各種操作 / その他の設定 / インテリジェント・エッジ・セキュリティー


事前設定
認証サーバー
クライアント
AVM EX
エンドポイント一覧の見かた
エンドポイントの通信許可・拒否


インテリジェント・エッジ・セキュリティー(IES)では、AMF Plusデバイスがサポートするポート認証の1つである、MACベース認証を使用してエンドポイントの通信の可否を一元的に管理できます。
MACアドレスの登録のあるエンドポイントと認識された場合に一時的に通信を拒否したり、AMF Plusデバイスディスカバリーによって検出されたMACアドレスが未登録のデバイスの通信許可・拒否をサーバーに登録することができます。
また、AMF Plusデバイス側にて802.1Xポート認証関連のsyslogメッセージをAVM EXに出力する設定を行うことで、AVM EXからエンドポイントの通信許可・拒否のログを観察することができます。
 

 
■ 用語解説
本ページでは、これらの用語を用いて説明します。
表 1:用語解説
本ページでの名称 ポート認証での役割 RADIUSでの役割 説明
認証サーバー 認証サーバー RADIUSサーバー エンドポイントのMACアドレスをデータベースで管理し、通信の可否の判断を行うサーバーです。本機能では、認証サーバーとしてローカルRADIUSサーバー機能を使用します。
クライアント Authenticator RADIUSクライアント(NAS) エンドポイントを接続するエッジポートを持つAMF Plusスイッチまたはルーターです。
RADIUSサーバーに対してユーザーやデバイスの認証情報を照会する機器を指します。RADIUSでは、クライアントまたはNAS(ネットワークアクセスサーバー)と呼びます。
これは一般にネットワーク接続ストレージ(NAS)と呼ばれる機器とは異なり、ネットワーク接続ストレージのほか、無線APやスイッチなど、様々なデバイスを含みます。
IESでは、AMF Plusスイッチ/ルーターがクライアントとして認証の要求を行います。
エンドポイント Supplicant RADIUSユーザー 通信を行うデバイスです。
 

事前設定

IES機能によるエンドポイント管理の一元化を行うためには、認証サーバー、クライアントに対して事前の設定が必要となります。
次に登場する設定例はIES機能を利用するうえで必要なごく基本的なものを例示します。お使いの環境に応じて必要な設定を行ってください。
 
ここでは、それぞれのデバイスのIPアドレスを次のように仮定します。
表 2:IESデバイスのIPアドレス
デバイス 設定例におけるIPアドレス
認証サーバー 10.0.0.1
クライアント 10.0.0.2
AVM EX 10.0.0.254
なお、前提として、認証サーバー、クライアントとして使用するAMF Plusデバイスには、AlliedWare Plus バージョン5.5.4以降が適用されており、かつ、適切にAMF Plusネットワークに所属している必要があります。

認証サーバー

クライアント

複数のAMF Plusスイッチをクライアントとして設定する場合は、それぞれに設定します。
 

AVM EX

認証サーバー、クライアント、AVM EXのそれぞれが正しく設定されると、「資産管理」の「エンドポイント」タブに、接続されたエンドポイントが一覧表示されます。

エンドポイント一覧の見かた

次に、エンドポイントの一覧を例示します。
エンドポイント一覧は1分間隔で更新されます。いずれかのエンドポイントのチェックボックスにチェックをつけているときは更新は停止します。
 

 
検出されたデバイスの状態や認証に成功したか否かは、次の列の表示によって切り分けられます。
つまり、上図の各行は、それぞれ次の状態を表します。
表 3:エンドポイント一覧 各行の状態
MACアドレス RADIUSユーザー名 状態 認証 表される状態
1行目 (MACアドレス) (MACアドレス) 許可 認証済み ポートに接続中で、許可ユーザーとしてMACアドレスが登録されており、認証に成功した、通信可能なエンドポイント。
2行目 (MACアドレス) (MACアドレス) 拒否 ポートに接続中で、拒否ユーザーとしてMACアドレスが登録されており、認証に失敗した、通信不能なエンドポイント。
3行目 (MACアドレス) - 未決定 認証済み ポートに接続中で、許可ユーザーとしてMACアドレスが登録されておらず、ポート認証のプロミスキャスモードによって認証に成功した、通信可能なエンドポイント。
4行目 (MACアドレス) - 未決定   ポートに接続中で、許可ユーザーとしてMACアドレスが登録されておらず、認証されていない、通信不能なエンドポイント。
5行目 - (MACアドレス) 許可   許可ユーザーとしてMACアドレスが登録されているが、ポートへの接続は未確認のデバイス。
未接続の登録済みエンドポイントである場合の他、ポート認証以外の無線APのMACアドレス認証などで使用するRADIUSユーザーの可能性がありますが、この一覧では接続中か否かは不明です。
プラグインなどによって検出されている場合は、「IPアドレス」列などに情報が表示されることもあります。
6行目 - (MACアドレス) 拒否   拒否ユーザーとしてMACアドレスが登録されているが、ポートへの接続は未確認のデバイス。
未接続の登録済みエンドポイントである場合の他、ポート認証以外の無線APのMACアドレス認証などで使用するRADIUSユーザーの可能性があります。

エンドポイントの通信許可・拒否

一覧に表示されているエンドポイントおよびRADIUSユーザーは、アクション列からその通信を許可、または拒否することができます。
 
Note
アクションを実行すると、RADIUSサーバーグループに所属するAMFデバイスにRADIUSユーザーが登録されます。この情報はランニングコンフィグ(動作時コンフィグ)に記録されます。作業後はこれらのデバイスに対し、CLIまたは「資産管理」画面のデバイス一覧にて、ランニングコンフィグをスタートアップコンフィグに保存する必要があります。
Note
デバイスの拒否/許可の実行結果はエンドポイント一覧には直ちに反映されません。認証サーバー上のデータベースが更新されたあとで、手動でWebブラウザーを更新した際、または、一覧の自動更新の際に反映されます。