運用・管理 / RADIUSサーバー

仕様

ローカルRADIUSサーバー

ローカルCA

基本設定

各種情報の確認

電子証明書の配布（ローカルCA機能）

ルートCA証明書の配布

電子証明書の書き出しと取り込み（ローカルCAの移行）

ローカルRADIUSサーバーの利用

本製品は、OpenVPNクライアント認証用のRADIUSサーバー機能（ローカルRADIUSサーバー）を内蔵しています。ローカルRADIUSサーバーを利用すれば、別途RADIUSサーバーを用意することなく、本製品だけでOpenVPNサーバーを構築できます。

ここではOpenVPN機能そのものについては触れません。「VPN」の「OpenVPN」をご覧ください。

仕様

ローカルRADIUSサーバーとローカルCAの基本的な仕様を以下に示します。

ローカルRADIUSサーバー

認証方式
ローカルRADIUSサーバーでは、以下の認証方式をサポートしています。
- EAP-TLS: OpenVPNクライアントの認証に使います。
アカウンティング機能はなし
ローカルRADIUSサーバーは認証機能だけを提供します（デフォルトのUDPポートは1812）。ログイン、ログオフなどの利用状況を記録するアカウンティング機能はサポートしていません。
ユーザー登録
ユーザーは5000件まで登録できます。各ユーザーに対しては、ユーザー名、パスワードに加え、OpenVPNで使用する各種属性を設定することができます（各種属性は「ユーザーグループ」単位で設定する）。
RADIUSクライアント（NAS）登録
ローカルRADIUSサーバーにアクセスできるのは、登録したIPアドレスを持ったRADIUSクライアント（NAS = Network Access Server）だけです。また、アクセス時には共有パスワードによる認証も行われます。NASは1000件まで登録できます。

ローカルCA

EAP-TLSの認証には認証局（CA）が発行する電子証明書が必要ですが、ローカルRADIUS機能には独自の証明書を発行するローカルCA機能が付属しているため、別途認証局（CA）を用意する必要がありません。ローカルCAおよびローカルRADIUSサーバーの証明書は自動的に発行されるため、必要な作業はCA証明書を配布してクライアントにインストールすることだけです。

自動設定
初めてローカルRADIUSサーバーの設定を行うとき、ローカルCAの初期設定も自動的に行われます。このとき、CAとしての動作に必要なファイルやディレクトリー構造をフラッシュメモリー上に自動作成し、自署のルートCA証明書を発行します。
ルートCAとして証明書を発行
ローカルCAでは、以下の証明書を発行できます。
- ローカルRADIUSサーバーの証明書（サーバー証明書）
- ローカルRADIUSサーバーに登録したユーザーの証明書（ユーザー証明書またはクライアント証明書）
発行済み証明書の失効機能はサポートしない

Note
本製品はローカルCAの証明書データベースのバックアップが取れないので、装置入れ替えなどが発生するとCA局の再構築が必要になり、ルートCA証明書やユーザー証明書を再発行する必要があります。本製品のローカルRADIUSサーバー機能を用いたEAP-TLSまたはEAP-PEAP構成でネットワーク運用する場合はご注意ください。

Note
no crypto pki enroll local user <user-name>で削除したユーザーはフラッシュメモリー上からは消えますが、データベース上に情報が残るため、削除した証明書でPCクライアントから認証ができてしまいます。それを回避するためには、no crypto pki trustpointでローカルCAを一度削除してから、再度ユーザーの証明書を作成してください。

Note
ローカルCAを再構築した場合は、機器の再起動が必要です。新しいルート証明書は再起動後から有効になります。

基本設定

ローカルRADIUSサーバーの設定を開始するには、radius-server localコマンドを実行します。

awplus(config)# radius-server local ↓
Created trustpoint "local".
Generating 2048-bit key for local CA...
Automatically authenticated trustpoint "local".
Automatically enrolled the local server to trustpoint "local".
awplus(config-radsrv)#

radius-server localコマンドの初回実行時には、ローカルCA（ローカルなルート認証局）の初期設定（自署ルートCA証明書の発行など）やRADIUSサーバーの証明書発行などが自動的に行われ、またローカルホスト（127.0.0.1）をRADIUSクライアント（NAS）として自動登録します。具体的には、下記のコマンドが自動的に実行されます。

!
! 以下はradius-server localの初回実行時に自動実行される内容です。
!
awplus(config)# crypto pki trustpoint local ↓
awplus(config)# end ↓
awplus# crypto pki enroll local ↓
awplus# configure terminal ↓
awplus(config)# radius-server local ↓
awplus(config-radsrv)# nas 127.0.0.1 key awplus-local-radius-server ↓

ユーザーを登録します。

OpenVPNクライアントにIPアドレスを割り当てる場合は、ユーザーごとに各種属性値を設定する必要があります。これはユーザーグループを使用して次のようにします。

groupコマンド（RADIUSサーバーモード）を使って、ユーザーグループを作成します。
IPアドレスはクライアントごとに異なるため、通常はユーザーの数だけユーザーグループを作成することになります。

ここでは「userA」、「userB」、「userC」の各ユーザーに対応する同名のユーザーグループを作成し、attributeコマンドで必要な属性値を指定しています。各属性値については、attributeコマンドのページをご参照ください。

awplus(config-radsrv)# group userA ↓
awplus(config-radsrv-group)# attribute Framed-IP-Address 192.168.20.101 ↓
awplus(config-radsrv-group)# attribute Framed-IP-Netmask 255.255.255.0 ↓
awplus(config-radsrv-group)# attribute Framed-Route "192.168.10.0/24 192.168.20.1" ↓
awplus(config-radsrv-group)# attribute Framed-Route "192.168.30.0/24 192.168.20.1" ↓
awplus(config-radsrv-group)# exit ↓
awplus(config-radsrv)# group userB ↓
awplus(config-radsrv-group)# attribute Framed-IP-Address 192.168.20.102 ↓
awplus(config-radsrv-group)# attribute Framed-IP-Netmask 255.255.255.0 ↓
awplus(config-radsrv-group)# attribute Framed-Route "192.168.10.0/24 192.168.20.1" ↓
awplus(config-radsrv-group)# attribute Framed-Route "192.168.30.0/24 192.168.20.1" ↓
awplus(config-radsrv-group)# exit ↓
awplus(config-radsrv)# group userC ↓
awplus(config-radsrv-group)# attribute Framed-IP-Address 192.168.20.103 ↓
awplus(config-radsrv-group)# attribute Framed-IP-Netmask 255.255.255.0 ↓
awplus(config-radsrv-group)# attribute Framed-Route "192.168.10.0/24 192.168.20.1" ↓
awplus(config-radsrv-group)# attribute Framed-Route "192.168.30.0/24 192.168.20.1" ↓
awplus(config-radsrv-group)# exit ↓

Note
Framed-Route属性は複数設定することができます。

userコマンドでユーザー「userA」、「userB」、「userC」を作成します。
そのとき、groupパラメーターで属性を割り当てるためのユーザーグループ名も指定します。
```
awplus(config-radsrv)# user userA password passwdA group userA ↓
awplus(config-radsrv)# user userB password passwdB group userB ↓
awplus(config-radsrv)# user userC password passwdC group userC ↓
```

他の機器にも本製品のRADIUSサーバーを利用させたいときは、それらの機器をRADIUSクライアント（NAS）として登録する必要があります。該当機器のIPアドレス（RADIUSパケットの始点IPアドレス）と、アクセス時の共有パスワードをnasコマンドで設定してください。ここでは、172.16.10.2と172.16.10.3を持つ機器をRADIUSクライアントとして登録しています。
```
awplus(config-radsrv)# nas 172.16.10.2 key naspas2 ↓
awplus(config-radsrv)# nas 172.16.10.3 key naspas3 ↓
```
各種登録が終わったら、server enableコマンドでRADIUSサーバーを有効にします。
```
awplus(config-radsrv)# server enable ↓
```

基本設定は以上です。

■ ローカルRADIUSサーバーの初期状態では、UDPポート1812番で認証サービスを提供します。認証用のポートを変更するには、server auth-portコマンドを使います。

awplus(config-radsrv)# server auth-port 11812 ↓

各種情報の確認

■ ローカルRADIUSサーバーの状態と統計情報を確認するには、show radius local-server statisticsコマンドを使います。

awplus# show radius local-server statistics ↓

■ ローカルRADIUSサーバーに登録してあるユーザーの情報は、show radius local-server userコマンドで確認します。

awplus# show radius local-server user ↓

■ ローカルRADIUSサーバーに登録してあるユーザーグループの情報は、show radius local-server groupコマンドで確認します。

awplus# show radius local-server group ↓

■ ローカルRADIUSサーバーに登録してあるRADIUSクライアント（NAS）の情報は、show radius local-server nasコマンドで確認します。

awplus# show radius local-server nas ↓

電子証明書の配布（ローカルCA機能）

ローカルRADIUSサーバーに内蔵されているローカルCA機能の操作について説明します。

ルートCA証明書の配布

OpenVPNクライアントには、ローカルCAの電子証明書（ルートCA証明書）をインストールする必要があります（OpenVPNサーバーの電子証明書を検証するため）。

■ ローカルCAの電子証明書をユーザーに配布するには、次のようにします。

crypto pki export pemコマンドを実行して、ローカルCAの証明書をPEM形式のファイルに書き出します。書き出し先のファイル名は任意ですが、拡張子を.cerか.crtにしておくとSupplicantへの取り込み時に便利です。
```
awplus# crypto pki export local pem flash:/localca.cer ↓
```
書き出したPEM形式ファイル（ここではflash:/localca.cer）をユーザーに渡し、OpenVPNクライアントにインストールしてもらってください。

Note
バージョン5.4.6-1.1以降のファームウェアでCA証明書を作成し使用している場合、それより前のバージョンにダウングレードする時は証明書をクライアントに再配布する必要があります。

電子証明書の書き出しと取り込み（ローカルCAの移行）

OpenVPNサーバーとして使用している既存のルーターを新ルーターに置き換えたい場合、既存ルーターからローカルCAの電子証明書（ルートCA証明書）と秘密鍵をファイルに書き出し、新ルーターに取り込むことでローカルCAの移行ができます。
これによって、新ルーターにて証明書の再発行、再配布をする必要がなくなります。

ローカルCAの移行は次の手順で行います。

（既存ルーター）
ローカルCAの証明書と秘密鍵をPKCS#12形式のファイルに書き出します。
これには、crypto pki export pkcs12コマンドを使います。
書き出し時には秘密鍵を保護するためのパスフレーズを設定しますが、このパスフレーズは取り込み時に入力する必要があるため、忘れないようにしてください。

ここでは、書き出したPKCS#12形式ファイルを、TFTPサーバー「172.16.10.70」にファイル名「cakeycert.p12」で保存（アップロード）しています。
```
awplus# crypto pki export local pkcs12 ca tftp://172.16.10.70/cakeycert.p12 ↓
Enter an export passphrase, or "abort" to cancel.
XXXXXXXX ↓（実際には表示されません）
Enter the export passphrase again.
XXXXXXXX ↓（実際には表示されません）
Copying...
Successful operation
```

（新ルーター）
ローカルRADIUSサーバー機能を有効にします。
これには、radius-server localコマンドを使います。
自動でローカルRADIUSサーバー証明書が発行されるため、これをshow crypto pki certificatesコマンドで確認します。

awplus(config)# radius-server local ↓
Created trustpoint "local".
Generating 2048-bit key for local CA...
Automatically authenticated trustpoint "local".
Generating 2048-bit key for server...
Automatically enrolled the local server to trustpoint "local".
awplus(config-radsrv)# end ↓

awplus# show crypto pki certificates ↓

--------------------
Trustpoint "local" Certificate Chain
--------------------
Server certificate
   Subject     : /O=Allied-Telesis/CN=AlliedwarePlusSystem
   Issuer      : /O=Allied Telesis, Inc./CN=AlliedWarePlusCAA05236G153100015
   Valid From  : Apr  5 08:12:59 2017 GMT
   Valid To    : Apr  4 08:12:59 2022 GMT
   Fingerprint : 2539C03E 3B9D4967 982497C3 D1CA33ED 06AB2FF1

Self-signed root certificate
   Subject     : /O=Allied Telesis, Inc./CN=AlliedWarePlusCAA05236G153100015
   Issuer      : /O=Allied Telesis, Inc./CN=AlliedWarePlusCAA05236G153100015
   Valid From  : Apr  5 08:12:57 2017 GMT
   Valid To    : Apr  3 08:12:57 2027 GMT
   Fingerprint : 00AB18A5 D2C7FFE5 1736DC95 615193C8 A7BBAFBF

（新ルーター）
手順1で書き出した既存ルーターのローカルCA証明書を取り込むため、手順2で確認した証明書を削除します。
これには、no crypto pki certificateコマンドを使用します。
同コマンドでは削除対象の証明書を指定するのに、show crypto pki certificatesコマンドで表示される Fingerprint 文字列で指定します。
証明書の削除は、サーバー証明書、ローカルCA証明書の順に実行する必要があります。

awplus# no crypto pki certificate local 2539C03E 3B9D4967 982497C3 D1CA33ED 06AB2FF1 ↓
Subject     : /O=Allied-Telesis/CN=AlliedwarePlusSystem
Issuer      : /O=Allied Telesis, Inc./CN=AlliedWarePlusCAA05236G153100015
Valid From  : Apr  5 08:12:59 2017 GMT
Valid To    : Apr  4 08:12:59 2022 GMT
Fingerprint : 2539C03E 3B9D4967 982497C3 D1CA33ED 06AB2FF1
Deleted the certificate.

awplus# no crypto pki certificate local 00AB18A5 D2C7FFE5 1736DC95 615193C8 A7BBAFBF ↓
Subject     : /O=Allied Telesis, Inc./CN=AlliedWarePlusCAA05236G153100015
Issuer      : /O=Allied Telesis, Inc./CN=AlliedWarePlusCAA05236G153100015
Valid From  : Apr  5 08:12:57 2017 GMT
Valid To    : Apr  3 08:12:57 2027 GMT
Fingerprint : 00AB18A5 D2C7FFE5 1736DC95 615193C8 A7BBAFBF
Deleted the certificate.
Deleted the trustpoint key.

（新ルーター）
手順1でTFTPサーバーにアップロードしたローカルCA証明書のPKCS#12形式ファイルを取り込みます。
これには、crypto pki import pkcs12コマンドを使います。
取り込む際、手順1で設定したパスフレーズを入力してください。
```
awplus# crypto pki import local pkcs12 ca tftp://172.16.10.70/cakeycert.p12 ↓
Copying...
Successful operation
Enter the import passphrase.
XXXXXXXX ↓（実際には表示されません）
The certificate has been validated successfully.
Successfully imported the trustpoint.
```

以上で新ルーターへのローカルCA証明書の取り込みが完了しました。
この後、既存ルーターで使用していたOpenVPNサーバーの設定を新ルーターに追加してください。
詳しくは「VPN」の「OpenVPN」をご覧ください。

ローカルRADIUSサーバーの利用

■ 自機のローカルRADIUSサーバーを使用するには、RADIUSクライアントの設定において、IPアドレス「127.0.0.1」、共有パスワード「awplus-local-radius-server」を指定します。たとえば、Web認証機能において、ローカルRADIUSサーバーを使って認証を行う場合は、次のようにします。

awplus(config)# radius-server host 127.0.0.1 key awplus-local-radius-server ↓
awplus(config)# aaa authentication auth-web default group radius ↓

■ 他の機器から本製品のローカルRADIUSサーバーを使用する場合は、該当機器のRADIUSクライアントに対して下記の設定をしてください。なお、他の機器からアクセスさせる場合は、nasコマンドを使って、該当機器のIPアドレスと共有パスワードをあらかじめ登録しておく必要があります。

表 1
RADIUSサーバーのIPアドレス	該当機器から到達可能な本製品のIPアドレス
RADIUSサーバーの共有パスワード	nasコマンドのkeyパラメーターで設定した文字列
認証用ポート番号	server auth-portコマンドで設定した値。未設定時は初期値の1812
アカウンティング用ポート番号	使用しない（ローカルRADIUSサーバーはアカウンティング機能をサポートしていないため）

PN: 613-002311 Rev.F