AP della filiale, controller DMZ, firewall al centro
- Servizi e wireless
- Avanzato
- 15 min
- 2 passi
- Cisco IOS-XE-style
Le distribuzioni CAPWAP reali collocano il WLC in una DMZ aziendale con un firewall tra gli AP delle filiali e il controller. Oggi AP1 si trova dietro un firewall Deny-by-default (FW) che blocca UDP/5246: l'AP rileva il suo lease DHCP + opzione-138, ma l'handshake di unione non viene mai completato. Correggi l'ACL del firewall in modo che AP1 passi da phase: discovered a phase: joined, quindi verifica in pcap.
Apri questo laboratorio nel browser →
Gratis · senza installazione · senza account
Scenario
Il piano di controllo CAPWAP (UDP/5246) trasporta l'handshake di rilevamento/unione tra un AP e il relativo controller. In una tipica distribuzione aziendale: - Gli AP presso le filiali ottengono indirizzi IP + opzione-138 (IP del controller) dal server DHCP locale. - I WLC si trovano in una DMZ presso la sede centrale, dietro un firewall aziendale che filtra il traffico dalle sottoreti delle filiali. - Il firewall deve consentire UDP/5246 (controllo) e UDP/5247 (dati, quando il piano dati rientra nell'ambito) per il flusso del traffico AP join + client. Slice G rende tutto questo reale: l'AP emette un vero frame UDP/5246 di richiesta di join CAPWAP al completamento del lease. Se l'ACL del firewall la elimina, la richiesta non raggiunge mai il controller; l'AP rimane in phase: discovered indefinitamente; pcap mostra il tentativo abbandonato. Flusso di verifica: 1. show capwap client summary su AP1 → riporta phase. Si è unito quando il viaggio di andata e ritorno ha avuto successo; discovered quando bloccato lungo il percorso. 2. show capwap ap summary su WLC1 → segnala l'unione dell'AP dal lato controller. Vuoto quando la stretta di mano non è mai stata completata. 3. Esportazione PCAP → cattura ogni frame CAPWAP sul cavo, incluso quello eliminato. Cerca il payload UDP capwap-control con messageType: 'join-request'.
Topologia
2 × router, 1 × controller wireless, 1 × switch, 1 × access point · Cisco IOS-XE-style
BR_RTR— routerFW— routerWLC1— controller wirelessHUB— switchAP1— access point
Cosa farai
Conferma lo stato rotto. AP1 di AP1 dovrebbe riportare
phase: discovered(non unito). Il lease DHCP + l'opzione-138 hanno funzionato, ma il pacchetto di controllo CAPWAP è stato eliminato.Correggi il firewall: sostituisci la regola Denis-UDP-5246 con un permesso. Dopo la convergenza, AP1 dovrebbe passare a
phase: joined.
Apri questo laboratorio nel browser →
Altri laboratori su questo tema
- Configura un server DHCPPrincipiante · 12 min
- WLAN: trasmette un SSID di basePrincipiante · 10 min
- HSRP: configurare la ridondanza del first-hopIntermedio · 12 min
- NAT: PAT (overload) per una LAN internaIntermedio · 14 min
- HSRP — tracking di interfaccia con decremento di prioritàIntermedio · 12 min
- VRF-Lite — due clienti su un solo routerIntermedio · 12 min
Questo laboratorio in altre lingue
Branch AP, DMZ controller, firewall in the middleZweig-AP, DMZ-Controller, Firewall in der MitteAP de sucursal, controlador DMZ, firewall en el medioFilial AP, controlador DMZ, firewall no meioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल分支AP、DMZ控制器、中间防火墙ブランチ AP、DMZ コントローラー、中間のファイアウォールBranch AP, DMZ 컨트롤러, 방화벽이 중간에 위치Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.Şube AP, DMZ denetleyicisi, ortada güvenlik duvarıNhánh AP, bộ điều khiển DMZ, tường lửa ở giữa