無線LANのメリットや運用の注意点、電波や規格などの用語、要件定義や基本設計から
設定・構築・テストにいたるまで、たくさんのことをまとめています。
さらに、Arubaの機器を中心とした無線LANの設計と設定を解かりやすく解説しています。

タグ:VLAN

無線LANクライアントに、認証したユーザに応じたVLANを割り当てる方法を紹介する。
ダイナミックVLANと呼ぶこともある。

前提として次の二つの作業が必要。
(1)RADIUSサーバ側で、ユーザに応じたRADIUSアトリビュートを返す設定をしておく
NPSの設定例 FreeRADIUSでの設定例を参照のこと
(2)IAPを接続しているSWのポートに、タグVLANの設定をしておく。
簡単なのは、管理IPアドレス用のVLANはタグなし(UntagやネイティブVLANとも言う)にしておき、クライアントに割り当てるVLANについては802.1QのタグVLANを設定する方法だ。

IAPでは、RADIUSサーバから返されるアトリビュートの情報を元に、VLANを割り当てることができる。
例として、ユーザに応じてVLAN200、VLAN210、VLAN220の3つのいずれかを割り当てる設定を紹介する。

ネットワーク(SSID)は、すでに設定済みのものを変更してもよいし、新規で設定してもよい。
今回は、新規設定を例に解説する。

「ネットワーク」→「新規」をクリック。SSIDを入力する。用途は従業員でOK。
001

















クライアントIPとVLANの割り当てもそのままでOK。
002

















セキュリティは、WPA2エンタープライズを選択し、RADIUSサーバを指定しておく。
003

















アクセスの設定がポイントだ。ここでは、
・どのような条件のときに(ロールの割り当てルール)→RADIUSサーバから返された属性がどのような条件か
・どのように動作するか(ロール)→VLANを割り当てる。
を設定する。(設定の順序はこの逆なので注意。)

アクセスルールはロールベースを設定する。
004

















ロールの「新規」をクリックし、ロールの名前を決める。ここでは割り当てるVLAN名をロール名とした。
005


















アクセスルールの「新規」をクリック。
006


















新しいルールが表示されるので、ルールタイプを「アクセス制御」から「VLANの割り当て」に変更する。
007


















割り当てるVLAN番号を入力し、「OK」する。
008


















同様に、VLAN210とVLAN220を作る。
009


















次に、ロールの割り当てルールを設定する。「ロールの割り当てルール」の「新規」をクリックする。
条件が出てくるので、
属性:「Tunnel-Private-Group-Id」(VLANIDを示す属性)
演算子:「次に一致」
文字列:VLAN番号(VLANID)
ロール:作成したロール(VLANの割り当てを行うロール)
を設定し、「OK」する。
010
















Tunnel-Private-Group-Idとは、RADIUSサーバから返される属性値であり、VLAN番号を意味する。


同様に、VLAN210、220も作成する。
011


















これでOK。

なお、SSID名と同じロールはデフォルトロールと呼び、どの条件にも当てはまらない場合の動作を規定する。
たとえば、認証は成功したがTunnel-Private-Group-Idが300だったような場合だ。(300はロールの割り当てルールに設定をしていない)

アクセスコントロールをシビアに設定するのであれば、デフォルトロールのアクセスルールも厳しめにしておいたほうがよいかもしれない。



802.1Xを利用するとき、ユーザごとに異なるVLANを割り当てることができる。もちろんARUBAのAPでも可能

しくみは、認証時に、オーセンティケータ(WLCやIAP)へのRADIUSレスポンスに、VLANIDもあわせて通知するのだ。VLANIDを受け取ったWLCやIAPは、「その端末はVLAN○○○だ」と認識してパケットを取り扱う。

名称未設定 3












注意が必要なのは、本来は無線区間にはVLANの仕組みはない。クライアントから無線で届いたパケットを、たWLCやIAPが「このクライアントは、VLAN○○○だ」と認識してVLANの処理を行うのである。802.1Xや無線LANの標準機能ではなく、あくまでWLCやIAPなど、オーセンティケータの独自機能である。

メリットは次の点。
・ユーザのVLANを変更するときに、RADIUSサーバ側で設定を変更すればよい。
 (クライアントの設定や、WLC・IAPの設定を変更する必要がない)
・セキュリティの確保。ユーザが自分以外のVLANに(直接)はアクセスできない。
 (有線でのVLANを使うときのメリットと同じ)

デメリットは次の点。
・RADIUSからVLANIDを通知するする方法が、オーセンティケータの機種によって多少異なる。
 (必要とするアトリビュートが微妙に異なる)
・ネットワーク設計が複雑になる。たとえば、WLCやIAPとL2/L3SW間のタグ設定など。


このページのトップヘ