[index] AT-AR2050V/AT-AR3050S/AT-AR4050S コマンドリファレンス 5.5.0

無線LANコントローラー（AWC対応） / キャプティブポータル

Note

AT-TQ6602では、本機能は未サポートです。

概要

• 外部RADIUS認証
  利用者に事前通知したユーザー名とパスワードによってRADIUS認証を行います。次の画面はAT-TQ5403の例です。
  

  

  利用者が認証ページで入力したユーザー情報は、RADIUSサーバーに登録されたものと照合されます。
  利用者は認証ページで正当なユーザー名とパスワードを入力し、またシングルバンド/デュアルバンドAT-TQシリーズでは使用条件に同意する旨のチェックボックスにチェックを入れて、「Connect」ボタンをクリックすることで、ネットワーク上のリソースにアクセスできるようになります。
  
  
• クリックスルー
  画面に表示される利用規約（クリックスルー契約）に同意することで認証を行い、ネットワーク接続を許可します。
  事前にユーザー名/パスワードといった利用者登録を必要とせず、例えば、不法行為や中傷などを目的とした無線ネットワークの利用の禁止や、MACアドレスの記録などの一般的な事項を含む契約に同意を得ることで、不特定多数の利用者にネットワークを開放する場合に有効です。次の画面はAT-TQ5403の例です。
  

  

  Note

  クリックスルーによるWeb認証は、AT-TQ4400/4600/4400e、AT-TQ1402/5403/5403e、AT-TQm1402/5403でのみ有効です。AT-TQ2450/3200/3400/3600では、クリックスルーは未サポートとなります。

  Note

  クリックスルーページの利用規約の文言を設定する場合は、無線LANコントローラーから必要な設定を適用後、AP自身のWeb設定画面から行ってください。

  
  
• 外部ページリダイレクト
  管理者が事前に指定した外部キャプティブポータル認証ページで認証を行います。
  

  Note

  外部ページリダイレクトによるWeb認証は、AT-TQ5403、AT-TQm5403、AT-TQ5403eのバージョン6.0.1-5.1以降でのみ有効です。

802.11の認証・暗号化とWeb認証

中央Web認証

Note

中央Web認証はAT-TQ5403/5403e、AT-TQm5403ファームウェアバージョン6.0.1-1.1以降、または、AT-TQ1402、AT-TQm1402ファームウェアバージョン6.0.0-1.3以降にてサポートします。また、該当の無線APでは中央Web認証は常に有効となります。

Note

中央Web認証を使用する場合は、無線APのNTPクライアント機能を有効にし、無線APと無線LANコントローラーの時刻を一致させる必要があります。

Note

中央Web認証が有効な場合、セッションタイムアウト前にローミングによる再接続を行った際、セッションタイムアウト値は更新されません。

ダイナミックVLANとの併用

Note

Web認証またはMACアドレス認証とWPA Enterprise認証を併用した場合は、「MACアドレス認証」→「WPA Enterprise認証」→「Web認証」の順で認証処理が行われます。

対応無線APとサポート機能

Note

AT-TQ6602では、本機能は未サポートです。

設定手順

構成例

• 無線LANコントローラー（本製品）、スイッチの有線ネットワーク設定（VLAN、IPアドレス、NTP、DHCPサーバー、インターネット接続、ファイアウォールなど）。
  
• 無線APのIPアドレス設定（無線AP単独で実施）
  
• 外部Webサーバーの設定（認証ページ、認証失敗ページ、認証成功ページのファイルを含む）
  

Note

アクセスリストなどのフィルタリング機能併用時は、無線LANコントローラーと管理下AP間の通信が遮断されないようにご注意ください。

Note

無線AP単独でのIPアドレス設定については、各APのリファレンスマニュアルをご参照ください。

Note

WDSが設定されている無線インターフェース上でWeb認証を使用しないでください。

Note

無線クライアントに割り当てられるIPアドレスから無線APのIPアドレスを参照できるよう、無線APの上位のスイッチ側で適切に設定する必要があります。また、AT-TQ1402/5403/5403e、AT-TQm1402/5403ではキャプティブポータルのTCPポート番号として8080（HTTP）および8443（HTTPS）を使用しますので、上位のスイッチにてアクセスリストを適用している場合は、該当TCPポートの通信を許可する必要があります。

設定の流れ

1. RADIUSサーバーの設定
   無線APが使用するRADIUSサーバー（ローカルRADIUSサーバーまたは外部RADIUSサーバー）を設定します。
   
   
2. RADIUSサーバーの登録
   無線APが使用するRADIUSサーバーの登録を行います。
   
   
3. 無線LANコントローラー機能の有効化（全体設定）
   無線LANコントローラーの管理IPアドレスを指定し、同機能を有効化します。
   
   
4. 無線ネットワーク設定の作成
   無線ネットワークのSSID、VLANを定義し、キャプティブポータルの設定も行います。
   
   
5. AP共通設定（APプロファイル）の作成 → VAPごとに無線ネットワーク設定を指定
   同一製品シリーズ、同一ネットワークのAP単位で、無線モード、所属先無線ネットワークなどを定義します。
   
   
6. 無線APの登録（AP個別設定） → AP共通設定（APプロファイル）を指定
   各APのIP/MACアドレスを登録し、適用するAP共通設定（APプロファイル）や送信出力、使用チャンネルなどの個別設定を行います。
   
   
7. APの接続
   すべての準備が整ったら、APを接続して無線ネットワークを構築します。
   

RADIUSサーバーの設定

1. radius-server localコマンドでローカルRADIUSサーバーの設定を開始します。
   

   Controller(config)# radius-server local ↓
   

   
   
2. ローカルRADIUSサーバーの初回設定時には、自装置（127.0.0.1）をRADIUSクライアント（NAS）として自動登録しますが、本構成例においてはRADIUSサーバーを利用するのは無線APであるため、自動登録されたNASを削除し、あらためて無線APをNASとして登録します。
   

   Controller(config-radsrv)# no nas 127.0.0.1 ↓
   Controller(config-radsrv)# nas 192.168.1.101 key nas123456 ↓
   

   
   
3. Web認証の利用者（ユーザー）を登録します。
   

   Controller(config-radsrv)# user userA password passwordA ↓
   Controller(config-radsrv)# user userB password passwordB ↓
   Controller(config-radsrv)# user userC password passwordC ↓
   

   
   
4. RADIUSサーバーを有効にします。
   

   Controller(config-radsrv)# server enable ↓
   Controller(config-radsrv)# exit ↓
   

RADIUSサーバーの登録

1. radius-server hostコマンドを用いて、RADIUSサーバーのIPアドレスと共有パスワードを登録します。
   ここでは前の手順で設定したローカルRADIUSサーバーを使用しますので、本製品のIPアドレスとシークレット（共有パスワード）を指定します。
   外部のRADIUSサーバーを使用する場合は、同サーバーのIPアドレスとシークレットを指定してください。
   

   Controller(config)# radius-server host 192.168.1.1 key nas123456 ↓
   

無線LANコントローラー機能の有効化（全体設定）

1. 無線LANコントローラー機能の全体設定を行うため、グローバルコンフィグモードからwirelessコマンドを実行して無線LANコントローラーモードに入ります。
   

   Controller(config)# wireless ↓
   

   
   
2. 同モードのmanagement addressコマンドで無線LANコントローラーの管理IPアドレス（APとの通信に使用するIPアドレス）を指定します。
   管理IPアドレスには、本製品のインターフェースに設定されているIPアドレスの中で、APとの通信が可能なアドレスを指定してください。
   

   Controller(config-wireless)# management address 192.168.1.1 ↓
   

   
   
3. enableコマンドで無線LANコントローラー機能を有効にします。
   

   Controller(config-wireless)# enable ↓
   

Controller> show wireless ↓
Wireless Controller Mode ........ Enable
Management IP Address ........... 192.168.1.1
Rogue AP Detection .............. Enable

無線ネットワーク設定の作成

1. networkコマンドで無線ネットワーク「wnet1」（ID=1）の設定を作成し、同設定を編集するための無線ネットワークモードに入ります。
   

   Controller(config-wireless)# network 1 ↓
   

   
   
2. ssidコマンドでSSIDを指定します。
   

   Controller(config-wireless-network)# ssid wnet1 ↓
   

   
   
3. vlanコマンドで所属VLANを指定します。
   

   Controller(config-wireless-network)# vlan 1 ↓
   

   
   
4. ここからキャプティブポータルの設定に入ります。最初にcaptive-portalコマンドでキャプティブポータル設定モードに入ります。
   

   Controller(config-wireless-network)# captive-portal ↓
   

   
   
5. modeコマンドでキャプティブポータルの種類を指定します。ここでは「外部RADIUS認証」を指定します。
   

   Controller(config-wireless-network-cp)# mode radius ↓
   

   
   
6. radius auth groupコマンドで認証とアカウンティングに使用するサーバーグループを指定します。
   

   Controller(config-wireless-network-cp)# radius auth group radius ↓
   

   
   
7. page-proxy-urlコマンドで外部サーバーに設置したカスタムページのベースURLを指定します。
   カスタムページの詳細については「認証関連ページのカスタマイズ」をご覧ください。
   

   Controller(config-wireless-network-cp)# page-proxy-url http://www.example.com/captive_portal ↓
   

   
   
8. enableコマンドでキャプティブポータルの設定を有効にします。
   

   Controller(config-wireless-network-cp)# enable ↓
   

Controller> show wireless network brief ↓
ID    VLAN SSID                             Hide  Sec ID MAC-Auth Web-Auth
----- ---- -------------------------------- ----- ------ -------- --------
    1    1 wnet1                                -      -        -        -

AP共通設定（APプロファイル）の作成

1. ap-profileコマンドでAPプロファイル番号を指定し、同プロファイルの内容を編集するためのAPプロファイルモードに入ります。
   

   Controller(config-wireless)# ap-profile 1  ↓
   

   
   
2. hwtypeコマンドでAPプロファイルの適用対象機種を指定します。
   

   Controller(config-wireless-ap-prof)# hwtype at-tq5403 ↓
   

   
   
3. radioコマンドで無線インターフェース「1」の設定モード（APプロファイル・無線モード）に入り、enableコマンドで無線電波の送受信を有効にし、vapコマンドでVAP番号と無線ネットワーク番号を指定します。
   

   Controller(config-wireless-ap-prof)# radio 1 ↓
   Controller(config-wireless-ap-prof-radio)# enable ↓
   Controller(config-wireless-ap-prof-radio)# vap 0 network 1 ↓
   Controller(config-wireless-ap-prof-radio)# exit ↓
   

Controller> show wireless ap-profile brief ↓
ID    Description                      HWTYPE         Radio 1 Radio 2 Radio 3
----- -------------------------------- -------------- ------- ------- -------
    1                                  at-tq5403      Enable  Disable Disable

APの登録（AP個別設定）

1. apコマンドでAP「1」を登録するためのAP登録モードに入ります。
   

   Controller(config-wireless)# ap 1 ↓
   

   
   
2. ip-addressコマンドとmac-addressコマンドでAP「1」のIPアドレスとMACアドレスを指定します。
   

   Controller(config-wireless-ap)# ip-address 192.168.1.101 ↓
   Controller(config-wireless-ap)# mac-address 0000.5e00.5301 ↓
   

   
   
3. profileコマンドでAP「1」に適用するAP共通設定（APプロファイル）を指定します。
   

   Controller(config-wireless-ap)# profile 1 ↓
   

   
   
4. enableコマンドでAP「1」の登録を有効にします。
   

   Controller(config-wireless-ap)# enable ↓
   

Controller> show wireless ap brief ↓
ID    Description Status  Prof  IP Address      MAC Address
----- ----------- ------- ----- --------------- --------------
    1             Enable      1 192.168.1.101   0000.5e00.5301

APの接続

Controller# show wireless ap status ↓
ID    Model        FW ver     Manage rup Config   c Clnt Uptime
----- ------------ ---------- ---------- ---------- ---- ---------------
    1 AT-TQ5403    5.4.0.B04  Managd --- Succeed  -    0            2227

RADIUSサーバー側の設定

• RADIUSクライアント（NAS）の登録
  Web認証を行う無線APをRADIUSクライアント（NAS）としてRADIUSサーバーに登録します。
  

  RADIUSクライアントのIPアドレス	無線APのIPアドレス 　（例）192.168.1.230
  シークレット	無線APがRADIUSサーバーを認証するためのパスワード 　（例）"himitsu"

  Note

  認証処理は無線APが行いますので、Web認証を行うすべての無線APをRADIUSサーバーに登録する必要があります。

  Note

  RADIUSサーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。

  Note

  キャプティブポータルでサポートする認証タイプはPAPのみです。

  
  
• 無線クライアントの利用者（ユーザー）登録
  Web認証を受ける利用者のユーザー名、パスワードを登録します。
  

  属性名	属性値	備考
  User-Name	ユーザー名	認証対象のユーザー名（例："user1", "user2"）
  User-Password	パスワード	（PAP使用時） ユーザー名に対応するパスワード（例："passwd1", "passwd2"）

• セッションタイムアウト（ネットワーク利用時間）
  

  属性名	属性値	備考
  Session-Timeout	セッションタイムアウト（秒）	ユーザーのネットワークへの接続を許可する時間

その他の設定

認証後リダイレクト

• 無効（初期設定）
  Web認証に成功した利用者のWebブラウザーには、認証成功ページ（外部RADIUS認証時および外部ページリダイレクト時）かクリックスルー同意後ページ（クリックスルー時）が表示されます。
  他のページにはリダイレクトされません。
  
  
• セッション維持（session-keep）
  Web認証に成功した利用者のWebブラウザーを、Web認証開始前に指定された本来のURLにリダイレクトします。
  利用者からは、本来のURLへのアクセスがWeb認証によって一時中断されたのち、自動的に再開されたように見えます。
  セッション維持を有効にするには、キャプティブポータル設定モードでsession-keepコマンドを実行します。
  

  awplus(config-wireless-network-cp)# session-keep ↓
  

  
  

  Note

  外部ページリダイレクト時には次のように動作します。`?redirect=`については「外部ページリダイレクト」をご覧ください。
  

  • `?redirect=`が指定されている場合：`?redirect=`で指定された認証後のリダイレクト先URLにリダイレクトされます。
    
  • `?redirect=`が指定されていない場合：「無効」時と同じ認証成功ページにリダイレクトされます。
    

  
  
• 固定URL（redirect-url）
  Web認証に成功した利用者のWebブラウザーを、管理者が事前設定した特定のURL（固定URL）にリダイレクトします。
  ネットワーク利用開始にあたって、各種のお知らせや注意事項などを利用者に通知する場合に利用できます。
  固定URLへのリダイレクトを有効にするには、キャプティブポータル設定モードでredirect-urlコマンドを実行します。
  

  awplus(config-wireless-network-cp)# redirect-url https://www.example.com/README1ST.html ↓
  

  Note

  session-keepコマンドとredirect-urlコマンドの両方が設定されているときは、session-keep（セッション維持）が優先されます。固定URLへのリダイレクトを行いたいときは、session-keepの設定を無効にしてください。

認証関連ページのカスタマイズ

Note

外部ページリダイレクト時は、「認証ページプロキシ」によるカスタマイズを利用できません。
外部のキャプティブポータル認証ページは自由に作成することが可能です。詳しくは「外部ページリダイレクト」をご覧ください。

Note

AT-TQ4400/4600/4400eでは、認証ページの変更はできません。
AT-TQ1402/5403/5403e、AT-TQm1402/5403において、クリックスルーページの利用規約の文言は、適用する無線AP個別のWeb設定画面で設定することもできます。

awplus(config-wireless-network-cp)# page-proxy-url http://www.example.com/captive_portal ↓

Note

無線APの認証ページプロキシは、無線クライアントを認証するたびに外部Webサーバーにファイルを要求します。そのため、認証ページプロキシを使用する場合は、つねに無線APから外部Webサーバーにアクセスできる必要があります。

Note

キャプティブポータルの動作上、外部Webサーバーはカスタムページ（ファイル）を認証ページプロキシに提供できさえすればよく、それ以外の要件はありません。外部WebサーバーからRADIUSサーバーにアクセスできる必要はありませんし、外部Webサーバーで認証ページが実際に機能する必要もありません。

Note

外部サーバーに設置するHTMLファイル内に外部ファイルへのリンクを記述する際は、ファイルへの参照を相対パスで記述してください。

外部RADIUS認証

• 認証ページ
  
  
  • HTMLファイル名: radius_login.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合、無線APのプロキシー機能は「http://www.example.com/captive_portal/radius_login.html」にアクセスして、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    

    <form method="POST">
       <input type="text" name="userid">
       <input type="password" name="password">
       <input type="submit" value="Connect">
    </form>
    

    
    送信ボタン部分の値は「Connect」である必要はありません、また、フォームの送信が可能であれば、<button>要素でも代替可能です。
    
  
  
• 認証失敗ページ
  
  
  • HTMLファイル名: radius_login_fail.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合は、無線APのプロキシー機能は「http://www.example.com/captive_portal/radius_login_fail.html」を参照して、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    認証ページと同様です。
    外部サーバーに設置する認証ページには、次のフォーム要素を含む必要があります。
    

    <form method="POST">
       <input type="text" name="userid">
       <input type="password" name="password">
       <input type="submit" value="Connect">
    </form>
    

    送信ボタン部分の値は「Connect」である必要はありません、また、フォームの送信が可能であれば、<button>要素でも代替可能です。
    
  
  
• 認証成功ページ
  
  
  • HTMLファイル名: welcome.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合は、無線APのプロキシー機能は「http://www.example.com/captive_portal/welcome.html」を参照して、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    特にありません。
    

Note

HTML/CSSの書き方や書式、編集後の問題に関してはサポート対象外となります。あらかじめご了承ください。

クリックスルー

• クリックスルーページ
  
  
  • HTMLファイル名: click_through_login.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合は、無線APのプロキシー機能は「http://www.example.com/captive_portal/click_through_login.html」を参照して、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    外部サーバーに設置するクリックスルーページには、次のフォーム要素を含む必要があります。
    

    <form method="POST">
       <input type="submit" value="Agree">
    </form>
    

    送信ボタン部分の値は「Agree」である必要はありません、また、フォームの送信が可能であれば、<button>要素でも代替可能です。
    
  
  
• クリックスルー同意後ページ
  
  
  • HTMLファイル名: welcome.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合は、無線APのプロキシー機能は「http://www.example.com/captive_portal/welcome.html」を参照して、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    特にありません。
    

Note

HTML/CSSの書き方や書式、編集後の問題に関してはサポート対象外となります。あらかじめご了承ください。

外部ページリダイレクト

• switch_url：APの認証ページのURL
  
• ap_mac：無線クライアントが接続している VAP の BSSID
  
• wlan：無線クライアントが接続している VAP の SSID
  
• client_mac：無線クライアントの MAC アドレス
  
• statusCode：認証状態 (0：通常のリクエスト、5：認証失敗)
  
• redirect：無線クライアントが接続しようとしていたページのURL（「http://」、「https://」は含まれません）
  

• MIME type は "application/x-www-form-urlencoded" です。
  
• キーと値は '=' で繋ぎ、それぞれのキーバリューは '&' で繋いでください。
  
• キーバリューの値はパーセントエンコーディングしてください。
  
• 以下のキーバリューを送信してください。
  
  • キー：'userid' or 'username', 値: RADIUS 認証に用いるユーザーID
    
  • キー：'password', 値: RADIUS 認証に用いるパスワード
    
• 認証先は、APの認証ページにする必要があります。
  
  • form の場合は action 属性で指定できます。
    
  • `?redirect=`を追加すると、認証後のリダイレクト先を指定できます。（セッション維持設定時のみ有効。無効および固定URL設定時は redirect パラメーターは無視されます）
    

<html>
<head>
    <title>Captive Portal</title>
    <script>
        function loadaction() {
            var queryString = window.location.search;
            var queryObject = new Object();
            if (queryString) {
                queryString = queryString.substring(1);
                var parameters = queryString.split('&');
                for (var i = 0; i < parameters.length; i++) {
                    var element = parameters[i].split('=');
                    var paramName = decodeURIComponent(element[0]);
                    var paramValue = decodeURIComponent(element[1]);
                    queryObject[paramName] = paramValue;
                }
            }
            var redirectUrl = "https://" + queryObject["redirect"];
            document.forms[0].action = queryObject["switch_url"] + "?redirect=" + redirectUrl;
            if (queryObject["statusCode"] == 5) {
                window.alert("Invalid username or password!");
            }
        }
    </script>
</head>
<body onload="loadaction();">
    <form method="POST" action="">
        User Name<input type="text" name="username"><br>
        Password<input type="password" name="password"><br>
        <input type="submit" value="Connect"></input>
    </form>
</body>
</html>

Note

HTML/CSSの書き方や書式、編集後の問題に関してはサポート対象外となります。あらかじめご了承ください。

(C) 2015 - 2021 アライドテレシスホールディングス株式会社

PN: 613-002107 Rev.AL