翻訳について偏向のない言語この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。インターセクショナリティに基づく差別を意味しない言語として定義されています。ドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。ランゲージの取り組みの詳細は、こちらをご覧ください。コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版(リンクからアクセス可能)もあわせて参照することを推奨します。Spacesのキャプティブポータルを設定する方法について説明します。WLC)上のクライアントが、外部Web認証ログインページとしてスペースを使用できるようにします。次の項目に関する知識があることが推奨されます。Spaces使用するコンポーネントこのドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。9800-Lコントローラバージョン16.12.2sこのドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな(デフォルト)設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。背景説明Web認証は、サプリカントやクライアントユーティリティを必要としないシンプルなレイヤ3認証方式です。WLCの内部ページをそのまま使用するか、変更を投稿します。WLCにアップロードする。c)外部サーバでホストされるカスタムログインページ。WLC上のクライアントに外部Web認証を実装する方法です。9800シリーズコントローラでのWebベース認証」を参照してください。WLCでは、仮想IPアドレスはグローバルパラメータマップで定義され、通常は192.0.2.1です設定ネットワーク図9800コントローラをシスコスペースに接続コントローラは、直接接続、スペースコネクタ経由、またはCMXテザリングのいずれかのオプションを使用してスペースに接続する必要があります。Connectオプションが使用されていますが、キャプティブポータルはすべてのセットアップで同じ方法で設定されています。Cloudに到達できる必要があります。9800コントローラの直接接続』を参照してください。1:スペースのダッシュボードでキャプティブポータルをクリックします。2:キャプティブポータル固有のメニューを開き、ページの左上隅にある3行のアイコンをクリックして、SSIDをクリックします。(CMX/WLC)を選択して、SSID名を入力します。9800コントローラでのACLおよびURLフィルタの設定ワイヤレスクライアントからのトラフィックは、認証が完了するまでネットワーク上で許可されません。Web認証の場合、これを完了するために、ワイヤレスクライアントがこのSSIDに接続してIPアドレスを受け取ると、クライアントポリシーマネージャの状態はWebauth_reqdの状態に移行します。クライアントはまだ認証されていないため、DHCP、DNS、およびHTTP(インターセプトされ、リダイレクトされる)を除き、クライアントIPアドレスを送信元とするすべてのトラフィックはドロップされます。デフォルトでは、Web認証WLANの設定時に9800はハードコードされた事前認証ACLを作成します。これらのハードコードされたACLは、DHCP、DNS、および外部Web認証サーバへのトラフィックを許可します。残りはすべて、HTTPトラフィックと同様にリダイレクトされます。特定の非HTTPトラフィックタイプの通過を許可する必要がある場合は、事前認証ACLを設定できます。次に、既存のハードコードされた事前認証ACLの内容(このセクションのステップ1以降)を模倣し、必要に応じて拡張する必要があります。1:現在のハードコードされたACLを確認します。10.235.248.212であるため、そのように呼ばれます。セキュリティACLは、許可(permit)またはドロップ(deny)を定義します。Wa-v4-intは代行受信ACL、つまりパントACLまたはリダイレクトACLであり、リダイレクト(permitで)のCPUに送信される情報、またはデータプレーン(denyで)に送信される情報を定義します。10.235.248.212へのHTTP(s)トラフィックを保持します(まだドロップまたは転送アクションはなく、データプレーンへのハンドオーバーのみ)。すべてのHTTP(s)トラフィックは、CPUに送信されます(リダイレクト用。Webサーバによって処理される仮想IPトラフィックは除く)。その他のタイプのトラフィックはデータプレーンに割り当てられます。10.235.248.212へのHTTPおよびHTTPSトラフィックが許可され、DNSおよびDHCPトラフィックも許可され、残りはドロップされます。代行受信されるHTTPトラフィックは、このACLに到達する前にすでに代行受信されているため、このACLの対象である必要はありません。注:スペースのIPアドレスをACLで許可するには、ステップ3で作成したSSIDのACL設定セクションの下にある「スペース上でのSSIDの作成」セクションから「手動で設定」オプションをクリックします。例は、このドキュメントの最後の「スペースで使用されるIPアドレスは何ですか」の項にあります。スペースでは2つのIPアドレスが使用され、手順1のメカニズムでは1つのポータルIPのみが許可されます。多くのHTTPリソースへの事前認証アクセスを許可するには、URLフィルタを使用する必要があります。これにより、URLフィルタに入力したURLを持つWebサイトに関連するIPに対するインターセプト(リダイレクト)ACLとセキュリティ(事前認証)ACLで動的にホールが作成されます。DNS要求は9800に対して動的にスヌーピングされ、これらのURLのIPアドレスが学習されてACLに動的に追加されます。2:Spacesドメインを許可するようにURLフィルタを設定します。Filtersの順に移動します。+Addをクリックして、リスト名を設定します。タイプにPRE-AUTH、アクションにPERMIT、URLにsplash.dnaspaces.io(EMEAポータルを使用する場合は.eu)を選択します。splash.dnaspaces.ioSSIDは、RADIUSサーバを使用するように設定することも、使用せずに設定することもできます。Internetが設定されている場合は、RADIUSサーバを使用してSSIDを設定する必要があります。ない場合は、RADIUSサーバを使用する必要はありません。スペース上のすべての種類のポータルは、両方の構成でサポートされます。Authの順に移動します。+Addをクリックして、新しいパラメータマップを作成します。ポップアップウィンドウで、パラメータマップ名を設定し、タイプとしてConsentを選択します。Addressを入力します。Applyをクリックします。Manuallyオプションをクリックします。これは、ドキュメントの最後の「スペースポータルで使用されるURLは何ですか」に示されています。Spacesポータルは2つのIPアドレスに解決できますが、9800コントローラで設定できるIPアドレスは1つだけです。これらのIPアドレスのいずれかを選択し、パラメータマップでポータルIPv4アドレスとして設定します。注:仮想IPv4アドレスと仮想IPv6アドレスの両方がグローバルWeb認証パラメータマップで設定されていることを確認します。IPv6が設定されていない場合、クライアントは設定されたSpacesポータルではなく、内部ポータルにリダイレクトされることがあります。このため、仮想IPは常に設定する必要があります。192.0.2.1は仮想IPv4として、FE80:0:0:0:903A::11E4は仮想IPV6として設定できます。それ以外のIPを使用する理由はほとんどありません。WLANsの順に移動します。+Addをクリックします。プロファイル名、SSIDを設定し、WLANを有効にします。SSID名が、「スペースでのSSIDの作成」セクションのステップ3で設定した名前と同じであることを確認します。Layer2の順に移動します。レイヤ2セキュリティモードをNoneに設定します。MACフィルタリングが無効になっていることを確認します。Layer3の順に移動します。Webポリシーを有効にし、Web認証パラメータマップを設定します。Deviceをクリックします。Policyの順に移動し、新しいポリシープロファイルを作成するか、デフォルトのポリシープロファイルを使用します。Policiesタブで、クライアントVLANを設定し、URLフィルタを追加します。新しいポリシータグを作成するか、デフォルトのポリシータグを使用します。WLANをポリシータグのポリシープロファイルにマッピングします。2:SSIDをブロードキャストするためにAPにポリシータグを適用します。Pointsの順に移動します。これにより、APはCAPWAPトンネルを再起動し、9800コントローラに戻ります。<policy-profile-name>スペース上のRADIUSサーバを使用したキャプティブポータル注:スペースRADIUSサーバでは、コントローラからのPAP認証だけがサポートされます。1:Web認証パラメータマップを作成します。Authの順に移動します。+Addをクリックして、パラメータマップ名を設定し、タイプとしてwebauthを選択します。2:手順1で設定したパラメータマップをクリックします。Addressを入力します。Applyをクリックします。configuration」セクションを参照してください。Spacesポータルは2つのIPアドレスに解決できますが、9800コントローラで設定できるIPアドレスは1つだけです。1つのケースでは、これらのIPアドレスのいずれかを選択して、ポータルのIPv4アドレスとしてパラメータマップで設定します。注:仮想IPv4アドレスと仮想IPv6アドレスの両方がグローバルWeb認証パラメータマップで設定されていることを確認します。IPv6が設定されていない場合、クライアントは設定されたSpacesポータルではなく、内部ポータルにリダイレクトされることがあります。このため、仮想IPは常に192.0.2.1に設定する必要があり、仮想IPv4として設定でき、FE80:0:0:0:903A::11E4を仮想IPV6として設定できます。それ以外のIPを使用する理由はほとんどありません。1:RADIUSサーバを設定します。Spacesはユーザ認証用のRADIUSサーバとして機能し、2つのIPアドレスに応答できます。AAAの順に移動します。+Addをクリックして、両方のRADIUSサーバを設定します。IPアドレスと秘密キーを取得するには、「スペース上にSSIDを作成する」のステップ3で作成したSSIDから手動で設定オプションをクリックし、RADIUSサーバ設定セクションに移動します。2:RADIUSサーバグループを設定し、両方のRADIUSサーバを追加します。Groupsの順に移動し、+addをクリックして、サーバグループ名、MAC-DelimiterにHyphen、MAC-FilteringにMACを設定し、2つのRADIUSサーバを割り当てます。3:認証方式リストを設定します。Authenticationの順に移動します。+addをクリックします。方式リスト名を設定し、タイプとしてloginを選択し、サーバグループを割り当てます。4:許可方式リストを設定します。Authorizationの順に移動し、+addをクリックします。方式リスト名を設定し、タイプとしてnetworkを選択して、サーバグループを割り当てます。WLANsの順に移動し、+Addをクリックします。プロファイル名、SSIDを設定し、WLANを有効にします。SSID名が、「スペースでのSSIDの作成」セクションのステップ3で設定した名前と同じであることを確認します。Layer2の順に移動します。レイヤ2セキュリティモードをNoneに設定し、MACフィルタリングを有効にして、許可リストを追加します。Layer3の順に移動します。Webポリシーを有効にし、Web認証パラメータマップと認証リストを設定します。Failureを有効にして、事前認証ACLを追加します。Deviceをクリックします。Policyの順に移動し、新しいポリシープロファイルを作成するか、デフォルトのポリシープロファイルを使用します。Policiesタブで、クライアントVLANを設定し、URLフィルタを追加します。Overrideを有効にし、オプションでアカウンティング方式リストを設定します。新しいポリシータグを作成するか、デフォルトのポリシータグを使用します。WLANをポリシータグのポリシープロファイルにマッピングします。2:SSIDをブロードキャストするためにAPにポリシータグを適用します。これにより、APはCAPWAPトンネルを再起動し、9800コントローラに戻ります。推奨されない手順:次のコマンドを実行してHTTPSリダイレクションを許可します。クライアントのオペレーティングシステムがキャプティブポータルの検出を行い、CPU使用率が高くなり、常に証明書の警告が発生する場合、クライアントのHTTPSトラフィックをリダイレクトする必要はありません。特定の使用例で必要な場合を除き、このコマンドの設定は避けることをお勧めします。9800シリーズワイヤレスコントローラにインストールされた仮想IP用の有効なSSL証明書が必要です。1:extension.p12の署名付き証明書ファイルをTFTPサーバにコピーし、次のコマンドを実行して、証明書を9800コントローラに転送およびインストールします。2:インストールされた証明書をWeb認証パラメータマップにマッピングするには、次のコマンドを実行します。1:スペースのダッシュボードでキャプティブポータルをクリックします。Newをクリックしてポータル名を入力し、ポータルを使用できる場所を選択します。3:認証タイプを選択し、ポータルホームページにデータのキャプチャとユーザ契約を表示するかどうか、およびユーザがメッセージの受信をオプトインできるかどうかを選択します。4:データ・キャプチャ要素を構成します。Elementをクリックし、必要なフィールドを追加します。Portalをクリックします。6:必要に応じてポータルを編集します。1:スペースのダッシュボードでキャプティブポータルをクリックします。Ruleをクリックします。ルール名を入力し、以前に設定したSSIDを選択します。4:ポータルを使用できる場所を選択します。Locationsをクリックします。ロケーション階層から目的のロケーションを選択します。5:キャプティブポータルのアクションを選択します。この場合、ルールがヒットすると、ポータルが表示されます。Publishをクリックします。Portalページに移動します。manuallyをクリックします。IPアドレスは、ACLの例に示されています。これらは、ACLおよびwebauthパラメータマップで使用するポータルのIPアドレスです。スペースは、コントロールプレーンのNMSP/クラウド接続全体に対して他のIPアドレスを使用します。表示されるポップアップの最初のセクションの手順7では、ACL定義に指定されているIPアドレスが表示されます。これらの手順を実行してACLを作成する必要はありません。IPアドレスを書き留めておくだけです。Portalページに移動します。manuallyをクリックします。表示されるポップアップまでスクロールダウンし、2番目のセクションのステップ7に、9800のパラメータマップで設定する必要があるURLが表示されます。Portalページに移動します。manuallyをクリックします。表示されるポップアップで、3番目のセクション(RADIUS)内を下にスクロールすると、ステップ7でRADIUS認証のIP/ポートと共有秘密が表示されます。アカウンティングはオプションであり、手順12で説明します。Clientsの順に選択します。コントローラの仮想インターフェイスにIPアドレスが設定されていない場合、クライアントは、パラメータマップで設定されているリダイレクトポータルではなく、内部ポータルにリダイレクトされます。クライアントがスペースのポータルにリダイレクトされている間に503エラーを受信する場合、コントローラがスペースのロケーション階層で設定されていることを確認します。トレース機能を利用できます。これにより、クライアント接続に関連するすべてのエラー、警告、および通知レベルのメッセージが継続的にログに記録され、発生後にインシデントまたは障害状態のログを表示できます。注:生成されるログの量に応じて、数時間から数日に戻ることができます。WLCに接続し、次の手順を実行します。セッションをテキストファイルに記録していることを確認します。1:コントローラの現在時刻を確認して、問題が発生した時刻までログを追跡できるようにします。2:システム設定に従って、コントローラのバッファまたは外部syslogからsyslogを収集します。これにより、システムの健全性とエラー(ある場合)のクイックビューが提供されます。3:デバッグ条件が有効になっているかどうかを確認します。Port------------------------------------------------------|----------注:条件が一覧表示されている場合は、有効な条件(MACアドレス、IPアドレスなど)に遭遇するすべてのプロセスについて、トレースがデバッグレベルでログされていることを意味します。これにより、ログの量が増加します。したがって、デバッグが必要ないときは、すべての条件をクリアすることをお勧めします。levelトレースを収集します。サーバーにコピーできます。tftp://a.b.c.d/path/always-on-<FILENAME.txt>条件付きデバッグとラジオアクティブトレース常時接続トレースで、調査中の問題のトリガーを判別するのに十分な情報が得られない場合は、条件付きデバッグを有効にして、無線アクティブ(RA)トレースをキャプチャできます。これにより、指定された条件(この場合はクライアントMACアドレス)と対話するすべてのプロセスにデバッグレベルのトレースが提供されます。条件付きデバッグを有効にするには、次の手順を実行します。1:デバッグ条件が有効になっていないことを確認します。2:監視するワイヤレスクライアントのMACアドレスのデバッグ条件を有効にします。秒)のモニターを開始します。秒まで増やすことができます。<aaaa.bbbb.cccc>コマンドを実行します。注:ターミナルセッションでは、すべてが後で表示できるように内部でバッファされているため、クライアントアクティビティの出力は表示されません。3:監視する問題または動作を再現します。4:問題がデフォルトよりも前に再現された場合、または設定されたモニタ時間がアップした場合は、デバッグを停止します。WLCは次の名前でローカルファイルを生成します。アドレスアクティビティのファイルを収集します。trace.logを外部サーバにコピーするか、出力を画面に直接表示できます。ra_traceファイルを外部サーバーにコピーします。tftp://a.b.c.d/ra-FILENAME.txt内容を表示します。6:根本原因がまだ明らかでない場合は、デバッグレベルのログのより詳細なビューである内部ログを収集します。収集されて内部で保存されているデバッグログをさらに詳しく調べるだけなので、クライアントを再度デバッグする必要はありません。ra-internal-<FILENAME>.txt注:このコマンド出力は、すべてのプロセスのすべてのログレベルに関するトレースを返し、非常に大量です。お問い合わせください。外部サーバーにコピーするか、出力を画面に直接表示できます。ファイルを外部サーバーにコピーします。tftp://a.b.c.d/ra-internal-<FILENAME>.txt内容を表示します。7:デバッグ条件を削除します。all注:トラブルシューティングセッションの後は、必ずデバッグ条件を削除してください。成功した試行の例これは、RADIUSサーバなしでSSIDに接続しているときに、関連付け/認証プロセス中の各フェーズの識別に成功した試行に対するRA_tracesからの出力です。stateレイヤ3認証が成功しました。クライアントをRUN状態に移行します。コメント6.018-Mar-2024PIIを削除。ブランディング要件、代替テキスト、スペル、およびフォーマットを更新。サービス契約が必要です。