Cisco Wireless
Η Αρχιτεκτονικη Lightweight AP

Το σύγχρονο ασύρματο Cisco είναι βασισμένο σε controller: τα access points είναι σκόπιμα χαζά, και ένας Wireless LAN Controller είναι ο εγκέφαλος στον οποίο κάνουν όλα tunnel πίσω. Έτσι δουλεύει πραγματικά αυτή η αρχιτεκτονική — πώς ένα lightweight AP βρίσκει και συνδέεται στον controller του μέσω CAPWAP, το μοντέλο tag του Catalyst 9800 που ρυθμίζει όλο τον στόλο ταυτόχρονα, και το FlexConnect για κλάδους.

Cisco Wireless Lightweight AP CAPWAP Catalyst 9800 WLC

Όλο το νόημα της lightweight αρχιτεκτονικής είναι ρύθμισε τον στόλο, όχι τη συσκευή. Ένα lightweight AP δεν κρατάει δικό του SSID, κλειδί, ή αντιστοίχιση VLAN — κάνει boot, βρίσκει έναν Wireless LAN Controller, χτίζει ένα tunnel CAPWAP προς αυτόν (ένα κανάλι ελέγχου συν, στο default mode, ένα data tunnel), και κατεβάζει τα πάντα. Αντικατέστησε ένα νεκρό AP με ένα καινούργιο του ίδιου μοντέλου και κληρονομεί το config αυτόματα. Ένας controller — ένα hardware Catalyst 9800, το εικονικό 9800-CL, ή ένας ενσωματωμένος controller σε ένα switch — οδηγεί δεκάδες ή εκατοντάδες AP από ένα μέρος.

Δύο πράγματα να εσωτερικεύσεις: πώς το AP ανακαλύπτει το WLC (δεν είναι μαγεία — DHCP option 43, DNS, ή subnet broadcast), και το μοντέλο tag του 9800, που είναι το πώς στέλνεις config σε ομάδες AP ταυτόχρονα. Τα autonomous AP (IOS πάνω στο AP) υπάρχουν ακόμα για μεμονωμένα μικροσκοπικά sites, αλλά είναι πλέον η εξαίρεση — το lightweight μοντέλο είναι το πραγματικό ασύρματο Cisco. Είναι το απευθείας ανάλογο του κεντρικοποιημένου CAPsMAN του MikroTik, έναντι ενός μοναχικού standalone AP.

Προαπαιτουμενα

VLAN και DHCP — το AP παίρνει διεύθυνση και κάθε SSID αντιστοιχίζεται σε VLAN
Ένα WLC (hardware 9800, εικονικό 9800-CL, ή ενσωματωμένο) και lightweight AP ικανά για CAPWAP
Το config είναι ενδεικτικό — το syntax του 9800 είναι ανά έκδοση· επιβεβαίωσε στη δική σου σειρά

Πως ενα AP Βρισκει τον Controller του — CAPWAP Join

Πριν δουλέψει οτιδήποτε ασύρματο, το AP πρέπει να ανακαλύψει και να συνδεθεί στο WLC. Αυτό είναι το βήμα που αποτυγχάνει σιωπηλά σε μια φρέσκια ανάπτυξη, οπότε κατάλαβε τη σειρά ανακάλυψης.

Ένα εργοστασιακό lightweight AP κάνει boot, παίρνει IP μέσω DHCP, μετά κυνηγάει έναν controller με αυτή τη σειρά: μια τιμή DHCP option 43 (το IP διαχείρισης του WLC, δοσμένο από τον DHCP server σου), μια αναζήτηση DNS του CISCO-CAPWAP-CONTROLLER.<domain>, μετά ένα τοπικό subnet broadcast. Όποιο επιλυθεί του δίνει τη διεύθυνση WLC· χτίζει το tunnel CAPWAP, το WLC ελέγχει αν επιτρέπεται να συνδεθεί, στέλνει μια εικόνα αν διαφέρουν οι εκδόσεις, μετά το config. Κάν' το σωστά και το AP «απλώς εμφανίζεται» στον controller.

Η πιο αξιοπιστη διαδρομη ανάμεσα σε subnets — DHCP option 43

# Στον DHCP server για το VLAN του AP, δώσε το IP mgmt του WLC στο option 43.
# Σε IOS DHCP, sub-option f1 + hex της διεύθυνσης/ων του controller:
R1(config)# ip dhcp pool AP-VLAN
R1(dhcp-config)# option 43 hex f104.0a0a.0002   # f1 04 = 1 WLC, 0a0a0002 = 10.10.0.2
# (Οι servers MikroTik/άλλοι DHCP ορίζουν το ίδιο payload option 43.)
# Μετά στο WLC, επιβεβαίωσε ότι συνδέθηκε το AP:
WLC# show ap summary          # το AP εμφανίζεται εδώ μόλις ανέβει το CAPWAP

⚠ Παγιδα — Το «Το AP Δεν Συνδεεται» Ειναι Σχεδον Παντα Discovery ή Χρονος

Δύο τρόποι αστοχίας κυριαρχούν στις φρέσκιες συνδέσεις. Discovery: το AP είναι σε διαφορετικό subnet από το WLC και δεν υπάρχει εγγραφή option 43 / DNS, οπότε δεν μαθαίνει ποτέ τη διεύθυνση του controller — απλώς κάθεται εκεί. Διόρθωσε τη διαδρομή discovery για το VLAN του AP. Χρόνος/πιστοποιητικά: το CAPWAP κάνει authenticate με πιστοποιητικά, και αν το ρολόι του AP ή του WLC είναι τρελά λάθος (ή έχει λήξει το πιστοποιητικό ενός AP σε πολύ παλιό εξοπλισμό), η σύνδεση αποτυγχάνει με σφάλμα TLS. Βεβαιώσου ότι το NTP είναι σωστό στο WLC. Έλεγξε show ap join stats — σου λέει ακριβώς ποια φάση απέτυχε.

Ρυθμισε τον Στολο — το Μοντελο Tag του 9800

Στον controller ορίζεις επαναχρησιμοποιήσιμα δομικά στοιχεία και τα δένεις με tags σφραγισμένα πάνω σε AP. Τρία αντικείμενα σε βάζουν στον αέρα: ένα WLAN, ένα policy profile, και ένα policy tag.

C9800 — WLAN + policy profile + policy tag

# 1. WLAN: το SSID + ασφάλεια.
WLC(config)# wlan CORP-WLAN 1 CORP
WLC(config-wlan)# security wpa psk set-key ascii 0 S3cr3t-WiFi-Key
WLC(config-wlan)# security wpa wpa2 ; no shutdown

# 2. Policy profile: πού προσγειώνονται οι clients (VLAN) + συμπεριφορά.
WLC(config)# wireless profile policy CORP-POLICY
WLC(config-wireless-policy)# vlan 10 ; no shutdown

# 3. Το policy tag δένει WLAN -> policy· σφράγισέ το σε AP (ή σε ολόκληρη ομάδα).
WLC(config)# wireless tag policy CORP-TAG
WLC(config-policy-tag)# wlan CORP-WLAN policy CORP-POLICY
WLC(config)# ap 00aa.bbcc.ddee policy-tag CORP-TAG

💡 Τρια Tags, και Γιατι Υπαρχουν

Το 9800 χρησιμοποιεί τρεις τύπους tag και μαζί είναι η μαγεία διαχείρισης στόλου: το policy tag (ποια WLAN/policies τρέχει ένα AP), το RF tag (profile ραδιοσυχνότητας — ισχύς, κανάλια), και το site tag (ποιες ρυθμίσεις controller/flex και profile σύνδεσης AP). Όρισέ τα μία φορά, σφράγισέ τα σε ομάδες AP, και ένα νέο AP που συνδέεται κληρονομεί τα πάντα τη στιγμή που εφαρμόζεις τα tags του. Φαίνεται βαρύ για ένα μοναδικό SSID αλλά είναι ακριβώς ο λόγος που ένας μηχανικός μπορεί να τρέχει ένα campus 200 AP — η ίδια ιδέα «ρύθμισε τον στόλο» με τους κανόνες provisioning του CAPsMAN του MikroTik.

Κλαδοι — FlexConnect & Τοπικο Switching

By default ένα lightweight AP κάνει tunnel όλα τα δεδομένα client πίσω στο WLC (central switching). Για έναν κλάδο με το WLC του σε μακρινό datacenter, αυτή είναι τρομερή διαδρομή. Το FlexConnect αφήνει το AP να κάνει switch την κίνηση client τοπικά ενώ παραμένει κεντρικά διαχειριζόμενο.

C9800 — ενα profile κλαδου FlexConnect (τοπικο switching)

# Στο central switching, ένας guest στον κλάδο κάνει hairpin στο WLC του HQ και πίσω
# μόνο για να φτάσει τον εκτυπωτή του κλάδου. Το FlexConnect το κάνει switch τοπικά αντ' αυτού.
WLC(config)# wireless profile flex BRANCH-FLEX
WLC(config-wireless-flex-profile)# native-vlan-id 1
WLC(config)# wireless profile policy CORP-POLICY
WLC(config-wireless-policy)# no central switching   # κάνε switch τα δεδομένα client στο AP
WLC(config-wireless-policy)# no central dhcp
# Δέσε το BRANCH-FLEX μέσω του site tag στα AP του κλάδου. Μπόνους: τα AP
# FlexConnect μπορούν να συνεχίσουν να εξυπηρετούν γνωστά SSID ακόμα κι αν πέσει το WAN προς το WLC.

VLAN-ανα-SSID & Επαληθευση Ασφαλες να το Τρεξεις

Αντιστοίχισε κάθε SSID στο δικό του VLAN — guest/staff/IoT διαχωρισμένα, ακριβώς όπως το ενσύρματο — μετά επιβεβαίωσε ότι συνδέθηκαν τα AP, τα WLAN είναι up, και οι clients προσγειώνονται εκεί που πρέπει.

C9800 — ενα WLAN guest + ο ελεγχος υγειας

WLC(config)# wlan GUEST-WLAN 2 GUEST
WLC(config-wlan)# security wpa psk set-key ascii 0 Guest-Pass ; security wpa wpa2 ; no shutdown
WLC(config)# wireless profile policy GUEST-POLICY
WLC(config-wireless-policy)# vlan 20 ; no shutdown   # απομονωμένο VLAN guest

# --- Επαλήθευση ---
WLC# show ap summary              # AP συνδεδεμένα (CAPWAP up), μοντέλο, uptime
WLC# show ap join stats           # πρώτη στάση όταν ένα AP δεν συνδέεται
WLC# show wireless client summary  # clients, το WLAN τους + ανατεθειμένο VLAN

Συμπερασματα

Lightweight = ρύθμισε τον στόλο, όχι τη συσκευή. Τα AP δεν κρατάνε τοπικό config· κάνουν tunnel σε ένα WLC μέσω CAPWAP και κατεβάζουν τα πάντα.
Το discovery είναι το βήμα που αποτυγχάνει σιωπηλά — DHCP option 43, DNS, ή subnet broadcast δίνουν στο AP τη διεύθυνση του WLC. Ανάμεσα σε subnets, χρησιμοποίησε option 43.
Το «δεν συνδέεται» είναι σχεδόν πάντα discovery ή χρόνος/πιστοποιητικά — έλεγξε show ap join stats και το NTP του WLC.
Το 9800 οδηγείται από tags: WLAN + policy profile δεμένα με policy tag, με RF και site tags — όρισέ τα μία φορά, σφράγισέ τα σε ομάδες AP.
Το FlexConnect κάνει switch την κίνηση client τοπικά σε AP κλάδων και τα κρατάει να εξυπηρετούν αν πέσει το WAN προς το WLC — μην κάνεις hairpin την κίνηση κλάδου σε απομακρυσμένο controller.
Ένα SSID ανά VLAN για διαχωρισμό guest/staff/IoT, όπως το ενσύρματο.

Ενα campus ή ξενοδοχειο οπου το Wi-Fi ειναι μια στοιβα απο αδιαχειριστα AP;

Σχεδιάζω ασύρματο βασισμένο σε controller πάνω σε Catalyst 9800 και MikroTik — συνδέσεις CAPWAP που δουλεύουν από την πρώτη φορά, SSID διαχωρισμένα με VLAN, FlexConnect για κλάδους, και roaming που ένα τηλέφωνο δεν καταλαβαίνει καν ότι συμβαίνει.

Κλεισε μια Discovery Call →