- ユーザ サービスのセキュリティ保護の概要
- AutoSecure
- 認証
- 認証の設定
- 認可の設定
- Standalone MAB Support
- アカウンティングの設定
- 認証プロキシの設定
- IEEE 802.1x-Flexible Authentication
- ネットワーク アドミッション コントロール
- RADIUS の設定
- AAA Dead-Server Detection
- AAA-SERVER-MIB Set Operation
- ACL Default Direction
- アクセス要求のアトリビュート スクリーニン グ
- 事前認証ユーザに対する RADIUS を使用した マルチリンク PPP のイネーブル化
- 拡張テスト コマンド
- RADIUS アカウンティング内の Framed-Route
- Offload Server Accounting Enhancement
- Per VRF AAA
- RFC-2867 RADIUS トンネル アカウンティン グ
- RADIUS アトリビュート スクリーニング
- RADIUS 集中型フィルタ管理
- RADIUS デバッグ拡張
- RADIUS 論理回線 ID
- RADIUS NAS-IP-Address アトリビュート 設定可能性
- RADIUS ルート ダウンロード
- RADIUS サーバ ロード バランシング
- 56 ビット アカウンティング セッション ID の RADIUS サポート
- ロード バランシングおよびフェールオーバー 用の RADIUS トンネル プリファレンス
- RADIUS サーバ障害発生時順序変更
- トンネル ターミネータでの RADIUS 経由での トンネル認証
- TACACS+ の設定
- Per VRF for TACACS+ Servers
- RADI US アトリビュート概要と RADIUS IETF アトリビュート
- RADIUS ベンダー固有アトリビュート
- RADIUS ベンダー固有アトリビュート （VSA）および RADIUS Disconnect-Cause アトリビュート値
- アクセス要求内の RADIUS アトリビュート 8 （Framed-IP-Address）
- RADIUS トンネル アトリビュート拡張
- セキュア シェルの設定
- リバース SSH 拡張
- セキュア コピー
- セキュア シェル バージョン 2 サポート
- SSH Terminal-Line アクセス
- Cisco IOS Login Enhancements（Login Block）
- Cisco IOS Resilient Configuration
- イメージ検証
- IP ソース トラッカー
- ロールベースの CLI アクセス
セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月6日
章のタイトル： RADI US アトリビュート概要と RADIUS IETF アトリビュート
RADIUS アトリビュート概要と RADIUS IETF アトリビュート
Remote Authentication Dial-In User Service（RADIUS; リモート認証ダイヤルイン ユーザ サービス）アトリビュートは、RADIUS デーモンに保存されたユーザ プロファイル内の特定の Authentication, Authorization, and Accounting（AAA; 認証、認可、およびアカウンティング）要素を定義するために使用されます。このモジュールでは、現在サポートされている RADIUS アトリビュートを列挙します。
機能情報の確認
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。このモジュールに記載された機能に関する情報を探したり、各機能がサポートされているリリースのリストを確認したりするには、 P. 20 の「RADIUS アトリビュートの概要と RADIUS IETF アトリビュートの機能情報」 を参照してください。
プラットフォーム サポートと Cisco IOS および Catalyst OS ソフトウェア イメージ サポートに関する情報を入手するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。
この章の構成
RADIUS アトリビュートに関する情報
この項では、RADIUS アトリビュートがクライアントとサーバ間で AAA 情報をどのように交換するかを理解するうえで重要な情報について説明します。次の項で構成されています。
IETF アトリビュートと VSA の比較
RADIUS Internet Engineering Task Force（IETF; インターネット技術特別調査委員会）アトリビュートは、255 個の標準アトリビュートで構成されるオリジナルのセットで、クライアントとサーバ間での AAA 情報の伝達に使用されます。IETF アトリビュートは標準であるため、アトリビュート データは事前定義されてその内容も認識されています。このため、IETF アトリビュートを介して AAA 情報を交換するすべてのクライアントとサーバは、アトリビュートの厳密な意味や各アトリビュート値の一般的な限界など、アトリビュート データに一致させる必要があります。
RADIUS Vendor-Specific Attribute（VSA; ベンダー固有アトリビュート）は、1 つの IETF アトリビュート（Vendor-Specific（アトリビュート 26））から派生したものです。アトリビュート 26 を使用すれば、ベンダーは、追加の 255 個のアトリビュートを自由に作成できます。つまり、ベンダーは、どの IETF アトリビュートのデータとも一致しないアトリビュートを作成して、アトリビュート 26 の背後にカプセル化することができます。そのため、新しく作成されたアトリビュートは、アトリビュート 26 を受け入れているユーザに受け入れられます。
VSA の詳細については、「関連資料」を参照してください。
RADIUS パケットのフォーマット
RADIUS サーバと RADIUS クライアント間のデータは、RADIUS パケットで交換されます。データ フィールドは左から右に転送されます。
図 1 に、RADIUS パケット内のフィールドを示します。
•
コード：コード フィールドは 1 オクテットです。次の RADIUS パケットのタイプを識別します。
• 識別子：識別子フィールドは 1 オクテットです。RADIUS サーバの要求と応答の照合を支援し、重複した要求を検出します。
• 長さ：長さフィールドは 2 オクテットです。パケット全体の長さを示します。
• オーセンティケータ：オーセンティケータ フィールドは 16 オクテットです。最上位オクテットが最初に転送されます。RADIUS サーバからの応答の認証に使用されます。次の 2 種類のオーセンティケータがあります。
– Request-Authentication：Access-Request パケットと Accounting-Request パケットで使用できます。
– Response-Authenticator：Access-Accept、Access-Reject、Access-Challenge、および Accounting-Response パケットで使用できます。
RADIUS パケット タイプ
次のリストは、アトリビュート情報を含めることが可能なさまざまなタイプの RADIUS パケットをまとめたものです。
Access-Request： クライアントから RADIUS サーバに送信されます。このパケットには、RADIUS サーバで、ユーザにアクセスを許可している特定の Network Access Server（NAS; ネットワーク アクセス サーバ）へのアクセスを許可するかどうかを判断可能な情報が含まれています。認証を実行しているユーザは、Access-Request パケットを提出する必要があります。Access-Request パケットを受信した RADIUS サーバは、応答を返す必要があります。
Access-Accept： Access-Request パケットを受信した RADIUS サーバは、Access-Request パケット内のすべてのアトリビュート値が受け入れ可能な場合に、Access-Accept パケットを送信する必要があります。Access-Accept パケットには、クライアントからユーザにサービスを提供するために必要な設定情報が含まれています。
Access-Reject： Access-Request パケットを受信した RADIUS サーバは、どのアトリビュート値も受け入れ可能でなかった場合に、Access-Reject パケットを送信する必要があります。
Access-Challenge： Access-Accept パケットを受信した RADIUS サーバは、応答が必要な Access-Challenge パケットをクライアントに送信できます。クライアントで応答の仕方がわからない場合、または、パケットが無効な場合は、RADIUS サーバがそのパケットを破棄します。クライアントがパケットに応答する場合は、オリジナルの Access-Request パケットと一緒に新しい Access-Request パケットを送信する必要があります。
Accounting-Request： クライアントから RADIUS アカウンティング サーバに送信され、アカウンティング情報を提供します。RADIUS サーバが正常に Accounting-Request パケットを記録したら、Accounting-Response パケットを提出する必要があります。
Accounting-Response： RADIUS アカウンティング サーバからクライアントに送信され、Accounting-Request が正常に受信および記録されたことが伝えられます。
RADIUS ファイル
クライアントからサーバに AAA 情報を伝送するためには、RADIUS で使用されるファイルのタイプを理解しておくことが重要です。各ファイルでユーザの認証または認可レベルを定義します。ディレクトリ ファイルでは、ユーザの NAS に実装可能なアトリビュートを定義します。クライアント ファイルでは、RADIUS サーバへの要求が許可されたユーザを定義します。ユーザ ファイルでは、RADIUS サーバでセキュリティ データと設定データに基づいて認証されるユーザ要求を定義します。
ディレクトリ ファイル
ディレクトリ ファイルには、NAS でサポートされているアトリビュートに依存するアトリビュートのリストが格納されています。ただし、独自のアトリビュートのセットをカスタム ソリューション用のディレクトリに追加できます。このファイルではアトリビュート値が定義されるため、構文解析要求などのアトリビュート出力を解釈できます。ディレクトリ ファイルには次の情報が含まれています。
• 名前：User-Name などのアトリビュートの ASCII 文字列「名」
• ID：アトリビュートの数値「名」。たとえば、User-Name アトリビュートはアトリビュート 1 です。
• 値型：アトリビュートは次の値型のいずれかとして指定できます。
– date：ビッグ エンディアン順の 32 ビット値。たとえば、1970 年 1 月 1 日 00:00:00 GMT 以降の秒数。
– integer：ビッグ エンディアン順の 32 ビット値（上位バイトが先）
特定のアトリビュートのデータ型が整数の場合は、オプションで、整数を拡張して何らかの文字列と一致させることができます。次のサンプル辞書には、整数ベースのアトリビュートと対応する値が含まれています。
クライアント ファイル
クライアント ファイルは、RADIUS サーバへの認証要求とアカウンティング要求の送信を許可された RADIUS クライアントのリストが含まれている点で重要です。認証を受けるには、クライアントからサーバに送信された名前と認証キーがクライアント ファイル内のデータと一致する必要があります。
クライアント ファイルの例を次に示します。この例に示すキーは、 radius-server key SomeSecret コマンドと同じにする必要があります。
ユーザ ファイル
RADIUS ユーザ ファイルには、RADIUS サーバで認証されたユーザごとのエントリが含まれています。ユーザ プロファイルとも呼ばれるエントリごとに、そのユーザがアクセス可能なアトリビュートが設定されます。
ユーザ プロファイルの最初の行は、常に、「ユーザ アクセス」行です。つまり、サーバはユーザにアクセス許可を出す前に、最初の行のアトリビュートをチェックする必要があります。最初の行にはユーザの名前が含まれています。この名前は、最大 252 文字にすることができ、後ろにユーザのパスワードなどの認証情報が続きます。
ユーザ アクセス行に関連付けられたその他の行は、要求元のクライアントまたはサーバに送信されるアトリビュート応答を表します。応答内で送信されるアトリビュートは、ディレクトリ ファイルで定義する必要があります。
ユーザ ファイルを調べるときは、等号（=）文字の左側のデータがディレクトリ ファイルで定義されたアトリビュートで、等号文字の右側のデータが設定データであることに注意してください。
（注） 空白行はユーザ プロファイルのどの場所にも挿入できません。
RADIUS ユーザ プロファイル（Merit Daemon フォーマット）の例を次に示します。この例では、ユーザ名が cisco.com、パスワードが cisco で、ユーザは 5 つのトンネル アトリビュートにアクセスできます。
RADIUS IETF アトリビュート
（注） RADIUS トンネル アトリビュート用の Cisco IOS Release 12.2 では、32 個のタグ付きトンネル セットが L2TP 用にサポートされています。
• サポートされている RADIUS IETF アトリビュート
サポートされている RADIUS IETF アトリビュート
表 1 に、シスコがサポートしている IETF RADIUS アトリビュートとそれらが実装されている Cisco IOS リリースを示します。アトリビュートがセキュリティ サーバ固有の形式の場合は、この形式が指定されます。
リスト内のアトリビュートの説明については、 表 2 を参照してください。
（注） 特別な（AA）リリースまたは初期開発（T）リリースで実装されたアトリビュートが次のメインライン イメージに追加されています。
|
|
|
|
|
|
|
|
|
|
|
|---|---|---|---|---|---|---|---|---|---|
Tunnel-Type1 |
|||||||||
Tunnel-Client-Auth-ID2 |
|||||||||
| 1.この RADIUS アトリビュートは、2 つのドラフト IETF 文書、RFC 2868「RADIUS Attributes for Tunnel Protocol Support」と RFC 2867「RADIUS Accounting Modifications for Tunnel Protocol Support」に基づきます。 |
RADIUS アトリビュート解説の包括的リスト
表 2 に、IETF RADIUS アトリビュートとその説明を示します。アトリビュートがセキュリティ サーバ固有の形式の場合は、この形式が指定されます。
|
|
|
|
|---|---|---|
ユーザのパスワードまたは Access-Challenge に続くユーザの入力を示します。16 文字未満のパスワードは、 RFC 2865 仕様で暗号化されます。 |
||
Access-Challenge に対する応答で PPP Challenge-Handshake Authentication Protocol（CHAP; チャレンジ ハンドシェーク認証プロトコル）ユーザが入力した応答値を示します。 |
||
認証を要求しているネットワーク アクセス サーバの IP アドレスを示します。デフォルト値は 0.0.0.0/0 です。 |
||
ユーザを認証しているネットワーク アクセス サーバの物理ポート番号を示します。NAS-Port 値（32 ビット）は、1 つまたは 2 つの 16 ビット値（ radius-server extended-portnames コマンドの設定に依存）で構成されます。各 16 ビットの数値は、次のように、解釈用の 5 桁の 10 進整数として表示されるはずです。 非同期端末回線、非同期ネットワーク インターフェイス、および仮想非同期インターフェイスの場合、この値は 00ttt です 。ここで、 ttt は回線番号または非同期インターフェイス装置番号です。 通常の同期ネットワーク インターフェイスの場合、この値は 10xxx です。 プライマリ レート ISDN インターフェイス上のチャネルの場合、この値は 2ppcc です。 |
||
要求されたサービスのタイプまたは指定されたサービスのタイプを示します。 既知の PPP または SLIP 接続の場合は Framed。 Login：接続を確立します。 |
||
フレーム化アクセスに使用されるフレーム構成を示します。他のフレーム構成は許可されません。 |
||
access-request 内でユーザの IP アドレスを RADIUS サーバに送信することによって、ユーザに対して設定する IP アドレスを示します。このコマンドを有効にするには、グローバル コンフィギュレーション モードで radius-server attribute 8 include-in-access-req コマンドを使用します。 |
||
ユーザがルータまたはネットワークの場合に、ユーザに対して設定する IP ネットマスクを示します。このアトリビュート値によって、指定されたマスクを使用して Framed-IP-Address に静的ルートが追加されることになります。 |
||
ユーザがルータまたはネットワークの場合に、ユーザに対するルーティング方式を示します。このアトリビュートに対しては、「なし」と「送信とリッスン」の値だけがサポートされています。 |
||
ユーザのフィルタ リストの名前を示し、%d、%d.in、または %d.out としてフォーマットされます。このアトリビュートは、最近のサービス タイプ コマンドに関連付けられます。ログインと EXEC の場合は、0 ～ 199 の回線アクセス リスト値として %d または %d.out を使用します。フレーム化サービスの場合は、インターフェイス出力アクセス リストとして %d または %d.out を使用し、入力アクセス リストとして %d.in を使用します。この番号は、参照しているプロトコルに対する自己符号化です。 |
||
Maximum Transmission Unit（MTU; 最大伝送ユニット）が PPP またはその他の手段でネゴシエートされない場合に、ユーザに対して設定可能な MTU を示します。 |
||
リンクに使用される圧縮プロトコルを示します。このアトリビュートによって、EXEC 認可中に生成された PPP または SLIP autocommand に「compress」が追加されることになります。非 EXEC 認可には実装されていません。 |
||
Login-Service アトリビュートが含まれている場合に、ユーザが接続するホストを示します（この動作はログイン直後に開始されます）。 |
||
RADIUS サーバ経由でユーザに表示される可能性のあるテキストを示します。このアトリビュートはユーザ ファイルに含めることができますが、プロファイル当たりの Replyp-Message エントリ数を 16 以下にする必要があります。 |
||
呼び出される場所の名前、つまり、ネットワーク アクセス サーバによって解釈される場所の名前（1 つ以上のオクテットからなる）を定義します。 |
||
このネットワーク アクセス サーバ上のユーザに対して設定するルーティング情報を指定します。RADIUS RFC 形式（net/bits [router [metric]]）と従来のドット区切りのマスク（net mask [router [metric]]）がサポートされています。ルータ フィールドを省略するか、0 にした場合は、ピア IP アドレスが使用されます。現在、メトリックは無視されます。このアトリビュートは access-request パケットです。 |
||
ネットワーク アクセス サーバと RADIUS サーバ間で状態情報の保持を可能にします。このアトリビュートは CHAP チャレンジにしか適用できません。 |
||
（アカウンティング）RADIUS サーバで入力された場合に、このユーザに関するすべてのアカウンティング パケットにネットワーク アクセス サーバで追加される任意の値。 |
||
セッションを終了する前に、ユーザにサービスを提供する最大秒数を設定します。このアトリビュート値は、ユーザ単位「絶対タイムアウト」になります。 |
||
セッションが終了する前にユーザに許可されるアイドル接続の最大秒数を設定します。このアトリビュート値は、ユーザ単位「セッション タイムアウト」になります。 |
||
（アカウンティング）ネットワーク アクセス サーバから、ユーザが Access-Request パケットの一部として、呼び出した電話番号を送信できるようにします（Dialed Number Identification Service（DNIS; 着信番号識別サービス）または同様のテクノロジー）。このアトリビュートは、ISDN と、PRI と一緒に使用された場合の Cisco AS5200 上のモデム コールに対してのみサポートされます。 |
||
（アカウンティング）ネットワーク アクセス サーバから、コールが Access-Request パケットの一部として発信された電話番号を送信できるようにします（自動番号識別または同様のテクノロジー）。このアトリビュートの値は、TACACS+ の「remote-addr」の値と同じです。このアトリビュートは、ISDN と、PRI と一緒に使用された場合の Cisco AS5200 上のモデム コールに対してのみサポートされます。 |
||
Access-Request を送信したネットワーク アクセス サーバを識別する文字列。 radius-server attribute 32 include-in-access-req グローバル コンフィギュレーション コマンドを使用して、Access-Request または Accounting-Request 内で RADIUS アトリビュート 32 を送信します。フォーマットが指定されなかった場合は、デフォルトで、FQDN がアトリビュート内で送信されます。 |
||
Access-Request の転送時にプロキシ サーバから別のサーバに送信可能なアトリビュート。このアトリビュートは、Access-Accept、Access-Reject、または Access-Challenge 内でそのまま返され、ネットワーク アクセス サーバに応答が送信される前にプロキシ サーバで削除される必要があります。 |
||
AppleTalk ルータであるユーザへのシリアル リンクに使用すべき別の AppleTalk のネットワーク番号を示します。 |
||
ユーザに AppleTalk ノードを割り当てるためにネットワーク アクセス サーバで使用される AppleTalk ネットワーク番号を示します。 |
||
（アカウンティング）この Accounting-Request がユーザ サービスの始まり（開始）または終わり（終了）をマークするかどうかを示します。 |
||
（アカウンティング）ログ ファイル内の開始レコードと終了レコードのマッチングを容易にする一意のアカウンティング識別子。Acct-Session ID 番号は、ルータの電源が再投入されるか、ソフトウェアがリロードされるたびに、1 にリセットされます。このアトリビュートを access-request パケット内で送信するには、グローバル コンフィギュレーション モードで radius-server attribute 44 include-in-access-req コマンドを使用します。 |
||
（アカウンティング）ユーザがどのように認証されたか、RADIUS、ネットワーク アクセス サーバ自体、およびその他のリモート認証プロトコルのどれで認証されたかを示します。このアトリビュートは、RADIUS で認証されたユーザの場合は「radius」に、TACACS+ と Kerberos の場合は「remote」に、local、enable、line、および if-needed 方式の場合は「local」に設定されます。その他のすべての方式の場合は、このアトリビュートが省略されます。 |
||
（アカウンティング）接続が終了した理由の詳細を報告します。終了の理由は次のように数値で指定されます。 （注） アトリビュート 49 に関して、Cisco IOS は 1 ～ 6、9、12、および 15 ～ 18 の値をサポートしています。 |
||
（アカウンティング）ログ ファイル内の複数の関連セッションをリンクするために使用される一意のアカウンティング識別子。 マルチリンク セッション内でリンクされたセッションごとに、一意の Acct-Session-Id 値が割り当てられますが、Acct-Multi-Session-Id は共有されます。 |
||
（アカウンティング）アカウンティング レコードが生成された時点で特定のマルチリンク セッション内で認識されていたリンク数を示します。ネットワーク アクセス サーバは、複数のリンクが含まれる任意のアカウンティング要求内にこのアトリビュートを追加できます。 |
||
NAS 上でイベントが発生した時刻を記録します。アトリビュート 55 内で送信されるタイムスタンプは、1970 年 1 月 1 日 00:00 UTC 以降の秒数です。アカウンティング パケット内で RADIUS アトリビュート 55 を送信するには、 radius-server attribute 55 include-in-acct-req コマンドを使用します。 』を参照してください。 |
||
ネットワーク アクセス サーバから PPP CHAP ユーザに送信されたチャレンジ ハンドシェーク認証プロトコル チャレンジが保存されます。 |
||
ユーザを認証するためにネットワーク アクセス サーバで使用されている物理ポートのタイプを示します。物理ポートは、次のように数値で示されます。 |
||
Tunnel-Type3 |
使用されているトンネリング プロトコルを示します。Cisco IOS ソフトウェアは、このアトリビュートに対して L2TP と L2F の 2 つの値をサポートしています。このアトリビュートが設定されていない場合は、L2F がデフォルトとして使用されます。 |
|
トンネルの作成に使用される転送メディア タイプを示します。このアトリビュートには、このリリースで使用可能な値（IP）が 1 つしかありません。このアトリビュートに値を設定しなかった場合は、デフォルトとして IP が使用されます。 |
||
トンネルの開始側端のアドレスが含まれています。Access-Request と Access-Accept の両方のパケットに含めて、新しいトンネルを開始するアドレスを示すことも できます 。Tunnel-Client-Endpoint アトリビュートが Access-Request パケットに含まれている場合は、RADIUS サーバがヒントとしてこの値を取得する必要があります。ただし、サーバがこのヒントに従う義務はありません。このアトリビュートは、Accounting-Request パケットに含める 必要があります 。このパケットには、トンネルが開始されたアドレスを示す場合に Start と Stop のどちらかの値を伴う Acct-Status-Type アトリビュートが含まれています。このアトリビュートは、Tunnel-Server-Endpoint アトリビュートや Acct-Tunnel-Connection-ID アトリビュートと一緒に使用して、アカウンティングと監査の目的でトンネルを特定する、グローバルで一意の手段を提供できます。 次のように、このアトリビュートの 127.0.0.X の値を受け入れるためにネットワーク アクセス サーバの機能が拡張されています。 127.0.0.0 は、loopback0 IP アドレスを使用することを示します。 実際のトンネル クライアント エンドポイント IP アドレスとして使用されることを示す。この機能拡張によって、複数のネットワーク アクセス サーバ全体のスケーラビリティが向上します。 |
||
トンネルのサーバ端のアドレスを示します。このアトリビュートのフォーマットは、Tunnel-Medium-Type の値によって異なります。このリリースはトンネル メディア タイプとして IP しかサポートしていないため、このアトリビュートに使用できるのは LNS の IP アドレスまたはホスト名だけです。 |
||
トンネル セッションに割り当てられた識別子を示します。このアトリビュートは、Start、Stop、または上記のいずれかを値として持つ Acct-Status-Type アトリビュート と一緒に Accounting-Request パケットに含める必要があります。このアトリビュートは、Tunnel-Client-Endpoint アトリビュートや Tunnel-Server-Endpoint アトリビュートと一緒に使用して、監査の目的でトンネル セッションを一意に特定する手段を提供できます。 |
||
リモート サーバの認証に使用されるパスワードを定義します。このアトリビュートは、Tunnel-Type の値（AAA_ATTR_l2tp_tunnel_pw (L2TP)、AAA_ATTR_nas_password (L2F)、および AAA_ATTR_gw_password (L2F)）に基づいて、さまざまな AAA アトリビュートに変換されます。 デフォルトで、受信されたすべてのパスワードが暗号化されます。そのため、NAS が暗号化されていないパスワードを復号化しようとすると、認可エラーが発生する可能性があります。アトリビュート 69 で暗号化されていないパスワードの受信を可能にするには、 radius-server attribute 69 clear グローバル コンフィギュレーション コマンドを使用します。 |
||
実際のセキュリティ モジュールのチャレンジまたは応答が含まれています。Access-Challenge パケットと Access-Request パケットの両方に使用できます。 |
||
モデム コールに関する追加情報を提供します。このアトリビュートは start と stop のアカウンティング レコード内で生成されます。 |
||
使用すべきユーザ プロファイルのタイプを示します。このアトリビュートは、プロキシに基づく大規模な分散認証ネットワークで使用する必要があります。Access-Accept 内で RADIUS プロキシ サーバから RADIUS プロキシ クライアントに送信されます。NAS には送信しないでください。 |
||
Extended Access Protocol（EAP）プロトコルを理解していなくても、NAS で EAP 経由のダイヤルイン ユーザを認証できるように EAP パケットをカプセル化します。 |
||
各トンネルに割り当てられた相対プリファレンスを示します。このアトリビュートは、RADIUS サーバからトンネル イニシエータに複数のトンネリング アトリビュートのセットが返される場合に含める必要があります。 |
||
この特定のセッションの一時更新間隔を秒数で示します。この値は、Access-Accept メッセージにのみ含めることができます。 |
||
特定のリンク上で失われたパケット数を示します。このアトリビュートは、Tunnel-Link-Stop の値を持つ Acct-Status-Type アトリビュートと一緒に Accounting-Request パケットに含める必要があります。 |
||
ユーザにアドレスを割り当てるために使用すべき、割り当て済みのアドレス プールの名前が含まれています。NAS が複数のアドレス プールをサポートしていない場合は、このアトリビュートを無視する必要があります。 |
||
トンネル セットアップをトンネル ターミネータで認証するときに、トンネル イニシエータ（NAS とも呼ばれる）で使用される名前を示します。L2F プロトコルと L2TP プロトコルをサポートします。 |
||
トンネル セットアップをトンネル イニシエータで認証するときに、トンネル ターミネータ（ホーム ゲートウェイとも呼ばれる）で使用される名前を示します。L2F プロトコルと L2TP プロトコルをサポートします。 |
||
ファイル エントリがハンドヘルド セキュリティ カード サーバを示しているログイン ユーザから受け取ったパスワードを RADIUS でどのように処理するかを決定します。 |
| 3.この RADIUS アトリビュートは、2 つのドラフト IETF 文書、RFC 2868「RADIUS Attributes for Tunnel Protocol Support」と RFC 2867「RADIUS Accounting Modifications for Tunnel Protocol Support」に基づきます。 |
その他の参考資料
次の項で、RADIUS IETF アトリビュートに関する参考資料を紹介します。
関連資料
|
|
|
|---|---|
「 Configuring RADIUS 」モジュール |
|
「 Configuring Authentication 」モジュール |
|
「 Configuring Authorization 」モジュール |
|
「 Configuring Accounting 」モジュール |
|
「 RADIUS Vendor-Proprietary Attributes 」モジュール |
規格
|
|
|
|---|---|
MIB
|
|
|
|---|---|
選択したプラットフォーム、Cisco IOS リリース、および機能セットの MIB を検索してダウンロードする場合は、次の URL にある Cisco MIB Locator を使用します。 |
RFC
|
|
|
|---|---|
「 RADIUS Accounting Modifications for Tunnel Protocol Support 」 |
|
シスコのテクニカル サポート
RADIUS アトリビュートの概要と RADIUS IETF アトリビュートの機能情報
表 3 に、この機能のリリース履歴を示します。
ご使用の Cisco IOS ソフトウェア リリースによっては、コマンドの中に一部使用できないものがあります。特定のコマンドに関するリリース情報については、コマンド リファレンス マニュアルを参照してください。
Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェア イメージのサポート情報を検索できます。Cisco Feature Navigator を使用すると、特定のソフトウェア リリース、機能セット、またはプラットフォームをサポートする Cisco IOS ソフトウェア イメージおよび Catalyst OS ソフトウェア イメージを確認できます。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。
（注） 表 3 には、一連の Cisco IOS ソフトウェア リリースのうち、特定の機能が初めて導入された Cisco IOS ソフトウェア リリースだけが記載されています。特に明記していないかぎり、その機能は、一連の Cisco IOS ソフトウェア リリースの以降のリリースでもサポートされます。
|
|
|
|
|---|---|---|
Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)
このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワーク トポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。
© 2001-2009 Cisco Systems, Inc.
All rights reserved.
フィードバック