Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Informations générales

Configuration

Diagramme du réseau

Configurations

Vérification

Dépannage

Introduction

Ce document explique comment fonctionne la détection PMTU (Control and Provisioning of Wireless Access Points) CAPWAP (Path Maximum Transmission Unit) et comment elle s'ajuste en conséquence lorsque le réseau change.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

- Compréhension de base de CAPWAP

- RFC1911

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- AIR-AP3702I-Z-K9

- 2960X exécutant 15.0(2)EX1

- 2960S exécutant 15.0(2)ES10a

- 5508 exécutant 8.2.155.17

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informations générales

Il décrit un scénario dans lequel un point d'accès CAPWAP est physiquement installé dans un site distant devant s'inscrire à un contrôleur de réseau local sans fil (WLC) sur le WAN physiquement installé dans un centre de données.Pour ajouter plus, le site distant est logiquement connecté au centre de données (DC) à l'aide d'un VPN ou d'un tunnel GRE (Generic Routing Encapsulation) et votre client WiFi ne parvient pas à s à s'authentification à l'authentifier à l'aide du protocole Extensible Protocol (Extensible Protocol). EAP-TLS) et vous vous demandez pourquoi. Avec une surcharge supplémentaire introduite par le protocole de tunnellisation, la fragmentation peut devenir un obstacle si le réseau ne s'adapte pas en conséquence.

Configuration

Diagramme du réseau

Configurations

2960X:

interface Vlan7

ip address 7.7.7.1 255.255.255.0

!

interface Vlan8

ip address 8.8.8.1 255.255.255.0

2960S-A:

interface Vlan8

ip address 8.8.8.2 255.255.255.0

!

interface Tunnel1

ip address 172.16.1.1 255.255.255.0

no ip unreachables

tunnel source 9.9.9.2

tunnel destination 9.9.9.3

tunnel path-mtu-discovery

2960S-B:

interface Vlan9

ip address 9.9.9.3 255.255.255.0

!

interface Vlan10

ip address 10.10.10.3 255.255.255.0

!

interface Tunnel1

ip address 172.16.1.2 255.255.255.0

no ip unreachables

tunnel source 9.9.9.3

tunnel destination 9.9.9.2

tunnel path-mtu-discovery

WLC5508:

(WLC5508) >show interface summary

Number of Interfaces.......................... 18

Interface Name                   Port Vlan Id  IP Address      Type    Ap Mgr Guest

-------------------------------- ---- -------- --------------- ------- ------ -----

vlan_50                             1    50       192.168.50.11   Dynamic No     No

vlan_60                             1    60       192.168.60.11   Dynamic No     No

vlan_70                             1    70       192.168.70.11   Dynamic No     No

management                          1    178      10.67.81.11     Static  Yes    No

Vérification

La découverte PMTU CAPWAP initiale se produit pendant l'état JOIN CAPWAP. Le point d'accès tente de négocier au PMTU CAPWAP maximum de 1485 octets (paquet #73 figure 1) en utilisant l'équation suivante.

1 499 octets = Ethernet + CAPWAP PMTU

PMTU CAPWAP = IP externe + UDP + DTLS

where

Ethernet = 14 octets

PMTU CAPWAP = 1 485 octets

IP externe = 20 octets

UDP = 25 octets

DTLS = 1 440 octets

Lorsque le WLC le voit et qu'une réponse correspondante est renvoyée au point d'accès, cette valeur devient le PMTU CAPWAP initial.  Si le WLC ne reçoit pas cette information de l'AP, WLC et AP utilisent 576 octets à la place.  Cette section de la capture de port de commutation AP décrit la tentative de PA dans la négociation du PMTU CAPWAP initial qui finalement ne parvient pas à obtenir de réponse par le WLC.

Le débogage correspondant affiché sur l'AP (debug capwap client info), est affiché dans l'image suivante.

Comme vous pouvez le voir, la tentative initiale de l'AP n'a pas pu obtenir de réponse conduisant à une retransmission d'un paquet de jointure CAPWAP après environ 5 secondes. Donc immédiatement, AP revient au PMTU CAPWAP le plus bas de 576 octets comme illustré dans cette image.

Pendant l'état RUN, le point d'accès tente d'améliorer périodiquement le PMTU CAPWAP en envoyant la valeur PMTU CAPWAP la plus élevée toutes les 30 secondes par la suite. Si l'AP reçoit la réponse correspondante du WLC, la valeur actuelle est ajustée.  Si ce n'est pas le cas, le point d'accès attend encore 30 secondes avant de répéter la tentative d'amélioration du PMTU CAPWAP actuel. Cette image montre une négociation PMTU CAPWAP réussie.

Et le débogage correspondant sur le point d'accès apparaît dans cette image.

Enfin, vous pouvez vérifier le PMTU CAPWAP négocié sur le WLC comme illustré dans cette image.

Dépannage

Vous pouvez vérifier la taille PMTU actuelle sur l'AP à l'aide de la commande, comme illustré dans cette image.

Maintenant on peut se demander comment le PMTU CAPWAP s'adapte dynamiquement si le MTU IP du chemin s'est amélioré ou dégradé.

S'il est amélioré, vous devriez vous attendre à voir la prochaine tentative périodique par le point d'accès d'améliorer le PMTU CAPWAP actuel être reconnu par le WLC et ajuster en conséquence.

Si elle est dégradée, la prochaine tentative périodique du point d'accès pour améliorer le PMTU CAPWAP actuel n'entraîne aucune réponse correspondante du WLC et d'une ICMP inaccessible (type 3, code 4) avec un MTU de tronçon suivant, ce qui entraîne une PMTU CAPWAP inférieure.  Si le protocole ICMP (Internet Control Message Protocol) inaccessible n'atteint jamais le point d'accès, le point d'accès n'effectue aucun ajustement au PMTU CAPWAP actuel qui peut conduire à des paquets abandonnés en raison de fragments importants.

Note: Il est important de noter que le protocole ICMP inaccessible peut être filtré par un pare-feu pour empêcher les attaques DoS, ce qui est une pratique courante. Assurez-vous que ce n'est pas le cas lorsque les choses ne fonctionnent pas.

Voici un exemple de ce qui se passe lorsque le MTU IP de l'interface de tunnel passe de 1500 à 900.

Comme vous pouvez le voir clairement, ICMP Unreachable réduit immédiatement le PMTU CAPWAP à 576 octets jusqu'à ce qu'il soit ajusté à la valeur MTU du saut suivant, comme illustré dans cette image.

En résumé, l'algorithme PMTUD CAPWAP fonctionne comme ceci.

Étape 1. La PMTU CAPWAP initiale sera négociée pendant la phase de jointure AP.

Étape 2. 30 secondes plus tard, AP tentera d'améliorer le PMTU CAPWAP actuel en envoyant la prochaine valeur PMTU CAPWAP supérieure prédéfinie (576, 1005 et 1485 octets).

Étape 3 (option 1). S'il y a une réponse WLC correspondante à la tentative, ajustez le PMTU CAPWAP actuel à la nouvelle valeur et répétez l'étape 2.

Étape 3 (option 2). S'il n'y a pas de réponse WLC correspondante à la tentative, laissez le PMTU CAPWAP actuel inchangé et répétez l'étape 2.

Étape 3 (option 3). S'il n'y a pas de réponse WLC correspondante et que nous voyons un ICMP inaccessible (Type 3, Code 4) avec la valeur de tronçon suivant, ajustez le PMTU CAPWAP à cette valeur et répétez l'étape 2.