第6編
AccessDefender

MAC認証の構成例と設定例

MAC認証の構成例と設定例を示します。

MAC認証の設定例

MAC認証の構成例と設定例を示します。この例では以下のように設定しています。

MAC認証の設定例
項目設定
RADIUS認証 デフォルトのRADIUSサーバーグループ「radius」で使用
RADIUSサーバー
  • IPアドレス:172.16.1.101
  • 共有鍵:apresia
認証クライアントの最大数 256
MAC認証有効ポート ポート1/0/1からポート1/0/5
MAC認証用パスワード apresia-mac
エージングログアウト時間 1時間

MAC認証の構成例

  • VLAN 10、VLAN 100を作成し、構成例のようにVLANを割り当てます。
    sw1# configure terminal
    sw1(config)# vlan 10,100
    sw1(config-vlan)# exit
    sw1(config)#
    sw1(config)# interface range port 1/0/1-5
    sw1(config-if-port-range)# switchport mode access
    sw1(config-if-port-range)# switchport access vlan 10
    sw1(config-if-port-range)# exit
    sw1(config)# 
    sw1(config)# interface port 1/0/49
    sw1(config-if-port)# switchport mode trunk
    sw1(config-if-port)# switchport trunk allowed vlan 10,100
    sw1(config-if-port)# exit
    sw1(config)#
  • VLAN 100インターフェースに管理用IPアドレス[192.168.100.100/24]を設定します。また、本設定例ではデフォルトスタティックルートを[192.168.100.254]宛てに設定して、経路を解決しています。
    sw1(config)# interface vlan 100
    sw1(config-if-vlan)# ip address 192.168.100.100/24
    sw1(config-if-vlan)# exit
    sw1(config)# ip route 0.0.0.0/0 192.168.100.254
    sw1(config)#
  • 装置のAAAを有効化します。また、MAC認証で使用する認証方式リストを、デフォルトのRADIUSサーバーグループ「radius」に指定します。
    sw1(config)# aaa new-model
    sw1(config)# aaa authentication mac-auth default group radius
    sw1(config)#
  • RADIUSサーバーを、IPアドレス[172.16.1.101]、共有鍵[apresia]で設定します。設定したRADIUSサーバーは、所属するRADIUSグループを指定しない場合はデフォルトのRADIUSサーバーグループ「radius」に所属します。
    sw1(config)# radius-server host 172.16.1.101 key apresia
    sw1(config)#
  • AccessDefender設定モードに遷移し、認証クライアントの最大数を[256]に設定します。
    sw1(config)# access-defender
    sw1(config-a-def)# total-client 256
    sw1(config-a-def)#
  • ポート1/0/1からポート1/0/5でMAC認証を有効に、MAC認証用パスワードを[apresia-mac]に設定します。また、エージングログアウト時間を[1時間]に設定します。
    sw1(config-a-def)# authentication interface port 1/0/1-5 mac
    sw1(config-a-def)# mac-authentication password apresia-mac mac
    sw1(config-a-def)# logout aging-time 0 0 1 mac
    sw1(config-a-def)# exit
    sw1(config)#
  • MAC認証を有効にします。
    sw1(config)# mac-authentication enable
    sw1(config)# end
    sw1#
  • 実施後のAccessDefender関連の設定を以下に抜粋します。
    # AAA
    
    aaa new-model
    radius-server host 172.16.1.101 key apresia
    aaa authentication mac-auth default group radius
    
    # ACCESS-DEFENDER
    
    access-defender
     total-client 256
     logout aging-time 0 0 1 mac
    
    # MAC-AUTHENTICATION
    
    access-defender
     authentication interface port 1/0/1-1/0/5 mac
     mac-authentication password apresia-mac mac
    mac-authentication enable

MAC認証でダイナミックVLANを使用する場合

MAC認証でダイナミックVLANを使用する場合の構成例と設定例を示します。この例では、認証ポートには暫定VLAN 4094を割り当てておき、ダイナミックVLANを使用して、ユーザーごとにVLAN 10またはVLAN 20が割り当てられるようにしています。

MAC認証でダイナミックVLANを使用する場合の設定例
項目設定
RADIUS認証 デフォルトのRADIUSサーバーグループ「radius」で使用
RADIUSサーバー
  • IPアドレス:172.16.1.101
  • 共有鍵:apresia
認証クライアントの最大数 256
MAC認証有効ポート ポート1/0/1からポート1/0/5
MAC認証用パスワード apresia-mac
エージングログアウト時間 30分

MAC認証でダイナミックVLANを使用する場合の構成例

  • VLAN 10、VLAN 20、VLAN 100、VLAN 4094を作成し、構成例のようにVLANを割り当てます。
    sw1# configure terminal
    sw1(config)# vlan 10,20,100,4094
    sw1(config-vlan)# exit
    sw1(config)#
    sw1(config)# interface range port 1/0/1-5
    sw1(config-if-port-range)# switchport mode access
    sw1(config-if-port-range)# switchport access vlan 4094
    sw1(config-if-port-range)# exit
    sw1(config)# 
    sw1(config)# interface port 1/0/49
    sw1(config-if-port)# switchport mode trunk
    sw1(config-if-port)# switchport trunk allowed vlan 10,20,100
    sw1(config-if-port)# exit
    sw1(config)#
  • VLAN 100インターフェースに管理用IPアドレス[192.168.100.100/24]を設定します。また、本設定例ではデフォルトスタティックルートを[192.168.100.254]宛てに設定して、経路を解決しています。
    sw1(config)# interface vlan 100
    sw1(config-if-vlan)# ip address 192.168.100.100/24
    sw1(config-if-vlan)# exit
    sw1(config)# ip route 0.0.0.0/0 192.168.100.254
    sw1(config)#
  • 装置のAAAを有効化します。また、MAC認証で使用する認証方式リストを、デフォルトのRADIUSサーバーグループ「radius」に指定します。
    sw1(config)# aaa new-model
    sw1(config)# aaa authentication mac-auth default group radius
    sw1(config)#
  • RADIUSサーバーを、IPアドレス[172.16.1.101]、共有鍵[apresia]で設定します。設定したRADIUSサーバーは、所属するRADIUSグループを指定しない場合はデフォルトのRADIUSサーバーグループ「radius」に所属します。
    sw1(config)# radius-server host 172.16.1.101 key apresia
    sw1(config)#
  • AccessDefender設定モードに遷移し、認証クライアントの最大数を[256]に設定します。
    sw1(config)# access-defender
    sw1(config-a-def)# total-client 256
    sw1(config-a-def)#
  • ポート1/0/1からポート1/0/5でMAC認証を有効に、MAC認証用パスワードを[apresia-mac]に設定します。また、エージングログアウト時間を[30分]に設定します。
    sw1(config-a-def)# authentication interface port 1/0/1-5 mac
    sw1(config-a-def)# mac-authentication password apresia-mac mac
    sw1(config-a-def)# logout aging-time 0 30 mac 
    sw1(config-a-def)# exit
    sw1(config)#
  • MAC認証を有効にします。
    sw1(config)# mac-authentication enable
    sw1(config)# end
    sw1#
  • 実施後のAccessDefender関連の設定を以下に抜粋します。
    # AAA
    
    aaa new-model
    radius-server host 172.16.1.101 key apresia
    aaa authentication mac-auth default group radius
    
    # ACCESS-DEFENDER
    
    access-defender
     total-client 256
     logout aging-time 0 30 mac
    
    # MAC-AUTHENTICATION
    
    access-defender
     authentication interface port 1/0/1-1/0/5 mac
     mac-authentication password apresia-mac mac
    mac-authentication enable

ページトップへ