# 2.35. AAAの設定

UNIVERGE IX-R/IX-V シリーズではAAA機能をサポートしています。 AAAとはネットワークのユーザおよびセキュリティ管理を行うための機能であり、 以下に示す3つの機能の頭文字をとった略称です。

> - 認証（Authentication）

> - 許可（Authorization）

> - アカウンティング（Accounting）

## 2.35.1. AAAの有効化

AAAを有効化するためには、以下のコマンドを実行します。

項目 | 説明
aaa enable | AAA機能の有効化

AAA機能では、サーバとして装置自身の他にRADIUSサーバを利用することができます。 使用するサーバの指定には以下の4種類の方法があります。

項目 | 説明
group radius | 登録されて全てのRADIUSサーバを使用します。
group GROUP-NAME | サーバグループ指定コマンドで指定されたサーバを使用します。

複数のサーバをグループ化して扱うには、次のコマンドを使用します。

項目 | 説明
aaa group server | サーバグループの設定

認証，許可，アカウンティングそれぞれのリストにつき、データベースの指定を4個まで登録することができます。 登録可能な順序は以下の表のとおりです。実行時には、1番から順にアクセスを行います。

データベース指定 | 設定方法 1 | 設定方法 2 | 設定方法 3 | 設定方法 4
--- | --- | --- | --- | ---
group radius | ○ | ○ | ✕ | ✕
group GROUP-NAME | ○ | ○ | ○ | ○

○：指定可能 ×：指定不可

※ group GROUP-NAME以外は複数回の指定不可

※ group radius、group GROUP-NAMEは同時指定不可

- group radius

  RADIUSサーバへ問い合わせを行います。

- group GROUP-NAME

  RADIUSサーバへ指定グループを単位として問い合わせを行います。

## 2.35.2. 認証（Authentication）の設定

ユーザが装置に対してアクセスする場合に、ユーザに対してログインとパスワード等を指定させ、ユーザの正当性を証明するための機能です。 認証では以下に示す機能をサポートします。

> - IEEE802.1X認証（認証方式はRADIUSサーバのみサポート）

> - MAC認証（認証方式はRADIUSサーバのみサポート）

装置内のデータのみを使用する場合は、AAA機能を利用しない場合でも認証を行うことができます。 AAA機能を利用することにより、RADIUSサーバを使用しデータベースを一元管理することが可能になります。

### 2.35.2.1. IEEE802.1X認証

IEEE802.1XでSupplicantの認証を行います。認証方法はRADIUSサーバのみサポートします。

IEEE802.1X認証の設定は次のコマンドを使用します。

- グローバルコンフィグモード

  項目 | 説明
  --- | ---
  aaa authentication dot1x | IEEE802.1X認証リストの登録

- インタフェースコンフィグモード

  項目 | 説明
  --- | ---
  dot1x authentication | IEEE802.1X認証リストの設定

  リスト 2.35.1 設定例（IEEE802.1X認証）

      aaa enable
      aaa authentication dot1x dot1x-auth group radius
      !
      radius host ip 10.0.0.254 key 0 test
      !
      interface GigaEthernet1.0
        ip address 192.168.0.1/24
        dot1x enable
        dot1x authentication dot1x-auth
        no shutdown

### 2.35.2.2. MAC認証

MACアドレスで端末の認証を行います。認証方法はRADIUSサーバのみサポートします。

MAC認証の設定は次のコマンドを使用します。

- グローバルコンフィグモード

  項目 | 説明
  --- | ---
  aaa authentication mac-auth | MAC認証リストの登録

- インタフェースコンフィグモード

  項目 | 説明
  --- | ---
  mac-auth authentication | MAC認証リストの設定

  リスト 2.35.2 設定例（MAC認証）

      aaa enable
      aaa authentication mac-auth mac-auth-list group radius
      !
      radius host ip 10.0.0.254 key 0 test
      !
      interface GigaEthernet1.0
        ip address 192.168.0.1/24
        mac-auth enable
        mac-auth authentication mac-auth-list
        no shutdown

### 2.35.2.3. 認証の動作

#### 2.35.2.3.1. RADIUSサーバへの問い合わせ

認証方法にgroup radiusを指定した場合は、radius hostコマンドで登録されているホストに対し、登録順に問い合わせを行います。 認証結果のOK/NGに関係なく、RADIUSサーバから応答が返ってくると次のサーバに対する問い合わせは行いません。 また、認証方法にサーバグループを指定した場合は、サーバグループに設定された順番に問い合わせを行い、 RADIUSサーバから認証OKが返ってくると次のサーバに対する問い合わせは行いません。 認証NGの場合は、「認証NG時の動作」の設定に従い、次に設定されている認証方法で問い合わせを行うか否か決定します。

1. サーバグループを設定していない場合

リスト 2.35.3 設定例（サーバグループを設定していない場合）

    aaa enable
    aaa authentication mac-auth auth-list group radius
    !
    radius host ip 192.168.160.10 key 0 test
    radius host ip 192.168.160.11 key 0 test
    radius host ip 192.168.160.12 key 0 test
    !
    interface GigaEthernet1.0
      mac-auth authentication auth-list

応答がない場合、radius hostで指定した順序で問い合わせを行います。 認証OKか認証NGが返った場合はその場で問い合わせを終了します。

2. サーバグループを設定している場合

リスト 2.35.4 設定例（サーバグループを設定している場合）

    aaa group server radius group1 ip 192.168.160.10
    aaa group server radius group1 ip 192.168.160.11
    aaa group server radius group2 ip 192.168.160.12
    aaa group server radius group2 ip 192.168.160.13
    !
    aaa authentication mac-auth auth-list group group1 group group2
    !
    radius host ip 192.168.160.10 key 0 test
    radius host ip 192.168.160.11 key 0 test
    !
    radius host ip 192.168.160.12 key 0 test
    radius host ip 192.168.160.13 key 0 test
    !
    interface GigaEthernet1.0
      mac-auth authentication auth-list

応答がない場合、指定されたサーバグループの順序で問い合わせを行います。

認証NGが返った場合、「認証NG時の動作」の設定によって動作が変わります。 詳細は「認証NG時の動作」を参照してください。 デフォルトでは次の認証方法（本設定の場合はサーバグループ）への問い合わせを行います。

認証OKが返った場合、その場で問い合わせを終了します。

#### 2.35.2.3.2. 認証NG時の動作

認証NGが返った場合に、次に設定されている認証方式で問い合わせを行うか否かを設定します。

- グローバルコンフィグモード

  項目 | 説明
  --- | ---
  aaa authentication fail-action | 認証NGの動作を指定する continueとstopが選択可能です。デフォルトはcontinueです。

  リスト 2.35.5 設定例

      aaa group server radius group1 ip 192.168.160.10
      aaa group server radius group2 ip 192.168.160.11
      !
      aaa authentication fail-action continue (デフォルト設定のため非表示)
      !
      aaa authentication mac-auth auth-list group group1 group group2
      !
      radius host ip 192.168.160.10 key 0 test
      radius host ip 192.168.160.11 key 0 test
      !
      interface GigaEthernet1.0
        mac-auth authentication auth-list

RADIUSサーバへ送信したAccess-Requestに対して即座にAccess-Rejectが返った場合は 上図と同様に次に設定されている認証方式で問い合わせを行います。 しかしAccess-RequestにAccess-Challengeが返り、認証シーケンスが進んでしまった場合は、 たとえ最終的に認証NGとなりAccess-Rejectが返っても次に設定されている認証方式への問い合わせを行いません。

> リスト 2.35.6 設定例

>     aaa group server radius group1 ip 192.168.160.10
>     aaa group server radius group2 ip 192.168.160.11
>     !
>     aaa authentication fail-action stop
>     !
>     aaa authentication mac-auth auth-list group group1 group group2
>     !
>     radius host ip 192.168.160.10 key 0 test
>     radius host ip 192.168.160.11 key 0 test
>     !
>     interface GigaEthernet1.0
>       mac-auth authentication auth-list

stopを指定した場合、認証NG時に認証処理終了となります。

#### 2.35.2.3.3. サーバから応答が無い場合の動作

認証時のサーバ指定に”none”を設定することにより、認証サーバから応答が無い場合に、認証を成功とすることが可能です。 “none”の設定は、全ての認証方式に対して応答が無かった場合のみ、有効となります。 途中の応答が認証NGとなっている場合には、”none”を設定しても、認証成功となりません。

リスト 2.35.7 設定例

    aaa group server radius group1 ip 192.168.160.10
    aaa group server radius group2 ip 192.168.160.11
    !
    aaa authentication mac-auth auth-list group group1 group group2 none
    !
    radius host ip 192.168.160.10 key 0 test
    radius host ip 192.168.160.11 key 0 test
    !
    interface GigaEthernet1.0
      mac-auth authentication auth-list

group2の応答が無い場合、noneが有効となり認証が許可されます。

途中で認証NGが返った場合、noneは有効とならず、認証は許可されません。

noneで認証成功となった場合、以下の動作となります。

> - Login認証時のユーザ権限はAdministratorとなります。

> - 検疫機能使用時は、検疫フィルタは適用されません。

> - アカウンティングのサーバタイプはLOCAL(2)となります。

## 2.35.3. アカウンティング（Accounting）の設定

装置内で発生した各事象に対するアカウンティング（記録）を行います。 以下の事象についてアカウンティングを行います。 また、認証失敗以外については、開始と終了または終了のみをアカウンティングするかを設定することができます。

> - IEEE802.1Xアカウンティング * 認証完了 * 認証解除

> - 認証失敗アカウンティング * IEEE802.1X認証失敗

アカウンティングの場合は複数のデータベースを指定している場合は、全てに対してアカウンティングを行います。 アカウンティングの設定は次のコマンドを使用します。

項目 | 説明
aaa accounting dot1x | IEEE802.1X アカウンティングの登録
aaa accounting max-records | ローカルアカウンティングレコード数の設定
show aaa accounting-records | ローカルアカウンティングレコードの表示
clear aaa accounting-records | ローカルアカウンティングレコードのクリア

## 2.35.4. RADIUSクライアント

UNIVERGE IX-R/IX-V シリーズではRADIUSクライアント機能をサポートしています。

RADIUSクライアントの設定には次のコマンドを使用します。

項目 | 説明
radius host | RADIUSサーバホスト設定
radius deadtime | 無応答サーバのアクセスブロック時間
show radius statistics | RADIUS統計情報の表示

リスト 2.35.8 設定例

    radius deadtime 15
    radius host ip 10.10.10.10 retransmit 5 timeout 5 key 0 radius source GigaEthernet0.0
    radius host ip 10.10.10.20 retransmit 5 timeout 5 key 0 radius source GigaEthernet0.0

RADIUSサーバでは、通常、送信元アドレスと秘密鍵の組み合わせで認証を行いますので、 RADIUSサーバへの経路が複数存在する場合は、送信元アドレスを固定するために、 RADIUSサーバ設定時にsourceオプションで送信元アドレスの指定を行ってください。

- 複数サーバ設定時の再送

  複数のRADIUSサーバが存在する場合、1つのサーバに対して指定された回数の再送を行った後、次のサーバへ問い合わせを行います。

- dead time

  指定回数再送しても応答が返らない場合、deadtimeの間はそのサーバへの問い合わせを行わず、 次のサーバへ問い合わせを行います。deadtime経過後は、再度そのサーバへ問い合わせを行ないます。

- サポートするアトリビュート

  以下のアトリビュートをサポートしています。

RADIUS

番号 | 名前 | 内容
--- | --- | ---
1 | User-Name | ユーザ名
2 | User-Password | パスワード
3 | CHAP-Password | CHAP パスワード
4 | NAS-IP-Address | RADIUSクライアントのアドレス
5 | NAS-Port | RADIUSクライアントのポート番号
6 | Service-Type | 提供するサービス種別
7 | Framed-Protocol | プロトコル種別
8 | Framed-IP-Address | IPCPで払い出すIPアドレス
18 | Reply-Message | 応答メッセージ
27 | Session-Timeout | 提供するサービスの時間
30 | Called-Station-Id | 着信番号
31 | Calling-Station-Id | 発信番号
60 | CHAP-Challenge | CHAPチャレンジ
61 | NAS-Port-Type | RADIUSクライアントのポート種別
79 | EAP-Message | EAPメッセージ
80 | Message-Authenticator | パケット全体のHMAC-MD5 ハッシュ
96 | Framed-Interface-Id | インタフェースID

アカウンティング

番号 | 名前 | 内容
--- | --- | ---
40 | Acct-Status-Type | サービスの開始/終了
41 | Acct-Delay-Time | ネットワーク転送時間
42 | Acct-Input-Octets | 受信オクテット数
43 | Acct-Output-Octets | 送信オクテット数
44 | Acct-Session-Id | セッションID
45 | Acct-Authentic | ユーザの認証方法
46 | Acct-Session-Time | サービスを受けた時間
47 | Acct-Input-Packets | 受信パケット数
48 | Acct-Output-Packets | 送信パケット数
49 | Acct-Terminate-Cause | 終了の要因

### 2.35.4.1. 各機能で使用するアトリビュート

#### 2.35.4.1.1. IEEE802.1X認証

番号 | アトリビュート | Value
--- | --- | ---
1 | User-Name | Supplicantのユーザ名
30 | Called-Station-Id | ルータインタフェースのMACアドレス
31 | Calling-Station-Id | SupplicantのMACアドレス
6 | Service-Type | 端末に提供するサービスタイプ（Framed:2固定）
4 | NAS-IP-Address | RADIUSパケット送信インタフェースのIPアドレス
5 | NAS-Port | 接続インタフェース番号（0x8000_0000+ifIndex）
61 | NAS-Port-Type | 接続インタフェースのタイプ（Ethernet:15固定）
79 | EAP-Message | EAPメッセージ
24 | State | RADIUSサーバからのAccess-Challengeに含まれているStateアトリビュートをそのまま付与 （チャレンジに対する応答時に付与）
27 | Session-Timeout | Authenticatorのタイマ
80 | Message-Authenticator | パケット全体のHMAC-MD5ハッシュ値

#### 2.35.4.1.2. MAC認証

番号 | アトリビュート | Value
--- | --- | ---
1 | User-Name | 端末のMACアドレス（書式は変更可能）
2 | User-Password | 上記MACアドレスのMD5
30 | Called-Station-Id | ルータインタフェースのMACアドレス
31 | Calling-Station-Id | 端末のMACアドレス
6 | Service-Type | 端末に提供するサービスタイプ（Framed:2固定）
5 | NAS-Port | 接続インタフェース番号（0x8000_0000+ifIndex）
4 | NAS-IP-Address | RADIUSパケット送信インタフェースのIPアドレス
61 | NAS-Port-Type | 接続インタフェースのタイプ（Ethernet:15固定）
27 | Session-Timeout | 再認証タイマ

## 2.35.5. サーバの設定

RADIUSの場合

> - 認証に関する設定

> Service-Typeによって、ユーザレベルを決定します。 UNIVERGE IX-R/IX-V シリーズではadministrator/monitor/operatorの3種類のレベルが使用可能ですが、 RADIUSサーバを使用する場合は、monitorレベルの設定はできません。

> Service-Type

設定値 | ユーザレベル
--- | ---
Login(1) | operator
Framed(2) | administrator
Administrative(6) | administrator
NAS Prompt(7) | operator
指定無 | operator

- 許可に関する設定

  Service-Type/Framed-Protocolによって、サービスに対する許可/拒否を決定します。

  Service-Type

設定値 | シェルサービス | ネットワークサービス
--- | --- | ---
Login(1) | ○ | ×
Framed(2) | ○ | ○
Callback Login(3) | × | ×
Callback Framed(4) | × | ○
Outband(5) | × | ○
Administrative(6) | ○ | ×
NAS Prompt(7) | ○ | ×
Authenticate Only(8) | × | ×
Callback NAS Prompt(9) | × | ×
指定なし | × | ×

Framed-Protocol（Service-Type=Framedのみ指定してください）

設定値 | シェルサービス | ネットワークサービス
--- | --- | ---
PPP(1) | × | ○
その他 | ○ | ×
指定なし | ○ | ○

- ネットワークサービスに関する設定

  PPPのIPCPによるIPアドレス払い出しを行いたい場合、Framed-IP-Addressで払い出したいIPアドレスを設定します。 Framed-IP-Addressが設定されていない場合はIPアドレスの払い出しは行いません。

項目名 | 内容
--- | ---
Framed-IP-Address | IPCPにて払い出しを行うIPアドレス

リスト 2.35.9 Radiusサーバー設定例1

    RADIUS設定例1
      User-Name：nec01
      User-Password："nec01passwd"
      Service-Type = Framed,
      Framed-Protocol = PPP,
      Framed-IP-Address = 192.168.1.1

    動作
      PPPからの接続のみが許可される。
      IPアドレス=192.168.1.1が払い出される。
      telnet,コンソールからのログインは許可されない。

リスト 2.35.10 Radiusサーバー設定例2

    RADIUS設定例2
      User-Name：ix01
      User-Password："ix01passwd"
      Service-Type = Login,

    動作
        telnet,コンソールからはoperatorモードでのログインが許可される。
        PPPからの接続は許可されない。