네트워크 실습 문서 시뮬레이터 열기 →

Branch AP, DMZ 컨트롤러, 방화벽이 중간에 위치

실제 CAPWAP 배포는 지점 AP와 컨트롤러 사이에 방화벽이 있는 기업 DMZ에 WLC를 배치합니다. 현재 AP1는 UDP/5246을 차단하는 기본 거부 방화벽(FW) 뒤에 있습니다. AP는 DHCP 임대 + 옵션-138 벌금을 선택하지만 조인 핸드셰이크는 완료되지 않습니다. AP1가 phase: discovered에서 phase: joined로 전환되도록 방화벽 ACL을 수정한 다음 pcap에서 확인합니다.

이 실습을 브라우저에서 열기 →

무료 · 설치 불필요 · 계정 불필요

시나리오

CAPWAP 제어 평면(UDP/5246)은 AP와 해당 컨트롤러 간의 검색/결합 핸드셰이크를 전달합니다. 일반적인 엔터프라이즈 배포에서는 다음을 수행합니다. - 지점 사이트의 AP는 로컬 DHCP 서버로부터 IP 주소 + 옵션-138(컨트롤러 IP)을 가져옵니다. - WLC는 지점 서브넷의 트래픽을 필터링하는 회사 방화벽 뒤의 본사 DMZ에 위치합니다. - 방화벽은 AP 조인 + 클라이언트 트래픽 흐름을 위해 UDP/5246(제어) 및 UDP/5247(데이터, 데이터 플레인이 범위 내에 있을 때)을 허용해야 합니다. 슬라이스 G는 이를 실현합니다. AP는 임대 완료 시 실제 CAPWAP 조인 요청 UDP/5246 프레임을 내보냅니다. 방화벽 ACL이 이를 삭제하면 요청이 컨트롤러에 도달하지 않습니다. AP는 phase: discovered에 무기한으로 유지됩니다. pcap은 삭제된 시도를 보여줍니다. 확인 흐름: 1. AP1의 show capwap client summary → phase를 보고합니다. 왕복이 성공했을 때 합류했습니다. 경로를 따라 차단된 경우 discovered. 2. WLC1의 show capwap ap summary → 컨트롤러 측에서 AP의 조인을 보고합니다. 핸드셰이크가 완료되지 않은 경우 비어 있습니다. 3. PCAP 내보내기 → 삭제된 프레임을 포함하여 회선의 모든 CAPWAP 프레임을 캡처합니다. messageType: 'join-request'가 포함된 capwap-control UDP 페이로드를 찾으세요.

토폴로지

2 × 라우터, 1 × 무선 컨트롤러, 1 × 스위치, 1 × 액세스 포인트 · Cisco IOS-XE-style

할 일

  1. 파손된 상태를 확인하세요. AP1의 show capwap client summary는 phase: discovered(결합되지 않음)를 보고해야 합니다. DHCP 임대 + 옵션-138이 작동했지만 CAPWAP 제어 패킷이 삭제되었습니다.

  2. 방화벽을 수정하세요. 거부-UDP-5246 규칙을 허용으로 바꾸세요. 수렴 후 AP1는 phase: joined로 전환되어야 합니다.

이 실습을 브라우저에서 열기 →

같은 주제의 다른 실습

이 실습의 다른 언어 버전

Branch AP, DMZ controller, firewall in the middleZweig-AP, DMZ-Controller, Firewall in der MitteAP de sucursal, controlador DMZ, firewall en el medioFilial AP, controlador DMZ, firewall no meioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल分支AP、DMZ控制器、中间防火墙AP della filiale, controller DMZ, firewall al centroブランチ AP、DMZ コントローラー、中間のファイアウォールТочка доступа филиала, контроллер DMZ, межсетевой экран посередине.Şube AP, DMZ denetleyicisi, ortada güvenlik duvarıNhánh AP, bộ điều khiển DMZ, tường lửa ở giữa