2016年3月28日 by kfep-master

RADIUS認証の仕組み

さまざまなネットワーク上で利用されている認証用プロトコル「RADIUS」の認証の仕組みについて紹介します。

RADIUSサーバの構築やリプレース、及び価格については、こちらからお問合せください！

RADIUSとは

RADIUSとは、「Remote Authentication Dial In User Service」の略です。
さまざまなネットワーク上で、利用者認証/権限付与/利用状況記録などを行うための通信/認証プロトコルです。
「RADIUSサーバ」と「RADIUSクライアント」の間の通信方式(プロトコル)を規定したものです。
インターネット接続サービスや、有線/無線LANのユーザ認証に使われています。
認証だけではなく、利用状況記録(アカウンティング)機能も備えています。ネットワークの接続時間/データ量も収集できるため、インターネット接続サービスなどでは認証ユーザに対する課金処理基本情報などでも利用されています。

RADIUSの構成

RADIUSによる認証システムはサーバ－クライアントモデルで動作し、「ユーザ」、「RADIUSクライアント」、「RADIUSサーバ」の3つで構成されます。
「RADIUSクライアント」は、NAS(Network Access Server)とも呼ばれます。無線LAN/VPNゲートウェイなどのアクセスポイントが該当します。
RADIUSは、UDP/IPプロトコルを使用するため、「RADIUSクライアント」と「RADIUSサーバ」は、IP通信を行える環境であることが必須です。
「RADIUSサーバ」の一元管理機能により、「RADIUSクライアント」が複数存在するような環境でも、1箇所でユーザ情報の制御を行えます。

RADIUS認証の仕組み(概要)

手順(1)	「ユーザ」からの認証要求(ユーザIDとパスワード)が「RADIUSクライアント」に到着します。
手順(2)	「RADIUSクライアント」は、認証要求(ユーザIDとパスワード)をAccess-Requestメッセージとして「RADIUSサーバ」に転送します。
手順(3)	「RADIUSサーバ」は、受け取った情報(ユーザIDとパスワード)と、自身が管理している情報を照合してユーザ認証を行います。
手順(4)	「RADIUSサーバ」は、「RADIUSクライアント」に認証可否メッセージ(Access-Accept or Access-Reject)を返します。
手順(5)	「RADIUSクライアント」は、認証結果に基づいて「ユーザ」に対して接続許可/拒否を行います。

RADIUS認証の仕組み(詳細)

ポート番号指定	「RADIUSクライアント」は、「RADIUSサーバ」へAccess-Requestメッセージを送る場合に、RADIUSサーバの指定したUDPポート(デフォルトは1812番)宛に送信します。
RADIUSクライアントID情報	「RADIUSサーバ」へ送られるAccess-Requestメッセージには、「RADIUSクライアント」を示す情報として、「IPアドレス情報」もしくは「あらかじめ決められた固有のID」が含まれます。
IPアドレス指定	「RADIUSクライアント」と「RADIUSサーバ」間のそれぞれで、IPアドレス指定を行い、不正な接続要求を防止します。
共有暗号鍵	IPアドレス指定のみでは完全ではないため、「RADIUSクライアント」と「RADIUSサーバ」間で、共有暗号鍵(Shared Secret)を事前に設定しておくことにより、信頼する「RADIUSクライアント」からのみの接続要求を受け付けます。不正な「RADIUSクライアント」からの接続要求を排除することができます。