Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfigurieren

Netzwerkdiagramm

Zugangspunkt hinter der NAT

Konfiguration

Überprüfen

Melden Sie sich bei OEAP an, und konfigurieren Sie die persönliche SSID.

RLAN auf 9800 WLC konfigurieren

Fehlerbehebung

Einführung

In diesem Dokument wird erläutert, wie der Cisco OfficeExtend Access Point (OEAP) und das Remote Local Area Network (RLAN) auf dem 9800 WLC konfiguriert werden.

Ein Cisco OfficeExtend Access Point (OEAP) ermöglicht die sichere Kommunikation von einem Controller zu einem Cisco AP an einem Remote-Standort und erweitert nahtlos das Unternehmens-WLAN über das Internet auf den Wohnsitz eines Mitarbeiters. Das Anwendererlebnis im Heimbüro ist genauso wie im Büro. Die DTLS-Verschlüsselung (Datagram Transport Layer Security) zwischen Access Point und Controller stellt sicher, dass alle Kommunikationen ein Höchstmaß an Sicherheit bieten.

Ein Remote LAN (RLAN) wird zur Authentifizierung von kabelgebundenen Clients über den Controller verwendet. Sobald der kabelgebundene Client erfolgreich zum Controller gehört, schalten die LAN-Ports den Datenverkehr zwischen zentralen oder lokalen Switching-Modi um. Der Datenverkehr von den kabelgebundenen Clients wird als Wireless-Client-Datenverkehr behandelt. Das RLAN im Access Point (AP) sendet die Authentifizierungsanfrage, um den kabelgebundenen Client zu authentifizieren. Die Authentifizierung der kabelgebundenen Clients im RLAN ähnelt dem zentralen authentifizierten Wireless-Client.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- 9800 WLC

- CLI-Zugriff (Command Line Interface) auf die Wireless-Controller und Access Points

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Catalyst 9800 WLC Version 17.02.01

- AP der Serien 1815/1810

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konfigurieren

Netzwerkdiagramm

Zugangspunkt hinter der NAT

Bei 16.12.x-Codes müssen Sie die NAT-IP-Adresse über die CLI konfigurieren. Es ist keine GUI-Option verfügbar. Sie können die CAPWAP-Erkennung auch über eine öffentliche oder private IP auswählen.

(config)#wireless management interface vlan 1114 nat public-ip x.x.x.x

(config-nat-interface)#capwap-discovery ?

private  Include private IP in CAPWAP Discovery Response

public   Include public IP in CAPWAP Discovery Response

Navigieren Sie unter 17.x-Codes zu Configuration > Interface > Wireless (Konfiguration > Schnittstelle > Wireless), und klicken Sie dann auf Wireless Management Interface (Wireless-Verwaltungsschnittstelle), um den Erkennungstyp NAT IP und CAPWAP über die GUI zu konfigurieren.

Konfiguration

1. Um ein Flex-Profil zu erstellen, aktivieren Sie Office Extend AP und navigieren Sie zu Configuration > Tags & Profiles > Flex.

2. Um eine Site-Tag zu erstellen und ein Flex-Profil zuzuordnen, navigieren Sie zu Configuration > Tags & Profiles > Tags.

3. Navigieren Sie zum Tag 1815 AP mit der Site-Tag-Nummer, die durch Configuration > Wireless Setup > Advanced > Tag APs erstellt wurde.

Überprüfen

Wenn der 1815 AP wieder dem WLC beitritt, überprüfen Sie diese Ausgabe:

vk-9800-1#show ap name AP1815 config general

Cisco AP Name   : AP1815

=================================================

Cisco AP Identifier                             : 002c.c8de.3460

Country Code                                    : Multiple Countries : IN,US

Regulatory Domain Allowed by Country            : 802.11bg:-A   802.11a:-ABDN

AP Country Code                                 : US  - United States

Site Tag Name                                   : Home-Office

RF Tag Name                                     : default-rf-tag

Policy Tag Name                                 : default-policy-tag

AP join Profile                                 : default-ap-profile

Flex Profile                                    : OEAP-FLEX

Administrative State                            : Enabled

Operation State                                 : Registered

AP Mode                                         : FlexConnect

AP VLAN tagging state                           : Disabled

AP VLAN tag                                     : 0

CAPWAP Preferred mode                           : IPv4

CAPWAP UDP-Lite                                 : Not Configured

AP Submode                                      : Not Configured

Office Extend Mode                              : Enabled

Dhcp Server                                     : Disabled

Remote AP Debug                                 : Disabled

vk-9800-1#show ap link-encryption

Encryption     Dnstream    Upstream     Last

AP Name                     State          Count       Count        Update

--------------------------------------------------------------------------

N2                           Disabled       0           0           06/08/20 00:47:33

AP1815                       Enabled        43          865         06/08/20 00:46:56

when you enable the OfficeExtend mode for an access point DTLS data encryption is enabled automatically.

AP1815#show capwap client config

AdminState                         : ADMIN_ENABLED(1)

Name                               : AP1815

Location                           : default location

Primary controller name            : vk-9800-1

ssh status                         : Enabled

ApMode                             : FlexConnect

ApSubMode                          : Not Configured

Link-Encryption                    : Enabled

OfficeExtend AP                    : Enabled

Discovery Timer                    : 10

Heartbeat Timer                    : 30

Syslog server                      : 255.255.255.255

Syslog Facility                    : 0

Syslog level                       : informational

Hinweis: Sie können die DTLS-Datenverschlüsselung für einen bestimmten Access Point oder für alle Access Points mithilfe des Befehls AP link Encryption aktivieren oder deaktivieren.

vk-9800-1(config)#ap profile default-ap-profile

vk-9800-1(config-ap-profile)#no link-encryption

Disabling link-encryption globally will reboot the APs with link-encryption.

Are you sure you want to continue? (y/n)[y]:y

Melden Sie sich bei OEAP an, und konfigurieren Sie die persönliche SSID.

1. Sie können über die IP-Adresse auf die Webschnittstelle des OEAP zugreifen. Die Standardanmeldeinformationen sind admin und admin.

2. Aus Sicherheitsgründen wird empfohlen, die Standardanmeldeinformationen zu ändern.

3. Navigieren Sie zu Configuration> SSID> 2,4 GHz/5 GHz, um die persönliche SSID zu konfigurieren.

4. Aktivieren der Funkschnittstelle.

5. Geben Sie die SSID ein, und aktivieren Sie Broadcast.

6. Wählen Sie für die Verschlüsselung WPA-PSK oder WPA2-PSK aus, und geben Sie die Passphrase für den entsprechenden Sicherheitstyp ein.

7. Klicken Sie auf Apply, um die Einstellungen zu übernehmen.

8. Clients, die eine Verbindung zum persönlichen SSID herstellen, erhalten standardmäßig die IP-Adresse vom Netzwerk 10.0.0.1/24.

9. Privatnutzer können den gleichen AP für die Verbindung zu Hause verwenden, und der Datenverkehr wird nicht über den DTLS-Tunnel geleitet.

10. Um die Clientzuordnungen im OEAP zu überprüfen, navigieren Sie zu Home > Client. Sie können die lokalen Clients und Corporate Clients sehen, die dem OEAP zugeordnet sind.

To clear personal ssidfrom office-extend ap

ewlc#ap name cisco-ap clear-personalssid-config

clear-personalssid-config Clears the Personal SSID config on an OfficeExtend AP

RLAN auf 9800 WLC konfigurieren

Ein Remote LAN (RLAN) wird zur Authentifizierung von kabelgebundenen Clients über den Controller verwendet. Sobald der kabelgebundene Client erfolgreich zum Controller gehört, schalten die LAN-Ports den Datenverkehr zwischen zentralen oder lokalen Switching-Modi um. Der Datenverkehr von den kabelgebundenen Clients wird als Wireless-Client-Datenverkehr behandelt. Das RLAN im Access Point (AP) sendet die Authentifizierungsanfrage, um den kabelgebundenen Client zu authentifizieren. Die

Die Authentifizierung der kabelgebundenen Clients im RLAN ähnelt dem zentralen authentifizierten Wireless-Client.

Hinweis: In diesem Beispiel wird lokales EAP für die RLAN-Client-Authentifizierung verwendet. Für die Konfiguration der nachfolgenden Schritte muss auf dem WLC eine lokale EAP-Konfiguration vorhanden sein. Sie umfasst Authentifizierungs- und Autorisierungsmethoden, lokales EAP-Profil und lokale Anmeldeinformationen.

Lokale EAP-Authentifizierung für Catalyst 9800 WLC-Konfigurationsbeispiel

1. Um ein RLAN-Profil zu erstellen, navigieren Sie zu Configuration > Wireless > Remote LAN und geben Sie einen Namen und eine RLAN-ID für das RLAN-Profil ein, wie in diesem Bild gezeigt.

2. Navigieren Sie zu Security > Layer2, um 802.1x für ein RLAN zu aktivieren, legen Sie den 802.1x-Status auf Enabled (Aktiviert) fest, wie in diesem Bild gezeigt.

3. Navigieren Sie zu Security > AAA, legen Sie die lokale EAP-Authentifizierung auf enabled fest, und wählen Sie den erforderlichen EAP-Profilnamen aus der Dropdown-Liste aus, wie in diesem Bild gezeigt.

4. Um eine RLAN-Richtlinie zu erstellen, navigieren Sie zu Configuration > Wireless > Remote LAN und klicken Sie auf der Seite Remote LAN (Remote-LAN) auf die Registerkarte RLAN Policy (RLAN-Richtlinie), wie in diesem Bild gezeigt.

Navigieren Sie zu Zugriffsrichtlinien, konfigurieren Sie das VLAN und den Hostmodus, und wenden Sie die Einstellungen an.

5. Um Richtlinien-Tag zu erstellen und RLAN-Profil der RLAN-Richtlinie zuzuordnen, navigieren Sie zu Konfiguration > Tags & Profile > Tags.

6. Aktivieren Sie den LAN-Port, und wenden Sie die Richtlinie-TAG auf den AP an. Navigieren Sie zu Konfiguration > Wireless > Access Points, und klicken Sie auf den Access Point.

Wenden Sie die Einstellung an, und der Access Point schließt sich dem WLC erneut an. Klicken Sie auf den AP, wählen Sie Schnittstellen aus und aktivieren Sie den LAN-Port.

Übernehmen Sie die Einstellungen, und überprüfen Sie den Status.

7. Schließen Sie einen PC am LAN3-Port des AP an. Der PC wird über 802.1x authentifiziert und erhält eine IP-Adresse aus dem konfigurierten VLAN.

Navigieren Sie zu Monitoring > Wireless > Clients, um den Client-Status zu überprüfen.

vk-9800-1#show wireless client summary

Number of Clients: 2

MAC Address    AP Name                                        Type ID   State             Protocol Method     Role

-------------------------------------------------------------------------------------------------------------------------

503e.aab7.0ff4 AP1815                                         WLAN 3    Run               11n(2.4) None       Local

b496.9126.dd6c AP1810                                         RLAN 1    Run               Ethernet Dot1x      Local

Number of Excluded Clients: 0

Fehlerbehebung

Häufige Fragen:

- Nur die Arbeit der lokalen SSID, SSIDs auf dem WLC konfiguriert nicht gesendet werden: Überprüfen Sie, ob der Access Point dem Controller ordnungsgemäß angeschlossen ist.

- Zugriff auf die OEAP-GUI nicht möglich: Überprüfen Sie, ob ap über IP-Adresse verfügt und ob die Erreichbarkeit (Firewall, ACL usw. im Netzwerk) überprüft wird.

- Zentrale Switched Wireless- oder kabelgebundene Clients können sich nicht authentifizieren oder die IP-Adresse nicht erhalten: Nehmen Sie RA Traces, immer auf Traces, etc.

Beispiel für Always-On-Traces für kabelgebundenen 802.1x-Client:

[client-orch-sm] [18950]: (note): MAC: <client-mac>  Association received. BSSID 00b0.e187.cfc0, old BSSID 0000.0000.0000, WLAN test_rlan, Slot 2 AP 00b0.e187.cfc0, Ap_1810

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_INIT -> S_CO_ASSOCIATING

[dot11-validate] [18950]: (ERR): MAC: <client-mac>  Failed to dot11 determine ms physical radio type. Invalid radio type :0 of the client.

[dot11] [18950]: (ERR): MAC: <client-mac>  Failed to dot11 send association response. Encoding of assoc response failed for client reason code: 14.

[dot11] [18950]: (note): MAC: <client-mac>  Association success. AID 1, Roaming = False, WGB = False, 11r = False, 11w = False AID list: 0x1| 0x0| 0x0| 0x0

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_ASSOCIATING -> S_CO_L2_AUTH_IN_PROGRESS

[client-auth] [18950]: (note): MAC: <client-mac>  ADD MOBILE sent. Client state flags: 0x71  BSSID: MAC: 00b0.e187.cfc0  capwap IFID: 0x90000012

[client-auth] [18950]: (note): MAC: <client-mac>  L2 Authentication initiated. method DOT1X, Policy VLAN 1119,AAA override = 0 , NAC = 0

[ewlc-infra-evq] [18950]: (note): Authentication Success. Resolved Policy bitmap:11 for client <client-mac>

[client-orch-sm] [18950]: (note): MAC: <client-mac>  Mobility discovery triggered. Client mode: Local

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_L2_AUTH_IN_PROGRESS -> S_CO_MOBILITY_DISCOVERY_IN_PROGRESS

[mm-client] [18950]: (note): MAC: <client-mac>  Mobility Successful. Roam Type None, Sub Roam Type MM_SUB_ROAM_TYPE_NONE, Previous BSSID MAC: 0000.0000.0000   Client IFID: 0xa0000003, Client Role: Local PoA: 0x90000012 PoP: 0x0

[client-auth] [18950]: (note): MAC: <client-mac>  ADD MOBILE sent. Client state flags: 0x72  BSSID: MAC: 00b0.e187.cfc0  capwap IFID: 0x90000012

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_MOBILITY_DISCOVERY_IN_PROGRESS -> S_CO_DPATH_PLUMB_IN_PROGRESS

[dot11] [18950]: (note): MAC: <client-mac>  Client datapath entry params - ssid:test_rlan,slot_id:2 bssid ifid: 0x0, radio_ifid: 0x90000006, wlan_ifid: 0xf0404001

[dpath_svc] [18950]: (note): MAC: <client-mac>  Client datapath entry created for ifid 0xa0000003

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_DPATH_PLUMB_IN_PROGRESS -> S_CO_IP_LEARN_IN_PROGRESS

[client-iplearn] [18950]: (note): MAC: <client-mac>  Client IP learn successful. Method: DHCP IP: <Cliet-IP>

[apmgr-db] [18950]: (ERR): 00b0.e187.cfc0 Get ATF policy name from WLAN profile:: Failed to get wlan profile. Searched wlan profile test_rlan

[apmgr-db] [18950]: (ERR): 00b0.e187.cfc0 Failed to get ATF policy name

[apmgr-bssid] [18950]: (ERR): 00b0.e187.cfc0 Failed to get ATF policy name from WLAN profile name: No such file or directory

[client-orch-sm] [18950]: (ERR): Failed to get client ATF policy name: No such file or directory

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_IP_LEARN_IN_PROGRESS -> S_CO_RUN