キャプティブポータル認証

ステップバイステップでの手順

スイッチでキャプティブ ポータルを設定するには、次の手順に従います。

1. サーバーのIPアドレスとサーバー認証ポート番号を定義し、シークレットパスワードを設定します。スイッチの秘密パスワードは、サーバーの秘密パスワードと一致させる必要があります。

   content_copy zoom_out_map

   [edit]
   user@switch# set access radius-server 10.204.96.165 port 1812
   [edit]
   user@switch# set access radius-server 10.204.96.165 secret "ABC123"

2. 認証順序を設定し、radiusを最初の認証方法にします。

   content_copy zoom_out_map

   [edit]
   user@switch# set access profile profile1 authentication-order radius

3. サプリカントを認証するために試行するサーバIPアドレスを設定します。

   content_copy zoom_out_map

   [edit]
   user@switch# set access profile profile1 radius authentication-server 10.204.96.165

4. スイッチで HTTP アクセスを有効にします。

   content_copy zoom_out_map

   [edit]
   user@switch# set system services web-management http

5. スイッチへのWebアクセス用のセキュアチャネルを作成するには、HTTPS用のキャプティブポータルを設定します。

   注:

   HTTPS を有効にしなくても HTTP を有効にできますが、セキュリティ上の理由から HTTPS をお勧めします。

   ステップバイステップでの手順

   1. セキュリティ証明書を Web サーバーに関連付け、スイッチで HTTPS アクセスを有効にします。

      content_copy zoom_out_map

      [edit]
      user@switch# set system services web-management https local-certificate my-signed-cert

   2. HTTPS を使用するようにキャプティブ ポータルを設定します。

      content_copy zoom_out_map

      [edit] 
      user@switch# set services captive-portal secure-authentication https

6. キャプティブ ポータルのインターフェイスを有効にします。

   content_copy zoom_out_map

   [edit]
   user@switch# set services captive-portal interface ge-0/0/10 supplicant multiple

7. キャプティブポータル認証に使用するアクセスプロファイルの名前を指定します。

   content_copy zoom_out_map

   [edit]
   user@switch# set services captive-portal authentication-profile-name profile1

8. (オプション)特定のクライアントがキャプティブ ポータルをバイパスすることを許可します。

   注:

   クライアントがすでにスイッチに接続されている場合は、MAC アドレスを許可リストに追加した後、 clear captive-portal mac-address mac-address コマンドを使用して、キャプティブ ポータル認証から MAC アドレスをクリアする必要があります。そうしないと、MAC アドレスの新しいエントリがイーサネット スイッチング テーブルに追加されず、認証バイパスは許可されません。

   content_copy zoom_out_map

   [edit]
   user@switch# set ethernet-switching-options authentication-whitelist 00:10:12:e0:28:22

   注:

   オプションで、を使用してスコープをインターフェイスに制限できます 。set ethernet-switching-options authentication-whitelist 00:10:12:e0:28:22 interface ge-0/0/10.0

9. (オプション)最初に要求したページではなく、指定されたページにクライアントをリダイレクトするには、認証後 URL を構成します。

   content_copy zoom_out_map

   [edit] 
   user@switch# set services captive-portal custom-options post-authentication-url http://www.my-home-page.com

結果

設定の結果の表示：

[edit]
user@switch> show 
system {
    services {
        web-management {
            http;
            https {
                local-certificate my-signed-cert;
            }
        }
    }
}
security {
    certificates {
        local {
            my-signed-cert {
                "-----BEGIN RSA PRIVATE KEY-----ABC123
 ... 
ABC123-----END CERTIFICATE-----\n"; ## SECRET-DATA
            }
        }
    }
}
services {
    captive-portal {
        interface {
            ge-0/0/10.0 {
                supplicant multiple;
            }
        }
        secure-authentication https;
    }
}
ethernet-switching-options {
    authentication-whitelist {
        00:10:12:e0:28:22/48;
    }
}

目的

キャプティブ ポータルがインターフェイス ge-0/0/10 で設定されていることを確認します。

アクション

以下の show captive-portal interface interface-name detail動作モードコマンドを使用します。

user@switch> show captive-portal interface ge-0/0/10.0 detail
ge-0/0/10.0
  Supplicant mode: Multiple
  Number of retries: 3
  Quiet period: 60 seconds
  Configured CP session timeout: 3600 seconds
  Server timeout: 15 seconds

意味

出力では、キャプティブ ポータルがインターフェイス ge-0/0/10 で、再試行回数、quiet 期間、CP セッション タイムアウト、およびサーバ タイムアウトのデフォルト設定で設定されていることを確認します。

目的

キャプティブ ポータルがスイッチで動作していることを確認します。

アクション

クライアントをインターフェイス ge-0/0/10 に接続します。クライアントから Web ブラウザーを開き、Web ページを要求します。設計したキャプティブ ポータル ログイン ページが表示されます。ログイン情報を入力し、RADIUS サーバーに対して認証されると、Web ブラウザーに、要求したページまたは構成した認証後 URL が表示されます。

問題点

スイッチ上のキャプティブ ポータル インターフェイスに接続しているユーザが Web ページを要求した場合、スイッチはキャプティブ ポータル ログイン ページを返しません。

ソリューション

ARP、DHCP、HTTPS、DNS の各カウンターを調べることができます。これらのカウンターのうち 1 つ以上が増加していない場合は、問題がどこにあるかがわかります。たとえば、クライアントが IP アドレスを取得できない場合、スイッチのインターフェイスをチェックして、DHCP カウンタが増加しているかどうかを判断します。カウンタが増加している場合は、DHCP パケットがスイッチによって受信されました。

user@switch> show captive-portal firewall ge-0/0/10.0
ge-0/0/10.0
  Filter name: dot1x_ge-0/0/10
Counters:
Name                          Bytes              Packets
dot1x_ge-0/0/10_CP_arp         7616                  119
dot1x_ge-0/0/10_CP_dhcp           0                    0
dot1x_ge-0/0/10_CP_http           0                    0
dot1x_ge-0/0/10_CP_https          0                    0
dot1x_ge-0/0/10_CP_t_dns          0                    0
dot1x_ge-0/0/10_CP_u_dns          0                    0

ステップバイステップでの手順

1. スイッチへのWebアクセス用のセキュアチャネルを作成するには、HTTPS用のキャプティブポータルを設定します。

   ステップバイステップでの手順

   1. セキュリティ証明書を Web サーバーに関連付け、スイッチで HTTPS を有効にします。

      content_copy zoom_out_map

      [edit]
      user@switch# set system services web-management https local-certificate my-signed-cert

      注:

      HTTPS の代わりに HTTP を有効にすることもできますが、セキュリティ上の理由から HTTPS を有効にすることをお勧めします。

   2. HTTPS を使用するようにキャプティブ ポータルを設定します。

      content_copy zoom_out_map

      [edit] 
      user@switch# set services captive-portal secure-authentication https

2. キャプティブ ポータルのインターフェイスを有効にします。

   content_copy zoom_out_map

   [edit]
   user@switch# set services captive-portal interface ge-0/0/10 supplicant multiple

3. (オプション)特定のクライアントがキャプティブポータル認証をバイパスできるようにします。

   注:

   クライアントがすでにスイッチに接続されている場合は、MAC アドレスを許可リストに追加した後、 clear captive-portal mac-address mac-address コマンドを使用して、キャプティブ ポータル認証から MAC アドレスをクリアする必要があります。それ以外の場合、MAC アドレスの新しいエントリはイーサネット スイッチング テーブルに追加されず、認証バイパスは許可されません。

   content_copy zoom_out_map

   [edit]
   user@switch# set switch-options authentication-whitelist 00:10:12:e0:28:22 vlan-assignment vlan1

   注:

   オプションで、を使用してスコープをインターフェイスに制限できます 。set switch-options authentication-whitelist 00:10:12:e0:28:22 vlan-assignment vlan1 interface ge-0/0/10.0

4. (オプション)最初に要求したページではなく、指定されたページにクライアントをリダイレクトするには、認証後 URL を構成します。

   content_copy zoom_out_map

   [edit services captive-portal] 
   user@switch# set custom-options post-authentication-url http://www.my-home-page.com

結果

設定の結果の表示：

[edit]
user@switch# show 
system {
    services {
        web-management {
            https {
                local-certificate my-signed-cert;
            }
        }
    }
}
security {
    certificates {
        local {
            my-signed-cert {
                "-----BEGIN RSA PRIVATE KEY-----\ABC123
ABC123ABC123ABC123 ... ABC123
----END CERTIFICATE-----\n"; ## SECRET-DATA
            }
        }
    }
}
services {
    captive-portal {
        interface {
            ge-0/0/10.0 {
                supplicant multiple;
            }
        }
        secure-authentication https;
        custom-options {
            post-authentication-url http://www.my-home-page.com;
        }
    }
}
switch-options {
    authentication-whitelist {
        00:10:12:e0:28:22/48 {
            vlan-assignment vlan1;
        }
    }
}

目的

キャプティブ ポータルがインターフェイス ge-0/0/10 で設定されていることを確認します。

アクション

以下の show captive-portal interface interface-name detail動作モードコマンドを使用します。

user@switch> show captive-portal interface ge-0/0/10.0 detail
ge-0/0/10.0
  Supplicant mode: Multiple
  Number of retries: 3
  Quiet period: 60 seconds
  Configured CP session timeout: 3600 seconds
  Server timeout: 15 seconds

意味

出力では、キャプティブ ポータルがインターフェイス ge-0/0/10で設定されており、再試行回数、待機時間、CP セッション タイムアウト、およびサーバ タイムアウトがデフォルト設定されていることを確認します。

目的

キャプティブ ポータルがスイッチで動作していることを確認します。

アクション

クライアントをインターフェイス ge-0/0/10 に接続します。クライアントから Web ブラウザーを開き、Web ページを要求します。設計したキャプティブ ポータル ログイン ページが表示されます。ログイン情報を入力し、RADIUS サーバーに対して認証されると、Web ブラウザーに、要求したページまたは構成した認証後 URL が表示されます。

問題点

スイッチ上のキャプティブ ポータル インターフェイスに接続しているユーザが Web ページを要求した場合、スイッチはキャプティブ ポータル ログイン ページを返しません。

ソリューション

ARP、DHCP、HTTPS、DNS の各カウンターを調べることができます。これらのカウンターのうち 1 つ以上が増加していない場合は、問題がどこにあるかがわかります。たとえば、クライアントが IP アドレスを取得できない場合、スイッチのインターフェイスをチェックして、DHCP カウンタが増加しているかどうか(カウンタが増加している場合は、DHCP パケットがスイッチによって受信された)を判断できます。

user@switch> show captive-portal firewall ge-0/0/10.0
ge-0/0/10.0
  Filter name: dot1x_ge-0/0/10
Counters:
Name                          Bytes              Packets
dot1x_ge-0/0/10_CP_arp         7616                  119
dot1x_ge-0/0/10_CP_dhcp           0                    0
dot1x_ge-0/0/10_CP_http           0                    0
dot1x_ge-0/0/10_CP_https          0                    0
dot1x_ge-0/0/10_CP_t_dns          0                    0
dot1x_ge-0/0/10_CP_u_dns          0                    0