- はじめに
- コマンドライン インターフェイスの使用
- Web グラフィカル ユーザ インターフェイスの使用
- 不正アクセスの防止
- パスワードおよび権限レベルによるスイッチ アクセスの制御
- TACACS+ の設定
- RADIUS の設定
- Kerberos の設定
- ローカル認証および許可の設定
- セキュア シェル（SSH）の設定
- Secure Socket Layer HTTP の設定
- IPv4 ACL の設定
- IPv6 ACL の設定
- DHCP の設定
- IP ソース ガードの設定
- ダイナミック ARP インスペクションの設定
- IEEE 802.1x ポートベースの認証の設定
- Web ベース認証の設定
- ポート単位のトラフィック制御の設定
- IPv6 ファースト ホップ セキュリティの設定
- Cisco TrustSec の設定
- ワイヤレス ゲスト アクセスの設定
- 不正なデバイスの管理
- 不正なアクセス ポイントの分類
- wIPS の設定
- 侵入検知システムの設定
- Index
Cisco IOS XE リリース 3SE セキュリティ コンフィギュレーション ガイド（Catalyst 3850 スイッチ）
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年7月18日
章のタイトル： RADIUS の設定
- 機能情報の確認
- RADIUS を設定するための前提条件
- RADIUS の設定に関する制約事項
- RADIUS に関する情報
- RADIUS のデフォルト設定
- RADIUS サーバ ホスト
- RADIUS ログイン認証
- AAA サーバ グループ
- AAA 許可
- RADIUS アカウンティング
- ベンダー固有の RADIUS 属性
- ベンダー独自仕様の RADIUS サーバ通信
RADIUS の設定
- 機能情報の確認
- RADIUS を設定するための前提条件
- RADIUS の設定に関する制約事項
- RADIUS に関する情報
- RADIUS の設定方法
- CoA 機能のモニタリング
- RADIUS によるスイッチ アクセスの制御の設定例
- セキュア シェルの設定に関するその他の参考資料
- RADIUS の機能情報
機能情報の確認
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。
プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。
RADIUS を設定するための前提条件
ここでは、RADIUS によるSwitch アクセスの制御の前提条件を示します。
一般:
-
この章のいずれかのコンフィギュレーション コマンドを使用するには、RADIUS および認証、許可、ならびにアカウンティング（AAA）をイネーブルにする必要があります。
-
RADIUS は、AAA を介して実装され、AAA コマンドを使用してのみイネーブルにできます。
-
aaa new-model グローバル コンフィギュレーション コマンドを使用して、AAA をイネーブルにします。
-
aaa authentication グローバル コンフィギュレーション コマンドを使用して、RADIUS 認証の方式リストを定義します。
-
line および interface コマンドを使用して、使用する定義済みの方式リストをイネーブルにします。
-
最低限、RADIUS サーバ ソフトウェアが稼働するホスト（1 つまたは複数）を特定し、RADIUS 認証の方式リストを定義する必要があります。また、任意で RADIUS 許可およびアカウンティングの方式リストを定義できます。
-
Switch上で RADIUS 機能の設定を行う前に、RADIUS サーバにアクセスし、サーバを設定する必要があります。
-
RADIUS ホストは、通常、シスコ（Cisco Secure Access Control Server バージョン 3.0）、Livingston、Merit、Microsoft、または他のソフトウェア プロバイダーの RADIUS サーバ ソフトウェアが稼働しているマルチユーザ システムです。詳細については、RADIUS サーバのマニュアルを参照してください。
-
Change-of-Authorization（CoA）インターフェイスを使用するには、スイッチにセッションがすでに存在している必要があります。CoA を使用すると、セッションの識別と接続解除要求を実行できます。アップデートは、指定されたセッションにだけ作用します。
-
スイッチ スタックと RADIUS サーバとの間に冗長接続を設定することを推奨します。これによって、接続済みのスタック メンバの 1 つがスイッチ スタックから削除された場合でも、RADIUS サーバにアクセスできます。
RADIUS の設定に関する制約事項
ここでは、RADIUS によるSwitch アクセスの制御の制約事項について説明します。
一般:
RADIUS は次のネットワーク セキュリティ状況には適していません。
-
マルチプロトコル アクセス環境。RADIUS は、AppleTalk Remote Access（ARA）、NetBIOS Frame Control Protocol（NBFCP）、NetWare Asynchronous Services Interface（NASI）、または X.25 PAD 接続をサポートしません。
-
スイッチ間またはルータ間状態。RADIUS は、双方向認証を行いません。RADIUS は、他社製のデバイスが認証を必要とする場合に、あるデバイスから他社製のデバイスへの認証に使用できます。
-
各種のサービスを使用するネットワーク。RADIUS は、一般に 1 人のユーザを 1 つのサービス モデルにバインドします。
RADIUS に関する情報
- RADIUS およびスイッチ アクセス
- RADIUS の概要
- RADIUS の動作
- RADIUS 許可の変更
- RADIUS のデフォルト設定
- RADIUS サーバ ホスト
- RADIUS ログイン認証
- AAA サーバ グループ
- AAA 許可
- RADIUS アカウンティング
- ベンダー固有の RADIUS 属性
- ベンダー独自仕様の RADIUS サーバ通信
RADIUS およびスイッチ アクセス
この項では、RADIUS をイネーブルにし、設定する方法について説明します。RADIUS を使用すると、アカウンティングの詳細を取得したり、認証および許可プロセスの柔軟な管理制御を実現できます。
RADIUS の概要
RADIUS は、不正なアクセスからネットワークのセキュリティを保護する分散クライアント/サーバ システムです。RADIUS クライアントは、サポート対象の Cisco ルータおよびスイッチ上で稼働します。クライアントは中央の RADIUS サーバに認証要求を送ります。中央の RADIUS サーバにはすべてのユーザ認証情報、ネットワーク サービス アクセス情報が登録されています。
RADIUS は、アクセスのセキュリティが必要な、次のネットワーク環境で使用します。
-
それぞれが RADIUS をサポートする、マルチベンダー アクセス サーバによるネットワーク。たとえば、複数のベンダーのアクセス サーバが、1 つの RADIUS サーバベース セキュリティ データベースを使用します。複数ベンダーのアクセス サーバからなる IP ベースのネットワークでは、ダイヤルイン ユーザは RADIUS サーバを通じて認証されます。RADIUS サーバは、Kerberos セキュリティ システムで動作するようにカスタマイズされています。
-
アプリケーションが RADIUS プロトコルをサポートするターンキー ネットワーク セキュリティ環境。たとえば、スマート カード アクセス コントロール システムを使用するアクセス環境。あるケースでは、RADIUS は Enigma のセキュリティ カードとともに使用してユーザを確認し、ネットワーク リソースのアクセスを許可します。
-
すでに RADIUS を使用中のネットワーク。RADIUS クライアント装備のシスコのSwitchをネットワークに追加できます。これが TACACS+ サーバへの移行の最初のステップとなることもあります。下の図 2「RADIUS サービスから TACACS+ サービスへの移行」を参照してください。
-
ユーザが 1 つのサービスにしかアクセスできないネットワーク。RADIUS を使用すると、ユーザのアクセスを 1 つのホスト、Telnet などの 1 つのユーティリティ、または IEEE 802.1x などのプロトコルを使用するネットワークに制御できます。このプロトコルの詳細については、第 11 章「IEEE 802.1x ポートベース認証の設定」を参照してください。
-
リソース アカウンティングが必要なネットワーク。RADIUS 認証または許可とは別個に RADIUS アカウンティングを使用できます。RADIUS アカウンティング機能によって、サービスの開始および終了時点でデータを送信し、このセッション中に使用されるリソース（時間、パケット、バイトなど）の量を表示できます。インターネット サービス プロバイダーは、RADIUS アクセス コントロールおよびアカウンティング ソフトウェアのフリーウェア バージョンを使用して、特殊なセキュリティおよび課金に対するニーズを満たすこともできます。
RADIUS の動作
RADIUS サーバによってアクセス コントロールされるSwitchに、ユーザがログインおよび認証を試みると、次のイベントが発生します。
-
ユーザ名およびパスワードの入力を要求するプロンプトが表示されます。
-
ユーザ名および暗号化されたパスワードが、ネットワーク経由で RADIUS サーバに送信されます。
-
ユーザは、RADIUS サーバから次のいずれかの応答を受信します。
-
ACCEPT：ユーザが認証されたことを表します。
-
REJECT：ユーザの認証が失敗し、ユーザ名およびパスワードの再入力が要求されるか、またはアクセスが拒否されます。
-
CHALLENGE：ユーザに追加データを要求します。
-
CHALLENGE PASSWORD：ユーザは新しいパスワードを選択するように要求されます。
ACCEPT または REJECT 応答には、特権 EXEC またはネットワーク許可に使用する追加データがバンドルされています。ACCEPT または REJECT パケットには次の追加データが含まれます。
-
RADIUS 許可の変更
RADIUS 許可の変更（CoA）は、認証、認可、およびアカウンティング（AAA）セッションの属性を認証された後に変更するためのメカニズムを提供します。AAA でユーザ、またはユーザ グループのポリシーが変更された場合、管理者は、AAA サーバから Cisco Secure Access Control Server（ACS）などの RADIUS CoA パケットを送信し、認証を再初期化して新しいポリシーを適用することができます。このセクションでは、使用可能なプリミティブおよびそれらの CoA での使用方法を含む、RADIUS インターフェイスの概要について説明します。
標準 RADIUS インターフェイスは通常、ネットワークに接続しているデバイスから要求が送信され、クエリーが送信されたサーバが応答するプル モデルで使用されます。Catalyst スイッチは、RFC 5176 で規定された（通常はプッシュ モデルで使用される）RADIUS CoA 拡張機能をサポートし、外部の AAA またはポリシーサーバからのセッションを動的に再設定できるようにします。
スイッチは、次のセッション単位の CoA 要求をサポートしています。
この機能は、Cisco Secure Access Control Server (ACS) 5.1 に統合されています。
Catalyst スイッチでは、RADIUS インターフェイスはデフォルトでイネーブルに設定されています。ただし、次の属性については、一部の基本的な設定が必要になります。
-
セキュリティおよびパスワード：このガイドの「スイッチへの不正アクセスの防止」を参照してください。
-
アカウンティング：このガイドの「スイッチ ベース認証の設定」の章の「RADIUS アカウンティングの起動」の項を参照してください。
要求は CoA クライアント（通常は AAA またはポリシー サーバ）から開始されて、リスナーとして動作するデバイスに転送されます。
次の表は、Identity-Based Networking Services でサポートされている RADIUS CoA コマンドとベンダー固有属性（VSA）を示します。すべての CoA コマンドには、デバイスと CoA クライアント間のセッション ID が含まれている必要があります。
|
CoA コマンド |
シスコの VSA |
|---|---|
|
Activate service |
Cisco:Avpair=“subscriber:command=activate-service” Cisco:Avpair=“subscriber:service-name=<service-name>” Cisco:Avpair=“subscriber:precedence=<precedence-number>” Cisco:Avpair=“subscriber:activation-mode=replace-all” |
|
Deactivate service |
Cisco:Avpair=“subscriber:command=deactivate-service” Cisco:Avpair=“subscriber:service-name=<service-name>” |
|
Bounce host port |
Cisco:Avpair="subscriber:command=bounce-host-port" |
|
Disable host port |
Cisco:Avpair="subscriber:command=disable-host-port" |
|
Session query |
Cisco:Avpair=“subscriber:command=session-query” |
|
Session reauthenticate |
Cisco:Avpair="subscriber:command=reauthenticate" Cisco:Avpair=“subscriber:reauthenticate-type=last” または Cisco:Avpair=“subscriber:reauthenticate-type=rerun” |
|
Session terminate |
これは、VSA を必要としない、標準の接続解除要求です。 |
|
Session terminate |
Cisco:AVpair="interface-template-name=<interfacetemplate>" |
Change-of-Authorization 要求
Change of Authorization（CoA）要求は、RFC 5176 に記載されているように、プッシュ モデルで使用することによって、セッション識別、ホスト再認証、およびセッション終了を行うことができます。このモデルは、1 つの要求（CoA-Request）と 2 つの可能な応答コードで構成されています。
要求は CoA クライアント（通常は RADIUS またはポリシー サーバ）から発信されて、リスナーとして動作するスイッチに送信されます。
RFC 5176 規定
Disconnect Request メッセージは Packet of Disconnect（POD）とも呼ばれますが、セッション終了に対してスイッチでサポートされています。
|
属性番号 |
属性名 |
|---|---|
|
24 |
状態 |
|
31 |
Calling-Station-ID |
|
44 |
Acct-Session-ID |
|
80 |
Message-Authenticator |
|
101 |
Error-Cause |
|
値 |
説明 |
|---|---|
|
201 |
削除された残留セッション コンテキスト |
|
202 |
無効な EAP パケット（無視） |
|
401 |
サポートされていない属性 |
|
402 |
見つからない属性 |
|
403 |
NAS 識別情報のミスマッチ |
|
404 |
無効な要求 |
|
405 |
サポートされていないサービス |
|
406 |
サポートされていない拡張機能 |
|
407 |
無効な属性値 |
|
501 |
管理上の禁止 |
|
502 |
ルート不可能な要求（プロキシ） |
|
503 |
セッション コンテキストが検出されない |
|
504 |
セッション コンテキストが削除できない |
|
505 |
その他のプロキシ処理エラー |
|
506 |
リソースが使用不可能 |
|
507 |
要求が発信された |
|
508 |
マルチ セッションの選択がサポートされてない |
前提条件
CoA インターフェイスを使用するには、スイッチにセッションがすでに存在している必要があります。CoA を使用すると、セッションの識別と接続解除要求を実行できます。アップデートは、指定されたセッションにだけ作用します。
CoA 要求応答コード
CoA 要求応答コードを使用すると、スイッチにコマンドを伝達できます。
RFC 5176 で定義されている CoA 要求応答コードのパケットの形式は、コード、ID、長さ、オーセンティケータ、およびタイプ、長さ、値（TLV）形式の属性から構成されます。属性フィールドは、シスコのベンダー固有属性（VSA）を送信するために使用します。
セッションの識別
特定のセッションに向けられた切断と CoA 要求については、スイッチは 1 つ以上の次の属性に基づいて、セッションを検索します。
-
Acct-Session-Id（IETF 属性 #44）
-
Audit-Session-Id VSA（シスコの VSA）
-
Calling-Station-Id（ホスト MAC アドレスを含む IETF 属性 #31）
-
次のいずれかの IPv6 属性。 -
プレーン IP アドレス（IETF 属性 #8）
CoA メッセージに含まれるすべてのセッション ID 属性がそのセッションと一致しない限り、スイッチは「Invalid Attribute Value」エラー コード属性を含む Disconnect-NAK または CoA-NAK を返します。
複数のセッション ID 属性がメッセージ含まれる場合は、すべての属性がセッションと一致しなければなりません。そうでない場合は、スイッチが Disconnect - negative acknowledgement（NAK）または CoA -NAK と、「Invalid Attribute Value」エラー コードを返します。
RFC 5176 で定義されている CoA 要求コードのパケットの形式は、コード、ID、長さ、オーセンティケータ、およびタイプ、長さ、値（TLV）形式の属性から構成されます。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Code | Identifier | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| |
| Authenticator |
| |
| |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Attributes ...
+-+-+-+-+-+-+-+-+-+-+-+-+-
属性フィールドは、シスコのベンダー固有属性（VSA）を送信するために使用します。
特定の適用ポリシーを対象とする CoA 要求の場合、上記のセッション ID 属性のいずれかがメッセージに含まれていると、デバイスはエラー コードが「Invalid Attribute Value」の CoA-NAK を返します。
CoA ACK 応答コード
許可ステートの変更に成功した場合は、肯定確認応答（ACK）が送信されます。CoA ACK 内で返される属性は CoA 要求によって異なり、個々の CoA コマンドで検討されます。
CoA NAK 応答コード
否定応答（NAK）は許可ステートの変更に失敗したことを示し、エラーの理由を示す属性を含めることができます。CoA が成功したかを確認するには、show コマンドを使用します。
CoA 要求コマンド
|
コマンド 1 |
シスコの VSA |
|---|---|
|
Reauthenticate host |
Cisco:Avpair="subscriber:command=reauthenticate" |
|
Terminate session |
これは、VSA を要求しない、標準の接続解除要求です。 |
|
Bounce host port |
Cisco:Avpair="subscriber:command=bounce-host-port" |
|
Disable host port |
Cisco:Avpair="subscriber:command=disable-host-port" |
セッション再認証
不明な ID またはポスチャを持つホストがネットワークに加入して、制限されたアクセス許可プロファイル（たとえば、ゲスト VLAN）に関連付けられると、AAA サーバは通常、セッション再認証要求を生成します。再認証要求は、クレデンシャルが不明である場合にホストが適切な認証グループに配置されることを許可します。
セッション認証を開始するために、AAA サーバは Cisco:Avpair="subscriber:command=reauthenticate" の形式で Cisco VSA と 1 つ以上のセッション ID 属性を含む標準 CoA 要求メッセージを送信します。
現在のセッション ステートは、メッセージに対するスイッチの応答を決定します。セッションが現在、IEEE 802.1x によって認証されている場合、スイッチは EAPOL（LAN 経由の拡張認証プロトコル）RequestId メッセージをサーバに送信することで応答します。
現在、セッションが MAC 認証バイパス（MAB）で認証されている場合は、スイッチはサーバにアクセス要求を送信し、初期正常認証で使用されるものと同じ ID 属性を渡します。
スイッチがコマンドを受信したときにセッション認証が実行中である場合は、スイッチはプロセスを終了し、認証シーケンスを再開し、最初に試行されるように設定された方式で開始します。
セッションがまだ認証されてない、あるいはゲスト VLAN、クリティカル VLAN、または同様のポリシーで認証されている場合は、再認証メッセージがアクセス コントロール方式を再開し、最初に試行されるように設定された方式で開始します。セッションの現在の許可は、再認証によって異なる認証結果になるまで維持されます。
スイッチ スタックでのセッションの再認証
スイッチ スタックでセッション再認証メッセージを受信すると、次の動作が発生します。
セッションの終了
セッションを終了させる 3 種類の CoA 要求があります。CoA 接続解除要求は、ホスト ポートをディセーブルにせずにセッションを終了します。このコマンドを使用すると、指定されたホストのオーセンティケータ ステート マシンが再初期化されますが、そのホストのネットワークへのアクセスは制限されません。
ホストのネットワークへのアクセスを制限するには、Cisco:Avpair="subscriber:command=disable-host-port" VSA の設定で CoA 要求を使用します。このコマンドは、ネットワーク上で障害を引き起こしたと認識されているホストがある場合に便利であり、そのホストに対してネットワーク アクセスをただちにブロックする必要があります。ポートへのネットワーク アクセスを復旧する場合は、非 RADIUS メカニズムを使用して再びイネーブルにします。
プリンタなどのサプリカントを持たないデバイスが新しい IP アドレスを取得する必要がある場合（たとえば、VLAN 変更後）は、ポート バウンスでホスト ポート上のセッションを終了します（ポートを一時的にディセーブルした後、再びイネーブルにする）。
CoA 接続解除要求
このコマンドは標準の接続解除要求です。セッションが見つからない場合、スイッチは Disconnect-NAK メッセージと「Session Context Not Found」エラー コード属性を返します。セッションがある場合は、スイッチはセッションを終了します。セッションが完全に削除された後、スイッチは接続解除 ACK を返します。
スイッチがクライアントに接続解除 ACK を返す前にスタンバイ スイッチにフェールオーバーする場合は、クライアントから要求が再送信されるときに、新しいアクティブ スイッチ上でそのプロセスが繰り返されます。再送信後もセッションが見つからない場合は、Disconnect-ACK と「Session Context Not Found」エラー コード属性が送信されます。
CoA 要求：ホスト ポートのディセーブル化
RADIUS サーバの CoA disable port コマンドを実行すると、セッションをホストしている認証ポートが管理的にシャットダウンされます。その結果、セッションは終了します。このコマンドは、ホストがネットワーク上で問題を起こしていることを把握し、ホストのネットワーク アクセスを即座にブロックする必要がある場合に便利です。ポートのネットワーク アクセスを復元するには、非 RADIUS メカニズムを使用して再びイネーブルにします。このコマンドは、次の新しいベンダー固有属性（VSA）が含まれている標準 CoA 要求メッセージで伝達されます。
Cisco:Avpair="subscriber:command=disable-host-port"
このコマンドはセッション指向であるため、「セッション ID」セクションに示されている 1 つ以上のセッション ID 属性とともに使用する必要があります。セッションが見つからない場合、スイッチは CoA-NAK メッセージと「Session Context Not Found」エラー コード属性を返します。このセッションがある場合は、スイッチはホスト ポートをディセーブルにし、CoA-ACK メッセージを返します。
スイッチが CoA-ACK をクライアントに返す前にスイッチに障害が発生した場合は、クライアントから要求が再送信されるときに、新しいアクティブ スイッチ上でそのプロセスが繰り返されます。スイッチが CoA-ACK メッセージをクライアントに返した後で、かつその動作が完了していないときにスイッチに障害が発生した場合は、新しいアクティブ スイッチ上でその動作が再開されます。
 （注） | 再送信コマンドの後に接続解除要求が失敗すると、（接続解除 ACK が送信されてない場合に）チェンジオーバー前にセッションが正常終了し、または元のコマンドが実行されてスタンバイ スイッチがアクティブになるまでの間に発生した他の方法（たとえば、リンク障害）によりセッションが終了することがあります。 |
CoA 要求：バウンス ポート
RADIUS サーバの CoA bounce port が RADIUS サーバから送信されると、認証ポートでリンクのフラップが発生します。その結果、このポートに接続している 1 つまたは複数のホストから、DHCP の再ネゴシエーションが開始されます。この状況は、VLAN の変更があり、この認証ポートに関する変化を検出するメカニズムがないデバイス（プリンタなど）がエンドポイントの場合に発生する可能性があります。CoA bounce port は、次の新しい VSA を含む標準の CoA-Request メッセージで伝達されます。
Cisco:Avpair="subscriber:command=bounce-host-port"
このコマンドはセッション指向であるため、1 つ以上のセッション ID 属性とともに使用する必要があります。セッションが見つからない場合、スイッチは CoA-NAK メッセージと「Session Context Not Found」エラー コード属性を返します。このセッションがある場合は、スイッチはホスト ポートを 10 秒間ディセーブルし、再びイネーブルにし（ポート バウンス）、CoA-ACK を返します。
スイッチが CoA-ACK をクライアントに返す前にスイッチに障害が発生した場合は、クライアントから要求が再送信されるときに、新しいアクティブ スイッチ上でそのプロセスが繰り返されます。スイッチが CoA-ACK メッセージをクライアントに返した後で、かつその動作が完了していないときにスイッチに障害が発生した場合は、新しいアクティブ スイッチ上でその動作が再開されます。
セッション強制終了のスタック構成ガイドライン
スイッチ スタックでは、CoA 接続解除要求メッセージに必要な特別な処理はありません。
CoA 要求バウンス ポートのスタック構成 ガイドライン
bounce-port コマンドのターゲットはポートではなくセッションのため、セッションが見つからなかった場合、コマンドは実行できません。
スタック マスターで Auth Manager コマンド ハンドラが有効な bounce-port コマンドを受信すると、CoA-ACK メッセージを返す前に次の情報が確認されます。
-
ポート バウンスの必要性
-
ポート ID（ローカル セッション コンテキストで検出された場合）
スイッチで、ポート バウンスが開始されます（ポートが 10 秒間ディセーブルになり、再びイネーブルにされます）。
ポート バウンスが正常に実行された場合、ポート バウンスをトリガーした信号がスタンバイ スタック マスターから削除されます。
ポート バウンスの完了前にスタック マスターに障害が発生すると、（後で削除される）元のコマンドに基づいたスタック マスターの切り替え後、ポート バウンスが開始されます。
CoA-ACK メッセージの送信前にスタック マスターに障害が発生した場合、新たなスタック マスターでは、再送信コマンドが新しいコマンドとして扱われます。
CoA 要求ディセーブル ポートのスタック構成 ガイドライン
disable-port コマンドのターゲットはポートではなくセッションのため、セッションが見つからなかった場合、コマンドは実行できません。
スタック マスターにある Auth Manager コマンド ハンドラで、有効な disable-port コマンドを受信した場合、CoA-ACK メッセージを返す前に次の情報が検証されます。
-
ポート ディセーブルの必要性
-
ポート ID（ローカル セッション コンテキストで検出された場合）
スイッチで、ポートをディセーブルする操作が試行されます。
ポートをディセーブルする操作が正常に実行された場合、ポートをディセーブルする操作をトリガーした信号がスタンバイ スタック マスターから削除されます。
ポートをディセーブルする操作の完了前にスタック マスターに障害が発生すると、（後で削除される）元のコマンドに基づいたスタック マスターの切り替え後、ポートがディセーブルにされます。
CoA-ACK メッセージの送信前にスタック マスターに障害が発生した場合、新たなスタック マスターでは、再送信コマンドが新しいコマンドとして扱われます。
RADIUS のデフォルト設定
RADIUS および AAA は、デフォルトではディセーブルに設定されています。
セキュリティの失効を防止するため、ネットワーク管理アプリケーションを使用して RADIUS を設定することはできません。RADIUS をイネーブルに設定した場合、CLI を通じてスイッチにアクセスするユーザを認証できます。
RADIUS サーバ ホスト
スイッチと RADIUS サーバの通信には、次の要素が関係します。
RADIUS セキュリティ サーバは、ホスト名または IP アドレス、ホスト名と特定の UDP ポート番号、または IP アドレスと特定の UDP ポート番号によって特定します。IP アドレスと UDP ポート番号の組み合わせによって、一意の ID が作成され、特定の AAA サービスを提供する RADIUS ホストとして個々のポートを定義できます。この一意の ID を使用することによって、同じ IP アドレスにあるサーバ上の複数の UDP ポートに、RADIUS 要求を送信できます。
同じ RADIUS サーバ上の異なる 2 つのホスト エントリに同じサービス（たとえばアカウンティング）を設定した場合、2 番めに設定したホスト エントリは、最初に設定したホスト エントリのフェールオーバー バックアップとして動作します。この例では、最初のホスト エントリがアカウンティング サービスを提供できなかった場合、スイッチは「%RADIUS-4-RADIUS_DEAD」メッセージを表示し、その後、同じデバイス上で 2 番めに設定されたホスト エントリでアカウンティング サービスを試みます（RADIUS ホスト エントリは、設定した順序に従って試行されます）。
RADIUS サーバとスイッチは、共有するシークレット テキスト ストリングを使用して、パスワードの暗号化および応答の交換を行います。RADIUS で AAA セキュリティ コマンドを使用するように設定するには、RADIUS サーバ デーモンが稼働するホストと、そのホストがスイッチと共有するシークレット テキスト（キー）ストリングを指定する必要があります。
タイムアウト、再送信回数、および暗号キーの値は、すべての RADIUS サーバに対してグローバルに設定することもできますし、サーバ単位で設定することもできます。また、グローバルな設定とサーバ単位での設定を組み合わせることもできます。
RADIUS ログイン認証
AAA 認証を設定するには、認証方式の名前付きリストを作成してから、各種ポートにそのリストを適用します。方式リストは実行される認証のタイプと実行順序を定義します。このリストを特定のポートに適用してから、定義済み認証方式を実行する必要があります。唯一の例外は、デフォルトの方式リストです。デフォルトの方式リストは、名前付き方式リストを明示的に定義されたインターフェイスを除いて、自動的にすべてのポートに適用されます。
方式リストは、ユーザ認証のためクエリ送信を行う手順と認証方式を記述したものです。認証に使用する 1 つまたは複数のセキュリティ プロトコルを指定できるので、最初の方式が失敗した場合のバックアップ システムが確保されます。ソフトウェアは、リスト内の最初の方式を使用してユーザを認証します。その方式で応答が得られなかった場合、ソフトウェアはそのリストから次の認証方式を選択します。このプロセスは、リスト内の認証方式による通信が成功するか、定義された方式をすべて試し終わるまで繰り返されます。この処理のある時点で認証が失敗した場合（つまり、セキュリティ サーバまたはローカルのユーザ名データベースがユーザ アクセスを拒否すると応答した場合）、認証プロセスは停止し、それ以上認証方式が試行されることはありません。
AAA サーバ グループ
既存のサーバ ホストを認証用にグループ化するため、AAA サーバ グループを使用するようにスイッチを設定できます。設定済みのサーバ ホストのサブセットを選択して、それを特定のサービスに使用します。サーバ グループは、選択されたサーバ ホストの IP アドレスのリストを含むグローバルなサーバ ホスト リストとともに使用されます。
サーバ グループには、同じサーバの複数のホスト エントリを含めることもできますが、各エントリが一意の ID（IP アドレスと UDP ポート番号の組み合わせ）を持っていることが条件です。この場合、個々のポートをそれぞれ特定の AAA サービスを提供する RADIUS ホストとして定義できます。この一意の ID を使用することによって、同じ IP アドレスにあるサーバ上の異なる UDP ポートに、RADIUS 要求を送信できます。同じ RADIUS サーバ上の異なる 2 つのホスト エントリに同じサービス（たとえばアカウンティング）を設定した場合、2 番めに設定したホスト エントリは、最初に設定したホスト エントリのフェールオーバー バックアップとして動作します。最初のホスト エントリがアカウンティング サービスを提供できなかった場合、ネットワーク アクセス サーバは同じデバイス上でアカウンティング サービス用に設定されている 2 番めのホスト エントリを試行します。（試行される RADIUS ホスト エントリの順番は、設定されている順序に従います）。
AAA 許可
AAA 許可によってユーザが使用できるサービスが制限されます。AAA 許可をイネーブルにすると、スイッチは（ローカル ユーザ データベースまたはセキュリティ サーバ上に存在する）ユーザのプロファイルから取得した情報を使用して、ユーザのセッションを設定します。ユーザは、ユーザ プロファイル内の情報で認められている場合に限り、要求したサービスのアクセスが認可されます。
RADIUS アカウンティング
AAA アカウンティング機能は、ユーザが使用したサービスと、消費したネットワーク リソース量を追跡します。AAA アカウンティングをイネーブルにすると、スイッチはユーザの活動状況をアカウンティング レコードの形式で RADIUS セキュリティ サーバに報告します。各アカウンティング レコードにはアカウンティングの Attribute-Value（AV）ペアが含まれ、レコードはセキュリティ サーバに格納されます。これらのデータは、ネットワーク管理、クライアントへの課金、または監査のために後で分析できます。
ベンダー固有の RADIUS 属性
Internet Engineering Task Force（IETF）ドラフト規格に、ベンダー固有の属性（属性 26）を使用して、スイッチと RADIUS サーバ間でベンダー固有の情報を通信するための方式が定められています。各ベンダーは、Vendor-Specific Attribute（VSA）を使用することによって、一般的な用途には適さない独自の拡張属性をサポートできます。シスコが実装する RADIUS では、この仕様で推奨されるフォーマットを使用して、ベンダー固有のオプションを 1 つサポートしています。シスコのベンダー ID は 9 であり、サポート対象のオプションはベンダー タイプ 1（名前は cisco-avpair）です。この値は、次のフォーマットのストリングです。
protocol : attribute sep value *
protocol は、特定の認証タイプに使用するシスコのプロトコル属性の値です。 attribute および value は、シスコの TACACS+ 仕様で定義されている、該当の属性値（AV）ペアです。sep は、必須の属性の場合は =、任意指定の属性の場合は * です。TACACS+ 認証で使用できるすべての機能は、RADIUS でも使用できます。
cisco-avpair= ”ip:addr-pool=first“
cisco-avpair= ”ip:addr-pool*first“
cisco-avpair= ”shell:priv-lvl=15“
他のベンダーにも、それぞれ独自のベンダー ID、オプション、および関連する VSA があります。ベンダー ID および VSA の詳細については、RFC 2138『Remote Authentication Dial-In User Service（RADIUS）』を参照してください。
属性 26 には、次の 3 つの要素が含まれています。
次の図は、属性 26 の「背後で」カプセル化される VSA のパケット形式を示します。
（注） | VSA の形式はベンダーが指定します。Attribute-Specific フィールド（Vendor-Data とも呼ばれる）は、ベンダーによるその属性の定義によって異なります。 |
次の表に、「ベンダー固有 RADIUS IETF 属性テーブル」（次の 2 番目の表）で表示される重要なフィールドを示します。これは、サポート対象のベンダー固有 RADIUS 属性（IETF 属性 26）を表示します。
|
フィールド |
説明 |
|---|---|
|
Number |
次の表に示されるすべての属性は、IETF 属性 26 の拡張です。 |
|
Vendor-Specific Command Codes |
特定のベンダーの識別に使用する定義されたコード。コード 9 は Cisco VSA、311 は Microsoft VSA、529 は Ascend VSA を定義します。 |
|
Sub-Type Number |
属性 ID 番号。この番号は、属性 26 の背後でカプセル化される「2 番めのレイヤ」の ID 番号であること以外、IETF 属性の ID 番号に似ています。 |
|
Attribute |
属性の ASCII ストリング名。 |
|
Description |
属性の説明。 |
|
番号 |
ベンダー固有企業コード |
サブタイプ番号 |
属性 |
説明 |
||
|---|---|---|---|---|---|---|
|
MS-CHAP 属性 |
||||||
|
26 |
311 |
1 |
MSCHAP-Response |
PPP MS-CHAP ユーザがチャレンジに対する応答で提供するレスポンス値が含まれます。Access-Request パケットでしか使用されません。この属性は、PPP CHAP ID と同じです（RFC 2548） |
||
|
26 |
311 |
11 |
MSCHAP-Challenge |
ネットワーク アクセス サーバが MS-CHAP ユーザに送信するチャレンジが含まれます。これは、Access-Request パケットと Access-Challenge パケットの両方で使用できます。（RFC 2548） |
||
|
VPDN 属性 |
||||||
|
26 |
9 |
1 |
l2tp-cm-local-window-size |
L2TP 制御メッセージの最大受信ウィンドウ サイズを指定します。この値は、トンネルの確立中にピアにアドバタイズされます。 |
||
|
26 |
9 |
1 |
l2tp-drop-out-of-order |
正しくない順序で受信したデータ パケットをドロップして、シーケンス番号を順守します。これは受信した場合の処理方法であって、データ パケット上でシーケンス番号が送信されるわけではありません。 |
||
|
26 |
9 |
1 |
l2tp-hello-interval |
hello キープアライブ インターバルの秒数を指定します。ここで指定した秒数、トンネルでデータが送信されないと、hello パケットが送信されます。 |
||
|
26 |
9 |
1 |
l2tp-hidden-avp |
イネーブルにすると、L2TP 制御メッセージで、大文字小文字を区別する AVP にスクランブルがかけられるか、または非表示になります。 |
||
|
26 |
9 |
1 |
l2tp-nosession-timeout |
タイムアウトおよびシャットダウンまでに、セッションなしでトンネルがアクティブのままになる秒数を指定します。 |
||
|
26 |
9 |
1 |
tunnel-tos-reflect |
LNS でトンネルに入るパケットに対して、IP ToS フィールドを各ペイロード パケットの IP ヘッダーからトンネル パケットの IP ヘッダーにコピーします。 |
||
|
26 |
9 |
1 |
l2tp-tunnel-authen |
この属性を設定すると、L2TP トンネル認証が実行されます。 |
||
|
26 |
9 |
1 |
l2tp-tunnel-password |
L2TP トンネル認証および AVP 隠蔽に使用される共有秘密。 |
||
|
26 |
9 |
1 |
l2tp-udp-checksum |
これは認可属性で、L2TP がデータ パケットに対して UDP チェックサムを実行する必要があるかどうかを定義します。有効な値は「yes」と「no」です。デフォルトは「no」です。 |
||
|
Store and Forward Fax 属性 |
||||||
|
26 |
9 |
3 |
Fax-Account-Id-Origin |
mmoipaaareceive-id コマンドまたは mmoipaaasend-id コマンドについて、アカウント ID の発信元がシステム管理者によって定義されたものとして示します。 |
||
|
26 |
9 |
4 |
Fax-Msg-Id= |
Store and Forward Fax 機能によって割り当てられた一意のファクス メッセージ識別番号を示します。 |
||
|
26 |
9 |
5 |
Fax-Pages |
このファクス セッション中に送信または受信したページ数を示します。このページ数には、カバー ページも含まれます。 |
||
|
26 |
9 |
6 |
Fax-Coverpage-Flag |
カバー ページがこのファクス セッションのオフランプ ゲートウェイで生成されたかどうかを示します。true はカバー ページが生成されたことを示します。false はカバー ページが生成されなかったことを意味します。 |
||
|
26 |
9 |
7 |
Fax-Modem-Time |
モデムがファクス データを送信した時間（x）、およびファクス セッションの合計時間（y）を秒単位で示します。これには、fax-mail および PSTN 時間が x/y の形式で含まれます。たとえば、10/15 は送信時間が 10 秒で、合計ファクス セッションが 15 秒であったことを示します。 |
||
|
26 |
9 |
8 |
Fax-Connect-Speed |
この fax-mail が最初に送信または受信された時点のモデム速度を示します。有効値は、1200、4800、9600、および 14400 です。 |
||
|
26 |
9 |
9 |
Fax-Recipient-Count |
このファクス送信の受信者数を示します。E メール サーバがセッション モードをサポートするまで、この数字は 1 にする必要があります。 |
||
|
26 |
9 |
10 |
Fax-Process-Abort-Flag |
ファクス セッションが中断したこと、または正常に終了したことを示します。true はセッションが中断したことを示します。false はセッションが成功したことを示します。 |
||
|
26 |
9 |
11 |
Fax-Dsn-Address |
DSN の送信先のアドレスを示します。 |
||
|
26 |
9 |
12 |
Fax-Dsn-Flag |
DSN がイネーブルにされているかどうかを示します。true は DSN がイネーブルにされていることを示します。false は DSN がイネーブルにされていないことを示します。 |
||
|
26 |
9 |
13 |
Fax-Mdn-Address |
MDN の送信先のアドレスを示します。 |
||
|
26 |
9 |
14 |
Fax-Mdn-Flag |
メッセージ配信通知（MDN）がイネーブルにされているかどうかを示します。true は MDN がイネーブルにされていることを示します。false は MDN がイネーブルにされていないことを示します。 |
||
|
26 |
9 |
15 |
Fax-Auth-Status |
このファクス セッションに対する認証が成功したかどうかを示します。このフィールドに対する有効値は、success、failed、bypassed、または unknown です。 |
||
|
26 |
9 |
16 |
Email-Server-Address |
オンランプ fax-mail メッセージを処理する E メール サーバの IP アドレスを示します。 |
||
|
26 |
9 |
17 |
Email-Server-Ack-Flag |
オンランプ ゲートウェイが fax-mail メッセージを受け入れる E メール サーバから肯定確認応答を受信したことを示します。 |
||
|
26 |
9 |
18 |
Gateway-Id |
ファクス セッションを処理したゲートウェイの名前を示します。名前は、hostname.domain-name という形式で表示されます。 |
||
|
26 |
9 |
19 |
Call-Type |
ファクスのアクティビティのタイプを、fax receive または fax send のどちらかで記述します。 |
||
|
26 |
9 |
20 |
Port-Used |
この fax-mail の送受信いずれかに使用される Cisco AS5300 のスロット/ポート番号を示します。 |
||
|
26 |
9 |
21 |
Abort-Cause |
ファクス セッションが中断した場合、中断の信号を送信したシステム コンポーネントを示します。中断する可能性のあるシステム コンポーネントには、FAP（Fax Application Process）、TIFF（TIFF リーダーまたは TIFF ライター）、fax-mail クライアント、fax-mail サーバ、ESMTP クライアント、ESMTP サーバなどがあります。 |
||
|
H323 属性 |
||||||
|
26 |
9 |
23 |
Remote-Gateway-ID（h323-remote-address） |
リモート ゲートウェイの IP アドレスを示します。 |
||
|
26 |
9 |
24 |
Connection-ID （h323-conf-id） |
会議 ID を識別します。 |
||
|
26 |
9 |
25 |
Setup-Time （h323-setup-time） |
以前、グリニッジ標準時（GMT）およびズール タイムと呼ばれていた協定世界時（UTC）でのこの接続のセットアップ時間を示します。 |
||
|
26 |
9 |
26 |
Call-Origin （h323-call-origin） |
ゲートウェイに対するコールの発行元を示します。有効値は、originating および terminating です（回答）。 |
||
|
26 |
9 |
27 |
Call-Type （h323-call-type） |
コールのレグ タイプを示します。有効値は、telephony および VoIP です。 |
||
|
26 |
9 |
28 |
Connect-Time （h323-connect-time） |
このコール レッグの UTC での接続時間を示します。 |
||
|
26 |
9 |
29 |
Disconnect-Time （h323-disconnect-time） |
このコール レッグが UTC で接続解除された時間を示します。 |
||
|
26 |
9 |
30 |
Disconnect-Cause （h323-disconnect-cause） |
Q.931 仕様によって、接続がオフラインにされた理由を示します。 |
||
|
26 |
9 |
31 |
Voice-Quality （h323-voice-quality） |
コールの音声品質に影響する Impairment Factor（ICPIF）を指定します。 |
||
|
26 |
9 |
33 |
Gateway-ID （h323-gw-id） |
下位のゲートウェイの名前を示します。 |
||
|
大規模のダイヤルアウト属性 |
||||||
|
26 |
9 |
1 |
callback-dialstring |
コールバックに使用するダイヤリング文字列を定義します。 |
||
|
26 |
9 |
1 |
data-service |
説明はありません。 |
||
|
26 |
9 |
1 |
dial-number |
ダイヤルする番号を定義します。 |
||
|
26 |
9 |
1 |
force-56 |
チャネルの 64 K すべてが使用可能に見える場合でも、ネットワーク アクセス サーバが 56 K の部分のみを使用するかどうかを指定します。 |
||
|
26 |
9 |
1 |
map-class |
ユーザ プロファイルに、ダイヤルアウトするネットワーク アクセス サーバ上で同じ名前のマップ クラスで設定される情報の参照を許可します。 |
||
|
26 |
9 |
1 |
send-auth |
CLID 認証に続く、username-password 認証で使用するプロトコル（PAP または CHAP）を定義します。 |
||
|
26 |
9 |
1 |
send-name |
PPP 名前認証。PAP に適用する場合は、インターフェイス上で ppppapsent-namepassword コマンドを設定しないでください。PAP の場合、アウトバウンド認証の PAP ユーザ名および PAP パスワードとして、「preauth:send-name」および「preauth:send-secret」が使用されます。CHAP の場合、「preauth:send-name」は、アウトバウンド認証だけでなく、インバウンド認証にも使用されます。CHAP インバウンドの場合、NAS は発信元のボックスへのチャレンジ パケットに、「preauth:send-name」で定義された名前を使用します。
|
||
|
26 |
9 |
1 |
send-secret |
PPP パスワード認証。ベンダー固有属性（VSA）の場合、アウトバウンド認証の PAP ユーザ名および PAP パスワードとして、「preauth:send-name」および「preauth:send-secret」が使用されます。CHAP アウトバウンドの場合、「preauth:send-name」と「preauth:send-secret」の両方が応答パケットで使用されます。 |
||
|
26 |
9 |
1 |
remote-name |
大規模のダイヤルアウトで使用するリモート ホストの名前を提供します。ダイヤラは、大規模のダイヤルアウトのリモート名が認証された名前と一致することを確認し、偶発的なユーザ RADIUS 設定ミスから保護します（有効な電話番号にダイヤルしたが誤ったデバイスに接続されるなどのミスです）。 |
||
|
その他の属性 |
||||||
|
26 |
9 |
2 |
Cisco-NAS-Port |
NAS-Port アカウンティングに追加的なベンダー固有属性（VSA）を指定します。追加的な NAS-Port 情報を属性値ペア（AVPair）の形式で指定するには、radius-servervsasend グローバル コンフィギュレーション コマンドを使用します。
|
||
|
26 |
9 |
1 |
min-links |
MLP に対するリンクの最小数を設定します。 |
||
|
26 |
9 |
1 |
proxyacl#<n> |
ダウンロード可能なユーザ プロファイル（ダイナミック ACL）を、認証プロキシを使用して設定でき、これにより設定されたインターフェイスのトラフィックの通過を許可するよう、認証を設定できます。 |
||
|
26 |
9 |
1 |
spi |
登録中にホーム エージェントがモバイル ノードの認証で必要とする認証情報を伝送します。この情報は、ip mobile secure host <addr> コンフィギュレーション コマンドと同じ構文です。基本的に、この文字列に続く残りのコンフィギュレーション コマンドはそのまま含まれます。これにはセキュリティ パラメータ インデックス（SPI）、キー、認証アルゴリズム、認証モード、およびリプレイ保護タイムスタンプ範囲が含まれています。 |
||
ベンダー独自仕様の RADIUS サーバ通信
RADIUS に関する IETF ドラフト規格では、スイッチと RADIUS サーバ間でベンダー独自仕様の情報を通信する方式について定められていますが、RADIUS 属性セットを独自に機能拡張しているベンダーもあります。Cisco IOS ソフトウェアは、ベンダー独自仕様の RADIUS 属性のサブセットをサポートしています。
前述したように、RADIUS（ベンダーの独自仕様によるものか、IETF ドラフトに準拠するものかを問わず）を設定するには、RADIUS サーバ デーモンが稼働しているホストと、そのホストがスイッチと共有するシークレット テキスト ストリングを指定する必要があります。RADIUS ホストおよびシークレット テキスト ストリングを指定するには、radius-server グローバル コンフィギュレーション コマンドを使用します。
RADIUS の設定方法
RADIUS サーバ ホストの識別
Switchと通信するすべての RADIUS サーバに対して、これらの設定をグローバルに適用するには、radius-server timeout、radius-server retransmit、および radius-server key の 3 つの固有のグローバル コンフィギュレーション コマンドを使用します。
既存のサーバ ホストを認証用にグループ化するため、AAA サーバ グループを使用するようにSwitchを設定できます。詳細については、次の関連項目を参照してください。
RADIUS サーバ上でも、いくつかの値を設定する必要があります。これらの設定値としては、Switchの IP アドレス、およびサーバとSwitchの双方で共有するキー ストリングがあります。詳細については、RADIUS サーバのマニュアルを参照してください。
サーバ単位で RADIUS サーバとの通信を設定するには、次の手順を実行します。スイッチ上にグローバルな機能とサーバ単位での機能（タイムアウト、再送信回数、およびキーコマンド）を設定した場合、サーバ単位で設定したタイムアウト、再送信回数、およびキーに関するコマンドは、グローバルに設定したタイムアウト、再送信回数、およびキーに関するコマンドを上書きします。すべての RADIUS サーバに対してこれらの値を設定する方法については、次の関連項目を参照してください。
1.
enable
3.
radius-server host {hostname | ip-address} [auth-portport-number] [acct-portport-number] [timeoutseconds] [retransmitretries] [keystring]
6.
copy running-config startup-config
手順の詳細
RADIUS ログイン認証の設定
AAA 方式を使用して HTTP アクセスに対しスイッチのセキュリティを確保するには、ip http authentication aaa グローバル コンフィギュレーション コマンドでスイッチを設定する必要があります。AAA 認証を設定しても、AAA 方式を使用した HTTP アクセスに対しスイッチのセキュリティは確保しません。
1.
enable
3.
aaa new-model
4.
aaa authentication login {default | list-name} method1 [method2...]
5.
line [console | tty | vty] line-number [ending-line-number]
6.
login authentication {default | list-name}
9.
copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。 |
| ステップ 2 | configureterminal 例： Switch# configure terminal | |
| ステップ 3 | aaa new-model 例：
Switch(config)# aaa new-model
|
AAA をイネーブルにします。 |
| ステップ 4 | aaa authentication login {default | list-name} method1 [method2...] 例：
Switch(config)# aaa authentication login default local
|
ログイン認証方式リストを作成します。
|
| ステップ 5 | line [console | tty | vty] line-number [ending-line-number] 例：
Switch(config)# line 1 4
|
ライン コンフィギュレーション モードを開始し、認証リストを適用する回線を設定します。 |
| ステップ 6 | login authentication {default | list-name} 例：
Switch(config)# login authentication default
|
1 つの回線または複数回線に認証リストを適用します。 |
| ステップ 7 | end 例： Switch(config)# end | |
| ステップ 8 | show running-config 例： Switch# show running-config | |
| ステップ 9 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
AAA サーバ グループの定義
定義したグループ サーバに特定のサーバを関連付けるには、server グループ サーバ コンフィギュレーション コマンドを使用します。サーバを IP アドレスで特定することも、任意指定の auth-port および acct-port キーワードを使用して複数のホスト インスタンスまたはエントリを特定することもできます。
AAA サーバ グループを定義するには、次の手順を実行します。
1.
enable
3.
radiusservername
4.
address{ipv4| ipv6} {ip-address| hostname} auth-portport-numberacct-portport-number
5.
endstring
6.
end
8.
copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。 |
| ステップ 2 | configureterminal 例： Switch# configure terminal | |
| ステップ 3 | radiusservername 例：
Switch(config)# radius server ISE
|
RADIUS サーバの設定の名前を Protected Access Credential（PAC）のプロビジョニング用に指定し、RADIUS サーバ設定モードを開始します。 スイッチは、IPv6 対応の RADIUS をサポートしています。 |
| ステップ 4 | address{ipv4| ipv6} {ip-address| hostname} auth-portport-numberacct-portport-number 例：
Switch(config-radius-server)# address ipv4 10.1.1.1 auth-port 1645 acct-port 1646
|
RADIUS サーバのアカウンティングおよび認証パラメータの IPv4 アドレスを設定します。 |
| ステップ 5 | endstring 例：
Switch(config-radius-server)# key cisco123
|
デバイスと RADIUS サーバとの間におけるすべての RADIUS 通信用の認証および暗号キーを指定します。 |
| ステップ 6 | end 例：
Switch(config-radius-server)# end
|
RADIUS サーバ コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。 |
| ステップ 7 | show running-config 例： Switch# show running-config | |
| ステップ 8 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ユーザ イネーブル アクセスおよびネットワーク サービスに関する RADIUS 許可の設定
（注） | 許可が設定されていても、CLI を使用してログインし、認証されたユーザに対しては、許可は省略されます。 |
ユーザ特権アクセスおよびネットワーク サービスに関する RADIUS 許可を設定するには、次の手順を実行します。
1.
enable
3.
aaa authorization network radius
4.
aaa authorization exec radius
7.
copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。 |
| ステップ 2 | configureterminal 例： Switch# configure terminal | |
| ステップ 3 | aaa authorization network radius 例：
Switch(config)# aaa authorization network radius
|
ネットワーク関連のすべてのサービス要求に対するユーザ RADIUS 許可をスイッチに設定します。 |
| ステップ 4 | aaa authorization exec radius 例：
Switch(config)# aaa authorization exec radius
|
ユーザに特権 EXEC のアクセス権限がある場合、ユーザ RADIUS 許可をスイッチに設定します。 exec キーワードを指定すると、ユーザ プロファイル情報（autocommand 情報など）が返される場合があります。 |
| ステップ 5 | end 例： Switch(config)# end | |
| ステップ 6 | show running-config 例： Switch# show running-config | |
| ステップ 7 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
aaa authorization グローバル コンフィギュレーション コマンドと radius キーワードを使用すると、ユーザのネットワーク アクセスを特権 EXEC モードに制限するパラメータを設定できます。
aaa authorization exec radius local コマンドは、次の許可パラメータを設定します。
RADIUS アカウンティングの起動
RADIUS アカウンティングを開始するには、次の手順を実行します。
1.
enable
3.
aaa accounting network start-stop radius
4.
aaa accounting exec start-stop radius
7.
copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。 |
| ステップ 2 | configureterminal 例： Switch# configure terminal | |
| ステップ 3 | aaa accounting network start-stop radius 例：
Switch(config)# aaa accounting network start-stop radius
|
ネットワーク関連のあらゆるサービス要求に関して、RADIUS アカウンティングをイネーブルにします。 |
| ステップ 4 | aaa accounting exec start-stop radius 例： Switch(config)# aaa accounting exec start-stop radius
|
RADIUS アカウンティングをイネーブルにして、特権 EXEC プロセスの最初に記録開始アカウンティング通知、最後に記録停止通知を送信します。 |
| ステップ 5 | end 例： Switch(config)# end | |
| ステップ 6 | show running-config 例： Switch# show running-config | |
| ステップ 7 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
AAA サーバが到達不能の場合に、ルータとのセッションを確立するには、aaa accounting system guarantee-first コマンドを使用します。このコマンドは、最初のレコードとしてシステム アカウンティングを保証します（これがデフォルトの条件です）。場合によっては、システムがリロードされるまでコンソールまたは端末接続でセッションを開始できない場合があります。システムのリロードにかかる時間は 3 分を超えることがあります。
ルータのリロード時に AAA サーバが到達不能な場合、ルータとのコンソールまたは Telnet セッションを確立するには、no aaa accounting system guarantee-first コマンドを使用します。
AAA サーバが到達不能な場合のルータとのセッションの確立
aaa accounting system guarantee-first コマンドは、最初のレコードとしてシステム アカウンティングを保証します（これがデフォルトの条件です）。場合によっては、システムがリロードされるまでコンソールまたは端末接続でセッションを開始できない場合があります。システムのリロードにかかる時間は 3 分を超えることがあります。
ルータのリロード時に AAA サーバが到達不能な場合、ルータとのコンソールまたは Telnet セッションを確立するには、no aaa accounting system guarantee-first コマンドを使用します。
すべての RADIUS サーバの設定
すべての RADIUS サーバを設定するには、特権 EXEC モードで次の手順を実行します。
2.
radius-server keystring
3.
radius-server retransmitretries
4.
radius-server timeoutseconds
5.
radius-server deadtimeminutes
8.
copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 | configureterminal 例： Switch# configure terminal | |||
| ステップ 2 | radius-server keystring 例：
Switch(config)# radius-server key your_server_key
Switch(config)# key your_server_key
|
スイッチとすべての RADIUS サーバ間で共有されるシークレット テキスト ストリングを指定します。
| ||
| ステップ 3 | radius-server retransmitretries 例：
Switch(config)# radius-server retransmit 5
|
スイッチが RADIUS 要求をサーバに再送信する回数を指定します。デフォルトは 3 です。指定できる範囲は 1 ～ 1000 です。 | ||
| ステップ 4 | radius-server timeoutseconds 例：
Switch(config)# radius-server timeout 3
|
スイッチが RADIUS 要求に対する応答を待って、要求を再送信するまでの時間（秒）を指定します。デフォルトは 5 秒です。指定できる範囲は 1 ～ 1000 です。 | ||
| ステップ 5 | radius-server deadtimeminutes 例：
Switch(config)# radius-server deadtime 0
|
RADIUS サーバが認証要求に応答していない場合、このコマンドはそのサーバに対する要求を停止する時刻を指定します。これにより、要求がタイムアウトするまで待たずとも、次に設定されているサーバを試行することができます。デフォルトは 0 です。指定できる範囲は 0 ～ 1440 分です。 | ||
| ステップ 6 | end 例： Switch(config)# end | |||
| ステップ 7 | show running-config 例： Switch# show running-config | |||
| ステップ 8 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ベンダー固有の RADIUS 属性を使用するスイッチ設定
ベンダー固有仕様の RADIUS 属性を使用するようにスイッチを設定するには、次の手順を実行します。
1.
enable
3.
radius-server vsa send [accounting | authentication]
6.
copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。 |
| ステップ 2 | configureterminal 例： Switch# configure terminal | |
| ステップ 3 | radius-server vsa send [accounting | authentication] 例：
Switch(config)# radius-server vsa send accounting
|
スイッチが VSA（RADIUS IETF 属性 26 で定義）を認識して使用できるようにします。
キーワードを指定せずにこのコマンドを入力すると、アカウンティングおよび認証のベンダー固有属性の両方が使用されます。 |
| ステップ 4 | end 例： Switch(config)# end | |
| ステップ 5 | show running-config 例： Switch# show running-config | |
| ステップ 6 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ベンダー独自の RADIUS サーバとの通信に関するスイッチ設定
ベンダー独自仕様の RADIUS サーバ通信を使用するようにスイッチを設定するには、次の手順を実行します。
1.
enable
3.
radius-server host {hostname | ip-address} non-standard
4.
radius-server keystring
7.
copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。 | ||
| ステップ 2 | configureterminal 例： Switch# configure terminal | |||
| ステップ 3 | radius-server host {hostname | ip-address} non-standard 例：
Switch(config)# radius-server host 172.20.30.15 non-standard
|
リモート RADIUS サーバ ホストの IP アドレスまたはホスト名を指定し、RADIUS のベンダー独自仕様の実装を使用することを指定します。 | ||
| ステップ 4 | radius-server keystring 例：
Switch(config)# radius-server key rad124
|
スイッチとベンダー独自仕様の RADIUS サーバとの間で共有されるシークレット テキスト ストリングを指定します。スイッチと RADIUS サーバはこのテキスト ストリングを使用してパスワードを暗号化し、応答を交換します。
| ||
| ステップ 5 | end 例： Switch(config)# end | |||
| ステップ 6 | show running-config 例： Switch# show running-config | |||
| ステップ 7 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
スイッチ上での CoA の設定
CoA をスイッチで設定するには、次の手順を実行します。この手順は必須です。
1.
enable
3.
aaa new-model
4.
aaa server radius dynamic-author
5.
client {ip-address | name} [vrfvrfname] [server-keystring]
6.
server-key [0 | 7] string
7.
portport-number
8.
auth-type {any | all | session-key}
9.
ignore session-key
10.
ignore server-key
11.
authentication command bounce-port ignore
12.
authentication command disable-port ignore
13.
end
15.
copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。 |
| ステップ 2 | configureterminal 例： Switch# configure terminal | |
| ステップ 3 | aaa new-model 例：
Switch(config)# aaa new-model
|
AAA をイネーブルにします。 |
| ステップ 4 | aaa server radius dynamic-author 例：
Switch(config)# aaa server radius dynamic-author
|
スイッチを認証、許可、アカウンティング（AAA）サーバに設定し、外部ポリシー サーバとの相互作用を促進します。 |
| ステップ 5 | client {ip-address | name} [vrfvrfname] [server-keystring] |
ダイナミック許可ローカル サーバ コンフィギュレーション モードを開始し、デバイスが CoA を受け取り、要求を取り外す RADIUS クライアントを指定します。 |
| ステップ 6 | server-key [0 | 7] string 例：
Switch(config-sg-radius)# server-key your_server_key
|
RADIUS キーをデバイスと RADIUS クライアントとの間で共有されるように設定します。 |
| ステップ 7 | portport-number 例：
Switch(config-sg-radius)# port 25
|
設定された RADIUS クライアントから RADIUS 要求をデバイスが受信するポートを指定します。 |
| ステップ 8 | auth-type {any | all | session-key} 例：
Switch(config-sg-radius)# auth-type any
|
スイッチが RADIUS クライアントに使用する許可のタイプを指定します。 クライアントは、許可用に設定されたすべての属性と一致していなければなりません。 |
| ステップ 9 | ignore session-key |
（任意）セッション キーを無視するようにスイッチを設定します。 ignore コマンドの詳細については、Cisco.com 上の『Cisco IOS Intelligent Services Gateway Command Reference』を参照してください。 |
| ステップ 10 | ignore server-key 例：
Switch(config-sg-radius)# ignore server-key
|
（任意）サーバ キーを無視するようにスイッチを設定します。 ignore コマンドの詳細については、Cisco.com 上の『Cisco IOS Intelligent Services Gateway Command Reference』を参照してください。 |
| ステップ 11 | authentication command bounce-port ignore 例：
Switch(config-sg-radius)# authentication command bounce-port ignore
|
（任意）CoA 要求を無視して、セッションをホスティングするポートを一時的にディセーブルにするようにスイッチを設定します。ポートを一時的にディセーブルにする目的は、VLAN の変更が発生しても、その変更を検出するサプリカントがエンドポイント上にない場合に、ホストから DHCP 再ネゴシエーションを行わせることです。 |
| ステップ 12 | authentication command disable-port ignore 例：
Switch(config-sg-radius)# authentication command disable-port ignore
|
（任意）セッションをホスティングしているポートを管理上のシャットダウン状態にすることを要求する非標準コマンドを無視するようにスイッチを設定します。ポートをシャットダウンすると、セッションが終了します。 ポートを再びイネーブルにするには、標準の CLI または SNMP コマンドを使用します。 |
| ステップ 13 | end 例：
Switch(config-sg-radius)# end
|
特権 EXEC モードに戻ります。 |
| ステップ 14 | show running-config 例： Switch# show running-config | |
| ステップ 15 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
RADIUS サーバ ロード バランシングの設定
この機能を使用すると、アクセス要求および認証要求を、サーバ グループ内のすべての RADIUS サーバに対して均等に送信できます。詳細については、『Cisco IOS Security Configuration Guide, Release 12.4』の「RADIUS Server Load Balancing」の章を参照してください。
CoA 機能のモニタリング
|
コマンド |
目的 |
|---|---|
|
RADIUS コマンドの AAA 属性を表示します。 |
|
コマンド |
目的 |
|---|---|
| debug radius |
RADIUS のトラブルシューティングを行うための情報を表示します。 |
| debug aaa coa |
CoA 処理のトラブルシューティングを行うための情報を表示します。 |
| debug aaa pod | POD パケットのトラブルシューティングを行うための情報を表示します。 |
debug aaa subsys |
POD パケットのトラブルシューティングを行うための情報を表示します。 |
|
debug cmdhd [detail | error | events] |
コマンド ヘッダーのトラブルシューティングを行うための情報を表示します。 |
出力フィールドの詳細については、このリリースに対応するコマンド リファレンスを参照してください。
RADIUS によるスイッチ アクセスの制御の設定例
- 例：RADIUS サーバ ホストの識別
- 例：2 台の異なる RADIUS グループ サーバの使用
- 例：ベンダー固有の RADIUS 属性を使用するスイッチ設定
- 例：ベンダー独自仕様の RADIUS サーバとの通信に関するスイッチ設定
例：RADIUS サーバ ホストの識別
次に、1 つの RADIUS サーバを認証用に、もう 1 つの RADIUS サーバをアカウンティング用に設定する例を示します。
Switch(config)# radius-server host 172.29.36.49 auth-port 1612 key rad1 Switch(config)# radius-server host 172.20.36.50 acct-port 1618 key rad2
次に、host1 を RADIUS サーバとして設定し、認証およびアカウンティングの両方にデフォルトのポートを使用するように設定する例を示します。
Switch(config)# radius-server host host1
例：2 台の異なる RADIUS グループ サーバの使用
次の例では、2 つの異なる RADIUS グループ サーバ（group1 および group2）を認識するようにスイッチを設定しています。group1 では、同じ RADIUS サーバ上の異なる 2 つのホスト エントリを、同じサービス用に設定しています。2 番目のホスト エントリが、最初のエントリのフェールオーバー バックアップとして動作します。
Switch(config)# radius-server host 172.20.0.1 auth-port 1000 acct-port 1001 Switch(config)# radius-server host 172.10.0.1 auth-port 1645 acct-port 1646 Switch(config)# aaa new-model Switch(config)# aaa group server radius group1 Switch(config-sg-radius)# server 172.20.0.1 auth-port 1000 acct-port 1001 Switch(config-sg-radius)# exit Switch(config)# aaa group server radius group2 Switch(config-sg-radius)# server 172.20.0.1 auth-port 2000 acct-port 2001 Switch(config-sg-radius)# exit
例：ベンダー固有の RADIUS 属性を使用するスイッチ設定
たとえば、次の AV ペアを指定すると、IP 許可時（PPP の IPCP アドレスの割り当て時）に、シスコの複数の名前付き IP アドレス プール機能が有効になります。
cisco-avpair= ”ip:addr-pool=first“
次に、スイッチから特権 EXEC コマンドへの即時アクセスが可能となるユーザ ログインを提供する例を示します。
cisco-avpair= ”shell:priv-lvl=15“
次に、RADIUS サーバ データベース内の許可 VLAN を指定する例を示します。
cisco-avpair= ”tunnel-type(#64)=VLAN(13)” cisco-avpair= ”tunnel-medium-type(#65)=802 media(6)” cisco-avpair= ”tunnel-private-group-id(#81)=vlanid”
次に、この接続中に ASCII 形式の入力 ACL をインターフェイスに適用する例を示します。
cisco-avpair= “ip:inacl#1=deny ip 10.10.10.10 0.0.255.255 20.20.20.20 255.255.0.0” cisco-avpair= “ip:inacl#2=deny ip 10.10.10.10 0.0.255.255 any” cisco-avpair= “mac:inacl#3=deny any any decnet-iv”
次に、この接続中に ASCII 形式の出力 ACL をインターフェイスに適用する例を示します。
cisco-avpair= “ip:outacl#2=deny ip 10.10.10.10 0.0.255.255 any”
例：ベンダー独自仕様の RADIUS サーバとの通信に関するスイッチ設定
次に、ベンダー独自仕様の RADIUS ホストを指定し、スイッチとサーバの間で rad124 という秘密キーを使用する例を示します。
Switch(config)# radius-server host 172.20.30.15 nonstandard Switch(config)# radius-server key rad124
セキュア シェルの設定に関するその他の参考資料
関連資料
| 関連項目 | マニュアル タイトル |
|---|---|
|
セッション アウェアなネットワーキングに対するアイデンティティ コントロール ポリシーおよびアイデンティティ サービス テンプレートの設定。 |
『Session Aware Networking Configuration Guide, Cisco IOS XE Release 3SE (Catalyst 3850 Switches)』 |
| RADIUS、TACACS+、Secure Shell、802.1x および AAA の設定。 |
エラー メッセージ デコーダ
| 説明 | リンク |
|---|---|
|
このリリースのシステム エラー メッセージを調査し解決するために、エラー メッセージ デコーダ ツールを使用します。 |
https://www.cisco.com/cgi-bin/Support/Errordecoder/index.cgi |
標準および RFC
| 標準/RFC | タイトル |
|---|---|
|
なし |
MIB
| MIB | MIB のリンク |
|---|---|
|
本リリースでサポートするすべての MIB |
選択したプラットフォーム、Cisco IOS リリース、およびフィーチャ セットに関する MIB を探してダウンロードするには、次の URL にある Cisco MIB Locator を使用します。 |
シスコのテクニカル サポート
| 説明 | リンク |
|---|---|
|
シスコのサポート Web サイトでは、シスコの製品やテクノロジーに関するトラブルシューティングにお役立ていただけるように、マニュアルやツールをはじめとする豊富なオンライン リソースを提供しています。 お使いの製品のセキュリティ情報や技術情報を入手するために、Cisco Notification Service（Field Notice からアクセス）、Cisco Technical Services Newsletter、Really Simple Syndication（RSS）フィードなどの各種サービスに加入できます。 シスコのサポート Web サイトのツールにアクセスする際は、Cisco.com のユーザ ID およびパスワードが必要です。 |
RADIUS の機能情報
| リリース | 機能情報 |
|---|---|
| Cisco IOS XE 3.2SE |
この機能が導入されました。 |
|
Cisco IOS 15.2(1)E |
RADIUS 進捗コード機能は、進捗コードを通してコールが切断される前の接続状態を示す RADIUS 属性 196（Ascend-Connect-Progress）に新たな進捗コードを追加します。 |
|
Cisco IOS 15.2(1)E |
拡張テスト コマンド機能を使用すると、発呼回線 ID（CLID）または着信番号識別サービス（DNIS）属性値を持つ名前付きユーザ プロファイルを作成できます。RADIUS サーバがすべての着信コールの CLID または DNIS 属性情報にアクセスできるように、CLID または DNIS 属性値を、ユーザ プロファイルとともに送信される RADIUS レコードに関連付けることができます。 次のコマンドが導入または変更されました。aaa attribute、aaa user profile、test aaa group |
フィードバック