[index]
CentreCOM 9424T/SP-E コマンドリファレンス 2.5
スイッチング/ポート認証
- 概要
- 802.1X認証方式
- 基本設定
- Supplicantとして使用する際の設定例
- MACベース認証方式
- 基本設定
- Web認証方式
- Pingポーリング機能
- HTTPリダイレクト
- セッションキープ
- HTTPサーバーの基本設定
- HTTPSサーバーの基本設定
- 自己認証による設定例
- 外部認証による設定例
- 機能・用語の説明
- ダイナミックVLAN
- ゲストVLAN
- ポートの移動について
- 認証アルゴリズムの併用
- 設定例
- ダイナミックVLANの設定例
- ゲストVLANの設定例
- テンポラリーIPアドレスを利用する場合の設定例
- プロキシーサーバーを使用した場合の設定例
- 資料編
- Web認証の画面遷移
- 認証中
- 認証成功
- 認証失敗
- エラーメッセージについて
- 再認証中
- 認証サーバーの設定
本製品は、スイッチポート単位でLAN上のユーザーや機器を認証するポート認証機能を実装しています。
ポートに接続された機器（および機器を使用するユーザー。以下同様）の認証方法としては、大きく分けて次の3種類をサポートしています。
1つのポートに複数の認証アルゴリズム（802.1X認証/MACベース認証/Web認証）を設定することもできます。後述の「認証アルゴリズムの併用」を参照してください。
ポート認証機能を使用すれば、スイッチポートに接続された機器を認証し、認証に成功したときだけ同機器からの通信、および、同機器への通信を許可するよう設定できます。また、認証に成功した機器を特定のVLANにアサインすることも可能です（ダイナミックVLAN）。さらに、本製品はSupplicant機能にも対応しているため、他の機器から認証を受けるよう設定することもできます。
ポート認証のシステムは、通常下記の3要素から成り立っています。
- Authenticator（認証者）：ポートに接続してきたSupplicant（クライアント）を認証する機器またはソフトウェア。
- IEEE 802.1X認証方式（以下、802.1X認証）
EAPメッセージの交換によってSupplicantを認証する（ユーザー認証）。802.1Xの認証を受けるためには、802.1X Supplicantの機能を備えている必要がある。802.1X Supplicant機能は、一部のOSに標準装備されているほか、単体のクライアントソフトウェアとして用意されていることもある。
- MACアドレスベース認証方式（以下、MACベース認証）
SupplicantのMACアドレスによって認証を行う（機器認証）。MACベース認証を受けるために特殊な機能は必要ない。
- Web認証方式
Supplicant上のWebブラウザーからユーザー名とパスワードを入力することによって認証を行う（ユーザー認証）。Web認証を受けるには、Supplicant上に対応Webブラウザーが必要。
認証に成功した場合はポート経由の通信を許可、失敗した場合はポート経由の通信を拒否する。
認証処理そのものは、認証サーバー（RADIUSサーバー）に依頼する（Supplicantの情報を認証サーバーに中継して、認証結果（成功・失敗）を受け取る）。
- 認証サーバー（RADIUSサーバー）：Authenticatorの要求に応じて、Supplicantを認証する機器またはソフトウェア。ユーザー名、パスワード、MACアドレス、所属VLANなどの認証情報を一元管理している。Authenticatorとの間の認証情報の受け渡しにはRADIUSプロトコルを用いる。
- Supplicant（クライアント）：ポートへの接続時にAuthenticatorから認証を受ける機器またはソフトウェア。後述の「Supplicantとして使用する際の設定例」をご覧ください。
本製品の各スイッチポートは、上記のうち、AuthenticatorとSupplicantになることができます。認証サーバー（RADIUSサーバー）は別途用意する必要があります。
Note
- Supplicantポートはタグ付きにはできません。
Note
- Authenticatorポートとタグ付きポートを併用する場合は、ダイナミックVLAN、ゲストVLANは使用できません。
Note
- ポート認証とMLD Snooping、IGMP Snooping、ポートセキュリティーは併用できません。
Note
- 認証ポートに設定されたポートはVLANの設定を変更できません。先にVLANの設定を行ってから、ポート認証に関する設定を行ってください。
Note
- MACベース認証とWeb認証では、SupplicantのMACアドレスがエージングによりFDBから削除されると、認証許可状態が解除されます。
Note
- 複数のVLANインターフェースにIPを割り当てている場合、認証時にAuthenticatorからRadiusサーバーへ送信されるRadius Request PacketのNAS-IP-Addressの値が0.0.0.0になります。
Note
- 認証ポートでタグ付きのEAPOL-Startを受信しているにもかかわらず、認証ポートが所属するすべてのVLANタグを付与したEAP-RequestとEAP-Failureを送信します。
802.1X認証は、EAP（Extensible Authentication Protocol）というプロトコルを使って、ユーザー単位で認証を行うしくみです。802.1X認証を利用するには、認証する側と認証される側の両方が802.1Xに対応している必要があります。
802.1X認証では、EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAPなど様々な認証方式が使用されています。このうち、本製品の802.1X認証モジュールが現在サポートしているEAP認証方式は以下のとおりです。
- Authenticator時：EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAP
- Supplicant時：EAP-MD5
本製品をAuthenticatorとして使用し、802.1X Supplicantを受け付ける場合の基本設定を示します。
Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。
以下の設定では、802.1X Supplicantには、802.1X Supplicantを搭載したPC 等が接続されているものとします。
802.1X Supplicantから認証情報として、「ユーザー名:userA」/「パスワード:passwordA」 が入力され、認証に成功すると、802.1X Supplicantは、VLAN-1(VID=1) で通信が可能になります。
■ 構成
■ 認証サーバー(RADIUSサーバー)には、以下のように設定されているものとします。
表 1
| User-Name |
User-Password |
備考 |
| userA |
passwordA |
802.1X Supplicant用のユーザー名/パスワード |
■ 設定
- RADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。最初に、IPアドレスを設定します。
ADD IP INT=VLAN1 IP=192.168.10.5 MASK=255.255.255.0 ↓
- RADIUSサーバーを登録します。IPアドレスとUDPポート、共有パスワードを指定します。
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
- ポート認証機能を有効にします。
- ポート1〜16で802.1X認証を行うよう設定します。SET PORTAUTH PORTコマンドのPORTAUTH=8021X TYPE=AUTHENTICATORを指定することにより、ポート1〜16は802.1X認証のAuthenticatorポートとなります。
SET PORTAUTH=8021X PORT=1-16 TYPE=AUTHENTICATOR ↓
Note
- RADIUSサーバーを接続するポートは、Authenticatorポートにしないでください。SET PORTAUTH PORTコマンドのTYPE/ROLEパラメーターをNONEに設定してください。
本製品を802.1X Supplicantとして使用する場合の基本設定を示します。ここでは、ポート1が認証を受けるものとします。802.1X Supplicantとしての動作においては、IPの設定は必須ではありません。
■ 設定
- ポート認証機能を有効にします。
- ポート1で認証を受けるよう設定します。認証を受けるためのユーザー名とパスワードを指定してください。SET PORTAUTH PORTコマンドの「TYPE=SUPPLICANT」の指定により、ポート1はSupplicantポートとなります。
SET PORTAUTH PORT=1 TYPE=SUPPLICANT USERNAME=atswitch PASSWORD=atpasswd ↓
Note
- Supplicantポートをタグ付きに設定することはできません。
MACベース認証は、機器のMACアドレスに基づいて機器単位で認証を行うしくみです。認証される側に特殊な機能を必要としないため、802.1X認証の環境に802.1X非対応の機器（例：ネットワークプリンター）を接続したい場合などに利用できます。おもに、802.1X認証を補完するものとして利用されます。
本製品をAuthenticatorとし、MACベース認証を行う場合の基本設定を示します。
Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。
MAC Supplicantから通信が行われた時点で、Authenticator は、自動的に認証サーバー(RADIUSサーバー)に認証情報を問い合わせ、認証の可否を決定します。
認証が成功すると、MAC Supplicantは、VLAN-1(VID=1) で通信が可能になります。
■ 構成
■ 認証サーバー(RADIUSサーバー)には、以下のように設定されているものとします。
表 2
| User-Name |
User-Password |
備考 |
| a1-b2-c3-d4-e5-f6 |
a1-b2-c3-d4-e5-f6 |
MAC Supplicant用のユーザー名/パスワード |
認証方式は、PAPを指定します。
■ 設定
- RADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。最初に、IPアドレスを設定します。
ADD IP INT=VLAN1 IP=192.168.10.5 MASK=255.255.255.0 ↓
- RADIUSサーバーを登録します。IPアドレスとUDPポート、共有パスワードを指定します。
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
- ポート認証機能を有効にします。
- ポート1でMACベース認証を行うよう設定します。SET PORTAUTH PORTコマンドの「PORTAUTH=MACBASED TYPE=AUTHENTICATOR」の指定により、ポート1はMACベース認証のAuthenticatorポートとなります。
SET PORTAUTH=MACBASED PORT=1 TYPE=AUTHENTICATOR MODE=MULTI ↓
Note
- MACベース認証を指定したポートでは、自動的に 「MODE=MULTI」が設定されます。
Web認証は、Webブラウザーを利用して認証を行うしくみです。ユーザーはAuthenticatorのWeb認証サーバーに接続し、ユーザー名とパスワードを入力することで認証が行われます。
HTTP接続を行う場合は、「http://IPアドレス」でアクセス可能です。
通信を暗号化する場合は、「https://IPアドレス」にアクセスすることにより、HTTPS接続を使用できます。
対応ブラウザー、プロトコルは以下のとおりです。
表 3
| 対応ブラウザー |
IE 6.0/7.0、Firefox 3.0（Windows/Mac）、Firefox 2.0（Linux/Unix）、Safari 2.0、Opera 9.5（Windows/Mac）、Opera 9.0（Linux/Unix） |
| 対応プロトコル |
HTTP 1.0/1.1、SSL 2.0/3.0、TLS 1.0 |
Supplicantから、Web認証を行う場合は、以下の様に操作します。
- Webブラウザーを起動します。
- 「アドレス」に、Web認証サーバーのIPアドレスを入力し、「Enter」キーを押します。
- 次の画面が表示されますので、「ユーザー名」と「パスワード」を入力し、「Login」をクリックします。
Note
- Web認証で、同時にWeb認証サーバーにアクセスできるSupplicant数（認証用画面が同時に開ける数）は最大48です。認証に成功すれば、他のSupplicantがアクセス可能になります。
その他表示される画面については、後述の「Web認証の画面遷移」を参照してください。
Note
- L3構成にてゲストVLANとDHCPサーバーを使用時に、Web認証でゲストVLAN以外にアサインされた後、ログアウトをするとWeb認証画面へアクセスできません。アクセスできるようにするためにはSupplicantでIPアドレスを再取得する必要があります。またL2構成の場合には、Web認証で認証が成功し、ゲストVLAN以外にアサインされた後、Web認証画面へアクセスできません。
Note
- 本製品と異なるセグメントのSupplicantからWeb認証画面へはアクセスできません。
Web認証では、認証済みSupplicantのPing監視ができます。SET WEBAUTHSERVERコマンドのPINGPOLLパラメーターで機能の有効・無効を設定します。Pingポーリング機能で使用するパラメーターは以下の通りです。
表 4
| 項目 |
説明 |
| NORMALINTERVAL |
認証が成功している状態でのPing監視間隔を設定できる。デフォルトは30秒である。 |
| TIMEOUT |
Pingを送信して返信を待つ時間を設定できる。デフォルトは1秒である。 |
| FAILCOUNT |
タイムアウトが連続して発生した回数の最大値を設定できる。デフォルトは5回である。この回数を超えたSupplicantは未認証状態へ強制的に移動する。 |
| REAUTHREFLESH |
Pingの返信を受信した時に再認証タイマーを初期値に戻すかを設定できる。デフォルトは「更新しない」である。 |
Note
- 通常のPingコマンドとの併用が可能です。
Note
- ダイナミックVLAN と併用する場合、DHCPサーバーと併用しなければなりません。
Note
- 「テンポラリーIPアドレスを使用する場合の設定例」を参照してください。
ユーザーはAuthenticatorを意識することなく、任意のWebページアクセス（たとえばhttp://www.allied-telesis.co.jp/）により、Web認証のログイン画面が表示され、認証できます。Webページへのアクセスは、Supplicantと同じサブネット内ではなく、スイッチを経由したルーティング先にしなければなりません。この場合、SupplicantのデフォルトゲートウェイをAuthenticatorのIPアドレスにします。
■ HTTPリダイレクトを有効にします。
SET WEBAUTHSERVER HTTPREDIRECT=ENABLED ↓
Note
- URLがホスト名(たとえばhttp://www.allied-telesis.co.jp/)の場合、認証前に名前解決をする必要があります。
Note
- HTTPS によるSSL接続のリダイレクトはサポートしません。
セッションキープ
ユーザーがHTTPリダイレクト機能を利用して任意のWebページにアクセスし認証を行い、認証許可となった場合に、接続しようとしたWebページを自動的に表示します。
Note
- セッションキープはHTTPリダイレクトが有効の場合のみ動作します。
Note
- 802.1X認証やMACベース認証と併用している場合、802.1X認証やMACベース認証のHELDが解除されると、セッションキープも解除されます。
Note
- 認証成功時、HTTPリダイレクトよりもセッションキープの方が優先されます。
本製品をAuthenticatorとし、Web認証を行う場合の基本設定を示します。
Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。
以下の設定では、Web Supplicantには、対応Webブラウザーが搭載されており、「http://10.0.0.1:3000」にアクセスするものとします。 Web Supplicantには、IPアドレスとデフォルトゲートウェイの設定が必要です。
Web Supplicantから認証情報として、「ユーザー名:WebUserA」/「パスワード:WebPasswordA」が入力され、認証に成功すると、Web Supplicantは、VLAN-1(VID=1) で通信が可能になります。
■ 構成
■ 認証サーバー(RADIUSサーバー)には、以下のように設定されているものとします。
表 5
| User-Name |
User-Password |
備考 |
| WebUserA |
WebPasswordA |
Web Supplicant用のユーザー名/パスワード |
認証方式は、PAPを指定します。
■ 設定
- RADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。最初に、IPアドレスを設定します。
ADD IP INT=VLAN1 IP=192.168.10.5 MASK=255.255.255.0 ↓
- RADIUSサーバーを登録します。IPアドレスとUDPポート、共有パスワードを指定します。
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
- ポート認証機能を有効にします。
- ポート1でWeb認証を行うよう設定します。SET PORTAUTH PORTコマンドの「PORTAUTH=WEBBASED TYPE=AUTHENTICATOR」の指定により、ポート1はWeb認証のAuthenticatorポートとなります。
SET PORTAUTH=WEBBASED PORT=1 TYPE=AUTHENTICATOR MODE=MULTI ↓
- Web サーバーを設定します。「IPADDRESS=10.0.0.1 PORT=3000」の指定により、「http://10.0.0.1:3000」 でアクセス可能にします。
SET WEBAUTHSERVER IPADDRESS=10.0.0.1 PORT=3000 ↓
- Web認証サーバーを有効にします。
Note
- Web認証を指定したポートでは、自動的に 「MODE=MULTI」が設定されます。
HTTPSサーバー機能を使用することにより、Web認証時の本製品との通信を暗号化することができます。
自己認証による設定例
ここでは本製品自身によって発行された公開鍵証明書を使用したHTTPSサーバーの設定を示します。
■ 構成
■ 設定
- RSA公開鍵を鍵番号｢0｣として生成します。推奨鍵長は1024ビットです。
CREATE ENCO KEY=0 TYPE=rsa LENGTH=1024 DESCRIPTION=my-rsa-key ↓
Note
- RSA公開鍵の作成には時間がかかります。「Key Generation completed with [Success]」と表示されるまで待ってから、次の手順に進んでください。また、RSA公開鍵の作成を行うと、CPUに処理に負荷がかかるため、スイッチの動作に影響を与えます。RSA公開鍵の作成は、本製品をネットワークに接続していない状態かネットワークの負荷が低いときに行うことをお勧めします。
Note
- CREATE ENCO KEYコマンドはコンソールから入力したときだけ有効なコマンドです。設定ファイルにこのコマンドを記述しておいても無効ですのでご注意ください。また、本コマンドで作成された鍵設定はユーザーがアップロード・ダウンロード可能な設定ファイルには保存されませんので、設定のバックアップを行う場合には、本製品からアップロードした設定ファイルとは別に設定コマンド自体をテキストファイルなどで保管してください。
Note
- 鍵番号は0〜65535の範囲で自由に選択できます。以後、鍵は番号だけで識別することになるため、鍵を作成するときは、CREATE ENCO KEYコマンドのDESCRIPTIONパラメーターを使って、鍵の用途などコメントを付けておくとよいでしょう。このコメントはSHOW ENCO KEYコマンドで表示されます。
- 公開鍵証明書の発行を行うために、本製品のX.500識別名（DN = Distinguished Name）を設定します。これは、SET SYSTEM DISTINGUISHEDNAMEコマンドで行います。
SET SYSTEM DISTINGUISHEDNAME="cn=1.1.1.1,o=toy-organization,ou=toy-organization-unit,l=toy-city,st=toy-pref,c=jp" ↓
ここでは、下記の各属性値を設定しています。
表 6
| 属性名 |
名称 |
設定値 |
| CN |
Common Name |
1.1.1.1 |
| O |
Organization |
toy-organization |
| OU |
Organization Unit |
toy-organization-unit |
| L |
Locality |
toy-city |
| ST |
State or Province |
toy-pref |
| C |
Country |
jp |
Note
- CN（Common Name）には Web認証サーバーへのアクセス専用IPアドレスの指定を推奨します。
- 生成した RSA 公開鍵を使用して、公開鍵証明書を発行します。ここでは発行した証明書の名前を｢my-cert｣、シリアル番号を｢0｣とします。
CREATE PKI CERTIFICATE=my-cert KEYPAIR=0 SERIALNUMBER=0 ↓
本コマンド実行により、本製品のファイルシステム上に公開鍵証明書｢my-cert.cer｣が発行されます。
Note
- このコマンドはコンソールから入力したときだけ有効なコマンドです。設定ファイルにこのコマンドを記述しておいても無効ですのでご注意ください。また、本コマンドで作成された公開鍵証明書は設定ファイルには含まれませんのでご注意ください。
- 発行した公開鍵証明書を証明書データベースへ登録します。ここでは証明書データベースへの登録名を｢for https server｣とします。
ADD PKI CERTIFICATE="for https server" LOCATION=my-cert.cer TYPE=SELF TRUSTED=yes ↓
- IPインターフェースを作成します。
ADD IP INTERFACE=vlan1 IPADDRESS=192.168.1.1 MASK=255.255.255.0 ↓
- RADIUS サーバーの設定を行います。ここではシークレットの値を｢secret｣とします。
ADD RADIUSSERVER SERVER=192.168.1.254 ORDER=1 SECRET=secret ↓
- ポート1にポート認証機能として、Web認証を設定します。
SET PORTAUTH=webbased PORT=1 TYPE=authenticator ↓
- Web認証サーバーへのアクセス専用IPアドレスを設定します。さらにWeb認証でHTTPSを使用するための設定を行います。
SET WEBAUTHSERVER IPADDRESS=1.1.1.1 SECURITY=enabled SSLKEYID=0 ↓
- Web認証サーバーを有効にします。
- ポート認証機能を有効にします。
Note
- 上記設定でHTTPS接続を開始すると、お使いのブラウザーによっては、下図のような「警告ウィンドウ」が表示される場合があります。｢はい（Y）｣をクリックすることで、認証ページへ移動することができます。
外部認証による設定例
ここでは第三者機関によって発行された公開鍵証明書を使用したHTTPSサーバーの設定を示します。
■ 構成
■ 設定
- RSA公開鍵を鍵番号｢0｣として生成します。推奨鍵長は1024ビットです。
CREATE ENCO KEY=0 TYPE=rsa LENGTH=1024 DESCRIPTION=my-rsa-key ↓
Note
- RSA公開鍵の作成には時間がかかります。「Key Generation completed with [Success]」と表示されるまで待ってから、次の手順に進んでください。また、RSA公開鍵の作成を行うと、CPUに処理に負荷がかかるため、スイッチの動作に影響を与えます。RSA公開鍵の作成は、本製品をネットワークに接続していない状態かネットワークの負荷が低いときに行うことをお勧めします。
Note
- CREATE ENCO KEYコマンドはコンソールから入力したときだけ有効なコマンドです。設定ファイルにこのコマンドを記述しておいても無効ですのでご注意ください。また、本コマンドで作成された鍵設定はユーザーがアップロード・ダウンロード可能な設定ファイルには保存されませんので、設定のバックアップを行う場合には、本製品からアップロードした設定ファイルとは別に設定コマンド自体をテキストファイルなどで保管してください。
Note
- 鍵番号は0〜65535の範囲で自由に選択できます。以後、鍵は番号だけで識別することになるため、鍵を作成するときは、CREATE ENCO KEYコマンドのDESCRIPTIONパラメーターを使って、鍵の用途などコメントを付けておくとよいでしょう。このコメントはSHOW ENCO KEYコマンドで表示されます。
- 公開鍵証明書の発行要求を行うために、本製品のX.500識別名（DN = Distinguished Name）を設定します。これは、SET SYSTEM DISTINGUISHEDNAMEコマンドで行います。
SET SYSTEM DISTINGUISHEDNAME="cn=1.1.1.1,o=toy-organization,ou=toy-organization-unit,l=toy-city,st=toy-pref,c=jp" ↓
ここでは各属性値を下記に設定しています。
表 7
| 属性値 |
設定値 |
| CN（Common Name） |
1.1.1.1 |
| O（Organization） |
toy-organization |
| OU（Organization Unit） |
toy-organization-unit |
| L（Locality） |
toy-city |
| ST（State or Province） |
toy-pref |
| C（Country） |
jp |
Note
- CN（Common Name）には Web認証サーバーへのアクセス専用IPアドレスの指定を推奨します。
- 生成した RSA 公開鍵を使用して公開鍵証明書の発行要求ファイルを生成します。ここでは証明書発行要求ファイルの名前を｢enroll_pem｣、エンコード形式をPEM（Privacy Enhanced Mail）形式とします。
CREATE PKI ENROLLMENTREQUEST="enroll_pem" KEYPAIR=0 FORMAT=pem ↓
本コマンド実行により、本製品のファイルシステム上に証明書発行要求ファイル ”enroll_pem.csr” が生成されます。
Note
- このコマンドはコンソールから入力したときだけ有効なコマンドです。設定ファイルにこのコマンドを記述しておいても無効ですのでご注意ください。また、本コマンドで作成された証明書要求ファイルは設定ファイルには含まれませんのでご注意ください。
- 生成した証明書発行要求ファイルをUPLOADコマンドでTFTPサーバーなどにアップロードし、それをCAに渡します。CAから証明書が発行され、証明書ファイルが作成されます。ここでは発行された証明書を｢cert.cer｣とします。また、CA自体の証明書を｢ca_cert.cer｣とします。
- 発行された公開鍵証明書およびCA自体の証明書をTFTPサーバーなどへ置き、LOADコマンドでロードします。ロードした各ファイルを証明書データベースへ登録します。ここでは証明書データベース上の名前をそれぞれ、｢for https server｣、｢ca｣とします。
ADD PKI CERTIFICATE="ca" LOCATION=ca_cert.cer TRUSTED=yes TYPE=CA ↓
ADD PKI CERTIFICATE="for https server" LOCATION=cert.cer TRUSTED=yes TYPE=EE ↓
- IPインターフェースを作成します。
ADD IP INTERFACE=vlan1 IPADDRESS=192.168.1.1 MASK=255.255.255.0 ↓
- RADIUS サーバーの設定を行います。ここではシークレットの値を｢secret｣とします。
ADD RADIUSSERVER SERVER=192.168.1.254 ORDER=1 SECRET=secret ↓
- ポート1にポート認証機能として、Web認証を設定します。
SET PORTAUTH=webbased PORT=1 TYPE=authenticator ↓
- Web認証サーバーへのアクセス専用IPアドレスを設定します。さらにWeb認証でHTTPSを使用するための設定を行います。
SET WEBAUTHSERVER IPADDRESS=1.1.1.1 SECURITY=enabled SSLKEYID=0 ↓
- Web 認証サーバーを有効にします。
- ポート認証機能を有効にします。
ダイナミックVLAN（Dynamic VLAN Assignment）は、RADIUSサーバーから受け取った認証情報に基づいてポートの所属VLANを動的に変更する機能です。
Supplicantが認証された後、Supplicantの所属VLANおよび、ポートをどのVLANに移動させるかは、SET PORTAUTH PORTコマンドの、VLANASSIGNMENTパラメーター、VLANASSIGNMENTTYPEパラメーターで設定します。
各設定を組み合わせた場合の、動作は以下のようになります。
表 8
| VLANASSIGNMENT |
VLANASSIGNMENTTYPE |
認証後のSupplicant の所属VLAN |
| DISABLED |
- |
ポートのVLAN |
| ENABLED |
PORT |
ポートのVLANまたは最初のSupplicantに指定されたVLAN。ポートの所属するVLANと通信については下記の「■VLANASSIGNMENT=ENABLE、VLANASSIGNMENTTYPE=PORTのとき」をご覧ください。 |
| ENABLED |
USER(Multi-Supplicantモード時のみ) |
認証サーバーから指定されたVLAN。Supplicant単位でVLANが割り当てられる（マルチプルダイナミックVLAN）。Supplicantの所属するVLANと通信については下記の「■VLANASSIGNMENT=ENABLED、VLANASSIGNMENTTYPE=USERのとき」をご覧ください。 |
■ VLANASSIGNMENT=ENABLE、VLANASSIGNMENTTYPE=PORTのとき
- Supplicantの認証に失敗した場合、ポートは本来のVLAN（ADD VLANコマンドで指定したVLAN）の所属となります。ポート越えの通信は不可能です。
- RADIUSサーバーから有効なVLANの情報が返ってきた場合、ポートはそのVLANの所属となります。認証に成功すれば、ポート越えの通信も可能です。
- RADIUSサーバーから無効なVLANの情報が返ってきた場合、ポートは本来のVLAN所属となります。また、認証も失敗となるため、ポート越えの通信は不可能です。
- RADIUSサーバーからVLANの情報が返ってこなかった場合、ポートは本来のVLAN所属となります。認証に成功すれば、ポート越えの通信も可能です。
- 該当ポートまたはシステム全体でポート認証が無効に設定された場合、ポートは本来のVLAN所属となります。ポート認証が無効なので、ポート越えの通信に関する制限はありません。
- 未認証のポート、および、CONTROL=UNAUTHORISED（未認証固定）またはCONTROL=AUTHORISED（認証済み固定）に設定されたポートは、本来のVLAN所属となります。
- ポートがダイナミックVLANにアサインされているとき、ポートがダイナミックVLANから本来のVLANに戻るのは、次のときです。
- 認証済みのSupplicantがいなくなったとき。
- リンクがダウンしたとき。
- システム上でポート認証が無効にされたとき（DISABLE PORTAUTHコマンド）。
■ VLANASSIGNMENT=ENABLE、VLANASSIGNMENTTYPE=USERのとき（マルチプルダイナミックVLAN）
- Supplicantの認証に失敗した場合、Supplicantは本来のVLAN（ADD VLANコマンドで指定したVLAN）の所属となります。ポート越えの通信は不可能です。
- RADIUSサーバーから有効なVLANの情報が返ってきた場合、SupplicantはそのVLANの所属となります。認証に成功すれば、ポート越えの通信も可能です。
- RADIUSサーバーから無効なVLANの情報が返ってきた場合、Supplicantは本来のVLAN所属となります。また、認証も失敗となるため、ポート越えの通信は不可能です。
- RADIUSサーバーからVLANの情報が返ってこなかった場合、Supplicant本来のVLAN所属となります。認証に成功すれば、ポート越えの通信も可能です。
- 該当ポートまたはシステム全体でポート認証が無効に設定された場合、Supplicantは本来のVLAN所属となります。ポート認証が無効なので、ポート越えの通信に関する制限はありません。
- 未認証のポート、および、CONTROL=UNAUTHORISED（未認証固定）またはCONTROL=AUTHORISED（認証済み固定）に設定されたポート上のSupplicantは、本来のVLAN所属となります。
「ダイナミックVLANの設定例」を参照してください。
ゲストVLANを使用すると、認証前および、認証に失敗したSupplicantが所属するVLANを指定できます。
未認証のSupplicantの所属するVLAN を SET PORTAUTH PORTコマンドのGUESTVLANパラメーターで指定することができます。ゲストVLAN 内では、通信が可能です。
Note
- ゲストVLANに指定するVLAN は、CREATE VLANコマンドに、L2ONLYパラメーターを指定して作成します。具体例は「ゲストVLANの設定例」を参照してください。
Note
- 認証ポートとタグ付きポートを併用する場合は、ゲストVLANは使用できません。
ポートをリンクダウンさせずに、同一スイッチ内の他のポートにSupplicantが移動した場合、再認証せずに、通信を続けることができます。
■ 構成例
上記構成で、Supplicantが、P1に接続されているHUB1から、P2に接続されているHUB2に移動した場合、認証情報が引き継がれ、再認証せずに、通信を継続可能です。ポート移動は、802.1X認証、MACベース認証、Web認証のすべての認証方式で可能です。
■ ポート移動を可能にするには、以下の条件があります。
- 移動元と移動先ポートの認証方式が同じであること。
- 移動元と移動先ポートで、SET PORTAUTH PORTコマンドのVLANASSIGNMENTTYPEパラメーターが同じであること。
- 移動元と移動先ポートで、SET PORTAUTH PORTコマンドのPORTMOVEREAUTHパラメーターがENABLEDになっていること。
- SET PORTAUTH PORTコマンドに「VLANASSIGNMENTTYPE=PORT」が指定されている場合、移動元と移動先ポートにゲストVLANやダイナミックVLANが設定されていないこと。
Note
- リンクダウン・リンクアップ時にEAPOL-Startを送出するSupplicant（Windows XP SP3、Windows Vistaなど）は、再認証を行わずにポート移動させることはできません。
1つのポートに複数の認証アルゴリズム（802.1X認証/MACベース認証/Web認証）を設定できます。
認証アルゴリズムを併用した場合は、下記の動作となります。
- 認証メカニズムは同時に実行（RADIUSサーバーと通信）することはできない。1つの認証メカニズムが実行中の場合、他は待ち状態となる。
- MACベース認証/Web認証と併用した場合は802.1Xも必ずMulti-Supplicantモードとなる。
- 1つの認証メカニズムで認証が成功すれば、認証許可状態となる。
- 802.1X/MACベース認証を併用した場合、MACベース認証が先に実行されるが、EAPOL-Startを受信したときはただちに802.1X認証が実行される。
- 802.1X/MACベース認証を併用した場合、MACベース認証でHELDになると同時にEAP-RequestをSupplicantに送信する。
- 802.1X/MACベース認証は1回目の認証の失敗でHELD状態となる。Web認証は3回連続で認証に失敗した場合にHELD状態となる（ただし、すべての認証アルゴリズムを併用している場合、3回失敗してもWeb認証はHELD状態にならない）。HELD期間はQUIETPERIODパラメーターに依存する。HELD状態は1つの認証メカニズムで認証が成功すれば、解除される。
- 802.1X/Web認証ではConnecting時に「ユーザー名」と「パスワード」を入力させるタイミングが存在する。入力されてボタンが押されるまでは他の認証アルゴリズムを実行することができる。
- 802.1X/MACベース認証はREAUTHPERIODパラメーターで設定した再認証間隔を過ぎると再認証を実行し、HELDになった場合、未認証状態となる。Web認証は再認証間隔を過ぎると強制的に未認証状態となる。
- 802.1X/MACベース認証において再認証は認証に成功した認証メカニズムに対してHELDとなった場合にのみ未認証状態となる。
- 1つの認証メカニズムがHELD→CONNECTINGになった時、他の認証メカニズムがCONNECTINGであれば、Supplicant情報は削除される。
- 認証アルゴリズムを併用し、1つの認証アルゴリズムで認証許可状態となった場合、その認証が解除されるまで、他の認証アルゴリズムは動作しない。ただし MACベース認証で認証許可状態で、EAPOL-Startを受信したときは、MACベース認証が解除され、802.1X認証が実行される。
■ Supplicantの状態と遷移
- Initialize
初期化状態。処理終了後、Disconnectedに移行する。
※現状設定変更があるといったんリセットしているのでこの状態になることはない。
- Disconnected
未認証（リセット）状態。サプリカントがどの状態であったとしても以下のイベントが発生した場合にこの状態になる。
- EAPOL-Logoff受信時
- WEB画面でログアウトボタンを押した時
- Ageoutした時
処理終了後、Connectingに移行する。
- Connecting
認証開始待ち状態。HELD期間中はその認証アルゴリズムは実行できない。HELD期間でない場合に以下のイベントが発生することで Authenticatingに移行する。
- MACベース認証：フレームを受信
- 802.1X認証：EAP-Responseを受信
- Web認証：「ユーザー名」と「パスワード」を入力してログインボタンを押す
Connectingの状態でアクセスがない場合SuppAgeout Timer (300秒固定) 経過後に、Supplicant情報は削除される。
- Authenticating
RADIUS SERVERと通信中の状態。通信結果を受けて以下のどれかに移行する。
（Authenticated）
- RADIUS SERVERからAccess-Acceptを受信し、正常にVLAN移動が終了した（認証アルゴリズムの内、どれか1つでも成功すればよい）
（Aborting）
- 再認証が発生
- EAPOL-Start受信
- EAPOL-Logoff受信
- RADIUS SERVERから応答がなかった
（HELD）
- RADIUS SERVERからAccess-Rejectを受信
- RADIUS SERVERからAccess-Acceptを受信したが、VLAN移動で異常が発生した場合（不正なAccess-Accept/指定されたVLANが存在しない/指定されたVLANのTypeがPort Based以外/ Secure設定されていて1台目と違うVLANが指定された/ VLANの移動に失敗した）
- Authenticated
認証許可状態。再認証期間を過ぎることで802.1X認証/MACベース認証はConnectingに移行する。Web認証は Disconnectedに移行する。
- Aborting
RADIUSとの通信状態を初期化している状態。処理終了後、Disconnectedに移行する。
- Held
一定期間認証をブロックする状態。認証アルゴリズムごとに存在するため、HELD以外の認証アルゴリズムは実行することができる。（他の認証アルゴリズムはConnectingとなる）認証が成功するとすべてHELDがリセットされる。
- ForceAuth
強制的にすべてのサプリカントを認証成功にする状態。
- ForceUnauth
強制的にすべてのサプリカントを未認証にする状態。
■ 構成
■ 認証サーバー(RADIUSサーバー)には、以下のように設定されているものとします。
表 9
| User-Name |
User-Password |
備考 |
| user1 |
password1 |
PC1 802.1X Supplicant用のユーザー名/パスワード |
| a1:b2:c3:d4:e5:f6 |
a1:b2:c3:d4:e5:f6 |
PC2 MAC Supplicant用のユーザー名/パスワード |
| user3 |
password3 |
PC3 WEB Supplicant用のユーザー名/パスワード |
■ 設定
- RADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。最初に、IPアドレスを設定します。
ADD IP INT=VLAN1 IP=192.168.10.5 MASK=255.255.255.0 ↓
- RADIUSサーバーを登録します。IPアドレスとUDPポート、共有パスワードを指定します。
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
- ポート認証機能を有効にします。
- ポート1で802.1X認証を行うよう設定します。SET PORTAUTH PORTコマンドの「PORTAUTH=8021X TYPE=AUTHENTICATOR」の指定により、ポート1は802.1X認証のAuthenticatorポートとなります。
SET PORTAUTH=8021X PORT=1 TYPE=AUTHENTICATOR MODE=MULTI VLANASSIGNMENTTYPE=USER ↓
- ポート1でMACベース認証を行うよう設定します。SET PORTAUTH PORTコマンドの「PORTAUTH=MACBASED TYPE=AUTHENTICATOR」の指定により、ポート1はMACベース認証のAuthenticatorポートとなります。同一ポートでの ポート認証のパラメーターの設定は 全認証方式で共通であるため、以下の設定で、MACベース認証でも「MODE=MULTI VLANASSIGNMENTTYPE=USER」で機能します。
SET PORTAUTH=MACBASED PORT=1 TYPE=AUTHENTICATOR ↓
- ポート1でWeb認証を行うよう設定します。SET PORTAUTH PORTコマンドの「PORTAUTH=WEBBASED TYPE=AUTHENTICATOR」の指定により、ポート1はWeb認証のAuthenticatorポートとなります。
SET PORTAUTH=WEBBASED PORT=1 TYPE=AUTHENTICATOR ↓
- Web認証サーバーを設定します。IPADDRESS=10.0.0.1の指定により、「http://10.0.0.1」でアクセス可能にします。
SET WEBAUTHSERVER IPADDRESS=10.0.0.1 ↓
- Web認証サーバーを有効にします。
ダイナミックVLAN（Dynamic VLAN Assignment）は、RADIUSサーバーから受け取った認証情報に基づいてポートの所属VLANを動的に変更する機能です。
以下、本製品をAuthenticatorとして使用し、さらにダイナミックVLAN機能を利用する場合の基本設定を示します。Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。
利用者機器のために3つのVLAN「A」、「B」、「C」を用意します。また、RADIUSサーバーを接続するためのVLAN「R」も作成します。各ポートに接続された機器は、認証成功後、RADIUSサーバー側から返されたVLAN-Bに自動的にアサインされます。
ここでは、ポート1〜16で802.1X認証を行うものとします。また、RADIUSサーバーは、VLAN「R」所属のポート24（通常のポート）に接続されているものとします。
Note
- 以下の例は、802.1X Supplicantを使用していますが、MACベース認証、Web認証でも同様に動作します。
Note
- Web認証では、Web認証サーバーの設定も必要です。「テンポラリーIPアドレスを利用する場合の設定例」を参照してください。
Note
- 認証ポートとタグ付きポートを併用する場合は、ダイナミックVLANは使用できません。
Note
- L3構成にてダイナミックVLANとDHCPサーバーを使用時に、Web認証で元のVLAN以外にアサインされた後、REAUTHPERIODの時間が経過するとWeb認証画面へアクセスできなくなります。アクセスできるようにするためにはSupplicantでIPアドレスを再取得する必要があります。また、L2構成の場合にはWeb認証で元のVLAN以外にアサインされた後、Web認証画面へアクセスできません。
■ 構成
■ 認証サーバー(RADIUSサーバー)には、以下のように設定されているものとします。
表 10
| User-Name |
User-Password |
Tunnel-Type |
Tunnel-Medium-Type |
Tunnel-Private-Group-ID |
備考 |
| user1 |
password1 |
VLAN (13) |
IEEE-802 (6) |
20 |
802.1X Supplicant用のユーザー名/パスワードおよび、認証後に所属させる VLAN |
■ 設定
- VLANを作成します。
CREATE VLAN=A VID=10 ↓
CREATE VLAN=B VID=20 ↓
CREATE VLAN=C VID=30 ↓
CREATE VLAN=R VID=1000 ↓
- RADIUSサーバーを接続するポート24をVLAN「R」に割り当てます。
- RADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。最初に、IPアドレスを設定します。
ADD IP INT=VLAN-R IP=192.168.10.5 MASK=255.255.255.0 ↓
- RADIUSサーバーを登録します。IPアドレスとUDPポート、共有パスワードを指定します。
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
- ポート認証機能を有効にします。
- ポート1〜16で802.1X認証を行うよう設定します。SET PORTAUTH PORTコマンドの「PORTAUTH=8021X TYPE=AUTHENTICATOR」の指定により、ポート1は802.1X認証のAuthenticatorポートとなります。 また、「VLANASSIGNMENT=ENABLED」の指定により、ダイナミック VLANを有効にします。
SET PORTAUTH=8021X PORT=1-16 TYPE=AUTHENTICATOR VLANASSIGNMENT=ENABLED ↓
Note
- RADIUSサーバーを接続するポートは、Authenticatorポートにしないでください。SET PORTAUTH PORTコマンドのTYPE/ROLEパラメーターをNONEに設定してください。
Note
- Web認証では、Web認証サーバーの設定も必要です。「テンポラリーIPアドレスを利用する場合の設定例」を参照してください。
ゲストVLAN を使用すると、認証前および、認証失敗した Supplicantが所属するVLANを指定できます。
以下の設定では、認証前および、認証失敗した 802.1X Supplicantは、VLAN-Bに所属しています。
認証が成功すると、VLAN-Aで通信が可能です。
Note
- 認証ポートとタグ付きポートを併用する場合は、ゲストVLANは使用できません。
■ 構成
■ 認証サーバー(RADIUSサーバー)には、以下のように設定されているものとします。
表 11
| User-Name |
User-Password |
Tunnel-Type |
Tunnel-Medium-Type |
Tunnel-Private-Group-ID |
備考 |
| user1 |
password1 |
VLAN (13) |
IEEE-802 (6) |
10 |
802.1X Supplicant1用のユーザー名/パスワード |
| user2 |
password2 |
VLAN (13) |
IEEE-802 (6) |
10 |
802.1X Supplicant2用のユーザー名/パスワード |
| user3 |
password3 |
VLAN (13) |
IEEE-802 (6) |
10 |
802.1X Supplicant3用のユーザー名/パスワード |
■ 設定
- VLANを作成します。
- ゲストVLANを作成します。ルーティングさせないように、L2ONLYパラメーターを指定します。
CREATE VLAN=B VID=20 L2ONLY ↓
- RADIUSサーバーを接続するポート24をVLAN「A」に割り当てます。
- RADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。最初に、IPアドレスを設定します。
ADD IP INT=VLAN-A IP=192.168.10.5 MASK=255.255.255.0 ↓
- RADIUSサーバーを登録します。IPアドレスとUDPポート、共有パスワードを指定します。
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
- ポート認証機能を有効にします。
- ポート1〜16で802.1Xを行うよう設定します。SET PORTAUTH PORTコマンドの「PORTAUTH=8021X TYPE=AUTHENTICATOR」の指定により、ポート1は802.1X認証のAuthenticatorポートとなります。
「GUESTVLAN=20」の指定により、ゲストVLAN は、VLAN-Bとなります。また、「VLANASSIGNMENTTYPE=USER」の指定により、接続している Supplicantごとに、VLAN が割り当てられます。（マルチプルダイナミックVLAN）
SET PORTAUTH=8021X PORT=1-16 TYPE=AUTHENTICATOR MODE=MULTI VLANASSIGNMENTTYPE=USER GUESTVLAN=20 ↓
Note
- Multi-supplicantモードで ゲストVLANを使用する場合、「VLANASSIGNMENTTYPE=USER」に指定する必要があります。
Web SupplicantがDHCPでIPアドレスを取得する場合、未認証のWeb SupplicantはIPアドレス取得前であるため、Web認証サーバーへアクセスできません。テンポラリーIPアドレスは、Web認証サーバーへアクセスできるように、スイッチのDHCPサーバーを使用し、未認証のWeb SupplicantにIPアドレスを一時的(LeaseTime 20秒)に付与する機能です。
本製品をAuthenticatorとし、テンポラリーIPアドレスを利用した、Web認証を行う場合の基本設定を示します。
テンポラリーIPアドレス機能を使用するには、DHCPサーバーの設定が必要です。
Web Supplicantには、IPアドレスを設定せず、DHCPクライアント機能を有効にします。
以下の設定では、Web Supplicant には、DHCPサーバーより テンポラリーIPとして VLAN-BのサブネットのIPアドレス(192.168.20.24x)が割り当てられ、搭載されている対応Webブラウザーより「http://10.0.0.1」にアクセスするものとします。
Web Supplicant1から認証情報として、「ユーザー名:WebUserA」/「パスワード:WebPasswordA」 が入力され、認証に成功すると、Web Supplicant1は、VLAN-A(VID=10) で通信が可能になります。
Web Supplicant1には、認証成功後、本製品のDHCPサーバーから、VLAN-AのサブネットのIPアドレス(192.168.10.24x)が再度割り当てられます。
■ 構成
■ 認証サーバー(RADIUSサーバー)には、以下のように設定されているものとします。
表 12
| User-Name |
User-Password |
Tunnel-Type |
Tunnel-Medium-Type |
Tunnel-Private-Group-ID |
備考 |
| WebUserA |
WebPasswordA |
VLAN (13) |
IEEE-802 (6) |
10 |
PC1 Web Supplicant1用のユーザー名/パスワードおよび、認証後に所属させるVLAN |
| WebUserB |
WebPasswordB |
VLAN (13) |
IEEE-802 (6) |
10 |
PC2 Web Supplicant2用のユーザー名/パスワードおよび、認証後に所属させる VLAN |
認証方式は、PAP を指定します。
■ 設定
- VLANを作成します。
CREATE VLAN=A VID=10 ↓
CREATE VLAN=B VID=20 ↓
- VLANにポートを割り当てます。
ADD VLAN=A PORT=24 ↓
ADD VLAN=B PORT=1-23 ↓
- VLANにIPアドレスを割り当てます。
ADD IP INT=VLAN-A IP=192.168.10.5 MASK=255.255.255.0 ↓
ADD IP INT=VLAN-B IP=192.168.20.5 MASK=255.255.255.0 ↓
- RADIUSサーバーを登録します。IPアドレスとUDPポート、共有パスワードを指定します。
ADD RADIUSSERVER SERVER=192.168.10.130 ORDER=1 PORT=1812 ACCPORT=1813 SECRET=himitsu ↓
- ポート認証機能を有効にします。
- ポート1でWeb認証を行うよう設定します。SET PORTAUTH PORTコマンドの「PORTAUTH=WEBBASED TYPE=AUTHENTICATOR」の指定により、ポート1はWeb認証のAuthenticatorポートとなります。また、マルチプルダイナミックVLAN（ユーザー単位のダイナミックVLAN）を設定します。
SET PORTAUTH=WEBBASED PORT=1 TYPE=AUTHENTICATOR MODE=MULTI VLANASSIGNMENTTYPE=USER ↓
- Web認証サーバーを設定します。「IPADDRESS=10.0.0.1」の指定により、「http://10.0.0.1」でアクセス可能にします。「PINGPOLL=ENABLED REAUTHREFRESH=ENABLED」の設定により、Pingポーリング機能が有効になり、SupplicantがAuthenticatorからのPingに応答している間、再認証までの時間が延長されます。「TEMPORARYIP=ENABLED」の指定により、テンポラリーIPアドレス機能が有効になります。
SET WEBAUTHSERVER IPADDRESS=10.0.0.1 PINGPOLL=ENABLED REAUTHREFRESH=ENABLED TEMPORARYIP=ENABLED ↓
- Web認証サーバーを有効にします。
- DHCPサーバーを有効にします。
- DHCPサーバーを設定します。認証成功後、所属するVLAN-AのIP インターフェース用設定です。
CREATE DHCP POLICY=mypolicy1 LEASE=7200 ↓
ADD DHCP POLICY=mypolicy1 SUBNET=255.255.255.0 ROUTER=192.168.10.5 ↓
CREATE DHCP RANGE=myip1 POLICY=mypolicy1 IP=192.168.10.240 NUMBER=10 ↓
- DHCPサーバーを設定します。VLAN-BのIPインターフェース用設定です。この設定が、テンポラリーIPアドレスとして、使用されます。
CREATE DHCP POLICY=mypolicy2 LEASE=7200 ↓
ADD DHCP POLICY=mypolicy2 SUBNET=255.255.255.0 ROUTER=192.168.20.5 ↓
CREATE DHCP RANGE=myip2 POLICY=mypolicy2 IP=192.168.20.240 NUMBER=10 ↓
Note
- ここではIPアドレスのリース時間を7200秒に指定していますが、テンポラリーIPアドレスのリース時間は20秒固定なので、リース時間7200秒の設定は有効にはなりません。
Note
- Pingポーリング機能とWeb認証のダイナミックVLANを併用する場合、スイッチにDHCPサーバーを設定する必要があります。
本製品は Supplicantにプロキシーサーバーが設定されていても、HTTPリダイレクト機能を利用して、Web認証を実行できます。 また、Supplicantの認証成功後、本製品のDHCPサーバーを使用することで、Supplicantのプロキシーサーバーを設定することもできます。
Note
- プロキシーサーバーはSupplicantと同じサブネット内ではなく、スイッチを経由したルーティング先にします。SupplicantのデフォルトゲートウェイはAuthenticatorのIPアドレスに設定します。
Note
- Supplicantのプロキシーサーバーに対応するためには HTTPリダイレクトを有効にする必要があります。
Supplicantのプロキシーサーバーを構成するには、以下の3通りの方法があります。
- WPAD（Web Proxy Auto Discovery）を使用する。
プロキシーサーバーのIPアドレス/ポート番号を意識することなく、認証後、プロキシーサーバーを通して外部にアクセスすることが可能になります。
ブラウザーはDHCP INFORMパケットにより、PAC(Proxy Auto Configuration) ファイルの位置を取得し、プロキシーサーバーの設定を自動的に構成します。
本製品の設定
- SET WEBAUTHSERVER HTTPREDIRECT=ENABLE
- SET WEBAUTHSERVER SESSIONKEEP=ENABLE
- SET WEBAUTHSERVER PROXYSERVER={プロキシーサーバーのIPアドレス}
- SET WEBAUTHSERVER PROXYPORT ={プロキシーサーバーのポート番号}
- DHCP サーバーを有効にします
Supplicantの設定
Microsoft Internet Explorerでは、[設定を自動的に検出する]オプションが相当します。
Note
- Internet Explorerで未認証のSupplicantがPACファイルを取得できなかった場合、プロキシー設定はされず、HTTPリダイレクトが機能します。
Note
- 認証成功後にWebブラウザーの再起動で PACファイルの再取得が行われます。
- PAC (Proxy Auto Configuration)ファイルを手動で設定する
プロキシーサーバーの設定を記述した、PACファイルを用意し、ネットワーク上の位置をブラウザーに設定します。
本製品の設定
- SET WEBAUTHSERVER HTTPREDIRECT=ENABLE
- SET WEBAUTHSERVER SESSIONKEEP=ENABLE
- SET WEBAUTHSERVER PROXYSERVER={プロキシーサーバーのIPアドレス}
- SET WEBAUTHSERVER PROXYPORT ={プロキシーサーバーのポート番号}
- DHCP サーバーを有効にします
Supplicantの設定
http://{PAC ファイルを配置した、サーバーのURL }/{PAC ファイル名} を設定します。
(例) http://192.168.2.2/proxy.pac
Microsoft Internet Explorerでは、[自動構成スクリプトを使用する] に、PACファイルの位置を設定します。
Note
- Internet Explorerで [自動構成スクリプトを使用する] のオプションに スイッチ以外のPACファイルを指定した場合、未認証のSupplicantはPACファイルを取得できないため、プロキシー設定はされず、HTTPリダイレクトが機能します。
Note
- 認証成功後にWebブラウザーの再起動で PACファイルの再取得が行われます。
- プロキシーサーバーを直接指定する。
プロキシーサーバーのIP アドレス、ポート番号を手動で、設定します。
本製品の設定
- SET WEBAUTHSERVER HTTPREDIRECT=ENABLE
- SET WEBAUTHSERVER SESSIONKEEP=ENABLE
- SET WEBAUTHSERVER PROXYPORT ={プロキシーサーバーのポート番号}
Supplicantの設定
Microsoft Internet Explorerでは、[LAN にプロキシサーバーを使用する] に、プロキシーサーバーのアドレス、ポート番号を設定します。
Note
- Internet Explorerではプロキシーサーバーの設定の[例外]にWeb認証サーバーのIPアドレスを設定しなければ、認証成功後、Web認証サーバーへアクセスできません。
■ PAC(Proxy Auto Configuration) ファイルについて
PACファイルには、本製品のWeb認証サーバーへのIPアドレスが、DIRECTとなるように記述してください。
以下の、PACファイルの例では、
- 10.0.0.1、192.168.1.1、192.168.3.1、192.168.4.1 へのアクセスは、プロキシーサーバーを経由せず直接アクセスします。
- それ以外の宛先へのアクセスは、192.168.1.11 のプロキシーサーバー経由でアクセスするように指定しています。
function FindProxyForURL(url,host) ↓
{ ↓
if(isPlainHostName(host) ↓
||shExpMatch(host,"10.0.0.1") ↓
||shExpMatch(host,"192.168.1.1") ↓
||shExpMatch(host,"192.168.2.1") ↓
||shExpMatch(host,"192.168.3.1") ↓
||shExpMatch(host,"192.168.4.1") ↓
) ↓
{ ↓
return "DIRECT"; ↓
} ↓
return "PROXY 192.168.1.11:8080;DIRECT"; ↓
} ↓
■ 設定例について
- SupplicantはWPADを使用します。
- 任意のWebページアクセス（たとえばhttp://www.allied-telesis.co.jp/）を行い、Web認証を行います。
- 認証成功後、任意のWebページへ自動的にアクセスします。
- Supplicantは 認証前はスイッチのDHCPサーバーから、認証成功後は外部のDHCPサーバーからIPアドレスを取得するものとします。
Supplicantの設定
- SupplicantのWebブラウザーで、WPADを有効にします。
- 認証後は、http://10.0.0.1 にアクセスすると、本製品の認証ページにアクセスできます。
外部サーバーの設定
- WPAD PC上には、PACファイルがproxy.pac というファイル名でアクセス可能とします。このproxy.pacファイルが認証後Supplicantに使用されます。
- DHCPサーバーは、Option 252として、WPAD PC上のproxy.pacファイルへのURL を答えるように構成されています。
- プロキシーサーバーは、ポート番号 8080で待ち受けているものとします。
■ 構成
■ 設定例
- 認証サーバーリストにRADIUSサーバーを追加します。
ADD RADIUS SERVER=192.168.1.11 ORDER=1 SECRET=test ↓
- VLANを作成します。
認証前のVLAN v4と認証成功後のダイナミックVLAN用のVLAN v3を作成します。
CREATE VLAN=v2 VID=2 UNTAGGEDPORT=2 ↓
CREATE VLAN=v3 VID=3 UNTAGGEDPORT=3 ↓
CREATE VLAN=v4 VID=4 UNTAGGEDPORT=1 ↓
- ポート1にWeb認証の設定をします。
SET PORTAUTH=WEBBASED PORT=1 TYPE=AUTHENTICATOR MODE=MULTI ↓
- ポート認証を有効にします。
- Web認証サーバーを設定します。
- 「TEMPORARYIP=ENABLED」の指定により、認証前のSupplicantは、スイッチのDHCPサーバーよりテンポラリーIPアドレスを取得できます。
- 「PROXYSERVER="192.168.1.11" PROXYPORT=8080」の指定により、認証前のSupplicantのプロキシーサーバーのアクセス先を、「http://192.168.1.11:8080」とするPACファイルを作成します。
- 「HTTPREDIRECT=enabled」の指定により、任意のWebサーバーへのアクセスで、Web認証のログイン画面を表示します。
- 「SESSIONKEEP=enabled」の指定により、認証成功後、自動的にWebサーバーへアクセスします。
- 「RENEWALTIME=8」の指定により、認証成功後、Webサーバーへアクセスする時間を調整します。
SET WEBAUTHSERVER IPADDRESS=10.0.0.1 PROXYSERVER="192.168.1.11" PROXYPORT=8080 HTTPREDIRECT=enabled SESSIONKEEP=enabled TEMPORARYIP=enabled RENEWALTIME=8 ↓
- Web認証サーバーを有効にします。
- VLANインターフェースにIPアドレスを設定します。
ADD IP INTERFACE=vlan1 IPADDRESS=192.168.1.1 MASK=255.255.255.0 ↓
ADD IP INTERFACE=vlan2 IPADDRESS=192.168.2.1 MASK=255.255.255.0 ↓
ADD IP INTERFACE=vlan3 IPADDRESS=192.168.3.1 MASK=255.255.255.0 ↓
ADD IP INTERFACE=vlan4 IPADDRESS=192.168.4.1 MASK=255.255.255.0 ↓
- DHCP/BOOTPリレー機能を有効にします。
DHCP/BOOTPリレーの設定で認証成功後、Supplicantが ダイナミックVLANでVLAN v3へ移動したときに 外部のDHCPサーバーより IPアドレスを取得するように設定します。
ENABLE BOOTP RELAY INTERFACE=vlan3 ↓
- DHCP/BOOTPリクエストの転送先IPアドレスを設定します。
ADD BOOTP RELAY=192.168.1.10 INTERFACE=vlan3 ↓
- DHCPポリシーを作成し、IP設定情報を追加します。
認証前にVLAN v4でSupplicantがIPアドレスを取得できるようにします。
CREATE DHCP POLICY="poli4" LEASE=60 ↓
ADD DHCP POLICY="poli4" SUBNETMASK=255.255.255.0 ↓
ADD DHCP POLICY="poli4" ROUTER=192.168.4.1 ↓
ADD DHCP POLICY="poli4" DNSSERVER=192.168.4.1 ↓
ADD DHCP POLICY="poli4" DOMAINNAME=test.com ↓
- Supplicantに貸し出すIPアドレスの範囲（DHCPレンジ）を定義します。
CREATE DHCP RANGE="ran3" POLICY="poli4" IP=192.168.4.201 NUMBER=10 ↓
- DHCPサーバーを有効にします。
- DNSサーバーリストにDNSサーバーのIPアドレスを追加します。
認証前および認証後、SupplicantでのWebページアクセスを、DNS解決できるようにします。
ADD IP DNS PRIMARY=192.168.1.10 ↓
- DNSリレー機能を有効にします。
Note
- 認証成功後、ダイナミックVLANでVLANを変更し、Supplicantが外部のDHCPサーバー(DHCPリレーを含む)を使用する場合、RenewalTimeを8以上に設定します。RenewalTimeを8以下に設定していると、認証後のページが表示されなかったり、セッションキープが機能しない場合があります。
以下が、Web認証において、Supplicant上のWebブラウザーに表示される画面/メッセージとなります。
画面に表示される一部の文字列は、SET WEBAUTHSERVERコマンドのHEADER/SUBHEADERTOP/SUBHEADERBOTTOM/FOOTERパラメーターで変更可能です。
認証成功後、リダイレクトするURLを指定するには、SET WEBAUTHSERVERコマンドのREDIRECTURLパラメーターを設定します。
認証中
以下の条件の場合、認証中は 以下の画面を表示します。
- ダイナミックVLANが有効（SET PORTAUTH PORTコマンドのVLANASSIGNMENTパラメーターがENABLED）の場合
- PVIDとは異なるVLANが ゲストVLANに設定されている場合
ユーザー認証を実行中です。サーバーからの応答により、しばらく時間がかかる場合があります。このページは、20秒以内に更新されます。認証済みページが表示されない場合は、手動でページを更新してください。
以下の条件の場合、認証中は以下の画面を表示します。
ユーザー認証が実行中です。サーバーからの応答により、しばらく時間がかかる場合があります。
認証成功
認証に成功するとこの画面を表示します。
認証されました。
認証失敗
認証に失敗するとこの画面を表示します。
ログインに失敗しました。サーバー認証が失敗しました。
エラーメッセージについて
認証失敗時に初期画面に表示されるメッセージは次のとおりです。
表 13
| 表示されるメッセージ |
エラーの原因 |
| Login Failed! Please check the supplied User Name & Password. |
空白のみの入力または、MACアドレス形式。 |
| Login Failed! Maximum sessions active. Please try later. |
同時接続数が最大数に達した。 |
| Login Failed! Could not authenticate with server. |
内部的な制限(メモリー上限等)に達し、要求が受け付けられなかった。認証処理がタイムアウトし、RADIUS サーバーとの通信が失敗した。 |
| Login Failed! Could not authenticate. Please check Username & Password. |
RADIUSサーバーで認証に失敗した。 |
| Login Failed! Could not start authentication. Please try later. |
Held/Lockout状態になった。 |
| Login Failed! Could not authenticate. |
別のSupplicantが認証中。ポートの設定が未認証固定に手動設定されている。 |
再認証中
再認証中はこの画面を表示します。
ユーザー認証を実行中です。サーバーからの応答により、しばらく時間がかかる場合があります。このページは20秒以内に更新されます。認証済みのページが表示されない場合は、手動でページを更新してください。
Note
- 本製品の配下のルーターからなど、本製品と異なるセグメントのSupplicantから、Web認証画面へのアクセスは受け付けられません。
Note
- 本製品をレイヤー3スイッチとして使用する構成の場合、ダイナミックVLANとDHCPサーバー使用時に、Web認証で元のVLAN以外にアサインされた後、ログアウトすると、Web認証画面にアクセスできません。アクセスする場合には、SupplicantでIPアドレスを再取得する必要があります。また、レイヤー2スイッチとして使用する構成の場合、Web認証でゲストVLAN以外にアサインされた後、Web認証画面へアクセスできません。
Note
- 本製品をレイヤー3スイッチとして使用する構成の場合、ゲストVLANとDHCPサーバー使用時に、Web認証でゲストVLAN以外にアサインされた後、REAUTHPERIOD（Supplicantの再認証間隔）の時間経過後に、Web認証画面にアクセスできません。また、本製品をレイヤー2スイッチとして使用する構成の場合、Web認証で元のVLAN以外にアサインされた後、Web認証画面へアクセスできません。
ポート認証機能を利用するために必要な認証サーバー（RADIUSサーバー）の設定項目について簡単に説明します。
Note
- 認証サーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。
- 802.1X認証方式を使用する場合、ユーザーごとに下記の属性を定義してください。
表 14
| 属性名 |
属性値 |
備考 |
| User-Name |
ユーザー名 |
認証対象のユーザー名（例："user1", "userB"） |
| User-Password |
パスワード |
（EAP-MD5、PEAP(EAP-MSCHAPv2)、TTLS使用時）ユーザー名に対応するパスワード（例："dbf8a9hve", "h1mi2uDa4o"）。EAP-TLS使用時は不要です（別途、ユーザー電子証明書の用意が必要です） |
認証方式は、EAP-MD5、PEAP(EAP-MSCHAPv2)、TLS、TTLSを指定します。
Note
- 認証方式としてEAP-TLSを使う場合は、RADIUSサーバーの電子証明書と各ユーザーの電子証明書を用意し、各コンピューター上に適切にインストールしておく必要があります。認証方式としてEAP-PEAP、EAP-TTLSを使う場合は、RADIUSサーバーの電子証明書を用意し、各コンピューター上に適切にインストールしておく必要があります。詳細はRADIUSサーバーおよびSupplicant（OSや専用ソフトウェアなど）のマニュアルをご参照ください。
- MACベース認証方式を使用する場合、機器ごとに下記の属性を定義してください。
表 15
| 属性名 |
属性値 |
備考 |
| User-Name |
MACアドレス |
認証対象機器のMACアドレス（例："00-00-f4-11-22-33"）。a〜fは小文字で指定します。 |
| User-Password |
MACアドレス |
認証対象機器のMACアドレス。User-Nameと同じ値を指定します。 |
認証方式は、PAPを指定します。
- Web認証方式を使用する場合、ユーザーごとに下記の属性を定義してください。
表 16
| 属性名 |
属性値 |
備考 |
| User-Name |
ユーザー名 |
ユーザー名を指定します。 |
| User-Password |
パスワード |
ユーザー名に対応するパスワードを指定します。 |
認証方式は、PAPを指定します。
- ダイナミックVLANを使用するときは、前述の諸属性に加え、下記の3属性を追加設定してください。
表 17
| 属性名 |
属性値 |
備考 |
| Tunnel-Type |
VLAN (13) |
固定値。指定方法はサーバーに依存 |
| Tunnel-Medium-Type |
IEEE-802 (6) |
固定値。指定方法はサーバーに依存 |
| Tunnel-Private-Group-ID |
VLAN名かVLAN ID |
認証対象のユーザーや機器が認証をパスした後に所属させるVLANの名前かVLAN ID（例："sales", 10） |
Note
- 「ダイナミックVLANの設定例」を参照してください。
(C) 2006-2011 アライドテレシスホールディングス株式会社
PN: 613-000699 Rev.E