統合型 ClearPass 認証およびポリシー適用の概要

Junos OS リリース 15.1X49-D100、SRX シリーズ デバイスおよび vSRX では、無効なエントリーに固有のタイムアウト設定を設定してユーザーを検証する前に、認証テーブルの無効なユーザー認証エントリーが期限切れから保護できます。無効な認証エントリー タイムアウト設定は、有効なエントリーに適用される一般的な認証エントリー タイムアウト設定とは別です。

Windows Active Directory 認証テーブルおよび ClearPass 認証テーブルの両方の認証エントリーには、その後のエントリーの有効期限が切れるタイムアウト値が含まれます。この機能を導入する前に、有効な認証エントリーおよび無効な認証エントリーに、共通のタイムアウト設定が 1 つ適用された。つまり、これらのいずれかのテーブルに無効な認証エントリーが作成された場合、テーブルに共通のタイムアウトの現在の設定(すべてのテーブルのエントリーに適用)が適用されました。

Active Directory 認証テーブルと ClearPass 認証テーブルの両方で、ユーザーのアイデンティティを検証する前に、無効なエントリーが期限切れになる可能性があります。各ケースでこのイベントが発生する原因を以下に示します。

• Windows Active Directory はメカニズムを使用して、非認証ユーザーのデバイスをプローブし、デバイスの IP アドレスに基づいてユーザー アイデンティティ認証情報を取得します。Windows がユーザーがログインする前に実行されるという理由で、WINDOWS が失敗した場合に、このプローブがトリガーされるのは珍しいことではありません。プローブが失敗すると、デバイスの IP アドレスに対して無効な状態の認証テーブル内のエントリーがシステムによって生成されます。無効なタイムアウト設定に値を設定した場合、そのタイムアウトがエントリーに適用されます。無効なエントリー タイムアウト設定の値が設定されていない場合、そのデフォルトの 30 分のタイムアウトが適用されます。

  無効な認証エントリー タイムアウト設定は、有効なエントリーに適用される一般的な認証エントリー タイムアウト設定とは別です。

  リリース Junos OS 17.4R1から、統合ユーザー ファイアウォールは Windows Active Directory 認証テーブルで IPv6 デバイス アドレスをサポートします。リリース前Junos OS、17.4R1は IPv4 アドレスのみサポートされました。

• ClearPass機能では、認証されていないユーザーがネットワークへの参加を試み、ユーザーのデバイスのIPアドレスが見つかりません。つまり、パケット転送エンジンにはない場合、デバイスがAruba ClearPassにユーザーの情報をクエリーします。クエリーに失敗すると、ユーザーに無効な認証エントリーが生成されます。無効なタイムアウト設定に値を設定した場合、そのタイムアウトがエントリーに適用されます。無効なエントリー タイムアウトが設定されていない場合、デフォルトの 30 分のタイムアウトが新しいエントリーに適用されます。

Windows Active Directory 認証テーブルと ClearPass 認証テーブルの無効な認証エントリーに、タイムアウト設定を個別に適用設定します。タイムアウト設定を設定していない場合、無効な認証エントリー タイムアウトのデフォルト値である30分が適用されます。タイムアウト値のアプリケーションと効果は、これらの認証ソースで異なる方法で決定されます。

Windows Active Directory 認証テーブル内のエントリーに対して無効な認証エントリー タイムアウト設定を構成するには、次のコマンドを使用します。この例では、無効な認証エントリー タイムアウト値が 40 分に設定されています。このタイムアウト値は、新しい無効なエントリーに適用されます。

新しいタイムアウト値は、既存の無効なエントリーにも適用されますが、現在割り当てられたタイムアウト値とタイムアウトの状態の中で適用されます。認証テーブルに、無効な認証エントリー タイムアウト設定またはデフォルトが以前に適用された、既存の無効なエントリーが含まれているとします。この場合、新しい無効なエントリー タイムアウト設定は、これらのエントリーのタイムアウトに影響しますが、別の方法で行います。これらのエントリーに対して、元のタイムアウト設定(元のタイムアウト値が適用された後に有効期限が切れた時間)と、新しいタイムアウト設定が照合され、結果のタイムアウト値が既存のエントリーに適用されます。

表 1 に示すように、結果のタイムアウトが拡張される場合があります。場合によっては、タイムアウトが短縮され、場合によっては元のタイムアウトが期限切れになる場合や、適用されている無効な認証エントリーが削除される場合もあります。

次のコマンドを使用して、ClearPass認証テーブル内のエントリーに対して無効な認証エントリー タイムアウトを設定します。この例では、ClearPass認証テーブルの無効な認証エントリーは、作成から22分で期限切れとなります。

• ClearPassの無効な認証エントリー タイムアウト値を最初に設定すると、ClearPassの設定後に生成される無効な認証 エントリーに適用 されます。ただし、既存の無効な認証エントリーのすべてでは、デフォルトのタイムアウトは 30 分保持されます。

• 無効な認証エントリー のタイムアウト設定が設定されていない場合、デフォルトの 30 分のタイムアウトが、無効なすべての認証エントリーに適用されます。

  無効な認証エントリ のタイムアウト設定を設定して後で削除すると、そのデフォルト値が削除後に生成された新しい無効な認証エントリーに適用されます。ただし、設定済みの値が以前に適用された既存の無効な認証エントリーは、その値を保持します。

• 無効な認証エントリー タイムアウト値の設定を変更すると、値の変更後に作成された無効なすべての認証エントリーに新しい値が適用されます。ただし、既存の無効な認証エントリーはすべて、以前の無効な認証エントリー タイムアウト設定が適用された状態を保持します。デフォルト値の 30 分が適用されたエントリーは、その設定を保持します。

• エントリーの保留中または有効な状態が無効に変更されると、無効な認証エントリ のタイムアウト設定が適用されます。

  無効な認証エントリーの状態が保留中または有効に変更された場合、無効な認証エントリ のタイムアウト設定は適用されません。共通認証エントリー タイムアウトのタイムアウト値が適用される

表 2 は、 新しいエントリー タイムアウト値が新しいエントリーおよび既存の無効なエントリーに与える影響を示しています。