統合されたClearPass認証とポリシー適用の概要

Junos OS リリース 15.1X49-D100 以降、SRX シリーズ ファイアウォールおよび vSRX 仮想ファイアウォールでは、無効なエントリーに固有のタイムアウト設定を構成することで、ユーザーを検証する前に、認証テーブル内の無効なユーザー認証エントリを保護できます。無効な認証エントリーのタイムアウト設定は、有効なエントリーに適用される一般的な認証エントリーのタイムアウト設定とは別です。

Windows Active Directory 認証テーブルと ClearPass 認証テーブルの両方の認証エントリには、エントリの有効期限が切れるタイムアウト値が含まれています。この機能を導入する前に、有効および無効な認証エントリに 1 つの共通タイムアウト設定が適用されました。つまり、これらのテーブルのいずれかで無効な認証エントリが作成された場合、テーブルのすべてのエントリに適用されるテーブルの一般的なタイムアウトの現在の設定が適用されます。

Active Directory 認証テーブルと ClearPass 認証テーブルの両方で、ユーザーの ID を検証する前に無効なエントリが期限切れになる可能性があります。それぞれのケースでイベントが発生する原因は次のとおりです。

• Windows Active Directory では、認証されていないユーザーのデバイスをプローブするメカニズムを使用して、デバイスの IP アドレスに基づいたユーザー ID 認証情報を確認します。ユーザーがログインする前に発生するため、Windows が失敗する WMI プローブをトリガーするのは珍しいことではありません。プローブの失敗後、システムは、デバイスの IP アドレスに対して無効な状態の認証テーブル内のエントリーを生成します。無効なタイムアウト設定に値を設定した場合、そのタイムアウトがエントリに適用されます。無効なエントリータイムアウト設定に値を設定しなかった場合、デフォルトのタイムアウトである30分が適用されます。

  無効な認証エントリーのタイムアウト設定は、有効なエントリーに適用される一般的な認証エントリーのタイムアウト設定とは別です。

  Junos OS リリース 17.4R1 以降、統合ユーザー ファイアウォールは、Windows Active Directory 認証テーブルで IPv6 デバイス アドレスをサポートします。Junos OS リリース 17.4R1 以前は、IPv4 アドレスのみがサポートされていました。

• ClearPass機能では、認証されていないユーザーがネットワークへの参加を試み、ユーザーのデバイスのIPアドレスが見つからない場合(つまり、パケット転送エンジン内にない)、デバイスがAruba ClearPassにユーザー情報をクエリーします。クエリーが失敗した場合、システムはユーザーの無効な認証エントリを生成します。無効なタイムアウト設定に値を設定した場合、そのタイムアウトがエントリに適用されます。無効なエントリータイムアウトを設定しなかった場合、デフォルトのタイムアウト値である30分が新しいエントリーに適用されます。

タイムアウト設定は、Windows Active Directory 認証テーブルと ClearPass 認証テーブル内の無効な認証エントリに個別に適用するように構成します。タイムアウト設定を行わない場合、無効な認証エントリのタイムアウトデフォルト値である30分が適用されます。これらの認証ソースについて、タイムアウト値の適用と効果は異なります。

次のコマンドを使用して、Windows Active Directory 認証テーブル内のエントリに対して無効な認証エントリのタイムアウト設定を構成します。この例では、無効な認証エントリのタイムアウト値は 40 分に設定されています。このタイムアウト値は、新しい無効なエントリーに適用されます。

新しいタイムアウト値は、既存の無効なエントリーにも適用されますが、割り当てられた現在のタイムアウト値とタイムアウト状態のコンテキスト内に適用されます。認証テーブルに、無効な認証エントリーのタイムアウト設定または以前にデフォルトが適用された既存の無効エントリーが含まれているとします。この場合、新しい無効なエントリーのタイムアウト設定は、これらのエントリーのタイムアウトに影響しますが、別の方法で有効になります。これらのエントリーでは、元のタイムアウト設定(元のタイムアウト値が適用されてから有効期限が切れた時間)と新しいタイムアウト設定が一元化されて、結果として既存のエントリーに適用されるタイムアウト値が生成されます。

表 1 に示すように、結果のタイムアウトが拡張される場合もあり、場合によっては短縮され、元のタイムアウトが期限切れになり、適用される無効な認証エントリが削除される場合もあります。

ClearPass 認証テーブルのエントリに無効な認証エントリ タイムアウトを設定するには、次のコマンドを使用します。この例では、ClearPass 認証テーブルの無効な認証エントリは作成された 22 分後に期限切れになります。

• ClearPass の無効な認証エントリのタイムアウト値を最初に設定すると、構成 後 に生成された無効な認証エントリに適用されます。ただし、既存の無効な認証エントリーはすべて、デフォルトのタイムアウトである30分を保持します。

• 無効な認証エントリのタイムアウト設定を構成しない場合、すべての無効な認証エントリに 30 分のデフォルトのタイムアウトが適用されます。

  無効な認証エントリのタイムアウト設定を構成し、後で削除した場合、削除後に生成された新しい無効な認証エントリにデフォルト値が適用されます。ただし、設定された値が以前に適用されていた既存の無効な認証エントリでも、その値は保持されます。

• 無効な認証エントリのタイムアウト値の設定を変更した場合、値を変更した 後 に作成されたすべての無効な認証エントリに新しい値が適用されます。ただし、既存の無効な認証エントリはすべて、以前の無効な認証エントリのタイムアウト設定が適用された状態を保持します。デフォルト値の 30 分が適用されていたエントリは、以前はその設定を保持していました。

• エントリーの保留中または有効な状態が無効に変更された場合、無効な認証エントリーのタイムアウト設定が適用されます。

  無効な認証エントリの状態が保留中または有効に変更された場合、無効な認証エントリのタイムアウト設定は適用されなくなります。一般的な認証エントリのタイムアウトに設定されたタイムアウト値がそれに適用されます

表 2 は、新しい無効なエントリ タイムアウト値が新しいエントリと既存の無効なエントリーに与える影響を示しています。