WiFi 控制器端口转发：配置指南
本指南为网络架构师和 IT 经理提供有关配置本地 WiFi 控制器端口转发的技术参考。内容涵盖何时需要端口转发、主流厂商所需的端口，以及如何降低相关安全风险以确保安全且可扩展的部署。
Video overview
收听本指南
查看播客转录
核心系列的一部分：企业级 WiFi 安全指南 →
WiFi controller port forwarding & firewall rule architect
Generate vendor-specific firewall ACL rules and NAT port forward configurations for enterprise Wireless LAN Controllers (WLCs). Assess inbound exposure risks across CAPWAP and RADIUS, and evaluate zero-trust Cloud RADIUS migration.
Centralized Cisco Catalyst 9800 WLC in core data center terminating CAPWAP tunnels from remote campus buildings and external branches over WAN.
| Proto | Port | Service description | Direction | Risk |
|---|---|---|---|---|
| UDP | 5246 | CAPWAP Control Plane (RFC 5415) AP discovery, DTLS session setup, and controller keepalive heartbeats. | Bi-directional | Medium |
| UDP | 5247 | CAPWAP Data Plane (RFC 5416) Encapsulates client wireless payload when operating in centralized tunnel mode. | Bi-directional | Low |
| UDP | 1812 | RADIUS 802.1X Authentication (RFC 2865) Passes EAP authentication payloads between access points and internal RADIUS servers. | Inbound | Medium |
| UDP | 1813 | RADIUS Accounting (RFC 2866) Reports session start, stop, interim packet counters, and bandwidth consumption. | Inbound | Low |
| TCP | 8443 / 443 | External Captive Portal WebAuth Redirection Accepts captive portal splash page redirections and browser authentication callbacks. | Inbound | Low |
| UDP | 161 / 514 | SNMP Traps & Syslog Event Forwarding Transfers network health statistics and operational error alerts to centralized monitoring platforms. | Inbound | Medium |
! Cisco Catalyst 9800 IOS-XE / Perimeter Firewall Access Control ! ! Step 1: WAN access-list for inbound WLC services. ! The destination here is the PUBLIC address, not the controller's inside ! address: an inbound ACL on the outside interface is evaluated BEFORE the ! outside-to-inside NAT translation, so matching 10.100.20.10 drops exactly ! the traffic these lines mean to permit. ! Replace BRANCH-SUBNET with each remote site's public prefix wherever the ! remote APs have static addressing - 'any' is a last resort. ip access-list extended ACL-WAN-TO-WLC permit udp any host 198.51.100.25 eq 5246 ! CAPWAP control permit udp any host 198.51.100.25 eq 5247 ! CAPWAP data permit udp any host 198.51.100.25 eq 1812 ! RADIUS auth permit udp any host 198.51.100.25 eq 1813 ! RADIUS acct ! RadSec disabled permit tcp any host 198.51.100.25 eq 8443 ! Captive WebAuth ! Management GUI blocked from the public WAN deny ip any host 198.51.100.25 log-input ! Step 2: bind the list, or nothing above takes effect interface GigabitEthernet0/0/1 ip access-group ACL-WAN-TO-WLC in ! Step 3: static destination NAT (edge router / ASA) ip nat inside source static udp 10.100.20.10 5246 198.51.100.25 5246 extendable ip nat inside source static udp 10.100.20.10 5247 198.51.100.25 5247 extendable ip nat inside source static udp 10.100.20.10 1812 198.51.100.25 1812 extendable ip nat inside source static udp 10.100.20.10 1813 198.51.100.25 1813 extendable ! Step 4: MTU clamping on the WAN interface to prevent CAPWAP fragmentation interface GigabitEthernet0/0/1 ip mtu 1460 ip tcp adjust-mss 1360
核心摘要
对于通过本地无线局域网控制器（WLC）管理跨多个站点 WiFi 的企业组织而言，安全且可靠的连接是首要的运维关注点。当接入点（AP）位于远程分支机构，且与中心控制器被互联网隔开时，需要一种方法来实现它们之间的通信。本指南将探讨使用端口转发（入站 NAT）作为该方法的具体应用。我们将深入研究何时使用端口转发以及何时使用更安全的替代方案（如 VPN 或云端管理架构）的关键决策框架。本文档提供了对 CAPWAP 隧道、管理访问和认证服务所需基本端口的厂商中立概述，包括针对 Cisco、Ruckus 和 Ubiquiti 控制器的特定端口列表。至关重要的是，我们详细阐述了重大的安全风险 - 从扩大的攻击面到 PCI-DSS 和 GDPR 下的合规性漏洞 - 并提供了用于缓解风险的可操作最佳实践。这包括防火墙规则配置、DMZ 中的网络分段以及最小特权原则。其目标是为网络架构师和 IT 总监提供相关知识，以构建一个既能支持业务目标又不会损害网络完整性的、高可用且安全的跨站点 WiFi 架构。
技术深度剖析
现代集中式 WiFi 架构的基础协议是 无线接入点的控制和配置 (CAPWAP) 协议，该协议在 RFC 5415 [1] 中进行了标准化。CAPWAP 允许 WLC 管理和控制 AP 集群，从而创建一个统一的网络架构。该协议旨在穿越路由器和防火墙，因此非常适合多站点部署。通信通过两个主要的 UDP 通道进行：
- CAPWAP 控制 (UDP 5246)： 此通道用于 AP 和 WLC 之间的所有管理和控制功能。这包括配置推送、固件更新和状态监控。根据标准，该控制通道强制使用数据报传输层安全 (DTLS) 加密进行保护，从而为管理命令提供安全隧道。
- CAPWAP 数据 (UDP 5247)： 在将客户端流量隧道传输回控制器（而不是在 AP 本地进行桥接）的部署中，此通道承载封装的用户数据。虽然该通道的加密在标准中是可选的，但最佳实践要求也应使用 DTLS 对其进行保护，以确保传输中的客户端数据安全。 当 AP 位于 NAT 设备后面时，它会发现 WLC 的公网 IP 地址（通常通过 DNS 或 DHCP 选项），并发起 CAPWAP 连接。WLC 前端的防火墙必须配置端口转发规则，以便将这些传入的 UDP 数据包重定向到控制器的私网 IP 地址。
除了核心的 CAPWAP 协议外，一个功能完善的部署还需要其他几个端口：
- 管理访问： 管理员需要访问控制器的管理界面。这通常通过 HTTPS（TCP 443，或者在 Ruckus 和 Ubiquiti 等某些平台上为 TCP 8443）提供。Secure Shell（TCP 22）提供 CLI 访问。将这些端口暴露给互联网是首要的安全隐患，必须严格限制访问。
- 认证 (AAA)： 对于使用 WPA2/WPA3 企业级安全性的企业级安全，WLC 必须与 RADIUS 服务器通信。这需要 UDP 1812（认证）和 UDP 1813（计费）。如果 RADIUS 服务器在本地网络外部，则必须转发这些端口。
- 访客与 Captive Portal： 如果使用 Captive Portal 进行访客访问，WLC 必须能够与其通信。对于像 Purple 这样的外部门户，这通常意味着允许从门户服务器到控制器的入站 HTTPS 流量，以处理认证和会话信息。
特定厂商的端口要求
虽然 CAPWAP 是标准协议，但厂商会为特定功能实现额外的端口。下表总结了主要本地控制器平台的常见默认端口。此表并非详尽无遗，您必须参考厂商的最新文档。
| 厂商/平台 | 协议 | 端口 | 用途 |
|---|---|---|---|
| Cisco WLC | UDP | 5246/5247 | CAPWAP 控制/数据 |
| TCP | 443 | HTTPS 管理 | |
| EoIP | 97 | 移动性/锚点隧道 | |
| UDP | 16666 | 移动性（未加密） | |
| Ruckus SmartZone | UDP | 12223 | LWAPP 发现 |
| TCP | 91/443 | AP 固件升级 | |
| TCP | 8443 | HTTPS Web UI | |
| TCP | 22 | SSH 管理 | |
| Ubiquiti UniFi | TCP | 8080 | 设备告知 |
| TCP | 8443 | HTTPS Web UI/API | |
| UDP | 3478 | STUN（NAT 穿透） | |
| UDP | 10001 | AP 发现 |
对您的具体配置有疑问吗？
我们的团队与 80,000 多个场所的运营方、IT 经理和网络工程师保持合作。预约 20 分钟的通话，我们将为您展示同行是如何解决类似问题的。
实施指南
为 WLC 实施端口转发需要采用专注于安全性的系统化方法。其目标是在允许远程 AP 连接的同时，将暴露给互联网的内容控制在绝对最少。
步骤 1：架构与网络部署
最关键的决定是 WLC 的部署位置。它绝不能部署在受信任的企业局域网（LAN）上。最佳实践是为控制器创建一个专用的网络分段，即隔离区（DMZ）。这可以隔离 WLC，并确保即使其受到攻击，攻击者也无法直接访问内部企业网络。然后，应配置防火墙策略，以严格控制 DMZ、互联网和受信任 LAN 之间的流量。
第 2 步：防火墙配置
- 创建 NAT 和端口转发规则： 针对每个所需的端口，创建一个目的 NAT (DNAT) 规则，将防火墙的公网 IP 地址和外部端口转换为 DMZ 中 WLC 的私网 IP 地址及相应的内部端口。
- 创建入站访问规则： 这是最重要的安全步骤。创建防火墙规则以允许流量通过转发的端口，但务必指定源 IP 地址。对于 CAPWAP 端口，源地址应为远程站点的公网 IP 地址。对于管理端口（HTTPS/SSH），源地址必须限制在受信任 IP 地址的白名单内，例如您的企业办公室或专用的管理堡垒机。
安全警告： 一个常见且危险的错误是将源地址保留为 “Any” 或 “0.0.0.0/0”。这会使您的控制器管理界面暴露给整个互联网，从而招致暴力破解攻击。
- 阻止不必要的协议： 显式创建拒绝所有其他指向 WLC 公网 IP 的流量的规则。此外，确保在控制器本身上禁用 Telnet (TCP 23) 和 TFTP (UDP 69) 等非安全协议，并在防火墙上予以阻止。
- 启用状态检测： 确保您的防火墙运行在状态检测模式下。这意味着它会跟踪连接状态，并自动拒绝不属于已识别会话的主动入站数据包。
第 3 步：控制器配置
在 WLC 上，确保将防火墙的公网 IP 地址配置为控制器的主要接口或 NAT 地址。这使控制器能够正确构建 CAPWAP 响应，以便将其路由回 AP。确保启用了针对 CAPWAP 的 DTLS 加密等功能。
最佳实践
- 首选替代方案： 最安全的方法是避免直接的端口转发。如果可行，请在远程位置与控制器的数据中心之间实施 站点到站点 VPN。这会将所有流量封装在一个安全的隧道中，从而无需开放面向公网的端口。* 拥抱云端： 对于新部署或硬件更新，强烈建议考虑云端管理 WiFi 解决方案（例如 Cisco Meraki、Ruckus One、Aruba Central）。这些平台在设计上使 AP 能够向云端发起出站连接，从而无需任何入站防火墙规则，并简化了管理。
- 定期审计： 按照 PCI DSS 要求 1.1.6 的规定，应至少每六个月审查一次防火墙和路由器规则集。此过程应验证每条规则的业务合理性，并确保其限制性尽可能强。
- 使用强身份验证： 尽可能使用多因素身份验证 (MFA) 保护管理界面。使用强且复杂的密码，并定期更改。
- 日志记录与监控： 将防火墙和 WLC 日志转发到中央 SIEM（安全信息和事件管理）系统。监控异常连接尝试、重复的失败登录以及意外的流量模式。
故障排除与风险缓解
常见故障模式：AP 无法加入控制器
- 症状： 远程站点的 AP 卡在发现循环中，且从未出现在控制器仪表板中。
- 故障排除：
- 验证从远程站点到控制器公网 IP 的基本网络连接（ping、traceroute）。
- 检查控制器侧的防火墙日志。您是否看到来自 AP 公网 IP 的入站 UDP 5246 数据包？它们是被允许还是被丢弃？
- 验证是否为 WLC 的私网 IP 正确配置了 NAT/端口 forwarding 规则。
- 确保远程站点不存在可能干扰连接的第二层 NAT（双重 NAT）。
风险：控制器受损
- 场景： 在 WLC 的 Web 管理界面中发现了一个漏洞，并且您针对 TCP 443 的端口 forwarding 规则的源设置为“Any”。
- 缓解措施： 这突显了限制源 IP 的关键性。如果将源限制为您的办公室 IP，则无法从更广泛的互联网利用该漏洞。这是纵深防御的典型示例。进一步的缓解措施包括将 WLC 置于 DMZ 中以限制攻击者的横向移动，并及时应用来自厂商的安全补丁。
风险：合规性违规
- 场景： PCI DSS 审计发现，WLC 正在管理处理信用卡付款的零售店中的 AP，并且该 WLC 未与持卡人数据环境 (CDE) 进行妥善隔离。
- 缓解措施： 对于 PCI DSS 合规性，网络隔离是不可逾越的红线 [2]。支付终端使用的无线网络必须与所有其他网络（包括访客和企业 WiFi）隔离。如果 WLC 自身会影响 CDE 的安全，则在审计中必须将其纳入评估范围。对于 GDPR，访客 WiFi 数据属于个人数据，网络设计必须防止未经授权的访问 [3]。
ROI 与业务影响
虽然这是一个技术性话题，但 WiFi 架构的选择具有直接的业务影响。本地控制器模式可能意味着大笔的资本支出，但它提供了细粒度的控制，并将所有数据保留在企业的基础设施内。该模式的运营成本包括管理、安全保护和审计防火墙及控制器配置所需的人员时间。因防火墙配置不当而导致的安全漏洞可能会造成重大财务损失、声誉受损和监管罚款。
相比之下，云端托管解决方案将成本模式从资本支出（CapEx）转变为运营支出（OpEx，即定期订阅费）。投资回报率（ROI）是通过减少 IT 开销实现的 - 无需维护本地硬件，无需为控制器访问管理复杂的防火墙规则，并且可以更快地部署新站点。对于零售连锁店或酒店集团等许多分布式企业而言，云端托管平台的总体拥有成本（TCO）和更高的安全态势提供了极具吸引力的商业案例，证明了从传统本地架构进行迁移的合理性。
参考文献
[1] IETF, RFC 5415: Control And Provisioning of Wireless Access Points (CAPWAP) Protocol Specification, https://datatracker.ietf.org/doc/html/rfc5415 [2] PCI Security Standards Council, PCI DSS v4.0, https://www.pcisecuritystandards.org/document_library/ [3] General Data Protection Regulation (GDPR), https://gdpr-info.eu/
关键定义
端口转发（入站 NAT）
一种网络配置，将来自外网防火墙或路由器上特定端口的流量定向到内部网络中私有设备上的特定端口。
IT 团队使用此技术使具有私网 IP 地址的本地 WiFi 控制器，能够被分布在公共互联网上的接入点访问。
CAPWAP (Control and Provisioning of Wireless Access Points)
一种 IETF 标准协议 (RFC 5415)，允许中央控制器管理一组无线接入点。它在 UDP 端口 5246（控制）和 5247（数据）上运行。
这是促进 AP 与 WLC 之间通信的基础协议。了解其端口要求是配置防火墙的第一步。
DMZ (Demilitarized Zone)
与组织受信任的内部局域网隔离的周边网络段。它用于托管面向公众的服务，并增加了一层安全保护。
将 WiFi 控制器部署在 DMZ 中是一项关键的最佳实践。如果控制器受到损害，攻击者会被限制在 DMZ 内，无法直接访问企业网络。
状态防火墙
一种跟踪活动网络连接状态并根据流量上下文（而不仅仅是单个数据包）做出决策的防火墙。
状态防火墙对于安全的端口转发至关重要，因为只有当流量是已建立的 CAPWAP 会话的一部分时，它才允许从 WLC 返回到 AP 的流量，从而阻止未经请求的入站流量。
PCI-DSS
支付卡行业数据安全标准，旨在确保所有接受、处理、存储或传输信用卡信息的公司都维持一个安全环境的安全标准指南。
对于零售或酒店业的任何组织而言，确保 WiFi 架构符合 PCI-DSS 是不可逾越的底线。这会极大地影响有关网络分段和防火墙配置的决策。
RADIUS (Remote Authentication Dial-In User Service)
一种客户端/服务器协议，为连接和使用网络服务的用户提供集中的认证、授权和计费 (AAA) 管理。
在企业 WiFi 中，RADIUS 用于启用 WPA2/WPA3-Enterprise 安全性 (802.1X)。WLC 充当 RADIUS 客户端，防火墙规则必须允许其在 UDP 端口 1812 和 1813 上与 RADIUS 服务器通信。
云管理 WiFi
一种 WiFi 架构，其中的接入点由厂商托管在云端的控制器平台进行管理（例如 Cisco Meraki、Aruba Central）。
这种架构是本地控制器的直接替代方案。它简化了部署并消除了端口转发的需要，因为 AP 会向云端发起出站连接，这是一种更安全的默认姿态。
源 IP 白名单
配置防火墙规则以仅允许来自特定的、预先批准的源 IP 地址列表的流量的做法。
这是端口转发时最重要的一项安全控制。将管理访问权限 (HTTPS/SSH) 限制在办公室或 VPN IP 的白名单内，可以极大降低未经授权访问的风险。
应用实例
一家拥有 250 间客房的酒店需要提供访客 WiFi 并支持内部员工设备（客房服务平板电脑、PoS 系统）。他们的服务器房中有一个本地 Cisco 3504 WLC，并希望在通过 Purple 认证门户提供无缝访客体验的同时，确保符合 PCI-DSS 合规性。
- 网络分段： 将 WLC 放置在新的 DMZ VLAN（例如 VLAN 100）中。创建三个新的无线局域网："GUEST_WIFI" (VLAN 101)、"STAFF_CORP" (VLAN 102) 和 "POS_SECURE" (VLAN 103)。配置防火墙规则以将这些 VLAN 相互完全隔离。除了前往支付处理器的流量外，POS_SECURE 网络与互联网隔离。
- 防火墙与端口转发： 不将任何端口从公共互联网转发到 WLC。相反，创建一条规则，仅允许来自 Purple 为其 Captive Portal 服务提供的特定 IP 地址范围的入站 HTTPS (TCP 443) 流量。这允许该门户与控制器通信以授权访客会话。所有其他发往 WLC 的入站流量均被阻止。
- PCI-DSS 合规性： "POS_SECURE" WLAN 配置有 WPA2-Enterprise 和 802.1X 认证。防火墙策略确保该网络分段与访客和公司员工网络完全隔离，从而满足 PCI-DSS 规范 1.2.3 的要求。WLC 本身被视为在评估范围内，并根据 PCI 指南进行了加固。
一家拥有 50 家门店的零售连锁店在其总部设有一台中央 Ruckus SmartZone 控制器。每个门店有 5 - 10 个 AP，需要通过公共互联网连接回总部控制器。IT 团队需要远程管理该控制器。
- 首选 VPN： 推荐的解决方案是在每个零售门店部署一个小型防火墙/VPN 网关，以建立连接回总部防火墙的站点对站点 IPsec VPN。然后，所有 AP 流量都通过安全的 VPN 隧道进行路由。这不需要在总部进行入站端口转发，使其成为最安全的选项。
- 备用端口转发： 如果由于成本或技术限制导致 VPN 不可行，则采用端口转发方法。在总部防火墙上，创建 DNAT 规则以将 UDP 12223（用于发现）和 TCP 91/443（用于固件）转发到 SmartZone 控制器。至关重要的一点是，这些规则的源地址是所有 50 个门店的静态公网 IP 地址列表。另一条规则转发用于管理的 TCP 8443，其源地址限制为 IT 团队办公室的 IP。
- AP 配置： 每个门店的 AP 均配置有总部防火墙的公网 IP 地址作为其控制器地址。然后它们将发起连接，该连接将被转发到内部的 SmartZone 控制器。
练习题
Q1. 您正在为一家会议中心部署新的 WiFi 网络。客户希望使用 Purple 进行访客分析，并且现有一个本地部署的 Aruba Mobility Controller。为了让 Purple Captive Portal 正常工作，您需要配置的最关键的防火墙规则是什么？
提示：考虑通信流程。外部服务需要与内部控制器进行通信。涉及哪些 IP 地址？
查看标准答案
最关键的规则是允许从 Purple 特定的公网 IP 地址范围到 Aruba 控制器外网 IP 的入站 HTTPS (TCP 443) 流量。您必须从 Purple 的文档或技术支持中获取此 IP 范围。将源设置为“任何”（Any）的规则将是一个重大的安全隐患。然后，您需要创建一条 DNAT 规则，将该流量转发到 DMZ 中控制器的内网 IP 地址。
Q2. 一位初级网络工程师为新的远程办事处配置了端口转发。AP 已在线，但他告诉您，他已经向任何（Any）源 IP 开放了指向控制器的 TCP 端口 23，以“使故障排除更容易”。眼下的风险是什么？您对他的指示是什么？
提示：TCP 端口 23 用于 Telnet。该协议的安全特征是什么？
查看标准答案
眼下的风险非常严重。Telnet 是一种未加密的协议，这意味着控制器的用户名和密码是以明文形式发送的。将此暴露给整个互联网使控制器极易受到凭证窃取和攻破的影响。指示是立即禁用该防火墙规则，禁用控制器本身的 Telnet 服务，并对所有 CLI 管理使用 SSH (TCP 22)，同时将源 IP 限制在受信任的管理网络内。
Q3. 您的 CFO 正在质疑为 100 家新零售店采用云管理 WiFi 解决方案的订阅成本，认为购买本地控制器是更便宜的一次性成本。您如何从安全和运营的角度解释云解决方案的 ROI？
提示：考虑总拥有成本 (TCO)，而不仅仅是初始购买价格。本地部署、多站点部署需要哪些持续性工作？
查看标准答案
云管理解决方案的 ROI 远超初始硬件成本。在运营方面，它消除了为 100 个不同位置配置、管理和审计复杂防火墙规则及 VPN 所需的大量人员开销。这加速了部署并降低了持续的人工成本。从安全角度来看，云模式具有根本上更低的风控特征。它消除了对任何入站端口转发的需求，从而极大地减少了网络的攻击面，并简化了对 PCI-DSS 等标准的合规性。订阅成本实际上是将管理平台安全和维护外包给了厂商，从而降低了 TCO，并实现了更安全、更具可扩展性的网络。
常见问题
When is port forwarding required for an enterprise WiFi controller?
Port forwarding is required when access points or branch switches located at external sites or home offices must communicate with an on-premises Wireless LAN Controller (WLC) located behind a network firewall or NAT boundary. Inbound NAT forwarding translates external WAN IP traffic to internal WLC interfaces for control tunnels and user traffic.
Which network ports are needed for CAPWAP controller communication?
CAPWAP (RFC 5415 and RFC 5416) requires two primary UDP ports: UDP 5246 for the control plane (discovery, DTLS management handshake, keepalives) and UDP 5247 for the data plane (tunneling client data frames in centralized switching mode). Legacy Cisco AireOS LWAPP implementations utilized UDP 12222 and 12223.
What are the security risks of forwarding ports to an on-premises WLC?
Opening inbound WAN ports exposes controller management interfaces to brute-force dictionary attacks, vulnerability scanning, and distributed denial-of-service (DDoS) packet floods. Exposing standard RADIUS ports (UDP 1812/1813) over the public internet exposes cleartext MD5 shared secrets to cryptographic offline cracking unless encapsulated in IPsec or RadSec.
How does MTU and packet fragmentation affect remote CAPWAP tunnels?
CAPWAP encapsulation adds a 44-byte outer header to every packet. When traversing WAN links with standard 1500-byte MTUs (or 1492-byte PPPoE links), frames exceed path MTU limits and undergo IP fragmentation. If intermediate firewalls drop fragmented UDP packets, access points suffer frequent DTLS retransmissions, association timeouts, and degraded throughput.
How does RadSec eliminate RADIUS port forwarding vulnerabilities?
RadSec (RFC 6614) encapsulates RADIUS authentication and accounting packets inside secure TCP port 2083 TLS 1.3 tunnels. RadSec provides mutual X.509 certificate authentication, eliminates fragile UDP packet loss over long-distance WAN connections, and protects credential hashes from eavesdropping without exposing open UDP ports.
How does Purple Cloud RADIUS eliminate the need for inbound port forwarding?
Purple Cloud RADIUS replaces on-premises authentication controllers with globally distributed cloud infrastructure. Access points establish secure outbound TLS connections to Purple endpoints, completely eliminating the need for inbound firewall pinholes, static public IP mapping, and fragile edge NAT port forwarding rules.
继续阅读本系列
CIPA合规：场所运营商合规清单
您将能够确定您的WiFi是否受CIPA约束，然后进行网络细分、通过Purple Shield路由DNS并关闭绕过路径。您还将了解为Form 486或Form 479认证需要保留哪些证据。该清单为每个要求分配了责任人，因此您的下一个资助年度认证将毫无遗漏。
WPA3 过渡模式连接失败：Cisco Meraki、HPE Aruba 和 Ruckus 的部署检查清单
使用此检查清单来诊断设备在 WPA3 SAE 过渡模式 SSID 上连接失败的原因，并在 Cisco Meraki、HPE Aruba 或 Ruckus 上进行修复。您将把 802.11 状态码与原因进行匹配，隔离 PMF、802.11r 和 6GHz 问题，并决定何时切换到仅限 WPA3 的 SSID。
最佳 DNS filtering：面向企业用户的全面指南
本技术参考指南阐述了企业级 DNS filtering 如何通过在解析层（即在建立连接之前）拦截恶意域名来保障公共网络的安全。它为 IT 总监、网络架构师和场所运营团队提供了在酒店、零售和公共部门环境中保护宾客 WiFi 所需的部署架构、防火墙配置以及合规性背景信息。Purple Shield 在 DNS 级别为超过 80,000 个实时场所拦截恶意软件、僵尸网络和不当内容。
对您的具体配置有疑问吗？
我们的团队与 80,000 多个场所的运营方、IT 经理和网络工程师保持合作。预约 20 分钟的通话，我们将为您展示同行是如何解决类似问题的。