Cisco Nexus 1000V セキュリティ コンフィギュレー ション ガイド リリース 4.0(4)SV1(3)

RADIUS のネットワーク環境

RADIUS は、リモート ユーザのネットワーク アクセスを維持すると同時に高度なレベルのセキュリティを必要とするさまざまなネットワーク環境に実装できます。

RADIUS は、アクセスのセキュリティが必要な次のネットワーク環境で使用できます。

• 複数ベンダーのネットワーク デバイスで構成され、それぞれが RADIUS をサポートしているネットワーク。たとえば、複数ベンダーのネットワーク デバイスが 1 つの RADIUS サーバベースのセキュリティ データベースを使用できます。

• すでに RADIUS を使用しているネットワーク。RADIUS 機能を持つ Cisco NX-OS デバイスをネットワークに追加できます。これが AAA サーバへ移行する最初のステップにもなります。

• リソースのアカウンティングが必要なネットワーク。RADIUS アカウンティングは、RADIUS 認証や認可と無関係に使用できます。RADIUS アカウンティング機能を使用すると、サービスの開始と終了の時点にデータを送信し、そのセッション中に使用されたリソース（時間、パケット、バイトなど）の量を示すことができます。Internet Service Provider（ISP; インターネット サービス プロバイダー）は、特殊なセキュリティおよび課金のニーズを満たすために、RADIUS アクセス制御およびアカウンティング ソフトウェアのフリーウェア バージョンを使用する場合もあります。

• 認証プロファイルをサポートするネットワーク。ネットワークに RADIUS サーバを導入すると、AAA 認証を設定しユーザ単位のプロファイルをセットアップできます。ユーザ単位のプロファイルにより、既存の RADIUS ソリューションを使用するポートの管理性が向上し、共有リソースを効率的に管理して、各種のサービスレベル契約を提供できるようになります。

RADIUS の動作

RADIUS を使用する NX-OS デバイスにユーザがログインおよび認証を試みると、次の処理が行われます。

1. プロンプトが表示され、ユーザはユーザ名とパスワードを入力します。

2. ユーザ名と暗号化されたパスワードがネットワーク経由で RADIUS サーバに送信されます。

3. ユーザは、RADIUS サーバから次のいずれかの応答を受信します。

– ACCEPT：ユーザは認証されました。

– REJECT：ユーザは認証されず、ユーザ名とパスワードの再入力を要求されるか、またはアクセスが拒否されます。

– CHALLENGE：RADIUS サーバによりチャレンジが送信されます。チャレンジによってユーザから追加データが収集されます。

– CHANGE PASSWORD：RADIUS サーバからユーザに対して、新しいパスワードの選択を求める要求が送信されます。

ACCEPT または REJECT 応答には、EXEC またはネットワーク許可に使用される追加データが含まれています。RADIUS 許可を使用するには、まず RADIUS 認証を完了する必要があります。ACCEPT または REJECT パケットに含まれる追加データには、次のものがあります。

• Telnet、rlogin、または Local-Area Transport（LAT; ローカルエリア トランスポート）接続、および Point-to-Point Protocol（PPP; ポイントツーポイント プロトコル）、Serial Line Internet Protocol（SLIP; シリアル ライン インターネット プロトコル）、または EXEC サービスといった、ユーザがアクセスできるサービス

• ホストまたはクライアントの IPv4 アドレス、アクセス リスト、ユーザ タイムアウトなどの接続パラメータ

RADIUS サーバ モニタリング

応答しない RADIUS サーバがあると、AAA 要求の処理が遅れることがあります。AAA 要求の処理時間を短縮するために、RADIUS サーバを定期的にモニタして RADIUS サーバが応答している（アライブ）かどうかを調べることができます。応答しない RADIUS サーバはデッド（dead）としてマークされ、AAA 要求は送信されません。デッド RADIUS サーバは定期的にモニタされ、応答があればアライブ状態に戻されます。このモニタリング プロセスにより、RADIUS サーバが稼動状態であることを確認してから、実際の AAA 要求が送信されます。RADIUS サーバがデッドまたはアライブの状態に変わると Simple Network Management Protocol（SNMP; 簡易ネットワーク管理プロトコル）トラップが生成され、障害が発生していることを示すエラー メッセージが表示されます。図 5-1 を参照してください。

図 5-1 RADIUS サーバの状態

（注） アライブ サーバとデッド サーバのモニタリング間隔は異なります。これらは、ユーザが設定できます。RADIUS サーバ モニタリングは、テスト認証要求を RADIUS サーバに送信して行われます。

ベンダー固有属性

Internet Engineering Task Force（IETF; インターネット技術特別調査委員会）ドラフト標準には、ネットワーク アクセス サーバと RADIUS サーバの間で Vendor-Specific Attribute（VSA; ベンダー固有属性）を伝達する方法が規定されています。IETF はアトリビュート 26 を使用しています。VSA を使用すると、ベンダーは一般的な用途に適さない独自の拡張アトリビュートをサポートできます。シスコの RADIUS 実装では、IETF 仕様で推奨される形式を使用したベンダー固有オプションを 1 つサポートしています。シスコのベンダー ID は 9 で、サポートするオプションはベンダー タイプ 1、名前は cisco-av-pair です。値は、次の形式のストリングです。

protocol は、特定の許可タイプを表すシスコのアトリビュートです。separator は、必須アトリビュートの場合は =（等号）、任意のアトリビュートの場合は * （アスタリスク）です。

認証に RADIUS サーバを使用した場合、RADIUS プロトコルでは RADIUS サーバに対して、認証結果とともに権限付与情報などのユーザ アトリビュートを返すように指示します。この権限付与情報は、VSA を通じて指定されます。

次に、サポートされる VSA プロトコル オプションを示します。

• shell：ユーザ プロファイル情報を提供する access-accept パケットで使用されるプロトコル。

• Accounting：accounting-request パケットで使用されるプロトコル。値にスペースが含まれる場合は、二重引用符で囲む必要があります。

次に、サポートされるアトリビュートを示します。

• roles：ユーザが属しているすべてのロールをリストします。値フィールドは、ロール名をスペースで区切ったストリングです。たとえば、ユーザが属しているロールが network-operator と vdc-admin ならば、値フィールドは「network-operator vdc-admin」となります。このアトリビュートは、RADIUS サーバから送信される Access-Accept フレームの VSA 部分に格納されます。このアトリビュートはシェル プロトコル値とだけ併用できます。次に、Cisco ACS でサポートされるロール アトリビュートの例を示します。

次に、FreeRADIUS でサポートされるロール アトリビュートの例を示します。

（注） VSA を shell:roles*"network-operator vdc-admin" または "shell:roles*¥"network-operator vdc-admin¥"" として指定した場合、この VSA はオプション アトリビュートとしてフラグ設定され、他のシスコ デバイスはこのアトリビュートを無視します。

• accountinginfo：標準の RADIUS アカウンティング プロトコルに含まれるアトリビュートとともにアカウンティング情報を格納します。このアトリビュートは、スイッチ上の RADIUS クライアントから、Account-Request フレームの VSA 部分にだけ格納されて送信されます。このアトリビュートはアカウンティングの Protocol Data Unit（PDU; プロトコル データ ユニット）とだけ併用できます。

RADIUS サーバ ホストの設定

認証に使用する各 RADIUS サーバの IP アドレスまたはホスト名を設定するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• 最大 64 の RADIUS サーバを設定できます。

• すべての RADIUS サーバ ホストは自動的にデフォルトの RADIUS サーバ グループに追加されます。

手順の概要

1. config t

2. radius-server host { ipv4-address | host-name }

3. exit

4. show radius-server

5. copy running-config startup-config

手順の詳細

RADIUS サーバ ホストの削除

サーバ グループから RADIUS サーバ ホストを削除できます。

RADIUS グローバル鍵の設定

すべての RADIUS サーバが Cisco Nexus 1000V での認証に使用するキーを設定するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• RADIUS サーバ認証に使用されるグローバル鍵がわかっています。

手順の概要

1. config t

2. radius-server key [ 0 | 7 ] key-value

3. exit

4. show radius-server

5. copy running-config startup-config

手順の詳細

グローバル事前共有鍵を設定するには、次の手順を実行します。

RADIUS サーバ鍵の設定

単一の RADIUS サーバ ホストの鍵を設定するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• リモート RADIUS ホストに使用される鍵を取得しています。

手順の概要

1. config t

2. radius-server host { ipv4-address | host-name } key key-value

3. exit

4. show radius-server

5. copy running-config startup-config

手順の詳細

RADIUS サーバ グループの設定

メンバー サーバが認証機能を共有する RADIUS サーバ グループを設定するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• RADIUS サーバ グループ内のすべてのサーバが、同じ RADIUS プロトコルに属しています。

• グループ内のサーバへのアクセスは、サーバを設定した順番で行われます。

手順の概要

1. config t

2. aaa group server radius group-name

3. server { ipv4-address | server-name }

4. deadtime minutes

5. use-vrf vrf-name

6. exit

7. show radius-server groups [ group-name ]

8. copy running-config startup-config

手順の詳細

RADIUS サーバの誘導要求のイネーブル化

認証要求の送信先の RADIUS サーバをユーザが指定できるようにするには、次の手順を実行します。これは directed-request（誘導要求）と呼ばれます。

このオプションをイネーブルにした場合、ユーザは username@vrfname:hostname としてログインできます。ここで、vrfname は使用する VRF、hostname は設定された RADIUS サーバの名前です。

（注） ユーザ指定のログインは Telnet セッションに限りサポートされます。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• デフォルトでは、誘導要求はディセーブルです。

手順の概要

1. config t

2. radius-server directed-request

3. exit

4. show radius-server directed-request

5. copy running-config startup-config

手順の詳細

すべての RADIUS サーバのグローバル タイムアウトの設定

ここでは、RADIUS サーバからの応答を待つ時間を指定するグローバル タイムアウト間隔の設定手順を説明します。この時間が経過すると、タイムアウト障害となります。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• 「単一 RADIUS サーバのタイムアウト間隔の設定」で指定したタイムアウトは、RADIUS のグローバル タイムアウトに優先します。

手順の概要

1. config t

2. radius-server timeout seconds

3. exit

4. show radius-server

5. copy running-config startup-config

手順の詳細

すべての RADIUS サーバのグローバル リトライ回数の設定

ローカル認証に切り換える前に RADIUS サーバへの送信を再試行する最大回数を設定するには、次の手順を実行します。この設定はすべての RADIUS サーバに適用されます。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• デフォルトでは、ローカル認証に切り換える前に、RADIUS サーバへの再送信を 1 回だけ試行します。

• リトライ回数は最大 5 回まで増やすことができます。

• 「単一 RADIUS サーバのリトライ回数の設定」で単一の RADIUS サーバに指定したリトライ回数は、このグローバル設定に優先します。

手順の概要

1. config t

2. radius-server retransmission count

3. radius-server timeout seconds

4. exit

5. show radius-server

6. copy running-config startup-config

手順の詳細

単一 RADIUS サーバのタイムアウト間隔の設定

ここでは、RADIUS サーバからの応答を待つ時間を設定する手順を説明します。この時間が経過すると、タイムアウト障害となります。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• 単一の RADIUS サーバに指定したタイムアウトは、「すべての RADIUS サーバのグローバル タイムアウトの設定」で定義したタイムアウトに優先します。

手順の概要

1. config t

2. radius-server host { ipv4-address | host-name } timeout seconds

3. exit

4. show radius-server

5. copy running-config startup-config

手順の詳細

単一 RADIUS サーバのリトライ回数の設定

ローカル認証に切り換える前に RADIUS サーバへの送信を再試行する最大回数を設定するには、次の手順を実行します。この設定は単一の RADIUS サーバに適用され、グローバル リトライ回数に優先します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• デフォルトでは、ローカル認証に切り換える前に、RADIUS サーバへの再送信を 1 回だけ試行します。

• リトライ回数は最大 5 回まで増やすことができます。

• 単一の RADIUS サーバに指定したリトライ回数は、すべての RADIUS サーバ用に作成されるグローバル設定に優先します。

手順の概要

1. config t

2. radius-server host { ipv4-address | host-name } retransmit count

3. exit

4. show radius-server

5. copy running-config startup-config

手順の詳細

RADIUS アカウンティング サーバの設定

アカウンティング機能を実行するサーバを設定するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• デフォルトでは、RADIUS サーバはアカウンティングと認証の両方に使用されます。

• RADIUS アカウンティング メッセージの宛先 UDP ポート番号がわかっています。

手順の概要

1. config t

2. radius-server host { ipv4-address | host-name } acct-port udp-port

3. radius-server host { ipv4-address | host-name } accounting

4. exit

5. show radius-server

6. copy running-config startup-config

手順の詳細

RADIUS サーバの認証およびアカウンティング アトリビュートを設定するには、次の手順を実行します。

RADIUS 認証サーバの設定

認証機能を実行するサーバを設定するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• デフォルトでは、RADIUS サーバはアカウンティングと認証の両方に使用されます。

• RADIUS 認証メッセージの宛先 UDP ポート番号がわかっています。

手順の概要

1. config t

2. radius-server host { ipv4-address | host-name } auth-port udp-port

3. radius-server host { ipv4-address | host-name } authentication

4. exit

5. show radius-server

6. copy running-config startup-config

手順の詳細

RADIUS サーバの認証およびアカウンティング アトリビュートを設定するには、次の手順を実行します。

RADIUS サーバの定期モニタリングの設定

RADIUS サーバのモニタリングを設定するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• テスト アイドル タイマーには、応答しない RADIUS サーバにテスト パケットが送信されるまでの経過時間を指定します。

（注） セキュリティ上の理由から、RADIUS データベースに存在するユーザ名をテスト ユーザ名として設定しないでください。

（注） デフォルトのアイドル タイマー値は 0 分です。アイドル時間の間隔が 0 分の場合、NX-OS デバイスは RADIUS サーバの定期モニタリングを実行しません。

手順の概要

1. config t

2. radius-server host { ipv4-address | host-name } test { idle-time minutes | password password [ idle-time minutes ] | username name [ password password [ idle-time minutes ]]}

3. radius-server dead-time minutes

4. exit

5. show radius-server

6. copy running-config startup-config

手順の詳細

グローバル デッド タイム間隔の設定

すべての RADIUS サーバのデッド タイム間隔を設定するには、次の手順を実行します。デッド タイム間隔には、RADIUS サーバをデッドであると宣言したあと、そのサーバがアライブになったかどうかを確認するためにテスト パケットを送信するまで待機する時間を指定します。デフォルト値は 0 分です。

（注） デッド タイム間隔が 0 分の場合、RADIUS サーバの応答がなくても、そのサーバをデッドとしません。RADIUS サーバ グループに対するデッド タイム間隔を設定できます（「RADIUS サーバ グループの設定」を参照）。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

手順の概要

1. config t

2. radius-server dead-time minutes

3. exit

4. show radius-server

5. copy running-config startup-config

手順の詳細

RADIUS のデッド タイム間隔を設定するには、次の手順を実行します。

RADIUS サーバまたはサーバ グループの手動でのモニタリング

RADIUS サーバまたはサーバ グループにテスト メッセージを手動で送信するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

手順の概要

1. test aaa server radius { ipv4-address | host-name } [ vrf vrf-name ] username password

2. test aaa group group-name username password

手順の詳細

RADIUS サーバ ホストの削除

RADIUS サーバ グループから RADIUS サーバ ホストを削除するには、次の手順を実行します。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

• 「RADIUS サーバ ホストの設定」で 1 つまたは複数の RADIUS サーバ ホストを追加しています。

始める前に

この手順を開始する前に、次のことを確認または実行する必要があります。

• EXEC モードで CLI にログインしています。

手順の概要

1. show radius-server statistics { hostname | ipv4-address }

手順の詳細

このコマンドの出力フィールドの詳細については、『 Cisco Nexus 1000V Command Reference, Release 4.0(4)SV1(3) 』を参照してください。

関連資料

標準規格