WLC 10.20.0126 schaltet AP ab

[DirkK]

Hallo,

bei der 10.20.0126 schaltet der WLC (1784) meine beiden alten 1811'er als AccessPoint ab. Im Lanmonitor sind die WLAN-Schnittstellen deaktiviert.
Das war bei der 10.20.0121 noch nicht der Fall. Auch wenn die 1811'er kein Ausbund an Performance sind, immer noch besser, als dann gar kein WLAN zu haben.

Grüße
Dirk

[alf29]

Moin,

Das ist ohne nähere Angaben zur Gerätekonfiguration relativ dünn als Fehlerbeschreibung, da kann ich nur raten.

In den letzten 10.20.er Builds ist auf WLC-Seite der Support für WPA3 dazugekommen, und der WLC rollt keine SSIDs, auf denen WPA3 eingeschaltet ist, auf Geräte aus, die kein WPA3 können. Ich meine zwar, mit der 10.20 soll WPA3 auf den Profilen nicht automatisch eingeschaltet werden, aber 100% sicher bin ich mir da nicht...

Viele Grüße

Alfred

[DirkK]

Hallo Alfred,

Das ist ohne nähere Angaben zur Gerätekonfiguration relativ dünn als Fehlerbeschreibung, da kann ich nur raten.

hmm, dachte ich habe das hinreichend geschrieben. WLC ist ein 1784 mit der 10.20.0126 und AccessPoint sind "uralt" 1811'er mit ihrer letzten verfügbaren 8.0'er Firmware.

In den letzten 10.20.er Builds ist auf WLC-Seite der Support für WPA3 dazugekommen, und der WLC rollt keine SSIDs, auf denen WPA3 eingeschaltet ist, auf Geräte aus, die kein WPA3 können. Ich meine zwar, mit der 10.20 soll WPA3 auf den Profilen nicht automatisch eingeschaltet werden, aber 100% sicher bin ich mir da nicht...

Die Info ist gut, im Hinterkopf zu behalten, dürfte hier aber keine Rolle spielen. BTW: WPA3 lässt sich soweit ich gesehen habe in Lanconfig nicht auswählen.

Nochmal zum eigentlichen Problem:
Ich habe mehrere Logische WLANs
a) 2 Standard-Konfigurationen mit WPA1/2
b) 1 "5GHz" only WPA2
c) 1 "5GHz" only WPA-EAP
d) 1 PublicSpot über WLC-tunnel

Diese Konfigurationen existieren teils mehrere Jahre, zumindest aber einige Wochen.
Bis Firmware 10.20.0121 sind die WLANs a-c auf den 1811'er provisioniert worden, klar, da die 1811'er kein WLC-tunnel können und auf 5GHz gestellt sind. Alles ok bis dahin.
Schalte ich auf Firmware 10.20.0126 um, so wird das WLAN-Modul der 1811'er komplett abgeschaltet. Es wird kein WLAN mehr von den 1811'er mehr zur Verfügung gestellt. Das ist das eigentliche Problem.
Switche ich zurück auf die 10.20.0121, dann strahlen die 1811'er wieder die WLANs a-c aus.

Grüße
Dirk

[alf29]

Moin,

beim Einbau der WPA3-Unterstützung auf dem WLC hatte sich ein Fehler in der Behandlung von Single-Radio-APs eingeschlichen. Der sollte mit der nächsten Build behoben sein.

Viele Grüße

Alfred

[DirkK]

beim Einbau der WPA3-Unterstützung auf dem WLC hatte sich ein Fehler in der Behandlung von Single-Radio-APs eingeschlichen. Der sollte mit der nächsten Build behoben sein.

Ahhhhh!!!
Dann ist das der Fehler.

Danke, Grüße
Dirk

[hyperjojo]

hi Alfred,

beim Einbau der WPA3-Unterstützung auf dem WLC hatte sich ein Fehler in der Behandlung von Single-Radio-APs eingeschlichen. Der sollte mit der nächsten Build behoben sein.

ist es beabsichtigt, dass bei eingeschaltetem "WPA2/3" auf dem WLC das WLAN Modul des AP abgeschaltet wird, wenn der (ältere) AP keine 10.20, sondern ein älteres LCOS nutzt? Ich hätte vermutet und gehofft, dass dieser dann mit WPA2 arbeitet.

Konkret: WLC 4006+ mit LCOS 10.20.0145RC2 und ein 1781EW als AP mit 9.24.0334SU9.

Gruß hyperjojo

[DirkK]

ist es beabsichtigt, dass bei eingeschaltetem "WPA2/3" auf dem WLC das WLAN Modul des AP abgeschaltet wird, wenn der (ältere) AP keine 10.20, sondern ein älteres LCOS nutzt? Ich hätte vermutet und gehofft, dass dieser dann mit WPA2 arbeitet.

Bin zwar nicht Alfred...
bist du sicher, dass das WLAN-Modul abgeschaltet wird? Meine Beobachtung ist, dass die entsprechende SSID nur nicht deployed wird, das WLAN-Modul aber nach wie vor aktiv ist und die anderen SSID‘s bereitstellt.

Grüße Dirk

[hyperjojo]

hi,

bist du sicher, dass das WLAN-Modul abgeschaltet wird? Meine Beobachtung ist, dass die entsprechende SSID nur nicht deployed wird, das WLAN-Modul aber nach wie vor aktiv ist und die anderen SSID‘s bereitstellt.

ok, ich hatte immer alle SSIDs gleichzeitig umgestellt, deshalb schien es mir als wäre das Modul komplett abgeschaltet.
Wenn ich nur eine SSID auf WPA2/WPA3 schalte, dann funktionieren die anderen weiterhin - nur die betreffende SSID wird abgeschaltet.

Sehe ich das richtig, dass das Verhalten so nicht korrekt ist?

Gruß hyperjojo

[alf29]

Moin,

AFAIK ist das works as designed - wenn ein Gerät kein WPA3 unterstützt, wird eine SSID mit WPA2/3 darauf nicht ausgerollt. Man wird sicher für beide Verhaltensweisen Argumente finden können, aktuell ist es eben so wie es ist.

Viele Grüße

Alfred

[hyperjojo]

hi,

oh, das wundert mich aber. Dann muss ich ja in einem Mischbetrieb (aus aktuellen und alten LCOS/Geräten - und den gibt es vermutlich fast überall) separate Profile anlegen, um WPA3 ausrollen zu können...

Vielleicht stellt ihr die Argumente nochmal gegenüber und entscheidet Euch für den anderen Weg...

Danke auf jeden Fall für die Klarstellung!

Gruß hyperjojo

[alf29]

Moin,

ein Argument für die aktuelle Verhaltensweise ist wohl, daß man dann eine SSID im Haus hat, die an unterschiedlichen Orten mit unterschiedlichen Eigenschaften ausgestrahlt wird. Das hat in der Vergangenheit immer wieder zu Ärger geführt, weil Clients das nicht auseinander halten konnten und sich bei AP A mit der Verschlüsselungsmethode anmelden wollten, die AP B ihm angeboten hat. Das gibt dann so tolle Probleme, daß sich einzelne Clients nur an bestimmten Orten nicht anmelden können. Einige WLAN-Features, die für schnelles Roaming zuständig sind, setzen sogar explizit voraus, daß alle APs exakt die gleichen "Proposals" in ihrem WPA/RSN-Infoelement ausstrahlen.

Meine Erfahrung sagt mir auch, daß die Kunden aus Gründen der Einheitlichkeit solche Mischinstallationen ohnehin ungern fahren.. LCOS 9.24 (um das geht es wohl?) und LCOS 10.20 unterscheiden sich auch in anderen Eigenschaften deutlich, den damit verbundenen Extra-Aufwand wollen die meisten Firmen-Admins nicht.

Viele Grüße

Alfred

[hyperjojo]

Hallo Alfred,

okay, danke für die nachvollziehbaren Infos.
Dann arbeite ich mit vererbten Profilen und weise den APs unterschiedliche Profile zu. Ist auch gut nachzuvollziehen und für mich ein gangbarer Weg.

Gruß hyperjojo