リファレンス編 / ポリシー管理




「ポリシー管理」画面では、ユーザー、端末、NASなどのポリシーを管理します。

ユーザー

ポリシー管理 > ユーザー
 
AT-RADgateのユーザーポリシーを管理します。
「ユーザー」タブをクリックすると、AT-RADgateに登録されたユーザーポリシー一覧が表示されます。
Note
ユーザーポリシーはMACアドレスベース認証(MACベース認証、MACアクセス制御)の場合にはMACアドレスを登録します。AT-RADgateにMACアドレスを登録する場合の形式(ログイン名とパスワード)は、NASが送信する形式に合わせてください。

表 1:ユーザーポリシー一覧
項目 表示 検索 並べ替え 説明
ログイン名 ユーザーのアカウント名です。この値はユーザーポリシーの識別とサプリカントの認証で使用されます。
フルネーム ユーザーのフルネームです。この値はサプリカントの認証には使用されません。
アクセスレベル ユーザーのアクセスレベルを表す0から15の整数値です。0はアクセス拒否を表し、それ以外の値はアクセス許可を表します。大きい値ほど高いアクセスレベルを持つことを表します。
タグ ユーザーに付与されたタグのリストです。ユーザーを特定のグループに分類するために使用します。
備考 ユーザーの説明です。この値はサプリカントの認証には使用されません。
ページの右上にある各ボタンの機能は下記となります。
表 2:各ボタンの機能
ボタン名 機能

CSVで出力
現在登録されているユーザーポリシーをCSV(カンマ区切りテキスト)形式でダウンロードします。
CSVファイルについては、「付録 / CSVファイル」を参照してください。

列を管理
表の各列の表示状態を変更します。

再読み込み
ユーザーポリシー一覧を再読み込みします。
追加 ユーザーポリシーを追加します(「ユーザー追加」ダイアログが表示されます)。
一覧の各行の右端にメニューボタンがあり、その行のポリシーの管理ができます。

表 3:各メニューの機能
メニュー名 機能
編集 ユーザーポリシーの内容を更新します(「ユーザー更新」ダイアログが表示されます)。
削除 ユーザーポリシーを削除します。

ユーザー追加・ユーザー更新

ポリシー管理 > ユーザー > ユーザー追加・ユーザー更新
 
「ユーザー」画面右上の「追加」ボタンをクリックすると「ユーザー追加」ダイアログが表示され、ユーザーポリシーの新規追加ができます。また、既に登録されているユーザーポリシーの右端の「編集」メニューをクリックすると「ユーザー更新」ダイアログが表示され、ユーザーポリシーの編集ができます。
この2つのダイアログは共通のフォームを使用しています。

表 4:ユーザー追加・ユーザー更新
項目・ボタン名 必須 書式 説明
ログイン名 識別子 ユーザーのアカウント名です。
「パスワード設定」ボタン 「ユーザー更新」ダイアログでのみ表示されます。クリックすると「パスワード」項目が表示され、パスワードの変更ができます。
パスワード パスワード ユーザーのアカウントパスワードです。英数字、記号が使用可能です。
フルネーム 文字列(最大63文字) ユーザーのフルネームです。
アクセスレベル 整数値(0-15)
(「数値」選択時)
ユーザーのアクセスレベルです。
 許可:アクセスを許可します。
 拒否:アクセスを拒否します。
 数値:0から15の整数値で設定します。0はアクセス拒否を、それ以外の値はアクセス許可を表し、大きい値ほど高いアクセスレベルを持つことを表します。
タグ タグ ユーザーに付与するタグのリストです。複数指定する場合は、空白文字で区切ります。
備考 文字列(最大63文字) ユーザーの説明です。
「キャンセル」ボタン ポリシーの追加または更新をキャンセルします。
「保存」ボタン 新しいポリシー情報を登録、またはポリシー情報を更新します。

端末

ポリシー管理 > 端末
 
AT-RADgateの端末ポリシーを管理します。
「端末」タブをクリックすると、AT-RADgateに登録された端末ポリシー一覧が表示されます。
端末とは、PCやスマートフォンなどの装置に搭載されたネットワークインターフェースを指します。1つの装置に有線と無線の2つのインターフェースを持つ場合、その装置のすべてのインターフェース接続を管理するには、2つの端末ポリシーを登録する必要があります。

表の各列の内容は下記となります。
表 5:端末ポリシー一覧
項目 表示 検索 並べ替え 説明
MACアドレス 端末のMACアドレスです。この値は端末ポリシーの識別とサプリカントの認証で使用されます。
デバイス名 端末のデバイス名です。複数の端末に同じデバイス名を付与することができます。同じデバイス名を持つ複数の端末は、同一の装置が複数のネットワークインターフェースを持つ状態を表します。この値はサプリカントの認証時の「サプリカントプロファイル」の適用条件に使用することができます。
アクセスレベル ユーザーのアクセスレベルを表す0から15の整数値です。0はアクセス拒否を表し、それ以外の値はアクセス許可を表します。大きい値ほど高いアクセスレベルを持つことを表します。
タグ 端末に付与されたタグのリストです。端末を特定のグループに分類するために使用します。
備考 端末の説明です。この値はサプリカントの認証には使用されません。
ページの右上にある各ボタンの機能は下記となります。
表 6:各ボタンの機能
ボタン名 機能

CSVで出力
現在登録されている端末ポリシーをCSV(カンマ区切りテキスト)形式でダウンロードします。
CSVファイルについては、「付録 / CSVファイル」を参照してください。

列を管理
表の各列の表示状態を変更します。

再読み込み
端末ポリシー一覧を再読み込みします。
追加 端末ポリシーを追加します(「端末追加」ダイアログが表示されます)。
一覧の各行の右端にメニューボタンがあり、その行のポリシーの管理ができます。

表 7:各メニューの機能
メニュー名 機能
編集 端末ポリシーの内容を更新します(「端末更新」ダイアログが表示されます)。
削除 端末ポリシーを削除します。

端末追加・端末更新

ポリシー管理 > 端末 > 端末追加・端末更新
 
「端末」画面右上の「追加」ボタンをクリックすると「端末追加」ダイアログが表示され、端末ポリシーの新規追加ができます。また、既に登録されている端末ポリシーの「編集」メニューをクリックすると「端末更新」ダイアログが表示され、端末ポリシーの編集ができます。
この2つのダイアログは共通のフォームを使用しています。

表 8:端末ポリシー
項目・ボタン名 必須 書式 説明
MACアドレス MACアドレス 端末のMACアドレスです。
デバイス名 識別子 端末のデバイス名です。
アクセスレベル 整数値(0-15) 端末のアクセスレベルです。
タグ タグ 端末に付与するタグのリストです。複数指定する場合は空白文字で区切ります。
備考 文字列(最大63文字) 端末の説明です。
「キャンセル」ボタン ポリシーの追加または更新をキャンセルします。
「保存」ボタン 新しいポリシー情報を登録、またはポリシー情報を更新します。

NAS / RADIUSプロキシ

ポリシー管理 > NAS / RADIUSプロキシ
 
AT-RADgateのNASポリシーおよびRADIUSプロキシポリシーを管理します。
「NAS / RADIUSプロキシ」タブをクリックすると、AT-RADgateに登録されたNASポリシーおよびRADIUSプロキシポリシー一覧が表示されます。

表の各列の内容は下記となります。
表 9:NASポリシー一覧
項目 表示 検索 並べ替え 説明
IPアドレス NAS / RADIUSプロキシのIPアドレスです。この値はNASポリシーの識別とサプリカントの認証で使用されます。
名称 NAS / RADIUSプロキシの名前です。この値はサプリカントの認証には使用されません。
プロファイル このNAS / RADIUSプロキシに割り当てられたプロファイル名です。プロファイルはNAS / RADIUSプロキシの設定が格納されたデータで、多数のNAS / RADIUSプロキシに同じ設定を適用する必要がある場合に活用できます。この値が空の場合、デフォルトのプロファイルが割り当てられます。
デフォルトのプロファイルについては「デフォルトのNASプロファイル」を参照してください。
タグ NAS / RADIUSプロキシに付与されたタグのリストです。NASを特定のグループに分類するために使用します。
備考 NAS / RADIUSプロキシの説明です。この値はサプリカントの認証には使用されません。
ページ右上にある各ボタンの機能は下記となります。
表 10:各ボタンの機能
ボタン名 機能

CSVで出力
現在登録されているNAS / RADIUSプロキシポリシーをCSV(カンマ区切りテキスト)形式でダウンロードします。
CSVファイルについては、「付録 / CSVファイル」を参照してください。

列を管理
表の各列の表示状態を変更します。

再読み込み
NAS / RADIUSプロキシポリシー一覧を再読み込みします。
追加 NAS / RADIUSプロキシポリシーを追加します(「NAS / RADIUSプロキシ追加」ダイアログが表示されます)。
一覧の各行の右端にメニューボタンがあり、その行のポリシーの管理ができます。

表 11:各メニューの機能
メニュー名 機能
編集 NAS / RADIUSプロキシポリシーの内容を更新します(「NAS / RADIUSプロキシ更新」ダイアログが表示されます)。
削除 NAS / RADIUSプロキシポリシーを削除します。

NAS / RADIUSプロキシ追加・NAS / RADIUSプロキシ更新

ポリシー管理 > NAS / RADIUSプロキシ > NAS / RADIUSプロキシ追加・NAS / RADIUSプロキシ更新
 
「NAS / RADIUSプロキシ」画面右上の「追加」ボタンをクリックすると「NAS / RADIUSプロキシ追加」ダイアログが表示され、NASポリシーの新規追加ができます。また、既に登録されているNASポリシーの右端の「編集」メニューをクリックすると「NAS / RADIUSプロキシ更新」ダイアログが表示され、NASポリシーの編集ができます。
この2つのダイアログは共通のフォームを使用しています。

表 12:NAS / RADIUSプロキシ追加・NAS / RADIUSプロキシ更新ダイアログ
項目・ボタン名 必須 書式 説明
IPv4アドレス IPv4アドレス NAS / RADIUSプロキシのIPアドレスです。
「プロキシ経由の接続のみ許可します。」 チェックボックス チェックボックスにチェックを入れると、事前共有鍵の入力を省略します。この設定により、このNAS / RADIUSプロキシが送信する認証リクエストは、他のRADIUSプロキシを経由している場合のみ受け付けます。
「事前共有鍵の設定」ボタン 「NAS / RADIUSプロキシ更新」ダイアログでのみ表示されます。クリックすると「事前共有鍵(PSK)」項目が表示され、事前共有鍵の変更ができます。
事前共有鍵(PSK) パスワード NAS / RADIUSプロキシの事前共有鍵です。
名称 識別子 NAS / RADIUSプロキシの名前です。
プロファイル プロファイル名です。「NASプロファイル」で登録したプロファイルを選択します。
タグ タグ NAS / RADIUSプロキシに付与するタグのリストです。複数指定する場合は空白文字で区切ります。
備考 文字列(最大63文字) NAS / RADIUSプロキシの説明です。
「キャンセル」ボタン ポリシーの追加または更新をキャンセルします。
「保存」ボタン 新しいポリシー情報を登録、またはポリシー情報を更新します。

NASプロファイル

ポリシー管理 > NASプロファイル
 
AT-RADgateのNASプロファイルポリシーを管理します。
「NASプロファイル」をクリックすると、AT-RADgateに登録されたNASプロファイルポリシー一覧が表示されます。

表の各列の内容は下記となります。
表 13:NASプロファイルポリシー一覧
項目 表示 検索 並べ替え 説明
名称 NASプロファイルの名前です。
備考 NASプロファイルの説明です。
ページの右上にある各ボタンの機能は下記となります。
表 14:各ボタンの機能
ボタン名 機能

CSVで出力
現在登録されているNASプロファイルポリシーをCSV(カンマ区切りテキスト)形式でダウンロードします。
CSVファイルについては、「付録 / CSVファイル」を参照してください。

列を管理
表の各列の表示状態を変更します。

再読み込み
NASプロファイルポリシー一覧を再読み込みします。
追加 NASプロファイルポリシーを追加します(「NASプロファイル追加」ダイアログが表示されます)。
一覧の各行の右端にメニューボタンがあり、その行のポリシーの管理ができます。

表 15:各メニューの機能
メニュー名 機能
編集 NASプロファイルポリシーの内容を更新します(「NASプロファイル更新」ダイアログが表示されます)。
削除 NASプロファイルポリシーを削除します。

NASプロファイル追加・NASプロファイル更新

ポリシー管理 > NASプロファイル > NASプロファイル追加・NASプロファイル更新
 
「NASプロファイル」画面右上の「追加」ボタンをクリックすると「NASプロファイル追加」ダイアログが表示され、NASプロファイルポリシーの新規追加ができます。また、既に登録されているNASポリシーの右端の「編集」メニューをクリックすると「NASプロファイル更新」ダイアログが表示され、NASプロファイルポリシーの編集ができます。
この2つのダイアログは共通のフォームを使用しています。

表 16:NASプロファイル追加・NASプロファイル更新ダイアログ
項目・ボタン名 必須 書式 説明
名称 識別子 NASプロファイルの名前です。
備考 文字列(最大63文字) NASプロファイルの説明です。
「ユーザー認証に加えて、端末認証を有効にする。」 チェックボックス チェックボックスにチェックを入れると、受信した認証要求メッセージのUser-Name属性にMACアドレスが格納されている場合、ユーザー名による認証に加え、MACアドレスによる端末認証も行います。
「MACベース認証を有効にする。」 チェックボックス チェックボックスにチェックを入れると、受信した認証メッセージのUser-Name属性にMACアドレスが格納されている場合、ユーザー認証の代わりにMACアドレスによる端末認証を行います。
ユーザー名に格納されている文字列がMACアドレスかどうか判断する処理は、「User-Name属性設定」によるレルム(ドメイン)部分の削除のあとに実施されます。RADIUSプロキシ処理のためにMACアドレスにレルム(ドメイン)情報を追加している場合は、「User-Name属性設定」を行い、その情報の削除を行う必要があります。
Note
RADIUSプロキシを通してMACベース認証する場合、NASプロファイルはサプリカントにつながっているNASに割り当てる必要があります。
「キャンセル」ボタン ポリシーの追加または更新をキャンセルします。
「保存」ボタン 新しいポリシー情報を登録、またはポリシー情報を更新します。

デフォルトのNASプロファイル

NASポリシーに明示的にプロファイルを割り当てなかった場合、そのNASにはデフォルトのNASプロファイルが適用されます。デフォルトのNASプロファイルの設定は下記となります。
表 17:デフォルトのNASプロファイル
設定項目 デフォルト値
「ユーザー認証に加えて、端末認証を有効にする。」 未選択状態
「MACベース認証を有効にする。」 未選択状態

サプリカントプロファイル

ポリシー管理 > サプリカントプロファイル
 
AT-RADgateのサプリカントプロファイルポリシーを管理します。
「サプリカントプロファイル」をクリックすると、AT-RADgateに登録されたサプリカントプロファイルポリシー一覧が表示されます。
Note
サプリカントプロファイルポリシーを登録しない場合、デフォルトのポリシーがサプリカントに適用されます。「デフォルトのサプリカントプロファイルポリシー」を参照してください。

表 18:サプリカントプロファイルポリシー一覧
項目 表示 検索 並べ替え 説明
名称 サプリカントプロファイルの名前です。
優先度 サプリカントプロファイルの適用優先度です。値が小さいほど優先度が高くなります。
アクション サプリカントに適用されるアクションです。
原因 このアクションが登録された要因です。
備考 サプリカントプロファイルの説明です。
ページの右上にある各ボタンの機能は下記となります。
表 19:各ボタンの機能
ボタン名 機能

CSVで出力
現在登録されているサプリカントプロファイルポリシーをCSV(カンマ区切りテキスト)形式でダウンロードします。
CSVファイルについては、「付録 / CSVファイル」を参照してください。

列を管理
表の各列の表示状態を変更します。

再読み込み
サプリカントプロファイルポリシー一覧を再読み込みします。
追加 サプリカントプロファイルポリシーを追加します(「サプリカントプロファイル追加」ダイアログが表示されます)。
一覧の各行の右端にメニューボタンがあり、その行のポリシーの管理ができます。

表 20:各メニューの機能
メニュー名 機能
編集 サプリカントプロファイルポリシーの内容を更新します(「サプリカントプロファイル更新」ダイアログが表示されます)。
削除 サプリカントプロファイルポリシーを削除します。

サプリカントプロファイル追加・サプリカントプロファイル更新

ポリシー管理 > サプリカントプロファイル > サプリカントプロファイル追加・サプリカントプロファイル更新
 
「サプリカントプロファイル」画面右上の「追加」ボタンをクリックすると「サプリカントプロファイル追加」ダイアログが表示され、サプリカントプロファイルの新規追加ができます。また、既に登録されているサプリカントプロファイルの右端の「編集」メニューをクリックすると「サプリカントプロファイル更新」ダイアログが表示され、サプリカントプロファイルの編集ができます。
この2つのダイアログは共通のフォームを使用しています。

表 21:サプリカントプロファイル追加・サプリカントプロファイル更新ダイアログ
項目・ボタン名 必須 書式 説明
名称 識別子 サプリカントプロファイルの名前です。
優先度 整数値(0-15) プロファイルの適用優先度です。
条件 このプロファイルの適用対象となるサプリカントの条件を設定します。
詳細は「条件」を参照してください。
設定 このプロファイルの条件に適合したサプリカントに対して適用されるパラメーターを設定します。
詳細は「設定」を参照してください。
追加情報 このプロファイルの追加情報を設定します。
詳細は「追加情報」を参照してください。
「キャンセル」ボタン ポリシーの追加または更新をキャンセルします。
「保存」ボタン 新しいポリシー情報を登録、またはポリシー情報を更新します。

条件

表 22:条件
項目 必須 書式 説明
デバイス サプリカントの端末情報に関する条件です。
詳細は「デバイス条件」を参照してください。
アクセスレベル 文字列 サプリカントのアクセスレベルに対する一致条件です。
詳細は「アクセスレベル条件」を参照してください。
タグ 文字列(最大255文字) サプリカントのタグに対する一致条件です。
詳細は「タグ条件」を参照してください。
デバイス条件
デバイス条件では、「全ての端末」、「登録済み端末」、「未登録端末」、「MACアドレス指定」、「名前指定」のいずれかを選択します。それぞれのパラメーターの動作は下記のとおりとなります。
表 23:デバイス条件
デバイス条件名 動作
全ての端末 すべてのサプリカントと一致します。
登録済み端末 MACアドレスが「端末」ポリシーとしてAT-RADgateに登録されているサプリカントと一致します。
未登録端末 MACアドレスが「端末」ポリシーとしてAT-RADgateに登録されていないサプリカントと一致します。
MACアドレス指定 MACアドレスが設定されたアドレスと一致するサプリカントと一致します。この条件を選択した場合、追加でMACアドレスを入力するフィールドが表示されます。
名前指定 デバイス名が設定されたデバイス名と一致するサプリカントと一致します。この条件を選択した場合、デバイス名を入力する追加項目が表示されます。
表 24:追加項目
追加フィールド名 必須 書式 説明
MACアドレス MACアドレス デバイス条件で「MACアドレス指定」を選択した場合に表示されます。
デバイス名 識別子 デバイス条件で「名前指定」を選択した場合に表示されます。
アクセスレベル条件
アクセスレベル条件の表記方法は、下記の書式となります。
表 25:アクセスレベル条件
名前 書式 動作
値指定 NUM 3 NUMは整数値を表します。指定された数値と同じ値を持つサプリカントと一致します。
タグ条件
タグ条件の指定方法は下記の書式となります。
表 26:タグ条件
タグ条件名 動作
名前指定 指定されたタグ条件名を持つサプリカントと一致します。

設定

表 27:設定
項目 必須 書式 説明
アクション サプリカントに適用されるアクションです。
詳細は「アクション」を参照してください。
フィルターID 文字列(最大255文字) サプリカントに適用されるパケットフィルターのIDです。
詳細は「パケットフィルター」を参照してください。
フィルタールール 文字列(最大1024文字) サプリカントに適用されるパケットフィルターのルールです。
詳細は「パケットフィルター」を参照してください。
アクション
アクション設定は、基本的にポート認証など主にユーザー端末(サプリカント)のネットワーク接続を制御する機能と併用され、ユーザー端末を収容するネットワークスイッチが、ユーザー端末が送信したパケットに対して行う制御内容を指定します。それ以外のケースでは、アクションを「通過」、VLANを空白に設定してください。
アクション設定フィールドは「通過」、「破棄」、「隔離」、「未定」、「通知」のいずれかを選択します。それぞれのパラメーターの動作は下記のとおりです。
表 28:アクション
アクション名 動作
通過 サプリカントが送信したパケットを適切なネットワークセグメントに転送します。この条件を選択した場合、追加で接続先VLAN名を入力するフィールドが表示されます。VLAN名が設定された場合、パケットは指定されたVLANに転送されます。未設定の場合はベースVLANに転送されます。
破棄 サプリカントが送信したパケットを破棄します。
隔離 サプリカントが送信したパケットを隔離ネットワークセグメントに転送します。この条件を選択した場合、追加で接続先VLAN名を入力するフィールドが表示されます。VLAN名が設定された場合、パケットは指定されたVLANに転送されます。
未設定の場合は、「全般」ポリシーの「デフォルトの隔離VLAN」に設定されているVLANに転送されます。「デフォルトの隔離VLAN」も未設定の場合、ベースVLANに転送されます。
未定 サプリカントの接続状態を未定に設定します。この条件を選択した場合、追加で接続先VLAN名を入力するフィールドが表示されます。VLAN名が設定された場合、パケットは指定されたVLANに転送されます。
未設定の場合は、廃棄されます。
Note
本バージョンでは未サポートのため、選択しないでください。
通知 イベントログを出力します。このアクションが設定されたプロファイルがサプリカントに適用された場合、他の設定パラメーターはサプリカントに適用されず無視され、サプリカントに適用すべきアクションを確定させるため優先度の低いプロファイルの評価が継続されます。
パケットフィルター
パケットフィルター設定は、基本的にポート認証など主にユーザー端末(サプリカント)のネットワーク接続を制御する機能と併用され、ユーザー端末を収容するネットワークスイッチが、ユーザー端末が送信したパケットに対して行う追加のフィルター処理を指定します。それ以外のケースでは本設定は行わないでください。
表 29:パケットフィルター
項目 書式
フィルターID あらかじめネットワークスイッチに設定されているフィルター名(ACL名)を指定します。空白文字で区切ることにより複数のフィルターを指定可能です。
フィルタールール ネットワークスイッチに設定するフィルタールール自体を指定します。フィルタールールは設定が投入されるネットワークスイッチが定める文法に従って記述します。改行で区切ることにより複数のルールを指定可能です。

追加情報

表 30:追加情報
フィールド名 必須 書式 説明
原因 文字列(最大63文字) NASプロファイルの説明です。
備考 文字列(最大63文字) NASプロファイルの説明です。

デフォルトのサプリカントプロファイルポリシー

AT-RADgateでは下記のサプリカントプロファイルポリシーが、ユーザーが設定するプロファイルの優先度より低いポリシーとしてあらかじめ設定されています。ユーザーが登録したサプリカントプロファイルポリシーのいずれとも一致しない場合、これらのポリシーが優先度の小さい順にサプリカントに適用されます。
表 31:デフォルトのポリシー
優先度 条件 アクション
1 未登録デバイス 破棄
2 アクセスレベルが0 破棄
3 アクセスレベルが1以上 通過

全般

ポリシー管理 > 全般
 
AT-RADgateの全般的なポリシー設定を管理します。
「全般」タブをクリックすると、AT-RADgateの現在の全般的なポリシー設定が表示されます。

一般

ポリシー管理 > 全般 > 一般
 
一般ではデフォルトの隔離VLANの設定ができます。右下の「編集」ボタンをクリックすると、編集モードに移行します。

■ 編集モード

表 32:一般
項目・ボタン名 必須 書式 説明
デフォルトの隔離VLAN 識別子 「サプリカントプロファイル」でVLAN指定のない隔離アクションが設定される場合に、NASに送信される隔離先VLAN名です。設定がない場合はベースVLANに隔離されます。デフォルトは設定なしです。
「編集」ボタン デフォルトの隔離VLANを設定する編集モードに移行します。
「キャンセル」ボタン デフォルトの隔離VLANの設定をキャンセルします。
「保存」ボタン デフォルトの隔離VLANの設定を登録、または情報を更新します。