資料№ NTS-08-R-073(Rev.0 )オープンネット・ガード評価報告書

2009年3月25日
アラクサラネットワークス株式会社
ネットワークテクニカルサポート

Copyright © 2009 ALAXALA Networks Corp. All rights reserved.

For The Guaranteed Network

はじめに
■注意事項
本資料に記載の内容は、弊社が特定の環境において、基本動作や接続動作を確認したものであり、すべての環境で機能・性能・信頼性を保証するものではありません。

■商標一覧「オープンネット・ガード」は株式会社日立システムアンドサービスの登録商標です。
Windowsは、米国およびその他の国における米国Microsoft Corp. の登録商標です。
Red Hat は、Red Hat, Inc.の登録商標です。
Linuxは、Linus Torvaldsの米国およびその他の国における登録商標あるいは商標です。
その他記載の会社名、製品名はそれぞれの会社の商標もしくは登録商標です。

■関連資料
AXシリーズ製品マニュアル
AXシリーズ認証ソリューションガイド
オープンネット・ガード インストールマニュアル
オープンネット・ガード 運用マニュアル

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

2

For The Guaranteed Network目次
１．オープンネット・ガードとAXシリーズの連携概要
２．評価構成2-1．評価対象機器
2-2．評価構成図
３．検証結果3-1．認証機能評価結果
3-2．MAC認証ログ評価結果
3-3．Web認証ログ評価結果
４．オープンネットガード・設定
4-1．認証設定
4-2．認証ログの設定
５．認証ログ表示例
5-1.MAC認証ログの表示例
5-2.Web認証ログの表示例

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

3

For The Guaranteed Network1．オープンネット・ガードとAXシリーズの連携概要■AX認証機能とオープンネット・ガードの連携の特徴
1. オープンネット・ガードのRADIUS連携機能で、AXシリーズのMAC認証およびWeb認証の認証サーバとして連携可能です。
2. AXシリーズの認証ログと連携して、不正端末の接続および、登録ユーザまたは端末ごとに認証スイッチの接続ポートまで追跡可能です。
（ログはオープンネット・ガードのデータベースよりMACアドレスからユーザIDを検索して表示され検索が便利です。）3. AXシリーズのWeb認証とオープンネット・ガードのDHCP機能と連携することで、Web認証によるユーザ認証とDHCPサーバによる端末認証でネットワークへの不正接続をガードします。
■評価試験結果
AXシリーズの認証機能とオープンネット・ガードのRADIUS連携機能および認証ログ連携機能の評価試験を実施して問題なく動作する事を確認しました。

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

4

For The Guaranteed Network２．評価構成

2-1．評価対象機器■評価対象機器
本検証にて使用した機器及びソフトウェアのバージョンを以下の表に記載します。
●端末およびサーバとシステムコンポーネント
用途

OSコンポーネント

管理サーバ
RADIUSサーバ
DHCPサーバ
syslogサーバ

RedHat Enterprise Linux 5

端末

OSは問わないが本試験ではWindows XPを使用

オープンネット・ガード（エンタープライズ版）

Ver4.0

前提プログラム（注)ーSP2（注）オープンネット・ガードのインストールマニュアルに従い、Webサーバ、DHCPサーバ、RADIUSサーバなどのRed Hat Linux上で動作する各種前提プログラムを使用しました。
●認証スイッチ（AXシリーズ）
用途

機器名

バージョン

L3スイッチAX3630S

11.0

認証スイッチ①

AX2430S

11.0

認証スイッチ②

AX1230S

1.4.B

認証スイッチ③

AX1240S

2.0

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

5

For The Guaranteed Network２．評価構成

2-2．評価構成図■評価構成図
本検証は以下のネットワーク構成にて実施しました。
●構成図

●試験概要
1台のRed Hat Linux 5サーバ上にオープン
ネット・ガード管理サーバとオープンネット・ガードで連携する、DHCPサーバ、 RADIUS
サーバ、syslogサーバを構築し配下にAX
シリーズ認証スイッチを配置して以下の動作を確認

Red Hat Linux 5 サーバ
オープンネット・ガード管理サーバ
・DHCPサーバ ・RADIUSサーバ
・syslogサーバ

・MAC認証の連携
・Web認証の連携

DHCPリレー

・DHCPサーバ連携（登録端末のみに配布）
L3スイッチAX3630S・AlaxalA認証ログの確認●認証スイッチの設定概要
認証スイッチ①
AX2430S

認証スイッチ②
AX1230S

認証スイッチにMAC認証（固定VLAN、動的LAN)とWeb認証（固定VLAN、動的VLAN)を設定して、合計4種類の認証を定義。

認証スイッチ③
AX1240S

島HUB●オープンネット・ガードの設定概要
MAC認証
Web認証

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

6

試験対象ユーザの登録とユーザの使用端末を登録し、DHCPサーバRADIUSサーバ、syslogサーバと連携。

For The Guaranteed Network３．評価結果

3-1．認証機能評価結果■AXスイッチの認証機能とオープンネット・ガード連携の評価結果
試験対象機器

認証方式

認証モード

認証連携試験結果

AX2430S

MAC認証

固定VLAN○

動的VLAN○

固定VLAN○

動的VLAN○

固定VLAN○

動的VLAN○

固定VLAN○

動的VLAN○

固定VLAN○

動的VLAN○

固定VLAN○

動的VLAN○

Web認証

AX1230S

MAC認証

Web認証

AX1240S

MAC認証

Web認証

※表中の○は認証機能および登録MACアドレスによるDHCP連携動作が可能である事を示します。
動的VLAN時の応答定義は 以下を使用
Tunnel-Type = 13 ,Tunnel-Medium-Type = 6, Tunnel-Private-Group-ID = VLAN番号（VLAN名称でも可）Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

7

For The Guaranteed Network３．検証結果

3-2．MAC認証ログ確認結果■MAC認証ログの確認項目と結果
試験項目

確認項目

AX1230S、AX1240Ｓ

AX2400S、AＸ3600Ｓ

固定VLAN

固定VLAN

動的VLAN

動的VLAN

ログイン成功ログイン成功○○○○ログイン失敗未登録端末の接続○○○○

VLAN番号不正ー○ー○

最大接続時間○○○○無通信監視○○○○

リンクダウン○○○ー

ログアウトコマンド

○

○

○

○

認証開始

○

○

○

○

再認証ー

○

ーー

時刻表示

○

○

○

○

認証スイッチ

○

○

○

○

認証ポート

○

○

○

○

MACアドレス

○

○

○

○

ユーザID（ ※ ２）

○

○

○

○

ログアウト

システムメッセージ

ログ内の表示確認※ 表中の○はログ連携が正しく動作している事を示します。ーは当該機能のログをAX未サポートのログであることを示します。
試験結果について、運用上主要なログについて問題なく連携できる事を確認しました。
※ ２ ユーザIDはオープンネット・ガードのデータベースより認証機器のMACアドレスから検索され表示されます。
Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

8

For The Guaranteed Network３．検証結果

3-3．Web認証ログ確認結果■Web認証ログの確認項目と結果
試験項目

確認項目

AX1230S、AX1240Ｓ

AX2400S、AＸ3600Ｓ

固定VLAN

固定VLAN

動的VLAN

動的VLANログイン成功

ログイン成功○○○○ログイン失敗未登録端末の接続

○

○

○

○

VLAN番号不正ー○ー○

最大接続時間

○

○

○

○

無通信監視

○

○

○

○

リンクダウン

○

○

○

ー

ユーザ操作

○

○

○

○

ログアウトコマンド

○

○

○

○

認証開始

○

○

○

○

時刻表示

○

○

○

○

認証スイッチ

○

○

○

○

認証ポート

○

○

○

○

MACアドレス

○

○

○

○

認証ユーザ名○○○○

ユーザID（※２）

○

○

○

○

IPアドレス

○

○

○

○

ログアウト

システムメッセージ

ログ内の表示確認※ 表中の○はログ連携が正しく動作している事を示します。ーは当該機能のログをAX未サポートのログであることを示します。
試験結果について、運用上主要なログについて問題なく連携できる事を確認しました。
※ ２ ユーザIDはオープンネット・ガードのデータベースより認証機器のMACアドレスから検索され表示されます。
Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

9

For The Guaranteed Network４．オープンネット・ガードの設定

4-1．認証設定■オープンネット・ガードの設定に関してインストールマニュアルに従い各種前提プログラムとともに、オープンネット・ガード管理サーバをセットアップしAXの認証とログ連携に必要な設定をWeb画面から実施しました。
本章ではAXと相互接続確認で使用した認証関連の設定のポイント部分を抜粋して紹介します。
ユーザの登録や端末の登録作業などの共通操作は省略おり、作業ポイント部分のみを抜粋しています。詳細な設定に関してはオープンネット・ガード 運用マニュアルを参照してください。

■AXシリーズの認証に関する設定
AX認証スイッチの設定に関しては「AXシリーズ認証ソリューションガイド」を参照してください。オープンネット・ガードとの連携に関して、syslogサーバとRADIUSサーバをオープンネット・ガードの管理するサーバに設定する以外の特別な設定は必要ありません。

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

10

For The Guaranteed Network４．オープンネット・ガードの設定

4-1．認証設定■（１） 認証スイッチの登録OpenNET・Guard コントローラのURL: http://サーバ名/cntl/cntl_frame.php②③①

認証スイッチの登録は①RADIUSサーバ一覧を開き、②認証クライアン
ト情報を選択して、③の各種項目を入力後、④追加を行ない画面下の⑤保存を実行してください。
ここで設定された、認証クライアント名やコメントが認証ログに表示されます。

④⑤

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

11

For The Guaranteed Network4．オープンネット・ガードの設定

4-1．認証設定■（２） RADIUS設定情報の反映（１）のRADIUS設定に関する情報の変更をした場合は、①「起動/停止」から、RADIUSサーバへ情報の②「登録」と③「再起動」を実行します。

②

登録を選択して実行③

再起動を選択して実行①

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

12

For The Guaranteed Network4．オープンネット・ガードの設定

4-1．認証設定■（３） 認証情報の登録（MAC認証）

MAC認証を行なう場合は①「認証情報定義」より本画面を表示して②に示すように任意の認証グループ名、認証名、コメント、を入力し、③「認証種別」を端末用にします。

②③

MAC認証の場合は端末用を選択してください⑤
VLAN番号またはVLAN名称を指定します④④「認証定義」にユーザ名、パスワードともにMACアドレスの場合は、認証定義を左記のように入力します。
（⑦のプルダウンメニューで「MACアドレス認証」を選択し、「デフォルト値設定」ボタン押下で入力が可能。）
MAC認証のパスワードを認証スイッチのConfigで指定する場合は、Password＝””にMAC認証のパスワードを入力してください。
⑤「応答定義」は動的VLAN認証の場合にのみ必要です。

①⑥⑦

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

⑥「更新」ボタンで登録後に（5）の端末情報と関連付けを行ないます。

13

For The Guaranteed Network4．オープンネット・ガードの設定

4-1．認証設定■（４） 認証情報の登録（Web認証）
Web認証を行なう場合は ①「認証情報定義」より本画面を表示して②で任意の認証グループ名、認証名、コメン
ト、を入力し③「認証種別」をユーザ用にします。

②③

Web認証の場合はユーザ用を選択してください⑤
VLAN番号またはVLAN名称を指定します④④「認証定義」をWeb認証の場合は左記のように入力します。
（⑦のプルダウンメニューで「ＯＮＧユーザ認証」を選択し、「デフォルト値設定」ボタン押下で入力が可能。）⑤「応答定義」は動的VLAN認証の場合のみ必要です。
⑥「更新」ボタンで登録後（6）のユーザ情報に関連付けを行ないます。

①⑥⑦

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

14

For The Guaranteed Network4．オープンネット・ガードの設定

4-1．認証設定■（５） 端末情報と認証情報の関連付け（MAC認証）②①
RADIUS認証設定で（２）で登録した認証情報と関連付けします。

MAC認証を行なう場合、登録済み端末情報と（３）の認証情報の関連付けを行なう必要があります。端末の登録に関しては省略しています。
①「端末情報検索」から登録済み端末を検索して②「
RADIUS認証設定」で（３）にて設定済みの認証情報と関連付けします。
③「更新」で入力情報を反映します。

③

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

15

For The Guaranteed Network4．オープンネット・ガードの設定

4-1．認証設定■（６） ユーザ情報と認証情報の関連付け（Web認証）②

RADIUS認証設定で（３）で登録した認証情報と関連付けします。

①

Web認証を行なう場合は、登録済みユーザ情報を （３）で登録した認証情報と関連付けします。
①「ユーザ情報検索」から登録済みユーザ情報を検索して②「RADIUS認証設定」で（３）で登録した認証設定を関連付けしてします。

③「更新」で入力情報を反映します。

③

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

16

For The Guaranteed Network4．オープンネット・ガードの設定

4-1．認証設定■（７） ユーザ情報および認証情報の反映
利用状況モニター － 端末情報配信 」（３）～（６）の認証情報およびユーザや端末情報の追加や変更をした場合は「利用状況モニター － 端末情報配信 」から端末情報更新「登録」ボタンを押下するか、「システム定義 － コントロー
ラ定義 」のコントーラ設定「端末情報更新間隔」経過時、自動更新します。この場合、ファイル更新後、ＲＡＤＩＵＳサーバサービスを自動的に再起動します。

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

17

For The Guaranteed Network4．オープンネット・ガードの設定

4-2．認証ログの設定■認証ログの設定
認証ログの設定は、http/サーバ名/setup/index.phpの①「認証ログ定義」から行ないます。

OpenNET・Guard 設定のURL: http://サーバ名/setup/index.php②
認証ログ定義したい項目を選択してファイルを追加してください。

①②認証ログ、MAC認証ログ、Web認証を選択して読み込むログファイルを指定します。
③この時ログファイルを複数指定する場合は古いものから順に設定する必要があります。
（初期値）

③

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

syslogサーバ設定の初期値では認証のログ含めて全ログが/var/log/messagesに格納されファイル容量が制限を超えるかまたは1週間ごとに古いものをmessages.1 ,messages.2とリネームしてログファイルのローテションをします。
認証ログのファイルの順序に注意してください。
古いものから新しい順に設定する必要があり↑↓で追加後並べ替えてください。

18

ログの採取ファイル名の変更
等syslogの詳細な設定が必要です、オープンネット・ガードのマニュアル等を参照してｓｙｓlog.confなどの設定ファイルを変更する必要があります。

For The Guaranteed Network

5．認証ログ表示例

5-１．MAC認証ログの表示例■MAC認証ログ表示例（１）②MACアドレスてフィルタすることができます。

MAC認証ログを表示する
ためには①「AlaxalA認証ログ」を選択して、②「MAC認証ログ」を選択します。
日付の▼をクリックすると新⇔旧の並べ替えができます。
また、各表示項目をキーとしてログ表示のフィルタができます。
認証スイッチの機種名やユーザ名をオープンネット・ガードのデータベースに登録された情報と紐付けして表示するため追跡が容易です。

①

次のページに同一ログの右側部分を表示しています

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

19

For The Guaranteed Network

5．認証ログ連携

5-１．MAC認証ログの表示例■MAC認証ログ表示例（2）
一部のログを除き、ログインやログアウト要因などを、日本語に変換して表示します。
ポート番号やVLAN番号が付いたログはポート番号とVLAN番号を表示します。

一部ログを除き日本語変換されます。

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

20

For The Guaranteed Network

5．認証ログ連携

5-2．Web認証ログの表示例■Web認証ログ表示例（1）②

ユーザ名でフィルタできます。

Web認証ログを表示するためには①「AlaxalA認証ログ」を選択して、②「Web認証ログ」を選択します。
日付の▼をクリックすると新⇔旧の並べ替えができます。
各表示項目をキーとしてログ表示のフィルタができます。
認証スイッチの機種名やユーザ名をオープンネット・ガードのデータベースに登録された情報と紐付けして表示するため追跡が容易です。

①

次のページに同一ログの右側部分を表示しています

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

21

For The Guaranteed Network

5．認証ログ連携

5-2．Web認証ログの表示例■Web認証ログ表示例（2）
ポート番号やVLAN番号が付
いたログはボート番号およびVLAN番号を表示します。
一部ログを除き日本語日本語に変換され表示されます。
IPアドレスに関しては、認証時のIPアドレスが表示されますので動的VLANの場合認証前のIPアドレスになるため注意してください。

※「認証ログ」を選んだ場合は、MAC認証とWeb認証をマージして表示します。

一部ログを除き日本語変換されます。

Copyright ©2009 ALAXALA Networks Corp. All rights reserved.

22

For The Guaranteed Network