Perché esistono architetture diverse
Un access point (AP) deve fare due cose: gestire la radio 802.11 (beacon, autenticazione, gestione frame) e trasportare il traffico degli utenti nella rete cablata. Come queste funzioni vengono divise determina l’architettura.
Autonomous AP
L’AP è standalone: contiene tutta la configurazione (SSID, VLAN, sicurezza) al suo interno e viene gestito uno per uno. Fa da bridge tra WLAN e VLAN cablate, quindi la sua porta verso lo switch è un trunk port (802.1Q) che trasporta tutte le VLAN degli SSID più la native. Non scala: 50 AP significano 50 configurazioni.
Split-MAC con WLC (CAPWAP)
Nell’architettura lightweight le funzioni MAC si dividono tra AP e Wireless LAN Controller (WLC):
- AP (real-time MAC): trasmissione beacon, ACK, buffering, cifratura al volo.
- WLC (non-real-time MAC): associazione, autenticazione, roaming, gestione RF, policy di sicurezza.
I due dialogano tramite CAPWAP (Control And Provisioning of Wireless Access Points), che stabilisce due tunnel verso il WLC:
| Tunnel | Porta UDP | Cifratura |
|---|---|---|
| Control | 5246 | DTLS obbligatoria |
| Data | 5247 | DTLS opzionale |
Il traffico client viene incapsulato dall’AP nel tunnel CAPWAP data e portato fino al WLC, che lo immette nella rete cablata. Questa è la chiave da ricordare: in modalità classica il client “esce in rete” dal WLC, non dall’AP.
Cloud-based e FlexConnect
- Cloud-based (es. Meraki): il control/management plane vive nel cloud; il data plane resta locale all’AP. Non c’è un WLC on-premise che termina i tunnel dati.
- FlexConnect: pensato per le filiali collegate via WAN a un WLC centrale. L’AP può fare local switching, cioè commutare il traffico direttamente sulle VLAN locali invece di tunnelarlo al WLC. In connected mode riceve policy dal WLC; in standalone mode (WAN giù) continua a servire i client con l’ultima configurazione nota. Poiché commuta più VLAN localmente, un AP FlexConnect richiede una porta trunk.
Modalità operative dell’AP lightweight
| Mode | Serve i client? | Uso |
|---|---|---|
| Local (default) | Sì | Serve i client e, off-channel, scansiona per rogue/RF |
| Monitor | No | Radio passiva: IDS/IPS, rilevamento rogue, location |
| Sniffer | No | Cattura frame 802.11 e li inoltra a un analyzer (Wireshark/OmniPeek) |
| FlexConnect | Sì | Local switching per branch |
Connessioni fisiche
- AP lightweight (local mode) → switch: access port. Il traffico di tutte le VLAN client viaggia dentro il tunnel CAPWAP, quindi all’AP serve una sola VLAN (quella di management/CAPWAP). Errore comune: configurare un trunk qui non serve.
- WLC → switch: trunk, perché il WLC ha più dynamic interface mappate su VLAN diverse.
- LAG (Link Aggregation): raggruppa più porte fisiche del WLC in un unico canale logico per banda e ridondanza. Sul WLC il LAG usa EtherChannel statico (mode on): niente LACP/PAgP. Sullo switch va quindi impostato
channel-group X mode on.
Le interfacce del WLC
Concetto d’esame delicato:
- Management interface: in-band management, discovery e join degli AP (gli AP costruiscono il tunnel CAPWAP verso questo IP). Di solito untagged sulla native VLAN.
- AP-manager interface: termina la comunicazione Layer 3 con gli AP; sui WLC moderni la funzione è integrata nella management interface.
- Virtual interface: IP non instradabile (tipicamente
192.0.2.1) per funzioni client-facing: DHCP relay, web auth guest, mobility. Uguale su tutti i WLC di un gruppo di mobility. - Service port interface: out-of-band, legata alla porta di servizio dedicata.
- Dynamic interface: l’equivalente di una VLAN. Mappa una WLAN a una VLAN e fa da gateway/uscita del traffico client.
Creare una WLAN dalla GUI
WLANs > Create New: assegna Profile Name, SSID e ID → General (Status = Enabled, mappa la Interface/Interface Group = dynamic interface/VLAN) → Security (Layer 2: WPA2/WPA3, PSK o 802.1X) → QoS e Advanced → Apply. Senza abilitare lo Status e mappare l’interfaccia, l’SSID non viene irradiato.
Trappole tipiche d’esame
- Porta dello switch per un AP lightweight in local mode → access port (una sola VLAN); il traffico client è incapsulato in CAPWAP.
- Porta per AP autonomous o FlexConnect con local switching → trunk 802.1Q (fa bridging di più VLAN localmente).
- “Dove esce il traffico dati del client?” → dal WLC (tunnel CAPWAP data, UDP 5247) in modalità classica; localmente all’AP con FlexConnect local switching.
- Interfaccia usata dagli AP per il join / management → management interface; la virtual interface serve invece a DHCP relay e web auth, non al join.
- LAG sul WLC → EtherChannel statico (mode on), nessuna negoziazione LACP/PAgP; lo switch deve rispecchiare
mode on. - AP che invia i frame 802.11 catturati a un analyzer → Sniffer mode; il Monitor mode invece non serve client ma non esporta capture verso un analyzer.