RADIUSとは何ですか？

RADIUS（Remote Authentication Dial-In User Service）は、ネットワークアクセスに関する認証、認可、およびアカウンティングを一元化する分散型クライアント・サーバープロトコルです。ネットワークデバイスは、ユーザーまたはデバイスの認証情報をRADIUSサーバーに転送し、RADIUSサーバーは外部データベースと照合して、承認、拒否、またはチャレンジの判定を返します。

主なポイント

• RADIUSは、認証、認可、およびアカウンティング（AAA）を一元管理します。
• 「Access-Request」、「Access-Accept」、および「Access-Reject」は、認証を制御します。
• 802.1Xでは、認証装置の背後にある認証サーバーとしてRADIUSを使用します。
• RADIUSのアカウンティングおよびCoAは、プロトコルの適用範囲をログインの可否判定の枠を超えて拡張します。
• VOSデバイスとVersa Directorは、いずれもRADIUSを介してユーザーの認証を行います。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ RADIUS およびVersa · よくある質問

RADIUSはなぜ重要なのでしょうか？

RADIUSが登場する前は、各ネットワークデバイスが独自のユーザー名とパスワードのリストを管理していたため、ユーザーを追加したりアクセス権を剥奪したりするには、すべてのスイッチやVPNコンセントレータを個別に操作する必要がありました。RADIUSはこの作業を一元化しました。各デバイスは自ら認証の判断を行うのをやめ、代わりに信頼できる認証機関に問い合わせるようになったため、ポリシーを1か所で変更すれば即座にすべての場所に反映されます。また、攻撃者がシステムを侵害するために狙う必要があるのは、数十か所ではなく、たった1つの認証情報ストアだけとなります。

こうした一元化こそが、RADIUSがその名前の由来となったダイヤルアップ時代を乗り越え、802.1Xポートアクセス、VPNコンセントレータ、および管理用ログインのデフォルトの認証バックエンドとなった理由です。RADIUSは軽量でベンダーに依存せず、主要なネットワークOSすべてでサポートされています。そのアカウンティング機能には、もう1つの利点があります。それは、すべてのセッションが一元的に記録されるため、各デバイスに個別の計測機能を組み込むことなく、利用状況の監査が可能になるという点です。

RADIUSとは何ですか？

RADIUSの通信には、3つの役割があります。すなわち、サプリカント（アクセスを要求するユーザーまたはデバイス）、ネットワークアクセスサーバー（NAS）（RADIUSクライアントとして機能するスイッチ、コントローラ、またはゲートウェイ）、そしてRADIUSサーバーそのものです。 NASは、サプリカントの認証情報を、NAS-IP-Address、NAS-Port、Service-Typeなどのリクエストを記述する属性を付加して、Access-Request UDPパケット（通常はポート1812宛てに送信される）に封入します。RADIUSサーバーは、Access-Accept、Access-Reject、またはAccess-Challengeで応答します。

NASとサーバーの両方で設定された共有秘密鍵が、この通信を保護します。これにより、パスワードフィールドが難読化され、サーバーは「Message-Authenticator」属性を通じて、メッセージが改ざんされていないことを確認できます。このプロトコルは属性ベースであるため、「Access-Accept」には「はい」または「いいえ」という回答だけでなく、VLANの割り当て、セッションのタイムアウト、あるいはNASがその後適用するその他の認証データを含めることができます。

RADIUSの種類

RADIUSとは、実際には同じプロトコルに基づく一連のメッセージ交換の総称です。認証は、前述した「Access-Request」「Access-Accept」「Access-Reject」「Access-Challenge」というメッセージ交換が中核をなしています。アカウンティングは、従来ポート1813で行われる独立したメッセージ交換であり、「Start」「Interim-Update」「Stop」レコードを使用して、サーバーがセッションの継続時間や利用状況を追跡できるようにしています。

RFC 5176 で標準化された「認証変更（CoA）」により、サーバーは、クライアントが再認証を行うことなく、すでに認証済みのセッションに変更（セッションの切断や属性の変更など）を適用することができます。 4つ目のパターンであるMAC認証バイパス（MAB）は、802.1Xを実行できないデバイスに対して、通常のRADIUS認証を転用するものです。NASはデバイスのMACアドレスをユーザー名とパスワードの両方として送信することで、プリンターやIP電話などの非EAPOLクライアントも同様の方法で認証できるようにします。

RADIUS &Versa

VOSデバイスは、IEEE 802.1Xデバイス認証の背後にある認証サーバーとしてRADIUSを使用します。VOSインターフェースは認証者（authenticator）として機能し、サプリカントの認証情報を、設定されたRADIUSサーバーオブジェクト（IPアドレス、ポート、ルーティングインスタンス、共有秘密鍵、および冗長性優先度）に中継します。 RADIUS タイプの 802.1X 認証プロファイルには、サーバーと交換される属性（NAS 識別子、NAS IP、NAS ポート、COA ポート、フレーム化 MTU）に加え、オプションの RADIUS アカウンティング、RADIUS フェイルオープン（サーバーに到達できない場合でもクライアントをオンライン状態に維持する）、および RADIUS トラッキング（ダウンしていたサーバーが復帰した際に 1 回再試行する）が含まれます。 非EAPOLクライアントは、MAC認証バイパスを介して同様の方法で認証を行い、VLANの割り当ては応答内で動的に返されます。これらはすべて、LAN接続プロファイルを通じてインターフェースごとに設定可能です。

組織レベルでは、「組織設定の管理」機能により、エンドユーザー認証用のエンタープライズ RADIUS プロファイル（LDAP や SAML プロファイルと同様に認証ルールに紐付けられます）に加え、Wi-Fi アクセスポイント用の独立した Wi-Fi RADIUS プロファイルが提供されます。また、Versa Director 自体も、管理者認証用の RADIUS をサポートしています。

よくある質問

RADIUSはどのポートを使用しますか？

従来、RADIUS認証ではUDPポート1812が、アカウンティングではUDPポート1813が使用されますが、これらはプロトコルによって固定されているわけではなく、サーバーオブジェクトごとに設定可能です。一部の古い環境では、依然としてレガシーポートである1645および1646が使用されているため、サーバーは両方のポートペアに対応する必要がある場合があります。

RADIUS認証とRADIUSアカウンティングの違いは何ですか？

認証では、セッション開始前に交換される「Access-Request」、「Access-Accept」、「Access-Reject」メッセージを用いて、ユーザーまたはデバイスがアクセス権を得るかどうかを決定します。アカウンティングは、アクセスが許可された後に、セッションの利用状況（開始、中間更新、終了）を記録するための、これとは別のメッセージ交換です。

MAC認証バイパス（MAB）とは何ですか？

MABは、プリンターやIP電話など、802.1Xを実行できないデバイスの認証を行う際、そのデバイスのMACアドレスをユーザー名とパスワードの両方としてRADIUSサーバーに送信します。これにより、EAPOL非対応のクライアントも、802.1Xサプリカントと同じRADIUSインフラストラクチャを介してネットワークにアクセスできるようになります。

RADIUSの「認証変更（CoA）」とは何ですか？

RFC 5176 で定義されている CoA により、RADIUS サーバーは、クライアントが再認証を行うことなく、すでに認証済みのセッションを変更または終了させることができます。例えば、VLAN の割り当てを更新したり、タイムアウトを待つことなく、直ちにアクセス権を無効にする必要があるユーザーの接続を切断したりすることが可能です。

RADIUSとLDAPはどのように異なるのでしょうか？

RADIUSは、ネットワークアクセスの可否を決定するための「要求／承認／拒否」のやり取りを基盤とする認証およびアカウンティングプロトコルです。LDAPは、ユーザーやグループの情報を照会するためのディレクトリアクセスプロトコルです。多くの導入事例では、これら2つを組み合わせて使用しています。つまり、RADIUSがアクセスの可否を決定し、LDAPがその背後にある識別情報を提供するのです。

RADIUSに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

RADIUSについてお読みなら、次はこれらもぜひチェックしてみてください。