RADIUS 属性

Transcription

1 リモート認証ダイヤルイン ユーザ サービス RADIUS 属性は RADIUS デーモンに保存された ユーザ プロファイル内の特定の認証 許可 アカウンティング AAA 要素を定義するために 使用されます この付録では ブロードバンド ネットワーク ゲートウェイ BNG でサポートされる RADIUS 属性の次のについて説明します RADIUS IETF 属性, ページ RADIUS ベンダー固有属性, 4 ページ RADIUS ADSL 属性, 8 ページ RADIUS ASCEND 属性, 9 ページ Microsoft, 9 ページ RADIUS Disconnect-Cause 属性, 0 ページ RADIUS IETF 属性 IETF 属性と VSA の比較 RADIUS インターネット技術特別調査委員会 IETF 属性は 255 個の標準属性で構成されるオ リジナルのセットで クライアントとサーバ間での AAA 情報の伝達に使用されます IETF 属性 は標準であるため 属性データは事前定義されてその内容も認識されています このため IETF 属性を介して AAA 情報を交換するすべてのクライアントとサーバは 属性の厳密な意味や各属性 値の一般的な限界など 属性データに一致させる必要があります RADIUS ベンダー固有属性 VSA は つの IETF ベンダー固有属性 属性 26 から派生しま す 属性 26 を使用すれば ベンダーは 追加の 255 個の属性を自由に作成できます つまり ベンダーは どの IETF 属性のデータとも一致しない属性を作成して 属性 26 の背後にカプセル 化することができます そのため 新しく作成された属性は 属性26を受け入れているユーザに 受け入れられます Cisco ASR 9000 シリーズ アグリゲーション サービス ルータ ブロードバンド ネットワーク ゲートウェイ コンフィギュレーション ガイド リリース 4.3.x OL J

2 RADIUS IETF 属性 表 : サポートされている RADIUS IETF 属性 Acct-Authentic Acct-Delay-Time Acct-Input-Giga-Words Acct-Input-Octets Acct-Input-Packets Acct-Interim-Interval Acct-Link-Count Acct-Output-Giga-Words Acct-Output-Octets Acct-Output-Packets Acct-Status-Type CHAP-Challenge CHAP-Password Dynamic-Author-Error-Cause Event-Timestamp Filter-Id Framed-Protocol Framed-IP-Address Framed-Route login-ip-addr-host Multilink-Session-ID Nas-Identifier NAS-IP-Address NAS-Port Reply-Message Service-Type Tunnel-Assignment-Id 値整数整数整数整数整数整数整数整数整数整数整数バイナリバイナリ整数整数バイナリ整数 文字列 文字列文字列 整数バイナリ整数文字列 Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲート ウェイコンフィギュレーションガイドリリース 4.3.x 2 OL J

3 LAC の IETF タグ付き属性 Tunnel-Packets-Lost X-Ascend-Client-Primary-DNS X-Ascend-Client-Secondary-DNS NAS-IPv6-Address Delegated-IPv6-Prefix Stateful-IPv6-Address-Pool Framed-IPv6-Prefix Framed-Interface-Id Framed-IPv6-Pool Framed-IPv6-Route login-ip-addr-host 値整数 文字列バイナリバイナリバイナリバイナリ文字列文字列文字列 LAC の IETF タグ付き属性 L2TP アクセスコンセントレータ (LAC) の IETF タグ付き属性のサポートは RADIUS サーバから LAC に送信される Access-Accept パケットで 同じトンネルを参照するトンネル属性をグループ化する手段を提供します Access-Accept パケットには 同じ でタグが異なる複数のインスタンスを含めることができます タグ付き属性のサポートは 指定のトンネルに属するすべての属性がそれぞれのタグフィールドに同じ値を持ち 各セットに Tunnel-Preference 属性の適切な値のインスタンスが含まれるようにします これは マルチベンダーネットワーク環境で使用されるトンネル属性に準拠しているため 異なるベンダーで製造されたネットワークアクセスサーバ (NAS) 間の相互運用性の問題が解消されます トンネルプロトコルサポートの の詳細については RFC 2868 を参照してください 次の例で IETF タグ付き属性の形式について説明します Tunnel-Type = :0:L2TP, Tunnel-Medium-Type = :0:IP, Tunnel-Server-Endpoint = :0:"...", Tunnel-Assignment-Id = :0:"", Tunnel-Preference = :0:, Tunnel-Password = :0:"hello" タグ値 0 は 上記の例で :0: の形式で使用されており 同じトンネルを参照する同じパケットでそれらの属性をグループ化します 同様の例は 次のとおりです Tunnel-Type = ::L2TP, Tunnel-Medium-Type = ::IP, Tunnel-Server-Endpoint = ::" ", Tunnel-Assignment-Id = ::"", Tunnel-Preference = ::, Tunnel-Password = ::"hello" Tunnel-Type = :2:L2TP, Tunnel-Medium-Type = :2:IP, Tunnel-Server-Endpoint = :2:" ", Tunnel-Assignment-Id = :2:"", Tunnel-Preference = :2:2, Tunnel-Password = :2:"hello" Tunnel-Type = :3:L2TP, Tunnel-Medium-Type = :3:IP, Tunnel-Server-Endpoint = :3:" ", Tunnel-Assignment-Id = :3:"", Tunnel-Preference = :3:2, Tunnel-Password = :3:"hello" Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲートウェイ コンフィギュレーションガイドリリース 4.3.x OL J 3

4 RADIUS ベンダー固有属性 Tunnel-Type = :4:L2TP, Tunnel-Medium-Type = :4:IP, Tunnel-Server-Endpoint = :4:" ", Tunnel-Assignment-Id = :4:"", Tunnel-Preference = :4:3, Tunnel-Password = :4:"hello" Tunnel-Type = :5:L2TP, Tunnel-Medium-Type = :5:IP, Tunnel-Server-Endpoint = :5:" ", Tunnel-Assignment-Id = :5:"", Tunnel-Preference = :5:3, Tunnel-Password = :5:"hello" 表 2: サポートされる IETF タグ付き属性 IETF タグ付き属性の Tunnel-Type Tunnel-Medium-Type Tunnel-Client-Endpoint Tunnel-Server-Endpoint Tunnel-Password Tunnel-Assignment-ID Tunnel-Preference Tunnel-Client-Auth-ID Tunnel-Server-Auth-ID 値整数整数文字列文字列文字列文字列整数文字列文字列 RADIUS ベンダー固有属性 インターネット技術特別調査委員会 (IETF) ドラフト標準には ネットワークアクセスサーバと RADIUS サーバの間でベンダー固有属性 ( 属性 26) を使用してベンダー固有の情報を伝達する方法が規定されています 属性 26 はベンダー固有属性をカプセル化します このため ベンダーは一般的な用途に適さない独自の拡張属性をサポートできます シスコの RADIUS 実装は この仕様で推奨される形式を使用して つのベンダー固有オプションをサポートしています シスコのベンダー ID は 9 で サポートされるオプションはベンダー は cisco-av-pair です 値は次の形式の文字列になります protocol : attribute sep value * Protocol は 特定の許可を表すシスコの protocol 属性です 使用可能なプロトコルには IP IPX VPDN VOIP SHELL RSVP SIP AIRNET OUTBOUND があります attribute および value は シスコの TACACS+ 仕様で定義されている適切な属性値 (AV) ペアです sep は 必須の属性の場合は = 任意指定の属性の場合は * になります これにより TACACS+ 許可で使用できるすべての機能を RADIUS にも使用できるようになります たとえば 次の AV ペアにより IP を許可している間 (PPP の IPCP アドレス割り当てを行っている間 ) シスコの 指定された複数の IP アドレスプール をアクティブにすることができます cisco-avpair= "ip:addr-pool=first" Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲート ウェイコンフィギュレーションガイドリリース 4.3.x 4 OL J

5 RADIUS ベンダー固有属性 * を挿入すると AV ペア ip:addr-pool=first はオプションになります AV ペアはオプションにできることに注意してください IETF 属性 26( ベンダー固有 ) は ベンダー固有属性をカプセル化します このため ベンダーは一般的な用途に適さない独自の拡張属性をサポートできます cisco-avpair= "ip:addr-pool*first" 次に ネットワークアクセスサーバからユーザがログインしたときに すぐに EXEC コマンドを実行する方法の例を示します cisco-avpair= "shell:priv-lvl=5" 属性 26 には 次の 3 つの要素が含まれています 長さ ストリング ( またはデータ ) Vendor-Id Vendor-Type Vendor-Length Vendor-Data ( 注 ) VSA の形式はベンダーが指定します Attribute-Specific フィールド (Vendor-Data とも呼ばれる ) は ベンダーによるその属性の定義によって異なります 表 3: サポートされるシスコのベンダー固有 access-loop-encapsulation accounting-list acct-policy-in acct-policy-map acct-policy-out actual-data-rate-downstream actual-data-rate-upstream actual-interleaving-delay-downstream actual-interleaving-delay-upstream attainable-data-rate-downstream 値バイナリ文字列文字列文字列文字列整数整数整数整数整数 Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲートウェイ コンフィギュレーションガイドリリース 4.3.x OL J 5

6 RADIUS ベンダー固有属性 attainable-data-rate-upstream circuit-id-tag cisco-nas-port client-mac-address command connect-progress connect-rx-speed connect-tx-speed dhcp-client-id dhcp-vendor-class disc-cause-ext Disconnect-Cause if-handle inacl interworking-functionality-tag ip-addresses ip-unnumbered ipv4-unnumbered login-ip-host maximum-interleaving-delay-downstream maximum-interleaving-delay-upstream maximum-data-rate-downstream maximum-data-rate-upstream minimum-data-rate-downstream minimum-data-rate-downstream-low-power minimum-data-rate-upstream minimum-data-rate-upstream-low-power parent-if-handle 値整数文字列文字列文字列文字列文字列整数整数文字列文字列文字列文字列整数文字列ブール文字列文字列文字列文字列整数整数整数整数整数整数整数整数整数 2 Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲート ウェイコンフィギュレーションガイドリリース 4.3.x 6 OL J

7 RADIUS ベンダー固有属性 pppoe_session_id qos-policy-in qos-policy-out redirect-vrf remote-id-tag service-acct-list service-name sub-qos-policy-in sub-qos-policy-out traffic-class tunnel-tos-reflect tunnel-tos-setting vpn-id vpn-vrf vrf-id ipv6-enable ipv6-mtu ipv6-strict-rpf ipv6-unreachable acct-input-gigawords-ipv6 acct-input-octets-ipv6 acct-input-packets-ipv6 acct-output-gigawords-ipv6 acct-output-octets-ipv6 acct-output-packets-ipv6 delegated-ipv6-pool ipv6-dns-servers-addr dhcpv6-class 値整数文字列文字列文字列文字列文字列文字列文字列文字列文字列文字列整数文字列文字列整数整数整数整数整数整数整数整数整数整数整数文字列文字列文字列 Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲートウェイ コンフィギュレーションガイドリリース 4.3.x OL J 7

8 RADIUS ADSL 属性 ipv6_inacl ipv6_outacl addrv6 acct-input-gigawords-ipv4 acct-input-octets-ipv4 acct-input-packets-ipv4 acct-output-gigawords-ipv4 acct-output-octets-ipv4 acct-output-packets-ipv4 値文字列文字列文字列整数整数整数整数整数整数 RADIUS ADSL 属性 表 4: サポートされる RADIUS ADSL 属性 Access-Loop-Encapsulation Actual-Interleaving-Delay-Downstream Actual-Interleaving-Delay-Upstream Actual-Data-Rate-Downstream Actual-Data-Rate-Upstream Attainable-Data-Rate-Downstream Attainable-Data-Rate-Upstream Agent-Circuit-Id IWF-Session Maximum-Interleaving-Delay-Downstream Maximum-Interleaving-Delay-Upstream Maximum-Data-Rate-Downstream Maximum-Data-Rate-Upstream Minimum-Data-Rate-Downstream 値バイナリ整数整数整数整数整数整数文字列ブールソーシャル整数整数整数整数整数 Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲート ウェイコンフィギュレーションガイドリリース 4.3.x 8 OL J

9 RADIUS ASCEND 属性 Minimum-Data-Rate-Downstream-Low-Power Minimum-Data-Rate-Upstream Minimum-Data-Rate-Upstream-Low-Power Agent-Remote-Id 値整数整数整数文字列 RADIUS ASCEND 属性 表 5: サポートされる RADIUS ASCEND 属性 Ascend-Client-Primary-DNS Ascend-Client-Secondary-DNS Ascend-Connection-Progress Ascend-Disconnect-Cause Ascend-Multilink-Session-ID Ascend-Num-In-Multilink 値 整数整数整数整数 Microsoft 表 6: サポートされる Microsoft MS-st-NBNS-Server MS-2nd-NBNS-Server MS-CHAP-ERROR MS-Primary-DNS MS-Secondary-DNS 値 バイナリ Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲートウェイ コンフィギュレーションガイドリリース 4.3.x OL J 9

10 RADIUS Disconnect-Cause 属性 RADIUS Disconnect-Cause 属性 Disconnect-cause 属性値は 接続がオフラインにされた理由を指定します 属性値は Accounting 要求パケットで送信されます セッションの認証が失敗しても これらの値は セッションの終了時に送信されます セッションが認証されないと 属性が開始レコードを生成せずに終了レコードを発生させる可能性があります Disconnect-Cause(95) 属性の原因コード 値 および説明を示します ( 注 ) Disconnect-Cause は RADIUS AVPairs で使用されるごとに 000 ずつ増分されます たとえば disc-cause 4 は 004 になります 表 7: サポートされる Disconnect-Cause 属性 原因コード 値 No-Reason No-Disconnect Unknown Call-Disconnect CLID-Authentication-Failure No-Modem-Available No-Carrier Lost-Carrier No-Detected-Result-Codes 説明 接続解除の理由は提供されない イベントは接続解除されていない 理由は不明 コールが接続解除された calling-party 数の認証の失敗 コールへの接続にモデムが使用できない キャリアが検出されない ( 注 ) 最初のモデム接続中に接続解除があると コード 0 および 2 が送信される場合があります キャリアの喪失 モデム結果コード検出の失敗 Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲート ウェイコンフィギュレーションガイドリリース 4.3.x 0 OL J

11 RADIUS Disconnect-Cause 属性 原因コード 値 User-Ends-Session Idle-Timeout Exit-Telnet-Session No-Remote-IP-Addr Exit-Raw-TCP Password-Fail Raw-TCP-Disabled Control-C-Detected EXEC-Process-Destroyed Close-Virtual-Connection End-Virtual-Connection Exit-Rlogin Invalid-Rlogin-Option Insufficient-Resources 説明 ユーザがセッションを終了した ( 注 ) コード および 28 は EXEC セッションに適用されます ユーザ入力待機中のタイムアウト ( 注 ) コード および 20 は すべてのセッションに適用されます 既存の Telnet セッションによる接続解除 SLIP/PPP への切り替え不能 リモートエンドに IP アドレスがない 既存の raw TCP による接続解除 間違ったパスワード Raw TCP がディセーブルにされた Control-C が検出された EXEC プロセスが破棄された ユーザが仮想接続を終了した 仮想接続が終了した ユーザが Rlogin を終了した 無効な Rlogin オプションが選択された 不十分なリソース Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲートウェイ コンフィギュレーションガイドリリース 4.3.x OL J

12 RADIUS Disconnect-Cause 属性 原因コード 40 値 Timeout-PPP-LCP 説明 PPP LCP ネゴシエーションがタイムアウトした ( 注 ) コード 40 ~ 49 が PPP セッションに適用されます Failed-PPP-LCP-Negotiation Failed-PPP-PAP-Auth-Fail Failed-PPP-CHAP-Auth Failed-PPP-Remote-Auth PPP-Remote-Terminate PPP-Closed-Event NCP-Closed-PPP MP-Error-PPP PPP-Maximum-Channels Tables-Full Resources-Full Invalid-IP-Address Bad-Hostname Bad-Port PPP LCP ネゴシエーションが失敗した PPP PAP 認証が失敗した PPP CHAP 認証が失敗した PPP リモート認証が失敗した PPP がリモートエンドから Terminate Request を受信した 上位層がセッションの終了を要求した 開いている NCP がなかったため PPP セッションが終了した MP エラーのため PPP セッションが終了した 最大チャネルに達したため PPP セッションが終了した ターミナルサーバテーブルがいっぱいになったため 接続解除された 内部リソースがいっぱいになったため 接続解除された Telnet ホストに対する IP アドレスが有効でない ホスト名が検証されていない ポート番号が無効または欠落している Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲート ウェイコンフィギュレーションガイドリリース 4.3.x 2 OL J

13 RADIUS Disconnect-Cause 属性 原因コード 値 Reset-TCP TCP-Connection-Refused Timeout-TCP Foreign-Host-Close-TCP TCP-Network-Unreachable TCP-Host-Unreachable TCP-Network-Admin Unreachable TCP-Port-Unreachable Session-Timeout Session-Failed-Security Session-End-Callback Invalid-Protocol RADIUS-Disconnect Local-Admin-Disconnect SNMP-Disconnect V0-Retries PPP-Authentication-Timeout Local-Hangup 説明 TCP 接続がリセットされた ( 注 ) コード 60 ~ 67 は Telnet または raw TCP セッションに適用されます TCP 接続がホストによって拒否された TCP 接続がタイムアウトした TCP 接続が終了した TCP ネットワークに到達できない TCP ホストに到達できない 管理上の理由により TCP ネットワークに到達できない TCP ポートに到達できない セッションがタイムアウトした セキュリティ上の理由から セッションが失敗した コールバックにより セッションが終了した 検出されたプロトコルがディセーブルにされていたため コールが拒否された RADIUS 要求による接続解除 管理上の接続解除 SNMP 要求による接続解除 許可された V.0 リトライを超過した PPP 認証がタイムアウトした ローカルのハングアップによって接続解除された Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲートウェイ コンフィギュレーションガイドリリース 4.3.x OL J 3

14 RADIUS Disconnect-Cause 属性 原因コード 値 Remote-Hangup T-Quiesced Call-Duration VPN-User-Disconnect VPN-Carrier-Loss VPN-No-Resources VPN-Bad-Control-Packet 説明 リモートエンドのハングアップよって接続解除された T 回線が休止状態のため接続解除された コールの最大継続時間を超過したため 接続解除された クライアントによってコールが接続解除された (PPP 経由 ) LNS がクライアントから PPP terminate request を受信するとコードが送信されます キャリアの喪失 これは回線が物理的に普通になった結果である場合があります クライアントがダイヤラを使用してダイヤルアウトできない場合 コードが送信されます コールの処理に使用できるリソースがない クライアントがメモリを割り当てることができない場合 コードが送信されます ( メモリの不足 ) L2TP または L2F 制御パケットが間違っている このコードは 必須の属性値ペア (AVP) が欠落しているなど ピアから受信した制御パケットが無効な場合に送信されます L2TP を使用すると コードは 6 回の再送信後に送信されます L2F を使用すると 再送信の回数はユーザ設定が可能です ( 注 ) トンネルにアクティブなセッションがある場合は VPN-Tunnel-Shut が送信されます Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲート ウェイコンフィギュレーションガイドリリース 4.3.x 4 OL J

15 RADIUS Disconnect-Cause 属性 原因コード 値 VPN-Admin-Disconnect VPN-Tunnel-Shut 説明 管理上の接続解除 これは VPN ソフトシャットダウンの結果である場合があります これは クライアントが最大セッション制限に達するか 最大ホップカウントを超過した場合に発生します トンネルが clear vpdn tunnel コマンドの発行によってダウンした場合に コードが送信されます トンネルのティアダウン またはトンネルのセットアップが失敗した トンネルにアクティブなセッションがあり トンネルがダウンした場合にコードが送信されます ( 注 ) このコードはトンネルの認証が失敗した場合は 送信されません VPN-Local-Disconnect VPN-Session-Limit VPN-Call-Redirect LNS PPP モジュールによって コールが接続解除された LNS がクライアントに PPP terminate request を送信するとコードが送信されます これは通常の PPP 接続解除が LNS によって開始されたことを示します VPN ソフトシャットダウンがイネーブルになった 前述したソフトシャットダウンの制約事項のいずれかによってコールが拒否されると コードが送信されます VPN コールリダイレクトがイネーブルになった Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲートウェイ コンフィギュレーションガイドリリース 4.3.x OL J 5

16 RADIUS Disconnect-Cause 属性 Cisco ASR 9000 シリーズアグリゲーションサービスルータブロードバンドネットワークゲート ウェイコンフィギュレーションガイドリリース 4.3.x 6 OL J