Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Informações de Apoio

FlexConnect

Matriz de recursos FlexConnect - Recursos antigos e novos na versão 7.0.116 e posterior

Segurança - Cliente

Segurança - Infraestrutura

Security

Voz e Vídeo

Services

Infraestrutura

Cenários de mobilidade/roaming

Informações Relacionadas

Introdução

Este documento descreve a matriz de recursos para o recurso FlexConnect na controladora Wireless LAN (WLC).

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Protocolo de controle e provisionamento de pontos de acesso sem fio (CAPWAP)

- Configuração de Pontos de Acesso Lightweight (APs) e Cisco WLCs

Componentes Utilizados

As informações neste documento são baseadas nas versões 7.0.116.0 e posteriores do CUWN. Este artigo foi atualizado com a versão 8.8

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

FlexConnect

O FlexConnect é uma solução sem fio para implantações em filiais e escritórios remotos. Ele permite que você configure e controle APs em uma filial ou escritório remoto a partir do escritório corporativo através de um link WAN sem a implantação de um controlador em cada escritório. Os APs FlexConnect podem comutar o tráfego de dados do cliente localmente e executar a autenticação do cliente localmente. Quando estão conectados ao controlador, eles também podem enviar tráfego de volta ao controlador. O FlexConnect só é compatível com estes componentes:

- 700, 1130AG, 1140, 1240AG, 1250, 1700, 1810, 1815, 1830, 1840, 1850, AP801, 1600, 1700, 2600, 2700, 2800, 35 APs 00I, 3500E, 3600, 3700, 3800, 1040, 1520, 1530, 1550, 1560, 1570 e 1260

- Controladores Cisco Flex 8500 e 7500, Cisco 5500, 3504,vWLC e 2500 Series

- Switch WLC integrado Catalyst 3750G

- Cisco WiSM e WiSM2

- Módulo de Rede de Controlador para Roteadores de Serviços Integrados

A autenticação local FlexConnect é útil quando você não pode manter uma configuração de escritório remoto com uma largura de banda mínima de 128 kb/s e uma latência de ida e volta não superior a 100 ms. A latência máxima tolerada para o FlexConnect é de 300 ms, independentemente dos recursos usados.

A próxima seção descreve a Matriz de recursos do FlexConnect.

Observação: APs anteriores ao 802, 11n, como 1130 ou 1240, ainda são suportados por código posterior. No entanto, esses APs não recebem novos recursos a partir da versão 7.3. Portanto, esses APs não oferecem suporte aos recursos do FlexConnect que aparecem após a versão 7.3. Da mesma forma, os APs 802.11n de primeira geração não têm nenhum dos recursos FlexConnect do conjunto de recursos 8.1, mesmo que eles sejam capazes de se unir a tal WLC. Consulte as notas de versão para obter mais informações.

Observação: os APs 802.11ac wave 2 e os APs Catalyst são cobertos por este documento, que substitui esta matriz que se concentra apenas nas versões AireOS : https://www.cisco.com/c/en/us/td/docs/wireless/access_point/feature-matrix/ap-feature-matrix.html

Matriz de recursos FlexConnect - Recursos antigos e novos na versão 7.0.116 e posterior

Segurança - Cliente

O suporte à segurança no FlexConnect varia de acordo com os modos e estados. Esta tabela resume os recursos de segurança suportados:

WAN ativa (switching central)

WAN ativa (switching local)

WAN ativa (switching local, autenticação local)

WAN inoperante (independente)

WEP aberta/estática

Yes

Yes

Yes

Yes

WPA-PSK

Yes

Yes

Yes

Yes

802.1x (WPA/WPA2)

Yes

Yes

Yes

Yes

Autenticação de filtro MAC

Yes

Yes

No

No

Roaming rápido CCKM

Yes

Yes

No

Sim, para clientes conectados. Não, para novos clientes.

Segurança - Infraestrutura

WAN ativa (switching central)

WAN ativa (switching local)

WAN inoperante (independente)

Criptografia DTLS de dados

Yes

N/A

N/A

EAP local (7.0 a 7.4)

Sim (LEAP/EAP-FAST)

Sim (LEAP/EAP-FAST)

Sim (LEAP/EAP-FAST)

LocalL EAP (7.5 e posterior)

Sim (LEAP/EAP-FAST/PEAP/EAP-TLS)

Sim (LEAP/EAP-FAST/PEAP/EAP-TLS)

Sim (LEAP/EAP-FAST/PEAP/EAP-TLS)

Raio de backup

Sim (7.0.116)

Sim (7.0.116)

Yes

MIC

Yes

Yes

Não aplicável

Security

O suporte à segurança no FlexConnect varia de acordo com os modos e estados. Esta tabela resume os recursos de segurança novos e herdados suportados com a versão 7.0.116.0 da WLC e mais recentes:

WAN ativa (switching central)

WAN ativa (switching local)

WAN ativa (switching local, autenticação local)

WAN inoperante (independente)

Prevenção de intrusão sem fio adaptável (aWIPS)

Yes

Yes

Yes

No

Invasor, detecção de intrusão (IDS)

Yes

Yes

Yes

No

Proteção de Quadro de Gerenciamento (MFP - Management Frame Protection) (cliente, infraestrutura)

Yes

Sim (não para APS da etapa 2)

Sim (não para APS da etapa 2)

No

"MFP" 802.11w

Sim (7,5)

Sim (7,5)

Sim (7,5)

Sim (7,5)

Transição rápida para 802.11r

Yes

Yes

No

No

Certificado autoassinado (SSC)

Yes

Yes

Yes

N/A

Protocolo de Identificação de Local (RLDP - Rogue Location Discovery Protocol)

pode funcionar, depende de saltos, velocidade da WAN

pode funcionar, depende de saltos, velocidade da WAN (não para APS da onda 2)

pode funcionar, depende de saltos, velocidade da WAN (não para APS da etapa 2)

No

Roam rápida de OKC (Cache de chave oportunista)

Yes

Yes

Yes

Não(1)

Autenticação local do FlexConnect

N/A

Yes

Yes

Yes

Substituição AAA Ipv4

Yes

Yes

Yes

Yes

Ipv6 AAA override

Yes

Sim(5)

Sim(5)

Sim(5)

Atribuição de VLAN AAA por FlexGroup com nome de VLAN

N/A

Sim (8.1)

Sim (8.1)

Sim (8.1)

ACL estática

Yes

Sim(2)

No

Sim(2)

No

Sim(2)

No

ACLs radius por usuário(4)

Sim (7,5)

Sim (7,5)

Sim (7,5)

No

ACL L2

Sim (7,5)

Sim (7,5)

Sim (7,5)

Sim (7,5)

ACL DNS

Sim (7.6)

No

No

No

Bloqueio P2P

Yes

Yes

Yes

Yes

LSC de malha

N/A

N/A

N/A

N/A

Traga seu próprio dispositivo /ISE(BYOD)

Yes

Sim (7.2.110.0)

No

No

Conformidade de PCI para pacotes vizinhos

Yes

Yes

Yes

No

Suporte a DTLS da Rússia

Yes

N/A

No

No

Modo local aprimorado (ELM) wIPS

Yes

Yes

Yes

No

Limitar clientes por WLAN

Yes

Sim(3)

Yes

No

Limitar clientes por rádio

Yes

Yes

Yes

Yes

Política de Exclusão de Cliente

Yes

Sim(3)

Yes

No

NAC Radius

Yes

Yes

No

No

TrustSec SXP no nível do AP

Sim (8.4)

Sim (8.4)

Sim (8.4)

Sim (8.4)

TrustSec SXP no WLC

Sim (8.3)

Sim (8.3)

Sim (8.3)

Sim (8.3)

PSK de identidade

Sim (8.5)

Sim(8.5)

No

Sim(8.5)

PSK de identidade com bloqueio P2P

Sim (8.8)

Sim (8.8)

No

No

Política e gerenciamento de cotas impostos por AAA

Sim (8.8)

Sim (incluindo Flex +Bridge) (8.8)

No

No

(1) Sim para clientes que têm associação no modo Conectado.

(2) As Listas de Controle de Acesso (ACLs) FlexConnect devem ser usadas. Observe que as ACLs flexíveis não são suportadas na VLAN nativa do AP!

(3) Limites/exclusão feitos pela WLC para que o cliente seja desautorizado após uma Resposta de Associação bem-sucedida.

(4) Observe que a ACL por usuário no FlexConnect não substitui uma ACL de VLAN no AP flexível como substituiria uma ACL de WLAN no AP de modo local. Se ambas as ACLs por usuário forem enviadas e a ACL AAA-VLAN configurada no grupo flex, ambas terão efeito.

(5)Com o switching local FlexConnect, o Multicast é encaminhado somente para a VLAN para a qual o SSID está mapeado e não para nenhuma VLAN substituída. Portanto, o IPv6 não funciona como esperado porque o tráfego Multicast é encaminhado da VLAN incorreta. Portanto, a atribuição de vlan não é suportada na comutação local com ipv6

Observação: em qualquer ponto, um AP tem um máximo de 16 VLANs. Primeiro, as VLANs são selecionadas de acordo com a configuração do AP (WLAN-VLAN) e, em seguida, as VLANs restantes são enviadas do grupo FlexConnect na ordem em que são configuradas ou exibidas no grupo FlexConnect. Se os slots de VLAN estiverem cheios, uma mensagem de erro será exibida

Voz e Vídeo

Esta tabela lista os serviços de voz e vídeo antigos e novos compatíveis com o WLC versão 7.0.116.0 e posterior com o FlexConnect:

WAN para cima (switching central) 100 ms RTT

WAN para cima (switching local) 100 ms RTT

WAN inoperante (independente)

Voz

Sim com RTT 100 ms

Sim com RTT 100 ms

Sim com RTT 100 ms

Sim com RTT 900 ms (com CCKM e OKC)

Sim com RTT 900 ms (com CCKM e OKC)

Marcações de QoS(1)

Yes

Yes

Yes

Contrato de largura de banda por usuário de QoS

Sim (7.4)

Sim (7,5)

No

UAPSD

Yes

Yes

Yes

Diagnóstico de voz

Yes

Yes

No

Métricas de voz

Yes

Yes

No

TSPEC /Controle de admissão de chamadas (CAC)

Sim - não CCX

Sim - não CCX

No

Sim - CCX(2)

Sim - CCX(2)

(1) Inclui as marcações DSCP/dot1p.

(2) CAC na WLC, desautorização em falha de roaming.

Services

Esta tabela lista os serviços novos e herdados suportados com o WLC Versão 7.0.116.0 e posterior com o FlexConnect:

WAN ativa (switching central)

WAN ativa (switching local)

WAN ativa (switching local, autenticação local)

WAN inoperante (independente)

Webauth interno

Yes

Yes

No

N/A

Webauth externo

Sim (7.2.110.0)

Sim (7.2.110.0)

No

N/A

CleanAir (SI no 3500)

Yes

Yes

Yes

N/A

Multicast-Unicast (Videostream)

Sim (exceto no 7500, 8500 e vWLC)

Sim (8.0) (não em APs da onda 2)

Sim (8.0) (não em APs da onda 2)

Sim (8.0) (não em APs da onda 2)

Local

Sim, com limitação de largura de banda/escala

Sim com limitação de BW/escala

Sim com limitação de BW/escala

N/A

Gerenciamento de recursos de rádio

Yes

Yes

Yes

No

NG RRM - Agrupamento estático de RF

Sim(1)

Sim(1)

Yes

No

SE Connect (Atualização do Cleanair)

Yes

Yes

Yes

Não(2)

Aprimoramento S60

Yes

Yes

Yes

No

Criação de perfil

Yes

Sim (se você habilitou o Processamento DHCP Central)

Sim(se você habilitou o Processamento DHCP Central)

No

AVC^3

Sim (7.4)

Sim (8.1)

Sim (8.1)

No

Gateway Bonjour

Yes

No

No

No

AP mDNS

Yes

No

No

No

LSS

Yes

No

No

No

Serviços baseados na origem

Yes

No

No

No

MAC de prioridade

Yes

No

No

No

Navegador Bonjour

Yes

No

No

No

Modo Flex+Bridge

Sim (8.0 mas 8.8 para a onda 2)

Sim (8.0 mas 8.8 para a onda 2)

Sim (8.0 mas 8.8 para a onda 2)

Sim (8.0 mas 8.8 para a onda 2)

(1) Aplicam-se quaisquer requisitos específicos dos MRR (pelo menos 4 pontos de acesso para TPC).

(2) Sim para autônomo após a desconexão da WLC, mas não para reinicialização.

(3) FlexConnect AVC suportado em todas as WLCs (que incluem vWLC), exceto 2504.

Infraestrutura

WAN ativa (switching central)

WAN ativa (switching local)

WAN inoperante (independente)

Clientes Passivos

No

Yes

Yes

Proxy ARP

Sim (8.0) (8.3mr1 para APs da onda 2)

Sim (8.0) (8.3mr1 para APs da onda 2)

Sim (8.0) (8.3mr1 para APs da onda 2)

Syslog

Yes

Yes

Yes

CDP

Yes

Yes

Yes

Link do cliente

Yes

Yes

Sim(2)

Balanceamento de carga(3)

Sim (7.4)

Sim (7.4)

No

Seleção de Faixa

Yes

Yes

No

Pré-download da imagem do AP

Yes

Yes

No

Atualização de imagem do FlexConnect Smart AP

Yes

Yes

Sim(1)

Atualizações do domínio de regularidade AP (Chile)

Yes

Yes

Yes

Agrupamento VLAN/Otimização Mcast.

Yes

N/A

N/A

Malha - 24 backhaul

N/A

N/A

N/A

Suporte Cisco WGB

Yes

Sim (7.3) (não para APS da onda 2)

Sim (7.3) (não para APS da onda 2)

Suporte a WGB de terceiros

Yes

Yes

Yes

Proxy de Autenticação da Web

Yes

Yes

No

Aumento do grupo de AP FlexConnect

Yes

Yes

Yes

Tolerância a falhas do cliente

N/A

Yes

N/A

Opção de DHCP 60

Yes

Yes

Yes

DFS/802.11h

Yes

Yes

Yes

VLANs do grupo AP

Yes

N/A

N/A

Mapeamentos de VLAN por meio de FlexGroups

Yes

Yes

Yes

switching central baseado em vlan

Sim (8.5 para APs wave2, 7.3 para APs IOS)

Não aplicável

Não aplicável

LAG AP

Sim (8.8)

Sim (8.8)

Sim (8.8)

Não há suporte para o recurso de cliente passivo em APs Flex. No entanto, os APs não fazem proxy ARP por padrão no FlexConnect (e isso faz parte do recurso de cliente passivo). Ao contrário, o proxy ARP foi adicionado como um recurso para APs FlexConnect com a versão 8.0 e posterior.

(1) Fornecido se o AP principal já estiver atualizado e os APs membros estiverem atualizados com seu AP principal.

(2) Somente na segunda geração de APs 11n e posterior (1600, 2600, 3600 e assim por diante).

(3) Os APs FlexConnect não enviam respostas de (re)associação com status 17 para balanceamento de carga, assim como os APs do modo local; em vez disso, eles enviam respostas de (re)associação com status 0 (sucesso) e, em seguida, anulam com motivo 5. Isso ocorre quando o AP manipula a associação localmente e as decisões de balanceamento de carga são tomadas na WLC.

Cenários de mobilidade/roaming

WLAN

Configuração

Switching local

Switching central

CCKM

PMK (OKC)

Outros

CCKM

PMK (OKC)

Outros

Mobilidade entre o mesmo grupo flexível

Roam rápida(1)

Roam rápida(1)

Autenticação Completa(1)

Roaming rápido

Roaming rápido

Autenticação Completa

Mobilidade entre diferentes grupos flexíveis

Autenticação Completa

Roaming rápido

Autenticação Completa

Autenticação Completa

Roaming rápido

Autenticação Completa

Mobilidade entre controladores

N/A

N/A

N/A

Autenticação Completa

Roaming rápido

Autenticação Completa

(1) A WLAN fornecida é mapeada para a mesma VLAN (mesma sub-rede). Se a WLAN for mapeada para sub-redes diferentes, não poderá ocorrer roaming rápido, pois o cliente precisa obter um novo endereço IP.

Observação: o roaming rápido FT/802.11r também exige que os APs estejam no mesmo FlexGroup. Somente o WPA2 OKC, que acontece no nível da WLC, pode tolerar que os APs estejam em grupos FlexConnect diferentes para roaming rápido.

Observação: para oferecer suporte ao controle de acesso centralizado por meio de um servidor de Autenticação, Autorização e Contabilização (AAA) centralizado, como o Cisco Identity Services Engine (ISE) ou o ACS, a ACL IPv6 pode ser provisionada por cliente com o uso de atributos de Substituição de AAA. Para usar esse recurso, a ACL IPv6 deve ser configurada no controlador e a WLAN deve ser configurada com o recurso AAA Override habilitado. O atributo AAA para uma ACL IPv6 é Airespace-IPv6-ACL-Name, semelhante ao atributo Airespace-ACL-Name usado para provisionar uma ACL baseada em IPv4. O conteúdo retornado pelo atributo AAA deve ser uma sequência de caracteres igual ao nome da ACL IPv6, conforme configurado no controlador.

Informações Relacionadas

- Guia de implantação e design do H-Reap

- Solução básica de problemas do Hybrid Remote Edge Access Point (H-REAP)

- Suporte Técnico e Documentação - Cisco Systems