Aula 21: Wireless com Cisco — WLC e configuração de APs

O Wireless com Cisco representa muito mais do que simplesmente conectar dispositivos sem cabos. Quando falamos de infraestrutura corporativa, a arquitetura baseada em WLC (Wireless LAN Controller) e Access Points gerenciados é o padrão de mercado para redes de qualquer porte — desde escritórios com dezenas de usuários até campi com milhares de dispositivos simultâneos. Nesta aula, vamos mergulhar profundamente nesse ecossistema, entendendo como o WLC centraliza o plano de controle, como os APs se registram e como configurar WLANs corporativas de forma segura e escalável.

Se você acompanhou as aulas anteriores do curso Cisco IOS — Do Zero ao Avançado, já domina conceitos de VLANs, roteamento, switching e segurança de perímetro. Agora é o momento de estender esse conhecimento para o domínio sem fio. O Wireless com Cisco não opera de forma isolada: ele se integra diretamente com a infraestrutura de switching (para transporte de VLANs e PoE) e com serviços de autenticação (RADIUS, TACACS+, certificados digitais). Entender essas integrações é o que diferencia um profissional que apenas “liga um AP” de um engenheiro de infraestrutura completo.

Ao longo desta aula, você será guiado por um fluxo progressivo: primeiro, vamos solidificar os fundamentos da arquitetura centralizada (o protocolo CAPWAP, o modelo de split-MAC e os modos de operação dos APs). Em seguida, partiremos para a prática completa: configuração inicial de um WLC, criação de interfaces e VLANs, definição de WLANs com diferentes políticas de segurança, registro de Access Points e verificação de clientes conectados. Cada comando será mostrado em sua forma exata, com a saída esperada, garantindo que você possa reproduzir todo o cenário em laboratório.

Na JRT Technology Solutions, implementamos soluções de Wireless com Cisco diariamente em clientes dos setores financeiro, educacional e industrial. Nossos especialistas utilizam exatamente os procedimentos que você verá nesta aula — desde o desembalar de um WLC 2504/3504 ou 9800-CL até a validação final de cobertura com APs 3702i, 2802i e modelos Catalyst 9100. O material foi construído com base em cenários reais de produção, incluindo os erros mais comuns que encontramos em campo e as soluções que aplicamos.

Ao final desta aula, você será capaz de: planejar uma rede wireless centralizada, executar a configuração completa de um WLC do zero, criar e associar WLANs a VLANs específicas, configurar WPA2-Personal e WPA2-Enterprise com RADIUS, registrar APs no controlador, verificar a saúde da rede sem fio com comandos de troubleshooting e aplicar boas práticas de segurança e performance. Prepare seu laboratório, conecte o cabo de console e vamos começar.

O que você vai aprender nesta aula

• Compreender a arquitetura Wireless com Cisco: Controlador (WLC), Access Points (LWAPP/CAPWAP) e o protocolo de comunicação entre eles
• Diferenciar os modos de operação dos Access Points Cisco e saber quando utilizar cada um (Local, FlexConnect, Monitor, Sniffer, Rogue Detector, Bridge, SE-Connect)
• Executar a configuração inicial completa de um WLC via console, incluindo usuários administrativos, interfaces de gerenciamento e parâmetros de rede
• Criar e configurar interfaces dinâmicas no WLC, mapeando-as para VLANs específicas da infraestrutura
• Configurar WLANs completas com SSID, segurança WPA2-PSK e WPA2-Enterprise (802.1X) com servidor RADIUS
• Registrar Access Points no controlador, definir localização, modo de operação e controlador primário
• Verificar o funcionamento da rede sem fio com comandos de diagnostic show e interpretar as saídas
• Identificar e resolver os erros mais comuns em implantações de Wireless com Cisco
• Aplicar boas práticas de segurança, performance e alta disponibilidade no ambiente wireless

Pré-requisitos e Ambiente

Antes de iniciar esta aula, certifique-se de que você possui os seguintes componentes e conhecimentos. Não pule esta seção: a experiência em nossos treinamentos na JRT Technology Solutions mostra que a maioria das falhas em laboratório ocorre por infraestrutura mal preparada, não por desconhecimento dos comandos.

• Conhecimento prévio: VLANs e trunking (IEEE 802.1Q), endereçamento IP, noções de DHCP e DNS, fundamentos de segurança (RADIUS, PSK, certificados) e operação básica de switches Cisco IOS — todos cobertos nas aulas anteriores do curso
• WLC físico ou virtual: você pode utilizar um WLC 2504, 3504, 5508 ou um vWLC (Virtual Wireless LAN Controller) ou Catalyst 9800-CL. Os comandos AireOS apresentados nesta aula são compatíveis com as versões 8.x
• Access Points: pelo menos 2 APs leves (Lightweight), como 2702i, 3702i, 2802i ou 9105AXI. Os APs autônomos (Autonomous) devem ser convertidos para modo leve (Lightweight) antes de se registrarem no WLC
• Switch de acesso: um switch Cisco com suporte a PoE (Power over Ethernet) para alimentar os APs, configurado com as VLANs de gerenciamento e de clientes
• Servidor DHCP: para fornecer endereços IP aos APs (opção 43 configurada com o IP do WLC) e aos clientes sem fio
• Servidor RADIUS: para cenários WPA2-Enterprise (802.1X); você pode usar Cisco ISE, Microsoft NPS, FreeRADIUS ou ClearBox RADIUS
• Console cable e software de terminal: para acesso direto ao WLC via porta console (PuTTY, Tera Term, SecureCRT, minicom)
• Topologia de laboratório: a Figura conceitual abaixo descreve o cenário completo que configuraremos nesta aula

Nosso laboratório de referência utiliza a seguinte topologia: um WLC 3504 conectado à porta GigabitEthernet0/1 do switch principal de distribuição, na VLAN 10 (gerenciamento). Dois Access Points 3702i conectados a portas de acesso de um switch PoE, inicialmente na VLAN 10 também. O servidor DHCP atende a VLAN 10 com a opção 43 apontando para o IP do WLC. As VLANs 20 (Funcionários) e 30 (Visitantes) serão criadas no switch e no WLC para atender aos dois perfis de WLAN. O servidor RADIUS está na VLAN 10, no endereço 192.168.10.5.

Se você utiliza o Catalyst 9800-CL (a plataforma de controladores baseada em IOS-XE), a CLI é diferente — mais próxima do IOS tradicional que você já conhece das aulas anteriores. No entanto, os conceitos de WLAN, policy tags, site tags e RF profiles se aplicam de forma análoga. Ao longo desta aula, faremos menções específicas ao 9800 quando relevante, mas o foco principal será a plataforma AireOS (2504/3504/5508/vWLC), que ainda é amplamente utilizada em produção e em certificações.

Fundamentos do Wireless com Cisco — Arquitetura WLC e CAPWAP

O Wireless com Cisco corporativo se baseia em uma arquitetura centralizada, onde a inteligência da rede reside no controlador, não nos Access Points. Essa abordagem contrasta com o modelo autônomo, onde cada AP opera de forma independente com sua própria configuração, firmware e políticas de segurança. No modelo centralizado, os APs são dispositivos “leves” (Lightweight Access Points ou LWAPs), responsáveis apenas pela transmissão e recepção dos quadros de rádio, enquanto o WLC toma todas as decisões de política, autenticação, roaming, gerenciamento de RF e segurança.

Essa separação de responsabilidades é formalizada pelo conceito de Split-MAC. Na arquitetura Split-MAC, as funções do protocolo 802.11 são divididas entre o AP e o WLC. O AP fica responsável pelas funções de tempo real, como Beacon generation, Probe response, ACK frames, RTS/CTS, criptografia/descriptografia de quadros no hardware e controle de potência e canal. O WLC assume as funções não-tempo-real, como autenticação 802.1X, associação de clientes, roaming entre APs, gerenciamento de chaves, QoS e aplicação de políticas. Isso permite que milhares de APs sejam gerenciados por um único controlador, com consistência total de configuração.

O protocolo que viabiliza essa comunicação entre AP e WLC é o CAPWAP (Control and Provisioning of Wireless Access Points), definido na RFC 5415. O CAPWAP encapsula todo o tráfego de gerenciamento em túneis UDP, utilizando duas portas: UDP 5246 para o canal de controle (comandos, telemetria, firmware) e UDP 5247 para o canal de dados (tráfego encaminhado do AP para o WLC). Antes do CAPWAP, a Cisco utilizava o protocolo proprietário LWAPP (Lightweight Access Point Protocol), que operava nas portas UDP 12222 e 12223. Você ainda pode encontrar referências a LWAPP em documentação antiga e em exames de certificação.

Quando um AP leve é energizado, ele inicia um processo de descoberta para encontrar o WLC. Esse processo segue uma ordem determinística: primeiro, o AP tenta resolver o nome CISCO-CAPWAP-CONTROLLER.localdomain via DNS; em seguida, verifica a opção 43 do DHCP (que pode conter o IP do WLC diretamente ou um endereço de servidor DNS); depois, tenta broadcast na rede local; e, por fim, utiliza uma lista de endereços configurados estaticamente na memória do AP, caso já tenha se registrado anteriormente. Compreender essa sequência é fundamental para resolver problemas de APs que não se juntam ao controlador — um dos erros mais comuns que abordaremos adiante.

Uma vez que o AP descobre o WLC, ele estabelece uma sessão CAPWAP, baixa o firmware adequado (caso necessário) e recebe toda a configuração de rádio, canais, potência e WLANs de forma automática. A partir desse momento, qualquer alteração feita no WLC reflete imediatamente em todos os APs associados. O AP mantém um túnel CAPWAP permanente com o WLC, e todo o tráfego de clientes pode ser encaminhado diretamente ao controlador (modo centralizado/local) ou terminado localmente na rede do AP (modo FlexConnect). Essa flexibilidade permite adaptar a arquitetura a diferentes cenários, desde escritórios centrais até filiais remotas com links WAN limitados.

Modos de Operação dos Access Points Cisco no Wireless com Cisco

Os Access Points Cisco suportam diferentes modos de operação, cada um projetado para uma finalidade específica na rede. A escolha correta do modo influencia diretamente a arquitetura de encaminhamento de tráfego, a capacidade de monitoramento e as opções de conectividade para cenários especiais. Vamos explorar cada modo em detalhes e, em seguida, consolidar as informações em uma tabela de referência rápida.

O modo Local é o padrão e o mais utilizado em escritórios centrais e campi. Nesse modo, o AP cria um túnel CAPWAP com o WLC e encaminha todo o tráfego de clientes de volta ao controlador, que então o encaminha para a rede com fio. Isso centraliza completamente o encaminhamento, permitindo que o WLC aplique políticas de segurança, QoS e roteamento de forma consistente. O modo Local depende de conectividade contínua com o WLC — se o túnel CAPWAP cair, o AP deixa de servir clientes, a menos que esteja configurado com Fallback Local (conhecido como FlexConnect com fallback em versões mais recentes).

O modo FlexConnect (anteriormente chamado de H-REAP) foi projetado para filiais remotas com links WAN limitados ou instáveis. Nesse modo, o AP pode operar mesmo sem conectividade ao WLC: ele autentica clientes localmente e encaminha o tráfego diretamente na VLAN local, sem passá-lo pelo túnel CAPWAP. O WLC continua sendo o ponto central de configuração, mas o AP executa funções de autenticação e switching localmente. O FlexConnect suporta VLAN-based switching, onde diferentes WLANs podem ser mapeadas para VLANs locais na filial, e grupos de FlexConnect, que permitem aplicar configurações semelhantes a múltiplos APs simultaneamente.

O modo Monitor é dedicado ao monitoramento de RF. APs nesse modo não servem clientes; eles passam todo o tempo analisando o espectro, detectando interferências, identificando Rogue APs (não autorizados) e alimentando o sistema de RRM (Radio Resource Management) com dados de cobertura e ocupação de canais. Grandes implantações frequentemente posicionam APs em modo Monitor de forma estratégica para fornecer visibilidade de segurança e performance sem afetar a operação normal dos APs de serviço.

O modo Sniffer é utilizado para captura de tráfego sem fio para análise e troubleshooting. Nesse modo, o AP captura quadros 802.11 em um canal específico e os encaminha para um host de análise (como um laptop rodando Wireshark) através de uma porta TCP. O modo Rogue Detector é um modo especial em que o AP se conecta à rede com fio e monitora o tráfego em busca de dispositivos não autorizados que estejam conectados à infraestrutura. O modo SE-Connect é utilizado por equipamentos de análise como o Cisco Spectrum Expert para realizar varredura de espectro completa. Por fim, o modo Bridge (ou Mesh) permite que dois APs se comuniquem sem fio para estender a cobertura em locais onde cabeamento não é viável, como galpões, estacionamentos ou cenários externos.

Na prática de Wireless com Cisco, a grande maioria das implantações utiliza os modos Local e FlexConnect. Os demais modos são ferramentas de apoio para segurança e diagnóstico. Se você está projetando uma rede para um campus com conectividade confiável, o modo Local é a escolha natural. Para redes de filiais com links de WAN limitados, o FlexConnect oferece a resiliência necessária. Na dúvida, comece com o modo Local e avalie a arquitetura conforme os requisitos de cada site.

Passo a Passo — Wireless com Cisco: Configuração Inicial do WLC

Vamos partir para a prática. A configuração inicial do WLC é executada via console, utilizando o Wizard de Configuração que é apresentado automaticamente na primeira inicialização ou após um reset de fábrica. Este procedimento estabelece os parâmetros fundamentais: nome do controlador, credenciais administrativas, endereçamento da interface de gerenciamento e configuração da interface virtual. Em nossos projetos na JRT Technology Solutions, sempre executamos este wizard antes de qualquer integração com a rede de produção, pois ele define a base sobre a qual toda a configuração subsequente será construída.

Conecte o cabo de console à porta CONSOLE do WLC e abra seu terminal com as configurações 9600 baud, 8 data bits, sem paridade, 1 stop bit e sem flow control. Ao energizar o equipamento, aguarde o boot completo. Se o WLC já tiver uma configuração anterior, você pode restaurá-lo ao padrão de fábrica usando o comando clear controller no modo de configuração — mas tenha cuidado, pois isso apaga todo o histórico de configurações.

Abaixo está a sequência completa do wizard, com as respostas que utilizaremos em nosso laboratório. Cada prompt é mostrado exatamente como aparece no terminal, seguido dos valores digitados. Leia cada linha com atenção, pois alguns prompts possuem valores padrão entre colchetes que podem ser aceitos simplesmente pressionando Enter.

Welcome to the Cisco Wizard Configuration Tool
Use the '-' character to backup
Would you like to terminate autoinstall? [yes]: yes

Enter Administrative User Name (24 characters max): admin
Enter Administrative Password (3 to 24 characters max): C1sc0@dm1n!2026
Re-enter Administrative Password: C1sc0@dm1n!2026

System Name [Cisco_xx:xx:xx]: WLC-PRINCIPAL
Enter Country Code list (enter 'help' for a list of countries) [US]: BR
Configure a NTP server now? [YES][no]: yes
Enter the NTP server's IP address: 200.160.7.186
Enter a polling interval between 3600 and 604800 secs: 3600

Management Interface IP Address: 192.168.10.10
Management Interface Netmask: 255.255.255.0
Management Interface Default Router: 192.168.10.1
Management Interface VLAN Identifier (0 = untagged): 10
Management Interface Port Num [1 to 8]: 1
Management Interface DHCP Server IP Address: 192.168.10.2

Would you like to configure the Virtual Interface? [YES][no]: yes
Virtual Interface IP Address: 1.1.1.1
Virtual Interface Name [VIRTUAL]: VIRTUAL

Would you like to configure the Service Interface? [YES][no]: no

Would you like to allow static IP addresses for the APs? [YES][no]: yes
Would you like to enable LAG (Link Aggregation)? [YES][no]: no

Enable 802.11a? [YES][no]: yes
Enable 802.11b? [YES][no]: yes
Enable 802.11g? [YES][no]: yes

Auto RF? [YES][no]: yes

Configuring the system... Please wait.
System configuration completed successfully.

Cada parâmetro do wizard desempenha um papel crucial. O nome de usuário administrativo e a senha definem as credenciais de acesso via console, SSH e interface web — em produção, utilize senhas robustas e armazene-as em cofre de senhas corporativo. O System Name identifica o controlador na rede e em syslogs; utilizamos uma nomenclatura padronizada que inclui a função e o local (por exemplo, WLC-PRINCIPAL, WLC-FILIAL-MG). O Country Code (BR para Brasil) é crítico: ele define o conjunto de canais de rádio e potências permitidas pela legislação local. Configurar um país incorreto pode resultar em operação ilegal de frequências — nunca negligencie esse campo.

A interface de gerenciamento é o ponto de acesso primário ao WLC: ela recebe tráfego de gerenciamento (SSH, HTTPS, SNMP, syslog) e também transporta o tráfego CAPWAP em implantações onde o AP-manager não é configurado separadamente. Em nosso cenário, usamos a VLAN 10, IP 192.168.10.10, máscara /24 e gateway 192.168.10.1. O DHCP Server IP Address informado no wizard é opcional e pode ser ajustado depois — trata-se do servidor DHCP que atende a rede de gerenciamento. A interface virtual é um endereço IP fictício (tradicionalmente 1.1.1.1) utilizado para funções de web authentication e para o encaminhamento de DHCP relay; ela deve ser sempre configurada, mesmo que você não utilize autenticação web imediatamente.

Após o wizard, o WLC estará acessível via interface web em https://192.168.10.10 e via SSH. Antes de prosseguir, vamos registrar o controlador no servidor NTP e verificar o status geral. O NTP é essencial para o funcionamento correto de certificados digitais, temporização de logs e sincronização com sistemas de segurança. Acesse o WLC via SSH e execute os comandos de verificação abaixo:

# Acessando o WLC via SSH
ssh admin@192.168.10.10
# Senha: C1sc0@dm1n!2026

# Verificar o status geral do sistema
show sysinfo

# Verificar o estado das interfaces de rede
show interface summary

# Verificar a configuração do NTP
show ntp-version

(Cisco Controller) >show sysinfo
Manufacturer's Name............................. Cisco Systems Inc.
Product Name.................................... Cisco Controller
Product Version................................. 8.10.180.0
Bootloader Version.............................. 1.0.20
Field Recovery Image Version.................... 7.6.1.97
System Name..................................... WLC-PRINCIPAL
System Location.................................
System Contact..................................
System ObjectID................................. 1.3.6.1.4.1.9.1.1351
IP Address...................................... 192.168.10.10
System Up Time.................................. 0 days, 0 hours, 15 minutes
System Timezone Location........................
Current time.................................... Thu Aug 20 10:15:32 2026
NTP Server...................................... 200.160.7.186
Management Interface............................ 192.168.10.10
Management Netmask.............................. 255.255.255.0
VLAN ID......................................... 10
Web Mode........................................ Enable
Secure Web Mode................................. Enable
Secure Web Mode Cipher-Option High.............. Disable
Secure Shell (ssh).............................. Enable
Telnet.......................................... Disable

Observe que a versão de software é 8.10.180.0 (AireOS) e que SSH e HTTPS estão habilitados, enquanto Telnet está desabilitado — configuração padrão segura. A saída confirma que o endereço IP de gerenciamento está ativo na VLAN 10 e que o NTP está configurado corretamente. A partir deste ponto, a configuração inicial está validada e podemos avançar para a criação de interfaces dinâmicas e WLANs.

Configuração Detalhada — Interfaces e VLANs no WLC

No Wireless com Cisco, a relação entre interfaces lógicas do WLC e VLANs da rede com fio é o coração do encaminhamento de tráfego. Cada WLAN é associada a uma interface do WLC, e essa interface corresponde a uma VLAN no switch. Quando um cliente sem fio se conecta a uma WLAN, o tráfego dele é encaminhado pelo WLC na VLAN correspondente à interface associada — como se o cliente estivesse conectado diretamente a uma porta de acesso do switch naquela VLAN. Essa abstração permite segmentar redes sem fio com a mesma granularidade da rede com fio.

O WLC suporta quatro tipos principais de interfaces: Management (tráfego de gerenciamento e CAPWAP), AP-Manager (tráfego CAPWAP separado, em controladores de maior porte), Dynamic (interfaces criadas pelo administrador, cada uma mapeada para uma VLAN de cliente) e Virtual (interface fictícia para autenticação web). Nesta configuração, já temos a interface Management na VLAN 10. Agora precisamos criar duas interfaces dinâmicas: employee (VLAN 20) e guest (VLAN 30).

# Criando interface dinâmica "employee" (VLAN 20)
config interface create employee 20
config interface address employee 192.168.20.1 255.255.255.0 192.168.20.254
config interface vlan employee 20
config interface dhcp employee primary 192.168.20.2
config interface port employee 1

# Criando interface dinâmica "guest" (VLAN 30)
config interface create guest 30
config interface address guest 192.168.30.1 255.255.255.0 192.168.30.254
config interface vlan guest 30
config interface dhcp guest primary 192.168.30.2
config interface port guest 1

# Aplicar as configurações nas interfaces
config interface enable employee
config interface enable guest

# Salvar a configuração
save config

Analisando cada comando: config interface create cria a interface lógica com um nome e associa imediatamente a um ID de VLAN (o segundo argumento, 20 ou 30). O comando config interface address define o endereço IP, a máscara e o gateway padrão da interface dinâmica — note que o gateway aqui é o endereço do roteador naquela VLAN, não o IP da própria interface. O comando config interface vlan reafirma o mapeamento VLAN (útil quando você precisa alterar a VLAN posteriormente). O comando config interface dhcp aponta para o servidor DHCP que atende aquela VLAN — o WLC atua como DHCP relay, encaminhando as requisições dos clientes sem fio para o servidor configurado. Por fim, config interface port especifica qual porta física do WLC será utilizada: como utilizamos uma única porta (porta 1) com trunk no switch, todas as interfaces dinâmicas utilizam essa porta.

Um ponto importante: as VLANs 20 e 30 devem existir no switch de acesso e no switch de distribuição, e a porta conectada ao WLC deve ser configurada como trunk, permitindo todas as VLANs necessárias. No switch, a configuração seria análoga ao que você já aprendeu nas aulas de switching: interface GigabitEthernet0/1, switchport mode trunk, switchport trunk allowed vlan 10,20,30. Sem essa configuração no lado da rede com fio, o WLC não conseguirá encaminhar tráfego para as VLANs de clientes.

Configurando WLANs, SSIDs e Segurança no Wireless com Cisco

Agora chegamos ao