Sieć Wi-Fi Cisco Enterprise
z kontrolerem Mobility Express

1. Jak działa kontroler Mobility Express ukryty w punkcie dostępowym

Zanim cokolwiek podłączysz, poznaj jedną rzecz, która odróżnia tę sieć od zestawu osobnych routerów. Instrukcja obejmuje część bezprzewodową — kontroler i punkty dostępowe; switch PoE ma tu tylko rozdział o zasilaniu i podstawowej konfiguracji.

O zrzutach ekranu w tej instrukcji

Zrzuty pokazują sieć złożoną z kilku punktów dostępowych — dzięki temu widać na nich wszystko, co panel potrafi, i w co ta sieć może urosnąć. Ta sama procedura obowiązuje przy jednym punkcie: ekrany wyglądają identycznie, tylko listy są krótsze. Kolejne punkty dokładasz później bez zmiany konfiguracji i bez wyłączania sieci — same zgłaszają się do kontrolera i przejmują wszystkie ustawienia.

Nie ma tu osobnego urządzenia-kontrolera. Rolę mózgu całej sieci pełni sam punkt dostępowy (w tej instrukcji przykładem jest Aironet 4800). Ma w sobie wgrane oprogramowanie Cisco Mobility Express, czyli kontroler sieci bezprzewodowej działający wewnątrz punktu dostępowego. Jeśli dołożysz kolejne punkty dostępowe, startują one, znajdują ten kontroler w sieci lokalnej i same się do niego zgłaszają — nic nie musisz w nich ustawiać.

Konsekwencje praktyczne, wszystkie na Twoją korzyść:

• logujesz się do jednego panelu i widzisz całą sieć — wszystkie punkty dostępowe, wszystkich klientów, wszystkie sieci Wi-Fi;
• hasło Wi-Fi, nową sieć dla gości czy harmonogram ustawiasz raz — kontroler rozsyła to na pozostałe punkty sam — niezależnie od tego, czy jest ich dwa, czy dziesięć;
• nie ma osobnego serwera ani maszyny wirtualnej, która mogłaby paść. Kontroler jest w AP i zasila się z tego samego kabla.

Podział ról

Który punkt zrobić kontrolerem, gdy masz kilka do wyboru

Rola kontrolera zjada zasoby urządzenia niezależnie od tego, ile radia z niego wyciśniesz. Dlatego mózgiem robi się tę sztukę, która radiowo jest najsłabsza — a nie tę najmocniejszą. Jeśli masz egzemplarz bez 5 GHz (wersja „-K”), to jest właśnie idealny kandydat: kontroler siedzi wtedy „za darmo” w urządzeniu, które i tak nie robiłoby szybkiego pasma, a nadal solidnie obsługuje 2,4 GHz.

Punkty mocniejsze zostają wtedy w całości do obsługi klientów, bo zarządzaniem zajmuje się tamten. Odwrotny podział — mózg w najlepszej sztuce — marnuje właśnie tę, na której najbardziej Ci zależy.

2. Które punkty dostępowe Cisco pasują do Mobility Express

To pierwsze pytanie po rozpakowaniu: co właściwie kupiłem i co to potrafi. Mobility Express to kontroler sieci bezprzewodowej, który Cisco umieściło wewnątrz samego punktu dostępowego — nie ma tu osobnego urządzenia-kontrolera ani serwera (rozdział 1 tłumaczy to szerzej). Ta instrukcja jest wspólna dla całej rodziny, więc odpowiedź na pytanie „co to potrafi” zależy od modelu.

Sprawdź to najpierw: czy Twój model może być kontrolerem

Punkt, który może być kontrolerem, postawi całą sieć sam — wystarczy prąd i kabel do routera. Punkt, który kontrolerem być nie może, jest sprawnym urządzeniem, ale bez kontrolera w sieci nie zacznie nadawać: będzie się w kółko rozglądał za mózgiem, do którego mógłby się zgłosić.

To nie jest różnica, którą da się nadrobić konfiguracją ani aktualizacją — albo model ma w sobie oprogramowanie kontrolera, albo go nie ma. Odpowiedź dla konkretnego modelu jest w tabelach niżej. Sprawdź ją, zanim uznasz, że urządzenie jest uszkodzone.

Najczęstszy przypadek: Aironet 3702 kontrolerem być nie może. To bardzo dobry punkt dostępowy do rozbudowy istniejącej sieci i kosztuje ułamek ceny nowszych — ale jako jedyne urządzenie nie zrobi Ci Wi-Fi.

Dwie role, nie jedna lista

Punkty dostępowe dzielą się tu na dwie grupy — i przy zakupie to jest najważniejsze rozróżnienie w całym dokumencie:

• Punkt, który może być kontrolerem. Ma w sobie oprogramowanie Mobility Express i pełni obie role naraz: zarządza siecią i nadaje Wi-Fi. Takich modeli jest ograniczona liczba. Potrzebujesz dokładnie jednego — od niego zaczynasz sieć.
• Punkt podległy. Po prostu nadaje Wi-Fi i słucha kontrolera. Tu wybór jest dużo szerszy i obejmuje sprzęt starszy i wyraźnie tańszy — także taki, który sam kontrolerem być nie potrafi.

Praktyczny wniosek: mózg kupujesz raz, a dokładasz to, co akurat jest tanie. Punkt podległy nie musi być z tej samej półki ani z tego samego rocznika co kontroler — musi tylko być na liście obsługiwanych.

Sprawdzone na działającym sprzęcie

Poniższe modele przeszły u nas pełną procedurę na włączonym sprzęcie — nie są przepisane z karty katalogowej. Tam, gdzie zachowanie różni się od oczekiwanego, jest to napisane wprost.

Nowszy nie znaczy łatwiejszy

W modelach 2802, 3802 i 4800 jedno z radiów jest przełączane: ta sama antena obsługuje 2,4 GHz albo 5 GHz, a oprogramowanie samo decyduje które. Na co dzień to zaleta i nic z tym nie robisz. Przy ręcznym ustawianiu mocy i kanału — na przykład przy stawianiu mostu radiowego — przestaw to radio najpierw w tryb ręczny, bo zwykłe polecenia dla pasma 2,4 GHz go nie dotyczą i wracają komunikatem o nieobsługiwanym typie radia.

Starszy 3702 tego nie ma: radia są przypisane na stałe do pasm i ustawia się je wprost. Przy pracy z mostem starszy model bywa wygodniejszy od nowszego.

Osobna rzecz, która myli przy czytaniu opisu sprzętu: modele 2802/3802/4800 raportują trzy gniazda radiowe, ale nadają z dwóch. Trzecie to układ nasłuchowy analizujący zakłócenia — nie nadaje i nie da się go włączyć jako radia. Jeśli narzędzie diagnostyczne mówi o nim „nie znaleziono urządzenia”, to jest stan poprawny, nie awaria.

Które modele mogą być kontrolerem

Poniższa lista nie pochodzi z materiałów reklamowych — to spis z pliku oprogramowania, który dostajesz wprost razem ze sprzętem. Dokładnie te modele potrafią pełnić rolę mózgu sieci:

Czego na tej liście nie ma, kontrolerem nie będzie — nawet jeśli to sprzęt nowszy albo droższy. Nie da się tego obejść konfiguracją: albo model ma w sobie oprogramowanie kontrolera, albo go nie ma.

Starsze punkty dostępowe

Lista punktów podległych jest znacznie szersza niż lista kontrolerów. Oprogramowanie kontrolera niesie w sobie także obrazy dla starszych serii Aironet i wydaje je punktom, które ich potrzebują — dlatego starszy, wycofany ze sprzedaży punkt dostępowy potrafi dołączyć do tej sieci i pracować w niej normalnie.

Potwierdziliśmy to na modelu 3702 (tabela wyżej): punkt przyszedł z niepełnym oprogramowaniem, dostał je od kontrolera i dołączył, bez żadnego serwera pośredniego.

Co to znaczy dla portfela

Sieć rozbudowujesz tym, co akurat trafisz — używanym sprzętem sprzed kilku lat, który kosztuje ułamek ceny nowego. Kontroler wyrówna mu oprogramowanie, poda konfigurację i włączy do wspólnej sieci; z punktu widzenia użytkownika to jest jedno Wi-Fi, a nie „nowe i stare”.

Jedyne, czego pilnujesz przy takim zakupie, to litera na końcu nazwy (anteny — ramka na początku rozdziału) i to, czy model ma być kontrolerem, czy tylko punktem podległym.

Zanim kupisz punkt „na dokładkę”

Sprzęt używany z innej instalacji potrafi nieść zapisane poświadczenia poprzedniego kontrolera i wpadać w pętlę odrzuceń zamiast dołączyć. Naprawia to reset do ustawień fabrycznych — opisany w rozdziale 10. Pamiętaj o tym przed zakupem, żeby nie odesłać sprawnego urządzenia jako zepsutego.

3. Jak podłączyć punkt dostępowy Cisco — zasilanie i pierwszy start

Około 10 minut przy jednym urządzeniu. Punkt dostępowy nie ma zwykłego gniazdka — zasila się kablem sieciowym, więc potrzebujesz jednej z trzech rzeczy: zasilacza do tego modelu, wstrzykiwacza PoE (mała kostka na kablu) albo switcha z PoE.

Jedno urządzenie — droga podstawowa

1. Zasil punkt dostępowy

   Najprościej wstrzykiwaczem PoE: wejście DATA wpinasz do routera, wyjście DATA+POWER do punktu dostępowego. Jeśli masz zasilacz dedykowany do tego modelu — podłącz go i wepnij zwykły kabel sieciowy z punktu do routera.

   Sprawdź standard zasilania: punkty z serii 2800, 3800 i 4800 chcą PoE+ (802.3at, 30 W). Na słabszym zasilaniu 802.3af (15,4 W) uruchomią się, ale w trybie ograniczonym, z przyciętą liczbą anten — objaw jest podstępny, bo punkt „działa, tylko wolno”.

2. Daj mu 3–5 minut

   Przy pierwszym uruchomieniu urządzenie startuje dłużej, niż się spodziewasz, i nie sygnalizuje tego w żaden oczywisty sposób. Nie odłączaj zasilania w tym czasie.

3. Przejdź do kreatora

   Jeśli to punkt z Mobility Express, sieć jest już gotowa — zostaje ją nazwać i ustawić hasło. Robi to kreator startowy z rozdziału 4.

   Jeśli to zwykły punkt dostępowy, nie ma czego konfigurować: sam znajdzie kontroler w sieci, zgłosi się i pobierze od niego wszystkie ustawienia. Twoja rola kończy się na wpięciu kabla.

Po czym poznasz, że wyszło: punkt z kontrolerem rozgłasza tymczasową sieć CiscoAirProvision i otwiera się w niej kreator startowy. Zwykły punkt pojawia się jako nowy wiersz w MonitoringAccess Points w panelu kontrolera.

Kilka urządzeń i switch PoE

Switch przydaje się dopiero wtedy, gdy punktów jest więcej niż jeden — zasila je wszystkie i łączy jednym urządzeniem, zamiast wstrzykiwacza przy każdym.

1. Zasil switch

   Podłącz go do gniazdka 230 V. Odczekaj, aż diody się ustabilizują (do minuty).

2. Podłącz internet

   Kabel z routera / bramy operatora wepnij w port bez PoE — w typowym switchu tej klasy są to dwa ostatnie porty (combo RJ45/SFP). Zostawiasz dzięki temu wszystkie porty PoE na urządzenia, które chcesz zasilić. Tam też wchodzi wkładka SFP, jeśli masz doprowadzony światłowód.

3. Podłącz najpierw punkt z kontrolerem

   Wepnij go w port PoE i daj mu 3–5 minut na start, zanim podłączysz cokolwiek dalej. Kontroler musi być gotowy, żeby pozostałe punkty miały się do czego zgłosić.

4. Podłącz kolejne punkty dostępowe

   Wepnij je w kolejne porty PoE — kolejność między nimi nie ma znaczenia. Każdy startuje kilka minut, sam znajduje kontroler, zgłasza się do niego i zaczyna nadawać. Nic w nich nie ustawiasz.

5. Odczekaj i sprawdź

   Pełne zgłoszenie wszystkich punktów potrafi zająć do 10 minut. Jeśli któryś ma inną wersję oprogramowania niż kontroler, najpierw ją od niego pobierze — wtedy trwa to dłużej i z zewnątrz wygląda jak zawieszenie. Nie przerywaj i nie odłączaj zasilania w trakcie.

Po czym poznasz, że wyszło: każdy punkt jest osobnym wierszem w MonitoringAccess Points, a kontroler widnieje tam jako jeden z nich — bo nim także jest. Z linii poleceń to samo pokaże show ap summary.

Zasilanie: ile mocy to zjada

Typowy switch tej klasy ma budżet ok. 124 W na wszystkie porty PoE łącznie i limit 30 W na pojedynczy port (standard PoE+, czyli 802.3at). Punkty dostępowe mieszczą się w tym z dużym zapasem — poniżej pobór odczytany z portu switcha na pracujących urządzeniach, a nie przepisany z karty katalogowej:

Budżet 124 W jest wspólny dla wszystkich portów. Dokładając kamery IP licz sumę, nie pojedyncze urządzenie. Switch pilnuje progu i przy 95% wykorzystania zgłasza alarm, ale nowe urządzenie po przekroczeniu budżetu po prostu nie dostanie zasilania — będzie wyglądało na uszkodzone.

Dlaczego zmierzony pobór jest tak niski

Punkt dostępowy przez większość doby nic nie robi: obsługuje kilka urządzeń przy niewielkim ruchu i zjada wtedy tyle, co żarówka. Szczyt z karty katalogowej dotyczy krótkich chwil — startu urządzenia i pełnego obciążenia wszystkich anten naraz.

Budżet PoE planuj mimo to na szczyt, nie na pomiar. Switch rezerwuje moc z góry, na podstawie tego, o ile urządzenie poprosi — a nie tego, ile realnie pobiera.

4. Pierwsze uruchomienie: kreator startowy krok po kroku

Ten rozdział dotyczy urządzenia z kontrolerem Mobility Express. Przychodzi zresetowane do stanu startowego; kreator przechodzi się raz, trwa kilka minut i ustawia nazwę sieci, hasło oraz adres kontrolera.

Kiedy ten rozdział Cię nie dotyczy

Punkt bez oprogramowania kontrolera nie ma własnego kreatora ani panelu — i tak ma być. Wepnij go do sieci, w której pracuje kontroler; znajdzie go sam, pobierze konfigurację i zacznie nadawać tę samą sieć Wi-Fi co pozostałe. Przejdź od razu do rozdziału 10.

Drugi taki przypadek: urządzenie było konfigurowane przed wysyłką. Sprzedawca mógł przejść kreator za Ciebie i dołączyć wypełnioną kartę instalacji z adresem kontrolera i hasłami. W takim wypadku pomiń ten rozdział i przejdź od razu do rozdziału 5.

Jak wejść do kreatora

Po pierwszym starcie kontroler rozgłasza własną, tymczasową sieć konfiguracyjną o nazwie CiscoAirProvision (zabezpieczoną hasłem password). Połącz się z nią telefonem albo laptopem i otwórz w przeglądarce adres http://192.168.1.1. Kreator uruchomi się sam.

Jeśli sieci CiscoAirProvision nie widać

Najczęstsza przyczyna to zbyt krótkie oczekiwanie — kontroler startuje kilka minut. Druga: kreator został już wcześniej przeprowadzony, więc sieć konfiguracyjna zniknęła. Sprawdź wtedy na routerze listę wydzierżawionych adresów — kontroler będzie tam widoczny jako urządzenie Cisco i wejdziesz do niego przez https://<jego adres>.

Co kreator pyta, po kolei

Kolejność pól jest stała. Przygotuj odpowiedzi zawczasu — kilka z nich trudno zmienić później bez restartu sieci.

Trzy pułapki kreatora

1. Na pytaniu Configuration correct? samo wciśnięcie Enter cofa o krok, zamiast zatwierdzić. Wygląda to jak zawieszenie kreatora. Wpisz wprost yes albo no.
2. Kontroler nie ma DNS. Jeśli podasz serwer czasu jako nazwę (np. pool.ntp.org), wpis zostanie na zawsze w stanie „nie zsynchronizowano” i nikt Cię o tym nie powiadomi. Rozjechany zegar to później jedna z trudniejszych do zdiagnozowania przyczyn odpadania punktów dostępowych. Podawaj wyłącznie adresy IP.
3. Nie włączaj wbudowanego serwera DHCP, jeśli adresy rozdaje router. Kreator proponuje to jako naturalny krok, a skutkiem są urządzenia z adresami z dwóch różnych pul.

Zaraz po kreatorze — trzy rzeczy do ustawienia

Kreator nie obejmuje kilku ustawień. Zrób je od razu, zanim sieć wejdzie do użytku.

1. Włącz rozsyłanie czasu na punkty dostępowe. ManagementTime — w tabeli serwerów NTP jest kolumna Apply for APs. Musi być włączona. Bez niej każdy punkt chodzi na własnym zegarze, a rozjechane zegary potrafią wywołać pętlę odłączania się punktów od kontrolera. Tego przełącznika nie ma w linii poleceń — wyłącznie w panelu.
2. Sprawdź dostęp do panelu. ManagementAccess — zdecyduj świadomie, czy zostawiasz włączony Telnet i SSH. Domyślne ustawienia nie zawsze są tym, czego chcesz.
3. Zapisz konfigurację ikoną dyskietki — patrz rozdział 5. Bez tego wszystko powyżej zniknie po pierwszym zaniku prądu.

Po czym poznasz, że wyszło: tymczasowa sieć CiscoAirProvision znika, panel otwiera się pod adresem podanym w polu Management IP, a w ManagementTime widzisz włączoną kolumnę Apply for APs.

5. Panel zarządzania — logowanie i co gdzie jest

Jedna strona w przeglądarce, z której widać i ustawia się całą sieć.

Logowanie

Otwórz https://<adres kontrolera> i zaloguj się kontem administratora ustawionym w kreatorze.

Przeglądarka pokaże ostrzeżenie Połączenie nie jest prywatne

To normalne i nie oznacza awarii ani włamania. Kontroler przedstawia się własnym, samodzielnie wystawionym certyfikatem, bo nie ma publicznej nazwy domenowej. Kliknij Zaawansowane → Przejdź dalej. Jeśli chcesz się tego ostrzeżenia pozbyć na stałe, wymaga to wgrania własnego certyfikatu na nazwę domenową — to zadanie dla administratora, nie warunek działania sieci.

Co gdzie jest

Dwie ikony do zapamiętania

Dyskietka = zapisz konfigurację

Ikona dyskietki w prawym górnym rogu zapisuje ustawienia na stałe. Kliknięcie Apply na dowolnej stronie zmienia działanie sieci natychmiast, ale tylko do najbliższego restartu. Po zaniku prądu kontroler wróci do ostatniego zapisanego stanu.

Nawyk do wyrobienia: każda zmiana → Apply → dyskietka. Ikona sygnalizuje niezapisane zmiany zmianą wyglądu. To zdecydowanie najczęstsza przyczyna zgłoszeń „ustawienia same się cofnęły”.

Ikona dwóch strzałek = Expert View

Panel ma dwa widoki: Standard (domyślny, uproszczony) i Expert. W widoku standardowym ośmiu stron po prostu nie ma w menu — m.in. Mesh, profile radiowe, mDNS, Umbrella. Co gorsza, wejście na ich adres w widoku standardowym cicho przerzuca z powrotem na kokpit, więc wygląda to jak brak funkcji w urządzeniu.

Jeśli szukasz opcji opisanej w tej instrukcji i nie widzisz jej w menu — najpierw przełącz się na Expert View. To wyłącznie zmiana widoku, nie zmiana konfiguracji.

6. Codzienne zadania: hasło Wi-Fi, sieć dla gości, kto jest podłączony

Konkretne ścieżki klikania do rzeczy, które robi się najczęściej. Pamiętaj o dyskietce po każdej zmianie.

Zmiana hasła do Wi-Fi

Wireless SettingsWLANs → kliknij w wiersz swojej sieci → zakładka WLAN Security → wpisz nowe hasło w obu polach → Apply → dyskietka.

Po czym poznasz, że wyszło: wszystkie urządzenia podłączone starym hasłem zostaną rozłączone i będą wymagały wpisania nowego. Zmiana rozchodzi się na wszystkie punkty dostępowe w ułamku sekundy — nie ustawiasz jej nigdzie osobno.

Dodanie sieci dla gości

Wireless SettingsWLANs → Add new WLAN/RLAN

1. General — Profile Name (nazwa robocza, np. Goscie) i SSID (nazwa widoczna dla ludzi).
2. WLAN Security — zaznacz Guest Network, wybierz WPA2 i ustaw hasło.
3. VLAN & Firewall — zaznacz Peer to Peer Block. To odcina gościom możliwość widzenia się nawzajem i dobierania się do siebie w tej samej sieci.
4. Apply → dyskietka.

Po czym poznasz, że wyszło: nowa sieć jest kolejnym wierszem na liście Wireless SettingsWLANs, a telefon widzi jej nazwę na liście sieci.

Pełna izolacja gości od sieci domowej

Powyższe oddziela gości od siebie nawzajem. Żeby odciąć ich także od Twoich komputerów, drukarki i dysku sieciowego, potrzebna jest osobna sieć wirtualna (VLAN) skonfigurowana również na routerze — kontroler przypisuje ruch do VLAN-u, ale to router decyduje, dokąd ten VLAN prowadzi. To zadanie dla administratora.

Kto jest podłączony

MonitoringClients

Lista wszystkich urządzeń w sieci wraz z: nazwą użytkownika, adresem IP, punktem dostępowym, do którego są przyłączone, standardem połączenia, prędkością, jakością i siłą sygnału, ilością przesłanych danych, nazwą sieci i czasem połączenia. Kliknięcie w wiersz otwiera szczegóły z dziennikiem zdarzeń danego urządzenia i możliwością wykonania pingu prosto z kontrolera.

Włączanie Wi-Fi tylko w wybranych godzinach

Wireless SettingsWLANs → wiersz sieci → zakładka Scheduling

Dla każdego dnia tygodnia ustawiasz okno godzinowe. Typowe zastosowanie: sieć dla gości aktywna 7:00–23:00, albo Wi-Fi dla dzieci wyłączane na noc.

Sprawdzenie stanu punktów dostępowych

MonitoringAccess Points — z przełącznikiem pasma 2,4 / 5 GHz

Najbogatszy widok w całym panelu. Dla każdego punktu i każdego pasma osobno zobaczysz m.in.:

• Channel Utilization — jak bardzo zajęty jest kanał. Powyżej ~50% robi się ciasno — poszukaj wtedy przyczyny.
• Interference — ile z tego zajęcia to obce sieci.
• Noise — poziom szumu tła.
• Rogues — ile obcych punktów dostępowych widzi ten punkt.
• Coverage Hole Events — ile razy klient znalazł się w miejscu bez wystarczającego zasięgu. Rosnąca liczba to sygnał, że punkt jest źle umieszczony albo brakuje jeszcze jednego.
• Clients / Usage / Uptime — obciążenie i czas pracy.

Audyt własnej konfiguracji

MonitoringBest Practices

Kontroler sam ocenia Twoją konfigurację i wystawia wynik punktowy w kategoriach: infrastruktura, bezpieczeństwo i zarządzanie pasmem radiowym. Każdy niezaliczony punkt ma opis, co i dlaczego zmienić. To najtańszy sposób, żeby dowiedzieć się, co w Twojej sieci da się poprawić bez żadnej wiedzy specjalistycznej.

7. Płynny roaming — jak go naprawdę włączyć

Fabryczne ustawienia dają dobry, ale nie najlepszy roaming. Ten rozdział pokazuje, jak dołożyć brakujący element — i dlaczego domyślne ustawienie potrafi mylić.

Co działa od razu

Po kreatorze kontroler już rozgłasza dwa mechanizmy pomagające urządzeniom przeskakiwać między punktami dostępowymi:

• 802.11k — kontroler podpowiada telefonowi listę sąsiednich punktów, więc nie musi ich szukać po omacku;
• 802.11v — kontroler może aktywnie zasugerować telefonowi przejście na lepszy punkt.

Dla większości domów i biur to wystarcza: przechodzenie między pomieszczeniami jest płynne, a rozmowa wideo się nie zrywa.

Czego brakuje, choć wygląda na włączone

Jak to naprawić

Zmiana wymaga linii poleceń — w panelu nie ma przełącznika, który dokłada brakującą część. Zaloguj się przez SSH (rozdział 14) i wykonaj poniższą sekwencję dla każdej sieci Wi-Fi, w której zależy Ci na płynności. <id> to numer sieci z show wlan summary.

Najpierw sprawdź warunek konieczny — wszystkie punkty muszą być w jednej grupie FlexConnect (kontroler tworzy ją sam, więc niemal zawsze są):

show flexconnect group summary

Dla sieci ze zwykłym hasłem (PSK):

config wlan disable <id>
config wlan security ft adaptive disable <id>
config wlan security ft enable <id>                 # zapyta (y/n) → y
config wlan security wpa akm ft psk enable <id>      # to jest właściwa poprawka
config wlan assisted-roaming dual-list enable <id>   # zapyta (y/N) → y
config wlan bss-transition dual-list enable <id>     # zapyta (y/N) → y
config wlan enable <id>
save config                                          # zapyta (y/n) → y

Dla sieci z logowaniem per użytkownik zamień jedną linię — zamiast ft psk wpisz ft 802.1x (dokładnie w tej pisowni):

config wlan security wpa akm ft 802.1x enable <id>

Ostrzeżenie, które zobaczysz — i co naprawdę znaczy

Kontroler zapyta: Non 802.11r clients will not be able to connect to this wlan, czyli że stare urządzenia się nie połączą. Brzmi groźnie i wielu ludzi w tym miejscu rezygnuje.

Sprawdziliśmy to pomiarem: stare urządzenia łączą się normalnie. Po zmianie w sieci są obecne obie metody uwierzytelniania naraz — nowa i stara. Ostrzeżenie dotyczy sytuacji, w której ktoś świadomie zostawi wyłącznie nową. W testach po wykonaniu tej sekwencji wszystkie wcześniej podłączone urządzenia wróciły do sieci.

Weryfikacja. Wykonaj show wlan <id> i sprawdź, że FT Support pokazuje Enabled (a nie Adaptive), FT-PSK lub FT-1X jest Enabled, a PSK / 802.1x nadal Enabled — to dowód, że starych urządzeń nie odcięto. Po zapisie szukaj dosłownego napisu Configuration Saved!; brak komunikatu o błędzie nie jest potwierdzeniem zapisu.

Czego świadomie nie włączać

Band Select — decyzja, nie oczywistość

Band Select celowo opóźnia odpowiedzi na 2,4 GHz, żeby wypchnąć urządzenia na szybsze 5 GHz. Ma to sens tylko wtedy, gdy w sieci w ogóle jest 5 GHz — czyli gdy masz punkty nadające w tym paśmie (jak 2802i). Jeśli pracujesz na samym kontrolerze 4800-K, nadającym wyłącznie 2,4 GHz, ten mechanizm nie ma czego przyspieszyć. Ale ten sam mechanizm opóźnia decyzję o roamingu — jeśli w sieci liczą się przede wszystkim rozmowy głosowe i wideo, rozważ jego wyłączenie: config wlan band-select allow disable <id>.

8. Login i hasło dla każdego z osobna — bez serwera RADIUS

Funkcja typowa dla dużych firm, dostępna tutaj bez żadnego dodatkowego serwera. Rozdział opcjonalny — sieć działa doskonale i bez niego.

Po co

Przy zwykłym haśle Wi-Fi wszyscy znają to samo hasło. Gdy odchodzi pracownik, wyprowadza się najemca albo kończy się sezon w pensjonacie, masz dwie możliwości: zostawić hasło (i zaufać) albo zmienić je wszystkim.

Kontroler potrafi być własnym serwerem uwierzytelniania. Każda osoba dostaje wtedy własny login i hasło. Odejście jednej osoby to skasowanie jednego konta — reszta nawet tego nie zauważy. Do tego kontroler pokazuje w panelu nazwę użytkownika zamiast anonimowego numeru urządzenia i sam rozpoznaje sprzęt (np. „iPhone 14 Pro Max”).

Nie potrzebujesz do tego żadnego serwera, domeny ani certyfikatów instalowanych na komputerach. Wszystko siedzi w kontrolerze. Sprawdzony limit kont — ponad 1 800, i wszystkie przeżyły restart kontrolera.

Jak to włączyć

Konta użytkowników dodaje się w panelu: Wireless SettingsWLAN Users → Add WLAN User.

Samo przełączenie sieci na tryb logowania per użytkownik wygodniej zrobić z linii poleceń — poniżej cała sekwencja. <profil> to dowolna nazwa, np. Logowanie; <id> to numer sieci Wi-Fi.

# 1. profil uwierzytelniania
config local-auth eap-profile add <profil>
config local-auth eap-profile method add peap <profil>

# 2. przełączenie sieci ze wspólnego hasła na logowanie
config wlan disable <id>
config wlan security wpa akm 802.1x enable <id>
config wlan security wpa akm psk disable <id>
config wlan local-auth enable <profil> <id>
config wlan enable <id>

# 3. dodanie osoby
config netuser add <login> <haslo> wlan <id> userType permanent

# 4. usunięcie osoby (uwaga na słowo "username")
config netuser delete username <login>

# 5. zapis
save config

Trzy rzeczy, na które uważaj

1. Kolejność ma znaczenie. Włączenie logowania potrafi odmówić, dopóki stare hasło jest jeszcze aktywne — wyłącz je i powtórz polecenie. Sprawdzaj wynik stanem (show wlan <id>), a nie brakiem komunikatu o błędzie.
2. W poleceniu kasowania jest słowo username. Bez niego polecenie kończy się błędem i nic nie kasuje — a łatwo tego nie zauważyć. Zawsze potwierdź listą: show netuser summary.
3. Przełączenie rozłącza dotychczasowych użytkowników. Każdy musi połączyć się ponownie, wpisując swój login. To cały sens zmiany, ale uprzedź ludzi.

Po czym poznasz, że wyszło: show wlan <id> pokazuje sieć włączoną z logowaniem 802.1x, show netuser summary wymienia dodane konta, a w panelu MonitoringClients w kolumnie użytkownika pojawiają się loginy zamiast numerów urządzeń.

Przy pierwszym połączeniu telefon pokaże ostrzeżenie o certyfikacie

Kontroler przedstawia się własnym certyfikatem, więc urządzenie raz zapyta, czy mu zaufać. Potwierdzasz to jeden raz na urządzenie. Na iPhone pierwsza próba potrafi się przy tym urwać — druga przechodzi. To normalne zachowanie systemu przy ręcznie konfigurowanej sieci tego typu, nie usterka.

Nie ma potrzeby nic z tym robić: potwierdzenie jest jednorazowe i nie wraca przy kolejnych połączeniach.

9. Switch PoE — kiedy jest potrzebny i co na nim ustawić

Switch jest potrzebny dopiero wtedy, gdy punktów dostępowych jest więcej niż jeden albo gdy chcesz zasilać je kablem sieciowym. W typowej instalacji działa bez żadnej konfiguracji — wystarczy go włączyć. Opisany niżej model SG300-10MP jest przykładem; inny switch z PoE+ zadziała tak samo. Ten rozdział przyda się, gdy zechcesz nim zarządzać albo zobaczyć pobór mocy.

Porty

Pierwsze wejście do switcha

Fabrycznie switch ma adres 192.168.1.254, użytkownika cisco i hasło cisco (przy pierwszym logowaniu wymusi zmianę hasła). Żeby się dostać, podłącz komputer do wolnego portu i nadaj mu tymczasowo adres z tej samej puli, np. 192.168.1.50.

Konflikt adresów — sprawdź to, zanim wepniesz switch do sieci

Wiele routerów domowych używa właśnie puli 192.168.1.x. Jeśli Twój router ma taki adres, fabryczny adres switcha może się z czymś zderzyć. Nadaj switchowi stały adres z Twojej sieci, poza pulą rozdawaną przez router.

Zmiana adresu switcha: trzy pułapki, każda kosztuje kwadrans

1. Adres najpierw, brama potem. Ustawienie bramy domyślnej jest po cichu odrzucane, dopóki switch jest jeszcze w innej podsieci. Ustaw adres, przełącz się na nowy adres i dopiero wtedy ustaw bramę.
2. Zmiana adresu natychmiast zrywa Twoje połączenie. Zapis do pamięci trwałej zrób w drugim, osobnym połączeniu.
3. Bez zapisu do pamięci trwałej switch po restarcie wróci do pobierania adresu z DHCP — a gdy go nie dostanie, spadnie na fabryczne 192.168.1.254, czyli prawdopodobnie do zupełnie innej podsieci niż reszta sprzętu. Wygląda wtedy na uszkodzony, choć działa poprawnie.

Po czym poznasz, że wyszło: po restarcie switch nadal odpowiada pod nadanym adresem, a nie pod fabrycznym.

Stary interfejs — czego się spodziewać

Panel tego switcha powstał w czasach Internet Explorera i w nowoczesnych przeglądarkach kliknięcie pozycji w menu potrafi podświetlić ją, ale nie zmienić treści po prawej. To nie jest awaria sprzętu. Pomaga odświeżenie strony albo inna przeglądarka.

Druga rzecz: po każdej akcji pojawia się nakładka Processing Data z licznikiem procentowym, która na tym sprzęcie potrafi trwać 5–10 sekund. Poczekaj, aż zniknie, zamiast klikać ponownie.

Co ustawić na switchu

• Źródło czasu (SNTP). Fabrycznie switch nie ma żadnego źródła czasu i stempluje swoje zdarzenia bezsensownymi datami. Jeśli kiedykolwiek będziesz porównywał jego logi z czymkolwiek innym, ustaw serwer czasu — po adresie IP.
• Stały adres IP — patrz wyżej.
• Własne hasło administratora zamiast domyślnego.

Ten model nie dostaje już aktualizacji — i co z tego wynika

Seria SG300 zakończyła cykl wsparcia producenta 31 sierpnia 2023. Ostatnie wydane oprogramowanie to 1.4.11.5 z czerwca 2020 i jest to wersja najnowsza — nie ma czego aktualizować.

Praktyczna konsekwencja jest prosta: cokolwiek zostanie w tym panelu kiedyś znalezione, nie zostanie już naprawione — bo nie będzie kolejnego wydania oprogramowania. To nie wpływa na przełączanie ruchu ani na zasilanie PoE — switch robi swoją robotę bez zarzutu. Ale jego panel zarządzania nie może być wystawiony do internetu. Trzymaj go wyłącznie w sieci lokalnej i nie przekierowuj na niego portów z routera. Dokładnie ta sama zasada dotyczy panelu kontrolera Wi-Fi.

10. Rozbudowa: dokładanie punktów, awaria kontrolera, kopia konfiguracji

Dokładanie kolejnego punktu dostępowego

Punkt dostępowy Cisco z serii obsługiwanej przez ten kontroler wystarczy wpiąć do tej samej sieci — do switcha PoE albo wprost do routera, jeśli zasilisz go osobno. Reszta dzieje się sama: punkt znajduje kontroler, zgłasza się i pobiera od niego konfigurację oraz oprogramowanie, jeśli go potrzebuje.

• Wpinaj w port PoE+ i pilnuj budżetu mocy switcha (w typowym switchu tej klasy 124 W na wszystkie porty łącznie).
• Punkt musi być w tej samej podsieci co kontroler. Z innej podsieci potrzebna jest dodatkowa konfiguracja na serwerze DHCP (opcja 43) lub wpis w DNS.
• Uzbrój się w cierpliwość. Jeśli punkt ma inne oprogramowanie, pobierze je z kontrolera — potrafi to trwać kilkanaście minut i wygląda wtedy jak zawieszenie. Nie przerywaj.
• Używany punkt z innej instalacji może nieść zapisane poświadczenia poprzedniego kontrolera i wpaść w pętlę odrzuceń. Ratunek to reset do ustawień fabrycznych: przytrzymaj przycisk MODE przez 20–30 sekund w trakcie podłączania zasilania.

Po czym poznasz, że wyszło: punkt jest nowym wierszem w MonitoringAccess Points, a show ap summary podaje jego nazwę, model, adres, tryb i czas pracy.

Odwrotna pułapka: punkt z oprogramowaniem kontrolera przestaje nim być

Jeśli wepniesz punkt z oprogramowaniem Mobility Express do sieci, w której już pracuje inny kontroler, punkt potrafi porzucić rolę kontrolera i zgłosić się do tamtego jako zwykły punkt podległy. To zaprojektowane zachowanie, nie awaria.

Kłopot polega na tym, jak to wygląda: „nowy kontroler nie działa” — bez żadnego komunikatu o błędzie. Panel się nie pojawia, a urządzenie po prostu dołącza do istniejącej sieci. Jeśli stawiasz drugą, niezależną instalację, uruchom ją w odseparowanej sieci albo dopiero wtedy, gdy pierwszego kontrolera nie ma w tej samej sieci.

Co się dzieje, gdy padnie kontroler

Punkty dostępowe pracują tu w trybie, w którym ruch klientów nie przechodzi przez kontroler — idzie prosto z punktu do sieci. Dlatego przy chwilowej niedostępności kontrolera podłączone urządzenia dalej działają.

Sam kontroler też nie jest pojedynczym punktem awarii, jeśli w sieci jest drugi punkt zdolny przejąć tę rolę. Zmierzone zachowanie przy wyłączeniu kontrolera:

• rolę przejmuje inny punkt, a adres zarządzania pozostaje ten sam — nic nie przekonfigurowujesz;
• konfiguracja jest zachowana w całości — kontroler replikuje ją na pozostałe punkty na bieżąco. Utrata kontrolera to przełączenie, nie utrata instalacji;
• automatyczny wybór następcy trwa ok. 5 minut plus start; w tym czasie pozostałe punkty dalej obsługują klientów;
• wracający po restarcie stary kontroler nie odbiera roli — chroni ją najdłuższy czas pracy.

Warunkiem jest działająca synchronizacja konfiguracji między punktami. Sprzyja jej jedna rzecz z kreatora: zmienione domyślne poświadczenia punktów dostępowych — przy domyślnych oprogramowanie potrafi wyłączyć sobie kanał synchronizacji.

To jest powód, żeby mieć drugi punkt zdolny być kontrolerem

Nie chodzi o zasięg. Drugi taki punkt sprawia, że awaria sprzętowa mózgu sieci przestaje być awarią instalacji — konfiguracja, hasła, konta i adres zarządzania są już na nim i przechodzą razem z rolą. Odtwarzanie ustawień z pamięci albo z kartki po prostu nie występuje.

Ta sama właściwość przydaje się przy planowej wymianie sprzętu: stary kontroler oddajesz „miękko” — wyłączasz go i pozwalasz przejąć rolę następnemu, zamiast stawiać wszystko od zera.

Co przeżywa utratę kontrolera — to zależy od trybu punktu

Zdanie „punkty dostępowe umieją pracować bez kontrolera” jest prawdziwe tylko dla części trybów. Różnica jest duża i lepiej poznać ją przed zaplanowaniem instalacji, a nie po pierwszym zaniku prądu:

Praktyczny wniosek dla planującego most radiowy

Most między budynkami jest wygodny i tani, ale uzależnia oba budynki od dostępności kontrolera. Jeśli kontroler stoi po jednej stronie mostu i tam padnie prąd, druga strona nie odbuduje łącza sama — poczeka. Dlatego trzymaj kontroler po tej stronie, która ma pewniejsze zasilanie, a przy dwóch budynkach z równym ryzykiem — miej po drugiej stronie punkt zdolny przejąć rolę kontrolera.

Po powrocie kontrolera most odbudowuje się sam, ale trwa to minuty, a nie sekundy.

Kopia konfiguracji

AdvancedController ToolsConfiguration Management

Kontroler potrafi wyeksportować całą konfigurację na serwer w sieci — również cyklicznie, według harmonogramu. Zrób eksport zaraz po zakończeniu kreatora i po każdej większej zmianie. To pięć minut pracy, które oszczędzają wieczór odtwarzania ustawień z pamięci.

Aktualizacja oprogramowania

ManagementSoftware Update

Aktualizacja kontrolera pociąga za sobą aktualizację wszystkich punktów dostępowych i przerwę w działaniu sieci. Zaplanuj ją poza godzinami pracy.

Jeśli sieć działa stabilnie — nie aktualizuj bez powodu. To sprzęt z zamkniętym cyklem rozwoju; kolejne wydania nie przynoszą nowych funkcji, a każda zmiana wersji to ryzyko, że któryś punkt nie wróci. Aktualizuj, gdy masz konkretny problem, który dana wersja naprawia.

Certyfikaty punktów dostępowych — sprawa na lata

Każdy punkt dostępowy Cisco ma wszyty fabryczny certyfikat z datą ważności. Gdy ta data minie, punkt przestaje dołączać do kontrolera — cała instalacja przestaje działać „sama z siebie”, bez żadnej zmiany w konfiguracji. To odległa perspektywa, ale realna dla sprzętu, który ma jeszcze wiele lat pracy przed sobą.

To oprogramowanie ma na to przełącznik. Włącz go od razu przy uruchomieniu, a nie za kilka lat pod presją awarii:

config ap cert-expiry-ignore mic enable
save config

Po czym poznasz, że wyszło: zapis kończy się dosłownym napisem Configuration Saved!

11. Gdy coś nie działa — objawy, przyczyny i co zrobić

Objaw po lewej, prawdopodobna przyczyna i konkretne działanie po prawej. Ułożone od najczęstszych.

Szukasz dosłownego komunikatu, który zobaczyłeś na ekranie, albo polecenia do konkretnego pytania? To jest w osobnym dokumencie: Komunikaty, polecenia i diagnostyka.

12. Czego nie klikać

Krótka lista przycisków, które robią dokładnie to, co obiecują — i dlatego są groźne.

13. Limity: ile punktów dostępowych, ile urządzeń, ile sieci Wi-Fi

Twarde liczby — sprawdzone na działającym sprzęcie, nie przepisane z katalogu. Wszystkie są daleko poza tym, czego wymaga typowa instalacja w domu, biurze czy niedużej firmie.

Czego ten kontroler nie ma

• DNS — każdy serwer (czasu, logów, kopii zapasowych) podajesz adresem IP. Nazwa nigdy się nie rozwiąże, a wpis zostanie w stanie „nie próbowano” bez żadnego ostrzeżenia.
• LLDP — rozpoznawanie sąsiadów w sieci działa wyłącznie protokołem CDP (Cisco).
• Zaawansowana analityka bezpieczeństwa radiowego — wykrywanie obcych punktów i zakłóceń działa w pełni, natomiast analiza sygnatur ataków bezprzewodowych to funkcja większych kontrolerów.

Ograniczenia sprzętowe

• Kontroler 4800-K nadaje wyłącznie w 2,4 GHz. 5 GHz wnoszą dopiero dodatkowe punkty dostępowe (np. 2802i). Przy planowaniu rozmieszczenia weź to pod uwagę: kontroler jest dobrym wyborem tam, gdzie liczy się zasięg i przenikliwość (piwnica, garaż, IoT), a punkty z 5 GHz tam, gdzie liczy się prędkość. Jeśli zaczynasz od jednego urządzenia, to jest właśnie ten powód, żeby później dołożyć drugie — nie dlatego, że brakuje zasięgu, tylko żeby mieć szybkie pasmo tam, gdzie z niego korzystasz.
• Kontroler 4800-K nie może pracować w trybie mostu radiowego (bezprzewodowe łączenie budynków), bo ten wymaga pasma 5 GHz. Punkty 2802i mogą — to konfiguracja dla administratora, wymagająca m.in. włączenia mostkowania ethernetowego zanim podepniesz cokolwiek za punktem-mostem.

14. Linia poleceń dla administratora — polecenia i osobliwości

Wszystko, co potrzebne na co dzień, zrobisz w panelu. Linia poleceń przydaje się przy diagnostyce i przy kilku ustawieniach, których panel nie wystawia.

Wejście

ssh <konto-administratora>@<adres-kontrolera>

Po zalogowaniu wykonaj raz na sesję config paging disable — to odpowiednik wyłączenia stronicowania. Bez tego dłuższe wyniki zatrzymują się na pytaniu o kolejną stronę.

Najczęściej używane polecenia

Osobliwości tego systemu — poznaj je z góry

Pięć rzeczy, które zachowują się inaczej niż w typowym sprzęcie Cisco:

• Nie ma potoku |, ale jest osobne polecenie grep do filtrowania wyników.
• Znak zachęty zawsze brzmi (Cisco Controller) >, niezależnie od nazwy nadanej systemowi. Nie rozpoznawaj po nim urządzenia.
• Duże wyniki potrafią urwać sesję. show run-config commands to ok. 30 kB jednym ciągiem — polecenie wydane zaraz po nim wraca puste. Pusty wynik po ciężkim odczycie to awaria odczytu, nie brak danych. Sprawdzaj długość odpowiedzi, zanim uznasz, że czegoś w niej nie ma.
• Restart nie jest jednym pytaniem. reset system najpierw synchronizuje konfigurację z punktami (Config SYNC to Cheetah APs in Progress), potem zadaje dwa pytania z krótkim czasem na odpowiedź. Potwierdzenia wysłane za wcześnie idą w próżnię, a kontroler wraca do znaku zachęty, jakby nic się nie stało. Dowodem restartu jest czas pracy odczytany w nowej sesji, nie to, co widać w bieżącej. Kontroler wraca po ok. 100 sekundach.
• Hasła są maskowane w zrzutach konfiguracji — show run-config commands pokazuje je jako gwiazdki, więc zrzut da się bezpiecznie komuś przesłać.

Konsola szeregowa

Każdy punkt dostępowy ma fizyczny port konsoli (9600 8N1). To jedyna droga, gdy urządzenie nie ma adresu IP albo właśnie zmieniasz mu adres zarządzania i sam się od niego odetniesz. Logujesz się kontem serwisowym punktów ustawionym w kreatorze.

Konsola punktu bywa zalewana komunikatami, które wcinają się w środek wpisywanej linii. Przed dłuższą pracą wycisz ją poleceniem logging console disable.

15. Karta instalacji

Wypełnij i zachowaj — najlepiej wydrukuj i schowaj przy sprzęcie. Odzyskanie zapomnianego hasła administratora oznacza reset kontrolera i przechodzenie kreatora od zera.

Dopisz przy każdym punkcie dostępowym

Numer seryjny albo adres MAC z naklejki na obudowie oraz numer portu w switchu. Gdy za dwa lata jeden punkt zacznie sprawiać kłopoty, będziesz wiedział, który to fizycznie i który kabel wyciągnąć — bez chodzenia po drabinie z laptopem.

16. Słowniczek pojęć