[index] AT-ARX200S-GTX コマンドリファレンス 5.5.4

インターフェース / ポート認証

Note

本マニュアルでは「LANポート」のことを、スイッチ製品にならって「スイッチポート」と表記しています。「LANポート」と「スイッチポート」は同じ意味ですので、適宜読み替えてください。また同様に、「スイッチ」は「LAN側スイッチ」のことを表しています。

Note

ポート認証機能をAMF接続ポート上で使用することはできません。詳細はAMFの導入編をご覧ください。

Note

ポート認証機能をトランクグループ上（saX、poXインターフェース）で使用することはできません。

概要

• Authenticator（認証者）
  ポートに接続してきたSupplicant（クライアント）を認証する機器またはソフトウェア。認証に成功した場合はポート経由の通信を許可、失敗した場合はポート経由の通信を拒否する。認証処理そのものは、認証サーバー（RADIUSサーバー）に依頼する（Supplicantの情報を認証サーバーに中継して、認証結果（成功・失敗）を受け取る）。
  
  • 802.1X認証ではEAPメッセージの交換によってSupplicantを認証する（ユーザー認証）。
    
  • MACベース認証ではSupplicantのMACアドレスによって認証を行う（機器認証）。
    
  • Web認証ではSupplicant上のWebブラウザーからユーザー名とパスワードを入力することで認証を行う（ユーザー認証）。
    
  
  
• 認証サーバー（RADIUSサーバー）
  Authenticatorの要求に応じて、Supplicantを認証する機器またはソフトウェア。ユーザー名、パスワード、MACアドレス、所属VLANなどの認証情報を一元管理している。Authenticatorとの間の認証情報の受け渡しにはRADIUSプロトコルを用いる。
  
  
• Supplicant（クライアント）
  ポートへの接続時にAuthenticatorから認証を受ける機器またはソフトウェア。802.1Xの認証を受けるためには、802.1X Supplicantの機能を備えている必要がある。802.1X Supplicant機能は、一部のOSに標準装備されているほか、単体のクライアントソフトウェアとして用意されていることもある。一方、MACベースの認証を受けるために特殊な機能は必要ない。Web認証を受けるためには対応するWebブラウザー（後述）が必要となる。
  

Note

システム起動時、認証ポートに接続されている未認証の802.1X認証SupplicantやMACベース認証Supplicantが、本製品のDHCPサーバーからIPアドレスを取得できることがあります。これは、ポート認証モジュールがDHCPサーバーモジュールよりも後に稼働状態になるためで一時的なものです。システムの起動が完了した後（ログインプロンプトが表示された後）は、未認証Supplicantの通信はできません。

認証方式

• IEEE 802.1X認証（以下、802.1X認証）
  802.1X認証は、EAP（Extensible Authentication Protocol）というプロトコルを使って、おもにユーザー単位で認証を行う仕組み。802.1X認証を利用するには、認証する側（Authenticator）と認証される側（Supplicant）の両方が802.1Xに対応している必要がある。本製品の802.1X認証モジュールが現在サポートしているEAP認証方式は次のとおり。
  
  
  • EAP-MD5
    
  • EAP-TLS
    
  • EAP-TTLS
    
  • EAP-PEAP
    
  
  
• MACアドレスベース認証（以下、MACベース認証）
  MACベース認証は、機器のMACアドレスに基づいて機器単位で認証を行う仕組み。Supplicant側に特殊な機能を必要としないため、認証サーバーにMACアドレスを登録するだけで使用できるという特徴がある。
  
  
• Web認証
  Web認証は、接続機器上のWebブラウザーからユーザー名とパスワードを入力することによって、ユーザー単位で認証を行う仕組み。Web認証では、Supplicant側に下記の対応Webブラウザーが必要。
  
  • Firefox 2.0以降（Windows/Mac OS X/Linux/Unix）
    
  • Safari 2.0以降（Mac OS X）
    
  • Google Chrome ver.41以降
    

  Note

  標準でインストールされる拡張機能/アドオン類以外を使用している場合、正常に開けない場合があります。

  
  

  Note

  使用しているブラウザーが上記の条件を満たす場合も、各ブラウザーのサポート継続バージョンを使用してください。

  
  Web認証サーバー・Webブラウザー間の通信方式としては、HTTPとHTTPSに対応している。Web認証サーバーがサポートしているプロトコルバージョンは次のとおり。
  
  
  • HTTP 1.0/1.1、TLS 1.2
    
  
  なお、Web認証ではHTTP/HTTPSを使って認証を行う関係上、認証前であってもAuthenticator・Supplicant間でIPの通信ができる必要がある。通常これはWeb認証用DHCPサーバー機能、またはDHCPサーバー機能を使ってSupplicantに一時的なIP設定情報を供給することで実現する。
  

認証方式の併用

• MACベース認証 → 802.1X認証
  
• MACベース認証 → Web認証
  
• 802.1X認証 → Web認証
  

1. MACベース認証を実施
   
   
   • 任意のパケットを受信したら、その送信元MACアドレスをユーザー名およびパスワードとして、RADIUSサーバーに認証を要求
     
   • 認証成功なら該当Supplicantに通信を許可（認証プロセス完了）
     
   • 認証失敗なら次の認証方式に進む
     
   
   
2. 802.1X認証かWeb認証のどちらか先に開始されたほうで認証を実施
   
   
   • 認証成功なら該当Supplicantに通信を許可（認証プロセス完了）
     
   • 認証失敗なら該当Supplicantの通信を拒否（認証プロセス完了）
     

1. 802.1X認証/Web認証のどちらか先に開始されたほうで認証を実施
   
   
   • 802.1X認証を先に実施した場合
     
     
     • 802.1X認証成功なら、該当Supplicantに通信を許可（認証プロセス完了）
       
     • 802.1X認証失敗なら、Web認証を実施
       
       
       • Web認証成功なら、該当Supplicantに通信を許可（認証プロセス完了）
         
       • Web認証失敗なら、該当Supplicantの通信を拒否（認証プロセス完了）
         
     
     
   • Web認証を先に実施した場合
     
     
     • Web認証成功なら、該当Supplicantに通信を許可（認証プロセス完了）
       
     • Web認証失敗なら、該当Supplicantの通信を拒否（認証プロセス完了）（※802.1X認証は行わない）
       

• いずれか1つの方式で成功すれば認証成功となる。
  
  
• 再認証（auth reauthenticationコマンド）は、認証に成功した方式で行う
  
  
• どのホストモード（auth host-modeコマンド。詳細は後述）でも認証方式の併用が可能。
  
  
• MACベース認証が有効なときは、必ず最初にMACベース認証が行われる（パケット受信をトリガーとして自動的に行われる認証方式であるため）。
  
  
• MACベース認証と他の方式（802.1X認証かWeb認証）を併用している場合、MACベース認証に失敗しても、他の方式で認証失敗しないかぎり認証失敗後の待機状態にはならない
  
  
• 802.1X認証とWeb認証の2方式だけが有効（MACベース認証が無効）なポートでは、802.1X認証が先なら802.1X認証失敗後にWeb認証を行うが、Web認証を先に実施した場合はWeb認証失敗により認証プロセスが完了するため802.1X認証は行われない。
  
  
• 802.1X認証とWeb認証の2方式だけが有効（MACベース認証が無効）なポートで802.1X認証を先に実施した場合、802.1X認証に失敗しても、Web認証で失敗しないかぎり認証失敗後の待機状態にはならない。802.1X認証失敗後、一定期間（約30秒）Web認証が行われない場合は認証情報がクリアされる
  
  
• 認証方式ごとに異なるRADIUSサーバーを使用するような設定も可能（詳細は「運用・管理」の「RADIUSクライアント」を参照）
  

2ステップ認証

• auth two-step orderコマンドを設定していない場合
  以下のいずれかの順序で認証をパスすれば認証成功となります。
  auth two-step orderコマンド未設定の2ステップ認証では、1つ目か2つ目の方式で失敗するとただちに認証プロセス終了となるため、3つの認証方式を有効にしている場合は必ずMACベース認証をパスする必要があります。
  
  
  • MACベース認証 ○ → 802.1X認証 ○
    
  • MACベース認証 ○ → Web認証 ○
    
  • 802.1X認証 ○ → Web認証 ○
    
  
  
• auth two-step orderコマンドを設定している場合
  同コマンドで指定した2つの認証方式を、指定した順序でパスしたときだけ認証成功となります。
  同コマンドを設定した2ステップ認証では、3つの認証方式を有効にしていても、同コマンドで指定していない認証方式は使用されません。
  同コマンド設定時に指定可能な認証方式と順序の組み合わせは、同コマンド未設定時より1つ多い下記の4とおりとなります。
  
  
  • MACベース認証 ○ → 802.1X認証 ○
    
  • MACベース認証 ○ → Web認証 ○
    
  • 802.1X認証 ○ → Web認証 ○
    
  • 802.1X認証 ○ → MACベース認証 ○（auth two-step orderコマンド設定時のみ利用可能）
    

• 2ステップ認証は、Auth-fail VLAN、ゲストVLAN、ダイナミックVLANとの併用も可能です。
  2ステップ認証とダイナミックVLANを併用する場合は、2つ目の認証成功時にRADIUS-Acceptパケットで指定されたVLANがアサインされます（1つ目の認証成功時に指定されたVLANは無視されます）。
  
  
  
• 2ステップ認証では、Supplicantが1つ目の方式で認証に成功した後、一定の時間内に2つ目の認証が行われない場合、該当Supplicantの認証情報は削除されます（次に該当Supplicantからパケットを受信した場合は、1つ目の認証方式からやりなおします）。
  
  
• 2ステップ認証が有効なポートにおいて、特定のSupplicantだけ2ステップ認証の対象外とすることも可能です。それには、auth supplicant-macコマンドで該当SupplicantのMACアドレスを指定し、port-controlパラメーターでskip-second-authオプションを指定してください。
  

ホストモード

• Single-Hostモード（単一ホストモード）
  1ポートあたり1台のみ通信を許可するモード。最初に認証をパスしたSupplicantだけに通信を許可する
  
  
• Multi-Hostモード（複数ホスト相乗りモード）
  1ポートあたり複数台の通信を許可するモード。最初のSupplicantが認証をパスすると、その後に接続したSupplicantは認証を行うことなく通信できる。Multi-HostモードでダイナミックVLANを利用する場合、2番目以降のSupplicantは認証を経ず、結果的に個別の VLAN IDを割り当てられないため、最初のSupplicantのVLANがそれ以降に接続した他のSupplicantにも適用されることとなる
  
  
• Multi-Supplicantモード（複数ホスト個別認証モード）
  1ポートあたり複数台の通信を許可するモード。個々のSupplicantをMACアドレスで識別し、個別に認証を行うことで1台ずつ通信の許可・拒否を決定する。Multi-SupplicantモードでダイナミックVLANを利用する場合は、最初に認証をパスしたSupplicantのVLANがそれ以降に接続した他のSupplicantにも適用される。2番目以降のSupplicantのVLAN属性が最初のSupplicantのそれと異なる場合、初期設定では認証失敗となるが、設定を変更することにより認証成功として最初のSupplicantと同じVLANを割り当てることもできる（この設定はauth dynamic-vlan-creationコマンドのruleパラメーターで行う）
  

基本設定

1. 認証サーバーの準備（ユーザー・機器情報の登録など）
   ポート認証では、いずれの認証方式でも実際の認証をRADIUSサーバーに依頼するため、あらかじめRADIUSサーバーを用意し、ユーザー情報や機器情報（MACアドレス）を登録しておいてください。どのような情報を登録すべきかは、本解説編の「RADIUSサーバーの設定項目」のセクションで説明しています。
   小規模なネットワーク環境において本製品内蔵のローカルRADIUSサーバーを利用する場合は、「運用・管理」の「RADIUSサーバー」を参照して、ローカルRADIUSサーバーの設定を済ませておいてください。
   
   
2. RADIUSクライアント機能の設定（認証サーバーの登録など）
   ポート認証システムにおいて本製品はAuthenticatorとして動作しますが、認証サーバー（RADIUSサーバー）とのやりとりにおいては、本製品はRADIUSクライアント（NAS = Network Access Server）としてふるまいます。そのため、最初にRADIUSクライアントとしての設定を行います。詳しくは「運用・管理」の「RADIUSクライアント」をご覧ください。
   
   
3. ポート認証機能の設定
   ポート認証機能をシステム全体で有効化し、さらに各スイッチポートでもポート認証を有効化します。動作パラメーターの調整はおもにスイッチポートごとに行います。
   

• すべてのポートがvlan1（デフォルトVLAN）に所属
  
• vlan1にはIPアドレス192.168.10.1/24を設定
  
• Web認証前のクライアントが所属するゲストVLAN100を作成する
  
  • IPアドレス10.10.10.100/24を設定
    
  • Web認証サーバーは仮想アドレス10.10.10.1で待ち受ける
    
• 外部のRADIUSサーバーを使用
  
  • ポート1.0.1に接続
    
  • IPアドレス：192.168.10.2
    
  • 共有パスワード：himitsu
    
• ポート1.0.2～1.0.4でポート認証を行う
  

Note

本製品でWeb認証を使用する場合、ゲストVLANの設定が必須となります。ゲストVLANの設定に関する詳細は、「インターフェース / ポート認証」の「ゲストVLAN」を参照ください。

Note

本製品でWeb認証を使用する場合、Web認証サーバーは仮想アドレスで待ち受ける必要があります。そのためには、auth-web-server ipaddressコマンドかauth-web-server dhcp ipaddressコマンドの設定が必要です。

MACベース認証機能の設定

1. MACベース認証で使用するRADIUSサーバーのIPアドレスと共有パスワードを登録します。これには、radius-server hostコマンドを使います。
   RADIUSクライアント機能の詳細については、「運用・管理」の「RADIUSクライアント」をご覧ください。
   

   awplus(config)# radius-server host 192.168.10.2 key himitsu ↓
   

   
   
2. システム全体でMACベース認証機能を有効にします。これには、aaa authentication auth-macコマンドを使います。
   

   awplus(config)# aaa authentication auth-mac default group radius ↓
   

   
   
3. ポート1.0.2～1.0.4でMACベース認証を有効にします。これには、auth-mac enableコマンドを使います。
   

   awplus(config)# interface port1.0.2-port1.0.4 ↓
   awplus(config-if)# auth-mac enable ↓
   

   
   
4. 複数端末を個別に認証するため、ホストモードをMulti-Supplicantモードに変更します。これには、auth host-modeコマンドを使います。
   

   awplus(config-if)# auth host-mode multi-supplicant ↓
   awplus(config-if)# exit ↓
   

Note

ポート認証機能をトランクグループ上（saX、poXインターフェース）で使用することはできません。

Note

タグ付きポートでMACベース認証を使用するときは、次のいずれかの構成で利用してください。

1. ホストモード（auth host-mode）をMulti-Supplicantに設定する。この場合、タグ付きポートではダイナミックVLANを使用できません。
   
2. ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、ダイナミックVLAN（auth dynamic-vlan-creation）とマルチVLANセッション（auth multi-vlan-session）を有効にする。この場合、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。
   

なお、タグ付きポートでは、ホストモードにかかわらずゲストVLAN、Auth-fail VLANを使用できません。
また、タグ付きポートでダイナミックVLANを使用する場合は上記2の構成で利用してください。

Note

スパニングツリープロトコルが有効なポートでMACベース認証を行う場合、spanning-tree edgeportコマンドを使用し、対象スイッチポートをエッジポート（他のブリッジが存在しないPCなどの端末接続用ポート）に設定してください。なお、STPモード時はエッジポートを使用できませんのでご注意ください。

Note

MACベース認証をパスしたSupplicantのMACアドレスは、auth-mac staticコマンドによりFDBにスタティックエントリーとして登録されます。本コマンドを無効にすることはできません。

802.1X認証機能の設定

1. 802.1X認証で使用するRADIUSサーバーのIPアドレスと共有パスワードを登録します。これには、radius-server hostコマンドを使います。
   RADIUSクライアント機能の詳細については、「運用・管理」の「RADIUSクライアント」をご覧ください。
   

   awplus(config)# radius-server host 192.168.10.2 key himitsu ↓
   

   
   
2. システム全体で802.1X認証機能を有効にします。これには、aaa authentication dot1xコマンドを使います。
   

   awplus(config)# aaa authentication dot1x default group radius ↓
   

   
   
3. ポート1.0.2～1.0.4で802.1X認証を有効にします。これには、dot1x port-controlコマンドでautoを指定します。
   

   awplus(config)# interface port1.0.2-port1.0.4 ↓
   awplus(config-if)# dot1x port-control auto ↓
   

   
   
4. 複数端末を個別に認証するため、ホストモードをMulti-Supplicantモードに変更します。これには、auth host-modeコマンドを使います。
   

   awplus(config-if)# auth host-mode multi-supplicant ↓
   awplus(config-if)# exit ↓
   

Note

ポート認証機能をトランクグループ上（saX、poXインターフェース）で使用することはできません。

Note

タグ付きポートで802.1X認証を使用するときは、次のいずれかの構成で利用してください。

1. ホストモード（auth host-mode）をMulti-Supplicantに設定する。この場合、タグ付きポートではダイナミックVLANを使用できません。
   
2. ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、ダイナミックVLAN（auth dynamic-vlan-creation）とマルチVLANセッション（auth multi-vlan-session）を有効にする。この場合、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。
   

なお、タグ付きポートでは、ホストモードにかかわらずゲストVLAN、Auth-fail VLANを使用できません。
また、タグ付きポートでダイナミックVLANを使用する場合は上記2の構成で利用してください。

Note

スパニングツリープロトコルが有効なポートで802.1X認証を行う場合、spanning-tree edgeportコマンドを使用し、対象スイッチポートをエッジポート（他のブリッジが存在しないPCなどの端末接続用ポート）に設定してください。なお、STPモード時はエッジポートを使用できませんのでご注意ください。

Note

802.1X認証のSupplicantがログオフしても、ステータスがConnectingになりません。

Web認証機能の設定

Note

本製品でWeb認証を使用する場合、ゲストVLANの設定が必須となります。ゲストVLANの設定に関する詳細は、「インターフェース / ポート認証」の「ゲストVLAN」を参照ください。本設定例では手順2でこの設定を行っています

Note

本製品でWeb認証を使用する場合、Web認証サーバーは仮想アドレスで待ち受ける必要があります。そのためには、auth-web-server ipaddressコマンドかauth-web-server dhcp ipaddressコマンドの設定が必要です。本例では手順4でこの設定を行っています。

1. Web認証で使用するRADIUSサーバーのIPアドレスと共有パスワードを登録します。これには、radius-server hostコマンドを使います。
   RADIUSクライアント機能の詳細については、「運用・管理」の「RADIUSクライアント」をご覧ください。
   

   awplus(config)# radius-server host 192.168.10.2 key himitsu ↓
   

   Note

   ここではRADIUSサーバーがvlan1上にあるものと仮定しています。他のVLAN上にあるときは、RADIUSサーバーまでの経路を適切に設定してください。

   
   
2. Web認証では、Webブラウザーで本製品にアクセスして認証を受けるため、Supplicantは認証前後でそれぞれIPアドレスが必要です。そのため、認証後のSupplicantが所属するVLAN1、認証前のSupplicantが所属するゲストVLAN100を作成し、それぞれIPアドレス192.168.10.1/24、10.10.10.100/24を設定します。ゲストVLANの設定に関する詳細は、「インターフェース / ポート認証」の「ゲストVLAN」を参照ください。
   

   awplus(config)# vlan database ↓
   awplus(config-vlan)# vlan 100 ↓
   awplus(config-vlan)# exit ↓
   awplus(config)# interface vlan1 ↓
   awplus(config-if)# ip address 192.168.10.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan100 ↓
   awplus(config-if)# ip address 10.10.10.100/24 ↓
   awplus(config-if)# exit ↓
   

   
   
3. システム全体でWeb認証機能を有効にします。
   

   awplus(config)# aaa authentication auth-web default group radius ↓
   

   
   
4. Web認証サーバーに仮想アドレス10.10.10.1を設定し、Web認証サーバー（ポート認証）のDHCPサーバー機能を有効にします。
   本製品のDHCPサーバー機能によって、認証前のサプリカントに10.10.10.1～10.10.10.240の範囲からIPアドレスが割り当てられます。
   

   awplus(config)# auth-web-server dhcp ipaddress 10.10.10.1/24 ↓
   

   
   
5. DHCPサーバー機能を利用して、認証後のSupplicantにIPアドレスを割り当てます。
   

   awplus(config)# ip dhcp pool webauth ↓
   awplus(dhcp-config)# network 192.168.10.0/24 ↓
   awplus(dhcp-config)# range 192.168.10.200 192.168.10.240 ↓
   awplus(dhcp-config)# default-router 192.168.10.1 ↓
   awplus(dhcp-config)# lease 0 2 0 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   awplus(config)# service dhcp-server ↓
   

   
   
6. ポート1.0.2-1.0.4でWeb認証を行うよう設定し、仮想アドレス宛てのパケットを送るゲストVLAN100を紐付けます。
   

   awplus(config)# interface port1.0.2-1.0.4 ↓
   awplus(config-if)# auth-web enable ↓
   awplus(config-if)# auth guest-vlan 100 ↓
   awplus(config-if)# exit  ↓
   

   
   

   Note

   Web認証を有効にしたポートでは、ARP、DHCP、DNSの受信・転送が、auth forwardコマンドにより自動的に有効化されます。

   
   
7. 複数端末を個別に認証するため、ホストモードをMulti-Supplicantモードに変更します。これには、auth host-modeコマンドを使います。
   

   awplus(config-if)# auth host-mode multi-supplicant ↓
   awplus(config-if)# exit ↓
   

Note

ここでは、Webアクセスにプロキシーサーバーを使用していない環境を想定しています。プロキシーサーバーを使用している環境での追加設定については、「プロキシーサーバーを使用している環境でのWeb認証」で解説します。

Note

ポート認証機能をトランクグループ上（saX、poXインターフェース）で使用することはできません。

Note

タグ付きポートでWeb認証を使用するときは、次のいずれかの構成で利用してください。

1. ホストモード（auth host-mode）をMulti-Supplicantに設定する。この場合、タグ付きポートではダイナミックVLANを使用できません。
   
2. ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、ダイナミックVLAN（auth dynamic-vlan-creation）とマルチVLANセッション（auth multi-vlan-session）を有効にする。この場合、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。
   

なお、タグ付きポートでは、ホストモードにかかわらずゲストVLAN、Auth-fail VLANを使用できません。
また、タグ付きポートでダイナミックVLANを使用する場合は上記2の構成で利用してください。

Note

スパニングツリープロトコルが有効なポートでWeb認証を行う場合、spanning-tree edgeportコマンドを使用し、対象スイッチポートをエッジポート（他のブリッジが存在しないPCなどの端末接続用ポート）に設定してください。なお、STPモード時はエッジポートを使用できませんのでご注意ください。

Note

Web認証に使用するインターフェースと、認証を行う端末の間ではルーティングを行わないでください。ルーティングを行い認証をした場合、正常に認証処理ができなくなります。

Note

同一スイッチポート上においてWeb認証とポリシーベースQoSは併用できません。

Note

クライアント側で表示される認証画面の言語はデフォルトで英語に設定されていますが、auth-web-server page languageコマンドで日本語へ変更することが可能です。

Web認証Supplicant側の操作

Note

初期状態で有効になっているHTTPリダイレクト機能により、192.168.10.1など、本製品経由でルーティングされるアドレスを指定した場合も、ブラウザーが10.10.10.1にリダイレクトされます。

• Login Failed! Could not authenticate. Please check Username & Password.
  （ユーザー名・パスワードが正しくありません）
  
  
• Login Failed! Could not start authentication. Please try later.
  （前回認証に失敗したなどの理由で、現在一時的に認証できない状態にあります。後ほど再試行してください）
  
  
• Login Failed! Could not authenticate.
  （このポートは「未認証」固定に設定されているため、認証を受けられません）
  

応用設定

スイッチポートごとの詳細設定

Note

Supplicantが存在するスイッチポートに対し、以下のコマンドを使ってポート認証機能の設定変更を行うと、該当ポート上のSupplicantの情報がいったんすべて削除されます。

全認証方式共通の設定項目

認証方式ごとの設定項目

Supplicantごとの設定項目

Note

Supplicant固有の設定は、ホストモードがSingle-HostモードかMulti-Supplicantモードの場合のみ有効です。Multi-HostモードのポートではSupplicant固有の設定を行わないでください。

Note

Supplicant固有の設定をした場合、本コマンドで指定可能なパラメーターについては、該当Supplicantに対してポートごとの設定値は使われず、本コマンドの指定値（明示的に指定しなかったパラメーターの場合は、本コマンドにおける省略時値）が使われます。

Note

スイッチポートに対し、auth supplicant-macコマンドでSupplicant固有の設定を行うと、指定したMACアドレスを持つSupplicantの情報が該当ポートからいったん削除されます。

awplus(config)# interface port1.0.2-1.0.4 ↓
awplus(config-if)# auth-mac enable ↓
awplus(config-if)# auth supplicant-mac 0000.1122.3344 port-control force-authorized ↓

Note

dot1x port-controlコマンドの設定は802.1X認証にのみ適用されますが、auth supplicant-macコマンドのport-controlパラメーターはすべての認証方式に適用されます。

awplus(config)# interface port1.0.2-1.0.4 ↓
awplus(config-if)# auth supplicant-mac 0000.f4cd.cdcd reauthentication ↓

awplus(config)# interface port1.0.2-1.0.4 ↓
awplus(config-if)# no auth supplicant-mac 0000.1122.3344 ↓

ポート認証設定のテンプレート化

1. ポート認証プロファイルを作成します。グローバルコンフィグモードのauth profileコマンド使って、プロファイル名（テンプレート名）を作成します。
   

   awplus(config)# auth profile macauth ↓
   

2. プロファイル（テンプレート）内に含めたいコマンドを入力します（プロファイルに含めることができるコマンドは、「ポート認証プロファイルモード」のコマンドのみです）。
   

   awplus(config-auth-profile)# auth-mac enable ↓
   awplus(config-auth-profile)# auth host-mode multi-supplicant ↓
   awplus(config-auth-profile)# auth max-supplicant 5 ↓
   

awplus(config)# interface port1.0.2-1.0.4 ↓
awplus(config-if)# auth profile macauth ↓

Note

ポート認証のインターフェースモードコマンドが設定されているポートにテンプレートを設定しようとすると上書きされてしまいますのでご注意ください。

Note

1つのインターフェースが、複数のテンプレートを持つことはできません。　新しいテンプレートを作成する前に、既存のテンプレートを削除する必要があります。

Note

ポート認証のインターフェースモードコマンド、およびテンプレート化のインターフェースモードコマンドは、同じインターフェースに設定することはできません。

Note

使用中のテンプレートは削除することはできません。

ダイナミックVLAN

Note

ダイナミックVLANをタグ付きポートで使用するときは、ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、マルチVLANセッション（auth multi-vlan-session）を有効にしてください。また、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。

1. 未認証（認証前、認証失敗後、および、未認証固定）ポートの動作は、ゲストVLAN（詳細は次節）の有効・無効によって異なります。
   
   
   • ゲストVLAN無効時、未認証ポートは本来のVLAN所属となります。ポート越えの通信は不可能です。
     
     
   • ゲストVLAN有効時、未認証ポートはゲストVLAN所属となります。ゲストVLANと同一のVLAN内にかぎり、ポート越えの通信（スイッチング）が可能です。
     
   
   
2. RADIUSサーバーからのAccess-Acceptメッセージで有効なVLAN（製品上に登録されているVLAN）の情報が返ってきた場合、ポートはそのVLANの所属となります。認証成功となるため、ポート越えの通信も可能です。
   
   
3. RADIUSサーバーからのAccess-Acceptメッセージで無効なVLAN（製品上に登録されていないVLAN）の情報が返ってきた場合、ポート認証機能としては認証失敗となります。そのため、ポートの所属は未認証時のもの（1.を参照）となります。
   
   
4. RADIUSサーバーからのAccess-AcceptメッセージにVLANの情報が含まれていなかった場合、ポートは本来のVLAN所属となります。認証成功となるため、ポート越えの通信も可能です。
   
   
5. 認証済みに固定設定されたポートは、本来のVLAN所属となります。認証済みなので、ポート越えの通信も可能です。
   
   
6. 該当ポートまたはシステム全体でポート認証が無効に設定された場合、ポートは本来のVLAN所属となります。ポート認証が無効なので、ポート越えの通信に関する制限はありません。
   

• rule deny（初期設定）
  2台目以降のSupplicantに対してRADIUSサーバーが返してきたVLANが、1台目のSupplicantと異なる場合、該当Supplicantは認証失敗となります。
  
  
• rule permit
  2台目以降のSupplicantに対してRADIUSサーバーが返してきたVLANが、1台目のSupplicantと異なる場合であっても、該当Supplicantを認証成功とします。ただし、該当Supplicantの所属VLANは1台目のSupplicantと同じになります（RADIUSサーバーの返却してきたVLAN情報は無視される）。
  

• 認証済みのSupplicantがいなくなったとき
  
  
• リンクがダウンしたとき
  
  
• ポート上でポート認証が無効にされたとき
  
  
• システム上でポート認証が無効にされたとき
  

1. VLANを作成します。
   ダイナミックVLANによってSupplicantに割り当てるVLANは、あらかじめvlanコマンドで定義しておく必要があります。
   

   awplus(config)# vlan database ↓
   awplus(config-vlan)# vlan 10 name FixedVLAN10 ↓
   awplus(config-vlan)# vlan 100 name DynamicVLAN100 ↓
   awplus(config-vlan)# vlan 200 name DynamicVLAN200 ↓
   awplus(config-vlan)# vlan 240 name InitialFixedVLAN240 ↓
   awplus(config-vlan)# exit ↓
   

   
   
2. 各スイッチポートをVLANに割り当てます。
   ここでは、RADIUSサーバーを収容するポート1.0.1をvlan10に、ポート認証を行う1.0.2～1.0.4をvlan240に割り当てています。
   vlan100とvlan200はダイナミックVLAN用なので、これらのVLANにポートを固定で割り当てることはしません。
   

   awplus(config)# interface port1.0.1 ↓
   awplus(config-if)# switchport access vlan 10 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface port1.0.2-1.0.4 ↓
   awplus(config-if)# switchport access vlan 240 ↓
   awplus(config-if)# exit ↓
   

   
   
3. 各VLANインターフェースにIPアドレスを設定します。
   

   awplus(config)# interface vlan10 ↓
   awplus(config-if)# ip address 172.16.10.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan100 ↓
   awplus(config-if)# ip address 172.16.100.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan200 ↓
   awplus(config-if)# ip address 172.16.200.1/24 ↓
   awplus(config-if)# exit ↓
   awplus(config)# interface vlan240 ↓
   awplus(config-if)# ip address 172.16.240.1/24 ↓
   awplus(config-if)# exit ↓
   

   
   
4. RADIUSサーバーのIPアドレスと共有パスワードを指定します。
   

   awplus(config)# radius-server host 172.16.10.2 key himitsu ↓
   

   
   
5. Supplicantを収容するvlan100、vlan200、vlan240では、DHCPサーバー機能を使ってIPアドレスの動的割り当てを行うよう設定します。vlan240用のDHCPプールでは、リース時間を最小の20秒に設定しています。これは、ダイナミックVLANによって所属VLANが変更された場合に、クライアントのIPアドレスもすばやく変更されるようするためです。
   

   awplus(config)# ip dhcp pool DynamicVLAN100 ↓
   awplus(dhcp-config)# network 172.16.100.0/24 ↓
   awplus(dhcp-config)# range 172.16.100.200 172.16.100.240 ↓
   awplus(dhcp-config)# default-router 172.16.100.1 ↓
   awplus(dhcp-config)# lease 0 2 0 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   
   awplus(config)# ip dhcp pool DynamicVLAN200 ↓
   awplus(dhcp-config)# network 172.16.200.0/24 ↓
   awplus(dhcp-config)# range 172.16.200.200 172.16.200.240 ↓
   awplus(dhcp-config)# default-router 172.16.200.1 ↓
   awplus(dhcp-config)# lease 0 2 0 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   
   awplus(config)# ip dhcp pool InitialFixedVLAN240 ↓
   awplus(dhcp-config)# network 172.16.240.0/24 ↓
   awplus(dhcp-config)# range 172.16.240.200 172.16.240.240 ↓
   awplus(dhcp-config)# default-router 172.16.240.1 ↓
   awplus(dhcp-config)# lease 0 0 0 20 ↓
   awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓
   awplus(dhcp-config)# exit ↓
   awplus(config)# service dhcp-server ↓
   

   
   
6. システム全体でMACベース認証を有効にします。
   

   awplus(config)# aaa authentication auth-mac default group radius ↓
   

   
   
7. ポート1.0.2～1.0.4でMACベース認証を行うよう設定し、ダイナミックVLANを有効にします。
   

   awplus(config)# interface port1.0.2-1.0.4 ↓
   awplus(config-if)# auth-mac enable ↓
   awplus(config-if)# auth dynamic-vlan-creation ↓
   

ゲストVLAN

Note

ゲストVLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。

Note

ローミング認証が有効化されているポートではゲストVLANを使用できません。

Note

ゲストVLANは、ホストモードがSingle-HostモードかMulti-Hostモードの場合のみ有効です。Multi-SupplicantモードのポートではゲストVLANを使用できません。

• ゲストVLANなし（ダイナミックVLANなし）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 240 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.4 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  

  
  この設定では、ポート1.0.2～1.0.4本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANの設定はされていないため、これらのポートに接続された未認証のSupplicantはvlan240の所属となります。これらのポートはすべて同一VLANですが、未認証のSupplicantがポートを越えて通信することはできません。
    
    
  • 認証成功後
    ダイナミックVLANの設定はされていないため、認証にパスした後も所属VLANは変わらずvlan240のままですが、ポート認証機能による通信上の制限はなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANなし（ダイナミックVLANあり）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 100,200,240 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.4 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth dynamic-vlan-creation ↓
  

  
  この設定では、ポート1.0.2～1.0.4本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANの設定はされていないため、これらのポートに接続された未認証のSupplicantはvlan240の所属となります。これらのポートはすべて同一VLANですが、未認証のSupplicantがポートを越えて通信することはできません。
    
    
  • 認証成功後
    ダイナミックVLANの設定がされているため、認証にパスした後はダイナミックVLANによって割り当てられたVLANの所属となります。ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANあり（ダイナミックVLANなし）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 240,248 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.4 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth guest-vlan 248 ↓
  

  
  この設定では、ポート1.0.2～1.0.4本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANとしてvlan248が指定されているため、これらのポートに接続された未認証のSupplicantはvlan248の所属となります。未認証のSupplicant同士は通信できますが、vlan248以外との通信ではできません（認証済みのSupplicantはゲストVLANから抜けるため未認証Supplicantと認証済みSupplicantの間では通信できません）。
    
    
  • 認証成功後
    ダイナミックVLANの設定はされていないため、認証にパスした後は本来のVLANであるvlan240の所属となり、ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    
  
  
• ゲストVLANあり（ダイナミックVLANあり）の場合
  

  awplus(config)# vlan database ↓
  awplus(config-vlan)# vlan 100,200,240,248 ↓
  awplus(config-vlan)# exit ↓
  awplus(config)# aaa authentication auth-mac default group radius ↓
  awplus(config)# interface port1.0.2-port1.0.4 ↓
  awplus(config-if)# switchport access vlan 240 ↓
  awplus(config-if)# auth-mac enable ↓
  awplus(config-if)# auth guest-vlan 248 ↓
  awplus(config-if)# auth dynamic-vlan-creation ↓
  

  
  この設定では、ポート1.0.2～1.0.4本来の所属はvlan240です。
  
  • 未認証時
    ゲストVLANとしてvlan248が指定されているため、これらのポートに接続された未認証のSupplicantはvlan248の所属となります。未認証のSupplicant同士は通信できますが、vlan248以外との通信ではできません（認証済みのSupplicantはゲストVLANから抜けるため未認証Supplicantと認証済みSupplicantの間では通信できません）。
    
    
  • 認証成功後
    ダイナミックVLANの設定がされているため、認証にパスした後はダイナミックVLANによって割り当てられたVLANの所属となります。ポート認証機能による通信上の制限もなくなります（未認証のSupplicantとの通信は不可）。
    

Auth-fail VLAN

Note

Auth-fail VLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。

Note

Auth-fail VLANへはRADIUSサーバーからAccess-Rejectを受信した場合のみアサインされ、タイムアウトによる認証失敗時はAuth-fail VLANへはアサインされません。

Note

Auth-fail VLANは、ホストモードがSingle-HostモードかMulti-Hostモードの場合のみ使用できます。Multi-SupplicantモードのポートではAuth-fail VLANを使用できません。

Note

各認証方式とAuth-fail VLAN 併用時、認証失敗したSupplicantがAuth-fail VLANの所属になったとき、各種showコマンドや各Supplicantの認証画面では「Authenticated」と表示されます。

ローミング認証

Note

Web認証でローミング認証を使用することはできません。

Note

ダイナミックVLANまたはゲストVLANが有効化されているポートではローミング認証を使用できません。

• ローミング認証を行うポートはすべて同一の認証設定でなくてはならない。移動前と移動後のポートで認証関連の設定が異なる場合、移動先でSupplicantは再認証を受ける。
  
  
• 同一の認証設定であっても移動前と移動先のポートで所属VLANが異なる場合、移動先でSupplicantは再認証を受ける。
  
  
• 802.1X認証、MAC認証が有効なポートから、認証が無効なポートへは移動できない。
  
  
• ローミング認証はすべての認証方式で使用できるが、802.1X Supplicantによってはポート移動時に再認証が行われることがある（これは、Supplicant側のポートがリンクダウンしたとき、自ら再認証を行うSupplicantがあるため）。
  
  
• 初期設定では、ローミング認証を有効にしたポートであっても、移動前のポートがリンクダウンする場合はSupplicant情報が初期化されるため移動先で新たに認証を受ける必要があるが、リンクダウン対応オプション（auth roaming disconnectedコマンド）を有効化すれば、ポートがリンクダウンしても認証情報が保持されるため、再認証なしでのポート間移動が可能となる。
  

awplus(config)# interface port1.0.2-port1.0.4 ↓
awplus(config-if)# auth roaming enable ↓

awplus(config)# interface port1.0.2-port1.0.4 ↓
awplus(config-if)# auth roaming disconnected ↓

Note

リンクダウン対応オプションは、トランクグループでは使えません。

Web認証サーバーの詳細設定

Web認証用DHCPサーバー

プロキシーサーバーを使用している環境でのWeb認証

Note

本設定例は、「Web認証機能の設定」が完了していることを前提とします。

• 本製品（Web認証サーバー）の仮想アドレス：10.10.10.1
  
• プロキシーサーバーのアドレス：192.168.10.5
  
• プロキシーサーバーのポート：8080
  

1. HTTPリダイレクト対象のTCPポートにプロキシーサーバーのポートを追加します。これには、auth-web-server intercept-portコマンドを使います。
   これにより、プロキシーサーバー経由のHTTP通信に対しても、HTTPリダイレクト機能が働くようになります。
   

   awplus(config)# auth-web-server intercept-port 8080 ↓
   

   
   

   Note

   Supplicantのプロキシーサーバー設定の[例外]に、AuthenticatorのIPアドレスまたはホスト名が正しく登録されていない場合、プロキシー要求のループが発生することがありますが、これを検知しSupplicantのWebブラウザー上に警告メッセージを表示することができます。設定は、auth-web-server intercept-portコマンドで「any」を指定します。

• プロキシーサーバーのアドレス：192.168.10.5
  
• プロキシーサーバーのポート：8080
  
• 例外（プロキシーを使用しない宛先）にWeb認証サーバーのIPアドレス10.10.10.1を追加
  

Note

プロキシーサーバー設定の[例外]にWeb認証サーバーのIPアドレスを設定しない場合、認証成功後、Web認証サーバーへアクセスできなくなります。

• 本製品（Web認証サーバー/DHCPサーバー/PACサーバー）の仮想アドレス：10.10.10.1
  
• PACファイルのURL（本製品）：http://10.10.10.1/proxy.pac
  
• プロキシーサーバーのアドレス：192.168.10.5
  
• プロキシーサーバーのポート：8080
  

function FindProxyForURL(url, host){
    if(isPlainHostName(host) || shExpMatch(host, "10.10.10.1")){
         return "DIRECT";
    }else{
         return "PROXY 192.168.10.5:8080; DIRECT";
    }
}

1. 本製品をPACファイルサーバーとして動作させるため、TFTPサーバー192.168.10.100上に用意したPACファイル「ourproxy.pac」を、本製品のWebサーバー機能にインストールします。これには、copyコマンドのproxy-autoconfig-fileオプションを使います。
   

   awplus# copy tftp://192.168.10.100/ourproxy.pac proxy-autoconfig-file ↓
   

   
   これにより、Webブラウザーからは以下のURLでインストールしたPACファイルにアクセスできるようになります（インストール元のファイル名にかかわらず、URLのファイル名部分はproxy.pac固定です）。
   

   http://本製品のIPアドレス/proxy.pac
   

   Note

   PACファイルには未認証Supplicantからもアクセスできます。また、Web認証が無効のときでも前記URLからPACファイルの取得が可能です。ただし、Web認証サーバーでHTTPS（auth-web-server ssl）を使用している場合は、未認証SupplicantがPACファイルを取得できません。HTTPS使用時は、次項「本製品以外のPACファイルサーバーを使う場合」にしたがい、本製品以外のPACファイルサーバーからPACファイルを取得するようにしてください。

   
   
2. HTTPリダイレクト対象のTCPポートにプロキシーサーバーのポートを追加します。これには、auth-web-server intercept-portコマンドを使います。
   これにより、プロキシーサーバー経由のHTTP通信に対しても、HTTPリダイレクト機能が働くようになります。
   

   awplus# configure terminal ↓
   Enter configuration commands, one per line.  End with CNTL/Z.
   awplus(config)# auth-web-server intercept-port 8080 ↓
   

   
   

   Note

   Supplicantのプロキシーサーバー設定の[例外]に、AuthenticatorのIPアドレスまたはホスト名が正しく登録されていない場合、プロキシー要求のループが発生することがありますが、これを検知しSupplicantのWebブラウザー上に警告メッセージを表示することができます。設定は、auth-web-server intercept-portコマンドで「any」を指定します。

   
   
3. Webブラウザーのプロキシー自動検出機能（WPAD）によるPACファイルURLの問い合わせに応答できるよう、WPADオプションとしてPACファイルのURLを登録します。
   これには、auth-web-server dhcp wpad-optionコマンドを使います。
   

   awplus(config)# auth-web-server dhcp wpad-option http://10.10.10.1/proxy.pac ↓
   

   Note

   WPADをサポートしていないブラウザーの場合は、ここで指定したPACファイルのURLを手動設定します。

• WPADを有効にする
  

• PACファイルのURLを手動設定する
  

• 本製品（Web認証サーバー）の仮想アドレス：10.10.10.1
  
• PACファイルのURL（PACファイルサーバー）：http://192.168.10.10/ourproxy.pac
  
• プロキシーサーバーのアドレス：192.168.10.5
  
• プロキシーサーバーのポート：8080
  

function FindProxyForURL(url, host){
    if(isPlainHostName(host) || shExpMatch(host, "10.10.10.1")){
         return "DIRECT";
    }else{
         return "PROXY 192.168.10.5:8080; DIRECT";
    }
}

1. HTTPリダイレクト対象のTCPポートにプロキシーサーバーのポートを追加します。これには、auth-web-server intercept-portコマンドを使います。
   これにより、プロキシーサーバー経由のHTTP通信に対しても、HTTPリダイレクト機能が働くようになります。
   

   awplus(config)# auth-web-server intercept-port 8080 ↓
   

   
   

   Note

   Supplicantのプロキシーサーバー設定の[例外]に、AuthenticatorのIPアドレスまたはホスト名が正しく登録されていない場合、プロキシー要求のループが発生することがありますが、これを検知しSupplicantのWebブラウザー上に警告メッセージを表示することができます。設定は、auth-web-server intercept-portコマンドで「any」を指定します。

   
   
2. Webブラウザーのプロキシー自動検出機能（WPAD）によるPACファイルURLの問い合わせに応答できるよう、DHCPサーバー機能を有効化して、WPADオプションとしてPACファイルのURLを登録します。
   

   awplus(config)# ip dhcp option 252 ascii ↓
   awplus(config)# ip dhcp pool vlan100 ↓
   awplus(dhcp-config)# network 10.10.10.0/24 ↓
   awplus(dhcp-config)# range 10.10.10.11 10.10.10.20 ↓
   awplus(dhcp-config)# default-router 10.10.10.1 ↓
   awplus(dhcp-config)# lease 0 0 0 20 ↓
   awplus(dhcp-config)# option 252 http://192.168.10.10/ourproxy.pac ↓
   

   Note

   本製品以外のPACファイルサーバーを使う場合、Web認証用DHCPサーバーは使用できません。通常のDHCPサーバー機能を使用してください。

   Note

   WPADをサポートしていないブラウザーの場合は、ここで指定したPACファイルのURLを手動設定します。

   
   
3. 未認証のSupplicant（Webブラウザー）が前記URLのPACファイルを取得できるよう、auth forwardコマンドでPACファイルサーバーへの通信（ルーティング）を許可します。
   

   awplus(config)# interface port1.0.2-port1.0.4 ↓
   awplus(config-if)# auth forward 192.168.10.10 tcp 80 ↓
   

   Note

   前記のauth forwardコマンドは対象パケットのルーティングを許可するだけで、本製品を介してのL2スイッチングは許可しません。そのため、本製品以外のPACファイルサーバーを使う場合は、原則として未認証SupplicantとPACファイルサーバーが異なるサブネットに置かれている必要があります。

• WPADを有効にする
  

• PACファイルのURLを手動設定する
  

インターセプトモード / プロミスキャスモード

Web認証画面のカスタマイズ

• HTML/CSSファイルを編集して本製品のフラッシュメモリーに置く
  
• カスタマイズ用のコマンドを使う
  
• 独自のログイン画面を作成して外部Webサーバーに設置する
  

HTML/CSSファイルの編集によるカスタマイズ

Note

ログイン画面を外部Webサーバーに設置している場合、HTML/CSSファイルの編集によるカスタマイズは、ログイン画面以外（認証中、認証成功、認証失敗）に対してのみ適用されます。

1. ヘッダー
   ヘッダーの見た目は、Web認証サーバー上にあって外部からアクセス可能なファイルheader.htmlとstyle.cssによって決定されます。これらのファイルを編集して規定の場所に置くことにより、ヘッダーのカスタマイズが可能です。
   
   
2. 入力フォーム
   入力フォームの見た目は、Web認証サーバーが内部に持っているHTMLデータとWeb認証サーバー上にあって外部からアクセス可能なファイルstyle.cssによって決定されます。入力フォームのHTMLデータは変更できないため文字列などの変更はできませんが、style.cssを編集して規定の場所に置くことにより、入力フォームのレイアウト（フォームパーツの配置）を変更できます。
   
   
3. 画像ファイル
   初期設定では、ヘッダーからh_glb.gif、フッターからf_logo.gifというGIF画像ファイルを参照しています。この2つの画像ファイルそのものは変更できませんが、別に用意した画像ファイルlogo.gifを規定の場所に置けば、このファイルも外部からアクセス可能になります。ヘッダー、フッターを編集して、h_glb.gif、f_logo.gifの代わりにlogo.gifを参照させることで画像ファイルの変更が可能です。
   
   
4. フッター
   フッターの見た目は、Web認証サーバー上にあって外部からアクセス可能なファイルfooter.htmlとstyle.cssによって決定されます。これらのファイルを編集して規定の場所に置くことにより、フッターのカスタマイズが可能です。
   
   
5. 認証成功画面の追加メッセージ
   認証成功画面の入力フォーム部分はデフォルトで上記の内容ですが、success_page_msg.htmlというファイルを用意することにより、「logout」ボタンの下に任意のメッセージを表示させることが可能です。
   

Note

HTML/CSSの書き方や書式、編集後の問題に関してはサポート対象外となります。あらかじめご了承ください。

編集対象ファイルの準備

• header.html
  
• footer.html
  
• style.css
  
• success_page_msg.html
  
• logo.gif
  

• http://172.16.10.1/header.html
  
• http://172.16.10.1/footer.html
  
• http://172.16.10.1/style.css
  

Note

HTMLファイル、CSSファイルは最終的に文字エンコーディング「UTF-8」で保存する必要があります。
ブラウザーからの保存時にはエンコーディングを指定できないことが多いため、エディターで内容を編集して再保存するときに「UTF-8」で保存してください（参考：Microsoft社製メモ帳（notepad.exe）で保存するときの画面例）。

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<HTML>
<HEAD>
<META http-equiv="Content-Type" content="text/html; charset=UTF-8">
<META http-equiv="Content-Style-Type" content="text/css">
<TITLE></TITLE>
</HEAD>
<BODY>
ここに任意のコンテンツを記述してください。
</BODY>
</HTML>

ファイルの編集

• style.cssでフレーム位置を変更しても、入力フォームの「User name」欄と「Password」欄を縦方向に移動することはできません。
  
  
• header.html、footer.html、success_page_msg.htmlから参照できる画像ファイルは次の3つだけです。
  
  • h_glb.gif（Web認証サーバー組み込み済みのため画像の変更は不可）
    
  • f_logo.gif（Web認証サーバー組み込み済みのため画像の変更は不可）
    
  • logo.gif（追加できる唯一の画像。ファイル名は固定なので別の名前は使えない。使用する場合は各HTMLファイルから参照している画像ファイル名をlogo.gifに変更すること）
    
  
  
• HTML/CSSファイルの編集は、PC上で行ってください。CLIのeditコマンドでの編集はサポート対象外となりますので、ご了承ください。
  
  
• HTMLファイルで表示される部分に関して、日本語を含む文字列を使用することも可能です。
  
  
• HTML/CSSファイルの拡張子は必ず「.html」および「.css」にし、文字エンコーディングはUTF-8に統一してください。
  

編集済みファイルの配置（アップロード）

awplus# cd flash:/ ↓
awplus# copy zmodem ↓
rz waiting to receive.**B0100000023be50
（通信ソフトウェア側でZMODEMによるファイル送信の操作を行う）

awplus# copy tftp://172.16.10.70/logo.gif flash:/ ↓

• flash:/header.html
  認証画面のヘッダー部分に、flash:/header.htmlのBODY部分を使用します。このファイルが存在しないときは、オリジナルのheader.htmlを使います。
  
  
• flash:/footer.html
  認証画面のフッター部分に、flash:/footer.htmlのBODY部分を使用します。このファイルが存在しないときは、オリジナルのfooter.htmlを使います。
  
  
• flash:/style.css
  認証画面から参照される「style.css」として、flash:/style.cssの内容を返します。このファイルが存在しないときは、オリジナルのstyle.cssを使います。
  
  
• flash:/success_page_msg.html
  認証成功画面の「logout」ボタンの下に、flash:/success_page_msg.htmlのBODY部分を挿入します。このファイルが存在しないときは、「logout」ボタンの下には何も表示されません。
  
  
• flash:/logo.gif
  認証画面のヘッダー、フッター部分から「logo.gif」が参照された場合、flash:/logo.gifの内容を返します。このファイルが存在しないときに「logo.gif」が参照されると、Not Foundになります。
  

カスタマイズのとりやめ（初期状態への復帰）

• flash:/header.html
  
• flash:/footer.html
  
• flash:/style.css
  
• flash:/success_page_msg.html
  
• flash:/logo.gif
  

コマンドによるカスタマイズ

Note

ログイン画面を外部Webサーバーに設置している場合、コマンドによるカスタマイズは、ログイン画面以外（認証中、認証成功、認証失敗）に対してのみ適用されます。

• タイトル
  認証ページ共通ヘッダーのタイトル文字列は、auth-web-server page titleコマンドによって変更できます。
  カスタマイズしたheader.htmlを使用している場合、同コマンドの設定は無効です。
  また、ログイン画面を外部サーバーに設置している場合（auth-web-server login-url設定時）、同コマンドの設定はログイン画面以外（認証中、認証成功、認証失敗）に対してのみ適用されます。
  
  
• サブタイトル
  認証ページ共通ヘッダーのサブタイトル文字列は、auth-web-server page sub-titleコマンドによって変更できます。
  カスタマイズしたheader.htmlを使用している場合、同コマンドの設定は無効です。
  また、ログイン画面を外部サーバーに設置している場合（auth-web-server login-url設定時）、同コマンドの設定はログイン画面以外（認証中、認証成功、認証失敗）に対してのみ適用されます。
  
  
• 画像ファイル
  認証ページ共通ヘッダーの画像ファイルは、auth-web-server page logoコマンドによって制御できます。
  

  設定値	ヘッダー画像ファイルの表示
  auto（初期設定）	フラッシュメモリー上に logo.gif という名前のファイルが存在する場合は、ヘッダー画像として logo.gif を表示。存在しない場合はWeb認証サーバーに組み込まれているデフォルト画像 h_glb.gif を表示
  default	Web認証サーバーに組み込まれているデフォルト画像 h_glb.gif を表示
  hidden	ヘッダー画像を表示しない

  カスタマイズしたheader.htmlを使用している場合、同コマンドの設定は無効です。
  また、ログイン画面を外部サーバーに設置している場合（auth-web-server login-url設定時）、同コマンドの設定はログイン画面以外（認証中、認証成功、認証失敗）に対してのみ適用されます。
  
  
• ウェルカムメッセージ
  auth-web-server page welcome-messageコマンドを実行することにより、ログイン画面の入力フォームの横に指定した文字列を表示させることができます。
  ログイン画面を外部サーバーに設置している場合（auth-web-server login-url設定時）、同コマンドの設定はログイン画面以外（認証中、認証成功、認証失敗）に対してのみ適用されます。
  
  
• 認証成功メッセージ
  認証成功画面の入力フォーム部分はデフォルトで上記の内容ですが、auth-web-server page success-messageコマンドを実行することにより、「logout」ボタンの下に指定したメッセージを表示させることが可能です。
  カスタマイズしたsuccess_page_msg.htmlを使用している場合、同コマンドの設定は無効です。
  
  
• 認証画面言語
  認証ページに表示される言語は、auth-web-server page languageコマンドによって変更できます。
  

ログイン画面を外部Webサーバーに設置することによるカスタマイズ

Note

この方法でカスタマイズできるのはログイン画面だけです。他の画面（認証中、認証成功、認証失敗）はWeb認証サーバー上のページが表示されます（Webサーバー上のページに対しては、「HTML/CSSの編集」や「コマンド」によるカスタマイズが適用されます）。

外部サーバーの用意

• Authenticator（本製品）がSupplicantのデフォルトゲートウェイになる場合
  
  
  • 外部Webサーバーは未認証Supplicantと同一サブネットに置く
    
  • 認証ポートに「auth forward A.B.C.D tcp 80」を設定する（A.B.C.Dは外部WebサーバーのIPアドレス）
    
  • 仮想アドレス（auth-web-server ipaddress）を設定する
    

  Note

  仮想DHCPサーバー（auth-web-server dhcp ipaddress）は使用できません。

  
  
• Authenticator（本製品）がSupplicantのデフォルトゲートウェイではない場合
  
  
  • 外部Webサーバーはどのサブネットに置いてもよい
    
  • 認証ポートに「auth forward A.B.C.D tcp 80」を設定する（A.B.C.Dは外部WebサーバーのIPアドレス）
    
  • 仮想アドレス（auth-web-server ipaddress）を設定する
    

  Note

  仮想DHCPサーバー（auth-web-server dhcp ipaddress）は使用できません。

ログイン画面のHTMLファイル作成

Note

HTML/CSSの書き方や書式、編集後の問題に関してはサポート対象外となります。あらかじめご了承ください。

<form action="http://192.168.1.5/" autocomplete="off" target="_self" name="AUTH" method="POST">
  <div>User name</div>
  <div><input size="30" type="text" maxlength="64" name="USERNAME"></div>
  <div>Password</div>
  <div><input size="30" type="password" maxlength="64" name="PASSWORD"></div>
  <div>
    <input type="submit" name="ACTION" value="login">
    <input type="reset" name="RESET" value="Reset">
  </div>
</form>

ログイン画面を外部Webサーバーに設置

awplus(config)# auth-web-server login-url http://192.168.1.1/ ↓

ログイン画面を本体のフラッシュメモリーに設置することによるカスタマイズ

Note

この方法でカスタマイズできるのはログイン画面だけです。他の画面（認証中、認証成功、認証失敗）はWeb認証サーバー上のページが表示されます（Webサーバー上のページに対しては、「HTML/CSSの編集」や「コマンド」によるカスタマイズが適用されます）。

Note

ログイン画面を「外部Webサーバーに設置することによるカスタマイズ」と「本体のフラッシュメモリーに設置することによるカスタマイズ」を同時に設定した場合は、「外部Webサーバーに設置することによるカスタマイズ」が優先されます。

ログイン画面のHTMLファイル作成

Note

HTML/CSSの書き方や書式、編集後の問題に関してはサポート対象外となります。あらかじめご了承ください。

<form action="/index.cgi" autocomplete="off" target="_self" name="AUTH" method="POST">
  <div>User name</div>
  <div><input size="30" type="text" maxlength="64" name="USERNAME"></div>
  <div>Password</div>
  <div><input size="30" type="password" maxlength="64" name="PASSWORD"></div>
  <div>
    <input type="submit" name="ACTION" value="login">
    <input type="reset" name="RESET" value="Reset">
  </div>
</form>

ログイン画面をweb-authディレクトリーに設置

アカウンティング（利用記録）

Note

本製品内蔵のローカルRADIUSサーバーは認証機能のみをサポートしており、アカウンティングはサポートしていません。

awplus(config)# aaa accounting dot1x default start-stop group radius ↓

awplus(config)# aaa accounting auth-mac default start-stop group radius ↓

awplus(config)# aaa accounting auth-web default start-stop group radius ↓

RADIUSサーバーの設定項目

Note

RADIUSサーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。

802.1X認証

Note

Authenticator側では802.1X認証用パスワードの長さを特に制限していませんが、本製品のローカルRADIUSサーバーで設定可能なパスワードの最大長は31文字です。

MACベース認証

Web認証

Note

Web認証用パスワードは64文字以内で設定してください。なお、本製品のローカルRADIUSサーバーで設定可能なパスワードの最大長は31文字です。

ダイナミックVLAN（各認証方式共通）

RADIUS Dynamic Authorization

• Disconnect メッセージ - 指定されたSupplicantを切断します。
  

  Note

  Disconnectメッセージによって切断されたSupplicantの認証情報は、認証抑止期間（quietPeriod。auth timeout quiet-periodコマンドで設定）の経過後に削除されます。認証抑止期間中、該当Supplicantからのパケットはすべて破棄されます。

• Change-of-Authorization (CoA) メッセージ - 指定されたSupplicantの所属VLANを変更（ダイナミックVLAN使用時）、または、指定されたSupplicantの接続ポートをダウン・アップ（Port Bounce）します。
  

使用方法

Note

Dynamic AuthorizationクライアントはRADIUSサーバーなどを含むセキュリティー製品の一機能として実装されている場合があります。

awplus(config)# radius dynamic-authorization-client 172.16.10.2 key heMeetsTwo! ↓

Note

Dynamic Authorizationクライアント（RADIUSサーバーなど）の具体的な設定・操作方法は、ご使用のクライアント製品のマニュアルをご参照ください。

• セッションを特定するための属性（1つ以上指定）
  
  
  • 本製品
    
    • NAS-IP-Address (4) - 本製品のIPv4アドレス
      
    • NAS-Identifier (32) - 本製品の識別子（auth radius send nas-identifierコマンドで設定する必要があります）
      
    
    
  • Supplicant
    
    • User-Name (1) - Supplicantの認証ユーザー名
      
    • NAS-Port (5) - Supplicantが接続されている本製品のポートのインターフェースインデックス番号（ifIndex）（参照：show interfaceコマンド）
      
    • Framed-IP-Address (8) - SupplicantのIPv4アドレス
      
    • Called-Station-Id (30) - 本製品のMACアドレス
      
    • Calling-Station-Id (31) - SupplicantのMACアドレス
      
    • Acct-Session-Id (44) - アカウンティングセッションID
      

  Note

  指定したすべての属性にマッチするセッションだけがアクションの対象になります。

  Note

  Framed-IP-Addressで指定するIPv4アドレスは、Supplicant認証時にAccess-AcceptメッセージのFramed-IP-Address属性で割り当てられた場合にのみマッチします。

  
  
• （CoAのみ）変更後のVLANを指定するための属性
  
  
  • タグなしポート（いずれか1つだけ指定）
    
    • Egress-VLANID (56) - VLANタグの有無とVLAN ID
      
    • Egress-VLAN-Name (58) - VLANタグの有無とVLAN名
      
    • Tunnel-Private-Group-ID (81) - VLAN IDかVLAN名
      
    
    
  • タグ付きポート（複数の指定が可能）
    
    • Egress-VLANID (56) - VLANタグの有無とVLAN ID
      
    • Egress-VLAN-Name (58) - VLANタグの有無とVLAN名
      

  Note

  Egress-VLANID、Egress-VLAN-Name属性では、属性値の先頭オクテットが 0x32（ASCIIの「2」）ならタグなし、0x31（ASCIIの「1」）ならタグ付きを示します。なお、タグ付き指定は認証ポートがタグ付き（トランクポート）で、なおかつ、ホストモード（auth host-mode）をSingle-HostかMulti-Hostに設定し、マルチVLANセッション（auth multi-vlan-session）とダイナミックVLAN（auth dynamic-vlan-creation）有効にしている場合のみ有効です。また、該当タグ付きポートはイングレスフィルタリングが有効のままでご使用ください。

  Note

  Multi-SupplicantモードのポートではCoAメッセージによるVLAN変更は未サポートです。

設定や状態の確認

awplus# show dot1x interface port1.0.2 ↓

awplus# show dot1x supplicant interface port1.0.2 ↓

awplus# show dot1x supplicant interface port1.0.2 brief ↓

awplus# show dot1x sessionstatistics interface port1.0.2 ↓

(C) 2024 - 2025 アライドテレシスホールディングス株式会社

PN: 613-003319 Rev.C