RADIUS は、高度なセキュリティを必要とし、同時にリモート ユーザのネットワーク アクセスを維持する必要があるさまざまなネットワーク環境に実装できます。

RADIUS は、アクセス セキュリティを必要とする次のネットワーク環境で使用します。

• RADIUS をサポートしている複数ベンダーのネットワーク デバイスを使用したネットワークたとえば、複数ベンダーのネットワーク デバイスで、単一の RADIUS サーバ ベースのセキュリティ データベースを使用できます。

• すでに RADIUS を使用中のネットワーク。RADIUS 機能を持つ Cisco NX-OS デバイスをネットワークに追加できます。この作業は、AAA サーバに移行するときの最初の手順になります。

• リソース アカウンティングが必要なネットワーク。RADIUS アカウンティングは、RADIUS 認証または RADIUS 認可とは個別に使用できます。RADIUS アカウンティング機能を使用すると、サービスの開始および終了時に、セッション中に使用したリソース（時間、パケット、バイトなど）の量を示すデータを送信できます。インターネット サービス プロバイダー（ISP）は、RADIUS アクセス コントロールおよびアカウンティング用ソフトウェアのフリーウェア版を使用して、特殊なセキュリティおよび課金ニーズに対応しています。

• 認証プロファイルをサポートするネットワークネットワークで RADIUS サーバを使用すると、AAA 認証を設定し、ユーザごとのプロファイルをセットアップできます。ユーザ単位のプロファイルにより、既存の RADIUS ソリューションを使用するポートの管理性が向上し、共有リソースを効率的に管理して、各種のサービスレベル契約を提供できるようになります。

RADIUS を使用する Cisco NX-OS デバイスに、ユーザがログインおよび認証を試みると、次の処理が行われます。

• ユーザが、ユーザ名とパスワードの入力を求められ、入力します。

• ユーザ名および暗号化されたパスワードが、ネットワーク経由で RADIUS サーバに送信されます。

• ユーザは、RADIUS サーバから次のいずれかの応答を受信します。

  ACCEPT

  ユーザが認証されました。

  REJECT

  ユーザは認証されず、ユーザ名とパスワードの再入力を求められるか、アクセスを拒否されます。

  CHALLENGE

  RADIUS サーバによってチャレンジが発行されます。チャレンジは、ユーザから追加データを収集します。

  CHANGE PASSWORD

  RADIUS サーバからユーザに、新しいパスワードを選択するよう要求が発行されます。

ACCEPT 応答または REJECT 応答には、EXEC 許可またはネットワーク許可に使用される追加データが含まれています。RADIUS 認可を使用するには、まず RADIUS 認証を完了する必要があります。ACCEPT または REJECT パケットに含まれる追加データの内容は次のとおりです。

• ユーザがアクセス可能なサービス（Telnet、rlogin、またはローカルエリア トランスポート（LAT）接続、ポイントツーポイント プロトコル（PPP）、シリアル ライン インターネット プロトコル（SLIP）、EXEC サービスなど）

• 接続パラメータ（ホストまたはクライアントの IPv4 または IPv6 アドレス、アクセス リスト、ユーザ タイムアウト）

応答しない RADIUS サーバがあると、AAA 要求の処理が遅れることがあります。AAA 要求の処理時間を短縮するために、定期的に RADIUS サーバをモニタして RADIUS サーバが応答している（アライブ）かどうかを調べるように、Cisco NX-OS を設定できます。Cisco NX-OS デバイスは、応答の遅い RADIUS サーバをデッド（dead）としてマークし、デッド RADIUS サーバには AAA 要求を送信しません。Cisco NX-OS デバイスは、デッド RADIUS サーバを定期的にモニタし、応答があればアライブ状態に戻します。このモニタリング プロセスでは、実際の AAA 要求が送信される前に、RADIUS サーバが稼働状態であることを確認します。RADIUS サーバがデッドまたはアライブの状態に変わると簡易ネットワーク管理プロトコル（SNMP）トラップが生成され、Cisco NX-OS デバイスは障害が発生していることをエラー メッセージで表示します。

図 1. RADIUS サーバの状態. 次の図に、RADIUS サーバ モニタリングの状態を示します。

（注）	アライブ サーバとデッド サーバのモニタリング間隔は異なります。これらはユーザが設定できます。RADIUS サーバ モニタリングを実行するには、テスト認証要求を RADIUS サーバに送信します。

Cisco Fabric Services（CFS）を使用すると、Cisco NX-OS デバイスからネットワーク上の他の Cisco NX-OS デバイスに RADIUS 設定を配布できます。使用しているデバイスにおいて、ある機能に対して CFS 配布をイネーブルにすると、そのデバイスは CFS 領域に属します。この CFS 領域には、その機能に対して CFS 配布をイネーブルにしているネットワーク上の他のデバイスが含まれます。RADIUS に対する CFS 配布はデフォルトではディセーブルになっています。

（注）	設定変更を配布する場合は、RADIUS に対する CFS を各デバイスで明示的にイネーブルにする必要があります。

使用している Cisco NX-OS デバイスで RADIUS に対する CFS 配布をイネーブルにした後、最初に入力した RADIUS コンフィギュレーション コマンドによって、Cisco NX-OS ソフトウェアで次の処理が行われます。

• Cisco NX-OS デバイスで CFS セッションを作成します。

• RADIUS に対する CFS がイネーブルにされている CFS 領域で、すべての Cisco NX-OS デバイスの RADIUS 設定をロックします。

• RADIUS の設定変更を Cisco NX-OS デバイスの一時バッファに保存します。

この変更は、CFS 領域にあるデバイスに対して配布するよう明示的にコミットするまで、Cisco NX-OS デバイスの一時バッファに存在します。変更をコミットすると、Cisco NX-OS ソフトウェアが次の処理を実行します。

• Cisco NX-OS デバイスの実行コンフィギュレーションに変更を適用します。

• 更新された RADIUS 設定を CFS 領域内にある他の Cisco NX-OS デバイスに配布します。

• CFS 領域内にある他のデバイスの RADIUS 設定のロックを解除します。

• CFS セッションを終了します。

CFS では RADIUS サーバ グループの設定またはサーバ キーとグローバル キーは配布しません。キーは Cisco NX-OS デバイスに対して一意であり、他の Cisco NX-OS デバイスと共有できません。

インターネット技術特別調査委員会（IETF）が、ネットワーク アクセス サーバと RADIUS サーバの間での VSA の通信のための方式を規定する標準を作成しています。IETF は属性 26 を使用します。ベンダーは VSA を使用して、一般的な用途には適さない独自の拡張属性をサポートできます。シスコの RADIUS 実装は、この仕様で推奨される形式を使用して、1 つのベンダー固有オプションをサポートしています。シスコのベンダー ID は 9、サポートされるオプションのベンダー タイプは 1（名前付き cisco-av-pair）です。値は次の形式のストリングです。

protocol : attribute separator value *

protocol は、特定の許可タイプを表すシスコの属性です。separator は、必須属性の場合は =（等号）、オプションの属性の場合は *（アスタリスク）です。

Cisco NX-OS デバイス上の認証に RADIUS サーバを使用した場合、RADIUS プロトコルでは RADIUS サーバに対して、認証結果とともに権限付与情報などのユーザ属性を返すように指示します。この許可情報は、VSA で指定されます。

Cisco NX-OS ソフトウェアでは次の VSA プロトコル オプションをサポートしています。

Shell

ユーザ プロファイル情報を提供する access-accept パケットで使用されるプロトコル。

Accounting

accounting-request パケットで使用されるプロトコル。値にスペースが含まれている場合は、二重引用符で囲む必要があります。

Cisco NX-OS ソフトウェアは、次の属性をサポートしています。

ロール

ユーザが属するすべてのロールの一覧です。値フィールドは、スペースで区切られたロール名を一覧表示したストリングです。たとえば、ユーザが network-operator および vdc-admin のロールに属している場合、値フィールドは network-operator vdc-admin となります。このサブ属性は Access-Accept フレームの VSA 部分に格納され、RADIUS サーバから送信されます。この属性はシェル プロトコル値とだけ併用できます。次に、Cisco Access Control Server（ACS）でサポートされるロール属性の例を示します。

shell:roles=network-operator vdc-admin 

shell:roles*“network-operator vdc-admin

次に、FreeRADIUS でサポートされるロール属性の例を示します。

Cisco-AVPair = shell:roles=\network-operator vdc-admin\

Cisco-AVPair = shell:roles*\network-operator vdc-admin\

（注）	VSA を shell:roles*"network-operator vdc-admin" または "shell:roles*\"network-operator vdc-admin\"" として指定した場合、この VSA はオプション属性としてフラグ設定され、他のシスコ デバイスはこの属性を無視します。

accountinginfo

標準の RADIUS アカウンティング プロトコルに含まれる属性とともにアカウンティング情報を格納します。この属性は、スイッチ上の RADIUS クライアントからの Account-Request フレームの VSA 部分だけに送信されます。この属性と共に使用できるのは、アカウンティングのプロトコル データ ユニット（PDU）だけです。

RADIUS の設定と操作は、仮想デバイス コンテキスト（VDC）に対してローカルです。VDC の詳細については、『Cisco Nexus 7000 Series NX-OS Virtual Device Context Configuration Guide』を参照してください。

Cisco NX-OS デバイスは、仮想ルーティング/転送（VRF）インスタンスを使用して RADIUS サーバにアクセスします。VRF の詳細情報については、『Cisco Nexus 7000 Series NX-OS Unicast Routing Configuration Guide』を参照してください。

1. 必要に応じて、RADIUS のための CFS 配布機能をイネーブルにします。

2. RADIUS サーバと Cisco NX-OS デバイスの接続を確立します。

3. RADIUS サーバの RADIUS 秘密キーを設定します。

4. 必要に応じて、AAA 認証方式用に、RADIUS サーバのサブセットを使用して RADIUS サーバ グループを設定します。

5. 必要に応じて、次のオプションのパラメータを設定します。

   • デッドタイム間隔

   • ユーザ ログイン時の RADIUS サーバの指定の許可

   • タイムアウト間隔

   • TCP ポート

6. （任意）RADIUS 設定の配布がイネーブルになっている場合は、ファブリックに対して RADIUS 設定をコミットします。

RADIUS 設定の配布がイネーブルになっている Cisco NX-OS デバイスだけが、CFS 領域内での RADIUS 設定変更の配布に参加できます。

リモートの RADIUS サーバにアクセスするには、RADIUS サーバの IP アドレスまたはホスト名を設定する必要があります。最大 64 の RADIUS サーバを設定できます。

（注）	RADIUS サーバの IP アドレスまたはホスト名を Cisco NX-OS デバイスに設定するとき、デフォルトでは RADIUS サーバはデフォルトの RADIUS サーバ グループに追加されます。RADIUS サーバを別の RADIUS サーバ グループに追加することもできます。

Cisco NX-OS デバイスで使用するすべてのサーバの RADIUS キーを設定できます。RADIUS キーは、Cisco NX-OS デバイスと RADIUS サーバ ホストの間の共有秘密テキスト ストリングです。

（注）	CFS では RADIUS キーは配布しません。

Cisco NX-OS デバイスで特定の RADIUS サーバ用のキーを設定できます。RADIUS キーは、Cisco NX-OS デバイスと特定の RADIUS サーバとの間で共有する秘密テキスト ストリングです。

サーバ グループを使用して、1 台または複数台のリモート AAA サーバによる認証を指定できます。グループのメンバーはすべて、RADIUS プロトコルに属している必要があります。設定した順序に従ってサーバが試行されます。VDC には最大 100 のサーバ グループを設定できます。

これらのサーバ グループはいつでも設定できますが、設定したグループを有効にするには、AAA サービスに適用する必要があります。

（注）	CFS では RADIUS サーバ グループの設定は配布しません。

RADIUS サーバ グループにアクセスする際に使用する、RADIUS サーバ グループ用のグローバル発信元インターフェイスを設定できます。また、特定の RADIUS サーバ グループ用に異なる発信元インターフェイスを設定することもできます。デフォルトでは、Cisco NX-OS ソフトウェアは使用可能なあらゆるインターフェイスを使用します。

デフォルトでは、Cisco NX-OS デバイスはデフォルト AAA 認証方式に基づいて認証要求を転送します。Cisco NX-OS デバイス上で directed-request（誘導要求）オプションをイネーブルにすることにより、認証要求の送信先の VRF および RADIUS サーバをユーザが指定できるようになります。このオプションをイネーブルにした場合、ユーザは username@vrfname:hostname としてログインできます。ここで、vrfname は使用する VRF、hostname は設定された RADIUS サーバの名前です。

（注）	directed-request オプションをイネーブルにすると、Cisco NX-OS デバイスでは認証に RADIUS 方式だけを使用し、デフォルトのローカル方式は使用しないようになります。

（注）	ユーザ指定のログインは Telnet セッションに限りサポートされます。

すべての RADIUS サーバに対するグローバルな再送信リトライ回数とタイムアウト間隔を設定できます。デフォルトでは、Cisco NX-OS デバイスは RADIUS サーバに 1 回だけ送信を再試行してから、ローカル認証に切り換えます。このリトライの回数は、サーバごとに最大 5 回まで増やすことができます。タイムアウト間隔には、Cisco NX-OS デバイスが RADIUS サーバからの応答を待つ時間を指定します。これを過ぎるとタイムアウト エラーになります。

デフォルトでは、Cisco NX-OS デバイスは RADIUS サーバに 1 回だけ送信を再試行してから、ローカル認証に切り換えます。このリトライの回数は、サーバごとに最大 5 回まで増やすことができます。Cisco NX-OS デバイスが RADIUS サーバからの応答を待つタイムアウト間隔も設定できます。これを過ぎるとタイムアウト エラーになります。

RADIUS サーバをアカウンティング専用、または認証専用に使用するかを指定できます。デフォルトでは、RADIUS サーバはアカウンティングと認証の両方に使用されます。また、デフォルトのポートとの競合が発生する場合は、RADIUS アカウンティング メッセージと認証メッセージの送信先である宛先 UDP ポート番号を指定することもできます。

各サーバに個別にテスト パラメータを設定しなくても、すべての RADIUS サーバの可用性をモニタリングできます。テスト パラメータが設定されていないサーバは、グローバル レベルのパラメータを使用してモニタリングされます。

（注）	各サーバ用に設定されたテスト パラメータは、グローバルのテスト パラメータより優先されます。

グローバル コンフィギュレーション パラメータには、サーバで使用するユーザ名とパスワード、およびアイドル タイマーなどがあります。アイドル タイマーには、RADIUS サーバで何の要求も受信されない状態の時間を指定します。これを過ぎると Cisco NX-OS デバイスはテスト パケットを送信します。このオプションを設定して定期的にサーバをテストしたり、1 回だけテストを実行したりできます。

（注）	CFS ではグローバル RADIUS サーバ グループの設定は配布しません。

（注）	ネットワークのセキュリティを保護するために、RADIUS データベースの既存のユーザ名と同じものを使用しないことを推奨します。

（注）	デフォルトのアイドル タイマー値は 0 分です。アイドル タイム インターバルが 0 分の場合、RADIUS サーバの定期的なモニタリングは実行されません。

各 RADIUS サーバの可用性をモニタリングできます。コンフィギュレーション パラメータには、サーバで使用するユーザ名とパスワード、およびアイドル タイマーなどがあります。アイドル タイマーには、RADIUS サーバで何の要求も受信されない状態の時間を指定します。これを過ぎると Cisco NX-OS デバイスはテスト パケットを送信します。このオプションを設定して定期的にサーバをテストしたり、1 回だけテストを実行したりできます。

（注）	各サーバ用に設定されたテスト パラメータは、グローバルのテスト パラメータより優先されます。

（注）	セキュリティ上の理由から、RADIUS データベース内の既存のユーザ名と同じテスト ユーザ名を設定しないことを推奨します。

（注）	デフォルトのアイドル タイマー値は 0 分です。アイドル時間の間隔が 0 分の場合、Cisco NX-OS デバイスは RADIUS サーバの定期モニタリングを実行しません。

すべての RADIUS サーバのデッド タイム間隔を設定できます。デッド タイム間隔では、Cisco NX-OS デバイスが RADIUS サーバをデッドであると宣言した後、そのサーバがアライブになったかどうかを確認するためにテスト パケットを送信するまでの時間を指定します。デフォルト値は 0 分です。

（注）	デッド タイム間隔が 0 分の場合、RADIUS サーバは、応答を返さない場合でも、デットとしてマークされません。RADIUS サーバ グループに対するデッド タイム間隔を設定できます。

RSA SecurID トークン サーバを使用することで、Cisco NX-OS デバイスでワンタイム パスワード（OTP）をサポートできます。この機能を使用すると、ユーザは、暗証番号（ワンタイム パスワード）とその時点で RSA SecurID トークンに表示されるトークン コードの両方を入力することで、Cisco NX-OS デバイスに対する認証を実行できます。

（注）	Cisco NX-OS デバイスにログインするために使用されるトークン コードは、60 秒ごとに変更されます。デバイス検出に関する問題を防ぐために、Cisco Secure ACS 内部データベースに存在する異なるユーザ名を使用することを推奨します。

一時バッファに保存されている RADIUS のグローバル設定およびサーバ特有の設定を、ファブリック内のすべてのデバイス（元のデバイスを含む）の実行コンフィギュレーションに適用します。

RADIUS の設定変更の一時データベースを廃棄して、CFS 配布セッションを終了します。

実行中の Cisco Fabric Services の配布セッション（存在する場合）をクリアして、RADIUS 機能のためのファブリックのロックを解除します。

RADIUS サーバまたはサーバ グループに対し手動でテスト メッセージを送信できます。