ども。こんにちは。

MACアドレスをRADIUS(AD上のNPS)でやってみます。

事前準備

・ADにセキュリティグループを追加
・PSOを作るってパスワードを緩める(参考：メモ：あとで書く)
・アカウント名がMACアドレスなユーザを追加

テスト用に新しSSID(VAP)を追加します。

・・・が、ここで問題が。

SSID追加してから全然SSIDが見えない。既存のものも含めて・・・。
無線が落ちる？バグっぽい？

何故か3つ目のSSID(VAP:2)を追加した後から5GHzで喋らなくなってしまいますね。

(  Д ) ﾟ ﾟ

 

WAP150 experience problem when VAP is added

(つд⊂)ｺﾞｼｺﾞｼ

(  Д ) ﾟ ﾟ

(ﾟДﾟ)ﾊｧ?

3つ以上SSID追加すると無線が使えなくなる不具合とでも！？orz

バグ踏んだかなー。

とりあえずSSID(VAP)を無効化しておけば大丈夫みたいだけど、これは参った。

WAP150ってまだそんな利用されてなさそうだから情報が少なくて参った。

てかやっぱバグだわ。

Cisco Bug: CSCvb89458 – Enh.: WAP150: when 3 SSIDs are enabled then WAP stops broadcasting

ちなみにそういえば、WAP150のファームウェアはCisco.comのアカウントだけでダウンロードできるみたいですね。
おまけ情報です。

なお、今のファームウェアは「1.0.1.7」ですが、改善してませんね。これ。

【バックナンバー】

• 無線強化プロジェクト2nd Season – 1 –
• 無線強化プロジェクト2nd Season – 2 –
• 無線強化プロジェクト2nd Season – 3 –
• 無線強化プロジェクト2nd Season – 4 –

ではでは。またの機会に。

■WAP150のファームウェアを1.0.1.2→1.0.1.7に。
大きな修正はなし？ヘルプの日本語対応や日本語ローカル問題対応の模様。

■ADのNPSでRADIUSでMACアドレス認証したい。
→ユーザ名/パスワードがMACアドレスのユーザをつくならないとダメ。
→パスワードポリシーを変えて複雑性を無効にしないとダメ。
→Default Domain Policyは触りたくない。変にログオンできるアカウントを作るのもの嫌だ
→できたらOU分けたい
→パスワードのポリシーはGPOで編集してもダメ。(ドメインにつき1つまで)
　　　　　→ADSIエディタでPSOを作って当てる方法があるけどうまく行ってない。←いまここ

参考１：これだけは知っておきたい，Windows Server 2008 – Windows Server 2008 のきめ細かなパスワ

参考２：

きめ細かいパスワードポリシー（PSO）の実装～その１～

※ADSIエディタでPSO作成時に”(なし)”を設定すること！！！上記サイトが非常に参考になった。

参考３：はまってる人たち→https://social.technet.microsoft.com/Forums/office/en-US/40d3db31-0b1c-47ff-b0ac-604f285dd980/granular-password-setting-error?forum=winserverDS

参考４：各値の条件https://technet.microsoft.com/en-us/library/cc754461%28WS.10%29.aspx?f=255&MSPPError=-2147217396

— 2017/01/08 追記
解決。DNを間違ってた。ちゃんとdsqueryとかで確認しておきましょうorz
ただウィーザード乗りれば後で普通にAD上で検索して追加できるっぽい。やっぱりOUはダメっぽいか。
あと、参考3,4にもありますが、「msDS-MaximumPasswordAge」が曲者です。(なし)や0ではダメで、無期限は「-9223372036854775808」の模様。
この時「msDS-MinimumPasswordAge」は0にしています。

 

確認ポイント：
WAPのオンラインヘルプだとRADIUSでMAC認証する時のパスワードは「NOPASSWORD」になってる。これは文字列として「NOPASSWORD」を設定するのかパスワードはなしなのか・・・。
WLCではパスワードもMACアドレスを指定するらしい。

確認ポイント：
msDS-PSOAppliesToにOUは設定できないのか？セキュリティグループだけ？
→なら最初にユーザ作った段階では一旦複雑なパスワードにして、グループ追加後に変えればいいのか？

確認ポイント：
アカウントのダイヤルインの設定は本当に必要か？

確認ポイント：
本当にこんなやり方なのか・・・・？

日々是検証。

ども。こんにちは。

引き続きWAP150(Cisco Start Wireless Access Point)を設定していきます。

いよいよ無線の設定です。

無線は2.4GHzと5GHzそれぞれに行います。

■ワイヤレス設定
・2.4GHzのチャネルを20/40MHzに変更

・5GHzはそのまま

・不正AP検出
面白そうななので有効にしてみる。
自分の家のAPをTrustにしてみた。

・ネットワーク設定
SSIDやVLANとか。

ここまでできたのでとりあえず接続してみる。

が、認証が通らない。ADのIASまでは行っているっぽいんだけど、認証通らないなぁ。

切り分けの結果、前回設定したIAS側のポリシーの問題でした。

↓これNAS IPv4アドレス複数追加したらダメっぽい。

パターンマッチがつけるようなので「|(パイプ)」でつなげてみる。
RADIUSクライアント複数の場合のNPSのNAS IPv4アドレスってみんなどうやって設定しているんだろうか・・・。

お、行けた行けた！

試しに速度をちょっと計測。
※RBBのアプリで計測しています。

・AP1142N(802.11nで15pMbpsリンク)

・WAP150(802.11acで390Mbpsリンク)
 　おーはえー。やっぱりACだわ！

・おまけ、バッファローのAC対応

さて、この辺でほぼAP1142Nからのリプレース準備ができました。

後はTrunkポートに接続するための準備としてVLANの設定を正しく行います。

・管理VLANとネイティブVLAN
両方123にしています。ここ以前のAPのときから自身ないです。。

・SSID側のVLANID

対抗側スイッチのポート設定はこんな感じ。(AP1142Nの時と一緒)

interface GigabitEthernet1/0/18

description hogehoge
switchport trunk encapsulation dot1q
switchport trunk native vlan 123
switchport trunk allowed vlan 123,200,201
switchport mode trunk

end

とりあえず一旦完了で、ここから色々試しながら微調整ですね。

RADIUS周りでちょっとつまりましたが、思ったよりすっとできました！

ただ、こいつSSIDの設定とか追加すると全部の無線が一旦切れるけど、AP1142Nのときもこうだったかな。。。

まぁいいや。

【バックナンバー】

• 無線強化プロジェクト2nd Season – 1 –
• 無線強化プロジェクト2nd Season – 2 –
• 無線強化プロジェクト2nd Season – 3 –

ではでは。またの機会に。

ども。こんにちは。

引き続きWAP150(Cisco Start Wireless Access Point)を設定していきます。

今日は・・・画面のメニューに従い一通りの設定を入れていきます。

■管理設定
・ホスト名の変更

・管理者アカウントの変更
※デフォルトciscoアカウントを変更

・SYSLOG転送

SYSLOGこんな感じ

Jan  2 15:34:23 x.x.x.x dman[1301]: The AP startup configuration was updated successfully.

・電子メールアラートの設定
暗号化なしなので「開く」にしている。(Openのことか？！)

・テストメール

■LAN設定
・グリーンイーサネットモードの無効化

■ワイヤレス設定
・一旦後回し

■システムセキュリティ
・RADIUSサーバ設定

・Windows ServerのNPS設定変更

・ポリシーも変更

■サービス品質
・これはとりあえず無しかな

■ACL
・あとで確認かな。

■SNMP
・コミュニティとか設定

・トラップこんな感じ(うちはTrapをメール転送しています。)

Host: hogehoge (UDP: [x.x.x.x]:59015)
DISMAN-EVENT-MIB::sysUpTimeInstance  0:0:00:00.62
         SNMPv2-MIB::snmpTrapOID.0  SNMPv2-MIB::coldStart
  SNMPv2-MIB::snmpTrapEnterprise.0  NET-SNMP-TC::linux

一旦ここでバックアップ取得。

次回はいよいよ無線の設定を行います。

【バックナンバー】

• 無線強化プロジェクト2nd Season – 1 –
• 無線強化プロジェクト2nd Season – 2 –

ではでは。またの機会に。

ども。こんばんは。

早速WAP150を設定していきます。

改めてWAP150はCisco StartシリーズのWireless Access Point。
安価に802.11acにも対応する無線APです。

ところがこいつはシリアルコンソールがありません。

付属のスタートアップガイドによると・・・

・LAN側はDHCPになっている
→DHCPでIPアドレスを振ってデフォルトパスワードcisco/ciscoで設定する

・セットアップ用のSSIDを最初から喋っている
→SSIDは「CiscoSB-Setup」でキーは「cisco123」
※一回だけアクセスが許可されるらしい。

DHCPで〜というのもありきたりなので今回は最初から無線で接続して初期設定をしてみます。

・・・早速クイックスタートガイドと違うorz

多分設定用のSSIDは「CiscoSB-Setup」じゃなくて「ciscosb」ですね。

お、LED青になるのにつながらない。。。一回初期化しますorz

初期化はRESETを10秒。

あ、CiscoSB-Setupでてきた。

どうやら出品者の方一回繋いでたみたいですね。

さて、デフォルトIPは「192.168.1.245」ですので繋いでみます。
ナチュラルに日本語対応なのね。

ユーザ名(ID)、パスワード(PW)は「cisco/cisco」です。
ウィザードが走りました。とりあえずウィザードを進めてみます。

IPとか振ります。

噂のクラスタ！でも今回はクラスタは組まないので・・・

タイムゾーン、NTP。よしなに。

パスワード。
デフォルトだと英数字に記号も必要なので「パスワードの複雑性」は外しました。

ここからSSIDの設定。2.4GHzと5GHz。
お「ciscosb」はこの値か！
ここはどうせ後で変えるので流しますが、まぁ普通のセキュリティ設定(WPAとか)、キーとか。

キャプティブポータル。

最後にサマリが出て完了。
※完了すると、「CiscoSB-Setup」は見えなくなります。

さて、とりあえずこれで有線に接続して残りの設定を進めます。

とりあえずファームウェアは「1.0.1.2」みたいですね。

設定前に気になることが。

CLI(Telnet/SSH)はどうなっているのか？

・・・なくね？設定なくね？

WAP121とWAP321には設定あるっぽい。

参考：Enable Telnet/SSH on the WAP121 and WAP321 Access Point

まぁなくてもいいんだけど、なんか寂しいですね。
※一応UIの言語を英語にしてみましたが、変わらず。

じゃぁConfig(設定ファイル)上はどうなっているのか？

設定ファイル(Config)は、Web-UIからダウンロードできました。

お、ConfigはXMLだ。おっしゃれ～。

で、ConfigにはTELNET/SSHらしき項目ありますね。

うーん。downとやらに設定されている。どっかに設定あるかしら。

<ssh>
<dss-host-key>hogehoge</dss-host-key>
<rsa-host-key>mogamoga</rsa-host-key>
<status>down</status>
</ssh>

(略)

<telnet>
<status>down</status>
</telnet>

ここまでわかればやってみたくなりますね。

てことで、ステータスを「up」にして読み込ませてみました。

<ssh>
<dss-host-key>hogehoge</dss-host-key>
<rsa-host-key>mogamoga</rsa-host-key>
<status>up</status>
</ssh>

(略)

<telnet>
<status>up</status>
</telnet>

アップロードしてみます。

 

再起動中。

うーん。ダメっぽかな。

まあCLIはおいおい調べていきましょうか。

次回は、VLANやRADIUSをやりたいですね。

【バックナンバー】
無線強化プロジェクト2nd Season – 1 –

ではでは。またの機会に。

ども、こんばんは。

新年一発目から無線ネタ。

なんと、まだ発売されて間もない、WAP150を買いました！

Cisco WAP150 Wireless-AC/N デュアル無線アクセスポイント（PoE 対応）

型番は「WAP150-J-K9-JP V01」

Cisco StartシリーズのAPです。
安価でコンパクトながら、AC対応！

もちろんWPAエンタープライズなどもサポートします。

参考：シスコ、1万円台の無線LAN APなど、「Cisco Start」のラインナップを拡充

今回は、ヤフオクで開封済み未使用品を¥15,800で購入。
2016/12/31 大晦日の夕方に来ました笑

今のAPはAironetのAP1142Nで、大きく不満はないのですが、やっぱり、AC未対応なのもちょっとイケてないのでこいつにリプレースします！

まずは開封から！

箱の時点でも小さい！

中身もシンプル。本体とACケーブル、簡易なマニュアルとLANケーブルが1本
※PoE対応ですがちゃんとAC同梱されています。

大きさこんな感じ。わかりづらいけど。。。

AP1142と比べると二回りくらい小さい？厚みはWAP150のほうがあるな。

背面。お、シリアルコンソールはないのか。
スイッチがちょっとちゃちいですね笑

次回から初期設定をしていきます！

【過去の無線強化プロジェクトはこちら】

無線強化プロジェクト – 1 –

無線強化プロジェクト – 2 –

無線強化プロジェクト – 3 –

無線強化プロジェクト – 4 –

無線強化プロジェクト – 5 –

無線強化プロジェクト – 6 –

無線強化プロジェクト – 7 –

無線強化プロジェクト – 8 –

ではでは。またの機会に。