内容

はじめに

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

サード パーティ サポートの課題

セッション

URL リダイレクト

CoA

ISE でのソリューション

Cisco ISE

ステップ 1：ネットワークデバイスへのArubaワイヤレスコントローラの追加

ステップ 2：許可プロファイルの設定

ステップ 3：許可ルール（Authorization Rule）の設定

Aruba AP

ステップ 1：キャプティブポータルの設定

ステップ 2：RADIUS サーバの設定

ステップ 3：SSID 設定

確認

ステップ 1：EAP-PEAPを使用したSSID mgarcarz_arubawithへの接続

ステップ 2：BYODのためのWebブラウザトラフィックリダイレクション

ステップ 3：ネットワークセットアップアシスタントの実行

その他のフローおよび CoA サポート

CoA を含む CWA

トラブルシュート

FQDNではなくIPアドレスを使用するArubaキャプティブポータル

Aruba キャプティブ ポータルのアクセス ポリシーが正しくない

Aruba CoA のポート番号

Aruba デバイスでのリダイレクション

関連情報

はじめに

このドキュメントでは、Cisco Identity Services Engine(ISE)のサードパーティ統合機能をトラブルシューティングする方法について説明します。

注：シスコは、他のベンダーのデバイスの設定またはサポートに対して責任を負わないことに注意してください。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- Aruba IAPの設定

- ISE上のBYODフロー

- パスワードおよび証明書認証のためのISE設定

使用するコンポーネント

このドキュメントでは、Cisco Identity Services Engine(ISE)のサードパーティ統合機能をトラブルシューティングする方法について説明します。

他のベンダーやフローとの統合のガイドとして使用できます。ISEバージョン2.0はサードパーティの統合をサポートします。

これは、Aruba IAP 204によって管理されるワイヤレスネットワークをISEと統合して個人所有デバイスの持ち込み(BYOD)サービスを実現する方法を示す設定例です。

このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。

- Aruba IAP 204 ソフトウェア 6.4.2.3

- Cisco ISE リリース 2.0 以降

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

Aruba AP が管理するワイヤレス ネットワークは 2 つあります。

1つ目の認証(mgarcarz_byod)は、802.1x Extensible Authentication Protocol-Protected EAP(EAP-PEAP)アクセスに使用されます。

認証が成功した後、ArubaコントローラはユーザをISE BYODポータルにリダイレクトする必要があります。これは、ネイティブサプリカントプロビジョニング(NSP)フローです。

ユーザがリダイレクトされ、Network Setup Assistant(NSA)アプリケーションが実行され、証明書がプロビジョニングされてWindowsクライアントにインストールされます。

そのプロセスには SE 内部 CA が使用されます（デフォルト設定）。

NSAは、Aruba(mgarcarz_byod_tls)によって管理される2つ目のService Set Identifier(SSID)のワイヤレスプロファイルの作成も担当します。これは、802.1x Extensible Authentication Protocol-Transport Layer Security(EAP-TLS)認証に使用されます。

その結果、企業ユーザは個人デバイスのオンボーディングを実行し、企業ネットワークへの安全なアクセスを取得できます。

この例は、さまざまな種類のアクセスに合わせて簡単に変更できます。次に例を示します。

- BYOD サービスを使用する中央 Web 認証（CWA）

- Posture および BYOD のリダイレクションを使用する 802.1x 認証

- 通常、EAP-PEAP認証にはActive Directory(AD)が使用されます（この記事の内容を短くするために、内部ISEユーザが使用されます）

- 通常、証明書プロビジョニングには外部のSimple Certificate Enrollment Protocol(SCEP)サーバが使用されますが、この記事を簡潔にするために、一般にMicrosoft Network Device Enrollment Service(NDES)の内部ISE CAが使用されます。

サード パーティ サポートの課題

ISEゲストフロー(BYOD、CWA、NSP、クライアントプロビジョニングポータル(CPP)など)をサードパーティデバイスで使用する際には課題があります。

セッション

Cisco Network Access Devices(NAD)は、Radius cisco-av-pair called audit-session-idを使用して、認証、許可、アカウンティング(AAA)サーバにセッションIDを通知します。

この値は、ISEがセッションを追跡し、各フローに適切なサービスを提供するために使用されます。他のベンダーはcisco-avペアをサポートしていません。

ISEは、Access-RequestおよびAccounting Requestで受信したIETF属性に依存する必要があります。

Access-Requestを受信すると、ISEは合成されたCiscoセッションID（Calling-Station-ID、NAS-Port、NAS-IP-Address、および共有秘密から）を作成します。この値はローカルでのみ意味を持ちます（ネットワーク経由では送信されません）。

その結果、すべてのフロー(BYOD、CWA、NSP、CPP)から正しい属性が付加されることが期待されるため、ISEはシスコセッションIDを再計算してルックアップを実行し、正しいセッションと関連付けて、フローを続行できます。

URL リダイレクト

ISEは、url-redirectおよびurl-redirect-aclと呼ばれるRadius cisco-av-pairを使用して、特定のトラフィックをリダイレクトする必要があることをNADに通知します。

他のベンダーはcisco-avペアをサポートしていません。そのため、通常、これらのデバイスは、ISE上の特定のサービス（認可プロファイル）を指すスタティックリダイレクションURLを使用して設定する必要があります。

ユーザがHTTPセッションを開始すると、これらのNADはURLにリダイレクトされ、ISEが特定のセッションを識別してフローを続行できるように、追加の引数（IPアドレスやMACアドレスなど）も付加します。

CoA

ISEは、subscriber:command、subscriber:reauthenticate-typeという名前のRadius cisco-av-pairを使用して、特定のセッションに対してNADが実行する必要があるアクションを示します。

他のベンダーはcisco-avペアをサポートしていません。そのため、通常、これらのデバイスはRFC CoA（3576または5176）と2つの定義済みメッセージのいずれかを使用します。

- 切断要求（切断パケットとも呼ばれる） – セッションの切断に使用される（頻繁に再接続を強制する）

- coa push：切断せずにセッション ステータスを透過的に変更するために使用する（たとえば、VPN セッションや、新たに適用された ACL など）

ISE は、cisco-av-pair を使用する Cisco CoA も、CoA RFC 3576 と 5176 もサポートします。

ISE でのソリューション

ISE 2.0では、サードパーティベンダーをサポートするために、特定のベンダーの動作（セッション、URLリダイレクト、およびCoAのサポート方法）を記述したネットワークデバイスプロファイルの概念が導入されました。

認証プロファイルは特定のタイプのプロファイル（ネットワーク デバイス プロファイル）であり、認証が実行されると、そのプロファイルから ISE の動作が取得されます。

その結果、他のベンダーのデバイスをISEで簡単に管理できます。また、ISE の設定には柔軟性があり、新しいネットワーク デバイス プロファイルを調整したり、作成したりすることもできます。

この記事では、Aruba デバイスのデフォルト プロファイルの使用法について説明します。

機能の詳細については、以下の情報を参照してください。

Cisco Identity Services Engine でのネットワーク アクセス デバイス プロファイル

Cisco ISE

ステップ 1：ネットワークデバイスへのArubaワイヤレスコントローラの追加

[管理（Administration）] > [ネットワーク リソース（Network Resources）] > [ネットワーク デバイス（Network Devices）] に移動します。選択したベンダーの正しいデバイスプロファイル(この例ではArubaWireless)を選択します。 次の図に示すように、共有秘密とCoAポートを必ず設定してください。

目的のベンダーに使用できるプロファイルがない場合は、Administration > Network Resources > Network Device Profilesで設定できます。

ステップ 2：許可プロファイルの設定

Policy > Policy Elements > Results > Authorization > Authorization Profilesの順に移動し、ステップ1と同じNetwork Device Profileを選択します。 ArubaWireless を選択します。 設定されているプロファイルは、図に示すように、BYODポータルを使用するAruba-redirect-BYODです。

[Web Redirection] 設定の欠落している部分では、認証プロファイルへのスタティック リンクが生成されます。Arubaはゲストポータルへのダイナミックリダイレクションをサポートしていませんが、各認証プロファイルに割り当てられた1つのリンクがAruba上で設定され、次の図に示すように設定されます。

ステップ 3：許可ルール（Authorization Rule）の設定

Policy > Authorization Rulesの順に移動すると、設定が図のように表示されます。

まず、ユーザがSSID mgracarz_arubaに接続し、ISEが認証プロファイルAruba-redirect-BYODを返します。これにより、クライアントはデフォルトのBYODポータルにリダイレクトされます。BYODプロセスが完了すると、クライアントはEAP-TLSで接続し、ネットワークへのフルアクセスが許可されます。

新しいバージョンのISEでは、同じポリシーが次のように表示されます。

Aruba AP

ステップ 1：キャプティブポータルの設定

Aruba 204 上でキャプティブ ポータルを設定するには、[Security] > [External Captive Portal] に移動し、新規ポータルを追加します。次の図に示すように、適切に設定するためにこの情報を入力します。

- タイプ：Radius認証

- IPまたはホスト名：ISEサーバ

- URL：認可プロファイル設定の下でISE上に作成されるリンクです。特定の認可プロファイルに固有であり、Webリダイレクション設定の下でここで見つけることができます

- ポート：図に示すように、選択したポータルがISEでホストされるポート番号（デフォルトでは8443）。

ステップ 2：RADIUS サーバの設定

Security > Authentication Serversの順に移動し、CoAポートが図に示すようにISEで設定されているものと同じであることを確認します。

Aruba 204ではデフォルトで5999に設定されていますが、これはRFC 5176に準拠しておらず、ISEでも動作しません。

注：Arubaバージョン6.5以降では、「キャプティブポータル」チェックボックスも選択します。

ステップ 3：SSID 設定

- Securityタブは図に示すとおりです。

- Accessタブ：Network-based Access Ruleを選択して、SSIDでキャプティブポータルを設定します。

手順1で設定したキャプティブポータルを使用します。Newをクリックし、図に示すように、ルールタイプ：Captive portal、スプラッシュページタイプ：Externalを選択します。

さらに、ISEサーバ(1 ～ 20000の範囲のTCPポート)へのすべてのトラフィックを許可します。ただし、Arubaでデフォルトで設定されているルール「すべての宛先にあらゆるトラフィックを許可」は、図に示すように正しく機能していないようです。

確認

ここでは、設定が正常に機能しているかどうかを確認します。

ステップ 1：EAP-PEAPを使用したSSID mgarcarz_arubaへの接続

ISE 上の最初の認証ログが表示されます。図に示すように、デフォルトの認証ポリシーが使用され、Aruba-redirect-BYOD認証プロファイルが返されました。

ISEは、EAP SuccessとともにRadius Access-Acceptメッセージを返します。 図に示すように、追加の属性は返されないことに注意してください（no Cisco av-pair url-redirectまたはurl-redirect-acl）。

図に示すように、Arubaはセッションが確立され(EAP-PEAP IDがcisco)、選択されたロールがmgarcarz_arubaであることを報告します。

この役割は、ISE へのリダイレクション（Aruba 上のキャプティブ ポータルの機能）を実行します。

Aruba CLIでは、そのセッションの現在の認証ステータスを確認できます。

04:bd:88:c3:88:14# show datapath user

Datapath User Table Entries

---------------------------

Flags: P - Permanent, W - WEP, T- TKIP, A - AESCCM

R - ProxyARP to User, N - VPN, L - local, I - Intercept, D - Deny local routing

FM(Forward Mode): S - Split, B - Bridge, N - N/A

IP              MAC           ACLs    Contract   Location  Age    Sessions   Flags     Vlan  FM

---------------  -----------------  -------  ---------  --------  -----  ---------  -----     ----  --

10.62.148.118    04:BD:88:C3:88:14   105/0      0/0     0         1        0/65535  P           1   N

10.62.148.71     C0:4A:00:14:6E:31   138/0      0/0     0         0        6/65535              1   B

0.0.0.0          C0:4A:00:14:6E:31   138/0      0/0     0         0        0/65535  P           1   B

172.31.98.1      04:BD:88:C3:88:14   105/0      0/0     0         1        0/65535  P        3333   B

0.0.0.0          04:BD:88:C3:88:14   105/0      0/0     0         0        0/65535  P           1   N

04:bd:88:c3:88:14#

現在の権限についてACL ID 138を確認するには、次のようにします。

04:bd:88:c3:88:14# show datapath acl 138

Datapath ACL 138 Entries

-----------------------

Flags: P - permit, L - log, E - established, M/e - MAC/etype filter

S - SNAT, D - DNAT, R - redirect, r - reverse redirect m - Mirror

I - Invert SA, i - Invert DA, H - high prio, O - set prio, C - Classify Media

A - Disable Scanning, B - black list, T - set TOS, 4 - IPv4, 6 - IPv6

K - App Throttle, d - Domain DA

----------------------------------------------------------------

1:  any  any  17 0-65535 8209-8211  P4

2:  any  172.31.98.1 255.255.255.255  6 0-65535 80-80  PSD4

3:  any  172.31.98.1 255.255.255.255  6 0-65535 443-443  PSD4

4:  any  mgarcarz-ise20.example.com  6 0-65535 80-80  Pd4

5:  any  mgarcarz-ise20.example.com  6 0-65535 443-443  Pd4

6:  any  mgarcarz-ise20.example.com  6 0-65535 8443-8443  Pd4  hits 37

7:  any  10.48.17.235 255.255.255.255  6 0-65535 1-20000  P4  hits 18

<....some output removed for clarity ... >

これは、図に示すように、GUIでそのロールに対して設定した内容と一致します。

ステップ 2：BYODのためのWebブラウザトラフィックリダイレクション

ユーザがWebブラウザを開き、任意のアドレスを入力すると、図に示すようにリダイレクトが発生します。

パケットキャプチャを見ると、Arubaが宛先(5.5.5.5)をスプーフィングし、ISEにHTTPリダイレクションを返すことが確認できます。

これはISEで設定されたスタティックURLと同じであり、Arubaのキャプティブポータルにコピーされることに注意してください。ただし、次の図に示すように、さらに複数の引数が追加されています。

- cmd = login

- mac = c0:4a:00:14:6e:31

- essid = mgarcarz_aruba

- ip = 10.62.148.7

- apname = 4bd88c38814 (mac)

- url = http://5.5.5.5

これらの引数により、ISEはCiscoセッションIDを再作成し、ISE上の対応するセッションを見つけ出し、BYOD（または他の設定済み）フローを続行できます。

シスコデバイスの場合、通常はaudit_session_idが使用されますが、これは他のベンダーではサポートされていません。

ISEのデバッグから、audit-session-id値の生成を確認できます（この値はネットワークを介して送信されることはありません）。

AcsLogs,2015-10-29 23:25:48,538,DEBUG,0x7fc0b39a4700,cntx=0000032947,CallingStationID=

c04a00146e31,FramedIPAddress=10.62.148.71,MessageFormatter::appendValue() attrName:

cisco-av-pair appending value:

audit-session-id=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M

次に、BYODにデバイスを登録した後の相関関係を示します（2ページ）。

AcsLogs,2015-10-29 23:25:48,538,DEBUG,0x7fc0b39a4700,cntx=0000032947,CallingStationID=

c04a00146e31,FramedIPAddress=10.62.148.71,Log_Message=[2015-10-29 23:25:48.533 +01:00

0000011874 88010 INFO  MyDevices: Successfully registered/provisioned the device

(endpoint), ConfigVersionId=145, UserName=cisco, MacAddress=c0:4a:00:14:6e:31,

IpAddress=10.62.148.71, AuthenticationIdentityStore=Internal Users,

PortalName=BYOD Portal (default), PsnHostName=mgarcarz-ise20.example.com,

GuestUserName=cisco, EPMacAddress=C0:4A:00:14:6E:31, EPIdentityGroup=RegisteredDevices

Staticassignment=true, EndPointProfiler=mgarcarz-ise20.example.com, EndPointPolicy=

Unknown, NADAddress=10.62.148.118, DeviceName=ttt, DeviceRegistrationStatus=Registered

AuditSessionId=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M,

cisco-av-pair=audit-session-id=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M

後続の要求では、クライアントはBYODページ3にリダイレクトされ、そこでNSAがダウンロードされて実行されます。

ステップ 3：ネットワークセットアップアシスタントの実行

NSA には Web ブラウザと同じタスクがあります。まず、ISEのIPアドレスを検出する必要があります。この検出は HTTP リダイレクションによって実行されます。

この時間ユーザは（Webブラウザのように）IPアドレスを入力できないため、そのトラフィックは自動的に生成されます。

図に示すように、デフォルトゲートウェイが使用されます(enroll.cisco.comも使用できます)。

応答はWebブラウザとまったく同じです。

この方法で NSA は、ISE に接続し、xml プロファイルを設定とともに取得し、SCEP 要求を生成し、それを ISE に送信して、署名付き証明書（ISE の内部 CA による署名）を取得し、ワイヤレス プロファイルを設定し、最終的に設定済み SSID に接続できます。

クライアントからログを収集します(Windowsでは%temp%/spwProfile.log)。分かりやすくするために、一部の出力を省略しています。

Logging started

SPW Version: 1.0.0.46

System locale is [en]

Loading messages for english...

Initializing profile

SPW is running as High integrity Process - 12288

GetProfilePath: searched path = C:\Users\ADMINI~1.EXA\AppData\Local\Temp\ for file name = spwProfile.xml result: 0

GetProfilePath: searched path = C:\Users\ADMINI~1.EXA\AppData\Local\Temp\Low for file name = spwProfile.xml result: 0

Profile xml not found Downloading profile configuration...

Downloading profile configuration...

Discovering ISE using default gateway

Identifying wired and wireless network interfaces, total active interfaces: 1

Network interface - mac:C0-4A-00-14-6E-31, name: Wireless Network Connection, type: wireless

Identified default gateway: 10.62.148.100

Identified default gateway: 10.62.148.100, mac address: C0-4A-00-14-6E-31

redirect attempt to discover ISE with the response url

DiscoverISE - start

Discovered ISE - : [mgarcarz-ise20.example.com, sessionId: 0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M]

DiscoverISE - end

Successfully Discovered ISE: mgarcarz-ise20.example.com, session id: 0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M, macAddress: C0-4A-00-14-6E-31

GetProfile - start

GetProfile - end

Successfully retrieved profile xml

using V2 xml version

parsing wireless connection setting

Certificate template: [keysize:2048, subject:OU=Example unit,O=Company name,L=City,ST=State,C=US, SAN:MAC]

set ChallengePwd

creating certificate with subject = cisco and subjectSuffix = OU=Example unit,O=Company name,L=City,ST=State,C=US

Installed [LAB CA, hash: fd 72 9a 3b b5 33 72 6f  f8 45 03 58 a2 f7 eb 27^M

ec 8a 11 78^M

] as rootCA

Installed CA cert for authMode machineOrUser - Success

HttpWrapper::SendScepRequest - Retrying: [1] time, after: [2] secs , Error: [0], msg: [ Pending]

creating response file name C:\Users\ADMINI~1.EXA\AppData\Local\Temp\response.cer

Certificate issued - successfully

ScepWrapper::InstallCert start

ScepWrapper::InstallCert: Reading scep response file  [C:\Users\ADMINI~1.EXA\AppData\Local\Temp\response.cer].

ScepWrapper::InstallCert GetCertHash -- return val 1

ScepWrapper::InstallCert end

Configuring wireless profiles...

Configuring ssid [mgarcarz_aruba_tls]

WirelessProfile::SetWirelessProfile - Start

Wireless profile: [mgarcarz_aruba_tls] configured successfully

Connect to SSID

Successfully connected profile: [mgarcarz_aruba_tls]

WirelessProfile::SetWirelessProfile. - End

これらのログは、シスコ デバイスでの BYOD プロセスとまったく同じです。

注：ここではRadius CoAは不要です。新しく設定された SSID に強制的に再接続するのは、アプリケーション（NSA）の役割です。

この段階で、システムが最終的なSSIDへの関連付けを試行していることをユーザが確認できます。複数のユーザ証明書がある場合は、正しい証明書を選択する必要があります（図を参照）。

接続に成功すると、NSAは次の図のように報告します。

これはISEで確認できます。2番目のログはEAP-TLS認証にヒットし、Basic_Authenticated_Access（EAP-TLS、Employee、およびBYOD Registered true）のすべての条件に一致します。

また、エンドポイントIDビューでは、図に示すように、エンドポイントのBYOD登録済みフラグがtrueに設定されていることを確認できます。

Windows PCでは、新しいワイヤレスプロファイルが優先（およびEAP-TLS用に設定）として自動的に作成され、次のように表示されます。

この段階で、Arubaはユーザが最終的なSSIDに接続されていることを確認します。

自動的に作成され、ネットワークと同じ名前が付けられたロールは、フルネットワークアクセスを提供します。

その他のフローおよび CoA サポート

CoA を含む CWA

BYODフローにはCoAメッセージはありませんが、自己登録ゲストポータルを使用したCWAフローを次に示します。

設定された許可ルールは図に示すとおりです。

ユーザはMAB認証を使用してSSIDに接続し、Webページへの接続を試行すると、自己登録ゲストポータルへのリダイレクトが発生します。このポータルでは、ゲストが新しいアカウントを作成するか、現在のアカウントを使用できます。

ゲストが正常に接続されると、認可状態を変更するためにISEからネットワークデバイスにCoAメッセージが送信されます。

これは、図に示すように、Operations > Authenitcationsの下で確認できます。

ISE デバッグ内の CoA メッセージは、次のようになります。

2015-11-02 18:47:49,553 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name NAS-IP-Address, value=10.62.148.118.,

DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,567 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name Acct-Session-Id, value=04BD88B88144-

C04A00157634-7AD.,DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,573 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name cisco-av-pair, v

alue=audit-session-id=0a3011ebisZXypODwqjB6j64GeFiF7RwvyocneEia17ckjtU1HI.,DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,584 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationRequestHelper::

setConnectionParams] defaults from nad profile : NAS=10.62.148.118, port=3799, timeout=5,

retries=2 ,DynamicAuthorizationRequestHelper.cpp:59

2015-11-02 18:47:49,592 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationRequestHelper::set

ConnectionParams] NAS=10.62.148.118, port=3799, timeout=5, retries=1,

DynamicAuthorizationRequestHelper.cpp:86

2015-11-02 18:47:49,615 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::onLocalHttpEvent]:

invoking DynamicAuthorization,DynamicAuthorizationFlow.cpp:246

ArubaからのDisconnect-ACK:

2015-11-02 18:47:49,737 DEBUG  [Thread-147][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9eb4700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::

onResponseDynamicAuthorizationEvent] Handling response

ID c59aa41a-e029-4ba0-a31b-44549024315e, error cause 0, Packet type 41(DisconnectACK).,

DynamicAuthorizationFlow.cpp:303

CoA Diconnect-Request(40)およびDiconnect-ACK(41)によるパケットキャプチャは次のようになります。

注:RFC CoAは、デバイスプロファイルAruba（デフォルト設定）に関連する認証に使用されています。シスコデバイスに関連する認証では、Cisco CoAタイプの再認証でした。

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

Aruba キャプティブ ポータルが FQDN ではなく IP アドレスを使用

ArubaのキャプティブポータルがISEのFQDNではなくIPアドレスで設定されている場合、PSN NSAは失敗します。

Warning - [HTTPConnection] Abort the HTTP connection due to invalid certificate

CN

その理由は、ISEに接続する際の厳密な証明書検証です。IPアドレスを使用してISEに接続する場合（FQDNではなくIPアドレスを使用したリダイレクトURLの結果）、サブジェクト名= FQDNのISE証明書が表示され、検証が失敗します。

注:Webブラウザは引き続きBYODポータルを使用します（ユーザによる承認が必要な警告を表示）。

Aruba キャプティブ ポータルのアクセス ポリシーが正しくない

デフォルトでは、キャプティブポータルで設定されたArubaアクセスポリシーはTCPポート80、443、および8080を許可します。

NSAは、ISEからxmlプロファイルを取得するためにtcpポート8905に接続できません。次のエラーが報告されます。

Failed to get spw profile url using - url

[https://mgarcarz-ise20.example.com:8905/auth/provisioning/evaluate?

typeHint=SPWConfig&referrer=Windows&mac_address=C0-4A-00-14-6E-31&spw_version=

1.0.0.46&session=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M&os=Windows All]

- http Error: [2] HTTP response code: 0]

GetProfile - end

Failed to get profile. Error: 2

Aruba CoA のポート番号

デフォルトでは、ArubaはCoA Air Group CoAポート5999のポート番号を提供します。残念ながら、Aruba 204はそのような要求に応答しませんでした（図を参照）。

パケットキャプチャは次の図のように表示されます。

RFC 5176で説明されているように、ここで使用する最適なオプションはCoAポート3977です。

Aruba デバイスでのリダイレクション

Aruba 3600のv6.3では、リダイレクションが他のコントローラとは少し異なる動作をしていることがわかります。パケットキャプチャと説明については、こちらを参照してください。

packet 1: PC is sending GET request to google.com

packet 2: Aruba is returning HTTP 200 OK with following content:

<meta http-equiv='refresh' content='1; url=http://www.google.com/&arubalp=6b0512fc-f699-45c6-b5cb-e62b3260e5'>\n

packet 3: PC is going to link with  Aruba attribute returned in packet 2:

http://www.google.com/&arubalp=6b0512fc-f699-45c6-b5cb-e62b3260e5

packet 4: Aruba is redirecting to the ISE (302 code):

https://10.75.89.197:8443/portal/g?p=4voD8q6W5Lxr8hpab77gL8VdaQ&cmd=login&mac=80:86:f2:59:d9:db&ip=10.75.94.213&essid=SC%2DWiFi&apname=LRC-006&apgroup=default&url=http%3A%2F%2Fwww%2Egoogle%2Ecom%2F

関連情報

- Cisco Identity Services Engine 管理者ガイド リリース 2.0

- Cisco Identity Services Engine でのネットワーク アクセス デバイス プロファイル

- テクニカル サポートとドキュメント - Cisco Systems