クライアントの認証時に、AAA サーバはクライアントの MAC アドレスを認証し、Cisco-AVPair リストの一部としてパスフレーズ（設定されている場合）を送信します。WLC は RADIUS 応答の一部としてこれを受信し、PSK の計算のため追加処理します。

クライアントがアクセス ポイントからブロードキャストされている SSID にアソシエーション要求を送信すると、ワイヤレス LAN コントローラはクライアントの特定の MAC アドレスを含む RADIUS 要求パケットを形成し、RADIUS サーバに中継します。

RADIUS サーバは認証を実行し、クライアントが許可されているかどうか、および WLC への応答として ACCESS-ACCEPT または ACCESS-REJECT のいずれかを送信するかどうかをチェックします。

Identity PSK をサポートするために、認証サーバは、認証応答を送信するだけでなく、この特定のクライアントに対して AV Pair パスフレーズを提供します。これは PSK の計算のためにさらに使用されます。

RADIUS サーバは、クライアントに特有のユーザ名、VLAN、QoS などの追加パラメータをこの応答で提供することもできます。単一ユーザが所有している複数のデバイスのためにパスフレーズを同一にしておくこともできます。

AVC と同じように、mDNS またはオープン DNS プロファイルは、特定のデバイス タイプのクライアントのためにローカル ポリシーにマップできます。IPSK は、コントローラのローカル ポリシーと組み合わせたり、特定の WLAN にマッピングしたりすることもできます。AV-pair=PSK-mode および PSK-password を ISE などの AAA サーバで設定する場合、管理者は、別の AV-pair=role を追加することで、たとえば、教師または学生のグループに対して、その特定のロールに対するローカル ポリシーを設定することもできます。各ローカル ポリシーは異なったプロファイル名、ACL、ロール、デバイス タイプ、および、同じ WLAN でプロファイルにより許可されていないサービスを利用/拒否することができることから、ポリシーを制限/許可する AAA オーバーライドに基づいて、アクティブ時間までも使用して設定できます。

同一の WLAN で IPSK とローカル ポリシーを組み合わせると、多くのさまざまな展開シナリオで制限なく使用できます。

たとえば、学内管理者は、学生が IPSK でログインし、グループ Students に属する学生のみ、特定のアプリケーションに特定の帯域幅と特定のデバイスで、特定の時間アクセスできるローカル ポリシーを適用するように設定できます。IPSK とローカル ポリシーを組み合わせることで、実質的に無制限の多様な機能を使用できます。

Cisco では、ISE を介してデバイスの識別、オンボーディング、ポスチャ、およびポリシーを実行する、豊富な機能を提供しています。WLC では新たに、ネットワーク上のエンドデバイスを識別するために DHCP、HTTP などのプロトコルに基づくデバイスのプロファイリングを行います。ユーザは、デバイス ベースのポリシーを設定し、ネットワーク上のユーザごと、またはデバイス ポリシーごとに適用できます。WLC では、ユーザごと、またはデバイス エンドポイントごとに基づく統計情報とデバイスごとの適切なポリシーも表示できます。

BYOD（Bring Your Own Device）では、この機能がネットワーク上のさまざまなデバイスの理解に影響します。この機能を使うことで、WLC 自身で小規模に BYOD を実装できます。

このセクションでは、AireOS8.5 コードを動かしている Cisco WLC でプロファイリングとポリシーを設定して実行します。

プロファイリングとポリシーの適用は、2 つの異なるコンポーネントとして設定します。WLC での設定は、前のセクションで設定したように、IPSK セキュリティを使用してネットワークに参加するクライアントに特有な定義済みパラメータに基づきます。対象のポリシー属性は次のとおりです。

1. Role：ユーザが属するユーザ タイプまたはユーザ グループを定義

2. PSK-mode：ASCII

   PSK-password：特定の PSK パスワードとデバイスの MAC アドレスとの一致

   たとえば、学生、従業員など

3. Device：デバイスのタイプを定義

   たとえば、Windows マシン、スマートフォン、iPad や iPhone などの Apple デバイス

4. Time of day：設定で、エンドポイントがネットワーク上で許可される時間を定義

上記のパラメータはポリシー一致属性として設定できます。WLC では、上記のパラメータに（エンドポイントごとに）一致する通信を検出すると、ポリシーを適用します。ポリシーの適用は次のようなセッション属性に基づいています。

• VLAN

• ACL

• セッション タイムアウト

• QoS

• スリープ状態のクライアント

• FlexConnect ACL

• AVC プロファイル

• mDNS プロファイル

• オープン DNS プロファイル

• セキュリティ グループ タグ

ユーザは、これらのポリシーを設定し、指定したポリシーをエンドポイントに適用できます。ワイヤレス クライアントは、MAC アドレス、MAC OUI、DHCP、HTTP ユーザ エージェント（HTTP プロファイリングを成功させるためには、Internet へのアクセスが必要）に基づいて、プロファイリングされます。WLC はこれらの属性と定義済みの分類プロファイルを使用して、デバイスを識別します。

• Mac フィルタリングおよび AAA Override が有効化され、ISE が設定されているコントローラは、IPSK を設定したデバイスが ISE で設定された MAC アドレスを使用して WLAN に接続することを許可します。

• ISE で設定された MAC アドレスを持つデバイスは、WLAN に通常の PSK で接続できず、そのデバイスのために設定された IPSK でのみ接続できます。

• ISE で設定された MAC アドレスを持たないデバイスは、通常の PSK のみで WLAN に接続できます。

• IPSK は、FlexConnect local switching ではサポートされません。AAA サーバで AV-Pair のサポートが必要です。

• IPSK は、FlexConnect Group ではサポートされません。

• IPSK は FSR をサポートし、高速ローミングの際に、ローミングごとの RADIUS 接続を避けるため、キーキャッシングを実行します。

• 特定のスケジュールされた時間に IPSK の設定を有効にするには、RADIUS 応答の radius session-timeout 属性を使用できます。

config wlan mac-filtering enable <wlanId>
config wlan aaa-override enable <wlanId>
config wlan security wpa akm psk enable <wlanId>
config wlan security wpa akm psk set-key <ascii/hex> <key> <wlanId>

既知の show コマンドは、WLAN およびクライアントの設定を表示します。

show wlan <wlanId>
show client detail <clientMac>