了解AireOS的FlexConnect功能矩阵

本文档介绍了无线局域网控制器 (WLC) 上 FlexConnect 的功能表。

Cisco 建议您了解以下主题：

本文档的信息基于 CUWN 版本 7.0.116.0 及更高版本。本文档已根据版本 8.8 更新。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

FlexConnect 是适用于分支机构和远程办公室部署的无线解决方案。利用该解决方案，可通过广域网链路在公司总部配置和控制分支机构或远程办公室内的 AP，而无需在每个办公室部署一台控制器。FlexConnect AP 可以在本地交换客户端数据流量，并在本地执行客户端身份验证。当连接到控制器后，它们也能将流量发送回控制器。仅以下组件上支持 FlexConnect ：

当无法为远程办公室维持最低 128 kb/s 的带宽和不超过 100 毫秒的往返延迟时，FlexConnect 的本地身份验证功能非常有用。无论使用什么功能，FlexConnect 的最大允许延迟为 300 毫秒。

下一部分概述 FlexConnect 功能表。

注意：802之前的11n AP（例如1130或1240）仍受后续代码支持。但是，自版本7.3起，这些AP不接收新功能。因此，这些AP不支持版本7.3之后显示的FlexConnect功能。同样，第一代802.11n AP没有8.1功能集的任何FlexConnect功能，即使他们能够加入这样的WLC。请参阅版本说明了解更多信息。

注意：本文档涵盖802.11ac wave 2 AP和Catalyst AP，取代了此仅重点介绍AireOS版本的矩阵：https://www.cisco.com/c/en/us/td/docs/wireless/access_point/feature-matrix/ap-feature-matrix.html

FlexConnect 上的安全支持因模式和状态而异。下表总结了支持的安全功能：

FlexConnect 上的安全支持因模式和状态而异。下表总结了 WLC 版本 7.0.116.0 及更高版本支持的新旧安全功能：

Ipv4 AAA 覆盖

Yes

Ipv6 AAA 覆盖

是(5)

每个 FlexGroup 的 AAA VLAN 分配（带 VLAN 名称）

无

(1)对于在连接模式下具有关联的客户端为“是”。(2)必须使用FlexConnect访问控制列表(ACL)。请注意，AP 原生 VLAN 不支持 Flex ACL。(3)限制/排除由WLC完成，这样客户端在成功关联响应后即被取消授权。

(4)请注意，FlexConnect 上的每用户 ACL 不会覆盖 Flex AP 上的 VLAN ACL，但会覆盖本地模式 AP 上的 WLAN ACL。如果推送每个用户ACL和在flex组上配置AAA-VLAN ACL，则两者都会生效。

(5)使用 FlexConnect 本地交换时，组播仅转发到 SSID 映射到的 VLAN，而不会转发到任何被覆盖的 VLAN。因此，IPv6 无法按预期工作，因为组播流量转发自不正确的 VLAN。因此，使用 IPv6 进行本地交换时不支持 VLAN 分配

注：在任何指定点，AP最多有16个VLAN。首先，根据 AP 配置 (WLAN-VLAN) 选择 VLAN，然后按 FlexConnect 组中配置或显示的顺序从 FlexConnect 组推送剩余的 VLAN。如果 VLAN 插槽已满，则会显示错误消息。

下表列出了 WLC 版本 7.0.116.0 及更高版本（含 FlexConnect）支持的新旧语音和视频服务：

(1)包括两个 DSCP/dot1p 标记。(2) WLC 上的 CAC，漫游失败时取消授权。

下表列出了 WLC 版本 7.0.116.0 及更高版本（含 FlexConnect）支持的新旧服务：

(1)任何 RRM 特定要求适用（TPC 至少需要 4 个 AP）。(2)从WLC断开连接后为独立模式，为重启模式，为否模式。

(3)除 2504 之外的所有 WLC（包括 vWLC）均支持 FlexConnect AVC。

Flex AP 不支持被动客户端功能。但是，默认情况下，AP 在 FlexConnect 上不支持代理 ARP（这是被动客户端功能的一部分）。相反，代理 ARP 在 8.0 及更高版本中添加成为 FlexConnect AP 功能。

(1)如果主AP已升级，并且成员AP已使用其主AP进行更新，则提供。

(2)仅适用于第二代 11n 及更高版本的 AP（1600、2600、3600 等）。

(3)FlexConnect AP不会像本地模式AP一样，发送（重新）状态为17的关联响应以进行负载均衡；相反，它们首先发送（重新）状态为0（成功）的关联响应，然后取消验证原因5。当AP在本地处理关联并在WLC上做出负载均衡决策时，会发生这种情况。

(1)前提是 WLAN 映射到同一 VLAN（同一子网）。如果WLAN映射到不同的子网，则不会发生快速漫游，因为客户端必须获取新的IP地址。

注:FT/802.11r快速漫游还要求AP位于同一FlexGroup中。只有WPA2 OKC（发生在WLC级别）可以允许AP位于不同的FlexConnect组中以实现快速漫游。

注意：为了通过集中式身份验证、授权和记帐(AAA)服务器(例如思科身份服务引擎(ISE)或ACS)支持集中式访问控制，可以使用AAA覆盖属性按客户端调配IPv6 ACL。要使用此功能，必须在控制器上配置 IPv6 ACL，并且必须在启用 AAA 覆盖功能的情况下配置 WLAN。IPv6 ACL 的 AAA 属性是 Airespace-IPv6-ACL-Name，跟用来调配 IPv4 ACL 的 Airespace-ACL-Name 属性类似。AAA属性返回的内容必须是与IPv6 ACL名称相同的字符串，如控制器上所配置。