設定例(ApresiaLightGM200シリーズ)

ネットワーク認証

802.1X認証

基本構成図

802.1X認証 基本構成図

L2認証スイッチのポート設定
ポート番号 ポート種別 ユーザー/接続装置 認証機能 固定VLAN ダイナミックVLAN
1 アクセス ユーザーA
ユーザーB		 802.1X認証 10
10		 なし
なし
2 アクセス ユーザーC 802.1X認証 30 なし
3 アクセス ユーザーD 802.1X認証 (10) 40
5 アクセス プリンター なし 50 なし
9-10 トランク L3スイッチ なし 10,20,30,40,50,100 なし

設定のポイント

L2認証スイッチ
  • 管理用VLAN～RADIUSサーバー間でIP通信が可能なこと。
    (セグメントを跨ぐIP通信には、デフォルトルートの設定が必要)
  • ダイナミックに割り当てるVLANを作成しておく。
    (作成したダイナミック用VLANをポートにアサインする必要なし)
  • 上位L3スイッチおよび認証不要プリンターの接続ポートには認証設定を有効にしない。
    (認証ポートの配下で特定端末のみ認証不要とする場合はスタティックにFDB登録する)
  • L2認証スイッチ～RADIUSサーバー間で共通の秘密鍵を設定する。
    ※RADIUSサーバーのclients.confファイルに登録する｢secret｣と同設定。(大文字、小文字の区別あり)
RADIUSサーバー
  • clients.confファイルにL2認証スイッチで設定した共通の秘密鍵を登録する。
  • usersファイルに802.1X認証用のユーザー名とパスワードを登録する。
    ※登録するユーザー名とパスワードは大文字と小文字の区別あり。

    ○良い例：user-a Auth-Type := EAP, User-Password == "pass-a"
    ×悪い例：USER-a Auth-Type := EAP, User-Password == "pass-A"

    ※ダイナミックVLANの認証属性はVLAN IDを登録する。

    ○良い例：Tunnel-Private-Group-Id = 40
    ×悪い例：Tunnel-Private-Group-Id = VLAN40

L2認証スイッチの設定例

VLANの設定
# configure terminal
(config)# vlan 10,20,30,40,50,100
(config-vlan)# exit
クライアント用にVLAN(10,20,30,40,50)を作成
管理用としてVLAN(100)を作成
ポートの設定
(config)# interface range port 1/0/1,1/0/3
(config-if-port-range)# switchport access vlan 10
(config-if-port-range)# exit		 VLAN(10)をuntagポート1、3に設定
(config)# interface port 1/0/2
(config-if-port)# switchport access vlan 30
(config-if-port)# exit		 VLAN(30)をuntagポート2に設定
(config)# interface port 1/0/5
(config-if-port)# switchport access vlan 50
(config-if-port)# exit		 VLAN(50)をuntagポート5に設定
(config)# interface range port 1/0/9-10
(config-if-port-range)# channel-group 1 mode on
(config-if-port-range)# exit		 ポート9、10をスタティックのLAGグループ1として登録
(config)# interface port-channel 1
(config-if-port-channel)# switchport mode trunk
(config-if-port-channel)# switchport trunk allowed vlan 10,20,30,40,50,100
(config-if-port-channel)# exit		 VLAN(10,20,30,40,50,100)をtagポート9、10に設定
管理用IPアドレスの設定
(config)# no interface vlan 1
(config)# interface vlan 100
(config-if-vlan)# ip address 192.168.100.1/24
(config-if-vlan)# exit
(config)# ip route default 192.168.100.254		 管理用VLAN100にIPアドレス設定
SYSLOGサーバーの設定
(config)# logging server 192.168.200.2 severity informational SYSLOG出力先の設定
ネットワーク監視装置の設定
(config)# snmp-server host 192.168.200.3 version 2c public
(config)# snmp-server enable traps
(config)# snmp-server		 SNMPトラップ出力先の設定
RADIUSサーバーの設定
(config)# aaa new-model
(config)# radius-server host 192.168.200.1 key APL-radius
(config)# aaa authentication dot1x default group radius		 AAA 機能を有効
RADIUSサーバーを登録
802.1XでRADIUSサーバーを利用
802.1x認証の設定
(config)# access-defender
(config-a-def)# authentication interface port 1/0/1-3 dot1x
(config-a-def)# exit
(config)# dot1x enable
(config)#
ポート1-3の802.1X認証を有効化

802.1X認証の有効化

RADIUSサーバーの設定(Free RADIUS)

RADIUSサーバーの設定項目について簡単に説明します。
なお、認証方式やサーバー製品によって設定方法が異なる場合があります。
(詳細設定については、ご使用のサーバー製品マニュアルをご参照ください)

eap.confファイル登録

EAP認証方式を登録します。
認証方式「MD5」では、eap.confファイルを編集する必要はありません。
認証方式「PEAP」、「TTLS」、｢TLS｣では、eap.confファイルに電子証明書などを指定します。
電子証明書は各端末にも適切にインストールしておく必要があります。

＜設定例(認証方式｢TLS｣の場合)＞
eap {
  #default_eap_type = md5
    default_eap_type = tls
    tls {
          private_key_password = apresia                            #秘密鍵のパスワード
          private_key_file = ${raddbdir}/certs/srv.pem         #サーバーの秘密鍵
          certificate_file = ${raddbdir}/certs/srv-cert.pem     #サーバー証明書
          CA_file = ${raddbdir}/certs/cacert.pem                 #CA証明書
          dh_file = ${raddbdir}/certs/dh                              #DHファイル
          random_file = ${raddbdir}/certs/random               #ランダムファイル
          }
}
clients.confファイル登録

RADIUSクライアント(＝認証スイッチ)となるIPアドレスや共通の秘密鍵を登録します。
｢secret｣はRADIUSサーバーと認証スイッチで同じにしておく必要があります。

＜設定例＞
client 192.168.100.0/24 {
              secret = APL-radius
              shortname = ApresiaLight
}
＜usersファイル登録＞

サプリカント(クライアント)ごとのユーザー名やパスワードを登録します。

・サプリカント(クライアント)ごとに下記の属性を定義します。
属性名属性備考
User-Name ユーザー名 対象サプリカントのユーザー名(例：user-a)
英字は大文字、小文字で区別される
User-Password パスワード ユーザー名に対応するパスワード(例："pass-a")
英字は大文字、小文字で区別される
・ダイナミックVLANを使用するときは、前述の諸属性に加えて下記の3属性を追加します。
属性名属性備考
Tunnel-Type VLAN (13) 固定値
Tunnel-Medium-Type IEEE-802 (6) 固定値
Tunnel-Private-Group-ID VLAN ID 認証後に所属させるVLAN ID (例：40)
＜設定例＞
user-a Auth-Type := EAP, User-Password == "pass-a"
user-b Auth-Type := EAP, User-Password == "pass-b"
user-c Auth-Type := EAP, User-Password == "pass-c"
user-d Auth-Type := EAP, User-Password == "pass-d"
          Tunnel-Type = 13,
          Tunnel-Medium-Type = 6,
          Tunnel-Private-Group-Id = 40

※EAP-TLSで認証する場合、電子証明書で認証するためここでのパスワード登録は不要です。

確認コマンド
  • show access-defender client
  • show access-defender port-configuration
  • show radius statistics

設定例TOPへ戻る

関連情報