Configuración del punto de acceso en modo sabueso en los controladores inalámbricos Catalyst 9800

Introducción

Este documento describe cómo configurar un punto de acceso (AP) en modo sabueso en un controlador inalámbrico Catalyst serie 9800 (WLC 9800) a través de la interfaz gráfica de usuario (GUI) o la interfaz de línea de comandos (CLI) y cómo recopilar una captura de paquetes (PCAP) por el aire (OTA) con el AP sabueso para resolver problemas y analizar comportamientos inalámbricos.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Configuración de 9800 WLC
• Conocimientos básicos del estándar 802.11

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• AP 2802
• 9800 WLC Cisco IOS®-XE versión 17.3.2a
• Wireshark 3.4.4 o superior

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Advertencias

No utilice la función Sniffer Mode AP si el 9800 está conectado a Cisco Application Centric Infrastructure (ACI) con aprendizaje de terminales predeterminado.  El 9800 transmitirá sus paquetes capturados 802.11 encapsulados UDP originados en la dirección IP de salida del 9800, pero con la dirección MAC de origen como MAC de la radio del AP del sabueso, con el nibble de orden bajo configurado en 0x0F. Esto causará problemas ya que ACI verá la misma dirección IP originada en múltiples direcciones MAC.  Consulte el ID de bug de Cisco CSCwa45713 .

Configurar

Puntos a considerar:

• Se recomienda tener el AP del sabueso cerca del dispositivo de destino y el AP al cual este dispositivo está conectado.
• Asegúrese de saber qué canal y ancho de 802.11, el dispositivo cliente y el AP utilizan.

Diagrama de la red

Configuraciones

Configuración de AP en modo sabueso mediante GUI

Paso 1. En la GUI del 9800 WLC, navegue hasta Configuration > Wireless > Access Points > All Access Points , como se muestra en la imagen.

Paso 2. Seleccione el AP que desea utilizar en el modo de sabueso. En la pestaña General, actualice el nombre del AP, como se muestra en la imagen.

Paso 3. Verifique que Admin Status esté Habilitado y cambie el Modo AP a Sniffer, como se muestra en la imagen.

Aparecerá una ventana emergente con la siguiente alerta:

"Advertencia: Si cambia el modo AP, el AP se reiniciará. Haga clic en Update & Apply to Device para continuar"

Seleccione OK, como se muestra en la imagen.

Paso 4. Haga clic en Update & Apply to Device, como se muestra en la imagen.

Aparece una ventana emergente para confirmar los cambios y los rebotes del AP, como se muestra en la imagen.

Configuración de AP en modo sabueso a través de CLI

Paso 1. Determine el AP que se desea utilizar como modo sabueso y agarre el nombre del AP.

Paso 2. Modifique el nombre del AP.

Este comando modifica el nombre del AP. Donde <AP-name> es el nombre actual del AP.

carcerva-9k-upg#ap name <AP-name> name 2802-carcerva-sniffer

Paso 3. Configure el AP en modo Sniffer.

carcerva-9k-upg#ap name 2802-carcerva-sniffer mode sniffer

Configurar AP para escanear un canal a través de GUI

Paso 1. En la GUI del 9800 WLC, navegue hasta Configuration > Wireless > Access Points.

Paso 2. En la página Access Points, muestre la lista de menús Radios de 5 GHz o Radios de 2,4 GHz. Esto depende del canal que se desea escanear, como se muestra en la imagen.

Paso 2. Busque el AP. Haga clic en el botón de flecha hacia abajo para mostrar la herramienta de búsqueda, seleccione Contiene de la lista desplegable y escriba el nombre AP, como se muestra en la imagen.

Paso 3. Seleccione el AP y marque la casilla de verificación Enable Sniffer en Configure > Sniffer Channel Assignment, como se muestra en la imagen.

 

Paso 4. Seleccione el canal en la lista desplegable Sniff Channel y escriba la dirección IP del sabueso (dirección IP del servidor con Wireshark), como se muestra en la imagen.

Paso 5. Seleccione el ancho de canal que el dispositivo de destino y el AP utilizan cuando están conectados.

Vaya a Configure > RF Channel Assignment para configurar esto, como se muestra en la imagen.

Configurar AP para escanear un canal a través de CLI

Paso 1. Habilite el rastreo de canal en el AP. Ejecute este comando:

carcerva-9k-upg#ap name <ap-name> sniff {dot11a for 5GHz | dot11bfor 2.4GHz | dual-band} <channel> <Wireshark-server-ip-address>

Ejemplo:

carcerva-9k-upg#ap name 2802-carcerva-sniffer sniff dot11a 36 172.16.0.190

Configuración de Wireshark para recopilar la captura de paquetes

Paso 1. Inicie Wireshark.

Paso 2. Seleccione el icono del menú Capture options de Wireshark, como se muestra en la imagen.

Paso 3. Esta acción muestra una ventana emergente. Seleccione la interfaz con cables de la lista como origen de la captura, como se muestra en la imagen. 

Paso 4. En el cuadro del campo Capture filter for selected interfaces:, escriba udp port 5555, como se muestra en la imagen.

Paso 5. Haga clic en Start, como se muestra en la imagen.

Paso 6. Espere a que Wireshark recopile la información necesaria y seleccione el botón Stop de Wireshark, como se muestra en la imagen.

Sugerencia: si la WLAN utiliza cifrado como clave precompartida (PSK), asegúrese de que la captura capte el intercambio de señales de cuatro vías entre el AP y el cliente deseado. Esto se puede hacer si OTA PCAP se inicia antes de que el dispositivo esté asociado con la WLAN o si el cliente es desautenticado y reautenticado mientras se ejecuta la captura.

Paso 7. Wireshark no descodifica los paquetes automáticamente. Para decodificar los paquetes, seleccione una línea de la captura, utilice el clic derecho para mostrar las opciones y seleccione Decodificar como..., como se muestra en la imagen.

Paso 8. Aparecerá una ventana emergente. Seleccione el botón Add (Agregar) y agregue una nueva entrada. Seleccione estas opciones: UDP port from Field (Puerto UDP), 5555 from Value (Valor), SIGCOMP from Default (Valor predeterminado) y PEEKREMOTE from Current (ACTUAL), como se muestra en la imagen.

Paso 9. Click OK. Los paquetes están descodificados y listos para iniciar el análisis.

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

Para confirmar que el AP está en modo Sniffer desde la GUI del 9800:

Paso 1. En la GUI del WLC 9800, vaya a Configuration > Wireless > Access Points > All Access Points .

Paso 2. Busque el AP. Haga clic en el botón de flecha hacia abajo para mostrar la herramienta de búsqueda, seleccione Contiene de la lista desplegable y escriba el nombre del AP, como se muestra en la imagen.

Paso 3. Verifique que Admin Status esté con la marca de verificación en verde y que AP Mode sea Sniffer, como se muestra en la imagen.

Para confirmar que el AP está en modo Sniffer desde la CLI 9800. Ejecute estos comandos:

carcerva-9k-upg#show ap name 2802-carcerva-sniffer config general | i Administrative
Administrative State : Enabled

carcerva-9k-upg#show ap name 2802-carcerva-sniffer config general | i AP Mode
AP Mode : Sniffer

carcerva-9k-upg#show ap name 2802-carcerva-sniffer config dot11 5Ghz | i Sniff
AP Mode : Sniffer
Sniffing : Enabled
Sniff Channel : 36
Sniffer IP : 172.16.0.190
Sniffer IP Status : Valid
Radio Mode : Sniffer

Para confirmar que los paquetes están decodificados en Wireshark. El protocolo cambia de UDP a 802.11 y se ven marcos de baliza, como se muestra en la imagen.

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

Problema: Wireshark no recibe ningún dato del AP.

Solución: la interfaz de administración inalámbrica (WMI) debe poder tener acceso al servidor Wireshark. Confirme el alcance entre el servidor Wireshark y WMI desde el WLC.

Información Relacionada

• Guía de configuración del software del controlador inalámbrico Cisco Catalyst serie 9800, Cisco IOS XE Amsterdam 17.3.x - Capítulo: Modo sabueso

• Fundamentos del analizador de protocolos inalámbrico 802.11
• Soporte Técnico y Documentación - Cisco Systems