Configuración del punto de acceso en modo sabueso en los controladores inalámbricos Catalyst 9800

Introducción

Este documento describe cómo configurar un punto de acceso (AP) en modo sabueso en un controlador inalámbrico Catalyst serie 9800 (WLC 9800) a través de la interfaz gráfica de usuario (GUI) o la interfaz de línea de comandos (CLI) y cómo recopilar una captura de paquetes (PCAP) por el aire (OTA) con el AP sabueso para resolver problemas y analizar comportamientos inalámbricos.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Configuración de 9800 WLC
• Conocimientos básicos del estándar 802.11

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• AP 2802
• 9800 WLC Cisco IOS®-XE versión 17.3.2a
• Wireshark 3.4.4 o superior

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Advertencias

No utilice la función Sniffer Mode AP si el 9800 está conectado a Cisco Application Centric Infrastructure (ACI) con aprendizaje de terminales predeterminado.  El 9800 transmitirá sus paquetes capturados 802.11 encapsulados UDP originados en la dirección IP de salida del 9800, pero con la dirección MAC de origen como MAC de la radio del AP del sabueso, con el nibble de orden bajo configurado en 0x0F.  Esto provocará problemas, ya que ACI verá la misma dirección IP originada en varias direcciones MAC.  Consulte Cisco bug ID CSCwa45713 .

Configurar

Puntos a considerar:

• Se recomienda tener el AP del sabueso cerca del dispositivo de destino y el AP al cual este dispositivo está conectado.
• Asegúrese de saber qué canal y ancho de 802.11, el dispositivo cliente y el AP utilizan.

Diagrama de la red

Configuraciones

Configuración de AP en modo sabueso mediante GUI

Paso 1. En la GUI del 9800 WLC, navegue hasta Configuration > Wireless > Access Points > All Access Points, como se muestra en la imagen.

Paso 2. Seleccione el AP que desea utilizar en el modo de sabueso. En la pestaña General, actualice el nombre del AP, como se muestra en la imagen.

Paso 3. Verifique que Admin Status esté Habilitado y cambie el Modo AP a Sniffer, como se muestra en la imagen.

Aparecerá una ventana emergente con la siguiente alerta:

"Advertencia: Si cambia el modo AP hará que el AP se reinicie. Haga clic en Update & Apply to Device para continuar"

Seleccione OK, como se muestra en la imagen.

Paso 4. Haga clic en Update & Apply to Device, como se muestra en la imagen.

Aparece una ventana emergente para confirmar los cambios y los rebotes del AP, como se muestra en la imagen.

Configuración de AP en modo sabueso a través de CLI

Paso 1. Determine el AP que desea utilizar como modo sabueso y agarre el nombre del AP.

Paso 2. Modifique el nombre del AP.

Este comando modifica el nombre del AP. Donde <AP-name> es el nombre actual del AP.

carcerva-9k-upg#ap name <AP-name> name 2802-carcerva-sniffer

Paso 3. Configure el AP en modo Sniffer.

carcerva-9k-upg#ap name 2802-carcerva-sniffer mode sniffer

Configurar AP para escanear un canal a través de GUI

Paso 1. En la GUI del 9800 WLC, navegue hasta Configuration > Wireless > Access Points.

Paso 2. En la página Access Points, muestre la lista de menús Radios de 5 GHz o Radios de 2,4 GHz. Esto depende del canal que se desea escanear, como se muestra en la imagen.

Paso 2. Busque el AP. Haga clic en el botón de flecha hacia abajo para mostrar la herramienta de búsqueda, seleccione Contiene de la lista desplegable y escriba el nombre AP, como se muestra en la imagen.

Paso 3. Seleccione el AP y marque la casilla de verificación Enable Sniffer en Configure > Sniffer Channel Assignment, como se muestra en la imagen.

 

Paso 4. Seleccione el canal de la lista desplegable Canal de Sniff y escriba la dirección IP del Sniffer (Dirección IP del servidor con Wireshark), como se muestra en la imagen.

Paso 5. Seleccione el ancho de canal que el dispositivo de destino y el AP utilizan cuando están conectados.

Vaya a Configure > RF Channel Assignment para configurar esto, como se muestra en la imagen.

Configurar AP para escanear un canal a través de CLI

Paso 1. Habilite el rastreo de canal en el AP. Ejecute este comando:

carcerva-9k-upg#ap name <ap-name> sniff {dot11a for 5GHz | dot11bfor 2.4GHz | dual-band} 
      
       
     

Ejemplo:

carcerva-9k-upg#ap name 2802-carcerva-sniffer sniff dot11a 36 172.16.0.190

Configuración de Wireshark para recopilar la captura de paquetes

Paso 1. Inicie Wireshark.

Paso 2. Seleccione el icono del menú Capture options de Wireshark, como se muestra en la imagen.

Paso 3. Esta acción muestra una ventana emergente. Seleccione la interfaz con cables de la lista como origen de la captura, como se muestra en la imagen. 

Paso 4. En el filtro Captura para las interfaces seleccionadas: , escriba udp port 5555, como se muestra en la imagen.

Paso 5. Haga clic en Inicio, como se muestra en la imagen.

Paso 6. Espere a que Wireshark recopile la información requerida y seleccione el botón Stop de Wireshark, como se muestra en la imagen.

Consejo: Si la WLAN utiliza el encripción tal como la clave precompartida (PSK), asegúrese de que la captura capta el intercambio de señales de cuatro vías entre el AP y el cliente deseado. Esto se puede hacer si OTA PCAP se inicia antes de que el dispositivo esté asociado con la WLAN o si el cliente es desautenticado y reautenticado mientras se ejecuta la captura.

Paso 7. Wireshark no decodifica los paquetes automáticamente. Para decodificar los paquetes, seleccione una línea de la captura, utilice el clic derecho para mostrar las opciones y seleccione Decodificar como..., como se muestra en la imagen.

Paso 8. Aparece una ventana emergente. Seleccione el botón Add (Agregar) y agregue una nueva entrada. Seleccione estas opciones: Puerto UDP de Field, 5555 de Value, SIGCOMP de Default y PEEKREMOTE de Current, como se muestra en la imagen.

Paso 9. Haga clic en Aceptar. Los paquetes están descodificados y listos para iniciar el análisis.

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

Para confirmar que el AP está en modo Sniffer desde la GUI del 9800:

Paso 1. En el 9800 WLC GUI navegue a Configuration > Wireless > Access Points > All Access Points .

Paso 2. Busque el AP. Haga clic en el botón de flecha hacia abajo para mostrar la herramienta de búsqueda, seleccione Contiene de la lista desplegable y escriba el nombre del AP, como se muestra en la imagen.

Paso 3. Verifique que Admin Status esté con la marca de verificación en verde y que AP Mode sea Sniffer, como se muestra en la imagen.

Para confirmar que el AP está en modo Sniffer desde la CLI 9800. Ejecute estos comandos:

carcerva-9k-upg#show ap name 2802-carcerva-sniffer config general | i Administrative
Administrative State : Enabled

carcerva-9k-upg#show ap name 2802-carcerva-sniffer config general | i AP Mode
AP Mode : Sniffer

carcerva-9k-upg#show ap name 2802-carcerva-sniffer config dot11 5Ghz | i Sniff
AP Mode : Sniffer
Sniffing : Enabled
Sniff Channel : 36
Sniffer IP : 172.16.0.190
Sniffer IP Status : Valid
Radio Mode : Sniffer

Para confirmar que los paquetes están decodificados en Wireshark. El protocolo cambia de UDP a 802.11 y se ven marcos de baliza, como se muestra en la imagen.

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

Problema: Wireshark no recibe ningún dato del AP.

Solución: La interfaz de administración inalámbrica (WMI) debe poder acceder al servidor Wireshark. Confirme el alcance entre el servidor Wireshark y WMI desde el WLC.

Información Relacionada

• Guía de configuración del software del controlador inalámbrico Cisco Catalyst serie 9800, Cisco IOS XE Amsterdam 17.3.x - Capítulo: Modo de sabueso

• Fundamentos del analizador de protocolos inalámbrico 802.11
• Soporte Técnico y Documentación - Cisco Systems