コンフィグレーションガイド
- <この項の構成>
- (1) 設定内容の概要
- (2) 構成図と設定条件
- (3) コンフィグレーション例
(1) 設定内容の概要
本装置AにVLAN単位認証(静的)の端末認証モードの設定をし,それぞれのVLANにおいて,配下に設置される全端末をIEEE 802.1X認証の対象とする設定をし,本装置BにEAPOLパケットを中継するよう設定します。ただし,サーバおよびプリンタは認証除外端末とし,認証せずに使用可能とします。VLAN5にはRADIUSサーバと通信するためにIPアドレスを設定します。本設定例ではRADIUSサーバがリモートネットワークに配置されている場合を想定しています。VLAN100とVLAN200の間の通信に関しては本装置がルータとなってルーティングを行います。
(2) 構成図と設定条件
- [構成図]
図15-2 構成図
- [設定条件]
- <本装置Aの環境>
- VLAN100,VLAN200において,IEEE 802.1XのVLAN単位認証(静的)端末認証モードを設定します。
- ポート0/0と本装置B,およびポート0/1,0/2と各スイッチ間に802.1Q Tag-VLANを設定します。
- ポート0/1において,プリンタのMACアドレスに対して認証除外端末設定をします。
- VLAN100,VLAN200において,サーバ群が収容されるポート0/2を認証除外ポート設定とします。
- VLAN5,VLAN100,VLAN200にIPアドレスを設定します。
- RADIUSサーバと通信するために192.168.40.0/24のネットワークへの経路を登録します。
- L2スイッチC〜DはEAPOLを透過するものを使用します。
- ポート0/0,0/1,0/2に未定義VLAN廃棄機能を設定します。
- <本装置Bの環境>
- EAPOLフレームを中継するよう設定します。
- ポート0/0と本装置A間に802.1Q Tag-VLANを設定します。
(3) コンフィグレーション例
- [コマンドによる設定]
- <本装置A>
1 (config)# radius yes 2 (config)# radius 192.168.40.50 key "RadiusKey" primary 3 (config)# vlan 5 [vlan 5] 4 (config)# untagged-port 0/3 [vlan 5] 5 (config)# router-interface VLAN005 [vlan 5] 6 (config)# ip 192.168.30.2/24 [vlan 5] 7 (config)# exit 8 (config)# vlan 100 [vlan 100] 9 (config)# tagged-port 0/0-2 [vlan 100] 10 (config)# router-interface VLAN100 [vlan 100] 11 (config)# ip 192.168.10.2/24 [vlan 100] 12 (config)# exit 13 (config)# vlan 200 [vlan 200] 14 (config)# tagged-port 0/0-2 [vlan 200] 15 (config)# router-interface VLAN200 [vlan 200] 16 (config)# ip 192.168.20.2/24 [vlan 200] 17 (config)# exit 18 (config)# fdb [fdb] 19 (config)# static-entry vlan 100 00:12:E2:01:01:01 port 0/1 [fdb] 20 (config)# static-entry vlan 200 00:12:E2:01:01:02 port 0/1 [fdb] 21 (config)# exit 22 (config)# dot1x yes [dot1x] 23 (config)# target-vlan 100,200 [dot1x target-vlan 100,200] 24 (config)# port-control auto [dot1x target-vlan 100,200] 25 (config)# access-control supplicant [dot1x target-vlan 100,200] 26 (config)# force-authorized-port 0/2 [dot1x target-vlan 100,200] 27 (config)# exit [dot1x] 28 (config)# exit 29 (config)# static [static] 30 (config)# 192.168.40.0/24 gateway 192.168.30.254 [static] 31 (config)#exit 32 (config)# vlan-drop-unknown 0/0-2表15-2 本装置Aのコンフィグレーション解説
解説番号 解説 1 RADIUS認証を有効にします。 2 RADIUS認証に使用するサーバのIPアドレスと共有鍵を設定します。
RADIUS認証時には優先的に本RADIUSサーバを使用します。3 ポートVLANとしてVLAN ID 5を定義します。
vlanモードに移行します。4 ポート0/3をUntaggedポートに設定します。 5 レイヤ3機能に使用するVLAN名称(VLAN005)を設定します。 6 当該VLANに関してIPアドレス192.168.30.2/24を設定します。 7 vlanモードからグローバルコンフィグモードに戻ります。 8 ポートVLANとしてVLAN ID 100を定義します。
vlanモードに移行します。9 ポート0/0,0/1,0/2をtaggedポートに設定します。 10 レイヤ3機能に使用するVLAN名称(VLAN100)を設定します。 11 当該VLANに関してIPアドレス192.168.10.2/24を設定します。 12 vlanモードからグローバルコンフィグモードに戻ります。 13 ポートVLANとしてVLAN ID 200を定義します。
Vlanモードに移行します。14 ポート0/0,0/1,0/2をtaggedポートに設定します。 15 レイヤ3機能に使用するVLAN名称(VLAN200)を設定します。 16 当該VLANに関してIPアドレス192.168.20.2/24を設定します。 17 vlanモードからグローバルコンフィグモードに戻ります。 18 fdbモードに移行します。 19 ポート0/1のVLAN 100にMACアドレス00:12:E2:01:01:01をスタティック設定します。指定MACアドレスを持つ端末は,IEEE 802.1X有効時に認証除外端末となります。 20 ポート0/1のVLAN 200にMACアドレス00:12:E2:01:01:02をスタティック設定します。指定MACアドレスを持つ端末は,IEEE 802.1X有効時に認証除外端末となります。 21 fdbモードからグローバルコンフィグモードに戻ります。 22 IEEE 802.1X認証を有効にします。
dot1xモードに移行します。23 VLAN 100,200 にIEEE 802.1X認証の設定をします。
dot1x target-vlanモードに移行します。24 VLAN 100,200のIEEE 802.1Xポート状態をautoに設定します。 25 VLAN 100,200の認証サブモードをsupplicant(端末認証モード)に 設定します。 26 VLAN 100,200のIEEE 802.1X認証インタフェースについて,ポート0/2の常時接続を有効とします。 27 dot1x target-vlanモードからdot1xモードに戻ります。 28 dot1xモードからグローバルコンフィグモードに戻ります。 29 スタティック経路を使用することを定義します。
staticモードに移行します。30 RADIUSサーバを収容するネットワークへのスタティック経路を定義します。 31 staticモードからグローバルコンフィグモードに戻ります。 32 ポート0/0,0/1,0/2に未定義フレーム廃棄機能を設定します。
- <本装置B>
1 (config)# vlan 100 [vlan 100] 2 (config)# untagged-port 0/1-4 [vlan 100] 3 (config)# tagged-port 0/0 [vlan 100] 4 (config)# eapol-fowarding [vlan 100] 5 (config)# exit 6 (config)# vlan 200 [vlan 200] 7 (config)# untagged-port 0/5-8 [vlan 200] 8 (config)# tagged-port 0/0 [vlan 200] 9 (config)# eapol-fowarding [vlan 200] 10 (config)# exit表15-3 本装置Bのコンフィグレーション解説
解説番号 解説 1 ポートVLANとしてVLAN ID 100を定義します。
vlanモードに移行します。2 ポート0/1,0/2,0/3,0/4をUntaggedポートに設定します。 3 ポート0/0をtaggedポートに設定します。 4 VLAN 100でEAPOLを中継するよう設定をします。 5 vlanモードからグローバルコンフィグモードに戻ります。 6 ポートVLANとしてVLAN ID 200を定義します。
vlanモードに移行します。7 ポート0/5,0/6,0/7,0/8をUntaggedポートに設定します。 8 ポート0/0をtaggedポートに設定します。 9 VLAN 200でEAPOLを中継するよう設定をします。 10 vlanモードからグローバルコンフィグモードに戻ります。
- [コンフィグレーションの表示]
- <本装置A>
vlan-drop-unknown 0/0-2 ! vlan 5 untagged-port 0/3 router-interface VLAN005 ip 192.168.30.2/24 ! vlan 100 tagged-port 0/0-2 router-interface VLAN100 ip 192.168.10.2/24 ! vlan 200 tagged-port 0/0-2 router-interface VLAN200 ip 192.168.20.2/24 ! fdb static-entry vlan 100 00:12:E2:01:01:01 port 0/1 static-entry vlan 200 00:12:E2:01:01:02 port 0/1 ! dot1x yes target-vlan 100 port-control auto access-control supplicant force-authorized-port 0/2 target-vlan 200 port-control auto access-control supplicant force-authorized-port 0/2 ! static 192.168.40.0/24 gateway 192.168.30.254 ! radius yes radius 192.168.40.50 key "RadiusKey" primary
- <本装置B>
vlan 100 untagged-port 0/1-4 tagged-port 0/0 eapol-forwarding ! vlan 200 untagged-port 0/5-8 tagged-port 0/0 eapol-forwarding
Copyright (c)2005, 2011, ALAXALA Networks Corporation. All rights reserved.