とことこロゴス
RADIUS
ネットワークにつなぐ利用者の認証、許可、利用記録をまとめて行うためのプロトコル。アクセスポイントやVPN装置などが、RADIUSサーバに認証を問い合わせる。
イマシルちゃんの解説
会社のWi-Fiをいくつものアクセスポイントで使うとき、どこからつないでも同じように社員の本人確認ができると便利だよね。
でも、入口の機器ごとに全員のIDやパスワードを登録するのは大変なんだ。
そんなときに使えるのが、RADIUS！
アクセスポイントは「この人を接続させていい？」と認証サーバに問い合わせて、その返事をもとに通すかどうか決めるよ。
接続先のネットワークに関する指示を受け取ったり、利用時間などを記録として送ったりすることもできるの。
こうして入口の機器と認証を判断する場所を分けられるから、たくさんの機器でも管理しやすくなるんだよ。
この解説はわかりやすかったですか？
より深い解説
定義
RADIUS（Remote Authentication Dial In User Service）は、RFC 2865（認証・認可）とRFC 2866（アカウンティング）で定められた、利用者の認証のためのプロトコルである。もとはダイヤルアップ接続のために作られたが、現在は無線LAN（IEEE 802.1X）やVPNの認証で広く使われている。
RADIUSは、クライアントとアクセスポイントの間の通信を暗号化するための規格ではなく、アクセスポイントなどの機器と認証サーバの間で、認証の問合せと結果をやり取りするためのものである。
接続を管理する三つの役割
RADIUSは、次の3つの機能（AAA）を提供する。
| 機能 | 内容 |
|---|---|
| Authentication（認証） | 利用者が本人かを確かめる |
| Authorization（認可） | 利用者に何を許可するかを決める（接続先のVLANなど） |
| Accounting（アカウンティング） | 利用の開始、終了、時間などを記録する |
構成とポート番号
| 役割 | 例 |
|---|---|
| RADIUSクライアント（NAS） | 無線LANのアクセスポイント、LANスイッチ、VPN装置 |
| RADIUSサーバ | 利用者の情報を持ち、認証を判断する |
RADIUSクライアントとRADIUSサーバは、あらかじめ共有シークレット（共通の秘密の文字列）を設定しておき、これを使って相手を確かめ、パスワードの属性を保護する。
プロキシサーバや業務サーバが利用者の認証を外部へ依頼する構成でも、問い合わせを受ける側が認証サーバである。通常のRADIUS/UDPでは、要求を受けるサーバの宛先ポートが1812になる。利用者のPCがそのままRADIUSクライアントになるとは限らず、利用者との接続を受ける装置が認証要求を代理で送る。
弱点と対策
RADIUSで暗号化されるのはパスワードの属性だけで、ほかの属性は平文で送られる。また、ハッシュにMD5を使っている。そのため、RADIUSの通信をTLSで保護するRadSec（RADIUS over TLS）などが使われることもある。
似たプロトコルとの比較
| プロトコル | トランスポート | 主な用途 |
|---|---|---|
| RADIUS | UDP | ネットワークへの接続の認証 |
| TACACS+ | TCP（49番） | ネットワーク機器への管理者のログインの認証。通信の全体を暗号化し、コマンドごとの認可もできる |
| Diameter | TCP、SCTP | RADIUSの後継として設計された。携帯電話網などで使われる |
参考資料
実際の試験ではここに出る！全14問
ネットワークスペシャリスト
- 午前Ⅱ
- 午後Ⅰ
- 午後Ⅱ