802.1X では、クライアント サーバ ベースのアクセス コントロールと認証プロトコルを定義し、許可されていないクライアントが公にアクセス可能なポートを経由して LAN に接続するのを規制します。認証サーバは、Cisco NX-OS デバイスのポートに接続されるクライアントを個々に認証します。

802.1X アクセス コントロールでは、クライアントが認証されるまで、そのクライアントが接続しているポート経由では Extensible Authentication Protocol over LAN（EAPOL）トラフィックしか許可されません。認証に成功すると、通常のトラフィックはポートを通過できるようになります。

802.1X ポートベースの認証には、次の設定に関する注意事項と制約事項があります。

• （中断あり/中断なしの）インサービス ソフトウェア アップグレード（ISSU）を使用して Cisco Nexus シリーズ スイッチを Cisco NX-OS リリース 9.2(1) にアップグレードする場合は、まず no feature dot1x コマンドを使用して 802.1x を無効にします。機能を有効にするには、feature dot1x コマンドを使用してマルチ認証を機能させます。

• Cisco NX-OS リリース 9.2(1) 以降では、802.1X ポートでマルチ認証モードが有効になります。ダイナミック VLAN の割り当ては、最初の認証済みホストに対し行われます。ユーザ クレデンシャルに基づいてその後に許可されたデータ ホストは、正しく認証されたと見なされます。ただし、まだ VLAN が割り当てられていないか、ポートで最初に正しく認証されたホストと一致する VLAN 割り当てがなされていることを条件とします。これにより、ポートで正常に認証されたすべてのホストは、確実に同じ VLAN メンバになります。ダイナミック VLAN 割り当ての柔軟性は、最初に認証されたホストだけに当てはまります。

• Cisco NX-OS リリース 9.2(3) 以降、802.1X ポートベース認証は FEX-ST およびホスト インターフェイス（HIF）ポートでサポートされます。IEEE 802.1X ポートベース認証のサポートは、ストレートおよびデュアルホーム FEX の両方に適用されます。

• Cisco Nexus 9000 シリーズ スイッチは、以下のものについては、802.1X をサポートしていません。

  • トランジット トポロジの設定

  • vPC ポート

  • PVLAN ポート

  • L3（ルーテッド）ポート

  • ポート セキュリティ

  • CTS および MACsec PSK が有効になっているポート。

  • LACP ポートチャネルを使用した 802.1X。

    （注）	802.1X は、スタティック ポートチャネルをサポートします。

  （注）	vPC ポートおよびサポートされていないすべての機能では、802.1X は無効になります。

• Cisco NX-OS ソフトウェアが 802.1X 認証をサポートするのは、物理ポート上だけです。

• ダイナミック VLAN 割り当ては、Cisco Nexus 9300-FX/EX/FX2 プラットフォーム スイッチでのみサポートされます。

• Cisco NX-OSソフトウェアは、CTS または MACsec PSK 機能については動作しません。グローバルな「mac-learn disable」と 802.1X 機能は相互に排他的であり、同時に設定することはできません。

• スイッチのリロード中、802.1X は RADIUS アカウンティングの停止を生じさせません。

• Cisco NX-OS ソフトウェアは、次の 802.1X プロトコル拡張機能をサポートしません。

  • 論理 VLAN 名から ID への 1 対多のマッピング

  • Web 許可

  • ダイナミック ドメイン ブリッジ割り当て

  • IP テレフォニー

  • ゲスト VLAN

• 非アクティブなセッションの再認証を防ぐには、authentication timer inactivity コマンドを使用して、非アクティブタイマーを、authentication timer reauthenticateコマンドで設定された再認証間隔よりも短い間隔に設定します。

• インターフェイスで 802.1X が有効になっている異なる VLAN で、同じ MAC が学習されると、セキュリティ違反が発生します。

• DME 対応プラットフォームで 802.1X を有効にした状態で MAC の学習を無効に設定しても、エラー メッセージは表示されません。

• Cisco Nexusリリース9.2(1) では、VLAN がインターフェイスで設定されていなくても、タグ付き EAPOL フレームは処理され、クライアントのインターフェイスで認証は成功します。

• 孤立ポートで学習されたセキュア MAC は、vPCピアで同期されません。

• Cisco NX-OS リリース 9.2(1) 以降、MAC 認証バイパスは Cisco Nexus 9300-EX/FX/FX2 TOR スイッチでサポートされます。

• Cisco NX-OS リリース 10.4(1)F 以降、Cisco Nexus 9336C-FX2、93180YC-FX3、93108TC-FX3P スイッチ、および X9716D-GX ライン カードを搭載した Cisco Nexus 9500 スイッチは、MACSec を必要とするアップリンクポートで（証明書を伝送するために）EAP/EAP-TLS を使用する 802.1X ポートベース認証をサポートします。次の制限があります。

  • EAP-TLS でサポートされる TLS バージョンは 1.2 です。

  • スイッチごとに単一の EAP プロファイルをサポートし、複数のインターフェイスで同じ EAP プロファイルを使用できます。

  • サプリカントの MAC 移動プロファイルはサポートされません。

  • オーセンティケータ プロファイルは、L3 ポート、トランクポート、vPC で、MACsec EAP-TLS に対してのみ有効になります。

    （注）	MAB/EAP クライアントの 802.1X オーセンティケータ機能は、L3 またはトランクおよび vPC ポートではサポートされません。

  • EAP-TLS は、MACsec が構成されたインターフェイスの EAP でのみサポートされます。

  • EAP-TLS は、マルチホスト モードでのみサポートされます。

  • 802.1X MACsec 対応インターフェイスでの DACL/クリティカル AUTH/FEX-AA およびその他の 802.1X 機能はサポートされていません。

  • EAP-TLS はリモート認証（ISE/RADIUS：ISE 3.0 以降）でのみサポートされ、ローカル認証ではサポートされません。

  • EAP-TLS 構成が正しく機能するには、次の順序に従う必要があります。

    • 最初に macsec eap policy コマンドを設定してから、dot1x supplicant eap profile TLS コマンドを設定する必要があります。

    • EAP profile コマンドの no 形式の場合は、まず dot1x supplicant eap profile TLS コマンドを削除してから macsec eap policy コマンドを削除する必要があります。

    • no feature コマンドについては、DME DB の不整合を回避するために、最初に 802.1X 機能を削除してから MACsec 機能を削除することを推奨します。

  • スイッチ全体に構成されている単一の EAP プロファイルは、異なるインターフェイスに適用できます。

  • macsec eap policy がインターフェイスで構成されている場合、通常の 802.1X 認証者機能またはコマンドはサポートされません。

  • ピアツーピア MACsec 対応スイッチには、同じ 802.1X または MACsec 設定が必要です。

  • コマンドが異なる場合（一方が should-secure、もう一方が must-secure など）、動作は未定義になり、回復には shut/no-shut のトリガーが必要になります。

  • トラストポイントを使用して MACsec セキュアセッションが作成され、EAP プロファイルがインターフェイスに追加されると、次のようになります。

    • トラストポイント構成を削除しても、MACsec セッションは削除されません。

    • 802.1X サプリカント コマンドを削除しても、MACsec セッションは削除されません。

    • MACsec セッションは、MACsec インターフェイス固有のコマンドを削除した場合にのみ削除されます。

  • MACsec PKI は、中間スイッチまたはホップのないスイッチでサポートされるので、直接接続する必要があります。

  • MACsec PKI（802.1X EAP-TLS）モードは、EoR ステートフル スイッチ オーバー（SSO）をサポートしていません。

  • EAP-TLS は、次のインターフェイス タイプでのみサポートされます。

    • L2/L3 ポート、ポートチャネル メンバー ポート、トランク ポート、およびブレークアウト ポート

    • サポートされていないインターフェイスタイプ：コマンドレベルの制限はありません。

  • サポートされる MACsec セッションの数は、物理インターフェイスの規模によって異なります。

次の表に、802.1X パラメータのデフォルト設定を示します。

ここでは、802.1X 機能の設定方法について説明します。

802.1X 情報を表示するには、次のいずれかの作業を行います。

これらのコマンドの出力フィールドの詳細については、ご使用のプラットフォームの『Cisco NX-OS セキュリティ コマンド リファレンス』を参照してください。

次に、アクセス ポートに 802.1X を設定する例を示します。

feature dot1x 
aaa authentication dot1x default group rad2 
interface Ethernet2/1
dot1x pae-authenticator
dot1x port-control auto

次に、トランク ポートに 802.1X を設定する例を示します。

feature dot1x 
aaa authentication dot1x default group rad2 
interface Ethernet2/1
dot1x pae-authenticator
dot1x port-control auto
dot1x host-mode multi-host

Note	802.1X 認証が必要なすべてのインターフェイスに対して、dot1x pae authenticator コマンドおよび dot1x port-control auto コマンドを繰り返してください。