分支AP、DMZ控制器、中间防火墙
- 服务与无线
- 高级
- 15 分钟
- 2 个步骤
- Cisco IOS-XE-style
真正的 CAPWAP 部署将 WLC 放置在企业 DMZ 中，并在分支 AP 和控制器之间设置防火墙。如今，AP1 位于阻止 UDP/5246 的默认拒绝防火墙 (FW) 后面 — AP 正常接收其 DHCP 租约 + option-138，但加入握手从未完成。修复防火墙 ACL，以便 AP1 从 phase: discovered 转换为 phase: joined，然后在 pcap 中进行验证。
免费 · 无需安装 · 无需注册
场景
CAPWAP 控制平面 (UDP/5246) 承载 AP 与其控制器之间的发现/加入握手。在典型的企业部署中： - 分支站点的 AP 从本地 DHCP 服务器获取 IP 地址 + option-138（控制器 IP）。 - WLC 位于总部的 DMZ，位于过滤来自分支子网流量的公司防火墙后面。 - 防火墙必须允许 UDP/5246（控制）和 UDP/5247（数据，当数据平面在范围内时）AP 加入 + 客户端流量流动。 Slice G 使这一点成为现实：AP 在租约完成时发出实际的 CAPWAP 加入请求 UDP/5246 帧。如果防火墙 ACL 丢弃它，则请求永远不会到达控制器； AP 无限期地停留在 phase: discovered； pcap 显示失败的尝试。 验证流程： 1. AP1 上的 show capwap client summary → 报告 phase。往返成功时加入； discovered 沿路径受阻时。 2. WLC1 上的 show capwap ap summary → 从控制器端报告 AP 的加入。当握手从未完成时为空。 3. PCAP 导出 → 捕获线路上的每个 CAPWAP 帧，包括丢弃的帧。查找带有 messageType: 'join-request' 的 capwap-control UDP 负载。
拓扑
2 × 路由器, 1 × 无线控制器, 1 × 交换机, 1 × 无线接入点 · Cisco IOS-XE-style
BR_RTR— 路由器FW— 路由器WLC1— 无线控制器HUB— 交换机AP1— 无线接入点
你将完成的任务
确认破损状态。 AP1 的
show capwap client summary应报告phase: discovered（未加入）。 DHCP 租约 + option-138 有效，但 CAPWAP 控制数据包被丢弃。修复防火墙：将拒绝 UDP-5246 规则替换为允许。收敛后，AP1 应转换为
phase: joined。
同主题的更多实验
- 配置 DHCP 服务器入门 · 12 分钟
- WLAN — 广播基本 SSID入门 · 10 分钟
- HSRP：配置首跳冗余中级 · 12 分钟
- NAT：为内网 LAN 配置 PAT（overload）中级 · 14 分钟
- HSRP — 接口跟踪与优先级递减中级 · 12 分钟
- VRF-Lite——同一台路由器承载两个客户中级 · 12 分钟
本实验的其他语言版本
Branch AP, DMZ controller, firewall in the middleZweig-AP, DMZ-Controller, Firewall in der MitteAP de sucursal, controlador DMZ, firewall en el medioFilial AP, controlador DMZ, firewall no meioBranche AP, contrôleur DMZ, pare-feu au milieuशाखा एपी, डीएमजेड नियंत्रक, बीच में फ़ायरवॉलAP della filiale, controller DMZ, firewall al centroブランチ AP、DMZ コントローラー、中間のファイアウォールBranch AP, DMZ 컨트롤러, 방화벽이 중간에 위치Точка доступа филиала, контроллер DMZ, межсетевой экран посередине.Şube AP, DMZ denetleyicisi, ortada güvenlik duvarıNhánh AP, bộ điều khiển DMZ, tường lửa ở giữa