シスコは、認証、認可、およびアカウンティング（AAA）セキュリティ パラダイムに基づいて RADIUS をサポートします。RADIUS は、TACACS+、Kerberos、ローカル ユーザー名の検索など、他の AAA セキュリティ プロトコルと併用できます。RADIUS はすべての Cisco プラットフォームでサポートされますが、RADIUS でサポートされる一部の機能は、指定されたプラットフォームだけで実行されます。

RADIUS は、リモート ユーザーのネットワーク アクセスを維持すると同時に高度なレベルのセキュリティを必要とするさまざまなネットワーク環境に実装されています。

RADIUS は、アクセスのセキュリティが必要な次のネットワーク環境で使用できます。

• それぞれが RADIUS をサポートする、マルチベンダー アクセス サーバによるネットワーク。たとえば、複数のベンダーのアクセス サーバが、1 つの RADIUS サーバベース セキュリティ データベースを使用します。複数ベンダーのアクセス サーバからなる IP ベースのネットワークでは、ダイヤルイン ユーザは RADIUS サーバを通じて認証されます。RADIUS サーバは、Kerberos セキュリティ システムで動作するようにカスタマイズされています。

• アプリケーションが RADIUS プロトコルをサポートするターンキー ネットワーク セキュリティ環境。たとえば、スマート カード アクセス コントロール システムを使用するアクセス環境。その例として、ユーザーの検証とネットワーク リソースへのアクセス許可に、RADIUS が Enigma のセキュリティ カードとともに使用されています。

• すでに RADIUS を使用中のネットワーク。RADIUS 機能を持つ Cisco デバイスをネットワークに追加できます。これが TACACS+ サーバーへの移行の最初のステップとなることもあります。

• ユーザーが単一のサービスにだけアクセスする必要があるネットワーク。RADIUS を使用すると、単一ホスト、単一ユーティリティ（Telnet など）、または単一プロトコル（PPP など）に対するユーザー アクセスを制御できます。たとえば、ユーザーがログインすると、RADIUS は、IP アドレス 10.2.3.4 を使用してそのユーザーが PPP を実行する権限を持っていることを識別し、定義済みのアクセス リストが開始されます。

• リソース アカウンティングが必要なネットワーク。RADIUS アカウンティングは、RADIUS 認証または RADIUS 認可とは個別に使用できます。RADIUS アカウンティング機能を使用すると、サービスの開始および終了時に、セッション中に使用したリソース（時間、パケット、バイトなど）の量を示すデータを送信できます。ISP は、RADIUS アクセス コントロールおよびアカウンティング ソフトウェアのフリーウェア バージョンを使用して、特殊なセキュリティおよび課金に対するニーズを満たすこともできます。

• 事前認証をサポートしているネットワーク。ネットワークに RADIUS サーバーを導入すると、AAA 事前認証を設定し、事前認証のプロファイルを設定できます。サービス プロバイダーが事前認証を使用すると、既存の RADIUS ソリューションを使用するポートの管理性が向上し、共有リソースを効率的に管理して、各種のサービスレベル 契約を提供できるようになります。

RADIUS は、次のようなネットワーク セキュリティ状況には適していません。

• マルチプロトコル アクセス環境。RADIUS は次のプロトコルをサポートしていません。

  • AppleTalk Remote Access（ARA）
  • NetBIOS Frame Control Protocol（NBFCP）
  • NetWare Asynchronous Services Interface（NASI）
  • X.25 Packet Assemblers/Disassemblers（PAD）接続

• デバイスからデバイスへの状況。RADIUS は、双方向認証を行いません。RADIUS は、他社製のデバイスが RADIUS 認証を必要とする場合に、あるデバイスから他社製のデバイスへの認証に使用できます。

• 各種のサービスを使用するネットワーク。RADIUS は、一般に 1 人のユーザを 1 つのサービス モデルにバインドします。

ユーザーがログインを試行し、RADIUS を使用してアクセスサーバーから認証を受ける場合、次の手順が発生します。

1. ユーザー名とパスワードの入力を求めるプロンプトが表示されます。

2. ユーザ名および暗号化されたパスワードが、ネットワーク経由で RADIUS サーバに送信されます。

3. ユーザは、RADIUS サーバから次のいずれかの応答を受信します。

   1. ACCEPT：ユーザーが認証されたことを表します。
   2. CHALLENGE：RADIUS サーバーによってチャレンジが発行されます。チャレンジは、ユーザーから追加データを収集します。
   3. CHANGE PASSWORD：RADIUS サーバーからユーザーに対して新しいパスワードの選択を求める要求が発行されます。
   4. REJECT：ユーザーは認証されず、ユーザー名とパスワードの再入力を求められるか、アクセスを拒否されます。

ACCEPT 応答または REJECT 応答には、EXEC 許可またはネットワーク許可に使用される追加データが含まれています。RADIUS 認可を使用するには、まず RADIUS 認証を完了する必要があります。ACCEPT または REJECT パケットに含まれる追加データの内容は次のとおりです。

• ユーザーがアクセスできるサービス。Telnet、rlogin、またはローカル エリア トランスポート（LAT）などの接続や、PPP、Serial Line Internet Protocol（SLIP）、または EXEC サービスなどのサービスを含む。

• ホストまたはクライアントの IP アドレス、アクセス リスト、ユーザータイムアウトなどの接続パラメータ。

ネットワーク アクセス サーバーは、各ユーザー プロファイルで RADIUS 属性で定義されている RADIUS 認可機能およびアカウンティング機能をモニターします。

RADIUS 属性は、事前認証の動作を指定するために RADIUS 事前認証プロファイルで設定されています。シスコ デバイスで事前認証を設定するだけでなく、RADIUS サーバーでも事前認証プロファイルを設定する必要があります。

RADIUS サーバーを指定し、RADIUS 認証キーを定義した後は、RADIUS 認証の方式リストを定義する必要があります。AAA によって RADIUS 認証が容易になるため、aaa authentication コマンドを入力し、認証方式として RADIUS を指定する必要があります。

AAA 認可を使用すると、ユーザーのアクセスをそのネットワークに制限するパラメータを設定できます。RADIUS を使用する認可は、1 回限りの認可や各サービスに対する認可、各ユーザーに対するアカウント リストおよびプロファイル、ユーザー グループのサポート、IP、IPX、AppleTalk Remote Access（ARA）、および Telnet のサポートなど、リモート アクセスをコントロールするための方法を提供します。AAA によって RADIUS 認可は容易になるため、認可方式として RADIUS を指定して、aaa authorization コマンドを入力する必要があります。

AAA アカウンティング機能を使用すると、ユーザーがアクセスしているサービスや、ユーザーが消費しているネットワーク リソース量を追跡できます。AAA によって RADIUS アカウンティングは容易になるため、アカウンティング方式として RADIUS を指定して、aaa accounting コマンドを入力する必要があります。

ネットワーク アクセス サーバー（NAS）が、ダイヤルイン ユーザーに対する接続を試行するときに複数のログイン ホストを試行できるようにするため、RADIUS サーバーのユーザー プロファイルに 3 つの Login-IP-Host エントリを入力できます。次に、ユーザー user1 用に 3 つの Login-IP-Host インスタンスを設定し、接続に TCP-Clear を使用する例を示します。

user1 Password = xyz
        Service-Type = Login,
        Login-Service = TCP-Clear,
        Login-IP-Host = 10.0.0.0,
        Login-IP-Host = 10.2.2.2,
        Login-IP-Host = 10.255.255.255,
        Login-TCP-Port = 23

ホストの入力順は、試行される順序になります。ip tcp synwait-time コマンドを使用して、NAS がリストの次のホストに対して接続を試行するまでに待機する秒数を設定します。デフォルトは 30 秒です。

使用している RADIUS サーバーが 4 つ以上の Login-IP-Host エントリを許可していても、NAS が Access-Accept パケットでサポートするのは 3 つのホストだけです。

Access-Challenge パケットに対するユーザーの応答を画面にエコーするかどうかを制御するには、RADIUS サーバーのユーザー プロファイルで Prompt 属性を設定します。この属性は、Access-Challenge パケットにだけ含まれます。次に、No-Echo に設定された Prompt 属性の例を示します。この設定で、ユーザーの応答はエコーされません。

user1 Password = xyz 
Service-Type = Login, 
Login-Service = Telnet, 
Prompt = No-Echo, 
Login-IP-Host = 172.31.255.255 

ユーザーの応答をエコーするには、この属性を Echo に設定します。Prompt 属性をユーザー プロファイルに含めない場合、デフォルトで応答はエコーされま。

この属性は、アクセス サーバーに設定されている radius-server challenge-noecho コマンドの動作よりも優先されます。たとえば、アクセス サーバーがエコーを表示しないように設定され、個人のユーザー プロファイルではエコーを許可している場合、ユーザー応答はエコーされます。

Note	Prompt 属性を使用する場合、Access-Challenge パケットをサポートするように RADIUS サーバーを設定する必要があります。

IETF 標準規格では、ネットワーク アクセス サーバーと RADIUS サーバーの間で、ベンダー固有属性（属性 26）を使用してベンダー固有の情報を伝達する方法を指定しています。各ベンダーは、Vendor-Specific Attribute（VSA）を使用することによって、一般的な用途には適さない独自の拡張属性をサポートできます。シスコの RADIUS 実装は、この仕様で推奨される形式を使用して、1 つのベンダー固有オプションをサポートしています。シスコのベンダー ID は 9 で、サポートされるオプションはベンダー タイプ 1、名前は「cisco-avpair」です。この値は、次のフォーマットのストリングです。

protocol : attribute sep value *

「protocol」は、特定の認可タイプに対するシスコの「protocol」属性の値です。使用可能なプロトコルには、IP、Internetwork Packet Exchange（IPX）、VPDN、VoIP、セキュア シェル（SSH）、Resource Reservation Protocol（RSVP）、シリアル インターフェイス プロセッサ（SIP）、AirNet、およびアウトバウンドなどがあります。「attribute」と「value」は、Cisco TACACS+ 仕様で定義されている適切な AV ペアで、「sep」は、必須属性では「=」、省略可能な属性では「*」です。この設定により、TACACS+ 認可で使用できる機能一式を RADIUS でも使用できるようになります。

たとえば、次の AV ペアにより、シスコの「複数の名前付き IP アドレス プール」機能が、IP 認可中（PPP のインターネット プロトコル制御プロトコル（IPCP）アドレスの割り当て中）に有効化されます。

cisco-avpair= ”ip:addr-pool=first“

「*」を挿入すると、AV ペア「ip:addr-pool=first」は省略可能になります。任意の AV ペアを省略可能にすることができます。

cisco-avpair= ”ip:addr-pool*first“

次に、ネットワーク アクセス サーバからユーザがログインしたときに、すぐに EXEC コマンドを実行する方法の例を示します。

cisco-avpair= ”shell:priv-lvl=15“ 

他のベンダーには、そのベンダー固有の ID、オプション、関連 VSA があります。

RADIUS のベンダー固有実装の一部では、ネットワーク内にある個々のネットワーク アクセス サーバーの代わりに、ユーザーが RADIUS サーバーのスタティック ルートおよび IP プールを定義できます。各ネットワーク アクセス サーバーは、スタティック ルートと IP プール情報について RADIUS サーバーに照会します。

シスコ デバイスが起動したときに、そのデバイスまたはアクセス サーバーがスタティック ルートと IP プール定義を RADIUS サーバーに照会するには、radius-server configure-nas コマンドを使用します。

radius-server configure-nas コマンドは、シスコ デバイスの起動時に実行されるため、copy system:running-config nvram:startup-config コマンドを入力するまで有効になりません。