Cisco Aironet (modelos 802.11n): como colocar um ssid WEP128 e um ssid WPA / WPA2 no mesmo rádio?

Question

Estou usando um Cisco AIR-1252AG (IOS 12.4 (10b) JDA3) e devo fornecer um WEP128 wlan (para compatibilidade com dispositivos embarcados mais antigos, isso irá para um firewall protegido) e um WPA2 (WPA1 esteja ok também) wlan no mesmo rádio 2.4GHz. Ambos com chaves pré compartilhadas.

Embora eu possa definir opções de WPA no SSID, a criptografia WEP parece se aplicar a toda a interface de rádio. Eu construí a configuração WEP usando o assistente "express security" (lol) e, em seguida, continuei a adicionar o WPA. O WPA já está trabalhando no rádio de 5GHz (eu não preciso disso lá), mas eu preciso também suportar dispositivos de 2.4GHz, e não consigo nem entender se isso deve ser possível!

Isso provavelmente se aplicará a muitos pontos de acesso Cisco AIR * (mas alguns deles são limitados a WPA1 e / ou a um único rádio).

Configuração relevante até agora:

dot11 ssid my_wpa_network
   authentication open 
   authentication key-management wpa version 2
   guest-mode
   infrastructure-ssid optional
   wpa-psk ascii 7 [...cut...]
!
dot11 ssid my_wep_network
   authentication open 
!
interface Dot11Radio0
 encryption key 1 size 128bit 7 [...cut...] transmit-key
 encryption mode wep mandatory
 ssid my_wep_network
 [... other stuff here ...]
!
interface Dot11Radio1
 encryption mode ciphers aes-ccm 
 ssid my_wpa_network
 [... other stuff here ...]

Eu quero obter um ssid WEP com psk no Radio0 (não transmitido) e um ssid WPA2 (ou WPA + WPA2 ou WPA) com psk em ambos os Radio0 e Radio1 (transmitidos).

    

Answer 1

Eu acredito que você tem que usar VLANs para configurar diferentes tipos de autenticação / criptografia para SSIDs separados no mesmo rádio. Por exemplo

dot11 ssid my_wpa_network
   vlan 1
   authentication open 
   authentication key-management wpa version 2
   guest-mode
   infrastructure-ssid optional
   wpa-psk ascii 7 [...cut...]
!
dot11 ssid my_wep_network
   vlan 2
   authentication open 
!
interface Dot11Radio0
 encryption vlan 1 mode ciphers aes-ccm
 encryption vlan 2 key 1 size 128bit 7 [...cut...] transmit-key
 encryption vlan 2 mode wep mandatory
 ssid my_wep_network
 ssid my_wpa_network
 [... other stuff here ...]
!
interface Dot11Radio0.1
  encapsulation dot1q 1 native
  bridge-group 1
!
interface Dot11Radio0.2
  encapsulation dot1q 2
  bridge-group 2
!
interface Dot11Radio1
 encryption vlan 1 mode ciphers aes-ccm 
 ssid my_wpa_network
 [... other stuff here ...]
!
interface Dot11Radio1.1
  encapsulation dot1q 1 native
  bridge-group 1
!
interface FastEthernet0.1
  encapsulation dot1q 1 native
  bridge-group 1
!
interface FastEternet0.2
  encapsulation dot1q 2
  bridge-group 2

Se você não estiver usando VLANs no lado com fio, descobri que é possível ajustar a instrução do grupo de ponte para as outras subinterfaces de rádio para refletir o grupo de pontes nativas 1 e fazer com que todas se conectem a uma única LAN de camada 2, mas não é uma configuração suportada pela Cisco.

    

Answer 2

Você pode ter vários SSIDs em um único rádio, mas parece que está faltando algumas configurações de VLAN. Então, supondo que você queira fazer o trunk de múltiplas VLANs, será algo como:

dot11 ssid my_wpa_network
   vlan 111
   authentication open 
   authentication key-management wpa version 2
   guest-mode
   infrastructure-ssid optional
   wpa-psk ascii 7 [...cut...]
!
dot11 ssid my_wep_network
   vlan 666
   authentication open 
!

interface Dot11Radio0
 no ip address
 no ip route-cache
 encryption vlan 666 key 1 size 128bit 7 [...cut...] transmit-key
 encryption vlan 666 mode wep [..cut..]
 encryption vlan 111 mode ciphers aes-ccm 

interface Dot11Radio0.1
 encapsulation dot1Q 666
 bridge-group 666
 encryption key 1 size 128bit 7 [...cut...] transmit-key
 encryption mode wep mandatory
 ssid my_wep_network
 [... other stuff here ...]
!
interface Dot11Radio0.2
 encapsulation dot1Q 111
 bridge-group 111
 encryption mode ciphers aes-ccm 
 ssid my_wpa_network
 [... other stuff here ...]
!
interface FastEthernet0.1
 encapsulation dot1Q 666
 bridge-group 666
 [... other stuff here ...]
!
interface FastEthernet0.2
 encapsulation dot1Q 111
 bridge-group 111
 [... other stuff here ...]