内容

はじめに

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

メインのローカルEAP設定

ステップ 1：ローカルEAPプロファイル

ステップ 2：AAA認証方式

ステップ 3：AAA認可方式の設定

ステップ 4：ローカルの高度なメソッドを構成する

ステップ 5：WLAN の設定

手順 6：1人以上のユーザーを作成する

手順 7：ポリシープロファイルを作成します。このWLANプロファイルをポリシープロファイルにマッピングするポリシータグの作成

ステップ 8：ポリシータグをアクセスポイントに導入します。

確認

トラブルシュート

パスワードが間違っているために接続に失敗したクライアントの例

はじめに

このドキュメントでは、Catalyst 9800 WLC（ワイヤレスLANコントローラ）でのローカルEAP(EAP)の設定について説明します。

前提条件

要件

このドキュメントでは、Catalyst 9800 WLCでのローカルEAP（拡張認証プロトコル）の設定について説明します。つまり、WLCはワイヤレスクライアントに対してRADIUS認証サーバとして動作します。

このドキュメントでは、9800 WLC上のWLANの基本設定に精通していることを前提とし、ワイヤレスクライアント用のローカルEAPサーバとして動作するWLCのみを重点的に扱います。

使用するコンポーネント

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バージョン17.3.6のCatalyst 9800

設定

ネットワーク図

メインのローカルEAP設定

ステップ 1：ローカルEAPプロファイル

9800 Web UIでConfiguration > Security > Local EAPの順に選択します。

Addを選択します。

プロファイル名を入力します。

セキュリティが脆弱であるため、LEAPを使用することは推奨されません。他の3つのEAP方式では、トラストポイントを設定する必要があります。これは、オーセンティケータとして機能する9800が、クライアントが信頼できるように証明書を送信する必要があるためです。

クライアントはWLCのデフォルトの証明書を信頼しないため、クライアント側でサーバ証明書の検証を非アクティブにするか（推奨されません）、クライアントが信頼する9800 WLCに証明書トラストポイントをインストールする（またはクライアント信頼ストアに手動でインポートする）必要があります。

CLI：

(config)#eap profile mylocapeap

(config-eap-profile)#method peap

(config-eap-profile)#pki-trustpoint admincert

ステップ 2：AAA認証方式

ユーザのローカルデータベースを使用するには、ローカルでポイントするAAA dot1xメソッドを設定する必要があります（ただし、たとえば外部LDAPルックアップを使用できます）。

Configuration> Security > AAAの順に選択し、AuthenticationのAAA method listタブに移動します。Addを選択する。

「dot1x」タイプとローカルグループタイプを選択します。

ステップ 3：AAA認可方式の設定

Authorizationサブタブに移動し、credential-downloadタイプの新しいメソッドを作成して、ローカルを指定します。

network認可タイプに対しても同じ操作を行います

CLI：

(config)#aaa new-model

(config)#aaa authentication dot1x default local

(config)#aaa authorization credential-download default local

(config)#aaa local authentication default authorization default

(config)#aaa authorization network default local

ステップ 4：ローカルの高度なメソッドを構成する

AAA advancedタブに移動します。

ローカルの認証および許可方式を定義します。この例では、「デフォルト」のクレデンシャルダウンロード方式と「デフォルト」のdot1x方式を使用しているため、ローカル認証と許可の両方のドロップダウンボックスにデフォルトを設定する必要があります。

名前付きメソッドを定義した場合は、ドロップダウンから「メソッドリスト」を選択すると、別のフィールドにメソッド名を入力できます。

CLI：

aaa local authentication default authorization default

ステップ 5：WLAN の設定

その後、前の手順で定義したローカルEAPプロファイルおよびAAA認証方式に対して、802.1xセキュリティ用のWLANを設定できます。

Configuration > Tags and Profiles > WLANs > + Addの順に選択します。

SSIDとプロファイル名を入力します。

Dot1xセキュリティは、レイヤ2の下でデフォルトで選択されています。

AAAの下で、Local EAP Authenticationを選択し、Local EAP profileとAAA Authentication list from drop-downを選択します。

(config)#wlan localpeapssid 1 localpeapssid

(config-wlan)#security dot1x authentication-list default

(config-wlan)#local-auth mylocaleap

手順 6：1人以上のユーザーを作成する

CLIでは、ユーザはnetwork-userタイプである必要があります。CLIで作成されたユーザの例を次に示します。

(config)#user-name 1xuser

creation-time 1572730075

description 1xuser

password 0 Cisco123

type network-user description 1xuser

CLIで作成したユーザは、Web UIに表示されますが、Web UIで作成した場合、16.12の時点でnetwork-userにする方法はありません

手順 7：ポリシープロファイルを作成します。このWLANプロファイルをポリシープロファイルにマッピングするポリシータグの作成

Configuration > Tags and profiles > Policyの順に選択します。

WLANのポリシープロファイルを作成します。

この例では、flexconnectローカルスイッチングを使用していますが、VLAN 1468での中央認証のシナリオを示していますが、これはネットワークによって異なります。

Configuration > Tags and profiles > Tagsの順に選択します

タグ内のポリシープロファイルにWLANを割り当てます。

ステップ 8：ポリシータグをアクセスポイントに導入します。

この場合、1つのAPに対して、タグをAP上で直接割り当てることができます。

Configuration > Wireless >Access pointsの順に進み、設定するAPを選択します。

割り当てられているタグが、設定したタグであることを確認します。

確認

主な設定行は次のとおりです。

aaa new-model

aaa authentication dot1x default local

aaa authorization credential-download default local

aaa local authentication default authorization default

eap profile mylocaleap

method peap

pki-trustpoint admincert

user-name 1xuser

creation-time 1572730075 description 1xuser

password 0 Cisco123

type network-user description 1xuser

wlan ndarchis_leap 1 ndarchis_leap

local-auth mylocaleap

security dot1x authentication-list default

no shutdown

トラブルシュート

Cisco IOS® XE 16.12以前のリリースでは、ローカルEAP認証用にTLS 1.0のみがサポートされており、クライアントがTLS 1.2のみをサポートしている場合、問題が発生する可能性があります（標準のEAPプロセスと同様）。Cisco IOS® XE 17.1以降は、TLS 1.2およびTLS 1.0をサポートします。

接続に問題がある特定のクライアントをトラブルシューティングするには、RadioActive Tracingを使用します。Troubleshooting > RadioActive Traceの順に選択し、クライアントのMACアドレスを追加します。

Startを選択して、そのクライアントのトレースを有効にします。

問題が再現されたら、Generateボタンを選択して、デバッグ出力を含むファイルを生成できます。

パスワードが間違っているために接続に失敗したクライアントの例

2019/10/30 14:54:00.781 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 8, EAP-Type = EAP-FAST

2019/10/30 14:54:00.781 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - REQUEST, ID : 0x5

2019/10/30 14:54:00.784 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 204, EAP-Type = EAP-FAST

2019/10/30 14:54:00.784 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - RESPONSE, ID : 0x5

2019/10/30 14:54:00.785 {wncd_x_R0-0}{2}: [caaa-authen] [23294]: (info): [CAAA:AUTHEN:66000006] DEBUG: mlist=(null) for type=0

2019/10/30 14:54:00.788 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 85, EAP-Type = EAP-FAST

2019/10/30 14:54:00.788 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - REQUEST, ID : 0x6

2019/10/30 14:54:00.791 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 6, EAP-Type = EAP-FAST

2019/10/30 14:54:00.791 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - RESPONSE, ID : 0x6

2019/10/30 14:54:00.791 {wncd_x_R0-0}{2}: [caaa-authen] [23294]: (info): [CAAA:AUTHEN:66000006] DEBUG: mlist=(null) for type=0

2019/10/30 14:54:00.792 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 59, EAP-Type = EAP-FAST

2019/10/30 14:54:00.792 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - REQUEST, ID : 0x7

2019/10/30 14:54:00.795 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 75, EAP-Type = EAP-FAST

2019/10/30 14:54:00.795 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - RESPONSE, ID : 0x7

2019/10/30 14:54:00.795 {wncd_x_R0-0}{2}: [caaa-authen] [23294]: (info): [CAAA:AUTHEN:66000006] DEBUG: mlist=(null) for type=0

2019/10/30 14:54:00.796 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 91, EAP-Type = EAP-FAST

2019/10/30 14:54:00.796 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - REQUEST, ID : 0x8

2019/10/30 14:54:00.804 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 123, EAP-Type = EAP-FAST

2019/10/30 14:54:00.804 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - RESPONSE, ID : 0x8

2019/10/30 14:54:00.804 {wncd_x_R0-0}{2}: [caaa-authen] [23294]: (info): [CAAA:AUTHEN:66000006] DEBUG: mlist=(null) for type=0

2019/10/30 14:54:00.805 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 139, EAP-Type = EAP-FAST

2019/10/30 14:54:00.805 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - REQUEST, ID : 0x9

2019/10/30 14:54:00.808 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 75, EAP-Type = EAP-FAST

2019/10/30 14:54:00.808 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - RESPONSE, ID : 0x9

2019/10/30 14:54:00.808 {wncd_x_R0-0}{2}: [caaa-authen] [23294]: (info): [CAAA:AUTHEN:66000006] DEBUG: mlist=(null) for type=0

2019/10/30 14:54:00.808 {wncd_x_R0-0}{2}: [eap] [23294]: (info): FAST:EAP_FAIL from inner method MSCHAPV2

2019/10/30 14:54:00.808 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 59, EAP-Type = EAP-FAST

2019/10/30 14:54:00.808 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - REQUEST, ID : 0xa

2019/10/30 14:54:00.811 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 59, EAP-Type = EAP-FAST

2019/10/30 14:54:00.811 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] EAP Packet - RESPONSE, ID : 0xa

2019/10/30 14:54:00.811 {wncd_x_R0-0}{2}: [caaa-authen] [23294]: (info): [CAAA:AUTHEN:66000006] DEBUG: mlist=(null) for type=0

2019/10/30 14:54:00.812 {wncd_x_R0-0}{2}: [eap-auth] [23294]: (info): FAIL for EAP method name: EAP-FAST on handle 0xBD000006

2019/10/30 14:54:00.812 {wncd_x_R0-0}{2}: [dot1x] [23294]: (info): [e836.171f.a162:capwap_90000004] Raised identity update event for eap method EAP-FAST

2019/10/30 14:54:00.813 {wncd_x_R0-0}{2}: [errmsg] [23294]: (note): %DOT1X-5-FAIL: Authentication failed for client (e836.171f.a162) with reason (Cred Fail) on Interface capwap_90000004 AuditSessionID 00000000000000101D28423A Username: fakeuser

2019/10/30 14:54:00.813 {wncd_x_R0-0}{2}: [auth-mgr] [23294]: (info): [e836.171f.a162:capwap_90000004] Authc failure from Dot1X, Auth event fail