Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

FlexConnect

FlexConnect Feature Matrix - Ältere und neue Funktionen in Version 7.0.116 und höher

Sicherheit - Client

Sicherheit - Infrastruktur

Sicherheit

Sprache und Video

Services

Infrastruktur

Mobilitäts-/Roaming-Szenarien

Zugehörige Informationen

Einleitung

Dieses Dokument beschreibt die Funktionsmatrix für die FlexConnect-Funktion auf dem Wireless LAN-Controller (WLC).

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- CAPWAP-Protokoll (Control and Provisioning of Wireless Access Points)

- Konfiguration leichter Access Points (APs) und Cisco WLCs

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den CUWN-Versionen 7.0.116.0 und höher. Dieser Artikel wurde mit Version 8.8 aktualisiert.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

FlexConnect

FlexConnect ist eine Wireless-Lösung für Bereitstellungen in Zweigstellen und Zweigstellen. Sie ermöglicht die Konfiguration und Steuerung der Access Points in einer Zweigstelle oder an einem Remote-Standort über eine WAN-Verbindung, ohne dass in jeder Zweigstelle ein Controller bereitgestellt werden muss. Die FlexConnect-APs können den Client-Datenverkehr lokal schalten und die Client-Authentifizierung lokal durchführen. Wenn sie mit dem Controller verbunden sind, können sie auch Datenverkehr an diesen zurücksenden. FlexConnect wird nur von den folgenden Komponenten unterstützt:

- 700, 1130AG, 1140, 1240AG, 1250, 1700, 1810, 1815, 1830, 1840, 1850, AP801, 16 00, 1700, 2600, 2700, 2800, 3500I, 3500E, 3600, 3700, 3800, 1040, 1520, 1530 0, 1550, 1560, 1570 und 1260 APs

- Cisco Flex Controller der Serien 8500 und 7500, 5500, 3504, vWLC und 2500

- Catalyst 3750G Integrated WLC Switch

- Cisco WiSM und WiSM2

- Controller-Netzwerkmodul für Integrated Services Router

Die lokale FlexConnect-Authentifizierung ist nützlich, wenn Sie eine Einrichtung für Außenstellen mit einer Mindestbandbreite von 128 Kbit/s und einer Round-Trip-Latenz von nicht mehr als 100 ms nicht verwalten können. Die maximal tolerierte Latenz für FlexConnect beträgt 300 ms, unabhängig von den verwendeten Funktionen.

Im nächsten Abschnitt wird die FlexConnect-Funktionsmatrix beschrieben.

Hinweis: Zugangspunkte vor 802, 11n, wie 1130 oder 1240, werden weiterhin von neuerem Code unterstützt. Diese APs erhalten jedoch keine neuen Funktionen ab Version 7.3. Daher unterstützen diese APs keine FlexConnect-Funktionen, die nach Version 7.3 verfügbar sind. Ebenso verfügen 802.11n APs der ersten Generation über keine der FlexConnect-Funktionen des 8.1-Feature-Sets, selbst wenn sie einem solchen WLC beitreten können. Weitere Informationen finden Sie in den Versionshinweisen.

Hinweis: 802.11ac Wave 2-APs und Catalyst APs werden in diesem Dokument behandelt, das diese Matrix ersetzt, die sich nur auf AireOS-Versionen konzentriert: https://www.cisco.com/c/en/us/td/docs/wireless/access_point/feature-matrix/ap-feature-matrix.html

FlexConnect Feature Matrix - Ältere und neue Funktionen in Version 7.0.116 und höher

Sicherheit - Client

Die Sicherheitsunterstützung auf FlexConnect ist je nach Modi und Status unterschiedlich. In dieser Tabelle sind die unterstützten Sicherheitsfunktionen zusammengefasst:

WAN Up (Zentrales Switching)

WAN Up (lokales Switching)

WAN Up (lokales Switching, lokale Authentifizierung)

WAN ausgefallen (Standalone)

Offenes/statisches WEP

Ja

Ja

Ja

Ja

WPA-PSK

Ja

Ja

Ja

Ja

802.1x (WPA/WPA2)

Ja

Ja

Ja

Ja

MAC-Filter Authentifizierung

Ja

Ja

Nein

Nein

CCKM - Schnelles Roaming

Ja

Ja

Nein

Ja, für verbundene Clients. Nein, für neue Kunden.

Sicherheit - Infrastruktur

WAN Up (Zentrales Switching)

WAN Up (lokales Switching)

WAN ausgefallen (Standalone)

Daten-DTLS-Verschlüsselung

Ja

–

–

Lokales EAP (7.0 bis 7.4)

Ja (LEAP/EAP-FAST)

Ja (LEAP/EAP-FAST)

Ja (LEAP/EAP-FAST)

LocaL EAP (7.5 und höher)

Ja (LEAP/EAP-FAST/PEAP/EAP-TLS)

Ja (LEAP/EAP-FAST/PEAP/EAP-TLS)

Ja (LEAP/EAP-FAST/PEAP/EAP-TLS)

Backup-Radius

Ja (7.0.16)

Ja (7.0.16)

Ja

MIC

Ja

Ja

Nicht zutreffend

Sicherheit

Die Sicherheitsunterstützung auf FlexConnect ist je nach Modi und Status unterschiedlich. In dieser Tabelle sind die älteren und neuen Sicherheitsfunktionen zusammengefasst, die von WLC Version 7.0.116.0 und höher unterstützt werden:

WAN Up (Zentrales Switching)

WAN Up (lokales Switching)

WAN Up (lokales Switching, lokale Authentifizierung)

WAN ausgefallen (Standalone)

Adaptive Wireless Intrusion Prevention (aWIPS)

Ja

Ja

Ja

Nein

Entdeckung nicht autorisierter Zugriffe (IDS)

Ja

Ja

Ja

Nein

Management Frame Protection (MFP) (Client, Infrastruktur)

Ja

Ja (Nein für Phase 2 APS)

Ja (Nein für Phase 2 APS)

Nein

802.11w-"MFP"

Ja (7,5)

Ja (7,5)

Ja (7,5)

Ja (7,5)

Schneller Umstieg auf 802.11r

Ja

Ja

Nein

Nein

Selbstsigniertes Zertifikat (SSC)

Ja

Ja

Ja

–

RLDP (Rogue Location Discovery Protocol)

funktioniert je nach Hops, WAN-Geschwindigkeit

kann funktionieren, hängt von Hops ab, WAN-Geschwindigkeit(nicht für Phase 2 APS)

kann funktionieren, hängt von Hops ab, WAN-Geschwindigkeit (nicht für Phase 2 APS)

Nein

Opportunistic Key Caching (OKC) - schnelles Roaming

Ja

Ja

Ja

Nr. 1

Lokale FlexConnect-Authentifizierung

–

Ja

Ja

Ja

IPv4-AAA-Aufhebung

Ja

Ja

Ja

Ja

IPv6-AAA-Aufhebung

Ja

Ja (5)

Ja (5)

Ja (5)

AAA-VLAN-Zuweisung pro FlexGroup mit VLAN-Namen

–

Ja (8.1)

Ja (8.1)

Ja (8.1)

Statische ACL

Ja

Ja (2)

Nein

Ja (2)

Nein

Ja (2)

Nein

Benutzerspezifische ACL (4)

Ja (7,5)

Ja (7,5)

Ja (7,5)

Nein

L2-ACL

Ja (7,5)

Ja (7,5)

Ja (7,5)

Ja (7,5)

DNS-ACL

Ja (7,6)

Nein

Nein

Nein

P2P-Blockierung

Ja

Ja

Ja

Ja

Mesh-LSC

–

–

–

–

Bring Your Own Device /ISE(BYOD)

Ja

Ja (7.2.110.0)

Nein

Nein

PCI-Konformität für benachbarte Pkte

Ja

Ja

Ja

Nein

Russland DTLS-Unterstützung

Ja

–

Nein

Nein

wIPS Enhanced Local Mode (ELM)

Ja

Ja

Ja

Nein

Clients pro WLAN begrenzen

Ja

Ja (3)

Ja

Nein

Clients pro Funkmodul einschränken

Ja

Ja

Ja

Ja

Client-Ausschlussrichtlinie

Ja

Ja (3)

Ja

Nein

Radius-NAC

Ja

Ja

Nein

Nein

TrustSec SXP auf AP-Ebene

Ja (8.4)

Ja (8.4)

Ja (8.4)

Ja (8.4)

TrustSec SXP auf dem WLC

Ja (8.3)

Ja (8.3)

Ja (8.3)

Ja (8.3)

Identitäts-PSK

Ja (8,5)

Ja (8,5)

Nein

Ja (8,5)

Identitäts-PSK mit P2P-Blockierung

Ja (8,8)

Ja (8,8)

Nein

Nein

AAA-erzwungenes Richtlinien- und Quotenmanagement

Ja (8,8)

Ja (inkl. Flex+Bridge) (8.8)

Nein

Nein

(1) Ja für Clients, die im verbundenen Modus verbunden sind.

(2) Es müssen FlexConnect-Zugriffskontrolllisten (ACLs) verwendet werden. Beachten Sie, dass Flex-ACLs vom nativen AP-VLAN nicht unterstützt werden!

(3) Limits/Ausschluss durch WLC so Client wird nach einer erfolgreichen Association Response deautorisiert.

(4) Beachten Sie, dass die benutzerspezifische ACL auf FlexConnect eine VLAN-ACL auf dem Flex AP nicht überschreibt, da sie eine WLAN-ACL auf dem AP im lokalen Modus überschreibt. Wenn beide Zugriffskontrolllisten (ACLs) pro Benutzer per Push bereitgestellt und AAA-VLAN-Zugriffskontrolllisten auf der Flex-Gruppe konfiguriert werden, werden beide wirksam.

(5)Mit lokalem FlexConnect-Switching wird Multicast nur für das VLAN weitergeleitet, dem die SSID zugeordnet ist, und nicht an überschriebene VLANs. Daher funktioniert IPv6 nicht wie erwartet, da Multicast-Datenverkehr von einem falschen VLAN weitergeleitet wird. Daher wird die VLAN-Zuweisung beim lokalen Switching mit IPv6 nicht unterstützt.

Hinweis: Ein Access Point verfügt zu einem beliebigen Zeitpunkt über maximal 16 VLANs. Zuerst werden die VLANs gemäß der AP-Konfiguration (WLAN-VLAN) ausgewählt, und dann werden die verbleibenden VLANs aus der FlexConnect-Gruppe in der Reihenfolge per Push übertragen, in der sie in der FlexConnect-Gruppe konfiguriert oder angezeigt werden. Wenn die VLAN-Steckplätze belegt sind, wird eine Fehlermeldung angezeigt

Sprache und Video

In dieser Tabelle sind die älteren und neuen Sprach- und Videodienste aufgeführt, die von WLC Version 7.0.116.0 und höher mit FlexConnect unterstützt werden:

WAN Up (zentrales Switching) 100 ms RTT

WAN Up (lokales Switching) 100 ms RTT

WAN ausgefallen (Standalone)

Voice

Ja, mit RTT 100 ms

Ja, mit RTT 100 ms

Ja, mit RTT 100 ms

Ja, mit RTT 900 ms (mit CCKM und OKC)

Ja, mit RTT 900 ms (mit CCKM und OKC)

QoS-Markierungen (1)

Ja

Ja

Ja

QoS-Bandbreitenvertrag pro Benutzer

Ja (7,4)

Ja (7,5)

Nein

UAPSD

Ja

Ja

Ja

Diagnose der Sprachfunktionen

Ja

Ja

Nein

Sprachmetriken

Ja

Ja

Nein

TSPEC/Call Admission Control (CAC)

Ja - nicht CCX

Ja - nicht CCX

Nein

Ja - CCX(2)

Ja - CCX(2)

(1) Umfasst beide DSCP-/dot1p-Markierungen.

(2) CAC auf WLC, Deautorisierung bei Roaming-Fehlern.

Services

In dieser Tabelle sind die alten und neuen Services aufgeführt, die von WLC 7.0.116.0 und höher mit FlexConnect unterstützt werden:

WAN Up (Zentrales Switching)

WAN Up (lokales Switching)

WAN Up (lokales Switching, lokale Authentifizierung)

WAN ausgefallen (Standalone)

Interne Webauth

Ja

Ja

Nein

–

Externe Webauth

Ja (7.2.110.0)

Ja (7.2.110.0)

Nein

–

CleanAir (SI auf 3500)

Ja

Ja

Ja

–

Multicast-Unicast (VideoStream)

Ja (außer bei 7500, 8500 und vWLC)

Ja (8.0) (nicht auf Phase-2-APs)

Ja (8.0) (nicht auf Phase-2-APs)

Ja (8.0) (nicht auf Phase-2-APs)

Location (Standort)

Ja, mit Bandbreiten-/Größenbeschränkung

Ja, mit BW-/Skalierungseinschränkung

Ja, mit BW-/Skalierungseinschränkung

–

Verwaltung von Funkressourcen

Ja

Ja

Ja

Nein

NG RRM = RF Static Grouping

Ja (1)

Ja (1)

Ja

Nein

SE Connect (CleanAir-Aktualisierung)

Ja

Ja

Ja

Nr. 2

S60-Erweiterung

Ja

Ja

Ja

Nein

Profilierung

Ja

Ja (wenn die zentrale DHCP-Verarbeitung aktiviert ist)

Ja (wenn die zentrale DHCP-Verarbeitung aktiviert ist)

Nein

AVC^3

Ja (7,4)

Ja (8.1)

Ja (8.1)

Nein

Bonjour-Gateway

Ja

Nein

Nein

Nein

mDNS-AP

Ja

Nein

Nein

Nein

LSS

Ja

Nein

Nein

Nein

Ursprüngliche Services

Ja

Nein

Nein

Nein

Prioritäts-MAC

Ja

Nein

Nein

Nein

Bonjour-Browser

Ja

Nein

Nein

Nein

Flex+Bridge-Modus

Ja (8.0 aber 8.8 für Wave2)

Ja (8.0 aber 8.8 für Wave2)

Ja (8.0 aber 8.8 für Wave2)

Ja (8.0 aber 8.8 für Wave2)

(1) Es gelten alle RRM-spezifischen Anforderungen (mindestens 4 APs für TPC).

(2) Ja für Standalone nach Trennung von WLC, aber nicht für Neustart.

(3) FlexConnect AVC wird von allen WLCs (einschließlich vWLC) mit Ausnahme von 2504 unterstützt.

Infrastruktur

WAN Up (Zentrales Switching)

WAN Up (lokales Switching)

WAN ausgefallen (Standalone)

Passive Clients

Nein

Ja

Ja

Proxy ARP

Ja (8,0) (8,3mr1 für Wave 2 APs)

Ja (8,0) (8,3mr1 für Wave 2 APs)

Ja (8,0) (8,3mr1 für Wave 2 APs)

Syslog

Ja

Ja

Ja

CDP

Ja

Ja

Ja

Client-Link

Ja

Ja

Ja (2)

Lastenausgleich (3)

Ja (7,4)

Ja (7,4)

Nein

Frequenzauswahl

Ja

Ja

Nein

AP-Image-Vorabdownload

Ja

Ja

Nein

FlexConnect Smart AP Image-Upgrade

Ja

Ja

Ja (1)

AP-Regularity Domain-Updates (Chile)

Ja

Ja

Ja

VLAN-Pooling/Multicast-Optimierung

Ja

–

–

Mesh - 24 Backhaul

–

–

–

Cisco WGB-Unterstützung

Ja

Ja (7.3) (Nein für Phase 2 APS)

Ja (7.3) (Nein für Phase 2 APS)

Unterstützung von WGB durch Drittanbieter

Ja

Ja

Ja

Webauthentifizierungsproxy

Ja

Ja

Nein

Zunahme bei FlexConnect AP-Gruppen

Ja

Ja

Ja

Client-Fehlertoleranz

–

Ja

–

DHCP-Option 60

Ja

Ja

Ja

DFS/802.11h

Ja

Ja

Ja

AP-Gruppen-VLANs

Ja

–

–

VLAN-Zuordnungen über FlexGroups

Ja

Ja

Ja

VLAN-basiertes zentrales Switching

Ja (8.5 für Wave 2-APs, 7.3 für IOS-APs)

Nicht zutreffend

Nicht zutreffend

AP-LAG

Ja (8,8)

Ja (8,8)

Ja (8,8)

Die Funktion für passive Clients wird auf Flex APs nicht unterstützt. Die APs führen jedoch auf FlexConnect standardmäßig kein Proxy-ARP aus (dies ist Teil der passiven Client-Funktion). Im Gegenteil, Proxy-ARP wurde als Funktion für FlexConnect-APs ab Version 8.0 hinzugefügt.

(1) Wird bereitgestellt, wenn der Lead-AP bereits aktualisiert wurde und die Mitglieds-APs mit ihrem Lead-AP aktualisiert werden.

(2) Nur auf Access Points der zweiten Generation (11n APs) und höher (1600, 2600, 3600 usw.).

(3) FlexConnect-APs senden keine (Re)Zuordnungsantworten mit Status 17 für den Lastenausgleich, wie dies bei APs im lokalen Modus der Fall ist. Stattdessen senden sie zuerst Antworten mit Status 0 (Erfolg) und dann Deaktivierung mit Grund 5. Dies geschieht, da der Access Point die Zuordnung lokal verarbeitet und Lastverteilungsentscheidungen am WLC getroffen werden.

Mobilitäts-/Roaming-Szenarien

WLAN

Konfiguration

Lokales Switching

Zentrales Switching

CCKM

PMK (OK)

Sonstige

CCKM

PMK (OK)

Sonstige

Mobilität zwischen derselben flexiblen Gruppe

Schnelles Roaming (1)

Schnelles Roaming (1)

Vollständige Authentifizierung(1)

Schnelles Roaming

Schnelles Roaming

Vollständige Authentifizierung

Mobilität zwischen verschiedenen flexiblen Gruppen

Vollständige Authentifizierung

Schnelles Roaming

Vollständige Authentifizierung

Vollständige Authentifizierung

Schnelles Roaming

Vollständige Authentifizierung

Inter-Controller-Mobilität

–

–

–

Vollständige Authentifizierung

Schnelles Roaming

Vollständige Authentifizierung

(1) Das bereitgestellte WLAN ist demselben VLAN (demselben Subnetz) zugeordnet. Wenn das WLAN verschiedenen Subnetzen zugeordnet ist, kann kein schnelles Roaming erfolgen, da der Client eine neue IP-Adresse beziehen muss.

Hinweis: Beim schnellen Roaming mit FT/802.11r müssen sich die APs ebenfalls in derselben FlexGroup befinden. Nur WPA2 OKC, das auf WLC-Ebene stattfindet, kann für schnelles Roaming zulassen, dass sich die APs in verschiedenen FlexConnect-Gruppen befinden.

Hinweis: Um eine zentrale Zugriffskontrolle über einen zentralisierten AAA-Server (Authentication, Authorization, and Accounting) wie die Cisco Identity Services Engine (ISE) oder ACS zu unterstützen, kann die IPv6-ACL auf Client-Basis unter Verwendung von AAA Override-Attributen bereitgestellt werden. Um diese Funktion nutzen zu können, muss die IPv6-ACL auf dem Controller konfiguriert sein, und für das WLAN muss die Funktion "AAA Override" aktiviert sein. Das AAA-Attribut für eine IPv6-ACL ist Airespace-IPv6-ACL-Name, ähnlich dem Airespace-ACL-Name-Attribut, das zur Bereitstellung einer IPv4-basierten ACL verwendet wird. Beim Inhalt des zurückgegebenen AAA-Attributs muss es sich um eine Zeichenfolge handeln, die dem Namen der IPv6-ACL entspricht, wie er auf dem Controller konfiguriert wurde.

Zugehörige Informationen

- H-Reap Design- und Implementierungsleitfaden

- Hybrid Remote Edge Access Point (H-REAP) - grundlegende Fehlerbehebung

- Technischer Support und Dokumentation für Cisco Systeme