[index] CentreCOM 8316XL/8324XL コマンドリファレンス 2.7

スイッチング/ポート認証

  - 概要
  - 802.1X認証方式
  - 基本設定
   - Authenticator
   - Authenticator（ダイナミックVLAN）
   - Supplicant
   - 認証サーバー

本製品は、スイッチポート単位でLAN上のユーザーや機器を認証するポート認証機能を実装しています。ポートに接続された機器（および機器を使用するユーザー。以下同様）の認証方法としては、大きく分けて次の2種類をサポートしています。



802.1X認証は、EAP（Extensible Authentication Protocol）というプロトコルを使って、ユーザー単位で認証を行うしくみです。802.1X認証を利用するには、認証する側と認証される側の両方が802.1Xに対応している必要があります。

一方、MACベース認証は、機器のMACアドレスに基づいて機器単位で認証を行うしくみです。認証される側に特殊な機能を必要としないため、802.1X認証の環境に802.1X非対応の機器（例：ネットワークプリンター）を接続したい場合などに利用できます。おもに、802.1X認証を補完するものとして利用されます。

802.1XおよびMACベースのポート認証機能を使用すれば、スイッチポートに接続された機器を認証し、認証に成功したときだけ同機器からの通信、および、同機器への通信を許可するよう設定できます。また、認証に成功した機器を特定のVLANにアサインすることも可能です（ダイナミックVLAN）。さらに、本製品はSupplicant機能にも対応しているため、他の機器から認証を受けるよう設定することもできます。


 

概要

ポート認証のシステムは、下記の3要素から成り立っています。



本製品の各スイッチポートは、上記のうち、AuthenticatorとSupplicantになることができます（Authenticatorであると同時にSupplicantでもあるような設定も可能）。認証サーバー（RADIUSサーバー）は別途用意する必要があります。

 

802.1X認証方式

802.1X認証では、EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAPなど様々な認証方式が使用されています。このうち、本製品の802.1X認証モジュールが現在サポートしているEAP認証方式は以下のとおりです。


 

基本設定

本製品を使ってポート認証のシステムを運用するための基本的な設定例を示します。以下の例では、メインの認証方式として802.1X認証を使用し、これを補うためにMACベース認証を併用します。


 

Authenticator

本製品をAuthenticatorとして使用する場合の基本設定を示します。Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。

ここでは、すべてのポートがVLAN defaultに所属していることを前提に、ポート1〜8で802.1X認証を、ポート9〜15でMACベース認証を行うものとします。また、RADIUSサーバーはポート16（通常のポート）に接続されているものとします。

  1. 802.1XではRADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。最初にIPモジュールを有効にし、VLAN defaultにIPアドレスを設定します。


    Note - ここではRADIUSサーバーがVLAN default上にあるものと仮定しています。他のVLAN上にあるときは、RADIUSサーバーまでの経路を適切に設定してください。

  2. RADIUSサーバーのIPアドレスとUDPポート、共有パスワードを指定します。


  3. 802.1X認証機能を有効にします。


  4. ポート1〜8で802.1X認証を行うよう設定します。「TYPE=AUTHENTICATOR」の指定により、ポート1〜8はAuthenticatorポートとなります。


  5. MACベース認証機能を有効にします。


  6. ポート9〜15でMACベース認証を行うよう設定します。


Note - 802.1X認証のAuthenticatorポートとMACベース認証ポートでは、ポートトランキング、スパニングツリープロトコル、ポートセキュリティーを使用できません。また、802.1X認証のAuthenticatorポートとMACベース認証ポートをタグ付きに設定することはできません。

Note - RADIUSサーバーを接続するポートは、Authenticatorポートにしないでください。Authenticatorポートにする場合は、ENABLE PORTAUTH PORTコマンド/SET PORTAUTH PORTコマンドのCONTROLパラメーターをAUTHORISEDに設定してください。


 

Authenticator（ダイナミックVLAN）

ダイナミックVLAN（Dynamic VLAN Assignemnt）は、RADIUSサーバーから受け取った認証情報に基づいてポートの所属VLANを動的に変更する機能です。802.1X認証、MACベース認証のどちらでも利用可能です。

以下、本製品をAuthenticatorとして使用し、さらにダイナミックVLAN機能を利用する場合の基本設定を示します。Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。

ここでは、利用者機器のために3つのVLAN「A」、「B」、「C」を用意します。また、RADIUSサーバーを接続するためのVLAN「R」も作成します。各ポートに接続された機器は、認証成功後、RADIUSサーバー側から返されたVLAN（「A」、「B」、「C」のどれか）に自動的にアサインされます。

ここでは、ポート1〜8で802.1X認証を、ポート9〜15でMACベース認証を行うものとします。また、RADIUSサーバーは、VLAN「R」所属のポート16（通常のポート）に接続されているものとします。


  1. VLANを作成します。


  2. RADIUSサーバーを接続するポート16をVLAN「R」に割り当てます。


  3. 802.1XではRADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。IPモジュールを有効にし、VLAN「R」にIPアドレスを設定します。


  4. RADIUSサーバーのIPアドレスとUDPポート、共有パスワードを指定します。


  5. 802.1X認証機能を有効にします。


  6. ポート1〜8で802.1X認証を行うよう設定します。「TYPE=AUTHENTICATOR」の指定により、ポート1〜8はAuthenticatorポートとなります。また、「VLANASSIGNMENT=ENABLED」の指定により、ダイナミックVLANを有効にします。


  7. MACベース認証機能を有効にします。


  8. ポート9〜15でMACベース認証を行うよう設定します。また、「VLANASSIGNMENT=ENABLED」の指定により、ダイナミックVLANを有効にします。


Note - 802.1X認証のAuthenticatorポートとMACベース認証ポートでは、ポートトランキング、スパニングツリープロトコル、ポートセキュリティーを使用できません。また、802.1X認証のAuthenticatorポートとMACベース認証ポートをタグ付きに設定することはできません。

Note - RADIUSサーバーを接続するポートは、Authenticatorポートにしないでください。Authenticatorポートにする場合は、ENABLE PORTAUTH PORTコマンド/SET PORTAUTH PORTコマンドのCONTROLパラメーターをAUTHORISEDに設定してください。


■ ダイナミックVLANの動作仕様は次のとおりです。


■ ポートがダイナミックVLANにアサインされているときは、ADD VLAN PORTコマンドで該当ポートの所属VLANを変更しても、設定変更は直ちには反映されません。ポートがダイナミックVLANから本来のVLANに戻るのは、次のときです。




 

Supplicant

本製品を802.1X Supplicantとして使用する場合の基本設定を示します。ここでは、ポート1が認証を受けるものとします。Supplicantとしての動作においては、IPの設定は必須ではありません。

  1. 802.1X認証モジュールを有効にします。


  2. ポート1で認証を受けるよう設定します。認証を受けるためのユーザー名とパスワードを指定してください。「TYPE=SUPPLICANT」の指定により、ポート1はSupplicantポートとなります。


Note - Supplicantポートでは、ポートトランキング、スパニングツリープロトコル、ポートセキュリティーを使用できません。



 

認証サーバー

ポート認証機能を利用するために必要な認証サーバー（RADIUSサーバー）の設定項目について簡単に説明します。

Note - 認証サーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。








Copyright (C) 2004-2010 アライドテレシスホールディングス株式会社

PN: J613-M0249-11 Rev.J