ローカル認証を使用したローカルWeb認証の設定

はじめに

このドキュメントでは、9800ワイヤレスLANコントローラ(WLC)でローカル認証を使用してローカルWeb認証(LWA)を設定する方法について説明します。

前提条件

9800 WLC設定モデルに関する知識があることが推奨されます。

要件

次の項目に関する知識があることが推奨されます。

• Cisco WLC 9800シリーズ

• Web認証に関する包括的な知識。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• 9800-CL WLC Cisco IOS® XEバージョン17.12.5
• CiscoアクセスポイントC9117AXI

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

ローカルWeb認証(LWA)は、WLCで設定できるワイヤレスローカルエリアネットワーク(WLAN)の認証方法です。ユーザが使用可能なネットワークリストからWLANを選択すると、Webポータルにリダイレクトされます。このポータルでは、設定に応じて、ユーザ名とパスワードの入力、アクセプタブルユースポリシー(AUP)の受け入れ、またはその両方のアクションの組み合わせを求めるプロンプトが表示され、接続が完了します。

ログインプロセス中に表示される4種類のWeb認証ページの詳細については、『ローカルWeb認証の設定』ガイドを参照し、Web認証の種類に使用可能なオプションを確認してください。「認証のタイプ」セクションの「外部認証を使用したローカルWeb認証の設定」ガイドも参照してください。

パラメータマップ

パラメータマップは、Web認証をイネーブルにするWLCの重要な設定要素です。認証タイプ、リダイレクトURL、追加されたパラメータ、タイムアウト、カスタムWebページなど、Web認証プロセスのさまざまな側面を制御する一連の設定で構成されます。特定のSSIDのWebベース認証をアクティブ化および管理するには、このマップをWLANプロファイルにリンクする必要があります。

ワイヤレスLANコントローラ(WLC)にはデフォルトのグローバルパラメータマップが付属していますが、管理者はカスタムパラメータマップを作成して、特定のニーズに応じてWeb認証の動作をカスタマイズすることができます。

認証用のデータベース

ユーザ名とパスワードを使用するようにパラメータマップが設定されている場合は、WLC上にローカルに保存される認証クレデンシャルを定義する必要があります。GUIを使用してゲストユーザアカウントを作成する場合、ゲストアカウントごとに許可される同時ログインの最大数を設定できます。有効な値の範囲は0 ～ 64です。0は、そのゲストユーザに無制限の同時ログインが許可されることを示します。

LWAは主に小規模な導入を目的としています。これは他の認証方式との統合をサポートしています。詳細については、『クライアントでサポートされる認証の組み合わせ』を参照してください。

次の図は、LWAの一般的なトポロジを表しています。

ローカル認証を使用するLWAの一般的なトポロジ

LWAのネットワークトポロジのデバイス：

• クライアント/サプリカント：WLANへの接続要求を開始し、後でDHCPサーバとDNSサーバに対して接続要求を開始し、WLCからの通信に応答します。
• アクセスポイント：スイッチに接続され、ゲストWLANをブロードキャストし、ゲストデバイスにワイヤレス接続を提供します。ゲストユーザが認証を完了する前に、有効なクレデンシャルを入力するか、AUPを受け入れるか、またはその両方のアクションを組み合わせて、DHCPおよびDNSトラフィックを許可します。
• WLC/オーセンティケータ：APとクライアントデバイスを管理します。WLCはリダイレクトURLをホストし、トラフィックを制御するアクセスコントロールリスト(ACL)を適用します。また、パラメータマップの設定時にデフォルトで作成されます。ゲストユーザからのHTTP要求を代行受信し、ユーザの認証が必要なWebポータル（ログインページ）にリダイレクトします。WLCは、ユーザクレデンシャルをキャプチャし、ゲストを認証し、クレデンシャルの有効性を確認するためにローカルデータベースを確認します。
• 認証サーバ：このシナリオでは、WLCは認証サーバとして機能します。ゲストユーザクレデンシャルを検証し、それに応じてネットワークアクセスを許可または拒否します。

設定

CLIでのローカル認証を使用したローカルWeb認証

ローカル認証方式リスト 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#aaa new-model
9800WLC(config)#aaa authentication login LWA_AUTHENTICATION local
9800WLC(config)#aaa authorization network default local
9800WLC(config)#end

パラメータマップ 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#parameter-map type webauth global
9800WLC(config-params-parameter-map)#type webauth
9800WLC(config-params-parameter-map)#virtual-ip ipv4 192.0.2.1
9800WLC(config-params-parameter-map)#trustpoint 
9800WLC(config-params-parameter-map)#webauth-http-enable
9800WLC(config-params-parameter-map)#end

複数のパラメータマップを作成する機能により、カスタマイズされたWebページや各WLANの特定の表示パラメータなど、フローをカスタマイズできます。グローバルパラメータマップは、トラストポイント、つまりリダイレクトポータルでWLCがクライアントに提示する証明書を決定します。さらに、リダイレクトポータルのHTTP/HTTPS、仮想IPアドレスのドメインまたはホスト名解決など、代行受信されるクライアントトラフィックのタイプも制御します。この分離により、グローバルマップは証明書の表示やトラフィックの代行受信などの包括的な設定を処理でき、ユーザ定義のパラメータマップはWLANごとのきめ細かなエクスペリエンスを提供します。 

WLANセキュリティパラメータ 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#wlan LWA_LA 1 "LWA LA"
9800WLC(config-wlan)#no security wpa
9800WLC(config-wlan)#no security wpa wpa2
9800WLC(config-wlan)#no security wpa wpa2 ciphers aes
9800WLC(config-wlan)#no security wpa akm dot1x 
9800WLC(config-wlan)#security web-auth
9800WLC(config-wlan)#security web-auth authentication-list LWA_AUTHENTICATION
9800WLC(config-wlan)#security web-auth parameter-map global
9800WLC(config-wlan)#no shutdown
9800WLC(config-wlan)#end

ポリシープロファイルの作成 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#wireless profile policy 
9800WLC(config-wireless-policy)#vlan 
9800WLC(config-wireless-policy)#no shutdown
9800WLC(config-wireless-policy)#end

ポリシータグの作成 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#wireless tag policy 
9800WLC(config-policy-tag)#wlan LWA_LA policy 
9800WLC(config-policy-tag)# end

APへのポリシータグの割り当て 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#ap >
9800WLC(config-ap-tag)#policy-tag POLICY_TAG
9800WLC(config-ap-tag)#end

ゲストユーザ名の作成 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#user-name johndoe
9800WLC(config-user-name)#description Guest-User
9800WLC(config-user-name)#password 0 Cisco123
9800WLC(config-user-name)#type network-user description  guest-user lifetime year 0 month 11 day 30 hour 23
9800WLC(config-user-name)#end

WebUI経由のローカル認証を使用したローカルWeb認証

ローカル認証方式リスト

Configuration > Security > AAA > AAA Method List > Authentication > Addの順に移動し、後でWLAN設定で使用する方式リストを作成します。 

Apply to Deviceをクリックした後、AAA方式リストの作成を確認します。

ローカル認証方式リストがあることを確認します。これは、作成されたローカルログイン方式リストが機能するための要件です。

設定>セキュリティ> AAA > AAA方式リスト>許可>追加

Apply to Deviceをクリックした後、AAA方式リストの作成を確認します。

パラメータマップ 

Configuration > Security > Web Authでグローバルパラメータマップを編集します。

使用するWeb認証のタイプ、仮想IP(VIP)、およびWLCがWebポータルで提示するトラストポイントを選択します。この場合、自己署名証明書(SSC)が選択されており、ローカルで有効な証明書(LSC)であり、インターネット上の認識可能なCAによって署名されていないため、「あなたの接続はプライベートネットではありません：:ERR_CERT_AUTHORITY_INVALID」という種類の免責事項が発生する可能性があります。これを修正するには、サードパーティの署名付き証明書を使用します。詳細は、「Catalyst 9800 WLCでのCSR証明書の生成とダウンロード」に記載されています。また、アップロードとトラスポイント作成の「Cisco 9800 WLCでのWebAuthとWebAdminの証明書の更新|セキュアワイヤレスLANコントローラの設定」について説明するビデオオプションもあります。

注意:9800でHTTPをグローバルで無効にしている場合は、Web認証用のEnable HTTP serverにチェックマークが付いていることを確認してください。これは、Ciscoによってこれらのプロセスの依存関係が分離されているためです。クライアントまたはサプリカントはHTTP接続プロセスを開始することが期待され、そのセッションはコントローラによってインターセプトされ、Webポータルを提示します。このため、絶対に必要でない限り、Web Auth Intercept HTTPSを有効にすることは推奨されません。この設定はほとんどの導入で不要であり、コントローラのCPU使用率を増加させて、パフォーマンスに影響を与える可能性があるためです。

WLANセキュリティパラメータ 

Configuration > Tags & Profiles > WLANsの順に移動し、Addをクリックします。

Securityタブで、Layer2に対してNoneを選択します。

Securityタブで、Layer3のWeb Policyボックスにチェックマークを入れて、ドロップダウンメニューとAuthentication Listから以前に設定したParameter Mapを選択します。 

ポリシープロファイルの作成 

WLANプロファイルにリンクするポリシープロファイルを作成するには、Configuration > Tags & Profiles > Policyの順に選択します。

Access Policiesタブで、クライアント/サプリカントがIPを要求するVLANを選択します。 

ポリシータグの作成 

この設定ガイドでは、LWAという名前のカスタムポリシータグを作成しました。

WLANとポリシープロファイルの関連付け 

ポリシープロファイルとWLANからスイッチングポリシーをリンクするには、Configuration > Tags & Profiles > WLANsの順に移動し、WLANプロファイルを選択し、Add to Policy Tagsをクリックします。

APへのポリシータグの割り当て 

作成したポリシータグを使用してAPにタグを付けるには、Configuration > Wireless > Access Pointsの順に移動し、APを選択します。Generalタブの右側に、APで使用されるタグがあります。 

ゲストユーザ名の作成 

パラメータマップでwebauthタイプを選択した場合は、Guest User-Nameが必要です。これを作成するには、Configuration > Security > Guest Userの順に選択します。 

ユーザの最大有効期間は1年です。使用可能なオプションを使用して、それ以外のオプションを指定できます。 

確認

GUI 経由 

CLI の場合

9800WLC>enable
9800WLC#show wireless client summary
Number of Clients: 1
MAC Address      AP Name       Type ID State Protocol  Method    Role
-------------------------------------------------------------------------------------------------------------------------
9ef2.4b16.a507   xxxxx-9117 WLAN 1  Run   11ax(2.4) Web Auth  Local 
9800WLC#show wireless client mac-address  detail
Client MAC Address : 9ef2.4b16.a507
Client MAC Type : Locally Administered Address
Client DUID: NA
Client IPv4 Address : 172.16.74.83
Client IPv6 Addresses : fe80::9cf2:4bff:fe16:a507
Client Username : johndoe
AP MAC Address : 0cd0.f897.acc0
AP Name: xxxxx-9117
AP slot : 0
Client State : Associated
Policy Profile : LWA_CentralSW
Flex Profile : N/A
Wireless LAN Id: 1
WLAN Profile Name: LWA_LA
Wireless LAN Network Name (SSID): LWA LA
BSSID : 0cd0.f897.acc0
Connected For : 392 seconds 
Protocol : 802.11ax - 2.4 GHz
Channel : 11
Client IIF-ID : 0xa0000002
Association Id : 1
Authentication Algorithm : Open System
Idle state timeout : N/A
Session Timeout : 28800 sec (Remaining time: 28455 sec)
Session Warning Time : Timer not running
Input Policy Name : None
Input Policy State : None
Input Policy Source : None
Output Policy Name : None
Output Policy State : None
Output Policy Source : None
WMM Support : Enabled
U-APSD Support : Disabled
Fastlane Support : Disabled
Client Active State : Active
Power Save : ON
Current Rate : m0 ss2
Supported Rates : 1.0,2.0,5.5,6.0,9.0,11.0,12.0,18.0,24.0,36.0,48.0,54.0
AAA QoS Rate Limit Parameters:
QoS Average Data Rate Upstream : 0 (kbps)
QoS Realtime Average Data Rate Upstream : 0 (kbps)
QoS Burst Data Rate Upstream : 0 (kbps)
QoS Realtime Burst Data Rate Upstream : 0 (kbps)
QoS Average Data Rate Downstream : 0 (kbps)
QoS Realtime Average Data Rate Downstream : 0 (kbps)
QoS Burst Data Rate Downstream : 0 (kbps)
QoS Realtime Burst Data Rate Downstream : 0 (kbps)
Mobility:
Move Count : 0
Mobility Role : Local
Mobility Roam Type : None
Mobility Complete Timestamp : 09/10/2025 21:41:11 UTC
Client Join Time:
Join Time Of Client : 09/10/2025 21:41:11 UTC
Client State Servers : None
Client ACLs : None
Policy Manager State: Run
Last Policy Manager State : Webauth Pending
Client Entry Create Time : 392 seconds 
Policy Type : N/A
Encryption Cipher : None
Transition Disable Bitmap : 0x00
User Defined (Private) Network : Disabled
User Defined (Private) Network Drop Unicast : Disabled
Encrypted Traffic Analytics : No
Protected Management Frame - 802.11w : No
EAP Type : Not Applicable
VLAN Override after Webauth : No
VLAN : 2667
Multicast VLAN : 0
VRF Name : N/A
WiFi Direct Capabilities:
WiFi Direct Capable : No
Central NAT : DISABLED
Session Manager:
Point of Attachment : capwap_90400005
IIF ID : 0x90400005
Authorized : TRUE
Session timeout : 28800
Common Session ID: 044A10AC0000000F359351E3
Acct Session ID : 0x00000000
Auth Method Status List
Method : Web Auth
Webauth State : Authz 
Webauth Method : Webauth
Local Policies:
Service Template : IP-Adm-V4-LOGOUT-ACL (priority 100)
URL Redirect ACL : IP-Adm-V4-LOGOUT-ACL
Service Template : wlan_svc_LWA_CentralSW_local (priority 254)
VLAN : 2667
Absolute-Timer : 28800
Server Policies:
Resultant Policies:
URL Redirect ACL : IP-Adm-V4-LOGOUT-ACL
VLAN Name : xxxxx
VLAN : 2667
Absolute-Timer : 28800
DNS Snooped IPv4 Addresses : None
DNS Snooped IPv6 Addresses : None
Client Capabilities
CF Pollable : Not implemented
CF Poll Request : Not implemented
Short Preamble : Not implemented
PBCC : Not implemented
Channel Agility : Not implemented
Listen Interval : 0
Fast BSS Transition Details :
Reassociation Timeout : 0
11v BSS Transition : Implemented
11v DMS Capable : No
QoS Map Capable : Yes
FlexConnect Data Switching : N/A
FlexConnect Dhcp Status : N/A
FlexConnect Authentication : N/A
Client Statistics:
Number of Bytes Received from Client : 111696
Number of Bytes Sent to Client : 62671
Number of Packets Received from Client : 529
Number of Packets Sent to Client : 268
Number of Data Retries : 136
Number of RTS Retries : 0
Number of Tx Total Dropped Packets : 1
Number of Duplicate Received Packets : 0
Number of Decrypt Failed Packets : 0
Number of Mic Failured Packets : 0
Number of Mic Missing Packets : 0
Number of Policy Errors : 0
Radio Signal Strength Indicator : -61 dBm
Signal to Noise Ratio : 4 dB
Fabric status : Disabled
Radio Measurement Enabled Capabilities
Capabilities: Link Measurement, Neighbor Report, Repeated Measurements, Passive Beacon Measurement, Active Beacon Measurement, Table Beacon Measurement, RM MIB
Client Scan Report Time : Timer not running
Client Scan Reports 
Assisted Roaming Neighbor List 
Nearby AP Statistics:
EoGRE : Pending Classification
Max Client Protocol Capability: Wi-Fi6 (802.11ax)
WiFi to Cellular Steering : Not implemented
Cellular Capability : N/A
Advanced Scheduling Requests Details:
Apple Specific Requests(ASR) Capabilities/Statistics:
Regular ASR support: DISABLED

FlexConnectローカルスイッチングでのローカルWeb認証

このシナリオでは、APはFlexConnectモードであると想定されます。APをFlexConnectモードにするには、SiteTagに関連付けられたFlex Profileが必要です。Enable Local Siteチェックボックスは無効です。このサイトタグは、default-ap-joinとカスタムフレックスプロファイル名Flex_LWAを使用します。

APへのポリシータグの割り当て 

Configuration > Wireless > Access Pointsの順に移動し、APを選択します。Generalタブの右側に、APで使用されるタグがあります。 

警告：タグを変更すると、APがWLCから切断されます。

WLANに関連付けられているポリシープロファイルはローカルスイッチングです

確認

9800WLC>enable
9800WLC#show wireless client summary
Number of Clients: 1
MAC Address      AP Name        Type ID  State Protocol  Method    Role
-----------------------------------------------------------------------------------------------
9ef2.4b16.a507 xxxxx-9117 WLAN 1 Run 11ax(2.4) Web Auth Local 

9800WLC#show wireless client mac-address  detail 
Client MAC Address :
Client MAC Type : Locally Administered Address
Client DUID: NA
Client IPv4 Address : 172.16.74.83
Client IPv6 Addresses : fe80::9cf2:4bff:fe16:a507
Client Username : johndoe
AP MAC Address : xxxx.xxxx.xcc0
AP Name: xxxxxx-9117
AP slot : 0
Client State : Associated
Policy Profile : LWA_LocalSW
Flex Profile : Flex_LWA
Wireless LAN Id: 1
WLAN Profile Name: LWA_LA
Wireless LAN Network Name (SSID): LWA LA
BSSID : 0cd0.f897.acc0
Connected For : 315 seconds 
Protocol : 802.11ax - 2.4 GHz
Channel : 6
Client IIF-ID : 0xa0000004
Association Id : 1
Authentication Algorithm : Open System
Idle state timeout : N/A
Session Timeout : 28800 sec (Remaining time: 28525 sec)
Session Warning Time : Timer not running
Input Policy Name : None
Input Policy State : None
Input Policy Source : None
Output Policy Name : None
Output Policy State : None
Output Policy Source : None
WMM Support : Enabled
U-APSD Support : Disabled
Fastlane Support : Disabled
Client Active State : Active
Power Save : ON
Current Rate : m11 ss2
Supported Rates : 1.0,2.0,5.5,6.0,9.0,11.0,12.0,18.0,24.0,36.0,48.0,54.0
AAA QoS Rate Limit Parameters:
 QoS Average Data Rate Upstream : 0 (kbps)
QoS Realtime Average Data Rate Upstream : 0 (kbps)
QoS Burst Data Rate Upstream : 0 (kbps)
QoS Realtime Burst Data Rate Upstream : 0 (kbps)
QoS Average Data Rate Downstream : 0 (kbps)
QoS Realtime Average Data Rate Downstream : 0 (kbps)
QoS Burst Data Rate Downstream : 0 (kbps)
QoS Realtime Burst Data Rate Downstream : 0 (kbps)
Mobility:
Move Count : 0
Mobility Role : Local
Mobility Roam Type : None
Mobility Complete Timestamp : 09/11/2025 17:38:26 UTC
Client Join Time:
Join Time Of Client : 09/11/2025 17:38:26 UTC
Client State Servers : None
Client ACLs : None
Policy Manager State: Run
Last Policy Manager State : Webauth Pending
Client Entry Create Time : 315 seconds 
Policy Type : N/A
Encryption Cipher : None
Transition Disable Bitmap : 0x00
User Defined (Private) Network : Disabled
User Defined (Private) Network Drop Unicast : Disabled
Encrypted Traffic Analytics : No
Protected Management Frame - 802.11w : No
EAP Type : Not Applicable
VLAN Override after Webauth : No
VLAN : 2667
Multicast VLAN : 0
VRF Name : N/A
WiFi Direct Capabilities:
WiFi Direct Capable : No
Central NAT : DISABLED
Session Manager:
Point of Attachment : capwap_90400005
IIF ID : 0x90400005
Authorized : TRUE
Session timeout : 28800
Common Session ID: 044A10AC0000002A39DB6F52
Acct Session ID : 0x00000000
Auth Method Status List
Method : Web Auth
Webauth State : Authz 
Webauth Method : Webauth
Local Policies:
Service Template : IP-Adm-V4-LOGOUT-ACL (priority 100)
URL Redirect ACL : IP-Adm-V4-LOGOUT-ACL
Service Template : wlan_svc_LWA_LocalSW (priority 254)
VLAN : 2667
Absolute-Timer : 28800
Server Policies:
Resultant Policies:
URL Redirect ACL : IP-Adm-V4-LOGOUT-ACL
VLAN Name : xxxxx
VLAN : 2667
Absolute-Timer : 28800
DNS Snooped IPv4 Addresses : None
DNS Snooped IPv6 Addresses : None
Client Capabilities
CF Pollable : Not implemented
CF Poll Request : Not implemented
Short Preamble : Not implemented
PBCC : Not implemented
Channel Agility : Not implemented
Listen Interval : 0
Fast BSS Transition Details :
Reassociation Timeout : 0
11v BSS Transition : Implemented
11v DMS Capable : No
QoS Map Capable : Yes
FlexConnect Data Switching : Local
FlexConnect Dhcp Status : Central
FlexConnect Authentication : Central
Client Statistics:
Number of Bytes Received from Client : 295564
Number of Bytes Sent to Client : 90146
Number of Packets Received from Client : 1890
Number of Packets Sent to Client : 351
Number of Data Retries : 96
Number of RTS Retries : 0
Number of Tx Total Dropped Packets : 0
Number of Duplicate Received Packets : 0
Number of Decrypt Failed Packets : 0
Number of Mic Failured Packets : 0
Number of Mic Missing Packets : 0
Number of Policy Errors : 0
Radio Signal Strength Indicator : -34 dBm
Signal to Noise Ratio : 31 dB
Fabric status : Disabled
Radio Measurement Enabled Capabilities
Capabilities: Link Measurement, Neighbor Report, Repeated Measurements, Passive Beacon Measurement, Active Beacon Measurement, Table Beacon Measurement, RM MIB
Client Scan Report Time : Timer not running
Client Scan Reports 
Assisted Roaming Neighbor List 
Nearby AP Statistics:
EoGRE : Pending Classification
Max Client Protocol Capability: Wi-Fi6 (802.11ax)
WiFi to Cellular Steering : Not implemented
Cellular Capability : N/A
Advanced Scheduling Requests Details:
Apple Specific Requests(ASR) Capabilities/Statistics:
Regular ASR support: DISABLED

トラブルシュート

「Web Auth Pending」ステータスは、クライアントがアクセスポイントに関連付けられているものの、まだWeb認証プロセスを完了していないことを示します。この状態の間、コントローラはクライアントのHTTPトラフィックを代行受信し、ユーザログインまたは条件の受け入れのためにWeb認証ポータルにリダイレクトします。クライアントは、Web認証が正常に完了するまでこの状態を維持します。その後、クライアントポリシーマネージャの状態は「Run」に移行し、フルネットワークアクセスが許可されます。

クライアント接続のフローを目視で確認するには、「外部認証を使用したローカルWeb認証の設定」でLWAのフローを確認します。

クライアントの観点からクライアントが受ける段階は、「9800 WLCでのLWAの一般的な問題のトラブルシューティング」で説明されています。

• テクニカル サポートとドキュメント - Cisco Systems