802.1X認証

802.1X認証のしくみ

802.1X 認証は、認証ポートアクセスエンティティ(スイッチ)を使用して、サプリカント(エンドデバイス)からのイングレストラフィックを、サプリカントの資格情報が認証サーバー(RADIUSサーバー)で提示および照合されるまでポートでブロックすることで機能します。認証されると、スイッチはトラフィックのブロックを停止し、サプリカントに対してポートを開きます。

エンドデバイスは、 single supplicant モード、 single-secure supplicant モード、または multiple supplicant モードで認証されます。

• シングル サプリカント - 最初のエンド デバイスのみを認証します。後からポートに接続する他のすべてのエンド デバイスは、さらなる認証なしでフル アクセスを許可されます。これらは、最初のエンドデバイスの認証に事実上 ピギーバック(便乗) します。

• シングルセキュア サプリカント - 1 台のエンド デバイスにのみポートへの接続を許可します。最初のデバイスがログアウトするまで、他のエンドデバイスの接続は許可されません。

• マルチ サプリカント - 複数のエンド デバイスにポートへの接続を許可します。各エンド デバイスは個別に認証されます。

VLAN とファイアウォール フィルターを使用することで、ネットワーク アクセスをさらに定義できます。どちらも、エンド デバイスのグループを分離して、必要な LAN 領域にマッチングさせるためのフィルターとして機能します。例えば、VLAN を構成することで、さまざまなカテゴリの認証失敗を、以下に応じて処理できます。

• エンド デバイスが 802.1X に対応しているかどうか。

• ホストが接続されているスイッチ インターフェイスで MAC RADIUS 認証が設定されているかどうか。

• RADIUS 認証サーバーが利用できなくなったか、RADIUS アクセス拒否メッセージを送信したかどうか。 RADIUSサーバー障害フォールバックの設定(CLI手順)を参照してください。

802.1X 機能の概要

以下の 802.1X 機能は、ジュニパーネットワークス イーサネットスイッチでサポートされています。

• ゲスト VLAN - ホストが接続されているスイッチ インターフェイスで MAC RADIUS 認証が設定されていない場合、802.1X 非対応の応答しないエンド デバイスに LAN への限定アクセス(通常はインターネットへのアクセスのみ)を提供します。また、ゲスト VLAN を使用して、ゲスト ユーザーに LAN への限定アクセスを提供できます。通常、ゲスト VLAN はインターネットと他のゲストのエンド デバイスへのアクセスのみを提供します。

• サーバー拒否 VLAN - 802.1X に対応しているが、間違った資格を送信した応答性の高いエンド デバイスに、LAN への限定アクセス(通常はインターネットへのアクセスのみ)を提供します。サーバー拒否 VLAN を使用して認証されたエンド デバイスが IP 電話の場合、音声トラフィックは許可されません。

• サーバー障害 VLAN - RADIUS サーバーのタイムアウト時に、802.1X エンド デバイスに LAN への限定アクセス(通常はインターネットへのアクセスのみ)を提供します。

• ダイナミック VLAN - 認証後に、エンド デバイスが動的に VLAN のメンバーになることを可能にします。

• プライベート VLAN - プライベート VLAN(PVLAN)のメンバーであるインターフェイス上で 802.1X 認証の設定を有効にします。

• ユーザー セッションの動的な変更 - スイッチ管理者が既に認証されたセッションを終了できるようにします。この機能は、RFC 3576 で定義されている RADIUS 切断メッセージのサポートに基づいています。

• VoIP VLAN—IP 電話をサポートします。IP 電話における音声 VLAN の実装は、ベンダーによって異なります。電話が 802.1X に対応している場合、他のサプリカントと同じように認証されます。電話が 802.1X に対応していなくても、そのデータ ポートに別の 802.1X 対応デバイスが接続されていれば、そのデバイスは認証され、電話との間で VoIP トラフィックを流すことができます(インターフェースがシングル サプリカント モードで構成され、シングルセキュア サプリカント モードではないことが条件となります)。

  注:

  プライベート VLAN(PVLAN)インターフェイスでの VoIP VLAN の設定はサポートされていません。

• RADIUSアカウンティング—アカウンティング情報をRADIUSアカウンティングサーバーに送信します。アカウンティング情報は、加入者がログインまたはログアウトしたとき、および加入者がサブスクリプションをアクティブ化または非アクティブ化したときに、サーバーに送信されます。

• 802.1XのRADIUSサーバー属性— Juniper-Switching-Filter は、802.1X認証プロセス中にサプリカントのアクセスをさらに定義するために、RADIUSサーバーで設定できるベンダー固有属性(VSA)です。認証サーバー上で属性を集中的に構成することで、サプリカントがLANに接続する可能性のあるLAN内のすべてのスイッチに、ファイアウォールフィルターの形で同じ属性を構成する必要がなくなります。この Juniper-Switching-Filter は、RFC4849の属性92で参照されているNAS-Filter-Ruleに相当します。

• Microsoft Challenge Handshake Authentication Protocol version 2(MS-CHAPv2)—802.1X EAP対応クライアントのMS-CHAPv2認証を有効にします。

• Mist Access Assuranceを使用したGBPによるマイクロおよびマクロセグメンテーション—グループベースポリシー(GBP)を使用して、仮想拡張LAN(VXLAN)アーキテクチャにマイクロセグメンテーションとマクロセグメンテーションを適用できます。GBPは基盤となるVXLANテクノロジーを活用して、ロケーションに依存しないエンドポイントアクセス制御を提供します。GBPを使用すると、エンタープライズネットワークドメイン全体に一貫したセキュリティポリシーを実装できます。これにより、すべてのスイッチで多数のファイアウォールフィルターを設定する手間を省き、ネットワーク設定を簡素化できます。ジュニパー Mist クラウドのネットワークアクセス制御(NAC)は、RADIUS トランザクション中に GBP タグを動的に割り当てます。RADIUS 802.1X認証により、ネットワークオペレータは、ユーザーまたはデバイスを自動的に認証および承認し、ネットワーク内へのアクセスを許可することができます。ジュニパー Mist Access Assuranceは、ユーザーとデバイスの識別子を使用して、ネットワークが各ユーザーに割り当てている役割とネットワークセグメントを決定します。ネットワークは、VLANまたはGBPを使用して、ネットワークセグメントにユーザーをグループ化します。その後、ジュニパー Mist Access Assurance が各セグメントに関連付けられたネットワーク ポリシーを適用します

  現在、EX4100、EX4400、EX4650オンラインシャーシでサポートされています。

  詳細については、「 グループベースのポリシーを使用したマイクロセグメンテーション」を参照してください。

802.1X非対応のデバイスを認証するために、以下の機能がサポートされています。

• 静的 MAC バイパス - 802.1X 非対応のデバイス(プリンターなど)を認証するためのバイパス機構を提供します。静的 MAC バイパスは、これらのデバイスを 802.1X 対応ポートに接続して、802.1X 認証をバイパスします。

• MAC RADIUS 認証—802.1X 非対応のホストに LAN へのアクセスを許可する手段を提供します。MAC-RADIUSは、クライアントのMACアドレスをユーザー名とパスワードとして使用して、クライアントデバイスのMACアドレスをシミュレートします。

トランク ポートでの 802.1X 認証

Junos OSリリース18.3R1以降、トランクインターフェイスに802.1X認証を構成できるようになりました。これにより、ネットワークアクセスデバイス(NAS)がアクセスポイント(AP)または接続されている別のレイヤー2デバイスを認証できるようになります。NASに接続されたAPまたはスイッチは複数のVLANをサポートするため、トランクポートに接続する必要があります。トランク インターフェイスで 802.1X 認証を有効にすると、攻撃者が AP を切断してラップトップを接続し、構成されたすべての VLAN のネットワークに自由にアクセスできるというセキュリティ侵害から NAS を保護できます。

トランク インターフェイスで 802.1X 認証を構成する場合は、以下の点に注意してください。

• トランク インターフェイスでは、シングルおよびシングルセキュア サプリカント モードのみがサポートされます。

• トランク インターフェイスでローカルに 802.1X 認証を設定する必要があります。 set protocol dot1x interface all コマンドを使用して 802.1X 認証 グローバルに構成する場合、その構成はトランク インターフェイスには適用されません。

• トランク インターフェイスでは、ダイナミック VLANS はサポートされていません。

• トランク インターフェイスでは、ゲスト VLAN およびサーバ拒否 VLAN はサポートされません。

• VoIP クライアントのサーバー障害フォールバックは、トランク インターフェイス(server-fail-voip)ではサポートされていません。

• Server-fail (permit, use-cache, vlan-name), Server-reject (vlan vlan-name)は EAP-TLS クライアントではサポートされていません。

• キャプティブポータルを使用したトランクポートでの認証はサポートされていません。

• 集約されたインターフェイスでは、トランク ポートでの認証はサポートされていません。

• プライベート VLAN(PVLAN)のメンバーであるインターフェイスでの 802.1X 認証の設定は、トランク ポートではサポートされていません。

レイヤー 3 インターフェイスでの 802.1X 認証

Junos OSリリース20.2R1以降、レイヤー3インターフェイスで802.1X認証を設定できるようになりました。レイヤー 3 インターフェイスで 802.1X 認証を構成する場合は、以下の点に注意してください。

• EAP 対応クライアントのみがサポートされます。

• シングル サプリカント モードのみがサポートされます。

• レイヤー 3 インターフェイスでローカルに 802.1X 認証を構成する必要があります。 set protocol dot1x interface all コマンドを使用して 802.1X 認証 グローバルに設定する場合、その設定はレイヤー 3 インターフェイスには適用されません。

• レイヤー 3 インターフェイスのサポートには、IRB やサブインターフェイスは含まれません。

• ゲスト VLAN、サーバー拒否 VLAN、サーバー障害 VLAN はサポートされていません。

• VoIP クライアントのサーバー障害フォールバックはサポートされていません(server-fail-voip)。

• レイヤー 3 インターフェイスで認証されたクライアントの access-accept または COA メッセージの一部として認証サーバーから受け入れられるのはRADIUS以下の属性のみです。

  • ユーザー名

  • セッションタイムアウト

  • 発信ステーションID

  • Acct-Session-ID

  • NASポートID

  • ポートバウンス

Junos OS Evolvedソフトウェアでの802.1Xサポート

Junos OS Evolvedリリース22.3R1以降、レイヤー2インターフェイスで802.1X認証を設定できるようになりました。レイヤー2インターフェイスで802.1X認証に適用される注意事項をフォローしてください。

• サポートされていない機能は以下のとおりです。

  • ゲストVLAN、サーバー拒否VLAN、サーバーフェイルVLAN

  • VoIPクライアントのサーバーフェイルフォールバック(server-fail-voip)

  • 動的VLAN

  • キャプティブポータルとセントラルWeb認証(CWA)を使用したレイヤー2インターフェイスでの認証。

• レイヤー2インターフェイスで認証されたクライアントのRADIUS access-acceptまたはCOAメッセージの認証サーバーからのサポートされていない属性は以下のとおりです。

  • ip-mac-session-binding

  • ジュニパー-CWA-リダイレクト

  • ジュニパースイッチングフィルター

  • フィルターID

  • トンネル-ミディアムタイプ

  • ジュニパーVoIP-VLAN

  • Egress-VLAN-Name

  • エグレスVLAN-ID

  • トンネルタイプ

  • トンネルプライベートグループID

• IRB がブリッジ ドメインにある場合、802.1x 対応ポートは、ユーザーが認証されていなくても、シングルセキュアおよびマルチ サプリカント モードでルーテッド トラフィックをドロップしません。レイヤー2インターフェイスの802.1X対応ポートは、シングルサプリカントモード設定でのみルーテッドトラフィックをドロップします。

切断メッセージ

RADIUSサーバーは、ユーザーセッションを終了させ、関連するすべてのセッションコンテキストを破棄するために、Disconnect-Requestメッセージをスイッチに送信します。要求が成功した場合、スイッチはDisconnect-RequestパケットにDisconnect-ACKメッセージを返し、つまり、関連するすべてのセッションコンテキストが破棄されてユーザーセッションが接続できなくなります。要求が失敗した場合、スイッチはDisconnect-RequestパケットにDisconnect-NAKパケットを返し、これにより、オーセンティケータがセッションの切断と関連するすべてのセッションコンテキストの破棄を無効にします。

Disconnect-Requestメッセージでは、RADIUS属性を使用してスイッチ(NAS)とユーザーセッションを一意に識別します。要求が成功するには、メッセージに含まれるNAS識別属性とセッション識別属性の組み合わせが少なくとも1セッション一致する必要があります。それ以外の場合、スイッチはDisconnect-NAKメッセージを返します。Disconnect-Requestメッセージには、NASとセッション識別属性のみを含めることができます。その他の属性が含まれている場合、スイッチはDisconnect-NAKメッセージを返します。

認証メッセージの変更

Change of Authorization(CoA)メッセージには、ユーザーセッションの認証属性を動的に変更して認証レベルを変更するための情報が含まれています。これは2段階の認証プロセスの一部として行われ、まずMAC RADIUS認証を使用してエンドポイントを認証し、デバイスの種類に基づいてプロファイルを作成します。CoAメッセージは、通常、データフィルターまたはVLANを変更することで、デバイスに適したポリシーを適用するために使用されます。

スイッチは、認証変更が成功した場合はCoA-ACKメッセージを、変更が失敗した場合はCoA-NAKメッセージをCoAメッセージと一緒に返します。CoA-Requestメッセージで指定された認証変更が1つ以上実行できない場合、スイッチはCoA-NAKメッセージを返します。

CoA-Requestメッセージでは、RADIUS属性を使用してスイッチ(NASとして機能)とユーザーセッションを一意に識別します。要求が成功するには、メッセージに含まれるNAS識別属性とセッション識別属性の組み合わせが、少なくとも1つのセッション識別属性と一致する必要があります。それ以外の場合、スイッチはCoA-NAKメッセージを返します。

CoA-Requestパケットには、要求が受け入れられた場合に変更されるセッション認証属性も含まれています。サポートされているセッション認証属性を以下に示します。CoAメッセージには、これらの属性の一部またはすべてを含めることができます。CoA-Requestメッセージの一部として属性が含まれていない場合、NASはその属性の値が変更されていないとみなします。

• フィルターID

• トンネルプライベートグループID

• ジュニパースイッチングフィルター

• ジュニパーVoIP-VLAN

• セッションタイムアウト

CoAリクエストポートバウンス

認証されたホストのVLANを変更するためにCoAメッセージを使用する場合、プリンターなどのエンドデバイスはVLAN変更を検知するメカニズムを備えていないため、新しいVLANでDHCPアドレスのリースが更新されることはありません。Junos OSリリース17.3以降では、ポートバウンス機能を使用して、認証ポートでリンクフラップを発生させることで、エンドデバイスにDHCPの再ネゴシエーションを強制的に開始させることができます。

ポートをバウンスするコマンドは、ジュニパーネットワークスのベンダー固有属性(VSA)を使用してRADIUSサーバーから送信されます。RADIUSサーバーからのCoAメッセージで以下のVSA属性値ペアを受信した場合、ポートがバウンスされます。

• ジュニパー-AV-ペア = "Port-Bounce"

ポートバウンス機能を有効にするには、ジュニパー-AV-Pair VSAを使用してRADIUSサーバー上のJunos辞書ファイル(juniper.dct)を更新する必要があります。辞書ファイルを見つけて、次のテキストをファイルに追加します。

VSAの追加に関する詳細については、FreeRADIUSのマニュアルを参照してください。

この機能を無効にするには、[edit protocols dot1x authenticator interface interface-name]階層レベルでignore-port-bounceステートメントを設定します。

エラー原因コード

切断またはCoAの操作が失敗した場合、NASからサーバーに送信される応答メッセージにエラー原因属性(RADIUS属性101)が含まれ、問題の原因の詳細を提供することができます。検出されたエラーがサポートされているエラー原因属性値のいずれにもマッピングされない場合、ルーターはエラー原因属性を使用せずにメッセージを送信します。NASから送信される応答メッセージに含まれるエラー原因コードの説明については、 表1 を参照してください。

目的

監視機能を使用して、認証されたユーザーと認証に失敗したユーザーの詳細を表示します。

アクション

J-Webインターフェイスで認証の詳細を表示するには、802.1X>監視>セキュリティを選択します。

CLIに認証の詳細を表示するには、以下のコマンドを入力します。

• show dot1x interface detail | display xml

• show dot1x interface detail <interface> | display xml

• show dot1x auth-failed-users

意味

表示される詳細は次のとおりです。

• 認証されたユーザーのリスト。

• 接続しているユーザーの数。

• 認証に失敗したユーザーのリスト。

また、詳細を表示するインターフェイスを指定することもできます。

目的

サプリカントが、802.1X認証に設定されたインターフェイスを使用して、スイッチ上のインターフェイスで認証されていることを検証し、使用されている認証方法を表示します。

アクション

802.1Xに設定されたインターフェイスに関する詳細情報を表示します(ここでは、インターフェイスはge-0/0/16です)。

意味

show dot1x interface detailコマンドのサンプル出力では、Number of connected supplicantsが1になっています。認証され、現在 LAN に接続されているサプリカントは、RADIUS サーバー上で user5 として知られており、MACアドレスは 00:30:48:8C:66:BD です。サプリカントは、出力の Radius で示されているように、RADIUS 認証と呼ばれる 802.1X 認証 メソッドによって認証されました。RADIUS 認証が使用されると、サプリカントが RADIUS サーバーで設定され、RADIUS サーバーはこれをスイッチに伝え、スイッチはサプリカントが接続されているインターフェイスで LAN アクセスを開きます。また、サンプル出力は、サプリカントが VLAN v200 に接続されていることも示しています。

RADIUS認証に加えて、EXシリーズスイッチでサポートされている他の802.1X認証方法は以下の通りです。

• Guest VLAN—応答しないホストには、Gust-VLANアクセスが付与されます。

• MAC Radius—応答しないホストは、そのMACアドレスに基づいて認証されます。MACアドレスがRADIUSサーバーで許可されるように設定されると、RADIUSサーバーはMACアドレスが許可されたアドレスであることをスイッチに通知し、スイッチは接続されているインターフェイス上の応答していないホストへのLANアクセスを許可します。

• サーバー障害時の拒否—RADIUSサーバーがタイムアウトすると、すべてのサプリカントがLANへのアクセスを拒否され、サプリカントからのトラフィックがインターフェイスを通過できなくなります。これがデフォルトです。

• サーバー障害時の許可—RADIUSサーバーが利用できない場合でも、サプリカントはRADIUSサーバーによって正常に認証されているかのように、LANへのアクセスが許可されます。

• サーバー障害時の使用キャッシュ—再認証中にRADIUSサーバーがタイムアウトすると、以前に認証されたサプリカントにはLANアクセスが許可されますが、新しいサプリカントはLANアクセスを拒否されます。

• サーバー障害時のVLAN—RADIUSサーバーがサプリカントを再認証できない場合、サプリカントは指定されたVLANに移動するように設定されます。(VLANはすでにスイッチ上に存在している必要があります。)

問題点

原因

静的なMACアドレスは、インターフェイス上で学習した他のMACアドレスと同じように扱われます。clear dot1x interfaceコマンドが実行されると、静的MACバイパスリスト(除外リストとも呼ばれる)を含む、インターフェイスから学習したすべてのMACアドレスがクリアされます。

ソリューション

認証バイパス用に設定された静的MACアドレスを持つインターフェイスに対してclear dot1x interfacesコマンドを実行する場合は、静的MACアドレスを静的MACバイパスリストに再追加します。