Catalyst 9800での無線APのSerial Numberベースによる認可

Catalyst 9800では無線AP (Access Point)に対してSerial Numberベースによる認可が行えるため、意図しない無線APからのJoinを弾けます。認可を有効化する際は、障害などでの無線AP交換によるSerial Number変更の運用的な考慮を忘れないようにしてください。

本記事ではSerial Numberベースによる認可を扱っていますが、MACアドレス ベースによる認可に関しては下記の記事を参考にしてください。

myhomenwlab.hatenablog.com

検証時の情報
設定
参考情報: 無線APの認可失敗時
関連ドキュメント
- Configuration Guides
  - Version 17.6.x の Authorizing Access Points Using Serial Numbers のドキュメント

検証時の情報

Catalyst 9800-CLの Version 17.6.5 で検証しています。

設定

CLIとWeb UIからの設定方法を記載します。運用方法に適したものを選んでください。

環境に応じて修正が必要な個所

下記の項目は環境に応じて書き換えてください。

設定項目	設定値	備考
Method List Name	METHOD_AP_POLICY	任意の名称を指定します。
Serial Number	AP-SERIAL-NUMBER	設定例として例示用のSerial Numberを設定しています。

Serial Numberは無線AP側で show version を実行すると Top Assembly Serial Number の情報から確認できます。

CLIでの設定

Serial Numberは無線APに依存するため書き換えを忘れないようにしてください。

configure terminal

aaa new-model

aaa authorization credential-download METHOD_AP_POLICY local
ap auth-list authorize-serialNum
ap auth-list method-list METHOD_AP_POLICY

username AP-SERIAL-NUMBER serial-number

end

動作確認が完了したら設定の保存を忘れないようにしてください。

write memory

Web UIでの設定

メニュー: Configuration > Security セクション > AAA に移動します。

メニュー: Configuration > Security セクション > AAA
AAA 設定から AAA Method List タブの Authorization を開いて Add ボタンを押下します。

AuthorizationのAAA Method Listの追加

下記のようにAuthorizationのAAA Method Listを設定します。

設定項目	設定値	備考
Method List Name	METHOD_AP_POLICY	任意の名称を指定します。
Type	credential-download
Group Type	local	WLC本体内 (ローカル内)に保存されている username database (username コマンド) の情報を元に認可を行います。

AAA 設定から AAA Advanced タブの Device Authentication の Serial Number タブを開いて Add ボタンを押下します。

無線APのSerial Numberの追加
Quick Setup: Serial Number の画面で Serial Number に正規の無線APのSerial Numberを登録します。

無線APのSerial Numberの登録

AAA 設定から AAA Advanced タブの AP Policy を開いて、下記のように設定します。

設定項目	設定値	備考
Authorize APs against Serial Number	ENABLED	無線APに対するSerial Numberによる認可を有効化します。
Authorization Method List	METHOD_AP_POLICY	先に設定した `Method List Name` (任意名称)を指定します。

動作確認が完了したら設定の保存を忘れないようにしてください。

設定の保存

参考情報: 無線APの認可失敗時

無線APの認可に失敗すると AP Auth Failure と表示されます。

CLI (show logging)

%CAPWAPAC_SMGR_TRACE_MESSAGE-5-AP_JOIN_DISJOIN: Chassis 1 R0/0: wncd: AP Event: AP Name: ap01 Mac: ****.****.**** Session-IP: 192.0.2.254[5248] 192.0.2.241[5246] Disjoined AP Auth Failure