Hướng dẫn cấu hình HA SSO Cisco Catalyst 9800 WLC

Trong các hệ thống mạng không dây doanh nghiệp, tính liên tục và sẵn sàng của dịch vụ là yêu cầu tối quan trọng. High Availability Stateful Switchover (HA SSO) trên Cisco Wireless LAN Controller (WLC) Catalyst 9800 là giải pháp giúp đảm bảo hệ thống Wi-Fi không bị gián đoạn ngay cả khi một controller gặp sự cố.

Bài viết này hướng dẫn chi tiết cách cấu hình HA SSO trên dòng WLC Cisco Catalyst 9800, phù hợp với các kỹ sư mạng, quản trị viên hệ thống và đội ngũ IT doanh nghiệp muốn triển khai hạ tầng wireless có tính dự phòng cao.

Cơ Chế Hoạt Động của HA SSO trên Catalyst 9800

HA SSO là gì?

HA SSO (High Availability Stateful Switchover) là cơ chế dự phòng cho phép hai Wireless LAN Controller hoạt động song song theo mô hình Active – Standby. Khi controller chính (Active) gặp sự cố, controller dự phòng (Standby) tự động tiếp quản toàn bộ hoạt động mà không làm gián đoạn kết nối của Access Point (AP) hay client đang kết nối.

Cơ Chế Hoạt Động Chi Tiết

1. Kết nối RP (Redundancy Port)

Hai controller kết nối trực tiếp với nhau qua cổng RP chuyên dụng (hoặc interface ảo với 9800-CL). Cổng RP được sử dụng để:

• Đồng bộ cấu hình theo thời gian thực (bulk và incremental sync)
• Gửi keepalive để kiểm tra trạng thái hoạt động của nhau liên tục

2. Redundancy Management Interface (RMI)

Bên cạnh RP, mỗi controller trong cặp HA còn được gán một địa chỉ IP riêng trên Redundancy Management Interface (RMI). RMI được sử dụng để:

• Kiểm tra khả năng kết nối đến gateway mạng
• Hỗ trợ giám sát và truy cập quản trị từng chassis trong cặp HA

3. Wireless Management Interface (WMI) dùng chung

Hai controller trong cặp HA dùng chung một địa chỉ IP trên Wireless Management Interface (WMI). Access Point chỉ nhìn thấy một địa chỉ IP duy nhất và luôn duy trì tunnel CAPWAP tới controller đang ở trạng thái Active.

4. Đồng bộ trạng thái CAPWAP

Trạng thái CAPWAP của tất cả AP đang ở trạng thái Run được đồng bộ liên tục từ Active sang Standby. Nhờ đó, khi xảy ra chuyển đổi (switchover), AP không cần quay về trạng thái Discovery và client không bị ngắt kết nối.

5. Quy trình Switchover

Khi Active controller mất kết nối hoặc gặp sự cố, Standby controller sẽ:

• Phát hiện sự cố qua keepalive bị mất trên RP và/hoặc RMI mất gateway
• Tự động trở thành Active controller
• Tiếp nhận toàn bộ AP và client đang kết nối
• Phát GARP (Gratuitous ARP) để cập nhật bảng ARP trong mạng

Sơ Đồ Hoạt Động HA SSO:

Yêu Cầu Trước Khi Cấu Hình

Phần Cứng & Phần Mềm

• Hai thiết bị Cisco Catalyst 9800 WLC (hoặc 9800-CL) chạy cùng phiên bản IOS-XE
• Cisco IOS-XE 17.x trở lên (khuyến nghị 17.9 hoặc mới hơn)
• Kết nối vật lý: cổng RP/GigabitEthernet3 nối trực tiếp giữa hai WLC (hoặc qua vSwitch với 9800-CL)

Địa Chỉ IP Cần Chuẩn Bị

Cần chuẩn bị 4 địa chỉ IP trong cùng subnet với Wireless Management Interface (WMI):

Lưu ý: Sau khi HA SSO được cấu hình xong, IP của WLC2 (10.48.39.133 trong ví dụ) sẽ được giải phóng. Chỉ còn 3 IP được sử dụng: WMI chung + 2 địa chỉ RMI.

WLC1#show running-config | s interface
interface GigabitEthernet1
 shutdown
 negotiation auto
 no mop enabled
 no mop sysid
interface GigabitEthernet2
 switchport trunk allowed vlan 39
 switchport mode trunk
 negotiation auto
 no mop enabled
 no mop sysid
interface GigabitEthernet3
 negotiation auto
 no mop enabled
 no mop sysid
interface Vlan1
 no ip address
 shutdown
 no mop enabled
 no mop sysid
interface Vlan39
 ip address 10.48.39.130 255.255.255.0
 no mop enabled
 no mop sysid
wireless management interface Vlan39

WLC2#show running-config | s interface
interface GigabitEthernet1
 shutdown
 negotiation auto
 no mop enabled
 no mop sysid
interface GigabitEthernet2
 switchport trunk allowed vlan 39
 switchport mode trunk
 negotiation auto
 no mop enabled
 no mop sysid
interface GigabitEthernet3
 negotiation auto
 no mop enabled
 no mop sysid
interface Vlan1
 no ip address
 shutdown
 no mop enabled
 no mop sysid
interface Vlan39
 ip address 10.48.39.133 255.255.255.0
 no mop enabled
 no mop sysid
wireless management interface Vlan39

Hướng Dẫn Cấu Hình HA SSO qua Web GUI

Bước 1: Sao Lưu Cấu Hình (Khuyến Nghị)

Trước khi thực hiện bất kỳ thao tác nào, hãy sao lưu cấu hình của cả hai WLC để tránh mất dữ liệu.

Thực hiện trên từng WLC:

1. Đăng nhập vào giao diện Web GUI của WLC
2. Vào Administration > Management > Backup & Restore
3. Tại giao diện Backup & Restore, chọn tải về:
   • Startup Configuration (cấu hình khởi động)
   • Running Configuration (cấu hình đang chạy)
4. Chọn Transfer Mode: HTTP để tải trực tiếp về máy tính đang dùng trình duyệt
5. Nhấn Download và lưu trữ file cẩn thận

Lưu ý quan trọng: WLC1 là controller Primary (chassis 1) – cấu hình của WLC1 sẽ được nhân bản sang WLC2. Cấu hình của WLC2 sẽ bị xóa sau khi HA được thiết lập. Đảm bảo WLC1 đã có đầy đủ cấu hình cần thiết trước khi tiến hành.

Bước 2: Kiểm Tra Kết Nối Mạng

Trước khi cấu hình redundancy, cần xác nhận hai WLC có thể liên lạc được với nhau và đều kết nối được tới gateway.

Thực hiện trên từng WLC:

1. Trên Web GUI, vào tab Troubleshooting (Khắc phục sự cố)
2. Chọn công cụ Ping & Traceroute
3. Thực hiện ping từ WLC1 tới:
   • Địa chỉ IP của WLC2 (ví dụ: 10.48.39.133)
   • Địa chỉ Gateway mạng (ví dụ: 10.48.39.254)
4. Lặp lại thao tác tương tự từ WLC2 tới WLC1 và Gateway

Kết quả mong đợi: Tất cả ping thành công 100% trước khi chuyển sang bước tiếp theo.

Bước 3: Cấu Hình Redundancy với RMI + RP

Đây là bước cốt lõi của quá trình thiết lập HA SSO.

3.1 Cấu hình trên WLC1 (Primary – Chassis 1)

1. Đăng nhập vào Web GUI của WLC1 (ví dụ: http://10.48.39.130)
2. Vào Administration > Device
3. Chọn tab Redundancy
4. Điền các thông tin cấu hình như sau:

1. Nhấn Apply để lưu cấu hình

Quan trọng: Active Chassis Priority của WLC1 phải được đặt cao hơn WLC2 (ví dụ: WLC1 = 2, WLC2 = 1). Controller có priority cao hơn sẽ là Active và cấu hình của nó sẽ được dùng cho toàn bộ cặp HA.

3.2 Cấu hình trên WLC2 (Secondary – Chassis 2)

1. Đăng nhập vào Web GUI của WLC2 (ví dụ: http://10.48.39.133)
2. Vào Administration > Device
3. Chọn tab Redundancy
4. Điền thông tin cấu hình:

Nhấn Apply để lưu cấu hình

Bước 4: Khởi Động Lại Cả Hai Controller

Sau khi đã lưu cấu hình Redundancy trên cả hai WLC, cần reboot đồng thời để cặp HA hình thành.

Thực hiện trên từng WLC:

1. Vào Administration > Software Management > Reload (hoặc trang Reload tương ứng)
2. Chọn Reload để khởi động lại controller
3. Thực hiện reload cả hai WLC gần như đồng thời để quá trình hình thành cặp HA diễn ra đúng cách
4. Sau khi reboot, hai controller sẽ tự động:
   • Phát hiện nhau qua cổng RP
   • WLC1 (priority cao hơn) trở thành Active
   • WLC2 trở thành Standby HOT
   • Đồng bộ toàn bộ cấu hình và trạng thái AP/client

Lưu ý về AAA: Nếu hệ thống sử dụng AAA server (RADIUS), cần bổ sung cả địa chỉ WMI và địa chỉ RMI của controller vào danh sách AAA client. Controller ở trạng thái Standby luôn dùng địa chỉ RMI để xác thực SSH.

Kiểm Tra Trạng Thái HA SSO sau Khi Cấu Hình

Sau khi hai controller đã reboot và hình thành cặp HA, bạn có thể kiểm tra trạng thái từ GUI của controller Active.

Kiểm tra qua Web GUI

1. Đăng nhập vào Web GUI của controller Active (dùng địa chỉ WMI chung: 10.48.39.130)
2. Vào Monitoring > General > System
3. Chọn tab Redundancy

Kết quả mong đợi sau khi HA thành công:

Trạng thái STANDBY HOT là trạng thái lý tưởng, cho biết Standby controller đã được đồng bộ đầy đủ và sẵn sàng tiếp quản ngay lập tức khi Active gặp sự cố.

Điều Chỉnh Keepalive Timer (Quan Trọng với 9800-CL)

Với môi trường ảo hóa (Catalyst 9800-CL trên VMware, KVM...), độ trễ (latency) do vSwitch có thể gây ra hiện tượng keepalive bị miss dẫn đến switchover không mong muốn.

Cấu hình Keepalive qua GUI

1. Vào Administration > Device > Redundancy
2. Tìm phần Keepalive Settings
3. Điều chỉnh hai thông số:

Nhấn Apply để lưu

Lưu ý: Giá trị mặc định (1ms timer, 5 retries) nghĩa là chỉ cần 5ms keepalive bị miss là xảy ra switchover. Với môi trường ảo hóa, nên tăng hai thông số này để tránh switchover không cần thiết. Đồng thời, nên dùng vSwitch riêng cho kết nối RP giữa hai 9800-CL VM.

Các Tình Huống Switchover Thường Gặp

Sau khi HA hoạt động, bạn có thể theo dõi lịch sử switchover để chẩn đoán sự cố:

1. User Forced (Chuyển đổi do người dùng)

Xảy ra khi quản trị viên chủ động thực hiện lệnh redundancy force-switchover. Đây là kiểu switchover bình thường, thường dùng để kiểm tra hoặc bảo trì.

2. Active Unit Removed (Mất kết nối RP)

Xảy ra khi link RP giữa hai controller bị đứt, hoặc Active controller tắt đột ngột (mất điện, crash). Cần kiểm tra:

• Trạng thái cáp kết nối RP
• Syslog của Active controller để tìm crash report

3. Active Lost GW (Mất kết nối Gateway)

Xảy ra khi Active controller mất khả năng kết nối tới gateway qua RMI. Standby sẽ tự động tiếp quản. Cần kiểm tra:

• Đường truyền giữa Active controller và upstream switch/router
• Cấu hình VLAN và trunk port

Một Số Lưu Ý Quan Trọng

1. Đồng nhất phiên bản phần mềm: Cả hai WLC trong cặp HA bắt buộc phải chạy cùng phiên bản IOS-XE. Khác phiên bản sẽ khiến HA không thể hình thành.

2. Cấu hình của WLC2 sẽ bị xóa: Sau khi HA hình thành, WLC2 sẽ nhận toàn bộ cấu hình của WLC1. Đảm bảo WLC1 đã có đầy đủ cấu hình cần thiết.

3. Service Port của Standby bị vô hiệu hóa: Trong quá trình hoạt động HA, Service Port của Standby WLC không thể truy cập được – đây là hoạt động bình thường.

4. Truy cập console Standby: Theo mặc định, console của Standby WLC bị khóa. Để mở khóa, cần chạy lệnh standby console enable trong chế độ cấu hình redundancy trên Active WLC.

5. Triển khai trong ACI: Nếu sử dụng Cisco ACI, nên giảm GARP burst về 0 và cân nhắc tắt fast-switchover để tránh gián đoạn không mong muốn:

• Vào Administration > Device > Redundancy để điều chỉnh các tham số GARP và fast-switchover.

Kết Luận

High Availability SSO trên Cisco Catalyst 9800 WLC là giải pháp không thể thiếu cho mọi hạ tầng mạng không dây doanh nghiệp đòi hỏi tính liên tục cao. Với cơ chế đồng bộ trạng thái CAPWAP theo thời gian thực và cơ chế phát hiện sự cố đa lớp (RP + RMI + Gateway), hệ thống đảm bảo AP và client không bị gián đoạn khi xảy ra sự cố controller.

Việc cấu hình qua Web GUI giúp đơn giản hóa quá trình triển khai, đặc biệt phù hợp với các kỹ sư đang làm quen với nền tảng Catalyst 9800. Sau khi hoàn thành cấu hình, hãy luôn theo dõi trạng thái Redundancy và lịch sử Switchover để chủ động phát hiện và xử lý sự cố.

Tham khảo chính thức: Configure HA SSO on Catalyst 9800 Quick Start Guide – Cisco