Cisco Wireless LAN Controller コンフィギュレーション ガイド リリース 8.0

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Wireless LAN Controller コンフィギュレーション ガイド リリース 8.0

Chapter Title

RADIUS NAC サポートの設定

検索結果

Updated:
2017年5月17日

章のタイトル： RADIUS NAC サポートの設定

目次

RADIUS NAC サポートについて

Cisco Identity Services Engine（ISE）は、次世代のコンテキストベース アクセス コントロール ソリューションで、Cisco Secure Access Control System（ACS）と Cisco Network Admission Control（NAC）の機能を 1 つの統合されたプラットフォームで提供します。

ISE は Cisco Unified Wireless Network のリリース 7.0.116.0 で導入されています。 ISE を使用して、配備されたネットワークで高度なセキュリティを実現できます。 ISE は、コントローラ上で設定できる認証サーバです。 RADIUS NAC 対応の WLAN 上のコントローラにクライアントがアソシエートされると、コントローラは ISE サーバに要求を転送します。

ISE サーバはデータベースでユーザを検証し、認証が正常に完了すると、URL と事前認証 ACL がクライアントに送信されます。 このときクライアントは Posture Required 状態になり、ISE サーバから返された URL にリダイレクトされます。


（注）  

ISE サーバから返された URL にキーワード「cwa」が含まれる場合、クライアントは、Central Web Authentication の状態になります。

クライアントの NAC エージェントによって、ポスチャ検証プロセスがトリガーされます。 ISE サーバによるポスチャ検証が正常に完了すると、クライアントは RUN 状態になります。


（注）  

RADIUS NAC による Flex ローカル スイッチングは、リリース 7.2.110.0 で追加されました。 これは、7.0 リリースおよび 7.2 リリースではサポートされていません。 RADIUS NAC 対応の WLAN 機能が動作するよう再設定するには、7.2.110.0 以降のリリースを 7.2 または 7.0 リリースにダウングレードする必要があります。

デバイス登録

デバイス登録を行うと、RADIUS NAC を使用して WLAN の新しいデバイスの認証とプロビジョニングを行えるようになります。 デバイスを WLAN に登録すると、設定されている ACL に基づいてネットワークを使用できるようになります。

中央 Web 認証

中央 Web 認証（CWA）の場合、Web 認証は ISE サーバで行われます。 ISE サーバの Web ポータルに、クライアント用のログイン ページが表示されます。 ISE サーバで資格情報が検証されると、クライアントがプロビジョニングされます。 CoA が適用されるまで、クライアントは POSTURE_REQD 状態のままです。 資格情報と ACL が ISE サーバから送信されます。

ローカル Web 認証

ローカル Web 認証は、RADIUS NAC でサポートされていません。

次の表に、一般的な ISE でのデバイス登録、CWA、および LWA の有効な組み合わせを示します。



表 1 ISE ネットワーク認証フロー

WLAN の設定

CWA

LWA

デバイス登録

RADIUS NAC 対応 Yes No Yes
L2 なし No PSK、Static WEP、CKIP No
L3 なし 該当なし 内部/外部 該当なし
MAC フィルタリング対応 Yes No Yes

RADIUS NAC サポートの制約事項

  • RADIUS NAC 対応の WLAN は、オープン認証と MAC フィルタリングをサポートしています。

  • 設定されたアカウンティング サーバが認証（ISE）サーバではない場合、RADIUS NAC は機能しません。 ISE 機能を使用する場合は、認証およびアカウンティング サーバと同じサーバを設定する必要があります。 ISE を ACS 機能専用にする場合は、アカウンティング サーバを柔軟に設定できます。

  • 認証またはアカウンティング RADIUS サーバに障害が発生した場合、認証またはアカウンティング サーバのリスト内の該当するサーバが起動しなくなります。 これは、クライアント認証およびアカウンティングが同じ IP 認証およびアカウンティング サーバで実行されていることを意味しています。 ただし、認証およびアカウンティング サーバを連携させる場合、RADIUS サーバの設定時にこれらのサーバを同じ順序で追加する必要があります。

  • クライアントがある WLAN から別の WLAN へ移動し、アイドル タイムアウトが発生する前に元の WLAN に戻った場合、コントローラはそのクライアントの監査セッション ID を保持しています。 したがって、アイドル タイムアウト セッションの期限が切れる前にクライアントがコントローラに join すると、それらのクライアントはただちに RUN 状態になります。 セッションがタイムアウトしてから、クライアントがコントローラに再アソシエートされているかどうかが検証されます。

  • たとえば 2 つの WLAN があり、1 台のコントローラに WLAN 1 が設定され（WLC1）、もう 1 台のコントローラに WLAN2 が設定され（WLC2）、その両方が RADIUS NAC 対応であるとします。 クライアントはまず WLC1 に接続し、ポスチャ検証のあと RUN 状態になります。 次にこのクライアントは、WLC2 に移動するとします。 WLC1 内のこのクライアントに対する PMK の期限が切れる前に、クライアントが WLC1 に再接続した場合、このクライアントに対するポスチャ検証は省略されます。 クライアントはポスチャ検証を省略してただちに RUN 状態になります。これは、コントローラがこのクライアントの古い監査セッション ID を保持し、ISE がその ID をすでに認識しているからです。

  • ワイヤレス ネットワークに RADIUS NAC を導入する場合は、プライマリおよびセカンダリ ISE サーバを設定しないでください。 代わりに、2 つの ISE サーバ間に HA を設定することをお勧めします。 プライマリおよびセカンダリ ISE を設定すると、クライアントが RUN 状態に移行する前に、ポスチャ検証が必要になります。 HA を設定すると、クライアントはフォールバック ISE サーバで自動的に RUN 状態に移行します。

  • RADIUS NAC が設定されたコントローラ ソフトウェアは、サービス ポートでの認可変更（CoA）をサポートしません。

  • アクティブなネットワーク内で AAA サーバ インデックスを入れ替えないでください。クライアントが切断され、RADIUS サーバへの再接続が必要になる可能性があります。それによって、ISE サーバ ログにログ メッセージが追加される場合があります。

  • RADIUS NAC を使用するには、WLAN 上で AAA Override を有効にする必要があります。

  • WLAN 上で WPA および WPA2 または dot1X を有効にする必要があります。

  • 低速なローミング中に、クライアントのポスチャ検証が行われます。

  • ゲストのトンネリング モビリティは、ISE NAC 対応の WLAN でサポートされます。

  • VLAN Select はサポートされません。

  • ワークグループ ブリッジはサポートされません。

  • AP Group over NAC は RADIUS NAC ではサポートされません。

  • RADIUS NAC を有効にすると、RADIUS サーバの上書きインターフェイスはサポートされません。

  • クライアントとサーバ間の DHCP 通信。 DHCP プロファイルは一度だけ解析されます。 これは一度だけ ISE サーバに送信されます。

  • AAAの url-redirect-acl および url-redirect 属性を AAA サーバが要求する場合、AAA Override 機能をコントローラで有効にする必要があります。

RADIUS NAC サポートの設定（GUI）

    ステップ 1   [WLANs] タブを選択します。
    ステップ 2   ISE を有効にする WLAN の WLAN ID をクリックします。

    [WLANs > Edit] ページが表示されます。
    ステップ 3   [Advanced] タブをクリックします。
    ステップ 4   [NAC State] ドロップダウン リストから [Radius NAC] を選択します。
    • [SNMP NAC]：WLAN に SNMP NAC を使用します。
    • [Radius NAC]：WLAN に Radius NAC を使用します。
      （注）     

      WLAN 上で RADIUS NAC を使用すると、自動的に AAA Override が有効になります。
    ステップ 5   [Apply] をクリックします。

    RADIUS NAC サポートの設定（CLI）

    次のコマンドを入力します。

    config wlan nac radius { enable | disable} wlan_id

    RADIUS NAC サポートについて

    Cisco Identity Services Engine（ISE）は、次世代のコンテキストベース アクセス コントロール ソリューションで、Cisco Secure Access Control System（ACS）と Cisco Network Admission Control（NAC）の機能を 1 つの統合されたプラットフォームで提供します。

    ISE は Cisco Unified Wireless Network のリリース 7.0.116.0 で導入されています。 ISE を使用して、配備されたネットワークで高度なセキュリティを実現できます。 ISE は、コントローラ上で設定できる認証サーバです。 RADIUS NAC 対応の WLAN 上のコントローラにクライアントがアソシエートされると、コントローラは ISE サーバに要求を転送します。

    ISE サーバはデータベースでユーザを検証し、認証が正常に完了すると、URL と事前認証 ACL がクライアントに送信されます。 このときクライアントは Posture Required 状態になり、ISE サーバから返された URL にリダイレクトされます。


    （注）  

    ISE サーバから返された URL にキーワード「cwa」が含まれる場合、クライアントは、Central Web Authentication の状態になります。

    クライアントの NAC エージェントによって、ポスチャ検証プロセスがトリガーされます。 ISE サーバによるポスチャ検証が正常に完了すると、クライアントは RUN 状態になります。


    （注）  

    RADIUS NAC による Flex ローカル スイッチングは、リリース 7.2.110.0 で追加されました。 これは、7.0 リリースおよび 7.2 リリースではサポートされていません。 RADIUS NAC 対応の WLAN 機能が動作するよう再設定するには、7.2.110.0 以降のリリースを 7.2 または 7.0 リリースにダウングレードする必要があります。

    デバイス登録

    デバイス登録を行うと、RADIUS NAC を使用して WLAN の新しいデバイスの認証とプロビジョニングを行えるようになります。 デバイスを WLAN に登録すると、設定されている ACL に基づいてネットワークを使用できるようになります。

    中央 Web 認証

    中央 Web 認証（CWA）の場合、Web 認証は ISE サーバで行われます。 ISE サーバの Web ポータルに、クライアント用のログイン ページが表示されます。 ISE サーバで資格情報が検証されると、クライアントがプロビジョニングされます。 CoA が適用されるまで、クライアントは POSTURE_REQD 状態のままです。 資格情報と ACL が ISE サーバから送信されます。

    ローカル Web 認証

    ローカル Web 認証は、RADIUS NAC でサポートされていません。

    次の表に、一般的な ISE でのデバイス登録、CWA、および LWA の有効な組み合わせを示します。



    表 1 ISE ネットワーク認証フロー

    WLAN の設定

    CWA

    LWA

    デバイス登録

    RADIUS NAC 対応 Yes No Yes
    L2 なし No PSK、Static WEP、CKIP No
    L3 なし 該当なし 内部/外部 該当なし
    MAC フィルタリング対応 Yes No Yes

    RADIUS NAC サポートの制約事項

    • RADIUS NAC 対応の WLAN は、オープン認証と MAC フィルタリングをサポートしています。

    • 設定されたアカウンティング サーバが認証（ISE）サーバではない場合、RADIUS NAC は機能しません。 ISE 機能を使用する場合は、認証およびアカウンティング サーバと同じサーバを設定する必要があります。 ISE を ACS 機能専用にする場合は、アカウンティング サーバを柔軟に設定できます。

    • 認証またはアカウンティング RADIUS サーバに障害が発生した場合、認証またはアカウンティング サーバのリスト内の該当するサーバが起動しなくなります。 これは、クライアント認証およびアカウンティングが同じ IP 認証およびアカウンティング サーバで実行されていることを意味しています。 ただし、認証およびアカウンティング サーバを連携させる場合、RADIUS サーバの設定時にこれらのサーバを同じ順序で追加する必要があります。

    • クライアントがある WLAN から別の WLAN へ移動し、アイドル タイムアウトが発生する前に元の WLAN に戻った場合、コントローラはそのクライアントの監査セッション ID を保持しています。 したがって、アイドル タイムアウト セッションの期限が切れる前にクライアントがコントローラに join すると、それらのクライアントはただちに RUN 状態になります。 セッションがタイムアウトしてから、クライアントがコントローラに再アソシエートされているかどうかが検証されます。

    • たとえば 2 つの WLAN があり、1 台のコントローラに WLAN 1 が設定され（WLC1）、もう 1 台のコントローラに WLAN2 が設定され（WLC2）、その両方が RADIUS NAC 対応であるとします。 クライアントはまず WLC1 に接続し、ポスチャ検証のあと RUN 状態になります。 次にこのクライアントは、WLC2 に移動するとします。 WLC1 内のこのクライアントに対する PMK の期限が切れる前に、クライアントが WLC1 に再接続した場合、このクライアントに対するポスチャ検証は省略されます。 クライアントはポスチャ検証を省略してただちに RUN 状態になります。これは、コントローラがこのクライアントの古い監査セッション ID を保持し、ISE がその ID をすでに認識しているからです。

    • ワイヤレス ネットワークに RADIUS NAC を導入する場合は、プライマリおよびセカンダリ ISE サーバを設定しないでください。 代わりに、2 つの ISE サーバ間に HA を設定することをお勧めします。 プライマリおよびセカンダリ ISE を設定すると、クライアントが RUN 状態に移行する前に、ポスチャ検証が必要になります。 HA を設定すると、クライアントはフォールバック ISE サーバで自動的に RUN 状態に移行します。

    • RADIUS NAC が設定されたコントローラ ソフトウェアは、サービス ポートでの認可変更（CoA）をサポートしません。

    • アクティブなネットワーク内で AAA サーバ インデックスを入れ替えないでください。クライアントが切断され、RADIUS サーバへの再接続が必要になる可能性があります。それによって、ISE サーバ ログにログ メッセージが追加される場合があります。

    • RADIUS NAC を使用するには、WLAN 上で AAA Override を有効にする必要があります。

    • WLAN 上で WPA および WPA2 または dot1X を有効にする必要があります。

    • 低速なローミング中に、クライアントのポスチャ検証が行われます。

    • ゲストのトンネリング モビリティは、ISE NAC 対応の WLAN でサポートされます。

    • VLAN Select はサポートされません。

    • ワークグループ ブリッジはサポートされません。

    • AP Group over NAC は RADIUS NAC ではサポートされません。

    • RADIUS NAC を有効にすると、RADIUS サーバの上書きインターフェイスはサポートされません。

    • クライアントとサーバ間の DHCP 通信。 DHCP プロファイルは一度だけ解析されます。 これは一度だけ ISE サーバに送信されます。

    • AAAの url-redirect-acl および url-redirect 属性を AAA サーバが要求する場合、AAA Override 機能をコントローラで有効にする必要があります。

    RADIUS NAC サポートの設定（GUI）

      ステップ 1   [WLANs] タブを選択します。
      ステップ 2   ISE を有効にする WLAN の WLAN ID をクリックします。

      [WLANs > Edit] ページが表示されます。
      ステップ 3   [Advanced] タブをクリックします。
      ステップ 4   [NAC State] ドロップダウン リストから [Radius NAC] を選択します。
      • [SNMP NAC]：WLAN に SNMP NAC を使用します。
      • [Radius NAC]：WLAN に Radius NAC を使用します。
        （注）     

        WLAN 上で RADIUS NAC を使用すると、自動的に AAA Override が有効になります。
      ステップ 5   [Apply] をクリックします。

      RADIUS NAC サポートの設定（CLI）

      次のコマンドを入力します。

      config wlan nac radius { enable | disable} wlan_id

      このドキュメントは役に立ちましたか?

      Feedbackフィードバック

      シスコに問い合わせ