Catalyst 9800控制器的升級和降級：提示與訣竅

簡介

本文說明升級或降級Catalyst 9800無線LAN控制器(WLC)時須注意的事項。

繼續之前

本文檔並不旨在替換升級時必須始終是指導文檔的發行說明。其目標是通過突出顯示不同版本之間最具影響的更改，來推動多個版本的升級。

本文不會取代閱讀目標軟體版本的版本說明。在繼續升級之前，請備份您的配置並採取所有必要的預防措施。

預設情況下，9800的HTTP伺服器不會靜態對映到特定的證書/信任點，這可能會導致升級後發生更改。在升級之前，將HTTP伺服器設定為配置中的靜態信任點（最好是為此目的頒發的證書，否則設定為MIC證書）。

工程特殊版本特例

工程特殊版本不支援從這些版本進行ISSU升級。本文檔僅側重於發佈到Cisco.com的公開版本，因此，如果您使用的是工程特殊版本，請參閱您隨其收到的版本說明，以便您的所有升級問題都能獲得支援。

升級

可以直接閱讀目標軟體版本下的說明。為方便起見，每次都會重複多個版本中適用的提示。不要一次升級三個以上的版本。例如，本文檔中介紹了從16.12.1升級到17.3.2的過程，但不介紹從16.12到17.4的升級。在這種情況下，導航到17.3並檢視17.3部分下的說明，執行升級，然後檢視17.4部分並準備第二次升級。總而言之，在三個主要版本後，所列的提示不會再重複，即使仍然有效，因為檔案假設您要處理中間主要版本。

直布羅陀

16.12.2

• 從Cisco IOS® XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。

• 對於AP名稱，不要使用超過31個字元。如果AP名稱等於或超過32個字元，則可能導致控制器崩潰。

• 請勿將OVA檔案直接部署到VMware ESXi 6.5。建議您使用OVF工具部署OVA檔案。

16.12.3

• 16.12.3是第一個強制僅支援文檔中支援的SFP的版本。未列出的SFP導致埠關閉情況。請驗證支援的SFP清單並確保您的SFP相容，以避免資料埠在升級後關閉。
• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。

• 對於AP名稱，不要使用超過31個字元。如果AP名稱等於或超過32個字元，則可能導致控制器崩潰。

• 不要將OVA檔案直接部署到VMware ESXi 6.5。建議使用OVF工具部署OVA檔案。

16.12.4

• 16.12.3和17.2.1是第一個強制僅支援文檔中列出的受支援的SFP的版本。未列出的SFP導致埠關閉情況。驗證支援的SFP清單並確保您的SFP相容，以避免資料埠在升級後發生故障。
• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。

• 對於AP名稱，不要使用超過31個字元。如果AP名稱等於或超過32個字元，則可能導致控制器崩潰。

• 不要將OVA檔案直接部署到VMware ESXi 6.5。建議使用OVF工具部署OVA檔案。

16.12.5、16.12.6a和16.12.7

與16.12.4版本相同。

阿姆斯特丹

17.1.1

• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。
• 在此版本中，引入了新的網關可達性檢查。AP定期向預設網關傳送ICMP回應請求(ping)，以檢查連線。您必須確保AP和預設網關（如ACL）之間的流量過濾，以允許AP和預設網關之間的ICMP ping。如果這些ping被阻止，即使控制器和AP之間的連線處於活動狀態，AP也會以4小時的時間間隔重新載入。

17.2.1

• 16.12.3和17.2.1是第一個強制僅支援文檔中列出的受支援的SFP的版本。未列出的SFP導致埠關閉情況。驗證支援的SFP清單並確保您的SFP相容，以避免資料埠在升級後發生故障。
• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則可能會因為預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。
• 17.1之後，引入了新的網關可達性檢查。AP定期向預設網關傳送ICMP回應請求(ping)，以檢查連線。您必須確保AP和預設網關（如ACL）之間的流量過濾，以允許AP和預設網關之間的ICMP ping。如果這些ping被阻止，即使控制器和AP之間的連線處於活動狀態，AP也會以4小時的時間間隔重新載入。

17.3.1

• 16.12.3和17.2.1是第一批版本，用於強制僅支援文檔中所支援的SFP。未列出的SFP導致埠關閉情況。驗證支援的SFP清單並確保您的SFP相容，以避免資料埠在升級後發生故障。
• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。
• 從17.1開始，引入了新的網關可達性檢查。AP定期向預設網關傳送ICMP回應請求(ping)，以檢查連線。您必須確保AP和預設網關（如ACL）之間的流量過濾，以允許AP和預設網關之間的ICMP ping。如果這些ping被阻止，即使控制器和AP之間的連線處於活動狀態，AP也會以4小時的時間間隔重新載入。
• 如果您已設定FIPS模式，請確保先從任何WLAN移除組態security wpa wpa1 cipher tkip，然後再從較低版本升級Cisco IOS XE Amsterdam 17.3.x。無法完成，因此將WLAN安全性設定為TKIP，在FIPS模式下不支援該設定。升級後，您必須使用AES重新設定WLAN。
• 從Cisco IOS XE Amsterdam 17.3.1開始，Cisco Catalyst 9800-CL無線控制器需要16 GB的磁碟空間用於新部署。只能通過重新安裝17.3映像來增加磁碟空間大小。
• 從Cisco IOS XE Amsterdam 17.3.1開始，AP名稱最多只能包含32個字元。
• 對於（客戶端或AP的）本地MAC地址身份驗證，從aaaabbbbcccc17.3.1開始，僅支援格式（無分隔符）。這意味著，如果您在Web UI或CLI中新增帶有分隔符的MAC地址，身份驗證將失敗。
• 自此版本起，如果AP無法加入WLC、無法ping通其網關和ARP其網關（AP重新啟動時，所有三個協定都必須失敗），則AP會在4小時後重新載入。 此增強功能(思科錯誤ID CSCvt8970)針對先前版本僅用於ICMP的閘道驗證。
• 從17.3.1開始，為接入點配置國家/地區代碼的新方法是Wireless country <1 country code>：您可以使用不同的國家/地區代碼重複多次命令。這樣可以將國家/地區代碼的最大數量增加超過20。這些命令仍然存在，並且仍然可用ap country Wireless country，但是，請考慮將其更改為命令，因為這些命令在將來版本中已棄用ap country。

17.3.2

• 16.12.3和17.2.1是第一個強制僅支援文檔中列出的受支援的SFP的版本。未列出的SFP導致埠關閉情況。驗證支援的SFP清單並確保您的SFP相容，以避免資料埠在升級後發生故障。
• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。
• 從17.1開始，引入了新的網關可達性檢查。AP定期向預設網關傳送ICMP回應請求(ping)，以檢查連線。您必須確保AP和預設網關（如ACL）之間的流量過濾，以允許AP和預設網關之間的ICMP ping。如果這些ping被阻止，即使控制器和AP之間的連線處於活動狀態，AP也會以4小時的時間間隔重新載入。
• 如果您已設定FIPS模式，請確保先從任何WLAN移除組態security wpa wpa1 cipher tkip，然後再從較低版本升級Cisco IOS XE Amsterdam 17.3.x。無法完成，因此將WLAN安全性設定為TKIP，在FIPS模式下不支援該設定。升級後，您必須使用AES重新設定WLAN。
• 從Cisco IOS XE Amsterdam 17.3.1開始，Cisco Catalyst 9800-CL無線控制器需要16 GB的磁碟空間用於新部署。只能通過重新安裝17.3映像來增加磁碟空間大小。
• 從Cisco IOS XE Amsterdam 17.3.1開始，AP名稱最多只能包含32個字元。
• 對於（客戶端或AP的）本地MAC地址身份驗證，從aaaabbbbcccc17.3.1開始，僅支援格式（無分隔符）。這意味著，如果您在Web UI或CLI中新增帶有分隔符的MAC地址，身份驗證將失敗。
• 從17.3.1開始，如果AP無法加入WLC、無法ping通其網關和ARP其網關（AP重新啟動時，所有三個協定都必須失敗），則AP會在4小時後重新載入。 這是對早期版本中早期的僅ICMP網關驗證的增強功能(思科錯誤ID CSCvt8970)。
• 從17.3.1開始，為接入點配置國家/地區代碼的新方法是Wireless country <1 country code>：您可以使用不同的國家/地區代碼重複多次命令。ap country 這樣可將國家/地區代碼的最大數量增加至20個以上。這些命令仍然存在且正在運行，但是，請考慮將其更改為Wireless country，因為在將來版本中不再使用ap country這些命令。

17.3.3

• 16.12.3和17.2.1是第一個強制僅支援文檔中列出的受支援的SFP的版本。未列出的SFP導致埠關閉情況。驗證支援的SFP清單並確保您的SFP相容，以避免資料埠在升級後發生故障。
• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。
• 17.1之後，引入了新的網關可達性檢查。AP定期向預設網關傳送ICMP回應請求(ping)，以檢查連線。您必須確保AP和預設網關（如ACL）之間的流量過濾，以允許AP和預設網關之間的ICMP ping。如果這些ping被阻止，即使控制器和AP之間的連線處於活動狀態，AP也會以4小時的時間間隔重新載入。
• 如果您已設定FIPS模式，請確保先從任何WLAN移除組態security wpa wpa1 cipher tkip，然後再從較低版本升級Cisco IOS XE Amsterdam 17.3.x。無法完成，因此將WLAN安全性設定為TKIP，在FIPS模式下不支援該設定。升級後，您必須使用AES重新設定WLAN。
• 從Cisco IOS XE Amsterdam 17.3.1開始，Cisco Catalyst 9800-CL無線控制器需要16 GB的磁碟空間用於新部署。只能通過重新安裝17.3映像來增加磁碟空間大小。
• 從Cisco IOS XE Amsterdam 17.3.1開始，AP名稱最多只能包含32個字元。
• 對於（客戶端或AP的）本地MAC地址身份驗證，從aaaabbbbcccc17.3.1開始，僅支援格式（無分隔符）。這意味著，如果您在Web UI或CLI中新增帶有分隔符的MAC地址，身份驗證將失敗。
• 從17.3.1開始，如果AP無法加入WLC、無法ping通其網關和ARP其網關（AP重新啟動時，所有三個協定都必須失敗），則AP會在4小時後重新載入。 這是舊版僅用於ICMP網關驗證的增強功能(思科錯誤ID CSCvt8970)。
• 從17.3.1開始，為接入點配置國家/地區代碼的新方法是Wireless country <1 country code>：您可以使用不同的國家/地區代碼重複多次命令。這樣可以將國家/地區代碼的最大數量增加超過20。這些命令仍然存在，並且仍在工作ap country，但是，請考慮將其更改為Wireless country，因為這些命令在將來版本中已棄用ap country。
• 如果存取點的主機名超過32個字元(思科錯誤ID CSCvy11981),WLC可能會崩潰。

17.3.4

• 16.12.3和17.2.1是第一批版本，用於強制僅支援文檔中所支援的SFP。未列出的SFP導致埠關閉情況。驗證支援的SFP清單並確保您的SFP相容，以避免資料埠在升級後發生故障。
• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。
• 從17.1開始，引入了新的網關可達性檢查。AP定期向預設網關傳送ICMP回應請求(ping)以檢查連線。您必須確保AP和預設網關（如ACL）之間的流量過濾，以允許AP和預設網關之間的ICMP ping。如果這些ping被阻止，即使控制器和AP之間的連線處於活動狀態，AP也會以4小時的時間間隔重新載入。
• 如果您已設定FIPS模式，請確保先從任何WLAN移除組態security wpa wpa1 cipher tkip，然後再從較低版本升級Cisco IOS XE Amsterdam 17.3.x。無法完成，因此將WLAN安全性設定為TKIP，在FIPS模式下不支援該設定。升級後，您必須使用AES重新設定WLAN。
• 從Cisco IOS XE Amsterdam 17.3.1開始，Cisco Catalyst 9800-CL無線控制器需要16 GB的磁碟空間用於新部署。只能通過重新安裝17.3映像來增加磁碟空間大小。
• 從Cisco IOS XE Amsterdam 17.3.1開始，AP名稱最多只能包含32個字元。
• 對於（客戶端或AP的）本地MAC地址身份驗證，從aaaabbbbcccc17.3.1開始，僅支援格式（無分隔符）。這意味著，如果您在Web UI或CLI中新增帶有分隔符的MAC地址，身份驗證將失敗。
• 從17.3.1開始，如果APsl無法加入WLC、無法ping通其網關和ARP其網關（AP重新啟動時，所有三個網關都必須失敗），則APsl會在4小時後重新載入。 這是對先前版本中僅ICMP網關驗證的增強功能(思科錯誤ID CSCvt8970)。
• 從17.3.1開始，為接入點配置國家/地區代碼的新方法是Wireless country <1 country code>：您可以重複使用不同國家/地區代碼數次的命令。這樣可以將國家/地區代碼的最大數量增加超過20。這些命令仍然存在，並且仍在工作ap country，但是，請考慮將其更改為Wireless country，因為這些命令計畫在將來版本中棄用ap country。
• 升級到17.3.4及更高版本時，建議酌情在控制器(9800-80)上安裝16.12.5r開機載入器/rommon。（目前9800-40沒有rommon 16.12.5r，因此不需要rommon升級。）
• 控制器從Cisco IOS XE Bengaluru 17.3.x升級到任何使用ISSU的版本時，如果 snmp-server enable traps hsrp命令已配置。在開始ISSU升級之前snmp-server enable traps hsrp，請確保從配置中刪除該命令，因為此命令已從Cisco IOS XE Bengaluru 17.4.x中刪除snmp-server enable traps hsrp。

• 升級到Cisco IOS XE 17.3.x和更新版本時，如果啟用ip http active-session-modules none命令，則無法使用HTTPS存取控制器GUI。若要使用HTTPS存取GUI，請執行以下命令：

  • ip http session-module-list pkilist OPENRESTY_PKI

  • ip http active-session-modules pkilist

17.3.5

• 由於Cisco錯誤ID CSCwb13784，如果路徑MTU低於1500位元組，AP可能無法加入。下載可用於17.3.5的SMU補丁以解決此問題。
• 16.12.3和17.2.1是第一批版本，用於強制僅支援文檔中所支援的SFP。未列出的SFP導致埠關閉情況。驗證支援的SFP清單並確保您的SFP相容，以避免資料埠在升級後發生故障。
• 如果在16.12.1版本中，此版本的升級檔案對於HTTP上傳（執行Web UI升級時）來說可能太大。使用另一種傳輸方法或通過16.12.2繼續操作，它支援通過Web UI上傳較大的檔案。
• 從Cisco IOS XE直布羅陀16.12.2s中，預設策略標籤下的預設策略配置檔案的自動WLAN對映已被刪除。如果要從低於Cisco IOS XE直布羅陀版16.12.2s的版本升級，且您的無線網路使用預設策略標籤，則由於預設對映更改而關閉。為了恢復網路操作，請在預設策略標籤下將所需的WLAN新增到策略對映。
• 17.1之後，引入了新的網關可達性檢查。AP定期向預設網關傳送ICMP回應請求(ping)，以檢查連線。您必須確保AP和預設網關（如ACL）之間的流量過濾，以允許AP和預設網關之間的ICMP ping。如果這些ping被阻止，即使控制器和AP之間的連線處於活動狀態，AP也會以4小時的時間間隔重新載入。
• 如果您已設定FIPS模式，請確保先從任何WLAN移除組態security wpa wpa1 cipher tkip，然後再從較低版本升級Cisco IOS XE Amsterdam 17.3.x。無法完成，因此將WLAN安全性設定為TKIP，在FIPS模式下不支援該設定。升級後，您必須使用AES重新設定WLAN。
• 從Cisco IOS XE Amsterdam 17.3.1開始，Cisco Catalyst 9800-CL無線控制器需要16 GB的磁碟空間用於新部署。只能通過重新安裝17.3映像來增加磁碟空間大小。
• 從Cisco IOS XE Amsterdam 17.3.1開始，AP名稱最多只能包含32個字元。
• 對於（客戶端或AP的）本地MAC地址身份驗證，從aaaabbbbcccc17.3.1開始，僅支援格式（無分隔符）。這意味著，如果您在Web UI或CLI中新增帶有分隔符的MAC地址，身份驗證將失敗。
• 從17.3.1開始，如果APsl無法加入WLC、無法ping通其網關和ARP其網關（AP重新啟動時，所有三個網關都必須失敗），則APsl會在4小時後重新載入。 這是對早期版本中早期的僅ICMP網關驗證的增強功能(思科錯誤ID CSCvt8970)。
• 從17.3.1開始，為接入點配置國家/地區代碼的新方法是Wireless country <1 country code>：您可以重複使用不同國家/地區代碼數次的命令。這樣可以將國家/地區代碼的最大數量增加超過20。這些命令仍然存在，並且仍在工作ap country，但是，請考慮將其更改為Wireless country，因為這些命令計畫在將來版本中棄用ap country。
• 升級到17.3.4及更高版本時，建議酌情在控制器(9800-80)上安裝16.12.5r開機載入器/rommon。（目前9800-40沒有rommon 16.12.5r，因此不需要rommon升級。）
• 控制器從Cisco IOS XE Bengaluru 17.3.x升級到任何使用ISSU的版本時，如果 snmp-server enable traps hsrp命令已配置。在開始ISSU升級之前snmp-server enable traps hsrp，請確保從配置中刪除該命令，因為此命令已從Cisco IOS XE Bengaluru 17.4.x中刪除snmp-server enable traps hsrp。

• 升級到Cisco IOS XE 17.3.x和更新版本時，如果啟用ip http active-session-modules none命令，則無法使用HTTPS存取控制器GUI。若要使用HTTPS存取GUI，請執行以下命令：

  • ip http session-module-list pkilist OPENRESTY_PKI

  • ip http active-session-modules pkilist

班加羅魯

17.4.1

• 自17.4.1起，除IW3700外，不再支援基於Cisco IOS的第1波AP(1700、2700、3700、1570)。
• 如果您的WLAN是非WPA（訪客、開放或CWA SSID）並且配置了自適應FT，則可以在升級後將其關閉。解決方案是在升級前刪除自適應FT配置(思科錯誤ID CSCvx34349)。 自適應FT配置對非WPA SSID沒有意義，因此刪除它不會丟失任何內容。
• 如果存取點的主機名超過32個字元(思科錯誤ID CSCvy11981),WLC可能會崩潰。

17.5.1

• 自17.4.1起，除IW3700外，不再支援基於Cisco IOS的第1波AP(1700、2700、3700、1570)。
• 從Cisco IOS XE班加羅爾版本17.4.1開始，遙測解決方案為接收器地址提供名稱，而不是遙測資料的IP地址。這是另一個選項。在控制器降級和後續升級期間，使用新命名接收器的升級版本可能會出現問題，降級中不會識別這些接收器。在後續升級中，新配置被拒絕並失敗。從Cisco DNA Center執行升級或降級時，可避免配置丟失。
• 如果您的WLAN是非WPA（訪客、開放或CWA SSID）並且配置了自適應FT，則可以在升級後將其關閉。解決方案是在升級前刪除自適應FT配置(思科錯誤ID CSCvx34349)。 自適應FT配置對非WPA SSID沒有意義，因此刪除它不會丟失任何內容。
• 如果存取點的主機名超過32個字元(思科錯誤ID CSCvy11981),WLC可能會崩潰。
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。

• 升級到Cisco IOS XE 17.3.x和更新版本時，如果啟用了ip http active-session-modules none命令，則無法使用HTTPS訪問GUI。若要使用HTTPS存取GUI，請執行以下命令：

  • ip http session-module-list pkilist OPENRESTY_PKI

  • ip http active-session-modules pkilist

• 如果重新啟動或系統崩潰後從GUI中遇到「ERR_SSL_VERSION_OR_CIPHER_MISMATCH」錯誤，建議您重新生成信任點證書。
• 生成新的自簽名信任點的過程如下所示：

configure terminal
no crypto pki trustpoint 
no ip http server
no ip http secure-server
ip http server
ip http secure-server
ip http authentication 
! use local or aaa as applicable.

17.6.1

• 自17.4.1起，除IW3700外，不再支援基於Cisco IOS的第1波AP(1700、2700、3700、1570)。
• 從Cisco IOS XE班加羅爾版本17.4.1開始，遙測解決方案為接收器地址提供名稱，而不是遙測資料的IP地址。這是另一個選項。在控制器降級和後續升級期間，使用新命名接收器的升級版本可能會出現問題，降級中不會識別這些接收器。在後續升級中，新配置被拒絕並失敗。從Cisco DNA Center執行升級或降級時，可避免配置丟失。
• 如果您的WLAN是非WPA（訪客、開放或CWA SSID）並且配置了自適應FT，則可以在升級後將其關閉。解決方案是在升級前刪除自適應FT配置(思科錯誤ID CSCvx34349)。 自適應FT配置對非WPA SSID沒有意義，因此刪除它不會丟失任何內容。
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。
• 加入17.6.1或更新版本的WLC的AP無法再加入AireOS WLC，除非它運行8.10.162及更高版本，或8.5.176.2及更高版本8.5代碼。
• 升級到17.6、1及更高版本時，建議在適用的控制器(9800-80)上安裝16.12.5r bootloader/rommon。（9800-40目前沒有rommon 16.12.5r，不需要rommon升級。）
• 控制器從Cisco IOS XE Bengaluru 17.3.x升級到任何使用ISSU的版本時，如果 snmp-server enable traps hsrp命令已配置。在開始ISSU升級之前snmp-server enable traps hsrp，請確保從配置中刪除該命令，因為此命令已從Cisco IOS XE Bengaluru 17.4.x中刪除snmp-server enable traps hsrp。

• 升級至Cisco IOS XE 17.3.x和更新版本時，如果啟用了ip http active-session-modules none命令，對控制器GUI的HTTPS存取將無法運作。若要使用HTTPS存取GUI，請執行以下命令：

  • ip http session-module-list pkilist OPENRESTY_PKI

  • ip http active-session-modules pkilist

• 如果重新啟動或系統崩潰後從GUI中遇到「ERR_SSL_VERSION_OR_CIPHER_MISMATCH」錯誤，建議您重新生成信任點證書。
• 生成新的自簽名信任點的過程如下所示：

configure terminal
no crypto pki trustpoint 
no ip http server
no ip http securffwe-server
ip http server
ip http secure-server
ip http authentication 
! use local or aaa as applicable.

17.6.2

• 自17.4.1起，除IW3700外，不再支援基於Cisco IOS的第1波AP(1700、2700、3700、1570)。
• 從Cisco IOS XE班加羅爾版本17.4.1開始，遙測解決方案為接收器地址提供名稱，而不是遙測資料的IP地址。這是另一個選項。在控制器降級和後續升級期間，使用新命名接收器的升級版本可能會出現問題，降級中不會識別這些接收器。在後續升級中，新配置被拒絕並失敗。從Cisco DNA Center執行升級或降級時，可避免配置丟失。
• 如果您的WLAN是非WPA（訪客、開放或CWA SSID）並且配置了自適應FT，則可以在升級後將其關閉。解決方案是在升級前刪除自適應FT配置(思科錯誤ID CSCvx34349)。 自適應FT配置對非WPA SSID沒有意義，因此刪除它不會丟失任何內容。
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。
• 加入17.6.1或更新版本的WLC的AP無法再加入AireOS WLC，除非它運行8.10.162及更高版本，或8.5.176.2及更高版本8.5代碼。
• 升級到17.6、1及更高版本時，建議酌情在控制器(9800-80)上安裝16.12.5r開機載入器/rommon。（9800-40目前沒有rommon 16.12.5r，因此不需要rommon升級。）
• 控制器從Cisco IOS XE Bengaluru 17.3.x升級到任何使用ISSU的版本時，如果 snmp-server enable traps hsrp命令已配置。在開始ISSU升級之前snmp-server enable traps hsrp，請確保從配置中刪除該命令，因為此命令已從Cisco IOS XE Bengaluru 17.4.x中刪除snmp-server enable traps hsrp。

• 升級到Cisco IOS XE 17.3.x和更新版本時，如果啟用了ip http active-session-modules none命令，則HTTPS控制器GUI訪問不起作用。若要使用HTTPS存取GUI，請執行以下命令：

  • ip http session-module-list pkilist OPENRESTY_PKI

  • ip http active-session-modules pkilist

• 對於AP名稱，不要使用超過31個字元。如果AP名稱等於或大於32個字元，則可能會發生控制器崩潰。

• 如果重新啟動或系統崩潰後從GUI中遇到「ERR_SSL_VERSION_OR_CIPHER_MISMATCH」錯誤，建議您重新生成信任點證書。

• 生成新的自簽名信任點的過程如下所示：

configure terminal
no crypto pki trustpoint 
no ip http server
no ip http secure-server
ip http server
ip http secure-server
ip http authentication 
! use local or aaa as applicable.

庫比蒂諾

本節假設您從17.6.1或更高版本開始並升級到Cupertino版本。如果您直接從較早的版本（可能受支援）進行升級，請檢視版本說明以便確定，請閱讀17.3和17.6部分說明。

17.7.1

• 對於AP名稱，不要使用超過31個字元。如果AP名稱等於或大於32個字元，則可能會發生控制器崩潰。
• 17.7.1要求在AP加入配置檔案中配置AP國家/地區代碼。
• 由於Cisco錯誤ID CSCvu2286，如果您有9130或9124 AP，則從17.3.4之前的版本升級到17.7.1或更高版本時，必須經歷17.3.5a。
• 從Cisco IOS XE Cupertino 17.7.1開始，對於Cisco Catalyst 9800-CL無線控制器，請確保您完成資源利用率測量(RUM)報告，並確保至少在產品例項上提供一次ACK。這是為了確保思科智慧軟體管理員(CSSM)中反映出正確和最新的使用資訊。 如果未能完成此任務，則最多有50個AP能夠加入9800-CL，直到許可證報告被確認。
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。

17.8.1

• 對於AP名稱，不要使用超過31個字元。如果AP名稱等於或大於32個字元，則可能會發生控制器崩潰。
• 17.7.1要求在AP加入配置檔案中配置AP國家/地區代碼。
• 由於思科錯誤ID CSCvu2286，如果您有9130或9124 AP，那麼從低於17.3.4的版本升級到17.7.1或更高版本時，必須經歷17.3.5a。
• 從Cisco IOS XE Cupertino 17.7.1開始，對於Cisco Catalyst 9800-CL無線控制器，請確保完成RUM報告並確保至少在產品例項上提供一次ACK。這是為了確保正確和最新的使用資訊反映在CSSM中。如果未能完成此任務，則最多有50個AP能夠加入9800-CL，直到許可證報告被確認。
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。

17.9.x

• 由於目錄中的空間不足，運行Cisco IOS-XE 17.9.3的AP在嘗試升級其軟體時可能會遇到問題/tmp。當AP上的空間已滿時/tmp，它將阻止下載新的AP映像。在這種情況下，建議您重新啟動AP。

• 通過WAN鏈路升級軟體時，11AC Wave 2 AP可能會進入引導環路。有關更多資訊，請參閱https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/220443-how-to-avoid-boot-loop-due-to-corrupted.html。

• 17.9.3及更高版本恢復了對基於Cisco IOS的接入點（x700系列和1570）的支援。 在17.4和17.9.2之間不支援這些無線接入點。對這些AP的支援不會超出正常的產品生命週期支援。請參閱Cisco.com上的各個支援終止公告。
• 如果設定了domain指令，控制器使用ISSU從Cisco IOS XE Bengaluru 17.3.x升級到Cisco IOS XE Bengaluru 17.6.x或Cisco IOS XE Cupertino 17.9.x及更高版本，可能會失敗。在開始ISSU升級之前，請確保運行no domain命令，因為domain命令已從Cisco IOS XE Bengaluru 17.6.x中刪除。
• 從Cisco IOS XE Cupertino 17.7.1開始，對於Cisco Catalyst 9800-CL無線控制器，請確保完成RUM報告並確保至少在產品例項上提供一次ACK。這是為了確保正確和最新的使用資訊反映在CSSM中。如果未能完成此任務，則最多有50個AP能夠加入9800-CL，直到許可證報告被確認。
• Gi0(OOB)介面中的無線客戶端生成的RADIUS資料包不支援分段小於1500。
• 17.3以後，9800-CL需要16 GB的磁碟空間才能正常工作。如果WLC例項以8 GB OVA啟動（從17.3之前），則不能動態增加大小。 唯一的方法是從日期晚於17.3的OVA建立新的WLC。
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。
• Cisco Catalyst 9800-L無線控制器在啟動期間可能無法響應在其控制檯埠上收到的break訊號，從而阻止使用者訪問rommon。在製造至2019年11月的控制器上觀察到此問題，預設配置暫存器設定為0x2102。如果將配置暫存器設定為0x2002，就可以避免此問題。此問題已在Cisco Catalyst 9800-L無線控制器的16.12(3r)rommon中修復。有關如何升級rommon的資訊，請參閱為Cisco Catalyst 9800系列無線控制器升級現場可程式設計硬體裝置Upgrading rommon for Cisco Catalyst 9800-L Wireless Controllers文檔的部分。

• 如果重新啟動或系統崩潰後顯示此錯誤消息，建議您重新生成信任點證書：

   ERR_SSL_VERSION_OR_CIPHER_MISMATCH

  按指定的順序使用這些命令可生成新的自簽名信任點證書：

  1. device# configure terminal

  2. device(config)# no crypto pki trustpoint trustpoint_name

  3. device(config)# no ip http server

  4. device(config)# no ip http secure-server

  5. device(config)# ip http server

  6. device(config)# ip http secure-server

  7. device(config)# ip http authentication local/aaa

• 使用命令驗證您的移動MAC地址已設wireless mobility mac-address置。
• 現在透過17.9中的服務連線埠支援這些通訊協定：

  • Cisco DNA 中心

  • 思科智慧軟體管理員

  • Cisco Prime Infrastructure

  • Telnet

  • 控制器GUI

  • DNS

  • 檔案傳輸

  • GNMI

  • HTTP

  • HTTPS

  • LDAP

  • 智慧許可功能的許可，以便與CSSM通訊

  • Netconf

  • Netflow

  • NTP

  • RADIUS（包括CoA）

  • Restconf

  • SNMP

  • SSH

  • 系統日誌

  • TACACS+

• 17.9的AP映像大於最初允許的AP快閃記憶體。如果您看到AP抱怨在下載17.9映像時沒有足夠的空間，這可能是因為您未遵守版本說明中建議的17.3.5升級路徑，或者您的AP運行的是較舊的AireOS映像。通過17.3.5或更高版本的WLC或將AireOS映像升級到最新大小會調整AP快閃記憶體的大小以允許下載17.9映像。

都柏林

17.10.1

• Cisco IOS XE都柏林17.10.x不建議使用Cisco集中金鑰管理(CCKM)功能。
• Smart Call Home已棄用，取而代之的是用於許可的Smart Transport。

• 由於目錄中的空間不足，運行Cisco IOS-XE 17.9.3或更高版本的AP在嘗試升級其軟體時可能會遇到問題/tmp。當AP上的空間已滿時/tmp，它將阻止下載新的AP映像。在這種情況下，建議您重新啟動AP。

  通過WAN鏈路升級軟體時，Wave 2 AP可能會進入引導環路。有關更多資訊，請參閱https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/220443-how-to-avoid-boot-loop-due-to-corrupted.html。

• 從Cisco IOS XE Cupertino 17.7.1開始，對於Cisco Catalyst 9800-CL無線控制器，請確保完成RUM報告並確保至少在產品例項上提供一次ACK。這是為了確保正確和最新的使用資訊反映在CSSM中。如果未能完成此任務，則最多有50個AP能夠加入9800-CL，直到許可證報告被確認。
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。
• Gi0(OOB)介面中的無線客戶端生成的RADIUS資料包不支援分段小於1500。
• 17.3以後，9800-CL需要16 GB的磁碟空間才能正常工作。如果WLC例項以8 GB OVA啟動（從17.3之前），則不能動態增加大小。 唯一的方法是從日期晚於17.3的OVA建立新的WLC。
• Cisco Catalyst 9800-L無線控制器在啟動期間可能無法響應在其控制檯埠上接收到的BREAK訊號，從而阻止使用者訪問rommon。在製造至2019年11月的控制器上觀察到此問題，預設配置暫存器設定為0x2102。如果將配置暫存器設定為0x2002，則可避免此問題。此問題已在Cisco Catalyst 9800-L無線控制器的16.12(3r)rommon中解決。有關如何升級rommon的資訊，請參閱升級Cisco Catalyst 9800系列無線控制器的現場可程式設計硬體裝置文檔的升級Cisco Catalyst 9800-L無線控制器的rommon部分。

• 如果重新啟動或系統崩潰後顯示此錯誤消息，建議您重新生成信任點證書：

   ERR_SSL_VERSION_OR_CIPHER_MISMATCH

  按指定的順序使用這些命令可生成新的自簽名信任點證書：

  1. device# configure terminal

  2. device(config)# no crypto pki trustpoint trustpoint_name

  3. device(config)# no ip http server

  4. device(config)# no ip http secure-server

  5. device(config)# ip http server

  6. device(config)# ip http secure-server

  7. device(config)# ip http authentication local/aaa

• 使用命令驗證您的移動MAC地址已設wireless mobility mac-address置。
• 現在透過17.9中的服務連線埠支援這些通訊協定：

  • Cisco DNA 中心

  • 思科智慧軟體管理員

  • Cisco Prime Infrastructure

  • Telnet

  • 控制器GUI

  • DNS

  • 檔案傳輸

  • GNMI

  • HTTP

  • HTTPS

  • LDAP

  • 智慧許可功能的許可，以便與CSSM通訊

  • Netconf

  • Netflow

  • NTP

  • RADIUS（包括CoA）

  • Restconf

  • SNMP

  • SSH

  • 系統日誌

  • TACACS+

• 17.9的AP映像大於最初允許的AP快閃記憶體。如果您看到AP抱怨在下載17.9映像時沒有足夠的空間，這可能是因為您未遵守版本說明中建議的17.3.5升級路徑，或者您的AP運行的是較舊的AireOS映像。通過17.3.5及更高版本的WLC傳輸或將AireOS映像升級為最新大小會調整AP快閃記憶體的大小以允許下載17.9映像。

17.11.1

• Cisco IOS XE都柏林17.10.x不建議使用CCKM功能。
• 不再支援Smart Call Home以支援Smart Transport進行許可
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。

• 由於目錄中的空間不足，運行Cisco IOS-XE 17.9.3或更高版本的AP在嘗試升級其軟體時可能會遇到問題/tmp。當AP上的空間已滿時/tmp，它將阻止下載新的AP映像。在這種情況下，建議您重新啟動AP。

  通過WAN鏈路升級軟體時，Wave 2 AP可能會進入引導環路。有關更多資訊，請參閱https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/220443-how-to-avoid-boot-loop-due-to-corrupted.html。

• 從Cisco IOS XE Cupertino 17.7.1開始，對於Cisco Catalyst 9800-CL無線控制器，請確保完成RUM報告，並確保產品例項上至少提供一次ACK。這是為了確保正確和最新的使用資訊反映在CSSM中。如果未能完成此任務，則最多有50個AP能夠加入9800-CL，直到許可證報告被確認。
• Gi0(OOB)介面中的無線客戶端生成的RADIUS資料包不支援分段小於1500。
• 17.3以後，9800-CL需要16 GB的磁碟空間才能正常工作。如果WLC例項以8 GB OVA啟動（從17.3之前），則不能動態增加大小。 唯一的方法是從日期晚於17.3的OVA建立新的WLC。
• Cisco Catalyst 9800-L無線控制器在啟動期間可能無法響應在其控制檯埠上收到的break訊號，從而阻止使用者訪問rommon。在製造至2019年11月的控制器上觀察到此問題，預設配置暫存器設定為0x2102。如果將配置暫存器設定為0x2002，就可以避免此問題。此問題已在Cisco Catalyst 9800-L無線控制器的16.12(3r)rommon中修復。有關如何升級rommon的資訊，請參閱升級Cisco Catalyst 9800系列無線控制器的現場可程式設計硬體裝置文檔的升級Cisco Catalyst 9800-L無線控制器的rommon部分。

• 如果重新啟動或系統崩潰後顯示此錯誤消息，建議您重新生成信任點證書：
  
  

   ERR_SSL_VERSION_OR_CIPHER_MISMATCH

  
  按指定的順序使用這些命令可生成新的自簽名信任點證書：

  1. device# configure terminal

  2. device(config)# no crypto pki trustpoint trustpoint_name

  3. device(config)# no ip http server

  4. device(config)# no ip http secure-server

  5. device(config)# ip http server

  6. device(config)# ip http secure-server

  7. device(config)# ip http authentication local/aaa

• 使用命令驗證您的移動MAC地址已設wireless mobility mac-address置。
• 現在透過17.9中的服務連線埠支援這些通訊協定：

  • Cisco DNA 中心

  • 思科智慧軟體管理員

  • Cisco Prime Infrastructure

  • Telnet

  • 控制器GUI

  • DNS

  • 檔案傳輸

  • GNMI

  • HTTP

  • HTTPS

  • LDAP

  • 智慧許可功能的許可，以便與CSSM通訊

  • Netconf

  • Netflow

  • NTP

  • RADIUS（包括CoA）

  • Restconf

  • SNMP

  • SSH

  • 系統日誌

  • TACACS+

• 17.9的AP映像大於最初允許的AP快閃記憶體。如果您看到AP抱怨在下載17.9映像時沒有足夠的空間，這可能是因為您未遵守版本說明中建議的17.3.5升級路徑，或者您的AP運行的是較舊的AireOS映像。通過17.3.5及更高版本的WLC傳輸或將AireOS映像升級為最新大小會調整AP快閃記憶體的大小以允許下載17.9映像。

17.12.1

• Cisco IOS XE都柏林17.10.x不建議使用CCKM功能。
• Smart Call Home已棄用，取而代之的是用於許可的Smart Transport。
• 將GUI從原來的版本升級為另一個版本時，建議您清除瀏覽器快取，以便所有GUI頁面正確重新載入。

• 由於目錄中的空間不足，運行Cisco IOS-XE 17.9.3或更高版本的AP在嘗試升級其軟體時可能會遇到問題/tmp。當AP上的空間已滿時/tmp，它將阻止下載新的AP映像。在這種情況下，建議您重新啟動AP。

  通過WAN鏈路升級軟體時，Wave 2 AP可能會進入引導環路。有關更多資訊，請參閱https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/220443-how-to-avoid-boot-loop-due-to-corrupted.html。

• 17.12.1及更高版本恢復了對基於Cisco IOS的接入點（x700系列和1570）的支援。 在17.4和17.9.2之間不支援這些無線接入點。對這些AP的支援不會超出正常的產品生命週期支援。請參閱Cisco.com上的各個支援終止公告。 
• 從Cisco IOS XE Cupertino 17.7.1開始，對於Cisco Catalyst 9800-CL無線控制器，請確保完成RUM報告並確保至少在產品例項上提供一次ACK。這是為了確保正確和最新的使用資訊反映在CSSM中。如果未能完成此任務，則最多有50個AP能夠加入9800-CL，直到許可證報告被確認。
• Gi0(OOB)介面中的無線客戶端生成的RADIUS資料包不支援分段小於1500。
• 17.3以後，9800-CL需要16 GB的磁碟空間才能正常工作。如果WLC例項以8 GB OVA啟動（從17.3之前），則不能動態增加大小。 唯一的方法是從日期晚於17.3的OVA建立新的WLC。
• Cisco Catalyst 9800-L無線控制器在啟動期間可能無法響應在其控制檯埠上收到的break訊號，從而阻止使用者訪問rommon。在製造至2019年11月的控制器上觀察到此問題，預設配置暫存器設定為0x2102。如果將配置暫存器設定為0x2002，就可以避免此問題。此問題已在Cisco Catalyst 9800-L無線控制器的16.12(3r)rommon中修復。有關如何升級rommon的資訊，請參閱升級Cisco Catalyst 9800系列無線控制器的現場可程式設計硬體裝置文檔的升級Cisco Catalyst 9800-L無線控制器的rommon部分。

• 如果重新啟動或系統崩潰後顯示此錯誤消息，建議您重新生成信任點證書：
  
  

   ERR_SSL_VERSION_OR_CIPHER_MISMATCH

  
  按指定的順序使用這些命令可生成新的自簽名信任點證書：

  1. device# configure terminal

  2. device(config)# no crypto pki trustpoint trustpoint_name

  3. device(config)# no ip http server

  4. device(config)# no ip http secure-server

  5. device(config)# ip http server

  6. device(config)# ip http secure-server

  7. device(config)# ip http authentication local/aaa

• 使用命令驗證您的移動MAC地址已設wireless mobility mac-address置。
• 現在透過17.9中的服務連線埠支援這些通訊協定：

  • Cisco DNA 中心

  • 思科智慧軟體管理員

  • Cisco Prime Infrastructure

  • Telnet

  • 控制器GUI

  • DNS

  • 檔案傳輸

  • GNMI

  • HTTP

  • HTTPS

  • LDAP

  • 智慧許可功能的許可，以便與CSSM通訊

  • Netconf

  • Netflow

  • NTP

  • RADIUS（包括CoA）

  • Restconf

  • SNMP

  • SSH

  • 系統日誌

  • TACACS+

• 17.9的AP映像大於最初允許的AP快閃記憶體。如果您看到AP抱怨在下載17.9映像時沒有足夠的空間，這可能是因為您未遵守版本說明中建議的17.3.5升級路徑，或者您的AP運行的是較舊的AireOS映像。通過17.3.5及更高版本的WLC傳輸或將AireOS映像升級為最新大小會調整AP快閃記憶體的大小以允許下載17.9映像。
• 一旦AP升級到17.12或更高版本，其控制檯波特率不會立即更改。但是，如果出廠重置（或者如果出廠時有一個新的AP加入17.12或更高版本的WLC），則預設情況下它會使用115200控制檯波特率。

降級

降級不受正式支援，可能會發生新功能配置丟失。但是，由於降級可能發生在現實世界中，因此本文檔仍然列出最常見的陷阱以避免降級。若要尋找您所需的資訊，請檢查您正在降級的版本（降級前的版本）。

直布羅陀

16.12.2

• 這裡沒什麼可指的。

16.12.3

• 當Cisco Catalyst 9800無線控制器從17.x降級到16.12.4a時，觀察到連續重新載入。建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。

16.12.4

• 如果從此版本降級為較低版本，如果由於思科錯誤ID CSCvt6990/思科錯誤ID CSCvv87417而設定了遙測，則WLC可能會進入開機回圈。
• 如果從17.x降級到16.12.4a，Cisco Catalyst 9800無線控制器可以重新載入。為了避免此問題，建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。

阿姆斯特丹

17.1.1

• 如果您從此版本降級為較低版本，如果由於思科錯誤ID CSCvt6990/CSCvv8741而設定了遙測功能，則WLC可能最終進入開機回圈。
• 當Cisco Catalyst 9800無線控制器從17.x降級到16.12.4a時，觀察到連續重新載入。建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。

17.2.1

• 如果您從此版本降級為較低版本，如果由於思科錯誤ID CSCvt6990/思科錯誤ID CSCvv87417而設定了遙測功能，則WLC可能會進入開機回圈。
• 如果從Cisco IOS XE Amsterdam 17.3.1降級為更早版本，則配置範圍高於四個的埠通道會消失。
• 當Cisco Catalyst 9800無線控制器從17.x降級到16.12.4a時，觀察到連續重新載入。建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。

17.3.1

• 如果您從此版本降級為較低版本，如果由於思科錯誤ID CSCvt69990而設定了遙測，則WLC可能會進入開機回圈

  /CSCvv8741。

• 如果從Cisco IOS XE Amsterdam 17.3.1降級為更早版本，則配置更高範圍的埠通道會消失。
• 如果從Cisco IOS XE Amsterdam 17.3.1降級到更早版本，如果您將「wireless country」命令配置為在17.3之前不存在，則可以再次面對「day-0」嚮導。
• 當Cisco Catalyst 9800無線控制器從17.x降級到16.12.4a時，觀察到連續重新載入。建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。
• 從Cisco IOS XE Amsterdam 17.3.x（支援本地交換IPv6 AVC）降級到Cisco IOS XE直布羅陀版16.12.x（不支援本地交換IPv6 AVC）時，無法關閉WLAN策略配置檔案。 在這種情況下，建議您刪除現有的WLAN策略配置檔案並建立一個新的WLAN策略配置檔案。

17.3.2

• 如果您從此版本降級為較低版本，如果由於思科錯誤ID CSCvt6990/思科錯誤ID CSCvv87417而設定了遙測功能，則WLC最終會進入開機回圈。
• 如果從Cisco IOS XE Amsterdam 17.3.1降級為更早版本，則配置更高範圍的埠通道會消失。
• 如果從Cisco IOS XE Amsterdam 17.3.1降級到更早版本，如果您將「wireless country」命令配置為在17.3之前不存在，則可以再次面對「day-0」嚮導。
• 當Cisco Catalyst 9800無線控制器從17.x降級到16.12.4a時，觀察到連續重新載入。建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。
• 從Cisco IOS XE Amsterdam 17.3.x（支援本地交換IPv6 AVC）降級到Cisco IOS XE直布羅陀版16.12.x（不支援本地交換IPv6 AVC）時，無法關閉WLAN策略配置檔案。 在這種情況下，建議您刪除現有的WLAN策略配置檔案並建立一個新的WLAN策略配置檔案。

17.3.3

• 如果您從此版本降級為較低版本，如果由於思科錯誤ID CSCvt6990/思科錯誤ID CSCvv87417而設定了遙測功能，則WLC可能會進入開機回圈。
• 如果從Cisco IOS XE Amsterdam 17.3.1降級為更早版本，則配置更高範圍的埠通道會消失。
• 如果從Cisco IOS XE Amsterdam 17.3.1降級到更早版本，如果您將「wireless country」命令配置為在17.3之前不存在，則可以再次面對「day-0」嚮導。
• 當Cisco Catalyst 9800無線控制器從17.x降級到16.12.4a時，觀察到連續重新載入。建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。
• 從Cisco IOS XE Amsterdam 17.3.x（支援本地交換IPv6 AVC）降級到Cisco IOS XE直布羅陀版16.12.x（不支援本地交換IPv6 AVC）時，無法關閉WLAN策略配置檔案。 在這種情況下，建議您刪除現有的WLAN策略配置檔案並建立一個新的WLAN策略配置檔案。

17.4.1

• 如果從Cisco IOS XE Amsterdam 17.4.1降級到17.3之前的版本，如果您將「wireless country」命令配置為在17.3之前不存在，則可以再次面對「day-0」嚮導。
• 如果從Cisco IOS XE Amsterdam 17.4.1降級到早期版本，您將丟失遙測連線，因為17.4使用早期版本不支援的命名遙測目的地。您必須重新建立遙測連線。
• 當Cisco Catalyst 9800無線控制器從17.x降級到16.12.4a時，觀察到連續重新載入。建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。

17.5.1

• 如果從Cisco IOS XE Amsterdam 17.4.1降級到17.3之前的版本，如果您將「wireless country」命令配置為在17.3之前不存在，則可以再次面對「day-0」嚮導。
• 如果從Cisco IOS XE Amsterdam 17.4.1降級到早期版本，您將丟失遙測連線，因為17.4使用早期版本不支援的命名遙測目的地。您必須重新建立遙測連線。
• 當Cisco Catalyst 9800無線控制器從17.x降級到16.12.4a時，觀察到連續重新載入。建議您降級到Cisco IOS XE直布羅陀版16.12.5而不是16.12.4a。

17.9.x

• 在此版本中，您無法看到明文形式的802.1x密碼，因為這些密碼已加密。如果降級到不支援加密密碼的早期映像，AP會由於憑據錯誤而停滯並反複失敗dot1x身份驗證。設定明文密碼之前，您必須在AP交換器連線埠上停用802.1x，才能允許AP加入控制器。

17.10.1

• 在此版本中，您無法看到明文形式的802.1x密碼，因為這些密碼已加密。如果降級到不支援加密密碼的早期映像，AP會由於憑據錯誤而停滯並反複失敗dot1x身份驗證。設定明文密碼之前，您必須在AP交換器連線埠上停用802.1x，才能允許AP加入控制器。

17.11.1

• 在此版本中，您無法看到明文形式的802.1x密碼，因為這些密碼已加密。如果降級到不支援加密密碼的早期映像，AP會由於憑據錯誤而停滯並反複失敗dot1x身份驗證。設定明文密碼之前，您必須在AP交換器連線埠上停用802.1x，才能允許AP加入控制器。

17.12.x

• 在此版本中，您無法看到明文形式的802.1x密碼，因為這些密碼已加密。如果降級到不支援加密密碼的早期映像，AP會由於憑據錯誤而停滯並反複失敗dot1x身份驗證。設定明文密碼之前，您必須在AP交換器連線埠上停用802.1x，才能允許AP加入控制器。

相關資訊

• 17.1熱修補和滾動AP升級指南
• 17.3熱修補和ISSU升級指南。
• 思科技術支援與下載