AAAとは？認証・認可・記録をWi-FiとRADIUSの通信から徹底図解

1. AAAは「利用させてよいか」を3つの観点で管理する考え方

AAA（トリプルエー）は、Authentication（認証）・Authorization（認可）・Accounting（利用の記録・利用量の計測）の頭文字です。「ログイン」という一つの出来事にも、異なる判断が含まれています。

2. RADIUSとは？ AAAをネットワークで実装する代表的なプロトコル

AAAは役割を分類する考え方です。一方、RADIUS（Remote Authentication Dial-In User Service）は、そのうち認証・認可・利用記録の情報を、ネットワーク機器とサーバーの間でやり取りする通信プロトコルです。Wi-Fiアクセスポイント（AP）、VPN装置、ネットワークスイッチなどから利用されます。

Wi-FiルーターとRADIUSサーバーは同じもの？

家庭のWi-Fiでは、ルーターに設定された共通パスワードで接続する方式も多く、外部のRADIUSサーバーを必ず使うわけではありません。一方、企業向けの802.1X / WPA-Enterprise構成では、アクセスポイントがRADIUSサーバーと連携し、利用者ごとの認証情報を確認できます。

3. 先に理解したいネットワーク用語とレイヤ

通信図を読む前に、Wi-Fi、IP、UDP、RADIUSがどのレイヤで何を担当するかを整理します。レイヤは役割の分類であり、実際の通信データは各階層のヘッダが付いた形で運ばれます。

EAPは認証方式を運ぶフレームワークです。EAPOLはEAPをLAN・無線LAN上で運ぶ仕組みであり、EAPそれ自体を「常にIP上のアプリケーション通信」と考えないことが重要です。

実際にどう包まれて送られるのか

4. 操作ラボ：スマートフォン・AP・RADIUSの間で何が流れる？

次のラボでは、ノードと矢印を表示したまま、接続開始から認証、接続許可、Accountingまで段階ごとに確認できます。拒否される場合との違いも切り替えてみてください。

接続開始。認証が終わるまで通常の通信は制限

5. RADIUSのパケットをバイト単位で読む

RADIUSメッセージには固定部分の20バイトのヘッダと、可変長の属性（Attributes）が含まれます。固定部分はCode 1バイト・Identifier 1バイト・Length 2バイト・Authenticator 16バイトです。

パケットの中の属性（Attribute）は何か

属性は「種類（Type）・長さ（Length）・値（Value）」の単位で格納されます。たとえば `User-Name` は利用者名、`NAS-Identifier` はアクセス装置の識別子、`EAP-Message` はEAP情報、`Acct-Status-Type` は記録の種類を表します。

# Wiresharkの表示をイメージした学習用の要約（生バイト列ではない）
Internet Protocol Version 4
  Source: 192.0.2.10              # APの管理側アドレス（例）
  Destination: 192.0.2.20         # RADIUSサーバー（例）
User Datagram Protocol
  Source Port: 49152              # 例示用の送信元ポート
  Destination Port: 1812          # 認証・認可
RADIUS
  Code: Access-Request (1)
  Identifier: 7
  Attributes:
    User-Name: "example-user"
    NAS-Identifier: "office-ap-01"
    EAP-Message: <EAPデータ>
    Message-Authenticator: <検証値>

上の値は説明用です。実際のEAP方式や装置によって属性は異なります。また、RADIUSにユーザー名が見える例があることと、認証情報が安全に暗号化されていることは別問題です。従来のRADIUS/UDPだけで通信路全体を暗号化できると考えてはいけません。

6. Accountingは「ログを残す」だけ？ Start・Stop・途中経過を具体例で理解

Accountingは、利用状況を後から確認・集計できるようにする仕組みです。接続開始のStart、接続終了のStop、構成に応じた途中のInterim-Updateといった情報が利用されます。

# Accountingデータの概念例（実際の属性を読みやすく抜粋）
Code = 4  # Accounting-Request
Acct-Status-Type = Stop
Acct-Session-Id = "session-001"
Acct-Session-Time = 3600         # 接続時間（秒）
Acct-Input-Octets = 12000000     # 入力バイト数
Acct-Output-Octets = 3000000     # 出力バイト数

# 受信側が正常に処理した場合
Code = 5  # Accounting-Response

`Octets` はバイトを数える単位、`Session` は一つの接続・利用期間です。どちら向きの通信をInput/Outputと数えるかはNASから見た方向です。Accountingには欠落・重複対策や保存期間、個人情報保護も必要です。

7. AAA・RADIUSと混同しやすい技術も図で理解

TACACS+：管理者がネットワーク装置を操作する場合

TACACS+（タカックスプラス）は、ネットワーク装置の管理者ログインやコマンド単位の許可などで使われるAAAプロトコルです。RADIUSと同じAAAの分野ですが、同一のプロトコルではありません。

Diameter：RADIUSに関連する別のAAAプロトコル

Diameter（ダイアメーター）はRADIUSの課題を踏まえて設計されたAAAプロトコルです。通信方式にはTCPやSCTPなどの信頼性のある転送機構を用い、メッセージ中にはAVP（Attribute-Value Pair）を使用します。特に通信事業者のネットワークなどで重要な位置を占めます。

LDAP・Active Directory：利用者情報の保存・参照先

LDAPはディレクトリ情報を検索・更新するためのプロトコルです。Active DirectoryはMicrosoftのディレクトリサービスです。RADIUSサーバーが利用者の確認のためにこれらを参照することはありますが、LDAPそのものをRADIUSやAAAと同一視してはいけません。

8. RADIUSのセキュリティ：UDPの通信をそのまま信用してよいか

伝統的なRADIUSでは、APとRADIUSサーバーが共有する秘密情報（shared secret）を使い、パケットの検証や一部情報の隠蔽を行います。しかし、これだけで通信内容の全体が暗号化されるわけではありません。ネットワーク設計では、盗聴・改ざん・なりすましへの対策が必要です。

RADIUS over TLS（RadSec）の標準的なポートはTCP 2083です。さらに2025年のRFC 9765では、TLS等の保護された転送上で利用するRADIUS/1.1が実験的仕様として定義され、従来のMD5依存を取り除く方向が示されています。RADIUS/1.1の規定が、そのまま従来のRADIUS/UDPを変更するわけではありません。

9. まとめ：認証・認可・記録を通信図から思い出す

AAAは「誰か」「何ができるか」「何を利用したか」の三つを分ける設計です。RADIUSはAPなどのアクセス機器からサーバーへその判断を問い合わせ、認証・認可・Accounting情報をやり取りする代表的なプロトコルです。

ラボでもう一度「RADIUSを送っているのはスマートフォンではなくAPであること」「認証に成功しても接続条件の判定があること」「Accountingは認証とは異なるメッセージであること」を確認してみてください。