# 2.38. AAAの設定

UNIVERGE IX-R/IX-V シリーズではAAA機能をサポートしています。 AAAとはネットワークのユーザーおよびセキュリティ管理を行うための機能であり、 以下に示す3つの機能の頭文字をとった略称です。

> - 認証（Authentication）

> - 許可（Authorization）

> - アカウンティング（Accounting）

## 2.38.1. AAAの有効化

AAAを有効化するためには、以下のコマンドを実行します。

項目 | 説明
aaa enable | AAA機能の有効化

AAA機能では、サーバーとして装置自身の他にRADIUSサーバーを利用することができます。 使用するサーバーの指定には以下の4種類の方法があります。

項目 | 説明
group radius | 登録されてすべてのRADIUSサーバーを使用します。
group GROUP-NAME | サーバーグループ指定コマンドで指定されたサーバーを使用します。

複数のサーバーをグループ化して扱うには、次のコマンドを使用します。

項目 | 説明
aaa group server | サーバーグループの設定

認証，許可，アカウンティングそれぞれのリストにつき、データベースの指定を4個まで登録することができます。 登録可能な順序は以下の表のとおりです。実行時には、1番から順にアクセスを行います。

データベース指定 | 設定方法 1 | 設定方法 2 | 設定方法 3 | 設定方法 4
--- | --- | --- | --- | ---
group radius | ○ | ○ | ✕ | ✕
group GROUP-NAME | ○ | ○ | ○ | ○

○：指定可能 ×：指定不可

※ group GROUP-NAME以外は複数回の指定不可

※ group radius、group GROUP-NAMEは同時指定不可

- group radius

  RADIUSサーバーへ問い合わせを行います。

- group GROUP-NAME

  RADIUSサーバーへ指定グループを単位として問い合わせを行います。

## 2.38.2. 認証（Authentication）の設定

ユーザーが装置に対してアクセスする場合に、ユーザーに対してログインとパスワード等を指定させ、ユーザーの正当性を証明するための機能です。 認証では以下に示す機能をサポートします。

> - IEEE802.1X認証（認証方式はRADIUSサーバーのみサポート）

> - MAC認証（認証方式はRADIUSサーバーのみサポート）

装置内のデータのみを使用する場合は、AAA機能を利用しない場合でも認証を行うことができます。 AAA機能を利用することにより、RADIUSサーバーを使用しデータベースを一元管理することが可能になります。

### 2.38.2.1. IEEE802.1X認証

IEEE802.1XでSupplicantの認証を行います。認証方法はRADIUSサーバーのみサポートします。

IEEE802.1X認証の設定は次のコマンドを使用します。

- グローバルコンフィグモード

  項目 | 説明
  --- | ---
  aaa authentication dot1x | IEEE802.1X認証リストの登録

- インタフェースコンフィグモード

  項目 | 説明
  --- | ---
  dot1x authentication | IEEE802.1X認証リストの設定

  リスト 2.38.1 設定例（IEEE802.1X認証）

      aaa enable
      aaa authentication dot1x dot1x-auth group radius
      !
      radius host ip 10.0.0.254 key 0 test
      !
      interface GigaEthernet1.0
        ip address 192.168.0.1/24
        dot1x enable
        dot1x authentication dot1x-auth
        no shutdown

### 2.38.2.2. MAC認証

MACアドレスで端末の認証を行います。認証方法はRADIUSサーバーのみサポートします。

MAC認証の設定は次のコマンドを使用します。

- グローバルコンフィグモード

  項目 | 説明
  --- | ---
  aaa authentication mac-auth | MAC認証リストの登録

- インタフェースコンフィグモード

  項目 | 説明
  --- | ---
  mac-auth authentication | MAC認証リストの設定

  リスト 2.38.2 設定例（MAC認証）

      aaa enable
      aaa authentication mac-auth mac-auth-list group radius
      !
      radius host ip 10.0.0.254 key 0 test
      !
      interface GigaEthernet1.0
        ip address 192.168.0.1/24
        mac-auth enable
        mac-auth authentication mac-auth-list
        no shutdown

### 2.38.2.3. 認証の動作

#### 2.38.2.3.1. RADIUSサーバーへの問い合わせ

認証方法にgroup radiusを指定した場合は、radius hostコマンドで登録されているホストに対し、登録順に問い合わせを行います。 認証結果のOK/NGに関係なく、RADIUSサーバーから応答が返ってくると次のサーバーに対する問い合わせは行いません。 また、認証方法にサーバーグループを指定した場合は、サーバーグループに設定された順番に問い合わせを行い、 RADIUSサーバーから認証OKが返ってくると次のサーバーに対する問い合わせは行いません。 認証NGの場合は、「認証NG時の動作」の設定に従い、次に設定されている認証方法で問い合わせを行うか否か決定します。

1. サーバーグループを設定していない場合

リスト 2.38.3 設定例（サーバーグループを設定していない場合）

    aaa enable
    aaa authentication mac-auth auth-list group radius
    !
    radius host ip 192.168.160.10 key 0 test
    radius host ip 192.168.160.11 key 0 test
    radius host ip 192.168.160.12 key 0 test
    !
    interface GigaEthernet1.0
      mac-auth authentication auth-list

応答がない場合、radius hostで指定した順序で問い合わせを行います。 認証OKか認証NGが返った場合はその場で問い合わせを終了します。

2. サーバーグループを設定している場合

リスト 2.38.4 設定例（サーバーグループを設定している場合）

    aaa group server radius group1 ip 192.168.160.10
    aaa group server radius group1 ip 192.168.160.11
    aaa group server radius group2 ip 192.168.160.12
    aaa group server radius group2 ip 192.168.160.13
    !
    aaa authentication mac-auth auth-list group group1 group group2
    !
    radius host ip 192.168.160.10 key 0 test
    radius host ip 192.168.160.11 key 0 test
    !
    radius host ip 192.168.160.12 key 0 test
    radius host ip 192.168.160.13 key 0 test
    !
    interface GigaEthernet1.0
      mac-auth authentication auth-list

応答がない場合、指定されたサーバーグループの順序で問い合わせを行います。

認証NGが返った場合、「認証NG時の動作」の設定によって動作が変わります。 詳細は「認証NG時の動作」を参照してください。 デフォルトでは次の認証方法（本設定の場合はサーバーグループ）への問い合わせを行います。

認証OKが返った場合、その場で問い合わせを終了します。

#### 2.38.2.3.2. 認証NG時の動作

認証NGが返った場合に、次に設定されている認証方式で問い合わせを行うか否かを設定します。

- グローバルコンフィグモード

  項目 | 説明
  --- | ---
  aaa authentication fail-action | 認証NGの動作を指定する continueとstopが選択可能です。デフォルトはcontinueです。

  リスト 2.38.5 設定例

      aaa group server radius group1 ip 192.168.160.10
      aaa group server radius group2 ip 192.168.160.11
      !
      aaa authentication fail-action continue (デフォルト設定のため非表示)
      !
      aaa authentication mac-auth auth-list group group1 group group2
      !
      radius host ip 192.168.160.10 key 0 test
      radius host ip 192.168.160.11 key 0 test
      !
      interface GigaEthernet1.0
        mac-auth authentication auth-list

RADIUSサーバーへ送信したAccess-Requestに対して即座にAccess-Rejectが返った場合は 上図と同様に次に設定されている認証方式で問い合わせを行います。 しかしAccess-RequestにAccess-Challengeが返り、認証シーケンスが進んでしまった場合は、 たとえ最終的に認証NGとなりAccess-Rejectが返っても次に設定されている認証方式への問い合わせを行いません。

> リスト 2.38.6 設定例

>     aaa group server radius group1 ip 192.168.160.10
>     aaa group server radius group2 ip 192.168.160.11
>     !
>     aaa authentication fail-action stop
>     !
>     aaa authentication mac-auth auth-list group group1 group group2
>     !
>     radius host ip 192.168.160.10 key 0 test
>     radius host ip 192.168.160.11 key 0 test
>     !
>     interface GigaEthernet1.0
>       mac-auth authentication auth-list

stopを指定した場合、認証NG時に認証処理終了となります。

#### 2.38.2.3.3. サーバーから応答がない場合の動作

認証時のサーバー指定に”none”を設定することにより、認証サーバーから応答がない場合に、認証を成功とすることが可能です。 “none”の設定は、すべての認証方式に対して応答が無かった場合のみ、有効となります。 途中の応答が認証NGとなっている場合には、”none”を設定しても、認証成功となりません。

リスト 2.38.7 設定例

    aaa group server radius group1 ip 192.168.160.10
    aaa group server radius group2 ip 192.168.160.11
    !
    aaa authentication mac-auth auth-list group group1 group group2 none
    !
    radius host ip 192.168.160.10 key 0 test
    radius host ip 192.168.160.11 key 0 test
    !
    interface GigaEthernet1.0
      mac-auth authentication auth-list

group2の応答がない場合、noneが有効となり認証が許可されます。

途中で認証NGが返った場合、noneは有効とならず、認証は許可されません。

noneで認証成功となった場合、以下の動作となります。

> - Login認証時のユーザー権限はAdministratorとなります。

> - 検疫機能使用時は、検疫フィルタは適用されません。

> - アカウンティングのサーバータイプはLOCAL(2)となります。

## 2.38.3. アカウンティング（Accounting）の設定

装置内で発生した各事象に対するアカウンティング（記録）を行います。 以下の事象についてアカウンティングを行います。 また、認証失敗以外については、開始と終了または終了のみをアカウンティングするかを設定することができます。

> - IEEE802.1Xアカウンティング * 認証完了 * 認証解除

> - 認証失敗アカウンティング * IEEE802.1X認証失敗

アカウンティングの場合は複数のデータベースを指定している場合は、すべてに対してアカウンティングを行います。 アカウンティングの設定は次のコマンドを使用します。

項目 | 説明
aaa accounting dot1x | IEEE802.1X アカウンティングの登録
aaa accounting max-records | ローカルアカウンティングレコード数の設定
show aaa accounting-records | ローカルアカウンティングレコードの表示
clear aaa accounting-records | ローカルアカウンティングレコードのクリア

## 2.38.4. RADIUSクライアント

UNIVERGE IX-R/IX-V シリーズではRADIUSクライアント機能をサポートしています。

RADIUSクライアントの設定には次のコマンドを使用します。

項目 | 説明
radius host | RADIUSサーバーホスト設定
radius deadtime | 無応答サーバーのアクセスブロック時間
show radius statistics | RADIUS統計情報の表示

リスト 2.38.8 設定例

    radius deadtime 15
    radius host ip 10.10.10.10 retransmit 5 timeout 5 key 0 radius source GigaEthernet0.0
    radius host ip 10.10.10.20 retransmit 5 timeout 5 key 0 radius source GigaEthernet0.0

RADIUSサーバーでは、通常、送信元アドレスと秘密鍵の組み合わせで認証を行いますので、 RADIUSサーバーへの経路が複数存在する場合は、送信元アドレスを固定するために、 RADIUSサーバー設定時にsourceオプションで送信元アドレスの指定を行ってください。

- 複数サーバー設定時の再送

  複数のRADIUSサーバーが存在する場合、1つのサーバーに対して指定された回数の再送を行った後、次のサーバーへ問い合わせを行います。

- dead time

  指定回数再送しても応答が返らない場合、deadtimeの間はそのサーバーへの問い合わせを行わず、 次のサーバーへ問い合わせを行います。deadtime経過後は、再度そのサーバーへ問い合わせを行います。

- サポートするアトリビュート

  以下のアトリビュートをサポートしています。

RADIUS

番号 | 名前 | 内容
--- | --- | ---
1 | User-Name | ユーザー名
2 | User-Password | パスワード
3 | CHAP-Password | CHAP パスワード
4 | NAS-IP-Address | RADIUSクライアントのアドレス
5 | NAS-Port | RADIUSクライアントのポート番号
6 | Service-Type | 提供するサービス種別
7 | Framed-Protocol | プロトコル種別
8 | Framed-IP-Address | IPCPで払い出すIPアドレス
18 | Reply-Message | 応答メッセージ
27 | Session-Timeout | 提供するサービスの時間
30 | Called-Station-Id | 着信番号
31 | Calling-Station-Id | 発信番号
60 | CHAP-Challenge | CHAPチャレンジ
61 | NAS-Port-Type | RADIUSクライアントのポート種別
79 | EAP-Message | EAPメッセージ
80 | Message-Authenticator | パケット全体のHMAC-MD5 ハッシュ
96 | Framed-Interface-Id | インタフェースID

アカウンティング

番号 | 名前 | 内容
--- | --- | ---
40 | Acct-Status-Type | サービスの開始/終了
41 | Acct-Delay-Time | ネットワーク転送時間
42 | Acct-Input-Octets | 受信オクテット数
43 | Acct-Output-Octets | 送信オクテット数
44 | Acct-Session-Id | セッションID
45 | Acct-Authentic | ユーザーの認証方法
46 | Acct-Session-Time | サービスを受けた時間
47 | Acct-Input-Packets | 受信パケット数
48 | Acct-Output-Packets | 送信パケット数
49 | Acct-Terminate-Cause | 終了の要因

### 2.38.4.1. 各機能で使用するアトリビュート

#### 2.38.4.1.1. IEEE802.1X認証

番号 | アトリビュート | Value
--- | --- | ---
1 | User-Name | Supplicantのユーザー名
30 | Called-Station-Id | ルータインタフェースのMACアドレス
31 | Calling-Station-Id | SupplicantのMACアドレス
6 | Service-Type | 端末に提供するサービスタイプ（Framed:2固定）
4 | NAS-IP-Address | RADIUSパケット送信インタフェースのIPアドレス
5 | NAS-Port | 接続インタフェース番号（0x8000_0000+ifIndex）
61 | NAS-Port-Type | 接続インタフェースのタイプ（Ethernet:15固定）
79 | EAP-Message | EAPメッセージ
24 | State | RADIUSサーバーからのAccess-Challengeに含まれているStateアトリビュートをそのまま付与 （チャレンジに対する応答時に付与）
27 | Session-Timeout | Authenticatorのタイマー
80 | Message-Authenticator | パケット全体のHMAC-MD5ハッシュ値

#### 2.38.4.1.2. MAC認証

番号 | アトリビュート | Value
--- | --- | ---
1 | User-Name | 端末のMACアドレス（書式は変更可能）
2 | User-Password | 上記MACアドレスのMD5
30 | Called-Station-Id | ルータインタフェースのMACアドレス
31 | Calling-Station-Id | 端末のMACアドレス
6 | Service-Type | 端末に提供するサービスタイプ（Framed:2固定）
5 | NAS-Port | 接続インタフェース番号（0x8000_0000+ifIndex）
4 | NAS-IP-Address | RADIUSパケット送信インタフェースのIPアドレス
61 | NAS-Port-Type | 接続インタフェースのタイプ（Ethernet:15固定）
27 | Session-Timeout | 再認証タイマー

## 2.38.5. サーバーの設定

RADIUSの場合

> - 認証に関する設定

> Service-Typeによって、ユーザーレベルを決定します。 UNIVERGE IX-R/IX-V シリーズではadministrator/monitor/operatorの3種類のレベルが使用可能ですが、 RADIUSサーバーを使用する場合は、monitorレベルの設定はできません。

> Service-Type

設定値 | ユーザーレベル
--- | ---
Login(1) | operator
Framed(2) | administrator
Administrative(6) | administrator
NAS Prompt(7) | operator
指定無 | operator

- 許可に関する設定

  Service-Type/Framed-Protocolによって、サービスに対する許可/拒否を決定します。

  Service-Type

設定値 | シェルサービス | ネットワークサービス
--- | --- | ---
Login(1) | ○ | ×
Framed(2) | ○ | ○
Callback Login(3) | × | ×
Callback Framed(4) | × | ○
Outband(5) | × | ○
Administrative(6) | ○ | ×
NAS Prompt(7) | ○ | ×
Authenticate Only(8) | × | ×
Callback NAS Prompt(9) | × | ×
指定なし | × | ×

Framed-Protocol（Service-Type=Framedのみ指定してください）

設定値 | シェルサービス | ネットワークサービス
--- | --- | ---
PPP(1) | × | ○
その他 | ○ | ×
指定なし | ○ | ○

- ネットワークサービスに関する設定

  PPPのIPCPによるIPアドレス払い出しを行いたい場合、Framed-IP-Addressで払い出したいIPアドレスを設定します。 Framed-IP-Addressが設定されていない場合はIPアドレスの払い出しは行いません。

項目名 | 内容
--- | ---
Framed-IP-Address | IPCPにて払い出しを行うIPアドレス

リスト 2.38.9 RADIUSサーバー設定例1

    RADIUSサーバー設定例1
      User-Name：nec01
      User-Password："nec01passwd"
      Service-Type = Framed,
      Framed-Protocol = PPP,
      Framed-IP-Address = 192.168.1.1

    動作
      PPPからの接続のみが許可される。
      IPアドレス=192.168.1.1が払い出される。
      telnet,コンソールからのログインは許可されない。

リスト 2.38.10 RADIUSサーバー設定例2

    RADIUSサーバー設定例2
      User-Name：ix01
      User-Password："ix01passwd"
      Service-Type = Login,

    動作
        telnet,コンソールからはoperatorモードでのログインが許可される。
        PPPからの接続は許可されない。