セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護

RADIUS サーバの障害

RADIUS サーバ障害発生時順序変更機能が設定されていない状態でサーバの障害が発生した場合：

1. 新しい RADIUS トランザクションを実行する必要があります。

2. トランザクション用の RADIUS パケットが、グループ内で停止中としてマークされていない（設定されたデッドタイムに従って）最初のサーバに送信され、設定された再送回数だけ再送されます。

3. 再送のすべてがタイムアウトした（設定されたタイムアウトに従って）場合は、ルータがそのパケットをリストで次の非停止中サーバに設定された再送回数だけ送信します。

4. ステップ 3 は、トランザクションごとに指定された最大送信回数に達するまで繰り返されます。最大送信回数に到達する前にリストの最後に到達した場合は、ルータがリストの先頭に戻ってそこから処理を継続します。

このプロセスのどの時点でも、サーバが停止中サーバ検出基準（設定不可、使用されている Cisco IOS ソフトウェアによって異なる）を満たした場合は、設定されたデッドタイムに合わせてサーバが停止中としてマークされます。

RADIUS サーバ障害発生時順序変更機能の動作方法

RADIUS サーバ障害発生時順序変更機能を設定した場合は、次のように、初期サーバとして使用する RADIUS サーバが決定されます。

• Network Access Server（NAS; ネットワーク アクセス サーバ）が、トランスミッションが送信される最初のサーバである「フラグ設定された」サーバのステータスを保持します。

• フラグ設定されたサーバにトランスミッションが送信された後は、設定された再送回数だけ、フラグ設置されたサーバにトラフィックが再送されます。

• その後は、NAS が、フラグ設定されたサーバの次にリストされたサーバから始めて、設定されたトランザクションの最大再試行回数に到達するか、応答が返されるまで、サーバ グループ内の非停止中サーバのリストの順にトランスミッションを送信します。

• 起動時は、 radius-server host コマンドを使用して設定されたように、フラグ設定されたサーバがサーバ グループ リストで最初のサーバになります。

• フラグ設定されたサーバが停止中としてマークされている場合は（デッドタイムが 0 の場合でも）、フラグ設定されたサーバの次にリストされた最初の非停止中サーバがフラグ設定されたサーバになります。

• フラグ設定されたサーバが、リスト内の最後のサーバで、停止中としてマークされている場合は、フラグ設定されたサーバがリスト内で停止中としてマークされていない最初のサーバになります。

• すべてのサーバが停止中としてマークされている場合は、トランザクションが失敗して、フラグ設定されたサーバへの変更が実施されません。

• フラグ設定されたサーバが停止中としてマークされており、デッド タイマーが切れた場合は、何も行われません。

（注） トランスミッションのタイプ（Challenge Handshake Authentication Protocol（CHAP; チャレンジ ハンドシェーク認証プロトコル）、Microsoft CHAP（MS-CHAP）、Extensible Authentication Protocol（EAP; 拡張可能認証プロトコル））によっては、1 つのサーバを何度も往復しなければならない場合があります。このような特殊なトランザクションの場合は、サーバへの往復シーケンス全体が 1 回のトランスミッションのように処理されます。

RADIUS サーバが停止中の場合

次の 1 と 2 の基準が満たされた場合に、サーバを停止中としてマークすることができます。

1. radius-server transaction max-tries コマンドで指定された再送回数を超えてサーバが応答しなかった場合。

2. 設定されたタイムアウトまでどの要求にもサーバが応答しなかった場合。両方の基準（これと上の基準）が満たされた場合にのみ、サーバが停止中としてマークされます。デッドタイムが 0 の場合でも、サーバを停止中としてマークすると、RADIUS サーバの再試行方式順序変更システムに重大な影響を及ぼします。

RADIUS サーバ障害発生時順序変更の設定

このタスクを実行して、サーバ グループ内のあるサーバを、最初のサーバで障害が発生した場合に別のサーバにトラフィックを転送するように設定します。

手順の概要

1. enable

2. configure terminal

3. aaa new-model

4. radius-server retry method reorder

5. radius-server retransmit { retries }

6. radius-server transaction max-tries { number }

7. radius-server host { hostname | ip-address } [ key string ]

8. radius-server host { hostname | ip-address } [ key string ]

手順の詳細

RADIUS サーバ障害発生時順序変更のモニタリング

ルータ上でサーバ障害発生時順序変更プロセスをモニタするには、次のコマンドを使用します。

手順の概要

1. enable

2. debug aaa sg-server selection

3. debug radius

手順の詳細

例

次の 2 つのデバッグ出力は、RADIUS サーバ障害発生時順序変更機能の動作を示しています。

デバッグ 1

次のサンプル出力では、RADIUS サーバ障害発生時順序変更機能が設定されています。サーバの再送は 0（したがって、次に設定されたサーバへのフェールオーバー前に、各サーバが一度だけ試行される）に設定され、トランザクション当たりのトランスミッション数は 4（3 回めのフェールオーバーでトランスミッション終了）に設定されています。サーバ グループ内で 3 番めのサーバ（10.107.164.118）が、3 回めのトランスミッション（2 回めのフェールオーバー）のトランザクションを受け入れています。

デバッグ 2

次のサンプル出力では、RADIUS サーバ障害発生時順序変更機能が設定されています。サーバの再送は 0 に設定され、トランザクション当たりのトランスミッション数は 8 に設定されています。このトランザクションでは、サーバ 10.10.10.0 へのトランスミッションが 8 回めで失敗します。

RADIUS サーバ障害発生時順序変更の設定例

次の設定例は、RADIUS サーバが障害発生時に順序変更されるように設定されます。RADIUS サーバ上で試行可能なトランザクション当たりのトランスミッション数の最大値は 6 です。

aaa new-model

radius-server retry method reorder

radius-server retransmit 0

radius-server transaction max-tries 6

radius-server host 10.2.3.4 key rad123

radius-server host 10.5.6.7 key rad123

RADIUS サーバが停止中の送信順序の決定

起動時に次のように設定し、

両方のサーバがダウンしているが、まだ、停止中としてマークされていない場合は、最初のトランザクションで、次のようなトランスミッションが見られます。

順序変更を次のように設定し、

両方の RADIUS サーバが RADIUS パケットに応答していないが、まだ、停止中としてマークされていない（NAS の起動後のため）場合は、最初のトランザクションのトランスミッションが次のようになります。

以降のトランザクションは、別のパターンに従って転送されます。トランスミッションは、どちらか（または両方）のサーバを停止中としてマークする基準が満たされているかどうかと、前述したサーバのフラグ設定パターンによって異なります。

順序変更を次のように設定し、

RADIUS サーバ 10.1.1.1 が RADIUS パケットに応答していないが、まだ、停止中としてマークされておらず、残りの 2 つの RADIUS サーバが動作中の場合は、次のように表示されます。

最初のトランザクションの場合：

サーバが停止中としてマークされる前に任意のトランスミッションに対して開始された追加のトランザクションの場合：

その後開始されたトランザクションの場合：

その後で、サーバの 10.2.2.2 と 10.3.3.3 もダウンした場合は、サーバの 10.2.2.2 と 10.3.3.3 が停止中としてマークされる基準を満たすまで、次のようなトランスミッションが見られます。

この後に、トランスミッションが失敗し、方式リスト内で次の方式が使用されます（存在する場合）。

サーバの 10.2.2.2 と 10.3.3.3 がダウンしたが、同時に、サーバ 10.1.1.1 が復旧した場合は、次のようになります。

その後で、サーバの 10.2.2.2 と 10.3.3.3 が停止中としてマークされると、次のようになります。

関連資料

規格

MIB

RFC

テクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワーク トポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2003, 2006-2009 Cisco Systems, Inc.
All rights reserved.

Copyright © 2003-2011, シスコシステムズ合同会社.
All rights reserved.