RADIUS問題解決ガイド

ダッシュボードの設定

最初に確認すべきことは、ダッシュボード上でRADIUSが正しく設定されているかどうかです。RADIUSの設定にアクセスするには、以下のように選択して移動します。 

 

Wireless（ワイヤレス） > Configure（設定） > Access Control:Select (SSID)（アクセス制御：選択（SSID）） > RADIUS Servers（RADIUS サーバー）

 

Switch（スイッチ） > Configure（設定） > Access Policies（アクセス ポリシー） > Radius Servers（RADIUS サーバー）

 

Security & SD-WAN/Teleworker Gateway（セキュリティ & SD-WAN/テレワーカー ゲートウェイ） > Configure（設定） > Access Policies（アクセス ポリシー） > RADIUS for Splash Page（スプラッシュ ページ用RADIUS）

 

以下のパラメータを確認する必要があります。

• RADIUSサーバーのIPアドレスが正しく追加されていること

• ダッシュボードとRADIUSサーバーでポートが同じように設定されていること

• ダッシュボードとRADIUSサーバーでシークレットが同一であること

RADIUSサーバーのPingテスト

RADIUS認証時には、MerakiデバイスがRADIUSパケットを使用してRADIUSサーバーへの到達を試みます。これを成功させるには、MerakiデバイスからRADIUSサーバーへ到達可能な状態でなければなりません。そのため、以下のステップに従ってRADIUSサーバーの到達可能性をテストします。

• デバイス ステータス ページに移動します。

  • MR：Wireless（ワイヤレス） > Access Points（アクセス ポイント） > Select Access Point（アクセス ポイントの選択） > Tools（ツール） > Ping

  • MS：Switch（スイッチ） > Switches（スイッチ） > Select Switch（スイッチの選択） > Tools（ツール） > Ping

  • MX：Security & SD-WAN（セキュリティ & SD-WAN） > Appliance Status（機器のステータス） > Tools（ツール） > Ping

  • Zシリーズ：Teleworker Gateway（テレワーカー ゲートウェイ） > Appliance Status（機器のステータス） > Tools（ツール） > Ping

• Pingツールを使用して、RADIUSサーバーのIPをPingテストします。 

• Pingが失敗した場合は、RADIUSサーバーまでのルーティングを確認します。

ダッシュボードのRADIUSテスト ツール

 

ダッシュボード設定には、上記のようにRADIUSサーバーとの接続性を確認するためのテスト ツールが備わっています。 RADIUS認証情報を指定して「Begin test（テストを開始）」をクリックすると、「Test = Pass」または「Test = Fail」のいずれかの結果が返されます。このテスト ツールを実行すると、APとRADIUSサーバーの間で、EAP-PEAPとMS-CHAPv2を使用したRADIUS Access-Request/Challengeの交換が開始されます。このツールは、APからサーバーに到達可能かどうかと、指定された認証情報が有効かどうかだけを確認するよう設計されています。APには証明書がインストールされていないため、クライアント側の証明書（EAP-TLSなど）を必要とするEAPタイプを使用すると、テストは失敗します。実際のクライアント デバイスでテストすることをお勧めします。MRアクセス ポイントでサポートされるEAPタイプについては、こちらを参照してください。

 

Test = Pass

ダッシュボードのRADIUSテストに合格した場合は、以下のステップに進むことができます。

• テストに合格した場合は、RADIUSサーバーが到達可能で、認証用に設定されています。クライアントが接続できない場合は、クライアント デバイスがEAPセッションを生成しているかどうかを確認してください。

• クライアント認証に失敗した後でRADIUSサーバー上に生成されるログを確認してください。

 

Test = Fail

RADIUSサーバーがPingを実行できるが、テストに失敗する場合は、ダッシュボードのパケット キャプチャに進んでください。

ダッシュボードのパケット キャプチャ

Merakiダッシュボードでは、ネットワーク内のすべてのRADIUS対応Merakiデバイスを対象に、パケット キャプチャを直接実行できます。この機能を使用するには、Network Wide（ネットワーク全体） > Monitor（監視） > Packet Capture（パケット キャプチャ）に移動します。

パケット キャプチャは、RADIUSサーバーに到達可能なMerakiデバイスの有線インターフェースで実行する必要があります。Wireshark対応の.pcapファイルとして出力をダウンロードすることを強くお勧めします。

パケット キャプチャが開始されたら、失敗したクライアントにRADIUSへの接続を再試行させ、このプロセスが完了するまでの間にパケット キャプチャが実行されるようにしてください。パケット キャプチャはWiresharkで開くことができ、以下のようにフィルタを適用できます。

 

RADIUS用のWiresharkフィルタ：

例：ip.addr==192.168.128.254 && radius（192.168.128.254はRADIUSサーバーのIP）
 

汎用フィルタを適用したRADIUSパケット キャプチャの例を以下に示します。

上記のスクリーンショットは、成功したRADIUS認証の例です。Access-Request、Access-Challenge、Access-Acceptを使用して双方向通信が行われているのがわかります。サンプルのパケット キャプチャは、参照用にダウンロード可能です。 

RADIUSトラフィック フロー

RADIUS認証に失敗した場合は、トラフィック フローが異なり、以下に示す3つの結果のいずれかになる可能性があります。

• RADIUSプロトコル トラフィックがない

• Access-Requestが単方向

• RADIUSサーバーがAccess-Rejectを送信する