セキュリティ コンフィギュレーション ガイド:ユー ザ サービスのセキュリティ保護
アカウンティングの設定
アカウンティングの設定
発行日;2012/01/12 | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 4MB) | フィードバック

目次

アカウンティングの設定

機能情報の確認

この章の構成

アカウンティングの設定の前提条件

アカウンティングの設定の制約事項

アカウンティングの設定について

アカウンティングの名前付き方式リスト

方式リストとサーバ グループ

AAA アカウンティング方式

アカウンティング レコードの種類

アカウンティング方式

AAA アカウンティング タイプ

ネットワーク アカウンティング

EXEC アカウンティング

コマンド アカウンティング

接続アカウンティング

システム アカウンティング

リソース アカウンティング

VRRS アカウンティング

AAA アカウンティングの強化

AAA ブロードキャスト アカウンティング

AAA セッション MIB

アカウンティング アトリビュートと値のペア

AAA アカウンティングの設定方法

名前付き方式リストによる AAA アカウンティングの設定

RADIUS システム アカウンティングの設定

ヌル ユーザ名セッション時のアカウンティング レコード生成の抑制

中間アカウンティング レコードの生成

失敗したログインまたはセッションに対するアカウンティング レコードの生成

EXEC-Stop レコードよりも前のアカウンティング NETWORK-Stop レコードの指定

AAA リソース失敗終了アカウンティングの設定

開始 - 終了レコードの AAA リソース アカウンティングの設定

AAA ブロードキャスト アカウンティングの設定

DNIS による AAA ブロードキャスト アカウンティングの設定

AAA セッション MIB の設定

VRRS アカウンティングの設定

AAA サーバが到達不能時のルータとのセッション確立

アカウンティングのモニタリング

アカウンティングのトラブルシューティング

AAA アカウンティングの設定例

例:名前付き方式リストの設定

例:AAA リソース アカウンティングの設定

例:AAA ブロードキャスト アカウンティングの設定

例:DNIS による AAA ブロードキャスト アカウンティングの設定

例:AAA セッション MIB

例:VRRS アカウンティングの設定

その他の参考資料

関連資料

規格

MIB

RFC

シスコのテクニカル サポート

アカウンティングの設定の機能情報

アカウンティングの設定

AAA アカウンティング機能を使用すると、ユーザがアクセスするサービス、およびユーザが消費するネットワーク リソース量を追跡できます。AAA アカウンティングをイネーブルにすると、ネットワーク アクセス サーバから TACACS+ または RADIUS セキュリティ サーバ(実装しているセキュリティ手法によって異なります)に対して、アカウンティング レコードの形式でユーザ アクティビティがレポートされます。アカウンティング レコードにはアカウンティング AV のペアが含まれ、セキュリティ サーバに保存されます。このデータを分析して、ネットワーク管理、クライアント課金、および監査に利用できます。

機能情報の確認

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。この章に記載されている機能の詳細、および各機能がサポートされているリリースのリストについては、「アカウンティングの設定の機能情報」 を参照してください。

Cisco Feature Navigator を使用すると、プラットフォーム、および Cisco ソフトウェア イメージの各サポート情報を検索できます。Cisco Feature Navigator には、 http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。

アカウンティングの設定の前提条件

次のタスクを実行してから、名前付き方式リストを使用してアカウンティングを設定します。

ネットワーク アクセス サーバで AAA をイネーブルにするには、グローバル コンフィギュレーション モードで aaa new-model コマンドを使用します。

RADIUS または TACACS+ 認可が発行されている場合、RADIUS または TACACS+ セキュリティ サーバの特性を定義します。Cisco ネットワーク アクセス サーバを設定して RADIUS セキュリティ サーバと通信する方法の詳細については、「 Configuring RADIUS 」モジュールを参照してください。Cisco ネットワーク アクセス サーバを設定して TACACS+ セキュリティ サーバと通信する方法の詳細については、「 Configuring TACACS+ 」モジュールを参照してください。

アカウンティングの設定の制約事項

アカウンティング情報は、最大 4 台の AAA サーバにのみ同時送信できます。

Service Selection Gateway(SSG)システムの場合、 aaa accounting network broadcast コマンドを実行すると、 start-stop アカウンティング レコードのみがブロードキャストされます。 ssg accounting interval コマンドを使用して中間アカウンティング レコードを設定する場合、中間アカウンティング レコードは、設定したデフォルト RADIUS サーバにのみ送信されます。

アカウンティングの設定について

「アカウンティングの名前付き方式リスト」

「AAA アカウンティング タイプ」

「AAA アカウンティングの強化」

「アカウンティング アトリビュートと値のペア」

アカウンティングの名前付き方式リスト

認証および認可方式リストと同様に、アカウンティングの方式リストには、アカウンティングの実行方法とその方式を実行するシーケンスが定義されています。

アカウンティングの名前付き方式リストには、特定のセキュリティ プロトコルを指定し、アカウンティング サービスの特定の行またはインターフェイスに使用できます。唯一の例外は、デフォルトの方式リスト(「default」という名前が指定されています)です。デフォルトの方式リストは、名前付きの方式リストが明示的に定義されているインターフェイスを除き、すべてのインターフェイスに自動的に適用されます。デフォルトの方式リストは、定義された方式リストによって上書きされます。

方式リストは、シーケンスで照会されるアカウンティング方式(RADIUS、TACACS+ など)を説明する単なる名前付きリストです。方式リストでは、アカウンティングに 1 つまたは複数のセキュリティ プロトコルを指定できます。そのため、最初の方式が失敗した場合に備えてアカウンティングのバックアップ システムを確保できます。Cisco IOS ソフトウェアでは、方式リストのうち、アカウンティングをサポートする最初の方式が使用されます。その方式が応答しない場合、方式リストの次のアカウンティング方式が選択されます。このプロセスは、リストのいずれかのアカウンティング方式と通信に成功するか、定義されているすべての方式が試行されるまで継続されます。


) Cisco IOS ソフトウェアでは、前の方式からの応答がない場合にのみ、リストの次のアカウンティング方式でアカウンティングが試行されます。このサイクルの任意の時点でアカウンティングが失敗した場合(つまり、セキュリティ サーバからユーザ アクセスの拒否応答が返される場合)、アカウンティング プロセスは停止し、その他のアカウンティング方式は試行されません。


アカウンティング方式リストは、要求されるアカウンティングの種類によって変わります。AAA は、次の 7 種類のアカウンティングをサポートしています。

ネットワーク :パケットやバイト カウントなど、すべての PPP、SLIP、または ARAP セッションに関する情報を提供します。

EXEC :ネットワーク アクセス サーバのユーザ EXEC ターミナル セッションに関する情報を提供します。

コマンド :ユーザが発行する EXEC モード コマンドに関する情報を提供します。コマンド アカウンティングは、特定の特権レベルに関連付けられた、グローバル コンフィギュレーション コマンドなどのすべての EXEC モード コマンドについて、アカウンティング レコードを生成します。

接続 :Telnet、Local-Area Transport(LAT; ローカルエリア トランスポート)、TN3270、Packet Assembler/disassembler(PAD)、rlogin など、ネットワーク アクセス サーバからの発信接続すべてに関する情報を提供します。

システム :システムレベルのイベントに関する情報を提供します。

リソース :ユーザ認証に成功したコールの「開始」および「終了」レコードを提供します。また、認証に失敗したコールの「終了」レコードを提供します。

VRRS :Virtual Router Redundancy Service(VRRS)に関する情報を提供します。


) システム アカウンティングは、名前付きアカウンティング リストを使用しません。システム アカウンティングのデフォルト リストだけを定義できます。


この場合も、名前付き方式リストが作成されると、指定したアカウンティング タイプのアカウンティング方式のリストが定義されます。

アカウンティング方式リストを特定の回線またはインターフェイスに適用してから、定義済み方式のいずれかを実行する必要があります。唯一の例外は、デフォルトの方式リスト(「default」という名前が指定されています)です。名前付き方式リストを指定せずに、特定のアカウンティング タイプに対して aaa accounting コマンドを発行すると、明示的に名前付き方式リストが定義されている場合を除き、すべてのインターフェイスまたは回線にデフォルトの方式リストが自動的に適用されます(定義した方式リストは、デフォルトの方式リストよりも優先されます)。デフォルトの方式リストが定義されていない場合、アカウンティングは実行されません。

この項の内容は、次のとおりです。

「方式リストとサーバ グループ」

「AAA アカウンティング方式」

「アカウンティング レコードの種類」

「アカウンティング方式」

方式リストとサーバ グループ

サーバ グループは、方式リストに使用する既存の RADIUS または TACACS+ サーバ ホストをグループ化する方法の 1 つです。図 1 に、4 台のセキュリティ サーバ(R1 と R2 は RADIUS サーバ、T1 と T2 は TACACS+ サーバ)が設置された一般的な AAA ネットワーク設定を示します。R1 と R2 は RADIUS サーバのグループから構成されます。T1 と T2 は TACACS+ サーバのグループから構成されます。

図 1 一般的な AAA ネットワーク設定

 

Cisco IOS ソフトウェア、RADIUS サーバ、および TACACS+ サーバの設定はグローバルです。サーバ グループを使用して、設定済みのサーバ ホストのサブセットを指定できます。このようなサーバ グループは、特定のサービスに使用できます。たとえば、サーバ グループを使用すると、R1 と R2 を個別のサーバ グループ(SG1 と SG2)として定義し、T1 と T2 を個別のサーバ グループ(SG3 と SG4)として定義できます。つまり、R1 と T1(SG1 と SG3)または R2 と T2(SG2 と SG4)を方式リストに指定することができます。そのため、RADIUS および TACACS+ のリソースを割り当てる場合の柔軟性が高くなります。

サーバ グループには、1 台のサーバに対して複数のホスト エントリを含めることができます。エントリごとに固有の識別情報を設定します。固有の識別情報は、IP アドレスと UDP ポート番号の組み合わせで構成されます。これにより、RADIUS ホストとして定義されているさまざまなポートが、固有の AAA サービスを提供できるようになります。つまり、この固有識別情報を使用して、1 台のサーバ上に複数の UDP ポートが存在する場合、同じ IP アドレスからそれぞれの UDP ポートに対して RADIUS 要求を送信できます。1 台の RADIUS サーバ上にある異なる 2 つのホスト エントリが 1 つのサービス(アカウンティングなど)に設定されている場合、設定されている 2 番めのホスト エントリは最初のホスト エントリのフェールオーバー バックアップとして動作します。この例を使用して、最初のホスト エントリがアカウンティング サービスの提供に失敗した場合、ネットワーク アクセス サーバは、同じデバイスに設定されている 2 番めのホスト エントリに対してアカウンティング サービスを試行します(RADIUS ホスト エントリは、設定順に試行されます)。

Dialed Number Identification Service(DNIS; 着信番号識別サービス)番号に基づくサーバ グループの設定およびサーバ グループの設定の詳細については、『 Cisco IOS Security Configuration Guide: Securing User Services 』の「Configuring RADIUS」または「Configuring TACACS+」を参照してください。

AAA アカウンティング方式

Cisco IOS ソフトウェアはアカウンティングについて次の 2 つの方式をサポートします。

TACACS+:ネットワーク アクセス サーバは、アカウンティング レコードの形式で TACACS+ セキュリティ サーバに対してユーザ アクティビティを報告します。アカウンティング レコードにはアカウンティング AV のペアが含まれ、セキュリティ サーバに保存されます。

RADIUS:ネットワーク アクセス サーバは、アカウンティング レコードの形式で RADIUS セキュリティ サーバに対してユーザ アクティビティを報告します。アカウンティング レコードにはアカウンティング AV のペアが含まれ、セキュリティ サーバに保存されます。

アカウンティング レコードの種類

最小限のアカウンティングの場合、 stop-only キーワードを使用します。このキーワードによって、要求されたユーザ プロセスの終了時に、終了レコード アカウンティング通知を送信するように、指定した方式( RADIUS または TACACS+ )に指示します。詳細なアカウンティング情報が必要な場合、 start-stop キーワードを使用して、要求されたイベントの開始時には開始アカウンティング通知、そのイベントの終了時には修理用アカウンティング通知を送信します。この回線またはインターフェイスですべてのアカウンティング アクティビティを終了するには、 none キーワードを使用します。

アカウンティング方式

表 1 に、サポートされるアカウンティング方式を示します。

 

表 1 AAA アカウンティング方式

キーワード
説明

group radius

アカウンティングにすべての RADIUS サーバのリストを使用します。

group tacacs+

アカウンティングにすべての TACACS+ サーバのリストを使用します。

group group-name

サーバ グループ group-name の定義に従って、アカウンティングに RADIUS または TACACS+ サーバのサブセットを使用します。

method 引数は、認証アルゴリズムが試行する実際の方式を指します。追加の認証方式は、直前の方式で(失敗した場合ではなく)エラーが返された場合にのみ使用されます。他のすべての方式がエラーを返しても、認証に成功したことを指定するには、コマンドで追加の方式を指定します。たとえば、TACACS+ 認証がエラーを返す場合に認証のバックアップ方式として RADIUS を指定する acct_tac1 という方式リストを作成するには、次のコマンドを入力します。

aaa accounting network acct_tac1 stop-only group tacacs+ group radius
 

名前付きリストが aaa accounting コマンドで指定されて いない 場合に使用するデフォルト リストを作成するには、default キーワードの後に、デフォルトの状況で使用する方式を指定します。デフォルトの方式リストは、すべてのインターフェイスに自動的に適用されます。

たとえば、ログイン時のユーザ認証のデフォルト方式として RADIUS を指定するには、次のコマンドを入力します。

aaa accounting network default stop-only group radius
 

AAA アカウンティングは、次の方式をサポートします。

group tacacs :ネットワーク アクセス サーバからアカウンティング情報を TACACS+ セキュリティ サーバに送信するようにするには、 group tacacs+ method キーワードを使用します。

group radius :ネットワーク アクセス サーバからアカウンティング情報を RADIUS セキュリティ サーバに送信するようにするには、 group radius method キーワードを使用します。


) SLIP のアカウンティング方式リストは、関連インターフェイスで PPP に設定されているすべての方式に従います。特定のインターフェイスに定義および適用されるリストがない場合(または PPP 設定が指定されていない場合)、アカウンティングのデフォルト設定が適用されます。


group group-name :RADIUS または TACACS+ サーバのサブセットを指定して、アカウンティング方式として使用するには、 group group-name 方式を指定して aaa accounting コマンドを使用します。グループ名とそのグループのメンバを指定して定義するには、 aaa group server コマンドを使用します。たとえば、 aaa group server コマンドを使用して、 loginrad というグループ( group )のメンバを最初に定義します。

aaa group server radius loginrad
server 172.16.2.3
server 172.16.2 17
server 172.16.2.32
 

このコマンドにより、172.16.2.3、172.16.2.17、172.16.2.32 の RADIUS サーバがグループ loginrad のメンバとして指定されます。

他の方式リストが定義されていない場合、ネットワーク アカウンティングの方式として group loginrad を指定するには、次のコマンドを入力します。

aaa accounting network default start-stop group loginrad
 

アカウンティング方式としてグループ名を使用するには、事前に RADIUS または TACACS+ セキュリティ サーバとの通信をイネーブルにする必要があります。

ネットワーク アカウンティング

ネットワーク アカウンティングは、パケットやバイト カウントなど、すべての PPP、SLIP、または ARAP セッションに関する情報を提供します。

次に、EXEC セッションを介して着信する PPP ユーザの RADIUS ネットワーク アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:44:45 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 5
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”562”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = ”0000000D”
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 
Wed Jun 27 04:45:00 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 5
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”562”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Framed
Acct-Session-Id = ”0000000E”
Framed-IP-Address = ”10.1.1.2”
Framed-Protocol = PPP
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 
Wed Jun 27 04:47:46 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 5
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”562”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Framed
Acct-Session-Id = ”0000000E”
Framed-IP-Address = ”10.1.1.2”
Framed-Protocol = PPP
Acct-Input-Octets = 3075
Acct-Output-Octets = 167
Acct-Input-Packets = 39
Acct-Output-Packets = 9
Acct-Session-Time = 171
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 
Wed Jun 27 04:48:45 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 5
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”408”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = ”0000000D”
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 

次に、最初に EXEC セッションを開始した PPP ユーザの TACACS+ ネットワーク アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:00:35 2001 172.16.25.15 username1 tty4 562/4327528 starttask_id=28 service=shell
Wed Jun 27 04:00:46 2001 172.16.25.15 username1 tty4 562/4327528 starttask_id=30 addr=10.1.1.1 service=ppp
Wed Jun 27 04:00:49 2001 172.16.25.15 username1 tty4 408/4327528 update task_id=30 addr=10.1.1.1 service=ppp protocol=ip addr=10.1.1.1
Wed Jun 27 04:01:31 2001 172.16.25.15 username1 tty4 562/4327528 stoptask_id=30 addr=10.1.1.1 service=ppp protocol=ip addr=10.1.1.1 bytes_in=2844 bytes_out=1682 paks_in=36 paks_out=24 elapsed_time=51
Wed Jun 27 04:01:32 2001 172.16.25.15 username1 tty4 562/4327528 stoptask_id=28 service=shell elapsed_time=57
 

) アカウンティング パケット レコードの正確なフォーマットは、セキュリティ サーバ デーモンに応じて変わります。


次に、autoselect を介して着信する PPP ユーザの RADIUS ネットワーク アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:30:52 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 3
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”562”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Framed
Acct-Session-Id = ”0000000B”
Framed-Protocol = PPP
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 
Wed Jun 27 04:36:49 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 3
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”562”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Framed
Acct-Session-Id = ”0000000B”
Framed-Protocol = PPP
Framed-IP-Address = ”10.1.1.1”
Acct-Input-Octets = 8630
Acct-Output-Octets = 5722
Acct-Input-Packets = 94
Acct-Output-Packets = 64
Acct-Session-Time = 357
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 

次に、autoselect を介して着信する PPP ユーザの TACACS+ ネットワーク アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:02:19 2001 172.16.25.15 username1 Async5 562/4327528 starttask_id=35 service=ppp
Wed Jun 27 04:02:25 2001 172.16.25.15 username1 Async5 562/4327528 update task_id=35 service=ppp protocol=ip addr=10.1.1.2
Wed Jun 27 04:05:03 2001 172.16.25.15 username1 Async5 562/4327528 stoptask_id=35 service=ppp protocol=ip addr=10.1.1.2 bytes_in=3366 bytes_out=2149 paks_in=42 paks_out=28 elapsed_time=164
 

EXEC アカウンティング

EXEC アカウンティングは、ネットワーク アクセス サーバ上にあるユーザ EXEC ターミナル セッション(ユーザ シェル)に関する情報を提供します。たとえば、ユーザ名、日付、開始時刻と終了時刻、アクセス サーバの IP アドレス、および(ダイヤルイン ユーザの場合)発信元の電話番号などです。

次に、ダイヤルイン ユーザの RADIUS EXEC アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:26:23 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 1
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”5622329483”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = ”00000006”
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 
Wed Jun 27 04:27:25 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 1
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”5622329483”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = ”00000006”
Acct-Session-Time = 62
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 

次に、ダイヤルイン ユーザの TACACS+ EXEC アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:46:21 2001 172.16.25.15 username1 tty3 5622329430/4327528 start task_id=2 service=shell
Wed Jun 27 04:08:55 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=2 service=shell elapsed_time=1354
 

次に、Telnet ユーザの RADIUS EXEC アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:48:32 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 26
User-Name = ”username1”
Caller-ID = ”10.68.202.158”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = ”00000010”
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 
Wed Jun 27 04:48:46 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 26
User-Name = ”username1”
Caller-ID = ”10.68.202.158”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Exec-User
Acct-Session-Id = ”00000010”
Acct-Session-Time = 14
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 

次に、Telnet ユーザの TACACS+ EXEC アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:06:53 2001 172.16.25.15 username1 tty26 10.68.202.158 starttask_id=41 service=shell
Wed Jun 27 04:07:02 2001 172.16.25.15 username1 tty26 10.68.202.158 stoptask_id=41 service=shell elapsed_time=9
 

コマンド アカウンティング

コマンド アカウンティングは、ネットワーク アクセス サーバで実行される各特権レベルの EXEC シェル コマンドに関する情報を提供します。各コマンド アカウンティング レコードには、その特権レベルで実行されるコマンド、各コマンドが実行された日時、および実行したユーザのリストが含まれます。

次に、特権レベル 1 の TACACS+ コマンド アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:46:47 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=3 service=shell priv-lvl=1 cmd=show version <cr>
Wed Jun 27 03:46:58 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=4 service=shell priv-lvl=1 cmd=show interfaces Ethernet 0 <cr>
Wed Jun 27 03:47:03 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=5 service=shell priv-lvl=1 cmd=show ip route <cr>
 

次に、特権レベル 15 の TACACS+ コマンド アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:47:17 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=6 service=shell priv-lvl=15 cmd=configure terminal <cr>
Wed Jun 27 03:47:21 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=7 service=shell priv-lvl=15 cmd=interface Serial 0 <cr>
Wed Jun 27 03:47:29 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=8 service=shell priv-lvl=15 cmd=ip address 10.1.1.1 255.255.255.0 <cr>

) Cisco の RADIUS 実装は、コマンド アカウンティングをサポートしていません。


接続アカウンティング

接続アカウンティングは、Telnet、LAT、TN3270、PAD、rlogin などのネットワーク アクセス サーバから行われるすべての発信接続に関する情報を提供します。

次に、発信 Telnet 接続の RADIUS 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:28:00 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 2
User-Name = ”username1”
Client-Port-DNIS = “4327528”
Caller-ID = ”5622329477”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Login
Acct-Session-Id = ”00000008”
Login-Service = Telnet
Login-IP-Host = ”10.68.202.158”
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 
Wed Jun 27 04:28:39 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 2
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”5622329477”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Login
Acct-Session-Id = ”00000008”
Login-Service = Telnet
Login-IP-Host = ”10.68.202.158”
Acct-Input-Octets = 10774
Acct-Output-Octets = 112
Acct-Input-Packets = 91
Acct-Output-Packets = 99
Acct-Session-Time = 39
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 

次に、発信 Telnet 接続の TACACS+ 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:47:43 2001 172.16.25.15 username1 tty3 5622329430/4327528 start task_id=10 service=connection protocol=telnet addr=10.68.202.158 cmd=telnet username1-sun
Wed Jun 27 03:48:38 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=10 service=connection protocol=telnet addr=10.68.202.158 cmd=telnet username1-sun bytes_in=4467 bytes_out=96 paks_in=61 paks_out=72 elapsed_time=55
 

次に、発信 rlogin 接続の RADIUS 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 04:29:48 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 2
User-Name = ”username1”
Client-Port-DNIS = “4327528”
Caller-ID = ”5622329477”
Acct-Status-Type = Start
Acct-Authentic = RADIUS
Service-Type = Login
Acct-Session-Id = ”0000000A”
Login-Service = Rlogin
Login-IP-Host = ”10.68.202.158”
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 
Wed Jun 27 04:30:09 2001
NAS-IP-Address = ”172.16.25.15”
NAS-Port = 2
User-Name = ”username1”
Client-Port-DNIS = ”4327528”
Caller-ID = ”5622329477”
Acct-Status-Type = Stop
Acct-Authentic = RADIUS
Service-Type = Login
Acct-Session-Id = ”0000000A”
Login-Service = Rlogin
Login-IP-Host = ”10.68.202.158”
Acct-Input-Octets = 18686
Acct-Output-Octets = 86
Acct-Input-Packets = 90
Acct-Output-Packets = 68
Acct-Session-Time = 22
Acct-Delay-Time = 0
User-Id = ”username1”
NAS-Identifier = ”172.16.25.15”
 

次に、発信 rlogin 接続の TACACS+ 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:48:46 2001 172.16.25.15 username1 tty3 5622329430/4327528 start task_id=12 service=connection protocol=rlogin addr=10.68.202.158 cmd=rlogin username1-sun /user username1
Wed Jun 27 03:51:37 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=12 service=connection protocol=rlogin addr=10.68.202.158 cmd=rlogin username1-sun /user username1 bytes_in=659926 bytes_out=138 paks_in=2378 paks_
out=1251 elapsed_time=171
 

次に、発信 LAT 接続の TACACS+ 接続アカウンティング レコードに含まれる情報の例を示します。

Wed Jun 27 03:53:06 2001 172.16.25.15 username1 tty3 5622329430/4327528 start task_id=18 service=connection protocol=lat addr=VAX cmd=lat VAX
Wed Jun 27 03:54:15 2001 172.16.25.15 username1 tty3 5622329430/4327528 stop task_id=18 service=connection protocol=lat addr=VAX cmd=lat VAX bytes_in=0 bytes_out=0 paks_in=0 paks_out=0 elapsed_time=6

システム アカウンティング

システム アカウンティングは、すべてのシステムレベル イベント(たとえば、システムのリブート時やアカウンティングのオン/オフ時)に関する情報を提供します。

次のアカウンティング レコードは、AAA アカウンティングがオフになったことを示す一般的な TACACS+ システム アカウンティング レコード サーバを示します。

Wed Jun 27 03:55:32 2001 172.16.25.15 unknown unknown unknown start task_id=25 service=system event=sys_acct reason=reconfigure
 

) アカウンティング パケット レコードの正確なフォーマットは、TACACS+ デーモンに応じて変わります。


次のアカウンティング レコードは、AAA アカウンティングがオンになったことを示す TACACS+ システム アカウンティング レコードを示します。

Wed Jun 27 03:55:22 2001 172.16.25.15 unknown unknown unknown stop task_id=23 service=system event=sys_acct reason=reconfigure

 

システム リソースを測定する追加のタスクについては、他の Cisco IOS ソフトウェア コンフィギュレーション ガイドを参照してください。たとえば、IP アカウンティング タスクについては、『 Cisco IOS Application Services Configuration Guide 』の「 Configuring IP Services 」を参照してください。

リソース アカウンティング

シスコが採用している AAA アカウンティングでは、ユーザ認証を通過したコールに対する「開始」レコードと「終了」レコードがサポートされます。ユーザ認証の一部として認証に失敗したコールの「終了」レコードを生成する追加機能もサポートされます。このようなレコードは、ネットワークを管理およびモニタするアカウンティング レコードを採用する場合に必要です。

この項の内容は、次のとおりです。

「AAA リソース失敗終了アカウンティング」

「開始 - 終了レコードの AAA リソース アカウンティング」

AAA リソース失敗終了アカウンティング

AAA リソース失敗終了アカウンティングの前には、コール設定シーケンスのユーザ認証段階に到達できなかったコールについて、アカウンティング レコードを提供する方式がありませんでした。このようなレコードは、ネットワークおよびその卸売りの顧客を管理およびモニタするアカウンティング レコードを採用する場合に必要です。

この機能によって、ユーザ認証に到達しなかったコールの「終了」アカウンティング レコードが生成されます。「終了」レコードは、コール設定の時点から生成されます。ユーザ認証に成功したすべてのコールは、従来と同様に動作します。つまり、追加のアカウンティング レコードは確認されません。

図 2 に、通常のコール フローで、AAA リソース失敗終了アカウンティングをイネーブルにしていないコール シーケンスを示します。

図 2 通常のフローで AAA リソース失敗終了アカウンティングをイネーブルにしていないモデム ダイヤルイン コール設定シーケンス

 

図 3 に、通常のコール フローで、AAA リソース失敗終了アカウンティングをイネーブルにしたコール シーケンスを示します。

 

図 3 通常のフローで AAA リソース失敗終了アカウンティングをイネーブルにしたモデム ダイヤルイン コール設定シーケンス

 

図 4 に、ユーザ認証前にコールの接続解除が発生し、AAA リソース失敗終了アカウンティングをイネーブルにしたコール設定シーケンスを示します。

図 4 ユーザ認証前にコールの接続解除が発生し、AAA リソース失敗終了アカウンティングをイネーブルにしたモデム ダイヤルイン コール設定シーケンス

 

図 5 に、ユーザ認証前にコールの接続解除が発生し、AAA リソース失敗終了アカウンティングをイネーブルにしないコール設定シーケンスを示します。

図 5 ユーザ認証前にコールの接続解除が発生し、AAA リソース失敗終了アカウンティングをイネーブルにしていないモデム ダイヤルイン コール設定シーケンス

 

開始 - 終了レコードの AAA リソース アカウンティング

開始 - 終了レコードの AAA リソース アカウンティングは、各コール設定時に「開始」レコードを送信し、コールの接続解除時に対応する「終了」レコードを送信する機能をサポートしています。この機能は、アカウンティング レコードなどを報告するデータの発信元の 1 つから、卸売りの顧客を管理およびモニタするために使用できます。

この機能を使用すると、コール設定およびコールの接続解除の「開始 - 終了」アカウンティング レコードは、デバイスに対するリソース接続の進行状況を追跡します。個別のユーザ認証「開始 - 終了」アカウンティング レコードが、ユーザ管理の進行状況を追跡します。これら 2 セットのアカウンティング レコードは、そのコールで固有のセッション ID を使用して相互リンクされます。

図 6 は、AAA リソース 開始 - 終了アカウンティングをイネーブルにしたコール設定シーケンスを示します。

図 6 リソース開始 - 終了アカウンティングをイネーブルにしたモデム ダイヤルイン コール設定シーケンス

 

VRRS アカウンティング

Virtual Router Redundancy Service(VRRS)はマルチクライアント情報の抽象化機能を備え、First Hop Redundancy Protocol(FHRP)と登録済みクライアント間に管理サービスを提供しています。VRRS マルチクライアント サービスは、複数の FHRP を抽象化し、FHRP の状態の理想的なビューを提供することで、FHRP プロトコルとの一貫したインターフェイスを提供します。VRRS はデータの更新を管理しています。また、関連するクライアントを 1 か所で登録し、名前付きの FHRP グループまたはすべての登録済み FHRP グループに関する更新を受信できます。

Virtual Router Redundancy Protocol(VRRP; 仮想ルータ冗長プロトコル)は、FHRP ステータス情報をすべての登録済み VRRS クライアントにプッシュするサーバとして動作する FHRP です。クライアントは、FHRP から提供された重要情報に関するステータスを取得します。たとえば、現在と以前の冗長状態、アクティブ状態と非アクティブ状態の L3 および L2 アドレス、さらに場合によってはネットワーク内の他の冗長ゲートウェイに関する情報などです。クライアントはこの情報を使用して、ステートレスおよびステートフル冗長情報をクライアントとプロトコルに提供できます。

VRRS アカウンティング プラグイン

VRRS アカウンティング プラグインには、VRRS グループの状態が遷移したときに RADIUS サーバに更新情報を提供する、設定可能な AAA 方式リスト メカニズムが用意されています。VRRS アカウンティング プラグインは、既存の AAA システム アカウンティング メッセージの拡張です。VRRS アカウンティング プラグインには、accounting-on および accounting-off メッセージと、RADIUS アカウンティング メッセージで設定済みの VRRS 名を送信する追加の Vendor-Specific Attribute(VSA; ベンダー固有アトリビュート)が用意されています。VRRS 名を設定するには、インターフェイス コンフィギュレーション モードで vrrp name コマンドを使用します。

VRRS アカウンティング プラグインには、VRRS グループの状態が遷移したときに RADIUS サーバに更新情報を提供する、設定可能な AAA 方式リスト メカニズムが用意されています。

VRRS アカウンティング プラグインは、既存の AAA システム アカウンティング メッセージの拡張です。VRRS アカウンティング プラグインには、accounting-on および accounting-off メッセージと、RADIUS アカウンティング メッセージで設定済みの VRRS 名を送信する追加の Vendor-Specific Attribute(VSA; ベンダー固有アトリビュート)が用意されています。VRRS 名を設定するには、インターフェイス コンフィギュレーション モードで vrrp name コマンドを使用します。VRRS グループがマスター状態に遷移すると、VRRS アカウンティング プラグインは accounting-on メッセージを RADIUS に送信します。また、VRRS グループがマスター状態から遷移すると、accounting-off メッセージを送信します。

次の RADIUS アトリビュートは、デフォルトで VRRS アカウンティング メッセージに含まれます。

アトリビュート 4(NAS-IP-Address)

アトリビュート 26(Cisco VSA Type 1、VRRS Name)

アトリビュート 40(Acct-Status-Type)

アトリビュート 41(Acct-Delay-Time)

アトリビュート 44(Acct-Session-Id)

VRRS がマスター状態から遷移した場合のアカウンティング メッセージは、すべての PPPoE アカウンティングがその VRRS の一部であるセッションに関するメッセージを停止した後に送信されます。

AAA ブロードキャスト アカウンティング

AAA ブロードキャスト アカウンティングを使用すると、複数の AAA サーバに対してアカウンティング情報を同時送信できます。つまり、1 つまたは複数の AAA サーバに対してアカウンティング情報を同時にブロードキャストできます。この機能を使用すると、サービス プロバイダーは自社使用のプライベート AAA サーバやエンド ユーザの AAA サーバにアカウンティング情報を送信できるようになります。この機能では、音声アプリケーションによる課金情報も提供されます。

ブロードキャストは、RADIUS または TACACS+ サーバのグループに使用できます。また、各サーバ グループは、他のグループとは関係なく、フェールオーバーの場合のバックアップ サーバを定義できます。

したがって、サービス プロバイダーとそのエンド ユーザは、アカウンティング サーバに異なるプロトコル(RADIUS または TACACS+)を使用できます。また、サービス プロバイダーとそのエンド ユーザは、それぞれ単独でバックアップ サーバを指定することもできます。音声アプリケーションについては、独自のフェールオーバー シーケンスを持つ個別のグループを介して、冗長的なアカウンティング情報を単独で管理できます。

AAA セッション MIB

ユーザが AAA セッション MIB 機能を使用すると、Simple Network Management Protocol(SNMP)を使用して自身の認証済みクライアント接続をモニタおよび終了できます。そのクライアントのデータが提示されるため、RADIUS または TACACS+ サーバから報告される AAA アカウンティング情報に直接関連付けることができます。AAA セッション MIB は、次の情報を提供します。

各 AAA 機能の統計情報( show radius statistics コマンドと併用する場合)

AAA 機能を提供するサーバのステータス

外部 AAA サーバの ID

(アイドル時間などの)リアルタイム情報(アクティブ コールを終了するかどうかを評価する SNMP ネットワークが使用する追加基準を提供します)


) このコマンドがサポートされるのは、Cisco AS5300 および Cisco AS5800 ユニバーサル アクセス サーバ プラットフォームだけです。


表 2 に、認証済みクライアントと AAA セッション MIB 機能との接続をモニタおよび終了するために使用できる SNMP ユーザエンド データ オブジェクトを示します。

 

表 2 SNMP エンドユーザ データ オブジェクト

SessionId

AAA アカウンティング プロトコルに使用されるセッション ID(RADIUS アトリビュート 44(Acct-Session-ID)から報告される値と同じ)

UserId

ユーザ ログイン ID または(ログインが使用できない場合)長さがゼロの文字列

IpAddr

セッションの IP アドレスまたは(IP アドレスが適用されない場合、または使用できない場合)0.0.0.0

IdleTime

セッションがアイドルになってからの経過時間

Disconnect

そのクライアントとの接続を解除するために使用されるセッション終了オブジェクト

CallId

コール トラッカー レコードが保存した、このアカウンティング セッションに対応するエントリ インデックス

表 3 に、システム別に SNMP を使用する AAA セッション MIB 機能から提供される AAA の概要情報を示します。

 

表 3 SNMP AAA セッションの概要

ActiveTableEntries

現在アクティブなセッションの数

ActiveTableHighWaterMark

システムが最後に再インストールされてからの同時接続セッションの最大数

TotalSessions

システムが最後に再インストールされてからのセッションの合計数

DisconnectedSessions

システムが最後に再インストールされてから接続解除されたセッションの合計数

アカウンティング アトリビュートと値のペア

ネットワーク アクセス サーバは、TACACS+ AV のペアまたは RADIUS アトリビュート(実装しているセキュリティ方式によって異なります)に定義されたアカウンティング機能をモニタします。

AAA アカウンティングの設定方法

「名前付き方式リストによる AAA アカウンティングの設定」

「ヌル ユーザ名セッション時のアカウンティング レコード生成の抑制」

「中間アカウンティング レコードの生成」

「失敗したログインまたはセッションに対するアカウンティング レコードの生成」

「EXEC-Stop レコードよりも前のアカウンティング NETWORK-Stop レコードの指定」

「AAA リソース失敗終了アカウンティングの設定」

「開始 - 終了レコードの AAA リソース アカウンティングの設定」

「AAA ブロードキャスト アカウンティングの設定」

「DNIS による AAA ブロードキャスト アカウンティングの設定」

「AAA セッション MIB の設定」

「VRRS アカウンティングの設定」

「AAA サーバが到達不能時のルータとのセッション確立」

「アカウンティングのモニタリング」

「アカウンティングのトラブルシューティング」

名前付き方式リストによる AAA アカウンティングの設定

名前付き方式リストを使用して AAA アカウンティングを設定するには、次の手順を実行します。

手順の概要

1. enable

2. configure terminal

3. aaa accounting { system | network | exec | connection | commands level } { default | list-name } { start-stop | stop-only | none } [ method1 [ method2... ]]

4. line [ aux | console | tty | vty ] line-number [ ending-line-number ]

5. accounting { arap | commands level | connection | exec } { default | list-name }

6. end


) システム アカウンティングは、名前付き方式リストを使用しません。システム アカウンティングの場合、デフォルトの方式リストだけを定義します。


手順の詳細

コマンド
目的

ステップ 1

enable

 

Router> enable

特権 EXEC モードをイネーブルにします。

プロンプトが表示されたら、パスワードを入力します。

ステップ 2

configure terminal

 

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

Router(config)# aaa accounting { system | network | exec | connection | commands level } { default | list-name } { start-stop | stop-only | none } [ method1 [ method2... ]]

 

Router(config)# aaa accounting system default start-stop

アカウンティング方式リストを作成し、 アカウンティングをイネーブルにします。引数 list-name は、作成したリストに名前を付けるときに使用される文字列です。

ステップ 4

Router(config)# line [ aux | console | tty | vty ] line-number [ ending-line-number ]

 

または

 

Router(config)# interface interface-type interface-number

 

Router(config)# line aux line1

アカウンティング方式リストを適用する回線について、ライン コンフィギュレーション モードを開始します。

または

アカウンティング方式リストを適用するインターフェイスについて、インターフェイス コンフィギュレーション モードを開始します。

ステップ 5

Router(config-line)# accounting { arap | commands level | connection | exec } { default | list-name }

 

または

 

Router(config-if)# ppp accounting { default | list-name }

 

Router(config-line)# accounting arap default

1 つの回線または複数回線にアカウンティング方式リストを適用します。

または

1 つのインターフェイスまたは複数インターフェイスにアカウンティング方式リストを適用します。

ステップ 6

Router(config-line)# end

 

Router(config-line)# end

(任意)ライン コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに戻ります。

ここでは、次の内容について説明します。

「RADIUS システム アカウンティングの設定」

RADIUS システム アカウンティングの設定

このタスクを実行して、グローバル RADIUS サーバで RADIUS システム アカウンティングを設定します。

手順の概要

1. enable

2. configure terminal

3. aaa new-model

4. radius-server accounting system host-config

5. aaa group server radius server-name

6. server-private { host-name | ip-address } key {[ 0 server-key | 7 server-key ] server-key

7. accounting system host-config

8. end

手順の詳細

コマンドまたはアクション
目的

ステップ 1

enable

 

Router> enable

特権 EXEC モードをイネーブルにします。

プロンプトが表示されたら、パスワードを入力します。

ステップ 2

configure terminal

 

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

aaa new-model

 

Router(config)# aaa new-model

AAA ネットワーク セキュリティ サービスをイネーブルにします。

ステップ 4

radius-server accounting system host-config

 

Router(config)# radius-server accounting system host-config

RADIUS サーバの追加および削除の際に、ルータからシステム アカウンティング レコードを送信できるようにします。

ステップ 5

aaa group server radius server-name

 

Router(config)# aaa group server radius radgroup1

RADIUS サーバを追加し、server-group コンフィギュレーション モードを開始します。

server-name 引数には、RADIUS サーバ グループ名を指定します。

ステップ 6

server-private { host-name | ip-address } key {[ 0 server-key | 7 server-key ] server-key

 

Router(config-sg-radius)# server-private 172.16.1.11 key cisco

RADIUS サーのホスト名または IP アドレスと、非表示のサーバ キーを入力します。

(任意) 0 server-key 引数は、暗号化されていない(クリアテキストの)非表示のサーバ キーが続くことを示します。

(任意) 7 server-key 引数は、暗号化されていない(クリアテキストの)非表示のサーバ キーが続くことを示します。

server-key 引数には、非表示のサーバ キーを指定します。 server-key 引数の前に 0 7 も付いていない場合、サーバキーは暗号化されません。

コマンドが設定されると、RADIUS システム アカウンティングはイネーブルになります。

ステップ 7

accounting system host-config

 

Router(config-sg-radius)# accounting system host-config

プライベート サーバ ホストの追加または削除時に、システム アカウンティング レコードの生成をイネーブルにします。

ステップ 8

end

 

Router(config-sg-radius)# end

server-group(config-sg-radius)コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに戻ります。

ヌル ユーザ名セッション時のアカウンティング レコード生成の抑制

AAA アカウンティングをアクティブにすると、Cisco IOS ソフトウェアは、システム上にあるすべてのユーザにアカウンティング レコードを発行します。このとき、プロトコル変換のためにユーザ名文字列がヌルのユーザも含まれます。この例では、 aaa authentication login method-list none コマンドが適用される回線で着信するユーザです。関連付けられているユーザ名がないセッションについて、アカウンティング レコードが生成されないようにするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting suppress null-username

ユーザ名文字列がヌルのユーザについて、アカウンティング レコードが生成されないようにします。

中間アカウンティング レコードの生成

アカウンティング サーバに定期的な中間アカウンティング レコードを送信できるようにするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting update [ newinfo ] [ periodic ] number

アカウンティング サーバに送信される定期的中間アカウンティング レコードをイネーブルにします。

aaa accounting update コマンドをアクティブにすると、Cisco IOS ソフトウェアは、システム上のすべてのユーザに中間アカウンティング レコードを発行します。キーワード newinfo を使用すると、報告する新しいアカウンティング情報が発生するたびに、中間アカウンティング レコードがアクセス サーバに送信されます。たとえば、IPCP がリモート ピアとの間で IP アドレスのネゴシエーションを完了したときなどです。中間アカウンティング レコードには、リモート ピアに使用されるネゴシエート済み IP アドレスが含まれます。

キーワード periodic とともに使用すると、 number 引数の定義に従って、中間アカウンティング レコードが定期的に送信されます。中間アカウンティング レコードには、中間アカウンティング レコードが送信される時間までに、そのユーザについて記録されたすべてのアカウンティング情報が含まれます。


注意 多数のユーザがネットワークにログインしている場合、aaa accounting update periodic コマンドを使用すると、重度の輻輳が発生する可能性があります。

失敗したログインまたはセッションに対するアカウンティング レコードの生成

AAA アカウンティングをアクティブにすると、Cisco IOS ソフトウェアは、ログイン認証に失敗したシステム ユーザ、またはログイン認証には成功しても何らかの理由で PPP ネゴシエーションに失敗したユーザのアカウンティング レコードを生成しません。

ログイン時またはセッション ネゴシエーション中の認証に失敗したユーザについて、アカウンティング終了レコードを生成するように指定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting send stop-record authentication failure

ログイン時またはセッション ネゴシエーション中の認証に失敗したユーザについて、「終了」レコードを生成します。

Router(config)# aaa accounting send stop-record always

開始レコードが送信済みかどうかに関係なく、Authentication, Authorization, and Accounting(AAA; 認証、認可、およびアカウンティング)終了レコードを送信します。

EXEC-Stop レコードよりも前のアカウンティング NETWORK-Stop レコードの指定

PPP ユーザが EXEC ターミナル セッションを開始する場合、EXEC 終了レコードの前に生成する NETWORK レコードを指定できます。特定のサービスについて顧客に課金する場合など、状況によっては、ネットワークの開始レコードと終了レコードを一緒に保持する方が望ましいことがあります。その際、基本的に、EXEC の開始メッセージと終了メッセージのフレームワーク内に「ネスト」にします。たとえば、PPP を使用するユーザ ダイヤルインによって、EXEC-start、NETWORK-start、EXEC-stop、NETWORK-stop というレコードを作成できます。アカウンティング レコードをネストにすることで、NETWORK-stop レコードは NETWORK-start メッセージ(EXEC-start、NETWORK-start、NETWORK-stop、EXEC-stop)に従います。

ユーザ セッションのアカウンティング レコードをネストするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting nested

ネットワーク アカウンティング レコードをネストします。

AAA リソース失敗終了アカウンティングの設定

リソース失敗終了アカウンティングをイネーブルにするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting resource method-list stop-failure group server-group

ユーザ認証に到達しないコールについて、「終了」レコードを生成します。

」を参照してください。

開始 - 終了レコードの AAA リソース アカウンティングの設定

開始 - 終了レコードのフル リソース アカウンティングをイネーブルにするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting resource method-list start-stop group server-group

各コール設定時に「開始」レコードを送信する機能をサポートします。コールの接続解除時に対応する「終了」レコードが続きます。

」を参照してください。

(注)

AAA ブロードキャスト アカウンティングの設定

AAA ブロードキャスト アカウンティングを設定するには、グローバル コンフィギュレーション モードで aaa accounting コマンドを使用します。

 

コマンド
目的

Router(config)# aaa accounting { system | network | exec | connection | commands level } { default | list-name } { start-stop | stop-only | none } [ broadcast ] method1 [ method2 ...]

複数の AAA サーバに対するアカウンティング レコードの送信をイネーブルにします。各グループの最初のサーバに対し、アカウンティング レコードを同時に送信します。最初のサーバを利用できない場合は、該当のグループ内で定義されたバックアップ サーバを使用したフェールオーバーが発生します。

DNIS による AAA ブロードキャスト アカウンティングの設定

DNIS による AAA ブロードキャスト アカウンティングを設定するには、グローバル コンフィギュレーション モードで aaa dnis map accounting network コマンドを使用します。

 

コマンド
目的

Router(config)# aaa dnis map dnis-number accounting network [ start-stop | stop-only | none ] [ broadcast ] method1 [ method2 ...]

DNIS によるアカウンティングの設定を許可します。このコマンドは、グローバルの aaa accounting コマンドよりも優先されます。

複数の AAA サーバに対するアカウンティング レコードの送信をイネーブルにします。各グループの最初のサーバに対し、アカウンティング レコードを同時に送信します。最初のサーバを利用できない場合は、該当のグループ内で定義されたバックアップ サーバを使用したフェールオーバーが発生します。

AAA セッション MIB の設定

次のタスクは、次の AAA セッション MIB 機能の設定よりも前に実行する必要があります。

SNMP を設定します。SNMP については、『Cisco IOS Network Management Configuration Guide』の「 Configuring SNMP Support 」の章を参照してください。

AAA を設定します。

RADIUS または TACACS+ サーバの特性を定義します。


) SNMP を多用すると、全体のシステム パフォーマンスに影響が出る可能性があります。そのため、この機能を使用するときに、通常のネットワーク管理パフォーマンスを考慮する必要があります。


AAA セッション MIB を設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

ステップ 1

Router(config)# aaa session-mib disconnect

SNMP を使用して、認証済みクライアント接続をモニタおよび終了します。

コールを終了するには、 disconnect キーワードを使用する必要があります。

VRRS アカウンティングの設定

次のタスクを実行して、AAA アカウンティング メッセージを AAA サーバに送信するように Virtual Router Redundancy Service(VRRS)を設定します。

手順の概要

1. enable

2. configure terminal

3. aaa accounting vrrs { default | list-name } start-stop method1 [ method2... ]

4. aaa attribute list list-name

5. attribute type name value [ service service ] [ protocol protocol ] [ mandatory ] [ tag tag-value ]

6. exit

7. vrrs vrrs-group-name

8. accounting delay seconds

9. accounting method { default | accounting-method-list }

10. exit

手順の詳細

コマンド
目的

ステップ 1

enable

 

Router> enable

特権 EXEC モードをイネーブルにします。

プロンプトが表示されたら、パスワードを入力します。

ステップ 2

configure terminal

 

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

aaa accounting vrrs { default | list-name } start-stop method1 [ method2... ]

 

Router(config)# aaa accounting vrrs default start-stop

VRRS の AAA アカウンティングをイネーブルにします。

ステップ 4

aaa attribute list list-name

 

Router(config)# aaa attribute list list1

ルータ上で AAA アトリビュート リストをローカルに定義し、アトリビュート リスト コンフィギュレーション モードを開始します。

ステップ 5

attribute type name value [ service service ] [ protocol protocol ][ mandatory ][ tag tag-value ]

 

Router(config-attr-list)# attribute type example 1

AAA アトリビュート リストへ追加されるアトリビュート タイプをルータ上でローカルに定義します。

ステップ 6

exit

 

Router(config-attr-list)# exit

アトリビュート リスト コンフィギュレーション モードを終了して、グローバル コンフィギュレーション モードに戻ります。

ステップ 7

vrrs vrrs-group-name

 

Router(config)# vrrs vrrs1

(任意)VRRS グループを定義し、VRRS グループのパラメータを設定し、VRRS コンフィギュレーション モードを開始します。

ステップ 8

accounting delay seconds

 

Router(config-vrrs)# accounting delay 10

(任意)accounting-off メッセージを VRRS に送信する際の遅延時間を指定します。

ステップ 9

accounting method { default | accounting-method-list }

 

Router(config-vrrs)# accounting method default

(任意)VRRS グループの VRRS アカウンティングをイネーブルにします。

ステップ 10

exit

 

Router(config-vrrs)# exit

VRRS コンフィギュレーション モードを終了します。

AAA サーバが到達不能時のルータとのセッション確立

AAA サーバが到達不能の場合に、ルータとの間にコンソールまたは Telnet セッションを確立するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

 

コマンド
目的

Router(config)# no aaa accounting system guarantee-first

aaa accounting system guarantee-first コマンドは、最初のレコードとしてシステム アカウンティングを保証します(これがデフォルトの条件です)。

状況によっては、システムの再ロードが完了するまで(3 分よりも長くかかる可能性があります)、ユーザがコンソールまたは Telnet 接続でセッションを開始できない可能性があります。この問題を解決するには、 no aaa accounting system guarantee-first コマンドを使用できます。


no aaa accounting system guarantee-first コマンドの入力は、コンソールまたは Telnet セッションを開始できる唯一の条件ではありません。たとえば、特権 EXEC セッションが TACACS+ によって認証され、TACACS+ サーバが到達不能の場合、セッションは開始できません。


アカウンティングのモニタリング

RADIUS または TACACS+ アカウンティングの場合、特定の show コマンドは存在しません。現在ログインしているユーザに関する情報を表示するアカウンティング レコードを取得するには、特権 EXEC モードで次のコマンドを使用します。

 

コマンド
目的

Router# show accounting

ネットワークでアクティブなアカウント可能なイベントの表示を許可し、アカウンティング サーバでデータが損失した場合に情報を収集できます。

アカウンティングのトラブルシューティング

アカウンティング情報の問題を解決するには、特権 EXEC モードで次のコマンドを使用します。

 

コマンド
目的

Router# debug aaa accounting

説明の義務があるイベントが発生したときに、その情報を表示します。

AAA アカウンティングの設定例

「例:名前付き方式リストの設定」

「例:AAA リソース アカウンティングの設定」

「例:AAA ブロードキャスト アカウンティングの設定」

「例:DNIS による AAA ブロードキャスト アカウンティングの設定」

「例:AAA セッション MIB」

「例:VRRS アカウンティングの設定」

例:名前付き方式リストの設定

次に、RADIUS サーバから AAA サービスを提供するために Cisco AS5200(AAA および RADIUS セキュリティ サーバとの通信で有効)を設定する例を示します。RADIUS サーバが応答に失敗すると、認証情報と認可情報についてローカル データベースへの照会が行われ、アカウンティング サービスは TACACS+ サーバによって処理されます。

aaa new-model
aaa authentication login admins local
aaa authentication ppp dialins group radius local
aaa authorization network blue1 group radius local
aaa accounting network red1 start-stop group radius group tacacs+
 
username root password ALongPassword
 
tacacs-server host 172.31.255.0
tacacs-server key goaway
 
radius-server host 172.16.2.7
radius-server key myRaDiUSpassWoRd
 
interface group-async 1
group-range 1 16
encapsulation ppp
ppp authentication chap dialins
ppp authorization blue1
ppp accounting red1
 
line 1 16
autoselect ppp
autoselect during-login
login authentication admins
modem dialin
 

この RADIUS AAA 設定のサンプル行は、次のように定義されます。

aaa new-model コマンドは、AAA ネットワーク セキュリティ サービスをイネーブルにします。

aaa authentication login admins local コマンドは、ログイン認証の方式リスト「admins」を定義します。

aaa authentication ppp dialins group radius local コマンドで、まず RADIUS 認証を示す認証方式リスト「dialins」を定義します。次に、(RADIUS サーバが応答しない場合)PPP を使用するシリアル回線にはローカル認証が使用されます。

aaa authorization network blue1 group radius local コマンドで、「blue1」というネットワーク認可方式リストを定義します。その際、PPP を使用するシリアル回線に RADIUS 認可を使用するように指定します。RADIUS サーバが応答に失敗すると、ローカル ネットワークの認可が実行されます。

aaa accounting network red1 start-stop group radius group tacacs+ コマンドで、red1 というネットワーク アカウンティング方式リストを定義します。その際、PPP を使用するシリアル回線に RADIUS アカウンティング サービス(この場合、特定のイベントに対する開始レコードと終了イベント)を使用するように指定します。RADIUS サーバが応答に失敗すると、アカウンティングサービスは TACACS+ サーバによって処理されます。

username コマンドはユーザ名とパスワードを定義します。これらの情報は、PPP Password Authentication Protocol(PAP; パスワード認証プロトコル)認証での発信元の身元確認に使用されます。

tacacs-server host コマンドは TACACS+ サーバ ホストの名前を定義します。

tacacs-server key コマンドはネットワーク アクセス サーバと TACACS+ サーバ ホスト間の共有秘密テキスト ストリングを定義します。

radius-server host コマンドは RADIUS サーバ ホストの名前を定義します。

radius-server key コマンドはネットワーク アクセス サーバと RADIUS サーバ ホスト間の共有秘密テキスト ストリングを定義します。

interface group-async コマンドは非同期インターフェイス グループを選択して定義します。

group-range コマンドはインターフェイス グループのメンバの非同期インターフェイスを定義します。

encapsulation ppp コマンドは指定のインターフェイスに使用される PPP をカプセル化方式として設定します。

ppp authentication chap dialins コマンドは ppp 認証方式として Challenge Handshake Authentication Protocol(CHAP; チャレンジ ハンドシェーク認証プロトコル)を選択し、特定のインターフェイスに「ダイヤルイン」方式リストを適用します。

ppp authorization blue1 コマンドによって、blue1 ネットワーク認可方式リストは指定したインターフェイスに適用されます。

ppp accounting red1 コマンドによって、red1 ネットワーク アカウンティング方式リストは指定したインターフェイスに適用されます。

line コマンドはコンフィギュレーション モードをグローバル コンフィギュレーションからライン コンフィギュレーションに切り替え、設定対象の回線を指定します。

autoselect ppp コマンドは、選択した回線上で PPP セッションを自動的に開始できるように Cisco IOS ソフトウェアを設定します。

autoselect during-login コマンドを使用して、Return キー押さずにユーザ名およびパスワードのプロンプトを表示します。ユーザがログインすると、autoselect 機能(この場合は PPP)が開始します。

login authentication admins コマンドは、ログイン認証の admins 方式リストを適用します。

modem dialin コマンドは選択した回線に接続されているモデムを設定し、着信コールだけを受け入れるようにします。

show accounting コマンドを使用すると、前述の設定に関する出力が次のように生成されます。

Active Accounted actions on tty1, User username2 Priv 1
Task ID 5, Network Accounting record, 00:00:52 Elapsed
task_id=5 service=ppp protocol=ip address=10.0.0.98
 

表 4 に、前述の出力に含まれるフィールドを示します。

 

表 4 show accounting のフィールドの説明

フィールド
説明

Active Accounted actions on

ユーザがログインに使用する端末回線またはインターフェイス名

User

ユーザの ID

Priv

ユーザの特権レベル

Task ID

各アカウンティング セッションの固有識別情報

Accounting record

アカウンティング セッション タイプ

Elapsed

このセッション タイプの期間(hh:mm:ss)

attribute=value

このアカウンティング セッションに関連付けられている AV ペア

例:AAA リソース アカウンティングの設定

次に、リソース失敗終了アカウンティング、および 開始 - 終了レコード機能のリソース アカウンティングを設定する例を示します。

!Enable AAA on your network access server.
aaa new-model
!Enable authentication at login and list the AOL string name to use for login authentication.
aaa authentication login AOL group radius local
!Enable authentication for ppp and list the default method to use for PPP authentication.
aaa authentication ppp default group radius local
!Enable authorization for all exec sessions and list the AOL string name to use for authorization.
aaa authorization exec AOL group radius if-authenticated
!Enable authorization for all network-related service requests and list the default method to use for all network-related authorizations.
aaa authorization network default group radius if-authenticated
!Enable accounting for all exec sessions and list the default method to use for all start-stop accounting services.
aaa accounting exec default start-stop group radius
!Enable accounting for all network-related service requests and list the default method to use for all start-stop accounting services.
aaa accounting network default start-stop group radius
!Enable failure stop accounting.
aaa accounting resource default stop-failure group radius
!Enable resource accounting for start-stop records.
aaa accounting resource default start-stop group radius

例:AAA ブロードキャスト アカウンティングの設定

次に、グローバル aaa accounting コマンドを使用して、ブロードキャスト アカウンティングを有効にする例を示します。

aaa group server radius isp
server 10.0.0.1
server 10.0.0.2
 
aaa group server tacacs+ isp_customer
server 172.0.0.1
 
aaa accounting network default start-stop broadcast group isp group isp_customer
 
radius-server host 10.0.0.1
radius-server host 10.0.0.2
radius-server key key1
tacacs-server host 172.0.0.1 key key2
 

broadcast キーワードによって、ネットワーク接続に関する「開始」および「終了」アカウンティング レコードが、グループ isp ではサーバ 10.0.0.1 に、グループ isp_customer ではサーバ 172.0.0.1 に同時送信されます。サーバ 10.0.0.1 が使用できなくなると、サーバ 10.0.0.2 へのフェールオーバーが行われます。サーバ 172.0.0.1 が使用できなくなっても、グループ isp_customer にはバックアップ サーバが設定されていないため、フェールオーバーは行われません。

例:DNIS による AAA ブロードキャスト アカウンティングの設定

次に、グローバル aaa dnis map accounting network コマンドを使用して、DNIS によるブロードキャスト アカウンティングを有効にする例を示します。

aaa group server radius isp
server 10.0.0.1
server 10.0.0.2
 
aaa group server tacacs+ isp_customer
server 172.0.0.1
 
aaa dnis map enable
aaa dnis map 7777 accounting network start-stop broadcast group isp group isp_customer
 
radius-server host 10.0.0.1
radius-server host 10.0.0.2
radius-server key key_1
tacacs-server host 172.0.0.1 key key_2
 

broadcast キーワードによって、DNIS 番号 7777 のネットワーク接続コールに関する「開始」および「終了」アカウンティング レコードが、グループ isp ではサーバ 10.0.0.1 に、グループ isp_customer ではサーバ 172.0.0.1 に同時送信されます。サーバ 10.0.0.1 が使用できなくなると、サーバ 10.0.0.2 へのフェールオーバーが行われます。サーバ 172.0.0.1 が使用できなくなっても、グループ isp_customer にはバックアップ サーバが設定されていないため、フェールオーバーは行われません。

例:AAA セッション MIB

次に、AAA セッション MIB 機能を設定して、PPP ユーザの認証済みクライアント接続を解除する例を示します。

aaa new-model
aaa authentication ppp default group radius
aaa authorization network default group radius
aaa accounting network default start-stop group radius
aaa session-mib disconnect
 

例:VRRS アカウンティングの設定

次に、AAA アカウンティング メッセージを AAA に送信するように VRRS を設定する例を示します。

Router# configure terminal
Router(config)# aaa accounting vrrs vrrp-mlist-1 start-stop group radius
Router(config)# aaa attribute list vrrp-1-attr
Router(config-attr-list)# attribute type account-delay 10
Router(config-attr-list)# exit
Router(config)# vrrs vrrp-group-1
Router(config-vrrs)# accounting delay 10
Router(config-vrrs)# accounting method vrrp-mlist-1
Router(config-vrrs)# exit

その他の参考資料

関連資料

内容
参照先

認可

Configuring Authorization 」モジュール

認証

Configuring Authentication 」モジュール

アカウンティング コマンド

『Cisco IOS Security Command Reference』

規格

規格
タイトル

この機能がサポートする新しい規格または変更された規格はありません。また、この機能による既存規格のサポートに変更はありません。

--

MIB

MIB
MIB リンク

新しい MIB または変更された MIB はサポートされていません。また、既存の MIB に対するサポートに変更はありません。

選択したプラットフォーム、Cisco ソフトウェア リリース、および機能セットの MIB の場所を検索しダウンロードするには、次の URL にある Cisco MIB Locator を使用します。

http://www.cisco.com/go/mibs

RFC

RFC
タイトル

RFC 2903

Generic AAA Architecture

RFC 2904

AAA Authorization Framework

RFC 2906

AAA Authorization Requirements

RFC 2989

Criteria for Evaluating AAA Protocols for Network Access

シスコのテクニカル サポート

説明
リンク

右の URL にアクセスして、シスコのテクニカル サポートを最大限に活用してください。以下を含むさまざまな作業にこの Web サイトが役立ちます。
・テクニカル サポートを受ける
・ソフトウェアをダウンロードする
・セキュリティの脆弱性を報告する、またはシスコ製品のセキュリティ問題に対する支援を受ける
・ツールおよびリソースへアクセスする
- Product Alert の受信登録
- Field Notice の受信登録
- Bug Toolkit を使用した既知の問題の検索
・Networking Professionals(NetPro)コミュニティで、技術関連のディスカッションに参加する
・トレーニング リソースへアクセスする
・TAC Case Collection ツールを使用して、ハードウェアや設定、パフォーマンスに関する一般的な問題をインタラクティブに特定および解決する この Web サイト上のツールにアクセスする際は、Cisco.com のログイン ID およびパスワードが必要です。

http://www.cisco.com/cisco/web/support/index.html

アカウンティングの設定の機能情報

表 5 に、この章に記載されている機能および具体的な設定情報へのリンクを示します。

Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェア イメージのサポート情報を検索できます。Cisco Feature Navigator を使用すると、ソフトウェア イメージがサポートする特定のソフトウェア リリース、機能セット、またはプラットフォームを確認できます。Cisco Feature Navigator には、 http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。


表 5 には、一連のソフトウェア リリースのうち、特定の機能が初めて導入されたソフトウェア リリースだけが記載されています。その機能は、特に断りがない限り、それ以降の一連のソフトウェア リリースでもサポートされます。


 

表 5 アカウンティングの設定の機能情報

機能名
リリース
機能情報

AAA ブロードキャスト アカウンティング

12.2
12.2S
12.2SB
12.2SX
12.4T

AAA ブロードキャスト アカウンティングを使用すると、複数の AAA サーバに対してアカウンティング情報を同時送信できます。つまり、1 つまたは複数の AAA サーバに対してアカウンティング情報を同時にブロードキャストできます。

この機能に関する詳細については、次の各項を参照してください。

「AAA ブロードキャスト アカウンティング」

「AAA ブロードキャスト アカウンティングの設定」

開始 - 終了レコードの AAA リソース アカウンティング

12.2
12.4T
12.2S
12.2SB
12.2SX

開始 - 終了レコードの AAA リソース アカウンティングは、各コール設定時に「開始」レコードを送信し、コールの接続解除時に対応する「終了」レコードを送信する機能をサポートしています。この機能は、アカウンティング レコードなどを報告するデータの発信元の 1 つから、卸売りの顧客を管理およびモニタするために使用できます。

この機能に関する詳細については、次の各項を参照してください。

「開始 - 終了レコードの AAA リソース アカウンティング」

「開始 - 終了レコードの AAA リソース アカウンティングの設定」

AAA セッション MIB

12.2
12.4T
12.2S
12.2SB
12.2SX

ユーザが AAA セッション MIB 機能を使用すると、SNMP を使用して自身の認証済みクライアント接続をモニタおよび終了できます。そのクライアントのデータが提示されるため、RADIUS または TACACS+ サーバから報告される AAA アカウンティング情報に直接関連付けることができます。

この機能に関する詳細については、次の各項を参照してください。

「AAA セッション MIB」

「AAA セッション MIB の設定」

AAA:IPv6 アカウンティングの遅延の強化

15.1(1)S

VRRS はマルチクライアント情報の抽象化機能を備え、First Hop Redundancy Protocol(FHRP)と登録済みクライアント間に管理サービスを提供しています。

この機能に関する詳細については、次の各項を参照してください。

「VRRS アカウンティング」

「VRRS アカウンティングの設定」