内容

概要

前提条件

要件

使用するコンポーネント

設定

WLC の設定

Cisco Secure ACS の設定

確認

トラブルシュート

概要

このドキュメントでは、サービス セット識別子（SSID）に基づいてワイヤレス LAN（WLAN）へのユーザ別アクセスを制限するための設定例について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- ワイヤレス LAN コントローラ（WLC）と Lightweight アクセス ポイント（LAP）の基本動作のための設定方法

- Cisco Secure Access Control Server(ACS)の設定方法

- Lightweight アクセス ポイント プロトコル（LWAPP）とワイヤレスのセキュリティ方式

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- ファームウェアバージョン7.4.110が稼働するCisco 5500シリーズWLC

- Cisco 1142 シリーズ LAP

- Cisco Secure ACSサーババージョン5.2.0.26.11

設定

この設定用にデバイスを設定するには、次の手順を実行します。

1. 2 つの WLAN と RADIUS サーバ用の WLC を設定します。

2. Cisco Secure ACS を設定します。

3. ワイヤレスクライアントを設定し、設定を確認します。

WLC の設定

このセットアップのために WLC を設定するには、次の手順を実行します。

1. ユーザクレデンシャルを外部RADIUSサーバに転送するようにWLCを設定します。設定すると、外部 RADIUS サーバ（この場合は Cisco Secure ACS）は、ユーザ クレデンシャルを検証し、ワイヤレス クライアントにアクセス権を付与します。次のステップを実行します。

1. コントローラのGUIから[Security] > [RADIUS Authentication]の順に選択して、[RADIUS Authentication Servers]ページを表示します。

2. RADIUS サーバ パラメータを定義するには、[New] をクリックします。
RADIUS サーバ IP アドレス、共有秘密、ポート番号、サーバ ステータスなどのパラメータがあります。[Network User]チェックボックスと[Management]チェックボックスでは、RADIUSベースの認証が管理ユーザとネットワークユーザに適用されるかどうかが決まります。この例では、次のように、Cisco Secure ACS を IP アドレスが 10.104.208.56 である RADIUS サーバとして使用しています。

3. [Apply] をクリックします。

2. SSID Employeeの従業員に1つのWLANを設定し、SSID Contractorの請負業者用にもう1つのWLANを設定するには、次の手順を実行します。

1. WLAN を作成するために、コントローラの GUI で [WLANs] をクリックします。WLANs ウィンドウが表示されます。このウィンドウには、コントローラに設定されている WLAN の一覧が表示されます。

2. 新しい WLAN を設定するために [New] をクリックします。

3. この例では、Employeeという名前のWLANを作成し、WLAN IDを1にします。[Apply]をクリックします。

4. [WLAN] > [Edit]ウィンドウを選択し、WLAN固有のパラメータを定義します。

1. [Layer 2 Security]タブで、[802.1x]を選択します。デフォルトでは、レイヤ 2 セキュリティ オプションは 802.1x です。これにより、WLANの802.1 x/Extensible Authentication Protocol(EAP)認証が有効になります。

2. [AAA servers]タブで、[RADIUS Servers]のドロップダウンリストから適切なRADIUSサーバを選択します。WLAN ネットワークの要件に基づいて、その他のパラメータを変更できます。[Apply] をクリックします。

5. 同様に、請負業者のWLANを作成するには、手順b ～ dを繰り返します。

Cisco Secure ACS の設定

Cisco Secure ACS サーバで、次の操作を実行します。

1. WLC を AAA クライアントとして設定します。

2. SSIDベース認証のユーザデータベース（クレデンシャル）を作成します。

3. EAP 認証をイネーブルにします。

Cisco Secure ACS で次の手順を実行します。

1. コントローラをACSサーバ上のAAAクライアントとして定義するには、ACS GUIから[Network Resources] > [Network Devices and AAA Clients]を選択します。[Network Devices and AAA Clients]で[Create]をクリックします。

2. [Network Configuration]ページが表示されたら、WLCの名前、IPアドレス、および共有秘密と認証方式(RADIUS)を定義します。

3. ACS GUIから[Users and Identity Stores] > [Identity Groups]を選択します。従業員および請負業者の各グループを作成し、「作成」をクリックします。この例では、作成したグループの名前はEmployeesです。

4. 「ユーザーとIDストア」>「内部IDストア」を選択します。[Create]をクリックし、ユーザ名を入力します。これらを正しいグループに配置し、パスワードを定義し、[送信]をクリックします。この例では、グループEmployeeのemployee1という名前のユーザが作成されます。同様に、contractor1という名前のユーザをグループcontractorsの下に作成します。

5. [Policy Elements] > [Network Conditions] > [End Station Filters]を選択します。[作成（Create）] をクリックします。

1. 意味のある名前を入力し、[IP address]タブでWLCのIPアドレスを入力します。この例では、名前はEmployeeとContractorです。

2. [CLI/DNIS]タブで、[CLI]を – ANY – のままにし、「DNIS」を*<SSID>として入力します。この例では、DNISフィールドに「*Employee」と入力します。このエンドステーションフィルタは、従業員WLANへのアクセスのみを制限するために使用されます。DNIS 属性は、ユーザがアクセスを許可される SSID を定義します。WLC は SSID を DNIS 属性で RADIUS サーバに送信します。

3. Contractorエンドステーションフィルタについても同じ手順を繰り返します。

6. [Policy Elements] > [Authorization and Permissions] > [Network Access] > [Authorization Profiles]を選択します。[Permit Access]にはデフォルトプロファイルが必要です。

7. [Access Policies] > [Access Services] > [Service Selection Rules]を選択します。[Customize] をクリックします。

1. 適切な条件を追加します。この例では、照合条件としてProtocol as Radiusを使用しています。

2. [作成（Create）] をクリックします。ルールに名前を付けます。「プロトコル」を選択し、「Radius」を選択します。

3. [Results] で、適切なアクセスサービスを選択します。この例では、[Default Network Access]のままにしておきます。

8. [Access Policies] > [Access Services] > [Default Network Access] > [Identity]を選択します。[Single Result Selection]と[Identity Source]を[Internal users]に選択します。

1. [Access Policies] > [Access Services] > [Default Network Access] > [Authorization]を選択します。[Customize]をクリックし、[Customized]条件を追加します。この例では、[Identity Group]、[NDG:Device Type]、および[End Station Filter]の順に使用しています。

2. [作成（Create）] をクリックします。ルールに名前を付け、[All Groups]で適切なIDグループを選択します。この例では、Employeeです。

3. [Employee End Stn Filter]オプションボタンをクリックするか、[Configure the WLC]セクションのステップ1bで入力した名前を入力します。

4. [Permit Access]チェックボックスをオンにします。

5. 契約作業員ルールについても、上記と同じ手順を繰り返します。[Default Action]が[Deny Access]になっていることを確認します。
手順eを完了すると、ルールは次の例のようになります。

これで設定は終了です。このセクションの後、接続するには、SSIDとセキュリティパラメータに従ってクライアントを設定する必要があります。

確認

現在、この設定に使用できる確認手順はありません。

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。