コンテンツにスキップ

有線LANアクセス-パスワード認証

文書更新日:2025-04-21

目的

  • SingleIDのユーザで、アライドテレシス ネットワークスイッチへアクセスします。
  • 接続する際の認証方式は、パスワード（PEAP、EAP-TTLS-PAP）です。
  • SingleIDの標準RADIUSサーバを利用します。
  • ユーザ/グループによるアクセス制限をします。

設定方法

SingleIDのグループの作成

  1. SingleID 管理者ポータル＞グループ画面へ移動します。
  2. グループ追加をクリックします。グループ追加画面がポップアップします。
  3. グループ名を入力し、登録ボタンをクリックします。

SingleIDのユーザの作成

  1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
  2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
  3. ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
  4. メンバーとなるグループを選択し、登録ボタンをクリックします。

SingleIDのRADIUSサイトの登録

  1. SingleID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
  2. カタログ表示ボタンをクリックします。
  3. カタログからアライドテレシス ネットワークスイッチの登録ボタンをクリックします。アライドテレシス ネットワークスイッチ画面がポップアップします。

  4. 基本情報タブに、以下を設定します。

    設定項目 設定内容
    有効/無効 有効を選択します。
    サーバ 標準を選択します。
    サーバ番号 適切なサーバ番号を選択します。選択するサーバの番号により、RADIUSサーバのポート番号が異なります。SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞RADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。
    IP or ホスト名 アライドテレシス ネットワークスイッチ側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。
    シークレット 任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

  5. ネットワークアクセスの認証タブへ移動します。

  6. 許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。

    Info

    認証したユーザおよびグループにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。

  7. MACアドレス認証バイパスタブへ移動します。

  8. 802.1x認証をサポートしていないデバイスのMACアドレスを大文字英数字のハイフン区切りで入力します。（例：00-E1-5C-68-16-04）

    Info

    MACアドレスにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。

  9. 登録ボタンをクリックします。

アライドテレシス ネットワークスイッチの設定

  1. アライドテレシス ネットワークスイッチにCLIでログインして設定します。

  2. 以下の内容で、RADIUSサーバを登録します。

    設定項目 設定内容
    RADIUSサーバのプライマリIPアドレス SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞IPアドレスのプライマリです。
    RADIUSサーバのセカンダリIPアドレス SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞IPアドレスのセカンダリです。
    RADIUSサーバのポート番号 SingleIDのRADIUSサイトの登録の手順のサーバ番号に対応したポート番号です。
    RADIUSクライアントのシークレット SingleIDのRADIUSサイトの登録の手順のシークレットに設定した文字列です。
    RADIUSグループ名 登録したRADIUSサーバをグループ化します。（例: singleid）
    RADIUSサーバの登録
    awplus(config)# radius-server host <RADIUSサーバのプライマリIPアドレス> auth-port <RADIUSサーバのポート番号> key <RADIUSクライアントのシークレット>
awplus(config)# radius-server host <RADIUSサーバのセカンダリIPアドレス> auth-port <RADIUSサーバのポート番号> key <RADIUSクライアントのシークレット>
    RADIUSサーバのグループ化
    awplus(config)#aaa group server radius <RADIUSグループ名>
awplus(config-sg)# server <RADIUSサーバのプライマリIPアドレス> auth-port <RADIUSサーバのポート番号>
awplus(config-sg)# server <RADIUSサーバのセカンダリIPアドレス> auth-port <RADIUSサーバのポート番号>

  3. 802.1x認証を有効化します。

    設定項目 設定内容
    802.1x認証を有効化する物理ポート名 802.1x認証を有効化する物理ポート名です。（例: port1.0.1-1.0.16）
    RADIUSグループ名 アライドテレシス ネットワークスイッチの設定の手順で作成したRADIUSグループです。（例: singleid）
    802.1X認証の設定
    awplus(config)# aaa authentication dot1x default group <RADIUSグループ名>
awplus(config)# interface <802.1x認証を有効化する物理ポート名>
awplus(config-if)# dot1x port-control auto
awplus(config-if)# auth host-mode single-host
awplus(config-if)# spanning-tree edgeport

    Info

    • 認証機能の有効なポートでは認証成功時にスパニングツリープロトコルのトポロジーチェンジが発生します。これを回避するには、該当ポートをエッジポートに設定しておきます
    • この設定例では、Single-Hostモード（単一ホストモード）で設定しています。

  4. 必要に応じて、再認証を有効化します。

    設定項目 設定内容
    再認証を有効化する物理ポート名 再認証を有効化する物理ポート名です。（例: port1.0.1-1.0.16）
    再認証の設定
    awplus(config)# interface <再認証を有効化する物理ポート名>
awplus(config-if)# auth reauthentication
awplus(config-if)# auth timeout reauth-period 86400

    Info

    アライドテレシス スイッチは、認証成功後に再認証は行われません。一定期間で再認証させたい場合には、設定変更が必要です。

  5. （MACベース認証を利用する場合）MACベース認証を有効化します。

    設定項目 設定内容
    MACベース認証を有効化する物理ポート名 MACベース認証を有効化する物理ポート名です。（例: port1.0.1-1.0.16）
    RADIUSグループ名 アライドテレシス ネットワークスイッチの設定の手順で作成したRADIUSグループです。（例: singleid）
    MACベース認証の有効化
    awplus(config)# aaa authentication auth-mac default group <RADIUSグループ名>
awplus(config)# interface <MACベース認証を有効化する物理ポート名>
awplus(config-if)# auth-mac enable

    Info

    MACベース認証時の初期値の認証方式は、PAPです。

  6. （MACベース認証を利用する場合）スパニングツリーを無効化します。

    スパニングツリーの無効化
    awplus(config)# no spanning-tree stp enable
awplus(config)# no spanning-tree rstp enable
awplus(config)# no spanning-tree mstp enable

    Info

    同一ポート上でスパニングツリープロトコルとMACベース認証は併用できないため、スパニングツリープロトコルを無効にします。

  7. （MACベース認証を利用する場合）MACベース認証時のユーザ名・パスワードの形式を変更します。

    MACベース認証時のユーザ名、パスワードの形式を変更
    awplus(config)# awplus(config)#auth-mac username unformatted lower-case

  8. （ダイナミックVLANを利用する場合）VLANを作成します。

    設定項目 設定内容
    VLAN ID ダイナミックVLANで割り当てるVLAN IDです。（例: 101）
    VLANの作成
    awplus(config)#vlan database
awplus(config-vlan)#vlan <VLAN ID>

  9. （ダイナミックVLANを利用する場合）アップリンクポートをトランクポートに設定します。

    設定項目 設定内容
    アップリンクポートのインターフェース名 アップリンクポートのインターフェース名です。（例: port1.0.24）
    VLAN ID ダイナミックVLANで割り当てるVLAN IDです。（例: 101）
    トランクポートの設定
    awplus(config)#interface <アップリンクポートのインターフェース名>
awplus(config-if)#switchport mode trunk
awplus(config-if)#switchport trunk allowed vlan add <VLAN ID>

  10. （ダイナミックVLANを利用する場合）ダイナミックVLANを有効化にします。

    設定項目 設定内容
    ダイナミックVLANを有効化する物理ポート名 ダイナミックVLANを有効化する物理ポート名です。（例: port1.0.1-1.0.16）
    ダイナミックVLANの有効化
    awplus(config)# interface <ダイナミックVLANを有効化する物理ポート名>
awplus(config-if)# auth dynamic-vlan-creation
awplus(config-if)# auth timeout connect-timeout 120

    Info

    アライドテレシス スイッチの設定ガイドに従い、auth timeout connect-timeoutを初期値から変更します。

    アライドテレシスの設定ガイドからの抜粋
    Note - Web認証、ダイナミックvlan使用時は、auth timeout connect-timeoutコマンドを使用し、デフォルトの30秒より長い時間を設定してください。（例：auth timeout connect-timeout 120）

  11. 設定を保存します。

    awplus# write memory

Info

アライドテレシス ネットワークスイッチの設定については、CentreCOM x230シリーズ コマンドリファレンス 5.4.5 : インターフェース / ポート認証を参考にさせていただきました。

AT-x230-28GPのサンプルコンフィグ1 ダウンロード

動作確認方法

Windows端末からパスワードによるネットワークアクセスの認証が可能なことを確認します。

設定

  1. PCのネットワークインターフェースの802.1x認証を有効化する必要があります。Windowsのサービス設定画面からWired AutoConfigサービスをダブルクリックします。

    Screenshot

  2. PC起動時に、ネットワークインターフェースの802.1x認証を有効化するために、Wired AutoConfigサービスのスタートアップの種類を自動に変更します。そして、開始ボタンをクリックして、802.1x認証を有効化します。

    Screenshot

  3. PCをネットワークスイッチの802.1x認証を有効にしたポートへ接続します。

  4. ログイン要求がポップアップします。サインインをクリックします。

    Screenshot

  5. 認証設定の編集ボタンをクリックします。

    Screenshot

  6. 以下を設定し、保存ボタンをクリックします。

    設定項目 設定内容
    EAPメソッド 保護されたEAP(PEAP)
    認証方法 セキュリティで保護されたパスワード(EAP-MSCHAP v2)

    Screenshot

接続

  1. サインインをクリックします。

    Screenshot

  2. 認証情報を入力し、OKボタンをクリックします。

    設定項目 設定内容
    ユーザ名 SingleIDのRADIUSサイトの登録の手順で許可したユーザです。
    パスワード ユーザのパスワードです。

    Screenshot

  3. 接続先が正しいかどうかの確認を要求されます。証明書の詳しい内容の表示でRADIUSサーバのサーバ証明書の情報が表示されますので、接続先の確認を行います。接続先が正しければ、接続ボタンをクリックします。

    項目 内容
    発行先 SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
    発行元 R3

    Screenshot

  4. 接続成功したことを確認します。

    Screenshot

MACアドレス認証バイパス

  1. 802.1x認証を無効にしたPCをネットワークスイッチの802.1x認証を有効にしたポートへ接続します。
  2. １分間ほど待ち、ネットワークへ接続できたことを確認します。

Info

アライドテレシス ネットワークスイッチでawplus# show dot1x supplicant briefコマンドを実行して、接続状況を確認できます。

出力結果のサンプル
Interface port1.0.1
authenticationMethod: dot1x/mac
totalSupplicantNum: 1
authorizedSupplicantNum: 1
    macBasedAuthenticationSupplicantNum: 0
    dot1xAuthenticationSupplicantNum: 1
    webBasedAuthenticationSupplicantNum: 0
    otherAuthenticationSupplicantNum: 0

Interface   VID  Mode MAC Address    Status            IP Address      Username
=========== ==== ==== ============== ================= =============== ========
port1.0.1   101  D    xxxxx          Authenticated     xxxxx           xxxxx