はじめに
IEEE 802.1X 認証と RADIUS について学習した備忘録です。
改訂履歴
- 2026/10/12 : 初版公開。
本文
1. IEEE 802.1X 認証
IEEE 802.1X 認証は、有線 LAN や無線 LAN に接続する端末のネットワークアクセスを制御するための、ポートベースのネットワークアクセス制御方式です。端末がネットワークに接続した際、認証が完了するまで通常の通信を制限し、認証に成功した端末に対してネットワークへのアクセスを許可します。
1-1. 構成要素
IEEE 802.1X 認証は、主に以下の 3 つの要素で構成されます。
- サプリカント (Supplicant) : ネットワークに接続し、認証を要求する端末側のソフトウェアや機能。
- オーセンティケータ (Authenticator) : 認証の仲介を行うネットワーク機器。スイッチや無線 LAN アクセスポイントなどが該当します。
- 認証サーバー (Authentication Server) : 端末の認証情報を検証し、認証の成否を判定するサーバー。一般的には RADIUS サーバーが使用されます。
1-2. 認証の流れ
以下は IEEE 802.1X 認証の流れです。なお IEEE 802.1X 認証はアクセス制御の枠組みを定義するものであり、具体的な認証方式には EAP-TLS や PEAP などが使用されます。
- 端末がスイッチやアクセスポイントに接続する。
- オーセンティケータが端末からの認証情報を受け付ける。
- オーセンティケータが認証要求を RADIUS サーバーへ転送する。
- RADIUS サーバーが認証情報を検証する。
- 認証結果がオーセンティケータに返される。
- 認証に成功した場合、ネットワークへのアクセスが許可される。失敗した場合、アクセスが拒否されるか制限される。
2. RADIUS
RADIUS (Remote Authentication Dial-In User Service / ラディウス) は、ネットワークアクセスに関する認証、認可、アカウンティングを提供するプロトコルです。これらは AAA (Authentication, Authorization, Accounting) フレームワークと呼ばれます。RADIUS は 1991 年頃、ダイヤルアップ接続によるリモートアクセスのユーザー認証やアクセス制御を集中管理する仕組みとして登場しました。常時接続が主流となった現在でも、企業内や学内のネットワークにおいて、IEEE 802.1X 認証と連携する認証サーバーとして広く利用されています。
2-1. AAA の役割
AAA フレームワークは RFC 2904 で規定されています。
- 認証 (Authentication) : 接続してきたユーザーや端末が正当なものであるかを確認する。
- 認可 (Authorization) : 認証されたユーザーや端末に、どのようなネットワークアクセスを許可するかを決定する。
- アカウンティング (Accounting) : 接続時間や通信セッションなどの情報を記録し、利用状況の管理に使用する。
3. EAP
EAP (Extensible Authentication Protocol) とは、さまざまな認証方式を扱うための認証フレームワークです。IEEE 802.1X 認証では、サプリカントと認証サーバーの間で認証情報をやり取りするために使用されます。EAP 自体が特定の認証方式を定めているわけではなく、EAP-TLS などの方式によって具体的な認証処理が決まります。IEEE 802.1X 認証では、端末とネットワーク機器の間で EAP over LAN (EAPOL) を使用し、ネットワーク機器と RADIUS サーバーの間では EAP メッセージを RADIUS の属性に格納して転送する構成が一般的です。つまり、EAP が認証方式をやり取りする枠組みを提供し、RADIUS がネットワーク機器と認証サーバーの間の通信を仲介します。
3-1. 主な EAP 方式
- EAP-MD5 : ユーザー名とパスワードに基づいてチャレンジレスポンス認証を行う方式。サーバー認証や通信路の暗号化を提供しないため、無線 LAN などの用途には適さない。
- EAP-FAST : Cisco が開発した方式。PAC (Protected Access Credential) を利用して認証用のトンネルを確立する。新規導入では、対応状況や運用上の要件を確認する必要がある。
- PEAP (Protected EAP) : サーバー証明書を用いて TLS トンネルを確立し、その内部で MSCHAPv2 などの認証方式を利用する。クライアント側でサーバー証明書を適切に検証することが重要。
- EAP-TTLS (EAP-Tunneled TLS) : TLS トンネルを確立し、その内部でパスワード認証などの方式を利用する。対応する内部認証方式は実装によって異なる。
- EAP-TLS : クライアント証明書とサーバー証明書を利用して相互認証を行う方式。証明書の発行・配布・更新・失効管理が必要だが、証明書ベースの強固な認証を実現できる。
4. 検疫ネットワーク
検疫ネットワークとは、ネットワークに接続した端末の状態を確認し、セキュリティ要件を満たしていない端末のアクセスを制限する仕組みです。例えば、ウイルス対策ソフトウェアが有効であること、OS のセキュリティ更新が適用されていること、必要なセキュリティ設定が行われていることなどを確認し、端末の状態に応じてアクセス範囲を制御します。IEEE 802.1X 認証を応用すると、この検疫ネットワークを構築できます。
5. 参考
おわりに
気付きがあれば、追記します。