【検証報告】フエニックス・コンタクトFL SWITCH 2208 有線スイッチと NetAttest EPS の認証連携を確認しました

はじめに

ソリトンシステムズのオールインワン認証アプライアンス「NetAttest EPS」と、フエニックス・コンタクト社製 有線LANスイッチ 「FL SWITCH 2208」を連携させ、エンタープライズ方式による認証が可能かを確認しました。

無線接続クライアントは、Windows 搭載端末で、確認した認証方式はパスワード方式（EAP-PEAP）及び、電子証明書認証方式（EAP-TLS）です。

1. 構成

以下の環境を構成します。

• 有線LANで接続する各種サーバー、RADIUSクライアントは L3 スイッチに収容
• 有線 LAN で接続するクライアント PC の IP アドレスは、NetAttest D3のDHCP サーバーから払い出す

1-1 構成図

1-2 環境

1-2-1 機器

1-2-2 認証方式

IEEE802.1X EAP-PEAP(MS-CHAP V2)/EAP-TLS

1-2-3 ネットワーク設定

2. NetAttest EPSの設定

NetAttest EPSのセットアップを下記の流れで行います。

1. サービス管理ページへのログオン
2. 初期設定ウィザード (システム､システム-2)の実行
3. 初期設定ウィザード (サービス)の実行
4. httpsサービスの再起動
5. RADIUSクライアントの登録
6. 利用者の登録
7. ユーザーのリプライアイテムの設定
8. クライアント証明書の発行

2-1 サービス管理ページへのログオン

NetAttest EPSの初期設定はLAN1から行います。初期のIPアドレスは「192.168.1.2/24」です。管理端末に適切なIPアドレスを設定し、Google Chrome もしくは Microsoft Edgeから「https://192.168.1.2:2181」にアクセスしてください。

2-2 初期設定ウィザード (システム､システム-2)の実行

サービス管理ページにログイン後、システム初期設定ウィザードを使用し、以下の項目を設定します。

• 管理者アカウントの設定
• 日付と時刻の設定
• ホスト名の設定
• ネットワークの設定
• DNSの設定
• インターネット時刻サーバーの設定
• ライセンスの設定

ログイン後に表示される画面より、「セットアップをはじめる」→「すすめる」→「はじめる」と進み、初期設定ウィザードの「システム」に関する設定を行います。

ここからは、システム初期セットアップウィザードの「システム-2」に関する設定を行います。

2-3 初期設定ウィザード (サービス)の実行

OS再起動が完了後、再度サービス管理ページにアクセス及びログインし、サービス初期設定ウィザードを使用して、以下の項目を設定します。

• 認証の用途の設定
• 認証の方式の設定
• 利用者情報リポジトリの設定
• CA構築
• サーバー証明書発行

2-4 httpsサービスの再起動

画面上部に「httpsサービスを再起動する」ボタンを選択し、httpsサービスの再起動を行います。

httpsサービスを再起動するとページの再読み込みを求められるため、ページの再読み込みを行います。

2-5 RADIUSクライアントの登録

サービス管理画面の「管理」メニューにて｢RADIUS認証｣でフィルタリングし､｢NAS/RADIUSクライアント｣を選択します｡表示された画面で「新規登録」ボタンを選択し、RADIUSクライアントの登録を行います。

2-6 利用者の登録

サービス管理画面の「管理」メニューにて｢利用者とデバイス｣でフィルタリングし､｢利用者一覧｣を選択します｡表示された画面で「新規登録」ボタンを選択し、利用者登録を行います。

2-7 クライアント証明書の発行

サービス管理画面より、クライアント証明書の発行を行います。[利用者一覧]ページから該当する利用者のクライアント証明書を発行します。

(クライアント証明書は、user01.p12という名前で保存)

3. FL SWITCH 2208の設定

3-1 管理画面へログイン

RJ-45ポートに管理端末を接続後、DHCPサーバからIPアドレスを取得できる場合は「http://<取得したIPアドレス>」にアクセスしてログインしてください。取得できない場合は「http://169.254.2.1」にアクセスしてログインしてください。

3-2 IPアドレスの設定

管理画面のConfigurationからNetworkへと進んで、IPアドレスを設定します。

（※Apply&Save押下後に管理端末のIPアドレスも適切に変更します）

3-3 Radiusサーバの設定

管理画面のConfigurationからSecurityへと進んでRadiusサーバを設定します。

3-4 IEEE 802.1X認証の有効化

管理画面のConfigurationからSecurityへと進んでIEEE 802.1X認証を有効にします。

3-5 IEEE 802.1X認証を有効にするポートの設定

管理画面のConfigurationからSecurityへと進んでDot1X Port Configuration Table をクリックします。

IEEE 802.1X認証を有効にするポートのModeをAutoに変更します。

4. Windows 10のクライアント設定 

4-1 EAP-TLS認証

4-1-1 クライアント証明書のインポート

PCにクライアント証明書をインポートします。ダウンロードしておいたクライアント証明書(user01.p12)をダブルクリックすると、証明書インポートウィザードが実行されます。

4-1-2 サプリカント設定

Windows標準サプリカントでTLSの設定を行います。
※ 本設定を行う前に「Wired AutoConfig」サービスが起動されていることをご確認下さい。

[イーサネットのプロパティ] の [認証] タブから以下の設定を行います。

4-2 EAP-PEAP認証

Windows標準サプリカントでPEAPの設定を行います。
※ 本設定を行う前に「Wired AutoConfig」サービスが起動されていることをご確認下さい。

[イーサネットのプロパティ] の [認証] タブから以下の設定を行います。

5. 動作確認

5-1 RADIUS認証ログの確認(EPS)

EPSのRADIUS認証ログは、サービス管理画面の「管理」メニューにて｢ログ｣でフィルタリングし､｢RADIUS認証ログ｣を選択することで確認可能です。

5-2 ログの確認(FL SWITCH 2208)

管理画面のInformationからAlarm & Eventsへと進んでログを確認します。

• EAP-PEAP認証が成功した場合のログ表示例

製品名	ログ表示例
NetAttest EPS
FL SWITCH 2208	Allowed 00:e0:4c:b6:20:f1 with VLAN 1 at port 2 via DOT1X

• EAP-TLS認証が成功した場合のログ表示例

製品名	製品名
NetAttest EPS
FL SWITCH 2208	Allowed 00:e0:4c:b6:20:f1 with VLAN 1 at port 2 via DOT1X

おわりに

ソリトンシステムズのオールインワン認証アプライアンス「NetAttest EPS」と、フエニックス・コンタクト社製 有線LANスイッチ 「FL SWITCH 2208」を連携させ、エンタープライズ方式による認証が可能であることを確認しました。

今回の連携検証は、最もシンプルな構成で行っています。
企業ネットワークへの導入を検討するにあたっては、無線アクセスポイントの各種機能の評価も必要になります。より実環境に近い構成での確認をお奨めします。