EAP 対応 RADIUS サーバアプライアンス

FutureNet RAシリーズ
ユーザーズガイド
Ver.1.8.9 対応版 Release2

目次
はじめに .................................................................................. 5
第 1 章 本装置の概要 ...................................................................... 6
Ⅰ . 機能概要 ............................................................................ 7
Ⅱ . 利用例 .............................................................................. 8
Ⅲ . 各部の名称と機能（RA‑1200）......................................................... 10Ⅳ . 各部の名称と機能（RA‑1100）......................................................... 14
Ⅴ . 各部の名称と機能（RA‑730）.......................................................... 16
Ⅵ . 各部の名称と機能（RA‑630）.......................................................... 19
Ⅶ . 動作環境 ........................................................................... 21
第 2 章 コンピュータのネットワーク設定 ................................................... 22
Ⅰ．Windows XP のネットワーク設定 ....................................................... 24
Ⅱ．Windows Vista のネットワーク設定 .................................................... 25
Ⅲ．Windows 7 のネットワーク設定 ........................................................ 26
Ⅳ．Mac OS X のネットワーク設定 ......................................................... 27
第 3 章 設定画面へのログイン方法 ......................................................... 28
Ⅰ . 設定画面へのログイン方法 ........................................................... 29
Ⅱ . HTTPS アクセス時の CA 証明書のインポート方法 ......................................... 30
第 4 章 設定ウィザードによる設定 ......................................................... 37
Ⅰ． 設定を始める前に ................................................................... 38
Ⅱ． 設定内容の詳細 ..................................................................... 41
1. 管理者 ............................................................................ 41
2. ネットワーク基本情報 .............................................................. 42
3. 内蔵時計 .......................................................................... 43
4. ログ .............................................................................. 44
5. スタティックルート ................................................................ 45
6.DNS ................................................................................ 46
7.NTP ................................................................................ 47
8.SNMP ............................................................................... 48
9.CA ‑ 基本情報 ...................................................................... 51
10.CA ‑ RADIUS サーバ証明書 .......................................................... 53
11.CA ‑ HTTPS サーバ証明書 ........................................................... 54
12.CA ‑ LDAP クライアント証明書 ...................................................... 54
13.CA ‑ LDAP サーバ証明書 ............................................................ 54
14. 管理画面へのアクセス ............................................................. 55
15.RADIUS ‑ 基本情報 ................................................................. 56
16.RADIUS ‑ 二重化 ................................................................... 57
17.RADIUS ‑ ログ ..................................................................... 58
18.RADIUS ‑ アドレスプール ........................................................... 59
19.RADIUS ‑ クライアント ............................................................. 60
20.RADIUS ‑ アトリビュート ........................................................... 61
21.RADIUS ‑ ActiveDirectory .......................................................... 63
22.RADIUS ‑ LDAP ..................................................................... 65
23.RADIUS ‑ ユーザ基本情報 ........................................................... 70
24.RADIUS ‑ 認証アトリビュート ....................................................... 72
25.RADIUS ‑ 応答アトリビュート ....................................................... 74

26. グループ ID ....................................................................... 76
27.RADIUS ‑ ユーザ証明書 ............................................................. 77
28.RADIUS ‑ ユーザプロファイル ....................................................... 78
29.RADIUS ‑ ユーザ作成 ............................................................... 79
30.AD ユーザ ......................................................................... 89
31.LDAP ユーザ ....................................................................... 90
32. ユーザ管理者 ..................................................................... 91
33. フィルタ ......................................................................... 92
34.RADIUS 起動 ....................................................................... 94
35. 設定の保存 ....................................................................... 95
36. 完了 ............................................................................. 96
第 5 章 本装置管理者メニュー ............................................................. 97
画面構成 ............................................................................... 98
第 6 章 RADIUS 設定 ...................................................................... 100
Ⅰ．サーバ設定 ........................................................................ 101
1. 起動・停止 ....................................................................... 101
2. 基本情報 ......................................................................... 102
3. 二重化 ........................................................................... 103
4. アトリビュート ................................................................... 104
5. アドレスプール ................................................................... 106
6. クライアント ..................................................................... 107
7.ActiveDirectory ................................................................... 108
8.LDAP .............................................................................. 110
9. ログ ............................................................................. 115
Ⅱ．プロファイル ...................................................................... 117
1. ユーザプロファイル ............................................................... 118
2. ユーザ基本情報 ................................................................... 119
3. 認証アトリビュート ............................................................... 121
4. 応答アトリビュート ............................................................... 123
5. グループ ID ....................................................................... 125
6. 証明書 ........................................................................... 126
Ⅲ ．ユーザ設定 ........................................................................ 129
1. ユーザ ........................................................................... 129
2.AD ユーザ ......................................................................... 138
3.LDAP ユーザ ....................................................................... 139
4. ファイル読み込み ................................................................. 140
5. ユーザ検索 ....................................................................... 141
第 7 章 CA 設定 .......................................................................... 143
Ⅰ．CA/CRL 設定 ........................................................................ 144
Ⅱ．証明書 ............................................................................ 146
第 8 章 管理機能 ........................................................................ 150
Ⅰ．ネットワーク ...................................................................... 151
1. 基本情報 ......................................................................... 151
2. スタティックルート ............................................................... 152
3. フィルタ ......................................................................... 153
4.DNS ............................................................................... 155
5.NTP ............................................................................... 156
6.SNMP .............................................................................. 157

Ⅱ．システム .......................................................................... 161
1. 内蔵時計 ......................................................................... 161
2. ログ ............................................................................. 162
3. 設定情報の保存・復帰 ............................................................. 163
4. 設定情報の初期化 ................................................................. 164
5. ファームのアップデート ........................................................... 165
6. 再起動 ........................................................................... 166
7. 停止 （※ RA‑1200・RA‑1100・RA‑730）.............................................. 167
8. 管理者 ........................................................................... 168
9. 管理画面へのアクセス ............................................................. 169
10. 設定情報の同期 .................................................................. 170
第 9 章 運用機能 ........................................................................ 178
Ⅰ．ユーザ情報 ........................................................................ 179
1. ログイン情報 ..................................................................... 179
2.AD ユーザ情報 ..................................................................... 181
Ⅱ．ログ情報 .......................................................................... 182
1. システムログ ..................................................................... 182
2. 認証ログ ......................................................................... 183
3. アカウンティングログ ............................................................. 185
Ⅲ．ネットワークテスト ................................................................ 187
1. 到達性確認 ....................................................................... 188
2. ルート確認 ....................................................................... 189
3. パケットキャプチャ ............................................................... 190
4. 名前解決確認 ..................................................................... 192
Ⅳ．システム情報 ...................................................................... 193
Ⅴ．サポート情報 ...................................................................... 194
第 10 章 ユーザ管理者メニュー ........................................................... 195
画面構成 .............................................................................. 196
第 11 章 ユーザメニュー ................................................................. 197
Ⅰ．ログイン .......................................................................... 198
Ⅱ．パスワード ........................................................................ 199
Ⅲ．CA/CRL ............................................................................ 200
Ⅳ．証明書 ............................................................................ 201
Ⅴ．同期可能な設定情報・操作 .......................................................... 202
第 12 章 一般ユーザによる PC の設定 ....................................................... 203
Ⅰ . 設定例(EAP‑TLS) ................................................................... 204
Ⅱ . 設定例(EAP‑PEAP) .................................................................. 206
Ⅲ . 設定例(EAP‑TTLS) .................................................................. 209
第 13 章 復旧操作 ....................................................................... 210
Init(INIT)スイッチの操作 ............................................................... 211
付録 A 最大数一覧 ...................................................................... 212
付録 B サポートについて ................................................................ 214
付録 C ユーザ設定情報のファイルフォーマット ............................................ 216
付録 D 用語説明 ........................................................................ 226
付録 E システムログ一覧 ................................................................ 234
同期・
付録 F 同期
・二重化構成におけるファームウェア更新手順 .................................. 237
付録 G 親子連携 ........................................................................ 240

はじめに
本書は、FutureNet RA‑1200、RA‑1100、RA‑730 および RA‑630 のユーザーズガイドです。
◆ご注意
1 本装置の故障、誤動作、不具合、あるいは停電などの外部要因によって、通信の機会を逸したために生じた損害などの純粋経済損失につきましては、当社はいっさいその責任を負いかねますのであ
らかじめご了承ください。
2

通信情報が漏洩した事による経済的、精神的損害につきましては、当社はいっさいその責任を負いかねますのであらかじめご了承ください。

3

本書の内容の一部または全部を無断で転載、複写することを禁じます。

4

本書およびソフトウェア、ハードウェア、外観の内容について、将来予告なしに変更することがあります。

5 本書の内容については万全を期しておりますが、万一ご不審な点や誤り、記載漏れなどお気づきの点がありましたらご連絡ください。

◆商標の表示□「FutureNet」はセンチュリー・システムズ株式会社の登録商標です。
□下記製品名等は米国 Microsoft Corporation の登録商標です。
Microsoft、Windows、Windows 95、Windows 98、Windows 2000、Windows Me、Windows XP、
Windows Vista、Windows 7、ActiveDirectory□ Macintosh、Mac OS X は、アップル社の登録商標です。
その他、本書で使用する各会社名、製品名は各社の商標または登録商標です。

◆本ユーザーズガイドを読む前に□参考文献は以下のとおりです。
RFC 2865 Remote Authentication Dial In User Service (RADIUS).
RFC 2866 RADIUS Accounting.
RFC 2867 RADIUS Accounting Modifications for Tunnel Protocol Support.
RFC 2868 RADIUS Attributes for Tunnel Protocol Support.
RFC 2869 RADIUS Extensions.
RFC 3162 RADIUS and IPv6
RFC 3575 IANA Considerations for RADIUS (Remote Authentication Dial In User Service).
RFC 3579 RADIUS (Remote Authentication Dial In User Service) Support For Extensible
Authentication Protocol (EAP).
RFC 3580 IEEE 802.1X Remote Authentication Dial In User Service (RADIUS) Usage
Guidelines.
RFC 3748 Extensible Authentication Protocol (EAP).
RFC 4590 RADIUS Extension for Digest Authentication.
RFC 4675 RADIUS Attributes for Virtual LAN and Priority Support

5

第1章
第 1 章 本装置の概要

第 1 章 本装置の概要

Ⅰ . 機能概要
FutureNet RA‑730 および FutureNet RA‑630 は、小型のRADIUS サーバアプライアンスです。IP‑VPN サービスの
RADIUS認証サーバとして利用できるだけでなく、有線/無線LANのセキュリティ確保のためIEEE802.1Xにも対応して
おり、ユーザ認証やアクセス履歴管理をおこなえます。

ブラウザの画面上から簡単にファームウェアの更新ができます。
・設定ウィザードによる容易な設定
管理者による設定をサポートするウィザード設定を用意しており、RADIUS の設定に不慣れな管理者でも、相互依存性のある設定項目を漏れなく順番に設定していくことができます。

FutureNet RA‑1200 および RA‑1100 は、大規模ネット
ワーク向けの RADIUS サーバアプライアンスです。ギガ
ビットに対応したイーサネットインタフェースを 2 ポー
ト備え、大規模な IP‑VPN サービスの RADIUS 認証サーバとして利用できます。

・管理者権限の分割
装置全体の設定をおこなえる「本装置管理者」の他に、ユーザの追加削除等のユーザ管理作業のみをおこなえる「ユーザ管理者」を設定できます。

◆主な機能・EAP のサポート
PAP,CHAP 認証の他に、EAP‑MD5、EAP‑TLS、EAP‑PEAP、EAP‑
TTLS の各認証方式をサポートしています。

・ユーザプロファイル
同じ内容の設定を複数ユーザに対して容易に設定できるようにするために、共通の設定内容をあらかじめプロ
ファイルとして設定しておくことが可能です。
管理者は新規にユーザ登録する際には、このプロファイルの選択をおこなうことで、ユーザ毎の入力を省略することができます。プロファイルは、「ユーザ基本情報」、「認証ア
トリビュート」「応答アトリビュート」
、
「証明書」
、
「グ
ループ ID」に分かれており、このプロファイルを組み合わせることでユーザ情報を素早く登録していくことができます。

・ActiveDirectory, LDAP サーバとの連携
ユーザ情報を本装置上で管理するだけでなく、外部
ActiveDirectory または LDAP サーバ上のユーザ情報を利用してユーザ認証をおこなうことができます。
ActiveDirectory 連携をおこなう場合、NT Domain 名付
きユーザの認証やコンピュータ認証も利用できます。
・柔軟なアトリビュート設定
認証に使用するアトリビュートや、
認証成功時にレスポン
ス情報に付加するアトリビュートを任意に設定することができます。
ベンダ固有アトリビュートも任意に指定できます。例えば、VLAN ID などを認証結果情報に含めて RADIUS
クライアントに通知することができます。

・利用状況の把握
各ユーザの現在のログイン情報を管理画面上で確認することができます。管理者の操作により、ログイン中のユーザを強制的にログアウトさせることができます。

・プライベート CA
CA として、クライアント証明書、サーバ証明書を発行する機能を有しており、EAP‑TLS 認証に必要な証明書を発行できます。

・充実したログ
ログは、システムログ、認証ログ、アカウンティング
ログの３種類に分けて記録されます。ネットワーク経
由で他の syslog サーバに送ることもできます。

・各種ネットワークサービスへの対応
NTP に対応しており、外部 NTP サーバと時刻同期がおこなえます。また、パケットフィルタ機能により、本装置への不要なトラフィックの流入や外部からの攻撃を防ぎます。
・Web ブラウザからの設定とファームウェア更新
全ての設定はWebブラウザを用いたGUI画面でおこなえます。設定画面への通信はSSLで暗号化できます。また、Web

7

・ネットワークテスト
設定時、運用時のネットワークトラブルの解決のため、管理画面上から到達性確認、ルート確認、名前解決確認のテストをおこなうことができます。条件を指定してパケットキャプチャを実行し、画面上にダンプ情報を表示します。

第 1 章 本装置の概要

Ⅱ . 利用例◆利用例１ 無線 LAN

本装置を 802.1X 対応無線 LAN の認証サーバとして利用します。
ワイヤレス LAN クライアントである PC が無線 LAN アクセスポイントに接続した際に、無線 LAN アクセス
ポイントが認証処理を本装置に問い合わせるように設定することで、多数のアクセスポイントにおける認証を本装置で一元的に管理できます。認証には、EAP‑MD5、EAP‑TLS、EAP‑PEAP、EAP‑TTLS の各認証方式を利用できます。

◆利用例２ リモートアクセス

本装置を ISDN 等によるリモート接続の認証サーバとして利用します。
リモート PC からの接続に対し、リモートアクセスサーバ(RAS)が、認証処理を本装置に問い合わせるように設定することで、リモートアクセスの認証処理を本装置で一元的に管理できます。認証には、PAP/
CHAP 認証方式を利用します。また、着信した電話番号に応じた認証可否の判断等も RAS と連携しておこなうことができます。

8

第 1 章 本装置の概要

Ⅱ . 利用例◆利用例３ 認証スイッチ

本装置を 802.1X 対応認証スイッチの認証サーバとして利用します。
PC を認証スイッチに接続した際の認証処理を本装置に問い合わせるように設定することで、各認証ス
イッチにおける認証を本装置で一元的に管理できます。認証には、EAP‑MD5、EAP‑TLS、EAP‑PEAP、EAP‑
TTLS の各認証方式を利用できます。認証スイッチ側に MAC アドレス認証や VLAN 設定の機能があれば、本装置側でこれらの情報を用いた認証や設定管理をおこなうことで、不正な持込み PC の排除や、ユーザに応じた VLAN の切り替えなどをおこなうことができます。

◆利用例４ Web 認証 (ゲートウェイ認証)

当社 NXR シリーズに搭載している Web 認証 (ゲートウェイ認証)機能の利用時に、認証情報を本装置に問い合わせるように設定することができます。認証には、PAP を利用します。これにより、NXR を超えた通信の可否の判断を、本装置上でおこなうことができます。

9

第 1 章 本装置の概要

Ⅲ . 各部の名称と機能（RA‑1200）
各部の名称と機能（
RA‑1200）◆製品前面 （RA‑1200）① Power スイッチ
停止中(スタンバイ状態) に Power スイッチを押すと、システムが起動します。ただし、通電開始直後は、Power スイッチを押すまで 30 秒以上待つ必要があります。
起動中に Power スイッチを押すと、終了処理を行いスタンバイ状態に移行します。

⑦ RS‑232 ポート
本装置では使用しません。
⑧ USB2 ポート⑨ USB1 ポート
本バージョンでは使用しません。
⑩ USB スイッチ本バージョンでは使用しません。

通電を開始した場合の動作は、以前の停止状態に依存します。
正常に停止していれば、通電を開始してもスタンバイ状態のままです（起動しません）。
正常に停止していなければ、通電開始とともにシステムが起動します。

⑪ USB LED
LED(●)
本バージョンでは使用しません。
⑫ Init スイッチシステム起動時(通電開始時、または Power スイッチ押下時) に本スイッチが押されている場合、シ
ステムは工場出荷状態で起動します。

② Power LED
LED（●）
本装置の起動中は点灯（●）します。
停止中(スタンバイ状態) は消灯（●）します。

約 3 秒間押し続けると、スイッチの押下が確定し、Init LED が点灯します。この後、システムは工場出荷状態で起動します。

③ Storage LED
LED(●)
内蔵ディスク(RAID を除く)へのアクセス時に点滅します（＊）。

⑬ Init LED
LED(●)
機器の起動・停止、設定の復帰、初期化などの状態を表します。

④ Ether0 LED
LED（●）
LED（●）⑤ Ether1 LED対応する Ethernet ポートの状態を表示します。
接続（Link up）時は、点灯します（●）
。
未接続（Link down）時は、消灯します（●）。
通信中は、点滅します（＊）
。
⑥ Information LED
LED（●）
電源ユニットの異常時や、温度やファン異常時に、点滅（＊）または点灯（●）します。
点滅または点灯によって、ハードウェアに何らかの異常が発生したことを知らせますが、どのような異常かを特定することはできません。

10

工場出荷状態での起動処理中、および初期化処理中に点灯(●)します。
通常の起動処理中、停止処理中、設定の復帰処理
中は消灯(●)します。
詳細については、p.12 の表を参照してください。

第 1 章 本装置の概要

Ⅲ . 各部の名称と機能（RA‑1200）
各部の名称と機能（
RA‑1200）⑭ Status2 LED
LED(●)
LED(●)⑮ Status1 LED
機器の状態を表示します。
詳細については、p.12 の表を参照してください。
⑯ HDD1 LED
LED(●)
LED(●)⑰ HDD0 LED
本バージョンでは使用しません。
⑱ RAID LED
LED(●)
本バージョンでは使用しません。
⑲ RAID(HDD ベイ)
ベイ)
前面に 4 個の HDD ベイを配置しています。向かって左から 0, 1, 2, 3 とします。
0, 1 に HDD を実装しています。2, 3 は使用しません。RAID1 に対応しています。
RA‑1200 が故障した場合、2 台の HDD を同時に別のRA‑1200 に移設することが出来ます。
⑳ Activity LED
LED(●)
21 Fail LED
LED（●）○HDD ベイ毎に、Activity LED と Fail LED を装備しています。
Activity LED は、アクセス時に点灯（●）します。
異常が発生した場合は、該当する HDD ベイの Fail
LED が点滅（＊）または点灯（●）します。
正常時は、消灯（●）しています。
故障時は、点灯（●）します。
リビルド中は、1Hz（on:50msec, off:500msec）で点滅（＊）します。

11

第 1 章 本装置の概要

Ⅲ . 各部の名称と機能（RA‑1200）
各部の名称と機能（
RA‑1200）
RA‑1200 の Status1 LED、Status2 LED および Init LED の表示状態と、本装置の動作内容の関係を下表に記します。

本装置の動作停 止 中 (ス タ ン バ イ 状 態 )L E D の表示状態
Status1 Status2

Init

備考

●

●

●

−

●

●

●

約1秒間

●

●

●

約8 0 秒間＊●●

4 0 秒 以 上 (設 定 に 依 存 )

＊

●

●

約2 0 秒間

●

●

●

約1秒間

●

●

●

約7 0 秒間＊●●

4 0 秒 以 上 (設 定 に 依 存 )

＊

●

●

約2 0 秒間

●

●

●

約1秒間

●

●

●

約3秒間

●

●

●

約8 0 秒間＊●●

4 0 秒 以 上 (設 定 に 依 存 )

起動処理完了

●

●

●

−

設定復帰
(強制同期を含む)(設定取得の設定更新時を含む)

＊

●

●

4 0 秒 以 上 (設 定 に 依 存 )

設定初期化

＊

●

●

4 0 秒 以 上 (設 定 に 依 存 )

設定 復帰・設定初期化完了

●

●

●

−

R A D I U S サービス起動中

●

●

●

−

＊

＊

●

約3 0 秒間＊●●

約1 0 秒間

●

●

●

約1秒間

●

●

●

約7 0 秒間＊●●

4 0 秒 以 上 (設 定 に 依 存 )

＊＊

＊＊

＊＊

早い点滅(3〜4Hz)

機器起動

機器再起動

機器停止

工場 出荷状態での起動(Initスイッチ押下)

ファームウェア更新(再起動完了まで)

ハードウェア異常●： LED が消灯している状態です。
●： LED が点灯(緑色)している状態です。
●： LED が点灯(橙色)している状態です。

＊ ： LED が点滅(緑色)している状態です。
1Hz(on:500msec, off:500msec)＊＊： LED が高速点滅(緑色)している状態です。
＊＊＊＊： LED が高速点滅(橙色)している状態です。
＊＊
3 〜 4Hz12

第 1 章 本装置の概要

Ⅲ . 各部の名称と機能（RA‑1200）
各部の名称と機能（
RA‑1200）◆製品背面 （RA‑1200）① 電源ケーブル差込口③ 電源ケーブル差込口
製品付属の電源ケーブルを接続するコネクターです。ケーブルは必ず付属のものをご使用ください。
本装置は、電源ユニット(400W)を 2 個搭載しています。

② 電源ユニット LED
LED(● / ●)LED(● / ●)④ 電源ユニット LED
各電源ユニットに、LED が 1 つあります。
機器起動時は緑色点灯（●）します。
停止中 (スタンバイ状態) は橙色点灯（●）します。

⑤ USB0 ポート⑥ USB3 ポート
本バージョンでは使用しません。
⑦ Ether0 ポート⑧ Ether1 ポート
イーサネット規格の UTP ケーブル(LAN ケーブル)を接続する Ethernet ポートです。
Auto MDI/MDI‑X に対応しています。ただし、Autonegotiation を OFF にした場合は、Auto MDI/MDI‑X
も OFF になります。
⑨ Speed LED
LED(■ / ■)Ethernet の接続速度を示します。LED は以下のようなパターンで点灯 / 消灯します。
未接続： 消灯(■)
10Base‑T モード ： 消灯(■)
100Base‑TX モード ： 緑点灯(■)

131000Base‑T モード ： 橙点灯(■)⑩ Activity LED
LED(■)
Ethernet ケーブルのリンク状態を示します。ランプは以下のようなパターンで点灯 / 消灯します。
Link Up：点灯(■)
Link Down ：消灯(■)
通信中：点滅（＊）

第 1 章 本装置の概要

Ⅳ . 各部の名称と機能（RA‑1100）
各部の名称と機能（
RA‑1100）◆製品前面 （RA‑1100）⑨ Ether 0 LED
LED（●）
Ether0 ポートの状態を示します。Link up 時には
点灯（●）します。

① System Status LED
LED(●)
本装置が動作状態にあるとき点灯(●)します。
② AUX LED
本装置では使用しません。

⑩ CF LED
LED（●）
内蔵 CF へアクセスした時(機器起動時のシステム
読み込み、GUI からの設定時、機器停止時)に点灯します。

③ USB Status LED
使用しません。

⑪ Power LED
LED（●）
本装置に電源を投入しているときに点灯（●）します。

④ Release スイッチ
使用しません。
⑤ Init Status LED
LED（●）
INIT スイッチが押されて工場出荷状態で起動する
場合に点灯します。起動処理が完了するまで点灯が続きます。

⑫ Power スイッチPower スイッチを押すと、動作が停止します (システム停止状態)。
ただし、通常は設定画面の管理機能のメニュー「システム」から「停止」画面でシステム停止状態にしてください。

⑥ Init スイッチ
このスイッチを押すことで、本装置を工場出荷状
態に戻します。詳細は「第 13 章 復旧操作 Init
(INIT)ボタンの操作」をご参照ください。

上述の手順でシステム停止状態にならない場合には、Power スイッチを 4 秒以上押してください。強制的にシステム停止状態となります。
ただし、本装置が破損する可能性があるので、非常時のみに使用して下さい。

⑦ Temp LED
LED（●）
本装置の温度が一定以上になると点灯（●）します。

⑬ RS‑232 I/F(RJ‑45)
使用しません。

⑧ Ether 1 LED
LED（●）
Ether1 ポートの状態を示します。Link up 時には
点灯（●）します。

⑭ USB I/F
使用しません。

14

第 1 章 本装置の概要

Ⅳ . 各部の名称と機能（RA‑1100）
各部の名称と機能（
RA‑1100）◆製品背面 （RA‑1100）① 電源ケーブル差込口
製品付属の電源ケーブルを接続するコネクターです。ケーブルは必ず付属のものをご使用ください。

③ RS‑232 ポート
本装置では使用しません。
③ 速度表示ランプ
Ethernet の接続速度を示します。ランプは以下のようなパターンで点灯 / 消灯します。
10Base‑T モード ： 消灯(■)
100Base‑TX モード ： 緑点灯(■)⑥ Ether1 ポート(RJ‑45)
ポート(RJ‑45)
Ether0 ポートとは別セグメントを接続するポートとして使います。RADIUS クライアントが LAN 側
ネットワークと別のネットワークセグメントに接続する場合に利用する事をお勧めいたします。接続には、イーサネット規格の UTP ケーブル(LANケーブル)を接続します。極性は自動判別します。

搭載されているインタフェース / ポートは、
上記
ポートは、上記のもの以外は使用できません。

1000Base‑T モード ： 橙点灯(■)④ Ether0 ポート(RJ‑45)
ポート(RJ‑45)
主に LAN 側ネットワークとの接続に使用します。
イーサネット規格の UTP ケーブル(LAN ケーブル)を接続します。極性は自動判別します。
⑤ LINK ランプ
ランプ(■)
Ethernet ケーブルのリンク状態を示します。ランプは以下のようなパターンで点灯 / 消灯します。
Link Up ：点灯(■)
Link Down：消灯(■)

15

第 1 章 本装置の概要

Ⅴ . 各部の名称と機能（RA‑730）
各部の名称と機能（
RA‑730）◆製品前面 （RA‑730）① USB 0 ポート
使用しません。

⑥ Operation スイッチ
・起動中に押すと、終了処理を行いスタンバイ状態に移行します。ただし、
ただし、通常は設定画面の管理
ただし、通常は設定画面の管理から「機能のメニュー「「停止」画面で機能のメニュー
「システム」から
システム停止状態にしてください。

② Status LED
Status LED の概要は、下記のとおりです。
1(●)： ファームウェア更新ステータスを示します。 ・起動中に 4 秒以上押すと、強制終了処理を行い
2(●)： システムステータスを示します。
ただし、
本装置が
スタンバイ状態に移行します。ただし、
ただし、本装置が3(●)： 初期化処理ステータスを示します。
非常時のみに使用し破損する可能性があるので、破損する可能性があるので、非常時のみに使用し4(●)： RADIUSサービスステータスを示します。
て下さい。
5(●)： 使用しません。
・停止中(スタンバイ状態) に押すと、システムが6(●)： 使用しません。
起動します。
7(●)： 使用しません。
・なお、電源を投入すると、本スイッチを押さな
8(●)： 使用しません。
くても起動処理が開始されます。
なお、Status LED の詳細については、次ページを参照してください。

⑦ Init スイッチ
本装置を初期化するときに使用します。本装置の起動処理時に本スイッチが押された場合、工場出
荷状態で起動します。
初期化が行われる場合、Status LED 3 が点灯(●)
します。

③ USB 1 ポート
使用しません。
④ Storage LED
1(●): 使用しません。
2(●): 使用しません。
3(●): 内蔵ストレージまたは CF カードへのアクセ
ス時に点滅(＊＊)します。
4(●): 使用しません。

⑧ Option スイッチ
使用しません。
⑨ Serial 2 ポート
使用しません。

⑤ Power LED ・ Standby LED
本装置の起動・停止の状態を示します。
Power LED(●) : 起動中に点灯(●)します。
Standby LED(●): 停止中(スタンバイ状態)に点灯(●)します。

⑩ CF カードスロット
使用しません。

16

第 1 章 本装置の概要

Ⅴ . 各部の名称と機能（RA‑730）
各部の名称と機能（
RA‑730）RA‑730 の Status LED および Power LED、Standby LED の表示状態と、本装置の動作内容の関係を下表に記します。

L E D の表示
Power○○
Standby①②

Status
③ ⑤ ⑦
④ ⑥ ⑧

●
●

●
●

●
●

●
●

●
●

‑ 停 止 中 (ス タ ン バ イ 状 態 )

●
●

●
●

●
●

●
●

●
●

‑ 起動処理開始 (20〜25秒程度)

●
＊

● ● ●
● ● ●

●
●

‑ 起動処理中‑ 設定復帰中(強制同期、設定取得の設定更新時も含む )‑ 停止処理中

●
＊

● ● ●
● ● ●

●
●

‑ 工場出荷状態での起動処理中(Initスイッチ押下)‑ 設定初期化中

●
●

●
●

● ●
● ●

●
●

‑ 起動処理完了‑ 設定復帰完了

●
●

●
●

●
●

●
●

●
●

‑ RADIUS サービス起動中(RADIUS 認証可能状態)

●
＊

● ● ●
● ● ●

●
●

‑ ファームウェア更新中

＊
＊

＊
＊

●
●

●
●

●
●

‑ 起 動 処 理 失 敗 (再 起 動 は 行 わ な い )‑ フ ァ ー ム ウ ェ ア 更 新 失 敗 (再 起 動 は 行 わ な い )

＊
＊

＊
＊

＊
＊

＊
＊

●
●

‑ 重大なエラー (10秒後に再起動を開始)

●：
＊：
●：
＊：
●：

LED が点灯(橙色)している状態です。
LED が点滅(橙色)している状態です。
LED が点灯(緑色)している状態です。
LED が点滅(緑色)している状態です。
LED が消灯している状態です。

本装置の動作内容

17

第 1 章 本装置の概要

Ⅴ . 各部の名称と機能（RA‑730）
各部の名称と機能（
RA‑730）◆製品背面 （RA‑730）① DC 16V 電源コネクタ
製品付属の AC アダプタを接続します。
② FG(
アース）
端子
FG(アース）アース）端子
保安用接続端子です。必ずアース線を接続してください。
③ Serial 0 ポート
・Serial 1 ポート
ポート・
使用しません。
④ SPEED LED
Ethernet ポートの接続速度を表示します。
10Base‑T モード（■）
100Base‑TX モード(■)
1000Base‑T モード（■）⑤ LINK/ACT LED
Ethernet ポートの接続状態を示します。
Link Up(■)
Link Down(■)
データ通信時(＊＊(点滅))⑥ Ether 00・・Ether 11・・Ether 2
それぞれ、独立したセグメントとして動作します。
全ての Ethernet ポートは、Gigabit Ethernet(1000BASE‑T)に対応しています。
イーサネット規格の UTP ケーブル(LAN ケーブル)を接続します。極性は自動判別します。

18

第 1 章 本装置の概要

Ⅵ . 各部の名称と機能（RA‑630）
各部の名称と機能（
RA‑630）◆製品前面 （RA‑630）① CF LED
LED(●)
内臓されている CF カードが正常動作しているときに、CF が点灯(●)します。

③ STATUS LED 11(●)・STATUS LED 22(●)
本装置の全てのサービスが動作開始状態になっているときに、STATUS1(●)は消灯(●)します。

② Ethernet ポート LED
各 Ethernet ポートの状態を表示します。

ファームウェアのアップデート作業中は、STATUS1
が点滅(＊＊)します。

LAN ケーブルが正常に接続されているときに、
LINK/ACT LED(●)が点灯(●)します。

ファームウェアのアップデートに失敗した場合など、本装置が正常に起動できない状態になったと
きは、STATUS1(＊＊)と STATUS2(＊＊)のどちらも点滅します。

100M LED(●)は、10Base‑T で接続した場合に消灯(●)、100Base‑TX で接続した場合点に点灯(●)します。

④ POWER LED
LED(●)
本装置に電源が投入されているときに点灯(●)します。

データ通信時は LINK/ACT LED が消灯(●)します。

19

第 1 章 本装置の概要

Ⅵ . 各部の名称と機能（RA‑630）
各部の名称と機能（
RA‑630）◆製品背面 （RA‑630）① 電源ケーブル差込口
製品付属の電源ケーブルを接続するコネクターです。ケーブルは必ず付属のものをご使用ください。
② 電源スイッチ
電源をオン / オフするためのスイッチです。

⑥ Ether ０ポート
主に LAN 側ネットワークとの接続に使用します。
イーサネット規格の UTP ケーブル(LAN ケーブル)を接続します。極性は自動判別します。
⑦ 100M LED
LED（■）
Ethernet の接続速度を示します。以下のようなパターンで点灯 / 消灯します。
10Base‑T：消灯(■)
100Base‑TX ：点灯（■）③ RS‑232 ポート
本装置では使用しません。
④ INIT ボタン
本装置を工場出荷時の設定に戻して起動するときに押します。

⑧ Ether1 ポート
Ether0 ポートとは別セグメントを接続するポートとして使います。RADIUS クライアントが LAN 側
ネットワークと別のネットワークセグメントに接続する場合に利用する事をお勧めいたします。接続には、イーサネット規格の UTP ケーブル(LANケーブル)を接続します。極性は自動判別します。

⑤ LINK/ACT LED
LED（■）
Ethernet ポートのリンク状態を示します。以下のようなパターンで点灯 / 消灯します。
Link Up: （■）
Link Down : （■)
データ通信時は、LINK/ACT LED が消灯(■)します。
⑨ Ether2 ポート
本装置のすべての Ehternet ポートに実装されてい４ポートのスイッチング HUB です。
ます。
主に設定管理用に使用します。イーサネット規格の UTP ケーブル(LAN ケーブル)を接続します。極性
は自動判別します。

20

第 1 章 本装置の概要

Ⅶ . 動作環境
本製品をお使いいただくには、以下の環境を満たしている必要があります。
◆ハードウェア環境・本製品に接続するコンピュータの全てに、10Base‑T または 100Base‑TX、1000Base‑T の LAN ボー
ド / カードがインストールされていること。
・本製品と全てのコンピュータを接続するためのハブやスイッチングハブが用意されていること。
・本製品と全てのコンピュータを接続するために必要な種類のネットワークケーブルが用意されていること。
◆ソフトウェア環境
・TCP/IP を利用できる OS がインストールされていること。
・接続されている全てのコンピュータの中で少なくとも 1 台に、ブラウザがインストールされていること。弊社では Internet Explorer 8 で動作確認を行っています。
なおサポートにつきましては、本製品固有の設定項目と本製品の設定に関係する OS 上の設定に限らせていただきます。OS 上の一般的な設定やパソコンにインストールされた LAN ボード / カードの設定、各種アプリケーションの固有の設定等のお問い合わせについてはサポート対象外とさせていただきますので、あらかじめご了承ください。

21

第2章
第 2 章 コンピュータのネットワーク設定

第 2 章 コンピューターのネットワーク設定

ネットワーク設定について
本製品の設定は、Web ブラウザが動くパソコンから本製品の設定画面へアクセスしておこないます。
工場出荷時には、本製品のアドレスは「
192.168.0.254」に初期設定されているため、設定に使本製品の IP アドレスは「192.168.0.254」に初期設定うパソコンのネットワーク設定を、事前にこの IP アドレスと通信できるように設定しておく必要があります。
本章では、設定に使うパソコン側のネットワーク設定の方法について、OS 毎に説明します。
ご使用のパソコンの OS に合わせて参照し、設定をおこなってください。

23

第 2 章 コンピューターのネットワーク設定

Ⅰ．Windows XP のネットワーク設定
ここでは WindowsXP が搭載されたコンピュータのネットワーク設定について説明します。

1 「コントロールパネル」→「ネットワーク接4 「インターネットプロトコル(TCP/IP)」の画続」から、「ローカル接続」を開きます。

らプロパティをクリックします。

面では、「次の IP アドレスを使う」にチェックを入れて以下のように入力します。
IP アドレス「192.168.0.1」
サブネットマスク「255.255.255.0」
デフォルトゲートウェイ「192.168.0.254」

3 「ローカルエリア接続のプロパティ」画面が5 最後に OK ボタンをクリックして設定完了です。

開いたら、「インターネットプロトコル(TCP/IP)」
を選択して「プロパティ」ボタンをクリックします。

これで本装置へのログインの準備が整いました。

2 「ローカルエリア接続の状態」画面が開いた24

第 2 章 コンピューターのネットワーク設定

Ⅱ．Windows Vista のネットワーク設定
ここでは Windows Vista が搭載されたコンピュータのネットワーク設定について説明します。

1 「コントロールパネル」→「ネットワークと4 「インターネットプロトコルバージョン 4

共有センター」→「ネットワーク接続の管理」から、「ローカル接続」を開きます。

(TCP/IPv4)」の画面では、「次の IP アドレスを使う」にチェックを入れて以下のように入力します。
IP アドレス「192.168.0.1」
サブネットマスク「255.255.255.0」
デフォルトゲートウェイ「192.168.0.254」

2 「ローカルエリア接続の状態」画面が開いた
らプロパティをクリックします。

3 「ローカルエリア接続のプロパティ」画面が5 最後に OK ボタンをクリックして設定完了です。

開いたら、「インターネットプロトコルバージョン
4(TCP/IPv4)」を選択して「プロパティ」ボタンをクリックします。

これで本装置へのログインの準備が整いました。

25

第 2 章 コンピューターのネットワーク設定

Ⅲ．Windows 7 のネットワーク設定
ここでは Windows 7 が搭載されたコンピュータのネットワーク設定について説明します。

1 「コントロールパネル」→「ネットワークと4 「インターネットプロトコルバージョン 4

インターネット」→「ネットワークと共有センター」から、「ローカル接続」を開きます。

(TCP/IPv4)」の画面では、「次の IP アドレスを使う」にチェックを入れて以下のように入力します。
IP アドレス「192.168.0.1」
サブネットマスク「255.255.255.0」
デフォルトゲートウェイ「192.168.0.254」

2 「ローカルエリア接続の状態」画面が開いた
らプロパティをクリックします。

5 最後に OK ボタンをクリックして設定完了です。

3 「ローカルエリア接続のプロパティ」画面がこれで本装置へのログインの準備が整いました。

開いたら、「インターネットプロトコルバージョン
4(TCP/IPv4)」を選択して「プロパティ」ボタンをクリックします。

26

第 2 章 コンピューターのネットワーク設定

Ⅳ．Mac OS X のネットワーク設定
ここでは、Mac OS Xのネットワーク設定について説明します。

1 「システム環境設定」から「ネットワーク」
を開きます。

2

ネットワーク環境を「自動」、表示を「内蔵Ethernet」、IPv4 の設定を「手入力」にして、以下のように入力してください。
IP アドレス「192.168.0.1」
サブネットマスク「255.255.255.0」
ルーター「192.168.0.254」

3 ウィンドウを閉じて設定の変更を適用します。
これで、本装置へログインする準備が整いました。

27

第3章
第 3 章 設定画面へのログイン方法

第 3 章 設定画面へのアクセス

Ⅰ . 設定画面へのログイン方法

3 次のような認証ダイアログが表示されます。

本装置は Web ブラウザ上から設定をおこないます。
この章では Web ブラウザでの設定画面へのログイ
ン方法について説明します。

1 各種ブラウザを開きます。
2 ブラウザから設定画面にアクセスします。
本装置では HTTP(ポート 80)，HTTPS(ポート 443)でのアクセスが可能です。
設定画面へのポート番号（HTTP(80)，HTTPS(443)）
を変更することはできません。
HTTP(ポート 80)でアクセスする場合
ブラウザのアドレス欄に以下の URL を入力してください。

http://192.168.0.254/「192.168.0.254」は、Ether0 ポートの工場出荷時のアドレスです。アドレスを変更した場合は、そのアドレスを指定してください。

4 ダイアログ画面にパスワードを入力します。
工場出荷設定のユーザー名とパスワードはともに「admin」です。ユーザー名・パスワードを変更している場合は、それにあわせてユーザー名・パス
ワードを入力します。

HTTPS(ポート 443)でアクセスする場合
ブラウザのアドレス欄に以下の URL を入力してください。

https://192.168.0.254/「192.168.0.254」は、Ether0 ポートの工場出荷時のアドレスです。アドレスを変更した場合は、そのアドレスを指定してください。
HTTPS アクセスについては「第 3 章 設定画面へのアクセス II.HTTPS アクセス時の CA 証明書のインポート方法」を参照してください。

5 本装置の設定画面が表示されます。

デフォルトのHTTPSサーバ証明書およびCA証明書をバージョン 1.7.4 より変更しました。
バージョン 1.7.2 以前のものとは異なります。

設定画面はブラウザとして Internet Explorer 8を使用した場合にレイアウトが最適に表示されるように作られています。他のブラウザをご利用のように作られています。
他のブラウザをご利用の場合で画面レイアウトが崩れる場合は、フォント
場合で画面レイアウトが崩れる場合は、
フォント
29 の文字サイズを小さめに指定してください。

第 3 章 設定画面へのアクセス

Ⅱ . HTTPS アクセス時の CA 証明書のインポート方法
クライアント PC に CA 証明書がインポートされてい ◆ Windows XP Professional SP2ない状態で本装置へ HTTPS（ポート 443）アクセスす＋ Internet Explorer 6
ると、「セキュリティの警告」画面が表示されます。 Windows XP Professional SP2＋Internet Explorer
HTTPS アクセス時の警告メッセージの対応として、 6を使用したクライアントPCにおけるCA証明書のイ
CA 証明書をクライアント PC にインポートすること ンポート手順です。
をお薦めします。
CA
証明書がインポートされていない状態での
HTTPS
CA証明書がインポートされていない状態での証明書がインポートされていない状態でのHTTPS
クライアントPCへのCA証明書のインポート手順は、 アクセス
OS、バージョン等により設定手順が異なります。
CA 証明書がクライアント PC にインポートされてい◆ Windows XP Professional SP2ない状態で本装置へHTTPSアクセスするとインター＋
ネットオプションの設定によって、以下のような警Internet Explorer 6
告画面が現れます。
と◆ Windows Vista＋Internet Explorer 7の場合の設定手順を例示します。ご使用の環境に合わせてご参照ください。
または、※ インターネットオプション等の設定によってはこれらの警告画面が表示されないこともあります。

）を選択すると、
警告画面の「OK」（または「はい(Y)」さらに次のような警告画面が現れます。

「はい(Y)」をクリックするとログイン用の認証ダ
イアログが現れますので、HTTP アクセスと同様に
ユーザ―名とパスワードを入力してください。

30

第 3 章 設定画面へのアクセス

Ⅱ . HTTPS アクセス時の CA 証明書のインポート方法
CA 証明書のインポート「証明のパス」タブを開き、「証明のパス(P)」に表示
あらかじめ取得しておいたCA証明書を実行すると証 されている最上位証明書を選択して「証明書の表示
明書のインポートウィザードが開始されます。
(V)」をクリックします。
CA 証明書を取得しておくのが難しい場合には、「セ
キュリティの警告」画面の「証明書の表示(V)」をクリックしてください。

以下の画面が表示されます。

「全般」タブにある「証明書のインストール(I)」を開くと、CA証明書のインポートを開始することがで
きます。

31

第 3 章 設定画面へのアクセス

Ⅱ . HTTPS アクセス時の CA 証明書のインポート方法「証明書のインポートウィザード」が開始されたら「次へ(N)」をクリックしてください。

ルート証明書のインストール確認メッセージが表示されますので、証明書の拇印が正しいことを確認し「はい(Y)」を選択してください。

証明書のインポートが完了します。

「証明書ストア」での証明書が保管される場所は「証明書の種類に基づいて、自動的に証明書ストアを選択する(U)」のままで次へ進みます。

CA
証明書がインポートされた状態での
HTTPS
アクセス
CA証明書がインポートされた状態での証明書がインポートされた状態でのHTTPSHTTPSアクセス
CA 証明書をクライアント PC にインポートした後に本装置へ HTTPS アクセスすると、以下のような警告画
面が現れます。

「完了」をクリックします。

これは、ホスト名(または IP アドレス)と証明書のCommonName が一致していないために発生します。
ログインするには「はい(Y)」を選択すると認証ダイア
ログが表示されます。

32

第 3 章 設定画面へのアクセス

Ⅱ . HTTPS アクセス時の CA 証明書のインポート方法◆ Windows Vista ＋ Internet Explorer 7

CA 証明書のインポート

Windows Vista ＋ Internet Explorer 7 を使用した
クライアント PC における CA 証明書のインポート手順です。

あらかじめ取得しておいたCA証明書を実行すると証明書のインポートウィザードが開始されます。
CA証明書を取得しておくのが難しい場合には、アドレスバーの隣に表示されている「証明書のエラー」
をクリックして、最下部の「証明書の表示」を開きます。

CA
証明書がインポートされていない状態での
HTTPS
CA証明書がインポートされていない状態での証明書がインポートされていない状態でのHTTPS
アクセス
CA 証明書がクライアント PC にインポートされていない状態で本装置へHTTPSアクセスすると以下のよ
うな画面が表示されます。

「このサイトの閲覧を続行する（推奨されません）。
」
をクリックするとログイン用の認証ダイアログが現れますので、ユーザ―名とパスワードを入力してください。

本装置の設定画面が表示されます。

33

第 3 章 設定画面へのアクセス

Ⅱ . HTTPS アクセス時の CA 証明書のインポート方法「証明のパス」タブを開き、「証明のパス(P)」に表示 「証明書インポートウィザード」が開始されたら「次されている最上位証明書を選択して「証明書の表示 へ(N)」をクリックしてください。
(V)」をクリックします。

「証明書ストア」
で証明書が保管される場所を指定することができます。
「証明書をすべて次のストアに配置する(P)」を選択
して、「参照(R)」ボタンをクリックします。
「全般」タブにある「証明書のインストール(I)」を開くと、CA証明書のインポートを開始することができます。

証明書ストアは「信頼されたルート証明機関」としてください。

34

第 3 章 設定画面へのアクセス

Ⅱ . HTTPS アクセス時の CA 証明書のインポート方法
ルート証明書のインストール確認メッセージが表示されますので、証明書の拇印が正しいことを確認し「はい(Y)」を選択してください。

「次(N)」へ進み「完了」をクリックします。

証明書のインポートが完了します。

35

第 3 章 設定画面へのアクセス

Ⅱ . HTTPS アクセス時の CA 証明書のインポート方法
CA 証明書がインポートされた状態での HTTPS アクセス
CA 証明書をクライアント PC にインポートした後にも本装置へ HTTPS アクセスすると、以下のような警告画面が現れます。

「このサイトの閲覧を続行する（推奨されません）。
」をクリックしてログインしてください。
CA証明書をインポート後でも、HTTPSアクセスでログイン
すると、アドレスバーの隣の「証明書エラー」が表示されますが、これは、ホスト名(または IP アドレス)と証明書の CommonName が一致していないために発生します。

36

第4章
第 4 章 設定ウィザードによる設定

第 4 章 設定ウィザードによる設定

Ⅰ． 設定を始める前に本装置の IP アドレスの設定など、ターゲットのネットワークに設置するための最低限の設定のみをおこないます。RADIUS サーバの設定やユーザ登録はおこないません。RADIUS の設定は後回しにして、装置の設置のみをおこないたい
場合に適しています。

設定ウィザードを使うと、画面に表示される順番に設定をおこなうことで、本装置に必要な設定を一通りおこなうことができます。初めて本装置にログインし、設定をおこなう場合には、設定ウィ
ザードによる設定が適しています。
ただし、設定ウィザードを用いて親子連携機能の設定を行うことは出来ません。

・ユーザ登録ネットワーク設定や、RADIUS サーバの設定が既に終わっている状態の時に、ユーザ情報の追加だけをおこないたい時に使用します。
・設定情報の復帰
別途用意した設定ファイルを読み込むだけのウィザードです。装置の設定を初期化した後、以前バックアップしてあった設定内容を読み込む時などに使います。

ウィザードのアイコンをクリックすると次の画面が表示されます。

◆設定ウィザード画面の説明
設定ウィザードを選択すると、以降以下のような画面が表示されます。

◆各ウィザードの設定内容
設定ウィザードは目的に応じて以下の５つの中から一つを選んで実行するようにします。
・RADIUS(EAP)
本装置を EAP 認証で使う場合に最適のウィザードです。本装置のほぼ全ての設定項目を設定することができます。

左下のフレームには必要な設定項目がリスト表示されます。現在設定をおこなっている項目が青色
で、未設定の項目は灰色で、既に設定が終わった
項目は白色で表示されます。

・RADIUS(PAP/CHAP)
本装置を PAP/CHAP 認証で使う場合に最適のウィザードです。RADIUS サーバの設定、ユーザ登録等をおこないます。証明書関連の設定は不必要なためおこないません。

右下のフレームが設定情報を入力する画面になります。各設定項目に移動した直後にはその項目の現在の設定内容を表示する画面（以降表示画面と呼びます）が表示されます。表示画面には設定項
目を前後に移動するための「次へ」ボタンと「戻る」ボタンがあります。

・基本情報

38

第 4 章 設定ウィザードによる設定

Ⅰ． 設定を始める前に[表示画面例]

次節では RADIUS(EAP)のウィザードを例に各設定項
目毎の設定内容を説明します。
RADIUS(PAP/CHAP)、基本情報、ユーザ登録の各
ウィザードについては、次ページの表を参照して項目毎に説明ページをご覧ください。

設定を追加変更する場合には画面に応じて「設定・編集」ボタン、または「新規追加」ボタン、「編集」ボタンなどを押します。すると入力画面が表示されます。

設定を始める前に本装置の IP アドレスや、RADIUS
クライアントの情報、設定するユーザ情報など、設定に必要なデータを事前に準備した上で設定を開始することをお勧めします。

[入力画面例]

設定内容を入力後「設定」ボタンまたは「実行」
ボタンを押すと表示画面にもどります。設定された内容は直ちに保存され装置に反映されます。
次の設定項目へ進む場合には表示画面から「次へ」ボタンを押します。以前の設定をやり直す場合には「戻る」ボタンを押して戻ることができます。

39

第 4 章 設定ウィザードによる設定

Ⅰ． 設定を始める前に
RADIUS(EAP)RADIUS(PAP/CHAP)

基本設定

１．管理者

○

○

○

P.38

２．ネットワーク基本情報

○

○

○

P.39

３．内蔵時計

○

○

○

P.40

４．ログ

○

○

○

P.41

５．スタティックルート

○

○

○

P.42

６．DNS

○

○

○

P.43

７．NTP

○

○

○

P.44

８．SNMP

○

○

○

P.45

９．CA‑ 基本情報

○

P.48

10．CA‑RADIUS サーバ証明書

○

P.50

11．CA‑HTTPS サーバ証明書

○

P.51

12．CA‑LDAP クライアント証明書

○

P.51

13．CA‑LDAP サーバ証明書

○

P.51

14．管理画面へのアクセス○○

15．RADIUS‑ 基本情報

○

○

P.53

16．RADIUS‑ 二重化

○

○

P.54

17．RADIUS‑ ログ

○

○

P.55

18．RADIUS‑ アドレスプール

○

○

P.56

19．RADIUS‑ クライアント

○

○

P.57

20．RADIUS‑ アトリビュート

○

○

P.58

21．RADIUS‑ActiveDirectory

○

P.60

22．RADIUS‑LDAP

○

P.62

23．RADIUS‑ ユーザ基本情報

○

○

○

P.67

24．RADIUS‑ 認証アトリビュート

○

○

○

P.69

25．RADIUS‑ 応答アトリビュート

○

○

○

P.71

26．RADIUS‑ グループ ID

○

○

○

P.73

27．RADIUS‑ ユーザ証明書

○

○

P.74

28．RADIUS‑ ユーザプロファイル

○

○

○

P.75

29．RADIUS‑ ユーザ作成

○

○

○

P.76

30．RADIUS‑AD ユーザ

○

P.86

31．RADIUS‑LDAP ユーザ

○

P.87

32．ユーザ管理者

○

○

○

P.88

33．フィルタ

○

○

○

P.89

34．RADIUS 起動○○

35．設定の保存

○

○

○

○

P.92

36．完了

○

○

○

○

P.93

表.

○

説明ページ

P.52

P.91

各設定ウィザード毎の設定内容一覧

40

ユーザ登録

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
1. 管理者
設定を変更する場合は「編集」ボタンを押すと、次の入力画面が表示されます。
新しいログイン ID とパスワードを入力してください。

本装置ではログインするユーザの権限によって「本装置管理者」、「ユーザ管理者」、「ユーザ」の３
種類のアカウントが用意されています。ここでは最も権限の強い本装置管理者のログイン ID とパスワードを設定します。装置のセキュリティ確保のために推測されにくいパスワードを設定してくだ
さい。
工場出荷設定のユーザー名とパスワードはともに「admin」です。

■本装置管理者変更○ログイン ID
ログイン ID に使用可能な文字は英数字および以下の記号になります。
!"#$%&'()*+‑./<=>?@[]^̲̀{￨}表示画面では本装置管理者のログイン ID が表示されています。

○パスワードパスワードに使用可能な文字は、ユーザ ID の入力可
能文字に加え空白文字と以下になります。
,:;¥「設定」ボタンをクリックして設定完了です。
次回のログインからは、新しく設定したユーザー名とパスワードを使ってログインしてください。

41

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
2. ネットワーク基本情報
本装置の IP アドレスおよびデフォルトゲートウェイ ○ MTUの設定をおこないます。
「Path‑MTU‑Black‑HOLE」現象が発生した場合等は、ここの値を変更することで回避できます。
通常は初期設定の 1500Bytes のままで利用してください。

（RA‑730 の設定画面です。
）
Ether0，Ether1，Ether2
Ether0，Ether1，※ RA‑1200 と RA‑1100 は、Ether0 と Ether1 のみで(※す。)
設定を変更する場合は、変更したいインタフェース
欄の「編集」ボタンを押します。
次の入力画面が表示されます。

○通信モードEther ポートの通信速度・方式を選択します。
工場出荷設定では「自動」(オートネゴシエーショ
ン)となっていますが、必要に応じて通信速度・方式を選択してください。
(※※ RA‑630 のみ)
設定画面に、1000M Full は表示されません。また、Ether2 ポートは、自動設定のみとなります。

■基本情報
デフォルトゲートウェイ
デフォルトゲートウェイ欄の「編集」ボタンを押すと次の入力画面が表示されます。
■基本情報（RA‑730 の設定画面です。
）○ IP アドレス
Ether ポートの IP アドレスとネットマスクを入力します。
ネットマスクは IP アドレスの後、 / (スラッシュ)に続けてビット数表記で入力します。例えば、IP ア
ドレスが 192.168.1.10 で、ネットマスクがドット
区切り表記で 255.255.255.0 であれば以下のように入力します。
入力例）192.168.1.10/24○デフォルトゲートウェイ
本装置のデフォルトゲートウェイとなる IP アドレスを入力してください。

複数の Ethernet ポートに同一ネットワークに属す
正常に動作し設定しないで下さい。正常に動作しるアドレスを 設定しないで下さい。
ないことがあります。

本装置のインタフェースのアドレスを変更した後は、設定画面にアクセスしているコンピュータのは、設定画面にアクセスしているコンピュータのIP 設定もそれにあわせて変更し、変更した IP アド
設定もそれにあわせて変更し、変更したレスの設定画面に再ログインしてください。

42

各項目に入力後、「設定」ボタンをクリックして設定完了です。

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
3. 内蔵時計
本装置の時刻を合わせます。
時刻を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

■内蔵時計
24 時間単位で時刻を設定してください。
「実行」ボタンをクリックして設定完了です。

43

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
4. ログ
■ログ転送
各ファシリティ毎のログの転送先が一覧表示されています。
この画面で設定をおこなうシステムログに加え、後で設定をおこなう認証ログ、アカウンティング
ログも転送先の指定に従って転送されます。

システムログに関する設定をします。また、取得した各ログの転送先を設定します。

「新規追加」をクリックすると入力画面が表示されます。
■ログ転送新規追加■システムログ
現在の設定内容が表示されています。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
○ファシリティ
転送したいログのファシリティを指定します。
プルダウンから選択してください。

■システムログ変更○転送先 IP アドレス
ログを転送するサーバを指定します。
指定したマシン上で syslog サーバを動かす必要があります。

○システムログ
システムログについて記録に残すかどうかを設定します。

各項目に入力後、「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。

○ファシリティ
システムログを「取得する」にした場合、システ
ムログが出力されるファシリティを指定します。
プルダウンから選択してください。

転送先は最大 5 個まで設定することができます。

変更
・削除
変更・
ログ転送一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。
各項目に入力後、「設定」ボタンをクリックして設定完了です。設定はすぐに反映されます。

本装置に記録できるログの数には上限があります
最大数一覧」を（「付録 A 最大数一覧」
を参照してください）。
継続的にログを取得される場合は外部の syslog
サーバにログを送信するようにしてください。

44

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
5. スタティックルート
本装置のスタティックルートの設定をおこないま
す。

変更
・削除
変更・
スタティックルート一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

「新規追加」をクリックすると入力画面が表示されます。
■スタティックルート新規追加○ IP アドレス
あて先ホストまたはネットワークの IP アドレスを入力します。
あて先の範囲をネットマスクで指定します。
ネットマスクは IP アドレスの後、 / (スラッシュ)に続けてビット数表記で入力します。例えば、IP ア
ドレスが 192.168.1.0 で、ネットマスクがドット
区切り表記で255.255.255.0の範囲 であれば以下のように入力します。
入力例）192.168.1.0/24
ホストを指定する場合は /32 は付けずに IP アド
レスで指定します。
入力例）192.168.1.1○ゲートウェイ
IPアドレス欄で指定したアドレスへ送信するパケッ
トを中継する、ルータのアドレスを入力します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定はすぐに反映されます。
スタティックルートは最大 10 個まで設定することができます。

45

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
6.DNS
本装置が使用する DNS の設定をおこないます。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■ DNS○プライマリサーバ
プライマリ DNS サーバの IP アドレスを入力します。
○セカンダリサーバ
セカンダリ DNS サーバの IP アドレスを入力します。
各項目に入力後、「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。

46

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
7.NTP
本装置は、NTP クライアント / サーバ機能を持っています。インターネットを使った時刻同期の手法の一つである NTP(Network Time Protocol)を用いて NTP サーバと通信をおこない、時刻を同期させることができます。

■ NTP サーバ設定されている NTP サーバが表示されています。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■ NTP○プライマリサーバ
プライマリ NTP サーバの IP アドレスもしくは FQDN
を入力します。
■起動
・停止
■起動・
○セカンダリサーバ
現在 NTP サーバが停止している場合には、「停止中」 セカンダリ NTP サーバの IP アドレスもしくは FQDNと表示されます。
「起動」ボタンをクリックする事でを入力します。
NTP サーバが起動します。
NTP サーバが起動している場合には、「動作中」と表示されます。
「停止」ボタンをクリックする事でNTPサーバは停止
します。また、「再起動」ボタンをクリックするとNTP
プロセスが再起動します。

各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、NTP サーバの再起動が必要になります。
「再起動」ボタンを押してください。

基準 NTP サーバについて基準となる NTP サーバには以下のようなものがあります。
・ntp1.jst.mfeed.ad.jp
・ntp2.jst.mfeed.ad.jp
・ntp3.jst.mfeed.ad.jp

47

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
8.SNMP
SNMP エージェントを起動すると、SNMP マネージャ
から本装置の MIB‑II (RFC1213)の情報を取得することができます。

○コミュニティ名
任意のコミュニティ名を指定します。
ご使用の SNMP マネージャの設定に合わせて入力してください。
○本装置の名称
本装置の管理上の名前を入力します。通常 FQDN などを指定します。
○本装置の説明
本装置についての説明を入力します。
○本装置の設置場所
本装置の物理的な設置場所を指定します。
○本装置の管理者
本装置管理者への連絡先などを指定します。

■起動
・停止
■起動・
現在 SNMP が停止している場合には、「停止中」と表示されます。
「起動」ボタンをクリックする事でSNMP が起動します。

○ Trap 送信元 1 〜 5
Trap の送信先 (SNMP マネージャ) の IP アドレスを設定します。
デフォルト値はありません。
未設定の場合は trap の送信はしません。
最大 5 個まで設定可能です。

SNMP が起動している場合には、「動作中」と表示されます。
「停止」ボタンをクリックする事で SNMP
サーバは停止します。また、「再起動」ボタンをクリックすると SNMP プロセスが再起動します。

○ CPU 使用率閾値CPU 使用率の閾値を設定します。
単位は ％で、有効な値は 10 以上 100 未満の整数となります。
デフォルト値はありません。
設定されない場合は、対応する trap は送信されません。
90 を一つの目安としてお考え下さい。
但し、一時的に処理量が増加し、CPU 使用率がこの値を超えることも考えられます。設定した閾値を超える状態が続く場合には利用状況と併せて本装置の動作状態を確認して下さい。

■ SNMP サーバ
管理者が設定変更できる項目について、現在の設定内容が表示されています。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■ SNMP

48

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細○メモリ空き容量閾値
メモリ 空き容量の閾値を設定します。
単位は kB で、有効な値は 1 以上の整数となります。
デフォルト値はありません。
設定されない場合は、対応する trap は送信されません。
メモリ空き容量については別項(後述)を参照して下さい。
メモリ空き容量は設定及びご利用状況によって変わります。
推奨値を提示することは出来ません。16384 (16 MB)
程度を一つの目安としてお考え下さい。
各項目に使用可能な文字は以下となります。
・コミュニティ名、本装置の説明、本装置の設置場所
0‑9, a‑z, A‑Z, ‑, ̲
・本装置の名称
0‑9, a‑z, A‑Z, ‑, ̲, .
・本装置の管理者
0‑9, a‑z, A‑Z, ‑, ̲, @, <, >, .
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、SNMP サーバの再起動が必要になります。
「再起動」ボタンを押してください。

メモリ空き容量RA では、データの読み出し / 書き込み時にメモリを
キャッシュという形で確保します。
一度キャッシュとして確保したデータは、メモリを介して処理が行われるため高速に動作します。
新たなデータの読み出し/ 書き込み要求によりメモリ領域が必要とならない限り、キャッシュは解放されません。
メモリ空き容量(csRASystemMemoryFree)には、このキャッシュは含まれません。
したがって、連続して運用を続けるとメモリ空き容量(csRASystemMemoryFree)は逓減します。

49

SNMP trap
ユーザが設定した SNMP マネージャに SNMP trap を送信します。
送信される trap は以下の通りです。
・SNMP サービス起動時に Cold Start を送信
・CPU 使用率がユーザ定義の閾値を超えた時・CPU 使用率がユーザ定義の閾値以下になった時
CPU 使用率を一定時間毎(1 秒)に測定します。
前回の測定値が閾値以下で、今回の測定値が閾値より大きい場合に trap を送信します。
測定値が閾値より大きくなったことがあり、その後の測定値が一定回数(10回)だけ連続して閾値以下の場合に trap を送信します。
SNMP サービス起動直後に閾値より大きい場合は trapを送信します。
閾値以下の場合は送信しません。
・メモリ空き容量がユーザが定義した閾値より小さくなった時・メモリ空き容量がユーザが定義した閾値以上になった時

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細

メモリ空き容量を一定時間毎(1秒)に測定します。
前回の測定値が閾値以上で、今回の測定値が閾値より小さい場合に trap を送信します。
測定値が閾値より小さくなったことがあり、その後の測定値が一定回数(10 回)だけ連続して閾値以上の場合に trap を送信します。
SNMP サービス起動直後に閾値より小さい場合は trap を送信します。
閾値以上の場合は送信しません。
・Ethernet インタフェースが link down した時
・Ethernet インタフェースが link up した時
Ethernet インタフェースの link up/down に応じて trap を送信します。
SNMP サービス起動直後に link down ならば trap を送信します。
link up ならば送信しません。
(※※ RA‑630 のみ)
ただし、Ether 2 については 実際の link up/down の状態によらず常に up として扱われます。
設定情報の同期をおこなう設定の場合でも、本設定は対向装置へ同期されません。

なお、CPU 及びメモリの状況は、GetRequest 等で取得できます。
例:$ snmpwalk ‑v2c ‑c public 192.168.0.254 enterprises
enterprises.20376.3.1.1.1.1.0 = 4
enterprises.20376.3.1.1.1.2.0 = 1
enterprises.20376.3.1.1.1.3.0 = 95
enterprises.20376.3.1.1.2.1.0 = 256608
enterprises.20376.3.1.1.2.2.0 = 194280$ snmpwalk ‑v2c ‑c public 192.168.0.254 ‑m CS‑RA‑PRODUCT‑MIB.txt enterprises
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemCPU.csRASystemCPUUser.0= 4
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemCPU.csRASystemCPUSystem.0= 1
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemCPU.csRASystemCPUIdle.0= 95
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemMemory.csRASystemMemoryTotal.0= 256608
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemMemory.csRASystemMemoryFree.0= 19428050

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
9.CA ‑ 基本情報

○ Subject
Subject には以下の項目があります。

本装置の CA の設定をおこないます。

・Common NameCA Name として、認証局名称を設定します。

「新規追加」をクリックすると次の入力画面が表示されます。

・email認証局管理者のメールアドレス
・Organizational Unit
一般には部署名を設定します。
・Organization
一般には企業名、組織名を設定します。
・Locality
市町村名を設定します。
・State or Province
都道府県名を設定します。
・Country
国名を設定します。
日本国内の場合は、「JP」とします。
○有効期間
証明書有効期間を日数（終了日時）で設定します。
■パスフレーズ○パスフレーズ
パスフレーズは 5 文字以上 30 文字以下で入力して
ください。

■ CA
○バージョン
証明書のバージョンを示します。V3 固定です。
○鍵長
RSA の鍵の長さを選択します。
鍵の長さは「512」、「1024」、「2048」のいずれかを選択することができます。

■失効リスト更新間隔○失効リスト更新間隔
失効リストの更新間隔日数を設定します。
1‑365 日の間で指定します。
なお、デフォルト値は、下記のとおりです。
RA ver1.8.1 以前： 30 日
RA ver1.8.2 以降： 365 日○ Signature Algorithm
署名アルゴリズムを選択します。
・ver1.8.4 以前「SHA‑1」または「MD5」を選択することができます。
・ver1.8.5 以降「SHA‑512」、「SHA‑384」、「SHA‑256」、「SHA‑1」、「MD5」のいずれかを選択することができます。

51

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細■ CA 証明書○ CA/ 失効リストの表示
画面上部にある「CA」/「失効リスト」の選択ボタンを選んで「表示」ボタンを押すと、CA の内容または失効リストの内容が表示されます。

※この設定では、以下の項目が必須の設定項目になります。
○バージョン(固定)○鍵長○ Signature Algorithm○ subject・Common Name
○有効期間
○パスフレーズ○失効リスト更新間隔○ CA の削除「削除」ボタンを押すと本装置で設定した CA 証明
書，CRL，各証明書を全て削除します。

また、各項目に使用可能な文字は以下となります。
・E‑mailAddress
0‑9, a‑z, A‑Z, ‑.@̲・Common Name
制御コードを除く任意の半角文字■ CA 証明書の取得
CA 証明書欄で「取り出し」ボタンをクリックする
ことにより CA 証明書を取り出すことができます。
この際、取り出す形式を PEM または DER から選択することができます。
■失効リストの取得
失効リストの取得欄で「取り出し」ボタンをクリックすることにより CRL を取り出すことができます。
この際、取り出す形式を PEM または DER から選択することができます。

・Organizational Unit/Organization/Locality/
State or Province/
ver1.8.4 以前: 0‑9, a‑z, A‑Z, ‑̲ver1.8.5 以降: 0‑9, a‑z, A‑Z, ‑̲',.SPACE
・Country
A‑Z
各項目に入力後、「設定」ボタンを押して CA 証明書
を発行します。
CA の設定を一度おこなうと、以降、「CA/CRL」メ
ニューを選択した場合、次の画面が表示されるようになります。

この画面では以下の操作をおこなえます。

52■失効リストの更新
失効リストの更新欄で「更新」ボタンをクリック
すると CRL が最新のものに置き換えられます。

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
10.CA ‑ RADIUS サーバ証明書
EAPによる認証に用いるサーバ証明書の作成をおこ
ないます。

「S/N」
（シリアルナンバ）を押すと、次の証明書表
示画面が表示され、発行内容を確認することができます。

「新規追加」をクリックすると入力画面が表示されます。

証明書の操作の詳細については｢第第 7 章 CA 設定 II. 証明書 ○証明書の表示｣を参照してください。

第 7 章 CA 設定 II.
入力項目の詳細については、「第証明書 ○証明書の作成」を参照してください。
各項目に入力後、「実行」ボタンを押して証明書を発行します。
証明書発行後は次の画面が表示されるようになります。

53

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
11.CA ‑ HTTPS サーバ証明書

13.CA ‑ LDAP サーバ証明書

本装置の管理画面アクセスに SSL を用いる場合の、サーバ証明書の作成をおこないます。
このメニューの操作は前の「10.CA‑RADIUS サーバ
証明書」と同一になります。

ユーザ認証時に LDAP サーバ連携をおこなう場合
で、StartTLS または LDAPS プロトコルにより通信を保護したい場合に、LDAP サーバ側の証明書を作成します。
このメニューの操作は「10.CA‑RADIUS サーバ証明書」と同一になります。本証明書の作成後、この証明書を取り出して、LDAP サーバに設定をしてください。

12.CA ‑ LDAP クライアント証明書
ユーザ認証時に LDAP サーバ連携をおこなう場合
で、StartTLS または LDAPS プロトコルにより通信を保護したい場合に、本装置側の証明書を作成します。
このメニューの操作は「10.CA‑RADIUS サーバ証明書」と同一になります。

54

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
14. 管理画面へのアクセス設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

本装置の管理画面へアクセスするために必要な設定をおこないます。

■ HTTPS サーバ証明書「本装置の証明書を使用する」欄の「表示」ボタン
は、HTTPS サーバ証明書で、「本装置の証明書を使用する」が設定されている場合にのみ表示されます。
このボタンを押すと証明書の内容が表示され、証明書の取得等ができます。
第 7 章 CA 設定 II. 証
証明書の詳細については「第明書明書」を参照してください。

■ポート番号変更
HTTP サーバ(port 80)/HTTPS サーバ(port 443)によるアクセスを有効にするか無効にするかを選択します。
必ずどちらかは有効にしておく必要があります。

■ HTTPS サーバ証明書
デフォルトで設定されている証明書を使用するか、「CA」で設定したサーバ証明書を使用するか選択します。
「本装置の証明書を使用する」を選択した場合には、証明書のシリアルナンバを入力して証明書を指定してください。シリアルナンバは、16 進数で入力します。
各項目に入力後、「設定」ボタンをクリックして設定完了です。設定はすぐに反映されます。

55

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
15.RADIUS ‑ 基本情報
ポート番号、認証方式、RADIUS サーバの証明書の指定など、RADIUS の基本的な情報の設定をおこないます。

指定できるポート範囲は、1024 以上 60000 以下で、認証用とアカウンティング用で異なるポート番号を指定してください。
■認証方式
利用するユーザ認証方式の選択をおこないます。
本装置では、以下の５つの認証方式をサポートし
ています。
・
・
・
・
・

■ RADIUS サーバ証明書「本装置の証明書を使用する」欄にある「表示」ボ
タンは RADIUS サーバ証明書が設定されている場合にのみ表示されます。
このボタンを押すと証明書の内容が表示され、証明書の取得等ができます。
第 7 章 CA 設定 II. 証
証明書の詳細については「第明書明書」を参照してください。

使用する認証方式のチェックボックスをチェック
してください。なお、「EAP‑PEAP」または「EAP‑TTLS」を選択する場合は、「EAP‑TLS」も選択しておく必要があります。
また、「EAP‑TTLS」を選択する場合には TTLS 内部
認証で使う認証方式も同時に選択してください。

基本情報の設定を変更する場合は「設定・編集」
ボタンを押すと、次の入力画面が表示されます。

■ RADIUS サーバ証明書
認証で、「EAP‑TLS」、「EAP‑PEAP」まはた「EAP‑TTLS」を選択した場合には、RADIUS サーバ証明書が必要となります。
証明書は事前に CA のメニューにて生成しておく必要があります（「第設定」参照）。
第 7 章 CA 設定
証明書を作成した後、設定画面から「本装置の証明書を使用する」を選択して、作成した証明書のシリアルナンバを指定します。シリアルナンバは、
16 進数で入力します。
有効期間内の証明書を設定して下さい。有効期間外の場合は認証に成功しないことがあります(サプ
リカントに依存します)。

■ポート番号RADIUS では、認証（Authentication）とアカウン
ティング（Accounting）の２つのポートを利用して、RADIUS クライアントとの通信をおこなっていますが、そのポート番号の設定をおこないます。
以下の４種類から選択します。
・・・・

PAP/CHAP
EAP‑MD5
EAP‑TLS
EAP‑PEAP
EAP‑TTLS

各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。

1645/1646
1812/1813
1645/1646、1812/1813 の双方手動設定

手動設定の場合は、さらに使用したいポート番号を指定します。

56

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
16.RADIUS ‑ 二重化■二重化○単独
本装置を単独で利用する場合に設定します。

本装置は、２台構成にて、冗長化機能を持たせる事ができます。

○プライマリ○セカンダリ
本装置を二重化構成で使用する場合に「プライマリ」または「セカンダリ」を指定します。
二重化構成を取る装置の片方を「プライマリ」に、もう一方を「セカンダリ」に設定してください。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

■対向装置
二重化構成で使用する場合の、相手装置に関する情報を入力します。
○ IP アドレス
相手装置の IP アドレスを入力します。
○認証用ポート○アカウンティング用ポート○シークレット
相手装置の設定内容と一致するように入力します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。

二重化構成では、2 台の RA の時刻同期を行ってください。
時刻同期には、NTP 機能を利用することが可能です。
二重化構成におけるファームウェア更新について
は、「付録 F 同期・二重化構成におけるファーム
ウェア更新手順」を参照してください。

57

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
17.RADIUS ‑ ログ
■認証ログ
○認証ログ
RADIUS によるユーザ認証に関する記録を残すかどうかを選択します。

RADIUS 関連のログについて、記録に残すログの種類を設定します。

○ファシリティ
認証ログを「取得する」にした場合、認証ログが出力されるファシリティを指定します。
プルダウンから選択してください。

■アカウンティングログ
○アカウンティングログRADIUS のアカウンティング記録を残すかどうかを選択します。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

○ファシリティ
アカウンティングログを「取得する」にした場合、アカウンティングログが出力されるファシリティ
を指定します。
プルダウンから選択してください。
○取得項目
記録に残したい項目を選んで、チェックボックスをチェックします。
項目の詳細については「第第 6 章 RADIUS 設定 I.
サーバ設定 9. ログ」を参照してください。
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。

58

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
18.RADIUS ‑ アドレスプール
設定可能なアドレスプールの最大数は、下記のとおりです。

端末に IP アドレスを割当てる場合に貸与する IP
アドレスの領域を設定します。

RA‑1200: 100 個「新規追加」をクリックすると入力画面が表示されます。

RA‑1100: 100 個
RA‑730 :10 個

RA‑630 :10 個■アドレスプール新規追加
変更
・削除
変更・
アドレスプール一覧に登録されている設定を編集
または削除したい場合には、そのアドレスプールが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。
○アドレスプール名
任意の名前を 20 文字以内で入力します。後に他のメニューでアドレスプールを割り当てる時に、ここで設定された名前が選択肢として表示されます。
使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。
○開始 IP アドレス
端末に貸与する IP アドレスの最初の IP アドレスを指定します。
○終了 IP アドレス
端末に貸与する IP アドレスの最後の IP アドレスを指定します。開始 IP アドレスから終了 IP アド
レスまでの間の IP アドレスがクライアントに貸与されます。ここで設定された値は、RADIUS アトリ
ビュートの「Framed‑IP‑Address」の値となり、
RADIUS クライアントに返信されます。
○ネットマスクサブネットマスクの値を登録します。
ここで設定された値は、RADIUS アトリビュートの「Framed‑IP‑Netmask」の値となり、RADIUS クライ
アントに返信されます。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

59

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
19.RADIUS ‑ クライアント
アドレスプールは後のメニュー「RADIUS‑ ユーザ基本情報」の中で割り当てることもできます。
ユーザ基本情報プロファイルの IP アドレス割り当てが指定されている場合、そのプロファイルを使用しているユーザへの IP アドレス割り当ては、プ
ロファイル中の設定が優先して使われます。
本メニューのアドレスプールは、ユーザ基本情報
プロファイルの IP アドレス割り当てが「未使用」のユーザ、または、「固定」で設定されているユー
ザの内、固定 IP アドレスが指定されていないユー
ザにのみ適用されます。

本装置にアクセス可能な RADIUS クライアントを設定します。
「新規追加」をクリックすると入力画面が表示されます。
■クライアント新規追加○クライアント名
任意の名前を 20 文字以内で入力します。使用可能
な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。

本項のアドレスプールを設定して IP アドレスを割当てるためには、本装置で RADIUS クライアントとして設定したアドレスが NAS‑IP‑Address としてAccess‑Request に含まれている必要があります。

○ IP アドレス
RADIUS クライアントの IP アドレスを入力します。

各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

○シークレット
RADIUS クライアントとの認証や暗号処理に用いる
文字列を入力します。RADIUS クライアント側でも同じ値が設定されている必要があります。

設定可能なクライアントの最大数は、下記のとおりです。

RA‑1200: 1,000 個
RA‑1100: 1,000 個○アドレスプール
端末に IP アドレスを割当てる場合に、アドレス
プール名を選択します。アドレスプールの選択肢には、前項の「アドレスプール」メニューで設定した名前が表示されます。IP アドレスを本装置から割り当てない場合には「指定しない」を選択します。

RA‑730 :250 個

RA‑630 :

250 個

変更
・削除
変更・
クライアント一覧に登録されている設定を編集または削除したい場合には、そのアドレスプールが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

60

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
20.RADIUS ‑ アトリビュート
RADIUS標準アトリビュート以外に、ベンダ固有アトリ
ビュート(VSA)を使用したい場合に設定します。
本メニューにて設定されたベンダ固有アトリビュー
トは、後のメニューにて、認証に使用するアトリ
ビュートとして指定したり、認証応答に付加される
VSA 設定値の指定に使えるようになります。

先にベンダの追加をおこないます。
ベンダ一覧の「新規追加」ボタンを押します。
■ベンダ新規追加○ベンダ
追加したいベンダ名を入力します。最大 20 文字まで入力可能です。使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。
○ベンダ ID
ベンダ毎に割り当てられているベンダ ID を数値で入力します。
■ベンダ一覧
登録されているベンダの一覧が表示されます。

各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。

■ベンダ固有アトリビュート一覧
登録されているアトリビュートの一覧がベンダ毎に表示されます。
良く使われる標準のアトリビュートについてはベンダ「standard」として定義されています。
「standard」として定義されているアトリビュートについては新規作
成や、編集、削除はできません。

ベンダは最大 10 個まで登録することができます。

削除
登録されているベンダを削除したい場合には「削除」ボタンを押すと削除されます。
ベンダ固有アトリビュートで使われているベンダは削除できません。

61

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
続いて、ベンダ固有アトリビュート一覧から「新規追加」ボタンを押すと入力画面が表示されます。

各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

■ベンダ固有アトリビュート新規追加

ベンダ固有アトリビュートはベンダ毎に最大 10 個まで設定することができます。

変更
・削除
変更・
ベンダ固有アトリビュート一覧に登録されている
アトリビュートを編集または削除したい場合にはアトリビュートが表示されている行の「編集」ボ
タン、「削除」ボタンを押すことで実行できます。

○ベンダ
選択されたベンダ名が表示されます。
○タイプ名
ベンダ固有アトリビュート用にベンダから指定されているタイプ名を指定します。最大 20 文字まで入力可能です。使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。
○タイプ
アトリビュート番号を指定します。1 〜 255 の整数値を入力してください。
○フォーマット
アトリビュートのデータ型をプルダウンから選択してください。以下の 5 種類から選択できます。
・text
対象アトリビュートのデータ型が ASCII 文字列の場合に選択します。
・string
対象アトリビュートのデータ型がバイナリ
データの場合に選択します。
・address
対象アトリビュートのデータ型が IP アドレス
形式の場合に選択します。
・integer
対象アトリビュートのデータ型が整数の場合に選択します。
・ipv6address
対象アトリビュートのデータ型が IPv6 アドレ
ス形式の場合に選択します。

62

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
21.RADIUS ‑ ActiveDirectory
ユーザ認証を Active Directory でおこないたい場
合に設定します。
本設定をおこなうと、EAP‑PEAP による認証要求を受けた場合に、設定された Active Directory サー
バに問い合わせることで認証の可否を判断します。

○管理者ユーザ ID
認証情報の確認をおこなうための ActiveDirectoryのユーザアカウントを指定します。
このユーザは Administrators グループまたは
AccountOperators グループに所属しているか、または同等の権利が与えられている必要があります。
○管理者パスワード
管理者ユーザ ID に対応したパスワードを入力します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、RADIUS サー
バの再起動が必要になります。
RADIUS サーバの起動時に、RA はドメインに参加します。管理者ユーザ ID の権限で、Active Directory
サーバにコンピュータアカウントを作成します。

「設定・編集」ボタンを押すと入力画面が表示されます。
■ ActiveDirectory○ Active Directory 連携
ActiveDirectory 連携機能を使用する場合に「使用する」を選択します。
○ Active Directory サーバ
Active Directory が稼動しているドメインコント
ローラのホスト名を FQDN または IP アドレスで指定します。
○ドメインネーム認証を受けるドメイン名を入力します。
○所属グループ
認証を受ける所属グループ名を入力します。
空欄にするとグループ情報を用いずに認証をおこ
ないます。

63

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
Active Directory 連携機能を利用する際の注意
・Active Directory 連携機能を利用するためには、
DNS の設定(管理機能メニューの「ネットワー
ク」‑「DNS」)で所属するドメインの DNS サーバが設定されている必要があります。
・Active Directory サーバに設定されているドメ
インの先頭パートとドメイン名(Windows 2000 より前)が異なる時は、Active Directory サーバとの連携は出来ません。 例えば、ドメインがABC.EXAMPLE.COM であれば、ドメイン名(Windows2000 より前)は ABC である必要があります。
なお、ドメイン名(Windows 2000 より前)は、Active Directory サーバのバージョンにより表現が異なる場合があります(ドメイン名(Windows2000 以前)など)。
・LDAP 連携機能において EAP‑PEAP 認証を行う場
合、Active Directory 連携機能と同時に使用することはできません。
・Active Directory サーバと本装置の時刻がずれている場合、Active Directory サーバとの連携ができないことがあります。
Active Directory サーバへの対応状況
Active Directory サーバの各バージョンに対するRA の対応状況は以下の通りです。
対応しているR A のバージョン

Active Directoryサーバのバージョン

RA‑1200

RA‑1100

RA‑730RA‑630Windows Server 2008 R2

1.8.9

1.8.4

1.8.3

未対応

Windows Server 2008

1.8.9

1.8.4

1.8.3

1.8.6

Windows Server 2003 R2

1.8.9

1.7.0

1.8.2

1.3.0

Windows Server 2003

1.8.9

1.7.0

1.8.2

1.3.0

但し、全ての環境において Active Directory サー
バとの連携を保証するものではありません。

64

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
22.RADIUS ‑ LDAP■ LDAPLDAP サーバ連携使用の有無と、使用する場合の認証順序が表示されています。

LDAP サーバと連携してユーザ認証をおこないたい
場合に設定します。
PAP/CHAP、EAP‑MD5、EAP‑PEAP、EAP‑TTLS/PAP、
CHAP、EAP‑TTLS/EAP‑MD5 による認証要求を受けた
場合に、設定された LDAP サーバを利用して認証の可否を判断することができます。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■ LDAP○ LDAPLDAP サーバ連携機能を使用する場合に「使用する」
を選択します。

これより、各設定について説明します。

○認証順序
LDAP サーバ上のユーザ情報に基づく認証と、本装置上に登録されたユーザ情報に基づく認証のどちらを優先しておこなうかを指定します。
「Local → LDAP」を指定した場合、最初に本装置上で認証を試みます。そして認証要求されたユーザが本装置上に登録されていなかった場合に LDAP
サーバ連携による認証をおこないます。
「LDAP → Local」の場合は逆に、LDAP 上のユーザ認証が最初におこなわれます。
選択後「設定」ボタンを押してください。
LDAP サーバを使用する選択にした場合には続いてLDAP サーバの登録をおこなってください。

65

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細■ LDAP アトリビュートマップ一覧
LDAP アトリビュートマップ機能を用いることで、LDAP サーバから応答アトリビュートを取得し、
RADIUSクライアントに返すことが可能となります。
応答アトリビュートはLDAPサーバでユーザ毎に設定します。
LDAPアトリビュートマップは、LDAPサーバ毎ではな
く全体で共有されます。
設定可能な LDAP アトリビュートマップの数は 10です。
設定情報の同期をおこなう設定の場合、本設定は対向装置へ同期されます。
「新規追加」ボタンを押すと入力画面が表示され、LDAP アトリビュートマップをひとつ作成することができます。
ここでは、LDAP サーバ上のアトリビュートから
RADIUS 応答アトリビュートへの変換ルールの組を設定します。
■ LDAP アトリビュートマップ新規追加○ RADIUS アトリビュート
RADIUS アトリビュートを選択します。任意のアトリビュートを選択することができます。
○ LDAP アトリビュート
LDAP サーバへ問い合わせる際の検索フィルタアト
リビュートを設定します。
各 LDAP サーバで設定された「ベース DN」や「フィルタアトリビュート」などと複合して LDAP サーバに問い合わせがおこなわれます。LDAP アトリ
ビュートは「管理者ユーザ ID」の権限で読み出せる必要があります。
使用可能な文字は、下記の通りです。
0‑9, a‑z, A‑z, ‑(0x2c), ̲(0x5f)。
最大文字数は「40（ver1.8.3以前は 20）」で、デフォ
ルト値はありません。

66

入力後に「設定」ボタンを押してください。
変更
既に設定されている LDAP アトリビュートマップのひとつを変更することができます。
RADIUS アトリビュートは編集することはできませ
んが、LDAP アトリビュートは変更可能です。
削除
既に設定されている LDAP アトリビュートマップのひとつを削除することができます。

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細■ LDAP サーバ一覧
表示画面の下段には設定済みの LDAP サーバが一覧表示されています。1 番のサーバから順に LDAP による認証が試みられます。

○ No.
この LDAP サーバの認証の順番を指定します。
空欄にした場合には既存の LDAP サーバ設定の最後に追加されます。
既に LDAP サーバが登録されている番号を指定した
場合には、今回作成する LDAP サーバがその番号で設定され、指定された番号から下の既存の LDAP
サーバ設定が一つずつ後ろにずれて設定されます。

「新規追加」ボタンを押すと入力画面が表示されます。
■ LDAP 新規追加

○ LDAP 名
識別用に任意の名前を 20 文字以内で入力します。
○ LDAP サーバ
LDAP サーバ名を FQDN または IP アドレスで指定します。
○ポート
LDAP サーバのポート番号を指定します。
指定できるポート範囲は、80, 443, 802 番を除く
1 〜 1023 の範囲になります。
一般的には LDAP(StartTLS 含む)の場合には 389、
LDAPS の場合には 636 が使われます。
○ベース DN
認証要求で送られたユーザ名を LDAP サーバに問い合わせる際の基点となるエントリの Distinguished
Name を指定します。
< 入力例 >
o=example, c=jp
c=jp
Organizationo=example

Personuid=user01 uid=user02 uid=Manager
図： ディレクトリツリーの例

67

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細○シリアルナンバ
セキュリティで「StartTLS」または「LDAPS」を選択した場合に、本装置が用いるクライアント証明書を指定します。
証明書はあらかじめ CAメニューの「証明書」で生成しておく必要があります(「第 7 章 CA 設定 II. 証明書」参照)。

○バインド DN
認証要求で送られたユーザ名を LDAP サーバに問い合わせる際に用いるユーザの Distinguished Name
を指定します。
ユーザの検索に必要なアクセス権が与えられている必要があります。
バインド DN が未設定の場合は、LDAP サーバに匿名アクセスを行います。
< 入力例 >

使用する証明書のシリアルナンバを 16 進数で入力します。
有効期間内の証明書を設定して下さい。有効期間外の場合は認証に成功しないことがあります(LDAP
サーバに依存します)。

uid=Manager, o=example, c=jp
○パスワード上記「バインド DN」に対応したパスワードを指定します。
バインド DN が未設定の場合(LDAP サーバに匿名ア
クセスを行う場合)は、設定しないで下さい。
○フィルタオブジェクト
使用しません。
○フィルタアトリビュート
認証要求で送られたユーザ名を LDAP サーバに問い合わせる際に、指定されたユーザ名に対応させる
属性を指定します。
< 入力例 >
uid

○証明書検証「StartTLS」または「LDAPS」使用時に LDAP サーバの証明書を検証するか否かを指定します。
検証するにした場合、LDAP サーバの証明書が不正であった場合にはその LDAP サーバは認証に使用しなくなります。
LDAP サーバ証明書の CN の値がサーバ名と異なっていた場合には不正な証明書とみなされます。
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
LDAP サーバは最大 10 台まで設定することができます。

LDAP サーバとして Active Directory を使用する場
合には以下を指定するようにします。
sAMAccountName

変更
・削除
変更・
LDAP サーバ一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押す
ことで実行できます。

○セキュリティLDAP サーバと通信をおこなう場合のセキュリティ
プロトコルを指定します。
「None」を指定した場合には通信が LDAP でおこな
われ、暗号化等はされません。
「StartTLS」「LDAPS」が指定された場合にはそれぞれのプロトコルに従って通信がおこなわれます。

68

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
LDAP サーバを RA と連携させるためには、
sambaNTPassword アトリビュート、または
csRANTLMHash アトリビュートのいずれかに各ユーザの NTLM ハッシュが設定されている必要があります。
また、その値は 16 バイトのハッシュ値を 16 進数表記で表した 32 バイトの文字列でなければなりません。
(例: 00112233445566778899AABBCCDDEEFF)。
大文字小文字どちらも使用可能です。

LDAP 連携機能における認証について
LDAP サーバと連携してユーザ認証をおこなう方法は 3 種類あります(ver1.8.3 以前は 1 種類)。
(1) バインド(接続)認証させたいユーザの権限で LDAP サーバにバイン
ド(接続)できる場合に、PAP または EAP‑TTLS/PAP
で認証可能となります。
認証の可否は LDAP サーバが決定します。LDAP サー
バでユーザにアクセス制限等が掛けられていれば認証に成功しません。

認証の可否は RA が決定します。LDAP サーバでユー
ザにアクセス制限等が掛けられていても、管理者
ユーザ ID の権限で NTLM ハッシュの読み出しが可能であれば認証に成功します。

(2) 平文パスワード(ver1.8.4 以降のみ)
LDAP サーバの userPassword アトリビュートに、平文のパスワードが設定されていて、かつ RA に設定した管理者ユーザ ID の権限でその値が読み出せる
場合に、CHAP、EAP‑MD5、EAP‑PEAP、EAP‑TTLS/
CHAP、EAP‑TTLS/EAP‑MD5 で認証可能となります。

NTLM ハッシュが部外者に漏洩しないように注意して下さい。NTLM ハッシュを用いることで、ユーザ認証を不正に成功させることが可能です。

LDAP サーバから読み出したパスワードの先頭に{CLEAR}または{CLEARTEXT}が付加されている場合、それらを無視します。
また、それらの大文字小文字は区別しません。
{CLEAR}、{clear}、{Clear}などいずれの場合も無視します。
認証の可否は RA が決定します。LDAP サーバでユーザにアクセス制限等が掛けられていても、管理者ユーザ ID の権限でパスワードの読み出しが可能であれば認証に成功します。
(3) NTLM ハッシュ(ver1.8.4 以降のみ)
LDAP サーバに NTLM ハッシュが設定されていて、かつ RA に設定した管理者ユーザ ID の権限でその値が読み出せる場合に、EAP‑PEAP で認証可能となります。
NTLM ハッシュとは、UTF‑16LE でエンコードされた
パスワードを MD4 を用いてハッシュした 16 バイト
の値です。

69

なお、EAP‑PEAP 認証においては、NTLM ハッシュと平文パスワードの両方が設定されている場合には、
NTLM ハッシュを使用します。

LDAP 連携機能を利用する際の注意
LDAP 連携機能において EAP‑PEAP 認証を行う場合、Active Directory 連携機能と同時に使用することはできません。

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
23.RADIUS ‑ ユーザ基本情報
本装置では、同じ内容の設定を複数ユーザに対して容易に設定できるようにするために、共通の設
定内容をあらかじめプロファイルとして定義しておくことができます。
プロファイルは、「ユーザ基本情報」、「認証アトリビュート」「応答アトリビュート」、「証明書」、「グ
ループ ID」に分けて設定することができ、このプ
ロファイルを組み合わせて「ユーザプロファイル」とします。このユーザプロファイルを各ユーザの設定時に選択することで、ユーザ情報を素早く入力していくことができます。

○認証方式
ユーザ認証方式の選択をおこないます。
本装置では、以下の 7 つの認証方式をサポートしています。
・ PAP/CHAP
・ EAP‑MD5・ EAP‑TLS
・ EAP‑PEAP
・ EAP‑TTLS/PAP,CHAP
・ EAP‑TTLS/EAP‑MD5・ EAP‑TTLS/EAP‑PEAP

ユーザ基本情報プロファイルは、認証方式や IP ア
ドレスの割り当て方式などを指定するプロファイ
ルです。ユーザ基本情報プロファイルは必ず一つ以上作成する必要があります。

選択した認証方式については、「RADIUS‑ 基本情報」でも選択されていることを確認してください。
報」
でも選択されていることを確認してください。
基本情報」で選択されていない認証方式「RADIUS‑ 基本情報」
で選択されていない認証方式については、
本メニューで選択しても認証はおこについては、本メニューで選択しても認証はおこなわれません。

「新規追加」をクリックすると入力画面が表示されます。

○同時接続数一人のユーザが同時に RADIUS サーバの認証を受けられる数を指定します。一人のユーザが同時に多数の接続をおこなうことを制限したい場合に用います。
設定可能な同時接続数は、「1」〜「9」になります。また、空欄にした場合、同時接続数は無制限になります。

■ユーザ基本情報プロファイル新規追加○ IP アドレス割り当て
ユーザ認証に成功した端末に対する IP アドレスの割り当て方法の設定です。
IP アドレス割り当てをおこなわない場合には「未使用」を選択します。
RADIUS クライアント装置が割り当てをおこなう場
合には「RADIUS クライアント」を選択します。
本装置のアドレスプールを利用して割り当てる場
合には、「アドレスプール」を選択します。
固定 IP アドレスをユーザ毎に割り当てる場合には、「固定」を選択してください。

○プロファイル名
任意の名前を 20 文字以内で入力します。
「ユーザプロファイル」
メニューでユーザ基本情報プ
ロファイルを設定する際に、ここで設定されたプロファイル名が選択肢として表示されます。
使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。
（他のプロファイルも同様です。
）

70

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細○アドレスプール
IP アドレス割り当てで「アドレスプール」を選択した場合に、設定をおこないます。
「アドレスプール」の項目で設定した内容が選択肢に表示されますので、設定したいアドレスプール
を選択します。

変更
・削除
変更・
ユーザ基本情報プロファイル一覧に登録されている設定を編集または削除したい場合には、そのプ
ロファイルが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定可能なユーザ基本情報プロファイルの最大数
は、下記のとおりです。

RA‑1200: 100 個
RA‑1100: 100 個
RA‑730 :20 個

RA‑630 :20 個

71

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
24.RADIUS ‑ 認証アトリビュート■認証アトリビュートプロファイル一覧
新たに認証アトリビュートプロファイルを追加する場合には、一覧から「新規追加」ボタンを押してプロファイルの追加をおこないます。

認証時に認証方式に応じて送られるパスワードなどの情報に加え、RADIUS クライアントから送られてくるアトリビュートを認証に用いる場合に使用するプロファイルです。
このような認証をおこなわない場合には認証アトリビュートプロファイルを作成する必要はありません。
このプロファイルはユーザプロファイルで他のプ
ロファイルとまとめられた上で、「ユーザ作成」メ
ニューでユーザに適用されます。

■認証アトリビュートプロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
「ユーザプロファイル」
メニューで認証アトリビュー
トプロファイルを設定する際に、ここで設定されたプロファイル名が選択肢として表示されます。
入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
■認証アトリビュートプロファイル一覧
登録されている認証アトリビュートプロファイルの一覧が表示されます。

認証アトリビュートプロファイルは最大 20 個まで登録することができます。

■認証アトリビュート一覧
各認証アトリビュートプロファイルで定義されているアトリビュートの一覧が表示されます。

削除
登録されているプロファイルを削除したい場合には一覧から「削除」ボタンを押すと削除されます。

72

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細■認証アトリビュート一覧
認証アトリビュートプロファイルに対してアトリ
ビュートの追加・編集・削除をおこないます。
アトリビュートを追加する場合には、追加したい
認証アトリビュートプロファイルの表中に表示されている「新規追加」ボタンを押します。
以下の入力画面が表示されます。

・string(バイナリデータ)
16 進表記で入力してください。ただし、行頭に 0x は不要です。
設定可能な長さは定義済みの standard のアトリビュートで最大 253 オクテット(2 〜 506 文字)、追加したベンダ固有アトリビュートで最大 247 オクテット(2 〜 494 文字)です。
入力例: 63656e74757279( century の文字コードデータ)■認証アトリビュート新規追加

・address(IP アドレス)
IPv4 アドレス表記で入力してください。
入力例: 192.168.0.1○プロファイル名選択したプロファイル名が表示されています。

・integer(整数)負ではない整数値を入力してください。
設定可能な範囲は 0 〜 4294967295 です。
入力例: 65536○アトリビュート
ユーザ認証に使用するアトリビュートをプルダウ
ンから選択します。
選択できるアトリビュートは、あらかじめ本製品で定義されてあるものの他、「RADIUS‑ アトリビュー
ト」で追加したベンダ固有アトリビュートも使用できます。

・ ipv6address(IPv6アドレス)
IPv6 アドレス表記で入力してください。
入力例: fe80::1111
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

○値
認証に使用するアトリビュートの値を定義します。
選択したアトリビュートのフォーマットに応じて次のように入力します。
・text(ASCII 文字列)
ASCII 形式の文字列を入力してください。
設定可能な長さは、定義済みの standard のア
トリビュートで最大 253 文字、追加したベン
ダ固有アトリビュートで最大 247 文字です。
入力例: century

アトリビュートは 1 プロファイルあたり最大 10 個まで設定することができます。

変更
・削除
変更・
認証アトリビュート一覧に登録されている設定を編集または削除したい場合には、そのアトリビュートが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

73

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
25.RADIUS ‑ 応答アトリビュート
認証成功時に RADIUS クライアントに送るアトリ
ビュートを指定するためのプロファイルです。
指定するアトリビュートが無い場合には作成する必要はありません。このプロファイルはユーザプロ
ファイルで他のプロファイルとまとめられた上で、「ユーザ作成」メニューでユーザに適用されます。

■応答アトリビュートプロファイル一覧
登録されている応答アトリビュートプロファイル名の一覧が表示されています。
■応答アトリビュート一覧
各応答アトリビュートプロファイルで定義されているアトリビュートの一覧が表示されています。

■応答アトリビュートプロファイル一覧
新たに応答アトリビュートプロファイルを追加する場合には、一覧から「新規追加」ボタンを押してプロファイルの追加をおこないます。
■応答アトリビュートプロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
「ユーザプロファイル」メニューで応答アトリ
ビュートプロファイルを設定する際に、ここで設定されたプロファイル名が選択肢として表示されます。
入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
応答アトリビュートプロファイルは最大 20 個まで登録することができます。

削除
登録されているプロファイルを削除したい場合には一覧から「削除」ボタンを押すと削除されます。

74

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細■応答アトリビュート一覧
応答アトリビュートプロファイルに対してアトリ
ビュートの追加・編集・削除をおこないます。
アトリビュートを追加する場合には、追加したい
応答アトリビュートプロファイルの表中に表示されている「新規追加」ボタンを押します。
以下の入力画面が表示されます。
■応答アトリビュート新規追加○プロファイル名選択したプロファイル名が表示されています。
○アトリビュートRADIUS クライアントに送付するアトリビュートを
プルダウンから選択します。
選択できるアトリビュートは、あらかじめ本製品
で定義されてあるものの他、RADIUS の「サーバ」
メニューのアトリビュートで追加したベンダ固有アトリビュートも使用できます。
○値
送付するアトリビュートの値を定義します。
選択したアトリビュートのフォーマットに応じて入力します。入力の仕方は認証アトリビュートと同じです。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
アトリビュートは 1 プロファイルあたり最大 10 個まで設定することができます。

変更
・削除
変更・
応答アトリビュート一覧に登録されている設定を編集または削除したい場合には、そのアトリビュートが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

75

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
26. グループ ID
ユーザ ID を "user@centurysys.co.jp" またはCENTURYSYS¥user のように、所属グループを表わす文字列を付加して指定するためのプロファイルです。
このようなユーザ ID を利用しない場合には作成する必要はありません。このプロファイルはユーザ
プロファイルで他のプロファイルとまとめられた上で、「ユーザ」メニューでユーザに適用されます。ユーザに適用した場合、そのユーザは、グ
ループ ID も付加したユーザ名の形でのみ認証され、ユーザ ID 単独での認証には失敗するようになります。

グループ ID プロファイルは最大 50 個まで設定することができます。

変更
・削除
変更・
グループ ID プロファイル一覧に登録されている設定を編集または削除したい場合には、そのプロファイルが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

「新規追加」をクリックすると入力画面が表示されます。
■グループ ID プロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
「ユーザプロファイル」メニューでグループ ID を設定する際に、ここで設定されたプロファイル名
が選択肢として表示されます。
○グループ ID
ユーザ名に付加する文字列を指定します。
最大 40 文字まで指定できます。使用可能な文字は
英数字およびハイフン( ‑ )、ピリオド( . )になります。
○形式
グループ ID、ユーザ ID および区切り文字の結合の仕方を指定します。
UserID@GroupID または GroupID¥UserID から選択します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

76

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
27.RADIUS ‑ ユーザ証明書
ユーザ証明書を発行する際の共通項目をあらかじめ指定するためのプロファイルです。
このプロファイルの作成は任意です。このプロファイルはユーザプロファイルで他のプロファイ
ルとまとめられた上で、「ユーザ作成」メニューでユーザに適用されます。

変更
・削除
変更・
証明書プロファイル一覧に登録されている設定を編集または削除したい場合には、そのプロファイ
ルが表示されている行の「編集」ボタン、「削除」
ボタンを押すことで実行できます。

「新規追加」をクリックすると入力画面が表示されます。

第 6 章 RADIUS 設
各設定内容の詳細については、「第定 II. プロファイル 6. 証明書」を参照して入力してください。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
証明書プロファイルは最大 20 個まで設定することができます。

77

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
28.RADIUS ‑ ユーザプロファイル
最終的に RADIUSの「ユーザ作成」メニューでユーザに適用することになる、大元のプロファイルです。
このプロファイルは「ユーザ基本情報」、「認証ア
トリビュート」「応答アトリビュート」、「証明書」、「グループ ID」の各プロファイルを選択することで生成します。

各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定可能なユーザプロファイルの最大数は、下記のとおりです。

RA‑1200: 100 個
RA‑1100: 100 個「新規追加」をクリックすると入力画面が表示されます。

RA‑730 :20 個

RA‑630 :

20 個

変更
・削除
変更・
アドレスプール一覧に登録されている設定を編集
または削除したい場合には、そのアドレスプールが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

■ユーザプロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
後に「ユーザ」メニューでユーザの追加や編集をおこなう際に、ここで設定されたプロファイル名
が選択肢として表示されます。
使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。
○基本 （ユーザ基本情報）○認証 （認証アトリビュート）○証明書○応答 （応答アトリビュート）○グループ （グループ ID）
既に設定されている各プロファイルの名前が選択肢に表示されますので、割り当てたいプロファイ
ルをそれぞれ選択します。
「ユーザ基本情報」以外のプロファイルについては、プロファイルを使用しない場合、「指定しない」を選択することもできます。

78

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
29.RADIUS ‑ ユーザ作成
ユーザの登録やユーザへのプロファイルの割り当てをおこないます。
ユーザ一覧表示画面から「新規追加」をクリックすると入力画面が表示されます。

■ユーザ新規追加○ユーザ ID
登録するユーザ名を入力します。
ユーザ ID は、最大 20 文字まで入力する事が可能です。使用可能な文字は英数字および以下の記号になります。
!"#$%&'()*+‑./<=>?@[]^̲̀{￨}■固定 IP アドレス払い出し○ IP アドレス
固定のIPアドレスをユーザに払い出す場合に、端末に割り当てる IP アドレスを登録します。
ここで設定された値は、R A D I U S アトリビュートの「Framed‑IP‑Address」の値となり、RADIUS クライアン
トに返信されます。
この設定を有効にするためにはユーザに割り当てられたユーザ基本情報プロファイルのIPアドレス割り当てが「固定」に設定されている必要があります。
○ネットマスクサブネットマスクの値を登録します。
ここで設定された値は、RADIUS アトリビュートの「Framed‑IP‑Netmask」の値となり、RADIUS クライア
ントに返信されます。
この設定を有効にするためにはユーザに割り当てられたユーザ基本情報プロファイルの IP アドレス割り
当てが「固定」に設定されている必要があります。
■備考（RA‑630 を除く）
○備考
備考を設定することが出来ます。
備考は、最大 40 文字まで(日本語は 20 文字まで)入力することができます。
使用可能な文字は次の通りです。

○パスワード認証用パスワードを入力します。
パスワードは、最大 20 文字まで入力する事が可能です。使用可能な文字は、ユーザ ID の入力可能文
字に加え空白文字と以下になります。
,:;¥

0 〜 9、A 〜 Z、a 〜 z、空白文字、‑(マイナス・ハイフン)、.(ピリオド・ドット)、@、日本語 (JIS X 0208:1997 に収録された 6879 文字)※いわゆる半角カナ(1バイトの片仮名)やいわゆる機種依存文字(例えば Shift̲JIS の『丸付き数字』など)は使用できません。

○プロファイル
このユーザに適用したいユーザプロファイルを選択します。
「プロファイル」メニューで設定済みのユー
ザプロファイルが選択肢に表示されます。

79

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細■アカウントのロック○ロック
ユーザ毎に「ロックしない」「ロックする」のいず
れかを選択します。
デフォルト値は「ロックしない」です。
それぞれの動作は下記の通りになります。

ユーザが登録されると、表示画面では次のようなユーザ一覧が表示されるようになります。
■ユーザ・「ロックしない」
・RADIUS 認証要求には、認証処理をおこなった
結果を応答する・GUI へのアクセスを許可する
・「ロックする」・RADIUS 認証要求には、常に Reject を応答する・GUI へのアクセスを許可しない「ロックする」を選択している場合はユーザ一覧の「lock」欄に『 x 』が表示されます。
設定情報の同期をおこなう設定の場合、本設定は対向装置へ同期されます。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定可能なユーザの最大数は、下記のとおりです。

RA‑1200: 50,000 個
RA‑1100: 50,000 個
RA‑730 : 2,000 個
RA‑630 : 2,000 個※ 認証方式が EAP‑TLS の場合にはユーザ証明書のみを使って認証処理をおこないます。ユーザ ID お
よびパスワードは認証に使用しません。
また、認証時にはユーザ証明書の Subject のCommon Name を使ってユーザ ID との対応を取り、参照するプロファイルを決定します。

80

ユーザの編集削除や、証明書発行などの操作をこの画面からおこなうことができます。

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細■ユーザ設定この画面からユーザの設定内容の編集、削除、およびユーザ個別設定をおこなうことができます。

◆ユーザの詳細表示
ユーザ一覧表示画面において、詳細欄の「表示」
ボタンを押すとユーザの現在の設定内容が表示されます。

編集「編集」ボタンを押すとユーザ情報の編集画面が表示されます。

変更したい内容を入力して「設定」ボタンを押すと変更内容が反映されます。
削除「削除」ボタンを押すと表示されているユーザが削除されます。

■ユーザ設定現在設定されているユーザ設定情報が表示されます。
■ユーザ設定（詳 細）■ユーザ設定（プロファイルの選択によって適用されている設定
内容が表示されます。

81

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
・認証
・応答
変更

◆ユーザの個別設定■ユーザ設定（詳 細）■ユーザ設定（ユーザの詳細表示画面の下段に表示されている認証方式や応答アトリビュートなどは、本来ユーザに適用されているユーザプロファイルに従って設
定され、ユーザに適用されます。
しかしプロファイルから外れた形でユーザ一人一人に対して個別に設定したい場合には、この詳細表示画面から個別に設定をおこなうことができます。
個別設定は以下の各プロファイルで設定されている内容を上書きまたは追加する形でおこなわれます。
個別設定が可能なアトリビュート
・基本
・認証
・応答
ユーザに個別設定がされている場合には、ユーザの詳細表示画面で各項目について左右に二つの設定値が表示されるようになります。
左側の値はプロファイルによって本来設定される
筈の値が表示されます。
また右側の値は個別設定によって設定されている値が表示されます。
・基本
変更

認証アトリビュート、応答アトリビュートの個別
設定は各アトリビュートの「新規追加」ボタン、
または既存設定に対する「編集」ボタンでおこないます。
次のような設定画面が表示されます。

■アトリビュート新規追加（ユーザ： ユーザ ID ）○アトリビュート
個別に設定したいアトリビュートを選択します。
「編集」ボタンで設定画面を表示した場合には既に選択された状態で表示されます。
○値
アトリビュートの値を設定します。
選択したアトリビュートのフォーマットに合わせて入力してください。
○動作モード
「上書き」
、
「追加」
、
「削除」の中から選択します。
（※※ 認証アトリビュートの場合は「追加」は選択できません。
）
・上書き
プロファイルで同じアトリビュートが存在していた場合、プロファイルで設定されたアトリ
ビュート値はこのユーザには適用されず、個別設定されたアトリビュート値のみが使われるよ
うになります。

ユーザ基本情報プロファイルで設定される項目について個別設定をおこないたい場合にはユーザ基
本情報プロファイルの行にある「編集」ボタンを押します。
編集画面が現れるので、個別設定したい内容を設定し、「設定」ボタンを押してください。
削除
個別設定を削除し、ユーザ基本情報プロファイル
で設定された値に戻したいときには「削除」ボタンを押してください。

82

・追加
プロファイルで同じアトリビュートが存在していた場合、プロファイルで設定されたアトリ
ビュート値と、個別設定されたアトリビュート
値の両方がユーザに対して使われるようになります。
指定したアトリビュートがプロファイルに存在しない場合には、「上書き」と「追加」で動作に違いは有りません。

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
・削除
プロファイルで設定されたアトリビュートは本
ユーザに対して適用されなくなります。
「削除」
を選択する場合には値は指定しないでください。
「設定」ボタンを押すと個別設定が適用されます。
個別設定ではユーザ毎に 5 つのプロファイルを追加または削除指定することができます。
削除
個別設定したアトリビュートを削除する場合は削除したいアトリビュートの右側の「削除」ボタンを押してください。
ユーザが削除された場合、またはユーザに適用されるユーザプロファイルが変更された場合、そのユーザの個別設定は全て削除されます。
ユーザプロファイルでユーザ基本情報が変更された場合、そのユーザプロファイルが適用されているユーザのユーザ基本情報個別設定は削除されます。認証アトリビュート個別設定、応答アトリ
ビュート個別設定についても同様です。

83

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細◆ユーザ証明書の発行
EAP‑TLS 認証を使用する場合には、ユーザ毎に証明書を発行する必要があります。
証明書が未発行のユーザは、ユーザ一覧表示画面の証明書欄に「発行」ボタンが表示されます。
(※※ CA が作成されていない場合には「発行」ボタン
は表示されません。先に CA メニューで CA を設定してください。
)「発行」ボタンを押すと、次のユーザ証明書の作成画面が表示されます。

■証明書○バージョン
X.509 のどのバージョンの証明書を発行するかを選択します。
バージョンは「１」または「３」を選択することができます。
○鍵長
RSA の鍵の長さを選択します。
鍵の長さは「512」、「1024」、「2048」のいずれかを選択することができます。
○ Signature Algorithm
署名アルゴリズムを選択します。
・ver1.8.4 以前「SHA‑1」または「MD5」を選択することができます。
・ver1.8.5 以降「SHA‑512」、「SHA‑384」、「SHA‑256」、「SHA‑1」、MD5」のいずれかを選択することができます。

84

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細○ Subject・Common Name
ユーザ ID が自動的に設定されます。
（ユーザ
プロファイルでグループ ID が指定されている場合にはグループ ID も付加されます。
）
Common Name を変更することはできません。

○有効期間
証明書有効期間の開始日時と終了日時を設定します。日時は GMT(グリニッジ標準時)で指定します。
たとえば日本時間で 2006/12/31 23:59 まで有効にしたい場合には、 2006 年 12 月 31 日 14 時 59 分と入力します。

入力欄には証明書プロファイルで設定されている
内容が初期値として表示される他、パスフレーズにはユーザのパスワードが表示されます。以下の項目に入力をおこないます。

■パスフレーズ○パスフレーズ
パスフレーズを入力します。ユーザのパスワード
が初期値として入力されています。パスフレーズ
は 5 文字以上 30 文字以下で入力してください。

・emailユーザのメールアドレスを設定します。

(RA‑1100 ver1.7.4 以前と RA‑630 ver1.7.2 以前)
パスフレーズにはユーザのパスワードが表示されます。
(RA ver1.7.6 以降)
パスフレーズにはユーザのパスワードが●●●●で表示されます。

・Organizational Unit
一般には部署名を設定します。
・Organization
一般には企業名、組織名を設定します。
・Locality
市町村名を設定します。
・State or Province
都道府県名を設定します。
・Country
国名を設定します。
日本国内の場合は、「JP」とします。
各項目に使用可能な文字は以下となります。
・emai
0‑9, a‑z, A‑Z, ‑.@̲・Organizational Unit/Organization/Locality/
State or Province/
ver1.8.4 以前: 0‑9, a‑z, A‑Z, ‑̲ver1.8.5 以降: 0‑9, a‑z, A‑Z, ‑̲',.SPACE
・Country
A‑Z85

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細○ Extended Key Usage
Key Usage より詳細に、証明書に含まれている公開
鍵の使用目的を示します。
Extended Key Usage には以下の項目があります。

■ X.509 証明書 v3 拡張（RFC3280）
下記設定項目は、X.509v3 がサポートしている拡張機能になりますが、認証アプリケーションに依存した項目となりますので、本設定に関しては認証されるアプリケーションの仕様を確認の上、設定をおこなってください。

・serverAuth
TLS サーバ認証に利用できることを表しています。

以下に、それぞれのパラメータの説明を記します。
○ Key Usage
証明書に含まれている公開鍵の使用目的を示します。KeyUsage には以下の項目があります。

・clientAuth
TLS クライアント認証に利用できることを表しています。
・codeSigning
コード署名のために利用できることを・digitalSignature
デジタル署名の検証に利用できることを表しています。

表しています。
・emailProtection
電子メールの保護のために利用できることを表しています。

・nonRepudiation
否認防止を目的としたデジタル署名の検証に利用できることを表しています。

○ CRL Distribution Points
失効リストの配布点を入力します。本装置から失効リストを配布することもできます。その場合は以下の URL を入力します。
http://(本装置のホスト名)/crl/crl.crl

・keyEncipherment
鍵を送信する場合に、鍵を暗号化して利用できることを表しています。
・dataEncipherment
データの暗号化に利用できることを表しています。
・keyAgreement
鍵交換で利用できることを表しています。
・keyCertSign
証明書の署名の検証に利用できることを表しています。
・cRLSign
失効リストの署名の検証に利用できることを表しています。
・encipherOnly
keyAgreement が指定されている場合のみ有効で、鍵交換をデータの暗号化でのみ利用できることを表しています。
・decipherOnly
keyAgreement が指定されている場合のみ有効で、鍵交換をデータの復号化でのみ利用できることを表しています。

86

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細■ Netscape 拡張○ nsCertType
Netscape で使用される証明書のタイプを指定します。nsCertType には以下の項目があります。
・client
クライアント認証に利用できることを表しています。
・server
サーバ認証に利用できることを表しています。

※この設定では、以下の項目が必須の設定項目になります。
○バージョン○鍵長○ Signature Algorithm
○有効期間
・終了日時
○パスフレーズ※バージョン 3 のサーバ証明書を作成する場合には、通常最低限以下を指定するようにします。
実際にどの Key Usage/Extended Key Usage が必須であるかは通信相手のソフトウェアに依存します。
○ Key Usage・digitalSignature
・keyEncipherment○ Extended Key Usage
・serverAuth

・emailS/MIME のクライアント認証で利用できることを表しています。
・objsign
Java 等のオブジェクトサインで利用できることを表しています。
・sslCA
SSL 認証局で利用できることを表しています。
・emailCA
S/MINE 認証局で利用できることを表しています。
・objCA
オブジェクトサイン認証局で利用できることを表しています。

既にプロファイルで設定されている項目についても修正を加えることができます。
各項目に入力後、「実行」ボタンを押すと証明書が発行されます。

○ nsComment
Netscape のコメントを示します。使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。

87

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細◆ユーザ証明書の表示
既にユーザ証明書が発行されているユーザは、
ユーザ一覧表示画面の証明書欄に「表示」ボタンが表示されます。
このボタンを押すと、そのユーザに対して発行されている全ての証明書が一覧表示されます。

■証明書の取得
ユーザ証明書を本装置からダウンロードします。
取り出す形式と内容を指定して「取り出し」ボタ
ンを押します。
○形式「PKCS#12」、「PEM」、「DER」から一つ選択します。
○内容「CA 証明書・証明書・私有鍵」、「証明書・私有鍵」、「証明書」、「私有鍵」から一つ選択します。
※ PKCS#12 を選択した場合証明書と私有鍵のどちらか一方のみは選択できません。
※ PEM，DER を選択した場合証明書と私有鍵を同時に取り出すことはできません。それぞれ別々に取り出してください。

この画面では次の操作がおこなえます。
証明書の追加発行
このユーザに対して新しい証明書を発行します。
この後の操作は最初に証明書を発行する時と同じになります。

■証明書の失効
プルダウンメニューで失効理由を選択して、「失効」ボタンを押すと、証明書が失効します。
失効理由は以下の中から選択します。

証明書の確認「S/N」（シリアルナンバ）をクリックすることでその証明書の詳細内容を表示します。また、証明書の取得や失効などの操作をおこなうことができます。

・unspecified
理由を指定しません。
・keyCompromise
秘密鍵の漏洩などにより、証明書の信頼性がなくなったことを表します。

「S/N」（シリアルナンバ）をクリックすると次の画面が表示されます。

・CACompromise
CA の信頼性がなくなったことを表します。
・affiliation Changed
証明書の内容が変更されたことを表します。
・superseded
証明書が取り替えられたことを表します。
・cessationOfOperation
証明書がその目的では必要なくなったことを表します。

この画面では次の操作がおこなえます。

・removeFromCRL
失効リストから削除されたことを表します。

88

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
30.AD ユーザ
Active Directory 連携を使用する場合にユーザプ
ロファイルを指定します。
Active Directory 連携機能によって認証されたユーザは全て、ここで指定されたプロファイルが使われます。なお、プロファイルで記述された情報の中で、有効となるのは応答アトリビュート設
定のみで、他の設定内容は使用されません。

○ユーザプロファイル
使用するプロファイルを選択してください。
「設定」ボタンを押して設定完了です。設定はすぐに反映されます。
Active Directory 連携は EAP‑PEAP 認証のみをサポートしているため、プロファイルでは認証方式
が EAP‑PEAP であるものを選択してください。
応答アトリビュートを使用しない場合には、「指定しない」を選択することもできます。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■ AD ユーザ89

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
31.LDAP ユーザ○ユーザプロファイル
使用するプロファイルを選択してください。
認証方式が PAP/CHAP、EAP‑MD5、EAP‑PEAP、EAP‑
TTLS/PAP,CHAP、EAP‑TTLS/EAP‑MD5 のいずれか(ver1.8.3 以前は、PAP/CHAP、EAP‑TTLS/PAP,CHAPのいずれか)であるプロファイルを設定することが出来ます。

LDAP 連携を使用する場合にユーザプロファイルを指定します。
LDAP 連携機能によって認証されたユーザは全て、
ここで指定されたプロファイルが使われます。
なお、プロファイルで記述された情報の中で、現バージョンで有効となるのは応答アトリビュート
設定のみで、他の設定内容は使用されません。

応答アトリビュートを使用しない場合には、「指定しない」を選択することもできます。
プロファイルを設定したい LDAP サーバの「編集」
ボタンを押すと、次の入力画面が表示されます。

「設定」ボタンを押して設定完了です。設定はすぐに反映されます。

■ LDAP ユーザ変更

90

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
32. ユーザ管理者
変更
・削除
変更・
ユーザ管理者一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

本装置の全ての設定をおこなうことができる本装
置管理者の他に、RADIUS のユーザ情報の設定管理のみをおこなえるユーザ管理者を設定することができます。
「新規追加」をクリックすると入力画面が表示されます。
ユーザ管理者のログイン ID とパスワードを入力します。
■ユーザ管理者新規追加○ログイン ID
使用可能な文字は英数字および以下の記号になります。
!"#$%&'()*+‑./<=>?@[]^̲̀{￨}○パスワード使用可能な文字は、ユーザ ID の入力可能文字に加え空白文字と以下になります。
,:;¥
○ロック
通常は「ロックしない」を選択します。
一時的にユーザ管理者がログインできないように設定したい場合に、「ロックする」を選択するようにします。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定はすぐに反映されます。
ユーザ管理者は最大 5 人まで設定することができます。

91

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
33. フィルタ

デフォルトを「drop」に変更する場合には、
フィ
デフォルトを「drop」に変更する場合には、フィルタ一覧で必要な通信が許可されていることを事前にご確認ください。特に本装置の設定画面への前にご確認ください。
特に本装置の設定画面へのアクセスがフィルタルールで許可されるように忘れずに設定してください。本装置が使用するポーれずに設定してください。
本装置が使用するポートには次のものがあります。

本装置はパケットフィルタリング機能を搭載しています。フィルタ機能を使うと、本装置が受信するパケットに制限を加えることができます。
フィルタは以下の情報に基づいて条件を設定することができます。
・プロトコル(TCP/UDP/ICMP)
・送信元 / 送信先 IP アドレス
・送信元 / 送信先ポート番号■デフォルト動作
送受信されるパケットが、下のフィルタ一覧のルールと全て一致しなかった場合のフィルタ動作が表示されています。

R A D I U S 認証ポート

U D P / (可 変 )R A D I U S アカウンティングポート

UDP/(可変)二重化・設定情報の同期

TCP/802〜809

NTP

UDP/123

管 理 画 面 へ の ア ク セ ス (H T T P )TCP/80

管理画面へのアクセス(HTTPS)

TCP/443

ルート確認

UDP/33435〜33435+(ttl*3)

SNMP

UDP/161

SNMP trap

UDP/162

DNS

UDP/53

LDAP

TCP/(可変)SYSLOG

UDP/514■フィルタ一覧
フィルタルールが一行ずつ表示されています。
本装置に送受信されるパケットはこの一覧の各行と上から順に比較され、最初に一致した行の動作がパケットに対して適用されます。どの行とも一致しなかった場合にはデフォルト動作が適用されます。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■デフォルト動作「新規追加」ボタンを押すと入力画面が表示されます。
○ accept
フィルタルールと一致しなかった時にパケットを通過させる場合に選択します。

■フィルタ新規追加○ drop
フィルタルールと一致しなかった時にパケットを破棄させる場合に選択します。
選択後「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。

92

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細○ No.
この入力内容を登録する場所を指定します。
既に設定されているルールの最後にこのルールを追加する場合には、現在設定されているルールの数に 1 を加えた数を入力します。
既にルールが登録されている番号を指定した場合には、今回作成するルールがその番号で設定され、既存のルールの指定された番号から下のルールは番号が一つずつ後ろにずれます。
○プロトコル
フィルタリング対象とするプロトコルを「any」
、
「tcp」
、
「udp」
、
「icmp」の中から選択します。
「any」を選択した場合は任意のプロトコルとマッチします。

○送信先アドレスフィルタリング対象とする、送信先の IP アドレスを入力します。ホストアドレスのほか、ネット
ワークアドレスでの指定が可能です。
入力方法は、送信元 IP アドレスと同様です。
○送信先ポート
フィルタリング対象とする、送信先のポート番号を入力します。
開始ポートと終了ポートで範囲を指定します。指定方法は送信元ポート同様です。
○動作
フィルタリング設定にマッチしたときにパケットを破棄するか通過させるかを選択します。

○送信元 IP アドレス
フィルタリング対象とする、送信元の IP アドレスを入力します。ホストアドレスのほか、ネット
ワークアドレスでの指定が可能です。

各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定はすぐに反映されます。

< 入力例 >
単一の IP アドレスを指定する：
192.168.253.19 ( /32 は付けない)
ネットワーク単位で指定する：
192.168.253.0/24

フィルタルールは最大 20 個まで設定することがで
きます。

変更
・削除
変更・
フィルタ一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

○送信元ポート
フィルタリング対象とする、送信元のポート番号を入力します。
開始ポートと終了ポートを指定することで、その間のポート番号範囲が指定されます。
特定のポート番号のみを指定する場合は開始ポー
トと終了ポートに同じポート番号を入力するか、開始ポートのみを指定して終了ポートを空欄にしてください。
ポート番号を指定するときは、プロトコルもあわせて選択する必要があります。
「icmp」または「any」のプロトコルを選択して、ポート番号を指定することはできません。

93

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
34.RADIUS 起動
RADIUS サーバの起動
RADIUS サーバが停止状態の時に、「起動する」ボタンをクリックする事で、RADIUS サーバは起動します。

■起動・停止現在 RADIUS サーバが停止している場合には次の画面が表示されます。

一つ以上
メニュー
「15.RADIUS‑ 基本情報」
で、
メニュー「基本情報」で、で、一つ以上の認証方式が選択されていない場合には、
RADIUSの認証方式が選択されていない場合には、RADIUS
サーバは起動しません。
でク
また、メニュー
メニュー「クライアント」でク
また、
メニュー「19.RADIUS‑ クライアント」

RADIUS サーバが起動している場合には次の画面が表示されます。

ライアントが一つも定義されていない場合には、
RADIUS サーバは起動しません。

RADIUS サーバの停止
RADIUS サーバが起動状態の時に、「停止する」ボタンをクリックする事で、RADIUS サーバは停止します。

RADIUS サーバの再起動
RADIUS サーバの各種設定を変更した場合には再起動が必要です。RADIUS サーバが起動状態の時に、「再起動」ボタンをクリックする事で、RADIUS サー
バのプロセスが再起動します。
起動途中および再起動途中に他の操作をおこなわないでください。

94

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
35. 設定の保存
また、設定ファイルの一番上には以下の情報が表示されますので、サポートへのお問い合わせの際にお伝えください。

本装置の設定情報の保存をおこないます。
「設定の保存画面」 にて設定情報を表示
・更新するにて設定情報を表示・本装置のRSARSAの秘密鍵を含む設定情報等がの秘密鍵を含む設定情報等がHTTPSの秘密鍵を含む設定情報等がHTTPS
際、本装置のRSAを使用しない場合ネットワーク上に平文で流れます。
ローカル環境もしくはVPN
VPN環境等、VPN
環境等、セ
設定の保存は、ローカル環境もしくはキュリティが確保された環境下でおこなう事をお勧めします。

・Version：
RA を表す文字列・バージョン番号・ビルド番
号・ファームの作成日付
・Serial Number：
本装置のシリアル番号■設定情報の保存
・User：
設定ファイルを取り出したユーザ名
・Address：
設定ファイルを取り出したクライアントの IP
アドレス○文字コード設定を保存するときは、文字コードを「EUC(LF)」「SJIS(CR+LF)」「SJIS(CR)」の中から選択してくだ
さい。

・Date：
設定ファイルを取り出した日時「保存」ボタンを押すと、以下の画面が表示されます。

「バックアップファイルのダウンロード」のリンク
から、設定をテキストファイルで保存してください。
保存したテキストファイルには、本装置の設定がすべて記述されています。
このテキストファイルの内容を直接書き換えて設定を変更することもできます。

95

第 4 章 設定ウィザードによる設定

Ⅱ． 設定内容の詳細
36. 完了
ウィザード設定完了のメッセージが表示されます。
「完了」ボタンを押すとウィザードが終了し、通常のメニュー画面に移ります。
■設定完了

96

第5章
第 5 章 本装置管理者メニュー

第 5 章 本装置管理者メニュー

画面構成
この最下層のメニューを選択することで、その項目の現在の設定内容が画面右側に表示されます。

各設定項目毎に個別に設定をおこなう場合にはウィザード以外のメニューを選択するようにします。

ウィザード以外のメニューアイコンをクリックすると以下のような画面が表示されます。

次の章からは全メニュー項目について、この表示
画面を基点として、設定方法と設定内容について説明します。なお、設定ウィザードについては４
章で説明済みのため省略します。
本装置管理者でログインした場合のメニュー階層
は次のようになります。

画面の上部には常に「RADIUS」「CA」「管理機能」「運用機能」「設定ウィザード」の５つのボタンが表示されています。上部のボタンをクリックすると、選択されたボタンに合わせたメニュー項目が画面左側に表示されます。この画面左側のメニューが表示される部分をメニューフレームと呼びます。メニューフレーム上のアイコンをクリッ
クするとより詳細なメニュー項目が表示されます。

98

RADIUS
サーバ
起動・停止
基本情報
二重化
アトリビュート
アドレスプール
クライアントActiveDirectory
LDAP
ログ
プロファイル
ユーザプロファイル
ユーザ基本情報
認証アトリビュート
応答アトリビュート
グループ ID
証明書
ユーザ
ユーザ
AD ユーザLDAP ユーザ
ファイル読み込み
ユーザ検索

第 5 章 本装置管理者メニュー

画面構成
CA

設定ウィザード
RADIUS(EAP)RADIUS(PAP/CHAP)
基本情報
ユーザ登録
設定情報の復帰

CA/CRL
証明書
管理機能
ネットワーク
基本情報
スタティックルート
フィルタ
DNS
NTP
SNMP
システム
内蔵時計
ログ
設定情報の保存・復帰
設定情報の初期化
ファームのアップデート
再起動
管理者
管理画面へのアクセス
設定情報の同期
運用機能
ユーザ情報
ログイン情報ＡＤユーザ情報
ログ情報
システムログ認証ログ
アカウンティングログ
ネットワークテスト
到達性確認
ルート確認
パケットキャプチャ
名前解決確認システム情報システム情報サポート情報サポート情報99

第6章
第 6 章 RADIUS 設定

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
1. 起動
・停止
起動・
RADIUS のメニュー「サーバ」から「起動・停止」
を選択します。
現在 RADIUS サーバが停止している場合には次の画面が表示されます。

RADIUS サーバの起動
RADIUS サーバが停止状態の時に、「起動する」ボタンをクリックする事で、RADIUS サーバは起動しま
す。
一つ以上
メニュー
「サーバ」の「基本情報」で、で、一つ以上
メニュー「RADIUSの認証方式が選択されていない場合には、RADIUSの認証方式が選択されていない場合には、

RADIUS サーバが起動している場合には次の画面が表示されます。

サーバは起動しません。
また、
メニュー「サ ーバ 」
サーバは起動しません。また、
また、メニュー
メニュー「の「クライアント」でクライアントが一つも定義されていない場合には、RADIUS
RADIUS サーバは起動しまされていない場合には、せん。

RADIUS サーバの停止
RADIUS サーバが起動状態の時に、「停止する」ボタンをクリックする事で、RADIUS サーバは停止します。

RADIUS サーバの再起動
RADIUS サーバの各種設定を変更した場合には再起動が必要です。RADIUS サーバが起動状態の時に、「再起動」ボタンをクリックする事で、RADIUS サー
バのプロセスが再起動します。
起動途中および再起動途中に他の操作をおこなわないでください。

101

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
2. 基本情報
手動設定の場合は、さらに使用したいポート番号を指定します。指定できるポート範囲は、1024 以
上 60000 以下で、認証用とアカウンティング用で異なるポート番号を指定してください。

このメニューでは、ポート番号、認証方式、
RADIUS サーバの証明書の指定など、RADIUS の基本的な情報の設定をおこないます。
RADIUS のメニュー「サーバ」から「基本情報」を選択すると、現在設定されている内容が表示され
ます。

■認証方式
利用するユーザ認証方式の選択をおこないます。
本装置では、以下の５つの認証方式をサポートし
ています。
・
・
・
・
・

使用する認証方式のチェックボックスをチェック
してください。なお、「EAP‑PEAP」または「EAP‑TTLS」を選択する場合は、「EAP‑TLS」も選択しておく必要があります。
また、「EAP‑TTLS」を選択する場合には TTLS 内部
認証で使う認証方式も同時に選択してください。

「本装置の証明書を使用する」欄の「表示」ボタン
は RADIUS サーバ証明書が設定されている場合にのみ表示されます。
このボタンを押すと証明書の内容が表示され、証明書の取得等ができます。
第 7 章 CA 設定 II. 証
証明書の詳細については「第明書明書」を参照してください。

■ RADIUS サーバ証明書設定
認証で、「EAP‑TLS」、「EAP‑PEAP」まはた「EAP‑TTLS」を選択した場合には、RADIUS サーバ証明書が必要となります。
証明書は事前に CA のメニューにて生成しておく必要があります（「第証明書」参第 7 章 CA 設定 II. 証明書

基本情報の設定を変更する場合は「設定・編集」
ボタンを押すと、次の入力画面が表示されます。

照）。
証明書を作成した後、設定画面から「本装置の証明書を使用する」を選択して、作成した証明書のシリアルナンバを指定します。シリアルナンバは、
16 進数で入力します。
有効期間内の証明書を設定して下さい。有効期間外の場合は認証に成功しないことがあります(サプ
リカントに依存します)。

■ポート番号RADIUS では、認証（Authentication）とアカウン
ティング（Accounting）の２つのポートを利用して、RADIUS クライアントとの通信をおこなっていますが、そのポート番号の設定をおこないます。
以下の４種類から選択します。
・・・・

PAP/CHAP
EAP‑MD5
EAP‑TLS
EAP‑PEAP
EAP‑TTLS

各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、RADIUS
サーバの再起動が必要になります。

1645/1646
1812/1813
1645/1646、1812/1813 の双方
手動設定

102

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
3. 二重化
本装置は、２台構成にて、冗長化機能を持たせる事ができます。
RADIUS のメニュー「サーバ」から「二重化」を選択すると、現在設定されている内容が表示されま
す。

■二重化
○単独
本装置を単独で利用する場合に設定します。
○プライマリ○セカンダリ
本装置を二重化構成で使用する場合には「プライマリ」または「セカンダリ」を指定します。
二重化構成を取る装置の片方を「プライマリ」に、もう一方を「セカンダリ」に設定してください。
■対向装置
二重化構成で使用する場合の、相手装置に関する情報を入力します。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

○ IP アドレス
相手装置の IP アドレスを入力します。
○認証用ポート○アカウンティング用ポート○シークレット
相手装置の設定内容と一致するように入力します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、RADIUS
サーバの再起動が必要になります。

二重化構成では、2 台の RA の時刻同期を行ってください。
時刻同期には、NTP 機能を利用することが可能です。
二重化構成におけるファームウェア更新について
は、「付録 F 同期・二重化構成におけるファーム
ウェア更新手順」を参照してください。

103

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
4. アトリビュート
RADIUS標準アトリビュート以外に、ベンダ固有アト
リビュート(VSA)を使用したい場合に設定します。
本メニューにて設定されたベンダ固有アトリビュー
トは、「プロファイル」メニューにて、認証に使用するアトリビュートとして指定したり、認証応答に付加されるVSA設定値の指定に使えるようになります。
RADIUS のメニュー「サーバ」から「アトリビュー
ト」を選択すると、現在設定されている内容が表示されます。

○ベンダ
追加したいベンダ名を入力します。最大 20 文字まで入力可能です。使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。
○ベンダ ID
ベンダ毎に割り当てられているベンダ ID を数値で入力します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
ベンダは最大 10 個まで登録することができます。

削除
登録されているベンダを削除したい場合には「削除」ボタンを押すと削除されます。
ベンダ固有アトリビュートで使われているベンダは削除できません。

■ベンダ一覧
登録されているベンダの一覧が表示されます。
■ベンダ固有アトリビュート一覧
登録されているアトリビュートの一覧がベンダ毎に表示されます。良く使われる標準のアトリビュートについてはベンダ「standard」として定義されています。「standard」として定義されているアトリ
ビュートについては新規作成や、編集、削除はできません。

先にベンダの追加をおこないます。
ベンダ一覧の「新規追加」ボタンを押します。
■ベンダ新規追加

ベンダ固有アトリビュート一覧の中で、追加したいベンダの欄の「新規追加」ボタンを押すと入力画面が表示されます。
■ベンダ固有アトリビュート新規追加○ベンダ選択されたベンダ名が表示されます。
○タイプ名
ベンダ固有アトリビュート用にベンダから指定されているタイプ名を指定します。最大 20 文字まで入力可能です。使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。

104

第 6 章 RADIUS 設定

Ⅰ．サーバ設定○タイプ
アトリビュート番号を指定します。
1 〜 255 の整数値を入力してください。

ベンダ固有アトリビュートはベンダ毎に最大 10 個まで設定することができます。

○フォーマット
アトリビュートのデータ型をプルダウンから選択してください。以下の 5 種類から選択できます。
・text
対象アトリビュートのデータ型が ASCII 文字列の場合に選択します。

変更
・削除
変更・
ベンダ固有アトリビュート一覧に登録されている
アトリビュートを編集または削除したい場合にはアトリビュートが表示されている行の「編集」ボ
タン、「削除」ボタンを押すことで実行できます。
「プロファイル」メニューで使われているアトリ
ビュートは削除できません。

・string
対象アトリビュートのデータ型がバイナリ
データの場合に選択します。
・address
対象アトリビュートのデータ型が IP アドレス
形式の場合に選択します。
・integer
対象アトリビュートのデータ型が整数の場合に選択します。
・ipv6address
対象アトリビュートのデータ型が IPv6 アドレ
ス形式の場合に選択します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

105

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
5. アドレスプール
端末に IP アドレスを割当てる場合に貸与する IP
アドレスの領域を設定します。
本メニューにて設定されたアドレスプールを、次節の「クライアント」メニューまたは「プロファイル」メニューにて選択することで、実際の運用が可能になります。
RADIUS のメニュー「サーバ」から「アドレスプー
ル」を選択すると、現在設定されている内容が表示されます。

○終了 IP アドレス
端末に貸与する IP アドレスの最後の IP アドレスを指定します。
開始 IP アドレスから終了 IP アドレスまでの間のIP アドレスがクライアントに貸与されます。
○ネットマスクサブネットマスクの値を登録します。
ここで設定された値は、RADIUS アトリビュートの「Framed‑IP‑Netmask」の値となり、RADIUS クライ
アントに返信されます。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

「新規追加」をクリックすると入力画面が表示されます。

設定可能なアドレスプールの最大数は、下記のとおりです。

RA‑1200: 100 個
RA‑1100: 100 個■アドレスプール新規追加○アドレスプール名
任意の名前を 20 文字以内で入力します。
後に他のメニューでアドレスプールを割り当てる
時に、ここで設定された名前が選択肢として表示されます。
使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。

RA‑730 :10 個

RA‑630 :

10 個

変更
・削除
変更・
アドレスプール一覧に登録されている設定を編集
または削除したい場合には、そのアドレスプールが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。
「クライアント」メニューまたは「プロファイル」
メニューで使われているアドレスプールは削除できません。

○開始 IP アドレス
端末に貸与する IP アドレスの最初の IP アドレスを指定します。

106

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
6. クライアント○アドレスプール
端末に IP アドレスを割当てる場合に、アドレス
本装置にアクセス可能な RADIUS クライアントを設
プール名を選択します。
定します。
アドレスプールの選択肢には、前項の「アドレスプール」メニューで設定した名前が表示されます。
RADIUS のメニュー「サーバ」から「クライアント」
IPアドレスを本装置から割り当てない場合にはを選択すると、現在設定されている内容が表示さ「指定しない」を選択します。
れます。
アドレスプールは次節「プロファイル」の中で割り当てることもできます。ユーザ基本情報プロ「新規追加」をクリックすると入力画面が表示されます。
■クライアント新規追加○クライアント名
任意の名前を 20 文字以内で入力します。使用可能
な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。
○ IP アドレス
RADIUS クライアントの IP アドレスを入力します。
○シークレット
RADIUS クライアントとの認証や暗号処理に用いる
文字列を入力します。RADIUS クライアント側でも同じ値が設定されている必要があります。

ファイルの IP アドレス割り当てが指定されている場合、そのプロファイルを使用しているユーザへの IP アドレス割り当ては、プロファイル中の設定が優先して使われます。本メニューのアドレス
プールは、ユーザ基本情報プロファイルの IP アド
レス割り当てが「未使用」のユーザ、または、「固定」で設定されているユーザの内、固定 IP アドレスが指定されていないユーザにのみ適用されます。
本項のアドレスプールを設定して IP アドレスを割当てるためには、本装置で RADIUS クライアントとして設定したアドレスが NAS‑IP‑Address としてAccess‑Request に含まれている必要があります。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
保存された設定内容を反映させるには、RADIUS
サーバの再起動が必要になります。
設定可能なクライアントの最大数は、下記のとおりです。

RA‑1200: 1,000 個
RA‑1100: 1,000 個
RA‑730 :250 個

RA‑630 :

250 個

変更
・削除
変更・
クライアント一覧に登録されている設定を編集または削除したい場合には、そのアドレスプールが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

107

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
7.ActiveDirectory
ユーザ認証を Active Directory でおこないたい場
合に設定します。
本設定をおこなうと、EAP‑PEAP による認証要求を受けた場合に、設定された Active Directory サー
バに問い合わせることで認証の可否を判断します。
RADIUS のメニュー「サーバ」から「Active
Directory」を選択すると、現在設定されている内容が表示されます。

○管理者ユーザ ID
認証情報の確認をおこなうための ActiveDirectory のユーザアカウントを指定します。
このユーザは Administrators グループまたは
AccountOperators グループに所属しているか、または同等の権利が与えられている必要があります。
○管理者パスワード
管理者ユーザ ID に対応したパスワードを入力します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、RADIUS サー
バの再起動が必要になります。
RADIUS サーバの起動時に、RA はドメインに参加します。管理者ユーザ ID の権限で、Active Directory
サーバにコンピュータアカウントを作成します。

「設定・編集」ボタンを押すと入力画面が表示されます。
■ ActiveDirectory○ Active Directory 連携
Active Directory 連携機能を使用する場合に「使用する」を選択します。
○ Active Directory サーバ
Active Directory が稼動しているドメインコント
ローラのホスト名を FQDN または IP アドレスで指定します。
○ドメインネーム認証を受けるドメイン名を入力します。
○所属グループ
認証を受ける所属グループ名を入力します。
空欄にするとグループ情報を用いずに認証をおこ
ないます。

108

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
Active Directory 連携機能を利用する際の注意
・Active Directory 連携機能を利用するためには、
DNS の設定(管理機能メニューの「ネットワーク」‑「DNS」)で所属するドメインのDNSサーバが設定されている必要があります。
・Active Directory サーバに設定されているドメ
インの先頭パートとドメイン名(Windows 2000 より前)が異なる時は、Active Directory サーバとの連携は出来ません。例えば、ドメインがABC.EXAMPLE.COM であれば、ドメイン名(Windows2000 より前)は ABC である必要があります。
なお、ドメイン名(Windows 2000 より前)は、Active Directory サーバのバージョンにより表現が異なる場合があります(ドメイン名(Windows2000 以前)など)。
・LDAP 連携機能において EAP‑PEAP 認証を行う場
合、Active Directory 連携機能と同時に使用することはできません。
・Active Directory サーバと本装置の時刻がずれている場合、Active Directory サーバとの連携ができないことがあります。
Active Directory サーバへの対応状況
Active Directory サーバの各バージョンに対するRA の対応状況は以下の通りです。
Active Directoryサーバのバージョン

対応しているR A のバージョン
RA‑1200

RA‑1100

RA‑730RA‑630Windows Server 2008 R2

1.8.9

1.8.4

1.8.3

未対応

Windows Server 2008

1.8.9

1.8.4

1.8.3

1.8.6

Windows Server 2003 R2

1.8.9

1.7.0

1.8.2

1.3.0

Windows Server 2003

1.8.9

1.7.0

1.8.2

1.3.0

但し、全ての環境において Active Directory サー
バとの連携を保証するものではありません。

109

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
8.LDAPLDAP サーバと連携してユーザ認証をおこないたい
場合に設定します。
PAP/CHAP、EAP‑MD5、EAP‑PEAP、EAP‑TTLS/PAP、
CHAP、EAP‑TTLS/EAP‑MD5 による認証要求を受けた
場合に、設定された LDAP サーバを利用して認証の可否を判断することができます。

■ LDAPLDAP サーバ連携使用の有無と、使用する場合の認証順序が表示されています。

RADIUS のメニュー「サーバ」から「LDAP」を選択
すると、現在設定されている内容が表示されます。

■ LDAP

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

○ LDAPLDAP サーバ連携機能を使用する場合に「使用する」
を選択します。
○認証順序
LDAP サーバ上のユーザ情報に基づく認証と、本装置上に登録されたユーザ情報に基づく認証のどちらを優先しておこなうかを指定します。
「Local → LDAP」を指定した場合、最初に本装置上で認証を試みます。そして認証要求されたユーザが本装置上に登録されていなかった場合に LDAP
サーバ連携による認証をおこないます。
「LDAP → Local」の場合は逆に、LDAP 上のユーザ認証が最初におこなわれます。
選択後「設定」ボタンを押してください。LDAP
サーバを使用する選択にした場合には続いて LDAP
サーバの登録をおこなってください。

110

第 6 章 RADIUS 設定

Ⅰ．サーバ設定■ LDAP アトリビュートマップ一覧
L D A P アトリビュートマップ機能を用いることで、LDAP サーバから応答アトリビュートを取得し、
RADIUS クライアントに返すことが可能となります。
応答アトリビュートはLDAPサーバでユーザ毎に設定します。
LDAPアトリビュートマップは、LDAPサーバ毎ではな
く全体で共有されます。
設定可能な LDAP アトリビュートマップの数は 10 です。

入力後に「設定」ボタンを押してください。
変更
既に設定されている LDAP アトリビュートマップのひとつを変更することができます。
RADIUS アトリビュートは編集することはできませ
んが、LDAP アトリビュートは変更可能です。
削除
既に設定されている LDAP アトリビュートマップのひとつを削除することができます。

設定情報の同期をおこなう設定の場合、本設定は対向装置へ同期されます。
「新規追加」ボタンを押すと入力画面が表示され、LDAP アトリビュートマップをひとつ作成することができます。
ここでは、LDAP サーバ上のアトリビュートから
RADIUS 応答アトリビュートへの変換ルールの組を設定します。
■ LDAP アトリビュートマップ新規追加○ RADIUS アトリビュート
RADIUS アトリビュートを選択します。任意のアトリビュートを選択することができます。
○ LDAP アトリビュート
LDAP サーバへ問い合わせる際の検索フィルタアト
リビュートを設定します。
各 LDAP サーバで設定された「ベース DN」や「フィルタアトリビュート」などと複合して LDAP サーバに問い合わせがおこなわれます。LDAP アトリ
ビュートは「管理者ユーザ ID」の権限で読み出せる必要があります。
使用可能な文字は、下記の通りです。
0‑9, a‑z, A‑z, ‑(0x2c), ̲(0x5f)。
最大文字数は「40（ver1.8.3以前は 20）」で、デフォ
ルト値はありません。

111

第 6 章 RADIUS 設定

Ⅰ．サーバ設定■ LDAP サーバ一覧
表示画面の下段には設定済みの LDAP サーバが一覧表示されています。1 番のサーバから順に LDAP による認証が試みられます。
「新規追加」ボタンを押すと入力画面が表示されま
す。

○ No.
この LDAP サーバの認証の順番を指定します。
空欄にした場合には既存の LDAP サーバ設定の最後に追加されます。既に LDAP サーバが登録されている番号を指定した場合には、今回作成する LDAP
サーバがその番号で設定され、指定された番号か
ら下の既存の LDAP サーバ設定が一つずつ後ろにずれて設定されます。

■ LDAP 新規追加
○ LDAP 名
識別用に任意の名前を 20 文字以内で入力します。
○ LDAP サーバ
LDAP サーバ名を FQDN または IP アドレスで指定します。
○ポート
LDAP サーバのポート番号を指定します。
指定できるポート範囲は、80, 443, 802 番を除く
1 〜 1023 の範囲になります。
一般的には LDAP(StartTLS 含む)の場合には 389、
LDAPS の場合には 636 が使われます。
○ベース DN
認証要求で送られたユーザ名を LDAP サーバに問い合わせる際の基点となるエントリの Distinguished
Name を指定します。
< 入力例 >
o=example, c=jp
c=jp
Organizationo=example

Personuid=user01 uid=user02

uid=Manager

図： ディレクトリツリーの例

112

第 6 章 RADIUS 設定

Ⅰ．サーバ設定○バインド DN
認証要求で送られたユーザ名を LDAP サーバに問い合わせる際に用いるユーザの Distinguished Name
を指定します。
ユーザの検索に必要なアクセス権が与えられている必要があります。
バインド DN が未設定の場合は、LDAP サーバに匿名アクセスを行います。
< 入力例 >
uid=Manager, o=example, c=jp

○シリアルナンバ
セキュリティで「StartTLS」または「LDAPS」を選択した場合に、本装置が用いるクライアント証明書を指定します。
証明書はあらかじめ C A メニューの「証明書」で生成しておく必要があります(「第 7 章 CA 設定 II. 証明書」参照)。
明書
使用する証明書のシリアルナンバを 16 進数で入力します。
有効期間内の証明書を設定して下さい。有効期間外の場合は認証に成功しないことがあります(LDAP
サーバに依存します)。

○パスワード上記「バインド DN」に対応したパスワードを指定します。
○証明書検証バインド DN が未設定の場合(LDAP サーバに匿名アク 「StartTLS」または「LDAPS」使用時に LDAP サーバ
セスを行う場合)は、設定しないで下さい。
の証明書を検証するか否かを指定します。
○フィルタオブジェクト
使用しません。
○フィルタアトリビュート
認証要求で送られたユーザ名を LDAP サーバに問い合わせる際に、指定されたユーザ名に対応させる属性を指定します。
< 入力例 >
uid

検証するにした場合、LDAP サーバの証明書が不正であった場合にはその LDAP サーバは認証に使用しなくなります。
LDAP サーバ証明書の CN の値がサーバ名と異なっていた場合には不正な証明書とみなされます。
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、RADIUS
サーバの再起動が必要になります。

LDAP サーバとして Active Directory を使用する場
合には以下を指定するようにします。
sAMAccountName

LDAP サーバは最大 10 台まで設定することができます。

○セキュリティLDAP サーバと通信をおこなう場合のセキュリティプ
ロトコルを指定します。
「None」を指定した場合には通信が LDAP でおこなわれ、暗号化等はされません。
「StartTLS」「LDAPS」が指定された場合にはそれぞれのプロトコルに従って通信がおこなわれます。

変更
・削除
変更・
LDAP サーバ一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押す
ことで実行できます。

113

第 6 章 RADIUS 設定

Ⅰ．サーバ設定LDAP 連携機能における認証について
LDAP サーバと連携してユーザ認証をおこなう方法は 3 種類あります(ver1.8.3 以前は 1 種類)。
(1) バインド(接続)認証させたいユーザの権限で LDAP サーバにバイン
ド(接続)できる場合に、PAP または EAP‑TTLS/PAP
で認証可能となります。
認証の可否は LDAP サーバが決定します。LDAP サー
バでユーザにアクセス制限等が掛けられていれば認証に成功しません。
(2) 平文パスワード(ver1.8.4 以降のみ)
LDAP サーバの userPassword アトリビュートに、平文のパスワードが設定されていて、かつ RA に設定した管理者ユーザ ID の権限でその値が読み出せる
場合に、CHAP、EAP‑MD5、EAP‑PEAP、EAP‑TTLS/
CHAP、EAP‑TTLS/EAP‑MD5 で認証可能となります。
LDAP サーバから読み出したパスワードの先頭に{CLEAR}または{CLEARTEXT}が付加されている場合、それらを無視します。
また、それらの大文字小文字は区別しません。
{CLEAR}、{clear}、{Clear}などいずれの場合も無視します。
認証の可否は RA が決定します。LDAP サーバでユーザにアクセス制限等が掛けられていても、管理者ユーザ ID の権限でパスワードの読み出しが可能であれば認証に成功します。
(3) NTLM ハッシュ(ver1.8.4 以降のみ)
LDAP サーバに NTLM ハッシュが設定されていて、かつ RA に設定した管理者ユーザ ID の権限でその値が読み出せる場合に、EAP‑PEAP で認証可能となります。
NTLM ハッシュとは、UTF‑16LE でエンコードされた
パスワードを MD4 を用いてハッシュした 16 バイト
の値です。

114

LDAP サーバを RA と連携させるためには、
sambaNTPassword アトリビュート、または
csRANTLMHash アトリビュートのいずれかに、
各ユーザの NTLM ハッシュが設定されている必要があります。
また、その値は 16 バイトのハッシュ値を 16 進数表記で表した 32 バイトの文字列でなければなりません。
(例: 00112233445566778899AABBCCDDEEFF)。
大文字小文字どちらも使用可能です。
認証の可否は RA が決定します。LDAP サーバでユー
ザにアクセス制限等が掛けられていても、管理者
ユーザ ID の権限で NTLM ハッシュの読み出しが可能であれば認証に成功します。
NTLM ハッシュが部外者に漏洩しないように注意して下さい。NTLM ハッシュを用いることで、ユーザ認証を不正に成功させることが可能です。
なお、EAP‑PEAP 認証においては、NTLM ハッシュと平文パスワードの両方が設定されている場合には、
NTLM ハッシュを使用します。

LDAP 連携機能を利用する際の注意
LDAP 連携機能において EAP‑PEAP 認証を行う場合、Active Directory 連携機能と同時に使用することはできません。

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
9. ログ
RADIUS 関連のログについて、記録に残すログの種類を設定します。
なお、RADIUS 以外のログについては、管理機能のメニュー「システム」「ログ」の中で設定します。

■アカウンティングログ
○アカウンティングログRADIUS のアカウンティング記録を残すかどうかを選択します。

RADIUS のサーバメニューから「ログ」を選択すると、現在設定されている内容が表示されます。

○ファシリティ
アカウンティングログを「取得する」にした場合、アカウンティングログが出力されるファシリティ
を指定します。
プルダウンから選択してください。
○取得項目
また、記録に残したい項目を選んで、チェックボックスをチェックします。
各項目は以下の内容となります。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

・User‑Name
認証するユーザ名です。
・NAS‑IP‑Address
アクセスサーバの IP アドレスです。
・NAS‑Port
アクセスサーバのポート番号です。
・Service‑Type
サービスの種類を表しています。
・Framed‑Protocol
PPP 等のプロトコルの種類を表しています。
・Framed‑IP‑Address
ユーザに割り当てる IP アドレスです。

■認証ログ
○認証ログ
RADIUS によるユーザ認証に関する記録を残すかどうかを選択します。
○ファシリティ
認証ログを「取得する」にした場合、認証ログが出力されるファシリティを指定します。
プルダウンから選択してください。

・Called‑Station‑Id
NAS の電話番号、着信番号です。
・Calling‑Station‑Id
ユーザの電話番号、発信者番号です。
・NAS‑Identifier
NAS の識別子です。RADIUS サーバが NAS を識別する為の文字列です。
・NAS‑Port‑Type
接続時のポートの種類を表しています。

115

第 6 章 RADIUS 設定

Ⅰ．サーバ設定
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、RADIUS
サーバの再起動が必要になります。

・Acct‑Status‑Type
Start(接続開始), Stop(接続終了)などのアカウンティングの種類を表しています。
・Acct‑Delay‑Time
遅延時間を表します。

「取得する」に設定したログは、管理機能のメ
ニュー「システム」「ログ」の中で、本装置に記録するか、他の装置の syslog デーモンに転送するかを設定することができます。

・Acct‑Input‑Octets
受信したバイト数を表しています。
・Acct‑Output‑Octets
送信したバイト数を表しています。
・Acct‑Session‑Id
セッション ID を表しています。
・Acct‑Authentic
RADIUS クライアントの認証方法を表しています。
・Acct‑Session‑Time
接続時間を表しています。
・Acct‑Input‑Packets
受信したパケット数を表しています。
・Acct‑Output‑Packets
送信したパケット数を表しています。
・Acct‑Terminate‑Cause
切断理由を表しています。
・client IP address
NAS のアドレスです。実際の送信元 IP アドレスです。
似た項目に、NAS‑IP‑Address がありますが、
NAS‑IP‑Address は RADIUS サーバで NAS を一意に特定できればいいので、実際の送信元アドレスとは異なっている場合があります。
・timestamp(yyyy‑mm‑dd hh:mm:ss)
パケットを受信した時刻です。
「2004‑10‑31 19:05:20」のフォーマット
(2004 年 10 月 31 日 19 時 05 分 20 秒)です。
・timestamp(epoc time)
パケットを受信した時刻です。
1970‑01‑01 00:00:00 からの経過秒数です。

116

第 6 章 RADIUS 設定

Ⅱ．プロファイル
本装置では、同じ内容の設定を複数ユーザに対して容易に設定できるようにするために、共通の設定内
容をあらかじめプロファイルとして定義しておくことができます。
ユーザの追加変更をおこなう際には、このプロファ
イルを選択することで、ユーザ毎の入力を省略することができます。
プロファイルは、「ユーザ基本情報」、「認証アトリ
ビュート」「応答アトリビュート」、「証明書」、「グループID」に分けて設定することができ、このプロファイルを組み合わせて「ユーザプロファイル」とします。
このユーザプロファイルを各ユーザの設定時に選択することで、ユーザ情報を素早く入力していくことができます。
本メニューではこのプロファイルの設定をおこない
ます。

117

第 6 章 RADIUS 設定

Ⅱ．プロファイル
1. ユーザプロファイル
最終的にRADIUSの「ユーザ」メニューでユーザに適用することになる、大元のプロファイルです。このプロファイルは次節以降の「ユーザ基本情報」、「認証アトリビュート」「応答アトリビュート」、「証明書」、「グループID」の各プロファイルを選択することで生成します。
先に上記５つのプロファイルを作成した上で設定をおこなうようにしてください。
RADIUS のメニュー「プロファイル」から「ユーザ
プロファイル」を選択すると、現在設定されている内容が表示されます。

○基本 （ユーザ基本情報）○認証 （認証アトリビュート）○証明書○応答 （応答アトリビュート）○グループ （グループ ID）
既に設定されている各プロファイルの名前が選択肢に表示されますので、割り当てたいプロファイ
ルをそれぞれ選択します。
「ユーザ基本情報」以外のプロファイルについては、プロファイルを使用しない場合、「指定しない」を選択することもできます。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定可能なユーザプロファイルの最大数は、下記のとおりです。

「新規追加」をクリックすると入力画面が表示されます。

RA‑1200: 100 個
RA‑1100: 100 個■ユーザプロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
後に「ユーザ」メニューでユーザの追加や編集をおこなう際に、ここで設定されたプロファイル名
が選択肢として表示されます。
使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。
（他のプロファイルも同様です。
）

RA‑730 :20 個

RA‑630 :

20 個

変更
・削除
変更・
アドレスプール一覧に登録されている設定を編集
または削除したい場合には、そのアドレスプールが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。
ユーザプロファイルの編集をおこなって設定を変更した場合、そのユーザプロファイルを使って定義されているユーザにも変更された設定が反映されます。
ユーザの設定に使われているユーザプロファイルは削除できません。
「ユーザ」メニューで設定を変更して、削除したい
ユーザプロファイルがどのユーザでも使われていないようにした後で、削除するようにしてください。

118

第 6 章 RADIUS 設定

Ⅱ．プロファイル
2. ユーザ基本情報
認証方式や IP アドレスの割り当て方式などを指定するプロファイルです。
ユーザ基本情報プロファイルは必ず一つ以上作成する必要があります。
このプロファイルはユーザプロファイルで他のプロファイルとまとめられた上で、「ユーザ」メニューでユーザに適用されます。
RADIUS のメニュー「プロファイル」から「ユーザ基本情報」を選択すると、現在設定されている内容が表示されます。

「新規追加」をクリックすると入力画面が表示されます。
■ユーザ基本情報プロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
「ユーザプロファイル」メニューでユーザ基本情報
プロファイルを設定する際に、ここで設定されたプロファイル名が選択肢として表示されます。
○認証方式
ユーザ認証方式の選択をおこないます。
本装置では、以下の 7 つの認証方式をサポートしています。
・ PAP/CHAP
・ EAP‑MD5・ EAP‑TLS
・ EAP‑PEAP
・ EAP‑TTLS/PAP,CHAP
・ EAP‑TTLS/EAP‑MD5・ EAP‑TTLS/EAP‑PEAP

選択した認証方式については、
RADIUS のサーバメ選択した認証方式については、RADIUS
ニューの「
ニューの
「基本情報」でも選択されていることを「基 本情 報」
確認してください。サーバメニューのサーバメニューの「
確認してください。
サーバメニューので選択されていない認証方式については、
本メで選択されていない認証方式については、本メ
ニューで選択しても認証はおこなわれません。
○同時接続数一人のユーザが同時に RADIUS サーバの認証を受けられる数を指定します。一人のユーザが同時に多数の接続をおこなうことを制限したい場合に用います。
設定可能な同時接続数は、「1」〜「9」になります。また、空欄にした場合、同時接続数は無制限になります。
○ IP アドレス割り当て
ユーザ認証に成功した端末に対する IP アドレスの割り当て方法の設定です。
IP アドレス割り当てをおこなわない場合には「未使用」を選択します。
RADIUS クライアント装置が割り当てをおこなう場
合には「RADIUS クライアント」を選択します。本
装置のアドレスプールを利用して割り当てる場合には、「アドレスプール」を選択します。固定 IP
アドレスをユーザ毎に割り当てる場合には、「固定」を選択してください。
○アドレスプール
IP アドレス割り当てで「アドレスプール」を選択した場合に、設定をおこないます。
サーバメニューの「アドレスプール」で設定した内容が選択肢に表示されますので、設定したいア
ドレスプールを選択します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定可能なユーザ基本情報プロファイルの最大数
は、下記のとおりです。

RA‑1200: 100 個
RA‑1100: 100 個

119

RA‑730 :20 個

RA‑630 :20 個

第 6 章 RADIUS 設定

Ⅱ．プロファイル
変更
・削除
変更・
ユーザ基本情報プロファイル一覧に登録されている設定を編集または削除したい場合には、そのプ
ロファイルが表示されている行の「編集」ボタン、「削除」ボタンを押すと実行できます。
プロファイルの編集をおこなって設定を変更した
場合、そのプロファイルを使って定義されているユーザにも変更された設定が反映されます。
ユーザプロファイルの設定に使われているユーザ
基本情報プロファイルは削除できません。
「ユーザプロファイル」メニューで設定を変更してから削除するようにしてください。

120

第 6 章 RADIUS 設定

Ⅱ．プロファイル
3. 認証アトリビュート
認証時に認証方式に応じて送られるパスワードなどの情報に加え、RADIUS クライアントから送られてくるアトリビュートを認証に用いる場合に使用するプロファイルです。
このような認証をおこなわない場合には認証アトリビュートプロファイルを作成する必要はありません。
このプロファイルはユーザプロファイルで他のプロファイルとまとめられた上で、「ユーザ」メニューでユーザに適用されます。
RADIUS のメニュー「プロファイル」から「認証アトリビュート」を選択すると、現在設定されている内容が表示されます。

■認証アトリビュートプロファイル一覧
新たに認証アトリビュートプロファイルを追加する場合には、一覧から「新規追加」ボタンを押してプロファイルの追加をおこないます。
■認証アトリビュートプロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
「ユーザプロファイル」メニューで認証アトリ
ビュートプロファイルを設定する際に、ここで設定されたプロファイル名が選択肢として表示されます。
入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
認証アトリビュートプロファイルは最大 20 個まで登録することができます。

■認証アトリビュートプロファイル一覧
登録されている認証アトリビュートプロファイルの一覧が表示されます。
■認証アトリビュート一覧
各認証アトリビュートプロファイルで定義されているアトリビュートの一覧が表示されます。

削除
登録されているプロファイルを削除したい場合には一覧から「削除」ボタンを押すと削除されます。
ユーザプロファイルの設定に使われている認証ア
トリビュートプロファイルは削除できません。
「ユーザプロファイル」メニューで設定を変更してから削除するようにしてください。

121

第 6 章 RADIUS 設定

Ⅱ．プロファイル
■認証アトリビュート一覧
認証アトリビュートプロファイルに対してアトリ
ビュートの追加・編集・削除をおこないます。
アトリビュートを追加する場合には、追加したい
認証アトリビュートプロファイルの表中に表示されている「新規追加」ボタンを押します。
以下の入力画面が表示されます。

・string(バイナリデータ)
16 進表記で入力してください。ただし、行頭に 0x は不要です。
設定可能な長さは定義済みの standard のアトリビュートで最大 253 オクテット(2 〜 506 文字)、追加したベンダ固有アトリビュートで最大 247 オクテット(2 〜 494 文字)です。
入力例: 63656e74757279( century の文字コードデータ)■認証アトリビュート新規追加

・address(IP アドレス)
IPv4 アドレス表記で入力してください。
入力例: 192.168.0.1○プロファイル名選択したプロファイル名が表示されています。

・integer(整数)負ではない整数値を入力してください。
設定可能な範囲は 0 〜 4294967295 です。
入力例: 65536○アトリビュート
ユーザ認証に使用するアトリビュートをプルダウ
ンから選択します。
選択できるアトリビュートは、あらかじめ本製品
で定義されてあるものの他、RADIUS の「サーバ」

・ ipv6address(IPv6アドレス)
IPv6 アドレス表記で入力してください。
入力例: fe80::1111

メニューのアトリビュートで追加したベンダ固有アトリビュートも使用できます。
○値
認証に使用するアトリビュートの値を定義します。
選択したアトリビュートのフォーマットに応じて次のように入力します。
・text(ASCII 文字列)
ASCII 形式の文字列を入力してください。設定可能な長さは、定義済みの standard のアトリビュートで最大 253 文字、追加したベンダ
固有アトリビュートで最大 247 文字です。
入力例: century

各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
アトリビュートは 1 プロファイルあたり最大 10 個まで設定することができます。

変更
・削除
変更・
認証アトリビュート一覧に登録されている設定を編集または削除したい場合には、そのアトリビュートが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。
プロファイルの編集をおこなって設定を変更した
場合、そのプロファイルを使って定義されているユーザにも変更された設定が反映されます。

122

第 6 章 RADIUS 設定

Ⅱ．プロファイル
4. 応答アトリビュート
認証成功時に RADIUS クライアントに送るアトリ
ビュートを指定するためのプロファイルです。指定するアトリビュートが無い場合には作成する必要はありません。このプロファイルはユーザプロ
ファイルで他のプロファイルとまとめられた上で、「ユーザ」メニューでユーザに適用されます。
RADIUS のメニュー「プロファイル」から「応答アトリビュート」を選択すると、現在設定されている内容が表示されます。

■応答アトリビュートプロファイル一覧
新たに応答アトリビュートプロファイルを追加する場合には、一覧から「新規追加」ボタンを押してプロファイルの追加をおこないます。
■応答アトリビュートプロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
「ユーザプロファイル」メニューで応答アトリ
ビュートプロファイルを設定する際に、ここで設定されたプロファイル名が選択肢として表示されます。
入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

■応答アトリビュートプロファイル一覧
登録されている応答アトリビュートプロファイル
名の一覧が表示されています。
■応答アトリビュート一覧
各応答アトリビュートプロファイルで定義されているアトリビュートの一覧が表示されています。

応答アトリビュートプロファイルは最大 20 個まで登録することができます。

削除
登録されているプロファイルを削除したい場合には一覧から「削除」ボタンを押すと削除されます。
ユーザプロファイルの設定に使われている応答ア
トリビュートプロファイルは削除できません。
「ユーザプロファイル」メニューで設定を変更してから削除するようにしてください。

123

第 6 章 RADIUS 設定

Ⅱ．プロファイル
■応答アトリビュート一覧
応答アトリビュートプロファイルに対してアトリ
ビュートの追加・編集・削除をおこないます。
アトリビュートを追加する場合には、追加したい
応答アトリビュートプロファイルの表中に表示されている「新規追加」ボタンを押します。
以下の入力画面が表示されます。

・string(バイナリデータ)
16 進表記で入力してください。ただし、行頭に 0x は不要です。
設定可能な長さは定義済みの standard のアトリビュートで最大 253 オクテット(2 〜 506 文字)、追加したベンダ固有アトリビュートで最大 247 オクテット(2 〜 494 文字)です。
入力例: 63656e74757279( century の文字コードデータ)■応答アトリビュート新規追加

・address(IP アドレス)
IPv4 アドレス表記で入力してください。
入力例: 192.168.0.1○プロファイル名選択したプロファイル名が表示されています。

・integer(整数)負ではない整数値を入力してください。
設定可能な範囲は 0 〜 4294967295 です。
入力例: 65536○アトリビュートRADIUS クライアントに送付するアトリビュートを
プルダウンから選択します。
選択できるアトリビュートは、あらかじめ本製品
で定義されてあるものの他、RADIUS の「サーバ」
メニューのアトリビュートで追加したベンダ固有アトリビュートも使用できます。

・ ipv6address(IPv6アドレス)
IPv6 アドレス表記で入力してください。
入力例: fe80::1111
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

○値
送付するアトリビュートの値を定義します。
選択したアトリビュートのフォーマットに応じて次のように入力します。

アトリビュートは 1 プロファイルあたり最大 10 個まで設定することができます。

・text(ASCII 文字列)
ASCII 形式の文字列を入力してください。設定可能な長さは、定義済みの standard のアトリビュートで最大 253 文字、追加したベンダ
固有アトリビュートで最大 247 文字です。
入力例: century

変更
・削除
変更・
応答アトリビュート一覧に登録されている設定を編集または削除したい場合には、そのアトリビュートが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。
プロファイルの編集をおこなって設定を変更した
場合、そのプロファイルを使って定義されているユーザにも変更された設定が反映されます。

124

第 6 章 RADIUS 設定

Ⅱ．プロファイル
5. グループ ID○プロファイル名
ユーザ ID を "user@centurysys.co.jp" またはCENTURYSYS¥user のように、所属グループを表わす 任意の名前を 20 文字以内で入力します。
文字列を付加して指定するためのプロファイルです。 「ユーザプロファイル」メニューでグループ ID を
このようなユーザIDを利用しない場合には作成する 設定する際に、ここで設定されたプロファイル名
必要はありません。このプロファイルはユーザプロ が選択肢として表示されます。
ファイルで他のプロファイルとまとめられた上で、「ユーザ」メニューでユーザに適用されます。ユーザに適用した場合、そのユーザは、グループIDも付加したユーザ名の形でのみ認証され、ユーザID単独での認証には失敗するようになります。
RADIUS のメニュー「プロファイル」から「グループ ID」を選択すると、現在設定されている内容が表示されます。

○グループ ID
ユーザ名に付加する文字列を指定します。
最大 40 文字まで指定できます。使用可能な文字は
英数字およびハイフン( ‑ )、ピリオド( . )になります。
○形式
グループ ID、ユーザ ID および区切り文字の結合の仕方を指定します。
UserID@GroupID または GroupID¥UserID から選択します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。

「新規追加」をクリックすると入力画面が表示されます。
■グループ ID プロファイル新規追加

グループ ID プロファイルは最大 50 個まで設定することができます。

変更
・削除
変更・
グループ ID プロファイル一覧に登録されている設定を編集または削除したい場合には、そのプロファイルが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。
プロファイルの編集をおこなって設定を変更した
場合、そのプロファイルを使って定義されているユーザにも変更された設定が反映されます。
ユーザプロファイルの設定に使われているグルー
プ ID プロファイルは削除できません。
「ユーザプロファイル」メニューで設定を変更してから削除するようにしてください。

125

第 6 章 RADIUS 設定

Ⅱ．プロファイル
6. 証明書
ユーザ証明書を発行する際の共通項目をあらかじめ指定するためのプロファイルです。
このプロファイルの作成は任意です。
このプロファイルはユーザプロファイルで他のプロファイルとまとめられた上で、「ユーザ」メニューでユーザに適用されます。
RADIUS のメニュー「プロファイル」から「証明書」
を選択すると、現在設定されている内容が表示されます。

「新規追加」をクリックすると入力画面が表示されます。

■証明書プロファイル新規追加○プロファイル名
任意の名前を 20 文字以内で入力します。
■証明書○バージョン
X.509のどのバージョンの証明書を発行するかを選択します。
バージョンは「１」または「３」を選択することができます。
○鍵長
RSA の鍵の長さを選択します。
鍵の長さは「512」、「1024」、「2048」のいずれかを選択することができます。
○ Signature Algorithm
署名アルゴリズムを選択します。
・ver1.8.4 以前「SHA‑1」または「MD5」を選択することができます。
・ver1.8.5 以降「SHA‑512」、「SHA‑384」、「SHA‑256」、「SHA‑1」、「MD5」のいずれかを選択することができます。

126

第 6 章 RADIUS 設定

Ⅱ．プロファイル
■ X.509 証明書 v3 拡張（RFC3280)
下記設定項目は、X.509v3 がサポートしている拡張機能になりますが、認証アプリケーションに依存した項目となりますので、本設定に関しては認証されるアプリケーションの仕様を確認の上、設定をおこなってください。

○ Subject
Subject には以下の項目があります。
・Organizational Unit
一般には部署名を設定します。
・Organization
一般には企業名、組織名を設定します。
・Locality
市町村名を設定します。

以下に、それぞれのパラメータの説明を記します。

・State or Province
都道府県名を設定します。

○ Key Usage
証明書に含まれている公開鍵の使用目的を示します。
KeyUsage には以下の項目があります。

・Country
国名を設定します。
日本国内の場合は、「JP」とします。

・digitalSignature
デジタル署名の検証に利用できることを表しています。
・nonRepudiation
否認防止を目的としたデジタル署名の検証に利用できることを表しています。

各項目に使用可能な文字は以下となります。
・Organizational Unit/Organization/Locality/
State or Province/
ver1.8.4 以前: 0‑9, a‑z, A‑Z, ‑̲ver1.8.5 以降: 0‑9, a‑z, A‑Z, ‑̲',.SPACE

・keyEncipherment
鍵を送信する場合に、鍵を暗号化して利用できることを表しています。

・Country
A‑Z
■有効期間
○開始日時
○終了日時
証明書有効期間の開始日時および終了日時を設定します。
設定できるのは 2005 年 ‑ 2035 年の間になります。
日時は GMT(グリニッジ標準時)で指定します。
たとえば日本時間で 2006/12/31 23:59 まで有効にしたい場合には、 2006 年 12 月 31 日 14 時 59
分 と入力します。

・dataEncipherment
データの暗号化に利用できることを表しています。
・keyAgreement
鍵交換で利用できることを表しています。
・keyCertSign
証明書の署名の検証に利用できることを表しています。
・cRLSign
失効リストの署名の検証に利用できることを表しています。
・encipherOnly
keyAgreement が指定されている場合のみ有効で、鍵交換をデータの暗号化でのみ利用できることを表しています。

※ この設定では、以下の項目が必須の設定項目になります。
○バージョン○鍵長○ Signature Algorithm

・decipherOnly
keyAgreement が指定されている場合のみ有効で、鍵交換をデータの復号化でのみ利用できることを表しています。

127

第 6 章 RADIUS 設定

Ⅱ．プロファイル
変更
・削除
変更・
証明書プロファイル一覧に登録されている設定を編集または削除したい場合には、そのプロファイ
ルが表示されている行の「編集」ボタン、「削除」
ボタンを押すことで実行できます。

○ Extended Key Usage
Key Usage より詳細に、証明書に含まれている公開
鍵の使用目的を示します。Extended Key Usage には以下の項目があります。
・serverAuth
TLS サーバ認証に利用できることを表しています。
・clientAuth
TLS クライアント認証に利用できることを表しています。

ユーザプロファイルの設定に使われている証明書
プロファイルは削除できません。
「ユーザプロファイル」メニューで設定を変更してから削除するようにしてください。

・codeSigning
コード署名のために利用できることを表しています。
・emailProtection
電子メールの保護のために利用できることを表しています。
○ CRL Distribution Points
失効リストの配布点を入力します。本装置から失効リストを配布することもできます。その場合は以下の URL を入力します。
http://(本装置のホスト名)/crl/crl.crl
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
証明書プロファイルは最大 20 個まで設定することができます。

128

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定
1. ユーザ■ユーザ新規追加○ユーザ ID
登録するユーザ名を入力します。
ユーザ ID は、最大 20 文字まで入力する事が可能です。使用可能な文字は英数字および以下の記号になります。
!"#$%&'()*+‑./<=>?@[]^̲̀{￨}ユーザの登録やユーザへのプロファイルの割り当てをおこないます。
ユーザ登録をおこなう場合には、先にメニュー「プロファイル」で、登録するユーザに合わせたユーザ
プロファイルを作成しておく必要があります。
RADIUS のメニュー「ユーザ」から「ユーザ」を選択すると、現在設定されているユーザ一覧が表示されます。

○パスワード認証用パスワードを入力します。
パスワードは、最大 20 文字まで入力する事が可能です。使用可能な文字は、ユーザ ID の入力可能文
字に加え空白文字と以下になります。
,:;¥○プロファイル
このユーザに適用したいユーザプロファイルを選択します。
「プロファイル」メニューで設定済みのユー
ザプロファイルが選択肢に表示されます。

ユーザに関する各種設定やユーザ証明書に関する操作をこの画面からおこなうことができます。
ユーザ一覧表示画面から「新規追加」をクリックすると入力画面が表示されます。

■固定 IP アドレス払い出し○ IP アドレス
固定のIPアドレスをユーザに払い出す場合に、端末に割り当てる IP アドレスを登録します。
ここで設定された値は、RADIUS アトリビュートの「Framed‑IP‑Address」の値となり、RADIUS クライア
ントに返信されます。
この設定を有効にするためにはユーザに割り当てられたユーザ基本情報プロファイルのIPアドレス割り
当てが「固定」に設定されている必要があります。
○ネットマスク
払い出すサブネットマスクの値を登録します。
ここで設定された値は、RADIUS アトリビュートの「Framed‑IP‑Netmask」の値となり、RADIUS クライア
ントに返信されます。
この設定を有効にするためにはユーザに割り当てられたユーザ基本情報プロファイルのIPアドレス割り
当てが「固定」に設定されている必要があります。

129

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定■アカウントのロック○ロック
ユーザ毎に「ロックしない」「ロックする」のいずれかを選択します。
デフォルト値は「ロックしない」です。
備考は、最大 40 文字まで(日本語は 20 文字まで)
それぞれの動作は下記の通りになります。
入力することができます。
・ロックしない
使用可能な文字は次の通りです。
・RADIUS 認証要求には、認証処理をおこなった
結果を応答する
0 〜 9、A 〜 Z、a 〜 z、空白文字、・GUI へのアクセスを許可する‑(マイナス・ハイフン)、.(ピリオド・ドット)、@、
日本語(JIS X 0208:1997 に収録された 6879 文字)
・ロックする■備考（RA‑630 を除く）
○備考
備考を設定することが出来ます。

・RADIUS 認証要求には、常に Reject を応答する・GUI へのアクセスを許可しない※いわゆる半角カナ(1バイトの片仮名)やいわゆる機種依存文字(例えば Shift̲JIS の『丸付き数字』など)は使用できません。

「ロックする」を選択している場合はユーザ一覧の「lock」欄に『 x 』が表示されます。
設定情報の同期をおこなう設定の場合、本設定は対向装置へ同期されます。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定可能なユーザの最大数は、下記のとおりです。

RA‑1200: 50,000 個
RA‑1100: 50,000 個
RA‑730 : 2,000 個
RA‑630 : 2,000 個※ 認証方式がEAP‑TLSの場合にはユーザ証明書のみを使って認証処理をおこないます。
ユーザIDおよびパスワードは認証に使用しません。
また、認証時にはユーザ証明書の Subject の Common
Name を使ってユーザ ID との対応を取り、参照する
プロファイルを決定します。

130

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定◆ユーザの詳細表示
ユーザ一覧表示画面において、詳細欄の「表示」のボ 編集
タンを押すとユーザの現在の設定内容が表示されま 「編集」ボタンを押すとユーザ情報の編集画面が表示されます。
す。

変更したい内容を入力して「設定」ボタンを押すと変更内容が反映されます。
削除「削除」ボタンを押すと表示されているユーザが削除されます。

◆ユーザ個別設定■ユーザ設定(詳細)■ユーザ設定(詳細)
ユーザの詳細表示画面の下段に表示されている認■ユーザ設定証方式や応答アトリビュートなどは、本来ユーザ
現在設定されているユーザ設定情報が表示されます。 に適用されているユーザプロファイルに従って設
定され、ユーザに適用されます。
■ユーザ設定(詳細)■ユーザ設定(詳細)
しかしプロファイルから外れた形でユーザ一人一プロファイルの選択によって適用されている設定内 人に対して個別に設定したい場合には、この詳細容が表示されます。
表示画面から個別に設定をおこなうことができます。個別設定は以下の各プロファイルで設定され■ユーザ設定ている内容を上書きまたは追加する形でおこなわ
この画面からユーザの設定内容の編集、削除、および れます。
ユーザ個別設定をおこなうことができます。
個別設定が可能なアトリビュート
・基本
・認証
・応答

131

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定

ユーザに個別設定がされている場合には、ユーザの詳細表示画面で各項目について左右に二つの設定値が表示されるようになります。
左側の値はプロファイルによって本来設定される
筈の値が表示されます。また右側の値は個別設定
によって設定されている値が表示されます。
・基本
変更
ユーザ基本情報プロファイルで設定される項目について個別設定をおこないたい場合にはユーザ基本情報プロファイルの行にある「編集」ボタンを押しま○動作モード
「上書き」
、
「追加」
、
「削除」の中から選択します。
（認証アトリビュートの場合は「追加」は選択できませ
ん。
）
・上書き
選択した場合、プロファイルで同じアトリビュー
トが存在していた場合、プロファイルで設定されたアトリビュート値はこのユーザには適用されず、個別設定されたアトリビュート値のみが使われるようになります。

す。編集画面が現れるので、個別設定したい内容を設定し、「設定」ボタンを押してください。
削除
個別設定を削除し、ユーザ基本情報プロファイルで設定された値に戻したいときには「削除」ボタンを押してください。

・追加
選択した場合、プロファイルで同じアトリビュー
トが存在していた場合、プロファイルで設定されたアトリビュート値と、個別設定されたアトリ
ビュート値の両方がユーザに対して使われるようになります。指定したアトリビュートがプロファ
イルに存在しない場合には、「上書き」と「追加」で動作に違いは有りません。
・削除
選択した場合には、プロファイルで設定されたアトリビュートは本ユーザに対して適用されなくなります。
「削除」を選択する場合には値は指定しな
いでください。

・認証
・応答
変更

認証アトリビュート、応答アトリビュートの個別設
定は各アトリビュートの「新規追加」ボタン、または既存設定に対する「編集」ボタンでおこないます。 「設定」ボタンを押すと個別設定が適用されます。
次のような設定画面が表示されます。
個別設定ではユーザ毎に5つのプロファイルを追加
または削除指定することができます。

■アトリビュート新規追加（ユーザ: ユーザ ID ）○アトリビュート
個別に設定したいアトリビュートを選択します。
「編集」
ボタンで設定画面を表示した場合には既に選択された状態で表示されます。
○値
アトリビュートの値を設定します。選択したアトリ
ビュートのフォーマットに合わせて入力してくださ
い。

132

削除
個別設定したアトリビュートを削除する場合は削除したいアトリビュートの右側の「削除」ボタンを押してください。
ユーザが削除された場合、またはユーザに適用されるユーザプロファイルが変更された場合、そのユー
ザの個別設定は全て削除されます。
ユーザプロファイルでユーザ基本情報が変更された
場合、そのユーザプロファイルが適用されているユーザのユーザ基本情報個別設定は削除されます。
認証アトリビュート個別設定、応答アトリビュート
個別設定についても同様です。

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定◆ユーザ証明書の発行■証明書○バージョン
X.509 のどのバージョンの証明書を発行するかを選択します。
バージョンは「１」または「３」を選択することができます。

EAP‑TLS 認証を使用する場合には、ユーザ毎に証明書を発行する必要があります。
証明書が未発行のユーザは、ユーザ一覧表示画面の証明書欄に「発行」ボタンが表示されます。
(※※ CA が作成されていない場合には「発行」ボタンは表示されません。先に CA メニューで CA を設定してください。
)○鍵長
RSA の鍵の長さを選択します。
鍵の長さは「512」、「1024」、「2048」のいずれかを選択することができます。

「発行」ボタンを押すと、次のユーザ証明書の作成画面が表示されます。

○ Signature Algorithm
署名アルゴリズムを選択します。
・ver1.8.4 以前「SHA‑1」または「MD5」を選択することができます。
・ver1.8.5 以降「SHA‑512」、「SHA‑384」、「SHA‑256」、「SHA‑1」、MD5」のいずれかを選択することができます。

133

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定○ Subject・Common Name
ユーザ ID が自動的に設定されます。
（ユーザ
プロファイルでグループ ID が指定されている場合にはグループ ID も付加されます。
）
Common Name を変更することはできません。

○有効期間
証明書有効期間の開始日時と終了日時を設定します。日時は GMT(グリニッジ標準時)で指定します。
たとえば日本時間で 2006/12/31 23:59 まで有効にしたい場合には、 2006 年 12 月 31 日 14 時 59 分と入力します。

入力欄には証明書プロファイルで設定されている
内容が初期値として表示される他、パスフレーズにはユーザのパスワードが表示されます。以下の項目に入力をおこないます。

■パスフレーズ○パスフレーズ
パスフレーズを入力します。ユーザのパスワード
が初期値として入力されています。パスフレーズ
は 5 文字以上 30 文字以下で入力してください。

・emailユーザのメールアドレスを設定します。

(RA‑1100 ver1.7.4 以前と RA‑630 ver1.7.2 以前)
パスフレーズにはユーザのパスワードが表示されます。
(RA ver1.7.6 以降)
パスフレーズにはユーザのパスワードが●●●●で表示されます。

・Organizational Unit
一般には部署名を設定します。
・Organization
一般には企業名、組織名を設定します。
・Locality
市町村名を設定します。
・State or Province
都道府県名を設定します。
・Country
国名を設定します。
日本国内の場合は、「JP」とします。
各項目に使用可能な文字は以下となります。
・emai
0‑9, a‑z, A‑Z, ‑.@̲・Organizational Unit/Organization/Locality/
State or Province/
ver1.8.4 以前: 0‑9, a‑z, A‑Z, ‑̲ver1.8.5 以降: 0‑9, a‑z, A‑Z, ‑̲',.SPACE
・Country
A‑Z134

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定■ X.509 証明書 v3 拡張（RFC3280）
下記設定項目は、X.509v3 がサポートしている拡張機能になりますが、認証アプリケーションに依存した項目となりますので、本設定に関しては認証されるアプリケーションの仕様を確認の上、設定をおこなってください。

○ Extended Key Usage
Key Usage より詳細に、証明書に含まれている公開鍵の使用目的を示します。
Extended Key Usage には以下の項目があります。
・serverAuth
TLS サーバ認証に利用できることを表しています。

以下に、それぞれのパラメータの説明を記します。

・clientAuth
TLS クライアント認証に利用できることを表しています。

○ Key Usage
証明書に含まれている公開鍵の使用目的を示します。KeyUsage には以下の項目があります。

・codeSigning
コード署名のために利用できることを・digitalSignature
デジタル署名の検証に利用できることを表しています。

表しています。
・emailProtection
電子メールの保護のために利用できることを表しています。

・nonRepudiation
否認防止を目的としたデジタル署名の検証に利用できることを表しています。
・keyEncipherment
鍵を送信する場合に、鍵を暗号化して利用できることを表しています。
・dataEncipherment
データの暗号化に利用できることを表しています。

○ CRL Distribution Points
失効リストの配布点を入力します。本装置から失効リストを配布することもできます。その場合は以下の URL を入力します。
http://(本装置のホスト名)/crl/crl.crl

・keyAgreement
鍵交換で利用できることを表しています。
・keyCertSign
証明書の署名の検証に利用できることを表しています。
・cRLSign
失効リストの署名の検証に利用できることを表しています。
・encipherOnly
keyAgreement が指定されている場合のみ有効で、鍵交換をデータの暗号化でのみ利用できることを表しています。
・decipherOnly
keyAgreement が指定されている場合のみ有効で、鍵交換をデータの復号化でのみ利用できることを表しています。

135

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定■ Netscape 拡張○ nsCertType
Netscape で使用される証明書のタイプを指定します。nsCertType には以下の項目があります。
・client
クライアント認証に利用できることを表しています。
・server
サーバ認証に利用できることを表しています。
・emailS/MIME のクライアント認証で利用できることを表しています。
・objsign
Java 等のオブジェクトサインで利用できることを表しています。
・sslCA
SSL 認証局で利用できることを表しています。

※この設定では、以下の項目が必須の設定項目になります。
○バージョン○鍵長○ Signature Algorithm
○有効期間
・終了日時
○パスフレーズ※バージョン 3 のサーバ証明書を作成する場合には、通常最低限以下を指定するようにします。
実際にどの Key Usage/Extended Key Usage が必須であるかは通信相手のソフトウェアに依存します。
○ Key Usage・digitalSignature
・keyEncipherment○ Extended Key Usage
・serverAuth

・emailCA
S/MINE 認証局で利用できることを表しています。

既にプロファイルで設定されている項目についても修正を加えることができます。

・objCA
オブジェクトサイン認証局で利用できることを表しています。

各項目に入力後、「実行」ボタンを押すと証明書が発行されます。

○ nsComment
Netscape のコメントを示します。使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。

136

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定
○形式
、
「PEM」
、
「DER」から一つ選択します。
既にユーザ証明書が発行されているユーザは、ユー 「PKCS#12」
ザ一覧表示画面の証明書欄に「表示」ボタンが表示○内容されます。このボタンを押すと、そのユーザに対し「CA 証明書・証明書・私有鍵」、「証明書・私有鍵」、て発行されている全ての証明書が一覧表示されま「証明書」、「私有鍵」から一つ選択します。
す。

◆ユーザ証明書の表示※ PKCS#12 を選択した場合証明書と私有鍵のどちらか一方のみは選択できません。
※ PEM，DER を選択した場合証明書と私有鍵を同時に取り出すことはできません。それぞれ別々に取り出してください。

この画面では次の操作がおこなえます。

■証明書の失効
証明書の追加発行
プルダウンメニューで失効理由を選択して、このユーザに対して新しい証明書を発行します。
この後の操作は最初の証明書を発行する時と同じに 「失効」ボタンを押すと、証明書が失効します。
失効理由は以下の中から選択します。
なります。
証明書の確認「S/N」（シリアルナンバ）をクリックすることでその証明書の詳細内容を表示します。また、証明書の取得や失効などの操作をおこなうことができます。
「S/N」（シリアルナンバ）をクリックすると次の画面が表示されます。

・unspecified
理由を指定しません。
・keyCompromise
秘密鍵の漏洩などにより、証明書の信頼性がなくなったことを表します。
・CACompromise
CAの信頼性がなくなったことを表します。
・affiliation Changed
証明書の内容が変更されたことを表します。
・superseded
証明書が取り替えられたことを表します。
・cessationOfOperation
証明書がその目的では必要なくなったことを表します。

この画面では次の操作をおこなうことができます。
■証明書の取得
ユーザ証明書を本装置からダウンロードします。
取り出す形式と内容を指定して「取り出し」ボタンを押します。

137

・removeFromCRL
失効リストから削除されたことを表します。
(RA ver1.8.0 以降)
失効した証明書は取得できません。

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定
2.AD ユーザ
Active Directory 連携を使用する場合にユーザプ
ロファイルを指定します。
Active Directory 連携機能によって認証されたユーザは全て、ここで指定されたプロファイルが使われます。なお、プロファイルで記述された情報の中で、現バージョンで有効となるのは応答ア
トリビュート設定のみで、他の設定内容は使用されません。
RADIUS のメニュー「ユーザ」から「AD ユーザ」を選択すると、現在設定されている内容が表示されます。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■ AD ユーザ○ユーザプロファイル
使用するプロファイルを選択してください。
「設定」ボタンを押して設定完了です。
設定はすぐに反映されます。
Active Directory 連携は EAP‑PEAP 認証のみをサポートしているため、プロファイルでは認証方式
が EAP‑PEAP であるものを選択してください。
応答アトリビュートを使用しない場合には、「指定しない」を選択することもできます。

138

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定
3.LDAP ユーザ
LDAP 連携を使用する場合にユーザプロファイルを指定します。
LDAP 連携機能によって認証されたユーザは全て、
ここで指定されたプロファイルが使われます。な
お、プロファイルで記述された情報の中で、現バージョンで有効となるのは応答アトリビュート
設定のみで、他の設定内容は使用されません。

プロファイルを設定したい LDAP サーバの「編集」
ボタンを押すと、次の入力画面が表示されます。

RADIUS のメニュー「ユーザ」から「LDAP ユーザ」
を選択すると、現在設定されている内容が表示されます。

○ユーザプロファイル
使用するプロファイルを選択してください。
認証方式が PAP/CHAP、EAP‑MD5、EAP‑PEAP、EAP‑
TTLS/PAP,CHAP、EAP‑TTLS/EAP‑MD5 のいずれか(ver1.8.3 以前は、PAP/CHAP、EAP‑TTLS/PAP,CHAPのいずれか)であるプロファイルを設定することが出来ます。
応答アトリビュートを使用しない場合には、「指定しない」を選択することもできます。

■ユーザ変更「設定」ボタンを押して設定完了です。設定はすぐに反映されます。

139

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定
4. ファイル読み込み
ユーザをまとめて作成したい場合に使用します。
あらかじめユーザ作成に必要な情報をテキストファイルで用意しておき、本メニューで読み込ませることでユーザを一括作成します。
プロファイルやユーザ証明書も作ることができます。

念のため、管理機能メニューの「システム」‑「設定情報の保存・復帰」で現在の設定を保存してからファイル読み込みをおこなうことをお勧めします。
設定ファイルの読み込み時には画面入力の場合と同様に入力チェックがおこなわれます。
例えば証明書のパスフレーズが 4 文字以下の場合にはエラーとなります。
設定ファイルにエラーとにはエラーとなります。設定ファイルにエラーとRADIUS のメニュー「ユーザ」から「ファイル読み込み」を選択すると次の画面が表示されます。

なる情報が含まれていた場合、その行以降の内容なる情報が含まれていた場合、その行以降の内容
は設定に反映されません。

■ RADIUS ユーザファイル読み込み

RA 間で同期を行っている環境において、設定ファ間で同期を行っている環境において、設定ファ
イルにエラーとなる情報が含まれていた場合、MASTER ではエラー以降の設定は反映されません
エラー以前の設定は反映されます)(エラー以前の設定は反映されます)。
以降全ての設定が反映さ
SLAVE ではエラー以前
・
ではエラー以前・
れません。

○リセット
・する
既存の設定を消去してから読み込む場合に選択します。
「する」を選択した場合、設定済みの全プロファイ
ルおよびユーザデータは削除されます。
またユーザ証明書は全て失効されます。

エラーが発生し、
同期している RA 間の設定に差分エラーが発生し、同期している
強制同期などを使用して全てのが生じた場合は、が生じた場合は、強制同期などを使用して全てのRA の設定が同じになるようにして下さい。

・しない
既存の設定に追加して読み込みたい場合に選択してください。

詳細は『第 8 章 管理機能
「10. 設定情報の同期」』
詳細は『
管理機能「
や『付録 G 親子連携』を参照してください。
親子連携』を参照してください。

○設定ファイル
作成したいユーザ情報が書かれているファイル名を指定します。
設定ファイルの書き方の詳細については「付録
付録 C
ユーザ設定情報のファイルフォーマット」を参照
ユーザ設定情報のファイルフォーマット

一度に設定するユーザ数が多い場合やユーザ証明書を作成する場合には処理に時間がかかります。
途中で他のメニューを操作しないようにしてください。

してください。
利用可能な文字コードは、「EUC‑JP」または「Shift̲JIS」です。

140

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定
5. ユーザ検索
登録済みのユーザから条件に合うユーザを検索表示
します。
RADIUS のメニュー「ユーザ」から「ユーザ検索」を選択すると検索画面が表示されます。

。

次に検索するアトリビュート名およびそのアトリ
ビュートの値を指定します。値には部分的な文字列を指定することでその文字列を含むアトリ
ビュートを検索することができます。
値を指定しなかった場合は選択したアトリビュー
ト名が使われていれば値に関係なく検索されます。
■証明書条件
ユーザ証明書に基づいた検索条件を指定します。
以下の選択肢の中から選択します。
・指定しない証明書に基づいた検索条件を指定しません。
・未発行証明書が発行されていないユーザを検索しま

各検索条件を指定します。
■ユーザ条件ユーザ ID、グループ ID、備考、およびロックを指定します。
ユーザ ID は、部分的な文字列を指定することでその文字列を含むユーザ ID を検索することができます。
ロックは、「指定しない」、「ロックされていない」、「ロックされている」を選択できます。
デフォルト値は「指定しない」です。
■プロファイル条件
検索に使用する「プロファイル名」を選択します。
■基本条件
ユーザ基本情報プロファイルで設定されている内容に基づいて、詳細に検索条件を指定することができます。
■アトリビュート条件
アトリビュート条件を指定する場合、認証アトリ
ビュートで検索をするか応答アトリビュートで検索
141をするかを「種別」で指定します。

す。
・無効証明書が発行されているが、失効または期限切れにより現在有効な証明書が無いユー
ザを検索します。
・有効
使用可能な証明書が発行されているユーザを検索します。
・期限切れ間近
1ヶ月以内に証明書の有効期限が切れるユーザを検索します。

第 6 章 RADIUS 設定

Ⅲ ．ユーザ設定
検索条件を指定して「検索」ボタンを押すと、全ての条件と一致するユーザが一覧表示されます。
1 ページあたり、100 件まで表示されます。

この画面から「ユーザ」メニュー同様、ユーザの編集、削除、および証明書の発行操作をおこなう
ことができます。
ユーザに個別設定がされていた場合には、個別設定された値に従って検索されます。
ユーザ条件の備考に日本語を使用した場合、検索にマッチしないはずのユーザが検索結果に表示されることがあります。

142

第7章
第 7 章 CA 設定

第 7 章 CA 設定

Ⅰ．CA/CRL 設定
ＣＡ / ＣＲＬ○ Subject
Subject には以下の項目があります。

本装置の CA の設定をおこないます。
CA のメニュー「CA/CRL」を選択します。初期状態
では CA は設定されていません。
「新規追加」をクリックすると次の入力画面が表示されます。

・Common NameCA Name として、認証局名称を設定します。
・email認証局管理者のメールアドレス
・Organizational Unit
一般には部署名を設定します。
・Organization
一般には企業名、組織名を設定します。
・Locality
市町村名を設定します。
・State or Province
都道府県名を設定します。
・Country
国名を設定します。
日本国内の場合は、「JP」とします。
○有効期間
証明書有効期間（終了日時）を設定します。
■パスフレーズ○パスフレーズ
パスフレーズは 5 文字以上 30 文字以下で入力して
ください。

■ CA
○バージョン
証明書のバージョンを示します。V3 固定です。
○鍵長
RSA の鍵の長さを選択します。
鍵の長さは「512」、「1024」、「2048」のいずれかを選択することができます。

■失効リスト更新間隔○失効リスト更新間隔
失効リストの更新間隔日数を設定します。
1‑365 日の間で指定します。
なお、デフォルト値は、下記のとおりです。
ver1.8.1 以前： 30 日
ver1.8.2 以降： 365 日○ Signature Algorithm
署名アルゴリズムを選択します。
・ver1.8.4 以前「SHA‑1」または「MD5」を選択することができます。
・ver1.8.5 以降「SHA‑512」、「SHA‑384」、「SHA‑256」、「SHA‑1」、「MD5」のいずれかを選択することができます。

144

第 7 章 CA 設定

Ⅰ．CA/CRL 設定※ この設定では、以下の項目が必須の設定項目になります。
○バージョン(固定)○鍵長○ Signature Algorithm○ subject・Common Name
○有効期間
○パスフレーズ○失効リスト更新間隔■ CA 証明書○ CA/ 失効リストの表示
画面上部にある「CA」/「失効リスト」の選択ボタンを選んで「表示」ボタンを押すと、CA の内容または失効リストの内容が表示されます。
○ CA の削除「削除」ボタンを押すと本装置で設定した CA 証明
書，CRL，各証明書を全て削除します。

また、各項目に使用可能な文字は以下となります。
・email0‑9, a‑z, A‑Z, ‑.@̲・Common Name
制御コードを除く任意の半角文字
・Organizational Unit/Organization/Locality/
State or Province/
ver1.8.4 以前: 0‑9, a‑z, A‑Z, ‑̲ver1.8.5 以降: 0‑9, a‑z, A‑Z, ‑̲',.SPACE
・Country
A‑Z※ 設定情報の同期を設定している場合の注意
SLAVE で HTTPS サーバ証明書に「本装置の証明書」を設定している場合、SLAVE の CA の削除に失敗します。
CA の削除前に SLAVE の HTTPS サーバ証明書を変更して下さい。詳細については、「第 8 章 II. システ
ム 9. 管理画面へのアクセス」を参照して下さい。
■ CA 証明書の取得
CA 証明書欄で「取り出し」ボタンをクリックする
ことにより CA 証明書を取り出すことができます。
この際、取り出す形式を PEM または DER から選択することができます。

各項目に入力後、「設定」ボタンを押して CA 証明書
を発行します。

CA の設定を一度おこなうと、以降、「CA/CRL」メ
ニューを選択した場合、次の画面が表示されるようになります。

■失効リストの取得
失効リストの取得欄で「取り出し」ボタンをクリックすることにより CRL を取り出すことができます。
この際、取り出す形式を PEM または DER から選択することができます。
■失効リストの更新
失効リストの更新欄で「更新」ボタンをクリックす
ると CRL が最新のものに置き換えられます。

この画面では以下の操作をおこなえます。

失効リストが、失効リストの更新間隔で決められ失効リストが、失効リストの更新間隔で決められた日時よりも古い場合には、証明書自体が有効でた日時よりも古い場合には、証明書自体が有効であっても証明書の認証は拒否されます。
失効リスト更新間隔で決められた期間中に一度以上、失効リストの更新をおこなうようにしてくだ
上、失効リストの更新をおこなうようにしてくだ
さい。
また、RADIUS
また、
RADIUS サーバに新しい失効リストを認識させるには、RADIUS
せるには、
RADIUS を再起動する必要があります。

145

第 7 章 CA 設定

Ⅱ．証明書
証明書
証明書一覧表示画面から「新規追加」をクリックすると入力画面が表示されます。

ユーザ証明書、サーバ証明書の作成をおこないます。
先に「CA/CRL」メニューで CA が設定されている必要があります。
CA のメニュー「証明書」をクリックすると、現在作成されている証明書が一覧表示されます。

■証明書○バージョン
X.509のどのバージョンの証明書を発行するかを選択します。
バージョンは「１」または「３」を選択することができます。
表示条件を選択することができます。
「全て」を選択した場合は、全ての証明書が表示されます。
「未失効」を選択した場合は、未失効の証明書のみが表示されます。
証明書の作成や失効などの操作をこの画面からおこなうことができます。

○鍵長
RSA の鍵の長さを選択します。
鍵の長さは「512」、「1024」、「2048」のいずれかを選択することができます。
○ Signature Algorithm
署名アルゴリズムを選択します。
・ver1.8.4 以前「SHA‑1」または「MD5」を選択することができます。
・ver1.8.5 以降「SHA‑512」、「SHA‑384」、「SHA‑256」、「SHA‑1」、「MD5」のいずれかを選択することができます。

146

第 7 章 CA 設定

Ⅱ．証明書○ Subject
Subject には以下の項目があります。
・Common NameCA Name として、認証局名称を設定します。
・email認証局管理者のメールアドレス
・Organizational Unit
一般には部署名を設定します。
・Organization
一般には企業名、組織名を設定します。
・Locality
市町村名を設定します。
・State or Province
都道府県名を設定します。
・Country
国名を設定します。
日本国内の場合は、「JP」とします。
各項目に使用可能な文字は以下となります。
・E‑mailAddress
0‑9, a‑z, A‑Z, ‑.@̲・Common Name
制御コードを除く任意の半角文字
・Organizational Unit/Organization/Locality/
State or Province/
ver1.8.4 以前: 0‑9, a‑z, A‑Z, ‑̲ver1.8.5 以降: 0‑9, a‑z, A‑Z, ‑̲',.SPACE
・Country
A‑Z○有効期間
証明書有効期間の開始日時と終了日時を設定します。日時は GMT(グリニッジ標準時)で指定します。
たとえば日本時間で 2006/12/31 23:59 まで有効にしたい場合には、 2006 年 12 月 31 日 14 時 59 分と入力します。

■ X.509 証明書 v3 拡張（RFC3280）
下記設定項目は、X.509v3 がサポートしている拡張機能になりますが、認証アプリケーションに依存した項目となりますので、本設定に関しては認証されるアプリケーションの仕様を確認の上、設定をおこなってください。
以下に、それぞれのパラメータの説明を記します。
○ Key Usage
証明書に含まれている公開鍵の使用目的を示します。KeyUsage には以下の項目があります。
・digitalSignature
デジタル署名の検証に利用できることを表しています。
・nonRepudiation
否認防止を目的としたデジタル署名の検証に利用できることを表しています。
・keyEncipherment
鍵を送信する場合に、鍵を暗号化して利用できることを表しています。
・dataEncipherment
データの暗号化に利用できることを表しています。
・keyAgreement
鍵交換で利用できることを表しています。
・keyCertSign
証明書の署名の検証に利用できることを表しています。
・cRLSign
失効リストの署名の検証に利用できることを表しています。

・encipherOnly
keyAgreement が指定されている場合のみ有効で、鍵交換をデータの暗号化でのみ利用できることを表しています。

・decipherOnly■パスフレーズ
keyAgreement が指定されている場合のみ○パスフレーズ
有効で、鍵交換をデータの復号化でのみパスフレーズは 5 文字以上 30 文字以下で入力して利用できることを表しています。
147
ください。

第 7 章 CA 設定

Ⅱ．証明書○ Extended Key Usage
Key Usage より詳細に、証明書に含まれている公開
鍵の使用目的を示します。
Extended Key Usage には以下の項目があります。

・emailCA
S/MINE 認証局で利用できることを表しています。
・objCA
オブジェクトサイン認証局で利用できることを表しています。

・serverAuth
TLS サーバ認証に利用できることを表しています。

○ nsComment
Netscape のコメントを示します。使用可能な文字は英数字およびハイフン( ‑ )、アンダーバー( ̲ )になります。

・clientAuth
TLS クライアント認証に利用できることを表しています。
・codeSigning
コード署名のために利用できることを表しています。
・emailProtection
電子メールの保護のために利用できることを表しています。
○ CRL Distribution Points
失効リストの配布点を入力します。本装置から失効リストを配布することもできます。その場合は以下の URL を入力します。
http://(本装置のホスト名)/crl/crl.crl※ この設定では、以下の項目が必須の設定項目になります。
○バージョン○鍵長○ Signature Algorithm○ Subject・Common Name
○有効期間
○パスフレーズ※ バージョン 3 のサーバ証明書を作成する場合には、通常最低限以下を指定するようにします。

■ Netscape 拡張○ nsCertType
Netscape で使用される証明書のタイプを指定します。nsCertType には以下の項目があります。
・client
クライアント認証に利用できることを表しています。
・server
サーバ認証に利用できることを表しています。

○ Key Usage・digitalSignature
・keyEncipherment○ Extended Key Usage
・serverAuth
実際にどの Key Usage/Extended Key Usage が必須であるかは通信相手のソフトウェアに依存します。

・emailS/MIME のクライアント認証で利用できることを表しています。
・objsign
Java 等のオブジェクトサインで利用できることを表しています。
・sslCA
SSL 認証局で利用できることを表してい
ます。

148

第 7 章 CA 設定

Ⅱ．証明書
各項目に入力後、「実行」ボタンを押して証明書を発行します。
発行可能な証明書の最大数は、下記のとおりです。

■証明書の失効
プルダウンメニューで失効理由を選択して、「失効」ボタンを押すと、証明書が失効します。
失効理由は以下の中から選択します。

RA‑1200: 10,000 個・unspecified
理由を指定しません。

RA‑1100: 10,000 個
RA‑730 : 2,000 個

・keyCompromise
秘密鍵の漏洩などにより、証明書の信頼性がなくなったことを表します。

RA‑630 : 2,000 個
証明書一覧表示画面において、「S/N」（シリアルナンバ）を押すと、次の証明書表示画面が表示されます。

・CACompromise
CA の信頼性がなくなったことを表します。
・affiliation Changed
証明書の内容が変更されたことを表します。
・superseded
証明書が取り替えられたことを表します。
・cessationOfOperation
証明書がその目的では必要なくなったことを表します。

この画面では次の操作がおこなえます。

・removeFromCRL
失効リストから削除されたことを表します。

■証明書の取得
証明書を本装置からダウンロードします。
取り出す形式と内容を指定して「取り出し」ボタ
ンを押します。
○形式「PKCS#12」、「PEM」、「DER」から一つ選択します。

EAP‑TLS 認証使用時に、失効させたクライアント
認証使用時に、失効させたクライアント
メ
サーバに認識させるには、メ証明書を RADIUS サーバに認識させるには、
ニュー「CA/CRL」
ニュー「CA/CRL」で失効リストの更新をおこなった上で RADIUS を再起動する必要があります。

○内容「CA 証明書・証明書・私有鍵」、「証明書・私有鍵」、「証明書」、「私有鍵」から一つ選択します。

(RA ver1.8.0 以降)
失効した証明書は取得できません。

※ PKCS#12 を選択した場合証明書と私有鍵のどちらか一方のみは選択できません。
※ PEM，DER を選択した場合証明書と私有鍵を同時に取り出すことはできません。それぞれ別々に取り出してください。

149

第8章
第 8 章 管理機能

第 8 章 管理機能

Ⅰ．ネットワーク
1. 基本情報
本装置の IP アドレスおよびデフォルトゲートウェ
イの設定をおこないます。

○ MTU「Path‑MTU‑Black‑HOLE」現象が発生した場合等は、ここの値を変更することで回避できます。
通常は初期設定の 1500Bytes のままで利用してください。

管理機能のメニュー「ネットワーク」から「基本情報」を選択すると、現在設定されている内容が表示されます。

○通信モードEther ポートの通信速度・方式を選択します。
工場出荷設定では「自動」(オートネゴシエーショ
ン)となっていますが、必要に応じて通信速度・方式を選択してください。
（RA‑730 の設定画面です。
）
Ether0，Ether1，Ether2
Ether0，Ether1，※ RA‑1200 と RA‑1100 は、Ether0 と Ether1 のみ(※です。
)
インタフェースの設定を変更する場合は変更した
いインタフェース欄の「編集」ボタンを押します。
次の入力画面が表示されます。
■基本情報

(※
※ RA‑630 のみ)
設定画面に、1000M Full は表示されません。また、Ether2 ポートは、自動設定のみとなります。

デフォルトゲートウェイ
デフォルトゲートウェイ欄の「編集」ボタンを押すと次の入力画面が表示されます。
■基本情報（RA‑730 の設定画面です。
）○ IP アドレス
Ether ポートの IP アドレスとネットマスクを入力します。
ネットマスクは IP アドレスの後、 / (スラッシュ)に続けてビット数表記で入力します。例えば、IP ア
ドレスが 192.168.1.10 で、ネットマスクがドット
区切り表記で255.255.255.0であれば以下のように入力します。
入力例）192.168.1.10/24
複数の Ethernet ポートに同一ネットワークに属す
るアドレスを 設定しないで下さい。
正常に動作し設定しないで下さい。正常に動作しないことがあります。

○デフォルトゲートウェイ
本装置のデフォルトゲートウェイとなる IP アドレスを入力してください。
各項目に入力後、「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。
本装置のインタフェースのアドレスを変更した後は、設定画面にアクセスしているコンピュータのは、設定画面にアクセスしているコンピュータの設定もそれにあわせて変更し、変更した
IP 設定もそれにあわせて変更し、変更した IP アド
レスの設定画面に再ログインしてください。

151

第 8 章 管理機能

Ⅰ．ネットワーク
2. スタティックルート
本装置のスタティックルートの設定をおこないま
す。

変更
・削除
変更・
スタティックルート一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

管理機能のメニュー「ネットワーク」から「スタティックルート」を選択すると、現在設定されている内容が表示されます。

「新規追加」をクリックすると入力画面が表示されます。
■スタティックルート新規追加○ IP アドレス
あて先ホストまたはネットワークの IP アドレスを入力します。
あて先の範囲をネットマスクで指定します。
ネットマスクは IP アドレスの後、 / (スラッシュ)に続けてビット数表記で入力します。例えば、IP ア
ドレスが 192.168.1.0 で、ネットマスクがドット
区切り表記で255.255.255.0の範囲 であれば以下のように入力します。
入力例）192.168.1.0/24
ホストを指定する場合は /32 は付けずに IP ア
ドレスで指定します。
入力例）192.168.1.1○ゲートウェイ
IPアドレス欄で指定したアドレスへ送信するパケッ
トを中継する、ルータのアドレスを入力します。
各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定はすぐに反映されます。
スタティックルートは最大 10 個まで設定することができます。

152

第 8 章 管理機能

Ⅰ．ネットワーク
3. フィルタ
本装置はパケットフィルタリング機能を搭載しています。フィルタ機能を使うと、本装置が受信するパケットに制限を加えることができます。
フィルタは以下の情報に基づいて条件を設定することができます。
・プロトコル(TCP/UDP/ICMP)
・送信元 / 送信先 IP アドレス
・送信元 / 送信先ポート番号

選択後「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。
」に変更する場合には、
フィ
デフォルトを「drop
デフォルトを「drop」に変更する場合には、フィルタ一覧で必要な通信が許可されていることを事前にご確認ください。特に本装置の設定画面への前にご確認ください。
特に本装置の設定画面へのアクセスがフィルタルールで許可されるように忘れずに設定してください。本装置が使用するポーれずに設定してください。
本装置が使用するポートには次のものがあります。

管理機能のメニュー「ネットワーク」から「フィルタ」を選択すると、現在設定されている内容が表示されます。

■デフォルト動作
送受信されるパケットが、下のフィルタ一覧のルールと全て一致しなかった場合のフィルタ動作が表示されています。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■デフォルト動作

R A D I U S 認証ポート

UDP/(可変)R A D I U S アカウンティングポート

UDP/(可変)二重化・設定情報の同期

TCP/802〜809

NTP

UDP/123

管理画面へのアクセス(HTTP)

TCP/80

管理画面へのアクセス(HTTPS)T C P / 4 43

ルート確認

UDP/33435〜33435+(ttl*3)

SNMP

U D P / 1 61

SNMP trap

UDP/162

DNS

UDP/53

LDAP

TCP/(可変)SYSLOG

UDP/514■フィルタ一覧
フィルタルールが一行ずつ表示されています。
本装置に送受信されるパケットはこの一覧の各行と上から順に比較され、最初に一致した行の動作がパケットに対して適用されます。どの行とも一致しなかった場合にはデフォルト動作が適用されます。
「新規追加」ボタンをクリックすると入力画面が表示されます。

○ accept
フィルタルールと一致しなかった時にパケットを通過させる場合に選択します。

■フィルタ新規追加○ drop
フィルタルールと一致しなかった時にパケットを破棄させる場合に選択します。

153

第 8 章 管理機能

Ⅰ．ネットワーク○ No.
この入力内容を登録する場所を指定します。
既に設定されているルールの最後にこのルールを追加する場合には、現在設定されているルールの数に 1 を加えた数を入力します。
既にルールが登録されている番号を指定した場合には、今回作成するルールがその番号で設定され、既存のルールの指定された番号から下のルールは番号が一つずつ後ろにずれます。

○送信先アドレスフィルタリング対象とする、送信先の IP アドレスを入力します。ホストアドレスのほか、ネット
ワークアドレスでの指定が可能です。
入力方法は、送信元 IP アドレスと同様です。
○送信先ポート
フィルタリング対象とする、送信先のポート番号を入力します。
開始ポートと終了ポートで範囲を指定します。指定方法は送信元ポート同様です。

○プロトコル
フィルタリング対象とするプロトコルを any、tcp、udp、icmp の中から選択します。any を選択した場○動作
合は任意のプロトコルとマッチします。
フィルタリング設定にマッチしたときにパケットを破棄するか通過させるかを選択します。
○送信元 IP アドレス
フィルタリング対象とする、送信元の IP アドレス
各項目に入力後、「設定」ボタンを押すと設定内容を入力します。ホストアドレスのほか、ネットが保存され、一覧表示画面に戻ります。
ワークアドレスでの指定が可能です。
設定はすぐに反映されます。
< 入力例 >
単一の IP アドレスを指定する：
フィルタルールは最大 20 個まで設定することができます。
192.168.253.19 ( /32 は付けない)
ネットワーク単位で指定する：
変更・
変更
・削除
192.168.253.0/24○送信元ポート
フィルタリング対象とする、送信元のポート番号を入力します。
開始ポートと終了ポートを指定することで、その間のポート番号範囲が指定されます。

フィルタ一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。

特定のポート番号のみを指定する場合は開始ポー
トと終了ポートに同じポート番号を入力するか、開始ポートのみを指定して終了ポートを空欄にしてください。
ポート番号を指定するときは、プロトコルもあわせて選択する必要があります。
「icmp」または「any」のプロトコルを選択して、ポート番号を指定することはできません。

154

第 8 章 管理機能

Ⅰ．ネットワーク
4.DNS
本装置が使用する DNS の設定をおこないます。
管理機能のメニュー「ネットワーク」から「DNS」
を選択すると、現在設定されている内容が表示されます。

○プライマリサーバ
プライマリ DNS サーバの IP アドレスを入力します。
○セカンダリサーバ
セカンダリ DNS サーバの IP アドレスを入力します。
各項目に入力後、「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。
■ DNS

155

第 8 章 管理機能

Ⅰ．ネットワーク
5.NTP■ NTP サーバ設定されている NTP サーバが表示されています。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

本装置は、NTPクライアント/サーバ機能を持っています。
インターネットを使った時刻同期の手法の一つであるNTP(Network Time Protocol)を用いてNTPサーバと通信をおこない、時刻を同期させることができます。
管理機能のメニュー「ネットワーク」から「NTP」
を選択すると、現在のサーバの状態と設定されている内容が表示されます。

○プライマリサーバ
プライマリ NTP サーバの IP アドレスもしくは FQDN
を入力します。
○セカンダリサーバ
セカンダリ NTP サーバの IP アドレスもしくは FQDN
を入力します。

■起動
・停止
■起動・
現在 NTP サーバが停止している場合には、「停止中」と表示されます。
「起動」ボタンをクリックする事でNTP サーバが起動します。

各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。
保存された設定内容を反映させるには、NTP サーバの再起動が必要になります。
「再起動」ボタンを押してください。

NTP サーバが起動している場合には、「動作中」と表示されます。
「停止」ボタンをクリックする事で NTP
サーバは停止します。また、「再起動」ボタンをクリックすると NTP プロセスが再起動します。

基準 NTP サーバについて基準となる NTP サーバには以下のようなものがあります。
・ntp1.jst.mfeed.ad.jp
・ntp2.jst.mfeed.ad.jp
・ntp3.jst.mfeed.ad.jp156

第 8 章 管理機能

Ⅰ．ネットワーク
6.SNMP
SNMP エージェントを起動すると、SNMP マネージャから本装置の MIB‑II (RFC1213)の情報を取得することができます。

■ SNMP

管理機能のメニュー「ネットワーク」から「SNMP」
を選択すると、現在のサーバの状態と設定されている内容が表示されます。

○コミュニティ名
任意のコミュニティ名を指定します。
ご使用の SNMP マネージャの設定に合わせて入力して
ください。

■起動
・停止
■起動・
現在 SNMP が停止している場合には、「停止中」と表示されます。
「起動」ボタンをクリックする事で SNMP が起動します。
SNMP が起動している場合には、「動作中」と表示されます。
「停止」ボタンをクリックする事で SNMP サーバ
は停止します。また、「再起動」ボタンをクリックす
ると SNMP プロセスが再起動します。

■ SNMP サーバ
管理者が設定変更できる項目について、現在の設定
内容が表示されています。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

157○本装置の名称
本装置の管理上の名前を入力します。通常 FQDN などを指定します。
○本装置の説明
本装置についての説明を入力します。
○本装置の設置場所
本装置の物理的な設置場所を指定します。
○本装置の管理者
本装置管理者への連絡先などを指定します。
○ Trap 送信元 1 〜 5
Trap の送信先 (SNMP マネージャ) の IP アドレスを設定します。
デフォルト値はありません。
未設定の場合は trap の送信はしません。
最大 5 個まで設定可能です。

第 8 章 管理機能

Ⅰ．ネットワーク○ CPU 使用率閾値CPU 使用率の閾値を設定します。
単位は％で、有効な値は 10 以上 100 未満の整数となります。
デフォルト値はありません。
設定されない場合は、対応する trap は送信されません。
90 を一つの目安としてお考え下さい。
但し、一時的に処理量が増加し、CPU 使用率がこの値を超えることも考えられます。設定した閾値を超える状態が続く場合には利用状況と併せて本装置の動作状
態を確認して下さい。

○メモリ空き容量閾値
メモリ 空き容量の閾値を設定します。
単位は kB で、有効な値は 1 以上の整数となります。
デフォルト値はありません。
設定されない場合は、対応する trap は送信されません。
メモリ空き容量については別項(後述)を参照して下さい。
メモリ空き容量は設定及びご利用状況によって変わります。
推奨値を提示することは出来ません。16384 (16 MB)
程度を一つの目安としてお考え下さい。

各項目に使用可能な文字は以下となります。
・コミュニティ名、本装置の説明、本装置の設置場所
0‑9, a‑z, A‑Z, ‑, ̲
・本装置の名称
0‑9, a‑z, A‑Z, ‑, ̲, .
・本装置の管理者
0‑9, a‑z, A‑Z, ‑, ̲, @, <, >, .
各項目に入力後、「設定」ボタンを押すと設定内容が保存されます。

保存された設定内容を反映させるには、SNMP サーバの再起動が必要になります。
「再起動」ボタンを押してください。

158

メモリ空き容量RA では、データの読み出し / 書き込み時にメモリを
キャッシュという形で確保します。
一度キャッシュとして確保したデータは、メモリを介して処理が行われるため高速に動作します。
新たなデータの読み出し / 書き込み要求によりメモリ領域が必要とならない限り、キャッシュは解放されません。
メモリ空き容量(csRASystemMemoryFree)には、このキャッシュは含まれません。
したがって、連続して運用を続けるとメモリ空き容量(csRASystemMemoryFree)は逓減します。

第 8 章 管理機能

Ⅰ．ネットワーク(※※ RA‑630 のみ)
ただし、Ether2 については 実際の link up/downの状態によらず、常に up として扱われます。

SNMP trap
ユーザが設定した SNMP マネージャに SNMP trap を送信します。
送信される trap は以下の通りです。

設定情報の同期をおこなう設定の場合でも、本設定は対向装置へ同期されません。

・SNMP サービス起動時に Cold Start を送信
・CPU 使用率がユーザ定義の閾値を超えた時・CPU 使用率がユーザ定義の閾値以下になった時
CPU 使用率を一定時間毎(1 秒)に測定します。
前回の測定値が閾値以下で、今回の測定値が閾値より大きい場合に trap を送信します。
測定値が閾値より大きくなったことがあり、その後の測定値が一定回数(10回)だけ連続して閾値以下の場合に trap を送信します。
SNMP サービス起動直後に閾値より大きい場合はtrap を送信します。
閾値以下の場合は送信しません。
・メモリ空き容量がユーザが定義した閾値より小さくなった時・メモリ空き容量がユーザが定義した閾値以上になった時
メモリ空き容量を一定時間毎(1秒)に測定します。
前回の測定値が閾値以上で、今回の測定値が閾値より小さい場合に trap を送信します。
測定値が閾値より小さくなったことがあり、その後の測定値が一定回数(10回)だけ連続して閾値以
上の場合に trap を送信します。
SNMP サービス起動直後に閾値より小さい場合はtrap を送信します。
閾値以上の場合は送信しません。
・Ethernet インタフェースが link down した時
・Ethernet インタフェースが link up した時
Ethernet インタフェースの link up/down に応じて trap を送信します。
SNMP サービス起動直後に link down ならば trapを送信します。
link up ならば送信しません。

159

第 8 章 管理機能

Ⅰ．ネットワーク
なお、CPU 及びメモリの状況は、GetRequest 等で取得できます。
例:$ snmpwalk ‑v2c ‑c public 192.168.0.254 enterprises
enterprises.20376.3.1.1.1.1.0 = 4
enterprises.20376.3.1.1.1.2.0 = 1
enterprises.20376.3.1.1.1.3.0 = 95
enterprises.20376.3.1.1.2.1.0 = 256608
enterprises.20376.3.1.1.2.2.0 = 194280$ snmpwalk ‑v2c ‑c public 192.168.0.254 ‑m CS‑RA‑PRODUCT‑MIB.txt enterprises
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemCPU.csRASystemCPUUser.0= 4
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemCPU.csRASystemCPUSystem.0= 1
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemCPU.csRASystemCPUIdle.0= 95
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemMemory.csRASystemMemoryTotal.0= 256608
enterprises.centurysys.csMtRA.csRASystem.csRASystemObjects.csRASystemMemory.csRASystemMemoryFree.0= 194280

160

第 8 章 管理機能

Ⅱ．システム1. 内蔵時計
本装置の時刻を合わせます。
管理機能のメニュー「システム」から「内蔵時計」を選択すると、現在時刻が表示されます。

時刻を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

■内蔵時計
24 時間単位で時刻を設定してください。
「実行」ボタンをクリックして設定完了です。

161

第 8 章 管理機能

Ⅱ．システム2. ログ
システムログに関する設定をします。
また、取得した各ログの転送先を設定します。
管理機能のメニュー「システム」から「ログ」を選択すると、現在設定されている内容が表示され
ます。

■ログ転送
各ファシリティ毎のログの転送先が一覧表示されています。
この画面で設定をおこなうシステムログに加え、
RADIUS サーバのメニューで設定した認証ログ、アカウンティングログも転送先の指定に従って転送されます。
「新規追加」をクリックすると入力画面が表示されます。
■ログ転送新規追加■システムログ
現在の設定内容が表示されています。
設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

○ファシリティ
転送したいログのファシリティを指定します。
プルダウンから選択してください。

■システムログ変更○転送先 IP アドレス
ログを転送するサーバを指定します。
指定したマシン上で syslog サーバを動かす必要があります。

○システムログ
システムログについて記録に残すかどうかを設定します。

各項目に入力後、「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。

○ファシリティ
システムログを「取得する」にした場合、システ
ムログが出力されるファシリティを指定します。
プルダウンから選択してください。

転送先は最大 5 個まで設定することができます。

各項目に入力後、「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。

変更
・削除
変更・
ログ転送一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行できます。
本装置に記録できるログの数には上限があります
最大数一覧」を（「付録 A 最大数一覧」
を参照してください）。
継続的にログを取得される場合は外部の syslog
サーバにログを送信するようにしてください。

162

第 8 章 管理機能

Ⅱ．システム3. 設定情報の保存
・復帰
設定情報の保存・本装置の設定情報の保存、および保存した設定情報の復帰をおこないます。
管理機能のメニュー「システム」から「設定情報の保存・復帰」を選択します。

・Version：
RA を表す文字列・バージョン番号・ビルド番号・
ファームの作成日付
・Serial Number：
本装置のシリアル番号
・User：
設定ファイルを取り出したユーザ名
・Address：
設定ファイルを取り出したクライアントのIP アドレス・Date：
設定ファイルを取り出した日時「設定の保存・復帰画面」にて設定情報を表示
・更新
にて設定情報を表示・する際、本装置のする際、本装置の RSA の秘密鍵を含む設定情報等が ■設定情報の復帰
HTTPSを使用しない場合ネットワーク上に平文で流HTTPSを使用しない場合ネットワーク上に平文で流 ○設定ファイル「参照」をクリックして、保存しておいた設定情報れます。
復帰は、ローカル環境もしくは設定の保存・
設定の保存
・復帰は、
ローカル環境もしくは VPN 環 ファイルを選択します。
「EUC‑JP」または
境等、セキュリティが確保された環境下でおこなう 利用可能な文字コードは、「Shift̲JIS」です。
事をお勧めします。

■設定情報の保存○文字コード設定を保存するときは、文字コードを選択してください。

「復帰」ボタンをクリックすると、設定の復帰がおこなわれます。

「保存」ボタンを押すと以下の画面が表示されます。 設定の復帰を実施した直後に本装置にアクセスした
場合に、Web
場合に、Web の認証画面が繰り返し表示される場合があります。
このような場合にはまだ設定の復帰が完了しており「バックアップファイルのダウンロード」のリンクません。しばらく待ってから再度アクセスするようから、設定をテキストファイルで保存してくださにしてください。
い。
保存したテキストファイルには、本装置の設定がすべて記述されています。
このテキストファイルの内容を直接書き換えて設定を変更することもできます。
また、設定ファイルの一番上には次の情報が表示されますので、サポートへのお問い合わせの際にお伝えください。

復帰した時点で設定情報ファイルの内容が不正であった場合には復帰されません。
(RA ver1.8.5 以前のみ該当)
RADIUS
サーバ証明書の有効期限が切れている
例えばRADIUS
RADIUSサーバ証明書の有効期限が切れている
例えばような場合には、不正な設定情報ファイルと見なさ
れます。

163

第 8 章 管理機能

Ⅱ．システム4. 設定情報の初期化
本装置の設定を全てリセットし、工場出荷時の設定に戻します。
管理機能のメニュー「システム」から「設定情報の初期化」を選択します。

■初期化「実行」ボタンを押すと初期化が実行され、本体の全設定が工場出荷設定に戻ります。

設定の初期により全ての設定が失われますので、念のために設定情報の保存を実行しておくようにしてください。

164

第 8 章 管理機能

Ⅱ．システム5. ファームのアップデート
本装置のファームウェアのアップデートをおこないます。

３分以内に「実行」ボタンが押されなかった場合、ファームは破棄されます。

管理機能のメニュー「システム」から「ファームのアップデート」を選択します。

「実行」ボタンを押した場合は次の画面が表示され、ファームウェアの書き換えが始まります。

■ファームのアップデート「参照」ボタンを押して、弊社ホームページからダウンロードしてきたファームウェアファイルを選択し、「実行」ボタンを押してください。

ファームウェアの書き換え後に本装置が自動的に再起動されて、アップデートが完了します。

その後、ファームウェアを本装置に転送します(転送が終わるまではしばらく時間がかかります)。
転送完了後に、次のアップデートの確認画面が表示されます。

アップデート実行中は、本装置へのアクセスはおアップデート実行中は、本装置へのアクセスはおこなわないでください。アップデート失敗の原因
こなわないでください。
アップデート失敗の原因となることがあります。

バージョンが正しければ「実行」ボタンを押して
ください。

165

第 8 章 管理機能

Ⅱ．システム6. 再起動
本装置を再起動します。
管理機能のメニュー「システム」から「再起動」
を選択します。

■再起動「実行」ボタンをクリックすると、再起動します。

166

第 8 章 管理機能

Ⅱ．システム
7. 停止 （※※ RA‑1200・RA‑1100・RA‑730）
本装置を停止状態にします。
管理機能のメニュー「システム」から「停止」を選択します。

■停止「停止」ボタンをクリックすると、本装置は停止状
態になります。

167

第 8 章 管理機能

Ⅱ．システム8. 管理者
管理者がログインする際のユーザー名、パスワー
ドを設定します。装置のセキュリティ確保のために推測されにくいパスワードを設定してください。
管理機能のメニュー「システム」から「管理者」
を選択すると、現在設定されている内容が表示されます。

■ユーザ管理者
本装置管理者の他に、RADIUS のユーザ情報の設定管理のみをおこなえるユーザ管理者を設定することができます。
「新規追加」をクリックすると入力画面が表示されます。
ユーザ管理者のログイン ID とパスワードを入力します。
■ユーザ管理者新規追加■本装置管理者
本装置管理者のログイン ID が表示されています。

○ログイン ID
使用可能な文字は英数字および以下の記号になります。
!"#$%&'()*+‑./<=>?@[]^̲̀{￨}設定を変更する場合は「編集」ボタンを押すと、次の入力画面が表示されます。
新しいログイン ID とパスワードを入力してください。

○パスワード使用可能な文字は、ユーザ ID の入力可能文字に加え空白文字と以下になります。
,:;¥■本装置管理者変更○ロック
通常は「ロックしない」を選択します。
一時的にユーザ管理者がログインできないように設定したい場合に、「ロックする」を選択するようにします。

○ログイン ID
使用可能な文字は英数字および以下の記号になります。
!"#$%&'()*+‑./<=>?@[]^̲̀{￨}○パスワード使用可能な文字は、ユーザ ID の入力可能文字に加え空白文字と以下になります。
,:;¥「設定」ボタンをクリックして設定完了です。
次回のログインからは、新しく設定したユーザー
名とパスワードを使います。

各項目に入力後、「設定」ボタンを押すと設定内容が保存され、一覧表示画面に戻ります。
設定はすぐに反映されます。
ユーザ管理者は最大 5 人まで設定することができます。

変更
・削除
変更・
ユーザ管理者一覧に登録されている設定を編集または削除したい場合には、そのエントリが表示されている行の「編集」ボタン、「削除」ボタンを押すことで実行
できます。

168

第 8 章 管理機能

Ⅱ．システム9. 管理画面へのアクセス
本装置の管理画面へアクセスするために必要な設定をおこないます。

設定を変更する場合は「設定・編集」ボタンを押すと、次の入力画面が表示されます。

管理機能のメニュー「システム」から「管理画面へのアクセス」を選択すると、現在設定されている内容が表示されます。

■ポート番号変更
HTTP/HTTPS によるアクセスを有効にするか無効にするかを選択します。
必ずどちらかは有効にしておく必要があります。

■ HTTPS サーバ証明書「本装置の証明書を使用する」欄の「表示」ボタン
は HTTPS サーバ証明書で、「本装置の証明書を使用する」が設定されている場合にのみ表示されます。
■ HTTPS サーバ証明書
このボタンを押すと証明書の内容が表示され、証デフォルトで設定されている証明書を使用するか、明書の取得等ができます。
「CA」で設定したサーバ証明書を使用するか選択し第 7 章 CA 設定 II. 証
証明書の詳細については「第ます。
明書
明書」を参照してください。
「本装置の証明書を使用する」を選択した場合には、証明書のシリアルナンバを入力して証明書を指定してください。シリアルナンバは、16 進数で入力します。
各項目に入力後、「設定」ボタンをクリックして設定完了です。
設定はすぐに反映されます。

169

第 8 章 管理機能

Ⅱ．システム10. 設定情報の同期■ 概要
RAでは、元となるRAに対しておこなった設定情報の変更を、他の RAに同期させることができます。本機
能による RA 間での通信は暗号化されます。

■ 用語の解説
本機能では、以下の用語を使用します。
同期装置
設定情報の同期機能を用いて設定情報を共有する
本装置を同期装置と呼びます。
同期コンフィグ
同期装置間で共有される設定情報です。1 つの同期
コンフィグは、1 台の MASTER と 1 台の SLAVE で共有されます。
同期システム同期コンフィグおよび同期装置によって構成される系です。各同期装置は、ただ 1 つの同期システ
ムに属することができます。
親子連携機能1 つの同期システムに、複数の同期コンフィグを含む機能です。
装置種別
同期をおこなう本装置のうち、設定の元となる機器を MASTER、それ以外を SLAVE と呼びます。
親、
子
親、子
親子連携機能における、MASTER を親、SLAVE を子と呼びます。

170

第 8 章 管理機能

Ⅱ．システム親子連携機能が「有効」「無効」の場合の、構成の違いおよび操作上の注意点は下記のとおりです。
■ 親子連携機能が無効
・1 つの同期コンフィグ
・1 台の MASTER、1 台の SLAVE・CA は 1 つ
CAに関連する操作(ユーザ証明書を含む証明書の発行・失効や RADIUS ユーザファイル読み込みなど)は基本的に MASTER で行います。
MASTER が存在しない状態ではこれらの操作をおこなうことができません。

■ 親子連携機能が有効
・複数の同期コンフィグ（最大 50 まで）
・1 台の親、複数台の子・CA は 1 つ（同期システム全体）
・1 つの同期コンフィグを 2 台の同期装置で使用（1 台の親と 1 台の子）・親は複数の同期コンフィグ、子は 1 つの同期コ
ンフィグを保有
親子連携機能が有効の場合の操作上の注意点は、「付録 G 親子連携」を参照してください。
下記は、親子連携機能が有効な状態の同期システ
ムの構成例です。

CA に関連しない操作 (RADIUS ユーザの追加など)についても、基本的には MASTER でおこないます。
しかし MASTER が存在しない状態、または、MASTERとの通信が途切れていた場合でも、SLAVE で設定・変更など操作は可能です。
ただし、その場合には、同期をおこなう RA 間での設定情報の同一性は保証されません。
下記は、親子連携機能が無効な状態の同期システ
ムの構成例です。

■ 同期構成におけるファームウェア更新
同期構成におけるファームウェア更新については、「付録 F 同期・二重化構成におけるファームウェア
更新手順」を参照してください。

RA‑1200 と RA‑1100 の二重化・同期はサポートしていません。但し、RA‑1100 から RA‑1200 へのリプ
レース等の一時的な同期処理は可能です。

■ 同期構成における時刻同期
同期構成における各装置の時刻同期を行ってください。
時刻同期には NTP 機能を利用することが可能です。

RA‑730 と RA‑630 の二重化・同期はサポートしていません。但し、RA‑630 から RA‑730 へのリプレース
等の一時的な同期処理は可能です。

171

第 8 章 管理機能

Ⅱ．システム
同期可能な設定情報・操作は下記の表のとおりです。
同期する場合でも、各設定項目によって動作条件が異なります。表中の印の意味を次に示します。
○印: 同期する。
＊印: 同期する。Master 動作時のみ実行可能。
●印: 同期する。親のみで実行可能。
★印: 同期する。Master のみ実行可能。
表． 設定項目一覧（1/2）（次ページへ続く）

同期処理
親子連携無効(同期する）

親子連携有効同期しない○

親子連携有効範囲

階層1

階層2

起動・停止

同期しない

●

同期しない

基本情報

同期システムで共有

二重化

使用不可

○

●

同期システムで共有○●

同期コンフィグ毎○●

同期コンフィグ毎

階層3（各設定項目）

アトリビュート
サーバ

アドレスプール
クライアント

○

使用不可

ActiveDirectory

○

使用不可

LDAP

○

●

同期システムで共有○●

同期コンフィグ毎

ユーザプロファイル○●

同期コンフィグ毎

ユーザ基本情報○●

同期コンフィグ毎○●

同期コンフィグ毎○●

同期コンフィグ毎

グループI D○●

同期コンフィグ毎

証明書

○

●

同期コンフィグ毎

ユーザ

＊

●

同期コンフィグ毎

ユ ー ザ (証 明 書 の 発 行 )○●同期コンフィグ毎

ユーザ(個別設定)

○

使用不可

○

使用不可

ログ

RADIUS

プロファイル

認証アトリビュート
応答アトリビュート

A D ユーザユーザ

L D A P ユーザ＊●

同期コンフィグ毎

ファイル読み込み（証明書の発行以外）＊●

同期コンフィグ毎

ファイル読み込み（証明書の発行）

同期しない

＊

●

同期システムで共有＊●

同期システムで共有＊●

同期システムで共有

同期しない

同期しない

同期しない

同期しない

＊

●

同期しない

＊

ユーザ検索

同期しない

新規作成
削除 (※)
CA/CRL

証明書の取得
CA

失効リストの取得

同期システムで共有
同期コンフィグ毎

発行
証明書

同期しない

●

失効リストの更新

取得
失効

同期システムで共有※「CA CA/CRL 削除」
SLAVE(または子)で HTTPS サーバ証明書に「本装置の証明書」を設定している場合、SLAVE(または子)のCA の削除に失敗します。CA の削除前に SLAVE(または子)の HTTPS サーバ証明書を変更して下さい。詳細については「第 8 章 II. システム 9. 管理画面へのアクセス」を参照して下さい。

172

第 8 章 管理機能

Ⅱ．システム表． 設定項目一覧（2/2）
同期処理
親子連携無効（同期する）

親子連携有効階層1

親子連携有効範囲

階層2

階層3（各設定項目）

同期しない

同期しない

基本情報

同期しない

同期しない

スタティックルート

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

NTP

同期しない

同期しない

SNMP

同期しない

同期しない

内蔵時計

同期しない

同期しない

ログ

同期しない

同期しない

設定情報の保存・復帰

同期しない

同期しない

設定情報の初期化

同期しない

同期しない

ファームのアップデート

同期しない

同期しない

再起動

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

設定情報の同期（同期コンフィグ）

同期しない

同期しない

設定情報の同期（同期装置）★
★

ネットワーク

停止
管理機能

管理者（本装置管理者）
管理者（ユーザ管理者）
管理画面へのアクセス
システム★

設定情報の同期（システム）

設定情報の同期（一括同期 )

使用不可

●

フィルタ
DNS

設定情報の同期（強制同期）

同期コンフィグ毎

設定情報の同期（設定取得）

使用不可

★

●

同期コンフィグ毎

設定情報の同期（ログ同期）★

●

同期コンフィグ毎

設定情報の同期（ログ取得）★

●

同期コンフィグ毎

設定情報の同期（R A D I U S サーバ起動・停止）

○

○

‑

○

○

同期コンフィグ毎○○

同期コンフィグ毎
使用不可

同期しない

同期しない

○

○

○

ユーザ情報

強制ログアウト
一括ログアウトA D ユーザ情報

同期しない

○

ログイン情報システムログ
ログ情報

同期しない
同期しない

運用機能

認証ログ
アカウンティングログ
到達性確認

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

同期しない

システム情報システム情報

同期しない

同期しない

サポート情報サポート情報ネットワークテスト

ルート確認
パケットキャプチャ
名前解決確認173

第 8 章 管理機能

Ⅱ．システム
「設定情報の同期」機能の設定をおこないます。
管理機能メニュー「システム」から「設定情報の同期」を選択すると、現在の設定内容が表示されます。

◆設定情報の同期機能の設定■設定情報の同期「設定・編集」ボタンをクリックします。
■設定情報の同期○設定情報の同期・同期しない
設定情報の同期を行わない場合に選択します。
・同期する
設定情報の同期を行う場合に選択します。
・親子連携
親子連携を使用する場合に選択します。
■設定情報の同期○ RA システム名
同期をおこなうRA間でのシステム名・本装置名が表 同期をおこなう RA 間でのシステム名を設定します
示されます。
（最大 20 文字)。
使用可能な文字は 0‑9, a‑z, A‑Z, ‑(0x2c), ̲■同期コンフィグ一覧(0x5f)です。
設定を共有するためのコンフィグファイルの一覧が表示されます。
○ RA 本装置名■同期装置一覧
同期をおこなう RA の一覧が表示されます。

同期をおこなう RA 間での本装置名を設定します（最大 20 文字)。
使用可能な文字は 0‑9, a‑z, A‑Z, ‑(0x2c), ̲(0x5f)です。

■同期実行一覧
必要に応じて実行します。
○装置種別
本機能は、
「設定情報の同期」を「同期する」または 本装置が、同期をおこなう RA 間で MASTER となる「親子連携」に設定したMasterにのみ表示されます。 か SLAVE となるかを選択します。
親子連携機能を使用する場合、RA‑1200・RA‑1100
を MASTER、RA‑730・RA‑630 を SLAVE に設定してください。RA‑1200・RA‑1100 を SLAVE、RA‑730・RA‑
630 を MASTER に設定することはできません。
各項目に入力後、「設定」ボタンを押して本機能の設定を完了します。

174

第 8 章 管理機能

Ⅱ．システム◆同期コンフィグの設定■同期コンフィグ一覧「新規追加」ボタンをクリックします。既に作成されている設定を編集する場合は、「編集」ボタンをクリックします。
「設定情報の同期」で「親子連携」を選択した場合には、「編集」ボタンは表示さ
れません。

削除
同期コンフィグを削除する場合は、「削除」ボタンをクリックして削除してください。
削除する同期コンフィグに同期装置が設定してある場合は、先に同期装置一覧を削除してください。

■同期コンフィグ新規追加「設定情報の同期」で、「同期しない」または「同期する」を選択した場合は、下記の画面が表示されます。

「設定情報の同期」で、「親子連携」を選択した場
合は、下記の画面が表示されます。

○コンフィグ名共有する設定情報の名前を設定します（最大 20 文字)。編集の場合は変更できません。
使用可能な文字は 0‑9, a‑z, A‑Z, ‑(0x2c), ̲(0x5f)です。
○処理タイミング
同期処理をおこなうタイミングを設定します。
同期を設定操作ごとにおこなう場合は「即時実行」、同期を設定操作ごとにおこなわず、後にまとめておこなう場合は「一括処理」を選択します。
各項目に入力後、「設定」ボタンを押して同期コン
フィグの設定を完了します。

175

第 8 章 管理機能

Ⅱ．システム◆同期装置の設定■同期装置一覧「新規追加」ボタンをクリックします。
■同期装置新規追加

本装置の装置種別を選択しなかった場合は、同期装置種別も選択可能になります。

○同期装置名同期をおこなう RA の名前を設定します（最大 20
文字）。
使用可能な文字は 0‑9, a‑z, A‑Z, ‑(0x2c), ̲(0x5f)です。
○ IP アドレス同期をおこなう RA の IP アドレスを指定します（IPv4 形式）。
○同期装置種別本装置が、同期をおこなう RA 間で MASTER となる
か SLAVE となるかを選択します。
本装置と同期をおこなう対向装置の両方の入力が済みましたら、「設定」ボタンを押して設定を完了します。
削除
同期装置を削除する場合は、「削除」ボタンをクリックして削除してください。

176

第 8 章 管理機能

Ⅱ．システム◆同期実行の設定「設定取得」で「RADIUS」メニュー「サーバ」に関する■同期実行一覧
ここでは一括同期の実行や、対向装置の起動・停止 設定（基本情報、二重化、アトリビュート、アドレス
プール、クライアント、ActiveDirectory、LDAP、ログ）等がおこなえます。
を変更した場合、設定内容を有効にするためには MAS‑
下記画面は、「設定情報の同期」を「同期する」に設 TER 側 RADIUS の再起動が必要です。
定した Master にのみ表示されます。
「RADIUS サーバの二重化」「設定情報の同期」の両方が設定されている場合は、[ログ同期]と[ログ取得]が追加表示され、有効になります。

○ログ同期
本ボタンが実行されると、対向の RA へログイン情報、
認証ログ、アカウンティングログが送信されます。
ログイン情報にはアドレスプールの情報も含まれます。
送信した場合には、
対向の RA が持つログイン情報、
認
証ログ、アカウンティングログはそれぞれ破棄されます。

下記画面は、「設定情報の同期」を「親子連携」に設
Master
定したにのみ表示されます。

○コンフィグ名「同期コンフィグ一覧」
で作成したコンフィグ名が表示されます。
○一括同期
同期コンフィグの設定で処理タイミングに「一括処理」を選択している場合、クリックすると同期を終えていない情報の同期を実行します。
「実行」ボタンをクリックして同期を実行します。
○強制同期
MASTERとSLAVEが異なる設定をしている場合、MASTER
の設定情報を SLAVE の設定情報に上書きし、強制同期させます。
「実行」ボタンをクリックして同期を実行します。

○ログ取得
本ボタンが実行されると、対向のRAからログイン情報、
認証ログ、アカウンティングログが取得されます。
ログイン情報にはアドレスプールの情報も含まれます。
取得した場合には、自分自身が持つログイン情報、認証ログ、アカウンティングログはそれぞれ破棄されます。
○ RADIUS
本装置が MASTER である場合、SLAVE の RADIUS の起動・停止・再起動をMASTER側から指示することができます。
各ボタンをクリックして動作を実行してください。
本機能により「RADIUS」メニュー「サーバ」に関する設定（基本情報、二重化、アトリビュート、アドレス
プール、クライアント、ActiveDirectory、LDAP、ログ）を変更した場合、設定内容を有効にするためにはSLAVE
側 RADIUS の再起動が必要です。

◆同期の確認○設定取得
MASTER‑SLAVE間で通信ができない状態のままSLAVE
側で設定をおこなうと、MASTER‑SLAVE間で設定の不一致が発生します。このような場合に M A S T E R はSLAVE の設定情報を取得し反映させることができます。
「実行」ボタンをクリックして設定情報を取得します。

同期が正常におこなわれているかは、「運用機能」
メニュー「システム情報」の「システム情報」で確認
してください。

177

第9章
第 9 章 運用機能

第 9 章 運用機能

Ⅰ．ユーザ情報
1. ログイン情報
現在ログインしているユーザ名を表示します。
運用機能のメニュー「ユーザ情報」から「ログイン情報」を選択します。
※以下より説明する、各設定画面は、全て同画面で表示されます表示されます。

■ソート
ログイン情報をソートさせて表示することができます。
ソート項目は、3 個まで設定可能です。
それぞれ昇順、降順の指定が可能ですが、大文字、小文字の区別はしません。
複数のソート項目が指定された場合は、順にソートされます。

■ログイン情報
各項目は RADIUS クライアントからのアカウンティ
ング要求の情報に基づいて表示されます。
親子連携機能が有効の場合に限り、同期コンフィ
グ及び同期装置も記録されます。

削除
接続されているユーザの「強制ログアウト」欄の「削除」ボタンを押すことで、その接続を削除する事が可能です。

プルダウンからソートの対象項目を選択します。
○指定しない○ SessionStartTime○ Config○ User‑Name○ NAS‑IP‑Address○ NAS‑Port○ Framed‑IP‑Address○ Called‑Station‑Id○ Calling‑Station‑Id○ Device

ここでの強制ログアウトとは、
RADIUS
サーバ内のロRADIUSサーバ内のログイン情報を強制的にログアウト状態に変更することを表します。
実際に接続をおこなっている RADIUS クライアント
ソートの順序を選択します。
アクセスポイント、認証スイッチ、
認証スイッチ、NAS
NAS、(無線 LAN アクセスポイント、
認証スイッチ、NAS、○昇順
RAS 等)には、一切の通知をおこないません。
には、一切の通知をおこないません。
○降順
デフォルトは昇順です。

179

第 9 章 運用機能

Ⅰ．ユーザ情報■フィルタ
フィルタによる検索を実施することができます。
それぞれ、下記の指定が可能です。
・完全一致(設定された文字列と完全に一致した場合のみ表示)・前方一致(設定された文字列が先頭に持つもののみ表示)・後方一致(設定された文字列が末尾に持つもののみ表示)
・部分一致(設定された文字列を含むもののみ表示)
複数のフィルタが指定された場合は、それらの AND 結果を表示します。

フィルタの対象項目を選択します。
○指定しない○ SessionStartTime○ Config○ User‑Name○ NAS‑IP‑Address○ NAS‑Port○ Framed‑IP‑Address○ Called‑Station‑Id○ Calling‑Station‑Id○ Device
フィルタさせる文字列を設定します。
入力可能な文字列は、ASCII コードの 0x21‑0x7e (ただし0x22("), 0x25(%), 0x5c(¥) は含みません)です。
最大文字長は「20」で、デフォルト値はありません。
フィルタ条件を選択します。
○完全
○前方
○後方
○部分

180

■一括ログアウト
ログイン中のユーザを全てログアウトしたものとして扱います。
画面表示されたユーザだけでなく、全てのユーザが対象です。
二重化している場合は、もう一方も全てログアウトしたものとします。
設定情報の同期をおこなう設定の場合、本設定は対向装置へ同期されます。

第 9 章 運用機能

Ⅰ．ユーザ情報
2.AD ユーザ情報
エラーメッセージ○ Active Directory 連携は未使用です。

Active Directory サーバに登録されたユーザを表示します。
運用機能のメニュー「ユーザ情報」から「AD ユー
ザ情報」を選択します。

「Active Directory」が「使用しない」に設定されている場合、または「Active Directory」が「使用する」に設定されているが RADIUS サーバが停止している場合に表示されます。
「Active Directory」を「使用する」に設定した
上、RADIUS サーバを起動して下さい。

■ AD ユーザ情報○ RADIUS サーバを再起動してください。

RADIUS 設定で「Active Directory」を「使用する」に設定している場合に、Active Directory サーバに登録されたユーザのうち、設定された「ドメインネーム」
・「所属グループ」に所属するユーザ名が表示されます。
「所属グループ」が設定されていない場合は、「ドメインネーム」に所属する全ユー
ザ名が表示されます。
Active Directory サーバでアカウントが無効に設定されているユーザは、lock 欄に x が表示されます (ver 1.8.3 以降のみ)。
ユーザ名に日本語などが含まれる場合、正しく表示されないことがあります。
表示されるユーザが全て認証可能とは限りません。
Active Directory サーバの設定により認証できな
い場合もあります。また、日本語などがユーザ名に含まれるユーザも認証できません。

Active Directory の設定を変更したが、設定変更が反映されていない場合に表示されます。RADIUS
サーバを再起動して設定を反映させてください。
○サーバと通信できませんでした。

Active Directory サーバと正常に通信ができない
場合に表示されます。設定内容、Active Direc‑
tory サーバへのネットワーク到達性、Active
Directory サーバの設定などを確認して下さい。
○ユーザが見つかりませんでした。

該当するユーザが存在しない場合に表示されます。

181

第 9 章 運用機能

Ⅱ．ログ情報1. システムログ
本装置の稼働状況について記録されているログ情報
を表示します。

表示順を指定して「実行」ボタンを押すと最新のログが時刻順でソートされて表示されます。

本装置に記録できるログの数には上限があります
最大数一覧」を（「付録 A 最大数一覧」
を参照してください）。

システムログの表示内容
システムログには以下の項目がカンマ区切りで表示されます。

運用機能のメニュー「ログ情報」から「システムログ」を選択します。

・ System
システムログであることを表します。
・日付
・時刻
・分類
RADIUS , NTP などのログの種別。
・ログ内容■システムログ

システムログの表示内容の詳細については、「付録 E システムログ一覧」を参照して下さい。

182

第 9 章 運用機能

Ⅱ．ログ情報2. 認証ログ
認証ログの表示内容
RADIUS サーバによる認証のログ情報を表示します。 認証ログには以下の項目がカンマ区切りで表示されます。
本装置に記録できるログの数には上限があります
を参照してください）。
「付録 A 最大数一覧」
最大数一覧」を（・ Auth
認証ログであることを表します。
・同期コンフィグ
親子連携機能が有効の場合のみ表示されます。
・認証要求で送られたユーザ ID
・認証方式が EAP‑TLS/EAP‑PEAP/EAP‑TTLS
であった時に、 phase 2 で送られたユーザID
・認証結果
・認証に失敗した場合の理由
・RADIUS クライアントの IP アドレス・認証要求で送られたアトリビュート
NAS‑IP‑Address の値
・認証要求で送られたアトリビュート
NAS‑Identifier の値
・認証要求で送られたアトリビュート
Called‑Station‑Id の値
・認証要求で送られたアトリビュート
Calling‑Station‑Id の値
・同期装置
親子連携機能が有効の場合のみ表示されます。
・日時

運用機能のメニュー「ログ情報」から「認証ログ」
を選択します。
■認証ログ

RADIUS クライアントに設定されていない IP アドレスを持つマシンからの認証要求を拒絶したログについては、認証ログではなく、システムログの方に記録されます。

■ソート
認証ログを表示する順序を指定します。
プルダウンメニューで、ソートしたい項目を指定し、「昇順」または「降順」でその項目の並び順を指定します。
1 から 3 番のソート項目を指定することにより、
1 番の項目でソートされた中をさらに 2 番の項目、3番の項目でソートするという並び順になります。
設定後「表示」ボタンを押すことで最新のログが指定された順序で表示されます。

183

第 9 章 運用機能

Ⅱ．ログ情報■フィルタ
認証ログが表示する内容を絞りたい場合に指定します。
プルダウンメニューで絞り込みの条件に使用したい項
目を指定します。
隣の入力欄にその項目の検索対象文字列を指定します。
最後にその文字列で検索をおこなう条件を指定します。
・完全指定された項目が、検索対象文字列と完全に一致するログが表示されます。
・前方指定された項目の最初の部分が、検索対象文字列と一致するログが表示されます。
・後方
指定された項目の最後の部分が、検索対象文字列と一致するログが表示されます。
・部分
指定された項目が、検索対象文字列を含んでいる
ログが表示されます。
1から3番に複数のフィルタ項目を指定することができます。複数のフィルタ項目を指定した場合には、全ての条件と一致するログのみが表示されます。
設定後「表示」ボタンを押すことで最新のログが指定されたフィルタ条件で表示されます。
一致するログが無かった場合には何も表示されません。

解除
フィルタを解除する時には全てのフィルタ項目で「指
定しない」
を選択して
「表示」ボタンを押してください。

184

■出力先
表示出力先を「画面」「画面（table）」「ファイル(text)」「ファイル(csv)」の中から選択してください。
ファイルを選択した場合にはブラウザの指示に従ってファイルを保存してください。
ソート、フィルタ、表示出力先の指定は同時におこなうことができます。

第 9 章 運用機能

Ⅱ．ログ情報3. アカウンティングログ
■ソート
アカウンティングログを表示する順序を指定します。
プルダウンメニューで、ソートしたい項目を指定し、「昇順」または「降順」でその項目の並び順を指定します。
1 から 3 番のソート項目を指定することにより、1番の項目でソートされた中をさらに2番の項目、3番の項目でソートするという並び順になります。

RADIUS サーバによるアカウンティングのログ情報を表示します。
本装置に記録できるログの数には上限があります
を参照してください）。
（「付録 A 最大数一覧」
最大数一覧」を
運用機能のメニュー「ログ情報」から「アカウンティングログ」を選択します。
■アカウンティングログ

設定後「表示」ボタンを押すことで最新のログが指定された順序で表示されます。

アカウンティングログの表示内容
アカウンティングログには以下の項目がカンマ区切りで表示されます。
・ Acctアカウンティングログであることを表します。
・同期コンフィグ
親子連携機能が有効の場合のみ表示されます。
・同期装置
親子連携機能が有効の場合のみ表示されます。
「RADIUS」のメニュー「サーバ」の「ログ」中のアカウンティングログの各項目。
具体的な内容は「第第 6 章 RADIUS 設定 I. サーバ
設定 9. ログ
ログ」を参照してください。

185

第 9 章 運用機能

Ⅱ．ログ情報■フィルタ
アカウンティングログが表示する内容を絞りたい
場合に指定します。
プルダウンメニューで絞り込みの条件に使用したい項目を指定します。
隣の入力欄にその項目の検索対象文字列を指定します。
最後にその文字列で検索をおこなう条件を指定します。
・完全指定された項目が、検索対象文字列と完全に一致するログが表示されます。
・前方指定された項目の最初の部分が、検索対象文字
列と一致するログが表示されます。
・後方
指定された項目の最後の部分が、検索対象文字
列と一致するログが表示されます。
・部分
指定された項目が、検索対象文字列を含んでいるログが表示されます。

■出力先
表示出力先を「画面」「画面（table）」「ファイル(text)」「ファイル(csv)」の中から選択してください。
ファイルを選択した場合にはブラウザの指示に従ってファイルを保存してください。
ソート、フィルタ、表示出力先の指定は同時におこなうことができます。

1 から 3 番に複数のフィルタ項目を指定することができます。複数のフィルタ項目を指定した場合には、全ての条件と一致するログのみが表示されます。
設定後「表示」ボタンを押すことで最新のログが指定されたフィルタ条件で表示されます。
一致するログが無かった場合には何も表示されません。

解除
フィルタを解除する時には全てのフィルタ項目で「指定しない」を選択して「表示」ボタンを押して
ください。

186

第 9 章 運用機能

Ⅲ．ネットワークテスト
本装置の運用時において、ネットワークテストをおこなうことができます。
ネットワークのトラブルシューティングに有効です。
以下の 4 つのテストができます。
・到達性確認・ルート確認・パケットキャプチャ・名前解決確認187

第 9 章 運用機能

Ⅲ．ネットワークテスト
1. 到達性確認
ネットワークテストをおこないます。
指定した相手に ICMP echo パケットを送信し、相手装置から返信されたパケットを表示します。
運用機能のメニュー「ネットワークテスト」の「到達性確認」を選択すると次の画面が表示されます。
■到達性確認○送信先
到達性を確認したい相手装置の FQDN
(www.example.co.jp などのホスト名)、もしくはIP アドレスを入力します。
○サイズ
送信するパケットのバイト数を指定します。
デフォルトは 56byte です。0‑65507 の間で指定します。
○ DF フラグ
パケットの分割を許可したくない場合に「あり」を指定します。
各項目を入力後「実行」ボタンを押すと結果が画面に表示されます。

応答メッセージが表示されない場合は、DNS で名
応答メッセージが表示されない場合は、DNS
前解決ができていない可能性があります。その場
前解決ができていない可能性があります。
その場
合はまず、IP
合はまず、
IP アドレスを直接指定してご確認くだ
さい。

188

第 9 章 運用機能

Ⅲ．ネットワークテスト
2. ルート確認
ネットワークテストをおこないます。
指定した相手に TTL を順に増やしながらパケットを送信することでパケットの送信経路を確認します。

○送信先
ルート確認をおこないたい相手装置の FQDN
(www.example.co.jp などのホスト名)、もしくはIP アドレスを入力します。

運用機能のメニュー「ネットワークテスト」の「ルート確認」を選択すると次の画面が表示されます。

○最大 TTL
送信するパケットの TTL を最大いくつまで設定して送信するかをホップ数で指定します。
1‑60 の範囲で指定します。

■ルート確認○名前解決
結果表示をおこなう際に IP アドレスをホスト名に変換して表示する場合には「する」を選択します。
ネットワーク障害等により DNS の名前解決ができない状況の時は「しない」を選択してください。
各項目を入力後「実行」ボタンを押すと結果が画面に表示されます。

応答メッセージが表示されない場合は、DNS で名
応答メッセージが表示されない場合は、DNS
前解決ができていない可能性があります。その場
前解決ができていない可能性があります。
その場
合はまず、IP
合はまず、
IP アドレスを直接指定してご確認くだ
さい。

189

第 9 章 運用機能

Ⅲ．ネットワークテスト
3. パケットキャプチャ
ネットワークテストをおこないます。
指定したインタフェースをモニタし、送受信されたパケットの情報を記録します。
運用機能のメニュー「ネットワークテスト」の「パケットキャプチャ」を選択すると次の画面が表示されます。

○設定画面へのアクセス設定画面を表示するのに使用しているパケットがキャプチャされるのを防ぎたい場合に「キャプチャ
しない」を選択します。
○アクション「画面表示」「ファイル」のどちらかひとつを選択します。

■パケットキャプチャ

・画面表示
出力結果を画面に表示する場合に選択します。

○インターフェイス
パケットキャプチャを実施するインタフェースを選択します。
○パケットサイズ
キャプチャするパケットサイズを入力します。
デフォルトは 68byte です。68‑1514 の範囲で指定します。
○パケット数
キャプチャするパケット数を入力します。
キャプチャできるのは最大1000パケットまでです。

・名前解決
結果表示をおこなう際に IP アドレスをホスト名に変換して表示する場合には「する」を選択します。
ネットワーク障害等により DNS の名前解決ができない状況の時は「しない」を選択してください。
・リンクレベルヘッダ
リンクレベルヘッダの表示を省略したい時には「表示しない」を選択します。
・ASCII 表示
16 進数表示に加え、ASCII 文字に変換した値も表示したい時には「表示する」を選択します。
・詳細表示
パケットの内容をより詳細に表示したい場合に「する」を選択します。TTL やサービスの種類などが出力されるようになります。

○プロトコルキャプチャするプロトコルを選択します。
「ANY」
、
「TCP」
、
「UDP」
、
「ICMP」の中から選択します。 各項目を入力後「実行」ボタンを押すと、キャプチャを開始します。
○ポート
キャプチャするポートを指定します。
・ファイル
プロトコルが「ICMP」の場合はポートの指定はでき 出力結果をファイルに保存したい場合に選択してません。
「実行」ボタンを押します。
複数ポートを指定したい場合には空白文字で区切って複数の数字を入力します。
空欄にした場合には全てのポートが対象となります。

190

第 9 章 運用機能

Ⅲ．ネットワークテスト■パケットキャプチャ「取得」をクリックすると出力結果を pcap 形式で保存することができます。取得後のファイルは、「ethereal」などのアプリケーションで表示させることができます。
「再読込」をクリックするとキャプチャ数を更新することができます。

191

第 9 章 運用機能

Ⅲ．ネットワークテスト
4. 名前解決確認
ネットワークテストをおこないます。
名前解決が正しくおこなわれるかを確認します。

DNS の正引きをおこないたい時○引き方
正引きを選択します。

運用機能のメニュー「ネットワークテスト」の「名前解決確認」を選択すると次の画面が表示され
ます。

○ホスト
ホスト名(FQDN)を入力します。

■名前解決確認

入力後に「実行」ボタンを押します。
名前解決に成功すれば、入力された FQDN に一致す
る IP アドレスが表示されます。

DNS の逆引きをおこないたい時○引き方
逆引きを選択します。
○ホスト
IP アドレスを入力します。
入力後に「実行」ボタンを押します。
名前解決に成功すれば、入力された IP アドレスに一致するホスト名が表示されます。

192

第 9 章 運用機能

Ⅳ．システム情報
システム情報○デフォルトゲートウェイ
デフォルトルート情報です。

本装置の機器情報を表示します。
運用機能のメニュー「システム情報」の「システム情報」を選択すると次の画面が表示されます。

○スタティックルート
直接接続、スタティックルートに関するルーティン
グ情報です。

■情報表示< 親子連携無効時 >○ネイバー
ARP テーブルの情報です。
○フィルタ
パケットフィルタに関する情報です。

< 親子連携有効時 >○電源 (RA‑1200 のみ)電源の状態を表示します。
OK
電源が正しい状態
Warning 電源が正しくない状態< 親子連携無効時 >○二重化
二重化の状態を表示します。
Unsetting 二重化設定をしていない
OK
二重化に成功しているNG
二重化に失敗している

表示欄に以下の内容について表示されます。
○ファームウェアバージョン
本装置の現在のファームウェアバージョンを表示します。
○シリアル番号
本装置のシリアル番号を表示します。
○ IP アドレス
各インタフェースの IP アドレスや MAC アドレスなどです。
○送受信カウンタ
各インタフェースの通過パケット数等を表示します。
○リンク
各インタフェースのリンク状態を表示します。

○設定情報の同期
設定情報の同期の状態を表示します。
Unsetting 設定情報の同期設定をしていない
OK
設定情報の同期に成功しているNG
設定情報の同期に失敗している< 親子連携有効時 >○二重化・設定情報の同期
同期コンフィグ、同期装置毎に、二重化・設定情報の同期の状態を表示します。
Unsetting コンフィグが未設定
or 対向装置の設定が 1 件もないOK
二重化に成功しているOK 設定情報の同期に成功しているNG
二重化に失敗している
NG 設定情報の同期に失敗している「再表示」ボタンを押すと最新の情報に更新します。

193

第 9 章 運用機能

Ⅴ．サポート情報
サポート情報本装置のサポート情報を表示します。
運用機能のメニュー「サポート情報」の「サポート情報」を選択すると製品サポートに関する情報が表示されます。
■サポート情報194

第 10 章
第 10 章 ユーザ管理者メニュー

第 10 章 ユーザ管理者メニュー

画面構成
ユーザ管理者 のユーザ名とパスワードを用いてログインした場合、以下に示す初期画面が最初に表示されます。

本装置管理者のユーザ名でログインした場合には全ての設定メニュー項目が利用できますが、ユー
ザ管理者のユーザ名でログインした場合には、使えるメニューはユーザ設定に必要なメニューのみとなります。

運用機能
ユーザ情報
ログイン情報ＡＤユーザ情報
ログ情報
認証ログ
アカウンティングログ
ネットワークテスト
到達性確認
ルート確認
パケットキャプチャ
名前解決確認システム情報システム情報サポート情報サポート情報ユーザ管理者でログインした場合のメニュー階層を以下に示します。

設定ウィザード
ユーザ登録

RADIUS
プロファイル
ユーザプロファイル
ユーザ基本情報
認証アトリビュート
応答アトリビュート
グループ ID
証明書
ユーザ
ユーザ
AD ユーザLDAP ユーザ
ファイル読み込み
ユーザ検索
CA
CA/CRL

各メニュー項目の設定方法、設定内容については第5 章〜第 9 章を参照してください。
なお、同じメニュー項目でも以下のメニューについては本装置管理者とは利用できる操作が異なります。
◆「CA」‑「CA/CRL」メニュー
CA 証明書の参照はできますが、作成、削除はできません。
◆「管理機能」‑「システム」‑「管理者」メニュー
ユーザ管理者自身のパスワードの変更のみおこなえます。
◆「設定ウィザード」‑「ユーザ登録」ウィザード
設定の保存はおこなえません。

管理機能
システム
管理者

196

第 11 章
第 11 章 ユーザメニュー

第 11 章 ユーザメニュー

Ⅰ．ログインRADIUS メニュー「ユーザ」で設定されたユーザは、 一度管理者でログイン済みの場合などで、ユーザ
Web ブラウザから本装置にアクセスして、自身のパを切り替えたい場合は、一度ブラウザを終了させスワード変更、および自分に対して発行された証てから、再度ブラウザを起動してください。
明書の取得をすることができます。
ユーザ ID、パスワードが正しければ次の画面が表管理者としてログインする場合同様、ブラウザの示されます。
アドレス欄に以下の URL を入力します。

http://192.168.0.254/
上記 URL は HTTP(ポート 80)でアクセスする場合のEther0 ポートの工場出荷時のアドレスを使う場合の例です。
アドレスを変更した場合は、そのアドレスを指定
してください。
HTTPS(ポート 443)でアクセスする場合は、ブラウザのアドレス欄に以下の URL を入力してください。

メニュー「CA/CRL」は CA が設定されている場合に表示されます。
メニュー「証明書」はユーザに対して証明書が発行されている場合にのみ表示されます。

https://192.168.0.254/
次節からは各メニューについて説明します。
認証ダイアログ画面が表示されますので、RADIUS
メニュー「ユーザ」で設定されたユーザ ID とパス
ワードを指定します。

198

第 11 章 ユーザメニュー

Ⅱ．パスワード
パスワード
メニュー「パスワード」を選択すると、次の画面が表示されます。
■ユーザ変更○パスワード
新しいパスワードを入力します。
パスワードは最大20文字まで入力する事が可能です。
使用可能な文字は、英数字および以下の記号と空白文字になります。
!"#$%&'()*+‑./<=>?@[]^̲̀{￨} ,:;¥
「設定」ボタンを押すとパスワードが変更されます。
次回のログインからは、新しく設定したパスワードを使ってログインしてください。

199

第 11 章 ユーザメニュー

Ⅲ．CA/CRL
CA/CRL
メニュー「CA/CRL」を選択すると、次の画面が表示されます。
■ CA 証明書○ CA/ 失効リストの表示
画面上部にある「CA」/「失効リスト」の選択ボタンを選んで「表示」ボタンを押すと、CA の内容または失効リストの内容が表示されます。
■ CA 証明書の取得
CA 証明書欄で「取り出し」ボタンをクリックする
ことにより CA 証明書を取り出すことができます。
この際、取り出す形式を PEM または DER から選択することができます。
■ 失効リストの取得
失効リストの取得欄で「取り出し」ボタンをクリッ
クすることにより CRL を取り出すことができます。
この際、取り出す形式を PEM または DER から選択することができます。

200

第 11 章 ユーザメニュー

Ⅳ．証明書
証明書
ユーザに対して証明書が発行されている場合に表示されるメニュー「証明書」を選択すると、ユー
ザの全ての証明書が一覧表示されます。
■証明書

「S/N」
（シリアルナンバ）をクリックすることでその証明書の詳細内容が表示されます。

■証明書
欄には証明書の内容が表示されます。

■証明書の取得
ユーザ証明書をダウンロードすることができます。
取り出す形式と内容を指定して「取り出し」ボタ
ンを押します。
○形式「PKCS#12」、「PEM」、「DER」から一つ選択します。
○内容「CA 証明書・証明書・私有鍵」、「証明書・私有鍵」、「証明書」、「私有鍵」から一つ選択します。
※ PKCS#12 を選択した場合証明書と私有鍵のどちらか一方のみは選択できません。
※ PEM，DER を選択した場合証明書と私有鍵を同時に取り出すことはできません。それぞれ別々に取り出してください。
取り出した証明書はユーザの PC に保存して、
RADIUS による認証時に利用するようにします。

■証明書の失効
この証明書が失効されているか否かが表示されます。
(RA ver1.8.0 以降)
失効した証明書は取得できません。

201

第 11 章 ユーザメニュー

Ⅴ．同期可能な設定情報・操作同期可能な設定情報・同期可能な設定情報・操作同期可能な設定情報・同期構成時に、同期可能な設定情報・操作は下記の表のとおりです。
同期処理

設定項目

同期する

パスワード変更

同期しない

証明書の取得202

第 12 章
第 12 章 一般ユーザによる PC の設定

第 12 章 一般ユーザによる PC の設定

Ⅰ . 設定例(EAP‑TLS)
設定例(EAP‑TLS)
本装置を使って実際に認証処理をおこなう場合には、RADIUS クライアントである、NAS や無線 LAN
アクセスポイントの設定および、認証を受ける PCの設定が必要になります。

鍵」を選択した場合で説明します。
「取り出し」ボタンをクリックすると、証明書のダ
ウンロードが開始されます。
ダウンロードしたファイルをアプリケーションで開くか保存するかを確認する画面が表示されるので、「開く」をクリックします。

ここでは EAP‑TLS で認証をおこなう場合に必要なPC の設定について設定例を記述します。
なお、実際の設定にあたっては各ハードウェア、
ソフトウェアに付属するマニュアルを参照してください。
本設定例では、サプリカントとして WindowsXP に標準で含まれているサプリカントを使用します。

1 証明書のインポート
EAP‑TLS 認証で必要となる、ユーザの証明書をイン
ポートします。
上記確認画面はブラウザによって異なります。
本装置管理者またはユーザ管理者から自分のユー
ザ ID、パスワード、証明書のパスフレーズを入手します。
本装置管理者またはユーザ管理者であれば RADIUSのメニュー「ユーザ」でこれらの情報を確認できます。安全な手段でユーザに伝えるようにしてください。

証明書のインポートウィザードが起動します。
画面の指示に従って証明書をインポートします。
途中パスワードの入力を求められるので管理者から入手したパスフレーズを入力するようにします。
以上でユーザの証明書がインポートされます。

与えられたユーザ ID とパスワードを用いて Web ブ
ラウザから本装置にログインして、自分の証明書
をダウンロードします。

証明書表示画面へのアクセスの仕方についての詳細は「第第 11 章 ユーザメニュー」を参照してください。
各証明書と秘密鍵が必要になるため、ここではPKCS#12 形式で内容に「CA 証明書・証明書・私有204

第 12 章 一般ユーザによる PC の設定

Ⅰ . 設定例(EAP‑TLS)
設定例(EAP‑TLS)

2 EAP‑TLS の設定
EAP‑TLS の設定をします。
コントロールパネルから「ネットワーク接続」をダブルクリックします。
EAP‑TLS 接続を設定したいインタフェースを右クリックして「プロパティ」を選択します。次の画面が表示されます。

「このネットワークで IEEE 802.1X を有効にする」
をチェックします。
「EAP の種類」で「スマートカードまたはその他の証明書」を選択します。
(EAP‑MD5 認証の場合は「MD5‑Challenge」を、EAP‑
PEAP の場合は「保護された EAP(PEAP)」を選択するようにします。なお、サービスパックの適用状
況によっては「MD5‑Challenge」は選択できない場
合があります。
)「プロパティ」ボタンをクリックして、保護された
EAP のプロパティを表示します。
以下の項目がチェックされていることを確認します。
・このコンピュータの証明書を使う
・単純な証明書の選択を使う・サーバーの証明書を有効化する「信頼されたルート証明機関」で、インポートした
証明書を発行した CA の名前を選択します。

認証タブを選択します。

以上で設定は終了です。
EAP‑TLS 認証を必要とするネットワークにつなぐことで認証がおこなわれ、認証に成功すると通信がおこなえるようになります。

205

第 12 章 一般ユーザによる PC の設定

Ⅱ . 設定例(EAP‑PEAP)
設定例(EAP‑PEAP)
ここでは、EAP‑PEAP で認証をおこなう場合に必要な PC の設定について設定例を記述します。

証明書のインポートウィザードが開始されます。
下の画面で「次へ」をクリックします。

1 CA 証明書のインポート
EAP‑PEAP 認証で必要となる、CA 証明書をインポートします。
あらかじめ取得しておいた CA 証明書をクリックします。
次の画面が表示されるので「開く」をクリックします。
証明書ストアの画面が表示されます。
「証明書の種類に基づいて、自動的に証明書ストアを選択する(U)」を ON にして、「次へ」をクリックします。

「証明書」の画面が表示されます。
「証明書のインストール」をクリックします。

次の画面で「完了」をクリックします。

証明書が正しくインポートされると、次の画面が表示されます。

206

第 12 章 一般ユーザによる PC の設定

Ⅱ . 設定例(EAP‑PEAP)
設定例(EAP‑PEAP)

2 EAP‑PEAP の設定
WindowsXP に標準で含まれているサプリカントを使用して、EAP‑PEAP の設定を行います。
コントロールパネルから「ネットワーク接続」をクリックします。

「IEEE 802.1X を有効にする」をチェックします。
ネットワーク認証方法として「保護された EAP(PEAP)」を選択します。
「設定」ボタンをクリックします。
「保護されたEAP のプロパティ」が表示されます。

EAP‑PEAP 接続を設定したいインタフェースを右クリックして「プロパティ」を選択します。次の画面が表示されます。

「サーバーの証明書を検証する」がチェックされていることを確認します。
認証タブを選択すると、下記の画面が表示されます。

「信頼されたルート証明機関」で、インポートした
証明書を発行した CA の名前を選択します。
「認証方法を選択する」で「セキュリティで保護されたパスワード(EAP‑MSCHAP v2)」を選択します。
「すばやい再接続を有効にする」は、使用する環境に合わせて、ON/OFF を選択してください。
(この例では、ON にしています。
)< 次ページに続く >207

第 12 章 一般ユーザによる PC の設定

Ⅱ . 設定例(EAP‑PEAP)
設定例(EAP‑PEAP)「構成」をクリックすると、EAP MSCHAPv2 のプロパ
ティが表示されます。

EAP‑PEAP 認証を必要とするネットワークに接続すると、下記のポップアップ画面が表示されます。

Windows のログオン名とパスワードを自動的に使う
場合は、チェックボックスを ON にします。
（この例では、OFF にしています。
）
以上で設定は終了です。
ユーザ名とパスワードを入力して、OK をクリックすると認証が行われます。
(ログオンドメインが必要な場合は、ログオンドメ
インも入力します。
)
認証に成功すると通信が行えるようになります。

208

第 12 章 一般ユーザによる PC の設定

Ⅲ . 設定例(EAP‑TTLS)
設定例(EAP‑TTLS)
ここでは、EAP‑TTLS で認証をおこなう場合に必要な PC の設定について設定例を記述します。

1 CA 証明書のインポート
EAP‑TTLS 認証で必要となる、CA 証明書をインポートします。
CA 証明書のインポートについては、「第 12 章 一般
ユーザによる PC の設定」の「Ⅱ . 設定例(EAP‑
PEAP)」を参照してください。

2 EAP‑TTLS の設定
Windows 標準のサプリカントは、EAP‑TTLS に対応
していないため、設定例は記載しません。

209

第 13 章
第 13 章 復旧操作

第 13 章 復旧操作

Init(INIT)
スイッチの操作
Init(INIT)スイッチの操作
RA‑1200・RA‑1100・RA‑730 の前面にある「Init スイッチ」、RA‑630 の背面にある「INIT ボタン」を使用
して、工場出荷設定に戻す
工場出荷設定に戻すことができます。
工場出荷設定に戻す
RA‑1200
1 本装置が停止状態になっていることを確認します。
2 本体前面にある「Init スイッチ」を押します。
3 「Init スイッチ」を押したままの状態で、「Power スイッチ」をオンにします。
4 「Init スイッチ」を約 3 秒間押し続けると「Init LED」が点灯します。
5 「Init スイッチ」を放します。
6 本装置が工場出荷設定で起動します。
起動が完了すると、「Status1 LED」が点灯(●)し、「Init LED」は消灯(●)します。
RA‑1100
1 本装置が停止状態になっていることを確認します。
2 本体前面にある「Init スイッチ」を押します。
3 「Init スイッチ」を押したままの状態で、「Power スイッチ」をオンにします。
本体前面にある「Init Status LED」が点灯(●)します。
「Init スイッチ」は押したままにしておきます。
4 本体前面の「System status LED」が消灯(●)したら「Init スイッチ」を放します。
本装置が工場出荷設定で起動します。
5 本装置の起動が完了すると「System status LED」が点灯(●)し、「Init Status LED」は消灯(●)します。
RA‑730「Init スイッチ」を押したまま電源切断→電源投入し、電源投入後 20 秒ほど「Init スイッチ」を押し続けると、設定が消去され、工場出荷時設定に戻ります。
「Status LED 3」が点灯(●)していることを確認してください。
RA‑630「INIT ボタン」を押したまま電源切断→電源投入し、電源投入後も 5 秒ほど「INIT ボタン」を押しつづけると、設定が消去され、工場出荷時設定に戻ります。

211

付録 A
付録 A 最大数一覧

付録 A

最大数一覧
RA の最大設定数を下記の表に示します。
階層1

階層2

RA‑730RA‑630

10

10

10

100

100

10

10

アドレスプール毎の
アドレス数

2,000

2,000

2,000

2,000

クライアントクライアント

1,000

1,000

250

250

LDAP

L D A P サーバ

10

10

10

10

ユーザプロファイルユーザプロファイル

1 00

100

20

20

ユーザ基本情報

ユーザ基本情報
プロファイル

100

100

20

20

認証アトリビュート

認証プロファイル

20

20

20

20

応答アトリビュート

応答プロファイル

20

20

20

20

グループI D

グループI D プロファイル

50

50

50

50

証明書プロファイル

証明書プロファイル

20

20

20

20

ユーザ

ユーザ

ユーザ

50,00050,000

2,000

2,000

証明書

‑

証明書

10,00010,000

2,000

2,000

サーバ

RADIUS
プロファイ
ル

CA

階層3

項目

RA‑1200 RA‑1100

アトリビュート

ベンダ

10

アドレスプール
アドレスプール

RA で記録できるログの数の上限を下記の表に示します (ver 1.8.9 現在)。

RA‑1200/RA‑1100

RA‑730/RA‑630

認証ログ

100,000

40,000

アカウンティングログ

100,000

40,000

システムログ

10,00010,000213

付録 B
付録 B サポートについて

214

付録 B

サポートについて◆本製品に関してのサポートは、ユーザー登録をされたお客様に限らせていただきます。必ずユーザー登録していただきますよう、お願いいたします。
◆サポートに関する技術的なお問い合わせやご質問は、下記へご連絡ください。
・サポートデスク
電話 0422‑37‑8926
受付時間 10:00 〜 17:00 (土日祝祭日、及び弊社の定める休日を除きます)
・FAX 0422‑55‑3373
・e‑mail support@centurysys.co.jp
・ホームページ http://www.centurysys.co.jp/◆故障と思われる場合は製品の不良や故障と思われる場合でも、必ず事前に弊社までご連絡ください。事前のご連絡な
しに弊社までご送付いただきましてもサポートをお受けすることはできません。
◆ご連絡をいただく前にスムーズなユーザーサポートをご提供するために、サポートデスクにご連絡いただく場合は以下の内容をお知らせいただきますよう、お願いいたします。
・ファームウェアのバージョンと MAC アドレス
(バージョンは運用機能の「システム情報」メニューで確認できます。
)
・ネットワークの構成(図)どのようなネットワークで運用されているか、差し支えのない範囲でお知らせください。
・不具合の内容または、不具合の再現手順何をしたときにどういう問題が発生するのか、できるだけ具体的にお知らせください。
・エラーメッセージ
エラーメッセージが表示されている場合は、できるだけ正確にお知らせください。
・本装置の設定内容
可能であれば、「設定のバックアップファイル」をお送りください。
・可能であれば、◆サポート情報
弊社ホームページにて、製品の最新ファームウェア、マニュアル、製品情報を掲載しています。また製品の FAQ も掲載しておりますので、是非ご覧ください。
RA‑1200 製品サポートページ
http://www.centurysys.co.jp/support/RA1200.html
RA‑1100 製品サポートページ
http://www.centurysys.co.jp/support/RA1100.html
RA‑730 製品サポートページ
http://www.centurysys.co.jp/support/RA730.html
RA‑630 製品サポートページ
http://www.centurysys.co.jp/support/RA630.html◆製品の保証について
本製品の保証期間は、お買い上げ日より 1 年間です。保証期間をすぎたもの、保証書に販売店
印のないもの(弊社より直接販売したものは除く)、また保証の範囲外の故障については有償修
理となりますのでご了承ください。保証規定については、同梱の保証書をご覧ください。

215

付録 C
付録 C ユーザ設定情報のファイルフォーマット

付録 C

ユーザ設定情報のファイルフォーマットRADIUS メニューの「ユーザ」‑「ファイル読み込
み」では、あらかじめ設定ファイルを用意して読み込ませることで大量のユーザをまとめて設定することができます。ここではこの機能を使ってユーザを作成するためのユーザ設定情報のファイルの形式について説明します。

サンプル設定ファイル[RADIUS￨ プロファイル ￨ 基本]
create basic
config̲id=config01
profile̲name=base01
auth̲type=2
simul̲conn̲count=ipaddress̲allocate=0
addrpool=

ユーザ設定情報のファイルの形式は、管理機能メ
ニューの[システム]‑[設定の保存・復帰」で作成される設定保存ファイルに準じたファイルフォー
マットになっています。

[RADIUS￨ プロファイル ￨ ユーザプロファイル]
create userprofile
config̲id=config01
profile̲name=prof01
base=base01
auth=
cert=
resp=
group=

利用可能な文字コードは、「EUC‑JP」または「Shift̲JIS」です。

[RADIUS￨ ユーザ]create user
config̲id=config01
user̲id=user01
password=pass01
profile=prof01
ipaddress=
netmask=
notes=
create user
config̲id=config01
user̲id=user02
password=pass02
profile=prof01
ipaddress=
netmask=
notes=

このサンプル設定ファイルでは、ユーザ基本情報
プロファイル base01 とユーザプロファイル
prof01 を作った上で、 prof01 をプロファイ
ルに指定したユーザ user01 および user02を作成する例になります。
なお、同期コンフィグ名として、config01 を設定しています(config̲id=config01)が、親子連携が無効の場合は、config̲id 行は省略できます。

217

付録 C

ユーザ設定情報のファイルフォーマット
ユーザ設定情報は以下のセクションに分けて定義します。
・[RADIUS￨ プロファイル ￨ 基本]
ユーザ基本情報プロファイルの設定
・[RADIUS￨ プロファイル ￨ 認証プロファイル]
認証アトリビュートプロファイルの設定
・[RADIUS￨ プロファイル ￨ 認証アトリビュート]
認証アトリビュートの設定
・[RADIUS￨ プロファイル ￨ 応答プロファイル]
応答アトリビュートプロファイルの設定
・[RADIUS￨ プロファイル ￨ 応答アトリビュート]
応答アトリビュートの設定

作成するデータが無いセクションについてはセク
ションのタイトルを記述する必要はありません。
また、同じセクションで複数のデータを作成した
い時には、先ほどのサンプルの user01 およびuser02 の様にセクションタイトルの下に空白行で区切った複数の作成データを書くようにします。
ファイルの最後は改行コードで終わっている必要があります。
(RA ver1.7.6 以降)[RADIUS￨ ユーザ ￨ 証明書発行]は他のセクションと同時に記述することが出来ません。
各セクション内の記述の仕方について、以下順に説明します。

・[RADIUS￨ プロファイル ￨ グループ ID]
グループ ID プロファイルの設定
・[RADIUS￨ プロファイル ￨ 証明書]
証明書プロファイルの設定
・[RADIUS￨ プロファイル ￨ ユーザプロファイル]ユーザプロファイルの設定
・[RADIUS￨ ユーザ]
ユーザの設定・[RADIUS￨ ユーザ ￨ 基本]
ユーザ個別設定(基本情報)
・[RADIUS￨ ユーザ ￨ 認証アトリビュート]
ユーザ個別設定(認証アトリビュート)
・[RADIUS￨ ユーザ ￨ 応答アトリビュート]
ユーザ個別設定(応答アトリビュート)
・[RADIUS￨ ユーザ ￨ 証明書発行]
ユーザ証明書の設定

218

付録 C

ユーザ設定情報のファイルフォーマット
○[RADIUS￨ プロファイル ￨ 基本]
ユーザ基本情報プロファイルについて記述します。

○[RADIUS￨ プロファイル ￨ 認証プロファイル]
認証アトリビュートプロファイルについて記述し
ます。

設定例
設定例
[RADIUS￨ プロファイル ￨ 基本]
create basic
config̲id=config01
profile̲name=base01
auth̲type=2
simul̲conn̲count=3
ipaddress̲allocate=2
addrpool=pool01

データの先頭は create basic という行になります。以降の設定行と設定画面上の項目との対応は以下となります。
config̲id
profile̲nameauth̲type同期コンフィグ名
プロファイル名
認証方式
0 PAP/CHAP
1 EAP‑MD5
2 EAP‑TLS
3 EAP‑PEAP
4 EAP‑TTLS/PAP,CHAP
7 EAP‑TTLS/EAP‑MD5
8 EAP‑TTLS/EAP‑PEAP
simul̲conn̲count
同時接続数
ipaddress̲allocate IP アドレス割り当て
0 未使用
1 RADIUS クライアント
2 アドレスプール
3 固定
addrpool
アドレスプール[RADIUS￨ プロファイル ￨ 認証プロファイル]
create profile
config̲id=config01
profile̲name=auth01

データの先頭は create profile という行になります。以降の設定行と設定画面上の項目との対応は以下となります。
config̲id
profile̲name

同期コンフィグ名
プロファイル名

プロファイル中のアトリビュートは次のセクションで記述します。

○[RADIUS￨ プロファイル ￨ 認証アトリビュート]
認証アトリビュートについて記述します。
設定例[RADIUS￨ プロファイル ￨ 認証アトリビュート]
create attributeconfig̲id=config01
auth=auth01
attribute=Called‑Station‑Idvalue=000000000000

データの先頭は create attribute という行になります。以降の設定行と設定画面上の項目との対応は以下となります。
config̲id
authattribute
value

219

同期コンフィグ名
認証プロファイル名
アトリビュート値付録 C

ユーザ設定情報のファイルフォーマット
○[RADIUS￨ プロファイル ￨ 応答プロファイル]
応答アトリビュートプロファイルについて記述します。

○[RADIUS￨ プロファイル ￨ グループ ID]
グループ ID プロファイルについて記述します。
設定例

設定例[RADIUS￨ プロファイル ￨ グループ ID]
create groupconfig̲id=config01
profile̲name=group01
group̲id=ggg[RADIUS￨ プロファイル ￨ 応答プロファイル]
create profile
config̲id=config01
profile̲name=resp01

データの先頭は create profile という行になります。以降の設定行と設定画面上の項目との対応は以下となります。

データの先頭は create group という行になります。以降の設定行と設定画面上の項目との対応は以下となります。

config̲id
profile̲nameconfig̲id
profile̲namegroup̲id

同期コンフィグ名
プロファイル名

プロファイル中のアトリビュートは次のセクションで記述します。

○[RADIUS￨ プロファイル ￨ 応答アトリビュート]
応答アトリビュートについて記述します。
設定例[RADIUS￨ プロファイル ￨ 応答アトリビュート]
create attributeconfig̲id=config01
resp=resp01
attribute=Reply‑Message
value=aaaaaa

データの先頭は create attribute という行になります。以降の設定行と設定画面上の項目との対応は以下となります。
config̲id
resp
attributevalue

同期コンフィグ名
応答プロファイル名
アトリビュート値220

同期コンフィグ名
プロファイル名グループ ID

付録 C

ユーザ設定情報のファイルフォーマット
○[RADIUS￨ プロファイル ￨ 証明書]
証明書プロファイルについて記述します。
設定例[RADIUS￨ プロファイル ￨ 証明書]
create certconfig̲id=config01
profile̲name=cert01
version=3
key̲length=1024
sign̲algorithm=SHA‑1
subject̲ou=
subject̲o=subject̲l=subject̲s=
subject̲c=JP
not̲before̲year=2006
not̲before̲month=5
not̲before̲day=1
not̲before̲hour=0
not̲before̲min=0
not̲after̲year=2006
not̲after̲month=12
not̲after̲day=31
not̲after̲hour=23
not̲after̲min=59
digitalSignature=on
nonRepudiation=
keyEncipherment=on
dataEncipherment=
keyAgreement=
keyCertSign=
cRLSign=
enciperOnly=
decipherOnly=
ExtendedKeyUsage=clientAuth
CRLDistributionPoints=

データの先頭は create cert という行になります。以降の設定行と設定画面上の項目との対応は以下となります。
config̲id
profile̲nameversionkey̲length

同期コンフィグ名
プロファイル名バージョン: 1 または 3
鍵長:2048, 1024, 512

sign̲algorithm(ver1.8.4 以前)(ver1.8.5 以降)

Signature Algorithm:「SHA‑1」または「MD5」「SHA‑512」、「SHA‑384」、「SHA‑256」、「SHA‑1」、「MD5」のいずれか
subject̲ou
Organizational Unit
subject̲oOrganization
subject̲l
Locality
subject̲sState or Province
subject̲cCountry
not̲before̲year
開始日時 年
not̲before̲month
開始日時 月not̲before̲day
開始日時 日not̲before̲hour
開始日時 時not̲before̲min
開始日時 分not̲after̲year
終了日時 年
not̲after̲month
終了日時 月not̲after̲day
終了日時 日not̲after̲hour
終了日時 時not̲after̲min
終了日時 分digitalSignature
digitalSignature:on または 空文字列
nonRepudiation
nonRepudiation:
on または 空文字列
keyEnciphermen
keyEncipherment:on または 空文字列
dataEncipherment
dataEncipherment:on または 空文字列
keyAgreement
keyAgreement:on または 空文字列
keyCertSign
keyCertSign:
on または 空文字列
cRLSigncRLSign:on または 空文字列
enciperOnly
enciperOnly:on または 空文字列
decipherOnly
decipherOnly:on または 空文字列
ExtendedKeyUsage
ExtendedKeyUsage:
serverAuth,clientAuth,
codeSigning,emailProtection
CRLDistributionPoints CRL Distribution Points

221

付録 C

ユーザ設定情報のファイルフォーマット
○[RADIUS￨ プロファイル ￨ ユーザプロファイル]ユーザプロファイルについて記述します。

○[RADIUS￨ ユーザ]
ユーザについて記述します。

設定例

設定例

[RADIUS￨ プロファイル ￨ ユーザプロファイル]
create userprofile
config̲id=config01
profile̲name=profile01
base=base01
auth=auth01
cert=cert01
resp=group=

データの先頭は create userprofile という行になります。以降の設定行と設定画面上の項目との対応は以下となります。
config̲id
profile̲name
base
auth
resp
group
cert

同期コンフィグ名
プロファイル名
基本情報プロファイル名
認証プロファイル名
応答プロファイル名
グループプロファイル名
証明書プロファイル名[RADIUS￨ ユーザ]create user
config̲id=config01
user̲id=user01
password=pass01
profile=prof01
locked=on￨off
ipaddress=
netmask=
notes=

データの先頭は create user という行になります。
以降の設定行と設定画面上の項目との対応は以下となります。
config̲iduser̲id
password
profilelockedipaddress
netmasknotes

222

同期コンフィグ名
ユーザ ID
パスワード
プロファイル名
ロック: on または off(空文字列は off と同義)
IP アドレス
ネットマスク
備考
入力できない文字がある場合、それらの文字は削除されます。
または〓に変換されます。

付録 C

ユーザ設定情報のファイルフォーマット
○[RADIUS￨ ユーザ ￨ 基本]
ユーザ基本情報の個別設定について記述します。

○[RADIUS￨ ユーザ ￨ 認証アトリビュート]
認証アトリビュートの個別設定について記述します。

設定例

設定例

[RADIUS￨ ユーザ ￨ 基本][RADIUS￨ ユーザ ￨ 認証アトリビュート]

create baseuser=user01
config̲id=config01
user̲profile=profile01
auth̲type=2
simul̲conn̲count=3
ipaddress̲allocate=2
addrpool=pool01

create authuser=user01
config̲id=config01
user̲profile=profile01
attribute=Calling‑Station‑Idvalue=000000000000
mode=override

データの先頭は create base という行になります。
以降の設定行と設定画面上の項目との対応は以下と
なります。
user
個別設定をおこなうユーザ名。
グループ ID が指定されている
場合、グループ名も含めて指定してください。

データの先頭は create auth という行になります。
以降の設定行と設定画面上の項目との対応は以下と
なります。
user

個別設定をおこなうユーザ名。
グループ ID が指定されている
場合、グループ名も含めて指定してください。

config̲id

同期コンフィグ名

config̲id

同期コンフィグ名user̲profile

ユーザプロファイル名
このユーザに割り当てられているユーザプロファイルを指定してください。

user̲profile

ユーザプロファイル名
このユーザに割り当てられているユーザプロファイルを指定してください。

auth̲type

認証方式
0 PAP/CHAP
1 EAP‑MD5
2 EAP‑TLS
3 EAP‑PEAP
4 EAP‑TTLS/PAP,CHAP
7 EAP‑TTLS/EAP‑MD5
8 EAP‑TTLS/EAP‑PEAP

attribute

アトリビュート

value

値

mode

動作モード
override
removesimul̲conn̲count

同時接続数

ipaddress̲allocate IP アドレス割り当て
0 未使用
1 RADIUS クライアント
2 アドレスプール
3 固定
addrpool

アドレスプール

223

上書き
削除

付録 C

ユーザ設定情報のファイルフォーマット
○[RADIUS￨ ユーザ ￨ 証明書発行]
ユーザ証明書を新規発行するための情報を記述します。

○[RADIUS￨ ユーザ ￨ 応答アトリビュート]
応答アトリビュートについて記述します。
設定例(RA ver1.7.6 以降)[RADIUS￨ ユーザ ￨ 証明書発行]は他のセクションと同時に記述することが出来ません。

[RADIUS￨ ユーザ ￨ 応答アトリビュート]
create respuser=user01
config̲id=config01
user̲profile=profile01
attribute=Session‑Timeout
value=100
mode=append

設定例

データの先頭は create resp という行になります。
以降の設定行と設定画面上の項目との対応は以下と
なります。
user

個別設定をおこなうユーザ名。
グループ ID が指定されている
場合、グループ名も含めて指定してください。

config̲id

同期コンフィグ名user̲profile

ユーザプロファイル名
このユーザに割り当てられているユーザプロファイルを指定してください。

attribute

アトリビュート

value

値

mode

動作モード
override

上書き

appendremove

追加
削除

224[RADIUS￨ ユーザ ￨ 証明書発行]
create certuser=user01
config̲id=config01
passphrase=password
version=3
key̲length=1024
sign̲algorithm=SHA‑1
subject̲email=subject̲cn=user01
subject̲ou=
subject̲o=subject̲l=subject̲s=
subject̲c=JP
not̲before̲year=2006
not̲before̲month=5
not̲before̲day=1
not̲before̲hour=0
not̲before̲min=0
not̲after̲year=2006
not̲after̲month=12
not̲after̲day=31
not̲after̲hour=23
not̲after̲min=59
digitalSignature=on
nonRepudiation=
keyEncipherment=on
dataEncipherment=
keyAgreement=
keyCertSign=
cRLSign=
enciperOnly=
decipherOnly=
ExtendedKeyUsage=clientAuth

付録 C

ユーザ設定情報のファイルフォーマット
CRLDistributionPoints=
csr=‑‑̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲FILE‑‑‑‑‑BEGIN CERTIFICATE REQUEST‑‑‑‑‑MIIBEzCBvgIBADBZMQswCQYDVQQGE...
...
...UB40rpxTVdU7TdMsrzALK6+WxaLrWi‑‑‑‑‑END CERTIFICATE REQUEST‑‑‑‑‑‑‑̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲̲FILE‑‑

終了日時 分digitalSignature:on または 空文字列
nonRepudiation
nonRepudiation:
on または 空文字列
keyEnciphermen
keyEncipherment:on または 空文字列
dataEncipherment
dataEncipherment:on または 空文字列
データの先頭は create cert という行になります。
keyAgreement:以降の設定行と設定画面上の項目との対応は以下と keyAgreementon または 空文字列なります。
keyCertSign
keyCertSign:
on または 空文字列
user
ユーザ名。グループ ID が指定
cRLSigncRLSign:されている場合、グループ名
on または 空文字列も含めて指定してください。
enciperOnly
enciperOnly:
config̲id
同期コンフィグ名
on または 空文字列
passphrase
パスフレーズdecipherOnly
decipherOnly:
versionバージョン: 1 または 3on または 空文字列
key̲length
鍵長:2048, 1024, 512
ExtendedKeyUsage
ExtendedKeyUsage:
sign̲algorithm
Signature Algorithm:
serverAuth,(ver1.8.4 以前)「SHA‑1」または「MD5」clientAuth,(ver1.8.4 以降)「SHA‑512」、「SHA‑384」、
codeSigning,「SHA‑256」、「SHA‑1」、emailProtection「MD5」のいずれか
CRLDistributionPoints CRL Distribution Points
subject̲email
email
csr
証明書署名要求(※※)
subject̲cn
Common Name。ユーザ名を指定して下さい。
※ユーザファイル読み込み機能の独自機能として、グループ ID が指定されている場合、グループ名も含めて 証明書署名要求(Certificate Signing Request)を使った証明書発行ができます。証明書署名要求を指定してください。
使う場合には csr 行に PKCS#10 (BASE64 encoded)
subject̲ou
Organizational Unit
形式の証明書署名要求データを指定するようにしsubject̲oOrganization
ます。設定画面から証明書を発行する場合と同様
subject̲l
Localityに、本装置上で鍵生成をおこなう場合には csr 行
subject̲sState or Province
は空文字列にします。
subject̲cCountry
not̲before̲year
not̲before̲monthnot̲before̲day
not̲before̲hournot̲before̲minnot̲after̲year
not̲after̲monthnot̲after̲day
not̲after̲hour

開始日時 年
開始日時 月
開始日時 日
開始日時 時
開始日時 分
終了日時 年
終了日時 月終了日時 日
終了日時 時not̲after̲min
digitalSignature

証明書発行セクションのユーザ ID、バージョン、
鍵長、Signature Algorithm、Common Name、終了
日時の各項目は空欄には出来ません。空欄にした項目に対して証明書プロファイルでデータが設定されている場合には、証明書プロファイルのデータを使って証明書を作成します。パスフレーズを空欄にした場合は、ユーザに設定されているパス
ワードが使用されます。

225

付録 D
付録 D 用語説明

付録 D

用語説明
[Acct‑Authentic]
アカウンティング記録用の RADIUS のアトリビュート。
ユーザーがどのように認証されたか、Radius によるのか、NAS 自身でか、他の認証プロトコルでかを示すためにアカウンティング要求に含められます。

[Acct‑Status‑Type]アカウンティング記録用の RADIUS のアトリビュート。
アカウンティング要求がユーザサービスの開始または終了のどちらによるものかを示します。

[Acct‑Delay‑Time]
アカウンティング記録用の RADIUS のアトリビュート。
RADIUS クライアントが今まで何秒間このレコードを送ろうとしていたか示します。サーバへの到着時刻から引くことでこのアカウンティング要求が生成されたおよその時間がわかります。
[Acct‑Input‑Octets]
アカウンティング記録用の RADIUS のアトリビュート。
このサービスが提供されているポートで何オクテット受
信したかを示すもので、Acct‑ Status‑Type が Stop のア
カウンティング要求レコードでだけ存在しています。
[Acct‑Input‑Packets]
アカウンティング記録用の RADIUS のアトリビュート。
このサービスが提供されているポートで何パケット受信したかを示すもので、Acct‑ Status‑Type が Stop のアカ
ウンティング要求レコードでだけ存在しています。
[Acct‑Output‑Octets]
アカウンティング記録用の RADIUS のアトリビュート。
このサービスが提供されているポートで何オクテット送
信したかを示すもので、Acct‑Status‑Type が Stop のア
カウンティング要求レコードでだけ存在しています。

[Acct‑Terminate‑Cause]
アカウンティング記録用の RADIUS のアトリビュート。
どのようにセッションが終了したかを示すもので、
Acct‑Status‑Type が Stop のアカウンティング要求レ
コードにだけ存在します。
[CA]
電子的な身分証明書を発行し、管理する機関。
証明書所有者の鍵ペア（私有鍵と公開鍵）に対して公開
鍵証明書を発行します。
[Called‑Station‑Id]
認証要求時に NAS から RADIUS サーバに送られるアトリ
ビュートの一つで、ユーザがダイアルした電話番号などが入れられます。802.1X 使用時には MAC アドレスが通常入れられます。
[Calling‑Station‑Id]
認証要求時に NAS から RADIUS サーバに送られるアトリ
ビュートの一つで、電話をかけた側の電話番号などが入れられます。802.1X 使用時には MAC アドレスが通常入れられます。
[CA 証明書]CA 自身の公開鍵証明書。CA 証明書に含まれる CA の公開鍵を使って、他の証明書の電子署名を検証することで、その証明書が正当なものであるかを検証することができます。

[Acct‑Output‑Packets]
アカウンティング記録用の RADIUS のアトリビュート。
このサービスが提供されているポートで何パケット送信
したかを示すもので、Acct‑Status‑Type が Stop のアカ
ウンティング要求レコードでだけ存在しています。

[CHAP]
PPP などにおけるチャレンジ・レスポンス方式を利用したユーザー認証方法。PAP に比べて、ユーザー名やパス
ワード情報をそのまま流さないので、安全性が高くなります。

[Acct‑Session‑Id]
アカウンティング記録用の RADIUS のアトリビュート。
ユニークなアカウンティング ID で、ログファイル中のスタートとストップの対応をとる事を容易にします。あるセッションの開始レコードと停止レコードは同じ
Acct‑Session‑Id で記録されます。

[client IP address]
アカウンティングログに記録する項目。
RADIUS クライアントの IP アドレスが記録されます。

[Acct‑Session‑Time]
アカウンティング記録用の RADIUS のアトリビュート。
ユーザーが何秒間サービスを受けたか示します。Acct‑
Status‑Type が Stop に設定されているアカウンティング
要求レコードにだけ存在します。

[clientAuth]
X.509 v3 証明書の拡張情報に含まれ、本証明書がクライアント認証（SSL/TLS による認証時にサーバ側がクライアントを認証する）に利用できることを表していま
す。

227

付録 D

用語説明
[codeSigning]
X.509 v3 証明書の拡張情報に含まれ、本証明書がコー
ド署名に利用できることを表しています。

[Distinguished Name]
ITU‑T X.500 で定義されている、オブジェクトを一意に表現する識別子。

[Common Name]
X.509 証明書が証明する対象である Subject の一部。
ユーザ名、サーバ名等を記述します。

[EAP]
リモートアクセスによるユーザー認証の際に用いられるプロトコルで、PPP を拡張し、追加的な認証方法をサ
ポートします。
EAP‑TLS、EAP‑TTLS、EAP‑PEAP など、さまざまな方式があります。

[Country]
X.509 証明書が証明する対象である Subject の一部。
国名を記述します。日本であれば "JP" になります。

[EAP‑MD5]
EAP フレームワーク上で CHAP 認証をおこなう認証方式。

[CRL]
さまざまな理由により有効期間内に失効した証明書のリスト。
→ 証明書、失効[CRL Distribution Points]
CRL を配布する場所。URI(http://... 等)で指定します。
→ CRL[cRLSign]
X.509 v3 証明書の拡張情報に含まれ、本証明書が失効
リストの署名の検証に利用できることを表しています。

[EAP‑PEAP]
EAP‑TTLS のコアアーキテクチャをベースにしてシスコシステムズ、マイクロソフト、RSA セキュリティの 3 社
により作成された認証方式。
[EAP‑TLS]
TLS（Transport Layer Security）を用いて、電子証明書による相互認証をおこなう認証方式。

[CSR]→ 証明書署名要求[EAP‑TTLS]
サーバ側は証明書、クライアント側はユーザ名とパスワードを用いる認証方式。
IETF の Proposed Standard。

[dataEncipherment]
X.509 v3 証明書の拡張情報に含まれ、本証明書がデータの暗号化に利用できることを表しています。

[emailProtection]
X.509 v3 証明書の拡張情報に含まれ、電子メールの保護のために利用できることを表しています。

[decipherOnly]
X.509 v3 証明書の拡張情報に含まれ、鍵交換をデータの復号化でのみ利用できることを表しています。
keyAgreement が指定されている場合のみ有効です。

[encipherOnly]
X.509 v3 証明書の拡張情報に含まれ、鍵交換をデータの暗号化でのみ利用できることを表しています。
keyAgreement が指定されている場合のみ有効です。

[DER 形式]
もともとバイナリ形式である証明書をファイル化する
ためのエンコード形式の一種。
Netscape 等で使用されています。

[Extended Key Usage]
KeyUsage より詳細に、証明書に含まれている公開鍵の使用目的を示します。

[DF フラグ]
このフラグを立てると IP パケットが配送途中で分割されないことを要求します。

[FQDN]
ホスト名等を指定するときに、ドメイン名を省略せずに、トップレベルからのすべての情報を持つドメイン名を表記したもの。

[digitalSignature]
X.509 v3 証明書の拡張情報に含まれ、デジタル署名の検証に利用できることを表しています。

[Framed‑IP‑Address]
RADIUS のアトリビュートの一つで、ユーザに設定されるべき IP アドレスを表します。

228

付録 D

用語説明
[Framed‑Protocol]
RADIUS のアトリビュートの一つで、PPP のようなフレーム構造を持つプロトコルを表します。

[NAS‑Identifier]
RADIUS のアトリビュートの一つで、Access‑Request を送信した NAS を識別するための文字列（FQDN など）が入れられます。

[HTTPS サーバ証明書]
本装置の管理画面に HTTPS で接続する際に使われるサーバ証明書。

[NAS‑IP‑Address]
RADIUS のアトリビュートの一つで、ユーザー認証を要求する NAS の IP アドレスを表します。Access‑Request
パケットでのみ使用されます。

[Key Usage]
X.509 v3 証明書の拡張情報に含まれるフィールドで、公開鍵の使用目的を示します。

[NAS‑Port]RADIUS のアトリビュートの一つで、NAS の物理ポート
番号を表します。Access‑Request パケットでのみ使用されます。

[keyAgreement]
X.509 v3 証明書の拡張情報に含まれ、鍵交換で利用できることを表しています。
[keyCertSign]
X.509 v3 証明書の拡張情報に含まれ、証明書の署名の検証に利用できることを表しています。

[NAS‑Port‑Type]RADIUS のアトリビュートの一つで、NAS の物理ポート
種別を表します。Access‑Request パケットでのみ使用されます。

[keyEncipherment]
X.509 v3 証明書の拡張情報に含まれ、鍵を送信する場
合に、鍵を暗号化して利用できることを表しています。

[Netscape 拡張 ]ブラウザの一種である Netscape で使用される証明書のタイプを指定します。

[LDAP]
ディレクトリサービスに接続するために使用される通信プロトコルの一種。

[nonRepudiation]
X.509 v3 証明書の拡張情報に含まれ、否認防止を目的としたデジタル署名の検証に利用できることを表しています。

[LDAP サーバ]
ディレクトリサービスを提供するサーバソフトウェア。
[LDAPS]
TLS（Transport Layer Security）のコネクション上でディレクトリサービスとの通信をおこなうプロトコル。

[NTLM ハッシュ]UTF‑16LE でエンコードされたパスワードを、MD4 を用いてハッシュした 16 バイトの値です。
[OCSP]
証明書の有効性を確認するために、CRL を用いる代わりに、OCSP サーバ宛に証明書の状態を問い合わせるプロト
コル。

[Locality]
X.509 証明書が証明する対象である Subject の一部。
市町村名を記述します。

[OCSPSigning]
X.509 v3 証明書の拡張情報に含まれ、CA が発行した証
明書の状態を OCSP レスポンダが返答することを CA 自身が委譲したことを示すために、OCSP レスポンダの証
明書の使用目的に含めます。

[MIB]
SNMP で管理される機器が保持する自機の状態についての情報。MIB‑II が RFC 1213 で規定されています。
[NAS]
ネットワークアクセスサーバ。RADIUSサーバに対してリ
モートユーザの認証やアカウンティングを依頼する装置。
→ RADIUS クライアント[Organization]
X.509 証明書が証明する対象である Subject の一部。
企業名、組織名などを記述します。

229

付録 D

用語説明
[Organizational Unit]
X.509 証明書が証明する対象である Subject の一部。
部署名を記述します。

[Signature algorithm]
証明書への署名に使うアルゴリズム。

[PAP]
PPP で採用されている認証方式の一種。ユーザ ID/ パス
ワードの送信を平文でおこないます。

[SNMP]
TCP/IP ネットワークにおいて、ルータやコンピュータ、端末など、ネットワークに接続された通信機器をネット
ワーク経由で監視・制御するためのプロトコル。

[PEM 形式]
もともとバイナリ形式である証明書をファイル化する
ためのエンコード形式の一種。

[StartTLS]
LDAP 内で TLS（Transport Layer Security）による認証および暗号化をおこなう通信方式。

[RA]
RA‑1200・RA‑1100・RA‑730・RA‑630 のいずれか、または全てを表す。RA‑1200・RA‑1100・RA‑730・RA‑630 に共通する機能等を説明する時に使用する。

[State or Province]
X.509 証明書が証明する対象である Subject の一部。
都道府県名などを記述します。

[RADIUS]
ダイヤルアップユーザの認証システム。現在はダイヤ
ルアップ以外の認証やアカウンティングにも広く利用されています。詳細は RFC2865、RFC2866 等を参照してく
ださい。
[RADIUS クライアント]
RADIUS サーバに対してリモートユーザの認証やアカウ
ンティングを依頼する機器。
無線 LAN アクセスポイント、認証スイッチ、NAS(Network Access Server)などがあります。

[timestamp(epoc time)]
アカウンティングログに記録する項目。
パケットを受信した時刻を表します。1970/01/01 00:
00:00 からの経過秒数です。
[timestamp(yyyy‑mm‑dd hh:mm:ss)]
アカウンティングログに記録する項目。
パケットを受信した時刻を表します。「2004 年 10 月 31
日 19 時 05 分 20 秒」であれば、"2004‑10‑31 19:05:20"のフォーマットで記録します。

[RADIUS サーバ証明書]
本装置のサーバ証明書。EAP‑TLS 認証等で本装置の正当性を示すために用いられます。
[RADIUS 私有鍵]
RADIUS サーバ証明書の公開鍵に対応した秘密鍵。

[timeStamping]
X.509 v3 証明書の拡張情報に含まれ、タイムスタンプ
サービスが時刻証明に用いる公開鍵を証明するために使用してよい証明書であることを表します。
[User‑Name]RADIUS のアトリビュートの一つで、認証に用いられたユーザ名を表します。

[serverAuth]
X.509 v3 証明書の拡張情報に含まれ、本証明書がサーバ認証（SSL/TLS による認証時にクライアントがサーバを認証する）に使われることを示します。

[VSA]→ ベンダ固有アトリビュート[Service‑Type]RADIUS のアトリビュートの一つで、ユーザが要求する、
またはユーザに提供されるサービスの種類が指定されます。
[Session‑Start‑Time]
ユーザが RADIUS プロトコルによる認証を受けた時刻。

[Subject]X.509 証明書が証明する対象の情報。

[X.509 証明書 v3 拡張]
X.509 証明書のバージョン３で新規に定義された拡張フィールド。
証明書の鍵ペアの使用方法等を定義可能になっています。RFC 3280。

230

付録 D

用語説明
[アカウンティング]
RADIUS の機能の一つで、ログイン時刻や通過パケット数など、ユーザのサービス利用の事実を記録すること。

[グループ ID プロファイル]本装置が使用するプロファイルの一つ。グループ ID に関する設定をあらかじめプロファイルに設定しておくことで、ユーザ登録時の入力を省力化するために用います。

[アカウンティングログ]
RADIUS のアカウンティングに関する情報を記録するロ
グファイル。
[アトリビュート]RADIUS サーバと RADIUS クライアント間で送受信される情報。属性とその値のペアで構成されます。

[コミュニティ名]
SNMP エージェントと通信するために SNMP マネージャ
がパスワードとして使用する名前。 SNMPマネージャの設定に合わせて設定します。

[サーバ証明書][アドレスプール]
サーバマシンに割り当てられる証明書。接続した相手
リモートコンピュータに割り当てる IP アドレスの範囲。 が正しいサーバであるかをユーザが確認するために用いる。
[応答アトリビュート]→ 証明書
認証成功時に RADIUS サーバが RADIUS クライアントに返すアトリビュート。
[最大 TTL]
ルート確認の実行時に指定する、TTL（目的のホストま[応答アトリビュートプロファイル]でのホップ数）の上限値。
本装置が使用するプロファイルの一つ。認証後に NAS へ返すアトリビュートに関する設定をあらかじめプロファ[サプリカント]
イルに設定しておくことで、ユーザ登録時の入力を省力
IEEE802.1X に準拠した認証を実現するために、ユー化するために用います。
ザーの PC 上で認証機能を提供するソフトウェア。
[オブジェクトクラス(LDAP)]
ディレクトリのエントリを定義するための型。

[親、子]
親子連携機能における、MASTER を親、SLAVE を子と呼びます。
[親子連携機能]
1 つの同期システムに、複数の同期コンフィグを含む機能です。
[鍵長]
暗号に用いる鍵の長さ。一般に長い方が安全ですが、その分処理に時間がかかります。
[クライアント]→ RADIUS クライアント[グループ ID]
ユーザ ID を "user@centurysys.co.jp" またはCENTURYSYS¥user のように、所属グループを表わす文字列を付加して指定する場合の、追加文字列。

[シークレット]
RADIUS サーバと RADIUS クライアント間で共通で設定される文字列。RADIUS サーバクライアント間の認証や、ユーザパスワードの一時的な暗号化に用いられる。
[システムログ]
本装置の起動 / 停止など、システム運用に関連したログ[失効]
まだ証明書の有効期間内であるが、私有鍵が他のユーザに漏れたなどの理由により証明書を無効化すること。
[失効日]証明書が失効した日。
[失効リスト更新間隔]
CRL を更新する間隔。
→ CRL[失効理由]
証明書が失効した理由。
→ 失効

231

付録 D

用語説明
[証明書]
公開鍵が本当に持ち主のものだということを証明するためのもの。電子的な身分証明書に相当します。

[同時接続数]RADIUS サーバで同時ログインを許可する数の上限。

[証明書署名要求]
Certificate Signing Request (CSR).
公開鍵に対する証明書を受けるために送られる、電子的な申請書。申請者の公開鍵など証明書発行に必要な情報が含まれており、CA による証明書発行に用いることがで
きます。

[二重化]
RADIUS サーバを２台設置することで、障害対策をおこ
なう構成を取る事。
[認証アトリビュート]
認証時に、パスワードなどの情報の他に認証の可否に利用するアトリビュートを指定します。

[証明書プロファイル]本装置が使用するプロファイルの一つ。ユーザ証明書に関する設定をあらかじめプロファイルに設定しておくことで、ユーザ登録時の入力を省力化するために用います。

[認証アトリビュートプロファイル]本装置が使用するプロファイルの一つ。認証時に確認するアトリビュートに関する設定をあらかじめプロファ
イルに設定しておくことで、ユーザ登録時の入力を省力化するために用います。

[設定ウィザード]
本装置に必要な設定をまとめておこなうための設定ツール。本装置購入後最初に立ち上げた場合に起動する
他、メニューから選択することもできる。

[認証方式]
ユーザ認証の方式。
→ PAP, CHAP, EAP‑MD5, EAP‑TLS, EAP‑PEAP, EAP‑TTLS[認証ログ]
ユーザの認証結果を記録するログファイル。

[装置種別]
同期をおこなう本装置のうち、設定の元となる機器を MASTER、それ以外を SLAVE と呼びます。

[バインド(LDAP)]LDAP プロトコルにおいて、認証をおこなう行為。

[対向装置]
本装置を二重化して使用する際のもう一台のサーバ。

[パスフレーズ]
私有鍵を使用する場合に必要となる秘密の文字列。

[タイプ名 (RADIUS VSA)]RADIUS のベンダ固有アトリビュートを定義する場合のアトリビュート名。

[ファシリティ]
採取するログの分類。

[同期コンフィグ]
同期装置間で共有される設定情報です。1 つの同期
コンフィグは、1 台の MASTER と 1 台の SLAVE で共有されます。
[同期システム]同期コンフィグおよび同期装置によって構成される系です。各同期装置は、ただ 1 つの同期システ
ムに属することができます。
[同期装置]
設定情報の同期機能を用いて設定情報を共有する
本装置を同期装置と呼びます。

[フォーマット (RADIUS VSA)]RADIUS のベンダ固有アトリビュートを定義する場合のデータ型を指定します。text, string, address,
integer, ipv6address があります。
[プロファイル]
同じ属性の設定内容をグループ化して設定するためのもの。テンプレート。
→ ユーザプロファイル、ユーザ基本情報プロファイル、
認証アトリビュートプロファイル、証明書プロファイ
ル、応答アトリビュートプロファイル、グループ ID プ
ロファイル

232

付録 D

用語説明
[ベンダ (RADIUS VSA)]RADIUS のベンダ固有アトリビュートを定義する場合のベンダ情報。

[ユーザ ID]
RADIUS ユーザに対して一意に付けられる識別名。

[ベンダ ID (RADIUS VSA)]RADIUS のベンダ固有アトリビュートを定義する場合のベンダ ID。
[ベンダ固有アトリビュート]
RADIUS プロトコルでアトリビュート番号 26 の値として定義されるアトリビュート。各ベンダにより独自に規定されており、動作はベンダによって異なります。
[ベンダ名 (RADIUS VSA)]RADIUS のベンダ固有アトリビュートを定義する場合のベンダ名。

[ユーザ管理者]
RADIUS ユーザの追加、編集、削除やユーザ証明書の発行、失効のみをおこなう権限をもつ RA‑1200・RA‑1100・
RA‑730・RA‑630 のアカウント。本装置管理者によって作られる。
→ 本装置管理者[ユーザ基本情報]
認証方式、同時接続数、IP アドレスの割り当て方法、
アドレスプールなど RADIUS ユーザに関する属性。
[ユーザ基本情報プロファイル]本装置が使用するプロファイルの一つ。認証方式など、
基本的な情報の設定をあらかじめプロファイルに設定しておくことで、ユーザ登録時の入力を省力化するために用います。

[本装置管理者]
本装置(RA‑1200・RA‑1100・RA‑730・RA‑630)の全ての設定をおこなう権限をもつ RA‑1200・RA‑1100・RA‑730・RA‑630 のアカウント。
→ ユーザ管理者[ユーザ証明書]
ユーザが本人であることを証明する証明書。

[本装置の管理者(SNMP)]
本装置管理者への連絡先。SNMP の管理情報の一つ。
[本装置の設置場所(SNMP)]
本装置の物理的な設置場所。SNMP の管理情報の一つ。
[本装置の説明(SNMP)]
本装置についての説明。ハードウェアの名称、バージョン、OS の情報などを指定する。SNMP の管理情報の一つ。

[ユーザプロファイル]
ユーザに関する共通の設定情報をあらかじめ定義しておくことで、ユーザ登録時の入力を省力化するためのもの。ユーザ基本情報、認証アトリビュート、証明書、応答アトリビュート、グループ ID の各プロファイルからなります。
→ ユーザ基本情報プロファイル、認証アトリビュート
プロファイル、証明書プロファイル、応答アトリビュー
ト、グループ ID プロファイル[本装置の名称(SNMP)]
本装置の管理上の名前。通常 FQDN を指定する。SNMP の
管理情報の一つ。
[有効期間]
証明書の有効期間。
[ユーザ]
RADIUS ユーザ。

233

付録 E
付録 E システムログ一覧

付録 E

システムログ一覧■ログ(1) System,YYYY‑MM‑DD,hh:mm:ss,RADIUS,RADIUS start(2) System,YYYY‑MM‑DD,hh:mm:ss,RADIUS,RADIUS stop(3) System,YYYY‑MM‑DD,hh:mm:ss,RADIUS,RADIUS restart(4) System,YYYY‑MM‑DD,hh:mm:ss,system,peer up: PEER̲DEVICE (A.B.C.D)(5) System,YYYY‑MM‑DD,hh:mm:ss,system,peer down: PEER̲DEVICE (A.B.C.D)(6) System,YYYY‑MM‑DD,hh:mm:ss,system,peer up: A.B.C.D(7) System,YYYY‑MM‑DD,hh:mm:ss,system,peer down: A.B.C.D(8) System,YYYY‑MM‑DD,hh:mm:ss,system,[CFG̲ID:PEER̲DEVICE] invalid request found.
(9) System,YYYY‑MM‑DD,hh:mm:ss,NTP,NTP start(10) System,YYYY‑MM‑DD,hh:mm:ss,NTP,NTP stop(11) System,YYYY‑MM‑DD,hh:mm:ss,NTP,NTP restart(12) System,YYYY‑MM‑DD,hh:mm:ss,SNMP,SNMP start(13) System,YYYY‑MM‑DD,hh:mm:ss,SNMP,SNMP stop(14) System,YYYY‑MM‑DD,hh:mm:ss,SNMP,SNMP restart(15) System,YYYY‑MM‑DD,hh:mm:ss,RADIUS,Ignoring request from unknown client A.B.C.D:E(16) System,YYYY‑MM‑DD,hh:mm:ss,AD Interaction,AD Interaction restartver1.8.3 以降は出力されません。

■ログ内容
(1)
(2)
(3)

GUI を用いて RADIUS サーバが起動された時に出力されます。
GUI を用いて RADIUS サーバが停止された時に出力されます。
GUI を用いて RADIUS サーバが再起動された時、またはシステム起動により RADIUS サーバが起動された時に出力されます。
(4) 設定情報の同期に関して対向装置との接続性が確認された時に出力されます。
(5) 設定情報の同期に関して対向装置との接続性が失われた時に出力されます。
(6) 二重化に関して対向装置との接続性が確認された時に出力されます。
(7) 二重化に関して対向装置との接続性が失われた時に出力されます。
(8) 設定変更の要求が MASTER から SLAVE へ転送された場合に、SLAVE で要求が処理されなかった時にMASTER で出力されます。設定情報の不整合などが原因として考えられます。
(9) GUI を用いて NTP サーバが起動された時に出力されます。
(10) GUI を用いて NTP サーバが停止された時に出力されます。
(11) GUI を用いて NTP サーバが再起動された時に出力されます。
(12) GUI を用いて SNMP サーバが起動された時に出力されます。
(13) GUI を用いて SNMP サーバが停止された時に出力されます。
(14) GUI を用いて SNMP サーバが再起動された時に出力されます。
(15) 未登録の RADIUS クライアントより認証要求があった時に出力されます。
(16) AD 連携機能を利用し、RADIUS サーバが(再)起動された時に出力されます。
ver1.8.3 以降は出力されません。

235

付録 E

システムログ一覧■ログ項目説明
以下の番号は、ログ項番に該当します。
YYYY‑MM‑DD,hh:mm:ss ：日時(4)(5)
PEER̲DEVICE：対向の同期装置名
A.B.C.D：対向の同期装置の IP アドレス(6)(7)
A.B.C.D：対向の装置の IP アドレス
(8)
CFG̲ID：設定情報の同期の CONFIG̲ID
PEER̲DEVICE：対向の同期装置名(15)
A.B.C.D：RADIUS クライアントの IP アドレス
E：RADIUS クライアントの送信元ポート番号

236

付録 F
付録 F 同期
・二重化構成におけるファームウェア更新手順
同期・

付録 F

同期
・二重化構成におけるファームウェア更新手順
同期・二重化構成におけるファームウェアの更新手順を図に示します。この手順はいずれも両機器で同時にサービスが停止しないことを重視しています。まれにログの欠落・重複が発生する可能性があります。
図: 二重化構成におけるファームウェア更新手順
S e c o n d a r y 、P r i m a r y の順にファームウェアを更新

P r i m a r y 、S e c o n d a r y の順にファームウェアを更新

Primary / Master

Secondary / Slave

Primary / Master

Secondary / Slave↓(1 ) R A D I U S サ ー ビ ス 停 止(1 ) R A D I U S サ ー ビ ス 停 止

↓

↓

↓

↓

↓

↓

(2) ファームウェア更新(自動再起動)(2) ファームウェア更新（自動再起動）

↓

↓

↓

↓

↓

(3) ログ同期↓(3') ログ取得

↓

↓

↓

↓

↓

↓

(4) RADIUSサービス開始(4) RADIUSサービス開始

↓

↓

↓

↓

↓

(5) RADIUSサービス停止↓↓(5) RADIUSサービス停止

↓

↓

↓

↓

(6) ファームウェア更新(自動再起動)↓↓(6) ファームウェア更新（自動再起動）

↓

↓

↓

↓

(7) ログ取得↓(7') ログ同期

↓

↓

↓

↓

↓

(8) RADIUSサービス開始↓↓(8) RADIUSサービス開始(1)[RADIUS]−[サーバ]−[起動・停止]より「停止」ボタンを押下し、GUI 画面でサービスが「停止中」になっている事を確認します。
(2) [管理機能]−[システム]−[ファームのアップデート]よりファームウェアを指定して、「実行」ボタンを押下します。
(3)(3 ) 情報表示（[運用機能]−[システム情報]−[システム情報]）の［二重化 / 設定の同期状態］が「ＯＫ」となっている事を確認します。
(3) 「ログ同期」([管理機能]−[システム]−[設定情報の同期])ボタンを押下します。
(3 ) ［ログ取得］([管理機能]−[システム]−[設定情報の同期])ボタンを押下します。
(4) [RADIUS]−[サーバ]−[起動・停止]より「開始」ボタンを押下し、GUI 画面でサービスが「動作中」になっている事を確認します。
(5) [RADIUS]−[サーバ]−[起動・停止]より「停止」ボタンを押下し、GUI 画面でサービスが「停止中」になっている事を確認します。
(6) [管理機能]−[システム]−[ファームのアップデート]よりファームウェアを指定して、「実行」ボタンを押下します。
(7)(7 ) 情報表示（[運用機能]−[システム情報]−[システム情報]）の［二重化 / 設定の同期状態］が「ＯＫ」となっている事を確認します。
(7) ［ログ取得］([管理機能]−[システム]−[設定情報の同期])ボタンを押下します。
(7 ) 「ログ同期」([管理機能]−[システム]−[設定情報の同期])ボタンを押下します。
(8)[RADIUS]−[サーバ]−[起動・停止]より「開始」ボタンを押下し、GUI 画面でサービスが「動作中」になっている事を確認します。
238

付録 F

同期
・二重化構成におけるファームウェア更新手順
同期・■ RA‑1100, RA‑630 1.7.6
RA‑1100, RA‑630 1.7.6(以下、ver1.7.6 と表す)と RA‑1100 ver1.7.4, RA‑630 ver1.7.2 以前のバージョン(以下、旧バージョンと表す)との二重化処理、ログ同期・ログ取得について。
ver1.7.6と旧バージョン間の二重化処理は行えません。
ファームウェア更新時の一時的な二重化処理は可能ですが、一部制限があります。
・ 旧バージョンから ver1.7.6 へのログ等の転送は行えます。
・ ver1.7.6から旧バージョンへのログ等の転送は行えません。
ver1.7.6 と旧バージョンとの間のログ同期・ログ取得は可能です。
なお、1.6.2 以前のバージョンはログ同期・ログ取得は出来ません。

■ RA‑1100, RA‑630 1.8.0
RA‑1100, RA‑630 1.8.0(以下、ver1.8.0 と表す)より前のバージョンから、ver1.8.0 への設定引き継ぎは可能です。
ver1.8.0 と前のバージョン（ver1.7.6 および旧バージョン）間の二重化処理は行えません。
ファームウェア更新時の一時的な二重化処理は可能ですが、一部制限があります。
・ ver1.7.6 および旧バージョンから、ver1.8.0 へのログ等を転送することは出来ます。
・ ver1.8.0 から、ver1.7.6 および旧バージョンへのログ等を転送することは出来ません。
ver1.8.0 と ver1.7.6 および旧バージョン間のログ同期・ログ取得は可能です。ただし、親子連携機能が無効の状態に限ります。
なお、1.6.2 以前のバージョンはログ同期・ログ取得は出来ません。
■ Ver1.8.3 以降のバージョンへのファームウェア更新
Ver1.8.2 以前のバージョンから Ver1.8.3 以降のバージョンへのファームウェア更新において、ログ同期・ログ取得を用いたログ等の引き継ぎに一部制限があります。
グループ ID(GroupID¥UserID)を使用するユーザが存在する環境下などでログ等を引き継いだ場合、下記のような不都合が生じることがあります。
・アカウンティング要求(Stop)を受信しても、ファームウェア更新前にログインしたユーザのログイン
情報が削除されない。
このような環境では、ファームウェア更新時にログの引き継ぎを行わないでください。RADIUS クライア
ントでも、リセット(再起動等)などの操作を行なってください。
ログイン情報が削除されないことがあれば、必要に応じて強制ログアウトなどを行って下さい。

239

付録 G
付録 G 親子連携

付録 G

親子連携
■ 全ての同期コンフィグで共有する設定
次の項目に関しては、同期コンフィグ毎には設定できません。全ての同期コンフィグで設定を共有します。

親子連携機能を設定、使用する上での注意事項をまとめています。
■ 親子連携機能の有効化
親子連携機能の有効・無効は、ユーザが明示的に設定します。親子連携機能を有効にする場合は、「設定情報の同期」を「親子連携」に設定します。

・[RADIUS]‑[サーバ]‑[基本情報]

親に設定する場合の例
・[RADIUS]‑[サーバ]‑[アトリビュート]

子に設定する場合の例
親子連携機能の有効・無効を切り替えるためには、
以下の条件を満たすことが必要です。
・RADIUS サーバが停止していること。
・同期コンフィグが存在しないこと。
・同期コンフィグ毎の設定が存在しないこと。
(「第 8 章 管理機能 II. システム」の「表 . 設定項目一覧」を参照してください。)
・CA・証明書が存在しないこと。
・Active Directory を使用していないこと。
・LDAP を使用していないこと。

・[RADIUS]‑[サーバ]‑[ログ]・[CA]‑[CA/CRL]

・[CA]‑[証明書](ユーザ証明書は除く)

但し、証明書については同期コンフィグ毎の設定も可能です。

241

付録 G

親子連携
■ 子での設定■ 親での設定
親子連携機能が有効の場合、子で設定できるのは、 親子連携機能が有効の場合、設定（「新規追加」
以下の管理機能だけです。
「編集」「削除」等は、全て親で行います。
・[管理機能]‑[ネットワーク]「第 8 章 管理機能 II. システム」の 「表 . 設定項
目一覧」で、「親子連携有効範囲」が「同期コンフィグ毎」の項目については、GUI 画面右上のプ
ルダウンから、同期コンフィグを選択してから設定します。

・[管理機能]‑[システム]‑[管理者]

右上プルダウンから同期コンフィグを選択

親から子（の一部）への reachability がない時でも、親での設定は可能です。
「強制同期」するまで
子には反映されません。

・[管理機能]‑[システム]‑[設定情報の同期]「第 8 章 管理機能 II. システム」の 「表 . 設定項
目一覧」で、「親子連携有効」が●の項目については、子では設定変更ボタン（「新規追加」「編集」「削除」等のボタン）が表示されません。

「新規追加」ボタンが表示されない例

242

付録 G

親子連携
■ CA の数
同期システム全体で CA の数は 1 つです。

■ 「設定情報の同期」による冗長化
親子連携機能が有効の場合、[RADIUS]‑[サーバ]‑[二重化]の設定は無視され、常に同期処理・冗長化(二重化) 処理を実行します。同期したくない時
は同期装置を削除して下さい。

■ CA の削除
CA の削除を行う際は、全ての同期装置の HTTPS
サーバ証明書の設定を「本装置の証明書を使用する」以外の設定に変更してください。
「本装置の証明書を使用する」の状態で CA の削除を行った場合の動作は保証しません。

親子連携機能が有効の場合、[RADIUS]‑[サーバ]‑[二重化]の設定変更は出来ません。設定画面を表示することも出来ません。
■ 設定可能な値
各設定項目について設定可能な値は、同期コン
フィグ毎に独立していません。例えば、ユーザ名
は同期システム全体で一意とします。
RADIUS クライアントの IP アドレスは、同期コンフィグ間での重複は許されません。

■ 証明書
同期コンフィグ毎の証明書(ユーザ証明書以外)を失効した場合は、全同期コンフィグで共有の証明書に変更されます。

■ 設定可能な数
各設定項目について同期コンフィグ毎に設定可能な数は、全て RA‑730・RA‑630 の最大設定数と同じです。ただし、同期システム全体で RA‑1200・RA‑
1100 の最大設定数を超えることは出来ません。
たとえば、RADIUS クライアントは同期コンフィグ毎に最大 250 まで作成可能ですが、同期システム
全体では 1000 を超えることは出来ません。そのため、同期コンフィグの数を 5 とした場合、コンフィグあたりの最大クライアント数は、250 ではな
くて 200 に制限されます。
設定可能な数は「付録 A 最大数一覧」のとおりです。

ユーザ証明書を失効した場合は、同期コンフィグ
毎のままで変更はされません。但し、該当ユーザを削除した場合に、全同期コンフィグで共有の証明書に変更されます。
■ ActiveDirectory
親子連携機能が有効の時に、ActiveDirecotry 連
携機能は使用できません。また、ActiveDirecotry
連携機能を使用中は、親子連携機能を有効にすることは出来ません。
■ LDAP
親子連携機能が有効の状態で、LDAP は使用できません。また、LDAP を使用中は、親子連携機能を有効にすることは出来ません。

243

付録 G

親子連携
■ 強制同期、
設定取得、一括同期
強制同期、設定取得、設定取得、一括同期
親子連携が有効の状態では、設定情報の同期は「強制同期」のみ使用することができます。通常の自動的な同期処理は「即時実行」
・「一括処理」ともに行いません。

■設定情報の同期「同期しない」「同期する」から「親子連携」に変更する場合、または「親子連携」から「同期しない」「同期する」に変更する場合は、RADIUS
サーバが停止している状態で行ってください。

設定情報の同期： 同期する

設定情報の同期： 親子連携

■ 同期コンフィグ
親子連携機能が有効の状態で、同期コンフィグを追加・削除すると、その設定変更は RADIUS サーバに即時反映されます。

○一括同期
親子連携が有効の状態では、使用することはでき
ません。
○強制同期
同期コンフィグ毎に行います。強制同期を行った
場合、指定された同期コンフィグのみ初期化・設定を実施します。各種ログは削除されます。
○設定取得
親子連携が有効の状態では、使用することはできません。

■ 同期装置親子連携機能が有効の状態では、同期装置を追加・削除すると、その設定変更は RADIUS サーバに即時反映されます。

○ログ同期
同期コンフィグ毎に行います。
○ログ取得
同期コンフィグ毎に行います。

同期装置を削除した場合、未転送のメッセージ(ログ、設定情報など) があれば、転送されずに破棄
されます。

244

付録 G

親子連携
■ ユーザファイル読み込み
親子連携機能が有効の状態では、ファイル読み込
みは同期コンフィグ毎に行います。子では、設定画面の表示は出来ません。

■ 同期コンフィグの削除
同期コンフィグに属する設定がある場合、同期コン
フィグ自体の削除は出来ません。

■ ユーザ検索
親で検索を実行する場合■ RADIUS サービスの起動
・再起動
・停止
サービスの起動・
再起動・「指定しない」を選択すると、全ての同期コンフィ
グが検索対象となります。
同期コンフィグを選択すると、選択した同期コンフィグが検索対象となります。

立して動作します。一方を再起動しても他方は再起動

子で検索を実行する場合
その RA が属する同期コンフィグのみが検索対象となります。

親と子の RADIUS サービスの起動・再起動・停止は独しません。

■ 一括ログアウト
一括ログアウトは、同期コンフィグ毎に行います。

245

FutureNet RA シリーズ

ユーザーズガイド Ver1.8.9 対応版 Release2
2012 年 01 月版
発行 センチュリー・システムズ株式会社
Copyright (c) 2005‑2012 Century Systems Co., Ltd. All rights reserved.