IEEE 802.1XとRADIUSとは？
企業Wi-Fiの認証を体系的に理解する

1. 会社・大学・自宅のWi-Fiは何が違う？

家庭のWi-Fiはルーターに設定した共通パスワードを家族が知っていれば接続できる構成が一般的です。一方、大きな会社では人員の増減や紛失端末に対応するため、社員・端末単位で認証し、無効化できる仕組みが求められます。大学のeduroam、会社の社内SSID、管理対象PCが自動接続するWi-Fiなどが身近なイメージです。ただしすべての企業Wi-Fiが802.1Xを採用しているわけではありません。

2. IEEE 802.1X・RADIUS・EAPの正式名称と役割

RADIUSという名称はダイヤルアップ接続が盛んだった時代の名残です。今ではダイヤルアップ専用ではなく、Wi-Fiや有線LAN、VPNなどでも使われます。802.1Xは「認証を受ける側」「入口を管理する側」「認証を判断する側」の役割を定めるもので、RADIUSはそのうち入口側と認証サーバーの通信に利用する代表的な方法です。

3. 最重要：3つの役割と、APの二つの顔

4. EAPOLとRADIUSはどこを流れる？

3者の間を同じプロトコルが端から端まで直接走る、と考えると混乱します。端末とAPはローカルリンク上のEAPOL、APとRADIUSサーバーはIPネットワーク上のRADIUSが使われます。APはEAP内容を中継するパススルー方式で動作する構成が一般的です。

# 教材用の論理メッセージ例（実際のパケットダンプではありません）
PC  → AP:     EAPOL / EAP-Response/Identity
AP  → RADIUS: Access-Request { EAP-Message: EAP-Response/Identity }
RADIUS → AP:  Access-Challenge { EAP-Message: EAP-TLS request }
AP  → PC:     EAPOL / EAP-TLS request
PC  → AP:     EAPOL / EAP-TLS response
AP  → RADIUS: Access-Request { EAP-Message: EAP-TLS response }
RADIUS → AP:  Access-Accept（または Access-Reject）
AP  → PC:     EAP-Success（または EAP-Failure）

上のコードは説明用の簡略化したログ例です。EAP-TLSでは実際には複数回の往復があり、メッセージの詳細は方式・バージョンによります。「EAPOL = PCとAP」「RADIUS = APと認証サーバー」と区切って覚えると整理しやすくなります。

5. EAP-TLSと証明書：なぜ社用PCだけ接続できる？

企業が管理するWindows PCやMacへ端末証明書を配布し、社内Wi-Fiの認証に使用するケースを考えます。EAP-TLS（Extensible Authentication Protocol - Transport Layer Security）はTLSと証明書を利用した認証方式です。一般にサーバー証明書とクライアント証明書を使った相互認証を行います。

代表的な別方式にはPEAP（Protected EAP）があります。PEAPはTLSトンネル内で別の認証方式を利用する構成です。EAP-TLSとPEAPを同じものと覚えず、どの資格情報をどの方法で守り、検証するかに注目しましょう。

6. WPA2/WPA3-Enterpriseと802.1Xの違い

無線の接続方式、認証のプロトコル、認証サーバーへの中継は、別々のレイヤーです。WPA3-Enterpriseであっても、すべてのモードで同じEAP方式が必須というわけではありません。高強度のWPA3-Enterprise 192-bitモードではEAP-TLSなど、より厳格な条件があります。

7. 接続できた後のアクセス制御：NAC・VLAN・ACL

認証は「利用者・端末は誰か」、認可は「どのネットワークに入れるか」です。RADIUSの結果を利用し、社員端末には社内VLAN、来訪者にはインターネット専用VLANを割り当てる実装があります。802.1XとRADIUSを導入しても、認証後のアクセスを無制限に許可してはいけません。

8. RADIUSのAccess-Accept／Rejectと運用上の問題

複数のアクセスポイントが1台の認証サーバーを利用する構成では、ユーザー情報を各APにばらまかずに一元管理できます。一方、認証サーバーが停止すれば新しい認証が難しくなるため、実務では冗長化や監視が重要です。また認証のためのRADIUS通信は、古典的な方式と新しいトランスポート保護方式でセキュリティの考え方が違います。通信経路の信頼性、共有シークレット、RADIUS over TLS（RadSec）などを適切に検討します。

9. 操作ラボ：あなたのPCは社内Wi-Fiへ入れる？

管理PC、期限切れ証明書、未登録端末、ゲスト端末を切り替えましょう。RADIUSサーバー停止、サーバー証明書検証、動的VLANの設定によって何が変わるかも確認できます。実在のネットワークには接続しない教材用ラボです。

10. 応用知識：RADIUSとTACACS+、802.1XとCaptive Portal

ホテルのWi-Fiで最初にブラウザを開いて利用規約を承諾するのはCaptive Portalの例です。会社のWi-FiでPCの証明書を使って接続するのは802.1X/EAP-TLSの例です。見た目はどちらも「Wi-Fiにログイン」ですが、動いている技術が異なります。

11. よくある疑問

参考規格・公式ドキュメント

IEEE 802.1X本体、EAP、RADIUSへのEAP運搬、EAP-TLSの順番で参照すると、それぞれの役割を混同しにくくなります。

• IEEE 802.1X — Port-Based Network Access Control（IEEE）
• RFC 3748: Extensible Authentication Protocol (EAP)（IETF / RFC Editor）
• RFC 3579: RADIUS Support for EAP（IETF / RFC Editor）
• RFC 2865: Remote Authentication Dial In User Service (RADIUS)（IETF / RFC Editor）
• RFC 5216: The EAP-TLS Authentication Protocol（IETF / RFC Editor）
• RFC 9190: EAP-TLS 1.3（IETF / RFC Editor）
• WindowsでのネットワークアクセスのEAP（Microsoft Learn）
• EAP-TLS および PEAP の証明書要件（Microsoft Learn）