セキュリティ コンフィギュレーション ガイド、Cisco IOS XE Release 3SE（Catalyst 3850 スイッチ）

許可とアソシエーションの検出後、ただちに阻止フレームが送信されます。 強化された不正阻止アルゴリズムを使用すると、アドホック クライアントをより効果的に阻止することができます。

は、関連付けられたクライアントに対応するように設計されています。 これらのアクセス ポイントは比較的短時間でオフチャネル スキャンを実行します（各チャネル約 50 ミリ秒）。 高度な不正検出を実行するには、監視モードのアクセス ポイントを使用する必要があります。 あるいは、スキャン間隔を 180 秒から 120 または 60 秒などに短縮して、無線がオフチャネルになる頻度を増やします。これにより、不正が検出される可能性は増加します。 ただしこの場合も、アクセス ポイントが各チャネルに費やす時間は約 50 ミリ秒です。

家庭の環境で展開されるアクセス ポイントは大量の不正デバイスを検出する可能性が高いため、OfficeExtend アクセス ポイントでは不正検出はデフォルトでは無効です。

クライアント カードの実装により、アド ホックの抑制の効果が低下することがあります。

不正なアクセス ポイントの分類および報告は、不正の状態と、不正なアクセス ポイントの状態を自動的に移行できるようにする、ユーザ定義の分類規則に従って行うことができます。

各コントローラは、不正アクセス ポイントの封じ込めを無線チャンネルごとに 3 台（監視モード アクセス ポイントの場合、無線チャネルごとに 6 台）に制限します。

Rogue Location Discovery Protocol（RLDP）は、オープン認証に設定されている不正なアクセス ポイントを検出します。

RLDP はブロードキャスト Basic Service Set Identifier（BSSID）を使用する不正なアクセス ポイント（つまり Service Set Identifier をビーコンでブロードキャストするアクセス ポイント）を検出します。

RLDP は、同じネットワークにある不正なアクセス ポイントのみを検出します。 ネットワークのアクセス リストによって不正なアクセス ポイントからコントローラへの RLDP のトラフィックの送信が阻止されている場合は、RLDP は機能しません。

RLDP は 5 GHz の動的周波数選択（DFS）チャネルでは機能しません。 ただし RLDP は、管理対象のアクセス ポイントが DFS チャネルの監視モードである場合には機能します。

メッシュ AP で RLDP が有効にされていて、その AP が RLDP タスクを実行すると、そのメッシュ AP のアソシエーションはコントローラから解除されます。 回避策は、メッシュ AP で RLDP を無効にすることです。

RLDP が監視モードではない AP で有効になっている場合、RLDP の処理中にクライアント接続の中断が発生します。

不正を手動で阻止すると、不正なエントリは期限切れになった後でも保持されます。

不正を自動、ルール、AwIPS などの他の防御方法で阻止すると、不正なエントリは期限切れになると削除されます。

コントローラは、不正なクライアントの検証を AAA サーバに一度だけ要求します。 その結果、不正なクライアント検証が最初の試行で失敗すると、不正なクライアントは今後脅威として検出されなくなります。 これを回避するには、[Validate Rogue Clients Against AAA] を有効にする前に、認証サーバに有効なクライアント エントリを追加します。

7.4 以前のリリースでは、ルールによってすでに分類された不正は再分類されませんでした。 7.5 リリースでは、不正ルールの優先順位に基づいて不正を再分類できるようにこの動作が強化されました。 優先順位は、コントローラが受信する不正レポートを使用して決定されます。