...
Configuration example
Task
Организовать управление беспроводными точками доступа с помощью контроллера WLC. В частности, необходимо настроить подключение точек доступа, обновить и сконфигурировать их для предоставления доступа до ресурсов Интернет авторизованным пользователям Wi-Fi.
...
Organize the management of wireless access points using the WLC controller. In particular, it is necessary to configure the connection of access points, update and configure them to provide access to Internet resources to authorized Wi-Fi users.
| Подсказка |
|---|
The configuration example is based on the factory configuration for a scheme with SoftGRE tunneling. |
| Drawio |
|---|
| border | true |
|---|
| viewerToolbar | true |
|---|
| |
|---|
| fitWindow | false |
|---|
| diagramName | WLC gre [2] |
|---|
| simpleViewer | true |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | top |
|---|
| lbox | true |
|---|
| diagramWidth | 798 |
|---|
| revision | 2 |
|---|
|
Solution
Архитектура решения предполагает автоматическое подключение точек доступа к контроллеру WLC. При подключении к сети точка доступа запрашивает адрес по DHCP и вместе с ним должна получить URL сервиса инициализации точек доступа в The solution provides automatic connection of access points to the WLC controller. When connecting to the network, the access point requests an address via DHCP and receives the URL of the access point initialization service in the 43 (vendor specific) опции DHCP option.
Получив данную опцию, точка доступа приходит на контроллер и появляется в базе обслуживаемых точек доступа (команда для мониторинга списка: show wlc ap). Далее контроллер инициализирует ее в соответствии со своей конфигурацией:
...
- Настройка интерфейсов, сетевых параметров и firewall.
- Настройка контроллера для организации SoftGRE DATA туннелей.
- Настройка DHCP-сервера.
- Настройка RADIUS-сервера.
- Настройка модуля управления точками доступа WLC:
- Настройка SSID.
- Настройка профилей конфигурации для каждого типа точек доступа.
- Создание локации (ap-location) и определение правил конфигурирования точек доступа, входящих в данную локацию.
- Определение подсетей обслуживаемых точек доступа.
- Настройка обновления точек доступа.
Настройка интерфейсов, сетевых параметров и firewall
...
Interface, network parametes and firewall configuration
Configure TCP/UDP port profiles for the required services:
| Блок кода |
|---|
|
wlc# configure
wlc(config)# object-group service ssh
wlc(config-object-group-service)# port-range 22
wlc(config-object-group-service)# exit
wlc(config)# object-group service dns
wlc(config-object-group-service)# port-range 53
wlc(config-object-group-service)# exit
wlc(config)# object-group service dhcp_server
wlc(config-object-group-service)# port-range 67
wlc(config-object-group-service)# exit
wlc(config)# object-group service dhcp_client
wlc(config-object-group-service)# port-range 68
wlc(config-object-group-service)# exit
wlc(config)# object-group service ntp
wlc(config-object-group-service)# port-range 123
wlc(config-object-group-service)# exit
wlc(config)# object-group service netconf
wlc(config-object-group-service)# port-range 830
wlc(config-object-group-service)# exit
wlc(config)# object-group service radius_auth
wlc(config-object-group-service)# port-range 1812
wlc(config-object-group-service)# exit
wlc(config)# object-group service sa
wlc(config-object-group-service)# port-range 8043-8044
wlc(config-object-group-service)# exit
wlc0(config)# object-group service airtune
wlc(config-object-group-service)# port-range 8099
wlc(config-object-group-service)# exit |
Создайте три зоны безопасности — зона пользователей (users), доверенная зона для точек доступа (trusted) и недоверенная зона для выхода в Интернет (untrustedCreate three security zones — user, trusted and untrusted (for Internet access):
| Блок кода |
|---|
|
wlc(config)# security zone users
wlc(config-zone)# exit
wlc(config)# security zone trusted
wlc(config-zone)# exit
wlc(config)# security zone untrusted
wlc(config-zone)# exit |
Настройте правила Configure firewall rules:
| Блок кода |
|---|
|
wlc(config)# security zone-pair trusted untrusted
wlc(config-zone-pair)# rule 1
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit
wlc(config-zone-pair)# exit
wlc(config)# security zone-pair trusted trusted
wlc(config-zone-pair)# rule 1
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit
wlc(config-zone-pair)# exit
wlc(config)# security zone-pair trusted self
wlc(config-zone-pair)# rule 10
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# match protocol tcp
wlc(config-zone-pair-rule)# match destination-port ssh
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit
wlc(config-zone-pair)# rule 20
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# match protocol icmp
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit
wlc(config-zone-pair)# rule 30
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# match protocol udp
wlc(config-zone-pair-rule)# match source-port dhcp_client
wlc(config-zone-pair-rule)# match destination-port dhcp_server
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit
wlc(config-zone-pair)# rule 40
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# match protocol udp
wlc(config-zone-pair-rule)# match destination-port ntp
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit
wlc(config-zone-pair)# rule 50
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# match protocol tcp
wlc(config-zone-pair-rule)# match destination-port dns
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit
wlc(config-zone-pair)# rule 60
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# match protocol udp
wlc(config-zone-pair-rule)# match destination-port dns
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit
wlc(config-zone-pair)# rule 70
wlc(config-zone-pair-rule)# action permit
wlc(config-zone-pair-rule)# match protocol tcp
wlc(config-zone-pair-rule)# match destination-port netconf
wlc(config-zone-pair-rule)# enable
wlc(config-zone-pair-rule)# exit |
...
| Блок кода |
|---|
|
wlc(config)# vlan 3
wlc(config-vlan)# force-up
wlc(config-vlan)# exit |
Создайте интерфейсы для взаимодействия с подсетями управления точками доступа, пользователей Wi-Fi и ИнтернетCreate interfaces to interact with access point management subnets, Wi-Fi users, and the Internet:
| Блок кода |
|---|
|
#Конфигурируем#Configure параметрыinterface интерфейсаparameters дляfor точекaccess доступаpoints:
wlc(config)# bridge 1
wlc(config-bridge)# vlan 1
wlc(config-bridge)# security-zone trusted
wlc(config-bridge)# ip address 192.168.1.1/24
wlc(config-bridge)# enable
wlc(config-bridge)# exit
#Конфигурируем#Configure параметрыparameters публичногоfor интерфейсаpublic interface:
wlc(config)# bridge 2
wlc(config-bridge)# vlan 2
wlc(config-bridge)# security-zone untrusted
wlc(config-bridge)# ip address dhcp
wlc(config-bridge)# enable
wlc(config-bridge)# exit
#Конфигурируем#Configure параметрыinterface интерфейсаparameters дляfor пользователей Wi-Fi users:
wlc(config)# bridge 3
wlc(config-bridge)# security-zone users
wlc(config-bridge)# ip address 192.168.2.1/24
wlc(config-bridge)# vlan 3
wlc(config-bridge)# enable
wlc(config-bridge)# exit |
Настройте портыConfigure ports:
| Блок кода |
|---|
|
#Конфигурируем#Configure интерфейсыinterfaces дляfor uplink:
wlc(config)# interface gigabitethernet 1/0/1
wlc(config-if-gi)# mode switchport
wlc(config-if-gi)# switchport access vlan 2
wlc(config-if-gi)# exit
wlc(config)# interface tengigabitethernet 1/0/1
wlc(config-if-te)# mode switchport
wlc(config-if-te)# switchport access vlan 2
wlc(config-if-te)# exit
#Конфигурируем#COnfigure интерфейсыinterfaces дляfor подключенияaccess точекpoints доступаconnection:
wlc(config)# interface gigabitethernet 1/0/2
wlc(config-if-gi)# mode switchport
wlc(config-if-gi)# exit
wlc(config)# interface gigabitethernet 1/0/3
wlc(config-if-gi)# mode switchport
wlc(config-if-gi)# exit
wlc(config)# interface gigabitethernet 1/0/4
wlc(config-if-gi)# mode switchport
wlc(config-if-gi)# exit
wlc(config)# interface tengigabitethernet 1/0/2
wlc(config-if-te)# mode switchport
wlc(config-if-te)# exit
|
Включите разрешениеDNS-именEnable DNS name resolution:
| Блок кода |
|---|
|
wlc(config)# domain lookup enable |
Настройте профиль для поднятия туннелейConfigure profile to raise tunnels:
| Блок кода |
|---|
|
wlc(config)# tunnel softgre 1
wlc(config-softgre)# mode data
wlc(config-softgre)# local address 192.168.1.1
wlc(config-softgre)# default-profile
wlc(config-softgre)# enable
wlc(config)# exit |
...
| Примечание |
|---|
Необходимо обязательно указывать NTP-сервер, т.к. корректное время позволяет пройти проверку валидности сертификатов. |
...
It is obligatory to specify NTP server, because correct time allows to pass certificate validity check. |
Configure the address space for the devices to be connected to the controller:
| Блок кода |
|---|
|
wlc(config)# ip dhcp-server pool ap-pool
#Определяем#Define подсетьthe subnetwork:
wlc(config-dhcp-server)# network 192.168.1.0/24
#Задаем#Specify диапазонthe выдаваемыхrange IP-адресовof IP addresses to be issued:
wlc(config-dhcp-server)# address-range 192.168.1.2-192.168.1.254
#Шлюз#Default поgateway умолчанию.is Имthe являетсяaddress адресof бриджаAP управленияcontrol ТДbridge:
wlc(config-dhcp-server)# default-router 192.168.1.1
#Выдаем адрес DNS-сервера:
wlc(config-dhcp-server)# dns-server 192.168.1.1
#Необходимо обязательно указывать NTP-сервер, т.к. корректное время позволяет пройти проверку валидности сертификатов.
#Выдаем 42 опцию DHCP, содержащую адрес NTP-сервера, для синхронизации времени на точках доступа:
wlc(config-dhcp-server)# option 42 ip-address 192.168.1.1
#Выдаем 43 vendor specific опцию DHCP, которая содержит:
- 12 подопцию, необходимую для построения SoftGRE data туннелей. Опция содержит IP-адрес softgre-интерфейса контроллера.
wlc(config-dhcp-server)# vendor-specific
wlc(config-dhcp-server-vendor-specific)# suboption 12 ascii-text "192.168.1.1"
- 15 подопцию, необходимую для того, чтобы точка доступа автоматически пришла на контроллер и включилась в работу под его управлением. Опция содержит HTTPS URL контроллера.
wlc(config-dhcp-server-vendor-specific)# suboption 15 ascii-text "https://192.168.1.1:8043"
wlc(config-dhcp-server-vendor-specific)# exit
wlc(config-dhcp-server)# exit
|
...
