ネットワークスペシャリスト 2014年 午前2 問18

IEEE802.1X＋RADIUS を用いた無線LANの利用者認証とアクセス制御【午前2 解説】

正解の理由

解法ステップ

1. IEEE802.1Xの三者モデルを確認する：サプリカント（端末）、オーセンティケータ（接点）、認証サーバ。
2. 各選択肢がどの役割をどの機器に割り当てているかを当てはめる。
3. RADIUSの役割を確認：認証サーバとやり取りするのはRADIUSサーバとRADIUSクライアント。オーセンティケータはRADIUSクライアントとして振る舞う。
4. 選択肢を照合して矛盾がないものを選ぶ（イが一致）。

選択肢別の誤答解説

• ア: PCにサプリカントを実装する点は正しいが、PCがRADIUSクライアントの機能を持つのは誤り。PCは認証情報をAPへEAPで送る役割で、RADIUSプロトコルはAPが用いる。
• イ: 正解。APがオーセンティケータとしてEAPを処理し、RADIUSクライアントとして認証サーバへ問い合わせる構成は標準的。
• ウ: APにサプリカントを置くのは役割が逆で不適切。さらにAPがRADIUSサーバになる構成は一般的でない（スケーラビリティや管理の観点から）。
• エ: サーバにオーセンティケータを置くのは役割の取り違え。オーセンティケータはネットワーク接続点である必要があり、サーバは認証サーバ（RADIUS）機能を持つのが正しい。

よくある誤解

• 誤解1：PC（端末）がRADIUSサーバへ直接接続して認証すると思う。→ 実際は端末はサプリカントで、認証要求はオーセンティケータ経由でRADIUSサーバへ送られます。
• 誤解2：アクセスポイントにRADIUSサーバ機能があると思う。→ 多くの現場ではRADIUSサーバは集中管理用の専用サーバで、APはクライアントとして振る舞います。
• 誤解3：オーセンティケータとRADIUSクライアントが同義だと誤認する。→ オーセンティケータは802.1Xの機能的役割、RADIUSクライアントはRADIUSプロトコルを用いる際の実装機能で、APは両方を兼ねることが多いが概念は区別されます。

補足コラム

• 実運用ではAP（オーセンティケータ）がWLANコントローラやスイッチと連携し、RADIUSサーバはActive DirectoryやLDAPと連携してユーザ情報を管理します。
• EAP（Extensible Authentication Protocol）は802.1X上で動き、EAP-TLSやPEAPなどの方式で証明書やユーザ認証を行います。APはEAPパケットをRADIUSのEAP-Message属性に載せてRADIUSサーバへ中継します。
• セキュリティ面ではRADIUSとAP間の通信にIPsecやTLSを用いることは一般的ではありませんが、RADIUSでは共有秘密鍵を使った通信が前提となります。最新環境ではRADIUS over TLS（RadSec）などもあります。

FAQ