在Catalyst Center中配置Catalyst 9800 WLC的每设备配置

简介

本文档介绍如何使用Catalyst Center中的每设备配置来管理现有的Catalyst 9800无线LAN控制器。

先决条件

要求

Cisco 建议您了解以下主题：

• Catalyst 9800配置模型(无线LAN(WLAN)配置文件、策略配置文件以及策略、站点和射频(RF)标签)
• Cisco Catalyst Center库存、站点层次结构和设备调配

开始之前，请确保：

• Catalyst Center运行版本2.3.7.9或更高版本。
• Catalyst 9800运行Cisco IOS XE版本17.12或更高版本。
• Catalyst 9800位于Catalyst Center资产中(通过发现手动添加、通过逗号分隔值(CSV)文件导入添加，或通过Prime数据迁移工具添加)，其状态为Managed。
• 在Catalyst 9800（netconf-yang,TCP端口830）上启用网络配置协议(NETCONF)，并在Catalyst Center中配置NETCONF凭证。
• 站点层次结构存在。
• 控制器尚未调配基于意图的（网络配置文件）调配。如果有，Per-Device Configuration将在只读模式下打开。

使用的组件

本文档中的信息基于以下软件和硬件版本：

• 思科Catalyst Center版本3.2.3
• Cisco Catalyst 9800-CL无线控制器，Cisco IOS XE版本17.18.4a
• 本地模式9178I下的思科接入点

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

相关产品

本文档还可与以下硬件和软件版本一起使用：

• Cisco Catalyst Center版本3.1.x。配置功能按不同的菜单名称分组，如“可配置区域”中所述。
• 运行Cisco IOS XE版本17.12或更高版本的Catalyst 9800系列无线局域网控制器

背景信息

Catalyst Center通常通过基于意图的调配来管理无线控制器：您可以在站点级别定义无线设计(服务集标识符(SSID)、网络配置文件、RF配置文件和型号配置),Catalyst Center将生成并推送控制器配置。对于已经运行生产配置的控制器，此方法需要在设计中重新创建配置或学习配置。

在Catalyst Center版本2.3.7.9中，不再使用“学习设备配置”工作流程，并且引入了Catalyst 9800系列无线LAN控制器(WLC)的每设备配置。“按设备配置”允许您直接从Catalyst Center创建、编辑、克隆和删除单个控制器上的配置对象，其方式类似于控制器Web界面。借助该工具，Cisco Catalyst Center可以管理现有（棕地）控制器，而无需将其配置移至基于意图的网络配置文件。默认情况下禁用该功能，并且每个控制器都启用该功能。

每设备配置与基于意图的调配

每设备配置	基于意图的调配
配置的来源	控制器上存在的对象	站点级设计（网络配置文件、网络设置、型号配置）
最适合	灰场控制器，特定于控制器的设置	绿地部署、标准化多站点设计
需要重新设计	无	是，对于现有控制器
软件定义接入（SD接入）无线	Not Supported	受支持
在同一控制器上共存	不支持。使用基于意图的调配进行调配的控制器以只读模式显示“每设备配置”	-

可配置区域

在版本3.2.3中，设备详细信息窗口的Configuration选项卡将控制器功能分组，如下表所示。菜单名称显示在GUI中。可用选项取决于在控制器上运行的Cisco IOS XE版本。

菜单	功能
SSID	WLAN配置文件、策略配置文件、远程LAN配置文件、远程LAN策略、策略标记、802.11be配置文件
RF	RF配置文件、无线电配置文件、RF标记、多BSSID配置文件、URWB网络配置文件、RF默认值
无线接入点	AP加入配置文件、网格、功率配置文件、Flex配置文件、站点标签、日历配置文件
标记映射	AP初始化、标记映射（标记优先级、静态、基于位置和基于规则的映射）
安全	AAA、AAA策略、ACL、EAP、URL过滤器、访客用户、Web身份验证、TrustSec、WPP、LSC、AP证书策略
全球无线	CleanAir、高吞吐量、媒体参数、ATF、网络参数、全局参数、RRM、高级、mDNS、组播、位置、国家/地区、思科DNA集成设置、AP策略、无线地理定位
服务	本地策略、QoS、AVC、EoGRE、媒体流、访客LAN、排除的客户端
第 2 层	VLAN、接口、发现协议
网络设置	DNS、DHCP池、HTTP/HTTPS、SNMP、NTP
第 3 层	路由
管理	设备、用户管理、AP升级配置
移动性	移动性

功能历史记录

Catalyst Center版本	Change（更改）
2.3.7.9	引入了每设备配置。不建议使用“了解设备配置”。
2.3.7.11	Cisco IOS XE 17.18.1的802.11be增强功能
3.1.3	其他参数。配置接入点可添加虚拟LAN(VLAN)标记、域名系统(DNS)、LAN端口和基本服务集(BSS)颜色。跨控制器克隆配置文件。AP预备。Microsoft Azure上的Catalyst 9800-CL。
3.2.2	菜单重组。基于HTTPS的思科TrustSec(CTS)、基于IPv6的SGT交换协议(SXP)、MACsec。支持Cisco IOS XE 17.18.2和26.1.1。警告存在不安全的选项，例如轻量可扩展身份验证协议(LEAP)。

限制

• 每个设备的配置和基于意图的调配不能在同一控制器上一起使用。
• 不支持SD接入（交换矩阵）无线。
• AI-Enhanced Radio Resource Management(RRM)仅支持Enable Without Device Provisioning选项，仅支持保证使用案例。
• 支持第3层静态路由，无需虚拟路由和转发(VRF)。
• 在IPv6部署中，每设备配置继续支持IPv4配置（版本3.2.3）。
• 在控制器上启用“按设备配置”后，无法禁用该配置。使用该工具创建的配置对象可随时进行编辑或删除。

配置

网络图

下图显示本示例中使用的拓扑。Catalyst Center通过NETCONF管理控制器，而接入点通过无线接入点的控制和调配(CAPWAP)加入控制器。

配置

在本示例中，控制器已运行WLAN、标记和配置文件，例如在棕地部署中。每设备配置用于添加WLAN、预览和部署WLAN、将其映射到策略标记中的策略配置文件、克隆RF配置文件以及为AP分配标记。每个设备配置中的每次更改都使用相同的审核和调配、预览和部署流程，如步骤5中详细显示。

步骤1.为Catalyst Center准备Catalyst 9800

Catalyst Center使用NETCONF来读取和写入控制器配置。确保在控制器上启用了NETCONF:

WLC# configure terminal
WLC(config)# netconf-yang
WLC(config)# end

验证NETCONF进程是否运行：

WLC# show platform software yang-management process

confd:正在运行
nesd :正在运行
syncfd:正在运行
ncsshd:正在运行
dmiauthd :正在运行
nginx :正在运行
ndbmand :正在运行
发布：正在运行
gnmib :没有运行

步骤2.将控制器分配到站点并重新同步

1. 导航到调配>库存。
2. 选择控制器，然后选择Actions > Provision > Assign Device to Site。选择控制器所服务的建筑，然后单击Assign并等待，直到控制器显示Managed和Reachable。
3. 单击控制器名称以打开设备详细信息窗口，然后选择View Device Details。 
4. 设备详细信息页面打开，菜单显示控制器的状态以及Enable per-device configuration、View 360、Run commands和Refresh选项。 

步骤3.启用每设备配置

1. 启用控制器的每个设备配置并确认
2. 重新同步控制器(Actions > Inventory > Resync Device)，以便Catalyst Center读取当前配置。
3. 设备详细信息中的新选项显示该WLC管理和注册的AP数量
4. 在控制器的设备详细信息窗口中，单击Configuration选项卡。

重新同步后，Configuration选项卡显示标签Per-device configuration，并列出控制器的现有对象。左侧菜单将功能分组（SSID、RF、AP、标记映射、安全、全局无线、服务、第2层、网络设置、第3层、管理和移动），每个表提供来自其他WLC的Add和Clone。

标签旁边的信息图标显示：每个设备的配置允许通过直接编辑此页面上的配置进行更改。

步骤4.创建WLAN配置文件

1. 在Configuration选项卡中，选择SSID > WLAN Profiles，然后单击Add。
2. 在General中，配置：
   • 无线网络名称 (SSID):PDC-LAB
   • WLAN ID:50(范围为1至4096;使用控制器上未使用的ID)
   • WLAN配置文件名称:PDC-LAB
   • SSID状态:管理员状态已启用
3. 在Security > Layer 2中，选择Personal，并保留WPA2(Wi-Fi Protected Access 2)、AES(CCMP128)和PSK（预共享密钥）身份验证密钥管理(AKM)。 将PSK Format设置为ASCII并输入Pre-Shared Key。默认第2层选项为Enterprise。高级包含11be、11ax、11k和11v设置。
4. 点击审核和调配。

步骤5.预览和部署更改

1. 在Provision窗格中，选择部署方式： 
   • 现在立即部署。当System > Settings > Visibility and Control of Configurations在部署前强制执行预览时（如本实验所示），此选项不可用。
   • 稍后安排部署。
   • Preview and Deploy(Recommended)会准备配置，以便您在不影响运行网络的情况下查看配置，并在以后进行部署。
2. 选择Preview and Deploy，输入Task Name（此示例使用PDC-Create-WLAN-PDC-LAB），然后单击Apply。

3. Catalyst Center显示第2步，共3步：准备设备和配置模型，同时计算配置。要稍后再审阅，请点击退出并在稍后预览。工作项保留在活动>任务中。
4. 在第3步（共3步）：预览配置，点击控制器名称。Configuration to be Deployed显示基于YANG(Yee Another Next Generation)数据模型（默认视图）的NETCONF负载。 对于WLAN，负载使用Cisco-IOS-XE-wireless-wlan-cfg模型。

5. 单击YANG_TO_CLI以查看生成的CLI，它是等效于YANG负载的命令行界面(CLI)。如窗口所示，此CLI仅是预览，不得直接应用于设备。

此示例的已生成CLI为：

wlan PDC-LAB 50 PDC-LAB
 security wpa psk set-key ascii 8 <encrypted-key>
 no security wpa akm dot1x
 security wpa akm psk
 radio policy dot11 24ghz
 radio policy dot11 5ghz
  slot 0
  slot 1
  slot 2

6. 单击Deploy。在“部署”窗格中，选择立即（或更后），确认任务名称，然后单击提交。
7. 导航到活动>任务，然后打开任务。任务类型为PROVISION，当控制器接受配置时，状态更改为Success。

步骤6.将WLAN映射到策略标记中的策略配置文件

1. 如果WLAN需要专用策略配置文件（例如，使用不同的VLAN），请首先在SSID > Policy Profiles和Add中创建它。本示例使用现有的default-policy-profile。
2. 选择SSID > Policy Tags，然后单击Add。
3. 在Create Policy Tag中，输入名称PDC-LAB-PT。
4. 在WLAN Profile - Policy Profile Mapping中，单击Add，选择WLAN配置文件PDC-LAB和策略配置文件，然后保存映射。
5. 单击Review and Provision，并按照步骤5中的说明完成部署。

步骤7.克隆现有RF配置文件

克隆会重新使用控制器的现有对象作为起点。

1. 选择RF > RF Profiles，选择现有配置文件（例如，Low_Client_Density_rf_5gh），然后选择Actions > Clone。
2. 在General中，输入RF Profile Name PDC-LAB-5GHZ，然后根据需要调整802.11、RRM、802.11ax、Advanced和802.11be部分中的参数。
3. 单击Review and Provision，并按照步骤5中的说明完成部署。

步骤8.为接入点分配标记

1. 在设备详细信息窗口的标题中，单击Manage APs。操作接入点表显示每个AP的策略标记、站点标记、RF标记和标记源。下表显示上次控制器重新同步后的网络状态。

2. 选择AP并单击Edit AP Configuration Set。
3. 选择Policy Tag（例如，PDC-LAB-PT）、Site Tag和RF Tag。
4. 单击Review and Provision，并按照步骤5中的说明完成部署。

步骤9.删除配置对象

Per-Device Configuration还会使用相同的预览和部署流程从控制器中删除对象。本示例删除WLAN PDC-LAB:

1. 选择SSID > WLAN Profiles，选择PDC-LAB，然后选择操作>删除。
2. 确认警告确实要删除选定的WLAN配置文件吗？使用Yes。
3. 按照步骤5所述完成部署。YANG负载对WLAN条目使用delete操作，生成的CLI为：

no wlan PDC-LAB 50 PDC-LAB

验证

使用本部分可确认配置能否正常运行。

在Catalyst Center上

• 调配任务在活动>任务（映像8）中显示成功。
• 在控制器的Configuration选项卡中，会列出新对象。在本示例中，SSID > WLAN Profiles列出了PDC-LAB，其WLAN ID为50，如映像14所示。WLAN尚未映射到策略标记，因此其策略标记计数为0。

• 在管理AP中，操作接入点表显示分配给每个AP的标记（图11）。

在Catalyst 9800上

您可以在控制器CLI或设备详细信息窗口标题中的Run commands（命令运行程序）运行这些命令。

• show running-config |部分wlan PDC-LAB — 显示Catalyst Center推送的WLAN配置。
• show wlan summary — 列出控制器上配置的WLAN及其状态。
• show wireless tag policy detailed PDC-LAB-PT — 显示策略标记的WLAN到策略配置文件的映射。
• show ap tag summary — 显示每个AP的策略、站点和RF标记以及标记的来源。
• show logging | include DMI-5-AUTH_PASSED|NDBMAN-5-CONFIG_I — 显示Catalyst Center进行的NETCONF会话和配置更改。
• show wireless client summary — 列出关联的客户端及其状态。

以下是部署后控制器上的WLAN配置：

WLC# show running-config | section wlan PDC-LAB
wlan PDC-LAB 50 PDC-LAB
 radio policy dot11 24ghz
 radio policy dot11 5ghz
  slot 0
  slot 1
  slot 2
 security wpa psk set-key ascii 8 xxxxxxxx
 no security wpa akm dot1x
 security wpa akm psk

控制器日志显示Catalyst Center(10.X.X.X)打开了NETCONF会话并配置了无线功能：

WLC# show logging | include DMI-5-AUTH_PASSED|NDBMAN-5-CONFIG_I
Oct 27 21:22:58.653: %DMI-5-AUTH_PASSED: Chassis 1 R0/0: dmiauthd: User 'USERX'
 authenticated successfully from 192.168.10.10:62453  for netconf over ssh.
 External groups: PRIV15
Oct 27 21:24:13.977: %NDBMAN-5-CONFIG_I: Chassis 1 R0/0: ndbmand: Configured
 feature 'wireless' from 192.168.10.10:62453 via NETCONF user dnac
 session 5311, transaction-id 5924

%NDBMAN-5-CONFIG_I消息显示已配置的功能、Catalyst Center地址和NETCONF用户名。

在AP使用策略标记后，将客户端连接到PDC-LAB，并使用show wireless client summary确认客户端达到运行状态。

带外更改

Catalyst Center会检测在Catalyst Center外部所做的更改，例如从控制器CLI或Web界面所做的更改。如Per-device configuration标签旁边的警告图标所解释（映像15），这些更改将在下次资产同步时导入，并且可能导致冲突。要保持配置的一致性，请使用Catalyst Center进行所有支持的配置。

图15.有关在Catalyst Center外部进行的配置的警告

从版本3.1.3中，配置更改事件仅重新同步控制器。要刷新AP数据，请使用操作>资产>重新同步设备运行完全重新同步。

故障排除

本部分提供的信息可用于对配置进行故障排除。

未显示Enable Per-Device Configuration选项

• 确认Catalyst Center运行版本2.3.7.9或更高版本。
• 确认控制器是采用Cisco IOS XE 17.12版或更高版本的Catalyst 9800系列控制器。
• 确认在资产中控制器为Managed和Reachable。根据需要重新同步它。
• SD接入（交换矩阵）无线不支持每设备配置。

在只读模式下打开每设备配置

当控制器已经使用基于意图的（网络配置文件）调配进行调配时，这是预期结果。两个型号不能组合在同一控制器上。在设备详细信息窗口的Configuration选项卡中，显示标签Managed via Site-Based Network Profiles，其信息图标显示：此设备使用基于站点的网络配置文件进行管理。所有配置都处于只读模式。只能通过网络配置文件进行更改。

图16.由基于站点的网络配置文件以只读模式管理的控制器

调配任务失败

1. 在活动>任务中打开失败的任务，然后查看错误详细信息。
2. 重新同步控制器并重试。
3. 在控制器上，验证NETCONF:

• show platform software yang-management process — 所有进程都必须显示Running。
• show netconf-yang sessions — 列出活动的NETCONF会话，包括来自Catalyst Center的会话。

4. 确认Catalyst Center中的NETCONF(TCP 830)和Secure Shell(SSH)凭证有效，并且防火墙不会阻止Catalyst Center和控制器之间的连接。

对控制器所做的更改不会显示在Catalyst Center中

使用Actions > Inventory > Resync Device重新同步控制器。从版本3.1.3开始，配置更改事件仅重新同步控制器，而不重新同步其AP，因此需要完全重新同步才能刷新AP数据。

修订历史记录

版本	发布日期	备注
1.0	29-Oct-2026	初始版本