自律 Aironet アクセス ポイント Cisco IOS リリース 15.3(3)JC コンフィギュレーション ガイド

アクセス ポイントに対する Open 認証

Open 認証では、すべてのデバイスに認証およびアクセス ポイントとの通信の試みを許可します。Open 認証を使用すると、すべてのワイヤレス デバイスをアクセス ポイントで認証できます。Open 認証はネットワーク上の RADIUS サーバに依存しません。

Open 認証と WEP 暗号化を使用するシナリオでは、クライアントと AP の WEP が一致しなくても認証は成功します。Open 認証が完了した後は、クライアントはデータ（DHCP 要求を含む）を送信できません。ただし、Open 認証を使用し、暗号化を使用しない場合、ワイヤレス クライアントはアソシエーション フェーズが完了した直後からデータを送信できます。

図 11-1 は、認証を試みるデバイスと、Open 認証を使用しているアクセス ポイントとの認証シーケンスを示しています。この例では、デバイスの WEP キーがアクセス ポイントのキーと一致しないため、認証はできても、データを転送できません。

図 11-1 Open 認証のシーケンス

アクセス ポイントに対する WEP Shared Key 認証

シスコでは、802.11 標準で規定されている WEP 認証に準拠するために、Shared Key 認証を提供しています。ただし、Shared Key のセキュリティ上の欠点により、WEP は非推奨となっています。IEEE およびシスコでは、WEP 認証を使用しないよう推奨しています。

Shared Key 認証では、アクセス ポイントが、アクセス ポイントとの通信を試みるすべてのデバイスに、暗号化されていない身元証明要求テキスト ストリングを送信します。認証を求めるデバイスは身元証明要求テキストを暗号化して、アクセス ポイントに返送します。身元証明要求テキストが正しく暗号化されていれば、アクセス ポイントはそのデバイスに認証を許可します。暗号化されていない身元証明要求も暗号化された身元証明要求もモニタできます。しかしそのために、アクセス ポイントは、暗号化前のテキストと暗号化後のテキストを比較して WEP キーを計算する不正侵入者の攻撃に対し、無防備な状態になります。このような弱点により、Shared Key 認証は Open 認証よりも安全性が劣る場合があります。Open 認証と同様に、Shared Key 認証ではネットワーク上の RADIUS サーバは使用されません。

図 11-2 は、認証を試みるデバイスと、Shared Key 認証を使用しているアクセス ポイントとの認証シーケンスを示しています。この例では、デバイスの WEP キーがアクセス ポイントのキーと一致しているため、認証を受けて通信できます。

図 11-2 Shared Key 認証のシーケンス

ネットワークに対する EAP 認証

この認証タイプは、無線ネットワークに最高レベルのセキュリティを提供します。拡張可能認証プロトコル（EAP）を使用して EAP 対応の RADIUS サーバと対話することにより、アクセス ポイントは、ワイヤレス クライアント デバイスと RADIUS サーバが相互認証を行って動的なユニキャスト キーを派生できるよう支援します。RADIUS サーバはこのキーをアクセス ポイントに送ります。アクセス ポイントはこのキーを、クライアントに対して送受信するすべてのユニキャスト データ信号に使用します。また、アクセス ポイントは、クライアントのユニキャスト キーを使用してブロードキャスト キーを暗号化し、その暗号化したブロードキャスト キーをクライアントに送信します。

このキーは、基礎となるセキュリティ フレームワーク（動的 WEP、WPA または WPA 2 による 802.1X）に応じて、次のように使用されます。

• WEP の場合：アクセス ポイントはこのキーを、クライアントとの間で送受信するすべてのユニキャスト データ信号に直接使用します。
• WPAv1/v2 の場合：このキーは、クライアントとの間で送受信するすべてのユニキャスト データ信号に使用するユニキャスト キーを派生させるために使用されます。

アクセス ポイントとクライアント デバイスで EAP を有効にすると、ネットワークに対する認証は、図 11-3 に示す手順で実行されます。

図 11-3 EAP 認証のシーケンス

図 11-3 の手順 1 ～ 9 では、無線クライアント デバイスと有線 LAN 上の RADIUS サーバが 802.1x および EAP を使用して、アクセス ポイント経由で相互認証を実行します。RADIUS サーバは、認証身元証明要求をクライアントに送信します。クライアントはユーザまたはマシンによって提供されたクレデンシャルを一方向で暗号化して、認証身元証明要求に対する応答を生成し、その応答を RADIUS サーバに送信します。RADIUS サーバは、サーバ自体のユーザ データベースの情報から独自の応答を生成し、クライアントからの応答と比較します。RADIUS サーバがクライアントを認証すると、同じ処理が逆方向から繰り返され、今度はクライアントが RADIUS サーバを認証します。

相互認証が完了すると、RADIUS サーバとクライアントは、クライアントに固有の適切なレベルのネットワーク アクセスを提供する WEP キーまたは Pairwise Master Key（PMK）を決定します。これにより、有線のスイッチド セグメントのセキュリティ レベルは、デスクトップのレベルに近づきます。クライアントはこのキーをロードして、ログイン セッションでの使用に備えます。

ログイン セッション中に、RADIUS サーバは WEP キー（または WPAv1/v2 Pairwise Master Key）を暗号化し、有線 LAN 経由でアクセス ポイントに送信します。AP はこのキーを使用してブロードキャスト キーを暗号化し、暗号化後のブロードキャスト キーをクライアントに送信します。クライアントはこのブロードキャスト キーを同一のユニキャスト キーを使用して復号化します。クライアントとアクセス ポイントは暗号化を有効にし、ユニキャスト キーとブロードキャスト キーを残りのセッションの間、すべての通信に対して使用します。

EAP 認証には複数のタイプがありますが、アクセス ポイントはどのタイプについても同じように機能します。つまり、アクセス ポイントは、無線クライアント デバイスと RADIUS サーバ間の認証メッセージを中継します。アクセス ポイントで EAP を設定する方法の詳細は、“SSID への認証タイプの割り当て” sectionを参照してください。

（注） EAP 認証を使用する場合は、Open 認証または Shared Key 認証を選択できますが、この選択は必須ではありません。EAP 認証は、アクセス ポイントとネットワークの両方に対する認証を制御します。

ネットワークに対する MAC アドレス認証

アクセス ポイントは、無線クライアント デバイスの MAC アドレスをネットワーク上の RADIUS サーバに中継します。サーバはそのアドレスを、許可される MAC アドレスのリストと照合します。MAC アドレスは不正侵入者でも偽造できるため、MAC ベースの認証は EAP 認証より安全性が劣ります。ただし、EAP 機能を持たないクライアント デバイスにとって、MAC ベースの認証は 1 つの代替認証方式となります。MAC ベースの認証の有効化の詳細は、“SSID への認証タイプの割り当て” sectionを参照してください。

ヒント ネットワークに RADIUS サーバがない場合は、許可される MAC アドレスのリストをアクセス ポイントの [Advanced Security: MAC Address Authentication] ページで作成できます。このリストにない MAC アドレスを持つデバイスは、認証されません。

ヒント 無線 LAN 上の MAC 認証クライアントが頻繁にローミングする場合、アクセス ポイント上で MAC 認証キャッシュを有効にすることができます。MAC 認証キャッシングを使用すると、アクセス ポイントは認証サーバに要求を送信することなく MAC アドレス キャッシュ内のデバイスを認証するため、オーバーヘッドが軽減されます。この機能を有効にする手順の詳細は、“MAC 認証キャッシングの設定” sectionを参照してください。

図 11-4 は、MAC ベースの認証のシーケンスを示しています。

図 11-4 MAC ベースの認証のシーケンス

MAC ベースの認証、EAP 認証、および Open 認証の組み合わせ

MAC ベースの認証と EAP 認証を組み合わせてクライアント デバイスを認証するように、アクセス ポイントを設定できます。この機能を有効にした場合、まず、802.11 Open 認証を使用してアクセス ポイントにアソシエートするクライアント デバイスが MAC 認証を行います。MAC 認証が成功すると、クライアント デバイスはネットワークに接続されます。MAC 認証が失敗した場合、EAP 認証を行います。このような認証の組み合わせを設定する方法の詳細は、“SSID への認証タイプの割り当て” sectionを参照してください。

認証されたクライアントの CCKM の利用

Cisco Centralized Key Management（CCKM）を使うと、認証されたクライアント デバイスは、1 つのアクセス ポイントから別のアクセス ポイントへ、再アソシエーションの際にほとんど遅延することなくローミングできます。ネットワーク上のアクセス ポイントは、Wireless Domain Service（WDS; 無線ドメイン サービス）を提供し、サブネット上の CCKM 対応クライアント デバイスに対してセキュリティ クレデンシャルのキャッシュを生成します。WDS アクセス ポイントのクレデンシャルのキャッシュは、CCKM 対応クライアント デバイスが新しいアクセス ポイントにローミングする際、再アソシエーションに必要な時間を大幅に短縮します。クライアント デバイスがローミングすると、WDS アクセス ポイントがクライアントのセキュリティ クレデンシャルを新しいアクセス ポイントに転送し、再アソシエーション プロセスが短縮されて、ローミングするクライアントと新しいアクセス ポイント間での 2 つのパケット交換だけになります。ローミングするクライアントは非常にすばやく再アソシエートするため、音声やその他の時間に敏感なアプリケーションで、知覚できるほどの遅延は生じません。アクセス ポイントで CCKM を有効にする方法の詳細は、“SSID への認証タイプの割り当て” sectionを参照してください。無線 LAN 上にある WDS アクセス ポイントの設定の詳細は、“アクセス ポイントを潜在的な WDS デバイスとして設定する”を参照してください。

（注） RADIUS サーバによる VLAN 割り当て機能は、CCKM を利用した SSID グループのクライアント デバイスに対してはサポートされません。

図 11-5 は、CCKM を使用した再アソシエーション プロセスを示しています。

図 11-5 CCKM を使用したクライアント再アソシエーション

WPA キー管理の使用

WPAv1 は、802.11i 改訂の初期ドラフトに基づく Wi-Fi Alliance 認定です。WPAv1 ではデータ保護に TKIP（Temporal Key Integrity Protocol）を使用します。WPAv2 は、2004 年に発行された 802.11i の最終改訂に基づく Wi-Fi Alliance 認定です。WPAv2 では、AES（Advanced Encryption Standard）と Counter-Mode Cipher Block Chaining（CBC）Message Authentication Code（MAC）プロトコルを使用します。WPAv1 および WPAv2 はいずれも、ホーム タイプの導入には事前共有キー（PSK）を使用した認証を許可し、企業タイプの導入での認証キー管理には 802.1X の使用を許可します。

（注） WPA では、TKIP の使用を推奨し、AES の使用を許可しています。WPA2 では、AES-CCMP の使用を推奨し、後方互換性を確保するために TKIP の使用を許可しています。シスコおよび Wi-Fi Alliance では、AES と WPAv1 または TKIP と WPAv2 を使用しないよう推奨しています。最も強力なセキュリティは、WPAv2 と AES-CCMP を使用することにより実現できます。クライアントが AES-CCMP で WPAv2 をサポートしていないネットワークでは、WPAv1 と TKIP を使用できます。

クライアントと認証サーバは、WPA（WPAv1 または WPAv2）キー管理を使用して EAP 認証方式で相互認証を行い、Pairwise Master Key（PMK）を生成します。サーバは WPA を使用し、PMK を動的に生成してアクセス ポイントに渡します。ただし、そのためには、WPA-PSK を使用してクライアントとアクセス ポイントの両方で事前共有キーを設定し、事前共有キーが PMK として使用されるように設定してください。

WPA キー管理は、WPA および WPA-Pre-Shared Key（WPA-PSK）の相互に排他的な 2 つの管理タイプをサポートしています。クライアントと認証サーバは、WPA を使用してキーを管理し、EAP 認証方式で相互認証を行い、Pairwise Master Key（PMK）を生成します。サーバは WPA を使用し、PMK を動的に生成してアクセス ポイントに渡します。ただし、そのためには、WPA-PSK を使用してクライアントとアクセス ポイントの両方で事前共有キーを設定し、事前共有キーが PMK として使用されるように設定してください。

（注） WPA 情報エレメントでアドバタイズされる（さらに 802.11 でのアソシエーション中に決定される）ユニキャストとマルチキャストの暗号スイートは、明示的に割り当てられた VLAN でサポートされている暗号スイートと一致しない可能性があります。RADIUS サーバにより、以前決定された暗号スイートとは別の暗号スイートを使用する、新規の VLAN ID が割り当てられた場合、アクセス ポイントとクライアントは、この新たな暗号スイートに切り替えることができなくなります。現在、WPA プロトコルと CCKM プロトコルでは、最初の 802.11 暗号ネゴシエーション フェーズ以降での暗号スイートの変更は許可されていません。このような場合、クライアント デバイスと無線 LAN とのアソシエーションが解除されてしまいます。

WPA キー管理をアクセス ポイントで設定する方法の詳細は、“SSID への認証タイプの割り当て” sectionを参照してください。

図 11-6 は、WPA キー管理プロセスを示しています。

図 11-6 WPA キー管理プロセス

SSID への認証タイプの割り当て

設定する SSID は、VLAN または無線インターフェイスにマッピングされます。したがって、SSID に定義する認証タイプが、SSID に関連付ける VLAN または無線インターフェイスに定義されている暗号化方式と互換性を持つことを確認してください。詳細については、“認証および暗号化メカニズムについて,”を参照してください。

特権 EXEC モードから、次の手順に従って SSID に認証タイプを設定します。

SSID を無効にする場合、または SSID 機能を無効にする場合は、SSID コマンドの no 形式を使用します。

次の例では、SSID batman の認証タイプを、CCKM 認証済みキー管理を使用した Network-EAP に設定します。batman SSID を使用するクライアント デバイスは、adam サーバ リストを使って認証します。認証後、CCKM 対応クライアントは CCKM を使って迅速に再アソシエートできます。

レガシー WEP SSID の WPA 移行モードの設定

WPA 移行モードは、レガシー WEP クライアント タイプをサポートする必要がある一方、よりセキュアな認証および暗号化を使用できるようにするための SSID 専用のモードです。この特定のモードでは、次のタイプのクライアント デバイスを使用できます。

• TKIP と認証済みキー管理に対応した WPA クライアント
• 認証済みキー管理には対応しているが TKIP には対応していない 802.1X-2001 クライアント（従来の LEAP クライアント、TLS を使うクライアントなど）
• TKIP にも認証済みキー管理にも対応してない静的 WEP クライアント

これら 3 つのタイプすべてのクライアントが同じ SSID を使用してアソシエートする場合、SSID 用のマルチキャスト暗号スイートは WEP でなければなりません。最初の 2 つのタイプのクライアントだけが同じ SSID を使用する場合、マルチキャスト キーは動的でもかまいませんが、静的 WEP クライアントが SSID を使用する場合、キーは静的でなければなりません。アクセス ポイントは自動的に静的グループ キーおよび動的グループ キー間を切り替えて、アソシエートされているクライアント デバイスに対応することができます。同じ SSID で 3 つのすべてのタイプのクライアントをサポートするには、キー スロット 2 または 3 に静的キーを設定する必要があります。

WPA 移行モードに SSID を設定するには、次の設定を行います。

• WPA（オプション）
• TKIP および 40 ビットまたは 128 ビット WEP を含む暗号スイート
• キー スロット 2 または 3 内の静的 WEP キー

次の例では、WPA 移行モードに移行するために SSID を設定します。

追加の WPA の設定

2 つのオプションの設定を使ってアクセス ポイントに事前共有キーを設定し、グループ キーの更新頻度を調整します。

事前共有キーの設定

8021X/EAP ベース認証を使用できないワイヤレス LAN 上の WPA（WPAv1 または WPAv2）をサポートするには、アクセス ポイント上に事前共有キーを設定する必要があります。事前共有キーを ASCII 文字または 16 進数として入力できます。キーを ASCII 文字として入力する場合は、8 ～ 63 文字を入力します。アクセス ポイントはこのキーを、『Password-based Cryptography Standard（RFC2898）』に記載されているプロセスを使用して展開します。キーを 16 進数として入力する場合は、64 桁の 16 進数を入力する必要があります。

グループ キー更新の設定

WPA プロセスの最後の段階で、アクセス ポイントは認証されたクライアント デバイスにグループ キーを配布します。次のオプションの設定を使って、クライアントのアソシエーションとアソシエーション解除をベースにして、グループ キーを変更、配布するようにアクセス ポイントを設定できます。

• Membership-termination：アクセス ポイントは、任意の認証されたデバイスがアクセス ポイントからアソシエーションを解除するときに、新しいグループ キーを生成、配布します。この機能は、アソシエートされているデバイスに対してグループ キーを秘匿しますが、ネットワーク上のクライアントがアクセス ポイント間を頻繁にローミングする場合、オーバーヘッド トラフィックを生む可能性があります。
• 機能の変更：セルのクライアント機能が変更されると、アクセス ポイントは動的グループ キーを生成して配布します。たとえば、AES、TKIP、および WEP を許可するセル内に、現在 AES クライアントだけが含まれている場合、ブロードキャスト キーは AES を使用します。アクセス ポイントは、このセルに初めて TKIP クライアントが参加すると TKIP を使用して新しいブロードキャスト キーを生成し、初めて WEP クライアントが参加すると新しいブロードキャスト キーをブロードキャスト キーを生成します。対称的に、アクセス ポイントは最後の WEP クライアントがセルを離れると新しいブロードキャスト キーを生成します。その時点ですべてのクライアントが AES をサポートしている場合、新しいブロードキャスト キーでは AES が使用されます。一部のクライアントが TKIP を使用し、その他のクライアントが AES を使用する場合（AES クライアントも TKIP をサポートします）、新しいブロードキャスト キーでは TKIP が使用されます。最後の TKIP クライアントがセルを離れ、セル内に AES クライアントだけが残されると、アクセス ポイントは AES を使用して新しいブロードキャスト キーを生成します。

特権 EXEC モードから、次の手順に従って、WPA 事前共有キーとグループ キー更新オプションを設定します。

次の例は、WPA および静的 WEP を使用するクライアント用の事前共有キーを、グループ キー更新オプションとともに設定する方法を示しています。

MAC 認証キャッシングの設定

無線 LAN 上の MAC 認証クライアントが頻繁にローミングする場合、アクセス ポイント上で MAC 認証キャッシュを有効にすることができます。MAC 認証キャッシングを使用すると、アクセス ポイントは認証サーバに要求を送信することなく MAC アドレス キャッシュ内のデバイスを認証するため、オーバーヘッドが軽減されます。クライアント デバイスが認証サーバに対する MAC 認証を実行すると、アクセス ポイントがクライアントの MAC アドレスをキャッシュに追加します。

特権 EXEC モードから、次の手順に従って MAC 認証キャッシングを有効にします。

次の例は、タイムアウトを 1 時間に設定して MAC 認証キャッシングを有効にする方法を示しています。

MAC 認証キャッシングを無効にするには、no 形式の dot11 aaa authentication mac-authen filter-cache コマンドを使用します。次に例を示します。

または

認証のホールドオフ、タイムアウト、間隔の設定

特権 EXEC モードから、次の手順に従って、アクセス ポイントを介して認証を行うクライアント デバイスにホールドオフ時間、再認証間隔、認証タイムアウトを設定します。

値をデフォルトに戻すには、各コマンドの no 形式を使用します。

802.1X サプリカントの EAP 方式プロファイルの作成と適用

この項では、802.1X サプリカントに対応した EAP 方式リストのオプション設定について説明します。EAP 方式プロファイルを設定すると、サプリカントで利用可能な EAP 方式でも、サプリカントがその一部を確認応答しないようにできます。たとえば、RADIUS サーバが EAP-FAST と LEAP をサポートしている場合に、特定の設定下において、サーバは安全性の高い方式ではなく、LEAP を最初に使用する場合があります。優先される EAP 方式リストが定義されていない場合、サプリカントは LEAP をサポートしますが、EAP-FAST などの安全性の高い方式をサプリカントに強制するほうが有益です。

802.1X サプリカントの詳細については、クレデンシャル プロファイルの作成を参照してください。

EAP 方式プロファイルの作成

特権 EXEC モードから、次の手順に従って新しい EAP プロファイルを定義します。

コマンドを無効にする、またはデフォルトに設定するには、no コマンドを使用します。

現在利用可能な（登録済み）EAP 方式を表示するには、show eap registrations method コマンドを使用します。

既存の EAP セッションを表示するには、show eap sessions コマンドを使用します。

ファスト イーサネット インターフェイスに対する EAP プロファイルの適用

この操作は通常、RADIUS サーバに対して認証する必要があるアクセス ポイントが、接続デバイスの 802.1x 認証を行うように設定されたスイッチ ポートに接続される際に、それらのアクセス ポイントに適用されます。この場合、AP は 802.1X クライアントとして機能するため、認証するクレデンシャルを提供する必要があります。

特権 EXEC モードから、次の手順に従って EAP プロファイルをファスト イーサネット インターフェイスに適用します。

アップリンク SSID に対する EAP プロファイルの適用

この操作は通常、無線リンクを介してルート アクセス ポイントまたはルート ブリッジに対して認証される必要がある非ルート ブリッジおよびワークグループ ブリッジに適用されます。特権 EXEC モードから、次の手順に従って EAP プロファイルをアップリンク SSID に適用します。

Web 認証

Web 認証を使用すると、ゲストが有効なユーザ名とパスワードを入力するまで Autonomous AP は IP トラフィック（DHCP および DNS 関連のパケット以外）をブロックできます。

Web 認証では、各ゲスト用に異なるユーザ名とパスワードを定義する必要があります。ユーザ名とパスワードを使用して、ゲストはローカル RADIUS サーバまたは外部 RADIUS サーバによって認証されます。

Web 認証は、Open、dot1x、および PSK 認証タイプでサポートされます。すべての暗号化タイプを使用できます。

Web 認証の設定（GUI）

Web 認証を有効にするには、次の手順を実行します。

ステップ 1 アクセス ポイントの GUI で [Secuirty] ページを表示します。

ステップ 2 [SSID Manager] を選択します。

ステップ 3 [Web Authentication] チェックボックスをオンにします。

Web 認証の設定（CLI）

特権 EXEC モードから、次のコマンドを使用して Open 認証による Web 認証を有効にします。

• Open 認証による Web 認証を設定するには、次のコマンドを使用します。

– ap(config)# dot11 ssid guestssid

– ap(config-ssid)# web-auth

– ap(config-ssid)# authentication open

– ap(config-ssid)# exit

• Web 認証を有効にする場合は、次のようにします。

– ap(config)# ip admission name Web_auth proxy http

– ap(config)# interface dot11Radio 0

– ap(config-if)# ip admission Web_auth

特権 EXEC モードから、次のコマンドを使用して dot1x 認証による Web 認証を有効にします。

• Web 認証による Web 認証を設定するには、次のコマンドを使用します。

– ap(config)# dot11 ssid guestssid

– ap(config-ssid)# web-auth

– ap(config-ssid)# authentication open eap eap_methods

– ap(config-ssid)# authentication network-eap eap_methods

– ap(config-ssid)# authentication key-management wpa version 2

– ap(config-ssid)# exit

• Web 認証を有効にする場合は、次のようにします。

– ap(config)# ip admission name Web_auth proxy http

– ap(config)# interface dot11Radio 0

– ap(config-if)# ip admission Web_auth

– ap(config-if)# encryption mode ciphers aes-ccm

次に、dot1x 認証による Web 認証の設定例を示します。

Web パススルー

Web パススルーは、Web 認証と似ています。ただし、ゲストは認証情報を入力する必要はありません。

Web パススルーでは、ゲストがインターネットを初めて使用するとき、使用ポリシー ページにゲストをリダイレクトします。ポリシーを受け入れると、アクセスが許可されます。アクセス ポイントはゲストをポリシー ページにリダイレクトします。

Web 認証を有効にするには、次の手順を実行します。

ステップ 1 アクセス ポイントの GUI で [Secuirty] ページを表示します。

ステップ 2 [SSID Manager] を選択します。

ステップ 3 [Web Pass] チェックボックスをオンにします。

特権 EXEC モードから、次のコマンドを使用して、Web パススルーを有効にします。

– ap(config)# ip admission name Web_passthrough consent

– ap(config)# interface dot11Radio 0

– ap(config-if)# ip admission Web_passthrough

（注） VLAN がない場合に限り、Web 認証または Web パススルーがインターフェイスで動作します。SSID が VLAN にマップされている場合、IP admission Web_auth または IP admission Web_passthrough を VLAN に設定する必要があります。

ゲスト アカウントの作成

新しいゲスト アカウントを作成するには、次の手順を実行します。

ステップ 1 GUI で、アクセス ポイントの [Management] > [Guest Management Services] ページを表示します。

ステップ 2 新しいゲスト アカウントを作成するには、[New] を選択します。

[Webauth] ページが表示されます。

ステップ 3 次の値を入力してください。

• Username
• Password
• Confirm Password
• Lifetime

ステップ 4 システムにパスワードとして自動的にランダム文字列を生成させるには、[Generate Password] チェックボックスをオンにします。または、手動でパスワード値を入力することもできます。

ステップ 5 [Apply] をクリックします。

既存のユーザを削除するには、次の手順を実行します。

ステップ 1 アクセス ポイントの GUI の [Guest Management Services] ページを表示します。

ステップ 2 削除するユーザ名を選択します。

ステップ 3 [Delete] をクリックします。

確認メッセージが表示されます。

ステップ 4 [OK] をクリックしてユーザを削除するか、[Cancel] をクリックして変更をキャンセルします。

特権 EXEC モードから、CLI コマンドを使用してゲスト アカウントを作成するには、次のコマンドを使用します。

– ap(config)# dot11 guest

– ap(config-guest-mode)# username Gues-1 lifetime 40 password t_ksdgon

– ap(config-guest-mode)# username Gues-2 lifetime 35 password gp2

– ap(config)# exit

ゲスト アクセスは最大で 24 日（35791 分）、最小で 5 分許可されます。

特権 EXEC モードから、ゲスト ユーザを削除するには、次のコマンドを使用します。

ap# clear dot11 guest-user Gues-1

特権 EXEC モードから、ゲスト ユーザを表示するには、次のコマンドを使用します。

ap# show dot11 guest-users

ゲスト アクセス ページのカスタマイズ

[Webauth Login ] ゲスト アクセス ページをカスタマイズして、カスタム ロゴやその他のイメージを表示できます。[Login] ページ、[Success] ページ、[Failure] ページ、[Expired] ページをカスタマイズできます。ページをカスタマイズするには、次の手順に従います。

ステップ 1 カスタマイズしたページに表示するイメージを保存し、Web サーバ上で Web サーバの IP アドレスを ACL 入力/出力リスト許可されるように設定します。

ステップ 2 ページのデフォルト HTML コードをカスタマイズします。

ステップ 3 Web サーバ上のイメージ ファイルのフル パスを指定して、イメージを挿入するようにページのソース コードを編集します。例：<Body background="http://40.40.5.10/image.jpg" width="600" height="600">。ここで、image.jpg ファイルは IP アドレスが 40.40.5.10 の Web サーバ上にあります。

（注） デフォルト ページの HTML コードを編集する際に、送信関数のコードとユーザ名とパスワードのフィールドのコードは変更しないでください。

ステップ 4 Web サーバにカスタマイズしたページを保存します。

ステップ 5 アクセス ポイントの GUI で、[Management] > [Guest Management Services] ページを表示します。

ステップ 6 [Webauth Login] を選択します。

ステップ 7 Web サーバから、次のページを参照してアップロードします

• [Login] ページ
• [Success] ページ
• [Failure] ページ
• [Expired] ページ

（注） ゲスト アクセス ログインをカスタマイズする場合、[Login] ページ、[Success] ページ、[Failure] ページ、および [Expired] ページは必ずロードする必要があります。

ステップ 8 ファイル転送方式として FTP または TFTP を選択します。

ステップ 9 [Username] を入力します。

ステップ 10 [Password] を入力します。

ステップ 11 [Allowed-In ACL Name] と [Allowed-Out ACL Name] を入力します。

ステップ 12 変更を保存するには、[Close Window] をクリックします。

あるいは、次の CLI コマンドを使用して、カスタマイズされたゲスト アクセス ページを設定することもできます。編集したすべてのファイルをフラッシュ メモリにコピーします。次に、特権 EXEC モードで、次のコマンドを使用して、すべての編集済みファイルをフラッシュからロードします。

– ap(config)# ip auth-proxy proxy http login page file flash:web_login.html

– ap(config)# ip auth-proxy proxy http success page file flash:web_success.html

– ap(config)# ip auth-proxy proxy http failure page file flash:web_fail.html

– ap(config)# ip auth-proxy proxy http login expired page file flash:web_logout.html

ACL で Web サーバの IP アドレス（この場合の IP アドレスは 40.40.5.10）を設定するには、次のコマンドも必要です。特権 EXEC モードから、次の ACL コマンドを使用します。

– ap(config)# dot11 webauth allowed incoming webauth_acl_in outgoing webaut_acl_out

– ap(config)# ip access-list extended webauth_acl_in

– ap(config-ext-nacl)# permit tcp any host 40.40.5.10 eq www

– ap(config-ext-nacl)# permit tcp any host 40.40.5.10 eq 443

– ap(config-ext-nacl)# permit tcp any host 40.40.5.10 eq 443

– ap(config-ext-nacl)# exit

– ap(config)# ip access-list extended webauth_acl_out

– ap(config-ext-nacl)# permit tcp any host 40.40.5.10 eq www

– ap(config-ext-nacl)# permit tcp any host 40.40.5.10 eq 443

– ap(config-ext-nacl)# exit

（注） 上記のコマンドの acl-in および acl-out は、アクセス リストの名前です。これらの ACL を使用すると、マシンに保存されたイメージ ファイルをダウンロードして Web ページのカスタマイズに使用できます。

デフォルト ページには、ユーザ名、パスワード、[OK] ページだけが表示されます。

ゲスト アクセスは、次をサポートしていません。

• IPv6
• SNMP
• ローミング

キャプティブ ポータルのバイパス

Android、Apple、および Windows クライアントは、キャプティブ ポータルを使用して Wi-Fi ネットワークに接続します。これらのデバイスは、アソシエーションの時点でインターネット接続が使用できるかどうかを確認します。接続を使用できない場合、クライアントはワイヤレス ネットワークとアソシエートしません。これは、Web 認証または Web パススルーが強制される場合に、Autonomous AP ネットワークで問題になる可能性があります。

Web 認証または Web パススルーが強制される Autonomous AP ネットワークでは、ネットワーク接続は認証またはパススルーが成功した場合にのみ実現します。しかし、Web 認証または Web パススルーの前にキャプティブ ポータルが表示されるため、クライアントはネットワークへの接続に失敗します。

これを解決するために、Android および Windows クライアントでは、キャプティブ ポータルに障害が発生していても、ブラウザを使用して Web 認証または Web パススルーを実行できます。ただし、Apple クライアントでは、キャプティブ ポータルに障害が発生している場合、Web ブラウザを開くことはできません。これを解決するために、Apple クライアントでは、キャプティブ ポータル バイパス機能を設定できます。

Apple クライアントのキャプティブ ポータル バイパス（CLI）

Apple クライアントのキャプティブ ポータル機能をバイパスするには、コマンド dot11 captive-portal-bypass を使用します。

このコマンドは、Web 認証 と Web パススルーの両方に対応します。

このバイパスを無効にするには、コマンド no dot11 captive-portal-bypass を使用します。

Apple クライアントのキャプティブ ポータル バイパス（GUI）

Apple クライアントのキャプティブ ポータル機能をバイパスするには、[Management] > [Webauth Login] を選択します。

[Captive Portal Bypass] フィールド（Apple クライアントのみ）の対応するオプションをクリックすることによって、このバイパス機能を有効または無効にすることができます。