Cisco Identity Services Engine での NEAT の設定例

ダウンロードオプション

PDF (733.4 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (337.9 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (308.0 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2013 年 11 月 5 日

Document ID:116681

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

概要

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

オーセンティケータスイッチの設定

サプリカントスイッチの設定

ISE の設定

確認

オーセンティケータスイッチに対するサプリカントスイッチの認証

サプリカントスイッチに対する Windows PC の認証

ネットワークからの認証されたクライアントの削除

サプリカントスイッチの削除

サプリカントスイッチの dot1x なしのポート

トラブルシュート

概要

このドキュメントでは、単純なシナリオにおける Network Edge Authentication Topology（NEAT）の設定と動作について説明します。NEAT では、サプリカントスイッチとオーセンティケータスイッチ間でクライアントの MAC アドレスと VLAN 情報を伝播するために Client Information Signalling Protocol（CISP）が使用されます。

この設定例では、オーセンティケータスイッチ（オーセンティケータとも呼ばれる）とサプリカントスイッチ（サプリカントとも呼ばれる）の両方が802.1x認証を実行します。オーセンティケータはサプリカントを認証し、その結果テストPCを認証します。

前提条件

要件

IEEE 802.1x 認証の標準規格の知識があることが推奨されています。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

Cisco IOS^®ソフトウェアリリース12.2(55)SE8が稼働する2台のCisco Catalyst 3560シリーズスイッチ（1台はオーセンティケータとして機能し、もう1台はサプリカントとして機能）
Cisco Identity Services Engine（ISE）、リリース 1.2
Microsoft Windows XP、サービスパック 3 がインストールされた PC

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

設定

この例では、次のものの設定例について説明します。

オーセンティケータスイッチ
サプリカントスイッチ
Cisco ISE

設定は、このラボ演習を実行するために最低限必要な設定です。設定は他のニーズに最適でないか、または他のニーズを満たしていない可能性があります。

注：このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool(登録ユーザ専用)を使用してください。

ネットワーク図

このネットワーク図は、この例で使用される接続を示します。黒い線は論理的または物理的な接続を示し、緑の線は 802.1X の使用によって認証されるリンクを示します。

オーセンティケータスイッチの設定

オーセンティケータには、dot1x に必要な基本要素が含まれています。この例では、NEAT または CISP に固有のコマンドは太字で示されています。

これは、基本の認証、認可、アカウンティング（AAA）設定です。

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius

radius-server host 10.48.66.107 auth-port 1812 acct-port 1813  key cisco

! Enable authenticator switch to authenticate the supplicant switch.
dot1x system-auth-control
! Enable CISP framework.
cisp enable

! configure uplink port as access and dot1x authentication. 
interface FastEthernet0/6
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator
 spanning-tree portfast

CISP はグローバルに有効にされており、相互接続ポートはオーセンティケータおよびアクセスモードで設定されています。

サプリカントスイッチの設定

正確なサプリカント設定は、セットアップ全体の設定が予期したとおりに動作するのに非常に重要です。この設定例には、標準的な AAA と dot1x 設定が含まれています。

基本的な AAA 設定は次のとおりです。

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius

radius-server host 10.48.66.107 auth-port 1812 acct-port 1813 key cisco

! Enable supplicant switch to authenticate devices connected
dot1x system-auth-control

! Forces the switch to send only multicast EAPOL packets when it receives either 
   unicast or multicast packets, which allows NEAT to work on the supplicant 
   switch in all host modes.
dot1x supplicant force-multicast

! Enable CISP framework operation. 
cisp enable

サプリカントは資格情報を設定し、使用される Extensible Authentication Protocol（EAP）方式を提供する必要があります。

CISP の場合、サプリカントは（EAP タイプの中で特に）Secure Protocol（FAST）を介して EAP-Message Digest 5（MD5）および EAP-Flexible Authentication を認証に使用できます。ISE 設定を最低限に保つために、この例はオーセンティケータに対するサプリカントの認証に EAP-MD5 を使用します。(デフォルトではEAP-FASTの使用が強制されますが、これにはProtected Access Credential(PAC)プロビジョニングが必要です。このドキュメントではこのシナリオについては説明しません)。

! configure EAP mode used by supplicant switch to authenticate itself to 
   authenticator switch eap profile EAP_PRO
 method md5

! Configure credentials use by supplicant switch during that authentication. 
dot1x credentials CRED_PRO
 username bsnsswitch
 password 0 C1sco123

オーセンティケータへのサプリカントの接続はすでにトランクポートになるように設定されています（オーセンティケータでのアクセスポート設定とは対照的です）。この段階では、これは予想どおりです。ISEが正しい属性を返すと、設定が動的に変更されます。

interface FastEthernet0/6
 switchport trunk encapsulation dot1q
 switchport mode trunk
 dot1x pae supplicant
 dot1x credentials CRED_PRO
 dot1x supplicant eap profile EAP_PRO

Windows PC に接続するポートは最小限の設定が行われており、ここでは参照用にのみ示されています。

interface FastEthernet0/5
 switchport access vlan 200
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator

ISE の設定

次に、基本的な ISE 設定を設定する例を示します。

必要な認証プロトコルを有効にします。

この例では、ワイヤード dot1x は、EAP-MD5 がオーセンティケータに対してサプリカントを認証することを許可し、Protected Extensible Authentication Protocol（PEAP）-Microsoft Challenge Handshake Authentication Protocol Version 2（MSCHAPv2）がサプリカントに対して Windows PC を認証することを許可しています。

[Policy] > [Results] > [Authentication] > [Allowed protocols] に移動し、ワイヤード dot1x によって使用されるプロトコルサービスリストを選択して、この手順のプロトコルが有効であることを確認します。
許可ポリシーの作成。[Policy] > [Results] > [Authorization] > [Authorization Policy] に移動して、ポリシーを作成するか、または返された属性として NEAT が含まれるようにポリシーを更新します。このようなポリシーの例を次に示します。

NEAT オプションがオンになっている場合、ISE は認証の一部として device-traffic-class=switch を返します。このオプションは、オーセンティケータのポートモードをアクセスからトランクに変更するために必要です。
このプロファイルを使用するための許可ルールを作成します。[Policy] > [Authorization] に移動して、ルールを作成または更新します。

この例では、Authenticator_switches と呼ばれる特別なデバイスグループが作成され、すべてのサプリカントは bsnsswitch で始まるユーザ名を送信します。
ユーザを適切なグループに追加します。[Administration] > [Network Resources] > [Location Services] に移動し、[Add].をクリックします。

この例では、BSTP-3500-1（オーセンティケータ）はAuthenticator_switchesグループの一部です。BSTP-3500-2（サプリカント）はこのグループの一部である必要はありません。

確認

ここでは、設定が正常に機能しているかどうかを確認します。ここでは、次の 2 つの動作について説明します。

スイッチ間の認証
Windows PC とサプリカント間の認証

また、次の 3 つの追加の状況を示します。

ネットワークからの認証されたクライアントの削除
サプリカントの削除
サプリカントの dot1x なしのポート

注：

アウトプットインタープリタツール（登録ユーザ専用）は、特定の show コマンドをサポートしています。show コマンドの出力の分析を表示するには、Output Interpreter Tool を使用します。

debug コマンドを使用する前に、「デバッグコマンドの重要な情報」を参照してください。

オーセンティケータスイッチに対するサプリカントスイッチの認証

この例では、サプリカントはオーセンティケータに対して認証します。プロセスの手順は次のとおりです。

サプリカントはポート fastethernet0/6.に設定され、プラグインされます。dot1x 交換により,サプリカントはオーセンティケータに前もって構成されたユーザ名およびパスワードを送信するために EAP を使用します。
オーセンティケータは RADIUS 交換を実行し、ISE 検証のために資格情報を提供します。
資格情報が正しい場合、ISE は NEAT によって必要とされる属性（device-traffic-class=switch）を返し、オーセンティケータはスイッチポートモードをアクセスからトランクに変更します。

この例では、スイッチ間の CISP 情報の交換を示しています。

bstp-3500-1#debug cisp all
Oct 15 13:51:03.672: %AUTHMGR-5-START: Starting 'dot1x' for client 
   (001b.0d55.2187) on Interface Fa0/6 AuditSessionID 0A3039E10000000600757ABB
Oct 15 13:51:03.723: %DOT1X-5-SUCCESS: Authentication successful for client 
   (001b.0d55.2187) on Interface Fa0/6 AuditSessionID
Oct 15 13:51:03.723: %AUTHMGR-7-RESULT: Authentication result 'success' from 
   'dot1x' for client (001b.0d55.2187) on Interface Fa0/6 AuditSessionID 
   0A3039E10000000600757ABB
Oct 15 13:51:03.723: Applying command... 'no switchport access vlan 1' at Fa0/6
Oct 15 13:51:03.739: Applying command... 'no switchport nonegotiate' at Fa0/6
Oct 15 13:51:03.748: Applying command... 'switchport trunk encapsulation dot1q' 
   at Fa0/6
Oct 15 13:51:03.756: Applying command... 'switchport mode trunk' at Fa0/6
Oct 15 13:51:03.756: Applying command... 'switchport trunk native vlan 1' at 
   Fa0/6
Oct 15 13:51:03.764: Applying command... 'spanning-tree portfast trunk' at Fa0/6
Oct 15 13:51:04.805: %AUTHMGR-5-SUCCESS: Authorization succeeded for client 
   (001b.0d55.2187) on Interface Fa0/6 AuditSessionID 0A3039E10000000600757ABB

Oct 15 13:51:04.805: CISP-EVENT (Fa0/6): Received action Run Authenticator
Oct 15 13:51:04.805: CISP-EVENT (Fa0/6): Authenticator received event Start in 
   state Not Running
Oct 15 13:51:04.805: CISP-EVENT (Fa0/6): Authenticator state changed to Waiting 
   link UP
Oct 15 13:51:04.805: CISP-EVENT (Fa0/6): Sync supp_id: 0
Oct 15 13:51:05.669: %LINK-3-UPDOWN: Interface FastEthernet0/6, changed state to
   up
Oct 15 13:51:06.793: CISP-EVENT (Fa0/6): Received action Run Authenticator
Oct 15 13:51:06.793: CISP-EVENT (Fa0/6): Authenticator received event Start in 
   state Waiting link UP (no-op)
Oct 15 13:51:07.799: %LINEPROTO-5-UPDOWN: Line protocol on Interface 
   FastEthernet0/6, changed state to up
Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Authenticator received event Link UP in
state Waiting link UP
Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Transmitting a CISP Packet
Oct 15 13:51:07.799: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x20 Length:0x0018 
Type:HELLO
Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Proposing CISP version: 1
Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Started 'hello' timer (5s)
Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Authenticator state changed to Idle
Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Sync supp_id: 0
Oct 15 13:51:07.799: CISP-EVENT: Received action Start Tick Timer
Oct 15 13:51:07.799: CISP-EVENT: Started CISP tick timer
Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): 'hello' timer expired
Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): Authenticator received event Timeout in
state Idle
Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): Transmitting a CISP Packet
Oct 15 13:51:12.942: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x20 Length:0x0018 
Type:HELLO
Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): Proposing CISP version: 1
Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): Started 'hello' timer (5s)
Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): 'hello' timer expired
Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): Authenticator received event Timeout in
state Idle
Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): Transmitting a CISP Packet
Oct 15 13:51:18.084: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x20 Length:0x0018 
Type:HELLO
Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): Proposing CISP version: 1
Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): Started 'hello' timer (5s)
Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): 'hello' timer expired
Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): Authenticator received event Timeout in
state Idle
Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): Transmitting a CISP Packet
Oct 15 13:51:23.226: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x20 Length:0x0018 
Type:HELLO
Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): Proposing CISP version: 1
Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): Started 'hello' timer (5s)
Oct 15 13:51:28.377: CISP-EVENT (Fa0/6): 'hello' timer expired
Oct 15 13:51:28.377: CISP-EVENT (Fa0/6): Authenticator received event Timeout in
state Idle
Oct 15 13:51:29.400: CISP-EVENT: Stopped CISP tick timer
Oct 15 13:51:36.707: CISP-RXPAK (Fa0/6): Code:REQUEST ID:0x22 Length:0x001C 
   Type:REGISTRATION
Oct 15 13:51:36.707: Payload: 0200E84B
Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Authenticator received event Receive 
Packet in state Idle
Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Proposed CISP version: 1
Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Negotiated CISP version: 1
Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Sync supp_id: 59467
Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Transmitting a CISP Packet
Oct 15 13:51:36.707: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x22 Length:0x001C 
   Type:REGISTRATION
Oct 15 13:51:36.707: Payload: 01000000
Oct 15 13:51:36.724: CISP-RXPAK (Fa0/6): Code:REQUEST ID:0x23 Length:0x003A 
   Type:ADD_CLIENT
Oct 15 13:51:36.724: Payload: 010011020009001B0D5521C10300050 ...
Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Authenticator received event Receive 
Packet in state Idle
Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Adding client 001b.0d55.21c1 (vlan: 200)
   to authenticator list
Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Notifying interest parties about new 
downstream client 001b.0d55.21c1 (vlan: 200)
Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Adding client info at Authenticator
Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Adding client 001b.0d55.21c0 (vlan: 1) 
   to authenticator list
Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Notifying interest parties about new 
downstream client 001b.0d55.21c0 (vlan: 1)
Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Adding client info at Authenticator
Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Transmitting a CISP Packet
Oct 15 13:51:36.724: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x23 Length:0x0018 
   Type:ADD_CLIENT

認証と認可が成功すると、CISP 交換が実行されます。各交換には、サプリカントによって返される REQUEST、およびオーセンティケータからの応答および確認応答として動作する RESPONSE があります。

REGISTRATIONとADD_CLIENTの2つの異なる交換が実行されます。REGISTRATION 中に、サプリカントは CISP 可能であることをオーセンティケータに通知します。それに対してオーセンティケータはこのメッセージを確認応答します。ADD_CLIENT 交換は、サプリカントのローカルポートに接続されているデバイスについてオーセンティケータに通知するために使用されます。REGISTRATION と同様に、ADD-CLIENT はサプリカントで開始され、オーセンティケータによって確認応答されます。

通信、ロール、アドレスを確認するために、次の show コマンドを入力します。

bstp-3500-1#show cisp clients

Authenticator Client Table:
---------------------------
 MAC Address VLAN Interface
 ---------------------------------
 001b.0d55.21c1 200 Fa0/6
 001b.0d55.21c0 1 Fa0/6

bstp-3500-1#show cisp registrations

Interface(s) with CISP registered user(s):
------------------------------------------
 Fa0/6
 Auth Mgr (Authenticator)

この例では、オーセンティケータのロールが正しいインターフェイス（fa0/6）に適切に割り当てられ、2 つの MAC アドレスが登録されています。MAC アドレスは VLAN1 と VLAN200 のポート fa0/6 上のサプリカントです。

dot1x 認証セッションの確認をすぐに実行できます。アップストリームスイッチの fa0/6 ポートはすでに認証されます。これは、BSTP-3500-2（サプリカント）がプラグインされると実行される dot1x 交換です。

bstp-3500-1#show authentication sessions

Interface MAC Address Method Domain Status Session ID
Fa0/6 001b.0d55.2187 dot1x DATA Authz Success 0A3039E10000000700FB3259

予測どおり、この段階ではサプリカントにセッションはありません。

bstp-3500-2#show authentication sessions
No Auth Manager contexts currently exist

サプリカントスイッチに対する Windows PC の認証

この例では、Windows PC はサプリカントに対して認証します。プロセスの手順は次のとおりです。

Windows PC は、BSTP-3500-2（サプリカント）の FastEthernet 0/5 ポートにプラグインされます。
サプリカントは、ISE で認証と認可を実行します。
サプリカントは、新しいクライアントがポートで接続されることをオーセンティケータに通知します。

サプリカントからの通信を以下に示します。

Oct 15 14:19:37.207: %AUTHMGR-5-START: Starting 'dot1x' for client 
   (c464.13b4.29c3) on Interface Fa0/5 AuditSessionID 0A3039E200000013008F77FA
Oct 15 14:19:37.325: %DOT1X-5-SUCCESS: Authentication successful for client 
   (c464.13b4.29c3) on Interface Fa0/5 AuditSessionID
Oct 15 14:19:37.325: %AUTHMGR-7-RESULT: Authentication result 'success' from 
   'dot1x' for client (c464.13b4.29c3) on Interface Fa0/5 AuditSessionID 
   0A3039E200000013008F77FA
Oct 15 14:19:37.341: CISP-EVENT (Fa0/5): Received action Add Client
Oct 15 14:19:37.341: CISP-EVENT (Fa0/5): Adding client c464.13b4.29c3 (vlan: 200)
   to supplicant list
Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Supplicant received event Add Client in
   state Idle
Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Adding client c464.13b4.29c3 (vlan: 200)
   to the ADD list
Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Adding client c464.13b4.29c3 (vlan: 200)
   to ADD CLIENT req
Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Transmitting a CISP Packet
Oct 15 14:19:37.341: CISP-TXPAK (Fa0/6): Code:REQUEST ID:0x24 Length:0x0029 
   Type:ADD_CLIENT
Oct 15 14:19:37.341: Payload: 010011020009C46413B429C30300050 ...
Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Started 'retransmit' timer (30s)
Oct 15 14:19:37.341: CISP-EVENT: Started CISP tick timer
Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Supplicant state changed to Request
Oct 15 14:19:37.341: CISP-RXPAK (Fa0/6): Code:RESPONSE ID:0x24 Length:0x0018 
   Type:ADD_CLIENT
Oct 15 14:19:37.350: CISP-EVENT (Fa0/6): Supplicant received event Receive Packet
   in state Request
Oct 15 14:19:37.350: CISP-EVENT (Fa0/6): Stopped 'retransmit' timer
Oct 15 14:19:37.350: CISP-EVENT (Fa0/6): All Clients implicitly ACKed
Oct 15 14:19:37.350: CISP-EVENT (Fa0/6): Supplicant state changed to Idle
Oct 15 14:19:38.356: %AUTHMGR-5-SUCCESS: Authorization succeeded for client 
   (c464.13b4.29c3) on Interface Fa0/5 AuditSessionID 0A3039E200000013008F77FA
Oct 15 14:19:38.356: CISP-EVENT (Fa0/5): Received action Run Authenticator
Oct 15 14:19:38.356: CISP-EVENT (Fa0/5): Authenticator received event Start in 
   state Not Running
Oct 15 14:19:38.356: CISP-EVENT (Fa0/5): Authenticator state changed to Waiting 
   link UP
Oct 15 14:19:38.356: CISP-EVENT (Fa0/5): Sync supp_id: 0
Oct 15 14:19:38.373: CISP-EVENT: Stopped CISP tick timer
Oct 15 14:19:39.162: %LINK-3-UPDOWN: Interface FastEthernet0/5, changed state to
   up

ADD_CLIENT 交換が行われますが、REGISTRATION 交換は必要ではありません。

サプリカントの動作を確認するために、show cisp registrations コマンドを入力します。

bstp-3500-2#show cisp registrations

Interface(s) with CISP registered user(s):
------------------------------------------
 Fa0/5
 Auth Mgr (Authenticator)
 Fa0/6
 802.1x Sup (Supplicant)

サプリカントには、オーセンティケータ（fa0/6 インターフェイス）に対するサプリカントのロールと、Windows PC（fa0/5 インターフェイス）に対するオーセンティケータのロールがあります。

オーセンティケータの動作を確認するために、show cisp clients コマンドを入力します。

bstp-3500-1#show cisp clients

Authenticator Client Table:
---------------------------
 MAC Address VLAN Interface
 ---------------------------------
 001b.0d55.21c1 200 Fa0/6
 001b.0d55.21c0 1 Fa0/6
 c464.13b4.29c3 200 Fa0/6

新しい MAC アドレスが VLAN 200 の下のオーセンティケータに表示されます。これは、サプリカントの AAA 要求で確認された MAC アドレスです。

認証セッションは、同じデバイスがサプリカントの fa0/5 ポートに接続されていることを示す必要があります。

bstp-3500-2#show authentication sessions

Interface MAC Address Method Domain Status Session ID
Fa0/5 c464.13b4.29c3 dot1x DATA Authz Success 0A3039E20000001501018B58

ネットワークからの認証されたクライアントの削除

クライアントが削除されるとき（たとえば、ポートがシャットダウンされる場合）、オーセンティケータは DELETE_CLIENT 交換によって通知されます。

Oct 15 15:54:05.415: CISP-RXPAK (Fa0/6): Code:REQUEST ID:0x25 Length:0x0029 
   Type:DELETE_CLIENT
Oct 15 15:54:05.415: Payload: 010011020009C46413B429C30300050 ...
Oct 15 15:54:05.415: CISP-EVENT (Fa0/6): Authenticator received event Receive 
Packet in state Idle
Oct 15 15:54:05.415: CISP-EVENT (Fa0/6): Removing client c464.13b4.29c3 
   (vlan: 200) from authenticator list
Oct 15 15:54:05.415: CISP-EVENT (Fa0/6): Notifying interest parties about 
deletion of downstream client c464.13b4.29c3 (vlan: 200)
Oct 15 15:54:05.415: CISP-EVENT (Fa0/6): Transmitting a CISP Packet
Oct 15 15:54:05.415: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x25 Length:0x0018 
   Type:DELETE_CLIENT

サプリカントスイッチの削除

サプリカントがプラグを抜かれるか、または削除されるとき、オーセンティケータはセキュリティの問題を防ぐために、ポートを元の設定に戻します。

Oct 15 15:57:31.257: Applying command... 'no switchport nonegotiate' at Fa0/6
Oct 15 15:57:31.273: Applying command... 'switchport mode access' at Fa0/6
Oct 15 15:57:31.273: Applying command... 'no switchport trunk encapsulation 
   dot1q' at Fa0/6
Oct 15 15:57:31.290: Applying command... 'no switchport trunk native vlan 1' at
   Fa0/6
Oct 15 15:57:31.299: Applying command... 'no spanning-tree portfast trunk' at
   Fa0/6
Oct 15 15:57:31.307: Applying command... 'switchport access vlan 1' at Fa0/6
Oct 15 15:57:31.315: Applying command... 'spanning-tree portfast' at Fa0/6
Oct 15 15:57:32.247: %LINEPROTO-5-UPDOWN: Line protocol on Interface 
FastEthernet0/6, changed state to down
Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Authenticator received event Link DOWN
in state Idle
Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Removing client 001b.0d55.21c1 
   (vlan: 200) from authenticator list
Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Notifying interest parties about 
deletion of downstream client 001b.0d55.21c1 (vlan: 200)
Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Removing client 001b.0d55.21c0 (vlan: 1)
from authenticator list
Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Notifying interest parties about 
deletion of downstream client 001b.0d55.21c0 (vlan: 1)
Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Authenticator state changed to Not 
   Running
Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Sync supp_id: 0
Oct 15 15:57:33.262: %LINK-3-UPDOWN: Interface FastEthernet0/6, changed state 
   to down

同時に、サプリカントは CISP テーブルからサプリカントを表すクライアントを削除し、そのインターフェイスで CISP を非アクティブ化します。

サプリカントスイッチの dot1x なしのポート

サプリカントからオーセンティケータに伝播される CISP 情報は、適用を強化するものにすぎません。サプリカントは、接続されているすべての許可された MAC アドレスについてオーセンティケータに通知します。

一般的に誤解されるシナリオは、dot1xが有効になっていないポートにデバイスが接続されている場合、MACアドレスが学習され、CISPを介してアップストリームスイッチに伝搬されるというものです。

オーセンティケータは、CISP を介して学習されたすべてのクライアントからの通信を許可します。

要するに、デバイスのアクセスを dot1x または他の方法を使用して制限し、MAC アドレスおよび VLAN 情報をオーセンティケータに伝搬することがサプリカントのロールです。オーセンティケータは、それらの更新で提供された情報を適用する役割を果たします。

一例として、新しい VLAN（VLAN300）は両方のスイッチで作成され、デバイスはサプリカントのポート fa0/4 にプラグインされました。ポート fa0/4 は、dot1x 用に設定されていないシンプルなアクセスポートです。

サプリカントからのこの出力は、新しい登録済みのポートを示しています。

bstp-3500-2#show cisp registrations

Interface(s) with CISP registered user(s):
------------------------------------------
 Fa0/4
 Fa0/5
 Auth Mgr (Authenticator)
 Fa0/6
 802.1x Sup (Supplicant)

オーセンティケータでは、新しい MAC アドレスは VLAN 300 に表示されます。

bstp-3500-1#show cisp clients

Authenticator Client Table:
---------------------------
 MAC Address VLAN Interface
 ---------------------------------
 001b.0d55.21c1 200 Fa0/6
 001b.0d55.21c0 1 Fa0/6
 001b.0d55.21c2 300 Fa0/6
 c464.13b4.29c3 200 Fa0/6
 68ef.bdc7.13ff 300 Fa0/6

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

次のコマンドは、NEATおよびCISPのトラブルシューティングに役立ちます。このドキュメントには、その多くの例が含まれています。

debug cisp all：スイッチ間の CISP 情報の交換を示します。
show cisp summary：スイッチ上の CISP インターフェイスのステータスの概要を表示します。
show cisp registrations：CISP 交換に関与するインターフェイス、それらのインターフェイスのロール、およびそのインターフェイスが NEAT の一部であるかどうかを示します。
show cisp clients：既知のクライアント MAC アドレスとその場所（VLAN とインターフェイス）の表を表示します。これは主にオーセンティケータ側に役立ちます。

更新履歴

改定	発行日	コメント
1.0	18-Oct-2013	初版

シスコエンジニア提供

Marcin Latosiewicz
Cisco TAC Engineer.

Cisco Identity Services Engine での NEAT の設定例

ダウンロード オプション

偏向のない言語

翻訳について

内容

概要

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

オーセンティケータ スイッチの設定

サプリカント スイッチの設定

ISE の設定

確認

オーセンティケータ スイッチに対するサプリカント スイッチの認証

サプリカント スイッチに対する Windows PC の認証

ネットワークからの認証されたクライアントの削除

サプリカント スイッチの削除

サプリカント スイッチの dot1x なしのポート

トラブルシュート

更新履歴

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション

オーセンティケータスイッチの設定

サプリカントスイッチの設定

オーセンティケータスイッチに対するサプリカントスイッチの認証

サプリカントスイッチに対する Windows PC の認証

サプリカントスイッチの削除

サプリカントスイッチの dot1x なしのポート

シスコエンジニア提供