ワイヤレス LAN コントローラ上の RADIUS サーバ フォールバック機能の設定
内容
はじめに
このドキュメントでは、ワイヤレス LAN コントローラ（WLC）を使用して RADIUS サーバのフォールバック機能を設定する方法を示します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
-
Lightweight アクセス ポイント（LAP）および Cisco WLC の設定に関する基礎知識
-
Control and Provisioning of Wireless Access Point Protocol(CAPWAP)に関する基礎知識
-
Wireless Security Solutions についての基本的な知識
使用するコンポーネント
このドキュメントの情報は、Cisco 5508/5520コントローラに基づくものです。
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。
バックグラウンド情報
RADIUS サーバ フォールバック機能
WLC のソフトウェア 5.0 以前のバージョンは RADIUS サーバのフォールバック メカニズムをサポートしていません。プライマリRADIUSサーバが使用不能になると、WLCは次のアクティブバックアップRADIUSサーバにフェールオーバーします。WLC は、プライマリ サーバが使用可能になっても、永続的にセカンダリ RADIUS サーバを使用し続けます。通常、プライマリサーバは高パフォーマンスであり、優先サーバです。
WLC 5.0 以降のバージョンでは、WLC は RADIUS サーバのフォールバック機能をサポートします。この機能を使用すると、プライマリ サーバが使用可能かどうかを確認し、プライマリ RADIUS サーバが使用可能になったらプライマリ サーバに切り替わるように、WLC を設定できます。これを行うために、WLCではRADIUSサーバのステータスを確認するために、パッシブとアクティブという2つの新しいモードがサポートされています。WLC は、指定されたタイムアウト値を過ぎると、最も優先度の高いサーバに切り替わります。
フォールバック モード
アクティブ モード
アクティブ モードでは、サーバが WLC の認証要求に応答しない場合、WLC はそのサーバが停止しているとマークし、続いてサーバを非アクティブのサーバ プールに移し、そのサーバが応答するまでプローブ メッセージを定期的に送信します。サーバが応答する場合、WLC は停止していたサーバをアクティブなプールに移し、プローブ メッセージの送信を停止します。このモードでは、認証要求を受信すると、WLC は RADIUS サーバのアクティブなプールから最も低いインデックス（最優先）のサーバを常に選択します。
以前にサーバが応答しなかった場合、サーバのステータスを確認するために、WLC はタイムアウト（デフォルトでは 300 秒）の後にプローブ パケットを送信します。
パッシブ モード
パッシブ モードでは、サーバが WLC の認証要求に応答しない場合、WLC はサーバを非アクティブなキューに移し、タイマーを設定します。タイマーが切れるとサーバの実際のステータスに関係なく、WLC はサーバをアクティブなキューに移します。認証要求を受信すると、WLC はアクティブ キューから最も低いインデックス（最優先）のサーバを選択します（この際、アクティブ キューには非アクティブなサーバが含まれている場合があります）。 サーバが応答しない場合、WLC はサーバを非アクティブとマークし、タイマーを設定し、および次の高優先度のサーバを選択します。このプロセスは、WLCがアクティブなRADIUSサーバを検出するか、アクティブなサーバプールが枯渇するまで続けられます。
以前にサーバが応答しなかった場合、WLC はタイムアウト（デフォルトでは 300 秒）の後にサーバがアクティブになっていると想定します。それでもまだ応答がない場合、認証要求を受信すると、WLC は次のタイムアウトまで待機して再試行します。
オフ モード
オフ モードでは、WLC はフェールオーバーのみサポートします。つまり、フォールバックが無効化されます。プライマリRADIUSサーバがダウンすると、WLCは次のアクティブバックアップRADIUSサーバにフェールオーバーします。WLC は、プライマリ サーバが使用可能な場合でも、セカンダリ RADIUS サーバを永続的に使用し続けます。
設定
CLI を使用した RADIUS サーバのフォールバック機能の設定
WLC の RADIUS サーバのフォールバック機能を有効にするには、WLC CLI から次のコマンドを使用してください。
最初の手順では、RADIUS サーバ フォールバックのモードを選択します。すでに述べたように、WLC ではアクティブ モードとパッシブ モードのフォールバックをサポートしています。
フォールバック モードを選択するには、次のコマンドを入力します。
WLC1 > config radius fallback-test mode {active/passive/off}
-
active：停止サーバにプローブを送信して、ステータスを確認します。
-
passive：最後のトランザクションに基づいてサーバステータスを設定します。
-
off：サーバのフォールバック テストを無効にします（デフォルト）。
次の手順では、アクティブ モードのプローブ間隔またはパッシブ動作モードの非アクティブ時間を指定する間隔を選択します。
間隔を設定するには、次のコマンドを入力します。
WLC1 > config radius fallback-test mode interval {180 - 3600}
<180 ～ 3600>：プローブ間隔または非アクティブ時間を秒単位で入力します（デフォルトは 300 秒です）。
間隔は、アクティブ モード フォールバックの場合はプローブ間隔を、パッシブ モード フォールバックの場合は非アクティブ時間を指定します。
アクティブ モードの操作では、RADIUS サーバに送信されたプローブ要求に使用するユーザ名を設定する必要があります。
ユーザ名を設定するには、次のコマンドを入力します。
WLC1 >config radius fallback-test username {username}
<username>：16 文字以内の英数字から成る名前を入力します（デフォルトは cisco-probe）。
GUI を使用した RADIUS サーバのフォールバック機能の設定
GUI を使用して WLC を設定するために次の手順を実行します。
-
RADIUS サーバのフォールバック モードを設定します。このためには、WLC GUI から [Security] > [RADIUS] > [Fallback] の順に選択します。 [RADIUS] > [Fallback Parameters] ページが表示されます。
-
Fallback Modeドロップダウンリストから、フォールバックモードを選択します。利用できるオプションは、アクティブ、パッシブ、オフです。
次の図に、アクティブなフォールバックモードの設定のスクリーンショットの例を示します。
-
アクティブ動作モードの場合、[Username] フィールドにユーザ名を入力します。
-
プローブ間隔の値をInterval in sec.フィールドに入力します。
-
[APPLY] をクリックします。
WLC でアグレッシブなフェールオーバー機能を有効にすると、WLC は、AAA サーバを「応答なし」とマークする点で過剰にアグレッシブになります。 ただし、サイレント廃棄を行う場合、AAAサーバはその特定のクライアントだけに応答しない可能性があるため、この操作は行わないでください。有効な証明書を持つ他の有効なクライアントには応答する可能性があります。それでも、WLC は AAA サーバを「反応なし」および「機能しない」とマークする可能性があります。
これを解決するには、アグレッシブ フェールオーバー機能を無効にします。これを実行するには、コントローラの GUI から config radius aggressive-failover disable コマンドを入力します。この機能を無効にすると、その RADIUS サーバからの応答の受信を 3 つのクライアントが連続して失敗する場合にのみ、コントローラは次の AAA サーバにフェールオーバーします。
確認
このセクションでは、設定が正常に動作していることを確認します。
Output Interpreter Tool（OIT）（登録ユーザ専用）では、特定の show コマンドがサポートされています。OIT を使用して、show コマンド出力の解析を表示できます。
フォールバックの設定を確認するには、show radius summary コマンドを入力します。ランダム データの例は次のとおりです。
WLC1 >show radius summary
Vendor Id Backward Compatibility................. Disabled
Call Station Id Type............................. IP Address
Aggressive Failover.............................. Enabled
Keywrap.......................................... Disabled
Fallback Test:
Test Mode.................................... Active
Probe User Name.............................. testaccount
Interval (in seconds)........................ 180
Authentication Servers
Idx Type Server Address Port State Tout RFC3576 IPSec-AuthMode/Phase1/Group/Lifetime/Auth/Encr
--- ---- -------------- ---- ------- ---- ------- ----------------------------------------------
1 NM 10.1.1.12 1812 Enabled 2 Disabled Disabled-none/unknown/group-0/0 none/none
Accounting Servers
Idx Type Server Address Port State Tout RFC3576 IPSec-AuthMode/Phase1/Group/Lifetime/Auth/E
--- ---- -------------- ---- ------- ---- ------- -------------------------------------------
1 N 10.1.1.12 1813 Enabled 2 N/A Disabled-none/unknown/group-0/0 none/nonen
トラブルシュート
このセクションでは、設定のトラブルシューティングに役立つ情報を紹介します。
-
debug dot1x events enable：802.1X イベントのデバッグを設定します。
-
debug aaa events enable：すべての AAA イベントのデバッグを設定します。
フィードバック