ども。こんにちは。

MACアドレスをRADIUS(AD上のNPS)でやってみます。

事前準備

・ADにセキュリティグループを追加
・PSOを作るってパスワードを緩める(参考：メモ：あとで書く)
・アカウント名がMACアドレスなユーザを追加

テスト用に新しSSID(VAP)を追加します。

・・・が、ここで問題が。

SSID追加してから全然SSIDが見えない。既存のものも含めて・・・。
無線が落ちる？バグっぽい？

何故か3つ目のSSID(VAP:2)を追加した後から5GHzで喋らなくなってしまいますね。

(  Д ) ﾟ ﾟ

 

WAP150 experience problem when VAP is added

(つд⊂)ｺﾞｼｺﾞｼ

(  Д ) ﾟ ﾟ

(ﾟДﾟ)ﾊｧ?

3つ以上SSID追加すると無線が使えなくなる不具合とでも！？orz

バグ踏んだかなー。

とりあえずSSID(VAP)を無効化しておけば大丈夫みたいだけど、これは参った。

WAP150ってまだそんな利用されてなさそうだから情報が少なくて参った。

てかやっぱバグだわ。

Cisco Bug: CSCvb89458 – Enh.: WAP150: when 3 SSIDs are enabled then WAP stops broadcasting

ちなみにそういえば、WAP150のファームウェアはCisco.comのアカウントだけでダウンロードできるみたいですね。
おまけ情報です。

なお、今のファームウェアは「1.0.1.7」ですが、改善してませんね。これ。

【バックナンバー】

• 無線強化プロジェクト2nd Season – 1 –
• 無線強化プロジェクト2nd Season – 2 –
• 無線強化プロジェクト2nd Season – 3 –
• 無線強化プロジェクト2nd Season – 4 –

ではでは。またの機会に。

■WAP150のファームウェアを1.0.1.2→1.0.1.7に。
大きな修正はなし？ヘルプの日本語対応や日本語ローカル問題対応の模様。

■ADのNPSでRADIUSでMACアドレス認証したい。
→ユーザ名/パスワードがMACアドレスのユーザをつくならないとダメ。
→パスワードポリシーを変えて複雑性を無効にしないとダメ。
→Default Domain Policyは触りたくない。変にログオンできるアカウントを作るのもの嫌だ
→できたらOU分けたい
→パスワードのポリシーはGPOで編集してもダメ。(ドメインにつき1つまで)
　　　　　→ADSIエディタでPSOを作って当てる方法があるけどうまく行ってない。←いまここ

参考１：これだけは知っておきたい，Windows Server 2008 – Windows Server 2008 のきめ細かなパスワ

参考２：

きめ細かいパスワードポリシー（PSO）の実装～その１～

※ADSIエディタでPSO作成時に”(なし)”を設定すること！！！上記サイトが非常に参考になった。

参考３：はまってる人たち→https://social.technet.microsoft.com/Forums/office/en-US/40d3db31-0b1c-47ff-b0ac-604f285dd980/granular-password-setting-error?forum=winserverDS

参考４：各値の条件https://technet.microsoft.com/en-us/library/cc754461%28WS.10%29.aspx?f=255&MSPPError=-2147217396

— 2017/01/08 追記
解決。DNを間違ってた。ちゃんとdsqueryとかで確認しておきましょうorz
ただウィーザード乗りれば後で普通にAD上で検索して追加できるっぽい。やっぱりOUはダメっぽいか。
あと、参考3,4にもありますが、「msDS-MaximumPasswordAge」が曲者です。(なし)や0ではダメで、無期限は「-9223372036854775808」の模様。
この時「msDS-MinimumPasswordAge」は0にしています。

 

確認ポイント：
WAPのオンラインヘルプだとRADIUSでMAC認証する時のパスワードは「NOPASSWORD」になってる。これは文字列として「NOPASSWORD」を設定するのかパスワードはなしなのか・・・。
WLCではパスワードもMACアドレスを指定するらしい。

確認ポイント：
msDS-PSOAppliesToにOUは設定できないのか？セキュリティグループだけ？
→なら最初にユーザ作った段階では一旦複雑なパスワードにして、グループ追加後に変えればいいのか？

確認ポイント：
アカウントのダイヤルインの設定は本当に必要か？

確認ポイント：
本当にこんなやり方なのか・・・・？

日々是検証。

ども。こんにちは。

引き続きWAP150(Cisco Start Wireless Access Point)を設定していきます。

いよいよ無線の設定です。

無線は2.4GHzと5GHzそれぞれに行います。

■ワイヤレス設定
・2.4GHzのチャネルを20/40MHzに変更

・5GHzはそのまま

・不正AP検出
面白そうななので有効にしてみる。
自分の家のAPをTrustにしてみた。

・ネットワーク設定
SSIDやVLANとか。

ここまでできたのでとりあえず接続してみる。

が、認証が通らない。ADのIASまでは行っているっぽいんだけど、認証通らないなぁ。

切り分けの結果、前回設定したIAS側のポリシーの問題でした。

↓これNAS IPv4アドレス複数追加したらダメっぽい。

パターンマッチがつけるようなので「|(パイプ)」でつなげてみる。
RADIUSクライアント複数の場合のNPSのNAS IPv4アドレスってみんなどうやって設定しているんだろうか・・・。

お、行けた行けた！

試しに速度をちょっと計測。
※RBBのアプリで計測しています。

・AP1142N(802.11nで15pMbpsリンク)

・WAP150(802.11acで390Mbpsリンク)
 　おーはえー。やっぱりACだわ！

・おまけ、バッファローのAC対応

さて、この辺でほぼAP1142Nからのリプレース準備ができました。

後はTrunkポートに接続するための準備としてVLANの設定を正しく行います。

・管理VLANとネイティブVLAN
両方123にしています。ここ以前のAPのときから自身ないです。。

・SSID側のVLANID

対抗側スイッチのポート設定はこんな感じ。(AP1142Nの時と一緒)

interface GigabitEthernet1/0/18

description hogehoge
switchport trunk encapsulation dot1q
switchport trunk native vlan 123
switchport trunk allowed vlan 123,200,201
switchport mode trunk

end

とりあえず一旦完了で、ここから色々試しながら微調整ですね。

RADIUS周りでちょっとつまりましたが、思ったよりすっとできました！

ただ、こいつSSIDの設定とか追加すると全部の無線が一旦切れるけど、AP1142Nのときもこうだったかな。。。

まぁいいや。

【バックナンバー】

• 無線強化プロジェクト2nd Season – 1 –
• 無線強化プロジェクト2nd Season – 2 –
• 無線強化プロジェクト2nd Season – 3 –

ではでは。またの機会に。