内容

概要

前提条件

要件

使用するコンポーネント

設定

スイッチの設定例

ACS 設定

確認

トラブルシュート

概要

このドキュメントでは、Cisco Access Control Server（ACS）バージョン 4.2 と有線認証用の Remote Access Dial In User Service（RADIUS）プロトコルを使用した基本的な IEEE 802.1x 設定例を示します。

前提条件

要件

シスコでは次を推奨しています。

- ACS とスイッチの間の IP 到達可能性を確認する。

- ACS とスイッチの間で User Datagram Protocol（UDP）ポート 1645 および 1646 が開いていることを確認する。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco Catalyst 3550シリーズスイッチ

- Cisco Secure ACS バージョン 4.2

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

設定

スイッチの設定例

1. RADIUS サーバと事前共有キーを定義するために、次のコマンドを入力します。

Switch(config)# radius-server host 192.168.1.3  key  cisco123

2. 802.1x 機能を有効にするために、次のコマンドを入力します。

Switch(config)# dot1x system-auth-control

3. 認証、認可、およびアカウンティング（AAA）と RADIUS の認証および認可をグローバルに有効にするために、次のコマンドを入力します。

注：これはRADIUSサーバから属性を渡す必要がある場合に必要です。それ以外の場合はスキップできます。

Switch(config)# aaa new-model

Switch(config)# aaa authentication dot1x default group radius

awitch(Config)# aaa authorization network default group radius

Switch(Config)# aaa accounting dot1x default start-stop group radius

Switch(config-if)# switchport mode acces

Switch(config-if)# switchport access vlan

Switch(config-if)# authentication port-control auto (12.2.50 SE and later)

Switch(config-if)# dot1x port-control auto (12.2.50 SE and below)

Switch(config-if)# dot1x pae authenticator (version 12.2(25)SEE and below)

Switch(config-if)# dot1x timeout quiet-period

Switch(config-if)# dot1x timeout tx-period

ACS 設定

1. ACS にスイッチを AAA クライアントとして追加するために、[Network Configuration] > [Add entry AAA client] に移動し、次の情報を入力します。

- IPアドレス:<IP>

- 共有秘密:<key>

- Radius(Cisco IOS®/PIX 6.0)を使用した認証

2. 認証設定を指定するために、[System Configuration] > [Global Authentication Setup] に移動し、[Allow MS-CHAP Version 2 Authentication] チェックボックスがオンになっていることを確認します。

3. ユーザを設定するために、メニューの [User Setup] をクリックし、次の手順を実行します。

- User情報としてNetwork-Admin <username>を入力します。

- [Add/Edit] をクリックします。

- [Real Name] にNetwork-Admin <description name>と入力します。

- Description: <your choice>を追加します。

- Password Authentication:ACS Internal Databaseを選択します。

- [Password] に「。..」と入力します。..... <password>。

- Password: <password>を確認します。

- [Submit] をクリックします。

確認

アウトプット インタープリタ ツール（登録ユーザ専用）は、特定の show コマンドをサポートしています。show コマンドの出力の分析を表示するには、Output Interpreter Tool を使用します。

設定が正常に機能していることを確認するには、次のコマンドを入力します。

- show dot1x

- show dot1x summary

- show dot1x interface

- show authentication sessions interface <interface>

- show authentication interface <interface>

Switch(config)# show dot1x

_________________________________________________

Sysauthcontrol              Enabled

Dot1x Protocol Version            3

_________________________________________________

Switch(config)# show dot1x summary

_________________________________________________

Interface       PAE     Client          Status

_________________________________________________

Fa0/4           AUTH

_________________________________________________

Switch(config)# show dot1x interface fa0/4 detail

_________________________________________________

Dot1x Info for FastEthernet0/4

_________________________________________________

PAE                       = AUTHENTICATOR

PortControl               = FORCE_AUTHORIZED

ControlDirection          = Both

HostMode                  = SINGLE_HOST

QuietPeriod               = 5

ServerTimeout             = 0

SuppTimeout               = 30

ReAuthMax                 = 2

MaxReq                    = 2

TxPeriod                  = 10

トラブルシュート

ここでは、設定をトラブルシューティングするために使用できる debug コマンドを示します。

注：debug コマンドを使用する前に、『debug コマンドの重要な情報』を参照してください。

- debug dot1x all

- debug authentication all

- debug radius（デバッグ レベルで RADIUS の情報を提供）

- debug aaa authentication（認証のデバッグ）

- debug aaa authorization（認可のデバッグ）