Cisco Wireless LAN Controller コンフィギュレーション ガイド リリース 8.0

モビリティ（ローミング）は、できるだけ遅れることなく、確実かつスムーズに、あるアクセス ポイントから別のアクセス ポイントへアソシエーションを維持する無線 LAN クライアントの機能です。 この項では、コントローラが無線ネットワークに存在する場合のモビリティの動作について説明します。

あるワイヤレス クライアントがアクセス ポイントにアソシエートして認証すると、アクセス ポイントのコントローラは、クライアント データベースにそのクライアントに対するエントリを設定します。 このエントリには、クライアントの MAC アドレス、IP アドレス、セキュリティ コンテキストおよびアソシエーション、Quality of Service（QoS）コンテキスト、WLAN、およびアソシエートされたアクセス ポイントが含まれます。 コントローラはこの情報を使用してフレームを転送し、ワイヤレス クライアントで送受信されるトラフィックを管理します。

図 1. コントローラ内ローミング. この図には、2 つのアクセス ポイントが同一のコントローラに join されている場合の両アクセス ポイント間における無線クライアント ローミングの様子が示されています。

ワイヤレス クライアントがそのアソシエーションをあるアクセス ポイントから別のアクセス ポイントへ移動する場合、コントローラはクライアントのデータベースを新たにアソシエートするアクセス ポイントでアップデートするだけです。 必要に応じて、新たなセキュリティ コンテキストとアソシエーションも確立されます。

しかし、クライアントが 1 つのコントローラに join されたアクセス ポイントから別のコントローラに join されたアクセス ポイントにローミングする際には、プロセスはより複雑になります。 また、同一のサブネット上でこれらのコントローラが動作しているかどうかによっても異なります。

図 2. コントローラ間ローミング. 次の図に、コントローラの無線 LAN インターフェイスが同じ IP サブネット上に存在する場合に発生するコントローラ間ローミングを示します。

クライアントが新たなコントローラに join されたアクセス ポイントへアソシエートする場合、新たなコントローラはモビリティ メッセージを元のコントローラと交換し、クライアントのデータベース エントリは新たなコントローラに移動されます。 新たなセキュリティ コンテキストとアソシエーションが必要に応じて確立され、クライアントのデータベース エントリは新たなアクセス ポイントに対してアップデートされます。 このプロセスは、ユーザには透過的に行われます。

（注）	802.1X/Wi-Fi Protected Access（WPA）セキュリティで設定したすべてのクライアントは、IEEE 標準に準拠するために完全な認証を行います。

図 3. サブネット間ローミング. 次の図は、コントローラの無線 LAN インターフェイスが異なる IP サブネット上に存在する場合に発生するサブネット間ローミングを表したものです。

サブネット間ローミングは、コントローラがクライアントのローミングに関するモビリティ メッセージを交換する点でコントローラ間ローミングと似ています。 ただし、クライアントのデータベース エントリを新しいコントローラに移動するのではなく、元のコントローラのクライアント データベース内で該当クライアントに「アンカー」エントリのマークが付けられます。 このデータベース エントリが新しいコントローラのクライアント データベースにコピーされ、新しいコントローラ内で「外部」エントリのマークが付けられます。 ローミングはワイヤレス クライアントには透過的なまま行われ、クライアントは元の IP アドレスを保持します。

サブネット間ローミングでは、アンカーと外部の両コントローラの WLAN に同一のネットワーク アクセス権限を設定し、ソースベースのルーティングやソースベースのファイアウォールを設定しないでおく必要があります。 そのようにしない場合、ハンドオフ後クライアントにネットワーク接続上の問題が発生することがあります。

コントローラと ACS を使用して設定されたスタティック固定で動的に VLAN および QoS を割り当てるように AAA オーバーライドが有効になっている場合、外部コントローラはレイヤ 2 の認証（802.1x）の後に権限 VLAN を使用してアンカー コントローラを更新します。 レイヤ 3 RADIUS 認証の場合、認証の RADIUS 要求は、アンカー コントローラによって送信されます。

モビリティは、MAC フィルタの失敗時に Webauth に設定されるセキュリティ タイプの SSID ではサポートされません。

ある Cisco WLC の管理 VLAN が別の Cisco WLC 上のダイナミック VLAN として存在している場合は、モビリティ機能がサポートされません。

（注）	クライアントが Web 認証状態でローミングする場合、クライアントはモバイル クライアントして見なされるのではなく、別のコントローラ上の新しいクライアントとして見なされます。

モビリティ グループは、同じモビリティ グループ名で定義されるコントローラのセットで、ワイヤレス クライアントのローミングをシームレスに行う範囲を定義します。 モビリティ グループを作成すると、ネットワーク内で複数のコントローラを有効にして、コントローラ間またはサブネット間のローミングが発生した際に、動的に情報を共有してデータ トラフィックを転送できるようになります。 同じモビリティ グループ内のコントローラは、相互のアクセス ポイントを不正なデバイスとして認識しないように、クライアント デバイスのコンテキストと状態およびアクセス ポイントのリストを共有できます。 この情報を使用して、ネットワークはコントローラ間無線 LAN ローミングとコントローラの冗長性をサポートできます。

（注）	1 つのモビリティ グループのメンバとなるコントローラは、同じモデルである必要はありません。 モビリティ グループは、コントローラ プラットフォームの任意の組み合わせで構成できます。

図 4. 単一のモビリティ グループの例

図示したように、各コントローラはモビリティ グループの別メンバーのリストを使用して設定されています。 新たなクライアントがコントローラに join されると、コントローラはユニキャスト メッセージ（または、モビリティ マルチキャストが設定されている場合はマルチキャスト メッセージ）をそのモビリティ グループの全コントローラに送信します。 クライアントが以前に接続されていたコントローラは、クライアントのステータスを送信します。

たとえば、コントローラが 6000 個のアクセス ポイントをサポートする場合に、24 個のこのようなコントローラで構成されているモビリティ グループは、最大 144,000 個のアクセス ポイント（24 * 6000 = 144,000 アクセス ポイント）をサポートします。

異なるモビリティ グループ名を同じ無線ネットワーク内の異なるコントローラに割り当てると、モビリティ グループによって、1 つの企業内の異なるフロア、ビルディング、キャンパス間でのローミングを制限できます。

図 5. 2 つのモビリティ グループ. 次の図には、2 つのコントローラ グループに異なるモビリティ グループ名を作成した結果が示されています。

ABC モビリティ グループのコントローラは、相互にアクセス ポイントとクライアント情報を共有します。 ABC モビリティ グループのコントローラは、異なるモビリティ グループの XYZ コントローラとアクセスポイントとクライアントの情報を共有しません。 同様に、XYZ モビリティ グループのコントローラは、ABC モビリティ グループのコントローラとアクセスポイントとクライアントの情報を共有しません。 この機能により、ネットワークでのモビリティ グループの切り離しが確実に行われます。

各コントローラはモビリティ リストのピア コントローラに関する情報を保持します。 コントローラ同士が相互のモビリティ リストに含まれている場合は、モビリティ グループ間でコントローラが通信を行うことができ、クライアントは異なるモビリティ グループのアクセス ポイント間でローミングを行うことができます。 次の例のコントローラ 1 はコントローラ 2 または 3 と通信できますが、コントローラ 2 およびコントローラ 3 はコントローラ 1 だけと通信し、相互には通信できません。 クライアントは同様に、コントローラ 1 とコントローラ 2 の間またはコントローラ 1 とコントローラ 3 の間はローミングを行うことができますが、コントローラ 2 とコントローラ 3 の間でローミングを行うことはできません。

コントローラでは、複数のモビリティ グループ間でのシームレスなローミングがサポートされています。 シームレスなローミングでは、クライアントはすべてのモビリティ グループ間で IP アドレスを維持します。ただし、Cisco Centralized Key Management（CCKM）およびプロアクティブ キー キャッシング（PKC）は、モビリティ グループ間ローミングでのみサポートされています。 ローミング中にモビリティ グループの境界を越える場合、クライアントは完全に認証されますが、IP アドレスは維持され、レイヤ 3 ローミングのモビリティ トンネリングが開始されます。

コントローラをモビリティ グループに追加する前に、グループに追加するコントローラすべてについて、次の要件が満たされていることを確認する必要があります。

• すべてのコントローラの管理インターフェイス間に IP 接続が存在する必要があります。

  （注）	コントローラに対し Ping することで、IP 接続を確認できます。

  （注）	モビリティ制御パケットは、ルーティング テーブルに基づいて、任意のインターフェイス アドレスをソースとして使用できます。 モビリティ グループのすべてのコントローラには、同一のサブネットの管理インターフェイスを必ず備えることを推奨します。 1 つのコントローラの管理インターフェイスと他のコントローラの動的インターフェイスが同じサブネット上にあるトポロジは、シームレス モビリティには推奨しません。

• モビリティ リスト内のコントローラが異なるソフトウェア バージョンを使用している場合、レイヤ 2 またはレイヤ 3 のクライアントのローミング サポートは制限されます。 レイヤ 2 またはレイヤ 3 クライアント ローミングは、同じバージョンを使用する、またはバージョン 7.X.X を実行するコントローラ間でのみサポートされます。

  （注）	異なるソフトウェア リリースが実行されているフェールオーバー コントローラを誤って設定すると、アクセス ポイントがフェールオーバー コントローラに join するのに長い時間がかかることがあります。アクセス ポイントが検出プロセスを CAPWAP で開始してから、LWAPP 検出に変更するからです。

• すべてのコントローラは、同じ仮想インターフェイス IP アドレスで設定する必要があります。

  （注）	必要に応じて、仮想インターフェイス IP アドレスを変更するには、[Controller] > [Interfaces] ページで仮想インターフェイス名を編集します。

  （注）	モビリティ グループ内のすべてのコントローラが同じ仮想インターフェイスを使用していない場合、コントローラ間ローミングが動作しているように見えても、ハンドオフが完了せず、クライアントの接続はしばらくの間切断されます。

• モビリティ グループに追加するコントローラごとに、MAC アドレスと IP アドレスを収集しておく必要があります。 この情報が必要となるのは、他の全モビリティ グループ メンバの MAC アドレスと IP アドレスを使用してすべてのコントローラを設定するからです。

  （注）	モビリティ グループに追加する他のコントローラの MAC アドレスと IP アドレスは、各コントローラの GUI の [Controller > Mobility Groups] ページにあります。

• サード パーティのファイアウォール、たとえば、Cisco PIX または Cisco ASA を使用してモビリティ グループを設定する際は、ポート 16666 および IP プロトコル 97 を開く必要があります。

• コントローラ間 CAPWAP データおよびコントロール トラフィックでは、ポート 5247 および 5264 を開く必要があります。

（注）	異なるソフトウェア バージョンを持つコントローラ間のモビリティ サポート情報については、『Cisco Wireless Solutions Software Compatibility Matrix』を参照してください。

（注）	ファイアウォール上ではポート アドレス変換（PAT）は実行できません。 1 対 1 のネットワーク アドレス変換（NAT）を設定する必要があります。