Catalyst 9800でのアンカーを使用した中央Web認証の設定

はじめに

このドキュメントでは、モビリティアンカーとして別のWLCをポイントしているCatalyst 9800でCWAを設定およびトラブルシューティングする方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• 中央Web認証(CWA)
• ワイヤレス LAN コントローラ（WLC）
• 9800 WLC
• AireOS WLC
• Cisco ISE

CWAアンカー設定を開始する前に、2つのWLC間のモビリティトンネルをすでに確立していることを前提としています。これは、この設定例の範囲外です。サポートが必要な場合は、『9800でのモビリティトポロジの設定』というドキュメントを参照してください。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• 9800 17.2.1
• 5520 8.5.164 IRCMイメージ
• ISE 2.4

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

別のCatalyst 9800にアンカーされたCatalyst 9800の設定

ネットワーク図

両方の9800でAAAを設定する

アンカーと外部の両方で、最初にRADIUSサーバを追加し、CoAが有効になっていることを確認する必要があります。それには、メニューConfiguration > Security > AAA > Servers/Groups > Serversの順に移動します。 次に、Addボタンをクリックします。

次に、サーバグループを作成し、設定したサーバをそのグループに配置する必要があります。これを行うには、Configuration > Security > AAA > Servers/Groups > Server Groups > +Addの順に移動します。

次に、タイプがnetworkでグループタイプがgroupの認可方式リスト（CWAでは認証方式リストは不要）を作成します。前のアクションのサーバグループをこのメソッドリストに追加します。

これを行うには、Configuration > Security > AAA > Servers/AAA Method List > Authorization > +Addの順に移動します。

（オプション）許可方式リストと同じサーバグループを使用して、アカウンティング方式リストを作成します。アカウンティングリストを作成するには、Configuration > Security > AAA > Servers/AAA Method List > Accounting > +Addの順に選択します。

WLCでのWLANの設定

両方のWLCでWLANを作成して設定します。WLANは両方で一致している必要があります。セキュリティタイプはMACフィルタリングであり、前の手順の許可方式リストを適用する必要があります。これを設定するには、Configuration > Tags & Profiles > WLANs > +Addの順に選択します。

外部WLCでのポリシープロファイルとポリシータグの作成

外部WLC Web UIに移動します。 ポリシープロファイルを作成するには、Configuration > Tags & Profiles > Policy > +Addの順に選択します。 アンカーするときは、中央スイッチングを使用する必要があります。

Advancedタブでは、CWAに対するAAA OverrideとRADIUS NACが必須です。ここで、アカウンティング方式リストを作成することを選択した場合は、アカウンティング方式リストを適用することもできます。 

MobilityタブでExport Anchorチェックボックスにチェックマークを入れないで、アンカーWLCをアンカーリストに追加します。必ずApply to Deviceと入力してください。2台のコントローラ間にモビリティトンネルがすでに設定されていることを前提としています

APでこのポリシープロファイルを使用するには、ポリシータグを作成し、使用するAPに適用する必要があります。

ポリシータグを作成するには、Configuration > Tags & Profiles > Tags?Policy > +Addの順に移動します。

これを複数のAPに同時に追加するには、Configuration > Wireless Setup > Advanced > Start Nowの順に移動します。Tag APsの横にある箇条書きバーをクリックし、選択したAPにタグを追加します。

アンカーWLCでのポリシープロファイルの作成

アンカーWLC Web UIに移動します。アンカー9800のConfiguration > Tags & Profiles > Tags > Policy > +Addで、ポリシープロファイルを追加します。これが、モビリティタブとアカウンティングリストを除き、外部で作成されたポリシープロファイルと一致することを確認します。 

ここではアンカーを追加しませんが、Export Anchorチェックボックスにチェックマークを入れます。ここではアカウンティングリストを追加しないでください。ここでは、2台のコントローラ間でモビリティトンネルがすでに設定されていることを前提としています。

注：このプロファイルをポリシータグのWLANに関連付ける理由はありません。これを行うと、問題が発生します。このWLC上のAPに同じWLANを使用する場合は、このWLC用に別のポリシープロファイルを作成します。

両方の9800でACL設定をリダイレクトする

次に、両方の9800でリダイレクトACL設定を作成する必要があります。外部ACLはアンカーWLCでトラフィックに適用されるため、外部ACLのエントリは重要ではありません。唯一の要件は、そこにあり、いくつかのエントリがあることです。アンカー上のエントリは、ポート8443でISEへのアクセスを拒否し、その他すべてを許可する必要があります。このACLはクライアントから着信するトラフィックにのみ適用されるため、リターントラフィックのルールは必要ありません。DHCPとDNSは、ACLのエントリなしでパススルーします。

ISE の設定

最後の手順では、CWA用にISEを設定します。これにはさまざまなオプションがありますが、この例では基本に従い、デフォルトの自己登録型ゲストポータルを使用します。

ISEで、認可プロファイル、認証ポリシーを含むポリシーセット、および認可プロファイルを使用する認可ポリシーを作成し、ネットワークデバイスとして9800（外部）をISEに追加し、ネットワークにログインするためのユーザ名とパスワードを作成する必要があります。

認可プロファイルを作成するには、Policy > Policy Elements > Authorization > Results > Authorization Profilesの順に移動し、Addをクリックします。返されるアクセスタイプがACCESS_ACCEPTであることを確認してから、返信する属性/値ペア(AVP)を設定します。CWAの場合、リダイレクトACLとリダイレクトURLは必須ですが、VLAN IDやセッションタイムアウトなどを返信することもできます。ACL名が外部とアンカー9800の両方でリダイレクトACLの名前と一致することが重要です。

次に、作成した認可プロファイルをCWAを通過するクライアントに適用する方法を設定する必要があります。これを実現する方法の1つは、MABの使用時に認証をバイパスするポリシーセットを作成し、着信側ステーションIDで送信されるSSIDの使用時に認可プロファイルを適用することです。繰り返しますが、これを実現する方法はたくさんあります。より具体的で安全な方法が必要な場合は、これが最も簡単な方法です。

ポリシーセットを作成するには、Policy > Policy Setsの順に選択し、画面の左側にある+ボタンをクリックします。新しいポリシーセットに名前を付け、Default Network AccessまたはMABのProcess Host Lookupを許可する許可プロトコルリストが設定されていることを確認します(許可されているプロトコルリストを確認するには、Policy > Policy Elements > Results > Authentication > Allowed Protocolsの順に選択します)。ここで、作成した新しいポリシーセットの中央にある+記号をクリックします。

ISEでMABが使用されるたびにこのポリシーセットに対して、このポリシーセットが適用されます。後で、呼び出されたステーションIDに一致する認可ポリシーを作成して、使用されているWLANに応じて異なる結果を適用できます。このプロセスは非常にカスタマイズ可能で、多くの条件を満たすことができます。

ポリシーセット内で、ポリシーを作成します。認証ポリシーはMABで再度照合できますが、内部エンドポイントを使用するようにIDストアを変更し、Auth FailとUser Not Foundで続行するようにオプションを変更する必要があります。

認証ポリシーを設定したら、認可ポリシーに2つのルールを作成する必要があります。このポリシーはACLのように読まれるため、オーダーの上部にPost-Authルール、下部にPre-Authルールが必要です。Post-Authルールは、すでにゲストフローを通過したユーザを照合します。つまり、すでにサインインしている場合は、ルールに到達してルールを停止する必要があります。まだサインインしていない場合は、リストの下に移動してPre-Authルールに到達し、リダイレクトされます。認証ポリシールールをSSIDで終わる着信側ステーションIDと照合し、そのように設定されているWLANだけに到達するようにすることをお勧めします。

ポリシーセットの設定が完了したら、ISEがオーセンティケータとして信頼するように、9800（外部）についてISEに通知する必要があります。これを行うには、Admin > Network Resources > Network Device > +の順に移動します。名前を付け、IPアドレス（この場合はadminサブネット全体）を設定し、RADIUSを有効にして、共有秘密を設定する必要があります。ISEの共有秘密は9800の共有秘密と一致する必要があり、一致しない場合、このプロセスは失敗します。設定が追加されたら、Submitボタンをクリックして保存します。

最後に、クライアントがログインページに入力するユーザ名とパスワードを追加して、ネットワークにアクセスする必要があることを検証する必要があります。これを行うには、Admin > Identity Management > Identity > Users > +Addの順に移動し、追加した後でSubmitをクリックします。  ISEの他のすべての機能と同様に、これはカスタマイズ可能であり、ローカルに保存されているユーザである必要はありませんが、やはり最も簡単な設定です。

AireOS WLCにアンカーされたCatalyst 9800の設定

Catalyst 9800の外部設定

前のステップと同じ手順を実行し、「アンカーWLCでのポリシープロファイルの作成」セクションをスキップします。

アンカーAireOS WLCでのAAA設定

Security > AAA > RADIUS > Authentication > Newの順に選択して、サーバをWLCに追加します。サーバのIPアドレス、共有秘密、およびCoAのサポートを追加します。

AireOS WLCでのWLANの設定

WLANを作成するには、WLANs > Create New > Goの順に選択します。

Profile Name、WLAN ID、およびSSIDを設定し、Applyをクリックします。

これにより、WLAN設定に移動する必要があります。ISEをAVPで送信するように設定しない場合は、Generalタブで、クライアントで使用するインターフェイスを追加できます。次に、Security > Layer2タブに移動し、9800で使用したLayer 2 Security設定と一致し、MAC Filteringを有効にします。

ここで、Security > AAA Serversタブに移動し、ISEサーバをAuthentication Serversとして設定します。Accounting Serverに何も設定しないでください。アカウンティング用にEnableボックスのチェックマークを外します。

WLAN設定が表示されている状態で、Advancedタブに移動し、Allow AAA Overrideをイネーブルにし、NAC StateをISE NACに変更します。

最後に、それを自分自身にアンカーすることです。このため、WLANsページに戻り、WLAN > Mobility Anchorsの右側にある青いボックスにカーソルを合わせます。Switch IP Address (Anchor)をlocalに設定し、Mobility Anchor Createボタンをクリックします。その後、優先度0のアンカー付きローカルで表示される必要があります。

AireOS WLCでのACLのリダイレクト

これはAireOS WLCで必要な最終的な設定です。リダイレクトACLを作成するには、Security > Access Control Lists > Access Control Lists > Newの順に選択します。ACL名を入力し（AVPで送信されたものと一致する必要があります）、Applyをクリックします。

次に、作成したACLの名前をクリックします。Add New Ruleボタンをクリックします。9800コントローラとは異なり、AireOS WLCでは、リダイレクトされずにISEに到達することを許可されるトラフィックの許可ステートメントを設定します。DHCPとDNSはデフォルトで許可されています。

ISE の設定

最後の手順では、CWA用にISEを設定します。これには複数のオプションがありますが、この例では基本とデフォルトの自己登録型ゲストポータルを使用します。

ISEでは、認可プロファイル、認証ポリシーを含むポリシーセット、および認可プロファイルを使用する認可ポリシーを作成する必要があります。9800（外部）をネットワークデバイスとしてISEに追加し、ユーザ名とパスワードを作成してネットワークにログインします。

認可プロファイルを作成するには、Policy > Policy Elements > Authorization > Results > Authorization Profiles > +Addの順に選択します。返されたアクセスタイプがACCESS_ACCEPTであることを確認し、返信するAVPを設定します。CWAの場合、リダイレクトACLとリダイレクトURLは必須ですが、VLAN IDと同様に返信することもできます（たとえば、セッションタイムアウト）。ACL名が、外部WLCとアンカーWLCの両方のリダイレクトACLの名前と一致することが重要です。

次に、作成した認可プロファイルをCWAを通過するクライアントに適用する方法を設定する必要があります。これを実現する方法の1つは、MABの使用時に認証をバイパスするポリシーセットを作成し、着信側ステーションIDで送信されるSSIDの使用時に認可プロファイルを適用することです。繰り返しますが、これを実現する方法はたくさんあります。より具体的で安全な方法が必要な場合は、これが最も簡単な方法です。

ポリシーセットを作成するには、Policy > Policy Setの順に選択し、画面の左側にある+ボタンをクリックします。新しいポリシーセットに名前を付け、Default Network AccessまたはMABのProcess Host Lookupを許可する許可プロトコルリストが設定されていることを確認します(許可されているプロトコルリストを確認するには、Policy > Policy Elements > Results > Authentication > Allowed Protocolsの順に選択します)。作成した新しいポリシーセットの中央にある+記号をクリックします。

ISEでMABが使用されるたびに、このポリシーセットに対して、このポリシーセットを通過できます。後で、呼び出されたステーションIDに一致する認可ポリシーを作成して、使用されているWLANに応じて異なる結果を適用できます。このプロセスは、多くの条件を満たしながらカスタマイズできます

ポリシーセット内で、ポリシーを作成します。認証ポリシーはMABで再度照合できますが、内部エンドポイントを使用するようにIDストアを変更する必要があり、Auth FailとUser Not Foundで続行するようにオプションを変更する必要があります。 

認証ポリシーを設定したら、認可ポリシーに2つのルールを作成する必要があります。このポリシーはACLのように読まれるため、オーダーの上部にPost-Authルール、下部にPre-Authルールが必要です。Post-Authルールは、すでにゲストフローを通過したユーザを照合します。これは、すでにサインインしている場合は、そのルールに従って停止することを意味します。まだサインインしていない場合は、リストの下の方に進み、リダイレクトを取得するPre-Authルールに到達します。認証ポリシールールをSSIDで終わる着信側ステーションIDと照合し、そのように設定されたWLANだけにヒットするようにすることをお勧めします。

ポリシーセットの設定が完了したら、ISEがオーセンティケータとして信頼するように、9800（外部）についてISEに通知する必要があります。これは、Admin > Network Resources > Network Device > +の順に選択することで実行できます。名前を付け、IPアドレス（この場合はadminサブネット全体）を設定し、RADIUSを有効にして、共有秘密を設定する必要があります。ISEの共有秘密は9800の共有秘密と一致する必要があり、一致しない場合、このプロセスは失敗します。設定が追加されたら、submitボタンを押して保存します。

最後に、クライアントがログインページに入力するユーザ名とパスワードを追加して、ネットワークにアクセスする必要があることを検証する必要があります。これは、Admin > Identity Management > Identity > Users > +Addの順に選択し、Submitをクリックしてから追加してください。ISEの他のすべての機能と同様に、これはカスタマイズ可能であり、ローカルに保存されたユーザである必要はありませんが、やはり最も簡単な設定です。

AireOS WLCが外部で、Catalyst 9800がアンカーの場合の設定の違い

AireOs WLCを外部コントローラにする場合、設定は前述と同じですが、いくつかの違いがあります。

1. アンカーではAAAアカウンティングが実行されないため、9800にはアカウンティング方式リストがなく、AireOS WLCではアカウンティングが有効でISEをポイントしています。
2. AireOSは、それ自体ではなく、9800にアンカーする必要があります。Policy Profileでは、9800のアンカーは選択されていませんが、Export Anchorボックスにチェックマークが付いています。
3. AireOS WLCがクライアントを9800にエクスポートする際には、ポリシープロファイルの概念がないことに注意してください。WLANプロファイル名のみを送信します。したがって、9800はAireOSから送信されたWLANプロファイル名をWLANプロファイル名とポリシープロファイル名の両方に適用します。AireOS WLCから9800 WLCにアンカーする場合、両方のWLCのWLANプロファイル名と9800のポリシープロファイル名が一致している必要があります。

確認

9800 WLCの設定を確認するには、次のコマンドを実行します。

• AAA:

Show Run | section aaa|radius

• WLAN:

Show wlan id <wlan id>

• ポリシープロファイル：

Show wireless profile policy detailed <profile name>

• ポリシー タグ:

Show wireless tag policy detailed <policy tag name>

• ACL：

Show IP access-list <ACL name>

• アンカーを使用してモビリティがアップしていることを確認します。

Show wireless mobility summary

AireOS WLCの設定を確認するには、コマンドを実行します。

• AAA:

Show radius summary

注:RFC3576はCoA設定です。

• WLAN:

Show WLAN <wlan id>

• ACL：

Show acl detailed <acl name>

• モビリティが外部でアップしていることを確認します。

Show mobility summary

トラブルシュート

トラブルシューティングは、プロセスのどの時点でクライアントが停止したかによって異なります。たとえば、WLCがMAB上のISEから応答を受信しない場合、クライアントはPolicy Manager State: Associatingのままになり、アンカーにエクスポートされません。この状況では、外部ルータでのみトラブルシューティングを行い、WLCとISE間のトラフィックのRAトレースとパケットキャプチャを収集する必要があります。別の例として、MABは正常に通過したが、クライアントがリダイレクトを受信しない場合があります。この場合、外部デバイスがAVPでリダイレクトを受信し、それをクライアントに適用したことを確認する必要があります。また、アンカーをチェックして、クライアントが正しいACLを使用してそこにあることを確認する必要があります。このトラブルシューティングの範囲は、この記事の設計外です（一般的なクライアントのトラブルシューティングガイドラインについては、「関連情報」を参照してください）。

9800 WLCでのCWAのトラブルシューティングの詳細については、Cisco Live！プレゼンテーションDGTL-TCENSE-404を参照してください。

注：シスコの内部ツールおよび情報にアクセスできるのは、シスコの登録ユーザーのみです。

Catalyst 9800のトラブルシューティング情報

クライアント詳細

show wireless client mac-address <client mac> detail

ここで、Policy Manager State、Session Manager > Auth Method、Mobility Roleを確認する必要があります。

この情報は、GUIのMonitoring > Clientsの順に選択して表示することもできます。

Embedded Packet Capture

CLIからcapture <capture name>コマンド#monitor起動し、オプションがその後に表示されます。

GUIから、Troubleshoot > Packet Capture > +Addの順に選択します。

RadioActiveトレース

CLI から、

debug wireless mac|ip <client mac|ip>   

これを停止するには、このコマンドのno形式を使用します。これは、ブートフラッシュ内のra_traceという名前のファイルに記録され、クライアントのMACアドレスまたはIPアドレス、日時の順に記録されます。

GUIで、Troubleshoot > Radioactive Trace > +Addの順に選択します。クライアントのMACアドレスまたはIPアドレスを追加し、Applyをクリックして、startを押します。プロセスを数回実行した後、トレースを停止し、ログを生成し、デバイスにダウンロードします。

AireOSのトラブルシューティング情報

クライアント詳細

CLIから、show client details <client mac>を実行します。

GUIで、Monitor > Clientsの順に選択します。

CLIからのデバッグ

Debug client <client mac>

Debug mobility handoff

Debug mobility config

関連情報

• 9800コントローラを使用したモビリティトンネルの構築
• 9800でのワイヤレスデバッグとログ収集
• シスコのテクニカルサポートとダウンロード