[index] AT-RADgate（AT-VST-APL/AT-VST-VRT版） リファレンスマニュアル 1.2.0

# AT-RADgateの概要 / AT-RADgateについて

## AT-RADgateの位置づけ

AT-RADgateは、RADIUS認証サーバーです。
IETF標準規格に準拠した一般的なRADIUSサーバー機能に加え、弊社ネットワーク製品と組み合わせて利用することにより、管理下のネットワークに接続されるクライアントの高度な制御が可能となります。

### 用語解説

AT-RADgateでは以下の用語を使用しています。

表 1：用語解説
用語 | 説明
--- | ---
RADIUSサーバー | RADIUS（Remote Authentication Dial In User Service）プロトコルを使って、認証サービスを提供するサーバーです。AT-RADgateの基本機能です。
NAS（Network Access Server） RADIUSクライアント | 端末を接続するインターフェースを持ち、RADIUSサーバーに対して認証要求を送信する機器です。AT-RADgateではNASと呼びます。 弊社製品で構成するネットワークでは、AW+に対応したエッジスイッチ、無線LANアクセスポイントなどがNASとして使用できます。
端末 | NASに接続する端末です。サプリカント、エンドポイントとも呼びます。
認証 | NASからの認証要求に対して、認証対象のユーザーまたは端末の正当性を確認するRADIUSサーバーの処理を指します。
認可 | 認証に成功したユーザーまたは端末に対して、割り当てる権限を決定するRADIUSサーバーの処理を指します。
認証ポリシー | 正当で承認すべき要求かどうかを判断するために、AT-RADgateが利用するルールを指します。 認証ポリシーは、ユーザーポリシー、端末ポリシー、NASポリシー、NASプロファイルポリシー、サプリカントプロファイルポリシーの5つに分類され、認証・認可に使用することができます。

### 認証方式

AT-RADgateがサポートする認証方式は以下です。

- PAP
- EAP-MD5
- EAP-PEAP
- EAP-TLS
- EAP-TTLS（PAP, MS-CHAPv2）

> Note

> > 常にすべての認証プロトコルが有効になっています。無効にはできません。

### ユーザー認証と端末認証

通常のRADIUS認証は、認証要求メッセージのUser-Name属性に格納されたユーザーの認証を行います。AT-RADgateはそれに加え、認証要求メッセージのCalling-Station-Id属性に格納されたMACアドレスによるユーザー端末の認証機能（端末認証）が提供されます。

### 認証・認可と認証ポリシー

AT-RADgateは登録されたユーザーまたは端末の情報に基づき、登録されたNAS（Network Access Server）からの認証要求の処理を行います。NASとの通信にはRADIUSプロトコルが使用されます。この処理は下記の2つのフェーズから構成されています。

表 2
処理 | 目的
--- | ---
認証 | 認証対象のユーザーまたは端末の正当性を確認する
認可 | 認証対象のユーザーまたは端末に割り当てる権限を決定する

これらの処理は、AT-RADgateに登録されている認証ポリシー、または連携している外部システムのデータベースに基づき実施されます。AT-RADgateの認証ポリシーには、下記の種類のポリシーが定義されています。管理者はポリシーを適切に設定し、ユーザーまたは端末のアクセス制御を行います。

表 3
ポリシー名 | 説明
--- | ---
ユーザー | アクセス制御対象のユーザーを定義します。ユーザー認証で参照されユーザー名とパスワードが一致したユーザーに設定された属性値が割り当てられます。どのポリシーとも一致しないユーザーは認証失敗となります。
端末 | アクセス制御対象の端末を定義します。端末認証で参照され、MACアドレスが一致した端末に設定された属性値が割り当てられます。どのポリシーとも一致しない端末は、未登録端末の属性が割り当てられます。
NAS | ユーザーまたは端末のアクセス制御を行う装置を定義します。
NASプロファイル | NASの設定パラメーターを定義します。
サプリカントプロファイル | 承認されたサプリカントに割り当てるパラメーターを定義します。

各ポリシーの詳細を説明します。

#### NASポリシー

AT-RADgateは受信したRADIUSメッセージの送信元の認証を行い、合格したもののみ処理を行います。認証はメッセージの送信元IPアドレスとメッセージに格納されている事前共有鍵が、NASポリシーに登録されているものと一致するかで判断されます。
また、端末認証機能の有効化もNASポリシーで行います。端末認証を有効にするNASに対して、その設定を行ったNASプロファイルを割り当てると、そのNASが送信する認証要求に対してユーザー認証に加え端末認証処理を行います。

#### ユーザー認証と端末認証のポリシー

AT-RADgateはユーザー認証と端末認証機能を提供します。認証機能はアクセス要求の発信者であるサプリカントの接続先NAS、接続を行うユーザー、ユーザーが操作している端末を検出し、NASとユーザー情報が認証ポリシーに登録されているものと合致した場合は接続許可を与え、それ以外の場合は接続を拒否する処理になります。
ユーザー認証はIETF標準の認証方式で、下記の特殊なケースを除きすべての認証要求メッセージに対してAT-RADgateのユーザーポリシーとの照合を行い実施します。

- Windows Active Directoryと連携設定された状態でEAP-PEAP方式の認証要求を受けた場合、自身の認証ポリシーでなく、Windows Active Directoryのデータベースを用いてユーザー認証を行います。
- 端末認証が有効でMACベース認証要求を受けた場合、ユーザー認証を行わず、端末認証のみを行います。

> Note

> > MACベース認証要求は、受信した認証要求メッセージが下記の要件を満たした要求です。
> > ・PAPまたはEAP-MD5方式のメッセージ
> > ・User-Nameの値がMACアドレスを表す文字列

端末認証は、端末認証設定が有効なNASが送信した認証要求メッセージのCalling-Station-Id属性にMACアドレスが格納されていた場合に、AT-RADgateの端末ポリシーとの照合を行い実施します。認証に成功した場合は、端末に対して認証済み端末の属性が割り当てられます。認証に失敗した場合は、未登録端末の属性が割り当てられます。

#### 認可

AT-RADgateは、認証成功したユーザーまたは端末に対して追加の設定を割り当てることができます。追加の設定はサプリカントプロファイルとして認証ポリシーに登録されます。サプリカントプロファイルには優先度が設定されており、優先度の高い順に認証済みのユーザーまたは端末と、サプリカントプロファイルの照合が行われ、最初に一致したプロファイルの設定情報がユーザーまたは端末に割り当てられます。

#### サプリカントパラメーター

アクセス要求を行ったサプリカントは認証処理により、接続先NAS、ユーザー、および端末情報が割り当てられます。これらの情報を合算したものがサプリカントパラメーターであり、認可処理におけるサプリカントプロファイルの照合処理では、このサプリカントパラメーターとの比較が行われます。サプリカントパラメーターは下記のとおりです。

- 端末MACアドレス
- 端末名
- 登録済み端末/未登録端末
- アクセスレベル
- タグ

> Note

> > サプリカントパラメーターの内容はAT-RADgate内部で使用するため確認することはできません。

■ アクセスレベル
ユーザーポリシーと端末ポリシーに設定可能な0から15までの数字で、ポリシーが示す対象のアクセス権限の強さを表します。0はアクセスが不許可であることを表し、1-15はアクセス可能で数字が大きいほど強い権限が与えられていることを表します。サプリカントに割り当てられたユーザーポリシーと、端末ポリシーに設定されているアクセスレベルのうち、小さい値が採用されます。
■ タグ
NASポリシー、ユーザーポリシー、端末ポリシーに設定可能な文字列で、それぞれのポリシーに複数のタグが設定可能です。ポリシーが示す対象が所属するグループを表します。サプリカントに割り当てられたそれぞれのポリシーが持つすべてのタグをまとめたものが、サプリカントパラメーターのタグになります。

#### サプリカントプロファイル

サプリカントプロファイルは、主に優先度、サプリカントパラメーター一致条件、サプリカント設定で構成されます。
優先度は1-15の数値で、この値の小さいプロファイルから順番にサプリカントパラメーターとの照合が行われます。

> Note

> > サプリカントプロファイルの優先度が同一の場合、どのサプリカントプロファイルから順に照合が行われるかどうかは不定です。そのため条件を明示的に分ける場合は、優先度を別の値で設定するようにしてください。

サプリカントパラメーター一致条件には、このプロファイルを適用するサプリカントの条件が設定されます。設定可能な条件は下記のとおりです。

- 全ての端末
- 端末MACアドレス
- 登録済み端末
- 未登録端末
- 端末名
- アクセスレベル
- タグ

サプリカント設定に設定可能なパラメーターは下記になります。

- アクション
- VLAN
- フィルターID
- フィルタールール