802.1Xとは何ですか？

IEEE 802.1Xは、ポートベースのアクセス制御規格であり、デバイスがスイッチポートや無線アクセスポイントを介してトラフィックを送信する前に、そのデバイスを認証します。エンドポイント上のサプリカントが認証情報を提示すると、オーセンティケーターがそれを中継し、認証サーバー（通常は RADIUS）が、ポートを開放するかどうか、およびどの VLAN を割り当てるかを決定します。

主なポイント

• デバイスがスイッチのポートやワイヤレスネットワークに到達する前に、そのデバイスの認証を行います。
• 3つの役割：要求者、認証者、および認証サーバー。
• EAPOLは認証情報を伝送し、RADIUSは通常、それらを一元的に検証します。
• MAC認証バイパス（MAB）は、EAPOLに対応していないデバイスを対象としています。
• RADIUSは、認証に成功すると、動的にVLANを割り当てることができます。

このページの内容： その重要性 ・ 仕組み ・ 種類 · 802.1X およびVersa · よくある質問

802.1Xはなぜ重要なのでしょうか？

アンマネージドスイッチのポートやオープンなWi-Fiネットワークは、ネットワークへの侵入を容易にしてしまいます。ノートパソコンや不正なアクセスポイントを接続するだけで、LANに接続できてしまうのです。802.1Xは、ポートやSSIDがトラフィックを通過させる前に認証を義務付けることで、この脆弱性を解消し、身元確認を物理層やリンク層にまで拡大します。

これは、ケーブルや無線信号が不正なデバイスに受信される可能性がある場所――オープンプランのオフィス、キャンパス内の建物、小売店舗の売り場、支店のLANなど――において特に重要です。802.1XはIEEE規格であるため、主要なオペレーティングシステムに組み込まれたサプリカントは、どのベンダーの認証サーバーやRADIUSサーバーとも相互運用可能です。そのため、規格の承認から数十年が経過した今でも、ゼロトラストLANやWi-Fiアクセスにおけるデフォルトの制御手段として定着し続けているのです。

802.1Xとは何ですか？

802.1Xでは、相互に連携する3つの役割が定義されています。サプリカントとは、エンドポイント上のクライアントソフトウェアであり、認証情報を送信する役割を担います。オーセンティケーターとは、ネットワークアクセスデバイス（スイッチポートやアクセスポイントなど）のことで、デバイスのアクセス許可の可否を自ら決定することなく、それらの認証情報を中継し、その結果に基づくアクセス決定を適用します。認証サーバーは、認証情報を検証し、どのようなアクセスを許可するかを決定します。通常はRADIUSサーバーがこれにあたりますが、一部の導入環境では代わりにローカルで認証を行う場合もあります。

サプリカントとオーセンティケーター間の通信は、EAPOL（Extensible Authentication Protocol over LAN）を介して行われます。オーセンティケーターは、User-Name、NAS-Port、Framed-IP-Address などの RADIUS 属性を使用して、この通信内容を認証サーバーに転送します。EAPOL に対応していないデバイスは、代わりに MAC 認証バイパスを通じて MAC アドレスによって識別され、認証が完了するまでゲスト VLAN に一時的に配置されます。 認証に成功すると、ポートが開かれ、サーバーは接続許可とともにVLAN割り当てを返すことができます。

802.1Xの種類

802.1Xの導入形態は、認証情報の検証方法と、1つのポートが受け入れ可能なエンドポイント数の2つの観点で異なります。ローカル認証では、EAP-TLSを使用して、外部サーバーを介さずに、認証装置自体に搭載された信頼された証明書データベースに対して、サプリアントの証明書を検証します。一方、RADIUS認証では、その判断を外部サーバーに委ねます。これは、多数のスイッチにわたってポリシーを一元管理できるため、より一般的な選択肢となっています。

サプリカントモードは、マルチデバイスポートを制御します。「Single」モードでは、最初のデバイスのみを認証し、他のデバイスはそのセッションに便乗できるようにします。「Single-secure」モードでは、一度に1台のデバイスのみ接続を許可します。「Multiple」モードでは、すべてのデバイスを個別に認証します。標準のEAPOL認証に加え、MAC認証バイパス（MAB）では、プリンター、カメラ、その他のサプリカントを持たないデバイスについて、認証情報ではなくMACアドレスによる認証に切り替わります。

802.1X およびVersa

VOSデバイスは、802.1Xの3つの役割すべてを実装しています。「認証者」として設定されたVNIインターフェースは、スイッチポート上で802.1Xを適用します。具体的には、「IEEE 802.1Xデバイス認証の設定」で説明されているように、信頼された証明書データベースに対してスプリカントをローカルで検証するか、認証プロファイルを通じて外部RADIUSサーバーにリクエストを転送します。 同記事では、MAB、RADIUSフェイルオープン（サーバーに接続できなくなってもアクセスが継続する機能）、およびサーバーが復旧したことを検知するためのRADIUSトラッキングについても解説しています。

動的なVLAN割り当てにより、802.1XまたはMAB認証が成功すると、デバイスはゲストVLANから、RADIUSサーバーが返すVLANへ移動します。 SD-LANの導入環境では、802.1Xは再利用可能なポートプロファイルおよび認証プロファイルを通じて設定されます。詳細は、「ワークフローテンプレートを使用したSD-LANの設定（リリース22.1.4以降）」および「ワークフローテンプレートを使用したSD-LANの設定（リリース22.1.3）」を参照してください。これらでは、802.1Xポートプロファイル（サプリカントモード、 ゲストおよび認証VLAN——と、1つ以上のRADIUSサーバーを指定するプロファイルが作成されます。

よくある質問

802.1XとMAC認証バイパスにはどのような違いがありますか？

802.1Xは、デバイスがEAPOLを介して能動的に送信する認証情報を検証することで、そのデバイスの認証を行います。一方、MAC認証バイパス（MAB）は、802.1Xサプリアントを持たないプリンター、カメラ、その他のエンドポイントについて、デバイスのMACアドレスに基づいて認証を行います。MABは通常、EAPOLが応答しない場合のフォールバックとして設定されます。

802.1X認証における3つの役割とは何ですか？

「 supplicant 」とは、アクセスを要求するクライアントを指し、「 authenticator 」とは、その決定を適用するスイッチポートまたはアクセスポイントを指します。認証サーバーは、認証情報を検証し、結果を決定します。デバイスの認証は、ローカルで、あるいは外部の RADIUS サーバーによって行われます。

802.1Xにおける動的VLAN割り当てとは何ですか？

これは、認証サーバーが認証に成功した際にVLAN IDを返す機能であり、これによりデバイスをデフォルトVLANやゲストVLANから、そのアイデンティティに合致するVLANへ移動させることができます。例えば、認証済みの従業員のノートPCと、認証されていないゲストのデバイスを自動的に分離することが可能です。

802.1Xは、RADIUSなしでデバイスを認証できますか？

はい。ローカル 802.1X 認証では、EAP-TLS を使用して、外部サーバーに接続することなく、認証サーバー自体にある信頼された証明書データベースに対して、サプリカントの証明書の有効性を検証します。しかし、大規模な導入環境の多くでは、スイッチを個別に設定するのではなく、多数のスイッチにわたって認証ポリシーを一元管理できるため、依然として RADIUS が使用されています。

EAPOLとMABの違いは何ですか？

EAPOL（Extensible Authentication Protocol over LAN）は、標準の 802.1X 認証において、サプリカントの認証情報を認証サーバーへ伝送するためのトランスポートプロトコルです。一方、MAB では認証情報のやり取りは一切行われず、非 EAPOL 対応デバイスの MAC アドレスを認証サーバーに送信することで認証を行います。

802.1Xに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

802.1Xについて調べているなら、次はこれらもぜひチェックしてみてください。