Cisco Mobility Express リリース 8.7 導入ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Mobility Express リリース 8.7 導入ガイド

Chapter Title

Mobility Express での TLS サポート

検索結果

Updated:
2018年8月27日

章のタイトル： Mobility Express での TLS サポート

Mobility Express での TLS サポート

Cisco Mobility Express は、802.11ac Wave 2 アクセス ポイントに組み込まれた仮想ワイヤレス コントローラの機能です。アクセス ポイントでワイヤレス LAN コントローラの機能を実行する柔軟性により、顧客は、各サイトで最大 100 のアクセス ポイントを持つ単一のサイトまたは複数のサイトにエンタープライズ ワイヤレス ソリューションを導入できます。マルチサイト展開では、顧客は、通常は中央サイトに配置される Cisco Prime Infrastructure を使用して、各サイトを管理できます。ただし、個々のサイトが ISP 経由でインターネットに接続されており、専用の WAN 経由で接続されていない場合は、これらのマルチサイト展開を管理することが難しい場合があります。

この課題を解決するために、AireOS リリース 8.6 以降の Cisco Mobility Express では、顧客は TLS トンネルを経由する Cisco Prime Infrastructure を使用してマルチサイト展開を管理できるようになりました。これらのサイトの管理に加えて、DOT1x 認証要求を RADIUS（ISE）に集約して、それを中央サイトでサイト CPI に沿って展開できます。

中央サイトへの TLS トンネルでは SNMP、RADIUS、および SSH トラフィックのみが流れ、データ トラフィックは引き続き個々のサイトでローカルにスイッチングされることに注意してください。

TLS トンネルには 2 つのコンポーネントがあります。

  1. TLS クライアント：AireOS リリース 8.6 以降、TLS クライアントは Cisco Mobility Express コードに組み込まれ、マスター AP 上で実行されます。

  2. TLS ゲートウェイ：これは、中央サイトで展開されて TLS トンネルを確立するための仮想マシンです。TLS ゲートウェイには 2 つのネットワーク インターフェイスがあります。

    1. パブリック ネットワーク：これは、すべてのマスター AP から到達可能なパブリック IP です。TLS クライアントは、このアドレスを使用して、マスター AP と TLS ゲートウェイ間に TLS トンネルを確立します。

    2. プライベート ネットワーク：これは、Cisco Prime Infrastructure、RADIUS およびその他のネットワーク デバイスが展開されている TLS ゲートウェイの背後にあるプライベート ネットワークの IP アドレスです。



TLS ゲートウェイ

TLS ゲートウェイは仮想マシンであり、中央サイトに展開されます。

TLS ゲートウェイのシステム要件

  1. ハイパーバイザ：VMware–ESXi 5.5.0/ESXI 6.0

  2. VM リソース

    1. 4 vCPU

    2. 8 GB RAM

    3. 100 GB のストレージ

    4. 2 つの NIC（パブリック ネットワーク用とプライベート ネットワーク用）

  3. IP ルーティング要件

    1. Prime-infra（SNMP）、ISE（Radius）、DHCP サーバ、SSH、モニタリング システムへの TLS-GW プライベート ネットワークから有効なルーティング（その逆も同様）

  4. TLS-GW パブリック IP は ME-AP の管理 IP から到達可能である必要があります。

TLS ゲートウェイの展開

以下の手順に従って、中央サイトに TLS ゲートウェイを展開してください。

手順

ステップ 1

TLS ゲートウェイの OVA ファイルを入手します。
ステップ 2

vSphere クライアント UI で、[File] > [Deploy OVF Template] に移動します。
ステップ 3

ローカル マシンの TLS ゲートウェイ OVA ファイルを参照します。[Next] をクリックします。
ステップ 4

OVF テンプレートの詳細を確認して、[Next] をクリックします。
ステップ 5

TLS ゲートウェイの仮想マシンの名前を指定します。
ステップ 6

ディスク形式の場合は、デフォルトのままで [Next] をクリックします。
ステップ 7

ネットワーク マッピングの場合は、パブリック ネットワーク インターフェイスの宛先ネットワークを選択します。[Next] をクリックします。
ステップ 8

展開設定を確認します。[Power On after deployment] チェックボックスを有効にし、[Finish] をクリックします。

TLS ゲートウェイの設定

TLS ゲートウェイの設定は、次の 3 つの手順から成ります。

  1. パブリックおよびプライベート ネットワーク インターフェイスの IP アドレスの設定

  2. TLS ゲートウェイの構成ファイルの設定およびサービスの開始

  3. PSK ID-KEY ペアの設定

TLS ゲートウェイ用の OVA を展開して電源を入れた後、次の手順に従って TLS ゲートウェイを設定します。

パブリックおよびプライベート ネットワーク インターフェイスの IP アドレスの設定

手順

ステップ 1

TLS ゲートウェイ VM へのコンソール セッションを開き、次のクレデンシャルを使用してログインします。

ユーザ名：tlsgw

パスワード：tlsgw
ステップ 2

以下に示すように、ifconfig と入力してパブリック インターフェイスとプライベート インターフェイスの IP アドレスを確認します。



（注）   

ens160 はパブリック ネットワーク インターフェイスに対応し、上記の例では DHCP サーバから 10.10.10.11 の IP を取得しています。また、IP アドレスを静的に割り当てることもでき、以降の手順で説明しています。また、上記の ifconfig 出力にはプライベート ネットワークのインターフェイスはありません。これは手動で設定することもでき、以降の手順で説明しています。

ステップ 3

tlsgw@msp-tls-gw: プロンプトで sudo bash と入力し、tlsgw の [sudo] パスワードとして tlsgw と入力します。

ステップ 4

パブリックおよびプライベート ネットワーク インターフェイスの IP アドレスを設定するには、シェルで cd /etc/interfaces と入力して /etc/network ディレクトリに移動します。

ステップ 5

シェルで vi interfaces と入力し、vi エディタを使用して interfaces ファイルを開きます。



（注）   

：ens160 はパブリック ネットワーク インターフェイスであり、デフォルトで DHCP 用に設定されています。パブリック ネットワーク インターフェイスの IP アドレスを静的に設定する場合は、以下の例のように ens160 の設定を次のように置き換えます。 

auto ens160
iface ens160 inet static
address 10.10.10.11
netmask 255.255.255.0
network 10.10.10.0
ステップ 6

プライベート ネットワーク インターフェイスの IP アドレスを設定するには、次のように interfaces ファイルに以下を追加し、ファイルを保存します。 

auto ens192
iface ens192 inet static
address 172.20.229.60
netmask 255.255.255.192
network 172.20.229.0


ステップ 7

ネットワーク サービスを再起動するには、/etc/init.d に移動し、/networking restart と入力します。これで、ifconfig を実行すると、パブリック インターフェイスの IP アドレスとプライベート インターフェイスの IP アドレスの両方が表示されます。パブリックとプライベートの両方の IP アドレスに ping を実行して接続を確認します。



TLS ゲートウェイの構成ファイルの設定およびサービスの開始

手順

ステップ 1

/opt/cisco/msp-tls-gw/bin/ に移動し、以下のように tlsgw_config.txt を編集します。 

server_listening_ipv4_address=10.10.10.11 // Public IP of TLS Gateway
server_listening_port=443 // Port 
server_private_ipv4_address=172.20.229.45 // Private IP of TLS Gateway
prefix_subnet=172.20.229.0 // Private IP network of TLS Gateway
prefix_length=26
debug_level=4 // Loglevel for TLS Gateway
dhcp_static_pool_ipv4=20.1.0.0:255.255.0.0 // Local IP pool configured for TLS Client IP allocation
dpd_interval=60 // Dead Pear Detection timer value for client
rekey_interval=3600 // Rekey timer value  for client
retry_interval=20 // Retry timer value for client
（注）   

TLS ゲートウェイの背後で DHCP サーバを使用している場合は、tlsgw_config.txt ファイルに dhcp_static_pool_ipv4 を構成しないでください。これは、ブロードキャストが tls-gw のプライベート IP 経由で送信され、DHCP サーバが TLS ゲートウェイの背後に存在する場合、TLS クライアントに IP アドレスを割り当てる必要があるためです。

ステップ 2

ファイルを保存します。
ステップ 3

/home/tlsgw に移動し、スクリプト ./startSecureServer.sh を使用して TLS ゲートウェイ サービスを開始します。

ステップ 4

TLS ゲートウェイ サービスが正常に実行されていることを確認するには、次に示すように /opt/cisco/msp-tls-gw/bin/ に移動して、./tlsgw_cli を実行します。



PSK ID-KEY ペアの設定

TLS ゲートウェイで事前共有キー（PSK）を設定します。これは、マスター AP 上の TLS クライアントが TLS ゲートウェイで認証するために使用されます。


（注）  

TLSGW には最大 3 つの PSK ID-KEY ペアを設定できます。PSK-ID には 3 ～ 50 文字の長さの文字列を使用でき、PSK パスワード（またはキー）には 5 ～ 256 の長さの文字列を使用できます。文字「:」、スペースまたはタブは psk-id と psk-key の両方で許可されていません。

設定するには、次の手順を実行します。

手順

ステップ 1

/opt/cisco/msp-tls-gw/bin/ に移動して、/tlsgw_cli を実行します。

ステップ 2

次の CLI を使用して PSK を設定します。

tlsgw-cli# set-psk=cisco
 Setting PSK ID-KEY pair
Enter the PSK key for this ID: 
TLS-GW RESP: 
OK
ステップ 3

次の CLI を使用して PSK ID が設定されていることを確認します。

tlsgw-cli# get all psk-id
TLS-GW RESP: 
List of stored psk-ids: cisco


TLS クライアント

TLS クライアントは、AireOS リリース 8.6 に統合されており、コード内にネイティブに存在します。TLS クライアントで TLS ゲートウェイとの TLS トンネルを確立するには、マスター AP が TLS ゲートウェイのパブリック IP と通信できる必要があります。

TLS クライアントの前提条件

  1. Cisco Mobility Express AireOS リリース 8.6 以上

  2. TLS ゲートウェイのパブリック IP アドレスは、マスター AP から到達可能である必要があります。TLS ゲートウェイの FQDN を使用する場合は、TLS_GW FQDN をローカル DNS サーバに設定し、同じ DNS サーバの IP を ME コントローラに設定して TLS ゲートウェイの FQDN を解決する必要があります。

TLS トンネルの設定

TLS クライアントと TLS ゲートウェイの間に TLS トンネルを設定するには、2 つの方法があります。設定方法は次のとおりです。

オプション 1：ネットワーク PnP を使用したゼロ タッチ プロビジョニング

Day 0 で、ネットワーク PnP からコントローラ設定をダウンロードできます。マスター AP が設定ファイルをダウンロードして再起動し復帰した後に、自動的に TLS ゲートウェイとの TLS トンネルを確立するように、TLS トンネル設定をコントローラの設定ファイルに組み込むこともできます。

オプション 2：WebUI から TLS トンネルを手動で設定する

ME WebUI から TLS トンネルを設定するには、次の手順に従います。

手順

ステップ 1

コントローラ WebUI で [Expert View] に切り替えます。
ステップ 2

左側のメニューから [Services] > [TLS] に移動します。
ステップ 3

[TLS Tunnel] ページで、次のパラメータを設定します。

  1. TLS ゲートウェイのパブリック IP アドレスまたは FQDN を入力します。

  2. ポート番号を入力します。デフォルト値は 443 です。

  3. PSK ID を入力します。

  4. PSK キーを入力します。

  5. RADIUS と SNMP を有効にします。

（注）   

RADIUS は ISE に使用され、SNMP は Prime Infrastructure に使用されます。


ステップ 4

[Apply] をクリックします。
ステップ 5

最後に、ページ上部で TLS トンネルを有効にします。すべての前提条件が満たされている場合、TLS ゲートウェイの場合はマスター AP からパブリック インターフェイスにトンネルが作成されます。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ