内容

概要

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

NATの背後のAP加入

コンフィギュレーション

確認

OEAPにログインし、パーソナルSSIDを設定する

9800 WLCでのRLANの設定

トラブルシュート

概要

このドキュメントでは、Cisco OfficeExtendアクセスポイント(OEAP)およびリモートローカルエリアネットワーク(RLAN)を9800 WLCで設定する方法について説明します。

Cisco OfficeExtendアクセスポイント(OEAP)は、コントローラからリモートロケーションのCisco APへのセキュアな通信を提供し、企業のWLANをインターネット経由で従業員の自宅にシームレスに拡張します。ホームオフィスでのユーザエクスペリエンスは、企業オフィスでのユーザエクスペリエンスとまったく同じです。アクセスポイントとコントローラ間のDatagram Transport Layer Security(DTLS)暗号化により、すべての通信のセキュリティが最高レベルになります。

リモートLAN(RLAN)は、コントローラを使用して有線クライアントを認証するために使用されます。有線クライアントがコントローラに正常に加入すると、LANポートは中央スイッチングモードとローカルスイッチングモードの間でトラフィックをスイッチングします。有線クライアントからのトラフィックは、ワイヤレスクライアントトラフィックとして扱われます。アクセスポイント(AP)のRLANは、有線クライアントを認証するための認証要求を送信します。RLANでの有線クライアントの認証は、中央の認証済みワイヤレスクライアントに似ています。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- 9800 WLC

- ワイヤレスコントローラとアクセスポイントへのコマンドラインインターフェイス(CLI)アクセス

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Catalyst 9800 WLCバージョン17.02.01

- 1815/1810シリーズAP

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

NATの背後のAP加入

16.12.xコードでは、CLIからNAT IPアドレスを設定する必要があります。GUIオプションはありません。パブリックまたはプライベートIPを使用してCAPWAP検出を選択することもできます。

(config)#wireless management interface vlan 1114 nat public-ip x.x.x.x

(config-nat-interface)#capwap-discovery ?

private  Include private IP in CAPWAP Discovery Response

public   Include public IP in CAPWAP Discovery Response

17.xコードで、[Configuration] > [Interface] > [Wireless]に移動し、[Wireless Management Interface]をクリックして、GUIからNAT IPおよびCAPWAP検出タイプを設定します。

コンフィギュレーション

1. Flexプロファイルを作成するには、Office Extend APを有効にして、[Configuration] > [Tags & Profiles] > [Flex]に移動します。

2.サイトタグを作成し、Flex Profileをマップするには、[Configuration] > [Tags & Profiles] > [Tags]に移動します。

3. 1815 APにタグを付けます。[Configuration] > [Wireless Setup] > [Advanced] > [Tag APs]を選択します。

確認

1815 APがWLCに再接続したら、次の出力を確認します。

vk-9800-1#show ap name AP1815 config general

Cisco AP Name   : AP1815

=================================================

Cisco AP Identifier                             : 002c.c8de.3460

Country Code                                    : Multiple Countries : IN,US

Regulatory Domain Allowed by Country            : 802.11bg:-A   802.11a:-ABDN

AP Country Code                                 : US  - United States

Site Tag Name                                   : Home-Office

RF Tag Name                                     : default-rf-tag

Policy Tag Name                                 : default-policy-tag

AP join Profile                                 : default-ap-profile

Flex Profile                                    : OEAP-FLEX

Administrative State                            : Enabled

Operation State                                 : Registered

AP Mode                                         : FlexConnect

AP VLAN tagging state                           : Disabled

AP VLAN tag                                     : 0

CAPWAP Preferred mode                           : IPv4

CAPWAP UDP-Lite                                 : Not Configured

AP Submode                                      : Not Configured

Office Extend Mode                              : Enabled

Dhcp Server                                     : Disabled

Remote AP Debug                                 : Disabled

vk-9800-1#show ap link-encryption

Encryption     Dnstream    Upstream     Last

AP Name                     State          Count       Count        Update

--------------------------------------------------------------------------

N2                           Disabled       0           0           06/08/20 00:47:33

AP1815                       Enabled        43          865         06/08/20 00:46:56

when you enable the OfficeExtend mode for an access point DTLS data encryption is enabled automatically.

AP1815#show capwap client config

AdminState                         : ADMIN_ENABLED(1)

Name                               : AP1815

Location                           : default location

Primary controller name            : vk-9800-1

ssh status                         : Enabled

ApMode                             : FlexConnect

ApSubMode                          : Not Configured

Link-Encryption                    : Enabled

OfficeExtend AP                    : Enabled

Discovery Timer                    : 10

Heartbeat Timer                    : 30

Syslog server                      : 255.255.255.255

Syslog Facility                    : 0

Syslog level                       : informational

注：ap link-encryptionコマンドを使用して、特定のアクセスポイントまたはすべてのアクセスポイントのDTLSデータ暗号化を有効または無効にできます

vk-9800-1(config)#ap profile default-ap-profile

vk-9800-1(config-ap-profile)#no link-encryption

Disabling link-encryption globally will reboot the APs with link-encryption.

Are you sure you want to continue? (y/n)[y]:y

OEAPにログインし、パーソナルSSIDを設定する

1. OEAPのWebインターフェイスにIPアドレスでアクセスできます。ログインするデフォルトの認証情報はadminとadminです。

2.セキュリティ上の理由から、デフォルトのクレデンシャルを変更することを推奨します。

3. [Configuration] > [SSID] > [2.4GHz/5GHz] に移動し、パーソナルSSIDを設定します。

4.無線インターフェイスを有効にします。

5. SSIDを入力し、ブロードキャストを有効にします

6.暗号化の場合は、[WPA-PSK]または[WPA2-PSK]を選択し、対応するセキュリティタイプのパスフレーズを入力します。

7. [Apply]をクリックして設定を有効にします。

8.パーソナルSSIDに接続するクライアントは、デフォルトで10.0.0.1/24ネットワークからIPアドレスを取得します。

9.ホームユーザは同じAPを使用して自宅に接続でき、トラフィックがDTLSトンネルを通過しません。

10. OEAPでクライアントの関連付けを確認するには、[Home] > [Client]に移動します。OEAPに関連付けられたローカルクライアントと社内クライアントを確認できます。

To clear personal ssidfrom office-extend ap

ewlc#ap name cisco-ap clear-personalssid-config

clear-personalssid-config Clears the Personal SSID config on an OfficeExtend AP

9800 WLCでのRLANの設定

リモートLAN(RLAN)は、コントローラを使用して有線クライアントを認証するために使用されます。有線クライアントがコントローラに正常に加入すると、LANポートは中央スイッチングモードとローカルスイッチングモードの間でトラフィックをスイッチングします。有線クライアントからのトラフィックは、ワイヤレスクライアントトラフィックとして扱われます。アクセスポイント(AP)のRLANは、有線クライアントを認証するための認証要求を送信します。「

RLANでの有線クライアントの認証は、中央の認証済みワイヤレスクライアントに似ています。

注：この例では、ローカルEAPをRLANクライアント認証に使用しています。次の手順を設定するには、WLCにローカルEAP設定が存在する必要があります。これには、aaa認証および許可方式、ローカルEAPプロファイル、およびローカルクレデンシャルが含まれます。

Catalyst 9800 WLCでのローカルEAP認証の設定例

1. RLANプロファイルを作成するには、次の図に示すように、[Configuration] > [Wireless] > [Remote LAN]に移動し、RLANプロファイルの名前とRLAN IDを入力します。

2. [Security] > [Layer2] に移動し、RLANで802.1xを有効にするには、次の図に示すように、802.1xのステータスを[Enabled]に設定します。

3.次の図に示すように、[Security] > [AAA] に移動し、[Local EAP Authentication]を[enabled]に設定し、ドロップダウンリストから必要なEAPプロファイル名を選択します。

4. RLANポリシーを作成するには、[Configuration] > [Wireless] > [Remote LAN]に移動し、[Remote LAN]ページで[RLAN Policy]タブをクリックします（次の図を参照）。

[Access Policies]に移動し、VLANとホストモードを設定して、設定を適用します。

5.ポリスタグを作成し、RLANプロファイルをRLANポリシーにマップするには、[Configuration] > [Tags & Profiles] > [Tags]に移動します。

6. LANポートを有効にし、APにポリシータグを適用します。[Configuration] > [Wireless] > [Access Points]に移動し、APをクリックします。

設定を適用し、APがWLCに再接続します。APをクリックして、[Interfaces]を選択し、LANポートを有効にします。

設定を適用し、ステータスを確認します。

7. APのLAN3ポートにPCを接続します。PCは802.1x経由で認証され、設定されたVLANからIPアドレスを取得します。

[Monitoring] > [Wireless] > [Clients]に移動し、クライアントのステータスを確認します。

vk-9800-1#show wireless client summary

Number of Clients: 2

MAC Address    AP Name                                        Type ID   State             Protocol Method     Role

-------------------------------------------------------------------------------------------------------------------------

503e.aab7.0ff4 AP1815                                         WLAN 3    Run               11n(2.4) None       Local

b496.9126.dd6c AP1810                                         RLAN 1    Run               Ethernet Dot1x      Local

Number of Excluded Clients: 0

トラブルシュート

一般的な問題:

- ローカルSSIDだけが機能し、WLCで設定されているSSIDがブロードキャストされない：APがコントローラに正しく加入しているかどうかを確認します。

- OEAP GUIにアクセスできない：apにIPアドレスがあるかどうかを確認し、到達可能性（ファイアウォール、ACLなど、ネットワーク内）を確認します

- 中央でスイッチングされた無線または有線クライアントがIPアドレスを認証または取得できない：RAトレースを取得し、常にトレースを使用するなど

有線802.1xクライアントのAlways onトレースの例：

[client-orch-sm] [18950]: (note): MAC: <client-mac>  Association received. BSSID 00b0.e187.cfc0, old BSSID 0000.0000.0000, WLAN test_rlan, Slot 2 AP 00b0.e187.cfc0, Ap_1810

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_INIT -> S_CO_ASSOCIATING

[dot11-validate] [18950]: (ERR): MAC: <client-mac>  Failed to dot11 determine ms physical radio type. Invalid radio type :0 of the client.

[dot11] [18950]: (ERR): MAC: <client-mac>  Failed to dot11 send association response. Encoding of assoc response failed for client reason code: 14.

[dot11] [18950]: (note): MAC: <client-mac>  Association success. AID 1, Roaming = False, WGB = False, 11r = False, 11w = False AID list: 0x1| 0x0| 0x0| 0x0

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_ASSOCIATING -> S_CO_L2_AUTH_IN_PROGRESS

[client-auth] [18950]: (note): MAC: <client-mac>  ADD MOBILE sent. Client state flags: 0x71  BSSID: MAC: 00b0.e187.cfc0  capwap IFID: 0x90000012

[client-auth] [18950]: (note): MAC: <client-mac>  L2 Authentication initiated. method DOT1X, Policy VLAN 1119,AAA override = 0 , NAC = 0

[ewlc-infra-evq] [18950]: (note): Authentication Success. Resolved Policy bitmap:11 for client <client-mac>

[client-orch-sm] [18950]: (note): MAC: <client-mac>  Mobility discovery triggered. Client mode: Local

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_L2_AUTH_IN_PROGRESS -> S_CO_MOBILITY_DISCOVERY_IN_PROGRESS

[mm-client] [18950]: (note): MAC: <client-mac>  Mobility Successful. Roam Type None, Sub Roam Type MM_SUB_ROAM_TYPE_NONE, Previous BSSID MAC: 0000.0000.0000   Client IFID: 0xa0000003, Client Role: Local PoA: 0x90000012 PoP: 0x0

[client-auth] [18950]: (note): MAC: <client-mac>  ADD MOBILE sent. Client state flags: 0x72  BSSID: MAC: 00b0.e187.cfc0  capwap IFID: 0x90000012

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_MOBILITY_DISCOVERY_IN_PROGRESS -> S_CO_DPATH_PLUMB_IN_PROGRESS

[dot11] [18950]: (note): MAC: <client-mac>  Client datapath entry params - ssid:test_rlan,slot_id:2 bssid ifid: 0x0, radio_ifid: 0x90000006, wlan_ifid: 0xf0404001

[dpath_svc] [18950]: (note): MAC: <client-mac>  Client datapath entry created for ifid 0xa0000003

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_DPATH_PLUMB_IN_PROGRESS -> S_CO_IP_LEARN_IN_PROGRESS

[client-iplearn] [18950]: (note): MAC: <client-mac>  Client IP learn successful. Method: DHCP IP: <Cliet-IP>

[apmgr-db] [18950]: (ERR): 00b0.e187.cfc0 Get ATF policy name from WLAN profile:: Failed to get wlan profile. Searched wlan profile test_rlan

[apmgr-db] [18950]: (ERR): 00b0.e187.cfc0 Failed to get ATF policy name

[apmgr-bssid] [18950]: (ERR): 00b0.e187.cfc0 Failed to get ATF policy name from WLAN profile name: No such file or directory

[client-orch-sm] [18950]: (ERR): Failed to get client ATF policy name: No such file or directory

[client-orch-state] [18950]: (note): MAC: <client-mac>  Client state transition: S_CO_IP_LEARN_IN_PROGRESS -> S_CO_RUN