RADIUSサーバー機能

WLX313は無線LANコントローラー機能を中心にシステムを構成することを基本としているため、 RADIUSクライアントも無線LANコントローラー機能を通して設定されます。 すなわち無線LANコントローラー機能のグループ設定を通してシステムを構成した場合は、Member-APが、Controller-APのRADIUSサーバーに接続するRADIUSクライアントとして自動的に設定されます。

また、RADIUSクライアントは個別にIPアドレスで指定できます。
RADIUSクライアントは50件まで設定することができ、それぞれ異なるシークレットを指定可能です。
VAPの認証設定において、当該APに内蔵の RADIUSサーバーを指定した場合は、本設定が無くても RADIUSクライアントから接続が可能です。

RADIUSユーザーごとの設定項目は以下の通りです。
無線の認証に証明書を用いる場合は、証明書を発行するための設定もRADIUSユーザーごとに必要になります。

CSVファイルを用いて、RADIUSユーザーを一括して登録、削除、設定変更できます。
特に多数の無線利用者がいる場合や、たとえば学校など無線利用者が一斉に入れ替わるような場合に、まとめてRADIUSユーザーを編集できます。

CSVファイルを用いてRADIUSユーザーを編集するときは、まず既存の設定をエクスポートし、 そのファイルに編集を加えてからインポートして書き戻す手順となります。
もしRADIUSユーザーが1件も登録されていないときエクスポートすると、空項目だけのCSVファイルが出力されます。

CSVファイルではそれぞれの１行が１RADIUSユーザーに対応しています。
コメント行に各カラムにどのパラメーターを入力すべきか表示されていますので、そのコメント行に従ってカラムを埋めてください。

ルート認証局とは、クライアント証明書とサーバー証明書の発行元です。
本製品ではController-AP上にルート認証局を設置する構成となります。

本製品におけるルート認証局の設置と削除のタイミングは以下の通りです。

最初に設置したルート認証局を一貫して保持し続ける必要がありますので、不用意に削除してしまわないようご注意ください。
また万一削除してしまった場合に備えて、後述のバックアップをあらかじめ行っておくよう対策をお願いします。

一度ルート認証局を削除してしまうと、再設置しても以前とは異なる認証局になります。
もしバックアップ前にルート認証局を削除してしまった場合、それ以降は無線利用者の増減があっても証明書の追加/失効はできません。 証明書の発行を最初からすべてやり直すことになります。

なおサーバー証明書に関しては、本機能のRADIUSサーバーに対し認証局からサーバー証明書が自動的に発行されます。
サーバー証明書の発行・削除については、上記ルート証明書のそれぞれ設置・削除のタイミングで同時に行われます。

メール通知の設定と、各RADIUSユーザーのメールアドレスの設定が必要です。
Web設定画面のRADIUSユーザー情報管理のページで「発行と送信」のボタンを押すと、まず未発行のユーザーに対し証明書の発行処理が行われ、その後証明書がメール添付で送信されます。
もしくは、すでに発行済みの証明書を選んでメールで送信することもできます。
その場合は、Web設定画面のRADIUSユーザー情報管理のページで「証明書」のボタンを押して表示される証明書ページで、当該証明書の「証明書送信」ボタンを押して送信してください。

証明書ファイルを管理者の方がダウンロードし、何らかの方法で利用者にお渡しいただく方法です。
あらかじめWeb設定画面のRADIUSユーザー情報管理のページで証明書の発行だけ行っておきます。その後上記RADIUSユーザーごとの証明書ページで、発行済み証明書の「ダウンロード」ボタンを押して証明書をダウンロードしてください。

証明書には期限が設定されており、期限を過ぎると自動的に失効し使用できなくなります。
たとえば急な退職など、期限前に無線利用者の証明書を失効させたい場合は、RADIUSユーザーごとの証明書ページで当該証明書の「証明書失効」ボタンを押してください。
失効させた証明書は証明書ページに表示されなくなります。

本製品では、発行済みのクライアント証明書を一括でダウンロードできます。
Web設定画面のRADIUSユーザー情報管理のページで「全ユーザーの最新の発行済証明書をダウンロードします」の「ダウンロード」ボタンを押してください。
ダウンロードされるファイル名は「user_cert.zip」です。

証明書発行・管理機能を継続運用するのに必要なデータは、コンフィグのバックアップファイルに含まれます。
バックアップとリストアは、設定 (保存 / 復元)ページで行うことができます。

バックアップは、「現在の設定をファイルへ出力」の「実行」ボタンを押してください。
リストアは、「リストアする設定ファイル」の「ファイルを選択」でバックアップしたファイルを選択し、設定と一緒にリストアする場合は「設定と証明書の両方をリストアする」を、証明書のみリストアする場合は「証明書のみリストアする」を選択してから、「設定をリストアする」の「実行」ボタンを押してください。

バックアップファイルは漏えいしないよう厳重に管理してください。
バックアップファイルにはルート認証局の情報が含まれるため、万一漏れた場合は不正に証明書を発行され、当該無線LANシステムに侵入される恐れがあります。

さらに、本バックアップ機能には以下の注意点があります。

無線LANコントローラーのコンフィグ送信機能を使用すると、本機能は以下の通り自動構成されます。

無線端末は、Controller-APのRADIUSサーバー機能で一括して認証される構成に設定されます。
各Member-APは、Controller-APのRADIUSクライアントとして設定されます。
代替コントローラーを指定した場合は、VAPの設定で、自動的にプライマリRADIUSサーバーがController-AP、セカンダリRADIUSサーバーが代替コントローラーに設定されます。

上記Controller-APをプライマリRADIUSサーバー、代替コントローラーをセカンダリRADIUSサーバーとして運用する構成の場合、 代替コントローラーでは Controller-APで発行されたサーバー証明書を使用する必要があります。 事前にController-APの証明書発行・管理機能から代替コントローラーへサーバー証明書を渡しておく必要がありますので、 RADIUSサーバーの切り替えが発生する前に、あらかじめ証明書を渡しておくようにしてください。
具体的な手順は無線LANコントローラー機能の技術資料を参照してください。

認証方式に「WPA2-EAP」、プライマリRADIUSサーバーに「内蔵のRADIUSサーバーを使用する」を選択します。

無線利用者のクライアント証明書をメールで配布する場合は、事前にメールサーバーの設定をしておきます。

すでに設定されているRADIUSユーザーの情報が" radius_user.csv "というファイル名で出力されます。

「発行と送信」ボタンを押すと、上記新たに追加されたユーザーに対してのみ、新規に証明書が発行されメールが送信されます。
（もしも上記で既存ユーザーの情報を書き換えると、当該ユーザーにも新たに証明書が発行されます）

無線利用者には、メールの添付ファイルとして証明書が届きます。
証明書のインストール方法はそれぞれ無線端末のOSによって異なります。

Windowsの場合は、メールに添付されているzipファイルを開いて出てくる証明書ファイルをダブルクリックすることでインストールされます。
証明書ファイルのファイル名は「(証明書番号).p12」です。

インストール時にはパスワード入力を求められますので、管理者の方があらかじめ何らかの方法で無線利用者にパスワードを伝えておいてください。
ここで入力するパスワードは、CSVファイル上で「パスワード」のカラムに入力したパスワードです（上記の例では"password"）