Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.
- Сервисы и Wi-Fi
- Продвинутый
- 15 мин
- шагов: 2
- Cisco IOS-XE-style
Реальные развертывания CAPWAP размещают WLC в корпоративной DMZ с межсетевым экраном между точками доступа филиала и контроллером. Сегодня AP1 находится за брандмауэром, запрещающим по умолчанию (FW), который блокирует UDP/5246 — точка доступа прекрасно получает аренду DHCP + опцию-138, но рукопожатие присоединения никогда не завершается. Исправьте ACL брандмауэра, чтобы AP1 переходил от phase: discovered к phase: joined, затем проверьте в pcap.
Открыть эту лабораторную в браузере →
Бесплатно · без установки · без регистрации
Сценарий
Плоскость управления CAPWAP (UDP/5246) осуществляет подтверждение обнаружения/соединения между точкой доступа и ее контроллером. В типичном корпоративном развертывании: - Точки доступа на сайтах филиалов получают IP-адреса + опцию-138 (IP-адрес контроллера) от локального DHCP-сервера. - WLC расположены в DMZ в штаб-квартире, за корпоративным брандмауэром, который фильтрует трафик из подсетей филиалов. - Брандмауэр должен разрешать UDP/5246 (управление) и UDP/5247 (данные, когда плоскость данных находится в области действия) для прохождения трафика соединения AP и клиента. Секция G делает это реальным: точка доступа отправляет фактический кадр UDP/5246 запроса на присоединение к CAPWAP после завершения аренды. Если ACL брандмауэра отбрасывает его, запрос никогда не достигает контроллера; точка доступа остается в состоянии phase: discovered на неопределенный срок; pcap показывает неудачную попытку. Порядок проверки: 1. show capwap client summary на AP1 → сообщает phase. Присоединился, когда поездка туда и обратно прошла успешно; discovered при блокировке на пути. 2. show capwap ap summary на WLC1 → сообщает о присоединении точки доступа со стороны контроллера. Пустой, если рукопожатие не завершилось. 3. Экспорт в PCAP → захватывает каждый кадр CAPWAP в сети, включая пропущенный. Найдите полезную нагрузку UDP capwap-control с помощью messageType: 'join-request'.
Топология
2 × маршрутизатор, 1 × контроллер Wi-Fi, 1 × коммутатор, 1 × точка доступа · Cisco IOS-XE-style
BR_RTR— маршрутизаторFW— маршрутизаторWLC1— контроллер Wi-FiHUB— коммутаторAP1— точка доступа
Что предстоит сделать
Подтвердите неисправное состояние.
show capwap client summaryAP1 должен сообщать оphase: discovered(не присоединен). Аренда DHCP + опция-138 сработала, но пакет управления CAPWAP был отброшен.Исправьте брандмауэр: замените правило Deny-UDP-5246 на разрешение. После конвергенции AP1 должен перейти на
phase: joined.
Открыть эту лабораторную в браузере →
Другие лабораторные по теме
- Настрой DHCP-серверНачальный · 12 мин
- WLAN — трансляция базового SSIDНачальный · 10 мин
- HSRP: настройка резервирования первого хопаСредний · 12 мин
- NAT: PAT (overload) для внутреннего LANСредний · 14 мин
- HSRP — отслеживание интерфейса с уменьшением приоритетаСредний · 12 мин
- VRF-Lite — два клиента на одном маршрутизатореСредний · 12 мин
Эта лабораторная на других языках
Branch AP, DMZ controller, firewall in the middleZweig-AP, DMZ-Controller, Firewall in der MitteAP de sucursal, controlador DMZ, firewall en el medioFilial AP, controlador DMZ, firewall no meioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल分支AP、DMZ控制器、中间防火墙AP della filiale, controller DMZ, firewall al centroブランチ AP、DMZ コントローラー、中間のファイアウォールBranch AP, DMZ 컨트롤러, 방화벽이 중간에 위치Şube AP, DMZ denetleyicisi, ortada güvenlik duvarıNhánh AP, bộ điều khiển DMZ, tường lửa ở giữa