コンフィグレーションガイド

[目次][用語][索引][前へ][次へ]


15.1.2 静的なVLAN単位の端末認証

<この項の構成>
(1) 設定内容の概要
(2) 構成図と設定条件
(3) コンフィグレーション例

(1) 設定内容の概要

本装置AにVLAN単位認証(静的)の端末認証モードの設定をし,それぞれのVLANにおいて,配下に設置される全端末をIEEE 802.1X認証の対象とする設定をし,本装置BにEAPOLパケットを中継するよう設定します。ただし,サーバおよびプリンタは認証除外端末とし,認証せずに使用可能とします。VLAN5にはRADIUSサーバと通信するためにIPアドレスを設定します。本設定例ではRADIUSサーバがリモートネットワークに配置されている場合を想定しています。VLAN100とVLAN200の間の通信に関しては本装置がルータとなってルーティングを行います。

(2) 構成図と設定条件

[構成図]

図15-2 構成図

[図データ]

[設定条件]

<本装置Aの環境>
  1. VLAN100,VLAN200において,IEEE 802.1XのVLAN単位認証(静的)端末認証モードを設定します。
  2. ポート0/0と本装置B,およびポート0/1,0/2と各スイッチ間に802.1Q Tag-VLANを設定します。
  3. ポート0/1において,プリンタのMACアドレスに対して認証除外端末設定をします。
  4. VLAN100,VLAN200において,サーバ群が収容されるポート0/2を認証除外ポート設定とします。
  5. VLAN5,VLAN100,VLAN200にIPアドレスを設定します。
  6. RADIUSサーバと通信するために192.168.40.0/24のネットワークへの経路を登録します。
  7. L2スイッチC〜DはEAPOLを透過するものを使用します。
  8. ポート0/0,0/1,0/2に未定義VLAN廃棄機能を設定します。

<本装置Bの環境>
  1. EAPOLフレームを中継するよう設定します。
  2. ポート0/0と本装置A間に802.1Q Tag-VLANを設定します。

(3) コンフィグレーション例

[コマンドによる設定]

<本装置A>
 1   (config)# radius yes
 2   (config)# radius 192.168.40.50 key "RadiusKey" primary
 3   (config)# vlan 5
     [vlan 5]
 4   (config)# untagged-port 0/3
     [vlan 5]
 5   (config)# router-interface VLAN005
     [vlan 5]
 6   (config)# ip 192.168.30.2/24
     [vlan 5]
 7   (config)# exit
 8   (config)# vlan 100
     [vlan 100]
 9   (config)# tagged-port 0/0-2
     [vlan 100]
10   (config)# router-interface VLAN100
     [vlan 100]
11   (config)# ip 192.168.10.2/24
     [vlan 100]
12   (config)# exit
13   (config)# vlan 200
     [vlan 200]
14   (config)# tagged-port 0/0-2
     [vlan 200]
15   (config)# router-interface VLAN200
     [vlan 200]
16   (config)# ip 192.168.20.2/24
     [vlan 200]
17   (config)# exit
18   (config)# fdb
     [fdb]
19   (config)# static-entry vlan 100 00:12:E2:01:01:01 port 0/1
     [fdb]
20   (config)# static-entry vlan 200 00:12:E2:01:01:02 port 0/1
     [fdb]
21   (config)# exit
22   (config)# dot1x yes
     [dot1x]
23   (config)# target-vlan 100,200
     [dot1x target-vlan 100,200]
24   (config)# port-control auto
     [dot1x target-vlan 100,200]
25   (config)# access-control supplicant
     [dot1x target-vlan 100,200]
26   (config)# force-authorized-port 0/2
     [dot1x target-vlan 100,200]
27   (config)# exit
     [dot1x]
28   (config)# exit
29   (config)# static
     [static]
30   (config)# 192.168.40.0/24 gateway 192.168.30.254
     [static]
31   (config)#exit
32   (config)# vlan-drop-unknown 0/0-2

表15-2 本装置Aのコンフィグレーション解説

解説番号 解説
1 RADIUS認証を有効にします。
2 RADIUS認証に使用するサーバのIPアドレスと共有鍵を設定します。
RADIUS認証時には優先的に本RADIUSサーバを使用します。
3 ポートVLANとしてVLAN ID 5を定義します。
vlanモードに移行します。
4 ポート0/3をUntaggedポートに設定します。
5 レイヤ3機能に使用するVLAN名称(VLAN005)を設定します。
6 当該VLANに関してIPアドレス192.168.30.2/24を設定します。
7 vlanモードからグローバルコンフィグモードに戻ります。
8 ポートVLANとしてVLAN ID 100を定義します。
vlanモードに移行します。
9 ポート0/0,0/1,0/2をtaggedポートに設定します。
10 レイヤ3機能に使用するVLAN名称(VLAN100)を設定します。
11 当該VLANに関してIPアドレス192.168.10.2/24を設定します。
12 vlanモードからグローバルコンフィグモードに戻ります。
13 ポートVLANとしてVLAN ID 200を定義します。
Vlanモードに移行します。
14 ポート0/0,0/1,0/2をtaggedポートに設定します。
15 レイヤ3機能に使用するVLAN名称(VLAN200)を設定します。
16 当該VLANに関してIPアドレス192.168.20.2/24を設定します。
17 vlanモードからグローバルコンフィグモードに戻ります。
18 fdbモードに移行します。
19 ポート0/1のVLAN 100にMACアドレス00:12:E2:01:01:01をスタティック設定します。指定MACアドレスを持つ端末は,IEEE 802.1X有効時に認証除外端末となります。
20 ポート0/1のVLAN 200にMACアドレス00:12:E2:01:01:02をスタティック設定します。指定MACアドレスを持つ端末は,IEEE 802.1X有効時に認証除外端末となります。
21 fdbモードからグローバルコンフィグモードに戻ります。
22 IEEE 802.1X認証を有効にします。
dot1xモードに移行します。
23 VLAN 100,200 にIEEE 802.1X認証の設定をします。
dot1x target-vlanモードに移行します。
24 VLAN 100,200のIEEE 802.1Xポート状態をautoに設定します。
25 VLAN 100,200の認証サブモードをsupplicant(端末認証モード)に 設定します。
26 VLAN 100,200のIEEE 802.1X認証インタフェースについて,ポート0/2の常時接続を有効とします。
27 dot1x target-vlanモードからdot1xモードに戻ります。
28 dot1xモードからグローバルコンフィグモードに戻ります。
29 スタティック経路を使用することを定義します。
staticモードに移行します。
30 RADIUSサーバを収容するネットワークへのスタティック経路を定義します。
31 staticモードからグローバルコンフィグモードに戻ります。
32 ポート0/0,0/1,0/2に未定義フレーム廃棄機能を設定します。

<本装置B>
 1   (config)# vlan 100
     [vlan 100]
 2   (config)# untagged-port 0/1-4
     [vlan 100]
 3   (config)# tagged-port 0/0
     [vlan 100]
 4   (config)# eapol-fowarding
     [vlan 100]
 5   (config)# exit
 6   (config)# vlan 200
     [vlan 200]
 7   (config)# untagged-port 0/5-8
     [vlan 200]
 8   (config)# tagged-port 0/0
     [vlan 200]
 9   (config)# eapol-fowarding
     [vlan 200]
10   (config)# exit

表15-3 本装置Bのコンフィグレーション解説

解説番号 解説
1 ポートVLANとしてVLAN ID 100を定義します。
vlanモードに移行します。
2 ポート0/1,0/2,0/3,0/4をUntaggedポートに設定します。
3 ポート0/0をtaggedポートに設定します。
4 VLAN 100でEAPOLを中継するよう設定をします。
5 vlanモードからグローバルコンフィグモードに戻ります。
6 ポートVLANとしてVLAN ID 200を定義します。
vlanモードに移行します。
7 ポート0/5,0/6,0/7,0/8をUntaggedポートに設定します。
8 ポート0/0をtaggedポートに設定します。
9 VLAN 200でEAPOLを中継するよう設定をします。
10 vlanモードからグローバルコンフィグモードに戻ります。

[コンフィグレーションの表示]

<本装置A>
vlan-drop-unknown 0/0-2
!
vlan 5
  untagged-port 0/3
  router-interface VLAN005
  ip 192.168.30.2/24
!
vlan 100
  tagged-port 0/0-2
  router-interface VLAN100
  ip 192.168.10.2/24
!
vlan 200
  tagged-port 0/0-2
  router-interface VLAN200
  ip 192.168.20.2/24
!
fdb
  static-entry vlan 100 00:12:E2:01:01:01 port 0/1
  static-entry vlan 200 00:12:E2:01:01:02 port 0/1
!
dot1x yes
  target-vlan 100
    port-control auto
    access-control supplicant
    force-authorized-port 0/2
  target-vlan 200
    port-control auto
    access-control supplicant
    force-authorized-port 0/2
!
static
  192.168.40.0/24 gateway 192.168.30.254
!
radius yes
radius 192.168.40.50 key "RadiusKey" primary

<本装置B>
vlan 100
  untagged-port 0/1-4
  tagged-port 0/0
  eapol-forwarding
!
vlan 200
  untagged-port 0/5-8
  tagged-port 0/0
  eapol-forwarding

[目次][前へ][次へ]


[他社商品名称に関する表示]

Copyright (c)2005, 2011, ALAXALA Networks Corporation. All rights reserved.