Zweig-AP, DMZ-Controller, Firewall in der Mitte
- Dienste & WLAN
- Experte
- 15 Min.
- 2 Schritte
- Cisco IOS-XE-style
Echte CAPWAP-Bereitstellungen platzieren den WLC in einer Unternehmens-DMZ mit einer Firewall zwischen Zweig-APs und dem Controller. Heute sitzt AP1 hinter einer Deny-by-Default-Firewall (FW), die UDP/5246 blockiert – der AP nimmt seine DHCP-Lease + Option 138 in Ordnung, aber der Join-Handshake wird nie abgeschlossen. Korrigieren Sie die Firewall-ACL, damit AP1 von phase: discovered zu phase: joined wechselt, und überprüfen Sie es dann in pcap.
Dieses Lab im Browser öffnen →
Kostenlos · ohne Installation · ohne Konto
Szenario
Die CAPWAP-Steuerungsebene (UDP/5246) übernimmt den Discovery/Join-Handshake zwischen einem AP und seinem Controller. In einer typischen Unternehmensbereitstellung: - APs an Zweigstellen erhalten IP-Adressen + Option 138 (Controller-IP) vom lokalen DHCP-Server. - WLCs befinden sich in einer DMZ in der Zentrale, hinter einer Unternehmens-Firewall, die den Datenverkehr aus Zweigstellen-Subnetzen filtert. - Die Firewall muss UDP/5246 (Steuerung) und UDP/5247 (Daten, wenn die Datenebene im Geltungsbereich liegt) zulassen, damit AP-Join- und Client-Datenverkehr fließen können. Slice G macht dies wahr: Der AP sendet bei Abschluss des Leasings einen tatsächlichen CAPWAP-Join-Request-UDP/5246-Frame aus. Wenn die Firewall-ACL sie verwirft, erreicht die Anfrage nie den Controller; der AP bleibt auf unbestimmte Zeit in phase: discovered; pcap zeigt den abgebrochenen Versuch an. Verifizierungsablauf: 1. show capwap client summary auf AP1 → meldet phase. Beigetreten, als die Hin- und Rückfahrt erfolgreich war; discovered, wenn entlang des Pfades blockiert. 2. show capwap ap summary auf WLC1 → meldet den Beitritt des APs von der Controller-Seite. Leer, wenn der Handshake nie abgeschlossen wurde. 3. PCAP-Export → erfasst jeden CAPWAP-Frame auf der Leitung, einschließlich des ausgelassenen. Suchen Sie nach der UDP-Nutzlast capwap-control mit messageType: 'join-request'.
Topologie
2 × Router, 1 × WLAN-Controller, 1 × Switch, 1 × Access Point · Cisco IOS-XE-style
BR_RTR— RouterFW— RouterWLC1— WLAN-ControllerHUB— SwitchAP1— Access Point
Das machst du
Bestätigen Sie den defekten Zustand.
show capwap client summaryvon AP1 solltephase: discovered(nicht verbunden) melden. Die DHCP-Lease + Option 138 funktionierte, aber das CAPWAP-Steuerpaket wurde verworfen.Korrigieren Sie die Firewall: Ersetzen Sie die Deny-UDP-5246-Regel durch eine Genehmigung. Nach der Konvergenz sollte AP1 zu
phase: joinedübergehen.
Dieses Lab im Browser öffnen →
Weitere Labs zu diesem Thema
- Einen DHCP-Server konfigurierenEinsteiger · 12 Min.
- WLAN – sendet eine Basis-SSIDEinsteiger · 10 Min.
- HSRP: First-Hop-Redundanz konfigurierenFortgeschritten · 12 Min.
- NAT: PAT (overload) für ein internes LANFortgeschritten · 14 Min.
- HSRP — Interface-Tracking mit Prioritäts-DecrementFortgeschritten · 12 Min.
- VRF-Lite — zwei Kunden auf einem RouterFortgeschritten · 12 Min.
Dieses Lab in anderen Sprachen
Branch AP, DMZ controller, firewall in the middleAP de sucursal, controlador DMZ, firewall en el medioFilial AP, controlador DMZ, firewall no meioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल分支AP、DMZ控制器、中间防火墙AP della filiale, controller DMZ, firewall al centroブランチ AP、DMZ コントローラー、中間のファイアウォールBranch AP, DMZ 컨트롤러, 방화벽이 중간에 위치Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.Şube AP, DMZ denetleyicisi, ortada güvenlik duvarıNhánh AP, bộ điều khiển DMZ, tường lửa ở giữa