Laboratórios de redes Docs Abrir simulador →

Filial AP, controlador DMZ, firewall no meio

As implantações reais de CAPWAP colocam a WLC em uma DMZ corporativa com um firewall entre os APs da filial e o controlador. Hoje, o AP1 fica atrás de um firewall (FW) negado por padrão que bloqueia UDP/5246 – o AP recebe sua multa de concessão de DHCP + opção 138, mas o handshake de junção nunca é concluído. Corrija a ACL do firewall para que AP1 faça a transição de phase: discovered para phase: joined e, em seguida, verifique no pcap.

Abrir este laboratório no navegador →

Grátis · sem instalação · sem conta

Cenário

O plano de controle CAPWAP (UDP/5246) transporta o handshake de descoberta/junção entre um AP e seu controlador. Em uma implantação empresarial típica: - APs em filiais obtêm endereços IP + opção 138 (IP do controlador) do servidor DHCP local. - WLCs ficam em uma DMZ na sede, atrás de um firewall corporativo que filtra o tráfego de sub-redes de filiais. - O firewall deve permitir UDP/5246 (controle) e UDP/5247 (dados, quando o plano de dados estiver no escopo) para que o tráfego de junção de AP + cliente flua. O Slice G torna isso real: o AP emite um quadro UDP/5246 de solicitação de junção CAPWAP real na conclusão do arrendamento. Se a ACL do firewall a eliminar, a solicitação nunca chegará ao controlador; o AP permanece em phase: discovered indefinidamente; pcap mostra a tentativa descartada. Fluxo de verificação: 1. show capwap client summary em AP1 → relata phase. Ingressou quando a viagem de ida e volta foi bem-sucedida; discovered quando bloqueado ao longo do caminho. 2. show capwap ap summary em WLC1 → relata a junção do AP do lado do controlador. Vazio quando o handshake nunca foi concluído. 3. Exportação PCAP → captura todos os quadros CAPWAP na rede, incluindo o que foi descartado. Procure a carga útil UDP capwap-control com messageType: 'join-request'.

Topologia

2 × roteador, 1 × controlador wireless, 1 × switch, 1 × ponto de acesso · Cisco IOS-XE-style

O que você vai fazer

  1. Confirme o estado quebrado. O show capwap client summary de AP1 deve reportar phase: discovered (não unido). A concessão DHCP + opção 138 funcionou, mas o pacote de controle CAPWAP foi descartado.

  2. Corrija o firewall: substitua a regra deny-UDP-5246 por uma permissão. Após a convergência, AP1 deverá fazer a transição para phase: joined.

Abrir este laboratório no navegador →

Mais laboratórios deste tema

Este laboratório em outros idiomas

Branch AP, DMZ controller, firewall in the middleZweig-AP, DMZ-Controller, Firewall in der MitteAP de sucursal, controlador DMZ, firewall en el medioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल分支AP、DMZ控制器、中间防火墙AP della filiale, controller DMZ, firewall al centroブランチ AP、DMZ コントローラー、中間のファイアウォールBranch AP, DMZ 컨트롤러, 방화벽이 중간에 위치Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.Şube AP, DMZ denetleyicisi, ortada güvenlik duvarıNhánh AP, bộ điều khiển DMZ, tường lửa ở giữa