[네트워크 코스 73편] Cisco Catalyst 9800 WLC 및 AP 정책 설계의 핵심: 태그 기반 설정 모델 완벽 가이드

Cisco의 무선 네트워크 환경이 기존의 AireOS(2504, 5508, 8540 등)에서 IOS-XE 기반의 Catalyst 9800(C9800) 시리즈로 전환되면서 가장 크게 바뀐 점은 바로 태그 기반 설정 모델(Tag-based Configuration Model)입니다 [1]. 과거의 AP 그룹(AP Group) 방식에서 벗어나, 기능별로 분리된 프로파일을 조합하여 AP에 할당하는 이 방식은 대규모 환경에서 훨씬 높은 유연성과 재사용성을 제공합니다 [2].

본 포스팅에서는 C9800 WLC의 정책 설계 원리와 실무 구축 절차, 그리고 장애 대응을 위한 필수 체크리스트를 다룹니다.

1. 누구를 위한 글인가?

• 기존 AireOS 기반 WLC 운영 경험은 있으나 C9800의 태그 개념이 낯선 네트워크 엔지니어
• Catalyst 9800 WLC를 신규 도입하거나 클라우드 버전(C9800-CL)을 구축하려는 관리자
• 무선 SSID별로 VLAN 분리, 보안 정책 차별화 등 복합적인 무선 정책 설계가 필요한 설계자

Field note

구매 전 주의사항

Field note

Cisco Catalyst 9800 제품군 중 일부 초기 모델(예: C9800-40, C9800-80 등)은 제조사의 하드웨어 수명 주기에 따라 판매 종료(EOS) 또는 기술 지원 종료(EOL)가 공지되었을 수 있습니다. 도입 전 반드시 Cisco 공식 EOS/EOL 인덱스를 통해 해당 PID의 지원 상태를 확인하시기 바랍니다 [3].

2. 개념과 동작 원리: 3대 태그와 프로파일

C9800의 설정은 "무엇을 서비스할 것인가(SSID)"와 "어떻게 처리할 것인가(Policy)"를 분리하여 정의한 뒤, 이를 태그(Tag)라는 매개체로 연결하는 구조입니다 [1].

태그 기반 모델의 매핑 구조

1. WLAN Profile: SSID 이름, 인증 방식(WPA2/WPA3), 브로드캐스트 여부를 정의합니다.
2. Policy Profile: 해당 SSID에 접속한 클라이언트가 사용할 VLAN, QoS, 세션 타임아웃, 중앙/로컬 스위칭 모드를 정의합니다 [2].
3. Policy Tag: 위 두 요소를 1:1로 매핑합니다. 하나의 Policy Tag에는 최대 16개의 WLAN-Policy 매핑 쌍을 포함할 수 있습니다 [4].

3. 설계 및 구축 단계

실무에서 C9800의 정책을 구성하는 표준 절차는 다음과 같습니다 [1].

1단계: 프로파일 정의 (Profiles)

• WLAN Profile 생성: SSID Manus_Guest를 생성하고 보안 설정을 적용합니다.
• Policy Profile 생성: VLAN 100 할당, Central Switching 활성화 등을 설정합니다.

2단계: 태그 생성 및 매핑 (Tags)

• Policy Tag 생성: 앞서 만든 Manus_Guest WLAN Profile과 Policy Profile을 묶어줍니다.
• Site Tag 생성: AP가 위치한 물리적 장소(예: Seoul_Office)에 맞춰 Join 프로파일을 지정합니다.

3단계: AP에 태그 할당 (Tag Assignment)

• WLC에 조인된 AP 리스트에서 대상 AP를 선택합니다.
• 작성한 Policy Tag, Site Tag, RF Tag를 각각 할당합니다.

4단계: 설정 적용 및 확인

• AP가 새로운 설정을 수신하면 무선 라디오를 재시작하며 정책을 적용합니다.

4. 안전한 확인 명령 및 절차

설정 후에는 반드시 CLI 또는 GUI를 통해 정책이 의도대로 적용되었는지 확인해야 합니다.

Field note

⚠️ 주의 문구

Field note

AP에 태그를 변경하거나 프로파일을 수정하는 작업은 해당 AP에 접속된 모든 무선 클라이언트의 연결을 즉시 끊을 수 있습니다. 운영 중인 환경에서는 반드시 서비스 영향도가 낮은 시간에 작업을 진행하십시오.

주요 CLI 확인 명령

• 태그 요약 정보 확인

`bash

show wireless tag summary

`

• AP별 할당된 태그 상태 확인

`bash

show ap tag summary

`

• 특정 SSID에 연결된 클라이언트 상세 정보

`bash

show wireless client summary

`

• AP 조인 상태 및 프로파일 적용 확인

`bash

show ap summary

`

5. 흔한 장애와 분리 진단

태그 기반 모델에서 발생하는 문제는 주로 '매핑 누락'이나 'VLAN 불일치'에서 기인합니다 [2].

1. SSID가 브로드캐스트 되지 않음

• 원인: Policy Tag에 WLAN Profile이 누락되었거나, AP에 해당 Policy Tag가 할당되지 않음.
• 진단: show ap name [AP_NAME] tag detail 명령으로 해당 AP에 WLAN이 활성화되었는지 확인합니다.

1. 클라이언트가 IP를 할당받지 못함 (DHCP 실패)

• 원인: Policy Profile에 정의된 VLAN이 WLC(중앙 스위칭) 또는 액세스 스위치(로컬 스위칭)에 생성되지 않음.
• 진단: WLC의 해당 VLAN 인터페이스 상태를 확인하고, 업링크 트렁크 포트의 VLAN 허용 리스트를 점검합니다.

1. AP가 WLC에 조인하지 못함

• 원인: Site Tag 내의 AP Join Profile 설정 오류 또는 인증서 문제.
• 진단: debug capwap events 명령을 통해 AP와 WLC 간의 핸드셰이크 과정을 모니터링합니다.

6. 도입 및 설계 회의 체크리스트

성공적인 무선 정책 설계를 위해 다음 항목을 사전에 검토하십시오.

• 스위칭 모드 결정: 트래픽을 WLC로 모을 것인가(Central), AP 단에서 바로 뺄 것인가(FlexConnect)? [2]
• VLAN 설계: SSID별로 독립된 VLAN을 할당했는가? (VLAN Pool 사용 여부 검토)
• 태그 재사용성: 유사한 정책을 가진 AP들을 그룹화하여 태그 개수를 최소화했는가?
• 보안 프로토콜: 구형 단말 지원을 위한 WPA2와 최신 단말을 위한 WPA3 혼용(Transition Mode)이 필요한가?
• 최대 AP 수용량: Site Tag 하나당 권장 AP 수(Cisco 권장 약 500대 미만)를 초과하지 않았는가? [2]
• 수명 주기 확인: 선택한 하드웨어의 EOS/EOL 공지 사항을 확인했는가? [3]

7. References

1. Cisco Catalyst 9800 Series Wireless Controller Software Configuration Guide, Release 17.x
2. Cisco Catalyst 9800 Series Configuration Best Practices
3. Cisco Wireless End-of-Sale and End-of-Life Notices
4. Demystifying the Cisco Catalyst 9800 Configuration Model (Cisco Community)