無線LANアクセス-パスワード認証

文書更新日:2026-08-05

目的

PIO-IDのユーザで、Aruba Instant 無線LANアクセスポイントへアクセスします。
接続する際の認証方式は、パスワード（PEAP、EAP-TTLS-PAP）です。
PIO-IDの拡張RADIUSサーバを利用します。
ユーザ/グループによるアクセス制限をします。

設定方法

PIO-IDのグループの作成

PIO-ID 管理者ポータル＞グループ画面へ移動します。
グループ追加をクリックします。グループ追加画面がポップアップします。
グループ名を入力し、登録ボタンをクリックします。

PIO-IDのユーザの作成

PIO-ID 管理者ポータル＞ユーザ画面へ移動します。
登録ボタンをクリックします。ユーザ登録画面がポップアップします。
ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
メンバーとなるグループを選択し、登録ボタンをクリックします。

PIO-IDの拡張RADIUSサーバの登録

PIO-ID 管理者ポータル＞認証＞RADIUS＞基本設定タブへ移動します。

拡張RADIUSサーバ＞RADIUSポート番号の登録ボタンをクリックします。拡張RADIUSサーバの登録画面がポップアップします。

設定項目	設定内容
使用するプロトコル	UDPを選択します。
シークレット	任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

登録ボタンをクリックします。専用のRADIUSポート番号が割り当てられます。

PIO-IDのRADIUSサイトの登録

PIO-ID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
カタログ表示ボタンをクリックします。
カタログからAruba Instant 無線LANアクセスポイントの登録ボタンをクリックします。Aruba Instant 無線LANアクセスポイント画面がポップアップします。

基本情報タブに、以下を設定します。

設定項目	設定内容
有効/無効	有効を選択します。
サーバ	拡張を選択します。
サーバ番号	PIO-IDの拡張RADIUSサーバの登録の手順で登録したサーバ番号を選択します。
サイト識別する属性	NAS-Identifierを選択します。
属性値	任意の文字列を設定します。（例: aruba_instant_ap）ここで設定した文字列をAruba Instant 無線LANアクセスポイントの設定の手順で設定するNAS-Identifierにも設定します。サイト識別する属性にNAS-Identifierを選択した場合、実際にネットワーク機器から送信される属性値に対して、ここの設定項目で設定した文字列で部分一致検索します。

無線アクセスの認証タブへ移動します。
許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。

Info

認証したユーザおよびグループにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。
登録ボタンをクリックします。

Info

設定がシステムに反映されるまで最大で15分かかります。

Aruba Instant 無線LANアクセスポイントの設定

RADIUSサーバの設定

Aruba Instantの管理画面へログインします。
Configuration＞Security画面へ移動します。
Authentication Serversを展開し、＋をクリックします。

プライマリRADIUSサーバを以下の内容で登録します。

設定項目	設定内容
Name	任意の名前を設定します。（例: `PIO-ID-RADIUS-Primary`）
IP Address	PIO-ID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのプライマリです。
RadSec	無効にします。
Auth port	PIO-ID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞RADIUSポート番号のポート番号です。
Shared key	PIO-IDの拡張RADIUSサーバの登録の手順のシークレットに設定した文字列です。
Retype key	Shared keyと同じ値です。
Timeout	10秒を設定します。（デフォルト値: 5秒）
NAS-Identifier	PIO-IDのRADIUSサイトの登録の手順で設定したNAS-Identifierの文字列です。（例: `aruba_instant_ap`、デフォルト値: 空欄）

OKをクリックします。
同じ手順でセカンダリRADIUSサーバを登録します。（例: PIO-ID-RADIUS-Secondary）

Warning

プライマリとセカンダリのRADIUSサーバプロファイルには、同じNAS-Identifierを設定します。別のRADIUSサイトで同じ値を使用しないでください。
SAVEボタンをクリックします。

SSIDの設定

Configuration＞Networks画面へ移動します。
＋をクリックします。SSIDプロファイルを作成するウィザードが表示されます。
Basicステップで、以下を設定します。

設定項目 設定内容

Name 任意のSSIDを設定します。

Type Wirelessを選択します。

Primary usage Employeeを選択します。
RADIUS属性でVLAN IDを割り当てる場合は、VLANステップで以下を設定します。

設定項目 設定内容

Client IP assignment Network assignedを選択します。

Client VLAN assignment Dynamicを選択します。（デフォルト値: Default）

Info

Client VLAN assignmentでDefaultを選択すると、有線ネットワークのネイティブVLANが割り当てられます。PIO-IDで設定したVLAN IDは、RADIUSのTunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-Idにより割り当てられるため、Dynamicを選択し、VLAN Assignment Rulesは追加しません。

VLAN Assignment Rulesは、RADIUSから返された別の属性値を条件に、Aruba Instant側でVLANを割り当てる場合に使用します。

Securityステップで、以下を設定します。

設定項目	設定内容
Security Level	Enterpriseを選択します。
Key Management	検証対象に応じてWPA2-EnterpriseまたはWPA3-Enterprise (CCM 128)を選択します。
Authentication server 1	RADIUSサーバの設定で登録したプライマリRADIUSサーバを選択します。（例: `PIO-ID-RADIUS-Primary`）
Authentication server 2	RADIUSサーバの設定で登録したセカンダリRADIUSサーバを選択します。（例: `PIO-ID-RADIUS-Secondary`）
EAP Offload	デフォルトで無効です。無効であることを確認し、EAP認証をPIO-IDのRADIUSサーバで処理します。
Reauth interval	`1440` min.を設定します。（デフォルト値: 0分）
Opportunistic Key Caching (OKC)	有効にします。（デフォルト値: 無効）
802.11r	必要に応じて設定します。
802.11k	必要に応じて設定します。
802.11k for 6G	6GHzを使用する場合に、必要に応じて設定します。
802.11v	必要に応じて設定します。

Info

Reauth intervalを1440分に設定すると、接続中のクライアントを24時間ごとに再認証します。再認証に失敗したクライアントは切断されます。

Opportunistic Key Caching (OKC)は、同一Instantクラスタ内のAP間を移動する際にPMKキャッシュを利用します。対応クライアントのローミング時に完全な802.1X認証を省略し、PIO-IDへのRADIUS認証が高頻度に発生することを抑えるため、有効にします。

802.11r、802.11k、802.11k for 6G、802.11vは、PIO-IDとの連携に必要な設定ではありません。クライアントの対応状況と無線LANの運用方針に応じて設定してください。各機能の詳細は、Configuring Security Settings for a WLAN SSID Profile（Aruba Instant）を確認してください。

Accessステップで、必要に応じてアクセスルールを設定し、Finishをクリックします。

Info

Aruba Instant側でアクセスを制限しない場合は、Access RulesにUnrestrictedを選択し、Download rolesを無効にします。
Aruba InstantのCLIで、対象のSSIDプロファイルに以下を設定します。
```
configure terminal
wlan ssid-profile <SSIDプロファイル名>
 called-station-id type macaddr
 called-station-id include-ssid delimiter :
end
commit apply
```
Info

この設定は、Called-Station-IdへSSIDを付加し、APのMACアドレスとSSIDの区切り文字にコロン（:）を使用するための設定です。

動作確認方法

以下を参考にクライアントを設定して動作確認します。

クライアント接続設定

設定項目	設定内容
Name	任意のSSIDを設定します。
Type	Wirelessを選択します。
Primary usage	Employeeを選択します。

設定項目	設定内容
Client IP assignment	Network assignedを選択します。
Client VLAN assignment	Dynamicを選択します。（デフォルト値: Default）