحد الخيارين التاليين لحل المشكلة:

• نقطة الوصول MIC - طلب ترخيص المواد المسترجعة (RMA).
• نقطة وصول LSC- إعادة توفير شهادة LSC الخاصة بك.

مشكلة 5: يستلم جهاز التحكم رسالة اكتشاف نقطة الوصول على شبكة VLAN خاطئة (أنت ترى تصحيح أخطاء رسالة الاكتشاف، ولكن ليس الاستجابة)

ترى هذه الرسالة فيdebug capwap events enableإخراج الأمر:

Received a Discovery Request with subnet broadcast with wrong AP IP address (A.B.C.D)!

تعني هذه الرسالة أن وحدة التحكم تلقت طلب اكتشاف بواسطة عنوان IP للبث مع عنوان IP للمصدر غير الموجود في أي شبكات فرعية تم تكوينها على وحدة التحكم. وهذا يعني أيضا أن وحدة التحكم هي التي تقوم بإسقاط الحزمة.

المشكلة أن ال ap ليس ما يرسل الإكتشاف طلب إلى الإدارة عنوان. يقوم جهاز التحكم بالإعلام عن طلب اكتشاف بث من شبكة VLAN لم يتم تكوينها على وحدة التحكم. يحدث هذا عادة عندما تسمح خطوط الاتصال بشبكات VLAN ولا تقيدها إلى شبكات VLAN اللاسلكية.

أكمِل الخطوات التالية لاستكشاف هذه المشكلة وإصلاحها:

1. إذا كانت وحدة التحكم على شبكة فرعية أخرى، فيجب إعداد نقاط الوصول لعنوان IP لوحدة التحكم، أو يجب أن تستلم نقاط الوصول عنوان IP لوحدة التحكم باستخدام إحدى طرق الاكتشاف.
2. تم تكوين المحول للسماح ببعض شبكات VLAN غير الموجودة على وحدة التحكم. قم بتقييد شبكات VLAN المسموح بها على خطوط الاتصال.

المشكلة 6: تعذر على نقطة الوصول الانضمام إلى عنصر التحكم في الشبكة المحلية اللاسلكية (WLC)، وحجب جدار الحماية للمنافذ الضرورية

إذا تم إستخدام جدار حماية في شبكة المؤسسة، فتأكد من تمكين هذه المنافذ على جدار الحماية لنقطة الوصول في الوضع Lightweight (LAP) للانضمام والاتصال بوحدة التحكم.

يجب عليك تمكين المنافذ التالية:

• قم بتمكين منافذ UDP التالية لحركة مرور CAPWAP:

  • البيانات - 5247

  • التحكم - 5246

• قم بتمكين منافذ UDP التالية لحركة مرور إمكانية التنقل:

  • 16666 - 16666

  • 16667 - 16667

• قم بتمكين منفذي UDP ‏5246 و5247 لحركة مرور CAPWAP.

• TCP ‏161 و162 لبروتوكول SNMP (لنظام التحكم اللاسلكي [WCS])

هذه المنافذ إختيارية (حسب متطلباتك):

• UDP 69 لبروتوكول TFTP

• TCP ‏80 و/أو 443 لبروتوكول HTTP أو HTTPS للوصول إلى واجهة المستخدم الرسومية (GUI)

• TCP ‏23 و/أو 22 لبروتوكول Telnet أو SSH للوصول إلى واجهة سطر الأوامر (CLI)

المشكلة 7: عنوان IP مكرر في الشبكة

هذا آخر مشكلة المشتركة يرى عندما ال ap يحاول أن يتلاقى ال WLC. أنت يستطيع رأيت هذا خطأ رسالة عندما ال ap يحاول أن يتلاقى الجهاز تحكم.

No more AP manager IP addresses remain

تأتي أحد أسباب ظهور رسالة الخطأ هذه عند وجود عنوان IP مكرر على الشبكة يطابق عنوان IP الخاص بمدير نقطة الوصول (AP). وفي مثل هذه الحالة، تحتفظ نقطة الوصول في الوضع Lightweight بالبدء في دورة الطاقة ولا يمكنها الانضمام إلى وحدة التحكم.

تظهر التصحيح أن WLC يستلم طلبات اكتشاف LWAPP من نقاط الوصول ويرسل إستجابة اكتشاف LWAPP إلى نقاط الوصول.

ومع ذلك، لا تستقبل وحدات WLC طلبات الانضمام إلى LWAPP من نقاط الوصول (APs).

لاستكشاف هذه المشكلة وإصلاحها، اختبر اتصال مدير نقطة الوصول (AP) من مضيف سلكي موجود على نفس شبكة IP الفرعية مثل مدير نقطة الوصول (AP). بعد ذلك، تحقق من ذاكرة التخزين المؤقت لـ ARP. إذا تم العثور على عنوان IP مكرر، فقم بإزالة الجهاز الذي يحتوي على عنوان IP مكرر أو قم بتغيير عنوان IP على الجهاز بحيث يحتوي على عنوان IP فريد على الشبكة.

يمكن لنقطة الوصول (AP) بعد ذلك الانضمام إلى WLC.

المشكلة 8: نقاط الوصول في الوضع Lightweight مع صورة الشبكة المعشقة غير قادرة على الانضمام إلى عنصر التحكم في الشبكة المحلية اللاسلكية (WLC)

لا يتم تسجيل نقطة وصول Lightweight مع WLC. يعرض السجل رسالة الخطأ التالية:

AAA Authentication Failure for UserName:5475xxx8bf9c User
	 Type: WLAN USER

يمكن أن يحدث هذا إذا تم شحن نقطة وصول Lightweight بصورة شبكة متداخلة وكانت في وضع "الجسر". إذا تم طلب LAP مع برنامج الشبكة المتداخلة، فسيتعين عليك إضافة نقطة LAP إلى قائمة تفويض نقطة الوصول. اختر الأمان > نُهج نقاط الوصول وقم بإضافة نقطة الوصول (AP) إلى قائمة التفويض. يجب أن تنضم نقطة الوصول بعد ذلك، وتنزل الصورة من وحدة التحكم، ثم تسجل مع عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) في وضع الجسر. حينئذ، يتعين عليك تغيير نقطة الوصول (AP) إلى الوضع المحلي. تقوم نقطة الوصول في الوضع Lightweight بتنزيل الصورة وإعادة التمهيد والتسجيل مرة أخرى إلى وحدة التحكم في الوضع المحلي.

المشكلة 9: عنوان غير صحيح Microsoft DHCP

يمكن لنقاط الوصول تجديد عناوين IP الخاصة بها بسرعة عند إجراء محاولة للانضمام إلى عنصر التحكم في الشبكة المحلية اللاسلكية (WLC)، مما يمكن أن يتسبب في قيام خوادم Windows DHCP بوضع علامة IPs على BAD_ADDRESS على هذه عناوين IP التي يمكن أن تستنفد تجمع DHCP بسرعة. تحقق من مزيد من المعلومات في فصل تجوال العميل من دليل تكوين وحدة التحكم اللاسلكية من Cisco، الإصدار 8.2.

معلومات ذات صلة

• الدعم الفني والتنزيلات من Cisco
• عملية الانضمام إلى نقطة الوصول مع Catalyst 9800