セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護

キャッシュ管理

グローバル フィルタ キャッシュは最後に ACL をダウンロードした NAS 上で維持されます。そのため、ユーザは、過負荷状態の RADIUS サーバに対して同じ ACL 設定情報を何度も要求する必要がありません。ユーザは、次の基準が満たされている場合にキャッシュをフラッシュする必要があります。

• エントリが新しいアクティブ コールに関連付けられた後に、そのエントリに関連付けられたアイドル タイマーがリセットされる（そのように設定されている場合）。

• アイドル時間スタンプの期限が切れたエントリが削除される。

• グローバル キャッシュのエントリが指定された最大数に到達した後に、アイドル タイマーがアイドル時間限界に最も近いエントリが削除される。

1 つのタイマーがすべてのキャッシュ エントリの管理に使用されます。このタイマーは、最初のキャッシュ エントリの作成時に開始され、リブートされるまで定期的に実行されます。タイマーの期間は、キャッシュ アイドル タイマーの設定時に指定された最小粒度に対応し、毎分期限切れになります。タイマーが 1 つしかないことによって、ユーザは、キャッシュ エントリごとに別々のタイマーを管理する必要がありません。

（注） 単一のタイマーは、タイマーの期限切れの精度に欠けます。約 50% のタイマー粒度に平均誤差が含まれています。タイマー粒度を下げると平均誤差も下がりますが、性能が低下する可能性があります。キャッシュ管理には正確なタイミングが必要ないため、誤差遅延を受け入れる必要があります。

新しいベンダー固有アトリビュートのサポート

この機能は、次の 2 つのカテゴリに分類可能な 3 つの新しい Vendor-Specific Attribute（VSA; ベンダー固有アトリビュート）のサポートを導入しています。

• ユーザ プロファイルの拡張

– Filter-Required（50）：指定されたフィルタが見つからなかった場合にコールを許可するかどうかを指定します。存在する場合は、このアトリビュートが、すべての Authentication, Authorization, and Accounting（AAA; 認証、認可、およびアカウンティング）フィルタ方式リストの後に適用されます。

• 疑似ユーザ プロファイルの拡張

– Cache-Refresh（56）：エントリが新しいセッションから参照されるたびにキャッシュ エントリをリフレッシュするかどうかを指定します。このアトリビュートは、 cache refresh コマンドに対応します。

– Cache-Time（57）：キャッシュ エントリのアイドル タイムアウトを分単位で指定します。このアトリビュートは、 cache clear age コマンドに対応します。

（注） すべての RADIUS アトリビュートが、すべての Command-Line Interface（CLI; コマンドライン インターフェイス）設定よりも優先されます。

RADIUS ACL フィルタ サーバの設定

RADIUS ACL フィルタ サーバを有効にするには、グローバル コンフィギュレーション モードで次のコマンドを使用します。

フィルタ キャッシュの設定

この項の次の手順に従って、AAA フィルタ キャッシュを設定します。

手順の概要

1. enable

2. configure terminal

3. aaa cache filter

4. password { 0 | 7 } password

5. cache disable

6. cache clear age minutes

7. cache refresh

8. cache max number

フィルタ キャッシュの確認

キャッシュ ステータスを表示するには、 show aaa cache filterserver EXEC コマンドを使用します。 show aaa cache filterserver コマンドの出力サンプルを次に示します。

（注） show aaa cache filterserver コマンドは、特定のフィルタが参照またはリフレッシュされた回数を表示します。この機能は、実際に使用されるフィルタを決定するために管理者が使用します。

トラブルシューティングのヒント

フィルタ キャッシュ設定のトラブルシューティングを支援するために、 debug aaa cache filterserver 特権 EXEC コマンドを使用します。 debug aaa cache filterserver コマンドのサンプル出力を確認するには、このマニュアルの 「デバッグ出力：例」 を参照してください。

NAS の設定：例

次の例は、キャッシュ フィルタリング用の NAS の設定方法を示しています。この例では、最初に、サーバ グループの「mygroup」に接続されます。応答がない場合は、デフォルト RADIUS サーバに接続されます。それでも応答がない場合は、ローカル フィルタ ケアに接続されます。最終的に、フィルタが解決できなければ、コールが受け入れられます。

RADIUS サーバの設定：例

次の例は、NAS にダイヤルしているリモート ユーザの「user1」のサンプル RADIUS 設定です。

RADIUS 辞書とベンダー ファイル：例

次の例は、新しい VSA 用のサンプル RADIUS 辞書ファイルです。この例では、辞書ファイルが Merit サーバ用です。

デバッグ出力：例

debug aaa cache filterserver コマンドのサンプル出力を次に示します。

関連資料

規格

MIB

RFC

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワーク トポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

Copyright © 2005-2009 Cisco Systems, Inc.
All rights reserved.

Copyright © 2005-2011, シスコシステムズ合同会社.
All rights reserved.