Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの目次
 

例:EX シリーズ スイッチと Aruba ClearPass を使用したセントラル Web 認証の設定

この構成例では、EXシリーズスイッチとAruba ClearPassを使用して、ゲストユーザーの一元Web認証を実装する方法を示します。具体的には、以下のEXシリーズスイッチ機能をAruba ClearPassと組み合わせて使用する方法を示します。

  • 組み込みのファイアウォール フィルター JNPR_RSVD_FILTER_CWAにより、まだ認証されていないゲスト エンドポイントは、ネットワークの他の部分へのアクセスをブロックしながら、中央の Web 認証に必要なサービスにアクセスできます。

  • Juniper-CWA-Redirect-URL RADIUS VSA 認証プロセスの一環として、Aruba ClearPassがリダイレクトURLをスイッチに渡すことを可能にします。

  • RADIUS CoAのサポート:エンドポイントが認証された後に、EXシリーズスイッチがゲストエンドポイントに対して有効なファイアウォールフィルターを動的に変更できるようになります。

このトピックでは、次の内容について説明します。

要件

この例では、ポリシー インフラストラクチャに次のハードウェアおよびソフトウェア コンポーネントを使用します。

  • Junos OSリリース15.1R3以降を実行するEX4300スイッチ

  • 6.3.3.63748 以降を実行する Aruba ClearPass Policy Manager プラットフォーム

概要とトポロジー

このネットワーク構成例では、 図 1 に示すトポロジを使用します。ゲスト ラップトップを EX4300 スイッチのポート ge-0/0/22 に接続します。Aruba ClearPassサーバーは、ClearPass GuestサービスとClearPass Policy Managementサービスの両方を提供します。

図1:この例 Topology Used in This Exampleで使用されるトポロジー

802.1X および MAC RADIUS 認証がポート ge-0/0/22 で有効になっている。ゲスト ラップトップには 802.1X クライアントがないため、スイッチはラップトップから EAPoL パケットを受信せず、802.1X 認証は失敗します。次に、EX4300スイッチは自動的にMAC RADIUS認証を試みます。Aruba ClearPassのMAC RADIUS強制ポリシーは、JNPR_RSVD_FILTER_CWA組み込みフィルターの名前とAruba ClearPassゲストログインページのリダイレクトURLとともに、MAC RADIUS認証を試みる不明なクライアントに対してRADIUSアクセス受け入れメッセージを送信するように構成されています。

ゲストユーザーがブラウザーを開いてWebページにアクセスしようとすると、EX4300スイッチはブラウザをAruba ClearPassゲストログインページにリダイレクトし、ゲストはそこでゲスト認証情報を入力します。Aruba ClearPassのWeb認証強制ポリシーは、ゲストエンドポイントをエンドポイントリポジトリに追加し、RADIUS CoAメッセージをスイッチに送信するように構成されています。このメッセージは、エンドポイントに関連付けられたファイアウォールフィルターを、スイッチ上で設定されているguest_access_policy_1に変更するようにスイッチに指示します。このフィルターは、ゲストが内部ネットワーク以外のすべてにアクセスできるようにします。

構成

このセクションでは、次の手順について説明します。

EX4300スイッチの設定

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルで CLI [edit] にコピー アンド ペーストして、設定モードからコミットを入力します。

手順

EX4300スイッチの一般的な設定手順は次のとおりです。

  • Aruba ClearPass Policy Manager への接続を構成します。

  • 802.1Xプロトコルで使用されるアクセスプロファイルを作成します。アクセス プロファイルは、802.1X プロトコルに、使用する認証サーバーと、認証方法と順序を指示します。

  • HTTP および HTTPS サービスを有効にします。

  • 802.1X プロトコルを構成します。

  • ゲスト エンドポイントが使用する VLAN を構成します。

  • アクセスポートでイーサネットスイッチを設定します。

  • 内部ネットワークへのアクセスをブロックするファイアウォールポリシーを作成します。

EX4300スイッチを設定するには、次の手順に従います。

  1. RADIUS サーバーの接続情報を指定します。

  2. アクセスプロファイルを設定します。

  3. HTTP および HTTPS サービスを有効にします。これらのサービスは、URL リダイレクトに対して有効にする必要があります。

  4. CP-Test-Profileを使用するように802.1Xプロトコルを設定し、各アクセスインターフェイスでプロトコルを有効にします。さらに、インターフェイスを設定して、MAC RADIUS認証をサポートし、それぞれを個別に認証する必要がある複数のサプリカントを許可します。

    デフォルトでは、スイッチは最初に 802.1X 認証を試みます。エンドポイントに 802.1X サプリカントがいないことを示す EAP パケットをエンドポイントから受信しない場合、または 802.1X 認証が失敗した場合は、MAC RADIUS 認証を試みます。

  5. この例で使用する VLAN を設定します。

  6. アクセス ポートを設定します。

    アクセス ポートは、隔離 VLAN である VLAN v100 に設定されます。Aruba ClearPassがエンドポイントの認証時に動的VLAN情報を送信しない場合、このVLANはエンドポイントによって使用されます。

  7. ゲスト資格情報がAruba ClearPass Guestによって認証された後にエンドポイントに使用されるファイアウォールフィルター guest_access_policy_1を構成します。

    このフィルターは、エンドポイントが内部ネットワーク (192.168.0.0/16) にアクセスするのをブロックし、インターネットへのアクセスを許可します。

結果

設定モードから、次のコマンド show を入力して設定を確認します。

デバイスの設定が完了したら、設定モードから を入力します commit 。

Aruba ClearPass ゲストの設定

手順

Aruba ClearPass ゲストを設定するための一般的な手順は次のとおりです。

  • ゲスト ユーザー アカウントを設定します。

  • ゲスト ログイン ページを設定します。

Aruba ClearPass Guestを設定するには:

  1. ClearPass Guestにログインします。例えば：

  2. ゲスト ユーザー アカウントを設定します。

    手順

    1. [ 新しいゲスト アカウントの作成] をクリックします。

    2. 次に示すように、ゲスト ユーザー アカウントの詳細を指定します。自動的に生成されるパスワードを必ずメモしてください。

    3. [ アカウントの作成] をクリックします。

  3. ゲスト アクセス ログイン ページを設定します。

    手順

    1. [ 構成 ] > [Web ログイン] を選択します。

      メモ：

      最新バージョンのAruba ClearPassゲストを使用している場合は、「 構成 > ページ 」> 「Webログイン」を選択する必要があります。

    2. [ Web ログイン] ページで、[ 新しい Web ログイン ページを作成] をクリックします。

    3. Web ログイン エディターで、作成する Web ログイン ページの名前を指定し、URL に表示されるログイン ページ名を指定し、[ログイン方法] を [サーバー開始 – 承認の変更 (RFC 3576) をコントローラーに送信します] に設定します。

    4. [Web ログイン] ページの [ログイン フォーム] セクションで、[なし] に設定すると Pre-Auth Check 、 追加のチェックは行われません。

    5. [デフォルトの宛先(Default Destination)] セクションに、認証が成功した後にゲストがリダイレクトされるデフォルトの URL を入力します。この例では、認証後にゲストはジュニパーネットワークスのホームページにリダイレクトされます。

Aruba ClearPass Policy Manager の設定

手順

Aruba ClearPassを設定するための一般的な手順は以下の通りです。

  • ジュニパーネットワークスRADIUS辞書ファイルを変更して、新しいジュニパーネットワークスRADIUS属性が含まれるようにします。

  • EX4300をネットワークデバイスとして追加します。

  • 次の実施プロファイルを作成します。

    • MAC RADIUS認証後に適用されるプロファイルです。

    • セントラル Web 認証の後に適用されるプロファイル。

  • 次の 2 つの強制ポリシーを作成します。

    • MAC RADIUS認証が使用されるときに呼び出されるポリシーです。

    • 中心型 Web 認証が使用されるときに呼び出されるポリシー。

  • MAC RADIUS 認証サービスと Web 認証サービスを定義します。

Aruba ClearPassを設定するには、次の手順に従います。

  1. ジュニパーネットワークスRADIUS辞書ファイルを更新します。

    ジュニパーネットワークのRADIUS辞書ファイルは、Aruba ClearPassにプリインストールされています。EX シリーズ スイッチ向け Junos OS リリース 15.1R3 では、辞書ファイルに追加する必要がある 3 つの新しいジュニパーネットワークス VSA のサポートが追加されます。

    手順

    1. Aruba ClearPassで、[RADIUS>管理>辞書]に移動します。

    2. [RADIUS辞書]ウィンドウで、[フィルター]フィールドを使用して、[ベンダー名]で ジュニパー を検索します。

    3. Juniper辞書名をクリックし、[ エクスポート ]をクリックしてファイルをデスクトップに保存します RadiusDictionary.xml 。

    4. 次の 3 つの属性をコピーして に貼り付け RadiusDictionary.xml、ファイルを保存します。

      辞書ファイルは、貼り付けを完了すると次のようになります。

    5. 辞書ファイルをAruba ClearPassにインポートするには、「RADIUS辞書」ウィンドウ内をクリックして ファイルを参照します。

    6. ファイルをインポートすると、ジュニパー辞書ファイルは次のようになります。

  2. EX4300スイッチをネットワークデバイスとして追加します。

    手順

    1. [構成] > [ネットワーク > デバイス] で、[ 追加] をクリックします。

    2. [デバイス]タブで、スイッチのホスト名とIPアドレス、およびスイッチに設定したRADIUS共有シークレットを入力します。[ベンダー名] フィールドを [ジュニパー] に設定します。

  3. MAC RADIUS認証に使用する実施プロファイルを作成します。

    このプロファイルは、組み込みのファイアウォール・フィルター・JNPR_RSVD_FILTER_CWAの名前とAruba ClearPass GuestのリダイレクトURLをスイッチに提供します。

    手順

    1. 「構成>適用>プロファイル」で、「 追加」をクリックします。

    2. プロファイル タブで、テンプレート を RADIUS ベースの適用に設定 し、名前 フィールドにプロファイル名 Guest_Access_Portal_Enforcement を入力します。

    3. [属性] タブで、次の属性を構成します。

      • Juniper-CWA-Redirect-URL- 次の URL を入力します。

        この URL には、Aruba ClearPass ゲスト サーバーの IP アドレスが含まれている必要があります。また、エンドポイントの MAC アドレスを ClearPass Guest (Radius:IETF:Calling-Station-Id)に渡します。

      • Filter-Id- 次のフィルター名を入力します。

  4. セントラル Web 認証に使用する実施プロファイルを設定します。

    このプロファイルは、RADIUS CoA(認証変更)プロファイルとして設定されます。これは、Aruba ClearPassにRADIUS CoAをスイッチに送信するように指示し、エンドポイントに対して有効なファイアウォールフィルターをJNPR_RSVD_FILTER_CWAからguest_access_policy_1に変更するように通知します。

    手順

    1. 「構成>適用>プロファイル」で、「 追加」をクリックします。

    2. プロファイル タブで、テンプレートを RADIUS 認可変更 (CoA) に設定し、名前 フィールドにプロファイル名 Guest_Access_CoA_Profile を入力します。

    3. 属性 タブで、 RADIUS CoA テンプレートの選択を IETF - ジェネリック CoA-IETF に設定し、次のように属性を入力します。すべての値は、このドキュメントから入力するか、コピーして貼り付ける必要があります。値は選択リストに表示されません。

  5. MAC RADIUS認証強化ポリシーを設定します。

    MAC RADIUSポリシーは、ClearPassにまだ認識されていない、つまりエンドポイントリポジトリにないMAC RADIUS認証を受けるすべてのエンドポイントに Guest_Access_Portal_Enforcement プロファイルを適用するようにAruba ClearPassに指示します。

    手順

    1. [構成>適用> ポリシー] で、[ 追加] をクリックします。

    2. [適用]タブで、ポリシー名(Juniper-MAC-Auth-Policy)を入力し、デフォルトプロファイルを事前定義されたプロファイル[アクセス拒否プロファイル]に設定します。

    3. [ルール] タブで、[ ルールの追加] をクリックし、表示されたルールを追加します。

      このルールは、Aruba ClearPass が認識していないエンドポイントに対して Guest_Access_Portal_Enforcement プロファイルを有効にすることを許可します。

  6. Web 認証強制ポリシーを設定します。

    このポリシーは、ゲストがAruba ClearPassゲストにリダイレクトされ、ClearPass Guestがゲストを認証した後に有効になります。これは、エンドポイントをエンドポイント・リポジトリに追加し、Guest_Access_CoA_Profileを適用するようにAruba ClearPassに指示します。

    手順

    1. 「構成>適用>ポリシー」で、「 追加」をクリックします。

    2. [適用] タブで、ポリシーの名前 (Guest_Auth_Enforcement_Policy) を入力し、[既定のプロファイル ] を [認証後][既知のエンドポイントの更新] に設定します。これは事前定義されたプロファイルであり、その結果、エンドポイントはエンドポイントリポジトリに既知のエンドポイントとして追加されます。

    3. [ルール] タブで、[ ルールの追加] をクリックし、表示されたルールを追加します。

      このルールは、ClearPass ゲストがロール ゲストに割り当てたエンドポイントにGuest_Access_CoA_Profile実施プロファイルを適用するように Aruba ClearPass に指示します。

  7. MAC RADIUS 認証サービスを構成します。

    このサービスの設定では、受信したRADIUSユーザー名属性とクライアントMACアドレス属性が同じ値の場合、MAC RADIUS認証が実行されます。

    手順

    1. 「構成>サービス」で、「 追加」をクリックします。

    2. [サービス] タブで、表示されているフィールドに入力します。

    3. [認証] タブで、次の操作を行います。

      • 認証方法リストから [MAC AUTH] を削除し、[ EAP MD5] をリストに追加します。

      • 認証ソースの一覧で [エンドポイントリポジトリ][ローカルSQL DB] を選択します。

    4. 適用 タブで、 Juniper-MAC-Auth-Policy を選択します。

  8. Web ベースの認証サービスを構成します。

    手順

    1. 「構成>サービス」で、「 追加」をクリックします。

    2. [サービス] タブで、次のようにフィールドに入力します。

      サービス ルールは、[ Web ベース認証] を選択した場合の既定のサービス ルールです。任意のクライアントからの Web ベースの認証要求を許可します。

    3. [認証] タブで、[認証ソース] を [ゲスト ユーザー リポジトリ][ローカル SQL DB] に設定します。

    4. [適用] タブで、[適用ポリシー] を [Guest_Auth_Enforcement_Policy] に設定します。

検証

設定が正常に機能していることを確認します。

セントラル Web 認証の検証

目的

ゲスト・ユーザーのブラウザーが認証のためにAruba ClearPassゲストにリダイレクトされること、およびゲスト資格情報の入力後にゲストが正常に認証されることを確認します。

アクション

  1. ノートパソコンをEX4300スイッチのポートge-0/0/22に接続します。

  2. ラップトップでWebブラウザーを開き、Webページにアクセスしてみます。

    ClearPass ゲスト ログイン ページが次のように表示されます。

  3. EXシリーズスイッチで、以下の show コマンドを入力します。

    出力は、エンドポイントが認証済みであること、現在有効な認証方法がセントラルWeb認証(CWA Authentication)であること、およびJNPR_RSVD_FILTER_CWAファイアウォールフィルターとリダイレクトURLも有効であることを示しています。

  4. ClearPass Guestログインページで、Aruba ClearPass Guestを構成したときにメモしたゲストの電子メールアドレスと、自動的に生成されたパスワードを入力します。

  5. ログイン後、ブラウザはAruba ClearPass Guestで設定されているジュニパーネットワークスのホームページにリダイレクトされます。

  6. EXシリーズスイッチで、次のshowコマンドを入力します。

    出力は、guest_access_policy_1ファイアウォールフィルターが有効になったことを示しています。スイッチは、エンドポイントがセントラルWeb認証によって認証された後、Aruba ClearPassからRADIUS CoAを受信し、使用するファイアウォールフィルターを指示しました。

Aruba ClearPass Policy Managerでの認証リクエストのステータスの確認

目的

エンドポイントが正しく認証されていること、およびスイッチとAruba ClearPassの間で正しいRADIUS属性が交換されていることを確認します。

アクション

  1. モニタリング>ライブモニタリング>アクセストラッカーに移動して、認証要求のステータスを表示します。

    アクセストラッカーは、認証要求の発生を監視し、そのステータスを報告します。

  2. エンドポイントからの最初の MAC RADIUS 認証リクエストの詳細を取得するには、リクエスト(Access Tracker リクエストテーブルの 2 行目)をクリックします。

  3. エンドポイントからの Web 認証要求の詳細を取得するには、要求 (Access Tracker 要求テーブルの 1 行目) をクリックします。

関連ドキュメント