ワイヤレスアクセスの構成
ワイヤレスアクセスレイヤの主な機能は、ワイヤレスデバイスのキャンパス内のどこにでもネットワーク接続を提供することです。今日のユーザーの要求を満たすには、ワイヤレスアクセスが安全で、利用可能で、耐障害性があり、信頼性が高い必要があります。
さまざまなネットワーク設計における無線アクセスの要件を満たすために、Aruba ESPキャンパスは、無線ネットワークと有線ネットワークの間のトラフィックの2つのモードをサポートしています。
– ブリッジモードでは、APは802.11フレームを802.3イーサネットフレームに変換します。 – トンネルモードでは、APは802.11フレームをGREパケットにカプセル化し、カプセル化の解除、追加検査、および許可されている場合は正しいVLANへのスイッチングのために、トラフィックをゲートウェイデバイスにトンネルします。
SSIDは、WLAN間のトラフィックをセグメント化するために使用されます。複数のSSIDを使用する一般的な理由は、従業員のトラフィックと訪問者のトラフィックを分離することです。もう1つの理由は、IoTデバイスを他の種類のエンドポイントから分離することです。
大規模なキャンパストポロジ用のAruba ESPキャンパスでは、倉庫やヘルスケア環境のデバイスで必要となる可能性がある、訪問者SSIDと事前共有キー認証を使用したSSIDに対してブリッジモードが使用されます。同じトポロジで、802.1X認証済みSSIDに対してトンネルモードが実装されています。
次の図は、ESPキャンパス内のワイヤレスAPを示しています。
次の表に、ブリッジモードSSIDのアクセスVLANを示します。
例: APアクセスVLAN
| VLAN Name | VLAN ID |
|---|---|
| EMPLOYEE | 3 |
| BLDG_MGMT | 4 |
| CAMERA | 5 |
| PRINTER | 6 |
| VISITOR | 12 |
| REJECT_AUTH | 13 |
| CRITICAL_AUTH | 14 |
| MGMT | 15 |
次の表に、RADIUSサーバ設定のClearPassポリシーマネージャを示します。
例: RADIUSサーバー
| Hostname | IP Address | Role |
|---|---|---|
| CPPM-1.EXAMPLE.LOCAL | 10.2.120.94 | Publisher |
| CPPM-2.EXAMPLE.LOCAL | 10.2.120.95 | Subscriber |
目次
WPA3 – エンタープライズワイヤレスLANを構成する
WPA3 – エンタープライズSSIDを設定するには、次の手順を実行します。
WPA3 – エンタープライズでは、パスワードまたは証明書を使用して認証を行い、ユーザーやデバイスがネットワークへのアクセスを許可される前にユーザーやデバイスを識別できます。ワイヤレスクライアントはEAP-TLS交換を使用してRADIUSサーバに対して認証を行い、APはリレーとして動作します。クライアントとRADIUSサーバーの両方が、証明書を使用してIDを確認します。
Step 1 中央に移動し、管理者の資格情報を使用してログインします。
Step 2 [アカウントの全体管理]ホームページで、ネットワークオペレーションアプリを起動します。 3.ドロップダウンで、AOS10 グループの名前を選択します。左側のメニューで、 デバイスを選択します。
Step 4 アクセスポイントページの右上で、 Configを選択します。
Step 5 アクセスポイントページで、[WLANs]タブを選択します。[Wireless SSIDs]テーブルの左下にある[+ Add SSID]をクリックします。
Step 6 全般タブの新しいネットワークの作成ページで詳細設定を展開し、+印をクリックしてブロードキャスト/マルチキャストを展開します。
Step 7 + （プラス記号）をクリックして転送レート（レガシーのみ）を展開し、次の設定を割り当て、次へをクリックします。
- 名前(SSID): EXAMPLE-8021X
- ブロードキャストフィルタリング: ARP
- ダイナミックマルチキャスト最適化(DMO): 右にスライド
- DMOクライアントのしきい値: 40
- 2.4 GHz:最小: 5
- 5 GHz:最小: 18
| 注: |
|---|
| SSID名には、すべてのクライアントデバイスとの互換性のためにスペースや特殊文字を含めないでください。 DMO Client Thresholdの40は初期の値として推奨され、実際のパフォーマンス結果に基づいて調整する必要があります。 |
Step 8 VLANタブで、次の設定を割り当て、次へをクリックします。
- トラフィック転送モード: トンネル
- プライマリゲートウェイクラスター: UI-WIRELESS:SERVICES-7210
- セカンダリ・ゲートウェイ・クラスタ: なし（デフォルト）
- クライアントVLAN割り当て: 静的（デフォルト）
- VLAN ID: 従業員(103)
| 注: |
|---|
| プライマリゲートウェイクラスターとVLAN IDが[ゲートウェイデバイスの構成]セクションに作成されました。 これらが構成されていない場合は、このセクションでSSIDの名前付きVLANを作成します。 |
Step 9 セキュリティタブで、次の設定を割り当てます。
- セキュリティレベル: エンタープライズ向けスライド
- キー管理: WPA3エンタープライズ(CMM 128)
| 注: |
|---|
| WPA3はWPA2よりも大幅にセキュリティが向上しているため、可能な場合は使用してください。サポートを確認するには、エンドポイントのドキュメントを参照してください。 |
Step 10 [セキュリティ]タブで、プライマリサーバーの横の+ (プラス記号）をクリックします。
Step 11 NEW SERVERウィンドウで、次の設定を割り当て、[OK]をクリックします。
- サーバーの種類: RADIUS
- Name: CPPM-1
- IPアドレス: 10.2.120.94
- 共有キー: 共有キー
- キーの再入力: 共有キー
| 注: |
|---|
| 上記で作成した共有キーを記録して、次の手順でClearPass Policy Managerを設定する際に使用することが重要です。 |
12.適切な値を使用して、2番目のCPPMサーバーに対して前の2つの手順を繰り返します。
Step 13 セキュリティタブで、次の設定を割り当てます。
- ロード・バランシング: 右にスライド
| 注: |
|---|
| ベストプラクティスは、2台のRADIUSサーバーを展開し、負荷分散を有効にすることです。 |
Step 14 [セキュリティ]タブで、詳細設定を展開し、下にスクロールして+ (プラス記号）をクリックして高速ローミングを展開します。次の設定を割り当て、次へをクリックします。
- Opportunistic Key Caching: 右にスライド
- 802.11K: 右方向へスライド
Step 15 Accessタブで、次の設定を割り当て、次へをクリックします。
- アクセス規則: 制限なしのスライド
| 注: |
|---|
| この種類のSSIDの制限は、ゲートウェイで割り当てられます。 |
Step 16 [概要]タブで、設定を確認し、完了をクリックします。
WPA3 – エンタープライズワイヤレスLANのClearPassを構成する
WPA3 – エンタープライズSSID用にClearPass Policy Managerを設定するには、次の手順を使用します。
Step 1 ClearPass Policy Managerサーバーを参照し、管理者の資格情報でログインします。
2.左側のナビゲーションメニューで[構成]を選択し、+ (プラス記号）をクリックして[ネットワーク]を展開し、デバイスを選択します。
Step 3 ネットワークデバイスページの右上で、[追加]+ (プラス記号）クリックします。
Step 4 デバイスの追加ページで、次の設定を割り当て、追加をクリックします。
- 名前: EXAMPLE.LOCAL 10
- IPまたはサブネット・アドレス: 10.0.0.0/8
- 説明: <サブネットの説明>
- Radius Shared Secret & Verify: RADIUS-SECRET
- TACACS Shared Secret & Verify: RADIUS-SECRET
- ベンダー名: アルバ（デフォルト）
- RADIUS動的承認を有効にする: チェックマーク
- ポート: 3799 （デフォルト）
5.ネットワーク内の他のClearPass Policy Managerサーバについても、この手順を繰り返します。
事前共有キー無線LANを構成する
事前共有キーを使用してWPA3パーソナルSSIDを設定するには、次の手順を実行します。
WPA3 – パーソナルでは、802.1X認証をサポートしないデバイスで事前共有キーを使用して認証を行うことができます。
Step 1 アクセスポイントページで、[WLANs]タブを選択します。[Wireless SSIDs]テーブルの左下にある[+ Add SSID]をクリックします。
Step 2 全般タブの新しいネットワークの作成ページで詳細設定を展開し、+ (プラス記号）をクリックしてブロードキャスト/マルチキャストを展開します。
Step 3 + (プラス記号）をクリックして転送レート（レガシーのみ）を展開し、次の設定を割り当て、次へをクリックします。
- 名前(SSID): EXAMPLE-PSK
- ブロードキャストフィルタリング: ARP
- ダイナミックマルチキャスト最適化(DMO): 右にスライド
- DMOクライアントのしきい値: 40
- 2.4 GHz:最小: 5
- 5 GHz:最小: 18
Step 4 VLANタブで、次の設定を割り当て、次へをクリックします。
- トラフィック転送モード: ブリッジ
- クライアントVLANの割り当て: 静的
- VLAN ID: プリンタ(6)
Step 5 セキュリティタブで、次の設定を割り当て、次へをクリックします。
- セキュリティレベル: 個人用スライド
- キー管理: WPA3パーソナル
- パスフレーズ: パスフレーズ
- 再入力: パスフレーズ
Step 6 Accessタブで、次の設定を割り当て、次へをクリックします。
- アクセス規則: 制限なしのスライド
| 注: |
|---|
| このタイプのSSIDの制限は、スイッチネットワークで行われます。 |
Step 7 [概要]タブで、設定を確認し、完了をクリックします。
ビジター無線LANの構成
ビジターSSIDを設定するには、次の手順を使用します。
Step 1 アクセスポイントページで、[WLANs]タブを選択します。[Wireless SSIDs]テーブルの左下にある[+ Add SSID]をクリックします。
Step 2 全般タブの新しいネットワークの作成ページで詳細設定を展開し、+ (プラス記号）をクリックしてブロードキャスト/マルチキャストを展開します。
Step 3 +印をクリックして転送レート（レガシーのみ）を展開し、次の設定を割り当てます。
- 名前(SSID): EXAMPLE-VISITOR
- ブロードキャストフィルタリング: ARP
- ダイナミックマルチキャスト最適化(DMO): 右にスライド
- DMOクライアントのしきい値: 40
- 2.4 GHz:最小: 5
- 5 GHz:最小: 18
Step 4 全般タブで、下にスクロールして+ (プラス記号）をクリックし、時間範囲プロファイルを展開します。セクションの中央で、[新しい時間範囲プロファイル]+ (プラス記号）します。
Step 5 新しいプロファイルウィンドウで、次の設定を割り当て、保存をクリックします。
- Name: 平日
- 種類: 定期
- 繰り返し: 毎日
- 日付範囲: 月曜日～金曜日（平日）
- 開始時刻: 7 分: 0
- 終了時間: 18 分: 0
Step 6 StatusドロップダウンのTime Range Profilesセクションで、新しく作成したプロファイルを見つけてEnabledを選択します。ページの下部にある次へをクリックします。
Step 7 VLANタブで、次の設定を割り当て、次へをクリックします。
トラフィック転送モード: ブリッジ
クライアントVLANの割り当て: 静的
VLAN ID: VISITOR(12)
Step 8 セキュリティタブで、次の設定を割り当てます。
- セキュリティレベル: キャプティブポータルへのスライダー
- キャプティブポータルタイプ: 外部
Step 9 スプラッシュ・ページセクションで、”キャプティブ・ポータル・プロファイルの横の+ (プラス記号）をクリックします。
Step 10 External Captive Portal-Newウィンドウで、次の設定を割り当て、[OK]をクリックします。
- 名前: CPPM-Portal
- 認証の種類: RADIUS認証
- IPまたはホスト名: cppm.example.local
- URL: /guest/example_guest.php
- ポート: 443
- リダイレクトURL: http://arubanetworking.hpe.com
Step 11 スプラッシュ・ページセクションのセキュリティタブで、”プライマリ・サーバーの横の+ (プラス記号）をクリックします。
Step 12 新しいサーバーウィンドウで、次の設定を割り当て、OKをクリックします。
- サーバーの種類: RADIUS
- Name: CPPM-1
- IPアドレス: 10.2.120.94
- 共有キー: 共有キー
- キーの再入力: 共有キー
13.適切な値を使用して、2番目のCPPMサーバーに対して前の2つの手順を繰り返します。
Step 14 スプラッシュ・ページセクションのセキュリティタブで、次の設定を割り当て、次へをクリックします。
- 負荷分散: 右にスライド
- 暗号化: スライド左
- キー管理: 拡張オープン
| 注: |
|---|
| キャプティブポータルプロファイルには、ネットワーク上のCPPMサーバーからの情報が必要です。詳しい手順については、付録1:ビジターWLANのClearPass詳細を見つける方法を参照してください。 |
Step 15 Accessタブで、スライダーをネットワークベースに移動し、すべての宛先に任意を許可ルールを選択し、編集 （鉛筆）アイコンをクリックします。
Step 16 Access Rulesウィンドウで、次の設定を割り当て、OKをクリックします。
- 操作: 拒否
| 注意: |
|---|
| この手順では、ビジタートラフィックの既定のすべての宛先に対する許可規則をすべての宛先に対する拒否規則に変更します。内部ネットワークリソースへの不正アクセスを防ぐために、この行は常にアクセス規則の最後のエントリである必要があります。 |
Step 17 Accessタブで、ルールの追加+ (プラス記号）します。
ほとんどの場合、訪問者はDHCPおよびDNSサービスへのアクセス、およびインターネット上のすべての宛先へのHTTP/HTTPSアクセスのみを必要とします。内部ネットワーク上のDHCPサーバーへのアクセスを許可し、2つの既知のDNSサーバーにDNSを許可します。内部リソースへのアクセスを防ぐには、HTTPおよびHTTPSの許可ルールに、内部IPアドレスをカバーする例外ネットワークとマスクを追加します。
例:ビジターのアクセス・ルール
| Rule Type | Service type | Service name | Action | Destination |
|---|---|---|---|---|
| Access control | Network | DHCP | Allow | 10.2.120.98 (internal DHCP server) |
| Access control | Network | DHCP | Allow | 10.2.120.99 (internal DHCP server) |
| Access control | Network | DNS | Allow | 8.8.4.4 (well-known DNS server) |
| Access control | Network | DNS | Allow | 8.8.8.8 (well-known DNS server) |
| Access control | Network | HTTP | Allow | To all destinations, except internal |
| Access control | Network | HTTPS | Allow | To all destinations, except internal |
| Access control | Network | Any | Deny | To all destinations |
Step 18 Access Rulesウィンドウで、次の設定を割り当て、OKをクリックします。
- 規則の種類: アクセス制御
- サービス: ネットワーク
- サービス:ドロップダウン: dhcp
- 操作: 許可
- 宛先: 特定のサーバーへ
- IP: 10.2.120.98
- オプション: 何も選択されていません
| 注: |
|---|
| 提供されたテーブルを使用する場合、ルールを追加する最も簡単な方法は、終了時に正しい順序でルールを追加することです。 |
19.前の2つの手順を繰り返して、表のすべてのルールを追加します。
Step 20 Accessタブで、次へをクリックします。
Step 21 [0000000000000000]タブで、設定を確認し、完了を選択します。