同じ SSID を持つ WLAN は、ビーコン応答とプローブ応答でアドバタイズされる情報に基づいてクライアントが WLAN を選択できるように、一意のレイヤ 2 セキュリティ ポリシーを使用している必要があります。 使用可能なレイヤ 2 セキュリティ ポリシーは、次のとおりです。

• なし（オープン WLAN）

• Static WEP または 802.1X

  （注）	Static WEP と 802.1X は両方とも、ビーコン応答とプローブ応答で同じビットによってアドバタイズされるので、クライアントはこれらを区別できません。 したがって、同じ SSID を持つ複数の WLAN では、Static WEP と 802.1X の両方を使用できません。

• WPA/WPA2

  （注）	同じ SSID を持つ複数の WLAN で WPA と WPA2 を使用することはできませんが、同じ SSID を持つ 2 つの WLAN は、PSK を使用する WPA/TKIP と 802.1X を使用する Wi-Fi Protected Access（WPA）/Temporal Key Integrity Protocol（WPA）で設定するか、802.1X を使用する WPA/TKIP または 802.1X を使用する WPA/AES で設定することができます。

コントローラでは、アクセス ポイント上で Static WEP キーを制御できます。 WLAN の Static WEP を設定するには、次のコマンドを使用します。

• 次のコマンドを入力して、802.1X 暗号化を無効にします。

  config wlan security 802.1X disable wlan_id

• 次のコマンドを入力して、40/64 ビットまたは 104/128 ビット WEP キーを設定します。

  config wlan security static-wep-key encryption wlan_id {40 | 104} {hex | ascii} key key_index

  • 40/64 ビットまたは 104/128 ビット暗号化を指定するには、40 または 104 オプションを使用します。 デフォルトの設定は、104/128 です。

  • WEP キーの文字形式を指定するには、hex または ascii オプションを使用します。

  • 40 ビット/64 ビット WEP キーの場合は 10 桁の 16 進数（0 ～ 9、a ～ f、または A ～ F の組み合わせ）または印刷可能な 5 つの ASCII 文字を入力します。または、104 ビット/128 ビット キーの場合は 26 桁の 16 進数または 13 の ASCII 文字を入力します。

  • キー インデックス（キー スロットとも呼ばれます）を入力します。 デフォルト値は 0 で、これはキー インデックス 1 に相当します。有効な値は 0 ～ 3（キー インデックス 1 ～ 4）です。

コントローラでは、アクセス ポイント上で Extensible Authentication Protocol（EAP; 拡張認証プロトコル）を使用する 802.1X Dynamic WEP キーを制御できます。また、WLAN の 802.1X ダイナミック キー設定をサポートしています。

（注）	Lightweight アクセス ポイントとワイヤレス クライアントで LEAP を使用するには、CiscoSecure Access Control Server（ACS）を設定する際に RADIUS サーバ タイプとして [Cisco-Aironet] を選択することを確認します。

• 各無線 LAN のセキュリティ設定を確認するには、次のコマンドを入力します。

  show wlan wlan_id

  新しい WLAN のデフォルトのセキュリティ設定は、ダイナミック キーが有効な 802.1X です。 レイヤ 2 の堅牢なポリシーを維持するには、802.1X を WLAN 上で設定したままにします。

• 次のコマンドを入力して、802.1X 暗号化を無効または有効にします。

  config wlan security 802.1X {enable | disable} wlan_id

  802.1X 認証を有効にした後、コントローラから、ワイヤレス クライアントと認証サーバとの間で EAP 認証パケットが送信されます。 このコマンドにより、すべての EAP タイプのパケットは、コントローラとの送受信が可能になります。

  （注）	コントローラは、同じ WLAN で Web 認証と 802.1X 認証の両方を実行します。 クライアントは、最初に 802.1x で認証されます。 認証が成功すると、クライアントは、Web 認証クレデンシャルを提供する必要があります。 Web 認証が成功すると、クライアントは RUN 状態に移行します。

• 次のコマンドを入力して、WLAN の 802.1X 暗号化レベルを変更します。

  config wlan security 802.1X encryption wlan_id [0 | 40 | 104]

  • 802.1X 暗号化なしを指定するには、0 オプションを使用します。

  • 40/64 ビット暗号化を指定するには、40 オプションを使用します。

  • 104/128 ビット暗号化を指定するには、104 オプションを使用します （これは、デフォルトの暗号化設定です）。

• この機能はメッシュ アクセス ポイントでサポートされません。

• この機能は FlexConnect モードのアクセス ポイントでサポートされません。

• FlexConnect モードのアクセス ポイントの場合、

  • 802.11r 高速移行は、中央でスイッチされる WLAN とローカルにスイッチされる WLAN でのみサポートされます。

  • この機能は、ローカル認証が有効になっている WLAN ではサポートされません。

• この機能は、Cisco 600 シリーズ OfficeExtend アクセス ポイントなどの Linux ベースの AP ではサポートされません。

• 802.11r クライアント アソシエーションは、スタンドアロン モードのアクセス ポイントではサポートされません。

• 802.11r 高速ローミングは、スタンドアロン モードのアクセス ポイントではサポートされません。

• ローカル認証 WLAN と中央認証 WLAN 間の 802.11r 高速ローミングはサポートされていません。

• クライアントがスタンドアロン モードの Over-the-DS 事前認証を使用する場合、802.11r 高速ローミングはサポートされません。

• EAP LEAP 方式はサポートされません。 WAN リンク遅延は、最大 2 秒間にアソシエーション時間を抑制します。

• スタンドアロン AP からクライアントへのサービスは、セッション タイマーが切れるまでサポートされます。

• TSpec は 802.11r 高速ローミングではサポートされません。 したがって、RIC IE の処理はサポートされません。

• WAN リンク遅延がある場合、高速ローミングも遅延します。 音声またはデータの最大遅延を確認する必要があります。 コントローラは、Over-the-Air および Over-the-DS の両方の方式をローミングする間、802.11r 高速移行の認証要求を処理します。

• この機能は、オープンで WPA2 設定の WLAN でのみサポートされます。

• レガシー クライアントは、Robust Security Network Information Exchange（RSN IE）の解析を担当するサプリカントのドライバが古く、IE 内の追加 AKM を認識しない場合、802.11r が有効にされている WLAN にアソシエートできません。 この制限のため、クライアントは、WLAN にアソシエーション要求を送信できません。 ただし、これらのクライアントは、非 802.11r WLAN とアソシエートできます。 802.11r 対応クライアントは、802.11r と 802.11i の両方の認証キー管理スイートが有効にされている WLAN の 802.11i クライアントとしてアソシエートできます。

  回避策は、レガシー クライアントのドライバを新しい 802.11r AKM で動作するようにするか、またはアップグレードすることです。そうすることで、レガシー クライアントは、802.11r 対応 WLAN と正常にアソシエートできます。

  もう 1 つの回避策は、同じ名前で異なるセキュリティ設定（FT および非 FT）の 2 つの SSID を持つことです。

• 高速移行のリソース要求プロトコルは、クライアントがこのプロトコルをサポートしていないため、サポートされません。 また、リソース要求プロトコルはオプションのプロトコルです。

• サービス不能（DoS）攻撃を回避するため、各 コントローラでは、異なる AP と最大 3 つの高速移行ハンドシェイクが可能です。

クライアントのローミング方法

図 1. Over the Air クライアント ローミング設定時のメッセージ交換. この図は、Over the Air クライアントのローミングを設定するときに実行されるメッセージ交換のシーケンスを示します。

図 2. Over the DS クライアント ローミング設定時のメッセージ交換. この図は、Over the DS クライアントのローミングを設定するときに実行されるメッセージ交換のシーケンスを示します。

• Cisco の従来の管理フレーム保護は 7.4 リリースで実装されている 802.11w 標準には関連しません。

• 802.11w 標準は FlexConnect の動作が設定されたものを除くすべての 802.11n 対応 AP でサポートされます。

• 802.11w 標準は、Cisco ワイヤレス LAN コントローラのモデル シリーズ、2500、5500、8500、および WiSM2 でサポートされています。

  802.11w 標準は、Cisco ワイヤレス LAN コントローラのモデル、Flex 7500 と仮想 Wireless LAN Controller でサポートされていません。

• 802.11w はオープン WLAN、 WEP 暗号化 WLAN、または TKIP 暗号化 WLAN に適用されていません。

• 802.11w が設定された WLAN では、WPA2-PSK または WPA2-802.1x セキュリティを設定する必要があります。