[index] AMF Security（AT-VST-APL版）リファレンスマニュアル 2.6.1

クイックツアー / AMF Securityによる認証の流れ

OpenFlowの認証

1. OpenFlowスイッチが、端末からパケットを受信する
   
2. OpenFlowスイッチは、端末のパケットの送信元MACアドレスに対してのフローエントリーが登録されているか確認する。該当するフローエントリーが存在する場合、OpenFlowスイッチはフローエントリーに従ってパケットを送信する
   
3. 該当するフローエントリーがない場合、OpenFlowスイッチはAMF Securityに問い合わせを行うパケットを送信する
   

• デバイス認証データ
  MACアドレスが関連付けられたデバイス ID（デバイス）のセキュリティーポリシー（ポリシー）に基づき、接続先のネットワーク（VLAN）を決定します。
  
• タグ認証データ
  MACアドレスが関連付けられたデバイスのポリシーではなく、タグに設定されたポリシーに基づき、接続先のVLANを決定します。
  
• 未認証グループ
  デバイス認証データに登録のないMACアドレスに対し、未認証グループに設定されたポリシーに基づき、接続先のVLANを決定します。
  
• アクション
  端末のMACアドレス、IPv4アドレス、デバイス、デバイスタグ、ロケーション、OpenFlowスイッチ、接続中ネットワークの条件に一致する端末に対し個別に破棄、隔離、または接続先VLANを指定します。連携アプリケーションによる端末の隔離・遮断処理と同様のアクションを手動で作成できます。
  

• MACアドレス「00:00:00:00:00:01」は「アクション ID：Drop」と「デバイス ID : Device_A」のデバイス認証データの両方に登録されていますが、端末の認証処理が最初に行われるアクションの条件に合致して破棄(遮断)が適用されるとデバイス認証データ以降の認証処理は行われません。
  
• MACアドレス「00:00:00:00:00:02」は「デバイス ID : Device_B」のデバイス認証データに合致するため、VLAN101に接続されます。
  
• AMF Securityに登録されていないMACアドレス「00:00:00:00:00:03」の場合は、登録されているデバイス認証データに合致しないため、未認証グループのVLAN200に接続されます。なお、未認証グループのポリシーにはロケーション、スケジュールが設定されていないため、AMF Securityに登録されていない端末（MACアドレス）はすべてVLAN200に接続されます。
  

AW+のAMFアプリケーションプロキシーの認証

• AMFアプリケーションプロキシーホワイトリスト機能
  
• AMFアプリケーションプロキシーブラックリスト機能
  

1. AMFメンバー（エッジノード）が端末からパケットを受信する
   
2. AMFメンバー（エッジノード）は、端末のパケットの送信元MACアドレスに対して認証が行われているかどうか確認する。認証が成功している端末の場合、AMFメンバー（エッジノード）は該当するVLANに従ってパケットを送信する
   
3. 端末の認証が行われていない場合、AMFメンバー（エッジノード）はAMFマスター（プロキシーノード）に問い合わせを行うパケットを送信する
   
4. AMFマスター（プロキシーノード）はAMFメンバー（エッジノード）から受信した問い合わせのパケットをAMF Securityに送信する
   

• デバイス認証データ
  MACアドレスが関連付けられたデバイス ID（デバイス）のセキュリティーポリシー（ポリシー）に基づき、接続先のネットワーク（VLAN）を決定します。
  

  Note

  各ポリシーに設定するOpenFlow スイッチ、スイッチポート、「フローの有効期限を無限にします。」の項目は未サポートです。

• タグ認証データ
  MACアドレスが関連付けられたデバイスのポリシーではなく、タグに設定されたポリシーに基づき、接続先のVLANを決定します。
  
• 未認証グループ
  デバイス認証データに登録のないMACアドレスに対し、未認証グループに設定されたポリシーに基づき、接続先のVLANを決定します。
  

• MACアドレス「00:00:00:00:00:01」は「デバイス ID : Device_A」のデバイス認証データに合致するため、VLAN100に接続されます。
  
• AMF Securityに登録されていないMACアドレス「00:00:00:00:00:02」の場合は、登録されているデバイス認証データに合致しないため、未認証グループのVLAN200に接続されます。なお、未認証グループのポリシーにはロケーション、スケジュールが設定されていないため、AMF Securityに登録されていない端末（MACアドレス）はすべてVLAN200に接続されます。
  

TQのAMFアプリケーションプロキシーの認証

Note

無線端末が「AMF Securityによる認証で成功→VAP設定のセキュリティーの認証で失敗」の場合、AMF Securityの「デバイス」/「接続中 デバイス一覧」画面の無線端末の表示は「認証済み」になります。そのため実際の無線端末の状態とAMF Security上の表示は一致しません。

1. TQの無線に無線端末が接続する
   
2. TQは、無線端末の送信元MACアドレスに対しての認証状態を確認する。無線端末がAMF SecurityおよびVAP設定のセキュリティーで認証が成功している場合、TQはその無線端末のVLANに従ってパケットを送信する
   
3. 無線端末が認証済みではない場合、TQはAMF Securityに問い合わせを行うパケットを送信する
   
4. AMF Securityで認証に成功すると、VAP設定のセキュリティーで設定されている認証が行われる
   

   Note

   TQのVAP設定のセキュリティーがWPA エンタープライズの場合、ダイナミック VLANの無効・有効によって無線端末のVLANが異なります。詳細は、クイックツアー「AMF Securityについて」/「TQとTQRのAMFアプリケーションプロキシー機能」の「TQのダイナミック VLAN使用時の動作」をご参照ください。

• デバイス認証データ
  MACアドレスが関連付けられたデバイス ID（デバイス）のセキュリティーポリシー（ポリシー）に基づき、接続先のネットワーク（VLAN）を決定します。
  
• タグ認証データ
  MACアドレスが関連付けられたデバイスのポリシーではなく、タグに設定されたポリシーに基づき、接続先のVLANを決定します。
  
• 未認証グループ
  デバイス認証データに登録のないMACアドレスに対し、未認証グループに設定されたポリシーに基づき、接続先のVLANを決定します。
  

  Note

  各ポリシーに設定するロケーション、スケジュール、OpenFlow スイッチ、スイッチポート、「フローの有効期限を無限にします。」の項目は未サポートです。

• アクション
  無線端末のMACアドレス、IPv4アドレス、デバイス、デバイスタグ、接続中ネットワークの条件に一致する無線端末に対し個別に破棄、隔離、または接続先VLANを指定します。連携アプリケーションによるデバイスの隔離・遮断処理と同様のアクションを手動で作成できます。
  

• MACアドレス「00:00:00:00:00:01」は「アクション ID：Drop」と「デバイス ID : Device_A」のデバイス認証データの両方に登録されていますが、無線端末の認証処理が最初に行われるアクションの条件に合致して破棄(遮断)が適用されるとデバイス認証データ以降の認証処理は行われません。
  
• MACアドレス「00:00:00:00:00:02」は「デバイス ID : Device_B」のデバイス認証データに合致するため、VLAN101に接続されます。
  
• AMF Securityに登録されていないMACアドレス「00:00:00:00:00:03」の場合は、登録されているデバイス認証データに合致しないため、未認証グループのVLAN200に接続されます。