Настройка WLC Cisco 2504 и AP 1702i в домашней сети

Cisco WLC 2504 + AIR-CAP1702I-R-K9 — первичнаяфинальная настройкаинструкция для домашней сети

1. Исходные данные

Сеть: 192.168.1.0/24
Шлюз: 192.168.1.1
~~DHCP-сервер:~~DHCP: 192.168.1.1
IPDNS: 192.168.1.1

NTP: 192.168.1.1 (OPNsense)

WLC: 192.168.1.214
~~AP1:~~AP_1: 192.168.1.215
~~AP2:~~AP_2: 192.168.1.216
Uplink WLC: порт 1
SSID 2.4 ~~GHz:~~ГГц: RichDomRu
SSID 5 ~~GHz:~~ГГц: RichDom_5G

Принятая
~~Комментарий: реальные PSK лучше не хранить в Wiki, а подставлять вручную.~~логика:

1. Схема подключения

~~WLC~~обе ~~порт~~точки 1 →работают в ~~коммутатор~~режиме Local

primary controller для обеих AP — WLC2504_HOME / домашнюю сеть192.168.1.214
управление по Wi-Fi ~~Точки~~оставлено ~~доступа~~включённым →по втвоему ~~коммутатор / PoE-коммутатор / PoE-инжектор~~решению
~~Все~~HTTP ~~устройства~~на ~~должны~~WLC ~~быть~~отключён, вуправление ~~одной~~через ~~сети~~HTTPS

192.168.1.0/24

IPv6 на WLC отключён

Комментарий: management interface на AireOS используется для управления контроллером и для CAPWAP-связи с точками, поэтому для первого запуска удобнее держать WLC и AP в одной сети.

2. Базовая схема

WLC management/uplink — порт 1

AP можно подключать напрямую в WLC

обе AP заведены на WLC и joined

сейчас у тебя AP_1 временно сидит за портом 1, это допустимо как временная схема

AP_2 тоже joined и работает

3. Первичный сброс и запуск WLC

Подключение к ~~консоли~~

~~Параметры~~ консоли:

9600
8N1
без flow control

На

3.приглашении Сброс старой конфигурации

~~После загрузки появится приглашение:~~

~~Enter User Name (or 'Recover-Config' this one-time only to reset configuration to factory defaults)~~
~~User:~~

~~Ввести:~~ввести:

Recover-Config

~~Комментарий:~~ Recover-Config ~~сбрасывает конфигурацию к заводской и позволяет заново пройти первичную настройку.~~

4.

Параметры startup wizard

~~После перезагрузки пройти мастер и ввести:~~

Would you like to terminate autoinstall? [yes]: yes
System Name: WLC2504_HOME
Administrative User Name: admin
Administrative Password: <новый_пароль>
Enable Link Aggregation (LAG) [yes][NO]: no
Management Interface IP Address: 192.168.1.214
Management Interface Netmask: 255.255.255.0
Management Interface Default Router: 192.168.1.1
Management Interface VLAN Identifier (0 = untagged): 0
Management Interface Port Num [1 to 4]: 1
Management Interface DHCP Server IP Address: 192.168.1.1
Virtual Gateway IP Address: 192.0.2.1
Multicast IP Address: 239.1.1.1
Mobility/RF Group Name: HOME
Network Name (SSID): none
Configure DHCP Bridging Mode [yes][NO]: no
Allow Static IP Addresses [YES][no]: yes
Configure a RADIUS Server now? [YES][no]: no
Enter Country Code list: RU
Enable 802.11b Network [YES][no]: yes
Enable 802.11a Network [YES][no]: yes
Enable 802.11g Network [YES][no]: yes
Enable Auto-RF [YES][no]: yes
Configure a NTP server now? [YES][no]: yes
NTP server IP address: 192.168.1.1
Polling interval: 3600
Configuration correct? [yes][NO]: yes

Ключевые ~~пояснения:~~моменты:

LAG = no — используется один uplink, агрегация не нужна.
Management VLAN = 0 — это untagged/native VLAN.
Management Port = 1 — это именно физический порт WLC, куда подключён uplink.
~~SSID~~country code = ~~none~~ ~~— сначала удобнее поднять сам контроллер, а WLAN создать вручную потом.~~RU
~~Country Code = RU~~ ~~— должен совпадать с regulatory domain точек доступа.~~

NTP ~~= 192.168.1.1~~ ~~— для~~в day0 ~~Cisco~~задаётся ~~рекомендует~~по ~~задавать достижимый~~ ~~IP-адрес~~ ~~NTP-сервера; для AP в day0-сценарии FQDN~~IP, не ~~считается~~по ~~надёжным вариантом.~~имени

5.4. ПервичнаяПроверка проверкаWLC после загрузкизапуска

Открывать GUI сразу по:

https://192.168.1.214

~~Проверить~~Проверка через CLI:

show sysinfo
show time
show license all
show ap summary
show wlan summary

~~Что~~Контрольный ~~важно~~признак ~~проверить:~~лицензии:

~~IP контроллера —~~ 192.168.1.214

~~время корректное~~

base-ap-count ~~активна~~

~~AP пока могут быть не подключены~~

~~после сброса может остаться служебная WLAN~~ none

~~У тебя контрольный признак по лицензиям такой:~~

base-ap-count = Permanent, Active, In Use
~~License~~ ~~Count~~

у =тебя ~~15 / 15~~

~~Комментарий: это означает постоянную лицензию~~лицензия на 15 AP, ~~чего~~этого более чем достаточно ~~для 2 точек.~~

6. Настройка5. OPNsense как NTP-сервера для WLCсервер

6.1.
На Настройка на OPNsense

~~Перейти:~~OPNsense:

Services → Network Time → General Рекомендуемые параметры:
- Interface(s): = All
  или минимум LAN + WAN
- ~~Time~~задать ~~servers:~~или оставить ~~штатные~~внешние ~~или~~NTP-серверы
- проверить ~~например:~~Status
Часовой пояс на OPNsense:
- 0.pool.ntp.orgSystem → Settings → General → Time zone
- выбрать реальный timezone, а не просто смещение часов
6. Базовые сетевые настройки WLC после запуска

DNS

GUI:
- 1.pool.ntp.orgController → General → DNS Server IP
- значение: 2.pool.ntp.org192.168.1.1

~~Сохранить настройки.~~

~~Проверка:~~

~~Services → Network Time → Status~~

~~Комментарий: OPNsense использует стандартный~~ NTPd, синхронизируется с внешними серверами и может раздавать время клиентам. Новая установка обычно уже идёт с включённым NTP на всех интерфейсах и с upstream-пулом OPNsense.

6.2. Как понять, что OPNsense уже можно использовать

~~Если на странице статуса уже есть рабочие записи вроде~~ Active Peer, Selected, Candidate~~, а у реальных серверов~~ Reach ~~высокий, то сам роутер уже синхронизирует время и его можно использовать как локальный NTP для WLC.~~

~~Комментарий: у тебя это условие уже выполнено — OPNsense уже синхронизирован.~~

7. Настройка DNS на WLC

~~Перейти:~~

~~Controller → General~~

~~В поле~~ ~~DNS Server IP~~ ~~указать:~~

~~192.168.1.1~~

~~Нажать~~ ~~Apply~~~~, затем~~ ~~Save Configuration~~.

~~CLI-вариант:~~CLI:

config network dns serverip 192.168.1.1
show network summary

NTP

~~Комментарий: поле~~ DNS Server IP ~~находится на странице~~ Controller > General~~. Через CLI DNS-серверы добавляются командой~~ config network dns serverip.GUI:

8. Переход WLC на использование NTP

~~Перейти:~~

Controller → NTP → Server → New

~~Нажать~~ ~~New~~ ~~и задать:~~Параметры:

Server Index (Priority):= 1


Server Address:Address = 192.168.1.1

Authentication:Authentication = Disabled


HTTPS

GUI:


Management → HTTP-HTTPS

HTTP Access = Disabled

HTTPS Access = Enabled


IPv6

GUI:


Controller → General → Global IPv6 Config → Disabled

Нажать Apply, затем Save Configuration.

Проверка:













show time

















Если старые NTP-серверы уже были добавлены, их лучше удалить, чтобы WLC использовал только локальный 192.168.1.1.


Комментарий: Cisco указывает, что контроллер пытается использовать сначала сервер с Index 1, затем 2 и 3. Если разница времени между WLC и NTP-сервером слишком большая, ntpd может не стартовать корректно, и тогда время на WLC лучше сначала выставить вручную, а затем снова включить NTP.



9. Перевод WLC на HTTPS

Перейти:

Management → HTTP-HTTPS

Выставить:


HTTP Access: Disabled

HTTPS Access: Enabled


Нажать Apply, затем Save Configuration.


Комментарий: Cisco рекомендует использовать HTTPS для управления GUI. При включении HTTPS контроллер генерирует локальный SSL-сертификат и применяет его к веб-интерфейсу. GUI лучше открывать сразу по https://192.168.1.214.



10. Отключение IPv6 на WLC

Перейти:

Controller → General

В поле Global IPv6 Config выбрать:


Disabled


Нажать Apply, затем Save Configuration.

CLI-вариант:CLI:












config ipv6 disable
save config

















Комментарий: на AireOS 8.5 IPv6 можно отключить глобально через GUI или CLI. Для домашнего сценария с одной IPv4-сетью это нормально.



11.7. НастройкаПодготовка точекб/у доступаAP AIR-CAP1702I-R-K9
Задать
Дефолтные точкам:
учётные данные после сброса

AP1:username: 192.168.1.215/24Cisco

AP2:password: 192.168.1.216/24

Gateway: 192.168.1.1Cisco

Условия успешного join:Важно:

WLCчувствительны ик регистру

на некоторых lightweight AP вможет однойзапрашиваться подсетитолько пароль
корректноеесли времяуже наесть WLC
доступ совместимыйв country#, codeсброс /пароля regulatoryне domain

доступность management IP WLCнужен

Сброс кнопкой MODE
Комментарий:Если management interface используется для CAPWAP-связи с AP, а корректное время на WLC важно для нормального join.нужно:

выключить питание AP

зажать MODE

подать питание

держать кнопку около 20 секунд



12.8. СозданиеЕсли WLANAP не находит WLC автоматически
СначалаС удалитьконсоли служебную WLAN none, если она осталась после сброса.

Затем создать две отдельные WLAN через вкладку WLANs. В AireOS при создании WLAN по умолчанию может остаться WPA+WPA2 с 802.1X как default AKM, поэтому для домашней сети это нужно обязательно переключить на PSK.

WLAN 1 — 2.4 GHz

Основные параметры:


Profile Name: RichDomRu

SSID: RichDomRu

Interface: management

Status: Enabled


Безопасность:

Перейти:

WLANs → RichDomRu → Security → Layer 2

Выставить:


Layer 2 Security: WPA+WPA2

в блоке Auth Key Management:

снять 802.1X

включить PSK



WPA2 Policy: Enabled

AES: Enabled

ввести пароль в поле PSK / Passphrase: <PSK_24>


После этого на вкладке General задать:


Radio Policy: 802.11bg


Нажать Apply, затем Save Configuration.


Комментарий: 802.11bg оставит WLAN только в диапазоне 2.4 ГГц. Для домашней сети нужен именно PSK, а не 802.1X.


WLAN 2 — 5 GHz

Основные параметры:


Profile Name: RichDom_5G

SSID: RichDom_5G

Interface: management

Status: Enabled


Безопасность:

Перейти:

WLANs → RichDom_5G → Security → Layer 2

Выставить:


Layer 2 Security: WPA+WPA2

в блоке Auth Key Management:

снять 802.1X

включить PSK



WPA2 Policy: Enabled

AES: Enabled

ввести пароль в поле PSK / Passphrase: <PSK_5G>


После этого на вкладке General задать:


Radio Policy: 802.11a-only


Нажать Apply, затем Save Configuration.


Комментарий: 802.11a-only оставит WLAN только в 5 ГГц.



13. Проверка работы

Проверить:


AP присоединились к WLC

обе WLAN в состоянии Enabled

RichDomRu виден только в 2.4 GHz

RichDom_5G виден только в 5 GHz

клиенты получают адреса из домашней сети


Команды проверки:AP:












showcapwap ap summarycontroller ip address 192.168.1.214
show wlan summary
show time
show network summary


















14. Обновление прошивки

Обновление имеет смысл делать только после того, как:


WLC поднялся

AP успешно join

WLAN работают штатно


Рекомендуемый порядок:


Проверить текущее состояние:














show sysinfo
show boot
show license all


















Сохранить конфигурацию

Загрузить новый образ

Перезагрузить контроллер

Повторно проверить:














show sysinfo
show boot
show license all
showcapwap ap summary
primary-base 
WLC2504_HOME 









192.168.1.214






Комментарий: для AireOS-контроллеров этой серии TAC рекомендует ветку 8.5 Mainline; для 2504 в этой ветке фигурирует 8.5.182.12 как рекомендуемый релиз.



15. Где брать прошивку

Искать в Cisco Software Download для 2504 Wireless Controller / AireOS.


Комментарий: часть образов может требовать сервисный контракт, поэтому официальный доступ к скачиванию зависит от прав Cisco-аккаунта.



16. Лицензии

Перед любыми изменениями проверить:













show license allreload
















КонтрольныйWLC2504_HOME признак— нормальногоэто состояния:имя контроллера.


9. Два отдельных сертификатных барьера на старых AP

Это самый важный практический раздел.

9.1. Барьер №1 — MIC AP, DTLS/CAPWAP не поднимается

Симптом:


в логе AP ошибки вида Certificate unknown

DTLS не поднимается

join не проходит


Workaround на WLC:












base-ap-countconfig =ap Permanent,cert-expiry-ignore Active,mic Inenable
save Use
License Count = 15 / 15config

















Комментарий:Именно это означает,у чтотебя контроллерпозволило работаетпройти первый этап.


9.2. Барьер №2 — AP скачивает образ, но не принимает его

Симптомы в логе AP:


Required image not found on AP. Downloading image from Controller

Image signing certificate validation failed

AP image integrity check FAILED


Это уже другая проблема: истёк сертификат подписи AP image.

Workaround

Временно на постояннойWLC:
AP-лицензии,
аубрать/отключить NTP

выставить дату на декабрь 2022

перезагрузить AP

дать AP скачать и установить образ

потом вернуть правильное время и NTP


Практически:













config time ntp delete 1
config time manual 12/02/22 12:00:00
show time

















После этого AP должна пройти стадии:


Image signing certificate validation succeeded

AP image integrity check PASSED

image upgrade successfully, system is now reloading

%CAPWAP-5-JOINEDCONTROLLER: AP has joined controller WLC2504_HOME


После успешного join:


вернуть правильное время

снова включить NTP 192.168.1.1



10. Что означает успешный процесс AP ↔ WLC

Цепочка такая:


AP загружается со своего lightweight-образа

получает IP

находит WLC

поднимает DTLS/CAPWAP

отправляет Join Request

при необходимости скачивает новый образ с WLC

проверяет подпись и целостность образа

перезагружается

joined к контроллеру уже с нужной версией


В твоём кейсе было два разных сбоя:


сначала на этапе DTLS из-за MIC

потом на этапе image validation из-за истёкшей подписи образа



11. Текущее рабочее состояние AP

У тебя сейчас:


точки переименованы в AP_1 и AP_2

статические IP заданы:

AP_1 = 192.168.1.215

AP_2 = 192.168.1.216



DNS для AP = 192.168.1.1

gateway для AP = 192.168.1.1

обе точки в режиме Local

в разделе HA на обеих AP прописаны:

Primary Controller Name = WLC2504_HOME

Primary Controller IP = 192.168.1.214



обе точки joined стабильно



12. WLAN — финальная логика

Если после сброса есть WLAN none, удалить её.

Создать две WLAN.

WLAN 1 — 2.4 ГГц


Profile Name = RichDomRu

SSID = RichDomRu

Interface = management

Status = Enabled


WLAN 2 — 5 ГГц


Profile Name = RichDom_5G

SSID = RichDom_5G

Interface = management

Status = Enabled



13. Безопасность WLAN — важный нюанс

На новой WLAN по умолчанию может остаться 802.1X.
Для домашней сети это неправильно, если ты хочешь обычный пароль.

Нужно вручную переключить на PSK.

Путь

WLANs → <SSID> → Security → Layer 2

Для обеих WLAN должно быть


Layer 2 Security = WPA+WPA2

802.1X = Off

PSK = On

WPA2 Policy = Enabled

AES = Enabled

ввести PSK / Passphrase


Если хочешь максимально современно и жёстко, можно оставить только WPA2/AES без старого WPA/TKIP.


14. Привязка WLAN к диапазонам

Это делается не на evaluation.AP, Уа тебячерез послеRadio сбросаPolicy лицензиясамой сохранилась.WLAN.
Для RichDomRu


Radio Policy = 802.11bg


Для RichDom_5G


Radio Policy = 802.11a-only


Именно так SSID жёстко разделяются по диапазонам:


RichDomRu только 2.4 ГГц

RichDom_5G только 5 ГГц



15. Flex vs Local

Для твоего сценария оставляем Local.

Почему:


обе точки проводные

стоят рядом с WLC

клиентский трафик в Local туннелируется через WLC

FlexConnect тебе здесь не нужен



16. Mesh

Mesh в твоём сценарии не нужен.

Почему:


обе AP подключены проводом

нет задачи строить беспроводную backhaul-связь между AP


Вкладку Mesh не трогать.

17. РекомендуемаяmDNS последовательность/ работBonjour

У тебя одна плоская сеть.

Значит:


обычный локальный mDNS и так работает сам по себе в одной подсети

mDNS Gateway на WLC тебе не нужен

список сервисов mDNS на WLC — это просто база известных типов сервисов


То есть WLC здесь не нужен для “резолвинга локальных имён в одной плоской сети”.


18. Радионастройки 2.4 ГГц

Текущее принятое состояние:


только каналы 1 / 6 / 11

этого достаточно

ширина канала в 2.4 ГГц по сути остаётся 20 MHz


Это правильная домашняя схема.


19. Радионастройки 5 ГГц — итоговое решение

Мы обсудили два варианта:

Вариант-компромисс


40 MHz

каналы 36/40/44/48


Вариант под максимум скорости

Ты в итоге выбрал:


ширина канала 80 MHz

оставлены две независимые 80-MHz группы:

36 / 40 / 44 / 48

52 / 56 / 60 / 64




Если каждая точка реально сидит на своём 80-MHz блоке, это хорошая схема под максимум скорости.


20. DFS — что это и как у тебя сейчас

Каналы 52/56/60/64 — это DFS.

Это значит:


AP обязана следить за радарами

при срабатывании DFS может уйти с канала

возможны кратковременные перестройки


У тебя DFS sensitivity / DCA sensitivity оставлена в режиме Medium.

Это разумный компромисс:


не слишком вяло

не слишком нервно


Оставляем так.


21. Почему скорость не была выше 54 Мбит/с

На практике это оказался не Wi-Fi, а включённый VPN.

Проверка показала, что клиент работает нормально:


Wi-Fi 5 (802.11ac)

5 ГГц

negotiated rate около 400/360 Mbps


То есть радиочасть уже была в порядке, а скорость резал VPN.


22. CleanAir

CleanAir Admin Status — административное состояние
CleanAir Oper Status — фактическое рабочее состояние

Для дома CleanAir не критичен.
Если всё работает стабильно, специально вокруг него ничего крутить не надо.


23. Что у тебя уже считается финально принятым

На WLC


IPv6 отключен

DNS = 192.168.1.1

NTP = 192.168.1.1

HTTPS используется

HTTP отключён

mgmt-via-wireless оставлен включённым по твоему решению

время точное

country code = RU

config ap cert-expiry-ignore mic enable оставлен включённым


На AP


AP_1 и AP_2

статические IP

режим Local

HA / primary controller прописан

обе joined


По радио


2.4 ГГц: 1/6/11

5 ГГц: 80 MHz

группы:

36/40/44/48

52/56/60/64



DFS = Medium


По WLAN


две отдельные сети:

RichDomRu — 2.4 ГГц

RichDom_5G — 5 ГГц



security переведена с 802.1X на PSK



24. Итоговый порядок действий на будущее

Сбросить конфигWLC через Recover-Config
Пройти startup wizard
Проверить IP, лицензии, время и лицензии
Настроить OPNsense как NTP-серверNTP
На WLC прописать DNS 192.168.1.1DNS/NTP
На WLC перевести время на NTP 192.168.1.1

Перевести GUI наВключить HTTPS
Отключить IPv6
ДобитьсяПодключить join точекAP
УдалитьЕсли WLANAP не discover — прописать WLC IP на AP

Если DTLS ломается — noneconfig ap cert-expiry-ignore mic enable

Если образ не ставится — временно откатить время WLC на декабрь 2022

Дать AP скачать образ и joined

Вернуть правильное время и NTP

Переименовать AP и задать статические IP

Прописать HA / primary controller
Создать двеWLAN
рабочиеПеревести security с 802.1X на PSK

Разделить WLAN по диапазонам через Radio Policy

Настроить радио
Проверить клиентов и реальную работу клиентов

Только после этого решать вопрос с обновлением ПО


Комментарий: это самый безопасный и предсказуемый порядок для домашнего запуска WLC 2504.

Настройка WLC Cisco 2504 и AP 1702i в домашней сети

Cisco WLC 2504 + AIR-CAP1702I-R-K9 — первичнаяфинальная настройкаинструкция для домашней сети

1. Исходные данные

1. Схема подключения

2. Базовая схема

3. Первичный сброс и запуск WLC

3.приглашении Сброс старой конфигурации

4.

Параметры startup wizard

5.4. ПервичнаяПроверка проверкаWLC после загрузкизапуска

6. Настройка5. OPNsense как NTP-сервера для WLCсервер

6.1.На Настройка на OPNsense

6. Базовые сетевые настройки WLC после запуска

DNS

6.2. Как понять, что OPNsense уже можно использовать

7. Настройка DNS на WLC

NTP

8. Переход WLC на использование NTP

HTTPS

IPv6

9. Перевод WLC на HTTPS

10. Отключение IPv6 на WLC

11.7. НастройкаПодготовка точекб/у доступаAP AIR-CAP1702I-R-K9

Дефолтные точкам:учётные данные после сброса

Сброс кнопкой MODE

12.8. СозданиеЕсли WLANAP не находит WLC автоматически

WLAN 1 — 2.4 GHz

WLAN 2 — 5 GHz

13. Проверка работы

14. Обновление прошивки

15. Где брать прошивку

16. Лицензии

9. Два отдельных сертификатных барьера на старых AP

9.1. Барьер №1 — MIC AP, DTLS/CAPWAP не поднимается

9.2. Барьер №2 — AP скачивает образ, но не принимает его

Workaround

10. Что означает успешный процесс AP ↔ WLC

11. Текущее рабочее состояние AP

12. WLAN — финальная логика

WLAN 1 — 2.4 ГГц

WLAN 2 — 5 ГГц

13. Безопасность WLAN — важный нюанс

Путь

Для обеих WLAN должно быть

14. Привязка WLAN к диапазонам

Для RichDomRu

Для RichDom_5G

15. Flex vs Local

16. Mesh

17. РекомендуемаяmDNS последовательность/ работBonjour

18. Радионастройки 2.4 ГГц

19. Радионастройки 5 ГГц — итоговое решение

Вариант-компромисс

Вариант под максимум скорости

20. DFS — что это и как у тебя сейчас

21. Почему скорость не была выше 54 Мбит/с

22. CleanAir

23. Что у тебя уже считается финально принятым

На WLC

На AP

По радио

По WLAN

24. Итоговый порядок действий на будущее

6.1.
На Настройка на OPNsense

Дефолтные точкам:
учётные данные после сброса

Для `RichDomRu`

Для `RichDom_5G`