ASDM ブック 1：Cisco ASA シリーズ ASDM 7.6 コンフィギュレーション ガイド（一般的な操作）
- Updated:
- 2018年2月8日
Chapter: AAA の RADIUS サーバ
AAA の RADIUS サーバ
- AAA 用の RADIUS サーバについて
- AAA の RADIUS サーバのガイドライン
- AAA 用の RADIUS サーバの設定
- RADIUS サーバの認証および認可のテスト
- AAA 用の RADIUS サーバのモニタリング
- AAA 用の RADIUS サーバの履歴
AAA 用の RADIUS サーバについて
- サポートされている認証方式
- VPN 接続のユーザ認証
- RADIUS 属性のサポートされるセット
- サポートされる RADIUS 認証属性
- サポートされる IETF RADIUS 認証属性
- RADIUS アカウンティング切断の理由コード
サポートされている認証方式
ASA は、RADIUS サーバでの次の認証方式をサポートします。
MS-CHAPv2：L2TP-over-IPsec 接続の場合。また、パスワード管理機能がイネーブルで、通常の IPsec リモート アクセス接続の場合。MS-CHAPv2 は、クライアントレス接続でも使用できます。
認証プロキシ モード：RADIUS から Active Directory、RADIUS から RSA/SDI、Radius からトークン サーバ、RSA/SDI から RADIUS の各接続。
VPN 接続のユーザ認証
ASA は、RADIUS サーバを使用して、ダイナミック ACL またはユーザごとの ACL 名を使用する VPN リモート アクセスおよびファイアウォール カットスルー プロキシ セッションのユーザ許可を実行できます。ダイナミック ACL を実装するには、これをサポートするように RADIUS サーバを設定する必要があります。ユーザを認証する場合、RADIUS サーバによってダウンロード可能 ACL、または ACL 名が ASA に送信されます。所定のサービスへのアクセスが ACL によって許可または拒否されます。認証セッションの有効期限が切れると、ASA は ACL を削除します。
ACL に加えて、ASA は、VPN リモート アクセスおよびファイアウォール カットスルー プロキシ セッションの認証およびアクセス許可の設定を行うための多くの属性をサポートしています。
RADIUS 属性のサポートされるセット
サポートされる RADIUS 認証属性
認可では、権限または属性を使用するプロセスを参照します。認証サーバとして定義されている RADIUS サーバは、権限または属性が設定されている場合はこれらを使用します。これらの属性のベンダー ID は 3076 です。
次の表に、ユーザ認可に使用可能な、サポートされている RADIUS 属性の一覧を示します。
サポートされる IETF RADIUS 認証属性
次の表に、サポートされる IETF RADIUS 属性の一覧を示します。
|
バージョン 8.2.x 以降では、Group-Policy 属性（VSA 3076、#25）を使用することをお勧めします。 |
|||||
|
フル トンネルの IPsec クライアントと SSL VPN クライアントのみに適用される、ASA で定義された ACL 名。 |
|||||
RADIUS アカウンティング切断の理由コード
これらのコードは、パケットを送信するときに ASA が切断された場合に返されます。
AAA の RADIUS サーバのガイドライン
ここでは、AAA 用の RADIUS サーバを設定する前に確認する必要のあるガイドラインおよび制限事項について説明します。
IPv6
その他のガイドライン
AAA 用の RADIUS サーバの設定
| ステップ 1 | ASA の属性を RADIUS サーバにロードします。属性をロードするために使用する方法は、使用している RADIUS サーバのタイプによって異なります。 |
| ステップ 2 | RADIUS サーバ グループの設定. |
| ステップ 3 | グループへの RADIUS サーバの追加. |
| ステップ 4 | （任意） 認証プロンプトの追加。 |
RADIUS サーバ グループの設定
認証、許可、またはアカウンティングに外部 RADIUS サーバを使用する場合は、まず AAA プロトコルあたり少なくとも 1 つの RADIUS サーバ グループを作成して、各グループに 1 つ以上のサーバを追加する必要があります。
グループへの RADIUS サーバの追加
| ステップ 1 | [Configuration] > [Device Management] > [Users/AAA] > [AAA Server Groups] を選択し、[AAA Server Groups] 領域で、サーバを追加するサーバ グループをクリックします。 | ||
| ステップ 2 | [Servers in the Selected Group] 領域（下側のペイン）で、[Add] をクリックします。 | ||
| ステップ 3 | 認証サーバが存在するインターフェイス名を選択します。 | ||
| ステップ 4 | グループに追加するサーバのサーバ名または IP アドレスを追加します。 | ||
| ステップ 5 | タイムアウト値を追加するか、デフォルトのままにします。[Timeout] フィールドには、バックアップ サーバへ要求を送信する前に、ASA がプライマリ サーバからの応答を待機する時間を秒単位で指定します。 | ||
| ステップ 6 | ダウンロード可能な ACL で受信されたネットマスクを ASA でどのように処理するかを指定します。次のオプションから選択します。
| ||
| ステップ 7 | この ASA を介して RADIUS 認可サーバにアクセスするユーザに共通のパスワードを指定します。このパスワードは大文字と小文字が区別されます。この情報は、RADIUS サーバ管理者に伝えてください。
| ||
| ステップ 8 | 二重認証を使用し、トンネル グループでパスワード管理をイネーブルにした場合は、プライマリ認証要求とセカンダリ認証要求に MS-CHAPv2 要求属性が含まれます。RADIUS サーバが MS-CHAPv2 をサポートしていない場合、このチェックボックスをオンにすれば、そのサーバから非 MS-CHAPv2 認証要求が送信されるようにできます。 | ||
| ステップ 9 | ASA からサーバへ接続を試行した後、次に試行するまでの待機時間を、1 ～ 10 秒の間で指定します。
| ||
| ステップ 10 | [Simultaneous] または [Single] をクリックします。
[Single] モードの場合、ASA ではアカウンティング データが 1 つのサーバにだけ送信されます。 [Simultaneous] モードの場合、ASA ではアカウンティング データがグループ内のすべてのサーバに送信されます。 | ||
| ステップ 11 | ユーザのアカウンティングに使用するサーバ ポートを指定します。デフォルトのポートは 1646 です。 | ||
| ステップ 12 | ユーザの認証に使用するサーバ ポートを指定します。デフォルトのポートは 1645 です。 | ||
| ステップ 13 | ASA で RADIUS サーバを認証する際に使用される共有秘密キーを指定します。設定したサーバ秘密キーは、RADIUS サーバで設定されたサーバ秘密キーと一致する必要があります。サーバ秘密キーが不明の場合は、RADIUS サーバの管理者に問い合わせてください。最大フィールド長は、64 文字です。 | ||
| ステップ 14 | [OK] をクリックします。
[Add AAA Server Group] ダイアログボックスが閉じ、AAA サーバが AAA サーバ グループに追加されます。 | ||
| ステップ 15 | [AAA Server Groups] ペインで [Apply] をクリックし、変更内容を実行コンフィギュレーションに保存します。 |
認証プロンプトの追加
RADIUS サーバからのユーザ認証が必要な場合に、ASA 経由の HTTP、FTP、Telnet アクセス用の AAA チャレンジ テキストを指定できます。このテキストは飾りのようなもので、ユーザのログイン時に、ユーザ名プロンプトとパスワード プロンプトの上に表示されます。認証プロンプトを指定しなかった場合は、ユーザが RADIUS サーバで認証中に以下の内容が表示されます。
| ステップ 1 | の順に選択します。 | ||||||||
| ステップ 2 | ログイン時にユーザ名とパスワード プロンプトの上に表示するメッセージとして追加するテキストを、[Prompt] フィールドに入力します。
| ||||||||
| ステップ 3 | [User accepted message] フィールドと [User rejected message] フィールドにメッセージを追加します。
Telnet からのユーザ認証を実行する場合、[User accepted message] オプションおよび [User rejected message] オプションを使用すれば、認証の試みが RADIUS サーバによって承認または拒否されたことを示す、異なる状態のプロンプトを表示できます。 これらのメッセージ テキストをそれぞれ指定した場合、ASA では、RADIUS サーバにより認証されたユーザに対しては [User accepted message] テキストが表示され、認証されなかったユーザに対しては ASA により [User rejected message] テキストが表示されます。HTTP セッションおよび FTP セッションの認証では、プロンプトにチャレンジ テキストのみが表示されます。ユーザ承認メッセージ テキストおよびユーザ拒否メッセージ テキストは表示されません。 | ||||||||
| ステップ 4 | [Apply] をクリックして変更内容を実行コンフィギュレーションに保存します。 |
RADIUS サーバの認証および認可のテスト
| ステップ 1 | の順に選択します。 |
| ステップ 2 | サーバが [AAA Server Groups] テーブル内に存在するサーバ グループをクリックします。 |
| ステップ 3 | [Servers in the Selected Group] テーブルでテストするサーバをクリックします。 |
| ステップ 4 | [Test] をクリックします。 |
| ステップ 5 | 実行するテストのタイプ（[Authentication] または [Authorization]）をクリックします。 |
| ステップ 6 | ユーザ名を入力します。 |
| ステップ 7 | 認証をテストする場合は、ユーザ名に対応するパスワードを入力します。 |
| ステップ 8 | [OK] をクリックします。
認証または認可のテスト メッセージが ASA からサーバへ送信されます。テストが失敗した場合は、エラー メッセージが表示されます。 |
AAA 用の RADIUS サーバのモニタリング
AAA 用の RADIUS サーバの履歴
|
AAA 用の RADIUS サーバを設定する方法について説明します。 [Configuration] > [Device Management] > [Users/AAA] > [AAA Server Groups] [Configuration] > [Device Management] > [Users/AAA] > [Authentication Prompt] |
||
|
ASA からの RADIUS アクセス要求パケットおよびアカウンティング要求パケットでの主なベンダー固有属性（VSA）の送信 |
4 つの新しい VSA：Tunnel Group Name（146）および Client Type（150）は、ASA からの RADIUS アクセス要求パケットで送信されます。Session Type（151）および Session Subtype（152）は、ASA からの RADIUS アカウンティング要求パケットで送信されます。4 つのすべての属性が、すべてのアカウンティング要求パケット タイプ（開始、中間アップデート、および終了）に送信されます。RADIUS サーバ（ACS や ISE など）は、認可属性やポリシー属性を強制適用したり、アカウンティングや課金のためにそれらの属性を使用したりできます。 |
フィードバック