誰をどのVLANに通すかはルールが決める
各ルールはネットワーク、サインイン方式、満たすべき条件を指定し、スイッチやアクセスポイントが必要とするVLANと属性を返します。RADIUSaaSはリクエストごとにルールを先頭から順に評価し、どのルールにも該当しないリクエストは拒否されます。
- 最初の一致が優先
- 7 種類のグループ
- 証明書フィールドからVLANを割り当て
- バックアップと復元
最初の一致が優先
No rule matched the request。- ルール内のフィルターはANDで結合される。すべてが一致しなければならない
- フィルターのないルールは、対応するネットワーク種別のすべてに適用される
- キャッチオールルールは到達したものをすべて許可するため、RADIUSaaS は常にリストの末尾に保存する
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
ルールセットの例を試す
架空のオフィス向けの5つのルール。ネットワーク、デバイスの接続先、提示する情報を選んでください。ルールをオフにしたり、フォールバックVLANをオフにして、どのルールがリクエストを処理するか、または処理されない理由を確認できます。
- 1Printers on floor 3LANユーザー名とパスワード
スイッチグループ Floor 3 switches およびユーザー名 ^prn- に一致するユーザー名とパスワードで認証された LAN リクエストに、VLAN 30 が付与されます。
スキップ: これは LAN ルールです。
- 2Corp Wi-Fi – laptopsWi-Fi証明書のみ
Contoso Device CA の証明書で認証され、SSID グループ Corp に一致する Wi-Fi リクエストには、証明書の OU に基づく VLAN が付与されます。パターンが一致しない場合は VLAN 10 が付与されます。
一致しました。
- 3Remote accessVPN証明書のみ
NAS 識別子 vpn-gw-* に一致する証明書で認証された VPN リクエストに、Filter-Id = remote-staff が付与されます。
到達しませんでした。
- 4GuestsWi-Fiユーザー名とパスワード
SSID Contoso-Guest およびオーナー .*@contoso\.com に一致するユーザー名とパスワードで認証された Wi-Fi リクエストに、VLAN 99 が付与されます。
到達しませんでした。
- 5Catch-all汎用許可無効
このルールに到達したリクエストはすべて許可されますが、何も返されません。
到達しませんでした。
- 判定
- 許可
- 返却値
- VLAN 20
- わかりやすく言うと
- Contoso Device CA の証明書で認証され、SSID グループ Corp に一致する Wi-Fi リクエストには、証明書の OU に基づく VLAN が付与されます。パターンが一致しない場合は VLAN 10 が付与されます。
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20
サンプルデータ。評価はRADIUSaaSのルール順序に従います。ログ行は省略されています。
ルールの適用範囲
各ルールはいずれかのネットワーク種別に属し、その種別に応じたフィルターが利用できます。値またはグループを任意の数だけ指定できます。
| フィルター | Wi-Fi | LAN | VPN |
|---|---|---|---|
| SSID | ✓ | — | — |
| アクセスポイントMAC | ✓ | — | — |
| スイッチMAC | — | ✓ | — |
| NAS識別子 | — | — | ✓ |
| NAS IP | — | — | ✓ |
| クライアントIP | ✓ | ✓ | ✓ |
| 信頼されたルートCA | ✓ | ✓ | ✓ |
| 証明書フィールド（発行者、SAN、サブジェクト、拡張） | ✓ | ✓ | ✓ |
| 証明書内の Intune ID | ✓ | ✓ | ✓ |
| ユーザー名またはオーナーのパターン | ✓ | ✓ | ✓ |
キャッチオールルールにはフィルターがなく、あらゆるネットワークからのリクエストに一致します。
すべてのルールで使えるグループ
- 7 種類: SSID、アクセスポイントの MAC、スイッチの MAC、NAS 識別子、NAS IP、クライアント IP、Intune ID
- エントリの末尾に
*を付けるとプレフィックス一致になります:Corp-*、MACベンダープレフィックス全体、nas-branch-*など - MACアドレスはどの表記形式でも入力可能。RADIUSaaS が正規化します
- コントローラーのエクスポートからそのままリストを貼り付け可能。重複はスキップされます
- IPv4 と IPv6、単一アドレスまたは CIDR 範囲に対応
証明書からVLANを割り当て
- プライベート拡張をOIDで登録するか、サブジェクトCN、OU、SAN DNSネーム、UPNなどの標準フィールドを使用
- RADIUS 属性もVLANと同じ方法で割り当て可能
- 1つの応答で同じ属性に複数の値を設定可能
Read from Subject (DN) · OUPattern ^Sales$ → VLAN 20Pattern ^Engineering$ → VLAN 40Fallback → VLAN 10
ハードウェアが解釈する属性
VLAN属性
VLANに使用する標準の RADIUS トンネル属性に加え、一部のスイッチやアクセスポイントが必要とするベンダー固有の表記も含まれています。自分のハードウェアが解釈できるものだけを残しておけば、残りはルールエディターに表示されません。
その他の RADIUS 属性
フィルターID、グループ名、ベンダーペアなど: ポータルの RADIUS ディクショナリを検索して、ルールが返す可能性のある属性を追加できます。カタログには各属性を使用しているルールが表示されます。
ルール変更時の安全機能
わかりやすい説明文
すべてのルールに、そのルールが何をするかを説明する文が表示されます。対象ネットワーク、サインイン方式、条件、許可内容が一目でわかります。
保存前に問題を確認
ルールリストには問題を示す列があります。エラーは保存をブロックし、警告は保存を許可しつつ修正するまでリストに表示され続けます。
ルールを削除せずに無効化
ルールをオフにすれば、設定を保ったまま動作確認から除外できます。位置も設定もそのまま維持されます。
ルールの複製
動作中のルールをコピーして、異なる部分だけを変更できます。
バックアップと復元
グループや証明書拡張を含むルールセット全体をファイルとしてダウンロードできます。復元は確認後にすべての内容を置き換えます。
キャッチオールルールは常に末尾
汎用の許可ルールはリストの末尾に保存され、他のルールを隠すことがありません。
802.1X に対応していないデバイス
トライアルで最初のルールを作成する
トライアルを開始し、アクセスポイントを1台接続して、ルールでテスト用ノートパソコンを専用VLANに配置してみてください。