Cisco ワイヤレス LAN コントローラ構成ガイド リリース 8.1

すでに作成されているすべてのルールが優先順位に従って一覧表示されます。 各ルールの名前、タイプ、およびステータスが表示されます。

1. [Add Rule] をクリックします。 [Add Rule] セクションがページ上部に表示されます。
2. [Rule Name] テキスト ボックスに、新しいルールの名前を入力します。 名前にはスペースを含めないでください。
3. [Rule Type] ドロップダウン リストで、以下のオプションから選択してこのルールと一致する不正アクセス ポイントを [Friendly] または [Malicious] として分類します。

   • Friendly

   • Malicious

   • Custom

4. [Notify] ドロップダウン リストから、ルールがマッチする場合の通知を [All]、[Global]、[Local]、または [None] に設定します。

   （注）

   [Rogue Rule Notification] のオプション [All]、[Global]、[Local]、および [None] は、次の不正トラップだけを制御できます。 Rogue AP Detected (Rogue AP: XX:XX:XX:XX:XX:XX detected on Base Radio MAC: XX:XX:XX:XX:XX:XX Interface no: 0(1) Channel: 6 RSSI: 45 SNR: 10 Classification: unclassified, State: alert, RuleClassified : unclassified, Severity Score: 100, RuleName: rule1, Classified AP MAC: XX:XX:XX:XX:XX:XX, Classified RSSI: 45) Rogue Adhoc Detected (Adhoc Rogue : XX:XX:XX:XX:XX:XX detected on Base Radio MAC : XX:XX:XX:XX:XX:XX Interface no: 0(1) on Channel 6 with RSSI: 45 and SNR: 10 Classification: unclassified, State: alert, RuleClassified: unclassified, Severity Score: 100, RuleName: rule1,Classified APMAC: XX:XX:XX:XX:XX:XX, Classified RSSI: 45) Rogue AP contained (Rogue AP: Rogue with MAC Address: XX:XX:XX:XX:XX:XX has been contained due to rule with containment Level : 1) Rogue AP clear contained (Rogue AP: Rogue with MAC Address: XX:XX:XX:XX:XX:XX is no longer contained due to rule

5. [State] ドロップダウン リストから、ルールがマッチする場合の不正な AP の状態を構成します。
6. [Rule Type] を [Custom] に選択する場合、[Severity Score] と [Classification Name] に入力します。
7. [Add] をクリックして既存のルール リストにこのルールを追加するか、[Cancel] をクリックしてこの新しいルールを破棄します。

1. 編集するルールの名前をクリックします。 [Rogue Rule > Edit] ページが表示されます。

2. [Type] ドロップダウン リストで、以下のオプションから選択してこのルールと一致する不正アクセス ポイントを分類します。

   • Friendly

   • Malicious

   • Custom

3. [Notify] ドロップダウン リストから、ルールがマッチする場合の通知を [All]、[Global]、[Local]、または [None] に設定します。
4. [State] ドロップダウン リストから、ルールがマッチする場合の不正な AP の状態を構成します。
5. [Match Operation] テキスト ボックスから、次のいずれかを選択します。

   [Match All]：このルールが有効な場合、検出された不正なアクセス ポイントは、ルールで指定されたすべての条件を満たしている場合にルールと一致し、その不正に対してルールの分類タイプが適用されます。

   [Match Any]：このルールが有効な場合、検出された不正なアクセス ポイントは、ルールで指定された条件のいずれかを満たす場合にルールと一致し、その不正に対してルールの分類タイプが適用されます。 これはデフォルト値です。

6. このルールを有効にするには、[Enable Rule] チェックボックスをオンにします。 デフォルト値はオフです。
7. [Rule Type] を [Custom] に選択する場合、[Severity Score] と [Classification Name] に入力します。
8. [Add Condition] ドロップダウン リストで、不正なアクセス ポイントが満たす必要がある次の条件から 1 つまたは複数を選択し、[Add Condition] をクリックします。
   • [SSID] ：不正なアクセス ポイントには、特定のユーザ設定 SSID が必要です。 このオプションを選択する場合は、[User Configured SSID] テキスト ボックスに SSID を入力し、[Add SSID] をクリックします。

     （注）	SSID を削除するには、SSID を強調表示して [Remove] をクリックします。

   • [RSSI]：不正なアクセス ポイントには、最小の受信信号強度インジケータ（RSSI）値が必要です。 たとえば、不正なアクセス ポイントが設定値より大きい RSSI を持つ場合、そのアクセス ポイントは Malicious に分類されます。 このオプションを選択する場合は、[Minimum RSSI] テキスト ボックスに最小 RSSI 値を入力します。 有効な値の範囲は -95 ～ -50 dBm（両端の値を含む）で、デフォルト値は 0 dBm です。

   • [Duration] ：不正なアクセス ポイントが最小期間検出される必要があります。 このオプションを選択する場合は、[Time Duration] テキスト ボックスに最小検出期間の値を入力します。 有効な値の範囲は 0 ～ 3600 秒（両端の値を含む）で、デフォルト値は 0 秒です。

   • [Client Count] ：不正なアクセス ポイントに最小数のクライアントがアソシエートされている必要があります。 たとえば、不正なアクセス ポイントにアソシエートされたクライアントの数が設定値以上の場合、アクセス ポイントは Malicious に分類されます。 このオプションを選択する場合は、[Minimum Number of Rogue Clients] テキスト ボックスに、不正なアクセス ポイントにアソシエートされたクライアントの最小数を入力します。 有効な値の範囲は 1 ～ 10（両端の値を含む）で、デフォルト値は 0 です。

   • [No Encryption]：不正なアクセス ポイントのアドバタイズされた WLAN で暗号化が無効になっている必要があります。 不正なアクセス ポイントの暗号化が無効になっている場合、より多くのクライアントがそのアクセス ポイントに対してアソシエートを試行します。 このオプションに関して、これ以外の設定を行う必要はありません。

     （注）	Cisco Prime Infrastructure は、このオプションを「Open Authentication（オープンな認証）」と呼んでいます。

   • [Managed SSID]：不正なアクセス ポイントの管理対象 SSID（WLAN に設定された SSID）がコントローラで認識される必要があります。 このオプションに関して、これ以外の設定を行う必要はありません。

     （注）	SSID および管理対象 SSID の 2 つのリストは相互に排他的であるため、[SSID] および [Managed SSID] の条件を [Match All] 操作で使用することはできません。 [Match All] を使用してルールを定義し、これら 2 つの条件を設定した場合は、いずれかの条件が満たされないので、不正なアクセス ポイントが Friendly または Malicious に分類されることはありません。 1 つのルールにつき最大 6 つの条件を追加できます。 条件を追加すると、[Conditions] セクションにその条件が表示されます。

     （注）	条件を削除するには、その条件の青いドロップダウンの矢印の上にカーソルを置いて、[Remove] をクリックします。

9. [Apply] をクリックします。

1. [Back] をクリックして、[Rogue Rules] ページに戻ります。

2. [Change Priority] をクリックして、[Rogue Rules > Priority] ページにアクセスします。

   不正ルールが優先順位に従って [Change Rules Priority] テキスト ボックスに表示されます。

3. 優先順位を変更するルールを強調表示し、[Up] をクリックしてリスト内の順位を上げるか、[Down] をクリックしてリスト内の順位を下げます。

4. 目的の順位になるまで、ルールを上または下に移動します。

5. [Apply] をクリックします。

• [Security] > [Wireless Protection Policies] > [Rogue Policies] > [Friendly Rogue] の順に選択して、[Friendly Rogue > Create] ページにアクセスします。
• [MAC Address] テキスト ボックスに、危険性のない不正なアクセス ポイントの MAC アドレスを入力します。
• [Apply] をクリックします。
• [Save Configuration] をクリックします。 このアクセス ポイントは、コントローラの、危険性のないアクセス ポイントのリストに追加され、[Friendly Rogue APs] ページに表示されます。

• Friendly APs

• Malicious APs

• Unclassified APs

• Custom APs

不正な AP の各ページには、不正アクセス ポイントの MAC アドレスと SSID、チャネル番号、不正なアクセス ポイントが検出された無線の数、不正アクセス ポイントに接続しているクライアントの数、および不正アクセス ポイントの現在のステータスの情報が含まれます。

このページには、不正なデバイスの MAC アドレス、不正なデバイスのタイプ（アクセス ポイントなど）、不正なデバイスが有線ネットワーク上にあるかどうか、不正なデバイスが最初および最後に報告された日時、デバイスの現在のステータスといった情報が表示されます。

[Class Type] テキスト ボックスには、この不正なアクセス ポイントの現在の分類が表示されます。

• [Friendly] ：ユーザ定義の Friendly ルールと一致した不明なアクセス ポイント、または既知の不正なアクセス ポイント。 危険性のないアクセス ポイントは阻止することができません。

• [Malicious] ：ユーザ定義の Malicious ルールと一致した不明なアクセス ポイント、またはユーザが Friendly または Unclassified 分類タイプから手動で移動した不明なアクセス ポイント。

  （注）	アクセス ポイントが Malicious に分類されると、その後でそのアクセス ポイントにルールを適用することはできなくなります。また、別の分類タイプに移動することもできません。 危険性のあるアクセス ポイントを Unclassified 分類タイプに移動する場合は、そのアクセス ポイントを削除して、コントローラで分類し直せるようにする必要があります。

• [Unclassified] ：ユーザ定義の Friendly または Malicious ルールと一致しない不明なアクセス ポイント。 未分類のアクセス ポイントは阻止することができます。 また、このアクセス ポイントは、ユーザ定義のルールに従って自動的に、またはユーザが手動で、Friendly または Malicious 分類タイプに移動できます。

• [Custom]：不正ルールに関連付けられている、ユーザ定義の分類タイプ。 手動で不正を Custom に分類することはできません。 カスタム クラスの変更は不正ルールを使用する場合にのみ行えます。

• [Internal] ：コントローラはこの不正なアクセス ポイントを信頼します。 このオプションは、[Class Type] が [Friendly] に設定されている場合に使用できます。

• [External] ：コントローラはこの不正なアクセス ポイントの存在を認識します。 このオプションは、[Class Type] が [Friendly] に設定されている場合に使用できます。

• [Contain] ：コントローラによって危険性のあるデバイスが阻止され、そのデバイスの信号が、認証されたクライアントに干渉しないようになります。 このオプションは、[Class Type] が [Malicious] または [Unclassified] に設定されている場合に使用できます。

• [Alert] ：コントローラからシステム管理者に、さらなる処理を行うよう即時に警告が転送されます。 このオプションは、[Class Type] が [Malicious] または [Unclassified] に設定されている場合に使用できます。

ページの下部には、この不正なアクセス ポイントが検出されたアクセス ポイントと、不正なアクセス ポイントにアソシエートされたすべてのクライアントの両方に関する情報が提供されます。 クライアントの詳細を表示するには、[Edit] をクリックして [Rogue Client Detail] ページを開きます。

• [Contain] ：コントローラによって危険性のあるデバイスが阻止され、そのデバイスの信号が、認証されたクライアントに干渉しないようになります。

• [Alert] ：コントローラからシステム管理者に、さらなる処理を行うよう即時に警告が転送されます。

ページの下部には、この不正なクライアントが検出されたアクセス ポイントに関する情報が提供されます。

このページには、MAC アドレス、BSSID、アドホック不正の SSID、アドホック不正が検出された無線の数、アドホック不正の現在のステータスといった情報が表示されます。

このページには、アドホック不正の MAC アドレスおよび BSSID、不正が最初および最後に報告された日時、不正の現在のステータスといった情報が表示されます。

• [Contain] ：コントローラによって危険性のあるデバイスが阻止され、そのデバイスの信号が、認証されたクライアントに干渉しないようになります。

• [Alert] ：コントローラからシステム管理者に、さらなる処理を行うよう即時に警告が転送されます。

• [Internal] ：コントローラはこの不正なアクセス ポイントを信頼します。

• [External] ：コントローラはこの不正なアクセス ポイントの存在を認識します。

• 1：対象の不正なアクセス ポイントが 1 つのアクセス ポイントで阻止されることを指定します。 これは最も低い阻止レベルです。

• 2：対象の不正なアクセス ポイントが 2 つのアクセス ポイントで阻止されることを指定します。

• 3：対象の不正なアクセス ポイントが 3 つのアクセス ポイントで阻止されることを指定します。

• 4：対象の不正なアクセス ポイントが 4 つのアクセス ポイントで阻止されることを指定します。 これは最も高い阻止レベルです。

このページには、無視するように設定されている任意のアクセス ポイントの MAC アドレスが表示されます。 不正無視リストには、ユーザが Cisco Prime Infrastructure マップに手動で追加した任意の自律アクセス ポイントのリストが含まれています。 コントローラでは、これらの自律アクセス ポイントが、Prime Infrastructure によって管理されていても不正と見なされます。 不正無視リストを使用すると、コントローラでこれらのアクセス ポイントを無視できます。 このリストは次のように更新されます。

• コントローラは、不正レポートを受信すると、不明なアクセス ポイントが不正無視アクセス ポイント リストに存在するかどうかを確認します。

• 不明なアクセス ポイントが不正無視リストに存在する場合、コントローラはこのアクセス ポイントを無視して他の不正なアクセス ポイントの処理を続けます。

• 不明なアクセス ポイントが不正無視リストにない場合、コントローラは Prime Infrastructure にトラップを送信します。 Prime Infrastructure が自律アクセス ポイントにこのアクセス ポイントを検出した場合、Prime Infrastructure はこのアクセス ポイントを不正無視リストに追加するためのコマンドをコントローラに送信します。 このアクセス ポイントは、今後の不正レポートで無視されるようになります。

• ユーザが Prime Infrastructure から自律アクセス ポイントを削除した場合、Prime Infrastructure はこのアクセス ポイントを不正無視リストから削除するコマンドをコントローラに送信します。

config rogue rule add ap prioritypriorityclassify {friendly | malicious} rule-name

後でこのルールの優先順位を変更し、それに従ってリスト内の他の順番も変更する場合は、config rogue rule prioritypriorityrule-name コマンドを入力します。

後でこのルールの分類を変更する場合は、config rogue rule classify {friendly | malicious} rule-name コマンドを入力します。

すべての不正分類ルールまたは特定のルールを削除するには、{config rogue rule delete {all | rule-name} コマンドを入力します。

• 次のコマンドを入力して、Friendly 不正のルールを設定します。

  config rogue rule add ap prioritypriorityclassifyfriendlynotify {all | global | local | none} state {alert | internal | external} rule-name

• 次のコマンドを入力して、Malicious 不正のルールを設定します。

  config rogue rule add ap prioritypriorityclassify malicious notify {all | global | local | none} state {alert | contain} rule-name

• 次のコマンドを入力して、Custom 不正のルールを設定します。

  config rogue rule add ap prioritypriorityclassify customseverity-score classification-namenotify {all | global | local | none} state {alert | contain} rule-name

後でこのルールの優先順位を変更し、それに従ってリスト内の他の順番も変更する場合は、config rogue rule prioritypriorityrule-name コマンドを入力します。

後でこのルールの分類を変更する場合は、config rogue rule classify {friendly | malicious | customseverity-score classification-name} rule-name コマンドを入力します。

すべての不正分類ルールまたは特定のルールを削除するには、{ config rogue rule delete {all | rule-name} コマンドを入力します。

config rogue rule state {alert | contain | internal | external} rule-name

config rogue rule notify {all | global | local | none} rule-name

config rogue rule disable { all | rule_name}

config rogue rule condition ap set condition_type condition_value rule_name

利用可能な状態の種類は、次のとおりです。

• ssid：不正なアクセス ポイントには、特定の SSID が必要です。 コントローラによって管理されない SSID を追加する必要があります。 このオプションを選択する場合は、 condition_value パラメータに SSID を入力します。 SSID はユーザ設定の SSID リストに追加されます。

  （注）	ユーザ設定の SSID リストからすべての SSID または特定の SSID を削除するには、 config rogue rule condition ap delete ssid { all | ssid} rule_name コマンドを入力します。

  （注）	部分文字列は、SSID の全部または一部で指定する必要があります（アスタリスクなし）。 この部分文字列は、不正 AP SSID の発生に同じシーケンスで一致します。 条件が満たされると、（OR または AND 一致条件に応じて）不正 AP が分類されます。

• rssi：不正なアクセス ポイントには、最小の RSSI 値が必要です。 たとえば、不正なアクセス ポイントが設定値より大きい RSSI を持つ場合、そのアクセス ポイントは Malicious に分類されます。 このオプションを選択する場合は、 condition_value パラメータに最小 RSSI 値を入力します。

  リリース 8.0 以降のリリースでは、信頼できる不正ルールのために、最大 RSSI 値を設定する必要があります。 不正 AP が危険性のない不正として分類されるようにするには、不正 AP の RSSI 値を、設定された RSSI 値より小さくする必要があります。 悪意のある不正ルールとカスタム不正ルールに関しては、機能の変更はありません。

  たとえば、危険性のない不正ルールでは、RSSI 値が –80 dBm に設定されます。 RSSI 値が –80 dBm 未満の検出されたすべての不正 AP が、危険性のない不正として分類されます。 悪意のある不正ルーツとカスタム不正ルールでは、RSSI 値が –80 dBm に設定されます。 RSSI 値が –80 dBm 超の検出されたすべての不正 AP が、悪意のあるまたはカスタム不正 AP として分類されます。

• duration：不正なアクセス ポイントが最小期間検出される必要があります。 このオプションを選択する場合は、 condition_value パラメータに最小検出期間の値を入力します。 有効な値の範囲は 0 ～ 3600 秒（両端の値を含む）で、デフォルト値は 0 秒です。

• client-count：不正なアクセス ポイントに最小数のクライアントがアソシエートされている必要があります。 たとえば、不正なアクセス ポイントにアソシエートされたクライアントの数が設定値以上の場合、アクセス ポイントは Malicious に分類されます。 このオプションを選択する場合は、 condition_value パラメータに、不正なアクセス ポイントにアソシエートされたクライアントの最小数を入力します。 有効な値の範囲は 1 ～ 10（両端の値を含む）で、デフォルト値は 0 です。

• managed-ssid：不正なアクセス ポイントの SSID がコントローラで認識される必要があります。 このオプションには condition_value パラメータは必要ありません。

  （注）	1 つのルールにつき最大 6 つの条件を追加できます。 ルールからすべての条件または特定の条件を削除するには、config rogue rule condition ap delete allcondition_type condition_value rule_name コマンドを入力します。

config rogue rule match { all | any} rule_name

config rogue ap friendly { add | delete} ap_mac_address

save config

show rogue rule detailed rule_name