FortiAP — Quản trị tập trung qua Security Fabric (Wireless Controller)

1. Liên hệ thực tế

Ngay sau khi triển khai xong FortiSwitch ở bài trước — FortiSwitch — quản trị qua Security Fabric — khách hàng đề nghị lắp thêm 5 FortiAP phủ sóng WiFi cho văn phòng. Anh Nam áp dụng đúng tư duy vừa học: cắm FortiAP vào cổng đã có PoE trên FortiSwitch (đang được FortiGate quản lý qua FortiLink), kỳ vọng AP tự xuất hiện tương tự switch.

Lần này quả thật AP xuất hiện trong danh sách, nhưng ở trạng thái "chờ" và không phát sóng SSID nào. Chị Lan chỉ ra: cũng giống FortiSwitch, FortiAP cần được Authorize thủ công (trừ khi đã cấu hình pre-authorization bằng serial number từ trước), và quan trọng hơn — AP chỉ phát đúng SSID sau khi được gán FortiAP Profile phù hợp. Bài này đi vào quy trình discovery/authorize FortiAP và cấu hình SSID cơ bản qua Wireless Controller trên FortiGate.

2. Kiến thức cốt lõi

2.1 FortiGate làm Wireless Controller

Tương tự vai trò switch controller ở bài trước, FortiGate có thể đóng vai trò Wireless LAN Controller (WLC) quản lý tập trung các FortiAP thông qua giao thức CAPWAP (Control And Provisioning of Wireless Access Points). FortiAP gửi discovery request tới FortiGate qua cổng đã bật CAPWAP access (thường là cổng LAN/FortiLink có PoE, hoặc cổng riêng dành cho quản trị AP).

Cấu trúc quản lý gồm 2 lớp:

• WTP (Wireless Termination Point): đại diện cho từng FortiAP vật lý cụ thể, định danh bằng serial number — tương ứng khối config wireless-controller wtp.
• WTP Profile (FortiAP Profile): định nghĩa cấu hình radio (băng tần, kênh, công suất phát), SSID nào được phát trên AP nào — tương ứng khối config wireless-controller wtp-profile. Một profile có thể áp dụng cho nhiều AP cùng model.

2.2 Discovery và Authorization

Quy trình cơ bản trên GUI: vào WiFi & Switch Controller > Managed FortiAPs, AP mới cắm vào sẽ xuất hiện với trạng thái chờ xử lý. Chọn AP, chuột phải chọn Authorize (hoặc dùng nút Authorize trong panel chi tiết AP).

Trên CLI, ủy quyền một FortiAP tương ứng với thao tác đặt admin thành enable:

config wireless-controller wtp
    edit "FP231FTF20026472"
        set admin enable
        set wtp-profile "FAP231F-Office"
    next
end

Nếu muốn thu hồi quyền quản lý (deauthorize), đặt lại admin về discovered:

config wireless-controller wtp
    edit "FP231FTF20026472"
        set admin discovered
    next
end

💡 Với triển khai số lượng lớn (nhiều chi nhánh, biết trước serial number AP sẽ lắp), có thể pre-authorize bằng cách tạo trước entry với đúng serial number (hoặc dùng Wildcard Serial Number dạng FP231F****000001để khớp theo model) trước khi AP được cắm vào mạng lần đầu — AP sẽ tự động được nhận diện và cấu hình ngay khi kết nối, không cần thao tác Authorize thủ công tại hiện trường.

2.3 Cấu hình FortiAP Profile và SSID

FortiAP Profile định nghĩa cấu hình cho từng radio (radio-1 thường là 2.4GHz, radio-2 là 5GHz trên nhiều model), trong đó khai báo SSID nào sẽ phát trên từng radio đó. SSID (Virtual AP) được cấu hình riêng ở mục WiFi & Switch Controller > SSID trước, sau đó mới gán vào profile:

config wireless-controller vap
    edit "Office_Staff"
        set ssid "VNExperts-Staff"
        set security wpa2-only-personal
        set passphrase "Str0ngWifiP@ss"
        set vdom "root"
    next
end

config wireless-controller wtp-profile
    edit "FAP231F-Office"
        config radio-2
            set vap-all disable
            set vaps "Office_Staff"
        next
    next
end

⚠️ Lưu ý: security wpa2-only-personal chỉ phù hợp môi trường văn phòng nhỏ dùng chung 1 passphrase. Với môi trường doanh nghiệp cần xác thực cá nhân theo tài khoản người dùng (tích hợp RADIUS/AD), phải cấu hình security wpa2-only-enterprise kết hợp khai báo RADIUS server — nội dung này sẽ được trình bày chi tiết ở Nhóm 6 (Authentication & User Management).

2.4 Kiểm tra trạng thái AP đã lên sóng

Sau khi gán profile, kiểm tra AP đã online và phát đúng SSID bằng lệnh:

diagnose wireless-controller wlac -c wtp
get wireless-controller status

Nếu AP vẫn không phát sóng dù đã authorize và gán profile, nguyên nhân thường gặp là: cổng CAPWAP access chưa được bật đúng interface, PoE không đủ công suất cấp cho AP (đèn AP không sáng ổn định), hoặc AP và FortiGate không cùng subnet quản trị trong khi chưa cấu hình định tuyến/relay CAPWAP phù hợp.

3. Hỏi & Đáp

FortiAP có bắt buộc phải cắm qua FortiSwitch do FortiGate quản lý không?

Không bắt buộc. FortiAP có thể cắm trực tiếp vào cổng LAN của FortiGate (nếu FortiGate có đủ cổng PoE hoặc dùng injector PoE ngoài) hoặc qua bất kỳ switch trung gian nào miễn là traffic CAPWAP giữa AP và FortiGate không bị chặn. Việc đi qua FortiSwitch do chính FortiGate quản lý chỉ giúp thuận tiện hơn về mặt cấp nguồn PoE tập trung và giám sát chung trong Security Fabric, không phải yêu cầu kỹ thuật bắt buộc.

Sự khác biệt giữa config wireless-controller wtp và config wireless-controller wtp-profile là gì?

wtp đại diện cho một thiết bị FortiAP vật lý cụ thể (định danh bằng serial number, quyết định AP đó có được quản lý hay không, và đang dùng profile nào). wtp-profile là bản mẫu cấu hình radio/SSID có thể tái sử dụng cho nhiều AP cùng lúc — tương tự khái niệm "Address Object dùng chung cho nhiều Policy" đã quen thuộc từ Nhóm 3, tránh phải cấu hình lặp lại từng AP một.

Pre-authorize bằng Wildcard Serial Number có rủi ro bảo mật gì không?

Có một rủi ro nhỏ về lý thuyết là bất kỳ FortiAP nào cùng model (khớp pattern wildcard) cắm vào đúng mạng quản trị đều sẽ được tự động nhận diện và cấu hình mà không cần xác nhận thủ công. Với môi trường cần kiểm soát chặt việc thiết bị nào được phép gia nhập mạng, nên dùng chính xác serial number thật thay vì wildcard.

4. Quiz

Câu 1: Giao thức nào được FortiAP dùng để giao tiếp với FortiGate đóng vai trò Wireless Controller?

• A. FortiLink
• B. CAPWAP
• C. FGCP
• D. BGP

Câu 2: Khối cấu hình nào định nghĩa băng tần radio và SSID sẽ phát trên một model FortiAP cụ thể?

• A. config wireless-controller wtp
• B. config wireless-controller vap
• C. config wireless-controller wtp-profile
• D. config switch-controller managed-switch

Câu 3: Dùng Wildcard Serial Number (ví dụ FP231F****000001) khi cấu hình wtp nhằm mục đích gì?

• A. Chặn mọi FortiAP kết nối vào mạng
• B. Cho phép nhiều AP cùng model tự động được nhận diện và cấu hình mà không cần Authorize thủ công tại hiện trường
• C. Mã hóa passphrase SSID
• D. Tăng công suất phát của radio

👉 Đáp án

Câu 1: B FortiAP giao tiếp với FortiGate qua giao thức CAPWAP (Control And Provisioning of Wireless Access Points) để gửi discovery request và nhận cấu hình quản trị tập trung.

Câu 2: C config wireless-controller wtp-profile (FortiAP Profile) định nghĩa cấu hình cho từng radio, bao gồm SSID nào sẽ được phát trên AP dùng profile đó, và có thể tái sử dụng cho nhiều AP cùng model.

Câu 3: B Pre-configure một entry wtp với Wildcard Serial Number cho phép FortiGate tự động khớp và cấu hình bất kỳ FortiAP nào cùng model khi nó lần đầu kết nối vào mạng, giúp triển khai số lượng lớn mà không cần thao tác Authorize thủ công tại từng điểm lắp đặt.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng