AMF Security（AT-VST-VRT版）リファレンスマニュアル 2.5.0

AMF Security（AT-VST-VRT版）リファレンスマニュアル 2.5.0

本マニュアルでは、AT-Vista Manager EX同梱の仮想化環境対応ソフトウェア AT-VST-VRT上で動作するAMF Securityの機能と設定画面について詳細に解説しています。本製品を活用するための参考資料としてご利用ください。

なお、設定を始める前に済ませておかなければならないこと、例えばAT-VST-VRTがコントロールする機器のネットワーク接続などについては説明しておりません。これらに関しては、弊社ホームページに掲載の各製品のユーザーマニュアルをご覧ください。

はじめに

対象製品とバージョン

• AMF Securityアプリケーション（AT-VST-VRT版）

サポート機能と制限事項

マニュアルの提供形態

マニュアルの構成

章構成

設定画面へのアクセス
設定画面へのログインとログアウト、ナビゲーションと各設定画面における設定の保存方法について説明します。

クイックツアー
AMF Securityの設定を行う際の作業の流れを紹介します。

リファレンス編
各設定画面を1つのページで詳細に説明しています。次に示す章に分けられています。

デバイス	デバイスの一覧表示、デバイスの追加、MACアドレスの一覧表示、接続中デバイスの一覧表示
グループ	未認証グループの一覧表示、タグの一覧表示
スイッチ	OpenFlowスイッチの一覧表示、接続中OpenFlowスイッチの一覧表示、AMFメンバーの一覧表示、接続中AMFメンバーの一覧表示
ポリシー設定	ネットワークの一覧表示、ロケーションの一覧表示、スケジュールの一覧表示、アクションの一覧表示
システム設定	アカウント設定、アカウントグループ設定、ネットワーク設定、ログ設定、時刻設定、OpenFlow設定、システム情報、トラップ監視設定、メール通知設定、ライセンス、AMF Securityログ、アクションログ
AMF	AMFアプリケーションプロキシー設定、TQ設定、リダイレクトURL設定

付録
補足的な事がらについて説明します。

設定例
具体的な構成例に基づいて、本製品およびAlliedWare Plus機器の設定方法を簡潔に説明します。

表記について

AMF Security

AT-VST-VRT

スイッチ

例

最新情報

• http://www.allied-telesis.co.jp/

ご注意

商標について

• CentreCOM、CentreNET、SwitchBlade、TELESYN、AlliedView、VCStackロゴ、EPSRingロゴ、LoopGuardロゴ、PoE plusロゴ、AT-UWC、Allied Telesis Unified Wireless Controller、SecureEnterpriseSDNロゴ、AT-VA、AT-Vista Managerはアライドテレシスホールディングス株式会社の登録商標です。
• Deep Discovery、ウイルスバスターは、トレンドマイクロ株式会社の登録商標です。
• UNIXは、X/Openカンパニーリミテッドがライセンスする米国ならびに他の国における登録商標です。
• Windows、MS-DOS、Windows NTは、米国Microsoft Corporationの米国およびその他の国における登録商標です。
• その他、この文書に記載されているソフトウェアおよび周辺機器の名称は各メーカーの商標または登録商標です。

AMF Securityで使用しているソフトウェアについて

• Web GUI下部の「使用ソフトウェアについて」をクリックすると表示される画面で参照できます。

マニュアルバージョン

• 2021年 9月 Rev.A（Ver.2.3.0）
• 2022年 5月 Rev.B（Ver.2.3.2）
• 2022年 8月 Rev.C（Ver.2.4.0）
• 2022年10月 Rev.C_1（Ver.2.4.0）
• 2023年 3月 Rev.D（Ver.2.5.0）
• 2023年 4月 Rev.D_1（Ver.2.5.0）

設定画面へのアクセス / 設定の開始

AMF Securityを使用するための準備

AMF Securityクライアント要件

• Microsoft Edge
  
• Google Chrome
  

Note

リリース済みの最新のバージョンをご利用ください。

Note

Microsoft EdgeはChromiumベースが対象です。
また、Internet Explorerモードは未サポートです。

AMF Securityの初期設定

設定画面へのログイン

1. 次に示すいずれかの方法で、AMF Securityの設定画面にログインします。
   
   • Webブラウザーを起動し、AMF Securityに設定されたIPアドレスを入力する
     （ここでは 192.168.1.10 と仮定しています）
     

     https://192.168.1.10
     

     Note

     WebブラウザーとAMF Securityとの間の通信は、HTTPSで行われます。

   • AT-VST-VRTのダッシュボード画面で、「AMF-Sec-app」の「開く」ボタンをクリックする
     
     
   • AT-VST-VRTのAMF Security管理画面で、「開く」ボタンをクリックする
     
     
2. AMF Security ログイン画面が表示されますので、「アカウント名」と「パスワード」を入力して、「ログイン」ボタンをクリックします。
   入力したパスワードは、「●」で表示されます。
   

   Note

   初期設定の「アカウント名」は「manager」、「パスワード」は「friend」です。

   
   

   Note

   セキュリティーの警告画面が表示された場合は、画面の指示に従ってサイトの閲覧を続行してください。
   なお、信頼できる認証局が発行したSSLサーバー証明書を取得している場合は、ログイン後、「システム設定」/「ネットワーク設定」画面または「AMF」/「AMF アプリケーションプロキシー 設定」画面の「SSL証明書」で、AMF SecurityにSSLサーバー証明書を登録することができます。

3. AMF Securityのログインに成功すると、「デバイス」/「接続中 デバイス一覧」画面が表示されます。
   
   

   Note

   各画面で何も操作しない状態が10分続くと自動的にログアウトされ、設定画面に操作を加えようとするとログイン画面が表示されます。
   AMF Security ログイン画面で「ログイン情報を保持する。」にチェックを入れると、ログインした状態を保持します。

タイムゾーンの設定

Note

タイムゾーンの設定を変更するとAMF Securityが再起動しますが、その後にAMF Securityログの時刻にタイムゾーンの設定を反映するために、AT-VST-VRTの設定画面でAMF Securityアプリケーションの再起動（停止と起動）が必要です。
AT-VST-VRTの操作方法は、弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」をご参照ください。

なお、以後タイムゾーンの設定は保持されます。

1. 「システム設定」メニューをクリックし、「時刻設定」サブメニューをクリックします。
   
   
2. 「システム設定」/「時刻設定」画面が表示されますので、タイムゾーン項目の「編集」ボタンをクリックします。
   
   
3. 「タイムゾーン選択」ダイアログが表示されますので、ドロップダウンリストから「Asia/Tokyo」を選択して、「登録」ボタンをクリックします。
   
   
4. AMF Securityが再起動し、再度AMF Security ログイン画面が表示されます。
   
   
5. ログイン後、「システム設定」/「時刻設定」画面が表示されます。
   
   
6. AMF Securityログの時刻にタイムゾーンの設定を反映するために、AT-VST-VRTの設定画面でAMF Securityアプリケーションの再起動（停止と起動）を行います。
   AT-VST-VRTの操作方法は、弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」をご参照ください。
   

ライセンスのインストール

• 基本ライセンスは、AMF Securityを動作させるために必ず登録する必要があります。
  基本ライセンスがインストールされるまで、OpenFlowおよびAMFアプリケーションプロキシーともに動作しません。
  
• 追加ライセンスはOpenFlowスイッチの追加用です。AMFアプリケーションプロキシーは基本ライセンスのみでノード用の追加ライセンスは不要です。
  基本ライセンスがない状態でも追加ライセンスはインストールできますが、基本ライセンスがインストールされるまでAMF Securityは動作しません。
  

Note

ライセンスファイルをお持ちでない場合は、弊社窓口までお問い合わせください。
なお、ライセンスファイルの取得にあたって、「システム設定」/「システム情報」画面に表示されるAMF Securityのシリアル番号が必要となります。

1. 「システム設定」/「時刻設定」画面で、現在日時とタイムゾーンが正しいことを確認します。
   
2. 設定画面の上部に表示されるメッセージ中の「ライセンスページ」をクリックします。
   
   
3. 「システム設定」/「ライセンス」画面が表示されますので、「追加」ボタンをクリックします。
   
   
4. 「ライセンス インストール」ダイアログが表示されます。「ファイルを選択」ボタンをクリックしてライセンスファイルを選択し、「登録」ボタンをクリックします。
   
   
5. 「OK」ボタンをクリックします。
   
   
6. 「システム設定」/「ライセンス」画面に、登録したライセンスの「名称」、「有効期限」などが表示されれば、インストールは成功です（下記は例です）。
   
   

   Note

   有効期限の開始日時前のライセンスは「状況」に「契約期間前」と表示されます。
   インストールしたライセンスが期限内で「状況」が「有効」にならない場合には、「更新」ボタンをクリックしてください。

ライセンスの表示

• OpenFlow用/AMFアプリケーションプロキシー用ライセンス
  
  

  Note

  AMFアプリケーションプロキシーを使用する場合には、基本ライセンスのみで動作します。

  Note

  OpenFlow用/AMFアプリケーションプロキシー用の基本ライセンス（50IP）は、スイッチ数が「10」の「BASE」と、スイッチ数が「40」の「ADD」に分割されて表示されます。
  なお、上記画面はOpenFlow用の基本ライセンスと、追加ライセンスとしてスイッチ数が「450」を追加した例です。

ライセンスの有効期間

Note

「システム設定」/「メール通知設定」画面で以下の設定を行うことで、期限の警告メッセージをメールで送信することができます。
・「メール通知を有効にします。」チェックボックスにチェックを入れる
・SMTPサーバー設定

Note

OpenFlow用/AMFアプリケーションプロキシー用の基本ライセンスの期限の警告メッセージは、ライセンスの表示に沿って「BASE」と「ADD」のそれぞれがログに表示されます。また、メール通知設定を行っている場合はメールもそれぞれ送信されます。

Note

メール通知設定の設定が行われている場合にはメールも送信されます。

更新用ライセンスのインストール

Note

有効期限の表示は説明のためのサンプルです。

Note

今までのライセンスと更新用ライセンスが以下の場合、ライセンスが切り替わるタイミングで接続中のOpenFlowスイッチとAMFマスターとの接続がいったん切断されます。
・OpenFlowスイッチの同時接続台数が変更

ライセンスの有効期限チェック

ライセンスの再発行

• AT-VST-VRT上でAMF Securityアプリケーションを削除し、再度AMF Securityアプリケーションをインストール
  
• 別の仮想マシン上のAT-VST-VRTにAMF Securityアプリケーションをリストア（移行）
  

設定画面へのアクセス / 設定画面の使い方

ナビゲーションメニュー

一覧の検索と並べ替え

• 「デバイス」/「デバイス一覧」画面
  
• 「デバイス」/「MAC アドレス一覧」画面
  
• 「デバイス」/「接続中 デバイス一覧」画面
  
• 「グループ」/「未認証グループ一覧」画面
  
• 「グループ」/「タグ一覧」画面
  
• 「スイッチ」/「OpenFlow スイッチ一覧」画面
  
• 「スイッチ」/「接続中 OpenFlow スイッチ一覧」画面
  
• 「スイッチ」/「AMF メンバー 一覧」画面
  
• 「スイッチ」/「接続中 AMF メンバー 一覧」画面
  
• 「ポリシー設定」/「ネットワーク一覧」画面
  
• 「ポリシー設定」/「ロケーション一覧」画面
  
• 「ポリシー設定」/「スケジュール一覧」画面
  
• 「ポリシー設定」/「アクション一覧」画面
  
• 「システム設定」/「アクションログ」画面
  

表示件数

検索フォームを使用した絞り込み

ドロップダウンメニューを使用した絞り込み

並べ替え

並べ替えの順番

設定の適用

Note

ステータスのみを表示する設定画面など、「登録」ボタンを持たない画面もあります。

AMF Securityで使用しているソフトウェアについて

設定画面へのアクセス / 設定の終了

すべての設定が終わったら画面右上の「ログアウト」メニューをクリックします。
設定画面からログアウトし、ログイン画面が表示されます。

Note

各画面で何も操作しない状態が10分続くと自動的にログアウトされ、設定画面に操作を加えようとするとログイン画面が表示されます。
AMF Security ログイン画面で「ログイン情報を保持する。」にチェックを入れると、ログインした状態を保持します。

クイックツアー / AMF Securityについて

AMF Securityの位置づけ

AMF Securityが管理する情報（OpenFlow）

• ロケーション
  デバイスの接続を許可する場所。
  その場所に設置されたOpenFlowスイッチを登録することで、物理的なネットワーク空間を定義します。
  
• スケジュール
  デバイスの接続を許可する期間。
  接続を許可する開始日時と終了日時が指定できます。
  
• OpenFlowスイッチ
  デバイスの接続を許可するOpenFlowスイッチ。
  特定のOpenFlowスイッチに接続した場合のみ、ネットワークへのアクセスを許可します。
  
• スイッチポート
  デバイスの接続を許可するOpenFlowスイッチのスイッチポート。
  特定のスイッチポートに接続した場合のみ、ネットワークへのアクセスを許可します。
  
• ネットワーク
  デバイスが接続するVLANサブネット（VLAN IDによって定義された論理的なネットワーク空間）。
  

• アップストリームポート
  装置上に1つのみ設定され、上位ネットワークに接続されます。
  
• クライアントポート
  残りすべてのデータプレーンポート。ユーザーデバイスはこのポートに接続されます。
  

AMFアプリケーションプロキシー機能とは

Note

・AMFアプリケーションプロキシーホワイトリスト機能およびブラックリスト機能
　プロキシーノードはエッジノードを兼ねることもできます（サポート機種のみ）。
　AMFコントローラーとの連携はできません。
　ホワイトリスト機能のみ、ブラックリスト機能のみ、双方を併用して使用することもできます。

・AMFアプリケーションプロキシーホワイトリスト機能
　AMFマスターに冗長性を持たせる場合はバーチャルシャーシスタック（VCS）を使用してください（サポート機種のみ）。
　AMFコントローラー配下の複数のローカルマスターと連携する場合は、それぞれのローカルマスターは別エリアにしてください。

AMF Securityが管理する情報（AMFアプリケーションプロキシーホワイトリスト機能）

• ロケーション
  デバイスの接続を許可する場所。
  その場所に設置されたAMFメンバーを登録することで、物理的なネットワーク空間を定義します。
  
• スケジュール
  デバイスの接続を許可する期間。
  接続を許可する開始日時と終了日時が指定できます。
  
• スイッチポート
  デバイスの接続を許可するAMFメンバーのスイッチポート。
  特定のスイッチポートに接続した場合のみ、ネットワークへのアクセスを許可します。
  
• ネットワーク
  デバイスが接続するVLANサブネット（VLAN IDによって定義された論理的なネットワーク空間）。
  

Note

本機能を使用するには、お使いのAlliedWare Plus機器のプロキシーノード、エッジノードの双方ともファームウェアバージョン 5.5.0-0.x 以降が必要です。

Note

次に示す設定または操作で、「デバイス」/「接続中 デバイス一覧」画面に表示されるAMFアプリケーションプロキシー機能で認証されている端末情報を表示させる場合には、お使いのAlliedWare Plus機器のプロキシーノード、エッジノードの双方ともファームウェアバージョン 5.5.0-0.x 以降が必要です。また、プロキシーノード、エッジノードの設定については、「AMFマスター（プロキシーノード）、AMFメンバー（エッジノード）の設定」をご参照ください。

　・「AMF」/「AMF アプリケーションプロキシー 設定」画面の「AMFメンバーがネットワークに接続した時に認証済み端末リストの再読み込みを行います。」のチェックボックスにチェックが入っている
　・「スイッチ」/「接続中 AMF メンバー 一覧」画面で「同期」ボタンをクリックする

AMFマスター（プロキシーノード）、AMFメンバー（エッジノード）の設定

• すべてのAMFノード（プロキシーノード、エッジノードの双方）で service atmf-application-proxyコマンドを有効
  
• すべてのAMFノード（プロキシーノード、エッジノードの双方）で service httpコマンドを有効
  
• すべてのAMFノード（プロキシーノード、エッジノードの双方）で共通のユーザーを権限レベル15（特権レベル）で設定
  
• AMFマスター（プロキシーノード）で atmf topology-gui enableコマンドを有効
  
• AMFマスター（プロキシーノード）で application-proxy whitelist serverコマンドを設定
  
• AMFメンバー（エッジノード）の端末接続ポートでホワイトリスト機能関連コマンドを設定
  

AMF Securityの設定

1. 「AMF」/「AMF アプリケーションプロキシー 設定」画面を表示します。
   
2. 「追加」ボタンをクリックします。
   
3. 「IPv4 アドレス」に、AMFマスター（プロキシーノード）のIPアドレスを入力します。
   
4. 「ユーザー名」、「パスワード」に、AMFマスター（プロキシーノード）に設定されている権限レベル15（特権レベル）のアカウントのユーザー名とパスワードを入力します。
   
5. 「事前共有鍵(PSK)」にAMFマスター（プロキシーノード）の application-proxy whitelist serverコマンドのkeyパラメーターで設定した事前共有鍵を入力します。
   
6. ダイアログ下部の「登録」ボタンをクリックします。
   

Note

本設定を行うと、AMFマスター（プロキシーノード）への定期問い合わせ（30秒間隔）を行うようになります。

AMFアプリケーションプロキシーによる遮断（AMFアプリケーションプロキシーブラックリスト機能）

AMF Securityからプロキシーノードへの被疑端末情報の通知

Note

被疑端末の情報を保持しているプロキシーノードが再起動した場合、被疑端末の情報はプロキシーノードから削除されます。
再起動後、AMF Securityから被疑端末の情報の再通知はないため、プロキシーノードは被疑端末の情報を学習することはできません。
プロキシーノードに被疑端末の情報を学習させるためには、次の手順でAMF Securityから手動で被疑端末の情報を通知してください。
1. 「ポリシー設定」/「アクション一覧」画面を開きます。
2. 「CSV にエクスポート」ボタンをクリックし、CSVファイルを保存します。
3. 「システム設定」/「システム情報」画面を開きます。
4.　認証データの「インポート」ボタンをクリックして、「認証データのアップロード」画面を開きます。
5. 「ファイルを選択」ボタンをクリックし、保存したCSVファイルを選択して、「登録」ボタンをクリックします。

AMFアクション

• AMF 依存
  
• 隔離
  
• パケット破棄
  
• リンクダウン
  
• IPフィルター
  
• ログ
  

Note

複数の外部連携アプリケーションを併用する場合など、AMFマスターに被疑デバイスの情報が複数送信されるようなケースでは同一のAMFアクションを設定してください。
外部連携アプリケーションのAMFアクションの設定は「システム設定」/「トラップ監視設定」画面の「ルール」で行います。
「ポリシー設定」/「アクション一覧」画面で既に登録されている被疑デバイスのAMFアクションを変更したい場合には、先に登録されているアクションを削除してから、新しいアクションを登録してください。

Note

ホワイトリストポートで「隔離」アクションを併用する場合は、お使いのAlliedWare Plus機器のプロキシーノード、エッジノードの双方ともファームウェアバージョン 5.5.0-2.x 以降が必要です。

Note

ホワイトリストで許可された端末であっても、AMFアクションの対象となった場合、該当端末からの通信はアクションに従った処理になります。

被疑端末の遮断解除

Note

プロキシーノード上でコマンドを実行することで遮断を解除することもできますが、その場合、プロキシーノードからAMF Securityに被疑デバイス情報を削除する指示は出しません。そのため、AMF Security上では被疑デバイス情報を保持したままになりますので、必要に応じて「ポリシー設定」/「アクション一覧」画面で該当のアクションを削除してください。
プロキシーノード上で実行するコマンドについては、お使いのAlliedWare Plus機器のコマンドリファレンスをご参照ください。

被疑端末の遮断ステータスの表示とメール送信

Note

本機能を使用するには、お使いのAlliedWare Plus機器のプロキシーノード、エッジノードの双方ともファームウェアバージョン 5.5.0-0.x 以降が必要です。

• 「遮断時にメールを送信します。」→「パケット破棄」、「リンクダウン」、「IPフィルター」、「ログ」のアクションで遮断された場合にメールを送信
  
• 「隔離時にメールを送信します。」→「隔離」のアクションで隔離された場合にメールを送信
  

Note

AMF Securityがプロキシーノードに問い合わせを行った際に、被疑端末の情報に更新（別のスイッチに移動後に再度遮断等）があった場合は、「デバイス」/「接続中 デバイス一覧」画面に表示した情報を更新し、メール送信も行われます。

AMFマスター（プロキシーノード）、AMFメンバー（エッジノード）の設定

• すべてのAMFノード（プロキシーノード、エッジノードの双方）で service atmf-application-proxyコマンドを有効
  
• すべてのAMFノード（プロキシーノード、エッジノードの双方）で service httpコマンドを有効
  
• すべてのAMFノード（プロキシーノード、エッジノードの双方）で共通のユーザーを権限レベル15（特権レベル）で設定
  
• AMFマスター（プロキシーノード）で atmf topology-gui enableコマンドを有効
  
• AMFメンバー（エッジノード）の端末接続ポートで application-proxy threat-protectionコマンドを設定
  

AMF Securityの設定

1. 「AMF」/「AMF アプリケーションプロキシー 設定」画面を表示します。
   
2. 「追加」ボタンをクリックします。
   
3. 「IPv4 アドレス」に、AMFマスター（プロキシーノード）のIPアドレスを入力します。
   
4. 「ユーザー名」、「パスワード」に、AMFマスター（プロキシーノード）に設定されている権限レベル15（特権レベル）のアカウントのユーザー名とパスワードを入力します。
   
5. ダイアログ下部の「登録」ボタンをクリックします。
   

Note

本設定を行うと、AMFマスター（プロキシーノード）への定期問い合わせ（30秒間隔）を行うようになります。

TQのAMFアプリケーションプロキシー機能

Note

サポートするアクションは、製品・バージョンによって異なります。製品と対応バージョンは「対応製品と対応バージョン」をご参照ください。

Note

TQに対するAMFアプリケーションプロキシー機能の設定は、AWCプラグインから行います（TQの管理画面からは行えません）。

Note

AT-VST-VRT版のAT-Vista Manager EXを使用する場合、AMF Securityは直接AWCプラグインに問い合わせを行います。

Note

無線端末が接続した際の認証は、「AMFアプリケーションプロキシー（AMF Security）による認証」→「VAP（マルチSSID）設定のセキュリティーで設定されている認証」の順で行われます。双方の認証が成功しないと無線端末の接続は許可されません。

Note

TQのAMFアプリケーションプロキシー機能では、以下の項目は未サポートです。
・ロケーションポリシー
・スケジュールポリシー
・セッションタイムアウト
・TQ上の認証情報の取得
・端末のIPアドレス表示
・デバイスの探索
・アカウントグループ

Note

AMF Securityの再起動（サービスの再起動を含む）や接続中のOpenFlowスイッチとAMFマスターとの接続がいったん切断される設定を行うと、TQのAMFアプリケーションプロキシー機能で既に管理されているデバイス（「デバイス」/「接続中 デバイス一覧」画面に表示されているデバイス）が存在する場合、そのデバイスの認証、およびアクションは適用されたままになりますが、「デバイス」/「接続中 デバイス一覧」画面の表示からは削除されます。

AMF Securityの設定・操作については以下が該当します。

・「システム設定」/「ネットワーク設定」画面
　　WebサーバーのSSL証明書のアップロード・削除
　　データベース同期
　　データベース同期オプション設定
・「システム設定」/「ログ設定」画面
・「システム設定」/「時刻設定」画面
・「システム設定」/「OpenFlow設定」画面
・「システム設定」/「システム情報」画面
　　ホスト名
　　システム設定 - インポート
　　システム設定 - リセット
　　サービス - 全て再起動
・「システム設定」/「トラップ監視設定」画面
　　デバイスルックアップ
・「システム設定」/「メール通知設定」画面
・「システム設定」/「アクションログ」画面
　　アクションログのクリア
・「AMF」/「AMF アプリケーションプロキシー 設定」画面
　　AMFマスター
　　ホワイトリスト設定
　　WebサーバーのSSL証明書のアップロード・削除
・「AMF」/「TQ設定」画面

また、AT-VST-VRTの設定画面でAMF Security アプリケーションの再起動（停止と起動）、AT-VST-VRTの再起動も該当します。

対応製品と対応バージョン

TQのダイナミック VLAN使用時の動作

• ダイナミック VLAN無効時
  無線端末の認証をAMF Securityで行い、AMF SecurityからVLAN IDが付与されている場合、無線端末の所属VLANはAMF SecurityのVLAN IDとなります。AMF SecurityからVLAN IDが付与されていない場合、無線端末はVAPのVLAN IDに所属します。
  

  Note

  AMF SecurityからVLAN IDが付与されない場合のAMF Securityの設定は以下のとおりです。
  ・ポリシー設定（隔離VLAN ID）でVLAN ID 0のネットワークを設定
  ・ネットワークを設定しない

• ダイナミック VLAN有効時
  無線端末の認証をAMF Securityで行い、その後にWPA エンタープライズ側のRADIUSサーバーで認証を行います。無線端末が所属するVLANは以下のとおりです。
  ただし、AMF Securityから隔離VLANのVLAN IDが付与されている場合は、ダイナミックVLANのVLAN IDの有無にかかわらず、AMF Securityから付与される隔離VLAN IDに所属します。
  

  表 7：無線端末が所属するVLAN

  AMF Security付与VLAN ID	RADIUSサーバー付与VLAN ID	無線端末所属VLAN
  あり	あり	RADIUSサーバー付与VLAN ID
  なし	なし	VAP VLAN ID
  なし	あり	RADIUSサーバー付与VLAN ID
  あり	なし	AMF Security付与VLAN ID

Note

AMF SecurityでVLAN IDなしの設定は以下のとおりです。
・ポリシー設定（隔離VLAN ID）でVLAN ID 0のネットワークを設定
・ネットワークを設定しない

クリティカルモード

• 無効
  新規で接続する無線端末は、AMF Securityによる認証ができないため接続がすべて拒否されます。
  なお、既に接続していた無線端末はそのまま通信できます。
  
• 有効
  新規で接続する無線端末をAMF Securityの認証なしで許可します。
  通常は、AMF Securityの認証が成功してからVAP（マルチSSID）設定のセキュリティーで設定されている認証が行われますが、AMF Securityによる認証を行わずにVAP（マルチSSID）設定のセキュリティーで設定されている認証に進みます。
  無線端末が所属するVLANは、VAP（マルチSSID）設定のセキュリティーで設定されている認証が成功した際に決定したVLANになります。
  

リダイレクトURLアクション

Note

本サイトはリダイレクトされたアクセスのみをサポートしており、通常のWebサーバーとしてはサポートしていません。

http://（AMF SecurityのIPアドレス）:（設定したポート番号）/index.html

http://192.168.1.10:8000/index.html

コントロール対象となるネットワーク機器

アプリケーション連携ソリューション

クイックツアー / AMF SecurityによるOpenFlowの認証の流れ

AMF Securityは、管理下のOpenFlowスイッチからの問い合わせに対して認証を実施します。
OpenFlowスイッチがAMF Securityに対して問い合わせを行うまでの流れは以下になります。

1. OpenFlowスイッチが、デバイスから何かパケットを受信する
   
2. OpenFlowスイッチは、パケットの送信元MACアドレスに対してのフローエントリーが登録されているか確認する。該当するフローエントリーが存在する場合、OpenFlowスイッチはフローエントリーに従ってパケットを送信する
   
3. 該当するフローエントリーがない場合、OpenFlowスイッチはAMF Securityに問い合わせを行うパケット（PACKET_IN）を送信する
   

• デバイス認証データ
  MACアドレスが関連付けられたデバイスのセキュリティーポリシーに基づき、接続先のネットワーク（VLAN）を決定します。
  
• 未認証グループ
  デバイス認証データに登録のないMACアドレスに対し、ロケーション、スケジュールに基づき、接続先のネットワークを提供します。
  
• アクション
  デバイスのMACアドレス、IPv4アドレス、デバイスID、デバイスタグ、ロケーション、OpenFlowスイッチ、接続中ネットワークなど、特定の条件に一致するデバイスに対し個別に破棄、隔離、または接続先VLANを指定します。
  連携アプリケーションによるデバイスの隔離・遮断処理と同様のアクションを手動で作成できます。
  

クイックツアー / 手動によるデバイスの追加

OpenFlowスイッチの登録

1. 「スイッチ」/「接続中 OpenFlow スイッチ一覧」画面に移動します。
   
   この時点ではOpenFlowスイッチの個別設定がされていないため、アップストリームポートはOpenFlowポート番号が最も小さいものが選択されています。
   
2. 一覧の中のDatapath IDのリンクをクリックし、「スイッチ」/「接続中 OpenFlow スイッチ詳細」画面を表示します。
   
   「スイッチ」/「接続中 OpenFlow スイッチ詳細」画面では、選択したOpenFlowスイッチの詳細情報を確認することができます。
   また、OpenFlowスイッチに設定されている各データプレーンポートのOpenFlowポート番号も確認できます。
   
3. 画面右上の「戻る」ボタンをクリックして、「スイッチ」/「接続中 OpenFlow スイッチ一覧」画面に移動します。
   
   
4. AMF Securityに登録する前の時点では、OpenFlowスイッチのスイッチIDは未登録と表示され、「登録」ボタンが表示されます。「登録」ボタンをクリックし、「スイッチ」/「OpenFlow スイッチ追加」画面を表示します。
   
   
5. スイッチ ID、アップストリームポートに指定したいOpenFlowポート番号またはポート名、備考を設定します。
   

   Note

   データパスIDはOpenFlowスイッチごとに異なる値が設定されるため、変更する必要はありません。

   Note

   所属させるアカウントグループIDは事前に設定が必要です。この章では、アカウントグループIDは設定しません。

   
   ここでは、例として、次の情報を設定します。
   

   表 1：設定データ

   項目名	設定する情報	説明
   スイッチ ID（必須項目）	x230-10GP（変更なし）	OpenFlowスイッチの名前です。 既に使用されているスイッチIDを設定することはできません。 スイッチIDは最大255文字で、英数字、記号以外に日本語も使用できます。 ここでは「ハードウェア情報」の「x230-10GP」が自動入力されます。
   Datapath ID（必須項目）	（変更なし）	OpenFlowスイッチのデータパスID（OpenFlowコントローラーが使用する識別子）です。 通常はOpenFlowスイッチのMACアドレスをもとに自動設定、またはOpenFlowスイッチ側で手動設定した値が表示されるため、変更する必要はありません。自動設定されるデータパスIDはOpenFlowスイッチのMACアドレスの先頭にゼロを補完した16桁の16進数になります。 なお、同じデータパスIDは複数登録できません。
   アップストリーム ポート	port1.0.5（変更なし）	OpenFlowスイッチのアップストリームポートを設定します。 アップストリームポートは1つの装置につき1つのみ登録できます。 ポートの指定は、ポート名とOpenFlowポート番号のどちらも使用できます。
   アカウントグループ ID	（設定なし）	OpenFlowスイッチが所属するアカウントグループIDを選択します。
   備考	#1Fスイッチ	このOpenFlowスイッチの追加説明やコメントを記載できます。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

   Note

   AMF SecurityとOpenFlowスイッチとでデータパスIDが一致していない場合は、OpenFlowポートでのパケット転送が停止します。

6. 「登録」ボタンをクリックします。
   OpenFlowスイッチが登録されると、新規に追加した情報が「スイッチ」/「OpenFlow スイッチ一覧」画面に表示されます。
   
   

AMFメンバーの登録

1. 「スイッチ」/「接続中 AMF メンバー 一覧」画面に移動します。
   
   
2. AMF Securityに登録する前の時点では、登録状況は未登録と表示され、「登録」ボタンが表示されます。「登録」ボタンをクリックし、「スイッチ」/「AMF メンバー 追加」画面を表示します。
   
   
3. 備考を設定します。
   

   Note

   所属させるアカウントグループIDは事前に設定が必要です。この章では、アカウントグループIDは設定しません。

   
   ここでは、例として、次の情報を設定します。
   

   表 2：設定データ

   項目名	設定する情報	説明
   名称（必須項目）	AMF-Member（変更なし）	AMFメンバーの名称です。 「スイッチ」/「OpenFlow スイッチ一覧」画面および「スイッチ」/「AMF メンバー 一覧」画面で、既に使用されているスイッチIDと名称を設定することはできません。 名称は最大255文字で、使用可能な文字は半角英数字とハイフン（-）、アンダースコア（_）のみです。
   アカウントグループ ID	（設定なし）	AMFメンバーが所属するアカウントグループIDを選択します。
   備考	#1Fスイッチ	AMFメンバーの追加説明やコメントを記載できます。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

   Note

   AMFメンバーの管理はAMFメンバーのホスト名で行うため、名称はAMFメンバーのホスト名と同一にしてください。

4. 「登録」ボタンをクリックします。
   AMFメンバーが登録されると、新規に追加した情報が「スイッチ」/「AMF メンバー 一覧」画面に表示されます。
   
   

ネットワークの登録

1. 「ポリシー設定」/「ネットワーク一覧」画面に移動します。
   
   この画面には、AMF Securityに登録されているネットワークの一覧が表示されます。この時点ではネットワークは登録されていません。
   
2. 「ポリシー設定」/「ネットワーク一覧」画面の右上の「ネットワーク追加」ボタンをクリックし、「ポリシー設定」/「ネットワーク追加」画面に移動します。
   
   この画面では、ネットワークの名前となるネットワークIDと、ネットワークに割り当てるVLAN IDが設定できます。
   接続先ネットワークを設定することにより、接続許可デバイスが接続されるVLANセグメントを制御できます。VLANセグメントへの接続制御は、接続許可デバイスが送信したパケットにVLANタグを付加することにより実現します。
   
3. 登録するネットワークの情報を入力します。
   
   ここでは、ネットワーク「営業部」を登録する例として、次の情報を入力します。
   

   表 3：設定データ

   項目名	設定する情報	説明
   ネットワーク ID（必須項目）	営業部	ネットワークの名称です。 既に使用されているネットワークIDを設定することはできません。 ネットワークIDは最大255文字で、英数字、記号以外に日本語も使用できます。
   VLAN ID（必須項目）	123	ネットワークのVLAN IDを設定します。既に登録済みのVLAN IDを別のネットワークに割り当てることはできません。 VLAN IDに0を設定するとVLANタグを付与しません。これはネットワーク設定を行わない状態と同じ動作になります。 VLAN IDの設定範囲は0～4094です。
   備考	営業ネットワーク	このネットワークの追加説明やコメントを記載できます。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

4. 「登録」ボタンをクリックします。
   ネットワークが登録されると、新規に追加した情報が「ポリシー設定」/「ネットワーク一覧」画面に表示されます。
   
   

ロケーションの登録

1. 「ポリシー設定」/「ロケーション一覧」画面に移動します。
   
   この画面には、AMF Securityに登録されているロケーションの一覧が表示されます。この時点ではロケーションは登録されていません。
   
2. 「ポリシー設定」/「ロケーション一覧」画面の右上の「ロケーション追加」ボタンをクリックし、「ポリシー設定」/「ロケーション追加」画面に移動します。
   
   ロケーションには、その名前となるロケーションIDと、そのロケーションに設置されているAMFメンバーを選択し、登録することができます。
   ロケーションを設定することにより、デバイスが接続可能なAMFメンバーを、オフィスのフロアや会議室など場所単位で制御することができます。
   
3. 登録するロケーションの情報を入力します。
   
   ここでは、ロケーション「1F」を登録する例として、次の情報を入力します。
   

   表 4：設定データ

   項目名	設定する情報	説明
   ロケーション ID（必須項目）	1F	ロケーションの名称です。 既に使用されているロケーションIDを設定することはできません。 ロケーションIDは最大255文字で、英数字、記号以外に日本語も使用できます。
   備考	1Fエリア	このロケーションの追加説明やコメントを記載できます。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

4. 「OpenFlow スイッチ / AMF メンバー」の「選択」ボタンをクリックします。
   「ポリシー設定」/「OpenFlowスイッチ / AMFメンバー」ダイアログに、先ほどの「OpenFlowスイッチの登録」および「AMFメンバーの登録」の手順で登録したOpenFlowスイッチとAMFメンバーが一覧表示されます。
   既に登録されている「AMF-Member」と「x230-10GP」が、物理的なロケーション「1F」に設置されているものとして、「AMF-Member」と「x230-10GP」の行の左端にあるチェックボックスにチェックを入れます。
   
   
5. ダイアログ下部の「登録」ボタンをクリックします。
   「ポリシー設定」/「ロケーション追加」画面の「OpenFlow スイッチ / AMF メンバー」に、選択された「AMF-Member」と「x230-10GP」が表示されます。
   
   
6. 「登録」ボタンをクリックします。
   ロケーションが登録されると、新規に追加した情報が「ポリシー設定」/「ロケーション一覧」画面に表示されます。
   
   

スケジュールの登録

1. 「ポリシー設定」/「スケジュール一覧」画面に移動します。
   
   この画面には、AMF Securityに登録されているスケジュールの一覧が表示されます。この時点ではスケジュールは登録されていません。
   
2. 「ポリシー設定」/「スケジュール一覧」画面の右上の「スケジュール追加」ボタンをクリックし、「ポリシー設定」/「スケジュール追加」画面に移動します。
   
   スケジュールを設定することにより、デバイスが接続可能な期間を制御することができます。開始日時、終了日時を設定しない場合、制限がないものとして扱われます。
   
3. 登録するスケジュールの情報を入力します。
   
   ここでは、スケジュール「3月イベント」を登録する例として、次の情報を入力します。
   

   表 5：設定データ

   項目名	設定する情報	説明
   スケジュール ID（必須項目）	3月イベント	スケジュールの名称です。 既に使用されているスケジュールIDを設定することはできません。 スケジュールIDは最大255文字で、英数字、記号以外に日本語も使用できます。
   開始日時	2020-03-01 00:00:00	デバイスがネットワークに接続可能になる日時を設定します。 カレンダーコントロールからの入力、または手入力で日時を変更できます。入力形式は年月日はYYYY-mm-dd、時間はHH:MM:SSの形式です。
   終了日時	（空欄）	デバイスがネットワークに接続不可能になる日時を設定します。 カレンダーコントロールからの入力、または手入力で日時を変更できます。入力形式は年月日はYYYY-mm-dd、時間はHH:MM:SSの形式です。
   備考	3月営業会議	このスケジュールの追加説明やコメントを記載できます。備考は最大255文字で、英数字、記号以外に日本語も使用できます。

   終了日時が設定されていない場合、このスケジュールは、開始日時以降、無期限に有効となります。
   
4. 「登録」ボタンをクリックします。
   スケジュールが登録されると、新規に追加した情報が「ポリシー設定」/「スケジュール一覧」画面に表示されます。
   
   

デバイスの登録

Note

セキュリティーポリシーを空欄にしたままデバイスを登録すると、デバイスは一時的にタグなしVLANに接続されます。既に利用者に配備済みのデバイスを登録する場合は、本ページに記載するように、デバイス情報の入力からセキュリティーポリシーの適用までを、一度に設定することをおすすめします。

1. 「デバイス」/「デバイス一覧」画面に移動します。
   
   この画面には、AMF Securityに登録されているデバイスの一覧が表示されます。この時点ではデバイスは登録されていません。
   
2. 「デバイス」/「デバイス一覧」画面の右上の「デバイス追加」ボタンをクリックし、「デバイス」/「デバイス追加」画面に移動します。
   
   この画面では、新規デバイスのデバイスID、そして必要な場合にはタグと備考を登録することができます。
   
3. 登録するデバイスの情報を入力します。
   
   ここでは、例として、次の情報を入力します。
   

   表 6：設定データ

   項目名	設定する情報	説明
   デバイス ID（必須項目）	Device_1	AMF Securityに登録するデバイスのIDです。 既に使用されているデバイスIDを設定することはできません。 デバイスIDは最大255文字で、英数字、記号以外に日本語も使用できます。
   タグ	User_A	デバイスIDとは別に、管理者がデバイスを識別しやすくするための名前として、タグを入力します（デバイスの利用者の名前など）。 タグは最大255文字で、英数字、記号以外に日本語も使用できます。
   備考	営業部所属	登録するデバイスに対して追加の説明やコメントがある場合に登録します。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

4. デバイスが持つインターフェースのMACアドレスを登録します。AMF Securityは、登録されていないMACアドレスからのネットワーク接続をすべて拒否します。
   「インターフェース」欄の「追加」ボタンをクリックして、「デバイス」/「インターフェース編集」ダイアログを表示します。
   
   

   Note

   登録されていないデバイスに対して一時利用を許可するVLANセグメントを設定することもできます。この場合、別途「グループ」/「未認証グループ追加」画面で未認証グループの設定を行う必要があります。

5. インターフェースのMACアドレスと名称を登録します。
   
   
6. 「登録」ボタンをクリックします。
   「デバイス」/「デバイス追加」画面の「インターフェース」一覧に、設定したインターフェースのMACアドレスが表示されます。
   
   
7. デバイスにセキュリティーポリシーを適用します。
   「ポリシー」欄の「追加」ボタンをクリックして、「デバイス」/「ポリシー編集」ダイアログを表示します。
   
   各デバイスには、接続が許可されるネットワーク、ロケーション（場所）、スケジュール（期間）といったセキュリティーポリシーを設定します。
   セキュリティーポリシーを設定しない場合、そのユーザーが所有するデバイスは、タグなしVLAN（VLANなしのネットワーク）に対し、すべての場所から常に接続可能になります。
   

   Note

   AMFメンバーに設定されているVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。

8. セキュリティーポリシーの優先度を0～255の数字で入力します。
   複数のセキュリティーポリシーが設定されている場合は、最も優先度の値が小さいセキュリティーポリシーから順に一致するかどうかの判定が行われます。
   この例では、セキュリティーポリシーの優先度を10に設定します。
   
9. 「ネットワーク」、「ロケーション」、「スケジュール」のドロップダウンリストに、先ほど登録した情報が一覧されています。ドロップダウンリストから、対象デバイスに割り当てるセキュリティーポリシーを選択します。
   ドロップダウンリストには、登録されたネットワーク、ロケーション、スケジュールのうち100件までが表示されます。また、テキストフィールドに文字列を入力すると、入力した文字列を含むセキュリティーポリシーが100件までドロップダウンリストに絞り込み表示されます。表示されたドロップダウンリストの候補から対象とするセキュリティーポリシーをクリックします。
   この例では、ロケーション「1F」から、スケジュール「3月イベント」を満たす日時にアクセスした場合、ネットワーク「営業部」への接続が許可されます。
   この時点で、ネットワーク、ロケーション、スケジュールとも、1件ずつしか登録されていないため絞り込みは不要です。それぞれのドロップダウンリストに表示されたセキュリティーポリシーをクリックして選択します。
   
   
10. ダイアログ下部の「登録」ボタンをクリックします。
    「デバイス」/「デバイス一覧」画面の「ポリシー」一覧に、設定したセキュリティーポリシーが表示されます。
    
    
11. 「登録」ボタンをクリックします。
    デバイスが登録されると、新規に追加した情報が「デバイス」/「デバイス一覧」画面に表示されます。
    
    

クイックツアー / 未認証グループによるゲストネットワークの提供

未認証グループとは

• AMF SecurityにMACアドレスが登録されていないデバイス
  
• 接続できるロケーションが一致しないデバイス（登録外のフロアからのアクセス、接続許可のないスイッチへのローミングなど）
  
• 接続できるスケジュールが一致しないデバイス（ネットワークの時間外利用、登録期限切れのデバイスからの接続など）
  

• ロケーションを設定した場合は、そのロケーションに登録されたOpenFlowスイッチおよびAMFメンバーからのみ接続が可能となります。ロケーションが選択されていない場合は、すべてのOpenFlowスイッチおよびAMFメンバーからアクセスが可能です。
  
• スケジュールを設定した場合は、そのスケジュールに登録された期間のみ接続が可能となります。スケジュールが選択されていない場合はいつでもアクセスが可能です。
  

複数の未認証グループ登録時の判定順について

未認証グループの追加

OpenFlowスイッチの登録

1. 「スイッチ」/「接続中 OpenFlow スイッチ一覧」画面に移動します。
   
   
2. AMF Securityに登録する前の時点では、OpenFlowスイッチのスイッチIDは未登録と表示され、「登録」ボタンが表示されます。
   ハードウェア情報欄に「AT-TQ5403」と表示されたOpenFlowスイッチのスイッチID欄の「登録」ボタンをクリックし、「スイッチ」/「OpenFlow スイッチ追加」画面を表示します。
   
   
3. スイッチID、アップストリームポートに指定したいOpenFlowポート番号またはポート名、備考を設定します。
   

   Note

   データパスIDはOpenFlowスイッチごとに異なる値が設定されるため、変更する必要はありません。

   Note

   所属させるアカウントグループIDは事前に設定が必要です。この章では、アカウントグループIDは設定しません。

   
   ここでは、例として、次の情報を設定します。
   

   表 3：設定データ

   項目名	設定する情報	説明
   スイッチ ID（必須項目）	AT-TQ5403（変更なし）	OpenFlowスイッチの名前です。 「スイッチ」/「OpenFlow スイッチ一覧」画面および「スイッチ」/「AMF メンバー 一覧」画面で、既に使用されているスイッチIDと名称を設定することはできません。 スイッチIDは最大255文字で、英数字、記号以外に日本語も使用できます。 ここでは「ハードウェア情報」の「AT-TQ5403」が自動入力されます。
   Datapath ID（必須項目）	（変更なし）	OpenFlowスイッチのデータパスID（OpenFlowコントローラーが使用する識別子）です。 通常はOpenFlowスイッチのMACアドレスをもとに自動設定、またはOpenFlowスイッチ側で手動設定した値が表示されるため、変更する必要はありません。自動設定されるデータパスIDはOpenFlowスイッチのMACアドレスの先頭にゼロを補完した16桁の16進数になります。 なお、同じデータパスIDは複数登録できません。
   アップストリーム ポート	eth1（変更なし）	OpenFlowスイッチのアップストリームポートを設定します。 アップストリームポートは1つの装置につき1つのみ登録できます。 ポートの指定は、ポート名とOpenFlowポート番号のどちらも使用できます。
   アカウントグループ ID	（設定なし）	OpenFlowスイッチが所属するアカウントグループIDを選択します。
   備考	#1F無線AP	このOpenFlowスイッチの追加説明やコメントを記載できます。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

   Note

   AMF SecurityとOpenFlowスイッチとでデータパスIDが一致していない場合は、OpenFlowポートでのパケット転送が停止します。

4. 「登録」ボタンをクリックします。
   OpenFlowスイッチが登録されると、新規に追加した情報が「スイッチ」/「OpenFlow スイッチ一覧」画面に表示されます。
   
   

AMFメンバーの登録

1. 「スイッチ」/「接続中 AMF メンバー 一覧」画面に移動します。
   
   
2. AMF Securityに登録する前の時点では、登録状況は未登録と表示され、「登録」ボタンが表示されます。
   名称に「AMF-Member_2」と表示されたAMFメンバーの登録状況欄の「登録」ボタンをクリックし、「スイッチ」/「AMF メンバー 追加」画面を表示します。
   
   
3. 備考を設定します。
   

   Note

   所属させるアカウントグループIDは事前に設定が必要です。この章では、アカウントグループIDは設定しません。

   
   ここでは、例として、次の情報を設定します。
   

   表 4：設定データ

   項目名	設定する情報	説明
   名称（必須項目）	AMF-Member_2（変更なし）	AMFメンバーの名称です。 「スイッチ」/「OpenFlow スイッチ一覧」画面および「スイッチ」/「AMF メンバー 一覧」画面で、既に使用されているスイッチIDと名称を設定することはできません。 名称は最大255文字で、使用可能な文字は半角英数字とハイフン（-）、アンダースコア（_）のみです。
   アカウントグループ ID	（設定なし）	AMFメンバーが所属するアカウントグループIDを選択します。
   備考	#1Fスイッチ	AMFメンバーの追加説明やコメントを記載できます。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

   Note

   AMFメンバーの管理はAMFメンバーのホスト名で行うため、名称はAMFメンバーのホスト名と同一にしてください。

4. 「登録」ボタンをクリックします。
   AMFメンバーが登録されると、新規に追加した情報が「スイッチ」/「AMF メンバー 一覧」画面に表示されます。
   
   

ネットワークの登録

1. 「ポリシー設定」/「ネットワーク一覧」画面に移動します。
   
   この画面には、AMF Securityに登録されているネットワークの一覧が表示されます。
   この時点ではネットワーク「営業部」（vlan123）が登録されています。
   
2. 「ポリシー設定」/「ネットワーク一覧」画面の右上の「ネットワーク追加」ボタンをクリックし、「ポリシー設定」/「ネットワーク追加」画面に移動します。
   
   この画面では、ネットワークの名前となるネットワークIDと、ネットワークに割り当てるVLAN IDが設定できます。
   接続先ネットワークを設定することにより接続許可デバイスが接続されるVLANセグメントを制御できます。VLANセグメントへの接続制御は、接続許可デバイスが送信したパケットにVLANタグを付加することにより実現します。
   
3. 登録するネットワークの情報を入力します。
   
   ここでは、ネットワーク「ゲストネットワーク」を登録する例として、次の情報を入力します。
   

   表 5：設定データ

   項目名	設定する情報	説明
   ネットワーク ID（必須項目）	来客用	ネットワークの名称です。 既に使用されているネットワークIDを設定することはできません。 ネットワークIDは最大255文字で、英数字、記号以外に日本語も使用できます。
   VLAN ID（必須項目）	30	ネットワークのVLAN IDを設定します。既に登録済みのVLAN IDを別のネットワークに割り当てることはできません。 VLAN IDに0を設定するとVLANタグを付与しません。これはネットワーク設定を行わない状態と同じ動作になります。 VLAN IDの設定範囲は0～4094です。
   備考	ゲストネットワーク	このネットワークの追加説明やコメントを記載できます。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

4. 「登録」ボタンをクリックします。
   ネットワークが登録されると、新規に追加した情報が「ポリシー設定」/「ネットワーク一覧」画面に表示されます。
   
   

ロケーションの登録

1. 「ポリシー設定」/「ロケーション一覧」画面に移動します。
   
   この画面には、AMF Securityに登録されているロケーションの一覧が表示されます。この時点ではロケーション「1F」のみが登録されています。
   
2. 「ポリシー設定」/「ロケーション一覧」画面の右上の「ロケーション追加」ボタンをクリックし、「ポリシー設定」/「ロケーション追加」画面に移動します。
   
   
3. 登録するロケーションの情報を入力します。
   
   ここでは、ロケーション「1Fカンファレンスルーム」を登録する例として、次の情報を入力します。
   

   表 6：設定データ

   項目名	設定する情報	説明
   ロケーション ID（必須項目）	1Fカンファレンスルーム	ロケーションの名称です。 既に使用されているロケーションIDを設定することはできません。 ロケーションIDは最大255文字で、英数字、記号以外に日本語も使用できます。
   備考	1Fカンファレンスルーム	このロケーションの追加説明やコメントを記載できます。 備考は最大255文字で、英数字、記号以外に日本語も使用できます。

4. 「OpenFlow スイッチ / AMF メンバー」の「選択」ボタンをクリックします。
   「ポリシー設定」/「OpenFlowスイッチ / AMFメンバー」ダイアログに、登録済みのOpenFlowスイッチ「x230-10GP」「AT-TQ5403」、AMFメンバー「AMF-Member_2」が一覧表示されます。
   このうち「AT-TQ5403」と「AMF-Member_2」が物理的なロケーション「1Fカンファレンスルーム」に設置されているものとして、「AT-TQ5403」と「AMF-Member_2」の行の左端にあるチェックボックスにチェックを入れます。
   
   
5. ダイアログ下部の「登録」ボタンをクリックします。
   「ポリシー設定」/「ロケーション追加」画面の「OpenFlow スイッチ / AMF メンバー」に、選択されたスイッチ「x230-10GP」とAMFメンバー「AMF-Member_2」が表示されます。
   
   
6. 「登録」ボタンをクリックします。
   ロケーションが登録されると、新規に追加した情報が「ポリシー設定」/「ロケーション一覧」画面に表示されます。
   
   

スケジュールの登録

1. 「ポリシー設定」/「スケジュール一覧」画面に移動します。
   
   この画面には、AMF Securityに登録されているスケジュールの一覧が表示されます。
   この時点ではスケジュール「3月イベント」が登録されています。
   
2. 「ポリシー設定」/「スケジュール一覧」画面の右上の「スケジュール追加」ボタンをクリックし、「ポリシー設定」/「スケジュール追加」画面に移動します。
   
   スケジュールを設定することにより、デバイスが接続可能な期間を制御することができます。開始日時、終了日時を設定しない場合、制限がないものとして扱われます。
   
3. 登録するスケジュールの情報を入力します。
   
   ここでは、スケジュール「10月イベント」を登録する例として、次の情報を入力します。
   

   表 7：設定データ

   項目名	設定する情報	説明
   スケジュール ID（必須項目）	10月イベント	スケジュールの名称です。 既に使用されているスケジュールIDを設定することはできません。 スケジュールIDは最大255文字で、英数字、記号以外に日本語も使用できます。
   開始日時	2020-10-10 00:00:00	デバイスがネットワークに接続可能になる日時を設定します。 カレンダーコントロールからの入力、または、手入力で日時を変更できます。入力形式は年月日はYYYY-mm-dd、時間はHH:MM:SSの形式です。
   終了日時	2020-10-31 00:00:00	デバイスがネットワークに接続不可能になる日時を設定します。 カレンダーコントロールからの入力、または、手入力で日時を変更できます。入力形式は年月日はYYYY-mm-dd、時間はHH:MM:SSの形式です。
   備考	（空欄）	このスケジュールの追加説明やコメントを記載できます。備考は最大255文字で、英数字、記号以外に日本語も使用できます。

4. 「登録」ボタンをクリックします。
   スケジュールが登録されると、新規に追加した情報が「ポリシー設定」/「スケジュール一覧」画面に表示されます。
   
   

未認証グループの登録

1. 「グループ」/「未認証グループ一覧」画面を表示します。
   
   
2. 画面右上の「未認証グループ追加」ボタンをクリックし、「グループ」/「未認証グループ追加」画面を表示します。
   
   
3. 「有効」チェックボックスにチェックが入っていることを確認します。
   
4. 未認証グループのグループID、備考を入力します。
   この例では、グループIDを「イベント来場者用」とし、備考は空欄とします。
   
   
5. 「端末の検出のみを行います。」チェックボックスにチェックが入っていないことを確認します。
   「端末の検出のみを行います。」チェックボックスにチェックが入っていると、未認証グループのセキュリティーポリシーに一致したMACアドレスは検出のみを行われ、ネットワークに接続するためのフローは作成されません。
   
6. ポリシーの「追加」ボタンをクリックして、「グループ」/「ポリシー編集」ダイアログを表示します。
   
   
7. セキュリティーポリシーの優先度を設定します。
   ここでは、優先度を「30」に設定します。
   
8. 未認証グループに適用するネットワークを設定します。
   ここでは、ネットワークに「来客用」を指定します。
   
9. デバイスの検出条件となるセキュリティーポリシーを設定します。
   ここでは、ロケーションに「1Fカンファレンスルーム」を、スケジュールに「10月イベント」を指定します。
   
   
10. 「登録」ボタンをクリックして、「グループ」/「未認証グループ追加」画面に戻ります。
    「グループ」/「未認証グループ追加」画面のポリシー欄に、ただ今作成したセキュリティーポリシーが表示されます。
    
    
11. 「登録」ボタンをクリックして、「グループ」/「未認証グループ一覧」画面に戻ります。
    以上の設定で、AMF Securityのデバイス認証データに登録されていないMACアドレスのうち、スケジュールに指定された2020/10/10～2020/10/31の間に「1Fカンファレンスルーム」の「AMF-Member_2」に接続したものを、未認証グループ「イベント来場者用」として、ネットワーク「来客用」（vlan30）に接続するようになります。
    
    
12. 未認証グループに接続しているデバイスを確認するには、「デバイス」/「接続中 デバイス一覧」画面を表示します。
    AMF Security管理下のOpenFlowスイッチおよびAMFメンバーに接続しているデバイスのMACアドレスが一覧表示されます。
    デバイスID欄には「group=イベント来場者用」が、接続中ネットワーク欄には「vlan=30 id=来客用」が表示されるようになります。また、状況欄には「認証済み」が表示されます。
    
    

クイックツアー / タグを使用した認証

タグを使用した認証とは

Note

TQのAMFアプリケーションプロキシー機能では、ロケーションとスケジュールの項目は未サポートです。

タグの判定順について

タグを使用した設定の例

• ユーザー1（user_1）は2台の端末を所有（PC-1, PC-2）
  
• ユーザー2（user_2）は3台の端末を所有（PC-3, PC-4, PC-5）
  
• それぞれの端末はVLAN100に接続
  

• 端末が接続するネットワークはVLAN100
  
• デバイスはユーザー1（user_1）とユーザー2（user_2）を登録
  
• デバイスに共通のタグを設定する
  
• デバイスにポリシーは設定しない
  
• タグにポリシーを設定する（端末が接続するネットワークVLAN100を設定）
  

タグを使用した設定の流れ

1. 「ポリシー設定」/「ネットワーク一覧」画面でネットワークを登録する
   
2. 「グループ」/「タグ一覧」画面でタグを登録する
   
3. 「デバイス」/「デバイス追加」画面でデバイスを登録する
   

ネットワークを登録する

1. 「ポリシー設定」/「ネットワーク一覧」画面に移動します。
   
   
2. 「ポリシー設定」/「ネットワーク一覧」画面の右上の「ネットワーク追加」ボタンをクリックし、「ポリシー設定」/「ネットワーク追加」画面に移動します。
   
   
3. 登録するネットワークの情報を入力します。
   
   ここでは、次の情報を入力します。
   

   表 6：設定データ

   項目名	設定する情報
   ネットワーク ID	VLAN100
   VLAN ID	100
   備考	なし（空欄）

4. 「登録」ボタンをクリックします。
   ネットワークが登録されると、追加した情報が「ポリシー設定」/「ネットワーク一覧」画面に表示されます。
   
   

タグの登録

1. 「グループ」/「タグ一覧」画面に移動します。
   
   
2. 画面右上の「タグ追加」ボタンをクリックし、「グループ」/「タグ追加」画面に移動します。
   
   
3. 登録するタグの情報を入力します。
   
   ここでは、次の情報を入力します。
   

   表 7：設定データ

   項目名	設定する情報
   タグ	group_A
   備考	なし（空欄）

4. ポリシーの「追加」ボタンをクリックして、「グループ」/「ポリシー編集」ダイアログを表示します。
   
   
5. 登録するポリシーの情報を入力します。
   
   ここでは、次の情報を入力します。
   

   表 8：設定データ

   項目名	設定する情報
   優先度	10
   ネットワーク	VLAN100
   ロケーション	なし（空欄）
   スケジュール	なし（空欄）

6. 「登録」ボタンをクリックして、「グループ」/「タグ追加」画面に戻ります。
   
   
7. 「登録」ボタンをクリックします。
   タグが登録されると、追加した情報が「グループ」/「タグ一覧」画面に表示されます。
   
   

デバイスの登録

1. 「デバイス」/「デバイス一覧」画面に移動します。
   
   
2. 「デバイス」/「デバイス一覧」画面の右上の「デバイス追加」ボタンをクリックし、「デバイス」/「デバイス追加」画面に移動します。
   この画面では、新規デバイスのデバイスID、タグを登録します。
   
   
3. 登録するデバイスの情報を入力します。
   
   ここでは、次の情報を入力します。
   

   表 9：設定データ

   項目名	設定する情報
   デバイス ID	user_1
   タグ	group_A
   備考	なし（空欄）

4. デバイスが持つインターフェースのMACアドレスを登録します。AMF Securityは、登録されていないMACアドレスからのネットワーク接続をすべて拒否します。
   「インターフェース」欄の「追加」ボタンをクリックして、「デバイス」/「インターフェース編集」ダイアログを表示します。
   
   
5. 「ユーザー1（user_1）」の1台目の端末のMACアドレスと名称を登録します。
   
   ここでは、次の情報を入力します。
   

   表 10：設定データ

   項目名	設定する情報
   MAC アドレス	00:00:00:00:00:01
   名称	PC-1
   備考	なし（空欄）

6. 「登録」ボタンをクリックします。
   「デバイス」/「デバイス追加」画面の「インターフェース」一覧に、設定したインターフェースのMACアドレスが表示されます。
   
   
7. 手順4～手順6と同じ手順で、もう1台の端末のMACアドレスと名称を登録します。
   
   ここでは、次の情報を入力します。
   

   表 11：設定データ

   項目名	設定する情報
   MAC アドレス	00:00:00:00:00:02
   名称	PC-2
   備考	なし（空欄）

8. 本デバイス「user_1」にはポリシーを設定しないため、このまま「登録」ボタンをクリックします。
   
   デバイスが登録されると、新規に追加した情報が「デバイス」/「デバイス一覧」画面に表示されます。
   
   
9. 手順2～手順8と同じ手順で、「user_2」の「デバイス ID」も登録します。
   なお「user_2」の「デバイス ID」に登録するタグは、「user_1」と共通の「group_A」を登録します。
   

   表 12：設定データ

   デバイス
   項目名	設定する情報
   デバイス ID	user_2
   タグ	group_A ※ 「user_1」と共通
   備考	なし（空欄）
   インターフェース
   項目名	設定する情報
   MAC アドレス	00:00:00:00:00:03
   名称	PC-3
   備考	なし（空欄）
   インターフェース
   項目名	設定する情報
   MAC アドレス	00:00:00:00:00:04
   名称	PC-4
   備考	なし（空欄）
   インターフェース
   項目名	設定する情報
   MAC アドレス	00:00:00:00:00:05
   名称	PC-5
   備考	なし（空欄）

   • 「デバイス」/「デバイス追加」画面
     
     
   • 「デバイス」/「デバイス一覧」画面
     
     

クイックツアー / 一覧からのデバイス登録

IPアドレスによるデバイスの探索

1. 「デバイス」/「接続中 デバイス一覧」画面を表示します。
   
   
2. 画面右上の「デバイスの探索」ボタンをクリックし、「デバイス」/「デバイスの探索」ダイアログを表示します。
   
   
3. デバイス探索を行うIPv4アドレス、またはIPv4アドレス範囲を指定します。
   IPv4アドレス範囲は、xxx.xxx.xxx.xxx-xxx.xxx.xxx.xxx（始点アドレス・終点アドレス）、または、xxx.xxx.xxx.xxx/xx（IPv4アドレスとサブネットマスク長）の形式で指定できます。
   
   

   Note

   デバイス探索の方法にARPを選択した場合は、送信元IPを指定します。送信元IPは、検索範囲と同一ネットワークのIPアドレスのうち、探索を行うネットワーク内で使用されていないものを指定してください。
   始点アドレス・終点アドレスの指定は、IPアドレス数が4,094以下になるようにしてください。
   サブネットマスク長の指定は、20～32ビットマスクの範囲で指定してください。

4. 「検索」ボタンをクリックし、「デバイス」/「接続中 デバイス一覧」画面に戻ります。
   
   デバイスの探索は、OpenFlowスイッチでは指定したIPv4アドレスまたはIPv4アドレス範囲に対して3回行われ、AMFメンバーでは1回行われます。
   デバイス探索の状況は、画面右上の「デバイス探索状況」欄に随時表示されます。
   探索範囲内のデバイスから応答があった場合、「デバイス」/「接続中 デバイス一覧」画面右上の「更新」ボタンをクリックすると、応答のあったMACアドレスが一覧に追加されます。デバイス探索によって検出されたデバイスは、既存のアクション、デバイス、未認証グループの各種セキュリティーポリシーに準じて処理され、いずれのセキュリティーポリシーにも一致しない場合は認証失敗となります。
   この場合、クイックツアー「一覧からのデバイス登録」/「未認証グループによるデバイスの検出」の手順に従って、検出のみの未認証グループのセキュリティーポリシーを適切に設定することで、該当のデバイスを検出することができます。
   

接続中 デバイス一覧からのデバイスの登録

新規デバイスにMACアドレスを関連付ける

1. 「デバイス」/「接続中 デバイス一覧」画面を表示します。
   OpenFlowスイッチに接続してパケットを送出しており、AMF Securityのデバイス認証データに登録のないデバイスのMACアドレスは、「認証失敗」として一覧に表示されています。
   
   
2. 対象とする未登録のMACアドレスの、デバイスID欄の「登録」ボタンをクリックし、「デバイス」/「デバイス追加」ダイアログを表示します。
   
   
3. 「デバイス」/「デバイス追加」ダイアログにて、「このMAC アドレスを新規デバイスとして登録します。」を選択して「登録」ボタンをクリックします。
   
4. 「デバイス」/「デバイス追加」画面が表示されます。
   インターフェース欄には、「デバイス」/「接続中 デバイス一覧」画面で選択したMACアドレスが登録されます。
   新規に登録するデバイスのデバイスID（必須項目）、タグ、備考を設定します。
   必要に応じて、セキュリティーポリシーを設定することもできます。また、このデバイスの異なるインターフェースがあり、MACアドレスが判明している場合は、この時点でインターフェースを新規に追加することもできます。
   
   
5. 「登録」ボタンをクリックします。
   
6. 「デバイス」/「デバイス一覧」画面が表示されます。
   登録したデバイスが新たに追加されました。
   
   

既存のデバイスにMACアドレスを関連付ける

1. 「デバイス」/「接続中 デバイス一覧」画面を表示します。
   OpenFlowスイッチまたはAMFメンバーに接続してパケットを送出しており、AMF Securityのデバイス認証データに登録のないデバイスのMACアドレスは、「認証失敗」として一覧に表示されています。
   
   
2. 対象とする未登録のMACアドレスの、デバイスID欄の「登録」ボタンをクリックし、「デバイス」/「デバイス追加」ダイアログを表示します。
   
   
3. 「デバイス」/「デバイス追加」ダイアログにて、「このMAC アドレスを既存のデバイスに追加します。」を選択します。
   
4. 該当のMACアドレスを登録するデバイスIDを指定します。
   事前に登録されたデバイスIDが100件までドロップダウンリストに表示されます。また、テキストフィールドに文字列を入力すると、入力した文字列をデバイスID、タグ、備考のいずれかに含むデバイスIDが100件までドロップダウンリストに絞り込み表示されます。表示されたドロップダウンリストの候補から、対象とするデバイスIDをクリックします。
   
   
5. 「登録」ボタンをクリックします。
   
6. 「デバイス」/「デバイス更新」画面が表示されます。
   インターフェース欄には、「デバイス」/「接続中 デバイス一覧」画面で選択したMACアドレスが追加されます。
   必要に応じて、デバイスID（必須項目）、タグ、備考、セキュリティーポリシーを設定することもできます。また、このデバイスの異なるインターフェースがあり、MACアドレスが判明している場合は、この時点でインターフェースを新規に追加することもできます。
   
   
7. 「登録」ボタンをクリックします。
   
8. 「デバイス」/「デバイス一覧」画面が表示されます。
   
   

デバイスのフローエントリーを自動でOpenFlowスイッチに登録させる

Note

端末から送信されるパケットを契機にした認証を行わないため、フローエントリーに合致するネットワークのブロードキャスト等が該当のOpenFlowポートから送信されるようになります。そのため、セキュリティー面の制限があることを考慮した上でご使用ください。

Note

フローエントリーを自動でOpenFlowスイッチに登録させるように設定したデバイスが、ポリシーに設定した以外のOpenFlowスイッチおよびOpenFlowポートに接続されてパケットを送信した場合には通常の認証が行われ、ポリシーに合致しないため認証失敗となります。その際に自動登録のフローエントリーは削除されるため、正しいOpenFlowスイッチおよびOpenFlowポートに接続し直しても状況が「認証失敗」のままとなり、通信が行えなくなる場合があります。通信が行えなくなった場合は、正しいOpenFlowスイッチおよびOpenFlowポートに接続し、クイックツアー「一覧からのデバイス登録」/「IPアドレスによるデバイスの探索」の手順に従って、デバイスの探索を行ってください。

1. 「デバイス」/「接続中 デバイス一覧」画面を表示します。
   
   OpenFlowスイッチに接続してパケットを送出しており、AMF Securityのデバイス認証データに登録のないデバイスのMACアドレスは、「認証失敗」として一覧に表示されています。
   パケットを自発的に送信しないデバイスの場合は、クイックツアー「一覧からのデバイス登録」/「IPアドレスによるデバイスの探索」の手順に従って、デバイスを表示させます。
   該当のMACアドレスを持つインターフェースが接続しているOpenFlowスイッチのスイッチIDが登録されている場合、デバイスID欄に「固定登録」ボタンが表示されます。
   
2. 対象とする未登録のMACアドレスの、デバイスID欄の「固定登録」ボタンをクリックします。
   
3. 「デバイス」/「デバイス追加」画面が表示されます。
   インターフェース欄には、「デバイス」/「接続中 デバイス一覧」画面で選択したMACアドレスが登録されます。
   ポリシーのロケーション欄には、該当のMACアドレスが接続されているOpenFlowスイッチのスイッチIDとスイッチポート、および「フローの有効期限を無限にします。」が自動で設定されます。
   

   Note

   OpenFlowスイッチのスイッチIDとスイッチポート、および「フローの有効期限を無限にします。」がすべて設定されているデバイスが、フローエントリーを自動で登録させる対象になります。
   「デバイス」/「デバイス追加」画面で手動で入力した場合も、フローエントリーの自動登録の対象になります。

   新規に登録するデバイスのデバイスID（必須項目）、タグ、備考を設定します。
   また、必要に応じて、別の既知のインターフェースのMACアドレスやセキュリティーポリシーを設定することもできます。
   
   
4. 「登録」ボタンをクリックします。
   
5. 「デバイス」/「デバイス一覧」画面が表示されます。
   

未認証グループによるデバイスの検出

1. 「グループ」/「未認証グループ一覧」画面を表示します。
   
   
2. 画面右上の「未認証グループ追加」ボタンをクリックし、「グループ」/「未認証グループ追加」画面を表示します。
   
   
3. 「有効」チェックボックスにチェックが入っていることを確認します。
   
4. 未認証グループのグループID、備考を入力します。
   この例では、グループIDを「1F 未認証端末」とし、備考は空欄とします。
   
5. 「端末の検出のみを行います。」チェックボックスをクリックしてチェックを入れます。
   
   
6. ポリシーの「追加」ボタンをクリックして、「グループ」/「ポリシー編集」ダイアログを表示します。
   
   
7. セキュリティーポリシーの優先度を設定します。
   ここでは、優先度を「10」に設定します。
   
8. 今回は検出のみを行うため、ネットワークは空欄のままにします。
   

   Note

   「端末の検出のみを行います。」チェックボックスにチェックが入っていない場合、ネットワークを空欄にすると、デバイスはOpenFlowスイッチではタグなしVLAN（VLANなしのサブネット）、AMFメンバーの場合はAMFメンバーに設定されているVLANに接続されます。タグなしVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。AMFアプリケーションプロキシー機能のTQでは、TQの設定に依存します。
   詳細は、クイックツアー「AMF Securityについて」/「TQのAMFアプリケーションプロキシー機能」の「TQのダイナミック VLAN使用時の動作」をご参照ください。

9. デバイスの検出条件となるセキュリティーポリシーを設定します。
   ここでは、ロケーションに「1F」を指定します。
   AMF Securityのデバイス認証データに登録されていないMACアドレスのうち、ロケーション「1F」のいずれかのOpenFlowスイッチまたはAMFメンバーに接続されたものを、未認証グループ「1F 未認証端末」として検出します。
   
   
10. 「登録」ボタンをクリックして、「グループ」/「未認証グループ追加」画面に戻ります。
    
    
11. 「登録」ボタンをクリックして、「グループ」/「未認証グループ一覧」画面に戻ります。
    
    
12. 「デバイス」/「接続中 デバイス一覧」画面を表示します。
    AMF Security管理下のOpenFlowスイッチおよびAMFメンバーに接続しているデバイスのMACアドレスが一覧表示されます。
    AMF Securityのデバイス認証データに登録されていないMACアドレスのうち、ロケーション「1F」のいずれかのOpenFlowスイッチまたはAMFメンバーに接続されたものは、状況欄に「検出」が表示されるようになりました。
    
    
13. 「デバイス」/「接続中 デバイス一覧」画面の状況ドロップダウンメニューから「検出」を選択します。
    AMF Securityのデバイス認証データに登録されていないMACアドレスのうち、状況が「検出」となっているMACアドレス、すなわち、ロケーション「1F」のいずれかのOpenFlowスイッチまたはAMFメンバーに接続されたもののみが一覧表示されます。
    
14. クイックツアー「一覧からのデバイス登録」/「接続中 デバイス一覧からのデバイスの登録」の手順に従って、必要なデバイスをAMF Securityに登録します。
    

検出されたデバイスの登録

クイックツアー / アクションの登録

アクションとは

• デバイスMACアドレス
  
• デバイスIPv4アドレス
  
• デバイス
  
• デバイスタグ
  
• ロケーション
  
• OpenFlowスイッチ
  
• 接続中ネットワーク
  

• デバイスMACアドレスを指定 → 指定したMACアドレスをAMFマスターに送信
  
• デバイスIPv4アドレスを指定 → 指定したIPv4アドレスをAMFマスターに送信
  
• デバイスMACアドレスとデバイスIPv4アドレスを指定 → 指定したIPv4アドレスのみをAMFマスターに送信
  
• デバイスまたはデバイスタグを指定 → 該当するデバイスに紐付けられたMACアドレスをAMFマスターに送信
  

アクションの登録

1. 「ポリシー設定」/「アクション一覧」画面に移動します。
   
   この画面には、AMF Securityに登録されているアクションの一覧が表示されます。この時点ではアクションは登録されていません。
   
2. 「ポリシー設定」/「アクション一覧」画面の右上の「アクション追加」ボタンをクリックし、「ポリシー設定」/「アクション追加」画面に移動します。
   
   
3. 登録するアクションの情報を入力します。
   
   ここでは、例として、次の情報を入力します。
   

   表 1：設定データ

   項目名	設定する情報	説明
   アクション ID（必須項目）	不審デバイス遮断	AMF Securityに登録するアクションのIDです。 既に使用されているアクションIDを設定することはできません。 アクションIDは最大255文字で、英数字、記号以外に日本語も使用できます。
   優先度	10	アクションの優先度です。1～65535の数字で入力します。 同時に条件を満たすアクションが存在する場合、より小さい値が割り当てられたアクションが優先して適用されます。 値を省略した場合は10が設定されます。
   原因	ポートスキャン	アクションの原因、適用理由など、管理上の情報を登録します。 原因は最大255文字で、英数字、記号以外に日本語も使用できます。

4. アクションの条件を入力します。
   
   ここでは、例として、デバイスのMACアドレスを条件に指定します。
   

   表 2：設定データ：条件

   項目名	設定する情報	説明
   デバイス MAC アドレス	00:00:5E:00:53:01	アクションの対象とするデバイスのユニキャストMACアドレスを指定します。 MACアドレスの表記として使用可能なフォーマットは下記となります。 xx:xx:xx:xx:xx:xx, xx-xx-xx-xx-xx-xx, xxxx.xxxx.xxxx
   デバイス IPv4 アドレス	（空欄）	アクションの対象とするデバイスのユニキャストIPv4アドレスを指定します。
   デバイス	（空欄）	アクションの対象とするデバイスIDを指定します。 事前に登録されたデバイスIDが100件までドロップダウンリストに表示されます。また、テキストフィールドに文字列を入力すると、入力した文字列をデバイスID、タグ、備考のいずれかに含むデバイスIDが100件までドロップダウンリストに絞り込み表示されます。表示されたドロップダウンリストの候補から、対象とするデバイスIDをクリックします。
   デバイスタグ	（空欄）	アクションの対象とする、デバイスに設定されたタグを入力します。
   ロケーション	（空欄）	アクションの対象とするロケーションIDです。 事前に登録されたロケーションIDが100件までドロップダウンリストに表示されます。また、テキストフィールドに文字列を入力すると、入力した文字列をロケーションIDまたは備考のいずれかに含むロケーションIDが、100件までドロップダウンリストに絞り込み表示されます。表示されたドロップダウンリストの候補から、対象とするロケーションIDをクリックします。
   OpenFlow スイッチ	（空欄）	アクションの対象とするスイッチIDです。 事前に登録されたスイッチIDが100件までドロップダウンリストに表示されます。また、テキストフィールドに文字列を入力すると、入力した文字列をスイッチID、Datapath ID、アップストリームポート、備考のいずれかに含むスイッチIDが100件までドロップダウンリストに絞り込み表示されます。表示されたドロップダウンリストの候補から、対象とするスイッチIDをクリックします。
   接続中ネットワーク	（空欄）	アクションの対象とするネットワークIDです。 事前に登録されたネットワークIDが100件までドロップダウンリストに表示されます。また、テキストフィールドに文字列を入力すると、入力した文字列をネットワークID、VLAN ID、備考のいずれかに含むネットワークIDが100件までドロップダウンリストに絞り込み表示されます。表示されたドロップダウンリストの候補から、対象とするネットワークIDをクリックします。

5. 条件を満たした際に実行するアクションを入力します。
   ここでは、該当のデバイスからの通信を破棄しますので、通過/隔離VLAN IDの指定は不要です。
   また、AMFアプリケーションプロキシー機能は使用していないため、AMFアクションは「AMF 依存」のままにします。
   
   

   表 3：設定データ：アクション

   項目名	設定する情報	説明
   OpenFlow/TQ アクション	破棄(遮断)	対象のデバイスに適用するOpenFlow/TQのAMFアプリケーションプロキシーアクションの内容です。 ・通過(許可)： デバイスの通信を許可します。 ・隔離： 隔離ネットワークに接続します。 ・破棄(遮断)： デバイスからのパケットを破棄し、通信を遮断します。 ・ログ： AMF Securityからはアクションを通知せず、該当デバイスの通信制御は行われません。該当デバイスのログのみを出力します。 ・リダイレクトURL： 該当デバイスにリダイレクトURLのアクションを適用し、隔離ネットワークに接続します。本アクションはTQのAMFアプリケーションプロキシーのみでサポート、OpenFlowでは未サポートです。
   通過/隔離 VLAN ID	（空欄）	対象のデバイスのパケットを通過、または、隔離するVLAN IDです。
   AMF アクション	AMF 依存	AW+のAMFアプリケーションプロキシー機能を使用して、該当デバイスの通信遮断を指示する際のアクションの内容です。 ・AMF 依存： AMF Securityからはアクションを通知せず、AMF機器側の設定に依存します。 ・隔離： 該当デバイスを隔離用VLANに移動します。 ・パケット破棄： 該当デバイスの通信をレイヤー2（MACレベル）で破棄します。 ・リンクダウン： 該当デバイスが接続されているポートを無効化します。 ・IPフィルター： 該当デバイスの通信をレイヤー3（IPレベル）で破棄します。 ・ログ： AMF Securityからログのアクションを通知しますが、該当デバイスの通信制御は行わずログのみを出力します。

   Note

   「隔離」アクションの動作は、お使いのAlliedWare Plus機器（エッジノード）の設定、ファームウェアバージョンによって動作が異なります。
   
   ・バージョン 5.5.0-2.x 以降でポート認証（AMFアプリケーションプロキシーホワイトリストを含む）のマルチプルダイナミックVLANとAMFアプリケーションプロキシーブラックリストを併用している場合：該当デバイスのMACアドレスのみを隔離用VLANに移動します。
   
   ・上記以外の場合：該当デバイスが接続されているポートを隔離用VLANに移動します。

   Note

   バージョン 5.5.0-2.x よりも前のバージョンでは隔離アクションとポート認証（AMFアプリケーションプロキシーホワイトリストを含む）を同一ポート上で併用する場合、ダイナミックVLANは使用できません。

6. 「登録」ボタンをクリックします。
   アクションが登録されると、新規に追加した情報が「ポリシー設定」/「アクション一覧」画面に表示されます。
   
   

クイックツアー / アカウントグループ

アカウントグループとは

アカウントグループの作成

• アカウントグループID
  
• 備考
  

Note

初期設定のアカウントグループはありません。アカウントグループを作成しないと、アカウント作成やデバイス登録の際に「アカウントグループID」を選択できません。

アカウントの作成

• アカウント名
  
• パスワード
  
• メールアドレス
  
• アカウントグループID（アカウントグループを作成した場合に選択できます）
  
• 認証データベースの編集の可否
  
• システム設定の変更の可否
  

Note

初期設定の「manager」を含め、「システム設定の変更を許可する。」チェックボックスにチェックが入ったすべてのアカウントのパスワードを忘れた場合、AT-VST-VRTの設定画面でAMF Securityアプリケーションの初期化（削除→再作成）が必要となります。パスワードは大切に管理してください。
なお、操作方法は弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」をご参照ください。

Note

アカウントにメールアドレスを登録して、「システム設定」/「メール通知設定」画面でメール通知の設定を行っておくことで、パスワードを忘れた場合にメールによるパスワードの復旧が可能です。
メールによるパスワードの復旧手順については、付録「パスワードを忘れた場合」を参照してください。

Note

初期設定の「manager」やネットワーク全体を管理するために作成したアカウントには、アカウントグループを設定しないことをおすすめします。

アカウントグループを使ったデバイス管理の例

• 「デバイス」/「接続中 デバイス一覧」画面
  
• 「スイッチ」/「接続中 OpenFlow スイッチ一覧」画面
  
• 「スイッチ」/「接続中 AMF メンバー 一覧」画面
  

• 「manager」アカウント（アカウントグループなし）でログインした場合
  
  
• 「group_1」に所属する「1F_admin」アカウントでログインした場合
  
  

デバイスの登録

Note

「アカウントグループID」が関連付けられたデバイスは、その「アカウントグループID」に所属するアカウントまたは「manager」（アカウントグループなし）でログインしないと表示されなくなります。誤って別の「アカウントグループID」を登録しないようにご注意ください。

クイックツアー / AMF Securityの同期

• デバイス
  
• 未認証グループ
  
• タグ
  
• スイッチ
  
• セキュリティーポリシー
  
  • ネットワーク
    
  • ロケーション
    
  • スケジュール
    
  • アクション
    
• アカウントグループ
  

Note

「デバイス」/「接続中 デバイス一覧」画面、「スイッチ」/「接続中 OpenFlow スイッチ一覧」画面の内容は、実際に管理中のOpenFlowスイッチからの情報を取得し、表示します。このため、設定によっては、同期中のAMF Securityの設定画面にて、上記の内容が異なって表示される場合があります。

Note

AMF Securityの冗長構成は、AMFアプリケーションプロキシーホワイトリスト機能では未サポートです。

Note

認証済みの端末が別のポートに移動した場合などでOpenFlowのパケット制御フロー（フローエントリー）の更新が行われた際に、フローエントリーが削除されたことを示すログが複数記録される場合がありますが、認証の動作に影響はありません。

Note

データベース同期の設定は、「システム設定」/「システム情報」画面でエクスポート（ダウンロード）したファイルに含まれません。そのため、システム設定のファイルをインポートした後は、再度データベース同期の設定を行ってください。

Note

2つのAMF Securityは、同じNTPサーバーに時刻を同期している必要があります。NTPサーバーの設定は、AT-VST-VRTの設定画面で行います。設定方法は、弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」をご参照ください。
また、2つのAMF Securityのタイムゾーンも、同じ設定である必要があります。

Note

認証データベースの同期開始後にシステム時刻が大きく変更された場合、認証データの変更を行えなくなることがあります。
この場合、各システムの認証データベースの同期を無効にして、システム時刻を正しく合わせた後に再度同期を有効にすることで復旧します。

同期に必要な要件

• 2つのAT-VST-VRTを使用します。セカンダリに使用するAT-VST-VRTでは、AMF Securityアプリケーションの使用のみサポートしています。そのため、AT-VST-VRTの設定画面でAMF Securityアプリケーション以外を停止する必要があります。
  AT-VST-VRTでのアプリケーションの停止方法については、弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」の「クイックツアー」/「アプリケーションの設定と起動」をご参照ください。
  
• 同期に使用する2つのAT-VST-VRTおよびAMF Securityが、互いに疎通可能なIPv4セグメントに接続されている必要があります。
  
• 同期に使用するインターフェースは、OpenFlowスイッチとの接続に使用するインターフェース（コントロールプレーンポート兼管理用ポート）と共用になります。
  
• 2つのAMF Securityは、同じシステム設定を行っている必要があります。システム設定は同期によってコピーされません。
  
• 2つのAT-VST-VRTは、同じNTPサーバーに時刻を同期している必要があります。また、2つのAMF Securityのタイムゾーンも、同じ設定である必要があります。
  

• 管理下のOpenFlowスイッチに対して、OpenFlowコントローラーとして、2つのAMF SecurityのIPアドレスを設定してください。
  一方のAMF SecurityのみをOpenFlowコントローラーとして指定している場合、2つのAMF Security間で、「デバイス」/「接続中 デバイス一覧」画面、「スイッチ」/「接続中 OpenFlow スイッチ一覧」画面の内容が異なって表示される場合があります。
  
• 連携アプリケーションを使用する場合は、SyslogメッセージまたはSNMPトラップの通知先として、2つのAMF SecurityのIPアドレスを設定してください。
  一方のAMF SecurityのみをSyslogメッセージ/SNMPトラップの通知先に指定している場合、障害が発生すると、連携アプリケーションによるアクションの更新が正常に行われなくなることがあります。
  通知先を1つしか設定できない場合は、その通知先のAMF Securityに「システム設定」/「トラップ監視設定」画面の「Syslog 転送先ホスト」「SNMP Trap 転送先ホスト」を設定しておくことで、アクションが更新できないケースを軽減することができます。
  

同期の設定

Note

同期の前に、必要に応じて、それぞれのAMF Securityにて、認証データのダウンロードを行いバックアップを作成しておくことをおすすめします。

1. 2つのAMF Securityが疎通可能な状態にします。
   
2. セカンダリで使用するAMF Securityで、「システム設定」/「ネットワーク設定」画面を表示して、「データベース同期」項目の「有効化」ボタンをクリックします。
   
   
3. 「データベース同期ノード設定」ダイアログが表示されます。
   
   
4. 「自身の IPv4 アドレス」および「同期先 IPv4 アドレス」を入力して、「セカンダリとして有効化」ボタンをクリックします。
   
   
5. 「OK」ボタンをクリックします。
   
   

   Note

   「OK」ボタンをクリック後、手順6のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
   なお、メッセージの表示までに30秒くらい掛かる場合があります。

6. メッセージが表示された後、AMF Securityが再起動しますので、再度AMF Securityにログインします。
   
   
7. ログイン後、「システム設定」/「ネットワーク設定」画面が表示されます。「データベース同期」項目に設定が反映されたことを確認します。
   （この時点では、プライマリの設定をしていないため、同期先の「状態」項目は「ダウン」と表示されています。）
   
   

同期に障害が発生した場合

• プライマリに電源断などの障害が発生してセカンダリのみの状態になった場合、セカンダリのAMF Securityは自動的にプライマリに昇格し、OpenFlowスイッチに対する管理を引き継ぎます。
  
• 2つのAMF Securityが正常に動作したまま同期用のリンク（通信）のみが途絶した場合は、それぞれがプライマリとして（セカンダリはプライマリに昇格して）、OpenFlowスイッチの管理を行います。この際、Web設定画面から設定を変更したり、一方のシステムのみにSyslogメッセージまたはSNMPトラップが通知されたりしない限りは、2つのAMF Securityが同じ情報に基づいてデバイスのフローを決定します。
  
• セカンダリに電源断などの障害が発生した場合は、プライマリのAMF Securityが継続してOpenFlowスイッチに対する管理を行います。
  

障害からの復旧時

Note

交換用のAMF Securityに対して、以前のAMF Securityと同様のシステム設定を設定しておく必要があります。

AMF Securityに機器障害が発生し、新しいAMF Securityに機器を交換した場合

1. プライマリとして動作中のAMF Securityの設定画面で、「システム設定」/「システム情報」画面を表示します。
   
2. 「認証データ」の「エクスポート」ボタンをクリックし、認証データをダウンロードします。
   
3. 「システム設定」/「ネットワーク設定」画面を表示します。
   
4. 「データベース同期」の「無効化」ボタンをクリックします。
   
5. 「OK」ボタンをクリックします。
   

   Note

   「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
   なお、メッセージの表示までに30秒くらい掛かる場合があります。

6. クイックツアー「AMF Securityの同期」/「同期の設定」の手順に従って、2つのAMF Securityに同期の設定を行います。
   

   Note

   同期の際、プライマリとして動作していたAMF Securityの認証データが消去されることがあります。

7. 再同期後、プライマリのAMF Securityの設定画面で、「システム設定」/「システム情報」画面を表示します。
   
8. 「認証データ」の「インポート」ボタンをクリックして、「認証データのアップロード」画面を開きます。
   
9. 「ファイルを選択」ボタンをクリックし、手順2でダウンロードした認証データ（CSV形式）を選択して、「登録」ボタンをクリックします。
   

経路断等や同期用のリンク（通信）のみが途絶後に復旧して、同期の再開が行えなかった場合

• 「システム設定」/「ネットワーク設定」画面の「データベース同期」項目の「自身」と「同期先」の状態
  
  
• 「システム設定」/「システム情報」画面の「認証データ」の状態
  
  

「データベース同期」項目の「自身」が「ダウン」と表示されている場合

1. 「データベース同期」項目の「自身」が「ダウン」と表示されているAMF Securityの「システム設定」/「ネットワーク設定」画面を表示します。
   
2. 「データベース同期」の「再接続」ボタンをクリックします。
   
3. 「データベース同期ノード再接続」ダイアログが表示されます。
   
4. 「セカンダリとして再接続」ボタンをクリックします。
   
5. 「OK」ボタンをクリックします。
   

   Note

   「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
   なお、メッセージの表示までに30秒くらい掛かる場合があります。

6. メッセージが表示された後、AMF Securityが再起動しますので、再度AMF Securityにログインします。
   
7. ログイン後、「システム設定」/「ネットワーク設定」画面が表示されます。「データベース同期」項目の表示が以下のようになっていることを確認します。
   
   
8. もう1つのAMF Securityの「システム設定」/「ネットワーク設定」画面を表示します。
   
9. 「データベース同期」項目の「再接続」ボタンをクリックします。
   
10. 「データベース同期ノード再接続」ダイアログが表示されます。
    
11. 「プライマリとして再接続」ボタンをクリックします。
    
12. 「OK」ボタンをクリックします。
    

    Note

    「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
    なお、メッセージの表示までに30秒くらい掛かる場合があります。

13. メッセージが表示された後、AMF Securityが再起動しますので、再度AMF Securityにログインします。
    
14. ログイン後、「システム設定」/「ネットワーク設定」画面が表示されます。「データベース同期」項目の表示が以下のようになっていることを確認します。
    
    

「認証データ」の状態が「認証データベースの同期待ち状態です。」と表示されている場合

1. 「認証データ」の状態が「認証データベースの同期待ち状態です。」と表示されていないAMF Securityの「システム設定」/「ネットワーク設定」画面を表示します。
   

   Note

   「認証データベースの同期待ち状態です。」と表示されていないAMF Security側の操作になりますのでご注意ください。

2. 「データベース同期」項目の「再接続」ボタンをクリックします。
   
3. 「データベース同期ノード再接続」ダイアログが表示されます。
   
4. 「セカンダリとして再接続」ボタンをクリックします。
   
5. 「OK」ボタンをクリックします。
   

   Note

   「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
   なお、メッセージの表示までに30秒くらい掛かる場合があります。

6. メッセージが表示された後、AMF Securityが再起動しますので、再度AMF Securityにログインします。
   
7. ログイン後、「システム設定」/「ネットワーク設定」画面が表示されます。「データベース同期」項目の表示が以下のようになっていることを確認します。
   
   
8. もう1つのAMF Securityの「システム設定」/「ネットワーク設定」画面を表示します。
   
9. 「データベース同期」項目の「再接続」ボタンをクリックします。
   
10. 「データベース同期ノード再接続」ダイアログが表示されます。
    
11. 「プライマリとして再接続」ボタンをクリックします。
    
12. 「OK」ボタンをクリックします。
    

    Note

    「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
    なお、メッセージの表示までに30秒くらい掛かる場合があります。

13. メッセージが表示された後、AMF Securityが再起動しますので、再度AMF Securityにログインします。
    
14. ログイン後、「システム設定」/「ネットワーク設定」画面が表示されます。「データベース同期」項目の表示が以下のようになっていることを確認します。
    
    
15. 「システム設定」/「システム情報」画面を表示します。
    
16. 「認証データ」の項目にサイズと更新日時が表示されていることを確認します。
    
    

プライマリとセカンダリを入れ替える場合

1. プライマリとして動作中のAMF Securityの設定画面で、「システム設定」/「システム情報」画面を表示します。
   
2. 「認証データ」の「エクスポート」ボタンをクリックし、認証データをダウンロードします。
   
3. セカンダリとして動作中のAMF Securityの設定画面で、「システム設定」/「ネットワーク設定」画面を表示します。
   
4. 「データベース同期」の「無効化」ボタンをクリックします。
   
5. 「OK」ボタンをクリックします。
   

   Note

   「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
   なお、メッセージの表示までに30秒くらい掛かる場合があります。

6. プライマリとして動作中のAMF Securityの設定画面で、「システム設定」/「ネットワーク設定」画面を表示します。
   
7. 「データベース同期」の「無効化」ボタンをクリックします。
   
8. 「OK」ボタンをクリックします。
   

   Note

   「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
   なお、メッセージの表示までに30秒くらい掛かる場合があります。

9. クイックツアー「AMF Securityの同期」/「同期の設定」の手順に従って、2つのAMF Securityに同期の設定を再度行ってください。
   

同期の設定の無効化

1. セカンダリで稼働しているAMF Securityの「システム設定」/「ネットワーク設定」画面で、「データベース同期」の「無効化」ボタンをクリックします。
   
2. 「OK」ボタンをクリックします。
   

   Note

   「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
   なお、メッセージの表示までに30秒くらい掛かる場合があります。

3. プライマリとして稼働しているAMF Securityの「システム設定」/「ネットワーク設定」画面を開き、「データベース同期」項目の同期先が「ダウン」になることを確認します。
   

   Note

   手順2を実施後、30秒～1分くらい掛かる場合があります。

4. プライマリとして稼働しているAMF Securityの「システム設定」/「ネットワーク設定」画面で、「データベース同期」の「無効化」ボタンをクリックします。
   
5. 「OK」ボタンをクリックします。
   

   Note

   「OK」ボタンをクリック後、画面上部に「ネットワーク設定を更新しました。設定を反映させるため、30秒後にログアウトします。」のメッセージが表示されるまで、Web設定画面の操作は行わないでください。
   なお、メッセージの表示までに30秒くらい掛かる場合があります。

AMF Securityの停止・起動の手順

AMF Securityアプリケーションの停止の手順

1. セカンダリで稼働している機器の「AMF Securityアプリケーション管理」画面で、「停止」ボタンをクリックしてAMF Securityアプリケーションを停止します。
   AT-VST-VRTでのアプリケーションの停止方法については、弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」の「クイックツアー」/「アプリケーションの設定と起動」をご参照ください。
   
2. プライマリとして稼働しているAMF Securityの「システム設定」/「ネットワーク設定」画面を開き、「データベース同期」項目の同期先が「ダウン」になることを確認します。
   

   Note

   手順1を実施後、30秒～1分くらい掛かります。

3. 手順1と同じ手順で、プライマリとして稼働している機器で、AMF Securityアプリケーションを停止します。
   

AMF Securityアプリケーションの起動の手順

1. プライマリで稼働していた機器の「AMF Securityアプリケーション管理」画面で、「起動」ボタンをクリックしてAMF Securityアプリケーションを起動します。
   AT-VST-VRTでのアプリケーションの起動方法については、弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」の「クイックツアー」/「アプリケーションの設定と起動」をご参照ください。
   
2. プライマリで稼働していたAMF Securityの「システム設定」/「ネットワーク設定」画面を開き、「データベース同期」項目の自身が「プライマリ」になることを確認します。
   

   Note

   手順1を実施後、30秒～1分くらい掛かります。

3. 手順1と同じ手順で、セカンダリとして稼働していた機器で、AMF Securityアプリケーションを起動します。
   

クイックツアー / AMF Securityのバージョンアップ

Note

バージョンアップを行うとAT-VST-VRTのストレージに以下のようなファイルが生成されることがありますが、バージョンアップやその後の動作には影響ありません。なお、これらのファイルは不要なためバージョンアップ後に削除してください。
・mongod-sesc-x.x.x-ATVSTxxx-x.x.x-x-xxxxxxxxxx-xxxx.tgz
・exception.log

1. 認証データのバックアップを行う
   
2. データベース同期を無効にする
   
3. 本バージョンへバージョンアップを行う
   
4. データベース同期を有効にする
   
5. 認証データをインポートする
   

Note

データベース同期を使用していない場合は、手順2と手順4は不要です

本バージョンへのバージョンアップ

1. 認証データのバックアップを行います。
   AMF Securityの「システム設定」/「システム情報」画面を表示し、認証データの「エクスポート」ボタンをクリックして認証データをダウンロードします（データベース同期を使用している場合はプライマリのAMF Securityで行います）。
   
2. データベース同期を使用している場合は認証データベースの同期を無効にします。
   無効にする手順は、クイックツアー「AMF Securityの同期」/「同期の設定の無効化」をご参照ください。
   データベース同期を使用していない場合は次の手順に進んでください。
   
3. AT-VST-VRTで本バージョンにバージョン更新を行います。
   詳細な手順は、「AT-VST-VRT リファレンスマニュアル」をご参照ください（データベース同期を使用している場合はそれぞれのAT-VST-VRTで行います）。
   
4. データベース同期を使用していた場合は、認証データベースの同期を有効にします。
   有効にする手順は、クイックツアー「AMF Securityの同期」/「同期の設定」をご参照ください。
   データベース同期を使用しない場合は次の手順に進んでください。
   
5. 認証データをインポートします。
   AMF Securityの「システム設定」/「システム情報」画面を表示し、認証データの「インポート」ボタンをクリックして、手順1でダウンロードした認証データをインポートします（データベース同期を使用している場合はプライマリのAMF Securityで行います）。
   

クイックツアー / AMF Securityのバックアップとリストア

ライセンスについてのご注意

• AT-VST-VRT上で本バージョンのAMF Securityアプリケーションを削除し、再度AMF Securityアプリケーションをインストール
  
• 別の仮想マシン上のAT-VST-VRTにAMF Securityアプリケーションをリストア（移行）
  

AMF Securityのバックアップ

• システム設定
  
• 認証データ
  
• AMF Securityログ
  
• アクションログ
  
• リダイレクトURLアクション用サイトのアップロードしたコンテンツ
  

システム設定

• SSL証明書
  「システム設定」/「ネットワーク設定」画面または「AMF」/「AMF アプリケーションプロキシー 設定」画面の「SSL証明書」項目（2つの画面にありますが、同一の項目です）
  
• データベース同期設定
  「システム設定」/「ネットワーク設定」画面の「データベース同期設定」項目
  
• トラップ監視設定のルール
  「システム設定」/「トラップ監視設定」画面の「ルール」項目でアップロードしたルール
  
• ライセンス
  本バージョンでは「システム設定」/「システム情報」画面に表示されるシリアル番号をもとに発行したライセンスが必要です。
  

Note

ライセンスについてのご注意
本バージョンのAMF Securityのリストアを行う場合、以下に該当するケースではライセンスの再発行が必要になりますので、新しくインストールしたAMF Securityの「システム設定」/「システム情報」画面に表示されるシリアル番号を控えて弊社窓口までお問い合わせください。

・AT-VST-VRT上で本バージョンのAMF Securityアプリケーションを削除し、再度AMF Securityアプリケーションをインストール
・別の仮想マシン上のAT-VST-VRTにAMF Securityアプリケーションをリストア（移行）

認証データ

AMF Securityログ

アクションログ

リダイレクトURLアクション用サイトのアップロードしたコンテンツ

AMF Securityのリストア

Note

ライセンスについてのご注意
本バージョンのAMF Securityのリストアを行う場合、以下に該当するケースではライセンスの再発行が必要になりますので、新しくインストールしたAMF Securityの「システム設定」/「システム情報」画面に表示されるシリアル番号を控えて弊社窓口までお問い合わせください。

・AT-VST-VRT上で本バージョンのAMF Securityアプリケーションを削除し、再度AMF Securityアプリケーションをインストール
・別の仮想マシン上のAT-VST-VRTにAMF Securityアプリケーションをリストア（移行）

AMF Securityのリストア手順

• ライセンス
  「システム設定」/「ライセンス」画面で「追加」ボタンをクリックして、ライセンスを登録してください。
  
• SSL証明書（使用時のみ）
  「システム設定」/「ネットワーク設定」画面または「AMF」/「AMF アプリケーションプロキシー 設定」画面の「SSL証明書」項目で設定してください（2つの画面にありますが、同一の項目です）。
  
• トラップ監視設定のルール（使用時のみ）
  「システム設定」/「トラップ監視設定」画面の「ルール」項目でファイルをアップロードしてください。
  

• システム設定
  「システム設定」/「システム情報」画面の「システム設定」項目で「インポート」ボタンをクリックして、取得したシステム設定ファイルをリストアします。
  
• AMF Securityアプリケーションの再起動（停止と起動）
  AT-VST-VRTの設定画面でAMF Securityアプリケーションの再起動（停止と起動）を行ってください。なお、操作方法は弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」をご参照ください。
  
• リダイレクトURLアクション用サイトのコンテンツ（使用時のみ）
  AMFアプリケーションプロキシー機能のリダイレクトURLアクション用サイトのコンテンツをアップロードします。「AMF」/「リダイレクトURL設定」画面の「サイトコンテンツのカスタマイズ」項目で「アップロード」ボタンをクリックして、ファイルをリストアします。
  
• データベース同期設定（使用時のみ）
  「システム設定」/「ネットワーク設定」画面の「データベース同期設定」項目で設定してください。
  
• 認証データ
  「システム設定」/「システム情報」画面の「認証データ」項目で「インポート」ボタンをクリックして、取得した認証データファイルをリストアします。
  なお、データベース同期を使用している場合は、プライマリで動作しているAMF Securityにリストアしてください。
  

リファレンス編 / デバイス

デバイス一覧

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

デバイス追加

Note

複数のタグが指定されている場合は、タグを使用した認証で使用されます。デバイスルックアップのタグ使用時は、1つ目に設定されているタグのみが使用されます。

Note

「グループ」/「タグ一覧」画面のタグを使用した認証で使用するタグは、最大16文字で設定してください。

Note

「削除」ボタンをクリックし、削除マークを付けたインターフェース、セキュリティーポリシーは、「登録」ボタンをクリックした際に削除されます。「登録」ボタンをクリックして削除されたインターフェース、セキュリティーポリシーは復元できませんので、新規に登録し直してください。

インターフェース編集

ポリシー編集

Note

OpenFlowスイッチでタグなしVLAN（VLANなしのサブネット）、AMFメンバーでAMFメンバーに設定されているVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。

Note

ポリシーに「OpenFlow スイッチ」、「スイッチポート」、「フローの有効期限を無限にします。」がすべて設定されているデバイスは、該当のOpenFlowスイッチがAMF Securityと接続した際に自動でOpenFlowスイッチにフローエントリーを登録するようになります。
これにより、そのデバイスが自発的にパケットを送信しない場合でも、認証済みの状態にすることができます。

デバイス更新

Note

複数のタグが指定されている場合は、タグを使用した認証で使用されます。デバイスルックアップのタグ使用時は、1つ目に設定されているタグのみが使用されます。

Note

「グループ」/「タグ一覧」画面のタグを使用した認証で使用するタグは、最大16文字で設定してください。

Note

「削除」ボタンをクリックし、削除マークを付けたインターフェース、セキュリティーポリシーは、「登録」ボタンをクリックした際に削除されます。「登録」ボタンをクリックして削除されたインターフェース、セキュリティーポリシーは復元できませんので、新規に登録し直してください。

インターフェース編集

ポリシー編集

Note

OpenFlowスイッチでタグなしVLAN（VLANなしのサブネット）、AMFメンバーでAMFメンバーに設定されているVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。

Note

ポリシーに「OpenFlow スイッチ」、「スイッチポート」、「フローの有効期限を無限にします。」がすべて設定されているデバイスは、該当のOpenFlowスイッチがAMF Securityと接続した際に自動でOpenFlowスイッチにフローエントリーを登録するようになります。
これにより、そのデバイスが自発的にパケットを送信しない場合でも、認証済みの状態にすることができます。

MAC アドレス一覧

接続中 デバイス一覧

• 例1
  AMFアプリケーションプロキシーホワイトリスト機能で認証された端末に遮断アクションが適用された場合、「デバイス」/「接続中 デバイス一覧」画面には同じデバイスに対して「認証済み」と「遮断中」の両方が表示されます。
  この場合、実際の端末は遮断アクションが適用された状態です。
  
• 例2
  AMFアプリケーションプロキシーホワイトリスト機能で認証されたデバイスのセッションタイムアウトが満了した際、 エッジノードから認証されたデバイスの情報が削除されますが、「デバイス」/「接続中 デバイス一覧」画面には「認証済み」のデバイス情報が表示され続けます。
  この場合、そのデバイスの再認証が発生した際にログの出力およびメールの通知が行われません。
  

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

デバイス追加

デバイスの探索

Note

送信元IPは、検索範囲と同一ネットワークのIPアドレスのうち、探索を行うネットワーク内で使用されていないものを指定してください。
始点アドレス・終点アドレスの指定は、IPアドレス数が4,094以下になるようにしてください。
サブネットマスク長の指定は、20～32ビットマスクの範囲で指定してください。

接続中 デバイス詳細

Note

AMFアプリケーションプロキシー機能（AW+）では、「アクションの実行者」項目および「アクションの原因」項目の表示には、プロキシーノード、エッジノードの双方ともファームウェアバージョンが 5.5.0-0.x 以降である必要があります。

リファレンス編 / グループ

未認証グループ一覧

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

未認証グループ追加

Note

「削除」ボタンをクリックし、削除マークを付けたインターフェース、セキュリティーポリシーは、「登録」ボタンをクリックした際に削除されます。「登録」ボタンをクリックして削除されたインターフェース、セキュリティーポリシーは復元できませんので、新規に登録し直してください。

ポリシー編集

Note

OpenFlowスイッチでタグなしVLAN（VLANなしのサブネット）、AMFメンバーでAMFメンバーに設定されているVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。

Note

TQのAMFアプリケーションプロキシー機能では、ロケーションとスケジュールの項目は未サポートです。

未認証グループ更新

Note

「削除」ボタンをクリックし、削除マークを付けたインターフェース、セキュリティーポリシーは、「登録」ボタンをクリックした際に削除されます。「登録」ボタンをクリックして削除されたインターフェース、セキュリティーポリシーは復元できませんので、新規に登録し直してください。

ポリシー編集

Note

OpenFlowスイッチでタグなしVLAN（VLANなしのサブネット）、AMFメンバーでAMFメンバーに設定されているVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。

Note

TQのAMFアプリケーションプロキシー機能では、ロケーションとスケジュールの項目は未サポートです。

タグ一覧

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

タグ追加

Note

「削除」ボタンをクリックし、削除マークを付けたセキュリティーポリシーは、「登録」ボタンをクリックした際に削除されます。「登録」ボタンをクリックして削除されたセキュリティーポリシーは復元できませんので、新規に登録し直してください。

ポリシー編集

Note

OpenFlowスイッチでタグなしVLAN（VLANなしのサブネット）、AMFメンバーでAMFメンバーに設定されているVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。

Note

TQのAMFアプリケーションプロキシー機能では、ロケーションとスケジュールの項目は未サポートです。

タグ更新

Note

「削除」ボタンをクリックし、削除マークを付けたセキュリティーポリシーは、「登録」ボタンをクリックした際に削除されます。「登録」ボタンをクリックして削除されたセキュリティーポリシーは復元できませんので、新規に登録し直してください。

ポリシー編集

Note

OpenFlowスイッチでタグなしVLAN（VLANなしのサブネット）、AMFメンバーでAMFメンバーに設定されているVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。

Note

TQのAMFアプリケーションプロキシー機能では、ロケーションとスケジュールの項目は未サポートです。

リファレンス編 / スイッチ

OpenFlow スイッチ一覧

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

OpenFlow スイッチ追加

Note

AMF Securityでは未登録のOpenFlowスイッチも管理対象になりますが、個別にアップストリームポートを設定する場合や、ロケーション認証を使用する場合は登録が必要となります。

Note

本設定を行うと、AMF Securityは該当するOpenFlowスイッチに設定されているパケット制御フローを初期化します。
また、該当するOpenFlowスイッチとの接続がいったん切断されます。

Note

AMF SecurityとOpenFlowスイッチとでデータパスIDが一致していない場合は、OpenFlowポートでのパケット転送が停止します。

Note

AMF SecurityからOpenFlowスイッチのデータパスIDを変更することはできません。

Note

OpenFlowスイッチとして、AlliedWare PlusスイッチとAT-TQシリーズ無線アクセスポイントが混在している環境では、「システム設定」/「OpenFlow設定」画面の「既定アップストリーム ポート」を使用せず、個別にアップストリームポートを設定してください。

OpenFlow スイッチ更新

Note

OpenFlowスイッチ設定の更新を行うと、AMF Securityは該当するOpenFlowスイッチに設定されているパケット制御フローを初期化します。
また、該当するOpenFlowスイッチとの接続がいったん切断されます。

Note

AMF SecurityとOpenFlowスイッチとでデータパスIDが一致していない場合は、OpenFlowポートでのパケット転送が停止します。

Note

OpenFlowスイッチとして、AlliedWare PlusスイッチとAT-TQシリーズ無線アクセスポイントが混在している環境では、「システム設定」/「OpenFlow設定」画面の「既定アップストリーム ポート」を使用せず、個別にアップストリームポートを設定してください。

接続中 OpenFlow スイッチ一覧

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

接続中 OpenFlow スイッチ詳細

Note

ポートのリンクステータスは、AlliedWare Plusスイッチでは「up/down」が表示されます。AT-TQシリーズ無線LANアクセスポイントでは常に「Up」が表示されます。

OpenFlow スイッチフロー一覧

AMF メンバー 一覧

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

AMF メンバー 追加

Note

AMFメンバーの登録を行うと、AMF Securityは該当するAMFメンバーのすべての認証情報を削除します。

Note

AMFメンバーの管理はAMFメンバーのホスト名で行うため、名称はAMFメンバーのホスト名と同一にしてください。

Note

AMFメンバーの名称は重複して登録できないため、AMFメンバーのホスト名も重複しないようにしてください。

AMF メンバー 更新

Note

AMFメンバーの更新を行うと、AMF Securityは該当するAMFメンバーのすべての認証情報を削除します。

Note

AMFメンバーの管理はAMFメンバーのホスト名で行うため、名称はAMFメンバーのホスト名と同一にしてください。

接続中 AMF メンバー 一覧

Note

AMFメンバーのIPv4アドレスは、AMFメンバーに「application-proxy whitelist advertised-address」が設定されていない場合には、AMFのマネージメントVLANのIPアドレスが表示されます。AMFメンバーに「application-proxy whitelist advertised-address」が設定されている場合は、指定したインターフェースのプライマリーIPv4アドレスが表示されますが、該当のAMFメンバー配下の端末の通信可否の問い合わせを受けていない場合には、AMFのマネージメントVLANのIPアドレスが表示されます。

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

リファレンス編 / ポリシー設定

セキュリティーポリシーについて

• ネットワーク
  デバイスを接続できるVLANセグメント。
  MACアドレスを登録されたデバイスがOpenFlowスイッチ、AMFメンバー（エッジノード）、AMFアプリケーションプロキシーのTQに接続された場合は、ネットワークに設定されたVLANサブネットに接続されます。
  デバイスにネットワークが登録されていない場合は、OpenFlowスイッチではタグなしVLAN（VLANなしのサブネット）、エッジノードの場合はエッジノードに設定されているVLANに接続されます。
  VLANサブネットへの接続は、設定されたVLAN IDを持つタグVLANとして送信することにより実現します。
  

  Note

  タグなしVLANにアクセス可能な場合、スイッチの設定によっては、デバイスからコントロールプレーン上の機器に対して接続できてしまうことがあります。

  Note

  MACアドレスを登録されたデバイスがAMFアプリケーションプロキシーのTQに接続された場合は、TQの設定に依存します。詳細は、クイックツアー「AMF Securityについて」/「TQのAMFアプリケーションプロキシー機能」の「TQのダイナミック VLAN使用時の動作」をご参照ください。

• ロケーション
  デバイスを接続できる物理的な場所、空間。
  デバイスにロケーションを設定した場合は、そのロケーションに登録されたOpenFlowスイッチ、もしくはエッジノードからのみ接続が可能となります。
  ロケーションが選択されていない場合は、すべてのスイッチからアクセスが可能です。
  
• スケジュール
  デバイスを接続できる期間（開始・終了日時）。
  デバイスにスケジュールを設定した場合は、そのスケジュールに登録された期間のみ接続が可能となります。スケジュールが選択されていない場合はいつでもアクセスが可能です。
  スケジュールに終了日時を設定されたデバイスを隔離した際、隔離ネットワークに対するフロー有効時間がスケジュールの終了日時設定よりも優先されるため、終了日時を過ぎても隔離VLANを用いて通信ができてしまいます。このフローの有効時間は、「システム設定」/「OpenFlow設定」画面の「既定フロー有効時間」の値が適用されます。
  

スケジュールの開始日時・終了日時について

• 「ポリシー設定」でスケジュールの追加・更新
  
• 「システム設定」/「システム情報」画面で、認証データのエクスポート・インポート
  
• AMF Securityの連携アプリケーション（API）による認証データの登録
  

Note

「システム設定」/「システム情報」画面でエクスポートするシステム設定には、タイムゾーンの設定が含まれます。AMF Securityのタイムゾーンの初期設定は「UTC」のため、AMF Securityの初期化や新規インストール後などに、バックアップしていたシステム設定と認証データをインポートする場合には、「システム設定」のインポート → AMF Securityアプリケーションの再起動（停止→起動） → 「認証データ」のインポートの順で行ってください。
AMF Securityアプリケーションの操作については、弊社ホームページに掲載されている「AT-VST-VRT リファレンスマニュアル」をご参照ください。

ネットワーク一覧

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

ネットワーク追加

ネットワーク更新

ロケーション一覧

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

ロケーション追加

OpenFlowスイッチ / AMFメンバー

ロケーション更新

OpenFlowスイッチ / AMFメンバー

スケジュール一覧

Note

スケジュールで設定する開始日時・終了日時は、「システム設定」/「時刻設定」画面で現在設定されているタイムゾーンの日時です。
詳しくは、「ポリシー設定」/「スケジュールの開始日時・終了日時について」をご参照ください。

Note

CSVファイルについては、付録「CSVファイル」をご参照ください。

スケジュール追加

• 日付
  
  
• 時間
  
  

  Note

  曜日指定はできません。

スケジュール更新

• 日付
  
  
• 時間
  
  

アクション一覧

Note

AMFアプリケーションプロキシー機能で、AMF SecurityがAMFマスターに送信した被疑デバイスの遮断を解除（被疑デバイスの情報を削除）する場合には、本画面で該当のアクションを削除します。AMFアプリケーションプロキシー機能については、クイックツアー「AMF Securityについて」/「AMFアプリケーションプロキシー機能とは」をご参照ください。