C9800-40无线控制器安装配置、对象模型与排错验证

简介面向网络工程师与无线运维人员的思科 Catalyst 9800 实战配置手册聚焦 Catalyst 9800-40 及 C9800 全系的部署、配置与排错场景适合具备一定企业无线网络基础、需要落地集中式、FlexConnect 或 Fabric 架构的读者。内容围绕设备规格、硬件接口、配置逻辑与初始上线展开梳理 AP、WLAN、策略、RF、AP Join、Flex 等配置文件及策略标签、RF 标签、站点标签之间的关系并延伸到 Web 管理界面重登录、AP 关联查看、DP 接口重配、VLAN 与 HA 配置等实操要点便于快速建立从开局到验证的完整思路。包内共 1 个 PDF 文件压缩包约 6.31MB适合按章节查阅和现场对照。已有 501 人学习可作为实施前预习与配置核对参考。1. 从一台上电没网的 C9800-40 说起装之前先划清交付边界思科 Catalyst 9800 无线控制器这台 C9800-40我第一次上架时踩过一个很典型的坑机器上电正常、指示灯也像那么回事但业务口没配、DP 口没重配、Web 管理地址还在默认网段结果就是“设备活着网络没活”。C9800-40 支持最高 2000 个 AP、32000 个客户端、40G 吞吐带 11 冗余电源能跑集中式、FlexConnect 和 Fabric 三种部署模式配置逻辑又是 WLAN Profile、Policy Profile、RF Profile、AP Join Profile、Flex Profile 加 Site Tag、Policy Tag、RF Tag 这一整套对象模型。装不好不是单台设备的事AP 不上线、客户端拿不到地址、HA 状态异常都会一起冒出来。这篇笔记按现场安装顺序走先核接口再首次开机接着把对象模型和 VLAN、DP、HA 落地最后给出我会强制走一遍的验证和排错清单适合正准备上 C9800-40 的运维和网络工程师对照使用。2. 上架与接口核对C9800-40 的 Console、DP 口和 11 电源怎么接2.1 开箱先别拧螺丝按接口清单做一遍物理盘点C9800-40 的接口不算多但很容易在机房灯光下看错。前面板有 Power LED、System LED、Alarm LED、HA LEDConsole 口、USB Console 口、USB Console enabled LED、USB Port、SP Management PortG1、DP PortG2、Connector LED、SSD Activity LED、TE0 到 TE3 业务口1G SFP/10G SFP以及 Redundancy PortG3。后面板是 Fans、Operation Redundant PSU、Power Supply 和 Power/Standby 开关。我的习惯是先把这些接口按“管理、业务、冗余、电源”四类列在纸上再去拧螺丝。接口/部件现场用途核对要点Console / USB Console首次开机、救援配置线序和驱动先确认USB Console 需要终端识别SP Management PortG1带外管理地址不要和 DP 业务口混用同一网段DP PortG2业务数据转发上线前确认是否需要重配为 Trunk 或路由口TE0–TE31G SFP/10G SFP 业务链路光模块速率和对端端口保持一致Redundancy PortG3HA 冗余心跳不是普通业务口别接到接入交换机Power Supply11 冗余电源两路电源尽量分不同 PDU上架前我会先跑一遍清点命令确认设备识别到的模块和实际插的模块一致# 登录后先看设备清单和端口状态 show inventory show interfaces status show environment allshow inventory看的是设备背板、电源、风扇和光模块有没有被正确识别show interfaces status看端口 up/down、速率和 VLANshow environment all看温度、风扇和电源状态。C9800-40 是 11 电源不等于“双机热备”它只解决单路电源故障HA 要靠两台控制器和 Redundancy Port 做 SSO。这个区别现场经常被混为一谈后面第 5 章还会展开。2.2 Console 与 SP 管理口第一根线决定后面排查效率首次开机最稳的入口还是 Console。C9800-40 的 Console 口默认串口参数常见做法是 9600 波特率、8 数据位、无校验、1 位停止位、无流控。USB Console 也能用但现场电脑驱动和线序容易出问题我一般把 Console 线当“后悔药”USB Console 当备用。管理口 G1 用来放带外管理地址业务地址走 DP 口或 TE 口不要为了让 Web 页面先通就把管理口和业务口塞进同一个二层广播域里后面割接时很难拆。首次登录后先确认管理口状态再配置地址# 进入配置模式先改主机名避免多台设备混淆 enable configure terminal hostname C9800-40-01 # SP Management Port 以实际接口编号为准先 show ip interface brief 确认 interface GigabitEthernet1 description OOB-MGMT ip address 10.10.10.10 255.255.255.0 no shutdown exit # 默认网关指向带外管理网关 ip default-gateway 10.10.10.1 # 打开 Web 管理服务 ip http server ip http secure-serverhostname是现场最小但最有效的防误操作手段interface GigabitEthernet1这里只是示例实际以show ip interface brief显示为准ip default-gateway只影响管理面访问不等于业务网关ip http secure-server打开 HTTPSWeb 登录时用https://10.10.10.10。如果管理口和业务口共用网关割接时容易出现“网页能开、AP 不回”的假象所以我一般让带外管理走独立网段。注意C9800-40 初始配置完成后Web 管理界面通常需要重新登录一次旧会话被踢出是正常现象不是账号锁死。2.3 电源、风扇与 HA 冗余口别把 11 理解成双机热备C9800-40 的 11 电源是设备内部冗余单电源故障时另一路继续供电HA 是两台控制器之间的高可用靠 Redundancy Port 和 HA 配置完成。现场最容易翻车的是把 Redundancy Port 当业务口接进接入交换机结果 HA LED 状态不对业务口还频繁抖动。我的做法是电源两路分 PDU风扇和电源状态在上架后先截图留档Redundancy Port 单独标签直连对端控制器不经过接入交换机。上架完成后先看电源和风扇# 查看电源、风扇、温度 show environment all # 查看 HA 相关状态未配置 HA 时状态为空或 standalone 属正常 show redundancyshow environment all里重点看 Power Supply 是否双路识别、Fan 转速是否正常、Temperature 是否在阈值内show redundancy在未做 HA 时显示 standalone 或未启用不要急着判断设备坏。等第 3 章做完初始配置、第 5 章做完 HA再回来对比状态。C9800-40 的 HA LED 只是面板指示最终以命令输出为准。3. 首次开机与 Web 登录C9800-40 初始配置怎么一次走通3.1 串口参数与启动等待看到什么才算进入配置向导C9800-40 首次开机时间不短风扇全速转、System LED 闪、串口先出 BootLoader 再进 IOS-XE这些阶段都不要急着敲回车。串口工具用 9600-8-N-1、无流控连上后如果一片空白先换 Console 线再检查 USB Console 驱动。启动完成后一般会看到是否进入初始配置对话框的提示常见做法是选yes走向导或者选no手工进 CLI。我倾向手工配因为向导里的管理地址、网关和后续 DP 口重配经常要改手工配更容易回滚。首次进入 CLI 后先做最小配置不要一上来就配 WLANenable configure terminal hostname C9800-40-01 username admin privilege 15 secret MyStrongPassword enable secret MyEnableSecret ip domain-name lab.local crypto key generate rsa modulus 2048 ip http secure-server line con 0 logging synchronous exitusername ... privilege 15是本地管理员enable secret是特权密码和用户密码分开crypto key generate rsa为 HTTPS 生成密钥模数 2048 是常见起点line con 0下logging synchronous防止日志打断输入。密码不要照抄示例现场按密码规范替换。配置完先用write memory保存一次后面改错了还有回头路。3.2 初始向导里的管理地址、网关和 Web 访问管理地址配完后Web 访问不通通常不是设备没开服务而是路由、ACL 或接口选错。C9800-40 的 SP 管理口和 DP 业务口要分清Web 管理走管理口AP 注册和客户端流量走 DP 口或业务 VLAN。首次 Web 登录用https://管理地址浏览器证书告警在实验环境可以临时跳过生产环境按证书规范处理。配置管理面时把这几项一次写清# 管理口地址 interface GigabitEthernet1 description OOB-MGMT ip address 10.10.10.10 255.255.255.0 no shutdown exit # 管理默认网关 ip default-gateway 10.10.10.1 # 确认 HTTP/HTTPS 服务 ip http server ip http secure-server ip http authentication localip http authentication local让 Web 登录走本地用户库如果现场用 AAA改成对应认证列表。管理口地址不要和 DP 口业务地址重叠ip default-gateway只对管理面生效业务转发靠 VLAN 和路由。Web 第一次登录后如果页面提示会话失效重新登录一次再看 AP 关联状态这是 C9800 初始配置后的常见动作不是玄学。3.3 DP 口重配置、VLAN 与 HA 的第一次落地DP 口是 C9800-40 的业务数据口初始配置后经常需要重配。先看接口现状再决定做二层 Trunk 还是三层路由口。集中式部署常见做法是 DP 口做 Trunk接核心交换机VLAN 在控制器上建好Policy Profile 里映射 VLAN如果现场用 FlexConnect 本地转发DP 口和站点侧 VLAN 要两头对齐。# 先看接口现状确认接口编号和当前模式 show ip interface brief show interfaces status # 示例把 DP 口配成 Trunk实际接口名以设备为准 interface TenGigabitEthernet1/0/1 description DP-to-Core switchport switchport mode trunk switchport trunk allowed vlan 100,200,300 no shutdown exit # 建业务 VLAN vlan 100 name WLAN-CORP vlan 200 name WLAN-GUEST vlan 300 name WLAN-IOT exitswitchport mode trunk是二层承载多 VLAN 的常见做法switchport trunk allowed vlan只放行需要的 VLAN不要图省事写allVLAN 名称是给人看的真正映射靠 VLAN ID。若 DP 口做三层则改用no switchport和ip address但集中式 WLAN 的客户端 VLAN 通常还是二层 Trunk 更直观。HA 第一次落地先确认两台控制器管理地址、Redundancy Port 直连、软件维护版本一致再配redundancy和mode sso不要在主设备上配一半就去配备机。4. 配置对象模型落地WLAN Profile、Policy Tag 与 Site Tag 的对应关系4.1 先把对象关系画在纸上Profile 是模板Tag 是绑定C9800 的配置逻辑和老的 AireOS 不一样最怕“建了 WLAN 但没绑 Tag”。WLAN Profile 定义 SSID、安全和广播域Policy Profile 定义 VLAN、ACL、QoS、客户端策略RF Profile 定义 2.4G/5G 的速率、信道和 RRMAP Join Profile 定义 AP 加入参数Flex Profile 定义远程站点行为Site Tag 把 AP 归到站点Policy Tag 把 WLAN 和 Policy Profile 绑一起RF Tag 把 RF Profile 绑到 AP。AP 加入时是“AP 找 Site TagSite Tag 找 Policy TagPolicy Tag 找 WLAN 和 Policy Profile”这条链断一环SSID 就出不来。对象作用常见错法WLAN ProfileSSID、安全、广播只建 WLAN 不绑 Policy TagPolicy ProfileVLAN、ACL、QoSVLAN 没在 DP 口放行RF Profile2.4G/5G 射频参数2.4G 和 5G 用同一个 Profile 硬套AP Join ProfileAP 加入和认证忘记指定到 Site TagFlex ProfileFlexConnect 本地转发站点 VLAN 与 Policy VLAN 不一致Site TagAP 归属站点AP 没打 Site Tag默认站点接走Policy TagWLAN 与 Policy 绑定绑了 WLAN 但没绑 Policy ProfileRF TagRF Profile 绑定只建 RF Tag 没应用到 AP我一般先在纸上画三列左边 Site Tag中间 Policy Tag右边 WLAN/Policy/RF Profile。画完再进 CLI比在 Web 页面里点来点去稳。4.2 建 WLAN/Policy/RF Profile一条 SSID 下发前的最小集合最小可跑集合是一个 WLAN Profile、一个 Policy Profile、一个 Policy Tag、一个 Site Tag、一个 AP Join Profile、一个 RF Tag 和对应 RF Profile。下面以企业内网 SSID 为例VLAN 100WPA2 PSK 先做连通性验证生产环境再换 802.1X。# 1. 建 WLAN Profile先只做最小安全配置 wlan CORP-WLAN 1 CORP-WLAN ssid CORP-WLAN security wpa psk set-key ascii 0 MyPskPassphrase no shutdown exit # 2. 建 Policy Profile映射 VLAN 100 wireless profile policy PP-CORP vlan 100 no shutdown exit # 3. 建 RF Profile2.4G 和 5G 分开 ap dot11 24ghz rf-profile RF-2G channel width 20 exit ap dot11 5ghz rf-profile RF-5G channel width 40 exit # 4. 建 AP Join Profile ap profile AP-JOIN exit # 5. 建 Policy Tag把 WLAN 和 Policy Profile 绑起来 wireless tag policy PT-CORP wlan CORP-WLAN policy PP-CORP exit # 6. 建 Site Tag指定 AP Join Profile wireless tag site ST-FLOOR1 ap-profile AP-JOIN flex-profile default-flex-profile exit # 7. 建 RF Tag绑定 2.4G/5G RF Profile wireless tag rf RT-DEFAULT 24ghz-rf-profile RF-2G 5ghz-rf-profile RF-5G exitwlan CORP-WLAN 1 CORP-WLAN里第一个是配置名第二个是 WLAN ID第三个是 SSIDsecurity wpa psk只适合临时验证正式环境换成 802.1X 或更合适的认证方式wireless profile policy下的vlan 100必须和 DP 口放行的 VLAN 一致ap dot11 24ghz rf-profile和5ghz分开建不要用一个 RF Profile 硬套双频wireless tag policy里wlan ... policy ...是绑定关系少一个都下发不了。建完后用show wireless profile policy summary、show wireless tag policy summary、show wireless tag site summary逐项核对。4.3 用 CLI 做一遍可回滚的配置快照C9800 的配置对象多改错一个 Tag 绑定排查半天。我的习惯是每做完一组对象就存一次快照至少保存 running-config 和关键 show 输出。CLI 下可以用show running-config导到本地也可以用copy running-config startup-config先落盘。更稳的是把关键对象单独抓出来出问题时对比。# 保存配置 copy running-config startup-config # 抓关键对象快照重定向到本地或复制到 TFTP show running-config bootflash:snapshot-before-wlan.txt show wireless profile policy summary show wireless tag policy summary show wireless tag site summary show wireless tag rf summary show ap summarycopy running-config startup-config是落盘重启不丢show running-config bootflash:...是把当前配置存成文本快照方便和改动后对比后面几条show wireless ... summary是对象绑定关系的黑匣子出问题时先看这几条比翻整份配置快。快照不要只存 WLANPolicy Tag 和 Site Tag 的绑定也要存很多回滚失败就是少存了 Tag。5. 避坑与排查C9800-40 装完后最常见的五个翻车点5.1 AP 不上线先看 join profile 再看 DHCP 和 CAPWAP现象AP 上电后指示灯一直找控制器show ap summary里看不到 AP或者 AP 状态停在Downloading、Joining。原因常见有三类一是 AP 没拿到管理网段 IP 或 DHCP Option 43 没指到 C9800二是 Site Tag 或 AP Join Profile 没绑对AP 找不到加入策略三是 AP 和控制器之间 CAPWAP 路径被 ACL 或防火墙挡了。C9800-40 的 AP Join Profile 不是建了就生效必须通过 Site Tag 应用到 AP。解决先查 AP 的 DHCP 地址和 Option 43再查控制器侧show ap summary、show wireless tag site summary、show ap config general。如果 AP 能 ping 通控制器管理地址但不上线重点看 CAPWAP 的 UDP 5246/5247 和中间 ACL。我一般先在 AP 所在 VLAN 里抓一次 DHCP再在控制器上开 debug别一上来就重启 AP。5.2 Web 登录被踢出初始配置后的重登录不是玄学现象初始配置完成浏览器登录 Web 管理页面刚点两下就退回登录页或者提示会话失效。原因C9800 初始配置后 Web 服务会重新加载会话旧会话失效是正常行为另一个常见原因是管理口地址变更后浏览器还缓存旧地址或者 HTTPS 证书重新生成导致会话不匹配。解决关掉旧标签页用https://新管理地址重新登录清一次浏览器缓存或换无痕窗口确认ip http secure-server和ip http authentication local没被覆盖。如果仍然被踢查show ip http server session或看 AAA 认证日志。这个问题听着像玄学实际多半是会话和地址切换不是设备故障。5.3 HA 状态异常与 DP 口无流量冗余口和业务口别接反现象两台 C9800-40 配了 HAHA LED 状态不对show redundancy显示不同步或者 DP 口 up 了但客户端没流量。原因Redundancy Port 接到业务交换机、两台控制器软件维护版本不一致、HA 心跳 VLAN 不通都会导致 HA 异常。DP 口无流量则常见于 Trunk 没放行客户端 VLAN或者 Policy Profile 里的 VLAN 和 DP 口不一致。解决先确认 Redundancy Port 直连对端、HA LED 和show redundancy状态一致两台设备的管理地址、主机名、软件版本按 HA 要求对齐DP 口用show interfaces trunk看放行 VLAN再对 Policy Profile 的 VLAN。HA 不是 11 电源别把电源冗余当 HA 验证。5.4 FlexConnect 本地转发不通VLAN 和策略 ACL 两头对现象总部 SSID 能通分支站点 FlexConnect 本地转发客户端拿不到地址或上不了网。原因Flex Profile 和 Site Tag 没绑对分支 AP 还在集中转发或者本地 VLAN 没在分支交换机放行Policy Profile 的 ACL 把流量挡了。解决确认 Site Tag 里引用了正确的 Flex ProfileAP 侧show capwap client config看本地转发状态分支交换机放行对应 VLANPolicy Profile 的 VLAN 和 ACL 按站点核对。FlexConnect 场景下控制器管策略站点管 VLAN 和端口两头都要对。5.5 配置回滚失败快照里少存了 tag 绑定现象改错配置后想回滚发现 WLAN 回来了但 SSID 还是不下发或者 AP 还是不上线。原因只备份了 WLAN Profile没备份 Policy Tag、Site Tag、RF Tag 的绑定关系或者回滚后没有重新应用 Tag。解决每次改动前存show running-config和四类 tag summary回滚后逐条核对show wireless tag policy summary、show wireless tag site summary、show wireless tag rf summary必要时重新绑定 Tag 再保存。血泪经验是C9800 的配置不是单个 WLAN 的事Tag 才是把对象串起来的那根线。6. 验证跑通C9800-40 上线前我会强制走一遍的 6 个检查装完不等于跑通。我的验证顺序固定为控制面状态、AP 加入、客户端关联、VLAN 转发、HA/DP 冗余、配置快照。先跑三条命令看底子# 控制面和 AP 状态 show redundancy show ap summary show wireless client summary # 数据面与绑定关系 show interfaces trunk show wireless tag policy summary show wireless tag site summaryshow redundancy看 HA 是否 SSOshow ap summary看 AP 数量和状态show wireless client summary看客户端是否关联到正确 WLANshow interfaces trunk看 DP 口放行 VLAN两条 tag summary 看绑定关系有没有断。再补一张验证表逐项打勾检查项通过标准失败先看AP 加入AP 状态为 RegisteredDHCP、Option 43、CAPWAP ACL客户端关联客户端在正确 SSID 和 VLANPolicy Profile VLAN、认证方式业务转发客户端能拿地址并访问网关DP Trunk、VLAN、ACLHA 状态show redundancy正常Redundancy Port、版本、心跳DP 口Trunk 放行 VLAN 正确show interfaces trunk回滚快照running-config 和 tag summary 齐全快照是否少存绑定最后我会把show running-config和四类 tag summary 再存一次命名带日期下一次改配置前先对比。从那以后我每次上 C9800-40都强制先核接口、再存快照、最后按这张表走一遍不靠面板灯猜状态。希望帮到你。本文还有配套的精品资源点击获取