認証時の URL リダイレクションのプロビジョニングなど、Cisco ISE 用の標準 Web 認証機能を有効にするには、次のコマンドをスイッチの構成に含めます。

ip classless


ip route 0.0.0.0 0.0.0.0 10.1.2.3


ip http server

! Must enable HTTP/HTTPS for URL-redirection on port 80/443

ip http secure-server 

スイッチがこのネットワーク セグメントの RADIUS サーバーであるかのように Cisco ISE ノードと通信するには、次のコマンドを入力します。

username test-radius password 0 abcde123 

次のコマンドを入力して、Cisco ISE で設定したものと同じ NTP サーバーをスイッチ上に指定していることを確認します。

ntp server <IP_address>|<domain_name> 

802.1X および MAB 認証機能など、スイッチと Cisco ISE との間でさまざまな AAA 機能を有効にするには、スイッチ上で次のコマンドを入力します。

aaa new-model

! Creates an 802.1X port-based authentication method list

aaa authentication dot1x default group radius

! Required for VLAN/ACL assignment

aaa authorization network default group radius

! Authentication & authorization for webauth transactions

aaa authorization auth-proxy default group radius

! Enables accounting for 802.1X and MAB authentications

aaa accounting dot1x default start-stop group radius

!

aaa session-id common

!

aaa accounting update periodic 5


! Update AAA accounting information periodically every 5 minutes


aaa accounting system default start-stop group radius

!

 

Cisco ISE とやり取りし、RADIUS ソース サーバーとして動作するようスイッチを設定するには、次のコマンドを入力します。

!
radius-server <ISE Name> 

! ISE Name is the name of the ISE PSN

address ipv4 <ip address> auth-port 1812 acct-port 1813  

! IP address is the address of the PSN. This example uses the standard RADIUS ports. 

key <passwd> 

! passwd is the secret password confiugured in Cisco ISE

exit 

（注）	3 回の再試行を含む 30 秒のデッド基準時間を設定し、Active Directory を認証に使用する RADIUS 要求に対して、より長い応答時間を提供することを推奨します。

スイッチが Cisco ISE で RADIUS CoA の動作と関連するポスチャ機能を適切に処理できるように設定を指定するには、次のコマンドを入力します。

aaa server radius dynamic-author client <ISE-IP> server-key 0 abcde123 

（注）	Cisco ISE では、RFC の CoA 用デフォルト ポート 3799 に対して、ポート 1700（Cisco IOS ソフトウェアのデフォルト）を使用します。既存の Cisco Secure ACS 5.x ユーザーは、既存の ACS の実装の一部として CoA を使用している場合、すでにこれをポート 3799 に設定している可能性があります。 秘密キーは、ネットワークデバイスの追加時に Cisco ISE で設定したものと同じである必要があり、IP アドレスは PSN IP アドレスである必要があります。

! Optional
 ip dhcp snooping

! Required!

! Configure Device Tracking Policy!device-tracking policy <DT_POLICY_NAME>no protocol ndp tracking enable

! Bind it to interface!interface <interface_id>device-tracking attach-policy<DT_POLICY_NAME> 

RADIUS アカウンティングでは、DHCP スヌーピングが有効になっていても、DHCP 属性は IOS センサーによって Cisco ISE に送信されません。このような場合、DHCP スヌーピングを VLAN で有効にして DHCP をアクティブにする必要があります。

VLAN で DHCP スヌーピングを有効にするには、次のコマンドを使用します。

ip dhcp snooping 

ip dhcp snooping vlan 1-100 

スイッチポートに対してグローバルに 802.1X 認証を有効にするには、次のコマンドを入力します。

dot1x system-auth-control 

サプリカントによる LAN 経由での認証要求をサポートするには、次のコマンドを入力することによって、EAP をクリティカルな認証（アクセスできない認証バイパス）に対して有効にします。

dot1x critical eapol 

クリティカルな認証リカバリの場合は、自動的に認証を遅延させる（ミリ秒単位）ようにスイッチを設定し、リカバリ後に Cisco ISE がサービスを再開できるようにします。次のコマンドを使用します。

authentication critical recovery delay 1000 

ネットワーク内の既知の適用状態に基づいて VLAN 名、番号、およびスイッチ仮想インターフェイス（SVI）を定義するには、次のコマンドを入力します。ネットワーク間のルーティングを有効にするには、それぞれの VLAN インターフェイスを作成します。これは特に、エンドポイントがネットワークに接続するときに経由するエンドポイント（PC やラップトップ）と IP 電話の両方からの同じネットワークセグメントを経由して渡される複数のソースからのトラフィックを処理する場合に役立ちます。次に例を示します。

 

vlan <VLAN_number> 
name ACCESS!
vlan <VLAN_number> 
name VOICE

!
interface <VLAN_number> 
description ACCESS 
ip address 10.1.2.3 255.255.255.0 
ip helper-address <DHCP_Server_IP_address> 
ip helper-address <Cisco_ISE_IP_address>

!
interface <VLAN_number> 
description VOICE 
ip address 10.2.3.4 255.255.255.0 
ip helper-address <DHCP_Server_IP_address>   

このような機能を古いバージョンのスイッチ（Cisco IOS ソフトウェア リリースのバージョンが 12.2(55)SE よりも前）で有効にし、Cisco ISE が認証と許可に必要なダイナミック ACL の更新を実行できるようにするには、次のコマンドを入力します。

ip access-list extended ACL-ALLOW

 permit ip any any

!

ip access-list extended ACL-DEFAULT

  remark DHCP

  permit udp any eq bootpc any eq bootps

  remark DNS

  permit udp any any eq domain

  remark Ping

  permit icmp any any

  remark Ping

  permit icmp any any

  remark PXE / TFTP

  permit udp any any eq tftp

  remark Allow HTTP/S to ISE and WebAuth portal 
permit tcp any host <Cisco_ISE_IP_address> eq www 

permit tcp any host <Cisco_ISE_IP_address> eq 443 

permit tcp any host <Cisco_ISE_IP_address> eq 8443 

permit tcp any host <Cisco_ISE_IP_address> eq 8905 

permit udp any host <Cisco_ISE_IP_address> eq 8905 

permit udp any host <Cisco_ISE_IP_address> eq 8906 

permit tcp any host <Cisco_ISE_IP_address> eq 8080 

permit udp any host <Cisco_ISE_IP_address> eq 9996 

remark Drop all the rest

  deny ip any any log 


!

! The ACL to allow URL-redirection for WebAuth
 ip access-list extended ACL-WEBAUTH-REDIRECT 

 permit tcp any any eq www

 permit tcp any any eq 443  

（注）	ワイヤレスコントローラでこの設定を行うと、CPU 使用率が増加し、システムが不安定になるリスクが高まります。これは IOS の問題で、Cisco ISE は悪影響を受けません。

次の例は、802.1X、MAB、および Web 認証を使用する連続認証方式を許可するように設定されている制御ポリシーを示しています。

class-map type control subscriber match-all DOT1X
 match method dot1x
!
class-map type control subscriber match-all DOT1X_FAILED
 match method dot1x
 match result-type method dot1x authoritative
!
class-map type control subscriber match-all DOT1X_NO_RESP
 match method dot1x
 match result-type method dot1x agent-not-found
!
class-map type control subscriber match-all MAB
 match method mab
!
class-map type control subscriber match-all MAB_FAILED
 match method mab
 match result-type method mab authoritative
!
!


policy-map type control subscriber DOT1XMAB
 event session-started match-all
  10 class always do-until-failure
   10 authenticate using dot1x retries 2 retry-time 0 priority 10
 event authentication-failure match-first
  10 class DOT1X_NO_RESP do-until-failure
   10 terminate dot1x
   20 authenticate using mab priority 20
  20 class DOT1X_FAILED do-until-failure
   10 terminate dot1x
   20 authenticate using mab priority 20
   30 authorize
  40 class always do-until-failure
   10 terminate dot1x
   20 terminate mab
   30 authentication-restart 60
 event agent-found match-all
  10 class always do-until-failure
   10 terminate mab
   20 authenticate using dot1x retries 2 retry-time 0 priority 10
!

次の例は、MAB、802.1X、および Web 認証を使用する連続認証方式を許可するように設定されている制御ポリシーを示しています。

policy-map type control subscriber MABDOT1X
 event session-started match-all
  10 class always do-until-failure
   10 authenticate using mab priority 20
   20 authenticate using dot1x priority 10
 event authentication-failure match-first
  10 class ALL_FAILED do-until-failure
   10 authentication-restart 60
 event authentication-success match-all
  10 class DOT1X do-until-failure
   10 terminate mab
 event agent-found match-all
  10 class always do-until-failure
   10 authenticate using dot1x priority 10

サービスポリシーをインターフェイスに適用します。

interface GigabitEthernet1/0/4
 switchport mode access
 device-tracking attach-policy pol1
 ip access-group sample in
 authentication timer reauthenticate server
 access-session port-control auto
 mab
 dot1x pae authenticator
 dot1x timeout tx-period 10
 dot1x timeout auth-period 10
 spanning-tree portfast
 service-policy type control subscriber DOT1XMAB

Cisco ISE の機能について発生する可能性があるトラブルシューティングや記録をサポートするには、スイッチに標準のロギング機能を次のように設定します。

epm logging 

次のように、スイッチがこのネットワークセグメント内の適切な VLAN を経由して、Cisco ISE から SNMP トラップ送信を受信できるようにします。

snmp-server community public RO 
snmp-server trap-source <VLAN_number> 

SNMP v3 ポーリングが正常に実行され、Cisco ISE プロファイリングサービスがサポートされるように、次のコマンドを使用してスイッチを設定します。その前に、SNMP 設定を Cisco ISE の GUI の [SNMP Settings] ウィンドウで設定します。 このウィンドウを表示するには、[メニュー（Menu）] アイコン（）をクリックして次を選択します。[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] > [追加 | 編集（Add | Edit）] > [SNMP 設定（SNMP Settings）]。

Snmp-server user <name> <group> v3 auth md5 <string> priv des <string> 
snmp-server group  <group> v3 priv 
snmp-server group <group> v3 priv contextvlan-1  

（注）	snmp-server group <group> v3 priv context vlan-1 コマンドは、コンテキストごとに設定する必要があります。snmp show context コマンドでは、すべてのコンテキスト情報がリストされます。

SNMP 要求がタイムアウトになり、接続の問題が発生していない場合は、タイムアウト値を増加させることができます。

次のように、適切な MAC 通知トラップを送信するようスイッチを設定し、Cisco ISE のプロファイラ機能がネットワークエンドポイントの情報を収集できるようにします。

mac address-table notification change 
mac address-table notification mac-move 
snmp trap mac-notification change added 
snmp trap mac-notification change removed 

スイッチに RADIUS のアイドルタイムアウトを設定するには、次のコマンドを使用します。

Switch(config-if)# authentication timer inactivity 

ここで、inactivity は、クライアントアクティビティが不正と見なされるまでの非アクティブ間隔を秒単位で表したものです。

Cisco ISE では、そのようなセッション非アクティブタイマーを適用する認証ポリシーに対してこのオプションを有効にできます。Cisco ISE GUI で [メニュー（Menu）] アイコン（）をクリックして次を選択します。 [ポリシー（Policy）] > [ポリシー要素（Policy Policy Elements）] > [結果（Authorization）] > [承認（Authorization）] > [認証プロファイル（Authorization Profiles）]。

シングル SSID の場合

同じワイヤレスアクセスポイントで、Apple iOS ベースのデバイス（iPhone または iPad）が、ある SSID から別の SSID に切り替えることができるようにするには、FAST SSID change 機能を有効にするようワイヤレスコントローラを設定します。この機能によって、iOS ベースのデバイスが SSID 間の切り替えを迅速に行えるようにします。

デュアル SSID BYOD の場合

デュアル SSID BYOD をサポートするには、Fast SSID が有効になっている必要があります。ワイヤレスコントローラで Fast SSID Change が有効になっている場合、クライアントは SSID 間を高速で移動できます。高速 SSID が有効になっている場合、クライアント エントリがクリアされず、遅延は適用されません。シスコ ワイヤレス コントローラでの高速 SSID の構成に関する詳細については、『Cisco Wireless Controller Configuration Guide』を参照してください。

ワイヤレスコントローラの構成例

WLC (config)# FAST SSID change 

一部の Apple iOS ベースのデバイスでは、ワイヤレス ネットワークに接続しようとすると、次のエラー メッセージが表示される場合があります。

デバイス認証に影響しないため、このエラー メッセージは無視できます。