解決済み: EWC環境にてユーザー単位でダイナミックVLAN割当ては可能でしょうか。

h_murata · ‎2023-06-23

C9100シリーズのEWC環境にて、Radiusサーバ（Windows NPS）に登録されたユーザー（グループ）毎にVLANをダイナミックに割り当てたいのですが、可能でしょうか。検証環境では、RadiusからAVPでVLAN情報などはEWCに渡されていますが、クライアントの通信は指定のVLANに割り当てられません。WLC9800でのサンプルなどはありましたが、EWCでも問題無く設定動作できるでしょうか。

MyHomeNWLab · ‎2025-10-07

ご質問時から時間が経っていますが参考程度に情報を記載します。

① Windows ServerのNPSが渡そうとしている AVP (Attribute Value Pair) がどのようになっているかを確認した方が良いかと存じます。
下記はCisco ISEでDynamic VLANのためにAuthoraization Profileで VLAN ID: 123 を指定した際のAVPの情報です。

Access Type = ACCESS_ACCEPT
Tunnel-Private-Group-ID = 1:123
Tunnel-Type = 1:13
Tunnel-Medium-Type = 1:6

②EWCはFlexConnect Local Switchingで動作しているため、Flex Profileに無線AP側でのVLAN定義を行う必要があります。
(Cisco IOS-XE系では vlan コマンドがありますが、そのVLANの定義を無線AP側で行うのがFlex Profileの VLAN タブです。)
VLANが存在しない場合は、ログにVLAN割り当ての失敗関連のエラーが出ると思います。

③またVLAN IDを上書きを許可するため、Policy ProfileにてAAA Overrideを有効化する必要があります。

Dynamic VLANの設定に関してですと、日本語翻訳のドキュメントでは下記が参考になります。

ISEおよびCatalyst 9800ワイヤレスLANコントローラを使用したダイナミックVLAN割り当ての設定 - Cisco
https://www.cisco.com/c/ja_jp/support/docs/wireless-mobility/wlan-security/217043-configure-dynamic-vlan-assignment-with-c.html

また箕浦さんの動画が参考になるためリンクを記載します。

【 Cisco ISE 攻略シリーズ】 Dynamic VLAN - 無線LAN ( FlexConnect ) 【 CCIE 5冠監修】 - YouTube
https://www.youtube.com/watch?v=WlsMEU-8Mmw

元の投稿で解決策を見る

Translator · ‎2025-10-06

制限に関するドキュメントを確認してください。

https://www.cisco.com/c/en/us/products/collateral/wireless/catalyst-9800-series-wireless-controllers/guide-c07-744299.html

Translator · ‎2025-10-06