概要
CAPWAP は、ワイヤレス LAN コントローラが複数の AP とワイヤレス LAN コントローラ（WLC）を管理し、セキュア通信トンネルを介してコントロールプレーンとデータプレーン情報を交換できるようにする IEEE 標準規格プロトコルです。
CAPWAP はレイヤ 3 でのみ動作し、AP と WLC の両方で IP アドレスの提示を必要とします。CAPWAP は、UDP ポート 5246 および 5247 で、それぞれ IPv4 および IPv6 用のトンネルを確立します。Datagram Transport Layer Security（DTLS）暗号化により、一層セキュリティが強化されます。
DTLS は、AP と WLC 間のセキュリティを担保するプロトコルとして機能し、通信の暗号化を促進することで中間者攻撃による盗聴や改ざんを防ぎます。
デフォルトでは、DTLS は CAPWAP の制御チャンネルを保護し、AP と WLC 間のすべての CAPWAP 管理トラフィックおよび制御トラフィックを暗号化します。
データチャンネルはデフォルトでは無効であり、AP と WLC 間を移動するクライアントデータは暗号化されません。CAPWAP データ暗号化を有効にするかどうかは任意であり、AP でアクティブ化する前に WLC に DTLS ライセンスをインストールする必要があります。
AP が DTLS データ暗号化をサポートしない場合、DTLS はコントロールプレーンのみ有効となり、データプレーンの DTLS セッションは確立されません。
AP がデータ DTLS をサポートしている場合は、コントローラから新しい設定を受信した後にデータ DTLS を有効にします。AP は、ポート 5247 で DTLS ハンドシェイクを実行し、ハンドシェイクが成功すると DTLS セッションを確立します。すべてのデータトラフィック（AP からコントローラ、およびコントローラから AP）が暗号化されます。
CAPWAP によって、管理者はワイヤレスネットワーク全体を中央で一元的に管理できます。IW9165E は、コントローラとネットワーク上の他の AP 間の通信に Internet Engineering Task Force（IETF）標準規格の CAPWAP を使用します。
Lightweight アクセス ポイントでの証明書プロビジョニング
LAP で新しい証明書をプロビジョニングするには、CAPWAP モードの間に LAP が新しい署名付き X.509 証明書を取得できる必要があります。そのために、LAP はコントローラに certRequest を送信します。コントローラは CA プロキシとして機能し、CA により署名された LAP 用 certRequest の取得を支援します。
certReq および certResponse は LWAPP ペイロードを使用して LAP に送信されます。
LSC CA 証明書と LAP デバイス証明書の両方が LAP にインストールされ、システムが自動的に再起動します。システムは、次回起動時には LSC を使用するように設定されているため、AP は join 要求の一部として LSC デバイス証明書をコントローラに送信します。join 応答の一部として、コントローラは新しいデバイス証明書を送信し、新しい CA ルート証明書を使用して受信 LAP 証明書も検証します。
次の作業
コントローラおよび AP の既存の PKI インフラストラクチャを使用して証明書の登録を設定、許可、および管理するには、LSC プロビジョニング機能を使用する必要があります。
AP の CAPWAP 接続について
CAPWAP を有効にすると、最初の機能として、ディスカバリフェーズが開始されます。ワイヤレス AP は、ディスカバリ要求メッセージを送信してコントローラを検索します。ディスカバリ要求を受信すると、コントローラはディスカバリ応答を返します。この時点で、この 2 台のデバイスの間に、CAPWAP 制御メッセージとデータメッセージを交換するための Datagram Transport Layer Security（DTLS）プロトコルを使ったセキュアな接続が確立されます。
AP は CAPWAP ディスカバリメカニズムを使用して、コントローラに CAPWAP 接続要求を送信します。コントローラは AP に CAPWAP 接続応答を送信し、AP がコントローラに接続できるようにします。AP がワイヤレスコントローラに接続すると、ワイヤレスコントローラによって AP の構成、ファームウェア、制御トランザクション、およびデータトランザクションが管理されます。
CAPWAP には、制御とデータの 2 つのチャンネルがあります。AP は制御チャンネルを使用して、設定メッセージの送信、イメージとクライアント鍵のダウンロード、またはコンテキストの受信を行います。現在の実装では、制御チャンネルには単一のウィンドウが設けられます。AP は、コントローラから送信されたすべてのメッセージを単一のウィンドウ内で確認する必要があります。AP は、前の制御パケットの確認応答が終わるまで、次の制御パケットを送信しません。
CAPWAP データチャンネルは、AP と WLC 間のユーザーデータトラフィックのカプセル化とトンネリングを担います。これにより、ユーザーデータフローの中央管理が可能になり、WLC はポリシーを適用し、Quality of Service（QoS）を適用し、ワイヤレスネットワーク全体で一貫したセキュリティ対策を確保できます。ユーザーデータは CAPWAP フレーム内でカプセル化され、AP と WLC 間で転送できるようになります。
IETF に従い、CAPWAP は 2 つの動作モードをサポートしています。
-
Split Media Access Control（MAC）：CAPWAP の主要なコンポーネントの 1 つに、スプリット MAC という概念があります。これは、802.11 プロトコルでの動作の一部を CAPWAP AP が管理し、残りの部分を WLC が管理するというものです。
スプリット MAC モードでは、CAPWAP プロトコルがすべてのレイヤ 2 ワイヤレスデータおよび管理フレームをカプセル化し、これらのデータやフレームが WLC と AP 間で交換されます。
図 2. スプリット MAC アーキテクチャ 
-
Local MAC：ローカル MAC モードでは、データフレームをイーサネットフレームとしてローカルにブリッジまたはトンネリングできます。
ローカル MAC では、すべてのワイヤレス MAC 機能が AP で実行されます。管理フレームおよび制御フレームの処理を含む完全な 802.11 MAC 機能が AP に常駐します。
どちらのモードでも、AP はレイヤ 2 ワイヤレス管理フレームをローカルで処理してから、コントローラに転送します。
リセットボタンの設定
IW9165E では、（ブートローダがリセット信号を受信した後に）LED が赤色の点滅に変わると、次のリセットアクションが実行されます。デバイスの電源を入れる前に、必ずデバイスのリセットボタンを押します。
-
完全にリセットするには、ボタンを長押し（20 秒未満）します。
-
工場出荷時の状態まで完全にリセットする（FIPS フラグをクリアする）には、ボタンを長押し（20 秒以上 60 秒未満）します。
CAPWAP モードでのイーサネットポートの使用状況
Catalyst IW9165E では、2 つの 2x2 Multiple Input and Multiple Output（MIMO）と 2 つのイーサネットポート（2.5G mGig および 1G）により、最大 3.6 Gbps の物理データレートがサポートされています。
Catalyst IW9165E には、以下の内部ポートマッピングルールがあります。
-
Wired0：802.3af、802.3at、802.3bt PoE をサポートする 1 つの mGig（2.5 Gbps）イーサネットポート。
（注）
AP のローカルモードや FlexConnect モードでは、wired0 ポートは CAPWAP アップリンクポートとして使用されます。
-
Wired1：1Gig イーサネット LAN ポート。
（注）
17.14.1 リリース以降、RLAN 機能は wired1 ポートではサポートされません。
フィードバック