[index] AMF Securityリファレンスマニュアル 2.2.3

# クイックツアー / AMF Securityによる認証の流れ

## AMF SecurityによるOpenFlowの認証の流れ

AMF Securityは、管理下のOpenFlowスイッチからの問い合わせに対して認証を実施します。
OpenFlowスイッチがAMF Securityに対して問い合わせを行うまでの流れは以下になります。

1. OpenFlowスイッチが、デバイスから何かパケットを受信する
2. OpenFlowスイッチは、パケットの送信元MACアドレスに対してのフローエントリーが登録されているか確認する。該当するフローエントリーが存在する場合、OpenFlowスイッチはフローエントリーに従ってパケットを送信する
3. 該当するフローエントリーがない場合、OpenFlowスイッチはAMF Securityに問い合わせを行うパケット（PACKET_IN）を送信する

AMF SecurityはOpenFlowスイッチから受信した問い合わせのパケット（PACKET_IN）に記録されたデバイスのMACアドレスに対して認証プロセスの確認を実施し、接続/隔離先のネットワークを決定、または破棄を決定し、OpenFlowスイッチにフローエントリーを設定します。
AMF Securityの認証プロセスは、大別して、デバイス認証データ、未認証グループ、アクションの3つが存在します。

- デバイス認証データ
  MACアドレスが関連付けられたデバイスのセキュリティーポリシーに基づき、接続先のネットワーク（VLAN）を決定します。
- 未認証グループ
  デバイス認証データに登録のないMACアドレスに対し、ロケーション、スケジュールに基づき、接続先のネットワークを提供します。
- アクション
  デバイスのMACアドレス、IPv4アドレス、デバイスID、デバイスタグ、ロケーション、OpenFlowスイッチ、接続中ネットワークなど、特定の条件に一致するデバイスに対し個別に破棄、隔離、または接続先VLANを指定します。
  連携アプリケーションによるデバイスの隔離・遮断処理と同様のアクションを手動で作成できます。

デバイスの処理は、アクション、デバイス認証データ、未認証グループの順に行われます。
デバイスIDを条件にアクション、デバイス認証データ、未認証グループを設定している場合の例を示します。
次のように、アクションとデバイス認証データのセキュリティーポリシーに両方とも一致する場合、アクションが定義する処理が適用され、デバイス認証データの処理は行われません。

## AW+のAMFアプリケーションプロキシーの認証

ここでは、AW+のAMFアプリケーションプロキシー構成における端末の認証の流れを説明します。
AW+のAMFアプリケーションプロキシーには以下の2点がありますが、端末の認証を行うのはホワイトリスト機能のためAMFアプリケーションプロキシーホワイトリスト機能についてになります。

- AMFアプリケーションプロキシーホワイトリスト機能
- AMFアプリケーションプロキシーブラックリスト機能

AMF Securityは、管理下のAMFメンバー（エッジノード）からの問い合わせに対して認証を実施しますが、この問い合わせはAMFマスター（プロキシーノード）を経由して行われるためAMF SecurityはAMFマスター（プロキシーノード）と認証（通信）を行う形になります
AMFメンバー（エッジノード）がAMF Securityに対して問い合わせを行うまでの基本的な流れは以下になります。

1. AMFメンバー（エッジノード）が端末からパケットを受信する
2. AMFメンバー（エッジノード）は、端末のパケットの送信元MACアドレスに対して認証が行われているかどうか確認する。認証が成功している端末の場合、AMFメンバー（エッジノード）は該当するVLANに従ってパケットを送信する
3. 端末の認証が行われていない場合、AMFメンバー（エッジノード）はAMFマスター（プロキシーノード）に問い合わせを行うパケットを送信する
4. AMFマスター（プロキシーノード）はAMFメンバー（エッジノード）から受信した問い合わせのパケットをAMF Securityに送信する

AMF SecurityはAMFマスター（プロキシーノード）から受信した問い合わせのパケットに記録された端末のMACアドレスに対して認証プロセスの確認を実施し、接続/隔離先のネットワークを決定、または破棄を決定し、その結果をAMF SecurityはAMFマスター（プロキシーノード）に送信します。
AMF Securityの認証プロセスは、大別して、デバイス認証データ、未認証グループ、アクションの3つが存在しますが、アクションの認証プロセスはAMFアプリケーションプロキシーの認証では使用されません。

- デバイス認証データ
  MACアドレスが関連付けられたデバイス ID（デバイス）のセキュリティーポリシー（ポリシー）に基づき、接続先のネットワーク（VLAN）を決定します。

  > Note

  > > 各ポリシーに設定するOpenFlow スイッチ、スイッチポート、「フローの有効期限を無限にします。」の項目は未サポートです。

- 未認証グループ
  デバイス認証データに登録のないMACアドレスに対し、未認証グループに設定されたポリシーに基づき、接続先のVLANを決定します。

端末の認証処理は、デバイス認証データ、未認証グループの順に行われます。
例として、デバイス認証データ、未認証グループが登録されているケースの動作を示します。

表 1：デバイス認証データ
デバイス ID：Device_A
MACアドレス | 00:00:00:00:00:01
ポリシー | VLAN100

表 2：未認証グループ
グループ ID：Unregistered
ポリシー | VLAN200

- MACアドレス「00:00:00:00:00:01」は「デバイス ID : Device_A」のデバイス認証データに合致するため、VLAN100に接続されます。
- AMF Securityに登録されていないMACアドレス「00:00:00:00:00:02」の場合は、登録されているデバイス認証データに合致しないため、未認証グループのVLAN200に接続されます。なお、未認証グループのポリシーにはロケーション、スケジュールが設定されていないため、AMF Securityに登録されていない端末（MACアドレス）はすべてVLAN200に接続されます。

## TQのAMFアプリケーションプロキシーの認証

ここでは、TQのAMFアプリケーションプロキシー構成における無線端末の認証の流れを説明します。
AMF Securityは、管理下のTQからの問い合わせに対して認証を実施しますが、実際に無線端末が通信可能になるためには「AMFアプリケーションプロキシー（AMF Security）による認証」→「VAP（マルチSSID）設定のセキュリティーで設定されている認証」の双方の認証が成功する必要があります。

> Note

> > 無線端末が「AMF Securityによる認証で成功→VAP設定のセキュリティーの認証で失敗」の場合、AMF Securityの「デバイス」/「接続中 デバイス一覧」画面の無線端末の表示は「認証済み」になります。そのため実際の無線端末の状態とAMF Security上の表示は一致しません。

無線端末の認証の基本的な流れは以下になります。

1. TQの無線に無線端末が接続する
2. TQは、無線端末の送信元MACアドレスに対しての認証状態を確認する。無線端末がAMF SecurityおよびVAP設定のセキュリティーで認証が成功している場合、TQはその無線端末のVLANに従ってパケットを送信する
3. 無線端末が認証済みではない場合、TQはAMF Securityに問い合わせを行うパケットを送信する
4. AMF Securityで認証に成功すると、VAP設定のセキュリティーで設定されている認証が行われる

> Note

> > TQのVAP設定のセキュリティーがWPA エンタープライズの場合、ダイナミック VLANの無効・有効によって無線端末のVLANが異なります。詳細は、クイックツアー「AMF Securityについて」/「TQとTQRのAMFアプリケーションプロキシー機能」の「TQのダイナミック VLAN使用時の動作」をご参照ください。

AMF SecurityはTQから受信した問い合わせのパケットに記録された無線端末のMACアドレスに対して認証プロセスの確認を実施し、接続/隔離先のネットワークを決定、または破棄を決定し、TQに情報を送信します。
AMF Securityの認証プロセスは、大別して、デバイス認証データ、未認証グループ、アクションの3つが存在します。

- デバイス認証データ
  MACアドレスが関連付けられたデバイス ID（デバイス）のセキュリティーポリシー（ポリシー）に基づき、接続先のネットワーク（VLAN）を決定します。
- 未認証グループ
  デバイス認証データに登録のないMACアドレスに対し、未認証グループに設定されたポリシーに基づき、接続先のVLANを決定します。

  > Note

  > > 各ポリシーに設定するロケーション、スケジュール、OpenFlow スイッチ、スイッチポート、「フローの有効期限を無限にします。」の項目は未サポートです。

- アクション
  無線端末のMACアドレス、IPv4アドレス、デバイス、デバイスタグ、接続中ネットワークの条件に一致する無線端末に対し個別に破棄、隔離、または接続先VLANを指定します。連携アプリケーションによるデバイスの隔離・遮断処理と同様のアクションを手動で作成できます。

無線端末の認証処理は、アクション、デバイス認証データ、未認証グループの順に行われます。
例として、アクション、デバイス認証データ、未認証グループが登録されているケースの動作を示します。

表 3：アクション
アクション ID：Drop
条件 | MACアドレス 00:00:00:00:00:01
OpenFlow/TQ アクション | 破棄(遮断)

表 4：デバイス認証データ
デバイス ID：Device_A
MACアドレス | 00:00:00:00:00:01
ポリシー | VLAN100
デバイス ID：Device_B
MACアドレス | 00:00:00:00:00:02
ポリシー | VLAN101

表 5：未認証グループ
グループ ID：Unregistered
ポリシー | VLAN200

- MACアドレス「00:00:00:00:00:01」は「アクション ID：Drop」と「デバイス ID : Device_A」のデバイス認証データの両方に登録されていますが、無線端末の認証処理が最初に行われるアクションの条件に合致して破棄(遮断)が適用されるとデバイス認証データ以降の認証処理は行われません。
- MACアドレス「00:00:00:00:00:02」は「デバイス ID : Device_B」のデバイス認証データに合致するため、VLAN101に接続されます。
- AMF Securityに登録されていないMACアドレス「00:00:00:00:00:03」の場合は、登録されているデバイス認証データに合致しないため、未認証グループのVLAN200に接続されます。