RADIUSを使用したログインユーザーの管理

$Date: 2025/11/12 15:57:07 $

• 概要
• 制限事項
• 対応機種とファームウェアリビジョン
• 詳細
• コマンド
• 設定例
• SYSLOGメッセージ一覧
• 参考情報

概要

ルーターにログインするユーザーを、RADIUSサーバーと連携して管理することができます。従来ルーターのコマンドで指定していた以下の情報をRADIUSサーバーに登録します。

• ユーザー名とパスワード (login user)
• 管理パスワード (administrator password)
• カスタムGUIにおけるユーザーごとのディレクトリおよびインデックス (httpd custom-gui user)

ルーターは、設定に応じてユーザーの認証時にRADIUSサーバーへ問い合わせを行います。

本ドキュメントでは、従来の機能との差分を中心に説明します。各機能の詳細については参考情報に掲載されているそれぞれのドキュメントを参照してください。

制限事項

• RADIUSアカウンティングには対応していません。
• 無名ユーザーの認証にRADIUSサーバーを使用することはできません。

対応機種とファームウェアリビジョン

以下の機種およびファームウェアリビジョンで、ログインユーザーの管理にRADIUSを使用することができます。

動作確認済みRADIUSサーバー

以下のRADIUSサーバーで動作確認を行っています。

• Steel-Belted Radiusエンタープライズ・エディション Version 5.4.0
• FreeRADIUS Version 1.1.5

詳細

事前に設定が必要なコマンド

当機能を使用するには、事前に以下のコマンドを設定する必要があります。なお、各コマンドの詳細についてはコマンドリファレンスを参照してください。

radius auth on

RADIUS認証を使用する設定にします。

radius auth server SERVER

RADIUS認証サーバーを設定します。

radius auth port PORT

RADIUS認証サーバーのUDPポート番号を設定します。

radius secret SECRET

RADIUSシークレットを設定します。

以降の説明では、上記のコマンドがいずれも正しく設定されているものとします。

認証動作

コンソール

コンソールへログインする際の接続方法としてはシリアル、TELNET、SSH、リモートセットアップがあります。

ログイン時の認証動作は以下の通りです。

• 入力されたユーザー名がlogin userコマンドで登録されている場合、当コマンドの設定に従ってローカルで認証を行います。
• 入力されたユーザー名がlogin userコマンドで登録されておらず、かつlogin radius useコマンドがonに設定されている場合、RADIUSサーバーへの問い合わせを行います。
• 入力されたユーザー名がlogin userコマンドで登録されていて、パスワードが一致せず認証エラーとなった場合でも、RADIUSサーバーへの問い合わせは行いません。

シリアル、TELNET、リモートセットアップによる接続で、最初にパスワード入力のプロンプト (Password:) が表示された時は、何も入力せずにEnterキーを押下してください。login userコマンドが設定されている場合、もしくはlogin radius useコマンドがonに設定されている場合は、続けてユーザー名入力のプロンプト (Username:) が表示されます。

administratorコマンドで管理ユーザーへ移行する際の認証動作は以下の通りです。

• administrator radius authコマンドがoffに設定されている場合、入力されたパスワードとadministrator passwordコマンドで設定された管理パスワードを比較します。
• administrator radius authコマンドがonに設定されている場合、最初に、入力されたパスワードとadministrator passwordコマンドで設定された管理パスワードを比較します。パスワードが一致しなかった場合はRADIUSサーバーに問い合わせを行います。
• administrator radius authコマンドがonlyに設定されている場合、RADIUSサーバーへの問い合わせのみを行います。administrator passwordコマンドで設定された管理パスワードとの比較は行いません。
• administrator radius authコマンドがonlyに設定されていても、radius authコマンドがoffに設定されている場合は、入力されたパスワードとadministrator passwordコマンドで設定された管理パスワードの比較を行います。RADIUSサーバーへの問い合わせは行いません。

RADIUSサーバーへの問い合わせを行なう際のユーザー名は*administratorとなります。この名前を変更することはできません。

ローカル認証でログインしたユーザーがRADIUS認証で管理ユーザーへ移行する、またはRADIUS認証でログインしたユーザーがローカル認証で管理ユーザーへ移行することも可能です。

SFTP/HTTP

ログイン時の認証動作において、RADIUSサーバーに問い合わせを行う条件はコンソールの場合と同様です。

RADIUS認証でログインしたユーザーの権限が一般権限と管理権限のどちらになるかは、サーバーから送信されるAccess-Acceptに含まれるService-Type属性の値によって決定されます。Service-Type属性の値がLoginの場合は一般権限、Administrativeの場合は管理権限となります。

login userコマンドで登録されているユーザーがRADIUSサーバーに登録されている管理パスワード (ユーザー名*administratorとして登録されているパスワード) でログインする、もしくはRADIUSサーバーに登録されているユーザーがadministrator passwordコマンドで設定された管理パスワードでログインすることはできません。

通常のGUIにおいて、RADIUS認証で管理権限としてログインしたユーザーは、一般向けページと管理者向けページのどちらにもアクセスすることができます。一般権限としてログインしたユーザーは一般向けページのみアクセスすることができます。なお、かんたん設定ページにログインするには管理権限が必要となります。RADIUSサーバーにユーザーを登録する場合、Service-Type属性の値をAdministrativeに設定してください。

カスタムGUIにおいて、RADIUS認証で管理権限としてログインしたユーザーは、ユーザーの個別ページへのアクセス、および管理権限を必要とするコマンドを含むすべてのコマンドの実行が可能です。一般権限としてログインしたユーザーは、管理権限を必要とするコマンドを実行できません。

httpd custom-gui userコマンドで設定していたユーザーごとのディレクトリおよびインデックスを、RADIUSサーバーに登録することができます。使用する属性はVendor-Specificとなります。詳細はRADIUSの属性についてをご覧ください。

TFTP

TFTPでファイルの読み出し/書き込みをする際、管理パスワードの認証にRADIUSを使用することができます。対応する項目は以下の通りです。

• 実行中設定ファイル (config)
• RTFS領域のファイル
• 外部メモリ内のファイル

RADIUSサーバーへの問い合わせを行なう際のユーザー名は*administratorとなります。パスワードはローカル認証の場合と同様、パスの後のスラッシュ (/) に続けて入力します。

RADIUSサーバーに問い合わせを行う条件は、コンソールにおいてadministratorコマンドで管理ユーザーに移行する場合と同様です。

RTFS領域のファイルまたは外部メモリ内のファイルに対して読み出し/書き込みをする際、パスワードにスラッシュ ('/') が含まれていると、ルーターからAccess-Requestを複数回送信することになるため注意が必要です。これは、次のような理由によるものです。

ファイルのパスと管理パスワードはスラッシュ ('/') で区切りますが、RTFS領域のファイルまたは外部メモリ内のファイルは、ファイルのパスにスラッシュ ('/') が含まれることがあるため、管理パスワードがどこから始まるのか正確に識別することができません。このためルーターは、最後のスラッシュ ('/') 以降の文字列をパスワードとしてRADIUS認証し、失敗したらその前にあるスラッシュ ('/') 以降の文字列を管理パスワードとして再度認証するという動作を、認証に成功するまで繰り返します。

例として、RADIUSサーバーに登録している管理パスワードがabc/defである場合の動作を説明します。ここでは、ルーターの/test/remote.txtに対してlocal.txtというファイルを書き込むものとします。

Windowsのコマンドプロンプトから、以下のコマンドを実行します。

C:\>tftp 192.168.100.1 put local.txt /test/remote.txt/abc/def

通信手順は以下の通りです。

1. ルーターは、RADIUSサーバーにAccess-Requestを送信します。ユーザー名は*administrator、パスワードはdefです。
2. パスワードが一致しないため、RADIUSサーバーはルーターにAccess-Rejectを送信します。
3. 認証に失敗したため、ルーターはパスワードを変更してRADIUSサーバーにAccess-Requestを送信します。ユーザー名は*administrator、パスワードはabc/defです。
4. パスワードが一致したため、RADIUSサーバーはルーターにAccess-Acceptを送信します。

上記の通り、パスワードにスラッシュ ('/') が含まれていると、ユーザーが正しいパスワードを入力しても、RADIUS認証の処理で認証エラーが必ず発生します。このため、例えばRADIUSサーバーで認証エラーの回数を記録している場合などは、パスワードにスラッシュ ('/') を使用しないでください。

RADIUSの属性について

ルーターからRADIUSサーバーへ送信する属性

Access-Requestには以下の属性が含まれます。

• User-Name
• User-Password
• NAS-IP-Address

パスワードの認証方式はPAPです。

ルーターがRADIUSサーバーに送信するユーザー名、パスワードには以下の制限があります。

管理パスワードを認証する際、User-Name属性の値は*administratorとなります。

RADIUSサーバーからルーターへ送信する属性

コンソール/TFTPでの認証時、Access-Acceptに含まなければならない属性はありません。

HTTP/SFTPでの認証時、Access-AcceptにはService-Type属性が必須です。また、値はLoginまたはAdministrativeのいずれかでなければなりません。Service-Type属性が含まれない、または含まれていても値が前記のいずれでもない場合は認証エラーになります。

カスタムGUIでの認証時、ユーザーごとのディレクトリとインデックスの指定はVendor-Specific属性で行ないます。

ベンダIDは以下の通りです。

ベンダ属性番号には以下のものがあります。

Yamaha-Custom-GUI-User-Directory属性の値に相対パスを指定した場合、環境変数PWDを基点としたパスと解釈されます。

Yamaha-Custom-GUI-User-Index属性の値にスラッシュ (/) を含む文字列を指定することはできません。含んでいる場合は認証エラーになります。

Access-AcceptにYamaha-Custom-GUI-User-Directory属性が含まれるユーザーはカスタムGUIを使用するユーザー、含まれないユーザーは通常のGUIを使用するユーザーとなります。ただし、httpd custom-gui useコマンドの設定がoffの場合は、Yamaha-Custom-GUI-User-Directory属性が含まれるユーザーも通常のGUIを使用するユーザーとなります。

Yamaha-Custom-GUI-User-Index属性は省略可能です。省略した場合はindex.htmlがインデックスのファイル名となります。

FreeRADIUS用の辞書ファイルを以下からダウンロードできます。使用方法については設定例を参照してください。

dictionary.yamaha

Access-Acceptにルーターで使用しない属性が含まれている場合、その属性は無視されます。

ユーザー属性の設定

RADIUS認証でログインするユーザーの属性を設定するには、user attributeコマンドのユーザー名に*radiusを指定します。なお、これはRADIUS認証でログインするすべてのユーザーに適用される設定で、ユーザーごとに個別の設定を行なうことはできません。

HTTP/SFTP接続での認証時、Service-Type属性の値がAdministrativeであっても、user attributeコマンドのadministrator属性の値がoffに設定されている場合は認証エラーになります。

ルーターにログインしているユーザーはshow status userコマンドで確認することができます。RADIUS認証でログインしたユーザーは、ユーザー名の前にアットマーク (@) が表示されます。

コマンド

ログイン時のパスワード認証にRADIUSを使用するか否かの設定

設定例

当機能の使用方法について、ルーターおよびRADIUSサーバーの設定例を紹介します。RADIUSサーバーにはFreeRADIUSを使用します。

ネットワーク構成について

紹介する設定例において、ネットワーク構成は次の通りです。

• RADIUSサーバーはルーターのLAN1に接続されています。
• ルーターのLAN1のIPアドレスは192.168.100.1/24です。
• RADIUSサーバーのIPアドレスは192.168.100.10/24です。
• RADIUSシークレットはyamahaとします。

FreeRADIUSの事前設定

以降の説明において、各設定ファイルへのパスは環境により異なる場合があります。

設定ファイルを更新した場合は、変更内容を反映させるために以下のコマンドでデーモンを再起動してください。

# /etc/rc.d/radiusd restart

クライアント情報の登録

RADIUSクライアントのIPアドレスとRADIUSシークレットを登録します。RADIUSクライアントのIPアドレスはルーターのLAN1のIPアドレスになります。/etc/clients.confに以下を追加してください。

client 192.168.100.1 {
        secret          = yamaha
        shortname       = yamaha-router
}

なお、shortnameの値は任意です。

Vendor-Specific属性の登録

カスタムGUIでVendor-Specific属性を使用するために、辞書ファイルを設定します。dictionary.yamahaをダウンロードし、/usr/share/freeradius以下に保存してください。次に、/usr/share/freeradius/dictionaryに以下を追加してください。

$INCLUDE dictionary.yamaha

設定例1

以下の通り、ルーターにコンソールからログインするユーザーを登録します。

管理ユーザーへの移行時、RADIUS認証のみを行なうものとします。管理パスワードはadminです。

ルーターの設定

login user user-local ul
login radius use on
administrator radius auth only
ip lan1 address 192.168.100.1/24
radius auth on
radius auth server 192.168.100.10
radius auth port 1812
radius secret yamaha

各コマンドの意味は以下の通りです。

login user user-local ul

user-localという名前のユーザーを登録します。パスワードはulです。

login radius use on

ログイン時のパスワード認証にRADIUSを使用します。

administrator radius auth only

管理ユーザーへの移行する際のパスワード認証にRADIUSのみを使用します。

ip lan1 address 192.168.100.1/24

LAN1のIPアドレスを192.168.100.1/24に設定します。RADIUSサーバーの/etc/clients.confに記述するクライアントのIPアドレスと一致させる必要があります。

radius auth on

RADIUSによる認証を使用します。

radius auth server 192.168.100.10

RADIUS認証サーバーのIPアドレスは192.168.100.10です。

radius auth port 1812

RADIUS認証サーバーのポート番号は1812 (UDP) です。

radius secret yamaha

RADIUSシークレットをyamahaに設定します。RADIUSサーバーの/etc/clients.confに記述するRADIUSシークレットと一致させる必要があります。

RADIUSサーバーの設定

/etc/raddb/usersに以下を追加します。

"user-radius1"          Auth-Type := Local, User-Password=="ur1"

"user-radius2"          Auth-Type := Local, User-Password=="ur2"

"*administrator"        Auth-Type := Local, User-Password=="admin"

設定例2

HTTPでのみアクセスできるユーザーをRADIUSサーバーに登録します。

ルーターの設定

user attribute *radius connection=http
login radius use on
ip lan1 address 192.168.100.1/24
radius auth on
radius auth server 192.168.100.10
radius auth port 1812
radius secret yamaha
httpd custom-gui use on

各コマンドの意味は以下の通りです。

user attribute *radius connection=http

RADIUS認証でログインするユーザーはHTTPでのみルーターにアクセスすることができます。

login radius use on

ログイン時のパスワード認証にRADIUSを使用します。

ip lan1 address 192.168.100.1/24

LAN1のIPアドレスを192.168.100.1/24に設定します。RADIUSサーバーの/etc/clients.confに記述するクライアントのIPアドレスと一致させる必要があります。

radius auth on

RADIUSによる認証を使用します。

radius auth server 192.168.100.10

RADIUS認証サーバーのIPアドレスは192.168.100.10です。

radius auth port 1812

RADIUS認証サーバーのポート番号は1812 (UDP) です。

radius secret yamaha

RADIUSシークレットをyamahaに設定します。RADIUSサーバーの/etc/clients.confに記述するRADIUSシークレットと一致させる必要があります。

httpd custom-gui use on

カスタムGUIを使用します。

RADIUSサーバーの設定

/etc/raddb/usersに以下を追加します。

"user-general"          Auth-Type := Local, User-Password=="ug"
                        Service-Type = Administrative-User

"user-custom1"          Auth-Type := Local, User-Password=="uc1"
                        Service-Type = Administrative-User,
                        Yamaha-Custom-GUI-User-Directory = "/gui/user-custom1"

"user-custom2"          Auth-Type := Local, User-Password=="uc2"
                        Service-Type = Login-User,
                        Yamaha-Custom-GUI-User-Directory = "/gui/user-custom2",
                        Yamaha-Custom-GUI-User-Index = "default.html"

SYSLOGメッセージ一覧

RADIUS認証でユーザーがルーターにログインした場合、INFOレベルで以下のSYSLOGが出力されます。

参考情報

• TELNET複数セッション機能、SSHサーバー機能
• RTFS
• カスタムGUI
• SFTPサーバー機能
• RADIUS って何?
• IPsec XAUTH 認証機能