Enterprise Mobility 8.5 設計ガイド

サポートされるプラットフォーム

FlexConnect は、次のコンポーネントでのみサポートされます。

• Cisco AP-1130、AP-1240、AP-1040、AP-1140、AP-1260、AP-1250、AP-3500、AP-1600、AP-2600、AP-3600、AP-3700、AP-1700、AP-2700、AP 700、AP-1520、AP-1530、AP-1550、AP-1570 アクセス ポイント
• 1815i、1815W、1815-OEAP、1540 1560 レガシー AP：3500、OEAP 600、3600、2600、1600、3700、2700、1700、702、702W、802、1530、1552WU、1550、1570、1800 シリーズ、2800 シリーズ、3800 シリーズ
• Cisco 5520、8540、Flex 7500、Cisco 8500、4400、5500、3504、2500 シリーズ コントローラ
• Cisco WiSM-2
• Cisco 仮想コントローラ（vWLC）

スイッチング モード

FlexConnect AP は、WLAN ごとに次のスイッチング モードを同時にサポートできます。

ローカル スイッチング

ローカル スイッチング WLAN は、802.1Q トランキング経由で、別個の VLAN（隣接するルータまたはスイッチのいずれか）にワイヤレス ユーザ トラフィックをマップします。必要に応じて、1 つ以上の WLAN を同じローカル 802.1Q VLAN にマップできます。

ローカル スイッチング WLAN にアソシエートされたブランチ ユーザは、オンサイト ルータによってトラフィックが転送されます。オフサイト（セントラル サイト）に送信されるトラフィックは、ブランチ ルータによって、標準の IP パケットとして転送されます。AP の制御および管理に関連するすべてのトラフィックは、Control and Provisioning of Wireless Access Points（CAPWAP）プロトコル経由で、中央集中型ワイヤレス LAN コントローラ（WLC）に個別に送信されます。

中央スイッチング

中央スイッチング WLAN は、CAPWAP 経由で、ワイヤレス ユーザ トラフィックと制御トラフィックの両方を中央集中型 WLC にトンネリングします。ここで、ユーザ トラフィックは WLC 上のダイナミック インターフェイスまたは VLAN にマップされます。これは、CAPWAP モードの通常の動作です。

中央スイッチング WLAN にアソシエートされたブランチ ユーザのトラフィックは、中央集中型 WLC に直接トンネリングされます。そのユーザが（そのクライアントがアソシエートされた）ブランチ内部のコンピューティング リソースと通信する必要がある場合、そのユーザのデータは WAN リンクを介して、標準 IP パケットとしてブランチ ロケーションに戻されます。WAN リンクの帯域幅によっては、望ましい動作が得られない場合があります。

動作モード

FlexConnect AP には、次の 2 種類の動作モードがあります。

接続モード：WLC に到達可能な状態です。このモードでは、FlexConnect AP とその WLC が CAPWAP 接続されます。

スタンドアロン モード：WLC に到達できない状態です。FlexConnect はその WLC との CAPWAP 接続を失ったか、または確立に失敗しました。この状態は、ブランチ サイトとセントラル サイト間の WAN リンクが停止した場合などに発生します。

FlexConnect の状態

FlexConnect WLAN は、その構成とネットワーク接続によって、次のいずれかの状態に分類されます。

中央認証/中央スイッチング

WLAN が、802.1X、VPN、または Web などの中央集中型認証方式を使用している状態です。ユーザ トラフィックは CAPWAP 経由で WLC に送信されます。この状態は、FlexConnect が接続モードの場合にのみサポートされます（図 7-2 を参照）。この例では 802.1X が使用されていますが、他のメカニズムにも同様に適用できます。

図 7-2 中央認証/中央スイッチング WLAN

認証ダウン/スイッチング ダウン

FlexConnect AP がスタンドアロン モードのときは、中央スイッチング WLAN（上記）がプローブ要求に対してビーコンを送ったり、応答したりすることはありません。既存のクライアントのアソシエーションは解除されます。

中央認証/ローカル スイッチング

WLAN は中央集中型認証を使用しますが、ユーザ トラフィックがローカルにスイッチングされる状態です。この状態は、FlexConnect AP が接続モードの場合にのみサポートされます（図 7-3 を参照）。図 7-3 の例では 802.1X が使用されていますが、他のメカニズムにも同様に適用できます。

図 7-3 中央認証/ローカル スイッチング WLAN

認証ダウン/ローカル スイッチング

中央集中型認証を必要とする WLAN（上述のとおり）は、新しいユーザを拒否します。すでに認証済みのユーザは、セッションのタイムアウトまで、引き続きローカルにスイッチングされます（セッションのタイムアウトが設定されている場合）。WLAN にアソシエートされている（既存の）ユーザがなくなるまで、WLAN はビーコン送信およびプローブ応答を継続します。この状態は、AP がスタンドアロン モードに移行した結果として発生します（図 7-4）。

図 7-4 認証ダウン/ローカル スイッチング

ローカル認証/ローカル スイッチング

WLAN がオープンなセキュリティ方式、スタティック WEP、共有型セキュリティ方式、または WPA2 PSK セキュリティ方式を使用している状態です。ユーザ トラフィックはローカルにスイッチングされます。FlexConnect がスタンドアロン モードになると、これらのセキュリティ方式だけがローカルにサポートされます。WLAN は、ビーコン送信およびプローブ応答を継続します（図 7-5 を参照）。既存のユーザは接続されたままで、新しいユーザのアソシエーションが受け入れられます。AP が接続モードの場合、これらのセキュリティ タイプの認証情報は WLC に転送されます。

図 7-5 ローカル認証/ローカル スイッチング WLAN

（注） AP がどの動作モードにあるかに関係なく、すべての 802.11 認証およびアソシエーション処理が発生します。接続モードのときは、FlexConnect AP はすべてのアソシエーション/認証情報を WLC に転送します。スタンドアロン モードのときは、AP はこれらのイベントを WLC に通知することができません。そのため、中央集中型認証/スイッチング方式を使用する WLAN は使用できなくなります。

ブランチのワイヤレス接続

FlexConnect は、ワイヤレス ユーザ トラフィックを WAN 経由で中央の WLC にトンネリングするのではなく、ローカルに終了できるようにすることで、ブランチ ロケーションのワイヤレス接続のニーズに対応します。FlexConnect により、ブランチ ロケーションでは図 7-6 に示すように、WLAN ごとにセグメンテーション、アクセス制御、および QoS ポリシーをより効果的に実装できます。

ブランチのゲスト アクセス

中央集中型 WLC 自身が、図 7-6 に示すように、ゲスト アクセス WLAN に対して Web ネットワーク認証を実行できます。ゲスト ユーザのトラフィックは、他のブランチ オフィスのトラフィックから分割（隔離）されます。ゲスト アクセスの詳細については、Chapter10, “Cisco Unified Wireless Network ゲスト アクセス サービス”を参照してください。

図 7-6 FlexConnect トポロジ

WLAN 公共ホットスポット

多くの公共ホットスポット サービス プロバイダーは、複数の SSID/WLAN の実装を始めています。この理由の 1 つは、Web ベースのアクセス用のオープン認証 WLAN と、これとは別に、より安全なパブリック アクセス用に 802.1x/EAP を使用する WLAN も提供したいと考える事業者も存在するためです。

WLAN を個別の VLAN にマップできる FlexConnect AP は、1、2 個の AP しか必要としない小規模地域のホットスポット展開で、スタンドアロン AP の代替手段となります。図 7-7 は、FlexConnect AP を使用したホットスポット トポロジの例を示しています。

図 7-7 FlexConnect ローカル スイッチングを使用したホットスポット アクセス

ブランチ サイトでのワイヤレス BYOD

リリース 7.2.110.0 は、ローカルにスイッチングされ、中央で認証されるクライアントに対し、FlexConnect AP の ISE 機能をサポートします。また、リリース 7.2.110.0 は ISE 1.1.1 と統合されているため、ワイヤレス環境において、たとえば以下のような BYOD ソリューションを提供します。

• デバイスのプロファイリングとポスチャ
• デバイスの登録とサプリカントのプロビジョニング
• 個人用デバイスのオンボード（iOS または Android デバイスのプロビジョニング）

WAN リンク

FlexConnect AP を予測どおりに機能させるためには、WAN リンク特性に関する次のことに留意してください。

• 遅延：特定の WAN リンクで 100 ミリ秒を超える遅延が発生しないように管理する必要があります。AP は、30 秒ごとにハートビート メッセージを WLC に送信します。ハートビート応答がない場合、AP は 5 回連続（1 秒に 1 回ずつ）でハートビート メッセージを送信して、まだ接続しているかどうかを確認します。接続が失われている場合は、FlexConnect AP はスタンドアロン モードに切り替わります。

同様に、AP と WLC はエコー CAPWAP パケットを交換して、接続の有無を確認します。エコー CAPWAP パケットの応答がない場合、AP は 5 回連続（3 秒に 1 回ずつ）でエコー CAPWAP パケットを送信して、まだ接続しているかどうかを確認します。接続が失われている場合は、FlexConnect AP はスタンドアロン モードに切り替わります（動作モードの定義については動作モードを参照）。AP 自体は、比較的高い遅延耐性を持っています。ただし、クライアントでは、認証に関連付けられたタイマーはリンク遅延に対して敏感であり、100 ミリ秒未満の制約が要求されます。遅延がそれ以上になると、クライアントは認証を待機しながらタイムアウトとなる可能性があり、この結果、ルーピングなど、その他の予測不可能な動作が発生するおそれがあります。

• 帯域幅：1 つのロケーションに 8 ヵ所以下の AP を展開する場合は、WAN リンクに 128 kbps 以上の帯域幅が必要です。8 ヵ所を超える AP を展開する場合、比例配分により高い帯域幅を WAN リンクにプロビジョニングする必要があります。
• パス MTU：500 バイト以上の MTU が必要です。

ローミング

FlexConnect AP が接続モードのときは、すべてのクライアント プローブ、アソシエーション要求、802.1x 認証要求、および対応する応答メッセージが、CAPWAP コントロール プレーンを経由して AP と WLC の間で交換されます。これは、オープン、スタティック WEP、および WPA PSK ベースの WLAN にも当てはまります。AP がスタンドアロン モードのときは、これらの認証方式を使用するために CAPWAP 接続を必要としませんが、その場合も同様です。

• ダイナミック WEP/WPA：これらのキー管理方式のいずれかを使用して FlexConnect AP 間をローミングするクライアントは、ローミングするたびに完全な認証を実行します。認証が成功すると、新しいキーが AP とクライアントに渡されます。この動作は、標準の中央集中型 WLAN 展開と同じです。ただし、FlexConnect トポロジ内では、WAN 全体でさまざまなリンク遅延が生じることがあり、この結果、合計ローミング時間に影響が及ぶ可能性があります。使用されている WAN の特性、RF 設計、バック エンド認証ネットワーク、および認証プロトコルに応じて、ローミング時間が変動する場合があります。
• WPA2：クライアントのローミング時間を短縮するために、WPA2 では、IEEE 802.11i 仕様に基づくキー キャッシング機能を導入しています。シスコでは、この仕様に Proactive Key Caching（PKC）と呼ばれる拡張機能を追加しました。現在、PKC は Microsoft の Zero Config Wireless サプリカントと Funk（Juniper）Odyssey クライアントでのみサポートされています。Cisco CCKM も WPA2 と互換性があります。

ワイヤレス IP テレフォニーなどのアプリケーションをサポートする、予測可能な高速ローミングの動作が必要となるリモート ブランチ ロケーションでは、ローカル WLC（UCS ブレード上の仮想コントローラ、または 2500 WLC）の導入を検討する必要があります。

• Cisco Centralized Key Management（CCKM）：CCKM はシスコが開発したプロトコルです。このプロトコルでは、CCKM 対応クライアントのセキュリティ クレデンシャルが WLC にキャッシュされ、モビリティ グループ内の他の AP に転送されます。クライアントが他の AP にローミングおよびアソシエートするとき、クレデンシャルがこの AP に転送されるため、2 段階プロセスでクライアントを再びアソシエートして認証できます。これにより、AAA サーバでの完全認証を実行する必要がなくなります。CCKM 対応クライアントは、ある FlexConnect から別の FlexConnect に移動するたびに、完全な 802.1x 認証を受けます。
• CCKM/OKC 高速ローミングで FlexConnect アクセス ポイントを使用するには、FlexConnect グループが必要となります。高速ローミングは、完全な EAP 認証で使用されたマスター キーの派生キーをキャッシュすることにより実現します。これにより、ワイヤレス クライアントが別のアクセス ポイントにローミングする際に、簡単かつ安全にキー交換できるようになります。この機能により、クライアントをあるアクセス ポイントから別のアクセス ポイントへローミングする際に、完全な RADIUS EAP 認証を実行する必要がなくなります。FlexConnect アクセス ポイントでは、アソシエートする可能性のあるすべてのクライアントに対する CCKM/OKC キャッシュ情報を取得する必要があります。これにより、キャッシュ情報をコントローラに送り返すことなく、すばやく処理できます。しかし、たとえば 300 のアクセス ポイントを持つコントローラと、アソシエートする可能性のある 100 台のクライアントがある場合、100 台すべてのクライアントに対する CCKM/OKC キャッシュを送信することは現実的ではありません。限定した数のアクセス ポイントから成る FlexConnect グループを作成すれば（たとえば、1 つのリモート オフィス内の 4 つのアクセス ポイントのグループを作成）、クライアントはその 4 つのアクセス ポイント間でのみローミングします。CCKM/OKC キャッシュがその 4 つのアクセス ポイント間で配布されるのは、クライアントがそのいずれかにアソシエートするときだけとなります。
• レイヤ 2 スイッチの CAM テーブルの更新：クライアントがローカルにスイッチングされる WLAN 上で、ある AP から別の AP にローミングしたときに、FlexConnect はクライアントがポートを変更したことをレイヤ 2 スイッチに通知しません。スイッチは、クライアントがデフォルト ルータに対する ARP 要求を実行するまで、クライアントがローミングしたことを認識しません。この動作は、わずかですが、ローミングのパフォーマンスに影響を与える可能性があります。

（注） （所定のローカル スイッチング WLAN 上で）WLAN を異なる VLAN/サブネットにマップする FlexConnect AP 間をローミングするクライアントは、ローミング先のネットワークに適したアドレスとなるように、自身の IP アドレスを更新します。

無線リソース管理

接続モードの間、すべての無線リソース管理（RRM）機能は、基本的に使用可能です。ただし、一般的な FlexConnect 展開は少数の AP で構成されているため、ブランチ ロケーションで RRM 機能が動作しない場合があります。たとえば、伝送パワー コントロール（TPC）を行うには、最低 4 ヵ所の FlexConnect AP がお互いに近接している必要があります。TPC なしでは、カバレッジ ホール保護などの機能が使用できません。

ロケーション サービス

FlexConnect 展開は一般的に、所定のロケーションで少数の AP のみで構成されます。シスコでは、高レベルのロケーション確度を達成するため、AP の数と配置に関する厳格なガイドラインを用意しています。このため、FlexConnect 展開からロケーション情報を取得することも可能ですが、リモート ロケーション展開で確度のレベルは大きく異なる可能性があります。

QoS の考慮事項

中央でスイッチングされる WLAN では、FlexConnect AP は標準の AP と同様に QoS を処理します。ローカルにスイッチングされる WLAN は、異なる方法で QoS を実装します。

Wi-Fi MultiMedia（WMM）トラフィックを扱う、ローカルにスイッチングされる WLAN の場合、AP はアップストリーム トラフィックに対する dot1q VLAN タグ内の dot1p 値をマーク付けします。これはタグ付き VLAN でのみ行われ、ネイティブ VLAN では行われません。

ダウンストリーム トラフィックの場合、FlexConnect はローカルにスイッチングされるイーサネットから受信する dot1p タグを使用し、RF リンクを介して所定のユーザ宛てに送信されるフレームに関連付けられている WMM 値をキューに入れ、マーク付けします。

アップストリームとダウンストリームの両方のパケットで WLAN QoS プロファイルが適用されます。ダウンストリームでは、デフォルトの WLAN 値より高い 802.1p 値を受信した場合、デフォルトの WLAN 値が使用されます。アップストリームでは、クライアントがデフォルトの WLAN 値よりも高い WMM 値を送信すると、デフォルトの WLAN 値が使用されます。WMM 以外のトラフィックでは、AP からのクライアント フレームに CoS マーキングは含まれません。

詳細については、Chapter5, “Cisco Unified Wireless QoS、AVC および ATF”を参照してください。

（注） シスコでは、DSCP 設定に基づいてトラフィックが正しく処理されるように、適切なキューイング/ポリシング メカニズムを WAN 全体で実装することを強く推奨します。輻輳が原因となり、FlexConnect AP が接続モードとスタンドアロン モードとの切り替えを繰り返してしまう事態を防止するため、CAPWAP 制御トラフィック用の適切なプライオリティ キューを予約する必要があります。

アクセス ポイントの制御トラフィックを中央で集中管理する利点

AP 制御トラフィックを中央で集中管理する利点は、次のとおりです。

• モニタリングとトラブルシューティングの一括管理
• 管理の容易性
• データセンター リソースへのセキュアでシームレスなモバイル アクセス
• ブランチの占有面積の削減
• 運用コスト節約の向上

クライアント データ トラフィックを分散する利点

クライアント データ トラフィックを分散する利点は、次のとおりです。

• WAN リンクが完全に停止した場合や、コントローラが使用不能になった場合でも、運用上のダウンタイムが生じない（サバイバビリティ）
• WAN リンクで障害が発生した場合の、ブランチ内のモビリティの回復力。
• ブランチの拡張性の向上最大 100 ヵ所の AP および 250,000 平方フィート（AP あたり 5000 平方フィート）まで拡張可能なブランチの規模をサポート

中央クライアント データ トラフィック

Cisco FlexConnect ソリューションは、中央クライアント データ トラフィックもサポートしますが、ゲスト データ トラフィックのみに制限されます。 表 7-1 と 表 7-2 は、データ トラフィックが中央のデータセンターでもスイッチングされるゲスト クライアント以外にのみ適用される、WLAN セキュリティ タイプの制限の概要を示します。

（注） これらの認証の制限は、データ トラフィックが各ブランチに分散されるクライアントには適用されません。

主要な設計要件

FlexConnect AP はブランチ サイトに展開され、WAN リンクを介してデータセンターから管理されます。AP あたりの最小帯域幅制限を 24 kbps に維持し、ラウンドトリップ遅延を 300 ミリ秒以下に抑えることを強く推奨します（ 表 7-3 を参照）。

最大伝送ユニット（MTU）は、500 バイト以上にする必要があります。

主要な設計要件は次のとおりです。

• 最大 100 ヵ所の AP および 250,000 平方フィート（AP あたり 5000 平方フィート）まで拡張できるブランチの規模をサポート
• 一元的な管理およびトラブルシューティング
• 運用上のダウンタイムなし
• クライアント ベースのトラフィック セグメンテーション
• コーポレート リソースへのシームレスで、セキュアなワイヤレス接続
• PCI 準拠
• ゲストのサポート

FlexConnect グループの設定

FlexConnect が接続モードまたはスタンドアロン モードのときに、ローカル拡張認証プロトコル（LEAP）を使用したローカル認証をサポートするように FlexConnect グループを設定するには、次の手順を実行します。

ステップ 1 [Wireless] > [FlexConnect Groups] の下の [New] をクリックします。

ステップ 2 グループ名を Store 1 として割り当てます。

ステップ 3 グループ名を設定したら、[Apply] をクリックします。

ステップ 4 新しく作成したグループ名 Store 1 をクリックします。

ステップ 5 [Add AP] をクリックします。

ステップ 6 AP がスタンドアロン モードのときにローカル認証を有効にするには、[Enable AP Local Authentication] チェックボックスをオンにします。

ステップ 7 [AP Name] ドロップダウン メニューを有効にするには、[Select APs from current controller] チェックボックスをオンにします。

ステップ 8 この FlexConnect グループに含める必要がある AP を [AP Name] ドロップダウン メニューから選択します。

ステップ 9 [Add] をクリックします。

ステップ 10 ステップ 7 とステップ 8 を繰り返し、この FlexConnect グループ Store 1 に必要なすべての AP を追加します。

（注） AP グループと FlexConnect グループ間の比率を 1 対 1 に維持することにより、ネットワーク管理を簡略化できます。

ステップ 11 [Local Authentication] > [Protocols] タブに移動し、[Enable LEAP Authentication] チェックボックスをオンにします。

ステップ 12 [Apply] をクリックします。

（注） バックアップ コントローラがある場合は、双方の FlexConnect グループが同一であり、FlexConnect グループごとに AP の MAC アドレス エントリが含まれていることを確認します。

ステップ 13 [Local Authentication] > [Local Users] タブに移動します。

ステップ 14 AP 上にある LEAP サーバ内にユーザ エントリを作成するには、[UserName]、[Password]、および [Confirm Password] フィールドを設定し、[Add] をクリックします。

ステップ 15 ステップ 13 を繰り返し、必要なローカル ユーザ名をすべて追加します。100 人を超えるユーザを設定または追加することはできません。

ステップ 16 すべてのローカル ユーザ情報の入力が完了したら、[Apply] をクリックします。ユーザ数が検証されます。

ステップ 17 上部のペインで [WLANs] をクリックします。

ステップ 18 AP グループの作成時に作成された [WLAN ID] 番号をクリックします。この例では WLAN 17 です。

ステップ 19 [WLAN] > [Edit for WLAN ID 17] の下の [Advanced] をクリックします。

ステップ 20 接続モードでローカル認証を有効にするには、[FlexConnect Local Auth] チェックボックスをオンにします。

（注） ローカル認証は、ローカル スイッチングを使用する FlexConnect のみでサポートされます。WLAN の下でローカル認証を有効化する前に、必ず FlexConnect グループを作成してください。

ローカル認証

図 7-8 に示すように、FlexConnect ブランチ AP がコントローラとの接続を失った場合でも、クライアントは引き続き 802.1X 認証を実行できます。RADIUS/ACS サーバにブランチ サイトから到達可能な限り、ワイヤレス クライアントは、引き続き認証とワイヤレス サービスへのアクセスを行います。

つまり、RADIUS/ACS がブランチ内部にあれば、クライアントは WAN が停止している間でも、認証とワイヤレス サービスへのアクセスを行います。

図 7-8 ローカル認証：AP オーセンティケータ

• WAN の障害、WLC の障害、および RADIUS サーバの障害を視野に入れ、ブランチの復元力を強化するためにローカル バックアップ RADIUS サーバを設定します。
• この機能は、セントラル サイトとの WAN 遅延が大きいリモート オフィスでも使用されます。
• プライマリ バックアップ RADIUS サーバを設定することも、プライマリとセカンダリの両方のバックアップ RADIUS サーバを設定することもできます。スタンドアロン モードの FlexConnect AP は、バックアップ RADIUS サーバに対して完全な 802.1X 認証を実行するように設定できます。
• これらのサーバは、FlexConnect AP がコントローラに接続されていない場合か、または WLAN がローカル認証用に設定されている場合に使用されます。
• RADIUS/ACS がブランチ内部にある場合、クライアントは WAN が停止している間でも、認証とワイヤレス サービスへのアクセスを行います。

（注） ローカル バックアップ RADIUS サーバを設定する場合は、次の制限事項に注意してください。ローカル バックアップ RADIUS サーバをブランチで使用する場合は、オーセンティケータとして機能するすべての AP の IP アドレスを、この RADIUS サーバに追加する必要があります。

（注） ローカル認証機能は、FlexConnect バックアップ RADIUS サーバ機能と組み合わせて使用できます。FlexConnect グループにバックアップ RADIUS サーバ機能とローカル認証機能の両方を設定した場合、FlexConnect AP はまず、プライマリ バックアップ RADIUS サーバを使用してクライアントの認証を試行します。次に、セカンダリ バックアップ RADIUS サーバによる認証を試行し（プライマリに到達できない場合）、最後に FlexConnect AP 自体のローカルな EAP サーバによる認証を試行します（プライマリとセカンダリの両方に到達できない場合）。

ローカル EAP

スタンドアロン モードまたは接続モードの FlexConnect AP が、最大 100 人の静的に設定されたユーザに対して LEAP または EAP-FAST 認証を実行できるように、コントローラを設定できます。特定の FlexConnect グループがコントローラに参加すると、コントローラはユーザ名およびパスワードの静的リストを、この FlexConnect グループ内の個々の FlexConnect AP に送信します。グループ内の各 AP は、自身にアソシエートされたクライアントのみを認証します。

この機能が適しているのは、カスタマーがスタンドアロン AP ネットワークから軽量な FlexConnect AP ネットワークに移行するときに、大きなユーザ データベースを保持したくない場合や、スタンドアロン AP で利用可能な RADIUS サーバ機能を置き換える、新たなハードウェア デバイスを追加したくない場合です。

PEAP、EAP-TLS 認証のサポート

FlexConnect AP は LEAP および EAP-FAST クライアント認証用の RADIUS サーバとして設定できます。スタンドアロン モードであり、WLAN 上でローカル認証機能が有効にされている場合は、FlexConnect AP はローカル RADIUS を使用して、AP 自身の dot1x（802.1X）認証を行います。リリース 7.5 のコントローラでは、PEAP、EAP-TLS の EAP 方式もサポートされます。

CCKM/OKC 高速ローミング

Cisco Centralized Key Management（CCKM）および Opportunistic Key Caching（OKC）高速ローミングで FlexConnect AP を使用する場合には、FlexConnect グループが必要となります。高速ローミングは、ワイヤレス クライアントを別の AP にローミングする際に簡単かつ安全にキー交換できるように、完全な EAP 認証が実行されたマスター キーの派生キーをキャッシュすることにより実現します。

この機能により、クライアントをある AP から別の AP へローミングする際に、完全な RADIUS EAP 認証を実行する必要がなくなります。FlexConnect アクセス ポイントでは、アソシエートする可能性のあるすべてのクライアントに対する CCKM/OKC キャッシュ情報を取得する必要があります。これにより、キャッシュ情報をコントローラに送り返すことなく、すばやく処理できます。

しかし、たとえば 300 の AP を持つコントローラと、アソシエートする可能性のある 100 台のクライアントがある場合、100 台すべてのクライアントに対する CCKM/OKC キャッシュを送信することは現実的ではありません。限定した数の AP から成る FlexConnect グループを作成すれば（たとえば、1 つのリモート オフィス内の 4 つの AP のグループを作成）、クライアントはその 4 つの AP 間でのみローミングします。CCKM/OKC キャッシュがその 4 つの AP 間で配布されるのは、クライアントがそのいずれかにアソシエートするときだけとなります。

この機能とバックアップ RADIUS およびローカル認証（ローカル EAP）により、ブランチ サイトの運用上のダウンタイムがなくなります。

FlexConnect グループは、FlexConnect AP が接続モードまたはスタンド アロンモードであり、クライアントに CCKM/OKC 高速ローミングが必要な場合に使用します。

この機能により、クライアントが AP から別の AP へローミングする際に、完全な RADIUS EAP 認証を実行する必要がなくなります。

FlexConnect アクセス ポイントでは、アソシエートする可能性のあるすべてのクライアントに対する CCKM/OKC キャッシュ情報を取得する必要があります。これにより、キャッシュ情報をコントローラに送り返すことなく、すばやく処理できます。

（注） CCKM/OKC 高速ローミングは FlexConnect AP でのみサポートされます。

FlexConnect VLAN オーバーライドの要約

• AAA VLAN オーバーライドは、中央およびローカル認証モードでローカル スイッチングが設定された WLAN に対し、リリース 7.2 からサポートされています。
• AAA オーバーライドは、ローカル スイッチングが設定された WLAN 上で有効にする必要があります。
• FlexConnect AP には、動的な VLAN 割り当て用に、WLC から VLAN が事前に作成されている必要があります。
• AAA オーバーライドから返された VLAN が AP クライアント上にない場合、IP は AP のデフォルト VLAN インターフェイスから取得されます。

FlexConnect VLAN 中央スイッチングの要約

FlexConnect AP が接続モードの場合に、ローカル スイッチングが設定された WLAN 上のトラフィック フローは、次のようになります。

• VLAN が AAA 属性の 1 つとして返され、その VLAN が FlexConnect AP データベースに存在しない場合、トラフィックは中央でスイッチングされます。この VLAN が WLC 上に存在する場合は、AAA サーバから返されたこの VLAN とインターフェイスがクライアントに割り当てられます。
• VLAN が AAA 属性の 1 つとして返され、その VLAN が FlexConnect AP データベースに存在しない場合、トラフィックは中央でスイッチングされます。その VLAN が WLC にも存在しない場合、クライアントには WLC 上で WLAN にマッピングされた VLAN とインターフェイスが割り当てられます。
• VLAN が AAA 属性の 1 つとして返され、その VLAN が FlexConnect AP データベースに存在する場合、トラフィックはローカルにスイッチングされます。
• AAA サーバから VLAN が返されない場合、クライアントには、その FlexConnect AP 上で WLAN にマッピングされた VLAN が割り当てられ、トラフィックはローカルにスイッチングされます。

FlexConnect AP がスタンドアロン モードの場合に、ローカル スイッチングが設定された WLAN 上のトラフィック フローは、次のようになります。

• AAA サーバによって返された VLAN が FlexConnect AP データベースに存在しない場合、クライアントはデフォルト VLAN（つまり、FlexConnect AP 上で WLAN にマッピングされた VLAN）に配置されます。AP が接続モードに戻ると、このクライアントは認証を解除され、トラフィックが中央でスイッチングされます。
• AAA サーバによって返された VLAN が FlexConnect AP データベースに存在する場合、クライアントは返された VLAN に配置され、トラフィックはローカルにスイッチングされます。
• AAA サーバから VLAN が返されない場合、クライアントには、その FlexConnect AP 上で WLAN にマッピングされた VLAN が割り当てられ、トラフィックはローカルにスイッチングされます。

FlexConnect VLAN 名オーバーライドの要約

• VLAN 名オーバーライド機能は、ローカル スイッチング WLAN での中央およびローカル認証の両方に対応します。
• AAA サーバから複数の VLAN 属性が返される場合は、VLAN 名属性が優先されます。
• Aire-Interface-Name 属性と Tunnel-Private-Group-ID 属性の両方が返される場合は、Tunnel-Private-Group-ID 属性のほうが優先されます。
• AAA サーバから不明の VLAN 名属性が返された場合、クライアントには、AP 上に存在する WLAN-VLAN ID マッピングがデフォルトで適用されます。
• この機能は、スタンドアロン モードでもサポートされます。

FlexConnect ACL の要約

• コントローラ上に FlexConnect ACL を作成します。
• この ACL を、AP レベルでの VLAN ACL マッピングに基づき、FlexConnect AP 上に存在する VLAN に適用します。
• VLAN-ACL マッピングに基づき、FlexConnect グループに存在する VLAN にも適用できます（一般に AAA オーバーライドされた VLAN に対して行います）。
• VLAN に対して ACL を適用する際に、適用する方向として、 ingress 、 egress 、または ingress and egress を選択します。

FlexConnect ACL の制限事項

• 1 つの WLC には、最大 512 個の FlexConnect ACL を設定できます。
• 個々の ACL には 64 個のルールを設定できます。
• FlexConnect グループまたは FlexConnect AP あたり最大 32 個の ACL をマッピングできます。
• FlexConnect AP 上には、一度に最大 16 の VLAN と 32 個の ACL を設定できます。

クライアント ACL サポート

リリース 7.5 以前では、VLAN で FlexConnect ACL がサポートされます。また、VLAN の AAA オーバーライドもサポートされます。クライアントに対して VLAN の AAA オーバーライドが行われた場合、このクライアントはオーバーライドされた VLAN 上に配置され、この VLAN の ACL が適用されます。ローカルにスイッチされるクライアントに対し、AAA サーバから ACL が送られてきた場合は、この ACL は無視されます。リリース7.5ではこの制限事項が解決され、ローカルにスイッチされる WLAN に対し、クライアント ベースの ACL がサポートされます。

スプリット トンネルの要約

• スプリット トンネリング機能は、FlexConnect AP のみによってアドバタイズされる、中央でのスイッチングが設定された WLAN 上でサポートされます。
• スプリット トンネリングを設定した WLAN 上では、必要な DHCP を有効化する必要があります。
• スプリット トンネリングの設定は、FlexConnect AP ごと、または FlexConnect グループ内のすべての FlexConnect AP に対して、中央スイッチングが設定された WLAN ごとに適用されます。

スプリット トンネリングの制限事項

• FlexConnect ACL ルールは、同じサブネットを送信元および宛先とする permit/deny 文を使用して設定できません。
• スプリット トンネリングが設定された、中央でスイッチングされる WLAN 上のトラフィックをローカルにスイッチングできるのは、ワイヤレス クライアントがローカル サイト上にあるホスト宛のトラフィックを送信した場合のみです。トラフィックが、ローカル サイト上のクライアントまたはホストにより、上記のとおり設定された WLAN 上のワイヤレス クライアントに送信された場合は、宛先に到達できません。
• マルチキャストまたはブロードキャスト トラフィックについては、スプリット トンネリングはサポートされていません。マルチキャストまたはブロードキャスト トラフィックは、FlexConnect ACL に一致しても中央でスイッチングされます。
• スプリット トンネル機能は、外部アンカー ローミング シナリオではサポートされていません。

耐障害性の要約

• コントローラの設定を変更しない限り、FlexConnect AP が同じコントローラに再接続する場合、クライアントが切断されることはありません。
• 設定に変更がなく、バックアップ コントローラがプライマリ コントローラと同じである限り、FlexConnect AP がバックアップ コントローラに接続する場合、クライアントが切断されることはありません。
• コントローラの設定に変更がない限り、FlexConnect AP がプライマリ コントローラに再接続する場合、その無線はリセットされません。

耐障害性の制限事項

• ローカル スイッチングによる、中央またはローカルの認証を使用する FlexConnect のみでサポートされます。
• 中央で認証されるクライアントは、FlexConnect AP がスタンドアロン モードから接続モードに切り替わる前にクライアント セッション タイマーが切れた場合、完全な再認証が必要となります。
• プライマリおよびバックアップ コントローラは、同じモビリティ ドメインに属している必要があります。

P2P の要約

• P2P ブロッキングは、WLAN ごとに設定します。
• WLAN ごとの P2P ブロッキングの設定は、WLC によって FlexConnect AP にプッシュされます。
• WLAN 上で P2P ブロッキング アクションをドロップまたはアップストリーム転送として設定すると、FlexConnect AP では P2P ブロッキングが有効化されたとみなされます。

P2P の制限事項

• FlexConnect ソリューションでは、特定の FlexConnect AP または AP のサブセットのみに P2P ブロッキング設定を適用することはできません
• これは、SSID をブロードキャストするすべての FlexConnect AP に適用されます。
• 中央スイッチング クライアントのための統一ソリューションは、P2P アップストリーム転送をサポートしています。しかし、これは FlexConnect ソリューションでサポートされません。これは、P2P ドロップとして扱われ、クライアント パケットは、次のネットワーク ノードに転送されずにドロップされます。
• 中央スイッチング クライアント用の統一ソリューションは、異なる AP にアソシエートされたクライアントに対する P2P ブロッキングをサポートしています。ただし、このソリューションでは、同一の AP に接続するクライアントだけがターゲットとなります。この制限の回避策として、FlexConnect ACL を使用できます。

FlexConnect WGB/uWGB の要約

• FlexConnect AP 上で WGB をサポートするために、WLC 上で特別な設定は不要です。
• 耐障害性は、WGB および WGB の背後にあるクライアントに対してサポートされています。
• WGB がサポートされている IOS AP は、1240、1130、1140、1260、1250 です。

FlexConnect WGB/uWGB の制限事項

• WGB の背後にある有線クライアントは、常に WGN 自体と同じ VLAN にあります。ローカル スイッチングが設定された WLAN の FlexConnect AP では、WGB 背後のクライアントに対する複数 VLAN はサポートされません。
• ローカル スイッチングが設定された WLAN 上の FlexConnect AP にアソシエーションされている場合、WGB の背後では、最大 20 台のクライアント（有線またはワイヤレス）がサポートされています。
• ローカル スイッチングが設定された WLAN にアソシエーションされている WGB の背後にあるクライアントについては、WebAuth はサポートされません。

AP イメージのスマート アップグレードの要約

• FlexConnect グループごとに、各 AP モデルのマスターおよびスレーブ AP が選出されます。
• マスターは WLC からイメージをダウンロードします。
• スレーブは、マスター AP からイメージをダウンロードします。
• ダウンタイムが削減され、WAN帯域幅を節約できます。

AVC の仕様および制限

• FlexConnect AP の AVC では、1000 種類以上のアプリケーションを分類し、アクションを実行できます。
• FlexConnect AP で稼働するプロトコル パックは、WLC 上で稼働するプロトコルパックとは異なります。
• AVC による GUI の統計情報は、デフォルトでは上位 10 のアプリケーションに対して表示されます。これを、上位 20 または 30 のアプリケーションに変更することもできます。
• FlexConnect グループ内のローミングがサポートされます。
• IPv6 トラフィックを分類することはできません。
• AVC プロファイルの AAA オーバーライドはサポートされません。
• マルチキャスト トラフィックは、AVC アプリケーションではサポートされません。
• リリース 8.1 では、FlexConnect AVC の NetFlow エクスポートはサポートされません。

Cisco Aironet Wave 2 AP でのモバイル コンシェルジュのサポート（Hotspot 2.0）

すべての Cisco Aironet Wave 2 AP で、モバイル コンシェルジュがサポートされています。

モバイル コンシェルジュは、外部ネットワークで相互運用できるように 802.1X 対応クライアントを有効にするソリューションです。モバイル コンシェルジュ機能は、クライアントにサービスのアベイラビリティに関する情報を提供し、使用可能なネットワークを接続するのに役立ちます。

ネットワークが提供するサービスは 2 つのプロトコルに分類できます。

• 802.11u MSAP
• 802.11u Hotspot 2.0

AireOS コード 8.5 以降、11ac Wave-2 AP（1800 シリーズ、2800 および 3800）で Passpoint を有効にできます。これは Wave-1 AP と同等の機能を超える、最新の Passpoint 2.0 テクノロジーへの更新です。

Cisco AP では Passpoint 認定と、AP モデル間の相互運用性が広範にサポートされています。WLC では、AireOS 8.2 コード以降 Passpoint 2.0 がサポートされており、8.5 では Wave-2 AP のサポートが追加されています。また、8.5 が動作する Mobility Express でも Passpoint 2.0 機能を使用できます。