[Commands] > [Download File] の順に選択して、[Download File to Controller] ページを開きます。

[File Type] ドロップダウン リストから、[RADIUS AVP List] を選択します。

[Transfer Mode] ドロップダウン リストで、次のオプションから選択します。

• TFTP
• [FTP]
• SFTP

[IP Address] テキスト ボックスに、サーバの IPv4 アドレスまたは IPv6 アドレスを入力します。

[File Path] テキスト ボックスに、RADIUS AVP リストのディレクトリ パスを入力します。

[File Name] テキスト ボックスに、RADIUS AVP リストの名前を入力します。

FTP サーバを使用している場合は、次の手順に従います。

1. [Server Login Username] テキスト ボックスに、FTP サーバにログインするためのユーザ名を入力します。

2. [Server Login Password] テキスト ボックスに、FTP サーバにログインするためのパスワードを入力します。

3. [Server Port Number] テキスト ボックスに、ダウンロードが発生する FTP サーバのポート番号を入力します。デフォルト値は 21 です。SFTP のデフォルト値は 22 です。

コントローラに RADIUS AVP リストをダウンロードするには、[Download] をクリックします。ダウンロードのステータスを示すメッセージが表示されます。

[Security] > [AAA] > [RADIUS] > [Downloaded AVP] を選択して、[Download RADIUS AVP List] ページを開きます。

[WLAN SSID Profile name] ドロップダウン リストから、WLAN SSID プロファイル名を選択します。

AVP リストにマッピングされた RADIUS 認証属性を表示するには、[Auth AVP] タブをクリックします。

AVP リストにマッピングされた RADIUS アカウンティング属性を表示するには、[Acct AVP] タブをクリックします。

[Commands] > [Upload File] の順に選択して、[Upload File from Controller] ページを開きます。

[File Type] ドロップダウン リストから、[RADIUS AVP List] を選択します。

[Transfer Mode] ドロップダウン リストで、次のオプションから選択します。

• TFTP
• [FTP]
• SFTP

[IP Address] テキスト ボックスに、サーバの IPv4 アドレスまたは IPv6 アドレスを入力します。

[File Path] テキスト ボックスに、RADIUS AVP リストのディレクトリ パスを入力します。

[File Name] テキスト ボックスに、RADIUS AVP リストの名前を入力します。

FTP サーバを使用している場合は、次の手順に従います。

1. [Server Login Username] テキスト ボックスに、FTP サーバにログインするためのユーザ名を入力します。

2. [Server Login Password] テキスト ボックスに、FTP サーバにログインするためのパスワードを入力します。

3. [Server Port Number] テキスト ボックスに、ダウンロードが発生する FTP サーバのポート番号を入力します。デフォルト値は 21 です。SFTP のデフォルト値は 22 です。

コントローラから RADIUS AVP リストをアップロードするには、[Upload] をクリックします。アップロードのステータスを示すメッセージが表示されます。

コントローラ CLI にログインします。

次のコマンドを入力して、FTP サーバからコントローラに XML ファイル形式の RADIUS AVP をダウンロードします。

次のコマンドを使用して、コントローラから RADIUS サーバへ XML ファイルをアップロードします。

次のコマンドを使用して、VSA AVP を表示します。

[WLANs] を選択して、[WLANs] ページを開きます。

必要な WLAN の ID 番号をクリックして、[WLANs > Edit] ページを開きます。

[Advanced] タブを選択して、[WLANs > Edit]（[Advanced]）ページを開きます。

WLAN でレルムを有効にするには、[RADIUS NAI-Realm] チェックボックスをオンにします。

[Apply] をクリックして、変更を確定します。

[Save Configuration] をクリックして、変更を保存します。

次のコマンドを入力して、WLAN でレルムを有効または無効にします。

次のコマンドを入力して、 WLAN のレルムの設定を表示します。

[Security] > [AAA] > [RADIUS] > [Authentication] を選択し、[RADIUS Authentication Servers > Edit] ページを開きます。

[Realm List] リンクをクリックし、[Authentication Server Index] ページを開きます。

[Realm Name] テキスト ボックスにレルム名を入力します。

[Add] をクリックします。

次のコマンドを入力して、RADIUS 認証サーバにレルムを追加します。

次のコマンドを入力して、RADIUS 認証サーバからレルムを削除します。

次のコマンドを入力して、RADIUS 認証サーバの情報を表示します。

[Security] > [AAA] > [RADIUS] > [Accounting] を選択し、[RADIUS Accounting Servers > Edit] ページを開きます。

[Realm List] リンクをクリックし、[Accounting Server Index] ページを開きます。

[Realm Name] テキスト ボックスにレルム名を入力します。

[Add] をクリックします。

次のコマンドを入力して、RADIUS アカウンティング サーバにレルムを追加します。

次のコマンドを入力して、RADIUS アカウンティング サーバからレルムを削除します。

次のコマンドを入力して、RADIUS アカウンティング サーバの情報を表示します。

[WLANs] を選択して、[WLANs] ページを開きます。

設定する WLAN の ID 番号をクリックします。[WLANs > Edit] ページが表示されます。

[Advanced] タブを選択します。

[Allow AAA Override] チェックボックスをオンにして AAA Override を有効にするか、オフにしてこの機能を無効にします。デフォルト値は [disabled] です。

[Apply] をクリックします。

[Save Configuration] をクリックします。

[WLANs] を選択して、[WLANs] ページを開きます。

[WLAN ID] をクリックします。

[Security] タブをクリックして、[AAA Servers] タブをクリックします。

[RADIUS Server Overwrite interface] チェックボックスをオンにし、WLAN ごとの RADIUS ソース サポートを有効にします。

RADIUS パケット ルーティング用のインターフェイスとして、[Interface Priority] ドロップダウン リストから、[AP Group] または [WLAN] を選択します。

RADIUS サーバ アカウンティングに対する [Interim Interval] が有効な範囲内にあることを確認します。

設定を保存します。

config wlan disable wlan-id コマンドを入力して、WLAN を無効にします。

次のコマンドを入力して、WLAN ごとの RADIUS 送信元サポートを有効または無効にします。

次のコマンドを入力して、RADIUS パケット ルーティング用の AP グループのインターフェイスまたは WLAN のインターフェイスを有効にします。

• AP グループのインターフェイス：config wlan radius_server overwrite-interface apgroup wlan-id
• WLAN のインターフェイス：config wlan radius_server overwrite-interface wlan wlan-id

config wlan enable wlan-id コマンドを入力して、WLAN を有効にします。

[Security] > [AAA] > [LDAP] の順に選択して、[LDAP Servers] ページを開きます。

• 既存の LDAP サーバを削除するには、そのサーバの青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

• コントローラが特定のサーバに到達できることを確認するには、そのサーバの青いドロップダウンの矢印の上にカーソルを置いて、[Ping] を選択します。

次のいずれかの操作を行います。

• 既存の LDAP サーバを編集するには、そのサーバのインデックス番号をクリックします。[LDAP Servers > Edit] ページが表示されます。

• LDAP サーバを追加するには、[New] をクリックします。[LDAP Servers > New] ページが表示されます。新しいサーバを追加している場合は、[Server Index (Priority)] ドロップダウン リストから数字を選択し、その他の設定済み LDAP サーバに対してこのサーバの優先順位を指定します。最大 17 台のサーバを設定できます。コントローラが最初のサーバに接続できない場合、リスト内の 2 番目のサーバへの接続を試行する、というようになります。

新しいサーバを追加している場合は、[Server IP Address] テキスト ボックスに LDAP サーバの IP アドレスを入力します。

新しいサーバを追加している場合は、[Port Number] テキスト ボックスに LDAP サーバの TCP ポート番号を入力します。有効な範囲は 1 ～ 65535 で、デフォルト値は 389 です。

[Server Mode（via TLS）] ドロップダウン リストから [Disabled] を選択し、TCP を使用して LDAP サーバと Cisco WLC 間の LDAP 接続（セキュア トンネルなし）を確立します。または [Enabled] を選択し、TLS を使用してセキュア LDAP 接続を確立します。

[Enable Server Status] チェックボックスをオンにしてこの LDAP サーバを有効にするか、オフにして無効にします。デフォルト値は [disabled] です。

[Simple Bind] ドロップダウン リストから [Anonymous] または [Authenticated] を選択して、LDAP サーバ用のローカル認証バインド方式を指定します。[Anonymous] 方式では、LDAP サーバへの匿名アクセスが可能です。[Authenticated] 方式では、ユーザ名とパスワードを入力してアクセスをセキュリティで保護する必要があります。デフォルトでは [Anonymous] になっています。

前の手順で [Authenticated] を選択した場合は、次の手順に従ってください。

1. [Bind Username] テキスト ボックスに、LDAP サーバのローカル認証に使用されるユーザ名を入力します。ユーザ名には、最大 80 文字を使用できます。

   （注）	ユーザ名が「cn=」（小文字）で始まる場合、コントローラはユーザ名に完全な LDAP データベース パスが含まれていると見なし、ユーザベース DN を付加しません。この指定により、認証済みのバインド ユーザをユーザ ベース DN の外に置くことができます。

2. [Bind Username] テキスト ボックスに、LDAP サーバのローカル認証に使用されるユーザ名を入力します。ユーザ名には、最大 80 文字を使用できます。

[User Base DN] テキスト ボックスに、全ユーザのリストが含まれた、LDAP サーバ内のサブツリーの識別名（DN）を入力します。たとえば、ou=organizational unit、.ou=next organizational unit、o=corporation.com のようになります。ユーザを含むツリーがベース DN である場合は、次を入力します。

[User Attribute] テキスト ボックスに、ユーザ名が含まれたユーザ レコード内の属性の名前を入力します。この属性はディレクトリ サーバから取得できます。

[User Object Type] テキスト ボックスに、レコードをユーザとして識別する LDAP objectType 属性の値を入力します。多くの場合、ユーザ レコードには複数の objectType 属性の値が含まれています。そのユーザに一意の値と、他のオブジェクト タイプと共有する値があります。

[Server Timeout] テキスト ボックスに、再送信の間隔を秒単位で入力します。有効な範囲は 2 ～ 30 秒で、デフォルト値は 2 秒です。

[Apply] をクリックして、変更を確定します。

[Save Configuration] をクリックして、変更を保存します。

次の手順を実行して、LDAP をローカル EAP 認証用の優先バックエンド データベース サーバとして指定します。

1. [Security] > [Local EAP] > [Authentication Priority] の順に選択して、[Priority Order > Local-Auth] ページを開きます。

2. [LOCAL] を強調表示して、[<] をクリックし、それを左の [User Credentials] ボックスに移動します。

3. [LDAP] を強調表示して、[>] をクリックし、それを右の [User Credentials] ボックスに移動します。右側の [User Credentials] ボックスの上部に表示されるデータベースは、ユーザの資格情報を取得する際に使用されます。

   （注）	[LDAP] と [LOCAL] の両方が右側の [User Credentials] ボックスに表示され、[LDAP] が上部で [LOCAL] が下部にある場合、ローカル EAP は LDAP バックエンド データベースを使用してクライアントの認証を試行し、LDAP サーバが接続不能である場合は、ローカル ユーザ データベースにフェールオーバーします。ユーザが見つからない場合、認証の試行は拒否されます。[LOCAL] が上部にある場合、ローカル EAP はローカル ユーザ データベースのみを使用して認証を試行します。LDAP バックエンド データベースへのフェールオーバーは行われません。

4. [Apply] をクリックして、変更を確定します。

5. [Save Configuration] をクリックして、変更を保存します。

（オプション）次の手順を実行して、特定の LDAP サーバを WLAN に割り当てます。

1. [WLANs] を選択して、[WLANs] ページを開きます。

2. 必要な WLAN の ID 番号をクリックします。

3. [WLANs > Edit] ページが表示されたら [Security] > [AAA Servers] タブを選択し、[WLANs > Edit]（[Security > AAA Servers]）ページを開きます。

4. [LDAP Servers] ドロップダウン リストから、この WLAN で使用する LDAP サーバを選択します。最大 3 台の LDAP サーバを選択できます。これらのサーバは優先順位に従って試行されます。

   （注）	これらの LDAP サーバは、Web 認証が有効になっている WLAN にのみ適用されます。ローカル EAP によって使用されません。

5. [Apply] をクリックして、変更を確定します。

6. [Save Configuration] をクリックして、変更を保存します。

次の手順を実行して、LDAP サーバ フォールバックの動作を指定します。

1. [WLAN] > [AAA Server] を選択して、[Fallback Parameters] ページを開きます。

2. [LDAP Servers] ドロップダウン リストから、コントローラが管理ユーザを認しようとする際の優先順位に従って、LDAP サーバを選択します。認証順序はサーバから開始します。

3. [Security] > [AAA] > [LDAP] の順に選択して、コントローラに設定されたグローバル LDAP サーバのリストを表示します。

上記に示したいずれかの EAP タイプを使用するようにローカル EAP を設定する場合は、適切な証明書と PAC（手動の PAC プロビジョニングを使用する場合）がコントローラにインポートされていることを確認してください。

コントローラでローカル ユーザ データベースからユーザの資格情報を取得するようにする場合は、そのコントローラ上でローカル ネットワーク ユーザを適切に設定していることを確認してください。

コントローラで LDAP バックエンド データベースからユーザの資格情報を取得するようにする場合は、そのコントローラ上で LDAP サーバを適切に設定していることを確認してください。

次の手順を実行して、ユーザの資格情報をバックエンド データベース サーバから取得する順序を指定します。

1. [Security] > [Local EAP] > [Authentication Priority] の順に選択して、[Priority Order > Local-Auth] ページを開きます。

2. ユーザの資格情報がローカルまたは LDAP データベースから取得される優先順位を決定します。たとえば、LDAP データベースがローカル ユーザ データベースよりも優先されるようにすることも、または LDAP データベースがまったく考慮されないようにすることもできます。

3. 優先順位を決定したら、目的のデータベースを強調表示します。次に、左と右の矢印および [Up] ボタンと [Down] ボタンを使用して、目的のデータベースを右側の [User Credentials] ボックスの上部に移動します。

   （注）	[LDAP] と [LOCAL] の両方が右側の [User Credentials] ボックスに表示され、[LDAP] が上部で [LOCAL] が下部にある場合、ローカル EAP は LDAP バックエンド データベースを使用してクライアントの認証を試行し、LDAP サーバが接続不能である場合は、ローカル ユーザ データベースにフェールオーバーします。ユーザが見つからない場合、認証の試行は拒否されます。[LOCAL] が上部にある場合、ローカル EAP はローカル ユーザ データベースのみを使用して認証を試行します。LDAP バックエンド データベースへのフェールオーバーは行われません。

4. [Apply] をクリックして、変更を確定します。

次の手順を実行して、ローカル EAP タイマーの値を指定します。

1. [Security] > [Local EAP] > [General] の順に選択して、[General] ページを開きます。

2. [Local Auth Active Timeout] テキスト ボックスに、設定済み RADIUS サーバのペアによる認証が失敗した後に、コントローラがローカル EAP を使用してワイヤレス クライアントを認証する際の試行時間（秒単位）を入力します。有効な範囲は 1 ～ 3600 秒で、デフォルトの設定は 100 秒です。

次のように Advanced EAP パラメータの値を指定します。

1. [Security] > [Advanced EAP] を選択します。

2. [Identity Request Timeout] テキスト ボックスに、コントローラがローカル EAP を使用してワイヤレス クライアントに EAP ID 要求を送信する際の試行時間（秒単位）を入力します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。

3. [Identity Request Max Retries] テキスト ボックスに、コントローラがローカル EAP を使用してワイヤレス クライアントに EAP ID 要求を再送信する際の最大試行回数を入力します。有効な値の範囲は 1 ～ 20 回で、デフォルトの設定は 20 回です。

4. [Dynamic WEP Key Index] テキスト ボックスに、Dynamic Wired Equivalent Privacy（WEP）に使用するキー インデックスを入力します。デフォルト値は 0 で、これはキー インデックス 1 に相当します。有効な値は 0 ～ 3（キー インデックス 1 ～ 4）です。

5. [Request Timeout] テキスト ボックスに、コントローラがローカル EAP を使用してワイヤレス クライアントに EAP 要求を送信する際の試行時間（秒単位）を入力します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。

6. [Request Max Retries] テキスト ボックスに、コントローラがローカル EAP を使用してワイヤレス クライアントに EAP 要求を再送信する際の最大試行回数を入力します。有効な値の範囲は 1 ～ 120 回で、デフォルトの設定は 20 回です。

7. [Max-Login Ignore Identity Response] ドロップダウン リストから [Enable] を選択して、同じユーザ名を使用してコントローラに接続できるデバイスの数を制限します。同じコントローラ上の異なるデバイス（PDA、ノートパソコン、IP フォンなど）から最大 8 台までログインできます。デフォルト値はイネーブルです。

8. [EAPOL-Key Timeout] テキスト ボックスに、コントローラがローカル EAP を使用してワイヤレス クライアントに LAN 経由で EAP キーを送信する際の試行時間（秒単位）を入力します。有効な値の範囲は 1 ～ 5 秒で、デフォルトの設定は 1 秒です。

   （注）	コントローラとアクセス ポイントが WAN リンクによって分離されている場合、デフォルト タイムアウト値の 1 秒では不十分な場合があります。

9. [EAPOL-Key Max Retries] テキスト ボックスに、コントローラがローカル EAP を使用してワイヤレス クライアントに LAN 経由で EAP キーを送信する際の最大試行回数を指定します。有効な値の範囲は 0 ～ 4 回で、デフォルトの設定は 2 回です。

10. [Apply] をクリックして、変更を確定します。

次の手順を実行して、ワイヤレス クライアントでサポートされる EAP 認証タイプを指定する、ローカル EAP プロファイルを作成します。

1. [Security] > [Local EAP] > [Profiles] の順に選択して、[Local EAP Profiles] ページを開きます。

   このページでは、これまでに設定されたすべてのローカル EAP プロファイルが表示され、その EAP タイプを指定します。最大 16 個のローカル EAP プロファイルを作成できます。

   （注）	既存のプロファイルを削除するには、そのプロファイルの青いドロップダウンの矢印の上にカーソルを置いて、[Remove] を選択します。

2. [New] をクリックして、[Local EAP Profiles > New] ページを開きます。

3. [Profile Name] テキスト ボックスに新しいプロファイルの名前を入力し、[Apply] をクリックします。

   （注）	プロファイル名には最大 63 文字の英数字を入力できます。スペースは含めないでください。

4. [Local EAP Profiles] ページが再度表示されたら、新しいプロファイルの名前をクリックします。[Local EAP Profiles > Edit] ページが表示されます。

5. [LEAP]、[EAP-FAST]、[EAP-TLS]、または [PEAP] チェックボックスをオンにし、ローカル認証に使用できる EAP タイプを指定します。

   （注）	プロファイルごとに複数の EAP タイプを指定できます。ただし、証明書を使用する複数の EAP タイプ（証明書を使用する EAP-FAST、EAP-TLS、PEAPv0/MSCHAPv2、PEAPv1/GTC など）を選択する場合、すべての EAP タイプで同じ証明書（Cisco または他のベンダーが発行する）を使用する必要があります。

   （注）	[PEAP] チェックボックスをオンにすると、コントローラ上で PEAPv0/MSCHAPv2 と PEAPv1/GTC の両方が有効になります。

6. EAP-FAST を選択し、コントローラ上のデバイス証明書を認証に使用する場合は、[Local Certificate Required] チェックボックスをオンにします。証明書の代わりに PAC を使用する EAP-FAST を使用する場合は、このチェックボックスをオフのままにしておきます。これはデフォルトの設定です。

   （注）	デバイス証明書は LEAP と共に使用されず、EAP-TLS と PEAP には必須であるため、このオプションは EAP-FAST にのみ適用されます。

7. EAP-FAST を選択し、ワイヤレス クライアントが認証のためデバイス証明書をコントローラに送信するよう設定するには、[Client Certificate Required] チェックボックスをオンにします。証明書の代わりに PAC を使用する EAP-FAST を使用する場合は、このチェックボックスをオフのままにしておきます。これはデフォルトの設定です。

   （注）	クライアント証明書は LEAP または PEAP と共に使用されず、EAP-TLS には必須であるため、このオプションは EAP-FAST にのみ適用されます。

8. 証明書を使用する EAP-FAST、EAP-TLS、または PEAP を選択する場合は、クライアントに送信される証明書がシスコから発行されるものか、別のベンダーから発行されるものかを指定します。[Cisco] または [Vendor] を [Certificate Issuer] ドロップダウン リストから選択してください。デフォルトの設定は、[Cisco] になっています。

9. 証明書を使用する EAP-FAST または EAP-TLS を選択し、クライアントから受信する証明書をコントローラ上の CA 証明書と照合して検証する場合は、[Check Against CA Certificates] チェックボックスをオンにします。デフォルト設定はイネーブルです。

10. 証明書を使用する EAP-FAST または EAP-TLS を選択し、受信する証明書の共通名（CN）をコントローラに設定されているローカル ネット ユーザと照合して検証する場合は、[Verify Certificate CN Identity] チェックボックスをオンにします。デフォルト設定では無効になっています。

11. 証明書を使用する EAP-FAST または EAP-TLS を選択し、受信するデバイス証明書が現在有効であり、期限切れでないことをコントローラで検証されるようにする場合は、[Check Certificate Date Validity] チェックボックスをオンにします。デフォルト設定はイネーブルです。

    （注）	証明書の日付の有効性が、コントローラに設定された現在の UTC（GMT）時間と照合されます。タイムゾーンのオフセットは無視されます。

12. [Apply] をクリックして、変更を確定します。

EAP-FAST プロファイルを作成した場合、EAP-FAST パラメータを設定する手順は、次のとおりです。

1. [Security] > [Local EAP] > [EAP-FAST Parameters] の順に選択して、[EAP-FAST Method Parameters] ページを開きます。

2. [Server Key] テキスト ボックスおよび [Confirm Server Key] フィールドに、PAC の暗号化と暗号化解除に使用するキー（16 進数文字）を入力します。

3. [Time to Live for the PAC] テキスト ボックスに、PAC の有効日数を入力します。有効な範囲は 1 ～ 1000 日で、デフォルトの設定は 10 日です。

4. [Authority ID] テキスト ボックスに、ローカル EAP-FAST サーバの認証局 ID を 16 進数文字で入力します。最大 32 文字の 16 進数文字を入力できますが、文字数は偶数である必要があります。

5. [Authority ID Information] テキスト ボックスに、ローカル EAP-FAST サーバの Authority ID をテキスト形式で入力します。

6. 匿名プロビジョニングを有効にするには、[Anonymous Provision] チェックボックスをオンにします。この機能を使用すると、PAC プロビジョニング中に、PAC がないクライアントに PAC が自動的に送信されるようになります。この機能を無効にする場合、PAC は手動でプロビジョニングされる必要があります。デフォルト設定はイネーブルです。

   （注）	ローカル証明書またはクライアント証明書、あるいはその両方を必要とし、すべての EAP-FAST クライアントで証明書が使用されるよう強制する場合は、[Anonymous Provision] チェックボックスをオフにしてください。

7. [Apply] をクリックして、変更を確定します。

次の手順を実行して、WLAN 上でローカル EAP を有効にします。

1. [WLANs] を選択して、[WLANs] ページを開きます。

2. 必要な WLAN の ID 番号をクリックします。

3. [WLANs > Edit] ページが表示されたら [Security] > [AAA Servers] タブを選択し、[WLANs > Edit]（[Security > AAA Servers]）ページを開きます。

4. この WLAN に対して RADIUS アカウンティングおよび認証を無効にするには、RADIUS 認証サーバおよびアカウンティング サーバの [Enabled] チェックボックスをオフにします。

5. [Local EAP Authentication] チェックボックスをオンにして、この WLAN に対してローカル EAP を有効にします。

6. [EAP Profile Name] ドロップダウン リストから、この WLAN に使用する EAP プロファイルを選択します。

7. 必要に応じて、[LDAP Servers] ドロップダウン リストから、この WLAN でローカル EAP と共に使用する LDAP サーバを選択します。

8. [Apply] をクリックして、変更を確定します。

次の手順を実行して、WLAN で EAP パラメータを有効にします。

1. [WLANs] を選択して、[WLANs] ページを開きます。

2. 必要な WLAN の ID 番号をクリックします。

3. [WLANs > Edit] ページが表示されたら [Security] > [AAA Servers] タブを選択し、[WLANs > Edit]（[Security > AAA Servers]）ページを開きます。

4. この WLAN に対して EAP パラメータを設定するには、[Enable] チェックボックスをオンにします。

5. [EAPOL Key Timeout (200 to 5000 millisec)] テキスト ボックスに、コントローラがローカル EAP を使用してワイヤレス クライアントに WLAN 経由で EAP キーを送信する際の試行時間を入力します（ミリ秒単位）。有効な範囲は 200 ～ 5000 ミリ秒で、デフォルト値は 1000 ミリ秒です。

6. [EAPOL Key Retries (0 to 4)] テキスト ボックスに、コントローラがローカル EAP を使用してワイヤレス クライアントに WLAN 経由で EAP キーを送信する際の最大試行回数を入力します。有効な値の範囲は 0 ～ 4 回で、デフォルトの設定は 2 回です。

7. [Identity Request Timeout (1 to 120 sec)] テキスト ボックスに、コントローラがローカル EAP を使用して WLAN 内のワイヤレス クライアントに EAP ID 要求を送信する際の試行時間を入力します（秒単位）。有効な範囲は 1 ～ 120 秒で、デフォルト値は 30 秒です。

8. [Identity Request Retries (1 to 20 sec)] テキスト ボックスに、コントローラがローカル EAP を使用して WLAN 内のワイヤレス クライアントに EAP ID 要求を再送信する際の最大試行回数を入力します。有効な値の範囲は 1 ～ 20 回で、デフォルトの設定は 2 回です。

9. [Request Timeout (1 to 120 sec)] テキスト ボックスに、コントローラがローカル EAP を使用して WLAN 内のワイヤレス クライアントに EAP パラメータ要求を送信する際の試行時間を入力します（秒単位）。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。

10. [Request Retries (1 to 20 sec)] テキスト ボックスに、コントローラがローカル EAP を使用して WLAN 内のワイヤレス クライアントに EAP パラメータ要求を再送信する際の最大試行回数を入力します。有効な値の範囲は 1 ～ 20 回で、デフォルトの設定は 2 回です。

11. [Apply] をクリックして、変更を確定します。

[Save Configuration] をクリックして、変更を保存します。

上記に示したいずれかの EAP タイプを使用するようにローカル EAP を設定する場合は、適切な証明書と PAC（手動の PAC プロビジョニングを使用する場合）がコントローラにインポートされていることを確認してください。

コントローラでローカル ユーザ データベースからユーザの資格情報を取得するようにする場合は、そのコントローラ上でローカル ネットワーク ユーザを適切に設定していることを確認してください。

コントローラで LDAP バックエンド データベースからユーザの資格情報を取得するようにする場合は、そのコントローラ上で LDAP サーバを適切に設定していることを確認してください。

次のコマンドを入力して、ローカルまたは LDAP データベースからユーザの資格情報を取得する順位を指定します。

次のコマンドを入力して、ローカル EAP タイマーの値を指定します。

• config local-auth active-timeout timeout ：設定された RADIUS サーバのペアで障害が発生してから、コントローラがローカル EAP を使用してワイヤレス クライアントの認証を試みるまでの時間（秒単位）を指定します。有効な範囲は 1 ～ 3600 秒で、デフォルトの設定は 100 秒です。
• config advanced eap identity-request-timeout timeout ：コントローラがローカル EAP を使用してワイヤレス クライアントに EAP ID 要求の送信を試みる時間（秒単位）を指定します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。
• config advanced eap identity-request-retries retries ：コントローラがローカル EAP を使用してワイヤレス クライアントに EAP ID 要求の再送信を試みる最大回数を指定します。有効な値の範囲は 1 ～ 20 回で、デフォルトの設定は 20 回です。
• config advanced eap key-index index ：ダイナミック Wired Equivalent Privacy（WEP）に使用するキー インデックスを指定します。デフォルト値は 0 で、これはキー インデックス 1 に相当します。有効な値は 0 ～ 3（キー インデックス 1 ～ 4）です。
• config advanced eap request-timeout timeout ：コントローラがローカル EAP を使用してワイヤレス クライアントに EAP 要求の送信を試みる時間（秒単位）を指定します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。
• config advanced eap request-retries retries ：コントローラがローカル EAP を使用してワイヤレス クライアントに EAP 要求の再送信を試みる最大回数を指定します。有効な値の範囲は 1 ～ 120 回で、デフォルトの設定は 20 回です。
• config advanced eap eapol-key-timeout timeout ：コントローラがローカル EAP を使用してワイヤレス クライアントに LAN 経由で EAP キーの送信を試みる時間（秒単位）を指定します。有効な値の範囲は 1 ～ 5 秒で、デフォルトの設定は 1 秒です。

  （注）	コントローラとアクセス ポイントが WAN リンクによって分離されている場合、デフォルト タイムアウト値の 1 秒では不十分な場合があります。

• config advanced eap eapol-key-retries retries ：コントローラがローカル EAP を使用してワイヤレス クライアントに LAN 経由で EAP キーの送信を試みる最大回数を指定します。有効な値の範囲は 0 ～ 4 回で、デフォルトの設定は 2 回です。
• config advanced eap max-login-ignore-identity-response {enable | disable } ：有効になっている場合、このコマンドは 802.1x 認証経由で同じユーザ名のコントローラに接続可能なデバイスの数に対して設定されている制限を無視します。ディセーブルにすると、このコマンドは、コントローラに同じユーザ名で接続できるデバイスの数を制限します。これは Web 認証ユーザには適用されません。同じコントローラ上の異なるデバイス（PDA、ノートパソコン、IP フォンなど）から最大 8 台までログインできます。デフォルト値はイネーブルです。config netuser maxUserLogin コマンドを使用して、同じユーザ名ごとのデバイスの最大数の制限を設定します。

次のコマンドを入力して、WLAN でローカル EAP タイマーの値を指定します。

• config wlan security eap-params {enable | disable} wlan_id ：SSID 固有の EAP タイムアウトまたは再試行を有効または無効にするように指定します。デフォルト値は [disabled] です。
• config wlan security eap-params eapol-key-timeout timeout wlan_id ：コントローラがローカル EAP を使用してワイヤレス クライアントに WLAN 経由で EAP キーの送信を試みる時間（ミリ秒単位）を指定します。有効な範囲は 200 ～ 5000 ミリ秒で、デフォルト設定は 1000 ミリ秒です。
• config wlan security eap-params eapol-key-retries retries wlan_id ：コントローラがローカル EAP を使用してワイヤレス クライアントに WLAN 経由で EAP キーの送信を試みる最大回数を指定します。有効な値の範囲は 0 ～ 4 回で、デフォルトの設定は 2 回です。
• config wlan security eap-params identity-request-timeout timeout wlan_id ：コントローラがローカル EAP を使用して WLAN 内のワイヤレス クライアントに EAP ID 要求の送信を試みる時間（秒単位）を指定します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。
• config wlan security eap-params identity-request-retries retries wlan_id ：コントローラがローカル EAP を使用して WLAN 内のワイヤレス クライアントに EAP ID 要求の再送信を試みる最大回数を指定します。有効な値の範囲は 1 ～ 20 回で、デフォルトの設定は 2 回です。
• config wlan security eap-params request-timeout timeout wlan_id ：コントローラがローカル EAP を使用して WLAN 内のワイヤレス クライアントに EAP パラメータ要求の送信を試みる時間（秒単位）を指定します。有効な範囲は 1 ～ 120 秒で、デフォルトの設定は 30 秒です。
• config wlan security eap-params request-retries retries wlan_id ：コントローラがローカル EAP を使用して WLAN 内のワイヤレス クライアントに EAP パラメータ要求の再送信を試みる最大回数を指定します。有効な値の範囲は 1 ～ 20 回で、デフォルトの設定は 2 回です。

次のコマンドを入力して、ローカル EAP プロファイルを作成します。

次のコマンドを入力して、ローカル EAP プロファイルに EAP 方式を追加します。

EAP-FAST プロファイルを作成した場合は、次のコマンドを入力して EAP-FAST パラメータを設定します。

次のコマンドを入力して、プロファイルごとに証明書パラメータを設定します。

• config local-auth eap-profile method fast local-cert {enable | disable } profile_name ：認証にコントローラ上のデバイス証明書が必要かどうかを指定します。

  （注）	デバイス証明書は LEAP と共に使用されず、EAP-TLS と PEAP には必須であるため、このコマンドは EAP-FAST にのみ適用されます。

• config local-auth eap-profile method fast client-cert {enable | disable } profile_name ：認証を受けるために、ワイヤレス クライアントがデバイス証明書をコントローラに送信する必要があるかどうかを指定します。

  （注）	クライアント証明書は LEAP または PEAP と共に使用されず、EAP-TLS には必須であるため、このコマンドは EAP-FAST にのみ適用されます。

• config local-auth eap-profile cert-issuer {cisco | vendor } profile_name ：証明書を使用する EAP-FAST、EAP-TLS、または PEAP を指定した場合は、クライアントに送信される証明書がシスコから発行されるものか、別のベンダーから発行されるものかを指定します。
• config local-auth eap-profile cert-verify ca-issuer {enable | disable } profile_name ：証明書を使用する EAP-FAST または EAP-TLS を選択した場合は、クライアントから受信する証明書をコントローラ上の CA 証明書と照合して検証するかどうかを指定します。
• config local-auth eap-profile cert-verify cn-verify {enable | disable } profile_name ：証明書を使用する EAP-FAST または EAP-TLS を選択した場合は、受信した証明書の共通名（CN）をコントローラ上の CA 証明書の CN と照合して検証するかどうかを指定します。
• config local-auth eap-profile cert-verify date-valid {enable | disable } profile_name ：証明書を使用する EAP-FAST または EAP-TLS を選択した場合は、受信したデバイス証明書が有効で期限切れになっていないことをコントローラで検証するかどうかを指定します。

次のコマンドを入力して、ローカル EAP を有効にし、EAP プロファイルを WLAN に接続します。

次のコマンドを入力して、変更を保存します。

次のコマンドを入力して、ローカル EAP に関連する情報を表示します。

• show local-auth config— コントローラ上のローカル EAP 設定を表示します。

  
  User credentials database search order:
     Primary ..................................... Local DB
  
  Timer:
      Active timeout .............................. 300
  
  Configured EAP profiles:
     Name ........................................ fast-cert
       Certificate issuer ........................ vendor
       Peer verification options:
         Check against CA certificates ........... Enabled
         Verify certificate CN identity .......... Disabled
         Check certificate date validity ......... Enabled
       EAP-FAST configuration:
         Local certificate required .............. Yes
         Client certificate required ............. Yes
       Enabled methods ........................... fast
       Configured on WLANs ....................... 1
  
     Name ........................................ tls
       Certificate issuer ........................ vendor
       Peer verification options:
         Check against CA certificates ........... Enabled
         Verify certificate CN identity .......... Disabled
         Check certificate date validity ......... Enabled
       EAP-FAST configuration:
         Local certificate required .............. No
         Client certificate required ............. No
       Enabled methods ........................... tls
       Configured on WLANs ....................... 2
  
  EAP Method configuration:
     EAP-FAST:
       Server key ................................ <hidden>
       TTL for the PAC ........................... 10
       Anonymous provision allowed ............... Yes
       Accept client on auth prov ................ No
       Authority ID .............................. 436973636f0000000000000000000000
       Authority Information ..................... Cisco A-ID
  

• show local-auth statistics ：ローカル EAP 統計情報を表示します。
• show local-auth certificates ：ローカル EAP に使用可能な証明書を表示します。
• show local-auth user-credentials コントローラがローカル データベースまたは LDAP データベースからユーザ クレデンシャルを取得するときに使用する優先順位を表示します。
• show advanced eap ：ローカル EAP のタイマー値を表示します。

  
  EAP-Identity-Request Timeout (seconds)........... 1
  EAP-Identity-Request Max Retries................. 20
  EAP Key-Index for Dynamic WEP.................... 0
  EAP Max-Login Ignore Identity Response........... enable
  EAP-Request Timeout (seconds).................... 20
  EAP-Request Max Retries.......................... 20
  EAPOL-Key Timeout (seconds)...................... 1
  EAPOL-Key Max Retries......................... 2

  

• show ap stats wlan Cisco_AP ：各 WLAN の特定のアクセス ポイントの EAP タイムアウトと障害カウンタを表示します。
• show client detail client_mac ：特定の関連クライアントの EAP タイムアウトと障害カウンタを表示します。これらの統計は、クライアント アソシエーションの問題のトラブルシューティングを行う際に有用です。

  
  ...
  Client Statistics:
        Number of Bytes Received................... 10
        Number of Bytes Sent....................... 10
        Number of Packets Received................. 2
        Number of Packets Sent..................... 2
        Number of EAP Id Request Msg Timeouts...... 0
        Number of EAP Id Request Msg Failures...... 0
        Number of EAP Request Msg Timeouts......... 2
        Number of EAP Request Msg Failures......... 1
        Number of EAP Key Msg Timeouts............. 0
        Number of EAP Key Msg Failures............. 0
        Number of Policy Errors.................... 0
        Radio Signal Strength Indicator............ Unavailable
        Signal to Noise Ratio...................... Unavailable
  

• show wlan wlan_id ：特定の WLAN のローカル EAP のステータスを表示します。

（オプション）次のコマンドを入力して、ローカル EAP セッションのトラブルシューティングを行います。

• debug aaa local-auth eap method {all | errors | events | packets | sm } {enable | disable} ：ローカル EAP 方式のデバッグを有効または無効にします。

• debug aaa local-auth eap framework {all | errors | events | packets | sm } {enable | disable} ：ローカル EAP フレームワークのデバッグを有効または無効にします。

  （注）	上記の 2 つのコマンドでは、sm とはステート マシンを指します。

• clear stats local-auth ：ローカル EAP カウンタをクリアします。

• clear stats ap wlan Cisco_AP ：各 WLAN の特定のアクセス ポイントの EAP タイムアウトと障害カウンタをクリアします。

  
  WLAN      1
     EAP Id Request Msg Timeouts................... 0
     EAP Id Request Msg Timeouts Failures.......... 0
     EAP Request Msg Timeouts...................... 2
     EAP Request Msg Timeouts Failures............. 1
     EAP Key Msg Timeouts.......................... 0
     EAP Key Msg Timeouts Failures................. 0
  WLAN      2
     EAP Id Request Msg Timeouts................... 1
     EAP Id Request Msg Timeouts Failures.......... 0
     EAP Request Msg Timeouts...................... 0
     EAP Request Msg Timeouts Failures............. 0
     EAP Key Msg Timeouts.......................... 3
  EAP Key Msg Timeouts Failures.............. 1
  

[WLANs] > [WLAN ID]を選択して、[WLANs > Edit] ページを開きます。

[Security] タブで、[Layer 2] タブをクリックします。

[MAC Filtering] チェックボックスをオンにします。

[Mac Auth or Dot1x] チェックボックスをオンにします。

802.1X 認証への MAC 認証フェールオーバーを設定するには、次のコマンドを入力します。

[WLANs] > [WLAN ID] の順に選択して、[WLANs > Edit] ページを開きます。

[Security] タブで、[Layer 2] セキュリティ タブを選択します。

[Layer 2 Security] ドロップダウン リストから、[WPA+WPA2] を選択します。

ドロップダウン リストから PMF 状態を選択します。

PMF 状態を [Optional] または [Required] のいずれかとして選択する場合、次を行います。

1. [Comeback Timer] ボックスに、Association Comeback の間隔をミリ秒単位で入力します。これは、有効なセキュリティ アソシエーションの後に、アクセス ポイントがクライアントと再度アソシエーションする期間です。

2. [SA Query Timeout] ボックスに、Security Association（SA）クエリーがタイム アウトするまでの最大時間を入力します。

[Authentication Key Management] セクションで、次の手順を実行します。

1. [PMF 802.1X] チェックボックスをオンまたはオフにして、管理フレームを保護するために 802.1X 認証を設定します。

2. [PMF PSK] チェックボックスをオンまたはオフにして、PMF 用に事前共有されているキーを設定します。PSK フォーマットには ASCII または 16 進数のいずれかを選択し、PSK を入力します。

[Apply] をクリックします。

[Save Configuration] をクリックします。

[WLANs] を選択して、[WLANs] ウィンドウを開きます。

WLAN ID をクリックして、[WLANs > Edit] ウィンドウを開きます。

[Security] > [Layer 2] タブを選択します。

[Layer 2 Security] ドロップダウン リストから、[WPA+WPA2] を選択します。

[Fast Transition] ドロップダウン リストから、WLAN の Fast Transition を選択します。

[Over the DS] チェックボックスをオンまたはオフにして、分散システム経由の Fast Transition を有効または無効にします。

[Reassociation Timeout] フィールドに、AP へのクライアントの再関連付けの試行がタイムアウトになる秒数を入力します。有効範囲は 1 ～ 100 秒です。

[Authentication Key Management] で、[FT 802.1X] または [FT PSK] を選択します。キーを有効または無効にするには、対応するチェックボックスをオンまたはオフにします。[FT PSK] チェックボックスをオンにした場合は、[PSK Format] ドロップダウン リストから [ASCII] または [Hex] を選択して、キー値を入力します。

[WPA gtk-randomize State] ドロップダウン リストで [Enable] または [Disable] を選択して、Wi-Fi Protected Access (WPA) group temporal key (GTK) randomize state を設定します。

[Apply] をクリックして設定値を保存します。

802.11r 高速移行パラメータを有効または無効にするには、config wlan security ft { adaptive | enable | disable } wlan-id コマンドを使用します。

分散システム上の 802.11r 高速移行パラメータを有効または無効にするには、config wlan security ft over-the-ds { enable | disable } wlan-id コマンドを使用します。

事前共有キー（PSK）を使用した高速移行の認証キー管理を有効または無効にするには、config wlan security wpa akm ft psk { enable | disable } wlan-id コマンドを使用します。

PSK を使用した適応型の認証キー管理を有効または無効にするには、config wlan security wpa akm psk { enable | disable } wlan-id コマンドを使用します。

802.1x を使用した高速移行の認証キー管理を有効または無効にするには、config wlan security wpa akm ft-802.1X { enable | disable } wlan-id コマンドを使用します。

802.1x を使用した適応型の認証キー管理を有効または無効にするには、config wlan security wpa akm 802.1x { enable | disable } wlan-id コマンドを使用します。

802.11r Fast Transition の再アソシエーション タイムアウトを有効または無効にするには、config wlan security ft reassociation-timeout timeout-in-seconds wlan-id コマンドを使用します。

WLAN の高速移行の設定を表示するには、show wlan wlan-id コマンドを使用します。

クライアントの高速移行の設定を表示するには、show client detail client-mac コマンドを使用します。

高速移行イベントのデバッグを有効または無効にするには、debug ft events { enable | disable } コマンドを使用します。

次のコマンドを入力して、WLAN を無効にします。

次のコマンドを入力して、sticky key caching を有効にします。

WLAN Identifier.................................. 2
Profile Name..................................... new
Network Name (SSID).............................. new
Status........................................... Disabled
MAC Filtering.................................... Disabled
Security
   802.11 Authentication:........................ Open System
   Static WEP Keys............................... Disabled
   802.1X........................................ Disabled
   Wi-Fi Protected Access (WPA/WPA2)............. Enabled
      WPA (SSN IE)............................... Disabled
      WPA2 (RSN IE).............................. Enabled
         TKIP Cipher............................. Disabled
         AES Cipher.............................. Enabled
      Auth Key Management
         802.1x.................................. Disabled
         PSK..................................... Enabled
         CCKM.................................... Disabled
         FT(802.11r)............................. Disabled
         FT-PSK(802.11r)......................... Disabled
     SKC Cache Support......................... Enabled  
      FT Reassociation Timeout................... 20
      FT Over-The-Air mode....................... Enabled
      FT Over-The-Ds mode........................ Enabled
CCKM tsf Tolerance............................... 1000
   Wi-Fi Direct policy configured................ Disabled
   EAP-Passthrough............................... Disabled



WLAN を有効にするには、次のコマンドを入力します。

次のコマンドを入力して、設定を保存します。

[WLANs] を選択して、[WLANs] ページを開きます。

変更する WLAN のプロファイル名をクリックします。[WLANs > Edit] ページが表示されます。

[Advanced] タブを選択して、[WLANs > Edit]（[Advanced]）ページを表示します。

[Coverage Hole Detection Enabled] チェックボックスをオフにします。

[Apply] をクリックします。

[Save Configuration] をクリックします。

カバレッジ ホールの検出を無効にするには、次のコマンドを入力します。

次のコマンドを入力して、設定を保存します。

特定の WLAN のカバレッジ ホールの検出ステータスを表示するには、次のコマンドを入力します。

WLAN Identifier.................................. 2
Profile Name..................................... wlan2
Network Name (SSID).............................. 2
. . .
CHD per WLAN.................................. Disabled