とことこロゴス
メニュー

IEEE 802.1X

読み：あいとりぷるいーはちまるにーてんいちえっくす　／　英語表記：IEEE 802.1X

有線LANや無線LANで、利用者や端末の認証結果に基づいてポート単位のネットワークアクセスを制御するIEEE規格である。認証メッセージのやり取りにEAPを利用し、通常のデータ通信を許可するか判断する。

イマシルちゃんの解説

会社のLANにケーブルを挿しただけで、誰でも社内の通信に参加できると困るよね。
IEEE 802.1Xは、利用者や端末の身元を確かめてからネットワークの利用を許可するための規格だよ。
有線LANのスイッチでも、無線LANのアクセスポイントでも使えるんだ。

接続した直後は通常のデータ通信を制限し、まず身元の確認に必要な情報をやり取りするの。
代表的な構成では、スイッチなどが端末と認証用のサーバの間でその情報を中継するよ。
確認に成功したという結果を受けてから、スイッチなどが通常の通信を通すんだ。
接続できることと、利用を許可されることを分けているんだよ。

より深い解説

定義

IEEE 802.1Xは、ポート単位でネットワークへのアクセスを制御する認証の規格である。認証が成功するまで、そのポート（無線LANでは接続）では認証のための通信以外を通さない。

3つの登場人物

役割名前例
認証を受ける側サプリカントPCやスマートフォン（の802.1X対応ソフトウェア）
認証の窓口オーセンティケータ無線LANのアクセスポイント、LANスイッチ
認証を判断する側認証サーバRADIUSサーバ
区間使うプロトコル
サプリカント ⇔ オーセンティケータEAPOL（EAP over LAN）：EAPのメッセージをLANのフレームで運ぶ
オーセンティケータ ⇔ 認証サーバRADIUS：EAPのメッセージをRADIUSのパケットに入れて運ぶ

オーセンティケータは、EAPのやり取りの中身を判断せず、サプリカントと認証サーバの間で中継するだけである。実際の認証方式（証明書を使うか、パスワードを使うかなど）は、EAPの方式で決まる。

無線LANでの流れ

  1. 端末がアクセスポイントに接続する。この時点では、認証のための通信だけが許可される
  2. EAPの方式（EAP-TLSなど）で、端末とRADIUSサーバが認証を行う
  3. 鍵を生成できるEAP方式では、端末と認証サーバがそれぞれ同じ鍵材料（MSK）を導出する。認証サーバはアクセスポイント側へ鍵材料を安全に渡し、端末とアクセスポイントが同じPMKを持つ状態にする
  4. 端末とアクセスポイントが4ウェイハンドシェイクで、その接続専用の暗号鍵を作る
  5. 以降の通信は、その鍵で暗号化される

鍵は利用者や接続ごとに動的に作られるため、全員が同じパスフレーズを使う方式より安全である。

PMK（Pairwise Master Key）は、その後の鍵を作るためのマスターキーである。端末が認証サーバから無線でPMKそのものを受け取る、と一律に考えてはいけない。端末もEAPの処理から同じ値を導出する。4ウェイハンドシェイクではPMKに加え、両者の乱数とMACアドレスなどから、接続に使うPTK（Pairwise Transient Key）を導く。PMKを持っていることの確認と、鍵の導入も行われる。

EAPは認証と鍵材料の生成、RADIUSはAPと認証サーバの間の運搬、4ウェイハンドシェイクは端末とAPの間で接続用の鍵をそろえる処理を担当する。生成された鍵でデータを実際に保護するのは、CCMPなどの無線LANの暗号方式である。

認証と組み合わせた制御

認証サーバは、認証結果と一緒に、その利用者を入れるVLANの番号などを返すことができる（ダイナミックVLAN）。同じアクセスポイントやスイッチにつないでも、利用者の所属によって別のネットワークに振り分けられる。

有線LANでの利用

LANスイッチをオーセンティケータにすれば、社内の空いているLANポートに私物のPCを勝手につないでも、ネットワークに入れないようにできる。

参考資料

実際の試験ではここに出る！全13問

ネットワークスペシャリスト

午前Ⅱ
午後Ⅰ
午後Ⅱ

この用語が出てくる記事

↑