cisco aironet 1100 access point VLAN

[ka at mayten.sch.bme.hu]

Szoval a pelda 1142-es AP-re vonatkozik, mert ezt talaltam olcson ebayen 
es ez mukodik otthon, de mas 1100 sorozatu AP-hoz is ugyanez szukseges, 
csak az interfesz neve lesz mas (a 1131-en peldaul fastethernet van, 
mert az csak a/b/g, a 1142 n-es, itt gigas interfesz van).


>  Ezen is meg szeretném valósítani (amit a többi AP-n már
> sikerült) hogy a beállított SSID -re kapcsolódó forgalom
>  a LAN portján a tagged VLAN7 formájában közlekedjen a vezetékes
> LAN-on, de lehetőleg a wifi interface, és a konfig felület
> elérése untagged legyen.
> 


kezdjuk a vezetekes oldallal, mert a tagged/untagged vlan itt jon 
szamitasba.  Nekem egy 5505-os ASA-hoz van kotve az AP-m, mert ez tud 
PoE-t, de barmilyen mas eszkozon, switchen, routeren ugyanez lenne a 
bealltias.

asa5505-sp# sh run | b 0/6
interface Ethernet0/6
  description [ap]
  switchport trunk allowed vlan 2-3,5
  switchport trunk native vlan 2
  switchport mode trunk
!

Azaz, a switchport trunk-be van allitva a vezetekes oldalon, kiengedek 
harom vlan-t (2, 3, 5), amelybol az egyik (2) taggeletlen, azaz nativ.  
Minden mas taggelt, azaz rendelkezik 802.1q fejleccel, mig a kettes vlan 
nem, sot, minden olyan keretet (ugye adatkapcsolati retegben csomagok 
nincsenek) amely nem tartalmaz 802.1q fejreszt, automatikusan a kettes 
vlanba tesz es ugy ertelmezi a tovabbiakban.

Valaszd ki, neked melyik ez a vlan, ezt en nem tudhatom.

A tovabbiakban az AP konfiguracioja jon.  Az AP-ban a radios es a 
vezetekes interfeszt ossze kell bridge-elni amennyiben normal AP-kent 
kivanod hasznalni, azaz, mivel trunk interfesz erkezik, azokon a 
megfelelo subinterfeszeket be kell allitani es a radios interfeszekkel 
(mind a 1142-ben es a 1131-ben ket radios interfesz van, egy 2.4 es egy 
5 ghz-es) kell parba allitani.  Sot, nem csak siman  a megfelelo radios 
interfesszel, de a megfelelo radios subinterfesszel, hiszen ott is kulon 
interfesz kell minden vlanhoz.  Lassuk.

Eloszor is csinaljuk meg az SSID-t, jeloljuk melyik vlanhoz tartozik es 
milyen titkositast akarunk.  Mint lathato volt, harom vlan erkezik 
konkretan az en AP-mhoz, igy harom SSID-t is csinalok:

dot11 ssid ka-guest
    vlan 3
    max-associations 20
    authentication open
    authentication key-management wpa version 2
    mbssid guest-mode
    wpa-psk ascii 7 ********************
!
dot11 ssid ka
    vlan 2
    authentication open
    authentication key-management wpa version 2
    mbssid guest-mode
    wpa-psk ascii 7 ********************
!
dot11 ssid ka-lab
    vlan 5
    authentication open
    authentication key-management wpa version 2
    mbssid guest-mode
    wpa-psk ascii 7 ********************
!

amint lathato, mindharom wpa2-t hasznal, pre-shared kulcsokkal.  Most 
mar tehat van SSID, de meg semmit nem kezdtunk vele.   Csinaljuk meg a 
bridge-elest:

interface GigabitEthernet0
  no ip address
  no ip route-cache
  duplex auto
  speed auto
  no keepalive
  bridge-group 1
  no bridge-group 1 source-learning
  bridge-group 1 spanning-disabled
!

Ez az egyetlen vezetekes interfesz.  Itt fog erkezni minden olyan 
forgalom, ami taggeletlen.  Amint lathato, ez a bridge group 1-be 
tartozik, azaz azzal fogjuk osszebridge-elni ami szinten ebbe tartozik.  
Ez a megfelelo radios interfesz lesz, de kesobb.  A tobbi vezetekes 
konfiguracio:

interface GigabitEthernet0.3
  encapsulation dot1Q 3
  no ip route-cache
  bridge-group 3
  no bridge-group 3 source-learning
  bridge-group 3 spanning-disabled
!
interface GigabitEthernet0.5
  encapsulation dot1Q 5
  no ip route-cache
  bridge-group 5
  no bridge-group 5 source-learning
  bridge-group 5 spanning-disabled
!

Ez a ket subinterfesz a ket vlannak ami pluszban erkezik a nativon 
felul.  Mint lathato, semmihez nem tartozik meg IP cim, ugyanis a 
bridge-elt interfesz lesz az egyetlen aki IP retegben kommunikal, ennek 
a cisco neve BVI azaz bridge virtual interface.  Ennek konfigja:

interface BVI1
  ip address dhcp client-id GigabitEthernet0
  no ip route-cache
!
interface BVI3
  no ip address
  no ip route-cache
!
interface BVI5
  no ip address
  no ip route-cache

Amint latszik, egyetlen egynek van IP cime, ami a menedzsment interfesz 
lesz, dhcp-vel osztom otthon az IP-t.  Semelyik masik interfesznek nincs 
IP cime mert nem szukseges ahhoz, hogya kliens csatlakozni tudjon.  A 3 
es 5 vlan-ban levok szepen a sajat vlanjukban utaznak a droton addig, 
amig eljutnak a routeremig (ez amugy nem az asa, hanem az asa mogott egy 
cisco 881) es obenne vannak SVI -t azaz switch virtual interface-ek akik 
felelosek a vlanok osszekotteteseert (vagyis pontosabban esetemben: 
szeparalasaert).

Megvan tehat a menedzsment ip cim, megvan a bridge interfesz de meg 
hianyzik a radios resz.  Eloszor az alap radios interfeszek jonnek, 
kulon a 2.4 es az 5 ghz:

interface Dot11Radio0
  no ip address
  no ip route-cache
  !
  encryption vlan 5 mode ciphers aes-ccm
  !
  encryption vlan 3 mode ciphers aes-ccm
  !
  encryption vlan 2 mode ciphers aes-ccm
  !
  ssid ka-guest
  !
  ssid ka
  !
  ssid ka-lab
  !
  antenna gain 0
  mbssid
  speed  basic-1.0 basic-2.0 basic-5.5 basic-11.0 basic-12.0 basic-18.0 
basic-24.0 basic-36.0 basic-48.0 basic-54.0 m0. m1. m2. m3. m4. m5. m6. 
m7. m8. m9. m10. m11. m12. m13. m14. m15.
  station-role root
  bridge-group 2
  bridge-group 2 subscriber-loop-control
  bridge-group 2 block-unknown-source
  no bridge-group 2 source-learning
  no bridge-group 2 unicast-flooding
  bridge-group 2 spanning-disabled
!

Ez tehat a taggeletlen interfesz is egyben, lathato, hogy mind a harom 
vlannak kulon adtam meg titkositast, ami tortenetesen egyforma, de 
lehetne kulonbozo is.  Amint lathato, a taggeletlen interfesz a kettes 
BVI-hoz tartozik.  Igen, jol latod, ilyen BVI nincs, nem is kell.  
Lassuk a subinterfeszeket, csak kettot, mert mar igy is hosszu a level:

interface Dot11Radio0.2
  encapsulation dot1Q 2 native
  no ip route-cache
  bridge-group 1
  bridge-group 1 subscriber-loop-control
  bridge-group 1 block-unknown-source
  no bridge-group 1 source-learning
  no bridge-group 1 unicast-flooding
  bridge-group 1 spanning-disabled
!

Ahogy latszik, ez lesz a vlan 2, ami egyebkent a nativ is, tehat nem 
kell taggelni, ez tartozik az egyes BVI-hoz, aminek amugy IP cime is 
van.


interface Dot11Radio0.3
  encapsulation dot1Q 3
  no ip route-cache
  bridge-group 3
  bridge-group 3 subscriber-loop-control
  bridge-group 3 block-unknown-source
  no bridge-group 3 source-learning
  no bridge-group 3 unicast-flooding
  bridge-group 3 spanning-disabled
!
Ez pedig a masik ket vlan interfesz kozul az egyik, a kimaradt otos pont 
ugyanilyen.  Ez mar taggelt forgalom.

A masik radios interfeszhez ugyanezeket kell beallitani, ertelemszeruen 
ott dot11radio1.x lesz, amugy minden tok ugyanaz, leszamitva talan azt, 
hogy mas frekvenciak vannak, mitn a 2.4 ghz interfeszen.

Ennyi, keszen van.

>  Esetleg van köztetek CISCO specialista akinek van ötlete a
> kérdésben?
>  Vagy hogy erről: c1100-k9w7-tar.122-13.JA3 mire lehet frissíteni,
> és hogyan?

Remek doksi van hozza, tftp szerver kell.  A megfelelo szoftvert toltsd 
le, lehetoleg az autonom AP-hoz valot, kulonben nem fog onalloan 
mukodni.

udv
adam