EAPOLとは

EAPOLの役割

EAPOLはExtensible Authentication Protocol over LANの略で、IEEE 802.1XのSupplicantとAuthenticatorがLayer 2上で認証メッセージを交換するためのプロトコルです。端末がDHCPや通常のIP通信を使えるようになる前に、EAPOL-StartやEAP Request・Responseを運びます。

AuthenticatorであるAccess SwitchやAccess PointはEAPOLの内容を受け、認証Serverとの間ではRADIUSとして中継します。したがって端末からSwitchまでのEAPOLと、SwitchからRADIUSまでのIP通信を分けて確認します。

3つの役割を分ける

Supplicantは認証を受ける端末、Authenticatorは接続portを制御するSwitchやAccess Point、Authentication Serverは資格情報や証明書を検証するRADIUS Serverです。EAPOLの直接の対向はSupplicantとAuthenticatorです。

• 対象portと端末MACを特定する。
• Supplicantの起動と選択Profileを確認する。
• RADIUS障害とEAPOL未達を混同しない。

認証前のport状態を見る

802.1Xのcontrolled portは認証前にunauthorizedであり、通常の業務通信は通しません。一方、認証に必要なEAPOLは交換できます。EAPOL packet counterが0なら、証明書検証より先に端末、VLAN、port設定、Supplicantを確認します。

• link状態とdot1x有効化を確認する。
• EAPOL送受信counterとsession IDを残す。
• MABなど代替認証へ意図せずfallbackしていないか見る。

EAP-TLSとの関係

EAPOLはEAPメッセージを運ぶ外側であり、証明書検証の方式そのものではありません。EAP-TLSではClient証明書、Server証明書、trust chain、期限、名前、失効状態をEAPの中で確認します。EAP Identityまで成功してTLSで停止するなら、Layer 2到達性は成立しています。

• 停止したEAP CodeとTypeを確認する。
• 証明書の有効期限と信頼chainを確認する。
• 秘密鍵や証明書の機密情報を収集しない。

認証後の完了確認

RADIUSのAccess-Accept後、Authenticatorはcontrolled portをauthorizedへ変え、必要に応じて業務VLANやACLを適用します。認証成功ログだけで完了せず、割当VLAN、DHCP、Gateway、業務通信を確認します。

証跡にはsession ID、端末MAC、port、EAP方式、RADIUS結果、割当VLAN、確認時刻を残します。利用者のpassword、秘密鍵、完全な証明書内容は残しません。

• EAPOLからRADIUSまで同じsessionを追う。
• authorized後のVLANとIP取得を確認する。
• 再認証とport再接続でも同じ結果になるか確認する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能