[index] AT-Vista Manager EX(AT-VST-APL版) ベースリファレンスマニュアル 3.12.0
本ページでの名称 | ポート認証での役割 | RADIUSでの役割 | 説明 |
---|---|---|---|
認証サーバー | 認証サーバー | RADIUSサーバー | エンドポイントのMACアドレスをデータベースで管理し、通信の可否の判断を行うサーバーです。本機能では、認証サーバーとしてローカルRADIUSサーバー機能を使用します。 |
クライアント | Authenticator | RADIUSクライアント(NAS) | エンドポイントを接続するエッジポートを持つAMF Plusスイッチまたはルーターです。 RADIUSサーバーに対してユーザーやデバイスの認証情報を照会する機器を指します。RADIUSでは、クライアントまたはNAS(ネットワークアクセスサーバー)と呼びます。 これは一般にネットワーク接続ストレージ(NAS)と呼ばれる機器とは異なり、ネットワーク接続ストレージのほか、無線APやスイッチなど、様々なデバイスを含みます。 IESでは、AMF Plusスイッチ/ルーターがクライアントとして認証の要求を行います。 |
エンドポイント | Supplicant | RADIUSユーザー | 通信を行うデバイスです。 |
デバイス | 設定例におけるIPアドレス |
---|---|
認証サーバー | 10.0.0.1 |
クライアント | 10.0.0.2 |
AVM EX | 10.0.0.254 |
radius-server local server enable auth-mac-promiscuous nas 10.0.0.2 key himitsu !
service stoat ! stoat collector enable stoat collector key segreto !
radius-server host 10.0.0.1 key himitsu ! aaa authentication auth-mac default group radius
service stoat ! stoat discovery dot1x stoat destination 10.0.0.1 key segreto !
auth radius send service-type radius dynamic-authorization-client 10.0.0.254 key Geheimnis
interface port1.0.3-1.0.8 auth-mac enableここではポート1.0.3~1.0.8を例にしています。
Noteポート認証機能をトランクグループ上(saX、poXインターフェース)で使用することはできません。また、ルーターではLANポートのみを使用できます。
log date-format iso log host 10.0.0.254 log host 10.0.0.254 level informational program 802.1x
行 | MACアドレス | RADIUSユーザー名 | 状態 | 認証 | 表される状態 |
---|---|---|---|---|---|
1行目 | (MACアドレス) | (MACアドレス) | 許可 | 認証済み | ポートに接続中で、許可ユーザーとしてMACアドレスが登録されており、認証に成功した、通信可能なエンドポイント。 |
2行目 | (MACアドレス) | (MACアドレス) | 拒否 | ポートに接続中で、拒否ユーザーとしてMACアドレスが登録されており、認証に失敗した、通信不能なエンドポイント。 | |
3行目 | (MACアドレス) | - | 未決定 | 認証済み | ポートに接続中で、許可ユーザーとしてMACアドレスが登録されておらず、ポート認証のプロミスキャスモードによって認証に成功した、通信可能なエンドポイント。 |
4行目 | (MACアドレス) | - | 未決定 | ポートに接続中で、許可ユーザーとしてMACアドレスが登録されておらず、認証されていない、通信不能なエンドポイント。 | |
5行目 | - | (MACアドレス) | 許可 | 許可ユーザーとしてMACアドレスが登録されているが、ポートへの接続は未確認のデバイス。 未接続の登録済みエンドポイントである場合の他、ポート認証以外の無線APのMACアドレス認証などで使用するRADIUSユーザーの可能性がありますが、この一覧では接続中か否かは不明です。 プラグインなどによって検出されている場合は、「IPアドレス」列などに情報が表示されることもあります。 |
|
6行目 | - | (MACアドレス) | 拒否 | 拒否ユーザーとしてMACアドレスが登録されているが、ポートへの接続は未確認のデバイス。 未接続の登録済みエンドポイントである場合の他、ポート認証以外の無線APのMACアドレス認証などで使用するRADIUSユーザーの可能性があります。 |
Noteデバイスの通信を拒否した際、一時的にデバイスが重複して表示されることがありますが、Webブラウザーの再読み込みまたはエンドポイント一覧の更新の際に正しい表示になります。
NoteAVM EXとクライアントに設定された共有パスワードが一致しない場合、CoAメッセージが破棄され、認証の即時解除が行われない場合があります。
この場合は、クライアントに設定された再認証間隔が経過するまで通信は許可されたままとなります。
Noteアクションを実行すると、RADIUSサーバーグループに所属するAMFデバイスにRADIUSユーザーが登録されます。この情報はランニングコンフィグ(動作時コンフィグ)に記録されます。作業後はこれらのデバイスに対し、CLIまたは「資産管理」画面のデバイス一覧にて、ランニングコンフィグをスタートアップコンフィグに保存する必要があります。
Noteデバイスの拒否/許可の実行結果はエンドポイント一覧には直ちに反映されません。認証サーバー上のデータベースが更新されたあとで、手動でWebブラウザーを更新した際、または、一覧の自動更新の際に反映されます。