Ciscoコントローラでのワイヤレスネットワークの構成

Wi-FiコントローラCisco WLC へのアクセスポイントの初期セットアップと接続に関するガイドを使用して、必要なワイヤレスインフラストラクチャを構築しました。 次に、ネットワーク自体（WLAN、SSID）を構成して、ユーザーに通信サービスを提供する必要があります。 これについて-若い戦闘機の入門コースの最終記事。 これは翻訳やコピーアンドドックではありませんが、必要なすべての機能の説明を簡単に絞り、自分のスキンで確認します。









コントローラーはコマンドライン（コンソール、ssh）で制御されますが、ほとんどすべての構成操作はWebインターフェースを介して行うほうが（高速で便利）優れています。 コントローラは、インストール時に指定されたログインパスワードを使用して、HTTP（デフォルトではHTTPSに切り替えることをお勧めします）を介してアクセスできます。 この記事では、ワイヤレスネットワーク自体の構成のみを考慮します。 残りのパラメーター（無線、セキュリティ、制御）は、既に許容範囲内の値に設定されています。 すべては公式文書で詳細に説明されていますが、誰がそれを読みますか 。 この記事の目的は、個々のワイヤレスネットワークの可能な設定について最大限理解できるようにすることです。



各ワイヤレスネットワークは、一意の名前またはSSIDによって識別されます。 各ネットワークは、承認、暗号化、QoS、および追加のプロパティ用の独自の独立したパラメーターセットを持つことができます。 各アクセスポイントは、最大16のワイヤレスネットワークに対応（アナウンス）できます。 （モデルに応じて）コントローラは、最大512のネットワークと最大数百のアクセスポイントに対応できます。



すべての設定は、WLANメニューで行われます（上の写真）。 新しいネットワークを作成するには、「新規作成」メニュー項目を選択し、基本的なパラメーターを設定します。





ネットワークタイプ ：WLAN（ワイヤレス）。 コントローラは、有線ネットワーク（ゲストLAN）のキャプティブポータルとしても機能できます。

プロファイル名 ：「アダルト」WCS / NCS制御システムを使用する場合、通常はネットワーク名に対応する任意の単語が使用されます。

ネットワーク名（SSID） ：ネットワークがクラ​​イアントコンピューターに表示される方法

識別子（シリアル番号） ：デフォルトでは、アクセスポイントは16以下の番号のネットワークをアナウンスします



新しいネットワークを作成すると、ブックマークのあるウィンドウが表示され、その操作のすべてのパラメーターが示されます。







有効にすると、アクセスポイントによるネットワークメンテナンスが有効 /無効になります。

セキュリティポリシーは、ネットワークセキュリティポリシーの現在のセットを通知します。

無線ポリシーを使用すると、ネットワークが機能する周波数の範囲（2.4、5 GHz）および速度（最大11、最大54 Mbps）を選択できます。 オプションの組み合わせが可能です。 高速（802.11n）は別の記事のトピックです。 当然、ポイントは選択した範囲をサポートする必要があります。

インターフェースは、デフォルトでコントローラーのどの有線ネットワーク（サブ）インターフェース（VLAN）が無線クライアント接続を終了するかを決定します。 それぞれが独自のVLAN IDを持ついくつかのいわゆる「動的インターフェース」を作成し、接続先のネットワークに応じてユーザー間でユーザーを分散できます（ゲストアクセスを提供するために最もよく使用されます）。

マルチキャストVLANは、インターフェイスのいくつかのグループの場合、マルチキャストトラフィックがどこに行くかを決定します （別の記事のトピック）

最後のブロードキャストSSIDパラメーターは、ネットワーク名がアクセスポイントによって定期的に送信されるパケットのビーコン（アナウンスメント）に反映されるかどうかを決定します。 それ以外の場合、「オープン/クローズドネットワーク」と呼ばれます



次のタブであるセキュリティは、通常、最も多くの質問を提起します。







ワイヤレスセキュリティは、次の3つのコンポーネントで構成されています。

• ログイン
• 暗号化
• Webポリシー（オプション）

最初の2つのポリシーはOSIレベル2で機能するため、論理的にはレイヤー2と呼ばれていました。認証は、誰がどのようにネットワークに入れるかを担当します。 暗号化は、無線環境のパケット暗号化アルゴリズムによって決定されます。 Webポリシーを使用すると、コントローラーの組み込みWebサーバー（または外部）でクライアントHTTPセッションをラップし、フォームから確認/ログインパスワードを要求できます。



利用可能なレベル2のセキュリティオプション：

• なし -トラフィックの承認と暗号化は適用されません（「安全でないネットワーク」）。 ホットスポットでのゲストアクセスに使用されます。 多くの場合、疑いなくワイヤレスネットワークに接続するWebポリシーと組み合わされますが、Webブラウザーでログアウトしようとすると、セッションがコントローラーによってインターセプトされ、ログインパスワードの入力、条件への同意などが強制されます。 （以下を参照）。
• WPA + WPA2 -WPAポリシーまたはWPA2（または両方）、暗号化タイプTKIPまたはAES（または両方）を選択できます。 これらのパラメータは、ビーコンパッケージで顧客に単に通知されます。 すべてのクライアントアダプタ（特に古いアダプタ）が現代の標準を理解できるわけではありません。 すべてのクライアントが新しい場合、最も最適なのはWPA2 / AESを使用することです。 さらに、暗号化キーの生成方法を示すことが提案されています。
  
  
  • 802.1X-各クライアントの個別のキーは、認証時にRADIUSサーバーによって生成されます。 WPA（2）Enterpriseとも呼ばれる最も安全なオプション
  • CCKM-シスコ独自のキー生成メカニズムが使用され、Cisco Wi-Fi電話にのみ適しています
  • PSK-共通（事前共有）キー、ネットワークのパスワード、その後WPAと呼ばれる（2）パーソナル
  • 802.1x + CCKM -CCKMとRADIUSキーのハイブリッド（Cisco電話用）
• 802.1X-各クライアントの個別のキーは、認証時にRADIUSサーバーによって生成されます。 ただし、これはWEPキーであり、無線チャネル暗号化プロトコルはWEPであり、現在は使用できません。
• 静的WEP-静的WEPキー
• 静的WEP + 802.1X-以前の2つのハイブリッド
• CKIP -Cisco電話用の独自のWEP

L2セキュリティに関するミニサマリーを要約すると、実際には次のいずれかを選択する必要があると言います。

• 暗号化/承認の欠如（ゲストアクセス）
• 共有パスワードでネットワークにアクセスするためのWPA2（AES）PSK別名「WPA2 Personal」
• WPA2（AES）+ 802.1X（別名「WPA2 Enterprise」）は、RADIUSサーバーでの認証を通じてネットワークにアクセスします（EAP：ドメインアカウント、証明書などによる）

注意！ 高速/ 802.11n通信速度は、セキュリティ=なし、WPA2 / AES / PSK、またはWPA2 / AES / 802.1Xを使用するネットワークでのみ利用可能です。



セキュリティ/承認を設定するオプションを使用して、追加のL3ポリシーを有効にできます。これは、クライアントWebセッションのインターセプトで構成されます。



次のオプションが利用可能です。

• 認証 -ユーザーにはログインパスワードウィンドウが表示され、コントローラー（ローカルデータベース）またはRADIUSサーバーで確認されます。
• パススルー -ユーザーにはウェルカムウィンドウが表示され、必要に応じて電子メールアドレスを要求できます（以降は使用されず、どこにもチェックされません）。
• 条件付きWebリダイレクト -認証後にRADIUS応答で指定されたページにユーザーセッションをリダイレクトできます。 たとえば、残高補充ページへ。 リダイレクト後、ユーザーは再度ログインする必要があります。
• スプラッシュページWebリダイレクト -同じですが、すぐにネットワークにアクセスできます
• MACフィルターの障害時 -ユーザーがMACフィルターをブロックするとリダイレクトが発生する

さらに、認証されていないユーザー（たとえば、DNSサーバーまたはロゴ付きの外部Webサーバー）にACL（アクセスリスト）を指定できます。

また、承認中にユーザーに表示するページ（フォーム）（標準、自己修正標準、または外部Webサーバー上にある）を選択することもできます。



RADIUSサーバーを使用する場合は、追加の設定を行う必要があります。 まず、メニューのセキュリティ-RADIUS-AAA-認証で認証サーバー自体を設定します。



以下のパラメーターを指定する必要があります。

サーバーのIPアドレス 。 FreeRADIUS、Cisco ACS、Cisco ISE、Microsoft Serverがサポートされています。

共有シークレット （半径サーバーキー）

ネットワークユーザー -サーバーはWi-Fiネットワークユーザーの承認をサポートします

管理 -サーバーは、コントローラー自体の管理者の許可をサポートします

残りのパラメーターは重要ではありません。

アカウンティングの目的で同じサーバーを設定することも役立ちます。



[AAAサーバー]タブのワイヤレスセキュリティ設定では、デフォルトで指定されているすべての設定により、コントローラーに登録されているすべてのRADIUSサーバーの動作が保証されます。



このワイヤレスネットワークに別のサーバーを割り当てたり、アカウンティングを無効にしたり、コントローラーに組み込まれているRADIUSミニサーバーを有効にしたりすることもできます。



[QoS]タブは、ネットワークのサービス品質を管理し、さまざまな種類のトラフィックとユーザーを優先します。 ワイヤレスネットワークで音声、動画、多くのゲストユーザーが高負荷で使用されている場合、および同様のエキゾチックなケースでは、わざわざ価値があります。





最後の[詳細設定]タブでは、ワイヤレスネットワークのさまざまな「高度なオプション」について説明しますが、多くのオプションがあります。 すべてについて説明します。

• AAAオーバーライドを許可する -クライアント認証が成功したときに追加のパラメーターをRADIUSサーバーから転送し、このクライアントに個別に適用できます。 このようなパラメータには、VLAN番号、ローカルインターフェイス名、アクセスリスト（ACL）、リダイレクト用URL、QoSポリシーなどがあります。
• カバレッジホールの検出 -このワイヤレスネットワークのクライアントのアンダーカバレッジエリアを決定および補正するメカニズムを制御します。 ゲストWLANの無効化を推奨
• セッションタイムアウト、セッションタイムアウト（秒）を有効にする-Web認証中のクライアントセッションのタイムアウトを有効にして決定します
• Aironet IE —ビーコンパラメータをフレーム化するためのシスコ固有の拡張を有効にします。 この場合、スマートクライアントアダプタはより良く機能し（ローミング、省エネ）、そのようなネットワークでは愚かなアダプタはまったく機能しない可能性があります。
• 診断チャネル -CCX5互換クライアントアダプタの追加の診断診断チャネルをアクティブにします
• IPv6-実際には、Web認証にIPv6トラフィックのみを許可します
• インターフェースACLのオーバーライド -有線VLAN（管理、動的）インターフェースで指定されたコントローラーの代わりに代替アクセスリスト（ACL）を指定できます。
• P2Pブロッキングアクション -（コントローラー内の）ワイヤレスクライアント間のトラフィック送信ポリシーを定義します。 有効な値：無効（スキップ）、ドロップ（スキップしない）、Forward-UpStream（ルーターに送信、決定させてください）。
• クライアント除外、タイムアウト値（秒） -ワイヤレスネットワークでの認証に失敗したクライアントの除外（一時的なブロック）のタイムアウトを有効にして設定します
• 最大許可クライアント -このネットワークとの同時関連付けの最大数を設定します
• 静的IPトンネリング -コントローラー間の静的IPアドレスを持つクライアントへのローミングを許可します
• オフチャネルスキャン遅延、スキャン遅延優先 -各ポイントは、時々その作業チャネル（周波数）から「ジャンプ」し、近隣ネットワーク、スペクトルの純度、「悪い」サブスクライバなどのために他のチャネルをリッスンします。 同時に、このような「ジャンプ」は、この時点で送信される音声トラフィックに悪影響を及ぼす可能性があります。 ドットがチェックマークが付いたフィールドの802.1p値（0 1 2 3 4 5 6 7）を持つパケットを「見る」場合、作業場所からのジャンプは遅延します。
• スキャン遅延時間（ミリ秒） -遅延ミリ秒
• H-REAPローカルスイッチング -このワイヤレスネットワークにサービスを提供するときにH-REAP（リモートオフィス）モードのアクセスポイントが、CAPWAPトンネルのコントローラーに送信するのではなく、加入者トラフィックをローカルに「ロック」します。
• H-REAP Local Auth-このワイヤレスネットワークにサービスを提供するときに、H-REAP（リモートオフィス）モードのアクセスポイントが、コントローラーではなくローカルで認証することを許可します。
• クライアントIPアドレスの学習 -H-REAPモードでは、ポイントはクライアントIPアドレスをコントローラーに報告します（使用可能な場合）。
• DHCPサーバーオーバーライド、DHCPサーバーIPアドレス -ワイヤレスクライアントトラフィックが閉じられるコントローラーの有線インターフェイスの設定で指定されたものの代わりに、DHCPサーバーの指定されたIPアドレスを使用します。
• DHCPアドレス。 割り当て -このワイヤレスネットワークのクライアントがDHCPサーバーを使用する必要があります（静的に構成されたクライアントは機能しません）
• MFPクライアント保護 -クライアントフレーム保護を有効にして必要、無効（なし）、オプション（使用可能な場合）、必須（必須、すべてのクライアントがCCX5をサポートする必要がある）
• DTIM Period（ビーコン間隔） -ブロードキャスト/マルチキャストフレームを送信する頻度は、クライアントのエネルギー効率に影響します
• NAC状態 -NACデバイスと連動して動作モードを選択します
• クライアント負荷分散 -ワークロードに応じて、アクセスポイント間でクライアントを分散できます
• クライアントバンド選択 -クライアントを5GHz帯域に「プッシュ」できます。これは、ワークロードが少ないため、より望ましい方法です。
• パッシブクライアント -「小さな」と言うクライアントデバイスの操作を許可します（Wi-Fiスケールなど）
• メディアセッションスヌーピング-SIP電話セッションを「スパイ」できます
• ローミングされた音声クライアントの再アンカー -音声コントローラローミングクライアント間の転送を強制できます。

したがって、ネットワークパラメータを構成し、[適用]ボタンをクリックし、コントローラー構成を保存することを忘れずに、接続を試みます。 頑張って