Ciscoスポンサーリンク近年では誰でも組織内のネットワークには接続させず何らかの認証を導入しているところのほうが割合的に多いです。その中の手段としてIEEE802.1X認証,、Mac認証、Web認証の3つが挙げられます。これらの認証の仕組みは大きく以下の3つの要素で構成されています。LANスイッチへアクセスを要求しスイッチからの要求に応答するデバイスです。クライアントの実際の認証を行うデバイスです。認証サーバをクライアントを識別しアクセスの許可/拒否をスイッチに通知します。クライアントの認証ステータスに基づいてネットワークへの物理アクセスを制御します。Catalystでの認証機能というのは正直、あまり万能なものではなく他社製品と比較して見劣りするところもあったりします。ここではCatalyst2960の15.0(2)SE4を前提に記載致します。12.2(50)SEより前のバージョンでは設定方法が異なりますので注意してください。Catalyst上で設定する具体的な認証方法については上にも記載したよう以下の3つがあります。実務上で最も多いのはMac認証バイパスです。ユーザID/Passでは漏れる可能性がある。Web認証はエンドユーザの手を煩わす。現実的な手法はMac認証という意見を持ったユーザが多いです。Catalystの特定バージョン以上のIOSではこれらを任意に組み合わせて実施することが可能となっており、マルチ認証と呼ばれます。最初の接続段階ではMac認証を試み、NGならdot1x認証、それでもダメならWeb認証を試み、端末によって認証方法が異なっても構わず、どれかで認証されれば接続可能という状態です。Catalyst上でいずれの認証方法を用いるにしても認証サーバであるRadiusについてはCiscoのRadiusであることがサポートの前提となります。Web認証に関してはCiscoのRadiusが必須となりますがdot1x認証またはMac認証であれば一般的なRadiusで動作可能です。ここでは検証環境なのでオープンソースのRadiusであるFreeRadiusを用いてdot1x認証とMac認証の動作確認をとります。下記は主にRadius周りを中心としたグローバル設定です。system-auth-control上記のAAA設定を実施した場合、TelnetやConsoleで機器にログインする際にもRadiusに問い合わせにいくようになりますので、ローカルアカウントで認証させるため以下の設定も実施します。consoleあとは各ポートごとに有効/無効を設定することになります。デフォルトでは全てのポートが無効であり無条件に接続可能です。dot1xを有効にできるポートはアクセスポートに限定されます。トランクポートなどには設定できませんので注意してください。paeコマンドは不要です。authenticator各ポートに対して設定できるパラメータは以下の3つです。認証をイネーブルにします。認証をディセーブルにし、認証情報の交換を必要とせずに、ポートを許可ステートに変更します。クライアントからの認証の試みをすべて無視し、ポートを無許可ステートのままにします。スイッチはポートを介してクライアントに認証サービスを提供できません。15系IOSでは以下の4つのモードから選択可能となっています。single-host]それぞれの意味は下記のようになります。Web認証を混在させることが可能なモード。1ポート配下でPC端末をIP電話を混在させることが可能なモード。1ポート配下で複数のPC端末を接続させることが可能なモード。1ポートにつき1端末という最もシンプルな構成。Web認証をどのような順序で行うのか定義するのが以下のコマンドです。下記ではMAC認証を試み、NGであればdot1x認証を行うよう順序を設定しています。Web認証は指定してないので実施されません。Mac認証を行う場合は下記のようにmabコマンドも必要です。mabスイッチとRADIUSサーバの間の疎通がとれなくなった場合に緊急用のVLANにポートをアサインしなおすことが可能です。下記はRADIUSとの接続性がなくなった時点でVlan10にポートをアサインし、接続性が回復したら自動復旧する設定です。authorizeとrenitializeで選択することができますが、authroizeは新規接続のみでreinitializeは認証済みホストも含めて全て緊急用Vlanに移動します。reinitializeさらに下記は認証に失敗した場合に別の特定VLANにアサインさせる場合の設定です。認証失敗の場合はVlan10にアサインさせます。10MAB認証を実施する場合、登録されていないMacアドレスが存在すれば延々と再認証を繰り返しますので以下の設定を実施して再認証させないようにしておきます。0以下は802.1Xの再認証設定となります。デフォルトは1時間おきですが2時間に変更しています。7200以上が主な設定となります。ポートの設定をまとめると以下のようになります。クライアントのMacアドレスは区切りなしにRadiusに送信されますのでFreeRadius側には以下の設定が必要となります。Cleartext-Password:="fc6198414589"正常に認証されればスイッチ側で以下のように表示されます。AnyConnectCiscoASAでSSL-VPNを構築します。近年では誰でも組織内のネットワークには接続させず何らかの認証を導入しているところのほうが割合的に多いです。以下のようなマルチホーミング構成である場合、BGPの経路フィルタリングは必須となります。実際の構築作業の中で作業前と作業後には全機器のログを取得している方がほとんどだと思います。)はIOSに搭載された運用管理機能の一つです。IOSににとおったコマンドセットを備えています。Networking.。