[index] CentreCOM Secure HUB FS980Mシリーズ コマンドリファレンス 5.4.6
Note - ポート認証機能をAMF接続ポート上で使用することはできません。詳細はAMFの導入編をご覧ください。
Note - 標準でインストールされる拡張機能/アドオン類以外を使用している場合、正常に開けない場合があります。
Note - MACベース認証では、認証成功したSupplicantのMACアドレスはFDBにダイナミックMACアドレスとして登録されます。したがってエージアウトによりFDBから削除されると、認証情報も削除（認証解除）されます。802.1X認証とWeb認証では、認証成功したSupplicantのMACアドレスはFDBにスタティックMACアドレスとして登録されます。
Note - L2スイッチの本製品でWeb認証を使用する場合（Supplicantのデフォルトゲートウェイが本製品でない場合）、Web認証サーバーは仮想アドレスで待ち受ける必要があります。そのためには、auth-web-server ipaddressコマンドかauth-web-server dhcp ipaddressコマンドの設定が必要です。
awplus(config)# interface vlan1 ↓ awplus(config-if)# ip address 172.16.10.1/24 ↓ awplus(config-if)# exit ↓ |
awplus(config)# radius-server host 172.16.10.2 key himitsu ↓ |
awplus(config)# aaa authentication dot1x default group radius ↓ |
awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# dot1x port-control auto ↓ |
Note - 認証機能の有効なポートでは認証成功時にスパニングツリープロトコルのトポロジーチェンジが発生します。これを回避するには、spanning-tree edgeportコマンドを実行して、該当ポートをエッジポートに設定しておきます。
Note - プライベートVLANの所属ポート、ポートセキュリティーが有効なポートでは802.1X認証を使用できません。
Note - トランクグループ上では、個別メンバーポートのリンクダウンではなく、トランクグループ全体（saX、poXインターフェース）のリンクダウンによって認証が解除されます。また、トランクグループ上では、リンクアップしているメンバーポートが増えたときにも認証が解除されます（たとえば、トランクグループ内で2ポートUp、2ポートDownの状態から3ポートUp、1ポートDownの状態になると認証が解除される）。
Note - タグ付きポートで802.1X認証を使用するときは、ホストモード（auth host-modeコマンドで設定）をMulti-Supplicantモードに設定してください。また、タグ付きポートではダイナミックVLAN、ゲストVLANを使用できません。
Note - 802.1X認証のSupplicantがログオフしても、ステータスがConnectingになりません。
awplus(config)# interface vlan1 ↓ awplus(config-if)# ip address 172.16.10.1/24 ↓ awplus(config-if)# exit ↓ |
awplus(config)# radius-server host 172.16.10.2 key himitsu ↓ |
awplus(config)# aaa authentication auth-mac default group radius ↓ |
awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# auth-mac enable ↓ awplus(config-if)# end ↓ |
awplus(config)# no spanning-tree stp enable ↓ |
awplus(config)# no spanning-tree rstp enable ↓ |
awplus(config)# no spanning-tree mstp enable ↓ |
Note - プライベートVLANの所属ポート、ポートセキュリティーが有効なポートではMACベース認証を使用できません。
Note - トランクグループ上では、個別メンバーポートのリンクダウンではなく、トランクグループ全体（saX、poXインターフェース）のリンクダウンによって認証が解除されます。また、トランクグループ上では、リンクアップしているメンバーポートが増えたときにも認証が解除されます（たとえば、トランクグループ内で2ポートUp、2ポートDownの状態から3ポートUp、1ポートDownの状態になると認証が解除される）。
Note - タグ付きポートでMACベース認証を使用するときは、ホストモード（auth host-modeコマンドで設定）をMulti-Supplicantモードに設定してください。また、タグ付きポートではダイナミックVLAN、ゲストVLANを使用できません。
Note - 同一ポート上でスパニングツリープロトコルとMACベース認証は併用できません。
Note - ここでは、Webアクセスにプロキシーサーバーを使用していない環境を想定しています。プロキシーサーバーを使用している環境での追加設定については、「プロキシーサーバーを使用している環境でのWeb認証」で解説します。
Note - L2スイッチの本製品でWeb認証を使用する場合（Supplicantのデフォルトゲートウェイが本製品でない場合）、Web認証サーバーは仮想アドレスで待ち受ける必要があります。そのためには、auth-web-server ipaddressコマンドかauth-web-server dhcp ipaddressコマンドの設定が必要です。本例では手順5～6でこの設定を行っています。
awplus(config)# interface vlan1 ↓ awplus(config-if)# ip address 172.16.10.1/24 ↓ awplus(config-if)# exit ↓ |
Note - ここではRADIUSサーバーがvlan1上にあるものと仮定しています。他のVLAN上にあるときは、RADIUSサーバーまでの経路を適切に設定してください。
awplus(config)# radius-server host 172.16.10.2 key himitsu ↓ |
Note - 本製品はDHCPサーバー機能をサポートしておりませんので、別途ご用意ください。以下は、DHCPサーバー機能をサポートしている弊社製品の設定例にて説明します。
awplus(config)# ip dhcp pool webauth ↓ awplus(dhcp-config)# network 172.16.10.0/24 ↓ awplus(dhcp-config)# range 172.16.10.200 172.16.10.240 ↓ awplus(dhcp-config)# default-router 172.16.10.254 ↓ awplus(dhcp-config)# lease 0 2 0 ↓ awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓ awplus(dhcp-config)# exit ↓ awplus(config)# service dhcp-server ↓ |
awplus(config)# aaa authentication auth-web default group radius ↓ |
awplus(config)# auth-web-server ipaddress 10.10.10.1 ↓ awplus(config)# access-list 3000 send-to-cpu ip any 10.10.10.1/32 ↓ |
awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# auth-web enable ↓ awplus(config-if)# access-group 3000 ↓ awplus(config-if)# end ↓ |
Note - 認証機能の有効なポートでは認証成功時にスパニングツリープロトコルのトポロジーチェンジが発生します。これを回避するには、spanning-tree edgeportコマンドを実行して、該当ポートをエッジポートに設定しておきます。
Note - プライベートVLANの所属ポート、ポートセキュリティーが有効なポートではWeb認証を使用できません。
Note - ループガード（LDF検出）とWeb認証は同一ポート上でのみ併用（同時使用）できません。
Note - トランクグループ上では、個別メンバーポートのリンクダウンではなく、トランクグループ全体（saX、poXインターフェース）のリンクダウンによって認証が解除されます。また、トランクグループ上では、リンクアップしているメンバーポートが増えたときにも認証が解除されます（たとえば、トランクグループ内で2ポートUp、2ポートDownの状態から3ポートUp、1ポートDownの状態になると認証が解除される）。
Note - タグ付きポートでWeb認証を使用するときは、ホストモード（auth host-modeコマンドで設定）をMulti-Supplicantモードに設定してください。また、タグ付きポートではダイナミックVLAN、ゲストVLANを使用できません。
Note - ハードウェアによるフィルタリング機能が使用するシステム内部領域が、わずかの時にWeb認証ポートがリンクアップへと推移すると、Web認証はセキュリティーの適用に失敗します。
Note - Web認証に使用するインターフェースと、認証を行う端末の間ではルーティングを行わないでください。ルーティングを行い認証をした場合、正常に認証処理ができなくなります。
Note - Web認証を使用するときは、service httpコマンドでWebサーバー機能を無効化しないでください。
Note - クライアント側で表示される認証画面の言語はデフォルトで英語に設定されていますが、auth-web-server page languageコマンドで日本語へ変更することが可能です。
Note - 初期状態で有効になっているHTTPリダイレクト機能により、192.168.10.1、172.16.20.1など、認証ポートのインターフェースと別ネットワークのアドレスを指定した場合も、ブラウザーが10.10.10.1にリダイレクトされます。
Note - Internet Explorerのバージョンによっては、HTTPS経由でWeb認証サーバーにアクセスしてから認証ページが表示されるまでに十数秒を要する場合があります。
Note - Supplicantが存在するスイッチポートに対し、以下のコマンドを使ってポート認証機能の設定変更を行うと、該当ポート上のSupplicantの情報がいったんすべて削除されます。
| すべてのRADIUSサーバーが無応答だった場合（認証期間中にすべてのRADIUSサーバーがDead状態になった場合）、通常のポートでは認証失敗となるが、クリティカルポートとして設定したポートでは認証成功となる | ||||
| ダイナミックVLANを有効にしたポートでは、認証をパスしたSupplicantを特定のVLANに動的に割り当てる。どのVLANに割り当てるかは、RADIUSサーバーから返された情報にしたがう。詳細は後述 | ||||
| ゲストVLANを有効にしたポートでは、未認証のSupplicantをゲストVLANとして指定されたVLANに所属させる。通常、未認証時はポート越えの通信ができないが、ゲストVLAN所属の未認証Supplicant間であれば未認証時でも通信が可能となる。詳細は後述 | ||||
| 1台のSupplicantにだけポート越えの通信を許可するか、複数のSupplicantに通信を許可するか、複数に許可する場合はすべてのSupplicantを個別に認証するかどうかなどを制御する | ||||
| 複数のSupplicantに通信を許可する場合（Multi-HostモードかMulti-Supplicantモードのとき）、該当ポート配下からの通信を許可するSupplicantの最大数を指定する | ||||
| 再認証有効時は、認証に成功したSupplicantを定期的に再認証する（再認証の動作は認証方式によって異なる） | ||||
| 再認証有効時にSupplicantを再認証する間隔を指定する | ||||
| 認証に失敗した後、該当Supplicantとの通信を拒否する期間を指定する | ||||
| RADIUSサーバーに要求を送信した後、RADIUSサーバーからの応答を待つ時間を指定する | ||||
| ローミング認証を有効にしたポート間では、一度認証をパスしたSupplicantが再認証を受けずに自由に移動して通信を継続できる。詳細は後述 | ||||
| ローミング認証を有効にしたポートであっても、移動前のポートがリンクダウンする場合はSupplicant情報が初期化されるため移動先で再認証が必要となるが、本オプションを有効化すれば、ポートがリンクダウンしても認証情報が保持されるため、再認証なしでのポート間移動が可能となる。詳細は後述 | ||||
| Auth-fail VLANを有効にしたポートでは、認証失敗したSupplicantをAuth-fail VLANとして指定されたVLANに所属させる | ||||
| dot1x port-controlコマンド | auth-mac enableコマンド | auth-web enableコマンド | 対象ポートで該当する認証方式を有効・無効化する | |
| なし | auth-mac method | auth-web method | MACベース認証、Web認証時、RADIUSサーバーとの間で使用する認証方式をPAP、EAP-MD5から選択する | |
| なし | auth-mac reauth-relearningコマンド | なし | MACベース認証で再認証を行うとき、SupplicantのMACアドレスをいったん削除して再学習するかどうかを設定する | |
| なし | なし | auth-web forwardコマンド | Web認証時、未認証Supplicantからの特定のパケットを同一VLAN内のポートに転送するよう設定する | |
| なし | なし | auth timeout connect-timeoutコマンド | Web認証SupplicantがConnecting状態になってから認証状態を削除するまでの時間を設定する | |
| dot1x max-auth-failコマンド | なし | auth-web max-auth-failコマンド | 何回認証に失敗したら該当Supplicantからの認証要求を一時的に拒否するかを設定する | |
| dot1x eapol-versionコマンド | なし | なし | 802.1X認証で使用するEAPOLのバージョンを設定する | |
| dot1x max-reauth-reqコマンド | なし | なし | 802.1X認証を行うとき、EAPOL-Requestパケットを何回まで再送するかを設定する | |
| auth timeout supp-timeoutコマンド | なし | なし | 802.1X認証でSupplicantからの応答を待つ時間を指定する | |
Note - Supplicant固有の設定は、ホストモードがSingle-HostモードかMulti-Supplicantモードの場合のみ有効です。Multi-HostモードのポートではSupplicant固有の設定を行わないでください。
Note - Supplicant固有の設定をした場合、本コマンドで指定可能なパラメーターについては、該当Supplicantに対してポートごとの設定値は使われず、本コマンドの指定値（明示的に指定しなかったパラメーターの場合は、本コマンドにおける省略時値）が使われます。
Note - スイッチポートに対し、auth supplicant-macコマンドでSupplicant固有の設定を行うと、指定したMACアドレスを持つSupplicantの情報が該当ポートからいったん削除されます。
awplus(config)# interface port1.0.2-1.0.8 ↓ awplus(config-if)# dot1x port-control auto ↓ awplus(config-if)# auth-web enable ↓ awplus(config-if)# auth supplicant-mac 0000.1122.3344 port-control force-authorized ↓ |
Note - dot1x port-controlコマンドの設定は802.1X認証にのみ適用されますが、auth supplicant-macコマンドのport-controlパラメーターはすべての認証方式に適用されます。
awplus(config)# interface port1.0.2-1.0.8 ↓ awplus(config-if)# auth supplicant-mac 0000.f4cd.cdcd reauthentication ↓ |
awplus(config)# interface port1.0.2-1.0.8 ↓ awplus(config-if)# no auth supplicant-mac 0000.1122.3344 ↓ |
awplus(config)# interface port1.0.20-1.0.21 ↓ awplus(config-if)# auth-web enable ↓ awplus(config-if)# auth host-mode multi-supplicant ↓ awplus(config-if)# auth auth-fail vlan 40 ↓ awplus(config-if)# auth dynamic-vlan-creation ↓ awplus(config-if)# auth-web max-auth-fail 2 ↓ |
awplus(config)# interface port1.0.20-1.0.21 ↓ awplus(config-if)# auth profile student ↓ |
awplus(config)# auth profile student ↓ |
awplus(config-auth-profile)# auth-web enable ↓ awplus(config-auth-profile)# auth host-mode multi-supplicant ↓ awplus(config-auth-profile)# auth auth-fail vlan 40 ↓ awplus(config-auth-profile)# auth dynamic-vlan-creation ↓ awplus(config-auth-profile)# auth-web max-auth-fail 2 ↓ |
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# auth profile student ↓ |
Note - ポート認証のインターフェースモードコマンドが設定されているポートにテンプレートを設定しようとすると上書きされてしまいますのでご注意ください。
Note - 一つのインターフェースが、複数のテンプレートを持つことはできません。 新しいテンプレートを作成する前に、既存のテンプレートを削除する必要があります。
Note - ポート認証のインターフェースモードコマンド、およびテンプレート化のインターフェースモードコマンドは、同じインターフェースに設定することはできません。
Note - 使用中のテンプレートは削除することはできません。
Note - ダイナミックVLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。
| 未認証 | ゲストVLANなし | 本来のVLAN | 不可 |
| ゲストVLANあり | ゲストVLAN | ゲストVLAN内のみ可 | |
| 認証済み | VLAN通知あり | RADIUSサーバーから通知されたVLAN | 制限なし |
| VLAN通知なし | 本来のVLAN | ||
Note - Web認証使用時に認証前後でSupplicantの所属VLANが変更される場合、認証前後の両方のVLANインターフェースにIPアドレスを設定してください。そうでない場合、認証成功画面が表示されないことがあります。
| vlan10 | 1.0.1 | 固定 | RADIUSサーバー設置 | 172.16.10.1/24 |
| vlan100 | 1.0.2 | 固定 | 上位L3スイッチと接続 | 172.16.100.1/24 |
| (1.0.5-1.0.24) | 動的（ダイナミックVLAN） | 認証済みSupplicant収容 | ||
| vlan200 | 1.0.3 | 固定 | 上位L3スイッチと接続 | 172.16.200.1/24 |
| (1.0.5-1.0.24) | 動的（ダイナミックVLAN） | 認証済みSupplicant収容 | ||
| vlan240 | 1.0.4 | 固定 | 上位L3スイッチと接続 | 172.16.240.1/24 |
| 1.0.5-1.0.24 | 固定 | 未認証Supplicant収容 |
awplus(config)# vlan database ↓ awplus(config-vlan)# vlan 10 name FixedVLAN10 ↓ awplus(config-vlan)# vlan 100 name DynamicVLAN100 ↓ awplus(config-vlan)# vlan 200 name DynamicVLAN200 ↓ awplus(config-vlan)# vlan 240 name InitialFixedVLAN240 ↓ awplus(config-vlan)# exit ↓ |
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# switchport access vlan 10 ↓ awplus(config-if)# exit ↓ awplus(config)# interface port1.0.2 ↓ awplus(config-if)# switchport access vlan 100 ↓ awplus(config-if)# exit ↓ awplus(config)# interface port1.0.3 ↓ awplus(config-if)# switchport access vlan 200 ↓ awplus(config-if)# exit ↓ awplus(config)# interface port1.0.4-1.0.24 ↓ awplus(config-if)# switchport access vlan 240 ↓ awplus(config-if)# exit ↓ |
awplus(config)# interface vlan10 ↓ awplus(config-if)# ip address 172.16.10.1/24 ↓ awplus(config-if)# exit ↓ awplus(config)# interface vlan100 ↓ awplus(config-if)# ip address 172.16.100.1/24 ↓ awplus(config-if)# exit ↓ awplus(config)# interface vlan200 ↓ awplus(config-if)# ip address 172.16.200.1/24 ↓ awplus(config-if)# exit ↓ awplus(config)# interface vlan240 ↓ awplus(config-if)# ip address 172.16.240.1/24 ↓ awplus(config-if)# exit ↓ |
awplus(config)# radius-server host 172.16.10.2 key himitsu ↓ |
Note - 本製品は DHCPサーバー機能をサポートしておりませんので、別途ご用意ください。以下は、DHCPサーバー機能をサポートしている弊社製品の設定例にて説明します。
awplus(config)# ip dhcp pool DynamicVLAN100 ↓ awplus(dhcp-config)# network 172.16.100.0/24 ↓ awplus(dhcp-config)# range 172.16.100.200 172.16.100.240 ↓ awplus(dhcp-config)# default-router 172.16.100.254 ↓ awplus(dhcp-config)# lease 0 2 0 ↓ awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓ awplus(dhcp-config)# exit ↓ awplus(config)# ip dhcp pool DynamicVLAN200 ↓ awplus(dhcp-config)# network 172.16.200.0/24 ↓ awplus(dhcp-config)# range 172.16.200.200 172.16.200.240 ↓ awplus(dhcp-config)# default-router 172.16.200.254 ↓ awplus(dhcp-config)# lease 0 2 0 ↓ awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓ awplus(dhcp-config)# exit ↓ awplus(config)# ip dhcp pool InitialFixedVLAN240 ↓ awplus(dhcp-config)# network 172.16.240.0/24 ↓ awplus(dhcp-config)# range 172.16.240.200 172.16.240.240 ↓ awplus(dhcp-config)# default-router 172.16.240.1 ↓ awplus(dhcp-config)# lease 0 0 0 20 ↓ awplus(dhcp-config)# subnet-mask 255.255.255.0 ↓ awplus(dhcp-config)# exit ↓ awplus(config)# service dhcp-server ↓ |
awplus(config)# aaa authentication dot1x default group radius ↓ awplus(config)# aaa authentication auth-mac default group radius ↓ awplus(config)# aaa authentication auth-web default group radius ↓ |
awplus(config)# interface port1.0.5-1.0.16 ↓ awplus(config-if)# dot1x port-control auto ↓ awplus(config-if)# auth-web enable ↓ |
awplus(config-if)# auth dynamic-vlan-creation ↓ |
awplus(config)# interface port1.0.17-1.0.24 ↓ awplus(config-if)# auth-mac enable ↓ |
awplus(config-if)# auth dynamic-vlan-creation ↓ awplus(config-if)# end ↓ |
Note - ゲストVLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。
Note - ローミング認証が有効化されているポートではゲストVLANを使用できません。
Note - ゲストVLANは、ホストモードがSingle-HostモードかMulti-Hostモードの場合のみ有効です。Multi-SupplicantモードのポートではゲストVLANを使用できません。
Note - 802.1X認証、MACベース認証だけが有効な状態でゲストVLANを使用する場合、認証前Supplicantに対してDHCPでIPアドレスを付与することはできません。IPアドレスの付与が必要な場合はWeb認証を有効にしてください。
Note - Web認証使用時に認証前後でSupplicantの所属VLANが変更される場合、認証前後の両方のVLANインターフェースにIPアドレスを設定してください。そうでない場合、認証成功画面が表示されないことがあります。
awplus(config)# vlan database ↓ awplus(config-vlan)# vlan 240 ↓ awplus(config-vlan)# exit ↓ awplus(config)# aaa authentication dot1x default group radius ↓ awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# switchport access vlan 240 ↓ awplus(config-if)# dot1x port-control auto ↓ |
awplus(config)# vlan database ↓ awplus(config-vlan)# vlan 100,200,240 ↓ awplus(config-vlan)# exit ↓ awplus(config)# aaa authentication dot1x default group radius ↓ awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# switchport access vlan 240 ↓ awplus(config-if)# dot1x port-control auto ↓ awplus(config-if)# auth dynamic-vlan-creation ↓ |
awplus(config)# vlan database ↓ awplus(config-vlan)# vlan 240,248 ↓ awplus(config-vlan)# exit ↓ awplus(config)# aaa authentication dot1x default group radius ↓ awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# switchport access vlan 240 ↓ awplus(config-if)# dot1x port-control auto ↓ awplus(config-if)# auth guest-vlan 248 ↓ |
awplus(config)# vlan database ↓ awplus(config-vlan)# vlan 100,200,240,248 ↓ awplus(config-vlan)# exit ↓ awplus(config)# aaa authentication dot1x default group radius ↓ awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# switchport access vlan 240 ↓ awplus(config-if)# dot1x port-control auto ↓ awplus(config-if)# auth guest-vlan 248 ↓ awplus(config-if)# auth dynamic-vlan-creation ↓ |
Note - Auth-fail VLANはタグなしポートでのみ使用可能です。タグ付きポートでは使用できません。
Note - Auth-fail VLANへはRADIUSサーバーからAccess-Rejectを受信した場合のみアサインされ、タイムアウトによる認証失敗時はAuth-fail VLANへはアサインされません。
Note - 各認証方式とAuth-fail VLAN併用時、認証失敗したSupplicantがAuth-fail VLANの所属になったとき、各種showコマンドや各Supplicantの認証画面では「Authenticated」と表示されます。
Note - Web認証使用時に認証前後でSupplicantの所属VLANが変更される場合、認証前後の両方のVLANインターフェースにIPアドレスを設定してください。そうでない場合、認証成功画面が表示されないことがあります。
Note - ダイナミックVLANまたはゲストVLANが有効化されているポートではローミング認証を使用できません。
Note - DHCP Snoopingとローミング認証（auth roaming enableコマンド）は併用できません。
awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# auth roaming enable ↓ |
awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# auth roaming disconnected ↓ |
Note - リンクダウン対応オプションは、トランクグループとMACベース認証ポートでは使えません。
| Web認証サーバーにアクセスするためのIPアドレスを1つだけに限定したい場合の設定項目。未設定時は本製品に設定されたすべてのIPアドレスで待ち受ける | |||
| Web認証サーバーの待ち受けTCPポート番号を初期値の80（HTTPS無効時）、443（HTTPS有効時）から変更したい場合に指定する | |||
| 通常のHTTPではなくHTTPSでアクセスを受け付けるように設定する。SSLサーバー証明書は、初期状態ではファームウェア組み込みのものが自動的に使われる。独自に取得した証明書を使いたい場合は、copyコマンドのweb-auth-https-fileキーワードを使ってインストールすること。また、インストールした証明書はリモートホストなどへコピーできないため注意すること | |||
| HTTPリダイレクト機能有効時にリダイレクト前のURLを記憶しておき、Web認証成功後に記憶しておいたURLにリダイレクトさせる機能。後述する認証後リダイレクト機能と本機能の両方を設定した場合は、本機能のほうが優先される | |||
| Web認証成功後、あらかじめ設定しておいたURLにWebブラウザーをリダイレクトさせる機能。前述のセッションキープ機能と本機能の両方を設定している場合は、セッションキープ機能のほうが有効となる | |||
| セッションキープと認証後リダイレクト機能において、Web認証成功後、Webブラウザーをリダイレクトさせるまでの待機時間 | |||
| 認証にパスしたSupplicantの存在をPingパケットで定期的に監視し、応答がなくなったら該当Supplicantがログアウトしたと見なす機能。動作調整用に以下のパラメーターが存在する | |||
| 応答時再認証タイマーリセット | 再認証有効時、Web認証サーバーのSupplicant監視機能においてPing応答があった場合に再認証タイマーをリセットしたい場合に設定する | ||
| Ping送信間隔 | Pingパケットの送信間隔 | ||
| Ping応答待ち時間 | Pingパケットの応答待ち時間 | ||
| Supplicant不在しきい値 | Supplicantがいなくなったと判断するPing無応答の回数を設定する | ||
| Web認証サーバーのDHCPサーバーを有効化する。またDHCPサーバー、Web認証サーバーのIPアドレスも指定する | |||
| Web認証サーバーのDHCPサーバーのリース期間を指定する | |||
| Webブラウザーのプロキシー自動検出機能（WPAD）に対応して、Web認証用DHCPサーバーがプロキシー自動構成ファイル（PACファイル）のURLを返答するよう設定する | |||
| プロキシー環境でWeb認証を使用する場合は、本コマンドでプロキシーサーバーの待ち受けTCPポート番号を設定することにより、プロキシーサーバー経由のHTTP通信に対しても、HTTPリダイレクトが働くようになる | |||
| タイトル文字列 | 認証ページ共通ヘッダーのタイトル文字列を変更する（日本語は使用不可） | ||
| サブタイトル文字列 | 認証ページ共通ヘッダーのサブタイトル文字列を変更する（日本語は使用不可） | ||
| 画像ファイル | 認証ページ共通ヘッダーの画像ファイルを制御する | ||
| ウェルカムメッセージ | ログイン画面の入力フォームの横に任意のメッセージを表示させる（日本語は使用不可） | ||
| 認証成功メッセージ | 認証成功画面に追加のメッセージを表示させる（日本語は使用不可） | ||
| 言語切り替え | 認証画面に表示されるメッセージの言語を変更する | ||
awplus(config)# auth-web-server ipaddress 10.10.10.1 ↓ awplus(config)# access-list 3000 send-to-cpu ip any 10.10.10.1/32 ↓ awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# access-group 3000 ↓ |
awplus(config)# auth-web-server intercept-port 8080 ↓ |
Note - プロキシーサーバー設定の[例外]にWeb認証サーバーのIPアドレスを設定しない場合、認証成功後、Web認証サーバーへアクセスできなくなります。
function FindProxyForURL(url, host){
if(isPlainHostName(host) || shExpMatch(host, "10.10.10.1")){
return "DIRECT";
}else{
return "PROXY 192.168.10.5:8080; DIRECT";
}
}
|
awplus# copy tftp://192.168.10.10/ourproxy.pac proxy-autoconfig-file ↓ |
http://本製品のIPアドレス/proxy.pac |
Note - PACファイルには未認証Supplicantからもアクセスできます。また、Web認証が無効のときでも前記URLからPACファイルの取得が可能です。ただし、Web認証サーバーでHTTPS（auth-web-server ssl）を使用している場合は、未認証SupplicantがPACファイルを取得できません。HTTPS使用時は、次項「本製品以外のPACファイルサーバーを使う場合」にしたがい、本製品以外のPACファイルサーバーからPACファイルを取得するようにしてください。
awplus# configure terminal ↓ Enter configuration commands, one per line. End with CNTL/Z. awplus(config)# auth-web-server intercept-port 8080 ↓ |
awplus(config)# auth-web-server dhcp ipaddress 10.10.10.1/24 ↓ awplus(config)# auth-web-server dhcp wpad-option http://10.10.10.1/proxy.pac ↓ |
Note - WPADをサポートしていないブラウザーの場合は、ここで指定したPACファイルのURLを手動設定します。
awplus(config)# access-list 3000 send-to-cpu ip any 10.10.10.1/32 ↓ awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# access-group 3000 ↓ |
function FindProxyForURL(url, host){
if(isPlainHostName(host) || shExpMatch(host, "10.10.10.1")){
return "DIRECT";
}else{
return "PROXY 192.168.10.5:8080; DIRECT";
}
}
|
awplus(config)# auth-web-server ipaddress 10.10.10.1 ↓ awplus(config)# access-list 3000 send-to-cpu ip any 10.10.10.1/32 ↓ awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# access-group 3000 ↓ |
awplus(config)# auth-web-server intercept-port 8080 ↓ |
Note - 本製品はDHCPサーバー機能をサポートしておりませんので、別途ご用意ください。以下は、DHCPサーバー機能をサポートしている弊社製品の設定例にて説明します。
awplus(config)# ip dhcp option 252 ascii ↓ awplus(config)# ip dhcp pool vlan1 ↓ awplus(dhcp-config)# network 172.16.10.0/24 ↓ awplus(dhcp-config)# range 172.16.10.11 172.16.10.20 ↓ awplus(dhcp-config)# default-router 172.16.10.1 ↓ awplus(dhcp-config)# lease 0 0 0 20 ↓ awplus(dhcp-config)# option 252 http://172.16.10.10/ourproxy.pac ↓ |
Note - 本製品以外のPACファイルサーバーを使う場合、Web認証用DHCPサーバーは使用できません。通常のDHCPサーバー機能を使用してください。
Note - WPADをサポートしていないブラウザーの場合は、ここで指定したPACファイルのURLを手動設定します。
awplus(config)# interface port1.0.2-port1.0.8 ↓ awplus(config-if)# auth-web forward 172.16.10.10 tcp 80 ↓ |
Note - 前記のauth-web forwardコマンドは対象パケットのスイッチングを許可するだけで、本製品を介してのルーティングは許可しません。そのため、本製品以外のPACファイルサーバーを使う場合は、原則として未認証SupplicantとPACファイルサーバーが同一サブネットに置かれている必要があります。
Note - ログイン画面を外部Webサーバーに設置している場合、HTML/CSSファイルの編集によるカスタマイズは、ログイン画面以外（認証中、認証成功、認証失敗）に対してのみ適用されます。
Note - HTML/CSSの書き方や書式、編集後の問題に関してはサポート対象外となります。あらかじめご了承ください。
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> <HTML> <HEAD> <META http-equiv="Content-Type" content="text/html; charset=UTF-8"> <META http-equiv="Content-Style-Type" content="text/css"> <TITLE></TITLE> </HEAD> <BODY> ここに任意のコンテンツを記述してください。 </BODY> </HTML> |
awplus# cd flash:/ ↓ awplus# copy zmodem ↓ rz waiting to receive.**B0100000023be50 （通信ソフトウェア側でZMODEMによるファイル送信の操作を行う） |
awplus# copy tftp://172.16.10.70/logo.gif flash:/ ↓ |
Note - ログイン画面を外部Webサーバーに設置している場合、コマンドによるカスタマイズは、ログイン画面以外（認証中、認証成功、認証失敗）に対してのみ適用されます。
| auto（初期設定） | フラッシュメモリー上に logo.gif という名前のファイルが存在する場合は、ヘッダー画像として logo.gif を表示。存在しない場合はWeb認証サーバーに組み込まれているデフォルト画像 h_glb.gif を表示 |
| default | Web認証サーバーに組み込まれているデフォルト画像 h_glb.gif を表示 |
| hidden | ヘッダー画像を表示しない |
Note - この方法でカスタマイズできるのはログイン画面だけです。他の画面（認証中、認証成功、認証失敗）はWeb認証サーバー上のページが表示されます（Webサーバー上のページに対しては、「HTML/CSSの編集」や「コマンド」によるカスタマイズが適用されます）。
Note - HTML/CSSの書き方や書式、編集後の問題に関してはサポート対象外となります。あらかじめご了承ください。
<form action="http://192.168.1.5/" autocomplete="off" target="_self" name="AUTH" method="POST">
<div>User name</div>
<div><input size="30" type="text" maxlength="64" name="USERNAME"></div>
<div>Password</div>
<div><input size="30" type="password" maxlength="64" name="PASSWORD"></div>
<div>
<input type="submit" name="ACTION" value="login">
<input type="reset" name="RESET" value="Reset">
</div>
</form>
|
awplus(config)# auth-web-server login-url http://192.168.1.1/ ↓ |
awplus(config)# aaa accounting dot1x default start-stop group radius ↓ |
awplus(config)# aaa accounting auth-mac default start-stop group radius ↓ |
awplus(config)# aaa accounting auth-web default start-stop group radius ↓ |
Note - RADIUSサーバーの詳細な設定方法については、ご使用のサーバー製品のマニュアルをご参照ください。
| User-Name | ユーザー名 | 認証対象のユーザー名（例："user1", "userB"） |
| User-Password | パスワード | ユーザー名に対応するパスワード（例："dbf8a9hve", "h1mi2uDa4o"）。EAP-TLS使用時は不要（代わりにユーザー電子証明書の用意が必要） |
| PEAP | Supplicant | 認証サーバー | 不要 |
| EAP-TLS | Supplicantと認証サーバー | 認証サーバー | Supplicant |
| EAP-TTLS | Supplicant | 認証サーバー | 不要 |
| User-Name | MACアドレス | 認証対象機器のMACアドレス。初期設定では「00-00-f4-11-22-33」の形式（ハイフンあり、a～fは小文字）だが、auth-mac usernameコマンドでハイフンの有無と大文字・小文字を変更できる |
| User-Password | MACアドレスまたは共通パスワード | 認証対象機器のMACアドレス。通常は機器ごとにUser-Nameと同じ値を指定する。ただし、auth-mac passwordコマンドを設定している場合は、すべての機器に対して同コマンドで設定した共通パスワードを指定すること |
| User-Name | ユーザー名 | 認証対象のユーザー名（例："user1", "userB"） |
| User-Password | パスワード | ユーザー名に対応するパスワード（例："dbf8a9hve", "h1mi2uDa4o"） |
Note - Web認証用パスワードは64文字以内で設定してください。
| Tunnel-Type | VLAN (13) | 固定値。指定方法はサーバーに依存 |
| Tunnel-Medium-Type | IEEE-802 (6) | 固定値。指定方法はサーバーに依存 |
| Tunnel-Private-Group-ID | VLAN IDかVLAN名 | 認証対象のユーザーや機器が認証をパスした後に所属させるVLANのIDか名前（例：10, "sales"） |
awplus(config)# dot1x eap forward ↓ |
awplus(config)# dot1x eap forward-untagged-vlan ↓ |
awplus(config)# dot1x eap forward-vlan ↓ |
awplus(config)# dot1x eap discard ↓ |
awplus# show dot1x interface port1.0.5 ↓ |
awplus# show dot1x supplicant interface port1.0.5 ↓ |
awplus# show dot1x supplicant interface port1.0.5 brief ↓ |
awplus# show dot1x sessionstatistics interface port1.0.5 ↓ |
awplus# show auth-web-server ↓ |
(C) 2016-2017 アライドテレシスホールディングス株式会社
PN: 613-002362 Rev.C