[index] AT-AR2050V/AT-AR3050S/AT-AR4050S コマンドリファレンス 5.4.9

インターフェース / ポート認証

Note

本マニュアルでは「LANポート」のことを、スイッチ製品にならって「スイッチポート」と表記しています。「LANポート」と「スイッチポート」は同じ意味ですので、適宜読み替えてください。また同様に、「スイッチ」は「LAN側スイッチ」のことを表しています。

Note

ポート認証機能をAMF接続ポート上で使用することはできません。詳細はAMFの導入編をご覧ください。

Note

ポート認証機能をトランクグループ上（saX、poXインターフェース）で使用することはできません。

概要

• Authenticator（認証者）
  ポートに接続してきたSupplicant（クライアント）を認証する機器またはソフトウェア。認証に成功した場合はポート経由の通信を許可、失敗した場合はポート経由の通信を拒否する。認証処理そのものは、認証サーバー（RADIUSサーバー）に依頼する（Supplicantの情報を認証サーバーに中継して、認証結果（成功・失敗）を受け取る）。
  MACベース認証ではSupplicantのMACアドレスによって認証を行う（機器認証）。
  
  
• 認証サーバー（RADIUSサーバー）
  Authenticatorの要求に応じて、Supplicantを認証する機器またはソフトウェア。ユーザー名、パスワード、MACアドレス、所属VLANなどの認証情報を一元管理している。Authenticatorとの間の認証情報の受け渡しにはRADIUSプロトコルを用いる。
  
  
• Supplicant（クライアント）
  ポートへの接続時にAuthenticatorから認証を受ける機器。MACベースの認証を受けるために特殊な機能は必要ない。
  

Note

システム起動時、認証ポートに接続されている未認証のMACベース認証Supplicantが、本製品のDHCPサーバーからIPアドレスを取得できることがあります。これは、ポート認証モジュールがDHCPサーバーモジュールよりも後に稼働状態になるためで一時的なものです。システムの起動が完了した後（ログインプロンプトが表示された後）は、未認証Supplicantの通信はできません。

認証方式

• MACアドレスベース認証（以下、MACベース認証）
  MACベース認証は、機器のMACアドレスに基づいて機器単位で認証を行う仕組み。Supplicant側に特殊な機能を必要としないため、認証サーバーにMACアドレスを登録するだけで使用できるという特徴がある。
  

Note

MACベース認証では、認証成功したSupplicantのMACアドレスはFDBにダイナミックMACアドレスとして登録されます。したがってエージアウトによりFDBから削除されると、認証情報も削除（認証解除）されます。

ホストモード

• Single-Hostモード（単一ホストモード）
  1ポートあたり1台のみ通信を許可するモード。最初に認証をパスしたSupplicantだけに通信を許可する
  
  
• Multi-Hostモード（複数ホスト相乗りモード）
  1ポートあたり複数台の通信を許可するモード。最初のSupplicantが認証をパスすると、その後に接続したSupplicantは認証を行うことなく通信できる。Multi-HostモードでダイナミックVLANを利用する場合、2番目以降のSupplicantは認証を経ず、結果的に個別の VLAN IDを割り当てられないため、最初のSupplicantのVLANがそれ以降に接続した他のSupplicantにも適用されることとなる
  
  
• Multi-Supplicantモード（複数ホスト個別認証モード）
  1ポートあたり複数台の通信を許可するモード。個々のSupplicantをMACアドレスで識別し、個別に認証を行うことで1台ずつ通信の許可・拒否を決定する。Multi-SupplicantモードでダイナミックVLANを利用する場合は、最初に認証をパスしたSupplicantのVLANがそれ以降に接続した他のSupplicantにも適用される。2番目以降のSupplicantのVLAN属性が最初のSupplicantのそれと異なる場合、初期設定では認証失敗となるが、設定を変更することにより認証成功として最初のSupplicantと同じVLANを割り当てることもできる（この設定はauth dynamic-vlan-creationコマンドのruleパラメーターで行う）
  

基本設定

1. 認証サーバーの準備（機器情報の登録など）
   MACベース認証では、実際の認証をRADIUSサーバーに依頼するため、あらかじめRADIUSサーバーを用意し、機器情報（MACアドレス）を登録しておいてください。
   本製品内蔵のローカルRADIUSサーバーを利用する場合は、「運用・管理」の「RADIUSサーバー」を参照して、ローカルRADIUSサーバーの設定を済ませておいてください。
   
   
2. 本製品のMACベース認証機能の設定
   本製品のMACベース認証機能を使うためには、ルーターとしての基本設定以外に、最低限以下の設定が必要です。
   
   • RADIUSクライアント機能の設定（認証サーバーの登録）
     
   • MACベース認証機能の設定
     

認証サーバーの準備・設定

Note

RADIUSサーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。

Note

本製品内蔵のローカルRADIUSサーバーについては、「運用・管理」の「RADIUSサーバー」をご参照ください。

本製品のMACベース認証機能の設定

• すべてのポートがvlan1（デフォルトVLAN）に所属
  
• vlan1にはIPアドレス192.168.10.1/24を設定
  
• 外部のRADIUSサーバーを使用
  
  • ポート1.0.8（vlan1）に接続
    
  • IPアドレス：192.168.10.5
    
  • 共有パスワード：himitsu
    
• ポート1.0.1～1.0.4でポート認証を行う
  
  • 各ポートでは1台の機器にだけ通信を許可する（Single-Hostモード）
    
  • ダイナミックVLAN・ゲストVLANは使用しない
    

1. MACベース認証で使用するRADIUSサーバーのIPアドレスと共有パスワードを登録します。これには、radius-server hostコマンドを使います。
   RADIUSクライアント機能の詳細については、「運用・管理」の「RADIUSクライアント」をご覧ください。
   

   awplus(config)# radius-server host 192.168.10.5 key himitsu ↓
   

   
   
2. システム全体でMACベース認証機能を有効にします。これには、aaa authentication auth-macコマンドを使います。
   

   awplus(config)# aaa authentication auth-mac default group radius ↓
   

   
   
3. ポート1.0.1～1.0.4でMACベース認証を有効にします。これには、auth-mac enableコマンドを使います。
   

   awplus(config)# interface port1.0.1-port1.0.4 ↓
   awplus(config-if)# auth-mac enable ↓
   

   
   
4. 複数端末を個別に認証するため、ホストモードをMulti-Supplicantモードに変更します。これには、auth host-modeコマンドを使います。
   

   awplus(config-if)# auth host-mode multi-supplicant ↓
   awplus(config-if)# exit ↓
   

   
   
5. デフォルトで有効になっているスパニングツリープロトコルの動作を無効にします。これにはspanning-tree enableコマンドをno形式で実行します。
   
   
   • 動作モードがSTPのときは、次のようにキーワードstpを指定します。
     

     awplus(config)# no spanning-tree stp enable ↓
     

   • 動作モードがRSTPのときは、次のようにキーワードrstpを指定します。
     

     awplus(config)# no spanning-tree rstp enable ↓
     

Note

タグ付きポートでMACベース認証を使用するときは、ホストモード（auth host-modeコマンドで設定）をMulti-Supplicantモードに設定してください。また、タグ付きポートではダイナミックVLAN、ゲストVLAN、Auth-fail VLANを使用できません。

Note

同一ポート上でスパニングツリープロトコルとMACベース認証は併用できません。

応用設定

スイッチポートごとの詳細設定

Note

Supplicantが存在するスイッチポートに対し、以下のコマンドを使ってポート認証機能の設定変更を行うと、該当ポート上のSupplicantの情報がいったんすべて削除されます。

Supplicantごとの設定項目

Note

Supplicant固有の設定は、ホストモードがSingle-HostモードかMulti-Supplicantモードの場合のみ有効です。Multi-HostモードのポートではSupplicant固有の設定を行わないでください。

Note

Supplicant固有の設定をした場合、本コマンドで指定可能なパラメーターについては、該当Supplicantに対してポートごとの設定値は使われず、本コマンドの指定値（明示的に指定しなかったパラメーターの場合は、本コマンドにおける省略時値）が使われます。

Note

スイッチポートに対し、auth supplicant-macコマンドでSupplicant固有の設定を行うと、指定したMACアドレスを持つSupplicantの情報が該当ポートからいったん削除されます。

awplus(config)# interface port1.0.2-1.0.8 ↓
awplus(config-if)# auth-mac enable ↓
awplus(config-if)# auth supplicant-mac 0000.1122.3344 port-control force-authorized ↓

awplus(config)# interface port1.0.2-1.0.8 ↓
awplus(config-if)# auth supplicant-mac 0000.f4cd.cdcd reauthentication ↓

awplus(config)# interface port1.0.2-1.0.8 ↓
awplus(config-if)# no auth supplicant-mac 0000.1122.3344 ↓

ポート認証設定のテンプレート化

1. ポート認証プロファイルを作成します。グローバルコンフィグモードのauth profileコマンド使って、プロファイル名（テンプレート名）を作成します。
   

   awplus(config)# auth profile macauth ↓
   

2. プロファイル（テンプレート）内に含めたいコマンドを入力します（プロファイルに含めることができるコマンドは、「ポート認証プロファイルモード」のコマンドのみです）。
   

   awplus(config-auth-profile)# auth-mac enable ↓
   awplus(config-auth-profile)# auth host-mode multi-supplicant ↓
   awplus(config-auth-profile)# auth max-supplicant 5 ↓
   

awplus(config)# interface port1.0.5-1.0.8 ↓
awplus(config-if)# auth profile macauth ↓

Note

ポート認証のインターフェースモードコマンドが設定されているポートにテンプレートを設定しようとすると上書きされてしまいますのでご注意ください。

Note

一つのインターフェースが、複数のテンプレートを持つことはできません。　新しいテンプレートを作成する前に、既存のテンプレートを削除する必要があります。

Note

ポート認証のインターフェースモードコマンド、およびテンプレート化のインターフェースモードコマンドは、同じインターフェースに設定することはできません。

Note

使用中のテンプレートは削除することはできません。

ダイナミックVLAN

Note

ダイナミックVLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。

1. 未認証（認証前、認証失敗後、および、未認証固定）ポートの動作は、ゲストVLAN（詳細は次節）の有効・無効によって異なります。
   
   
   • ゲストVLAN無効時、未認証ポートは本来のVLAN所属となります。ポート越えの通信は不可能です。
     
     
   • ゲストVLAN有効時、未認証ポートはゲストVLAN所属となります。ゲストVLANと同一のVLAN内にかぎり、ポート越えの通信（スイッチング）が可能です。
     
   
   
2. RADIUSサーバーからのAccess-Acceptメッセージで有効なVLAN（製品上に登録されているVLAN）の情報が返ってきた場合、ポートはそのVLANの所属となります。認証成功となるため、ポート越えの通信も可能です。
   
   
3. RADIUSサーバーからのAccess-Acceptメッセージで無効なVLAN（製品上に登録されていないVLAN）の情報が返ってきた場合、ポート認証機能としては認証失敗となります。そのため、ポートの所属は未認証時のもの（1.を参照）となります。
   
   
4. RADIUSサーバーからのAccess-AcceptメッセージにVLANの情報が含まれていなかった場合、ポートは本来のVLAN所属となります。認証成功となるため、ポート越えの通信も可能です。
   
   
5. 認証済みに固定設定されたポートは、本来のVLAN所属となります。認証済みなので、ポート越えの通信も可能です。
   
   
6. 該当ポートまたはシステム全体でポート認証が無効に設定された場合、ポートは本来のVLAN所属となります。ポート認証が無効なので、ポート越えの通信に関する制限はありません。
   

• rule deny（初期設定）
  2台目以降のSupplicantに対してRADIUSサーバーが返してきたVLANが、1台目のSupplicantと異なる場合、該当Supplicantは認証失敗となります。
  
  
• rule permit
  2台目以降のSupplicantに対してRADIUSサーバーが返してきたVLANが、1台目のSupplicantと異なる場合であっても、該当Supplicantを認証成功とします。ただし、該当Supplicantの所属VLANは1台目のSupplicantと同じになります（RADIUSサーバーの返却してきたVLAN情報は無視される）。
  

• 認証済みのSupplicantがいなくなったとき
  
  
• リンクがダウンしたとき
  
  
• ポート上でポート認証が無効にされたとき
  
  
• システム上でポート認証が無効にされたとき
  

1. VLANを作成します。
   ダイナミックVLANによってSupplicantに割り当てるVLANは、あらかじめvlanコマンドで定義しておく必要があります。
   

   awplus(config)# vlan database ↓
   awplus(config-vlan)# vlan 10 name FixedVLAN10 ↓
   awplus(config-vlan)# vlan 100 name DynamicVLAN100 ↓
   awplus(config-vlan)# vlan 200 name DynamicVLAN200 ↓
   awplus(config-vlan)# vlan 240 name InitialFixedVLAN240 ↓
   awplus(config-vlan)# exit ↓
   

   
   
2. 各スイッチポートをVLANに割り当てます。
   ここでは、RADIUSサーバーを収容するポート1.0.1をvlan10に、ポート認証を行う1.0.2～1.0.8をvlan240に割り当てています。
   vlan100とvlan200はダイナミックVLAN用なので、これらのVLANにポートを固定で割り当てることはしません。
   

   awplus(config)# interface port1.0.1 ↓
   awplus(config-if)# switchport access vlan 10 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface port1.0.2-1.0.8 ↓
   awplus(config-if)# switchport access vlan 240 ↓
   awplus(config-if)# exit ↓
   

   
   
3. 各VLANインターフェースにIPアドレスを設定します。
   

   awplus(config)# interface vlan10 ↓
   awplus(config-if)# ip address 172.16.10.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan100 ↓
   awplus(config-if)# ip address 172.16.100.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan200 ↓
   awplus(config-if)# ip address 172.16.200.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan240 ↓
   awplus(config-if)# ip address 172.16.240.1/24 ↓
   awplus(config-if)# exit ↓
   

   
   
4. RADIUSサーバーのIPアドレスと共有パスワードを指定します。
   

   awplus(config)# radius-server host 172.16.10.2 key himitsu ↓
   

   
   
5. Supplicantを収容するvlan100、vlan200、vlan240では、DHCPサーバー機能を使ってIPアドレスの動的割り当てを行うよう設定します。vlan240用のDHCPプールでは、リース時間を最小の20秒に設定しています。これは、ダイナミックVLANによって所属VLANが変更された場合に、クライアントのIPアドレスもすばやく変更されるようするためです。
   

   awplus(config)# ip dhcp pool DynamicVLAN100 ↓
   awplus(dhcp-config)# network 172.16.100.0/24 ↓
   awplus(dhcp-config)# range 172.16.100.200 172.16.100.240 ↓
   awplus(dhcp-config)# default-router 172.16.100.1 ↓
   awplus(dhcp-config)# lease 0 2 0 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   
   awplus(config)# ip dhcp pool DynamicVLAN200 ↓
   awplus(dhcp-config)# network 172.16.200.0/24 ↓
   awplus(dhcp-config)# range 172.16.200.200 172.16.200.240 ↓
   awplus(dhcp-config)# default-router 172.16.200.1 ↓
   awplus(dhcp-config)# lease 0 2 0 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   
   awplus(config)# ip dhcp pool InitialFixedVLAN240 ↓
   awplus(dhcp-config)# network 172.16.240.0/24 ↓
   awplus(dhcp-config)# range 172.16.240.200 172.16.240.240 ↓
   awplus(dhcp-config)# default-router 172.16.240.1 ↓
   awplus(dhcp-config)# lease 0 0 0 20 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   awplus(config)# service dhcp-server ↓
   

   
   
6. システム全体でMACベース認証を有効にします。
   

   awplus(config)# aaa authentication auth-mac default group radius ↓
   

   
   
7. ポート1.0.2～1.0.8でMACベース認証を行うよう設定し、ダイナミックVLANを有効にします。
   

   awplus(config)# interface port1.0.2-1.0.8 ↓
   awplus(config-if)# auth-mac enable ↓
   awplus(config-if)# auth dynamic-vlan-creation ↓
   

ゲストVLAN

Note

ゲストVLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。

Note

ローミング認証が有効化されているポートではゲストVLANを使用できません。

Note

ゲストVLANは、ホストモードがSingle-HostモードかMulti-Hostモードの場合のみ有効です。Multi-SupplicantモードのポートではゲストVLANを使用できません。

• ゲストVLANなし（ダイナミックVLANなし）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 240 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.8 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  

  
  この設定では、ポート1.0.2～1.0.8本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANの設定はされていないため、これらのポートに接続された未認証のSupplicantはvlan240の所属となります。これらのポートはすべて同一VLANですが、未認証のSupplicantがポートを越えて通信することはできません。
    
    
  • 認証成功後
    ダイナミックVLANの設定はされていないため、認証にパスした後も所属VLANは変わらずvlan240のままですが、ポート認証機能による通信上の制限はなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANなし（ダイナミックVLANあり）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 100,200,240 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.8 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth dynamic-vlan-creation ↓
  

  
  この設定では、ポート1.0.2～1.0.8本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANの設定はされていないため、これらのポートに接続された未認証のSupplicantはvlan240の所属となります。これらのポートはすべて同一VLANですが、未認証のSupplicantがポートを越えて通信することはできません。
    
    
  • 認証成功後
    ダイナミックVLANの設定がされているため、認証にパスした後はダイナミックVLANによって割り当てられたVLANの所属となります。ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANあり（ダイナミックVLANなし）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 240,248 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.8 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth guest-vlan 248 ↓
  

  
  この設定では、ポート1.0.2～1.0.8本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANとしてvlan248が指定されているため、これらのポートに接続された未認証のSupplicantはvlan248の所属となります。未認証のSupplicant同士は通信できますが、vlan248以外との通信ではできません（認証済みのSupplicantはゲストVLANから抜けるため未認証Supplicantと認証済みSupplicantの間では通信できません）。
    
    
  • 認証成功後
    ダイナミックVLANの設定はされていないため、認証にパスした後は本来のVLANであるvlan240の所属となり、ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANあり（ダイナミックVLANあり）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 100,200,240,248 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.8 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth guest-vlan 248 ↓
  awplus(config-if)# auth dynamic-vlan-creation ↓
  

  
  この設定では、ポート1.0.2～1.0.8本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANとしてvlan248が指定されているため、これらのポートに接続された未認証のSupplicantはvlan248の所属となります。未認証のSupplicant同士は通信できますが、vlan248以外との通信ではできません（認証済みのSupplicantはゲストVLANから抜けるため未認証Supplicantと認証済みSupplicantの間では通信できません）。
    
    
  • 認証成功後
    ダイナミックVLANの設定がされているため、認証にパスした後はダイナミックVLANによって割り当てられたVLANの所属となります。ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    

Auth-fail VLAN

Note

Auth-fail VLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。

Note

Auth-fail VLANへはRADIUSサーバーからAccess-Rejectを受信した場合のみアサインされ、タイムアウトによる認証失敗時はAuth-fail VLANへはアサインされません。

Note

Auth-fail VLANは、ホストモードがSingle-HostモードかMulti-Hostモードの場合のみ使用できます。Multi-SupplicantモードのポートではAuth-fail VLANを使用できません。

Note

MACベース認証とAuth-fail VLANの併用時、認証失敗したSupplicantがAuth-fail VLANの所属になったとき、各種showコマンドや各Supplicantの認証画面では「Authenticated」と表示されます。

ローミング認証

Note

ダイナミックVLANまたはゲストVLANが有効化されているポートではローミング認証を使用できません。

• ローミング認証を行うポートはすべて同一の認証設定でなくてはならない。移動前と移動後のポートで認証関連の設定が異なる場合、移動先でSupplicantは再認証を受ける。
  
  
• 同一の認証設定であっても移動前と移動先のポートで所属VLANが異なる場合、移動先でSupplicantは再認証を受ける。
  
  
• MACベース認証が有効なポートから、認証が無効なポートに移動すると、移動前のポートからSupplicantの情報が削除される。そのため、その後再び元のポートに移動したときは認証を受ける。
  
  
• ローミング認証を有効にしたポートであっても、移動前のポートがリンクダウンする場合はSupplicant情報が初期化されるため移動先で新たに認証を受ける必要がある。
  

awplus(config)# interface port1.0.2-port1.0.8 ↓
awplus(config-if)# auth roaming enable ↓

アカウンティング（利用記録）

Note

本製品内蔵のローカルRADIUSサーバーは認証機能のみをサポートしており、アカウンティングはサポートしていません。

awplus(config)# aaa accounting auth-mac default start-stop group radius ↓

RADIUSサーバーの設定項目

Note

RADIUSサーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。

MACベース認証

ダイナミックVLAN

設定や状態の確認

awplus# show auth interface port1.0.5 ↓

awplus# show auth supplicant interface port1.0.5 ↓

awplus# show auth supplicant interface port1.0.5 brief ↓

awplus# show auth sessionstatistics interface port1.0.5 ↓

(C) 2015 - 2019 アライドテレシスホールディングス株式会社

PN: 613-002107 Rev.AA