Konfigurieren von Wired-Clients mit Workgroup Bridge (WGB) mithilfe von NAT

Einleitung

Dieses Dokument beschreibt die Konfiguration von kabelgebundenen Clients hinter Network Access Translation für den Zugriff auf das Netzwerk über Workgroup Bridge.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in den folgenden Bereichen verfügen:

• Konzepte und Konfiguration des 9800 Wireless LAN Controller (WLC)
• Workgroup Bridge (WGB)-Konzepte und -Konfiguration
• Konzepte und Konfiguration der Netzwerkzugriffskontrolle (NAT)
• Switching-Konzepte und Konfiguration

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• 9800-CL WLC Cisco IOS® XE 26.1.1
• WGB WP-WIFI6-B integriert in 1821 Router Version 26.1.1
• Robuster Catalyst IR1821 Router, Cisco IOS 17.15.4
• 9300-Switch, Cisco IOS 17.15.4

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Es gibt WGB-Implementierungen, bei denen sich die kabelgebundenen Clients hinter dem WGB in einem anderen vLAN als dem WGB befinden müssen, und bei denen vLAN nicht im WGB, WLC oder in den Netzwerkgeräten hinter dem WLC vorhanden ist.

In diesem Szenario bietet die Verwendung von NAT die erforderliche Konfiguration und Flexibilität, um die Kommunikation der kabelgebundenen Clients mit dem Netzwerk (Anwendungen, Internet, Server usw.) hinter dem WLC zu ermöglichen.

Netzwerkdiagramm

Topologie

Konfigurieren

Wireless LAN-Controller

In diesem Abschnitt wird die grundlegende Konfiguration des WLAN, des WLAN-Richtlinienprofils und der Richtlinien-Tag-Nummer erläutert, um den Service Set Identifier (SSID) zu übertragen, mit dem sich der WGB verbindet.

Schritt 1: Konfigurieren der SSID

Schritt 1.1: Navigieren Sie zu Konfiguration > Tags & Profile > WLANs. Klicken Sie auf Hinzufügen. Geben Sie den Namen des Profils und der SSID ein. Klicken Sie auf Apply (Anwenden).

GUI:

WLAN-Konfiguration

CLI:

config t
wlan WGB 6 WGB
radio policy dot11 5ghz
no shutdown

Schritt 1.2: Konfigurieren der SSID-Sicherheitsparameter Wählen Sie PSK aus, geben Sie das PSK-Kennwort ein, und klicken Sie auf Apply.

GUI:

WLAN-Sicherheit

CLI:

config t
wlan WGB 6 WGB
shutdown
no security ft adaptive
security wpa psk set-key ascii 0 12345678
no security wpa akm dot1x
security wpa akm psk
no shutdown

Schritt 1.3: Konfigurieren von AironetIE in der SSID Navigieren Sie zur Registerkarte Erweitert, aktivieren Sie CCX Aironet IE, und klicken Sie auf Anwenden.

GUI:

Aironet IE

CLI:

config t
wlan WGB 6 WGB
shutdown
ccx aironet-iesupport
no shutdown

Schritt 2: Konfigurieren des WLAN-Richtlinienprofils

Schritt 2.1: Navigieren Sie zu Konfiguration > Tags & Profile > WLANs. Klicken Sie auf Hinzufügen. Geben Sie einen Namen ein. Konfigurieren Sie den Status und den passiven Client als Aktivieren. Klicken Sie anschließend auf Apply.

GUI:

WLAN-Richtlinie

CLI:

config t
wireless profile policy PolicyWGB
passive-client
no shutdown

Schritt 2.2. Navigieren Sie zu Zugriffsrichtlinien. Klicken Sie auf VLAN/VLAN Group (VLAN/VLAN-Gruppe), und wählen Sie WGB vLAN aus.

GUI:

VLAN-Konfiguration

CLI:

conf t
wireless profile policy PolicyWGB
shutdown
vlan VLAN3246
no shutdown

Schritt 3: Konfigurieren Sie das Policy Tag, und wenden Sie es auf die Access Points (AP) an, mit denen sich der WGB verbindet.

Schritt 3.1: Navigieren Sie zu Konfiguration > Tags & Profile > Tags. Klicken Sie auf Richtlinie und dann auf Hinzufügen. Geben Sie einen Namen ein, und klicken Sie dann auf Hinzufügen. Wählen Sie die SSID und das Richtlinienprofil aus. Klicken Sie auf Apply (Anwenden).

GUI:

Tag

CLI:

config t
wireless tag policy WGBTag
wlan WGB policy PolicyWGB

Workgroup-Bridge

In diesem Abschnitt wird die Konfiguration des WGB erläutert. Die Konfiguration ermöglicht dem WGB, eine Verbindung zum Netzwerk herzustellen und die Verbindung über vLAN3246 herzustellen.

CLI:

configure ap hostname WGB1
configure ap address ipv4 static 10.10.246.4 255.255.255.0 10.10.246.1
configure ap management add username admin password P0ssw0rd123! secret P0ssw0rd123!
configure ssid-profile WGB ssid WGB authentication psk 12345678 key-management wpa2
configure dot11Radio 1 mode wgb ssid-profile WGB
configure dot11Radio 1 enable

Router

In diesem Abschnitt wird erläutert, wie Sie NAT konfigurieren, um die Verbindung zwischen den kabelgebundenen Clients in vLAN3248 und vLAN3246 zu ermöglichen.

vLAN3248 befindet sich nur im Router und hat keinerlei Verbindung mit der Seite des Netzwerks, die sich hinter dem WLC befindet.

Der Router führt eine NAT aus, um den Datenverkehr der kabelgebundenen Clients in vLAN3248 über das WGB an die Seite des Netzwerks hinter dem WLC in vLAN3246 zu übertragen.

Schritt 1: Konfigurieren Sie vLAN 3246 und vLAN 3248 auf Layer 2.

conf t
vlan 3246
exit
vlan 3248
end

Schritt 2: Konfigurieren Sie den WGB-Port am Router.

conf t
interface Wlan-GigabitEthernet 0/1/4
switchport trunk native vlan 3246
switchport trunk allowed vlan 3246
switchport mode trunk

Schritt 3: Konfigurieren Sie die Switched Virtual Interface (SVI) des WGB vLAN und des kabelgebundenen Client vLAN.

Schritt 3.1: WGB-SVI-Konfiguration. Die IP-Adresse 10.10.246.1 ist das Gateway für das vLAN 3246, das auf dem Layer-3-Switch hinter dem WLC konfiguriert ist. Diese SVI im Router verwendet die nächstmögliche IP-Adresse.

config t
interface Vlan3246
ip address 10.10.246.2 255.255.255.0

Schritt 3.2: Die vLAN-Konfiguration für kabelgebundene Clients. Kabelgebundene Clients im Router verwenden vLAN 3248. Diese SVI ist das Gateway der kabelgebundenen Clients, da diese Clients nur in diesem Router vorhanden sind. Konfigurieren Sie eine eindeutige MAC-Adresse für diese SVI.

config t
interface Vlan3248
mac-address 6c13.d53f.aabb
ip address 10.10.248.1 255.255.255.0

Schritt 4: Konfigurieren einer Zugriffsliste (ACL) und Zulassen des Netzwerks der kabelgebundenen Clients

config t
ip access-list extended NATACL
10 permit ip 10.10.248.0 0.0.0.255 any

Schritt 5: Konfigurieren Sie eine Route Map, die der ACL und der WGB-Schnittstelle entspricht.

conf t
route-map WGBACL permit 10
match ip address NATACL
match interface Vlan3246

Schritt 6: Konfigurieren von NAT

Schritt 6.1: Konfigurieren von NAT in den SVIs Die SVI 3248 ist die innere und die 3246 die äußere NAT.

config t
interface Vlan3248
ip nat inside
exit
interface Vlan3246
ip nat outside

Schritt 6.2: Konfigurieren der NAT im Router Verwenden Sie die route-map als Quelle. Durch diese Konfiguration können die kabelgebundenen Clients im vLAN3248 hinter dem WLC über eine Verbindung mit dem Netzwerk im vLAN3246 verfügen.

config t
ip nat inside source route-map WGBACL interface Vlan3246 overload

Schritt 6.3 Dieser Schritt ist optional. Wenn in vLAN3248 von Geräten hinter dem WLC in vLAN3246 auf die Geräte hinter dem WGB zugegriffen werden muss, kann er über NAT konfiguriert werden.

Als Beispiel zeigt die abgebildete Konfiguration, wie der Zugriff für ein Gerät hinter dem Router und für WGB mit der IP-Adresse 10.10.248.10 über das Remote Desktop Protocol (RDP) von Geräten hinter dem WLC in vLAN3246 konfiguriert wird.

Es kann ein beliebiger Port verwendet werden, je nachdem, auf welchen Port im Gerät hinter dem Router in vLAN 3248 zugegriffen werden muss (SSH, Telenet, RDP, HTTP usw.).

Um über RDP von einem Gerät in vLAN3246 auf das Gerät 10.10.248.10 zuzugreifen, wird die RDP-Verbindung mit der SVI des 3246 vLAN im Router hergestellt (10.10.246.2), überprüfen Sie den Abschnitt in diesem Dokument.

config t
ip nat inside source static tcp 10.10.248.10 3389 interface Vlan3246 3389

Schritt 7: Konfigurieren Sie den kabelgebundenen Client-Port in vLAN 3248 auf dem Router.

config t
interface GigabitEthernet0/1/0
switchport mode access
switchport access vlan 3248

Überprüfung

Überprüfen Sie die Verbindung des WGB und der SVI des vLAN 3246, die als kabelgebundener Client aufgeführt sind. Bestätigen Sie außerdem die Verbindung der kabelgebundenen Clients im vLAN 3248 mit dem Netzwerk, und senden Sie einen Ping an das hinter dem WLC vorhandene vLAN 3246-Gateway.

Wireless LAN-Controller

Prüfen Sie, ob der WGB und die SVI des im Router konfigurierten vLAN 3246 vom WLC in der Liste der Wireless-Clients angezeigt werden.

GUI:

 WGB- und WGB-Client

CLI:

9800L#show wireless client summary
Number of Clients: 2
MAC Address       AP Name     Type  ID  State  Protocol  Method  Role
------------------------------------------------------------------------
6c13.d53f.f8f4    C9124AXI-B  WLAN  6   Run    11ac      None    Local
e462.c49f.790f    C9124AXI-B  WLAN  6   Run    11ac      None    Local

9800L#show wireless client summary detail
Number of Clients: 2

MAC Address     SSID    AP Name     State  IP Address   VLAN  BSSID           Auth Method   Protocol Channel  Width 
---------------------------------------------------------------------------------------------------------------------
6c13.d53f.f8f4  WGB     C9124AXI-B  Run    10.10.246.2  3246  5c64.f171.6eae  [PSK]         11ac      36      20/20 
e462.c49f.790f  WGB     C9124AXI-B  Run    10.10.246.4  3246  5c64.f171.6eae  [PSK]         11ac      36      20/160 

9800L#show wireless wgb summary
Number of WGBs: 1
MAC Address      AP Name      WLAN    State   Clients
-------------------------------------------------------
e462.c49f.790f   C9124AXI-B   6       Run     1

Workgroup-Bridge

Vergewissern Sie sich, dass die WGB-Anzeige mit der SSID verbunden ist.

WGB#show wgb dot11 associations
Uplink Radio ID : 1
Uplink Radio MAC : E4:62:C4:9F:79:0F
SSID Name : WGB
Connected Duration : 0 hours, 7 minutes, 9 seconds
Parent AP Name : C9124AXI-B
Parent AP MAC : 5C:64:F1:71:6E:AE
Uplink State : CONNECTED
Auth Type : PSK
Key management Type : WPA2
Dot11 type : 11ac
Channel : 36
Bandwidth : 20 MHz
Current Datarate : 104 Mbps
Max Datarate : 286 Mbps
RSSI : 41
IP : 10.10.246.4/24
Default Gateway : 10.10.246.1
IPV6 : ::/128
Assoc timeout : 5000 Msec
Auth timeout : 5000 Msec
Dhcp timeout : 60 Sec
Country-code : US

Bestätigen Sie, dass die SVI des vLAN 3246 in der WGB-Bridge-Tabelle angezeigt wird.

WGB#show wgb bridge
***Client ip table entries***
mac vap port vlan_id seen_ip confirm_ago fast_brg
6C:13:D5:3F:F8:F4 0 wired0 0 10.10.246.2 28.112000 true
5C:64:F1:71:6E:AF 0 wbridge1 0 0.0.0.0 1064.320000 true

Router

Vergewissern Sie sich vom Router, dass er von vLAN3248 über das Netzwerk hinter dem WLC in vLAN3246 erreichbar ist, und dass er erfolgreich ist.

Router#ping 10.10.246.1 source vlan 3248
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.246.1, timeout is 2 seconds:
Packet sent with a source address of 10.10.248.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 4/7/8 ms

Überprüfen, ob die NAT-Übersetzungen richtig angezeigt werden

Router#show ip nat translations
Pro Inside global Inside local Outside local Outside global
icmp 10.10.246.2:12 10.10.248.1:12 10.10.246.1:12 10.10.246.1:12
Total number of translations: 1

Wenn Sie den optionalen Konfigurationsschritt "NAT" verwenden, überprüfen Sie, ob die RDP-Verbindung von vLAN3246 zu einem Gerät in vLAN3248 erfolgreich ist.

Im Beispiel dieses Dokuments wird RDP verwendet. Es kann jedoch jedes andere Protokoll verwendet werden.

Verwenden Sie die SVI des im Router konfigurierten vLAN3246 (10.10.246.2), um das Gerät 10.10.248.10 hinter dem Router in vLAN3248 mit einem RDP zu versehen.

RDP-Remote-Gerät

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	08-Sep-2026	Erstveröffentlichung