内容

概要
前提条件
要件
使用するコンポーネント
背景理論
表記法
設定
ネットワーク EAP または EAP を使用したオープン認証
CLI での設定
GUI での設定
確認
トラブルシュート
トラブルシューティングの手順
トラブルシューティングのためのコマンド
関連情報

概要

このドキュメントでは、Wi-Fi Alliance のメンバーが使用する暫定セキュリティ標準である Wi-Fi Protected Access（WPA）の設定例について説明しています。

前提条件

要件

この設定を行う前に、次の要件が満たされていることを確認します。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景理論

WEP などのワイヤレス ネットワークのセキュリティ機能は脆弱です。Wi-Fi Alliance（または WECA）インダストリ グループは、無線ネットワーク向けの次世代の暫定セキュリティ標準を策定しました。この標準は、IEEE で 802.11i 標準が批准されるまでの間、脆弱性に対処するものです。

この新しいスキームは、現在の EAP/802.1x 認証とダイナミック鍵管理を元に構築されていて、より強力な暗号化機能が追加されます。クライアント デバイスと認証サーバ間に EAP/802.1x アソシエーションが確立された後、AP と WPA 準拠のクライアント デバイス間で WPA 鍵管理がネゴシエートされます。

Cisco AP 製品では、レガシーな WEP ベースの EAP クライアント（レガシーまたは鍵なしの管理）が WPA クライアントとともに動作するハイブリッド設定も提供しています。この設定は移行モードと呼ばれます。移行モードによって、段階的に WPA への移行を進めることができます。このドキュメントでは、移行モードについては説明していません。WPA だけでセキュリティ保護されたネットワークの概要を紹介しています。

大企業または会社レベルのセキュリティ問題に加え、WPA では、small office, home office（SOHO; スモール オフィス、ホームオフィス）や家庭用無線ネットワーク向けの Pre-Shared Key（PSK; 事前共有鍵）バージョンである WPA-PSK も提供しています。Cisco Aironet Client Utility（ACU）は WPA-PSK をサポートしていません。Microsoft Windows の Wireless Zero Configuration ユーティリティはほとんどの無線カードの WPA-PSK に対応しており、次のユーティリティも同様に対応しています。

次の場合、WPA-PSK を設定できます。

command-line interface（CLI; コマンドライン インターフェイス）から WPA-PSK をイネーブルにするには、次のコマンドを入力します。設定モードから開始します。

AP(config)#interface dot11Radio 0
AP(config-if)#encryption mode ciphers tkip
AP(config-if)#ssid ssid_name

AP(config-if-ssid)#authentication open
AP(config-if-ssid)#authentication key-management wpa
AP(config-if-ssid)#wpa-psk ascii pre-shared_key

注：このセクションでは、WPA-PSKに関連する設定のみを提供します。設定は、WPA-PSK をイネーブルにする方法の説明のためにだけ提供されており、このドキュメントの焦点ではありません。このドキュメントでは、WPA の設定方法について説明しています。

表記法

ドキュメント表記の詳細については、『シスコ テクニカル ティップスの表記法』を参照してください。

設定

WPA は、現在の EAP/802.1x 方式をベースに構築されています。このドキュメントでは、WPA を組み込むための設定を追加する前に、Light EAP（LEAP）、EAP、または Protected EAP（PEAP）がすでに設定されていることを前提としています。

この項では、この文書で説明する機能を設定するために必要な情報を提供します。

注：このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool（登録ユーザ専用）を参照してください。一部ツールについては、ゲスト登録のお客様にはアクセスできない場合がありますことをご了承ください。

ネットワーク EAP または EAP を使用したオープン認証

EAP/802.1x ベースの認証方式では、ネットワーク EAP と EAP を使用したオープン認証の違いについて疑問に思われるかもしれません。これらの項目は、管理パケットおよびアソシエーション パケットのヘッダー内にある Authentication Algorithm フィールドの値を指しています。無線クライアントのほとんどの製造業者は、このフィールドの値を 0（オープン認証）に設定しており、後のアソシエーション プロセスで EAP 認証を行いたいという要望を通知します。シスコは、アソシエーションの始めから、ネットワーク EAP フラグを使ってこの値を別の方法で設定します。

ネットワークに次のようなクライアントがある場合には、このリストで示す認証方式を使用してください。

CLI での設定

このドキュメントでは、次の構成を使用します。

AP 
ap1#show running-config 
 Building configuration...
 .
 .
 .
aaa new-model 
!
aaa group server radius rad_eap 
 server 192.168.2.100 auth-port 1645 acct-port 1646
.
.
aaa authentication login eap_methods group rad_eap
.
.
.
!         
bridge irb
!
interface Dot11Radio0
 no ip address
 no ip route-cache
 !
 encryption mode ciphers tkip  

!--- This defines the cipher method that WPA uses. The TKIP !--- method is the most secure, with use of the Wi-Fi-defined version of TKIP. 

 !
 ssid WPAlabap1200
    authentication open eap eap_methods
 

!--- This defines the method for the underlying EAP when third-party clients !--- are in use.

    authentication network-eap eap_methods
 

!--- This defines the method for the underlying EAP when Cisco clients are in use.

    authentication key-management wpa 

!--- This engages WPA key management.

 !
 speed basic-1.0 basic-2.0 basic-5.5 basic-11.0
 rts threshold 2312
 channel 2437
 station-role root
 bridge-group 1
 bridge-group 1 subscriber-loop-control
 bridge-group 1 block-unknown-source
 no bridge-group 1 source-learning
 no bridge-group 1 unicast-flooding
 bridge-group 1 spanning-disabled
.
.
.
interface FastEthernet0
 no ip address
 no ip route-cache
 duplex auto
 speed auto
 bridge-group 1
 no bridge-group 1 source-learning
 bridge-group 1 spanning-disabled
!
interface BVI1
 ip address 192.168.2.108 255.255.255.0 

!--- This is the address of this unit.

 no ip route-cache
!
ip default-gateway 192.168.2.1
ip http server
ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag/ivory/1100
ip radius source-interface BVI1
snmp-server community cable RO
snmp-server enable traps tty
radius-server host 192.168.2.100 auth-port 1645 acct-port 1646 key shared_secret

!--- This defines where the RADIUS server is and the key between the AP and server.

radius-server retransmit 3
radius-server attribute 32 include-in-access-req format %h
radius-server authorization permit missing Service-Type
radius-server vsa send accounting
bridge 1 route ip
!
!
line con 0
line vty 5 15
!
end
 !
 end

GUI での設定

WPA 用 AP を設定するには、次の手順を実行します。

  1. Encryption Manager を設定するには、次の手順を実行します。

    1. TKIP の暗号化をイネーブルにします。

    2. Encryption Key 1 の値をクリアします。

    3. Transmit Key として、Encryption Key 2 を設定します。

    4. Apply-Radio# をクリックします。

    WPAOverview1.gif

  2. SSID Manager を設定するには、次の手順を実行します。

    1. 現在の SSID リストから目的の SSID を選択します。

    2. 適切な認証方式を選択します。

      使用するクライアント カードの種類に基づいて判断します。詳細は、このドキュメントの「ネットワーク EAP または EAP を使用したオープン認証」を参照してください。WPA を追加する前に EAP が動作している場合には、おそらく変更は不要です。

    3. 鍵管理をイネーブルにするには、次の手順を実行します。

      1. Key Management ドロップダウン メニューから Mandatory を選択します。

      2. WPA チェックボックスをオンにします。

    4. Apply-Radio# をクリックします。

    WPAOverview2.gif

確認

ここでは、設定が正常に機能しているかどうかを確認します。

アウトプット インタープリタ ツール（登録ユーザ専用）（OIT）は、特定の show コマンドをサポートします。OIT を使用して、show コマンドの出力の分析を表示します。

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

トラブルシューティングの手順

この情報は、ここでの設定に関連するものです。設定をトラブルシューティングするには、次の手順を実行します。

  1. WPA を実装する前に上記の LEAP、EAP、または PEAP 設定を十分にテストしていない場合には、次の手順を実行する必要があります。

    1. WPA 暗号化モードを一時的にディセーブルにします。

    2. 適切な EAP を再度イネーブルにします。

    3. 認証が機能していることを確認します。

  2. クライアントの設定が AP の設定と一致していることを確認します。

    たとえば、AP が WPA と TKIP 用に設定されている場合、この設定がクライアントの設定と一致していることを確認します。

トラブルシューティングのためのコマンド

注：debug コマンドを使用する前に、『debug コマンドの重要な情報』を参照してください。

EAP 認証が正常に終了した後、WPA 鍵管理には 4 方向のハンドシェイクが関与しています。この 4 つのメッセージを参照するには、debug コマンドを使用します。EAP が正常にクライアントを認証しない場合、またはメッセージが表示されない場合は、次の手順を実行します。

  1. WPA を一時的にディセーブルにします。

  2. 適切な EAP を再度イネーブルにします。

  3. 認証が機能していることを確認します。

次のリストでは、debug について説明しています。

関連情報