Inhoud

Inleiding

Voorwaarden

ingrediënten

Configureren

Netwerkdiagram

Optioneel: Standaardinstellingen van de controller op fabriek - Dag nul

Wizard Initiële configuratie omzeilen

Sjabloon voor bootstrap - fundamentele apparaatinstellingen

Eerste apparaatconfiguratie en buitenbandbreedte-connectiviteit

Optioneel: CDP activeren

9800-CL - zelfondertekend certificaat maken

VLAN’s maken

Gegevensinterfaces configureren - applicaties

Draadloze beheerinterface configureren

Tijdzone en NTP-inbedrijfname configureren

Toegang tot VTY en andere lokale diensten

Configuratie van straal

Optioneel: back-up voor dagelijkse configuratie

Draadloze configuratie

Optioneel - Best Practices

WLAN’s maken - WAP2-PSK

WLAN’s maken - WAP2-ondernemingen

WLAN’s maken - Guest met lokale webverificatie

WLAN’s maken - Guest met Central Web Verificatie

Beleid maken voor lokale mode AP’s

Beleid maken voor Flexconnect-mode AP’s

Eindtijd - tags toepassen op access points

Een lijst met AP-adressen verkrijgen

Aanbevolen lezen

Inleiding

In dit document worden verschillende opties beschreven die beschikbaar zijn om te 'bootstrap' (het uitvoeren van initiële configuratie) voor een Catalyst 9800 draadloze LAN-controller (WLC).  Sommigen hebben misschien externe processen nodig (PNP- of TFTP-download), sommigen kunnen gedeeltelijk via CLI worden uitgevoerd, dan vullen ze vervolgens via GUI in, enzovoort.

Dit document is gericht op een "kookrecept"-formaat, met de minimale gestroomlijnde reeks acties, zodat er op de kortst mogelijke tijd een 9800 kan worden geconfigureerd voor basisoperaties, inclusief bestuur op afstand en beste praktijken.

De sjabloon is voorzien van opmerkingen die worden voorafgegaan door het teken "!" specifieke punten van de configuratie toe te lichten. Alle waarden die door u moeten worden opgegeven, worden ook aangegeven in de tabel "ingrediënten" hieronder

Dit is gericht op 17.3 en hogere versies

Voorwaarden

- Catalyst 9800 controller "uit de doos". Eigenlijk, zonder enige configuratie

- Basisbegrip van IOS-XE configuratie

- Toegang tot de console poort van uw controller. Dit kan de fysieke CON poort in uw apparaat zijn (9800-40, 9800-80, 9800-L), of via uw hypervisors externe toegangsclient voor 9800-CL

- Voor seriële toegang, elke toepassing van een eindclient voor uw voorkeur

ingrediënten

Elk hoofdletteritem komt overeen met een instelling die u moet wijzigen voordat u de configuratiesjabloon gebruikt:

Waarde vereist

Naam in sjabloon

Voorbeeld

Niet-band beheerIP

[OOM_IP]

192.168.0.25

Standaard buiten de band beheergateway

[OOM_GW]

192.168.0.1

Gebruikersnaam voor beheerder

[TOEVOEGEN]

besturen

Wachtwoord voor beheerder

[WACHTWOORD]

ah1-7k++a1

Gebruikersnaam voor AP-beheerder

[AP_ADMIN]

besturen

AP CLI-wachtwoord

[AP_WACHTWOORD]

alkhb90jlih

AP maakt geheim

[AP_SECRET]

kh20-9-yjh

Controller hostnaam

[WLC_NAME]

9800-bcn-1

Naam bedrijfsdomein

[DOMAIN_NAME]

company.com

Client VLAN-id

[CLIENT_VLAN]

15

Naam van client-VLAN

[VLAN_NAME]

client_VLAN

Draadloze beheerinterface VLAN

[WMI_VLAN]

25

IP-interface voor draadloos beheer

[WMI_IP]

192.168.25.10

Interfacemasker voor draadloos beheer

[WMI_MASK]

255.255.255.0

Standaard draadloze beheerinterface voor GW

[WMI_GW]

192.168.25.1

NTP-server

[NTP_IP]

192.168.1.2

IP-rackserver

[RADIUS_IP]

192.168.0.98

Radius Key of gedeeld geheim

[RADIUS_KEY]

Dit isASharedSecret

WLAN SSID2 gedeelde hoofdnaam

[SSID-PSK]

persoonlijk

WLAN SSID2 802.1x-verificatie

[SSID-DOT1x]

naam

WLAN SSID Guest lokale webverificatie

[SSID-LWA]

gast1

WLAN SSID Guest lokale webverificatie

[SSID-CWA]

gast2

Configureren

Netwerkdiagram

Deze documenten volgen een zeer basistopologie, met een Calatyst 9800 controller aangesloten op een switch, plus een toegangspunt op hetzelfde VLAN voor testdoeleinden, met een optionele Radius-server voor verificatie

Optioneel: Standaardinstellingen van de controller op fabriek - Dag nul

Als uw controller al is geconfigureerd en u wilt deze terugzetten naar een ‘dag nul'-scenario, zonder enige configuratie, kunt u de volgende optionele procedure uitvoeren:

DAO2#write erase

Erasing the nvram filesystem will remove all configuration files! Continue? [confirm]

[OK]

Erase of nvram: complete

Sep 7 10:09:31.141: %SYS-7-NV_BLOCK_INIT: Initialized the geometry of nvram

DAO2#reload

System configuration has been modified. Save? [yes/no]: no

Reload command is being issued on Active unit, this will reload the whole stack

Proceed with reload? [confirm]

Sep 7 10:10:55.318: %SYS-5-RELOAD: Reload requested by console. Reload Reason: Reload Command.

Chassis 1 reloading, reason - Reload command

Wizard Initiële configuratie omzeilen

Nadat de controller de herlading heeft voltooid, geeft hij een CLI-configuratiewizard om een basisconfiguratie uit te voeren. In dit document omzeilen we deze optie en configureren alle waarden met behulp van de CLI-sjabloon die in de volgende stappen is meegeleverd.

Wacht totdat de controller is opgestart:

Installation mode is INSTALL

No startup-config, starting autoinstall/pnp/ztp...

Autoinstall will terminate if any input is detected on console

Autoinstall trying DHCPv4 on GigabitEthernet0

Autoinstall trying DHCPv6 on GigabitEthernet0

--- System Configuration Dialog ---

Would you like to enter the initial configuration dialog? [yes/no]:

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: CPU 0: Machine Check: 0 Bank 9: ee2000000003110a

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: TSC 0 ADDR ff007f00 MISC 228aa040101086

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: PROCESSOR 0:50654 TIME 1631009693 SOCKET 0 APIC 0 microcode 2000049

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: CPU 0: Machine Check: 0 Bank 10: ee2000000003110a

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: TSC 0 ADDR ff007fc0 MISC 228aa040101086

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: PROCESSOR 0:50654 TIME 1631009693 SOCKET 0 APIC 0 microcode 2000049

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: CPU 0: Machine Check: 0 Bank 11: ee2000000003110a

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: TSC 0 ADDR ff007f80 MISC 228aa040101086

*Sep 7 10:15:01.936: %IOSXE-0-PLATFORM: Chassis 1 R0/0: kernel: mce: [Hardware Error]: PROCESSOR 0:50654 TIME 1631009693 SOCKET 0 APIC 0 microcode 2000049

Autoinstall trying DHCPv4 on GigabitEthernet0,Vlan1

Autoinstall trying DHCPv6 on GigabitEthernet0,Vlan1

Acquired IPv4 address 192.168.10.105 on Interface GigabitEthernet0

Received following DHCPv4 options:

domain-name : cisco.com

dns-server-ip : 192.168.0.21

OK to enter CLI now...

pnp-discovery can be monitored without entering enable mode

Entering enable mode will stop pnp-discovery

Guestshell destroyed successfully

Druk op "ENTER"-toets en zeg "nee" tegen het oorspronkelijke dialoogvenster en "ja" om het autoinstallatieproces te beëindigen:

% Please answer 'yes' or 'no'.

Would you like to enter the initial configuration dialog? [yes/no]: no

Would you like to terminate autoinstall? [yes]: yes

Press RETURN to get started!

Sjabloon voor bootstrap - fundamentele apparaatinstellingen

Neem de volgende configuratiesjablonen en wijzig de waarden zoals aangegeven in de inhoudsopgave. Dit document is verdeeld over verschillende delen om de beoordeling te vergemakkelijken

Voor alle secties plakt het altijd de inhoud van de wijze Config, die "Voer" toets in om snel te worden, en gebruikt dan de connectie en de configuratie van de opdrachten, bijvoorbeeld:

WLC>enable

WLC#config

Configuring from terminal, memory, or network [terminal]?

Enter configuration commands, one per line. End with CNTL/Z.

WLC(config)#hostname controller-name

Eerste apparaatconfiguratie en buitenbandbreedte-connectiviteit

Gebruik de volgende opdrachten in Config. De opdrachten eindigen met het opslaan van de configuratie om er zeker van te zijn dat de SSH is ingeschakeld, nadat u de lokale toets hebt gemaakt

hostname [WLC_NAME]

int gi0

ip add [OOM_IP] 255.255.255.0

exit

ip route vrf Mgmt-intf 0.0.0.0 0.0.0.0 [OOM_GW]

no ip domain lookup

username [ADMIN] privilege 15 password 0 [PASSWORD]

ip domain name [DOMAIN_NAME]

aaa new-model

aaa authentication login default local

aaa authentication login CONSOLE none

aaa authorization exec default local

aaa authorization network default local

line con 0

privilege level 15

login authentication CONSOLE

exit

crypto key generate rsa modulus 2048

ip ssh version 2

end

wr

Optioneel: CDP activeren

Voer dit opnieuw in de modus Config en gebruik de volgende opdrachten. Voor 9800-CL, vervang interfaces Te0/0/0 en Te0/0/1 met Gi1 en Gi2

cdp run

int te0/0/0

cdp ena

int te0/0/1

cdp ena

9800-CL - zelfondertekend certificaat maken

Dit dient alleen te worden uitgevoerd op controllers voor de 9800-CL. Dit is niet nodig voor de aansluitingsmodellen van het apparaat (9800-80, 9800-40, 9800-L) voor AP-CAPWAP

wireless config vwlc-ssc key-size 2048 signature-algo sha256 password 0 [CHANGEPASSWORD]

VLAN’s maken

Creëer vanuit de modus Config naar wens evenveel clientventilatoren en het VLAN dat overeenkomt met de WMI-interface (Wireless Management Interface)

Op de meeste scenario's is het gebruikelijk om ten minste 2 cliëntenvlinders te hebben, één voor bedrijven en één voor gasttoegang. Grote scenario's kunnen zo nodig honderden verschillende vlinders omvatten

WMI VLAN is het punt voor toegang tot de controller voor de meeste beheerprotocollen en -topologieën, plus dat is daar waar de access points hun CAPWAP-tunnels zullen maken

vlan [CLIENT_VLAN]

name [VLAN_NAME]

vlan [WMI_VLAN]

name [WIRELESS_MGMT_VLAN]

Gegevensinterfaces configureren - applicaties

Voor 9800-L, 9800-40, 9800-80, van de configuratie modus, kunt u de volgende opdrachten gebruiken om de basisfunctionaliteit voor de gegevensvlakke interfaces in te stellen. Dit voorbeeld stelt LACP voor, met kanaalgroep gecreëerd door beide havens.

Het is belangrijk om een aanpassende topologie aan de kant van de switch te vormen.

Dit is een sectie die belangrijke veranderingen zou kunnen hebben van het voorbeeld dat wordt gegeven naar wat echt nodig is, afhankelijk van je topologie en wanneer je havenkanalen gebruikt. Lees het zorgvuldig door.

!!Interfaces. LACP if standalone or static (channel-group 1 mode on) on if HA before 17.1.

interface TenGigabitEthernet0/0/0

description You should put here your switch name and port

switchport trunk allowed vlan [CLIENT_VLAN],[WMI_VLAN]

switchport mode trunk

no negotiation auto

channel-group 1 mode active

interface TenGigabitEthernet0/0/1

description You should put here your switch name and port

switchport trunk allowed vlan [CLIENT_VLAN],[WMI_VLAN]

switchport mode trunk

no negotiation auto

channel-group 1 mode active

no shut

int po1

switchport trunk allowed vlan [CLIENT_VLAN],[WMI_VLAN]

switchport mode trunk

no shut

!!Configure the same in switch and spanning-tree portfast trunk

port-channel load-balance src-dst-mixed-ip-port

Draadloze beheerinterface configureren

Gebruik de volgende opdrachten van de configuratie-modus, om de WMI te maken. Dit is een belangrijke stap

int vlan [WMI_VLAN]

ip add [WMI_IP] [WMI_MASK]

no shut

ip route 0.0.0.0 0.0.0.0 [WMI_GW]

!! The interface name will normally be somethng like Vlan25, depending on your WMI VLAN ID

wireless management interface Vlan[WMI_VLAN]

Tijdzone en NTP-inbedrijfname configureren

NTP is cruciaal voor verschillende draadloze functies. Gebruik de volgende opdrachten in de configuratie-modus, om deze in te stellen:

ntp server [NTP_IP]

!!This is European Central Time, it should be adjusted to your local time zone

clock timezone CET 1 0

clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00

Toegang tot VTY en andere lokale diensten

Volgens de beste praktijken zal dit extra VTY-lijnen creëren, om GUI-toegangsproblemen te vermijden en basisservices mogelijk te maken om TCP-sessie-verwerking voor de beheerinterfaces te verbeteren

service timestamps debug datetime msec

service timestamps log datetime msec

service tcp-keepalives-in

service tcp-keepalives-out

logging buffered 512000

line vty 0 15

transport input ssh

line vty 16 50

transport input ssh

Configuratie van straal

Dit zal basisinstellingen opleveren, zodat stradiocommunicatie naar ISE-server mogelijk is

radius server ISE

address ipv4 [RADIUS_IP] auth-port 1645 acct-port 1646

key [RADIUS_KEY]

automate-tester username dummy probe-on

aaa group server radius ISE_GROUP

server name ISE

aaa authentication dot1x ISE group ISE_GROUP

radius-server dead-criteria time 5 tries 3

radius-server deadtime 5

Optioneel: back-up voor dagelijkse configuratie

Om veiligheidsredenen kunt u een geautomatiseerde dagelijkse configuratie back-up voor een externe TFTP-server inschakelen:

archive

path tftp://TFTP_IP/lab_configurations/9800-config.conf

time-period 1440

Draadloze configuratie

Deze sectie bestrijkt een voorbeeld van verschillende WLAN-types, die de meest gebruikelijke combinaties van WAP2 met Voorgedeelde sleutel, WAP2 met 802.1x/Straal, Centraal Webauth en Local WebEth omvatten. Er wordt niet verwacht dat al deze items in uw implementatie zullen zijn ingeschakeld. U dient deze gegevens dan zo nodig te verwijderen en aan te passen

Het is van cruciaal belang om het landcommando in te stellen, om er zeker van te zijn dat de controller de configuratie als "compleet" markeert.  U dient de landenlijst aan te passen aan de locatie van uw implementatie:

ap dot11 24ghz cleanair

ap dot11 5ghz cleanair

no ap dot11 5ghz SI

!!Important: replace country list with to match your location

!!These commands are supported from 17.3 and higher

wireless country ES

wireless country US

Optioneel - Best Practices

Dit zal ervoor zorgen dat het netwerk voldoet aan de beste basispraktijken:

- Toegangspunten hebben SSH ingeschakeld, niet-standaard aanmeldingsgegevens en syslog om de ervaring met probleemoplossing te verbeteren. Dit gebruikt standaard AP bij profiel, als u nieuwe ingangen toevoegt, zou u gelijkaardige veranderingen op hen moeten toepassen

- Apparaatclassificatie inschakelen om clienttypen die op het netwerk zijn aangesloten op te sporen

ap profile default-ap-profile

mgmtuser username [AP_ADMIN] password 0 [AP_PASSWORD] secret 0 [AP_SECRET]

ssh

syslog host [AP_SYSLOG]

device classifier

WLAN’s maken - WAP2-PSK

Vervang de variabelen door de gewenste instellingen. Dit type WLAN wordt meestal gebruikt voor persoonlijke netwerken, eenvoudige scenario's of voor ondersteuning van IOT-apparaten zonder 802.1x-functies

Dit is optioneel voor de meeste ondernemingsscenario's

wlan wlan_psk 1 [SSID-PSK]

security wpa psk set-key ascii 0 [WLANPSK]

no security wpa akm dot1x

security wpa akm psk

no shutdown

WLAN’s maken - WAP2-ondernemingen

Populairste scenario van WAP2 WLAN met radiofrequentie. Gebruikt in ondernemingsomgevingen

wlan wlan_dot1x 2 [SSID-DOT1X]

security dot1x authentication-list ISE

no shutdown

WLAN’s maken - Guest met lokale webverificatie

Gebruikt voor eenvoudiger toegang voor gasten zonder ISE-ondersteuning

Afhankelijk van de versie, is het mogelijk om een waarschuwing te krijgen wanneer u de eerste parameter map maakt, geef een antwoord, ja, om verder te gaan

parameter-map type webauth global

yes ! this may not be needed depending on the version

virtual-ip ipv4 192.0.2.1

virtual-ip ipv6 1001::1

aaa authentication login WEBAUTH local

aaa authorization network default local

wlan wlan_webauth 3 [SSID-WEBAUTH]

peer-blocking drop

no security wpa

no security wpa wpa2 ciphers aes

no security wpa akm dot1x

no security ft

no security wpa wpa2

security web-auth

security web-auth authentication-list WEBAUTH

security web-auth parameter-map global

no shu

WLAN’s maken - Guest met Central Web Verificatie

Gebruikt voor ISE-gastondersteuning

aaa authentication network default local

aaa authorization network MACFILTER group ISE_GROUP

aaa accounting identity ISE start-stop group ISE_GROUP

aaa server radius dynamic-author

client [RADIUS_IP] server-key [RADIUS_KEY]

ip access-list extended REDIRECT

10 deny icmp any any

20 deny udp any any eq bootps

30 deny udp any any eq bootpc

40 deny udp any any eq domain

50 deny ip any host [RADIUS_IP]

55 deny ip host [RADIUS_IP] any

60 permit tcp any any eq www

wlan wlan_cwa 5 [SSID-CWA]

mac-filtering MACFILTER

no security wpa

no security wpa wpa2 ciphers aes

no security wpa akm dot1x

no security ft

no security wpa wpa2

no shutdown

!! we will create two policy profiles, to be used later depending if the APs are local or flex mode

wireless profile policy local_vlanclients_cwa

aaa-override

accounting-list ISE

ipv4 dhcp required

nac

vlan [CLIENT_VLAN]

no shutdown

wireless profile policy policy_flex_cwa

no central association !!Ensure to disable central-assoc for flexconnect APs

no central dhcp

no central switching

aaa-override

accounting-list ISE

ipv4 dhcp required

nac

vlan [CLIENT_VLAN]

no shutdown

Beleid maken voor lokale mode AP’s

Lokale mode APs zijn die die op de zelfde fysieke plaats zoals de Catalyst 9800 controller, normaal over het zelfde netwerk zullen zijn.

Nu we de controller met basisapparaatconfiguratie hebben en de verschillende WLAN-profielen hebben gemaakt, is het tijd dat we deze samen met de beleidsprofielen aan elkaar koppelen en ze via tags toepassen op de access points die deze SSID’s moeten uitzenden

Controleer voor meer informatie of u Catalyst 9800 draadloze controllers kunt configureren en model

wireless profile policy policy_local_clients

description local_vlan

dhcp-tlv-caching

http-tlv-caching

radius-profiling

session-timeout 86400 !!Ensure to not use 0 since 0 means no pmk cache

idle-timeout 300

vlan [CLIENT_VLAN]

no shutdown

wireless tag site site_tag_local

description local

wireless tag policy policy_tag_local

description "Tag for APs on local mode"

!! Include here only the WLANs types from previous sections, that you have defined and are interesting for your organization

!! For guest WLANS (CWA/LWA), it is common to use a different policy profile, to map to a different VLAN

wlan wlan_psk policy policy policy_local_clients

wlan wlan_dot1x policy policy policy_local_clients

wlan wlan_webauth policy policy policy_local_clients

wlan wlan_cwa policy policy_local_clients

Beleid maken voor Flexconnect-mode AP’s

Flexconnect mode access points worden normaal gebruikt ofwel wanneer de verbinding tussen de controller en de AP’s via een WAN plaatsvindt (dus er is een verhoogde retourvertraging tussen de controllers), of wanneer om topologieredenen het clientverkeer lokaal geschakeld moet worden op de AP-poort en niet via CAPWAP gebracht moet worden om het netwerk te verlaten op de controller-interfaces

De configuratie is vergelijkbaar met de lokale modus, maar wordt gemarkeerd als een externe kant, met lokaal geschakeld verkeer

wireless profile flex flex_profile_native

acl-policy REDIRECT

central-webauth

arp-caching

!! Replace 25 with the VLAN native on your AP L2 topology

native-vlan-id 25

vlan-name [VLAN_NAME]

vlan-id [CLIENT_VLAN]

wireless tag site site_tag_flex

flex-profile flex_profile_native

no local-site

wireless profile policy policy_flex_clients

no central association !!Ensure to disable central-assoc for flexconnect APs

no central dhcp

no central switching

dhcp-tlv-caching

http-tlv-caching

idle-timeout 300

session-timeout 86400 !!Ensure to not use 0 since 0 means no pmk cache

vlan [CLIENT_VLAN]

no shutdown

wireless tag policy policy_tag_flex

description "Profile for Flex mode APs"

!! Include here only the WLANs types from previous sections, that you have defined and are interesting for your organization

!! For guest WLANS (CWA/LWA), it is common to use a different policy profile, to map to a different VLAN

wlan wlan_psk policy policy_flex_clients

wlan wlan_dot1x policy policy_flex_clients

wlan wlan_webauth policy policy_flex_clients

wlan wlan_cwa policy policy_flex_cwa

Eindtijd - tags toepassen op access points

Als laatste stap moeten we de tags toepassen die we hebben gedefinieerd, op elk toegangspunt. U moet het Ethernet hoofdadres van elke AP vervangen met het aanwezig in uw apparaat

!!Tag assigment using static method. Replace mac with your device

ap F4DB.E683.74C0

policy-tag policy_tag_local

site-tag site_tag_local

Een lijst met AP-adressen verkrijgen

U kunt een lijst verkrijgen van de momenteel aangesloten AP's, die de samenvatting van de bevelshow kunnen gebruiken

Gladius1#sh ap summ

Number of APs: 1

AP Name             Slots AP Model  Ethernet MAC   Radio MAC      Location Country IP Address     State

-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

9130E-r3-sw2-g1012    3   9130AXE   0c75.bdb6.28c0 0c75.bdb5.7e80 Test123    ES    192.168.25.139 Registered

Aanbevolen lezen

- Cisco Catalyst 9800 Series configuratie beste praktijken

- Aanbevolen Cisco IOS XE releases voor Catalyst 9800 draadloze LAN-controllers

- Draadloze tools voor probleemoplossing