close

keyboard_arrow_left

Table of Contents Expand all

list Table of Contents

keyboard_arrow_right

この機械翻訳はお役に立ちましたでしょうか?

Go to English page

免責事項:

このページは、サードパーティー製機械翻訳ソフトウェアを使用して翻訳されます。質の高い翻訳を提供するために合理的な対応はされていますが、ジュニパーネットワークスがその正確性を保証することはできかねます。この翻訳に含まれる情報の正確性について疑問が生じた場合は、英語版を参照してください. ダウンロード可能なPDF (英語版のみ).

MAC RADIUS認証のためのPEAPの設定

date_range 19-Jan-25

arrow_backward

arrow_forward

拡張認証プロトコル (EAP) は、パスワードベースの認証方法やより安全な証明書ベースの認証方法など、複数の認証方法をサポートする拡張可能なプロトコルです。EAP は、オーセンティケータ(スイッチングデバイス)と認証サーバー間のネゴシエーションを容易にし、サプリカントに使用する認証方法を決定します。MAC RADIUS認証に使用されるデフォルトの認証方法はEAP-MD5です。サーバーはクライアントにランダムなチャレンジ値を送信し、クライアントはチャレンジとパスワードをMD5でハッシュしてIDを証明します。EAP-MD5 はクライアント認証のみを提供し、サーバー認証は提供しないため、スプーフィング攻撃に対して脆弱になる可能性があります。

保護された拡張認証プロトコル (保護された EAP または単に PEAP とも呼ばれます) を構成して、EAP-MD5 のセキュリティの脆弱性に対処できます。PEAP は、暗号化および認証されたトランスポート層セキュリティ(TLS)トンネル内で EAP パケットをカプセル化するプロトコルです。PEAP はトンネルを設定し、エンドポイントの認証に直接関与しないため、外部認証プロトコルと呼ばれます。トンネル内のクライアントの MAC アドレスを認証するために使用される内部認証プロトコルは、Microsoft チャレンジハンドシェイク認証プロトコルバージョン 2 (MS-CHAPv2) です。トンネル内での暗号化された情報交換により、ユーザーの認証情報が盗聴から保護されます。

PEAP を MS-CHAPv2 と併用する場合の利点の 1 つは、セキュアトンネルの確立に必要なのがサーバー側の証明書のみであり、サーバー側の公開キー証明書を使用してサーバーを認証することです。これにより、認証を必要とするすべてのクライアントにデジタル証明書を展開することに伴うオーバーヘッドがなくなります。

クライアントが MAC RADIUS 認証を使用してスイッチ上で認証されると、後続のクライアントは、最初のクライアントによって確立されたのと同じ外部トンネルを使用して、サーバーと通信できます。これは、SSL によって提供されるセッション再開機能を使用して実現されます。セッションの再開により、後続のクライアントが新しい TLS トンネルの確立を待つときに発生する可能性のある待機時間が短縮されます。

MAC RADIUS 認証用に PEAP 認証プロトコルを構成する前に、内部認証プロトコルとして MS-CHAPv2 を使用する PEAP を使用するように認証サーバーも構成されていることを確認します。認証サーバーの構成については、サーバーのドキュメントを参照してください。

注:

認証プロトコルは、 interface all オプションを使用してグローバルに設定することも、個々のインターフェイス名を使用してローカルに設定することもできます。認証プロトコルが個々のインターフェイスとすべてのインターフェイスの両方に設定されている場合、そのインターフェイスのローカル設定がグローバル設定よりも優先されます。

MAC RADIUS認証用のPEAP認証プロトコルを設定するには、次の手順に従います。

authentication-protocolステートメントのeap-peapオプションを設定します。

content_copy zoom_out_map
[edit]
user@switch# set protocols dot1x authenticator interface interface-name mac-radius authentication-protocol eap-peap

(オプション)セッション再開を有効にして、後続のクライアントの認証を高速化できるようにします。
```
[edit]
user@switch# set protocols dot1x authenticator interface interface-name mac-radius authentication-protocol eap-peap resume
```
ファイル名またはパスを使用してサーバー側の SSL 証明書を読み込みます。
1. ファイル名を使用して証明書を読み込むには:
  [edit] user@root# run load ssl-certificate file certificate-name
2. ファイルパスを使用して証明書を読み込むには:
  [edit] user@root# run load ssl-certificate path certificate-path
  注:
  デフォルトのパスである /var/tmp/ 以外のパスを持つ SSL 証明書を使用している場合は、最初に次のコマンドを使用して SSL 証明書パスを構成する必要があります。
  
  [edit] set protocols dot1x ssl-certificate-path certificate-path
3. 証明書を確認するには:
  [edit] user@root# run show ssl-certificates

arrow_backward PREVIOUS 802.1Xの静的MACバイパスおよびMAC RADIUS認証

NEXT arrow_forward キャプティブポータル認証

Junos OS 向けユーザーアクセスおよび認証管理ガイド

この機械翻訳はお役に立ちましたでしょうか?

免責事項:

MAC RADIUS認証のためのPEAPの設定

Stay in touch

Helped me install or use the product
Accelerated my deployment

Discuss the product with a co-worker
Make a purchase inquiry

Junos OS 向けユーザー アクセスおよび認証管理ガイド

この機械翻訳はお役に立ちましたでしょうか?

免責事項:

MAC RADIUS認証のためのPEAPの設定

Stay in touch

Junos OS 向けユーザーアクセスおよび認証管理ガイド