Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

EAP-TTLS認証用のクライアントデバイスの設定

EAP-TTLS 認証によってネットワークを保護するには、クライアントデバイスで次の構成手順に従います。

ジュニパー Mist Access Assuranceは、内部方式として PAPのみを使用したEAP-TTLS認証 をサポートします。デフォルトでは、Apple iOS/macOSやWindowsなどのほとんどのクライアントデバイスは、ユーザーがSSIDログインプロンプトで資格情報を入力すると、PEAP-MSCHAPv2またはEAP-TTLS/MSCHAPv2を使用しようとします。これらの方法はパスワードハッシュ(MSCHAPv2など)に依存しており、最新のクラウドベースのIDプロバイダ(IdP)ではサポートされていません。オンボーディングを成功させるには、 PAPでEAP-TTLSを使用するようにクライアントデバイスを明示的に設定する必要があります。本番環境では、この構成は通常、モバイルデバイス管理(MDM)ソリューションを通じて適用されます。ただし、検証やラボテストの場合は、以下の手順に従って、デバイスを手動で設定することもできます

前提条件

  1. ジュニパー Mist Org CA 証明書をダウンロードします。

    クライアントデバイスは、Mist Access Assuranceサーバーを信頼する必要があります。Mist組織のCA証明書は、設定する無線プロファイルに含まれている必要があります。

    1. ジュニパー Mistポータルで、[ 組織>アクセス>証明書]に移動します。認証局ページで、 Mist証明書を表示 をクリックして証明書の詳細を表示します。
      図1:CA証明書View Certificate window displaying details of a signed certificate, including encoded text, common name, validity period, issuer, serial number, CRL distribution points, and subject alternative name. Background shows a list of certificates with download and close options.Mistジュニパーダウンロード

    2. 証明書のダウンロードをクリックして、クライアントデバイスに証明書をダウンロードします。

      注:カスタムサーバー証明書を使用している場合は、Mist組織CAではなく、サーバー証明書のルートCAを使用します。
  2. IDプロバイダ(IdP)を設定する:ジュニパー Mistダッシュボードで、 組織>アクセス>IDプロバイダに移動し>IDPを追加 し、必要なIdPの詳細を設定します。詳細については、「 ジュニパー Mist Access Assurance の ID プロバイダの追加」を参照してください。
    図2:IDプロバイダーLDAP integration setup interface in Juniper Mist platform showing fields for Name, IDP Type, LDAP Type, Server Hosts, Domain Names, Default IDP option, Bind DN, Bind Password, Base DN, and sections for adding LDAPS certificates. Navigation menu on the left includes Monitor, Marvis, Clients, Access Points, Switches, WAN Edges, Mist Edges, Location, Analytics, Site, AB Testing, and Organization.の設定
  3. 認証ポリシールールを作成する: 組織>アクセス>認証ポリシーで、EAP-TTLSクライアントデバイスがネットワークに接続できるようにする適切な認証ポリシールールを定義します。詳細については、「 認証ポリシーの設定」を参照してください。
    図3:認証ポリシーの作成User interface for managing authentication policies in [MIST CSQA] ANIRUDH LAB, showing policy table with policy number, name, match criteria, actions, assigned policies, and hit count. Includes buttons for adding rules, creating labels, saving, and canceling changes. Dropdown menus for auth type and time filter are visible.

EAP-TTLS認証用のAppleデバイスの設定

Apple macOSデバイスを使用した設定について説明しました。

このタスクでは、無料の Apple Configurator ツールを使用して EAP-TTLS ネットワーク プロファイルを作成します。

Appleクライアントデバイスでプロファイルを作成します。

  1. macOSクライアントで、Apple Configuratorツールを開き、「ファイル」>「新規プロファイル」をクリックします。
    図4:Apple Client Apple Configurator on macOS with File menu open; New Profile option highlighted in red box for creating device configuration profiles.のWi-Fiプロファイル設定

    新しい設定プロファイルドキュメントが開きます。

  2. Apple Configuratorページの左側のナビゲーションバーで、 証明書>設定をクリックします。ダウンロードしたMist証明書を選択してアップロードします( 「前提条件」に記載されているとおり)。クライアントデバイスがジュニパー Mist Access Assuranceサーバーを信頼するには、そのサーバーを無線プロファイルに含める必要があります。
    図5:Wi-Fiプロファイル設定Configuration interface with certificates option selected, marked as not configured, and a highlighted configure button to set up PKCS1 and PKCS12 certificates.Mistジュニパー CA証明書をアップロードする
  3. Apple Configuratorツールの左側のナビゲーションバーから、 Wi-Fi を選択し、 設定をクリックします。
    図6:Wi-Fiプロファイル構成Configuration interface with menu options like General, Restrictions, Domains, and Wi-Fi. Wi-Fi is selected, showing instructions to configure wireless network settings and a red Configure button.

    Wi-Fi設定に以下のオプションを入力します。

    • SSID - ネットワークの SSID大文字を含む正しいSSIDを入力してください。
    • セキュリティタイプ—WPA2/WPA 3エンタープライズ
    • 受け入れられるEAPタイプ—TTLS を選択し、 接続ごとのパスワードを選択します。
    • 内部認証—PAP
    図7:Wi-Fiプロファイル構成設定Wi-Fi profile configuration screen on macOS with SSID mist-aa, security type WPA2/WPA3 Enterprise, EAP type TTLS, per-connection password enabled, inner authentication set to PAP, and TLS versions specified.
  4. 同じページのプロトコル横のエンタープライズ設定で、信頼をクリックします。このページには、アップロードされた証明書のリストが表示されます。

    CA証明書Mistジュニパーを選択し、信頼できるサーバー証明書名に auth.mist.com を入力します。この手順により、クライアントデバイスがジュニパー Mist Access Assuranceサーバーを信頼できるようになります。

    図8:Wi-FiプロファイルConfiguration interface for setting up a wireless network with options for SSID, security type, enterprise settings, proxy setup, and QoS marking.におけるMist CA証明書ジュニパー信頼
  5. プロファイル設定を保存します。
    図9:Wi-Fiプロファイル設定の保存 Apple Configurator application on macOS with File menu open and Save option highlighted. Wi-Fi payload is selected showing 1 Payload Configured. Other payloads are Not configured.
  6. プロファイルに署名するには、Appleが信頼する証明書が必要です。このステップは、実稼働環境で使用するために必要です。

これで、macOSデバイスにプロファイルをインストールし、EAP-TTLSを介してSSIDに接続できます。

iOSおよびiPadOSの場合

iPhone または iPad で EAP-TTLS をテストするには、設定された Wi-Fi プロファイルを macOS デバイスからエクスポートし、AirDrop 経由で共有します。受信したら、これらのプロファイルをiOSデバイスにインストールし、PAP認証を備えたEAP-TTLSを使用して接続します。

  1. iOS デバイスで設定アプリを開き、[ プロファイルのダウンロード済み] をタップします。
    図10:プロファイルSettings screen in dark mode showing Start Using iCloud and Finish Setting Up Your iPhone with red notification badges, Profile Downloaded highlighted in red, and other options like Airplane Mode, Wi-Fi, Bluetooth, Mobile Service, Battery, General, and Accessibility.の検索
  2. 画面の右上隅にある [インストール] をタップします。
    図11:インストールプロファイルInstalling configuration profile named Corp-NET with Wi-Fi certificate, marked Not Signed, options to Cancel, Install highlighted in orange, or Remove Downloaded Profile.

  3. 画面の指示に従ってインストール プロセスを完了します。

  4. ユーザー名とパスワードを入力し、[無線 ネットワークに接続] をクリックします。

    図12:ワイヤレスネットワークWi-Fi login screen prompting for username and password to join Corp-NET network with Cancel and Join options, mode set to Automatic.の接続

EAP-TTLS認証用のWindowsデバイスの設定

次の手順を使用して、EAP-TTLS認証用にWindowsデバイスを設定します。

  1. ジュニパー Mist Org CA 証明書をダウンロードし ( 「前提条件」を参照)、信頼できる ルート認証機関の「コンピューター証明書の管理」にある Windows デバイス> Mist Org CA 証明書をインポートします。
    図13:WindowsデバイスMicrosoft Management Console interface showing the Certificates snap-in with a list of trusted root certification authorities, including columns for Issued To, Issued By, Expiration Date, and Intended Purposes.上の信頼できるルート証明書
  2. Windows デバイスで、[ コントロール パネル] > [ネットワークと共有センター] に移動し>新しい接続またはネットワークを設定し 、[ 無線 ネットワークに手動で接続する] を選択して、[ 次へ] をクリックします。
    図14:新しい接続Network and Sharing Center in Windows Control Panel showing active network Airtel_Home 4 as public and Set Up a Connection wizard highlighting Manually connect to a wireless network option.の設定
  3. [追加 する無線ネットワークの情報を入力]に、以下の詳細を入力します。

    • ネットワーク名—SSID名を指定します。

    • セキュリティタイプ—WPA2-エンタープライズまたはWPA3-エンタープライズオプションを選択します。

    図15:無線ネットワークScreenshot of Network and Sharing Center showing active network Airtel_Home 4 as public and a pop-up for manually connecting to a wireless network with fields for network name MGMT-SSID, WPA2-Enterprise security, AES encryption, and blank security key.情報を入力します

    次へをクリックすると、SSID が正常に追加されたことを示す確認メッセージが表示されます。

    図16:ワイヤレスネットワークの設定:接続設定Network and Sharing Center showing public network Airtel_Home 4 with options to set up a connection, troubleshoot problems, and a pop-up confirming MGMT-SSID added successfully.

    接続 設定の変更をクリックします。

  4. [セキュリティ] タブに移動し、[ ネットワーク認証方法の選択] で [Microsoft: EAP-TTLS ] を選択し、[設定] をクリックします。
    図17:無線ネットワークのプロパティを設定するNetwork and Sharing Center screenshot with MGMT-SSID Wireless Network Properties dialog showing WPA2-Enterprise security type, AES encryption, EAP-TTLS authentication, and a selected checkbox to remember credentials.

  5. TTLSプロパティウィンドウで、以下のアクションを実行します。

    • ID プライバシーを有効にする オプションを無効にします。

    • [ Connect to these servers]に、 auth.mist.com

    • 信頼できるルート認証機関で、カスタムRADIUSサーバー証明書のMist組織CA証明書またはルートCAを選択します。

    • 「 認証に非EAP方法を選択」で、「暗号化 されていないパスワード(PAP)」を選択します。

      .
    図18:無線ネットワークの設定:TTLSプロパティNetwork and Sharing Center showing settings for Airtel_Home 4 public network with TTLS Properties window open for authentication configuration options.

    OKをクリックします。

  6. セキュリティタブに戻り、 詳細設定をクリックします。

    • 「認証モードを指定」にチェックを入れ、「ユーザー認証」オプションを選択します。
    • OK、閉じるの順にクリックして設定を完了します。
    図19:無線ネットワークの構成:詳細な設定Windows Control Panel Network and Sharing Center showing active network Airtel_Home 4 as public. Pop-up window titled Advanced settings for wireless network with 802.1X authentication mode set to User authentication and single sign-on option.

EAP-TTLS認証用のAndroidデバイスの設定

次の手順を使用して、EAP-TTLS認証用にAndroidデバイスを設定します。ナビゲーション手順は、デバイスモデルによって若干異なる場合があります。ここで提供される例は、Google Pixel 9に基づいています。

  1. Mist Org CA認定書をダウンロードし、デバイスのストレージに保存します。
  2. Android デバイスで 設定 アプリを開き、[ 設定] > [ネットワークとインターネット]> [インターネット] > [ネットワーク環境設定] に移動します。 証明書のインストールをクリックします。
    図20:証明書Network preferences screen showing options: Turn on Wi-Fi automatically, Notify for public networks, Allow WEP networks, Install certificates, and Wi-Fi Direct, with Wi-Fi certificate installed noted.をインストールする

  3. 内部ストレージからMist組織のCA証明書をアップロードし、証明書の名前を入力します。カスタムRADIUSサーバー証明書を使用している場合は、Mist組織CAではなく、そのサーバーに対応するルートCAを選択します。

    図21:証明書名の入力Mobile device network settings showing options to turn on Wi-Fi automatically, notify for public networks, and allow WEP networks enabled. A pop-up dialog titled Name this certificate with a text field containing Mist-Org-CA-Cert and Cancel and OK buttons.

  4. CA証明書をダウンロードしてインストールしたら、SSIDをクリックし、接続を次のように設定します。

    • EAP方式:TTLS
    • フェーズ 2 認証:PAP
    • CA証明書:組織のCA証明書を選択します
    • ドメイン: auth.mist.comを入力します。
    • 資格情報: ユーザー名 と パスワードを入力します。
      図22:ワイヤレスネットワークWi-Fi network configuration screen for Corp-NET showing EAP Method TTLS, Phase 2 Authentication PAP, CA Certificate Mist-Org-CA-Cert, Minimum TLS Version TLS v1.0, Domain auth.mist.com, Identity jack@89mistilbs.org, and hidden Password with Cancel and Connect buttons.の設定

      接続をクリックして設定を完了します。

EAP-TTLS認証用のLinuxデバイスの設定

Linux(Ubuntu)デバイスでEAP-TTLS認証を構成するには、以下の手順を使用します。

  1. ネットワーク設定を開き、接続するSSIDをクリックします。
    図23:無線ネットワーク設定Wi-Fi authentication window prompting for credentials to connect to Corp-NET network, with fields for security type, username, and password.
  2. Wi-Fiセキュリティで、WPAおよびWPA2エンタープライズを選択します。
  3. 認証で、トンネルTLS(EAP-TTLS)を選択します。
  4. ドメイン フィールド を次のように設定します。 auth.mist.com
  5. CA証明書については、以前にダウンロードしたMist組織のCA証明書を選択します。カスタムRADIUSサーバー証明書を使用している場合は、Mist組織CAではなく、そのサーバーに対応するルートCAを選択します。
  6. 内部認証(またはフェーズ2認証)をPAPに設定します。
  7. 認証用に提供された ユーザー名 と パスワード を入力します。
  8. 接続をクリックして設定を完了します。

クライアント接続と検証

  1. ユーザー名とパスワードを使用して、クライアントデバイスをネットワークに接続します。
  2. ジュニパー Mistポータルで、[監視>サービスレベル>インサイト]に移動します。クライアントイベントセクションで、NACクライアント認証イベントを表示します。
    図24:NACクライアント認証イベントNetwork monitoring dashboard showing client authentication details and network activity. Includes client events, session info like MAC address, authentication type, access point, and data usage trends.

関連ドキュメント