802.1X認証セッションの制限

802.1X 認証セッション制限によって、同時にアクティブな認証セッションの数がどのように制限されるかを理解し、グローバル最大値とインターフェイスごとの最大値を使用してシステムリソースを保護し、拒否のトリガーとなった制限を特定するログを使用します。

802.1X認証セッション制限により、802.1Xオーセンティケータが維持する同時にアクティブな認証セッションの数に上限を設けることができます。セッションを制限することで、認証アクティビティが急増する際に、認証処理とシステムリソースを保護する認証に役立ちます。すべてのインターフェイスにグローバル最大値を適用し、インターフェイスごとに最大値を適用できます。デバイスが設定された制限に達すると、追加の認証試行を拒否し、拒否の原因はグローバルまたはインターフェイスごとの制限のどちらが原因かを示すシステムログメッセージを書き込みます。

インターフェイスごとの有効な制限は、インターフェイス固有のオーバーライド、インターフェイスごとのシステムデフォルト、どちらの値も設定されていない場合はインターフェイスあたり100セッションの有効なデフォルト値という優先順位に従います。 show dot1x interface detail などの操作コマンドは、検証とトラブルシューティングのためのインターフェイスごとの有効制限を表示します。

802.1X認証セッション制限のメリット

認証の急増時に、同時認証セッションの増加を制限することで、リソースの枯渇を防ぎます。
インターフェイスごとのセッション数に上限を設定することで、エンドポイント密度が高い単一インターフェイスや予期しない動作による影響を軽減します。
インターフェイスごと、またデバイス全体で認証されたエンドポイントに明示的な上限を適用することで、容量計画を改善します。
グローバルまたはインターフェイスごとの制限が認証拒否を引き起こしたかどうかをシステムログに示すことで、障害の分離を迅速化します。
運用出力にインターフェイスごとの有効な制限を表示することで、検証と監査をサポートします。

概要

802.1X認証セッション制限を有効にすると、オーセンティケータは、インターフェイスごと、およびオプションでデバイス全体で、同時にアクティブな認証済みセッションにハードキャップを適用します。エンドポイントが802.1Xやオーセンティケータが処理するその他の認証方法を使用して認証を試みると、デバイスはアクティブセッションカウントを増加させます。制限に達すると、デバイスは追加のセッション状態を割り当てる代わりに、その後の認証試行を拒否します。

以下の設定でセッション制限を制御 protocols dot1x authenticator:

global-auth-session-limit すべてのインターフェイスにデバイス全体の上限を適用します。アクティブな認証済みセッションの総数が設定値に達すると、デバイスはイングレスインターフェイスに関係なく追加の認証試行を拒否します。
インターフェイスごとの制限は、次の優先順位を使用して導き出されます。
1. interface <interface-name> auth-session-limit (インターフェイスオーバーライド)
2. per-interface-session-limit (システムのデフォルトのインターフェイスごとの制限)
3. 有効なデフォルトはインターフェイスあたり100セッションです(どちらの値も設定されていない場合)

制限を変更すると、サービスに影響する可能性があります。インターフェイス auth-session-limit をそのインターフェイス上の現在のアクティブセッション数以下に減らすと、デバイスはそのインターフェイス上のセッションをクリアし、新しい制限までのみ再認証を許可します。 global-auth-session-limit を現在のデバイス全体のアクティブセッションカウント以下に減らすと、デバイスはデバイス全体の認証済みセッションをクリアし、新しいグローバル最大値を適用します。 show dot1x interface detail を使用して、インターフェイスごとの有効な制限を確認します。

構成と運用信号

protocols dot1x authenticatorでセッション制限を設定します。

グローバルな制限を設定します。 set protocols dot1x authenticator global-auth-session-limit <limit>
システムのデフォルトのインターフェイスごとの制限を設定します。 set protocols dot1x authenticator per-interface-session-limit <limit>
特定のインターフェイスの制限を上書きします。 set protocols dot1x authenticator interface <interface-name> auth-session-limit <limit>

制限に達したためにデバイスが認証の試行を拒否すると、システムログメッセージに、どの制限を超えたかが示されます。

DOT1XD_GLOBAL_SESSION_LIMIT_EXCEEDED グローバルセッション制限が試みをブロックしたことを示します。
DOT1XD_INTF_SESSION_LIMIT_EXCEEDED インターフェイスごとのセッション制限が特定のインターフェイスでの試行をブロックしたことを示します。

これらのシステムログメッセージを show dot1x interface detail とともに使用して、単一のインターフェイスが容量に達しているかどうか、またはデバイス全体の制限に達しているかどうかを判断します。