Cisco TrustSec スイッチ コンフィギュレーション ガイド Cisco Catalyst スイッチについて

12.2 (33) SXI3

このコマンドが、Catalyst 6500 シリーズ スイッチに追加されました。

12.2 (50) SG7

このコマンドが、Catalyst 4000 シリーズ スイッチに追加されました。

12.2 (53) SE2

このコマンドが、Catalyst 3750(E)、3560(E)、および 3750(X) シリーズ スイッチに追加されました（ vrf または IPv6 サポートなし）。

ステップ 1

Router# cts credentials id device-id password password

EAP-FAST を使用して他の Cisco TrustSec デバイスで認証するときにこのスイッチが使用する Cisco TrustSec デバイス ID およびパスワードを指定します。 device-id 引数は、最大 32 文字で大文字と小文字を区別します。

ステップ 2

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

Router(config)# aaa new-model

AAA をイネーブルにします。

ステップ 4

Router(config)# aaa authentication dot1x default group radius

RADIUS として 802.1X ポート ベース認証方式を指定します。

ステップ 5

Router(config)# aaa authorization network mlist group radius

ネットワーク関連のすべてのサービス要求に対して RADIUS 認証を使用するようにスイッチを設定します。

• mlist ：Cisco TrustSec AAA サーバ グループ。

ステップ 6

Router(config)# cts authorization list mlist

Cisco TrustSec の AAA サーバ グループを指定します。非シード デバイスはオーセンティケータからサーバ リストを取得します。

ステップ 7

Router(config)# aaa accounting dot1x default start-stop group radius

RADIUS を使用して 802.1X アカウンティングをイネーブルにします。

ステップ 8

Router(config)# radius-server host ip-addr auth-port 1812 acct-port 1813 pac key secret

RADIUS 認証サーバのホスト アドレス、サービス ポートおよび暗号キーを指定します。

• ip-addr ：認証サーバの IP アドレス。

• secret ：認証サーバによって共有される暗号キー。

ステップ 9

Router(config)# radius-server vsa send authentication

認証段階でスイッチによって生成される RADIUS Access-Request 内のベンダー固有属性（VSA）を認識して使用するようにスイッチを設定します。

ステップ 10

Router(config)# dot1x system-auth-control

802.1x ポートベースの認証をグローバルにイネーブルにします。

ステップ 11

Router(config)# exit

コンフィギュレーション モードを終了します。

12.2(33) SXI3

この機能が、Catalyst 6500 シリーズ スイッチに追加されました。

IOS-XE 3.3.0 SG

この機能が、Catalyst 4000 シリーズ スイッチに追加されました。

15.0(1)SE

この機能が、Catalyst 3750(E)、3560(E)、および 3750(X) シリーズ スイッチに追加されました。

ステップ 1

Router# cts credentials id device-id password password

EAP-FAST を使用して他の Cisco TrustSec デバイスで認証するときにこのスイッチが使用する Cisco TrustSec デバイス ID およびパスワードを指定します。 device-id 引数は、最大 32 文字で大文字と小文字を区別します。

ステップ 2

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

Router(config)# aaa new-model

AAA をイネーブルにします。

ステップ 4

Router(config)# aaa authentication dot1x default group radius

RADIUS として 802.1X ポート ベース認証方式を指定します。

ステップ 5

Router(config)# aaa authorization network mlist group radius

ネットワーク関連のすべてのサービス要求に対して RADIUS 認証を使用するようにスイッチを設定します。

• mlist ：Cisco TrustSec の AAA サーバ グループを指定します。

ステップ 6

Router(config)# aaa accounting dot1x default start-stop group radius

RADIUS を使用して 802.1X アカウンティングをイネーブルにします。

ステップ 7

Router(config)# radius-server vsa send authentication

認証段階でスイッチによって生成される RADIUS Access-Request 内のベンダー固有属性（VSA）を認識して使用するようにスイッチを設定します。

ステップ 8

Router(config)# dot1x system-auth-control

802.1x ポートベースの認証をグローバルにイネーブルにします。

ステップ 9

Router(config)# exit

コンフィギュレーション モードを終了します。

12.2(33) SXI3

この機能が、Catalyst 6500 シリーズ スイッチに追加されました。

IOS-XE 3.3.0 SG

この機能が、Catalyst 4000 シリーズ スイッチに追加されました。

15.0(1)SE

この機能が、Catalyst 3750(X) シリーズ スイッチに追加されました。

ステップ 1

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

Router(config)# interface type slot/port

アップリンク インターフェイスのインターフェイス コンフィギュレーション モードを開始します。

ステップ 3

Router(config-if)# cts dot1x

アップリンク インターフェイスを NDAC 認証を実行するように設定します。

ステップ 4

Router(config-if-cts-dot1x)# [ no ] sap mode-list mode1 [ mode2 [ mode3 [ mode4 ]]]

（任意）インターフェイスに SAP 動作モードを設定します。インターフェイスは相互に受け入れ可能なモード用のピアとネゴシエートします。優先順位で許容されるモードをリストします。 mode の選択肢は次のとおりです。

• gcm ：認証および暗号化

• gmac ：認証あり、暗号化なし

• no-encap ：カプセル化なし

• null ：カプセル化あり、認証なし、
暗号化なし

ステップ 5

Router(config-if-cts-dot1x)# [ no ] timer reauthentication seconds

（任意）認証サーバが期間を指定しなかった場合、再認証期間を使用するように設定します。再認証期間が指定されていない場合、デフォルトの期間は 86400 秒です。

ステップ 6

Router(config-if-cts-dot1x)# [ no ] propagate sgt

（任意）このコマンドの no 形式は、ピアが SGT を処理できない場合に使用されます。 no propagate sgt コマンドを使用すると、インターフェイスからピアに SGT が送信されなくなります。

ステップ 7

Router(config-if-cts-dot1x)# exit

Cisco TrustSec 802.1X インターフェイス コンフィギュレーション モードを終了します。

ステップ 8

Router(config-if)# shutdown

インターフェイスをディセーブルにします。

ステップ 9

Router(config-if)# no shutdown

インターフェイスをイネーブルにして、インターフェイスの Cisco TrustSec 認証をイネーブルにします。

ステップ 10

Router(config-if)# exit

インターフェイス コンフィギュレーション モードを終了します。

IOS 12.2(50) SY

この機能が、Catalyst 6500 シリーズ スイッチに追加されました。

IOS-XE 3.3.0 SG

この機能が、Catalyst 4000 シリーズ スイッチに追加されました。

IOS 15.0(1) SE

この機能が、Catalyst 3750(X) シリーズ スイッチに追加されました。

ステップ 1

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

Router(config)# interface type slot/port

アップリンク インターフェイスのインターフェイス コンフィギュレーション モードを開始します。

ステップ 3

Router(config-if)# cts manual

Cisco TrustSec 手動コンフィギュレーション モードを開始します。

ステップ 4

Router(config-if-cts-manual)# [ no ] sap pmk key [ mode-list mode1 [ mode2 [ mode3 [ mode4 ]]]]

（任意）SAP の Pairwise Master Key（PMK）と動作モードを設定します。Cisco TrustSec の手動モードでは、SAP はデフォルトでディセーブルになっています。

• key ：文字数が偶数個で最大 32 文字の 16 進値。

SAP 動作の mode オプションは次のとおりです。

• gcm ：認証および暗号化

• gmac ：認証あり、暗号化なし

• no-encap ：カプセル化なし

• null ：カプセル化あり、認証または暗号化なし

ステップ 5

Router(config-if-cts-manual)# [ no ] policy dynamic identity peer-name

（任意）ピアのアイデンティティに基づいた認可サーバからの認可ポリシーの動的ダウンロードを許可するようにアイデンティティ ポート マッピング（IPM）を設定します。この作業の次に記載されている追加の使用上の注意を参照してください。

• peer-name ：ピア デバイスの Cisco TrustSec デバイス ID。ピア名では、大文字と小文字が区別されます。

Router(config-if-cts-manual)# [ no ] policy static sgt tag [ trusted ]

（任意）スタティック許可ポリシーを設定します。この作業の次に記載されている追加の使用上の注意を参照してください。

• tag ：10 進表記の SGT。指定できる範囲は 1 ～ 65533 です。

• trusted ：この SGT を使用するインターフェイスの入力トラフィックのタグを上書きしてはいけないことを示します。

ステップ 6

Router(config-if-cts-manual)# [ no ] propagate sgt

（任意）このコマンドの no 形式は、ピアが SGT を処理できない場合に使用されます。 no propagate sgt コマンドを使用すると、インターフェイスからピアに SGT が送信されなくなります。

ステップ 7

Router(config-if-cts-manual)# exit

Cisco TrustSec 手動インターフェイス コンフィギュレーション モードを終了します。

ステップ 8

Router(config-if)# shutdown

インターフェイスをディセーブルにします。

ステップ 9

Router(config-if)# no shutdown

インターフェイスをイネーブルにして、インターフェイスの Cisco TrustSec 認証をイネーブルにします。

ステップ 10

Router(config-if)# exit

インターフェイス コンフィギュレーション モードを終了します。

12.2(50) SY

この機能が、Catalyst 6500 シリーズ スイッチに追加されました。

IOS-XE 3.3.0 SG

この機能が、Catalyst 4000 シリーズ スイッチに追加されました。

15.0(1)SE

この機能が、Catalyst 3750(E)、3560(E)、および 3750(X) シリーズ スイッチに追加されました。

ステップ 1

Router# cts rekey interface int slot/port

MACsec リンクで SAP キーの再ネゴシエーションを強制します。

ステップ 1

Router# show cts interface [ interface type slot/port | brief | summary ]

TrustSec-related インターフェイス コンフィギュレーションを表示します。

12.2(50) SY

この機能が、Catalyst 6500 シリーズ スイッチに追加されました。

ステップ 1

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

Router(config)# cts sgt tag

デバイスから送信されるパケットの SGT を設定します。 tag 引数は 10 進表記です。指定できる範囲は 1 ～ 65533 です。

ステップ 3

Router(config)# exit

コンフィギュレーション モードを終了します。

12.2(50) SY

この機能が、Catalyst 6500 シリーズ スイッチに追加されました。

15.0(0)SY

SXPv3 が Catalyst 6500 スイッチに追加されました。

次のキーワードが、Catalyst 6500 シリーズ スイッチの cts role-based sgt-map コマンドに追加されました。

• ipv4-address/prefix

• ipv6-address/prefix

• interface

ステップ 1

Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

Router(config)# [ no ] cts server deadtime seconds

（任意）いったん停止中としてマークされたグループ内のサーバを、どのくらいの期間、サービス用に選択してはいけないかを指定します。デフォルトは 20 秒です。指定できる範囲は 1 ～ 864000 です。

ステップ 3

Router(config)# [ no ] cts server load-balance method least-outstanding [ batch-size transactions ] [ ignore-preferred-server ]

（任意）Cisco TrustSec プライベート サーバ グループに RADIUS ロード バランシングをイネーブルにし、最も未処理のトランザクションが少ないサーバを選択します。デフォルトでは、ロード バランシングは適用されません。 デフォルトの transactions は 25 です。

ignore-preferred-server キーワードは、セッション全体を通じて同じサーバを使用しないようにスイッチに指示します。

ステップ 4

Router(config)# [ no ] cts server test { server-IP-address | all } { deadtime seconds | enable | idle-time seconds }

（任意）指定されたサーバまたはダイナミック サーバ リスト内のすべてのサーバに対してサーバ存続性テストを設定します。デフォルトでは、テストはすべてのサーバに対してイネーブルになっています。デフォルトの idle-time は 60 秒で、範囲は 1 ～ 14400 です。

ステップ 5

Router(config)# exit

コンフィギュレーション モードを終了します。

ステップ 6

Router# show cts server-list

Cisco TrustSec サーバのリストのステータスおよび設定の詳細を表示します。

12.2(50) SY

この機能が、Catalyst 6500 シリーズ スイッチに追加されました。

IOS-XE 3.3.0 SG

この機能が、Catalyst 4000 シリーズ スイッチに追加されました。

15.0(1) SE

この機能が、Catalyst 3750(X) シリーズ スイッチに追加されました。

ステップ 1

Router# cts change-password server ip-address port { key secret | a-id a-id }

スイッチと認証サーバ間のパスワード ネゴシエーションを開始します。

• ip-address ：認証サーバの IP アドレス。

• port ：認証サーバの UDP ポート。

• key secret ：認証サーバの RADIUS 共有秘密。

• a-id a-id ：認証サーバに関連付けられた A-ID。