正しい認証方法はEAP-TLSです。WPA2-Enterpriseは事前共有キーではなく802.1X/EAP認証を使用し、サプリカント、オーセンティケータ、およびRADIUS認証サーバーがエンタープライズ認証のやり取りに参加します。Ciscoのドキュメントには、エンタープライズWPA/WPA2の動作では、認証に802.1X/EAPが使用され、クライアントと認証サーバー間の強力な認証が提供されると記載されています。
この問題における決定的な要件は、クライアント証明書とサーバー証明書の両方を必要とする証明書ベースの相互認証です。Ciscoは、EAP-TLSではサーバー側とクライアント側の両方の証明書が必要であると明記している一方、PEAPではサーバー側の証明書のみが必要で、通常は保護されたトンネル内でパスワードベースの認証情報を使用してクライアントを認証します。Cisco Secure ACSのドキュメントにも、EAP-TLSは認証サーバーとエンドユーザークライアントの証明書を使用して相互認証を強制すると記載されています。

中央スイッチング構成では、WLANトラフィックはCAPWAPを介してAPからWLCにトンネルされ、そこでVLAN割り当てが行われます。クライアントデバイスが正しいVLAN（この場合はVLAN 10）に配置されるようにするには、WLANポリシープロファイルでVLANマッピングを定義する必要があります。これにより、WLCはクライアントトラフィックをアップストリームスイッチに転送する際に適切にタグ付けできます。オプションCは、WLANプロファイル（ポリシープロファイル）をVLAN 10で構成し、WLANに接続するすべてのクライアントが適切なVLANに自動的にマッピングされるようにするため、正しいです。オプションAは、VLANタグ付けはWLCで中央管理され、中央スイッチングモードではAPのアクセスポートは通常トランキングまたは透過的であるため、誤りです。オプションBは無効です。クライアントデバイスでVLANを手動で構成することは、エンタープライズ構成では実現不可能または拡張性に欠け、CAPWAP中央スイッチングと統合されません。オプションDも誤りです。MACベースのリダイレクトに依存すると複雑になり、中央スイッチングネットワークでのVLAN割り当ての標準的な方法ではありません。 Cisco Wireless Core Technologies では、ポリシー プロファイルを使用して VLAN を一元的に適用し、管理を簡素化し、セキュリティ コンプライアンスを確保し、一貫したエンタープライズ Wi-Fi 接続をサポートすることを推奨しています。参照トピック: クライアント接続構成 - VLAN 割り当て、WLAN ポリシー プロファイル、集中スイッチング展開、Cisco Catalyst 9800 WLC。

Cisco Catalyst Center Assuranceは、集約された健全性データとトラブルシューティングデータを備えた、集中管理型で拡張性の高いマルチサイトクライアント監視という要件を満たす最適なソリューションです。Ciscoによると、Catalyst Center Assuranceはクライアント健全性ダッシュボードを提供し、有線クライアントと無線クライアントの両方をサポートします。特に、すべてのクライアントデバイスの健全性をグローバルに把握し、問題に対処が必要かどうかを判断するために使用されます。
これは、支店拠点全体にわたるクライアントの監視と、パフォーマンス低下時の迅速な対応というニーズに直接合致しています。Catalyst Center Assurance は、ロケーションベースの可視性、ヘルススコアリング、クライアントトレンド分析、AAA や DHCP などのオンボーディング失敗理由、詳細なトラブルシューティングのための Client 360 ビューも提供します。Cisco のドキュメントによると、Client 360 は、発生した問題、発生した日時、発生した理由、影響が局所的か広範囲に及ぶかなど、クライアント接続の詳細なトラブルシューティングを提供します。Cisco の Catalyst Center データシートでは、ネットワークおよびクライアントヘルス ダッシュボードにより、管理者はすべてのネットワーク デバイスとクライアントの概要を、地理的なサイト、デバイス リスト、クライアント リスト、またはトポロジで展開して確認できるとさらに説明しています。Syslog、WLC CLI ログ、ローカル WLC ダッシュボードは便利な運用ツールですが、エンタープライズ規模の保証分析は提供しません。

要件は、ゲスト認証やインターネットブレイクアウトだけではなく、ゲストクライアントの分離です。Catalyst上では
9800 WLCでは、ピアツーピアブロッキングが適切な制御方法です。これは、同じWLANに接続された無線クライアント同士が直接通信することを防止するためです。Ciscoはピアツーピアブロッキングを、個々のWLANに適用されるWLANセキュリティ機能と定義しています。各クライアントはWLANのP2Pブロッキング動作を継承し、トラフィックはローカルでブリッジング、破棄、またはアップストリームに転送されます。このシナリオでは、アップストリームのインターネットアクセスが利用可能な状態でゲスト間のファイル共有を禁止する必要があるため、適切な動作はドロップ動作です。
専用のゲストVLANであるVLAN 30は、本番ネットワークからのトラフィック分離を実現し、VisitorAccess用の明確なポリシー境界を作成します。CiscoのCatalyst 9800構成モデルでは、WLANをポリシープロファイルにマッピングし、ポリシープロファイルはVLAN関連付けを含むクライアントネットワークおよびスイッチングポリシーを定義します。
オプションB、C、Dではクライアント分離は解決されません。ローカル認証ではユーザーが検証され、FlexConnect/ローカルスイッチングではトラフィック転送動作が変更され、マルチキャスト/RADIUSではゲスト間ユニキャストトラフィックがブロックされないためです。参照トピック：クライアント接続構成 - ゲストWLAN設計、P2Pブロッキング、VLANセグメンテーション、Catalyst 9800 WLANとポリシーのマッピング。

上記の要件を満たすCisco 9800 WLC上でゲストWi-Fiネットワークを実装するには、ゲストが社内LANから隔離され、インターネットにアクセスする前にログインページにリダイレクトされるようにする必要があります。さらに、アクセスはWebブラウジングのみに制限され、事前共有キーや証明書は不要である必要があります。
オプションA：「Webポリシーを使用し、同意パラメータマップを指定するWLANを作成する。」これは、ログインページを強制し、ユーザーをWeb認証ページにリダイレクトするために必要です。Webポリシーを使用してWLANを作成することで、ユーザーが利用規約に同意するか、ネットワークにログインできるキャプティブポータルにリダイレクトされることが保証されます。このソリューションは、ユーザーがVLAN内に限定されるため、ゲストネットワークと企業ネットワークを分離するのにも役立ちます。
オプションE：「無線ユーザーをWeb認証パラメータマップに誘導するWLANポリシーを展開する。」Web認証（webauth）はゲストアクセスに不可欠な要素です。Web認証を含むWLANポリシーを展開することで、ユーザーがログインページ（webauthパラメータマップ）に誘導され、インターネットを閲覧する前に認証できるようになります。
その他の選択肢：
オプションBはmDNSをブロックしますが、ログインページやVLAN分離の必要性に直接対処するものではありません。
オプションCはアクセス制御ポリシーの適用において重要ですが、ログインページやアクセス制限（Webブラウジングのみ）のすべての要件を満たすものではありません。
オプションDは、ウェブ閲覧のみへのアクセスを提供するという要件とは無関係です。これは主にピアツーピアのトラフィック遮断に対処するものであり、ウェブアクセス制御とは直接関係ありません。
したがって、正しい解決策は、ログインページのリダイレクトのために、WebポリシーとWeb認証パラメータマップを組み合わせることです（AとE）。