部署 2500 系列无线控制器

(Cisco Controller) >config ap link-encryption enable ? 
<Cisco AP> Enter the name of the Cisco AP. all Apply the configuration for 
    all capable Cisco AP 
(Cisco Controller) >config ap link-encryption enable J-3502E
(Cisco Controller) >show ap link-encryption all
                  Encryption  Dnstream  Upstream    Last
AP Name           State       Count     Count       Update
--------------    ---         --------  --------    ------
J-3502E           En          102  	  747 	     22:12
J-1262            Dis          0         0          22:12
J-1040            Dis          0         0          22:13
J-1140            Dis          0         0          22:10
 
(Cisco Controller) >show dtls connections 

AP Name      Local Port    Peer IP       Peer Port  Ciphersuite 
------------ ------------- ------------- ---------- ------------------ 
J-3502E      Capwap_Ctrl   10.10.10.116  41066      TLS_RSA_WITH_AES_128_CBC_SHA
J-3502E      Capwap_Data   10.10.10.116  41066      TLS_RSA_WITH_AES_128_CBC_SHA
J-1262       Capwap_Ctrl   10.10.10.120  45543      TLS_RSA_WITH_AES_128_CBC_SHA
J-1040       Capwap_Ctrl   10.10.10.122  65274      TLS_RSA_WITH_AES_128_CBC_SHA
J-1140       Capwap_Ctrl   10.10.10.123  4825       TLS_RSA_WITH_AES_128_CBC_SHA

(Cisco Controller) >

配置 PI 并添加思科 2500 系列无线控制器

PI 是当前用于管理思科 2500 系列无线控制器的管理软件。较早版本称为 WCS 或 NCS。它提供各种高级管理工具，比如无线覆盖范围显示和基于位置的服务。管理系统的软件版本（Prime 基础设施 [PI]/NCS/WCS）与 WLC 软件版本之间有着密切联系。如需了解支持的兼容版本，请参阅无线软件兼容性表以及 PI 和 WLC 版本说明。PI 使用 SNMP 来管理无线控制器、无线接入点和客户端设备。思科 2500 系列无线控制器设备需要正确配置 SNMP。

请完成以下步骤：

1. 使用 URL 登录 PI Web 界面：

   https://<prime-ip-address>

2. SNMPv2 是在思科 2500 系列无线控制器上配置的。要通过控制器 Web 界面配置 SNMPv2，请导航至管理 > SNMP > 社区。在思科 2500 系列无线控制器中，只读和读写社区的默认设置分别为公共和私有。您可以根据需要添加或修改。为了简单起见，这里使用的是默认值。

   05_2500 WLC SNMP 社区
   

3. 在 PI 界面中，请导航至操作 > 设备工作中心。从菜单栏中选择添加设备。这可能会有所不同，具体取决于是使用 PI 中的经典主题还是使用 NCS 或 WCS。

输入思科 2500 系列无线控制器管理接口的 IP 地址，并配置适当的 SNMP 参数。Click OK.

06_2500 WLC 管理访问参数

控制器即已成功添加，思科 2500 系列无线控制器准备就绪，可供 PI 调配。

若要在思科 2500 系列无线控制器添加到 PI 后对其进行验证，请在设备工作中心检查并验证其同步和管理过程是否成功。如果 SNMP 凭证不正确，则可能会导致控制器处于非受管状态。

思科 2500 系列无线控制器的部署场景

思科 2500 系列无线控制器提供了一种具成本效益的统一无线解决方案。虽然该控制器具有多个 10/100/1000 端口，但它无法充当交换机或路由器。不建议使用不同端口来实现集线器/交换机的功能。这一基本点是发挥控制器最佳性能的一个关键因素。

思科 2500 系列无线控制器支持多个上行链路端口。在 7.4 版及更高版本中，可使用 LAG 来构建 EtherChannel，并将多个端口视为单个连接来处理。或者，禁用 LAG 并配置一个系统，其中可以在不同的物理端口上配置管理和动态接口，并且可以通过对应的物理端口在网络内相互交换数据流量。

思科 2500 系列无线控制器还支持多个 AP 管理器（用于 AP 负载均衡），可以配置多个其他 AP 管理器，但一个 AP 管理器与管理接口限制为绑定一个 AP 管理器。在这种情况下，建议将同一子网中的所有 AP 管理器作为一个管理接口。

<CISCO2504> >show interface summary

Interface Name        Port Vlan Id  IP Address     Type    Ap Mgr Guest
--------------------- ---- -------- -------------- ------- ------ -----
apmgr2                2    10       10.10.10.12    Dynamic Yes    No
apmgr3                3    10       10.10.10.13    Dynamic Yes    No
apmgr4                4    10       10.10.10.14    Dynamic Yes    No
management            1    10       10.10.10.10    Static  Yes    No
virtual               N/A  N/A      192.0.2.1      Static  No     No

<CISCO2504> >

注意：不支持在同一 VLAN 中的不同端口上配置接口，根据思科漏洞 ID CSCux75436，这会导致连接断开。在本示例中，只有当 AP 管理器出现在这其中每个端口上时，这种操作才有效。如果创建的接口不是 AP 管理器，并且与另一个端口位于同一 VLAN 中，则会发生路由问题。

07_2500 WLC 前面板布局 1

在此输出中，管理接口和 AP 管理器共同绑定到端口 1。在与管理接口位于同一子网中的其他物理端口（2、3 和 4）上另外创建了三个 AP 管理器。

加入控制器的 AP 获得负载均衡处理，控制器上的每个端口共同分担 50 个 AP 的负载。以上配置中每个端口都允许 13 个 AP 加入控制器。

也可以在与管理接口不同的子网中拥有多个 AP 管理器。但是，在这种情况下，建议从管理接口禁用 AP 管理器，并在与管理接口不同的子网中的另一物理端口上创建另一个 AP 管理器接口。此场景中的多个 AP 管理器必须都位于同一子网中。

<CISCO2504> >show interface summary

Interface Name        Port Vlan Id  IP Address     Type    Ap Mgr Guest
--------------------- ---- -------- -------------- ------- ------ -----
apmgr2                2    11       10.10.11.12    Dynamic Yes    No
apmgr3                3    11       10.10.11.13    Dynamic Yes    No
apmgr4                4    11       10.10.11.14    Dynamic Yes    No
management            1    10       10.10.10.10    Static  No     No
virtual               N/A  N/A      192.0.2.1      Static  No     No

<CISCO2504> >

08_2500 WLC 前端口布局 2

在以上输出中，管理接口和 AP 管理器没有限制未绑定。在此场景中，可以在与管理接口不同的子网中创建多个 AP 管理器，并将其映射到不同的物理端口。

注意：内部 DHCP 服务器仅适用于启用了 DHCP 代理的无线客户端。

下面介绍思科 2500 系列无线控制器支持的一些场景和示例配置。

场景 1

端口 1 上配置了带有嵌入式 AP 管理器的管理接口。两个 WLAN 是在控制器上配置的。WLAN 1 和 WLAN 2 都映射到管理接口。

简单拓扑包含已连接到 Catalyst 3560 交换机的思科 2500 系列无线控制器。控制器上的千兆以太网端口 1 连接到交换机上的千兆以太网端口 1/0/1。

09_2500 WLC 拓扑图 1

10_2500 WLC 连接一根电缆

Switch#sh run int gig 1/0/1
Building configuration...

Current configuration : 123 bytes
!
interface GigabitEthernet1/0/1
 switchport trunk encapsulation dot1q
 switchport mode trunk
 spanning-tree portfast
end

Switch#

思科 2500 系列无线控制器上的管理接口配置非常简单明了，并且启用了动态 AP 管理。

11_2500 WLC 配置动态接口

配置了两个 WLAN。WLAN1 和 WLAN2 被映射到管理接口和服务客户端。

<CISCO2504> >show wlan summ

Number of WLANs.................................. 2

WLAN ID  WLAN Profile Name / SSID               Status    Interface Name
-------  -------------------------------------  --------  --------------------
1        WLAN1 / WLAN1                          Enabled   management
2        WLAN2 / WLAN2                          Enabled   management

<CISCO2504> >

DHCP 代理已启用的内部 DHCP 服务器

控制器以及此作用域服务 AP 和客户端上配置了 DHCP 服务器 TestVlan10，此作用域服务 AP 和客户端。控制器上的 DHCP 服务器的配置很简单。

<CISCO2504> >show dhcp summary

  Scope Name                   Enabled          Address Range
TestVlan10                       Yes      10.10.10.100 -> 10.10.10.200


<CISCO2504> >show dhcp detailed TestVlan10
Scope: TestVlan10

Enabled................................... Yes
Lease Time................................ 36400 <10 hours 6 minutes 40 seconds>
Pool Start................................ 10.10.10.100
Pool End.................................. 10.10.10.200
Network................................... 10.10.10.0
Netmask................................... 255.255.255.0
Default Routers........................... 10.10.10.10  0.0.0.0  0.0.0.0
DNS Domain................................
DNS....................................... 0.0.0.0  0.0.0.0  0.0.0.0
Netbios Name Servers...................... 0.0.0.0  0.0.0.0  0.0.0.0

<CISCO2504> >

这是从思科 2500 系列无线控制器 GUI 捕获的 DHCP 配置：

12_2500 WLC DHCP 范围

在所有思科无线控制器上都默认启用 DHCP 代理。

13_2500 WLC DHCP 参数

在以上所有配置中，在交换机上没有标记 VLAN10。来自交换机的所有流量都传输到控制器的端口 1。AP 和客户端流量被转发到无标记的控制器。

AP 连接到采用这些交换机端口配置的 Catalyst 交换机。交换机端口可以配置为中继端口或接入端口。

Switch#sh run int gig 1/0/9
Building configuration...

Current configuration : 132 bytes
!
interface GigabitEthernet1/0/9
 switchport trunk encapsulation dot1q
 switchport trunk native vlan 10
 switchport mode trunk
end

Switch#sh run int gig 1/0/10
Building configuration...

Current configuration : 66 bytes
!
interface GigabitEthernet1/0/10
 switchport access vlan 10
end

Switch#

AP 可以加入控制器，并且 AP 的状态可以在控制器上进行验证。有两个 AP 已加入控制器，在此捕获中可以通过状态确认：

<CISCO2504> >show ap join stats summary all

Number of APs.............................................. 2

Base Mac           AP EthernetMac     AP Name            IP Address       Status
00:22:90:96:69:00  00:22:90:90:ab:d3  AP0022.9090.abd3   10.10.10.103     Joined
ec:44:76:b9:7d:c0  c4:7d:4f:3a:e3:78  APc47d.4f3a.e378   10.10.10.105     Joined


<CISCO2504> >show ap summary

Number of APs.................................... 2

Global AP User Name.............................. Not Configured
Global AP Dot1x User Name........................ Not Configured

AP Name          Slots AP Model          Ethernet MAC      Location         
---------------- ----- ----------------- ----------------- ---------------- 
AP0022.9090.abd3  2    AIR-LAP1142N-A-K9 00:22:90:90:ab:d3 default location 
APc47d.4f3a.e378  2    AIR-CAP3502E-A-K9 c4:7d:4f:3a:e3:78 default location 

Port Country Priority
---- ------- ------
1       US      1
1       US      1

也可以通过控制器上的 AP 摘要验证加入控制器的 AP。配置 AP 的名称和 AP 安装的位置。

14_2500 WLC AP 常规设置

在“高可用性”下配置控制器名称和 IP 地址，以便准备 AP。

15_2500 WLC AP 高可用性设置

使用此配置，AP 将作为首选加入配置的控制器作为首选项加入。

DHCP 代理已禁用的外部 DHCP 服务器

这是一项通用的设置，所有思科控制器都在实践中用它执行部分部署。这些配置几乎与前面提到的相同，但已禁用 DHCP 代理。

16_2500 WLC 禁用 DHCP 代理

在此场景中，AP 管理器接口指向外部 DHCP 服务器。

注意：建议启用内部 DHCP 服务器或外部 DHCP 服务器。

ip dhcp excluded-address 10.10.11.1 10.10.11.150
!
ip dhcp pool VLAN11
   network 10.10.11.0 255.255.255.0
   default-router 10.10.11.1
!

DHCP 代理已启用的外部 DHCP 服务器

这是一项通用的设置，是面向所有思科控制器的最佳实践之一。此配置几乎与上一部分中介绍的配置相同，但 DHCP 代理被启用。

17_2500 WLC 启用 DHCP 代理

在此场景中的管理接口总是指向外部 DHCP 服务器。

ip dhcp excluded-address 10.10.11.1 10.10.11.150
!
ip dhcp pool VLAN11
   network 10.10.11.0 255.255.255.0
   default-router 10.10.11.1
!

场景 2

已启用 AP 管理器的管理接口映射到端口 1。动态接口 dynamic11 映射到另一个物理接口（端口 2）以传输数据流量。WLAN 1 映射到管理接口，WLAN 2 映射到动态接口。

18_2500 WLC 拓扑图 2

19_ 连接两根电缆

在控制器上配置多个 DHCP 作用域。此已配置的 DHCP 范围 TestVlan11 映射到控制器上配置的动态接口。

<CISCO2504> >show dhcp summary

  Scope Name                   Enabled          Address Range
TestVlan10                       Yes      10.10.10.100 -> 10.10.10.200
TestVlan11                       Yes      10.10.11.100 -> 10.10.11.200


<CISCO2504> >show dhcp detailed TestVlan11
Scope: TestVlan10

Enabled................................... Yes
Lease Time................................ 36400 <10 hours 6 minutes 40 seconds>
Pool Start................................ 10.10.11.100
Pool End.................................. 10.10.11.200
Network................................... 10.10.11.0
Netmask................................... 255.255.255.0
Default Routers........................... 10.10.11.10  0.0.0.0  0.0.0.0
DNS Domain................................
DNS....................................... 0.0.0.0  0.0.0.0  0.0.0.0
Netbios Name Servers...................... 0.0.0.0  0.0.0.0  0.0.0.0

<CISCO2504> >

DHCP 代理已启用的内部 DHCP 服务器

控制器上默认启用 DHCP 代理，如之前的截图所示。动态接口 dynamic11 已配置，并映射到 VLAN11。该接口还映射到已配置的内部 DHCP 服务器。没有为动态 AP 管理启用动态接口。

20_2500 WLC 物理和接口信息

已配置的 WLAN 之一映射到管理接口，第二个 WLAN 映射到已配置的动态接口 dynamic11。在此场景中配置需要使用主 DHCP 服务器，但必须将其指向管理接口。

21_2500 WLC 常规选项卡信息

DHCP 代理已禁用的外部 DHCP 服务器

22_2500 WLC DHCP参数代理已禁用

客户端成功从配置的外部 DHCP 服务器获取 IP 地址。因此，请验证内部 DHCP 服务器的状态，并确保内部 DHCP 服务器已禁用。

23_2500 WLC DHCP 范围

DHCP 代理已启用的外部 DHCP 服务器

24_2500 WLC DHCP 参数代理已启用

客户端成功从配置的外部 DHCP 服务器获取 IP 地址。

场景 3

已启用 AP 管理器的管理接口映射到端口 1。端口 2 配置为反向端口。WLAN 1 映射到管理接口。

25_2500 WLC 拓扑图 2

26_2500 WLC 连接两根电缆

在此场景中，管理接口和动态接口都可通过内部或外部 DHCP 服务器配置到端口 1。端口 1 和端口 2 连接到两台不同的交换机。这将为第 2 层和第 3 层交换机网络提供冗余，如以下拓扑和接口截图所示。

27_2500 WLC 接口地址配置

场景 4 - LAG

在 WLC 的 7.4 版及更高版本软件中，可以配置 LAG。请注意，无论连接多少个端口，2504 WLC 总吞吐量都是 1 Gbps。

在此场景下，WLC 2504 的端口 1 和端口 2 连接到同一台交换机的端口 8 和端口 10，这两个端口捆绑成端口通道 1。需要将所有 WLC 端口插入同一交换机（除非 VSS 中有 2 个 Catalyst 6000 或 VPC 中有 2 个 Nexus）。

(Cisco Controller) >show port summary

           STP   Admin   Physical   Physical   Link   Link
Pr  Type   Stat   Mode     Mode      Status   Status  Trap     POE
-- ------- ---- ------- ---------- ---------- ------ ------- -------
1  Normal  Forw Enable  Auto       1000 Full  Up     Enable  N/A
2  Normal  Forw Enable  Auto       1000 Full  Up     Enable  N/A
3  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A
4  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A


(Cisco Controller) >show lag summary

LAG Enabled

(Cisco Controller) >show interface summary


 Number of Interfaces.......................... 2

Interface Name                   Port Vlan Id  IP Address      Type    Ap Mgr Guest
-------------------------------- ---- -------- --------------- ------- ------ -----
management                       LAG  untagged 10.48.39.212    Static  Yes    No
virtual                          N/A  N/A      192.0.2.1       Static  No     No

(Cisco Controller) >show interface detailed management

Interface Name................................... management
MAC Address...................................... 84:78:ac:b2:19:cf
IP Address....................................... 10.48.39.212
IP Netmask....................................... 255.255.255.0
IP Gateway....................................... 10.48.39.5
External NAT IP State............................ Disabled
External NAT IP Address.......................... 0.0.0.0
VLAN............................................. untagged
Quarantine-vlan.................................. 0
Active Physical Port............................. LAG (13)
Primary Physical Port............................ LAG (13)
Backup Physical Port............................. Unconfigured
DHCP Proxy Mode.................................. Global
Primary DHCP Server.............................. 10.48.39.5
Secondary DHCP Server............................ Unconfigured
DHCP Option 82................................... Disabled
ACL.............................................. Unconfigured
mDNS Profile Name................................ Unconfigured
AP Manager....................................... Yes
Guest Interface.................................. No
L2 Multicast..................................... Enabled

现在无法为 WLC 上的接口选择端口，因为它们都连接到 LAG 端口捆绑包（始终显示为数字 13）。

在交换机上，参与捆绑包的所有端口都必须具有完全相同的配置（特别是干线本征 VLAN 和允许的 VLAN）。在本例中，允许的 VLAN 仅限于在 WLC 上使用的 VLAN，这是一种最佳实践。

接口与channel-group X mode on命令捆绑在一起，就会创建一个编号为X的端口信道接口。对配置的任何进一步更改都必须在端口通道接口上完成，而不再在各个端口上完成。

Nico3560C#show run int g0/8
Building configuration...

Current configuration : 208 bytes
!
interface GigabitEthernet0/8
 switchport access vlan 33
 switchport trunk encapsulation dot1q
 switchport trunk allowed vlan 1,30-39
 switchport mode trunk
 mls qos trust dscp
 channel-group 1 mode on
end

Nico3560C#show run int g0/10
Building configuration...

Current configuration : 182 bytes
!
interface GigabitEthernet0/10
 switchport trunk encapsulation dot1q
 switchport trunk allowed vlan 1,30-39
 switchport mode trunk
 mls qos trust dscp
 channel-group 1 mode on
end


Nico3560C#show etherchannel 1 summ
Flags:  D - down        P - bundled in port-channel
        I - stand-alone s - suspended
        H - Hot-standby (LACP only)
        R - Layer3      S - Layer2
        U - in use      f - failed to allocate aggregator

        M - not in use, minimum links not met
        u - unsuitable for bundling
        w - waiting to be aggregated
        d - default port


Number of channel-groups in use: 1
Number of aggregators:           1

Group  Port-channel  Protocol    Ports
------+-------------+-----------+-----------------------------------------------
1      Po1(SU)          -        Gi0/8(P)    Gi0/10(P)   

Nico3560C#

Nico3560C#show run int po1
Building configuration...

Current configuration : 131 bytes
!
interface Port-channel1
 switchport trunk encapsulation dot1q
 switchport trunk allowed vlan 1,30-39
 switchport mode trunk
end

 还需要在交换机全局范围内执行eterchannel load-balance src-dst-ip命令才能使之生效。

这些只是客户实施的一些设计，以便他们的客户端设备能够利用 CUWN 充分发挥无线服务的作用。

思科 2500 无线控制器部署指南

思科 2500 系列无线控制器上的以太网端口不能用作交换机端口（即，两台直接连接到这些端口的计算机无法彼此通信）。不要在这些端口上连接服务器（例如 DHCP、TFTP 等）并希望无线客户端和 AP 接收来自此 DHCP 服务器的 IP 地址。

思科 2500 系列无线控制器上的以太网端口只能用于连接/向上传输到配置为数据接口（管理接口和动态接口）或 AP 管理器接口的基础设施网络。

如果思科 2500 系列无线控制器上的多个以太网端口上行连接到基础设施交换机，请确保为这些上行连接的物理端口配置数据接口（管理或动态接口）或 AP 管理器接口。将物理以太网端口用作基础设施交换机的上行链路时，必须对这些端口进行配置。否则可能会导致意外行为。

思科 2500 系列无线控制器不支持组播-单播配置。因此，混合远程边缘接入点 (H-REAP)/Flexconnect AP 无法接收组播流量，因为 H-REAP/Flexconnect AP 只能使用组播-单播方式。

如果 AP 直接连接到思科 2500 控制器上的任何物理以太网端口，则这些物理端口上不得配置任何接口。AP 连接的物理端口必须处于未配置状态。

直连 AP 会从 AP 管理器子网获取 IP 地址。如果有多个 AP 管理器，则控制器会使用索引中排名靠前的 AP 管理器作为中继接口。AP 管理器根据其配置的名称（数字和字符）进行排序，具有最低配置名称的 AP 管理器在索引中会被首先排列。

要使直连 AP 从内部 DHCP 服务器获取 IP 地址，必须在控制器上启用 DHCP 代理（控制器本身配置为 DHCP 服务器）。如果禁用 DHCP 代理，则直接 AP 不会从内部 DHCP 服务器获取 IP 地址。在这种情况下，外部 DHCP 服务器必须正常工作，直连 AP 才可以获取 IP 地址。

Web Express Setup

在 7.6.130 版及更高版本中，WLC 提供了精简版 GUI。这是一种通过 GUI 配置 WLC 的方法，也是一种简化的监视控制面板，其中显示首次连接的时间。

首次 GUI 连接会看到以下内容：

28_2500 WLC 首次 GUI 连接


此页以易于访问的方式显示所有监视数据。要访问旧的完整GUI，请单击右上角Advanced 的。在“高级”模式下，除非配置了 WLC，否则不能返回到精简版 GUI。Express Setup GUI 有个优点是，在 WLC 页面的右上角有一个主页按钮，可用于返回 Express 版监视页面。

要通过 Express Setup GUI 配置 2504 WLC，请将 PC 连接到端口 2，等待 SYS LED 变绿，然后在浏览器中转到 192.168.1.1。这仅适用于端口 2，它允许连接 WLC 上的端口 1 以获得网络连接。

通过 Express Setup GUI 配置控制器还可以更改各种默认设置，以更好地适应小型企业部署。

29_2500 WLC Express Setup GUI


随即会出现专用的配置向导：

30_2500 WLC 向导 GUI


31_2500 WLC 控制器设置


注意：Express  GUI 设置向导（Day 0 界面）可以通过有线连接或无线连接的客户端来访问 。关于有线连接的 Easy GUI 设置向导只能通过有线客户端访问，并且在没有无线接入点连接到控制器时才会出现。如果插入了无线接入点并且它开始广播 CiscoAirprovision SSID，则无法再访问有线 GUI 向导，而只能通过 SSID 上连接的无线客户端完成 Easy GUI 设置配置。因此，要么是有线的，要么是无线的，但是此 GUI 向导不能在这两种情况下同时运行。

高可用性

在 7.5 版及更高版本的软件代码中，思科 2500 系列无线控制器可以作为 HA-SKU 购买。这意味着 2504 无线控制器可以用作 N+1 WLC。它仍然不支持 AP SSO。

HA SKU WLC 不需要许可证，它的作用是以防其移动组的任何其他 WLC 出现故障。然后，它可以支持 90 天的最大 AP 计数许可证，从原始 WLC 出现故障以及 APS 开始加入 HA-SKU 时算起。N+1 冗余中没有配置复制。有关 HA 的详细信息，请查阅高可用性部署指南。

启用 HA SKU 辅助单元时，也可以将非 HA SKU WLC 变为 HA SKU：

32_2500 WLC HA SKU 已启用