情報処理安全確保支援士 2018年 秋期 午前2 問17

802.1XとRADIUS構成方式【午前2解説】

正解の理由

• 802.1X のプロトコルでは端末⇔AP間でEAPOL（EAP over LAN）を用い、APはEAPを受け取ってRADIUSクライアントとしてRADIUSサーバへ転送する（EAP over RADIUS）。この役割はAPが「オーセンティケータ＋RADIUSクライアント」であることを要求します。
• RADIUSサーバは認証判断と利用者情報の管理を行う中央サーバであり、AP自体がRADIUSサーバの機能を担うのは運用上・設計上一般的ではないため、選択肢の原文が誤記であると解釈して正答とします。

解法ステップ

1. 802.1X の基本的な役割を思い出す：端末 = supplicant、ネットワーク接続機器 = authenticator、認証サーバ = authentication server（RADIUSなど）。
2. 各選択肢で「誰がsupplicantか」「誰がauthenticatorか」「誰がRADIUS client/serverか」を1対1で対応させる。
3. EAPOL（端末⇔AP）とEAP over RADIUS（AP⇔RADIUSサーバ）の流れが成立する構成を正答とする。
4. 選択肢に表記不整合（担当役割が入れ替わっている等）がある場合、標準の役割分担に基づいてどの語句が誤記かを明示して読み替える。

選択肢別の誤答解説

• ア: 「PCにはIEEE802.1Xのサプリカントを実装し、かつ、RADIUSクライアントの機能をもたせる。アクセスポイントにはIEEE802.1Xのオーセンティケータを実装し、かつ、RADIUSクライアントの機能をもたせる。」
  問題点：PCがRADIUSクライアントを持つ必要は通常ない（RADIUSはAP/スイッチがクライアントとなり認証サーバへ送る）。端末はsupplicantであり、RADIUSクライアント機能を端末に与えるのは誤り。
• イ:（原文）「アクセスポイントにはIEEE802.1Xのサプリカントを実装し、かつ、RADIUSサーバの機能をもたせる。」
  原文のままでは誤り。APがsupplicantかつRADIUSサーバという組合せは802.1Xの標準的置き方と矛盾する。ここでは「誤記」として「AP = オーセンティケータ + RADIUSクライアント」と読み替えると正しい構成になるため、正解として扱う。
• ウ:（問題データではイと同文の重複があるが）同様に原文どおりでは誤り。もし出題で同一文が複数ある場合は出題ミスの可能性があるが、解釈は上と同じ。
• エ: 「サーバにはIEEE802.1Xのオーセンティケータを実装し、かつ、RADIUSサーバの機能をもたせる。」
  問題点：認証サーバが802.1Xのオーセンティケータを実装する、という表現は不適切。オーセンティケータは端末と認証サーバの仲介役（AP等）であり、認証サーバ自体はRADIUSサーバとしてEAP を処理する役割（authentication server）を持つが、「オーセンティケータ実装」は不自然であり標準構成ではない。

よくある誤解

• APは必ずRADIUSサーバを兼ねると思い込みやすい：実務では小規模でAPに認証DBを搭載する特殊例はあるが、802.1X＋RADIUSの「標準的」方式はAPがRADIUSクライアントで、中央のRADIUSサーバへ認証要求を送る構成です。
• supplicant と authenticator を混同する：端末がサプリカント、APやスイッチがオーセンティケータ（ポート制御を行う）であることを押さえておきましょう。

補足コラム

• プロトコルの流れ（簡易）
  1. 端末（supplicant）⇔AP（authenticator）：EAPOLで認証要求／応答をやり取り。
  2. AP（RADIUSクライアント）⇔RADIUSサーバ：APは受け取ったEAP情報をRADIUSパケットに載せて送信（EAP over RADIUS）。
  3. RADIUSサーバが認証を行い、許可／不許可をAPに返す。APはポート開放／閉鎖で通信可否を制御する。
• 用語整理：EAP（拡張認証プロトコル）自体は認証方式の枠組み、EAPOLはLAN上の搬送、EAP over RADIUSはAPとRADIUS間の搬送を指します。

FAQ