このソリューションについてこのガイドは Cisco Identity Services Engine(ISE) とワイヤレステクノロジーを使用したシスコのゲストアクセスソリューションをデモンストレーションする際に役立ちます ISE 2.2 ではすべてのゲストフローで Apple のミニブラウザ

(1)

Cisco dCloud

Cisco ISE 2.2 ゲストアクセス管理 v1

最終更新日：2017 年 8 月 04 日

このデモンストレーションについて

この事前設定済みデモンストレーションのガイドには、次の内容が含まれています。

 要件



 このソリューションについて

 トポロジ

 はじめに

 シナリオ 1：ホットスポットを使用したゲスト向けインターネットアクセス

 シナリオ 2：スポンサー承認による登録型ゲストアクセス

 シナリオ 3：スポンサー承認型ゲストアクセス



要件



次の表に、本デモンストレーションに必要な要件の概要を示します。



表 1. 要件

 必須

推奨エンドポイントルータ

  エンドポイントルータ（dCloud に登録および設定済みのもの）

モニタリングワークステーション

 AnyConnect 搭載のラップトップ



ユーザデバイス

  タブレットまたはスマートフォン

 その他のラップトップ



オプション



サポート対象のエンドポイントルータ/AP

 ルータ（dCloud に登録し、設定済みのもの）

 Cisco Aironet シリーズアクセスポイント（3000、2700、2000、

1000 シリーズ）



注：このデモンストレーションにはエンドユーザデバイスが 2 台以上必要です。1 台はバックエンドコンポーネントへの接続と監視に使用し、

それ以外に少なとも 1 台のデバイスを実際のオンボーディングに使用します。たとえば、デモンストレーションでラップトップのオンボーディングを行う予定の場合、ラップトップが 2 台必要です。1 台のラップトップは、RDP で dCloud Workstation1 にアクセスして ISE UI やその他のデモ機能を示すために使用します。2 台目のラップトップはホットスポットやゲストネットワークへの参加のデモを行うために使用します。

注：AP および実際のクライアントエンドポイントデバイスを使用しないでゲストのデモンストレーションをする場合。AP やクライアントエンドポイントを使用せずにゲストフローを実行することも可能です。その場合、関連するゲストポータルのポータルテスト URL を使用します。これについては各セクションでも説明します。ただし、最適なユーザエクスペリエンスによるデモンストレーションを実施するには、実際のクライアントと AP を使用することをお勧めします。RADIUS Live Log とゲストレポートは、RADIUS セッションが実際にはないため、情報が制限されます。

実際のクライアントをリダイレクトするにはワイヤレスセッションが必要なため、静的 URL、または元の URL に正常なフローは送信されません。

(2)

Cisco dCloud

このソリューションについて

このガイドは、Cisco Identity Services Engine（ISE）とワイヤレステクノロジーを使用した、シスコのゲストアクセスソリューションをデモンストレーションする際に役立ちます。

ISE 2.2 では、すべてのゲストフローで Apple のミニブラウザ（Captive Network Assistant）をサポートします。ミニブラウザは、BYOD フローでもサポートされます（既知の問題がいくつかあります）。

ゲストフローや BYOD フローでミニブラウザを検討する場合は、以下を推奨しています。

 dCloud ホットスポットネットワークでは、WLC でキャプティブポータルのバイパスを無効にして、ブラウザが自動的にポップアップ

するようにします。



 dcloud-guest ネットワーク（登録型シナリオ、スポンサー承認型ゲストシナリオ、BYOD シナリオで使用）で、キャプティブポータル

のバイパスを有効にします。これでミニブラウザのポップアップが抑止されます。また、ゲストでない人がデバイスのオンボーディングをしようとしても、フローを正常に完了できなくなります。

ミニブラウザを使用してクレデンシャルを付与されたゲストのフローを示したい場合は、次のリンク先にあるコマンドを使用して、dcloud- guest ネットワークでキャプティブポータルのバイパスを無効にします。

注：BYOD シナリオを使用することにした場合は、この設定を保存する必要があることに留意してください。

WLAN ごとの Captive Network Assistant のバイパス設定（GUI）[英語]

WLAN ごとの Captive Network Assistant のバイパス設定（CLI）[英語]

サポートの詳細については、次を参照してください。

ISE 2.2 Apple CNA（Captive Network Assistant）ミニブラウザ（BYOD/ゲスト用）[英語]

ISE BYOD 向け Apple CNA（ミニブラウザ）対応 [英語]

Apple Captive Network Assistant（CNA）ブラウザを使用したデュアル SSID BYOD - ISE 2.2 [英語]

注：ISE でリダイレクトフローの問題があれば、次のリンクを確認してください。

https://communities.cisco.com/community/technology/security/pa/ise/blog/2017/07/07/apple-ios-103-and-ise-web-redirection [英語]

(3)

Cisco dCloud

トポロジ

このコンテンツには、スクリプト形式のシナリオと、ソリューションの機能を実例で示すために事前設定されたユーザとコンポーネントが含まれています。コンポーネントのほとんどは、管理ユーザアカウントを使用して任意の設定が可能です。コンポーネントへのアクセスに使用する IP アドレスとユーザアカウントクレデンシャルは、アクティブセッションの [トポロジ（Topology）] メニューのコンポーネントアイコンをクリックするか、それらを必要とするシナリオ内の手順を調べることで確認できます。

図 1. dCloud のトポロジ

表 2. デモサーバとクレデンシャル

デバイス IP アドレス アクセス方式ユーザ名パスワード

Prime Infrastructure 198.18.133.65 Workstation1 ブラウザ root C1sco12345

vWLC プライベート：198.19.11.10 Workstation1 ブラウザ

Workstation1 198.18.133.36 WebRDP または AnyConnect administrator C1sco12345

Exchange Server 198.18.133.2 WebRDP または AnyConnect administrator C1sco12345

AD1 198.18.133.1 WebRDP または AnyConnect administrator C1sco12345

Portals 198.18.133.110 Putty linuxuser C1sco12345

ISE 198.18.133.27 Workstation1 ブラウザ admin C1sco12345

helpdesk_user

CSR 198.18.133.212 WebRDP または AnyConnect security_admin セッション ID

セッションオーナー名

(4)

Cisco dCloud

表 3. 利用可能なポータル

シナリオ/業種メインポータルの URL スポンサーポータルの URL

デフォルト/dCloud なし http://sponsor.dcloud.cisco.com

医療 http://health.dcloud.cisco.com http://sponsor-health.dcloud.cisco.com

教育 http://edu.dcloud.cisco.com http://sponsor-edu.dcloud.cisco.com

連邦政府 http://federal.dcloud.cisco.com http://sponsor-fed.dcloud.cisco.com

企業 http://corp.dcloud.cisco.com http://sponsor-corp.dcloud.cisco.com

表 4. クレデンシャルとアクセスレベル

シナリオ/業種ユーザ名パスワードアクセスレベル

医療 doctor C1sco12345 Tier 1 - フルアクセス

医療 nurse C1sco12345 Tier 2 - 制限付きアクセス

教育 dean C1sco12345 Tier 1 - フルアクセス

教育 professor C1sco12345 Tier 2 - 制限付きアクセス

連邦政府 captain C1sco12345 Tier 1 - フルアクセス連邦政府 officer C1sco12345 Tier 2 - 制限付きアクセス

企業 manager C1sco12345 Tier 1 - フルアクセス

企業 employee C1sco12345 Tier 2 - 制限付きアクセス

(5)

Cisco dCloud

はじめに

プレゼンテーションの前に

Cisco dCloud では、実際の対象者の前でプレゼンテーションを行う前に、アクティブなセッションを使用して、このドキュメントのタスクを実施しておくことを強く推奨します。そうすることで、ドキュメントとコンテンツの構成に慣れることができます。

場合によっては、環境を元の構成にリセットするため、このガイドに従った後に新しいセッションをスケジュールする必要があります。

プレゼンテーションを成功させるためには、入念な準備が不可欠です。

次の手順に従ってコンテンツのセッションをスケジュールし、プレゼンテーション環境を設定します。

1. dCloud セッションを開始します。[手順を見る]

注：セッションがアクティブになるまで最長で 10 分かかることがあります。

2. 最適なパフォーマンスを得るために、Cisco AnyConnect VPN [手順を見る] およびラップトップのローカル RDP クライアント[手順を見る] を使用してワークステーションに接続します。

 Workstation 1：198.18.133.36、ユーザ名：administrator、パスワード：C1sco12345

注：Cisco dCloud リモートデスクトップクライアントを使用してワークステーションに接続することもできます [手順を見る] 。dCloud リモートデスクトップクライアントは、最小限の操作でアクティブセッションにアクセスする場合に最適です。ただし、この方法には、接続ができない場合や、パフォーマンスが悪い場合があります。

3. Workstation1 で Firefox を開きます。ホームページが http://topo.dcloud.cisco.com に設定されており、トポロジと、バックエンドデ モコンポーネントへのリンクを表示できます。トポロジ画面に戻る必要がある場合は、Firefox の [ホーム] ボタンをクリックします。

4. Workstation1 から、デモのワイヤレスコントローラ（WLC）で自分の居住国が有効になっていることを確認します。[手順を見る] [英語]

注：このデモの WLC ログインにはセッション固有のクレデンシャルが必要です。ユーザ名は dCloud UI へのログインに使用する名前で、

パスワードはセッション ID です。この情報は、アクティブなデモの [セッション詳細（Session Details）] セクションから入手できます。

dcloud という一般的なユーザ名も示され、必要に応じて一意のセッション ID をパスワードとして使用できます。

図 2. WLC1 のログインクレデンシャル

5. 3000、2000、または 1000 シリーズの AP をプロビジョニング [手順を見る] するか、819W ルータに統合された AP をプロビジョニング [手順を見る] します。

(6)

Cisco dCloud

注：エンドポイントルータを使用している場合、この手順は一度で完了します。これは、上記のデモを使用する際に推奨される方法です。エンドポイントルータを使用しない場合、新しいデモをスケジュールするたびに、新しいデモの WLC IP アドレスを使って AP を再プロビジョニングする必要があります。

6. 右上の [詳細設定（Advanced）] をクリックします。

7. FlexConnect モードで AP を設定します。

a. WLC で、メニューバーの [ワイヤレス（WIRELESS）] をクリックします。

b. AP をクリックします。

図 3. WLC の [ワイヤレス（Wireless）] タブに表示されるエンドポイント AP

a. [一般（General）] タブをクリックします。

b. [AP モード（AP Mode）] が [FlexConnect] に設定されていることを確認し、[適用（Apply）] をクリックします。

(7)

Cisco dCloud

図 4. [AP モード（AP Mode）] - [FlexConnect]

注：AP が FlexConnect モードに設定されていない場合、AP がコントローラに正常に登録されていても、ブロードキャストされている SSID は表示されません。

8. AP が使用可能であることを確認します。[手順を見る]

 これで、AP を経由して Workstation1 に接続することができます。[手順を見る] [英語]

9. デモンストレーションの場所によっては、追加のデモンストレーション準備が必要になる場合があります。

 シスコオフィスでデモンストレーションを行う場合は、追加のデモンストレーション準備が必要です。[手順を見る]

 顧客サイトでデモンストレーションを行う場合は、追加のデモンストレーション準備が必要です。[手順を見る]



(8)

Cisco dCloud

シナリオ 1. ホットスポットを使用したゲスト向けインターネットアクセス

このシナリオでは、BYOD オンボーディングやスポンサー承認型ゲストアクセス、自己登録型ゲストアクセスなどの複雑な手順をゲストに行わせることなく、インターネット専用アクセスを付与します。たとえば、カフェやホテルは、顧客が登録を行わずにホットスポットのインターネットアクセスを利用できることが望ましいと考える場合があります。Cisco ISE にはホットスポットゲストアクセスポータルが備わっています。このポータルを使用すれば、ゲスト向けインターネットアクセスの取得プロセスを簡略化できます。このシナリオでは、エンドユーザデバイスでホットスポットのワイヤレスネットワークに参加し、デバイスからインターネットにアクセスできることと、表 3「利用可能なポータル」

にリストされている主要業種ポータルページにもアクセスできることをデモンストレーションします。

手順

インターネットホットスポットへのアクセス

1. デモンストレーションで使用する各個人用ユーザ BYOD デバイスの設定を消去します。デバイスの設定が消去されていないと、

必要な時にゲストポータルやその他のページにリダイレクトされない場合があります。

a. Web キャッシュを消去します。[手順を見る]

b. 個人デバイスの設定を消去します。[手順を見る] [英語]

注：『Cisco ISE 2.2 Device On-Boarding and Management [Americas（英語）]（Cisco ISE 2.2 デバイスのオンボーディングおよび管理 [南・北・中央アメリカ]）』デモンストレーションガイドがすでに完了している場合は手順 2 ～ 10 を実行します。このガイドを実行していない場合は、手順 11 に進みます。

2. Workstation1 で Firefox を開き、ISE（https://ise.dcloud.cisco.com）にログインします。ログインするには、admin/C1sco12345 のユーザ ID とパスワードを使用し、次のいずれかの方法でアクセスします。

 アドレスバーに URL を手入力する。

  トポロジツールバーの [ISE] アイコンをクリックする。

  ブックマークツールバーの ISE のブックマークをクリックする。

2. [コンテキスト可視化（Context Visibility）] > [エンドポイント（Endpoints）] に移動します。

3. すべてのエンドポイントにチェックをつけて削除します。

注：エンドポイントの削除中に問題が発生した場合は、ブラウザのキャッシをクリアしてから再度実行してください。

図 5. ISE からのエンドポイントの削除

(9)

Cisco dCloud

3. Workstation1 から、以下のいずれかの方法で、新しいタブの WLC ログインページ（http://wlc1.dcloud.cisco.com）にアクセスし ます。

  ブックマークツールバーから WLC1 のブックマークをクリックする。

  ブラウザのホームボタンをクリックしてトポロジ図に戻り、vWLC をクリックする。



4. デモンストレーション準備でエンドポイントのプロビジョニングに使用したものと同じデバイス固有のクレデンシャルを使用して、vWLC にログインします。

5. [詳細設定（Advanced）] をクリックします。

6. 上部のメニューバーで [モニタ（MONITOR）] をクリックします。

7. 左側のリストで [クライアント（Clients）] をクリックします。

8. 以前、ホットスポットに参加したすべてのクライアントが表示されます。右にスクロールしてドロップダウン矢印の上にマウスを移動し、

展開されたら、[削除（Remove）] をクリックします。

図 6. WLC からのクライアントの削除

AP および実際のクライアントエンドポイントデバイスを使用しないゲストのデモンストレーション

注：AP やクライアントエンドポイントを使用せずにゲストフローを実行することは可能です。その場合、関連するゲストポータルのポータルテスト URL を使用します。ただし、最適なデモンストレーションとユーザエクスペリエンスを確保するには、実際のクライアントと AP を使用することをお勧めします。RADIUS セッションが実際にはないため、RADIUS Live Log とゲストレポートの内容が制約されることに注意してください。また、実際のクライアントをリダイレクトするにはワイヤレスセッションが必要なため、静的 URL（または元の URL）に正常なフローは送信されないことにも注意してください。

a) モニタリングマシンのブラウザまたは dCloud ワークステーションを使用して ISE ポータルにアクセスします。

b) [ワークセンター（Work Centers）] > [ゲストアクセス（Guest Access）] > [ポータル & コンポーネント（Portals & Components）] に移動します。

c) 任意のホットスポットポータルをクリックします（業種ごとのカスタマイズ要件によって異なる）。

d) ポータルテスト URL リンクをクリックします。別のウィンドウでポータルが開きます。

(10)

Cisco dCloud

e) 次の手順を使用することで、実際のデバイスに適用される情報を省略して、ここから短縮版のホットスポットフローを実施できます。情報の一部は適用されないことに注意してください。レポート情報も制限されます。フルアクセス権を持つマシンからポータルを使用するため、ネットワークリソースへのアクセス制限のデモンストレーションもできません。シミュレートされたフローであるため、アクセス制御は適用されません。

9. 個人用ユーザ BYOD デバイスをオープンなネットワーク SSID（dCloud-Hotspot）に接続します。

注：デモンストレーションでは、全体を通して特定の dCloud WiFi に接続します。ここではそれらの SSID を汎用名で示していますが、そのすべてに固有のセッション ID が追加されます（dCloud-Hotspot-123456 など）。

10. ブラウザが自動的に開かない場合は、ユーザデバイスでサポートされている組み込みの Web ブラウザを開き、HTTP を使用して任意の Web ページに移動します。

注：Android を使用している場合にブラウザの自動起動に問題があれば、手動で Chrome を起動してください。

 サポートされている Web ブラウザ：Apple デバイス（Safari）、Windows デバイス（IE/EDGE）、Android デバイス（Chrome）

注：ブラウザを開く際は、HTTP を使用してページにアクセスしてください。HTTPS を使用してアクセスした場合は、ホットスポットポータルにリダイレクトされません。これは HTTPS リダイレクションを処理する WLC に関する既知の問題です。

(11)

Cisco dCloud

11. セキュリティウィンドウがポップアップされた場合は、[続行（Continue）] をクリックします。dCloud ホットスポットポータルにリダイレクトされます。アクセプタブルユースポリシーが表示され、必要なアクセスコードが求められます。

図 7. dCloud ホットスポットポータル

注：ホットスポットのアクセスコードの要求は、ISE のオプション設定です。コードの入力を必要としない完全にオープンなインターネットホットスポットアクセスを望む組織もあれば、アクセスコードを要求する基本セキュリティを望む組織もあります。アクセスコードは、ホットスポット、自己登録、およびクレデンシャルによるログインページで使用できます。アクセスコードは、通りすがりの人が登録プロセスを実行して、

所有者の同意なしにサービスを利用しないように、ゲストネットワークを保護するために使用されます。通りすがりの人とは、たとえば、駐車場や同じビルの別のテナントのオフィスにいる第三者です。これは WPA-PSK SSID の代替手段となります。ISE は柔軟性が高く、お客様の要件に応じていずれかの導入向けに設定できます。

12. アクセスコード（Access Code）] に「dcloud」と入力し、[同意（Accept）] をクリックします。このアクセスコードは大文字と小文字を区別します。

(12)

Cisco dCloud

13. アクセプタブルユースポリシーに同意したら、ISE はエンドポイントデバイスをネットワークから再認証する COA を送信します。デバイスが自動的に再接続して http://www.cisco.com にリダイレクトされ、ログインクレデンシャルを入力しなくてもインターネットアクセスが可能になることが示されます。これには最大で 30 秒程度かかる場合があります。

14. 選択したシナリオ（医療、教育、連邦政府または企業）に対応するメインポータルの URL（表 3「利用可能なポータル」を参照）に移動します。セキュリティ警告が表示されたら [続行（Continue）] をクリックします。

15. [一般リソース（General Resources）] を選択すると、ユーザが一般のリソースページへアクセスできることが示されます。

16. [内部リソース（Internal Resources）] または [自分の登録済みデバイス（My Registered Devices）] を選択すると、ユーザはこれらのページにはアクセスできないことが示されます。

図 8. dCloud Healthcare Connections Center：http://health.dcloud.cisco.com [英語]

ISE での基本的なホットスポットフローのデモンストレーション

デバイスはホットスポットに正常に接続され、インターネットアクセスが許可されました。

次に、ISE UI を使用して、以下の基本機能のデモンストレーションを行います。

 デバイスの動的なプロファイリング

  適切な認可プロファイルの適用



 ゲスト向けインターネットアクセスの動的許可



  トポロジツールバーの [ISE] アイコンをクリックする。

  ブックマークツールバーの ISE のブックマークをクリックする。

(13)

Cisco dCloud

図 9 デモ用トポロジホームページ（http://topo.dcloud.cisco.com）

2. [操作（Operations）] メニューにマウスポインタを移動し、[RADIUS] > [Livelog] をクリックします。この画面では、ISE で行われた最新の認証と認可が表示されます。

注：この例では、MacBook がホットスポットに参加しています。

デバイスが最初に dCloud ホットスポット SSID に参加すると、MAB（MAC 認証バイパス）を使用して認証し、ISE が HOTSPOT_REDIRECT プロファイルを WLC に返します。

これにより、WLC がすべてのユーザ Web トラフィックを dCloud ホットスポットポータルにリダイレクトすることが示されます。

ISE はデバイスを MacBook として正しくプロファイリングします（このデモンストレーションでは、デバイスタイプに基づくアクセスの差別化

機能については示しません）。

ユーザが正しいアクセスコードを入力し、アクセプタブルユースポリシーに同意すると、ISE から HOTSPOT_ACCESS という名前の 2 つ目のプロファイルが返信されます。このプロファイルにより、WLC に事前設定された ACL の名前が再度プッシュされます。この ACL は、インターネットと基本ポータルへのアクセスのみを許可します。

図 10. ISE はデバイスを MacBook としてプロファイリングし、ホットスポットアクセスを動的に適用

(14)

Cisco dCloud

シナリオ 2. スポンサー承認による自己登録型ゲストアクセス

このシナリオでは、訪問者に対して、ネットワークへの柔軟なゲストアクセスを提供します。組織は、ゲストが自分自身のアカウントを登録できる柔軟性だけでなく、セキュリティの強化と、アカウント要求をスポンサーが承認してからアクセスを許可する仕組みも必要としています。

このタイプのシナリオでは、ゲストアクセス取得のためにユーザはスポンサーが求める情報をモバイルデバイスで入力し、システムは承認を求める電子メールをスポンサーに送信します。スポンサーは ISE のスポンサーポータルにログインし、要求を承認または拒否します。

スポンサーがアカウント要求を承認すると ISE はユーザアカウントを生成し、ゲスト用ログインクレデンシャルを電子メールと SMS テキストメッセージでゲストユーザに送信します。これで、ゲストは各自のクレデンシャルを使用してゲストポータルにログインし、インターネットおよびメインポータルページにアクセスできます。

手順

デバイスのクリーンアップ

注：必ず、以下の指示に従ってください。別のフローをすでに実行しているため、ISE ではデバイスをプロファイリング、認証、認可し、エンドポイントグループに追加しています。次のシナリオを正しく実行するには、ISE と WLC からデバイスを完全に削除し、ローカルデバイス設定を消去することが重要です。

1. デモンストレーションで使用する各個人用の [ユーザ BYOD デバイス（User BYOD Device）] の設定を消去します。デバイスの設定が消去されていないと、必要な時にゲストポータルやその他のページにリダイレクトされない場合があります。

 トポロジツールバーの [ISE] アイコンをクリックする。

 ブックマークツールバーの ISE のブックマークをクリックする。

4. すべてのエンドポイントにチェックをつけ削除します。

(15)

Cisco dCloud

5. Workstation1 から WLC ログインページ（http://wlc1.dcloud.cisco.com）にアクセスします。次のいずれかの方法でアクセスできます。

 アドレスバーにアドレスを手入力する。



 ブックマークツールバーから WLC1 のブックマークをクリックする。



 Firefox のホームボタンをクリックしてトポロジ図に戻り、vWLC をクリックする。



6. デモンストレーション準備の手順 7 で取得したものと同じデバイス固有のクレデンシャルを使用して、vWLC にログインします。

8. [モニタ（MONITOR）] をクリックして、左側にある [クライアント（Clients）] をクリックします。

9. 以前、ホットスポットに参加したすべてのクライアントが表示されます。右にスクロールしてドロップダウン矢印の上にマウスを移動し、展開されたら、[削除（Remove）] をクリックします。

デバイスの自己登録

注：デフォルトでは、スポンサーはすべての自己登録型ゲストアカウントを承認する必要があります。スポンサー承認機能を無効にするには、

「スポンサー承認の無効化」で説明する手順を実行します。スポンサー承認機能を有効のまま続行するには、「ゲスト登録要求の承認」で説明する手順に進みます。

(16)

Cisco dCloud

スポンサー承認の無効化



2. [ワークセンター（Work Centers）] > [ゲストアクセス（Guest Access）] > [ポータル & コンポーネント（Portals & Components）] の順にクリックします。

図 13. [ポータル & コンポーネント（Portals & Components）]

3. リストをスクロールして、シナリオに対応する [自己登録型ゲストポータル（Self Registered Guest Portal）]（教育）を選択します。

4. ポータルをクリックして編集します。

図 14. ゲストポータル

5. [ポータルの動作とフロー設定（Portal Behavior and Flow Settings）] で、[自己登録型ページ設定（Self-Registration Page Settings）]

まで下にスクロールします。

(17)

Cisco dCloud

図 15. [ポータルの動作とフロー設定（Portal Behavior and Flow Settings）]

6. [自己登録型ゲストの承認が必要（Require self-registered guests to be approved）] のチェックボックスを選択解除します。

図 16. ゲスト登録の無効化

注：AP やクライアントエンドポイントを使用せずにゲストフローを実行することは可能です。その場合、関連するゲストポータルのポータルテスト URL を使用します。ただし、最適なデモンストレーションとユーザエクスペリエンスを確保するには、実際のクライアントと AP を使用することをお勧めします。RADIUS セッションが実際にはないため、RADIUS Live Log とゲストレポートの内容が制約されることに注意してください。また、実際のクライアントをリダイレクトするにはワイヤレスセッションが必要なため、静的 URL（または元の URL）に正常なフローは送信されないことにも注意してください。フルアクセス権を持つマシンからポータルを使用するため、ネットワークリソースへのアクセス制限のデモンストレーションもできません。シミュレートされたフローであるため、アクセス制御は適用されません。

c) 対象の自己登録型ポータルをクリックします（ポータルは業種ごとのカスタマイズ要件によって異なります）。

(18)

Cisco dCloud

d）ポータルテスト URL リンクをクリックします。別のウィンドウでポータルが開きます。

e) 次の手順を使用すれば、実際のデバイスに適用される情報を省略して、ここから短縮版の自己登録フローを実施できます。情報の一部は適用されないことに注意してください。レポート情報も制限されます。

7. ユーザデバイスをオープンなワイヤレス SSID（dCloud-Guest）に接続します。

注：デモンストレーションでは、全体を通して特定の dCloud WiFi に接続します。ここではそれらの SSID を汎用名で示していますが、そのすべてに固有のセッション ID が追加されます（dCloud-Guest-123456 など）。

8. ユーザデバイスでサポートされている組み込みの Web ブラウザを開き、任意の Web ページに移動します。dCloud ゲストポータルにリダイレクトされます。

注：ブラウザを開く際は、HTTP を使用してページにアクセスしてください。HTTPS を使用してアクセスした場合は、ホットスポットポータルにリダイレクトされません。これは HTTPS リダイレクションを処理する WLC に関する既知の問題です。

9. [サインオン（Sign On）] ボタンの下にある [アカウントを持っていない（Don’t have an account?）] をクリックします。

図 17. ゲストポータルのログインページ

(19)

Cisco dCloud

10. ゲストアカウントの必要な情報を入力します。以下の指示に従ってください。

 電子メールアドレスには、パブリックにアクセスできる電子メールアカウント、またはこのデモで事前設定されている組み込みの [email protected] アカウントを指定できます。

  電話番号は、SMS 経由でゲストクレデンシャルを送信する実際の電話番号を指定する必要があります。スペースやダッシュなしで、国コード + エリアコード + 電話番号を入力してください。例：15865551234

  スポンサー承認による自己登録を実行しようとしている場合は、[email protected] と入力する必要があります。

注：以下のスクリーンショットおよび手順では、組み込みの [email protected] アカウントおよび電子メールアドレスを使用してゲストのクレデンシャルを取得します。別のパブリック電子メールアドレスを使用する場合は、その電子メールアカウントにログインしてゲストのクレデンシャルを取得する必要があります。どちらの場合も、デモでスポンサーアカウントを使用して OWA にログインし、

ゲスト登録を承認する必要があります（以前のデモでその機能を無効にした場合を除く）。

外部プロバイダーにゲスト通知を送信する場合は、通知が確実に配信される保証はありません。実行する前にテストすることを推奨します。

失敗する場合は、組み込みのサーバを使用してください。

11. [登録（Register）] をクリックします。

図 18. ゲストの自己登録ページ

注：ゲストのクレデンシャルは、ゲストユーザに電子メールと SMS メッセージの両方で送信されます。パブリック電子メールアドレスを使用しない場合は、ゲストのクレデンシャルを通知する電子メールを受信するためのゲストアカウント設定がデモ環境内にあります。クレデンシャルが送信されたら、Microsoft Exchange OWA を使用してゲスト電子メールアカウントにログインし、クレデンシャルを含む電子メールを確認します。電話番号を正しい形式で入力しないと、SMS は受信できません。

12. ゲストの登録要求を送信するとサインインページにメッセージが表示され、サインオンクレデンシャルが記載された電子メールまたは SMS メッセージが送信されたことが通知されます。

注：手順 1 ～ 7 でスポンサー承認を無効にしていない場合は、次の手順でスポンサーがゲストの登録要求を承認するまで、SMS または電子メールは送信されません。スポンサー承認を無効にしている場合は、次のセクションの手順 7 に進むことができます。

(20)

Cisco dCloud

ゲスト登録要求の承認

1. Workstation1 で Firefox を開き、ホームボタンをクリックしてホームページに移動します。

2. [デモデバイス（Demo Devices）] の [Exchange Server] をクリックし、別のウィンドウで Outlook Web App を開きます。

注：Outlook Web App のログインページが表示されるまで約 10 秒ほどかかる場合があります。

図 19. [Exchange Server] アイコンをクリック

3. Outlook Web App にログインします（dcloud\sponsor/C1sco12345）。

図 20. Exchange OW A Web ログインページ

(21)

Cisco dCloud

4. 受信トレイで、ゲスト承認要求の電子メールを開きます。電子メールメッセージの下部にある [承認（approve）] リンクをクリックすると、アカウントがアクティブになります

図 21. スポンサー受信トレイのゲスト承認電子メール

図 22. 承認されたゲストアカウント

5. ゲストユーザクレデンシャルを含む SMS テキストメッセージを受信します。SMS を受信するまで最大 1 分かかる場合があります。

注：このデモ環境では想定されない何らかの理由により、モバイルデバイスで SMS を受信できない場合があります。入力したデバイス番号が正しい場合、アカウントのセルラープロバイダー設定または個人設定が原因である可能性があります。たとえば、登録した携帯電話が「電話拒否」リストに登録済みである場合などが挙げられます。

6. さらに、電子メールは登録に使用した電子メールアドレスにも送信されます。電子メールにアクセスするには、次の手順を実行します。

a. Workstation1 に戻り、右上の [サインアウト（Sign Out）] をクリックしてスポンサーアカウントをログアウトします。

b. Outlook Web Mail のブックマークをクリックするとログイン画面に戻ります。

c. クレデンシャル dcloud\dcloud-guest および C1sco12345 を使用してログインします。

d. パブリック電子メールアドレスを使用してゲストユーザを登録した場合は、パブリック電子メールアドレスの受信トレイに移動して、

ゲストのクレデンシャルを通知する電子メールが ISE から届いているかどうかを確認します。

注：以降の手順では、パブリック電子メールアドレスを使用していないことを前提として、OWA から dcloud-guest アカウントにログインする方法を示します。

(22)

Cisco dCloud

7. ゲストのクレデンシャルを通知する電子メールが届いていないか、[受信トレイ（Inbox）] を調べます。

図 24. クレデンシャルを通知するゲストアカウント電子メールの承認

(23)

Cisco dCloud

ゲストネットワークへのアクセス

注：AP やクライアントエンドポイントを使用せずにゲストフローを実行することは可能です。その場合、関連するゲストポータルのポータルテスト URL を使用します。ただし、最適なデモンストレーションとユーザエクスペリエンスを確保するには、実際のクライアントと AP を使用することをお勧めします。RADIUS セッションが実際にはないため、RADIUS Live Log とゲストレポートの内容が制約されることに注意してください。また、実際のクライアントをリダイレクトするにはワイヤレスセッションが必要なため、静的 URL（または元の URL）に正常なフローは送信されないことにも注意してください。フルアクセス権を持つマシンからポータルを使用するため、ネットワークリソースへのアクセス制限のデモンストレーションもできません。シミュレートされたフローであるため、アクセス制御は適用されません。

c) 対象の自己登録型ポータルをクリックします（ポータルは業種ごとのカスタマイズ要件によって異なります）。

d) ポータルテスト URL リンクをクリックします。別のウィンドウでポータルが開きます。

e) 次の手順を使用すれば、実際のデバイスに適用される情報を省略して、ここから短縮版の自己登録フローを実施できます。情報の一部は適用されないことに注意してください。レポート情報も制限されます。

1. ユーザデバイスで、SMS および電子メール経由で受信したクレデンシャルを使用してゲストポータルにログインします。

2. [同意（Accept）] をクリックしてアクセプタブルユースポリシーに同意し、[続行（Continue）] をクリックします。[成功（Success）]

ページに、ネットワークを通じてインターネットアクセスが可能になったことが示されます。

図 25. ゲストポータルのアクセプタブルユースポリシー

(24)

Cisco dCloud

3. www.cisco.com へのリンクをクリックして、デバイスからゲストポータル経由でインターネットにアクセスできるようになったことを示します。

図 26. Healthcare Connections Center（http://health.dcloud.cisco.com）

ISE での自己登録型ゲストフローのデモンストレーション

デバイスはゲストネットワークに正常に参加し、インターネットアクセスが許可されました。次に、ISE UI を使用して、デバイスを動的にプロファイリングし、適切な認可プロファイルを適用してゲスト向けインターネットアクセスを動的に許可する方法について説明します。



2. [操作（Operations）] メニューにマウスポインタを移動し、[RADIUS Livelog] をクリックします。この画面では、ISE で行われた最新の認証と認可が表示されます。

(25)

Cisco dCloud

注：この例では、ゲストネットワークへの参加に Apple iPad が使用されています。

デバイスは、最初に dCloud-Guest SSID に参加するときに、MAB（MAC 認証バイパス）を使用して認証を行い、ISE はプロファイル GUEST_REDIRECT を WLC に返します。これにより、WLC はすべてのユーザ Web トラフィックを dCloud ゲストポータルにリダイレ クトします。

その後すぐに、ISE はデバイスを Apple iPad としてプロファイリングします。このデモンストレーションでは、デバイスタイプに基づくアクセスの差別化機能については示しません。

ユーザは自己登録した後、スポンサーにより承認され、ゲストポータルにログインすると、ISE から GUEST_ACCESS という名前の 2 つ目のプロファイルが返信されます。このプロファイルにより、WLC に事前設定された ACL の名前が再度プッシュされます。この ACL は、

インターネットと基本ポータルへのアクセスのみを許可します。以下のスクリーンショットを見ると、ユーザ「jpage」が、スポンサーによるゲストアクセスの承認後にログインしていることがわかります。

図 27. ゲストアクセスの動的な適用

(26)

Cisco dCloud

シナリオ 3. スポンサー承認型ゲストアクセス

このシナリオでは、組織はゲストユーザアカウントを必要に応じてプロビジョニングする必要があります。ゲストユーザアカウントは、

オフィスの訪問者に対して事前に設定できます。また、基本的なインターネットアクセスを提供することもできます。このシナリオでは、

自己登録の代わりに、組織の従業員がスポンサーとしてゲストユーザ向けにゲストアカウントをあらかじめプロビジョニングしてゲストユーザをサポートします。

ゲストアカウントは、予定の到着時間前にスポンサーにより作成され、ゲストユーザには SMS と電子メールの両方からログインクレデンシャルが送信されます。ゲストユーザは到着すると、dCloud-Guest SSID に参加してログインし、ネットワークへのアクセスを取得します。

また、ISE スポンサーポータルでは、ユーザアカウントの一括インポートも実行できます。これは、同時に複数のゲストユーザアカウントをプロビジョニングする場合に非常に便利です。たとえば、リモートの営業オフィスで、オフィス管理者が大規模なセールスイベントのために新しく 50 個のゲストアカウントを前日にプロビジョニングする場合などです。

注：ゲストアクセスは個々の組織ごとに定義されたものを意味します。このデモでは、ゲストアクセスにより、ゲストはインターネットおよびメインポータルページにアクセスできます。ゲストアクセスをインターネットに限定することを望む組織もあれば、インターネットだけでなく特定の内部リソースへのアクセスを付与することを望む組織もあります。ISE は、お客様の要件に応じて柔軟に設定できます。

手順

デバイスのクリーンアップ

注：必ず、以下の指示に従ってください。別のフローをすでに実行しているため、ISE ではデバイスをプロファイリング、認証、認可し、エンドポイントグループに追加しています。次のフローを正しく実行するには、ISE と WLC からデバイスを完全に削除し、ローカルデバイス設定を消去することが重要です。これらの手順に従わないと、デモは正しく機能しません。

1. デモンストレーションで使用する各個人デバイスの設定を消去します。デバイスの設定が消去されていないと、必要な時にゲストポータルやその他のページにリダイレクトされない場合があります。

(27)

Cisco dCloud

4. すべてのエンドポイントにチェックをつけ削除します。

5. Workstation1 から、以下のいずれかの方法で WLC ログインページ（http://wlc1.dcloud.cisco.com）にアクセスします。

a. アドレスバーに URL を手入力する。

b. ブックマークツールバーから WLC1 のブックマークをクリックする。

c. ブラウザのホームボタンをクリックしてトポロジ図に戻り、vWLC をクリックする。

6. デモンストレーション準備でエンドポイントのプロビジョニングに使用したものと同じデバイス固有のクレデンシャルを使用して、

vWLC にログインします。

8. 上部のメニューバーで [モニタ（MONITOR）] をクリックします。

9. 左側のリストで [クライアント（Clients）] をクリックします。

(28)

Cisco dCloud

10. 以前、ネットワークに参加したすべてのクライアントが表示されます。右にスクロールしてドロップダウン矢印の上にマウスを移動し、

展開されたら、[削除（Remove）] をクリックします。

11. 確認メッセージの [OK] をクリックし、承認ステータスが [未承認（No）] に変わることに注意します。

ゲストアカウントの作成

1. Workstation1 で Firefox を開き、[ホーム（Home）] ボタンをクリックします。

2. [デフォルトポータルログイン（Default Portal Logins）] セクションで、[スポンサーポータル（Sponsor Portal）] をクリックします。

図 30. トポロジページ

3. ユーザ名 sponsor、パスワード C1sco12345 でスポンサーポータルにログインします。

注：[アカウント管理（Manage Accounts）] でゲストタイプの変更はできません（このデモでは使用できない機能です）。

(29)

Cisco dCloud

4. [アカウントの作成（Create Accounts）] タブで、ゲストアカウントに必要な情報を次の指示に従って入力します。

 電子メールアドレスには、パブリックにアクセスできる電子メールアカウント、またはこのデモで事前設定されている組み込みの [email protected] アカウントを指定できます。



 電話番号は、SMS 経由でゲストクレデンシャルを送信する実際の電話番号を指定する必要があります。スペースやダッシュなしで、国コード + エリアコード + 電話番号を入力してください。例：15865551234



5. 情報を入力したら、[作成（Create）] をクリックしてゲストアカウントを作成し、[アカウント情報（Account Information）] 画面を開きます。

注：言語は英語のままにすることを推奨します。英語以外の言語を選択すると、受け取る SMS メッセージに予期しない文字が含まれる可能性があります。

図 31. スポンサーポータルからゲストアカウントを作成

(30)

Cisco dCloud

6. [通知（Notify）] をクリックします。

図 32. アカウント作成の成功に関するゲストへの通知

7. [通知（Notify）] ボックスで、[SMS] および [電子メール（Email）] をオンにします。

8. [OK] をクリックして、ゲストユーザのクレデンシャルを通知する SMS テキストメッセージおよび電子メールを送信します。SMS を受信するまで最大 1 分かかる場合があります。

注：このデモ環境では想定されない何らかの理由により、モバイルデバイスで SMS を受信できない場合があります。入力したデバイス番号が正しい場合、アカウントのセルラープロバイダー設定または個人設定が原因である可能性があります。たとえば、登録した携帯電話が「電話拒否」リストに登録済みである場合などが挙げられます。

図 33. [通知（Notify）] ポップアップウィンドウ

注：クレデンシャルが送信されたら、ゲスト電子メールアカウントにログインし、クレデンシャルを含む電子メールを取得できるようになります。

電話番号を正しい形式で入力しないと、SMS は受信できません。以下の手順では、ゲストアカウント登録に組み込みの dcloud-

[email protected] アカウントを使用します。パブリック電子メールアドレスを使用した場合は、その電子メールアカウントの受信トレイに移動して、ゲストのクレデンシャルを通知する電子メールを受け取る必要があります。

(31)

Cisco dCloud

9. 電子メールにアクセスするには、Outlook Web Mail のブックマークをクリックしてログインします（dcloud\dcloud- guest/C1sco12345）。

10. ゲストのクレデンシャルを含んでいる電子メールを開きます。

図 35. クレデンシャルを通知するゲスト電子メールの承認

(32)

Cisco dCloud

11. ユーザデバイスで SSID dCloud-Guest に参加します。Safari を開くとゲストポータルにリダイレクトされるので、通知で受信したクレデンシャルを使用してゲストポータルにログインします。

注：デモンストレーションでは、全体を通して特定の dCloud WiFi に接続します。ここではそれらの SSID を汎用名で示していますが、

そのすべてに固有のセッション ID が追加されます（dCloud-Hotspot-123456 など）。

12. [同意（Accept）] をクリックしてアクセプタブルユースポリシーに同意し、[続行（Continue）] をクリックします。[成功（Success）]

ページに、ネットワークを通じてインターネットアクセスが可能になったことが示されます。

図 36. ゲストポータルのアクセプタブルユースポリシー

13. www.cisco.com へのリンクをクリックして、デバイスからゲストポータル経由でインターネットにアクセスできるようになったことを示

します。

図 37. Healthcare Connections Center（http://health.dcloud.cisco.com）

(33)

Cisco dCloud

ISE におけるスポンサー承認型ゲストフローのデモンストレーション

デバイスはゲストネットワークに正常に参加し、インターネットアクセスが許可されました。このセクションでは、ISE UI を使用して、デバイスを動的にプロファイリングし、適切な認可プロファイルを適用してゲスト向けインターネットアクセスを動的に許可する方法について説明します。

1. Workstation1 で、デスクトップから Firefox を起動します。



3. [操作（Operations）] メニューにマウスポインタを移動し、[RADIUS Livelog] をクリックします。この画面では、ISE で行われた最新の認証と認可が表示されます。

注：この例では、ゲストネットワークへの参加に Apple iPad が使用されています。デバイスは、最初に dCloud-Guest SSID に参加するときに、MAB（MAC 認証バイパス）を使用して認証を行い、ISE はプロファイル GUEST_REDIRECT を WLC に返します。これにより、

WLC はすべてのユーザ Web トラフィックを dCloud ゲストポータルにリダイレクトします。

その後すぐに、ISE はデバイスを Apple iPad としてプロファイリングします。このデモンストレーションでは、デバイスタイプに基づくアクセスの差別化機能については示しません。

ユーザがスポンサーによりプロビジョニングされたアカウントを使用してゲストポータルにログインすると、ISE から GUEST_ACCESS という名前の 2 つ目のプロファイルが返送されます。このプロファイルにより、WLC に事前設定された ACL の名前が再度プッシュされます。

この ACL は、インターネットと基本ポータルへのアクセスのみを許可します。

次のスクリーンショットを見ると、スポンサーポータルでスポンサーによりユーザ「rplant」のゲストアカウントが作成された後に、このユーザがログインしたことがわかります。

図 38. 動的なゲストアクセスの適用