[index] CentreCOM 8700SLシリーズコマンドリファレンス 2.9

運用・管理/認証サーバー

  - ユーザー認証処理の順序
  - RADIUSサーバー

本製品は、ユーザー認証機構として、本体内蔵のユーザー認証データベースに加え、外部のRADIUS（Remote Authentication Dial In User Service）サーバーをサポートしています。

ユーザー認証処理の順序

ログイン名とパスワードを受け取った本製品は、最初にユーザー認証データベースを検索します。マッチするエントリーがあった場合はその時点で認証成功となります。マッチするエントリーがなかった場合はRADIUSサーバーに認証を要求します。RADIUSサーバーが登録されていない、RADIUSサーバーから応答がない、あるいはRADIUSサーバーからAccess-Rejectが返ってきた場合は認証失敗、RADIUSサーバーからAccess-Acceptが返ってきた場合は認証成功となります。

Note - RADIUSサーバーが複数登録されている場合は、登録された順序でサーバーに要求を送信します（最初のサーバーが無応答なら、次のサーバーに要求を送信）。なお、次のサーバーに移るのは、前のサーバーが無応答だったときだけである点に注意してください。いずれかのサーバーからAccess-Rejectが返ってきた場合は、その時点でRADIUS認証失敗となり、次のサーバーには要求を送信しません。

Note - デフォルトの設定では、無応答のサーバーに対しても毎回要求を送信します。このため、認証サーバーリストの先頭に登録されているRADIUSサーバーが応答しない場合、毎回このサーバーの応答がタイムアウトするまで待つこととなり、結果として認証時間が長くなります。これを回避するには、SET RADIUSコマンドでDEADTIMEパラメーター（無応答サーバーの使用抑制時間）を1分以上の適切な値に設定してください（デフォルトは0分）。

Note - ADD USERコマンド、SET USERコマンドでRADIUSBACKUP=YESのユーザー（RADIUSバックアップユーザー）を1つでも作成した場合は、認証の順序が変わります。RADIUSバックアップユーザーが1つも登録されていない場合、認証順は前述のとおり「ユーザー認証データベース」→「RADIUS 認証」となります。RADIUSバックアップユーザーが存在する場合、認証順は「RADIUS 認証」→「ユーザー認証データベース」となります。この場合の認証順序は以下のとおりです。1. RADIUSサーバーに認証を要求します。RADIUSサーバーからAccess-Acceptが返ってきた場合はその時点で認証成功となります。 2a. RADIUSサーバーから応答がなかった場合はユーザー認証データベースを検索しますが、このときRADIUSバックアップユーザーだけを検索対象とします。 2b. RADIUSサーバーからAccess-Rejectが返ってきた場合はユーザー認証データベースを検索しますが、このときRADIUSバックアップユーザー以外のユーザーだけを検索対象とします。

RADIUSサーバー

RADIUSサーバーは、ユーザー認証に使用できるほか、ポート認証やファイアウォールのアクセスルールを集中管理する目的でも使用できます。詳細は「スイッチング」の「ポート認証」および「ファイアウォール」の章をご覧ください。

■ RADIUSサーバーを登録するには、ADD RADIUS SERVERコマンドを使用します。RADIUSサーバーのIPアドレスと共有パスワードを指定してください。

ADD RADIUS SERVER=192.168.10.10 SECRET=Valid8Me ↓

Note - RADIUSサーバーの登録は3台までにしてください（4台以上登録した場合の動作はサポート対象外となります）。

■ デフォルトでは、認証パケットのやりとりにはUDPポート1645番を、アカウンティングパケットには同1646番を使います。これらのポート番号を変更するには、PORTパラメーター（認証）とACCPORTパラメーター（アカウンティング）を指定してください。RFC2865では認証用ポートを1812番、RFC2866ではアカウンティング用ポートを1813番としています。RADIUSサーバーの設定を確認し、適切なポート番号を指定してください。

ADD RADIUS SERVER=192.168.10.10 SECRET=Valid8Me PORT=1812 ACCPORT=1813 ↓

■ RADIUSサーバーとの通信に関するパラメーター（応答待ち時間、再送回数など）はSET RADIUSコマンドで変更できます。次の例では、応答待ち時間を10秒、再送回数を5回に設定しています。デフォルトはそれぞれ6秒と3回です。

SET RADIUS TIMEOUT=10 RETRANSMITCOUNT=5 ↓

■ RADIUSサーバーの登録を解除するには、DELETE RADIUS SERVERコマンドを使用します。

DELETE RADIUS SERVER=192.168.10.10 ↓

■ 登録されているRADIUSサーバーの一覧、RADIUSサーバーとの通信に関するパラメーターを表示するには、SHOW RADIUSコマンドを使用します。

SHOW RADIUS ↓

■ RADIUSサーバーで管理するユーザーの権限（ユーザーレベル）は、各ユーザーのService-Type属性で指定します。

表 1

Service-Type属性値 ユーザーレベル

Administrative(6) Security Officerレベル

NAS Prompt(7) Managerレベル

Login(1) Userレベル

Note - Service-Type属性に上記以外の値がセットされている場合、および、Service-Type属性が付加されていない場合は、RADIUSサーバーからAccess-Acceptが返ってきてもログイン認証は失敗となりますのでご注意ください。

■ RADIUSサーバーのクライアント情報ファイルとユーザー情報ファイルの例を示します。詳細はRADIUSサーバーのマニュアルをご覧ください。

[clients.conf]

client 192.168.10.1 {
    secret    = himitsu
    shortname = kkSwitch
}

[users]

secadmin  Auth-Type := Local, User-Password == "secadminpass"
          Service-Type = Administrative-User

admin     Auth-Type := Local, User-Password == "adminpass"
          Service-Type = NAS-Prompt-User

operator  Auth-Type := Local, User-Password == "operatorpass"
          Service-Type = Login-User

PN: J613-M0019-01 Rev.Q

Service-Type属性値	ユーザーレベル
Administrative(6)	Security Officerレベル
NAS Prompt(7)	Managerレベル
Login(1)	Userレベル