Branche AP, contrôleur DMZ, pare-feu au milieu

Services et sans-fil
Avancé
15 min
2 étapes
Cisco IOS-XE-style

Les déploiements CAPWAP réels placent le WLC dans une DMZ d'entreprise avec un pare-feu entre les points d'accès des succursales et le contrôleur. Aujourd'hui, AP1 se trouve derrière un pare-feu (FW) de refus par défaut qui bloque UDP/5246 — le point d'accès récupère son bail DHCP + option 138, mais la prise de contact de jointure ne se termine jamais. Corrigez l'ACL du pare-feu pour que AP1 passe de phase: discovered à phase: joined, puis vérifiez dans pcap.

Ouvrir ce lab dans le navigateur →

Gratuit · sans installation · sans compte

Scénario

Le plan de contrôle CAPWAP (UDP/5246) effectue la poignée de main de découverte/rejoindre entre un point d'accès et son contrôleur. Dans un déploiement d'entreprise typique: - Les AP des succursales obtiennent les adresses IP + l'option 138 (IP du contrôleur) du serveur DHCP local. - Les WLC se trouvent dans une DMZ au siège, derrière un pare-feu d'entreprise qui filtre le trafic des sous-réseaux de succursale. - Le pare-feu doit autoriser UDP/5246 (contrôle) et UDP/5247 (données, lorsque le plan de données est dans la portée) pour que le trafic de jointure AP + client circule. La tranche G rend cela réel: l'AP émet une véritable trame UDP/5246 de demande de jointure CAPWAP à la fin du bail. Si l'ACL du pare-feu la supprime, la requête n'atteint jamais le contrôleur; l'AP reste indéfiniment dans phase: discovered; pcap montre la tentative abandonnée. Flux de vérification: 1. show capwap client summary sur AP1 → signale phase. Rejoint lorsque l'aller-retour a réussi; discovered lorsqu'il est bloqué le long du chemin. 2. show capwap ap summary sur WLC1 → signale la jointure du point d'accès du côté du contrôleur. Vide lorsque la poignée de main n'est jamais terminée. 3. Exportation PCAP → capture chaque image CAPWAP sur le fil, y compris celle déposée. Recherchez la charge utile UDP capwap-control avec messageType: 'join-request'.

Topologie

2 × routeur, 1 × contrôleur sans fil, 1 × switch, 1 × point d'accès · Cisco IOS-XE-style

BR_RTR — routeur
FW — routeur
WLC1 — contrôleur sans fil
HUB — switch
AP1 — point d'accès

Ce que tu vas faire

Confirmez l'état cassé. Le show capwap client summary de AP1 doit signaler phase: discovered (non joint). Le bail DHCP + l'option 138 a fonctionné, mais le paquet de contrôle CAPWAP a été abandonné.
Réparez le pare-feu: remplacez la règle deny-UDP-5246 par un permis. Après la convergence, AP1 devrait passer à phase: joined.

Ouvrir ce lab dans le navigateur →

Autres labs sur ce thème

Ce lab dans d'autres langues

Branch AP, DMZ controller, firewall in the middle Zweig-AP, DMZ-Controller, Firewall in der Mitte AP de sucursal, controlador DMZ, firewall en el medio Filial AP, controlador DMZ, firewall no meio शाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल 分支AP、DMZ控制器、中间防火墙 AP della filiale, controller DMZ, firewall al centro ブランチ AP、DMZ コントローラー、中間のファイアウォール Branch AP, DMZ 컨트롤러, 방화벽이 중간에 위치 Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.Şube AP, DMZ denetleyicisi, ortada güvenlik duvarı Nhánh AP, bộ điều khiển DMZ, tường lửa ở giữa