第6章 · ネットワークセキュリティ·v1.0.0·更新 2026/7/10·読了目安 約16分
変更要約: 初版
6.3認証と暗号・PKI
この節の要点
ネットワークアクセスを一元的に認証するRADIUS、認証方式を拡張するEAP（EAP-TLS・PEAP）、ポート単位でアクセス制御するIEEE 802.1Xと認証VLAN、鍵の扱いが異なる共通鍵暗号と公開鍵暗号、そして通信相手の身元を保証するデジタル証明書・PKI・CA、改ざん検知と真正性証明を担うハッシュ・デジタル署名を学びます。
「誰がネットワークに接続してよいか」を制御する認証と、「なりすまし・改ざんを防ぐ」暗号・PKIは、ネットワークセキュリティの根幹です。ネットワークスペシャリストには、有線LANの各ポートや無線LANのアクセスポイントで、どの認証方式（802.1X・EAPの種類）を選べば要件（証明書運用の負荷、既存のパスワード基盤との親和性等）に見合うかを判断する力が求められます。
6.3.1RADIUSとEAP
- RADIUS＝認証・認可・アカウンティング（AAA）を一元的なサーバに集約するプロトコル。多数のアクセスポイントやVPN機器、スイッチのポートごとに個別のユーザーDBを持たせる代わりに、RADIUSサーバに認証を問い合わせることでユーザー管理を一元化できる。
- EAP（拡張認証プロトコル）＝認証方式そのものを差し替え可能にするフレームワーク。EAP-TLSはクライアント証明書とサーバ証明書の双方向の証明書認証を行い最も強固だが、全クライアントへの証明書配布・管理コストが高い。PEAPはサーバ側のみ証明書を使いTLSトンネルを確立した上で、その中でクライアントはID/パスワード等の軽量な認証を行う方式で、証明書管理コストを抑えつつ一定の強度を確保できる。
6.3.2IEEE 802.1Xと認証VLAN
- IEEE 802.1X＝スイッチのポートや無線LANアクセスポイント単位で、接続端末を認証するまで通信を許可しないポートベース認証の標準規格。登場人物は認証を要求するサプリカント（端末）、ポートで中継するオーセンティケータ（スイッチ/AP）、実際に認証判定する認証サーバ（RADIUSサーバ）の3者。
- 認証VLAN＝802.1Xの認証結果に応じて、接続端末を動的に異なるVLANへ割り当てる仕組み。認証済みの社員端末は業務VLANへ、未認証・ゲスト端末は隔離された（インターネットのみ許可等の）VLANへ自動的に振り分けることで、認証と論理的なネットワーク分離を連動させられる。