Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

ジュニパー Mist 認証プロキシー: サードパーティーデバイスのサポート

以下の手順に従って、ジュニパー Mist認証プロキシを使用して、Cisco IOSデバイスなどのサードパーティデバイスに対するエンドクライアントおよび管理ユーザーの認証をサポートします。

概要

ジュニパー Mist™ Access アシュアランスは、Mist Edgeプラットフォーム上で実行されているMist Auth Proxyアプリケーションを活用することで、エンドクライアントと管理ユーザーのサードパーティデバイスへの認証をサポートします。

Mist Edgeは、Mist Cloudとサーバーによって、以下を必要とするMist管理対象以外のデバイスの「ゲートウェイ」として管理されます。

  • 接続するエンドクライアント(サードパーティ製スイッチ、無線LANコントローラ、APアクセスポイントなど)の認証を実行する

  • 認証管理ユーザー(例えば、ファイアウォールやスイッチのCLI管理インターフェイスへの管理者ログイン)

これを設定するには、サードパーティデバイスをMist EdgeクラスターでRADIUSクライアントとして追加します。このクラスターは、すべての認証トラフィックを安全なRadSecトンネルにラップし、Mist Access Assurance クラウドに送信します。

図1:認証プロキシとしてジュニパー Mist Edge—接続のフローFlow diagram showing communication in a network system: third-party device uses RADIUS protocol, connects via OOBM to Mist Edge, routes data via RadSec to Juniper Mist Access Assurance for secure access management.

設計上の考慮事項

  • Mist Edgeは、複数のサイトからの認証プロキシとして機能します。サイトごとにエッジがある必要はありません。

  • 冗長性のため、異なるデータセンターまたはポイントオブプリセンス(PoP)に少なくともいくつかのMist Edgeをインストールすることをお勧めします。

  • Mist Auth Proxy機能は、すべてのMist Edgeプラットフォームでサポートされています。Mist認証プロキシには専用のMist Edgeアプライアンス(またはVM)を使用し、認証プロキシをTuntermまたはOCProxy機能と組み合わせMist避けることをお勧めします。

  • Mist Edge VMを使用している場合、必要なネットワークインターフェイスは1つだけで、Mist Authプロキシ機能のロックを解除するには ME-VM-OC-PROXY が必要であることに注意してください。

RADIUS属性について

  • 設定されたベンダーに基づいて、Mist Access Assuranceはaccess-accept応答で正しいRADIUS属性を自動的に送信し、VLAN、ロール(ファイアウォールフィルター)、セッションタイムアウトを割り当てます。
  • ベンダー固有のカスタムRADIUS属性ラベルを活用して、特別なユースケースが発生した場合に特定の属性を送り返します。

サードパーティベンダーの追加と認証ポリシーの設定

  1. Mist Edgeクラスター設定: サードパーティベンダーをクラスター設定にRADIUSクライアントとして追加します。
    1. ジュニパー Mistポータルの左側のメニューから、[ Mist Edges]を選択します。
    2. Mist Edgeクラスターで、既存のクラスターをクリックするか、新しいクラスターを作成します。
    3. クラスターページの Radiusプロキシで、 有効をクリックします。
    4. タイプを Mist Auth Proxyに設定します。
    5. クライアントを追加をクリックします。
    6. 新しいクライアントの情報を入力します。

      • IPアドレス

      • 共有シークレット

      • ベンダー

      • サイト(オプション)

      Configuration interface for Radius Proxy enabled with Mist Auth Proxy type. New client details: IP address 10.7.50.0/24, hidden shared secret, vendor Cisco Wired, site MistAA Test Site.
    7. 新しいクライアントセクションの上部にあるチェックマークをクリックして、設定を保存します。
    8. Mist Edgeクラスターページの右上隅にある 保存 をクリックします。
  2. リソースラベル: サードパーティベンダーデバイスを、後で認証ポリシーで使用できるリソースとして識別するためのラベルを追加します。
    1. 左側のメニューから、 組織 > アクセス > 認証ポリシーを選択します。
    2. 認証ポリシーページの上部にあるラベルの作成をクリックします。
      Auth Policies interface with description of policy rules evaluation based on match criteria and two buttons: Add Rule and Create Label.
    3. 以下の情報を入力します。

      • ラベル名—認証ポリシーでこのラベルを使用する際にこのサードパーティベンダーデバイスを認識できるように、説明的なラベルを入力します。

      • ラベルタイプ— AAA属性を選択します。

      • ラベル値— カスタムベンダー固有の属性を選択します。

      • 属性を追加をクリックし、名前と値を入力してから作成をクリックします。

      Configuration interface for creating a label with fields for Label Name Cisco CLI Superuser, Label Type AAA Attribute, and Label Values. Buttons Create and Cancel at the bottom.
  3. 認証ポリシー: サードパーティ製デバイスによって認証されるユーザーを識別するルールを追加します。
    1. 認証ポリシーページの上部にあるルール を追加をクリックします。

      新しいルールがルールの最上部に番号が付けられて表示されます。1.

      Screenshot of a network access management table with columns for number, name showing None, match criteria showing All Users, policy with a green checkmark, and assigned policies showing Network Access Allowed. Yellow-bordered plus icons are visible for adding or editing entries.
    2. このポリシーの情報を入力します。

      • 名前—このポリシーの目的を識別するためのわかりやすい名前を入力します。

      • 一致条件—+をクリックし、このベンダーデバイスによって認証されるユーザーまたはユーザーグループを選択します。

      • ポリシー—これらのユーザーにリソースへのアクセスを許可するため、緑色のチェックマークはそのままにします。

      • 割り当てられたポリシー—+をクリックし、サードパーティベンダーデバイス用に作成したラベルを選択します。

    3. 認証ポリシーページの右上 隅にある保存 をクリックします。
  4. 必要に応じて、ベンダーのルールを追加します。

    この例では、目的の異なる多数のルールを示しています。リソースまたはユーザーラベルにカーソルを合わせると、詳細が表示されます。

    User interface for managing authentication policies with columns for policy number, name, match criteria, actions, assigned policies, and hit count. Administrators can define rules for network access based on device types, user groups, and authentication methods.
Mist EdgeをRADIUSサーバーとして使用するようにサードパーティベンダーのデバイスを設定します。

サードパーティベンダーデバイスの設定

サードパーティベンダーデバイスを、RADIUSサーバーとしてMist Edge OOBM IPアドレスに向けます。

複数のMist Edgeを展開する場合は、サードパーティデバイスのサポートに応じて、各Mist EdgeをフェイルオーバーモードまたはロードバランシングモードのRADIUSサーバーとして追加します。

例:Cisco IOSデバイスの設定

注:ログインを確認するときは、必ず次のようなユーザーのドメイン名を追加してください

user123@company.net@10.148.2.21

ログイン記録の確認

新しい認証ポリシーの検証プロセスの一環として、NACクライアントページとNACイベントページですべてのログイン試行のステータスを確認できます。

図2:NACクライアントページNAC Clients dashboard showing a connected client with site BRQLAB, active state, admin and device authentication, user email vdementyev at juniper dot net, last seen Apr 28 2025 6:43:51 PM CEST, port tty1, matched auth policy Cisco Switch CLI Login - Superusers, NAS vendor cisco-ios.
図3:NACイベントNAC Events dashboard showing network access logs with 503 events categorized as Good, Neutral, and Bad, and detailed event information on the right panel.