EXシリーズスイッチとAruba ClearPassポリシーマネージャーで動的セグメンテーションを提供するためのデバイスプロファイリングの設定

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルで CLI [edit] にコピー アンド ペーストして、設定モードからコミットを入力します。

手順

EXスイッチを設定する一般的な手順は次のとおりです。

• Aruba ClearPass Policy Manager への接続を構成します。

• 802.1Xプロトコルで使用されるアクセスプロファイルを作成します。アクセス プロファイルは、802.1X プロトコルに、使用する認証サーバーと認証方法、および認証方法の順序を指示します。

• 802.1X プロトコルを構成します。

• VLAN を構成します。

• アクセス ポートでイーサネット スイッチングを設定します。

• IRB(統合型ルーティングおよびブリッジング)インターフェイスを設定し、VLAN に割り当てます。

• デバイス・プロファイリングを実行できるように、DHCPパケットをAruba ClearPassに送信するようにDHCPリレーを構成します。

• 内部ネットワークへのアクセスをブロックするファイアウォールポリシーを作成します。

EX スイッチを設定するには:

1. RADIUS サーバーの接続情報を指定します。

2. アクセスプロファイルを設定します。

3. ACCESS_PROF_RADIUSを使用するように802.1Xを設定し、各アクセスインターフェイスでプロトコルを有効にします。さらに、インターフェイスを設定して、MAC RADIUS認証をサポートし、それぞれを個別に認証する必要がある複数のサプリカントを許可します。

   デフォルトでは、スイッチは最初に 802.1X 認証を試みます。エンドポイントから EAP パケットを受信しない場合、エンドポイントに 802.1X サプリカントがないことを示している場合は、MAC RADIUS 認証を試みます。

4. この例で使用する VLAN を構成します。

   ダイナミックVLANの割り当てが機能するためには、認証が試行される前にVLANがスイッチ上に存在している必要があります。VLAN が存在しない場合、認証は失敗します。

5. DHCPリクエストパケットをAruba ClearPassに転送するようにDHCPリレーを設定します。

6. MAC RADIUS認証で認証済みで、まだプロファイリングされていないデバイスに使用するファイアウォールフィルター Internet_Only_Accessを設定します。

   このフィルターは、エンドポイントによる内部ネットワーク (192.168.0.0/16) へのアクセスをブロックします。

結果

設定モードから、次のコマンド show を入力して設定を確認します。

デバイスの設定が完了したら、設定モードから を入力します commit 。

手順

Aruba ClearPassを設定するための一般的な手順は以下の通りです。

• Juniper-AV-Pair属性がRADIUSディクショナリに存在することを確認します。

• EXスイッチをネットワークデバイスとして追加します。

• 802.1X PEAP 認証に使用されるサーバー証明書がインストールされていることを確認します。

• この例で 802.1X 認証に使用するローカル ユーザーを追加します。

• 次の実施プロファイルを作成します。

  • VLAN 150 にエンドポイントを配置する VLAN 150 ENF PROF。

  • JUNIPER VOIP VLAN 120 VLAN 120 VLAN を VoIP VLAN として定義する拡張子。

  • VLAN 130 にエンドポイントを配置する VLAN 130 ENF PROF。

  • まだプロファイリングされていないデバイスに使用されるファイアウォールフィルターを指定するInternet_Only_Access_Fliter_ID_ENF_Prof Internet_Only_Access。

• 次の 2 つの強制ポリシーを作成します。

  • MAC RADIUS認証が使用されるときに呼び出されるポリシーです。

  • 802.1X 認証が使用されるときに呼び出されるポリシー。

• MAC RADIUS 認証サービスと 802.1X 認証サービスを定義します。

• MAC RADIUS 認証サービスが 802.1X 認証サービスよりも先に評価されていることを確認します。

Aruba ClearPassを設定するには、次の手順に従います。

1. Juniper-AV-Pair属性がRADIUSディクショナリに存在することを確認します。

   [RADIUS]>[管理]>[辞書]に移動し、ジュニパー辞書を開きます。

   
   メモ：

   ジュニパー辞書が赤で表示されている場合は、辞書を有効にするジュニパー辞書ページを開き、有効にするボタンをクリックします。

   

   Juniper-AV-Pair属性が存在しない場合は、次の手順に従って追加します。

   1. [エクスポート] ボタンをクリックします。

      

   2. RadiusDictionary.xml ファイルをコンピュータに保存し、テキスト エディタで開きます。

   3. [ 半径属性] セクションの下に、次の行を追加します。

      <属性プロファイル="入力中" 型="文字列" 名前="Juniper-AV-Pair" id="52"/>

   4. XML ファイルを保存します。

   5. ClearPass セッションに戻り、[RadiusDictionary] ページの右上隅にある [インポート] ボタンをクリックします。

      

   6. [ 参照 ] ボタンをクリックし、先ほど保存した RadiusDictionary.xml ファイルを見つけます

   7. [インポート] をクリックします。

   8. 次に、 Juniper RADIUS辞書 を開き、 Juniper-AV-Pair 属性が存在するかどうかを確認します

      

2. EXスイッチをネットワークデバイスとして追加します。

   手順

   1. [構成] > [ネットワーク > デバイス] で、[ 追加] をクリックします。

      

   2. [デバイス]タブで、スイッチのホスト名とIPアドレス、およびスイッチに設定したRADIUS共有シークレットを入力します。[ベンダー名] フィールドを [ジュニパー] に設定します。

      

   3. 802.1X PEAP 認証用の信頼されたサーバー証明書が存在することを確認します。

      • 「管理>証明書>証明書ストア」で、各 Aruba ClearPass サーバーに有効な RADIUS/EAP サーバー証明書がインストールされていることを確認します。そうでない場合は、有効なサーバー証明書を追加します。Aruba ClearPassのドキュメントおよび認証局には、証明書を取得してClearPassにインポートする方法の詳細が記載されています。

        

   4. ローカル・ユーザー・リポジトリーにテスト・ユーザーを追加します。このユーザーは、802.1X 認証の検証に使用されます。

      • 「構成> ID > ローカル・ユーザー」で、「 追加」をクリックします。

      • 「ローカル・ユーザーの追加」ウィンドウで、ユーザー ID ( usertest1)、ユーザー名 (テスト・ユーザー)、およびパスワードを入力します。次に、ユーザー ロールとして [従業員 ] を選択します。[属性] で [ 部門 ] 属性を選択し、[値] に 「財務」 と入力します。

        
      メモ：

      この設定例では、ClearPassローカルユーザーリポジトリが認証ソースとして使用されます。ただし、一般的なエンタープライズ展開では、Microsoft Active Directory が認証ソースとして使用されます。Active Directory を認証ソースとして設定する方法の詳細については、管理 » サポート » ドキュメントにある ClearPass のドキュメントを検索してください。

3. 802.1Xを使用して認証する従業員のラップトップまたはデスクトップの実施プロファイルを設定します。

   • このプロファイルは、エンドポイントを VLAN 150 に配置します。

   手順

   「構成>適用>プロファイル」で、「 追加」をクリックします。

   1. [プロファイル] タブで、[テンプレート] を [VLAN 強制] に設定し、[名前] フィールドにプロファイル名「VLAN 150 ENF PROF」を入力します。

      

   2. [属性] タブで、次のように属性を構成します。

      

4. VLAN 130 にアクセス ポイントを配置するアクセス ポイント実施プロファイルを設定します。

   • 前の手順で使用したのと同じ基本的な手順を使用して、このプロファイルを作成します。プロファイルを完了すると、[概要] タブの情報が次のように表示されます。

     

5. IP フォン強制プロファイルを設定します。

   • このプロファイルは、VoIP VLANとして使用するVLANとしてVLAN 120を返すようにAruba ClearPassに指示します。ジュニパーネットワークスのRADIUSディクショナリは、この目的に使用する特別なRADIUS属性を定義しています。属性タイプとして[RADIUS-Juniper]を選択し、属性名として[Juniper-VoIP-Vlan]を選択します。

   • プロファイルを完了すると、[ 概要 ] タブの情報が次のように表示されます。

     

6. インターネットアクセスのみの実施プロファイルを設定します。

   • この実施プロファイルは、内部ネットワークへのアクセスをブロックするスイッチで設定したファイアウォールフィルター Internet_Only_Accessファイアウォールフィルターの名前を返すようにAruba ClearPassに指示します。このプロファイルを完了すると、[概要] タブの情報が次のように表示されます。

     

   • MAC RADIUS認証強化ポリシーを設定します。

   • MAC RADIUS認証によって認証されるエンドポイントの場合、このポリシーは、デバイスプロファイルに従って適用ポリシーを適用するようにAruba ClearPassに通知します。VLAN 130 ENF PROFはアクセスポイントとしてプロファイルされたエンドポイントに適用され、JUNIPER VOIP VLAN 120 ENF PROFはVoIP電話としてプロファイルされたエンドポイントに適用されます。定義済みの適用ポリシー [アクセス拒否プロファイル] は、Windows デバイスとしてプロファイルされたエンドポイントに適用されます。これにより、802.1Xサプリカントを搭載したラップトップのみがネットワークにアクセスできるという組織のアクセスポリシーが適用されます。まだプロファイリングされていないエンドポイントを含む他のすべてのエンドポイントには、インターネットのみのアクセス フィルター ID ENF PROFプロファイルが適用されます。

   • [構成>適用> ポリシー] で、[ 追加] をクリックします。

   • [適用] タブで、ポリシーの名前 (JUNOS MAC AUTH ENF POL) を入力し、[既定のプロファイル] を [インターネットのみのアクセス フィルター ID ENF PROF] に設定します。

     

   • [ルール] タブで、[ルール の追加] をクリックし、表示されたルールを追加します。

     次のルールを作成する前に、[ 保存 ] をクリックしてルールを順番に追加する必要があります。

     

7. 802.1X 強制ポリシーを構成します。

   このポリシーは、ユーザーが財務部門のメンバーとして正常に認証された場合に、VLAN 150 ENF PROF実施プロファイルを使用するようにAruba ClearPassに指示します。その他のユーザー認証はデフォルト プロファイルに一致し、スイッチに RADIUS Accept が送信され、エンドポイントが修復 VLAN 100 に配置されます。

   • 設定 » 適用 » ポリシー で、 追加 をクリックします。

   • [適用]タブで、ポリシーの名前 (JUNOS DOT1X ENF POL) を入力し、[デフォルトプロファイル]を [アクセスプロファイルを許可]に設定します。

     

   • [ルール] タブで、[ルールの追加] をクリックし、表示されたルールを追加します。

     

8. JUNOS MAC 認証サービスを設定します。

   このサービスの設定では、受信したRADIUSユーザー名属性とクライアントMACアドレス属性が同じ値の場合、MAC RADIUS認証が実行されます。

   • 設定 » サービス で、 追加 をクリックします。

   • [サービス] タブで、表示されているフィールドに入力します。必ず [ 承認 ] オプションと [エンドポイントのプロファイル] オプションを選択してください。

     

   • [認証]タブで、[認証方法]リストから [すべてのMAC認証を許可する] を削除し、[ EAP MD5] をリストに追加します。

     認証ソースの一覧で[エンドポイントリポジトリ][ローカルSQL DB]を選択します。

     

   • 適用 タブで、 JUNOS MAC AUTH ENF POL を選択します。

     

   • [プロファイラー] タブで、[コンピューター]、[VoIP 電話]、[アクセス ポイント] を [エンドポイント分類] リストに追加します。

     RADIUS CoAアクションリストから [セッション終了] を選択します。 この構成により、エンドポイントは、プロファイリングされてエンドポイント・リポジトリーに追加された後、再認証を受けます。エンドポイントがプロファイリングされる前は、認証されたユーザーセッションに対してインターネットのみのアクセスフィルターID ENF PROF実施プロファイルが有効になっています。(このプロファイルは、ステップ 7 で設定した MAC 認証ポリシーのデフォルトプロファイルです)。Aruba ClearPassは、デバイスが正常に分類されると、RADIUS CoAをスイッチに送信し、これによりスイッチがセッションを終了します。その後、スイッチはエンドポイントの再認証を試みます。エンドポイントのデバイス プロファイルがエンドポイント リポジトリにあるため、エンドポイントが認証されるときに適切なデバイス適用プロファイルが適用されます。

     

   • 「保存」をクリックします。

9. 802.1X 認証サービスを構成します。

   • 「構成>サービス」で、「 追加」をクリックします。

   • [サービス] タブで、次のようにフィールドに入力します。

     

   • [認証] タブで、次の操作を行います。

     • [認証ソース]を[ローカル ユーザリポジトリ][ローカルSQL DB]に設定します。

     • [EAP FAST]、[EAP-TLS]、および [EAP-TTLS] の認証方法を削除します。

     

   • [適用] タブで、[適用ポリシー] を [Juniper_Dot1X_Policy] に設定します。

     

   • MAC RADIUS 認証サービス ポリシーが、802.1X 認証サービス ポリシーよりも先に評価されていることを確認します。

     • Aruba ClearPassは、同じ値を持つRADIUSユーザー名属性とクライアントMACアドレス属性によってMAC RADIUS認証要求を認識するように構成されているため、MAC RADIUSサービスポリシーを最初に評価する方が効率的です。

     • [サービス] メインウィンドウで、次に示すように、サービス リストで JUNOS DOT1X の前に JUNOS MAC AUTH が表示されていることを確認します。表示されない場合は、[並べ替え] をクリックして、JUNOS MAC AUTH を JUNOS DOT1X の上に移動します。

     

EXスイッチでの802.1X認証の検証

目的

テスト ユーザー usertest1 が認証され、正しい VLAN に配置されていることを確認します。

この手順を実行するには、usertest1 の認証情報を渡すアクティブな 802.1X サプリカントを持つ Windows デバイスが必要です。802.1X PEAP認証用にWindows 7サプリカントを構成する方法については、EXシリーズスイッチとAruba ClearPass PolicyManagerを使用した802.1X PEAPおよびMAC RADIUS認証の構成を参照してください。

アクション

1. Windows 7ラップトップをEXスイッチのge-0/0/22に接続します。

2. スイッチで、次のコマンドを入力します。

3. ダイナミックVLANの割り当てを含む詳細については、次のように入力します。

   出力は、usertest1 が正常に認証され、従業員有線 VLAN に配置されたことを示しています。

EXスイッチでのアクセスポイント認証の確認

目的

アクセス ポイントが正常に認証され、正しい VLAN に配置されていることを確認します。

アクション

1. EXスイッチのge-0/0/6にアクセスポイントを接続します。

2. スイッチで、次のコマンドを入力します。

   出力は、アクセスポイントが認証され、AP_VLAN VLANに配置されたことを示しています。

EXスイッチでのVoIP電話および企業以外のラップトップの認証の確認

目的

VoIP 電話が正常に認証されていること、および企業以外のラップトップが認証されていないことを確認します。

アクション

1. VoIP電話をEXスイッチのge-0/0/8に接続し、802.1Xサプリカントが有効になっていないラップトップを電話のイーサネットポートに接続します。

2. デバイスの認証状態を確認するには、スイッチで次のコマンドを入力します。

   出力では、2 つのサプリカントがポートに接続されており、それぞれが MAC アドレスで識別されていることがわかります。VoIP電話は正常に認証され、IPPhone_VLANに配置されます。ラップトップは認証状態ではなく接続状態であり、認証に失敗したことを示しています。

3. IPPhone_VLAN VLAN が VoIP VLAN として割り当てられていることを確認するには、次のコマンドを入力します。

   IPPhone_VLANタグ付き VLAN として表示され、VoIP VLAN であることを示します。

Aruba ClearPass Policy Manager での認証要求のステータスの検証

目的

エンドポイントが正しく認証されていること、およびスイッチとAruba ClearPassの間で正しいRADIUS属性が交換されていることを確認します。

アクション

1. モニタリング>ライブモニタリング>アクセストラッカーに移動して、認証要求のステータスを表示します。

   アクセストラッカーは、認証要求の発生を監視し、そのステータスを報告します。

   

2. 特定の認証要求の詳細を取得するには、要求をクリックします。

   

3. この要求のためにAruba ClearPassがスイッチに送り返したRADIUS属性を確認するには、[ 出力 ]タブをクリックします。

   

意味

IOTデバイス(カメラ)からの認証要求が成功し、IOT VLANに関する正しい情報がスイッチに返されました。

手順

Aruba ClearPass Profileがエンドポイント・リポジトリで検出して維持しているデバイスを表示し、プロファイリングされたデバイスの総数、デバイスの種類、デバイス固有のデータ (デバイス・ベンダー、デバイスのホスト名、デバイスがリポジトリに追加されたときのタイムスタンプなど) に関する情報を取得できます。

1. Aruba ClearPass で、[ 監視 ] » [プロファイラー とネットワーク スキャン ] » [エンドポイント プロファイラー] の順に選択します。最初の [エンドポイント プロファイラ] ウィンドウには、リポジトリ内のエンドポイントの概要が表示され、デバイス カテゴリ内のデバイス、デバイス ファミリ、およびデバイス名の階層がグループ化されます。ウィンドウの下部にある表には、現在選択されているデバイス名グループに含まれるエンドポイントが一覧表示されます。

   

2. 個々のエンドポイントの詳細を表示するには、テーブル内のエンドポイントをクリックします。

   

   [エンドポイントの表示] ウィンドウで、[デバイスのフィンガープリント] タブをクリックすると、デバイスのプロファイリングに使用される ClearPass プロファイルの情報を表示できます。次の例では、ClearPass プロファイルは、DHCP メッセージのさまざまな DHCP オプションから取得した情報を使用して、デバイスをプロファイルしています。

   

手順

このトピックでは、EX シリーズ スイッチで認証操作のトレースを有効にすることで、詳細な診断情報を取得する方法について説明します。

Aruba ClearPass Policy Manager は、追加の詳細な診断情報を提供します。

802.1X プロトコルのトレース オプションを有効にすることができます。