例：EAP-TTLS 認証および Odyssey アクセスクライアント用の EX シリーズスイッチでのフォールバックオプションの構成

要件

• EX シリーズスイッチの Junos OS リリース11.2 以降

• 1つの EX シリーズスイッチを、PAE (オーセンティケータ port access entity) として機能させることができます。オーセンティケータのポートは、認証されるまで、サプリカントとのすべてのトラフィックをブロックする制御ゲートを形成します。

• 802.1 X をサポートする1つの RADIUS 認証サーバーです。認証サーバーはバックエンドデータベースとして動作し、ネットワークに接続する権限を持つホスト (サプリカント) の資格情報が含まれています。

• 1つの OAC のエンドデバイスが、サプリカントとして動作します。

フォールバックオプションの設定を開始する前に、以下のものがあることを確認してください。

• スイッチと RADIUS サーバー間の接続を設定します。例をご覧ください。Example: Connecting a RADIUS Server for 802.1X to an EX Series Switchに接続します。

• サーバーで EAP-TLS が設定されています。RADIUS サーバーのマニュアルを参照してください。

• RADIUS サーバー上のユーザーを設定しました。RADIUS サーバーのマニュアルを参照してください。

概要とトポロジー

OAC は、エンドポイントコンピューター (デスクトップ、ラップトップ、またはメモ帳)、およびサポートされている無線デバイスで動作するネットワークソフトウェアです。OAC は、セキュアな無線 LAN アクセスに必要な EAP を完全にサポートしています。

このトポロジでは、OAC は 802.1 X 対応スイッチおよび RADIUS サーバーとともに導入されています。スイッチは、ネットワークセキュリティーアーキテクチャのポリシー適用ポイントとして機能します。このトポロジ:

• 許可されたユーザーのみが接続できることを保証します。

• ログイン認証情報のプライバシを維持します。

• 無線リンクを介してデータのプライバシを維持します。

この例では、サーバー拒否 VLAN の設定がスイッチに含まれています。これを使用して、不適切なログイン認証情報を入力したユーザーが誤ってロックアウトされるのを防ぐことができます。これらのユーザーには、限定された LAN アクセスを与えることができます。

ただし、このフォールバック構成は、OAC のサプリカントと RADIUS サーバーが EAP-TLS を使用しているという事実によって複雑になります。EAP-TLS は、サーバーとエンドデバイスの間にセキュア暗号化トンネルを作成して、認証プロセスを完了します。ユーザーが不正なログイン認証情報を入力すると、RADIUS サーバーはこのトンネルを通じて、EAP エラーメッセージをクライアントに直接送信します。EAP エラーメッセージにより、クライアントは認証手順を再開するため、スイッチ’s 802.1 x 認証プロセスは、サーバー拒否 VLAN を使用して、スイッチとの間で確立されたセッションを停止します。修復接続を有効にするには、以下の設定を行います。

• eapol ブロック—サーバー拒否 VLAN に属しているように設定されている 802.1 X インターフェイスで EAPoL ブロックタイマーを有効にします。ブロックタイマーによって認証ポートアクセスエンティティは、クライアントからの EAP 起動メッセージを無視して、認証手続きを再開します。

  注

  EAPoL ブロックタイマーがトリガーされるのは、設定された数の再試行が許可されている場合のみです ( リトライオプション) が 802.1 X インターフェイスで使い果たされました。設定することができ リトライ最初に障害が発生した後、スイッチがポートの認証を試行する回数を指定します。デフォルトは再試行回数3回です。

• ブロック・インターバル—EAPoL ブロックタイマーが EAP 起動メッセージを無視し続ける時間を設定します。ブロック間隔を構成しない場合、EAPoL ブロックタイマーはデフォルトで120秒に設定されます。

802.1 X インターフェイスがクライアントからの EAP 起動メッセージを無視すると、サーバー拒否の VLAN を介して確立された既存の修復セッションが開始したままになります。

これらの設定オプションは、単一の、単一のセキュアな、複数のサプリカント認証モードに適用されます。この例では、802.1 X インターフェイスは単一のサプリカントモードで構成されています。

図 1は、OAC エンドデバイスを RADIUS サーバーに接続する EX シリーズスイッチと、ネットワークエンティティを接続するために使用されるプロトコルを示しています。

図 1: EX シリーズスイッチ OAC を EAP-TLS 認証を使用して RADIUS サーバーに接続

表 1この OAC 導入のコンポーネントについて説明します。

構成

CLI 簡単構成

OAC サプリカントの EAP-FAST オプションを迅速に設定するには、以下のコマンドをコピーしてスイッチ端末ウィンドウに貼り付けます。

ステップごとの手順

1. 不適切なログイン認証情報を入力したユーザーに対して、サーバー拒否 VLAN として機能する VLAN を構成して、限定された LAN アクセスを提供します。
   [edit]

user@switch# set vlans remedial vlan-id 700
2. 不正なログインがサーバー拒否 VLAN に送信される前に、クライアントがユーザー名とパスワードを要求する回数を設定します。
   [edit protocols dot1x authenticator interface ge-0/0/8]

user@switch# set retries 4
3. 不正なログインのために、サーバー拒否の VLAN をフォールバックとして使用するように 802.1 X オーセンティケータインターフェイスを構成します。
   [edit protocols dot1x authenticator interface ge-0/0/8]

user@switch# set server-reject-vlan remedial
4. サーバー拒否 VLAN に属しているように設定されている 802.1 X インターフェイスで EAPoL ブロックタイマーを有効にします。
   [edit protocols dot1x authenticator interface ge-0/0/8]

user@switch# set server-reject-vlan eapol-block
5. EAPoL ブロックが有効な時間の長さを設定します。
   [edit protocols dot1x authenticator interface ge-0/0/8]

user@switch# set server-reject-vlan block-interval 130

結果

構成の結果を確認します。

検証

• 802.1 X インターフェイスの構成の確認

802.1 X インターフェイスの構成の確認

目的

802.1 X インターフェイスが適切なオプションで設定されていることを確認します。

アクション

意味

このshow dot1x ge-0/0/8 detailコマンド出力では、 ge-0/0/8インターフェイスは 済みを使用していることを示します。 是正VLAN.