Bài 35b: Thực hành cấu hình WLAN trên WLC — SSID nhân viên bảo mật WPA2-PSK qua giao diện web

⏱️ Thời lượng: 60–75 phút · 📶 Độ khó: Trung bình · 🧰 Công cụ: Cisco Packet Tracer 8.x · 📌 Cần học trước: Bài 33, Bài 35

Sơ đồ lab Bài 35b · ⬇️ Tải sơ đồ (SVG) · 🔍 Mở cỡ lớn

💡 Liên hệ thực tế

Công ty ABC muốn nhân viên phòng Kinh doanh dùng laptop không dây ở bất kỳ đâu trong văn phòng, với một SSID chung VNX-Staff bảo mật bằng mật khẩu WPA2, và laptop phải vào đúng VLAN 10 giống như máy bàn. Công ty dùng mô hình Lightweight AP + WLC nên anh Nam (VNExperts) không phải cấu hình từng AP: mọi thiết lập Wi-Fi làm một lần trên WLC qua giao diện web.

Quy tắc ghi nhớ: SSID → WLAN → Interface trên WLC → VLAN. Laptop vào VLAN nào là do WLAN được gắn với interface nào trên WLC, không phải do cổng switch cắm AP.

🎯 Mục tiêu bài lab

• Dựng hạ tầng cho WLC và Lightweight AP: VLAN, trunk, PoE, DHCP.
• Đặt IP quản trị cho WLC và đăng nhập giao diện web (GUI).
• Kiểm tra AP đã join WLC.
• Tạo dynamic interface cho VLAN 10.
• Tạo WLAN bảo mật WPA2-PSK, mã hoá AES qua GUI.
• Kết nối laptop không dây và kiểm tra client trên WLC.

📋 Bảng VLAN, địa chỉ IP và đấu nối

⚙️ Thông số WLAN cần tạo

⚙️ Các bước thực hiện

⚠️ Giao diện WLC trong Packet Tracer là bản mô phỏng rút gọn của WLC thật (AireOS). Tên menu có thể khác nhẹ giữa các phiên bản Packet Tracer — hãy tìm mục có tên tương đương.

⚙️ Bước 1 — Dựng sơ đồ

1. Kéo ra: router 2911 (R1), switch 3560-24PS (SW1 — loại có cấp nguồn PoE), WLC-2504 (mục Wireless Devices, đặt tên WLC1), Lightweight AP 3702i (AP1), 1 PC (PC-Admin), 1 Laptop (Laptop1).
2. Đổi card mạng của Laptop1 sang card không dây: bấm Laptop1 → tab Physical → tắt nguồn → kéo card có sẵn ra → kéo card WPC300N vào khe trống → bật nguồn.
3. Nối cáp theo bảng đấu nối (đều dùng Copper Straight-Through).
4. Đặt IP tĩnh cho PC-Admin: 192.168.99.10/24, gateway 192.168.99.1.

📎 Nếu dùng switch không có PoE, AP sẽ không lên đèn. Khi đó vào tab Physical của AP và cắm bộ nguồn (power adapter) cho AP.

⚙️ Bước 2 — Dán cấu hình nền cho R1 và SW1

Phần định tuyến và DHCP đã học ở Bài 26–27 và sẽ luyện kỹ ở Bài 39b, nên bài này cho sẵn. Vào enable → configure terminal rồi dán.

R1

hostname R1
ip dhcp excluded-address 192.168.10.1 192.168.10.10
ip dhcp excluded-address 192.168.99.1 192.168.99.20
ip dhcp pool STAFF
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 8.8.8.8
ip dhcp pool AP
 network 192.168.99.0 255.255.255.0
 default-router 192.168.99.1
interface gigabitEthernet 0/0
 no shutdown
interface gigabitEthernet 0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
interface gigabitEthernet 0/0.99
 encapsulation dot1Q 99
 ip address 192.168.99.1 255.255.255.0
end

SW1

hostname SW1
vlan 10
 name KinhDoanh
vlan 99
 name QuanTri
interface fastEthernet 0/1
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk allowed vlan 10,99
interface fastEthernet 0/2
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,99
interface fastEthernet 0/3
 switchport mode access
 switchport access vlan 99
 spanning-tree portfast
interface fastEthernet 0/4
 switchport mode access
 switchport access vlan 99
end

📎 Vì sao cổng nối WLC là trunk với native VLAN 99? Interface management của WLC gửi frame không gắn tag → rơi vào native VLAN 99. Interface staff sẽ gửi frame gắn tag VLAN 10. Một sợi cáp mang cả hai, nên phải là trunk.
Vì sao cổng nối AP chỉ là access? AP ở chế độ local đóng gói dữ liệu của laptop vào đường hầm CAPWAP gửi thẳng về WLC. Switch chỉ thấy gói IP giữa AP và WLC trong VLAN 99.
Vì sao AP không đặt luôn trong VLAN 10? Theo tài liệu Cisco, nếu AP nằm cùng VLAN với một dynamic interface của WLC thì AP sẽ không đăng ký được với WLC. Vì vậy AP ở VLAN 99 (cùng mạng management), còn dynamic interface dùng VLAN 10.

📎 Trong lab, management của WLC để không gắn tag cho dễ hình dung. Ngoài thực tế, Cisco khuyến nghị gắn tag VLAN cho management interface.

⚙️ Bước 3 — Đặt IP quản trị cho WLC1

Bấm WLC1 → tab Config → chọn interface Management: IP Address 192.168.99.5, Subnet Mask 255.255.255.0, Default Gateway 192.168.99.1.

Kiểm tra: từ PC-Admin ping 192.168.99.5 phải thành công.

⚙️ Bước 4 — Khởi tạo WLC qua giao diện web

1. PC-Admin → Desktop → Web Browser → gõ http://192.168.99.5. Lần đầu truy cập dùng http://.
2. Trang đầu tiên yêu cầu tạo tài khoản quản trị — ví dụ admin / Cisco123.
3. Trình hướng dẫn khởi tạo (setup wizard) hiện ra:
   • Trang hệ thống: System Name WLC1; Management IP 192.168.99.5, mask 255.255.255.0, gateway 192.168.99.1; Management VLAN ID 0 (nghĩa là không gắn tag) → Next.
   • Trang tạo mạng không dây đầu tiên: Network Name VNX-Staff, Security WPA2 Personal, Passphrase VnExperts@2026 → Next.
   • Trang xác nhận → Apply.
4. Đợi khoảng 1 phút để WLC áp dụng cấu hình, rồi đăng nhập lại bằng https://192.168.99.5. Từ giờ phải dùng HTTPS — gõ http:// sẽ không vào được.

📎 WLAN do trình hướng dẫn tạo ra mặc định gắn với interface quản trị (VLAN 99). Ở Bước 7 bạn sẽ chuyển nó sang VLAN 10 và kiểm tra lại bảo mật — đây chính là thao tác GUI mà đề thi yêu cầu.

🔍 Bước 5 — Kiểm tra AP đã join WLC

1. Trên R1: show ip dhcp binding → phải thấy một địa chỉ từ 192.168.99.21 trở đi (đó là AP1). Cũng có thể bấm AP1 → tab Config → GigabitEthernet0 để xem IP. Nếu AP chưa có IP, đổi qua lại giữa Static và DHCP để AP xin lại.
2. Trên GUI của WLC: mở tab WIRELESS → AP1 xuất hiện trong danh sách access point.
3. Hoặc di chuột lên AP1 trên sơ đồ Packet Tracer để xem IP và trạng thái kết nối tới WLC.

🎯 AP cần khoảng 1–2 phút để khởi động, xin IP và join WLC. Bấm nút Fast Forward Time ở góc dưới Packet Tracer để tua nhanh.

⚙️ Bước 6 — Tạo dynamic interface "staff" cho VLAN 10

1. Vào Controller → Interfaces → New…
2. Interface Name: staff, VLAN Id: 10 → Apply.
3. Ở trang chi tiết của interface vừa tạo, nhập:
   • Port Number: 1
   • IP Address: 192.168.10.5, Netmask: 255.255.255.0, Gateway: 192.168.10.1
   • Primary DHCP Server: 192.168.10.1
4. Bấm Apply (bấm OK nếu có hộp cảnh báo), sau đó bấm Save Configuration.

📎 Cisco lưu ý phải khai báo Port Number và Primary DHCP Server thì dynamic interface mới hoạt động đúng. Thiếu DHCP server, laptop kết nối được Wi-Fi nhưng sẽ không có IP.

⚙️ Bước 7 — Cấu hình WLAN VNX-Staff với WPA2-PSK

1. Vào tab WLANs. Nếu đã có WLAN VNX-Staff (tạo ở Bước 4), bấm vào số WLAN ID của nó. Nếu chưa có: chọn Create New → Go, nhập Profile Name và SSID VNX-Staff, ID 1 → Apply.
2. Tab General: Status ☑ Enabled; Interface/Interface Group(G): staff.
3. Tab Security → Layer 2:
   • Layer 2 Security: WPA+WPA2
   • ☑ WPA2 Policy; mã hoá AES (nếu giao diện có ô chọn)
   • Authentication Key Management: bật PSK, bỏ chọn 802.1X nếu đang được chọn
   • PSK Format: ASCII (nếu có), nhập VnExperts@2026 — khoá ASCII phải dài 8–63 ký tự
4. Bấm Apply, sau đó bấm Save Configuration.

⚠️ Lỗi kinh điển: để Authentication Key Management ở 802.1X (giá trị mặc định trên WLC). Khi đó WLAN chờ xác thực qua máy chủ RADIUS, laptop nhập đúng mật khẩu vẫn không vào được.

⚙️ Bước 8 — Kết nối Laptop1

Cách 1 (giống người dùng thật): Laptop1 → Desktop → PC Wireless → tab Connect → chọn VNX-Staff → Connect → nhập Pre-shared Key VnExperts@2026 → Connect.

Cách 2 (khai báo tay): Laptop1 → tab Config → Wireless0: SSID VNX-Staff, Authentication WPA2-PSK, PSK Pass Phrase VnExperts@2026, Encryption Type AES; IP Configuration chọn DHCP.

Sau đó mở IP Configuration (hoặc ipconfig trong Command Prompt) để xem IP. Nếu chưa có IP, bấm Fast Forward Time hoặc đổi qua lại Static/DHCP.

🔍 Kiểm tra kết quả

🔍 Output mẫu trên R1 (địa chỉ MAC của bạn sẽ khác)

R1# show ip dhcp binding
IP address       Client-ID/              Lease expiration        Type
                 Hardware address
192.168.99.21    0001.4396.8A01          --                      Automatic
192.168.10.11    0060.2F84.4AB6          --                      Automatic

Hai dòng tương ứng với hai thiết bị nhận IP động: AP1 (VLAN 99) và Laptop1 (VLAN 10).

🛠️ Lỗi thường gặp & cách xử lý

🏆 Thử thách mở rộng

1. Tạo thêm SSID VNX-Guest cho khách: VLAN 50 (192.168.50.0/24, gateway .1), mật khẩu khác. Liệt kê đủ những chỗ phải sửa trên R1, SW1 và WLC1.
2. Cho Laptop1 nhập sai mật khẩu, quan sát hiện tượng. Sau đó kết nối lại cho đúng.

! R1
ip dhcp excluded-address 192.168.50.1 192.168.50.10
ip dhcp pool GUEST
 network 192.168.50.0 255.255.255.0
 default-router 192.168.50.1
 dns-server 8.8.8.8
interface gigabitEthernet 0/0.50
 encapsulation dot1Q 50
 ip address 192.168.50.1 255.255.255.0

! SW1
vlan 50
 name WIFI-KHACH
interface range fastEthernet 0/1 - 2
 switchport trunk allowed vlan add 50

💬 Hỏi & Đáp nhanh

❓ AP cắm vào cổng access VLAN 99, vậy sao laptop lại vào được VLAN 10?

✅ AP ở chế độ local gói dữ liệu của laptop vào đường hầm CAPWAP gửi về WLC. WLC mở gói và đẩy dữ liệu vào VLAN của interface gắn với WLAN (staff = VLAN 10) qua cổng trunk. Vì vậy VLAN của laptop do WLC quyết định, không do cổng cắm AP.

❓ Nếu AP nằm khác subnet với WLC thì AP tìm WLC bằng cách nào?

✅ Broadcast không đi qua router, nên phải chỉ đường cho AP: dùng DHCP option 43 (khai báo IP của WLC trong pool DHCP của AP) hoặc bản ghi DNS CISCO-CAPWAP-CONTROLLER trong domain của AP.

❓ WPA2-PSK và WPA2-Enterprise khác nhau thế nào?

✅ PSK dùng một mật khẩu chung — đơn giản, hợp văn phòng nhỏ, nhưng đổi mật khẩu là phải báo cả công ty. Enterprise dùng 802.1X với máy chủ RADIUS — mỗi người một tài khoản, khoá riêng từng người được. WPA3-Personal thay PSK bằng cơ chế SAE an toàn hơn; Packet Tracer có thể chưa hỗ trợ.

📝 Bài tập đánh giá

Câu 1: Trong mô hình Lightweight AP + WLC, SSID và chính sách bảo mật được cấu hình ở đâu?

• A. Trên từng AP
• B. Trên WLC
• C. Trên switch cấp PoE
• D. Trên DHCP server

Câu 2: Laptop kết nối SSID thành công nhưng nhận địa chỉ 169.254.x.x. Nguyên nhân khả dĩ nhất là gì?

• A. Sai mật khẩu PSK
• B. WLAN chưa ở trạng thái Enabled
• C. Interface gắn với WLAN không có DHCP server, hoặc VLAN của nó không đi qua trunk tới WLC
• D. AP không có nguồn

👉 Đáp án

• Câu 1: B — AP chỉ phát sóng và chuyển dữ liệu; mọi cấu hình WLAN tập trung trên WLC.
• Câu 2: C — Kết nối Wi-Fi đã thành công nên A, B, D bị loại. Địa chỉ 169.254.x.x nghĩa là không xin được DHCP.

💡 Output trong bài là output mẫu trên Packet Tracer, trên máy bạn có thể khác một chút (ví dụ địa chỉ MAC).

📚 Bài thực hành thuộc Khóa học CCNA Online của VNExperts.

🧭 Điều hướng