WLN00058轻量级无线接入点不能加入到无线控制器的故障排除Word文件下载.docx
- 文档编号:16505730
- 上传时间:2022-11-24
- 格式:DOCX
- 页数:31
- 大小:37.03KB
WLN00058轻量级无线接入点不能加入到无线控制器的故障排除Word文件下载.docx
《WLN00058轻量级无线接入点不能加入到无线控制器的故障排除Word文件下载.docx》由会员分享,可在线阅读,更多相关《WLN00058轻量级无线接入点不能加入到无线控制器的故障排除Word文件下载.docx(31页珍藏版)》请在冰豆网上搜索。
ErrorMessageAPcannotjoinbecausethemaximumnumberofAPsoninterface2isreached(错误信息,因为接口2上的AP数量已经最大,所以AP不能加入)
症状4:
SCC证书的AP,控制器SCCAP的策略是未启用的
症状5:
WLC上启用了AP授权列表,但是LAP不在授权列表里面
症状6:
SSC证书的公有hash密钥错误或丢失
症状7:
AP上的证书或者公有密钥损坏
症状8:
控制器可能工作在2层模式
症状9:
转换成LWAPP后,在AP上看到这种错误信息
症状10:
控制器不在当前的VLAN里收到AP的discovery信息(你可以看到discovery信息,但是看不到response)
症状11:
1250LAP不能加入WLC
症状12:
AP不能加入WLC,因为防火墙阻止了一些必要的端口
NetPro论坛-FeaturedConversations
相关信息
这篇文档简单介绍了无线控制器(以下简称WLC或者控制器)的发现和加入过程,也提供了有关于为什么轻量级无线接入点(以下简称LAP)加入WLC失败以及如何解决这种问题的信息。
知识需求
Cisco建议您对以下知识点有所了解:
∙配置LAP和WLC的基本知识;
∙轻量级无线接入点协议(以下简称LWAPP)的基本知识
参阅理解轻量级无线接入点协议(LWAPP)[UnderstandingtheLightweightAccessPointProtocol(LWAPP)]以获得更多信息
通用定义
参阅思科技术通用提示[CiscoTechnicalTipsConventions]获得更多这方面的信息
无线控制器发现和加入过程概述
在思科统一无线网络里,LAP在为无线客户端提供服务前,必须先发现并加入到WLC。
早期的控制器只能在工作在2层模式。
在2层模式下,LAP必须和控制器的管理接口在同一个子网内,控制器并不提供3层模式的AP管理接口。
LAP和控制器之间只通过2层封装(以太网封装)方式进行通信,并不需要通过DHCP方式获得一个IP地址。
当控制器发展到能够提供3层工作模式的时候,一个全新的被称之为AP管理接口的3层接口被引入。
在3层模式下,LAP可以先通过DHCP方式获得一个IP地址,然后通过IP地址的方式向管理接口发送发现请求(以下称为discoveryrequest)。
这种方式可以允许LAP和控制器上的管理接口不在同一个子网内。
目前,主要的工作模式是3层模式,有些控制器和LAP只能提供3层工作模式。
然而,这就带来了一个新的问题:
当LAP和控制器位于不同的子网时,LAP如何知道控制器管理接口的IP地址?
在2层工作模式下,LAP和控制器必须在同一个子网内。
在3层工作模式下,控制器和LAP之间就好比是在网络中玩捉迷藏。
如果不通过DHCP选项43或者"
Cisco-lwapp-controller@local_domain"
的DNS方式或者静态配置的方式把控制器的管理接口IP地址通告给LAP,LAP就不知道如何在网络中找到控制器的管理接口。
在这些方式之外,LAP能够通过255.255.255.255的本地广播方式自动来寻找同一子网内的控制器。
同样的,LAP在重启时能够储存任何一个曾经加入过的控制器的管理接口IP地址。
因此,如果您将一个LAP第一次放入到本地子网内,它最终会找到控制器的管理接口并记住地址。
这就是所谓的启动(priming)。
如果您在LAP启动之后再放入,这并不能帮助LAP找到控制器。
因此,思科建议使用DHCP选项43或者DNS方式。
当LAP在寻找控制器时,他们并不会知道控制器是工作在2层模式还是3层模式的。
因此,LAP在连接管理接口的地址之前,需要发送一个discoveryrequest,然后控制器通过发送发现回应(以下称为discoveryreply)来告诉LAP该控制器的工作模式。
如果控制器是工作在3层模式的,discoveryreply会包含3层的AP管理地址,以便于LAP接下来可以向AP管理接口发送加入请求(以下称为joinrequest)。
LWAPP模式的AP在启动时通过以下进程来启用3层模式:
1.如果事先没有配置静态IP地址,LAP在启动的时候需要通过DHCP方式来获得一个IP地址
2.LAP通过各种发现算法向控制器发送discoveryrequest,并建立控制器清单。
从本质上讲,为了要建立控制器清单,LAP会学习到尽可能多的控制器的管理接口地址,通过:
a.DHCP选项43(适合于全球化公司,因为这种公司,通常办公室和控制器在不同的地方)
b.DNS条目:
“cisco-lwapp-controller”(适合于本地性公司,也可以被用来使全新的AP找到可供加入的WLC)
c.LAP先前储存的控制器的管理口IP地址
d.子网内的3层广播
e.通过空中接口提供
f.静态的配置信息
从这些发现方式中,你会发现,最简单的方法是将LAP和控制器的管理接口部署在同一个子网内,并允许LAP通过3层广播方式去发现控制器。
这种方法可以应用于网络规模比较小,并且没有本地DNS服务器的小型企业。
下一个简单的部署方法是使用DNS和DHCP方式。
相同的DNS名字可以有多个条目,这可以让LAP发现多个控制器。
这种方法可以应用于所有控制器在同一个地点,并拥有本地DNS服务器的企业。
或者是拥有多个DNS后缀并通过后缀来区分控制器的企业。
大型企业通常会使用DHCP选项43方式,并通过DHCP方式使信息本地化。
使用这种方式的大型企业通常都只会有一个DNS条目。
例如,思科在欧洲,澳大利亚和美国都有办公场所,为了确保LAP只加入本地的控制器,就不能使用DNS方式,必须使用DHCP选项43告诉LAP他们本地控制器管理接口的IP地址。
最后,如果网络里面没有DCHP服务器的话,就需要使用静态配置了。
您可以通过console口连接AP,并通过CLI方式静态配置LAP所要加入到控制器的必要信息,关于如何使用的APCLI方式静态配置控制器信息的方法,请参阅利用接入点CLI手动配置控制器[ManuallyConfiguringControllerInformationUsingtheAccessPointCLI.].
如需了解LAP用来发现控制器的不同发现算法的详细解释,请参阅LAP注册到WLC[LAPRegistrationwithWLC.]
如需了解在DHCP服务器上配置DHCP选项43的更多信息,请参阅为思科aironet轻量级无线接入点提供DHCP选项43的配置实例[DHCPOPTION43forLightweightCiscoAironetAccessPointsConfigurationExample.]
3.LAP会向控制器列表上的所有的控制器发送discoveryrequest并等待控制器回应discoveryreply,回应中会包括系统名字,AP管理接口IP地址,每个AP管理接口上已经连接的AP数量,以及控制器剩余的可承载AP的数量。
4.基于生成的控制器列表,LAP通过以下顺序向控制器发送joinrequest(前提是AP收到该控制器发送的discoveryreply)
a.第一个(primary)控制器系统名(该系统名先前已经配置在LAP上)
b.第二个(secondary)控制器系统名(该系统名先前已经配置在LAP上)
c.第三个(tertiary)控制器系统名(该系统名先前已经配置在LAP上)
d.主控制器(如果AP没有配置primary、secondary、tertiary控制器名字,用来使新LAP知道所要加入的控制器)
e.如果以上几个环节没有的话,将启用控制器间的负载均衡。
该负载均衡通过discoveryresponse中所包含的控制器剩余承载能力这个值来实现。
如果两个控制器剩余的承载能力相同的话,AP会向第一个回应discoveryresponse的控制器发送joinrequest。
如果一个控制器上有多个AP管理接口,将向关联AP最少的AP管理接口发送joinrequest。
控制器会回应所有的discoveryrequest,并不检查AP的证书或者AP是否符合信任策略。
然而,joinrequest必须包含一个有效的认证信息,否则将无法从控制器处收到joinresponse。
如果LAP无法从它选择的控制器处收到joinresponse,LAP会尝试向列表中的下一个控制器发送joinrequest。
如果控制器是配置好加入顺序的(primary/secondary/tertiary),就算LAP收不到joinresponse,也不会向加入顺序之外的其他控制器发送joinrequest。
5.当LAP收到一个joinreply之后,它会检查自己的软件镜像是否和控制器上的相同。
如果不同,AP需要从控制器处下载软件镜像,然后重启并加载新的软件镜像。
重启之后,AP需要重新从步骤1开始。
6.如果AP和控制器上的软件镜像相同,AP需要向控制器请求配置信息,然后AP在控制器上才会显示状态是已注册。
在AP下载完配置信息后,AP可能会再次重启来应用新的配置。
因此,可能会有额外的重启发生,但这是一种正常的行为。
从控制器端Debug
在控制器上,在CLI界面,可以使用一些debug命令来查看LAP加入无线控制器的整个过程:
∙debuglwappeventsenable—显示discovery数据包和join数据包.
∙debuglwapppacketenable—显示数据包级别的discovery和join信息
∙debugpmpkienable—显示认证确认过程
∙debugdisable-all—关闭所有的debug.
在终端上可以导出日志信息,通过console方式、SSH或者telnet方式登陆到控制器,输入以下命令:
configsessiontimeout120
configserialtimeout120
showrun-config(输入空格键来收集所有的信息)
debugmacaddr<
ap-mac-address>
(使用xx:
xx:
xx格式)
debugclient<
debuglwappeventsenable
debuglwapperrorsenable
debugpmpkienable
在收集完debug信息之后,使用debugdisable-all命令来关闭所有的debug命令。
下一个部分显示的是,当LAP注册到控制器的时候,这些debug命令所输出的信息。
debuglwappeventsenable
这个命令提供了一些在LWAPPdiscovery和join过程中,发生的LWAPP的事件和错误信息。
如下所示,是debuglwappeventsenable命令的输出信息,前提是LAP和它所要注册的WLC拥有相同的image。
注意:
因为空间的限制,有一些输出的信息被移到了下一行。
debuglwappeventsenable
WedOct2416:
59:
352007:
00:
0b:
85:
5b:
fb:
d0ReceivedLWAPPDISCOVERYREQUESTfrom
AP00:
d0to00:
33:
52:
80onport'
2'
!
---LAP向WLC发送LWAPPdiscoveryrequest
fb:
d0Successfultransmissionof
LWAPPDiscovery-ResponsetoAP00:
d0onPort2
---WLC向LAP回应discoveryrequest
462007:
d0ReceivedLWAPPJOINREQUESTfrom
81onport'
---LAP向WLC发送joinrequest
d0APap:
d0:
txNonce00:
0B:
80rxNonce00:
5B:
FB:
D0
d0LWAPPJoin-RequestMTUpathfrom
d0is1500,remotedebugmodeis0
d0SuccessfullyaddedNPUEntryfor
d0(index55)SwitchIP:
10.77.244.211,SwitchPort:
12223,intIfNum2,
vlanId0APIP:
10.77.244.219,APPort:
49085,nexthopMAC:
d0
d0Successfullytransmissionof
LWAPPJoin-ReplytoAP00:
d0
---WLC向LAP回应joinreply
d0RegisterLWAPPeventfor
d0slot0--LAPregisterswiththeWLC
482007:
d0ReceivedLWAPPCONFIGUREREQUESTfrom
81
---LAP从WLC处请求配置信息
d0UpdatingIPinfofor
d0--static1,10.77.244.219/255.255.255.224,gtw10.77.244.220
spamVerifyRegDomainRegDomainsetfor
slot0code0regstring-AregDfromCb-AB
slot1code0regstring-AregDfromCb-AB
SendAPTimesyncof1193245188sourceMANUAL
spamEncodeDomainSecretPayload:
Senddomainsecret
TSWEBRET<
0d,59,aa,b3,7a,fb,dd,b4,e2,bd,b5,e7,d0,b2,52,4d,ad,21,1a,12>
to
LWAPPConfig-MessagetoAP00:
---WLC回应LAP并提供所有必需的配置信息。
RunningspamEncodeCreateVapPayloadforSSID'
eapfast'
WPA'
webauth'
.
LWAPPChange-State-EventResponsetoAP00:
d0ReceivedLWAPPUpeventfor
d0slot0!
---LAP已经启动并可以给无线客户端提供服务
d0ReceivedLWAPPCONFIGURECOMMANDRESfrom
d0ReceivedLWAPPRRM_CONTROL_RESfrom
---WLC将所有的RRM(radioresourcemanagement)和其他的配置信息细节发送到LAP上。
正如上面章节所提到的,一旦LAP注册到WLC上,它会检测是否和控制器上的软件镜像一致。
如果LAP上的软件镜像和WLC上的不同,LAP会首先从WLC下载新的软件镜像。
如果LAP上的软件镜像和WLC上的相同,LAP会继续从WLC下载配置和其他的一些参数。
如果LAP在注册过程中从控制器上下载软件镜像,因为这也是LAP注册的一部分,所以可以从debuglwappeventsenable这条命令的输出中看到相应的信息:
WedOct2417:
49:
402007:
d0ReceivedLWAPPIMAGE_DATA_RESfrom
一旦下载完毕,LAP会重启,并再次运行discovery和join算法。
debugpmpkienable
在LAP的加入过程中,WLC需要通过检测LAP的证书是否有效来对LAP进行验证。
在AP向WLC发送LWAPPjoinrequest的时候,它会把自己的X.509证书包含在LWAPP消息中。
LWAPP的joinrequest消息里面还包括AP所生成的随机会话ID。
当WLC收到LWAPP的joinrequest的时候,WLC使用AP的公有密钥来验证X.509证书的有效性,同时也检测该证书是否由受信任的证书机构发布。
WLC会通过验证证书起始日期和时间来检查AP证书的有效性,同时和自己的日期和时间进行对比。
(因此控制器的时钟最好是和当前的日期和时间接近)。
如果X.509的证书是有效的,WLC会生成一个随机AES加密密钥。
WLC会将该加密密钥放到加密引擎中,使得后续WLC和AP之间交换的LWAPP控制信息能够被加密和解密。
需要注意的是,在LAP和控制器之间的LWAPP隧道中的数据包是以明文形式进行传输的。
Debugpmpkienable这条命令显示的是LAP在加入到控制器阶段时,证书确认过程的信息。
如果AP有一个由LWAPP转换程式创建的自我签署证书(下面简称SSC),Debugpmpkienable这条命令也会显示加入过程中AP的哈希密钥。
如果AP用的是由制造商安装的证书(下面简称MIC),你将不能看到这个哈希密钥。
所有在2006年6月后制造的AP,都会有制造商安装的证书(MIC)。
当有MIC证书的LAP需要加入到控制器时,通过debugpmpkienable命令可以看到这种信息:
ThuOct2513:
592007:
sshpmGetIssuerHandles:
lockingcacerttable
sshpmGetIs
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- WLN00058 轻量级 无线 接入 不能 加入 控制器 故障 排除
![提示](https://static.bdocx.com/images/bang_tan.gif)