[index] SwitchBlade x3100シリーズコマンドリファレンス

スイッチング / ポート認証

  - 概要 
   - 802.1X認証方式 
   - 基本設定 
    - Authenticator 
    - 認証サーバー

本製品は、スイッチポート単位でLAN上のユーザーや機器を認証するポート認証機能を実装しています。ポートに接続された機器（および機器を使用するユーザー。以下同様）の認証方法としては、IEEE802.1X認証（以下、802.1X認証）をサポートしています。

802.1X認証は、EAP（Extensible Authentication Protocol）というプロトコルを使って、ユーザー単位で認証を行うしくみです。802.1X認証を利用するには、認証する側と認証される側の両方が802.1Xに対応している必要があります。

概要

ポート認証のシステムは、通常下記の3要素から成り立っています。

Authenticator（認証者）：ポートに接続してきたSupplicant（クライアント）を認証する機器またはソフトウェア。802.1X認証ではEAPメッセージの交換によってSupplicantを認証する（ユーザー認証）。認証に成功した場合はポート経由の通信を許可、失敗した場合はポート経由の通信を拒否する。認証処理そのものは、認証サーバー（RADIUSサーバー）に依頼する（Supplicantの情報を認証サーバーに中継して、認証結果（成功・失敗）を受け取る）。
Supplicant（クライアント）：ポートへの接続時にAuthenticatorから認証を受ける機器またはソフトウェア。802.1Xの認証を受けるためには、802.1X Supplicantの機能を備えている必要がある。802.1X Supplicant機能は、一部のOSに標準装備されているほか、単体のクライアントソフトウェアとして用意されていることもある。
認証サーバー（RADIUSサーバー）：Authenticatorの要求に応じて、Supplicantを認証する機器またはソフトウェア。ユーザー名、パスワード、MACアドレス、所属VLANなどの認証情報を一元管理している。Authenticatorとの間の認証情報の受け渡しにはRADIUSプロトコルを用いる。

本製品の各スイッチポートは、上記のうち、Authenticatorになることができます。認証サーバー（RADIUSサーバー）は別途用意する必要があります。

802.1X認証方式

802.1X認証では、EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAPなど様々な認証方式が使用されています。このうち、本製品の802.1X認証モジュールが現在サポートしているEAP認証方式は以下のとおりです。

Authenticator時：EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAP

基本設定

本製品を使ってポート認証のシステムを運用するための基本的な設定例を示します。

Note - 設定を開始する前に設定対象のインターフェースのSTPを無効にしてから設定を行います。STPを無効にするにはDISABLE STPコマンドのINTERFACEパラメーターを使います。また、ポート認証を有効にするとインターフェースのディレクション（CUSTOMERからNETWORK）の変更や、VLANとインターフェースとの関連付けの変更ができなくなります。

Note - インターフェースのディレクションは、CUSTOMERのみサポートしています。NETWORKはサポートしていません。インターフェースのディレクションの設定変更は、SET INTERFACE GEコマンドまたはSET INTERFACE XEコマンドで行えます。

Authenticator

本製品をAuthenticatorとして使用する場合の基本設定を示します。Authenticatorとしての動作には、IPの設定とRADIUSサーバーの指定が必須です。

ここでは、すべてのポートがVLAN defaultに所属していることを前提に、ポート6.22～6.23で802.1X認証を行うものとします。また、RADIUSサーバーはポート1.0（通常のポート）に接続されているものとします。

802.1XではRADIUSサーバーを使って認証を行うため、最初にRADIUSサーバーと通信するための設定をします。IPモジュールを有効にし、VLAN defaultにIPアドレスを設定します。
STPインターフェースを無効にします。
VLAN4にIPの設定などを行います。
RADIUSサーバーの設定を行います。PRIORITYパラメーターを設定することで、どの順番でサーバーに接続させるかを決めます。
RADIUSのINTERIMUPDATEをONにしアカウンティングピリオドを60に設定します。
802.1X認証を有効にしインターフェースを指定します。

アカウンティングを開始します。

officer SEC>> SET DOT1X ACCOUNTING=STARTSTOP ↓ officer SEC>> SHOW DOT1X ↓ --- Port Authentication Information --- 802.1X ------ 802.1X Port-Based Authentication...... Enabled RADIUS Accounting..................... Start-Stop

サプリカントのステータスを表示します。

officer SEC>> SHOW DOT1X INTERFACE=6.22-6.23 ↓ --- Port Authentication Interface --- Interface Status PortControl --------- ------------- ------------ ETH:6.22 Enabled Auto ETH:6.23 Enabled Auto officer SEC>> SHOW DOT1X SUPPLICANT ↓ --- Port Authentication Supplicant --- Number of Supplicants................. 1 Number of Authorized Supplicants...... 0 --- Port Authentication Supplicant --- Interface UserName Type VLAN Status MacAddress --------- ----------------- --------- ---- -------------- ----------------- ETH:6.22 user1 802.1X 301 Authenticating 00:09:41:58:E6:F2

認証サーバー

認証サーバー（RADIUS）については、「運用・管理」の「認証サーバー」をご覧ください。

PN: 613-001335 Rev.A