LANCOM WLC-Problem nach Austausch 1790EF -> 2100EF

[danielhamburg]

Moin zusammen,

Ich habe einen LANCOM 1790EF durch einen LANCOM 2100EF ersetzt. Der alte 1790EF war gleichzeitig WLAN-Controller. Die Konfiguration wurde zunächst weitgehend vom 1790EF auf den 2100 übernommen. Die WLC-Option wurde beim 2100 nachträglich hinzugefügt/aktiviert.

Nach der Übernahme wurden keine WLAN-Netzwerke mehr ausgestrahlt. Im WLANMonitor wurde zunächst kein WLAN-Controller bzw. keine AP-Verbindung angezeigt.
Später kamen im LANMonitor/SCEP-Bereich Fehlermeldungen wie:

Verifizierung der Anfragensignatur gescheitert

Ich hatte dann nachgelesen und gesehen, dass die Zertifikate aus der alten LANCOM in die neue LANCOM übertragen werden müssen.
Das habe ich dann anhand dieser Anleitung gemacht:
https://www.lancom-systems.de/docs/LCOS ... 12153.html

Allerdings wurden die APs weiterhin nicht verbunden.

Ich habe mich dann dafür entschieden, dass ich einmal alles aufräume und die APs ganz neu einbinde.
Ich habe dann die APs vom LAN getrennt und zurückgesetzt.

Die alten AP-Zertifikate wurden gelöscht/widerrufen. Danach standen sie mit:

Status: R
Rückrufgrund: cessationOfOperation

in der Tabelle.

Außerdem habe ich hier alles geleert:
Status > Zertifikate > SCEP-CA > Anfragen
Setup > Zertifikate > SCEP-CA > Challenge-Tabelle
WLAN-Controller > AP-Konfiguration > Access-Point-Tabelle

Hier habe ich diese Dateien gelöscht:
cd /Status/File-System/Contents
controller_*
eaptls_.*

Anschließend
cd /Setup/Certificates/SCEP-Client
do Reinit

do Clear-SCEP-Filesystem
do Update
do Update

Dann habe ich einen AP wieder ans LAN gehängt.
Der AP konnte danach wieder erreicht werden und erschien auch grundsätzlich wieder am Controller bzw. ließ sich einem Profil zuweisen.

Direkt danach kommt allerdings wieder der Fehler:

Verifizierung der Anfragensignatur gescheitert

Ich bin mittlerweile wirklich mit meinem Latein am Ende. Aus meiner Sicht habe ich alles so zurückgesetzt, dass ich einen neuen/sauberen Stand habe, aber trotzdem lande ich immer wieder bei der gleichen Fehlermeldung.

[tstimper]

Hi Daniel,

was für APs hast Du und welche Firmware haben die?

Wenn Du die Firmware 10.94 auf dem WLC Router nutzt können sich alte AP Firmware nicht mehr neu mit dem WLC verbinden.
Du brauchst da mindestens 10.80.RU15 oder 10.72.RU14 auf den APs

Zur Not musste Du auf dem WLC zurückgehen auf eine 19.92 er Firmware.

Das hängt mit den OpenSSL Versionen zusammen, genaueres steht in den Releasenotes und auch im Forum.

Code: Alles auswählen

LCOS 10.80RU15 rettet LN-860 am WLC-30 mit LCOS 10.94RU2

viewtopic.php?p=123954&hilit=rettet#p123954

Code: Alles auswählen

LCOS 10.72RU14 rettet LN-1700 am WLC-30 mit LCOS 10.94RU2

viewtopic.php?p=124027&hilit=rettet#p124027

Teste mal ...

Viele Grüße

ts

[danielhamburg]

Moin tsimper,

tausend Dank! Die APs hatten 10.80RU14. Nach Upgrade auf 10.80RU15 klappt es.
Ich habe mich nur gewundert, dass mir das Update über LANconfig gar nicht vorgeschlagen wurde. Ich meine nämlich, dass ich damals extra geprüft hatte, ob die Firmware aktuell ist.

Egal, nun klappt es wieder - nochmal vielen Dank!

[tstimper]

Moin tsimper,

tausend Dank! Die APs hatten 10.80RU14. Nach Upgrade auf 10.80RU15 klappt es.
Ich habe mich nur gewundert, dass mir das Update über LANconfig gar nicht vorgeschlagen wurde. Ich meine nämlich, dass ich damals extra geprüft hatte, ob die Firmware aktuell ist.

Egal, nun klappt es wieder - nochmal vielen Dank!

Hallo Daniel,

der Dank gilt den LANCOM Entwicklern die die Firmware gebaut haben und den Produktmanagern die denn Entwicklern die Zeit dafür gegeben haben.
Gemeinsam rettet Ihr wertvolle Ressourcen

Viele Grüße

ts

[fildercom]

Ich habe da auch mal eine Frage dazu, weil mir das eventuell auch bald begegnen könnte:
Meine alten L-452agn APs haben nur LCOS 10.20 (EoL). Am alten WLC-4006+ mit LCOS 10.72 funktioniert alles. Aktuell bin ich dabei, schrittweise auf neue APs und neuen WLC zu migrieren. Gerade eben fahre ich einen Mischbetrieb mit zwei WLCs. Aber wenn ich die L-452agn an einen neuen WLC-60 mit LCOS 10.94 anmelden wollte, wäre das nicht möglich, korrekt? Oder sehe ich das falsch?

[tstimper]

Ich habe da auch mal eine Frage dazu, weil mir das eventuell auch bald begegnen könnte:
Meine alten L-452agn APs haben nur LCOS 10.20 (EoL). Am alten WLC-4006+ mit LCOS 10.72 funktioniert alles. Aktuell bin ich dabei, schrittweise auf neue APs und neuen WLC zu migrieren. Gerade eben fahre ich einen Mischbetrieb mit zwei WLCs. Aber wenn ich die L-452agn an einen neuen WLC-60 mit LCOS 10.94 anmelden wollte, wäre das nicht möglich, korrekt? Oder sehe ich das falsch?

Hi Fildercom,

Korrekt, die L-452agn können nicht neu mit dem WLC verbunden werden da die Zertifikatsprüfung beim pairen fehlschlägt.
Das liegt daran das die Zertifikate auf den APs nicht korrekt sind.

Was man natürlich mal überlegen könnte:

- Kann man eine CA für den WLC extern erzeugen?
- Kann man Zertifikate für die AP's extern erzeugen?
- Kann man diese extern erzeugten Zertifikate in WLC und AP einspielen und sind die dann pepaired?

Das Problem ist ja das die SSL Libraries zum Erzeugen er Zertifikate zu alt sind.

Viele Grüße

ts

[tstimper]

Ich habe da auch mal eine Frage dazu, weil mir das eventuell auch bald begegnen könnte:
Meine alten L-452agn APs haben nur LCOS 10.20 (EoL). Am alten WLC-4006+ mit LCOS 10.72 funktioniert alles. Aktuell bin ich dabei, schrittweise auf neue APs und neuen WLC zu migrieren. Gerade eben fahre ich einen Mischbetrieb mit zwei WLCs. Aber wenn ich die L-452agn an einen neuen WLC-60 mit LCOS 10.94 anmelden wollte, wäre das nicht möglich, korrekt? Oder sehe ich das falsch?

Nachtrag: Wenn Du auf der 10.92 auf dem WLC bleibst dann können die alten APs mit LCOS 10.20 pairen.

Viele Grüße

ts

[fildercom]

Nachtrag: Wenn Du auf der 10.92 auf dem WLC bleibst dann können die alten APs mit LCOS 10.20 pairen.

Danke für deine Erklärungen. Ich habe die Problematik jetzt verstanden. Auf dem neuen WLC läuft schon die 10.94 und ich will jetzt kein Downgrade mehr machen, weil ich dann nicht weiß, wie sich die LX-6402 verhalten. Deshalb würde ich bis zum Ende des Einsatzes der L-452 dann eben den alten WLC noch parallel in Betrieb lassen. Wenn der letzte L-452 in den Ruhestand geht, darf auch der alte WLC in den Ruhestand gehen.

Gruß
fildercom

[tstimper]

Nachtrag: Wenn Du auf der 10.92 auf dem WLC bleibst dann können die alten APs mit LCOS 10.20 pairen.

Danke für deine Erklärungen. Ich habe die Problematik jetzt verstanden. Auf dem neuen WLC läuft schon die 10.94 und ich will jetzt kein Downgrade mehr machen, weil ich dann nicht weiß, wie sich die LX-6402 verhalten. Deshalb würde ich bis zum Ende des Einsatzes der L-452 dann eben den alten WLC noch parallel in Betrieb lassen. Wenn der letzte L-452 in den Ruhestand geht, darf auch der alte WLC in den Ruhestand gehen.

Gruß
fildercom

Alternativ können wir über die Initiative "Free WIFI WLC Certs 4 All LANCOM Access Points" (FWWC4ALAP) für das Update der OpenSSL Libraries möglichst aller älterer LANCOM Access Points werben.
(zumindest alles, was eine 10.x hat)

Viele Grüße

ts

[fildercom]

Alternativ können wir über die Initiative "Free WIFI WLC Certs 4 All LANCOM Access Points" (FWWC4ALAP) für das Update der OpenSSL Libraries möglichst aller älterer LANCOM Access Points werben.
(zumindest alles, was eine 10.x hat)

Ja, das wäre eine gute Idee. Allerdings glaube ich kaum, dass da nocht etwas für diese alten APs passieren wird, die ja schon fast 5 Jahre EoL sind...

[tstimper]

Alternativ können wir über die Initiative "Free WIFI WLC Certs 4 All LANCOM Access Points" (FWWC4ALAP) für das Update der OpenSSL Libraries möglichst aller älterer LANCOM Access Points werben.
(zumindest alles, was eine 10.x hat)

Ja, das wäre eine gute Idee. Allerdings glaube ich kaum, dass da nocht etwas für diese alten APs passieren wird, die ja schon fast 5 Jahre EoL sind...

Es haben auch alte Router noch Firmware Updates bekommen, nachdem eine CVE veröffentlicht wurde.
Sowas hilft meistens...

Viele Grüße

ts

[fildercom]

Das Problem betrifft auch LCOS 10.72.0982 RU14 [Stand 27.04.2026].

Ich hatte gerade den Fehler gemacht, diese Version auf meinen betagten WLC-4006+ zu flashen und musste im Anschluss feststellen, dass die APs ihr Zertifikat verloren haben. Ein Reboot mit Aktivierung von LCOS 10.72 RU13 sowie zusätzlich ein Reboot der L-452 hat das Problem gelöst.

Naja, die ganze WLAN-Infrastruktur (WLC-4006+ und L-452agn) fliegt bei mir sowieso in den nächsten Wochen und Monaten raus...

Der neue WLC-60 steht schon bereit und die Entscheidung für die LX-6402 ist auch gefallen.