Cisco ACI で外部認証を利用する方法、及び関連サーバの構築方法に関して以下のエントリーを記載しました。
現在は ACI も 5.x 系までバージョンアップしており、以前に書いたエントリー時点から設定方法も少しだけ変わっています。 今回は改めて 5.x 系での RADIUS 認証設定方法をメモしておきます。
以前に Samba4 / FreeRADIUS3 / Keycloak6 の構築に関して、下記のメモを書きました。
今回はこれらを整理し、改めて「Samba4 + Keycloak6 + FreeRADIUS3」環境構築手順をメモしておきます。
以前に Cisco IOS ルータへの Radius ログイン時、自動的に特権モードにするにはというメモを書きましたが、これでは設定として不十分な為、新たに「Cisco IOS ルータへ Radius 認証でログインする」方法に関して、メモを書き直します。
最近は殆どの製品が ActiveDirectory / LDAP に対応していますが、古いバージョンの Cisco Catalyst は「対話側ログイン時には LDAP を利用出来ない (Radius は利用出来る)」といった具合に、「一部の機能では ActiveDirectory / LDAP が利用出来ない」というケースが存在します。 かと言って ActiveDirectory / Radius を別々に構築してしまうとデータを二重管理することになり、面倒です。 こういった場合は以下のような構成を取ることも可能です。
今回はこういった構成を取る場合の FreeRADIUS 構築例をメモしておきます。
daloRadius は FreeRADIUS の管理を Web GUI で実施出来るようにしてくれるソフトウェアです。 今回は CentOS7 上に daloRadius をインストールする手順をメモしておきます。
Cisco ACI へのログイン時に RADIUS 認証されるように設定する方法をメモしておきます。
Cisco IOS へのログインに RADIUS を利用する際の設計ポイントと実際の設定例をメモしておきます。検証には VIRL 上の IOSv 15.6(2)T を利用しました。以下の点に留意して設計していきます。
F5 Networks の BIG-IP でログイン認証を Radius に変更する手順をメモしておきます。
CentOS7 に FreeRadius をインストールした際の手順をメモしておきます。
RADIUS サーバの構築後にテストを実施する際、「実際に RADIUS クライアントとして設定したネットワーク機器やサーバへ SSH ログインし、RADIUS サーバで上手く認証されるか？を確認する」ことは、もちろん可能です。しかし、他にも（実際のログイン処理では無く）『テストコマンドで RADIUS 認証の挙動を確認する』方法があります。まずはテストコマンドで動作を確認し、上手くいったら実際のログインテストを試す… というのが最もスマートだと思います。メジャーなところでは以下のような方法があります。
今回はこれらの RADIUS のテスト方法について記載してみます。RADIUS サーバには MikroTik の RouterOS を使いました。