# 2.7. ダイナミックVLAN機能の設定

ダイナミックVLAN機能を使用することによって、接続する端末の認証結果に応じて、端末が接続するVLANを変更することができます。

注釈

端末認証では、別途RADIUSサーバーを用意する必要があります。

## 2.7.1. ダイナミックVLAN機能の概要

端末接続時に端末認証を行います。 端末認証の結果、認証サーバーから通知されるVLAN IDを使用して、端末が接続するインタフェースのVLANを決定します。 本機能を利用することにより、端末を接続するポートに依存せず、接続する端末に応じたVLANに接続することができます。

図 2.7.1 ダイナミックVLANのイメージ

端末認証のために、IEEE802.1X認証または、MAC認証を使用します。 どちらもローカルデータベースでの認証は対応していないため、RADIUSサーバーを使用した認証が必要となります。 802.1XとMAC認証は併用が可能です。

端末が未認証の状態では、インタフェースに設定したVLANで動作します。 この状態では、端末への送信を許可することができます。

認証に成功すると、接続したインタフェースにRADIUSサーバーから通知されたVLANを割り当てます。

認証の結果が失敗の場合や、認証の応答が返らずタイムアウトした場合は、あらかじめ設定したVLANに接続することができます。 認証失敗時とタイムアウト時に接続するVLANはIEEE802.1X認証とMAC認証でそれぞれ別なVLANを設定できます。 この場合、認証が成功していない状態（認証失敗、認証タイムアウト）でも、指定されているVLANで通信することができます。

VLANはポート単位で設定します。

## 2.7.2. ダイナミックVLANの設定

以下の設定を行います。

- AAA認証・RADIUS認証の有効化

- ブリッジの有効化

- インタフェースへのbridge-groupの割当

- IEEE802.1XまたはMAC認証を使用したダイナミックVLANの有効化

- ポートベース認証の適用

使用するVLANの指定の際はブリッジグループを使用します。

### 2.7.2.1. AAA認証、RADIUS認証の設定コマンド

AAA認証、RADIUSクライアントの設定の詳細は「AAAの設定」の項を参照してください。

### 2.7.2.2. IEEE802.1X認証・MAC認証設定コマンド

IEEE802.1Xの設定の詳細は「端末認証の設定」の項を参照してください。 ダイナミックVLANでは以下のコマンドを使用します。

- インタフェースコンフィグモード

  項目 | 説明
  --- | ---
  dot1x dynamic-vlan | ダイナミックVLANの有効化
  dot1x access-control | 認証単位の設定
  dot1x event failure | 認証失敗時に割り当てるVLAN設定
  dot1x event timeout | 認証タイムアウト時に割り当てるVLAN設定

MAC認証の設定の詳細は「端末認証の設定」の項を参照してください。 ダイナミックVLANでは以下のコマンドを使用します。

- インタフェースコンフィグモード

  項目 | 説明
  --- | ---
  mac-auth dynamic-vlan | ダイナミックVLANの有効化
  mac-auth port-control direction | フレーム制御方向の設定
  mac-auth event failure | 認証失敗時に割り当てるVLAN設定
  mac-auth event timeout | 認証タイムアウト時に割り当てるVLAN設定

端末毎にVLANを設定するため、認証単位はポートベース認証を使用します。

MACベース認証を使用する場合、1ポートで複数の端末が接続されます。 この場合は、最初に認証された端末の認証結果に応じたVLANに接続します。 後から接続された端末は認証を行いません。

未認証時は、インタフェースに設定したVLANに接続しています。 フレーム制御方向の設定内容に従って通信が許可されます。

認証失敗時、タイムアウト時に割り当てるVLANを設定した場合は、 認証失敗、タイムアウト時は設定したVLANでの双方向の通信が許可されます。 認証失敗時、タイムアウト時は、再認証は行いません。

### 2.7.2.3. ブリッジ設定コマンド

ブリッジの設定の詳細は「ブリッジの設定」の項を参照してください

ブリッジグループをVLAN-IDとして使用します。

端末が接続するインタフェースに設定したブリッジグループは未認証時に使用します。

### 2.7.2.4. RADIUSサーバーの設定

RADIUSサーバーでは以下のアトリビュートを使用します。

- IEEE802.1X認証

  番号 | アトリビュート | Value
  --- | --- | ---
  1 | User-Name | Supplicantのユーザー名
  30 | Called-Station-Id | ルータインタフェースのMACアドレス
  31 | Calling-Station-Id | SupplicantのMACアドレス
  6 | Service-Type | 端末に提供するサービスタイプ（Framed:2固定）
  4 | NAS-IP-Address | RADIUSパケット送信インタフェースのIPアドレス
  5 | NAS-Port | 接続インタフェース番号（0x8000_0000+ifIndex）
  61 | NAS-Port-Type | 接続インタフェースのタイプ（Ethernet:15固定）
  79 | EAP-Message | EAPメッセージ
  24 | State | RADIUSサーバーからのAccess-Challengeに含まれているStateアトリビュートをそのまま付与（チャレンジに対する応答時に付与）
  27 | Session-Timeout | Authenticatorのタイマー
  80 | Message-Authenticator | パケット全体のHMAC-MD5ハッシュ値
  81 | Tunnel-Private-Group-ID | VLAN-ID（ブリッジグループ番号）

- MAC認証

  番号 | アトリビュート | Value
  --- | --- | ---
  1 | User-Name | 端末のMACアドレス（書式は変更可能）
  2 | User-Password | 上記MACアドレスのMD5
  30 | Called-Station-Id | ルータインタフェースのMACアドレス
  31 | Calling-Station-Id | 端末のMACアドレス
  6 | Service-Type | 端末に提供するサービスタイプ（Framed:2固定）
  5 | NAS-Port | 接続インタフェース番号（0x8000_0000+ifIndex）
  4 | NAS-IP-Address | RADIUSパケット送信インタフェースのIPアドレス
  61 | NAS-Port-Type | 接続インタフェースのタイプ（Ethernet:15固定）
  27 | Session-Timeout | 再認証タイマー
  81 | Tunnel-Private-Group-ID | VLAN-ID（ブリッジグループ番号）

### 2.7.2.5. 設定例

ダイナミックVLANを使用する場合の構成例と、その際のコンフィグを示します。

図 2.7.2 構成例

- 認証済みの端末は、Tunnel-Private-Group-ID = 10 が通知されるので、bridge-group 10 のBVI10に接続

- 認証失敗端末は、dot1x/mac-auth event failure action bridge-group 2 により、bridge-group 2 のBVI2に接続

- 未認証端末は、各インタフェースに設定済みのbridge-group 1 のBVI1に接続

ブリッジグループ1（設定例ではBVI1）に接続

> リスト 2.7.1 設定例

>     aaa enable
>     aaa authentication dot1x default group radius
>     !
>     radius host ip 10.0.0.254 key 0 secret-key
>     !
>     Device GigaEthernet1
>       vlan-group 1 port 1
>       vlan-group 2 port 2
>       vlan-group 3 port 3
>       vlan-group 4 port 4
>     !
>     interface GigaEthernet0.0
>       ip address 10.0.0.1/24
>       no shutdown
>     !
>     interface GigaEthernet1:1.0
>       bridge-group 1
>       dot1x enable
>       dot1x dynamic-vlan
>       dot1x access-control port-based
>       dot1x event failure action bridge-group 2
>       mac-auth enable
>       mac-auth dynamic-vlan
>       mac-auth access-control port-based
>       mac-auth event failure action bridge-group 2
>       no shutdown
>     !
>     interface GigaEthernet1:2.0
>     ! GigaEthernet1:1.0と同じ設定
>     !
>     interface GigaEthernet1:3.0
>     ! GigaEthernet1:1.0と同じ設定
>     !
>     interface GigaEthernet1:4.0
>     ! GigaEthernet1:1.0と同じ設定
>     !
>     interface BVI1
>       ip address 192.168.1.254/24
>       bridge-group 1
>       no shutdown
>     !
>     interface BVI2
>       ip address 192.168.2.254/24
>       bridge-group 2
>       no shutdown
>     !
>     interface BVI10
>       ip address 192.168.10.254/24
>       bridge-group 10
>       no shutdown

## 2.7.3. 端末認証機能の併用

ダイナミックVLAN機能ではIEEE802.1X認証とMAC認証を併用することができます。

IEEE802.1XのEAPパケットを受信したときはIEEE802.1Xで認証します。 EAP以外の通常のフレームを受信した場合には、MAC認証機能で認証します。

IEEE802.1Xで使用するEAPのフレームはMAC認証で廃棄しないため、 これらの認証を設定してもIEEE802.1X認証には影響はありません。

## 2.7.4. 注意事項

### 2.7.4.1. IEEE802.1X 検疫機能との併用

検疫フィルタ機能のフィルタ用のアトリビュートにTunnel-Private-Group-Idを使用している場合、 同一端末にて本機能との併用はできません。

### 2.7.4.2. スイッチングHUBにおける注意事項

ポートベースVLANを使用しない状態でのスイッチングHUBインタフェースにおける端末認証機能では、 認証の可否に関わらずスイッチ配下のローカル通信は常に許可されます。

図 2.7.3 説明図

### 2.7.4.3. 認証済み端末のインタフェースの移動

本装置のIEEE802.1XとMAC認証機能による認証は、すべてインタフェースごとに記憶されます。 認証済みの端末であっても接続するインタフェースを移動した場合はそのインタフェースで再度認証処理を行う必要があります。

### 2.7.4.4. ブリッジ機能との併用

ブリッジインタフェースでIEEE802.1Xを有効化すると、IEEE802.1Xフレームはそのインタフェースで終端されます。 有効化しない場合はブリッジされます。 またBVIインタフェースではIEEE802.1X機能もMAC認証も使用できません。

### 2.7.4.5. 各機能使用時の注意事項

ダイナミックVLANのために使用する各機能の注意事項については、各機能の項を参照してください。