Configurazione di client cablati Workgroup Bridge (WGB) con NAT
Introduzione
Questo documento descrive la configurazione dei client cablati dietro Network Access Translation per accedere alla rete tramite Workgroup Bridge.
Prerequisiti
Requisiti
Cisco raccomanda la conoscenza dei seguenti argomenti:
- Nozioni base e configurazione del Wireless Lan Controller (WLC) 9800
- Concetti e configurazione di Workgroup Bridge (WGB)
- Concetti e configurazione di Network Access Control (NAT)
- Configurazione e concetti di switching
Componenti usati
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
- 9800-CL WLC Cisco IOS® XE 26.1.1
- WGB WP-WIFI6-B integrato nel router 1821 versione 26.1.1
- Catalyst IR1821 Rugged Router, Cisco IOS 17.15.4
- Switch 9300, Cisco IOS 17.15.4
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Premesse
Alcune implementazioni WGB richiedono che i client cablati dietro il WGB si trovino in una vLAN diversa da quella del WGB e allo stesso tempo che la vLAN non esista nel WGB, nel WLC o nei dispositivi di rete dietro il WLC.
In questo scenario, l'utilizzo di NAT offre la configurazione e la flessibilità necessarie per consentire ai client cablati di comunicare con la rete (applicazioni, Internet, server e così via) dietro il WLC.
Esempio di rete
Topologia
Configurazione
Controller LAN wireless
In questa sezione viene illustrata la configurazione di base della WLAN, del profilo WLAN-Policy e del codice di matricola per trasmettere l'SSID (Service Set Identifier) a cui la WGB si connette.
Attenzione: Qualsiasi modifica apportata alla configurazione di questi parametri in fase di produzione può causare la disconnessione di un client wireless.
Passaggio 1. Configurare il SSID.
Passaggio 1.1. Passare a Configurazione > Tag e profili > WLAN. Fare clic su Add. Immettere il nome del profilo e del SSID. Fare clic su Apply (Applica).
GUI:
Configurazione Wlan
CLI:
config t
wlan WGB 6 WGB
radio policy dot11 5ghz
no shutdown
Passaggio 1.2. Configurare i parametri di sicurezza SSID. Scegliere PSK, immettere la password PSK e fare clic su Applica.
GUI:
Sicurezza Wlan
CLI:
config t
wlan WGB 6 WGB
shutdown
no security ft adaptive
security wpa psk set-key ascii 0 12345678
no security wpa akm dot1x
security wpa akm psk
no shutdown
Passaggio 1.3. Configurare AironetIE nel SSID. Passare alla scheda Advanced, abilitare CCX Aironet IE e fare clic su Apply.
GUI:
Aironet IE
CLI:
config t
wlan WGB 6 WGB
shutdown
ccx aironet-iesupport
no shutdown
Passaggio 2. Configurare il profilo dei criteri WLAN.
Passaggio 2.1. Passare a Configurazione > Tag e profili > WLAN. Fare clic su Add. Immettere un nome. Configurare come Abilitare lo stato e il client passivo. Quindi fare clic su Applica.
GUI:
Criteri WLAN
CLI:
config t
wireless profile policy PolicyWGB
passive-client
no shutdown
Passaggio 2.2. Passare a Criteri di accesso. Fare clic su VLAN/VLAN Group (Gruppo VLAN/VLAN) e selezionare WGB vLAN.
GUI:
Configurazione Vlan
CLI:
conf t
wireless profile policy PolicyWGB
shutdown
vlan VLAN3246
no shutdown
Passaggio 3. Configurare il tag dei criteri e applicarlo ai punti di accesso ai quali il WGB si connette.
Passaggio 3.1. Passare a Configurazione > Tag e profili > Tag. Fare clic su Criteri e quindi su Aggiungi. Immettere un nome, quindi fare clic su Aggiungi. Scegliere il SSID e il Profilo criterio. Fare clic su Apply (Applica).
GUI:
Contrassegno
CLI:
config t
wireless tag policy WGBTag
wlan WGB policy PolicyWGB
Nota: Ricordarsi di applicare a Policy Tag tutti i punti di accesso che trasmettono l'SSID.
Workgroup Bridge
In questa sezione viene illustrata la configurazione del WGB. La configurazione consente al WGB di connettersi alla rete e ottenere la connettività tramite vLAN3246.
CLI:
configure ap hostname WGB1
configure ap address ipv4 static 10.10.246.4 255.255.255.0 10.10.246.1
configure ap management add username admin password P0ssw0rd123! secret P0ssw0rd123!
configure ssid-profile WGB ssid WGB authentication psk 12345678 key-management wpa2
configure dot11Radio 1 mode wgb ssid-profile WGB
configure dot11Radio 1 enable
Router
Questa sezione spiega come configurare NAT per consentire la connettività tra i client cablati in vLAN3248 e vLAN3246.
vLAN3248 risiede solo nel router e non ha alcuna connettività al lato della rete dietro il WLC.
Il router esegue il NAT per trasportare il traffico dei client cablati nella rete vLAN3248 al lato della rete dietro il WLC nella rete vLAN3246 attraverso il WGB.
Nota: Per i client cablati connessi al router dietro il WGB, l'unica configurazione supportata è NAT per consentire la connettività fuori dalla vLAN. Routing inter-vLAN non supportato.
Passaggio 1. Configurare vLAN 3246 e vLAN 3248 a un livello due.
conf t
vlan 3246
exit
vlan 3248
end
Passaggio 2. Configurare la porta del WGB dal router.
conf t
interface Wlan-GigabitEthernet 0/1/4
switchport trunk native vlan 3246
switchport trunk allowed vlan 3246
switchport mode trunk
Passaggio 3. Configurare l'interfaccia virtuale commutata (SVI) della vLAN WGB e della vLAN del client cablato.
Passaggio 3.1. Configurazione WGB SVI. L'indirizzo IP 10.10.246.1 è il gateway per vLAN 3246 configurato nello switch di layer 3 dietro il WLC. La SVI del router sta utilizzando il successivo indirizzo IP utilizzabile.
config t
interface Vlan3246
ip address 10.10.246.2 255.255.255.0
Passaggio 3.2. Configurazione vLAN interfaccia client cablati. I client cablati nel router utilizzano vLAN 3248. Questa SVI è il gateway dei client cablati, in quanto questi client esistono solo in questo router. Configurare un indirizzo MAC univoco per questa SVI.
config t
interface Vlan3248
mac-address 6c13.d53f.aabb
ip address 10.10.248.1 255.255.255.0
Attenzione: Configurare un indirizzo MAC univoco per SVI. Per impostazione predefinita, il router usa lo stesso indirizzo MAC per tutte le SVI e questa impostazione può creare conflitti in questa implementazione.
Passaggio 4. Configurare un elenco degli accessi (ACL) e autorizzare la rete dei client cablati.
config t
ip access-list extended NATACL
10 permit ip 10.10.248.0 0.0.0.255 any
Passaggio 5. Configurare una route-map che corrisponda all'ACL e all'interfaccia WGB.
conf t
route-map WGBACL permit 10
match ip address NATACL
match interface Vlan3246
Passaggio 6. Configurare NAT.
Passaggio 6.1. Configurare NAT nelle SVI. La SVI 3248 è la NAT interna e la 3246 la NAT esterna.
config t
interface Vlan3248
ip nat inside
exit
interface Vlan3246
ip nat outside
Passaggio 6.2. Configurare NAT nel router. Utilizzare la route-map come origine. Questa configurazione consente ai client cablati su vLAN3248 di avere connettività con la rete in vLAN3246 dietro il WLC.
config t
ip nat inside source route-map WGBACL interface Vlan3246 overload
Passaggio 6.3 Questo passaggio è facoltativo, se è necessario accedere ai dispositivi dietro il WGB in vLAN3248 dai dispositivi dietro il WLC in vLAN3246, è possibile configurarlo tramite NAT.
Ad esempio, la configurazione mostrata mostra come configurare l'accesso per un dispositivo dietro il router e il WGB con indirizzo IP 10.10.248.10 tramite Remote Desktop Protocol (RDP) dai dispositivi dietro il WLC nella rete vLAN3246.
È possibile usare qualsiasi porta che dipende da ciò a cui si deve accedere (SSH, Telenet, RDP, HTTP e così via) nel dispositivo dietro il router nella VLAN 3248.
Per accedere al dispositivo 10.10.248.10 tramite RDP da un dispositivo in vLAN3246, la connessione RDP viene effettuata alla SVI della vLAN 3246 nel router (10.10.246.2), controllare la sezione Verifica di questo documento.
config t
ip nat inside source static tcp 10.10.248.10 3389 interface Vlan3246 3389
Passaggio 7. Configurare la porta del client cablato in vLAN 3248 sul router.
config t
interface GigabitEthernet0/1/0
switchport mode access
switchport access vlan 3248
Nota: Questa configurazione utilizza client cablati in vLAN 3248 con indirizzi IP statici. Se necessario, il protocollo DHCP può essere configurato nel router.
Verifica
Verificare la connessione del WGB e della SVI della vLAN 3246 elencata come client cablato. Inoltre, verificare la connettività dei client cablati sulla vLAN 3248 alla rete, quindi inviare un ping al gateway della vLAN 3246 esistente dietro il WLC.
Controller LAN wireless
Verificare dal WLC che il WGB e la SVI della vLAN 3246 configurata nel router siano visualizzati nell'elenco dei client wireless.
GUI:
Client WGB e WGB
CLI:
9800L#show wireless client summary
Number of Clients: 2
MAC Address AP Name Type ID State Protocol Method Role
------------------------------------------------------------------------
6c13.d53f.f8f4 C9124AXI-B WLAN 6 Run 11ac None Local
e462.c49f.790f C9124AXI-B WLAN 6 Run 11ac None Local
9800L#show wireless client summary detail
Number of Clients: 2
MAC Address SSID AP Name State IP Address VLAN BSSID Auth Method Protocol Channel Width
---------------------------------------------------------------------------------------------------------------------
6c13.d53f.f8f4 WGB C9124AXI-B Run 10.10.246.2 3246 5c64.f171.6eae [PSK] 11ac 36 20/20
e462.c49f.790f WGB C9124AXI-B Run 10.10.246.4 3246 5c64.f171.6eae [PSK] 11ac 36 20/160
9800L#show wireless wgb summary
Number of WGBs: 1
MAC Address AP Name WLAN State Clients
-------------------------------------------------------
e462.c49f.790f C9124AXI-B 6 Run 1
Workgroup Bridge
Confermare che il WGB è collegato al SSID.
WGB#show wgb dot11 associations
Uplink Radio ID : 1
Uplink Radio MAC : E4:62:C4:9F:79:0F
SSID Name : WGB
Connected Duration : 0 hours, 7 minutes, 9 seconds
Parent AP Name : C9124AXI-B
Parent AP MAC : 5C:64:F1:71:6E:AE
Uplink State : CONNECTED
Auth Type : PSK
Key management Type : WPA2
Dot11 type : 11ac
Channel : 36
Bandwidth : 20 MHz
Current Datarate : 104 Mbps
Max Datarate : 286 Mbps
RSSI : 41
IP : 10.10.246.4/24
Default Gateway : 10.10.246.1
IPV6 : ::/128
Assoc timeout : 5000 Msec
Auth timeout : 5000 Msec
Dhcp timeout : 60 Sec
Country-code : US
Confermare la SVI della vLAN 3246 visualizzata nella tabella del bridge WGB.
WGB#show wgb bridge
***Client ip table entries***
mac vap port vlan_id seen_ip confirm_ago fast_brg
6C:13:D5:3F:F8:F4 0 wired0 0 10.10.246.2 28.112000 true
5C:64:F1:71:6E:AF 0 wbridge1 0 0.0.0.0 1064.320000 true
Router
Verificare che il router sia raggiungibile dalla rete vLAN3248 alla rete dietro il WLC nella rete vLAN3246 e che abbia esito positivo.
Router#ping 10.10.246.1 source vlan 3248
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.246.1, timeout is 2 seconds:
Packet sent with a source address of 10.10.248.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 4/7/8 ms
Confermare che le traduzioni NAT siano visualizzate correttamente.
Router#show ip nat translations
Pro Inside global Inside local Outside local Outside global
icmp 10.10.246.2:12 10.10.248.1:12 10.10.246.1:12 10.10.246.1:12
Total number of translations: 1
Se si utilizza il passaggio di configurazione opzionale NAT, verificare la connettività RDP da vLAN3246 a un dispositivo in vLAN3248.
Nell'esempio di questo documento viene usato RDP, ma è possibile usare qualsiasi altro protocollo.
Utilizzare la SVI della vLAN3246 configurata nel router (la versione 10.10.246.2) per RDP il dispositivo (la versione 10.10.248.10) dietro il router nella vLAN3248.
Dispositivo remoto RDP
Cronologia delle revisioni
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
08-Sep-2026
|
Versione iniziale |
Feedback