思科ap vwlc家用网络部署指北

Satan023

update:https://www.sgtpepper.cyou/?p=87

搬入新家后一直想搞个全屋AP覆盖，最近有空就考虑上什么设备。前几天种草思科AP配合虚拟控制器vwlc，正好我有个一直在吃灰的戴尔R630。决定就是你了！

vwlc版本选择
直接最新的8.10.171.0完事，这也是思科的推荐版本。地址
下载地址 下载AIR_CTVM-K9_8_10_171_0.ova

服务器选择
吃灰一年的R630，配置：双路E5-2620 v3、32G、2TB

AP选择
先看8.10.171.0支持哪些AP，根据Table 6：

再看咸鱼，玛德从1830系列开始就没有低于1200块的。那么次一级1810系列如何呢？配置是2x2:2 MU/SUMIMO，好，我家的无线设备就没3X3天线的2X2够用。价格二手400一个，就你了！咸鱼830买了两个1815m+挂架。到手一看，出厂日期2020年，NICE。

POE交换机选择
服务器AP都是二手，POE交换机再买个二手说不过去了吧，整个可管理POE交换机吧。最终选择了网件GS108PEv3，1815m供电要求是802.3af，这个够用，淘宝690（玛德好贵）

其他设备：
1.电信SDN猫，已改桥接
2.mikrotik hapac^2，作路由器
3.三层交换机，思科C3560CG-8TC-S

网络架构设想
1.hapac2作为主路由，和划分VLAN。vlan1管理网段、vlan2给guest、vlan3内网用；做vlan访问控制不允许guest段访问其他网段。
2.C3560CG做三层，另接服务器、NAS
3.GS108PEv3做二层接入，连PC、AP、摄像头、电视机

网络架构图有空再弄。

开整！

配置路由器
尼玛结果第一步就翻车了！这台hapac2当初新房装修完我临时拿来当路由和wifi用的，快速设置配完就没动过了。这次清空配置后根据教程配vlan和dhcp怎么都失败，三层拿不到vlan获取不了地址。搞了两天也没解决我估计是卡在M记独有的bridge上面了。后来没办法只能改网络架构：hapac2只做主路由，DHCP和VLAN让三层做。
接下来简单了，我实际上只要用快速配置就行，然后把无线和DHCP关掉，地址还是192.168.88.1。另外要配下路由，主要是三个VLAN和主路由间的路由；外网的路由快速配置帮你配好了。这一步不做的话内网的设备找不到192.168.88.1，就上不了外网。


配置三层交换机
稍微麻烦点，关键配置如下：
1.创建DHCP池

ip dhcp pool lan
network 192.168.1.0 255.255.255.0
default-router 192.168.1.1
dns-server 192.168.88.1
!
ip dhcp pool Guest
network 200.200.200.0 255.255.255.0
default-router 200.200.200.1
dns-server 192.168.88.1
!
ip dhcp pool Internal
network 192.168.2.0 255.255.255.0
dns-server 192.168.88.1
default-router 192.168.2.1

2.DHCP做排除，排除的地址用来做管理地址和备用

ip dhcp excluded-address 192.168.1.1 192.168.1.99
ip dhcp excluded-address 200.200.200.1 200.200.200.99
ip dhcp excluded-address 192.168.2.1 192.168.2.99

3.划分vlan，配置acl以禁止guest端访问其他vlan段

access-list 10 deny   200.200.200.0 0.0.0.255
access-list 10 permit any

interface Vlan1
ip address 192.168.1.1 255.255.255.0
ip access-group 10 out
!
interface Vlan2
ip address 200.200.200.1 255.255.255.0
!
interface Vlan3
ip address 192.168.2.1 255.255.255.0
ip access-group 10 out

5.1、2口做trunk，1连二层，2连服务器

interface GigabitEthernet0/1
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet0/2
switchport trunk encapsulation dot1q
switchport mode trunk

6.配三层出口路由、VLAN间路由

ip route 0.0.0.0 0.0.0.0 192.168.88.1

ip routing

7.9号口上联路由器，把端口改从二层口改为三层口，配ip地址

interface GigabitEthernet0/9
description Uplink to MikroTik hAP ac^2
no switchport
ip address 192.168.88.2 255.255.255.0

三层配置出口路由楼主之前没搞过，参考的这篇文章：思科高级配置（三层交换配置路由）

esxi配置Trunk口
网络\端口组\添加端口组：

esxi配trunk的目的是为了让vwlc能够拿到三层上划分的vlan，vlan id 4095即为trunk，然后把vswitch分给vwlc就行

配置二层交换机
1、2口接AP需要配trunk，8号口上联三层所以也需要配：

默认已经有vlan1了，所以添加vlan2 vlan3就行




依次把vlan1 2 3的1、2、8号口设置为T，tagged的意思，即所谓的打上标签，这个就是思科体系里面的trunk的意思。（方便理解这么说的，实际比这复杂，楼主的小脑瓜只能理解到这一步）


PVID楼主不是很理解，应该是思科体系的native vlan的意思吧。默认1就行，如果改成2或者3那么ap只能获取对应vlan的地址。（没搞过网件的网管交换机，这一步坑了我很久）

vwlc配置
这个就不献丑了，我是按照这几篇文章操作的：
https://blog.swineson.me/zh/cisc ... twork-for-the-young
https://post.色魔张大妈.com/p/ax0r5nv2
https://post.色魔张大妈.com/p/ag49xl5w

主要讲下比较坑的地方：
1.service-port默认实际上有个地址上192.168.1.1，但是在初始配置界面并没有告诉你；这时如果你给service-port设了个地址是不生效的，因为要配置完重启才生效；然后management地址设192.168.1.x段的话会设置失败，因为service和mgmt地址不允许同一个段！关键还他妈的不告你原因！解决方法是mgmt先搞个非192.168.1.x段然后一路设置下去保存完重启再进入cli设置mgmt为192.168.1.x段。参考思科的guide：

Step 1         
Enter the show interface detailed management command to view the current management interface settings.
Note The management interface uses the controller's factory-set distribution system MAC address.
Note This command output shows the port MAC address.

Step 2         
Enter the config wlan disable wlan-number command to disable each WLAN that uses the management interface for distribution system communication.

Step 3         
Enter these commands to define the management interface:
    Using IPv4 Address
        config interface address management ip-addr ip-netmask gateway

我实际操作的时候"config wlan disable wlan-number "搞不懂number是啥，所以直接"config wlan disable all"了后面再enable就行；service port第一次初始化配置重启后生效了就不用再改了。

2.license问题
vwlc自带200个ap支持数，有效期60天。但vwlc支持RTU license，你别管RTU是啥反正知道思科难得大方了一次就行。直接在Licenses页面License Count中随便填个数，点set count就完了！直接No Expiry！


3.ap无法上线问题
vwlc初始配置页面的国家设置默认是US，然后你买的AP是中国区的话AP会发生反复上线反复下线的问题，此时用console连AP后有以下日志：

Max retransmission count exceeded, going back to DISCOVER mode

解决办法就是在vwcl的wireless\country中把国家改为CN

4.ap配置多个ssid，不同ssid用不同vlan
这个上面几篇guide都没写，我是参考这篇官方guide：使用 WLC 的访客 WLAN 和内部 WLAN 配置示例
文章有点老了，但是能用！

5.ap无法运行在trunk模式下
第4个坑弄完我发现我的ssid只能拿到192.168.1.X段的地址，又是改网件交换机的pvid、又是把端口从T/U改来改去。依旧不行！表现为AP要么全拿到vlan1的地址要么vlan2、3的地址，也就是说AP端的trunk没生效。后来在红迪一篇帖子上看到一个人提了一句：
Cisco WLC multiple VLANs, SSIDs - going around in circles...

The APs need to be on trunk ports, yes.

They also need to have vlan support turned on. In the controller, if you click an AP, in the Flexconnect tab, you’ll see a check box for vlan support. Turn that on.

照着设后问题解决！！！（卡了快两天）：


试着分析了下故障原因：
vwlc默认是用native vlan（默认为1）管理AP，包括AP上线也是用native vlan。网件那台二层的pvid就是设置native vlan的，设1 ap就拿vlan1的地址、设2就拿vlan2的地址、设3就拿vlan3的地址。我的ap工作在flexconnect模式下，默认vlan support关闭，所以只能拿到native vlan的地址，开启后ap的trunk功能就能用了，不同ssid就能拿到不同vlan了。

测试效果：

C:\Users\Satan>ping 192.168.1.10

正在 Ping 192.168.1.10 具有 32 字节的数据:
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。

192.168.1.10 的 Ping 统计信息:
    数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，

C:\Users\Satan>ping 192.168.2.102

正在 Ping 192.168.2.102 具有 32 字节的数据:
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。

192.168.2.102 的 Ping 统计信息:
    数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，

C:\Users\Satan>ping www.baidu.com

正在 Ping www.a.shifen.com [xxx.xxx.xxx.xxx] 具有 32 字节的数据:
来自 xxx.xxx.xxx.xxx 的回复: 字节=32 时间=13ms TTL=52
来自 xxx.xxx.xxx.xxx 的回复: 字节=32 时间=13ms TTL=52
来自 xxx.xxx.xxx.xxx 的回复: 字节=32 时间=14ms TTL=52
来自 xxx.xxx.xxx.xxx 的回复: 字节=32 时间=14ms TTL=52

guest段无法ping通192.168.2.x 192.168.1.x段地址，但可以上外网。大成功！

6.默认flexconnect组不支持802.11r
这个在这篇文章《二手cisco ap wifi5 家庭布网测试，vwlc8.5设置802.11r注意事项 》中提到了，解决办法是新建flexconnect组，然后把ap加进去。



性能测试

PS D:\Download\iperf-3.1.3-win64\iperf-3.1.3-win64> .\iperf3.exe -c 192.168.1.10
Connecting to host 192.168.1.10, port 5201
[  4] local 192.168.2.100 port 11981 connected to 192.168.1.10 port 5201
[ ID] Interval           Transfer     Bandwidth
[  4]   0.00-1.00   sec  28.5 MBytes   239 Mbits/sec
[  4]   1.00-2.00   sec  33.2 MBytes   279 Mbits/sec
[  4]   2.00-3.01   sec  30.9 MBytes   258 Mbits/sec
[  4]   3.01-4.00   sec  33.5 MBytes   282 Mbits/sec
[  4]   4.00-5.00   sec  35.2 MBytes   296 Mbits/sec
[  4]   5.00-6.00   sec  32.4 MBytes   271 Mbits/sec
[  4]   6.00-7.00   sec  33.1 MBytes   278 Mbits/sec
[  4]   7.00-8.00   sec  27.4 MBytes   229 Mbits/sec
[  4]   8.00-9.00   sec  31.2 MBytes   262 Mbits/sec
[  4]   9.00-10.00  sec  32.1 MBytes   270 Mbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bandwidth
[  4]   0.00-10.00  sec   318 MBytes   266 Mbits/sec                  sender
[  4]   0.00-10.00  sec   318 MBytes   266 Mbits/sec                  receiver

emmmm，好垃！我不能接受.JPG！我他妈一顿操作猛如虎，整了半天才这！？

那么内网拷文件又如何？

还行嘛！此时dBm在-59左右。

移动笔记本靠近AP，dBm为-43，再次测试：

舒服了~ 众所周知wifi不是双全工，866Mbps只是理论协商速度实际有500Mbps不错了。测试能达到70MB/s我很满足了。
关键家里没有3x3天线的设备，这个速度够用。
后来在本坛查了下，貌似思科的AP用iperf3测速就是跑不满，调过vwlc的qos但是没用；反正内网拷贝达标了就不去管它了。

vwlc限速迷思
但是vwlc确实有限速的问题，坛里很多人都提到过，我花了点时间验证了下。
首先，这个说法是官方的7.5 deployment guide提到的：

Virtual Controller Release 7.5 Support
Throughput performance up to 500 Mbps per virtual controller

在后续版本的部署手册中没有特意提到这一点，就当一直存在这个限制。

但是我内网拷文件稳定70MB/s，跑到了这款2x2 AP的极限，这个限制对我并没有生效。在查过资料后我认为，是因为我开了flexconnect local switching模式的关系。此种模式下流量交换在AP和交换机中进行，数据流量并没有经过vwlc（控制和管理流量依旧经过）因此并没有被vwlc的背板吞吐量限制。默认local switching没开即为central switching模式，这种情况下流浪经过vwlc就要受到500Mbps的限速了。


验证猜测对不对很简单，开关local switching内网拷一次就知道了。测试下来确实如此，关闭local switching处于central switching模式下即使离ap很近拷贝速度也没超过60MB/s，打开后就跑到ap的上限70MB/s了。另外看esxi中vwlc的流量波动图也很明显：

关闭即central switching下总传输只有470Mbps


local switching下传输为0，因为流量没经过vwlc

因此，vwlc确实存在500Mbps的吞吐限制，但是你可以开启flexconnect的local switching规避。


覆盖范围
125平房子，在书房和客厅放了两个AP，除了厨房5Ghz两格外其他全覆盖。

无缝漫游实际体验
设备：oppo reno十倍变焦手机、小米pad5
测试软件：wifi魔盒、微信视频通话、bilibili直播

wifi魔盒测试结果：

手机切换时间在50ms~450ms都有，偶尔丢1个包，也有掉线问题，比较拉夸。
小米pad5切换时间一直在50ms左右，丢包和掉线几乎没碰到过。

微信视频：
手机、小米pad5都没有卡顿很流畅。

bilibili直播：
手机、小米pad5都没有卡顿很流畅。

测试总结：
漫游和覆盖体验都很满意。说明wifi魔盒测试结果并不代表实际体验。这吊东西不靠谱啊，有没有别的测试软件推荐？

有图有杰宝



黑色跳线请无视，后面换根白色跳线颜值就上去了。


总体体验

不如TP！



好吧说正经的。上思科主要是因为r630吃灰很久了，特么的好几千块钱呢得干点啥吧！正好拿来跑vwlc。还有就是去年买的思科C3560CG-8TC-S一直没用，这次正好派上用场。如果上其他家的那这些东西就一直用不到了，对我来说有点浪费。
性能嘛只能说跟其他民用产品没啥优势，配置起来又麻烦。如果不喜欢折腾，又没基础网络知识还是不推荐上思科商用设备。不过倒不是说思科不行，毕竟我比较抠选的很低端的1810系列咸鱼才400块一个，可能弄个稍微好点的1830或者2700系列性能会上去。
写这篇文章是因为之前坛里搜到不少有用的资料，写出来希望能帮到别人。还有不写不行啊，不然过一礼拜怎么配的全忘了。

后续改进：

1.目前发现连了书房的ap再跑到卧室的话ap不会连近点的客厅ap，要过3~5分钟才切。这个有没有朋友知道该调什么参数？还是说需要再买个AP丢卧室？

sufee2000

Cisco Catalyst 9800-CL Wireless Controller 17.12.3版本最佳实践

sufee2000

思科C9800-CL许可证需要购买吗？

sufee2000

sunhailun 发表于 2024-7-15 16:21
中文我找遍了都没有，你可以看看我楼上发的那个链接，用浏览器翻译软件就可以，那个英文的其实说的很简单 ...

感谢您的回答，官方部署文档是全英文，只能大概看懂一半，好多意思都是猜想。谢谢大神！！

sunhailun

sufee2000 发表于 2024-7-13 21:47
有没有大神部署Cisco Catalyst 9800-CL中文文档，让我们学习一下，谢谢！！！！

中文我找遍了都没有，你可以看看我楼上发的那个链接，用浏览器翻译软件就可以，那个英文的其实说的很简单了，之前玩过vwlc的上手很快。部署其实还是很容易的。
之后的配置逻辑跟vwlc完全不一样了，采用了tag形式，需要看一下官方文档。

sufee2000

有没有大神部署Cisco Catalyst 9800-CL中文文档，让我们学习一下，谢谢！！！！

p4s2wd

m1ngh 发表于 2024-7-10 21:02
不是这个交换机带AC功能  是要选带AC功能的3850

对，要交换机编号带-S的

Satan023

sunhailun 发表于 2024-7-11 10:49
我目前是FlexConnect central switching模式，也尝试过不勾选central switching，测速还不及central swit ...

那就很奇怪了，老的vwlc理论上local模式流量不经过AC，速度会快。只要是central模式，流量就会经过AC，就会吃500Mbps的限制的。莫非9800有什么其他说法。。。

sunhailun

Satan023 发表于 2024-7-10 17:04
flexconnect local switching勾上

我目前是FlexConnect central switching模式，也尝试过不勾选central switching，测速还不及central switching。
我知道在老的vwlc上勾选local switching速度会好一点点，有就忽略不计的那一点点

m1ngh

p4s2wd 发表于 2024-7-9 23:52
查了一下，vwlc所有 的AP 都必须处于 FlexConnect 模式，并且 vWLC 不能作为锚点控制器，从性能角度来看 ...

不是这个交换机带AC功能  是要选带AC功能的3850

Satan023

sunhailun 发表于 2024-7-8 21:57
一样的，我也是瓶颈500mbps，但iperf测试上传反而能到700mbps。这个谜之问题目前还是无解，问了很多平台 ...

flexconnect local switching勾上

sunhailun

sufee2000 发表于 2024-7-9 23:33
思科Catalyst9800-CL无线控制器部署ESXI 6.7 update3  许可证90天，请问大神怎么购买永久许可证？ ...

超过也没关系，不会有停用机制。
目前思科对网络或虚拟机部署的没有DNAlicense的wlc唯一限制就是不能超过50台AP。

sunhailun

p4s2wd 发表于 2024-7-9 23:52
查了一下，vwlc所有 的AP 都必须处于 FlexConnect 模式，并且 vWLC 不能作为锚点控制器，从性能角度来看 ...

哦？官方文档有提到这个要求？
对我来说除了测速不好看意外，500mbps的结果绰绰有余了，况且免费用9800cl还要啥自行车。Anyways期待你的测试结果。
话说如果是硬件设备的话，是不是就要付钱买license了？

p4s2wd

sunhailun 发表于 2024-7-8 21:57
一样的，我也是瓶颈500mbps，但iperf测试上传反而能到700mbps。这个谜之问题目前还是无解，问了很多平台 ...

查了一下，vwlc所有 的AP 都必须处于 FlexConnect 模式，并且 vWLC 不能作为锚点控制器，从性能角度来看吞吐量应该被限制在 500 Mbps了。也许换成硬件的AC可能就没有这个速度限制了，准备换一台C3850 交换机，这个交换机带AC功能。

sufee2000

思科Catalyst9800-CL无线控制器部署ESXI 6.7 update3  许可证90天，请问大神怎么购买永久许可证？

sunhailun

p4s2wd 发表于 2024-7-7 11:31
按照这个链接总算把9800-CL配置好了，有几个地方和教程不一样，我是设置了2个网络端口，Gil1是给管理的接 ...

一样的，我也是瓶颈500mbps，但iperf测试上传反而能到700mbps。这个谜之问题目前还是无解，问了很多平台了都没有具体解决方法，但也很多人都说这个是思科尿性。
但奇怪的是最早我没按照教程错误deploy的时候，把gi1来处理所有的traffic，并disable svi端口的时候，测速最高可以到700mbps。无法理解~

Satan023

p4s2wd 发表于 2024-7-7 11:31
按照这个链接总算把9800-CL配置好了，有几个地方和教程不一样，我是设置了2个网络端口，Gil1是给管理的接 ...

看下我主楼

vwlc限速迷思 这一段

p4s2wd

sunhailun 发表于 2024-7-5 12:01
我最早的时候无也貌似碰到过能看到AP但无法join的问题，虚拟机部署而且是家用的话其实并不需要cisco要求 ...

按照这个链接总算把9800-CL配置好了，有几个地方和教程不一样，我是设置了2个网络端口，Gil1是给管理的接口，Gil2是给客户端走流量接口。目前存在的问题就是Wifi连接能显示780M－1200M，但是通过iperf 测速只有500M的样子。

p4s2wd

sunhailun 发表于 2024-7-5 12:01
我最早的时候无也貌似碰到过能看到AP但无法join的问题，虚拟机部署而且是家用的话其实并不需要cisco要求 ...

非常感谢，我会按照提供的链接安装配置一下9800-CL试试。

sunhailun

p4s2wd 发表于 2024-7-4 23:47
谢谢你了，2802i和3802i应该是支持的。

我最早的时候无也貌似碰到过能看到AP但无法join的问题，虚拟机部署而且是家用的话其实并不需要cisco要求的设置三个网口，一个网口就可以应付，但也要按照这个网口设计的方法来弄。如果你也是准备单网口使用，管理地址和用户地址在一个网段的话，可以参考这个文章：
https://www.wifireference.com/20 ... l-deployment-guide/

karlstyle

等 wifi7 ap上来更新一波思科的

p4s2wd

sunhailun 发表于 2024-6-30 20:46
有几个地方需要确认，AP是不是支持的型号，wave1的AP特别需要关注，3702为例之前最后一个支持的版本号是1 ...

谢谢你了，2802i和3802i应该是支持的。

sufee2000

sunhailun 发表于 2024-6-30 20:46
有几个地方需要确认，AP是不是支持的型号，wave1的AP特别需要关注，3702为例之前最后一个支持的版本号是1 ...

学习一下，AP型号对应版本是否支持，国家代码是否正确。

sunhailun

p4s2wd 发表于 2024-6-29 00:35
现在用vwlc 8.10.190.0＋3台2802系列的AP，想着换成9800CL，就是苦于国内资料太少了，摸索了一段时间都没 ...

有几个地方需要确认，AP是不是支持的型号，wave1的AP特别需要关注，3702为例之前最后一个支持的版本号是17.3.3，但近期cisco为了顺利从aireos升级到iOS-XE，又在最近的几个新版本加入了对wave1AP的支持。所以你要参考一下你部署的iOSxe版本号。
，其次是建议AP在加入新wlc之前都重置一下。最后就是注意一下有没有设置好country code。

m1ngh

p4s2wd 发表于 2024-6-29 00:35
现在用vwlc 8.10.190.0＋3台2802系列的AP，想着换成9800CL，就是苦于国内资料太少了，摸索了一段时间都没 ...

看console上的日志

m1ngh

Satan023 发表于 2024-6-15 23:39
6哇！C9800CL没玩过，你觉得有必要从vwlc转过去吗？

转转转 我当时 也用的WLC  现在全部转到9800了

p4s2wd

sunhailun 发表于 2024-6-16 12:51
我觉得很不错啊，9800CL而且也没有什么license限制，50个AP以内随便用。
界面和配置方面比vwlc改变大很多 ...

现在用vwlc 8.10.190.0＋3台2802系列的AP，想着换成9800CL，就是苦于国内资料太少了，摸索了一段时间都没有成功，之前碰到的问题就是9800CL已经能运行起来，也能看到AP，但是AP一直无法加入。

sunhailun

Satan023 发表于 2024-6-15 23:39
6哇！C9800CL没玩过，你觉得有必要从vwlc转过去吗？

我觉得很不错啊，9800CL而且也没有什么license限制，50个AP以内随便用。
界面和配置方面比vwlc改变大很多，需要点时间学习一下，主要是国内这方面教程几乎为零，都需要去油管个谷歌上找

Satan023

sunhailun 发表于 2024-6-15 18:37
刚刚从vwlc 8.10.xxx转到了C9800CL 17.12.3，前前后后调试了整整一个月才终于一切都搞定，AireOS跟现在的IO ...

6哇！C9800CL没玩过，你觉得有必要从vwlc转过去吗？