Configurazione di Mesh sui controller LAN wireless Catalyst 9800

Introduzione

In questo documento viene descritto un esempio di configurazione di base per collegare un punto di accesso mesh al controller WLC (Catalyst 9800 Wireless LAN Controller)

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Catalyst Wireless 9800 modello di configurazione
• Configurazione dei LAP 
• Controllo e fornitura di punti di accesso wireless (CAPWAP)
• Configurazione di un server DHCP esterno
• Configurazione degli switch Cisco

Componenti usati

In questo esempio viene usato un Lightweight Access Point (1572AP e 1542) che può essere configurato come Root AP (RAP) o Mesh AP (MAP) per collegarsi a Catalyst 9800 WLC. La procedura è identica per i punti di accesso 1542 o 1562. Il dispositivo RAP è collegato al Catalyst 9800 WLC tramite uno switch Cisco Catalyst.

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• C9800-CL v16.12.1
• Cisco Layer 2 Switch
• Cisco Aironet serie 1572 Lightweight External Access Point per la sezione Bridge
  
• Cisco Aironet 1542 per la sezione Flex+Bridge

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Case study 1: Modalità Bridge

Configurazioni

Affinché si colleghi al controller 9800, è necessario autenticare un punto di accesso mesh. In questo caso di studio si considera che l'access point viene collegato in modalità locale prima al WLC e quindi convertito in modalità mesh Bridge (alias a).

Per evitare l'assegnazione di profili di join AP, utilizzare questo esempio ma configurare il metodo di download delle credenziali di autorizzazione aaa predefinito in modo che qualsiasi access point mesh possa unirsi al controller.

Passaggio 1: configurare gli indirizzi MAC RAP/MAP in Autenticazione dispositivo.

Selezionare Configuration > AAA > AAA Advanced > Device Authentication (Configurazione > AAA > Avanzate AAA > Autenticazione dispositivo).

Aggiungere l'indirizzo MAC Ethernet di base dei punti di accesso alla rete, senza caratteri speciali e senza '.' o ':'

Importante: a partire dalla versione 17.3.1, se vengono aggiunti delimitatori di indirizzo mac come '.', ':' o '-', l'access point non può essere aggiunto. A tale scopo, sono attualmente disponibili 2 miglioramenti: ID bug Cisco CSCvv43870 e ID bug Cisco CSCvr07920. In futuro, 9800 accetterà tutti i formati di indirizzo MAC.

Passaggio 2: configurare l'elenco dei metodi di autenticazione e autorizzazione.

Selezionare Configuration > Security > AAA > AAA Method list > Authentication (Configurazione > Sicurezza > AAA > Elenco metodi AAA > Autenticazione), quindi creare l'elenco dei metodi di autenticazione e l'elenco dei metodi di autorizzazione.

Passo 3: configurare i parametri mesh globali.

Selezionare Configuration> Mesh> Parametri globali. Inizialmente è possibile mantenere questi valori predefiniti.

Passo 4: Creare un nuovo profilo di rete in Configurazione > Rete > Profilo > +Aggiungi

Fate clic sul profilo mesh creato per modificare le impostazioni generali e avanzate del profilo mesh.

Nel diagramma mostrato è necessario mappare il profilo di autenticazione e autorizzazione creato prima al profilo Mesh

Passaggio 5: Creare un nuovo profilo di join AP. Selezionare Configura > Tag e profili: AP Join.

Applicare il profilo Mesh configurato in precedenza e configurare l'autenticazione AP-EAP:

Passaggio 6: Creare un tag di posizione mesh come mostrato.

Configura Fare clic sul TAG di posizione Mesh creato nel Passaggio 6 per configurarlo.

Andare alla scheda Sito e applicare ad essa il profilo di join Mesh AP configurato in precedenza:

Passaggio 7. Convertire il punto di accesso in modalità Bridge.

tramite CLI è possibile eseguire questo comando sull'access point:

capwap ap mode bridge

L'access point si riavvia e torna in modalità bridge.

Passaggio 8. È ora possibile definire il ruolo dell'access point: punto di accesso radice o punto di accesso mesh.

L'access point principale è quello con una connessione cablata al WLC, mentre l'access point con rete si unisce al WLC tramite la radio che tenta di connettersi a un access point principale.

Un punto di accesso mesh può unirsi al WLC tramite l'interfaccia cablata se non riesce a trovare un punto di accesso radice tramite la radio, a scopo di provisioning.

Non dimenticare di specificare la vlan nativa del trunk nelle impostazioni dell'access point se è diversa dalla VLAN predefinita 1

Verifica

aaa new-model
aaa local authentication default authorization default
!
!
aaa authentication dot1x default local
aaa authentication dot1x Mesh_Authentication local
aaa authorization network default local
aaa authorization credential-download default local
aaa authorization credential-download Mesh_Authz local
username 111122223333 mac
wireless profile mesh Mesh_Profile
 method authentication Mesh_Authentication
 method authorization Mesh_Authz
wireless profile mesh default-mesh-profile
 description "default mesh profile"
wireless tag site Mesh_AP_Tag
 ap-profile Mesh_AP_Join_Profile
ap profile Mesh_AP_Join_Profile
 hyperlocation ble-beacon 0
 hyperlocation ble-beacon 1
 hyperlocation ble-beacon 2
 hyperlocation ble-beacon 3
 hyperlocation ble-beacon 4
 mesh-profile Mesh_Profile

Risoluzione dei problemi

In Risoluzione dei problemi > Traccia radioattiva, fare clic su aggiungi e immettere l'indirizzo MAC dell'access point.

Fare clic su Start e attendere che l'access point tenti di unirsi nuovamente al controller.

Al termine, fare clic su Genera e scegliere un periodo di tempo per la raccolta dei log (ad esempio, gli ultimi 10 o 30 minuti).

Fare clic sul nome del file di traccia per scaricarlo dal browser.

Di seguito è riportato un esempio di access point non unito a causa del nome errato del metodo di autorizzazione aaa definito:

019/11/28 13:08:38.269 {wncd_x_R0-0}{1}: [capwapac-smgr-srvr] [23388]: (info): Session-IP: 192.168.88.48[5272] Mac: DTLS session has been established for AP
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [ewlc-infra-evq] [23388]: (info): DTLS record type: 23, application data
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [capwapac-smgr-sess] [23388]: (info): Session-IP: 192.168.88.48[5272] Mac: Capwap message received, type: join_request
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [capwapac-smgr-sess] [23388]: (info): Session-IP: 192.168.88.48[5272] Mac: Received CAPWAP join request
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [mesh-config] [23388]: (ERR): Failed to get ap PMK cache rec status
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [mesh-config] [23388]: (ERR): Failed to get ap PMK cache rec status
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [mesh-config] [23388]: (ERR): Failed to get ap PMK cache rec status
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [apmgr-capwap-join] [23388]: (info): 00a3.8e95.6c40 Ap auth pending
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [apmgr-capwap-join] [23388]: (ERR): Failed to initialize author request, Reason: Invalid argument
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [apmgr-capwap-join] [23388]: (ERR): 00a3.8e95.6c40 Auth request init failed
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [apmgr-db] [23388]: (ERR): 00a3.8e95.6c40 Failed to get wtp record: Get ap tag info
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [apmgr-db] [23388]: (ERR): 00a3.8e95.6c40 Failed to get ap tag info : Get ap join fail info
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [capwapac-smgr-sess-fsm] [23388]: (ERR): Session-IP: 192.168.88.48[5272] Mac: 00a3.8e95.6c40 Unmapped previous state in transition S_JOIN_PROCESS to S_END on E_AP_INTERFACE_DOWN
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [capwapac-smgr-sess-fsm] [23388]: (info): Session-IP: 192.168.88.48[5272] Mac: 00a3.8e95.6c40 Terminating AP CAPWAP session.
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [capwapac-smgr-sess-fsm] [23388]: (note): Session-IP: 192.168.88.48[5272] Mac: 00a3.8e95.6c40 Last Control Packet received 0 seconds ago.
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [capwapac-smgr-sess-fsm] [23388]: (note): Session-IP: 192.168.88.48[5272] Mac: 00a3.8e95.6c40 Last Data Keep Alive Packet information not available. Data session was not established
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [ewlc-dtls-sessmgr] [23388]: (info): Remote Host: 192.168.88.48[5272] Sending DTLS alert message, closing session..
2019/11/28 13:08:38.288 {wncd_x_R0-0}{1}: [ewlc-dtls-sessmgr] [23388]: (info): Remote Host: 192.168.88.48[5272] alert type:warning, description:close notify
2019/11/28 13:08:38.289 {wncmgrd_R0-0}{1}: [ewlc-infra-evq] [23038]: (debug): instance :0 port:38932MAC: 0062.ec80.b1ac

Lo stesso può essere visto più facilmente nel dashboard dell'interfaccia utente Web quando si fa clic su AP non uniti. "Autenticazione app in sospeso" è il suggerimento che punta all'autenticazione dell'access point stesso:

Case study 2: Flex + Bridge

In questa sezione viene evidenziato il processo di join di un access point serie 1542 in modalità Flex+bridge con autenticazione EAP eseguita in locale sul WLC.

Configurazione

• Passaggio 1. Selezionare Configuration > Security > AAA > AAA Advanced > Device Authentication

• Passaggio 2. Selezionare Device Authentication (Autenticazione dispositivo), quindi Add (Aggiungi).
• Passaggio 3. Digitare l'indirizzo MAC Ethernet di base dell'access point da collegare al WLC, lasciare vuoto il campo Nome elenco attributi e selezionare Applica al dispositivo

• Passaggio 4. Selezionare Configuration > Security > AAA > AAA Method List > Authentication
  
• Passaggio 5. Selezionare Add (Aggiungi). Viene visualizzata la finestra a comparsa AAA Authentication (Autenticazione AAA)

• Passaggio 6. Digitare un nome nell'elenco Nome metodo, selezionare 802.1x dall'elenco a discesa Tipo* e locale per Tipo gruppo, infine selezionare Applica a dispositivo

• Passaggio 6b. Se i punti di accesso vengono collegati direttamente in modalità Bridge e non sono stati assegnati un tag di sito e criteri in precedenza, ripetere il passaggio 6 ma per il metodo predefinito.
• Configurare un metodo di autenticazione aaa dot1x che punta a locale (autenticazione CLI aaa dot1x locale predefinita)
  

• Passaggio 7. Selezionare Configurazione > Sicurezza > AAA > Elenco metodi AAA > Autorizzazione
  
• Passaggio 8. Selezionare Add (Aggiungi). Viene visualizzata la schermata di popup AAA Authorization (Autorizzazione AAA)

• Passaggio 9. Digitare un nome nella casella Nome elenco metodi, selezionare Download credenziali dall'elenco a discesa Tipo* e locale per Tipo gruppo, infine selezionare Applica a dispositivo

• Passaggio 9b. Se l'access point viene aggiunto direttamente in modalità bridge, ovvero non viene prima aggiunto in modalità locale, ripetere il passaggio 9 per il metodo di download delle credenziali predefinito (CLI aaa authorization credential-download default local)
• Passaggio 10. Selezionare Configurazione > Wireless > Mesh > Profili
• Passaggio 11. Selezionare Aggiungi, viene visualizzato il popup Aggiungi profilo di rete

• Passaggio 12. Nella scheda Generale, impostare un nome e una descrizione per il profilo Mesh

• Passaggio 13. Nella scheda Avanzate selezionare EAP per il campo Metodo
• Passaggio 14. Selezionare il profilo di autorizzazione e autenticazione definito nei passaggi 6 e 9, quindi selezionare Applica al dispositivo

• Passaggio 15. Selezionare Configurazione > Tag e profili > AP Join > Profilo
• Passaggio 16. Selezionare Add. Viene visualizzata la finestra di popup AP Join Profile, impostare un nome e una descrizione per il profilo AP Join

• Passaggio 17. Passare alla scheda AP e selezionare il profilo di rete creato nel passaggio 12 dall'elenco a discesa Nome profilo di rete
• Passaggio 18. Verificare che i valori EAP-FAST e CAPWAP DTLS siano impostati per i campi Tipo EAP e Tipo di autorizzazione AP
• Steo 19. Selezionare Applica al dispositivo

• Passaggio 20. Selezionare Configurazione > Tag e profili > Tag > Sito
• Passaggio 21. Selezionare Aggiungi per visualizzare il tag del sito
• 
• Passaggio 22. Digitare un nome e una descrizione per il tag del sito

• Passaggio 23. Selezionare il profilo di join AP creato nel passaggio 16 dall'elenco a discesa Profilo di join AP.
• Passaggio 24. Nella parte inferiore del menu a comparsa relativo al tag del sito, deselezionare la casella di controllo Abilita sito locale per abilitare l'elenco a discesa Profilo flessibile.
• Passaggio 35. Dall'elenco a discesa Profilo flessibile, selezionare il Profilo flessibile che si desidera utilizzare per l'access point

• Passaggio 36. Collegare l'access point alla rete e verificare che sia in modalità locale.
• Passaggio 37. Per verificare che l'access point sia in modalità locale, usare il comando capwap ap mode local.

L'access point deve essere in grado di trovare il controller, sia che si tratti di una trasmissione L2, di un'opzione DHCP 43, di una risoluzione DNS o di una configurazione manuale.

• Passaggio 38. L'access point si unisce al WLC, si assicura che sia elencato nell'elenco degli access point, selezionare Configurazione > Wireless > Access Point > Tutti gli access point

• Passaggio 39. Selezionare l'access point, viene visualizzato il popup AP.
• Passaggio 40. Selezionare il tag del sito creato nel passo 22 in Generale > Tag > Sito nella scheda popup AP, selezionare Aggiorna e Applica al dispositivo

• Passaggio 41. L'access point si riavvia e deve unirsi nuovamente al WLC in modalità Flex + Bridge

Si noti che questo metodo unisce innanzitutto l'access point in modalità locale (in cui non esegue l'autenticazione dot1x) per applicare il tag del sito con il profilo mesh e quindi passare all'access point in modalità bridge.

Per unirsi a un access point bloccato in modalità bridge (o Flex+Bridge), configurare i metodi predefiniti (autenticazione aaa dot1x predefinita locale e cred di autorizzazione aaa predefinita locale).

L'access point è quindi in grado di autenticarsi e successivamente è possibile assegnare i tag.

Verifica

Assicurarsi che la modalità AP sia visualizzata come Flex + Bridge, come mostrato nell'immagine.

Eseguire questi comandi dalla CLI del WLC 9800 e cercare l'attributo AP Mode. Deve essere elencato come Flex+Bridge

aaa authorization credential-download mesh-ap local
aaa authentication dot1x mesh-ap local
wireless profile mesh default-mesh-profile
 description "default mesh profile"
wireless tag site meshsite
 ap-profile meshapjoin
 no local-site
ap profile meshapjoin
 hyperlocation ble-beacon 0
 hyperlocation ble-beacon 1
 hyperlocation ble-beacon 2
 hyperlocation ble-beacon 3
 hyperlocation ble-beacon 4
 mesh-profile mesh-profile

Risoluzione dei problemi

Verificare che i comandi aaa authentication dot1x default local e aaa authorization cred default local siano presenti. Sono necessarie se l'access point non è stato pre-aggiunto in modalità locale.

Il dashboard 9800 principale dispone di un widget che visualizza gli access point che non possono essere collegati. Fare clic per visualizzare un elenco degli access point che non possono essere aggiunti:

Fare clic sull'access point specifico per visualizzare il motivo per cui non è stato unito. In questo caso, si verifica un problema di autenticazione (autenticazione AP in sospeso) perché il tag del sito non è stato assegnato all'access point.

Pertanto, il modello 9800 non ha scelto il metodo di autenticazione/autorizzazione per autenticare l'access point:

Per una risoluzione dei problemi più avanzata, andare alla pagina Risoluzione dei problemi > Traccia radioattiva nell'interfaccia utente Web.

Se si immette l'indirizzo MAC dell'access point, è possibile generare immediatamente un file per ottenere i log sempre attivi (a livello di avviso) dell'access point che tenta di unirsi.

Fare clic su Start per abilitare il debug avanzato per l'indirizzo MAC. Alla successiva generazione dei log, generare i log, i log a livello di debug per l'access point joinare mostrato.