Contrôleur LAN sans-fil et Point d'accès léger

Présentation au sujet: "Contrôleur LAN sans-fil et Point d'accès léger"— Transcription de la présentation:

1 Contrôleur LAN sans-fil et Point d'accès léger
Configuration de base Contrôleur LAN sans-fil et Point d'accès léger ccnp_cch ccnp_cch

2 Sommaire • Introduction - Prérequis - Composants utilisés • Rappel
• Configuration - Schéma du réseau - Configuration du WLC pour le fonctionnement de base - Configurer le commutateur pour le WLC - Configurer le commutateur pour les APs • Vérification • Résolution de problèmes - Commandes - Le contrôleur n'interdit pas l'adresse IP de l'AP-Manager Résoudre le problème d'un point d'accès léger ne joignant pas le WLC ccnp_cch

3 Introduction Rappel ccnp_cch
Ce document fournit un exemple de configuration de base pour un point d'accès léger (LAP) qui est connecté à un contrôleur de réseau sans fil (WLC) à travers un commuta- teur Catalyst Cisc. Prérequis Assurez-vous d'avoir les prérequis suivants avant de tenter cette configuration:  Connaissance de base de la configuration des APs légers et des WLCs Cisco  Connaissance de base du protocole LWAPP  Connaissance de la configuration d'un serveur DHCP Windows 2000/2003 et d'un serveur DNS (Domain Name System)  Connaissance de base de la configuration des commutateurs Catalyst Cisco Composants utilisés Les informations présentées dans ce document sont basées sur les configurations lo- gicielles et matérielles suivantes:  AP léger Cisco Série Aironet 1232AG  Cisco 4402 Séries WLC qui opèrent avec le firmware  Serveur DHCP Windows 2003 Enterprise Cette configuration fonctionne avec tout autre WLC Cisco et tout autre AP léger. Rappel Pour que le WLC puisse administrer le LAP, le LAP doit découvrir le contrôleur et s'en- registrer avec le WLC. Il y a différentes méthodes qu'un LAP utilise pour découvrir le WLC. Pour des informations détaillées sur les différentes méthodes que les LAPs uti- lisent pour s'enregistrer sur les WLCs, référez-vous à "Enregistrement d'un AP Léger (LAP) sur un contrôleur de réseau sans fil (WLC). Ce document décrit les étapes de configuration nécessaires pour que le LAP s'enregis- tre sur le WLC et pour le fonctionnement de base du réseau sans-fil LWAPP. Configuration Pour enregistrer le LAP sur le WLC et pour le fonctionnement de base du réseau sans-fil LWAPP, exécutez ces étapes: Avoir un serveur DHCP opérationnel pour que le APs puissent obtenir une adresse réseau Note: L'option DHCP 43 est utilisée si les APs sont dans des réseaux différents Configurer le WLC pour un fonctionnement de base Configurer le commutateur pour connecter le WLC Configurer le commutateur pour connecter les APs 5. Enregistrer les APs légers sur le WLC ccnp_cch

4 Configurer le WLC pour un fonctionnement de base
Schéma du réseau VLAN /24 VLAN /24 Management AP Manager VLAN /24 Open Auth Interface Secure Auth Interface Contrôleur WLAN VLAN /24 Configurer le WLC pour un fonctionnement de base Quand le WLC démarre avec ses paramètres usine par défaut, le script de démarrage lance l'assistant de configuration qui demande à l'installateur les paramètres de con- figuration initiale. Cette procédure décrit comment utiliser l'assistant de configuration avec l'interface ligne de commande (CLI) pour entrer les paramètres de configuration initiale. Note: Assurez-vous de savoir configurer un serveur DHCP externe et/ou un DNS. Exécutez ces étapes pour configurer le WLC pour un fonctionnement de base Connectez votre ordinateur au WLC avec le câble console Ouvrez une session émulateur de terminal avec ces paramètres:  9600 bit/s  8 bits  1 bit stop  Pas de parité  Pas de contrôle de flux matériel 3. Au prompt logguez vous dans la CLI. Le nom d'utilisateur par défaut est admin, le mot de passe par défaut est cisco Si cela est nécessaire, entrez la commande reset system pour redémarrer l'unité et démarrer l'assistant Au premier prompt de l'assistant, entrez un nom de système. Le nom du système peut comprendre jusqu'à 32 caractères ASCII imprimables Entrez le nom d'utilisateur de l'administrateur et le mot de passe. Le nom d'utili sateur et le mot de passe peuvent comprendre jusqu'à 24 caractères ASCII impri mables Entrez le protocole de configuration IP de l'interface port de service, soit none soit DHCP Entrez none si vous ne voulez pas utiliser le port de service ou affecter une adresse IP statique au port de service. ccnp_cch

5 8. Si vous avez entré none à l'étape 7 et que vous avez besoin d'entrer l'adresse IP pour le port de service, entrez l'adresse IP de l'interface port de service et le masque de réseau aux deux prompts suivants Si vous ne voulez pas utiliser le port de service, entrez pour l'adresse IP et le masque Entrez ces valeurs pour les options:  Adresse IP de l'interface d'administration  Masque de réseau  Adresse IP du routeur par défaut  Identificateur de VLAN optionnel Vous pouvez utiliser un identificateur de VLAN valide ou la valeur 0 pour un VLAN non marqué Note: Quand l'interface d'administration du contrôleur est configurée comme fai sant partie du VLAN natif sur le port du commutateur auquel elle est connectée, le contrôleur ne doit pas marquer les trames. Par conséquent vous devez fixer le VLAN à 0 (sur le contrôleur) Entrez le numéro de port physique de l'interface réseau (Distribution System). Pour le WLC, les ports possibles vont de 1 à 4 pour le port Ethernet gigabit de la face avant. 11. Entrez l'adresse IP du serveur DHCP par défaut qui affecte des adresses IP aux clients, à l'interface d'administration et à l'interface port de service si vous en utili- sez une. 12. Entrez le mode de transport LWAPP, soit LAYER2 ou LAYER3. Note: Si vous configurez le WLC 4402 via l'assistant et que vous sélectionnez le mode de transport AP LAYER2, l'assistant ne demande pas les détails de l'AP Manager. 13. Entrez l'adresse IP virtuelle de la passerelle Cette adresse peut être fictive, une adresse non-affectée telle que , pour la sécurit de couche 3 et pour l'utilisation par les administrateurs de la mobilité Note: Usuellement l'adresse IP virtuelle de passerelle qui est utilisée est une adres se privée Entrez le nom du Cisco WLAN/Solution Mobility Group/RF Entrez le nom de réseau ou le SSID WLAN1 ou le nom de réseau. Cet identifieur est le SSID par défaut que les APs légers utilisent pour s'associer à un WLC. 16. Autorisez ou non les adresses IP statiques pour les clients Entrez yes pour que les clients gèrent eux-mêmes leur adresse IP. Entrez no pour indiquer que les clients demandent une adresse IP à un serveur DHCP. ccnp_cch

6 Assistant de configuration du WLC 4402
17. Si vous avez besoin de configurer un serveur RADIUS sur le WLC, entrez yes puis entrez ces informations:  Adresse IP du serveur RADIUS  Port de communication  Secret partagé Si vous n'avez pas besoin d'un serveur RADIUS ou si vous voulez configurer le ser veur plus tard, entrez no. 18. Entrez un code pays pour l'unité Entrez help pour voir la liste des pays supportés Activez ou non le support IEEE b, IEEE a et IEEE g Activez ou désactivez la gestion de ressources radio (RRM)(Auto RF). Assistant de configuration du WLC 4402 Welcome to the Cisco Wizard Configuration Tool Use the '−' character to backup System Name [Cisco_43:eb:22]: c4402 Enter Administrative User Name (24 characters max): admin Enter Administrative Password (24 characters max): ***** Service Interface IP Address Configuration [none][DHCP]: none Enable Link Aggregation (LAG) [yes][NO]: No Management Interface IP Address: Management Interface Netmask: Management Interface Default Router: Management Interface VLAN Identifier (0 = untagged): 60 Management Interface Port Num [1 to 2]: 1 Management Interface DHCP Server IP Address: AP Transport Mode [layer2][LAYER3]: LAYER3 AP Manager Interface IP Address: AP−Manager is on Management subnet, using same values AP Manager Interface DHCP Server ( ): Virtual Gateway IP Address: Mobility/RF Group Name: RFgroupname Network Name (SSID): SSID Allow Static IP Addresses [YES][no]: yes Configure a RADIUS Server now? [YES][no]: no Enter Country Code (enter 'help' for a list of countries) [US]: US Enable b Network [YES][no]: yes Enable a Network [YES][no]: yes Enable g Network [YES][no]: yes Enable Auto−RF [YES][no]: yes Note: L'interface d'administration du WLC est la seule interface accessible par ping depuis l'extérieur du WLC. Aussi c'est un comportement normal si vous ne pouvez pas atteindre l'interface AP Manager avec ping depuis l'extérieur. Note: Vous devez configurer l'interface AP Manager pour que les APs s'associent au WLC. ccnp_cch

7 ccnp_cch Configurer le commutateur pour le WLC
Cet exemple utilise un commutateur Catalyst 3750 sur lequel un seul port est utilisé pour le WLC. Dans cet exemple, les interfaces AP-Manager et d'administration sont marquées et ces interfaces sont placées dans le VLAN 60. Le port du commutateur est configuré comme un port trunk IEEE 802.1Q et seuls les VLANs appropriés qui sont les VLANs 2 à 4 et 60 sont autorisés sur ce trunk. Le VLAN de l'AP-Manager et d'administration (VLAN 60) est marqué et n'est pas configuré comme VLAN natif sur le trunk. Quand ces interfaces sont configurées sur le WLC dans cet exemple, elles ont un identificateur de VLAN affecté. Ceci est un exemple de la configuration 802.1Q du port du commutateur. interface GigabitEthernet1/0/1 description Trunk Port to Cisco WLC switchport trunk encapsulation dot1q switchport trunk allowed vlan 2−4,60 switchport mode trunk no shutdown Note: Quand vous connectez le port gigabit du WLC, assurez-vous qu'il est connecté uniquement au port gigabit du commutateur. Si vous connectez le port Ethernet gigabit du WLC au port FastEthernet du commutateur, celui-ci ne fonctionnera pas. Notez que cet exemple de configuration configure le port du commutateur voisin de telle sorte qu'il autorise uniquement les VLANs concernés sur le trunk 802.1Q. Tous les autres VLANs sont éliminés. Ce type de configuration n'est pas nécessaire mais c'est une bonne pratique de déploiement. Quand vous éliminez les VLANs non concer- nés, le WLC traite uniquement les trames concernées ce qui optimise les performances. Configurer le port du commutateur pour les APs Ceci est un exemple de configuration d'interface VLAN pour le Catalyst interface VLAN5 description AP VLAN ip address Tandis que les WLCs Cisco se connectent toujours avec des trunks 802.1Q, les APs légers Cisco ne comprennent pas les marques de VLAN et doivent être connectés aux ports d'accès du commutateur voisin. Ceci est un exemple de configuration de port du Catalyst 3750. interface GigabitEthernet1/0/22 description Access Port Connection to Cisco Lightweight AP switchport access vlan 5 switchport mode access ccnp_cch

8 L'infrastructure est maintenant prête pour la connexion des APs
L'infrastructure est maintenant prête pour la connexion des APs. Les LAPS utilisent les différentes méthodes de découverte de WLC et sélectionnent un WLC à joindre. Le LAP s'enregistre avec le contrôleur. Vérification Utilisez cette section pour confirmer que votre configuration fonctionne correctement. Après que les LAPs se soient enregistrés avec le contrôleur, vous pouvez les voir sous le menu Wireless situé dans le haut de l'interface graphique du contrôleur. Sur la CLI vous pouvez utiliser la commande show ip summary pour vérifier que les APs se sont enregistrés avec le WLC. (Cisco Controller) >show ap summary Number of APs Global AP User Name Not Configured Global AP Dot1x User Name Not Configured AP Name Slots AP Model Ethernet MAC Location −−−−−−−−−−−−−−−−−− −−−−− −−−−−−−−−−−−−−−−−− −−−−−−−−−−−−−−−−− −−−−−−−−−−−−−−−− AP001b.d4e3.a81b AIR−LAP1232AG−A−K9 00:1b:d4:e3:a8:1b default location Sur la CLI du WLC, vous pouvez également utiliser la commande show client summary pour voir les clients qui sont enregistrés avec le WLC. (Cisco Controller) >show client summary Number of Clients MAC Address AP Name Status WLAN Auth Protocol Port −−−−−−−−−−−−−−−−− −−−−−−−−−−−−− −−−−−−−−−−−−− −−−− −−−− −−−−−−−− −−−− 00:40:96:a1:45:42 ap:64:a3:a0 Associated Yes a 1 (Cisco Controller) > ccnp_cch

9 Résolution de problèmes
Utilisez cette section pour résoudre des problèmes liés à votre configuration. Commandes Utilisez ces commandes pour résoudre votre configuration. La commande debug lwapp events enable du WLC monte que les APs légers se sont enregistrés sur le WLC. (Cisco Controller) >debug lwapp events enable Tue Apr 11 13:38: : Received LWAPP DISCOVERY REQUEST from AP 00:0b:85:64:a3:a0 to ff:ff:ff:ff:ff:ff on port '1' Tue Apr 11 13:38: : Successful transmission of LWAPP Discovery−Response to AP 00:0b:85:64:a3:a0 on Port 1 Tue Apr 11 13:38: : Received LWAPP JOIN REQUEST from AP 00:0b:85:64:a3:a0 to 00:0b:85:33:a8:a0 on port '1' Tue Apr 11 13:38: : LWAPP Join−Request MTU path from AP 00:0b:85:64:a3:a0 is 1500, remote debug mode is 0 Tue Apr 11 13:38: : Successfully added NPU Entry for AP 00:0b:85:64:a3:a0 (index 48) Switch IP: , Switch Port: 12223, intIfNum 1, vlanId 60 AP IP: , AP Port: 19002, next hop MAC: 00:0b:85:64:a3:a0 Tue Apr 11 13:38: : Successfully transmission of LWAPP Join−Reply to AP Tue Apr 11 13:38: : Register LWAPP event for AP 00:0b:85:64:a3:a0 slot 0 Tue Apr 11 13:38: : Register LWAPP event for AP 00:0b:85:64:a3:a0 slot 1 Tue Apr 11 13:39: : Received LWAPP CONFIGURE REQUEST from AP 00:0b:85:64:a3:a0 to 00:0b:85:33:a8:a0 Tue Apr 11 13:39: : Updating IP info for AP 00:0b:85:64:a3:a0 −− static 0, / , gtw Tue Apr 11 13:39: : Updating IP ===> for AP Tue Apr 11 13:39: : spamVerifyRegDomain RegDomain set for slot 0 code 0 regstring −A regDfromCb −A Tue Apr 11 13:39: : spamVerifyRegDomain RegDomain set for slot 1 code 0 Tue Apr 11 13:39: : spamEncodeDomainSecretPayload:Send domain secret Mobility Group<6f,39,74,cd,7e,a4,81,86,ca,32,8c,06,d3,ff,ec,6d,95,10,99,dd> to AP 00:0b:85:64:a3:a0 Tue Apr 11 13:39: : Successfully transmission of LWAPP Config−Message to AP 00:0b:85:64:a3:a0 Tue Apr 11 13:39: : Running spamEncodeCreateVapPayload for SSID 'SSID' Tue Apr 11 13:39: : AP 00:0b:85:64:a3:a0 associated. Last AP failure was due to Configuration changes, reason: operator changed 11g mode Tue Apr 11 13:39: : Received LWAPP CHANGE_STATE_EVENT from AP Tue Apr 11 13:39: : Successfully transmission of LWAPP Change−State−Event Response to AP 00:0b:85:64:a3:a0 Tue Apr 11 13:39: : Received LWAPP Up event for AP 00:0b:85:64:a3:a0 slot 0! Tue Apr 11 13:39: : Received LWAPP CONFIGURE COMMAND RES from AP ccnp_cch

10 ccnp_cch Les sorties de ces commandes du WLC sont très utiles.
Tue Apr 11 13:39: : Received LWAPP CHANGE_STATE_EVENT from AP 00:0b:85:64:a3:a0 Tue Apr 11 13:39: : Successfully transmission of LWAPP Change−State−Event Response to AP 00:0b:85:64:a3:a0 Tue Apr 11 13:39: : Received LWAPP Up event for AP 00:0b:85:64:a3:a0 slot 1! Les sorties de ces commandes du WLC sont très utiles.  debug pem state enable - Configure les options de debug du manager de stratégie d'accès.  debug pem events enable  debug dhcp message enable - Affiche les messages qui sont échangés de et vers le serveur DHCP.  debug dhcp packet enable - Affiche les paquets détaillés qui sont transmis de et vers le serveur DHCP. Tue Apr 11 14:30: : Applied policy for mobile 00:40:96:a1:45:42 Tue Apr 11 14:30: : STA [00:40:96:a1:45:42, ] Replacing Fast Path rule type = Airespace AP Client on AP 00:0B:85:64:A3:A0, slot 0 InHandle = 0x , OutHandle = 0x ACL Id = 255, Jumbo Frames = NO, interface = P = 0, DSCP = 0, T Tue Apr 11 14:30: : Successfully plumbed mobile rule for mobile 00:40:96:a1:45:42 (ACL ID 255) Tue Apr 11 14:30: : Plumbed mobile LWAPP rule on AP 00:0b:85:64:a3:a0 for mobile 00:40:96:a1:45:42 Tue Apr 11 14:30: : DHCP proxy received packet, src: , len = 320 Tue Apr 11 14:30: : dhcpProxy: Received packet: Client 00:40:96:a1:45:42 DHCP Op: BOOTREQUEST(1), IP len: 320, switchport: 1, encap: 0xec03 Tue Apr 11 14:30: : dhcpProxy(): dhcp request, client: 00:40:96:a1:45:42: dhcp op: 1, port: 1, encap 0xec03, old mscb port number: 1 Tue Apr 11 14:30: : dhcp option len, including the magic cookie = 84 Tue Apr 11 14:30: : dhcp option: received DHCP REQUEST msg Tue Apr 11 14:30: : dhcp option: skipping option 61, len 7 Tue Apr 11 14:30: : dhcp option: requested ip = Tue Apr 11 14:30: : dhcp option: skipping option 12, len 15 Tue Apr 11 14:30: : dhcp option: skipping option 81, len 19 Tue Apr 11 14:30: : dhcp option: vendor class id = MSFT 5.0 (len 8) Tue Apr 11 14:30: : dhcp option: skipping option 55, len 11 Tue Apr 11 14:30: : dhcpParseOptions: options end, len 84, actual 84 Tue Apr 11 14:30: : mscb−>dhcpServer: , mscb−>dhcpNetmask: ,mscb−>dhcpGateway: , mscb−>dhcpRelay: VLAN: 60 Tue Apr 11 14:30: : Local Address: , DHCP Server: , Gateway Addr: , VLAN: 60, port: 1 Tue Apr 11 14:30: : DHCP Message Type received: DHCP REQUEST msg Tue Apr 11 14:30: : op: BOOTREQUEST, htype: Ethernet, hlen: 6, hops: 1 Tue Apr 11 14:30: : xid: , secs: 0, flags: 0 Tue Apr 11 14:30: : chaddr: 00:40:96:a1:45:42 Tue Apr 11 14:30: : ciaddr: , yiaddr: Tue Apr 11 14:30: : siaddr: , giaddr: Tue Apr 11 14:30: : Forwarding DHCP packet locally (348 octets) from to Tue Apr 11 14:30: : Received 348 byte dhcp packet from 0x0201a8c0 :68 ccnp_cch

11 Tue Apr 11 14:30:53 2006: DHCP packet: 192. 168. 60. 2 −> 192. 168
Tue Apr 11 14:30: : DHCP packet: −> using scope "InternalScope" Tue Apr 11 14:30: : received REQUEST Tue Apr 11 14:30: : Checking node Allocated , Expires (now: ) Tue Apr 11 14:30: : adding option 0x35 Tue Apr 11 14:30: : adding option 0x36 Tue Apr 11 14:30: : adding option 0x33 Tue Apr 11 14:30: : adding option 0x03 Tue Apr 11 14:30: : adding option 0x01 Tue Apr 11 14:30: : dhcpd: Sending DHCP packet (giaddr: )to :67 from :1067 Tue Apr 11 14:30: : sendto (548 bytes) returned 548 Tue Apr 11 14:30: : DHCP proxy received packet, src: , len = 548 Tue Apr 11 14:30: : dhcpProxy: Received packet: Client 00:40:96:a1:45:42 DHCP Op: BOOTREPLY(2), IP len: 548, switchport: 0, encap: 0x0 Tue Apr 11 14:30: : dhcp option len, including the magic cookie = 312 Tue Apr 11 14:30: : dhcp option: received DHCP ACK msg Tue Apr 11 14:30: : dhcp option: server id = Tue Apr 11 14:30: : dhcp option: lease time (seconds) = 86400 Tue Apr 11 14:30: : dhcp option: gateway = Tue Apr 11 14:30: : dhcp option: netmask = Tue Apr 11 14:30: : dhcpParseOptions: options end, len 312, actual 64 Tue Apr 11 14:30: : DHCP Reply to AP client: 00:40:96:a1:45:42, frame len 412, switchport 1 Tue Apr 11 14:30: : DHCP Message Type received: DHCP ACK msg Tue Apr 11 14:30: : op: BOOTREPLY, htype: Ethernet, hlen: 6, hops: 0 Tue Apr 11 14:30: : xid: , secs: 0, flags: 0 Tue Apr 11 14:30: : chaddr: 00:40:96:a1:45:42 Tue Apr 11 14:30: : ciaddr: , yiaddr: Tue Apr 11 14:30: : siaddr: , giaddr: Tue Apr 11 14:30: : server id: rcvd server id: Vous pouvez utiliser ces commandes supplémentaires pour résoudre les problèmes de configuration.  debug lwapp errors enable - Affiche la sortie des erreurs LWAPP  debug pm pki enable - Affiche les messages des certificats qui sont passés entre l'AP et le WLC. Le contrôleur ne protège pas l'adresse de l'AP-Manager Ces problèmes sont le résultat du bug CSCsg Si un utilisateur injecte acciden- tellemet un équipement qui utilise l'adresse IP de l'AP-Manager sur le sous-réseau, le cache ARP (Address Resolution Protocol) sur le routeur passerelle par défaut est rafraî- chi avec la mauvaise adresse MAC. Quand cela se produit, les APs ne peuvent plus atteindre le contrôleur et repassent dans une phase de découverte pour rechercher un contrôleur. Les APs transmettent des requêtes de découverte et le contrôleur répond avec des réponses de découverte mais les requêtes Join n'arrivent jamais à l'interface de l'AP-Manager du contrôleur à cause de la mauvaise entrée ARP sur le routeur passe- relle. Après 4 heures d'attente de rafraîchissement du cache ARP, les APs joignent le contrôleur si l'équipement est retiré. ccnp_cch

12 Une résolution pour ce problème est de configurer les entrées ARP statiques sur le rou- teur passerelle du contrôleur pour ces adresses IP  Management IP Address: Les clients obtiennent l'accès à l'interface graphique utilisateur (GUI) à partir d'un autre sous-réseau et le contrôleur reçoit les requêtes de découverte de l'AP.  Adresse de l'AP-Manager: Les APs joignent le contrôleur à partir d'un autre réseau  Tous les paquets des adresses IP des interfaces dynamiques des autres réseaux atteignent l'interface dynamique du contrôleur. Les paquets DHCP sont transmis par l'interface du client sans-fil. Telnet ou SH vers l'adresse de la passerelle du contrôleur et utilisez la commande arp <adresse IP> <hhhh.hhhh.hhhh> pour ajouter des entrées ARP. Utilisez la commande ping sur le routeur par défaut du contrôleur vers des adresses différentes pour rafraîchir le cache ARP du routeur. Pour découvrir les adresses MAC, utilisez cette commande show arp | include <ip address>. Résoudre le problème d'un point d'accès léger ne pouvant pas joindre un contrôleur de réseau sans-fil Référez-vous à "Lightweight Access Point Not Joining a Wireless Controller" pour des informations sur les causes qui peuvent empêcher un LAP (LightWeight Access Point) de joindre un WLC et comment les résoudre. ccnp_cch