Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

FlexConnect

FlexConnect-functiematrix - verouderde en nieuwe functies in release 7.0.16 en hoger

Beveiliging - client

Beveiliging - infrastructuur

Security

Spraak en video

Services

Infrastructuur

Mobiliteit/roamingscenario’s

Gerelateerde informatie

Inleiding

In dit document wordt de functiematrix beschreven voor de FlexConnect-functie op de wireless LAN-controller (WLC).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Beheer en provisioning van Wireless Access points (CAPWAP)-protocol

- Configuratie van lichtgewicht access points (AP’s) en Cisco WLC’s

Gebruikte componenten

De informatie in dit document is gebaseerd op CUWN-releases 7.0.116.0 en hoger. Dit artikel is bijgewerkt met release 8.8

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

FlexConnect

FlexConnect is een draadloze oplossing voor implementaties van vestigingen en externe vestigingen. Het stelt u in staat om AP's te configureren en te besturen in een filiaal of een extern kantoor vanuit het kantoor via een WAN-link zonder de implementatie van een controller in elk kantoor. De FlexConnect AP's kunnen lokaal switch maken van client-dataverkeer en lokaal clientverificatie uitvoeren. Wanneer zij met de controller zijn verbonden, kunnen zij ook verkeer terugsturen naar de controller. FlexConnect wordt alleen ondersteund op deze componenten:

- 700, 1130AG, 1140, 1240AG, 1250, 1700, 1810, 1815, 1830, 1840, 1850, AP801, 1600, 1700, 2600, 2700, 2800, 3500I, 35 E, 3600, 3700, 3800, 1040, 1520, 1530, 1550, 1560, 1570 en 1260 AP’s

- Cisco Flex 8500- en 7500-, Cisco 5500-, 3504-, vWLC- en 2500 Series controllers

- Catalyst 3750G geïntegreerde WLC-Switch

- Cisco WiSM en WiSM2

- Netwerkmodule voor controllers voor geïntegreerde services routers

FlexConnect lokale verificatie is handig wanneer u geen externe kantoorinstellingen kunt onderhouden met een minimale bandbreedte van 128 kb/s en een round-trip latency van niet meer dan 100 ms. De maximaal getolereerde latentie voor FlexConnect is 300 ms, ongeacht de functies die worden gebruikt.

In het volgende gedeelte wordt de FlexConnect-functiematrix beschreven.

Opmerking: Pre-802, 11n AP's, zoals 1130 of 1240, worden nog steeds ondersteund door latere code. Deze AP's ontvangen echter geen nieuwe functies vanaf release 7.3. Daarom ondersteunen deze AP's geen FlexConnect-functies die na release 7.3 verschijnen. Op dezelfde manier hebben AP's van de eerste generatie 802.11n geen van de FlexConnect-functies van de 8.1-functieset, zelfs niet als ze zich bij een dergelijke WLC kunnen aansluiten. Raadpleeg de opmerkingen bij de release voor meer informatie.

Opmerking: dit document is van toepassing op 802.11ac Wave 2 AP’s en Catalyst AP’s en vervangt deze matrix die alleen is gericht op AireOS-releases: https://www.cisco.com/c/en/us/td/docs/wireless/access_point/feature-matrix/ap-feature-matrix.html

FlexConnect-functiematrix - verouderde en nieuwe functies in release 7.0.16 en hoger

Beveiliging - client

Security ondersteuning op FlexConnect varieert met verschillende modi en toestanden. Deze tabel geeft een overzicht van de beveiligingsfuncties die worden ondersteund:

WAN omhoog (Central Switching)

WAN omhoog (lokale switching)

WAN omhoog (lokale switching, lokale verificatie)

WAN omlaag (standalone)

Open/Statische WEP

Ja

Ja

Ja

Ja

WPA-PSK

Ja

Ja

Ja

Ja

802.1x (WPA/WPA2)

Ja

Ja

Ja

Ja

MAC-filterverificatie

Ja

Ja

Nee

Nee

CCKM Fast Roaming

Ja

Ja

Nee

Ja, voor verbonden clients. Nee, voor nieuwe klanten.

Beveiliging - infrastructuur

WAN omhoog (Central Switching)

WAN omhoog (lokale switching)

WAN omlaag (standalone)

DTLS-encryptie van gegevens

Ja

N.v.t.

N.v.t.

Lokale EAP (7.0 t/m 7.4)

Ja (LEAP/EAP-FAST)

Ja (LEAP/EAP-FAST)

Ja (LEAP/EAP-FAST)

LocaL EAP (7.5 en hoger)

Ja (LEAP/EAP-FAST/PEAP/EAP-TLS)

Ja (LEAP/EAP-FAST/PEAP/EAP-TLS)

Ja (LEAP/EAP-FAST/PEAP/EAP-TLS)

Reserve-straal

Ja (7.0.116)

Ja (7.0.116)

Ja

MIC

Ja

Ja

Niet van toepassing

Security

Security ondersteuning op FlexConnect varieert met verschillende modi en toestanden. Deze tabel geeft een overzicht van de bestaande en nieuwe beveiligingsfuncties die worden ondersteund met WLC release 7.0.16.0 en hoger:

WAN omhoog (Central Switching)

WAN omhoog (lokale switching)

WAN omhoog (lokale switching, lokale verificatie)

WAN omlaag (standalone)

Adaptieve draadloze inbraakpreventie (WIPS)

Ja

Ja

Ja

Nee

Schurk, inbraakdetectie (IDS)

Ja

Ja

Ja

Nee

MFP (Management Frame Protection) (client, infrastructuur)

Ja

Ja (nee voor golf 2 APS)

Ja (nee voor golf 2 APS)

Nee

802.11w "MFP"

Ja (7,5)

Ja (7,5)

Ja (7,5)

Ja (7,5)

802.11r snelle overgang

Ja

Ja

Nee

Nee

Zelfondertekend certificaat (SSC)

Ja

Ja

Ja

N.v.t.

RLDP-protocol (Rogue Location Discovery Protocol)

kan werken, afhankelijk van hop, WAN-snelheid

Kan werken, is afhankelijk van hop, WAN-snelheid (geen voor golf 2 APS)

Kan werken, is afhankelijk van hop, WAN-snelheid (geen voor golf 2 APS)

Nee

Opportunistische Key Caching (OKC) Fast Roam

Ja

Ja

Ja

Nee(1)

FlexConnect lokale autorisatie

N.v.t.

Ja

Ja

Ja

IPv4 AAA-opheffing

Ja

Ja

Ja

Ja

IPv6-AAA-opheffing

Ja

Ja(5)

Ja(5)

Ja(5)

AAA VLAN-toewijzing per FlexGroup met VLAN-naam

N.v.t.

Ja (8.1)

Ja (8.1)

Ja (8.1)

Statische ACL

Ja

Ja(2)

Nee

Ja(2)

Nee

Ja(2)

Nee

Standaard ACL-waarden per gebruiker (4)

Ja (7,5)

Ja (7,5)

Ja (7,5)

Nee

L2 ACL

Ja (7,5)

Ja (7,5)

Ja (7,5)

Ja (7,5)

DNS-ACL

Ja (7,6)

Nee

Nee

Nee

P2P-blokkering

Ja

Ja

Ja

Ja

mesh LSC

N.v.t.

N.v.t.

N.v.t.

N.v.t.

Neem je eigen apparaat mee /ISE(BYOD)

Ja

Ja (7.2.110.0)

Nee

Nee

PCI-naleving voor buurtpakketten

Ja

Ja

Ja

Nee

DTLS-ondersteuning voor Rusland

Ja

N.v.t.

Nee

Nee

WPAN uitgebreide lokale modus (ELM)

Ja

Ja

Ja

Nee

Limietclients per WLAN

Ja

Ja(3)

Ja

Nee

Limietclients per radio

Ja

Ja

Ja

Ja

Clientuitsluitingsbeleid

Ja

Ja(3)

Ja

Nee

Radius NAC

Ja

Ja

Nee

Nee

TrustSec SXP op AP-niveau

Ja (8,4)

Ja (8,4)

Ja (8,4)

Ja (8,4)

TrustSec SXP bij WLC

Ja (8.3)

Ja (8.3)

Ja (8.3)

Ja (8.3)

Identiteit PSK

Ja (8,5)

Ja(8,5)

Nee

Ja(8,5)

Identity PSK met P2P-blokkering

Ja (8,8)

Ja (8,8)

Nee

Nee

AAA-gehandhaafd beleids- en quotabeheer

Ja (8,8)

Ja (incl. Flex +Bridge) (8.8)

Nee

Nee

(1) Ja voor clients die een associatie hebben met de Connected Mode.

(2) FlexConnect-toegangscontrolelijsten (ACL’s) moeten worden gebruikt. Merk op dat flex ACL’s niet worden ondersteund op het AP native VLAN!

(3) Limieten/uitsluiting uitgevoerd door WLC zodat client wordt gedesautoriseerd na een succesvolle reactie van de vereniging.

(4) Merk op dat de per-gebruiker ACL op FlexConnect geen VLAN-ACL op flex AP overschrijft, zoals een WLAN-ACL op een access point met lokale modus. Als zowel per gebruiker-ACL wordt gedrukt als AAA-VLAN ACL op de flex-groep wordt geconfigureerd, zijn beide van kracht.

(5)Met FlexConnect Local Switching wordt Multicast alleen doorgestuurd voor VLAN’s waaraan de SSID is toegewezen en niet naar overschreven VLAN’s. Daarom werkt IPv6 niet zoals verwacht omdat multicastverkeer wordt doorgestuurd vanaf het onjuiste VLAN. Daarom wordt VLAN-toewijzing niet ondersteund bij lokale switching met ipv6

Opmerking: op elk willekeurig punt heeft een AP maximaal 16 VLAN’s. Eerst worden de VLAN’s geselecteerd via de AP-configuratie (WLAN-VLAN) en vervolgens worden de resterende VLAN’s vanuit de FlexConnect-groep geduwd in de volgorde waarin ze zijn geconfigureerd of weergegeven in de FlexConnect-groep. Als de VLAN-sleuven vol zijn, wordt er een foutmelding weergegeven

Spraak en video

Deze tabel toont de bestaande en nieuwe spraak- en videoservices die worden ondersteund met WLC release 7.0.16.0 en hoger met FlexConnect:

WAN-up (Central Switching) 100 ms RTT

WAN-up (lokale switching) 100 ms RTT

WAN omlaag (standalone)

Spraak

Ja met RTT 100 ms

Ja met RTT 100 ms

Ja met RTT 100 ms

Ja met RTT 900 ms (met CCKM en OKC)

Ja met RTT 900 ms (met CCKM en OKC)

QoS-markeringen(1)

Ja

Ja

Ja

QoS-bandbreedtecontract per gebruiker

Ja (7,4)

Ja (7,5)

Nee

UAPSD

Ja

Ja

Ja

Spraakdiagnostiek

Ja

Ja

Nee

Spraakstatistieken

Ja

Ja

Nee

TSPEC/Call Admission Control (CAC)

Ja - niet CCX

Ja - niet CCX

Nee

Ja - CCX(2)

Ja - CCX(2)

(1) Omvat zowel DSCP/dot1p-markeringen.

(2) CAC op WLC, deautorisatie op roamingstoring.

Services

Deze tabel geeft een overzicht van de bestaande en nieuwe services die worden ondersteund met WLC release 7.0.16.0 en hoger met FlexConnect:

WAN omhoog (Central Switching)

WAN omhoog (lokale switching)

WAN omhoog (lokale switching, lokale verificatie)

WAN omlaag (standalone)

Interne webauth

Ja

Ja

Nee

N.v.t.

Externe webauth

Ja (7.2.110.0)

Ja (7.2.110.0)

Nee

N.v.t.

CleanAir (SI op 3500)

Ja

Ja

Ja

N.v.t.

Multicast-Unicast (Videostream)

Ja (behalve op 7500, 8500 en vWLC)

Ja (8.0) (niet op golf 2 access points)

Ja (8.0) (niet op golf 2 access points)

Ja (8.0) (niet op golf 2 access points)

Location (Locatie)

Ja, met BW/schaalbeperking

Ja, met BW-/schaalbeperking

Ja, met BW-/schaalbeperking

N.v.t.

Beheer van radiobronnen

Ja

Ja

Ja

Nee

NG RRM - Statische RF-groepering

Ja(1)

Ja(1)

Ja

Nee

SE Connect (Cleaner Update)

Ja

Ja

Ja

Nee(2)

Verbetering in S60

Ja

Ja

Ja

Nee

Profileren

Ja

Ja (als u Central DHCP Processing inschakelt)

Ja(als u Central DHCP Processing inschakelt)

Nee

AVC^3

Ja (7,4)

Ja (8.1)

Ja (8.1)

Nee

Bonjour gateway

Ja

Nee

Nee

Nee

mDNS-AP

Ja

Nee

Nee

Nee

LSS

Ja

Nee

Nee

Nee

Op oorsprong gebaseerde services

Ja

Nee

Nee

Nee

Prioritaire MAC

Ja

Nee

Nee

Nee

Bonjour Browser

Ja

Nee

Nee

Nee

Flex+Bridge-modus

Ja (8,0 maar 8,8 voor wave2)

Ja (8,0 maar 8,8 voor wave2)

Ja (8,0 maar 8,8 voor wave2)

Ja (8,0 maar 8,8 voor wave2)

(1) Alle BRM-specifieke vereisten zijn van toepassing (ten minste 4 AP's voor TPC).

(2) Ja voor standalone na loskoppeling van WLC, maar geen voor reboot.

(3) FlexConnect AVC ondersteund op alle WLC’s (inclusief vWLC) behalve 2504.

Infrastructuur

WAN omhoog (Central Switching)

WAN omhoog (lokale switching)

WAN omlaag (standalone)

Passieve clients

Nee

Ja

Ja

Proxy-ARP

Ja (8,0) (8,3mr1 voor golf 2 APs)

Ja (8,0) (8,3mr1 voor golf 2 APs)

Ja (8,0) (8,3mr1 voor golf 2 APs)

Syslog

Ja

Ja

Ja

CDP

Ja

Ja

Ja

Clientlink

Ja

Ja

Ja(2)

Taakverdeling(3)

Ja (7,4)

Ja (7,4)

Nee

Band selecteren

Ja

Ja

Nee

Vooraf downloaden AP-afbeelding

Ja

Ja

Nee

FlexConnect slimme AP-image upgrade

Ja

Ja

Ja(1)

AP Regularity Domain Updates (Chili)

Ja

Ja

Ja

VLAN Pooling/Mcast Optim.

Ja

N.v.t.

N.v.t.

Mesh - 24 backhaul

N.v.t.

N.v.t.

N.v.t.

Cisco WGB-ondersteuning

Ja

Ja (7.3) (neen voor golf 2 APS)

Ja (7.3) (neen voor golf 2 APS)

Ondersteuning van WGB van derden

Ja

Ja

Ja

Web autorisatieproxy

Ja

Ja

Nee

Verhoging AP-groep met FlexConnect

Ja

Ja

Ja

Tolerantie clientfouten

N.v.t.

Ja

N.v.t.

DHCP-optie 60

Ja

Ja

Ja

DFS/802,11h

Ja

Ja

Ja

AP-groep VLAN’s

Ja

N.v.t.

N.v.t.

VLAN-toewijzingen via FlexGroups

Ja

Ja

Ja

Op VLAN gebaseerde centrale switching

Ja (8,5 voor Wave2 APs, 7.3 voor IOS APs)

Niet van toepassing

Niet van toepassing

AP LAG

Ja (8,8)

Ja (8,8)

Ja (8,8)

De passieve clientfunctie wordt niet ondersteund op Flex AP’s. De AP's doen standaard geen proxy-ARP op FlexConnect (en dat maakt deel uit van de passieve client-functie). Integendeel, proxy-ARP is toegevoegd als een functie voor FlexConnect AP's met release 8.0 en hoger.

(1) Indien de Lead AP al is geüpgraded en de AP's van de leden worden geüpdatet met hun Lead AP.

(2) Alleen op 11n AP van de tweede generatie en later (1600, 2600, 3600, enzovoort).

(3) FlexConnect AP’s verzenden geen (her)associatiereacties met status 17 voor taakverdeling zoals lokale toegangspunten; in plaats daarvan verzenden zij eerst (re)associatiereacties met status 0 (succes) en vervolgens deauth met reden 5. Dit komt voor aangezien AP de vereniging plaatselijk behandelt en de lading-in evenwicht brengende besluiten bij WLC worden genomen.

Mobiliteit/roamingscenario’s

WLAN

Configuratie

Lokale switching

Centrale switching

CCKM

PMK (OK)

Overig

CCKM

PMK (OK)

Overig

Mobiliteit tussen dezelfde Flex Group

Snel zwerven(1)

Snel zwerven(1)

Volledige autorisatie(1)

Snel zwerven

Snel zwerven

Volledige autorisatie

Mobiliteit tussen verschillende Flex Group

Volledige autorisatie

Snel zwerven

Volledige autorisatie

Volledige autorisatie

Snel zwerven

Volledige autorisatie

Inter Controller-mobiliteit

N.v.t.

N.v.t.

N.v.t.

Volledige autorisatie

Snel zwerven

Volledige autorisatie

(1) Meegeleverde WLAN wordt toegewezen aan hetzelfde VLAN (dezelfde subnetvoeding). Als WLAN aan verschillende subnetten is toegewezen, kan geen snel zwerven voorkomen omdat de client een nieuw IP-adres moet verkrijgen.

Opmerking: voor snelle roaming (FT/802.11r) moeten AP's ook in dezelfde FlexGroup zitten. Alleen met WPA2 OKC, dat op WLC-niveau plaatsvindt, kunnen AP's zich in verschillende FlexConnect-groepen bevinden voor snel zwerven.

Opmerking: om gecentraliseerde toegangscontrole te ondersteunen via een gecentraliseerde AAA-server (Verificatie, autorisatie en accounting), zoals Cisco Identity Services Engine (ISE) of ACS, kan IPv6-ACL per client worden provisioneerd met het gebruik van AAA-kenmerken voor negeren. Om deze functie te kunnen gebruiken, moet IPv6 ACL op de controller worden geconfigureerd en moet WLAN worden geconfigureerd met ingeschakelde AAA-functie voor negeren. Het AAA-kenmerk voor een IPv6-ACL is Airespace-IPv6-ACL-Naam, vergelijkbaar met het Airespace-ACL-Name-attribuut dat wordt gebruikt om een op IPv4 gebaseerde ACL in te stellen. De AAA attribuut-teruggegeven inhoud moet een string zijn die gelijk is aan de naam van de IPv6 ACL, zoals geconfigureerd op de controller.

Gerelateerde informatie

- Ontwerp- en implementatiehandleiding voor H-Reap

- Hybrid Remote Edge access point (H-REAP) - basisprobleemoplossing

- Technische ondersteuning en documentatie – Cisco Systems