- ユーザ サービスのセキュリティ保護の概要
- AutoSecure
- 認証
- 認証の設定
- 認可の設定
- Standalone MAB Support
- アカウンティングの設定
- 認証プロキシの設定
- IEEE 802.1x-Flexible Authentication
- ネットワーク アドミッション コントロール
- RADIUS の設定
- AAA Dead-Server Detection
- AAA-SERVER-MIB Set Operation
- ACL Default Direction
- アクセス要求のアトリビュート スクリーニン グ
- 事前認証ユーザに対する RADIUS を使用した マルチリンク PPP のイネーブル化
- 拡張テスト コマンド
- RADIUS アカウンティング内の Framed-Route
- Offload Server Accounting Enhancement
- Per VRF AAA
- RFC-2867 RADIUS トンネル アカウンティン グ
- RADIUS アトリビュート スクリーニング
- RADIUS 集中型フィルタ管理
- RADIUS デバッグ拡張
- RADIUS 論理回線 ID
- RADIUS NAS-IP-Address アトリビュート 設定可能性
- RADIUS ルート ダウンロード
- RADIUS サーバ ロード バランシング
- 56 ビット アカウンティング セッション ID の RADIUS サポート
- ロード バランシングおよびフェールオーバー 用の RADIUS トンネル プリファレンス
- RADIUS サーバ障害発生時順序変更
- トンネル ターミネータでの RADIUS 経由での トンネル認証
- TACACS+ の設定
- Per VRF for TACACS+ Servers
- RADI US アトリビュート概要と RADIUS IETF アトリビュート
- RADIUS ベンダー固有アトリビュート
- RADIUS ベンダー固有アトリビュート （VSA）および RADIUS Disconnect-Cause アトリビュート値
- アクセス要求内の RADIUS アトリビュート 8 （Framed-IP-Address）
- RADIUS トンネル アトリビュート拡張
- セキュア シェルの設定
- リバース SSH 拡張
- セキュア コピー
- セキュア シェル バージョン 2 サポート
- SSH Terminal-Line アクセス
- Cisco IOS Login Enhancements（Login Block）
- Cisco IOS Resilient Configuration
- イメージ検証
- IP ソース トラッカー
- ロールベースの CLI アクセス
セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月6日
章のタイトル： ロード バランシングおよびフェールオーバー 用の RADIUS トンネル プリファレンス
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンス
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンス機能は、シスコ独自の Vendor Specific Attribute（VSA; ベンダー固有アトリビュート）を使用せずに、業界標準のロード バランシング機能とフェールオーバー機能を Layer 2 Tunnel Protocol Network Server（LNS; レイヤ 2 トンネル プロトコル ネットワーク サーバ）に提供します。この機能は、RFC 2868 で規定されているマルチベンダー ネットワーク環境に使用すべきトンネル アトリビュートに適合しているため、複数のベンダーで製造された Network Access Servers（NAS; ネットワーク アクセス サーバ）間の相互運用性の問題を解決します。
機能情報の確認
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。この章に記載されている機能の詳細、および各機能がサポートされているリリースのリストについては、「ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスの機能情報」 を参照してください。
プラットフォーム サポートと Cisco IOS および Catalyst OS ソフトウェア イメージ サポートに関する情報を入手するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。
この章の構成
•
「前提条件」
• 「制約事項」
• 「ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスに関する情報」
• 「ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスの設定方法」
• 「ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスの設定例」
• 「ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスの機能情報」
• 「用語集」
前提条件
VPDN と HGW グループの設定はこのマニュアルの範囲を超えています。詳細については、「関連資料」を参照してください。
制約事項
次の制約と制限がロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンス機能に適用されます。
• この機能は、VPDN ダイヤルアウト ネットワークをサポートしていません。ダイヤルイン アプリケーション専用に設計されています。
• ネットワーク上で許容される LNS の最大数は、タグ アトリビュート グループ当たり 50 ずつの合計 1550 で、タグは 31 までに制限されています。
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスに関する情報
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンス機能は、ロード バランシングおよびフェールオーバー Virtual Private Dialup Network（VPDN; バーチャル プライベート ダイヤルアップ ネットワーク）Home Gateway（HGW; ホーム ゲートウェイ）グループを標準化された方法で提供します。この機能は、新しいソフトウェア機能を導入しています。この機能に関連付けられた新しいコマンドはありません。
独自のアトリビュートではなく、業界標準のアトリビュート
Cisco IOS Release 12.2(4)T までは、LNS のロード バランシングおよびフェールオーバー機能が、シスコ独自の VSA によって提供されていました。マルチベンダー ネットワーク環境で、RADIUS 上の VSA を使用した場合は、複数のベンダーによって製造された NAS 間で相互運用性の問題が発生する可能性があります。特定の RADIUS サーバ実装が要求元の NAS で解読可能な VSA を送信可能な場合でも、ユーザが同じ目的で複数の VSA をシングル サービス プロファイルに保存しておく必要があります。
マルチベンダー ネットワーク環境で使用すべきトンネル アトリビュートに関する合意は RFC 2868 で規定されています。RFC 2868 では、Tunnel-Server-Endpoint と Tunnel-Medium-Type を組み合わせて、NAS が新しいセッションを開始すべきアドレスが指定されます。複数の Tunnel-Server-Endpoint アトリビュートが 1 つのタグ付きアトリビュート グループ内で定義されている場合は、equal-cost load-balancing HGW として解釈されます。
RFC 2868 で規定されている Tunnel-Preference アトリビュートは、ロード バランシングおよびフェールオーバー HGW グループを形成する手段として使用できます。複数のタグ付きアトリビュート グループの Tunnel-Preference 値が同じ場合は、他に指定されていなければ、それらのアトリビュート グループの Tunnel-Server-Endpoint が同じ優先順位に設定されていると見なされます。一部のアトリビュート グループの Tunnel-Preference 値が他のアトリビュート グループよりも高い（プリファレンスが低い）場合は、それらの Tunnel-Server-Endpoint アトリビュートの優先順位が上になります。あるアトリビュート グループの優先順位値が高い場合は、それより優先順位値が低いアトリビュート グループが接続に使用できない場合に、そのアトリビュート グループがフェールオーバーに使用されます。
Cisco IOS Release 12.2(4)T までは、特別に書式設定された文字列がシスコ VSA の「vpdn:ip-addresses」文字列内で NAS に転送され、HGW のロード バランシングおよびフェールオーバーに使用されていました。たとえば、10.0.0.1 10.0.0.2 10.0.0.3/2.0.0.1 2.0.0.2 は、ロード バランシング用の最初のグループに関する IP アドレスの 10.0.0.1、10.0.0.2、および 10.0.0.3 として解釈されます。新しいセッションは、least-load-first アルゴリズムに基づいて、この 3 つのアドレスに送出されます。このアルゴリズムは、ローカルな知識を利用して、新しいセッションを開始する負荷が最低の HGW を選択します。この例では、2 番めのグループ内のアドレスの 2.0.0.1 と 2.0.0.2 が、優先順位が低く、最初のグループ内で指定されたすべての HGW が新しい接続要求に対する応答に失敗した場合にのみ適用可能になります。そのため、2.0.0.1 と 2.0.0.2 がフェールオーバー アドレスになります。RADIUS トンネル プロファイル内でのこのようなフェールオーバー アドレスの設定方法の例については、「ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスの設定例」を参照してください。
マルチベンダー ネットワークにおけるロード バランシングとフェールオーバー
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンス機能は、図 1 に示す設定のように、ATM やイーサネットなどの WAN リンク上の VPDN レイヤ 2 トンネルを使用する大規模マルチベンダー ネットワーク用に設計されています。
図 1 マルチベンダー ネットワークにおける代表的なロード バランシングとフェールオーバー
図 1 に示す設定では、NAS が RADIUS サーバからダウンロードされたトンネル プロファイルを使用して、ロード バランシングおよびフェールオーバー用の VPDN レイヤ 2 トンネルを構築します。Point-to-Point over Ethernet（PPPoE）プロトコルが、PPP セッションを生成するクライアントとして使用されます。
関連機能およびテクノロジー
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンス機能は VPDN で使用されます。加えて、次のテクノロジーとプロトコルに精通していることが求められます。
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスの設定方法
この機能には新しいコンフィギュレーション コマンドがありません。ただし、ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンス機能の RADIUS トンネル プロファイル内での実装方法については、次の項を参照してください。
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスの設定例
次の例は、RADIUS トンネル プロファイルの作成方法を示しています。
これらのプロファイル内でフェールオーバー アドレスがどのように選択されるかの詳細については、「ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスに関する情報」を参照してください。RADIUS トンネル プロファイルの作成に使用するマニュアルについては、「関連資料」を参照してください。
その他の参考資料
次の項で、ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンス機能に関する参考資料を紹介します。
関連資料
|
|
|
|---|---|
「 Configuring RADIUS 」モジュール |
|
「 RADIUS Attributes Overview and RADIUS IETF Attributes 」モジュール |
|
『 Cisco IOS VPDN Configuration Guide , Release 15.0』 |
|
『 Cisco IOS Dial Technologies Configuration Guide , Release 12.4T』 |
|
『 Cisco IOS Broadband Access Aggregation and DSL Configuration Guide , Release 12.4T』 |
規格
|
|
|
|---|---|
MIB
|
|
|
|---|---|
選択したプラットフォーム、Cisco IOS リリース、および機能セットの MIB を検索してダウンロードする場合は、次の URL にある Cisco MIB Locator を使用します。 |
RFC
|
|
|
|---|---|
ロード バランシングおよびフェールオーバー用の RADIUS トンネル プリファレンスの機能情報
表 1 に、この機能のリリース履歴を示します。
ご使用の Cisco IOS ソフトウェア リリースによっては、コマンドの中に一部使用できないものがあります。特定のコマンドに関するリリース情報については、コマンド リファレンス マニュアルを参照してください。
Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェア イメージのサポート情報を検索できます。Cisco Feature Navigator を使用すると、特定のソフトウェア リリース、機能セット、またはプラットフォームをサポートする Cisco IOS ソフトウェア イメージおよび Catalyst OS ソフトウェア イメージを確認できます。Cisco Feature Navigator には、 http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp からアクセスできます。Cisco.com のアカウントは必要ありません。
（注） 表 1 には、一連の Cisco IOS ソフトウェア リリースのうち、特定の機能が初めて導入された Cisco IOS ソフトウェア リリースだけが記載されています。特に明記していないかぎり、その機能は、一連の Cisco IOS ソフトウェア リリースの以降のリリースでもサポートされます。
用語集
HGW ：Home GateWay（ホーム ゲートウェイ）。L2TP などのレイヤ 2 トンネリング プロトコルを終端するゲートウェイ。
L2TP ：Layer 2 Tunnel Protocol（レイヤ 2 トンネル プロトコル）。PPP のトンネリングを提供する RFC 2661 で規定されたインターネット技術特別調査委員会（IETF）標準トラック プロトコル。L2F と PPTP の最良の機能に基づいて、L2TP が、VPDN を実装するための業界全体で相互運用可能な方式を提供します。
L2TP ネットワーク サーバ：LNS を参照してください。
LNS ：L2TP Network Server（L2TP ネットワーク サーバ）。L2TP トンネル エンドポイントの一方の側として機能し、NAS または L2TP アクセス コンセントレータ（LAC）に対するピアであるノード。LNS は、アクセス サーバによってリモート システムからトンネル化されている PPP セッションの論理的終端点です。レイヤ 2 フォワーディング（L2F）HGW に似ています。
NAS ：Network Access Server（NAS; ネットワーク アクセス サーバ）パケットの世界（インターネットなど）と回線の世界（公衆電話交換網など）をインターフェイスするシスコ プラットフォームまたはプラットフォームの集合。
Request for Comments ：RFC を参照してください。
RFC ：Request for Comments。インターネット技術特別調査委員会（IETF）によって収集されたインターネットに関する各種規約。1969 年に発足した IETF は、インターネット アーキテクチャの発展に携わっているネットワーク設計者、運営業者、ベンダー、および研究者の大規模でオープンな国際的コミュニティです。RFC は、ネットワーキング プロトコル、手続き、プログラム、および概念に焦点を当てた、コンピュータ通信のさまざまな側面を規定しています。
VPDN ：Virtual Private Dialup Network（バーチャル プライベート ダイヤルアップ ネットワーク）。ネットワーク間のトラフィックをすべて暗号化することにより、パブリック TCP/IP ネットワーク経由でも IP トラフィックをセキュアに転送できます。
ネットワーク アクセス サーバ ：NAS を参照してください。
バーチャル プライベート ダイヤルアップ ネットワーク ：VPDN を参照してください。
レイヤ 2 トンネル プロトコル ：L2TP を参照してください。
Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)
このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワーク トポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。
© 2001-2009 Cisco Systems, Inc.
All rights reserved.
フィードバック