Manuals+

WLAN セキュリティ

WPA1 および WPA2 について

Wi-Fi 保護アクセス (WPA または WPA1) および WPA2 は、無線 LAN システム用のデータ保護とアクセス コントロールを提供する Wi-Fi Alliance の規格ベースのセキュリティソリューションです。WPA1 は、IEEE 802.11i 規格に準拠していますが、規格の承認前に実装されたものです。これに対して、WPA2 は、承認された IEEE 802.11i 規格が Wi-Fi Alliance によって実装されています。

デフォルトで、WPA1 ではデータの保護に Temporal Key Integrity Protocol (TKIP) およびメッセージ整合性チェック (MIC) が使用されますが、WPA2 では Counter Mode with Cipher Block Chaining Message Authentication Code Protocol を使用したより強力な Advanced Encryption Standard (AES-CCMP) が使用されます。デフォルトでは、WPA1 および WPA2 のどちらも 802.1X を使用して認証キー管理を行います。ただし、次の方法も使用できます。

802.1X

IEEE によって定義された無線 LAN セキュリティの規格。802.1X for 802.11、または単に 802.1X と呼ばれます。802.1X をサポートするアクセス ポイントは、無線ネットワークを介して通信を行う相手となるワイヤレス クライアントと認証サーバ (RADIUS サーバなど) の間のインターフェイスとして機能します。[802.1X] が選択されている場合は、802.1X クライアントのみがサポートされます。802.1X は、Cisco 2700 シリーズの AP の AUX ポートではサポートされていません。

PSK (WPA 事前共有キーまたは WPA パスフレーズ)

PSK を選択した場合、事前共有キー (またはパスフレーズ) を設定する必要があります。このキーは、クライアントと認証サーバの間でペアワイズマスター キー (PMK) として使用されます。

CCKM (Cisco Centralized Key Management)

CCKM では、迅速なキーの再生成技術を使用しています。この技術を使用すると、クライアントは、通常 150 ミリ秒 (ms) 以下で、コントローラを経由せずにあるアクセス ポイントから別のアクセス ポイントにローミングできます。CCKM により、クライアントが新しいアクセス ポイントと相互に認証を行い、再アソシエーション時に新しいセッションキーを取得するために必要な時間が短縮されます。CCKM の迅速かつ安全なローミングにより、ワイヤレス VoIP (Voice over IP)、エンタープライズリソースプランニング (ERP)、Citrix ベースのソリューションなどの時間依存型アプリケーションで認識できるほどの遅延は発生しません。CCKM は、CCXv4 に準拠する機能です。CCKM が選択されている場合は、CCKM クライアントのみがサポートされます。

CCKM を有効にすると、アクセス ポイントの動作は、高速ローミングのコントローラとの次の点で異なります。

802.1X+CCKM

通常の動作状態の間、802.1X が有効になっているクライアントは、主要な RADIUS サーバとの通信を含む完全な 802.1X 認証を実行することにより、新しいアクセス ポイントとの相互認証を行います。ただし、802.1X および CCKM の迅速で安全なローミング用に WLAN を設定した場合、CCKM が有効になっているクライアントは、RADIUS サーバに対して再認証せずに、あるアクセス ポイントから別のアクセス ポイントに安全にローミングを行います。このオプションが選択されている場合、CCKM クライアントと非 CCKM クライアントの両方がサポートされるため、802.1X+CCKM はオプションの CCKM と見なされます。

単一の WLAN では、WPA1、WPA2、および 802.1X/PSK/CCKM/802.1X+CCKM のクライアントに接続を許可できます。このような WLAN のアクセス ポイントはいずれも、ビーコンとプローブ応答で WPA1、WPA2、および 802.1X/PSK/CCKM/802.1X+CCKM 情報要素をアドバタイズします。WPA1 または WPA2、あるいは両方を有効にした場合は、データトラフィックを保護するために設計された 1 つまたは 2 つの暗号方式 (暗号化アルゴリズム) を有効にすることもできます。具体的には、WPA1 または WPA2、あるいはその両方に対して、AES または TKIP、またはその両方を有効にすることができます。TKIP は WPA1 のデフォルト値で、AES は WPA2 のデフォルト値です。

AAA Override について

WLAN の AAA Override オプションを使用すると、WLAN で Identity ネットワーキングを設定できます。これにより、AAA サーバから返される RADIUS 属性に基づいて、個々のクライアントに VLAN タギング、Quality Of Service (QoS)、およびアクセス コントロール リスト (ACL) を適用することができます。

レイヤ2セキュリティの前提条件

同じ SSID を持つ WLAN には、ビーコン応答とプローブ応答でアドバタイズされる情報に基づいてクライアントが WLAN を選択できるように、一意のレイヤ2セキュリティ ポリシーが設定されている必要があります。使用可能なレイヤ2セキュリティ ポリシーは、次のとおりです。

WLAN セキュリティの設定方法

静的 WEP レイヤ2セキュリティ パラメータの設定 (GUI)

手順

  1. [Configuration] > [Tags & Profiles] > [WLANs] を選択します。
  2. [WLANs] ページで、WLAN の名前をクリックします。
  3. [Edit WLAN] ウィンドウで [Security] タブをクリックします。
  4. [Layer 2 Security Mode] ドロップダウンリストから [Static WEP] オプションを選択します。
  5. (任意) [Shared Key Authentication] チェック ボックスをオンにして、認証タイプを共有に設定します。このチェック ボックスをオフのままにすると、認証タイプはオープンに設定されます。
  6. [Key Size] を [40 bits] または [104 bits] に設定します。
    • [40 bits]: 40 ビット暗号化を使用したキーには、ASCII テキスト文字が 5 文字と 16 進数文字が 10 文字必要です。
    • [104 bits]: 104 ビット暗号化を使用したキーには、ASCII テキスト文字が 13 文字と 16 進数文字が 26 文字必要です。
  7. 適切な [Key Index] を設定します。1~4 の範囲で選択できます。
  8. [Key Format] を [ASCII] または [Hex] のいずれかに設定します。
  9. 有効な [Encryption Key] を入力します。
    • [40 bits]: 40 ビット暗号化を使用したキーには、ASCII テキスト文字が 5 文字と 16 進数文字が 10 文字必要です。
    • [104 bits]: 104 ビット暗号化を使用したキーには、ASCII テキスト文字が 13 文字と 16 進数文字が 26 文字必要です。
  10. [Update & Apply to Device] をクリックします。

静的 WEP レイヤ2セキュリティ パラメータの設定 (CLI)

始める前に

管理者特権が必要です。

手順

コマンドまたはアクション 目的
configure terminal
例:
Device# configure terminal		 グローバル コンフィギュレーション モードを開始します。
wlan profile-name wlan-id SSID_Name
例:
Device# wlan test4 1 test4		 WLAN コンフィギュレーション サブモードを開始します。
profile-name は設定する WLAN のプロファイル名です。
wlan-id はワイヤレス LAN の ID です。指定できる範囲は 1~512 です。
SSID Name は、最大 32 文字の英数字からなる SSID です。
(注) すでにこのコマンドを設定している場合は、wlan profile-name コマンドを入力します。
disable ft
例:
Device (config-wlan) % disable ft		 高速移行を無効にします。
no security ft over-the-ds
例:
Device (config-wlan)# no security ft over-the-ds		 WLAN のデータ ソース経由の高速移行を無効にします。
no security ft
例:
Device (config-wlan)# no security ft		 WLAN の 802.11r 高速移行をディセーブルにします。
no security wpa{akm | wpa1 | wpa2}
例:
Device (config-wlan)# no security wpa wpa1 ciphers tkip		 WLAN の WPA/WPA2 サポートを無効にします。
security static-wep-key [authentication {open | shared}]
例:
Device (config-wlan) # security static-wep-key authentication open		 キーワードは次のとおりです。
static-wep-key: 静的な WEP キー認証を設定します。

WPA + WPA2 レイヤ2セキュリティ パラメータの設定 (GUI)

  1. [Configuration] > [Tags and Profiles] > [WLANs] をクリックします。
  2. [Add] をクリックして新しい WLAN プロファイルを追加するか、編集するプロファイルをクリッ クします。
  3. [Edit WLAN] ウィンドウで [Security] > [Layer2] をクリックします。
  4. [Layer 2 Security Mode] ドロップダウン メニューから [WPA + WPA2] を選択します。
  5. セキュリティ パラメータを設定して [Save and Apply to Device] をクリックします。

WPA + WPA2 レイヤ2セキュリティ パラメータの設定 (CLI)

始める前に

管理者特権が必要です。

手順

コマンドまたはアクション 目的
configure terminal
例:
Device# configure terminal		 グローバル コンフィギュレーション モードを開始します。
wlan profile-name wlan-id SSID_Name
例:
Device# wlan test4 1 test4		 WLAN コンフィギュレーション サブモードを開始します。
profile-name は設定する WLAN のプロファイル名です。
wlan-id はワイヤレス LAN の ID です。指定できる範囲は 1 ~ 512 です。
SSID Name は、最大 32 文字の英数字からなる SSID です。
(注) すでにこのコマンドを設定している場合は、wlan profile-name コマンドを入力します。
security wpa {akm | wpa1 | wpa2}
例:
Device (config-wlan) # security wpa		 WLAN の WPA または WPA2 サポートを有効にします。
security wpa wpa1
例:
Device (config-wlan) # security wpa wpa1		 WPA を有効にします。
security wpa wpa1 ciphers [aes | tkip]
例:
Device (config-wlan) # security wpa wpa1 ciphers aes		 WPA1 暗号を指定します。次のいずれかの暗号化タイプを選択します。
  • aes : WPA/AES のサポートを指定します。
  • tkip : WPA/TKIP のサポートを指定します。

WPA1 および WPA2 のデフォルト値は、それぞれ TKIP および AES です。(注) CLI を使用してのみ TKIP 暗号化を有効または無効にできます。GUI での TKIP 暗号化の設定はサポートされていません。

WGB に VLAN 設定がある場合、encryption vlan 80 mode ciphers tkip など、特定の VLAN に対して暗号化モードとキーを設定する必要があります。次に、コマンド encryption mode ciphers tkip を入力して、マルチキャスト インターフェイスで暗号化モードをグローバルに設定する必要があります。
security wpa akm {cckm| dot1x | ft | pmf | psk} CCKM、802.1x、Fast Transition、Protected Management Frame、または PSK を有効または無効にします。
security wpa akm psk set-key {ascii | hex} psk-key PSK を有効にしている場合は、このコマンドを入力して事前共有キーを指定します。
WPA の事前共有キーには、8~63 文字の ASCII テキスト、または 64 桁の 16 進数文字が含まれている必要があります。
security wpa akm ft {dot1x | psk} 高速移行に対して認証キー管理スイートを有効または無効にします。
(注) AKM スイートとして PSK または高速移行 PSK を選択できます。
security wpa wpa2
例:
Device (config-wlan) # security wpa		 WPA2 を有効にします。
security wpa wpa2 ciphers aes
例:
Device(config-wlan)# security wpa wpa2 ciphers aes		 WPA2 暗号化を設定します。
aes: WPA/AES のサポートを指定します。
show wireless pmk-cache PMK キャッシュの有効期間タイマーの期限が切れるまでの残りの時間を表示します。
802.1X 認証キー管理で WPA2、または CCKM 認証キー管理で WPA1 または WPA2 を有効にした場合、必要に応じて、PMK キャッシュ ライフタイム タイマーを使用して、クライアントでの再認証をトリガーします。タイマーは、AAA サーバから受信したタイムアウト値または WLAN のセッション タイムアウト設定に基づきます。
802.1X 認証キー管理で WPA2 を有効にした場合、コントローラは opportunistic PMKID キャッシュと sticky (non-opportunistic) PMKID キャッシュの両方をサポートします。sticky PMKID キャッシュ (SKC) では、クライアントは複数の PMKID (アソシエートする AP ごとに異なる) を保存します。
opportunistic PMKID キャッシュ (OKC) は、クライアントあたり 1 つの PMKID だけを保存します。デフォルトで、コントローラは OKC をサポートします。
(注) このコマンドは、VLAN オーバーライド フィールドに VLAN プーリング機能を含む VLAN ID を表示します。
end
例:
Device (config)# end		 特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバル コンフィギュレーション モードを終了できます。

PDF preview unavailable. Download the PDF instead.

b wl 16 10 cg chapter 01100111 DITA Open Toolkit XEP 4.9 build 20070312; modified using iText 2.1.7 by 1T3XT

Related Documents

Preview Cisco WLAN Configuration and Management Guide
This guide provides detailed instructions for configuring, managing, and verifying Wireless Local Area Networks (WLANs) on Cisco access points. It covers essential features, prerequisites, restrictions, and step-by-step procedures for both GUI and CLI management.
Preview Cisco WLAN Security Configuration and Best Practices
A detailed guide to Cisco Wireless LAN security, covering protocols like 802.11w, 802.11r, WPA2, MAC filtering, AAA, LDAP, and ISE integration for enterprise networks.
Preview Configuring Layer 2 Security for Cisco Wireless Controllers
This document provides detailed configuration steps and information on Layer 2 security features for Cisco Wireless Controllers, including WEP, WPA/WPA2, 802.1X, 802.11r Fast Transition, 802.11w Management Frame Protection, and 802.11v features like Network Assisted Power Savings and BSS Transition Management. It covers both GUI and CLI configurations.
Preview Cisco 802.11r BSS Fast Transition: Configuration Guide for Catalyst 9800 Wireless Controllers
Learn about IEEE 802.11r BSS Fast Transition for faster Wi-Fi roaming. This guide details configuration steps for Cisco Catalyst 9800 Series Wireless Controllers using CLI and GUI, covering Cisco IOS XE Amsterdam.
Preview Cisco APIC Security Configuration Guide, Release 6.1(x) - Comprehensive Security Setup
Explore the Cisco APIC Security Configuration Guide for Release 6.1(x). This guide provides detailed instructions on configuring security features, access control, authentication methods, and network policies within the Cisco Application Policy Infrastructure Controller (APIC) environment. Learn about user management, role-based access control (RBAC), security domains, and various authentication protocols like RADIUS, TACACS+, LDAP, SAML, and OAuth 2.0. Discover how to implement port security, first hop security, protocol authentication, and control plane policing for robust network security.
Preview Cisco Catalyst 1300 Series Switches: Get To Know Your Switch
A comprehensive guide to Cisco Catalyst 1300 Series Switches, covering essential information on features, front panel components, installation methods (rack and wall mounting), stacking capabilities, configuration via web interface and console, and navigation within the device's UI. Includes product highlights and technical specifications.
Preview Cisco IOS-XE Release 3.3: Deployment Guide for 802.11r, 802.11k, and 802.11w
This guide provides comprehensive instructions for deploying and monitoring Cisco IOS XE Release 3.3 features, focusing on 802.11r Fast Transition Roaming, 802.11k Assisted Roaming, and 802.11w Protected Management Frames. It covers configuration, troubleshooting, and best practices for optimizing wireless network performance and security.
Preview Cisco IP Phone Installation Guide
A comprehensive guide to installing and configuring Cisco IP Phones, covering network setup, phone installation, wireless LAN configuration, and various network settings.