Intelligent Services Gateway コンフィギュレー ション ガイド、Cisco IOS Release 15.1S

初期認可と動的認可

ISG は、加入者別およびサービス別の情報が格納された ポリシー サーバ と呼ばれる外部デバイスと連携動作します。ISG は、ISG と外部ポリシー サーバとの間で対話の 2 つのモデル（初期認可と動的認可）をサポートしています。

初期認可モデルでは、ISG は、セッションの特定の時点で、外部ポリシー サーバからポリシーを取得する必要があります。このモデルでは、一般的に、外部ポリシー サーバは RADIUS を使用した Authentication, Authorization, and Accounting（AAA; 認証、認可、アカウンティング）サーバです。ISG は、RADIUS クライアントになります。AAA サーバの代わりに、一部のシステムは、Lightweight Directory Access Protocol（LDAP）など、他のデータベース プロトコルに変換される RADIUS プロキシ コンポーネントを使用します。

動的認可モデルでは、外部ポリシー サーバは、ISG に対して動的にポリシーを送信できます。これらの処理は、（サービスの選択を通じて）加入者がインバンド方式で開始することも、管理者の操作を通じて開始することもできます。または、アプリケーションは、何らかのアルゴリズムに基づいてポリシーを変更できます（たとえば、1 日の特定の時間に、セッションの Quality of Service（QoS）を変更します）。このモデルは、Change of Authorization（CoA）RADIUS 拡張によって容易になります。CoA は、RADIUS にピアツーピア機能を導入し、ISG と外部ポリシー サーバがそれぞれ RADIUS クライアントおよびサーバとして動作できます。

ISG のトリプルキー認証

トリプルキー認証は、ISG が Cisco Service Management Engine（SME）ポータルにユーザをリダイレクトした後に、ユーザ名、パスワード、およびロケーションに基づいて、ユーザを認証する方法です。SME サーバは、認証を受ける加入者の発信元 IP アドレスに基づいて、ロケーション情報を提供します。トリプルキー認証サポート機能が導入される前には、ユーザは、ユーザ名とパスワードだけに基づいて認証されていました（2 キー認証）。また、トリプルキー認証機能によって、Service Selection Gateway（SSG）から ISG プラットフォームへの移行も容易になります。これは、SSG がトリプルキー認証を使用しているためです。

SSG に対して、Cisco Subscriber Edge Services Manager（SESM）サーバは、加入者のロケーションを含む文字列とともに SSG に送信するユーザ ログイン要求に、RADIUS アトリビュート 31（calling-station ID）を追加します。次に、SSG は、RADIUS サーバに送信するアクセス要求メッセージにこの値を含めます。RADIUS サーバでは、ユーザ名、パスワード、およびロケーションの文字列に基づいて、ログインが認証されます。

ISG トリプルキー認証では、SME が CoA アカウント ログイン要求のアトリビュート 31 で ISG に送信するロケーション文字列は、ISG が加入者を認証するために RADIUS サーバに送信するアクセス要求パケットで繰り返し使用されます。ISG は、RADIUS サーバへのアクセス要求メッセージに含まれる Cisco Vendor-Specific Attribute（VSA; ベンダー固有アトリビュート）でロケーション文字列を送信します。

アトリビュート 31 と Cisco VSA SME の両方で、SME からのアカウント ログイン要求にロケーション情報が含まれる場合は、Cisco VSA ロケーション文字列の値が優先されます。ロケーション情報は、アトリビュート 31 または Cisco VSA 250 のいずれかとして SME から受信されます。ロケーション情報は、セッション認証要求、ISG からのセッション アカウンティング要求、およびプリペイド認可要求に含まれます。

表 18 に、トリプルキー認証に使用される Cisco Vendor-Specific non-AVPair アトリビュートを示します。

AAA クライアントとしての ISG の設定

AAA メソッド リストを設定し、ISG が AAA サーバからポリシーを取得できるようにするには、次のタスクを実行します。このタスクは、初期認可モデルと動的認可モデルの両方で実行する必要があります。

前提条件

AAA メソッドで参照されるサーバとサーバ グループを設定する必要があります。

手順の概要

1. enable

2. configure terminal

3. aaa authentication login { default | list-name } method1 [ method2 ...]

4. aaa authentication ppp { default | list-name } method1 [ method2 ...]

5. aaa authorization { network | exec | commands level | reverse-access | configuration } { default | list-name } [ method1 [ method2 ...]]

6. aaa authorization subscriber-service { default { cache | group | local } | list-name } method1 [ method2 ...]

7. aaa service-profile key username-with-nasport

8. aaa accounting { auth-proxy | system | network | exec | connection | commands level } { default | list-name } [ vrf vrf-name ] { start-stop | stop-only | none } [ broadcast ] group group-name

9. end

手順の詳細

AAA サーバとしての ISG の設定

動的認可によって、ポリシー サーバは ISG に対してポリシーを動的に送信できます。AAA サーバとして ISG を設定し、動的認可をイネーブルにするには、次のタスクを実行します。

手順の概要

1. enable

2. configure terminal

3. aaa server radius dynamic-author

4. client { name | ip-address } [ key [ 0 | 7 ] word ] [ vrf vrf-id ]

5. port port-number

6. server-key [ 0 | 7 ] word

7. auth-type { all | any | session-key }

8. ignore { server-key | session-key }

9. end

手順の詳細

トリプルキー認証用のロケーション VSA のイネーブル化

ISG が認証要求とアカウンティング要求にロケーション VSA を含められるようにするには、次の手順を実行します。

手順の概要

1. enable

2. configure terminal

3. aaa new-model

4. radius-server vsa send accounting

5. radius-server vsa send authentication

6. end

手順の詳細

例

次に、アカウンティングと認証のために VSA を使用するように、ISG を設定する方法の例を示します。

例：ISG と外部ポリシー サーバとの相互動作

次の例では、外部ポリシー サーバと相互動作するよう ISG を設定します。

message-authenticator ignore

例： トリプルキー認証

次に、ロケーション アトリビュートなどのセッション情報を含む認証レコードの例を示します。この出力は、 debug radius accounting コマンドまたは gw-accounting syslog コマンドを使用して表示できます。

関連資料

規格

MIB

RFC

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワーク トポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2006-2010 Cisco Systems, Inc.
All rights reserved.

Copyright © 2006-2011, シスコシステムズ合同会社.
All rights reserved.