我的工作空間/練習工作台
原創練習教材CCNA · V2.2
LEARN BY CONNECTING CCNA LABS

從一條連線，開始練習。

選擇 Lab、找到合適設備，讓每一次練習都有清楚的起點。

練習指南
31精選練習主題
31已發布教案
CLI可複製設定範例

CCNA 200-301 · Version 2.2

DISCOVERY 31Wireless基礎

設定 WPA2-PSK 無線網路

Configure a WLAN to Use WPA2 PSK

建立獨立WPA2-PSK/AES WLAN，以正確與錯誤密鑰對照驗證無線認證。

50 分鐘

基本拓撲 TOPOLOGY

原創示意圖 · 靜態拓撲
需要看清接線與埠名時，可切換原尺寸閱讀
Discovery 31 原創練習拓撲pc1 連接 sw1，Ethernet ↔ access VLAN100。sw1 連接 wlc1，Gi0/1 ↔ WLC Port1 · trunk100,110。sw1 連接 ap1，PoE access VLAN100。ap1 連接 client，802.11 · 無線連線（示意）。sw1 連接 r1，Gi0/2 ↔ Gi0/0 · trunk100,110。 Ethernet ↔ access VLAN100 Gi0/1 ↔ WLC Port1 · trunk100,110 PoE access VLAN100 802.11 · 無線連線（示意） Gi0/2 ↔ Gi0/0 · trunk100,110 PC1有線管理PC · 192.168.100.10 SW1VLAN100管理 / VLAN110用戶 WLC1AireOS8.5 · 192.168.100.2 AP1相容Lightweight AP CLIENT無線測試終端 R1Gateway + DHCP VLAN100/110 示意連線 · 非執行中的網路 · 實際埠名請對照接線表
路由器 交換器 / 終端設備實線表示實體乙太網路連線

設備與位址 ADDRESSING

先確認介面名稱，再開始設定
設備 DEVICE介面IPv4 位址子網路遮罩預設閘道
PC1有線管理192.168.100.10255.255.255.0192.168.100.1
WLC1management VLAN100 / port1192.168.100.2255.255.255.0192.168.100.1
AP1management VLAN100DHCP192.168.100.100–149255.255.255.0192.168.100.1
WLC1dynamic interface LAB110192.168.110.2255.255.255.0192.168.110.1
CLIENTWLAN VLAN110DHCP192.168.110.100–199255.255.255.0192.168.110.1
R1Gi0/0.100192.168.100.1255.255.255.0—
R1Gi0/0.110192.168.110.1255.255.255.0—
查看線路對照表（5 條連線）
起點終點介面對照
pc1sw1Ethernet ↔ access VLAN100
sw1wlc1Gi0/1 ↔ WLC Port1 · trunk100,110
sw1ap1PoE access VLAN100
ap1client802.11 · 無線連線（示意）
sw1r1Gi0/2 ↔ Gi0/0 · trunk100,110
WHAT YOU WILL LEARN

這次練習，你會學到

  • 區分WPA2 Personal PSK與企業802.1X。
  • 使用AES/CCMP並避免WEP/TKIP。
  • 驗證認證、DHCP、隔離VLAN與保存/復原。
BEFORE YOU START

開始之前

  • 需有可合法使用的Cisco AireOS8.5 WLC（如相容5508/虛擬平台）、相容Lightweight AP與授權，不能用普通GNS3路由器替代無線硬體。
  • WLC與AP須版本/授權相容；以下提供獨立練習SW1/R1的VLAN與DHCP基礎，AireOS與Catalyst9800 IOS-XE設定不可混用。
  • 管理PC經受控HTTPS登入，保留Console與原始備份；新WLAN先Disabled，僅在隔離RF環境測試。

適用環境與驗證狀態

Cisco AireOS 8.5 WLC + 相容 Lightweight AP待驗證原創教案，尚未於實體設備驗證。依實際硬體、IOS/AireOS 版本與授權核對命令；介面名稱不可直接套用至正式設備。

設備準備好了嗎？從第一個設定開始。

循序操作 STEP BY STEP

在你自己的練習環境操作。命令複製不包含提示字元；所有輸出皆為示例。

01

基礎A　建立WLC/AP的交換器接線

可沿用已驗證的隔離基礎，不需每題重設。PC1→SW1 Fa0/1、SRV1若有→Fa0/2、AP1→具PoE的Fa0/24（無PoE用合法供電器）、WLC Port1→Gi0/1、R1 Gi0/0→Gi0/2。management tag100，clients tag110，native999不用於主機。

展開參考指令 SW1 · VLAN / access / trunk
SW1# 提示字元僅供辨識
enable
configure terminal
vlan 100
name WLC_MGMT
vlan 110
name WLAN_CLIENTS
vlan 999
name NATIVE_UNUSED
interface range FastEthernet0/1 - 2
switchport mode access
switchport access vlan 100
no shutdown
interface FastEthernet0/24
switchport mode access
switchport access vlan 100
no shutdown
interface range GigabitEthernet0/1 - 2
switchport mode trunk
switchport trunk native vlan 999
switchport trunk allowed vlan 100,110,999
switchport nonegotiate
no shutdown
end

可沿用已驗證的隔離基礎，不需每題重設。PC1→SW1 Fa0/1、SRV1若有→Fa0/2、AP1→具PoE的Fa0/24（無PoE用合法供電器）、WLC Port1→Gi0/1、R1 Gi0/0→Gi0/2。management tag100，clients tag110，native999不用於主機。

查看預期結果 範例輸出，非真實執行
兩個trunk允許100/110，AP access100有供電與實體鏈路。
02

基礎B　建立閘道與獨立DHCP池

只在專用實驗R1提供DHCP，不能連入正式網路。R1子介面為兩VLAN閘道；WLC management DHCP server設192.168.100.1，LAB110 DHCP server設192.168.110.1。PC1靜態192.168.100.10/24、gateway.1；SRV1若有靜態.50。不提供真正Internet。

展開參考指令 R1 · 子介面 / DHCP
R1# 提示字元僅供辨識
enable
configure terminal
interface GigabitEthernet0/0
no ip address
no shutdown
interface GigabitEthernet0/0.100
encapsulation dot1Q 100
ip address 192.168.100.1 255.255.255.0
interface GigabitEthernet0/0.110
encapsulation dot1Q 110
ip address 192.168.110.1 255.255.255.0
exit
ip dhcp excluded-address 192.168.100.1 192.168.100.99
ip dhcp excluded-address 192.168.100.150 192.168.100.254
ip dhcp excluded-address 192.168.110.1 192.168.110.99
ip dhcp excluded-address 192.168.110.200 192.168.110.254
ip dhcp pool WLC_MANAGEMENT
network 192.168.100.0 255.255.255.0
default-router 192.168.100.1
exit
ip dhcp pool WLAN_CLIENTS
network 192.168.110.0 255.255.255.0
default-router 192.168.110.1
end

只在專用實驗R1提供DHCP，不能連入正式網路。R1子介面為兩VLAN閘道；WLC management DHCP server設192.168.100.1，LAB110 DHCP server設192.168.110.1。PC1靜態192.168.100.10/24、gateway.1；SRV1若有靜態.50。不提供真正Internet。

查看預期結果 範例輸出，非真實執行
AP租約100網段.100–149；WLAN client110網段.100–199；兩個gateway可達。
03

01　確認管理、AP與用戶VLAN

沿用Discovery28的WLC/AP基準與Discovery29的LAB110、DHCP，但open WLAN維持Disabled。此題建立另一個未使用WLAN ID，不能直接把正式SSID改安全模式；會使已連線client斷線。AireOS8.5較舊，正式環境應評估受支援平台與WPA3。

查看預期結果 範例輸出，非真實執行
管理/AP正常，LAB110與DHCP已驗證，open測試SSID關閉。
04

02　建立Disabled WPA2 profile

WLANs > Create New，Profile LAB-WPA2、SSID CCNA-WPA2-LAB、選未用ID；General映射LAB110，Status先Disabled。將SSID只映射隔離AP group，避免整場AP廣播。

查看預期結果 範例輸出，非真實執行
新profile disabled且映射VLAN110。
05

03　設定WPA2/AES與私人PSK

Security > Layer2選WPA+WPA2（AireOS8.5 UI名稱），啟用WPA2 policy/AES，停用WPA/TKIP；Authentication Key Management選PSK，移除不需要的802.1X等模式。自行輸入8–63字元強隨機passphrase，勿用題名、生日或共用公開範例。PMF/FT依實際client與政策另核對；不在未知裝置任意混開。Apply後再Enabled。

查看預期結果 範例輸出，非真實執行
WPA2 + AES/CCMP + PSK，未使用WEP/TKIP，PSK不出現在網站/截圖。
06

04　用正確密鑰完成端到端驗證

自己的終端選CCNA-WPA2-LAB，輸入私人PSK，檢查已認證、DHCP位址在192.168.110.100–199、gateway192.168.110.1。先ping gateway再存取自己的測試服務；WLC GUI client detail核對WLAN/AP/IP/security。不能以看到SSID就宣稱安全連線成功。

展開參考指令 WLC1 · AireOS CLI
(Cisco Controller) > 提示字元僅供辨識
show wlan summary
show client summary
show interface detailed LAB110

自己的終端選CCNA-WPA2-LAB，輸入私人PSK，檢查已認證、DHCP位址在192.168.110.100–199、gateway192.168.110.1。先ping gateway再存取自己的測試服務；WLC GUI client detail核對WLAN/AP/IP/security。不能以看到SSID就宣稱安全連線成功。

查看預期結果 範例輸出，非真實執行
真實client已通過PSK且具VLAN110租約；client支援的安全模式符合設定。
07

05　以錯誤PSK作受控對照

在自己的第二台測試終端或先忘記既有profile後，用一個刻意不同的測試密鑰嘗試連線，應無法完成有效認證。不要以password spraying測其他帳號/SSID。恢復正確profile，再核對重新連線；client快取既有PSK時不能當負向測試。

查看預期結果 範例輸出，非真實執行
錯誤PSK不能通過認證/取得正常服務，正確PSK可重新連線。
08

06　保存與收尾

WLC save config保存（依互動確認），保護私人PSK；若撤回先Disabled本題WLAN、Apply並確認不再廣播，再刪本題profile/AP group映射。保留LAB110與其他WLAN需依實際相依性判斷。PSK更換會影響所有使用該PSK的client，需維護計畫。

展開參考指令 WLC1 · AireOS CLI
(Cisco Controller) > 提示字元僅供辨識
save config
show wlan summary

WLC save config保存（依互動確認），保護私人PSK；若撤回先Disabled本題WLAN、Apply並確認不再廣播，再刪本題profile/AP group映射。保留LAB110與其他WLAN需依實際相依性判斷。PSK更換會影響所有使用該PSK的client，需維護計畫。

查看預期結果 範例輸出，非真實執行
最終Enabled/Disabled狀態與計畫一致且已保存，無open WLAN遺留。

確認你的設定 VERIFICATION

以下是驗證方法及預期狀態，並非網站實際執行的結果。
GUI Security Layer2 / client detail

預期狀態 WPA2 AES/PSK，真實client認證成功。

802.1X與PSK不能當同一認證方法。

Client DHCP + gateway +測試服務

預期狀態 VLAN110租約/閘道與流量正常。

安全認證成功仍可能有DHCP/trunk問題。

常見問題與排查

SSID可見但認證失敗

核對PSK大小寫/長度、client快取、WPA2/AES、PMF/FT相容與WLC事件，不退回WEP/TKIP解決。

已連線但不能上網

先查DHCP/VLAN110/gateway；本題隔離實驗不提供真正Internet。

參考資料

把理解，化成進度 CHECKPOINTS

手動完成 0/8

請在你自己的設備確認後勾選。這些是手動紀錄，並非設備自動測試結果。

登入後即可跨裝置保存進度。訪客勾選僅供本頁參考。

依 CCNA v2.2 主題自行編寫之練習，非官方逐字教材。
發布版本 1 · 範例輸出供理解，指令尚待實機驗證。

ORIGINAL LAB
← 上一個練習設定 RADIUS、SNMP 與 Syslog