Cisco機器でRadiusServerを使用したMacアドレス認証を設定します。

ダイナミックVLANについて

ポートに接続された機器の情報を元にVLANを決定する方式をダイナミックVLANという。
ダイナミックVLANの実装は下記の種類がある。

Web認証
- Web認証とはユーザを個別に認識するためにユーザーIDを割り振り、パスワードを設定することで本人の認証をする仕組み。
IEEE802.1x認証
- IEEE802.1Xは、有線／無線LANに接続してデータ通信を行うネットワーク端末を認証するための規格

認証方式	説明	認証方法
LEAP	・Windows PCで標準搭載・チャレンジレスポンスによる認証・サーバ認証なし、WEPキーは固定	クライアントとサーバ間でユーザIDとパスワードによる認証を行う。
EAP-FAST	・Cisco独自の認証方式・辞書攻撃による脆弱性を解消・セキュリティレベルが高く認証局も不要	クライアントとサーバ間でユーザIDとパスワードによる認証を行う際に、PACという独自フォーマットを使用して認証する
PEAP	・Windows PCで標準搭載・ユーザIDと証明書のハイブリッド認証・人気のある認証方式	クライアントはユーザIDとパスワードで認証を行い、サーバは電子証明で認証を行う
EAP-TLS	・Windows PC で標準搭載・最もセキュリティレベルの高い方式・証明書発行などのスキルが要求される	クライアントとサーバ双方が電子証明書で認証を行う

MACアドレス認証
- LAN（構内ネットワーク）上で機器の認証を行う方式の一つで、機器に固有のMACアドレスを用いてアクセス制御を行う方式。

環境

Radiusサーバー情報
- VMware ESXi 11
- CentOS Linux 7.4.1708
- freeradius-3.0.13-8.el7_4.x86_64
- freeradius-utils-3.0.13-8.el7_4.x86_64
- 192.0.2.1
RadiusClient情報
- Cisco WS-C3560CG-8PC-S 12.2(55)EX3
- 192.0.2.2
端末
- ノートPC
- MAC:xx-xx-xx-yy-yy-yy

簡略図

RadiusServer設定

インストール

sudo yum install freeradius freeradius-utils

auth は認証時のログ出力設定。
auth_badpass は認証失敗時にログ出力。
auth_goodpass は認証成功時にログ出力。

sudo vi /etc/raddb/radiusd.conf

log {
        auth = yes
        auth_badpass = yes
        auth_goodpass = yes
}

オーセンティケータが所属するセグメントとRadiusサーバに設定したのkeyを指定。

sudo vi /etc/raddb/clients.conf

client localhost {
    ipaddr = 127.0.0.1
    proto = *
    secret = testing123
    require_message_authenticator = no
    nas_type     = other
    limit {
        max_connections = 16
        lifetime = 0
        idle_timeout = 30
    }
}

client new {
  ipaddr = 192.0.2.0/24
  secret = radiusstring
}

機器ごとのMACアドレスや共通の通信用パスワードを設定。
「Tunnel-Private-Group-Id」は認証された端末に割り当てるVLAN指定する。

sudo vi /etc/raddb/users

xxxxxxyyyyyy Cleartext-Password := "xxxxxxyyyyyy"
        Tunnel-Type = 13 ,
        Tunnel-Medium-Type = 6 ,
        Tunnel-Private-Group-Id = 15

firewallにて、Radiusが使うUDP1812番と1813番を開放

sudo firewall-cmd --add-port=1812/udp --zone=public --permanent && sudo firewall-cmd --add-port=1813/udp --zone=public --permanent && sudo firewall-cmd --reload

SElinuxは無効化しておきます。

sudo vi /etc/selinux/config

SELINUX=disabled

再起動

shutdown -r now

sudo systemctl start radiusd.service && sudo systemctl enable radiusd.service

Catalyst設定

AAAの有効化

(config)# aaa new-model

Radiusサーバグループ作成して、IPアドレスを設定。

(config)#aaa group server radius RADgroup
(config-sg-radius)#server 192.0.2.1 auth-port 1812 acct-port 1813

/etc/raddb/client.confで設定したキーを指定。

(config)# radius-server host 192.0.2.1 auth-port 1812 acct-port 1813 key radiusstring

IEEE802.1X認証リストおよびネットワーク認可リスト設定

(config)# aaa authentication dot1x default group RADgroup

(config)# aaa authorization network default group RADgroup

グローバルでのIEEE802.1X認証の有効化

(config)# dot1x system-auth-control

認証された端末に割り当てるVLANを作成。

(config)#vlan 15
(config-vlan)#exit

インターフェイスに先程作成したVLANを関連付ける。

(config)#interface gi0/2
(config-if)#switchport access vlan 15
(config-if)#switchport mode access

IEEE802.1X認証の有効化

(config-if)# authentication port-control auto

認証オーダーおよび認証プライオリティの設定とMAC認証有効化

(config-if)# authentication order mab
(config-if)# authentication priority mab
(config-if)# mab

オーセンティケータとしてのみ動作させる設定

(config-if)# dot1x pae authenticator

設定の確認

Status「Authz Success」となっていること。

#show authentication sessions


Interface  MAC Address     Method   Domain   Status         Session ID
Gi0/2      xxxx.xxyy.yyyy  mab      DATA     Authz Success  0AB4C63800000BA72AB8DCAC

#show running-config

Building configuration...

Current configuration : 1868 bytes
!
! Last configuration change at 18:07:55 UTC Tue Apr 11 2023 by cisco
!
version 12.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Switch123
!
boot-start-marker
boot-end-marker
!
enable secret 5 $1$Ch59$kK.NMlf5Qv9jeleLu46n5/
enable password password
!
username cisco password 0 sshpass
!
!
aaa new-model
!
!
aaa group server radius RADgroup
 server 192.0.2.1 auth-port 1812 acct-port 1813
!
aaa authentication dot1x default group RADgroup
aaa authorization network default group RADgroup 
!
!
!
aaa session-id common
system mtu routing 1500
!
!
no ip domain-lookup
ip domain-name sample.com
!
!
!
dot1x system-auth-control
spanning-tree mode pvst
spanning-tree extend system-id
!
!
!
!
vlan internal allocation policy ascending
!
ip ssh version 2
!
!
interface GigabitEthernet0/1
 switchport access vlan 10
 switchport mode access
!
interface GigabitEthernet0/2
 switchport access vlan 15
 switchport mode access
 authentication order mab
 authentication priority mab
 authentication port-control auto
 mab
 dot1x pae authenticator
 dot1x timeout tx-period 3
 spanning-tree portfast
!
interface GigabitEthernet0/3
!
interface GigabitEthernet0/4
!
interface GigabitEthernet0/5
!
interface GigabitEthernet0/6
!
interface GigabitEthernet0/7
!
interface GigabitEthernet0/8
!
interface GigabitEthernet0/9
!
interface GigabitEthernet0/10
!         
interface Vlan1
 no ip address
!
interface Vlan10
 ip address 192.0.2.5 255.255.255.0
!
interface Vlan15
 no ip address
!
ip default-gateway 192.0.2.254
ip classless
ip http server
ip http secure-server
!
ip sla enable reaction-alerts
!
radius-server host 192.0.2.1 auth-port 1812 acct-port 1813 key radiusstring
!
!
line con 0
line vty 0 4
 password telnetpass
 transport input ssh
line vty 5 15
!
ntp server 192.0.2.3
end