弱者は決して許すことができない。許しは強者の態度である── ガンディー
ネットワーク

無線の通信が有線に現れる場所は、WLC 側か AP の有線インターフェースかで変わる

図 3 でアクセスポートに VLAN 番号を付けたのと同じことを、電波の名前である SSID に対してやる。AP が受けた通信が有線に現れる場所が 2 通りあることを 1 枚で追う

ぴぐおv1人の校閲なし（AI のみ）訂正なし
ネットワークwireless-lancapwapconcept
目次

図 3 では、物理ポートに VLAN 番号を人が付けました。その物理ポートが電波になると、同じことを電波の名前に対してやります。ここで見るのは、AP が受けた無線の通信がどこで有線に現れるかです。出口は 2 通りあります。

図 19 は 10/17 の勉強会の予習です。実機はまだ触っていないので、素材は公開されているドキュメントだけです。

この連載は、ネットワークの言葉をもの（物理と論理）、結びつき（手動、自動、固定）、通信フロー（1 本の通信がこれらを順に通る流れ）の 3 層に置いています。

登場するもの

AP（アクセスポイント）

電波を出す箱です。物理のものです。有線のインターフェースを 1 つ持ち、そこで有線につながります。

SSID

電波の名前です。論理のものです。1 台の AP が複数の SSID を出せます。

チャネル

周波数の区画です。論理のものです。2.4GHz ではチャネルの中心が 5MHz ずつずれ、1 チャネルの幅は 22MHz（11b）です。5 つ離せば 25MHz 空くので重ならず、重ならない組が 1、6、11 になります。

WLC（無線 LAN コントローラ）

AP をまとめて設定する箱です。物理のものです。SSID、チャネル、電波の強さを AP に配り、つながっている端末の表を持ちます。

CAPWAP のトンネル

AP と WLC の間の通り道です。論理のものです。制御用（UDP 5246）とデータ用（UDP 5247）の 2 本があります。

結びつき

SSID と VLAN の結びつきは手動です。集中型では WLC の動的インターフェース（WLAN を VLAN とサブネットに対応づける層 3 のインターフェース）に結びつけ、ローカルスイッチングでは AP の有線インターフェースで付けるタグ番号に結びつけます。

AP と WLC の結びつきは自動です。AP が WLC を探して参加を申し込み、参加できると設定を受け取ります。人が決めるのは AP のモードだけです。

AP の有線インターフェースをトランクにするかどうかも手動です。Local モードなら CAPWAP と AP 自身の通信しか通らないのでアクセスで足り、ローカルスイッチングをするならタグを付けるのでトランクにします。

通信フロー

① AP が起動すると WLC を探して参加します。制御用トンネル（UDP 5246、DTLS で暗号化）ができ、SSID、チャネル、電波の強さの設定を受け取ります。

② 端末 1 が SSID「社内」を選んで参加します。端末 1 のデータはまだ有線に出ていません。参加の手続きそのものは ① の制御用トンネルで WLC へ上がります。

③ 集中型では、AP は端末 1 の通信を CAPWAP のデータ用トンネル（UDP 5247）に入れ、WLC まで運びます。包まれた中には端末 1 の MAC アドレスも入っていますが、拠点のスイッチは外側の MAC アドレス（AP のもの）しか見ないので、端末の MAC アドレスは載りません。

④ WLC がトンネルから出し、SSID「社内」に結びつけた VLAN 3 のタグを付けて有線へ出します。端末 1 の通信が有線に現れるのは、この WLC の物理ポートが最初です。

⑤ ローカルスイッチングでは、SSID「来客」を AP が自分の有線インターフェースでタグ 20 を付けて出します。端末 2 の通信は拠点のスイッチにそのまま現れ、MAC アドレスも見えます。WLC へは制御だけが通ります。

AP のモードと出口の決まり方は別の話です。Local モードは全部の SSID の通信を CAPWAP で WLC へ運んで選べず、FlexConnect モードは SSID ごとに出口を選べます。

有線の形に直すのが誰かも、モードで変わります。IEEE 802.11 のフレームは有線の Ethernet フレームと形が違い、この図の AP は自分で直してから送ります（RFC 5415 §2 の Local MAC）。Local モードでは 802.11 のフレームのまま CAPWAP で運び、直すのは WLC です（同じく Split MAC）。RFC の Local MAC と Cisco の Local モードは別の語です。

電波の上の暗号は WPA2 が長く使われ、その後継の WPA3 は合言葉のやり取りを SAE という方式に置き換えています。

図 19

上が構成図とフローの矢印、その下にチャネルの重なりと AP のモードの箱が並びます。いちばん下は各表の推移と、通信の中身の推移です。

無線 LAN：アクセスポートが電波になる。AP が受けた通信は、どこで有線に出るか SSID（電波の名前）と VLAN を結びつけるのは人。AP と WLC は CAPWAP でつながる。有線への出口が WLC 側か AP 側かで 2 通りある 支店（拠点） データセンター 端末 1 SSID「社内」 192.168.3.60 端末 2 SSID「来客」 192.168.20.50 AP-1 電波を出す箱（物理） 管理 IP 192.168.10.60 モード：FlexConnect SSID「社内」＝集中型 SSID「来客」＝ローカル 有線口：トランク スイッチ 1 AP の口：トランク タグなし＝VLAN 10 （AP 自身の通信） タグ 20＝来客の通信 端末 2 の MAC を学ぶ ルータ 1 Gi8.10（VLAN 10） Gi8.20（VLAN 20） 図 6 と同じ 外向き：WAN へ WLC AP をまとめて設定する箱 管理 IP 192.168.3.50 動的インターフェース VLAN 3 ＝ 192.168.3.0/24 PC-C 192.168.3.10 電波 2 WAN （図 5・7） LAN T 4 ④ 端末 1 の通信が有線に出るのは、この口が最初 3 ③ 集中型：CAPWAP のデータ用トンネル（UDP 5247）で、端末 1 の通信を包んで WLC まで運ぶ 5 ⑤ ローカルスイッチング：AP が自分の有線口からタグ 20 を付けて出す 1 ① 制御用トンネル（UDP 5246・DTLS で暗号化）：AP の参加と設定の配布。どちらのモードでも必ずある WLC への線が切れると、FlexConnect の AP は standalone になる。ローカルスイッチングの SSID は動き続け、集中型の SSID は止まる 途中のスイッチ・ルータは、外側の宛先（WLC の IP）だけを見て運ぶ。中身が無線の通信であることは知らない フロー ① AP は起動すると WLC を探して参加する。制御用トンネルができ、SSID・チャネル・電波の強さの設定を WLC から受け取る ② 端末 1 が SSID「社内」を選んで参加する。端末 1 のデータはまだ有線に出ていない（参加の手続きは ① の制御用トンネルで WLC へ上がる） ③ 集中型：AP は端末 1 の通信を CAPWAP のデータ用トンネルに入れ、WLC まで運ぶ。拠点のスイッチからは AP 自身の通信にしか見えない ④ WLC はトンネルから出し、SSID「社内」に結びつけた VLAN 3 のタグを付けて有線へ出す。端末 1 の通信が有線に現れるのは、この WLC の口が最初 ⑤ ローカルスイッチング：SSID「来客」は AP が自分の有線口でタグ 20 を付けて出す。端末 2 の通信は、拠点のスイッチにそのまま現れる（MAC も見える） 3 層で見ると もの：AP（電波を出す箱・物理）／SSID（電波の名前・論理）／チャネル（周波数の区画・論理）／WLC（AP をまとめる箱・物理）／CAPWAP のトンネル（論理） 結びつき：SSID ⇄ VLAN（手動。集中型は WLC の動的インターフェース、ローカルは AP の有線口のタグ）／AP ⇄ WLC（自動。AP が探して参加する） フロー：図 3 の「アクセスポートに VLAN 番号を付ける」が SSID に置き換わる。図 4 のタグが付く場所が、WLC か AP かの 2 通りになる 図 5・7 との接続：CAPWAP の外側は普通の IP パケット。途中のルータは図 5 のとおり MAC を付け替えて運ぶ データ用トンネルの暗号は既定で無効なので、有線区間では中身が読める＝図 7 の問題 3 はここでも残っている チャネル：2.4GHz で重ならない組は 1 / 6 / 11 チャネルの中心は 5MHz ずつずれ、1 チャネルの幅は 22MHz（11b） 5 つ離せば 25MHz ＞ 22MHz なので重ならない → 1 / 6 / 11 1 6 11 3 2412 2437 2462 隣り合うチャネル（例 3）は 1 とも 6 とも重なる＝互いに邪魔になる 5GHz（11a）は重ならないチャネルを多く取れる（利用できるチャネルは最大 19） AP のモード（WLC 配下）と、電波の上の暗号 Local：全部の SSID の通信を CAPWAP で WLC へ運ぶ（選べない） FlexConnect：SSID ごとに、WLC へ運ぶか AP の有線口から出すかを選ぶ Monitor：電波の監視だけ。Sniffer：電波を丸ごと捕らえて WLC へ送る Rogue Detector：無線を止め、有線側で不審な機器を探す Bridge / Flex+Bridge：有線の代わりに無線で WLC までつなぐ構成で使う 暗号（電波の上）：WPA2 が長く使われ、WPA3 が後継。合言葉の扱いを強くした FlexConnect は WAN を挟む拠点向け。AP と WLC の往復の遅れは 300 ミリ秒以下 AP の有線口：Local は CAPWAP が通るだけ。ローカルはタグを付けるのでトランク 各テーブルの推移（○番のフローで追加された行。青字） 前提: AP-1 は WLC に参加済み。SSID「社内」は集中型、SSID「来客」はローカルスイッチングに設定してある（どちらも人が決める） WLC：AP の登録の表（自動で育つ） ① 追加: AP-1 / 192.168.10.60 → 参加済み モードは FlexConnect（人が設定） SSID・チャネル・出力を配る WLC：SSID ⇄ VLAN の対応（手動） SSID「社内」→ 動的インターフェース 　VLAN 3（192.168.3.0/24）＝集中型 SSID「来客」→ ローカルスイッチング AP-1：SSID ⇄ タグ の対応（手動） SSID「来客」→ タグ 20 有線口はトランク（タグなし＝VLAN 10） この行が無いと出口が決まらない スイッチ 1：MAC テーブル（VLAN 10） ① 追加: MAC AP-1 → ポート T（タグなし） 集中型の端末 1 の MAC はここに載らない （有線に出る送信元が AP だから） スイッチ 1：MAC テーブル（VLAN 20） ⑤ 追加: MAC 端末 2 → ポート T（タグ 20） ローカルスイッチングでは端末の MAC が そのまま有線に出る WLC：つながっている端末の表 ② 追加: 端末 1 / SSID 社内 / AP-1 端末 2 も載る（制御は WLC が持つ） 未検証: 表示される項目は機種で違う 通信の中身の推移（フローごとのフレーム／パケット） ① AP → WLC：参加の申し込みと設定の受け取り（制御用） CAPWAP の制御メッセージ。UDP 5246。DTLS で暗号化される。AP はここで SSID・チャネルの設定を受け取る ② 端末 1 → AP（電波の上） IEEE 802.11 のフレーム。有線の Ethernet フレームとは形が違う。この図の AP（FlexConnect）は自分で有線の形に直してから先へ送る 　（つづき）Local モードでは、有線の形に直すのは AP ではなく WLC 802.11 のフレームのまま CAPWAP で運び、WLC が有線の形に直す（RFC 5415 §2 の Split MAC と Local MAC の違い） ③ AP → スイッチ 1：集中型（CAPWAP で包む。この区間はタグなし） 宛先 MAC MAC R1-Gi8 送信元 MAC MAC AP-1 外側 宛先 IP 192.168.3.50 外側 送信元 IP 192.168.10.60 CAPWAP UDP 5247 内側 宛先 IP 192.168.3.10 内側 送信元 IP 192.168.3.60 内側 データ ping 左の 5 つが外側＝有線の機器が見る部分。右の 3 つが中身＝端末 1 の通信。外側の宛先 MAC がルータ 1 なのは、宛先 192.168.3.50 が AP のネットワーク外だから＝図 5 の ① と同じ 　（つづき）AP の有線口は VLAN 10 がタグなしなので、この区間にタグは付かない タグ 10 が付くのは、スイッチ 1 からルータ 1 へ向かうトランクの区間だけ（図 4 と同じ決まり）。CAPWAP で包むことと、タグの付け外しは別の話 　（つづき）包まれた中には端末 1 の MAC も入っている でも拠点のスイッチは外側の MAC（AP のもの）しか見ないので、端末 1 の MAC は学習されない。だから集中型では拠点のスイッチに端末の MAC が載らない ④ WLC → 有線（トンネルから出し、タグ 3 を付ける） 宛先 MAC MAC C 送信元 MAC MAC 端末 1 タグ（VLAN 番号） 3 宛先 IP 192.168.3.10 送信元 IP 192.168.3.60 データ ping 端末 1 の MAC が有線に現れるのは、この WLC の口が最初（拠点のスイッチは見ていない）。動的インターフェースが WLAN を VLAN とサブネットに対応づけている ⑤ AP → スイッチ 1：ローカルスイッチング（AP がタグ 20 を付ける） 宛先 MAC MAC R1-Gi8 送信元 MAC MAC 端末 2 タグ（VLAN 番号） 20 宛先 IP 192.0.2.50 送信元 IP 192.168.20.50 データ ping 包まない。図 4 のトランクの区間と同じ形。この後は図 6 のとおりルータ 1 の Gi8.20 が受ける 　（つづき）宛先の 192.0.2.50 は外のサーバ 192.0.2.x も説明用に予約された番地（RFC 5737）。図 8 と同じ相手。203.0.113.x はルータ 1 の外側の線の中の番地なので、外のサーバには使わない データ用トンネル（UDP 5247）の暗号は既定で無効（OfficeExtend を除く）。つまり有線区間では中身が読める＝図 7 の問題 3 はここでも残る LWAPP は CAPWAP の前身。古い資料に出てくる UDP 12222 / 12223 は LWAPP の番号で、CAPWAP は 5246 / 5247 注 この図は WLC の管理 IP と動的インターフェース（VLAN 3）を同じ網にしている。Cisco は管理と動的を別 VLAN に分ける設計を示す。ここでは簡略化 出典 有線の形に直すのが AP 側か WLC 側か（Local MAC と Split MAC）　RFC 5415 §2　https://www.rfc-editor.org/rfc/rfc5415.txt 出典 CAPWAP の UDP 5246 / 5247・DTLS の既定・AP の参加（Cisco Wireless Controller Configuration Guide 8.10） 　https://www.cisco.com/c/en/us/td/docs/wireless/controller/8-10/config-guide/b_cg810/ap_connectivity_to_cisco_wlc.html 出典 AP のモード（Local / FlexConnect / Monitor / Sniffer / Rogue Detector / Bridge）同 8.10 Managing APs 　https://www.cisco.com/c/en/us/td/docs/wireless/controller/8-10/config-guide/b_cg810/managing_aps.html 出典 FlexConnect の定義・ローカル/集中スイッチング・トランクとタグ・connected / standalone・往復 300 ミリ秒　同 8.10 FlexConnect 　https://www.cisco.com/c/en/us/td/docs/wireless/controller/8-10/config-guide/b_cg810/flexconnect.html 出典 動的インターフェース＝WLAN を VLAN とサブネットに対応づける層 3 のインターフェース／コントローラの口は 802.1Q トランク　同 8.10 Ports and Interfaces 　https://www.cisco.com/c/en/us/td/docs/wireless/controller/8-10/config-guide/b_cg810/ports_and_interfaces.html 出典 2.4GHz のチャネル間隔 5MHz・幅 22MHz（11b）・1/6/11　https://www.infraexpert.com/study/wireless3.html 出典 WPA3 は WPA2 の後継で、合言葉のやり取りを SAE に置き換えた（Wi-Fi Alliance・2018-06-25） 　https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-introduces-wi-fi-certified-wpa3-security 未検証 線が切れた後に新しく参加する端末がどうなるかは、認証を WLC でやるか AP でやるかで変わる（本図では扱わない） 未検証 Local モードの AP の電波が、WLC とつながっている間だけ動くかどうか（一次資料で確認できていない） 未検証 IEEE 802.11 のフレームの MAC の欄がいくつあるか（本図は「有線と形が違い AP が直す」までを根拠とする） 注 11g は 1 チャネルの幅が 20MHz なので 1/5/9/13 も取れるが、22MHz 間隔（1/6/11）を励行する、と同じ出典にある 注 この図は分かりやすさのため無線の端末に VLAN 3・VLAN 20 を使っているが、実際は無線用に専用の VLAN を分けるのが普通 ## 図 3〜7 との接続

図 3 でアクセスポートに VLAN 番号を手で付けたのと同じことを、SSID に対してやります。同じ VLAN が全員あての届く範囲である、という決まりも、図 4 の「タグはトランクの区間だけ」も変わりません。

変わるのはタグを付ける場所で、WLC の物理ポートか AP の有線インターフェースかの 2 通りになります。図の ③ の区間にタグが付かないのは、AP の有線インターフェースで VLAN 10 をタグなしにしているからです。CAPWAP で包むこととタグの付け外しは別の話です。

CAPWAP の外側は普通の IP パケットなので、途中のルータは図 5 のとおり MAC アドレスを付け替えて運び、中身が無線の通信であることは知りません。ローカルスイッチングで出たタグ 20 の通信は、図 6 のとおりルータ 1 の Gi8.20 が受けます。

図 7 の 3 つの問題のうち、3 つ目はここでも残ります。CAPWAP のデータ用トンネルの暗号（DTLS）は OfficeExtend を除いて既定で無効なので、有線の区間では中身が読めます。

なお CAPWAP は LWAPP の後継で、古い資料に出てくる UDP 12222 と 12223 は LWAPP の番号です。

未検証・注意

  • WLC への線が切れて standalone になったとき、ローカルスイッチングの SSID は動き続け、集中型の SSID は止まります。ただし出典には、ローカル認証を使うローカルスイッチングの SSID は connected でも standalone でも動くとも書かれています。切れた後に新しく参加する端末の扱いは認証をどちらでやるかで変わるため、扱っていません。
  • Local モードの AP の電波が、WLC とつながっている間だけ動くかどうかは一次資料に当たれていません。
  • IEEE 802.11 のフレームの MAC アドレスの欄がいくつあるかは確認していません。有線と形が違うことと、直すのが AP 側か WLC 側かは RFC 5415 §2 で確認しました。
  • 分かりやすさのため無線の端末に VLAN 3 と VLAN 20 を使っていますが、無線用に専用の VLAN を分けるのが普通です。
  • WLC の管理 IP アドレスと動的インターフェースを同じ網（192.168.3.0/24）にしています。Cisco は管理用と端末用を別の VLAN に分ける設計を示しており、ここでは簡略化しています。
  • 11g は 1 チャネルの幅が 20MHz なので 1、5、9、13 も取れますが、同じ出典は 22MHz 間隔を励行しています。
  • WPA2 と WPA3 は名前と役割だけで、どの方式が今どう非推奨かには踏み込んでいません。
  • 設定コマンドは 1 つも書いていません。勉強会の資料もまだありません。外のサーバの 192.0.2.50 は説明用に予約された番地（RFC 5737）です。

出典

関連

この記事の校閲記録

誰が・いつ・どの版の・どの段落を・何の観点で見て、何と言ったかを全件そのまま出す（追記のみ・削除しない）。

段落 41 のうち出典つき 14・出典なし 27

v1 2 件

  • AIAI (claude-fable-5) が AI 確認未解決

    出典 8 件を WebFetch で取得して確認した。CAPWAP の UDP 5246（制御）と 5247（データ）、データ側の DTLS が OfficeExtend を除いて既定で無効であることは Cisco の 8.10 構成ガイドで確認した。Local モードが全 WLAN の通信を CAPWAP で運ぶこと、FlexConnect が WLAN の設定によって出口を選ぶことは同ガイドの Managing APs で確認した。FlexConnect が拠点向けであること、locally switched と centrally switched、802.1Q のトランクとタグ、connected と standalone、往復 300 ミリ秒以下は同ガイドの FlexConnect で確認した。動的インターフェースが WLAN を VLAN とサブネットに対応づける層 3 のインターフェースであること、コントローラの口が 802.1Q トランクであることは同ガイドの Ports and Interfaces で確認した。有線の形に直すのが AP 側か WLC 側かは RFC 5415 §2 の Local MAC と Split MAC の記述で確認した。2.4GHz のチャネル間隔 5MHz と 11b の幅 22MHz、重ならない組 1/6/11、11a の最大 19 チャネルはインフラエキスパートで確認した。CAPWAP が LWAPP の後継であることも同サイトで確認した。WPA3 が WPA2 の後継で SAE を使うことは Wi-Fi Alliance の 2018-06-25 の発表で確認した。この記事は 10/17 の勉強会の予習で、実機の観察は含まない。standalone になった後の新規の端末、Local モードの電波の扱い、IEEE 802.11 のフレームの MAC の欄の数は未検証として本文に明記した。校正チェックリストを全項目回し、図の『口』を本文では物理ポートとインターフェースに書き分け、ポート番号は UDP の番号にだけ使った。守秘検査（人名、社名、会場名、地名、連絡先の機械検査）で該当なし

  • AIAI (claude-fable-5) が 編集未解決

    公開前の校閲。「この 19 本目」を「図 19」に直した。関連を、図 8〜16 と同じ形に揃え、前の記事（図 18）と次の記事（図 20）への行と /notes/ のパスを足した。外のサーバが 192.0.2.50 であること、VLAN 3 と VLAN 20 の使い分け、Local MAC と Cisco の Local モードの書き分けは図と担当メモに一致していたので、修正していない。

参考文献

更新履歴

  • 連載のトピックを「ネットワーク基礎」から「ネットワーク」へ改名（32 本＋目次。slug と URL は不変）
  • 公開: 連載「ネットワーク基礎」図 8〜24 の記事 17 本と目次の更新

機械可読の記録

この記事とつながる記事