[index] AT-AR3050S/AT-AR4050S/AT-AR4050S-5G コマンドリファレンス 5.5.3

インターフェース / ポート認証

Note

本マニュアルでは「LANポート」のことを、スイッチ製品にならって「スイッチポート」と表記しています。「LANポート」と「スイッチポート」は同じ意味ですので、適宜読み替えてください。また同様に、「スイッチ」は「LAN側スイッチ」のことを表しています。

Note

ポート認証機能をAMF接続ポート上で使用することはできません。詳細はAMFの導入編をご覧ください。

Note

ポート認証機能をトランクグループ上（saX、poXインターフェース）で使用することはできません。

概要

• Authenticator（認証者）
  ポートに接続してきたSupplicant（クライアント）を認証する機器またはソフトウェア。認証に成功した場合はポート経由の通信を許可、失敗した場合はポート経由の通信を拒否する。認証処理そのものは、認証サーバー（RADIUSサーバー）に依頼する（Supplicantの情報を認証サーバーに中継して、認証結果（成功・失敗）を受け取る）。
  
  • 802.1X認証ではEAPメッセージの交換によってSupplicantを認証する（ユーザー認証）。
    
  • MACベース認証ではSupplicantのMACアドレスによって認証を行う（機器認証）。
    
  
  
• 認証サーバー（RADIUSサーバー）
  Authenticatorの要求に応じて、Supplicantを認証する機器またはソフトウェア。ユーザー名、パスワード、MACアドレス、所属VLANなどの認証情報を一元管理している。Authenticatorとの間の認証情報の受け渡しにはRADIUSプロトコルを用いる。
  
  
• Supplicant（クライアント）
  ポートへの接続時にAuthenticatorから認証を受ける機器またはソフトウェア。802.1Xの認証を受けるためには、802.1X Supplicantの機能を備えている必要がある。802.1X Supplicant機能は、一部のOSに標準装備されているほか、単体のクライアントソフトウェアとして用意されていることもある。一方、MACベースの認証を受けるために特殊な機能は必要ない。
  

Note

システム起動時、認証ポートに接続されている未認証の802.1X認証SupplicantやMACベース認証Supplicantが、本製品のDHCPサーバーからIPアドレスを取得できることがあります。これは、ポート認証モジュールがDHCPサーバーモジュールよりも後に稼働状態になるためで一時的なものです。システムの起動が完了した後（ログインプロンプトが表示された後）は、未認証Supplicantの通信はできません。

認証方式

• IEEE 802.1X認証（以下、802.1X認証）
  802.1X認証は、EAP（Extensible Authentication Protocol）というプロトコルを使って、おもにユーザー単位で認証を行う仕組み。802.1X認証を利用するには、認証する側（Authenticator）と認証される側（Supplicant）の両方が802.1Xに対応している必要がある。本製品の802.1X認証モジュールが現在サポートしているEAP認証方式は次のとおり。
  
  
  • EAP-MD5
    
  • EAP-TLS
    
  • EAP-TTLS
    
  • EAP-PEAP
    
  
  
• MACアドレスベース認証（以下、MACベース認証）
  MACベース認証は、機器のMACアドレスに基づいて機器単位で認証を行う仕組み。Supplicant側に特殊な機能を必要としないため、認証サーバーにMACアドレスを登録するだけで使用できるという特徴がある。
  

Note

MACベース認証では、認証成功したSupplicantのMACアドレスはFDBにダイナミックMACアドレスとして登録されます。したがってエージアウトによりFDBから削除されると、認証情報も削除（認証解除）されます。802.1X認証では、認証成功したSupplicantのMACアドレスはFDBにスタティックMACアドレスとして登録されます。

認証方式の併用

• MACベース認証 → 802.1X認証
  

1. MACベース認証を実施
   
   
   • 任意のパケットを受信したら、その送信元MACアドレスをユーザー名およびパスワードとして、RADIUSサーバーに認証を要求
     
   • 認証成功なら該当Supplicantに通信を許可（認証プロセス完了）
     
   • 認証失敗なら次の認証方式に進む
     
   
   
2. 802.1X認証を実施
   
   
   • 認証成功なら該当Supplicantに通信を許可（認証プロセス完了）
     
   • 認証失敗なら該当Supplicantの通信を拒否（認証プロセス完了）
     

• いずれか1つの方式で成功すれば認証成功となる。
  
  
• 再認証（auth reauthenticationコマンド）は、認証に成功した方式で行う
  
  
• どのホストモード（auth host-modeコマンド。詳細は後述）でも認証方式の併用が可能。
  
  
• 必ず最初にMACベース認証が行われる（パケット受信をトリガーとして自動的に行われる認証方式であるため）。
  
  
• MACベース認証に失敗しても、802.1X認証で認証失敗しないかぎり認証失敗後の待機状態にはならない
  
  
• 認証方式ごとに異なるRADIUSサーバーを使用するような設定も可能（詳細は「運用・管理」の「RADIUSクライアント」を参照）
  

2ステップ認証

• auth two-step orderコマンドを設定していない場合
  次の順序で認証をパスすれば認証成功となります。
  
  
  • MACベース認証 ○ → 802.1X認証 ○
    
  
  
• auth two-step orderコマンドを設定している場合
  同コマンドで指定した順序でパスしたときだけ認証成功となります。
  順序は次の2つからどちらか一方を選択します。
  
  
  • MACベース認証 ○ → 802.1X認証 ○
    
  • 802.1X認証 ○ → MACベース認証 ○（auth two-step orderコマンド設定時のみ利用可能）
    

• 2ステップ認証は、Auth-fail VLAN、ゲストVLAN、ダイナミックVLANとの併用も可能です。
  2ステップ認証とダイナミックVLANを併用する場合は、2つ目の認証成功時にRADIUS-Acceptパケットで指定されたVLANがアサインされます（1つ目の認証成功時に指定されたVLANは無視されます）。
  
  
• 2ステップ認証では、Supplicantが1つ目の方式で認証に成功した後、一定の時間内に2つ目の認証が行われない場合、該当Supplicantの認証情報は削除されます（次に該当Supplicantからパケットを受信した場合は、1つ目の認証方式からやりなおします）。
  
  
• 2ステップ認証が有効なポートにおいて、特定のSupplicantだけ2ステップ認証の対象外とすることも可能です。それには、auth supplicant-macコマンドで該当SupplicantのMACアドレスを指定し、port-controlパラメーターでskip-second-authオプションを指定してください。
  

ホストモード

• Single-Hostモード（単一ホストモード）
  1ポートあたり1台のみ通信を許可するモード。最初に認証をパスしたSupplicantだけに通信を許可する
  
  
• Multi-Hostモード（複数ホスト相乗りモード）
  1ポートあたり複数台の通信を許可するモード。最初のSupplicantが認証をパスすると、その後に接続したSupplicantは認証を行うことなく通信できる。Multi-HostモードでダイナミックVLANを利用する場合、2番目以降のSupplicantは認証を経ず、結果的に個別の VLAN IDを割り当てられないため、最初のSupplicantのVLANがそれ以降に接続した他のSupplicantにも適用されることとなる
  
  
• Multi-Supplicantモード（複数ホスト個別認証モード）
  1ポートあたり複数台の通信を許可するモード。個々のSupplicantをMACアドレスで識別し、個別に認証を行うことで1台ずつ通信の許可・拒否を決定する。Multi-SupplicantモードでダイナミックVLANを利用する場合は、最初に認証をパスしたSupplicantのVLANがそれ以降に接続した他のSupplicantにも適用される。2番目以降のSupplicantのVLAN属性が最初のSupplicantのそれと異なる場合、初期設定では認証失敗となるが、設定を変更することにより認証成功として最初のSupplicantと同じVLANを割り当てることもできる（この設定はauth dynamic-vlan-creationコマンドのruleパラメーターで行う）
  

基本設定

1. 認証サーバーの準備（ユーザー・機器情報の登録など）
   ポート認証では、いずれの認証方式でも実際の認証をRADIUSサーバーに依頼するため、あらかじめRADIUSサーバーを用意し、ユーザー情報や機器情報（MACアドレス）を登録しておいてください。どのような情報を登録すべきかは、本解説編の「RADIUSサーバーの設定項目」のセクションで説明しています。
   本製品内蔵のローカルRADIUSサーバーを利用する場合は、「運用・管理」の「RADIUSサーバー」を参照して、ローカルRADIUSサーバーの設定を済ませておいてください。
   
   
2. 本製品のポート認証機能の設定
   本製品のポート認証機能を使うためには、ルーターとしての基本設定以外に、最低限以下の設定が必要です。
   
   • RADIUSクライアント機能の設定（認証サーバーの登録）
     
   • ポート認証機能の設定
     

• すべてのポートがvlan1（デフォルトVLAN）に所属
  
• vlan1にはIPアドレス192.168.10.1/24を設定
  
• 外部のRADIUSサーバーを使用
  
  • ポート1.0.8（vlan1）に接続
    
  • IPアドレス：192.168.10.5
    
  • 共有パスワード：himitsu
    
• ポート1.0.1～1.0.4でポート認証を行う
  
  • 各ポートでは1台の機器にだけ通信を許可する（Single-Hostモード）
    
  • ダイナミックVLAN・ゲストVLANは使用しない
    

MACベース認証機能の設定

1. MACベース認証で使用するRADIUSサーバーのIPアドレスと共有パスワードを登録します。これには、radius-server hostコマンドを使います。
   RADIUSクライアント機能の詳細については、「運用・管理」の「RADIUSクライアント」をご覧ください。
   

   awplus(config)# radius-server host 192.168.10.5 key himitsu ↓
   

   
   
2. システム全体でMACベース認証機能を有効にします。これには、aaa authentication auth-macコマンドを使います。
   

   awplus(config)# aaa authentication auth-mac default group radius ↓
   

   
   
3. ポート1.0.1～1.0.4でMACベース認証を有効にします。これには、auth-mac enableコマンドを使います。
   

   awplus(config)# interface port1.0.1-port1.0.4 ↓
   awplus(config-if)# auth-mac enable ↓
   

   
   
4. 複数端末を個別に認証するため、ホストモードをMulti-Supplicantモードに変更します。これには、auth host-modeコマンドを使います。
   

   awplus(config-if)# auth host-mode multi-supplicant ↓
   awplus(config-if)# exit ↓
   

   
   
5. デフォルトで有効になっているスパニングツリープロトコルの動作を無効にします。これにはspanning-tree enableコマンドをno形式で実行します。
   
   
   • 動作モードがSTPのときは、次のようにキーワードstpを指定します。
     

     awplus(config)# no spanning-tree stp enable ↓
     

   • 動作モードがRSTPのときは、次のようにキーワードrstpを指定します。
     

     awplus(config)# no spanning-tree rstp enable ↓
     

Note

ポート認証機能をトランクグループ上（saX、poXインターフェース）で使用することはできません。

Note

タグ付きポートでMACベース認証を使用するときは、次のいずれかの構成で利用してください。

1. ホストモード（auth host-mode）をMulti-Supplicantに設定する。この場合、タグ付きポートではダイナミックVLANを使用できません。
   
2. ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、ダイナミックVLAN（auth dynamic-vlan-creation）とマルチVLANセッション（auth multi-vlan-session）を有効にする。この場合、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。
   

なお、タグ付きポートでは、ホストモードにかかわらずゲストVLAN、Auth-fail VLANを使用できません。
また、タグ付きポートでダイナミックVLANを使用する場合は上記2の構成で利用してください。

Note

同一ポート上でスパニングツリープロトコルとMACベース認証は併用できません。

802.1X認証機能の設定

1. 802.1X認証で使用するRADIUSサーバーのIPアドレスと共有パスワードを登録します。これには、radius-server hostコマンドを使います。
   RADIUSクライアント機能の詳細については、「運用・管理」の「RADIUSクライアント」をご覧ください。
   

   awplus(config)# radius-server host 192.168.10.5 key himitsu ↓
   

   
   
2. システム全体で802.1X認証機能を有効にします。これには、aaa authentication dot1xコマンドを使います。
   

   awplus(config)# aaa authentication dot1x default group radius ↓
   

   
   
3. ポート1.0.1～1.0.4で802.1X認証を有効にします。これには、dot1x port-controlコマンドでautoを指定します。
   

   awplus(config)# interface port1.0.1-port1.0.4 ↓
   awplus(config-if)# dot1x port-control auto ↓
   

   Note

   認証機能の有効なポートでは認証成功時にスパニングツリープロトコルのトポロジーチェンジが発生します。これを回避するには、spanning-tree edgeportコマンドを実行して、該当ポートをエッジポートに設定しておきます。

   
   
4. 複数端末を個別に認証するため、ホストモードをMulti-Supplicantモードに変更します。これには、auth host-modeコマンドを使います。
   

   awplus(config-if)# auth host-mode multi-supplicant ↓
   awplus(config-if)# exit ↓
   

Note

ポート認証機能をトランクグループ上（saX、poXインターフェース）で使用することはできません。

Note

タグ付きポートで802.1X認証を使用するときは、次のいずれかの構成で利用してください。

1. ホストモード（auth host-mode）をMulti-Supplicantに設定する。この場合、タグ付きポートではダイナミックVLANを使用できません。
   
2. ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、ダイナミックVLAN（auth dynamic-vlan-creation）とマルチVLANセッション（auth multi-vlan-session）を有効にする。この場合、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。
   

なお、タグ付きポートでは、ホストモードにかかわらずゲストVLAN、Auth-fail VLANを使用できません。
また、タグ付きポートでダイナミックVLANを使用する場合は上記2の構成で利用してください。

Note

802.1X認証のSupplicantがログオフしても、ステータスがConnectingになりません。

応用設定

スイッチポートごとの詳細設定

Note

Supplicantが存在するスイッチポートに対し、以下のコマンドを使ってポート認証機能の設定変更を行うと、該当ポート上のSupplicantの情報がいったんすべて削除されます。

全認証方式共通の設定項目

認証方式ごとの設定項目

Supplicantごとの設定項目

Note

Supplicant固有の設定は、ホストモードがSingle-HostモードかMulti-Supplicantモードの場合のみ有効です。Multi-HostモードのポートではSupplicant固有の設定を行わないでください。

Note

Supplicant固有の設定をした場合、本コマンドで指定可能なパラメーターについては、該当Supplicantに対してポートごとの設定値は使われず、本コマンドの指定値（明示的に指定しなかったパラメーターの場合は、本コマンドにおける省略時値）が使われます。

Note

スイッチポートに対し、auth supplicant-macコマンドでSupplicant固有の設定を行うと、指定したMACアドレスを持つSupplicantの情報が該当ポートからいったん削除されます。

awplus(config)# interface port1.0.2-1.0.8 ↓
awplus(config-if)# auth-mac enable ↓
awplus(config-if)# auth supplicant-mac 0000.1122.3344 port-control force-authorized ↓

Note

dot1x port-controlコマンドの設定は802.1X認証にのみ適用されますが、auth supplicant-macコマンドのport-controlパラメーターはすべての認証方式に適用されます。

awplus(config)# interface port1.0.2-1.0.8 ↓
awplus(config-if)# auth supplicant-mac 0000.f4cd.cdcd reauthentication ↓

awplus(config)# interface port1.0.2-1.0.8 ↓
awplus(config-if)# no auth supplicant-mac 0000.1122.3344 ↓

ポート認証設定のテンプレート化

1. ポート認証プロファイルを作成します。グローバルコンフィグモードのauth profileコマンド使って、プロファイル名（テンプレート名）を作成します。
   

   awplus(config)# auth profile macauth ↓
   

2. プロファイル（テンプレート）内に含めたいコマンドを入力します（プロファイルに含めることができるコマンドは、「ポート認証プロファイルモード」のコマンドのみです）。
   

   awplus(config-auth-profile)# auth-mac enable ↓
   awplus(config-auth-profile)# auth host-mode multi-supplicant ↓
   awplus(config-auth-profile)# auth max-supplicant 5 ↓
   

awplus(config)# interface port1.0.5-1.0.8 ↓
awplus(config-if)# auth profile macauth ↓

Note

ポート認証のインターフェースモードコマンドが設定されているポートにテンプレートを設定しようとすると上書きされてしまいますのでご注意ください。

Note

一つのインターフェースが、複数のテンプレートを持つことはできません。　新しいテンプレートを作成する前に、既存のテンプレートを削除する必要があります。

Note

ポート認証のインターフェースモードコマンド、およびテンプレート化のインターフェースモードコマンドは、同じインターフェースに設定することはできません。

Note

使用中のテンプレートは削除することはできません。

ダイナミックVLAN

Note

ダイナミックVLANをタグ付きポートで使用するときは、ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、マルチVLANセッション（auth multi-vlan-session）を有効にしてください。また、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。

1. 未認証（認証前、認証失敗後、および、未認証固定）ポートの動作は、ゲストVLAN（詳細は次節）の有効・無効によって異なります。
   
   
   • ゲストVLAN無効時、未認証ポートは本来のVLAN所属となります。ポート越えの通信は不可能です。
     
     
   • ゲストVLAN有効時、未認証ポートはゲストVLAN所属となります。ゲストVLANと同一のVLAN内にかぎり、ポート越えの通信（スイッチング）が可能です。
     
   
   
2. RADIUSサーバーからのAccess-Acceptメッセージで有効なVLAN（製品上に登録されているVLAN）の情報が返ってきた場合、ポートはそのVLANの所属となります。認証成功となるため、ポート越えの通信も可能です。
   
   
3. RADIUSサーバーからのAccess-Acceptメッセージで無効なVLAN（製品上に登録されていないVLAN）の情報が返ってきた場合、ポート認証機能としては認証失敗となります。そのため、ポートの所属は未認証時のもの（1.を参照）となります。
   
   
4. RADIUSサーバーからのAccess-AcceptメッセージにVLANの情報が含まれていなかった場合、ポートは本来のVLAN所属となります。認証成功となるため、ポート越えの通信も可能です。
   
   
5. 認証済みに固定設定されたポートは、本来のVLAN所属となります。認証済みなので、ポート越えの通信も可能です。
   
   
6. 該当ポートまたはシステム全体でポート認証が無効に設定された場合、ポートは本来のVLAN所属となります。ポート認証が無効なので、ポート越えの通信に関する制限はありません。
   

• rule deny（初期設定）
  2台目以降のSupplicantに対してRADIUSサーバーが返してきたVLANが、1台目のSupplicantと異なる場合、該当Supplicantは認証失敗となります。
  
  
• rule permit
  2台目以降のSupplicantに対してRADIUSサーバーが返してきたVLANが、1台目のSupplicantと異なる場合であっても、該当Supplicantを認証成功とします。ただし、該当Supplicantの所属VLANは1台目のSupplicantと同じになります（RADIUSサーバーの返却してきたVLAN情報は無視される）。
  

• 認証済みのSupplicantがいなくなったとき
  
  
• リンクがダウンしたとき
  
  
• ポート上でポート認証が無効にされたとき
  
  
• システム上でポート認証が無効にされたとき
  

1. VLANを作成します。
   ダイナミックVLANによってSupplicantに割り当てるVLANは、あらかじめvlanコマンドで定義しておく必要があります。
   

   awplus(config)# vlan database ↓
   awplus(config-vlan)# vlan 10 name FixedVLAN10 ↓
   awplus(config-vlan)# vlan 100 name DynamicVLAN100 ↓
   awplus(config-vlan)# vlan 200 name DynamicVLAN200 ↓
   awplus(config-vlan)# vlan 240 name InitialFixedVLAN240 ↓
   awplus(config-vlan)# exit ↓
   

   
   
2. 各スイッチポートをVLANに割り当てます。
   ここでは、RADIUSサーバーを収容するポート1.0.1をvlan10に、ポート認証を行う1.0.2～1.0.8をvlan240に割り当てています。
   vlan100とvlan200はダイナミックVLAN用なので、これらのVLANにポートを固定で割り当てることはしません。
   

   awplus(config)# interface port1.0.1 ↓
   awplus(config-if)# switchport access vlan 10 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface port1.0.2-1.0.8 ↓
   awplus(config-if)# switchport access vlan 240 ↓
   awplus(config-if)# exit ↓
   

   
   
3. 各VLANインターフェースにIPアドレスを設定します。
   

   awplus(config)# interface vlan10 ↓
   awplus(config-if)# ip address 172.16.10.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan100 ↓
   awplus(config-if)# ip address 172.16.100.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan200 ↓
   awplus(config-if)# ip address 172.16.200.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan240 ↓
   awplus(config-if)# ip address 172.16.240.1/24 ↓
   awplus(config-if)# exit ↓
   

   
   
4. RADIUSサーバーのIPアドレスと共有パスワードを指定します。
   

   awplus(config)# radius-server host 172.16.10.2 key himitsu ↓
   

   
   
5. Supplicantを収容するvlan100、vlan200、vlan240では、DHCPサーバー機能を使ってIPアドレスの動的割り当てを行うよう設定します。vlan240用のDHCPプールでは、リース時間を最小の20秒に設定しています。これは、ダイナミックVLANによって所属VLANが変更された場合に、クライアントのIPアドレスもすばやく変更されるようするためです。
   

   awplus(config)# ip dhcp pool DynamicVLAN100 ↓
   awplus(dhcp-config)# network 172.16.100.0/24 ↓
   awplus(dhcp-config)# range 172.16.100.200 172.16.100.240 ↓
   awplus(dhcp-config)# default-router 172.16.100.1 ↓
   awplus(dhcp-config)# lease 0 2 0 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   
   awplus(config)# ip dhcp pool DynamicVLAN200 ↓
   awplus(dhcp-config)# network 172.16.200.0/24 ↓
   awplus(dhcp-config)# range 172.16.200.200 172.16.200.240 ↓
   awplus(dhcp-config)# default-router 172.16.200.1 ↓
   awplus(dhcp-config)# lease 0 2 0 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   
   awplus(config)# ip dhcp pool InitialFixedVLAN240 ↓
   awplus(dhcp-config)# network 172.16.240.0/24 ↓
   awplus(dhcp-config)# range 172.16.240.200 172.16.240.240 ↓
   awplus(dhcp-config)# default-router 172.16.240.1 ↓
   awplus(dhcp-config)# lease 0 0 0 20 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   awplus(config)# service dhcp-server ↓
   

   
   
6. システム全体でMACベース認証を有効にします。
   

   awplus(config)# aaa authentication auth-mac default group radius ↓
   

   
   
7. ポート1.0.2～1.0.8でMACベース認証を行うよう設定し、ダイナミックVLANを有効にします。
   

   awplus(config)# interface port1.0.2-1.0.8 ↓
   awplus(config-if)# auth-mac enable ↓
   awplus(config-if)# auth dynamic-vlan-creation ↓
   

ゲストVLAN

Note

ゲストVLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。

Note

ローミング認証が有効化されているポートではゲストVLANを使用できません。

Note

ゲストVLANは、ホストモードがSingle-HostモードかMulti-Hostモードの場合のみ有効です。Multi-SupplicantモードのポートではゲストVLANを使用できません。

• ゲストVLANなし（ダイナミックVLANなし）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 240 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.8 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  

  
  この設定では、ポート1.0.2～1.0.8本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANの設定はされていないため、これらのポートに接続された未認証のSupplicantはvlan240の所属となります。これらのポートはすべて同一VLANですが、未認証のSupplicantがポートを越えて通信することはできません。
    
    
  • 認証成功後
    ダイナミックVLANの設定はされていないため、認証にパスした後も所属VLANは変わらずvlan240のままですが、ポート認証機能による通信上の制限はなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANなし（ダイナミックVLANあり）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 100,200,240 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.8 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth dynamic-vlan-creation ↓
  

  
  この設定では、ポート1.0.2～1.0.8本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANの設定はされていないため、これらのポートに接続された未認証のSupplicantはvlan240の所属となります。これらのポートはすべて同一VLANですが、未認証のSupplicantがポートを越えて通信することはできません。
    
    
  • 認証成功後
    ダイナミックVLANの設定がされているため、認証にパスした後はダイナミックVLANによって割り当てられたVLANの所属となります。ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANあり（ダイナミックVLANなし）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 240,248 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.8 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth guest-vlan 248 ↓
  

  
  この設定では、ポート1.0.2～1.0.8本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANとしてvlan248が指定されているため、これらのポートに接続された未認証のSupplicantはvlan248の所属となります。未認証のSupplicant同士は通信できますが、vlan248以外との通信ではできません（認証済みのSupplicantはゲストVLANから抜けるため未認証Supplicantと認証済みSupplicantの間では通信できません）。
    
    
  • 認証成功後
    ダイナミックVLANの設定はされていないため、認証にパスした後は本来のVLANであるvlan240の所属となり、ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANあり（ダイナミックVLANあり）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 100,200,240,248 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.8 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth guest-vlan 248 ↓
  awplus(config-if)# auth dynamic-vlan-creation ↓
  

  
  この設定では、ポート1.0.2～1.0.8本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANとしてvlan248が指定されているため、これらのポートに接続された未認証のSupplicantはvlan248の所属となります。未認証のSupplicant同士は通信できますが、vlan248以外との通信ではできません（認証済みのSupplicantはゲストVLANから抜けるため未認証Supplicantと認証済みSupplicantの間では通信できません）。
    
    
  • 認証成功後
    ダイナミックVLANの設定がされているため、認証にパスした後はダイナミックVLANによって割り当てられたVLANの所属となります。ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    

Auth-fail VLAN

Note

Auth-fail VLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。

Note

Auth-fail VLANへはRADIUSサーバーからAccess-Rejectを受信した場合のみアサインされ、タイムアウトによる認証失敗時はAuth-fail VLANへはアサインされません。

Note

Auth-fail VLANは、ホストモードがSingle-HostモードかMulti-Hostモードの場合のみ使用できます。Multi-SupplicantモードのポートではAuth-fail VLANを使用できません。

Note

MACベース認証とAuth-fail VLANの併用時、認証失敗したSupplicantがAuth-fail VLANの所属になったとき、各種showコマンドや各Supplicantの認証画面では「Authenticated」と表示されます。

ローミング認証

Note

ダイナミックVLANまたはゲストVLANが有効化されているポートではローミング認証を使用できません。

• ローミング認証を行うポートはすべて同一の認証設定でなくてはならない。移動前と移動後のポートで認証関連の設定が異なる場合、移動先でSupplicantは再認証を受ける。
  
  
• 同一の認証設定であっても移動前と移動先のポートで所属VLANが異なる場合、移動先でSupplicantは再認証を受ける。
  
  
• MACベース認証が有効なポートから、認証が無効なポートに移動すると、移動前のポートからSupplicantの情報が削除される。そのため、その後再び元のポートに移動したときは認証を受ける。
  
  
• ローミング認証を有効にしたポートであっても、移動前のポートがリンクダウンする場合はSupplicant情報が初期化されるため移動先で新たに認証を受ける必要がある。
  

awplus(config)# interface port1.0.2-port1.0.8 ↓
awplus(config-if)# auth roaming enable ↓

アカウンティング（利用記録）

Note

本製品内蔵のローカルRADIUSサーバーは認証機能のみをサポートしており、アカウンティングはサポートしていません。

awplus(config)# aaa accounting dot1x default start-stop group radius ↓

awplus(config)# aaa accounting auth-mac default start-stop group radius ↓

RADIUSサーバーの設定項目

Note

RADIUSサーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。

802.1X認証

Note

Authenticator側では802.1X認証用パスワードの長さを特に制限していませんが、本製品のローカルRADIUSサーバーで設定可能なパスワードの最大長は31文字です。

MACベース認証

ダイナミックVLAN（各認証方式共通）

RADIUS Dynamic Authorization

• Disconnect メッセージ - 指定されたSupplicantを切断します。
  

  Note

  Disconnectメッセージによって切断されたSupplicantの認証情報は、認証抑止期間（quietPeriod。auth timeout quiet-periodコマンドで設定）の経過後に削除されます。認証抑止期間中、該当Supplicantからのパケットはすべて破棄されます。

• Change-of-Authorization (CoA) メッセージ - 指定されたSupplicantの所属VLANを変更します（ダイナミックVLAN使用時）。
  

使用方法

Note

Dynamic AuthorizationクライアントはRADIUSサーバーなどを含むセキュリティー製品の一機能として実装されている場合があります。

awplus(config)# radius dynamic-authorization-client 172.16.10.2 key heMeetsTwo! ↓

Note

Dynamic Authorizationクライアント（RADIUSサーバーなど）の具体的な設定・操作方法は、ご使用のクライアント製品のマニュアルをご参照ください。

• セッションを特定するための属性（1つ以上指定）
  
  
  • 本製品
    
    • NAS-IP-Address (4) - 本製品のIPv4アドレス
      
    • NAS-Identifier (32) - 本製品の識別子（auth radius send nas-identifierコマンドで設定する必要があります）
      
    
    
  • Supplicant
    
    • User-Name (1) - Supplicantの認証ユーザー名
      
    • NAS-Port (5) - Supplicantが接続されている本製品のポートのインターフェースインデックス番号（ifIndex）（参照：show interfaceコマンド）
      
    • Framed-IP-Address (8) - SupplicantのIPv4アドレス
      
    • Called-Station-Id (30) - 本製品のMACアドレス
      
    • Calling-Station-Id (31) - SupplicantのMACアドレス
      
    • Acct-Session-Id (44) - アカウンティングセッションID
      

  Note

  指定したすべての属性にマッチするセッションだけがアクションの対象になります。

  Note

  Framed-IP-Addressで指定するIPv4アドレスは、Supplicant認証時にAccess-AcceptメッセージのFramed-IP-Address属性で割り当てられた場合にのみマッチします。

  
  
• （CoAのみ）変更後のVLANを指定するための属性
  
  
  • タグなしポート（いずれか1つだけ指定）
    
    • Egress-VLANID (56) - VLANタグの有無とVLAN ID
      
    • Egress-VLAN-Name (58) - VLANタグの有無とVLAN名
      
    • Tunnel-Private-Group-ID (81) - VLAN IDかVLAN名
      
    
    
  • タグ付きポート（複数の指定が可能）
    
    • Egress-VLANID (56) - VLANタグの有無とVLAN ID
      
    • Egress-VLAN-Name (58) - VLANタグの有無とVLAN名
      

  Note

  Egress-VLANID、Egress-VLAN-Name属性では、属性値の先頭オクテットが 0x32（ASCIIの「2」）ならタグなし、0x31（ASCIIの「1」）ならタグ付きを示します。なお、タグ付き指定は認証ポートがタグ付き（トランクポート）で、なおかつ、ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、マルチVLANセッション（auth multi-vlan-session）とダイナミックVLAN（auth dynamic-vlan-creation）有効にしている場合のみ有効です。また、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。

  Note

  Multi-SupplicantモードのポートではCoAメッセージによるVLAN変更は未サポートです。

設定や状態の確認

awplus# show dot1x interface port1.0.5 ↓

awplus# show dot1x supplicant interface port1.0.5 ↓

awplus# show dot1x supplicant interface port1.0.5 brief ↓

awplus# show dot1x sessionstatistics interface port1.0.5 ↓

(C) 2015 - 2023 アライドテレシスホールディングス株式会社

PN: 613-002107 Rev.AY