セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護

RADIUS NAS-IP-Address アトリビュート設定可能性

---

RADIUS NAS-IP-Address アトリビュート設定可能性機能を使用すれば、RADIUS パケットの IP ヘッダー内の発信元 IP アドレスを変更せずに、任意の IP アドレスを設定して RADIUS アトリビュート 4（NAS-IP-Address）として使用できます。この機能は、サービス プロバイダーが、スケーラビリティを向上させるために、小規模な Network Access Server（NAS; ネットワーク アクセス サーバ）のクラスタを使用して大規模な NAS をシミュレートしている場合にも使用できます。この機能を使用すれば、NAS を RADIUS サーバから見て、単一の RADIUS クライアントとして機能させることができます。

機能情報の確認

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。この章に記載されている機能の詳細、および各機能がサポートされているリリースのリストについては、「RADIUS NAS-IP-Address アトリビュート設定可能性の機能情報」 を参照してください。

プラットフォーム サポートと Cisco IOS および Catalyst OS ソフトウェア イメージ サポートに関する情報を入手するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。

この章の構成

• 「RADIUS NAS-IP-Address アトリビュート設定可能性の前提条件」

• 「RADIUS NAS-IP-Address アトリビュート設定可能性の制約事項」

• 「RADIUS NAS-IP-Address アトリビュート設定可能性に関する情報」

• 「RADIUS NAS-IP-Address アトリビュート設定可能性の設定方法」

• 「RADIUS NAS-IP-Address アトリビュート設定可能性の設定例」

• 「その他の参考資料」

• 「RADIUS NAS-IP-Address アトリビュート設定可能性の機能情報」

RADIUS NAS-IP-Address アトリビュート設定可能性の前提条件

この機能を設定する前に、次の要件を満たす必要があります。

• IP セキュリティ（IPSec）の使用経験と、RADIUS サーバと Authentication, Authorization, and Accounting（AAA; 認証、認可、およびアカウンティング）の両方の設定経験が必要です。

• RADIUS サーバと AAA リストを設定する必要があります。

RADIUS NAS-IP-Address アトリビュート設定可能性の制約事項

スケーラビリティを向上させるために、RADIUS クライアントのクラスタを単一の RADIUS クライアントのシミュレーションに使用している場合に、次の制約事項が適用されます。制約事項に対する解決策または次善策についても説明します。

• RADIUS アトリビュート 44（Acct-Session-Id）は、複数の NAS からのセッション間で重複する可能性があります。

2 つの解決策があります。NAS ルータ上で radius-server attribute 44 extend-with-addr コマンドと radius-server unique-ident コマンドのどちらかを使用して、NAS ルータごとに異なる先頭の番号を指定できます。

• RADIUS サーバベースの IP アドレス プールを NAS ごとに管理する必要があります。

この解決策は、RADIUS サーバ上で NAS ごとに異なる IP アドレス プール プロファイルを設定することです。NAS ごとに異なるプール ユーザ名を使用してそれらを取得します。

• セッション内の RADIUS 要求メッセージは NAS ごとに識別される必要があります。

この解決策の 1 つは、NAS 上で radius-server attribute 32 include-in-access-req コマンドを使用して、NAS ごとに異なる RADIUS アトリビュート 32（NAS-Identifier）用の形式文字列を設定することです。

RADIUS NAS-IP-Address アトリビュート設定可能性に関する情報

図 1 に示すように、小規模な NAS RADIUS クライアントを使用して大規模な NAS RADIUS クライアントをシミュレートする場合は、Network Address Translation（NAT; ネットワーク アドレス変換）デバイスまたは Port Address Translation（PAT; ポート アドレス変換）デバイスがネットワークに挿入されます。このデバイスは、NAS のクライアントと、RADIUS サーバに接続された IP クラウドの間に配置されます。複数の NAS からの RADIUS トラフィックが NAT または PAT デバイスを通過するときに、RADIUS パケットの発信元 IP アドレスが単一の IP アドレスに変換されます。ほとんどの場合、この IP アドレスは、NAT または PAT デバイスのループバック インターフェイス上の IP アドレスです。NAS ごとに異なる User Datagram Protocol（UDP; ユーザ データグラム プロトコル）発信元プールが RADIUS パケットに割り当てられます。サーバから RADIUS 応答が返されると、NAT または PAT デバイスがそれを受信して、宛先 UDP ポートを使用して宛先 IP アドレスを NAS の IP アドレスに変換し、対応する NAS に転送します。

図 1 は、複数の NAS の発信元 IP アドレスが、IP クラウドへの途中で NAT または PAT デバイスを通過するときに、どのように単一の IP アドレスに変換されるかを示しています。

図 1 単一の IP アドレスに変換される NAS アドレス

通常は、RADIUS サーバが RADIUS パケットの IP ヘッダー内の発信元 IP アドレスをチェックして、RADIUS 要求の発信元を追跡し、セキュリティを確保します。NAT または PAT による解決策は、RADIUS パケットが複数の NAS ルータから送られてきても単一の発信元 IP アドレスが使用されるため、これらの要件を満たします。

ただし、RADIUS データベースからアカウンティング レコードを取得するときに、課金システムによっては、アカウンティング レコード内で RADIUS アトリビュート 4（NAS-IP-Address）が使用される場合があります。このアトリビュートの値は、独自の IP アドレスとして NAS ルータ上に記録されます。NAS ルータは、RADIUS サーバとの間で動作している NAT または PAT を認識しません。そのため、NAS ルータごとに異なる RADIUS アトリビュート 4 アドレスがユーザのアカウンティング レコードに記録されます。最終的に、これらのアドレスは、複数の NAS ルータを RADIUS サーバと対応する課金システムに公開することになります。

RADIUS NAS-IP-Address アトリビュート設定可能性の設定方法

ここでは、次の各手順について説明します。

• 「RADIUS NAS-IP-Address アトリビュート設定可能性の設定」

• 「RADIUS NAS-IP-Address アトリビュート設定可能性のモニタリングとメンテナンス」

RADIUS NAS-IP-Address アトリビュート設定可能性の設定例

ここでは、次の設定例について説明します。

• 「RADIUS NAS-IP-Address アトリビュート設定可能性の設定：例」

その他の参考資料

次の項で、RADIUS NAS-IP-Address アトリビュート設定可能性に関する参考資料を紹介します。

RADIUS NAS-IP-Address アトリビュート設定可能性の機能情報

表 1 に、この機能のリリース履歴を示します。

ご使用の Cisco IOS ソフトウェア リリースによっては、コマンドの中に一部使用できないものがあります。特定のコマンドに関するリリース情報については、コマンド リファレンス マニュアルを参照してください。

Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェア イメージのサポート情報を検索できます。Cisco Feature Navigator を使用すると、特定のソフトウェア リリース、機能セット、またはプラットフォームをサポートする Cisco IOS ソフトウェア イメージおよび Catalyst OS ソフトウェア イメージを確認できます。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。

（注） 表 1 には、一連の Cisco IOS ソフトウェア リリースのうち、特定の機能が初めて導入された Cisco IOS ソフトウェア リリースだけが記載されています。特に明記していないかぎり、その機能は、一連の Cisco IOS ソフトウェア リリースの以降のリリースでもサポートされます。