Настройка WLC Cisco 2504 и AP 1702i в домашней сети

Cisco WLC 2504 — первичная настройка для домашней сети

Исходные данные

• Сеть: 192.168.1.0/24
• Шлюз: 192.168.1.1
• DHCP-сервер: 192.168.1.1
• IP WLC: 192.168.1.214
• AP1: 192.168.1.215
• AP2: 192.168.1.216
• Uplink WLC: порт 1
• SSID 2.4 GHz: RichDomRu
• SSID 5 GHz: RichDom_5G

Комментарий: реальные PSK лучше не хранить в Wiki, а подставлять вручную.

1. Схема подключения

• WLC порт 1 → в коммутатор / домашнюю сеть
• Точки доступа → в коммутатор / PoE-коммутатор / PoE-инжектор
• Все устройства должны находитьсябыть в одной сети 192.168.1.0/24

Комментарий: для первого запуска лучше не использовать WLC как “мини-коммутатор”, а подключить и WLC, и AP через обычный switch. Managementmanagement interface на AireOS — основной интерфейсиспользуется для in-band управления контроллером и связи с AP.AP, поэтому для первого запуска удобнее держать WLC и AP в одной обычной L2/L3-сети.

2. Подключение к консоли

Параметры консоли:

• 9600
• 8N1
• без flow control

3. Сброс старой конфигурации

После загрузки появится приглашение:

Ввести:

Комментарий: этоRecover-Config сбрасывает конфигурацию и запускает первичную настройку заново. Послек factory default можнои сновапозволяет заново пройти initialпервичную setup / wizard.настройку.

4. Параметры startup wizard

После перезагрузки пройти мастер и ввести:

Краткие комментарии к ключевым полям

LAG = no
Используется один uplink, агрегация не нужна.

Management VLAN = 0
Это untagged/native VLAN.

Management Port = 1
Это физический порт WLC, куда подключён uplink.

SSID = none
УдобнееПосле сброса удобнее сначала поднять сам контроллер, а WLAN создать потомвручную вручную.позже.

Country Code = RU
Должен совпадать с regulatory domain точек доступа. ИначеЕсли домен AP не совместим, точки могут не join.

NTP = 192.168.1.1
В day0 Cisco рекомендует использовать именно достижимый IP-адрес NTP-сервера; для AP/первичногоAP сценарияв day0-сценарии FQDN не считается надёжным вариантом.

5. Первичная проверка после загрузки

ПослеОткрывать завершенияGUI мастерасразу зайти на:по:

ЧерезПроверить CLIчерез проверить:CLI:

Комментарий: Cisco рекомендует использовать HTTPS и отключать HTTP для более безопасного доступа к GUI; кроме того, HTTPS на AireOS включён по умолчанию, а HTTP можно отдельно включать/отключать.

Что проверять по факту

• IP контроллера: 192.168.1.214
• время корректное
• лицензия base-ap-count активна
• AP пока могут быть не подключены
• после сброса часто остаётся служебная WLAN none

По лицензиямтвоему ввыводу данномлицензий случае:ключевое:

Комментарий: здесь важно убедиться, что base-ap-count имеет статус Permanent, Active, In Use. Этоэто означает, что на контроллере есть постоянная лицензия на точки15 доступа.AP. Для домашнего сценария с 2 AP этого более чем достаточно. ПроверкуПроверка лицензий Cisco рекомендует делатьделается через show license all.

6. Настройка OPNsense как NTP-сервера для WLC

6.1. Настройка на OPNsense

Перейти:

Services → Network Time → General

Рекомендуемые параметры:

• Interface(s): All
  или минимум LAN + WAN
• Time servers: оставить штатные или задать, например:
  • 0.pool.ntp.org
  • 1.pool.ntp.org
  • 2.pool.ntp.org

ПослеСохранить настройки нажать Save / Apply.настройки.

Проверка:

Services → Network Time → Status

Комментарий: OPNsense использует стандартныйntpd; NTPd,страница синхронизируетсястатуса споказывает внешнимиupstream-серверы, серверамиreach, delay, offset и можетитоговый раздаватьстатус время локальным клиентам. Свежая установка обычно уже имеет включённый NTP на всех интерфейсах.синхронизации. Если список Time servers пустой, NTP-служба времени нормально работать не будет работать. Статус синхронизации проверяется на странице Status.будет.

6.2. ЧтоКак важнопонять, проверитьчто OPNsense уже годится как NTP-сервер

ПередНормально, тем как указывать 192.168.1.1если на WLC,странице убедиться,статуса что на OPNsense:есть:

• естьActive доступные upstream NTP-серверы;Peer
• на странице Status видны ответы от внешних серверов;Selected
• сам OPNsense уже синхронизирует время.Candidate

Желательно, чтобы у рабочих серверов Reach был близок к 377.

Комментарий: сначалаActive долженPeer синхронизироватьсяозначает самтекущий роутер,рабочий иисточник тольковремени, потомSelected имеет— смыслвыбранные алгоритмом серверы, Candidate — допустимые кандидаты; Reach 377 означает, что последние 8 опросов прошли успешно. После этого OPNsense уже можно использовать его как локальный NTP для WLC.

7. Настройка DNS на WLC

Перейти:

Controller → General

В поле DNS Server IP указать:

Нажать Apply, затем Save Configuration.

Комментарий: дляна странице Controller > General в AireOS есть глобальное поле DNS Server IP. Для домашней сети обычно достаточно DNS роутера. Поле DNS Server IP настраивается на странице Controller > General.

8. Настройка NTP на WLC после первичного запуска

Перейти:

Controller → NTP → Server

Добавить сервер:

• Server Index (Priority): 1
• Server Address: 192.168.1.1
• Authentication: Disabled

Нажать Apply, затем Save Configuration.

Комментарий: после первичной настройкив GUI WLC ужесервер NTP задаётся через Controller > NTP > Server; контроллер пытается использовать сначала Index 1, затем 2 и 3. В обычном GUI поле Server Address поддерживает ввод NTP-сервера как IP или FQDN, но для домашнего сценария и для предсказуемости лучше оставить IP 192.168.1.1. Cisco также указывает, что контроллер пытается использовать серверы по индексу приоритета.

9. Перевод WLC на HTTPS

Перейти:

Management → HTTP-HTTPS

Выставить:

• HTTP Access: Disabled
• HTTPS Access: Enabled

Нажать WebApply, Sessionзатем Timeout:Save Configuration.

Комментарий: Cisco рекомендует включать HTTPS и отключать HTTP для более безопасного управления. Для AireOS family страница настройки веб-доступа находится в разделе Management > HTTP-HTTPS; в документации AireOS также указано, что HTTPS включён по необходимости,умолчанию, напримера HTTP может быть включён отдельно. GUI лучше открывать сразу по 30https://192.168.1.214.

10. Отключение IPv6 на WLC

Перейти:

Controller → General

В поле Global IPv6 Config выбрать:

• Disabled

Нажать Apply, затем Save Configuration.

Проверка по CLI:CLI-вариант:

Комментарий: при включённом secure web mode контроллер автоматически генерирует локальный SSL-сертификат для Web GUI. По умолчанию HTTPS на AireOS включён,8.5 аIPv6 HTTPможно отключить глобально через GUI или CLI. Для домашнего сценария с одной IPv4-сетью это допустимо; по умолчанию CAPWAP preferred mode на контроллере — отключён. При работе по management IP Cisco отдельно предупреждает, что браузерный редирект http → https может отрабатывать некорректно из-за ограничений HSTS/RFC6797, поэтому GUI лучше открывать сразу по https://192.168.1.214.

10. Создание WLAN

Создать две отдельные WLAN.

WLAN 1 — 2.4 GHz

• Profile Name: RichDomRu
• SSID: RichDomRu
• Interface: management
• Security: WPA2 + AES + PSK
• PSK: <PSK_24>
• Radio Policy: 802.11bg
• Status: Enabled

Комментарий: 802.11bg ограничит SSID диапазоном 2.4 ГГц.

WLAN 2 — 5 GHz

• Profile Name: RichDom_5G
• SSID: RichDom_5G
• Interface: management
• Security: WPA2 + AES + PSK
• PSK: <PSK_5G>
• Radio Policy: 802.11a-only
• Status: Enabled

Комментарий: 802.11a-only оставит SSID только в 5 ГГц. WLAN на AireOS создаются и редактируются через вкладку WLANs.IPv4.

11. Настройка точек доступа

Задать точкам:

• AP1: 192.168.1.215/24
• AP2: 192.168.1.216/24
• Gateway: 192.168.1.1

Условия успешного join:

• WLC и AP в одной подсети
• корректное время на WLC
• совместимый country code / regulatory domain
• доступность management IP WLC

Комментарий: management interface WLC используется и для управления, и для CAPWAP-связи с точкамиAP, доступа.а Времякорректное навремя контроллереважно должнодля быть корректным, иначе возможны проблемы снормального join AP.и сертификатных проверок.

12. Создание WLAN

Сначала удалить служебную WLAN none, если она осталась после сброса.

Далее создать две отдельные WLAN.

WLAN 1 — 2.4 GHz

• Profile Name: RichDomRu
• SSID: RichDomRu
• Interface: management
• Security: WPA2 + AES + PSK
• PSK: <PSK_24>
• Radio Policy: 802.11bg
• Status: Enabled

Комментарий: 802.11bg оставит WLAN только в диапазоне 2.4 ГГц. Настройка WLAN выполняется во вкладке WLANs.

WLAN 2 — 5 GHz

• Profile Name: RichDom_5G
• SSID: RichDom_5G
• Interface: management
• Security: WPA2 + AES + PSK
• PSK: <PSK_5G>
• Radio Policy: 802.11a-only
• Status: Enabled

Комментарий: 802.11a-only оставит WLAN только в 5 ГГц.

13. Проверка работы

Проверить:

• AP присоединились к WLC
• обе WLAN в состоянии Enabled
• RichDomRu виден только в 2.4 GHz
• RichDom_5G виден только в 5 GHz
• клиенты получают адреса из домашней сети

Команды проверки:

13.14. Обновление прошивки

Обновление имеет смысл делать только после того, как:

• WLC поднялся
• AP успешно join
• WLAN работают штатно

Рекомендуемый порядок:

1. Проверить текущее состояние:

2. Сохранить конфигурацию
3. Загрузить новый образ
4. Перезагрузить контроллер

Комментарий: сначаладля лучше2504 убедиться,актуальная чтофинальная всёрекомендуемая работаетветка — 8.5 Mainline; TAC рекомендует 8.5.182.12 для 8.5 Mainline deployments на текущей версии,2504/3504/5520/8540 и толькоряде потомдругих обновляться.AireOS-контроллеров.

14.15. Где брать прошивку

Искать в разделе Cisco Software Download для WLC2504 2504Wireless Controller / AireOS.

Комментарий: есличасть образобразов закрытможет побыть serviceдоступна contract,только безпри действующейналичии поддержкисервисного Ciscoконтракта, поэтому официальный доступ к загрузкескачиванию можетзависит бытьот недоступен.прав Cisco-аккаунта.

15.16. Лицензии

Перед любыми изменениями проверить:

У тебя контрольный признак нормального состояния такой:

Комментарий: перепрошивкаэто самаозначает, почто себеконтроллер обычноработает на постоянной лицензии AP-count, а не предназначена для стирания постоянных лицензий, но на б/у устройстве всегда надо заранее убедиться, что лицензии действительно установлены и активны.evaluation.

16.17. Рекомендуемая последовательность работ

1. Сбросить конфиг через Recover-Config
2. Пройти startup wizard
3. Проверить IP, время и лицензии
4. Настроить OPNsense как NTP-сервер
5. На WLC прописать DNS 192.168.1.1
6. На WLC прописать NTP 192.168.1.1
7. Перевести GUI на HTTPS
8. Отключить IPv6
9. Добиться join точек
10. Удалить WLAN none
11. Создать две рабочие WLAN
12. Проверить работу клиентов
13. Только после этого решать вопрос с обновлением ПО

Комментарий: это самый безопасный и предсказуемый порядок.порядок для домашного запуска WLC 2504.