無線LANコントローラー（AWC対応） / キャプティブポータル

概要

• 外部RADIUS認証
  利用者に事前通知したユーザー名とパスワードによってRADIUS認証を行います。次の画面はAT-TQ5403の例です。
  

  

  利用者が認証ページで入力したユーザー情報は、RADIUSサーバーに登録されたものと照合されます。
  利用者は認証ページで正当なユーザー名とパスワードを入力し、またシングルバンド/デュアルバンドAT-TQシリーズでは使用条件に同意する旨のチェックボックスにチェックを入れて、「Connect」ボタンをクリックすることで、ネットワーク上のリソースにアクセスできるようになります。
  
  
• クリックスルー
  画面に表示される利用規約（クリックスルー契約）に同意することで認証を行い、ネットワーク接続を許可します。
  事前にユーザー名/パスワードといった利用者登録を必要とせず、例えば、不法行為や中傷などを目的とした無線ネットワークの利用の禁止や、MACアドレスの記録などの一般的な事項を含む契約に同意を得ることで、不特定多数の利用者にネットワークを開放する場合に有効です。次の画面はAT-TQ5403の例です。
  

  

  
  
• 外部ページリダイレクト
  管理者が事前に指定した外部キャプティブポータル認証ページで認証を行います。
  

802.11の認証・暗号化とWeb認証

中央Web認証

ダイナミックVLANとの併用

対応無線APとサポート機能

設定手順

構成例

• 無線LANコントローラー（本製品）、スイッチの有線ネットワーク設定（VLAN、IPアドレス、NTP、DHCPサーバー、インターネット接続、ファイアウォールなど）。
  
• 無線APのIPアドレス設定（無線AP単独で実施）
  
• 外部Webサーバーの設定（認証ページ、認証失敗ページ、認証成功ページのファイルを含む）
  

設定の流れ

1. RADIUSサーバーの設定
   無線APが使用するRADIUSサーバー（ローカルRADIUSサーバーまたは外部RADIUSサーバー）を設定します。
   
   
2. RADIUSサーバーの登録
   無線APが使用するRADIUSサーバーの登録を行います。
   
   
3. 無線LANコントローラー機能の有効化（全体設定）
   無線LANコントローラーの管理IPアドレスを指定し、同機能を有効化します。
   
   
4. 無線ネットワーク設定の作成
   無線ネットワークのSSID、VLANを定義し、キャプティブポータルの設定も行います。
   
   
5. AP共通設定（APプロファイル）の作成 → VAPごとに無線ネットワーク設定を指定
   同一製品シリーズ、同一ネットワークのAP単位で、無線モード、所属先無線ネットワークなどを定義します。
   
   
6. 無線APの登録（AP個別設定） → AP共通設定（APプロファイル）を指定
   各APのIP/MACアドレスを登録し、適用するAP共通設定（APプロファイル）や送信出力、使用チャンネルなどの個別設定を行います。
   
   
7. APの接続
   すべての準備が整ったら、APを接続して無線ネットワークを構築します。
   

RADIUSサーバーの設定

1. radius-server localコマンドでローカルRADIUSサーバーの設定を開始します。
   

   Controller(config)# radius-server local
   

   
   
2. ローカルRADIUSサーバーの初回設定時には、自装置（127.0.0.1）をRADIUSクライアント（NAS）として自動登録しますが、本構成例においてはRADIUSサーバーを利用するのは無線APであるため、自動登録されたNASを削除し、あらためて無線APをNASとして登録します。
   

   Controller(config-radsrv)# no nas 127.0.0.1
   Controller(config-radsrv)# nas 192.168.1.101 key nas123456
   

   
   
3. Web認証の利用者（ユーザー）を登録します。
   

   Controller(config-radsrv)# user userA password passwordA
   Controller(config-radsrv)# user userB password passwordB
   Controller(config-radsrv)# user userC password passwordC
   

   
   
4. RADIUSサーバーを有効にします。
   

   Controller(config-radsrv)# server enable
   Controller(config-radsrv)# exit
   

RADIUSサーバーの登録

1. radius-server hostコマンドを用いて、RADIUSサーバーのIPアドレスと共有パスワードを登録します。
   ここでは前の手順で設定したローカルRADIUSサーバーを使用しますので、本製品のIPアドレスとシークレット（共有パスワード）を指定します。
   外部のRADIUSサーバーを使用する場合は、同サーバーのIPアドレスとシークレットを指定してください。
   

   Controller(config)# radius-server host 192.168.1.1 key nas123456
   

無線LANコントローラー機能の有効化（全体設定）

1. 無線LANコントローラー機能の全体設定を行うため、グローバルコンフィグモードからwirelessコマンドを実行して無線LANコントローラーモードに入ります。
   

   Controller(config)# wireless
   

   
   
2. 同モードのmanagement addressコマンドで無線LANコントローラーの管理IPアドレス（APとの通信に使用するIPアドレス）を指定します。
   管理IPアドレスには、本製品のインターフェースに設定されているIPアドレスの中で、APとの通信が可能なアドレスを指定してください。
   

   Controller(config-wireless)# management address 192.168.1.1
   

   
   
3. enableコマンドで無線LANコントローラー機能を有効にします。
   

   Controller(config-wireless)# enable
   

Controller> show wireless
Wireless Controller Mode ........ Enable
Management IP Address ........... 192.168.1.1
Rogue AP Detection .............. Enable

無線ネットワーク設定の作成

1. networkコマンドで無線ネットワーク「wnet1」（ID=1）の設定を作成し、同設定を編集するための無線ネットワークモードに入ります。
   

   Controller(config-wireless)# network 1
   

   
   
2. ssidコマンドでSSIDを指定します。
   

   Controller(config-wireless-network)# ssid wnet1
   

   
   
3. vlanコマンドで所属VLANを指定します。
   

   Controller(config-wireless-network)# vlan 1
   

   
   
4. ここからキャプティブポータルの設定に入ります。最初にcaptive-portalコマンドでキャプティブポータル設定モードに入ります。
   

   Controller(config-wireless-network)# captive-portal
   

   
   
5. modeコマンドでキャプティブポータルの種類を指定します。ここでは「外部RADIUS認証」を指定します。
   

   Controller(config-wireless-network-cp)# mode radius
   

   
   
6. radius auth groupコマンドで認証とアカウンティングに使用するサーバーグループを指定します。
   

   Controller(config-wireless-network-cp)# radius auth group radius
   

   
   
7. page-proxy-urlコマンドで外部サーバーに設置したカスタムページのベースURLを指定します。
   カスタムページの詳細については「認証関連ページのカスタマイズ」をご覧ください。
   

   Controller(config-wireless-network-cp)# page-proxy-url http://www.example.com/captive_portal
   

   
   
8. enableコマンドでキャプティブポータルの設定を有効にします。
   

   Controller(config-wireless-network-cp)# enable
   

Controller> show wireless network brief
ID    VLAN SSID                             Hide  Sec ID MAC-Auth Web-Auth
----- ---- -------------------------------- ----- ------ -------- --------
    1    1 wnet1                                -      -        -        -

AP共通設定（APプロファイル）の作成

1. ap-profileコマンドでAPプロファイル番号を指定し、同プロファイルの内容を編集するためのAPプロファイルモードに入ります。
   

   Controller(config-wireless)# ap-profile 1 
   

   
   
2. hwtypeコマンドでAPプロファイルの適用対象機種を指定します。
   

   Controller(config-wireless-ap-prof)# hwtype at-tq5403
   

   
   
3. radioコマンドで無線インターフェース「1」の設定モード（APプロファイル・無線モード）に入り、enableコマンドで無線電波の送受信を有効にし、vapコマンドでVAP番号と無線ネットワーク番号を指定します。
   

   Controller(config-wireless-ap-prof)# radio 1
   Controller(config-wireless-ap-prof-radio)# enable
   Controller(config-wireless-ap-prof-radio)# vap 0 network 1
   Controller(config-wireless-ap-prof-radio)# exit
   

Controller> show wireless ap-profile brief
ID    Description                      HWTYPE         Radio 1 Radio 2 Radio 3
----- -------------------------------- -------------- ------- ------- -------
    1                                  at-tq5403      Enable  Disable Disable

APの登録（AP個別設定）

1. apコマンドでAP「1」を登録するためのAP登録モードに入ります。
   

   Controller(config-wireless)# ap 1
   

   
   
2. ip-addressコマンドとmac-addressコマンドでAP「1」のIPアドレスとMACアドレスを指定します。
   

   Controller(config-wireless-ap)# ip-address 192.168.1.101
   Controller(config-wireless-ap)# mac-address 0000.5e00.5301
   

   
   
3. profileコマンドでAP「1」に適用するAP共通設定（APプロファイル）を指定します。
   

   Controller(config-wireless-ap)# profile 1
   

   
   
4. enableコマンドでAP「1」の登録を有効にします。
   

   Controller(config-wireless-ap)# enable
   

Controller> show wireless ap brief
ID    Description Status  Prof  IP Address      MAC Address
----- ----------- ------- ----- --------------- --------------
    1             Enable      1 192.168.1.101   0000.5e00.5301

APの接続

Controller# show wireless ap status
ID    Model        FW ver     Manage rup Config   c Clnt Uptime
----- ------------ ---------- ---------- ---------- ---- ---------------
    1 AT-TQ5403    5.4.0.B04  Managd --- Succeed  -    0            2227

RADIUSサーバー側の設定

• RADIUSクライアント（NAS）の登録
  Web認証を行う無線APをRADIUSクライアント（NAS）としてRADIUSサーバーに登録します。
  

  RADIUSクライアントのIPアドレス	無線APのIPアドレス 　（例）192.168.1.230
  シークレット	無線APがRADIUSサーバーを認証するためのパスワード 　（例）"himitsu"

  
  
• 無線クライアントの利用者（ユーザー）登録
  Web認証を受ける利用者のユーザー名、パスワードを登録します。
  

  属性名	属性値	備考
  User-Name	ユーザー名	認証対象のユーザー名（例："user1", "user2"）
  User-Password	パスワード	（PAP使用時） ユーザー名に対応するパスワード（例："passwd1", "passwd2"）

• セッションタイムアウト（ネットワーク利用時間）
  

  属性名	属性値	備考
  Session-Timeout	セッションタイムアウト（秒）	ユーザーのネットワークへの接続を許可する時間

その他の設定

認証後リダイレクト

• 無効（初期設定）
  Web認証に成功した利用者のWebブラウザーには、認証成功ページ（外部RADIUS認証時および外部ページリダイレクト時）かクリックスルー同意後ページ（クリックスルー時）が表示されます。
  他のページにはリダイレクトされません。
  
  
• セッション維持（session-keep）
  Web認証に成功した利用者のWebブラウザーを、Web認証開始前に指定された本来のURLにリダイレクトします。
  利用者からは、本来のURLへのアクセスがWeb認証によって一時中断されたのち、自動的に再開されたように見えます。
  セッション維持を有効にするには、キャプティブポータル設定モードでsession-keepコマンドを実行します。
  

  awplus(config-wireless-network-cp)# session-keep
  

  
  
  
• 固定URL（redirect-url）
  Web認証に成功した利用者のWebブラウザーを、管理者が事前設定した特定のURL（固定URL）にリダイレクトします。
  ネットワーク利用開始にあたって、各種のお知らせや注意事項などを利用者に通知する場合に利用できます。
  固定URLへのリダイレクトを有効にするには、キャプティブポータル設定モードでredirect-urlコマンドを実行します。
  

  awplus(config-wireless-network-cp)# redirect-url https://www.example.com/README1ST.html
  

認証関連ページのカスタマイズ

awplus(config-wireless-network-cp)# page-proxy-url http://www.example.com/captive_portal

外部RADIUS認証

• 認証ページ
  
  
  • HTMLファイル名: radius_login.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合、無線APのプロキシー機能は「http://www.example.com/captive_portal/radius_login.html」にアクセスして、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    

    <form method="POST">
       <input type="text" name="userid">
       <input type="password" name="password">
       <input type="submit" value="Connect">
    </form>
    

    
    送信ボタン部分の値は「Connect」である必要はありません、また、フォームの送信が可能であれば、<button>要素でも代替可能です。
    
  
  
• 認証失敗ページ
  
  
  • HTMLファイル名: radius_login_fail.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合は、無線APのプロキシー機能は「http://www.example.com/captive_portal/radius_login_fail.html」を参照して、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    認証ページと同様です。
    外部サーバーに設置する認証ページには、次のフォーム要素を含む必要があります。
    

    <form method="POST">
       <input type="text" name="userid">
       <input type="password" name="password">
       <input type="submit" value="Connect">
    </form>
    

    送信ボタン部分の値は「Connect」である必要はありません、また、フォームの送信が可能であれば、<button>要素でも代替可能です。
    
  
  
• 認証成功ページ
  
  
  • HTMLファイル名: welcome.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合は、無線APのプロキシー機能は「http://www.example.com/captive_portal/welcome.html」を参照して、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    特にありません。
    

クリックスルー

• クリックスルーページ
  
  
  • HTMLファイル名: click_through_login.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合は、無線APのプロキシー機能は「http://www.example.com/captive_portal/click_through_login.html」を参照して、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    外部サーバーに設置するクリックスルーページには、次のフォーム要素を含む必要があります。
    

    <form method="POST">
       <input type="submit" value="Agree">
    </form>
    

    送信ボタン部分の値は「Agree」である必要はありません、また、フォームの送信が可能であれば、<button>要素でも代替可能です。
    
  
  
• クリックスルー同意後ページ
  
  
  • HTMLファイル名: welcome.html
    ベースURLに「http://www.example.com/captive_portal」を指定した場合は、無線APのプロキシー機能は「http://www.example.com/captive_portal/welcome.html」を参照して、内容を無線クライアントに転送します。
    
    
  • HTMLファイルに必要な記述
    特にありません。
    

外部ページリダイレクト

• switch_url：APの認証ページのURL
  
• ap_mac：無線クライアントが接続している VAP の BSSID
  
• wlan：無線クライアントが接続している VAP の SSID
  
• client_mac：無線クライアントの MAC アドレス
  
• statusCode：認証状態 (0：通常のリクエスト、5：認証失敗)
  
• redirect：無線クライアントが接続しようとしていたページのURL（「http://」、「https://」は含まれません）
  

• MIME type は "application/x-www-form-urlencoded" です。
  
• キーと値は '=' で繋ぎ、それぞれのキーバリューは '&' で繋いでください。
  
• キーバリューの値はパーセントエンコーディングしてください。
  
• 以下のキーバリューを送信してください。
  
  • キー：'userid' or 'username', 値: RADIUS 認証に用いるユーザーID
    
  • キー：'password', 値: RADIUS 認証に用いるパスワード
    
• 認証先は、APの認証ページにする必要があります。
  
  • form の場合は action 属性で指定できます。
    
  • `?redirect=`を追加すると、認証後のリダイレクト先を指定できます。（セッション維持設定時のみ有効。無効および固定URL設定時は redirect パラメーターは無視されます）
    

<html>
<head>
    <title>Captive Portal</title>
    <script>
        function loadaction() {
            var queryString = window.location.search;
            var queryObject = new Object();
            if (queryString) {
                queryString = queryString.substring(1);
                var parameters = queryString.split('&');
                for (var i = 0; i < parameters.length; i++) {
                    var element = parameters[i].split('=');
                    var paramName = decodeURIComponent(element[0]);
                    var paramValue = decodeURIComponent(element[1]);
                    queryObject[paramName] = paramValue;
                }
            }
            var redirectUrl = "https://" + queryObject["redirect"];
            document.forms[0].action = queryObject["switch_url"] + "?redirect=" + redirectUrl;
            if (queryObject["statusCode"] == 5) {
                window.alert("Invalid username or password!");
            }
        }
    </script>
</head>
<body onload="loadaction();">
    <form method="POST" action="">
        User Name<input type="text" name="username"><br>
        Password<input type="password" name="password"><br>
        <input type="submit" value="Connect"></input>
    </form>
</body>
</html>