SD-Access ワイヤレスは、ワイヤレス ユーザとモノのためにファブリックの利点を最大限に生に活用しているため、最初に検討してみましょう。最初にアーキテクチャと主要なコンポーネントが紹介され、その後、読者は DNAC を使用して SD-Access ワイヤレス ネットワークを設定する方法を学習します。

OTT は基本的に、ファブリック有線ネットワーク上でファブリック ワイヤレスを実行しています。このオプションについては、設計上の考慮事項を含め後に本書で説明でされます。

メインのアーキテクチャ図と主なコンポーネントの説明を次に示します。

• コントロール プレーン ノード：エンドポイント ID とデバイス間の関係を管理するホスト データベース
• ファブリック ボーダー ノード：外部 L3 ネットワークを SDA ファブリックに接続するファブリック デバイス（コアまたが分散スイッチなど）ボーダー ノードには 2 つのタイプがあります。 既知のルートに接続するファブリック ボーダー ノードと「不明のルート」に接続するデフォルト ボーダー ノードです。本書のその他の部分では、ファブリックを外部ネットワークに接続する一般的な機能を参照するときに、このボーダーの命名法が使用されています
• ファブリック エッジ ノード：有線エンドポイントを SDA ファブリックに接続するファブリック デバイス（アクセス、スイッチなど）
• ファブリック ワイヤレス コントローラ：ファブリックを有効にしたワイヤレス コントローラ（WLC）
• ファブリック モード AP：ファブリックを有効にしたアクセス ポイント
• DNA Center (DNAC): エンタープライズ ネットワーク自動化と保証を行う単一の窓口DNAC は、エンタープライズ SDN コントローラ、ポリシー エンジン（ISE）、および分析エンジン（NDP）を統合します
• ポリシー エンジン：外部 ID サービス（ISE など）はダイナミック ユーザまたはデバイスからグループへのマッピングおよびポリシー定義に使用されます
• 分析エンジン：外部データ コレクタ（シスコ ネットワーク データ プラットフォーム）を活用して、ユーザまたはデバイスのアプリケーション フローを分析し、ファブリック ステータスをモニタします

次のセクションでは、ロールと SD アクセス ワイヤレス アーキテクチャの主なコンポーネントの機能について説明します

次は、SD-Access ワイヤレスで使用されるプロトコルとインタフェースの図による詳細な説明です。

• WLC <–> AP：コントロール プレーン WLC および AP 間通信は既存のモードと同様の CAPWAP を介して行われます

• AP <–> スイッチ：データ トラフィックは VXLAN トンネル カプセル化を使用して AP からエッジ スイッチにスイッチされます。UDP ポートは標準で 4789 です。

• WLC < - > コントロール プレーン ノード：ワイヤレス LAN コントローラは、コントローラの TCP ポート 4342 上で実行されているコントロール プレーン（CP）と通信します。

• DNAC < - > WLC：最初のリリースで DNAC は SSH/Telnet 経由で CLI インターフェイスを使用して、WLC を設定します。

• スイッチ < - > コントロール プレーン ノード：ファブリック対応スイッチは、TCP ポート 4789 のコントロール プレーン ノードと通信します。

SD-Access ワイヤレス アーキテクチャは AireOS リリース 8.5 以降を搭載した次のワイヤレス LAN コントローラでサポートされています。

• AIR-CT3504

• AIR-CT5520

• AIR-CT8540

このアーキテクチャは、次のローカル モードで Wave2 11ac アクセス ポイント用に最適化されています。P1810、AP1815、AP1830、AP1850、AP2800 および AP3800 です。

Wave1 802.11ac アクセス ポイントは、Wave2 と比較すると、機能が限定された SD-Access ワイヤレスでサポートされています（詳細はリリース ノートを参照）。屋外 AP は SDA 1.1（11 月リリース）ではサポートされていません。これらのアクセス ポイントは、ロードマップでサポートされています。

SD-Access ワイヤレス ネットワークに WLC と Ap を展開する重要な考慮事項については、次の図を参照してください。

アクセス ポイントについて

• AP は FE（または拡張ノード スイッチ）に直接接続されている

• AP はファブリック オーバーレイの一部である

• AP は、グローバル ルーティング テーブルにマップされている INFRA_VN に属す

• AP はローカル モードで、WLC に接続する

ワイヤレス LAN コントローラ（WLC）について

• WLC はファブリックの外部に接続されている (必要に応じてボーダーに直接接続)

• WLC は、グローバル ルーティング テーブル内に存在する必要がある

• VRF 間リークは AP が WLC に接続する際に不要である

• WLC は 1 つのコントロール プレーンノード（冗長性のために 2 つ）にしか通信できないため、1 つの WLC は 1 つのファブリック ドメイン（FD）にしか属せない

（注）	ファブリック コントロール プレーン プロトコルに耐障害性を持たせるには、各ファブリック ノードのグローバル ルーティング テーブルに WLC への特定のルートが存在することが重要です。WLC の IP アドレスへのルートは、ボーダーでアンダーレイ IGP プロトコルに再配布されるか、各ノードで静的に設定する必要があります。つまり、WLC はデフォルト ルート経由で到達できません。

AP から WLC への通信

ネットワーク展開の観点からは、アクセス ポイントはオーバーレイ ネットワークに接続され、WLC は従来の IP ネットワークの SD-Access ファブリックの外にあります。

（注）	WLC が物理的にサイトに設置され、WAN を経由しないようにします。ファブリック AP はローカル モードにあり、AP と WLC の間に 20ms 未満の遅延が必要です。

WLC サブネットは、アンダーレイにアドバタイズされるので、ネットワーク内のファブリック ノード（ファブリック エッジおよびコントロール プレーン）はネイティブ ルーティングを実行して WLC に到達できます。オーバーレイの AP サブネットは外部ネットワークにアドバタイズされ、WLC はオーバーレイ経由で AP に到達できます。

ここで、CAPWAP トラフィックが Fabric 対応 SSID の AP と WLC 間でどのように流れるかを少し詳しく見ていきましょう。これは、AP 接続およびすべての他のコントロール プレーン トラフィック（クライアントデータ プレーン トラフィックは AP から VXLAN を使用してスイッチに配信されるため、WLC には送信されません）におけるコントロール プレーン トラフィックです。

AP から WLC の南北方向の CAPWAP トラフィックは、次の図で説明されています。

• ボーダー（内部または外部）は、アンダーレイ内の WLC ルートを（選択した IGP を使用して）再配布します。

• FE がグローバル ルーティング テーブルでルートを学習

• FE が AP から CAPWAP パケットを受信すると、FE は RIB で一致を検出し、パケットは VXLANカプセル化なしで転送されます。

• AP への WLC CAPWAP トラフィックがアンダーレイで移動

WLC から AP の北南方向の CAPWAP トラフィックは、次の図で説明されています。

• AP サブネットは、オーバーレイの一部として、CP に登録されています。

• ボーダーは、AP ローカル EID スペースを CP からグローバル ルーティング テーブルにエクスポートし、AP ルートを LISP マップキャッシュ エントリにインポートします。

• ボーダーは外部ドメインにローカル AP EID スペースをアドバタイズします。

• ボーダーは、WLC から CAPWAP パケットを受信すると、 LISP ルックアップが行われ、トラフィックは VLAN カプセル化を使用して FE に送信されます。

• WLC への AP CAPWAP トラフィックがアンダーレイで移動

（注）	AP から WLC までの CAPWAP トラフィック パスについて説明してきました。AP から発信された他のタイプのトラフィックにも同じパスが適用され、DHCP、DNS などのグローバル ルーティング テーブルで既知の宛先に送信されます。

1. DNAC では、最初にファブリック ドメインに WLC を追加します

2. ファブリック設定が WLC にプッシュされます。WLC はファブリックを認識します。最も重要なことは、ファブリック コントロール プレーン（CP）へのセキュアな接続を確立するために、WLC を資格情報で設定することです。

3. WLC は SD-Access ワイヤレスへの参加が可能になります

1. 管理者ユーザは、DNAC 内のプールを INFRA_VN 内の AP 専用（これはプール定義内の [AP プロビジョニング（AP Provisioning）] ボックスをチェックすることを意味します）に設定します。DNAC は VLAN と関連するポート マクロを FE に事前プロビジョニングします。

2. AP は電源に接続されオンになります。FE は CDP を介して AP であることを検出し、設定マクロを適用してスイッチ ポートを正しい VLAN に割り当てます。

3. AP は DHCP 経由で IP アドレスを取得します。AP は、ファブリックに有線接続された「特別な」ホストです

（注）	DNAC 1.1（11 月リリース）の時点で、ホストのオンボーディング設定中に「No Authentication」スイッチポート テンプレートが選択されている場合にのみ、CDP マクロがプッシュされます。これは、次の図で示します。This is shown in picture below.

これは、次の図で示します。This is shown in picture below.

その他の認証テンプレートを選択すると、管理者ユーザは、右の IP プールを AP のスイッチ ポートに静的にマッピングする必要があります。AP オンボーディングに戻ってください。

1. ファブリックのエッジでは、コントロール プレーン ノードで AP の IP アドレスが登録されます。これで、AP ロケーションはファブリックで認識されるようになりました。

2. AP は従来の方法（DHCP オプション 43、DNS、PnP）を使用して WLC について学習し、WLC に接続します。ファブリック AP はローカル モード AP として参加します

3. WLC は AP がファブリック対応（Wave 2 または Wave 1 AP）かどうかを確認します

4. AP モデルがサポートされている場合、WLC は CP に AP がファブリックに接続されているかどうかを問い合わせます。

   
   

   

   
   

5. CP は RLOC 情報で WLC に応答します。つまり、AP はファブリックに接続されており、WLC の AP 詳細情報がファブリック対応として表示されるようになります。

6. WLC は、HTDB に AP の L2 LISP 登録を行います（AP という「特別な」セキュアクライアントの登録とも呼ばれます）。これは WLC から FE への重要なメタデータ情報の転送に使用されます

   
   

   

   
   

7. WLC によるこのプロキシ登録に応答して、CP はファブリック エッジに通知して、WLC から受信したメタデータを渡します（AP および AP の IP アドレスであることを示すフラグ）

8. ファブリック エッジは情報を処理し、このクライアントが AP であることを認識して、指定された IP への VXLAN トンネル インターフェイスを作成します（最適化：スイッチ側はクライアント接続を待機している状態）

1. クライアントはファブリックが有効な WLAN で認証します。WLC は ISE からクライアント SGT を取得し（WLAN が 802.1x 認証用に設定されていることを前提とします）、AP をクライアント L2VNID および SGT で更新します。WLC は、（AP への接続中に保存された）自身の内部レコードから RLOC の AP を認識しています。

2. WLC プロキシはクライアント L2 情報を CP に登録します。これは LISP 変更メッセージであり、クライアント SGT などの追加情報をパスします。

3. FE は CP から通知を受信し、クライアント MAC を L2 転送テーブルに追加し、SGT に基づいて ISE からポリシーを取得します
   

   

   
   

4. クライアントは DHCP 要求を開始します

5. AP は L2 VNI 情報を使用して、それを VXLAN にカプセル化します

6. ファブリック エッジは L2 VNID を VLAN と VLAN インターフェイスにマッピングし、エニーキャスト IP を DHCP リレーとして使用して、オーバーレイの DHCP を転送します（有線ファブリック クライアントの場合と同様）
   

   

   
   

7. クライアントは DHCP から IP アドレスを受信します

8. DHCP スヌーピング（スタティックの場合 ARP またはこの両方）は、ファブリック エッジによる HTDB へのクライアント登録をトリガーします

   これで、クライアント オンボーディング プロセスは完了します

1. クライアントは FE2 の AP2 にローミングします（スイッチ間ローミング）。WLC は AP2 から通知を受けます

2. WLC は、クライアント情報（SGT、RLOC IP アドレス）を使用して AP 上の転送テーブルを更新します

3. WLC は、新しい RLOC FE2 を使用して CP で L2 MAC エントリを更新します

   
   
   
   
   

4. CP を通知します

   1. ファブリック エッジ FE2（「ローミング先」のスイッチ） は、トンネルを参照する転送テーブルにクライアント MAC を追加する

   2. ファブリック エッジ FE1（「ローミング元」のスイッチ」） は、ワイヤレス クライアントのクリーンアップを実行する

   3. ファブリック ボーダーは、このクライアントの内部 RLOC を更新する

5. FE はトラフィックの受信時に、CP で L3 エントリ（IP）を更新します

   FE2 に同じ VLAN インターフェイス（エニーキャスト GW）があるため、ローミングはレイヤ 2 です

この場合は、従来のワイヤレスは、SD-Access ファブリック上で実行されます。このモードは、有線ネットワーク上で SDA を最初に実装し、次にワイヤレス統合を計画しているお客様向けの移行手順として重要です。

• 従来型の CUWN アーキテクチャでは、コントロール プレーンとデータ プレーンの CAPWAP は WLC で終端します（中央モード）

• SDA ファブリックは AP と WLC 間の有線インフラストラクチャ内の伝送路にすぎません

• CUWN ワイヤレス オーバーザ トップ（OTT）は完全な SDA へ移行するためのステップです

2 つの異なる展開のさまざまな設計上の考慮事項を考えてみましょう。これを行う前に、WLC のどのインターフェイスが使用されているのか、またどのように展開されているのかを明確にしましょう。

どちらの SDA 統合モードでも、SD-Access ワイヤレスと OTT に適用される WLC インターフェイスについて考慮します。

• 最初のリリースでは、ワイヤレス LAN コントローラは、ファブリック ネットワーク外のアンダーレイ ネットワーク（グローバル ルーティング テーブル）に接続されます。

• ファブリック ネットワークに接続されている AP は、オーバーレイ ネットワークにあるとみなされます。つまり、ファブリック エッジのポートはすべてファブリック対応ポートということになります。オーバーレイにポートを接続し、アンダーレイに他のポートを接続することはできません。

• 管理インタフェースは、WLC と AP との CAPWAP コントロール チャネルと、AAA、DNAC などの共有サービスとの通信に通常使用されています。

• SD-Access ワイヤレスを使用して展開した場合、管理インターフェイスはコントロール プレーン ノードとの統合にも使用されます。

• RP または冗長ポートはアクティブおよびスタンバイ HA ペア間の HA 通信に使用され、ボックス障害またはネットワーク障害時にシームレスでステートフルなスイッチオーバーを提供します。

• ダイナミック インターフェイスは、ワイヤレスがオーバーザトップで導入されている、つまりファブリック インフラストラクチャが、集中型処理のために WLC に返送される CAPWAP コントロールおよびデータ チャネルの伝送路にすぎない場合のみ使用されます。

• サービス ポートは、通常通り、帯域外管理に使用されます。

ます最初に、CUWN ワイヤレス OTT とは何ですか。このモードでは、AP と WLC 間の従来の CAPWAP トンネルがファブリック ネットワークにオーバーレイとして実行されます。つまり、ファブリックは CAPWAP のトランスポートとなります。なぜお客様は、CUWN ワイヤレス OTT を導入しますか。主な 2 つの理由：

1. OTT ソリューションは移行のステップとなる場合があります。お客様はまず有線インフラストラクチャを SD-Access ファブリックに移行し、ワイヤレス ネットワークを「そのまま」の状態を維持する必要があります。つまり、現在ワイヤレスが動作する方法では行われません。これは、有線およびワイヤレス インフラストラクチャを管理するさまざまな IT オペレーション チーム、有線ネットワークのアップグレードを最初に決定するさまざまな購入サイクルが原因となっている可能性があります。または単に IT チームがワイヤレス部分を統合する前にまず有線側のファブリックに熟知したいと思っていることが原因である可能性もあります。

2. また、ワイヤレス OTT を導入するための別の理由として、お客様はワイヤレスのファブリックに移行したくない、またはできない可能性があります。これは SDA でサポートされていないより古い AP（802.11n 以上）を大半所有しているか、SD-Access ワイヤレス（8.5 以上）を実行するために必要な新しい WLC ソフトウェアの証明書を必要としている可能性があります。 または、単にお客様がワイヤレスの「そのまま」の状態を維持し、変更を加えたくない可能性もあります。

各コンポーネントの最も重要な設計考慮事項を考えてみましょう。

SD-Access ファブリックのすべての利点を得るためには、統合された設計、したがって SD-Access ワイヤレス ソリューションを選択する必要があります。アーキテクチャの見解から、統合は、次の 3 つの主な利点をもたらします。

1. シンプルな管理およびコントロール プレーン：DNAC は、ファブリックを起動し、数回クリックするだけでワイヤレス統合を設定するのに必要な自動化を提供します。Centralized Wireless Control プレーン（CAPWAP ベース）は、今日の CUWN コントローラと同じ機能を提供します。

2. 最適化されたデータ プレーン：データ プレーンは、通常これがもたらす通常の警告なしで配布されます。ファブリックのおかげで、複数のアクセス スイッチにまたがる VLAN がなくなり、サブネット化が簡単になります。

3. 統合されたポリシーとエンドツーエンドのセグメンテーション：ポリシーは補足的なものではなく、アーキテクチャ全体で一元的に統合されています。VXLAN ヘッダーは、VRF（VNID）と、エンドツー エンドの階層的なセグメンテーションを提供する SGT 情報の両方を伝送します。

次の図は、統合設計の利点をまとめたものです。

ワイヤレス統合ソリューションの設計要素を簡単に分析します。

お客様は、ゲスト無線ネットワークを Over The Top（OTT）として展開することにより、ゲスト アンカー コントローラで行われた投資を引き続き活用できます。ゲスト用の WLAN は、DMZ のゲスト アンカーに固定されるように設定され、トラフィックはファブリックのオーバーレイになります。これは、実績のある CUWN ソリューションであり、顧客の投資を保護し、特にブラウン フィールドの導入に最適です。もちろん、このソリューションには、CUWN ソリューションから継承された制限があります。

• ゲスト トンネル数 71 の制限

• 有線ゲストに対応する個別のソリューション、アンカー WLC を個別に管理

  （注）	DNAC 1.1 のこのオプションは自動化されず、DNAC サポートはロードマップ内にあります。

この設計では、ゲスト ネットワークは SD-Access ファブリック内のもう 1 つの仮想ネットワークであるため、ゲスト データ プレーンを別のエンタープライズ トラフィックから分離するために、エンドツーエンドのファブリック セグメンテーション（VNI と SGT を必要に応じて異なるゲストロールに使用）を活用します。ゲスト仮想ネットワークを作成し、IP プールを定義し、SSID をゲスト用の 1 つ以上のプールに関連付けることによって、DNAC によって設定されます。以前のソリューションの主な利点の 1 つは、これが有線と無線のゲスト ユーザーにとって一貫したソリューションとポリシーであることです。

顧客がデータ プレーン トラフィックだけでなく、Control Plane のためにゲスト ネットワークを完全に隔離する必要がある場合、DNAC では専用のゲスト制御枠とボーダー（基本的に専用のファブリック ドメインである）を設定して、ゲスト ユーザを管理できます。

このソリューションでは、トラフィックは VXLAN の AP でファブリック エッジ スイッチにカプセル化されていますが、FE は別のボーダー ノードを使用するように設定されています。このボーダーは、お客様の DMZ に存在することができ、ゲスト アンカー ソリューションと同様の完全なトラフィック分離を提供します。ゲスト ユーザは専用 CP に登録され、DMZ には IP アドレスが割り当てられます。

以前の VN ソリューションと同様に、この設計は有線と無線のゲストに対してポリシーの一貫性を提供します。ゲスト CP とボーダーの選択は、ソリューションの拡張性によって異なります。

N+1 や SSO を使用したコントローラ high availability の両方が、ファブリック対応コントローラでサポートされています。

ISE は SD-Access ワイヤレス SSID のファブリック インターフェイス名、ACL、QoS、SGT などのパラメータをオーバーライドできます

ファブリック インターフェイス名のオーバーライド

クライアントの認証と役割に基づいて、同じ SSID を異なるプール/サブネットにマッピングしたい場合はどうなりますか。CUWN では、このために VLAN オーバーライドを使用して、VLAN ID（名前または番号）を AAA サーバから WLC に戻します。

ファブリックでは、VLAN にはローカルスイッチの意味だけがあり、IP プールにマップされるのは L2 仮想ネットワーク ID（L2VNID）です。これは、サブネット/プールに関連付けられているネットワーク識別子で、ワイヤレスでは SSID に関連付けられています。 L2 VNID は、AP から VXLAN ヘッダーのスイッチに転送されます。L2 VNID は最終的に、ファブリック エッジ スイッチで VLAN に、それから SVI インターフェイス（エニーキャスト ゲートウェイ）に、 その後、L3 VNID（VRF）にローカル マッピングされます。

SD-Access ワイヤレスでは、さまざまなプールを区別するために L2VNID を通過する必要があります。ISE または他の AAA は VNID を直接使用しないため、Cisco AVP の Aire-Interface-Name または Interface-Name を使用して、クライアント認証時に特定の名前を返します。クライアント L2 認証は常にコントローラで行われるため、ISE と通信してそのインターフェイス名の値を取得し、L2VNID にマッピングするのは WLC です。

ISE では、特定のグループ認可プロファイルを設定して、下の図に示すように特定のインターフェイス名を返す必要があるため、ユーザーが認証すると ISE は Radius ACCEPT_ACCEPT メッセージの特定の属性を返します。

ファブリック インターフェイス名は、次のようなマッピングを使用して L2 インスタンス ID にマッピングされます。重要：ユーザーが DNAC を設定すると、このマッピングと設定はすべて自動的に行われます。

L2 インスタンス ID は AP に送信され、VXLAN ヘッダーに埋め込まれます。

ACL および QoS プロファイルの AAA オーバーライド

WLC のファブリック ACL は AP に適用されます。ローカル WLC ACL とファブリック ACL の主な違いは、ファブリック ACL は方向を関連付けられていないことです。ファブリック SSID では、Flex ACL が SSID に設定されます。同じ ACL がイングレスとイーグレス両方に適用されます。

ACL の AAA オーバーライドの場合：

• オーバーライド ACL 名は AP のファブリック ACL（Flex ACL）である必要があります

• ACL テンプレートは ACL の AP へのプッシュに使用できます

（注）	IP ACL はサポートされていますが、SD-Access でセキュリティ ポリシーを適用する推奨方法は SGT を使用します。

QoS プロファイル名のオーバーライドの場合：

• QoS プロファイル名は ISE からプッシュされます

• アップストリームおよびダウンストリーム QoS が AP で適用されます

• VXLAN トンネル QoS は内部ヘッダーから取得されます

WLC は、クライアントが接続した際に、ワイヤレス クライアントに使用する SGT を AP に送信します。AP は、ワイヤレス クライアントからアクセス スイッチに VXLAN トンネル経由でデータ パケットを転送するときに、VXLAN ヘッダーにこの SGT を追加します。この SGT タグはファブリックを介してエンドツーエンドに伝送されます。

イーグレス アクセス スイッチでは（SGT、DGT）ペアで適用する SGACL を判断します。SGT はパケットに含まれており、DGT は宛先ホストの IP バインドに基づいて導かれます。

ワイヤレス クライアントのためにアクセス スイッチに SGACL を適用する場合（アクセス スイッチ（VXLAN トンネル送信元）のワイヤレス クライアントに向かうトラフィックに対する適用）、タグ（SGT タグ、または DGT）はスイッチで取得される必要があります。

次の手順は、グループ ベース ポリシーのフローです。

• クライアント L2 認証は WLC で発生します
• WLC はクライアント接続時に SGT を AP に送信します
• WLC クライアント登録時に CP を SGT で更新
• CP は FE を Opaque データの SGT を使用して更新します。受信した SGT に基づいて、スイッチは ISE からポリシーをダウンロードします
• AP はこの SGT を VXLAN ヘッダーに追加します
• SGT タグは LISP ヘッダーのファブリックを介してエンドツーエンドで伝送されます
• イーグレス スイッチでは、（SGT、DGT）ペアによってパケット ヘッダーの SGT に基づいて SGACL が判断されます

ここでは、中央 Web 認証（CWA）の基本的なフローについて説明します。これは、DNAC の自動化でサポートされている唯一の種類の Web 認証です。

1. L2 認証は ISE サーバで発生します。MAC フィルタリングは、WLC で設定する必要があります
2. クライアント認証フェーズ中に、URL リダイレクト ACL（Flex ACL タイプ）とリダイレクト URL は AP にプッシュされます
3. クライアント トラフィックは、VXLAN トンネルでのデバイス登録とネイティブ サプリカント プロビジョニングのために ISE ポータルにリダイレクトされます
4. 完了すると、ISE は CoA を WLC に送信し、WLC は CoA を AP にプッシュします
5. 次に、クライアントは EAP-TLS を使用して再認証します。デバイスは ISE サーバにとって既知となったため、認証が成功し、以降のデータ トラフィックは AP から VXLAN さらにファブリック エッジにスイッチされます

フローは次のとおりです。

1. L2 認証は WLC で発生し、クライアントは WEBAUTH_REQD 状態に移行します
2. HTTP リダイレクトは WLC で発生します
3. WebAuth は内部（WLC でホストされる Web ページ）または外部（外部サーバでホストされる Web ページ）で発生します。
4. トラフィックは外部 LWA の事前認証 ACL と一致すると、VXLAN トンネルでスイッチされます。内部 WebAuth トラフィックが CAPWAP を介して WLC に送信される場合
5. L3 認証が完了すると、クライアントは [RUN] 状態になり、事前認証 ACL は削除されます
6. 内部 WebAuth トラフィックが CAPWAP を介して WLC に送信される場合、ゲスト データ トラフィックは DMZ 内の FE からゲスト ボーダー ノードに切り替えられます

（注）	すべての設定は、WLC のユーザ インターフェイスに直接実行する必要があります。