以下は 2025 年 6 月 18 日に開催した Wireless TAC Time － 今すぐ現場に効く Tips 紹介 － の Q＆A セッションでいただいた質問とその回答となります。多数のご質問誠にありがとうございました。なお、当日の資料や録画は以下より確認可能です。
プレゼンテーション資料 ウェビナー録画 イベント概要 Ask Me Anything フォーラム
質問 1 DFS 問題で 8.10.190 以下に出来ない認識ですが、8.10.183 にダウングレードすることは許容されるのでしょうか。
DFS 問題というのは FN74035 でお知らせしている事象のことを指していらっしゃると存じますが、今回スループットに問題がありダウングレードが回避策となる AP1830/1850 については、このフィールドノーティスの事象の対象外になっています。したがって 8.10.183.0 へダウングレードすることと DFS の話は関連致しませんので、スループットの問題に該当した場合は、回避策としてダウングレードをご検討ください。
質問 2 C1850 AP 8.10.130.0 Ver での Channel Utilization の高騰の可能性はありますか。また、高騰とはどれくらいのパーセンテージでしょうか。
発生する可能性はあります。明確な閾値はありませんが 40% を超えると通信の影響があると考えていただいて差し支えありません。
質問 3 test system fan コマンドを実施すると、温度が下がってもFANの回転が継続する認識で正しいでしょうか。FAN を回転しない状態に戻すには 0 を指定する認識で正しいでしょうか。
-----------------------
<State Number> Give state number: 0->Default 1->Full Speed 2->Low Speed 3->Disable
-----------------------
はい、コマンドのオプションで1または2を与えた場合、計測された温度に関わらずファンが回り続けます。オプションで 0 を指定するとデフォルトに戻り、温度が極端に高くなった場合だけファンが回る動作となります。また、オプションで 3 を与えることでファンの回転を停止状態とできますが、温度が高くても回らない結果になるため 3 は設定しないでください。
質問 4 CSCwj77042 の対象 APは何でしょうか。（WiFi6E/７？）
C91xx のすべての Wi-Fi 6E アクセスポイントおよび、C9105/C9115/C9120 以外の Wi-Fi 6 アクセスポイントで発生する可能性があります。
質問 5 CSCwn18885 の修正イメージですが、Ver17.12.4 の時のようなスペシャルイメージをリリースする予定はありますか。APSP によるパッチアップデート適用は Advantage ライセンスでのサポートとなる認識です。essential ライセンスのお客様への対応はどのようにすればよいでしょうか。
恐れ入りますが、今の所この不具合の対応を目的とした 17.12.5 ベースあるいは 17.12.4 ベースのスペシャルイメージをリリースする予定はありません。APSP はご認識の通りライセンスが必要です。エッセンシャルのお客様で本不具合に該当している場合は、8 月頃予定の CCO リリースを待っていただくか、SR をオープンしていただいてスペシャルイメージの開発可否を確認することになります。
質問 6 CSCwm08044 AP のアップグレードが失敗する について、発生頻度を教えてほしいです。アップグレード作業前に必ず AP の再起動をしておくべきでしょうか。
恐れ入りますが発生頻度についてはわかっておりません。アップグレード前に再起動いただくことが確実だと思います。
質問 7 Global Use AP のオンボーディングについて、クラウド（Meraki）で使用していた AP をオンプレミス（C9800）で使用することはできますか。
一旦APを Factory Reset して頂き、再度オンボーディングを実施頂くことで使用可能です。
Cisco Wireless Global Use Access Points Deployment Guide
質問 8 CW917 x はJAPAN TAC でサポート/対応いただけますでしょうか。
はい、サポートしています。
質問 9 17.12.5 のリリース目途はありますでしょうか。17.12.4ES13 は ES イメージである以上、17.12.5 がリリースされた時点でサポート CSCwn18885 について、対象バージョンはどこからどこまででしょうか。再起動理由：unknown は電源周りの問題の認識でしたが、不具合の対象範囲以外は引き続き電源周りの問題と考えてよろしいでしょうか。
対象バージョンは 17.12.1 以降、17.15.3 までです。なおショートライフのリリースである 17.16.1, 17.17.1 でも該当しますが修正は提供されていません。ご認識のとおり、電源に問題があった場合の再起動時も unknown と表示されますが、unknown であれば必ず電源障害とは限りません。前回の再起動発生時に原因が不明であったという情報があるのみであり、原因追究のためには詳細調査が必要な場合があります。
質問 10 17.6や17.9 などのアップデート先の推奨バージョンが 17.12.5 とのことですが、アップデート先の推奨バージョンは 17.12.6 にはならずに 17.15.3 になる予定でしょうか。
現在最も有力な次期推奨バージョン候補は 17.15.3 となります。ただし、推奨バージョンは市場での状況を踏まえて決定されますので、17.15.3 にて重大な不具合が発見された場合など、17.12.6 など他のバージョンが推奨バージョンとなる可能性もあります。
質問 11 Wi-Fi7 セキュリティ強化についてですが、これは Wi-Fi7 AP のみが対象ですか。また、Wi-Fi6E までの AP では WPA2 や OPEN 認証などの弱い認証が 17.15.3 でも 2.4/5GHz で使用できるのでしょうか。バージョンによる違いは理解できましたが、対象 AP や be を無効化する方法などの対応策がよくわかりませんでしたので、補足いただけると幸いです。
はい、Wi-Fi7 対応 AP が対象です。ちょっとわかりづらいかとは思うのですが、業界規格としていくつかあり、Wi-Fi6E, Wi-Fi7, WPA2, WPA3 などがあります。Wi-Fi6E AP は Wi-Fi7 で導入された MLO などの新機能には対応していませんが、WPA3 には対応しております。Wi-Fi7 クライアントとして WPA1やWPA2 を使うことが許可されていません。Wi-Fi7 クライアントとして WPA3 を使う場合、ご案内したような制約が適用されます。
この内容はコンフィギュレーションガイドにも記載がありますので、併せてご参照ください。
Cisco Catalyst 9800 Series Wireless Controller Software Configuration Guide, Cisco IOS XE 17.15.x
In the Cisco IOS XE 17.15.2 release, the Wi-Fi 7 standard dictates the following security constraints, which are applicable for Wi-Fi 7 compliant APs:
The security standards mentioned below are beaconed as Wi-Fi 7 clients. This is a deviation from the actual security constraint.
Open authentication as Wi-Fi 7 is not permitted to associate.
WPA1 as Wi-Fi 7 is not permitted to associate.
WPA2 as Wi-Fi 7 is not permitted to associate.
WPA3 is permitted with certain restrictions:
SAE(24/25) is permitted with GCMP-256.
SAE(8/9) is permitted. (This is a deviation from the actual security constraint.)
WPA2 PSK/802.1x with PMF is permitted. (This is a deviation from the actual security constraint.)
802.1x-SHA256 with PMF is permitted.
Suite-B-192 with PMF is permitted.
質問 12 OOB アップグレードは今後デフォルト機能になる予定はありますか。以前はないということでしたが何か変化はありましたでしょうか。また本機能は脆弱性があり修正イメージも出ていましたが、https を使う以上 capwap よりセキュリティ的には下がるというイメージを受けますがその点いかがでしょうか。
OOB 機能がデフォルトになる予定はありません。確かに OOB 機能は今回の 5 月公開の脆弱性の影響を受けておりますが、CAPWAP がそれに比べて安全であるという情報もございません。CAPWAP についてはコントロールプレーンは暗号化されているため、セキュリティの強度という意味ではその部分に依存すると考えます。
質問 13 脆弱性（CVE-2025-20188）について緩和策がありますが、緩和策を有効にしてもアタックは完全には防げないのでしょうか。
恐れ入りますが Security Advisory に記載されている内容以上の情報はございません。緩和策により脆弱性へのリスクが大幅に減ることが期待できますが、修正バージョンへのアップグレードが最も有効な対策となります。
質問 14 CVE-2025-20188 の緩和策で HTTPS ポートの遮断が記載されていますが、これによって WLC への GUI 接続等に影響は出ないでしょうか。
8443 のポートを遮断するのみですので、GUI への影響はありません。
質問 15 CVE-2025-20188/CSCwk33139 の影響を受けるバージョンの範囲はどのバージョン以降でしょうか。※古いバージョンが影響範囲かどうか判断する目的の質問です。
脆弱性の影響を受けるバージョンについては、お手数ですがシスコソフトウェアチェッカーにてバージョン番号を入力してご確認ください。セキュリティアドバイザリの中からリンクを確認することができます。
質問 16 Out-of-Band AP image download の機能は IOSXE のみでしょうか。AIROS に同様の機能はあるでしょうか。
17.11.1 から追加された機能で、AireOS には同等の機能はございません。
質問 17 脆弱性 - CVE-2025-20188 の緩和策で out-of-band を利用しないというのは対策にならないでしょうか。
過去に緩和策としてご案内していましたが、その後セキュリティアドバイザリ内に更新があり、現在の緩和策は ACL の設定をご案内しています。
質問 18 C1131 ルータに EWC OS が搭載されていますが、この EWC OS のサポートは17.15まででしょうか。そもそも、 EWC 部分のみサポート終了予定となってしまうのでしょうか。
EWC 部分についてはご認識のとおり 17.15 までのサポートになります。ルータ部分につきましてはそちらの製品サポートに準拠しますので、ご確認お願いします。
質問 19 17.15.4 も夏リリースと聞いておりますが 17.15.3 が推奨となりますか。
現在は基本的には 17.12.5 を推奨しており、Wi-Fi7 などの新機能を必要とされる方については 17.15.2 を推奨しております。17.15.3 は次期推奨リリース候補ですが、この夏にリリースされる 17.15.4 についても同様に評価をし、17.15.3 よりも良いと判断できた時点で 17.15.4 を推奨とする可能性があります。
質問 20 17.15.4 および 17.18.1 のリリース時期はいつ頃になるでしょうか。
17.15.4 および 17.18.1 のリリースは 6 月 18 日現在、8 月から ９ 月のリリースを予定しています。
質問 21 CSCwo08428 はAVCと各種FTが有効な環境とありましたが、この条件は全て And 条件で全機能が有効な時に発生するものでしょうか。もしくは AVC だけ有効とかいずれかの機能で発生するものでしょうか。
条件としては AVC が有効であり、かつローミング発生というシナリオである必要があります。ローミング方式が FT であるかどうかは関係なく AVC が有効であり、かつFTを含む高速セキュアローミングであれば発生する可能性があります。
質問 22 APSP は WLC にインストールしておけば後から対象の AP が JOIN したときに自動的に適用されますか。
Commit している状態であれば Join した際に適用されます。
質問 23 CSCwo09824 は at 給電時に発生するとのことですが、頻度はどの程度でしょうか。30W で動かすシーンも多いので、どの程度気にする必要があるか教えていただけますか。
バージョンが 17.15.2 で給電が 30W の場合で、かつまだカントリーコードが設定されていない状態、つまり Wi-Fi7 AP の初期状態である場合は発生する可能性があります。
質問 24 CVE-2025-20188/CSCwk33139 に記載されている「JSON Web Token （JWT）は 認証利用されるとのことですが、https 接続の時だけ利用されるものでしょうか。 JSON Web Token （JWT）は以前から利用されているものでしょうか。
主に https 接続で使用されていて、以前から API を使用する際などにも利用されています。
質問 25 Cisco Spaces で位置情報取得機能を利用するためには Catalyst Center から Map をインポートする必要がある認識ですが、Catalyst Center 無しでも提案できそうな機能はありますか。
まず、Cisco Spaces 単独で Map 情報を作成、保持できます。Catalyst Center がない状況でも位置情報に基づいたサービスの提供が可能です。スペースエクスペリエンス機能を使えばオフィス内の人員の混雑状況を把握することができたり、Webex と組み合わせてデジタルサイネージや会議室の予約なども可能です。また、Open Roaming 機能を提供してセキュアなゲストアクセスを提供することも可能です。IOT 機能を使うことでアセットの管理にも活用できます。
質問 26 RADkit ですが service 側のコンテナ版のリリースはいつごろになりますでしょうか。
恐れ入りますがコンテナ版のリリース予定はございません。
質問 27 CSAE はブラウザの拡張機能なので、TAC ツールなどの連動はブラウザからになるので、C9800 から直に通信するわけではない理解でよろしいでしょうか。色々なセキュリティ要件がある場合もあるので念のための確認です。
はい、ご認識のとおりです。通信はブラウザと Cisco .com との間で発生することになります。ログなどはブラウザと C9800 の間でやり取りされます。ブラウザが C9800 と Cisco .com の間を中継するようなイメージです。
質問 28 DFSの件で回答いただきましたが、AP2800 系と AP1800 系を同じコントローラ配下で動作している可能性があると思います。
その場合は Wave2 AP の DFS 事象の対応を優先いただきたいと存じます。Wave1 AP のスループット問題については、お客様の環境に合わせた対応可能なオプションを検討いたしますので、事象が発生している場合は SR にてお問い合わせください。
質問 29 今後 WiFI7 になり、Meraki とオンプレがシームレスになりますが、Meraki 側の情報はこのような形で発信されることはありますか。
この TAC Time のようなセミナーをサポート部門が実施しているとは聞いたことはありませんが、Cisco Live などでは発信していると思います。また、Meraki Community というフォーラムが提供されていますので、そちらをご参照いただいたりご質問いただくのも良いのではないかと思います。
Meraki コミュニティ (Japan)
公開の難しい情報などは掲載を見送らせていただくこともございます。ご容赦いただけますと幸いです。
当オンラインセミナーのご参加、誠にありがとうございました。 またのご参加をお待ちしております。
