Cisco 200-301: Проектирование и эксплуатация беспроводных сетей LAN — Руководство по подготовке

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Часть Cisco CCNA 200-301 — Руководство по подготовке. Практикуйтесь с проверенными ответами в центре экзаменов Cisco, или пройдите тесты на время на ExamRoll.io.

Обзор

Корпоративные сети WLAN подключают беспроводных клиентов к проводной сети, обеспечивая при этом необходимые цели по покрытию, пропускной способности, безопасности и эксплуатации. Проектирование и эксплуатация надежной сети WLAN требуют выбора подходящей архитектуры, понимания поведения радиочастот (RF), применения строгой аутентификации и сегментации, а также проверки производительности под реальной клиентской нагрузкой. В этом разделе рассматриваются архитектуры, пути управления и данных, планирование радиочастот и каналов, модели безопасности, подключение устройств (onboarding), QoS для приложений, чувствительных к задержкам (например, голосовых), а также практические аспекты эксплуатации и устранения неполадок.

Архитектуры WLAN, роли и пути управления/данных

Преобладают три модели развертывания:

Автономные (standalone) точки доступа (AP): Каждая AP настраивается и управляется индивидуально. Этот подход подходит для небольших объектов, но плохо масштабируется и усложняет роуминг, управление радиочастотами (RF) и последовательное применение политик.
Контроллерные (lightweight) AP: «Легковесные» AP подключаются к контроллеру беспроводной локальной сети (WLC) с помощью CAPWAP, стандартизированного преемника LWAPP. Централизованное управление устраняет необходимость в конфигурации каждой отдельной AP и обеспечивает динамическое управление радиочастотами, быстрый роуминг и согласованность политик.
Облачно-управляемые AP: Управление и политики контроля доставляются из облачного сервиса, в то время как клиентские данные обычно выходят в локальную сеть непосредственно на точке доступа. Преимущества включают упрощенную эксплуатацию и глобальную видимость; к зависимостям относится надежный доступ к Интернету для управления.

Роли WLC и AP:

Режимы AP: Local (централизованная коммутация на WLC), FlexConnect (локальная коммутация с централизованной аутентификацией и политиками; может продолжать обслуживать клиентов, если WLC недоступен), monitor/sniffer (для анализа радиочастот) и mesh/bridge.
CAPWAP: Использует UDP/5246 (управление) и UDP/5247 (данные). В режиме Local данные клиента инкапсулируются и отправляются на WLC (централизованный путь данных). В режиме FlexConnect с локальной коммутацией данные клиента выходят через порт коммутатора AP (распределенный путь данных), в то время как управление остается централизованным.
Разделение плоскостей управления и данных (Control-plane vs data-plane): Контроллер централизует управление и менеджмент (RF, политики, оркестрация аутентификации), в то время как данные могут быть централизованными или локальными, в зависимости от режима AP.
Подключение и присоединение: AP в режиме Local может быть подключена к любому домену L2 и работать, пока у нее есть L3-связность с WLC. Обнаружение обычно использует DHCP Option 43, DNS (CISCO-CAPWAP-CONTROLLER) или статически заданные IP-адреса контроллера.
Высокая доступность: WLC часто используют агрегацию каналов (LAG) для подключения к вышестоящим коммутаторам; любой один функционирующий порт в бандле может передавать клиентский трафик, поэтому потеря всех каналов, кроме одного, сохраняет работоспособность сервиса. Пары WLC с SSO минимизируют влияние на клиентов во время переключения при сбое.

Распространенные режимы сбоев и способы их устранения:

CAPWAP заблокирован списками контроля доступа (ACL) или межсетевыми экранами (UDP/5246–5247). Проверьте Path MTU и при необходимости разрешите фрагментацию.
Несоответствия регуляторного домена или версий ПО, препятствующие подключению AP. Стандартизируйте образы и домены.
Проблемы с сертификатами или расхождением времени при взаимной аутентификации. Обеспечьте точную синхронизацию по NTP и доверие к цепочке сертификатов устройства.
Централизованная коммутация создает узкие места на WAN-каналах; рассмотрите возможность использования локальной коммутации FlexConnect на удаленных объектах.

Сопоставление SSID и VLAN:

Централизованная коммутация: SSID сопоставляется с интерфейсом/VLAN на WLC; трафик клиента проходит через туннель CAPWAP к этому VLAN на контроллере.
Локальная коммутация FlexConnect: SSID напрямую сопоставляется с локальным VLAN на порту коммутатора AP. RADIUS может динамически назначать VLAN для каждого пользователя или группы.

Радиочастоты (RF), каналы, пропускная способность и роуминг

Идентификаторы и эфирное время:

SSID идентифицирует сеть WLAN; каждый радиомодуль AP создает BSSID (MAC-адрес) для каждого SSID. Большее количество SSID увеличивает служебный трафик от beacon-кадров; рекомендуется использовать не более четырех SSID на диапазон.
Радиодиапазоны: 2.4 ГГц (большая дальность, всего три непересекающихся канала шириной 20 МГц: 1, 6, 11) и 5 ГГц (меньшая дальность, более высокая пропускная способность, до 23 непересекающихся каналов по 20 МГц в зависимости от регуляторного домена и доступности DFS). Для обеспечения высокой пропускной способности и передачи голоса предпочтительно использовать 5 ГГц.
Ширина канала: Каналы шириной 20 МГц обеспечивают наилучшую плотность и наименьшую внутриканальную интерференцию; каналы 40/80 МГц улучшают пиковую пропускную способность, но уменьшают возможность повторного использования каналов и увеличивают риск помех. Для корпоративных сетей и передачи голоса обычно рекомендуется использовать каналы 20 МГц.

Интерференция и конкуренция за среду:

Внутриканальная интерференция (CCI): Точки доступа на одном и том же канале должны делить эфирное время; пропускная способность падает с увеличением числа говорящих устройств. Устраняется путем повторного использования непересекающихся каналов и уменьшения/выравнивания размеров сот.
Межканальная интерференция (ACI): Перекрывающиеся или объединенные каналы создают помехи друг другу; избегайте этого, планируя правильную ширину и распределение каналов.
Внешние источники помех: Микроволновые печи, Bluetooth, беспроводные телефоны, аналоговые камеры и соседние сети WLAN. Используйте анализ спектра для их обнаружения и устранения.
DFS-каналы: Предоставляют дополнительную емкость в диапазоне 5 ГГц, но могут быть освобождены при обнаружении радара; рассматривайте их для передачи данных, но тщательно планируйте использование в зонах, критичных для голосовой связи.

Лучшие практики при добавлении сот покрытия:

Используйте непересекающиеся каналы для перекрывающихся сот (1/6/11 в диапазоне 2.4 ГГц; планируйте наборы повторного использования для 5 ГГц).
Отдавайте предпочтение диапазону 5 ГГц для увеличения пропускной способности за счет большого набора непересекающихся каналов.

Мощность, скорости и RRM:

Настройте мощность передачи так, чтобы соседние соты имели схожий уровень RSSI на границах; стремитесь к 15–20% перекрытию на границах сот для обеспечения роуминга.
Отключите самые низкие устаревшие скорости передачи данных, чтобы уменьшить количество «залипающих» клиентов и служебный трафик от beacon-кадров/управляющих кадров; установите минимальные скорости для клиентов, чтобы сбалансировать покрытие и пропускную способность.
Включите RRM/Auto RF, чтобы система измеряла шум и нагрузку, а затем динамически назначала каналы и мощность для уменьшения конкуренции за среду.

Роуминг:

Стимулируйте роуминг с помощью band steering/Band Select для перемещения двухдиапазонных клиентов в диапазон 5 ГГц.
Используйте 802.11k (отчеты о соседях), 802.11v (сетевая помощь в роуминге) и 802.11r (быстрый переход между BSS) для сокращения времени роуминга для приложений, чувствительных к задержкам.
Планируйте домены L2, чтобы по возможности разрешить роуминг на уровне L2; для роуминга на уровне L3 убедитесь, что туннелирование мобильности поддерживает бесшовный переход.

Безопасность, сегментация и подключение

Безопасность WLAN:

WPA2-PSK (personal): Простое развертывание с общим секретным ключом (shared secret); операционный риск заключается в совместном использовании ключа. Выполняйте ротацию PSK или используйте индивидуальные PSK для каждого пользователя (DPSK), где это поддерживается.
WPA2/WPA3-Enterprise (802.1X): Использование посеансовых ключей через EAP с сервером RADIUS. WPA3 добавляет SAE для персонального режима, более стойкие наборы шифров (ciphersuites) и обязательное использование Protected Management Frames; используйте переходные режимы с осторожностью для сохранения совместимости.
Запретите использование WEP и TKIP; требуйте AES-CCMP или GCMP из стандарта WPA3.

AAA и RADIUS:

802.1X контролирует доступ с помощью supplicant (клиент), authenticator (точка доступа/контроллер) и сервера RADIUS. Аутентификация (Authentication) идентифицирует пользователей; авторизация (authorization) применяет роли/VLAN; учет (accounting) отслеживает использование.
Динамическое назначение VLAN и загружаемые ACL позволяют сегментировать пользователей/группы в соответствии с политикой.
TACACS+ обычно используется для администрирования устройств; RADIUS предпочтителен для доступа к сети (объединяет аутентификацию и авторизацию). Используйте RADIUS для WLAN 802.1X.

Гостевой доступ и сегментация:

Используйте выделенный гостевой SSID, сопоставленный с гостевым VLAN и маршрутом через исходящий межсетевой экран/в Интернет. Применяйте изоляцию клиентов, ограничение скорости и веб-аутентификацию/captive portal по мере необходимости.
Архитектуры с anchor-контроллерами (anchor mobility) могут терминировать гостевой трафик на контроллере, расположенном в DMZ.

Подключение и устранение неполадок:

Проверьте доступность RADIUS, общие секретные ключи (shared secrets) и цепочки доверия сертификатов. Синхронизация времени обязательна для EAP-TLS и проверки сертификатов.
Проверьте несоответствия в политиках WLAN (WPA2 и WPA3), неверный PSK или требования PMF.
Убедитесь в наличии DHCP scope для клиентского VLAN и в том, что ACL разрешают трафик DHCP/DNS.
Безопасность управления: включите HTTPS на контроллерах; они генерируют локальные самоподписанные сертификаты для веб-интерфейса — замените их на сертификаты, подписанные CA, для производственной среды.

Краткий пример настройки 802.1X для проводного порта доступа (полезно для контроля на границе сети с беспроводными мостами или проводными гостями):

undefined

Развертывание, QoS и эксплуатационная проверка

Размещение и производительность точек доступа (AP):

Проведите радиообследование (прогнозное и на месте), чтобы разместить AP таким образом, чтобы целевые значения RSSI и SNR были достигнуты во всех зонах. Типичные целевые значения для данных: RSSI ≥‑67 дБм и SNR ≥25 дБ; для голоса: RSSI ≥‑65 дБм и SNR ≥25 дБ с каналами шириной 20 МГц.
Планируйте производительность: оцените количество одновременных клиентов на соту, используемые ими приложения и требуемое эфирное время. Избегайте перегрузки эфира идентификаторами SSID; каждый дополнительный SSID добавляет радиомаяки (beacons) и служебный трафик.

Коммутация, VLAN и PoE:

Настройте транковые аплинки к WLC и разрешите клиентские VLAN для централизованно коммутируемых WLAN. Для локальной коммутации FlexConnect убедитесь, что свитч-порт точки доступа предоставляет необходимые VLAN.
Заложите в бюджет PoE/PoE+ для двухдиапазонных AP с несколькими пространственными потоками и для будущих функций. Проверьте согласование по LLDP/802.3at.
Ограничения WAN: если удаленные офисы подключаются к центру обработки данных по узким каналам (например, T1 со скоростью 1,544 Мбит/с), избегайте централизованного туннелирования данных для WLAN с большим объемом трафика; используйте локальный выход в интернет и ограничивайте гостевой трафик.

Беспроводной QoS и голос:

Включите WMM (802.11e) и сопоставьте DSCP с приоритетами пользователей, чтобы голосовой трафик маркировался как EF->UP6 и обрабатывался с более высоким приоритетом доступа к среде.
Используйте Call Admission Control (CAC/TSPEC), чтобы ограничить количество одновременных вызовов на радиомодуль. Для голоса используйте каналы шириной 20 МГц.
Настройте минимальные скорости передачи данных, интервалы DTIM и балансировку нагрузки так, чтобы клиенты проактивно переключались в роуминге, а буферизация в режиме энергосбережения (PS) не ухудшала качество вызовов.
Быстрый роуминг: включите 802.11r/k/v на SSID для голоса, проверьте совместимость клиентских устройств (телефонов) и установите пороги для роуминга (например, направлять клиентов в роуминг, когда RSSI падает ниже примерно ‑70 дБм).

Эксплуатационная проверка:

Проверки первого дня: статус подключения AP, сходимость RRM, распределение каналов/мощности, сопоставление клиентских VLAN, доступность DHCP/DNS, логи AAA и статус HA/LAG на WLC.
Ключевые показатели производительности (KPI): SNR, процент повторных передач, утилизация канала, метрики клиентского опыта (задержка, джиттер, MOS для голоса) и время роуминга.
Изоляция неисправностей:
- Подключение AP: проверьте CAPWAP UDP/5246–5247, обнаружение контроллера, сертификаты и соответствие версий ПО/региональных стандартов.
- Аутентификация: несоответствие PSK; тайм-ауты RADIUS; недействительные сертификаты; неверный метод EAP; пользователь отключен.
- Адресация: ошибки тегирования VLAN, исчерпание пула DHCP или неправильная настройка helper-адреса.
- Радиосреда (RF): события DFS, вызывающие смену каналов; высокий уровень CCI из-за плохого повторного использования частот; помехи не от Wi-Fi — используйте спектральный анализ.
- Пропускная способность: избыточное количество SSID, объединение каналов в зонах с высокой плотностью или централизованное туннелирование через ограниченные каналы.
- Инфраструктура: один из участников LAG на WLC неактивен — убедитесь, что хотя бы один канал в бандле остается активным для передачи клиентского трафика.

Практический сценарий проблемы

Сеть клиник ACME Health Clinics расширяется с 10 до 25 филиалов и сообщает о прерывистом качестве голосовой связи по Wi-Fi, «залипании» клиентов на частоте 2,4 ГГц и частых сбоях аутентификации в удаленных клиниках, подключенных через низкоскоростные WAN-каналы.

Подход:

Перепроектировать пути передачи данных от AP для удаленных офисов с использованием локальной коммутации FlexConnect.

Обоснование: Централизованное туннелирование перегружало низкоскоростные WAN-каналы клиентскими данными. FlexConnect сохраняет централизованное управление политиками и аутентификацией, но оставляет трафик данных локальным, предотвращая потребление дефицитной пропускной способности WAN голосовым и гостевым трафиком.

Перепроектировать радиочастотную часть с предпочтением 5 ГГц и использованием каналов шириной 20 МГц повсеместно.

Обоснование: Диапазон 5 ГГц предлагает множество непересекающихся каналов и меньший уровень помех. Настройка каналов шириной 20 МГц максимизирует их повторное использование и снижает конкуренцию в общем канале, что критически важно для голоса. Включите Band Select для перенаправления двухдиапазонных клиентов на 5 ГГц.

Внедрить RRM с ограничением мощности и планированием повторного использования частот; сократить количество SSID на диапазон до четырех или менее.

Обоснование: RRM будет динамически назначать каналы и мощность в зависимости от нагрузки клиентов и уровня шума, но ограничение уровней мощности делает соты более однородными для предсказуемого роуминга. Меньшее количество SSID снижает служебный трафик от радиомаяков, высвобождая эфирное время для вызовов.

Включить быстрый роуминг (802.11k/v/r) и установить пороги для роуминга.

Обоснование: Голосовые устройства должны быстро переключаться в роуминге. Отчеты о соседних точках доступа (neighbor reports) и быстрый переход BSS сокращают время хэндовера; пороги роуминга предотвращают «залипание» клиентов, инициируя решение о роуминге до того, как качество сигнала ухудшится.

Усилить безопасность с помощью WPA2-Enterprise или WPA3-Enterprise и RADIUS, а также динамического назначения VLAN для сотрудников и подрядчиков; изолировать гостей.

Обоснование: 802.1X обеспечивает сеансовые ключи и строгую аутентификацию, а назначение VLAN и изоляция клиентов сегментируют трафик. Гостевой SSID направляется на локальный выход в интернет с ограничением скорости для защиты корпоративных WLAN.

Проверить службы AAA и синхронизации времени; исправить проблемы с EAP и сертификатами.

Обоснование: Сбои аутентификации часто вызваны недоступностью RADIUS, несоответствием общего секрета (shared secret) или рассинхронизацией времени, нарушающей работу EAP-TLS. Обеспечьте работу NTP на WLC/AP и серверах идентификации, а также проверьте списки RADIUS-серверов и ключи.

Применить беспроводной QoS с WMM и CAC; согласовать с проводным QoS.

Обоснование: Приоритизация голосовых кадров в эфире и соблюдение маркировки DSCP на всем пути через коммутаторы/маршрутизаторы сохраняет качество вызовов от начала до конца. CAC ограничивает количество одновременных вызовов на радиомодуль, чтобы избежать перегрузки.

Провести проверку на месте и спектральный анализ.

Обоснование: Измерьте SNR, утилизацию канала, процент повторных передач и время роуминга с реальными устройствами. Используйте анализатор спектра для обнаружения помех не от Wi-Fi и скорректируйте частотный план или устраните источники помех.

Обеспечить высокую доступность WLC и отказоустойчивость LAG в центральных узлах.

Обоснование: Контроллеры обеспечивают централизованное управление; пары SSO сокращают время простоя. При включенном LAG клиентский трафик продолжает передаваться, даже если выйдет из строя любой физический канал, кроме одного, что предотвращает обрывы голосовых вызовов при частичных сбоях каналов связи.

Внедрить мониторинг и оповещения о событиях DFS, подключениях AP, сбоях AAA и KPI голосовой связи.

Обоснование: Раннее обнаружение изменений в радиосреде, аномалий аутентификации или достижения пороговых значений производительности позволяет проактивно устранять проблемы до того, как пользователи столкнутся с ухудшением качества обслуживания.

← IP-сервисы · Все домены · Сетевая безопасность и контроль доступа →

Отработать эти вопросы → · Тесты на время на ExamRoll.io →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

Сдайте экзамен →