ネットワークデバイスの管理用パスワードを集中管理しよう（後編）：Windows Server 2012 ×「ちょっとだけ連携」でネットワーク管理を便利に（4）（3/3 ページ）

TelnetおよびSSHによる接続と確認

　Windowsクライアントから、ネットワークデバイスにTelnetでログインし、RADIUS認証が正しく行われるかを、実際に確認してみましょう。ここでは、Telnet、SSHの順に接続を確認します。

Telnetによる接続と確認

　最初に、Windows標準のTelnetクライアント機能を使ってネットワークデバイスに接続し、RADIUSによる認証が正しく行われるかを確認します。

　次の例では、Windows標準のTelnetクライアント機能を使って、シスコのL3スイッチに接続を行っています（シスコ ISRルータも同様の手順で接続できます）。

C:\>telnet 10.1.1.254
　　接続先ネットワークデバイスのIPアドレスを指定します。レイヤ2スイッチに接続する場合は、接続先IPアドレスをレイヤ2スイッチに割り当てたIPアドレスにしてください
User Access Verification
Username: netadmin1
　　前回作成した、ネットワークデバイス管理者用のユーザーログオン名とパスワードを指定します。ここでは［Username:］にnetadmin1、［Password:］にP@ssw0rdを指定します。
Password:
　　入力後［Enter］キーを押します（パスワードを入力しても、画面には何も表示されません。）。
L3SW1>enable
　　ユーザーモードのプロンプトが表示されるため、RADIUSサーバによる認証、承認が行われ、ログインに成功したことが分かります。ログイン後は、通常のコマンド操作が行えます。
L3SW1>#logout
　　接続を切断する場合は、logoutコマンドを実行します。
ホストとの接続が切断されました。
C:\>
　　接続の切断に成功すると、Windowsのプロンプトが表示されます。

　アライドテレシスのスイッチに接続する場合は、次のように表示されます。

C:\>telnet 10.1.1.254
　　スイッチに割り当てたIPアドレスを指定します。
TELNET session now in ESTABLISHED state
 login: netadmin1
Password:
　　前回作成したネットワークデバイス管理者用のユーザーログオン名とパスワードを指定します。ここでは［login:］にnetadmin1、［Password:］にP@ssw0rdを指定します。
Manager >
　　権限レベル（Manager）がプロンプトに表示されたため、RADIUSサーバによる認証、承認が行われ、権限レベルが通知されたことが分かります。
Manager > logout
　　接続を切断する場合は、logoutコマンドを実行します。
ホストとの接続が切断されました。
C:\>
　　接続の切断に成功すると、Windowsのプロンプトが表示されます。

　netadmin1としてログインできているかを確認するには、シスコの場合はshow users、アライドテレシスの場合はshow userコマンドを実行します。実行結果のうち、枠で囲まれている行を確認すると、ログイン中のユーザー情報が確認できます。

＜シスコの場合＞

＜アライドテレシスの場合＞

　なお、Telnetを使用するとTelnetクライアントとネットワークデバイス間は一切暗号化されませんが、RADIUSの仕様で、RADIUSクライアント（ネットワークデバイス）がRADIUSサーバにユーザーの認証情報を中継するときに、ユーザーのパスワードだけは暗号化されます。次の図は、RADIUSサーバにMicrosoft Network Monitorというパケットモニタリングツールを使って、RADIUSクライアントであるL3SW1が、RADIUSサーバにnetadmin1の認証情報としてユーザー名とパスワードを転送しているときのパケットを表示しています。

画面7

　図の（1）（2）を参照すると、ユーザー名は暗号化されていないためnetadmin1という文字列がそのまま表示されていますが、パスワードは読み取れないため暗号化されていることが分かります。また、（3）を見ると、RADIUS認証でUDPポート1645を使用していることが分かります。これは、もともとRADIUSでは認証に1645、アカウンティングに1646を使用していましたが、datametricsというサービスと競合したためRFC 2865によってRADIUS認証にポート1812を、RFC 2865によってRADIUSアカウンティングにポート1813が正式に割り当てられた経緯があるためです。

　シスコやアライドテレシスでは、ポート番号を省略した場合、デフォルトのRADIUS認証用のポートとしてUDP 1645が使用されます。Windowsのネットワークポリシーサーバが提供しているRADIUSサーバ機能は、UDPポート1645、1646、1812、1813がデフォルトで有効化されるため、このままでも問題はありませんが、変更する場合は、次のように指定します。

＜シスコの場合＞

radius-server host RADIUSサーバーのIPアドレス auth-port ポート番号
例）radius-server host 10.1.2.101 auth-port 1812 acct-port 1813

＜アライドテレシスの場合＞

add radius server=RADIUSサーバーのIPアドレス secret=共有シークレット port=RADIUS認証に使用するポート番号 accport=RADIUSアカウンティングに使用するポート番号
例）add radius server=10.1.2.101 secret=password port=1812 accport=1813

SSHによる接続と確認

　次に、SSHによる接続確認を行います。Windowsには、SSHクライアントが付属していないため、「Tera Term」というターミナルエミュレータソフトウェアを使用して、接続を確認します。

1. Tera Termをダウンロードし、クライアント役のコンピュータにインストールします。

2. Tera Termを起動します。［Tera Term 新しい接続］ウインドウで、［ホスト］に接続先ネットワークデバイスのIPアドレスを指定します。また、［SSH］をオンにし、［SSHバージョン］で「SSH2」を選択後[OK]をクリックします。

画面8

3. ［セキュリティ警告］ウインドウは、接続先のサーバが適切なものかをユーザーに確認するために表示されます。サーバのホスト鍵のフィンガープリント（指紋）がTera Termに登録されていないときに表示されます。

画面9

4. ［SSH認証］ウインドウでは、Active Directoryに登録した、netadminsグループのメンバーのユーザーログオン名とパスワードを入力し、［プレインテキストを使う］を選択後、[OK]をクリックします。

画面10

5. 接続に成功すると、Telnetのときと同様に、ユーザーモードのプロンプトが表示されます。その後は、特権モードに移行し、通常の管理作業を行います。接続を終了する場合は、ユーザーモードか特権モードでlogoutコマンドを実行します。

アカウンティングログの確認

　TelnetやSSHで接続を確認すると、RADIUSサーバ「server001」のC:\Windows\System32\LogFilesにあるアカウンティングログファイルに、次のように履歴が記録されます。

　次のRADIUSサーバのアカウンティングログは、RADIUSクライアントから認証要求が送信され、認証および承認された時のものです。

"SERVER001","IAS",12/25/2012,19:50:58,1,"netadmin1","edifist.co.jp/Users/netadmin1",,,,,,"10.1.2.254",1,0,"10.1.2.254","L3SW1",,,5,,,,1,"ネットワークデバイスの認証",0,"311 1 10.1.2.101 11/30/2012 06:27:06 47",,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,"すべてのユーザーに Windows 認証を使用",1,,,,
　　上記のログは、RADIUSクライアントであるL3SW1から送信された認証要求が、RADIUSサーバに受信されたことを表しています。
"SERVER001","IAS",12/25/2012,19:50:58,2,,"edifist.co.jp/Users/netadmin1",,,,,,,,0,"10.1.2.254","L3SW1",,,,,1,2,1,"ネットワークデバイスの認証",0,"311 1 10.1.2.101 11/30/2012 06:27:06 47",,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,"すべてのユーザーに Windows 認証を使用",1,,,,
　　上記のログは、認証要求に対する認証が正しく行われ、接続が承認されたことを表しています。

　上記の2例のうち、1つ目のL3SW1からRADIUSサーバに対する認証要求のログを例に、どのような情報がログに記録されるか確認しましょう。

　ログファイルのフォーマットについては、マイクロソフトの「Microsoft Windows Server 2008 ネットワークアクセス保護（NAP）ログ監査ガイド（PDF）」に詳しく記載されています。

　ログを参照すると、いつ、誰が、どのコンピュータからアクセスしたかを追跡できるため、定期的にチェックし、認証に失敗したログが多発していないか、管理者の記憶にないアクセス履歴が残されていないか、などを確認するようにしましょう。

　以上で、前後編に分けてRADIUSを使ったActive Directoryとネットワークデバイスの「ちょっとだけ連携」の説明は終了です。

　次回は、Windows Server 2012のDNSサーバ機能とネットワークデバイスの「ちょっとだけ連携」を紹介します。