컨트롤러에서 액세스 포인트 연결 해제 문제 해결

소개

이 문서에서는 AP(Access Point)와 WLC(Wireless LAN Controller) 간의 CAPWAP/LWAPP 터널 중단을 이해하기 위한 활용 사례를 설명합니다.

사전 요구 사항

요구 사항 

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• AP(Access Point) 및 WLC(Wireless LAN Controller) 구성
• 라우팅 및 스위칭.
• CAPWAP(Control and Provisioning of Wireless Access Point)
• LWAPP(Lightweight Access Point Protocol)

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

이 문서에서는 AP(Access Point)와 WLC(Wireless LAN Controller) 간의 CAPWAP(Control and Provisioning of Wireless Access Points)/LWAPP(Lightweight Access Point Protocol) 터널 중단 이유를 이해하기 위한 사용 사례를 설명합니다.

컨트롤러 기반 AP 등록 프로세스

AP는 컨트롤러에 등록하기 위해 앞서 언급한 프로세스를 거칩니다.

1. AP에서 WLC에 대한 CAPWAP 검색 메시지 요청
2. WLC에서 AP로의 검색 응답 메시지입니다.
3. AP는 수신된 CAPWAP 응답에 따라 조인할 WLC를 선택합니다.
4. AP에서 WLC로 전송된 가입 요청.
5. 컨트롤러는 AP를 검증하고 조인 응답을 보냅니다.

WLC에 등록할 때 AP에서 캡처한 로그:

Press RETURN to get started!

Translating "CISCO-CAPWAP-CONTROLLER"...domain server (255.255.255.255)

<Date & time> %CAPWAP-5-CHANGED: CAPWAP changed state to DISCOVERY

<Date & time>  status of voice_diag_test from WLC is false

<Date & time> %SSH-5-ENABLED: SSH 2.0 has been enabled

<Date & time> Logging LWAPP message to 255.255.255.255.

<Date & time> %CDP_PD-4-POWER_OK: 15.4 W power - NEGOTIATED inline power source

<Date & time> %LINK-3-UPDOWN: Interface Dot11Radio1, changed state to up

<Date & time> %LINK-3-UPDOWN: Interface Dot11Radio0, changed state to up

<Date & time> %LINEPROTO-5-UPDOWN: Line protocol on Interface Dot11Radio1, changed state to up

<Date & time> %SYS-6-LOGGINGHOST_STARTSTOP: Logging to host 255.255.255.255 started - CLI initiated

<Date & time> %LINEPROTO-5-UPDOWN: Line protocol on Interface Dot11Radio0, changed state to up

Translating "CISCO-LWAPP-CONTROLLER"...domain server (255.255.255.255)

Translating "CISCO-CAPWAP-CONTROLLER"...domain server (255.255.255.255)

<Date & time> %CAPWAP-5-DTLSREQSEND: DTLS connection request sent peer_ip: <controller IP> peer_port: 5246

<Date & time> %CAPWAP-5-CHANGED: CAPWAP changed state to 

<Date & time> %CAPWAP-5-DTLSREQSUCC: DTLS connection created sucessfully peer_ip: <controller IP> peer_port: 5246

<Date & time> %CAPWAP-5-SENDJOIN: sending Join Request to <controller IP>

<Date & time> %CAPWAP-5-CHANGED: CAPWAP changed state to JOIN

<Date & time> %CAPWAP-5-CHANGED: CAPWAP changed state to CFG

<Date & time> %LWAPP-3-CLIENTERRORLOG: Operator changed mode for 802.11g. Rebooting.

<Date & time> %LINK-5-CHANGED: Interface Dot11Radio0, changed state to administratively down

<Date & time> %SYS-5-RELOAD: Reload requested by CAPWAP CLIENT. Reload Reason: Operator changed mode for 802.11g.

<Date & time> %LINEPROTO-5-UPDOWN: Line protocol on Interface Dot11Radio0, changed state to down

IOS Bootloader - Starting system.

활용 사례 1

1. AP가 WLC에서 연결 해제되고 스위치에서 확인하면 AP에 IP가 없음을 나타냅니다.

AP에 위로될 때 로깅합니다.

<Date & time>  LINEPROTO-5-UPDOWN: Line protocol on Interface Dot11Radio0, changed state to up

<Date & time>  %CAPWAP-3-ERRORLOG: Not sending discovery request AP does not have an Ip !!

해결책: 

DHCP 서버가 원격으로 위치한 경우 VLAN에 구성된 IP 헬퍼 주소에 대한 연결 문제를 해결하십시오. DHCP가 로컬로 구성된 경우 DHCP 충돌이 없는지 확인합니다. AP에 고정 IP를 구성합니다.

AP에 로그인하고 다음 명령을 입력합니다.

capwap ap ip address <ip> <mask>

capwap ap ip default-gateway <ip> 

또한 컨트롤러 IP 주소를 지정할 수 있습니다.

capwap ap controller ip address <ip>

2. IP 주소가 있는 AP가 있지만 WLC와 통신하지 못하면 컨트롤러 IP에 대한 확인 오류가 발생할 수 있습니다.

DNS(Domain Name System) 확인이 실패한 문제가 있는 AP에서 로그:

<Date & time>  %CAPWAP-3-ERRORLOG: Could Not resolve CISCO-CAPWAP-CONTROLLER.local doamin

Not in Bound state.

해결책:

내부 DNS 서버 연결 가능성을 확인하고(허용되는 경우) DHCP를 통해 푸시된 컨트롤러 IP 주소에 연결할 수 있는지 확인합니다.

고장 수리: AP에서 컨트롤러를 수동으로 구성합니다. 

"capwap ap {primary-base | secondary-base | tertiary-base}controller-name controller-ip-address"

3. AP가 컨트롤러에 등록되어 있고 필요한 SSID(Service Set Identifier)에 대한 브로드캐스트가 아직 표시되지 않습니다.

(4402-d) >config wlan apgroup interface-mapping add <ap group name> <wlandi> <interfacename>

해결책:
AP 그룹 아래에 무선 LAN(WLAN)을 추가하십시오.

활용 사례 2

AP가 스위치의 CDP(Cisco Discovery Protocol) 네이버에 표시되지 않으며, 연결된 AP가 오류 비활성화 상태입니다. 

스위치에서 캡처한 로그:

Dec  9 08:42:35.836 UTC: RSTP(10): sending BPDU out Te3/0/47STP: pak->vlan_id: 10 Dec  9 08:42:35.836 UTC: %PM-4-ERR_DISABLE: bpduguard error detected on Te3/0/47, putting Te3/0/47 in err-disable stateSTP: pak->vlan_id: 1 Dec  9 09:47:32.651 UTC: %ILPOWER-5-DETECT: Interface Te3/0/47: Power Device detected: IEEE PD Dec  9 09:47:33.651 UTC: %ILPOWER-5-POWER_GRANTED: Interface Te3/0/47: Power granted Dec  9 09:47:53.545 UTC: %PM-4-ERR_DISABLE: bpduguard error detected on Te3/0/47, putting Te3/0/47 in err-disable state Dec  9 09:48:10.955 UTC: %ILPOWER-5-DETECT: Interface Te3/0/47: Power Device detected: IEEE PD Dec  9 09:48:11.955 UTC: %ILPOWER-5-POWER_GRANTED: Interface Te3/0/47: Power granted Dec  9 09:48:32.114 UTC: %PM-4-ERR_DISABLE: bpduguard error detected on Te3/0/47, putting Te3/0/47 in err-disable state

해결책:
AP는 어떤 상황에서도 BPDU(Bridge Protocol Data Unit) 가드를 전송하지 않습니다. 이는 스위치 측의 문제입니다. AP를 다른 사용 가능한 포트로 이동하고 필요한 물리적 검사와 함께 인터페이스 컨피그레이션을 복제합니다.

활용 사례 3

원격 사무실 설정에서는 AP와 컨트롤러 간에 무작위로 CAPWAP 터널이 분해되는 것을 종종 볼 수 있으며 가장 중요한 확인 매개변수는 재전송 및 재시도 간격입니다.

AP 재전송 간격 및 재시도 간격은 전역 수준과 AP 수준 모두에서 구성할 수 있습니다. 전역 컨피그레이션은 이러한 컨피그레이션 매개변수를 모든 AP에 적용합니다. 즉, 모든 AP에 대해 재전송 간격 및 재시도 횟수가 균일하다.

WLC의 문제 로그:

 *spamApTask6: Jun 01 17:17:55.426: %LWAPP-3-AP_DEL: spam_lrad.c:6088 1c:d1:e0:43:1d:20: Entry deleted for AP: 10.209.36.5 (5256) reason : AP Message Timeout. *spamApTask6: Jun 01 17:17:55.426: %CAPWAP-4-INVALID_STATE_EVENT: capwap_ac_sm.c:9292 The system detects an invalid AP(1c:d1:e0:43:1d:20) event (Capwap_configuration_update_request) and state (Capwap_dtls_teardown) combination -Traceback: 0xe69bba3a5f 0xe69b9b9446 0xe69bdc5e3b 0xe69b8f238c 0xe69bbaf33b 0xe69cc8041b 0xe69c71df97 0x7fef39282dff 0x7fef3869f98d *spamReceiveTask: Jun 01 17:17:55.426: %CAPWAP-4-INVALID_STATE_EVENT: capwap_ac_sm.c:9292 The system detects an invalid AP(1c:d1:e0:43:1d:20) event (Capwap_configuration_update_request) and state (Capwap_dtls_teardown) combination -Traceback: 0xe69bba3a5f 0xe69b981950 0xe69b76dd5c 0xe69cc757c2 0xe69c71df97 0x7fef39282dff 0x7fef3869f98d *spamApTask5: Jun 01 17:17:55.424: %CAPWAP-3-DTLS_CLOSED_ERR: capwap_ac_sm.c:7521 1c:d1:e0:43:1d:20: DTLS connection closed forAP 10:209:36:5 (5256), Controller: 10:176:92:53 (5246) AP Message Timeout *spamApTask5: Jun 01 17:17:55.423: %CAPWAP-3-MAX_RETRANSMISSIONS_REACHED: capwap_ac_sm.c:8073 Max retransmissions reached on AP(1c:d1:e0:43:1d:20),message (CAPWAP_CONFIGURATION_UPDATE_REQUEST ),number of pending messages(2)

해결 방법: 모든 사이트에서 문제가 발생할 경우, Retransmit count 및 무선 전역 Retransmit interval 컨피그레이션이 증가합니다. 모든 AP에 문제가 있는 경우 값을 높이는 옵션입니다.

전역 컨피그레이션에서 AP 재전송 컨피그레이션 매개변수를 변경하는 옵션

문제가 한 원격 사이트에만 해당되는 경우, 특정 AP의 Retransmit count 수 Retransmit interval 가 증가하면 문제가 해결됩니다.

특정 AP 아래에서 AP 재전송 컨피그레이션 매개변수를 변경하는 옵션

활용 사례 4

AP가 WLC에서 완전히 연결 해제되고 컨트롤러에 다시 조인할 수 없습니다. 디지털 인증서와 관련될 수 있습니다.

Cisco WLC 및 AP와 관련된 디바이스 인증서에 대한 몇 가지 빠른 정보:

•   Cisco에서 제공하는 모든 장치는 기본적으로 유효 기간이 10년인 인증서가 제공됩니다.
•   이 인증서는 Cisco WLC와 AP 간의 인증을 수행하는 데 사용됩니다.
•   인증서 덕분에 AP 및 WLC는 DTLS(Secure Datagram Transport Layer Security) 터널을 설정합니다.

인증서와 관련된 두 가지 유형의 문제가 발생했습니다.

문제 1: 이전 AP(WLC에 연결하지 않음).

AP에 대한 콘솔을 통해 문제를 확인하고 로그는 다음과 같이 표시됩니다.

*Sep 13 18:26:24.000: %CAPWAP-5-DTLSREQSEND: DTLS connection request sent peer_ip: 10.1.1.1 peer_port: 5246 *Sep 13 18:26:24.000: %CAPWAP-5-CHANGED: CAPWAP changed state to *Sep 13 18:26:24.099: %PKI-3-CERTIFICATE_INVALID_EXPIRED: Certificate chain validation has failed. The certificate (SN: XXXXXXXXXXXXXX) has expired. Validity period ended on 19:56:24 UTC Aug 12 2018 *Sep 13 18:26:24.099: %LWAPP-3-CLIENTERRORLOG: Peer certificate verification failed *Sep 13 18:26:24.099: %CAPWAP-3-ERRORLOG: Certificate verification failed!

문제 2: 최신 AP가 이전 WLC에 조인하지 않을 경우
AP에 대한 콘솔에 다음과 같은 오류가 표시됩니다.

[*09/09/2019 04:55:26.3299] CAPWAP State: DTLS Teardown [*09/09/2019 04:55:30.9385] CAPWAP State: Discovery [*09/09/2019 04:55:30.9385] Did not get log server settings from DHCP. [*09/09/2019 04:55:41.0000] CAPWAP State: DTLS Setup [*09/09/2019 04:55:41.3399] Bad certificate alert received from peer. [*09/09/2019 04:55:41.3399] DTLS: Received packet caused DTLS to close connection

해결책:

1. NTP는 CLI를 통해 수동으로 시간을 비활성화하고 설정합니다.

(Cisco Controller)> config time ntp delete 1 (Cisco Controller)> config time manual 09/30/18 11:30:00

2. NTP는 GUI를 통해 시간을 수동으로 비활성화하고 설정합니다.

GUI에서 시간을 수동으로 설정할 위치

2. 컨트롤러에서 MIC(Manufacturer Installed Certificate)를 비활성화합니다. 이 명령은 최신 버전에서만 사용할 수 있습니다. 

(Cisco Controller)> config ap cert-expiry-ignore mic enable 

관련 정보

• Cisco 기술 지원 및 다운로드