無線LAN環境の実現｜情報処理安全確保支援士 平成29年 春期午前Ⅱ試験 問17
出典：平成29年春期 午前Ⅱ 問17
分野：セキュリティ ／ セキュリティ実装技術
利用者認証情報を管理するサーバ1台と複数のアクセスポイントで構成された無線LAN環境を実現したい。PCが無線LAN環境に接続するときの利用者認証とアクセス制御に，IEEE 802.1XとRADIUSを利用する場合の標準的な方法はどれか。
- ア：PCにはIEEE 802.1Xのサプリカントを実装し，かつ，RADIUSクライアントの機能をもたせる。
- イ：アクセスポイントにはIEEE 802.1Xのオーセンティケータを実装し，かつ，RADIUSクライアントの機能をもたせる。
- ウ：アクセスポイントにはIEEE 802.1Xのサプリカントを実装し，かつ，RADIUSサーバの機能をもたせる。
- エ：サーバにはIEEE 802.1Xのオーセンティケータを実装し，かつ，RADIUSサーバの機能をもたせる。
TSUNAGARU-ADVICE
まず押さえたいこと
IEEE 802.1Xを用いた無線LAN認証では、PCがサプリカント、アクセスポイントがオーセンティケータ、認証情報を管理するサーバがRADIUSサーバの役割を担います。アクセスポイントはPCからの認証要求を受け、RADIUSサーバへ中継するため、IEEE 802.1XのオーセンティケータかつRADIUSクライアントとして動作します。
迷ったときの判断軸
PCは認証を受ける側なのでサプリカントです。ただし、RADIUSサーバへ直接認証要求を送るRADIUSクライアントではありません。RADIUSクライアントになるのは、認証要求をRADIUSサーバへ中継するアクセスポイントです。サーバは認証を判定する側なのでRADIUSサーバであり、オーセンティケータではありません。PC、アクセスポイント、認証サーバの役割分担で切り分けましょう。
科目Bにつなげるために
科目Bでは、無線LAN・IEEE 802.1X・RADIUS・EAP・サプリカント・オーセンティケータ・認証サーバの関係が構成図で問われることがあります。通信の流れを読むときは、PCが認証を要求し、アクセスポイントが接続可否を制御し、RADIUSサーバが認証情報を確認するという、認証要求の中継とアクセス制御の流れを追いましょう。
IEEE 802.1Xでは、利用者端末・アクセスポイント・認証サーバがそれぞれ下記の役割を分担します。
PCはサプリカントとして認証要求を行い、アクセスポイントはオーセンティケータとしてPCからの認証要求を受け付けます。アクセスポイントはRADIUSクライアントとしてRADIUSサーバへ認証情報を中継し、RADIUSサーバが利用者認証を行います。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：PCにはIEEE 802.1Xのサプリカントを実装し，かつ，RADIUSクライアントの機能をもたせる。
⇒PCがサプリカントとして動作する点は正しいですが、RADIUSクライアントとしてRADIUSサーバと通信するのは通常アクセスポイントです。
ウ：アクセスポイントにはIEEE 802.1Xのサプリカントを実装し，かつ，RADIUSサーバの機能をもたせる。
⇒アクセスポイントはサプリカントではなくオーセンティケータとして動作します。また、標準的な構成ではRADIUSサーバは別途用意され、アクセスポイントはRADIUSクライアントとして動作します。
エ：サーバにはIEEE 802.1Xのオーセンティケータを実装し，かつ，RADIUSサーバの機能をもたせる。
⇒サーバはRADIUSサーバとして認証情報を管理しますが、IEEE 802.1Xのオーセンティケータとして接続制御を行うのはアクセスポイントです。