RADIUSサーバー機能

仮想コントローラーよりRADIUSサーバー機能を設定し設定を送信すると、クラスター内の全てのアクセスポイントはRADIUSクライアントとして自動的に設定されます。

また、RADIUSクライアントは個別にIPアドレスで指定できます。
RADIUSクライアントは50件まで設定することができ、それぞれ異なるシークレットを指定可能です。クラスター管理機能に対応しないWLXシリーズで本製品のRADIUSサーバー機能を用いてユーザー認証したいときは、WLXシリーズをRADIUSクライアントとして登録することで利用することが可能です。

クラスター管理機能に対応した製品のみを使用しVAPの設定において"内蔵 RADIUSサーバー" を指定するときは、RADIUSクライアントの設定を行う必要はありません。

RADIUSユーザーごとの設定項目は以下の通りです。

CSVファイルを用いて、RADIUSユーザーを一括して登録、削除、設定変更できます。
特に多数の無線利用者がいる場合や、たとえば学校など無線利用者が一斉に入れ替わるような場合に、まとめてRADIUSユーザーを編集できます。

CSVファイルを用いてRADIUSユーザーを編集するときは、まず既存の設定をエクスポートしそのファイルに編集を加えてからインポートして書き戻す手順となります。
もしRADIUSユーザーが1件も登録されていないときエクスポートすると、空項目だけのCSVファイルが出力されます。

CSVファイルではそれぞれの１行が１RADIUSユーザーに対応しています。
コメント行に各カラムにどのパラメーターを入力すべきか表示されていますので、そのコメント行に従ってカラムを埋めてください。

ルート認証局とは、クライアント証明書とサーバー証明書の発行元です。
本製品ではリーダーAP上にルート認証局を設置する構成となります。

本製品におけるルート認証局の設置と削除のタイミングは以下の通りです。

最初に設置したルート認証局を一貫して保持し続ける必要がありますので、不用意に削除してしまわないようご注意ください。
また万一削除してしまった場合に備えて、後述のバックアップをあらかじめ行っておくよう対策をお願いします。

一度ルート認証局を削除してしまうと、再設置しても以前とは異なる認証局になります。
もしバックアップ前にルート認証局を削除してしまった場合、それ以降は無線利用者の増減があっても証明書の追加/失効はできません。 証明書の発行を最初からすべてやり直すことになります。

なおサーバー証明書に関しては、本機能のRADIUSサーバーに対し認証局からサーバー証明書が自動的に発行されます。
サーバー証明書の発行・削除については、上記ルート証明書のそれぞれ設置・削除のタイミングで同時に行われます。

メール通知の設定と、各RADIUSユーザーのメールアドレスの設定が必要です。
Web GUIのRADIUSユーザー情報管理のページで「発行と送信」のボタンを押すと、まず未発行のユーザーに対し証明書の発行処理が行われ、その後証明書がメール添付で送信されます。
もしくは、すでに発行済みの証明書を選んでメールで送信することもできます。
その場合は、Web GUIのRADIUSユーザー情報管理のページで「証明書」のボタンを押して表示される証明書ページで、当該証明書の「証明書送信」ボタンを押して送信してください。
証明書を送信した場合は、最大2日でAPから証明書ファイルが削除されます。
証明書をファイルを再度メールで送信する場合は、証明書の発行を実行してください。

「取得ファイルの形式」で「ZIP」を選択している場合は、zipファイルで配布します。
また、「ZIPファイルのパスワード」で「パスワードあり」を選択している状態で配布する場合は、RADIUSユーザーのパスワードが証明書のzipファイルのパスワードとなります。
「パスワードなし」を選択している状態で配布する場合は、証明書のzipファイルにパスワードはありません。
「取得ファイルの形式」で「PKCS#12」を選択している場合は、圧縮せずにPKCS#12形式の証明書ファイルをそのまま配布します。

証明書ファイルを管理者の方がダウンロードし、何らかの方法で利用者にお渡しいただく方法です。
あらかじめWeb GUIのRADIUSユーザー情報管理のページで証明書の発行だけ行っておきます。その後上記RADIUSユーザーごとの証明書ページで、発行済み証明書の「ダウンロード」ボタンを押して証明書をダウンロードしてください。
証明書をダウンロードした場合は、APから証明書ファイルが削除されます。
証明書をファイルを再度ダウンロードする場合は、証明書の発行を実行してください。

「取得ファイルの形式」で「ZIP」を選択している場合は、zipファイルでダウンロードします。
また、「ZIPファイルのパスワード」で「パスワードあり」を選択している状態でダウンロードした場合は、RADIUSユーザーのパスワードが証明書のzipファイルのパスワードとなります。
「パスワードなし」を選択している状態でダウンロードした場合は、証明書のzipファイルにパスワードはありません。
「取得ファイルの形式」で「PKCS#12」を選択している場合は、圧縮せずにPKCS#12形式の証明書ファイルをそのままダウンロードします。

証明書には期限が設定されており、期限を過ぎると自動的に失効し使用できなくなります。
たとえば急な退職など、期限前に無線利用者の証明書を失効させたい場合は、RADIUSユーザーごとの証明書ページで当該証明書の「証明書失効」ボタンを押してください。
失効させた証明書は証明書ページに表示されなくなります。

本製品では、発行済みのクライアント証明書を一括でダウンロードできます。
Web GUIのRADIUSユーザー情報管理のページで「全ユーザーの最新の発行済証明書をダウンロードします」の「ダウンロード」ボタンを押してください。
ダウンロードされるファイル名は「user_cert.zip」です。user_cert.zipの中に、各ユーザーの証明書がzip形式で入っています。
「ZIPファイルのパスワード」で「パスワードあり」を選択している状態でダウンロードした場合は、RADIUSユーザーのパスワードが証明書のzipファイルのパスワードとなります。
「パスワードなし」を選択している状態でダウンロードした場合は、証明書のzipファイルにパスワードはありません。

証明書発行・管理機能を継続運用するのに必要なデータは、コンフィグのバックアップファイルに含まれます。
バックアップとリストアは、[保守] - [設定 (保存 / 復元)] で行うことができます。

バックアップは、「現在の設定をファイルへ出力」の「実行」ボタンを押してください。
リストアは、「リストアする設定ファイル」の「ファイルを選択」でバックアップしたファイルを選択してから、「設定をリストアする」の「実行」ボタンを押してください。

バックアップファイルは漏えいしないよう厳重に管理してください。
バックアップファイルにはルート認証局の情報が含まれるため、万一漏れた場合は不正に証明書を発行され、当該無線LANシステムに侵入される恐れがあります。

さらに、本バックアップ機能には以下の注意点があります。

RADIUSサーバー機能は、リーダーAP上で動作する仮想コントローラーで動作します。仮想コントローラーから、RADIUSサーバー機能を設定し設定送信を行うと、クラスター内のアクセスポイントは以下のように自動構成されます。

クラスター内の各アクセスポイントは自動的にRADIUSクライアントとして登録されます。また、無線端末は接続したアクセスポイントに関わらず、仮想コントローラーで動作するRADIUSサーバー機能で一括して認証される構成に設定されます。
なお、クラスター内にWLX212とそれ以外の機種が混在する構成での使用については、WLX212のファームウェアはRev.21.00.08以降で対応しています。

クラスター管理機能はクラスター内に存在するアクセスポイントからリーダーAPを選出し、リーダーAP上で仮想コントローラーを動作させます。またリーダーAPが故障などの理由により発見できなくなると、クラスター管理機能はこれを検出し新たなリーダーAPを選出します。新たに選出されたリーダーAPは自動的に仮想コントローラーが設定を引き継いだ状態で起動します。
そのため、RADIUSサーバー機能は特別な設定や操作を必要とせずに新たな仮想コントローラーで動作を開始します。
ただし、ログメッセージは引き継がれないため、旧リーダーAPで行われた認証のログは確認することができなくなります。
また、WLX413をネットワークから取り外したり、予期せぬ問題によってWLX413が停止したときなどに、リーダーAPがWLX413からそれ以外の機種に変わった場合は、両者の仕様の違いにより認証可能なRADIUSユーザー数に制限が生じます。クラスター内にWLX413が1台のみの状態でWLX413が故障などの理由により発見できなくなったとき、WLX413以外の機種が新リーダーAPに選出されます。このとき、WLX413の最大RADIUSユーザー数が4,000であるのに対し、それ以外の機種の最大RADIUSユーザー数が1,000であることから、旧リーダーAPで1,000を超えるRADIUSユーザーが設定されていた場合、認証できないユーザーが生じます。このことから、クラスター内にWLX413とそれ以外の機種が混在しており、1,000を超えるRADIUSユーザーを運用する際は、WLX413を複数台設置することをおすすめします。

認証方式に「WPA3-EAP」、プライマリRADIUSサーバーに「内蔵のRADIUSサーバーを使用する」を選択します。

仮想コントローラーのWeb GUIで [拡張機能] - [RADIUSサーバー]を開き、RADIUSサーバー機能で「使用する」を選択します。

仮想コントローラーのWeb GUIで [拡張機能] - [RADIUSサーバー]を開き、"新しいユーザーを追加する"の追加ボタンをクリックします。

ユーザー情報を入力し、"設定"をクリックします。

"設定"をクリックすると [拡張機能] - [RADIUSサーバー] のページに戻ります。設定したユーザー情報が追加されていることが確認できます。

仮想コントローラーのWeb GUI [拡張機能] - [RADIUSサーバー]で、 "CSVファイルへエクスポート" の実行ボタンをクリックします。

エクスポートしたCSVファイルを開くと、既に設定されたユーザーの情報が見えます。この情報に習い、新たなユーザーを追加します。
CSVファイルを編集したら、ファイルの保存を行います。

保存したファイルを仮想コントローラーに読み込みます。
仮想コントローラーのWeb GUI [拡張機能] - [RADIUSサーバー]で、 "CSVファイルからインポート" の実行ボタンをクリックすると、CSVファイルのインポートページへ移動します。
このページで編集し保存したCSVファイルを指定し、"設定"ボタンをクリックします。

"設定"をクリックすると [拡張機能] - [RADIUSサーバー] のページに戻ります。CSVファイルで設定したユーザー情報が追加されていることが確認できます。