資料サンプル

AX シリーズ
ネットワーク・パーティション ソリューションガイド
[認証編]

第 2 版

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）

はじめに
AX シリーズ ネットワーク・パーティション ソリューションガイド[認証編]は、アラクサラネットワークス社 AXシリーズ AX6700S,AX6600S,AX6300S でサポートしているネットワーク・パーティションと、同 AX シリーズ
AX3600S,AX2400S,AX1200S シリーズでサポートしているネットワーク認証機能を組み合わせたシステム構
築のための基本的な技術情報をシステムエンジニアの方へ提供し、ネットワーク・パーティションによる各論理ネットワークをネットワーク認証により安全・安心に利用できるシステムの構築とその安定稼動を目的として書かれています。

プル

関連資料
・AX シリーズ ネットワーク・パーティション ソリューションガイド [基本編]・AX シリーズ ネットワーク・パーティション ソリューションガイド [応用編]・AX シリーズ 認証ソリューションガイド
・AX シリーズ 認証ソリューションガイド (RADIUS サーバグループ選択機能編)・AX シリーズ RADIUS サーバ設定ガイド
・AXシリーズ製品マニュアル（ http://www.alaxala.com/jp/techinfo/manual/index.html ）ン

本資料使用上の注意事項
本資料に記載の内容は、弊社が特定の環境において基本動作を確認したものであり、機能・性能・信頼性についてあらゆる環境条件すべてにおいて保証するものではありません。弊社製品を用いたシステム構築の一助としていただくためのものとご理解いただけますようお願いいたします。
本資料作成時の OS ソフトウェアバージョンは特記の無い限り以下となっております。
AX6700S, AX6600S, AX6300S
Ver11.3 (OP-NPAR ライセンス有)
AX3600S, AX2400S
Ver11.2.A
AX1240S
Ver2.2

料サ

本資料の内容は、改良のため予告なく変更する場合があります。

輸出時の注意本資料を輸出される場合には、外国為替および外国貿易法ならびに米国の輸出管理関連法規などの規制をご確認の上、必要な手続きをお取りください。

資商標一覧
・アラクサラの名称およびロゴマークは、アラクサラネットワークス株式会社の商標および商標登録です。
・Ethernetは、米国Xerox Corp.の商品名称です。
・イーサネットは、富士ゼロックス（株）の商品名称です。
・そのほかの記載の会社名、製品名は、それぞれの会社の商標もしくは登録商標です。

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

2

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）

改訂履歴
rev.
－－

日付
2009.3.26
2010.2.19

変更内容
初版発行
VRF対応装置にAX6600S追加、認証スイッチをAX1240Sに変更
AX6700S,AX6600S,AX6300S(Ver11.3対応)およびAX1240S(Ver2.2対応)
2章 使用できる認証機能とシステム設計のポイント
RADIUSサーバグループ選択機能により複数パーティションを1台に収容した構成を追加
DHCPリレーエージェント機能のエクストラネット対応紹介
3章 パーティション個別認証システムの構築例
RADIUSサーバグループ選択機能を利用したネットワーク構成例を追加(構築のポイント、コンフィグ例など)
4章 複数パーティション統合認証システムの構築例RADIUSおよび認証後DHCPをひとつのサーバに統合し、認証前DHCPをサーバ側アクセススイッチとしたシステムに変更
5章 注意事項
RADIUSサーバグループ選択機能により、RADIUSとの組み合わせの条件が緩和される旨を記載

変更箇所
－
はじめに

2.2.1
2.2.2(2)3.4,3.5

4.1,4.2,
4.3

(2)

資料
サン

プル

版数
初版
第2版

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

3

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）

目次
ネットワーク・パーティションと認証.........................................................................................51.
1.1

ネットワーク・パーティションと認証機能のコラボレーション ...............................................................5

1.2

各機能の分担について .................................................................................................................6

使用できる認証機能とシステム設計のポイント .....................................................................72.
2.1

AXシリーズの認証機能について....................................................................................................72.2

ネットワークに対する認証スイッチとその他サーバの配置 ................................................................8プル

パーティション個別認証システムの構築例 ........................................................................... 123.
3.1

認証スイッチをパーティション毎に置く構成の例............................................................................123.2

認証スイッチをパーティション毎に置く構成での設定ポイント .........................................................15

3.3

コンフィグレーション例 .................................................................................................................163.4

RADIUSサーバグループ選択機能を利用したネットワーク構成 .....................................................223.5

RADIUSサーバグループ選択機能を使ったシステムの設定ポイント ..............................................253.6

コンフィグレーション例 .................................................................................................................26

4.1

ネットワーク構成図 ......................................................................................................................29

4.2

設定のポイント.............................................................................................................................32

4.3

コンフィグレーション例 .................................................................................................................34

料
サ

5.

ン

4. 複数パーティション統合認証システムの構築例.................................................................... 29

注意事項 .................................................................................................................................................... 43

資

付録： コンフィグレーションファイル ............................................................................................. 44

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

4

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）

1. ネットワーク・パーティションと認証
1.1

ネットワーク・パーティションと認証機能のコラボレーション

ネットワーク・パーティションとは「AX シリーズ ネットワーク・パーティション ソリューションガイド[基本編]」で紹介の通り、最小限の物理構成で論理的に独立した複数のネットワークシステムを収容できるシステムソリューションです。その特長の一つとして、論理的に分割された複数ネットワーク間相互で高いセキュリティを提供します。

ネットワーク間のセキュリティ

パーティション1プル

ネットワーク・パーティションで組織間の情報を完全分離
 隣の組織の情報にはアクセスできない 他の組織からアクセスされることも無い

パーティション2ン

パーティション間は完全分離

VRF1

料
サVRFスイッチ

VLAN

VRF2

VLAN

認証スイッチ

パーティション加入時にユーザを認証

資

正規ユーザ1

正規ユーザ2

非正規ユーザネットワーク加入のセキュリティ
ネットワーク認証機能で不正アクセスをシャットアウト
 L2エッジスイッチにてユーザ/装置を認証
 トリプル認証対応(IEEE802.1X認証/Web認証/MAC認証)

図 1.1-1 パーティション＋認証のトータルセキュリティ
さらに AX シリーズには豊富なネットワーク認証機能があります。ネットワークに対し不正なユーザによるアクセスを防ぎ、許可されたユーザのみを加入対象とすることでネットワークの入り口でも安全性を確保するこの機能を組み合わせることにより、ネットワークをトータルでガードできるより強固なシステムを、ローコストかつシンプルな装置構成で実現することが可能となります。

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

5

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）

1.2

各機能の分担について

ネットワーク・パーティションは AX6000S ファミリ(AX6700S/AX6600S/AX6300S)の持つ VRF 機能にて実現され、システムとしては L3 コアスイッチの役割を担い、論理的に分離したネットワークを管理します。

VRF機能にてパーティションを構成

VRFスイッチ =L3コアスイッチ

豊富な認証機能1のIDで認証すればパーティション1に加入

VRF
1

V
L
A
N

VRF
2

V
L
A
N

ン

認証スイッチ =L2エッジスイッチ

パーティション2

プル

パーティション1

ユーザ2

料
サ

ユーザ1

2のIDで認証すればパーティション2に加入

図 1.2-1 VRF 機能と認証機能の分担

一方で、ネットワーク認証ではアクセスエッジに認証スイッチとして AX2400S、AX1200S を利用します。このコンセプトはネットワーク・パーティションを用いたシステムでも同様であり、AX シリーズの持つ豊富な認証機能をそのまま利用できることと合わせて自由度の高いシステム設計が可能です。

資さらにネットワーク・パーティションと AX シリーズの認証機能の互いの特長を活かし、同一端末による複数のネットワークへの選択接続なども可能となります。

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

6

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）

2. 使用できる認証機能とシステム設計のポイント
ネットワーク・パーティションによるネットワークにて認証システムを構成する際に使用できる認証の方式と、システム設計上気をつけておくべきポイントについて解説します。

AX シリーズの認証機能について

2.1

ネットワーク・パーティションによる論理ネットワークにおいても一般のネットワークシステム同様、認証の機能は接続される認証スイッチの仕様によります。AX シリーズのサポートする認証方式一覧を以下に示します。

項番

IEEE802.1X 認証

認証モード

ポート単位
固定 VLANモード
VLAN 単位動的 VLAN モード
固定 VLAN モード
Web 認証動的 VLAN モード
固定 VLAN モード
MAC 認証動的 VLAN モード(凡例) ○：サポート、×：未サポート

AX1200S

AX2400S
AX3600S

AX6300S(*2)
AX6600S(*2)
AX6700S(*2)○○×○×○×○×○○○○○○○○(*1)○○○○

ン

1235689認証方式

認証方式

プル

表 2.1-1料サ(*1) AX2400S、AX3600S の IEEE802.1X 認証（VLAN 単位認証（動的））は同一装置内で Web 認証または MAC 認証の動的 VLAN モードと併用した場合動的 VLAN モードとして動作します。また装置で IEEE802.1X 認証（VLAN 単位認証（動的））を単独で用いた場合レガシーモードとして動作します。
(*2) VRF 機能との同時併用はできません。

資その他、AX シリーズでサポートされる認証機能の仕様詳細については「AX シリーズ 認証ソリューションガ
イド ― 2. AX シリーズの認証機能サポート一覧」を参照ください。

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

7

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）

2.2

ネットワークに対する認証スイッチとその他サーバの配置

2.2.1

パーティション毎に独立した認証システム(1) 認証スイッチをパーティション毎に置く一般的な構成

パーティション1プル

AX シリーズでサポートする認証スイッチでは、参照するデータベースは内蔵のものでも外部参照のものでも一つのネットワークシステムを対象としています。また認証データベースに RADIUS を使用する場合、RADIUS
サーバは認証スイッチとの間で通信をおこないます。従ってひとつのパーティションに一組の認証スイッチおよび各種データベースを管理するサーバ群を配置する構成が一般的で分かりやすいシステムとなります。

パーティション2

RADIUS/DHCP/DNS
サーバ

ン

RADIUS/DHCP/DNS
サーバ

VRF
10

VRF
20

料
サ

VRFスイッチ

ポイント:
装置もデータベースもネットワーク単位

認証スイッチ

資1のユーザ

認証スイッチ2のユーザ

図 2.2-1 ネットワーク単位に認証スイッチを扱う構成

従って、ネットワーク・パーティションのシステムに認証を組み合わせる場合は、各ネットワークでそれぞれ独立した認証システムを持つ構成をまず基本として考えることを推奨いたします。
このようなシステムの構築の一例を 3.1 節にて解説します。

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

8

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）(2) RADIUS サーバグループ選択機能により複数パーティションを 1 台に収容した構成
先の解説のとおり、RADIUS を使った認証をおこなう場合、認証スイッチは RADIUS サーバと 1 対 1 の組合せとするのが一般的です。
但し、AX1240S(ソフト Ver.2.2 以降)でサポートされる RADIUS サーバグループ選択機能を用いる場合はこの限りではありません。この機能を利用することにより、それぞれ独立した RADIUS サーバにより認証をおこなう
各論理ネットワークを最大 4 つまで、一台の認証スイッチに収容することが可能となります。

RADIUS
ｸﾞﾙｰﾌﾟ1

パーティション2プル

パーティション1

RADIUS/DHCP/DNS
サーバ

RADIUS/DHCP/DNS
サーバ

RADIUS
ｸﾞﾙｰﾌﾟ2

VRF
10VRF
20ン

VRFスイッチポイント:
AX1240S(*1)なら、RADIUSサーバグループ選択機能により、複数の独立したRADIUSサーバを収容可能！

AX1240S

料サ

認証スイッチ

1のユーザ(*1)ソフトVer.2.2以降

2のユーザ

図 2.2-2 AX1240S による複数の RADIUS 認証ネットワークを扱う構成

資認証時に参照対象とする RADIUS サーバグループの選択はポート別(IEEE802.1X 認証、Web 認証、MAC認証)、またはユーザ ID 別(Web 認証のみ)におこなうことが可能です。このため、同一フロアに異なるネットワークが混在するような場合でも、認証スイッチをネットワーク毎に分けることなく、最小限の台数で効率よくシステムを構築することが可能です。

但し認証スイッチでは認証おこなう VLAN に IP アドレスを与える必要があるため、上記のように 1 台の認証ス
イッチにて複数ネットワークを扱う場合は共用ネットワークが無い場合でも、異なるネットワーク間での IP アドレスの重複使用は避けて下さい。
こちらも、システム構築の一例を 3.2 節にて解説します。

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

9

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）

2.2.2

複数パーティションを統合する認証システム

AX シリーズでサポートする認証スイッチには、認証前と認証後で扱う VLAN を切り替える、動的 VLAN 機能があります。この機能を利用し、互いに異なるパーティションにある VLAN を認証前、認証後それぞれに割り当てることにより、１台の認証スイッチで異なるパーティションへのアクセス認証をおこなえ簡単かつ安全にネットワーク単位で認証前後の環境を切替えることができます。
このように、一組の認証システムで複数のパーティションをまとめて扱うシステムを構築するには、以下のような点を考慮すれば容易に実現することが可能です。
(1) RADIUS サーバに関して

プル

一般的な認証スイッチではRADIUSのような認証データベースとは 1 対 1 の組合せとなります。従って 1 台の認証スイッチで複数ネットワークを収容する場合は、RADIUSサーバはその複数ネットワーク分を統合した構成とすることを推奨します。(但し 2.2.1(2)で解説のRADIUSサーバグループ選択機能を使用する場合はこの限りではありません。)
その上で、ネットワーク間のセキュリティを保つためにも、統合した RADIUS サーバは、それら各ユーザで利用するネットワークとは独立したパーティションに配置するのが良いでしょう。

ポイント1:
複数パーティション分を統合したRADIUSサーバ

パーティション3ン

パーティション1

パーティション2

料サ

統合RADIUS
サーバ

VRFスイッチ

VRF
10

VRF
30

VRF
20

ポイント2:
独立したパーティションにRADIUSサーバを配置

ポイント3:
認証スイッチのゲートウェイはRADIUS
サーバのあるネットワークのVLANに

資認証スイッチ

1に入りたいユーザ2に入りたいユーザ

図 2.2-3 複数ネットワークを 1 台の認証スイッチで扱う構成
RADIUS サーバの属するパーティション(上記パーティション 3)はパーティション 1,2 の共用ネットワークであってもなくても構いませんが、DNS サーバなども統合する場合や管理上の通信等を考慮して共用ネットワークとしておく方が良いでしょう。
DNS に関しては VRF スイッチも認証スイッチも直接関与しないため、端末や他サーバから見えるネットワーク内であればどこに配置しても構いません。

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

10

AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編] （第２版）(2) 認証前ネットワークと DHCP サーバに関して
AX シリーズ認証スイッチの持つ動的 VLAN 機能とネットワーク・パーティションの組み合わせにより、簡単かつ安全にネットワーク単位で認証前後の環境を切替えることができます。認証前と認証後の切替はもちろん、認証後のネットワークも複数を選択可能に構成することができ、そのそれぞれのネットワークは論理的に独立していますので、ネットワーク単位でよりセキュアな認証システムを構築できます。

プル

この際の DHCP の扱いについても、パーティション毎に独立して DHCP リレーが可能なため、DHCP サーバをネットワーク個別で独立して扱うことが可能です。また、ソフト Ver.11.2 よりエクストラネット(パーティション間の通信)での DHCP リレーエージェント機能にも対応しました。これにより、各パーティション分を統合した DHCPサーバを構成するということも可能になりました。
特に共用ネットワークなどエクストラネットを構成する場合では IP アドレスを重複しないように構成する必要がありますが、この DHCP リレーエージェント機能の拡張にて DHCP サーバを統合できるようになるため、IP アドレスをシステム全体で一括して管理することが可能となります。

ポイント1:
認証前用に独立したパーティションを構成

ネット1用
業務サーバ

ﾈｯﾄ1,ﾈｯﾄ2用
DHCPサーバ

パーティション2 =認証後ネットワーク2

ネット2用
業務サーバ

ン

パーティション1 =認証後ネットワーク1

パーティション4 =共用ネットワーク

パーティション3 =認証前ネットワーク

料
サ

ポイント2:
認証後用のDHCPサーバは統合して配置可

VRFコアスイッチ

VRF
10

VRF
30

VRF
20

認証
後
V
L
A
N

認証
前V
L
A
N

認証
後V
L
A
N

資認証スイッチ

ユーザ1

ユーザ2

図 2.2-4 認証前ネットワークと DHCP サーバ
但し認証前と認証後では、同じ DHCP サーバを参照させてしまうと認証前後での IP アドレスの切替がおこなわれない場合があります。このため認証前と認証後では DHCP サーバは分けて構成することを推奨します。
またこのような構成においても、認証スイッチでは認証前後の VLAN に IP アドレスを与える必要がある点は同様であるため、1 台の認証スイッチにて複数ネットワークを扱う場合は異なるネットワーク間での IP アドレスの重複使用は避けて下さい。

Copyright © 2009,2010, ALAXALA Networks Corporation. All rights reserved.

11気になる続きは…

・アラクサラ インテグレータ会員
または・ビジネスパートナー様会員にご登録いただければ、全てをご覧いただけます！

アラクサラ インテグレータ会員またはビジネスパートナー様会員へ登録することで、アラクサラ製品のご利用にあたり役立つ各種資料(システム構築ガイドなど)を全て閲覧することができます。ぜひこの機会にご登録下さい。

アラクサラネットワークス株式会社〒212-0058
川崎市幸区鹿島田一丁目 1 番 2 号 新川崎三井ビル西棟
http://www.alaxala.com/