セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護

トンネル ターミネータでの RADIUS 経由でのトンネル認証

---

トンネル ターミネータでの RADIUS 経由のトンネル認証機能で、トンネル ターミネータのローカル設定ではなくリモート RADIUS サーバ経由でトンネル認証および認可を行うことができます。したがって、ユーザが L2TP access concentrator（LAC; L2TP アクセス コンセントレータ）や Layer 2 Tunneling Protocol（L2TP; レイヤ 2 トンネリング プロトコル）network server（LNS; L2TP ネットワーク サーバ）データを、LNS または LAC を着信ダイヤルインまたはダイヤルアウト L2TP トンネル終端で設定する際に、Virtual Private Dialup Network（VPDN; バーチャル プライベート ダイヤルアップ ネットワーク）で設定する必要がなくなりました。この設定情報は、リモート RADIUS サーバに追加することができ、トンネル終端での L2TP トンネル認証と認可の、より管理可能でスケーラブルなソリューションを提供します。

機能情報の確認

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。この章に記載されている機能の詳細、および各機能がサポートされているリリースのリストについては、「トンネル ターミネータでの RADIUS 経由でのトンネル認証の機能情報」 を参照してください。

プラットフォーム サポートと Cisco IOS および Catalyst OS ソフトウェア イメージ サポートに関する情報を入手するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。

この章の構成

• 「トンネル ターミネータでの RADIUS 経由でのトンネル認証の前提条件」

• 「トンネル ターミネータでの RADIUS 経由でのトンネル認証の制約事項」

• 「トンネル ターミネータでの RADIUS 経由でのトンネル認証に関する情報」

• 「トンネル ターミネータでの RADIUS 経由でのトンネル認証の設定方法」

• 「トンネル ターミネータでの RADIUS 経由でのトンネル認証の設定例」

• 「その他の参考資料」

• 「トンネル ターミネータでの RADIUS 経由でのトンネル認証の機能情報」

• 「用語集」

トンネル ターミネータでの RADIUS 経由でのトンネル認証の前提条件

この機能を設定する前に、RADIUS サーバ グループを定義する必要があります。このタスクの実行に関する情報については、『 Cisco IOS Security Configuration Guide: Securing User Services 』 の 「Configuring RADIUS」を参照してください 。

（注） トンネル イニシエータの RADIUS ユーザのプロファイルのサービスタイプは、「Outbound」に設定する必要があります。

トンネル ターミネータでの RADIUS 経由でのトンネル認証の制約事項

トンネル ターミネータの RADIUS を経由したトンネル認証機能は、L2TP でのみ、つまり、Layer 2 Forwarding（L2F; レイヤ 2 転送）や Point-to-Point Tunneling Protocol（PPTP; ポイントツーポイント トンネリング プロトコル）などのプロトコルでのみ適用できます。

トンネル ターミネータでの RADIUS 経由でのトンネル認証に関する情報

トンネル ターミネータでの RADIUS 経由のトンネル認証機能により、LNS で、着信 LAC ダイヤルイン接続要求での RADIUS を使用したリモート認証および認可を実行できます。また、この機能により、L2TP LAC で、着信 L2TP LNS ダイヤルアウト接続要求での RADIUS を使用したリモート認証および認可を実行できます。

この機能を導入する前は、LNS はローカルでの L2TP トンネル認証および認可のみを実行できます。これらのプロセスでは、多数の LNS 全体を管理するのが難しい場合があります。特に、VPDN グループ数が多い場合などです。これは、LAC 情報を LNS の VDDN グループ設定で設定する必要があるためです。リモート RADIUS 認証および認可で、RADIUS サーバで LAC 設定を保存できます。これにより、この設定情報をローカルで保存しておく必要がなくなります。したがって、新しい LAC 情報を必要に応じて RADIUS サーバに追加でき、LNS グループを、RADIUS の共通ユーザ データベースを使用して認証および認可できます。

および対応する手順で、この機能の動作について説明します。

図 1 L2TP ダイヤルイン コール トポロジでの LNS リモート RADIUS トンネル認証および認可

• LNS が start-control-connection request（SCCRQ）を受信すると、トンネル認証が開始され、LAC ホスト名とダミー パスワードの「cisco」を添えて RADIUS に要求を送信します（LNS で認証をローカルで行う必要があると判断された場合は、VPDN グループ設定が検索されます）。

（注） ダミー パスワードを変更するには、vpdn tunnel authorization password コマンドを使用します。

• LNS から送信されたパスワードと、RADIUS サーバに設定されているパスワードが一致した場合、サーバは LAC 情報が配置された後、アトリビュート 90（Tunnel-Client-Auth-ID）およびアトリビュート 69（Tunnel-Password）を返します。一致しない場合、RADIUS サーバはアクセス拒否を返し、LNS はトンネルをドロップします。

• LNS は次のアトリビュート情報が RADIUS の応答にあるかチェックします。

– アトリビュート 90（Tunnel-Client-Auth-ID）。LAC ホスト名として使用されます。このアトリビュートが LAC ホスト名と一致しない場合、トンネルはドロップします。

– アトリビュート 69（Tunnel-Password）。L2TP の見出し様認証共有秘密。このアトリビュートは、SCCRQ で受け取った LAC チャレンジの Attribute-Value Pair（AVP; アトリビュートと値のペア）と比較されます。このアトリビュートが AVP と一致しない場合、トンネルはドロップします。

• 両方のアトリビュートが一致した場合、L2TP トンネルが確立されます。その後、PPP ネゴシエーションとリモート クライアントでの認証を使用して操作を進めることができます。

（注） PPP リモート認証は、お客様が異なる可能性がある RADIUS サーバへ、個々の access-request/access-accept シーケンスにより行われます。トンネル認証は、異なるトンネル RADIUS サーバで行われる可能性があります。

トンネル ターミネータでの RADIUS 経由でのトンネル認証の設定方法

トンネル ターミネータ機能で RADIUS 経由でトンネル認証を設定するタスクについては、次のセクションを参照してください。一覧内の各作業は、必須と任意に分けています。

• 「リモート RADIUS トンネル認証および認可での LNS または LAC の設定」（必須）

• 「リモート RADIUS トンネル認証 および認可設定の確認」（任意）

トンネル ターミネータでの RADIUS 経由でのトンネル認証の設定例

ここでは、次の設定例について説明します。

• 「L2TP Network Server（LNS; L2TP ネットワーク サーバ）設定の例」

• 「リモート RADIUS トンネル認証の RADIUS ユーザ プロファイルの例」

その他の参考資料

次のセクションで、トンネル ターミネータ機能での RADIUS 経由のトンネル認証に関連する参考資料を説明しています。

トンネル ターミネータでの RADIUS 経由でのトンネル認証の機能情報

表 1 に、この機能のリリース履歴を示します。

ご使用の Cisco IOS ソフトウェア リリースによっては、コマンドの中に一部使用できないものがあります。特定のコマンドに関するリリース情報については、コマンド リファレンス マニュアルを参照してください。

Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェア イメージのサポート情報を検索できます。Cisco Feature Navigator を使用すると、特定のソフトウェア リリース、機能セット、またはプラットフォームをサポートする Cisco IOS ソフトウェア イメージおよび Catalyst OS ソフトウェア イメージを確認できます。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。

（注） 表 1 には、一連の Cisco IOS ソフトウェア リリースのうち、特定の機能が初めて導入された Cisco IOS ソフトウェア リリースだけが記載されています。特に明記していないかぎり、その機能は、一連の Cisco IOS ソフトウェア リリースの以降のリリースでもサポートされます。

用語集

L2TP ：Layer 2 Tunnel Protocol（レイヤ 2 トンネル プロトコル）。レイヤ 2 トンネル プロトコルを使用すると、ISP などのアクセス サービスが仮想トンネルを作成し、顧客のリモート サイトやリモート ユーザを企業のホーム ネットワークにリンクさせることができます。具体的には、ISP Point of Presence（POP; アクセス ポイント）にある Network Access Server（NAS; ネットワーク アクセス サーバ）がリモート ユーザと PPP メッセージを交換し、L2F または L2TP の要求や応答を使用して顧客のトンネル サーバと通信し、トンネルのセットアップを行います。

LAC ：L2TP Access Concentrator（L2TP アクセス コンセントレータ）。クライアントが直接接続し、PPP フレームが L2TP Network Server（LNS; L2TP ネットワーク サーバ）にトンネリングされる Network Access Server（NAS; ネットワーク アクセス サーバ）です。LAC は、L2TP が 1 つまたは複数の LNS にトラフィックを渡すために操作するメディアのみを実装します。LAC は PPP 内で伝送されるすべてのプロトコルをトンネルすることができます。また、LAC は着信コールを開始して、発信コールを受け取ります。LAC は L2F ネットワーク アクセス サーバに似ています。

LNS ：L2TP Network Server（L2TP ネットワーク サーバ）。L2TP トンネルの終端ポイントと、PPP フレームが処理され、高レイヤ プロトコルに渡されるアクセス ポイント。LNS は PPP を終端させる任意のプラットフォーム上で動作できます。LNS はサーバ側の L2TP プロトコルを処理します。L2TP は、L2TP のトンネルが到達する 1 つのメディアにのみ依存します。LNS は発信コールを開始して、着信コールを受け取ります。LNS は L2F テクノロジーのホーム ゲートウェイに似ています。