素材源

在預設之下，所有AP型態都是Campus AP，在同一場點內的AP與Controller之間的網路皆在企業自身的掌握之下，因此AP與Controller之間的溝通多半不會面臨到NAT與防火牆等狀況，就能很順暢地建立起來。

Campus AP的優勢就是部署簡單，兩個關鍵：AP拿到的IP與Controller的網路有通。所有流量都從Controller出來，因此能在Controller上做基本防火牆的功能，SSID使用的VLAN也只要與Controller有通就好。

但在AP與Controller分別位於不同的區域網路，像是AP部署在分部(Branch)或是零散的小型場點，Controller在總部。兩者間必須通過網際網路的情況，此時Campus AP型態會因為遇到NAT無法建立起來，此時使用Remote AP型態，透過NAT-T，在防火牆規則上只需要開放一個Port(UDP 4500)，讓Remote AP與Controller建立溝通。

Remote AP的優勢是對於環境容忍度較大，Remote AP能像是獨立AP運作，在分部可能沒有配置網管人員或是技術上不足導致維護不易，使用Remote AP能降低人力需求。

如何運作

環境要求與建議：
1. DHCP Server能派發可上外網的IP。
2. AP以DHCP取得IP。
3. 防火牆開放規則外網到Controller的UDP 4500或是Port Mapping。
4. 不要啟用CPsec。

Remote AP開機之後，會以NAT-T(UDP 4500)去與Controller建立溝通。

Controller會檢查Remote AP的MAC Address是否在Allowlist中。不在就會失敗。

如果有啟用「CPsec」，Controller會去檢查AP帶的憑證或是preshare key通過後去檢查後AP的帳號是否能通過驗證。
如果沒有啟用「CPsec」，Controller不去檢查AP帶有的訊息。

Controller分配Remote AP一個內部的IP，如果沒有建立內部IP Pool，Remote AP會因為娶不到內部IP而無法與Controller連線。

Remote AP取得內部IP，透過內部IP建立與Controller的Tunnel。能在Web UI上看到Remote AP的IP即為其內部IP。

前準備

• Allowlist
• Inner IP Pool
• UDP 4500

Allowlist

※在8.7版以前為whitelist。

在 Managed Network > Configuration > Access Points > Allowlist > Remote AP Allowlist，新增Remote AP的資訊。

Inner IP Pool

MC&MD Cluster架構，Remote AP的Authentication method為Certificate

在Managed Conductor > Service > Cluster > Controller Cluster RAP Pool新增IP Pool。

MC&MD 架構，Remote AP的Authentication method為Pre-shared Key

在 Managed Network > Configuration > Services > General VPN 新增 IP Pool

在 Managed Network > Configuration > Services > Shared Secrets 新增 IKE Pre-shared Key

(可選)在認證伺服器，新增給AP登入用的account。

Standalone MD架構，Remote AP的Authentication method為Certificate

在 Mobility Controller > Configuration > Services > General VPN 新增 IP Pool

設定 Remote AP

Authentication method為Certificate

CPSec不啟用

Controller不會檢查AP Certificate，AP MAC Address只要在allowlist內就放行。

設定難度較低，建議初學者不啟用CPSec。

CPSec啟用

Controller會去檢查AP Certificate的合法性。

在MD Cluster架構下，會去取得 Controller Cluster RAP Pool 中的IP。

其他架構若對於AP Certificate不熟悉，設定難度較高，不建議初學者這樣佈建。

Authentication method為Pre-shared Key

IKE PSK輸入Shared Secrets的設定。

User credential assignment的選項可以依AP產生帳密，也可以手動指派帳密。

在 Configuration > System > Profiles > WirelessLAN > VPN Authentication > default-rap > Server Group，可以更改Remote AP的帳密要去哪個Server Group做驗證。

基本除錯

Remote AP的真實IP

在Dashboard，啟用「Outer IP」的欄位。

Remote AP建立溝通的相關LOG

在MD上，Diagnostics > Logs > Process Logs ， 選擇「Station Management」

在MD上，Diagnostics > Logs > Process Logs ， 選擇「Security logs」、「that includes」、「SA」

在MD上，Diagnostics > Logs > Process Logs ， 選擇「ALL」、「that includes」、「stm」

進階設定

Split-Tunnel的使用

SSID的Split-Tunnel Mode是可以讓目標流量透過route src-nat轉換成AP IP，藉此讓流量在當地傳送。

至於需要當地轉送的目標流量是怎麼選擇的，全看Role的設定，全看ACL怎麼規劃。

本質上是Tunnel mode，連IP取得也是透過控制器去取得，差異點是誰做第一個路由。Split-Tunnel是AP，Tunnel則是控制器。

SSID與Controller失聯不斷線

Client的流量需要不經過Controller，然後一般的SSID預設是只有在與Controller連線才會發送，需要改成總是發放該SSID。

SSID的Forwarding Mode使用Bridge Mode。

在 Configuration > System > Profiles > Wireless LAN > Virtual AP中，選擇SSID。

在 Advanced 中，將Remote-AP Operation改為always。此設定讓Remote AP與Controller連線或失連都發送該SSID。

搭配Local Mobility Switch(LMS)

Remote AP會去哪個控制器報到？

順序最優先的是LMS，接著是LMS Backup，然後才輪到AP Provision Controller IP與AP Console的Master。

在 Configuration > System > Profiles > AP > AP system中，可以新建一個Profile。

建議修改LMS之前，都先創立一個AP System Profile，然後去AP Group套用該Profile。

在 Configuration > AP Groups > AP Group > LMS中雖然可以直接修改，但因為預設是套用名為 default 的 AP System Profile，因此修改是改default的設定值，可能會導致全部AP Group都被意外改掉。