コンテンツにスキップ

有線LANアクセス-クライアント証明書認証

文書更新日:2025-04-21

目的

  • SingleIDのユーザで、アライドテレシス ネットワークスイッチへアクセスします。
  • 接続する際の認証方式は、クライアント証明書認証（EAP-TLS）です。
  • SingleIDの拡張RADIUSサーバを利用します。
  • ユーザ/グループによるアクセス制限をします。

設定方法

SingleIDのグループの作成

  1. SingleID 管理者ポータル＞グループ画面へ移動します。
  2. グループ追加をクリックします。グループ追加画面がポップアップします。
  3. グループ名を入力し、登録ボタンをクリックします。

SingleIDのユーザの作成

  1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
  2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
  3. ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
  4. メンバーとなるグループを選択し、登録ボタンをクリックします。

SingleIDのクライアント証明書の発行

  1. SingleID 管理者ポータル＞ユーザタブへ移動します。
  2. クライアント証明書を発行したいユーザの行にあるチェックボックスを選択します。
  3. 選択実行ボタンの▼をクリックし、プルダウンメニューの証明書の発行を選択します。
  4. 証明書発行画面がポップアップします。
  5. プロファイル（例：デフォルト）および配布形式（例：一般）を選択します。
  6. 発行ボタンをクリックして、クライアント証明書を発行します。ユーザのメールアドレス宛に発行されたクライアント証明書のダウンロードリンクが送信されます。

SingleIDの拡張RADIUSサーバの登録

  1. SingleID 管理者ポータル＞認証＞RADIUS＞基本設定タブへ移動します。

  2. 拡張RADIUSサーバ＞RADIUSポート番号の登録ボタンをクリックします。拡張RADIUSサーバの登録画面がポップアップします。

    設定項目 設定内容
    使用するプロトコル UDPを選択します。
    シークレット 任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

  3. 登録ボタンをクリックします。専用のRADIUSポート番号が割り当てれます。

SingleIDのRADIUSサイトの登録

  1. SingleID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
  2. カタログ表示ボタンをクリックします。
  3. カタログからアライドテレシス ネットワークスイッチの登録ボタンをクリックします。アライドテレシス ネットワークスイッチ画面がポップアップします。

  4. 基本情報タブに、以下を設定します。

    設定項目 設定内容
    有効/無効 有効を選択します。
    サーバ 拡張を選択します。
    サーバ番号 SingleIDの拡張RADIUSサーバの登録で登録したサーバ番号を選択します。
    サイト識別する属性 NAS-Identifierを選択します。
    属性値 任意の文字列を設定します。（例：allied-telesis_networkswitch）

  5. ネットワークアクセスの認証タブへ移動します。

  6. 許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。

    Info

    • 証明書認証（EAP-TLS）のみ許可を有効にすると、クライアント証明書認証以外の認証方式のアクセスを拒否します。
    • 認証したユーザおよびグループにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。

  7. MACアドレス認証バイパスタブへ移動します。

  8. 802.1x認証をサポートしていないデバイスのMACアドレスを大文字英数字のハイフン区切りで入力します。（例：00-E1-5C-68-16-04）

    Info

    MACアドレスにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。

  9. 登録ボタンをクリックします。

アライドテレシス ネットワークスイッチの設定

  1. アライドテレシス ネットワークスイッチにCLIでログインして設定します。

  2. 以下の内容で、RADIUSサーバを登録します。

    設定項目 設定内容
    RADIUSサーバのプライマリIPアドレス SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのプライマリです。
    RADIUSサーバのセカンダリIPアドレス SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのセカンダリです。
    RADIUSサーバのポート番号 SingleIDのRADIUSサイトの登録の手順のサーバ番号に対応したポート番号です。
    RADIUSクライアントのシークレット SingleIDのRADIUSサイトの登録の手順のシークレットに設定した文字列です。
    RADIUSグループ名 登録したRADIUSサーバをグループ化します。（例: singleid）
    RADIUSサーバの登録
    awplus(config)# radius-server host <RADIUSサーバのプライマリIPアドレス> auth-port <RADIUSサーバのポート番号> key <RADIUSクライアントのシークレット>
awplus(config)# radius-server host <RADIUSサーバのセカンダリIPアドレス> auth-port <RADIUSサーバのポート番号> key <RADIUSクライアントのシークレット>
    RADIUSサーバのグループ化
    awplus(config)#aaa group server radius <RADIUSグループ名>
awplus(config-sg)# server <RADIUSサーバのプライマリIPアドレス> auth-port <RADIUSサーバのポート番号>
awplus(config-sg)# server <RADIUSサーバのセカンダリIPアドレス> auth-port <RADIUSサーバのポート番号>

  3. 以下の内容で、NAS-Identifier属性の値を設定します。

    設定項目 設定内容
    NAS-Identifier属性の値 SingleIDのRADIUSサイトの登録の手順のサイトを識別する属性の属性値に設定した文字列です。（例: allied-telesis_networkswitch）
    NAS-Identifier属性の値の設定
    awplus(config)# auth radius send nas-identifier <NAS-Identifier属性の値>

  4. 802.1x認証を有効化します。

    設定項目 設定内容
    802.1x認証を有効化する物理ポート名 802.1x認証を有効化する物理ポート名です。（例: port1.0.1-1.0.16）
    RADIUSグループ名 アライドテレシス ネットワークスイッチの設定の手順で作成したRADIUSグループです。（例: singleid）
    802.1X認証の設定
    awplus(config)# aaa authentication dot1x default group <RADIUSグループ名>
awplus(config)# interface <802.1x認証を有効化する物理ポート名>
awplus(config-if)# dot1x port-control auto
awplus(config-if)# auth host-mode single-host
awplus(config-if)# spanning-tree edgeport

    Info

    • 認証機能の有効なポートでは認証成功時にスパニングツリープロトコルのトポロジーチェンジが発生します。これを回避するには、該当ポートをエッジポートに設定しておきます
    • この設定例では、Single-Hostモード（単一ホストモード）で設定しています。

  5. 必要に応じて、再認証を有効化します。

    設定項目 設定内容
    再認証を有効化する物理ポート名 再認証を有効化する物理ポート名です。（例: port1.0.1-1.0.16）
    再認証の設定
    awplus(config)# interface <再認証を有効化する物理ポート名>
awplus(config-if)# auth reauthentication
awplus(config-if)# auth timeout reauth-period 86400

    Info

    アライドテレシス スイッチは、認証成功後に再認証は行われません。一定期間で再認証させたい場合には、設定変更が必要です。

  6. （MACベース認証を利用する場合）MACベース認証を有効化します。

    設定項目 設定内容
    MACベース認証を有効化する物理ポート名 MACベース認証を有効化する物理ポート名です。（例: port1.0.1-1.0.16）
    RADIUSグループ名 アライドテレシス ネットワークスイッチの設定の手順で作成したRADIUSグループです。（例: singleid）
    MACベース認証の有効化
    awplus(config)# aaa authentication auth-mac default group <RADIUSグループ名>
awplus(config)# interface <MACベース認証を有効化する物理ポート名>
awplus(config-if)# auth-mac enable

    Info

    MACベース認証時の初期値の認証方式は、PAPです。

  7. （MACベース認証を利用する場合）スパニングツリーを無効化します。

    スパニングツリーの無効化
    awplus(config)# no spanning-tree stp enable
awplus(config)# no spanning-tree rstp enable
awplus(config)# no spanning-tree mstp enable

    Info

    同一ポート上でスパニングツリープロトコルとMACベース認証は併用できないため、スパニングツリープロトコルを無効にします。

  8. （MACベース認証を利用する場合）MACベース認証時のユーザ名・パスワードの形式を変更します。

    MACベース認証時のユーザ名、パスワードの形式を変更
    awplus(config)# awplus(config)#auth-mac username unformatted lower-case

  9. （ダイナミックVLANを利用する場合）VLANを作成します。

    設定項目 設定内容
    VLAN ID ダイナミックVLANで割り当てるVLAN IDです。（例: 101）
    VLANの作成
    awplus(config)#vlan database
awplus(config-vlan)#vlan <VLAN ID>

  10. （ダイナミックVLANを利用する場合）アップリンクポートをトランクポートに設定します。

    設定項目 設定内容
    アップリンクポートのインターフェース名 アップリンクポートのインターフェース名です。（例: port1.0.24）
    VLAN ID ダイナミックVLANで割り当てるVLAN IDです。（例: 101）
    トランクポートの設定
    awplus(config)#interface <アップリンクポートのインターフェース名>
awplus(config-if)#switchport mode trunk
awplus(config-if)#switchport trunk allowed vlan add <VLAN ID>

  11. （ダイナミックVLANを利用する場合）ダイナミックVLANを有効化にします。

    設定項目 設定内容
    ダイナミックVLANを有効化する物理ポート名 ダイナミックVLANを有効化する物理ポート名です。（例: port1.0.1-1.0.16）
    ダイナミックVLANの有効化
    awplus(config)# interface <ダイナミックVLANを有効化する物理ポート名>
awplus(config-if)# auth dynamic-vlan-creation
awplus(config-if)# auth timeout connect-timeout 120

    Info

    アライドテレシス スイッチの設定ガイドに従い、auth timeout connect-timeoutを初期値から変更します。

    アライドテレシスの設定ガイドからの抜粋
    Note - Web認証、ダイナミックvlan使用時は、auth timeout connect-timeoutコマンドを使用し、デフォルトの30秒より長い時間を設定してください。（例：auth timeout connect-timeout 120）

  12. 設定を保存します。

    awplus# write memory

Info

アライドテレシス ネットワークスイッチの設定については、CentreCOM x230シリーズ コマンドリファレンス 5.4.5 : インターフェース / ポート認証を参考にさせていただきました。

AT-x230-28GPのサンプルコンフィグ1 ダウンロード

動作確認方法

Windows端末からEAP-TLS（クライアント証明書認証）でネットワークアクセスの認証が可能なことを確認します。

クライアント証明書のダウンロード

  1. SingleIDシステム管理から届いたメールを開きます。
  2. ダウンロードリンクをクリックします。P12形式のクライアント証明書がダウンロードされます。 Screenshot

Info

もし、PCでメールを受信し、スマートフォンやタブレットにクライアント証明書をインストールしたい場合には、メールに添付されているQRコードを スマートフォンやタブレットで読み取ります。クライアント証明書のダウンロードURLを認識しますので、そのURLへアクセスすることで、 スマートフォンやタブレット にもクライアント証明書をダウンロードできます。

クライアント証明書のインストール

  1. ダウンロードしたP12形式のクライアント証明書ファイルをダブルクリックします。

  2. 保存場所として現在のユーザーを選択し、次へボタンをクリックします。

    Screenshot

  3. ダウンロードしたP12形式のファイル名とパスが正しく入力されていることを確認し、次へボタンをクリックします。

    Screenshot

  4. パスワードに、クライアント証明書のパスワードを入力します。クライアント証明書のパスワードは、ユーザ名と同一です。（例：ユーザ名が、user1の場合、クライアント証明書のパスワードは、user1です。）次へボタンをクリックします。

    Screenshot

  5. 証明書の種類に基づいて、自動に証明書ストアを選択するが選択されていることを確認し、次へボタンをクリックします。

    Screenshot

  6. 完了ボタンをクリックし、証明書をインストールします。

    Screenshot

  7. クライアント証明書のインストールが成功しました。

    Screenshot

設定

  1. PCのネットワークインターフェースの802.1x認証を有効化する必要があります。Windowsのサービス設定画面からWired AutoConfigサービスをダブルクリックします。

    Screenshot

  2. PC起動時に、ネットワークインターフェースの802.1x認証を有効化するために、Wired AutoConfigサービスのスタートアップの種類を自動に変更します。そして、開始ボタンをクリックして、802.1x認証を有効化します。

    Screenshot

  3. PCをネットワークスイッチの802.1x認証を有効にしたポートへ接続します。

  4. ログイン要求がポップアップします。サインインをクリックします。

    Screenshot

  5. 認証設定の編集ボタンをクリックします。

    Screenshot

  6. 以下を設定し、保存ボタンをクリックします。

    設定項目 設定内容
    EAPメソッド スマートカードまたはその他の証明書(EAP-TLS)

    Screenshot

接続

  1. サインインをクリックします。

    Screenshot

  2. SingleIDのRADIUSサイトの登録の手順で許可したユーザのクライアント証明書を選択し、接続ボタンをクリックします。

    Screenshot

  3. 接続先が正しいかどうかの確認を要求されます。証明書の詳しい内容の表示でRADIUSサーバのサーバ証明書の情報が表示されますので、接続先の確認を行います。接続先が正しければ、接続ボタンをクリックします。

    項目 内容
    発行先 SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
    発行元 R3

    Screenshot

  4. 接続成功したことを確認します。

    Screenshot

MACアドレス認証バイパス

  1. 802.1x認証を無効にしたPCをネットワークスイッチの802.1x認証を有効にしたポートへ接続します。
  2. １分間ほど待ち、ネットワークへ接続できたことを確認します。

Info

アライドテレシス ネットワークスイッチでawplus# show dot1x supplicant briefコマンドを実行して、接続状況を確認できます。

出力結果のサンプル
Interface port1.0.1
authenticationMethod: dot1x/mac
totalSupplicantNum: 1
authorizedSupplicantNum: 1
    macBasedAuthenticationSupplicantNum: 0
    dot1xAuthenticationSupplicantNum: 1
    webBasedAuthenticationSupplicantNum: 0
    otherAuthenticationSupplicantNum: 0

Interface   VID  Mode MAC Address    Status            IP Address      Username
=========== ==== ==== ============== ================= =============== ========
port1.0.1   101  D    xxxxx          Authenticated     xxxxx           xxxxx