hetarena.com

Cisco の MAC アドレス認証について以前書いた記事の内容が古くなっているので、最近の設定コマンドについてまとめておきます。 ただし、ドキュメントを当たっただけで、手許で動作確認はしていませんのでご了承ください。

mab コマンドの追加

最近は MAC アドレス認証 (MAB = MAC Authentication Bypass) を有効とするためには、(config-if) モードで mab コマンドを設定する必要があるようです。

Switch(config-if)# mab

その他結構コマンドが変わっているので、詳細は最後に挙げている Cisco のドキュメントを参照してみてください。 MAC アドレス認証のみであれば、「Standalone MAB Support」を読めば良いと思います。

認証の順序を変更できるようになった

前回の記事では 802.1X 認証 -> MAC アドレス認証という順番が固定であったため、802.1X 認証のタイムアウトを短く調節していたわけですが、最近は MAC アドレス認証を先に行うことができるようになりました。 具体的には以下のようなコマンドを打ちます。

authentication order mab dot1x webauth
authentication priority mab dot1x webauth

１行めのコマンドにより MAC アドレス認証 (mab) の方が 802.1x (dot1x) よりも先に実行されるようになります。 ２行めのコマンドは優先順位の設定で、ある方式で認証された後に異なる認証方式で更に認証が実施されようとした時の動作を決めます。 この例では、１度 MAC アドレス認証された後は 802.1X による再認証ができないよう設定しています。

マルチ認証モードの追加

以前の記事では、

Catalyst の１ポートにハブ等を介して複数の端末を接続したときに、個々の端末を Catalyst で認証する仕掛けをつくるのは無理だと思います。

と書いていましたが、host-mode = multi-auth というモード (「マルチ認証モード」) が追加され、これが可能となっています。 個別に ACL が動的設定されアクセス制御が行われる様です。 ただし、MAC 認証と組み合わせて使えるものなのかよくわかりません。 また、現状ポートあたり８台が上限と聞いています。

以下、参考情報。いずれも Cisco のサイトです。

• Standalone MAB Support
• 802.1x Flexible Authentication
• Scenario-Based Identity Based Networking Services Deployments

ASA5510 (Ver. 7.2) の Active/Standby failover 構成を設定した際のログです。 IP アドレスはCisco サイトで紹介されている構成例に合わせました。 ただし、stateful failover link の 10.0.0.0/8 というネットワークアドレスは気持ち悪いので 24ビットネットマスクに変更しています。

(Primary機：インターフェイスの設定)
asa1# configure terminal
asa1(config)# interface ethernet0/0
asa1(config-if)# nameif outside
INFO: Security level for "outside" set to 0 by default.
asa1(config-if)# ip address 172.16.1.1 255.255.0.0 standby 172.16.1.2
asa1(config-if)# interface ethernet0/1
asa1(config-if)# nameif inside
INFO: Security level for "inside" set to 100 by default.
asa1(config-if)# ip address 192.168.1.1 255.255.255.0 standby 192.168.1.2
asa1(config-if)# exit
asa1(config)#

(Primary機：failover の設定)
asa1(config)# failover lan unit primary
asa1(config)# failover lan interface failover ethernet0/2
INFO: Non-failover interface config is cleared on Ethernet0/2 and its sub-interfaces
asa1(config)# failover interface ip failover 10.1.0.1 255.255.255.0 standby 10.1.0.2
asa1(config)#
(stateful failover link の設定)
asa1(config)# failover link state ethernet0/3
INFO: Non-failover interface config is cleared on Ethernet0/3 and its sub-interfaces
asa1(config)#
asa1(config)# failover interface ip state 10.0.0.1 255.255.255.0 standby 10.0.0.2

(Secondary機：failover の設定)
ciscoasa(config)# failover lan interface failover ethernet0/2
INFO: Non-failover interface config is cleared on Ethernet0/2 and its sub-interfaces
ciscoasa(config)# failover interface ip failover 10.1.0.1 255.255.255.0 standby 10.1.0.2
ciscoasa(config)#
ciscoasa(config)#

(Primary機：インターフェイスの有効化)
asa1(config)# interface ethernet 0/0
asa1(config-if)# no shutdown
asa1(config-if)# interface ethernet 0/1
asa1(config-if)# no shutdown
asa1(config-if)# interface ethernet 0/2
asa1(config-if)# no shutdown
asa1(config-if)# interface ethernet 0/3
asa1(config-if)# no shutdown
asa1(config-if)#

(Secondary機：インターフェイスの有効化)
ciscoasa(config)#
ciscoasa(config)# interface ethernet0/0
ciscoasa(config-if)# no shutdown
(以下同様に 0/1、0/2、0/3 を有効化)

(Primary機：failover 有効化)
asa1(config)# failover
asa1(config)#

(Secondary機：failover 有効化)
ciscoasa(config)# failover
ciscoasa(config)# .
Detected an Active mate
Beginning configuration replication from mate.
End configuration replication from mate.
asa1(config)#     (ホスト名が同期される)

(Primary機：設定の保存－これで Secondary機の設定も保存される)
asa1(config)#  copy running-config startup-config
Source filename [running-config]? (Enter)

これでとりあえず failover 関連の基本設定はできたはずです。 詳しくは先のサイトの解説を参照してください。

Cisco ASA の HA 構成についてまとめておきます。 Version 7.2 についての話ですが、ドキュメントをパラパラと見る限りでは 8.x でも大きく変わることは無いと思います。

Cisco ASA の HA 構成は以下のような特徴を持っています。

1. フェイルオーバー時に Active 機／Standby 機間で MAC アドレスと IP アドレスが入れ替わる
2. 設定が HA 構成を組む２台の間で同期される
3. Active/Standby 構成では preempt な設定は不可

それぞれ説明して行きますが、その前に Primary/Secondary という言葉と Active/Standby という言葉について説明しておきます。

Primary/Secondary
フェイルオーバーしても変化しない 1台めの ASA、2台めの ASA という絶対的な関係を表しています。

Active/Standby
稼働中/待機中という状態を表します。 フェイルオーバーすると Active/Standby が入れ替わります。

ここでは特に断りがなければシンプルな Active/Standby 構成 (シングルコンテキスト) を想定し、Primary = Active、Secondary = Standby となっているのが正常な状態とします。

1. フェイルオーバー時に Active 機／Standby 機間で MAC アドレスと IP アドレスが入れ替わる
この動きはかなり独特です。 例えば VRRP や HSRP では２台の機器それぞれのインターフェイスに実 IP アドレスを振って更に仮想 IP アドレスを１つ用意し、合計３アドレスを使う、というような構成にすることが多いと思います。 これに対し、ASA では Active 用のアドレスと Standby 用の２つのアドレスを用います。 そしてフェイルオーバーするとアドレスが入れ替わります。

例えば、Primary = Active の状態で Ethernet0/0 に下のように IP アドレスが割り当てられているとします。

unit	status	address
Primary	Active	192.168.0.1
Secondary	Standby	192.168.0.2

ここで、Primary 機に障害が生じてフェイルオーバーが起こるとアドレスの割り当ては以下のようになります。 この時、MAC アドレスも同時に入れ替わります。

unit	status	address
Primary	Standby	192.168.0.2
Secondary	Active	192.168.0.1

仮にこのアドレスを ICMP (ping) 監視していたとすると Primary 機がダウンしても Secondary 機がダウンしても 192.168.0.2 がダウンして見えるので、これだけではどちらがダウンしたのか判別できないので注意が必要です。

2. 設定が HA 構成を組む２台の間で同期される
最初に最低限の設定をそれぞれにしてしまえば、後は Primary/Secondary 間で設定が自動的に同期されます。 設定変更は Active なユニット (それは Secondary かも知れません) で行わなければならないので注意が必要です。 同期されない設定項目は以下のもので、それ以外は同期されます。

• failover lan unit
• firewall
• mode

また、Active 側で copy running-config startup-config コマンドや write mem コマンドで設定をフラッシュメモリーに保存すれば Secondary 側でも保存されます。

ここでちょっと困るのがホスト名も同期されて同一のものになってしまうことです。 ホスト名で区別することはできませんが、prompt コマンドを使ってプロンプトに「priority」を設定しておくと Primary/Secondary を区別をプロンプトに表示することができ便利です。

3. Active/Standby 構成では preempt な設定は不可
つまり以下のような話です。

• Primary 機が障害を起こして Secondary = Active とフェイルオーバーした。 その後 Primary 機を復旧させた時に自動的に Primary = Active と戻す設定はできない。
• HA 構成を組んだ２台の ASA に電源投入して起動する際、Secondary 機が先に起動してしまうと、Primary 機の起動後も Secondary = Active のままとなる。

このような場合に Primary = Active に戻すためには Primary 機上で以下のコマンドを実行して手動で戻します。

failover active

これで Primary 機が Active となります。 telnet、ssh 等でリモートよりこれを実施する場合は Standby 用のアドレスへアクセスすることになりますので注意が必要です。

---

関連記事

• ASA5510 の Active/Standby 構成設定ログ
• Cisco ASA 冗長構成でのもろもろ