WLC 9800とISEでのCWAのトラブルシューティング

概要

このドキュメントでは、ワイヤレスLANコントローラ(WLC) 9800およびIdentity Services Engine(ISE)を使用した中央Web認証(CWA)のトラブルシューティング方法について説明します。

背景説明

個人所有デバイスへのアクセスを保護するためにワイヤレスアクセスを必要とするネットワーク管理者は、多くの場合、CWAを使用するワイヤレスネットワークを選択します。このドキュメントでは、一般的な問題のトラブルシューティングに役立つCWAのフローチャートに重点を置いて説明します。プロセスの一般的な問題、CWAに関連するログの収集方法、これらのログの分析方法、およびトラフィックフローを確認するためにWLCでEmbedded Packet Capture(EPC)を収集する方法について説明します。

CWAは、個人所有デバイスの持ち込み(BYOD)とも呼ばれる個人所有デバイスを使用してユーザが会社のネットワークに接続することを許可する企業で最も一般的なセットアップです。 この情報は、TACケースをオープンする前に実行するトラブルシューティング手順を示します。

CWAのパケットフローを次に示します。

CWAパケットフロー

詳細フロー

最初のアソシエーションとRADIUS認証：

最初の関連付けとRADIUS認証

DHCP、DNS、および接続の確認：

DHCP、DNS、および接続の確認

接続チェックは、クライアントデバイスのオペレーティングシステム(OS)またはブラウザによるキャプティブポータル検出を使用して行われます。

デバイスのオペレーティングシステムは、特定のドメインに対してHTTP GETを実行するように事前にプログラムされています。

• Apple社= captive.apple.com
• Android = connectivitycheck.gstatic.com
• Windowsの場合= msftconnectest.com

ブラウザを開いた場合も、次のチェックが実行されます。

• クロム= clients3.google.com
• Firefox = detectportal.firefox.com

トラフィックの代行受信とリダイレクト：

トラフィックの代行受信とリダイレクト

ISEゲストログインポータルへのクライアントログイン：

ISEゲストログインポータルへのクライアントログイン

クライアントログインおよびCoA:

クライアントログインおよびCoA

トラブルシューティング

ユーザがログインページにリダイレクトされない一般的な症状

フローの最初の部分から説明します。

最初の関連付けとRADIUS認証

最初のRADIUS認証は成功しましたか。

MACフィルタリングの認証結果を確認します。

MACフィルタリング認証結果を示すISEライブログ

ユーザが見つからない場合は、認証の詳細オプションがContinueに設定されていることを確認します。

User not found advancedオプション

WLCはリダイレクトURLとACLを受信しますか。

モニタリングでISEライブログとWLCクライアントのセキュリティ情報を確認します。ISEがリダイレクトURLとACLをAccess Acceptで送信し、WLCで受信されてクライアントに適用されていることを、クライアントの詳細情報で確認します。

リダイレクトACLとURL

リダイレクトACLは正しいですか。

ACL名のタイプミスをチェックします。ISEから送信されたとおりに送信されていることを確認します。

リダイレクトACLの検証

クライアントはWeb-Auth Pendingに移行しましたか。

クライアントの詳細でWeb Auth Pending状態を確認します。この状態でない場合は、AAA OverrideおよびRADIUS NACがポリシープロファイルで有効になっているかどうかを確認します。

クライアントの詳細、aaa override、およびRADIUS NAC

問題が解決しない場合は、次のフローを参照してください。

DHCP、DNS、および接続の確認

WLCではDHCPとDNSのトラフィックは許可されますか。

WLCでリダイレクトACLの内容を確認します。

WLCでのACLコンテンツのリダイレクト

リダイレクトACLでは、permit文によって代行受信およびリダイレクトされるトラフィックと、代行受信およびリダイレクトから無視されるトラフィックをdeny文で定義します。

この例では、DNSおよびISE IPアドレスを行き来するトラフィックのフローが許可され、ポート80(WWW)のTCPトラフィックが代行受信されます。

DHCPサーバはDHCPディスカバリ/要求を受信しますか。 

DHCP交換が発生するかどうかをEPCで確認します。EPCは、DHCPプロトコルや内部フィルタMACなどの内部フィルタで使用できます。内部フィルタMACでは、クライアントデバイスのMACアドレスを使用して、クライアントデバイスのMACアドレスで送受信されるDHCPパケットのみをEPCで取得できます。

この例では、VLAN 3でブロードキャストとして送信されたDHCP Discoverパケットに注意してください。

DHCPを確認するWLC EPC

ポリシープロファイルで想定されるクライアントVLANを確認します。

ポリシープロファイルのVLAN

WLCのVLAN、スイッチポートトランクの設定、およびDHCPサブネットを確認します。

VLAN、スイッチポート、およびDHCPサブネット

VLAN 3はWLCにあり、VLAN 3のスイッチ仮想インターフェイス(SVI)も備えています。ただし、DHCPサーバのIPアドレスを確認する場合は、このアドレスは別のサブネット上にあるため、SVI上にip helper-addressが必要になります。

ベストプラクティスでは、クライアントサブネットのSVIを有線インフラストラクチャに設定し、WLCではそれを回避する必要があります。

いずれの場合でも、ip helper-addressコマンドは、それが存在する場所に関係なく、SVIに追加する必要があります。

別の方法として、ポリシープロファイルでDHCPサーバのIPアドレスを設定することもできます。

SviまたはポリシープロファイルでのIPヘルパーアドレス

その後、DHCP交換が成功したかどうか、およびDHCPサーバがDNSサーバIPを提供しているかどうかをEPCで確認できます。

DNSサーバipのDHCPオファーの詳細

自動リダイレクトは行われますか。

DNSサーバがクエリーに応答するかどうかをWLC EPCで確認します。

DNSクエリと応答

• リダイレクトが自動でない場合は、ブラウザを開いてランダムなIPアドレスを試してください。たとえば、10.0.0.1などです。
• リダイレクトが機能する場合は、DNS解決に問題がある可能性があります。

問題が解決しない場合は、次のフローを再確認してください。

トラフィックの代行受信とリダイレクト

ブラウザにログインページが表示されないか

クライアントがTCP SYNをポート80に送信し、WLCがそれをインターセプトするかどうかを確認します。

ポート80へのTCP再送信

この例では、クライアントはTCP SYNパケットをポート80に送信しますが、応答を受信せず、TCP再送信を実行します。

グローバルコンフィギュレーションでip http server コマンドが、パラメータマップglobalでwebauth-http-enableが指定されていることを確認します。

HTTP代行受信コマンド

このコマンドを適用すると、WLCはTCP トラフィックを代行受信し、宛先IPアドレスをスプーフィングしてクライアントに応答してリダイレクトします。

WLCによるTCPインターセプション

問題が解決しない場合は、フローを続行します。

ISEゲストログインポータルへのクライアントログイン

クライアントはISEホスト名を解決できますか。

リダイレクトURLがIPアドレスまたはホスト名を使用するかどうか、クライアントがISEホスト名を解決するかどうかを確認します。

ISEホスト名解決

リダイレクトURLにISEのホスト名が含まれていても、クライアントデバイスがそのホスト名をISEのIPアドレスに解決できない場合、一般的な問題が発生します。ホスト名を使用する場合は、DNS経由で解決できることを確認します。

ログインページがまだロードされないか。

クライアントトラフィックがISE ポリシーサービスノード(PSN)に到達するかどうか、WLC EPCおよびISE TCPdumpを使用して確認します。 WLCとISEでキャプチャを設定して開始します。

WLC EPCおよびISE TCPDump

問題の再現後に、キャプチャを収集してトラフィックを関連付けます。この例では、ISEホスト名が解決された後、クライアントとISE間のポート8443での通信が行われます。

WLCおよびISEトラフィック

証明書が原因でセキュリティ違反が発生する理由

1. ISEで自己署名証明書を使用する場合、クライアントがISEポータルのログインページを表示しようとすると、セキュリティ警告をスローすることが想定されます。

WLC EPCまたはISE TCPdumpで、ISE証明書が信頼できるかどうかを確認できます。

この例では、ISE証明書が不明（信頼されていない）ことを意味するアラート（レベル：致命的、説明：証明書不明）でクライアントから接続が閉じられます

ISEの信頼できない証明書

クライアント側でオンにした場合、次の出力例が表示されます。

ISE証明書を信頼しないクライアントデバイス

リダイレクションは動作してもログインに失敗する場合は、フローの最後の部分を確認します。

クライアントログインおよびCoA

ゲストログインは失敗しますか。

ISEログで認証の失敗を確認します。クレデンシャルが正しいことを確認します。

クレデンシャルが間違っているため、ゲスト認証が失敗する

ログインは成功するが、クライアントがRUN状態に移行しないか。

ISEログで認証の詳細と結果を確認します。

リダイレクトループ

この例では、クライアントは、リダイレクトURLとリダイレクトACLを含む許可プロファイルを再び受信します。その結果、リダイレクトループが発生します。

ポリシーセットを確認します。Guest_Flowを確認するルールは、リダイレクションルールの前に配置する必要があります。

Guest_Flowルール

COAが失敗しているか

EPCとISE TCPDumpを使用すると、CoAトラフィックを確認できます。CoAポート(1700)がWLCとISEの間で開いているかどうかを確認します。共有秘密が一致することを確認します。

CoAトラフィック

バージョン17.6.1以降では、RADIUS（CoAを含む）がこのポートでサポートされています。RADIUSのサービスポートを使用する場合は、次の設定が必要です。

aaa server radius dynamic-author 
 client 10.48.39.28 vrf Mgmt-intf server-key cisco123

interface GigabitEthernet0
 vrf forwarding Mgmt-intf
 ip address x.x.x.x x.x.x.x

!if using aaa group server:
aaa group server radius group-name
 server name nicoISE
 ip vrf forwarding Mgmt-intf
 ip radius source-interface GigabitEthernet0

概要

次に、CWAの要約チェックリストを示します。

• クライアントが正しいVLAN上にあり、IPアドレスとDNSを取得していることを確認します。
• WLCでクライアントの詳細を取得し、パケットキャプチャを実行してDHCP交換を表示します。
• クライアントがDNS経由でホスト名を解決できることを確認します。
• コマンドプロンプトからホスト名に対してpingを実行します。
• WLCはポート80でリッスンしている必要があります。
• グローバルコマンドip http serverまたはグローバルパラメータマップコマンドwebauth-http-enableを確認します。
• 証明書の警告を削除するには、ISEに信頼できる証明書をインストールします。
• CWAのWLCに信頼できる証明書をインストールする必要はありません。
• User がnot foundの場合、Authentication Policy at ISE Advanced option をContinueに設定します。
• スポンサーされたゲストユーザが接続し、URLリダイレクトとACLを取得できるようにします。

トラブルシューティングで使用される主なツール：

• • WLC EPC
  • :内部フィルタ：DHCPプロトコル、MACアドレス。
  • WLCモニタ
  • :クライアントセキュリティの詳細を確認してください。
  • WLC RAトレース
  • :WLC側での詳細情報を伴うデバッグ。
  • ISE ライブログ
  • :認証の詳細。
  • ISEのTCPDump
  • :ISE PSNインターフェイスでパケットキャプチャを収集します。

リソース情報

• Catalyst 9800 WLC および ISE での中央 Web 認証（CWA）の設定 

更新履歴

改定	発行日	コメント
2.0	26-Aug-2026	大規模なオーバーホール、文法、フォーマット
1.0	25-Aug-2023	初版