[index] CentreCOM 9424T/SP-E、9424Ts/XP-E コマンドリファレンス 2.4
- 概要
- 認証方式
- 機能・用語の説明
- ダイナミックVLAN
- ゲストVLAN
- ポートの移動について
- Pingポーリング機能
- 認証サーバーの設定
- 802.1X認証方式
- 基本設定
- Supplicantとして使用する際の設定例
- MACベース認証方式
- 基本設定
- Web認証方式
- HTTPサーバーの設定例
- HTTPSサーバーの設定例
- 自己認証による設定例
- 外部認証による設定例
- テンポラリーIPアドレスを利用する場合の設定例
- 画面遷移
- 認証中
- 認証成功
- 認証失敗
- 再認証中
- エラーメッセージについて
- ダイナミックVLANの設定例
- ゲストVLANの設定例
- 認証方式の併用
| 概要 |
Note - Protected Ports VLANと併用する場合は、先にVLANの設定を行ってから、ポート認証に関する設定を行ってください。
Note - ポート認証とMLD Snooping、IGMP Snooping、ポートセキュリティーは併用できません。
| 認証方式 |
| 機能・用語の説明 |
| ダイナミックVLAN |
| DISABLED | - | ポートのVLAN |
| ENABLED | PORT | ポートのVLANまたは最初のSupplicantに指定されたVLAN。ポートの所属するVLANと通信については下記の「■VLANASSIGNMENT=ENABLE、VLANASSIGNMENTTYPE=PORTのとき」をご覧ください。 |
| ENABLED | USER(Multi-Supplicantモード時のみ) | 認証サーバーから指定されたVLAN。Supplicantの所属するVLANと通信については下記の「■VLANASSIGNMENT=ENABLE、VLANASSIGNMENTTYPE=USERのとき」をご覧ください。 |
Note - 「ダイナミックVLANの設定例」を参照してください。
| ゲストVLAN |
Note - ゲストVLANに指定するVLAN は、CREATE VLANコマンドに、L2ONLYパラメーターを指定して作成します。
Note - 「ゲストVLANの設定例」を参照してください。
| ポートの移動について |
| Pingポーリング機能 |
| NORMALINTERVAL | 認証が成功している状態でのPing監視間隔を設定できる。デフォルトは30秒である。 |
| TIMEOUT | Pingを送信して返信を待つ時間を設定できる。デフォルトは1秒である。 |
| FAILCOUNT | タイムアウトが連続して発生した回数の最大値を設定できる。デフォルトは5回である。この回数を超えたSupplicantは未認証状態へ強制的に移動する。 |
| REAUTHREFLESH | Pingの返信を受信した時に再認証タイマーを初期値に戻すかを設定できる。デフォルトは「更新しない」である。 |
Note - 通常のPingコマンドとの併用が可能です。
Note - ダイナミックVLAN と併用する場合、DHCPサーバーと併用しなければなりません。
Note - 「テンポラリーIPアドレスを使用する場合の設定例」を参照してください。
| 認証サーバーの設定 |
Note - 認証サーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。
| User-Name | ユーザー名 | 認証対象のユーザー名（例："user1", "userB"） |
| User-Password | パスワード | （EAP-MD5、PEAP(EAP-MSCHAPv2)、TTLS使用時）ユーザー名に対応するパスワード（例："dbf8a9hve", "h1mi2uDa4o"）。EAP-TLS使用時は不要です（別途、ユーザー電子証明書の用意が必要です） |
Note - 認証方式としてEAP-TLSを使う場合は、RADIUSサーバーの電子証明書と各ユーザーの電子証明書を用意し、各コンピューター上に適切にインストールしておく必要があります。認証方式としてEAP-PEAP、EAP-TTLSを使う場合は、RADIUSサーバーの電子証明書を用意し、各コンピューター上に適切にインストールしておく必要があります。詳細はRADIUSサーバーおよびSupplicant（OSや専用ソフトウェアなど）のマニュアルをご参照ください。
| User-Name | MACアドレス | 認証対象機器のMACアドレス（例："00-00-f4-11-22-33"）。a〜fは小文字で指定します。 |
| User-Password | MACアドレス | 認証対象機器のMACアドレス。User-Nameと同じ値を指定します。 |
| User-Name | ユーザー名 | ユーザー名を指定します。 |
| User-Password | パスワード | ユーザー名に対応するパスワードを指定します。 |
| Tunnel-Type | VLAN (13) | 固定値。指定方法はサーバーに依存 |
| Tunnel-Medium-Type | IEEE-802 (6) | 固定値。指定方法はサーバーに依存 |
| Tunnel-Private-Group-ID | VLAN名かVLAN ID | 認証対象のユーザーや機器が認証をパスした後に所属させるVLANの名前かVLAN ID（例："sales", 10） |
Note - 後述の「ダイナミックVLANの設定例」を参照してください。
| 802.1X認証方式 |
| 基本設定 |
| userA | passwordA | 802.1X Supplicant用のユーザー名/パスワード |
ADD IP INT=VLAN1 IP=192.168.10.5 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
ENABLE PORTAUTH ↓
SET PORTAUTH=8021X PORT=1-16 TYPE=AUTHENTICATOR ↓
Note - Authenticatorポートをタグ付きに設定することはできません。
Note - RADIUSサーバーを接続するポートは、Authenticatorポートにしないでください。SET PORTAUTH PORTコマンドのTYPE/ROLEパラメーターをNONEに設定してください。
| Supplicantとして使用する際の設定例 |
ENABLE PORTAUTH ↓
SET PORTAUTH PORT=1 TYPE=SUPPLICANT USERNAME=atswitch PASSWORD=atpasswd ↓
Note - Supplicantポートをタグ付きに設定することはできません。
| MACベース認証方式 |
| 基本設定 |
| a1-b2-c3-d4-e5-f6 | a1-b2-c3-d4-e5-f6 | MAC Supplicant用のユーザー名/パスワード |
ADD IP INT=VLAN1 IP=192.168.10.5 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
ENABLE PORTAUTH ↓
SET PORTAUTH=MACBASED PORT=1 TYPE=AUTHENTICATOR MODE=MULTI ↓
Note - MACベース認証を指定したポートでは、自動的に 「MODE=MULTI」が設定されます。
| Web認証方式 |
| 対応ブラウザー | IE 6.0/7.0、Firefox 2.0（Windows/Mac/Linux/Unix）、Safari 2.0、Opera 9.0（Windows/Mac/Linux/Unix） |
| 対応プロトコル | HTTP 1.0/1.1、SSL 2.0/3.0、TLS 1.0 |
Note - Web認証で、同時にWeb認証サーバーにアクセスできるSupplicant数（認証用画面が同時に開ける数）は最大48です。認証に成功すれば、他のSupplicantがアクセス可能になります。
| HTTPサーバーの設定例 |
| WebUserA | WebPasswordA | Web Supplicant用のユーザー名/パスワード |
ADD IP INT=VLAN1 IP=192.168.10.5 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
ENABLE PORTAUTH ↓
SET PORTAUTH=WEBBASED PORT=1 TYPE=AUTHENTICATOR MODE=MULTI ↓
SET WEBAUTHSERVER IPADDRESS=10.0.0.1 PORT=3000 ↓
ENABLE WEBAUTHSERVER ↓
Note - Web認証を指定したポートでは、自動的に 「MODE=MULTI」が設定されます。
| HTTPSサーバーの設定例 |
CREATE ENCO KEY=0 TYPE=rsa LENGTH=1024 DESCRIPTION=my-rsa-key ↓
Note - RSA公開鍵の作成には時間がかかります。「Key Generation completed with [Success]」と表示されるまで待ってから、次の手順に進んでください。また、RSA公開鍵の作成を行うと、CPUに処理に負荷がかかるため、スイッチの動作に影響を与えます。RSA公開鍵の作成は、本製品をネットワークに接続していない状態かネットワークの負荷が低いときに行うことをお勧めします。
Note - CREATE ENCO KEYコマンドはコンソールから入力したときだけ有効なコマンドです。設定ファイルにこのコマンドを記述しておいても無効ですのでご注意ください。また、本コマンドで作成された鍵設定はユーザーがアップロード・ダウンロード可能な設定ファイルには保存されませんので、設定のバックアップを行う場合には、本製品からアップロードした設定ファイルとは別に設定コマンド自体をテキストファイルなどで保管してください。
Note - 鍵番号は0〜65535の範囲で自由に選択できます。以後、鍵は番号だけで識別することになるため、鍵を作成するときは、CREATE ENCO KEYコマンドのDESCRIPTIONパラメーターを使って、鍵の用途などコメントを付けておくとよいでしょう。このコメントはSHOW ENCO KEYコマンドで表示されます。
SET SYSTEM DISTINGUISHEDNAME="cn=1.1.1.1,o=toy-organization,ou=toy-organization-unit,l=toy-city,st=toy-pref,c=jp" ↓
| CN | Common Name | 1.1.1.1 |
| O | Organization | toy-organization |
| OU | Organization Unit | toy-organization-unit |
| L | Locality | toy-city |
| ST | State or Province | toy-pref |
| C | Country | jp |
Note - CN（Common Name）には Web認証サーバーへのアクセス専用IPアドレスの指定を推奨します。
CREATE PKI CERTIFICATE=my-cert KEYPAIR=0 SERIALNUMBER=0 ↓
Note - このコマンドはコンソールから入力したときだけ有効なコマンドです。設定ファイルにこのコマンドを記述しておいても無効ですのでご注意ください。また、本コマンドで作成された公開鍵証明書は設定ファイルには含まれませんのでご注意ください。
ADD PKI CERTIFICATE="for https server" LOCATION=my-cert.cer TYPE=SELF TRUSTED=yes ↓
ADD IP INTERFACE=vlan1 IPADDRESS=192.168.1.1 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.1.254 ORDER=1 SECRET=secret ↓
SET PORTAUTH=webbased PORT=1 TYPE=authenticator ↓
SET WEBAUTHSERVER IPADDRESS=1.1.1.1 SECURITY=enabled SSLKEYID=0 ↓
ENABLE WEBAUTHSERVER ↓
ENABLE PORTAUTH ↓
Note - 上記設定でHTTPS接続を開始すると、お使いのブラウザーによっては、下図のような「警告ウィンドウ」が表示される場合があります。｢はい（Y）｣をクリックすることで、認証ページへ移動することができます。
CREATE ENCO KEY=0 TYPE=rsa LENGTH=1024 DESCRIPTION=my-rsa-key ↓
Note - RSA公開鍵の作成には時間がかかります。「Key Generation completed with [Success]」と表示されるまで待ってから、次の手順に進んでください。また、RSA公開鍵の作成を行うと、CPUに処理に負荷がかかるため、スイッチの動作に影響を与えます。RSA公開鍵の作成は、本製品をネットワークに接続していない状態かネットワークの負荷が低いときに行うことをお勧めします。
Note - CREATE ENCO KEYコマンドはコンソールから入力したときだけ有効なコマンドです。設定ファイルにこのコマンドを記述しておいても無効ですのでご注意ください。また、本コマンドで作成された鍵設定はユーザーがアップロード・ダウンロード可能な設定ファイルには保存されませんので、設定のバックアップを行う場合には、本製品からアップロードした設定ファイルとは別に設定コマンド自体をテキストファイルなどで保管してください。
Note - 鍵番号は0〜65535の範囲で自由に選択できます。以後、鍵は番号だけで識別することになるため、鍵を作成するときは、CREATE ENCO KEYコマンドのDESCRIPTIONパラメーターを使って、鍵の用途などコメントを付けておくとよいでしょう。このコメントはSHOW ENCO KEYコマンドで表示されます。
SET SYSTEM DISTINGUISHEDNAME="cn=1.1.1.1,o=toy-organization,ou=toy-organization-unit,l=toy-city,st=toy-pref,c=jp" ↓
| CN（Common Name） | 1.1.1.1 |
| O（Organization） | toy-organization |
| OU（Organization Unit） | toy-organization-unit |
| L（Locality） | toy-city |
| ST（State or Province） | toy-pref |
| C（Country） | jp |
Note - CN（Common Name）には Web認証サーバーへのアクセス専用IPアドレスの指定を推奨します。
CREATE PKI ENROLLMENTREQUEST="enroll_pem" KEYPAIR=0 FORMAT=pem ↓
Note - このコマンドはコンソールから入力したときだけ有効なコマンドです。設定ファイルにこのコマンドを記述しておいても無効ですのでご注意ください。また、本コマンドで作成された証明書要求ファイルは設定ファイルには含まれませんのでご注意ください。
ADD PKI CERTIFICATE="ca" LOCATION=ca_cert.cer TRUSTED=yes TYPE=CA ↓
ADD PKI CERTIFICATE="for https server" LOCATION=cert.cer TRUSTED=yes TYPE=EE ↓
ADD IP INTERFACE=vlan1 IPADDRESS=192.168.1.1 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.1.254 ORDER=1 SECRET=secret ↓
SET PORTAUTH=webbased PORT=1 TYPE=authenticator ↓
SET WEBAUTHSERVER IPADDRESS=1.1.1.1 SECURITY=enabled SSLKEYID=0 ↓
ENABLE WEBAUTHSERVER ↓
ENABLE PORTAUTH ↓
| テンポラリーIPアドレスを利用する場合の設定例 |
| WebUserA | WebPasswordA | VLAN (13) | IEEE-802 (6) | 10 | PC1 Web Supplicant1用のユーザー名/パスワードおよび、認証後に所属させるVLAN |
| WebUserB | WebPasswordB | VLAN (13) | IEEE-802 (6) | 10 | PC2 Web Supplicant2用のユーザー名/パスワードおよび、認証後に所属させる VLAN |
CREATE VLAN=A VID=10 ↓
CREATE VLAN=B VID=20 ↓
ADD VLAN=A PORT=24 ↓
ADD VLAN=B PORT=1-23 ↓
ADD IP INT=VLAN-A IP=192.168.10.5 MASK=255.255.255.0 ↓
ADD IP INT=VLAN-B IP=192.168.20.5 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
ENABLE PORTAUTH ↓
SET PORTAUTH=WEBBASED PORT=1 TYPE=AUTHENTICATOR MODE=MULTI VLANASSIGNMENTTYPE=USER ↓
SET WEBAUTHSERVER IPADDRESS=10.0.0.1 PINGPOLL=ENABLED REAUTHREFRESH=ENABLED TEMPORARYIP=ENABLED ↓
ENABLE WEBAUTHSERVER ↓
ENABLE DHCP ↓
CREATE DHCP POLICY=mypolicy1 LEASE=7200 ↓
ADD DHCP POLICY=mypolicy1 SUBNET=255.255.255.0 ROUTER=192.168.10.5 ↓
CREATE DHCP RANGE=myip1 POLICY=mypolicy1 IP=192.168.10.240 NUMBER=10 ↓
CREATE DHCP POLICY=mypolicy2 LEASE=7200 ↓
ADD DHCP POLICY=mypolicy2 SUBNET=255.255.255.0 ROUTER=192.168.20.5 ↓
CREATE DHCP RANGE=myip2 POLICY=mypolicy2 IP=192.168.20.240 NUMBER=10 ↓
Note - Pingポーリング機能とWeb認証のダイナミックVLANを併用する場合、スイッチにDHCPサーバーを設定する必要があります。
| 画面遷移 |
Note - 本製品の配下のルーターからなど、本製品と異なるセグメントのSupplicantから、Web認証画面へのアクセスは受け付けられません。
Note - 本製品をレイヤー3スイッチとして使用する構成の場合、ダイナミックVLANとDHCPサーバー使用時に、Web認証で元のVLAN以外にアサインされた後、ログアウトすると、Web認証画面にアクセスできません。アクセスする場合には、SupplicantでIPアドレスを再取得する必要があります。また、レイヤー2スイッチとして使用する構成の場合、Web認証でゲストVLAN以外にアサインされた後、Web認証画面へアクセスできません。
Note - 本製品をレイヤー3スイッチとして使用する構成の場合、ゲストVLANとDHCPサーバー使用時に、Web認証でゲストVLAN以外にアサインされた後、REAUTHPERIOD（Supplicantの再認証間隔）の時間経過後に、Web認証画面にアクセスできません。また、本製品をレイヤー2スイッチとして使用する構成の場合の場合、Web認証で元のVLAN以外にアサインされた後、Web認証画面へアクセスできません。
| エラーメッセージについて |
| Login Failed! Please check the supplied User Name & Password. | 空白のみの入力または、MACアドレス形式。 |
| Login Failed! Maximum sessions active. Please try later. | 同時接続数が最大数に達した。 |
| Login Failed! Could not authenticate with server. | 内部的な制限(メモリー上限等)に達し、要求が受け付けられなかった。認証処理がタイムアウトし、RADIUS サーバーとの通信が失敗した。 |
| Login Failed! Could not authenticate. Please check Username & Password. | RADIUSサーバーで認証に失敗した。 |
| Login Failed! Could not start authentication. Please try later. | Held/Lockout状態になった。 |
| Login Failed! Could not authenticate. | 別のSupplicantが認証中。ポートの設定が未認証固定に手動設定されている。 |
| ダイナミックVLANの設定例 |
Note - 以下の例は、802.1X Supplicantを使用していますが、MACベース認証、Web認証でも同様に動作します。
Note - Web認証では、Web認証サーバーの設定も必要です。「テンポラリーIPアドレスを利用する場合の設定例」を参照してください。
| user1 | password1 | VLAN (13) | IEEE-802 (6) | 20 | 802.1X Supplicant用のユーザー名/パスワードおよび、認証後に所属させる VLAN |
CREATE VLAN=A VID=10 ↓
CREATE VLAN=B VID=20 ↓
CREATE VLAN=C VID=30 ↓
CREATE VLAN=R VID=1000 ↓
ADD VLAN=R PORT=24 ↓
ADD IP INT=VLAN-R IP=192.168.10.5 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
ENABLE PORTAUTH ↓
SET PORTAUTH=8021X PORT=1-16 TYPE=AUTHENTICATOR VLANASSIGNMENT=ENABLED ↓
Note - Authenticatorポートをタグ付きに設定することはできません。
Note - RADIUSサーバーを接続するポートは、Authenticatorポートにしないでください。SET PORTAUTH PORTコマンドのTYPE/ROLEパラメーターをNONEに設定してください。
Note - Web認証では、Web認証サーバーの設定も必要です。「テンポラリーIPアドレスを利用する場合の設定例」を参照してください。
| ゲストVLANの設定例 |
Note - 以下の例は、802.1X Supplicantを使用していますが、MACベース認証、Web認証でも同様に動作します。■ 構成
| user1 | password1 | 802.1X Supplicant1用のユーザー名/パスワード |
| user2 | password2 | 802.1X Supplicant2 用のユーザー名/パスワード |
| user3 | password3 | 802.1X Supplicant3 用のユーザー名/パスワード |
CREATE VLAN=A VID=10 ↓
CREATE VLAN=B VID=20 L2ONLY ↓
ADD VLAN=A PORT=24 ↓
ADD IP INT=VLAN-A IP=192.168.10.5 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
ENABLE PORTAUTH ↓
SET PORTAUTH=8021X PORT=1-16 TYPE=AUTHENTICATOR MODE=MULTI VLANASSIGNMENTTYPE=USER GUESTVLAN=20 ↓
Note - Multi-supplicantモードで ゲストVLANを使用する場合、「VLANASSIGNMENTTYPE=USER」に指定する必要があります。
| 認証方式の併用 |
| user1 | password1 | PC1 802.1X Supplicant用のユーザー名/パスワード |
| a1:b2:c3:d4:e5:f6 | a1:b2:c3:d4:e5:f6 | PC2 MAC Supplicant用のユーザー名/パスワード |
| user3 | password3 | PC3 WEB Supplicant用のユーザー名/パスワード |
ADD IP INT=VLAN1 IP=192.168.10.5 MASK=255.255.255.0 ↓
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
ENABLE PORTAUTH ↓
SET PORTAUTH=8021X PORT=1 TYPE=AUTHENTICATOR MODE=MULTI VLANASSIGNMENTTYPE=USER ↓
SET PORTAUTH=MACBASED PORT=1 TYPE=AUTHENTICATOR ↓
SET PORTAUTH=WEBBASED PORT=1 TYPE=AUTHENTICATOR ↓
SET WEBAUTHSERVER IPADDRESS=10.0.0.1 ↓
ENABLE WEBAUTHSERVER ↓
(C) 2006-2008 アライドテレシスホールディングス株式会社
PN: 613-000699 Rev.C