Первоначальная настройка Wi-Fi контроллера Cisco

Пользуясь моими руководствами по первоначальной настройке и подключению точек доступа к Wi-Fi контроллеру Cisco WLC, у вас построена необходимая инфраструктура беспроводной сети. Теперь требуется настроить сами сети (WLAN, SSID), для предоставления услуг связи вашим пользователям. Об этом — завершающая статья вводного курса молодого бойца. Это не перевод и не копипаст доки, а краткая выжимка описаний всех требуемых фич, проверенных на собственной шкуре. Хоть ваш контроллер и управляется через командную строку (консоль, ssh), почти все операции по настройке лучше (быстрее и удобнее) производить через веб-интерфейс. Контроллер доступен через HTTP (по умолчанию; лучше переключите на HTTPS) с логином-паролем, заданными при установке. В данной статье мы рассмотрим только настройку самих беспроводных сетей. Остальные параметры (радио, безопасность, управление) и так выставлены в более-менее приемлемые значения. Подробно всё расписано в официальной документации, но кто же её читает. Цель данной статьи — максимально доходчиво рассказать о возможных параметрах настройки индивидуальной беспроводной сети. Каждая ваша беспроводная сеть идентифицируется уникальным именем, или SSID. Каждая сеть может иметь свой, независимый набор параметров авторизации, шифрования, QoS, дополнительных свойств. Каждая точка доступа может обслуживать (анонсировать) до 16 беспроводных сетей. Контроллер (в зависимости от модели) может обслуживать до 512 сетей и до сотен точек доступа. Все настройки производятся в меню WLANs (верхняя картинка). Для создания новой сети необходимо выбрать пункт меню «Create new», и задать базовые параметры:Тип сети: WLAN (беспроводная). Контроллер может также работать как Captive Portal для проводной сети (Guest LAN)Имя профиля: произвольное слово, обычно соответствует имени сети, применяется при использовании «взрослых» систем управления WCS/NCS.Имя сети (SSID): то, как ваша сеть будет «видна» клиентским компьютерамИдентификатор (порядковый номер): по умолчанию ваши точки доступа будут анонсировать сети с номерами <=16 Создав новую сеть, вы попадаете в окно с закладками, в котором и указываются все параметры её работы:Enable включает/выключает обслуживание сети точками доступаSecurity policy оповещает вас о текущем наборе политик безопасности сети, которые настраиваются далееRadio policy позволяет выбрать, в каком диапазоне частот (2.4, 5 ГГц) и скоростей (до 11, до 54 мбит/с) будет работать сеть. Возможны комбинации вариантов. Высокие скорости (802.11n) — тема отдельной статьи. Естественно, ваши точки должны поддерживать выбранные диапазоны.Interface определяет, на какой проводной сетевой (саб-)интерфейс (VLAN) контроллера по умолчанию будут терминироваться подключения беспроводных клиентов. Вы можете создать несколько так называемых «динамических интерфейсов», каждый со своим VLAN ID, и распределять ваших пользователей по ним в зависимости от того, к какой сети они подключились (что наиболее часто используется для предоставления гостевого доступа)Multicast VLAN определяет, куда в случае нескольких групп интерфейсов будет идти мультикаст трафик (тема отдельной статьи) Последний параметр Broadcast SSID определяет, будет ли имя сети отражаться в beacon (анонсах) пакетов, периодически рассылаемых точкой доступа. Иначе это называется «открытая/закрытая сеть» Следующая закладка, Security, обычно вызывает больше всего вопросов. Безопасность беспроводной сети строится из трех компонентов:

• Авторизация
• Шифрования
• Веб-политика (опционально)

Первые две политики работают на 2 уровне OSI, поэтому их логично назвали Layer 2. Авторизация отвечает за то, кого пускать в сеть, и как. Шифрование определяет сам алгоритм шифрования пакетов в радио-среде. Веб-политика позволяет заворачивать клиентскую HTTP-сессию на встроенный веб-сервер контроллера (либо внешний), и запрашивать подтверждение/логин-пароль через форму. Доступные параметры безопасности 2го уровня:

• None — авторизация и шифрование трафика не применяются («небезопасная сеть»). Используется для гостевого доступа, в хотспотах. Зачастую комбинируется с веб-политикой, при которой вы без вопросов подключаетесь к беспроводной сети, но при попытке выйти веб-браузером куда-то сессия перехватывается контроллером, и вас вынуждают ввести логин-пароль, согласиться с условиями и т.п. (см. далее).
• WPA+WPA2 — позволяет выбрать политику WPA либо WPA2 (либо обе), тип шифрования TKIP или AES (либо оба). Данные параметры просто анонсируются клиентам в beacon пакетах. Не все клиентские адаптеры (особенно старые) способны понять современные стандарт. Если все клиенты — новые, наиболее оптимальным будет использование WPA2/AES. Дополнительно предлагается указать, как будет образовываться ключ для шифрования:
  • 802.1X — индивидуальный ключ для каждого клиента будет генерироваться RADIUS-сервером в момент авторизации. Наиболее безопасный вариант, также именуемый WPA(2) Enterprise
  • CCKM — используется собственный механизм Cisco генерации ключей, подходит только для Cisco Wi-Fi телефонов
  • PSK — общий (pre-shared) ключ, пароль на сеть, именуемую в таком случае WPA(2) Personal
  • 802.1x+CCKM — гибрид CCKM и RADIUS-ключа (для Cisco-телефонов)
• 802.1X — индивидуальный ключ для каждого клиента будет генерироваться RADIUS-сервером в момент авторизации. Однако это WEP-ключ, и протокол шифрования радиоканала — WEP, чем в наше время пользоваться уже нельзя.
• Static WEP — статический WEP-ключ
• Static WEP+802.1X — гибрид двух предыдущих
• CKIP — проприетарный аналог WEP для Cisco телефонов

Подводя мини-итог по L2 безопасности скажем, что в реальности необходимо делать выбор между:

• Отсутствием шифрования/авторизации (гостевой доступ)
• WPA2 (AES) PSK aka «WPA2 Personal» для доступа в сеть по общему паролю
• WPA2 (AES) + 802.1X aka «WPA2 Enterprise» для доступа в сеть через авторизацию на RADIUS-сервере (EAP: по доменному аккаунту, сертификату и т.п.)

Внимание! Высокие скорости связи/802.11n доступны только для сетей, которые используют либо Security=None, либо WPA2/AES/PSK, либо WPA2/AES/802.1X. При любом варианте настройки безопасности/авторизации вы можете включить дополнительно L3 политику, которая заключается в перехвате клиентской веб-сессии: При этом доступны следующие параметры:

• Authentication — пользователь видит окно ввода логина-пароля, которые затем проверяются на контроллере (в его локальной базе), либо на RADIUS-сервере
• Passthrough — пользователь видит окно приветствия, где у него могут опционально спросить его e-mail адрес (далее нигде не используется и не проверяется)
• Conditional Web Redirect — позволяет редиректить сессию пользователя на указанную в RADIUS-ответе страницу после авторизации. Например, на страницу пополнения баланса. После редиректа пользователь должен авторизоваться снова.
• Splash Page Web Redirect — то же самое, но с доступом в сеть сразу
• On MAC Filter failure — редирект происходит при блокировке пользователя MAC-фильтром

Дополнительно можно указать ACL (список доступа) для пользователей, не прошедших авторизацию (например, для DNS-сервера или внешнего веб-сервера с логотипом). Можно также выбрать, какую страницу (форму) показывать пользователю при авторизации (стандартную, самостоятельно измененную стандартную, либо находящуюся на внешнем веб-сервере). При использовании RADIUS-сервера необходимо сделать дополнительные настройки. Прежде всего, задать сам сервер авторизации в меню Security — RADIUS — AAA — Authentication: необходимо указать следующие параметры:IP-адрес сервера. Поддерживаются FreeRADIUS, Cisco ACS, Cisco ISE, сервер Microsoft. Shared secret (ключ радиус-сервера)Network user — сервер поддерживает авторизацию пользователей Wi-Fi сетиManagement — сервер поддерживает авторизацию администраторов самого контроллера Остальные параметры интереса не представляют. Полезно также задать тот же сервер для целей учета (Accounting). В параметрах настройки безопасности беспроводной сети в закладке AAA серверов всё, указанное по умолчанию, обеспечивает работу всех зарегистрированных на контроллере RADIUS-серверов: Вы можете также назначить отдельный сервер для данной беспроводной сети, отключить аккаунтинг, включить встроенный в контроллер мини-сервер RADIUS и т.п. Закладка QoS отвечает за параметры качества обслуживания в сети, давая приоритеты разными типам трафика и пользователям. Заморачиваться стоит, если у вас в беспроводной сети широко используется голос, видео, много гостевых пользователей при большой нагрузке, и в аналогичных экзотических случаях. Последняя закладка, Advanced, описывает различные «дополнительные параметры» вашей беспроводной сети, коих достаточно много. Расскажем обо всех.

• Allow AAA Override — позволяет передать дополнительные параметры от RADIUS-сервера в момент успешной авторизации клиента, и применить их к данному клиенту индивидуально. Такими параметрами могут быть номер VLAN, имя локального интерфейса, список доступа (ACL), URL для редиректа, QoS политика и т.п.
• Coverage Hole Detection — управляет механизмом определения и компенсации зоны недостаточного покрытия для клиентов данной беспроводной сети. Рекомендуется отключать для гостевых WLAN
• Enable Session Timeout, Session Timeout (secs) — включает и определяет тайм-аут сессии клиента при веб-авторизации
• Aironet IE — включает специфичные для Cisco расширения параметров beacon кадра. Умные клиентские адаптеры в таком случае работаю лучше (роуминг, энергосбережение), глупые могут вообще не заработать в такой сети.
• Diagnostic Channel — активирует дополнительный логический канал диагностики для CCX5-совместимых клиентских адаптеров
• IPv6 — в реальности только разрешает IPv6 трафик для веб-авторизации
• Override Interface ACL — позволяет задать альтернативный список доступа (ACL) вместо указанного на проводном VLAN (management, dynamic) интерфейсе контроллера.
• P2P Blocking Action — определяет политику пропускания трафика между беспроводными клиентами (в пределах контроллера). Допустимые значения: Disabled (пропускать), Drop (не пропускать), Forward-UpStream (отправлять на роутер, пусть он решает).
• Client Exclusion, Timeout Value (secs) — включает и задает тайм-аут исключения (временной блокировки) клиента, авторизация которого в беспроводной сети окончилась неудачно
• Maximum Allowed Clients — задает максимальное число одновременных ассоциаций с данной сетью
• Static IP Tunneling — разрешает роуминг между контроллерами клиентам со статическим IP-адресом
• Off Channel Scanning Defer, Scan Defer Priority — каждая точка иногда «соскакивает» со своего рабочего канала (частоты) и слушает другие каналы на предмет соседних сетей, чистоты спектра, «плохих» абонентов и т.п. При этом такое «соскакивание» может отрицательно сказаться на голосовом трафике, передаваемом данной точкой. Если точка «видит» пакеты со значением 802.1p поля, отмеченного галочкой (0 1 2 3 4 5 6 7), то соскок с рабочей састоты будет отложен.
• Scan Defer Time(msecs) — на сколько миллисекунд отложен
• H-REAP Local Switching — позволяет точке доступа, которая находится в режиме H-REAP (удаленный офис) при обслуживании данной беспроводной сети «замыкать» трафик абонентов локально, а не передавать в CAPWAP-туннеле на контроллер
• H-REAP Local Auth — позволяет точке доступа, которая находится в режиме H-REAP (удаленный офис) при обслуживании данной беспроводной сети проводить авторизацию локально, а не на контроллере
• Learn Client IP Address — в режиме H-REAP точка будет рапортовать IP-адрес клиента на контроллер, если тот доступен
• DHCP Server Override, DHCP Server IP Addr — использовать указанный IP-адрес DHCP-сервера вместо того, который прописан в настройках проводного интерфейса контроллера, на который «замыкается» трафик беспроводных клиентов.
• DHCP Addr. Assignment — требовать использования DHCP-сервера клиентами данной беспроводной сети (статически настроенные клиенты работать не будут)
• MFP Client Protection — включать и требовать защиту клиентских фреймов, варианты Disabled (нет), Optional (при наличии возможности) и Required (обязательно, и все ваши клиенты должны поддерживать CCX5)
• DTIM Period (in beacon intervals) — как часто передавать broadcast/multicast кадры, влияет на энергоэффективность клиентов
• NAC State — выбирает режим работы совместно с устройством NAC
• Client Load Balancing — разрешает балансировку клиентов между точками доступа согласно их загруженности
• Client Band Select — разрешает «выталкивание» клиентов в диапазон 5ГГц, который более предпочтителен в силу меньшей его загруженности
• Passive Client — разрешает работу клиентских устройств, которые «мало говорят» (вроде Wi-Fi весов)
• Media Session Snooping — позволяет «подсматривать» в телефонные SIP-сессии
• Re-anchor Roamed Voice Clients — позволяет принудительно переносить между контроллерами голосовых клиентов, которые находятся в роуминге

Итак, настроив параметры сети, нажав на кнопочку Apply и не забыв сохранить конфигурацию контроллера, пробуем подключиться. Удачи!Итак, свершилось. Тебе на стол принесли свежекупленный контроллер wi-fi производства Cisco, и ещё десяток новых точек доступа. Что это, зачем мне, как оно работает? Как мне установить этот контроллер в сеть, и наконец-то «раздать фай-фай правильно»? Об этом и пойдет речь сегодня. Зачем нужен контроллер? Не сильно вдаваясь в подробности, точки доступа и контроллер совместно предоставляют доступ беспроводным клиентам к остальной (проводной) части сети. Половину задач, связанных с доступом к радио-среде, генерацией beacon фреймов, шифрованием, выполняет сама точка доступа. Другую половину, в основном ассоциацию и авторизацию, обслуживает контроллер. Это называется Split-MAC архитектурой. К контроллеру через локальную коммутируемую сеть подключены точки доступа (конечно, производства Cisco, хоть и протокол взаимодействия CAPWAP открыт). Их может быть до сотен на контроллер, в зависимости от его производительности. Несколько контроллеров можно объединить в группы, при этом обеспечивается скоординированная работа контроллеров, и самих точек, согласно общим настройкам. Преимущества такого подхода очевидны: централизованное управление, гибкость настроек, отказоустойчивость, балансировка нагрузки, интеллектуальные функции вроде бесшовного роуминга, управления частотным ресурсом, мощностью, качеством обслуживания, авторизацией. На точках доступа, подключенных к контроллеру, т.н. «легковесных» (lightweighted) работает практически такой же образ IOS (AIR-LAP-xxx), что и на обычных (standalone, AIR-AP-xxx). Разница в отсутствии режима «conf t», так как точки настраиваются контроллером централизованно. Прошивки между standalone lightweighted можно вручную менять «туда и обратно». При старте точка доступ производит поиск лучшего из доступных контроллеров по достаточно сложной схеме, авторизуется, скачивает прошивку (если требуется), настройки, и начинает обслуживать клиентов. Между точкой и контроллером организован канал управления (UDP порт 5246), и канал данных (UDP порт 5247). Пользовательские данные инкапсулируются в UDP пакеты независимо от номера клиентского WLAN/VLAN, что позволяет размещать точки доступа где угодно в сети (на access портах коммутаторов), и централизовано управлять безопасностью на уровне VLAN на стороне контроллера. Для случая «удаленного офиса», где нет контроллера, предусмотрен режим с локальным свитчингом трафика клиентов. Контроллер архитектурно представляет собой специализированный компьютер (разная аппаратная архитектура и разрядность, в зависимости от модели) с достаточно старой версией MontaVista Linux внутри. К ядру добавлено несколько модулей, иногда драйвера для железа, занимающегося аппаратным ускорением шифрования или пересылки пакетов. Все действия, связанные с жизнедеятельностью контроллера, исполняет большой монолитный процесс, оформленный как user-приложение. Подключив контроллер к питанию, COM-порту (9600/8/N/1) и локальной сети, требуется произвести первоначальную настройку. Это просто, если понимаешь, что и зачем спрашивают. Ниже приведена процедура первоначальной настройки контроллера NME-AIR-WLC (модуль для маршрутизатора ISR), в моем случае успешно виртуализированного и затем запущенного в виртуальной машине:Cryptographic library self-test....passed! XML config selected Validating XML configuration Cisco is a trademark of Cisco Systems, Inc. Software Copyright Cisco Systems, Inc. All rights reserved. Cisco AireOS Version 7.0.220.0 Initializing OS Services: ok Initializing Serial Services: ok Initializing Network Services: ok Starting ARP Services: ok Starting Trap Manager: ok Starting Network Interface Management Services: ok Starting System Services: ok Starting Fastpath Hardware Acceleration: ok Starting Switching Services: ok Starting QoS Services: ok Starting Policy Manager: ok Starting Data Transport Link Layer: ok Starting Access Control List Services: ok Starting System Interfaces: ok Starting Client Troubleshooting Service: ok Starting Management Frame Protection: ok Starting Certificate Database: ok Starting VPN Services: ok Starting LWAPP: ok Starting CAPWAP: ok Starting LOCP: ok Starting Security Services: ok Starting Policy Manager: ok Starting Authentication Engine: ok Starting Mobility Management: ok Starting Virtual AP Services: ok Starting AireWave Director: ok Starting Network Time Services: ok Starting Cisco Discovery Protocol: ok Starting Broadcast Services: ok Starting Logging Services: ok Starting DHCP Server: ok Starting IDS Signature Manager: ok Starting RFID Tag Tracking: ok Starting RBCP: ok Starting Mesh Services: ok Starting TSM: ok Starting CIDS Services: ok Starting Ethernet-over-IP: ok Starting DTLS server: enabled in CAPWAP Starting CleanAir: ok Starting WIPS: ok Starting SSHPM LSC PROV LIST: ok Starting RRC Services: ok Starting FMC HS: ok Starting Management Services: Web Server: ok CLI: ok Secure Web: Web Authentication Certificate not found (error). If you cannot access management interface via HTTPS please reconfig Secure Web: Web Authentication Certificate not found (error). If you cannot access management interface via HTTPS please reconfigure Virtual Interface. (Cisco Controller) Welcome to the Cisco Wizard Configuration Tool Use the '-' character to backup Приостанавливаем действие фичи autoinstall. Она позволяет контроллеру автоматически загрузить по TFTP заранее приготовленный конфиг-файл. Таким образом, можно развернуть в сети очень много контроллеров, не прибегая к ручной настройке каждого. Полезно, если у вас работает система управления WCS.Would you like to terminate autoinstall? [yes]: yes AUTO-INSTALL: process terminated -- no configuration loaded Устанавливаем имя контроллеру (предлагаемое генерится из МАС-адреса), логин и пароль администратора:System Name [Cisco_bb:bb:40] (31 characters max): wlc4.ххх.ххх.net Enter Administrative User Name (24 characters max): anton Enter Administrative Password (3 to 24 characters): ********* Re-enter Administrative Password : ********* Настраиваем адресацию интерфейса управления. Это логический интерфейс, через который контроллер «общается» с внешним миром (кроме точек доступа). Обычная практика такова, что все физические интерфесы контроллера объединяют в EtherChannel группу (вы можете сделать это позднее), и в таком общем канале настраиваете сколько требуется логических интерфейсов, каждый в своем VLANе. В данном примере между коммутатором и контроллером создан trunk-порт, а обслуживание ведется через VLAN 310. Для access-порта, или если у вас применяется native VLAN, укажите номер 0. Адрес DHCP-сервера нужен для пересылки тому клиентских DHCP-запросов, если таковое будет настроено. Контроллер будет DHCP-релеем (хотя также может исполнять роль DHCP-сервера).Management Interface IP Address: xx.xx.145.10 Management Interface Netmask: 255.255.255.128 Management Interface Default Router: xx.xx.145.1 Management Interface VLAN Identifier (0 = untagged): 310 Management Interface Port Num [1]: Management Interface DHCP Server IP Address: xx.xx.145.9 Все контроллеры, кроме модели 5508, используют отдельный логический интерфейс ap-manager для общения с точками доступа. Необходимо настроить его адрес, обычно из той же сети:AP Manager Interface IP Address: xx.xx.145.14 AP-Manager is on Management subnet, using same values AP Manager Interface DHCP Server (xx.xx.145.9): Последнй логический интерфейс — виртуальный. Он используется для передачи DHCP-запросов клиентам, веб-авторизации, роуминга. На него прописывают адрес, не использующийся нигде в сети и не маршрутизируемый, обычно это 1.1.1.1. Внимание: он должен быть одинаков для нескольких контроллеров, между которыми предполагается роуминг клиентов.Virtual Gateway IP Address: 1.1.1.1 Для целей роуминга клиентов контроллеры объединяются в группы мобильности (mobility group), имя которой и предлагается задать. Также предлагается задать имя группы контроллеров, совокупно обеспечивающих управление радиорескрсом (частотный план и мощность, rf group). Хотя это могут быть разные группы по набору устройств и имени, здесь указывается общее имя (его можно изменить позднее):Mobility/RF Group Name: WLAB Визард предлагает создать одну беспроводную сеть (WLAN). Я обычно указываю здесь что-нибудь, все равно затем я эту сеть удаляю, и создаю правильную из веб-интерфейса.Network Name (SSID): test Режим бриджинга DHCP-пакетов экзотичен и на практике вряд ли применяется.Configure DHCP Bridging Mode [yes][NO]: Вы можете разрешить работу беспроводных клиентов, у которых IP-адрес прописан статически. Реально эта опция включает кэширование ARP на контроллере, что полезно.Allow Static IP Addresses [YES][no]: Для целей авторизации клиентов (а также доступа к контроллеру, и некоторых специфичных других) может быть использован внешний RADIUS-сервер, который удобнее настраивать позже через веб-интерфейс.Configure a RADIUS Server now? [YES][no]: no Warning! The default WLAN security policy requires a RADIUS server. Please see documentation for more details. Каждая точка доступа, и контроллер, имеют допустимые коды страны, в которой они работают. В действительности country code определяет разрешенный набор частот (каналов) и предельных мощностей, что влияет на работу алгоритмов автоматического выбора частоты и т.д. Крайне рекомендуется, чтобы во всей вашей сети список кодов стран был настроен единообразно.Enter Country Code list (enter 'help' for a list of countries) [US]: RU Контроллер предлагает включить сети 2.4 и 5 ГГц (11b/g/n и 11a/n соответственно). В действительности этот парамер передается на ассоциированные с контроллером точки доступа, на которых собственно и установлено радио. Я советую включать радио через веб-интерфейс уже после того, как все остальные параметры настроены.Enable 802.11b Network [YES][no]: no Enable 802.11a Network [YES][no]: no Запрос на включение полезных алгоритмов динамического управления частотным ресурсом и мощностями, о чем мы говорили ранее.Enable Auto-RF [YES][no]: Настройки времени (сервер времени, и статичесски заданное время/часовой пояс) важны не только для правильности меток в лог-файлах, но и для работы авторизации точек доступа по сертификатам (они используют CAPWAP, основанный на DTLS, основанный на сертификатах с известными проверками сроков валидности).Configure a NTP server now? [YES][no]: no Configure the system time now? [YES][no]: no Warning! No AP will come up unless the time is set. Please see documentation for more details. Наконец, если вы готовы, контроллер сохраняет конфигурацию, и перезапускается:Configuration correct? If yes, system will save it and reset. [yes][NO]: yes Configuration saved! Resetting system with new configuration... Всё, теперь устройство можно настраивать через веб-интерфейс управления, доступный через пару минут по адресу: httрs://xx.xx.145.10. Чтобы избежать ненужных вопросов о валидности сайта, контроллеру можно впоследствии выписать сертификат для работы SSL. Контроллеры можно настраивать и через командную строку (консоль, telnet, ssh). От синтаксиса приверженцы IOS CLI будут плеваться, а фанаты JunOS окажутся в шоке. Командная строка, однако, очень полезна для дебагов, без которых вы в беспроводных системах Cisco просто шагу не ступите. Теперь самое время прочитать исчерпывающее руководство по настройке контроллера, и ринуться в бой. При наличии рук и напильника достаточных средств можно подумать о внедрении крайне удобного централизованного средства управления беспроводной сетью NCS/WCS, скриншот которого приведен ниже: Следующий шаг — установка и подключение точек доступа. P.S. Автор никак не связан с компанией Cisco Systems, ничего не продает и не покупает.

Wi-Fi точка доступа Cisco может быть автономной (standalone) или работать под управлением специального контроллера точек доступа.

На основе решений Cisco возможно построить корпоративную бесшовную Wi-Fi сеть, надежную и безопасную, управляемую из единой точки. В рамках такой сети  может быть задействовано любое оборудование и сервисы Cisco. Трафик в корпоративной сети на базе устройств Cisco может передаваться по любой среде, конкретно в этой статье мы рассмотрим только типы устройств и настройки Wi Fi Cisco.

Беспроводные точки доступа и настройки WiFi Cisco

WiFi точка доступа Cisco может быть автономной (standalone) или работать под управлением специального контроллера точек доступа. Отличие этих двух видов точек только программная прошивка и, для многих моделей, возможна перепрошивка с одного варианта работы на другой на случай, если архитектура сети изменится и понадобится другая настройка Wi-Fi Cisco.

Флагманская серия точек доступа Cisco Aironet обеспечивает высокую, по нашему мнению лучшую в своей отрасли, производительность и стабильное качество радиоканала, WiFi сигнала.

Cisco поставляет свои точки доступа с разъемами для внешних антенн, со встроенными антеннами, а также отдельно Wi-Fi антенны разных видов и назначения.

Контроллеры Cisco WLC

Сложные корпоративные беспроводные сети работают под общим управлением WiFi контроллеров. Такие контроллеры иногда путают с Cisco вай фай роутерами, этого не следует делать, т.к. это совсем другой класс устройств.

Точки доступа Wi-Fi на предприятии регистрируются на контроллере, он раздает им настройки, управляет ими, а от точек уже получают беспроводной доступ конечные пользователи. Такой подход сильно упрощает развертывание и администрирование беспроводной сети, что, в результате, сокращает расходы на ее эксплуатацию.

Производительность аппаратных контроллеров зависит от их платформы, которая физически представляет собой своеобразный компьютер. Существуют также виртуальные контроллеры.

Между собой контроллеры отличаются количеством поддерживаемых беспроводных абонентов, подключаемых точек доступа,а также функционалом.

Пара слов о лицензировании. На каждое новое устройство выписывается лицензия на основе UDI на Cisco.com/go/licensing, для этого требуется ввести PAK-ключ, и так подтвердить, что вы купили право на устройство и ПО. Не обязательно сразу приобретать максимально доступное количество лицензий, это может быть слишком затратно и в какой-то момент не нужно. Требуемые лицензии вы сможете докупить позже, по мере того, как будет увеличиваться ваша LAN и количество точек доступа. Количество лицензий ограничено только аппаратными возможностями платформы.

Wi-Fi контроллеры Cisco дают возможность:

• Гибко и централизованно настраивать Wi-Fi политики управления сетью
• Обеспечивать пользователям доступ к сетевым сервисам в ответ на их запросы
• Привести к единому стандарту конфигурации всех точек доступа, контролировать и синхронизировать апдейты их прошивок
• Противодействовать угрозам в Wi-Fi сетях
• Обеспечить приоритет трафика для голоса и видео, тем самым обеспечить надежную корпоративную связь
• Настроить сеть так, чтобы обеспечить действительно бесшовный роуминг для пользователей в ней

Для комбинированных Wi-Fi и беспроводных сетей (которых, на самом деле, большинство), есть беспроводные контроллеры, интегрированные в роутеры и свитчи. Такая интеграция устройств удешевляет владение ими, упрощает контроль и открывает широкий простор для разнообразных вариантов конфигурирования сети.

Уникальные технологии Wi-Fi контроллеров Cisco

• Cisco CleanAir. По этой технологии сети могут самовосстанавливаться и оптимизироваться в случае помех. Таким способом защищается и поддерживается на требуемом уровне производительность сетей 802.11n. Фактически, это решение все время ищет помехи, классифицирует и насколько это возможно подавляет их влияние на сигнал так, что конечный пользователь часто не замечает разницы в работе сети, а если перебои и есть, то они минимальны. Когда источник проблемы классифицирован, система создает отчет для IT-службы, по которому уже можно устранить источник неприятностей. А подсистема превентивного реагирования на вторжения WIPS (Wireless Intrusion Prevention System) обнаруживает устройства на необычных Wi-Fi каналах или занимающиеся активной прослушкой эфира, чтобы взломать сети или получить секретные данные.

• Cisco ClientLink / ClientLink 2.0. – позволяет максимально использовать ресурсы антенн Wi-Fi точек и клиентских устройств. Можно использовать MIMO и Beamforming одновременно для разных клиентов. В итоге получается, что доступная дистанция связи больше, а сама связь – надежнее и работает быстрее. Cisco ClientLink / ClientLink 2.0 повышает продуктивность как на восходящей, так и на нисходящей линии связи, что обеспечивает лучшее взаимодействие пользователей во время видеосвязи, получения электронной почты, загрузки файлов.

Cisco WCS – ПО для управления Wi-Fi сетью

Cisco Wireless Control System – единое программное решение, которое, будучи установленным на сервер, позволяет контролировать работу, мониторить состояние беспроводных сетей, настраивать политики безопасности, собирать статистику, формировать отчеты. Имеет графический интерфейс. Хорошо зарекомендовало себя в комплексе с платформой мобильных сервисов Cisco MSE.

Cisco MSE – сервер мобильных приложений

Cisco Mobility Service Engine обеспечивает доставку мобильных сервисов по Wi-Fi к enduser’ам, при этом учитывает всю специфику того, как должно функционировать конкретное приложение на стороне пользователя.  Она реализует преимущества концепции BYOD («принеси свое устройство») и снижает связанные с этим риски. Система доступна в виде физического или виртуального устройства.

Службы MSE собирают и консолидируют информацию о девайсах пользователей в сети, их поведении и местоположении, о помехах, предотвращают вторжения в Wi-Fi сеть.

Cisco Identity Service Engine (ISE) – продвинутая идентификация пользователей и устройств

Cisco Identity Services Engine (ISE) – средство, чтобы из единого центра администрировать сеть и надежно контролировать доступ к ней. Цель ISE – сделать проще управление идентификацией в различных устройствах и приложениях, разграничить доступ пользователей в зависимости от собранной информации о них.

Позволяет:

• настраивать и применять сложные политики доступа для конечных устройств, подключенных к маршрутизаторам и коммутаторам компании, что важно при быстром росте числа самых разнообразных мобильных устройств у пользователей.
• собирать о пользователях и устройствах полную информацию в реальном времени, сведения об их авторизации и аутентификации, локализовать положение, фиксировать время и способ подключения
• Снизить вероятность отказа или стороннего доступа в систему
• Настраивать гостевые порталы и гостевой доступ при необходимости за считанные минуты.

Пользователи, являющиеся гостями/клиентами компании, не удовлетворяющие требованиям безопасности, смогут воспользоваться этим доступом, но не получат доступа к сколько-нибудь важным подсистемам.

Платформа для управления WLAN – Cisco Prime Network Control System (NCS)

Платформа Cisco Prime обеспечивает единое управление, полную прозрачность и управляемость сети, видимость и своевременную диагностику устройств, составляющих сетевую инфраструктуру: коммутаторов, контроллеров Cisco WLC, точек доступа Cisco Aironet, управление, real-time доступ к высокопроизводительным бизнес-приложениям и критичным данным, безопасную корпоративную связь.

Кроме вышеперечисленного, с ее помощью вы можете централизованно управлять:

• мобильными сервисами Cisco MSE с wIPS (гибкая подсистема против вторжений)
• предотвращением взломов и разделение доступа Cisco ISE
• классификацией и устранением помех в радиочастотах CleanAir
• Службами определения местоположения

NCS является развитием отлично зарекомендовавшей себя платформы Cisco Wireless Control System (WCS), в наличии весь необходимый функционал для управления enterprise-системами 802.11n и 802.11a/b/g.  Cisco Prime NCS позволяет эффективно справляться с любыми сетевыми неполадками, обеспечивая пользователям практически непрерывный доступ к сервисам, владеть полной информацией об оборудовании и пользователях сети.

Cisco Prime интуитивно понятна и сотрудники IT-подразделения могут быстро изучить ее, несложно масштабируется, подходит в равной мере для небольших офисных и гигантских корпоративных проводных и беспроводных сетей. Существуют ее физическая и виртуальная реализации.

Cisco Prime NCS работает в рамках политики Cisco Unified Wireless Network, которая сочетает в себе сильные стороны беспроводных и проводных сетей, чтобы в конечном итоге дать клиенту масштабируемую, управляемую и безопасную WLAN с низкой стоимостью владения.

Внедрение беспроводных сетей Wi-Fi от Cisco

У Cisco очень широкая линейка оборудования, вполне реально развернуть сколь угодно сложную беспроводную сеть на базе исключительно устройств Cisco. Это считается хорошей практикой и избавляет IT-специалистов от многих проблем, поскольку все устройства будут заведомо совместимы между собой и обеспечат качественное радиопокрытие – при грамотной настройке можно получить качественный и действительно бесшовный WiFi Cisco.

К сожалению, столь же хороший результат нельзя гарантировать, если в сети используется оборудование разных производителей – большинство протоколов и технологий Cisco закрыты и являются секретом, потому чужое оборудование может не поддерживать или работать с ними нестабильно.

Как видно из написанного ранее в этой статье, системы Wi-Fi Cisco наиболее эффективны, когда используются в комплексе, правильно внедрены и настроены. Для этого не достаточно просто посмотреть в интернете, как подключить роутер Cisco, ведь процесс внедрения включает в себя:

• радиообследование, расчет покрытия, расположения Wi-Fi точек доступа
• установку оборудования, настройку роутеров cisco, свитчей, контроллеров и другого активного оборудования
• объединения всего оборудования в сеть под централизованным контролем и управлением.

Рекомендуем, чтобы данными задачами занимались опытные инженеры с подтвержденной квалификацией CCNP или CCNP Wireless.

Если у вас есть вопросы по настройке сетей на базе оборудования Cisco, например, как настроить роутер Cisco – обращайтесь к нам, подскажем и поможем.

Используемые источники:

• https://habr.com/post/148903/
• https://habr.com/post/145082/
• https://integrus.ru/blog/besshovnyj-wifi-cisco.html