AX シリーズ

プル

認証ソリューションガイド

資

料

サ

ン

1

第 12 版
資料 No. NTS-07-R-015

アラクサラネットワークス株式会社

認証ソリューションガイド（第 12 版）

はじめに
本ガイドは、AX シリーズ（AX1200S/AX2200S/AX2400S /AX2500S/ AX3600S/AX3800S）でサポートしているネットワーク認証機能を用いて、システム構築のための技術情報をシステムエンジニアの方へ提供し、セキュリティの高いシステムの構築と安定稼動を目的として書かれています。RADIUS サーバの設定に関しては、各種 RADIUS サーバ毎に用意した別冊の「RADIUS サーバ設定ガイド」を参照下
さい。
AX3800S シリーズについては、AX3600S シリーズと機能差分は無いため本資料では、AX3600S を
物理ポート等のコンフィグ差分は製品マニュアルを参照ください。

関連資料

プ
ル

参照してください。

・RADIUS サーバ設定ガイド

Windows Server 2003 編

・RADIUS サーバ設定ガイド

Windows Server 2008 編

・AX シリーズ 認証ソリューションガイド（マルチステップ認証編）

・AX シリーズ 認証ソリューションガイド（RADIUS サーバグループ選択機能編）

・AX シリーズ製品マニュアル（http://www.alaxala.com/jp/techinfo/manual/index.html）
Web 認証マニュアル SSL 証明書運用編

本ガイド使用上の注意事項

ン・別冊

本ガイドに記載の内容は、弊社が特定の環境において、基本動作や接続動作を確認したものであり、サすべての環境で機能・性能・信頼性を保証するものではありません。弊社製品を用いたシステム構築の一助としていただくためのものとご理解いただけますようお願いいたします。
Windows 製品に関する詳細はマイクロソフト株式会社のドキュメント等を参照下さい。
本ガイド作成時の OS ソフトウエアバージョンは以下のようになっております。

料

AX1230S

Ver1.4.K

Ver2.4.A

AX2400S

Ver11.7.F

AX3600S

Ver11.11

資AX1240S /AX1250S/AX2200S

AX2500S

Ver3.5

本ガイドの内容は、改良のため予告なく変更する場合があります。

輸出時の注意

本製品を輸出される場合には、外国為替及び外国貿易法の規制並びに米国輸出管理規制など外国の輸出関連法規をご確認の上、必要な手続きをおとりください。
なお、不明な場合は、弊社担当営業にお問い合わせ下さい。
商標一覧
・アラクサラの名称およびロゴマークは、アラクサラネットワークス株式会社の商標および登録商標です。

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

2

認証ソリューションガイド（第 12 版）

・イーサネット、Ethernetは、富士ゼロックス（株）の商品名称です。
・Microsoftは、米国およびその他の国における米国Microsoft Corp.の登録商標です。
・Windowsは、米国およびその他の国における米国Microsoft Corp. の登録商標です。
・Mac OS Xは、米国およびその他の国におけるApple Inc.の登録商標です。
・そのほかの記載の会社名、製品名は、それぞれの会社の商標もしくは登録商標です。

AX1230S (Ver1.4.K)•

AX1240S (Ver2.4.A)•

AX2430S (Ver11.7.F)•

AX3630S (Ver11.11)•

AX2530S (Ver3.5)•

Windows Server 2008 R2 Standard•

Windows XP Professional (SP3)•

Windows Vista Ultimate (SP2)•

Windows 7 (SP2)•

Windows 8•

Mac OS X v10.5 Leopard

使用ブラウザ一覧

ン

•

プ
ル

使用機器一覧

Internet Explorer (Version8)•

Internet Explorer (Version9)•

Internet Explorer (Version10)•

Firefox (20.0)•

Safari (3.1.1)

資

料

サ

•

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

3

認証ソリューションガイド（第 12 版）

改訂履歴
日付
2007.7.26.
2007.9.28.
2007.12.5.
2008.3.21.
2008.6.2.
2008.9.24
2009.1.30

第8版
第9版

－
－

2009.5.22
2009.7.24

第 10 版－

2010.1.18

変更内容

変更箇所
－
－
－
－
－
－
－

省略
1.2.5 章に注意事項 6.2.10 章への参照追加
5 章 構築ノウハウの章を追加
Web 認証で外部 Web サーバを使用するを追加
6章 注意事項を追加
Web 認証で SSL を使用する場合の注意事項追加
はじめに関連資料にマルチステップ編,RADIUS サーバグループ選択機
能編を追加
AX のソフトウェアバージョン更新
1 章ネットワーク認証概要
RADIUS アトリビュートの解説を修正
AX-Networker’s-Utility(Web 認証画面入替えツール)を追加
2 章 AX シリーズの認証機能サポート一覧
RADIUS アトリビュートの解説を修正
表 2.6-1 にポート単位の Web 認証画面選択を追加
RADIUS サーバグループ選択機能を追加
6 章 注意事項
URL リダイレクトの負荷対策バージョンを追加
AX2400S/AX3600S 使用時の同一 VLAN 内の端末移動の変更
端末移動後の VLAN が変わる場合の再認証の必要性を追加
7 章 運用コマンド
AX1240S 使用時の RADIUS サーバ状態表示コマンドに変更
動的 VLAN(MACVLAN)使用時のレイヤ 2 ハードウェアテーブ
ルの検索方式をオートに設定

－
1.2.5
5
5.1
6
6.2.10
はじめに

初版発行
省略
省略
省略
省略
省略
省略

プ
ル

rev.
－
－
－
－
－
－
－

1

2010.3.26

資第 10 版

料

サ

ン

版数
初版
第2版
第3版
第4版
第5版
第6版
第7版

第 11 版－

2011.1.7

はじめに
AX2500S シリーズを追加、使用機器 Ver 更新
2 章 AX シリーズの認証機能サポート一覧
AX2500S シリーズを追加
AX6000S シリーズへダイナミック VLAN を追加
3 章 AX シリーズの認証機能サポート一覧
AX2500S 構築例の追加
6 章 注意事項
AX2500S の注意事項を追加（AX1200S シリーズと共通）
7 章 運用コマンド
AX2500S の運用コマンド追加（AX1200S シリーズと共通）
付録 コンフィグレーション（AX2500S 追加）

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

1.2.4.2
1.5
2.4
2.6
2.9
6.2.2
6.2.4
6.2.7
7.1.1
3.3.2(1)3.3.3(1)3.3.4(1)
はじめに

2 章全般
2.1,2.6,2.7
3.3,3.5
6 章全般
７章全般

4

認証ソリューションガイド（第 12 版）

2013.6.28

はじめに
AX2200S シリーズを追加、使用機器 Ver 更新、AX3800S について AX3600S を参照する記述を追加
1章
AX2200S シリーズ追加
ダイナミック ACL/QoS 認証について追加（AX2500S シリーズ）
2章
AX2200S シリーズ追加
AX2500S エンハンス内容更新(Ver3.1～ Ver3.5)
3章
AX2200S シリーズ追加（AX1200S シリーズを参照へ）
AX2500S ダイナミック ACL およびトランクポートによる
VLANTag 付き認証を追加

プル

第 12 版

4章
4.1.3 WindowsXP(SP2)から IEEE802.1X 接続を開始する方法を削除
Windows7 /Windows 8 の設定例の追加

1 章全般
1.4

2 章全般
2.11
3.1
3.2
3.5

4.1
4.2

5 章全般

6章
IEEE802.1X 注意事項見直し（Windows7/Windows8 追加など）
AX2200S シリーズ追加
AX2500S ポートリンクダウン時の認証解除抑止追加
およびその他見直し
ダイナミック VLAN において認証成功画面表示に関する注意
事項追加

6 章全般

資

料

サ

ン

5章
外部 Web サーバ連携において、AX2500S シリーズのエンハ
ンス内容追加 外部 Web サーバコンフィグ指定、外部 Web サ
ーバポーリング、認証成功時に認証前にアクセスしていた URL
を自動表示する機能追加

７章
AX2200S 追加
AX2500S は差分がある事を追加

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

7 章全般

5

認証ソリューションガイド（第 12 版）

目次

ネットワーク認証概要 ...................................................................................................................... 10
1.1.

ネットワーク認証とは ................................................................................................................11

1.2.

認証方式の特徴およびシステム要素 ......................................................................................... 12

1.2.1.

概要.............................................................................................................................. 12

1.2.1.2.

拡張認証プロトコル(EAP) .......................................................................................... 13

1.2.1.3.

EAP 認証シーケンス ................................................................................................... 14

1.2.1.4.

EAPOL フレームフォーマット................................................................................... 15

プル

1.2.1.1.

1.2.2.

Web 認証 ............................................................................................................................ 16

1.2.2.1.

概要.............................................................................................................................. 16

1.2.2.2.

Web 認証シーケンス ................................................................................................... 17

1.2.3.

MAC 認証 ............................................................................................................................ 19
概要.............................................................................................................................. 19

1.2.3.2.

MAC 認証シーケンス .................................................................................................. 19ン

1.2.3.1.

1.2.4.

RADIUS (Remote Authentication Dial-In User Services) ................................................... 20

1.2.4.1.

RADIUS 概要 ............................................................................................................... 20

1.2.4.2.

RADIUS アトリビュート ............................................................................................ 21

1.2.5.
1.3.

IEEE802.1X 認証 ................................................................................................................ 12

サ

1.

CA(Certificate Authority) ..................................................................................................... 23

AX でサポートする認証モードの特徴 ....................................................................................... 25

1.3.1.

固定 VLAN モードの特徴.................................................................................................... 26
IEEE802.1X 認証（ポート単位） ............................................................................... 27

1.3.1.2.

IEEE802.1X 認証（VLAN 単位） ................................................................................ 28

料

1.3.1.1.

動的 VLAN モードの特徴.................................................................................................... 29

1.3.3.

レガシーモードの特徴........................................................................................................ 31

資1.3.2.

2.

1.4.

ダイナミック ACL/QoS 認証機能について ............................................................................... 32

1.5.

ネットワーク認証と検疫ネットワーク ..................................................................................... 36

1.6.

AX-Networker’s-Utility（Ｗｅｂ認証画面入替えツール）..................................................... 38

AX シリーズの認証機能サポート一覧 .............................................................................................. 39

2.1.

認証方式 ..................................................................................................................................... 39

2.2.

ユーザ認証データベース ........................................................................................................... 43

2.3.

ログ出力機能 ............................................................................................................................. 43

2.4.

RADIUS アトリビュート ........................................................................................................... 44

2.5.

IEEE802.1X 認証機能 ................................................................................................................ 45

2.6.

Web 認証機能 ............................................................................................................................ 46

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

6

認証ソリューションガイド（第 12 版）

MAC 認証機能 ............................................................................................................................ 47

2.8.

収容条件 ..................................................................................................................................... 47

2.9.

RADIUS サーバグループ選択機能............................................................................................. 48

2.10.

リンクアグリゲーションポートでの認証機能 ....................................................................... 49

2.11.

ダイナミック ACL/QoS 機能 ................................................................................................. 49

認証ネットワークの構築................................................................................................................... 50
3.1.

認証ネットワーク概要 ............................................................................................................... 50

3.2.

固定 VLAN モード ...................................................................................................................... 51
認証ネットワーク構成図 .................................................................................................... 51

3.2.2.

構築ポイント ...................................................................................................................... 53

3.2.3.

AX1200S のコンフィグレーション .................................................................................... 56

3.2.4.

AX2400S のコンフィグレーション .................................................................................... 60

3.2.5.

AX3600S のコンフィグレーション .................................................................................... 64

3.3.

プ
ル

3.2.1.

固定 VLAN モード（AX2500S シリーズ）................................................................................ 67
認証ネットワーク構成図 .................................................................................................... 67

3.3.2.

構築ポイント ...................................................................................................................... 69

3.3.3.

AX2500S のコンフィグレーション .................................................................................... 72

3.4.

ン

3.3.1.

動的 VLAN モード ...................................................................................................................... 77

3.4.1.

認証ネットワーク構成図 .................................................................................................... 77

3.4.2.

構築ポイント ...................................................................................................................... 79

3.4.3.

AX1200S のコンフィグレーション .................................................................................... 82

3.4.4.

AX2400S のコンフィグレーション .................................................................................... 86

3.4.5.

AX3600S のコンフィグレーション .................................................................................... 90

動的 VLAN モード(AX2500S) .................................................................................................... 91

料

3.5.

サ

3.

2.7.

3.5.1.

認証ネットワーク構成図 .................................................................................................... 91

3.5.2.

構築ポイント ...................................................................................................................... 93

3.5.3.

AX2500S のコンフィグレーション .................................................................................... 96

端末側の設定方法 ........................................................................................................................... 100

資
4.

4.1.

IEEE802.1X 認証 Windows XP の設定方法............................................................................. 100

4.1.1.

EAP-TLS 方式の設定方法 ................................................................................................ 100

4.1.2.

EAP-PEAP 方式の設定方法 ............................................................................................. 103

4.2.

IEEE802.1X 認証 Windows Vista/Windows7/Windows8 の設定方法 ..................................... 105

4.2.1.

EAP-TLS 方式の設定方法 ................................................................................................ 105

4.2.2.

EAP-PEAP 方式の設定方法 ............................................................................................. 108

4.3.

IEEE802.1X 認証 Mac OS X の設定方法 .................................................................................113

4.3.1.

証明書の確認方法 ..............................................................................................................113

4.3.2.

EAP-TLS 方式の設定方法 .................................................................................................114

4.3.3.

EAP-PEAP 方式の設定方法 ..............................................................................................117

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

7

認証ソリューションガイド（第 12 版）

Web 認証の端末側設定方法..................................................................................................... 120

4.5.

MAC 認証の端末側設定方法 .................................................................................................... 120

構築ノウハウ ................................................................................................................................... 121
5.1.

6.

Web 認証で外部 Web サーバを使用する ................................................................................ 121

5.1.1.

外部 Web サーバ構築の注意点 ......................................................................................... 123

5.1.2.

Web サーバ上の html ファイルの設定例 .......................................................................... 124

注意事項 .......................................................................................................................................... 126
6.1.

IEEE802.1X 認証に関する注意事項 ........................................................................................ 126

6.1.1.

IEEE802.1X 端末検出機能に関する注意事項 .................................................................. 126

6.1.2.

IEEE802.1X 端末検出機能の注意事項詳細解説............................................................... 127

6.1.2.1.

プ
ル

5.

4.4.

Windows の IEEE802.1X サプリカント動作差分の解説 .......................................... 127

Windows の IEEE802.1X 認証に関する注意事項............................................................. 131

6.1.4.

RADIUS サーバ冗長化に関する注意事項 ........................................................................ 132

6.1.5.

ログアウトに関する注意事項 ........................................................................................... 134

6.1.6.

再認証機能に関する注意事項 ........................................................................................... 134

6.1.7.

端末移動に関する注意事項 .............................................................................................. 135

6.1.8.

認証中に接続不可となった場合 ....................................................................................... 135

6.1.9.

強制認証機能に関する注意事項 ....................................................................................... 135

6.2.

ン

6.1.3.

Web 認証に関する注意事項..................................................................................................... 137
Web 認証前に通信許可する項目 ...................................................................................... 137

6.2.2.

プロキシサーバ使用時の注意事項 ................................................................................... 137

6.2.3.

固定 VLAN モードの Web 認証のログアウト条件 ........................................................... 138

6.2.4.

固定 VLAN モードの Web 認証の端末移動に関する注意事項 ......................................... 138

サ

6.2.1.

動的 VLAN モードの Web 認証ネットワーク構築に関する注意事項 .............................. 139

6.2.6.

動的 VLAN モードの Web 認証のログアウトに関する注意事項 ..................................... 141

6.2.7.

動的 VLAN モードの Web 認証の端末移動に関する注意事項 ......................................... 141

6.2.8.

動的 VLAN モードの Web 認証成功時の画面表示、URL 移動に関する注意事項 ........... 142

資料

6.2.5.

6.2.9.

AX2400S / AX3600S シリーズの Ver10.7 新機能を使用する場合の注意事項 ................ 143

6.2.10.

Web 認証で SSL を使用する場合の注意事項 ............................................................... 144

6.3.

MAC 認証に関する注意事項 .................................................................................................... 145

6.3.1.

固定 VLAN モードの MAC 認証のログアウトに関する注意事項..................................... 145

6.3.2.

動的 VLAN モードの MAC 認証のログアウトに関する注意事項..................................... 146

6.3.3.

非認証端末接続時の RADIUS への負荷 ........................................................................... 146

6.4.

認証関連共通の注意事項 ......................................................................................................... 147

6.4.1.

動的 VLAN（MAC VLAN）における注意事項 ................................................................. 147

6.4.2.

動的 VLAN モードにおける VLAN 自動アサイン機能について ....................................... 149

6.4.3.

動的 VLAN と固定 VLAN 混在に関して ........................................................................... 149

6.4.4.

RADIUS デッドインターバルタイマについて ................................................................. 150

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

8

認証ソリューションガイド（第 12 版）

6.5.

AX1240S 使用時の注意事項 .................................................................................................... 150

6.5.1.

運用コマンド ................................................................................................................................... 151
7.1.

AX1200S/AX2200S/AX2500S シリーズの運用コマンド ........................................................ 151

7.1.1.

認証状態表示コマンド...................................................................................................... 151

7.1.2.

ログ確認コマンド ............................................................................................................. 154

7.1.3.

認証状態初期化コマンド .................................................................................................. 154

7.2.

AX2400S/AX3600S シリーズの運用コマンド ........................................................................ 155

7.2.1.

認証状態表示コマンド...................................................................................................... 155

7.2.2.

ログ確認コマンド ............................................................................................................. 158

7.2.3.

認証状態初期化コマンド .................................................................................................. 158

プ
ル

7.

フィルタのコンフィグレーションについて ..................................................................... 150

コンフィグレーション ......................................................................................................... 159

付録 B.

外部Ｗｅｂサーバ入替えファイル ....................................................................................... 159

資

料

サ

ン

付録 A.

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

9

認証ソリューションガイド（第 12 版）

1. ネットワーク認証概要
本章では、AX シリーズを用いて、ネットワーク認証を行なうために必要な情報として、1.1 章ネットワーク認証の概要と、1.2 章で AX がサポートする認証方式（IEEE802.1X 認証、Web 認証、MAC
認証）について説明し、1.3 章で AX における認証端末をどの通信インタフェース単位で認証させる
か選択する認証モード（ポート単位、動的 VLAN、固定 VLAN）について説明し、1.4 章では検疫シ

料

サ

ン

プ
ル

ステムの概要を説明します。

資

図 1.1-1 アラクサラのトリプル認証

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

10

認証ソリューションガイド（第 12 版）

1.1.

ネットワーク認証とは

現在、ネットワークは絶えず不正アクセスの脅威にさらされています。従来は外部からのアクセスに対して、ファイアウォール等の装置にて不正アクセスを防いでいましたが、それでも機密情報の漏洩や個人情報の流出事件が多発しました。最近では外部からのアクセスだけでなく、むしろ内部からの不正アクセスが問題となっています。
また、昨今叫ばれている企業の内部統制の必要性から、IT による情報システムによって、業務の管理・記録を残すことも重要となってきています。
そのために、ネットワークにアクセスする際に、アクセスする本人がシステムに登録された正規のユプルーザであるかを確認する、ネットワーク認証システムが必要とされています。
ネットワーク認証システムによって、以下のことが実現できます。

1) 不特定多数が同時に接続するネットワークにおいて、許可されたユーザに対してのみネットワー
クサービスを提供することにより、リソースの枯渇を防ぎます。

2) 正規の権限を認められていない情報資源に対して、ネットワークアクセスを許可しないことにより、ネットワークおよび情報システムの安全性を確保します。

3) 情報資源の有効活用および万が一情報漏洩が発生した場合の危機管理という観点から、ネットワ

資

料

サ

ン

ークや情報資源の利用状況および利用者の把握を行います。

図 1.1-1 ネットワーク認証概要

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

11

認証ソリューションガイド（第 12 版）

1.2.

認証方式の特徴およびシステム要素
IEEE802.1X 認証

1.2.1.

1.2.1.1. 概要

IEEE802.1X 認証は、アクセス可能なポートからの不正な接続を規制する機能です。バックエンドに
認 証サ ーバ (Authentication Server,一 般 的 には RADIUS サ ー バ )を 設置 し、 認証 サー バに よる 端末(Supplicant)の認証が成功した上で、スイッチ(Authenticator)が通信を許可します。
端末(Supplicant)-スイッチ(Authenticator)間の認証処理に関わる通信は EAP Over LAN(EAPOL)で行って認証情報を交換します。
構成要素と動作概略を以下に示します。

表 1.2-1

2

動作概略

ン

Authenticator ( ス イ ッ Supplicant のネットワークへのアクセスを制御します。
チ)Supplicant と Authentication Server(RADIUS サーバ)の仲介に位置し、相互間の認証シーケンスをトランスペアレン
トに行います。Supplicant に識別情報を要求し、その情報を認証サーバで確認し、Supplicant に応答をリレーしま
す。Authenticator は、EAP フレームのカプセル化/カプセ
ル化解除、および RADIUS サーバとの対話を処理します。
Supplicant(端末)IEEE802.1X の仕様では、クライアント(端末)は Supplicantといい、IEEE802.1X に準拠するソフト又は OS(Windows
XP 等)の搭載が必要です。
Authentication Server
Supplicant の認証を行います。認証サーバは Supplicant(RADIUS サーバ)の識別情報を確認し、要求元の Supplicant にサービスへのアクセスを許可すべきかどうかを Authenticator に通知
します。

資

料

3

構成要素

IEEE802.1X 認証の構成要素

サ

項
番
1

プ
ル

います。スイッチ(Authenticator)－認証サーバ(RADIUS サーバ)間は EAP Over RADIUS プロトコルを使端末(Supplicant)スイッチ(Authenticator)

図 1.2-1

RADIUS サーバ(Authentication Server)

IEEE802.1X 認証の構成要素

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

12

認証ソリューションガイド（第 12 版）

1.2.1.2. 拡張認証プロトコル(EAP)

EAP(Extensible Authentication Protocol)は複数の認証方式が提案されています。

表 1.2-2

認証方式
EAP-MD5

PEAP(Protected EAP))3

EAP-TLS

4

EAP-TTLS

この方式は、ユーザ ID とパスワードによるクライアント
認証であり、電子証明書を必要としないため実装が容易になるというメリットがあります。ただし、クライアントのみを認証する片方向認証であることや、暗号解読による漏洩には脆弱な面もあります。また、Windows XP SP1 以降からは非対応(削除)になりましたが、EAP の実装では
MD5 をサポートすることが義務付けられています。
クライアント側ではユーザ ID とパスワードによる認証、
認証サーバ側では電子証明書による認証が行われる方式。
Cisco-PEAP と MS-PEAP があります。Windows では
MS-PEAP を標準で対応しています。
TLS は、情報を暗号化して安全に送受信するプロトコル
で、電子証明書を利用してクライアントと認証サーバの相互認証を行います。電子証明書を使うためセキュリティは高いですが、クライアントと認証サーバの双方で電子証明書の管理が必要となり、PKI 導入基盤が用意されていない
場合は使い難いと言われています。なお、Windows が標準で対応しています。
MD5 と TLS 双方の利点を併せ持った方式。トンネルを張り認証を行うことでセキュリティを確保します。クライアント側ではユーザ ID とパスワードによる認証を行うこと
で、導入・管理・運用が TLS と比較して容易だといわれています。また、認証サーバ側では電子証明書が利用されるため、高いセキュリティ性の確保が可能です。ただし、TTLS 対応の Supplicant と認証サーバが必要となります。

料

サ

ン

2

特徴

プ
ル

項
番
1

IEEE802.1X の EAP 認証方式

資

暗号強度や鍵生成・配布のプロセスという観点からは、EAP-TLS がもっとも信頼性の高い認証方式となりますが、運用の負荷を考えると PEAP を選択するメリットもあります。

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

13

認証ソリューションガイド（第 12 版）

1.2.1.3. EAP 認証シーケンス

サ

ン

プ
ル

EAP のやり取りを以下に示します。

料

図 1.2-2 EAP 認証シーケンス

1. Supplicant からの EAP-Start または Authenticator からの EAP-Request/Identity によって、EAP
シーケンスを開始します。認証は常に EAP-Start から始まらなければいけないというわけでは資

なく、Authenticator は常に EAP-Request/Identity を送信して認証を促すことができます。
また、

Windows XP はデフォルトの設定では EAP-Start を送信しないため、端末を検知するまでには
EAP-Request/Identity の送信間隔を待たなければなりません。

2. Supplicant はユーザ識別子を収集し、Response/Identity メッセージにユーザ識別子を挿入し送信します。
3. Authenticator は Response/Identity を RADIUS Access-Request に変換し、Authentication Server(例では RADIUS Server)に転送します。
4. Authentication Server からは認証チャレンジが発行されます。認証チャレンジは、Authenticator
が EAP に変換して Supplicant に転送します。
5. 認 証チャ レンジ を受信した Supplicant は、利 用してい る認証 方式と 合致し ている 場合は
Response を返します。認証方式が合致していなかった場合は、Response/NAK を返します。
6. Authenticator は認証方式が合致するまで、方式を変えて認証チャレンジを再送します。

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

14

認証ソリューションガイド（第 12 版）

7. Supplicant は認証方式が合致した場合、Response/(認証タイプ)を返信します。
8. Authentication Server から Accept が返ってくると、Authenticator はポートを開放し、Successの通知を Supplicant に転送します。

料

サ

ン

プ
ル

1.2.1.4. EAPOL フレームフォーマット

図 1.2-3

IEEE802.1X の EAPOL フレームフォーマット

資

EAPOL の宛先 MAC アドレスは予約マルチキャストとなっています。このアドレスは他の予約マルチ

キャストアドレスと同様に、IEEE802.1D では中継しないことを推奨されているため、スイッチによっては廃棄されてしまうことがありますのでご注意下さい。
(IEEE 802.1D-2004 7.12.6 Reserved address)

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

15

認証ソリューションガイド（第 12 版）

1.2.2.

Web 認証1.2.2.1. 概要

Web 認証は、Firefox や Internet Explorer などの汎用の Web ブラウザを利用してユーザ ID およびパスワードを使った認証によりユーザを認証し、ユーザが使用する端末の MAC アドレスを使用して認証状態に移行させ、認証後のネットワークへのアクセスを可能にする機能です。
本機能により、端末側に特別なソフトウェアをインストールすることなく、Web ブラウザのみで認証を行うことが可能となります。

プル

クライアントとスイッチ間のプロトコルは基本の http に加え、認証情報を暗号化するための https をサポートしています。

Web 認証では1.3章にて説明する動的 VLAN モードと固定 VLAN モードを選択することができます。
動的 VLAN モードでは、MACVLAN ポートで認証することにより、同一ポート配下でユーザ毎に VLAN
を切り替えることが可能です。認証前は認証前 VLAN に接続され認証後に指定された VLAN に切り替えンます。また認証前と認証後で VLAN(ネットワーク)切り替わるため、固定 IP の端末は使用できません。
固定 VLAN モードでは、アクセスポートで認証する場合はポート単位で VLAN が固定となります。ト
ランクポートでの認証もサポートしており、この場合 Tag-VLAN で認証が可能です。認証前と認証後の

サ

VLAN 切り替えが発生しないので固定 IP 端末の接続が可能となります。固定 VLAN モードでは、認証
前には認証専用のアクセスリストに登録された宛先のみ通信可能です。

資料注）マニュアルでは動的 VLAN の事をダイナミック VLAN と表記している場合があります。

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

16

認証ソリューションガイド（第 12 版）

1.2.2.2. Web 認証シーケンス

サ

ン

プ
ル

以下に動的 VLAN モードにおける Web 認証の動作シーケンスについて示します。

資料

図 1.2-4 動的 VLAN モードにおける Web 認証シーケンス

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

17

認証ソリューションガイド（第 12 版）

以下に固定 VLAN モードにおける Web 認証（URL リダイレクト有効時）の動作シーケンスについて示

サ

ン

プ
ル

します。

図 1.2-5 固定 VLAN モードにおける Web 認証シーケンス

固定 VLAN モードにおける Web 認証では、IP アドレスは固定および DHCP での配布どちらでも利用料可能です。ただし DHCP で IP アドレスを配布する場合には、認証前の PC からの DHCP のトラフィッ
クを許可する設定が必要です。

固定 VLAN では URL リダイレクト機能をサポートしており、認証前の PC から任意の Web アクセス

資があった場合、認証画面を自動的に表示することができます。

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

18

認証ソリューションガイド（第 12 版）

1.2.3.

MAC 認証1.2.3.1. 概要

ネットワークに繋がる端末は、PC のみとは限りません。
近年では PC 以外にプリンタや IP 電話機、
ビデオカメラ等の端末もネットワークでの利用が前提となってきています。それらの端末についても、
ネットワークの利用状況の管理や、通信する部分を制限するために、端末認証を行う必要があります。
上記の PC 以外の端末では、Web ブラウザや IEEE802.1X の Supplicant 機能を持たないものが多い
ため、端末から送信されるパケットの送信元 MAC アドレスを使ってユーザを認証する、MAC 認証

プルがあります。
しかし、一般的に MAC アドレスは偽装が簡単で、フラッディングしているパケットをキャプチャ
できると、容易に認証済み MAC アドレスを識別することができるため、認証としての強度は高いものではありません。使用するポートや VLAN、スイッチについて注意が必要となります。

1.2.3.2. MAC 認証シーケンス

資

料

サ

ン

以下に MAC 認証時の動作シーケンスを示します。

図 1.2-6 MAC 認証シーケンス

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

19

認証ソリューションガイド（第 12 版）

1.2.4.

RADIUS (Remote Authentication Dial-In User Services)

1.2.4.1. RADIUS 概要

RADIUS(ラディウス)は、ネットワーク資源の利用可否の判断(認証)と、利用の記録(アカウンティン
グ)のためのプロトコルです。その名の示すとおり、元来はダイヤルアップ接続のために開発された認証システムですが、現在はダイヤルアップのみならず、様々なサービスに対して認証とアカウンティングを実現するプロトコルとして幅広く利用されています。クライアントサーバモデルのプロトコルのため、サーバがクライアントに対してサービス停止を行うことは基本的にできません。

プル

RADIUS の基本的な特性は以下のとおりです。
・ 認証(Authentication)、承認(Authorization)、アカウンティング(Accounting)
ルをサポートしています。
・即ち AAA モデ

Hop to Hop のセキュリティモデルを採用しています。(信頼関係を持つ AAA サーバ間では要求の転送によって承認を得ることができます。)

UDP ベースのプロトコルであり、接続開始前にチャレンジ情報のやり取りを行います。

・

PAP 認証、CHAP 認証をサポートしています。

・

MD5 を利用したパスワード隠蔽の仕組みを備えています。

・

状態情報を持ちません。

ン・RADIUS では認証基盤として自前のデータベースのみならず、外部の Active Directory ドメインサー

サバなどの LDAP に対応したディレクトリサーバや、NT サーバ、SQL サーバ等と連携することが可能で資料す。これにより、ユーザの管理効率を大幅に向上させることも可能となります。

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

20

認証ソリューションガイド（第 12 版）

1.2.4.2. RADIUS アトリビュート

RADIUS には属性値ペア(AVP: Attribute Value Pair)と呼ばれる登録情報があります。属性値ペアは、
属性番号と長さ、属性からなり、属性番号ごとに属性値ペアの値の意味が規定されています。
AX が使用する主な属性名を以下に示します。

User-Name

2

NAS-IP-Address

3Service-Type

4

Session-Timeout

属性名

Type
値
1

4

解説

パケット
タイプ
Request認証されるユーザ名。
MAC 認証の場合は認証端末の送信元 MAC ア
ドレスになります。(小文字 ASCII, "-"区切り)
認証要求をしているスイッチの IP アドレス。 Request
AX2400S、AX3600S、AX6000S は、ローカ
ルアドレスが設定されている場合はローカ
ルアドレス、設定されていない場合は送信イ
ンタフェースの IP アドレスになります。
AX1200S,AX2200S,AX2500S は、VLAN IDの一番小さな VLAN インタフェースの IP ア
ドレスになります。
提供するサービスタイプ。Framed(2)固定。 Request
AcceptIEEE802.1X 認証の場合は、Supplicant へ送 Challenge
信した EAP-Request に対する応答待ちタイ Accept
ムアウト値。
AX2400S、AX3600S、AX6000S は、項番 5の Termination-Action が
RADIUS-Request(1)に設定されていた場合、以下の値で再認証を行います。
0：再認証は無効
1～60：60 秒で再認証
61～65535：設定された値で再認証

プ
ル

項
番
1

AX が使用する RADIUS アトリビュートン

表 1.2-3

6

資

料

サ

27

5

Termination-Action

29

6

Called-Station-Id

30

AX1200S,AX2200S,AX2500S はこの属性を参照せず、コンフィグレーションに従います。
（6.1.6章参照）
Accept
再認証時の動作指定。
AX2400S、AX3600S、AX6000S は、この属性が RADIUS-Request(1)に設定されていると、装置で再認証を設定していない場合でも強制的に再認証を行います。
AX1200S,AX2200S,AX2500S はこの属性を参照せず、コンフィグレーションに従います。
（6.1.6章参照）

スイッチの MAC アドレス（小文字 ASCII、"-" Request

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

21

認証ソリューションガイド（第 12 版）

属性名

Type
値

7

Calling-Station-Id

31

8

NAS-Identifier

32

9NAS-Port-Type

61

64

11

65

Tunnel-Medium-Type区切り）。AX1230S では未サポート。
認証端末の MAC アドレス（小文字 ASCII、"-" Request
区切り）。
Request
Web認証・MAC認証の場合
固定VLAN モード時に認証端末を収容しているVLAN ID を数字文字列で応答します。
例：VLAN ID 100 の場合 100
ダイナミックVLAN モードおよびIEEE802.1X
認証では，コンフィグレーションコマンド
hostname で指定された装置名を応答します。
スイッチがユーザ認証に使用している物理 Request
ポートのタイプ。
IEEE802.1X 認証では Ethernet(15)固定。
Web 認証および MAC 認証では Virtual(5)固定。
Acceptトンネル・タイプ。
動的 VLAN モードでのみ意味を持ちます。
VLAN(13)固定。
Acceptトンネルを作成する際のプロトコル。
動的 VLAN モードでのみ意味を持ちます。
IEEE802(6)固定。
AcceptVLAN を識別する文字列。
動的 VLAN モードでのみ意味を持ちます。
Accept 時は、認証済みの端末に割り当てる
VLAN ID になります。
次に示す文字列が対応します。
(1)VLAN ID を示す文字列(2)"VLAN"+VLAN ID を示す文字列(3)”VLAN 名称による割り当て
文字列にスペースを含んではいけません（含めた場合 VLAN 割り当ては失敗します）。
（設定例）
VLAN10 の場合(1)の場合 "10"(2)の場合 "VLAN10"(3)の場合は VLAN に名称を設定することでVLAN 名による VLAN 配布が可能です、たとえば 2 台のスイッチにおいて同一ユーザで所属させたい VLAN 番号が異なる環境でも名称を一致させることで運用可能です。
RequestIEEE802.1X 認証でのみセットされますSupplicant を認証する Authenticator のポートを識別するための文字列。
ポート単位認証：“Port x/y”
固定 VLAN 認証：“VLAN x”
動的 VLAN 認証：“DVLAN x”（x、y には数字が入る）
ただし AX1230S では入りません

81

資

料

サ

12 Tunnel-Private-Group-ID

パケット
タイプ

ン

10 Tunnel-Type

解説

プ
ル

項
番

13 NAS-Port-Id

87

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

22

認証ソリューションガイド（第 12 版）

1.2.5.

CA(Certificate Authority)

CA とは電子的な身分証明書を発行・管理する機関のことであり、認証局、CA 局または CA センターなどと呼ばれています。CA にはパブリック CA とプライベート CA があり、前者は第三者が発行する証明書によりサーバおよび本人性を証明します。後者は企業内などに閉じた範囲で、企業ポリシーに基づいて運用されます。
CA ではユーザの公開鍵の管理や電子証明書を発行し、証明書は、発行者(CA)のみが知る秘密鍵で暗号化された電子署名、ユーザ識別子、ユーザ公開鍵、証明書有効期限等で構成されています。
証明書の発行に関しては、適用する端末認証方式によって差異があります。即ち EAP-TLS ではサー
ではクライアント証明書は必要ありません。
1) パブリック CAプル

バ証明書およびクライアント証明書の双方をやり取りする必要がありますが、EAP-PEAP、EAP-TTLS

外部機関に委託することになるため、信頼性が高く、保守や運用の面でメリットがありますが、証明書の発行にコストが必要となります。特に EAP-TLS を採用する場合はクライアント数分の証
明書発行コストがかかることになります。
2) プライベート CAン

また、Web 認証にて HTTPS を行う場合でも、証明書を機器台数分用意することになります。
パブリック CA とは逆に、証明書の発行コストはかかりませんが、自営システムのため構築・運用・保守のコストがかかります。また、ローカルな証明書になるため、Web 認証で IE を使用し

資

料

サ

た場合は、以下の警告が表示されます。

図 1.2-7 Windows の Internet Explorer（IE7 以降 IE8,IE9,IE10）セキュリティ警告画面

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

23

認証ソリューションガイド（第 12 版）

AX シリーズでは Web 認証にて https を使用したセキュア認証を実現するため工場出荷時にプライベートの CA から発行されたサーバ証明書がインストールされています。Web 認証で https で認証した場

資

料

サ

ン

プ
ル

合には証明書エラーが表示されます。回避手段は注意事項6.2.10を参照してください。

Copyright © 2007-2013, ALAXALA Networks Corporation. All rights reserved.

24気になる続きは…

・アラクサラ インテグレータ会員
または・ビジネスパートナー様会員にご登録いただければ、全てをご覧いただけます！

アラクサラ インテグレータ会員またはビジネスパートナー様会員へ登録することで、アラクサラ製品のご利用にあたり役立つ各種資料(システム構築ガイドなど)を全て閲覧することができます。ぜひこの機会にご登録下さい。

アラクサラネットワークス株式会社〒212-0058
川崎市幸区鹿島田一丁目 1 番 2 号 新川崎三井ビル西棟
http://www.alaxala.com/