RADIUS over TLS(RADSEC)
802.1X または MAC RADIUS 認証を使用するには、接続する RADIUS サーバーごとにスイッチ上の接続を指定する必要があります。RADIUS over TLSは、トランスポートセキュアレイヤー(TLS)プロトコルを使用して、RADIUSリクエストのセキュアな通信を提供するように設計されています。RADIUS over TLS(RADSECとも呼ばれる)は、TLSで接続されたリモートRADIUSサーバーに通常のRADIUSトラフィックをリダイレクトします。RADSecを使用すると、RADIUS認証、許可、アカウンティングデータを信頼できないネットワークに安全に渡すことができます。
RADSEC は、TLS を TCP(伝送制御プロトコル)と組み合わせて使用します。このトランスポートプロファイルは、RADIUS送信に最初に使用されたユーザーデータグラムプロトコル(UDP)よりも強力なセキュリティを提供します。RADIUS over UDP は、MD5 アルゴリズムを使用して共有秘密パスワードを暗号化します。これは攻撃に対して脆弱です。RADSECは、暗号化されたTLSトンネル上でRADIUSパケットペイロードを交換することで、MD5への攻撃のリスクを軽減します。
TCPプロトコルの制限により、RADSECは255件以下のRADIUSメッセージを機内に送信することはできません。
RADSEC の宛先を設定する
RADSEC サーバーは、RADSEC の宛先オブジェクトで表されます。RADSEC を設定するには、RADSEC サーバーを宛先として定義し、RADIUS トラフィックを宛先に誘導する必要があります。
階層レベルの ステートメントを使用して、RADSEC サーバーを radsec
[edit access]
宛先として定義します。RADSEC の宛先は、一意の数値 ID によって識別されます。同じ RADSEC サーバーを指す異なるパラメータを使用して、複数の RADSEC の宛先を設定できます。
標準の RADIUS サーバーから RADSEC サーバーにトラフィックをリダイレクトするには、RADIUS サーバーを RADSEC の宛先に関連付けます。例えば、RADIUS サーバー 10.1.1.1
は RADSEC 宛先 10
に関連付けられています。
access { radius-server 10.1.1.1 { secret zzz; radsec-destination 10; } }
また、RADIUS サーバーをアクセス プロファイル内の RADSEC 宛先に関連付けることもできます。たとえば、プロファイルacc_profile
内の RADIUS サーバー10.2.2.2
は RADSEC の宛先10
に関連付けられています。
access { profile acc_profile { secret zzz; radsec-destination 10; } }
複数の RADIUS サーバーを同じ RADSEC 宛先にリダイレクトできます。
RADSECを設定するには:
TLS接続パラメーターの設定
TLS接続は、RADIUSメッセージの交換に暗号化、認証、データ整合性を提供します。TLSは、RADSECクライアントとサーバー間のデータ送信を保護するために、証明書とプライベートパブリックキー交換ペアに依存しています。RADSEC の宛先では、Junos PKI インフラストラクチャから動的に取得されるローカル証明書が使用されます。
RADSECを有効にするには、ローカル証明書の名前を指定する必要があります。ローカル証明書および認証局(CA)の設定については、 デジタル証明書の設定を参照してください。
例:シンプルなRADSEC構成
次の例は、1 台の RADIUS サーバーと 1 台の RADSEC 宛先を持つ簡単な RADSEC 構成です。RADIUS トラフィックは、RADIUS サーバー 1 0.1.1.1 から RADSEC 宛先 10 にリダイレクトされます。
access { radius-server 10.1.1.1 { secret zzz; radsec-destination 10; } radsec { destination 10 { address 10.10.1.1; max-tx-buffers 1000; id-reuse-timeout 30; port 1777; source-address 10.1.1.2; tls-certificate my_cert; tls-min-version { v1.1 | v1.2 }; tls-peer-name x0.radsec.com tls-timeout 10; } } }
証明書の監視
ローカル証明書取得の状態と統計に関する情報を表示するには、次の手順にしたがっています。show network-access radsec local-certificate.
RADSEC の宛先の監視
RADSEC の宛先の統計情報を表示するには、以下の手順にしたがっています。show network-access radsec statistics.
RADSEC の宛先の状態を表示するには、以下の手順にしたがっています。show network-access radsec state.