Cisco Catalyst 9800 シリーズ ワイヤレス コントローラ（Cisco IOS XE Gibraltar 16.10.x）ソフトウェア コンフィギュレーション ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Catalyst 9800 シリーズ ワイヤレス コントローラ（Cisco IOS XE Gibraltar 16.10.x）ソフトウェア コンフィギュレーション ガイド

Chapter Title

DNS ベースのアクセス コントロール リスト

検索結果

Updated:
2019年11月21日

章のタイトル： DNS ベースのアクセス コントロール リスト

DNS ベースのアクセス コントロール リスト

DNS ベースのアクセス コントロール リストについて

DNS ベースの ACL は、Apple および Android デバイスなどのクライアント デバイスに使用されます。これらのデバイスを使用する場合、デバイスがアクセス権を持つ範囲を特定するために Cisco Catalyst 9800 シリーズ ワイヤレス コントローラに認証前 ACL を設定できます。

コントローラで DNS ベースの ACL を有効にするには、ACL の許可された URL を設定する必要があります。URL は、ACL で事前設定しておく必要があります。

DNS ベースの ACL によって、登録フェーズ中のクライアントは、設定された URL への接続を許可されます。コントローラは ACL 名で設定され、認証前 ACL が適用されるように AAA サーバによって返されます。ACL 名が AAA サーバによって返されると、ACL は Web リダイレクト用にクライアントに適用されます。

クライアント認証フェーズでは、ISE サーバが事前認証 ACL （url-redirect acl）を返します。DNS スヌーピングは、登録が完了してクライアントが SUPPLICANT PROVISIONING 状態になるまで、各クライアントの AP で実行されます。URL で設定された ACL がコントローラで受信されると、CAPWAP ペイロードは AP に送信され、クライアントの DNS スヌーピングが有効になり URL がスヌーピングされます。

適切な URL スヌーピングにより、AP は DNS 応答の解決済みドメイン名の IP アドレスを学習します。ドメイン名が設定された URL に一致すると、DNS 応答が IP アドレスについて解析され、IP アドレスは CAPWAP ペイロードとしてコントローラに送信されます。コントローラによって IP アドレスの許可リストに IP アドレスが追加されるため、クライアントは設定された URL にアクセスできます。

DNS ベースのアクセス コントロール リストの制約事項

DNS ベースの ACL には次の制約があります。

  • 認証前フィルタと認証後フィルタはローカル モードでサポートされています。Flex（ファブリック）モードでは認証前フィルタのみがサポートされています。

  • ISE からプッシュされる ACL オーバーライドはサポートされていません。

Flex Mode

URL フィルタ リストの定義

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

urlfilter list list-name

例:

Device(config)# urlfilter list urllist_flex_preauth

URL フィルタ リストを設定します。

ここで、list-name は URL フィルタ リスト名を指します。リスト名は 32 文字以内の英数字にする必要があります。

ステップ 3

action permit

例:

Device(config-urlfilter-params)# action permit

アクションとして、permit（ホワイトリスト）または deny（ブラックリスト）を設定します。
ステップ 4

redirect-server-ip4 IPv4-address

例:

Device(config-urlfilter-params)# redirect-server-ipv4 8.8.8.8

URL リストの IPv4 リダイレクト サーバを設定します。

ここで、IPv4-address は IPv4 アドレスを指します。

ステップ 5

redirect-server-ip6 IPv6-address

例:

Device(config-urlfilter-params)# redirect-server-ipv6 2001:300:8::81

URL リストの IPv6 リダイレクト サーバを設定します。

ここで、IPv6-address は IPv6 アドレスを指します。

ステップ 6

url url

例:

Device(config-urlfilter-params)# url url1.dns.com

URL を設定します。

ここで、url は URL の名前を指します。

ステップ 7

end

例:

Device(config-urlfilter-params)# end

特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバル コンフィギュレーション モードを終了できます。

Flex プロファイルへの URL フィルタ リストの適用

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless profile flex default-flex-profile

例:

Device(config)# wireless profile flex default-flex-profile

新しい flex ポリシーを作成します。

デフォルトの flex プロファイル名は default-flex-profile です。

ステップ 3

acl-policy acl policy name

例:

Device(config-wireless-flex-profile)# acl-policy acl_name

ACL ポリシーを設定します。
ステップ 4

urlfilter list name

例:

Device(config-wireless-flex-profile-acl)# urlfilter list urllist_flex_preauth

Flex プロファイルに URL リストを適用します。
ステップ 5

end

例:

Device(config-wireless-flex-profile-acl)# end

特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバル コンフィギュレーション モードを終了できます。

中央 Web 認証用の ISE の設定（GUI）

中央 Web 認証用に ISE を設定するには、次の手順に従います。

手順

ステップ 1

Cisco Identity Services Engine（ISE）にログインします。
ステップ 2

[Policy] をクリックし、[Policy Elements] をクリックします。
ステップ 3

[Results] をクリックします。

ステップ 4

[Authorization] を展開し、[Authorization Profiles] をクリックします。

ステップ 5

[Add] をクリックして、URL フィルタ用の新しい許可プロファイルを作成します。
ステップ 6

[Name] フィールドにプロファイルの名前を入力します。たとえば、CentralWebauth と入力します。

ステップ 7

[Access Type] ドロップダウン リストから [ACCESS_ACCEPT] オプションを選択します。
ステップ 8

[Advanced Attributes Setting] セクションで、ドロップダウン リストから [Cisco:cisco-av-pair] を選択します。
ステップ 9

それぞれのペアの後にある（[+]）アイコンをクリックして 1 つずつ入力します。

  • url-redirect-acl=<sample_name>

  • url-redirect=<sample_redirect_URL>

    次に例を示します。
    Cisco:cisco-av-pair = priv-lvl=15
Cisco:cisco-av-pair = url-redirect-acl=ACL-REDIRECTTTTTTTTTTTTTTTTTTTT2
Cisco:cisco-av-pair = url-redirect=
https://9.10.8.247:port/portal/gateway?sessionId=SessionIdValue&portal=0ce17ad0-6d90-11e5-978e-005056bf2f0a&daysToExpiry=value&action=cwa
ステップ 10

[Attributes Details] セクションの内容を確認し、[Save] をクリックします。

中央 Web 認証用の ISE の設定

手順

ステップ 1

Cisco Identity Services Engine（ISE）にログインします。
ステップ 2

[Policy] をクリックし、[Policy Elements] をクリックします。
ステップ 3

[Results] をクリックします。

ステップ 4

[Authorization] を展開し、[Authorization Profiles] をクリックします。

ステップ 5

[Add] をクリックして、URL フィルタ用の新しい許可プロファイルを作成します。
ステップ 6

[Name] フィールドに、プロファイルの名前を入力します。たとえば、CentralWebauth と入力します。
ステップ 7

[Access Type] ドロップダウン リストから [ACCESS_ACCEPT] を選択します。

ステップ 8

[Advanced Attributes Setting] セクションで、ドロップダウン リストから [Cisco:cisco-av-pair] を選択します。
ステップ 9

それぞれのペアの後にある（[+]）アイコンをクリックして 1 つずつ入力します。

  • url-redirect-acl=<sample_name>

  • url-redirect=<sample_redirect_URL>

次に例を示します。


Cisco:cisco-av-pair = priv-lvl=15
Cisco:cisco-av-pair = url-redirect-acl=ACL-REDIRECTTTTTTTTTTTTTTTTTTTT2
Cisco:cisco-av-pair = url-redirect= https://9.10.8.247:port/portal/gateway?sessionId=SessionIdValue&portal=0ce17ad0-6d90-11e5-978e-005056bf2f0a&daysToExpiry=value&action=cwa
ステップ 10

[Attributes Details] セクションの内容を確認し、[Save] をクリックします。

ローカル モード

URL フィルタ リストの定義

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

urlfilter list list-name

例:

Device(config)# urlfilter list urllist_local_preauth

URL フィルタ リストを設定します。

ここで、list-name は URL フィルタ リスト名を指します。リスト名は 32 文字以内の英数字にする必要があります。

ステップ 3

action permit

例:

Device(config-urlfilter-params)# action permit

アクションとして、permit（ホワイトリスト）または deny（ブラックリスト）を設定します。
ステップ 4

filter-type post-authentication

例:

Device(config-urlfilter-params)# filter-type post-authentication
（注）   

このステップは、認証後 URL フィルタを設定するときにのみ適用されます。

URL リストを認証後フィルタとして設定します。
ステップ 5

redirect-server-ip4 IPv4-address

例:

Device(config-urlfilter-params)# redirect-server-ipv4 9.1.0.101

URL リストの IPv4 リダイレクト サーバを設定します。

ここで、IPv4-address は IPv4 アドレスを指します。

ステップ 6

redirect-server-ip6 IPv6-address

例:

Device(config-urlfilter-params)# redirect-server-ipv6 2001:300:8::82

URL リストの IPv6 リダイレクト サーバを設定します。

ここで、IPv6-address は IPv6 アドレスを指します。

ステップ 7

url url

例:

Device(config-urlfilter-params)# url url1.dns.com

URL を設定します。

ここで、url は URL の名前を指します。

ステップ 8

end

例:

Device(config-urlfilter-params)# end

特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバル コンフィギュレーション モードを終了できます。

ポリシー プロファイルへの URL フィルタ リストの適用

手順

  コマンドまたはアクション 目的
ステップ 1

configure terminal

例:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。
ステップ 2

wireless profile policy profile-policy

例:

Device(config)# wireless profile policy default-policy-profile

ワイヤレス ポリシー プロファイルを設定します。

ここで、profile-policy は WLAN ポリシー プロファイルの名前を指します。

ステップ 3

urlfilter list {pre-auth-filter name | post-auth-filter name}

例:

Device(config-wireless-policy)# urlfilter list pre-auth-filter urllist_local_preauth
Device(config-wireless-policy)# urlfilter list post-auth-filter urllist_local_postauth

ポリシー プロファイルに URL リストを適用します。

ここで、name は、以前に設定された認証前または認証後 URL フィルタ リストの名前を指します。

（注）   

クライアントの join 中に、ポリシーで設定された URL フィルタが適用されます。
ステップ 4

end

例:

Device(config-wireless-policy)# end

特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバル コンフィギュレーション モードを終了できます。

中央 Web 認証用の ISE の設定

許可プロファイルの作成

手順

ステップ 1

Cisco Identity Services Engine（ISE）にログインします。
ステップ 2

[Policy] をクリックし、[Policy Elements] をクリックします。
ステップ 3

[Results] をクリックします。

ステップ 4

[Authorization] を展開し、[Authorization Profiles] をクリックします。

ステップ 5

[Add] をクリックして、URL フィルタ用の新しい許可プロファイルを作成します。
ステップ 6

[Name] フィールドに、プロファイルの名前を入力します。たとえば、CentralWebauth と入力します。
ステップ 7

[Access Type] ドロップダウン リストから [ACCESS_ACCEPT] を選択します。

ステップ 8

[Advanced Attributes Setting] セクションで、ドロップダウン リストから [Cisco:cisco-av-pair] を選択します。
ステップ 9

それぞれのペアの後にある（[+]）アイコンをクリックして 1 つずつ入力します。

  • url-filter-preauth=<preauth_filter_name>

  • url-filter-postauth=<postauth_filter_name>

次に例を示します。


Cisco:cisco-av-pair = url-filter-preauth=urllist_pre_cwa
Cisco:cisco-av-pair = url-filter-postauth=urllist_post_cwa
ステップ 10

[Attributes Details] セクションの内容を確認し、[Save] をクリックします。

認証ルールへの許可プロファイルのマッピング

手順

ステップ 1

[Policy] > [Authentication] ページで、[Authentication] をクリックします。
ステップ 2

認証ルールの名前を入力します。

たとえば、「MAB」と入力します。
ステップ 3

[If] 条件フィールドで、プラス（[+]）アイコンをクリックします。
ステップ 4

[Compound condition] を選択し、[WLC_Web_Authentication] を選択します。
ステップ 5

[and ...] の横にある矢印をクリックして、ルールをさらに展開します。
ステップ 6

[Identity Source] フィールドの [+] アイコンをクリックし、[Internal endpoints] を選択します。
ステップ 7

[If user not found] ドロップダウン リストから [Continue] を選択します。

このオプションを使用すると、MAC アドレスが不明な場合でもデバイスを認証できます。
ステップ 8

[保存（Save）] をクリックします。

許可ルールへの許可プロファイルのマッピング

手順

ステップ 1

[Policy] > [Authorization] をクリックします。
ステップ 2

[Rule Name] フィールドに、名前を入力します。

たとえば、「CWA Post Auth」などと入力します。
ステップ 3

[Conditions] フィールドで、プラス（[+]）アイコンを選択します。
ステップ 4

ドロップダウン リストをクリックして、[Identity Groups] 領域を表示します。
ステップ 5

[User Identity Groups] > [user_group] を選択します。
ステップ 6

[and ...] の横にあるプラス記号（[+]）をクリックして、ルールをさらに展開します。
ステップ 7

[Conditions] フィールドで、プラス（[+]）アイコンを選択します。
ステップ 8

[Compound Conditions] を選択し、新しい条件の作成を選択します。
ステップ 9

設定アイコンで、オプションから [Add Attribute/Value] を選択します。
ステップ 10

[Description] フィールドで、ドロップダウン リストから属性として [Network Access] > [UseCase] を選択します。
ステップ 11

[Equals] 演算子を選択します。
ステップ 12

右側のフィールドから、[GuestFlow] を選択します。
ステップ 13

[Permissions] フィールドで、プラス（[+]）アイコンを選択してルールの結果を選択します。

[Standard] > [PermitAccess] オプションを選択するか、または必要な属性を返すカスタム プロファイルを作成できます。

DNS ベースのアクセス コントロール リストの表示

指定されたワイヤレス URL フィルタの詳細を表示するには、次のコマンドを使用します。

Device# show wireless urlfilter details <urllist_flex_preauth>

すべてのワイヤレス URL フィルタのサマリーを表示するには、次のコマンドを使用します。

Device# show wireless urlfilter summary

結果のポリシー セクションでクライアントに適用された URL フィルタを表示するには、次のコマンドを使用します。

Device# show wireless client mac-address <MAC_addr> detail

DNS ベースのアクセス コントロール リストの設定例

Flex Mode

例：URL フィルタ リストの定義

次に、Flex モードで URL リストを定義する例を示します。


Device# configure terminal
Device(config)# urlfilter list urllist_flex_pre
Device(config-urlfilter-params)# action permit
Device(config-urlfilter-params)# redirect-server-ipv4 8.8.8.8
Device(config-urlfilter-params)# redirect-server-ipv6 2001:300:8::81
Device(config-urlfilter-params)# url url1.dns.com
Device(config-urlfilter-params)# end
例：Flex プロファイルへの URL フィルタ リストの適用

次に、Flex モードで Flex プロファイルに URL リストを適用する例を示します。


Device# configure terminal
Device(config)# wireless profile flex default-flex-profile
Device(config-wireless-flex-profile)# acl-policy acl_name
Device(config-wireless-flex-profile-acl)# urlfilter list urllist_flex_preauth
Device(config-wireless-flex-profile-acl)# end

ローカル モード

例：認証前 URL フィルタ リストの定義

次に、URL フィルタ リスト（認証前）を定義する例を示します。


Device# configure terminal
Device(config)# urlfilter list urllist_local_preauth
Device(config-urlfilter-params)# action permit
Device(config-urlfilter-params)# redirect-server-ipv4 9.1.0.101
Device(config-urlfilter-params)# redirect-server-ipv6 2001:300:8::82
Device(config-urlfilter-params)# url url1.dns.com
Device(config-urlfilter-params)# end
例:：認証後 URL フィルタ リストの定義

次に、URL フィルタ リスト（認証後）を定義する例を示します。


Device# configure terminal
Device(config)# urlfilter list urllist_local_postauth
Device(config-urlfilter-params)# action permit
Device(config-urlfilter-params)# filter-type post-authentication
Device(config-urlfilter-params)# redirect-server-ipv4 9.1.0.101
Device(config-urlfilter-params)# redirect-server-ipv6 2001:300:8::82
Device(config-urlfilter-params)# url url1.dns.com
Device(config-urlfilter-params)# end
例：ポリシー プロファイルへの URL フィルタ リストの適用

次に、ローカル モードでポリシー プロファイルに URL リストを適用する例を示します。


Device# configure terminal
Device(config)# wireless profile policy default-policy-profile
Device(config-wireless-policy)# urlfilter list pre-auth-filter urllist_local_preauth
Device(config-wireless-policy)# urlfilter list post-auth-filter urllist_local_postauth
Device(config-wireless-policy)# end

DNS スヌーピング エージェント（DSA）の確認

DNS スヌーピング エージェント クライアントの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent client

DSA が有効になっているインターフェイスの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent client enabled-intf

uCode メモリ内のパターン リストを表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent client hw-pattern-list

パターン リストの OpenDNS 文字列を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent client hw-pattern-list odns_string

パターン リストの FQDN フィルタを表示するには、次のコマンドを使用します。

Device# 
show platform hardware chassis active qfp feature dns-snoop-agent client hw-pattern-list fqdn-filter <fqdn_filter_ID>

（注）  

fqdn_filter_ID の有効な範囲は 1 ～ 16 です。

DSA クライアントの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent client info

CPP クライアントのパターン リストを表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent client pattern-list

パターン リストの OpenDNS 文字列を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent client pattern-list odns_string

パターン リストの FQDN フィルタを表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent client pattern-list fqdn-filter <fqdn_filter_ID>

（注）  

fqdn_filter_ID の有効な範囲は 1 ～ 16 です。

DSA データパスの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent datapath

DSA IP キャッシュ テーブルの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent datapath ip-cache

DSA アドレス エントリの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent datapath ip-cache address {ipv4 <IPv4_addr> | ipv6 <IPv6_addr>}

すべての DSA IP キャッシュ アドレスの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent datapath ip-cache all

DSA IP キャッシュ パターンの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent datapath ip-cache pattern <pattern>

DSA データパス メモリの詳細を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent datapath memory

DSA 正規表現テーブルを表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent datapath regexp-table

DSA の統計情報を表示するには、次のコマンドを使用します。

Device# show platform hardware chassis active qfp feature dns-snoop-agent datapath stats

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ