Настройка WLC Cisco 2504 и AP 1702i в домашней сети

Cisco WLC 2504 + AIR-CAP1702I-R-K9 — финальная инструкция для домашней сети

1. Исходные данные

• Сеть: 192.168.1.0/24
• Шлюз: 192.168.1.1
• DHCP: 192.168.1.1
• DNS: 192.168.1.1
• NTP: 192.168.1.1 (OPNsense)
• WLC: 192.168.1.214
• AP_1: 192.168.1.215
• AP_2: 192.168.1.216
• Uplink WLC: порт 1
• SSID 2.4 ГГц: RichDomRu
• SSID 5 ГГц: RichDom_5G

Принятая логика:

• обе точки работают в режиме Local
• primary controller для обеих AP — WLC2504_HOME / 192.168.1.214
• управление по Wi-Fi оставлено включённым по твоему решению
• HTTP на WLC отключён, управление через HTTPS
• IPv6 на WLC отключён

2. Базовая схема

• WLC management/uplink — порт 1
• AP можно подключать напрямую в WLC
• обе AP заведены на WLC и joined
• сейчас у тебя AP_1 временно сидит за портом 1, это допустимо как временная схема
• AP_2 тоже joined и работает

3. Первичный сброс и запуск WLC

Подключение к консоли:

• 9600
• 8N1
• без flow control

На приглашении ввести:

Параметры startup wizard

Ключевые моменты:

• LAG = no
• Management VLAN = 0
• Management Port = 1
• country code = RU
• NTP в day0 задаётся по IP, не по имени

4. Проверка WLC после запуска

Открывать GUI сразу по:

Проверка через CLI:

Контрольный признак лицензии:

• base-ap-count = Permanent, Active, In Use
• у тебя лицензия на 15 AP, этого более чем достаточно

5. OPNsense как NTP-сервер

На OPNsense:

• Services → Network Time → General
• Interface(s) = All или минимум LAN + WAN
• задать или оставить внешние NTP-серверы
• проверить Status

Часовой пояс на OPNsense:

• System → Settings → General → Time zone
• выбрать реальный timezone, а не просто смещение часов

6. Базовые сетевые настройки WLC после запуска

DNS

GUI:

• Controller → General → DNS Server IP
• значение: 192.168.1.1

CLI:

NTP

GUI:

• Controller → NTP → Server → New

Параметры:

• Server Index = 1
• Server Address = 192.168.1.1
• Authentication = Disabled

HTTPS

GUI:

• Management → HTTP-HTTPS
• HTTP Access = Disabled
• HTTPS Access = Enabled

IPv6

GUI:

• Controller → General → Global IPv6 Config → Disabled

CLI:

7. Подготовка б/у AP AIR-CAP1702I-R-K9

Дефолтные учётные данные после сброса

• username: Cisco
• password: Cisco

Важно:

• чувствительны к регистру
• на некоторых lightweight AP может запрашиваться только пароль
• если уже есть доступ в #, сброс пароля не нужен

Сброс кнопкой MODE

Если нужно:

1. выключить питание AP
2. зажать MODE
3. подать питание
4. держать кнопку около 20 секунд

8. Если AP не находит WLC автоматически

С консоли AP:

WLC2504_HOME — это имя контроллера.

9. Два отдельных сертификатных барьера на старых AP

Это самый важный практический раздел.

9.1. Барьер №1 — MIC AP, DTLS/CAPWAP не поднимается

Симптом:

• в логе AP ошибки вида Certificate unknown
• DTLS не поднимается
• join не проходит

Workaround на WLC:

Именно это у тебя позволило пройти первый этап.

9.2. Барьер №2 — AP скачивает образ, но не принимает его

Симптомы в логе AP:

• Required image not found on AP. Downloading image from Controller
• Image signing certificate validation failed
• AP image integrity check FAILED

Это уже другая проблема: истёк сертификат подписи AP image.

Workaround

Временно на WLC:

1. убрать/отключить NTP
2. выставить дату на декабрь 2022
3. перезагрузить AP
4. дать AP скачать и установить образ
5. потом вернуть правильное время и NTP

Практически:

После этого AP должна пройти стадии:

• Image signing certificate validation succeeded
• AP image integrity check PASSED
• image upgrade successfully, system is now reloading
• %CAPWAP-5-JOINEDCONTROLLER: AP has joined controller WLC2504_HOME

После успешного join:

• вернуть правильное время
• снова включить NTP 192.168.1.1

10. Что означает успешный процесс AP ↔ WLC

Цепочка такая:

1. AP загружается со своего lightweight-образа
2. получает IP
3. находит WLC
4. поднимает DTLS/CAPWAP
5. отправляет Join Request
6. при необходимости скачивает новый образ с WLC
7. проверяет подпись и целостность образа
8. перезагружается
9. joined к контроллеру уже с нужной версией

В твоём кейсе было два разных сбоя:

• сначала на этапе DTLS из-за MIC
• потом на этапе image validation из-за истёкшей подписи образа

11. Текущее рабочее состояние AP

У тебя сейчас:

• точки переименованы в AP_1 и AP_2
• статические IP заданы:
  • AP_1 = 192.168.1.215
  • AP_2 = 192.168.1.216
• DNS для AP = 192.168.1.1
• gateway для AP = 192.168.1.1
• обе точки в режиме Local
• в разделе HA на обеих AP прописаны:
  • Primary Controller Name = WLC2504_HOME
  • Primary Controller IP = 192.168.1.214
• обе точки joined стабильно

12. WLAN — финальная логика

Если после сброса есть WLAN none, удалить её.

Создать две WLAN.

WLAN 1 — 2.4 ГГц

• Profile Name = RichDomRu
• SSID = RichDomRu
• Interface = management
• Status = Enabled

WLAN 2 — 5 ГГц

• Profile Name = RichDom_5G
• SSID = RichDom_5G
• Interface = management
• Status = Enabled

13. Безопасность WLAN — важный нюанс

На новой WLAN по умолчанию может остаться 802.1X.
Для домашней сети это неправильно, если ты хочешь обычный пароль.

Нужно вручную переключить на PSK.

Путь

WLANs → <SSID> → Security → Layer 2

Для обеих WLAN должно быть

• Layer 2 Security = WPA+WPA2
• 802.1X = Off
• PSK = On
• WPA2 Policy = Enabled
• AES = Enabled
• ввести PSK / Passphrase

Если хочешь максимально современно и жёстко, можно оставить только WPA2/AES без старого WPA/TKIP.

14. Привязка WLAN к диапазонам

Это делается не на AP, а через Radio Policy самой WLAN.

Для RichDomRu

• Radio Policy = 802.11bg

Для RichDom_5G

• Radio Policy = 802.11a-only

Именно так SSID жёстко разделяются по диапазонам:

• RichDomRu только 2.4 ГГц
• RichDom_5G только 5 ГГц

15. Flex vs Local

Для твоего сценария оставляем Local.

Почему:

• обе точки проводные
• стоят рядом с WLC
• клиентский трафик в Local туннелируется через WLC
• FlexConnect тебе здесь не нужен

16. Mesh

Mesh в твоём сценарии не нужен.

Почему:

• обе AP подключены проводом
• нет задачи строить беспроводную backhaul-связь между AP

Вкладку Mesh не трогать.

17. mDNS / Bonjour

У тебя одна плоская сеть.

Значит:

• обычный локальный mDNS и так работает сам по себе в одной подсети
• mDNS Gateway на WLC тебе не нужен
• список сервисов mDNS на WLC — это просто база известных типов сервисов

То есть WLC здесь не нужен для “резолвинга локальных имён в одной плоской сети”.

18. Радионастройки 2.4 ГГц

Текущее принятое состояние:

• только каналы 1 / 6 / 11
• этого достаточно
• ширина канала в 2.4 ГГц по сути остаётся 20 MHz

Это правильная домашняя схема.

19. Радионастройки 5 ГГц — итоговое решение

Мы обсудили два варианта:

Вариант-компромисс

• 40 MHz
• каналы 36/40/44/48

Вариант под максимум скорости

Ты в итоге выбрал:

• ширина канала 80 MHz
• оставлены две независимые 80-MHz группы:
  • 36 / 40 / 44 / 48
  • 52 / 56 / 60 / 64

Если каждая точка реально сидит на своём 80-MHz блоке, это хорошая схема под максимум скорости.

20. DFS — что это и как у тебя сейчас

Каналы 52/56/60/64 — это DFS.

Это значит:

• AP обязана следить за радарами
• при срабатывании DFS может уйти с канала
• возможны кратковременные перестройки

У тебя DFS sensitivity / DCA sensitivity оставлена в режиме Medium.

Это разумный компромисс:

• не слишком вяло
• не слишком нервно

Оставляем так.

21. Почему скорость не была выше 54 Мбит/с

На практике это оказался не Wi-Fi, а включённый VPN.

Проверка показала, что клиент работает нормально:

• Wi-Fi 5 (802.11ac)
• 5 ГГц
• negotiated rate около 400/360 Mbps

То есть радиочасть уже была в порядке, а скорость резал VPN.

22. CleanAir

CleanAir Admin Status — административное состояние
CleanAir Oper Status — фактическое рабочее состояние

Для дома CleanAir не критичен.
Если всё работает стабильно, специально вокруг него ничего крутить не надо.

23. Что у тебя уже считается финально принятым

На WLC

• IPv6 отключен
• DNS = 192.168.1.1
• NTP = 192.168.1.1
• HTTPS используется
• HTTP отключён
• mgmt-via-wireless оставлен включённым по твоему решению
• время точное
• country code = RU
• config ap cert-expiry-ignore mic enable оставлен включённым

На AP

• AP_1 и AP_2
• статические IP
• режим Local
• HA / primary controller прописан
• обе joined

По радио

• 2.4 ГГц: 1/6/11
• 5 ГГц: 80 MHz
• группы:
  • 36/40/44/48
  • 52/56/60/64
• DFS = Medium

По WLAN

• две отдельные сети:
  • RichDomRu — 2.4 ГГц
  • RichDom_5G — 5 ГГц
• security переведена с 802.1X на PSK

24. Итоговый порядок действий на будущее

1. Сбросить WLC через Recover-Config
2. Пройти wizard
3. Проверить IP, лицензии, время
4. Настроить OPNsense как NTP
5. На WLC прописать DNS/NTP
6. Включить HTTPS
7. Отключить IPv6
8. Подключить AP
9. Если AP не discover — прописать WLC IP на AP
10. Если DTLS ломается — config ap cert-expiry-ignore mic enable
11. Если образ не ставится — временно откатить время WLC на декабрь 2022
12. Дать AP скачать образ и joined
13. Вернуть правильное время и NTP
14. Переименовать AP и задать статические IP
15. Прописать HA / primary controller
16. Создать WLAN
17. Перевести security с 802.1X на PSK
18. Разделить WLAN по диапазонам через Radio Policy
19. Настроить радио
20. Проверить клиентов и реальную работу