WLC-1000 Grundkonfiguration

[mwag]

Hallo zusammen,

ich verzweifele aktuell an der Konfiguration eines WLC-1000. Bis vergangene Woche Freitag dachte ich, ich hab nun endlich eine saubere Konfiguration; heute morgen wurde ich wieder mit einem funktionslosen Zustand überrascht. Folgende Infrastruktur ist gegeben:

Ein Lancom 1926VAG-4G mit Glasfaseruplink und LTE Backup
- Intranet 192.168.100.0/24

Ein Lancom WLC-1000 mit einem WAN Uplink zum Intranet des Routers (feste IP 192.168.100.254)
- Intranet 192.168.150.0/24 (für ordinäre Clients, sowie ca. 60 AP's)
- WLAN Profil für das Firmennetz 192.168.150.0/24 (PSK); "LAN am AP"
- WLAN Profil für das Gästenetz 172.16.56.0/22 (Public Spot) "WLC-Tunnel-1"

Drei Lancom GS-3528XP
- Intranet IP-Adressen 192.168.150.251 - 253
- an diesem sind die AP'S angeschlossen.

Mehrere LANCOM AP's, insbesondere LX-6400 / LW-600

An dem WLC wird der Port ETH 1 als WAN / DSL 1 verwendet; das scheint auch reibungslos zu funktionieren. Die Ports ETH2 - ETH4 werden dem logischen Interface LAN1 zugeordnet, an jedem Interface hängt je ein GS-3528XP; alle hier vernetzten Geräte verwenden die gleichen SFP's (1000Base-LX / Singlemode). Bei allen Ports ist Autoneg deaktiviert, ETH5 wird nicht genutzt.

Alle Geräte haben die aktuelle Firmware.



Folgende Problematiken habe ich:
Mein größtes Problem: Nach einer gewissen Betriebsdauer erreiche ich sukzessive die Switches nicht mehr, egal von welchem Gerät ich es versuche - entsprechend sind die AP's auch nicht mehr erreichbar... Ein Neustart der Geräte bringt dann auch nichts mehr. Die Situation treibt mich seit Wochen in den Wahnsinn; ich habe nochmals vergangene Woche alle Geräte auf Werkseinstellungen zurückgesetzt und den WLC mal nur durch den Konfigurationsassistent vorbereitet. Wie gesagt; damit lief es einige Stunden, seit heute morgen nichts mehr.

Am Freitag im noch funktionsfähigen Zustand konnte ich mich mittels PSK an das WLAN-Firmennetz anmelden, eine Kommunikation war aber nicht möglich; eine IP-Adresse habe ich nicht erhalten. Der DHCP Server für dieses Netz ist aber aktiv.

Den Public Spot konnte ich gar nicht nutzen. Ich habe mehrere Zugangsdaten angelegt, ein Login war mir nicht möglich.

Gerade habe ich den WLC nochmal zurückgesetzt (ich bin natürlich nicht mehr vor Ort ) und nun komme ich gar nicht mehr drauf. Morgen bin ich wieder vor Ort, wahrscheinlich werde ich den WLC wieder zurücksetzen und wieder von vorne Anfangen - ist sicherlich nicht verkehrt.


Hat jemand eine fixe Idee, warum nach einer gewissen Zeit keine Kommunikation mehr zu den angeschlossenen Switches möglich ist? Ich sehe im Log nur, dass gelegentlich die Verbindung der Schnittstellen verloren geht und sofort wiederhergestellt wurde.

Gruß und Danke,

Michael

[tstimper]

Hi Michael,

eigentlich sieht das ja nach einem Problem mit den Switchen aus.

Ist die Config der Switche wirklich im Flash gespeichert?
Wenn nicht, schaltet jemand oder irgendwas ggf nach einer Weile die Stromversorgung aus?
Dann ist die Config weg ....

Zu WLC-Tunnel: hast Du den auf eine Bridge gelegt? Wenn nicht, hast Du UDP Flooding im WLAN,
das hat bei uns ab ca 20 aktiven APs das WLAN gekillt.

Zum WLC-1000: Du brauchst zur Verwaltung der LX-APs mindestens die LCOS Firmware 10.47-RU7 oder 10.50-RU7.
Jeweils kleinerere Versionen haben folgendes Problem.

Bei Verwendung eines WLC-Tunnels müssen Datenpakete eine Größe mit
einem Vielfachen von 8 aufweisen. Je nach verwendeter PMTU konnte es aber
vorkommen, dass der WLAN-Controller Datenpakete mit einer Paketgröße
sendete, bei denen dies nicht der Fall war. Dies führte in Verbindung mit LCOS
LX Access Points dazu, dass diese die entsprechenden Datenpakete nicht
verarbeiten konnten und die Pakete somit verworfen wurden.

Zu den LX-APs: Du kannst die Firmware 5.36 testen, empfehlen würde ich Dir aber, vom Support die v5.34.1107-2022-04-05 anzufordern.

Mit LCOS 10.47-RU7 auf dem WLC und LX v5.34.1107 auf den LX-6400 haben wir mit 110 APs einen stabilen Betrieb erreicht.

Viele Grüße

ts

[mwag]

Hi ts,

ich bin mir da reichlich unsicher, was die Switches betrifft. Diese habe ich heute nochmal resettet und nach einiger Zeit meinen Laptop eingesteckt. Ich bin mir eigentlich 100% sicher, dass ich seinerzeit vom Switch eine IP erhalten habe, das war heute nicht der Fall (zu dem Zeitpunkt war auch nur der Laptop eingesteckt). Auf dem Laptop habe ich dann einen DHCP Server gestartet, den Switch mit einer IP versorgt und konnte so auf ihn zugreifen. Witzigerweise sehe ich alle AP's auf dem WLC, im Lanconfig aber nur die, auf dessen zugehörigen Switch ich gerade eingesteckt bin. Untereinander ist pingen auch nicht möglich, augenscheintlich läuft das WLAN aber erstmal "stabil". Aber zur Frage: Ja, die Config ist im Flash.
Dazu ergänzend noch ein witziges Phänomen: die CPU Auslastung des WLC1000 war heute sporadisch vor allem beim ETH2-Driver auf 99%; als ich hier autoneg deaktiviert hab, war die Auslastung wieder deutlich unter 10%.

Zum WLC-Tunnel: Nein, der WLC-Tunnel läuft ohne Bridge (das meine ich auch so als Empfehlung gelesen zu haben...). Gebridged sind deshalb nur die physischen Ports ETH1-ETH4.

Zum WLC-1000: ich verwende die 10.50-RU7, die LX-APs haben die 5.36.

Neues Problem : Der Login im Firmen-WLAN klappt nun einwandfrei, das habe ich über Stunden an verschiedenen Stellen im Gebäude heute während der Konfiguration getestet. Der Public-Spot login klappt nicht. Gebe ich die Anmeldedaten ein, wird der Login sofort abgebrochen (falsche Zugangsdaten).

[tstimper]

Dazu ergänzend noch ein witziges Phänomen: die CPU Auslastung des WLC1000 war heute sporadisch vor allem beim ETH2-Driver auf 99%; als ich hier autoneg deaktiviert hab, war die Auslastung wieder deutlich unter 10%.

Hast Du ggf "mistige" Patchkabel? Oder eine fehlerhafte Verkabelung? Gibt es eine Messprotokoll?

Zum WLC-Tunnel: Nein, der WLC-Tunnel läuft ohne Bridge (das meine ich auch so als Empfehlung gelesen zu haben...). Gebridged sind deshalb nur die physischen Ports ETH1-ETH4.

Die Empfehlung ist falsch seit LCOS > 10.34
Wenn der WLC-Tunnel nicht auf einer Bridge liegt, werden UDP Pakete, z.b. DNS Replies, im ganzen WLAN an alle APs geflutet.
Das ist ggf gewünscht für Dienste, die mDNS nutzen. Das ist im (größeren) WLAN Gift.

Mit ca,. 20 APs hatten wir ohne WLC-Tunnel Bridge schnell über 60% CPU Load auf dem WLC-1000 und das WLAN brach langsam zusammen.
Mit WLC-Tunnel auf Bridge haben wir jetzt im Durchschnitt 20% - 30% CLU Load auf dem WLC mit über 100 APs und ein stabiles WLAN.

Neues Problem : Der Login im Firmen-WLAN klappt nun einwandfrei, das habe ich über Stunden an verschiedenen Stellen im Gebäude heute während der Konfiguration getestet. Der Public-Spot login klappt nicht. Gebe ich die Anmeldedaten ein, wird der Login sofort abgebrochen (falsche Zugangsdaten).

Ich habe meist vergessen, den internen Radius Serevr des WLC zu konfigurieren
De wird für Public Spot User genutzt.

Viele Grüße

ts

[mwag]

Hast Du ggf "mistige" Patchkabel? Oder eine fehlerhafte Verkabelung? Gibt es eine Messprotokoll?

Die Strecken sind alle in Ordnung, die Patchkabel auch - zumindest würde ich auf Grund der Messprotokolle nicht auf ein Problem an der Stelle deuten. Die CPU Auslastung ist auch jetzt, stunden später, immer noch stabil.

Wenn der WLC-Tunnel nicht auf einer Bridge liegt, werden UDP Pakete, z.b. DNS Replies, im ganzen WLAN an alle APs geflutet.
Das ist ggf gewünscht für Dienste, die mDNS nutzen. Das ist im (größeren) WLAN Gift.

Dann prüfe ich das nochmal, die Empfehlung basiert wohl auf einem älteren Tutorial. Ich hätte nicht gedacht, dass sich das mal ändert.
Sollte ich deiner Empfehlung nach die Ports ETH1-ETH4 und den WLC-Tunnel derselben Bridge zuordnen?

Witzigerweise sehe ich alle AP's auf dem WLC, im Lanconfig aber nur die, auf dessen zugehörigen Switch ich gerade eingesteckt bin. Untereinander ist pingen auch nicht möglich

Hast du hierzu auch eine Idee? Die Switches sind aktuell eigentlich nur "dumm", mehr als eine eigene IP-Adresse und feste Negotiation auf den SFPs ist nicht konfiguriert.

[tstimper]

Wenn der WLC-Tunnel nicht auf einer Bridge liegt, werden UDP Pakete, z.b. DNS Replies, im ganzen WLAN an alle APs geflutet.
Das ist ggf gewünscht für Dienste, die mDNS nutzen. Das ist im (größeren) WLAN Gift.

Dann prüfe ich das nochmal, die Empfehlung basiert wohl auf einem älteren Tutorial. Ich hätte nicht gedacht, dass sich das mal ändert.
Sollte ich deiner Empfehlung nach die Ports ETH1-ETH4 und den WLC-Tunnel derselben Bridge zuordnen?

Schau mal hier alles-zum-lancom-wlc-4100-wlc-4025-wlc- ... ml#p108647

Witzigerweise sehe ich alle AP's auf dem WLC, im Lanconfig aber nur die, auf dessen zugehörigen Switch ich gerade eingesteckt bin. Untereinander ist pingen auch nicht möglich

Hast du hierzu auch eine Idee? Die Switches sind aktuell eigentlich nur "dumm", mehr als eine eigene IP-Adresse und feste Negotiation auf den SFPs ist nicht konfiguriert.

Meinst Du, das Du die APs über die Suche nicht findest? Kann sein, das die Switche die ARP Requests blocken.
Versuch mal, die APs manuell zu Lanconfig hinzuzufügen.

Viele Grüße

ts

[mwag]

Nach ein paar Wochen muss ich mich dann doch wieder melden...

Also, die AP's laufen nun anscheinend stabil. Ich habe bei den AP's je nach Switch unterschiedliche Firmwares laufen gehabt und bisher scheint es so, als wäre die V 5.36 die für uns stabilste Version. Die AP's mit der Version V 5.34 hatten nach einiger Zeit immer ihre Konfiguration vergessen und konnten nur noch mit reset-config reanimiert werden.

Was mich immer noch wurmt: Ich kann nur lokal auf die Switches und angeschlossenen Geräte zugreifen. auch das manuelle hinzufügen eines AP's mit dessen IP hilft hier nicht, ARP Requests scheinen nicht das Problem zu sein. Hat hier noch jemand eine Idee?

[tstimper]

Du schreibst am Anfang, das die Switche,
die die APs bedienen, an getrennten Ports am WLC
geschlossen sind.

Mir ist gestern aufgefallen, das beim WLC 1000
bei den Ethernet Ports bei der aktuellen Firmware 10.50.xx
die Checkbox „Port separieren „ ( hab den genauen Namen nicht im Kopf) an und ausgegraut ist.

Das würde die Ports separieren, auch wenn die
im selben logischen LAN1 liegen.

Probier mal einen kleinen Switch dazwischen
und dann nur einen WLC LAN Port …

Wir haben das immer nur so gebaut…


Viele Grüße

ts

[rotwang]

Mir ist gestern aufgefallen, das beim WLC 1000
bei den Ethernet Ports bei der aktuellen Firmware 10.50.xx
die Checkbox „Port separieren „ ( hab den genauen Namen nicht im Kopf) an und ausgegraut ist.

Das ist korrekt, der WLC1000 enthält keinen Hardware-Switch, die Ethernet-Ports hängen alle direkt an der CPU, genauso wie übrigens auch schon beim Vorgänger WLC4025+. Der Vor-Vorgänger WLC4025 (ohne Plus) hatte einen Hardware-Switch, und der Wunsch von einigen Projektkunden war seinerzeit, daß die Tabellen möglichst gleich aussehen sollen. Deswegen gibt es diese Spalte für den Private-Modus, der aber immer an ist.

[tstimper]

Also ist wirklich der aktive Private Mode der Grund,
warum der OP das Problem hat,
das wr APs an anderen Switchen,
die an einem anderen ETH Port im selben logischem Lan des WLC hängen, nicht erreicht?

Wenn ja, warum eigentlich? Ich dachte immer,
der nicht abschaltbare private Mode ( wie auch auf auf anderen LCOS Routern ) wäre eine durch Hardware
beschränkt. So wie jetzt beschrieben ist es die Software,
did das beschränkt und das könnte man ja einfach
ändern oder?

Viele Grüße

ts

[mwag]

Ich sehe hier gerade nur den Private Mode, der bei allen Ports aktiv ist. Laut Beschreibung wird bei aktivem Private-Mode die Datenübertragung zwischen diesem und anderen Ports unterbunden.

Das ist mir bei der Konfiguration tatsächlich nicht ins Auge gesprungen. Könnte ein deaktivieren der Checkbox schon die Lösung sein?

[tstimper]

Ja der Private Mode muss in deinem Fall aus sein.
Nur geht das beim WLC-1000 offensichtlich nicht.

Oder es geht nur nicht mit Lanconfig, aber ggf an der CLI.

Viele Grüße

ts

[rotwang]

Wenn ja, warum eigentlich? Ich dachte immer,
der nicht abschaltbare private Mode ( wie auch auf auf anderen LCOS Routern ) wäre eine durch Hardware
beschränkt. So wie jetzt beschrieben ist es die Software,
did das beschränkt und das könnte man ja einfach
ändern oder?

Es ist durch die Hardware beschränkt, eben durch das Fehlen eines Hardware-Switches, der das Paket-Forwarding zwischen den Ports auf Layer 2 machen könnte. Ohne so einen müßte es die CPU machen, mit entsprechendem Overhead. Da bei den Routern dieser Klasse ohnehin die Ports meistens unterschiedlichen Funktionen (verschiedene LAN, WAN, DMZ...) zugeordnet werden und das Feature nur wenige Kunden brauchen würden, hat man sich den Aufwand im LCOS bisher gespart.

Wer will, kann sich ja auch ein WLC1000 so konfigurieren, daß die CPU switcht: ETH-1 bis ETH-.. an unterschiedlichene LAN-.. zuweisen, LAN-Bridge im LCOS einschalten, die LAN-... dann an BRG-1 zuweisen und das INTRANET an BRG-1 statt an LAN-1 binden.

Bei CPE-Geräten sieht das anders aus, da spart der eingebaute Switch im Router des öfteren einen externen Switch.

[tstimper]

Vielen Dank für die Erklärung.
Ok, das würde dem OP auch helfen,
damit würde er dann an jedem Switch
Zugriff auf alle APs an allen anderen Switchen bekommen.

Viele Grüße

ts