Cisco AP无法连接AC：证书过期导致CAPWAP隧道失败

Question

问题：某企业部署的Cisco Aironet AP无法与无线控制器（AC）建立CAPWAP隧道，始终停留在“Join”状态。排查发现AP系统时间正确，网络连通性正常，但日志中频繁提示“Certificate validation failed”。进一步检查AC侧证书发现，其内置的自签名证书已于30天前过期。由于CAPWAP控制隧道依赖TLS加密，且AP在认证阶段严格校验证书有效期，导致握手失败，无法完成注册。该问题在批量升级固件或长期未重启的AC环境中尤为常见。

Answer 1

深入解析Cisco Aironet AP无法建立CAPWAP隧道的根因与解决方案

1. 问题现象描述

某企业部署的Cisco Aironet系列无线接入点（AP）在启动后始终无法完成向无线控制器（AC）注册，设备日志显示其状态长期停留在“Join”阶段。经过初步排查：

• AP系统时间已通过NTP同步，确认准确无误；
• 网络层连通性正常，ICMP和UDP 5246/5247端口可达；
• AC侧未收到有效的DTLS握手请求；
• AP控制台输出频繁出现“Certificate validation failed”错误信息。

进一步检查AC证书状态，发现其内置自签名证书已于30天前过期，成为问题根源。

2. CAPWAP协议基础与TLS依赖机制

CAPWAP（Control And Provisioning of Wireless Access Points）协议是IETF定义的标准协议，用于集中式无线架构中AP与AC之间的通信。该协议分为数据通道和控制通道，其中控制通道默认使用DTLS（基于UDP的TLS）加密传输。

协议组件	端口	传输层	安全机制
CAPWAP Control	5246	UDP	DTLS 加密
CAPWAP Data	5247	UDP	可选 DTLS
LWAPP (旧)	12222/12223	TCP/UDP	不推荐

AP在Join阶段会发起DTLS握手，验证AC提供的X.509证书有效性，包括签发者可信性、域名匹配、以及有效期校验。一旦证书过期，即使为自签名，AP也会终止连接。

3. 故障排查流程图

```mermaid
graph TD
    A[AP 启动] --> B{能否发现 AC?}
    B -- 是 --> C[发起 CAPWAP Join 请求]
    C --> D[建立 DTLS 控制隧道]
    D --> E{证书验证成功?}
    E -- 否 --> F[日志: Certificate validation failed]
    F --> G[重试 Join 流程]
    E -- 是 --> H[完成注册, 进入 Run 状态]
    B -- 否 --> I[检查 DHCP Option 43/60 或 DNS]
```

从流程可见，证书验证是DTLS握手的关键环节，任何失败都将阻断后续注册过程。

4. 自签名证书生命周期管理

Cisco WLC（Wireless LAN Controller）在出厂时通常预置一个默认的自签名证书，有效期一般为730天（2年）。常见场景如下表所示：

场景	证书状态	影响范围	发生频率
新部署AC	有效	无影响	高
固件升级后未重启	可能过期	全部AP Join失败	中
长期运行未维护	已过期	新AP无法上线	高
批量更换AP	若证书过期	集体卡在Join	极高

特别地，在大规模固件升级过程中，部分AC可能未触发证书刷新逻辑，导致沿用旧有过期证书。

5. 解决方案与操作步骤

1. 登录AC命令行或GUI界面，执行：show certificate summary 查看当前证书状态；
2. 确认证书确实过期（Not After 字段早于当前时间）；
3. 生成新的自签名证书：
   configure terminal
crypto pki certificate map NEW_CERT_MAP 10
certificate generate self-signed wlc-cert
4. 应用新证书至CAPWAP服务：wlan mobility group name DEFAULT-MOBILITY-GROUP 并重启服务；
5. 重启受影响AP，观察是否顺利进入Run状态；
6. 建议配置外部CA签发证书以实现长期自动化管理；
7. 启用证书到期告警策略，如SNMP trap或邮件通知；
8. 制定定期巡检计划，每季度核查所有AC证书有效期。

对于多AC环境，应统一使用PKI基础设施进行证书分发，避免手动维护带来的风险。