• Wireless Setup は、Cisco ISE の新規インストール後はデフォルトで無効になっています。Wireless Setup は、ISE CLI から application configure ise コマンド（オプション 17 を選択）を使用するか、または ISE GUI の [ホーム（Home）] ページで [ワイヤレスのセットアップ（Wireless Setup）] オプションを使用して有効にすることができます。

• ISE を以前のバージョンからアップグレードした場合、Wireless Setup は機能しません。Wireless Setup は、新規の ISE インストールでのみサポートされています。

• Wireless Setup は、スタンドアロン ノードでのみ機能します。

• Wireless Setup インスタンスは一度に 1 つだけ実行してください。また、Wireless Setup を実行できるユーザは一度に 1 人だけです。

• Wireless Setup を使用するには、ポート 9103 と 9104 が開いている必要があります。これらのポートを閉じるには、CLI を使用して Wireless Setup を無効にします。

• 一部のフローの実行後に Wireless Setup の新規インストールを開始する場合には、CLI コマンド application reset-config ise を使用できます。このコマンドは ISE 設定をリセットして ISE データベースをクリアしますが、ネットワーク定義を維持します。したがって、ISE と Wireless Setup をリセットするときに、ISE を再インストールしてセットアップを実行する必要はありません。

  Wireless Setup を再び使用開始するには、次の手順に従って ISE と Wireless Setup の両方の設定をリセットできます。

  • CLI で application reset-config を実行し、ISE 設定をすべてリセットします。新規インストールで Wireless Setup をテストしていた場合、このコマンドを実行すると、ISE で Wireless Setup によって行われた設定が削除されます。

  • CLI で application configure ise を実行し、[18]Reset Config Wi-Fi Setup を選択します。これにより、Wireless Setup 設定データベースの内容が消去されます。

  • WLC で、Wireless Setup により WLC に追加された設定を削除します。WLC での Wireless Setup の設定内容については、「Wireless Setup による ISE と WLC の変更」を参照してください。

  ISE の新規インストール完了後に VM のスナップショットを取得しておくと、この手順を行わずに済みます。

  CLI の詳細については、お使いの ISE バージョンの『Cisco Identity Services Engine CLI Reference Guide』を参照してください。

• Wireless Setup を使用するには、ISE スーパー管理者ユーザである必要があります。

• Wireless Setup を使用するには、少なくとも 2 つの CPU コアと 8GB のメモリが必要です。

• Active Directory グループとユーザだけがサポートされています。Wireless Configuration で 1 つ以上のフローを作成すると、Wireless Setup でその他のタイプのユーザ、グループ、認証を使用できますが、これらを ISE で設定する必要があります。

• ISE で Active Directory をすでに定義しており、この AD を Wireless Setup に使用する予定の場合は、次の要件を満たしている必要があります。

  • 参加名とドメイン名が同一である必要があります。これらの名前が同一でない場合は、Wireless Setup でその AD を使用する前に、ISE で名前を同一にしてください。

  • ISE で WLC がすでに設定されている場合、その WLC には共有秘密が設定されている必要があります。WLC 定義に共有秘密がない場合は、Wireless Setup でその WLC を設定する前に、共有秘密を追加するか、または ISE から WLC を削除してください。

• Wireless Setup では ISE コンポーネントを設定できますが、フローの開始後に ISE コンポーネントを削除または変更することはできません。ISE の Wireless Setup で設定するすべての項目のリストについては、お使いの ISE バージョンの『Cisco Identity Services Engine CLI Reference Guide』を参照してください。

• 開始したフローは完了する必要があります。フローでトピック パスをクリックすると、フローが停止します。フローをステップに従って進むと、ISE 設定が動的に変更されます。Wireless Setup では設定変更のリストが表示されるので、手動で変更を元に戻すことができます。1 つの例外を除いて、フローで前に戻って追加の変更を行うことはできません。例外として、ゲスト ポータルまたは BYOD ポータルのカスタマイズ内容を変更する場合には戻ることができます。

• 複数の WLC と Active Directory ドメインがサポートされていますが、各フローでは 1 つの WLC と 1 つの Active Directory だけがサポートされています。

• Wireless Setup が動作するためには、ISE Basic ライセンスが必要です。BYOD には Plus ライセンスが必要です。

• Wireless Setup の設定前に ISE リソースを設定している場合、Wireless Setup が既存のポリシーと矛盾することがあります。この状況では、Wireless Setup から、ツールの実行後に認証ポリシーをレビューするよう指示されます。Wireless Setup の実行時には、正常にセットアップされた ISE を使用して開始することが推奨されます。Wireless Setup と ISE の混合設定のサポートは限定されています。

• Wireless Setup は英語でのみ提供されており、他の言語では提供されていません。ポータルで他の言語を使用する場合には、Wireless Setup の実行後に ISE でその言語を設定してください。

• BYOD ではデュアル SSID がサポートされています。この設定で使用されるオープン SSID では、競合のためゲスト アクセスはサポートされません。ゲストと BYOD の両方に対応したポータルが必要な場合、Wireless Setup は使用できません。これについてはこのマニュアルでは説明しません。

• 電子メール通知と SMS 通知

  • アカウント登録ゲストの場合、SMS 通知と電子メール通知がサポートされています。これらの通知は、ポータル カスタマイズ通知セクションで設定します。SMS 通知と電子メール通知をサポートするように SMTP サーバを設定する必要があります。ISE に組み込まれているセルラー プロバイダー（AT&T、T Mobile、Sprint、Orange、Verizon など）は、事前に設定されている無料の電子メール/SMS ゲートウェイです。

  • ゲストはポータルで各自のセルラー プロバイダーを選択します。プロバイダーがリストにない場合は、メッセージを受信できません。グローバル プロバイダーも設定できますが、これについてはこのマニュアルでは説明しません。ゲスト ポータルで SMS 通知と電子メール通知が設定されている場合、ゲストは両方のサービスの値を入力する必要があります。

  • Sponsored Guest フローでは、Wireless Setup での SMS 通知または電子メール通知の設定は行いません。このフローについては、ISE で通知サービスを設定する必要があります。

  • ポータルで通知を設定するときには、SMS プロバイダー Global Default を選択しないでください。（デフォルトでは）このプロバイダーは設定されていません。

• Wireless Setup では、HA を使用しないスタンドアロン セットアップだけがサポートされています。認証のために追加の PSN を使用する場合は、それらの PSN の ISE IP アドレスを WLC の RADIUS 設定に追加してください。

Wireless Setup での Apple ミニブラウザ（Captive Network Assistant）のサポート

• ゲスト フロー：Apple 擬似ブラウザの自動ポップアップは、すべてのゲスト フローで機能します。ゲストは Apple の Captive Network Assistant ブラウザを使用してフローを通過することができます。Apple ユーザが OPEN ネットワークに接続すると、ミニブラウザが自動的に表示されます。これにより、ユーザは AUP（ホットスポット）を受け入れるか、または各自のクレデンシャルを使用してアカウント登録またはログインを実行できます。

• BYOD

  • シングル SSID：ISE 2.2 では Apple ミニブラウザのサポートが追加されました。ただし Apple デバイスで SSID フローの問題が発生する可能性を抑えるため、リダイレクション ACL に captive.apple.com を追加してミニブラウザが表示されないようにしました。これにより、Apple デバイスはインターネットにアクセスできると想定します。ユーザは、Web 認証またはデバイス オンボーディングのためにポータルにリダイレクトされるように、Safari を手動で起動する必要があります。

  • デュアル SSID：ゲスト アクセスを開始するか、または従業員がデバイス オンボーディング（BYOD）を実行できるようにするために、最初の OPEN ネットワーク WLAN で開始し、セキュア SSID にリダイレクトされるデュアル SSID フローの場合にも、ミニブラウザが表示されなくなります。

Apple CAN ミニブラウザの詳細については、https://communities.cisco.com/docs/DOC-71122 を参照してください。

ワイヤレス設定の例

次に示す WLC ログの一部分には、フローの設定時に Wireless Setup により行われる設定の例が示されています。

"config radius auth add 1 192.168.201.228 1812 ascii cisco"
"config radius auth disable 1"
"config radius auth rfc3576 enable 1"
"config radius auth management 1 disable"
"config radius auth enable 1"
"config radius acct add 1 192.168.201.228 1813 ascii cisco"
"config radius acct enable 1"
"config acl create ACL_WEBAUTH_REDIRECT"
"config acl rule add ACL_WEBAUTH_REDIRECT 1"
"config acl rule action ACL_WEBAUTH_REDIRECT 1 permit"
"config acl rule source port range ACL_WEBAUTH_REDIRECT 1 53 53"
"config acl rule protocol ACL_WEBAUTH_REDIRECT 1 17"
"config acl rule add ACL_WEBAUTH_REDIRECT 1"
"config acl rule action ACL_WEBAUTH_REDIRECT 1 permit"
"config acl rule destination port range ACL_WEBAUTH_REDIRECT 1 53 53"
"config acl rule protocol ACL_WEBAUTH_REDIRECT 1 17"
"config acl rule add ACL_WEBAUTH_REDIRECT 1"
"config acl rule action ACL_WEBAUTH_REDIRECT 1 permit"
"config acl rule source address ACL_WEBAUTH_REDIRECT 1 192.168.201.228 255.255.255.255"
"config acl rule add ACL_WEBAUTH_REDIRECT 1"
"config acl rule action ACL_WEBAUTH_REDIRECT 1 permit"
"config acl rule destination address ACL_WEBAUTH_REDIRECT 1 192.168.201.228 255.255.255.255"
"config acl apply ACL_WEBAUTH_REDIRECT"
"show flexconnect acl summary"
"config flexconnect acl create ACL_WEBAUTH_REDIRECT"
"config flexconnect acl rule add ACL_WEBAUTH_REDIRECT 1"
"config flexconnect acl rule action ACL_WEBAUTH_REDIRECT 1 permit"
"config flexconnect acl rule source port range ACL_WEBAUTH_REDIRECT 1 53 53"
"config flexconnect acl rule protocol ACL_WEBAUTH_REDIRECT 1 17"
"config flexconnect acl rule add ACL_WEBAUTH_REDIRECT 1"
"config flexconnect acl rule action ACL_WEBAUTH_REDIRECT 1 permit"
"config flexconnect acl rule destination port range ACL_WEBAUTH_REDIRECT 1 53 53"
"config flexconnect acl rule protocol ACL_WEBAUTH_REDIRECT 1 17"
"config flexconnect acl rule add ACL_WEBAUTH_REDIRECT 1"
"config flexconnect acl rule action ACL_WEBAUTH_REDIRECT 1 permit"
"config flexconnect acl rule source address ACL_WEBAUTH_REDIRECT 1 192.168.201.228 255.255.255.255"
"config flexconnect acl rule add ACL_WEBAUTH_REDIRECT 1"
"config flexconnect acl rule action ACL_WEBAUTH_REDIRECT 1 permit"
"config flexconnect acl rule destination address ACL_WEBAUTH_REDIRECT 1 192.168.201.228 255.255.255.255"
"config flexconnect acl apply ACL_WEBAUTH_REDIRECT"

企業の訪問者が企業のネットワークを使用してインターネットまたはネットワーク上のリソースおよびサービスにアクセスしようとしている場合、ゲスト ポータルを使用してネットワーク アクセスを提供することができます。設定すると、従業員はゲスト ポータルを使用して会社のネットワークにアクセスできます。

3 つのデフォルトのゲスト ポータルがあります。

• ホットスポット ゲスト ポータル：ネットワーク アクセスはクレデンシャルを必要とせずに許可されます。通常、ネットワーク アクセスを許可する前にユーザ ポリシーの認可（AUP）が承認される必要があります。

• Sponsored-Guest ポータル：ゲストのアカウントを作成したスポンサーによりネットワーク アクセスが許可され、ゲストにログイン クレデンシャルが提供されます。

• アカウント登録ゲスト ポータル：ゲストは各自のアカウント クレデンシャルを作成できます。ネットワーク アクセスが付与される前に、スポンサー承認が必要となることがあります。

Cisco ISE は、事前に定義されたデフォルト ポータルなど、複数のゲスト ポータルをホストすることができます。

デフォルトのポータル テーマには、管理者ポータルからカスタマイズできる標準のシスコ ブランドが適用されています。

Wireless Setup には独自のデフォルト テーマ（CSS）があります。ロゴ、バナー、背景画像、色、フォントなどの基本的な設定の一部を変更できます。ISE では、他の設定を変更することでポータルをさらにカスタマイズでき、高度なカスタマイズを行うこともできます。

ゲスト ポータル ワークフロー

1. ポータルのタイプを選択すると、使用するコントローラを選択するよう求められます。フローごとに新しいワイヤレス ネットワークを設定します。Wireless Setup でまだ使用していない既存の WLAN を選択するか、または新しい WLAN を作成することができます。

   リダイレクトが必要なフローには、元の URL、正常完了ページ、または特定の URL（例：www.cisco.com）にユーザをリダイレクトするオプションがあります。元の URL を使用する場合は、WLC からのサポートが必要です。

   （注）	WLC バージョン 8.4 のリリースまでは、元の URL はサポートされていません。

2. ポータルの外観をカスタマイズし、基本設定を変更します。

3. カスタマイズが完了したら、テスト ポータルへの URL リンクをたどります。テスト ポータルに、ポータルのテスト バージョンのプレビューが表示されます。フローを通過し、必要に応じてさらに変更を行うことができます。プレビュー ポータルで機能する正常完了時のリダイレクトは、[成功（Success）] ページへのリダイレクトだけです。元の URL とスタティック URL は、リダイレクトをサポートするためにワイヤレス セッションが必要であるため、機能しません。

4. 設定が完了しました。ワークフローにおいて Wireless Setup により ISE と WLC で実行されたステップをダウンロードして確認できます。

（注）	Wireless Setup では基本ゲスト アクセスにはロケーションは使用されません。ローカル時刻に基づいてアクセスを制御する場合に、ロケーションが必要となります。ISE でタイム ゾーンを設定する方法の詳細については、 SMS プロバイダーおよびサービス。

Wireless Setup での BYOD フロー

Wireless Setup での BYOD 設定は次のステップで構成されます。

1. ワイヤレス LAN コントローラの選択または登録

2. ワイヤレス ネットワークの追加：デュアル SSID の場合、この手順が 2 回実行されます。

   （注）	新しい ISE インストールには、デフォルトのワイヤレス ネットワークが含まれます。デュアル SSID BYOD では、ユーザが 2 番目の SSID にリダイレクトされると、ユーザのネットワーク プロファイルにデフォルトのネットワーク SSID が示されます。デフォルト SSID を削除するか、またはユーザにこの SSID を無視するように通知できます。

3. Active Directory（AD）の選択または AD への参加：オンボーディング VLAN と最終アクセス VLAN の両方のデフォルト VLAN 設定を上書きできます。最終アクセス VLAN は Active Directory グループにマッピングされます。

4. BYOD ポータルのカスタマイズ：BOYD ポータルとデバイス ポータルをここでカスタマイズできます。このステップでは、ISE がサポートするすべてのページをカスタマイズできます。このステップでは、すべてのポータル カスタマイズ内容が送信され、ポリシーが作成され、プロファイルが関連するポリシーにリンクされます。

   （注）	デバイス ポータルでは、BYOD ポータルのカスタマイズの基本カスタマイズが使用されます。Wireless Setup ではデバイス ポータルをカスタマイズできません。

5. 行った設定変更をプレビューして [完了（Done）] を選択します。

デュアル SSID BYOD の場合

デュアル SSID BYOD をサポートするには、Fast SSID が有効になっている必要があります。ワイヤレス コントローラで Fast SSID Change が有効になっている場合、クライアントは SSID 間を高速で移動できます。高速 SSID が有効になっている場合、クライアント エントリがクリアされず、遅延は適用されません。Cisco WLC での高速 SSID の設定に関する詳細については、『Cisco Wireless Controller Configuration Guide』を参照してください。

推奨される WLC タイマー設定

config radius auth retransmit-timeout {SERVER_INDEX} 5
config radius aggressive-failover disable
config radius fallback-test mode passive
config wlan exclusionlist {WLAN ID} 180
config wlan exclusionlist {WLAN ID} enabled

従業員がネットワークに接続する

1. 従業員のクレデンシャルが認証される：Cisco ISE は、社内 Active Directory と照合して従業員を認証し、許可ポリシーを提供します。

2. デバイスが BYOD ポータルにリダイレクトされる：デバイスが BYOD ポータルにリダイレクトされます。デバイスの [MACアドレス（MAC address）] フィールドが入力され、ユーザはデバイス名と説明を追加できます。

3. ネイティブ サプリカントが設定される（MacOS、Windows、iOS、Android）：ネイティブ サプリカントが設定されます。ただしこのプロセスはデバイスに応じて異なります。

   • MacOS および Windows デバイス：従業員は BYOD ポータルで [登録（Register）] をクリックして、サプリカント プロビジョニング ウィザードをダウンロードしてインストールします。このウィザードは、サプリカントを設定し、EAP-TLS 証明書ベースの認証用の証明書をインストールします。デバイスの MAC アドレスと従業員のユーザ名が発行済み証明書に組み込まれます。

     （注）	MacOS の場合、Apple 証明書を除き、証明書は Mac に [未署名（unsigned）] と表示されます。これは BYOD フローには影響しません。

   • iOS デバイス：Cisco ISE ポリシー サーバは Apple の iOS ワイヤレス機能を使用して新しいプロファイルを IOS デバイスに送信します。このプロファイルには次の情報が含まれます。

     • 発行された証明書が、IOS デバイスの MAC アドレスおよび従業員のユーザ名と共に保存されます。

     • 802.1X 認証の MSCHAPv2 または EAP-TLS の使用を強制できる Wi-Fi サプリカント プロファイル。

   • Android デバイス：Cisco ISE は、従業員に Google Play ストアから Cisco Network Setup Assistant（NSA）をダウンロードするように要求し、ルーティングします。アプリのインストール後に、従業員は NSA を開いてセットアップ ウィザードを開始できます。スタートアップ ウィザードでは、サプリカントの設定と、デバイスの設定に使用される発行済み証明書が生成されます。

   • 認可変更が発行される：ユーザがオンボーディング フローを通過すると、Cisco ISE は認可変更（CoA）を開始します。これにより、MacOS X、Windows、および Android デバイスは EAP-TLS を使用してセキュアな 802.1X ネットワークに再接続します。シングル SSID の場合、iOS デバイスも自動的に接続されますが、デュアル SSID の場合、ウィザードは iOS ユーザに手動で新しいネットワークに接続するように要求します。

ネイティブ サプリカントは、次のオペレーティング システムでサポートされます。

• Android（Amazon Kindle、B&N Nook を除く）

• Mac OS X（Apple Mac コンピュータの場合）

• Apple iOS デバイス（Apple iPod、iPhone、および iPad）

• Microsoft Windows 7、8（RT を除く）、Vista、および 10