# LAN

## 基本

1. LAN ルールを作成するには、 **項目を追加し、** の下の **ルールコレクション** ハイブ を選択し **LAN Rule.** 
2. ルールに **名前** を付けて、そのルールが何に使用されるのかを説明してください。さらに、説明的な名前を付けることで、後でログ内でこのルールによって処理された認証要求を簡単に識別できます。
3. 忘れずに **有効化** してください！

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FUOUphTbSTuuLth3qbJPY%2Fimage.png?alt=media&#x26;token=2db549d8-e8c2-478f-aed2-5359dee73cdf" alt=""><figcaption></figcaption></figure>

## **認証**&#x20;

の下で **認証** ハイブ、最初の選択は、このルールで **証明書ベースの** または **ユーザー名/パスワードベースの** 認証を許可するか拒否するかです。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FJIHnZ7xbdp7PokWFvhmC%2Fimage.png?alt=media&#x26;token=e3880e99-3190-4526-b5b6-8a1c322c6493" alt=""><figcaption><p>LAN 認証の表示</p></figcaption></figure>

### **証明書ベースの認証**

証明書ベースの認証では、受信する認証要求をさらに制限するために、次の選択肢があります。

#### 特定のCAのみを許可する（信頼されたCA）

これにより、受信する認証要求を特定の信頼されたルートCAまたは発行CAに絞り込むことができます。これらのCAは、RADIUSaaSプラットフォームで構成したすべての信頼されたルートのサブセットにできます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fc184Hbgpc7A4pXwVijBu%2Fimage.png?alt=media&#x26;token=ef578c60-f94d-45de-b8ae-abb4d0a8c860" alt=""><figcaption><p>Trusted Root CA フィルタリングの表示</p></figcaption></figure>

#### Intune IDでフィルタ&#x20;

これは履歴的な設定です。クライアントがAAD参加時に受け取った証明書で認証している場合は、IntuneテナントIDでフィルタリングしてください。&#x20;

テナントIDを前述のように入力している場合 [こちら](https://docs.radiusaas.com/ja/ptaru/trusted-roots#intune-id)、RADIUSaaSのデフォルト動作では、OID拡張 **1.2.840.113556.5.14** を持つ証明書と、テナントIDの許可リストに登録された値を提示するマシンのみがネットワークにアクセスできます。ルールエンジンを使用すると、特定のルールに対して特定のIntune IDへのアクセスをさらに制限するか、証明書拡張を無視するかを選択できます。これにより、OIDを提供する証明書を持つクライアントと、持たないクライアントが混在するマルチデプロイ構成を実現できます。&#x20;

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FrCV0pP2IQokPNWmoC7uf%2Fimage.png?alt=media&#x26;token=72ba2cba-a6be-4612-b9e5-cc0ba292927d" alt=""><figcaption><p>Intune IDフィルタリングを表示</p></figcaption></figure>

### ユーザー名/パスワードベースの認証

有効化後、 **ユーザー名/パスワードベースの** 認証に対して、のRegexを構成することで追加のフィルタリングを適用できます **ユーザー名**。既定値はすべてのユーザー名です。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FM3HNz7JIAE9cyljyKe6J%2Fimage.png?alt=media&#x26;token=3fe45cc1-a4cd-44b0-9dd7-f4c715f64211" alt=""><figcaption><p>ユーザー名 / パスワードベースの認証の表示</p></figcaption></figure>

## 構成

の下で **構成** hive では、認証要求の発信元に基づく追加のフィルター条件を構成し、VLAN ID を割り当てることもできます。

### スイッチ フィルター

{% hint style="info" %}
この MAC アドレス フィルターを使用すると、特定の **スイッチ** を RADIUSaaS と通信するように許可できます。 **これはエンドポイント向けの MAC アドレス フィルターではありません!**
{% endhint %}

を設定するには **MAC アドレス ベースの** スイッチ フィルターを、次のいずれかを選択します **アドレス** または **グループ**.&#x20;

* を選択した場合 **アドレス**、複数のスイッチ MAC アドレスを指定できま&#x3059;**.**&#x20;
* を選択した場合 **グループを選択した場合、** 事前定義された **MAC アドレス グループ**.&#x20;

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FuFN1nqVZ9KsHylsfaENq%2Fimage.png?alt=media&#x26;token=6100905d-d909-434c-9ac9-e8ed295a3a5a" alt=""><figcaption><p>MAC アドレス フィルタリングの表示</p></figcaption></figure>

MAC アドレスでは、次の表記がサポートされています:

* xx-xx-xx-xx-xx-xx
* xx:xx:xx:xx:xx:xx
* xxxxxxxxxxxx

### VLAN の割り当て

{% hint style="info" %}
ベンダー固有の VLAN 返却属性が必要な場合は、それらを管理できます [こちら](https://docs.radiusaas.com/ja/ptaru/settings/general-structure#vlan-attributes).
{% endhint %}

RADIUSaaS ルール エンジンには、Virtual-LAN ID を割り当てるためのいくつかの方法があります。使用できるオプションは次のとおりです:

#### 静的

* 関連するルールに基づいて割り当てる VLAN ID を静的に指定する

#### 証明書拡張による

{% hint style="info" %}
現在、Microsoft IntuneやJAMFを含む多くのMDMシステムでは、SCEPプロファイルにカスタム証明書拡張を追加することはサポートされていません。

そのため、代わりに [証明書のサブジェクト名](#by-certificate-subject-name) を使用してVLAN割り当てを追加することを推奨します。
{% endhint %}

* 作成済みの証明書拡張のいずれかを選択
* フィルターは、指定した拡張子 (OID) に対する Value に一致するように設定されます
* ワイルドカードは .\* 正規表現に変換されます

#### 証明書サブジェクト名プロパティによる

証明書の Subject Name のプロパティに基づいて VLAN ID を割り当てることもできます。たとえば、ルールで VLAN 15 を割り当てたい場合で、Intune を使用して SCEP プロファイルを定義して展開しているなら、 **Subject name format** を SCEP プロファイルで次のように構成する必要があります `CN={{DeviceId}},`**`OU=vlan-15`**

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fsh5zSDL1dCVenDgS8cdq%2Fimage.png?alt=media&#x26;token=2dac4a32-6616-4f8c-8169-29c095cae282" alt=""><figcaption><p>SCEP デバイス証明書での VLAN ID 構成の表示</p></figcaption></figure>

プロファイルが展開されたら、 **RADIUSaaS** > **ルール** に戻り、VLAN ID がどのプロパティに格納されるかを指定し、VLAN ID の前に付く文字列を構成します。例: `vlan-`

{% hint style="info" %}
VLAN ID にプレフィックスは必須ではありません。ただし、Subject Name に同じ属性が複数回含まれる場合には便利です (例: 複数の CN はかなり一般的です)。
{% endhint %}

例として、次のルールは、 `Subject Name` 属性に基づいて VLAN ID 15 を割り当てます `OU` が付いた `vlan-`

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F5aDliFWCsqDh2dd9wXkr%2Fimage.png?alt=media&#x26;token=a9cd28b9-36dc-4fad-99b8-d55244bc66f8" alt=""><figcaption><p>VLAN フィルタリングの表示</p></figcaption></figure>

![](https://content.gitbook.com/content/SWU1DQ4UGkqER7uGNUOm/blobs/BkaDrlChuy8gxYtQFwnJ/image.png)

### 追加の RADIUS 属性

{% hint style="info" %}
既定では利用できない返却属性が必要な場合は、それらを追加してください [こちら](https://docs.radiusaas.com/ja/ptaru/settings/general-structure#radius-attributes).
{% endhint %}

RADIUSaaS ルール エンジンは、追加の RADIUS 属性 (VLAN ID 以外) を返すためのいくつかの方法を提供します。使用できるオプションは次のとおりです:

#### 静的

関連するルールに基づいて割り当てるべき返却属性とその値を静的に指定します。

#### 証明書拡張による

{% hint style="info" %}
現在、Microsoft IntuneやJAMFを含む多くのMDMシステムでは、SCEPプロファイルにカスタム証明書拡張を追加することはサポートされていません。

そのため、代わりに [証明書のサブジェクト名](#by-certificate-subject) を使用してVLAN割り当てを追加することを推奨します。
{% endhint %}

* 作成済みの証明書拡張のいずれかを選択
* フィルタは、指定した返却属性の値を、指定した拡張（OID）に一致させるよう設定されます
* ワイルドカードは .\* 正規表現に変換されます

#### 証明書サブジェクト名プロパティによる

* 証明書のサブジェクト名内のプロパティに基づいて、追加のRADIUS属性を返すこともできます
* そのため、返却属性値がどのプロパティに保存されるかを指定してください
* 次に、返却属性値の前に付ける文字列を構成します
* サブジェクト名プロパティで指定された値にプレフィックスは必須ではありません。ただし、サブジェクト名が同じ属性を複数回含む場合（例：複数のCNは非常に一般的です）には、プレフィックスの使用が必要になることがあります。