Cisco WLCにSSIDを作成する（802.1X/PSK）

## はじめに
このエントリでは、構築済みのWLCにSSIDを設定して、利用できるまでを記載します。
WLC構築、AP帰属は関連エントリで記載します。

コマンド編も追加しました。
[Cisco WLCにSSIDを作成する（802.1X/PSK） コマンド編＋よくつかうコマンド](https://qiita.com/haruca_tech/items/088dda5d2110cf0962a8)

## 関連するエントリ
[Cisco Virtual Wireless LAN Contorller (vWLC) を OVAからデプロイして使えるようにするまで](https://qiita.com/haruca_tech/items/db229fce0f6ec217f9e9)
[Cisco Virtual Wireless LAN Contorller (vWLC) に Aironetアクセスポイントを帰属させる](https://qiita.com/haruca_tech/items/f7c714c3c9906bef48ca)

## 対象機器および環境
* Cisco Virtual WLC（Ver.8.2.x）
* AIR-CAP3502I-Q-K9
* AIR-LAP1142N-P-K9

## このエントリを読むとできること
* SSIDを設定を
* 構築済みWLCに設定させて
* 無線ネットワークに接続できるようになる

はず。


## ケーススタディ

以下の無線LAN環境をこうちくします。
APの設定は右上にある、APhq01-02F01とします。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/f4d6cf6e-ce32-2166-965b-cfb9c22f43ca.png)



### DataCenter
* WLC/DHCP/RADIUSサーバが設置

|ホスト名|役割|アドレス|
|:-:|:-:|:-:|
|VMwlc01|WLC|10.254.10.201|
|VMnetserv01|DHCP,RADIUS|10.254.10.251|

### HeadQuarter
* 2Fは事務所
* 1Fは会議室
* 1Fはスマホ／タブレットなど接続用にPSK認証を用意
* 接続台数が多いので、1F/2Fでセグメントを分割

|フロア|AP管理セグ|SSID(vlan)|
|:-:|:-:|:-:|
|2F|V2020|IntraGeneral(V2029)|
|1F|V2010|IntraGeneral(V2019) <BR> IntraStrict(V2002)|

### BranchOffice
* 1F/2Fは事務所
* 接続台数が少ないので、1F/2Fでセグメントを共有

|フロア|AP管理セグ|SSID(vlan)|
|:-:|:-:|:-:|
|1F/2F|V3010|IntraGeneral(V3019)|


## 集中管理型無線LANの設計における役割分担

### アクセスポイント

#### localモード
すべてのトラフィックをCAPWAPトンネル経由とし、WLCで終端させます。
古いバージョンでは、localモードしかなかったようなので、これを利用していたようです。
今回は利用しません。

#### FlexConnectモード
[参考：FlexConnectの設定](https://www.cisco.com/c/ja_jp/td/docs/wl/wllancntrller/5500wlcntrllers/cg/003/b_cg73/b_cg73_chapter_01110.html#ID17)
FlexConnectはブランチオフィスに展開可能なソリューションで、WLCを各拠点に置かずとも、ブランチオフィスに設置されたアクセスポイントを管理できるようにします。
localモードでは、WLCでトラフィックが終端しますが、FlexConnectのローカルスイッチを利用すると、WANエッジルータでトラフィックを終端できます。
WANが切断された際には、「スタンドアロンモード」というのに切り替わって、AP自身で端末認証する、などで、WAN障害により切り離されたとしても、通信を継続させることができます。
（実際には、DHCPのリース期限などの問題もありますが。。。）


### WLAN
WLANはWLCでSSIDの設定に利用します。
今回は以下のSSIDを作ります。

|SSID|認証方式|スイッチング方式|役割|制約|
|:-:|:-:|:-:|:-:|:--|
|IntraGeneral|中央/802.1X|ローカル|業務SSID|制約なし|
|IntraStrict|中央/PSK|ローカル|制限SSID|特定セグメントのみ通信許可|


### APグループ
APグループは複数のアクセスポイントをグループ化し、有効にするSSIDやRFプロファイルをまとめて管理することができる管理単位です。
今回の例では、利用場所でSSIDが異なるため、SSIDをまとめる単位として考えています。

|拠点|フロア|APグループ|SSID|
|:-:|:-:|:-:|:-:|
|HeadQuarter|2F|APG_hq01_02F|IntraGeneral|
|HeadQuarter|1F|APG_hq01_01F|IntraGeneral <BR> IntraStrict|
|BranchOffice|1F/2F|APG_branch01|IntraGeneral|

### FlexConnectグループ
FlexConnectグループは複数のアクセスポイントをグループ化し、WLAN⇔VLANの紐づけ、バックアップRADIUSサーバやローカル認証の設定情報をまとめて管理することができる管理単位です。
今回の例では、利用場所でセグメントが異なるため、セグメントをまとめる単位として考えています。

|拠点|フロア|FCグループ|SSID⇔VLAN対応|
|:-:|:-:|:-:|:-:|
|HeadQuarter|2F|FCG_hq01_02F|IntraGeneral⇔V2029|
|HeadQuarter|1F|FCG_hq01_01F|IntraGeneral⇔V2019 <BR> IntraStrict⇔V2002|
|BranchOffice|1F/2F|FCG_branch01|IntraGeneral⇔V3019|

## 実装方法

ネットワーク構成図のなかの、APhq01-02F01を対象にして、設定を仕込んでいきます。

### APモード変更
上部メニューの「WIRELESS」から設定対象のAPをクリックする。
APがWLCに帰属していること、AP管理アドレスが想定通りになっていること、を確認する。

今回の対象は、 `APc464.1338.c5a2` をHeadQuarterの2FのAPに設定する。
想定するアドレスはV2020となる、10.1.20.0/24なので、これでOK。
下記の `APc464.1338.c5a2` をクリックする。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/838f4478-9bb2-435b-29ad-14bee04f76c8.png)

「AP Name」→APhq01-02F01 と入力
「AP Mode」→FlexConnect をプルダウンから選択
画面右上の「Apply」をクリックすると、「APモードを変えると、APをリブートするぞ」的なメッセージが出るのでOKする。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/492891fe-f32e-2eb3-65a5-4031efd3b5a0.png)

### RADIUSサーバの設定
802.1X認証のSSIDを構成する際には、RADIUS設定が必要となるので、先にそっちの設定をしておきます。

上部メニューの「SECURITY」をクリックして、左メニューバーから「AAA」→「RADIUS」→「Authentication」を選択すると、RADIUSサーバの一覧が表示される。
（すでに構築済みなので、設定が入っています。）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/186242c1-80cb-2adf-e157-9c7a6301f106.png)

画面右上の「New」をクリックすると、RADIUSサーバ新規追加画面になります。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/5f05e00d-4066-9a77-c55d-35d412d1365f.png)

以下は必須項目ですが、それ以外はデフォルトで特に問題なさそうです。

|項目|値|
|:-:|:-:|
|Server IP Address(Ipv4/Ipv6)|RADIUSサーバのアドレス|
|Shared Secret|RADIUSシークレット|
|Confirm Shared Secret|RADIUSシークレット（再入力）|

### WLAN作成
上部メニューの「WLAN」をクリックすると、現在のWLAN（SSID）一覧が表示される。
（すでに構築済みなので、SSIDが入っています。）
画面右上のプルダウンメニューで「Create New」を選択し、「Go」をクリックすると、WLAN新規追加画面になります。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/792b6d5a-b90a-5beb-c0ab-6c9098caea61.png)


WLAN新規追加画面に入ったら、ProfileNameとSSIDに作成したいSSID文字列を入力して右上の「Apply」をクリック。（ProfileNameとSSIDは同じでよいです。）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/da6425b2-84f7-d779-5f35-8ffa3f8e8f23.png)

WLANが作成されると、WLANに対する詳細設定画面に遷移します。

#### Generalタブ
基本的な使い方をするだけなら、以下の項目の設定のみでよいです。
* 「Status」：チェックを入れるとこのSSIDが有効になります。
* 「Radio Policy」：どの周波数帯を利用するか選択します。
* 「Interface/Interface Group」デフォルトの所属IFを選択します。（FlexConnect設定でVLANを上書きするので、どれでも同じです）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/fcc557da-5d8b-477d-0fc7-93753e0d1e5a.png)

次の手順に進む前に、画面右上の「Apply」をクリックします。


#### Securityタブ
詳細設定画面の「Security」タブをクリックすると、認証設定画面に遷移します。

##### 802.1X認証の場合
デフォルトで802.1X認証設定になっているので、画面内の「AAA Servers」の子タブをクリックします。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/cc909e38-8451-0299-2799-bf5fbc518e1e.png)

「Authentication Servers」のチェックボックスにチェックを入れ、プルダウンメニューから、先に登録しておいたRADIUSサーバを選択します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/45fda5f7-ba1b-1f29-71dc-edbc9acf039a.png)

次の手順に進む前に、画面右上の「Apply」をクリックします。

##### PSK認証の場合
デフォルトの認証方式が802.1X認証なので、チェックを外し、PSKにチェックを入れます。
「PSK Format」が文字列ならASCIIを選択し、テキストボックスにPSK文字列を入力します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/c3163f13-2ca1-fd45-9b14-73a94a3f2f72.png)

次の手順に進む前に、画面右上の「Apply」をクリックします。


##### Advancedタブ
詳細設定画面の「Advanced」タブをクリックすると、詳細設定画面に遷移します。
特に変更の必要はないため、そのままでよいです。
（session Timeoutのチェックを外しておくと、再認証要求が頻繁に出なくなるため、IP電話などの環境では、外しておくとよいかも）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/432658ce-3fc9-cee8-e538-961cc8c36c8e.png)

次の手順に進む前に、画面右上の「Apply」をクリックします。
ここまででSSIDの作成まで完了しました。

### APグループ設定
APグループの設定で、どのAPにどのSSIDを吹かせるかを一括管理します。

上部メニューの「WLANs」をクリックして、左メニューバーから「Advanced」→「AP Groups」を選択すると、APグループの一覧が表示される。
（すでに構築済みなので、設定が入っています。）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/158c6748-56ed-9de8-bf0a-e2ed2c20cbdb.png)

画面右上の「Add Group」をクリックすると、APグループ新規追加画面になります。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/da33b900-a465-9306-6c5f-7a771432c17a.png)

APグループ新規追加画面に入ったら、「AP Group Name」と「Description」に作成したいAPグループ名を入力して、下部の「Add」をクリック。（「AP Group Name」と「Description」は同じでよいです。）
すると、元の画面（APグループ一覧）に戻るので、作成したAPグループ名をクリックする。

#### WLANsタブ
ここで、当該APグループでどのSSIDを吹かせるか決めます。
「Add New」をクリックすると、WLAN追加画面に遷移します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/1634452e-84b7-d3b9-c0f2-747cdcb6e7d9.png)

「WLAN SSID」で追加したいSSIDをプルダウンメニューから選択（追加済みのものは表示されません）
「Interface/InterfaceGroup」でIF名をプルダウンメニューから選択（FlexConnectの場合は、FlexConnect設定でInterfaceを上書きするので、どれでもよいです）
下部の「Add」をクリックすると、そのSSIDが追加されます。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/0adc345d-1afa-d7f3-ac0f-c7e6381aaba2.png)

#### APsタブ
ここで、当該APグループにどのAPを所属させるかを決めます。
APはWLCに帰属すると、default-groupに所属するため、右側チェックボックスで選択し、「Add APs」をクリックします。すると、「APグループを変えると、APをリブートするぞ」的なメッセージが出るのでOKする。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/4ea52282-1703-d8e5-0104-0f1b147c2fd6.png)

APリブート後は下記のような状態になっている。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/eda9be9a-c681-864e-875c-539cf2df71f5.png)


### FlexConnectグループ設定
FlexConnectグループの設定で、バックアップRADIUSサーバ、ローカル認証、APのSSIDに対するVLAN割り当て、を一括管理します。
今回は、同じSSIDでも場所によってセグメント（VLAN）が異なるため、グループごとにSSIDに対するVLAN設定を割り当てていきます。

上部メニューの「WIRELESS」をクリックして、左メニューバーから「FlexConnect Groups」を選択すると、FlexConnectグループの一覧が表示される。
（すでに構築済みなので、設定が入っています。）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/1efb7e4f-34b3-b336-5a3c-54d554c5badc.png)

右上の「New...」をクリックすると、FlexConnectグループ新規追加画面に遷移するの。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/da4f11fa-4882-965e-4418-50d1ce6e5d64.png)

FlexConnectグループ新規追加画面に入ったら、「Group Name」に作成したいFlexConnectグループ名を入力して、右上の「Apply」をクリック。
すると、元の画面（APグループ一覧）に戻るので、作成したAPグループ名をクリックする。

#### Generalタブ
ここで、当該FlexConnectグループにどのAPを所属させるかを決めます。
APはWLCに帰属すると、どのFlexConnectグループにも所属していない状態になります。
「Add AP」ボタンをクリックすると、AP追加の表示に切り替わります。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/076ec01a-f444-0447-f312-42368c6db6f5.png)

「Ethernet MAC」にMACアドレスを手入力して、「Add」ボタンをクリックすると、追加できますが、WLCに帰属していて、他FlexConnectグループに所属していないAPであれば、「Select APs from current controller」にチェックを入れると、一覧から選択できるようになります。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/81fffbb7-02ca-9d90-4cfc-260def60580c.png)

一覧からAPを選択して、「Add」を選択すれば、APをFlexConnectグループに所属させることができます。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/1333dff4-4f93-51f8-0b2d-a9205db583c4.png)

#### WLAN VLAN mappingタグ
ここで、当該FLexConnectグループのSSIDに対するVLANを割り当てます。
「VLAN Support」にチェックを入れると、「Native VLAN ID」のテキストボックスが表示されるので、AP管理セグのVLANを入力します。（今回はV2020）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/ab0eb0c8-3745-5c9d-441b-1038573405cb.png)

「WLAN Id」に対する「Vlan ID」を入力して「Add」をクリックします。
（WLAN Idは、上部メニュ「WLANs」から確認できます）
今回は「WLAN ID」が１、「Vlan ID」が2029です。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/9f45e93f-245f-31de-72dc-57782dc6fc2d.png)


### 設定確認
上部メニューの「WIRELESS」から「APhq01-02F01」をクリックする。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/652ccda4-0293-f478-74da-e2f5ce9b790a.png)

Generalタブが表示されるので、FlexConnectタブをクリックする。
このとき、InheritanceLevelがGroup-Specificとなっていれば、FlexConnectグループでの設定が継承されている状態となっている。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/fce6e668-a888-8dd6-4bbd-1fd75b9caa5e.png)

先ほどの画面で、「VLAN Mappings」をクリックすると、以下画面になる。
ここで、FlexConnectグループで設定した、SSIDに対するVLANが正しいか、確認する。
InheritanceがGroup-specificになっていれば、FlexConnectグループ設定が継承されている。（ここで個別の設定をすれば、FlexConnectグループ設定を、さらに上書きすることも可能）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/334782/da2d3cb0-7a9f-f06b-19bb-e9e450b7ecd7.png)


### 有線機器の設定
APはNativeVLANのDHCPで自アドレスの取得とWLCアドレスの割り当てを受けます。
端末のトラフィックはFlexConnectグループで設定した「WLAN VLAN Mappint」の通りのtrunkに流れていきます。

PoEスイッチがインテリものの場合には、接続IFをTrunkポートとし、NativeVLANをFlexConnectグループの設定と合わせておく必要があります。
PoEスイッチがノンインテリものの場合は、その上流のL3デバイスでPoEスイッチ接続ポートにおいて、同様のことが必要です。


## おわりに

### 感想
WLAN、APグループ、FlexConnectグループ、と、設定項目が多岐にわたるので、とっちらかってしまいました。とはいえ、分割するとわけわからんくなるし。。。
整理の仕方も勉強が必要と感じました。

### 出典
だいたいのことは公式ドキュメントに記載されています。
[Cisco Wireless Controller コンフィギュレーション ガイド、リリース 8.2](https://www.cisco.com/c/ja_jp/td/docs/wireless/controller/8-2/config-guide/b_cg82.html)