[index] CentreCOM 8316XL/8324XL コマンドリファレンス 2.7

運用・管理/認証サーバー

  - ユーザー認証処理の順序
  - RADIUSサーバー

本製品は、ユーザー認証機構として、内部のユーザー認証データベースに加えて、RADIUS（Remote Authentication Dial In User Service）サーバーをサポートしています。

ユーザー認証処理の順序

ログイン名とパスワードを受け取った本製品は、最初にユーザー認証データベースを検索します。マッチするエントリーがあった場合はその時点で認証成功となります。マッチするエントリーがなかった場合はRADIUSサーバーに認証を要求します。RADIUSサーバーが登録されていない、あるいはRADIUSサーバーからAccess-Rejectが返ってきた場合は、認証は失敗、RADIUSサーバーから、Access-Acceptが返ってきた場合は認証成功となります。

Note - RADIUSサーバーが複数登録されている場合は、登録された順序でサーバーに要求を送信します（最初のサーバーが無応答なら、次のサーバーに要求を送信）。なお、次のサーバーに移るのは、前のサーバーが無応答だったときだけである点に注意してください。いずれかのサーバーからAccess-Rejectが返ってきた場合は、その時点でRADIUS認証失敗となり、次のサーバーには要求を送信しません。

Note - デフォルトの設定では、無応答のサーバーに対しても毎回要求を送信します。このため、認証サーバーリストの先頭に登録されているRADIUSサーバーが応答しない場合、毎回このサーバーの応答がタイムアウトするまで待つこととなり、結果として認証時間が長くなります。これを回避するには、SET RADIUSコマンドでDEADTIMEパラメーター（無応答サーバーの使用抑制時間）を1分以上の適切な値に設定してください（デフォルトは0分）。

Note - ADD USERコマンドでRADIUSBACKUP=YESのユーザー（RADIUSバックアップユーザー）を1つでも作成した場合は、認証の順序が変わります。RADIUSバックアップユーザーが1つも登録されていない場合、認証順は前述のとおり「ユーザー認証データベース」→「RADIUS 認証」となります。RADIUSバックアップユーザーが存在する場合、認証順は「RADIUS 認証」→「ユーザー認証データベース」となります。この場合の認証順序は以下のとおりです。1. RADIUSサーバーに認証を要求します。RADIUSサーバーからAccess-Acceptが返ってきた場合はその時点で認証成功となります。 2a. RADIUSサーバーから応答がなかった場合はユーザー認証データベースを検索しますが、このときRADIUSバックアップユーザーだけを検索対象とします。 2b. RADIUSサーバーからAccess-Rejectが返ってきた場合はユーザー認証データベースを検索しますが、このときRADIUSバックアップユーザー以外のユーザーだけを検索対象とします。

RADIUSサーバー

RADIUSサーバーは、ユーザー認証に使用できるほか、ポート認証でも使用できます。詳細は「スイッチング」/「ポート認証」をご覧ください。

以下の例では、RADIUSサーバーのIPアドレスを192.168.10.10、共有パスワードをValid8Meと仮定しています。

■ RADIUSサーバーを登録するには、ADD RADIUS SERVERコマンドを使用します。RADIUSサーバーのIPアドレスと共有パスワードを指定してください。

ADD RADIUS SERVER=192.168.10.10 SECRET=Valid8Me ↓

■ デフォルトでは、認証パケットのやり取りにはUDPポート1645番を、アカウンティングパケットには同1646番を使用します。これらのポート番号を変更するには、PORTパラメーター（認証）とACCPORTパラメーター（アカウンティング）を指定してください。RFC2865では認証用ポートを1812番、RFC2866ではアカウンティング用ポートを1813番としています。RADIUSサーバーの設定を確認し、適切なポート番号を指定してください。

ADD RADIUS SERVER=192.168.10.10 SECRET=Valid8Me PORT=1812 ACCPORT=1813 ↓

■ RADIUSサーバーとの通信に関するパラメーター（応答待ち時間、再送回数など）はSET RADIUSコマンドで変更できます。次の例では、応答待ち時間を10秒、再送回数を5回に設定しています。デフォルトはそれぞれ6秒と3回です。

SET RADIUS TIMEOUT=10 RETRANSMITCOUNT=5 ↓

■ RADIUSサーバーの登録を削除するには、DELETE RADIUS SERVERコマンドを使用します。

DELETE RADIUS SERVER=192.168.10.10 ↓

■ 登録されているRADIUSサーバーの一覧を表示するには、SHOW RADIUSコマンドを使用します。

SHOW RADIUS ↓

■ RADIUSサーバーで管理するユーザーの権限（ユーザーレベル）は、各ユーザーのService-Type属性で指定できます。

表 1

Service-Type属性値 ユーザーレベル

Administrative(6) Security Officerレベル

NAS Prompt(7) Managerレベル

その他（指定なしを含む） Userレベル

■ RADIUSサーバーのクライアント情報ファイルとユーザー情報ファイルの例を示します。詳細はRADIUSサーバーのマニュアルをご覧ください。

[/etc/raddb/clients]

# client                secret
192.168.10.1            RouterA

[/etc/raddb/users]

alpha   Password = "PasswordA"
        Framed-IP-Address = 192.168.10.240
        Framed-IP-Netmask = 255.255.255.255
        Idle-Timeout = 120

beta    Password = "PasswordB"
        Framed-IP-Address = 192.168.10.241
        Framed-IP-Netmask = 255.255.255.255
        Idle-Timeout = 120

PN: J613-M0249-11 Rev.J

Service-Type属性値	ユーザーレベル
Administrative(6)	Security Officerレベル
NAS Prompt(7)	Managerレベル
その他（指定なしを含む）	Userレベル