運用・管理 / RADIUSサーバー

本製品はRADIUSサーバー機能（ローカルRADIUSサーバー）を内蔵しています。
ローカルRADIUSサーバーを利用すれば、別途RADIUSサーバーを用意することなく、本製品だけで下記機能向けの認証サーバーを構築できます。
また、本製品にはローカルCA機能が付属しているため、電子証明書を利用する場合でも別途認証局（CA）を用意する必要がありません。

ここでは、ローカルRADIUSサーバーの設定方法だけを述べます。
ローカルRADIUSサーバーを利用する側の機能については下記のページをご覧ください。
また、ローカルCA機能については「運用・管理」/「ローカルCA」をご覧ください。

仕様

ローカルRADIUSサーバーの基本的な仕様を以下に示します。

基本設定

  1. ローカルRADIUSサーバーの設定を開始するには、radius-server localコマンドを実行します。
    awplus(config)# radius-server local
Created trustpoint "local".
Generating 2048-bit key for local CA...
Automatically authenticated trustpoint "local".
Automatically enrolled the local server to trustpoint "local".
awplus(config-radsrv)#

    radius-server localコマンドの初回実行時には、ローカルCA（ローカルなルート認証局）の初期設定（自署ルートCA証明書の発行など）やRADIUSサーバーの証明書発行などが自動的に行われ、またローカルホスト（127.0.0.1）をRADIUSクライアント（NAS）として自動登録します。具体的には、下記のコマンドが自動的に実行されます。
    !
! 以下はradius-server localの初回実行時に自動実行される内容です。
!
awplus(config)# crypto pki trustpoint local
awplus(config)# end
awplus# crypto pki enroll local
awplus# configure terminal
awplus(config)# radius-server local
awplus(config-radsrv)# nas 127.0.0.1 key awplus-local-radius-server

  2. ユーザーを登録します。

    • 各ユーザーの認証結果だけを返したい場合は、userコマンドを使ってユーザー名とパスワードを指定します。ここでは、user1、user2、user3の3ユーザーを作成しています。
      awplus(config-radsrv)# user user1 password passwd1
awplus(config-radsrv)# user user2 password passwd2
awplus(config-radsrv)# user user3 password passwd3

    • 認証結果だけでなく、ダイナミックVLAN用の情報も返したい場合は、ユーザーごとに所属VLANを指定する必要があります。これはユーザーグループを使用して次のようにします。

      • groupコマンド（RADIUSサーバーモード）を使って、ユーザーグループvlan10usersとvlan20usersを作成します。RADIUSサーバー・ユーザーグループモードでは、vlanコマンドを使って、該当グループに割り当てるVLAN IDまたはVLAN名を指定します。
        awplus(config-radsrv)# group vlan10users
awplus(config-radsrv-group)# vlan 10
awplus(config-radsrv-group)# exit
awplus(config-radsrv)# group vlan20users
awplus(config-radsrv-group)# vlan 20
awplus(config-radsrv-group)# exit

      • ユーザーuser11、user12をユーザーグループvlan10usersに、ユーザーuser21、user22をユーザーグループvlan20usersに所属させます。
        awplus(config-radsrv)# user user11 password passwd11 group vlan10users
awplus(config-radsrv)# user user12 password passwd12 group vlan10users
awplus(config-radsrv)# user user21 password passwd21 group vlan20users
awplus(config-radsrv)# user user22 password passwd22 group vlan20users

  3. 他の機器にも本製品のRADIUSサーバーを利用させたいときは、それらの機器をRADIUSクライアント（NAS）として登録する必要があります。該当機器のIPアドレス（RADIUSパケットの始点IPアドレス）と、アクセス時の共有パスワードをnasコマンドで設定してください。ここでは、172.16.10.2と172.16.10.3を持つ機器をRADIUSクライアントとして登録しています。
    awplus(config-radsrv)# nas 172.16.10.2 key naspas2
awplus(config-radsrv)# nas 172.16.10.3 key naspas3

  4. 各種登録が終わったら、server enableコマンドでRADIUSサーバーを有効にします。
    awplus(config-radsrv)# server enable

基本設定は以上です。

ローカルRADIUSサーバーの初期状態では、UDPポート1812番で認証サービスを提供します。認証用のポートを変更するには、server auth-portコマンドを使います。
awplus(config-radsrv)# server auth-port 11812

ローカルRADIUSサーバーの初期状態では、サポートしているすべての認証方式（PAP、EAP-MD5、EAP-TLS、EAP-PEAP）が有効です。特定の認証方式を無効にしたい場合は、authenticationコマンドをno形式で実行します。
awplus(config-radsrv)# no authentication eapmd5

ローカルRADIUSサーバーからユーザーを削除することなく、特定のユーザーを一時的に無効化するには、user rejectコマンドを使用します。
なお、userコマンドのrejectオプションを使えば、最初から無効状態でユーザーを登録することもできます。
awplus(config-radsrv)# user user1 reject

無効状態のユーザーはつねに認証が拒否されます。再度有効化するにはuser rejectコマンドをno形式で実行してください。
awplus(config-radsrv)# no user user1 reject

各種情報の確認

ローカルRADIUSサーバーの状態と統計情報を確認するには、show radius local-server statisticsコマンドを使います。
awplus# show radius local-server statistics

ローカルRADIUSサーバーに登録してあるユーザーの情報は、show radius local-server userコマンドで確認します。
awplus# show radius local-server user

ローカルRADIUSサーバーに登録してあるユーザーグループの情報は、show radius local-server groupコマンドで確認します。
awplus# show radius local-server group

ローカルRADIUSサーバーに登録してあるRADIUSクライアント（NAS）の情報は、show radius local-server nasコマンドで確認します。
awplus# show radius local-server nas

フォワーディングデータベースからのユーザー登録

フォワーディングデータベース（FDB）に登録されているMACアドレスを、MACベース認証用のユーザーデータとして登録したり、ユーザーデータのCSV（カンマ区切り）テキストファイルとして書き出したりすることもできます。

これには、copyコマンドの特殊書式（fdb-radius-usersキーワード）を使います。ファイルコピーに使うcopyコマンドにおいて、コピー元に「fdb-radius-users」を指定することで、FDB内のMACアドレスをユーザーデータとして扱うことができます。

FDBに登録されているMACアドレスをローカルRADIUSサーバーに直接登録する場合は、コピー先に「local-radius-user-db」を指定します。



FDBに登録されているMACアドレスをローカルRADIUSサーバーに直接登録するのではなく、いったんファイルに書き出したい場合は、コピー先に任意のファイルパスを指定します。書き出したCSVファイルは、次節の「ユーザー情報の書き出しと読み込み」で述べる方法でローカルRADIUSサーバーに読み込むことができます。


ユーザー情報の書き出しと読み込み

ローカルRADIUSサーバーに登録してあるユーザーの情報（ユーザーおよびユーザーグループの情報）をCSV（カンマ区切り）テキストとして書き出したり、CSVテキストから読み込んだりすることもできます。

これには、copyコマンドの特殊書式（local-radius-user-dbキーワード）を使います。ファイルコピーに使うcopyコマンドにおいて、予約語「local-radius-user-db」をコピー元に指定すれば書き出し、コピー先に指定すれば読み込みの指示になります。

ローカルRADIUSサーバーのユーザー情報をファイルに書き出すには、コピー元に予約語「local-radius-user-db」を、コピー先に任意のファイルパスを指定します。


CSVファイルからローカルRADIUSサーバーのユーザー情報を読み込むには、コピー元にバックアップしたCSVファイルのパスを、コピー先に予約語「local-radius-user-db」を指定します。





ローカルRADIUSサーバーの利用

自装置のローカルRADIUSサーバーを使用するには、RADIUSクライアントの設定において、IPアドレス「127.0.0.1」、共有パスワード「awplus-local-radius-server」を指定します。たとえば、Web認証機能において、ローカルRADIUSサーバーを使って認証を行う場合は、次のようにします。
awplus(config)# radius-server host 127.0.0.1 key awplus-local-radius-server
awplus(config)# aaa authentication auth-web default group radius

他の機器から本製品のローカルRADIUSサーバーを使用する場合は、該当機器のRADIUSクライアントに対して下記の設定をしてください。なお、他の機器からアクセスさせる場合は、nasコマンドを使って、該当機器のIPアドレスと共有パスワードをあらかじめ登録しておく必要があります。
表 1
RADIUSサーバーのIPアドレス 該当機器から到達可能な本製品のIPアドレス
RADIUSサーバーの共有パスワード nasコマンドのkeyパラメーターで設定した文字列
認証用ポート番号 server auth-portコマンドで設定した値。未設定時は初期値の1812
アカウンティング用ポート番号 使用しない（ローカルRADIUSサーバーはアカウンティング機能をサポートしていないため）