セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護

RADIUS アトリビュート スクリーニング

---

RADIUS アトリビュート スクリーニング機能を使用すれば、認可やアカウンティングなどの目的で Network Access Server（NAS; ネットワーク アクセス サーバ）上の「許可」または「拒否」RADIUS アトリビュートのリストを設定できます。

NAS が Access-Accept パケットで受信したすべて の RADIUS アトリビュートを受け入れて処理する場合は、不必要なアトリビュートを処理する可能性があり、顧客の Authentication, Authorization, and Accounting（AAA; 認証、認可、およびアカウンティング）サーバを制御しないホールセール プロバイダーの場合に問題が発生します。たとえば、顧客が加入していないサービスを指定するアトリビュートが存在したり、他のホールセール ダイヤル ユーザ向けのサービスを低下させるアトリビュートが存在したりする場合です。そのため、特定のアトリビュートの使用を制限するように NAS を設定できることが、多くのユーザの要件になります。

RADIUS アトリビュート スクリーニング機能を実装するには、次の方法のいずれかを使用する必要があります。

• NAS が、特定の目的で、設定された拒否リストに登録されたものを除く、すべての標準 RADIUS アトリビュートを受け入れて、処理できるようにする

• NAS が、特定の目的で、設定された許可リストに登録されたものを除く、すべての標準 RADIUS アトリビュートを拒否（除外）できるようにする

機能情報の確認

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。この章に記載されている機能の詳細、および各機能がサポートされているリリースのリストについては、「RADIUS アトリビュート スクリーニングの機能情報」 を参照してください。

プラットフォーム サポートと Cisco IOS および Catalyst OS ソフトウェア イメージ サポートに関する情報を入手するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。

この章の構成

• 「RADIUS アトリビュート スクリーニングの前提条件」

• 「RADIUS アトリビュート スクリーニングの制約事項」

• 「RADIUS アトリビュート スクリーニングに関する情報」

• 「RADIUS アトリビュートのスクリーン方法」

• 「RADIUS アトリビュート スクリーニングの設定例」

• 「その他の参考資料」

• 「RADIUS アトリビュート スクリーニングの機能情報」

• 「用語集」

RADIUS アトリビュート スクリーニングの前提条件

RADIUS 許可リストまたは拒否リストを設定する前に、グローバル コンフィギュレーション モードで aaa new-model コマンドを使用して AAA を有効にする必要があります。

RADIUS アトリビュート スクリーニングの制約事項

NAS の要件

この機能を有効にするには、RADIUS グループを使用して認可するように NAS を設定する必要があります。

許可リストまたは拒否リストの制約事項

許可リストまたは拒否リストの設定に使用される 2 つのフィルタは相互排他的です。そのため、ユーザはサーバ グループの目的ごとに、1 つのアクセス リストか、1 つの拒否リストしか設定できません。

ベンダー固有アトリビュート

この機能は、Vendor-Specific Attribute（VSA; ベンダー固有アトリビュート）スクリーニングをサポートしていません。ただし、ユーザは、すべての VSA を許可または拒否する許可リストまたは拒否リスト内でアトリビュート 26（Vendor-Specific）を指定できます。

必須アトリビュート スクリーニングの推奨事項

次の必須アトリビュートは、拒否しないことを推奨します。

• 認可用：

– 6（Service-Type）

– 7（Framed-Protocol）

• アカウンティング用：

– 4（NAS-IP-Address）

– 40（Acct-Status-Type）

– 41（Acct-Delay-Time）

– 44（Acct-Session-ID）

アトリビュートが必須の場合は、拒否が無視され、アトリビュートのパススルーが許可されます。

（注） 必須アトリビュートの拒否リストを設定してもエラーにはなりません。これは、リストでは目的（認可またはアカウンティング）が指定されないためです。サーバが、アトリビュートの使用目的を認識したときに、そのアトリビュートが必須かどうかを判断します。

RADIUS アトリビュート スクリーニングに関する情報

RADIUS アトリビュート スクリーニング機能は、次のようなメリットを提供します。

• ユーザは、NAS 上で特定の目的のアトリビュートを選択して許可リストまたは拒否リストを設定できるため、不必要なアトリビュートが受け入れられ、処理されることがなくなります。

• 関連するアカウンティング アトリビュートだけの許可リストを設定することによって、不必要なトラフィックを削減し、アカウンティング データのカスタマイズを可能にすることができます。

RADIUS アトリビュートのスクリーン方法

次の項で、RADIUS アトリビュートをスクリーンして、確認する方法について説明します。

• 「RADIUS アトリビュート スクリーニングの設定」

• 「RADIUS アトリビュート スクリーニングの確認」

RADIUS アトリビュート スクリーニングの設定例

ここでは、次の設定例について説明します。

• 「認可許可：例」

• 「アカウンティング拒否：例」

• 「認可拒否とアカウンティング許可：例」

• 「必須アトリビュートの拒否：例」

その他の参考資料

次の項で、RADIUS アトリビュート スクリーニング機能に関する参考資料を紹介します。

RADIUS アトリビュート スクリーニングの機能情報

表 1 に、この機能のリリース履歴を示します。

ご使用の Cisco IOS ソフトウェア リリースによっては、コマンドの中に一部使用できないものがあります。特定のコマンドに関するリリース情報については、コマンド リファレンス マニュアルを参照してください。

Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェア イメージのサポート情報を検索できます。Cisco Feature Navigator を使用すると、特定のソフトウェア リリース、機能セット、またはプラットフォームをサポートする Cisco IOS ソフトウェア イメージおよび Catalyst OS ソフトウェア イメージを確認できます。Cisco Feature Navigator には、 http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。

（注） 表 1 には、一連の Cisco IOS ソフトウェア リリースのうち、特定の機能が初めて導入された Cisco IOS ソフトウェア リリースだけが記載されています。特に明記していないかぎり、その機能は、一連の Cisco IOS ソフトウェア リリースの以降のリリースでもサポートされます。

用語集

AAA：Authentication, Authorization, and Accounting（認証、認可、およびアカウンティング）。Cisco ルータまたはアクセス サーバにアクセス コントロールを設定できる主要なフレームワークを提供する一連のネットワーク セキュリティ サービスです。

NAS：Network Access Server（NAS; ネットワーク アクセス サーバ）パケットの世界（インターネットなど）と回線の世界（公衆電話交換網など）をインターフェイスするシスコ プラットフォーム（または AccessPath システムなどのプラットフォームの集合）。

RADIUS ：Remote Authentication Dial-In User Service（リモート認証ダイヤルイン ユーザ サービス）。RADIUS は、不正アクセスからネットワークを保護する分散型クライアント/サーバ システムです。シスコの実装では RADIUS クライアントは Cisco ルータ上で稼動します。認証要求は、すべてのユーザ認証情報とネットワーク サービス アクセス情報が格納されている中央の RADIUS サーバに送信されます。

VSA：Vendor-Specific Attribute（VSA; ベンダー固有アトリビュート）。VSA は、1 つの IETF アトリビュート（Vendor-Specific（アトリビュート 26））から抽出されます。アトリビュート 26 を使用すれば、ベンダーは、追加の 255 個のアトリビュートを作成して実装できます。つまり、ベンダーは、どの IETF アトリビュートとも一致しないアトリビュートを作成して、それをアトリビュート 26 の背後にカプセル化することができます。具体的には、Vendor-Specific ="protocol:attribute=value" と指定します。

アトリビュート：RADIUS Internet Engineering Task Force（IETF; インターネット技術特別調査委員会）アトリビュートは、255 の標準アトリビュートで構成されるオリジナルのセットで、クライアントとサーバ間での AAA 情報の伝達に使用されます。IETF アトリビュートは標準であるため、アトリビュート データは事前定義されてその内容も認識されています。このため、IETF アトリビュートを介して AAA 情報を交換するすべてのクライアントとサーバは、アトリビュートの厳密な意味や各アトリビュート値の一般的な限界など、アトリビュート データに一致させる必要があります。