Cisco IOS XE SD-WAN デバイス でサポートされる公開鍵

• SSH-RSA

1. Cisco vManage メニューから、[Configuration] > [Templates] を選択します。

2. [Device Templates] をクリックし、[Create Template] をクリックします。

   （注）	Cisco vManage リリース 20.7.x 以前のリリースでは、[Device Templates] のタイトルは [Device] です。

3. [Create Template] ドロップダウンリストから、[From Feature Template] を選択します。

4. [Device Model] ドロップダウンリストから、テンプレートを作成するデバイスのタイプを選択します。

5. [Basic Information] を選択します。

6. AAA のカスタムテンプレートを作成するには、[Factory_Default_AAA_CISCO_Template] を選択し、[Create Template] をクリックします。AAA テンプレートフォームが表示されます。フォームの上部にはテンプレートに名前を付けるためのフィールドがあり、下部には AAA パラメータを定義するためのフィールドがあります。

7. [テンプレート名（Template Name）] フィールドに、テンプレートの名前を入力します。名前の最大長は 128 文字で、英数字のみを使用できます。

8. [Template Description] フィールドに、テンプレートの説明を入力します。説明の最大長は 2048 文字で、英数字のみを使用できます。

初めて機能テンプレートを開くと、デフォルト値を持つパラメータごとに、その範囲が [Default] に設定され（チェックマークで示される）、デフォルト設定またはデフォルト値が表示されます。デフォルト値を変更するか、値を入力するには、パラメータフィールドの左側にある [Scope] ドロップダウンリストをクリックし、次のいずれかを選択します。

ユーザーおよびユーザーグループのデバイスへのローカルアクセスを設定できます。ローカルアクセスは、RADIUS または TACACS+ 認証が失敗した場合にデバイスへのアクセスを提供します。

個々のユーザーのローカルアクセスを構成するには、[Local] を選択します。

新しいユーザーを追加するには、[Local] から [+ New User] をクリックし、次のパラメータを設定します。

[Add] をクリックして、新しいユーザーを追加します。[+ New User] をもう一度クリックして、さらにユーザーを追加します。

ユーザーグループのローカルアクセスを設定するには、最初にユーザーを基本グループまたはオペレータグループのいずれかに配置します。admin は自動的に netadmin グループに配置されます。次に、ユーザーグループを設定します。この設定を行うには、[Local] から [User Group] を選択します。

[+ New User Group] をクリックし、次のパラメータを設定します。

[Add] をクリックして、新しいユーザーグループを追加します。

別のユーザーグループを追加するには、[+ New User Group] を再度クリックします。

ユーザーグループを削除するには、エントリの右側にあるごみ箱アイコンをクリックします。basic、netadmin、operator の 3 つの標準ユーザーグループは削除できません。

展開で RADIUS を使用している場合は、RADIUS 認証を設定します。

RADIUS サーバーへの接続を設定するには、[RADIUS] から [+ New Radius Server] をクリックし、次のパラメータを設定します。

[Add] をクリックして、新しい RADIUS サーバーを追加します。

別の RADIUS サーバーを追加するには、[+ New RADIUS Server] を再度クリックします。

サーバーを削除するには、ごみ箱アイコンをクリックします。

CLI の同等の設定：

Device(config)# radius server 10.99.144.201
Device1(config-radius-server)# retransmit 5
Device(config-radius-server)# timeout 10

展開で TACACS+ を使用している場合は、TACACS+ 認証を設定します。

TACACS+ サーバーへの接続を設定するには、[TACACS] から [+ New TACACS Server] をクリックし、次のパラメータを設定します。

[Add] をクリックして、新しい TACACS サーバーを追加します。

別の TACACS サーバーを追加するには、[+ New TACACS Server] を再度クリックします。

サーバーを削除するには、ごみ箱アイコンをクリックします。

802.1X の設定については、IEEE 802.1X 認証の設定を参照してください。

デバイスの認証順序と認証フォールバックを設定できます。認証順序では、システムがユーザーの認証を試みる順序を指定し、現在の認証方法が使用できない場合に認証を続行する方法を提供します。フォールバックでは、ユーザーを認証できない場合、または RADUS や TACACS+ サーバーに到達できない場合に、認証のメカニズムを提供します。

Cisco IOS XE SD-WAN デバイス で AAA 認証順序および認証フォールバックを設定するには、[Authentication] タブを選択し、次のパラメータを設定します。

インターフェイスで IEEE 802.1X 認証を設定するには、最初に [Cisco AAA] 機能テンプレートを作成します。

1. Cisco vManage で、[Configuration] > [Templates] を選択します

2. [Feature Templates] をクリックしてから、[Add Template] をクリックします。

   （注）	Cisco vManage リリース 20.7.x 以前では、[Feature Templates] のタイトルは [Feature] です。

3. 左側のパネルのリストからデバイスを選択します。

4. [Cisco AAA] テンプレートを選択します。

5. [Template Name] と [Description] に入力します。

6. [RADIUS] タブを選択し、[RADIUS SERVER] で [New RADIUS Server] をクリックします。

7. 次のパラメータを設定します。

   パラメータ名	説明
   [Mark as Optional Row]	設定をデバイス固有としてマークするには、[Mark as Optional Row] チェックボックスをオンにします。
   アドレス	RADIUS サーバーの IP アドレスを入力します。
   Authentication Port	[Authentication] をクリックし、[Add New Authentication Entry] をクリックして、IEEE 802.1X セッション中に RADIUS サーバーに送信する RADIUS 認証の属性と値（AV）のペアを構成します。 エントリを保存するには、[Add] をクリックします。
   Accounting Port	[Accounting] をクリックし、[Add New Accounting Entry] をクリックして、IEEE 802.1X セッション中に RADIUS サーバーに送信する RADIUS アカウンティングの属性と値（AV）のペアを構成します。 エントリを保存するには、[Add] をクリックします。
   タイムアウト	RADIUS サーバーからの応答を待機する時間を設定します
   Retransmit Count	この RADIUS サーバーに接続する回数を設定します。
   キー	RADIUS サーバーの共有キーを入力します。

8. [Add] をクリックします。

9. [RADIUS GROUP] を選択し、[New RADIUS Group] をクリックして、次のパラメータを設定します。

   パラメータ名	説明
   VPN-ID	RADIUS または他の認証サーバーに到達できる VPN を入力します。
   Source Interface	RADIUS サーバーに到達するために使用されるインターフェイスを入力します。
   RADIUS サーバ	RADIUS サーバーを設定します。

10. [Add] をクリックします。

11. [802.1X] タブを選択し、次のパラメータを入力します。

    パラメータ名	説明
    Authentication Param	認証パラメータを有効にするには、[On] をクリックします。
    Accounting Param	アカウンティングパラメータを有効にするには、[On] をクリックします。

12. この機能テンプレートを保存するには、[Save] をクリックします。

13. デバイスでこの機能を有効にするには、これらの機能テンプレートをデバイステンプレートに追加してください。

    （注）	Cisco vManage リリース 20.5 より前に作成されたテンプレートはデバイスに接続すると失敗するため、AAA 機能テンプレートを再作成する必要があります。

次に、スイッチポートデバイスに使用できる [Switch Port] テンプレートを作成します。

1. [Switch Port] テンプレートを作成するには、上記の手順 1 ～ 3 を繰り返します。

2. [Switch Port] テンプレートを選択します。

3. [Template Name] と [Description] に入力します。

4. [Interface] タブを選択し、[New Interface] をクリックします。

5. 次のパラメータを設定します。

   パラメータ名	説明
   インターフェイス名	インターフェイス名を入力します。
   速度	インターフェイス速度を入力します。
   VLAN 名	VLAN 名を入力します。
   VLAN ID	ブリッジングドメインに関連付けられた VLAN 識別子を入力します。
   802.1X	このインターフェイスで IEEE 802.1X 認証を有効にします。[On] を選択します。 これにより、以下にリストされている追加のパラメータセットが提供されます。
   Interface PAE Type	IEEE 802.1x インターフェイス PAE タイプを入力します。
   Control Direction	単方向または双方向の認証モードを入力します。
   Host Mode	IEEE 802.1X インターフェイスが単一のホスト（クライアント）または複数のホスト（クライアント）へのアクセスを許可するかどうかを選択します。 [Multi Auth]：音声 VLAN 上の 1 つのホストとデータ VLAN 上の複数のホストへのアクセスを許可します。 [Multi Host]：複数のホストへのアクセスを許可します [Single Host]：最初に認証されたホストにのみアクセスを許可します。これがデフォルトです。 [Multi-Domain]：ホストと音声デバイス（同じスイッチポート上の IP 電話など）の両方にアクセスを許可します。 （注）    これらのオプションは、「Global」ホストモード設定でのみ使用できます。
   定期再認証	IEEE 802.1X クライアントを再認証する頻度を入力します。デフォルトでは、最初の LAN アクセス要求の後、再認証は試行されません。 範囲：0 ～ 1440 分

6. [Advanced Options] をクリックし、次のように入力します。

   パラメータ名	説明
   Authentication Order	IEEE 802.1X インターフェイスに接続するデバイスを認証するときに使用する認証方法の順序を入力します。デフォルトの認証順序は RADIUS、次に MAC 認証バイパス（MAB）です。
   MAC 認証バイパス	RADIUS サーバーで MAC 認証バイパス（MAB）を有効にし、RADIUS サーバーを使用して非 IEEE 802.1X 準拠のクライアントを認証する場合に選択します。
   Port Control Mode	インターフェイスで IEEE 802.1X ポートベースの認証を有効にするには、ポート制御モードを入力します。 自動：IEEE 802.1X 認証を有効にし、ポートを未承認状態で起動するには、これを設定します。これにより、ポート経由で送受信できるのは EAPOL フレームのみです。
   音声VLAN ID	音声 VLAN ID を設定します。
   Critical VLAN	IEEE 802.1x 準拠クライアントのクリティカル VLAN（または認証失敗 VLAN）を入力します。RADIUS 認証または RADIUS サーバーが失敗した場合のネットワークアクセスを構成します。
   Critical Voice VLAN	クリティカル音声 VLAN を有効にします。
   ゲスト VLAN	クライアントが MAB リストにない場合、ゲスト VLAN を設定して、IEEE 802.1X 対応でないクライアントをドロップします。
   制限付き VLAN	IEEE 802.1x 準拠クライアントの制限付き VLAN（または認証失敗 VLAN）を入力します。RADIUS 認証に失敗した IEEE 802.1X 準拠クライアントへの限定サービスを設定します。

7. [Add] をクリックします。

8. この機能テンプレートを保存するには、[Save] をクリックします。

9. デバイスでこの機能を有効にするには、これらの機能テンプレートをデバイステンプレートに追加してください。

設定

この機能には、次の 2 セットの設定が必要です。

1. グローバル AAA コマンドを設定します。
   1. IEEE 802.1X をグローバルに有効または無効にします

      Device(config)# aaa authentication dot1x default group radius-0
      Device(config)# aaa authorization network default group radius-0
      Device(config)# dot1x system-auth-control
      Device(config)# radius-server dead-criteria time 10 tries 3
      Device(config)# radius-server deadtime 15

   2. アカウンティングを有効にします

      Device(config)# aaa accounting dot1x default start-stop group radius-0

2. インターフェイスレベルのコマンドを設定します。
   1. ポート単位で IEEE 802.1X を有効または無効にします

      Device(config-if)# dot1x pae authenticator
      Device(config-if)# authentication port-control auto 
      

   2. ポート単位で MAB を有効または無効にします

      Device(config-if)# mab

   3. ホストモードを選択します

      Device(config-if)# authentication host-mode  <multi-auth | multi-domain | multi-host | single-host>

   4. 音声 VLAN を設定します

      Device(config-if)# switchport voice vlan <vlan-id>

   5. IEEE 802.1X 制御方向を選択します

      Device(config-if)# authentication control-direction <both | in>

   6. 定期的な再認証と、対応する再認証間隔および非アクティブタイムアウト時間を有効にします

      Device(config-if)# authentication periodic
      Device(config-if)# authentication timer reauthenticate <internal-in-sec>
      Device(config-if)# authentication timer inactivity <timeout-in-sec>
      

   7. ポート単位で認証順序を設定します

      Device(config-if)# authentication order dot1x mab

   8. 制限 VLAN を指定します

      Device(config-if)#  authentication event fail action authorize vlan <vlan-id>

   9. ゲスト VLAN を指定します

      Device(config-if)# authentication event no-response action authorize vlan <vlan-id>

   10. クリティカル VLAN を指定します

       Device(config-if)# authentication event server dead action authorize vlan <vlan-id>

   11. クリティカル音声 VLAN 機能を有効にします

       Device(config-if)# authentication event server dead action authorize voice

• 基本的な IEEE 802.1x 認証プロセスが機能している必要があります。
• 認可変更（CoA）がサポートされている必要があります。
• リダイレクト ACL、ダウンロード可能な ACL（dACL）、およびクリティカル ACL が利用可能である必要があります。
• デバイス トラッキング ポリシー（アイデンティティ用）がサポートされている必要があります。
• URL リダイレクトがサポートされている必要があります。

1. Cisco vManage の CLI アドオンテンプレートを使用して、AAA、IEEE 802.1x、ポスチャ評価を設定し、ACL とデバイストラッキングをリダイレクトします。

   設定例を以下に示します。

   （注）	aaa new-model はデフォルトで Cisco SD-WAN で有効になっており、ユーザーが設定することはできません。ただし、非 SD-WAN イメージ上に設定される必要があります。

   1. AAA の設定

      aaa new-model
      radius server ISE1
      
      address ipv4 198.51.100.255 auth-port 1812 acct-port 1813
      key cisco
      
      aaa group server radius ISE
       server name ISE1
      !
      aaa authentication dot1x default group ISE
      aaa authorization network default group ISE
      aaa accounting dot1x default start-stop group ISE
      
      interface vlan 15
       ip address 198.51.100.1 198.51.100.254
      
      interface GigabitEthernet0/1/0 
       switchport mode access
       switchport access vlan 15
      
      ip radius source-interface vlan 15
      

   2. IEEE 802.1x 認証および許可の設定

      
      policy-map type control subscriber simple_dot1x
       event session-started match-all
        10 class always do-until-failure
         10 authenticate using dot1x
      !
      interface GigabitEthernet0/1/7
       switchport access vlan 22
       switchport mode access
       access-session closed
       access-session port-control auto
       dot1x pae authenticaton
       service-policy type control subscriber simple_dot1x
      !
      interface Vlan22
       ip address 198.51.100.1 198.51.100.254

      （注）	IEEE 802.1x エンドポイントは GigabitEthernet0/1/7 に接続されています。

   3. ポスチャ評価の設定および ACL のリダイレクト

      ip http server
      ip http secure-server
      
      ip access-list extended ACL-POSTAUTH-REDIRECT
      10 deny tcp any host 192.0.2.255
      20 deny tcp any any eq domain
      30 deny udp any any eq domain
      40 deny udp any any eq bootpc
      50 deny udp any any eq bootps
      60 permit tcp any any eq www
      70 permit tcp any any eq 443
      

   4. デバイストラッキングの設定

      !
      device-tracking policy tracking_test
       security-level glean
       no protocol ndp
       no protocol dhcp6
       tracking enable
      !
      interface GigabitEthernet0/1/7
       device-tracking attach-policy tracking_test
      

   （注）	上記の IP アドレスは ISE に属しています。

   この設定を Cisco vManage の CLI アドオンテンプレートに追加するために実行する必要がある手順は、ここに記載されています。

2. ISE で CoA 再認証と dACL を設定するには、次の手順を実行します。
   1. ダウンロード可能な ACL を作成し、その中に ACE を定義します。

      ACL 名：TEST_IP_PERMIT_ALL

      ACE：permit ip any any

   2. 認証結果を作成し、ダウンロード可能な ACL を dACL として選択します。
   3. [Administration] > [System] > [Settings] > [Policy Settings] に移動し、[Policy Sets] 設定で、認証結果を認証ポリシーとして選択します。
3. CLI アドオンテンプレートを作成したら、それをデバイステンプレートにアタッチしてから、Cisco vManage はデバイステンプレートのすべての設定をデバイスにプッシュします。