Cisco Catalyst 9800 シリーズ ワイヤレス コントローラ（Cisco IOS XE Gibraltar 16.10.x）ソフトウェア コンフィギュレーション ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Catalyst 9800 シリーズ ワイヤレス コントローラ（Cisco IOS XE Gibraltar 16.10.x）ソフトウェア コンフィギュレーション ガイド

Chapter Title

無線ゲスト アクセス

検索結果

Updated:
2019年11月22日

章のタイトル： 無線ゲスト アクセス

無線ゲスト アクセス

無線ゲスト アクセス

ワイヤレス ゲスト アクセス機能は、安全かつ信頼できる方法でゲストにインターネット アクセスを提供するニーズに対処します。ワイヤレス ゲスト ネットワークの実装では、企業の既存のワイヤレスおよび有線インフラストラクチャが最大限に使用されます。これにより、物理オーバーレイ ネットワークを構築する際のコストと複雑さが軽減されます。ワイヤレス ゲスト アクセス ソリューションは、ゲスト フォーリンとゲスト アンカーの 2 台のコントローラで構成されます。管理者は帯域幅を制限してゲスト トラフィックをシェーピングし、内部ネットワークのパフォーマンスに影響しないようにすることができます。

ワイヤレス ゲスト アクセス機能は、次の機能で構成されています。

  • ゲスト アンカー コントローラは、クライアントの Point of Presence です。

  • ゲスト アンカー コントローラは、ゲスト クライアントからのトラフィックをアンカー コントローラを介して Demilitarized Zone（DMZ）ネットワーク内のシスコ ワイヤレス コントローラに転送することで、内部セキュリティを確保します。

  • ゲスト フォーリン コントローラは、クライアントの接続ポイントです。

  • ゲスト フォーリン コントローラでは、ゲスト アクセスを必要とするあらゆる場所にキャンパス ワイヤレス ネットワークを介して専用のゲスト WLAN または SSID が実装されます。モビリティ アンカー（ゲスト コントローラ）が設定された WLAN でゲスト WLAN が識別されます。

  • ゲスト トラフィックの分離により、キャンパス ネットワーク全体にレイヤ 2 またはレイヤ 3 手法が実装され、ゲストがアクセスできる場所が制限されます。

  • ゲスト ユーザレベルの QoS は、レート制限およびシェーピングに使用されますが、ゲスト ユーザの帯域幅の使用を制限するために広く実装されています。

  • アクセス制御では、キャンパス ネットワーク内に組み込まれたアクセス制御機能が使用されるか、企業ネットワークからインターネットへのゲスト アクセスを制御する外部プラットフォームが実装されます。

  • 日付、期間、帯域幅などの変数に基づく、ゲストの認証および承認。

  • ネットワークを使用中または使用したことのあるユーザをトラックする監査メカニズム。

  • ロビーや共有施設など、有線によるネットワーク接続もなかったエリアを含めて、より広範なカバレッジを提供します。

  • ゲスト アクセス用のエリアや部屋を特別に用意する必要がなくなります。


（注）  
ネットワーク内で AireOS で IRCM を使用するには、Cisco TAC に連絡してサポートを受けてください。
表 1. サポートされるコントローラ

Controller Name

ゲスト アンカーとしてのサポート

ゲスト フォーリンとしてのサポート

Cisco Catalyst 9800-40 ワイヤレス コントローラ

対応

対応

Cisco Catalyst 9800-80 ワイヤレス コントローラ

対応

対応

Cisco Catalyst 9800-CL ワイヤレス コントローラ

対応

対応

スイッチ用 Cisco Catalyst 9800 組み込みワイヤレス コントローラ

なし

なし

Supported Features

Cisco ゲスト アクセスでサポートされている機能のリストを次に示します。

  • スリープ状態のクライアント

  • FQDN

  • AVC（AP アップストリームおよびダウンストリーム）

  • ネイティブ プロファイリング

  • オープン認証

  • OpenDNS

  • サポートされているセキュリティ方式：

    • MAB CWA

    • LWA（ローカル Web 認証）

    • Dot1x + CWA（中央 Web 認証）

    • MAB エラー時の LWA

  • SSID QoS アップストリームおよびダウンストリーム（外部）

  • AP/クライアント SSO

  • スタティック IP ローミング

  • クライアント IPv6

  • コントローラ間でのローミング

  • RADIUS Accounting


    （注）  
    ゲスト アクセスのシナリオでは、すべての認証方式を対象にアカウンティングは常にフォーリン コントローラで実行されます。

  • QoS：クライアントレベルのレート制限

  • ゲスト アンカー ロード バランシング

  • ワークグループ ブリッジ （WGB）


（注）  
WLC が WGB からの複数の VLAN をサポートできるようにするには、wgb vlan コマンドを使用します。

複数のゲスト コントローラ間のロード バランシング

大量のゲスト クライアント ボリュームをロード バランシングするようにエクスポート アンカーを設定できます。1 つのエクスポート フォーリン ゲスト WLAN 設定で、最大 72 のコントローラが許可されます。モビリティ ゲスト コントローラを設定するには、mobility anchor ip address を使用します。

プライマリ アンカーにプライオリティ（1、3）を指定し、障害が発生した場合のバックアップとして別のアンカーを選択できます。

ワイヤレス ゲスト アクセスに関する制限事項

  • この機能は、Cisco AireOS 8.8.111.0 以降でサポートされています。

  • ゲスト フォーリンとゲスト アンカーの両方で WLAN のセキュリティ プロファイルを一致させてください。

  • ゲスト フォーリンとゲスト アンカーの両方のコントローラで、NAC や AAA オーバーライドなどのポリシー プロファイル属性を一致させてください。

  • エクスポート アンカーでは、クライアントが実行時に接続する際に WLAN プロファイル名とポリシー プロファイル名が選択されます。これらはゲスト フォーリン コントローラで使用されているものと同じである必要があります。

IPv6 の制約事項

ゲスト エクスポート クライアントが、SLAAC を介してルーティング可能な IPv6 アドレスを取得できない場合、または IPv6 アドレスが学習されたときに DHCPv6 を介してトラフィックを渡せない場合は、次の回避策を使用できます。

  • IPv6 ルータでの回避策：IPv6 ゲートウェイ上の動作を変更して、RA マルチキャストからユニキャストへの変換を回避できます。製品によって、これがデフォルトの動作である場合と、設定が必要な場合があります。

    • Cisco IPv6 ルータでの回避策

      • Nexus プラットフォーム：ワイヤレス展開に役立つ送信要求ユニキャスト RA がデフォルトで有効になっています。

      • IOS-XE プラットフォーム：次の設定ノブを使用して、ワイヤレス展開に役立つユニキャスト RA をオンにします。

        ipv6 nd ra solicited unicast

    • Cisco IPv6 ルータ以外での回避策：シスコ以外のネットワーク デバイスが送信要求ユニキャスト RA を有効にする設定ノブをサポートしていない場合、回避策はありません。

ゲスト アクセス用モビリティ トンネルの設定（GUI）

手順

ステップ 1

[Configure] > [Tags and Profiles] > [WLANs] をクリックします。

ステップ 2

[Wireless Networks] 領域で関連する WLAN または RLAN をクリックし、[Mobility Anchor] をクリックします。

ステップ 3

[Wireless Network Details] セクションで、[Switch IP Address] ドロップダウンリストからデバイスを選択します。

ステップ 4

[Apply] をクリックします。

ゲスト アクセス用モビリティ トンネルの設定

Cisco Catalyst 9800 シリーズ ワイヤレス コントローラでモビリティ トンネルを設定するには、次の手順に従います。

手順

  コマンドまたはアクション 目的
ステップ 1

wireless mobility group name group name

独自のグループを設定します。
ステップ 2

wireless mobility mac mac address

独自の MAC アドレスを設定します。
ステップ 3

wireless mobility group member mac mac address ip ip address group group name

ピアを設定します。

ゲスト アクセス ポリシーの設定

ゲスト アクセス プロファイル ポリシーを作成して設定するには、次の手順に従います。または、モビリティ アンカーを設定した既存のデフォルト ポリシー プロファイルを使用することもできます。

ピアになっているアンカーのみを設定できます。使用されている IP アドレスがモビリティ ピアであり、モビリティ グループに含まれていることを確認します。他の IP アドレスが使用されている場合は、無効なアンカー IP アドレスのエラー メッセージが表示されます。

モビリティ グループを削除するには、モビリティ アンカーでもあるモビリティ ピアがポリシー プロファイルから削除されていることを確認します。


（注）  

  • VLAN を表示するために、ゲスト フォーリンにペイロードが送信されることはありません。

  • VLAN が原因でクライアント除外が発生しないように、9800 シリーズ コントローラでは、ISE からプッシュされる関連名とともに VLAN を定義する必要があります。

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless profile policy wlan_policy_profile

例:

Device (config)# wireless profile policy guest-test-policy

ポリシー プロファイルを設定し、ワイヤレス プロファイル コンフィギュレーション モードを開始します。

（注）   

  • default-policy-profile を使用してプロファイル ポリシーを設定できます。

  • プロファイル ポリシーでは、デフォルトのポリシー タグを使用できます。
ステップ 3

shutdown

例:

Device (config-wireless-policy)# shutdown

ポリシーが存在する場合は、アンカーを設定する前にシャットダウンします。
ステップ 4

central switching

例:

Device (config-wireless-policy)# central switching

（任意）中央スイッチングを設定します。
ステップ 5

最初のオプションを使用してゲスト フォーリンを設定するか、2 番目のオプションを使用してゲスト アンカーを設定します。

  • mobility anchor anchor-ip-address
  • mobility anchor

例:

ゲスト フォーリンの場合：

Device (config-wireless-policy)# mobility anchor 19.0.2.1

ゲスト アンカーの場合：

Device (config-wireless-policy)# mobility anchor
ゲスト フォーリンまたはゲスト アンカーを設定します。
ステップ 6

idle-timeout timeout

例:

Device (config-wireless-policy)# idle-timeout 1000

（任意）アイドル タイムアウト時間を秒単位で設定します。
ステップ 7

vlan vlan-id

例:

Device (config-wireless-policy)# vlan 2

VLAN 名または VLAN ID を設定します。

（注）   
ゲスト フォーリン コントローラでは VLAN は任意です。
ステップ 8

no shutdown

例:

Device (config-wireless-policy)# no shutdown

ポリシー プロファイルを有効にします。
ステップ 9

end

例:

Device (config-wireless-policy)# end

コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。
ステップ 10

show wireless profile policy summary

例:

Device# show wireless profile policy summary

（任意）設定されたプロファイルを表示します。
ステップ 11

show wireless profile policy detailed policy-profile-name

例:

Device# show wireless profile policy detailed guest-test-policy

（任意）ポリシー プロファイルの詳細情報を表示します。

ゲスト アクセスのデバッグ情報の表示（CLI）

  • このコマンドは、モビリティの状態に関するクライアント レベルの詳細情報とアンカー IP アドレスを表示します。

    show wireless client mac-add mac-addressdetail

  • このコマンドはクライアント モビリティの統計情報を表示します。

    show wireless client mac-address mac-addressmobility statistics

  • このコマンドは、サブドメイン内のアクティブなクライアントに関するクライアント レベルのローミング履歴を表示します。

    show wireless client mac-address mac-address mobility history

  • このコマンドは、特定のプロファイル ポリシーの詳細なパラメータを表示します。

    show wireless profile policy detailed policy-name

  • このコマンドは、すべてのモビリティ メッセージに関するグローバル レベルのサマリーを表示します。

    show wireless mobility summary

  • このコマンドはモビリティ マネージャの統計情報を表示します。

    show wireless stats mobility

サイト タグの設定

サイト タグを設定するには、次の手順に従います。

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless tag site site-tag-name

例:

Device (config)# wireless tag site site-tag-name

サイト タグを設定し、サイト タグ プロファイル コンフィギュレーション モードを開始します。
ステップ 3

ap profile ap-profile

例:

Device (config-site-tag)# ap profile temp-ap-profile

AP プロファイルをサイトにマッピングします。
ステップ 4

description site-tag-name

例:

Device (config-site-tag)# description "description-of-site-tag"

サイト タグに説明を追加します。
ステップ 5

end

例:

Device (config-site-tag)# end

コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。
ステップ 6

show wireless tag site summary

例:

Device# show wireless tag site summary

サイト タグの数を表示します。
ステップ 7

show wireless tag site detailed site-tag-name

例:

Device# show wireless tag site detailed site-tag-name

サイト タグの詳細情報を表示します。

ポリシー タグの設定

ポリシー タグを設定するには、次の手順に従います。


（注）  
AVC とともに使用されていない場合は、アンカーにポリシー タグを設定する必要はありません。

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless tag policy policy-tag-name

例:

Device (config)# wireless tag policy guest-tag-policy

ポリシー タグを設定し、ポリシー タグ プロファイル コンフィギュレーション モードを開始します。
ステップ 3

wlan wlan-name policy profile-policy-name

例:

Device (config-policy-tag)# wlan test-wlan policy guest-test-policy

ポリシー プロファイルを WLAN プロファイルにマッピングします。
ステップ 4

end

例:

Device (config-policy-tag)# end

コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。
ステップ 5

show wireless tag policy summary

例:

Device# show wireless tag policy summary

設定されたポリシー タグを表示します。
ステップ 6

show wireless tag policy detailed policy-profile-name

例:

Device# show wireless tag policy detailed guest-test-policy

ポリシー タグの詳細情報を表示します。

AP へのポリシー タグの関連付け


（注）  

デフォルトのポリシー プロファイルにモビリティ アンカーを含めることもできます。

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

ap filter name filter-name

例:

Device(config)# ap filter name guest-ap-filter

Device(config-ap-filter)# ap name-regex ap-name

AP フィルタを設定します。
ステップ 3

tag policy policy-tag-name

例:

Device(config-ap-filter)# tag policy policy-tag-name

フィルタのポリシー タグを設定します。
ステップ 4

wlan wlan-name policy profile-policy-name

例:

Device (config-policy-tag)# wlan test-wlan policy guest-test-policy

ポリシー プロファイルを WLAN プロファイルにマッピングします。
ステップ 5

end

例:

Device (config-policy-tag)# end

コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。
ステップ 6

show wireless tag policy summary

例:

Device# show wireless tag policy summary

設定されたポリシー タグを表示します。
ステップ 7

show wireless tag policy detailed policy-profile-name

例:

Device# show wireless tag policy detailed guest-test-policy

ポリシー タグの詳細情報を表示します。

AP へのサイト タグとポリシー タグの付加

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

ap mac-address

例:

Device (config)# ap e2:d0:f3:d3:c0:8e

AP を設定し、AP タグ コンフィギュレーション モードを開始します。

（注）   

イーサネット MAC アドレスを使用します。
ステップ 3

policy-tag policy-tag-name

例:

Device (config-ap-tag)# policy-tag guest-tag-policy

ポリシー タグを AP にマッピングします。
ステップ 4

site-tag site-tag-name

例:

Device (config-ap-tag)# site-tag site-tag-name

サイト タグを AP にマッピングします。
ステップ 5

end

例:

Device (config-ap-tag)# end

コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。
ステップ 6

show ap tag summary

例:

Device# show wireless tag policy summary

AP の詳細と AP に関連付けられているタグを表示します。

さまざまなセキュリティ方式を使用したゲスト アクセスの設定

オープン認証を使用したゲスト アクセスの設定

ポリシー プロファイルの設定

オープン認証を使用するゲスト アンカーを設定するには、次の手順に従います。

（注）  
AVC が有効になっていない場合は、タグは必要ありません。
手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless profile policy wlan-policy-profile

例:
Device(config)# wireless profile policy open_it

WLAN ポリシー プロファイルを設定し、ワイヤレス ポリシー コンフィギュレーション モードを開始します。
ステップ 3

最初のオプションを使用してゲスト フォーリンを設定するか、2 番目のオプションを使用してゲスト アンカーを設定します。

  • mobility anchor anchor-ip-address
  • mobility anchor
例:

ゲスト フォーリンの場合：

Device (config-wireless-policy)# mobility anchor 19.0.2.1

ゲスト アンカーの場合：

Device (config-wireless-policy)# mobility anchor
ゲスト フォーリンまたはゲスト アンカーを設定します。
ステップ 4

central switching を使用して無効にすることができます。

例:
Device(config-wireless-policy)# central switching

中央スイッチングを有効にします。
ステップ 5

vlan id

例:
Device(config-wireless-policy)# vlan 16

VLAN 名または VLAN ID を設定します。

（注）   
ゲスト フォーリン コントローラでは VLAN は任意です。
ステップ 6

no shutdown

例:
Device(config-wireless-policy)# no shutdown

ポリシー プロファイルを有効にします。

WLAN プロファイルの設定

手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wlan profile-name wlan-id ssid-name .

例:
Device(config)# wlan mywlan 34 mywlan-ssid

WLAN と SSID を設定します。
ステップ 3

no security wpa

例:
Device(config-wlan)# no security wpa

WPA セキュリティを無効にします。
ステップ 4

no security wpa akm dot1x

例:
Device(config-wlan)# no security wpa akm dot1x

dot1x に対するセキュリティの AKM をディセーブルにします。
ステップ 5

no security wpa wpa2

例:
Device(config-wlan)# no security wpa wpa2

WPA2 セキュリティを無効にします。
ステップ 6

no security wpa wpa2 ciphers aes

例:
Device(config-wlan)# no security wpa wpa2 ciphers aes

AES の WPA2 暗号化をディセーブルにします。
ステップ 7

no shutdown

例:
Device(config-wlan)# no shutdown

設定を保存します。

ローカル Web 認証を使用したゲスト アクセスの設定

パラメータ マップの設定

ローカル Web 認証を使用するゲスト アンカーを設定するには、次の手順に従います。
手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

parameter-map type webauth global

例:
Device(config)# parameter-map type webauth global

パラメータ マップを作成し、parameter-map webauth コンフィギュレーション モードを開始します。
ステップ 3

type webauth

例:
Device(config-params-parameter-map)#type webauth

webauth タイプ パラメータを設定します。
ステップ 4

timeout init-state sec timeout-seconds

例:
Device(config-params-parameter-map)# timeout inti-state sec 3600

WEBAUTH のタイムアウトを秒単位で設定します。

タイムアウト（秒単位）パラメータの有効な範囲は 60 ～ 3932100 秒です。
ステップ 5

virtual-ip ipv4 virtual_IP_address

例:
Device(config-params-parameter-map)#virtual-ip ipv4 209.165.201.1

VLAN 名または VLAN ID を設定します。

ポリシー プロファイルの設定

手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless profile policy policy-profile-name

例:
Device(config)# wireless profile policy policy1

ポリシー プロファイルを設定します。
ステップ 3

central switching

例:
Device(config-wireless-policy)# central switching

中央スイッチングを有効にします。
ステップ 4

最初のオプションを使用してゲスト フォーリンを設定するか、2 番目のオプションを使用してゲスト アンカーを設定します。

  • mobility anchor anchor-ip-address
  • mobility anchor
例:

ゲスト フォーリンの場合：

Device (config-wireless-policy)# mobility anchor 19.0.2.1

ゲスト アンカーの場合：

Device (config-wireless-policy)# mobility anchor
ゲスト フォーリンまたはゲスト アンカーを設定します。
ステップ 5

vlan name

例:
Device(config-wireless-policy)# vlan 16

VLAN 名または VLAN ID を設定します。

（注）   
ゲスト フォーリン コントローラでは VLAN は任意です。
ステップ 6

no shutdown

例:
Device(config-wireless-policy)# no shutdown

ポリシー プロファイルを有効にします。

WLAN プロファイルの設定

手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wlan wlan-id ssid-name

例:
Device# Device(config)# wlan mywlan 38 mywlan-ssid1

WLAN と SSID を設定します。
ステップ 3

security web-auth

例:
Device(config-wlan)# security web-auth

WLAN の Web 認証を有効にします。
ステップ 4

security web-auth parameter-map デフォルト

例:
Device(config-wlan)# security web-auth parameter-map default

デフォルトのパラメータ マップを設定します。

（注）   
security web-auth が有効になっている場合、default authentication-list とグローバルの parameter-map がマッピングされます。これは、明示的に記述されていない認証リストとパラメータマップに適用されます。
ステップ 5

security web-auth parameter-map global

例:
Device(config-wlan)# security web-auth parameter-map global

グローバル パラメータ マップを設定します。
ステップ 6

security web-auth authentication-list LWA-AUTHENTICATION

例:
Device(config-wlan)# security web-auth authentication-list LWA-AUTHENTICATION

IEEE 802.1x の認証リストを設定します。

AAA サーバ設定

手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

aaa authentication login LWA-AUTHENTICATION local

例:
Device(config)#aaa authentication login lwa-authentication local

ログイン時の認証方法を定義します。
ステップ 3

aaa authorization network default local if-authenticated

例:
Device(config)#aaa authorization network default local if-authenticated

ユーザが認証済みの場合は、認証方法をローカルに設定します。

グローバル コンフィギュレーション

グローバル設定については、次の手順に従います。
手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

username name password 0 clear-text-passowrd

例:
Device(config)# #username base password 0 pass1

ユーザのクリア テキスト パスワードを設定します。
ステップ 3

ip http server

例:
Device(config)#ip http server

HTTP サーバをイネーブルにします。
ステップ 4

ip http authentication local

例:
Device(config)#ip http authentication local

HTTP サーバの認証方式をローカルに設定します。

中央 Web 認証を使用したゲスト アクセスの設定

ポリシー プロファイルの設定

中央 Web 認証を使用するゲスト アンカーを設定するには、次の手順に従います。
手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless profile policy cwa

例:
Device(config)# wireless profile policy cwa

WLAN ポリシー プロファイルを設定し、ワイヤレス ポリシー コンフィギュレーション モードを開始します。
ステップ 3

aaa-override

例:
Device(config-wireless-policy)# aaa-override

AAA サーバまたは ISE サーバから受信したポリシーを適用するように AAA オーバーライドを設定します。
ステップ 4

central switching

例:
Device(config-wireless-policy)# central switching

中央スイッチングを有効にします。
ステップ 5

最初のオプションを使用してゲスト フォーリンを設定するか、2 番目のオプションを使用してゲスト アンカーを設定します。

  • mobility anchor anchor-ip-address
  • mobility anchor
例:

ゲスト フォーリンの場合：

Device (config-wireless-policy)# mobility anchor 19.0.2.1

ゲスト アンカーの場合：

Device (config-wireless-policy)# mobility anchor
ゲスト フォーリンまたはゲスト アンカーを設定します。
ステップ 6

nac

例:
Device(config-wireless-policy)# nac

ポリシー プロファイルに NAC を設定します。
ステップ 7

session-timeout seconds

例:
Device(config-wireless-policy)# session-timeout 300

セッション タイムアウト値を秒単位で設定します。範囲は 20 ～ 86400 です。
ステップ 8

vlan name

例:
Device(config-wireless-policy)# vlan 16

VLAN 名または VLAN ID を設定します。

（注）   
ゲスト フォーリン コントローラでは VLAN は任意です。
ステップ 9

no shutdown

例:
Device(config-wireless-policy)# no shutdown

ポリシー プロファイルを有効にします。

WLAN プロファイルの設定

手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wlan wlan-id ssid-name

例:
Device# Device(config)# wlan mywlan 38 mywlan-ssid1

WLAN と SSID を設定します。
ステップ 3

mac-filtering remote_authorization_list_name

例:
Device(config-wlan)# mac-filtering auth-list

リモート RADIUS サーバの MAB 認証を有効にします。
ステップ 4

no security wpa

例:
Device(config-wlan)# no security wpa

WPA セキュリティを無効にします。
ステップ 5

no security wpa akm dot1x

例:
Device(config-wlan)# no security wpa akm dot1x

dot1x に対するセキュリティの AKM をディセーブルにします。
ステップ 6

no security wpa wpa2

例:
Device(config-wlan)# no security wpa wpa2

WPA2 セキュリティを無効にします。
ステップ 7

no security wpa wpa2 ciphers aes

例:
Device(config-wlan)# no security wpa wpa2 ciphers aes

AES の WPA2 暗号化をディセーブルにします。
ステップ 8

no shutdown

例:
Device(config-wlan)# no shutdown

設定を保存します。

AAA サーバ設定


（注）  
ゲスト フォーリン専用の AAA サーバを設定します。
手順
  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:
Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

aaa authorization network authorization-listlocal group Server-group-name

例:
Device(config)#aaa authorization network cwa local group ise

許可の方法をローカルに設定します。
ステップ 3

aaa group server radius server-group-name

例:
Device(config)#aaa group server radius ise

RADIUS サーバ グループの定義を設定します。
ステップ 4

server name radius-server-name

例:
Device(config-sg-radius)#server name ise1

RADIUS サーバ名を設定します。
ステップ 5

subscriber mac-filtering security-mode mac

例:
Device(config-sg-radius)#$mac-filtering security-mode mac

パスワードとして MAC アドレスを設定します。
ステップ 6

mac-delimiter colon

例:
Device(config-sg-radius)#mac-delimiter colon

MAC アドレスの区切り文字をコロンに設定します。
ステップ 7

end

例:
Device(config-sg-radius)#end

設定を保存し、コンフィギュレーション モードを終了して、特権 EXEC モードに戻ります。
ステップ 8

radius server name

例:
Device(config)#radius server ISE1

RADIUS サーバ名を設定します。
ステップ 9

address ipv4 radius-server-ipaddress auth-port port-number acct-port port-number

例:
Device(config-radius-server)#address ipv4 209.165.201.1 auth-port 1635 acct-port 33

RADIUS サーバの IP アドレス、認証ポート、アカウンティング ポートを設定します。

MAC 障害時の Web 認証の設定（GUI）

手順

ステップ 1

[Configuration] > [Tags and Profiles] > [WLANs] をクリックします。

ステップ 2

[Add] をクリックして新しい WLAN プロファイルを追加するか、編集するプロファイルをクリックします。

ステップ 3

[Edit WLAN] ウィンドウで [Security] > [Layer3] をクリックします。

ステップ 4

[Show Advanced Settings] をクリックして [On MAC Filter Failure] チェックボックスをオンにします。

MAC 障害時の Web 認証の設定

クライアントが WLAN への接続試行時に MAC フィルタ（ローカルまたは RADIUS）を使用して認証できない場合、Web 認証にフォールバックするように設定できます。この機能を有効にするには、デバイスで MAC フィルタリングと Web 認証の両方を設定します。これにより、MAC フィルタ認証の失敗のみを理由に発生するアソシエーション解除も回避できます。この機能を設定するには、次の手順を実行します。

ポリシー プロファイルの設定

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless profile policy cwa

例:

Device(config)# wireless profile policy cwa

WLAN ポリシー プロファイルを設定し、ワイヤレス ポリシー コンフィギュレーション モードを開始します。
ステップ 3

central switching

例:

Device(config-wireless-policy)# central switching

中央スイッチングを有効にします。
ステップ 4

最初のオプションを使用してゲスト フォーリンを設定するか、2 番目のオプションを使用してゲスト アンカーを設定します。

  • mobility anchor anchor-ip-address
  • mobility anchor

例:

ゲスト フォーリンの場合：

Device (config-wireless-policy)# mobility anchor 19.0.2.1

ゲスト アンカーの場合：

Device (config-wireless-policy)# mobility anchor
ゲスト フォーリンまたはゲスト アンカーを設定します。
ステップ 5

vlan name

例:

Device(config-wireless-policy)# vlan 16

VLAN 名または VLAN ID を設定します。

（注）   
ゲスト フォーリン コントローラでは VLAN は任意です。
ステップ 6

no shutdown

例:

Device(config-wireless-policy)# no shutdown

ポリシー プロファイルを有効にします。

WLAN プロファイルの設定

手順

  コマンドまたはアクション 目的
ステップ 1

wlan guest-wlan-name wlan-id ssid

例:

config# wlan test-wlan-guest 10 wlan-ssid

ゲスト WLAN を設定します。
ステップ 2

security web-auth

例:

config-wlan# security web-auth

Web 認証を有効にします。
ステップ 3

security web-auth on-macfilter-failure

例:

config-wlan# security web-auth on-macfilter-failure

MAC フィルタ認証が失敗した場合に Web 認証を有効にします。

外部マップの概要

ゲスト アクセスは、Cisco Catalyst 9800 シリーズ ワイヤレス コントローラのポリシー プロファイルと WLAN プロファイルの設定モデルを使用した外部マップをサポートしています。

Cisco Catalyst 9800 シリーズ ワイヤレス コントローラで外部マップがサポートされるのは、次のポリシー プロファイルと WLAN プロファイルの設定モデルを使用した場合です。

  • ゲスト フォーリン

    • Foreign1：wlanProf1 PolicyProf1

    • Foreign2：wlanProf2 PolicyProf2

  • ゲスト アンカー

    • wlanProf1、wlanProf2

    • PolicyProf1：Vlan100 - subnet1

    • PolicyProf2：Vlan200 - subnet2

外部マップ ローミング

2 つのゲスト フォーリンで 2 つの異なる WLAN プロファイルを設定した場合、それらの間でシームレス ローミングを実行することはできません。これは予期される設定です。ただし、2 つのゲスト フォーリンで同じ WLAN プロファイルが設定されている場合はシームレス ローミングが許可されますが、外部マップ機能は動作しません。

ワイヤレス ゲスト アクセス：使用例

この機能は、ゲスト アクセス機能として実行した場合にさまざまな要件を満たすために使用できます。ここでは、考えられるいくつかの例を紹介します。

シナリオ 1：企業の合併時にセキュリティで保護されたネットワーク アクセスを提供する

会社 B にアクセスする会社 A の社員が会社 B のネットワークで会社 A のリソースに安全にアクセスできるように、この機能を設定できます。

シナリオ 2：既存の設定を介したサービスの共有

この機能を使用すると、既存のネットワークにピギー バッキングする複数のベンダーを使用して複数のサービスを提供できます。会社は、既存のコントローラにアンカーされている SSID でサービスを提供できます。これは、既存のサービスが同じコントローラとネットワーク上で機能している間継続されます。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ