はじめに 本稿ではRADIUS 認証により Firepower Management Center （以下 FMC ） の管理ユーザを追加する設定例をご案内させて頂きます。 FMC はデフォルトで二種類の内部 admin ユーザを持っております。一つは Web インターフェイスのユーザで、もう一つは CLI アクセス権が付与されたユーザですが、これら二つの admin ユーザは異なるユーザです。 admin 以外の Web インターフェイスのユーザは FMC 内部ユーザとして FMC の GUI から追加できます。しかし CLI ユーザは FMC の内部ユーザとして追加できず、外部認証により外部ユーザとして追加する必要があります。 FMC は外部認証として LDAP と RADIUS をサポートしています。本稿では RADIUS サーバを外部認証サーバとして CLI ユーザを追加する設定例を示します。 本稿ではVirtual FMC 6.4 及び Identity Service Engine ( 以下 ISE )2.4 を使用します。   一、FMC側の設定 FMC に外部認証を設定するためには外部認証オブジェクトを追加する必要があります。 1. [System] > [Users] を選択し、 [External Authentication] タブから  [Add External Authentication Object] をクリックします。 2. [Authentication Method] を [RADIUS] に設定します。 3. [Name] にオブジェクトの名前を設定します。 4. [Primary Server] の [Host Name/IP Address] に使用する RADIUS サーバのアド レス、　[RADIUS Secret Key] に RADIUS サーバとの共有鍵を入力します。 5. [RADIUS-Specific Parameters] を入力します。 　本稿では “testadmin1” と言うユーザを設定し、 Administrator 、 Maintenance User 、 Network Admin 　のロールを与えることにします。 6. [Shell Access Filter] 　に “testadmin1” を追加します。 　これにより “testadmin1” は FMC の CLI アクセスが可能となります。 7. [Save] をクリックし保存します。 8. [External Authentication] タブに戻り [Shell Authentication] から作成した外部認証オブジェクトを選択し、オブジェクトの右側のバーをスライドして [Enabled] を有効にします。   FMC 側の設定は以上で完了となります。   二、ISE 側の設定 1. Administration > Network Resources > Network Devices から “Add” ボタンをクリックして新規デバイスを追加します。 2. [IP Address] に FMC のアドレスを入力し、 [RADIUS Authentication Settings] の [Shared Secret] に FMC で設定した共通鍵を入力します。   3. Administration > Identity Management > Identities > Users から “Add” をクリックして新規ユーザを追加します。 4. [Network Access User] の [Name] に FMC で作成したユーザ “testadmin1” を入力し、 [Login Password] に “testadmin1” のパスワードを設定します。 5. Policy > Policy Sets で Default ポリシーを選択します。 6. Authentication Policy > Default から [All_User_ID_Stores] を選択します。 7. Authorization Policy > Default を [PermitAccess] に設定します。 ISE 側の設定は以上で完了となります。   　※ 5, 6, 7 は本稿でテスト用に設定していますので、実際に使用する際にはカスタマイズしてください。   三、確認 1. ターミナルソフト ( 本稿では Teraterm ) を開き FMC に testadmin1 ユーザーで接続します。   2. testadmin1 ユーザでログインでき、 /etc/passwd に追加されているのが確認できます。   参考文献 管理アクセス用のユーザアカウント https://www.cisco.com/c/ja_jp/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64/fpmc-config-guide-v64_chapter_011.html#id_63531   ... View more

ISEと WLC を連携して Web 認証を行っている環境で、無線クライアントが WLAN に接続すると最初に ISE の GuestPortal にリダイレクトされ、認証画面が表示されます。その状態で暫く認証をせずに放置していると認証画面で " セッションがタイムアウトになっています。 [ 再試行 ] をクリックしてもう一度試してください " と表示されます。     Webブラウザに Chrome( バージョン 67) を使用している場合 [ 再試行 ] をクリックしますと、 https://1.1.1.1 にリダイレクトされ、認証ができない事象が発生します。     ここで "1.1.1.1" は ISE の GuestPortal の retryURL でデフォルトで設定されているアドレスです。無線端末から ISE の GuestPortal にアクセス、もしくは ISE の "Portal test URL" を Web ブラウザで開き"View Page Source" で HTML のソースを表示しますと以下のように retryUrl が 1.1.1.1 に設定されているのが確認できます。       IP アドレス 1.1.1.1 は 2009 年まではどの組織にも割り当てられていませんでしたが、 IPv4 枯渇対策として 2010 年に IANA が 1.0.0.0/8 を APNIC に割り当てております。また APNIC では 2018 年より 1.1.1.1 を Public DNS サービスおよびそのウェブサイトの IP アドレスとして運用開始されており、これに伴い Google Chrome バージョン 67 では 1.1.1.1 が Pre-loaded HSTS ドメインとして登録されました。HSTS (HTTP Strict Transport Security) はブラウザに HTTPS 接続を強制する機能で、クライアントによる証明書検証が必須となるため上記のような事象が発生します ( ※１ ) 。   この事象は ISE の GuestPortal の retryURL を 1.1.1.1 以外に変更することで回避できます。 ISE の GuestPortal の retryURL を変更したいときにはAdministration > Device Portal Management > Settings > Retry URL > Retry URL for onboarding からご要望のIP アドレスに設定できます。       ※１  WLC/ME での virtual interface IP アドレスについて        <https://supportforums.cisco.com/t5/-/-/ta-p/3409686/> ... View more

このドキュメントではWLCで冗長ポートを使用したHA接続方法について説明します。 WLCには、アクティブからスタンバイ WLC に設定を同期するためにバックツーバック接続する必要のある専用冗長ポートが装備されていますが、冗長ポート間のバックツーバック直接接続を設けることを強くお勧めします。以下の図ではHA セットアップでの 5500 WLC 間の冗長ポート接続を示します。    CLI からの HA の設定  次の手順を実行します。 HA を設定する前に両方のコントローラの管理インターフェイスが同じサブネットに入っている必要があります。 WLC 1： WLC 2： HA はデフォルトでディセーブルになっています。HA をイネーブルにする前に冗長性管理 IP アドレスおよびピア冗長性管理 IP アドレスを設定する必要があります。両方のインターフェイスは、管理インターフェイスと同じサブネットにある必要があります。この例では WLC 1 の冗長性管理 IP アドレスは 10.0.61.21、WLC 2 の冗長性管理 IP アドレスは 10.0.61.23 です。10.0.61.23 が WLC 2 の冗長性管理 IP アドレス、10.0.61.21 が WLC 1 の冗長性管理 IP アドレスになるように設定する必要もあります。冗長性およびピア冗長性管理 IP アドレスを設定するには次の CLI を使用します。 WLC1: WLC2: このステップの CLI を使用して、1 つの WLC をプライマリとして設定しもう 1 つの WLC をセカンダリとして設定します。この例では、WLC 1 がプライマリとして設定され、WLC 2 がセカンダリとして設定されています。 WLC1: WLC2: WLC に冗長性管理とピア冗長性管理の IP アドレスを設定し終え、冗長ユニットを設定し終えたら、次に SSO をイネーブルにします。SSO をイネーブルにする前に、両方のコントローラ間の物理接続が存在しており、アップリンクもインフラストラクチャ スイッチに接続されていて、両方の WLC からゲートウェイに到達可能であることを確認することが重要です。 このステップの CLI を使用して AP SSO をイネーブルにします。AP SSO をイネーブルにすると、WLC のリブートが開始されます。 WLC1: WLC2: SSO をイネーブルにすると、実施した設定に従って HA 役割をネゴシエートするために WLC がリブートされます。役割が決定されると、冗長ポートを介してアクティブ WLC からスタンバイ WLC に設定が同期されます。 次に両方の WLC からの起動ログを示します。 WLC1: SSO をイネーブルにした後の最初の WLC 2 リブート： アクティブから XML 設定をダウンロードした後の WLC 2 の 2 度目のリブート： SSO をイネーブルにして WLC がリブートされ、XML 設定が同期されると、WLC 1 はアクティブ状態に遷移し、WLC 2 はスタンバイ ホット状態に遷移します。この時点以降は、すべての設定と管理をアクティブ WLC から実施する必要があるため、管理インターフェイス上の WLC 2 用の GUI、Telnet、SSH は機能しません。また、ピア WLC がスタンバイ ホット状態に遷移すると、-Standby キーワードがスタンバイ WLC のプロンプト名に自動的に追加されます。 次の手順を実行して、冗長性のステータスを確認します。 a. WLC 1 の場合、[Monitor] > [Redundancy] > [Summary] と移動します。 b. WLC 2 の場合、コンソール接続に移動します。 GUI からの HA の設定  次の手順を実行します。 HA を設定する前に両方のコントローラの管理インターフェイスが同じサブネットに入っている必要があります。 WLC1: WLC2: HA はデフォルトでディセーブルになっています。HA をイネーブルにする前に、冗長性管理 IP アドレスおよびピア冗長性管理 IP アドレスを設定する必要があります。両方のインターフェイスは、管理インターフェイスと同じサブネットにある必要があります。この例では、WLC 1 の冗長性管理 IP アドレスは 10.0.61.21、WLC 2 の冗長性管理 IP アドレスは 10.0.61.23 です。WLC 2 で、10.0.61.23 が WLC 2 の冗長性管理 IP アドレス、10.0.61.21 が WLC 1 の冗長性管理 IP アドレスになるように設定する必要があります。 両方のインターフェイスの [IP Address] を入力し、[Apply] をクリックします。 WLC1: WLC2: [Redundant Unit] ドロップダウン リストから、1 つの WLC を [Primary] に、もう 1 つの WLC を [Secondary] に設定します。この例では、WLC 1 が [Primary] として設定され、WLC 2 が [Secondary] として設定されています。設定が終わったら、[Apply] をクリックします。 WLC1: WLC2: WLC に冗長性管理とピア冗長性管理の IP アドレスを設定し終え、冗長ユニットを設定し終えたら、次に SSO をイネーブルにします。SSO をイネーブルにする前に、両方のコントローラ間の物理接続が存在しており、アップリンクもインフラストラクチャ スイッチに接続されていて、両方の WLC からゲートウェイに到達可能であることを確認することが重要です。 AP SSO をイネーブルにするには、両方の WLC のドロップダウン リストで [Enabled] を選択し、[Apply] をクリックします。AP SSO をイネーブルにすると、WLC がリブートし、ピア サービス ポート IP、ピア冗長ポート IP などのその他のフィールドにデフォルトの情報が入力されます。 WLC1: WLC2: SSO をイネーブルにすると、実施した設定に従って HA 役割をネゴシエートするために WLC がリブートされます。役割が決定されると、冗長ポートを介してアクティブ WLC からスタンバイ WLC に設定が同期されます。次に両方の WLC からの起動ログを示します。 WLC1: SSO をイネーブルにした後の最初のリブート時の WLC： アクティブから XML 設定をダウンロードした後の WLC 2 の 2 度目のリブート： SSO をイネーブルにして WLC がリブートされ、XML 設定が同期されると、WLC 1 の状態はアクティブに遷移し、WLC 2 の状態はスタンバイ ホットに遷移します。この時点以降は、すべての設定と管理をアクティブ WLC から実施する必要があるため、管理インターフェイス上の WLC 2 用の GUI、Telnet、SSH は機能しません。必要な場合、スタンバイ WLC（この場合は WLC 2）は、コンソールまたはサービス ポートを介してのみ管理できます。また、ピア WLC がスタンバイ ホット状態に遷移すると、-Standby キーワードがスタンバイ WLC のプロンプト名に自動的に追加されます。 次の手順を実行して、冗長性のステータスを確認します。 a. WLC 1 の場合、[Monitor] > [Redundancy] > [Summary] と移動します。 b. WLC 2 の場合、コンソール接続に移動します。   [参考文献] ハイ アベイラビリティ（SSO）導入ガイド ( http://www.cisco.com/cisco/web/support/JP/docs/WL/WLLANCntrller/5500WLCntrllers/SYSREP/001/High_Availability_DG.html ) ( http://www.cisco.com/c/en/us/td/docs/wireless/controller/technotes/8-1/HA_SSO_DG/High_Availability_DG.html ) ... View more

LAP( 集中管理型のAP)を初期化するにはAPがWLCにJoinしている状態で、WLCから、該当APを選択した後で、右下のClear All Config / Clear Config Except Static IP ボタンをクリックします。   Clear All Config を押すとAPが工場出荷状態に戻り、 Clear Config Except Static IP を押すとStatic に設定したIPを除いた設定が工場出荷状態に戻ります。 ... View more

本ドキュメントでは、 WLC  のポートの状態を確認する方法をご案内いたします。   ＜ WLC  の GUI  から確認する方法＞ ブラウザで WLC の GUI を開き、CONTROLLER > Ports を選択すると各ポートの状態を確認できます。 WLC5508 の GUI からの確認   ＜ WLC   の CLI   から確認する方法＞ WLC の CLI から “show port summary” を実行すると各ポートの状態が確認できます。 コマンドの出力の途中に以下の様な出力がされます。   ==================================== ================================= (Cisco Controller) >show port summary              STP   Admin   Physical   Physical   Link   Link Pr  Type   Stat   Mode     Mode      Status   Status  Trap     POE    SFPType -- ------- ---- ------- ---------- ---------- ------ ------- ------- ---------- 1  Normal  Forw Enable  Auto       1000 Full  Up     Enable  N/A     1000BaseTX 2  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A     Not Present 3  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A     Not Present 4  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A     Not Present 5  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A     Not Present 6  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A     Not Present 7  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A     Not Present 8  Normal  Disa Enable  Auto       Auto       Down   Enable  N/A     Not Present   (Cisco Controller) > ==================================== ================================= ... View more

NGWC(CT5760 など IOS-XE ベースの無線コントローラ ) のサービスリクエストをご依頼される際は、以下の 手順でログをご取得しサービスリクエストに添付していただくようお願いいたします。 terminal length 0 show wireless client summary show wireless summary show tech-support show tech-support wireless show logging terminal length 24   上記に加え、 不具合の事象によってはデバッグログの取得が必要な場合がありますので、別ドキュメント「NGWC(IOS-XE)での無線クライアント基本トレース」を参照してデバッグログを取得してください。    ... View more

FlexConnectモードのAPで電源断が発生すると、APの“FlexConnect Vlan mode”の設定が“Enabled”から”Disabled”に変更され、保存したはずの“FlexConnect VLAN”の情報が消失してしまう問題があります。この“FlexConnect Vlan”の情報が消失することにより端末のトラフィックが正しい VLAN に送られず、端末の接続不具合が発生します。この問題はWLCの不具合“CSCul31732　FlexConnect Vlan mode was changed to Disabled after power cycle”として報告、修正されております。なおCSCul31732は“APの電源断”によりランダムに発生し、“APのFlash Memory書き込み機能が最適化されてない”ことがroot causeと判断されております。   但しCSCul31732の発生仕組みについては公開ドキュメント上説明がないため、何故APの数多い設定項目のうち“FlexConnect Vlan mode”のみが消失するか、など疑問に考えているお客様もいると思われます。そこで本文ではCSCul31732の発生仕組みについて説明することにします。   Cisco APでは Event ログなどの情報を保存するためFlash memory への書き込みが頻繁に発生します。もしAPがFlash memoryの書き込みを行っている際に電源断が発生しますと、僅かな確率で(数パーセント) Flash Memory の一部の領域が劣化(Corruption)します。それからAPに電源が入り、起動を始めるとAPの初期化プロセスによって劣化したFlash Memoryの領域は消去されてしまい、その領域に保存されていた情報は全て消えます。もしこの領域に“FlexConnect Vlan mode”の情報が保存されていたら消えてしまうのです。   それからAPが起動し、WLCにJoinしてから設定情報をダウンロードしますが、APの“hostname”、“FlexConnect Vlan mode”などはローカル設定であるため、APがJoinする際にはWLC からダウンロードせず、AP ローカルの設定が WLC に読み込まれます。この時APの“FlexConnect Vlan mode”の設定は既に消えているため、WLC が読み込んだのは“FlexConnect Vlan mode”が"Disable"となっている状態です。 CSCul31732の該当事例は大半が“FlexConnect Vlan mode”が“Disabled”に変わる事象として報告されますが、実際には色々な設定が削除可能です。但しそのうち“FlexConnect Vlan mode”の消失は端末の接続問題を引き起こすために直ぐ気づかれてしまい、報告されます。 CSCul31732のroot causeであるFlash Memoryの劣化はFlexConnectモードAPのみではなくLocalモードAPでも発生可能ですが、LocalモードAPは端末の接続に関係するWLANの設定情報などをWLCからダウンロードし、“FlexConnect Vlan mode”のような情報は持っていないため、 端末の接続不具合が発生せず、ユーザは気づき難いことが原因であります。 ... View more

Cisco Unified Wireless Network（CUWN）ではVideoStream という機能が導入されエンタープライズ全体で無線端末へのマルチキャストビデオストリーミングを展開することを可能にしました。VideoStream 機能の導入前には有線ネットワーク上のマルチキャストストリームは無線空間でブロードキャストとして送信されていたため最大伝送レートが制限され(1Mb/802.11bg, 6M/802.11a)、なおエラー回復機能が無いためビデオ配信の品質が保証されない問題がありました。 VideoStream により、APにてマルチキャストストリームをユニーキャストストリームに変換して無線空間で送信することにより無線端末への高品質なビデオ配信を保証することが可能になりました。このVedioStream 機能は Cisco Wireless LAN Controller (WLC) コードバージョン 7.X 間では AP がFlexConnect Local Switching モードの場合はサポートされておりませんでした。 WLCバージョン8.0からは、WLCにてFlexConnect LocalSwitching モードのAPに対するCentralized Admissionを外すことにより、FlexConnect LocalSwitching モードのAPでもVedioStream を使用出来るように改善しました。   FlexConnect LocalSwitching 時の VedioStream の設定方法 FlexConnect LocalSwitching モードでVedioStream を有効にするための設定方法は従来のCentralSwitchingモードAPと一緒です。   1.  GUIからの設定 WLC の GUI から Multicast をグローバルで有効にし、MediaStream を追加します。 添付ファイルをご参照下さい。   2.  CLIからの設定 WLC のCLIから以下のコマンドを実行します。   (Cisco Controller) >config media-stream multicast-direct ?            enable         Enable Global Multicast to Unicast Conversion disable        Disable Global Multicast to Unicast Conversion   (Cisco Controller) >configure media-stream add multicast-direct  <media-stream-name> <start-IP> <end-IP> [template | detail <bandwidth> <packet-size> <Re-evaluation> video <priority> <drop|fallback>]’   (Cisco Controller) >config wlan media-stream multicast-direct 1 ?             enable         Enables Multicast-direct on the WLAN disable        Disables Multicast-direct on the WLAN.     参考文献 ( http://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/Mobility/emob41dg/emob41dg-wrapper/ch6_Mcst.html ) ( http://www.cisco.com/cisco/web/support/JP/110/1108/1108773_cuwns-vidstrm-guide-00-j.html )       ... View more

TKIP(Temporal Key Integrity Protocol)は、IEEE 802.11i タスクグループとWi-Fi Allianceが既存ハードウェアを置換することなくWEPを代替する手法として設計されました。WEPが脆弱であることが明らかになったためで、既に使われているハードウェアにも実装できる代替手段が求められていたのがTKIPが設計されたきっかけです。但し現在TKIPはキーストリーム復元攻撃に対して脆弱であるなどのセキュリティの欠陥が報告されており、802.11n 規格にも含まれていないため、使用可能なデータレートが最大54Mbpsに制限されるなどの問題があります。そのためTKIPの使用は段階的に廃止するよう求められており、その一環としてWi-Fi Alliance は2014年からWi-Fi認定のアクセスポイントのセキュリティ設定でTKIP単独使用は禁止するようにしています。 この流れに対応するため、Cisco APではバージョン15.3(3)JABからTKIPの単独使用はサポート終了としています。 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++ Removal of WPA/TKIP configuration   Wi-Fi certified access points no longer support a WPA/TKIP configuration. TKIP is only allowed in combination with WPA2/AES for backward compatibility to allow older TKIP-only devices to associate. Authentication key-management WPA version 1 will be changed to authentication key-management WPA. The following message will be displayed: Warning: WPA Version 1 no longer permitted by itself - WPA2 has been enabled   (http://www.cisco.com/c/en/us/td/docs/wireless/access_point/ios/release/notes/rn-15-3-3.html#pgfId-388124 ) ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++ 一方、集中管理型APではWLCのバージョン8.0からTKIPの単独設定はできなくなっています。   ... View more

Cisco Wireless LAN Controller (WLC) に外部 RADIUS サーバ設定がある場合は、端末の認証はデフォルトの設定ではWLCのマネージメントインタフェースのIPアドレスを使用して行われますが、WLAN 毎のインタフェースを使用するように指定することも出来ます。   本機能は全てのAP(Local/MESH)で共通しており、WLAN毎ごとに設定が出来ます。 GUI > WLANs > WLAN ID > Security > AAA Servers > Radius Servers > Radius Server Overwrite interface.     “Radius Server Overwrite interface ”を有効にすると、本WLANに接続する端末のRADIUS認証は本WLANに設定されたDynamic Interface のIPアドレスを使用して行われることになります。その故RADIUSサーバのNAS設定では本Dynamic Interface のIPアドレスをAAA Clientとして登録する必要があります。 "Per-WLAN RADIUS Source Support" ( http://www.cisco.com/c/en/us/td/docs/wireless/controller/7-0/configuration/guide/c70/c70wlan.html#wp1407072 )   また、"Radius Server Overwrite interface"  が無効の場合でも、 WLC に Radius Server と同じサブネットの Dynamic Interface が設定されている場合は、 その Dynamic Interface が送信元 IP アドレスとなります。   ... View more