運用・管理 / RADIUSサーバー

仕様

• 認証方式と対象機能
  次に、ローカルRADIUSサーバーがサポートする認証方式とそれぞれの対象機能を示します。
  
  • ID/パスワード（プラグイン）
    
    • OpenVPNクライアント認証
      
    
    
  • PAP、EAP-MD5
    
    • MACベース認証
      
    
    
  • EAP-TLS
    
    • 無線クライアント認証
      
    • 802.1X認証
      
    
    
  • EAP-PEAP
    
    • 無線クライアント認証
      
    • 802.1X認証
      
  
  
• アカウンティング機能はなし
  ローカルRADIUSサーバーは認証機能だけを提供します（デフォルトのUDPポートは1812）。ログイン、ログオフなどの利用状況を記録するアカウンティング機能はサポートしていません。
  
  
• ユーザー登録
  各ユーザーに対しては、ユーザー名、パスワードに加え、各機能で使用する属性を設定することができます（各種属性は「ユーザーグループ」単位で設定）。
  
  
• RADIUSクライアント（NAS）登録
  ローカルRADIUSサーバーにアクセスできるのは、登録したIPアドレスを持ったRADIUSクライアント（NAS = Network Access Server）だけです。また、アクセス時には共有パスワードによる認証も行われます。
  
  
• RADIUSパケットの検証機能
  ローカルRADIUSサーバー機能では、認証レスポンスの偽造による攻撃を防ぐため、RADIUSパケットの検証機能を実装しています。
  
  
• ローカルCA
  EAP-TLSの認証には認証局（CA）が発行する電子証明書が必要ですが、本製品には独自の証明書を発行するローカルCA機能が付属しているため、別途認証局（CA）を用意する必要がありません。ローカルCAおよびローカルRADIUSサーバーの証明書は自動的に発行されるため、必要な作業はCA証明書を配布してクライアントにインストールすることだけです。
  ローカルCA機能の詳細については「運用・管理」/「ローカルCA」をご覧ください。
  

基本設定

1. ローカルRADIUSサーバーの設定を開始するには、radius-server localコマンドを実行します。
   

   awplus(config)# radius-server local
   Created trustpoint "local".
   Generating 2048-bit key for local CA...
   Automatically authenticated trustpoint "local".
   Automatically enrolled the local server to trustpoint "local".
   awplus(config-radsrv)# 
   

   
   radius-server localコマンドの初回実行時には、ローカルCA（ローカルなルート認証局）の初期設定（自署ルートCA証明書の発行など）やRADIUSサーバーの証明書発行などが自動的に行われ、またローカルホスト（127.0.0.1）をRADIUSクライアント（NAS）として自動登録します。具体的には、下記のコマンドが自動的に実行されます。
   

   !
   ! 以下はradius-server localの初回実行時に自動実行される内容です。
   !
   awplus(config)# crypto pki trustpoint local
   awplus(config)# end
   awplus# crypto pki enroll local
   awplus# configure terminal
   awplus(config)# radius-server local
   awplus(config-radsrv)# nas 127.0.0.1 key awplus-local-radius-server
   

   
   
2. ユーザーを登録します。
   
   OpenVPNクライアントにIPアドレスを割り当てる場合は、ユーザーごとに各種属性値を設定する必要があります。これはユーザーグループを使用して次のようにします。
   
   
   • groupコマンド（RADIUSサーバーモード）を使って、ユーザーグループを作成します。
     IPアドレスはクライアントごとに異なるため、通常はユーザーの数だけユーザーグループを作成することになります。
     
     ここでは「userA」、「userB」、「userC」の各ユーザーに対応する同名のユーザーグループを作成し、attributeコマンドで必要な属性値を指定しています。各属性値については、attributeコマンドのページをご参照ください。
     

     awplus(config-radsrv)# group userA
     awplus(config-radsrv-group)# attribute Framed-IP-Address 192.168.20.101
     awplus(config-radsrv-group)# attribute Framed-IP-Netmask 255.255.255.0
     awplus(config-radsrv-group)# attribute Framed-Route "192.168.10.0/24 192.168.20.1"
     awplus(config-radsrv-group)# attribute Framed-Route "192.168.30.0/24 192.168.20.1"
     awplus(config-radsrv-group)# exit
     awplus(config-radsrv)# group userB
     awplus(config-radsrv-group)# attribute Framed-IP-Address 192.168.20.102
     awplus(config-radsrv-group)# attribute Framed-IP-Netmask 255.255.255.0
     awplus(config-radsrv-group)# attribute Framed-Route "192.168.10.0/24 192.168.20.1"
     awplus(config-radsrv-group)# attribute Framed-Route "192.168.30.0/24 192.168.20.1"
     awplus(config-radsrv-group)# exit
     awplus(config-radsrv)# group userC
     awplus(config-radsrv-group)# attribute Framed-IP-Address 192.168.20.103
     awplus(config-radsrv-group)# attribute Framed-IP-Netmask 255.255.255.0
     awplus(config-radsrv-group)# attribute Framed-Route "192.168.10.0/24 192.168.20.1"
     awplus(config-radsrv-group)# attribute Framed-Route "192.168.30.0/24 192.168.20.1"
     awplus(config-radsrv-group)# exit
     

     
     
   • userコマンドでユーザー「userA」、「userB」、「userC」を作成します。
     そのとき、groupパラメーターで属性を割り当てるためのユーザーグループ名も指定します。
     

     awplus(config-radsrv)# user userA password passwdA group userA
     awplus(config-radsrv)# user userB password passwdB group userB
     awplus(config-radsrv)# user userC password passwdC group userC
     

   
   
3. 他の機器にも本製品のRADIUSサーバーを利用させたいときは、それらの機器をRADIUSクライアント（NAS）として登録する必要があります。該当機器のIPアドレス（RADIUSパケットの始点IPアドレス）と、アクセス時の共有パスワードをnasコマンドで設定してください。ここでは、172.16.10.2と172.16.10.3を持つ機器をRADIUSクライアントとして登録しています。
   

   awplus(config-radsrv)# nas 172.16.10.2 key naspas2
   awplus(config-radsrv)# nas 172.16.10.3 key naspas3
   

   
   
4. 各種登録が終わったら、server enableコマンドでRADIUSサーバーを有効にします。
   

   awplus(config-radsrv)# server enable
   

awplus(config-radsrv)# server auth-port 11812

awplus(config-radsrv)# user user1 reject

awplus(config-radsrv)# no user user1 reject

各種情報の確認

awplus# show radius local-server statistics

awplus# show radius local-server user

awplus# show radius local-server group

awplus# show radius local-server nas

ローカルRADIUSサーバーの利用

awplus(config)# radius-server host 127.0.0.1 key awplus-local-radius-server
awplus(config)# aaa authentication openvpn default group radius