ネットワーク接続の認証（グループによるアクセス制限）とダイナミックVLANの併用-パスワード認証

目的

SingleIDのユーザで、YAMAHA SWXにより構成されたネットワークにアクセスします。接続する際の認証方式は、パスワードです。認証成功した際に、接続端末にVLAN IDを動的に割り当てます。

パスワード認証方式でサポートしている認証プロトコルは以下です。

EAP-TTLS-PAP
PEAP(MSCHAPv2)

環境

ユーザの情報

ユーザ名	姓（英字）	名（英字）	メールアドレス
user1	user1	user1	user1@poc.singleid.jp

Info

メールアドレス: 受信可能なメールアドレスを指定してください。

グループの情報

グループ名	メンバー	割当てるVLAN ID
singleid-network-access-users	user1	101

RADIUSの情報

設定に必要な情報	説明および情報取得の方法など
RADIUSサーバのホスト名	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
RADIUSサーバのIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのIPアドレスです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号です。ここでは、デフォルトUDP1812を使用します。
RADIUSクライアントのIPアドレス	YAMAHA SWX側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。
RADIUSクライアントのシークレット	任意の文字列を設定します。ここでは、シークレットをyamahaとします。

YAMAHA SWXのポート

ポート番号	ポート名	トランクポート
1	ge1
2	ge2
3	ge3
4	ge4
5	ge5
6	ge6
7	ge7
8	ge8	(VLAN ID:101)

設定方法

SingleIDの設定

管理者ポータルへログイン

SingleIDの管理者ポータルへログインします。

グループの作成

SingleID 管理者ポータル＞グループ画面へ移動します。
グループ追加をクリックします。グループ追加画面がポップアップします。
グループ名（参照）を入力し、登録ボタンをクリックします。

ユーザの作成

SingleID 管理者ポータル＞ユーザ画面へ移動します。
登録ボタンをクリックします。ユーザ登録画面がポップアップします。
ユーザ登録画面の基本情報を入力します。作成するユーザは、ユーザの情報を参照します。 グループタブをクリックします。
参加するグループ（参照）を選択し、登録ボタンをクリックします。

RADIUSの設定

SingleID 管理者ポータル＞認証＞RADIUS画面の簡易設定タブへ移動します。
カタログ表示ボタンをクリックします。
カタログからYAMAHA SWXシリーズの登録ボタンをクリックします。YAMAHA SWXシリーズ画面がポップアップします。

基本情報タブに、以下を設定します。

設定項目	設定内容
有効/無効	有効
サーバ	1
ワンタイムパスワード強制	無効
IP or ホスト名	RADIUSの情報のRADIUSクライアントのIPアドレスを参照
シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

Info

選択するサーバの番号により、RADIUSサーバのポート番号が異なります。サーバが1の場合には、UDP1812です。SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。

ネットワークアクセスの認証タブへ移動します。
許可グループの設定で許可したいグループ（参照）をダブルクリックし、許可へ移動させます。
許可へ移動させたグループの同じ行に、割当てるVLAN ID（参照）を入力します。
登録ボタンをクリックします。

YAMAHA SWXの設定

YAMAHA SWXにCLIでログインして設定します。

Info

GUIによる設定も可能です。

デフォルトルートの設定

SingleIDのクラウドRADIUSと通信するために、デフォルトルートをYAMAHA SWXに設定します。デフォルトルートは、環境により異なるため適切なIPアドレスを設定します。

デフォルートの設定

(config)#ip route 0.0.0.0/0 <デフォルトゲートウェイのIPアドレス>

VLANの作成

割当てるVLAN ID（参照）のVLANを作成します。

VLANの作成

(config)#vlan database
(config-vlan)#vlan <VLAN ID>

アップリンクポートをトランクポートの設定

YAMAHA SWXのポートに従い、ルータと接続するYAMAHA SWXの物理ポート（アップリンクポート）に対して、トランクの設定をします。

トランクポートの設定

(config)#interface <アップリンクポートのインターフェース名>
(config-if)#switchport mode trunk
(config-if)#switchport trunk allowed vlan add <VLAN ID>

RADIUSサーバの登録

設定項目	設定内容
host	RADIUSの情報のRADIUSサーバのIPアドレスを参照
auth-port	RADIUSの情報のRADIUSサーバのポート番号を参照
Key	RADIUSの情報のRADIUSクライアントのシークレットを参照

(config)#radius-server host <1つめのRADIUSサーバのIPアドレス> auth-port <RADIUSサーバのポート番号> key <RADIUSクライアントのシークレット>
(config)#radius-server host <2つめのRADIUSサーバのIPアドレス> auth-port <RADIUSサーバのポート番号> key <RADIUSクライアントのシークレット>

802.1x認証の有効化

YAMAHA SWXのポートに従い、802.1x認証の設定を行います。

(config)#aaa authentication dot1x
(config)#aaa authentication auth-mac
(config)#auth-mac auth-user unformatted lower-case
(config)#interface <802.1x認証の有効化する物理ポート名（例：ポート1.1～ポート1.6の物理ポートの場合、`port1.1-6`のように指定する。）>
(config-if)#dot1x port-control auto
(config-if)#auth host-mode multi-supplicant
(config-if)#auth-mac enable
(config-if)# auth dynamic-vlan-creation

設定を保存

#save

サンプルコンフィグ

ダウンロード

動作確認方法

ネットワーク接続の認証（PEAP(MSCHAPv2)方式のパスワード認証）

ネットワークへ接続（Windows 11 の場合）

PCのネットワークインターフェースの802.1x認証を有効化する必要があります。Windowsのサービス設定画面からWired AutoConfigサービスをダブルクリックします。
PC起動時に、ネットワークインターフェースの802.1x認証を有効化するために、Wired AutoConfigサービスのスタートアップの種類を自動に変更します。そして、開始ボタンをクリックして、802.1x認証を有効化します。
PCをYAMAHA SWXの802.1x認証を有効にしたポート（YAMAHA SWXのポートの802.1x認証の有効化を参照）へ接続します。
ログイン要求がポップアップします。サインインをクリックします。
認証設定の編集ボタンをクリックします。
以下を設定し、保存ボタンをクリックします。

設定項目設定内容

EAPメソッド保護されたEAP(PEAP)

認証方法セキュリティで保護されたパスワード(EAP-MSCHAP v2)
サインインをクリックします。
SingleIDのユーザ参照の認証情報を入力し、OKボタンをクリックします。
接続先が正しいかどうかの確認を要求されます。証明書の詳しい内容の表示でRADIUSサーバのサーバ証明書の情報が表示されますので、接続先の確認を行います。接続先が正しければ、接続ボタンをクリックします。

項目内容

発行先 RADIUSの情報のRADIUSサーバのホスト名

発行元 R3
接続成功したことを確認します。

Info

YAMAHA SWXで#show auth supplicantコマンドを実行して、接続状況を確認できます。

設定項目	設定内容
EAPメソッド	保護されたEAP(PEAP)
認証方法	セキュリティで保護されたパスワード(EAP-MSCHAP v2)

項目	内容
発行先	RADIUSの情報のRADIUSサーバのホスト名
発行元	R3