從一條連線，開始練習。

可沿用已驗證的隔離基礎，不需每題重設。PC1→SW1 Fa0/1、SRV1若有→Fa0/2、AP1→具PoE的Fa0/24（無PoE用合法供電器）、WLC Port1→Gi0/1、R1 Gi0/0→Gi0/2。management tag100，clients tag110，native999不用於主機。

enable
configure terminal
vlan 100
name WLC_MGMT
vlan 110
name WLAN_CLIENTS
vlan 999
name NATIVE_UNUSED
interface range FastEthernet0/1 - 2
switchport mode access
switchport access vlan 100
no shutdown
interface FastEthernet0/24
switchport mode access
switchport access vlan 100
no shutdown
interface range GigabitEthernet0/1 - 2
switchport mode trunk
switchport trunk native vlan 999
switchport trunk allowed vlan 100,110,999
switchport nonegotiate
no shutdown
end

兩個trunk允許100/110，AP access100有供電與實體鏈路。

只在專用實驗R1提供DHCP，不能連入正式網路。R1子介面為兩VLAN閘道；WLC management DHCP server設192.168.100.1，LAB110 DHCP server設192.168.110.1。PC1靜態192.168.100.10/24、gateway.1；SRV1若有靜態.50。不提供真正Internet。

enable
configure terminal
interface GigabitEthernet0/0
no ip address
no shutdown
interface GigabitEthernet0/0.100
encapsulation dot1Q 100
ip address 192.168.100.1 255.255.255.0
interface GigabitEthernet0/0.110
encapsulation dot1Q 110
ip address 192.168.110.1 255.255.255.0
exit
ip dhcp excluded-address 192.168.100.1 192.168.100.99
ip dhcp excluded-address 192.168.100.150 192.168.100.254
ip dhcp excluded-address 192.168.110.1 192.168.110.99
ip dhcp excluded-address 192.168.110.200 192.168.110.254
ip dhcp pool WLC_MANAGEMENT
network 192.168.100.0 255.255.255.0
default-router 192.168.100.1
exit
ip dhcp pool WLAN_CLIENTS
network 192.168.110.0 255.255.255.0
default-router 192.168.110.1
end

AP租約100網段.100–149；WLAN client110網段.100–199；兩個gateway可達。

SRV1需實際提供RADIUS authentication UDP1812（accounting若用為1813）、Syslog UDP514及NMS。這些不是WLC內建替你啟動的服務。以防火牆只允許WLC management192.168.100.2相關流量；shared secret需自行建立且不公開。

服務已監聽且可從管理網段到達，WLC時間合理。

選用專用 Ubuntu 24.04/26.04 的 SRV1，靜態 192.168.100.50/24、gateway 192.168.100.1。以下套件只安裝在學員的 SRV1；既有 AAA/監控主機應按既有變更程序，不覆蓋正式設定。先完成套件安裝，實驗流量僅放行 WLC 192.168.100.2 到 UDP1812/514；NMS 的 SNMP request 目的地是 WLC UDP161，trap 接收端若有使用才需 UDP162。

sudo apt-get update
sudo apt-get install -y freeradius freeradius-utils rsyslog snmp
ip -br address

FreeRADIUS 3.x 與 rsyslog 已安裝；SRV1 可 ping WLC 管理介面。

以 sudoedit /etc/freeradius/3.0/clients.conf 新增一段 client ccna_wlc { ipaddr = 192.168.100.2; secret = <自行產生且與WLC相同的私人secret> }。這是設定範本；請依 FreeRADIUS 格式分行、移除尖括號並輸入私有值。於 /etc/freeradius/3.0/mods-config/files/authorize 新增 ccna_test Cleartext-Password := "<另一組私人測試密碼>"。檔案僅允許 root 與服務所需帳號讀取，不把真實 secret 放入教材或公開 Git。先備份兩檔；執行語法檢查通過後才重啟服務。PEAP/EAP 測試還需要自己的測試 CA/server certificate 與信任該 CA 的 client，不能直接信任未知憑證。

sudo freeradius -XC
sudo systemctl restart freeradius
sudo systemctl status freeradius --no-pager
sudo journalctl -u freeradius --since "10 minutes ago" --no-pager

語法檢查成功、服務 active；僅定義 client/user 不等於已經收到 WLC 的 Access-Request。

先檢查 rsyslog 是否已載入 imudp，避免重複載入。以 sudoedit /etc/rsyslog.d/30-ccna-wlc.conf 建立三行：module(load="imudp")；input(type="imudp" port="514")；if ($fromhost-ip == "192.168.100.2") then /var/log/ccna-wlc.log 。分號在此僅表示換行，不要原樣貼成一行。若 imudp 已載入則省略第一行。用主機防火牆限定來源為 WLC；驗收要看到 WLC 來源而非僅本機 logger 測試訊息。

sudo rsyslogd -N1
sudo systemctl restart rsyslog
sudo ss -lunp
sudo journalctl -u rsyslog --since "10 minutes ago" --no-pager

rsyslog 語法正確，UDP514 listening；WLC 配置送出並產生事件後，/var/log/ccna-wlc.log 才會建立或增加。

在自己的RADIUS軟體將WLC management192.168.100.2新增為NAS/client，指定獨有shared secret與測試帳號/政策。若啟用WLC的RADIUS Server Overwrite Interface等選項，來源可能不同，需按實際封包記錄核對。不把shared secret當使用者登入密碼。

RADIUS能識別WLC的真實來源與正確secret。

Security > AAA > RADIUS > Authentication > New，選未用Server Index，IP192.168.100.50、Port1812、輸入同一私人shared secret並啟用Server Status；Network User/Management用途依政策選擇，不意外將WLC管理登入改走未驗證AAA。Apply。本題定義server不等於WLAN已用802.1X。

show radius summary

summary列出server index/IP/1812 enabled，不顯示secret。

優先在Management > SNMP > SNMP V3 Users依平台支援建立authPriv帳號，選NMS支援的認證/加密演算法，來源限制管理網段或NMS。依AireOS8.5與硬體實際選單核對；若平台/NMS僅能v2c，僅隔離實驗、ReadOnly、來源192.168.100.50/32、獨有community，停用public/private預設。勿把SNMP密碼寫入命令或教材。 NMS 端：於目前專用使用者的 ~/.snmp/snmp.conf 配置 defVersion 3、defSecurityName <WLC上的使用者>、defSecurityLevel authPriv、defAuthType/defPrivType（與WLC相同，例如 SHA/AES）、defAuthPassphrase/defPrivPassphrase（各自私人值），每項一行且 chmod 600。再執行 snmpget 192.168.100.2 1.3.6.1.2.1.1.5.0 1.3.6.1.2.1.1.3.0，應取得 sysName.0 與 sysUpTime.0。不要將含密碼的設定檔或 shell 歷史上傳。

NMS僅能以授權唯讀憑證輪詢，未授權來源被限制；v2c不具加密保護。

Management > Logs > Config（實際名稱依版本），新增Syslog Server192.168.100.50；依需要選informational等合理級別，避免長期debug大量輸出。Syslog UDP沒有可靠送達保證；產生一個自己的管理登入/登出或受控WLAN設定事件，在server按時間與來源查是否收到。

show logging

WLC設定可見且server真的接收到WLC來源事件，不能只以show設定宣稱收到。

RADIUS需透過實際綁定的測試WLAN/支援的安全AAA測試流程產生Access-Request，再核對server Access-Accept/Reject；本題未建立802.1X WLAN就不宣稱client已認證成功。NMS讀sysName/sysUpTime等唯讀OID，syslog查來源/時間。撤回只刪本題server/user設定，不影響既有正式監控。 需要驗證實際 AAA 時，另建只供自己 client 的 Disabled 測試 WLAN（未使用 ID/SSID，介面 LAB110），Security > Layer2 選 WPA2/AES + 802.1X，AAA Servers 選本題 server index，完成 CA/PEAP 憑證信任後才啟用。client 使用 ccna_test 私人帳密登入，再於 RADIUS log 核對來源、Access-Request、Accept/Reject；錯誤密碼應 Reject。測完停用此測試 WLAN，不修改 WPA2-PSK 練習 WLAN。Syslog 用 sudo tail -n 30 /var/log/ccna-wlc.log 核對。

show radius summary
show logging
save config

三類功能各有接收端證據；未產生RADIUS驗證則清楚標示僅完成server定義。