Cisco IOS セキュリティ コンフィギュレーション ガ イド:ユーザ サービスのセキュリティ保護
アカウンティングの設定
アカウンティングの設定
発行日;2012/02/05 | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 7MB) | フィードバック

目次

アカウンティングの設定

機能情報の確認

この章の構成

の前提条件

の制約事項

について

アカウンティングの名前付き方式リスト

方式リストとサーバ グループ

AAA アカウンティング方式

AAA アカウンティング タイプ

ネットワーク アカウンティング

接続アカウンティング

EXEC アカウンティング

システム アカウンティング

コマンド アカウンティング

リソース アカウンティング

AAA アカウンティングの強化

AAA ブロードキャスト アカウンティング

AAA セッション MIB

アカウンティング アトリビュートと値のペア

AAA アカウンティングの設定方法

名前付き方式リストによる AAA アカウンティングの設定

アカウンティングの種類

アカウンティング レコードの種類

アカウンティング方式

RADIUS システム アカウンティングの設定

ヌル ユーザ名セッション時のアカウンティング レコード生成の抑制

中間アカウンティング レコードの生成

失敗したログインまたはセッションに対するアカウンティング レコードの生成

EXEC-Stop レコードよりも前のアカウンティング NETWORK-Stop レコードの指定

AAA リソース失敗終了アカウンティングの設定

開始 - 終了レコードの AAA リソース アカウンティングの設定

AAA ブロードキャスト アカウンティングの設定

DNIS による AAA ブロードキャスト アカウンティングの設定

AAA セッション MIB の設定

AAA サーバが到達不能時のルータとのセッション確立

アカウンティングの監視

アカウンティングのトラブルシューティング

AAA アカウンティングの設定例

名前付き方式リストの設定:例

AAA リソース アカウンティングの設定:例

AAA ブロードキャスト アカウンティングの設定:例

DNIS による AAA ブロードキャスト アカウンティングの設定:例

AAA セッション MIB:例

その他の参考資料

関連資料

規格

MIB

RFC

シスコのテクニカル サポート

の機能情報

アカウンティングの設定

AAA アカウンティング機能を使用すると、ユーザがアクセスするサービス、およびユーザが消費するネットワーク リソース量を追跡できます。AAA アカウンティングをイネーブルにすると、ネットワーク アクセス サーバから TACACS+ または RADIUS セキュリティ サーバ(実装しているセキュリティ手法によって異なります)に対して、アカウンティング レコードの形式でユーザ アクティビティがレポートされます。アカウンティング レコードにはアカウンティング AV のペアが含まれ、セキュリティ サーバに保存されます。このデータを分析して、ネットワーク管理、クライアント課金、および監査に利用できます。

機能情報の確認

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。この章に記載されている機能の詳細、および各機能がサポートされているリリースのリストについては、「アカウンティングの設定の機能情報」を参照してください。

プラットフォーム サポートと Cisco IOS および Catalyst OS ソフトウェア イメージ サポートに関する情報を入手するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、 http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。

アカウンティングの設定の前提条件

次のタスクを実行してから、名前付き方式リストを使用してアカウンティングを設定します。

ネットワーク アクセス サーバで AAA をイネーブルにするには、グローバル コンフィギュレーション モードで aaa new-model コマンドを使用します。

RADIUS または TACACS+ 認可が発行されている場合、RADIUS または TACACS+ セキュリティ サーバの特性を定義します。Cisco ネットワーク アクセス サーバを設定して RADIUS セキュリティ サーバと通信する方法の詳細については、「 Configuring RADIUS 」モジュールを参照してください。Cisco ネットワーク アクセス サーバを設定して TACACS+ セキュリティ サーバと通信する方法の詳細については、「 Configuring TACACS+ 」モジュールを参照してください。

アカウンティングの設定の制約事項

AAA アカウンティング機能には次の制約事項があります。

アカウンティング情報は、最大 4 台の AAA サーバに同時送信できます。

SSG の制約事項:SSG システムの場合、 aaa accounting network broadcast コマンドを実行すると、 start-stop アカウンティング レコードのみがブロードキャストされます。 ssg accounting interval コマンドを使用して中間アカウンティング レコードを設定する場合、中間アカウンティング レコードは、設定したデフォルト RADIUS サーバにのみ送信されます。

アカウンティングの設定について

ここでは、アカウンティング機能の実装方法について説明します。

「アカウンティングの名前付き方式リスト」

「AAA アカウンティング タイプ」

「AAA アカウンティングの強化」

「アカウンティング アトリビュートと値のペア」

アカウンティングの名前付き方式リスト

認証および認可方式リストと同様に、アカウンティングの方式リストには、アカウンティングの実行方法とその方式を実行するシーケンスが定義されています。

アカウンティングの名前付き方式リストには、特定のセキュリティ プロトコルを指定し、アカウンティング サービスの特定の行またはインターフェイスに使用できます。唯一の例外は、デフォルトの方式リスト(偶然ですが、「default」という名前が指定されています)です。デフォルトの方式リストは、名前付きの方式リストが明示的に定義されているインターフェイスを除き、すべてのインターフェイスに自動的に適用されます。デフォルトの方式リストは、定義された方式リストによって上書きされます。

方式リストは、シーケンスで照会されるアカウンティング方式(RADIUS、TACACS+ など)を説明する単なる名前付きリストです。方式リストでは、アカウンティングに 1 つまたは複数のセキュリティ プロトコルを指定できます。そのため、最初の方式が失敗した場合に備えてアカウンティングのバックアップ システムを確保できます。Cisco IOS ソフトウェアでは、方式リストのうち、アカウンティングをサポートする最初の方式が使用されます。その方式が応答しない場合、方式リストの次のアカウンティング方式が選択されます。このプロセスは、リストのいずれかのアカウンティング方式と通信に成功するか、定義されているすべての方式が試行されるまで継続されます。


) Cisco IOS ソフトウェアでは、前の方式からの応答がない場合にのみ、リストの次のアカウンティング方式でアカウンティングが試行されます。このサイクルの任意の時点でアカウンティングが失敗した場合(つまり、セキュリティ サーバからユーザ アクセスの拒否応答が返される場合)、アカウンティング プロセスは停止し、その他のアカウンティング方式は試行されません。


アカウンティング方式リストは、要求されるアカウンティングの種類によって変わります。AAA は、次の 6 種類のアカウンティングをサポートしています。

ネットワーク :パケットやバイト カウントなど、すべての PPP、SLIP、または ARAP セッションに関する情報を提供します。

EXEC :ネットワーク アクセス サーバのユーザ EXEC ターミナル セッションに関する情報を提供します。

コマンド :ユーザが発行する EXEC モード コマンドに関する情報を提供します。コマンド アカウンティングは、特定の特権レベルに関連付けられた、グローバル コンフィギュレーション コマンドなどのすべての EXEC モード コマンドについて、アカウンティング レコードを生成します。

接続 :Telnet、Local-Area Transport(LAT; ローカルエリア トランスポート)、TN3270、Packet Assembler/disassembler(PAD)、rlogin など、ネットワーク アクセス サーバからの発信接続すべてに関する情報を提供します。

システム :システムレベルのイベントに関する情報を提供します。

リソース :ユーザ認証に成功したコールの「開始」および「終了」レコードを提供します。また、認証に失敗したコールの「終了」レコードを提供します。


) システム アカウンティングは、名前付きアカウンティング リストを使用しません。システム アカウンティングのデフォルト リストだけを定義できます。


この場合も、名前付き方式リストが作成されると、指定したアカウンティング タイプのアカウンティング方式のリストが定義されます。

アカウンティング方式リストを特定の回線またはインターフェイスに適用してから、定義済み方式のいずれかを実行する必要があります。唯一の例外は、デフォルトの方式リスト(「default」という名前が指定されています)です。特定のアカウンティング タイプ用の aaa accounting コマンドが、名前付き方式リストを指定せずに発行されると、デフォルトの方式リストは、名前付き方式リストが明示的に定義されている場合を除き、すべてのインターフェイスまたは回線へ自動的に適用されます(定義した方式リストは、デフォルトの方式リストよりも優先されます)。デフォルトの方式リストが定義されていない場合、アカウンティングは実行されません。

この項の内容は、次のとおりです。

「方式リストとサーバ グループ」

「AAA アカウンティング方式」

方式リストとサーバ グループ

サーバ グループは、方式リストに使用する既存の RADIUS または TACACS+ サーバ ホストをグループ化する方法の 1 つです。図 1 に、4 台のセキュリティ サーバ(R1 と R2 は RADIUS サーバ、T1 と T2 は TACACS+ サーバ)が設置された一般的な AAA ネットワーク設定を示します。R1 と R2 は RADIUS サーバのグループから構成されます。T1 と T2 は TACACS+ サーバのグループから構成されます。

図 1 一般的な AAA ネットワーク設定

 

Cisco IOS ソフトウェアでは、RADIUS および TACACS+ サーバ設定はグローバルです。サーバ グループを使用して、設定済みのサーバ ホストのサブセットを指定できます。このようなサーバ グループは、特定のサービスに使用できます。たとえば、サーバ グループを使用すると、R1 と R2 を個別のサーバ グループ(SG1 と SG2)として定義し、T1 と T2 を個別のサーバ グループ(SG3 と SG4)として定義できます。つまり、R1 と T1(SG1 と SG3)を方式リストに指定することや、R2 と T2(SG2 と SG4)を方式リストに指定することができます。そのため、RADIUS および TACACS+ のリソースを割り当てる場合の柔軟性が高くなります。

サーバ グループには、1 台のサーバに対して複数のホスト エントリを含めることができます。エントリごとに固有の識別情報を設定します。固有の識別情報は、IP アドレスと UDP ポート番号の組み合わせで構成されます。これにより、RADIUS ホストとして定義されているさまざまなポートが、固有の AAA サービスを提供できるようになります。つまり、この固有識別情報を使用して、ある IP アドレスに位置する 1 台のサーバ上に複数の UDP ポートが存在する場合、それぞれの UDP ポートに対して RADIUS 要求を送信できます。1 台の RADIUS サーバ上にある異なる 2 つのホスト エントリが 1 つのサービス(アカウンティングなど)に設定されている場合、設定されている 2 番目のホスト エントリは最初のホスト エントリのフェールオーバー バックアップとして動作します。この例の場合、最初のホスト エントリがアカウンティング サービスの提供に失敗すると、同じデバイスに設定されている 2 番目のホスト エントリを使用してアカウンティング サービスを提供するように、ネットワーク アクセス サーバが試行します(試行される RADIUS ホスト エントリの順番は、設定されている順序に従います)。

DNIS 番号に基づくサーバ グループの設定およびサーバ グループの設定の詳細については、『 Cisco IOS Security Configuration Guide: Securing User Services 』の「Configuring RADIUS」または「Configuring TACACS+」を参照してください。

AAA アカウンティング方式

Cisco IOS はアカウンティングについて次の 2 つの方式をサポートします。

TACACS+:ネットワーク アクセス サーバは、アカウンティング レコードの形式で TACACS+ セキュリティ サーバに対してユーザ アクティビティを報告します。アカウンティング レコードにはアカウンティング AV のペアが含まれ、セキュリティ サーバに保存されます。

RADIUS:ネットワーク アクセス サーバは、アカウンティング レコードの形式で RADIUS セキュリティ サーバに対してユーザ アクティビティを報告します。アカウンティング レコードにはアカウンティング AV のペアが含まれ、セキュリティ サーバに保存されます。

ネットワーク アカウンティング

ネットワーク アカウンティングは、パケットやバイト カウントなど、すべての PPP、SLIP、または ARAP セッションに関する情報を提供します。

次に、EXEC セッションを介して着信する PPP ユーザの RADIUS ネットワーク アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:44:45 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 5
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “562”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = “0000000D”
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 
Wed Jun 27 04:45:00 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 5
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “562”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Framed
Acct-Session-Id = “0000000E”
Framed-IP-Address = “10.1.1.2”
Framed-Protocol = PPP
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 
Wed Jun 27 04:47:46 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 5
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “562”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Framed
Acct-Session-Id = “0000000E”
Framed-IP-Address = “10.1.1.2”
Framed-Protocol = PPP
Acct-Input-Octets = 3075
Acct-Output-Octets = 167
Acct-Input-Packets = 39
Acct-Output-Packets = 9
Acct-Session-Time = 171
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 
Wed Jun 27 04:48:45 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 5
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “408”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = “0000000D”
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 

次に、最初に EXEC セッションを開始した PPP ユーザの TACACS+ ネットワーク アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:00:35 2001 172.16.25.15 username1 tty4 562/4327528 starttask_id=28 service=shell
Wed Jun 27 04:00:46 2001 172.16.25.15 username1 tty4 562/4327528 starttask_id=30 addr=10.1.1.1 service=ppp
Wed Jun 27 04:00:49 2001 172.16.25.15 username1 tty4 408/4327528 update task_id=30 addr=10.1.1.1 service=ppp protocol=ip addr=10.1.1.1
Wed Jun 27 04:01:31 2001 172.16.25.15 username1 tty4 562/4327528 stoptask_id=30 addr=10.1.1.1 service=ppp protocol=ip addr=10.1.1.1 bytes_in=2844 bytes_out=1682 paks_in=36 paks_out=24 elapsed_time=51
Wed Jun 27 04:01:32 2001 172.16.25.15 username1 tty4 562/4327528 stoptask_id=28 service=shell elapsed_time=57
 

) アカウンティング パケット レコードの正確なフォーマットは、セキュリティ サーバ デーモンに応じて変わります。


次に、autoselect を介して着信する PPP ユーザの RADIUS ネットワーク アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:30:52 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 3
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “562”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Framed
Acct-Session-Id = “0000000B”
Framed-Protocol = PPP
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 
Wed Jun 27 04:36:49 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 3
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “562”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Framed
Acct-Session-Id = “0000000B”
Framed-Protocol = PPP
Framed-IP-Address = “10.1.1.1”
Acct-Input-Octets = 8630
Acct-Output-Octets = 5722
Acct-Input-Packets = 94
Acct-Output-Packets = 64
Acct-Session-Time = 357
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 

次に、autoselect を介して着信する PPP ユーザの TACACS+ ネットワーク アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:02:19 2001 172.16.25.15 username1 Async5 562/4327528 starttask_id=35 service=ppp
Wed Jun 27 04:02:25 2001 172.16.25.15 username1 Async5 562/4327528 update task_id=35 service=ppp protocol=ip addr=10.1.1.2
Wed Jun 27 04:05:03 2001 172.16.25.15 username1 Async5 562/4327528 stoptask_id=35 service=ppp protocol=ip addr=10.1.1.2 bytes_in=3366 bytes_out=2149 paks_in=42 paks_out=28 elapsed_time=164

接続アカウンティング

接続アカウンティングは、Telnet、Local-Area Transport(LAT; ローカルエリア トランスポート)、TN3270、Packet Assembler/disassembler(PAD)、rlogin など、ネットワーク アクセス サーバからの発信接続すべてに関する情報を提供します。

次に、発信 Telnet 接続の RADIUS 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:28:00 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 2
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “5622329477”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Login
Acct-Session-Id = “00000008”
Login-Service = Telnet
Login-IP-Host = “10.68.202.158”
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 
Wed Jun 27 04:28:39 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 2
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “5622329477”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Login
Acct-Session-Id = “00000008”
Login-Service = Telnet
Login-IP-Host = “10.68.202.158”
Acct-Input-Octets = 10774
Acct-Output-Octets = 112
Acct-Input-Packets = 91
Acct-Output-Packets = 99
Acct-Session-Time = 39
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 

次に、発信 Telnet 接続の TACACS+ 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:47:43 2001 172.16.25.15 username1 tty3 5622329430/4327528 start task_id=10 service=connection protocol=telnet addr=10.68.202.158 cmd=telnet username1-sun
Wed Jun 27 03:48:38 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=10 service=connection protocol=telnet addr=10.68.202.158 cmd=telnet username1-sun bytes_in=4467 bytes_out=96 paks_in=61 paks_out=72 elapsed_time=55
 

次に、発信 rlogin 接続の RADIUS 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:29:48 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 2
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “5622329477”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Login
Acct-Session-Id = “0000000A”
Login-Service = Rlogin
Login-IP-Host = “10.68.202.158”
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 
Wed Jun 27 04:30:09 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 2
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “5622329477”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Login
Acct-Session-Id = “0000000A”
Login-Service = Rlogin
Login-IP-Host = “10.68.202.158”
Acct-Input-Octets = 18686
Acct-Output-Octets = 86
Acct-Input-Packets = 90
Acct-Output-Packets = 68
Acct-Session-Time = 22
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 

次に、発信 rlogin 接続の TACACS+ 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:48:46 2001 172.16.25.15 username1 tty3 5622329430/4327528 start task_id=12 service=connection protocol=rlogin addr=10.68.202.158 cmd=rlogin username1-sun /user username1
Wed Jun 27 03:51:37 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=12 service=connection protocol=rlogin addr=10.68.202.158 cmd=rlogin username1-sun /user username1 bytes_in=659926 bytes_out=138 paks_in=2378 paks_
out=1251 elapsed_time=171
 

次に、発信 LAT 接続の TACACS+ 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:53:06 2001 172.16.25.15 username1 tty3 5622329430/4327528 start task_id=18 service=connection protocol=lat addr=VAX cmd=lat VAX
Wed Jun 27 03:54:15 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=18 service=connection protocol=lat addr=VAX cmd=lat VAX bytes_in=0 bytes_out=0 paks_in=0 paks_out=0 elapsed_time=6

EXEC アカウンティング

EXEC アカウンティングは、ネットワーク アクセス サーバ上にあるユーザ EXEC ターミナル セッション(ユーザ シェル)に関する情報を提供します。たとえば、ユーザ名、日付、開始時刻と終了時刻、アクセス サーバの IP アドレス、および(ダイヤルイン ユーザの場合)発信元の電話番号などです。

次に、ダイヤルイン ユーザの RADIUS EXEC アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:26:23 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 1
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “5622329483”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = “00000006”
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 
Wed Jun 27 04:27:25 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 1
User-Name = “username1”
Client-Port-DNIS = “4327528”
Caller-ID = “5622329483”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = “00000006”
Acct-Session-Time = 62
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 

次に、ダイヤルイン ユーザの TACACS+ EXEC アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:46:21 2001 172.16.25.15 username1 tty3 5622329430/4327528 start task_id=2 service=shell
Wed Jun 27 04:08:55 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=2 service=shell elapsed_time=1354
 

次に、Telnet ユーザの RADIUS EXEC アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:48:32 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 26
User-Name = “username1”
Caller-ID = “10.68.202.158”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = “00000010”
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 
Wed Jun 27 04:48:46 2001
NAS-IP-Address = “172.16.25.15”
NAS-Port = 26
User-Name = “username1”
Caller-ID = “10.68.202.158”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = “00000010”
Acct-Session-Time = 14
Acct-Delay-Time = 0
User-Id = “username1”
NAS-Identifier = “172.16.25.15”
 

次に、Telnet ユーザの TACACS+ EXEC アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:06:53 2001 172.16.25.15 username1 tty26 10.68.202.158 starttask_id=41 service=shell
Wed Jun 27 04:07:02 2001 172.16.25.15 username1 tty26 10.68.202.158 stoptask_id=41 service=shell elapsed_time=9

システム アカウンティング

システム アカウンティングは、すべてのシステムレベル イベント(たとえば、システムのリブート時やアカウンティングのオン/オフ時)に関する情報を提供します。

次のアカウンティング レコードは、AAA アカウンティングがオフになったことを示す一般的な TACACS+ システム アカウンティング レコード サーバを示します。

Wed Jun 27 03:55:32 2001 172.16.25.15 unknown unknown unknown start task_id=25 service=system event=sys_acct reason=reconfigure
 

) アカウンティング パケット レコードの正確なフォーマットは、TACACS+ デーモンに応じて変わります。


次のアカウンティング レコードは、AAA アカウンティングがオンになったことを示す TACACS+ システム アカウンティング レコードを示します。

Wed Jun 27 03:55:22 2001 172.16.25.15 unknown unknown unknown stop task_id=23 service=system event=sys_acct reason=reconfigure

 

システム リソースを測定する追加のタスクについては、他の Cisco IOS ソフトウェア コンフィギュレーション ガイドを参照してください。たとえば、IP アカウンティング タスクについては、『 Cisco IOS Application Services Configuration Guide 』の「 Configuring IP Services 」を参照してください。

コマンド アカウンティング

コマンド アカウンティングは、ネットワーク アクセス サーバで実行される各特権レベルの EXEC シェル コマンドに関する情報を提供します。各コマンド アカウンティング レコードには、その特権レベルで実行されるコマンド、各コマンドが実行された日時、および実行したユーザのリストが含まれます。

次に、特権レベル 1 の TACACS+ コマンド アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:46:47 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=3 service=shell priv-lvl=1 cmd=show version <cr>
Wed Jun 27 03:46:58 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=4 service=shell priv-lvl=1 cmd=show interfaces Ethernet 0 <cr>
Wed Jun 27 03:47:03 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=5 service=shell priv-lvl=1 cmd=show ip route <cr>
 

次に、特権レベル 15 の TACACS+ コマンド アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:47:17 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=6 service=shell priv-lvl=15 cmd=configure terminal <cr>
Wed Jun 27 03:47:21 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=7 service=shell priv-lvl=15 cmd=interface Serial 0 <cr>
Wed Jun 27 03:47:29 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=8 service=shell priv-lvl=15 cmd=ip address 10.1.1.1 255.255.255.0 <cr>

) Cisco の RADIUS 実装は、コマンド アカウンティングをサポートしていません。


リソース アカウンティング

シスコが採用している AAA アカウンティングでは、ユーザ認証を通過したコールに対する「開始」レコードと「終了」レコードがサポートされます。ユーザ認証の一部として認証に失敗したコールの「終了」レコードを生成する追加機能もサポートされます。このようなレコードは、ネットワークを管理および監視するアカウンティング レコードを採用する場合に必要です。

この項の内容は、次のとおりです。

「AAA リソース失敗終了アカウンティング」

「開始 - 終了レコードの AAA リソース アカウンティング」

AAA リソース失敗終了アカウンティング

AAA リソース失敗終了アカウンティングの前には、コール設定シーケンスのユーザ認証段階に到達できなかったコールについて、アカウンティング レコードを提供する方式がありませんでした。このようなレコードは、ネットワークおよびその卸売りの顧客を管理および監視するアカウンティング レコードを採用する場合に必要です。

この機能によって、ユーザ認証に到達しなかったコールの「終了」アカウンティング レコードが生成されます。「終了」レコードは、コール設定の時点から生成されます。ユーザ認証に成功したすべてのコールは、従来と同様に動作します。つまり、追加のアカウンティング レコードは確認されません。

図 2 に、通常のコール フローで、AAA リソース失敗終了アカウンティングをイネーブルにしていないコール シーケンスを示します。

図 2 通常のフローで AAA リソース失敗終了アカウンティングをイネーブルにしていないモデム ダイヤルイン コール設定シーケンス

 

図 3 に、通常のコール フローで、AAA リソース失敗終了アカウンティングをイネーブルにしたコール シーケンスを示します。

 

図 3 通常のフローで AAA リソース失敗終了アカウンティングをイネーブルにしたモデム ダイヤルイン コール設定シーケンス

 

図 4 に、ユーザ認証前にコールの接続解除が発生し、AAA リソース失敗終了アカウンティングをイネーブルにしたコール設定シーケンスを示します。

図 4 ユーザ認証前にコールの接続解除が発生し、AAA リソース失敗終了アカウンティングをイネーブルにしたモデム ダイヤルイン コール設定シーケンス

 

図 11 に、ユーザ認証前にコールの接続解除が発生し、AAA リソース失敗終了アカウンティングをイネーブルにしていないコール設定シーケンスを示します。

図 5 ユーザ認証前にコールの接続解除が発生し、AAA リソース失敗終了アカウンティングをイネーブルにしていないモデム ダイヤルイン コール設定シーケンス

 

開始 - 終了レコードの AAA リソース アカウンティング

開始 - 終了レコードの AAA リソース アカウンティングは、各コール設定時に「開始」レコードを送信し、コールの接続解除時に対応する「終了」レコードを送信する機能をサポートしています。この機能は、アカウンティング レコードなどを報告するデータの発信元の 1 つから、卸売りの顧客を管理および監視するために使用できます。

この機能を使用すると、コール設定およびコールの接続解除の「開始 - 終了」アカウンティング レコードは、デバイスに対するリソース接続の進行状況を追跡します。個別のユーザ認証「開始 - 終了」アカウンティング レコードが、ユーザ管理の進行状況を追跡します。これら 2 セットのアカウンティング レコードは、そのコールで固有のセッション ID を使用して相互リンクされます。

図 6 は、AAA リソース 開始 - 終了アカウンティングをイネーブルにしたコール設定シーケンスを示します。

図 6 リソース開始 - 終了アカウンティングをイネーブルにしたモデム ダイヤルイン コール設定シーケンス

 

AAA アカウンティングの強化

ここでは、次の強化について説明します。

「AAA ブロードキャスト アカウンティング」

「AAA セッション MIB」

AAA ブロードキャスト アカウンティング

AAA ブロードキャスト アカウンティングを使用すると、複数の AAA サーバに対してアカウンティング情報を同時送信できます。つまり、1 つまたは複数の AAA サーバに対してアカウンティング情報を同時にブロードキャストできます。この機能を使用すると、サービス プロバイダーは自社使用のプライベート AAA サーバやエンド ユーザの AAA サーバにアカウンティング情報を送信できるようになります。この機能では、音声アプリケーションによる課金情報も提供されます。

ブロードキャストは、RADIUS または TACACS+ サーバのグループに使用できます。また、各サーバ グループは、他のグループとは関係なく、フェールオーバーの場合のバックアップ サーバを定義できます。

したがって、サービス プロバイダーとそのエンド ユーザは、アカウンティング サーバに異なるプロトコル(RADIUS または TACACS+)を使用できます。また、サービス プロバイダーとそのエンド ユーザは、それぞれ単独でバックアップ サーバを指定することもできます。音声アプリケーションについては、独自のフェールオーバー シーケンスを持つ個別のグループを介して、冗長的なアカウンティング情報を単独で管理できます。

AAA セッション MIB

ユーザが AAA セッション MIB 機能を使用すると、Simple Network Management Protocol(SNMP)を使用して自身の認証済みクライアント接続を監視および終了できます。そのクライアントのデータが提示されるため、RADIUS または TACACS+ サーバから報告される AAA アカウンティング情報に直接関連付けることができます。AAA セッション MIB は、次の情報を提供します。

各 AAA 機能の統計情報( show radius statistics コマンドと併用する場合)

AAA 機能を提供するサーバのステータス

外部 AAA サーバの ID

(アイドル時間などの)リアルタイム情報(アクティブ コールを終了するかどうかを評価する SNMP ネットワークが使用する追加基準を提供します)


) このコマンドがサポートされるのは、Cisco AS5300 および Cisco AS5800 ユニバーサル アクセス サーバ プラットフォームだけです。


表 1 に、認証済みクライアントと AAA セッション MIB 機能との接続を監視および終了するために使用できる SNMP ユーザエンド データ オブジェクトを示します。

 

表 1 SNMP エンドユーザ データ オブジェクト

SessionId

AAA アカウンティング プロトコルに使用されるセッション ID(RADIUS アトリビュート 44(Acct-Session-ID)から報告される値と同じ)

UserId

ユーザ ログイン ID または(ログインが使用できない場合)長さがゼロの文字列

IpAddr

セッションの IP アドレスまたは(IP アドレスが適用されない場合、または使用できない場合)0.0.0.0

IdleTime

セッションがアイドルになってからの経過時間

Disconnect

そのクライアントとの接続を解除するために使用されるセッション終了オブジェクト

CallId

コール トラッカー レコードが保存した、このアカウンティング セッションに対応するエントリ インデックス

表 2 に、システム別に SNMP を使用する AAA セッション MIB 機能から提供される AAA の概要情報を示します。

 

表 2 SNMP AAA セッションの概要

ActiveTableEntries

現在アクティブなセッションの数

ActiveTableHighWaterMark

システムが最後に再インストールされてからの同時接続セッションの最大数

TotalSessions

システムが最後に再インストールされてからのセッションの合計数

DisconnectedSessions

システムが最後に再インストールされてから接続解除されたセッションの合計数

アカウンティング アトリビュートと値のペア

ネットワーク アクセス サーバは、TACACS+ アトリビュートと値(AV)のペアまたは RADIUS アトリビュート(実装しているセキュリティ方式によって異なります)に定義されたアカウンティング機能を監視します。

AAA アカウンティングの設定方法

ここでは、AAA アカウンティングの設定に関する次の設定タスクについて説明します。

「名前付き方式リストによる AAA アカウンティングの設定」

「ヌル ユーザ名セッション時のアカウンティング レコード生成の抑制」

「中間アカウンティング レコードの生成」

「失敗したログインまたはセッションに対するアカウンティング レコードの生成」

「EXEC-Stop レコードよりも前のアカウンティング NETWORK-Stop レコードの指定」

「AAA リソース失敗終了アカウンティングの設定」

「開始 - 終了レコードの AAA リソース アカウンティングの設定」

「AAA ブロードキャスト アカウンティングの設定」

「DNIS による AAA ブロードキャスト アカウンティングの設定」

「AAA セッション MIB の設定」

「AAA サーバが到達不能時のルータとのセッション確立」

「アカウンティングの監視」

「アカウンティングのトラブルシューティング」

名前付き方式リストによる AAA アカウンティングの設定

名前付き方式リストを使用して AAA アカウンティングを設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

ステップ 1

Router(config)# aaa accounting { system | network | exec | connection | commands level } { default | list-name } { start-stop | stop-only | none } [ method1 [ method2... ]]

アカウンティング方式リストを作成し、 アカウンティングをイネーブルにします。引数 list-name は、作成したリストに名前を付けるときに使用される文字列です。

ステップ 2

Router(config)# line [ aux | console | tty | vty ] line-number [ ending-line-number ]

 

または

 

Router(config)# interface interface-type interface-number

アカウンティング方式リストを適用する回線について、ライン コンフィギュレーション モードを開始します。

または

アカウンティング方式リストを適用するインターフェイスについて、インターフェイス コンフィギュレーション モードを開始します。

ステップ 3

Router(config-line)# accounting { arap | commands level | connection | exec } { default | list-name }

 

または

 

Router(config-if)# ppp accounting { default | list-name }

1 つの回線または複数回線にアカウンティング方式リストを適用します。

または

1 つのインターフェイスまたは複数インターフェイスにアカウンティング方式リストを適用します。


) システム アカウンティングは、名前付き方式リストを使用しません。システム アカウンティングの場合、デフォルトの方式リストだけを定義します。


ここでは、次の内容について説明します。

「アカウンティングの種類」

「アカウンティング レコードの種類」

「アカウンティング方式」

「RADIUS システム アカウンティングの設定」

アカウンティングの種類

名前付きアカウンティング方式リストは、指定されるアカウンティングの種類によって変わります。

network :すべてのネットワーク関連サービス要求(SLIP、PPP、PPP NCP、ARA などのプロトコル)について認可をイネーブルにする方式リストを作成するには、 network キーワードを使用します。たとえば、ARAP(ネットワーク)セッションのアカウンティング情報を提供する方式リストを作成するには、 arap キーワードを使用します。

exec :ネットワーク アクセス サーバ上のユーザ EXEC ターミナル セッションに関するアカウンティング レコード(ユーザ名、日付、開始時刻、終了時刻など)を提供する方式リストを作成するには、 exec キーワードを使用します。

commands :特定の特権レベルに関連付けられた特定の EXEC コマンドに関するアカウンティング情報を提供する方式リストを作成するには、 commands キーワードを使用します。

connection :ネットワーク アクセス サーバから開始されるすべての発信接続について、アカウンティング情報を提供する方式リストを作成するには、 connection キーワードを使用します。

resource :ユーザ認証に成功したコール、または認証に失敗したコールに関するアカウンティング レコードを提供する方式リストを作成します。


) システム アカウンティングは、名前付き方式リストをサポートしません。


アカウンティング レコードの種類

最小限のアカウンティングの場合、 stop-only キーワードを使用します。このキーワードによって、要求されたユーザ プロセスの終了時に、終了レコード アカウンティング通知を送信するように、指定した方式(RADIUS または TACACS+)に指示します。詳細なアカウンティング情報が必要な場合、 start-stop キーワードを使用して、要求されたイベントの開始時には開始アカウンティング通知、そのイベントの終了時には修理用アカウンティング通知を送信します。この回線またはインターフェイスですべてのアカウンティング アクティビティを終了するには、 none キーワードを使用します。

アカウンティング方式

表 3 に、サポートされるアカウンティング方式を示します。

 

表 3 AAA アカウンティング方式

キーワード
説明

group radius

アカウンティングにすべての RADIUS サーバのリストを使用します。

group tacacs+

アカウンティングにすべての TACACS+ サーバのリストを使用します。

group group-name

サーバ グループ group-name の定義に従って、アカウンティングに RADIUS または TACACS+ サーバのサブセットを使用します。

method 引数は、認証アルゴリズムが試行する実際の方式を指します。追加の認証方式は、直前の方式で(失敗した場合ではなく)エラーが返された場合にのみ使用されます。他のすべての方式がエラーを返しても、認証に成功したことを指定するには、コマンドで追加の方式を指定します。たとえば、TACACS+ 認証がエラーを返す場合に認証のバックアップ方式として RADIUS を指定する acct_tac1 という方式リストを作成するには、次のコマンドを入力します。

aaa accounting network acct_tac1 stop-only group tacacs+ group radius
 

名前付きリストが aaa accounting コマンドで指定されて いない 場合に使用するデフォルト リストを作成するには、 default キーワードの後に、デフォルトの状況で使用する方式を指定します。デフォルトの方式リストは、すべてのインターフェイスに自動的に適用されます。

たとえば、ログイン時のユーザ認証のデフォルト方式として RADIUS を指定するには、次のコマンドを入力します。

aaa accounting network default stop-only group radius
 

AAA アカウンティングは、次の方式をサポートします。

group tacacs :ネットワーク アクセス サーバからアカウンティング情報を TACACS+ セキュリティ サーバに送信するようにするには、 group tacacs+ method キーワードを使用します。

group radius :ネットワーク アクセス サーバからアカウンティング情報を RADIUS セキュリティ サーバに送信するようにするには、 group radius method キーワードを使用します。


) SLIP のアカウンティング方式リストは、関連インターフェイスで PPP に設定されているすべての方式に従います。特定のインターフェイスに定義および適用されるリストがない場合(または PPP 設定が指定されていない場合)、アカウンティングのデフォルト設定が適用されます。


group group-name :RADIUS または TACACS+ サーバのサブセットを指定して、アカウンティング方式として使用するには、 group group-name 方式を指定して aaa accounting コマンドを使用します。グループ名とそのグループのメンバを指定して定義するには、 aaa group server コマンドを使用します。たとえば、 aaa group server コマンドを使用して、 loginrad というグループ( group )のメンバを最初に定義します。

aaa group server radius loginrad
server 172.16.2.3
server 172.16.2 17
server 172.16.2.32
 

このコマンドにより、172.16.2.3、172.16.2.17、172.16.2.32 の RADIUS サーバがグループ loginrad のメンバとして指定されます。

他の方式リストが定義されていない場合、ネットワーク アカウンティングの方式として group loginrad を指定するには、次のコマンドを入力します。

aaa accounting network default start-stop group loginrad
 

アカウンティング方式としてグループ名を使用するには、事前に RADIUS または TACACS+ セキュリティ サーバとの通信をイネーブルにする必要があります。

RADIUS システム アカウンティングの設定

このタスクは、グローバル RADIUS サーバで RADIUS システム アカウンティングを設定するために使用されます。

手順の概要

1. enable

2. configure terminal

3. aaa new-model

4. radius-server accounting system host-config

5. aaa group server radius server-name

6. server-private { host-name | ip-address } key {[ 0 server-key | 7 server-key ] server-key }

7. accounting system host-config

手順の詳細

コマンドまたはアクション
目的

ステップ 1

enable

 

Router> enable

特権 EXEC モードをイネーブルにします。

プロンプトが表示されたら、パスワードを入力します。

ステップ 2

configure terminal

 

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

aaa new-model

 

Router(config)# aaa new-model

AAA ネットワーク セキュリティ サービスをイネーブルにします。

ステップ 4

radius-server accounting system host-config

 

Router(config)# radius-server accounting system host-config

RADIUS サーバの追加および削除の際に、ルータからシステム アカウンティング レコードを送信できるようにします。

ステップ 5

aaa group server radius server-name

 

Router(config)# aaa group server radius radgroup1

RADIUS サーバを追加し、サーバ グループ(config-sg-radius)コンフィギュレーション モードを開始します。

server-name 引数には、RADIUS サーバ グループ名を指定します。

ステップ 6

server-private { host-name | ip-address } key {[ 0 server-key | 7 server-key ] server-key }

 

Router(config-sg-radius)# server-private 172.16.1.11 key cisco

RADIUS サーのホスト名または IP アドレスと、非表示のサーバ キーを入力します。

(任意) 0 server-key 引数は、暗号化されていない(クリアテキストの)非表示のサーバ キーが続くことを示します。

(任意) 7 server-key 引数は、暗号化されていない(クリアテキストの)非表示のサーバ キーが続くことを示します。

server-key 引数には、非表示のサーバ キーを指定します。 server-key 引数の前に 0 7 も付いていない場合、サーバキーは暗号化されません。

コマンドが設定されると、RADIUS システム アカウンティングはイネーブルになります。

ステップ 7

accounting system host-config

 

Router(config-sg-radius)# accounting system host-config

プライベート サーバ ホストの追加または削除時に、システム アカウンティング レコードの生成をイネーブルにします。

ヌル ユーザ名セッション時のアカウンティング レコード生成の抑制

AAA アカウンティングをアクティブにすると、Cisco IOS ソフトウェアは、システム上にあるすべてのユーザにアカウンティング レコードを発行します。このとき、プロトコル変換のためにユーザ名文字列がヌルのユーザも含まれます。この例では、 aaa authentication login method-list none コマンドが適用される回線で着信するユーザです。関連付けられているユーザ名がないセッションについて、アカウンティング レコードが生成されないようにするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting suppress null-username

ユーザ名文字列がヌルのユーザについて、アカウンティング レコードが生成されないようにします。

中間アカウンティング レコードの生成

アカウンティング サーバに定期的な中間アカウンティング レコードを送信できるようにするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting update {[ newinfo ] [ periodic ] number}

アカウンティング サーバに送信される定期的中間アカウンティング レコードをイネーブルにします。

aaa accounting update コマンドをアクティブにすると、Cisco IOS ソフトウェアは、システム上のすべてのユーザに中間アカウンティング レコードを発行します。キーワード newinfo を使用すると、報告する新しいアカウンティング情報が発生するたびに、中間アカウンティング レコードがアクセス サーバに送信されます。たとえば、IPCP がリモート ピアとの間で IP アドレスのネゴシエーションを完了したときなどです。中間アカウンティング レコードには、リモート ピアに使用されるネゴシエート済み IP アドレスが含まれます。

キーワード periodic とともに使用すると、引数に指定した数値に従って、中間アカウンティング レコードが定期的に送信されます。中間アカウンティング レコードには、中間アカウンティング レコードが送信される時間までに、そのユーザについて記録されたすべてのアカウンティング情報が含まれます。


注意 多数のユーザがネットワークにログインしている場合、aaa accounting update periodic コマンドを使用すると、重度の輻輳が発生する可能性があります。

失敗したログインまたはセッションに対するアカウンティング レコードの生成

AAA アカウンティングをアクティブにすると、Cisco IOS ソフトウェアは、ログイン認証に失敗したシステム ユーザ、またはログイン認証には成功しても何らかの理由で PPP ネゴシエーションに失敗したユーザのアカウンティング レコードを生成しません。

ログイン時またはセッション ネゴシエーション中の認証に失敗したユーザについて、アカウンティング終了レコードを生成するように指定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting send stop-record authentication failure

ログイン時またはセッション ネゴシエーション中の認証に失敗したユーザについて、「終了」レコードを生成します。

EXEC-Stop レコードよりも前のアカウンティング NETWORK-Stop レコードの指定

EXEC 終了セッションを開始する PPP ユーザの場合、EXEC-stop レコードの前に、NETWORK レコードを生成するように指定できます。特定のサービスについて顧客に課金する場合など、状況によっては、ネットワークの開始レコードと終了レコードを一緒に保持する方が望ましいことがあります。その際、基本的に、EXEC の開始メッセージと終了メッセージのフレームワーク内に「ネスト」にします。たとえば、PPP を使用するユーザ ダイヤルインによって、EXEC-start、NETWORK-start、EXEC-stop、NETWORK-stop というレコードを作成できます。アカウンティング レコードをネストにすることで、NETWORK-stop レコードは NETWORK-start メッセージ(EXEC-start、NETWORK-start、NETWORK-stop、EXEC-stop)に従います。

ユーザ セッションのアカウンティング レコードをネストするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting nested

ネットワーク アカウンティング レコードをネストします。

AAA リソース失敗終了アカウンティングの設定

リソース失敗終了アカウンティングをイネーブルにするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting resource method-list stop-failure group server-group

ユーザ認証に到達しないコールについて、「終了」レコードを生成します。

」を参照してください。

開始 - 終了レコードの AAA リソース アカウンティングの設定

開始 - 終了レコードのフル リソース アカウンティングをイネーブルにするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting resource method-list start-stop group server-group

各コール設定時に「開始」レコードを送信する機能をサポートします。コールの接続解除時に対応する「終了」レコードが続きます。

」を参照してください。

AAA ブロードキャスト アカウンティングの設定

AAA ブロードキャスト アカウンティングを設定するには、グローバル コンフィギュレーション モードで aaa accounting コマンドを使用します。このコマンドは、 broadcast キーワードを使用できるように変更されました。

 

コマンド
目的

Router(config)# aaa accounting { system | network | exec | connection | commands level } { default | list-name } { start-stop | stop-only | none } [ broadcast ] method1 [ method2 ...]

複数の AAA サーバに対するアカウンティング レコードの送信をイネーブルにします。各グループの最初のサーバに対し、アカウンティング レコードを同時に送信します。最初のサーバを利用できない場合は、該当のグループ内で定義されたバックアップ サーバを使用したフェールオーバーが発生します。

DNIS による AAA ブロードキャスト アカウンティングの設定

Dialed Number Identification Service(DNIS; 着信番号識別サービス)による AAA ブロードキャスト アカウンティングを設定するには、グローバル コンフィギュレーション モードで aaa dnis map accounting network コマンドを使用します。このコマンドは、 broadcast キーワードおよび複数のサーバ グループを使用できるように変更されました。

 

コマンド
目的

Router(config)# aaa dnis map dnis-number accounting network [ start-stop | stop-only | none ] [ broadcast ] method1 [ method2 ...]

DNIS によるアカウンティングの設定を許可します。このコマンドは、グローバルの aaa accounting コマンドよりも優先されます。

複数の AAA サーバに対するアカウンティング レコードの送信をイネーブルにします。各グループの最初のサーバに対し、アカウンティング レコードを同時に送信します。最初のサーバを利用できない場合は、該当のグループ内で定義されたバックアップ サーバを使用したフェールオーバーが発生します。

AAA セッション MIB の設定

次のタスクは、次の AAA セッション MIB 機能の設定よりも前に実行する必要があります。

SNMP を設定します。SNMP については、『Cisco IOS Network Management Configuration Guide』の「 Configuring SNMP Support 」の章を参照してください。

AAA を設定します。

RADIUS または TACACS+ サーバの特性を定義します。


) SNMP を多用すると、全体のシステム パフォーマンスに影響が出る可能性があります。そのため、この機能を使用するときに、通常のネットワーク管理パフォーマンスを考慮する必要があります。


AAA セッション MIB を設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

ステップ 1

Router(config)# aaa session-mib disconnect

SNMP を使用して、認証済みクライアント接続を監視および終了します。

コールを終了するには、 disconnect キーワードを使用する必要があります。

AAA サーバが到達不能時のルータとのセッション確立

AAA サーバが到達不能の場合に、ルータとの間にコンソールまたは Telnet セッションを確立するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# no aaa accounting system guarantee-first

aaa accounting system guarantee-first コマンドは、最初のレコードとしてシステム アカウンティングを保証します(これがデフォルトの条件です)。

状況によっては、システムの再ロードが完了するまで(3 分よりも長くかかる可能性があります)、ユーザがコンソールまたは Telnet 接続でセッションを開始できない可能性があります。この問題を解決するには、 no aaa accounting system guarantee-first コマンドを使用できます。


no aaa accounting system guarantee-first コマンドの入力は、コンソールまたは Telnet セッションを開始できる唯一の条件ではありません。たとえば、特権 EXEC セッションが TACACS+ によって認証され、TACACS+ サーバが到達不能の場合、セッションは開始できません。


アカウンティングの監視

RADIUS または TACACS+ アカウンティングの場合、特定の show コマンドは存在しません。現在ログインしているユーザに関する情報を表示するアカウンティング レコードを取得するには、特権 EXEC モードで次のコマンドを使用します。

 

コマンド
目的

Router# show accounting

ネットワークでアクティブなアカウント可能なイベントの表示を許可し、アカウンティング サーバでデータが損失した場合に情報を収集できます。

アカウンティングのトラブルシューティング

アカウンティング情報の問題を解決するには、特権 EXEC モードで次のコマンドを使用します。

 

コマンド
目的

Router# debug aaa accounting

説明の義務があるイベントが発生したときに、その情報を表示します。

AAA アカウンティングの設定例

ここでは、次の例について説明します。

「名前付き方式リストの設定:例」

「AAA リソース アカウンティングの設定:例」

「AAA ブロードキャスト アカウンティングの設定:例」

「DNIS による AAA ブロードキャスト アカウンティングの設定:例」

「AAA セッション MIB:例」

名前付き方式リストの設定:例

次に、RADIUS サーバから AAA サービスを提供するために Cisco AS5200(AAA および RADIUS セキュリティ サーバとの通信で有効)を設定する例を示します。RADIUS サーバが応答に失敗すると、認証情報と認可情報についてローカル データベースへの照会が行われ、アカウンティング サービスは TACACS+ サーバによって処理されます。

aaa new-model
aaa authentication login admins local
aaa authentication ppp dialins group radius local
aaa authorization network blue1 group radius local
aaa accounting network red1 start-stop group radius group tacacs+
 
username root password ALongPassword
 
tacacs-server host 172.31.255.0
tacacs-server key goaway
 
radius-server host 172.16.2.7
radius-server key myRaDiUSpassWoRd
 
interface group-async 1
group-range 1 16
encapsulation ppp
ppp authentication chap dialins
ppp authorization blue1
ppp accounting red1
 
line 1 16
autoselect ppp
autoselect during-login
login authentication admins
modem dialin
 

この RADIUS AAA 設定のサンプル行は、次のように定義されます。

aaa new-model コマンドは、AAA ネットワーク セキュリティ サービスをイネーブルにします。

aaa authentication login admins local コマンドは、ログイン認証の方式リスト「admins」を定義します。

aaa authentication ppp dialins group radius local コマンドで、まず RADIUS 認証を示す認証方式リスト「dialins」を定義します。次に、(RADIUS サーバが応答しない場合)PPP を使用するシリアル回線にはローカル認証が使用されます。

aaa authorization network blue1 group radius local コマンドで、「blue1」というネットワーク認可方式リストを定義します。その際、PPP を使用するシリアル回線に RADIUS 認可を使用するように指定します。RADIUS サーバが応答に失敗すると、ローカル ネットワークの認可が実行されます。

aaa accounting network red1 start-stop group radius group tacacs+ コマンドで、red1 というネットワーク アカウンティング方式リストを定義します。その際、PPP を使用するシリアル回線に RADIUS アカウンティング サービス(この場合、特定のイベントに対する開始レコードと終了イベント)を使用するように指定します。RADIUS サーバが応答に失敗すると、アカウンティングサービスは TACACS+ サーバによって処理されます。

username コマンドはユーザ名とパスワードを定義します。これらの情報は、PPP Password Authentication Protocol(PAP; パスワード認証プロトコル)認証での発信元の身元確認に使用されます。

tacacs-server host コマンドは TACACS+ サーバ ホストの名前を定義します。

tacacs-server key コマンドはネットワーク アクセス サーバと TACACS+ サーバ ホスト間の共有秘密テキスト ストリングを定義します。

radius-server host コマンドは RADIUS サーバ ホストの名前を定義します。

radius-server key コマンドはネットワーク アクセス サーバと RADIUS サーバ ホスト間の共有秘密テキスト ストリングを定義します。

interface group-async コマンドは非同期インターフェイス グループを選択して定義します。

group-range コマンドはインターフェイス グループのメンバの非同期インターフェイスを定義します。

encapsulation ppp コマンドは指定のインターフェイスに使用される PPP をカプセル化方式として設定します。

ppp authentication chap dialins コマンドは ppp 認証方式として Challenge Handshake Authentication Protocol(CHAP; チャレンジ ハンドシェーク認証プロトコル)を選択し、特定のインターフェイスに「ダイヤルイン」方式リストを適用します。

ppp authorization blue1 コマンドによって、blue1 ネットワーク認可方式リストは指定したインターフェイスに適用されます。

ppp accounting red1 コマンドによって、red1 ネットワーク アカウンティング方式リストは指定したインターフェイスに適用されます。

line コマンドはコンフィギュレーション モードをグローバル コンフィギュレーションからライン コンフィギュレーションに切り替え、設定対象の回線を指定します。

autoselect ppp コマンドは、選択した回線上で PPP セッションを自動的に開始できるように Cisco IOS ソフトウェアを設定します。

autoselect during-login コマンドを使用して、Return キー押さずにユーザ名およびパスワードのプロンプトを表示します。ユーザがログインすると、autoselect 機能(この場合は PPP)が開始します。

login authentication admins コマンドは、ログイン認証の admins 方式リストを適用します。

modem dialin コマンドは選択した回線に接続されているモデムを設定し、着信コールだけを受け入れるようにします。

show accounting コマンドを使用すると、前述の設定に関する出力が次のように生成されます。

Active Accounted actions on tty1, User username2 Priv 1
Task ID 5, Network Accounting record, 00:00:52 Elapsed
task_id=5 service=ppp protocol=ip address=10.0.0.98
 

表 4 に、前述の出力に含まれるフィールドを示します。

 

表 4 show accounting のフィールドの説明

フィールド
説明

Active Accounted actions on

ユーザがログインに使用する端末回線またはインターフェイス名

User

ユーザの ID

Priv

ユーザの特権レベル

Task ID

各アカウンティング セッションの固有識別情報

Accounting Record

アカウンティング セッション タイプ

Elapsed

このセッション タイプの期間(hh:mm:ss)

attribute=value

このアカウンティング セッションに関連付けられている AV ペア

AAA リソース アカウンティングの設定:例

次に、リソース失敗終了アカウンティング、および 開始 - 終了レコード機能のリソース アカウンティングを設定する例を示します。

!Enable AAA on your network access server.
aaa new-model
!Enable authentication at login and list the AOL string name to use for login authentication.
aaa authentication login AOL group radius local
!Enable authentication for ppp and list the default method to use for PPP authentication.
aaa authentication ppp default group radius local
!Enable authorization for all exec sessions and list the AOL string name to use for authorization.
aaa authorization exec AOL group radius if-authenticated
!Enable authorization for all network-related service requests and list the default method to use for all network-related authorizations.
aaa authorization network default group radius if-authenticated
!Enable accounting for all exec sessions and list the default method to use for all start-stop accounting services.
aaa accounting exec default start-stop group radius
!Enable accounting for all network-related service requests and list the default method to use for all start-stop accounting services.
aaa accounting network default start-stop group radius
!Enable failure stop accounting.
aaa accounting resource default stop-failure group radius
!Enable resource accounting for start-stop records.
aaa accounting resource default start-stop group radius

AAA ブロードキャスト アカウンティングの設定:例

次に、グローバル aaa accounting コマンドを使用して、ブロードキャスト アカウンティングを有効にする例を示します。

aaa group server radius isp
server 10.0.0.1
server 10.0.0.2
 
aaa group server tacacs+ isp_customer
server 172.0.0.1
 
aaa accounting network default start-stop broadcast group isp group isp_customer
 
radius-server host 10.0.0.1
radius-server host 10.0.0.2
radius-server key key1
tacacs-server host 172.0.0.1 key key2
 

broadcast キーワードによって、ネットワーク接続に関する「開始」および「終了」アカウンティング レコードが、グループ isp ではサーバ 10.0.0.1 に、グループ isp_customer ではサーバ 172.0.0.1 に同時送信されます。サーバ 10.0.0.1 が使用できなくなると、サーバ 10.0.0.2 へのフェールオーバーが行われます。サーバ 172.0.0.1 が使用できなくなっても、グループ isp_customer にはバックアップ サーバが設定されていないため、フェールオーバーは行われません。

DNIS による AAA ブロードキャスト アカウンティングの設定:例

次に、グローバル aaa dnis map accounting network コマンドを使用して、DNIS によるブロードキャスト アカウンティングを有効にする例を示します。

aaa group server radius isp
server 10.0.0.1
server 10.0.0.2
 
aaa group server tacacs+ isp_customer
server 172.0.0.1
 
aaa dnis map enable
aaa dnis map 7777 accounting network start-stop broadcast group isp group isp_customer
 
radius-server host 10.0.0.1
radius-server host 10.0.0.2
radius-server key key_1
tacacs-server host 172.0.0.1 key key_2
 

broadcast キーワードによって、DNIS 番号 7777 のネットワーク接続コールに関する「開始」および「終了」アカウンティング レコードが、グループ isp ではサーバ 10.0.0.1 に、グループ isp_customer ではサーバ 172.0.0.1 に同時送信されます。サーバ 10.0.0.1 が使用できなくなると、サーバ 10.0.0.2 へのフェールオーバーが行われます。サーバ 172.0.0.1 が使用できなくなっても、グループ isp_customer にはバックアップ サーバが設定されていないため、フェールオーバーは行われません。

AAA セッション MIB:例

次に、AAA セッション MIB 機能を設定して、PPP ユーザの認証済みクライアント接続を解除する例を示します。

aaa new-model
aaa authentication ppp default group radius
aaa authorization network default group radius
aaa accounting network default start-stop group radius
aaa session-mib disconnect

その他の参考資料

ここでは、アカウンティングの設定機能に関する関連資料について説明します。

関連資料

内容
参照先

認可

Configuring Authorization 」モジュール

認証

Configuring Authentication 」モジュール

規格

規格
タイトル

この機能がサポートする新しい規格または変更された規格はありません。また、この機能による既存規格のサポートに変更はありません。

--

MIB

MIB
MIB リンク

この機能によってサポートされる新しい MIB または変更された MIB はありません。またこの機能による既存 MIB のサポートに変更はありません。

選択したプラットフォーム、Cisco IOS リリース、および機能セットの MIB を検索してダウンロードする場合は、次の URL にある Cisco MIB Locator を使用します。

http://www.cisco.com/go/mibs

RFC

RFC
タイトル

RFC 2903

「Generic AAA Architecture」

RFC 2904

「AAA Authorization Framework」

RFC 2906

「AAA Authorization Requirements」

RFC 2989

「Criteria for Evaluating AAA Protocols for Network Access」

シスコのテクニカル サポート

説明
リンク

Cisco Support Web サイトには、豊富なオンライン リソースが提供されており、それらに含まれる資料やツールを利用して、トラブルシューティングやシスコ製品およびテクノロジーに関する技術上の問題の解決に役立てることができます。

以下を含むさまざまな作業にこの Web サイトが役立ちます。

テクニカル サポートを受ける

ソフトウェアをダウンロードする

セキュリティの脆弱性を報告する、またはシスコ製品のセキュリティ問題に対する支援を受ける

ツールおよびリソースへアクセスする

Product Alert の受信登録

Field Notice の受信登録

Bug Toolkit を使用した既知の問題の検索

Networking Professionals(NetPro)コミュニティで、技術関連のディスカッションに参加する

トレーニング リソースへアクセスする

TAC Case Collection ツールを使用して、ハードウェアや設定、パフォーマンスに関する一般的な問題をインタラクティブに特定および解決する

Japan テクニカル サポート Web サイトでは、Technical Support Web サイト(http://www.cisco.com/techsupport)の、利用頻度の高いドキュメントを日本語で提供しています。Japan テクニカル サポート Web サイトには、次の URL からアクセスしてください。http://www.cisco.com/jp/go/tac

http://www.cisco.com/techsupport

 

アカウンティングの設定の機能情報

表 5 に、この章に記載されている機能および具体的な設定情報へのリンクを示します。この表には、Cisco IOS リリース 12.2(1) または 12.0(3) 以降のリリースで導入または変更された機能のみを示しています。

Cisco IOS ソフトウェア リリースによっては、コマンドの中に一部使用できないものがあります。特定のコマンドに関するリリース情報については、コマンド リファレンス マニュアルを参照してください。

Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェア イメージのサポート情報を検索できます。Cisco Feature Navigator を使用すると、特定のソフトウェア リリース、機能セット、またはプラットフォームをサポートする Cisco IOS ソフトウェア イメージおよび Catalyst OS ソフトウェア イメージを確認できます。Cisco Feature Navigator には、 http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。


表 5 には、一連の Cisco IOS ソフトウェア リリースのうち、特定の機能が初めて導入された Cisco IOS ソフトウェア リリースだけが記載されています。特に明記していないかぎり、その機能は、一連の Cisco IOS ソフトウェア リリースの以降のリリースでもサポートされます。


 

表 5 アカウンティングの設定の機能情報

機能名
リリース
機能情報

--

Cisco IOS

Cisco IOS ソフトウェアの機能サポートに関する情報については、Cisco Feature Navigator を使用してください。