スイッチのユーザ認証と機器認証でセキュリティを確保する(内蔵RADIUSサーバーを利用)

設定内容

[注釈の説明]

注釈1:
ルート認証局の作成を確認するためのコマンドです。(y/n)で聞かれるため、yを入力します。

注釈2:
ユーザー1がIEEE 802.1X認証を利用するためのコマンドです。

注釈3:
ユーザー2がWeb認証を利用するためのコマンドです。
Webブラウザーを利用したWeb認証の方法は、「Webブラウザーを利用したWeb認証」をご覧ください。

注釈4:
ユーザー3がMAC認証を利用するためのコマンドです。
MACアドレスの形式は、ハイフン区切りの小文字を使用してください。

注釈5:
ユーザー1のクライアント証明書を発行するコマンドです。発行したクライアント証明書をサプリカントにインポートすると、IEEE 802.1X認証が利用できます。
クライアント証明書のインポート方法は、「クライアント証明書のインポート」をご覧ください。

設定の確認

・「show radius-server local user」コマンドで設定を確認します。

SWX3220#show radius-server local user
Total    3

userid                           name                             vlan mode
-------------------------------- -------------------------------- ---- ---------
user01                                                                 eap-tls
user02                                                                 peap
(MACアドレス3)                                                         peap
SWX3220#

・「show radius-server local certificate list」コマンドで設定を確認します。

SWX3220#show radius-server local certificate list
userid                           certificate id                                    enddate
-------------------------------- ------------------------------------------------- ----------
user01                           user01-0123456789ABCDEF                           2037/12/31

認証状況の確認

・「show auth supplicant」コマンドで設定を確認します。

SWX3220#show auth supplicant
 Port     MAC address    User name         Status          VLAN Method
 -------- -------------- ----------------- --------------- ---- ------
 port1.2  (MACアドレス1) user01            Authorized         1 802.1X
 port1.3  (MACアドレス2) user02            Authorized         1 WEB
 port1.4  (MACアドレス3) (MACアドレス3)    Authorized         1 MAC
 
SWX3220#

設定の概要

• サーバーの設定：認証局およびRADIUSサーバーの設定をします。
• ユーザーの管理：RADIUSユーザーの設定をします。
• 証明書の管理：クライアント証明書の発行をします。

サーバーの設定

1. スイッチのWeb GUIを開きます。

2.「スイッチのIPアドレスを変更する」にしたがって、スイッチのIPアドレスを設定します。

3.「詳細設定」をクリックします。

4.「アプリケーション層機能」をクリックします。

5.「RADIUS サーバー」をクリックします。

6.「サーバーの設定」をクリックします。

7.「認証局を作成する」の「進む」をクリックします。

8. 認証局の名前を設定し、「確認」をクリックします。

9.「実行」をクリックします。

10.「RADIUS サーバーの設定」の「設定」をクリックします。

11.「RADIUS サーバーの設定」を設定して、「確認」クリックします。

12. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

13. RADIUSサーバーの設定が完了しました。

ユーザーの管理

1.「ユーザーの管理」をクリックします。

2. 802.1X 認証ユーザーの設定をします。「新規」をクリックします。

3.「ユーザーの設定」を入力(選択)して、「確認」クリックします。

4. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

5. Web 認証ユーザーの設定をします。「新規」をクリックします。

6.「ユーザーの設定」を入力(選択)して、「確認」クリックします。

7. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

8. MAC 認証ユーザーの設定をします。「新規」をクリックします。

9.「ユーザーの設定」を入力(選択)して、「確認」クリックします。

10. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

11. RADIUSユーザーの設定が完了しました。

証明書の管理

1.「証明書の管理」をクリックします。

2. 証明書を発行したいユーザーにチェックを入れ、「発行」をクリックします。

3.「実行」をクリックします。

4. クライアント証明書の発行を開始しました。以上で、RADIUSサーバーの設定は完了です。
  クライアント証明書の発行が完了後、クライアント証明書をダウンロードして、PCにインポートしてください。
  クライアント証明書のインポート方法は、「クライアント証明書のインポート」をご覧ください。

設定内容

設定の確認

・「show auth status」コマンドで設定を確認します。

SWX2320#show auth status
[System information]
  802.1X Port-Based Authentication : Enabled
  MAC-Based Authentication         : Enabled
  WEB-Based Authentication         : Enabled

  Clear-state time : Not configured

  Redirect URL :
    Not configured

  Auth-web custom-file :
    There is no custom-file

  RADIUS server address :
    127.0.0.1 (port:1812)

  NAS-Identifier :

[Interface information]
  Interface port1.1 (up)
    802.1X Authentication   : Auto (configured:auto)
    MAC Authentication      : Enabled (configured:enable)
    WEB Authentication      : Enabled (configured:enable)
    Host mode               : Multi-supplicant
    Dynamic VLAN creation   : Disabled
    Guest VLAN              : Disabled
    Reauthentication        : Disabled
    Reauthentication period : 3600 sec
    MAX request             : 2 times
    Supplicant timeout      : 30 sec
    Server timeout          : 30 sec
    Quiet period            : 60 sec
    Controlled directions   : In (configured:both)
    Protocol version        : 2
    Clear-state time        : Not configured

SWX2320#

設定の概要

• 認証先サーバーの設定：接続先サーバーの設定をします。
• システムの設定：ポート認証で使用するシステムの設定をします。
• インターフェースの設定：ポート認証をするインターフェースの設定をします。

認証先サーバーの設定

1.「インターフェース設定」をクリックします。

2.「ポート認証」をクリックします。

3.「認証先サーバーの設定」をクリックします。

4.「新規」をクリックします。

5.「認証先の RADIUS サーバーの設定」を設定して、「確認」をクリックします。

6. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

7. 認証先のRADIUSサーバーの設定が完了しました。

システムの設定

1.「ポート認証の設定」をクリックします。

2.「システムの設定」の「設定」をクリックします。

3.「システムの設定」を設定して、「確認」をクリックします。

4. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

5. ポート認証で使用する、システムの設定が完了しました。

インターフェースの設定

1.「port1.1」の「設定」をクリックします。

2.「インターフェースの設定」を設定して、「確認」をクリックします。

3. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

4. ポート認証の設定が完了しました。以上で、認証スイッチの設定は完了です。

RADIUSサーバー(スイッチ)で発行した「クライアント証明書」を、PCにインポートします。
ここでは、microSDカードを使用して、証明書ファイルをコピーする方法を説明します。

1. RADIUSサーバーにmicroSDカードを挿入します。

2. クライアント証明書をmicroSDカードにコピーします。

SWX3220#certificate export sd user user01
SWX3220#

3. PCにmicroSDカードを挿入し、証明書ファイルをコピーします。

4. クライアント証明書をダブルクリックします。

5.「次へ」をクリックします。

6.「次へ」をクリックします。

7. スイッチの「RADIUSサーバー」で設定した、ユーザー1のパスワード（本設定例では、password01）を入力し、「次へ」をクリックします。

8.「次へ」をクリックします。

9.「完了」をクリックします。

10.「はい」をクリックします。

11.「OK」をクリックします。以上で、クライアント証明書のインポートは完了です。

Webブラウザーを利用して、Web認証をします。

1. Webブラウザーを起動し、ログイン画面が表示されるのを待ちます。
※ログイン画面が自動で表示されない場合、アドレスバーに「http://192.168.100.240/wba_gateway.html」と半角英字で入力し、Enterキーを押してください。

2. 必要な設定を入力し、「ログイン」をクリックします。

3. 画面が自動で遷移するのを待ちます。

4. ログインが完了しました。以上で、Web認証は完了です。