资源描述
无线控制器配置基础,2014年6月3日,基本配置任务及过程,准备工作控制器启动配置和升级控制器软件版本熟悉控制器配置界面3.连接AP到控制器上配置任务思科CSSC无线客户端的安装和简单配置构建一个OPEN和一个WEP的无线网络构建一个简单WEB认证的无线网络构建一个支持本地EAP认证的无线网络构建一个用ACS做AAA认证的无线网络,PresentationTitleSize30PTOption2:Live,准备工作,基本设备,控制器4400或者2100系列AP：1130或者1240系列交换机：最好是3560POE交换机,2100系列无线控制器,支持802.11a/b/g/n支持PCI认证WLC2100硬件8个FE口，2个上联口，6个下联口其中2个FE口有以太网供电未使用端口2个USB端口和一个扩展槽留作将来扩展用,*2106和2006不能作为guestaccess的anchorcontroller*不支持LinkAggregation*不能通过软件升级AP容量,NEW!,4400系列无线控制器,1RU高度2口或者4口千兆上联支持12,25,50or100AP支持5000MAC地址转发表10/100Base-TX以太网ServicePort9pin串口Console口2扩展槽和1个utilityport目前未使用2热插拔电源模块插槽,44xxWLANController,型号4402支持12,25,和50AP型号4404支持100APs,*不能通过软件升级AP容量*4400系列使用SFP光纤模块*4400系列每port支持50个AP,准备工作,网线和Console线。如果是4400，需要两头是DB9接口的线，如果是2106或者ISR，需要DB9+RJ45的线如果是4400，需要GLC光纤模块和光纤确认控制器版本是否需要升级(用命令showsysinfo查看系统版本)是否需要将胖AP升级到瘦AP1200/1100/1300需要upgradetool做升级，1250不需要工具，直接在图形化界面上升级,实验拓扑示例,VLAN1/20/30/40,WLC,说明：1、VLAN1用于连接控制器、AP和ACS；2、VLAN20用于WPA/WPA2认证，认证服务器用ACS。3、VLAN30用作OPEN/WEP/GUEST客户接入3、VLAN40用作WPA/WPA2认证，认证用本地EAP,SSID:VLAN20,SSID:VLAN30,PC/AAA服务器,VLAN1,所有3层网关设置在3层交换机上，地址254,启动选项,ThecontrollerbootsequencewillalwayshavetheseoptionavailablesincethisissetinPROMtoensurecontrollerrecoveryoptions,按5清空配置,系统启动界面和配置(OS5.1),Wouldyouliketoterminateautoinstall?yes:SystemNameCisco_51:2b:60(31charactersmax):2106-demoAUTO-INSTALL:processterminated-noconfigurationloadedEnterAdministrativeUserName(24charactersmax):ciscoEnterAdministrativePassword(24charactersmax):ciscoRe-enterAdministrativePassword:ciscoManagementInterfaceIPAddress:192.168.10.1ManagementInterfaceNetmask:255.255.255.0ManagementInterfaceDefaultRouter:192.168.10.254ManagementInterfaceVLANIdentifier(0=untagged):ManagementInterfacePortNum1to8:1ManagementInterfaceDHCPServerIPAddress:192.168.10.254APManagerInterfaceIPAddress:192.168.10.2AP-ManagerisonManagementsubnet,usingsamevaluesAPManagerInterfaceDHCPServer(192.168.10.254):VirtualGatewayIPAddress:1.1.1.1Mobility/RFGroupName:demo,系统启动界面（续）,EnableSymmetricMobilityTunnelingyesNO:yesNetworkName(SSID):openAllowStaticIPAddressesYESno:ConfigureaRADIUSServernow?YESno:noWarning!ThedefaultWLANsecuritypolicyrequiresaRADIUSserver.Pleaseseedocumentationformoredetails.EnterCountryCodelist(enterhelpforalistofcountries)US:CNEnable802.11bNetworkYESno:Enable802.11aNetworkYESno:Enable802.11gNetworkYESno:EnableAuto-RFYESno:ConfigureaNTPservernow?YESno:noConfigurethesystemtimenow?YESno:EnterthedateinMM/DD/YYformat:09/28/08EnterthetimeinHH:MM:SSformat:17:11:00Configurationcorrect?Ifyes,systemwillsaveitandreset.yesNO:yesConfigurationsaved!Resettingsystemwithnewconfiguration.,非常重要，Controller的wireless的domain要和AP一致。,配置3层交换机,pdhcpexcluded-address192.168.10.1ipdhcpexcluded-address192.168.10.254ipdhcpexcluded-address192.168.10.2!ipdhcppoolAPnetwork192.168.10.0255.255.255.0default-router192.168.10.254!interfaceFastEthernet0/1switchporttrunkencapsulationdot1qswitchportmodetrunkinterfaceVlan1ipaddress192.168.10.254255.255.255.0!interfaceVlan20ipaddress192.168.20.254255.255.255.0!interfaceVlan30ipaddress192.168.30.254255.255.255.0!interfaceVlan40ipaddress192.168.40.254255.255.255.0linevty04privilegelevel15passwordciscologin,配置WEB访问,1、使用直通网线，连接交换机的trunk接口到控制器端口12、配置PC机的IP地址192.168.10.100/24或者DHCP，网关192.168.10.2543、测试PC能否Ping通Controller的地址：192.168.10.13、用https:/192.168.10.1访问控制器，如果要开启http访问，需要在系统里打开。,使用IE浏览器进行WEB访问,如果要升级控制器系统软件,tftp服务器推荐支持64M以上文件传输,在CCO上下载新版本,支持室内室外mesh版本,支持802.11n和其他新功能的普通版本,UpgradePathtoControllerSoftwareRelease5.0.148.0orabove,注意：由于配置存储格式不同，从3.x-4.x升级到5.x后，原来的部分配置可能丢失,UpgradePathtoControllerSoftwareRelease4.1.171.0,控制器软件升级命令行方式,Step1.pingserver-ip-address测试控制器与TFTPserver的连通性Step2.transferdownloadmodetftp设置传输使用的协议：tftpStep3.transferdownloaddatatypecode设置传输的数据类型Step4.transferdownloadserveripserver-ip-address指定tftpserver的IP地址Step5.transferdownloadfilenamefilename制定Image的文件名Step6.transferdownloadstart开始传输文件，确认时如果回答No,则显示TFTP的参数设置Step7.resetsystemWLC的系统重新启动,注：TFTP服务器软件推荐tftpd32，可以在网上免费下载，支持64M以上大文件传输,控制器软件升级图形界面,电脑上设置好Tftp软件；填入Tftp地址和文件名后，选择右侧的download按钮开始。完成后按提示reboot。,PresentationTitleSize30PTOption2:Live,熟悉无线控制器Controller配置界面,命令行(CLI)基本命令,cisco,命令行(CLI)“clear”Commands,命令行(CLI)“config”Commands,andmore,命令行(CLI)“debug”Command,命令行(CLI)“help”Commands,命令行(CLI)“show”Commands,命令行(CLI)“transfer”Commands,使用IE浏览器进行WEB访问,控制器上查看和设置无线网络SSID,控制器配置页面,配置接口,配置控制器做DHCP服务器,定义无线组,参看和配置端口,配置接口页面,设置控制器做DHCP服务器,定义移动组,设置端口页面,多个控制器时，设定主控制器,点击WIRELESS/ALLAPs,安全页面,Radius服务器配置,本地用户数据库,MAC地址过滤,WEB认证相关配置,本地EAP,管理界面,定义能够进行Controller管理的管理用户,控制器维护管理界面,系统和配置文件的上传、下载配置,控制器软重启,AP射频模块配置界面,AP发射功率调节(AP1131),TxPowerNumOfSupportedPowerLevels.6TxPowerLevel1.14dBmTxPowerLevel2.11dBmTxPowerLevel3.8dBmTxPowerLevel4.5dBmTxPowerLevel5.2dBmTxPowerLevel6.-1dBm,AP1242的level1是17dBm,5.1版本对HA的增强,Failover等级,全局HA配置,PresentationTitleSize30PTOption2:Live,连接AP到控制器,Controller里的Port还有Vlan以及Interface的对应关系,Controller必需配置的接口带内管理接口“ManagementInterface”LWAPPTunnel终结接口“APManagerInterface”桥接的无线客户端接口“DynamicInterfaces”.二三层漫游而设的虚拟接口“VirtualInterface”可选接口:服务接口带外管理接口,*2100系列和WLCM没有serviceport,确认控制器国家版本与AP一致,目前版本支持同时支持多国家,确认时间配置无误,在路由器或者3层交换机设置DHCP,在AP和控制器不在同一网段的情况下，建立AP能够获取IPAddress的地址池，加上Option43WLC-router(config)#ipdhcppoolLWAPP-APWLC-router(dhcp-config)#network192.168.10.0255.255.255.0WLC-router(dhcp-config)#default-router192.168.0.254WLC-router(dhcp-config)#option43ascii192.168.10.1“/很重要！通过Option43可以让AP在获取和控制器不同网段IPAddress的时候，能够知道Controller的所在。如果AP和控制器在一个网段和广播域，则可以不配置option43WLC-router(dhcp-config)#exitWLC-router(config)#ipdhcpexcluded-address192.168.0.254,在IOS设备配置Option43,对于1000/1500系列，直接写option43ascii“192.168.10.5,129.168.10.20“对于1100和1200，需要写option60和option43假设要连接1240，控制器地址为192.168.10.5和192.168.10.20ipdhcppoolAPnetwork192.168.10.0/24default-router192.168.10.254dns-server192.168.10.100option60ascii“CiscoAPc1240“option43hexf108c0a80a05c0a80a14,option43的配置详见,VCIString1130的是CiscoAPc1130,类型=f1,长度=2x4=08,192.168.10.5,192.168.10.20,可以在console上打开debug观察AP加入情况,(CiscoController)debuglwappeventsenable(CiscoController)*Oct0419:20:19.154:00:1a:e3:d0:19:50ReceivedLWAPPDISCOVERYREQUESTfromAP00:1a:e3:d0:19:50to00:1e:13:51:2b:60onport8*Oct0419:20:19.154:Receivedapacketwhichisa(type=DISCOVERY_REQUEST)withsessionid0*Oct0419:20:19.154:JoinPriorityProcessingstatus=0,IncomingApsPriority1,MaxLrads=6,joinedAps=0*Oct0419:20:19.155:00:1a:e3:d0:19:50SuccessfultransmissionofLWAPPDiscoveryResponsetoAP00:1a:e3:d0:19:50onport8*Oct0419:20:19.156:00:1a:e3:d0:19:50ReceivedLWAPPDISCOVERYREQUESTfromAP00:1a:e3:d0:19:50toff:ff:ff:ff:ff:ffonport8*Oct0419:20:19.156:Receivedapacketwhichisa(type=DISCOVERY_REQUEST)withsessionid0*Oct0419:20:19.156:JoinPriorityProcessingstatus=0,IncomingApsPriority1,MaxLrads=6,joinedAps=0*Oct0419:20:19.156:00:1a:e3:d0:19:50SuccessfultransmissionofLWAPPDiscoveryResponsetoAP00:1a:e3:d0:19:50onport8*Oct0419:20:31.162:00:1a:e3:d0:19:50ReceivedLWAPPJOINREQUESTfromAP00:1a:e3:d0:19:50to00:1e:13:51:2b:67onport8*Oct0419:20:31.162:Receivedapacketwhichisa(type=JOIN_REQUEST)withsessionid0*Oct0419:20:31.177:00:1a:e3:d0:19:50APAP001b.5302.28f8:txNonce00:1E:13:51:2B:60rxNonce00:1A:E3:D0:19:50*Oct0419:20:31.177:00:1a:e3:d0:19:50LWAPPJoinRequestMTUpathfromAP00:1a:e3:d0:19:50is1500,remotedebugmodeis0*Oct0419:20:31.177:DTLAddingAP1-192.168.10.10*Oct0419:20:31.177:00:1a:e3:d0:19:50SuccessfullyaddedNPUEntryforAP00:1a:e3:d0:19:50(index1)SwitchIP:192.168.10.2,SwitchPort:12223,intIfNum8,vlanId0APIP:192.168.10.10,APPort:8847,nex*Oct0419:20:31.911:00:1a:e3:d0:19:50SuccessfultransmissionofLWAPPJoinReplytoAP00:1a:e3:d0:19:50*Oct0419:20:31.912:00:1a:e3:d0:19:50spam_lrad.c:1589-OperationState0=4*Oct0419:20:31.913:00:1a:e3:d0:19:50RegisterLWAPPeventforAP00:1a:e3:d0:19:50slot0*Oct0419:20:31.914:00:1a:e3:d0:19:50RegisterLWAPPeventforAP00:1a:e3:d0:19:50slot1*Oct0419:20:33.192:00:1a:e3:d0:19:50ReceivedLWAPPCONFIGUREREQUESTfromAP00:1a:e3:d0:19:50to00:1e:13:51:2b:67*Oct0419:20:33.194:00:1a:e3:d0:19:50UpdatingIPinfoforAP00:1a:e3:d0:19:50-static0,192.168.10.10/255.255.255.0,gtw192.168.10.254*Oct0419:20:33.194:00:1a:e3:d0:19:50UpdatingIP192.168.10.10=192.168.10.10forAP00:1a:e3:d0:19:50*Oct0419:20:33.194:00:1b:53:02:28:f8BuildingConfigResponseMsgfor00:1b:53:02:28:f8,确认AP连接到控制器,图形界面,命令行,PresentationTitleSize30PTOption2:Live,CSSC无线客户端,802.11无线客户端概述,无线客户端建议,由于企业内笔记本电脑牌子比较多，建议客户端使用CiscoCSSC软件，使用CSSC软件的好处如下：1.整个公司笔记本电脑统一的平台，方便管理和下发策略。CSSC带有部署工具，制订好策略后容易部署（如果是Windows平台的话，还要配置相关的参数）3.CSSC软件支持CiscoNAC网络准入控制技术.4.建议新购买的笔记本电脑采用统一的品牌（方便管理），旧的笔记本电脑如果没有无线网卡的话，建议统一使用Cisco的CB21AG（支持AES强加密）,Cisco还提供专门为台式机使用的无线网卡：AIR-PI21AG。5.Cisco倡导了CCX（各厂家笔记本电脑和CiscoAP兼容性测试）计划，可以从下面的链接知道哪些笔记本电脑的型号是CCX计划里面的成员。,CiscoSSC客户端软件的安装,CSSC连接的简单设置,PresentationTitleSize30PTOption2:Live,构建一个OPEN和一个WEP的无线网络,配置一个无线业务的基本步骤,配置无线客户端的DHCP服务器配置一个无线网络接口dynamicinterface配置一个无线业务WLAN,AP的初始化,在WLC上可以通过使用ctrl+Shift+6的组合键，切换到ISR路由器的界面,把AP连接在InterSwitch模块上WLC-router(config)#intvlan1WLC-router(config-if)#noshutWLC-router(config-if)#ipadd192.168.0.254255.255.255.0WLC-router(config-if)#exitWLC-router(config)#intrangefastWLC-router(config)#intrangefastEthernet0/1/08WLC-router(config-if-range)#switchportWLC-router(config-if-range)#switchportaccessvlan1WLC-router(config-if-range)#noshut,1、为客户端建立DHCP服务器,2、为无线客户端建立一个无线接口,点击APPLY,2、建立Guest无线接口:VLAN20,查看建立的接口,点击可以进行VLAN20接口的参数修改,点击可以删除,3、建立一个open的访客WLAN,3、建立一个open的访客WLAN,很重要！很容易被忘记,3、建立一个open的访客WLAN,选择None，不对无线网络有任何加密和限制,WLAN增强特性配置,无线客户端连接测试,更改刚才的WLAN为WEP加密,40位WEP要求5位ASCII字符密码104位WEP要求13位ASCII字符密码CiscoAironet1100/1200/1300不支持128位WEP,无线连接验证,PresentationTitleSize30PTOption2:Live,构建一个简单WEB认证的无线接入网络,构建一个简单WEB认证的无线网络,增加一个新的地址池增加一个新的接口配置web页面认证的本地页面增加web认证的WLAN建立本地用户认证数据库,1、新建一个用于WEB认证用户的地址池,2、控制器添加一个VLAN30接口,3、配置web页面认证的本地页面,4、新建一个WLAN,4、新建一个WLAN,5、定义内部认证用户数据库,验证WEB认证,跟前面一样，在CSSC的ManageNetwork中，选择并激活web-auth,web界面认证的验证,在浏览器里输入类似http:/10.10.10.10地址（因为没有DNS，所以不能输入网址）,web界面认证的验证,PresentationTitleSize30PTOption2:Live,构建一个支持本地EAP认证的无线接入网络,构建一个支持WPA认证的网络,增加一个新的地址池增加一个新的动态接口添加本地EAP支持或者AAA服务器（Radius服务器）建立一个新的WLANSSID配置WPA/WPA2认证设置CSSC客户端软件,1、新建一个地址池,2、控制器添加一个VLAN40接口,3、增加本地EAP支持,3、本地EAP的profile配置,4、新建一个WLAN,4、新建一个WLAN,5、配置WPA/WPA2,5、配置本地EAP认证支持,6、设置CSSC软件，添加SSID,PresentationTitleSize30PTOption2:Live,构建一个用ACS做AAA认证的无线接入网络,ACS相关配置名词解释,PostureACSAccessControlServerNAPNetworkAccessProfileNAFNetworkAccessFilterNADNetworkAccessDeviceNDGNetworkDeviceGroupPAPostureAgentPVPostureValidationRACRadiusAuthorizationComponentDACLDynamicAccessControlListADFAttributeDefinitionFile,ACS各部件逻辑关系,NAP,Authentication,Authorization,PostureValidation,AuthenticationDB,GlobalAuthSetup,InternalDB,ExternalDB,Rule1,RuleN,Policy1,InternalPostureValidation,ExternalPostureValidation,ExternalPostureValidationAudit,RAC,DACL,NAF,NAD+AAA,NDG,SwitchesRoutersVPNGWFW,PolicyN,or,or,or,通过认证后检查状态,检查状态后指示设备配置,关联,组成,下载至设备,组成,引用,引用,添加Radius服务器,Securityaaaradiusauthentication,EAPAuthentication,Cisco的自适应WPA或者WPA2,EAPAuthentication,配置radius,ACS配置-增加AAAclient,增加AAAclient,增加AAAserver,ACS配置-增加AAAserver,ACS配置-显示的AAAclient和Server,ACS配置-产生证书,配置AAA需要返回的参数,ACS配置-AAA能够返回的参数,ACS配置-选择各种EAP,ACS配置-EAPFast配置,不要选择这个,ACS配置-增加一个group,ACS配置-增加一个user加入group,EAPAuthentication-funksoftwareonPC,PEAP,PC端配置,不要选,配置CSSC,
展开阅读全文