Juniper Mist Switchの802.1X ポート認証にクラウドRADIUS（SecureW2）を利用する

今回は、Juniper Networks社が提供するネットワーク機器であるEX4000イーサネットスイッチと、弊社が提供するクラウド型認証ソリューションのSecureW2との連携について検証を行いました。本記事では下記3つのテーマについて検証レポートをまとめておりますので、これからJuniper Mist Switchの導入をお考えの方や、 クラウドRADIUSによるEAP-TLS（クライアント証明書認証）にご関心がある方はぜひ最後までご覧ください。

なお、同社の製品でEAP-TLS認証を用いて無線接続を行った弊社の記事はこちらになります。

検証テーマ

Juniper Mist EX4000イーサネットスイッチのポート認証（802.1X認証）にSecureW2のRADIUSサーバーを利用する
SecureW2によるユーザーに応じたネットワークの動的制御（Dynamic VLAN）を実現する

クラウドRADIUS

クラウドRADIUS(Cloud Radius)とは、クラウド型で提供されているRADIUSサービスのことを指します。SecureW2の提供するクラウドRADIUSは、無線LAN機器認証で利用するEAP-TLS証明書や、VPN機器認証で利用するSSL証明書に、相互の認証判定を提供します。詳しくはクラウドRADIUS紹介ページをご覧ください。
ペンティオでは、Cisco Meraki、Juniper Mist、Aruba、 Extreme Networks、Ubiquiti UniFi、ACERA、 YAMAHA、FortiAP Wi-Fi、 Panasonic AIRRECT などの各種無線APとSecureW2の連携を検証しております。 SecureW2検証・設定手順一覧

Juniper Mist Switchのご紹介

今回は弊社の検証環境にあるJuniper Mist EX4000イーサネットスイッチというL2スイッチを使用して動作検証を行いました。機器のスペックやその他製品の詳細情報はJuniper Networks社のモデル一覧をご覧ください。

Juniper Mist Cloudは、各拠点におけるJuniper製品をクラウド環境から一元管理できるソリューションです。今まではネットワークの設定をするために現地に赴き、CLIを使用してネットワーク設定を行う必要がありました。しかしJuniper Mist Cloudを利用することで、管理者が時間や場所に縛られることなく、遠隔からのGUI操作で簡単にネットワークの設定・監視・制御が可能になります。今回の検証においてもJuniper Mist Cloudを用いてクラウド上でJuniper Mist EX4000 イーサネットスイッチの設定を行っています。

またSecureW2はクラウドRADIUSを提供していることから、これと併せてご利用いただくことでネットワーク管理をよりシンプルにすることが可能です。さらにはDynamic VLANに対応しているので、BYOD対策や端末/ユーザー属性でのネットワークアクセス制御など、お客様のニーズに応じた柔軟な環境構築を行うことができます。

前提条件

今回の検証では、以下の項目を前提条件としています。

SecureW2の管理者アカウントをお持ちであること
Juniper Mist Cloudの管理者アカウントをお持ちであること
EX4000イーサネットスイッチがJuniper Mist Cloudで管理されており、ライセンスが割り当てられていること
クライアントPCにSecureW2発行のクライアント証明書が配布・登録されていること

動作概要

IEEE802.1Xは以下の図のようなシーケンスに従って認証を行います。
EAP-TLS認証では認証情報にID / パスワードではなく、クライアント証明書を用いることが特徴です。

EAP-TLS認証の流れは次のとおりです。

ユーザーがスイッチに対してネットワークのアクセスを要求
スイッチがユーザーにクライアント証明書の提示を要求
ユーザーはスイッチに対して適当なクライアント証明書を提示
スイッチはSecureW2に対してクライアント証明書の検証要求を行う
SecureW2がクライアント証明書を検証し、認証結果と認証許可した場合にはVLAN等の属性情報をスイッチに返す
スイッチは受け取った認証可否に従い、ユーザーのネットワークアクセスを許可または拒否する

※VLAN IDなどのRADIUS属性やベンダー固有属性（VSA）は、5番目の段階で認証結果と共にアクセスポートに返されます。

有線によるネットワークへの接続において、従業員が私物の端末を会社に持ち込み、スイッチと接続してインターネットを利用して業務を行うケースが考えられます。会社で管理されていない端末は、会社で管理しているものよりもセキュリティレベルが低く、マルウェア等のウイルスに感染するリスクが高いことが考えられます。そのようなリスクのある端末を会社のネットワークに接続してしまうと、ネットワークを介して業務データ、機密情報等を扱う社用端末に感染を広げてしまう危険性があります。そこで、IEEE802.1XのEAP-TLS認証を行うことで、証明書を持っているユーザーのみネットワークのアクセスを許可することができます。
SecureW2ではEAP-TLS認証に利用可能な証明書を発行できるPKI機能のほかに、世界各地に配置されたRADIUSサーバーを利用することができます。RADIUSサーバーとしてActive DirectoryやIDaaSであるOneLogin, Okta などを利用する場合と比べて、重要なIdPにログインするためのID / パスワードをネットワークに流さないことも組織全体のセキュリティを向上させます。

作業詳細

主な作業内容は、Juniper Mist CloudとSecureW2でそれぞれ次の通りです。

基本的なEX4000イーサネットスイッチのポート利用設定を行うだけで簡単にSecureW2をクラウドRADIUSサーバーとしてご利用いただけます。お客様によって認証に加えて認可でもRADIUSを利用されたい場合には、SecureW2のネットワークポリシーに追加の設定を付け加えることで、VLAN IDをはじめとするRADIUS属性やベンダー固有属性（VSA）を認証結果に付与することもできます。

EX4000の設定

まずはEX4000がSecureW2のクラウドRADIUSを参照するように設定します。

設定を始める前にSecureW2の以下の画像の情報（IPアドレス、ポート番号、シークレット）を控えておいてください。実際の値は管理コンソールのRADIUS Configurationからご確認いただけます。

補足

2023年11月より、クラウドRADIUS AsiaPacific-1リージョンの無償提供が開始されました。これにより従来のサーバーよりも地理的距離が近くなるため、レイテンシの向上と高速な通信レスポンスを実現できます。そのため、ペンティオではAsiaPacific-1リージョンをプライマリRADIUSサーバーとして設定することを推奨しております。詳しくはこちらをご覧ください。

Juniper Mist Cloudにログインし、組織 > スイッチテンプレート をクリックします。
テンプレートを作成 をクリック
テンプレート名を設定し、作成をクリック。
認証サーバとしてRadiusを指定したら、新しいサーバとしてSecureW2のRADIUS情報を入力し、チェックマークをクリックします。
今回は4つのサーバーを登録しました。
ポートプロファイルを作成します。プロファイルを追加 をクリックします。
以下のように設定し、チェックマーク をクリックします。
スイッチ設定の選択を行います。ルールを追加 をクリックします。
名前と設定を割り当てるスイッチのポート番号を設定します。今回は1番ポートを使用します。
ポート設定タブに移動し、ポート設定を追加 をクリックします。
ポートIDには1番ポートを設定し、設定プロファイルに手順7で作成したポートプロファイルを指定したら、チェックマーク をクリックします。
チェックマーク をクリックします。
サイトに割り当て をクリックします。
スイッチを割り当てている環境を指定し、適用をクリックします。
確認をクリックします。
サイトとスイッチにテンプレートが適用されていることが確認できたら、保存をクリックします。
保存をクリックします。

以上でスイッチの設定は完了です。

VLANの設定

IEEE802.1X認証において、RADIUSサーバーが接続許可を意味するAccess-Acceptメッセージを返すとき、認証結果とあわせてVLAN IDなどのRADIUS属性やベンダー固有属性をRADIUSサーバーからRADIUSクライアントへ連携すると、接続先のネットワークを制御することなどが可能です。SecureW2ではネットワークポリシーの設定を行うだけで簡単にRADIUS属性の指定やユーザー・デバイスに応じた値の定義が可能です。

また、このレポートでは詳細は割愛いたしますが、OneLogin・Okta・Microsoft Entra IDをはじめとするIDaaSと連携するDynamic RADIUSも併用すると、Active DirectoryやLDAPなどのレガシーな認証基盤に依存しないクラウドネイティブなRADIUS基盤としてもご活用いただけます。

EX4000の設定で作成したスイッチテンプレートの設定を開き、ネットワークを追加 をクリックします。
以下のように設定し、チェックマーク をクリックします。
今回はVLAN100,200を用意しました。
ima
ポートプロファイルの設定も変更します。ネットワークに先ほど作成したVLANの設定を割り当て、チェックマーク をクリックします。
保存をクリックします。
保存をクリックします。
SecureW2 Management Portal（管理コンソール）の Policy Management > Network から Add Network Policy をクリックします。
ポリシーの名前を入力し、 Save をクリックします。
Conditionsタブに移動し、Add rule をクリックします。Conditionsタブでは、このNetwork Policyを適用させる対象の条件として利用する変数の種類を指定します。
ここでは例として証明書のCommon Nameを変数として設定します。各環境に合わせて適切な変数を指定してください。
CertificateからCommon Nameを選択して Save をクリックします。画面上部に「'Certificate Common Name' selected」と表示されれば成功です。
正常に設定が反映されると、以下の画像のように変数の値を指定できます。今回は例として、無線認証時に提示する証明書のCommon Nameを設定します。
変数の値を設定できたら、Update をクリックします。
Settingsタブに移動し、Add Attribute をクリックします。この画面で使用するRADIUS属性の設定を行います。

DictionaryのプルダウンからRadius:IETFを選択します。今回のシナリオではDynamic VLANの利用を想定しているため、以下の表を参考にそれぞれ設定を行います。

Radius:IETFの属性(Attribute:)	値(Value:)	説明
Tunnel-Type	13	VLAN（固定値）
Tunnel-Medium-Type	6	IEEE-802（固定値）
Tunnel-Private-Group-ID	任意のVLAN-ID（1-4094）	認証対象のユーザーや機器が認証をパスした後に所属させるVLAN-ID （例：100, 200）

画像のように設定できたら、Update をクリックして設定を終了します。他のNetwork Policyが存在している場合は、適宜ポリシーの優先度を操作してください。
今回はDynamic VLANが実現可能かを検証するために、同じ手順でVLAN-ID=200のネットワークポリシーも作成しておきます。

動作確認

以上の設定を終えたところで、MacBook Pro（macOS Tahoe）とLenovo ThinkPad（Windows 11）を使用して動作確認を行いました。

macOS

EAP-TLS認証を有効化したポートとクライアント端末を有線LAN接続します。
接続すると以下のようなダイアログが表示されるので、認証に使用する有効な証明書を選択します。
以下のようにEAP-TLS認証で有線LAN接続ができました。VLAN-IDが正しく付与されて、DHCPで指定した範囲内のIPからアドレスが払い出されているか確認します。
今回の例では、VLAN-IDが100の際にDHCPサーバーから192.168.100.2/24 - 192.168.100.254/24の範囲で、200の場合は192.168.200.2/24 - 192.168.200.254/24でIPアドレスを割り振る設定にしているため、設定した範囲のIPアドレスが正しく割り振られていることが確認できます。
WireSharkからもVLAN-IDが正常に割り振られていることが確認できました。 "example@pentio.com"というユーザーがネットワークに参加する場合はVLAN=100、 " hanako.sato@pentio.com"というユーザーがネットワークに参加する場合はVLAN=200に所属させていることがわかります。
SecureW2からも、それぞれのVLAN用ネットワークポリシーに基づいて接続が許可されたログを確認できました。

Windows11

EAP-TLS認証を有効化したポートとクライアント端末を有線LAN接続します。
サインイン をクリックします。
以下のようなダイアログが表示されるので、認証に使用する有効な証明書を選択します。
以下のようにEAP-TLS認証で有線LAN接続ができました。VLAN-IDが正しく付与されて、DHCPで指定した範囲内のIPからアドレスが払い出されているか確認します。
今回の例では、VLAN-IDが100の際にDHCPサーバーから192.168.100.2/24 - 192.168.100.254/24の範囲で、200の場合は192.168.200.2/24 - 192.168.200.254/24でIPアドレスを割り振る設定にしているため、設定した範囲のIPアドレスが正しく割り振られていることが確認できます。

WireSharkからもVLAN-IDが正常に割り振られていることが確認できました。 " example@pentio.com"というユーザーがネットワークに参加する場合はVLAN=100、 "hanako.sato@pentio.com"というユーザーがネットワークに参加する場合はVLAN=200に所属させていることがわかります。

おわりに

今回の検証ではJuniper Mist EX4000 イーサネットスイッチのポート認証にSecureW2のRADIUSサーバーを利用し、SecureW2から発行されたクライアント証明書を用いてIEEE802.1XのEAP-TLS認証ができるかの検証を行いました。また、SecureW2からのRADIUS属性の割り当てを行うDynamic VLANの動作検証も行い、ユーザーごとに異なるVLANへの割当も確認することができました。

SecureW2 を組み合わせることで、従来のようにパスワードに依存しない有線ネットワーク運用が可能となり、IdP 連携による柔軟なポリシー管理やクラウドネイティブな RADIUS 基盤の構築にもつながります。Juniper Mist Cloud の直感的な管理画面と、SecureW2 の証明書発行・RADIUS 連携機能を組み合わせることで、企業規模を問わず導入しやすい“モダンな有線認証環境”を構築できるでしょう。

ぜひJuniper Mist EX4000 イーサネットスイッチとSecureW2の導入を併せて検討してみてはいかがでしょうか。以上で「Juniper Mist Switchの802.1X ポート認証にクラウドRADIUS（SecureW2）を利用する」検証レポートを終わります。