針對(duì)Cisco AP無(wú)法注冊(cè)上控制器，或者AP注冊(cè)上之后頻繁斷開的現(xiàn)象，這里列舉出幾個(gè)常見(jiàn)的原因和解決方法，供日后借鑒。
AP證書時(shí)間問(wèn)題
這種現(xiàn)象出現(xiàn)在型號(hào)較老的AP上，由于思科AP出廠只有10年的證書有效期時(shí)間，當(dāng)AP使用超過(guò)10年后，AP注冊(cè)控制器時(shí)證書校驗(yàn)失敗，就無(wú)法注冊(cè)上控制器了。當(dāng)然如果AP一直注冊(cè)在控制器上，不斷電，不離開，即使證書到期也不影響正常使用。所有這個(gè)AP證書時(shí)間問(wèn)題經(jīng)常出現(xiàn)在AP出現(xiàn)重啟或其它意外情況AP與控制器斷開之后。
AP證書查看命令，登錄AP，show crypto pki certificates，看倒數(shù)第二項(xiàng)，Certificate那一項(xiàng)的證書起始時(shí)間。

AP證書過(guò)期一般有類似以下的日志：
*May 28 01:14:43.294: %PKI-3-CERTIFICATE_INVALID_NOT_YET_VALID: Certificate chain validation has failed. The certificate (SN: 2BAE49080000000737F8) is not yet valid Validity period starts on 14:11:53 UTC Mar 13 2016Peer certificate verification failed 000B
*May 28 01:14:43.296: %CAPWAP-3-ERRORLOG: Certificate verification failed!
*May 28 01:14:43.296: DTLS_CLIENT_ERROR: ../capwap/base_capwap/capwap/base_capwap_wtp_dtls.c:447 Certificate verified failed!
*May 28 01:14:43.296: %DTLS-5-SEND_ALERT: Send FATAL : Bad certificate Alert to 172.17.10.10:5246
*May 28 01:14:43.297: %DTLS-5-SEND_ALERT: Send FATAL : Close notify Alert to 172.17.10.10:5246
解決方法：
1，更改控制器時(shí)間，讓控制器的時(shí)間在AP證書的區(qū)間內(nèi)。如現(xiàn)在時(shí)2020年，改為2017年差不多就可以又撐個(gè)三年了。這種方法比較建議。
2，控制器通過(guò)命令忽略證書驗(yàn)證，config apcert-expiry-ignore {mic|ssc} enable，不是所有控制器版本都生效。如果控制器不支持這條命令這種方法就不行。
3，升級(jí)硬件，更換新型號(hào)的AP。
控制器證書時(shí)間問(wèn)題
這個(gè)和AP證書時(shí)間問(wèn)題類似，控制器也有10年的限制。
控制器證書查看命令，登錄控制器，show certificate all，看倒數(shù)第三項(xiàng)，Cisco SHA1 device cert 證書的起始時(shí)間。

解決方法：
1，更改控制器時(shí)間，讓控制器的時(shí)間在AP證書的區(qū)間內(nèi)。如現(xiàn)在時(shí)2020年，改為2017年差不多就可以又撐個(gè)三年了。這種方法比較建議。
2，控制器通過(guò)命令忽略證書驗(yàn)證，config apcert-expiry-ignore {mic|ssc} enable，不是所有控制器版本都生效。如果控制器不支持這條命令這種方法就不行。
3，升級(jí)硬件，更換新型號(hào)的無(wú)線控制器。
國(guó)家代碼問(wèn)題
一般國(guó)內(nèi)的是CN ，AP型號(hào)一般為-H，-C。美國(guó)的是US，AP型號(hào)一般為-A。 AP型號(hào)刷過(guò)的除外。
般可以通過(guò)show logg 或者debug capwap信息看到如Country code is not configured 等報(bào)錯(cuò)，
解決方法：
WLC 是支持多個(gè)國(guó)家代碼的配置的，將無(wú)法加入控制器的AP的國(guó)家代碼添加，就可以了。
無(wú)線控制器硬件與AP不兼容
對(duì)于老的控制器硬件，它的最高支持的軟件版本也會(huì)受限制，可能不再支持一些新的控制器軟件版本，對(duì)應(yīng)的新型號(hào)的AP可能也就不再支持，這個(gè)要看思科官網(wǎng)關(guān)于控制器對(duì)應(yīng)軟件版本的兼容性列表，查列表即可。
無(wú)線控制器軟件版本與AP不兼容
新增新型號(hào)AP或者升級(jí)控制器版本之前要看思科官網(wǎng)關(guān)于控制器對(duì)應(yīng)軟件版本的兼容性列表，確保控制器軟件版本支持所有AP。
這種一般出現(xiàn)在控制器軟件升級(jí)或降低版本之后，回滾版本即可。有的打個(gè)控制器軟件補(bǔ)丁也可以。
AP 跟WLC 不在相同管理網(wǎng)段內(nèi)，或者option 配置錯(cuò)誤（無(wú)配置或者配置不正確）
新加入的AP 無(wú)法加入WLC ，首先看AP 獲取的地址是否正確，可以登陸AP show ip inter b 查看IP 信息，然后在AP 上面ping WLC 的IP地址
也可以是電腦接AP 網(wǎng)線，一樣的操作測(cè)試。 另外如果跨網(wǎng)段的情詳細(xì)看看DHCP 服務(wù)器的option配置是否正確。
通信被防火墻等策略阻斷
這個(gè)可能是防火墻或者其他安全策略配置阻斷了CAPWAP 必要通信端口導(dǎo)致
– 為 CAPWAP 流量啟用以下 UDP 端口：數(shù)據(jù) – 5247控制 – 5246
– 為移動(dòng)性流量啟用如下 UDP 端口：16666 – 1666616667 – 16667
– 為 CAPWAP 流量啟用 UDP 端口 5246 和 5247。
– 用于 SNMP 的 TCP 161 和 162（適用于 Wire-ess Contro- System [WCS]）
以下端口為可選端口（可根據(jù)自己的需要決定是否啟用）：
– UDP 69，用于 TFTP
– TCP 80 和/或 443，用于通過(guò) HTTP 或 HTTPS 的 GUI 訪問(wèn)
– TCP 23 和/或 22，用于通過(guò) Te-net 或 SSH 的 C-I 訪問(wèn)
AP的mac地址未加入AP Policies
對(duì)于模式是Root或者mesh的AP，注冊(cè)時(shí)會(huì)自動(dòng)加入AP Policies，但有時(shí)候也需要手工添加，通過(guò)show version獲取AP的mac地址，然后在AP Policies內(nèi)搜索該mac，如沒(méi)有，右上角add，手動(dòng)添加以下即可。
WLC IP地址重復(fù)
這個(gè)雖然不常見(jiàn)，但是也會(huì)導(dǎo)致AP注冊(cè)不上控制器。一般是有人私自配置了IP地址與WLC 沖突。