有線LANアクセス-クライアント証明書認証

文書更新日:2026-08-26

目的

SingleIDのユーザで、YAMAHA SWXシリーズネットワークスイッチへアクセスします。
接続する際の認証方式は、クライアント証明書認証（EAP-TLS）です。
SingleIDの拡張RADIUSサーバを利用します。
ユーザ/グループによるアクセス制限をします。

設定方法

SingleIDのグループの作成

SingleID 管理者ポータル＞グループ画面へ移動します。
グループ追加をクリックします。グループ追加画面がポップアップします。
グループ名を入力し、登録ボタンをクリックします。

SingleIDのユーザの作成

SingleID 管理者ポータル＞ユーザ画面へ移動します。
登録ボタンをクリックします。ユーザ登録画面がポップアップします。
ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
メンバーとなるグループを選択し、登録ボタンをクリックします。

SingleIDのクライアント証明書の発行

SingleID 管理者ポータル＞ユーザ画面へ移動します。
クライアント証明書を発行したいユーザの行にあるチェックボックスを選択します。
選択実行ボタンの▼をクリックし、プルダウンメニューの証明書の発行を選択します。
証明書発行画面がポップアップします。
プロファイル（例：デフォルト）および配布形式（例：一般）を選択します。
発行ボタンをクリックして、クライアント証明書を発行します。ユーザのメールアドレス宛に発行されたクライアント証明書のダウンロードリンクが送信されます。

SingleIDの拡張RADIUSサーバの登録

SingleID 管理者ポータル＞認証＞RADIUS＞基本設定タブへ移動します。

拡張RADIUSサーバ＞RADIUSポート番号の登録ボタンをクリックします。拡張RADIUSサーバの登録画面がポップアップします。

設定項目	設定内容
使用するプロトコル	UDPを選択します。
シークレット	任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

登録ボタンをクリックします。専用のRADIUSポート番号が割り当てられます。

SingleIDのRADIUSサイトの登録

SingleID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
カタログ表示ボタンをクリックします。
カタログからYAMAHA SWXシリーズの登録ボタンをクリックします。YAMAHA SWXシリーズ画面がポップアップします。

基本情報タブに、以下を設定します。

設定項目	設定内容
有効/無効	有効を選択します。
サーバ	拡張を選択します。
サーバ番号	SingleIDの拡張RADIUSサーバの登録の手順で登録したサーバ番号を選択します。
サイト識別する属性	NAS-Identifierを選択します。
属性値	YAMAHA SWXシリーズネットワークスイッチを識別する任意の文字列を設定します。（例：`singleid-yamaha-swx`）ここで設定した文字列をYAMAHA SWXシリーズネットワークスイッチの設定の手順で設定するNAS-Identifierにも設定します。

Warning

NAS-Identifierは部分一致で検索されます。複数のRADIUSサイトを登録する場合は、ネットワーク機器が送信する1つのNAS-Identifierに複数サイトの属性値が一致しないように設定してください。

ネットワークアクセスの認証タブへ移動します。
許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。
Info
- 証明書認証（EAP-TLS）のみ許可を有効にすると、クライアント証明書認証以外の認証方式のアクセスを拒否します。
- 認証したユーザおよびグループにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。
（MACアドレス認証バイパスを利用する場合）MACアドレス認証バイパスタブへ移動します。
（MACアドレス認証バイパスを利用する場合）802.1X認証をサポートしていないデバイスのMACアドレスを大文字英数字のハイフン区切りで入力します。（例：00-E1-5C-68-16-04）

Info

MACアドレスにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。
登録ボタンをクリックします。

Info

設定がシステムに反映されるまで最大で15分かかります。

YAMAHA SWXシリーズネットワークスイッチの設定

YAMAHA SWXシリーズネットワークスイッチにCLIでログインして設定します。
SingleIDのクラウドRADIUSと通信するために、デフォルトルートを設定します。

設定項目 設定内容

デフォルトゲートウェイのIPアドレス 利用環境のデフォルトゲートウェイのIPアドレスです。
デフォルトルートの設定
```
SWX2310(config)# ip route 0.0.0.0/0 <デフォルトゲートウェイのIPアドレス>
```

以下の内容で、RADIUSサーバを登録します。

設定項目	設定内容
RADIUSサーバのプライマリIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのプライマリです。
RADIUSサーバのセカンダリIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのセカンダリです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞RADIUSポート番号のポート番号です。
RADIUSクライアントのシークレット	SingleIDの拡張RADIUSサーバの登録の手順のシークレットに設定した文字列です。

RADIUSサーバの登録

SWX2310(config)# radius-server host <RADIUSサーバのプライマリIPアドレス> auth-port <RADIUSサーバのポート番号> key <RADIUSクライアントのシークレット>
SWX2310(config)# radius-server host <RADIUSサーバのセカンダリIPアドレス> auth-port <RADIUSサーバのポート番号> key <RADIUSクライアントのシークレット>

NAS-Identifierを設定します。

設定項目 設定内容

NAS-Identifier SingleIDのRADIUSサイトの登録の手順の属性値に設定した文字列です。（例：singleid-yamaha-swx）
NAS-Identifierの設定
```
SWX2310(config)# auth radius attribute nas-identifier <NAS-Identifier>
```
Info

初期設定ではNAS-Identifierは送信されません。auth radius attribute nas-identifierコマンドを設定すると、RADIUSリクエストでNAS-Identifierが送信されます。

参考: NAS-Identifier属性の設定
802.1X認証を有効化します。

設定項目 設定内容

802.1X認証を有効化する物理ポート名 802.1X認証を有効化する物理ポート名です。（例：port1.1-6）
802.1X認証の設定
```
SWX2310(config)# aaa authentication dot1x
SWX2310(config)# interface <802.1X認証を有効化する物理ポート名>
SWX2310(config-if)# dot1x port-control auto
SWX2310(config-if)# auth host-mode multi-supplicant
SWX2310(config-if)# auth timeout server-timeout 40
```
Info

YAMAHA公式の計算式に従い、RADIUSサーバ全体の応答待ち時間を40秒に設定します。40秒は、初期値の応答待ち時間5秒、再送回数3回、RADIUSサーバ2台の構成から、5秒 ×（3回 + 1）× 2台で算出した値です。

参考: RADIUSサーバー全体の応答待ち時間の設定、RADIUSサーバー1台あたりの応答待ち時間の設定、RADIUSサーバーホストの設定
（MACアドレス認証バイパスを利用する場合）MACベース認証を有効化します。

設定項目 設定内容

MACベース認証を有効化する物理ポート名 MACベース認証を有効化する物理ポート名です。（例：port1.1-6）
MACベース認証の設定
```
SWX2310(config)# aaa authentication auth-mac
SWX2310(config)# auth-mac auth-user unformatted lower-case
SWX2310(config)# interface <MACベース認証を有効化する物理ポート名>
SWX2310(config-if)# auth-mac enable
```
（ダイナミックVLANを利用する場合）VLANを作成します。

設定項目 設定内容

VLAN ID ダイナミックVLANで割り当てるVLAN IDです。（例：101）
VLANの作成
```
SWX2310(config)# vlan database
SWX2310(config-vlan)# vlan <VLAN ID>
```

（ダイナミックVLANを利用する場合）アップリンクポートをトランクポートに設定します。

設定項目	設定内容
アップリンクポートのインターフェース名	アップリンクポートのインターフェース名です。（例：`port1.8`）
VLAN ID	ダイナミックVLANで割り当てるVLAN IDです。（例：101）

トランクポートの設定

SWX2310(config)# interface <アップリンクポートのインターフェース名>
SWX2310(config-if)# switchport mode trunk
SWX2310(config-if)# switchport trunk allowed vlan add <VLAN ID>

（ダイナミックVLANを利用する場合）ダイナミックVLANを有効化します。

設定項目 設定内容

ダイナミックVLANを有効化する物理ポート名 ダイナミックVLANを有効化する物理ポート名です。（例：port1.1-6）
ダイナミックVLANの設定
```
SWX2310(config)# interface <ダイナミックVLANを有効化する物理ポート名>
SWX2310(config-if)# auth dynamic-vlan-creation
```
設定を保存します。
```
SWX2310# save
```

Info

YAMAHA SWXシリーズネットワークスイッチの設定については、SWX2310 コマンドリファレンス：ポート認証機能を参考にさせていただきました。
拡張RADIUSサーバを利用する場合は、サンプルコンフィグにNAS-Identifierの設定を追加してください。

SWX2310-10Gのサンプルコンフィグダウンロード

動作確認方法

以下を参考にクライアントを設定して動作確認します。

クライアント接続設定