Şube AP, DMZ denetleyicisi, ortada güvenlik duvarı
- Servisler ve kablosuz
- İleri
- 15 dk
- 2 adım
- Cisco IOS-XE-style
Gerçek CAPWAP dağıtımları, WLC'yi şube AP'leri ile denetleyici arasında bir güvenlik duvarı bulunan kurumsal bir DMZ'ye yerleştirir. Bugün AP1, UDP/5246'yı engelleyen bir varsayılan olarak reddet güvenlik duvarının (FW) arkasında bulunuyor — AP, DHCP kiralama + seçenek-138 cezasını alıyor, ancak katılım anlaşması hiçbir zaman tamamlanmıyor. AP1'nin phase: discovered'den phase: joined'ye geçiş yapması için güvenlik duvarı ACL'sini düzeltin ve ardından pcap'ta doğrulayın.
Ücretsiz · kurulum yok · hesap yok
Senaryo
CAPWAP kontrol düzlemi (UDP/5246), AP ile denetleyicisi arasındaki keşfetme/birleştirme anlaşmasını taşır. Tipik bir kurumsal dağıtımda: - Şube sitelerindeki AP'ler yerel DHCP sunucusundan IP adreslerini + seçenek-138'i (denetleyici IP'si) alır. - WLC'ler, şube alt ağlarından gelen trafiği filtreleyen kurumsal bir güvenlik duvarının arkasında, Genel Merkez'deki bir DMZ'de bulunur. - AP birleştirme + istemci trafiğinin akışı için güvenlik duvarı, UDP/5246 (kontrol) ve UDP/5247'ye (veri düzlemi kapsam dahilinde olduğunda veriler) izin vermelidir. Slice G bunu gerçeğe dönüştürüyor: AP, kiralama tamamlandığında gerçek bir CAPWAP birleştirme isteği UDP/5246 çerçevesi yayar. Güvenlik duvarı ACL'si bunu bırakırsa istek hiçbir zaman denetleyiciye ulaşmaz; AP süresiz olarak phase: discovered'de kalır; pcap bırakılan girişimi gösterir. Doğrulama akışı: 1. AP1 üzerinde show capwap client summary → phase'yi bildirir. Gidiş-dönüş başarılı olunca katıldı; Yol boyunca engellendiğinde discovered. 2. WLC1 üzerindeki show capwap ap summary → AP'nin denetleyici tarafından birleştirilmesini bildirir. El sıkışma hiç tamamlanmadığında boş. 3. PCAP dışa aktarımı → bırakılanlar da dahil olmak üzere kablodaki her CAPWAP çerçevesini yakalar. messageType: 'join-request' ile capwap-control UDP verisini arayın.
Topoloji
2 × router, 1 × kablosuz denetleyici, 1 × switch, 1 × erişim noktası · Cisco IOS-XE-style
BR_RTR— routerFW— routerWLC1— kablosuz denetleyiciHUB— switchAP1— erişim noktası
Yapacakların
Kırık durumu onaylayın. AP1'nin
show capwap client summary'siphase: discovered'yi (katılmamış) bildirmelidir. DHCP kiralama + seçenek-138 işe yaradı ancak CAPWAP kontrol paketi kesildi.Güvenlik duvarını düzeltin: Denk-UDP-5246 kuralını bir izinle değiştirin. Yakınsama sonrasında AP1,
phase: joined'ye geçiş yapmalıdır.
Bu konudaki diğer lablar
- DHCP sunucusu yapılandırBaşlangıç · 12 dk
- WLAN — temel bir SSID yayınlayınBaşlangıç · 10 dk
- HSRP: first-hop yedekliliği yapılandırOrta · 12 dk
- NAT: bir iç LAN için PAT (overload)Orta · 14 dk
- HSRP — öncelik azaltmalı arayüz takibiOrta · 12 dk
- VRF-Lite — tek yönlendiricide iki müşteriOrta · 12 dk
Bu lab diğer dillerde
Branch AP, DMZ controller, firewall in the middleZweig-AP, DMZ-Controller, Firewall in der MitteAP de sucursal, controlador DMZ, firewall en el medioFilial AP, controlador DMZ, firewall no meioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल分支AP、DMZ控制器、中间防火墙AP della filiale, controller DMZ, firewall al centroブランチ AP、DMZ コントローラー、中間のファイアウォールBranch AP, DMZ 컨트롤러, 방화벽이 중간에 위치Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.Nhánh AP, bộ điều khiển DMZ, tường lửa ở giữa