Bài lab mạng Tài liệu Mở trình mô phỏng →

Nhánh AP, bộ điều khiển DMZ, tường lửa ở giữa

Việc triển khai CAPWAP thực sự đặt WLC trong DMZ của công ty với tường lửa giữa các AP nhánh và bộ điều khiển. Ngày nay, AP1 nằm sau tường lửa từ chối theo mặc định (FW) chặn UDP/5246 — AP nhận được gói thuê DHCP + tùy chọn-138, nhưng quá trình bắt tay tham gia không bao giờ hoàn tất. Sửa tường lửa ACL để AP1 chuyển từ phase: discovered sang phase: joined, sau đó xác minh trong pcap.

Mở bài lab này trong trình duyệt →

Miễn phí · không cần cài đặt · không cần tài khoản

Tình huống

Mặt phẳng điều khiển CAPWAP (UDP/5246) thực hiện bắt tay khám phá/kết nối giữa AP và bộ điều khiển của nó. Trong triển khai doanh nghiệp điển hình: - AP tại các trang chi nhánh nhận địa chỉ IP + tùy chọn-138 (IP bộ điều khiển) từ máy chủ DHCP cục bộ. - WLC nằm trong DMZ tại trụ sở chính, phía sau tường lửa của công ty có chức năng lọc lưu lượng truy cập từ các mạng con chi nhánh. - Tường lửa phải cho phép UDP/5246 (điều khiển) và UDP/5247 (dữ liệu, khi mặt phẳng dữ liệu nằm trong phạm vi) để lưu lượng truy cập AP + máy khách được lưu chuyển. Slice G biến điều này thành hiện thực: AP phát ra khung UDP/5246 yêu cầu tham gia CAPWAP thực tế khi hoàn thành hợp đồng thuê. Nếu tường lửa ACL loại bỏ nó, yêu cầu sẽ không bao giờ đến được bộ điều khiển; AP ở lại phase: discovered vô thời hạn; pcap hiển thị lần thử bị bỏ. Luồng xác minh: 1. show capwap client summary trên AP1 → báo cáo phase. Tham gia khi chuyến đi khứ hồi thành công; discovered khi bị chặn dọc đường đi. 2. show capwap ap summary trên WLC1 → báo cáo sự tham gia của AP từ phía bộ điều khiển. Trống khi cái bắt tay không bao giờ hoàn thành. 3. Xuất PCAP → chụp mọi khung hình CAPWAP trên dây, bao gồm cả khung hình bị rơi. Tìm tải trọng UDP capwap-control với messageType: 'join-request'.

Sơ đồ mạng

2 × router, 1 × bộ điều khiển không dây, 1 × switch, 1 × điểm truy cập · Cisco IOS-XE-style

Bạn sẽ làm gì

  1. Xác nhận trạng thái bị hỏng. show capwap client summary của AP1 sẽ báo cáo phase: discovered (chưa tham gia). Hợp đồng thuê DHCP + tùy chọn-138 đã hoạt động nhưng gói điều khiển CAPWAP bị rớt.

  2. Sửa tường lửa: thay thế quy tắc từ chối-UDP-5246 bằng giấy phép. Sau khi hội tụ, AP1 sẽ chuyển sang phase: joined.

Mở bài lab này trong trình duyệt →

Các bài lab khác cùng chủ đề

Bài lab này bằng ngôn ngữ khác

Branch AP, DMZ controller, firewall in the middleZweig-AP, DMZ-Controller, Firewall in der MitteAP de sucursal, controlador DMZ, firewall en el medioFilial AP, controlador DMZ, firewall no meioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉल分支AP、DMZ控制器、中间防火墙AP della filiale, controller DMZ, firewall al centroブランチ AP、DMZ コントローラー、中間のファイアウォールBranch AP, DMZ 컨트롤러, 방화벽이 중간에 위치Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.Şube AP, DMZ denetleyicisi, ortada güvenlik duvarı