802.1Xポートベース認証の仕組みと企業LANへの導入ガイド｜有線・無線を統合したアクセス制御を情シス1人で実装する実践手順

「社内のスイッチに何でも刺せてしまう」「退職者のPCが誰かに使われても気づけない」――有線LANのアクセス管理を後回しにしている現場は少なくありません。

無線LAN（Wi-Fi）はWPA3・802.1X認証がほぼ標準になりつつある一方、有線LANは依然として「繋いだら終わり」のままになっているケースが多いです。802.1X認証を導入すれば、有線・無線どちらのポートに接続しても「誰の端末か」「正規端末か」を確認してからネットワークアクセスを許可する仕組みが実現できます。

この記事では、802.1Xポートベース認証の仕組みと実際の導入手順を、現場で使えるレベルで解説します。FreeRADIUSを使った認証サーバーの構築から、スイッチ・無線APの設定、Windowsクライアントの設定まで、情シス1人でも進められる範囲を具体的に示します。

802.1Xとは？なぜ今ネットワーク認証が重要か

802.1XはIEEE（米国電気電子学会）が策定したポートベースのネットワークアクセス制御（PNAC）の規格です。有線LANのポートや無線LANのアクセスポイントへの接続時に事前認証を要求する仕組みを定義しており、認証が通過するまでネットワークへの通信は一切できません。

なぜ今802.1Xなのかというと、主に3つの背景があります。

・内部ネットワークを「信頼しない」ゼロトラストの考え方の普及: 物理的にLANポートに繋がっているからといって、その端末が安全とは限らないというゼロトラストの前提が企業でも求められるようになっています。
・持ち込み端末・ゲスト端末のリスク増大: テレワーク後に私物PCを会社のLANポートに繋ぐ、来客の端末がLANケーブルを挿してしまうなど、管理外端末の接続リスクは以前より高まっています。
・横展開（ラテラルムーブメント）の防止: 攻撃者が一度社内ネットワークに侵入した後、横展開で被害を拡大するケースが増えています。802.1X認証とVLANによるネットワーク分離を組み合わせることで、侵害範囲を最小化できます。

802.1Xの仕組み｜3つの登場人物を理解する

802.1Xは「サプリカント」「オーセンティケーター」「認証サーバー」という3者が連携して動作します。この3者の役割を理解することが設計・設定の出発点になります。

1. サプリカント（接続を要求する端末）

サプリカントは、ネットワークへの接続を要求する側の端末（PCやスマートフォンなど）です。802.1X認証に対応した「サプリカントソフトウェア」が端末に必要です。

Windows 10/11、macOS、主要なLinuxディストリビューションは標準でサプリカント機能を内蔵しています。エンタープライズ向けにはCisco ISE用のAnyConnect NAMなど専用クライアントもあります。

2. オーセンティケーター（スイッチや無線AP）

オーセンティケーターは、サプリカントからの認証要求を認証サーバーに中継する役割を担います。具体的にはL2スイッチや無線LAN APがこれに該当します。

認証が完了するまでポートを「制御されていないポート」として扱い、EAPパケット（後述）以外の通信をすべてブロックします。認証が成功すると「制御されたポート」に切り替わり、通常のネットワーク通信が可能になります。

3. 認証サーバー（RADIUSサーバー）

認証サーバーは、サプリカントが提示した認証情報（証明書やパスワード）を検証し、「許可」または「拒否」の判定を返します。事実上の標準としてRADIUSプロトコルが使われます。

オーセンティケーターと認証サーバー間はRADIUSプロトコルで通信し、オーセンティケーターとサプリカント間はEAP over LAN（EAPoL）プロトコルで通信します。RADIUSの仕組みや設定の詳細については別記事で詳しく解説しています。

EAPの種類と選び方

EAP（Extensible Authentication Protocol）は、802.1Xで使われる認証プロトコルです。いくつかの方式があり、セキュリティ強度と運用コストのバランスで選びます。

1. EAP-TLS（証明書ベース・最高セキュリティ）

クライアント証明書とサーバー証明書の両方を使った相互認証を行います。パスワードを使わないため、フィッシングやパスワード漏洩のリスクがゼロです。

セキュリティは最高水準ですが、クライアント証明書を全端末に配布・管理する必要があり、PKI（公開鍵基盤）の整備が前提になります。管理工数が大きいため、大規模企業向けです。

2. PEAP（パスワードベース・導入しやすい）

Protected EAPの略。TLSトンネルを作った上でMS-CHAPv2（Microsoftの認証プロトコル）でパスワード認証を行います。クライアント証明書が不要なため、Active Directory環境と相性がよく、中小企業でも導入しやすいです。ただしパスワードを使う以上、パスワード漏洩リスクはゼロにできません。

3. EAP-TTLS（PEAP代替・クロスプラットフォームに強い）

TLSトンネル内でさまざまな認証プロトコルが使えます。PEAPより柔軟性が高く、LinuxやmacOSでの対応実績も豊富です。Windows Serverとの統合はPEAPほど単純ではないため、設定難易度はやや高めです。

具体的な導入ステップ

ここではオープンソースのRADIUSサーバー「FreeRADIUS」を使ったPEAP/MS-CHAPv2方式の構築例を示します。いずれも想定例として示すもので、実際の環境では機器やOSのバージョンに合わせた設定確認が必要です。

1. FreeRADIUSサーバーを準備する（Ubuntu/Debian系・想定例）

# FreeRADIUSのインストール
sudo apt update
sudo apt install freeradius freeradius-utils -y

# サービスの起動確認
sudo systemctl status freeradius

# FreeRADIUSの主要設定ファイルが格納されるディレクトリ
ls /etc/freeradius/3.0/

FreeRADIUSの主要な設定ファイルは以下のとおりです。

・/etc/freeradius/3.0/clients.conf: オーセンティケーター（スイッチ・AP）をRADIUSクライアントとして登録する
・/etc/freeradius/3.0/mods-enabled/eap: EAP方式（PEAP/EAP-TLS等）の設定
・/etc/freeradius/3.0/users: テスト用ローカルユーザーアカウント（本番はActive DirectoryやLDAPと連携）

RADIUSクライアント（スイッチ）をclients.confに追加する想定例です。

# /etc/freeradius/3.0/clients.conf への追記例（想定例）
client core-switch-01 {
    ipaddr = 192.168.1.1          # スイッチのIPアドレス
    secret = your-shared-secret   # スイッチと共有する事前共有鍵（十分に長いランダム文字列を使用）
    shortname = core-switch-01
    nas_type = cisco              # 機器ベンダーに合わせて変更
}

共有鍵（secret）は十分に長いランダム文字列を使用し、各スイッチごとに異なる値を設定してください。

2. スイッチの802.1X設定（Cisco Catalyst系・想定例）

Cisco Catalyst系スイッチを想定した設定例です。実際の機器やIOSバージョンにより構文が異なります。

# グローバル設定：RADIUSサーバーを指定
radius server RADIUS-SRV
 address ipv4 192.168.1.10 auth-port 1812 acct-port 1813
 key your-shared-secret

# グローバルで802.1Xを有効化
aaa new-model
aaa authentication dot1x default group radius
dot1x system-auth-control

# アクセスポートに802.1X認証を適用
interface GigabitEthernet0/1
 switchport mode access
 switchport access vlan 10
 authentication port-control auto   # 認証前はブロック、認証後に通信許可
 dot1x pae authenticator
 spanning-tree portfast

authentication port-control autoが核心的な設定です。autoにすることで、認証が通過するまでポートをブロックし、認証成功後に通常通信を許可します。

3. Windowsクライアントでのサプリカント設定（想定例）

Windows 10/11では、ネットワークアダプターのプロパティから802.1X認証の設定が可能です。グループポリシー（GPO）を使えば、Active Directoryに参加した全端末に一括展開できます。

GPOでの一括展開手順の概要は以下のとおりです。

・グループポリシー管理エディターを開く
・コンピューターの構成 → Windowsの設定 → セキュリティの設定 → 有線ネットワーク（IEEE 802.3）ポリシー
・新しいポリシーを作成し、EAPの種類（PEAP/MS-CHAPv2）とRADIUSサーバー証明書の検証設定を入力
・GPOをドメイン全体またはOU単位に適用して端末に配布

GPOによる一括展開を使えば、個別端末への手動設定なしに802.1X認証を組織全体で有効化できます。

中小企業でも今日からできること

802.1X認証の完全導入はハードルが高いと感じるかもしれませんが、段階的に進める方法があります。

・まず無線LANから始める: 多くの中小企業向け無線APはWPA2/WPA3-Enterprise（802.1X）を標準でサポートしています。有線より設定が単純なケースも多いため、まず無線LANで試験導入するのが現実的です。
・MAB（MAC Address Bypass）で既存機器を巻き込む: IPカメラ・プリンターなど、サプリカント機能を持たないIoT機器は「MACアドレス認証（MAB）」で対応できます。802.1Xに失敗した場合にMACアドレスで認証する仕組みです。管理外MACアドレスはゲストVLANに隔離することも可能です。
・Windows Server NPSを活用する: Windows Server環境があればNPS（Network Policy Server）が無償で利用できます。Active Directoryと連携したPEAP認証であれば、追加コストを最小限に抑えられます。
・フェーズを分けて展開する: いきなり全ポートに適用せず、まず重要サーバーや会議室など特定エリアに限定して試験導入し、問題がなければ展開範囲を広げるアプローチが安全です。

NAC（ネットワークアクセス制御）の全体像を理解しておくと、802.1Xをどのような文脈で位置づけるかが明確になります。ゼロトラストの文脈ではZTNA（ゼロトラストネットワークアクセス）と組み合わせることで、リモートアクセスと社内LAN双方のアクセス制御を統一した設計が可能です。

よくある誤解と注意点

【注意】802.1Xは完全な防御ではない

802.1Xを導入しても、MACスプーフィング（MACアドレスの詐称）によるMABバイパス攻撃のリスクは残ります。認証済みの端末にマルウェアが感染した場合の横展開も防げません。VLANによるセグメンテーションや、NACのポスチャーチェック（端末のOSパッチやセキュリティソフトの状態確認）と組み合わせることで防御の厚みが増します。

【注意】フォールバック設定のゲストVLANをファイアウォールで制御する

802.1X対応でないプリンターやIPカメラのために「認証失敗時にゲストVLANに落とす」設定を入れることがありますが、この設定が攻撃者に悪用されることがあります。ゲストVLANは重要サーバーやActive Directoryにアクセスできないよう、ファイアウォールでの通信制御が必須です。

【注意】RADIUSサーバーの冗長化を必ず設計する

RADIUSサーバーが停止すると全ポートで認証ができなくなり、ネットワーク接続が一切不能になる危険があります。本番導入時は、プライマリ・セカンダリの2台体制でRADIUSサーバーを冗長化してください。スイッチ側にもフォールバックの待機タイムアウト設定が必要です。

本記事のまとめ

802.1Xポートベース認証は、「LANに繋いだら終わり」という状態から抜け出すための有効な手段です。すべてを一度に導入する必要はなく、まず無線LANへの適用や重要エリアへの限定導入から始めることで、情シス1人でも現実的に進められます。

ゼロトラストの考え方では「ネットワーク内にいるから安全」は通用しません。接続してくる端末を都度確認・認証する仕組みは、今後のセキュリティ設計において欠かせないピースのひとつです。