RADIUS認証とは？802.1X・VPN・Wi-Fiアクセス制御の仕組みと中小企業でもできる設定ガイド

社内ネットワークへの接続を「誰でもOK」から「登録ユーザーだけ」に絞りたい。退職者のアカウントが使われ続けていないか不安がある。Wi-FiやVPNのパスワードが全社員共有のままで、セキュリティ的に問題があると聞いた—。

こうした悩みを抱える情シス担当者が共通して直面するのが、「ネットワークアクセスを誰が、いつ、どこから行ったかを管理しきれない」問題です。

その解決策として30年以上実績を持つのがRADIUS認証（Remote Authentication Dial-In User Service、ラディウス認証）です。802.1Xによる有線LAN認証、Wi-Fiエンタープライズ、VPN、ネットワーク機器の管理ログインまで—企業ネットワークの「入口」を一元管理する業界標準のプロトコルです。

この記事では、RADIUSの仕組みから攻撃者が狙うポイント、FreeRADIUSを使った具体的な設定手順、中小企業でも今日から導入できる構成まで、現場で使えるレベルで解説します。

RADIUS認証とは？なぜ今でも企業ネットワークの標準なのか

RADIUSは1991年にLivingston Enterprises社が開発し、現在はRFC 2865として標準化されたネットワーク認証プロトコルです。名前に「Dial-In」とある通り、もともとはダイヤルアップ接続の認証に使われていましたが、現代では企業ネットワークのあらゆる認証基盤として機能しています。

RADIUSが担うのはAAAと呼ばれる3つの機能です。

・Authentication（認証）: 「あなたは誰か？」を確認する。ユーザー名とパスワード、または証明書で本人確認を行う
・Authorization（認可）: 「あなたには何が許可されているか？」を決める。VLAN割り当て、アクセス可能なリソースの制限など
・Accounting（アカウンティング）: 「誰が、いつ、どこから接続したか？」の記録。セキュリティ監査やコンプライアンス対応に活用する

この3機能を一つのプロトコルで提供できるため、シスコ、ジュニパー、HPEなどほぼすべてのネットワーク機器がRADIUSをネイティブサポートしています。30年以上変わらず使われ続けているのは、それだけ現場での実績と汎用性があるからです。

RADIUSの仕組み—攻撃者の視点で知る認証フロー

RADIUSは「クライアント（NAS）」「RADIUSサーバー」「ユーザーディレクトリ（AD/LDAP）」の3層構造で動作します。

# RADIUS認証の基本フロー
# 1. ユーザーがスイッチやVPNゲートウェイに接続要求を送る
# 2. NAS（スイッチ等）がRADIUSサーバーにAccess-Requestを送信
#    → UDP 1812番ポートを使用（デフォルト）
# 3. RADIUSサーバーがAD/LDAPで認証情報を照合する
# 4. 認証OKなら Access-Accept（+VLANなどの属性）を返す
#    認証NGなら Access-Reject を返す
# 5. NASがユーザーの接続を許可または拒否する
# ※アカウンティングはUDP 1813番ポートを使用

ここで重要なのが「共有シークレット（Shared Secret）」です。NASとRADIUSサーバーの間での通信を認証するための事前共有鍵で、これがRADIUSのセキュリティの要になっています。

ただし、認証パスワードの保護にはMD5ハッシュが使われており、現代の暗号基準では強固とは言えません。標準のRADIUSはUDPで動作するため、通信経路の暗号化も保証されていません。この点が後述の攻撃手法に繋がります。

RADIUSが使われる主な3つのシーン

1. 802.1X—有線・無線LANの端末認証

802.1Xは、LANに接続しようとする端末をスイッチポートレベルで認証する仕組みです。認証が通った端末だけがネットワークに接続できます。

・サプリカント（Supplicant）: 認証を求めるクライアント端末（PC・スマートフォン等）
・オーセンティケーター（Authenticator）: スイッチやWi-FiアクセスポイントなどのNAS
・認証サーバー（Authentication Server）: RADIUSサーバー

有線LANに802.1Xを導入すると、管理外のPCを物理的なLANポートに差し込んでも接続できなくなります。「空きポートを社内の誰でも使える状態にしたくない」という問題を根本から解決できます。

2. Wi-Fiエンタープライズ（WPA2/WPA3-Enterprise）

一般家庭のWi-Fi（WPA2/WPA3-Personal）は全員が同じパスワードを共有します。これに対し、WPA2/WPA3-EnterpriseはRADIUSを使い、ユーザーごとに固有の認証情報でWi-Fiに接続します。

退職者のIDを無効にすれば、その端末は自動的にWi-Fiに接続できなくなります。パスワードの変更・全端末への再配布という手間もなくなります。企業Wi-Fiのセキュリティを本気で高めたい場合、WPA3-EnterpriseとRADIUSの組み合わせは現在のベストプラクティスです。

3. VPNとネットワーク機器の管理ログイン

OpenVPNやCisco ASA、FortiGateなどのVPN装置はほぼすべてRADIUS認証をサポートしています。VPN接続時にActive Directoryの認証情報をそのまま使えるため、IDの一元管理が実現します。

また、スイッチやルーターへのSSHログインの認証にもRADIUSが使えます。機器ごとにローカルアカウントを管理する必要がなくなり、担当者が退職したときのアカウント削除漏れも防げます。

攻撃者が狙うRADIUSの弱点

防御のために知っておくべき、RADIUSに対する主な攻撃手法があります。

【注意】BlastRADIUS—MD5の弱点を突くプロトコルレベルの攻撃

2024年に研究者が公開したBlastRADIUSは、標準のRADIUS/UDPがMD5でパケットを認証している部分の脆弱性を突く攻撃手法です。中間者の位置にいる攻撃者が、Access-RequestパケットをRADIUSサーバーに細工することで、本来拒否されるはずのアカウントでAccess-Acceptを返させることが理論上可能とされています。

攻撃条件として「ネットワーク経路上での中間者の位置が必要」という制約があるため、インターネット越しの外部攻撃には直接使えません。しかし、内部ネットワークに侵入済みの攻撃者や悪意ある内部者には有効な手法であり、注意が必要です。対策は後述の「Message-Authenticatorの必須化」と「RadSec」です。

共有シークレットへのオフライン攻撃

NASとRADIUSサーバー間の共有シークレットが短い・辞書に載っている単語だった場合、通信をキャプチャされた後でオフライン攻撃により解読されるリスクがあります。共有シークレットが漏れると、攻撃者は偽のAccess-Requestを送りつけてアカウントの有無を調べたり、認証を偽装したりすることが可能になります。

証明書未検証のEAPと偽RADIUSサーバー

Wi-Fiの「Evil Twin（偽AP）」攻撃と組み合わせ、接続してきたユーザーの認証情報を偽RADIUSサーバーで横取りする攻撃があります。EAP-TTLS/PAP（内部認証にパスワードをそのまま送る方式）では、クライアントがサーバー証明書を検証しない設定だと認証情報が盗まれます。EAP-TLS（証明書ベースの相互認証）への移行がこの問題への根本的な解決策です。

具体的な防御手順

1. 共有シークレットを32文字以上のランダム文字列にする

共有シークレットは辞書攻撃が効かない長さと複雑さが必要です。

# Linuxで32文字のランダム共有シークレットを生成する
openssl rand -base64 32

# 出力例（実行のたびに異なる値が生成される）
# 例: 7K+pQz2lNvXmR8aWcYqJdFeT3GhUoI1b

FreeRADIUSでは `/etc/freeradius/3.0/clients.conf` で各NASに対して設定します。

# /etc/freeradius/3.0/clients.conf（変更点のみ記載）
# デフォルトの "testing123" のような弱いシークレットは必ず変更すること

client switch01 {
    ipaddr          = 192.168.1.10  # スイッチのIPアドレス
    secret          = (openssl rand -base64 32 で生成した値)
    shortname       = switch01
    require_message_authenticator = yes  # Message-Authenticatorを必須化
}

2. Message-Authenticator属性を必須化する（BlastRADIUS対策）

RFC 3579で定義されたMessage-Authenticator属性をすべてのAccess-Requestに必須化することで、BlastRADIUSへの緩和策になります。FreeRADIUS 3.0.26以降では上記の `require_message_authenticator = yes` 設定が利用できます。

NAS（スイッチ・VPN機器）側でもMessage-Authenticatorを含めて送る設定が必要です。使用機器のメーカードキュメントで「Message-Authenticator」または「RFC 3579」の対応状況を確認してください。

3. FreeRADIUSとActive Directoryの連携設定

中小企業で最もよく使われる構成は「FreeRADIUS + Windows Active Directory」です。

# FreeRADIUSのインストール（Ubuntu/Debian系）
sudo apt install freeradius freeradius-ldap

# LDAP/AD連携モジュールの有効化
sudo ln -s /etc/freeradius/3.0/mods-available/ldap \
           /etc/freeradius/3.0/mods-enabled/

# 設定変更後の動作確認（デバッグモードで起動）
# サービスを停止してから実行すること
sudo systemctl stop freeradius
sudo freeradius -X

ADのグループ単位でVLAN割り当てを変える（例：管理者グループはVLAN 10、一般ユーザーはVLAN 20）といった細かい制御も、RADIUSの返却属性（RADIUS Attributes）で実現できます。

4. RadSec（RADIUS over TLS）でトランスポート層を暗号化する

RadSec（RFC 6614）は、RADIUSパケットをTLSでラップして暗号化する拡張仕様です。標準のRADIUS/UDPが持つ「通信経路が暗号化されない」という弱点への根本的な対策になります。

FreeRADIUSはRadSecをサポートしています。まずはRADIUSプロキシ構成でサーバー間通信から先行導入し、NAS側の対応が進んだ段階でエンドツーエンドに拡張するアプローチが現実的です。

中小企業でも今日からできること

「FreeRADIUSのサーバーを構築・運用するリソースがない」という場合は、以下の選択肢があります。

・Microsoft NPS（Network Policy Server）: Windows Serverに標準付属のRADIUSサーバー機能。Active Directoryと統合しており追加コストなし。Windows Server環境がすでにある中小企業に最適
・Synology NASのRADIUSサーバー: SynologyのNASパッケージに「RADIUSサーバー」が含まれる。NASがすでにある場合はインストールするだけで使い始められる。比較的小規模な環境向け
・クラウドRADIUSサービス: JumpCloud、FoxpassなどのクラウドベースのアイデンティティプロバイダーがRADIUS-as-a-Serviceを提供。オンプレミスのサーバー不要でユーザー管理をSaaSで完結できる
・Microsoft Entra ID + NPSエクステンション: Microsoft Entra ID（旧Azure AD）とオンプレミス機器を橋渡しするNPS Extensionを使えば、クラウドのEntra IDを使ったネットワーク認証が実現できる

まず手をつけやすいのは、Wi-FiアクセスポイントのRADIUS認証への切り替えです。WPA2/WPA3-Personal（パスワード共有）からWPA2/WPA3-Enterpriseへの移行は、ハードウェアの買い替えなしでソフトウェア設定だけで対応できる機器も多くあります。

Linuxを使ったネットワーク構築の基礎については、姉妹サイトLinuxMaster.JPでも詳しく解説しています。

よくある誤解と注意点

誤解1：RADIUSはVPN専用のプロトコルだ

VPN認証での使用例が目立つためそう思われがちですが、RADIUSは802.1X（有線/無線LAN）、Wi-Fiエンタープライズ、ネットワーク機器管理、ダイヤルアップなど、あらゆるネットワークアクセス認証に使える汎用プロトコルです。

誤解2：RADIUSがあれば認証は完璧だ

RADIUSは認証の基盤を提供しますが、弱いパスワードを使っていればパスワード攻撃でアカウントを突破されます。RADIUSと多要素認証（MFA）の組み合わせが推奨されます。FreeRADIUSはGoogle AuthenticatorなどのTOTP（ワンタイムパスワード）との連携も可能です。

誤解3：TACACS+とRADIUSは同じものだ

TACACS+（ターカックスプラス）はCisco製のAAAプロトコルで、RADIUSと目的は似ていますが別物です。主な違いはTACACS+がTCP通信でコマンド認可の細かい制御が得意な点。ネットワーク機器の管理認証にはTACACS+、エンドユーザーのネットワークアクセスにはRADIUSが使われることが多いです。両者を用途に応じて使い分けるケースもあります。

本記事のまとめ

RADIUSは「設定して終わり」ではなく、共有シークレットの定期更新、利用しなくなったNAS（アクセスポイント・VPN機器）のクライアント設定削除、認証ログの定期確認が継続的に必要です。アカウンティングログを活用すれば「誰がいつどこから接続したか」の証跡が残り、セキュリティインシデント発生時の調査にも役立ちます。