De ASA 5506W-X configureren met een niet-standaard IP- of meervoudige VLAN-configuratie

Inleiding

Dit document beschrijft hoe u de eerste installatie en configuratie van een Cisco adaptieve security applicatie (ASA) 5506W-X apparaat kunt uitvoeren wanneer de standaard IP-adresseringsregeling moet worden gewijzigd om in een bestaand netwerk te passen of als er meerdere draadloze VLAN’s nodig zijn.  Er zijn verschillende configuratiewijzigingen die vereist zijn bij het wijzigen van de standaard IP-adressen om toegang te krijgen tot het draadloze access point (WAP) en om ervoor te zorgen dat andere services (zoals DHCP) blijven functioneren zoals verwacht.  Daarnaast biedt dit document een aantal CLI-configuratievoorbeelden voor het geïntegreerde Wireless Access Point (WAP) om het eenvoudiger te maken de initiële configuratie van WAP te voltooien. Dit document is bedoeld als aanvulling op de bestaande Cisco ASA 5506-X Quick Start-handleiding die beschikbaar is op de Cisco-website.

Voorwaarden

Dit document is alleen van toepassing op de initiële configuratie van een Cisco ASA 5506W-X apparaat dat een draadloos access point bevat en is alleen bedoeld om de verschillende wijzigingen aan te pakken die nodig zijn wanneer u de bestaande IP-adresseringsregeling wijzigt of extra draadloze VLAN’s toevoegt.  Voor standaardinstellingen moet de bestaande ASA 5506-X Quick Start Guide worden gebruikt.

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco ASA 5506W-X apparaat
• Clientmachine met een terminalemulatieprogramma zoals Putty, SecureCRT, enz.
• Console-kabel en seriële pc-terminaladapter (DB-9 tot RJ-45)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco ASA 5506W-X apparaat
• Clientmachine met een terminalemulatieprogramma zoals Putty, SecureCRT, enz.
• Console-kabel en seriële pc-terminaladapter (DB-9 tot RJ-45)
• ASA FirePOWER-module
• Geïntegreerd Cisco Aironet 702i draadloos access point (ingebouwde WAP)

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Netwerkdiagram

Zoals in deze afbeelding wordt getoond, zijn er voorbeelden van IP-adressering die op twee verschillende topologieën zullen worden toegepast:

ASA + FirePOWER met een switch aan de binnenkant:

ASA + FirePOWER zonder switch aan de binnenkant:

Configureren

Deze stappen moeten worden uitgevoerd nadat u de ASA hebt ingeschakeld en opgestart met de consolekabel die op de client is aangesloten. 

Stap 1. IP-configuratie van interface wijzigen op ASA

Configureer de interfaces binnen (Gigabit Ethernet 1/2) en Wi-Fi (Gigabit Ethernet 1/9) om IP-adressen te hebben zoals nodig binnen de bestaande omgeving.  In dit voorbeeld zijn de interne clients op het 10.0.0.1/24-netwerk en de WIFI-clients op het 10.1.0.1/24-netwerk.

asa(config)# interface gigabitEthernet 1/2
asa(config-if)# ip address 10.0.0.1 255.255.255.0

asa(config)# interface gigabitEthernet 1/9
asa(config-if)# ip address 10.1.0.1 255.255.255.0

Opmerking: u krijgt deze waarschuwing wanneer u de bovenstaande IP-interfaceadressen wijzigt.  Dit wordt verwacht.

Interface address is not on same subnet as DHCP pool
WARNING: DHCPD bindings cleared on interface 'inside', address pool removed

Stap 2. DHCP-poolinstellingen wijzigen voor zowel binnen- als Wi-Fi-interfaces

Deze stap is vereist als de ASA moet worden gebruikt als DHCP-server in de omgeving.  Als een andere DHCP-server wordt gebruikt om IP-adressen aan clients toe te wijzen, dient DHCP volledig op de ASA te worden uitgeschakeld.  Aangezien u nu onze IP-adresseringsregeling hebt gewijzigd, moet u de bestaande IP-adresbereiken die de ASA aan klanten biedt, wijzigen.  Deze opdrachten maken nieuwe pools die overeenkomen met het nieuwe IP-adresbereik:

asa(config)# dhcpd address 10.0.0.2-10.0.0.100 inside
asa(config)# dhcpd address 10.1.0.2-10.1.0.100 wifi

Ook de wijziging van de DHCP-pools zal de vorige DHCP-server op de ASA uitschakelen en u moet het opnieuw inschakelen.

asa(config)# dhcpd enable inside
asa(config)# dhcpd enable wifi

  Als u de interface IP-adressen niet wijzigt voordat u de DHCP-wijzigingen aanbrengt, ontvangt u deze fout:

asa(config)# dhcpd address 10.0.0.2-10.0.0.100 inside
Address range subnet 10.0.0.2 or 10.0.0.100 is not the same as inside interface subnet 192.168.1.1

Stap 3. DNS-server opgeven om naar binnen- en WiFI DHCP-clients over te gaan

Wanneer ze IP-adressen via DHCP toewijzen, moeten de meeste clients ook een DNS-server toegewezen krijgen door de DHCP-server.  Deze opdrachten vormen de ASA en omvatten de DNS-server op 10.0.250 voor alle clients.  U moet de 10.0.0.250 vervangen voor een interne DNS-server of een DNS-server die wordt geleverd door uw ISP.

asa(config)# dhcpd dns 10.0.0.250 interface inside
asa(config)# dhcpd dns 10.0.0.250 interface wifi

Stap 4. Wijzig HTTP-toegangsconfiguratie in de ASA voor adaptieve security apparaatbeheer (ASDM) toegang:

Aangezien de IP-adressering is gewijzigd, moet HTTP-toegang tot de ASA ook worden gewijzigd, zodat clients binnen en WiFI-netwerken toegang hebben tot ASDM om de ASA te beheren.

asa(config)# no http 192.168.1.0 255.255.255.0 inside
asa(config)# no http 192.168.10.0 255.255.255.0 wifi

asa(config)# http 0.0.0.0 0.0.0.0 inside
asa(config)# http 0.0.0.0 0.0.0.0 wifi

Opmerking: deze configuratie maakt het mogelijk dat elke client binnen of Wi-Fi-interfaces toegang heeft tot de ASA via ASDM. Als best practice voor de beveiliging moet u de reikwijdte van de adressen beperken tot alleen vertrouwde klanten.

Stap 5. Wijzigen van interface-IP voor access point beheer in WLAN-console (interface BVI1):

asa# session wlan console
ap>enable
Password: Cisco
ap#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
ap(config)#interface BVI1
ap(config-if)#ip address 10.1.0.254 255.255.255.0

Stap 6. Wijzig standaard-gateway op WAP

Deze stap is vereist zodat de WAP weet waar alle verkeer moet worden verzonden dat niet op het lokale netwerk is gegenereerd.  Dit is vereist om toegang te bieden tot de WAP GUI via HTTP van een client op de ASA inside interface. 

ap(config)#ip default-gateway 10.1.0.1

Stap 7. Het IP-adres van het beheer van de FirePOWER-module wijzigen (optioneel)

Als u ook de Cisco FirePOWER-module (ook bekend als SFR) wilt implementeren, moet u ook het IP-adres wijzigen om toegang te krijgen via de fysieke Management1/1-interface op de ASA. Er zijn twee basisimplementatiescenario's die bepalen hoe de ASA en de SFR-module moeten worden geconfigureerd:

1. Een topologie waarin de ASA Management1/1-interface is aangesloten op een interne switch (volgens de normale snelstartgids)
2. Een topologie waar een inwendige switch niet aanwezig is.

Afhankelijk van uw scenario zijn dit de juiste stappen:

Als de ASA Management1/1-interface is aangesloten op een interne switch:

U kunt een sessie in de module uitvoeren en deze van de ASA wijzigen voordat u de module aansluit op een interne switch.  Deze configuratie maakt het mogelijk om via IP toegang te krijgen tot de SFR-module door deze op hetzelfde subnet te plaatsen als de ASA binneninterface met een IP-adres van 10.0.0.254.

Vetgedrukte lijnen zijn specifiek voor dit voorbeeld en zijn vereist voor het instellen van IP-connectiviteit. 

De cursief gedrukte lijnen zijn omgevingsafhankelijk.

asa# session sfr console
Opening console session with module sfr.
Connected to module sfr. Escape character sequence is 'CTRL-^X'.

Cisco ASA5506W v5.4.1 (build 211)
Sourcefire3D login: admin
Password: Sourcefire

<<Output Truncated - you will see a large EULA>>

Please enter 'YES' or press <ENTER> to AGREE to the EULA: YES

System initialization in progress.  Please stand by.
You must change the password for 'admin' to continue.
Enter new password:
Confirm new password:
You must configure the network to continue.
You must configure at least one of IPv4 or IPv6.
Do you want to configure IPv4? (y/n) [y]: y
Do you want to configure IPv6? (y/n) [n]: n
Configure IPv4 via DHCP or manually? (dhcp/manual) [manual]:

Enter an IPv4 address for the management interface [192.168.45.45]: 10.0.0.254

Enter an IPv4 netmask for the management interface [255.255.255.0]: 255.255.255.0
Enter the IPv4 default gateway for the management interface []:

10.0.0.1

Enter a fully qualified hostname for this system [Sourcefire3D]: Cisco_SFR
Enter a comma-separated list of DNS servers or 'none' []: 10.0.0.250
Enter a comma-separated list of search domains or 'none' [example.net]: example.net
If your networking information has changed, you will need to reconnect.

For HTTP Proxy configuration, run 'configure network http-proxy'

Applying 'Default Allow All Traffic' access control policy. 

Opmerking: het kan een paar minuten duren voor het standaard toegangsbeleid van toepassing is op de SFR-module.  Als het is voltooid, kunt u ontsnappen uit de SFR module CLI en terug in de ASA door CTRL + SHIFT + 6 + X (CTRL ^ X) te drukken

Als de ASA NIET verbonden is met een interne switch:

Een inside switch bestaat in sommige kleine implementaties mogelijk niet.  In dit type topologie maken clients doorgaans verbinding met de ASA via de WiFi-interface.  In dit geval is het mogelijk om de noodzaak van een externe switch te elimineren en toegang te krijgen tot de SFR-module via een aparte ASA-interface door de Management1/1-interface te verbinden met een andere fysieke ASA-interface. 

In dit voorbeeld moet er een fysieke Ethernet-verbinding bestaan tussen de ASA Gigabit Ethernet1/3-interface en de Management1/1-interface.  Vervolgens configureert u de ASA- en SFR-module om op een afzonderlijke subnetverbinding te staan en vervolgens kunt u toegang krijgen tot de SFR via zowel de ASA als clients op de binnen- of Wi-Fi-interfaces.

ASA-interfaceconfiguratie:

asa(config)# interface gigabitEthernet 1/3
asa(config-if)# ip address 10.2.0.1 255.255.255.0
asa(config-if)# nameif sfr
INFO: Security level for "sfr" set to 0 by default.
asa(config-if)# security-level 100
asa(config-if)# no shut

Configuratie SFR-module:

asa# session sfr console
Opening console session with module sfr.
Connected to module sfr. Escape character sequence is 'CTRL-^X'.

Cisco ASA5506W v5.4.1 (build 211)
Sourcefire3D login: admin
Password: Sourcefire

<<Output Truncated - you will see a large EULA>>

Please enter 'YES' or press <ENTER> to AGREE to the EULA: YES

System initialization in progress.  Please stand by.
You must change the password for 'admin' to continue.
Enter new password:
Confirm new password:
You must configure the network to continue.
You must configure at least one of IPv4 or IPv6.
Do you want to configure IPv4? (y/n) [y]: y
Do you want to configure IPv6? (y/n) [n]: n
Configure IPv4 via DHCP or manually? (dhcp/manual) [manual]:

Enter an IPv4 address for the management interface [192.168.45.45]: 10.2.0.254
Enter an IPv4 netmask for the management interface [255.255.255.0]: 255.255.255.0
Enter the IPv4 default gateway for the management interface []: 10.2.0.1

Enter a fully qualified hostname for this system [Sourcefire3D]: Cisco_SFR
Enter a comma-separated list of DNS servers or 'none' []: 10.0.0.250
Enter a comma-separated list of search domains or 'none' [example.net]: example.net
If your networking information has changed, you will need to reconnect.

For HTTP Proxy configuration, run 'configure network http-proxy'

Applying 'Default Allow All Traffic' access control policy. 

Opmerking: het kan een paar minuten duren voor het standaard toegangsbeleid van toepassing is op de SFR-module.  Als het is voltooid, kunt u ontsnappen uit de SFR module CLI en terug in de ASA door CTRL + SHIFT + 6 + X (CTRL ^ X) te drukken.

Zodra de SFR-configuratie van toepassing is, moet u het IP-adres voor SFR-beheer vanuit de ASA kunnen pingen:

asa# ping 10.2.0.254

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.2.0.254, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
asa#

Als u de interface niet kunt pingen met succes, verifieer de configuratie en de staat van fysieke Ethernet verbindingen.

Stap 8. Verbinding maken met AP GUI om radio's in te schakelen en andere WAP-configuratie in te stellen

Op dit punt moet u connectiviteit hebben om de WAP via de HTTP GUI te beheren zoals besproken in de snelstartgids.  U zult of aan het IP adres van de interface van WAP BVI van een Webbrowser van een cliënt moeten doorbladeren die met het binnennetwerk op 5506W wordt verbonden of u kunt de voorbeeldconfiguratie toepassen en met SSID van WAP verbinden. Als u niet CLI hieronder gebruikt, moet u de Ethernet kabel van uw cliënt aan de interface Gigabit1/2 op ASA aansluiten. 

Als u de CLI liever gebruikt om de WAP te configureren, kunt u een sessie uitvoeren vanuit de ASA en deze voorbeeldconfiguratie gebruiken. Dit maakt een open SSID met de naam 5506W en 5506W_5Ghz, zodat u een draadloze client kunt gebruiken om verbinding te maken met en verder de WAP te beheren.  

Opmerking: na het toepassen van deze configuratie wilt u de GUI benaderen en beveiliging toepassen op de SSID's zodat het draadloze verkeer versleuteld wordt.

WAP CLI-configuratie voor één draadloos VLAN met behulp van aangepaste IP-bereiken

dot11 ssid 5506W
   authentication open 
   guest-mode
dot11 ssid 5506W_5Ghz
   authentication open 
   guest-mode
!
interface Dot11Radio0
 !
 ssid 5506W
 !
interface Dot11Radio1
 !
 ssid 5506W_5Ghz
 !
interface BVI1
 ip address 10.1.0.254 255.255.255.0
ip default-gateway 10.1.0.1
!
interface Dot11Radio0
 no shut
!
interface Dot11Radio1
 no shut

Vanaf dit punt kunt u de normale stappen uitvoeren om de configuratie van de WAP te voltooien en u moet toegang tot de WAP krijgen via de webbrowser van een client die is aangesloten op de bovengenoemde SSID. De standaardgebruikersnaam voor het toegangspunt is Cisco met een wachtwoord van Cisco met een hoofdletter C.

Cisco ASA 5506-X Series snelstartgids

http://www.cisco.com/c/en/us/td/docs/security/asa/quick_start/5506X/5506x-quick-start.html#pgfId-138410

 U moet het IP-adres van 10.1.0.254 gebruiken in plaats van het IP-adres 192.168.10.2 zoals aangegeven in de snelstartgids.

Configuraties

De resulterende configuratie moet overeenkomen met de uitvoer (ervan uitgaande dat u de IP-voorbeeldbereiken hebt gebruikt, anders moet u dienovereenkomstig substitueren:

ASA-configuratie

Interfaces:

Opmerking: De cursief gedrukte regels zijn alleen van toepassing als u GEEN switch van binnen hebt:

asa# sh run interface gigabitEthernet 1/2

!
interface GigabitEthernet1/2
 nameif inside
 security-level 100
 ip address 10.0.0.1 255.255.255.0

asa# sh run interface gigabitEthernet 1/3 

 
!
interface GigabitEthernet1/3
 nameif sfr
 security-level 100
 ip address 10.2.0.1 255.255.255.0

asa# sh run interface gigabitEthernet 1/9

!
interface GigabitEthernet1/9
 nameif wifi
 security-level 100
 ip address 10.1.0.1 255.255.255.0
asa#

DHCP:

asa# sh run dhcpd

dhcpd auto_config outside
**auto-config from interface 'outside'
**auto_config dns x.x.x.x x.x.x.x  <-- these lines will depend on your ISP
**auto_config domain isp.domain.com   <-- these lines will depend on your ISP
!
dhcpd address 10.0.0.2-10.0.0.100 inside
dhcpd dns 10.0.0.250 interface inside
dhcpd enable inside
!
dhcpd address 10.1.0.2-10.1.0.100 wifi
dhcpd dns 10.0.0.250 interface wifi
dhcpd enable wifi
!
asa#

HTTP:

asa# show run http

http server enable
http 0.0.0.0 0.0.0.0 outside
http 0.0.0.0 0.0.0.0 inside
asa#

Aironet WAP-configuratie (zonder het voorbeeld SSID-configuratie)

asa# session wlan console
ap>enable
Password: Cisco
ap#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.

ap#show configuration | include default-gateway

ip default-gateway 10.1.0.1

ap#show configuration | include ip route

ip route 0.0.0.0 0.0.0.0 10.1.0.1

ap#show configuration | i interface BVI|ip address 10

 
interface BVI1 ip address 
 10.1.0.254 255.255.255.0

Configuratie FirePOWER-module (met binnenkant switch)

asa# session sfr console
Opening console session with module sfr.
Connected to module sfr. Escape character sequence is 'CTRL-^X'.
> show network
===============[ System Information ]===============
Hostname                  : Cisco_SFR
Domains                   : example.net
DNS Servers               : 10.0.0.250
Management port           : 8305

IPv4 Default route
  Gateway                 : 10.0.0.1

======================[ eth0 ]======================
State                    : Enabled
Channels                  : Management & Events
Mode                      :
MDI/MDIX                  : Auto/MDIX
MTU                       : 1500
MAC Address               : B0:AA:77:7C:84:10

----------------------[ IPv4 ]---------------------

Configuration             : Manual
Address                   : 10.0.0.254
Netmask                   : 255.255.255.0
Broadcast                 : 10.0.0.255

----------------------[ IPv6 ]----------------------
Configuration             : Disabled

===============[ Proxy Information ]================
State                     : Disabled
Authentication            : Disabled

>

Configuratie FirePOWER-module (zonder binnenkant switch)

asa# session sfr console
Opening console session with module sfr.
Connected to module sfr. Escape character sequence is 'CTRL-^X'.
> show network
===============[ System Information ]===============
Hostname                  : Cisco_SFR
Domains                   : example.net
DNS Servers               : 10.0.0.250
Management port           : 8305

IPv4 Default route
  Gateway                 : 10.2.0.1

======================[ eth0 ]======================
State                    : Enabled
Channels                  : Management & Events
Mode                      :
MDI/MDIX                  : Auto/MDIX
MTU                       : 1500
MAC Address               : B0:AA:77:7C:84:10

----------------------[ IPv4 ]---------------------
Configuration             : Manual
Address                   : 10.2.0.254
Netmask                   : 255.255.255.0
Broadcast                 : 10.2.0.255

----------------------[ IPv6 ]----------------------
Configuration             : Disabled

===============[ Proxy Information ]================
State                     : Disabled
Authentication            : Disabled

>

Verifiëren

Om te verifiëren dat u de juiste connectiviteit aan WAP voor de voltooiing van het installatieproces hebt:

1. Sluit uw testclient aan op de ASA-binneninterface en zorg ervoor dat deze via DHCP een IP-adres van de ASA ontvangt dat binnen het gewenste IP-bereik valt.
2. Gebruik een webbrowser op uw client om naar https://10.1.0.254 te navigeren en te verifiëren dat de AP GUI nu toegankelijk is.
3. Ping de SFR-beheerinterface van de interne client en de ASA om de juiste connectiviteit te verifiëren.

DHCP configureren met meerdere draadloze VLAN’s

De configuratie veronderstelt dat u één draadloos VLAN gebruikt. De Bridge Virtual Interface (BVI) op het draadloze AP kan een brug vormen voor meerdere VLAN’s. Wegens de syntaxis voor DHCP op ASA, als u 5506W als DHCP-server voor meerdere VLAN’s wilt configureren, moet u subinterfaces op de Gigabit1/9 interface maken en elk een naam geven. Deze sectie begeleidt u door het proces van hoe u de standaardconfiguratie kunt verwijderen en de configuratie kunt toepassen die nodig is om de ASA in te stellen als een DHCP-server voor meerdere VLAN’s.

Stap 1. Bestaande DHCP-configuratie op Gig1/9 verwijderen

Verwijder eerst de bestaande DHCP-configuratie op de Gig1/9 (Wi-Fi) interface:

ciscoasa# no dhcpd address 10.1.0.2-10.1.0.100 wifi
ciscoasa# no dhcpd enable wifi

Stap 2. Subinterfaces voor elk VLAN maken op Gig1/9

Voor elk VLAN dat u op het access point hebt geconfigureerd, moet u een subinterface van Gig1/9 configureren. In deze voorbeeldconfiguratie voegt u twee subinterfaces toe:

-Gig1/9.5, die naameif vlan5 zal hebben, en zal corresponderen met VLAN 5 en subnetto 10.5.0.0/24.

-Gig1/9.30, die nameif vlan30 zal hebben, en zal aan VLAN 30 en Subnet 10.3.0.0/24 beantwoorden.

In de praktijk is het van essentieel belang dat het VLAN en het subnetnetwerk dat hier is geconfigureerd, overeenkomen met het VLAN en het subnetnetwerk dat op het toegangspunt is opgegeven. Het naam- en subinterfacenummer kan alles zijn wat u kiest.  Raadpleeg de snelstartgids die eerder voor links is genoemd om het toegangspunt te configureren met behulp van de web GUI.

ciscoasa(config)# interface g1/9.5
ciscoasa(config-if)# vlan 5
ciscoasa(config-if)# nameif vlan5
ciscoasa(config-if)# security-level 100
ciscoasa(config-if)# ip address 10.5.0.1 255.255.255.0

ciscoasa(config-if)# interface g1/9.30
ciscoasa(config-if)# vlan 30
ciscoasa(config-if)# nameif vlan30
ciscoasa(config-if)# security-level 100
ciscoasa(config-if)# ip address 10.30.0.1 255.255.255.0

Stap 3. Wijs een DHCP-pool toe voor elk VLAN

ciscoasa(config)# dhcpd address 10.5.0.2-10.5.0.254 vlan5
ciscoasa(config)# dhcpd address 10.30.0.2-10.30.0.254 vlan30
ciscoasa(config)# dhcpd enable vlan5
ciscoasa(config)# dhcpd enable vlan30

Stap 4. Configureer de SSID's van access point, sla de configuratie op en stel de module opnieuw in

Tot slot moet het toegangspunt worden geconfigureerd in overeenstemming met de configuratie van de ASA. Met de GUI-interface voor het toegangspunt kunt u VLAN’s op het toegangspunt configureren via de client die is aangesloten op de ASA-interface (Gigabit1/2). Als u echter liever CLI gebruikt om het AP via de ASA console sessie te configureren en vervolgens draadloos verbinding te maken om het AP te beheren, kunt u deze configuratie gebruiken als een sjabloon voor het maken van twee SSID's op VLAN's 5 en 30. Dit moet in de AP console worden ingevoerd in de globale configuratiemodus:

dot11 vlan-name VLAN30 vlan 30
dot11 vlan-name VLAN5 vlan 5
!
dot11 ssid SSID_VLAN30
   vlan 30
   authentication open 
   mbssid guest-mode
!
dot11 ssid SSID_VLAN5
   vlan 5
   authentication open 
   mbssid guest-mode
!
interface Dot11Radio0
 !
 ssid SSID_VLAN30
 !
 ssid SSID_VLAN5
 mbssid
!
interface Dot11Radio0.5
 encapsulation dot1Q 5
 bridge-group 5
 bridge-group 5 subscriber-loop-control
 bridge-group 5 spanning-disabled
 bridge-group 5 block-unknown-source
 no bridge-group 5 source-learning
 no bridge-group 5 unicast-flooding
!
interface Dot11Radio0.30
 encapsulation dot1Q 30
 bridge-group 30
 bridge-group 30 subscriber-loop-control
 bridge-group 30 spanning-disabled
 bridge-group 30 block-unknown-source
 no bridge-group 30 source-learning
 no bridge-group 30 unicast-flooding
!
interface Dot11Radio1
 !
 ssid SSID_VLAN30
 !
 ssid SSID_VLAN5
 mbssid
!
 interface Dot11Radio1.5
 encapsulation dot1Q 5
 bridge-group 5
 bridge-group 5 subscriber-loop-control
 bridge-group 5 spanning-disabled
 bridge-group 5 block-unknown-source
 no bridge-group 5 source-learning
 no bridge-group 5 unicast-flooding
!
interface Dot11Radio1.30
 encapsulation dot1Q 30
 bridge-group 30
 bridge-group 30 subscriber-loop-control
 bridge-group 30 spanning-disabled
 bridge-group 30 block-unknown-source
 no bridge-group 30 source-learning
 no bridge-group 30 unicast-flooding
!
interface GigabitEthernet0.5
 encapsulation dot1Q 5
 bridge-group 5
 bridge-group 5 spanning-disabled
 no bridge-group 5 source-learning
!
interface GigabitEthernet0.30
 encapsulation dot1Q 30
 bridge-group 30
 bridge-group 30 spanning-disabled
 no bridge-group 30 source-learning
!
interface BVI1
 ip address 10.1.0.254 255.255.255.0
ip default-gateway 10.1.0.1
!
interface Dot11Radio0
 no shut
!
interface Dot11Radio1
 no shut

ap#write memory
Building configuration...
[OK]
ap#reload
Proceed with reload? [confirm]
Writing out the event log to flash:/event.log ...

Opmerking: u hoeft het gehele ASA-apparaat NIET opnieuw te laden. U moet alleen het ingebouwde access point opnieuw laden.

Zodra AP klaar is met het herladen, dan moet u connectiviteit met de AP GUI van een cliëntmachine op WiFi of binnen netwerken hebben.  Doorgaans duurt het ongeveer twee minuten voordat het toegangspunt volledig opnieuw is opgestart.  Vanaf dit punt kunt u de normale stappen toepassen om de configuratie van de WAP te voltooien.

Cisco ASA 5506-X Series snelstartgids

http://www.cisco.com/c/en/us/td/docs/security/asa/quick_start/5506X/5506x-quick-start.html#pgfId-138410

Problemen oplossen

De connectiviteit van het oplossen van problemen ASA is buiten het werkingsgebied van dit document aangezien dit voor aanvankelijke configuratie voorgenomen is.  Raadpleeg de secties Verifiëren en configureren om er zeker van te zijn dat alle stappen correct zijn voltooid.