المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

نظرة عامة

معلومات أساسية

التكوين

الرسم التخطيطي للشبكة

التكوينات

تحديد قائمة التحكم في الوصول للاتصال النفقي المنقسم

ربط سياسة قائمة التحكم في الوصول (ACL) بقوائم التحكم في الوصول (ACL) المحددة

تكوين سياسة توصيف لاسلكي واسم قائمة التحكم بالوصول إلى MAC المقسم

تخطيط شبكة WLAN إلى ملف تعريف نهج

تكوين ملف تعريف انضمام نقطة وصول واقتران بعلامة الموقع

إرفاق علامة نهج وعلامة الموقع بنقطة وصول

التحقق من الصحة

الوثائق ذات الصلة

المقدمة

يصف هذا وثيقة كيف أن يشكل داخلي منفذ نقطة (ap) ك FlexConnect Office Extend (OEAP) وكيف أن يمكن تقسيم tunneling so that أنت يستطيع عينت ما حركة مرور يستطيع كنت حولت محليا في المنزل وما حركة مرور ينبغي كنت حولت مركزيا في ال WLC.

المتطلبات الأساسية

المتطلبات

يفترض التكوين في هذا المستند أن عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) تم تكوينه بالفعل في منطقة بيانات مجدولة (DMZ) مع تمكين NAT وأن نقطة الوصول قادرة على الانضمام إلى عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) من المكتب المنزلي.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- وحدات التحكم في الشبكة المحلية (LAN) اللاسلكية 9800 التي تشغل برنامج Cisco IOS-XE 17.3.1.

- نقاط الوصول من الموجة 1: 1700/2700/3700.

- نقاط الوصول من السلسلة Wave2: 1800/2800/3800/4800 و Catalyst 9100 Series.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

نظرة عامة

توفر نقطة الوصول Cisco OfficeExtend (Cisco OEAP) إتصالات آمنة من عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) من Cisco إلى نقطة وصول Cisco AP في موقع بعيد، مما يعمل على توسيع شبكة WLAN الخاصة بالشركة عبر الإنترنت إلى مكان إقامة الموظف بسلاسة. تجربة المستخدم في المكتب المنزلي هي نفسها تماما كما لو كانت في مكتب الشركة. يضمن تشفير طبقة نقل البيانات (DTLS) بين نقطة الوصول ووحدة التحكم توفر أعلى مستوى من الأمان لجميع الاتصالات. يمكن أن تعمل أي نقطة وصول داخلية في وضع FlexConnect كنقطة وصول OEAP.

معلومات أساسية

يشير FlexConnect إلى قدرة نقطة الوصول (AP) على التعامل مع العملاء اللاسلكيين أثناء العمل في مواقع بعيدة، على سبيل المثال، على شبكة WAN. كما يمكنهم تحديد ما إذا كان يتم وضع حركة المرور من العملاء اللاسلكيين على الشبكة مباشرة على مستوى نقطة الوصول (التحويل المحلي) أو ما إذا كانت حركة المرور مركزية إلى وحدة التحكم 9800 (التحويل المركزي) وإعادتها عبر شبكة WAN، على أساس كل شبكة محلية لاسلكية (WLAN).

يرجى التحقق من هذا المستند فهم FlexConnect على وحدة التحكم اللاسلكية Catalyst 9800 للحصول على معلومات تفصيلية حول FlexConnect.

وضع OEAP هو خيار متاح في نقطة وصول FlexConnect، للسماح بوظائف إضافية، على سبيل المثال، معرف SSID شخصي محلي للوصول إلى المنزل، ويمكن أيضا توفير ميزة تقسيم الاتصال النفقي، للحصول على بنية أكبر لتحديد حركة المرور التي يجب تحويلها محليا في المكتب المنزلي وما حركة المرور التي يجب تحويلها مركزيا في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC)، عبر شبكة محلية لاسلكية (WLAN) واحدة

التكوين

الرسم التخطيطي للشبكة

التكوينات

تحديد قائمة التحكم في الوصول للاتصال النفقي المنقسم

الخطوة 1. أختر التكوين > التأمين > قائمة التحكم في الوصول (ACL). حدد إضافة.

الخطوة 2. في شاشة إضافة إعداد قائمة التحكم في الوصول (ACL)، أدخل اسم قائمة التحكم في الوصول (ACL)، واختر نوع قائمة التحكم في الوصول (ACL) من القائمة المنسدلة نوع قائمة التحكم في الوصول (ACL) وتحت إعدادات القواعد، أدخل رقم التسلسل. ثم أختر الإجراء كالسماح أو الرفض.

الخطوة 3. أختر نوع المصدر المطلوب من القائمة المنسدلة نوع المصدر.

إذا أخترت نوع المصدر كمضيف، فيجب عليك إدخال اسم المضيف/IP.

إذا أخترت نوع المصدر كشبكة، فيجب عليك تحديد عنوان IP المصدر وقناع حرف بدل المصدر.

في هذا المثال، يتم تحويل جميع حركات المرور من أي مضيف إلى الشبكة الفرعية 192.168.1.0/24 مركزيا (رفض) ويتم تحويل جميع باقي حركة المرور محليا (السماح).

الخطوة 4. حدد خانة الاختيار سجل إذا كنت تريد السجلات، وحدد إضافة.

الخطوة 5. قم بإضافة بقية القواعد وحدد تطبيق على الجهاز.

ربط سياسة قائمة التحكم في الوصول (ACL) بقوائم التحكم في الوصول (ACL) المحددة

الخطوة 1. إنشاء ملف تعريف مرن جديد. انتقل إلى التهيئة > العلامات وملفات التعريف > Flex. حدد إضافة.

الخطوة 2. أدخل اسما وقم بتمكين OEAP. تأكدت أيضا، ال VLAN أهلي طبيعي id الواحد في ال ap switchport.

ملاحظة: عند تمكين وضع Office-Extend، يتم تمكين تشفير الارتباط أيضا بشكل افتراضي ولا يمكن تغييره حتى إذا قمت بتعطيل تشفير الارتباط في ملف تعريف ربط نقطة الوصول.

الخطوة 3. انتقل إلى علامة التبويب قائمة التحكم بالوصول (ACL) للنهج وحدد إضافة. أضف قائمة التحكم في الوصول (ACL) هنا إلى ملف التعريف وقم بالتطبيق على الجهاز.

تكوين سياسة توصيف لاسلكي واسم قائمة التحكم بالوصول إلى MAC المقسم

الخطوة 1. إنشاء ملف تعريف WLAN. في هذا المثال، تم إستخدام SSID باسم HomeOffice مع تأمين WPA2-PSK.

الخطوة 2. إنشاء ملف تعريف نهج. انتقل إلى التكوين > علامات التمييز > النهج وحدد إضافة. تحت عام، تأكد من أن هذا التوصيف محولة مركزيا نهج كما هو موضح في هذا المثال:

الخطوة 3. داخل ملف تعريف السياسة، انتقل إلى سياسات الوصول وحدد شبكة VLAN لحركة المرور التي سيتم تحويلها مركزيا. يحصل العملاء على عنوان IP في الشبكة الفرعية المعينة إلى شبكة VLAN هذه.

الخطوة 4. لتكوين أنفاق التقسيم المحلي على نقطة وصول، يلزمك التأكد من تمكين DCHP المطلوب على شبكة WLAN. وهذا يضمن أن العميل الذي يرتبط بشبكة WLAN المقسمة يقوم ب DHCP. يمكنك تمكين هذا الخيار في ملف تعريف السياسة ضمن علامة التبويب خيارات متقدمة. قم بتمكين خانة الاختيار IPv4 DHCP المطلوبة. تحت إعدادات نهج WLAN Flex، أختر قائمة التحكم في الوصول (ACL) الخاصة بالتحكم في الوصول (MAC) التي تم إنشاؤها من قبل، من القائمة المنسدلة انقسام قائمة التحكم في الوصول (ACL) إلى MAC. حدد تطبيق على الجهاز:

ملاحظة: يحتاج عملاء Apple iOS إلى تعيين الخيار 6 (DNS) في عرض DHCP للعمل بنفقي منقسم.

تخطيط شبكة WLAN إلى ملف تعريف نهج

الخطوة 1. أختر تشكيل > علامات تمييز وتوصيفات > علامات تمييز. في علامة التبويب النهج حدد إضافة.

الخطوة 2. أدخل اسم نهج العلامة وتحت علامة التبويب خرائط WLAN-POLICY، حدد إضافة.

الخطوة 3. أختر ملف تعريف WLAN من القائمة المنسدلة ملف تعريف WLAN واختر ملف تعريف النهج من القائمة المنسدلة ملف تعريف النهج. حدد أيقونة التأشير ثم قم بتطبيق على الجهاز.

تكوين ملف تعريف انضمام نقطة وصول واقتران بعلامة الموقع

الخطوة 1. انتقل إلى تكوين > علامات وتوصيفات > ربط نقطة الوصول وحدد إضافة. أدخل اسما. إختياريا، يمكنك تمكين SSH للسماح باستكشاف الأخطاء وإصلاحها ثم تعطيله لاحقا إذا لم تكن هناك حاجة إليه.

الخطوة 2. أختر تشكيل > علامات تمييز وتوصيفات > علامات تمييز. في علامة التبويب الموقع حدد إضافة.

الخطوة 3. أدخل اسم علامة الموقع، ثم قم بإلغاء تحديد تمكين الموقع المحلي، ثم حدد ملف تعريف ربط نقطة الوصول وتوصيف Flex (الذي تم إنشاؤه قبل ذلك) من القوائم المنسدلة. ثم تطبيق على الجهاز.

إرفاق علامة نهج وعلامة الموقع بنقطة وصول

الخيار 1. يتطلب هذا خيار أنت أن يشكل 1 ap في وقت واحد. انتقل إلى التهيئة > لاسلكي > نقاط الوصول. حدد نقطة الوصول التي تريد نقلها إلى المكتب المنزلي ثم حدد علامات المكتب المنزلي. حدد تحديث وتطبيق على الجهاز:

كما يطلب تكوين وحدة تحكم أساسية حتى تعرف نقطة الوصول على IP/اسم عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) للوصول إليه بمجرد نشره في المكتب المنزلي. يمكنك تنفيذ هذا الإجراء لتحرير نقطة الوصول مباشرة إلى علامة التبويب عالي التوافر:

الخيار 2. يتيح لك هذا الخيار تكوين نقاط وصول متعددة في وقت واحد. انتقل إلى التكوين > إعداد لاسلكي > متقدم > نقاط الوصول لوضع علامات. حدد علامات التمييز التي تم إنشائها مسبقا وحدد تطبيق على الجهاز.

يعيد ال APs والانضمام إلى ال WLC مع العملية إعداد جديد.

التحقق من الصحة

أنت يستطيع دققت التشكيل عن طريق GUI أو CLI. هذا التكوين الناتج في CLI:

!

ip access-list extended HomeOffice_ACL

1 deny ip any 192.168.1.0 0.0.0.255 log

2 permit ip any any log

!

wireless profile flex HomeOffice_FlexProfile

acl-policy HomeOffice_ACL

office-extend

!

wireless profile policy HomeOfficePolicy

no central association

aaa-override

flex split-mac-acl HomeOffice_ACL

flex vlan-central-switching

ipv4 dhcp required

vlan default

no shutdown

!

wireless tag site HomeOficeSite

flex-profile HomeOffice_FlexProfile

no local-site

!

wireless tag policy HomeOfficePolicyTag

wlan HomeOffice policy HomeOfficePolicy

!

wlan HomeOffice 5 HomeOffice

security wpa psk set-key ascii 0 xxxxxxx

no security wpa akm dot1x

security wpa akm psk

no shutdown

!

ap 70db.98e1.3eb8

policy-tag HomeOfficePolicyTag

site-tag HomeOficeSite

!

ap c4f7.d54c.e77c

policy-tag HomeOfficePolicyTag

site-tag HomeOficeSite

!

التحقق من تكوين نقطة الوصول:

eWLC-9800-01#show ap name AP3800_E1.3EB8 config general

Cisco AP Name : AP3800_E1.3EB8

=================================================

Cisco AP Identifier : 0027.e336.5a60

...

MAC Address : 70db.98e1.3eb8

IP Address Configuration : DHCP

IP Address : 192.168.1.99

IP Netmask : 255.255.255.0

Gateway IP Address : 192.168.1.254

...

SSH State : Enabled

Cisco AP Location : default location

Site Tag Name : HomeOficeSite

RF Tag Name : default-rf-tag

Policy Tag Name : HomeOfficePolicyTag

AP join Profile : HomeOfficeAP

Flex Profile : HomeOffice_FlexProfile

Primary Cisco Controller Name : eWLC-9800-01

Primary Cisco Controller IP Address : 192.168.1.15

...

AP Mode : FlexConnect

AP VLAN tagging state : Disabled

AP VLAN tag : 0

CAPWAP Preferred mode : IPv4

CAPWAP UDP-Lite : Not Configured

AP Submode : Not Configured

Office Extend Mode : Enabled

...

أنت يستطيع ربطت إلى ال ap مباشرة وأيضا دققت التشكيل:

AP3800_E1.3EB8#show ip access-lists

Extended IP access list HomeOffice_ACL

1 deny ip any 192.168.1.0 0.0.0.255

2 permit ip any any

AP3800_E1.3EB8#show capwap client detailrcb

SLOT 0 Config

SSID : HomeOffice

Vlan Id : 0

Status : Enabled

...

otherFlags : DHCP_REQUIRED VLAN_CENTRAL_SW

...

Profile Name : HomeOffice

...

AP3800_E1.3EB8#show capwap client config

AdminState : ADMIN_ENABLED(1)

Name : AP3800_E1.3EB8

Location : default location

Primary controller name : eWLC-9800-01

Primary controller IP : 192.168.1.15

‌Secondary controller name : c3504-01

Secondary controller IP : 192.168.1.14

Tertiary controller name :

ssh status : Enabled

ApMode : FlexConnect

ApSubMode : Not Configured

Link-Encryption : Enabled

OfficeExtend AP : Enabled

Discovery Timer : 10

Heartbeat Timer : 30

...

هنا مثال من ربط على يظهر حركة مرور يحول محليا. وفيما يلي الاختبار الذي تم إجراؤه هو إختبار "ping" من عميل مزود ب IP 192.168.1.98 إلى خادم Google DNS ثم إلى 192.168.1.254. أنت يستطيع رأيت ال ICMP مصدر مع ال ip من ال ap عنوان 192.168.1.99 يرسل إلى Google DNS بسبب ال AP يحدد الحركة مرور محليا. لا يوجد بروتوكول ICMP إلى 192.168.1.254 لأن حركة المرور يتم تشفيرها في نفق DTLS ويتم عرض إطارات بيانات التطبيق فقط.

ملاحظة: يتم تحويل حركة المرور التي يتم تحويلها محليا بواسطة نقطة الوصول (AP) لأنه في السيناريوهات العادية، تنتمي الشبكة الفرعية للعميل إلى شبكة Office ولا تعرف الأجهزة المحلية في المكتب المنزلي كيفية الوصول إلى الشبكة الفرعية للعميل. تترجم نقطة الوصول حركة مرور العميل باستخدام عنوان AP IP الموجود في الشبكة الفرعية للمكاتب المنزلية المحلية.

يمكنك الوصول إلى واجهة المستخدم الرسومية OEAP التي تفتح متصفح وتكتب في عنوان URL عنوان AP. بيانات الاعتماد الافتراضية هي admin/admin ويجب عليك تغييرها عند تسجيل الدخول الأولي.

بمجرد تسجيل الدخول، يمكنك الوصول إلى واجهة المستخدم الرسومية:

لديك إمكانية الوصول إلى معلومات نموذجية في OEAP، مثل معلومات AP و SSIDs والعملاء المتصلين:

الوثائق ذات الصلة

فهم FlexConnect على وحدة التحكم اللاسلكية Catalyst 9800

تقسيم الاتصال النفقي ل FlexConnect

شكلت OEAP و RLAN على مادة حفازة 9800 WLC