DNA Centerを使用して管理しているAPをモビリティエクスプレスモードからCAPWAPモードに変更する方法

“How to convert cisco access point from mobility express mode to capwap mode in case of using cisco dna center.” とでも題するべきか。 どうやらファームウェアのバージョン等も関係していそう。 CiscoのAccessPoint(以下AP)にMobilityExpress(以下ME)のファームウェアをインポートしてMobilityExpress-modeとして使用した後に、集中管理型であるcapwap-modeに変更したいことがある。 コミュニティサイトによればAP上でコマンドを実行すれば切り替わるらしいけど、DNA Center(以下DNA)のPlug and Playを使用する場合は、これだけで安心すると少し困ることになる。というのも、この状態だとファームウェアはMEなので、DNAがAPを適切に認識してくれない。結果としてAPはWLCにjoinすることができない。 解決策としては、APがDNAを介さずに直接WLCにjoinし、その後APのコンフィグクリアを実行すればOK。WLCにjoinした時点でWLCがAPのファームウェアを上書きしてくれるのでDNAがAPを認識可能になる。 とこの文面だとMEのファームウェアがDNA認識不良の原因のように見えるけど、自身が検証した結果から推測したに過ぎない点に注意。Ciscoから見解をもらったりしたわけではない。 また、上記コミュニティサイトの手順でcapwap-modeに変更後、”capwap ap erase all”を実行したらPoEネゴシエートに失敗するようになった。この場合、”AP起動時modeボタン10秒プッシュ”方式によるリセットを実施し、更にcapwap-modeに変更した後にWlc-Join-WithoutDna(WJWDと勝手に命名)を実施することになる。 また、MEが入ってないAPでもPoEに失敗する事象を確認したけどそれはまだ原因不明。

cisco ios-xe 3系の後継が16系とはこれいかに?

cisco isr4000系の機器ではios-xeが採用されている。 そのversionについて、とあるベンダーの推奨versionが「3.6.xx(自主規制)」だそうです。この機器に対応しているios-xeのversionは他にどんなものがあるのか、ciscoのwebサイトで調べてみると、後継versionとして「16.x.x」なども確認できた。 IOS-XE 16.x Standard Maintenance のメンテナン… – Cisco Support Community 3系の後継がなぜ16系なのか。 「序列的に4系になるのが自然では?」と。 また、ciscoが推奨するversionを確認する方法があるのか。

cisco IOSでdiff

CatalystスイッチなどのIOSではLinuxのdiffもどきの操作が可能。 例えば以下で startup-config と running-config の差分を確認できる。

Cisco ASAでIPSecとL2TP over IPSec を共存させる

特定I/FでIPSecとL2TP/IPSecを共存させる方法。 といってもすることは、IPSecとL2TP/IPSec用のトランスフォームセットを1つのダイナミックマップの1つのシーケンスに含める。これだけ。 IPSec用のTransformSet L2TP/IPSec用のTransformSet DynamicMAP I/Fに適用 以上。

Cisco ASAでWindows用L2TP/IPsec方式でリモートアクセスVPNをする

タイトル長い!例によって投入コンフィグを記述。 IPアドレスプール、ユーザーアカウント、DNS、NAT、ルーティング、ACL設定も必要だけど今回その部分については省略。 トランスフォームセット ダイナミックマップ クリプトマップ I/Fに適用 NATトラバーサル ikev1有効化 ikev1ポリシー (ikev1ポリシー続き)認証方式 グループポリシー トンネルグループ for L2TP Windows端末からのL2TP/IPsec用の設定。DefaultRAGroupを使用する例。 トンネルグループ for IPsec ※sv-tp:ASA自身の証明書がマッピングされているトラストポイント トンネルグループ for PPP ※L2TP/IPsecの場合、ppp設定は必要. 以上。

cisco ASAのVPNでクライアント証明書に記載されているOU文字列を認証の条件にする方法

実装させる機能 cisco ASAのikev1認証にクライアント証明書を使用し、クライアント証明書のサブジェクトのOUに任意の文字列が含まれればリモートアクセスVPNを許可し、そうでなければ拒否する設定を追加する。 OUでマッチさせるルールを作成 「co」は引数にくる文字列を「含む」という条件で、「nc」は引数にくる文字列を「含まない」という条件になる。 全拒否ACL作成 拒否トンネル用グループポリシー作成 拒否トンネル作成 トンネルグループマップ有効化 以上。

cisco ASAのikev1で証明書のサブジェクトOU文字列でフィルタする方法を示したリンクまとめ

vpn-filter参考 PIX/ASA 7.x 以降: L2L およびリモート アクセスのための VPN フィルタ(特定のポートまたはプロトコルの許可)の設定例 – Cisco Systems 証明書マップ参考 Cisco ASA 5500 シリーズ コマンド リファレンス ソフトウェア バージョン 8.3(2) – crypto ca authenticate コマンド~ customization コマンド – Cisco Systems ikeデバッグ参考 ASA IPsec and IKE Debugs (IKEv1 Main Mode) Troubleshooting TechNote – Cisco トンネルグループマッピング参考 Tunnel Group Mapping on ASA|全てはCCIEのために… Cisco ASA 5500 シリーズ … Read more

cisco ASAでバックアップ/リストアする方法

参考 ASA : コンフィグのバックアップとリストア : ネットワークスペシャリストを目指してGo!  バックアップについてはASDMで全て採ろうとしても、ASAの全てを採ることはできない模様。ASDMのversionによるのか。 ASDMで証明書関連(キーペア等)以外をバックアップ、CLIで証明書関連をバックアップ、という2段構えが妥当。