Lobby Ambassador アカウント

Lobby Ambassador アカウントについて

グローバル管理者は、ゲストユーザーを作成するためのロビーアンバサダー（ロビー管理者）ユーザーを作成できます。

ゲストユーザーの作成中に、ロビーアンバサダーはゲストユーザーの次のパラメータを設定できるだけでなく、ゲストユーザーを作成および削除することもできます。

  • パスワード

  • ゲストユーザーのライフタイム

  • ゲストロールプロファイル（AAA 属性リストを使用してゲストに適用する必要がある QoS プロファイル）。

RADIUS サーバーに、0 より大きい値の Cisco AV ペア権限レベルが設定されていることを確認する必要があります。


（注）  

ロビー管理者は、ローカルで作成するのではなく、RADIUS サーバーまたは TACACS サーバーから作成できます。

この管理者のみが、WLAN および Web 認証ポリシーを作成できます。また、管理者は AAA 属性リストを作成できます。ロビー管理者は、これを使用して対応するゲストユーザーにマップできます。

Cisco Catalyst 9800 コントローラ ソフトウェア リリース 17.2.x へのアップグレード後、ロビー管理者 GUI を正しく表示するには、ブラウザのキャッシュデータをクリアする必要があります。

Lobby Ambassador ユーザーアカウントの作成（GUI）

管理者または Lobby Ambassador のユーザー名とパスワードを設定しておくと、権限のないユーザーによるコントローラの設定変更や設定情報の表示を防ぐことができます。

ユーザー アカウントの作成

手順

ステップ 1

ホームページで、[Administration] > [User Administration] を選択します。

ステップ 2

[Add] をクリックします。

ステップ 3

[User Name] フィールドに、新しいアカウントのユーザー名を入力します。

ステップ 4

[Policy] ドロップダウンリストから、ユーザーと関連付けるポリシーを選択します。

ステップ 5

[Privilege] ドロップダウンリストから、ユーザー権限アイコンをクリックしてユーザーに関連付ける権限レベルを選択します。次にオプションを示します。

  • Go to Basic Mode

  • Go to Advanced Mode

[Go to Basic Mode]：この権限レベルでは、デバイスへのログイン後にユーザーが CLI を使用して入力できるコマンドを定義します。権限 1 はユーザー EXEC モードでのアクセスを許可し、権限 15 は特権 EXEC モードでのアクセスを許可します。

[Go to Advanced Mode]：

[Admin]：権限 15 を持つユーザーは、デバイスで、show、config、および exec コマンドをすべて実行できます。これらのユーザーは、GUI のすべてのセクションにアクセスできます。
[Read Only]：権限 1 ～ 14 を持つユーザーは、読み取り専用ユーザーと見なされます。ユーザーが GUI を使用して作成された場合、デフォルトの権限は 1 です。これらのユーザーは、[Dashboard] セクションと [Monitoring] セクションにのみアクセスできます。
[No Access]：権限 0 のユーザーは、Telnet または SSH を介してデバイスにログインし、CLI にアクセスすることができます。ただし、GUI にアクセスすることはできません。
[Lobby Admin]：ゲストユーザーアカウントのみを作成できるユーザー。ゲストユーザーの作成中に、ロビーアンバサダーはゲストユーザーの次のパラメータを設定できるだけでなく、ゲストユーザーを作成および削除することもできます。

  • パスワード

  • ゲストユーザーのライフタイム

  • ゲストロールプロファイル（AAA 属性リストを使用してゲストに適用する必要がある QoS プロファイル）。

ステップ 6

[Password] フィールドに、新しいアカウントのパスワードを入力します。

ステップ 7

[Confirm Password] フィールドに、再確認のために同じパスワードをもう一度入力します。

ステップ 8

[Apply to Device] をクリックします。

ロビーアカウントを使用したログイン


（注）  

ロビークレデンシャルを使用してログインする前に、次のコマンドを実行します。

aaa new-model

aaa authorization exec default local

ip http authentication aaa

管理者アカウントからログアウトし、ロビークレデンシャルを使用してログインします。

[Guest User] ページが表示されます。

Lobby Ambassador アカウントの作成（CLI）

手順

  コマンドまたはアクション 目的

ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

user-name user-name

例:

Device(config)# user-name example-user

ユーザー アカウントを作成します。

ステップ 3

type lobby-admin

例:

Device(config-user-name)# type lobby-admin

ロビー管理者としてアカウント タイプを指定します。

ステップ 4

password 0 password

例:

Device(config-user-name)# password 0 example-password

ロビー管理者アカウントのパスワードを作成します。

ステップ 5

aaa attribute list user-name

例:

Device(config-user-name)# aaa attribute list example-user

ロビー管理者アクセスの属性リストを作成します。

ステップ 6

attribute type wlan-profile-name

例:

Device(config-user-name)# attribute type wlan_wl_mab

ロビー管理者アクセスの属性タイプを作成します。

ステップ 7

exit

例:

Device(config-user-name)# exit

グローバル コンフィギュレーション モードに戻ります。

WLAN の設定（GUI）

始める前に

リダイレクト URL と ACL をダウンロードするには、レイヤ 2 認証の MAC フィルタリングを有効にする必要があります。

手順

ステップ 1

[Configuration] > [Tags & Profiles] > [WLANs] を選択します。

ステップ 2

[WLANs] ウィンドウで、WLAN の名前をクリックするか、[Add] をクリックして新規に作成します。

ステップ 3

表示される [Add/Edit WLAN] ウィンドウで、[General] タブをクリックして次のパラメータを設定します。

  • [Profile Name]フィールドで、プロファイルの名前を入力または編集します。

  • [SSID] フィールドで、SSID 名を入力または編集します。

    SSID 名には、最大 32 文字の英数字を使用できます。

  • [WLAN ID] フィールドで、ID 番号を入力するか編集します。有効な範囲は 1 ～ 512 です。

  • [Radio Policy] ドロップダウンリストから、[802.11] 無線帯域を選択します。

  • [Broadcast SSID] トグルボタンを使用して、ステータスを [Enabled] または [Disabled] に変更します。

  • [Status] トグルボタンを使用して、ステータスを [Enabled] または [Disabled] に変更します。

ステップ 4

[Security] タブ、[Layer 2] タブの順にクリックして、次のパラメータを設定します。

  • [Layer 2 Security Mode] ドロップダウンリストから、[None] を選択します。この設定により、レイヤ 2 セキュリティが無効になります。

  • [Reassociation Timeout] の値（秒単位）を入力します。これは、高速移行の再アソシエーションがタイムアウトするまでの時間です。

  • 分散システム経由の高速移行を有効にするには、[Over the DS] チェック ボックスをオンにします。

  • OWE を選択すると、Opportunistic Wireless Encryption（OWE）によって、AP 無線とワイヤレスクライアント間の無線暗号化によるデータの機密性が提供されます。OWE 移行モードは、一種の下位互換性を提供することを目的としています。

  • 高速移行を選択すると、高速ローミングの IEEE 標準である 802.11r によって、対応するクライアントがターゲットアクセスポイントにローミングする前でも、新しい AP との最初のハンドシェイクが実行されるローミングの新しい概念が導入されます。この概念は高速移行と呼ばれます。

  • WLAN で MAC フィルタリングを有効にするには、チェックボックスをオンにします。

  • [Lobby Admin Access] チェックボックスをオンにして、ロビー管理者アクセスを有効にします。

ステップ 5

[Save & Apply to Device] をクリックします。

クライアント許可リスト

大学やホテルのクライアントは、限られた期間だけネットワークにアクセスする必要があります。また、こういった場所では複数のデバイスを持つ多くのゲストを受け入れます。そのため、不正利用や不正アクセスからネットワークを保護し、正規のクライアントが対応するネットワークに接続できるようにすることが重要になります。

クライアントのリスト機能は、特定の WLAN または SSID ベースの MAC アドレスでのクライアントの許可リストを作成するニーズに対応します。

無効な WLAN プロファイル名を持つ許可リストユーザーとして新しいクライアント MAC アドレスを作成する場合は、クライアント MAC を WLAN プロファイルにマッピングする際に注意する必要があります。

クライアント許可リストは、デリミタフォーマットを使用しない MAC アドレスでのみサポートされます。

定義されている管理者ロールには、次の 2 つのタイプがあります。

  • グローバル管理者：コントローラでロビー管理者ユーザーを作成し、ロビー管理者の WLAN へのアクセス権を有効にします。

  • ロビー管理者：GUI だけを使用して WLAN または SSID への関連付けを管理するために、許可リストからクライアントを追加または削除します。既存のロビー管理者も、許可リストを設定するために使用できます。

クライアント許可リストに関する制限事項

ロビー管理者は、コマンド ライン インターフェイス（CLI）ではなく、グラフィカル ユーザー インターフェイス（GUI）を介してのみクライアントを許可リストに追加できます。

クライアント許可リストの作成（GUI）

このセクションでは、ロビー管理者が WLAN 用の有効なユーザーの許可リストを作成するために使用できる方法について説明します。

許可リストへの単一の MAC アドレスの追加

手順

ステップ 1

ロビー管理者ポータルにログインします。

ステップ 2

[Whitelist Users] をクリックします。

ステップ 3

ドロップダウンリストから、[WLAN] を選択します。

ステップ 4

[Add New Whitelist User] をクリックします。

ステップ 5

[By MAC Address] オプションボタンを選択します。

ステップ 6

[MAC address] と [Description] を入力します。

ステップ 7

[Apply to Device] をクリックします。

許可リストへの一括 MAC アドレスの追加

手順

ステップ 1

ロビー管理者ポータルにログインします。

ステップ 2

[Whitelist Users] をクリックします。

ステップ 3

ドロップダウンリストから、[WLAN] を選択します。

ステップ 4

[Add New Whitelist User] をクリックします。

ステップ 5

[Bulk Import] オプションボタンを選択します。

ステップ 6

MAC アドレス、説明の形式でクライアントがリストされている CSV ファイルを選択します。

ステップ 7

[Apply to Device] をクリックします。

ゲストユーザーの管理

手順

ステップ 1

ロビー管理者のログイン情報を使用して、ロビー管理者ポータルにログインします。

ステップ 2

[Whitelist Users] をクリックします。

ステップ 3

[WLAN] ドロップダウンリストから、対応する [WLAN] を選択します。

ステップ 4

[WLAN Mode] から [Onboarding] を選択して、クライアントがネットワークにアクセスできるようにします。

ステップ 5

[Apply] をクリックします。

ステップ 6

[Whitelist] ウィンドウの [Connected/Not Whitelisted] から MAC アドレスを選択します。クライアントがコントローラに参加すると、MAC アドレスが [Connected/Not Whitelisted] にリストされます。オンボーディングモードでは、選択した WLAN の MAC フィルタリングが無効になります。このようなシナリオでは、[Secure] モードを使用してモードを変更できます。

ステップ 7

接続されているクライアントを許可リストに自動的に追加するには、[Secure] を選択します。セキュアモードでは、選択した WLAN の MAC フィルタリングが有効になります。

ステップ 8

[Apply to Device] をクリックします。

クライアントは、[Connected/Whitelisted] にリストされます。

クライアント許可リストの表示

手順

ステップ 1

ロビー管理者ポータルにログインします。

ステップ 2

[Whitelist Users] をクリックします。

ステップ 3

[WLAN] ドロップダウンリストから、対応する [WLAN] を選択します。

このウィンドウには、次の情報が表示されます。

  • [Connected/Whitelisted]：接続され、ロビー管理者によって許可リストに追加されたクライアントが一覧表示されます。

  • [Connected/Not Whitelisted]：接続され、ロビー管理者によって許可リストに追加されていないクライアントが一覧表示されます。

  • [Not Connected/Whitelisted]：接続されていない、許可リストに追加されているクライアントが一覧表示されます。