正しい設定は、既存のCatalyst 9800ワイヤレスポリシープロファイルの下で、aaa-overrideに続いてnacを実行することです。図では既に管理者がワイヤレスプロファイルポリシーmy-policyを設定したポリシープロファイル設定モードになっているため、不足しているコマンドは別のプロファイル宣言ではなく、ポリシープロファイルのサブコマンドである必要があります。CiscoのCatalyst 9800設定例では、ワイヤレスプロファイルポリシー<policy-profile-name>を入力し、aaa-overrideを有効にし、nacを有効にしてから、VLANとno shutdownを設定するという正確な手順が示されています。
aaa-overrideを使用すると、VLAN、ACL、QoS、リダイレクトACL、またはポスチャ関連のアクセス制御など、AAAまたはCisco ISEによって返される認証属性を使用して、ローカルで定義されたポリシーを上書きできます。
Ciscoのドキュメントには、AAAオーバーライドはAAAまたはISEサーバーから送信されるポリシーを適用するのに対し、NACはポリシープロファイルでネットワークアクセスコントロールを有効にすると明記されています。これは、エンドポイントが通常のネットワークアクセスを許可される前に、ポスチャ検証を行う必要がある場合に求められる動作です。
Ciscoはまた、NACステートはポリシープロファイルで有効化され、AAAオーバーライドが有効になっている場合にのみ有効化できると指摘している。
オプションAは、nac-policyが正しいCLIキーワードではないため無効です。オプションBとDはNACを省略しています。

クライアント除外は、Cisco Catalyst 9800 WLC の機能で、管理者が、過剰な再試行、過剰な帯域幅使用、ローミングの問題など、不正な動作を示すクライアントを一時的にブロックできるようにします。WLAN ポリシーでクライアント除外を有効にするための IOS XE CLI コマンドは client-exclusion <タイムアウト> です。
<timeout> は、クライアントが WLAN に接続できない期間 (秒単位) を定義します。オプション D は、client-exclusion 120 を正しく使用して、不正なクライアントを 120 秒間ブロックします。オプション A (exclude 120) は、有効な IOS XE 構文ではありません。オプション B (exclusionlist timeout 120) も、ライブ クライアントに適用される WLAN ポリシーではなく、内部の除外リストを参照しているため、正しくありません。オプション C (security exclusion timeout 120) は無効であり、WLAN ポリシー レベルでクライアントの除外を設定しません。Cisco Wireless Core Technologies では、高密度イベントや一時的なネットワーク輻輳時にクライアント除外ポリシーを使用することを推奨しています。これにより、ネットワークの公平性を確保し、WLAN 全体のパフォーマンスを保護し、正常なクライアントの接続性を維持できます。参照トピック:クライアント接続構成 - クライアント除外、WLAN ポリシー、不正なクライアントの緩和、Cisco Catalyst 9800 IOS XE。

Cisco CleanAirテクノロジーは、企業向け無線ネットワークにおけるRF干渉を検出、分類、軽減するように設計されています。Persistent Device AvoidanceはCleanAirの機能の一つで、電子レンジ、屋外ブリッジ、その他のRF機器など、Wi-Fi以外の干渉源を識別し、無線LANコントローラ（WLC）にこれらの干渉源の影響を受けるチャネルを回避するよう指示します。これにより、アクセスポイント（AP）はよりクリーンなチャネルを選択でき、パケット損失の低減、スループットの向上、最適なカバレッジの維持が可能になります。

RADIUSサーバー設定モードでの正しいコマンドは、key 0 MySecretKey123です。Catalystの場合
9800 WLCでは、RADIUSサーバーはradius server < radius-server-name >で定義され、次にサーバーアドレスとポートが設定され、共有シークレットはkey < shared-key >コマンドで適用されます。CiscoのCatalyst 9800 802.1X構成ワークフローでは、正確な手順としてradius server < radius-server-name >が示されています。
> 、アドレス ipv4 < radius-server-ip > 認証ポート 1812 アカウントポート 1813、およびキー < shared-key > 。
Cisco IOS XE コマンドの例として Device(config-radius-server)# key 0 cisco も挙げられますが、Cisco ではこれは RADIUS 認証サーバーの平文キーを設定するコマンドだと説明しています。0 は、キーが CLI で平文形式で入力されることを示しており、「セキュリティなし」という意味ではありません。この値は、Cisco ISE で WLC ネットワーク デバイス用に設定された共有シークレットと一致している必要があります。一致しない場合、RADIUS Access-Request メッセージは拒否または無視されます。オプション A、B、C は、Catalyst 9800 RADIUS サーバーの有効なサブコマンドではありません。
参照トピック: クライアント接続構成 - WPA2/WPA3 Enterprise、802.1X、Cisco ISE統合、RADIUSサーバーオブジェクト、AAAメソッドリスト、および共有シークレット構成。

WLAN上でWebベースのクライアント認証を有効にするコマンドは、security web-authです。
CiscoのCatalyst 9800 Webベース認証ガイドには、WLAN構成のワークフローが示されています。
WLAN設定モードに入り、オープンレイヤー2ゲストWLANのWPAセキュリティを無効にしてから、
セキュリティweb-authを使用して「WLANのWeb認証を有効にする」。Ciscoは、セキュリティweb-auth authentication-list ...およびセキュリティweb-auth parameter-map ...を使用して認証リストとパラメータマップを適用し、Web認証自体が有効になった後にWeb認証方法とポータル動作を詳細化します。
Cisco の LDAP 認証の例は、図表と完全に一致しています。具体的には、wlan webauth 2 webauth、WPA/802.1X レイヤ 2 セキュリティの削除、security web-auth、security web-auth authentication-list ldapauth、および security web-auth parameter-map global です。オプション B は、WLAN ID 2 と SSID 名を持つ WLAN プロファイルを作成または入力するだけです。オプション C と D は、WPA2 と 802.1X AKM を無効にしますが、クライアントの認証は行いません。