思科无线控制器证书过期导致AP无法上线？

Question

当思科无线控制器（WLC）的内置证书过期后，轻量级接入点（AP）在尝试通过CAPWAP隧道与控制器建立安全连接时，会因SSL/TLS握手失败而无法完成注册。典型表现为AP反复重启、日志中出现“Certificate validation failed”或“CAPWAP DTLS connection failed”等错误信息。该问题常被忽视，尤其在长期未重启的WLC上，证书有效期默认为几年，一旦过期将导致新AP无法上线或已有AP重连失败。需通过CLI或GUI检查证书有效期，并重新生成或导入有效证书以恢复服务。

Answer 1

1. 问题背景与现象描述

在企业级无线网络架构中，思科无线控制器（WLC）通过CAPWAP（Control And Provisioning of Wireless Access Points）协议与轻量级接入点（AP）建立安全隧道。该隧道通常基于DTLS（Datagram Transport Layer Security）加密，依赖于WLC上配置的X.509证书进行身份验证和密钥交换。

当WLC的内置自签名证书或第三方CA签发证书过期后，AP在尝试建立CAPWAP DTLS连接时将无法通过SSL/TLS握手流程，导致认证失败。典型表现为：

• AP持续重启，进入“Image Download”或“Join”阶段循环
• AP控制台日志中频繁出现：Certificate validation failed
• WLC侧日志显示：CAPWAP DTLS connection failed 或 Failed to establish secure CAPWAP tunnel
• 新AP无法上线，已有AP在断线重连后无法恢复服务

2. 故障排查路径分析

为系统化诊断此问题，建议按以下顺序执行检查：

1. 确认AP是否能获取IP地址（排除DHCP/网络层问题）
2. 验证AP能否发现WLC（通过广播、DNS或静态列表）
3. 检查WLC与AP之间的UDP 5246/5247端口通信是否通畅
4. 登录WLC CLI或GUI查看当前运行日志（show log）
5. 重点检索包含“certificate”、“TLS”、“DTLS”关键字的日志条目
6. 使用命令 show certificate summary 查看证书状态
7. 进一步执行 show certificate detailed <cert-name> 获取有效期详情

3. 证书状态检查方法（CLI与GUI对比）

方式	操作命令 / 路径	关键输出字段	示例输出片段
CLI	show certificate summary	Status, Validity Period	Status: Expired, Not After: Jan 01 2023
CLI	show certificate detailed admin	Not Before, Not After	Validity: from Jan 02 2018 to Jan 01 2023
GUI	Security > Web Authentication > Management Users	Certificate Expiry Date	显示红色警告图标及“Certificate Expired”提示
GUI	Commands > Transfer Configuration > Download File	可导出证书用于外部验证	支持PEM格式导出

4. 解决方案实施步骤

根据环境需求选择以下任一修复路径：

! 进入特权模式
WLC# configure terminal

! 删除已过期证书（以admin为例）
WLC(config)# no certificate self-signed admin

! 重新生成新的自签名证书
WLC(config)# certificate self-signed generate admin

! 可选：导入由内部CA或公共CA签发的有效证书
WLC(config)# transfer download mode sftp
WLC(config)# transfer download datatype certificate
WLC(config)# transfer download serverip 192.168.10.100
WLC(config)# transfer download filename wlc-cert.pem
WLC(config)# transfer download start

! 重启服务使变更生效（非必须立即重启设备）
WLC(config)# reset system

5. 预防机制与最佳实践

graph TD
    A[定期监控证书生命周期] --> B{是否即将到期?}
    B -- 是 --> C[提前生成新证书]
    B -- 否 --> D[纳入季度巡检清单]
    C --> E[测试AP注册兼容性]
    E --> F[正式部署并删除旧证书]
    F --> G[更新文档与通知运维团队]
    D --> H[设置自动化告警脚本]
    H --> I[集成至NMS如Cisco Prime或DNA Center]

推荐策略包括：

• 对所有WLC启用SNMP trap发送证书过期事件
• 利用Python脚本定期轮询show certificate summary输出
• 在配置管理工具中（如Ansible）加入证书健康检查任务
• 对于大型部署，建议使用集中式PKI体系统一签发证书
• 避免依赖默认自签名证书超过其默认有效期（通常为2-5年）