Padrão IEEE 802.11ax de WiFi de Próxima Geração

Olá Pessoal,

Ao longo dos últimos 20 anos a tecnologia WiFi evoluiu através de diferentes padrões, desde o 802.11-1997 original (1G), passando pelos padrões 802.11b (2G), 802.11a/g (3G) e 802.11n (4G), até chegar ao atual padrão 802.11ac (5G). Em 2013 escrevi um artigo intitulado Padrão IEEE 802.11ac de Redes Wireless a 1Gbps, momento em que a atual tecnologia de WiFi (802.11ac) ainda era um rascunho. Em 2016 escrevi outro artigo sobre novos padrões de WiFi que foram idealizados para aplicações específicas, intitulado Novos Padrões de WiFi: 802.11ad (WiGig) e 802.11ah (HiLow). Pois bem, o objetivo deste artigo é apresentar algumas características do atual rascunho da sexta geração de WiFi que será conhecida como padrão IEEE 802.11ax e que deverá substituir o atual padrão 802.11ac na indústria.

Desde 2013 O IEEE formou um grupo de estudo denominado High Efficiency WLAN (HEW) para  trabalhar na especificação daquele que será o padrão WiFi de próxima geração. A expectativa é que a documentação do novo padrão 802.11ax seja publicada em 2019, oportunidade em que a indústria deve estar em fase inicial de adoção dessa nova tecnologia. O objetivo do grupo de trabalho do IEEE responsável pela especificação do novo padrão é construir uma tecnologia de rede WiFi que seja altamente eficiente por meio de melhor utilização do espectro, permitindo atingir taxas superiores a 10Gbps, o que é particularmente interessante para ambientes com alta densidade de clientes. 

Diferente do atual padrão 802.11ac que foi especificado para operar apenas na frequência de 5GHz em que há maior disponibilidade de banda e menor interferência do que na faixa de 2,4GHz, o novo padrão 802.11ax está sendo projetado para operar em ambas as frequências de 2,4GHz e 5GHz, o que deve garantir sua compatibilidade com todos os demais padrões anteriores. 

Obs.: Apesar do atual padrão 802.11ac ser especificado para operar apenas na frequência de 5GHz, a maioria dos equipamentos AC disponíveis no mercado opera em ambas as frequências de 2,4GHz e 5GHz. No entanto, a operação desses equipamentos na frequência de 2,4GHz é toda baseada no padrão 802.11n, sendo que as melhorias do padrão 802.11ac estão disponíveis apenas para 5GHz.  

O padrão 802.11ax aproveitará um dos avanços da tecnologia celular LTE para aumentar sua eficiência, empregando uma técnica denominada OFDMA. Essa técnica permite dividir cada canal principal em centenas de sub-canais para otimizar a utilização da radiofrequência. O padrão 802.11ac tem suporte a MU-MIMO para atender múltiplos clientes simultaneamente, mas somente no sentido downlink, ou seja, do AP (ou roteador WiFi) para os clientes. O novo padrão 802.11ax deve suportar MU-MIMO em ambos os sentidos downlink e uplink. O novo padrão também deve ficar mais inteligente no sentido de reutilizar frequências e também mais adaptável com capacidade de ajustar automaticamente a potência de transmissão com base na medição do sinal recebido, tudo isso de forma padronizada. 

Obs.: Cabe destacar que esse recurso inteligente já é suportado nas soluções mais tradicionais do mercado, mas cada fabricante possui sua própria tecnologia para fazê-lo. Por exemplo, em outro artigo intitulado Cisco RRM na Otimização da Radiofrequência WiFi, explico a tecnologia RRM (Radio Resource Management) da Cisco e seus componentes TPC, DCA e CHDM. 

O intervalo de guarda (GI) foi estendido para aumentar a proteção do sinal em ambientes ruidosos e com atraso na propagação do sinal, por exemplo em ambientes externos (outdoor). No padrão 802.11ac o intervalo de guarda pode ser curto (0,4 µs) para aumentar a taxa de tramissão ou longo (800 µs) para melhorar a qualidade da transmissão em ambientes ruidosos. O problema é que quanto menor o GI, maior será a taxa de erros de pacotes quando o atraso na propagação do sinal exceder seu valor, o que acaba sendo ruim na prática. No novo padrão 802.11ax o GI pode ser 0,8µs, 1,6µs ou 3,2µs. 

Também está previsto na especificação do padrão 802.11ax um mecanismo para diminuir o consumo de energia e ampliar a vida útil da bateria dos dispositivos móveis, através de um recurso denominado TWT (Target Wake Time). A ideia é que o AP sinalizará aos clientes quando eles podem "dormir" com um agendamento de quando devem "acordar", o que deve impactar positivamente na vida da bateria, mesmo que os períodos de tempo dormir/acordar sejam bastante curtos na prática.

Atualmente a Broadcom, Qualcomm e Qantenna já anunciaram o desenvolvimento de processadores com pré-suporte ao rascunho v1.0 do que será o padrão 802.11ax. O objetivo é que esses chipsets sejam embarcados na próxima geração de roteadores WiFi e APs. A título de curiosidade, em agosto/2017 a Asus anunciou o primeiro roteador WiFi 802.11ax (mercado residencial) e em setembro/2017 a Huawei anunciou o primeiro AP 802.11ax (mercado corporativo), ambos ainda baseados no rascunho do padrão.

Por fim, trago uma síntese das características do futuro padrão 802.11ax:

• Taxas de Transmissão > 10 Gbps
• Suporte a Ambientes de Alta Densidade de Clientes
• Opera em Ambas as Frequências de 2,4 GHz e 5 GHz
• Suporta Canais de: 20MHz, 40MHz, 80MHz e 160MHz
• Utilização de OFDMA (c/ Centenas de Sub-Canais)
• Modulação OFDM/1024-QAM
• Suporte a MU-MIMO (Donwlink e Uplink)
• Algoritmo Inteligente e Adaptável de Otimização da RF
• Menor Consumo de Energia
• Intervalo de Guarda Estendido

Samuel. 

Configuração de Link P2P em Bridge no Cisco Aironet

Olá Pessoal,

Tradicionalmente os dispositivos Access Point (AP) são utilizados como concentradores em redes sem fio com o propósito de viabilizar uma célula em seu entorno com área de cobertura para que haja comunicação com múltiplos dispositivos clientes de modo ponto-a-multiponto, motivo pelo qual os APs são equipados com antenas omnidirecionais com largura de feixe de 360° no plano horizontal (azimute). Apesar dessa ser a aplicação mais comum, há casos em que é necessário alterar esse comportamento convencional de modo a configurar dois APs em bridge para viabilizar a comunicação ponto-a-ponto, por exemplo na interligação sem fio à distância entre duas unidades remotas de uma empresa (vide figura). 

Nesses casos são acopladas nos APs antenas externas que tenham menor largura de feixe e com maior ganho (dBi) em uma determinada direção. A escolha da antena direcionada mais adequada vai depender da distância entre as duas unidades remotas, destacando que quanto maior o ganho da antena, maior será seu alcance e menor será a largura do feixe no plano horizontal. Por exemplo, antenas parabólicas são as que têm maior ganho (de 20 a 30 dBi) e podem alcançar vários quilômetros de distância (por volta de 50km), dependendo da obstrução no caminho entre as antenas. 

Obs.: Esteja ciente de que antenas parabólicas de alto ganho não devem ser utilizadas sem que o enlace de radiofrequência tenha sido devidamente projetado para irradiar sinal efetivo (EIRP) dentro dos limites legais do seu domínio regulatório, levando em consideração a potência de transmissão, a perda no cabo e demais componentes e o ganho da antena. Conforme Resolução 506/2008 da Anatel, no Brasil o EIRP máximo permitido na frequência de 2,4GHz é de até 30dBm (1000mW) em cidades com até 500.000 habitantes ou de até 26dBm (400mW) em cidades com mais de 500.000 habitantes. Qualquer enlace que esteja operando acima desses parâmetros deve ser licenciado junto à agência. 

O objetivo deste artigo é listar os passos necessários para configurar dois Aironet da Cisco em modo bridge para que seja possível estabelecer um enlace ponto-a-ponto entre duas unidades remotas, com base no cenário apresentado na figura anterior. Repare que as duas unidades pertencem à mesma sub-rede lógica em camada 3 (rede), o que deixa evidente que a conexão em modo bridge nada mais é do que uma ligação em camada 2 (enlace). É como se os APs fossem switches nas unidades remotas que estivessem interligados através de um cabo. Ocorre que na maioria dos casos não é possível fazer a passagem dos  cabos na via pública e a locação de um link dedicado não é barato (quando há disponibilidade no local), então fazer essa ligação através do meio não-guiado (wireless) acaba sendo uma opção atrativa.

Obs.: Também é possível isolar cada unidade em sua respectiva sub-rede lógica (camada 3). Nesse caso, o link ponto-a-ponto entre os dois APs é configurado como sendo uma sub-rede /30 independente das outras duas sub-redes das unidades remotas, de forma que cada AP terá um dos IPs disponíveis na sub-rede /30. O AP de cada unidade remota será diretamente conectado em um roteador de borda, ao invés de um switch. Se essa estratégia for adotada, é importante ter em mente que nos roteadores de borda deverá ser adicionada uma rota para a sub-rede lógica da outra unidade. 

Abaixo o leitor encontra os comandos necessários para configurar ambos os APs através dá interface de linha de comando (CLI) do IOS. Observe que o AP-A foi definido como root bridge e que o AP-B foi definido como non-root bridge, sendo que o canal do enlace é definido apenas no AP raíz. Assim que o link for efetivamente estabelecido, o LED dos Aironet em ambas as unidades mudará sua cor de verde para azul, indicando que os dois APs estão associados entre si. 

AP-A(config)# interface bvi1
AP-A(config-if)# ip address 192.168.0.201 255.255.255.0
AP-A(config-if)# exit
AP-A(config)# ip default-gateway 192.168.0.1
AP-A(config)# dot11 ssid BRIDGE
AP-A(config-ssid)# authentication open
AP-A(config-ssid)# authentication key-management wpa ver 2
AP-A(config-ssid)# wpa-psk ascii PASSWORD
AP-A(config-ssid)# exit
AP-A(config)# interface dot11radio0
AP-A(config-if)# station-role root bridge
AP-A(config-if)# channel 6
AP-A(config-if)# encryption mode ciphers aes-ccm
AP-A(config-if)# ssid BRIDGE
AP-A(config-if)# no shut
AP-A(config-if)# end

---

AP-B(config)# interface bvi1
AP-B(config-if)# ip address 192.168.0.202 255.255.255.0
AP-B(config-if)# exit
AP-B(config)# ip default-gateway 192.168.0.1
AP-B(config)# dot11 ssid BRIDGE
AP-B(config-ssid)# authentication open
AP-B(config-ssid)# authentication key-management wpa ver 2
AP-B(config-ssid)# wpa-psk ascii PASSWORD
AP-B(config-ssid)# exit
AP-B(config)# interface dot11radio0
AP-B(config-if)# station-role non-root bridge
AP-B(config-if)# encryption mode ciphers aes-ccm
AP-B(config-if)# ssid BRIDGE
AP-B(config-if)# no shut
AP-B(config-if)# end

Façam seus testes...

Samuel.

Descoberta de Controladoras em WLAN Cisco (CUWN)

Olá Pessoal,

A arquitetura tradicional de redes sem fio (WLAN) é totalmente distribuída, sendo que os APs responsáveis pela área de cobertura do sinal são dispositivos autônomos, ou seja, independentes uns dos outros ou que qualquer elemento externo. Essa característica distribuída pode se tornar um grande problema em redes maiores que possuem uma grande área de cobertura, já que são necessários diversos APs para assegurar que todos os clientes móveis possam se conectar. 

O impasse é que apesar do modelo tradicional ser distribuído, o esforço de configuração é unificado porque deve existir coerência nas configurações dos APs, principalmente no planejamento de canais não sobrepostos e no que diz respeito à potência do sinal de transmissão para que haja células com algum grau de sobreposição a fim de evitar áreas de sombra. 

A Cisco possui uma solução própria de gerenciamento centralizado de redes sem fio denominada Cisco Unified Wireless Network (CUWN). Essa abordagem da Cisco basicamente separa as funções dos APs em dois novos componentes: (1) WLC e (2) LAP:

Fonte: CCNA Wireless 200-355 - Official Certification Guide (Cisco Press)

• WLC (Wireless LAN Controller): Todo o gerenciamento dos APs do ambiente passa a ser realizado por esse componente de maneira centralizada e automatizada, por exemplo através do RRM (Radio Resource Management) que permite a configuração dinâmica das células e dos canais de rádiofrequência;
• LAP (Lightweight Access Point): O LAP é um dispositivo que possui apenas as funções básicas para viabilizar o acesso dos clientes à rede wireless, ou seja, ele transfere toda a responsabilidade do plano de controle para o WLC.

Fonte: CCNA Wireless 200-355 - Official Certification Guide (Cisco Press)

Uma vez que o WLC assume o papel de elemento principal do ponto de vista de inteligência da rede WiFi, não há necessidade de nenhuma configuração nos LAPs, bastando a fixação adequada do equipamento na sua área de cobertura. Por outro lado, sem a presença de uma controladora o LAP não passa de uma caixa fria sem utilidade. É por isso que o LAP, assim que é ligado, imediatamente começa a buscar pela presença de uma ou mais controladoras que possam atendê-lo. Esse processo de descoberta é fundamental e pode ser configurado através de diferentes maneiras.

Um LAP precisa estabelecer um túnel CAPWAP (Control and Provisioning of Wireless Access Points) com uma ou mais controladoras WLC para que o tráfego de controle e de dados seja protegido, uma vez que será necessário passar pela infraestrutura cabeada, o que torna o tráfego dessas mensagens passível de tentativas de ataque. Nas sub-seções abaixo trago uma síntese dos principais métodos que um LAP utiliza na tentativa de descoberta de um WLC:

---

1. Mensagem de Descoberta em Broadcast no Link Local (Sub-Rede)

Uma primeira maneira simplista para descobrir um WLC é o LAP enviar uma mensagem "CAPWAP Discovery Request" (UDP/5246) de natureza broadcast para seu link local (sub-rede). Caso exista algum WLC no enlace, o LAP será respondido com uma mensagem "CAPWAP Discovery Response" e o túnel CAPWAP será estabelecido. A limitação dessa abordagem é que frequentemente o WLC está inserido em outra sub-rede diferente daquela em que os LAPs são instalados, ou seja, o tráfego de broadcast é interrompido na interface do roteador que é gateway da sub-rede de origem da mensagem de descoberta. Para contornar essa limitação é possível configurar a interface do roteador para realizar o relay (encaminhamento) das mensagens broadcast recebidas na porta UDP/5246, apontando para o(s) respectivo(s) controlador(es). Esse procedimento pode ser realizado através dos comandos abaixo:

Router(config)# ip forward-protocol udp 5246

Router(config)# interface g0/0

Router(config-if)# ip helper-address <WLC1-IP>

Router(config-if)# ip helper-address <WLC2-IP>

---

2. Utilização de Endereços de WLCs Previamente Armazenados

Um LAP pode estar previamente "abastecido" com os endereços de três WLCs, informação que fica armazenada na NVRAM (memória não volátil). Por exemplo, se um LAP já foi anteriormente associado com alguma controladora, as informações da controladora ficarão armazenadas na sua NVRAM. Dessa forma, não há necessidade de refazer o processo de descoberta em caso de boot do LAP, o que agiliza o processo de vínculo da LAP com sua(s) WLC(s).

---

3. Uso da Opção 43 do DHCP

Também é possível ensinar o endereço da(s) controladora(s) através da configuração da opção adicional 43 no servidor DHCP. Essa configuração não é assim tão simples quanto incluir a opção 43 no servidor DHCP e informar o IP da WLC. Na realidade, o conteúdo do campo da opção 43 do DHCP é uma string hexadecimal iniciada em 0xf1 que deve obedecer à seguinte estrutura:

"f1" + 4x"qtde WLCs" + "IP1+IP2+IP3"

A string hexadecimal necessariamente deve começar com "f1". Na sequência a string deve ser complementada com quatro vezes a quantidade de WLCs que existem na rede (em hexadecimal). Por fim, devem ser informados os IPs das controladoras de maneira sequencial (em hexadecimal). Por exemplo, assumindo uma rede com um único WLC (destaque em azul) que responde pelo IP 192.168.56.100 (destaque em amarelo), a string hexadecimal seria: f104c0a83864

Abaixo trago um exemplo de configuração de duas WLCs (.100 e .101) no escopo DHCP do IOS:

Router(config)# ip dhcp excluded-address 192.168.56.1 192.168.56.3
Router(config)# ip dhcp excluded-address 192.168.56.100 192.168.56.101
Router(config)# ip dhcp pool ESCOPO
Router(dhcp-config)# network 192.168.56.0 255.255.255.0
Router(dhcp-config)# default-router 192.168.56.1
Router(dhcp-config)# dns-servers 192.168.56.2 192.168.56.3
Router(dhcp-config)# domain-name nome.com.br
Router(dhcp-config)# option 43 hex f108c0a83864c0a83865

No link abaixo o leitor encontra mais informações na página de suporte da Cisco:
http://www.cisco.com/c/en/us/support/docs/wireless-mobility/wireless-lan-wlan/97066-dhcp-option-43-00.html

---

4. Uso de Nome DNS

Por padrão um LAP Aironet tenta resolver o nome CISCO-CAPWAP-CONTROLLER.localdomain, sendo que localdomain é o domínio em uso no ambiente da empresa e que foi aprendido via DHCP. Ou seja, através da inserção de um registro nos servidores DNS da empresa é possível mapear esse nome com o respectivo endereço IP da controladora principal que o LAP deverá criar vínculo.   

---

Samuel.

Novos Padrões WiFi: 802.11ad (WiGig) e 802.11ah (HiLow)

Olá Pessoal.

Há alguns anos escrevi um artigo intitulado "Padrão IEEE 802.11ac de Redes Wireless a 1Gbps", oportunidade em que abordei a atual tecnologia Gigabit WiFi (802.11ac) ainda em momento que esse padrão era apenas um rascunho. Desde então novas tecnologias WiFi vem sendo desenvolvidas, motivo pelo qual vou dedicar este artigo a três padrões recentes e interessantes de WLAN: 802.11ad (WiGig), 802.11af (WhiteFi) e 802.11ah (HaLow). Antes de explicar brevemente as particularidades de cada um, é importante esclarecer que nenhum deles é concorrente (ou mesmo uma evolução natural) do atual padrão 802.11ac, mas têm potencial de disseminação comercial para fins específicos. 

---

Padrão IEEE 802.11ad (WiGig)

A tecnologia WiGig tem por objetivo viabilizar redes multi-gigabit extremamente rápidas por operar em faixas de frequências altas da ordem de 60 GHz. Essa frequência ainda não é muito utilizada e tem uma faixa ampla de banda disponível. Apesar disso ser um grande atrativo, é importante destacar que faixas de frequência mais altas do espectro eletromagnético têm menor alcance e muita dificuldade em penetrar obstáculos, sendo incapazes de atravessar paredes, uma característica fundamental.

É por causa dessa característica que o WiGig é considerado uma tecnologia de redes sem fio de área pessoal (WPAN) que tem por objetivo principal viabilizar aquilo que chamamos de wireless docking para que diferentes dispositivos possam parear em um pequeno espaço, como por exemplo na substituição dos cabos HDMI entre dispositivos audiovisuais em uma sala de estar.

No entanto existe a possibilidade de desenvolvimento de dispositivos WLAN tri-band capazes de operar nas frequências de 2.4 GHz, 5 GHz e também 60 GHz. A idéia seria tirar máximo proveito da faixa de frequência de 60 GHz em comunicações entre dispositivos próximos para atingir velocidades maiores que 7 Gbps, de maneira que as demais comunicações entre dispositivos distantes e/ou separados por paredes ocorram através das frequências mais baixas de 5 GHz e 2.4 GHz, como já acontece atualmente.

---

Padrão IEEE 802.11af (WhiteFi ou Super WiFi)

É uma tecnologia que se propõe a utilizar os chamados espaços brancos de TV, ou seja, aquelas faixas de frequência do espectro das redes de TV que estão ociosas. Na realidade os espaços brancos de TV são faixas de frequência não utilizadas propositalmente para que haja uma distância natural entre os diferentes transmissores com a finalidade de evitar interferência entre canais próximos. Ocorre que esse espaço foi dimensionado para proteger o sinal de outras interferências terrestres que normalmente não ocorrem em várias regiões, o que implica em pouca eficiência no uso do espectro disponível.

Na prática essa tecnologia é considerada nebulosa porque ainda é difícil o esforço para organizar os rádios dincamicamente na utilização das diferentes frequências sem gerar interferência no serviço primário de televisão. Além disso, a proposta 802.11af em redes locais (WLAN) conflita em vários aspectos com outro grupo de trabalho que estuda os chamados rádios cognitivos (ou software-defined radio) de alcance geográfico da ordem de 100km através do padrão 802.22 de WRAN (Wireless Regional Area Network).

---

Padrão IEEE 802.11ah (HaLow)

A completa padronização do WiFi HaLow deve ocorrer ainda nesse ano. Trata-se de um padrão ideal para suportar a comunicação entre dispositivos portáteis no contexto da Internet das coisas (IoT). Ele opera em frequências abaixo do GHz, especificamente nas faixas não licenciadas nas proximidades dos 900 MHz, o que implica em maior área de cobertura e melhor penetrabilidade do sinal ao enfrentar obstáculos do que as frequências mais altas. Seu aspecto negativo é que nessa faixa faixa de frequência há pouca banda disponível, por exemplo apenas 26 MHz nos EUA, o que limita a aplicação da tecnologia para comunicações pouco volumosas, principalmente entre sensores telemétricos (machine-to-machine). Outro benefício é o baixo consumo de energia, um grande atrativo para dispositivos portáteis.

---

Samuel.

Configuração de WLAN ESS no Cisco Aironet via CLI

Olá Pessoal,

Este é mais um artigo sobre a configuração do AP Cisco Aironet através da linha de comando (CLI), dessa vez com o objetivo de listar o processo de configuração de um ambiente ESS de WLAN em que existem múltiplos APs para aumentar a área de cobertura em redes fisicamente maiores. Para demonstrar esse processo, as configurações apresentadas serão baseadas na topologia da figura abaixo. 

Antes de fazer qualquer configuração, um conceito fundamental é a divisão da banda total em canais menores para viabilizar a construção de redes com várias células para disponibilizar seu sinal em grandes áreas de cobertura, de maneira que a configuração de canais não sobrepostos torna-se uma estratégia fundamental para evitar interferência entre células vizinhas. Por exemplo, considerando a banda de 2.4GHz, existem apenas 3 canais sem sobreposição e que utilizamos no planejamento das células providas pelos APs, formando um ambiente maior denominado Extended Service Set (ESS) na arquitetura IEEE 802.11, conforme ilustrado na figura abaixo.

Observem na topologia que existem 3 APs conectados no sistema de distribuição que são os switches responsáveis pela infraestrutura da rede. Embora sejam APs distintos, todos serão configurados como membros do mesmo SSID denominado NOME para que os clientes em movimento possam fazer a transição transparente entre células, sem necessidade de reconfiguração das propriedades da WLAN. Um cuidado importante, seguindo o planejamento anterior, é garantir que os APs adjacentes operem em canais distantes para evitar interferência, motivo pelo qual optamos por colocar os APs para operar nos canais 1, 6 e 11. É óbvio que esse procedimento depende também da realização de um mapeamento dos canais menos poluídos no ambiente (site survey).

A configuração dos APs é praticamente a mesma, visto que compartilham a mesma WLAN e que os mecanismos de autenticação devem ser consistentes ao longo de toda a rede, sendo que a única diferença é a o canal de operação da célula. Não vou detalhar cada configuração específica, visto que o leitor pode encontrar mais informações sobre as configurações básicas de um AP Aironet em outro artigo intitulado "Configuração Básica do AP Cisco Aironet via CLI".

!--- Configuração do AP1
AP1# configure terminal
AP1(config)# dot11 ssid NOME
AP1(config-ssid)# guest-mode
AP1(config-ssid)# authentication open
AP1(config-ssid)# authentication key-management wpa ver 2
AP1(config-ssid)# wpa-psk ascii SENHASENHA
AP1(config-ssid)# exit
AP1(config)# interface dot11radio0
AP1(config-if)# channel 1
AP1(config-if)# encryption mode ciphers aes-ccm
AP1(config-if)# ssid NOME
AP1(config-if)# no shut 
AP1(config-if)# exit

!--- Configuração do AP2
AP2# configure terminal
AP2(config)# dot11 ssid NOME
AP2(config-ssid)# guest-mode
AP2(config-ssid)# authentication open
AP2(config-ssid)# authentication key-management wpa ver 2
AP2(config-ssid)# wpa-psk ascii SENHASENHA
AP2(config-ssid)# exit
AP2(config)# interface dot11radio0
AP2(config-if)# channel 6
AP2(config-if)# encryption mode ciphers aes-ccm
AP2(config-if)# ssid NOME
AP2(config-if)# no shut 
AP2(config-if)# exit

!-- Configuração do AP3
AP3# configure terminal
AP3(config)# dot11 ssid NOME
AP3(config-ssid)# guest-mode
AP3(config-ssid)# authentication open
AP3(config-ssid)# authentication key-management wpa ver 2
AP3(config-ssid)# wpa-psk ascii SENHASENHA
AP3(config-ssid)# exit
AP3(config)# interface dot11radio0
AP3(config-if)# channel 11
AP3(config-if)# encryption mode ciphers aes-ccm
AP3(config-if)# ssid NOME
AP3(config-if)# no shut 
AP3(config-if)# exit

Façam seus testes...

Samuel.

Configuração de Multi-SSID no Cisco Aironet via CLI

Olá Pessoal,

Este é mais um artigo sobre a configuração do AP Cisco Aironet através da linha de comando (CLI), dessa vez com o objetivo de listar o processo de configuração de um ambiente de WLAN em que existem múltiplos SSIDs lógicos no(s) mesmo(s) equipamento(s) físico(s). Para demonstrar esse processo, as configurações apresentadas serão baseadas na topologia da figura abaixo. 

Observem que existe um AP fisicamente conectado em modo trunk na interface g0/1 do Switch Catalyst. O AP possui dois SSIDs, cada um associado com sua respectiva VLAN e sub-rede. Um SSID é exclusivo para uso dos funcionários da empresa que têm acesso aos servidores, enquanto que outro é aberto para visitantes terem acesso à Internet. A configuração do switch em que o AP está conectado é simples, sendo necessário apenas setar a interface g0/1 em modo trunk com encapsulamento 802.1q para que seja possível fazer a separação lógica das VLANs 07 (do SSID EMPRESA) e 08 (do SSID VISITANTE).

Switch# configure terminal
Switch(config)# interface g0/1
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk encapsulation dot1q
Switch(config-if)# switchport trunk native vlan 1
Switch(config-if)# switchport trunk allowed vlan 1,7,8
Switch(config-if)# end

A configuração do AP consiste, primeiramente, na criação dos SSIDs e associação de cada um com sua respectiva VLAN. Na sequência informaremos a interface física do rádio 2.4 GHz (interface dot11radio 0) que existem múltiplos SSIDs e definimos o método de autenticação. A configuração é finalizada com a criação de duas sub-interfaces lógicas para cada VLAN. É necessário criar as sub-interfaces lógicas a partir da(s) interface(s) de rádio e também da interface ethernet, já que existe uma função de bridge responsável pela integração das interfaces físicas do AP.

!--- Configuração dos SSIDs e Associação c/ VLANs
ap# configure terminal
ap(config)# dot11 ssid EMPRESA
ap(config-ssid)# vlan 7
ap(config-ssid)# authentication open
ap(config-ssid)# authentication key-management wpa version 2
ap(config-ssid)# wpa-psk ascii PASSWORD1
ap(config-ssid)# mbssid guest-mode
ap(config-ssid)# exit
ap(config)# dot11 ssid VISITANTE
ap(config-ssid)# vlan 8
ap(config-ssid)# authentication open
ap(config-ssid)# authentication key-management wpa version 2
ap(config-ssid)# wpa-psk ascii PASSWORD2
ap(config-ssid)# mbssid guest-mode
ap(config-ssid)# exit

!-- Configuração da Interface do Rádio 2.4 GHz 
ap(config)# interface dot11radio 0
ap(config-if)# mbssid
ap(config-if)# channel 6
ap(config-if)# encryption vlan 7 mode ciphers aes-ccm
ap(config-if)# encryption vlan 8 mode ciphers aes-ccm
ap(config-if)# ssid EMPRESA
ap(config-if)# ssid VISITANTE
ap(config-if)# no shut
ap(config-if)# exit

!-- Configuração das Sub-Interfaces Lógicas dos Múltiplos SSIDs
ap(config)# interface dot11radio0.7
ap(config-subif)# encapsulation dot1q 7
ap(config-subif)# bridge-group 7
ap(config-subif)# exit
ap(config)# interface dot11radio0.8
ap(config-subif)# encapsulation dot1q 8
ap(config-subif)# bridge-group 8
ap(config-subif)# exit

!-- Configuração da Interface Ethernet Conectada no Switch
ap(config)# interface g0
ap(config-if)# no shutdown
ap(config)# interface g0.7
ap(config-subif)# encapsulation dot1q 7
ap(config-subif)# bridge-group 7
ap(config-subif)# exit
ap(config)# interface g0.8
ap(config-subif)# encapsulation dot1q 8
ap(config-subif)# bridge-group 8
ap(config-subif)# exit

!-- Integrating Routing and Bridging
ap(config)# bridge irb
ap(config)# bridge 1 route ip
ap(config)# end

Ao final foi necessário ativar o recurso Integrated Routing and Bridging (IRB) porque as funções de bridge (camada 2) e de roteamento (camada 3) utilizam protocolos diferentes. No caso dos APs que são dispositivos da camada de enlace, todas as interfaces que fazem parte de um mesmo grupo bridge-group possuem um endereço IP coletivo em alguma interface roteável. Por exemplo, ambas as sub-interfaces dot11radio0.7 e fastethernet0.7 fazem parte do mesmo grupo e estão associadas a uma VLAN que, por sua vez, está vinculada a uma interface virtual do switch multi-layer (SVI) que é roteável. No caso desse cenário, trata-se da interface VLAN7 (SVI) que possui um IP na sub-rede 192.168.7.0/24 e que é utilizado pelas demais máquinas como gateway. Um destaque importante é que o acesso de gerência ao AP acontece através da interface BVI1 que faz comunicação com o switch através da VLAN 1 (nativa), sendo possível alterar essa VLAN.

Façam seus testes...

Samuel.

Configuração de Filtro de MAC no Cisco Aironet via CLI

Olá Pessoal,

Há alguns dias escrevi um artigo intitulado "Configuração Básica do AP Cisco Aironet 1600 via CLI", oportunidade em que apresentei um roteiro de como realizar algumas das configurações básicas mais importantes no Aironet através da interface de linha de comando (CLI). Neste artigo vou aproveitar o "gancho" do anterior para mostrar ao leitor como aplicar regras de controle de acesso por MAC (ACL) para filtrar (permitir/negar) o acesso de máquinas na rede sem fio, também através da CLI. 

Às vezes algumas pessoas não entendem o motivo de estudar detalhadamente a linha de comando, já que em primeiro momento a interface gráfica (GUI) parece ser mais intuitiva e simples de aplicar as configurações desejadas. Uma primeira justificativa favorável à linha de comando é que ela é universal em todas as caixas que executam o sistema operacional IOS da Cisco, o que quer dizer que os comandos utilizados para realizar as configurações são sempre os mesmos independente do modelo específico do equipamento. Por outro lado, o mesmo nem sempre é verdade nas interfaces gráficas que frequentemente são próprias de cada modelo específico de equipamento. 

Ainda que essa justificativa tenha um peso relevante, ainda assim há aqueles que achem que o esforço de busca das opções nas diferentes interfaces gráficas compense o tempo maior da curva de aprendizado do modo de operação da linha de comando. Ocorre que é comum as interfaces gráficas não explorarem o potencial de todos os recursos que podem ser configurados nos equipamentos de rede, o que faz com que alguns recursos somente possam ser configurados via linha de comando. 

No caso específico da configuração de listas de controle de acesso (ACL) no AP Cisco Aironet 1600, através da interface gráfica somente é possível filtrar 43 endereços MAC, enquanto que através da linha de comando é possível filtrar 2048 endereços MAC, uma diferença significativa em favor da CLI! Para exemplificar essa configuração, vou utilizar como base um cenário bem simples (figura) em que temos apenas um AP responsável por um único SSID denominado NOME (associado à VLAN 37). 

As ACLs para fins de filtragem de endereços físicos (MAC) são identificadas através do intervalo de números que varia de 700 até 799 ou 1100 até 1199. Ao criar uma ACL com numeração nesse intervalo, o sistema IOS aceitará a inserção de endereços MAC na sua sintaxe (no formato dddd.dddd.dddd). Criaremos a ACL 777 com permissão apenas dos endereços físicos especificados, usando a máscara 0000.0000.0000 que trava todas as posições. No final da ACL é importante negar todos os demais endereços, o que pode ser feito através do endereço 0000.0000.0000 com máscara ffff.ffff.ffff (any). Na sequência a ACL é aplicada para todo o AP de maneira global (destaque em amarelo), de forma que os filtros serão válidos para todos os SSIDs que existam configurados.

ap> enable

ap# configure terminal

ap(config)# access-list 777 permit 0040.96aa.1111 0000.0000.0000

ap(config)# access-list 777 permit 0040.96bb.2222 0000.0000.0000

ap(config)# access-list 777 permit 0040.96cc.3333 0000.0000.0000

ap(config)# access-list 777 deny   0000.0000.0000 ffff.ffff.ffff

ap(config)# dot11 association mac-list 777

ap(config)# end

Caso o leitor queira mais granularidade de maneira que seja possível configurar um determinado filtro para apenas um SSID específico, ao invés de todos os SSIDs do AP de maneira global, é possível setar a aplicação das regras apenas na interface dot11radio (física ou sub-interface) responsável pelo SSID. Nesse caso as configurações seriam realizadas da seguinte maneira:

ap> enable

ap# configure terminal

ap(config)# access-list 777 permit 0040.96aa.1111 0000.0000.0000

ap(config)# access-list 777 permit 0040.96bb.2222 0000.0000.0000

ap(config)# access-list 777 permit 0040.96cc.3333 0000.0000.0000

ap(config)# access-list 777 deny   0000.0000.0000 ffff.ffff.ffff

ap(config)# interface dot11radio0.37

ap(config-subif)# bridge-group 37 input-address-list 777

ap(config-subif)# end

Façam seus testes...

Samuel.

Configuração Básica do AP Cisco Aironet 1600 via CLI

Olá Pessoal,

A família Aironet de Access Points (AP) da Cisco provê uma solução de rede sem fio (WLAN) que combina mobilidade e flexibilidade em ambientes corporativos de qualquer porte, permitindo seu gerenciamento através do tradicional sistema operacional IOS amplamente disseminado em switches e roteadores. Além disso, há diversos modelos que possuem diferentes características. Por exemplo, há APs que operam de maneira autônoma (identificados pela palavra SAP no código do produto) ou através de controladoras (indicados pela palavra CAP no código do produto), além de APs que possuem apenas antenas embutidas internamente (identificados pela letra "i" no código do produto) ou que suportam a inserção de antenas externas para ambientes mais ruidosos (identificados pela letra "e" no código do produto).

A figura abaixo traz uma síntese dos modelos 1600/2600/3600 que são bastante comuns no mercado (suportam o padrão 802.11n), lembrando que já existem os modelos 1700/2700/3700 e 1850 que são baseados no recente padrão 802.11ac. Cabe destacar que o Aironet 3600 permite o acoplamento de um módulo compatível com o recente padrão 802.11ac (clique no link para ler mais sobre o padrão ac). 

Fonte: Cisco Systems (www.cisco.com)

A maneira mais simples de configurar um AP Aironet que esteja operando em modo autônomo (standalone) é através da interface web, ilustrada abaixo. No entanto, é importante destacar que o equipamento possui o sistema operacional IOS e pode ser totalmente configurado através da interface de linha de comando (CLI). Não há muito a detalhar em relação à interface web, visto que ela tende a ser bem intuitiva por si só. Basicamente ela é composta de um menu superior com as opções principais, além de um menu lateral (à esquerda) com as sub-opções de cada aba que compõe do menu superior. 

Fonte: Cisco Systems (www.cisco.com)

Quando o AP é conectado na infraestrutura da rede cabeada através da sua interface Ethernet, automaticamente é realizada uma operação de bridge entre as redes LAN (cabeada) e WLAN (wireless) através de uma interface virtual denominada Bridge Virtual Interface (BVI). Dessa forma, ao invés de existirem IPs separados para as interfaces Ethernet e de Rádio (Dot11Radio), o mesmo endereço representa o AP na rede. O procedimento para configurar um IP no AP é listado abaixo, destacando que deve ser realizado na interface virtual BVI para que seja possível acessar o dispositivo remotamente.

ap> enable

ap# configure terminal
ap(config)# hostname AP1600

AP1600(config)# interface BVI1

AP1600(config-if)# ip address 192.168.0.101 255.255.255.0
AP1600(config-if)# ipv6 address 2001:db8:cafe::101/64

Outra aspecto básico das configurações iniciais é a autenticação/autorização (AAA) de usuários que terão acesso ao dispositivo AP. Considerando que estamos configurando um Aironet 1600 em ambiente de pequeno porte que não possui nenhum servidor RADIUS ou TACACS+ especificamente para autenticação centralizada, então podemos habilitar uma base local de usuários através das linhas abaixo, oportunidade em que criaremos o usuário ADMIN com privilégios administrativos (nível 15). Também ativaremos o protocolo SSH no segundo bloco para acesso remoto seguro:

AP1600# configure terminal

AP1600(config)# aaa new-model
AP1600(config)# aaa authentication login default local
AP1600(config)# aaa authorization exec default local
AP1600(config)# aaa authorization network default local
AP1600(config)# aaa authentication enable default none
AP1600(config)# username ADMIN privilege 15 secret SENHA

AP1600(config)# ip domain-name nome.com.br
AP1600(config)# crypto key generate rsa
AP1600(config)# ip ssh version 2
AP1600(config)# no ip ssh version 1
AP1600(config)# ip ssh timie-out 30
AP1600(config)# ip ssh authentication retries 3

Outras configurações básicas que faremos na sequência é ativar o cache de ARP (linha 02) para reduzir o tráfego na WLAN para que o AP evite enviar requisições ARP para os clientes wireless que já estejam associados e, portanto, tenham seus endereços MAC conhecidos pelo AP. Também configuraremos o relógio do AP através do SNTP que possui apenas um cliente NTP, apontando para os servidores NTP públicos do NTP.br (linhas 03 e 04). Por fim, informaremos um servidor DNS público qualquer para resolver nomes na Internet (linha 05). Estou partindo do princípio de que não existem servidores NTP ou DNS próprios na empresa, o que explica o uso dos serviços públicos.

01. AP1600# configure terminal
02. AP1600(config)# dot11 arp-cache
03. AP1600(config)# sntp server 200.160.7.186
04. AP1600(config)# sntp broadcast client
05. AP1600(config)# ip name-server 208.67.222.222 208.67.220.220

Antes de dar continuidade às configurações básicas da WLAN em um AP Aironet, é fundamental compreender conceitualmente e, somente então, defnir o papel que o dispositivo irá desempenhar na rede sem fio. De maneira simplista, um AP Aironet pode ser configurado nos seguintes modos de operação:

---

Modo: Ponto de Acesso (Access Point)

A maneira mais comum de operação de um AP é conectá-lo diretamente à rede cabeada e prover uma célula denominada BSS (Basic Service Set) para conexão dos usuários de dispositivos sem fio. Também é possível, embora pouco interessante, o AP ser instalado exclusivamente para prover a BSS sem qualquer conexão física com a infraestrutura.

Em ambientes maiores uma WLAN pode ter vários APs conectados através de um sistema de distribuição para aumentar a ára de cobertura. Assim os usuários podem se mover na área de cobertura dos diversos APs sem perder a conexão, através de um processo denominado roaming. ESS (Extended Service Set) é o conjunto de células BSS com áreas de cobertura com alguma sobreposição para evitar pontos cegos de maneira bastante similar o modelo das redes de telefonia celular. Para evitar interferência as células vizinhas que compõem uma ESS não devem operar em canais adjacentes.

Em síntese, as regras para projetar ambientes ESS são:

1) Deve existir algum grau de sobreposição das células para evitar pontos cegos;
2) Não deve existir sobreposição de canais para evitar interferência.

Fonte: Cisco Systems (www.cisco.com)

---

Modo: Repetidor (Repeater)

É possível ampliar a área de cobertura de um ambiente através da configuração de um repetidor que recebe e amplifica o sinal antes de retransmití-lo para um AP principal (ou outro repetidor). Embora um repetidor tenha aplicações úteis em redes sem fio, por exemplo no encaminhamento do sinal em caso de obstrução, nem sempre essa é a melhor estratégia.

A maior restrição da repetição de sinal é que o AP e seu(s) repetidor(es) continua(m) sendo uma única BSS maior operando no mesmo canal, exatamente o oposto do que acontece quando projetamos uma ESS com células menores para diminuir a quantidade de usuários pendurados na célula e melhorar o desempenho. Outro ponto negativo é que aqueles clientes conectados atrás de um repetidor terão maior latência na comunicação até que seu sinal possa chegar no AP principal conectado à infraestrutura cabeada.

Fonte: Cisco Systems (www.cisco.com)

---

Modo: Ponte (Bridge)

Os APs também podem ser configurados como ponte, de maneira que dois APs estabelecem um link wireless ponto-a-ponto para passagem de tráfego entre dois sites. Nesse caso, um AP é configurado como raíz (unidade principal) e outro é associado a ele como cliente.

Também é possível criar uma ponte entre múltiplos APs, de maneira que vários APs clientes (non-root) estabelecem um link wireless ponto-multiponto com um AP principal (root). Cabe observar, no entanto, que em topologias ponto-multiponto a vazão é reduzida em função da quantidade de APs clientes associados ao raíz. Por exemplo, em uma WLAN 802.11g que opera nominalmente a 54Mbps, a vazão máxima é cerca de 25Mbps em um link ponto-a-ponto, enquanto que com 3 APs ligados de maneira ponto-multiponto essa vazão é reduzida para cerca de 12,5Mbps.

Fonte: Cisco Systems (www.cisco.com)

---

Voltando aos procedimentos básicos de configuração de um Aironet, levando em consideração que a segunda geração de APs opera em dualband para suportar o padrão 802.11n, cada antena é identificada através de sua própria interface. O rádio 2.4GHz é configurado através da interface Dot11Radio0, enquanto que o rádio 5GHz é configurado através da interface Dot11Radio1. 

A configuração abaixo cria um SSID denominado NOME, sendo que haverá anúncio desse SSID (guest-mode). Observem no destaque em amarelo que foi configurado o papel do AP e que, em caso de queda da interface Ethernet, ele irá desfazer as associações ativas, uma estratégia interessante para permitir que as estações clientes façam uma nova associação com outro AP que eventualmente esteja disponível nas proximidades. Será utilizado o WPA2 (AES) como mecanismo segurança para que os clientes possam se associar ao AP através de autenticação local. Cabe destacar que um AP suporta até 50 clientes autenticados localmente, sendo capaz de processar 5 autenticações por segundo. Em ambientes maiores é necessário utilizar algum mecanismo mais sofisticado de autenticação centralizada para não comprometer o desempenho do AP, por exemplo servidores RADIUS ou TACACS+.

!-- Configura um SSID
AP1600# configure terminal
AP1600(config)# dot11 ssid NOME
AP1600(config-ssid)# guest-mode
AP1600(config-ssid)# max-associations 20
AP1600(config-ssid)# authentication open
AP1600(config-ssid)# authentication key-management wpa ver 2
AP1600(config-ssid)# wpa-psk ascii PASSWORD
AP1600(config-ssid)# end

!-- Atribui um SSID ao Rádio 2.4GHz e Configura WPA
AP1600# configure terminal
AP1600(config)# interface dot11radio0
AP1600(config-if)# station-role root access-point fallback shutdown
AP1600(config-if)# channel 11
AP1600(config-if)# encryption mode ciphers aes-ccm
AP1600(config-if)# ssid NOME
AP1600(config-if)# no shut
AP1600(config-if)# end

!-- Atribui um SSID ao Rádio 5GHz e Configura WPA
AP1600# configure terminal
AP1600(config)# interface dot11radio1
AP1600(config-if)# encryption mode ciphers aes-ccm
AP1600(config-if)# ssid NOME
AP1600(config-if)# no shut
AP1600(config-if)# end

Façam seus testes...

Samuel.

Cisco RRM na Otimização da Rádiofrequência WiFi

Olá Pessoal.

O Radio Resource Management (RRM) é um dos recursos mais importantes da Arquitetura Cisco Unified Wireless Network (CUWN) em ambientes grandes que precisam de muitos Access Points (APs) para prover conectividade sem fio em toda sua área de cobertura. No ano passado escrevi um artigo intitulado "Padrão IEEE 802.11ac de Redes Wireless a 1Gbps", oportunidade em que apresentei os principais padrões 802.11 de redes sem fio (a, b, g, n , ac) e alguns conceitos importantes sobre a operação das bandas de 2.4GHz e 5GHz.

Um conceito importante é a divisão da banda total em canais menores para viabilizar a construção de redes com várias células para disponibilizar seu sinal em grandes áreas de cobertura, de maneira que a configuração de canais não sobrepostos torna-se uma estratégia fundamental para evitar interferência entre células vizinhas. Por exemplo, considerando a banda de 2.4GHz, existem apenas 3 canais sem sobreposição que utilizamos no planejamento das células providas pelos APs, formando um ambiente maior denominado Extended Service Set (ESS) na arquitetura do IEEE 802.11, conforme ilustrado na figura abaixo. Esse mesmo princípio deve ser aplicado quando utilizamos APs que operam na frequência de 5GHz, por exemplo no padrão 802.11n que opera em ambas as frequências de 2.4GHz e 5GHz, ou seja, temos dois planejamentos distintos no mesmo ambiente físico. 

De maneira simplista as figuras abaixo representam a arquitetura CUWN da Cisco. Essa arquitetura é composta de vários LAPs (Lightweight Access Point) que são APs "leves" com funcionalidades básicas do plano de dados (encaminhamento e cifragem) vinculados a uma ou mais controladoras denominadas WLC (Wireless LAN Controller). Todo o ambiente, por maior que seja, passa a ser  configurado e gerenciado de maneira centralizada através da controladora.

Fonte: Cisco Systems (www.cisco.com)

Fonte: Cisco Systems (www.cisco.com)

O recurso RRM faz com que os LAPs analisem constantemente, por padrão a cada 10 minutos (600 segundos), as condições da radiofrequência em seu entorno. Ao fazê-lo essa solução consegue ajustar de maneira inteligente as potências de transmissão do sinal emitido pelos LAPs, o que determina o tamanho da célula, e os canais em operação em cada uma das células para mitigar problemas de interferência entre canais não sobrepostos. Essa solução reduz significativamente as realizações rotineiras de site surveys para verificar as condições do ambiente e provê capacidade de autocorreção de problemas em caso de ocorrência de zonas cegas, por exemplo, decorrente da queima de um LAP. Ou seja, os próprios LAPs passam a ter o comportamento de um analisador espectral e realizam os site surveys em todo o ambiente, oferecendo muita praticidade! ;-)

Abaixo trago uma síntese das principais tecnologias que fazem parte do RRM:

• TPC (Transmit Power Control) - Com base no monitoramento da radiofrequência, essa tecnologia permite adaptar automaticamente o nível da potência de transmissão dos LAPs para um nível apropriado, sem gerar interferência nos LAPs próximos que estiverem usando os mesmos canais;

• DCA (Dynamic Channel Allocation) - Com base no monitoramento da radiofrequência, essa tecnologia permite selecionar automaticamente o canal utilizado pelos LAPs, automatizando a penosa tarefa de planejamento manual dos canais;

• CHDM (Coverage Hole Detection Mechanism) - Com base nas informações coletadas a partir das associações dos clientes sem fio, é possível detectar uma área com fraco sinal (baixa cobertura) e, então, se possível, aumentar o nível da potência de transmissão dos LAPs para compensar o sinal fraco;

Samuel.