ワイヤレス LAN コントローラでの EAP-FAST および LDAP サーバを使用したローカル EAP 認証の設定例

ダウンロードオプション

PDF (1.8 MB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (1.9 MB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (3.4 MB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2009 年 1 月 17 日

Document ID:100590

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

概要

前提条件

要件

使用するコンポーネント

表記法

背景説明

設定

ネットワーク図

設定

WLC でのローカル EAP 認証方式としての EAP-FAST の設定

WLC のデバイス証明書の生成

WLC へのデバイス証明書のダウンロード

WLC への PKI のルート証明書のインストール

クライアントのデバイス証明書の生成

クライアントのルート CA 証明書の生成

WLC でのローカル EAP の設定

LDAP サーバの設定

ドメインコントローラでのユーザの作成

ユーザの LDAP アクセスの設定

LDP を使用したユーザ属性の確認

ワイヤレスクライアントの設定

確認

トラブルシュート

概要

このドキュメントでは、Wireless LAN Controller（WLC）での Extensible Authentication Protocol (EAP) - Flexible Authentication via Secure Tunneling (FAST) Local EAP 認証の設定方法を説明します。また、ユーザクレデンシャルを受信しユーザを認証するために Lightweight Directory Access Protocol（LDAP）サーバをローカル EAP のバックエンドデータベースとして設定する方法も説明します。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

ファームウェア 4.2 が稼働している Cisco 4400 シリーズ WLC
Cisco Aironet 1232AG シリーズ Lightweight アクセスポイント（LAP）
Microsoft Windows 2003 サーバ（ドメインコントローラとして設定）、LDAP サーバ（認証局サーバとして設定）
ファームウェアリリース 4.2 が稼働する Cisco Aironet 802.11a/b/g クライアントアダプタ
ファームウェアバージョン 4.2 が稼働する Cisco Aironet Desktop Utility（ADU）

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細については、『シスコテクニカルティップスの表記法』を参照してください。

背景説明

ワイヤレス LAN コントローラのローカル EAP 認証は、ワイヤレス LAN コントローラバージョン 4.1.171.0 で導入されました。

ローカル EAP 認証方法を使用すると、ユーザとワイヤレスクライアントをコントローラでローカルに認証できます。この機能は、バックエンドシステムが中断したり外部認証サーバが停止したりした場合でもワイヤレスクライアントとの接続を維持する必要があるリモートオフィスでの使用を想定して作られています。ローカル EAP を有効にすると、コントローラは認証サーバおよびローカルユーザデータベースとして機能するため、外部認証サーバへの依存が排除されます。ローカル EAP は、ローカルユーザデータベースまたは LDAP バックエンドデータベースからユーザのクレデンシャルを取得してユーザを認証します。ローカル EAP では、コントローラとワイヤレスクライアント間で、LEAP、EAP-FAST、EAP-TLS、PEAPv0/MSCHAPv2、および PEAPv1/GTC 認証方式がサポートされます。

ローカル EAP は、ユーザのクレデンシャルを取得する際にバックエンドデータベースとして LDAP を使用する場合があります。

LDAP バックエンドデータベースを使用すると、コントローラで、特定のユーザの資格情報（ユーザ名およびパスワード）を LDAP サーバから検索できるようになります。これらの資格情報は、ユーザの認証に使用されます。

LDAP バックエンドデータベースでは次のローカル EAP 方式がサポートされています。

EAP-FAST/GTC
EAP-TLS
PEAPv1/GTC

LEAP、EAP-FAST/MSCHAPv2、および PEAPv0/MSCHAPv2 もサポートされていますが、平文のパスワードを返すように LDAP サーバが設定されている場合にのみサポートされます。たとえば、Microsoft Active Directory は、平文のパスワードを返さないため、サポートされません。平文のパスワードを返すように LDAP サーバを設定できない場合、LEAP、EAP-FAST/MSCHAPv2、および PEAPv0/MSCHAPv2 はサポートされません。

注：コントローラにRADIUSサーバが設定されている場合、コントローラは最初にRADIUSサーバを使用してワイヤレスクライアントの認証を試みます。ローカル EAP が試されるのは、RADIUS サーバがタイムアウトしたため、または RADIUS サーバが設定されていないために、RADIUS サーバが検出されない場合のみです。4 台の RADIUS サーバが設定されている場合、コントローラは最初の RADIUS サーバを使用してクライアントの認証を試行し、次に 2 番目の RADIUS サーバ、その次にローカル EAP を試行します。その後クライアントが手動で再認証を試みると、コントローラは 3 番目の RADIUS サーバを試行し、次に 4 番目の RADIUS サーバ、その次にローカル EAP を試行します。

この例では、WLC のローカル EAP 方式として EAP-FAST を使用します。この WLC は LDAP バックエンドデータベースにワイヤレスクライアントのユーザクレデンシャルを照会するように設定されています。

設定

このドキュメントでは、クライアント側とサーバ側の両方で証明書を使用する EAP-FAST を使用します。このため、Microsoft 認証局（CA）サーバを使用してクライアントとサーバの証明書が生成されます。

ユーザクレデンシャルは LDAP サーバに保存されるので、クレデンシャルの検証が正常に完了するとコントローラはユーザクレデンシャルを取得するため LDAP サーバに対して照会を実行し、ワイヤレスクライアントを認証します。

このドキュメントは次の設定がすでに完了していることを前提としています。

LAP が WLC に登録されている。必要な登録手順の詳細については、『Lightweight アクセスポイント（LAP）の無線 LAN コントローラ（WLC）への登録』を参照してください。
DHCP サーバがワイヤレスクライアントに IP アドレスを割り当てるように設定されている。
Microsoft Windows 2003 サーバがドメインコントローラおよび CA サーバとして設定されている。この例ではドメインとして wireless.com を使用します。

Windows 2003 サーバをドメインコントローラとして設定する方法の詳細については、『ドメインコントローラとしての Windows 2003 の設定』を参照してください。

Windows 2003 サーバをエンタープライズ CA サーバとして設定するには、『Microsoft Windows 2003 サーバのインストールと認証局（CA）サーバとしての設定』を参照してください。

ネットワーク図

このドキュメントでは、次のネットワークセットアップを使用します。

設定

この設定を実装するには、次の作業を実行します。

WLC でのローカル EAP 認証方式としての EAP-FAST の設定
LDAP サーバの設定
ワイヤレスクライアントの設定

WLC でのローカル EAP 認証方式としての EAP-FAST の設定

前述したように、このドキュメントではクライアント側とサーバ側の両方で証明書を使用する EAP-FAST をローカル EAP 認証方式として使用します。最初に次の証明書をサーバ（この場合は WLC）とクライアントにダウンロードしてインストールします。

WLC とクライアントでそれぞれ CA サーバからこれらの証明書をダウンロードする必要があります。

デバイス証明書（WLC とクライアントそれぞれに 1 つずつ）
公開キーインフラストラクチャ（PKI）のルート証明書（WLC）と CA 証明書（クライアント）

WLC のデバイス証明書の生成

CA サーバから WLC のデバイス証明書を生成するには、次の手順を実行します。このデバイス証明書は、WLC がクライアントを認証するときに使用します。

CA サーバにネットワーク接続している PC で、http://<CA サーバの IP アドレス>/certsrv に移動します。CA サーバに管理者としてログインします。
[Request a certificate] を選択します。
[Request a Certificate] ページで [advanced certificate request] をクリックします。
[Advanced Certificate Request] ページで [Create and submit a request to this CA] をクリックします。[Advanced Certificate Request] フォームが表示されます。
[Advanced Certificate Request] フォームの [Certificate Template] で [Web Server] を選択します。次に、このデバイス証明書の名前を指定します。

この例では証明書名 ciscowlc123 を使用します。要件に基づいてその他の識別情報を入力します。
[Key Options] セクションで [Mark Keys as Exportable] オプションを選択します。場合によっては、Web サーバテンプレートを選択するときにこのオプションがグレー表示になっており、このオプションを有効または無効にできないことがあります。このような場合はブラウザメニューで [Back] をクリックして前のページに戻ってからこのページに再度進みます。これで [Mark Keys as Exportable] オプションが選択可能になります。
その他の必須フィールドをすべて設定して [Submit] をクリックします。
証明書要求プロセスを許可するため、次に表示されるウィンドウで [Yes] をクリックします。
[Certificate Issued] ウィンドウが表示され、証明書要求プロセスが正常に完了したことが示されます。次に、発行された証明書をこの PC の証明書ストアにインストールします。[Install this certificate] をクリックします。
CA サーバへの要求が生成された PC に新しい証明書が正常にインストールされました。
次に、証明書ストアからこの証明書をファイルとしてハードディスクにエクスポートします。この証明書ファイルは後で WLC に証明書をダウンロードするために使用されます。

証明書ストアから証明書をエクスポートするには、Internet Explorer ブラウザを開いて [Tools] > [Internet Options] をクリックします。
[Content] > [Certificates] をクリックし、証明書がデフォルトでインストールされる証明書ストアに移動します。
デバイス証明書は通常 [Personal] 証明書リストにインストールされます。新たにインストールした証明書がこのリストに表示されます。証明書を選択して [Export] をクリックします。
次に表示されるウィンドウで [Next] をクリックします。[Certificate Export Wizard] ウィンドウで [Yes, export the private key] オプションを選択します。[next] をクリックします。
エクスポートファイルフォーマットとして [.PFX] を選択し、[Enable strong protection] オプションを選択します。[next] をクリックします。
[Password] ウィンドウにパスワードを入力します。この例では、パスワードとして cisco を使用しています。
証明書ファイル（.PFX ファイル）をハードディスクに保存します。[Next] をクリックしてエクスポートプロセスを完了します。

WLC へのデバイス証明書のダウンロード

WLC デバイス証明書が .PFX ファイルとして作成されました。次に、このファイルをコントローラにダウンロードします。Cisco WLC は PEM フォーマットの証明書だけを受け入れます。したがって、最初に openSSL プログラムを使用して .PFX または PKCS12 フォーマットのファイルを PEM ファイルに変換する必要があります。

openSSL プログラムを使用した PFX 証明書から PEM フォーマットへの変換

証明書を PEM フォーマットに変換する openSSL がインストールされている PC に証明書をコピーできます。openSSL プログラムの bin フォルダで openssl.exe ファイルの次のコマンドを入力します。

注：openSSLはOpenSSL Webサイトからダウンロードできます。

openssl>pkcs12 -in ciscowlc123.pfx  -out ciscowlc123.pem


!--- ciscowlc123 is the name used in this example for the exported file. !--- You can specify any name to your certificate file.
 
Enter Import Password : cisco

!--- This is the same password that is mentioned in step 16 of the previous section.

 MAC verified Ok
 Enter PEM Pass phrase   :  cisco

!--- Specify any passphrase here. This example uses the PEM passphrase as cisco.

 Verifying - PEM pass phrase : cisco

証明書ファイルが PEM フォーマットに変換されます。次に、PEM フォーマットのデバイス証明書を WLC にダウンロードします。

注：その前に、PEMファイルのダウンロード元となるPCにTFTPサーバソフトウェアが必要です。この PC は WLC に接続している必要があります。TFTP サーバの現行ベースディレクトリが、PEM ファイルが保存されるロケーションとして指定されている必要があります。

WLC への変換後の PEM フォーマットデバイス証明書のダウンロード

この例では、WLC の CLI を使用したダウンロードプロセスについて説明します。

コントローラの CLI にログインします。
transfer download datatype eapdevcert コマンドを入力します。
transfer download serverip 10.77.244.196 コマンドを入力します。

10.77.244.196 が TFTP サーバの IP アドレスです。
transfer download filename ciscowlc.pem コマンドを入力します。

ciscowlc123.pem はこの例で使用されるファイル名です。
証明書のパスワードを設定するため transfer download certpassword コマンドを入力します。

transfer download start コマンドを入力して更新後の設定を確認します。

現在の設定を確認してダウンロードプロセスを開始するプロンプトが表示されたら、y と答えます。

このダウンロードコマンドの出力例を次に示します。

(Cisco Controller) >transfer download start

Mode............................................. TFTP
Data Type........................................ Vendor Dev Cert
TFTP Server IP................................... 10.77.244.196
TFTP Packet Timeout.............................. 6
TFTP Max Retries................................. 10
TFTP Path........................................
TFTP Filename.................................... ciscowlc.pem

This may take some time.
Are you sure you want to start? (y/N) y
TFTP EAP CA cert transfer starting.
Certificate installed.
Reboot the switch to use the new certificate.
Enter the reset system command to reboot the controller. 
     The controller is now loaded with the device certificate.

reset system コマンドを入力してコントローラをリブートします。これで、コントローラにデバイス証明書がロードされました。

WLC への PKI のルート証明書のインストール

デバイス証明書が WLC にインストールされました。次に、PKI のルート証明書を CA サーバから WLC にインストールします。次のステップを実行します。

CA サーバにネットワーク接続している PC で、http://<CA サーバの IP アドレス>/certsrv に移動します。CAサーバの管理者としてログインします。
[Download a CA certificate, certificate chain, or CRL] をクリックします。
表示されるページで、[CA certificate] ボックスに CA サーバで使用可能な現行の CA 証明書が表示されることを確認します。[Encoding method] で [DER] を選択し、[Download CA certificate] をクリックします。
証明書を .cer ファイルとして保存します。この例ではファイル名として certnew.cer が使用されています。
次に .cer ファイルを PEM フォーマットに変換してコントローラにダウンロードします。以下の手順を実行するには、「WLC へのデバイス証明書のダウンロード」と同じ手順を使用しますが、次の点を変更します。
- openSSL の「-in」には certnew.cer ファイルを指定し、「-out」には certnew.pem ファイルを指定します。
  
  このプロセスでは PEM パスフレーズとインポートパスワードは不要です。
- .cer ファイルを .pem ファイルに変換する openSSL コマンドは次のとおりです。
  
  x509 -in certnew.cer -inform DER -out certnew.pem -outform PEM
- 「WLC への変換後の PEM フォーマットデバイス証明書のダウンロード」のステップ 2 で証明書を WLC にダウンロードするコマンドは次のとおりです。
  
  (Cisco Controller)>transfer download datatype eapcacert
- WLC にダウンロードするファイルは certnew.pem です。

WLC に証明書がインストールされたかどうかをコントローラ GUI から次のように確認できます。

WLC GUI で [Security] をクリックします。[Security] ページの左側に表示されるタスクから [Advanced] > [IPSec Certs] をクリックします。インストールされている CA 証明書を表示するため [CA Certificate] をクリックします。次に例を示します。
デバイス証明書が WLC にインストールされているかどうかを確認するには、WLC GUI で [Security] をクリックします。[Security] ページの左側に表示されるタスクから [Advanced] > [IPSec Certs] をクリックします。インストールされているデバイス証明書を表示するため [ID Certificate] をクリックします。次に例を示します。

クライアントのデバイス証明書の生成

デバイス証明書と CA 証明書が WLC にインストールされました。次に、クライアントに対してこれらの証明書を生成します。

クライアントのデバイス証明書を生成するには、次の手順を実行します。この証明書は、クライアントが WLC への認証を行うときに使用されます。このドキュメントでは、Windows XP Professional クライアントの証明書を生成する手順を説明します。

証明書をインストールする必要があるクライアントで http://<CA サーバの IP アドレス>/certsrv に移動します。CA サーバにドメイン名\ユーザ名としてログインします。ユーザ名はこの XP マシンを使用しているユーザの名前であり、このユーザは CA サーバと同じドメインの一部としてすでに設定されている必要があります。
[Request a certificate] を選択します。
[Request a Certificate] ページで [advanced certificate request] をクリックします。
[Advanced Certificate Request] ページで [Create and submit a request to this CA] をクリックします。[Advanced Certificate Request] フォームが表示されます。
[Advanced Certificate Request] フォームの [Certificate Template] ドロップダウンメニューから [User] を選択します。

[Key Options] セクションで次のパラメータを選択します。

[Key Size] フィールドにキーサイズを入力します。この例では 1024 を使用しています。

[Mark Keys as Exportable] オプションにチェックマークを付けます。
その他の必須フィールドをすべて設定して [Submit] をクリックします。
要求に基づいてクライアントのデバイス証明書が生成されます。[Install the certificate] をクリックして証明書を証明書ストアにインストールします。
クライアントの IE ブラウザの [Tools] > [Internet Options] > [Content] > [Certificates] にある [Personal] 証明書リストに、インストールしたクライアントのデバイス証明書が表示されます。

クライアントのデバイス証明書がクライアントにインストールされました。

クライアントのルート CA 証明書の生成

次に、クライアントの CA 証明書を生成します。クライアント PC で次の手順を実行します。

証明書をインストールする必要があるクライアントで http://<CA サーバの IP アドレス>/certsrv に移動します。CA サーバにドメイン名\ユーザ名としてログインします。ユーザ名はこの XP マシンを使用しているユーザの名前であり、このユーザは CA サーバと同じドメインの一部としてすでに設定されている必要があります。
表示されるページで、[CA certificate] ボックスに CA サーバで使用可能な現行の CA 証明書が表示されることを確認します。エンコード方式として [Base 64] を選択します。次に [Download CA certificate] をクリックし、ファイルを .cer ファイルとしてクライアントの PC に保存します。この例ではファイル名として rootca.cer が使用されています。
次に、.cer フォーマットで保存した CA 証明書をクライアントの証明書ストアにインストールします。rootca.cer ファイルをダブルクリックして [Install Certificate] をクリックします。
[Next] をクリックしてクライアントのハードディスクから証明書ストアに証明書をインポートします。
[Automatically select the certificate store based on the type of the certificate] を選択し、[Next] をクリックします。
[Finish] をクリックしてインポートプロセスを完了します。
デフォルトでは、CA 証明書はクライアントの IE ブラウザの [Tools] > [Internet Options] > [Content] > [Certificates] の [Trusted Root Certification Authorities] リストにインストールされます。次に例を示します。

EAP-FAST ローカル EAP 認証に必要なすべての証明書が WLC とクライアントにインストールされます。次に WLC でローカル EAP 認証を設定します。

WLC でのローカル EAP の設定

WLC でローカル EAP 認証を設定するため、WLC GUI モードで次の手順を実行します。

[Security] > [Local EAP] をクリックします。
ローカル EAP プロファイルを設定するため [Local EAP] の [Profiles] をクリックします。
[New] をクリックして新しいローカル EAP プロファイルを作成します。
このプロファイルの名前を設定して [Apply] をクリックします。この例ではプロファイル名 ldap が使用されます。WLC で作成されたローカル EAP プロファイルが表示されます。
[Local EAP Profiles] ページの [Profile Name] フィールドに表示される、作成した ldap プロファイルをクリックします。[Local EAP Profiles > Edit] ページが表示されます。
[Local EAP Profiles > Edit] ページでこのプロファイル固有のパラメータを設定します。
- ローカル EAP 認証方式として [EAP-FAST] を選択します。
- [Local Certificate Required] と [Client Certificate Required] の横のチェックボックスにチェックマークを付けます。
- このドキュメントではサードパーティ CA サーバを使用するため、[Certificate Issuer] で [Vendor] を選択します。
- [Check against CA certificates] の横のチェックボックスにチェックマークを付け、クライアントから受け取る証明書をコントローラの CA 証明書と照合して検証するように設定します。
- 受信する証明書の通常名（CN）をコントローラの CA 証明書の CN と照合して検証する場合は、[Verify Certificate CN Identity] チェックボックスにチェックマークを付けます。デフォルト設定は「無効」です。コントローラで受信するデバイス証明書が有効であり有効期限切れではないことを検証できるようにするため、[Check Certificate Date Validity] チェックボックスにチェックマークを付けます。
  
  注：証明書の日付の妥当性は、コントローラに設定されている現在のUTC(GMT)時間と照合してチェックされます。時間帯オフセットは無視されます。
[Apply] をクリックします。
EAP-FAST 認証を使用するローカル EAP プロファイルが WLC に作成されます。
次に、WLC で EAP-FAST 固有のパラメータを設定します。[WLC Security] ページで [Local EAP] > [EAP-FAST Parameters] をクリックし、[EAP-FAST Method Parameters] ページに進みます。

この例では証明書を使用した EAP-FAST について説明するため、[Anonymous Provision] チェックボックスのチェックマークを外します。他のパラメータはすべてデフォルトのままにします。[Apply] をクリックします。

WLC での LDAP サーバの詳細の設定

WLC にはローカル EAP プロファイルと関連情報が設定されたので、次に WLC で LDAP サーバの詳細を設定します。WLC で次の手順を実行します。

WLC の [Security] ページの左側にあるタスクペインで [AAA] > [LDAP] を選択し、LDAP サーバ設定ページに進みます。LDAP サーバを追加するには、[New] をクリックします。[LDAP Servers] > [New] ページが表示されます。
[LDAP Servers Edit] ページで LDAP サーバの詳細（LDAP サーバの IP アドレス、ポート番号、サーバ有効化ステータスなど）を指定します。
- [Server Index (Priority)] ドロップダウンボックスから番号を選択し、その他の設定済みの LDAP サーバト関連したこのサーバの優先順位を指定します。最大 17 台のサーバを設定できます。コントローラが最初のサーバに接続できない場合、リスト内の 2 番目のサーバへの接続を試行する、というようになります。
- [Server IP Address] フィールドに LDAP サーバの IP アドレスを入力します。
- [Port Number] フィールドに LDAP サーバの TCP ポート番号を入力します。有効な範囲は 1 ～ 65535 で、デフォルト値は 389 です。
- [User Base DN] フィールドに、すべてのユーザの一覧を含む LDAP サーバ内のサブツリーの Distinguished Name（DN; 識別名）を入力します。たとえば、ou=organizational unit、.ou=next organizational unit、o=corporation.com のようになります。ユーザを含むツリーがベース DN である場合、o=corporation.com または dc=corporation, dc=com と入力します。
  
  この例ではユーザは組織単位（OU）ldapuser に含まれています。この組織単位は Wireless.com ドメインの一部として作成されています。
  
  ユーザベース DN は、ユーザ情報（EAP-FAST 認証方式に基づくユーザクレデンシャル）が保存されている場所のフルパスを指し示している必要があります。この例ではユーザはベース DN OU=ldapuser, DC=Wireless, DC=com に含まれています。
  
  OU とユーザ設定の詳細については、このドキュメントの「ドメインコントローラでのユーザの作成」で説明します。
- [User Attribute] フィールドに、ユーザ名を含むユーザレコード内の属性の名前を入力します。
  
  [User Object Type] フィールドに、レコードをユーザとして識別する LDAP objectType 属性の値を入力します。多くの場合、ユーザレコードには複数の objectType 属性の値が含まれています。そのユーザに一意の値と、他のオブジェクトタイプと共有する値があります。
  
  注：これらの2つのフィールドの値は、Windows 2003サポートツールの一部として提供されているLDAPブラウザユーティリティを使用して、ディレクトリサーバから取得できます。この Microsoft LDAP ブラウザツールは LDP と呼ばれます。このツールを使用して、特定ユーザの [User Base DN]、[User Attribute]、および [User Object Type] フィールドの値を確認できます。LDP を使用したユーザ固有属性の確認の詳細については、このドキュメントの「Using LDP to Identify the User Attributes」を参照してください。
- すべての LDAP トランザクションでセキュア TLS トンネルを使用するように設定するには、[Server Mode] ドロップダウンボックスから [Secure] を選択します。それ以外の場合はデフォルト設定である [None] を選択します。
- [Server Timeout] フィールドに再送信の間隔（秒数）を入力します。有効な範囲は 2 ～ 30 秒で、デフォルト値は 2 秒です。
- [Enable Server Status] チェックボックスにチェックマークを付けてこの LDAP サーバを有効にします。無効にする場合はチェックマークを外します。デフォルト値は [disabled] です。
- [Apply] をクリックして、変更を確定します。
  
  上記の情報を使用した設定の例を次に示します。
WLC で LDAP サーバの詳細が設定されました。次に、WLC が他のデータベースよりも前に LDAP データベースでユーザクレデンシャルを最初に検索するようにするため、LDAP を優先バックエンドデータベースとして設定します。

優先バックエンドデータベースとしての LDAP の設定

LDAP を優先バックエンドデータベースとして設定するには WLC で次の手順を実行します。

[Security] ページで [Local EAP] > [Authentication Priority] をクリックします。[Priority Order > Local-Auth] ページに、ユーザクレデンシャルを保存できる 2 つのデータベース（ローカルと LDAP）が表示されます。

LDAPを優先データベースにするには、左側のユーザクレデンシャルボックスからLDAPを選択し、>ボタンをクリックして、LDAPを右側の優先順ボックスに移動します。
この例では、左側のボックスで[LDAP]が選択され、[>]ボタンが選択されていることを明確に示しています。この結果、LDAP は優先順位を決定する右側のボックスに移動します。LDAP データベースが認証優先データベースとして選択されました。

[Apply] をクリックします。

注：LDAPとLOCALの両方が右側の[User Credentials]ボックスに表示され、LDAPが上に、LOCALが下に表示されている場合、ローカルEAPはLDAPバックエンドデータベースを使用してクライアントの認証を試み、LDAPサーバに到達できない場合はローカルユーザデータベースにフェールオーバーします。ユーザが見つからない場合、認証の試行は拒否されます。[LOCAL] が最上位にある場合、ローカル EAP はローカルユーザデータベースのみを使用して認証を試行します。LDAP バックエンドデータベースへのフェールオーバーは行われません。

WLC でのローカル EAP 認証を使用する WLAN の設定

WLC で最後に行う操作は、バックエンドデータベースとして LDAP を使用し、認証方式としてローカル EAP を使用する WLAN の設定です。次のステップを実行します。

コントローラのメインメニューで [WLANs] をクリックし、[WLANs] 設定ページに移動します。[WLANs] ページで [New] をクリックし、新しい WLAN を作成します。この例では新しい WLAN ldap を作成します。

[Apply] をクリックします。次に、[WLANs > Edit] ページで WLAN パラメータを設定します。
WLAN 編集ページでこの WLAN の [Status] を有効にします。その他の必要なパラメータをすべて設定します。
[Security] をクリックして、この WLAN のセキュリティ関連パラメータを設定します。この例ではレイヤ 2 セキュリティ 802.1x と 104 ビットダイナミック WEP が使用されています。

注：このドキュメントでは、例として802.1xとダイナミックWEPを使用します。実際にはより安全な認証方式（WPA/ WPA2 など）を使用することを推奨します。
WLAN セキュリティ設定ページで [AAA servers] タブをクリックします。[AAA Servers] ページで [Local EAP Authentication] を有効にし、[EAP Profile Name] パラメータのドロップダウンボックスから [ldap] を選択します。これは、この例で作成したローカル EAP プロファイルです。
ドロップダウンボックスから LDAP サーバ（WLC で以前に設定されたサーバ）を選択します。WLC から LDAP サーバに到達できることを確認します。

[Apply] をクリックします。
WLC で新しい WLAN ldap が設定されました。この WLAN はローカル EAP 認証（この場合は EAP-FAST）を使用してクライアントを認証し、クライアントクレデンシャルの検証のために LDAP バックエンドデータベースを照会します。

LDAP サーバの設定

WLC でローカル EAP が設定されました。次に、バックエンドデータベースとして機能する LDAP サーバが、証明書検証が正常に完了した後でワイヤレスクライアントを認証するように設定します。

LDAP サーバ設定手順の最初のステップとして、LDAP サーバでユーザデータベースを作成します。これにより、WLC はユーザ認証時にこのデータベースを照会できます。

ドメインコントローラでのユーザの作成

この例では新しい OU ldapuser が作成され、この OU の中にユーザ user2 が作成されました。このユーザに対して LDAP アクセスを設定することで、WLC はユーザ認証でこの LDAP データベースを照会できます。

この例で使用するドメインは wireless.com です。

OU でのユーザデータベースの作成

この項では、ドメインに新しい OU を作成し、この OU の中に新しいユーザを作成する手順を説明します。

ドメインコントローラで [Start] > [Programs] > [Administrative Tools] > [Active Directory Users and Computers] をクリックし、[Active Directory Users and Computers] 管理コンソールを起動します。
新しい OU を作成するため、ドメイン名（この例では wireless.com）を右クリックし、コンテキストメニューから [New] > [Organizational Unit] を選択します。
この OU に名前を割り当てて、[OK] をクリックします。

LDAP サーバに新しい OU ldapuser が作成されました。次にこの OU の中にユーザ user2 を作成します。これを行うには、次の手順を実行します。

作成した新しい OU 上で右クリックします。表示されるコンテキストメニューから [New] > [User] を選択し、新しいユーザを作成します。
次の例に示すように、ユーザ設定ページで必須フィールドに情報を入力します。次の例では [User logon name] に user2 が設定されています。

これは、クライアント認証時に LDAP データベースで検証されるユーザ名です。次の例では [First name] と [Last name] に abcd が設定されています。[next] をクリックします。
パスワードを入力し、確認のためのパスワードを入力します。[Password never expires] オプションを選択して [Next] をクリックします。
[Finish] をクリックします。

新しいユーザ user2 が OU ldapuser に作成されます。このユーザのクレデンシャルを次に示します。
- ユーザ名：user2
- パスワード：Laptop123

これで OU の中にユーザが作成されました。次に、このユーザの LDAP アクセスを設定します。

ユーザの LDAP アクセスの設定

ユーザの LDAP アクセスを設定するには、ここで説明する手順を実行します。

Windows 2003 サーバでの匿名バインド機能の有効化

すべてのサードパーティアプリケーションが LDAP で Windows 2003 AD にアクセスできるようにするには、Windows 2003 で匿名バインド機能が有効になっている必要があります。デフォルトでは、Windows 2003 ドメインコントローラでは匿名 LDAP 操作は許可されていません。

匿名バインド機能を有効にするには、次の手順を実行します。

[Start] > [Run] > [Type] にADSI Edit.mscと入力して、ADSI Editツールを起動します。このツールは、Windows 2003 サポートツールの 1 つです。
[ADSI Edit] ウィンドウでルートドメイン（Configuration [tsweb-lapt.Wireless.com]）を展開します。

[CN=Services] > [CN=Windows NT] > [CN=Directory Service] を展開します。[CN=Directory Service] コンテナを右クリックし、コンテキストメニューから [Properties] を選択します。
[CN=Directory Service Properties] ウィンドウで [Attribute] フィールドの下にある [dsHeuristics] 属性をクリックし、[Edit] を選択します。この属性の [String Attribute Editor] ウィンドウに値 0000002 を入力して [Apply] をクリックし、[OK] をクリックします。Windows 2003 サーバで匿名バインド機能が有効になりました。

注：最後の（7番目の）文字は、LDAPサービスにバインドする方法を制御するものです。7 番目の文字が「0」または 7 番目の文字がない場合は、匿名 LDAP 操作が無効になっています。7 番目の文字を「2」に設定すると匿名バインド機能が有効になります。

注：この属性に既に値が含まれている場合は、左側から7番目の文字のみを変更してください。匿名バインドを有効にするために変更が必要なのはこの文字だけです。たとえば現行値が「0010000」の場合は「0010002」に変更する必要があります。現在の値が7文字未満の場合は、使用していない場所にゼロを入力する必要があります。「001」は「0010002」になります。

ユーザ「user2」への ANONYMOUS LOGON アクセス権限の付与

次に、ANONYMOUS LOGON アクセス権限をユーザ user2 に付与します。これを行うには、次の手順を実行します。

[Active Directory Users and Computers] を開きます。
[View Advanced Features] にチェックマークが付いていることを確認します。
ユーザ user2 にナビゲートして右クリックします。コンテキストメニューから [Properties] を選択します。このユーザの名前は「abcd」です。
[abcd Properties] ウィンドウの [Security] に移動します。
表示されるウィンドウで [Add] をクリックします。
[Enter the object names to select] ボックスに ANONYMOUS LOGON と入力し、ダイアログを確認します。
ACL で ANONYMOUS LOGON がユーザの一部のプロパティセットにアクセスできることがわかります。[OK] をクリックします。ANONYMOUS LOGON アクセス権限がこのユーザに付与されます。

OU での List Contents 権限の付与

次に、ユーザが含まれている OU で ANONYMOUS LOGON に List Contents 権限を付与します。この例では OU「ldapuser」にユーザ「user2」が含まれています。これを行うには、次の手順を実行します。

[Active Directory Users and Computers] で OU ldapuser を右クリックして [Properties] を選択します。
[Security] をクリックし、次に [Advanced] をクリックします。
[Add] をクリックします。表示されるダイアログに ANONYMOUS LOGON と入力します。
ダイアログの内容を確認します。新しいダイアログウィンドウが表示されます。
[Apply onto] ドロップダウンボックスで [This object only] を選択し、[List Contents] の [Allow] チェックボックスにチェックマークを付けます。

LDP を使用したユーザ属性の確認

この GUI ツールは、ユーザがすべての LDAP 互換ディレクトリ（Active Directory など）に対して操作（接続、バインド、変更、追加、削除など）を実行できるようにする LDAP クライアントです。LDP では、Active Directory に格納されているオブジェクトとそのメタデータ（セキュリティ記述子やレプリケーションメタデータなど）を表示できます。

LDP GUI ツールは、製品 CD から Windows Server 2003 Support Tools をインストールするとインストールされます。この項では、LDP ユーティリティを使用してユーザ user2 に関連付けられている特定の属性を確認する方法について説明します。一部の属性は、WLC で LDAP サーバ設定パラメータ（ユーザ属性タイプ、ユーザオブジェクトタイプなど）の値を入力するときに使用されます。

Windows 2003 サーバ（同じ LDAP サーバ上でも）で [Start] > [Run] をクリックし、LDP と入力して、LDP ブラウザにアクセスします。
LDP メインウィンドウで [Connection] > [Connect] をクリックし、LDAP サーバの IP アドレスを入力して LDAP サーバに接続します。
LDAP サーバに接続したら、メインメニューから [View] を選択して [Tree] をクリックします。
表示される [Tree View] ウィンドウで、ユーザの BaseDN を入力します。この例では、user2 はドメイン Wireless.com の OU「ldapuser」に含まれています。したがってユーザ user2 の BaseDN は OU=ldapuser, dc=wireless, dc=com となります。[OK] をクリックします。
LDP ブラウザの左側に、指定した BaseDN（OU=ldapuser, dc=wireless, dc=com）の下にツリー全体が表示されます。ツリーを展開してユーザ user2 を見つけます。このユーザは、ユーザの名前を表す CN 値で識別されます。この例では CN=abcd です。[CN=abcd] をダブルクリックします。LDP ブラウザの右側のペインに、user2 に関連付けられているすべての属性が表示されます。次の例でこの手順を説明します。

この例の右側にある円で囲まれたフィールドに注目してください。
このドキュメントの「WLC での LDAP サーバの詳細の設定」で説明するように、[User Attribute] フィールドには、ユーザレコードでユーザ名を含む属性の名前を入力します。

この LDP 出力では、sAMAccountName がユーザ名「user2」を含む属性です。したがって、WLC の [User Attribute] フィールドに対応する [sAMAccountName] 属性を入力します。
[User Object Type] フィールドに、レコードをユーザとして識別する LDAP objectType 属性の値を入力します。多くの場合、ユーザレコードには複数の objectType 属性の値が含まれています。そのユーザに一意の値と、他のオブジェクトタイプと共有する値があります。

LDP 出力の CN=Person は、このレコードをユーザとして示す値の 1 つです。したがって WLC で [User Object Type] 属性に Person を指定します。

ワイヤレスクライアントの設定

最後に、クライアント証明書とサーバ証明書を使用する EAP-FAST 認証を実行するようにワイヤレスクライアントを設定します。これを行うには、次の手順を実行します。

Cisco Aironet Desktop Utility（ADU）を起動します。ADU のメインウィンドウで [Profile Management] > [New] をクリックし、新しいワイヤレスクライアントプロファイルを作成します。
プロファイル名を指定し、このプロファイルに SSID 名を割り当てます。この SSID 名は WLC で設定されている SSID 名と同じでなければなりません。この例では SSID 名は ldap です。
[Security] タブをクリックし、レイヤ 2 セキュリティとして [802.1x/EAP] を選択します。EAP メソッドとして [EAP-FAST] を選択し、[Configure] をクリックします。
EAP-FAST 設定ページの [EAP-FAST Authentication Method] ドロップダウンボックスから [TLS Client Certificate] を選択し、[Configure] をクリックします。
TLS クライアント証明書設定ウィンドウで次の操作を実行します。
- [Validate Server Identity] チェックボックスにチェックマークを付け、[Trusted Root Certification Authority] でクライアントにインストールされている CA 証明書（このドキュメントの「クライアントのルート CA 証明書の生成」を参照）を選択します。
- クライアント証明書として、クライアントにインストールされているデバイス証明書（このドキュメントの「クライアントのデバイス証明書の生成」を参照）を選択します。
- [OK] をクリックします。
  
  次の例でこの手順を説明します。

ワイヤレスクライアントプロファイルが作成されます。

確認

設定が正しく機能するかどうかを確認するには、次の手順を実行します。

ADU で ldap SSID をアクティブにします。
次に表示されるウィンドウで、必要に応じて [Yes] または [OK] をクリックします。ADU に、クライアントの認証と関連付けを適切に行うための手順がすべて表示されます。

ここでは、設定が正常に機能しているかどうかを確認します。WLC CLI モードを使用します。

WLC が LDAP サーバと通信してユーザを検出できるようにするため、WLC CLI から debug aaa ldap enable コマンドを指定します。次の例に、正常な通信 LDAP プロセスを示します。

注：このセクションの出力の一部は、スペースの問題により2行目に移動されています。

(Cisco Controller) >debug aaa ldap enable

Sun Jan 27 09:23:46 2008: AuthenticationRequest: 0xba96514
Sun Jan 27 09:23:46 2008:       Callback.....................................0x8
344900      
Sun Jan 27 09:23:46 2008:       protocolType.................................0x0
0100002
Sun Jan 27 09:23:46 2008:       proxyState...................................00:
40:96:AC:E6:57-00:00
Sun Jan 27 09:23:46 2008:       Packet contains 2 AVPs (not shown)
Sun Jan 27 09:23:46 2008: ldapTask [1] received msg 'REQUEST' (2) in state 'IDLE' (1)
Sun Jan 27 09:23:46 2008: LDAP server 1 changed state to INIT
Sun Jan 27 09:23:46 2008: ldapInitAndBind [1] called lcapi_init (rc = 0 - Success)
Sun Jan 27 09:23:46 2008: ldapInitAndBind [1] called lcapi_bind (rc = 0 - Success)
Sun Jan 27 09:23:46 2008: LDAP server 1 changed state to CONNECTED
Sun Jan 27 09:23:46 2008: LDAP server 1 now active
Sun Jan 27 09:23:46 2008: LDAP_CLIENT: UID Search (base=OU=ldapuser,DC=wireless,
DC=com, pattern=(&(objectclass=Person)(sAMAccountName=user2)))
Sun Jan 27 09:23:46 2008: LDAP_CLIENT: Returned msg type 0x64
Sun Jan 27 09:23:46 2008: ldapAuthRequest [1] called lcapi_query base="OU=ldapus
er,DC=wireless,DC=com" type="Person" attr="sAMAccountName" user="user2" (rc = 0
- Success)
Sun Jan 27 09:23:46 2008: LDAP ATTR> dn = CN=abcd,OU=ldapuser,DC=Wireless,DC=com
 (size 38)
Sun Jan 27 09:23:46 2008: Handling LDAP response Success

上記のデバッグ出力で強調表示されている情報から、WLC で指定されているユーザ属性を使用して WLC が LDAP サーバに対して照会を実行し、LDAP プロセスが正常に完了したことがわかります。

ローカル EAP 認証が正常に完了したかどうかを確認するには、WLC CLI から debug aaa local-auth eap method events enable コマンドを指定します。以下が一例です。

(Cisco Controller) >debug aaa local-auth eap method events enable

Sun Jan 27 09:38:28 2008: eap_fast.c-EVENT: New context 
(EAP handle = 0x1B000009)

Sun Jan 27 09:38:28 2008: eap_fast.c-EVENT: Allocated new EAP-FAST context 
(handle = 0x22000009)

Sun Jan 27 09:38:28 2008: eap_fast_auth.c-AUTH-EVENT: Process Response 
(EAP handle = 0x1B000009)

Sun Jan 27 09:38:28 2008: eap_fast_auth.c-AUTH-EVENT: Received Identity

Sun Jan 27 09:38:28 2008: eap_fast_tlv.c-AUTH-EVENT: Adding PAC A-ID TLV 
(436973636f0000000000000000000000)

Sun Jan 27 09:38:28 2008: eap_fast_auth.c-AUTH-EVENT: Sending Start

Sun Jan 27 09:38:29 2008: eap_fast.c-AUTH-EVENT: Process Response, type: 0x2b

Sun Jan 27 09:38:29 2008: eap_fast_auth.c-AUTH-EVENT: Process Response 
(EAP handle = 0x1B000009)

Sun Jan 27 09:38:29 2008: eap_fast_auth.c-AUTH-EVENT: 
Received TLS record type: Handshake in state: Start

Sun Jan 27 09:38:29 2008: eap_fast_auth.c-AUTH-EVENT: Local certificate found

Sun Jan 27 09:38:29 2008: eap_fast_auth.c-AUTH-EVENT: Reading Client Hello handshake

Sun Jan 27 09:38:29 2008: eap_fast_auth.c-AUTH-EVENT: 
TLS_DHE_RSA_AES_128_CBC_SHA proposed...

Sun Jan 27 09:38:29 2008: eap_fast.c-EVENT: Proposed ciphersuite(s):

Sun Jan 27 09:38:29 2008: eap_fast.c-EVENT:     TLS_DHE_RSA_WITH_AES_128_CBC_SHA

Sun Jan 27 09:38:29 2008: eap_fast.c-EVENT:     TLS_RSA_WITH_AES_128_CBC_SHA

Sun Jan 27 09:38:29 2008: eap_fast.c-EVENT:     TLS_RSA_WITH_RC4_128_SHA

Sun Jan 27 09:38:29 2008: eap_fast.c-EVENT: Selected ciphersuite:

Sun Jan 27 09:38:29 2008: eap_fast.c-EVENT:     TLS_DHE_RSA_WITH_AES_128_CBC_SHA

Sun Jan 27 09:38:29 2008: eap_fast_auth.c-AUTH-EVENT: Building Provisioning Server Hello

Sun Jan 27 09:38:29 2008: eap_fast_crypto.c-EVENT: 
Starting Diffie Hellman phase 1 ...

Sun Jan 27 09:38:30 2008: eap_fast_crypto.c-EVENT: 
Diffie Hellman phase 1 complete

Sun Jan 27 09:38:30 2008: eap_fast_auth.c-AUTH-EVENT: DH signature length = 128

Sun Jan 27 09:38:30 2008: eap_fast_auth.c-AUTH-EVENT: Sending Provisioning Serving Hello

Sun Jan 27 09:38:30 2008: eap_fast.c-EVENT: Tx packet fragmentation required

Sun Jan 27 09:38:30 2008: eap_fast.c-AUTH-EVENT: eap_fast_rx_packet(): 
EAP Fast NoData (0x2b)

Sun Jan 27 09:38:30 2008: eap_fast.c-AUTH-EVENT: eap_fast_rx_packet(): 
EAP Fast NoData (0x2b)

Sun Jan 27 09:38:30 2008: eap_fast.c-AUTH-EVENT: eap_fast_rx_packet(): 
EAP Fast NoData (0x2b)

Sun Jan 27 09:38:32 2008: eap_fast.c-AUTH-EVENT: Process Response, type: 0x2b

Sun Jan 27 09:38:32 2008: eap_fast.c-EVENT: Reassembling TLS record

Sun Jan 27 09:38:32 2008: eap_fast.c-EVENT: Sending EAP-FAST Ack

............................................................................

..............................................................................

..............................................................................

Sun Jan 27 09:38:32 2008: eap_fast_auth.c-AUTH-EVENT: 
Received TLS record type: Handshake in state: Sent provisioning Server Hello

Sun Jan 27 09:38:32 2008: eap_fast_auth.c-AUTH-EVENT: 
Reading Client Certificate handshake

Sun Jan 27 09:38:32 2008: eap_fast.c-EVENT: Added certificate 1 to chain

Sun Jan 27 09:38:32 2008: eap_fast.c-EVENT: Added certificate 2 to chain

Sun Jan 27 09:38:32 2008: eap_fast.c-EVENT: Successfully validated received certificate

Sun Jan 27 09:38:32 2008: eap_fast_auth.c-AUTH-EVENT: Rx'd I-ID: 
"EAP-FAST I-ID" from Peer Cert

Sun Jan 27 09:38:32 2008: eap_fast_auth.c-AUTH-EVENT: 
Reading Client Key Exchange handshake

Sun Jan 27 09:38:32 2008: eap_fast_crypto.c-EVENT: 
Starting Diffie Hellman phase 2 ...

Sun Jan 27 09:38:32 2008: eap_fast_crypto.c-EVENT: 
Diffie Hellman phase 2 complete.

Sun Jan 27 09:38:32 2008: eap_fast_auth.c-AUTH-EVENT: 
Reading Client Certificate Verify handshake

Sun Jan 27 09:38:32 2008: eap_fast_crypto.c-EVENT: 
Sign certificate verify succeeded (compare)

............................................................................................

............................................................................................

............................................................................................

.............................................................................................

debug aaa local-auth db enable コマンドも非常に便利です。以下が一例です。

(Cisco Controller) >debug aaa local-auth db enable

Sun Jan 27 09:35:32 2008: LOCAL_AUTH: EAP: Received an auth request

Sun Jan 27 09:35:32 2008: LOCAL_AUTH: Creating new context

Sun Jan 27 09:35:32 2008: LOCAL_AUTH: Local auth profile name for context 'ldapuser'

Sun Jan 27 09:35:32 2008: LOCAL_AUTH: Created new context eap session handle fb000007

Sun Jan 27 09:35:32 2008: LOCAL_AUTH: (EAP:8) Sending the Rxd EAP packet 
(id 2) to EAP subsys

Sun Jan 27 09:35:32 2008: LOCAL_AUTH: Found matching context for id - 8

Sun Jan 27 09:35:32 2008: LOCAL_AUTH: (EAP) Sending user credential 
request username 'user2' to LDAP

Sun Jan 27 09:35:32 2008: LOCAL_AUTH: Found context matching MAC address - 8


........................................................................................

........................................................................................

........................................................................................

........................................................................................


Sun Jan 27 09:35:36 2008: LOCAL_AUTH: (EAP:8) Sending the Rxd EAP packet 
(id 12) to EAP subsys

Sun Jan 27 09:35:36 2008: LOCAL_AUTH: Found matching context for id - 8

Sun Jan 27 09:35:36 2008: LOCAL_AUTH: (EAP:8) ---> [KEY AVAIL] send_len 64, recv_len 0

Sun Jan 27 09:35:36 2008: LOCAL_AUTH: (EAP:8) received keys waiting for success

Sun Jan 27 09:35:36 2008: LOCAL_AUTH: Found matching context for id - 8

Sun Jan 27 09:35:36 2008: LOCAL_AUTH: (EAP:8) Received success event

Sun Jan 27 09:35:36 2008: LOCAL_AUTH: (EAP:8) Processing keys success

WLC にインストールされておりローカル認証に使用される証明書を確認するには、WLC CLI から show local-auth certificates コマンドを実行します。以下が一例です。

(Cisco Controller) >show local-auth certificates

Certificates available for Local EAP authentication:



Certificate issuer .............................. vendor

  CA certificate:

    Subject: DC=com, DC=Wireless, CN=wireless

     Issuer: DC=com, DC=Wireless, CN=wireless

      Valid: 2008 Jan 23rd, 15:50:27 GMT to 2013 Jan 23rd, 15:50:27 GMT

  Device certificate:

    Subject: O=cisco, CN=ciscowlc123

     Issuer: DC=com, DC=Wireless, CN=wireless

      Valid: 2008 Jan 24th, 12:18:31 GMT to 2010 Jan 23rd, 12:18:31 GMT



Certificate issuer .............................. cisco

  CA certificate:

    Subject: O=Cisco Systems, CN=Cisco Manufacturing CA

     Issuer: O=Cisco Systems, CN=Cisco Root CA 2048

      Valid: 2005 Jun 10th, 22:16:01 GMT to 2029 May 14th, 20:25:42 GMT

   Device certificate:

             Not installed.

CLI モードで WLC のローカル認証設定を確認するには、show local-auth config コマンドを実行します。以下が一例です。

(Cisco Controller) >show local-auth config

User credentials database search order:

    Primary ..................................... LDAP



Timer:

    Active timeout .............................. 300



Configured EAP profiles:

    Name ........................................ ldapuser

      Certificate issuer ........................ vendor

      Peer verification options:

        Check against CA certificates ........... Enabled

        Verify certificate CN identity .......... Disabled

        Check certificate date validity ......... Disabled

      EAP-FAST configuration:

        Local certificate required .............. Yes

        Client certificate required ............. Yes

      Enabled methods ........................... fast 

      Configured on WLANs ....................... 2 



EAP Method configuration:

    EAP-FAST:

--More-- or (q)uit

      Server key ................................ <hidden>

      TTL for the PAC ........................... 10

      Anonymous provision allowed ............... No

      .............................................

      .............................................

      Authority Information ..................... Cisco A-ID

トラブルシュート

設定のトラブルシューティングを行うには、次のコマンドを使用できます。

debug aaa local-auth eap method events enable
debug aaa all enable
debug dot1x packet enable

ワイヤレス LAN コントローラでの EAP-FAST および LDAP サーバを使用したローカル EAP 認証の設定例

ダウンロード オプション

偏向のない言語

翻訳について

内容

ユーザ「user2」への ANONYMOUS LOGON アクセス権限の付与

更新履歴

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション