Настройка WLC Cisco 2504 и AP 1702i в домашней сети

Cisco WLC 2504 — первичная настройка для домашней сети

Исходные данные

• Сеть: 192.168.1.0/24
• Шлюз: 192.168.1.1
• DHCP-сервер: 192.168.1.1
• IP WLC: 192.168.1.214
• AP1: 192.168.1.215
• AP2: 192.168.1.216
• Uplink WLC: порт 1
• SSID 2.4 GHz: RichDomRu
• SSID 5 GHz: RichDom_5G

Комментарий: реальные PSK лучше не хранить в Wiki, а подставлять вручную.

1. Схема подключения

• WLC порт 1 → в коммутатор / домашнюю сеть
• Точки доступа → в коммутатор / PoE-коммутатор / PoE-инжектор
• Все устройства должны быть в одной сети 192.168.1.0/24

Комментарий: management interface на AireOS используется для in-band управления контроллером и связи с AP, поэтому для первого запуска удобнее держать WLC и AP в одной обычной L2/L3-сети.

2. Подключение к консоли

Параметры консоли:

• 9600
• 8N1
• без flow control

3. Сброс старой конфигурации

После загрузки появится приглашение:

Ввести:

Комментарий: Recover-Config сбрасывает конфигурацию к factory default и позволяет заново пройти первичную настройку.

4. Параметры startup wizard

После перезагрузки пройти мастер и ввести:

Краткие комментарии к ключевым полям

LAG = no
Используется один uplink, агрегация не нужна.

Management VLAN = 0
Это untagged/native VLAN.

Management Port = 1
Это физический порт WLC, куда подключён uplink.

SSID = none
После сброса удобнее сначала поднять сам контроллер, а WLAN создать вручную позже.

Country Code = RU
Должен совпадать с regulatory domain точек доступа. Если домен AP не совместим, точки могут не join.

NTP = 192.168.1.1
В day0 Cisco рекомендует использовать именно достижимый IP-адрес NTP-сервера; для AP в day0-сценарии FQDN не считается надёжным вариантом.

5. Первичная проверка после загрузки

Открывать GUI сразу по:

Проверить через CLI:

Комментарий: Cisco рекомендует использовать HTTPS и отключать HTTP для более безопасного доступа к GUI; кроме того, HTTPS на AireOS включён по умолчанию, а HTTP можно отдельно включать/отключать.

Что проверять по факту

• IP контроллера: 192.168.1.214
• время корректное
• лицензия base-ap-count активна
• AP пока могут быть не подключены
• после сброса часто остаётся служебная WLAN none

По твоему выводу лицензий ключевое:

Комментарий: это означает, что на контроллере есть постоянная лицензия на 15 AP. Для домашнего сценария с 2 AP этого более чем достаточно. Проверка делается через show license all.

6. Настройка OPNsense как NTP-сервера для WLC

6.1. Настройка на OPNsense

Перейти:

Services → Network Time → General

Рекомендуемые параметры:

• Interface(s): All
  или минимум LAN + WAN
• Time servers: оставить штатные или задать, например:
  • 0.pool.ntp.org
  • 1.pool.ntp.org
  • 2.pool.ntp.org

Сохранить настройки.

Проверка:

Services → Network Time → Status

Комментарий: OPNsense использует ntpd; страница статуса показывает upstream-серверы, reach, delay, offset и итоговый статус синхронизации. Если список Time servers пустой, служба времени нормально работать не будет.

6.2. Как понять, что OPNsense уже годится как NTP-сервер

Нормально, если на странице статуса есть:

• Active Peer
• Selected
• Candidate

Желательно, чтобы у рабочих серверов Reach был близок к 377.

Комментарий: Active Peer означает текущий рабочий источник времени, Selected — выбранные алгоритмом серверы, Candidate — допустимые кандидаты; Reach 377 означает, что последние 8 опросов прошли успешно. После этого OPNsense уже можно использовать как локальный NTP для WLC.

7. Настройка DNS на WLC

Перейти:

Controller → General

В поле DNS Server IP указать:

Нажать Apply, затем Save Configuration.

Комментарий: на странице Controller > General в AireOS есть глобальное поле DNS Server IP. Для домашней сети обычно достаточно DNS роутера.

8. Настройка NTP на WLC

Перейти:

Controller → NTP → Server

Добавить сервер:

• Server Index (Priority): 1
• Server Address: 192.168.1.1
• Authentication: Disabled

Нажать Apply, затем Save Configuration.

Комментарий: в GUI WLC сервер NTP задаётся через Controller > NTP > Server; контроллер пытается использовать сначала Index 1, затем 2 и 3. В обычном GUI поле Server Address поддерживает IP или FQDN, но для домашнего сценария и предсказуемости лучше оставить IP 192.168.1.1.

9. Перевод WLC на HTTPS

Перейти:

Management → HTTP-HTTPS

Выставить:

• HTTP Access: Disabled
• HTTPS Access: Enabled

Нажать Apply, затем Save Configuration.

Комментарий: Cisco рекомендует включать HTTPS и отключать HTTP для более безопасного управления. Для AireOS family страница настройки веб-доступа находится в разделе Management > HTTP-HTTPS; в документации AireOS также указано, что HTTPS включён по умолчанию, а HTTP может быть включён отдельно. GUI лучше открывать сразу по https://192.168.1.214.

10. Отключение IPv6 на WLC

Перейти:

Controller → General

В поле Global IPv6 Config выбрать:

• Disabled

Нажать Apply, затем Save Configuration.

CLI-вариант:

Комментарий: на AireOS 8.5 IPv6 можно отключить глобально через GUI или CLI. Для домашнего сценария с одной IPv4-сетью это допустимо; по умолчанию CAPWAP preferred mode на контроллере — IPv4.

11. Настройка точек доступа

Задать точкам:

• AP1: 192.168.1.215/24
• AP2: 192.168.1.216/24
• Gateway: 192.168.1.1

Условия успешного join:

• WLC и AP в одной подсети
• корректное время на WLC
• совместимый country code / regulatory domain
• доступность management IP WLC

Комментарий: management interface используется для CAPWAP-связи с AP, а корректное время важно для нормального join и сертификатных проверок.

12. Создание WLAN

Сначала удалить служебную WLAN none, если она осталась после сброса.

Далее создать две отдельные WLAN.

WLAN 1 — 2.4 GHz

• Profile Name: RichDomRu
• SSID: RichDomRu
• Interface: management
• Security: WPA2 + AES + PSK
• PSK: <PSK_24>
• Radio Policy: 802.11bg
• Status: Enabled

Комментарий: 802.11bg оставит WLAN только в диапазоне 2.4 ГГц. Настройка WLAN выполняется во вкладке WLANs.

WLAN 2 — 5 GHz

• Profile Name: RichDom_5G
• SSID: RichDom_5G
• Interface: management
• Security: WPA2 + AES + PSK
• PSK: <PSK_5G>
• Radio Policy: 802.11a-only
• Status: Enabled

Комментарий: 802.11a-only оставит WLAN только в 5 ГГц.

13. Проверка работы

Проверить:

• AP присоединились к WLC
• обе WLAN в состоянии Enabled
• RichDomRu виден только в 2.4 GHz
• RichDom_5G виден только в 5 GHz
• клиенты получают адреса из домашней сети

Команды проверки:

14. Обновление прошивки

Обновление имеет смысл делать только после того, как:

• WLC поднялся
• AP успешно join
• WLAN работают штатно

Рекомендуемый порядок:

1. Проверить текущее состояние:

2. Сохранить конфигурацию
3. Загрузить новый образ
4. Перезагрузить контроллер
5. Повторно проверить:

Комментарий: для 2504 актуальная финальная рекомендуемая ветка — 8.5 Mainline; TAC рекомендует 8.5.182.12 для 8.5 Mainline deployments на 2504/3504/5520/8540 и ряде других AireOS-контроллеров.

15. Где брать прошивку

Искать в Cisco Software Download для 2504 Wireless Controller / AireOS.

Комментарий: часть образов может быть доступна только при наличии сервисного контракта, поэтому официальный доступ к скачиванию зависит от прав Cisco-аккаунта.

16. Лицензии

Перед любыми изменениями проверить:

У тебя контрольный признак нормального состояния такой:

Комментарий: это означает, что контроллер работает на постоянной лицензии AP-count, а не на evaluation.

17. Рекомендуемая последовательность работ

1. Сбросить конфиг через Recover-Config
2. Пройти startup wizard
3. Проверить IP, время и лицензии
4. Настроить OPNsense как NTP-сервер
5. На WLC прописать DNS 192.168.1.1
6. На WLC прописать NTP 192.168.1.1
7. Перевести GUI на HTTPS
8. Отключить IPv6
9. Добиться join точек
10. Удалить WLAN none
11. Создать две рабочие WLAN
12. Проверить работу клиентов
13. Только после этого решать вопрос с обновлением ПО

Комментарий: это самый безопасный и предсказуемый порядок для домашного запуска WLC 2504.