Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

FlexConnect

Matrice delle funzionalità di FlexConnect - Legacy e nuove funzionalità nella versione 7.0.116 e successive

Sicurezza - Client

Sicurezza - Infrastruttura

Sicurezza

Voce e video

Servizi

Infrastruttura

Scenari di mobilità/roaming

Informazioni correlate

Introduzione

In questo documento viene riportata la tabella delle funzionalità di FlexConnect sul Wireless LAN Controller (WLC).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Controllo e provisioning del protocollo CAPWAP (Wireless Access Point)

- Configurazione di punti di accesso lightweight e WLC Cisco

Componenti usati

Il riferimento delle informazioni contenute in questo documento è CUWN release 7.0.116.0 e successive. Questo articolo è stato aggiornato con la release 8.8

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

FlexConnect

FlexConnect è una soluzione wireless per le installazioni nelle filiali e negli uffici remoti. Consente di configurare e controllare i punti di accesso in una filiale o in un ufficio remoto dalla sede aziendale tramite un collegamento WAN senza l'installazione di un controller in ogni ufficio. I punti di accesso FlexConnect possono commutare il traffico di dati client localmente ed eseguire l'autenticazione client localmente. Una volta connessi al controller, possono anche inviare il traffico al controller. FlexConnect è supportato solo su questi componenti:

- 700, 1130AG, 1140, 1240AG, 1250, 1700, 1810, 1815, 1830, 1840, 1850, AP801, 1600, 1700, 2600, 2700,2800, 3500I, 350 AP00, 3600, 3700, 3800, 1040, 1520, 1530, 1550, 1560, 1570 e 1260

- Cisco Flex serie 8500 e 7500, Cisco serie 5500, 3504,vWLC e 2500 Controller

- Catalyst 3750G Integrated WLC Switch

- Cisco WiSM e WiSM2

- Controller Network Module per Integrated Services Router

L'autenticazione locale FlexConnect è utile quando non è possibile mantenere un'installazione di uffici remoti con una larghezza di banda minima di 128 kb/s e una latenza di andata e ritorno non superiore a 100 ms. La latenza massima tollerata per FlexConnect è 300 ms, indipendentemente dalle funzionalità utilizzate.

La sezione successiva illustra la matrice delle funzionalità di FlexConnect.

Nota: i punti di accesso precedenti alla versione 802 e 11n, ad esempio 1130 o 1240, sono ancora supportati dal codice successivo. Tuttavia, questi access point non ricevono nuove funzionalità a partire dalla release 7.3. Pertanto, questi access point non supportano le funzionalità FlexConnect visualizzate dopo la release 7.3. Analogamente, gli access point 802.11n di prima generazione non dispongono di alcuna funzionalità FlexConnect inclusa nel gruppo di funzionalità 8.1 anche se sono in grado di collegarsi a un WLC di questo tipo. Per ulteriori informazioni, consultare le note sulla versione.

Nota: i punti di accesso 802.11ac wave 2 e Catalyst AP sono illustrati in questo documento, che sostituisce questa matrice la quale si concentra solo sulle versioni AireOS: https://www.cisco.com/c/en/us/td/docs/wireless/access_point/feature-matrix/ap-feature-matrix.html

Matrice delle funzionalità di FlexConnect - Legacy e nuove funzionalità nella versione 7.0.116 e successive

Sicurezza - Client

Il supporto della sicurezza su FlexConnect varia a seconda delle modalità e degli stati. Questa tabella fornisce un riepilogo delle funzioni di sicurezza supportate:

WAN Up (switching centrale)

WAN Up (switching locale)

WAN Up (switching locale, autenticazione locale)

WAN non attiva (standalone)

WEP aperto/statico

Sì

Sì

Sì

Sì

WPA-PSK

Sì

Sì

Sì

Sì

802.1x (WPA/WPA2)

Sì

Sì

Sì

Sì

Autenticazione filtro MAC

Sì

Sì

No

No

CCKM Fast Roaming

Sì

Sì

No

Sì, per i client connessi. No, per i nuovi clienti.

Sicurezza - Infrastruttura

WAN Up (switching centrale)

WAN Up (switching locale)

WAN non attiva (standalone)

Crittografia DTLS dati

Sì

N/D

N/D

EAP locale (da 7.0 a 7.4)

Sì (LEAP/EAP-FAST)

Sì (LEAP/EAP-FAST)

Sì (LEAP/EAP-FAST)

LocalL EAP (7.5 e versioni successive)

Sì (LEAP/EAP-FAST/PEAP/EAP-TLS)

Sì (LEAP/EAP-FAST/PEAP/EAP-TLS)

Sì (LEAP/EAP-FAST/PEAP/EAP-TLS)

Raggio di backup

Sì (7.0.116)

Sì (7.0.116)

Sì

MICROFONO

Sì

Sì

Non applicabile

Sicurezza

Il supporto della sicurezza su FlexConnect varia a seconda delle modalità e degli stati. Nella tabella vengono riepilogate le funzionalità di sicurezza nuove e legacy supportate da WLC release 7.0.116.0 e successive:

WAN Up (switching centrale)

WAN Up (switching locale)

WAN Up (switching locale, autenticazione locale)

WAN non attiva (standalone)

Adaptive Wireless Intrusion Prevention (aWIPS)

Sì

Sì

Sì

No

Rogue, Intrusion Detection (IDS)

Sì

Sì

Sì

No

MFP (Management Frame Protection) (client, infrastruttura)

Sì

Sì (no per l'APS dell'onda 2)

Sì (no per l'APS dell'onda 2)

No

802.11w "MFP"

Sì (7.5)

Sì (7.5)

Sì (7.5)

Sì (7.5)

Transizione rapida 802.11r

Sì

Sì

No

No

Certificato autofirmato (SSC)

Sì

Sì

Sì

N/D

Protocollo RLDP (Rogue Location Discovery Protocol)

può funzionare, dipende dagli hop, dalla velocità della WAN

può funzionare, dipende dagli hop, dalla velocità della WAN (no per l'APS wave 2)

può funzionare, dipende dagli hop, dalla velocità della WAN (no per l'APS wave 2)

No

Roam rapido OKC (Opportunistic Key Caching)

Sì

Sì

Sì

No(1)

Autenticazione locale FlexConnect

N/D

Sì

Sì

Sì

Override Ipv4 AAA

Sì

Sì

Sì

Sì

Override AAA Ipv6

Sì

Sì(5)

Sì(5)

Sì(5)

Assegnazione VLAN AAA per FlexGroup con nome VLAN

N/D

Sì (8.1)

Sì (8.1)

Sì (8.1)

ACL statico

Sì

Sì(2)

No

Sì(2)

No

Sì(2)

No

ACL radius per utente(4)

Sì (7.5)

Sì (7.5)

Sì (7.5)

No

ACL L2

Sì (7.5)

Sì (7.5)

Sì (7.5)

Sì (7.5)

ACL DNS

Sì (7.6)

No

No

No

Blocco P2P

Sì

Sì

Sì

Sì

Mesh LSC

N/D

N/D

N/D

N/D

Bring Your Own Device /ISE(BYOD)

Sì

Sì (7.2.110.0)

No

No

Conformità PCI per Pkt adiacenti

Sì

Sì

Sì

No

Russia Supporto DTLS

Sì

N/D

No

No

Modalità Enhanced Local (ELM) wIPS

Sì

Sì

Sì

No

Limitazione dei client per WLAN

Sì

Sì(3)

Sì

No

Limita client per radio

Sì

Sì

Sì

Sì

Criteri di esclusione client

Sì

Sì(3)

Sì

No

Radius NAC

Sì

Sì

No

No

TrustSec SXP a livello AP

Sì (8.4)

Sì (8.4)

Sì (8.4)

Sì (8.4)

TrustSec SXP su WLC

Sì (8.3)

Sì (8.3)

Sì (8.3)

Sì (8.3)

PSK identità

Sì (8,5)

Sì (8,5)

No

Sì (8,5)

Chiave già condivisa identità con blocco P2P

Sì (8,8)

Sì (8,8)

No

No

Gestione delle policy e delle quote applicata da AAA

Sì (8,8)

Sì (incl. Flex +Bridge) (8,8)

No

No

(1) Sì per i client con associazione in modalità Connessa.

(2) È necessario usare gli Access Control Lists (ACL) di FlexConnect. Notare che gli ACL flessibili non sono supportati sulla VLAN nativa dell'access point.

(3) Limiti/esclusioni eseguiti dal WLC in modo che il client venga deautorizzato dopo una risposta di associazione riuscita.

(4) Notare che l'ACL per utente su FlexConnect non esegue l'override di un ACL VLAN su un access point flessibile, come farebbe con un ACL WLAN su un access point in modalità locale. Se si esegue il push di entrambi gli ACL per utente e si configura l'ACL AAA-VLAN sul gruppo flessibile, entrambi gli elenchi hanno effetto.

(5)Con la commutazione locale FlexConnect, il multicast viene inoltrato solo per la VLAN a cui è mappato l'SSID e non per le VLAN sostituite. Pertanto, IPv6 non funziona come previsto perché il traffico multicast viene inoltrato dalla VLAN errata. Pertanto, l'assegnazione della vlan non è supportata nella commutazione locale con ipv6

Nota: in qualsiasi momento, un access point ha un massimo di 16 VLAN. Innanzitutto, vengono selezionate le VLAN in base alla configurazione AP (WLAN-VLAN), quindi le VLAN rimanenti vengono estratte dal gruppo FlexConnect nell'ordine in cui sono configurate o visualizzate nel gruppo FlexConnect. Se gli slot VLAN sono pieni, viene visualizzato un messaggio di errore

Voce e video

In questa tabella vengono elencati i servizi voce e video nuovi e legacy supportati da WLC release 7.0.116.0 e successive con FlexConnect:

WAN Up (switching centrale) 100 ms RTT

WAN Up (switching locale) 100 ms RTT

WAN non attiva (standalone)

Voce

Sì con RTT 100 ms

Sì con RTT 100 ms

Sì con RTT 100 ms

Sì con RTT 900 ms (con CCKM e OKC)

Sì con RTT 900 ms (con CCKM e OKC)

Contrassegni QoS(1)

Sì

Sì

Sì

Contratto larghezza di banda per utente QoS

Sì (7.4)

Sì (7.5)

No

UAPSD

Sì

Sì

Sì

Diagnostica vocale

Sì

Sì

No

Metriche relative alla voce

Sì

Sì

No

TSPEC/Controllo di ammissione di chiamata (CAC)

Sì - non CCX

Sì - non CCX

No

Sì - CCX(2)

Sì - CCX(2)

(1) Include entrambi i contrassegni DSCP/dot1p.

(2) CAC su WLC, disautorizzazione in caso di guasto del roaming.

Servizi

In questa tabella vengono elencati i servizi nuovi e legacy supportati da WLC release 7.0.116.0 e successive con FlexConnect:

WAN Up (switching centrale)

WAN Up (switching locale)

WAN Up (switching locale, autenticazione locale)

WAN non attiva (standalone)

Webauth interno

Sì

Sì

No

N/D

Webauth esterno

Sì (7.2.110.0)

Sì (7.2.110.0)

No

N/D

CleanAir (SI su 3500)

Sì

Sì

Sì

N/D

Multicast-Unicast (Videostream)

Sì (ad eccezione di 7500, 8500 e vWLC)

Sì (8.0) (non sui punti di accesso Wave 2)

Sì (8.0) (non sui punti di accesso Wave 2)

Sì (8.0) (non sui punti di accesso Wave 2)

Posizione

Sì con limiti di larghezza/larghezza

Sì con limitazione BW/Scale

Sì con limitazione BW/Scale

N/D

Gestione risorse radio

Sì

Sì

Sì

No

NG RRM - Raggruppamento statico RF

Sì(1)

Sì(1)

Sì

No

Connessione SE (aggiornamento Cleanair)

Sì

Sì

Sì

No(2)

Miglioramento S60

Sì

Sì

Sì

No

Creazione profilo

Sì

Sì (se è stata abilitata l'elaborazione DHCP centrale)

Sì (se è stata abilitata l'elaborazione DHCP centrale)

No

AVC^3

Sì (7.4)

Sì (8.1)

Sì (8.1)

No

Bonjour Gateway

Sì

No

No

No

AP mDNS

Sì

No

No

No

LSS

Sì

No

No

No

Servizi basati su origine

Sì

No

No

No

Priority MAC

Sì

No

No

No

Browser Bonjour

Sì

No

No

No

Modalità Flex+Bridge

Sì (8,0 ma 8,8 per wave2)

Sì (8,0 ma 8,8 per wave2)

Sì (8,0 ma 8,8 per wave2)

Sì (8,0 ma 8,8 per wave2)

(1) Si applicano tutti i requisiti specifici RRM (almeno 4 punti di accesso per TPC).

(2) Sì per la modalità standalone dopo la disconnessione dal WLC, ma no per il riavvio.

(3) FlexConnect AVC è supportato su tutti i WLC (che includono vWLC) ad eccezione della versione 2504.

Infrastruttura

WAN Up (switching centrale)

WAN Up (switching locale)

WAN non attiva (standalone)

Client passivi

No

Sì

Sì

Proxy ARP

Sì (8,0) (8,3mr1 per access point wave 2)

Sì (8,0) (8,3mr1 per access point wave 2)

Sì (8,0) (8,3mr1 per access point wave 2)

Syslog

Sì

Sì

Sì

CDP

Sì

Sì

Sì

Collegamento client

Sì

Sì

Sì(2)

Bilanciamento del carico(3)

Sì (7.4)

Sì (7.4)

No

Selezione banda

Sì

Sì

No

Pre-download immagine AP

Sì

Sì

No

Aggiornamento immagine FlexConnect Smart AP

Sì

Sì

Sì(1)

AP Regularity Domain Updates (Cile)

Sì

Sì

Sì

Pooling VLAN/Optime Mcast.

Sì

N/D

N/D

Mesh - 24 backhaul

N/D

N/D

N/D

Supporto Cisco WGB

Sì

Sì (7.3) (no per l'APS dell'onda 2)

Sì (7.3) (no per l'APS dell'onda 2)

Supporto WGB di terze parti

Sì

Sì

Sì

Proxy di autenticazione Web

Sì

Sì

No

Aumento gruppo punti di accesso FlexConnect

Sì

Sì

Sì

Tolleranza agli errori del client

N/D

Sì

N/D

Opzione DHCP 60

Sì

Sì

Sì

DFS/802.11h

Sì

Sì

Sì

VLAN del gruppo AP

Sì

N/D

N/D

Mapping delle VLAN tramite FlexGroups

Sì

Sì

Sì

switching centrale basato su vlan

Sì (8,5 per i punti di accesso wave2, 7,3 per i punti di accesso IOS)

Non applicabile

Non applicabile

RITARDO AP

Sì (8,8)

Sì (8,8)

Sì (8,8)

La funzionalità client passivo non è supportata nei Flex AP. Tuttavia, per impostazione predefinita, gli access point non eseguono il proxy ARP su FlexConnect (e questo fa parte della funzionalità client passiva). Al contrario, il proxy ARP è stato aggiunto come funzionalità per i FlexConnect AP con la release 8.0 e successive.

(1) Fornito se l'access point del lead è già aggiornato e gli access point membri sono aggiornati con il loro access point del lead.

(2) Solo sugli access point 11n di seconda generazione e versioni successive (1600, 2600, 3600 e così via).

(3) I punti di accesso FlexConnect non inviano risposte di (ri)associazione con stato 17 per il bilanciamento del carico come fanno i punti di accesso in modalità locale, ma inviano prima risposte di (ri)associazione con stato 0 (operazione riuscita) e quindi impostano come predefinito il motivo 5. Questo si verifica quando l'access point gestisce l'associazione localmente e le decisioni di bilanciamento del carico vengono prese nel WLC.

Scenari di mobilità/roaming

WLAN

Configurazione

Switching locale

Switching centrale

CCKM

PMK (OKC)

Altri

CCKM

PMK (OKC)

Altri

Mobilità tra lo stesso Flex Group

Roaming veloce(1)

Roaming veloce(1)

Autenticazione completa(1)

Roaming veloce

Roaming veloce

Autenticazione completa

Mobilità tra gruppi Flex diversi

Autenticazione completa

Roaming veloce

Autenticazione completa

Autenticazione completa

Roaming veloce

Autenticazione completa

Mobilità tra controller

N/D

N/D

N/D

Autenticazione completa

Roaming veloce

Autenticazione completa

(1) La WLAN fornita è mappata alla stessa VLAN (stessa subnet). Se la rete WLAN è mappata su subnet diverse, non è possibile eseguire il roaming veloce in quanto il client deve ottenere un nuovo indirizzo IP.

Nota: anche il roaming veloce FT/802.11r richiede che gli access point siano nello stesso FlexGroup. Solo WPA2 OKC, che si verifica a livello WLC, può tollerare che gli AP si trovino in gruppi FlexConnect diversi per il roaming veloce.

Nota: per supportare il controllo degli accessi centralizzato tramite un server AAA (Authentication, Authorization, and Accounting) centralizzato, ad esempio Cisco Identity Services Engine (ISE) o ACS, è possibile eseguire il provisioning dell'ACL IPv6 per client utilizzando gli attributi di override AAA. Per utilizzare questa funzionalità, è necessario configurare l'ACL IPv6 sul controller e configurare la WLAN con la funzionalità di sostituzione AAA abilitata. L'attributo AAA per un ACL IPv6 è Airespace-IPv6-ACL-Name, simile all'attributo Airespace-ACL-Name usato per effettuare il provisioning di un ACL basato su IPv4. Il contenuto restituito dall'attributo AAA deve essere una stringa uguale al nome dell'ACL IPv6 configurato nel controller.

Informazioni correlate

- Guida alla progettazione e all'installazione di H-Reap

- Risoluzione dei problemi di base di Hybrid Remote Edge Access Point (H-REAP)

- Documentazione e supporto tecnico – Cisco Systems