RADIUS シングルサインオンについて

RADIUS は、ユーザー認証のためのクライアントサーバープロトコルです。RADIUS 認証の場合、ユーザーはユーザー名かパスワードのいずれかを提供します。または、そのデバイスにデジタル証明書が入っている必要があります。ワイヤレスアクセスポイントまたは他の RADIUS クライアントでのユーザー認証のために RADIUS を使用する場合、およびファイアウォールポリシーにより、特定のユーザーまたはグループへの送信トラフィックが制限されている場合は、ユーザーはネットワークリソースまたはインターネットに接続する前に、手動で再度ログインして、Firebox で認証を受ける必要があります。RADIUS シングルサインオン（RSSO）を利用すると、ユーザーが RADIUS クライアントで認証を行った際に自動的に認証されるため、ユーザーのログインプロセスを簡素化することができます。RADIUS SSO では、信頼済みまたは任意ネットワーク上のユーザーはユーザー認証情報を 1 回入力する (ワイヤレスアクセスポイントまたは他の RADIUS クライアントに接続するとき) だけで、Firebox から自動的に認証されるようになります。

RADIUS SSO では、Firebox で RADIUS 認証を有効化する必要がありません。RADIUS SSO の場合、ユーザーは個別の RADIUS クライアント (通常、802.1X ポートを用いた認証によって構成された内部ネットワークのワイヤレスアクセスポイントかスイッチ) で認証を受けます。RADIUS クライアントは RADIUS サーバーと通信してユーザーを認証するため、Firebox で RADIUS 認証を有効化する必要がないのです。ユーザーが認証されると、その旨を伝えるアカウンティングメッセージが RADIUS サーバーから Firebox に転送され、Firebox で自動的にそのユーザーのファイアウォールセッションが作成されます。

RADIUS SSO の要件

ワイヤレスアクセスポイントまたは RADIUS アカウンティングメッセージに必要な情報が含まれている他の RADIUS クライアントで、RADIUS シングルサインオンを使用することができます。RADIUS SSO が正常に機能するには、RADIUS クライアントにより送信される RADIUS 開始、停止、、および 中間更新 アカウンティングメッセージに以下の属性が含まれている必要があります。

User-Name — 認証済みユーザーの名前
Framed-IP-Address — 認証済みユーザーのクライアント IP アドレス

AP ファームウェアの最新バージョンを使用する WatchGuard の AP デバイスではこれらの要件が満たされています。また、これらの要件をサポートする他のワイヤレスアクセスポイントでも RADIUS SSO が正常に機能するはずです。

一部のアクセスポイントでは、ユーザーが認証されるまで、クライアント IP アドレスが割り当てられません。これらのアクセスポイントでは、開始アカウンティングメッセージに Framed-IP-Address 属性が含まれていない可能性があります。ユーザーが認証されると、直ちにアクセスポイントから Framed-IP-Address 属性が含まれる 中間更新 アカウンティングメッセージが送信されます。開始メッセージに Framed-IP-Address 属性が含まれていなくても、RADIUS SSO は正常に機能します。

アカウンティングプロキシ

Microsoft Windows Server での RADIUS アカウンティングプロキシの構成方法については、Microsoft のマニュアルを参照してください。

チェックリスト：NPS を RADIUS プロキシとして構成する — Microsoft Windows Server 2012 および 2012 R2
NPS を RADIUS プロキシとして計画する — Microsoft Windows Server 2016

RADIUS SSO の仕組み

ユーザーが接続し、ワイヤレスアクセスポイントなどの RADIUS クライアントから認証を受けると、RADIUS クライアントから RADIUS サーバーにアカウンティングメッセージが送信されます。RADIUS サーバーから Firebox にこれらのアカウンティングメッセージが送信され、指定されたクライアント IP アドレスでユーザーのファイアウォールセッションが Firebox で作成されます。ユーザーが切断されると、RADIUS サーバーから Firebox にアカウンティングメッセージが送信され、Firebox でユーザーセッションが削除されます。

WatchGuard の AP デバイスにおける RADIUS SSO の図

WatchGuard AP デバイスにおける RADIUS シングルサインオン

ワイヤレスクライアントがワイヤレスアクセスポイントで WPA / WPA2 認証を使用する場合：

ワイヤレスクライアントからアクセスポイントにユーザーアクセス認証が送信されます。
アクセスポイントと RADIUS サーバーで、ユーザーセッションが確立されます。
- アクセスポイントから、ユーザー認証を使用して、RADIUS サーバーに アクセス要求 メッセージが送信されます。
- RADIUS サーバーで要求が処理され、アクセスポイントに アクセス許可 または アクセス拒否 メッセージが送信されます。
- アクセスポイントが アクセス許可 メッセージを受信すると、ユーザーセッションが確立されます。
- AP デバイスから RADIUS サーバーに、RADIUS 開始アカウンティングメッセージが送信されます。
RADIUS サーバーから Firebox に、ユーザー名と IP アドレスが入った RADIUS 開始アカウンティングメッセージが送信されます。
Firebox がユーザー名と IP アドレスが入った開始アカウンティングメッセージを受信すると、ユーザーのファイアウォールセッションが作成されます。

ファイアウォールセッションを維持するには、以下の手順を実行します：

ユーザーが接続されている間に、AP デバイスから RADIUS サーバーに、中間更新 アカウンティングメッセージが送信されます。
RADIUS サーバーから Firebox に、中間更新 メッセージが送信されます。
Firebox が有効期限が切れたセッションの 中間更新 メッセージを受信すると、Firebox で再びファイアウォールセッションが作成されます。

ワイヤレスクライアントがワイヤレス AP デバイスから切断された場合：

AP デバイスから RADIUS サーバーに、停止アカウンティングメッセージが送信されます。
RADIUS サーバーから Firebox に、停止アカウンティングメッセージが送信されます。
Firebox でユーザーのファイアウォールセッションが削除されます。

RADIUS SSO セッションおよびアイドルタイムアウト

Firebox は、RADIUS シングルサインオン (RSSO) 構成で指定されているセッションとアイドルタイムアウトに基づいて、ファイアウォールセッションを終了することができます。セッションタイムアウトに指定されている時間が経過した後もユーザーがワイヤレスアクセスポイントに接続されたままの状態の場合は、Firebox でユーザーセッションが再度確立されるまで、そのユーザーからのトラフィックは許可されません。セッションの有効期限が切れた後は、以下の 2 つの方法で Firebox により再びセッションが作成されます。

RADIUS サーバーから Firebox に、そのセッションの 中間更新 メッセージが送信される。
ユーザーが切断されて再度 AP デバイスに接続された後、RADIUS サーバーから Firebox に、開始アカウンティングメッセージが送信される。

RADIUS SSO および Active Directory SSO

RADIUS シングルサインオンと Active Directory シングルサインオンの両方を同時に有効化することができます。同じ IP アドレスで Active Directory SSO により作成されたユーザーの既存のセッションを RADIUS SSO セッションで置き換えることはできません。

不整合を回避するため、同じサブネットまたは IP 範囲のユーザーに対して両方を有効化しないことをお勧めします。何らかの理由で、同じサブネットで両方の SSO タイプを有効化する必要がある場合は、RADIUS SSO または Active Directory SSO の設定で、IP アドレスを 例外リスト に追加します。こうすることで、意図された認証方法が特定の IP アドレスから使用されていることを確認することができます。

RADIUS SSO および認証ポータル

ユーザーが RADIUS SSO で認証を受けた場合、そのユーザーまたは別のユーザーは同じ IP アドレスから認証ポータルで認証を受けることができ、別のドメインを選択することができます。また、ユーザーが RADIUS SSO で Firebox により認証され、別のユーザーが同じ IP アドレスから認証ポータルで認証を受けた場合は、RADIUS SSO セッションが認証ポータルセッションにより置き換えられます。ユーザーが認証ポータルを介して Firebox により認証され、別のユーザーが同じ IP アドレスから RADIUS SSO で認証を受けようとした場合は、RADIUS SSO との 2 番目のセッションは作成されません。

認証ポータルからのユーザー認証の詳細については、次を参照してください：ユーザー認証の手順。

RADIUS シングル サインオンについて