Cisco ISE のエンドユーザ Web ポータルは、管理ペルソナ、ポリシー サービス ペルソナ、およびモニタリング ペルソナに基づき、設定、セッション サポート、およびレポート作成を提供します。

• 管理ノード：ユーザ、デバイス、およびエンドユーザ ポータルが管理ノードに書き込まれる構成の変更。

• ポリシー サービス ノード：エンドユーザ ポータルはポリシー サービス ノードで実行する必要があります。ここでは、ネットワーク アクセス、クライアント プロビジョニング、ゲスト サービス、ポスチャ、およびプロファイリングを含むすべてのセッション トラフィックが処理されます。ポリシー サービス ノードがノード グループに含まれる場合、1 つのノードで障害が発生すると、他のノードが障害を検出し、保留中のセッションをリセットします。

• モニタリング ノード：モニタリング ノードは、デバイス ポータル、スポンサー ポータル、およびゲスト ポータルでのエンドユーザおよびデバイスのアクティビティについて、データを収集、集約、およびレポートします。プライマリ モニタリング ノードで障害が発生した場合は、セカンダリ モニタリング ノードが自動的にプライマリ モニタリング ノードになります。

各ゲスト アカウントをゲスト タイプに関連付ける必要があります。ゲスト タイプを使用して、スポンサーは、ゲスト アカウントに対して、さまざまなレベルのアクセス権や、さまざまなネットワーク接続時間を割り当てることができます。これらのゲスト タイプは、特定のネットワーク アクセス ポリシーに関連付けられます。Cisco ISE には、次のデフォルト ゲスト タイプが含まれます。

• 担当者：長い期間（最大 1 年）、ネットワークへのアクセスを必要とするユーザ。

• 日次：1 ～ 5 日間の短期間に、ネットワーク リソースへのアクセスを必要とするゲスト。

• 週次：2 ～ 3 週間の間、ネットワークへのアクセスを必要とするユーザ。

ゲスト アカウントを作成する場合、特定のスポンサー グループを特定のゲスト タイプを使用するように制限することができます。このようなグループのメンバーは、そのゲスト タイプに指定された機能のみを持つゲストを作成できます。たとえば、スポンサー グループ ALL_ACCOUNTS は担当者ゲスト タイプのみを使用するように設定でき、スポンサー グループ OWN_ACCOUNTS および GROUP_ACCOUNTS は日次または週次ゲスト タイプを使用するに設定できます。また、通常、アカウント登録ゲストポータルを使用するアカウント登録ゲストは、1 日のみのアクセスを必要とするため、これらのゲストには日次ゲスト タイプを割り当てることができます。

ゲスト タイプは、ゲストのユーザ ID グループを定義します。

詳細については、以下を参照してください。

• ユーザ ID グループ

• ユーザ ID グループの作成

SMS サービスは、クレデンシャルを持つゲスト ポータルを使用しているゲストに SMS 通知を送信します。SMS メッセージを送信する予定がある場合は、このサービスを有効にします。。可能な限り、会社の経費を削減するために、無料の SMS サービス プロバイダーを設定および提供します。

Cisco ISE は、加入者に無料の SMS サービスを提供するさまざまなセルラー サービス プロバイダーをサポートします。Cisco ISE でサービス契約とアカウント クレデンシャルを設定せずに、これらのプロバイダーを使用できます。セルラー サービス プロバイダーには、ATT、Orange、Sprint、T-Mobile、Verizon などがあります。

また、無料の SMS サービスを提供するその他のセルラー サービス プロバイダー、または Click-A-Tell などのグローバル SMS サービス プロバイダーも追加できます。デフォルトのグローバル SMS サービス プロバイダーには、サービス契約が必要です。また、Cisco ISE のアカウント クレデンシャルを設定する必要があります。

• アカウント登録ゲストがアカウント登録フォームで無料 SMS サービス プロバイダーを選択すると、SMS 通知がログイン クレデンシャルとともに無料で送信されます。SMS サービス プロバイダーを選択しない場合は、会社が契約したデフォルトのグローバル SMS サービス プロバイダーが SMS 通知を送信します。

• 自分が作成したゲスト アカウントに対してスポンサーが SMS 通知を送信できるようにする場合は、スポンサー ポータルをカスタマイズして、使用できる適切な SMS サービス プロバイダーをすべて選択します。スポンサー ポータル用の SMS サービス プロバイダーを選択しない場合は、会社が契約したデフォルトのグローバル SMS サービス プロバイダーが SMS サービスを提供します。

SMS プロバイダーは、ISE の SMS ゲートウェイとして設定されます。ISE からの電子メールは SMS ゲートウェイにより SMS に変換されます。SMS ゲートウェイはプロキシ サーバの背後に配置できます。

ゲストは、ゲスト ポータルにユーザ名とパスワードを入力する代わりに、アカウント登録ゲストでクレデンシャルを提供する方法としてソーシャル メディア プロバイダーを選択できます。これを有効にするには、ソーシャル メディア サイトを外部 ID ソースとして設定し、ユーザがその外部 ID（ソーシャル メディア プロバイダー）を使用できるようにするポータルを設定します。ISE のソーシャル メディア ログインに関する追加情報は、こちらをご覧ください。 https://community.cisco.com/t5/security-documents/how-to-configure-amp-use-a-facebook-social-media-login-on-ise/ta-p/3609532

ソーシャル メディアで認証した後、ゲストはソーシャル メディア サイトから取得した情報を編集できます。ソーシャル メディアのクレデンシャルが使用されているにもかかわらず、ソーシャル メディア サイトは、ユーザがそのサイトの情報を使用してログインしたことを認識していません。ISE は引き続き、ソーシャル メディア サイトから取得された情報を今後の追跡のために内部的に使用します。

ユーザがソーシャル メディア サイトから取得した情報を変更しないようにゲスト ポータルを設定したり、登録フォームの表示を抑制することもできます。

Cisco ISE では、ゲストにさまざまなタイプのクレデンシャルを使用したログインを要求することによって、保護されたネットワーク アクセスを提供します。ゲストがこれらのクレデンシャルの 1 つまたは組み合わせを使用してログインすることを要求できます。

• ユーザ名：必須。エンドユーザ ポータル（ホットスポット ゲスト ポータルを除く）を使用するすべてのゲストに適用され、ユーザ名ポリシーから取得されます。ユーザ名ポリシーはシステムによって生成されたユーザ名のみに適用され、ゲスト API プログラミング インターフェイスまたはアカウント登録プロセスを使用して指定されたユーザ名には適用されません。[ワーク センター（Work Centers）] > [ゲスト アクセス（Guest Access）] > [設定（Settings）] > [ゲスト ユーザ名ポリシー（Guest Username Policy）] で、ユーザ名に適用するポリシーを設定できます。ゲストは、電子メール、SMS、または印刷形式で、ユーザ名の通知を受け取ることができます。

• パスワード：必須。エンドユーザ ポータル（ホットスポット ゲスト ポータルを除く）を使用するすべてのゲストに適用され、パスワード ポリシーから取得されます。[ワーク センター（Work Centers）] > [ゲスト アクセス（Guest Access）] > [設定（Settings）] > [ゲスト パスワード ポリシー（Guest Password Policy）] で、パスワードに適用するポリシーを設定できます。ゲストは、電子メール、SMS、または印刷形式で、パスワードの通知を受け取ることができます。

• アクセス コード：オプション。ホットスポット ゲスト ポータルおよびクレデンシャルを持つゲスト ポータルを使用するゲストに適用されます。アクセス コードは、物理的に存在するゲストに対して指定される、主にローカルで認識されるコードです（ホワイトボードによって視覚的に、またはロビー アンバサダーにより口頭で）。ネットワークにアクセスするために、屋外にいる誰かに知られたり使用されたりすることはありません。アクセス コードの設定を有効にした場合、次のようになります。

  • スポンサー付きゲストは、[ログイン（Login）] ページで（ユーザ名およびパスワードとともに）これを入力するよう求められます。

  • ホットスポット ゲスト ポータルを使用するゲストは、[利用規定（Acceptable Use Policy (AUP)）] ページでこれを入力するよう求められます。

• 登録コード：オプション。アカウント登録ゲストに適用され、アカウント登録ゲストに提供される方法においてアクセス コードと似ています。登録コード設定が有効な場合、アカウント登録ゲストはアカウント登録フォームでこれを入力するよう求められます。

ユーザ名とパスワードは、社内のスポンサーが（スポンサー付きゲストに対して）提供できます。または、ゲストが自分自身を登録してこれらのクレデンシャルを取得できるように、クレデンシャルを持つゲスト ポータルを設定できます。

Cisco ISE にはネットワーク アクセス機能があり、その機能には「ホットスポット」が含まれています。これは、アクセス ポイントで、ゲストはこれを使用してログインにクレデンシャルを必要とすることなくインターネットにアクセスできます。ゲストがコンピュータまたは Web ブラウザを搭載した任意のデバイスでホットスポット ネットワークに接続して、Web サイトに接続しようとすると、自動的にホットスポット ゲスト ポータルにリダイレクトされます。この機能では、有線接続と無線接続（Wi-Fi）の両方がサポートされます。

ホットスポット ゲスト ポータルは代替となるゲスト ポータルで、これを使用すると、ゲストにユーザ名とパスワードを要求することなく、ネットワーク アクセスを提供することができ、ゲスト アカウントを管理する必要性が軽減されます。代わりに、ゲスト デバイスにネットワーク アクセスを直接提供するために、Cisco ISE はネットワーク アクセス デバイス（NAD）およびデバイス登録 Web 認証（デバイス登録 WebAuth）とともに動作します。場合によって、ゲストは、アクセス コードを使用してログインするよう要求されることがあります。通常、これは社内に物理的に存在しているゲストにローカルに提供されるコードです。

ホットスポット ゲスト ポータルをサポートしている場合：

• ホットスポット ゲスト ポータルの設定に基づいて、ゲスト アクセスの条件を満たしている場合、ゲストにネットワーク アクセスが付与されます。

• Cisco ISE によってデフォルトのゲスト ID グループ GuestEndpoints が提供され、これを使用して、ゲスト デバイスを一元的に追跡できます。

クレデンシャルを持つゲスト ポータルを使用して、外部ユーザの内部ネットワークおよびサービスと、インターネットへの一時アクセスを識別し許可することができます。スポンサーは、ポータルの [ログイン（Login）] ページでこれらのクレデンシャルを入力することによって、ネットワークにアクセスできる承認ユーザの一時的なユーザ名およびパスワードを作成できます。

次のように取得したユーザ名とパスワードを使用してゲストがログインできるように、クレデンシャルを持つゲスト ポータルを設定できます。

• スポンサーから付与されます。このゲスト フローでは、ゲストは、社内に入って個人のゲスト アカウントで設定されたとき、ロビー アンバサダーなどのスポンサーによるグリーティングを受け取ります。

• オプションの登録コードまたはアクセス コードを使用して自分自身を登録した後に付与されます。このゲスト フローでは、ゲストは人間の介入なしでインターネットにアクセスでき、これらのゲストにコンプライアンスに使用可能な一意の識別子があることが Cisco ISE によって保証されます。

• オプションの登録コードまたはアクセス コードを使用して自分自身を登録した後に付与されます。ただし、ゲスト アカウントの要求がスポンサーによって承認された後のみです。このゲスト フローでは、ゲストにネットワークへのアクセスが提供されますが、追加のスクリーニング レベルが実行された後でのみ提供されます。

また、ログイン時にユーザに新しいパスワードを入力するよう強制できます。

Cisco ISE では、複数のクレデンシャルを持つゲスト ポータルを作成し、これを使用してさまざまな基準に基づいてゲスト アクセスを許可することができます。たとえば、日次訪問者に使用されるポータルとは別の、月次担当者向けのポータルを設定できます。

従業員は、そのポータルに設定された ID ソース順序でクレデンシャルにアクセスできれば、従業員クレデンシャルを使用してサインインすることによって、クレデンシャルを持つゲスト ポータルを使用してネットワークにアクセスすることもできます。

ゲストおよび非ゲストがクレデンシャルを持つゲスト ポータルを介してネットワークにアクセスした場合、アクセスを許可する前に、そのデバイスのコンプライアンスをチェックすることができます。ゲストおよび非ゲストを [クライアント プロビジョニング（Client Provisioning）] ページにルーティングして、最初にポスチャ エージェントをダウンロードするよう要求することができます。このエージェントは、ポスチャ プロファイルをチェックし、デバイスが準拠しているかどうかを検証します。これは、クレデンシャルを持つゲスト ポータルで、[ゲスト デバイスのコンプライアンス設定（Guest Device Compliance Settings）] のオプションを有効にすることで実行できます。これによって、[クライアント プロビジョニング（Client Provisioning）] ページがゲスト フローの一部として表示されます。

クライアント プロビジョニング サービスでは、ゲストのポスチャ評価および修復が提供されます。クライアント プロビジョニング ポータルは、中央 Web 認証（CWA）のゲスト展開でのみ使用できます。ゲスト ログイン フローによって CWA が実行され、クレデンシャルを持つゲスト ポータルは、利用規定やパスワード変更のチェックを実行した後、クライアント プロビジョニング ポータルにリダイレクトされます。いったんポスチャが評価されると、ポスチャ サブシステムはネットワーク アクセス デバイスに対して許可変更（CoA）を実行し、クライアント再接続を再認証します。

デフォルト ポータルと、証明書、エンドポイント ID グループ、ID ソース順序、ポータル テーマ、イメージ、および Cisco ISE によって提供されるその他の詳細などのデフォルト設定を使用できます。デフォルト設定を使用しない場合は、新しいポータルを作成するか、必要性に合うように既存の設定を編集する必要があります。同じ設定で複数のポータルを作成する場合は、ポータルを複製できます。

新しいポータルを作成したり、デフォルト ポータルを編集した後は、ポータルの使用を承認する必要があります。いったんポータルの使用を承認すると、後続の設定変更はただちに有効になります。

ポータルを削除する場合は、関連付けられている許可ポリシー ルールおよび許可プロファイルを先に削除するか、別のポータルを使用するように変更する必要があります。

さまざまなゲスト ポータルの設定に関連するタスクについては、この表を参照してください。

ポリシーで LastAUPAcceptance を使用して、AUP を承認することをユーザに強制できます。

If LastAUPAcceptance >= 24: Hotspot Redirect

If LastAUPacceptance < 24: PermitAccess

If Wireless_MAB: Hotspot Redirect

この例では、24 時間ごとにホットスポット ポータルに AUP を強制する方法を示します。

1. ユーザが 24 時間以上前に AUP を承認済みの場合、AUP を受け入れる（初めからやり直す）必要があります。

2. ユーザが 24 時間前以内に AUP を承認済みの場合、セッションを続行します。

3. ネットワーク（MAB）への最初のアクセス時は AUP を承認する必要があります。

クレデンシャルを持つポータルでは、そのポータルの AUP が有効であれば同じ規則を使用できます。

[アカウントを記憶する（Remember me）] は、ISE でレポートおよびログの MAC アドレスではなくゲストのユーザ名が表示されることを意味します。

ゲストが初回に認証されると、ゲストのデバイスの MAC アドレスがエンドポイント グループに保存され、レポートでユーザ名が使用されます。ユーザが切断され、ネットワークに再接続された場合、MAC アドレスはすでにエンドポイント グループに存在するため、ユーザは再びログイン（認証）する必要はありません。この場合、ユーザ名は利用できないため、レポートとログには MAC アドレスが使用されます。

ISE 2.3 以降、ISE はポータル ユーザ ID を保持し、リリースに応じて一部のレポートに使用します。

• ISE 2.3 にはこの機能が実装されていますが、オフにすることはできません。

• ISE 2.4 には、[ゲスト（Guest）] > [設定（Settings）] > [ロギング（Logging）] にこの機能をオフにする機能が追加されました。新規インストールではデフォルトでオンになります。以前のリリースのアップグレードおよび復元では無効になっています。

[アカウントを記憶する（Remember Me）] のロギングの問題に関する詳細については、ISE コミュニティで『ISE 2.3+ Remember Me guest using guest endpoint group logging display』の投稿を参照してください。

[アカウントを記憶する（Remember Me）] の設定に関する詳細については、『ISE Guest Access Deployment guide』を参照してください。 https://communities.cisco.com/docs/DOC-77590

各リリースでサポートされるレポート方法に関する詳細については、該当するリリースのリリース ノートを参照してください。

このシナリオでは、ネットワーク アクセス デバイス（NAD）で、不明なエンドポイント接続から Cisco ISE RADIUS サーバへの新しい認証要求を作成します。これで、エンドポイントは Cisco ISE への URL-redirect を受け取ります。

（注）	webauth-vrf-aware コマンドは、IOS XE 3.7E、IOS 15.2(4)E 以降のバージョンでのみサポートされています。その他のスイッチでは、Virtual Route Forwarding（VRF）環境での WebAuth URL リダイレクトはサポートされていません。このような場合、回避策として、トラフィックを VRF に戻すためのルートをグローバル ルーティング テーブルに追加できます。

ゲスト デバイスが NAD に接続されている場合、ゲスト サービスのインタラクションは、ゲスト ポータルの中央 WebAuth のログインにつながる MAC 認証バイパス（MAB）要求の形式を取ります。無線と有線の両方のネットワーク アクセス デバイスに適用される後続の中央 Web 認証（中央 WebAuth）プロセスの概要は、次のとおりです。

1. ゲスト デバイスは、有線接続によって NAD に接続します。ゲスト デバイス上に 802.1X サプリカントはありません。

2. MAB のサービス タイプを扱う認証ポリシーにより、MAB が引き続き失敗し、中央 WebAuth ユーザ インターフェイスの URL-redirect を含む制限付きネットワーク プロファイルが返されます。

3. NAD は、Cisco ISE RADIUS サーバに対して MAB 要求を認証するように設定されています。

4. Cisco ISE RADIUS サーバで MAB 要求が処理されますが、ゲスト デバイスのエンドポイントが見つかりません。

   この MAB の失敗により、制限付きネットワーク プロファイルが適用され、プロファイル内の URL-redirect 値が access-accept で NAD に返されます。この機能をサポートするには、許可ポリシーが存在し、適切な有線または無線 MAB（複合条件下で）と、任意で「Session:Posture Status=Unknown」条件が備わっていることを確認します。NAD では、この値に基づいて、デフォルト ポート 8443 のすべてのゲスト HTTPS トラフィックが URL-redirect 値にリダイレクトされます。

   この場合の標準の URL 値は次のとおりです。https://ip:port/guestportal/gateway?sessionId=NetworkSessionId&portal=<PortalID>&action=cwa

5. ゲスト デバイスが、Web ブラウザから URL をリダイレクトするための HTTP 要求を開始します。

6. NAD により、最初の access-accept から返された URL-redirect 値に要求がリダイレクトされます。

7. CWA をアクションとしたゲートウェイ URL 値は、ゲスト ポータル ログイン ページにリダイレクトされます。

8. ゲストはログイン クレデンシャルを入力してログイン フォームを送信します。

9. ゲスト サーバはログイン クレデンシャルを認証します。

10. フローのタイプに応じて、次の処理が実行されます。

    • クライアント プロビジョニングを実行するようにゲスト ポータルが設定されていない非ポスチャ フロー（これ以上の検証がない認証）の場合、ゲスト サーバは CoA を NAD に送信します。この CoA により、NAD は Cisco ISE RADIUS サーバを使用してゲスト デバイスを再認証します。設定されたネットワーク アクセスとともに新しい access-accept が NAD に返されます。クライアント プロビジョニングが未設定で、VLAN を変更する必要がある場合、ゲスト ポータルで VLAN IP の更新が行われます。ゲストはログイン クレデンシャルを再入力する必要はありません。初回ログイン時に入力したユーザ名とパスワードが自動的に使用されます。

    • クライアント プロビジョニングを実行するようにゲスト ポータルが設定されているポスチャ フローの場合、ゲスト デバイスの Web ブラウザに、ポスチャ エージェントのインストールおよびコンプライアンスのための [クライアント プロビジョニング（Client Provisioning）] ページが表示されます。（必要に応じて、クライアント プロビジョニング リソース ポリシーに「NetworkAccess:UseCase=GuestFlow」条件を含めることもできます）。

Linux 向けのクライアント プロビジョニングやポスチャ エージェントは存在しないため、ゲスト ポータルはクライアント プロビジョニング ポータルにリダイレクトされ、クライアント プロビジョニング ポータルは元のゲスト認証サーブレットにリダイレクトされます。この認証サーブレットで、必要に応じて IP リリース/更新が行われてから、CoA が実行されます。

クライアント プロビジョニング ポータルへのリダイレクションを使用して、クライアント プロビジョニング サービスはゲスト デバイスに非永続的 Web エージェントをダウンロードし、デバイスのポスチャ チェックを実行します（必要に応じて、ポスチャ ポリシーに「NetworkAccess:UseCase=GuestFlow」条件を含めることもできます）。

ゲスト デバイスが非準拠の場合、「NetworkAccess:UseCase=GuestFlow」条件および「Session:Posture Status=NonCompliant」条件を備えた許可ポリシーが設定済みであることを確認してください。

ゲスト デバイスが準拠している場合は、設定した許可ポリシーに「NetworkAccess:UseCase=GuestFlow」条件および「Session:Posture Status=Compliant」条件が含まれていることを確認してください。ここから、クライアント プロビジョニング サービスによって NAD に対して CoA が発行されます。この CoA により、NAD は Cisco ISE RADIUS サーバを使用してゲストを再認証します。設定されたネットワーク アクセスとともに新しい access-accept が NAD に返されます。

（注）	「NetworkAccess: UseCase=GuestFlow」は、ゲストとしてログインする Active Directory（AD）および LDAP ユーザにも適用できます。

このシナリオでは、ゲストがログインすると、ワイヤレス LAN コントローラ（WLC）に転送されます。その後、WLC はゲストをゲスト ポータルにリダイレクトします。ゲスト ポータルでは、ログイン クレデンシャルの入力を求められ、必要に応じて利用規定（AUP）の受け入れやパスワードの変更を実行することもできます。完了したら、ゲスト デバイスのブラウザは WLC にリダイレクトされ、POST 経由でログイン クレデンシャルが提供されます。

WLC は、Cisco ISE RADIUS サーバ経由でゲストのログイン処理を行うことができます。その処理が完了したら、WLC はゲスト デバイスのブラウザを元の URL の宛先にリダイレクトします。ゲスト ポータルの元の URL リダイレクトをサポートするためのワイヤレス LAN コントローラ（WLC）とネットワーク アクセス デバイス（NAD）の要件は、リリース IOS-XE 3.6.0.E および 15.2(2)E が動作する WLC 5760 および Cisco Catalyst 3850、3650、2000、3000、および 4000 シリーズ アクセス スイッチです。

このシナリオでは、ゲスト ポータルにより、ゲストのログイン要求がスイッチ（有線 NAD）にリダイレクトされます。ログイン要求は、スイッチにポストされる HTTPS URL の形式になり、ログイン クレデンシャルが含まれます。スイッチにゲスト ログイン要求が届くと、設定済みの Cisco ISE RADIUS サーバを使用してゲストの認証が行われます。

1. Cisco ISE により、HTML リダイレクトを含む login.html ファイルを NAD にアップロードするよう要求されます。HTTPS 要求が発生すると、この login.html ファイルがゲスト デバイスのブラウザに返されます。

2. ゲスト デバイスのブラウザがゲスト ポータルにリダイレクトされます。ここで、ゲストのログイン クレデンシャルが入力されます。

3. 利用規定（AUP）とパスワード変更が処理された後（両方ともオプションです）、ゲスト ポータルにより、ログイン クレデンシャルをポストするゲスト デバイスのブラウザが NAD にリダイレクトされます。

4. NAD により、Cisco ISE RADIUS サーバに対して RADIUS 要求が発行され、ゲストの認証と許可が行われます。

デバイス登録 Web 認証（デバイス登録 WebAuth）およびホットスポット ゲスト ポータルを使用すると、ユーザ名とパスワードを要求しないで、プライベート ネットワークへの接続をゲスト デバイスに許可できます。

このシナリオでは、ゲストは無線接続でネットワークに接続します。デバイス登録 WebAuth プロセス フローの例については、図 16-1 を参照してください。後続のデバイス登録 WebAuth プロセスの概要を次に説明します。無線接続と有線接続の両方で同様のプロセスとなります。

1. ネットワーク アクセス デバイス（NAD）がホットスポット ゲスト ポータルにリダイレクトを送信します。

2. ゲスト デバイスの MAC アドレスがいずれのエンドポイント ID グループにも含まれていないか、利用規定（AUP）accepted 属性が true に設定されていない場合、Cisco ISE は許可プロファイルに指定された URL リダイレクションを使用して応答します。

3. ゲストが何らかの URL にアクセスしようとすると、URL リダイレクションによって AUP ページ（有効な場合）が示されます。

   • ゲストが AUP を受け入れると、デバイスの MAC アドレスに関連付けられたエンドポイントが、設定されたエンドポイント ID グループに割り当てられます。ゲストによる AUP の受け入れを追跡できるよう、この時点で、このエンドポイントの AUP accepted 属性は true に設定されます。

   • ゲストが AUP を受け入れない場合、または、エンドポイントの作成中や更新中などにエラーが発生した場合、エラー メッセージが表示されます。

4. ホットスポット ゲスト ポータルの設定に基づいて、追加情報を含むポスト アクセス バナー ページが表示される場合があります（有効な場合）。

5. エンドポイントが作成または更新された後、許可変更（CoA）終了が NAD に送信されます。

6. CoA の後、NAD は MAC 認証バイパス（MAB）の新しい要求でゲスト接続を再認証します。新規認証では、エンドポイントとそれに関連付けられているエンドポイント ID グループが検索され、設定されているアクセスが NAD に返されます。

7. ホットスポット ゲスト ポータルの設定に基づいて、ゲストは、アクセスを要求した URL、管理者が指定したカスタム URL、または認証の成功ページに誘導されます。

有線とワイヤレスのどちらの場合も、CoA タイプは Termination CoA です。VLAN DHCP リリース（および更新）を実行するようにホットスポット ゲスト ポータルを設定し、それによって、有線と無線の両方の CoA タイプを許可変更に再許可できます。

VLAN DHCP リリースのサポートは、Windows デバイスのみで使用可能です。モバイル デバイスでは利用できません。登録するデバイスがモバイルで、[VLAN DHCP リリース（VLAN DHCP Release）] オプションが有効の場合、ゲストは手動で IP アドレスを更新することを要求されます。モバイル デバイスのユーザの場合は、VLAN を使用するよりも、WLC でアクセス コントロール リスト（ACL）を使用することを推奨します。