Skip to content

Latest commit

 

History

History
667 lines (439 loc) · 24.4 KB

08.2.RADIUS.md

File metadata and controls

667 lines (439 loc) · 24.4 KB

RADIUS認証環境を構築する

演習における役割と、環境のパラメータ

  • X: ご自身のPod番号
  • RADIUSサーバー役: WinSrv2(WSrv2-yyMMddX)
  • ユーザー データベース役(Active Directory ドメインコントローラー): WinSrv1(WSrv1-yyMMddX)
  • RADIUSクライアント役: Router2
  • ユーザー: WinClient(WC1-yyMMddX)

注意

  • 手順例の画像はpod255に準拠したパラメータのものです
  • 手順内のX表記はご自身のpod番号に読み替えてください

RADIUS用のActive Directoryユーザーグループを作成する

  1. Active Directory サーバー(WinSrv1)の管理画面に接続する

  2. Active Directoryユーザー 管理コンソール("Active Directoryユーザーとコンピューター")を起動する

  3. [Active Directory ユーザーとコンピューター]-[example.local]-[Groups]に、新しいActive Directory ユーザーグループ(G_NwAdmins)を以下のパラメータで作成する

    項目 パラメータ
    グループ名 G_NwAdmins
    グループ名(Windows2000より以前) G_NwAdmins

    グループのスコープ:

    • ドメイン ローカル
    • グローバル
    • ユニバーサル

    グループの種類:

    • セキュリティ
    • 配布

    【注意】
    "G_NwAdmins"グループのスコープは "グローバル" を選択します

  4. 作成した"G_NwAdmins"グループのメンバーとして、Active Directoryユーザーの"Tom"を追加する

  5. [Active Directory ユーザーとコンピューター]-[example.local]-[Groups]に、新しいActive Directory ユーザーグループ(DL_Router_RemoteConnect)を以下のパラメータで作成する

    項目 パラメータ
    グループ名 DL_Router_RemoteConnect
    グループ名(Windows2000より以前) DL_Router_RemoteConnect

    グループのスコープ:

    • ドメイン ローカル
    • グローバル
    • ユニバーサル

    グループの種類:

    • セキュリティ
    • 配布

    【注意】
    "DL_Router_RemoteConnect"グループのスコープは "ドメインローカル" を選択します

  6. 作成した"DL_Router_RemoteConnect"グループのメンバーとして、Active Directoryグループの"G_NwAdmins"を追加する

    【補足】 この演習では、Active DirectoryユーザーのTomがRouterに管理接続できるように構成します。
    最終的に、以下のフローでTomのRouter管理接続が許可されます。

    graph TD;
    TomがClientからRouterに管理接続-->RADIUSクライアントのRouter
    RADIUSクライアントのRouter-->RADIUSサーバーのネットワークポリシーサーバー;
    RADIUSサーバーのネットワークポリシーサーバー-->認証サーバーのActiveDirectory;
    認証サーバーのActiveDirectory-->DL_Router_RemoteConnectグループ;
    DL_Router_RemoteConnectグループ-->メンバーのG_NwAdminsグループ;
    メンバーのG_NwAdminsグループ-->メンバーのTomユーザー;
    メンバーのTomユーザー-->Tomの管理接続を許可する;
    Loading

RADIUSサーバーの役割を追加

  1. RADIUSサーバー(WinSrv2)の管理画面に接続する

  2. 役割と機能の追加ウィザードを開始する

    1. [スタートメニュー]をクリックする
    2. スタートメニュー内の[サーバー マネージャー]をクリックし、サーバーマネージャを起動する
    3. サーバーマネージャーのダッシュボード画面内の[役割と機能の追加]をクリックする
    4. [役割と機能の追加ウィザード]ウィンドウが起動したことを確認する

  3. RADIUSサーバー("ネットワーク ポリシーとアクセス サービス")の役割を追加する

    1. [役割と機能の追加ウィザード]ウィンドウの[開始する前に]画面で、[次へ]をクリックする

    2. [インストールの種類]画面で、[次へ]をクリックする

    3. [サーバーの選択]画面で、[次へ]をクリックする

    4. [サーバーの役割]画面で、以下のパラメータを選択する

      • ネットワーク ポリシーとアクセス サービス

      【補足】
      "ネットワーク ポリシーとアクセス サービス"のチェックをつけると、[ネットワーク ポリシーとアクセス サービスに必要な機能を追加しますか？]の確認ポップアップが表示されます。
      [ネットワーク ポリシーとアクセス ービスに必要な機能を追加しますか？]ウィンドウで、[機能の追加] をクリックします。

      img

    5. [サーバーの役割]画面で、上のパラメータを選択したことを確認し、[次へ]をクリックする

    6. [機能の選択]画面で、[次へ]をクリックする

    7. [ネットワーク ポリシーとアクセス サービス]画面で、[次へ]をクリックする

    8. [確認]画面で、[インストール]をクリックする

    9. [結果]画面で、インストール進捗を示すプログレスバーが右端に到達するまで数分間待機する

    10. [結果]画面で、インストールが正常に完了したことを確認し、[閉じる]をクリックする
      img

RADIUSクライアントをNPSに登録する

  1. ネットワーク ポリシー サーバー(NPS)管理コンソールを起動する

    1. サーバーマネージャーウィンドウ右上の[ツール]をクリックする
    2. メニュー内の[ネットワーク ポリシー サーバー]をクリックし、NPS管理コンソールを起動する
      img
    3. [ネットワーク ポリシー サーバー]管理コンソールが起動したことを確認する
      img

  2. RADIUSクライアントを新規登録する

    1. 左側コンソールツリーの[NPS(ローカル)]-[RADIUSクライアントとサーバー]-[RADIUSクライアント]をクリックする

    2. [RADIUSクライアント]を右クリックし、コンテキストメニュー内の[新規]をクリックする
      img

    3. [新しいRADIUSクライアント]ウィンドウが表示されたことを確認する
      img

    4. [新しいRADIUSクライアント]ウィンドウで、以下のパラメータを入力する

      • このRADIUSクライアントを有効にする

      • 既存のテンプレートを選択する

      フレンドリ名:

      Router2

      アドレス(IPまたはDNS):

      10.X.2.254

      既存の共有シークレット テンプレートを選択する:

      なし
      • 手動
      • 生成

      共有シークレット:

      Pa$$w0rd

      共有シークレットの確認入力:

      Pa$$w0rd

      img

    5. [新しいRADIUSクライアント]ウィンドウで、[OK]をクリックする

  3. RADIUSクライアントの登録を確認する

    1. [RADIUSクライアント]の一覧に、Router2の情報が追加されていることを確認する

      img

ネットワークポリシーを作成し、RADIUS認証を構成する

  1. 左側コンソールツリーの[NPS(ローカル)]-[ポリシー]-[ネットワーク ポリシー]をクリックする

  2. [ネットワーク ポリシー]を右クリックし、コンテキストメニュー内の[新規]をクリックする
    img

  3. [新しいネットワーク ポリシー]ウィンドウが表示されたことを確認する
    img

  4. [新しいネットワーク ポリシー]ウィンドウで、以下の手順の操作をする

    1. [ネットワークポリシー名と接続の種類の指定]画面で、以下のパラメータを入力する

      ポリシー名:
      Active Directory Authentication

      • ネットワークアクセスサーバーの種類
        指定なし

      • ベンダー固有 10

      img

    2. [ネットワークポリシー名と接続の種類の指定]画面で、[次へ]をクリックする

    3. [条件の指定]画面で、[追加]をクリックする
      img

    4. [条件の選択]ウィンドウが表示されたことを確認する

    5. [条件の選択]ウィンドウで、[ユーザーグループ]をクリックして選択する

    6. [条件の選択]ウィンドウで、[追加]をクリックする
      img

    7. [ユーザーグループ]ウィンドウが表示されたことを確認する
      img

    8. [ユーザーグループ]ウィンドウで、[グループの追加]をクリックする

    9. [グループの選択]ウィンドウが表示されたことを確認する
      img

    10. [グループの選択]ウィンドウで、以下のパラメータを入力する

      選択するオブジェクト名を入力してください:
      DL_Router_RemoteConnect

    11. [グループの選択]ウィンドウで、[名前の確認]をクリックする

    12. [ネットワーク資格情報の入力]ウィンドウが表示されたことを確認する

    13. [ネットワーク資格情報の入力]ウィンドウで、以下のパラメータを入力する

      ユーザー名:
      Spike

      パスワード:
      Pa$$w0rd

      img

    14. [ネットワーク資格情報の入力]ウィンドウで、[OK]をクリックする

    15. [グループの選択]ウィンドウで、[OK]をクリックする

    16. [ユーザーグループ]ウィンドウで、[OK]をクリックする

      img

    17. [条件の指定]画面で、[次へ]をクリックする
      img

    18. [アクセス許可の指定]画面で、[次へ]をクリックする
      img

    19. [認証方法の構成]画面で、以下のパラメータを選択する

      EAPの種類:
      <空欄>

      セキュリティレベルの低い認証方法:

      • Microsoft暗号化認証バージョン 2 (MS-CHAP v2)
        • パスワードの期限が切れた後も、ユーザーにパスワードの変更を許可する
      • Microsoft暗号化認証 (MS-CHAP)
        • パスワードの期限が切れた後も、ユーザーにパスワードの変更を許可する
      • 暗号化認証 (CHAP)
      • 暗号化されていない認証 (PAP、SAP)
      • 認証方法をネゴシエートせずにクライアントに接続を許可する

      img

    20. [認証方法の構成]画面で、[次へ]をクリックする

    21. [接続要求ポリシー]のポップアップで、[いいえ]をクリックする

      img

    22. [制約の構成]画面で、[次へ]をクリックする

      img

    23. [設定の構成]画面で、[次へ]をクリックする

      img

    24. [新しいネットワーク ポリシーの完了]画面で、[完了]をクリックする

      img

  5. ネットワークポリシーを確認する

    1. [ネットワーク ポリシー]の一覧に、[Active Directory Authentication]が追加されていることを確認する

      img

VyOSのRADIUS認証を構成する

  1. Router2の管理画面に接続する

  2. 以下のコマンドを実行し、ログイン時のRADIUS認証を構成する
    configure
    set system login radius server 10.X.2.105 key 'Pa$$w0rd'
    set system login radius source-address 10.X.2.254
    commit

    trainocatenwadmin@Router2:~$ configure 
[edit]
trainocatenwadmin@Router2# set system login radius server 10.255.2.105 key 'Pa$$w0rd'
[edit]
trainocatenwadmin@Router2# set system login radius source-address 10.255.2.254
[edit]
trainocatenwadmin@Router2# commit
[edit]
trainocatenwadmin@Router2#

RAIDUS認証の動作を確認する

  1. SSH Clientでターミナルソフト(Teraterm)を起動する

    1. 操作コンピュータを変更するため、演習環境のトップページに戻る
    2. Windows Client(WinClient)の管理画面に "admin" で接続する
    3. [スタートメニュー]-[T]-[Tera Term]-[Tera Term]をクリックする
      img
    4. [Tera Term]が起動されたことを確認する
      img

  2. Router2にSSHで接続し、RADIUS認証が成功することを確認する

    1. [Tera Term:新しい接続]ポップアップで以下のパラメータを入力する

      • TCP/IP
        ホスト: 10.X.2.254

        • ヒストリ

        サービス:

        • Telnet
        • SSH
        • その他

        TCPポート番号: 22

        SSHバージョン: SSH2

        IPバージョン: AUTO

      • シリアル
        ポート: COM2 Communications Port(COM2)

      img

    2. [Tera Term:新しい接続]ポップアップで[OK]をクリックする

    3. [セキュリティ警告]のポップアップが表示された場合は、[続行]をクリックする
      img

    4. [SSH認証]ポップアップで、Tomのユーザー名とパスワードを入力する

      ユーザー名: Tom

      パスフレーズ: Pa$$w0rd

      • パスワードをメモリ上に記憶する
      • エージェント転送する

      認証方式

      • プレインパスワードを使う
      • RSA/DSA/ECDSA/ED25519鍵を使う
      • rhosts(SSH1)を使う
      • キーボードインタラクティブ認証を使う
      • Pageantを使う

      img

    5. [SSH認証]ポップアップで[OK]をクリックする

    6. Router2に接続できたことを確認する

      img

  1. Configuration Modeで操作する認可がないことを確認する

    1. Tera Termのプロンプトで以下のコマンドを実行し、Configuration Modeを開始できないことを確認する

      configure

      radius_user@Router2> configure
-bash: configure: command not found
radius_user@Router2>

      【補足】
      しかし、この時点ではRADIUS認証後の認可をまだ構成していないため、Tomは管理者としてRouter1にログインできません。 この後の演習手順を進めることで、管理操作ができるようになります。

      img

ネットワークポリシーを編集し、RADIUS認可を構成する

  1. RADIUSサーバー(WinSrv2)の管理画面に接続する

  2. ネットワーク ポリシー サーバー(NPS)管理コンソールを起動する

  3. 左側コンソールツリーの[NPS(ローカル)]-[ポリシー]-[ネットワーク ポリシー]をクリックする

  4. 右側ペインのネットワーク ポリシー一覧の[Active Directory Authentication]を右クリックし、コンテキストメニュー内の[プロパティ]をクリックする
    img

  5. [Active Directory AUthenticationのプロパティ]ウィンドウが表示されたことを確認する

    img

  6. [設定]タブをクリックして選択する

  7. [RADIUS属性]-[標準]をクリックして選択する

  8. "属性:"欄の[Service-Type]をクリックして選択し、[編集]をクリックする

    img

  9. [属性の情報]ウィンドウが表示されたことを確認する

    img

  10. [属性の情報]ウィンドウで、以下のパラメータを選択する

    • ダイヤルアップまたはVPNで一般的に使用する
    • 802.1Xで一般的に使用する
    • その他 Adminitrative

    img

  11. [属性の情報]ウィンドウで、[OK]をクリックする

  12. "属性:"欄の[Service-Type]の値が "Adminitrative" であることを確認する

    img

  13. [RADIUS属性]-[ベンダー固有]をクリックして選択し、[追加]をクリックする
    img

  14. [ベンダー固有の属性の追加]ウィンドウが表示されたことを確認する

    img

  15. [ベンダー固有の属性の追加]ウィンドウで、以下のパラメータを選択する

    ベンダー(V): Cisco

    img

  16. [ベンダー固有の属性の追加]ウィンドウで、以下のパラメータをクリックして選択する

    属性: Cisco-AV-Pair Cisco

    img

  17. [ベンダー固有の属性の追加]ウィンドウで、[追加]をクリックする

  18. [属性の情報]ウィンドウが表示されたことを確認する

    img

  19. [属性の情報]ウィンドウで、[追加]をクリックする

  20. [属性の情報]ウィンドウが表示されたことを確認する

    img

  21. [属性の情報]ウィンドウで、以下のパラメータを入力する

    属性値:
    shell:priv-lvl=15

    【補足】 このRADIUS属性値は、ログイン認証後の管理操作(SHell)における権利レベル(Privilege Level)が、特権モード(15)であることを意味します。

    img

  22. [属性の情報]ウィンドウで、[OK]をクリックする

  23. [属性の情報]ウィンドウで、属性値が追加されていることを確認し、[OK]をクリックする

    img

  24. [ベンダー固有の属性の追加]ウィンドウで、属性値が追加されていることを確認し、[閉じる]をクリックする

    img

  25. [Active Directory AUthenticationのプロパティ]ウィンドウで、属性が追加されていることを確認し、[OK]をクリックする

    img

RAIDUS認証と認可の動作を確認する

  1. SSH Clientでターミナルソフト(Teraterm)を起動する

    1. 操作コンピュータを変更するため、演習環境のトップページに戻る
    2. Windows Client(WinClient)の管理画面に "admin" で接続する
    3. [スタートメニュー]-[T]-[Tera Term]-[Tera Term]をクリックする
    4. [Tera Term]が起動されたことを確認する

  2. Router2にTelnetで接続し、RADIUS認証と認可が成功することを確認する

    1. [Tera Term:新しい接続]ポップアップで以下のパラメータを入力する

      • TCP/IP
        ホスト: 10.X.2.254

        • ヒストリ

        サービス:

        • Telnet
        • SSH
        • その他

        TCPポート番号: 22

        SSHバージョン: SSH2

        IPバージョン: AUTO

      • シリアル
        ポート: COM2 Communications Port(COM2)

      img

    2. [Tera Term:新しい接続]ポップアップで[OK]をクリックする

    3. [SSH認証]ポップアップで、Tomのユーザー名とパスワードを入力する

      ユーザー名: Tom

      パスフレーズ: Pa$$w0rd

      • パスワードをメモリ上に記憶する
      • エージェント転送する

      認証方式

      • プレインパスワードを使う
      • RSA/DSA/ECDSA/ED25519鍵を使う
      • rhosts(SSH1)を使う
      • キーボードインタラクティブ認証を使う
      • Pageantを使う

      img

    4. [SSH認証]ポップアップで[OK]をクリックする

    5. Router2に接続できたことを確認する

      img

  3. Configuration Modeで操作できることを確認する

    1. Tera Termのプロンプトで以下のコマンドを実行し、Configuration Modeの操作ができることを確認する

      configure
      save
      exit

      Tom@Router2:~$ configure
[edit]
Tom@Router2# save
Saving configuration to '/config/config.boot'...
Done
[edit]
Tom@Router2# exit
exit
Tom@Router2:~$

      【補足】
      RADIUSによる認可を構成したことで、Active DirectoryユーザーのTomは管理者権限を有した状態でRouter1にSSHログインできるようになりました。

      img

演習完了

ここまでの手順で、以下の項目を学習できました。

  • WindowsのネットワークポリシーサーバーでRADIUSサーバーを構築する
  • VyOSのRADIUS認証を構成する
  • RADIUS属性を指定して、RADIUS認可を構成する