Настройка WLC Cisco 2504 и AP 1702i в домашней сети

Cisco WLC 2504 — первичная настройка для домашней сети

Исходные данные

• Сеть: 192.168.1.0/24
• Шлюз: 192.168.1.1
• DHCP-сервер: 192.168.1.1
• IP WLC: 192.168.1.214
• AP1: 192.168.1.215
• AP2: 192.168.1.216
• Uplink WLC: порт 1
• SSID 2.4 GHz: RichDomRu
• SSID 5 GHz: RichDom_5G

Комментарий: реальные PSK лучше не хранить в Wiki, а подставлять вручную.

1. Схема подключения

• WLC порт 1 → в коммутатор / домашнюю сеть
• Точки доступа → в коммутатор / PoE-коммутатор / PoE-инжектор
• Все устройства должны находиться в одной сети 192.168.1.0/24

Комментарий: для первого запуска лучше не использовать WLC как “мини-коммутатор”, а подключить и WLC, и AP через обычный switch. Management interface на AireOS — основной интерфейс для in-band управления и связи с AP.

2. Подключение к консоли

Параметры консоли:

• 9600
• 8N1
• без flow control

3. Сброс старой конфигурации

После загрузки появится приглашение:

Ввести:

Комментарий: это сбрасывает конфигурацию и запускает первичную настройку заново. После factory default можно снова пройти initial setup / wizard.

4. Параметры startup wizard

После перезагрузки пройти мастер и ввести:

Краткие комментарии к ключевым полям

LAG = no
Используется один uplink, агрегация не нужна.

Management VLAN = 0
Это untagged/native VLAN.

Management Port = 1
Это физический порт WLC, куда подключён uplink.

SSID = none
Удобнее сначала поднять сам контроллер, а WLAN создать потом вручную.

Country Code = RU
Должен совпадать с regulatory domain точек доступа. Иначе AP могут не join.

NTP = 192.168.1.1
В day0 Cisco рекомендует использовать именно достижимый IP-адрес NTP-сервера; для AP/первичного сценария FQDN не считается надёжным вариантом.

5. Первичная проверка после загрузки

После завершения мастера зайти на:

Через CLI проверить:

По лицензиям в данном случае:

Комментарий: здесь важно убедиться, что base-ap-count имеет статус Permanent, Active, In Use. Это означает, что на контроллере есть постоянная лицензия на точки доступа. Для домашнего сценария с 2 AP этого более чем достаточно. Проверку лицензий Cisco рекомендует делать через show license all.

6. Настройка OPNsense как NTP-сервера для WLC

6.1. Настройка на OPNsense

Перейти:

Services → Network Time → General

Рекомендуемые параметры:

• Interface(s): All
  или минимум LAN + WAN
• Time servers: оставить штатные или задать, например:
  • 0.pool.ntp.org
  • 1.pool.ntp.org
  • 2.pool.ntp.org

После настройки нажать Save / Apply.

Проверка:

Services → Network Time → Status

Комментарий: OPNsense использует стандартный NTPd, синхронизируется с внешними серверами и может раздавать время локальным клиентам. Свежая установка обычно уже имеет включённый NTP на всех интерфейсах. Если список Time servers пустой, NTP-служба не будет работать. Статус синхронизации проверяется на странице Status.

6.2. Что важно проверить

Перед тем как указывать 192.168.1.1 на WLC, убедиться, что на OPNsense:

• есть доступные upstream NTP-серверы;
• на странице Status видны ответы от внешних серверов;
• сам OPNsense уже синхронизирует время.

Комментарий: сначала должен синхронизироваться сам роутер, и только потом имеет смысл использовать его как локальный NTP для WLC.

7. Настройка DNS на WLC

Перейти:

Controller → General

В поле DNS Server IP указать:

Нажать Apply, затем Save Configuration.

Комментарий: для домашней сети обычно достаточно DNS роутера. Поле DNS Server IP настраивается на странице Controller > General.

8. Настройка NTP на WLC после первичного запуска

Перейти:

Controller → NTP → Server

Добавить сервер:

• Server Index (Priority): 1
• Server Address: 192.168.1.1
• Authentication: Disabled

Нажать Apply, затем Save Configuration.

Комментарий: после первичной настройки GUI WLC уже поддерживает ввод NTP-сервера как IP или FQDN, но для домашнего сценария и для предсказуемости лучше оставить IP 192.168.1.1. Cisco также указывает, что контроллер пытается использовать серверы по индексу приоритета.

9. Перевод WLC на HTTPS

Перейти:

Management → HTTP-HTTPS

Выставить:

• HTTP Access: Disabled
• HTTPS Access: Enabled
• Web Session Timeout: по необходимости, например 30

Нажать Apply, затем Save Configuration.

Проверка по CLI:

Комментарий: при включённом secure web mode контроллер автоматически генерирует локальный SSL-сертификат для Web GUI. По умолчанию HTTPS на AireOS включён, а HTTP — отключён. При работе по management IP Cisco отдельно предупреждает, что браузерный редирект http → https может отрабатывать некорректно из-за ограничений HSTS/RFC6797, поэтому GUI лучше открывать сразу по https://192.168.1.214.

10. Создание WLAN

Создать две отдельные WLAN.

WLAN 1 — 2.4 GHz

• Profile Name: RichDomRu
• SSID: RichDomRu
• Interface: management
• Security: WPA2 + AES + PSK
• PSK: <PSK_24>
• Radio Policy: 802.11bg
• Status: Enabled

Комментарий: 802.11bg ограничит SSID диапазоном 2.4 ГГц.

WLAN 2 — 5 GHz

• Profile Name: RichDom_5G
• SSID: RichDom_5G
• Interface: management
• Security: WPA2 + AES + PSK
• PSK: <PSK_5G>
• Radio Policy: 802.11a-only
• Status: Enabled

Комментарий: 802.11a-only оставит SSID только в 5 ГГц. WLAN на AireOS создаются и редактируются через вкладку WLANs.

11. Настройка точек доступа

Задать точкам:

• AP1: 192.168.1.215/24
• AP2: 192.168.1.216/24
• Gateway: 192.168.1.1

Условия успешного join:

• WLC и AP в одной подсети
• корректное время на WLC
• совместимый country code / regulatory domain
• доступность management IP WLC

Комментарий: management interface WLC используется и для управления, и для CAPWAP-связи с точками доступа. Время на контроллере должно быть корректным, иначе возможны проблемы с join AP.

12. Проверка работы

Проверить:

• AP присоединились к WLC
• обе WLAN в состоянии Enabled
• RichDomRu виден только в 2.4 GHz
• RichDom_5G виден только в 5 GHz
• клиенты получают адреса из домашней сети

Команды проверки:

13. Обновление прошивки

Обновление имеет смысл делать после того, как:

• WLC поднялся
• AP успешно join
• WLAN работают штатно

Рекомендуемый порядок:

1. Проверить текущее состояние:

2. Сохранить конфигурацию
3. Загрузить новый образ
4. Перезагрузить контроллер

Повторно проверить:

Комментарий: сначала лучше убедиться, что всё работает на текущей версии, и только потом обновляться.

14. Где брать прошивку

Искать в разделе Cisco Software Download для WLC 2504.

Комментарий: если образ закрыт по service contract, без действующей поддержки Cisco официальный доступ к загрузке может быть недоступен.

15. Лицензии

Перед любыми изменениями проверить:

Комментарий: перепрошивка сама по себе обычно не предназначена для стирания постоянных лицензий, но на б/у устройстве всегда надо заранее убедиться, что лицензии действительно установлены и активны.

16. Рекомендуемая последовательность работ

1. Сбросить конфиг через Recover-Config
2. Пройти startup wizard
3. Проверить IP, время и лицензии
4. Настроить OPNsense как NTP-сервер
5. На WLC прописать DNS 192.168.1.1
6. На WLC прописать NTP 192.168.1.1
7. Перевести GUI на HTTPS
8. Добиться join точек
9. Создать две WLAN
10. Проверить работу клиентов
11. Только после этого решать вопрос с обновлением ПО

Комментарий: это самый безопасный и предсказуемый порядок.