内容

概要

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

WLC の設定

9800 WLCでのAAAの設定

WLANプロファイルの設定

ポリシープロファイルの設定

ポリシータグの設定

ポリシータグの割り当て

ISE の設定

ISEでのWLCの宣言

ISE での新しいユーザの作成

認証プロファイルの作成

ポリシーセットの作成

認証ポリシーの作成

承認ポリシーの作成

確認

トラブルシュート

WLCでのトラブルシューティング

ISEでのトラブルシューティング

概要

このドキュメントでは、Cisco Catalyst 9800シリーズワイヤレスコントローラで802.1Xセキュリティを使用してWLANを設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- 802.1X

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Catalyst 9800ワイヤレスコントローラシリーズ(Catalyst 9800-CL)

- Cisco IOS® XE Gibraltar 17.3.x

- Cisco ISE 3.0

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

WLC の設定

9800 WLCでのAAAの設定

GUI：

ステップ1:RADIUSサーバを宣言します。移動先  Configuration > Security > AAA > Servers / Groups > RADIUS > Servers > + Add RADIUSサーバ情報を入力します。

今後、中央Web認証(または認可変更(CoA)を必要とするあらゆる種類のセキュリティ)を使用する予定の場合は、CoAのサポートが有効になっていることを確認します。

ステップ 2：RADIUSサーバをRADIUSグループに追加します。移動先  Configuration > Security > AAA > Servers / Groups > RADIUS > Server Groups > + Add. グループに名前を付け、先ほど作成したサーバを次のリストに移動します。 Assigned Servers.

ステップ 3：認証方式リストを作成します。移動先 Configuration > Security > AAA > AAA Method List > Authentication > + Add.

次の情報を入力します。

CLI：

# config t

# aaa new-model

# radius server <radius-server-name>

# address ipv4 <radius-server-ip> auth-port 1812 acct-port 1813

# timeout 300

# retransmit 3

# key <shared-key>

# exit

# aaa group server radius <radius-grp-name>

# server name <radius-server-name>

# exit

# aaa server radius dynamic-author

# client <radius-server-ip> server-key <shared-key>

# aaa authentication dot1x <dot1x-list-name> group <radius-grp-name>

AAAデッドサーバ検出に関する注意

RADIUSサーバを設定した後は、それが「ALIVE」と見なされているかどうかを確認できます。

#show aaa servers | s WNCD

Platform State from WNCD (1) : current UP

Platform State from WNCD (2) : current UP

Platform State from WNCD (3) : current UP

Platform State from WNCD (4) : current UP

...

この設定は、 dead criteria, また、 deadtime WLCで設定します。特に複数のRADIUSサーバを使用する場合に有効です。

#radius-server dead-criteria time 5 tries 3

#radius-server deadtime 5

注: dead criteria は、RADIUSサーバをデッドとしてマークするために使用される基準です。以下で構成される： 1.コントローラが最後にRADIUSサーバから有効なパケットを受信してから、サーバがデッド状態としてマークされるまでの時間を表すタイムアウト（秒）。2.カウンタ。RADIUSサーバがデッドとしてマークされるまでにコントローラで発生する必要がある連続タイムアウトの数を表します。

注: deadtime dead-criteriaによってサーバがdeadとしてマークされた後、サーバがdeadステータスのままになる時間（分単位）を指定します。期限が切れると、コントローラはサーバをUP(ALIVE)としてマークし、登録クライアントに状態変更を通知します。状態がUPとマークされた後もサーバが到達不能であり、デッド基準が満たされる場合、サーバはデッドタイムインターバルの間に再びデッドとしてマークされます。

WLANプロファイルの設定

GUI：

ステップ 1：WLANを作成します。[Configuration] > [Wireless] > [WLANs] > [+ Add] に移動し、必要に応じてネットワークを設定します。

ステップ 2：WLAN情報を入力します

ステップ 3：次に移動します。 [Security] タブをクリックし、必要なセキュリティ方式を選択します。この例では、WPA2 + 802.1xです。

ステップ 4： Security > AAA タブで、[AAA Configuration on 9800 WLC] セクションのステップ3で作成した認証方式を選択します。

CLI：

# config t

# wlan <profile-name> <wlan-id> <ssid-name>

# security dot1x authentication-list <dot1x-list-name>

# no shutdown

ポリシープロファイルの設定

ポリシープロファイル内では、他の設定(アクセスコントロールリスト(ACL)、Quality of Service(QoS)、モビリティアンカー、タイマーなど)の中から、クライアントに割り当てるVLANを決定できます。

デフォルトのポリシープロファイルを使用することも、新しいプロファイルを作成することもできます。

GUI：

[Configuration] > [Tags & Profiles] > [Policy Profile] に移動し、default-policy-profileを設定するか、新しいプロファイルを作成します。

プロファイルを有効にします。

また、アクセスポイント(AP)がローカルモードの場合は、ポリシープロファイルで[Central Switching] と[Central Authentication] が有効になっていることを確認します。

[Access Policies] タブで、クライアントを割り当てる必要があるVLANを選択します。

ISEがVLAN割り当てなどのAccess-Acceptで属性を返す予定の場合は、 Advanced tab:

CLI：

# config

# wireless profile policy <policy-profile-name>

# aaa-override

# central switching

# description "<description>"

# vlan <vlanID-or-VLAN_name>

# no shutdown

ポリシータグの設定

ポリシータグは、SSIDとポリシープロファイルをリンクするために使用されます。新しいポリシータグを作成するか、default-policy タグを使用します。

注:default-policy-tagは、WLAN IDが1 ～ 16のSSIDを自動的にdefault-policy-profileにマッピングします。変更も削除もできません。 ID 17以上のWLANがある場合、default-policy-tagは使用できません。

GUI：

移動先 Configugation > Tags & Profiles > Tags > Policy 必要に応じて新しいエントリを追加します。

WLAN プロファイルを目的のポリシープロファイルにリンクします。

CLI：

# config t

# wireless tag policy <policy-tag-name>

# wlan <profile-name> policy <policy-profile-name>

ポリシータグの割り当て

必要な AP にポリシータグを割り当てます。

GUI：

1つのAPにタグを割り当てるには、 Configuration > Wireless > Access Points > AP Name > General Tags, 関連するポリシータグを割り当て、 Update & Apply to Device.

注:APのポリシータグを変更すると、9800 WLCへの関連付けが解除され、数分後に元に戻ることに注意してください。

複数のAPに同じポリシータグを割り当てるには、次のURLに移動します。 Configuration > Wireless Setup > Advanced > Start Now > Apply.

タグを割り当てるAPを選択し、 + Tag APs

ポリシー、サイト、およびRFに該当するタグを選択し、 Save およびデバイスに適用

CLI：

# config t

# ap <ethernet-mac-addr>

# policy-tag <policy-tag-name>

# end

ISE の設定

ISEでのWLCの宣言

ステップ 1：ISEコンソールを開き、 Administration > Network Resources > Network Devices > Add 図に示すように。

ステップ2.ネットワークデバイスを設定します。

必要に応じて、モデル名、ソフトウェアバージョン、説明を指定し、デバイスタイプ、ロケーション、またはWLCに基づいてネットワークデバイスグループを割り当てることができます。

ここで指定するIPアドレスは、認証要求を送信するWLCインターフェイスに対応します。デフォルトでは、次の図に示すように管理インターフェイスになります。

シナリオとセットアップの詳細については、 Network Device Groups 『Cisco Identity Services Engine Administrator Guide, Release 2.0: Network Device Groups』の「Manage Network Devices」の章を確認してください。

ISE での新しいユーザの作成

ステップ 1：移動先 Administration > Identity Management > Identities > Users > Add 次の図に示すように、

ステップ2.ユーザの情報を入力します。この例では、このユーザはALL_ACCOUNTSというグループに属していますが、図に示すように必要に応じて調整できます。

認証プロファイルの作成

「 Authorization Profile 条件が一致したときに返される一連の属性で構成されます。許可プロファイルは、クライアントがネットワークにアクセスできるかどうか、アクセスコントロールリスト(ACL)をプッシュするかどうか、VLANオーバーライドまたはその他のパラメータを決定します。この例に示す認可プロファイルは、クライアントにaccess acceptを送信し、クライアントをVLAN 1416に割り当てます。

ステップ 1：移動先 Policy > Policy Elements > Results > Authorization > Authorization Profiles をクリックし、 Add をクリックして、クエリーを実行します。

ステップ 2：図に示すように、値を入力します。ここでは、VLANなどのAAAオーバーライド属性を例として返すことができます。WLC 9800は、VLAN IDまたは名前を使用するトンネル属性64、65、81を受け入れ、 AirSpace-Interface-Name 考えることができます。

ポリシーセットの作成

ポリシーセットは、認証ルールと許可ルールの集合を定義します。作成するには、に進みます。 Policy > Policy Setsをクリックし、リストの最初のポリシーセットの歯車をクリックして、 Insert new row above 次の図に示すように、

名前を設定し、このポリシーセットの条件を作成します。この例では、条件はWLCから到達するトラフィックと一致することを指定します。

Radius:NAS-IP-Address EQUALS X.X.X.X     // X.X.X.X is the WLC IP address

確認する Default Network Access が選択されている場合 Allowed Protocols / Server Sequence.

認証ポリシーの作成

認証ポリシーと許可ポリシーを設定するには、ポリシーセットの設定を入力する必要があります。これは可能です 右側の青い矢印をクリックすると、 Policy Set ライン：

認証ポリシーは、ユーザのクレデンシャルが正しいかどうかを確認するために使用されます（ユーザが本当に誰であるかを確認します）。通常の Authenticaton Policy, 認証ポリシーを作成し、次の図に示すように設定します。この例で使用するポリシーの条件は次のとおりです。

RADIUS:Called-Station-ID ENDS_WITH

//

is the SSID of your WLAN

また、[Internal Users] を Use タブをクリックします。

承認ポリシーの作成

同じページで、 Authorization Policy  新しく作成しますこの認可ポリシーの条件は次のとおりです。

RADIUS:Called-Station-ID ENDS_WITH

//

is the SSID of your WLAN

下に Result > Profiles このポリシーの Authorization Profile 以前に作成しました。これにより、ユーザが認証されると、ISEは正しい属性をWLCに送信します。

この時点で、WLCとISEのすべての設定が完了したので、クライアントとの接続を試行できます。

ISEのプロトコル許可ポリシーの詳細については、『Cisco Identity Services Engine Administrator Guide, Release 2.0: Manage Authentication Policies』の「Manage Authentication Policies」の章を参照してください。

ISEアイデンティティソースの詳細については、『Cisco Identity Services Engine Administrator Guide, Release 2.0: Identity Sources』の「Manage Users and External Identity Sources」の章を参照してください。

確認

次のコマンドを使用して、現在の設定を確認できます。

# show run wlan // WLAN configuration

# show run aaa // AAA configuration (server, server group, methods)

# show aaa servers // Configured AAA servers

# show ap config general // AP's configurations

# show ap name <ap-name> config general // Detailed configuration of specific AP

# show ap tag summary // Tag information for AP'S

# show wlan { summary | id | name | all } // WLAN details

# show wireless tag policy detailed <policy-tag name> // Detailed information on given policy tag

# show wireless profile policy detailed <policy-profile name>// Detailed information on given policy profile

トラブルシュート

WLCでのトラブルシューティング

WLC 9800には、常時オンのトレース機能があります。これにより、クライアント接続に関連するすべてのエラー、警告、および通知レベルのメッセージが常にログに記録され、発生後にインシデントまたは障害状態のログを表示できます。

生成されるログの量によって異なりますが、通常は数時間から数日に戻ることができます。

9800 WLCがデフォルトで収集したトレースを表示するには、SSH/Telnetで9800 WLCに接続し、次の手順を実行します（セッションをテキストファイルに記録してください）。

ステップ 1：WLCの現在の時刻を確認して、問題が発生した時刻までのログを追跡できるようにします。

# show clock

ステップ 2：システム設定に従って、WLCバッファまたは外部syslogからsyslogを収集します。これにより、システムの正常性とエラー（発生している場合）をすぐに確認できます。

# show logging

ステップ 3：デバッグ条件が有効になっているかどうかを確認します。

# show debugging

IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:

Packet Infra debugs:

Ip Address                                               Port

------------------------------------------------------|----------

注：リストされている条件が表示される場合は、有効な条件（MACアドレス、IPアドレスなど）に遭遇するすべてのプロセスについて、トレースがデバッグレベルでログに記録されていることを意味します。これにより、ログの量が増加します。したがって、アクティブにデバッグを行っていない場合は、すべての条件をクリアすることをお勧めします。

ステップ 4：テスト対象のMACアドレスがステップ3の条件としてリストされていないとすると、特定のMACアドレスのalways-on notice levelトレースを収集します。

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt>

セッションの内容を表示するか、またはファイルを外部TFTPサーバにコピーできます。

# more bootflash:always-on-<FILENAME.txt>

or

# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt>

条件付きデバッグとラジオアクティブトレース

常時オンのトレースでは、調査中の問題のトリガーを判別するのに十分な情報が得られない場合は、条件付きデバッグを有効にして、無線アクティブ(RA)トレースをキャプチャできます。これにより、指定された条件（この場合はクライアントMACアドレス）と対話するすべてのプロセスにデバッグレベルのトレースが提供されます。これは、GUIまたはCLIを使用して実行できます。

CLI：

条件付きデバッグを有効にするには、次の手順を実行します。

ステップ 5：有効なデバッグ条件がないことを確認します。

# clear platform condition all

手順 6：モニタするワイヤレスクライアントのMACアドレスのデバッグ条件を有効にします。

このコマンドは、指定されたMACアドレスの監視を30分間（1800秒）開始します。この時間はオプションで最大2085978494秒まで増やすことができます。

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

注:複数のクライアントを同時にモニタするには、MACアドレスごとにdebug wireless mac <aaaa.bbbb.cccc>コマンドを実行します。

注：ターミナルセッションでは、クライアントアクティビティの出力は表示されません。これは、後で表示できるように内部でバッファされているためです。

手順 7：監視する問題または動作を再現します。

ステップ 8：デフォルトまたは設定されたモニタ時間が経過する前に問題が再現された場合は、デバッグを停止します。

# no debug wireless mac <aaaa.bbbb.cccc>

モニター時間が経過するか、debug wireless が停止すると、9800 WLC では次の名前のローカルファイルが生成されます。

ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

ステップ 9： MAC アドレスアクティビティのファイルを収集します。    ra trace.logを外部サーバにコピーするか、出力を画面に直接表示できます。

RAトレースファイルの名前を確認します。

# dir bootflash: | inc ra_trace

ファイルを外部サーバーにコピーします。

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

内容を表示します。

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

ステップ 10：根本原因が明らかでない場合は、内部ログを収集します。これは、デバッグレベルのログをより詳細に表示します。すでに収集されて内部で保存されているデバッグログをさらに詳しく調べるため、クライアントを再度デバッグする必要はありません。

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

注：このコマンド出力は、すべてのプロセスのすべてのログレベルのトレースを返し、非常に膨大です。これらのトレースを解析する場合は、Cisco TAC にお問い合わせください。

ra-internal-FILENAME.txt を外部サーバーにコピーするか、出力を画面に直接表示できます。

ファイルを外部サーバーにコピーします。

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

内容を表示します。

# more bootflash:ra-internal-<FILENAME>.txt

ステップ 11デバッグ条件を削除します。

# clear platform condition all

注：トラブルシューティングセッションの後は、必ずデバッグ条件を削除してください。

GUI：

ステップ 1：次に Troubleshooting > Radioactive Trace > + Add  トラブルシューティングするクライアントのMAC/IPアドレスを指定します。

ステップ 2：[Start（スタート）] をクリックします。

ステップ 3：問題を再現します。

ステップ 4： [Stop] をクリックします。

ステップ 5：ポリシーの横の [レポート（Report）] Generate をクリックし、ログを取得する時間間隔を選択して、 Apply to Device. In this example, the logs for the last 10 minutes are requested.

手順 6：コンピュータにRadioactive Traceをダウンロードし、ダウンロードボタンをクリックして検査します。

ISEでのトラブルシューティング

クライアント認証で問題が発生した場合は、ISEサーバでログを確認できます。次に Operations > RADIUS > Live Logs また、認証要求のリスト、一致したポリシーセット、各要求の結果などが表示されます。詳細については、下の虫眼鏡をクリックしてください。 Details 次の図に示すように、各行のタブをクリックします。