IT BLOG(KR)

안녕하세요.

오늘은 Guest 유저를 위한 WLAN를 생성하고 간단하게 설정에 대해서 알아보겠습니다.

General Page

Profile Name: GUEST_SSID - WLC에서 Profle이름 입니다.

SSID: GUEST_SSID 실제 wifi SSID표시 할 SSID 입니다.

WLAN ID: WLC에서 WLAND ID입니다. 이 부분은 VLAN 정보가 아닙니다. 

Status: 이 WLAN를 Disable 또는 Endable 가능 합니다. 

Broadcase SSID: SSID를 숨길지 광고 할지 설정 합니다.

Disable를 선택시 PC에서 수동으로 SSID 입력해서 접속 해야 합니다. 

Radio Policy: 6G, 5G, 2.4G Enable 또는 Disable해서 광고 가능 합니다. 

이번장에서는 암호화 없는 Guest SSID를 생성해보겠습니다. 

None를 선택 합니다. 

P2P Blocking Action: Drop

GUEST-SSID 접속한 유저들끼리 같은 L2도메인이기 때문에 통신이 가능 합니다.

이 부분을 보안 때문에 Drop 합니다. 

per WLAN으로 Client 접속수를 제한을 가능 합니다.

Per AP per WLAN: AP당 WLAN최대 client 접속수

Per AP Radio Per WLAN: 200

즉 2.4G 랑 5G 각각 200명에 Client 허용 가능 합니다. 

Load Balancing : 여러 AP들이 있을때 Client를 분배해서 AP에 접속하게 합니다. 

Band Select: 5G가 속도가 더 좋기 때문에, PC가 2.4G/5G다 지원하면 5G로 접속 할수 있게 합니다. 

2. Configuration -> Tags & Profiles -> Policy 

Add버튼을 클릭 합니다.

Name: 이름을 정의 합니다.

Stuats: Policy enable 또는 Disable 합니다.

**** WLAN Switching Policy ****

Central Switching - Enabled 모드이면 AP Data traffic이 CAPWAP tunnel를 통해서 WLC로 전송 되면 Data Traffic를 WLC가 처리 합니다. 

Disabled 모드 이면 AP가 직접 Data를 처리 합니다.

Central Authentication - Enabled 모드이면 WLC가 직접 처리 합니다. 

Central DHCP -Enabled 모드이면 WLC가 DHCP기능을 수행 합니다. 

Policy에 VLAN를 입력 합니다. VLAN이 없으면 WLC에서 VLAN를 생성 합니다. 

Policy랑 WLAN이 Mapping이 되면 GUEST-SSID로 User가 붙으면 VLAN 110으로 인식 합니다. 

Idel Timeout를 28800으로 변경합니다. idel Timeout되면 SSID disconnect되는 증상을 방지 합니다. 

그리고 Apply to Device를 클릭 합니다. 

3. Policy Tag 를 생성합니다.

Configuration -> Tags & Orifukes -> Tag -> Policy

 Add 버튼을 클릭 합니다. 

아래처럼 설정하고 적용 버튼을 클릭 합니다. 

4. AP에 새로운 Policy Tag를 적용 합니다.

5. PC에서 SSID를 확인 합니다. 

아래처럼 GUEST_SSID가 암호화 없이 접속 가능 하게 표시 됩니다. 

6. DHCP 서버가 없어서 IP주소를 못 받아옵니다.

SW에서 DHCP 서버 기능을 설정 합니다.

IP주소를 Clinet에게 할당 하였습니다. 

WLC에서 GUI Clinet를 확인 합니다.

[C9800CL][#9]- WLAN Guest  지금까지 글을 읽어주셔서 감사합니다.

안녕하세요.

오늘은  C9800에 Data Interface 2개를 Port Channel로 구성하는 방법에 대해서 알아보겠습니다.

WLC01: Gi3 - MGMT IP vrf MGMT

G1 and G2 -  Portchannel 01로 묶고 Trunk 포트로 모든 VLAN를 허용 하게 설정 하겠습니다.

1. WLC GUI에 접속합니다.

Gi1/Gi2를 아래와 같이 설정합니다.

2. Port-channel를 설정합니다. 

Interface Status 확인

테스트를 위해서 WLC 아래와 같이 설정 합니다.

VLAN 110

VLAN 120
VLAN 130

SVI 110 - 192.168.110.254

SVI 120 - 192.168.120.254

SVI 130 - 192.168.130.254

VLAN 110를 설정합니다. 그리고 아래 사진처럼 VLAN 120, VLAN 130도 설정 합니다. 

2. SVI를 설정 합니다.

아래 사진처럼 SVI 120과 SVI 130도 설정 합니다. 

Cisco switch에서 

VLAN 110,120,130설정하고 SVI 110,120,130를 설정합니다.

SVI 110: 192.168.110.253

SVI 120: 192.168.120.253

SVI 130: 192.168.130.253

VLAN 설정

SVI 설정

ping test

지금까지 [C9800CL][#8]- Data Interface Redundancy - Port Channel  글을 읽어주셔서 감사합니다. 

안녕하세요.

오늘은 인가된 AP만 WLC에 등록 가능 하게 설정해보겠습니다.

사용할 방법은 AP MAC주소를 WLC에 등록해서 허가된 AP MAC만 WLC에 등록 할 수 있습니다.

AP IP: DHCP Server로 부터 IP주소를 받아감. 192.168.200.X/24

AP GW: 192.168.200.181

WLC: 192.168.100.182 DHCP option43를 이용함. 

1.  Configuration  -> Security -> AAA 클릭 합니다. 

2. AAA Advanced -> AP Policy 에서 Authorized AP aginast MAC를 Enable하고 Apply를 클릭 합니다. 

*** 만약에 Default값으로 아래 처럼 설정 안되어져 있으면 추가로 설정 합니다. ***

3. 현재 아래처럼 AP한대가 WLC에 등록 되어져 있습니다. 

4. AP를 재부팅 합니다.

5. 약 5분후 - Monitoring -> Wireless -> AP statistics를 클릭해서 AP가 상태를 확인 합니다.

AP가 WLC에게 CAPWAP join request  메시지를 전송하지만 reponse패킷을 받지 못합니다. 

그리고 CAPWAP state: DTLS Teardown이 되고, 다시 CAPWAP join request를 보냅니다. 이 과정을 반복합니다. 

6. Monitoring -> Wireless -. AP Statistics에서 Join Statics를 클릭해서 보시면

아래 사진처럼 AP AUth Failure를 확인 할수 있습니다. 

아래 AP MAC주소가 WLC 인가된 AP MAC 주소 리스트에 포함되지 않기 떄문에 AP 등록이 실패 하였습니다.

7. AP MAC주소를 등록 합니다.

Configuration ->  Security -> AAA -> AAA Advanced -> Device Authentication -> MAC Address -> Add 버튼을 클릭 합니다. 

CLI 에서 AP MAC주소 확인 방법

아래처럼 입력 합니다. 

그리고 특정 시간을 기다립니다.

이번에는 아래처럼 Join Reponse 패킷을 WLC로부터 받았습니다. 

아래 사진처럼 AP가 WLC에 등록 되었습니다. 

시간이 지나도 AP는 계속 UP상태 입니다. 그 이유는 이미 WLC등록되어기 때문에, 다시 AP Authentication를 확인 하지 않습니다. 

AP를 재부팅 합니다. 

재부팅후에는 다시 AP authentication를 시도해야합니다. 하지만 WLC에서 AP MAC주소를 제거 했기 떄문에, 아래처럼 인증 실패로 표시 됩니다. 

지금까지 [C9800CL][#7]- AP authentication - AP Mac Filter 글을 읽어주셔서 감사합니다. 

안녕하세요. 

이번에는 AP hostname를 이용해서 WLC에 policy tag, site tag, rf tag를 할당 하는 방법에 대해서 알아보겠습니다.

예제) WLC는 AWS 또는 Azure에서 동작중에 있습니다. 

Office는 아래와 같이 3군데가 있습니다.

1. Singpoare office - AP hostname pattern - SG-AP0X

2. Korea office - AP hostname pattern - KR-AP0X

3. Japan office - AP hostname pattern - JP-AP0X

AP hostname이 SG-AP0X로 시작하면, policy tag, site tag, rf tag 모두다 SG tag가 AP에 할당 됩니다.

AP hostname이 KR-AP0X로 시작하면, policy tag, site tag, rf tag 모두다 KR tag가 AP에 할당 됩니다.

WLC에서 Hostnmae Filter를 이용해서 위와 같이 정책을 사용 할수 있습니다.

1. 테스트를 위해서 WLAN를 생성 합니다.

WLAN 설정 방법 예제)

2. VLAN를 생성합니다.

테스트를 위해서 VLAN은 아래와 같습니다.

VLAN10 - SG-WLAN

VLAN20 - KR-WLAN

VLAN30 - JP-WLAN

설정 방법 예

3. Policy profile를 설정 합니다.

위와 똑같이 KR-POLICY-PROFILE, JP-POLICY-PROFILE를 생성 합니다.

4. POLICY TAG를 설정 합니다.

똑같이 KR-POLICY-TAG, JP-POLICY-TAG를 생성 합니다.

5. SITE-TAG를 설정 합니다.

SG-SITE-TAG와 JP-SITE-TAG를 생성 합니다.

6. RF-TAG를 설정 합니다.

KR-RF-TAG랑 JP-RF-TAG를 생성 합니다.

이번에는 실제로 테스트 하기 위해서 Filter를 사용 해서 각 TAG들을 나라별로 적용해보겠습니다.

Singapore AP Filter

Korea AP Filter 와 Japan AP Filter를 생성 합니다.

현재 AP 한대가 WLC에 등록 되어져 있습니다.

현재 모두다 default tag를 할당 받았습니다.

Test01 - Hostname를 SG-AP01로 변경 하고 TAG를 확인해보겠습니다.

하지만 Tag가 변경되지 않습니다. AP를 재부팅해서 새로운 TAG를 적용되게 합니다.

위에 사진처럼 SG-AP01이기 떄문에 SG policy tag site tag rf tag를 받아왔습니다.

이번에는 AP 이름을 KR-AP01로 변경하고 capwap reset해보겠습니다.

지금까지 [C9800CL][#6]-AP hostname를 이용해서 Tag 할당하기 글을 읽어주셔서 감사합니다.

안녕하세요.

오늘은 AP를 DHCP option43를 이용해서 WLC에 등록 하겠습니다.

AP IP: 192.168.200.200

AP GW: 192.168.200.181

WLC: 192.168.100.182

현재 AP가 SW에 연결되어져 있습니다. cisco SW를 DHCP서버로 동작시켜서 IP/GW/WLC 주소를 할당 하도록 하겠습니다.

DHCP option43를 사용 하기 위해서는 16진수 값을 알아야 합니다. 

가장 쉬운 방법이 google에서 dhcp option43 calculaution를 검색하면 여러가지 사이트가 나옵니다.

https://wifiwizardofoz.com/dhcp-option-43-calculator/

Your DHCP option 43 value is: f104c0a864b6

This is derived using the following formula:

<Type> + <Length> + <Value> where:

Type: Sub-option code 241, used to define a method for Cisco Lightweight APs, represented in hex (f1)

Length: Number of controller IP addresses to be supplied - multiplied by 4, represented in hex (04)

Value: List of Cisco WLC IP addresses, represented in hex(c0a864b6)

1. 스위치에서 DHCP 서버를 설정합니다

2. AP에서 IP주소를 확인 합니다

3. switch에서 IP주소 Binding를 확인 합니다

4. 아래처럼 capwap 명령어로도 확인 가능 합니다. 

5. 패킷 상황

6. WLC GUI에서 AP 등록 되었는지 확인 합니다.

별도 설정이 없으면, AP가 WLC에 붙으면 Policy Tag, Site Tag, RF Tag, Location이 Default로 설정 됩니다. 

지금까지 [C9800CL][#5]-AP Join Process - DHCP option 43 글을 읽어주셔서 감사합니다. 

안녕하세요. 

오늘은 AP를 직접 IP주소랑 Default Gateway를 설정하고 WLC에 Manuall하게 등록해 보겠습니다. 

테스트 IP주소 입니다. 

AP IP: 192.168.200.200

AP GW: 192.168.200.181

WLC: 192.168.100.182

AP주소를 초기에 설정시 아래와 같이 Username/Passowrd는 Cisco 입니다. 

1. AP에 IP주소랑 Gateway를 설정 합니다. 

IP주소를 입력하면 CAPWAP discovery 패킷을 Broadcase를 사용 해서 전송 하고 있습니다.

하지만 AP랑 WLC가 같은 L2도메인 안에 없기 때문에, WLC 찾을수 없습니다. 

2. AP Hostname를 변경하고 WLC주소를 입력합니다.

아래처럼 WLC가 Discovery Response 패킷을 전송하였습니다. 

그리고 Found Confirued WLC01 이후 DTLS setup 시작 합니다. 

3. 이번에는 WLC GUI에 접속해서 AP를 확인해보겠습니다.

Monitoring ->Wireless ->AP statistics 클릭 합니다. 

아래 사진처럼 AP01이 WLC에 등록이 되었고 Admin Status를 표시면 초록색으로 정상적입니다. 

테스트를 위해서 WLC GUI에서 AP를 Reset 합니다.

AP를 더블클릭 합니다. 

지금까지 [C9800CL][#3]-AP Join Process - Manual Method 글을 읽어주셔서 감사합니다.

다음글은 DHCP option43를 이용해서 AP를 WLC에 등록 하는 글을 다루겠습니다.

안녕하세요.

오늘은 AP가 WLC에 등록할때 AP입장에서 패킷이 어떻게 진행되는지 알아보겠습니다.

시스코 공식 홈페이지에 나와 있는지 문서 입니다.

https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9120axe-access-point/221056-understand-the-ap-join-process-with-the.html

만약에 WLC에 다른 지역에 있는 상황이라면
Note: As per RFC 5415, CAPWAP uses the UDP Ports 5246 (for CAPWAP Control) and 5247 (for CAPWAP Data).

위에 포트는 방화벽에서 허용 되어야 합니다.

Session Establishment Process.

1. Access Point sends a Discovery Request. See the WLC Discovery Methods section for more information on this
2. WLC sends a Discovery Response
3. DTLS session establishment. After this, all messages after this are encrypted and are shown as DTLS application data packets in any packet analysis tool.
4. Access Point sends a Join Request
5. WLC sends a Join Response
6. AP performs an image check. If it has the same image version as the WLC, then it proceeds with the next step. If it does not, then it downloads the image from the WLC and reboots to load the new image. In such case, it repeats the process from step 1.
7. Access Point sends a Configuration Status Request.
8. WLC sends a Configuration Status Response
9. Access Point goes to RUN State
10. During the RUN state, CAPWAP Tunnel Maintenance is pefrormed in two ways:
    1. Keepalives are exchanged to mantain the CAPWAP Data tunnel
    2. AP sends an Echo Request to the WLC, which has to be answered with its respective Echo Response. This is to mantain the CAPWAP Control tunnel.

Wireless LAN Controller Discovery Methods

There are several options to let the Access Points know of the existance of one WLC in the network:

• DHCP Option 43: This option provides the APs the IPv4 address of the WLC to join. This process is convenient for large deployments in which the APs and the WLC are in different sites.
• DNS Discovery: APs queries the domain name CISCO-CAPWAP-CONTROLLER.localdomain. You must configure your DNS server to resolve either the IPv4 or IPv6 address of the WLC tto join. This option is convenient for deployments in which the WLCs are stored in the same site as the APs.
• Layer 3 Broadcast: The APs automatically send a broadcast message to 255.255.255.255. Any WLC within the same subnet as the AP is expected to respond to this discovery request.
• Static configuration: You can use the capwap ap primary-base <wlc-hostname> <wlc-IP-address> command to configure a static entry for a WLC in the AP.
• Mobility Discovery: If the AP was previously joined to a WLC that was part of a mobility group, the AP also saves a record of the WLCs present in that mobility group.

저희는 위에 방식중에 2가지를 테스트 해보겠습니다.

1. Static Configuration - AP에서 IP주소랑 Default Gateway를 설정하고 수동으로 WLC IP주소를 입력해서 WLC에 AP를 등록하겠습니다.

2. DHCP option 43 - DHCP를 이용해서 AP에 IP주소랑 Default Gateway를 할당하고 WLC주소도 같이 할당하여 AP를 WLC에 등록하겠습니다.

테스트는 다음 과정에서 진행 하겠습니다. 

안녕하세요.

오늘은 기존에 설치 되어진 WLC에다가 AP만 추가하는 방법에 대해서 알아보도록 하겠습니다. 

현재 고객사에서 C9800L WLC를 사용하고 있습니다. 기존에 사용하고 있는 오래된 AP를 제거 하고 C9120AXI-S를 설치 해보겠습니다. 

1. WLC를 Datacenter에 설치되어져 있습니다

2. AP는 Office에 설치 할 예정입니다. 물리적으로 떨어져있고 같은 L2 Domain이 아니기때문에 자동으로 AP가 등록 되지 않습니다.

3. 현재 고객사는 AP MGMT를 수동으로 IP를 설정 하고 있습니다. 

   option1: DHCP option를 사용해서 자동으로 AP가 WLC에 등록 하는 방법

   option2: AP에 Static IP를 설정하고 WLC IP를 수동으로 입력 합니다

                그리고 WLC에서 AP MAC를 등록하고 어떤 Profile를 적용 할지 입력합니다. 

현재 고객사가 option2를 사용하고 있기 떄문에 Option2를 사용하여 AP를 기존에 있는 WLC에 등록해보겠습니다.

1. AP를 POE 스위치에 연결하고 노트북 콘솔케이블을 AP에 연결합니다

    또는 파워어탭터를 AP에 연결하고 콘솔케이블을 AP에 연결합니다.

WLC설정하기 전에 AP4대에 MAC를 확인합니다.

그리고 고객사 사용하고 있는 천장에 AP를 제거 하고 새 AP를 설치 합니다.

처음에 AP가 WLC에 연결되면 Firmware upgrade 또는 Firmware downgrade때문에 자동으로 AP가 여러번 재부팅 됩니다.

그리고 WLC GUI에 로그인해서 확인해보면 아래와 같이 연결 완료를 확인 할수 있습니다.

고객사 정보 때문에 아래 제한적으로 사진을 캡처 했습니다. 아래 사진처럼 초록색으로 연결 완료 확인 가능 합니다. 

AP 색을 확인해보면 초록색이면 정상적으로 WLC에 연결이 되었습니다.

유저가 AP에 접속하면 색이 파랑색으로 표시가 됩니다. 

초록색 또는 파랑색은 정상적으로 AP가 WLC에 등록되어 동작중입니다. 

지금까지 글을 읽어주셔서 감사합니다. 

안녕하세요. 

오늘은 C9800CL WLC configuration Setup Wizard을 알아보겠습니다.

테스트를 위해서는 C9800CL를 EVE-NG에 설치해야 합니다.

이전 강의를 참고 부탁드립니다.

https://itblog-kr.tistory.com/50

기본적은 토폴로지는 아래와 같습니다.

WLC - G1 - MGMT IP - VRF MGMT를 생성해서 MGMT Traffix이랑 Data Traffic를 분리하였습니다. 설정 방법은 이전 강의를 참고 부탁드립니다

IP: 192.168.10.227

WLC - G2 - Data Traffic 입니다. 

1. WLC 장비를 GUI를 통해서 접속 합니다.

https://192.168.10.227

Deployment Mode: Standalone

Hostname: 적절한 WLC이름을 지정합니다

Country: 설치하고자 하는 나라를 선택합니다. 

Date: 오늘 날짜를 선택 합니다.

Time: Timezone를 선택합니다. 

NTP Servers - NTP서버를 선택합니다. 

MGMT interface 변경을 원하면 수정 합니다. 

Static Route Setting: CLI모드에서 추가 했기때문에 수정 할 필요가 없습니다.

만약에 Static Route를 수정를 원하시면 변경 가능 합니다. 

Next를 클릭하면 Wireless Network Settings 표시 됩니다

2. Add버튼을 클릭해서 Wireless Network를 추가합니다.

Network Name: TEMP-WLC1

Network Type: Employee

Security: WPA2 Personal 

Pre-Shared Key: CiscoCisco

3. Next 버튼을 클릭 합니다. 

4. RF-GROUP Name: LM-RG1

AP Certificate

Signature Algorithm - SHA256

Password: CiscoCisco

그리고 Summary 버튼을 클릭 합니다. 

5. Click Finish버튼을 클릭 합니다.

6. 아래처럼 경고 메시지가 뜨는데 Yes 버튼을 클릭 합니다. 

7. 페이지가 자동으로 새로고침 되면서 아래처럼 로그인 페이지를 확인 가능 합니다. 

8. 로그인하면 아래처럼 확인가능합니다. 

현재는 테스트 AP가 없기떄문에 Access-points에 숫자가 0으로 표시 됩니다. 

지금까지 9800CL 초기 기본 설정에 대해서 확인 하였습니다.

지금까지 글을 읽어주셔서 감사합니다.