[index] CentreCOM AR550S コマンドリファレンス 2.9

# 運用・管理/ポート認証

      - 概要
      - ポート認証方式（Authenticator）
      - EAP認証方式
      - 基本設定
       - Authenticator
       - Authenticator（ダイナミックVLAN）
       - Supplicant
       - 認証サーバー

本製品は、ポート単位でLAN上のユーザーや機器を認証するポート認証機能を実装しています。ポートに接続された機器（および機器を使用するユーザー。以下同様）の認証方法としては、大きく分けて次の2種類をサポートしています。

- IEEE 802.1X認証（以下、802.1X認証）
- MACアドレスベース認証（以下、MACベース認証）

802.1X認証は、EAP（Extensible Authentication Protocol）というプロトコルを使って、ユーザー単位で認証を行うしくみです。802.1X認証を利用するには、認証する側と認証される側の両方が802.1Xに対応している必要があります。
一方、MACベース認証は、機器のMACアドレスに基づいて機器単位で認証を行うしくみです。認証される側に特殊な機能を必要としないため、802.1X認証の環境に802.1X非対応の機器（例：ネットワークプリンター）を接続したい場合などに利用できます。おもに、802.1X認証を補完するものとして利用されます。
802.1XおよびMACベースのポート認証機能を使用すれば、ポートに接続された機器を認証し、認証に成功したときだけ同機器からの通信、および、同機器への通信を許可するよう設定できます。また、認証に成功した機器を特定のVLANにアサインすることも可能です（ダイナミックVLAN）。さらに、本製品はSupplicant機能にも対応しているため、他の機器から認証を受けるよう設定することもできます。

概要

ポート認証のシステムは、通常下記の3要素から成り立っています。

- Authenticator（認証者）：ポートに接続してきたSupplicant（クライアント）を認証する機器またはソフトウェア。802.1X認証ではEAPメッセージの交換によってSupplicantを認証する（ユーザー認証）。また、MACベース認証ではSupplicantのMACアドレスによって認証を行う（機器認証）。認証に成功した場合はポート経由の通信を許可、失敗した場合はポート経由の通信を拒否する。認証処理そのものは、認証サーバー（RADIUSサーバー）に依頼する（Supplicantの情報を認証サーバーに中継して、認証結果（成功・失敗）を受け取る）。
- 認証サーバー（RADIUSサーバー）：Authenticatorの要求に応じて、Supplicantを認証する機器またはソフトウェア。ユーザー名、パスワード、MACアドレス、所属VLANなどの認証情報を一元管理している。Authenticatorとの間の認証情報の受け渡しにはRADIUSプロトコルを用いる。
- Supplicant（クライアント）：ポートへの接続時にAuthenticatorから認証を受ける機器またはソフトウェア。802.1Xの認証を受けるためには、802.1X Supplicantの機能を備えている必要がある。802.1X Supplicant機能は、一部のOSに標準装備されているほか、単体のクライアントソフトウェアとして用意されていることもある。一方、MACベースの認証を受けるために特殊な機能は必要ない。

本製品の各スイッチポート/Ethernetポートは、上記のうち、AuthenticatorとSupplicantになることができます（Authenticatorであると同時にSupplicantでもあるような設定も可能）。認証サーバー（RADIUSサーバー）は別途用意する必要があります。

> Note - 本製品では、複数台のSupplicantを個々に認証する使用方法（Multi-Supplicantモード）はEthernetポートのみでサポートしています。

ポート認証方式（Authenticator）

本製品のポートをAuthenticatorとして設定する場合、設定できる認証方式と、設定可能なポートの種類は以下のとおりです。

表 1：Authenticatorとして設定できるポート認証方式
ポート認証方式 | 設定可能なポートの種類
ダイナミックVLANなしの場合 | ダイナミックVLANありの場合
802.1X認証（Single-Supplicantモード） | ETH/VLAN | VLANのみ
802.1X認証（Multi-Supplicantモード） | ETHのみ | 未サポート
MACベース認証（Multi-Supplicantモード） | ETHのみ | 未サポート

- Single-Supplicantモード：Supplicantが1台だけ接続されていることを想定したモードです。
- Multi-Supplicantモード：複数のSupplicantを個々に認証するモードです。
- ダイナミックVLAN：使用すると、認証結果に応じて、Supplicantが所属するVLANを動的に変更できます。
- 同一ポートで802.1X認証とMACベース認証の併用はできません。
- ユーザー単位でのダイナミックVLANによるVLAN割り当てはできません。

EAP認証方式

802.1X認証では、EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAPなど様々な認証方式が使用されています。このうち、本製品の802.1X認証モジュールが現在サポートしているEAP認証方式は以下のとおりです。

- Authenticator時：EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAP、EAP-OTP(MD4/MD5)
- Supplicant時：EAP-MD5、EAP-OTP(MD4/MD5)

基本設定

本製品を使ってポート認証のシステムを運用するための基本的な設定例を示します。以下の例では、メインの認証方式として802.1X認証を使用します。（より具体的な設定例については設定例集をご覧ください。）

Authenticator

本製品をAuthenticatorとして使用する場合の基本設定を示します。Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。
ここでは、すべてのポートがVLAN defaultに所属していることを前提に、ポート1〜3で802.1X認証を行うものとします。また、RADIUSサーバーはポート4（通常のポート）に接続されているものとします。

1. 802.1XではRADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。IPモジュールを有効にし、VLAN defaultにIPアドレスを設定します。

   `ENABLE IP ↓
   ADD IP INT=vlan-default IP=192.168.10.5 MASK=255.255.255.0 ↓
   `

   > Note - ここではRADIUSサーバーがVLAN default上にあるものと仮定しています。他のVLAN上にあるときは、RADIUSサーバーまでの経路を適切に設定してください。

2. RADIUSサーバーのIPアドレスとUDPポート、共有パスワードを指定します。

   `ADD RADIUS SERVER=192.168.10.130 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
   `
3. 802.1X認証機能を有効にします。

   `ENABLE PORTAUTH=8021X ↓
   `
4. ポート1〜3で802.1X認証を行うよう設定します。「TYPE=AUTHENTICATOR」の指定により、ポート1〜3はAuthenticatorポートとなります。

   `ENABLE PORTAUTH=8021X PORT=1-3 TYPE=AUTHENTICATOR ↓
   `

> Note - 802.1X認証のAuthenticatorポート（およびMACベース認証ポート）では、VRRPを使用できません。また、802.1X認証のAuthenticatorポート（およびMACベース認証ポート）をタグ付きに設定することはできません。

> Note - RADIUSサーバーを接続するポートは、Authenticatorポートにしないでください。Authenticatorポートにする場合は、ENABLE PORTAUTH PORTコマンド/SET PORTAUTH PORTコマンドのCONTROLパラメーターをAUTHORISEDに設定してください。

Authenticator（ダイナミックVLAN）

ダイナミックVLAN（Dynamic VLAN Assignemnt）は、RADIUSサーバーから受け取った認証情報に基づいてポートの所属VLANを動的に変更する機能です。本製品では、802.1X認証のSingle-Supplicantモード（スイッチポートのみ）で使用可能です。
以下、本製品をAuthenticatorとして使用し、さらにダイナミックVLAN機能を利用する場合の基本設定を示します。Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。
ここでは、利用者機器のために3つのVLAN「A」、「B」、「C」を用意します。また、RADIUSサーバーを接続するためのVLAN「R」も作成します。各ポートに接続された機器は、認証成功後、RADIUSサーバー側から返されたVLAN（「A」、「B」、「C」のどれか）に自動的にアサインされます。
ここでは、ポート1〜3で802.1X認証を行うものとします。また、RADIUSサーバーは、VLAN「R」所属のポート4（通常のポート）に接続されているものとします。

1. VLANを作成します。

   `CREATE VLAN=A VID=10 ↓
   CREATE VLAN=B VID=20 ↓
   CREATE VLAN=C VID=30 ↓
   CREATE VLAN=R VID=1000 ↓
   `
2. RADIUSサーバーを接続するポート4をVLAN「R」に割り当てます。

   `ADD VLAN=R PORT=4 ↓
   `
3. 802.1XではRADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。IPモジュールを有効にし、VLAN「R」にIPアドレスを設定します。

   `ENABLE IP ↓
   ADD IP INT=vlan-R IP=192.168.10.5 MASK=255.255.255.0 ↓
   `

   > Note - ここではRADIUSサーバーがVLAN「R」上にあるものと仮定しています。他のVLAN上にあるときは、RADIUSサーバーまでの経路を適切に設定してください。

4. RADIUSサーバーのIPアドレスとUDPポート、共有パスワードを指定します。

   `ADD RADIUS SERVER=192.168.10.130 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
   `
5. 802.1X認証機能を有効にします。

   `ENABLE PORTAUTH=8021X ↓
   `
6. ポート1〜3で802.1X認証を行うよう設定します。「TYPE=AUTHENTICATOR」の指定により、ポート1〜3はAuthenticatorポートとなります。また、「VLANASSIGNMENT=ENABLED」の指定により、ダイナミックVLANを有効にします。

   `ENABLE PORTAUTH=8021X PORT=1-3 TYPE=AUTHENTICATOR VLANASSIGNMENT=ENABLED ↓
   `

> Note - 本製品でダイナミックVLANを使用する場合、Single-Supplicantモード（Supplicant1台だけを想定した使用方法）のみ使用できます。また、設定可能なポートはスイッチポートのみです。

> Note - 802.1X認証のAuthenticatorポートをタグ付きに設定することはできません。

> Note - RADIUSサーバーを接続するポートは、Authenticatorポートにしないでください。Authenticatorポートにする場合は、ENABLE PORTAUTH PORTコマンド/SET PORTAUTH PORTコマンドのCONTROLパラメーターをAUTHORISEDに設定してください。

■ ダイナミックVLANの動作仕様は次のとおりです。

- Supplicantの認証に失敗した場合、ポートは本来のVLAN（ADD VLAN PORTコマンドで指定したVLAN）の所属となります。ポート越えの通信は不可能です。
- RADIUSサーバーから有効なVLANの情報が返ってきた場合、ポートはそのVLANの所属となります。認証に成功すれば、ポート越えの通信も可能です。
- RADIUSサーバーから無効なVLANの情報が返ってきた場合、ポートは本来のVLAN所属となります。また、認証も失敗となるため、ポート越えの通信は不可能です。
- RADIUSサーバーからVLANの情報が返ってこなかった場合、ポートは本来のVLAN所属となります。認証に成功すれば、ポート越えの通信も可能です。
- 該当ポートまたはシステム全体でポート認証が無効に設定された場合、ポートは本来のVLAN所属となります。ポート認証が無効なので、ポート越えの通信に関する制限はありません。
- 未認証のポート、および、CONTROL=UNAUTHORISED（未認証固定）またはCONTROL=AUTHORISED（認証済み固定）に設定されたポートは、本来のVLAN所属となります。

■ ポートがダイナミックVLANにアサインされているときは、ADD VLAN PORTコマンドで該当ポートの所属VLANを変更しても、設定変更は直ちには反映されません。ポートがダイナミックVLANから本来のVLANに戻るのは、次のときです。

- 認証セッションのタイムアウト時。
- リンクがダウンしたとき。
- ポート上でポート認証が無効にされたとき（DISABLE PORTAUTH PORTコマンド）。
- システム上でポート認証が無効にされたとき（DISABLE PORTAUTHコマンド）。

Supplicant

本製品を802.1X Supplicantとして使用する場合の基本設定を示します。ここでは、ポート1が認証を受けるものとします。Supplicantとしての動作においては、IPの設定は必須ではありません。

1. 802.1X認証モジュールを有効にします。

   `ENABLE PORTAUTH=8021X ↓
   `
2. ポート1で認証を受けるよう設定します。認証を受けるためのユーザー名とパスワードを指定してください。「TYPE=SUPPLICANT」の指定により、ポート1はSupplicantポートとなります。

   `ENABLE PORTAUTH=8021X PORT=1 TYPE=SUPPLICANT USERNAME=atswitch PASSWORD=atpasswd ↓
   `

認証サーバー

ポート認証機能を利用するために必要な認証サーバー（RADIUSサーバー）の設定項目について簡単に説明します。

> Note - 認証サーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。

- 802.1X認証において、ダイナミックVLANを使用しないときは、ユーザーごとに下記の属性を定義してください。

  表 2：802.1X認証（ダイナミックVLANなし）
  属性名 | 属性値 | 備考
  User-Name | ユーザー名 | 認証対象のユーザー名（例："user1", "userB"）
  User-Password | パスワード | （EAP-MD5、EAP-PEAP、EAP-TTLS使用時）ユーザー名に対応するパスワード（例："dbf8a9hve", "h1mi2uDa4o"）。EAP-TLS使用時は不要（別途、ユーザー電子証明書の用意が必要）

  > Note - 認証方式としてEAP-TLSを使う場合は、RADIUSサーバーの電子証明書と各ユーザーの電子証明書を用意し、各コンピューター上に適切にインストールしておく必要があります。また、認証方式としてEAP-PEAP、EAP-TTLSを使う場合は、RADIUSサーバーの電子証明書を用意し、各コンピューター上に適切にインストールしておく必要があります。詳細はRADIUSサーバーおよびSupplicant（OSや専用ソフトウェアなど）のマニュアルをご参照ください。

- MACベース認証を使用する場合は、機器ごとに下記の属性を定義してください。

  表 3：MACベース認証（ダイナミックVLANなし）
  属性名 | 属性値 | 備考
  User-Name | MACアドレス | 認証対象機器のMACアドレス（例："00-00-f4-11-22-33"）。a〜fは小文字で指定
  User-Password | MACアドレス | 認証対象機器のMACアドレス。User-Nameと同じ値を指定すること

- また、802.1X認証でダイナミックVLANを使用するときは、前述の諸属性に加え、下記の3属性を追加設定してください。

  表 4：ダイナミックVLAN用の属性
  属性名 | 属性値 | 備考
  Tunnel-Type | VLAN (13) | 固定値。指定方法はサーバーに依存
  Tunnel-Medium-Type | IEEE-802 (6) | 固定値。指定方法はサーバーに依存
  Tunnel-Private-Group-ID | VLAN名かVLAN ID | 認証対象のユーザーや機器が認証をパスした後に所属させるVLANの名前かVLAN ID（例："sales", 10）

(C) 2005-2012 アライドテレシスホールディングス株式会社

PN: J613-M0710-03 Rev.H