IPHONE無法連線到企業網路

最近遇到無法連線的問題，紀錄一下

環境： 

1.IPHONE：14.7.1

2.WLC：Cisco WLC 9800，版本17.9.6

3.認證伺服器：微軟NPS

問題描述：

手機要連線到使用WPA2認證的企業網路，輸入完帳密後，跳出憑證不受信任，是否要信任的視窗，點選"信任"後，跳出無法連線網路。

排錯：

1.在NPS上的事件檢視器找不到登入異常的log。

2.開始在WLC上找訊息

WLC> Troubleshooting >Radioactive Trace，用問題手機的MAC address追蹤，發現有個錯誤訊息是

(ERR): MAC: xxxx.xxxx.xxxx  Dropping the disassoc or deauth request. 11w not enabled

後來在WLC上將該SSID啟用PMF (Protected Management Frame)，選擇Optional後正常。

20250909更新

又遇到一台Ipad(版本18.6.2)無法連線，連線PSK的企業網路。

但錯誤訊息是"此網路所執行的Wi-Fi頻道正由數個其他鄰近的網路使用中。重新啟動無線路由器可能會讓其自動選用最佳的頻道，並起解決這個問題。

一樣將該SSID啟用PMF (Protected Management Frame)，選擇Optional後正常。

android 11手機無法連上Cisco的無線網路(Cisco/Aironet)

 從Cisco官方論壇有人回答是CSCvu24770這個BUG。

CSCvu24770提到是android 10，但此篇文章也有提到android 11也會遇到。

解決方式就是在WLAN→選擇要調整的SSID→Security→Layer 2

Fast Transition的選項從 Adaptive改成enable。

應該是雙方設備協商會失敗導致，強制啟用Fast Transition，也就是802.11r。

FortiAP & Fortigate 設定 第二篇

會有這一篇是後來工作需要，上一篇太過於簡略XD。

這次主要目的就是當wireless controller的Fortigate只有一個port來連接到原本網路環境。

底下是LAB架構圖

1.Fortigate wireless controller設定

a.設定與L3 switch的介面，需勾選CAPWAP。此介面的DHCP Server是給FortiAP用的，

   如果跨網段就要用cli進入dhcp server，加入set option 138 '16進制的IP(controller IP)'。

 b.設定預設路由，目的地為連接的對點IP。

 c.FortiAP接上switch，設定無誤的話就可以看到。注意，switch接AP的port與fortigate同一個VLAN就好。因為client流量是透過fortiAP，進到tunnel，在回到fortigate。

 d.建立SSID，這裡的dhcp是指client拿到的IP。

 e.建立FortiAP profile，將剛剛建立好的SSID放進去。

 f.建立policy，SSID介面到實體介面。這邊要注意，如果不做NAT，那L3 switch要加入client網段路由回去到fortigate wireless controller。

2.L3 switch

a.因為我環境有另外架設DHCP server給client IP，所以我的AP 管理網段的interface vlan要加入ip help-address，讓client可以跟dhcp server要到IP。

b.還有就是，因為我的SSID到實體介面沒有設定NAT，所以在L3 switch上，得增加client網段回去的路由。

c.client流量是透過tunnel回到fortigate wireless controller身上。所以接AP的switch port只要access就好，不用trunk。

Cisco switch connect Cisco Thin ap

筆記一下~

因為Cisco thin AP是不帶tag的。

所以如果只有一個vlan，switch連接ap的port可以成access。


但如果是多ssid，也就是多個vlan。


那switch連接的port就要是trunk port。

如果管理ap的vlan不是預設1的話。

就要更改native vlan。

FortiAP & Fortigate 快速初步設定

此次設定是fortigate與AP是L2打通，沒有跨網段的問題。

(跨網段我一直弄不出來......Orz，接NB都有拿到IP啊，為什麼Fortigate上找不到AP？)

後來弄出來了~後面會補充

1.設定要接AP的interface，注意要把CAPWAP勾選。
   DHCP Sever要啟用，讓AP能拿到IP。

 2.設定SSID介面，這裡的DHCP是指User透過無線連上來的時候所得到的IP。
    

3.設定SSID

4.Fortiap設定配置，如果找不到AP型號就需要升版。

5.AP設定配置

6.AP設定配置完畢

7.如果AP有順利拿到IP，託管這邊就會顯示，把要納入的IP允許授權

8.等一下他就會狀況打綠色的勾勾

9.再去policy設定

今天如果環境內有L3設備會跨網段，那DHCP Server就要派送的資訊就要加入Access Controller的IP。
1.在CLI環境下 config system dhcp server，
然後show，看之前建立的DHCP server資訊。

  

edit 1，然後是重點：set option 138 16進制的IP。

比如說10.1.1.1→A111，但要注意一點，他是吃8個字，所以不足的地方要補0：

10.1.1.1→A111→0A010101

這樣跨網段那些AP也可以要到IP並且得知AC的位址了。

當然也可以手動設定IP。

預設AP的IP是192.168.1.2，筆電或電腦設192.168.1.3，兩邊用跳線telnet。

輸入

cfg -a AP_IPADDR="192.168.118.10"

cfg -a AP_NETMASK="255.255.255.0"

cfg -a IPGW="192.168.118.230"

cfg -a AC_IPADDR_1="192.168.118.113"

cfg -a ADDR_MODE="STATIC"

cfg -c

如果IP不對或不知道密碼就按reset洗掉~