UniFiの設定

まずはSecureW2のクラウドRADIUSをUniFiの無線LANで参照するように設定します。
設定を始める前にSecureW2の以下の画像の情報（IPアドレス、ポート番号、シークレット）を控えておいてください。実際の値は管理コンソールのRADIUS Configurationからご確認いただけます。

1. UniFiの管理コンソールにアクセスします。
   
2. まずはRADIUSプロファイルを作成します。管理画面の⚙(歯車マーク) > Profiles を選択します。
   
3. 上部からRADIUSタブを選択し、Create Newをクリックします。
   
4. 認証サーバーとしてSecureW2のRADIUSサーバーを使用するように設定します。先ほど控えておいたSecureW2のRADIUS Configurationの情報を以下の表と画像を参考に設定してください。

   項目名	設定値	説明
   Name	例：SecureW2_RADIUS	RADIUSプロファイルの名前
   Wireless Networks	Enable	無線認証の場合にRADIUSサーバーからのVLANタグの応答を受け入れるかの設定です。Dynamic VLANを利用する場合は有効にします。
   Wired Networks	Enable	ポート認証の場合にRADIUSサーバーからのVLANタグの応答を受け入れるかの設定です。Dynamic VLANを利用する場合は有効にします。
   Authentication Servers	IP Address：①の値 Port：③の値 Shared Secret：④の値	先ほど控えたSecureW2のRADIUS Configurationの値をそれぞれ入力。セカンダリサーバーの設定の際は、行の横にあるAddをクリックして、IP Addressのみ②の値に変更して追加設定を行います。

   
5. 画像のようにセカンダリサーバーまでRADIUSサーバーの登録が完了したらApply Changesをクリックして設定を保存します。
   

無線LAN認証を行う場合

無線LANでEAP-TLS認証を行う場合はSSIDの設定が必要になります。

1. 管理画面の⚙(歯車マーク) > WiFiを選択し、Create Newをクリックします。
   
2. 以下の表と画像を参考にSSIDの設定を行います。

   項目名	設定値	説明
   Name	例：Pentio_test	SSIDの名前
   Password	警告が出ることがあるが設定不要	今回はEAP-TLSによる証明書認証を行うため使用しません。入力しないと警告が出ることがありますが、手順9の認証方式の選択時に項目ごと消えます。
   Network	例：Default	使用するネットワークを指定
   Broadcasting APs	例：U6-Lite	このSSIDを配信したいAPやGroupを指定
   Advanced	Manual【選択】	認証方法などの詳細な設定を行います。次の手順で説明します。

   
3. Advancedの設定で認証方法などを設定します。以下の表と画像を参考に設定を行います。設定が完了したら、右下のAdd WiFi NetworkをクリックしてSSIDの設定を保存します。

   項目名	設定値
   Security Protocol	WPA2 Enterprise【選択】
   RADIUS Profile	例：SecureW2_RADIUS

   

有線LAN認証を行う場合

有線LANでEAP-TLS認証を行う場合はスイッチ・ポートの設定が必要になります。UniFiのクラウド上で操作を行うため、アクセスポイントだけでなくスイッチもUniFi製品をお使いである必要があります。

1. 左のバーのからUniFi Devicesを選択し、お使いのスイッチをクリックします。
   
2. SettingsタブからAdvancedの項目を設定します。以下の表と画像を参考に設定を行い、設定が完了したらApply Changesをクリックして設定を保存します。

   項目名	設定値	説明
   Global Switch Settings	◻︎（チェックを外す）	デフォルトはチェックが入っています。このチェックを外すことで以下の設定が可能になります。 ※管理下にある全てのスイッチで802.1X認証を使用したい場合は、別の設定項目からGlobal Switch Settingsを有効にした状態でも設定可能です。
   802.1X Control	☑️
   RADIUS Profile	例：SecureW2_RADIUS【選択】	使用するRADIUSサーバーのプロファイルを選択

   
3. 次はポートの設定を行います。左のバーからPortsを選択し、有線LANを利用するポートをクリックします。
   
4. Advancedタブの設定を行います。以下の表に設定の詳細を記述しますので、ご使用の環境に応じて選択してください。設定が完了したらApply Changesをクリックして保存します。

   項目名	設定値
   Advancedの横のトグル	Manual【選択】
   802.1X Control	Auto【選択】

   
   • 802.1X Controlの詳細
   • Auto：認証が正常に行われるまで、ポートは無許可です。
   • Force authorized：ポートは、認証なしで通常のトラフィックを送受信します。
   • Force unauthorized：ポートはサプリカント認証の試行を無視し、クライアントに認証サービスを提供しません。
   • MAC-Based：同じポートに接続された複数のサプリカントがそれぞれ個別に認証できます。ポートに接続されている各ホストは、ネットワークにアクセスするために個別に認証する必要があります。ホストはMACアドレスによって区別されます。

   ※引用元：網屋 様 「ヘルプガイド：有線クライアントのアクセス制限」
   (https://www.amiya.co.jp/support/ubiquiti/help/wired-policy/)

VLANの設定

IEEE802.1X認証において、RADIUSサーバーが接続許可を意味するAccess-Acceptメッセージを返すとき、認証結果とあわせてVLAN IDなどのRADIUS属性やベンダー固有属性をRADIUSサーバーからRADIUSクライアントへ連携すると、接続先のネットワークを制御することなどが可能です。SecureW2ではネットワークポリシーの設定を行うだけで簡単にRADIUS属性の指定やユーザー・デバイスに応じた値の定義が可能です。

また、このレポートでは詳細は割愛いたしますが、OneLogin・Okta・Microsoft Entra IDをはじめとするIDaaSと連携するDynamic RADIUSも併用すると、Active DirectoryやLDAPなどのレガシーな認証基盤に依存しないクラウドネイティブなRADIUS基盤としてもご活用いただけます。

1. SecureW2 Managemant Portal（管理コンソール）の Policy Management > Network Policies からNetwork Policyを追加します。
   
2. ポリシーの名前を入力し、Saveをクリックします。
   
3. Conditionsタブに移動し、Add Ruleをクリックします。Conditionsタブでは、このNetwork Policyを適用させる対象の条件として利用する変数の種類を指定します。
   
4. ここでは例としてSecureW2のRoleを変数として設定します。各環境に合わせて適切な変数を指定してください。
   IdentityからRoleを選択してSaveをクリックします。画面上部に「'Role' selected」と表示されれば成功です。
   
5. 正常に設定が反映されると、以下の画像のように変数の値を指定できます。今回は例として、前もって作成しておいたPentio Roleを値として設定します。
   変数の値を設定できたら、Updateをクリックします。
   
6. Settingsタブに移動し、Add Attributeをクリックします。この画面で使用するRADIUS属性の設定を行います。
   
7. DictionaryのプルダウンからRadius:IETFを選択します。今回のシナリオではDynamic VLANの利用を想定しているため、以下の表を参考にそれぞれ設定を行います。

   Radius:IETFの属性(Attribute:)	値(Value:)	説明
   Tunnel-Type	13	VLAN（固定値）
   Tunnel-Medium-Type	6	IEEE-802（固定値）
   Tunnel-Private-Group-ID	任意のVLAN-ID（1-4094）	認証対象のユーザーや機器が認証をパスした後に所属させるVLAN-ID （例：100, 200）

   
   
   
8. 画像のように設定できたら、Updateをクリックして設定を終了します。
   

今回はDynamic VLANが実現可能かを検証するために、同じ手順でVLAN-ID=200のネットワークポリシーも作成しておきます。他のNetwork Policyが存在している場合は、適宜ポリシーの優先度を操作してください。