Configureer geconvergeerde toegang in een Small Branch Network met één Switch

Downloadopties

  • PDF     (399.3 KB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (242.6 KB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (189.7 KB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:17 augustus 2015
Document-id:200061

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

Dit document biedt voorbeeldconfiguraties voor geconvergeerde access implementaties in een klein netwerk met één switch. Deze configuraties kunnen over honderden of zelfs duizenden takken worden gebruikt om het draadloze netwerk op de takplaatsen met beproefde configuraties op te stellen.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

  • Catalyst 3850 Series Switch
  • Cisco IOS-versie 3.03.00SE of hoger
  • Cisco IOS versie 1.2 of hoger

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Achtergrondinformatie

Het kleine bijkantoor of de detailhandel kan uit één of een stapel Ethernet-switches bestaan om netwerkconnectiviteit aan de bekabelde en draadloze gebruikers te bieden. Zulke kleine netwerken kunnen de Ethernet switching samenbrengen met de next-generation wireless mogelijkheid op dezelfde Catalyst switch.

Voor dergelijke netwerkontwerpen kan de switch mobiliteitscontrollers voor draadloze LAN-controllers (WLC) en mobiliteitsagents (MA’s) integreren zonder extra geconvergeerde toegangselementen te vereisen, zoals Switch-Peer-Group (SPG) in het netwerk. Deze netwerken kunnen gast draadloze diensten, evenals gemeenschappelijke veiligheid en het beleid van de netwerktoegang handhaving over alle bijkantoren vereisen.

Configureren

Netwerkdiagram

Dit beeld illustreert een verwijzingstopologie voor een typisch taknetwerk.

Configuraties

Configuratie basislaag 2/3

  • VLAN Trunk Protocol (VTP)-modus: transparant

  Dit voorbeeld toont de configuratie van VTP-modus.

vtp domain ‘name'
vtp mode transparent

      

  • Spanning Tree: Rapid-per VLAN-Spanning Tree (PVST)

Dit voorbeeld toont de Rapid-PVST configuratie.

spanning-tree mode rapid-pvst
spanning-tree portfast default
spanning-tree portfast bpduguard default
spanning-tree portfast bpdufilter default
spanning-tree extend system-id

      

  • Benoemde VLAN’s maken

Dit voorbeeld laat zien hoe VLAN’s worden gemaakt.

vlan 151
name Voice_VLAN
!
vlan 152
name Video_VLAN
!
vlan 155
 name WM_VLAN
!
vlan 158
name 8021X_WiFi_VLAN   
  • Standaardgateway configureren

De standaardgatewayconfiguratie wordt in dit voorbeeld getoond.

ip default-gateway <ip address>
ip route vrf Mgmt-vrf 0.0.0.0 0.0.0.0 172.26.150.1

      

  • Configuratie van virtuele routing en doorsturen van beheer (VRF)

De VRF-configuratie voor beheer wordt in dit voorbeeld getoond.

interface GigabitEthernet0/0
  description Connected to FlashNet - DO NOT ROUTE
  vrf forwarding Mgmt-vrf
  ip address 172.26.150.202 255.255.255.0
  no ip redirects
  no ip proxy-arp
  load-interval 30
  carrier-delay msec 0
  negotiation auto
  no cdp enable 

 vrf definition Mgmt-vrf  
  • IP DHCP-controle configureren

In dit voorbeeld is DHCP-snooping geconfigureerd voor alle draadloze client-VLAN’s.

ip dhcp snooping vlan 151-154,156-165
no ip dhcp snooping information option
ip dhcp snooping wireless bootp-broadcast enable
ip dhcp snooping

      

Opmerking: uplinkpoorten moeten als vertrouwen worden gemarkeerd zoals in het voorbeeld uplinkpoorten/poortkanaal.

  • ARP-inspectie (Address Resolution Protocol) configureren

In dit voorbeeld is ARP-inspectie geconfigureerd voor alle draadloze client-VLAN’s.

ip arp inspection vlan 151-154,156-165
ip arp inspection validate src-mac dst-mac ip allow zeros

  

Opmerking: uplinkpoorten moeten als vertrouwen worden gemarkeerd zoals in het voorbeeld uplinkpoorten/poortkanaal.

  • Uplink-poorten/poortkanaal (indien nodig VLAN’s toestaan)

In dit voorbeeld wordt uplink-poort/poortkanaal geconfigureerd.

interface Port-channel1
 description Connected Dist-1
 switchport trunk native vlan 4002
 switchport trunk allowed vlan 151-166,4093
 switchport mode trunk
 ip arp inspection trust
 load-interval 30
 carrier-delay msec 0
 ip dhcp snooping trust


interface GigabitEthernet1/1/1
 description Connected Dist-1
 switchport trunk native vlan 4002
 switchport trunk allowed vlan 151-166,4093
 switchport mode trunk
 ip arp inspection trust
 load-interval 30
 channel-protocol pagp
 channel-group 1 mode desirable
 ip dhcp snooping trust

interface GigabitEthernet1/1/2
 description Connected Dist-1
 switchport trunk native vlan 4002
 switchport trunk allowed vlan 151-166,4093
 switchport mode trunk
 ip arp inspection trust
 load-interval 30
 channel-protocol pagp
 channel-group 1 mode desirable
 ip dhcp snooping trust

      

Mobility

  • Draadloze beheerinterface

In dit voorbeeld is draadloze functionaliteit ingeschakeld en wordt de 5760 Guest Anchor WLC geconfigureerd als de mobiliteitspeer.

interface vlan 105
 description Wireless Management Interface
 ip address 10.101.1.109 255.255.255.240
 load-interval 30
 logging event link-status
 no shutdown

wireless management interface vlan 105

wireless mobility group name 3850_Branch_1
wireless mobility group member ip 10.99.2.242 public-ip 10.99.2.242 group GA-Domain-1
wireless mobility group member ip 10.99.2.243 public-ip 10.99.2.243 group GA-Domain-2

       

Opmerking:U kunt een Cisco 5508 WLC of een 8510 AireOS gebruiken als gastankercontroller.

Beveiliging

  • Globale parameters

Dit voorbeeld toont de configuratie van Global Parameters.

       aaa new-model
aaa authentication login PRIME_RADIUS_AUTH_GRP group PRIME_RADIUS_SERVER_GRP
aaa authentication dot1x PRIME_RADIUS_AUTH_GRP group PRIME_RADIUS_SERVER_GRP
aaa authorization network PRIME_RADIUS_AUTHO_GRP group PRIME_RADIUS_SERVER_GRP
aaa authorization network PRIME_CWA_MAC_FILTER group PRIME_RADIUS_SERVER_GRP
aaa accounting Identity PRIME_RADIUS_ACCT_GRP start-stop group PRIME_RADIUS_SERVER_GRP


aaa server radius dynamic-author
client 10.100.1.49 server-key 7 02050D480809
 auth-type any
!
!
radius server PRIME_RADIUS_SERVER_1
address ipv4 10.100.1.49 auth-port 1812 acct-port 1813
timeout 1

key 7 121A0C041104
!
radius-server attribute 6 on-for-login-auth
radius-server attribute 31 send nas-port-detail
!
aaa group server radius PRIME_RADIUS_SERVER_GRP
server name PRIME_RADIUS_SERVER_1

      

     

WLAN

  • 802.1X WLAN

De 802.1X WLAN-configuratie wordt in dit voorbeeld weergegeven.

wlan ABCCorp-8021X 1 ABCCorp-8021X
band-select
aaa-override
nac
wifidirect policy deny
client vlan 8021X_WiFi_VLAN
ip flow monitor wireless-avc-basic input
ip flow monitor wireless-avc-basic output
accounting-list PRIME_RADIUS_ACCT_GRP
security dot1x authentication-list PRIME_RADIUS_AUTH_GRP
session-timeout 21600
wmm require
no shutdown
  • Vooraf gedeelde sleutel WLAN

De Pre-Shared Key WLAN-configuratie wordt in dit voorbeeld getoond.

wlan ABCCorp_PSK 2 ABCCorp_PSK
band-select
client vlan PSK_WiFi_VLAN
ip flow monitor wireless-avc-basic input
ip flow monitor wireless-avc-basic output
no security wpa akm dot1x
security wpa akm psk set-key ascii 8 AAPAAQeRgFGCE_dLbEOcNPP[AAAAAAMcLKMPc^TcSbIhbU\HeaSXF_AAB
service-policy output ABCCorp_PSK-PARENT-POLICY
session-timeout 7200
wifidirect policy deny
wmm require
no shutdown
  • Open WLAN

De Open WLAN-configuratie wordt in dit voorbeeld weergegeven.

wlan ABCCorp_OPEN 3 ABCCorp_OPEN
band-select
client vlan Open_WiFi_VLAN
ip flow monitor wireless-avc-basic input
ip flow monitor wireless-avc-basic output
no security wpano security wpa akm dot1x
no security wpa wpa2
no security wpa wpa2 ciphers aes
service-policy output ABCCorp_OPEN-PARENT-POLICY
session-timeout 1800
wifidirect policy deny
wmm require
no shutdown

Gastoplossing

  • CWA Guest WLAN

De CWA Guest WLAN-configuratie wordt in dit voorbeeld weergegeven.

wlan ABCCorp-Guest 15 ABCCorp-Guest
aaa-override
accounting-list PRIME_RADIUS_ACCT_GRP
client vlan GUEST_VLAN
ip flow monitor wireless-avc-basic input
ip flow monitor wireless-avc-basic output
load-balance
security dot1x authentication-list PRIME_RADIUS_AUTH_GR
Pmac-filtering PRIME_CWA_MAC_FILTER
mobility anchor 10.99.2.242
mobility anchor 10.99.2.243
nac
no security wpa
no security wpa am dot1x
no security wpa wpa2
no security wpa wpa2 ciphers aes
session-timeout 3600
wmm require
no shutdown
  • Mobility and Guest WLAN-configuratie op 5760 gastanker 1

In dit voorbeeld zijn Mobility en Guest WLAN geconfigureerd op 5760 Guest Anchor 1.

wireless mobility group name GA-Domain-1
wireless mobility group member ip 10.101.1.109 public-ip 10.101.1.109 group 3850_Branch_1

wlan ABCCorp-Guest 15 ABCCorp-Guest
aaa-override
accounting-list PRIME_RADIUS_ACCT_GRP
client vlan GUEST_WiFi_VLAN
ip flow monitor wireless-avc-basic input
ip flow monitor wireless-avc-basic output
load-balance
security dot1x authentication-list PRIME_RADIUS_AUTH_GRP
mac-filtering PRIME_CWA_MAC_FILTER
mobility anchor 10.99.2.242
nac
no security wpa
no security wpa am dot1x
no security wpa wpa2
no security wpa wpa2 ciphers aes
session-timeout 3600
wmm require
no shutdown
  • Redirect ACL voor CWA (Central Web-Auth)

De configuratie om ACL voor CWA om te leiden wordt in dit voorbeeld getoond.

Extended IP access list PRIME-CWA-REDIRECT-ACL
10 deny icmp any any
20 deny udp any eq bootps any
30 deny udp any any eq bootpc
40 deny udp any eq bootpc any
50 deny udp any any eq domain
60 deny tcp any any eq domain
70 deny ip any host 10.100.1.49
80 permit tcp any any eq www

Geavanceerde IOS draadloze services

  • Configuratie van Application Visibility and Control (AVC)

Dit voorbeeld toont de configuratie van AVC.

flow exporter PRIME_FNF_COLLECTOR_1
description FLEXIBLE NETFLOW COLLECTOR
destination 10.100.1.82
dscp 46
transport udp 9991
!
!
flow monitor wireless-avc-basic
exporter PRIME_FNF_COLLECTOR_1
record wireless avc basic
  • WLAN-configuratie

Dit voorbeeld toont de configuratie van WLAN.

wlan ABCCorp-8021X 1 ABCCorp-8021X
ip flow monitor wireless-avc-basic input
ip flow monitor wireless-avc-basic output
  • uitgaande bandbreedtevorming voor WLAN’s

Het voorbeeld toont de configuratie van uitgaande Bandbreedte die voor WLAN’s vormt.

policy-map ABCCrop-8021X-PARENT-POLICY
description PRIME-ABCCorp-8021X EGRESS PARENT POLICY
class class-default
shape average percent 40
queue-buffers ratio 0

policy-map ABCCorp-PSK-PARENT-Policy
description PRIME-ABCCorp-PSK EGRESS PARENT POLICY
class class-default
shape average percent 30
queue-buffers ratio 0

  • WLAN-configuratie

Dit voorbeeld toont de configuratie van WLAN.

wlan ABCCorp-8021X 1 ABCCorp-8021X
service-policy output ABCCorp-8021X-PARENT-POLICY

Best practices

De beste praktijken voor draadloze configuratie omvatten:

  • Het gebruiken van het draadloze client snel-side-change commando om snelle SSID verandering te configureren.
  • Met de wachtwoordcodering op en de wachtwoordsleutel worden opdrachten voor wachtwoordcodering verduisterd.

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
1.0
21-Apr-2016
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

Was dit document nuttig?

FeedbackFeedback

Contact Cisco

Dit document is van toepassing op deze producten