ゴーゴーけいじ

■IEEE802.1xの概要
・IEEE802.1xを用いると、クライアントはサーバで認証され許可されるまでネットワークを使ってデータ送信が出来ない。

・認証には、無線でも使われてるEAPが使われている。

・Catalystスイッチでは認証されるまで、EAPOL（Extensible Authentication Protocol over LAN)、CDP、STPトラフィックだけが許可される。認証が成功すればそれ以外の通常のIPトラフィックも通過する事が出来る。

■EAPの概要(Extensible Authentication Protocol/PPP拡張認証プロトコル)
・認証プロトコル(PPP)を拡張・強化した認証手順で、IEEE802.1xでの認証で採用されている。EAPには多くの種類がある。代表的な方式は下記の通り。

・EAP-MD5
ユーザID+パスワードによる１方向認証。認証するときに、ユーザ端末でユーザ名・パスワードを入力してもらうだけの非常にシンプルなもの。

・LEAP（EAP-Cisco Wireless/リープ）
ユーザID+パスワードによる、クライアント（ユーザ端末）<-->サーバの方向認証。Cisco社のプライベート規格で、現在はPEAPへ以降されつつある。

・PEAP（Protected EAP/ピープ）
クライアント（ユーザ端末）はユーザID+パスワード、サーバはデジタル証明書を用いた双方向認証。サプリカント（ユーザ端末ソフトウェア）は、WindowsXP/2000にもバンドルされている。マイクロソフトとシスコなどが開発したもの。

・EAP-TLS(Transport Layer Security)
クライアント（ユーザ端末）とサーバの双方に登録されたデジタル証明書による双方向認証。

・EAP-TTLS
PEAPとほぼ同様だが、サプリカント（ユーザ端末ソフトウェア）はOSにバンドルされていないため、Funk社等のものを購入する必要がある。開発元は、ファンク・ソフトウェアとサーティコム。

■Catalyst3550でのデフォルトの設定
・AAAのはディセーブル
・RADIUSサーバの認証用ポート：1812
・定期的再認証：ディセーブル
・クライアントとの認証交換が失敗したあと、スイッチが待機ステートにとどまる時間：60秒
・再認証間隔：3600秒
・スイッチが、クライアントからのEAP要求/アイディンティティフレームに対する対応を待ち、要求を再送信するまでの時間：30秒
・スイッチが、認証プロセスを再開するまでにEAP要求/アイディンティティフレームを送信する回数：2回
・ホストモード：１つのホストモード
・クライアントのタイムアウト：30秒
・認証サーバのタイムアウト：30秒

・資料：
Catalyst3550のマニュアルの802.1xポートベースの認証の設定

■Calalyst3550での設定
１，AAAをイネーブルにする
(config)# aaa new-model

２，RADIUSサーバの位置や鍵を設定する。
(config)# radius-server host 10.1.1.100 key cisco

３，認証用のリストを作成する。デフォルトで作れば、全インタフェースに自動で適応される。
(config)# aaa authentication dot1x default group radius

４，スイッチ上で802.1x認証をイネーブルにする。
(config)# dot1x system-auth-control

５，インタフェース上で802.1x認証をイネーブルにする。
(config-if)# dot1x port-control auto

auto以外に２種類のパラメータがある。
・force-unauthorized
ポートを無許可ステートのままにする。クライアントが認証を試みても無視する。要するに使用不可なポートとなる。
・force-authorized
802.1x認証をディセーブルにして、認証なしてポートを許可ステートにする。クライアントは認証なしで普通に通信可能。これがデフォルトの設定。

■注意事項
・dot1xはアクセスポートのみ設定可能
Catalyst3550のポートはデフォルトで[dynamic desirable]となっているので、デフォルトで設定するとエラーではじかれる。
なので、アクセスポート固定にしてから設定する。

はじかれた時の例：
(config-if)# dot1x port-control auto
Command rejected: Dynamic mode enabled on one or more ports.
Dot1x is supported only on Ethernet interfaces configured in Access, Routed or Private-vlan Host Mode.

(config-if)# switchport mode access
と設定してからなら問題なし。

■確認コマンド
・認証される前
# sh dot1x int fa0/15
PortStatus = UNAUTHORIZED
MaxReq = 2
HostMode = Single
Port Control = Auto
QuietPeriod = 60 Seconds
Re-authentication = Disabled
ReAuthPeriod = 3600 Seconds
ServerTimeout = 30 Seconds
SuppTimeout = 30 Seconds
TxPeriod = 30 Seconds
Guest-Vlan = 0

・認証が許可されたとき
# sh dot1x all

Dot1x Info for interface FastEthernet0/15
----------------------------------------------------
Supplicant MAC 00b0.d0ac.57a7
AuthSM State = AUTHENTICATED
BendSM State = IDLE
PortStatus = AUTHORIZED
MaxReq = 2
HostMode = Single
Port Control = Auto
QuietPeriod = 60 Seconds
Re-authentication = Disabled
ReAuthPeriod = 3600 Seconds
ServerTimeout = 30 Seconds
SuppTimeout = 30 Seconds
TxPeriod = 30 Seconds
Guest-Vlan = 0

■その他
・EAPはL2のプロトコル（type=0x888e)
PC <--> スイッチ
ここは、L2にEAPがカプセル化される。

スイッチ <--> RADIUS
ここは、スイッチがIPにカプセル化して送る。

・認証が出来ているとき、ケーブルを抜いて再度接続すると、再度認証しないとポートを使用できない。

・クライアントはwindowsXPを使用すると、ローカルエリア接続のプロパティにデフォルトで802.1xの設定項目があるのでラクチン。

・上記の検証は、クライアントにWindowsXP、RADIUSサーバにルーセントのNavisRadius、認証方式にEAP-MD5を使用。