CMXコネクテッドエクスペリエンス – ソーシャル、SMS、およびカスタムポータル登録の設定例
概要
このドキュメントの目的は、Connected Mobile eXperience(CMX)のゲストポータル設定を介してクライアント登録を行うことをネットワーク管理者に促すことです。
CMXを使用すると、ユーザはソーシャル登録ログイン、SMS、およびカスタムポータルを使用してネットワークに登録および認証できます。このドキュメントでは、ワイヤレスLANコントローラ(WLC)とCMXの設定手順の概要を示します。
前提条件
要件
CMXは基本設定で正しく設定されている必要があります。
Prime Infrastructureからマップをエクスポートすることはオプションです。
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- Cisco Wireless Controllerバージョン8.2.166.0、8.5.110.0、および8.5.135.0。
- Cisco Connected Mobile Experiencesバージョン10.3.0-62、10.3.1-35。10.4.1-22
設定
ネットワーク図
このドキュメントでは、CMXを使用してユーザ/クライアントをワイヤレスネットワークに認証する2つの異なる方法について説明します。
まず、ソーシャルネットワークアカウントを使用した認証の設定について説明し、次にSMSを使用した認証について説明します。
両方のシナリオで、クライアントはCMXによる認証を使用してSSIDへの登録を試みます。
WLCはHTTPトラフィックをCMXにリダイレクトします。ここで、ユーザは認証を求められます。CMXには、ソーシャルアカウントとSMSの両方を通じて、クライアントの登録に使用するポータルのセットアップが含まれています。
次に、登録プロセスのフローについて説明します。
- クライアントはSSIDへの参加を試み、ブラウザを開きます。
- 要求されたサイトにアクセスする代わりに、WLCによってゲストポータルにリダイレクトされます。
- クライアントは自分のクレデンシャルを提供し、認証を試みます。
- CMXは認証プロセスを扱います。
- 成功すると、完全なインターネットアクセスがクライアントに提供されます。
- クライアントは最初に要求されたサイトにリダイレクトされます。
使用されるトポロジは次のとおりです。
設定
SMSによる認証
Cisco CMXは、SMSを介したクライアント認証を可能にします。この方法では、ユーザーがシステムに資格情報を提供できるようにHTMLページを設定する必要があります。既定のテンプレートはCMXによってネイティブに提供され、後で編集またはカスタムのテンプレートに置き換えることができます。
テキストメッセージサービスは、CMXとTwilioを統合して行われます。Twilioは、テキストメッセージの送受信を可能にするクラウドコミュニケーションプラットフォームです。Twilioでは、ポータルごとに電話番号を設定できます。つまり、複数のポータルを使用する場合は、ポータルごとに1つの電話番号が必要になります。
A. WLC の設定
WLC側では、SSIDとACLの両方が設定されます。APはコントローラに加入し、RUN状態である必要があります。
- ACL
WLCで設定されたHTTPトラフィックを許可するACLが必要です。ACLを設定するには、[Security] > [Access Control Lists] > [Add New Rule]の順に選択します。
使用されるIPは、CMX用に設定されたIPです。これにより、WLCとCMX間のHTTPトラフィックが許可されます。次の図は、作成されたACLを示しています。「10.48.39.100」はCMX IPアドレスを表します。
2. WLAN
ポータルとの統合が完了したら、WLANのセキュリティポリシーを変更する必要があります。
まず、[WLANs] -> [Edit] -> [Layer 2] -> [Layer 2 Security]に移動し、ドロップダウンで[None]を選択します。したがって、レイヤ2セキュリティは無効になります。次に、同じ[Security]タブで[Layer 3]に変更します。[Layer 3 Security]ドロップダウンメニューで、[Web Policy]、[Passthrough]の順に選択します。事前認証ACLで、前に設定したIPv4 ACLを選択し、SMS認証を提供する必要がある各WLANにバインドします。[Over-ride Global Config]オプションを有効にし、[Web Auth type]を[External (Re-direct to external server)]に設定して、クライアントをCMXサービスにリダイレクトできるようにする必要があります。URLは、CMX SMS認証ポータルと同じ形式にする必要があります。形式はhttp://<CMX-IP>/visitor/loginです。
バリー・トゥィリオ
CMXはテキストメッセージサービスのTwilio統合を提供します。クレデンシャルは、Twilioのアカウントが正しく設定された後で提供されます。アカウントSIDと認証トークンの両方が必要です。
Twilioには独自の設定要件があり、サービスの設定プロセスで文書化されています。CMXと統合する前に、Twilioサービスをテストできます。Twilioのセットアップに関連する重大な問題は、CMXで使用する前に検出できます。
C. CMXの設定
コントローラをCMXに正しく追加し、マップをPrime Infrastructureからエクスポートする必要があります。
- SMS登録ページ
登録ポータルにはデフォルトテンプレートがあります。ポータルは、[CONNECT&ENGAGE] -> [Library]を選択できます。テンプレートが必要な場合は、ドロップダウンメニューから[テンプレート(Templates)]を選択します。
Twilioをポータルと統合するには、[Twilio Configuration]に移動し、アカウントIDと認証トークンを入力します。統合が成功すると、Twilioアカウントで使用されている番号がポップアップ表示されます。
ソーシャルネットワークアカウントによる認証
ソーシャルネットワークアカウントを使用してクライアントを認証するには、ネットワーク管理者がCMXに有効なFacebook APP IDを追加する必要があります。
A. WLCの設定
WLC側では、SSIDとACLの両方が設定されます。APはコントローラに加入し、RUN状態である必要があります。
1. ACL
ここでHTTPSを認証方式として使用しているため、HTTPSトラフィックを許可するACLをWLCで設定する必要があります。ACLを設定するには、[Security] > [Access Control Lists] > [Add New Rule]の順に選択します。
CMX IPは、WLCとCMX間のHTTPSトラフィックを許可するために使用する必要があります(この例では、CMX ipは10.48.39.100です)。
また、Facebook URLを含むDNS ACLも必要です。これを行うには、[Security] -> [Access Control Lists]で、以前に設定したACL（この場合はCMX_Auth）のエントリを検索し、エントリの最後にある青い矢印にマウスを移動して、[Add-Remove URL]を選択します。その後、[URL String Name]と[Add]にFacebookのURLを入力します。
2. WLAN
登録のセキュリティポリシーが変更されると、WLAN上で特定の設定を行う必要があります。
SMSの登録に関して以前に行ったように、最初に[WLANs] -> [Edit] -> [Layer 2] -> [Layer 2 Security]に移動し、ドロップダウンで[None]を選択したため、レイヤ2セキュリティは無効になります。同じ[Security]タブで、[Layer 3]に変更します。[Layer 3 Security]ドロップダウンメニューで、[Web Policy]、[Passthrough]の順に選択します。事前認証ACLで、前に設定したIPv4 ACLを選択し、Facebook経由の認証を提供する必要がある各WLANにバインドします。[Over-ride Global Config]オプションを有効にし、[Web Auth type]を[External (Re-direct to external server)]に設定して、クライアントをCMXサービスにリダイレクトできるようにする必要があります。この場合、URLはhttps://<CMX-IP>/visitor/loginの形式である必要があります。
B. Facebook for Developers
FacebookとCMXの統合では、2つのパーツ間で適切なトークンを交換するためにFacebookアプリが必要です。
アプリを作成するには、Facebook for Developersに移動します。サービスを統合するためのアプリケーションの設定要件がいくつかあります。
[App Settings]で、[Client OAuth Login]と[Web OAuth Login]が有効になっていることを確認します。また、有効なOAuthリダイレクトURIがhttps:/<CMX-IP>/visitor/login形式のCMX URLであることを確認します。
アプリを公開し、CMXと統合できるようにするためには、公開する必要があります。そのためには、App Review->Make <App-Name> public?状態を[Yes]に変更します。
C. CMXの設定
コントローラをCMXに正しく追加し、マップをPrime Infrastructureからエクスポートする必要があります。
- 登録ページ
CMXで登録ページを作成するには、SMS登録ページのページを作成する手順と同じものを実行する必要があります。CONNECT&ENGAGE->ライブラリを選択すると、ドロップダウンメニューから[テンプレート]を選択して編集できます。
Facebook資格情報を使用して登録するには、ポータルでソーシャルアカウントに接続する必要があります。これを最初から行うには、カスタムポータルを作成するときに、[CONTENT] -> [Common Elements] -> [Social Auth]に移動し、[Facebook]を選択します。次に、Facebookから取得したアプリ名とアプリID（キー）を挿入します。
カスタムポータルによる認証
カスタムポータルを使用したクライアントの認証は、外部Web認証の設定に似ています。リダイレクトは、CMXでホストされるカスタマイズされたポータルに対して実行されます。
A. WLCの設定
WLC側では、SSIDとACLの両方が設定されます。APはコントローラに加入し、RUN状態である必要があります。
1. ACL
ここでHTTPSを認証方式として使用しているため、HTTPSトラフィックを許可するACLをWLCで設定する必要があります。ACLを設定するには、[Security] > [Access Control Lists] > [Add New Rule]に移動します。
CMX IPは、WLCとCMXの間のHTTPSトラフィックを許可するために使用する必要があります(この例では、CMX IPは10.48.71.122です)。
2. WLAN
登録のセキュリティポリシーが変更されると、WLAN上で特定の設定を行う必要があります。
SMSとソーシャルネットワークの登録に関して以前に行ったように、最初に[WLANs] -> [Edit] -> [Layer 2] -> [Layer 2 Security]に移動し、ドロップダウンで[None]を選択すると、レイヤ2セキュリティは無効になります。同じ[Security]タブで、[Layer 3]に変更します。[Layer 3 Security]ドロップダウンメニューで、[Web Policy]、[Passthrough]の順に選択します。事前認証ACLで、前に設定したIPv4 ACL（この例ではCMX_HTTPSという名前）を選択し、対応するWLANにバインドします。[Over-ride Global Config]オプションを有効にし、[Web Auth type]を[External (Re-direct to external server)]に設定して、クライアントをCMXサービスにリダイレクトできるようにする必要があります。この場合、URLはhttps://<CMX-IP>/visitor/loginの形式である必要があります。
C. CMXの設定
コントローラをCMXに正しく追加し、マップをPrime Infrastructureからエクスポートする必要があります。
- 登録ページ
CMXで登録ページを作成するには、他の認証方法のページを作成した手順と同じです。[CONNECT&ENGAGE->ライブラリ]を選択すると、編集できるテンプレートポータルがドロップダウンメニューから[テンプレート]を選択できます。
通常の登録のためのポータルは、最初から行うか（[カスタム]を選択）、またはCMXライブラリで利用可能な[登録フォーム]テンプレートから適用できます。
確認
WLC
ユーザがシステムで正常に認証されたかどうかを確認するには、WLC GUIで[MONITOR] -> [Clients]に移動し、リストでクライアントのMACアドレスを検索します。
クライアントのMACアドレスをクリックし、詳細で、クライアントのポリシーマネージャの状態がRUN状態であることを確認します。
CMX
[CONNECT&ENGAGE]タブを開くと、CMXで認証されているユーザ数を確認できます。
ユーザの詳細を確認するには、同じタブで右上の[Visitor Search]をクリックします。
トラブルシュート
要素間のインタラクションのフローを確認するには、WLCで実行できるデバッグがあります。
>debug client<MAC addr1> <MAC addr2>（1つ以上のクライアントのMACアドレスを入力します）
>debug web-auth redirect enable mac <MAC addr>（Web-authクライアントのMACアドレスを入力します）
>debug web-auth webportal-server enable
>debug aaa all enable
このデバッグによりトラブルシューティングが可能になり、必要に応じて、一部のパケットキャプチャを補完するために使用できます。
フィードバック