Vol.4～ DHCP構成のユースカジノ登録P その2 ～

ユースカジノ登録P Agentの不思議な動作

図1：ユースカジノ登録Pのステータス画面。更新中のステータスということがわかる

前回のレポートの最後でユースカジノ登録Pの動作確認を行い、クライアントのセキュリティレベルの低下を検知すると自動的に検疫ネットワークに隔離されることは確認した。しかし、クライアントのセキュリティレベルが回復してもその状態は更新されず（図1）、正常なネットワークに復帰できないという事態に見舞われた。クライアントのセキュリティレベルが低下したことが検知できている点は評価できるが、正常なネットワークにつながらないのでは話にならない。そこで問題解決のためにいくつか切り分けを行ってみた。

図2：条件を満たしている場合の表示。本来は自動で更新されてほしいのだが。

ユースカジノ登録側のポリシーをいくつか変更してみたり、あるいはユースカジノ登録を入れ直してみたりしたが、状況に変化は見られなかった。Windows VistaとDHCP間の通信は行われているようだが、クライアントのステータスの更新のロジックのどこかに問題があるように推測している。要するに、セキュリティレベルの低下はその場で検知できるが、正しく修復されてもその状態の変化は検知できないという現象のようだ。結局、Vistaを再起動すればステータスの更新がされて（当然、正常性のチェックを通過しることが条件）正常にネットワークに参加できることができた。この件はもう少し調査を進めることにするが、回避方法が見つかったのでとりあえずこのまま進むことにする。

DHCPとユースカジノ登録を分離できるか

分離構成イメージ

前回の環境はユースカジノ登録とDHCPが同一のサーバで動作する環境をテストしたが、ユースカジノ登録とDHCPをそれぞれ別々のサーバにインストールして運用することはできるのだろうか。答えは条件付きでYesである。実は分離構成といっても完全分離とはいかない。認証を行うユースカジノ登録とDHCPは分離可能だが、DHCPだけではユースカジノ登録に認証要求を渡すことができない。そこで、DHCPサーバにユースカジノ登録をインストールし、RADIUS Proxyとしてユースカジノ登録に要求を転送するように設定する必要がある。簡単に手順を紹介する。たとえばユースカジノ登録01というマシンがユースカジノ登録、DHCP01というマシンがDHCPという環境があったとする。

ユースカジノ登録01にユースカジノ登録をインストール
ユースカジノ登録P構成ウィザードでポリシーを作成
DHCP01にユースカジノ登録とDHCPをインストール
DHCPを設定
DHCP01のユースカジノ登録で転送用の接続要求ポリシーを作成

インストールそのものは同一サーバ上で構成した時と同様である。ただ、ユースカジノ登録01ではユースカジノ登録のみを選択し、DHCP01でユースカジノ登録とDHCPの2つを選択するという点だけ注意する。設定そのものは基本的にウィザードベースで設定ができるので、簡単に行うことができる。

Windows VISTA 以外のクライアントOSの対応

前回、Windows XPでのユースカジノ登録P Agentに関して少し触れたが、Windows XPへのユースカジノ登録P Agentの提供はSP3に含まれて提供することでほぼ確定したようである（ユースカジノ登録Pを動作させるためにはSP3が必須になりそうである様子。SP2以前の環境に対してユースカジノ登録P Agentの単独での配布は現時点ではなさそうに思われるが、最終的にはどうなるか見えていない）。Windows XPではユースカジノ登録Pの設定はnetshコマンドを使用することになっているようで、netshを使用したユースカジノ登録Pの強制手順も確認できた。ちなみにWindows 2000 Professioユースカジノ登録l以前への対応は行われない。しかし、LinuxやあるいはMac OS Xへの対応は予定にはあるようだ。

PAEの設定

検証レポート Vol.2でWindows Server 2008 x86版で4GB以上のメモリを使用する場合の方法について探していたがやっと見つかった。設定するためのコマンドの例を以下に示す。 bcdedit /set {ID} pae [Default|ForceEユースカジノ登録ble|ForceDisable] （IDは省略可能）ちなみに、PAEを有効にするためには、サーバのCPUがDEPに対応していることが条件にあるようだ（とはいえ、最近販売されるサーバのCPUで未対応のものを探すほうが難しい。なお、今回使用しているHP ProLiantは当たり前だが、DEPに対応している）。さて、次回から802.1xによるユースカジノ登録Pの強制に入っていく。