RADIUS GUARD®とAXシリーズによる認証連携の相互接続情報と設定ポイント
2013年10月10日
アラクサラネットワークス株式会社
ネットワークテクニカルサポート© ALAXALA Networks Corporation 2013. All rights reserved.

資料No. NTS-13-R-019

Rev. 0はじめに 注意事項
本資料に記載の内容は、弊社が特定の環境において、基本動作や接続動作を確認したものであり、すべての環境で機能・性能・信頼性を保証するものではありません。
 輸出時の注意
AXシリーズに関し、本製品を輸出される場合には、外国為替及び外国貿易法の規制並びに米国輸出管理規制など外国の輸出関連法規をご確認の上、必要な手続きをおとりください。な
お、不明な場合は、弊社担当営業にお問い合わせ下さい。
 商標一覧
アラクサラの名称及びロゴマークは、アラクサラネットワークス株式会社の商標及び登録商標です。
RADIUS GUARDは、SCSK株式会社の登録商標です。
そのほかの記載の会社名，製品名は、それぞれの会社の商標もしくは登録商標です。
 関連資料AXシリーズ 製品マニュアル(http://www.alaxala.com/jp/techinfo/manual/index.html)
AXシリーズ認証ソリューションガイド
(http://www.alaxala.com/jp/techinfo/guide/index.html#01)
RADIUS GUARDについて(http://www.scsk.jp/product/common/radius/)© ALAXALA Networks Corporation 2013. All rights reserved.

2

目次
１. RADIUS GUARDとAXシリーズの連携概要
1.1 概要と結果
1.2 RADIUS GUARDを利用したWeb認証とMAC認証の利便性向上

２. RADIUS GUARDとAXシリーズの認証連携基本評価
2.1 評価構成
2.2 設定条件
2.3 評価項目と使用機器
2.4 評価結果

３． Web認証端末のMACアドレス自動学習連携評価
3.1 評価構成
3.2 設定条件
3.3 評価項目と使用機器
3.4 評価結果

４． AXシリーズ使用時のRADIUS GUARDの設定ポイント
５． RADIUS GUARD連携時のAXシリーズの設定ポイント
5.1 「RADIUS GUARD」によるWeb認証端末のMACアドレス自動登録機能との連携
5.2 「RADIUS GUARD」のユーザ認証時の利用端末制限機能との連携© ALAXALA Networks Corporation 2013. All rights reserved.

3１. RADIUS GUARDとAXシリーズの連携概要
1.1 概要と結果■RADIUS GUARDとAXシリーズの認証連携の特徴
1. RADIUSサーバとしての使用
AXシリーズの全てのネットワーク認証（IEEE802.1X、Web認証、MAC認証）にて、RADIUS GUARDをRADIUSサーバとして使用可能です。
2. WEB認証機能との連携
AXシリーズの認証画面編集機能や、認証前端末の通信許可機能等により、未登録ユーザについてはRADIUS GUARDのアカウント申請画面へ誘導し、RADIUS GUARDの特徴機能であるユーザ自身でのアカウント申請、MACアドレスの申請、ユーザ証明書の発行などの豊富な機能を用いて、システム管理者の負担を軽減させます。
3. MACアドレス自動登録機能との連携
RADIUS GUARDのユーザ認証時MACアドレス自動登録機能を利用する事で、Web認証とMAC認証の連携を図り、ユーザや管理者の入力負担を軽減することができます。
4. 利用端末制限機能との連携
ユーザ認証の際に、ユーザ毎に登録された利用端末のMACアドレスをチェックする機能が利用できるため、不正端末の接続を防止し、よりセキュアな認証ネットワークが簡単に構築できます。

■評価試験結果
AXシリーズのレイヤ２認証機能とRADIUS GUARDが認証連携できることを確認しました。
© ALAXALA Networks Corporation 2013. All rights reserved.

4１. RADIUS GUARDとAXシリーズの連携概要
1.2 RADIUS GUARDを利用したWeb認証とMAC認証の利便性向上
RASIUS GUARDの特徴機能である、ユーザ認証時の端末MACアドレス自動登録機能と、AXシリーズのWeb認証/MAC認証を連携することで、ユーザ、管理者双方にメリットのある利便性の高い認証ネットワークシステムを構築することが出来ます。
・ Web認証とMAC認証の融合による利便性の向上ポイント
1. 端末がスイッチをまたいでローミングした際にも、即座にMAC認証が実行されるため、Web認証の操作をすることなく通信可能となり、ユーザの利便性を向上することができます。
2. 端末スリープ等でユーザが認証ネットワークからログアウトした際にも、再びユーザが復帰した場合はMAC認証が実施されるため、Web認証でユーザIDを入力する必要が無くなります。
3. MAC認証を主に使用する場合でも、未登録端末については一度だけWEB認証を使用することによりMACアドレスを自動収集するため、管理者が端末登録する必要もなく運用できます。
RADIUS GUARD

ユーザ認証端末のMACアドレスを学習

Web認証とMAC認証を併用

１回Web認証が成功すれば、指定した日数はWeb入力せずにMAC認
１回Web認証が成功すれば、指定した日数はWeb入力せずにMAC認証され、装置またがりのローミングが可能です。
証され、装置またがりのローミングが可能です。
© ALAXALA Networks Corporation 2013. All rights reserved.

5２. RADIUS GUARDとAXシリーズの連携基本評価
2.1 評価構成
1. Web認証、MAC認証、IEE802.1ｘ認証（PEAP,TLS）有効化

RADIUS GUARD

2. 内蔵LDAPを使用
3. TLS用証明書は内蔵CA局から発行1. IEEE802.1ｘ、Web認証、MAC認証を設定

L3スイッチ（AX3600Sシリーズ)

2. 固定VLAN、ダイナミックVLANをそれぞれ設定

認証スイッチ（AX2500S/AX2400S/AX2200S/AX1200S）

3. マルチステップ認証確認（AX1200S,AX2200S
AX2500S)
4. ダイナミックACL確認（AX2500S)

クライアントPC

1. 基本的なトリプル認証（固定VLAN、ダイナミックVLAN、ダイナミックACL)連携を評価する。
2. ユーザ認証利用端末の許可（AXシリーズのマルチステップ認証、RADIUS GUARD利用端末指定）連携を評価する。
© ALAXALA Networks Corporation 2013. All rights reserved.

6

２. RADIUS GUARDとAXシリーズの連携基本評価
2.2 設定条件（１）「RADIUS GUARD」の設定条件
・RADIUSクライアントとしてAXシリーズを登録する
・内蔵LDAPを使用する
・認証成功時のアトリビュートを設定を行う（ダイナミックVLAN,ダイナミックACL/QoS)（共通アトリビュート、ユーザ個別ネットワークプロファイル指定）
・ユーザ認証における利用端末制限の設定（RADIUS GUARD独自機能の設定）
・AXシリーズマルチステップ認証確認のための端末を登録（アトリビュート（Filter-ID)にマルチステップ応答するように設定）（２）認証スイッチ「AXシリーズ」の設定条件
・ 認証ポートは、トリプル認証（Web認証、MAC認証、IEEE802.1ｘ認証）ポートに設定する。
（固定VLAN、ダイナミックVLAN、AX2500SはダイナミックACLを追加で設定）
・ マルチステップ認証評価用にマルチステップ認証ポートを設定する。
（AX1200S,AX2200S,AX2500S)© ALAXALA Networks Corporation 2013. All rights reserved.

7

２. RADIUS GUARDとAXシリーズの連携基本評価
2.3 評価項目と使用機器（１）評価項目◆ RADIUS GUARDでトリプル認証が可能であること
・Web認証の連携ができること
・MAC認証の連携ができること・IEEE802.1ｘの認証が出来ること（EAP-PEAP,EAP-TLS）◆ ユーザごとのダイナミックVLANの指定が可能であること◆ ユーザごとのダイナミックACL/Qos(Filter-ID）の指定が可能であること◆ マルチステップ認証の連携(Filer-IDの指定）が出来ること◆ RADIUS GUARDのユーザ別利用端末制限が連携可能であること（２）使用機器・ソフトウェア
・ RADIUS GUARD®

： Version 5.03.01

・ 認証スイッチ
AX1240S/AX2230S
AX2530S
AX2430S
AX3640S/AX3650S： Ver2.4A： Ver3.5A： 11.7F： 11.11A

・ クライアントPC： Windows 7 SP1 Enterprise・ ブラウザ： Internet Explorer 9© ALAXALA Networks Corporation 2013. All rights reserved.

8

２. RADIUS GUARDとAXシリーズの連携基本評価
2.4 評価結果
以下に、 RADIUS GUARDとAXシリーズの認証連携評価の結果を示します。
RADIUS GUARD ： Version 5.03.01
機器
バージョン

IEEE802.1x(PEAP,TLS)

Web認証

AX2400S

11.7F○○AX3600S

11.11A○AX1200S

2.4A

AX2200S
AX2500S

対象機器

MAC認証

アトリビュート配布

利用端末制限VLANマルチステップ

ダイナミック
ACL/QoS

○○ーー○

○

○

○ーー○

○

○

○

○

○ー○

2.4A○○○

○

○ー○

3.5A

○○○

○

○

○

○

○ ：連携OK－ ：機能未サポート© ALAXALA Networks Corporation 2013. All rights reserved.

9３. Web認証端末のMACアドレス登録連携評価
3.1 評価構成
RADIUS GUARD
1. ユーザ認証のMACアドレス登録を有効化

L3スイッチ（AX3600S)
1. Web認証、MAC認証を同一ポートへ設定

認証スイッチ AXシリーズ

2. 固定VLANを使用（AX2500S/AX2400S/AX2200S/AX1200S）

端末移動
クライアントPC

RADIUS GUARDのユーザ認証時の端末MACアドレス登録機能との連携をテスト© ALAXALA Networks Corporation 2013. All rights reserved.

10３. Web認証端末のMACアドレス登録連携評価
3.2 設定条件（１）「RADIUS GUARD」の設定条件
・RADIUSクライアントとしてAXシリーズを登録する・内臓LDAPを使用する
・ユーザ認証設定で、MACアドレス自動登録機能を有効化する（２）認証スイッチ「AXシリーズ」の設定条件
・ 認証ポートは、Web認証とMAC認証併用設定する
・ 認証ポートは固定VLANとする© ALAXALA Networks Corporation 2013. All rights reserved.

11

３. Web認証端末のMACアドレス登録連携評価
3.3 評価項目と使用機器（１）評価項目◆ Web認証後、RADIUS GUARDにMAC認証用のアカウントが自動的に登録されること。
◆ Web認証した装置から、別の装置に端末を移動させた後、MAC認証にて通信許可ができること。
◆ RADIUS GUARDに自動的に登録された端末アカウント（MACアドレス）に有効期限が設定されていること。
（２）使用機器・ソフトウェア
・ RADIUS GUARD®

： Version 5.03.01

・ 認証スイッチ
AX1240S/AX2230S
AX2530S
AX2430S
AX3640S/AX3650S： Ver2.4A： Ver3.5A： 11.7F： 11.11A

・ クライアントPC： Windows 7 SP1 Enterprise・ ブラウザ： Internet Explorer 9© ALAXALA Networks Corporation 2013. All rights reserved.

12

３. Web認証端末のMACアドレス登録連携評価
3.4 評価結果
以下に、 RADIUS GUARDとAXシリーズの認証連携評価の結果を示します。
RADIUS GUARD ： Version 5.03.01
対象機器

機器
バージョン

Web認証

移動後のMAC認証

AX2400S

11.7F

○

○

AX3600S

11.11A○○

AX1200S

2.4A

○

○

AX2200S

2.4A

○

○

AX2500S

3.5A

○

○

○ ：連携OK－ ：機能未サポート© ALAXALA Networks Corporation 2013. All rights reserved.

13

４. AXシリーズ使用時のRADIUS GUARDの設定ポイント
 RADIUSクライアントの登録① Radius設定->Radiusクライアント->Radiusクライアント新規登録ボタンより機器を登録します。

© ALAXALA Networks Corporation 2013. All rights reserved.

14

４. AXシリーズ使用時のRADIUS GUARDの設定ポイント
 RADIUSクライアント新規登録① RADIUSクライアントIDを入力。
② クライアントのIPアドレスを入力します。
（AXシリーズのRADIUSサーバへの送信元となるIPアドレスを指定します。）③ RADIUS認証用のシークレットキーを入力します。

© ALAXALA Networks Corporation 2013. All rights reserved.

15

４. AXシリーズ使用時のRADIUS GUARDの設定ポイント
 アトリビュートの指定

ダイナミッACL/QoS
所属クラス３の指定例
固定値13
固定値6
VLAN200の指定例

認証成功時にスイッチに配布するダイナミックVLANおよびダイナミックACL/QoSの指定例です。
（アラクサラ AXシリーズ共通）
上記画面は、共通アトリビュート、ネットワークプロファイルで指定するネットワーク属性画面の関係するアトリビュートを切り出した例となります。 （ディレクトリやユーザ単位の指定方法などは、RADIUS GUARDのマニュアルを参照してください。）
VLAN番号200 および ダイナミックACLでユーザの所属Class番号 3 を指定した例となります。
・ダイナミックACL/QoSではFilter-IDにユーザの所属するクラス番号（1～63）を指定します （/Class=クラス番号）・ダイナミックVLANでは、Tunnel-Typeに 13、Tunnel-Medium-Typeに 6、の固定値とTunnel-Private-Group-IdにVLANを指定します。（VLAN200を指定する場合は、200、VLAN200またはAX側の設定したVLAN名称を文字列で指定してください）© ALAXALA Networks Corporation 2013. All rights reserved.

16

４. AXシリーズ使用時のRADIUS GUARDの設定ポイント
 認証ユーザ端末のMACアドレス自動登録

RADIUS GUARDのMACアドレス自動登録機能により、ユーザ認証（Web認証）した端末のMACアドレスを自動的に端末アカウントとして学習することが可能です。この機能によって、Web認証後の端末を次回からMAC認証として扱うことにより、再度のユーザID入力を省略させ、利便性を向上することができます。
本機能を有効化するには、「MACアドレス収集->ユーザ認証設定」で「使用する」を選択し、登録ディレクトリを設定してください。
有効期限は本例では1日としています。1日を設定した場合当日0時まで学習したMACアドレス認証が有効となります。

© ALAXALA Networks Corporation 2013. All rights reserved.

17

４. AXシリーズ使用時のRADIUS GUARDの設定ポイント
 ユーザ認証と利用端末の制限の設定

ユーザ登録情報に利用端末を指定すると指定されたMACアドレス以外では認証許可されません
設定詳細は次ページで説明します。
© ALAXALA Networks Corporation 2013. All rights reserved.

18

４. AXシリーズ使用時のRADIUS GUARDの設定ポイント
 利用端末の制限の設定例

ユーザ認証が実行可能な利用端末を制限する場合、ユーザ情報画面の利用端末欄にMACアドレスを登録することで、ユーザと利用端末を関連付けすることが出来ます。
本指定により、ユーザ認証とその利用者の端末を制限することが可能です。
共通利用端末にチェックを入れた場合には、共通利用端末に登録された端末を利用可能とします。
利用端末欄が空欄のユーザはユーザ認証のみで認証許可となります。
注意事項
利用端末の設定欄は初期値では表示されません、「管理ツール表示設定」から表示するように設定してください。利用端末の設定欄は任意と、必須の選択も可能です。
ユーザ認証のMACアドレス登録とは併用できません、ユーザ認証のMACアドレス登録はMAC認証のアカウントとして登録されます。
© ALAXALA Networks Corporation 2013. All rights reserved.

19

５. RADIUS GUARD連携時のAXシリーズの設定ポイント
 AXシリーズの設定ポイント
AXシリーズの認証設定に関しては、「認証ソリューションガイド」および「装置マニュアル」を参照してください。
ここでは「RADIUS GUARD」の特徴機能である「ユーザ認証時のMACアドレス登録機能」と「ユーザ認証における利用端末制限」の連携のための設定ポイントを紹介します。

5.1 「RADIUS GUARD」によるWeb認証端末のMACアドレス自動登録機能との連携◆ 認証ポートには、Web認証とMAC認証が同時に動作するように設定してください。
◆ 認証ポートは固定VLAN認証としてください。

5.2 「RADIUS GUARD」のユーザ認証時の利用端末制限機能との連携◆ 認証ポートには、Web認証またはIEEE802.1Xを設定してください。
◆ 認証ポートは固定VLAN,ダイナミックVLAN,ダイナミックACL/QoSどれでも連携可能です。
(ダイナミックACL/QoSはAX2500Sのみサポートしています）※ AXシリーズではネットワーク認証時のRADIUSパケットのアトリビュートのCalling-Station-Id
にて認証端末のMACアドレスを通知します。

© ALAXALA Networks Corporation 2013. All rights reserved.

20© ALAXALA Networks Corporation 2013. All rights reserved.

21