AP de sucursal, controlador DMZ, firewall en el medio
- Servicios e inalámbrico
- Avanzado
- 15 min
- 2 pasos
- Cisco IOS-XE-style
Las implementaciones reales de CAPWAP colocan el WLC en una DMZ corporativa con un firewall entre los AP de las sucursales y el controlador. Hoy en día, AP1 se encuentra detrás de un firewall (FW) de denegación por defecto que bloquea UDP/5246: el AP retoma su arrendamiento DHCP + multa de opción 138, pero el protocolo de enlace de unión nunca se completa. Repare la ACL del firewall para que AP1 pase de phase: discovered a phase: joined, luego verifique en pcap.
Abrir este laboratorio en el navegador →
Gratis · sin instalación · sin cuenta
Escenario
El plano de control CAPWAP (UDP/5246) transporta el protocolo de enlace de descubrimiento/unión entre un AP y su controlador. En una implementación empresarial típica: - Los AP en sitios de sucursales obtienen direcciones IP + opción-138 (IP del controlador) del servidor DHCP local. - Los WLC se ubican en una DMZ en la sede central, detrás de un firewall corporativo que filtra el tráfico de las subredes de las sucursales. - El firewall debe permitir UDP/5246 (control) y UDP/5247 (datos, cuando el plano de datos está dentro del alcance) para que fluya el tráfico de unión AP + cliente. El segmento G hace que esto sea real: el AP emite una trama UDP/5246 de solicitud de unión CAPWAP real al finalizar el arrendamiento. Si la ACL del firewall la elimina, la solicitud nunca llega al controlador; el AP permanece en phase: discovered indefinidamente; pcap muestra el intento abandonado. Flujo de verificación: 1. show capwap client summary en AP1 → informa phase. Se unió cuando el viaje de ida y vuelta tuvo éxito; discovered cuando está bloqueado en el camino. 2. show capwap ap summary en WLC1 → informa la unión del AP desde el lado del controlador. Vacío cuando el apretón de manos nunca se completó. 3. Exportación PCAP → captura cada cuadro CAPWAP en el cable, incluido el caído. Busque la carga útil UDP capwap-control con messageType: 'join-request'.
Topología
2 × router, 1 × controlador inalámbrico, 1 × switch, 1 × punto de acceso · Cisco IOS-XE-style
BR_RTR— routerFW— routerWLC1— controlador inalámbricoHUB— switchAP1— punto de acceso
Qué vas a hacer
Confirme el estado roto.
show capwap client summaryde AP1 debería informarphase: discovered(no unido). El arrendamiento DHCP + opción-138 funcionó, pero el paquete de control CAPWAP se eliminó.Arregle el firewall: reemplace la regla deny-UDP-5246 con un permiso. Después de la convergencia, AP1 debería pasar a
phase: joined.
Abrir este laboratorio en el navegador →
Más laboratorios de este tema
- Configurar un servidor DHCPPrincipiante · 12 min
- WLAN: transmite un SSID básicoPrincipiante · 10 min
- HSRP: configurar redundancia de primer saltoIntermedio · 12 min
- NAT: PAT (overload) para una LAN internaIntermedio · 14 min
- HSRP — seguimiento de interfaz con decremento de prioridadIntermedio · 12 min
- VRF-Lite — dos clientes en un solo routerIntermedio · 12 min
Este laboratorio en otros idiomas
Branch AP, DMZ controller, firewall in the middleZweig-AP, DMZ-Controller, Firewall in der MitteFilial AP, controlador DMZ, firewall no meioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल分支AP、DMZ控制器、中间防火墙AP della filiale, controller DMZ, firewall al centroブランチ AP、DMZ コントローラー、中間のファイアウォールBranch AP, DMZ 컨트롤러, 방화벽이 중간에 위치Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.Şube AP, DMZ denetleyicisi, ortada güvenlik duvarıNhánh AP, bộ điều khiển DMZ, tường lửa ở giữa