個人向け認証とエンタープライズ認証

WPA2とWPA3には、PersonalとEnterpriseという2つの認証モードがあります。Personalでは全員が1つの共有パスワードを使用します。一方、Enterpriseではユーザーごとに固有の認証情報を設定し、中央サーバーで検証します。このレッスンでは、それぞれの違いや仕組み、どのような場合にどちらを選ぶべきかを説明します。Network+試験でも定期的に扱われるテーマです。

PersonalモードはPSK（Pre-Shared Key）とも呼ばれ、接続する全員が入力する1つのパスワードを使用します。ルーターのステッカーに記載されている家庭用Wi-FiのパスワードがPSKです。設定が簡単で、家庭や小規模オフィスに最適です。全員が同じ秘密情報を共有するため、それを知っているだけでネットワークに参加できます。

共有キーは弱点にもなります。誰か1人がパスワードを漏らすと、誰でもネットワークに参加できてしまいます。アクセスを取り消すには、全員分のパスワードを変更し、すべてのデバイスを再設定しなければなりません。ユーザーごとの識別情報がないため、誰が接続しているのかを区別したり、特定のユーザーだけを無効にしたりすることもできません。信頼できる少人数で使うなら問題ありませんが、企業での運用には向いていません。

Enterpriseモードでは802.1X認証を使用し、1つの共有キーではなく、ユーザーごとにユーザー名とパスワード（または証明書）を設定します。ユーザーが接続すると、アクセスを許可する前に、その認証情報が中央の認証サーバーで検証されます。共有したり漏洩したりする単一のWi-Fiパスワードはなく、各ユーザーが自分のIDで個別に認証します。

Enterprise認証はRADIUS（Remote Authentication Dial-In User Service）サーバーを利用します。アクセスポイントは各ユーザーの認証情報をRADIUSサーバーに転送します。RADIUSサーバーはディレクトリと照合して認証情報を検証し、APに接続を許可するか拒否するかを伝えます。RADIUSは、組織内の多数のアクセスポイントでユーザーごとのWi-Fiログインを可能にする中枢です。

802.1Xでは、supplicant（ユーザーデバイス）、authenticator（アクセスポイントまたはスイッチ）、authentication server（RADIUS）の3つの役割が連携します。supplicantが認証情報を送信し、authenticatorがそれを中継し、サーバーが判断します。これらはEAP（Extensible Authentication Protocol）を使用して通信します。EAPは、パスワードや証明書など、さまざまな方式に対応する柔軟なフレームワークです。

組織での利用にはEnterpriseモードが適しています。ほかのユーザーに影響を与えずに特定のユーザーを無効にでき、誰が接続したかを確認し、ユーザーごとのポリシーを適用できます。また、漏洩しやすい共有の秘密情報を使わずに済みます。既存のユーザーディレクトリと連携できるため、従業員はすでに使っているログイン情報で接続できます。この個人単位の追跡可能性と制御性こそが、安全で管理しやすいWi-Fiに企業が必要とするものです。

Enterpriseモードの代償は複雑さです。RADIUSサーバーを構築・維持し、ユーザーディレクトリと連携する必要があり、PSKを1つ入力するよりもはるかに手間がかかります。家庭やごく小規模なオフィスでは、この運用負荷に見合うメリットはありません。選択の基準は、シンプルさを重視するならPersonal、規模、制御性、追跡可能性を重視するならEnterpriseというバランスです。

信頼できるユーザー間でパスワードを共有しても問題ない家庭や小規模ネットワークでは、Personal (PSK)を使用します。企業、学校、その他ユーザーごとのログイン、個別のアクセス取り消し、追跡可能性が必要な環境では、Enterprise (802.1X with RADIUS)を使用します。どちらもWPA2またはWPA3で動作するため、暗号化標準と認証モードは個別に選択できます。

Enterprise認証では、さまざまなEAP方式を使用できます。PEAPとEAP-TTLSは、保護されたトンネル内でユーザー名とパスワードを使ってユーザーを検証する、最も一般的な方式です。EAP-TLSは、クライアントとサーバーの双方でデジタルcertificatesを使用するため、パスワードを使わない最も強力な認証を実現できます。ただし、証明書の管理が必要です。細部をすべて覚える必要はありません。EAPが柔軟なフレームワークであること、そして証明書ベースのEAP-TLSが最も安全な選択肢であることを理解してください。

PersonalとEnterpriseの選択によって、無線アクセスの管理方法が決まります。Personalは1つの共有キーを使うためシンプルですが、ユーザーごとの制御はできません。Enterpriseは802.1XとRADIUSサーバーを使用し、個別の認証情報、追跡可能性、容易なアクセス取り消しを実現します。supplicant、authenticator、authentication serverの役割と、PSKという用語を理解することは、無線認証に関するNetwork+の基本知識です。

認証に関する知識を確認しましょう。

WPA2/WPA3には2つのモードがあります。Personal (PSK)は1つの共有パスワードを使用するため家庭での利用には簡単ですが、ユーザーごとの識別情報がなく、アクセスの取り消しも容易ではありません。Enterpriseは802.1XとRADIUSサーバーを使用し、ユーザーごとに個別の認証情報を設定することで、追跡可能性と容易なアクセス取り消しを実現します。802.1Xの役割は、supplicant（デバイス）、authenticator（AP）、authentication server（RADIUS）であり、EAPを介して通信します。シンプルさを重視するならPersonal、規模と制御性を重視するならEnterpriseを選択します。