セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護

Cisco IOS Auth Manager の概要

指定されたネットワークに接続するデバイスの機能は異なっている可能性があるため、ネットワークはさまざまな認証方式および認証ポリシーをサポートする必要があります。Cisco IOS Auth Manager は、認証方法に関係なく、ネットワーク認証要求を処理し、認証ポリシーを強制します。Auth Manager は、すべてのポートベースのネットワーク接続試行、認証、認可、および接続解除に対する運用データを維持することで、セッション マネージャとして機能します。

Auth Manager セッションには、次のような状態が考えられます。

• Idle：idle 状態では、認証セッションは初期化されていますが、実行されている方式はありません。これは中間の状態です。

• Running：現在、方式が実行されています。これは中間の状態です。

• Authc Success：認証方式の実行に成功しました。これは中間の状態です。

• Authc Failed：認証方式が失敗しました。これは中間の状態です。

• Authz Success：このセッションに対するすべての機能の適用に成功しました。これは最終的な状態です。

• Authz Failed：このセッションに対して、少なくとも 1 つの機能の適用に失敗しました。これは最終的な状態です。

• No methods：このセッションに結果を提供する方式がありません。これは最終的な状態です。

認証方式

IEEE 802.1x-Flexible Authentication 機能は、次の 3 つの認証方式をサポートしています。

• dot1x ：IEEE 802.1x 認証はレイヤ 2 の認証方式です。

• mab ：MAC 認証バイパスはレイヤ 2 の認証方式です。

• webauth ：Web 認証はレイヤ 3 の認証方式です。

ホスト モード認証

IEEE 802.1x-Flexible Authentication 機能は、次の 2 つの新しいホスト モードをサポートしています。

• multi-auth： マルチ認証では、音声 VLAN に 1 つの認証、データ VLAN に複数の認証を使用できます。

• multi-domain ：マルチドメイン認証では、音声 VLAN に 1 つ、データ VLAN に 1 ついう 2 つの認証を使用できます。

また、IEEE 802.1x-Flexible Authentication 機能は、シングルホスト認証とマルチホスト認証もサポートしています。

認証順序と認証の優先順位

IEEE 802.1x-Flexible Authentication 機能を使用すると、認証順序と認証の優先順位を指定できます。 authentication order コマンドでは、デフォルトの認証の優先順位を設定します。 authentication priority コマンドを使用すると、デフォルトの認証の優先順位よりも優先されます。たとえば、MAB、802.1x という認証順序を指定するとします。ただし、認可後に後続の 802.1x ハンドシェークを無視したくない場合があります。このような場合、802.1x 認証方式に MAB 方式よりも高い優先順位を与えます。

認証順序の設定

認証順序は個々のポートで設定し、各ポートがどの認証方式を使用するかを制御します。ここで説明する手順に従って認証順序を設定してください。

前提条件

IEEE 802.1x-Flexible Authentication 機能を使用するには、スイッチを Cisco Secure ACS に接続し、RADIUS Authentication, Authorization, and Accounting (AAA; 認証、認可、およびアカウンティング)を Web 認証用に設定しておく必要があります。また、必要に応じて、ACL ダウンロードを有効にします。

認証順序に 802.1x ポート認証方式を含める場合、スイッチで IEEE 802.1x 認証をイネーブルにする必要があります。

認証順序に Web 認証を含める場合、スイッチとインターフェイスで Web 認証を可能にするフォールバック プロファイルを設定します。

手順の概要

1. enable

2. configure terminal

3. dot1x system-auth-control

4. interface type slot / port

5. switchport

6. switchport mode access

7. switchport access vlan vlan-id

8. mab [ eap ]

9. authentication port-control { auto | force-authorized | fort unauthorized }

10. authentication fallback profile

11. authentication order { dot1x [ mab | webauth ] [ webauth ] | mab [ dot1x | webauth ] [ webauth ] | webauth }

12. dot1x pae authenticator

13. end

手順の詳細

トラブルシューティングのヒント

次のコマンドは、Flexible Authentication 機能のトラブルシューティングに役立ちます。

• debug authentication

• show authentication registrations

• show authentication sessions

• show dot1x

• show mab

認証の優先順位の設定

認証の優先順位は、個々のポートの方式についてフェールオーバー順を制御するために設定します。ここで説明する手順に従って認証の優先順位を設定してください。

前提条件

認証の優先順位を設定するには、「認証順序の設定」の説明に従って認証順序を設定しておく必要があります。

手順の概要

1. enable

2. configure terminal

3. interface type slot / port

4. authentication priority { dot1x [ mab | webauth ] [ webauth ] | mab [ dot1x | webauth ] [ webauth ] | webauth }

5. end

手順の詳細

Flexible Authentication：例

次の例では、マルチ認証ホスト モードでポートを設定します。認証順序は、802.11x が最初で、次に MAB、最後が Web 認証です。

関連資料

規格

MIB

RFC

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスは、実際のアドレスを示すものではありません。マニュアル内の例、コマンド出力、および図は、説明のみを目的として使用されています。説明の中に実際のアドレスが使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2008-2009 Cisco Systems, Inc.
All rights reserved.

Copyright © 2008-2011, シスコシステムズ合同会社.
All rights reserved.