{"schema":"article/1","id":"art_5ef8e173fe","owner":"u_owner","status":"published","visibility":"public","version":1,"title":"物理ポートに付く VLAN 番号を、設定ではなくサーバの返事で決める","rawTitle":"物理ポートに付く VLAN 番号を、設定ではなくサーバの返事で決める","slug":"nw-basics-18-mab-radius","file":"ネットワーク_18_MABとRADIUS","relPath":"content/published/ネットワーク_18_MABとRADIUS.md","aliases":[],"kind":"published","area":"tech","topic":"ネットワーク","category":"ネットワーク","tags":["ネットワーク","radius","認証","concept"],"summary":"図 3 で人が設定に書いた「物理ポートと VLAN 番号」の結びつきを、つながれるたびにサーバへ問い合わせて決める形に置き換える。MAB と RADIUS のやり取りを 1 本の通信として追う","date":"2026-09-14","updated":"2026-09-14","links":["nw-basics-index","nw-basics-00-three-layers","nw-basics-17-dhcp","nw-basics-19-wireless-lan","nw-basics-03-vlan","nw-basics-02-same-network"],"blocks":[{"id":"blk_2d9ddd","type":"paragraph","markdown":"図 3 では、物理ポートに VLAN 番号を人が設定で付けました。図 17 の最後に出たポートセキュリティも、その物理ポートに許す MAC アドレスを人が決め打ちする方法でした。どちらも、機器ごとに人が書きます。","text":"図 3 では、物理ポートに VLAN 番号を人が設定で付けました。図 17 の最後に出たポートセキュリティも、その物理ポートに許す MAC アドレスを人が決め打ちする方法でした。どちらも、機器ごとに人が書きます。","line":2,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_694c6b","type":"paragraph","markdown":"図 18 では、その決め打ちをサーバ 1 か所に集めます。物理ポートに何を付けるかは、ケーブルがつながれるたびにサーバへ問い合わせて決まります。","text":"図 18 では、その決め打ちをサーバ 1 か所に集めます。物理ポートに何を付けるかは、ケーブルがつながれるたびにサーバへ問い合わせて決まります。","line":4,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_b3d8d4","type":"paragraph","markdown":"この連載は、ネットワークの言葉をもの（物理と論理）、結びつき（手動、自動、固定）、通信フロー（1 本の通信がこれらを順に通る流れ）の 3 層に置いています。ここで変わるのは、結びつきの作り方です。","text":"この連載は、ネットワークの言葉をもの（物理と論理）、結びつき（手動、自動、固定）、通信フロー（1 本の通信がこれらを順に通る流れ）の 3 層に置いています。ここで変わるのは、結びつきの作り方です。","line":6,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_34ba84","type":"heading","depth":2,"markdown":"## 登場するもの","text":"登場するもの","line":8,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_1aa087","type":"heading","depth":4,"markdown":"#### 認証・認可の台帳","text":"認証・認可の台帳","line":10,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_3fffb1","type":"paragraph","markdown":"RADIUS サーバが持つ論理のものです。誰に何を許すかが載ります。誰は MAC アドレスか利用者名、何を許すかは VLAN 番号や ACL です。","text":"RADIUS サーバが持つ論理のものです。誰に何を許すかが載ります。誰は MAC アドレスか利用者名、何を許すかは VLAN 番号や ACL です。","line":12,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_fd6cdb","type":"heading","depth":4,"markdown":"#### 物理ポートごとの認証の状態","text":"物理ポートごとの認証の状態","line":14,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_420dbd","type":"paragraph","markdown":"スイッチが持つ論理のものです。どの物理ポートに、どの MAC アドレスが、どの方式で、許可されたかを持ちます。","text":"スイッチが持つ論理のものです。どの物理ポートに、どの MAC アドレスが、どの方式で、許可されたかを持ちます。","line":16,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_9e70a2","type":"heading","depth":4,"markdown":"#### 事前共有鍵","text":"事前共有鍵","line":18,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_e3eca6","type":"paragraph","markdown":"スイッチとサーバの両方に人が同じ文字列を入れます。そのスイッチが問い合わせてよい相手であることの根拠になります。","text":"スイッチとサーバの両方に人が同じ文字列を入れます。そのスイッチが問い合わせてよい相手であることの根拠になります。","line":20,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_11a182","type":"heading","depth":4,"markdown":"#### AAA の 3 つ","text":"AAA の 3 つ","line":22,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_36a4f7","type":"paragraph","markdown":"認証は誰かを確かめること、認可は何をしてよいかを決めること、アカウンティングは記録を残すことです。記録だけは宛先ポート番号 1813 を使う別のやり取りです。","text":"認証は誰かを確かめること、認可は何をしてよいかを決めること、アカウンティングは記録を残すことです。記録だけは宛先ポート番号 1813 を使う別のやり取りです。","line":24,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_fc2bb5","type":"heading","depth":4,"markdown":"#### 802.1X と MAB","text":"802.1X と MAB","line":26,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_f396ba","type":"paragraph","markdown":"802.1X は端末が自分で名乗る方式です。MAB は名乗る仕組みを持たない機器のために、スイッチがその MAC アドレスで代わりに問い合わせる方式です。MAC アドレスは詐称できるので強い認証ではなく、名乗れる端末には 802.1X を使います。","text":"802.1X は端末が自分で名乗る方式です。MAB は名乗る仕組みを持たない機器のために、スイッチがその MAC アドレスで代わりに問い合わせる方式です。MAC アドレスは詐称できるので強い認証ではなく、名乗れる端末には 802.1X を使います。","line":28,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_118c7a","type":"heading","depth":2,"markdown":"## 結びつき","text":"結びつき","line":30,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_e4ace1","type":"paragraph","markdown":"物理ポートと VLAN 番号の結びつきが、手動からサーバの返事による自動に変わります。これがこの 1 枚の主題です。","text":"物理ポートと VLAN 番号の結びつきが、手動からサーバの返事による自動に変わります。これがこの 1 枚の主題です。","line":32,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_523f5d","type":"paragraph","markdown":"MAC アドレスと許可の結びつきは手動のままです。台帳に人が登録します。変わったのは登録する場所で、機器ごとではなくサーバ 1 か所になりました。","text":"MAC アドレスと許可の結びつきは手動のままです。台帳に人が登録します。変わったのは登録する場所で、機器ごとではなくサーバ 1 か所になりました。","line":34,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_5c0b93","type":"paragraph","markdown":"サーバの IP アドレス、ポート番号、事前共有鍵、物理ポートごとの認証の順番も手動のままです。自動になったのは、物理ポートに何を付けるかだけです。","text":"サーバの IP アドレス、ポート番号、事前共有鍵、物理ポートごとの認証の順番も手動のままです。自動になったのは、物理ポートに何を付けるかだけです。","line":36,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_df21fc","type":"heading","depth":2,"markdown":"## 通信フロー","text":"通信フロー","line":38,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_2cb782","type":"paragraph","markdown":"① ケーブルを挿します。リンクは上がりますが、認証が済むまでその物理ポートはデータを通しません。図 2 の学習も転送も、まだ始まりません。","text":"① ケーブルを挿します。リンクは上がりますが、認証が済むまでその物理ポートはデータを通しません。図 2 の学習も転送も、まだ始まりません。","line":40,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_8edb8d","type":"paragraph","markdown":"② スイッチ 1 が「名乗って」というフレーム（EAPOL）をその物理ポートに出します。ここではまだ IP を使いません。","text":"② スイッチ 1 が「名乗って」というフレーム（EAPOL）をその物理ポートに出します。ここではまだ IP を使いません。","line":42,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_eca893","type":"paragraph","markdown":"③ 名乗る仕組みが無い端末は返事をしません。スイッチは既定で（再試行 2 回＋1）×30 秒＝90 秒 待って諦め、MAB に切り替えます。順番は設定で変えられます。","text":"③ 名乗る仕組みが無い端末は返事をしません。スイッチは既定で（再試行 2 回＋1）×30 秒＝90 秒 待って諦め、MAB に切り替えます。順番は設定で変えられます。","line":44,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_adde99","type":"paragraph","markdown":"④ スイッチ 1 は最初のフレームの送信元 MAC アドレスを読み、その文字列を利用者名にもパスワードにも入れて Access-Request を送ります。宛先ポート番号は 1812（UDP）です。","text":"④ スイッチ 1 は最初のフレームの送信元 MAC アドレスを読み、その文字列を利用者名にもパスワードにも入れて Access-Request を送ります。宛先ポート番号は 1812（UDP）です。","line":46,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_44758c","type":"paragraph","markdown":"⑤ サーバは台帳と照らし、Access-Accept（許可）か Access-Reject（拒否）を返します。返りは ④ の送信元ポートへ戻ります。1812 は行きの宛先です。許可の返事には VLAN 番号などの属性を入れられます。","text":"⑤ サーバは台帳と照らし、Access-Accept（許可）か Access-Reject（拒否）を返します。返りは ④ の送信元ポートへ戻ります。1812 は行きの宛先です。許可の返事には VLAN 番号などの属性を入れられます。","line":48,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_3c2ed2","type":"paragraph","markdown":"⑥ スイッチ 1 は返事に入っていた VLAN 番号をその物理ポートに付けます。ここから先は図 2 と図 3 とまったく同じ動きになります。","text":"⑥ スイッチ 1 は返事に入っていた VLAN 番号をその物理ポートに付けます。ここから先は図 2 と図 3 とまったく同じ動きになります。","line":50,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_9b71a8","type":"paragraph","markdown":"RADIUS で隠されるのはパスワードの欄だけで、残りの属性はそのまま流れます。VLAN 番号は Tunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-ID の 3 つの組で渡します。","text":"RADIUS で隠されるのはパスワードの欄だけで、残りの属性はそのまま流れます。VLAN 番号は Tunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-ID の 3 つの組で渡します。","line":52,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_14421a","type":"paragraph","markdown":"同じ AAA でも、TACACS+ は用途が違います。機器の管理者ログイン向けで、TCP のポート番号 49 を使い、認証と認可と記録を分けた設計になっていて、命令ひとつずつの認可ができます。RADIUS には命令ひとつずつの制御はありません。隠す範囲も違いますが、その呼び方は出典で食い違っています。Cisco の比較ページは TACACS+ が本文全体を暗号化すると書き、RFC 8907 §4.5・§10.1 は同じ仕組みを暗号化ではなく難読化と呼んで弱点を挙げています。","text":"同じ AAA でも、TACACS+ は用途が違います。機器の管理者ログイン向けで、TCP のポート番号 49 を使い、認証と認可と記録を分けた設計になっていて、命令ひとつずつの認可ができます。RADIUS には命令ひとつずつの制御はありません。隠す範囲も違いますが、その呼び方は出典で食い違っています。Cisco の比較ページは TACACS+ が本文全体を暗号化すると書き、RFC 8907 §4.5・§10.1 は同じ仕組みを暗号化ではなく難読化と呼んで弱点を挙げています。","line":54,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_d50308","type":"heading","depth":2,"markdown":"## 図 18","text":"図 18","line":56,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_9433d0","type":"paragraph","markdown":"上が構成図とフローの矢印、その下に AAA の 3 つ、802.1X と MAB、RADIUS と TACACS+ の 3 つの箱が並びます。いちばん下は各表の推移と、通信の中身の推移です。","text":"上が構成図とフローの矢印、その下に AAA の 3 つ、802.1X と MAB、RADIUS と TACACS+ の 3 つの箱が並びます。いちばん下は各表の推移と、通信の中身の推移です。","line":58,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_adc502","type":"html","markdown":"\n \n MAB と RADIUS：口に付ける VLAN 番号を、人が決め打ちせずサーバに聞いて決める\n 図 3 では「物理ポート ⇄ VLAN 番号」を人が設定で固定した。ここではスイッチがサーバに問い合わせ、返事に入っていた VLAN 番号が口に付く\n VLAN 10（192.168.10.0/24）\n データセンター（192.168.3.0/24）\n \n PC-A\n 名乗る仕組みが無い\n MAC A しか持っていない\n \n \n スイッチ 1（問い合わせる係）\n 口 1：認証が済むまで通さない\n RADIUS サーバの IP とポート番号\n 事前共有鍵・認証の順番（手動）\n 口1\n 口8\n \n \n ルータ 1\n Gi0 192.168.10.1\n Gi1 192.168.3.1\n Gi0\n Gi1\n \n \n RADIUS サーバ\n 192.168.3.201\n 認証・認可の台帳\n UDP 1812 / 1813\n \n 2\n ② 名乗って（EAPOL）\n \n 4\n ④ MAC を名前とパスワードにして問い合わせ（UDP 1812）\n \n 3\n \n ③ 名乗りの返事が来ない → 待って諦める\n \n 5\n ⑤ 許可＋VLAN 番号の属性を返す\n 1\n ケーブルを挿した直後。リンクは上がるが、口 1 はまだデータを通さない\n 6\n 口 1 に VLAN 10 が付く（自動）。ここから通常の通信が流れる\n \n AAA ＝ 3 つの A\n 認証：誰か（名乗りを確かめる）\n 認可：何をしてよいか\n 　（VLAN 番号や ACL を返す）\n アカウンティング：記録を残す\n 　（いつ・どの口に・誰がつないだか）\n \n 802.1X と MAB\n 802.1X：端末が自分で名乗る\n 　（利用者名・証明書など）\n MAB：名乗れない機器の代わりに、\n 　スイッチが MAC で問い合わせる\n MAC は詐称できるので強くない\n \n RADIUS と TACACS+\n RADIUS：利用者の接続を通すか決める\n 　UDP 1812（認証）/ 1813（記録）\n TACACS+：機器の管理者ログイン向け\n 　TCP 49。命令ひとつずつの認可ができる\n 隠す範囲も違う（帯の最後の注）\n フロー\n ① ケーブルを挿す。リンクは上がるが、認証が済むまで口 1 はデータを通さない（図 2 の学習も転送も、まだ始まらない）\n ② スイッチ 1 は「名乗って」というフレーム（EAPOL）を口 1 に出す。ここではまだ IP を使わない\n ③ 名乗る仕組みが無い端末は返事をしない。スイッチは既定で（再試行 2 回＋1）×30 秒＝90 秒 待って諦め、MAB に切り替える（順番は設定で変えられる）\n ④ スイッチ 1 は最初のフレームの送信元 MAC を読み、その MAC の文字列を利用者名にもパスワードにも入れて Access-Request を送る（宛先ポート番号 1812）\n ⑤ サーバは台帳と照らし、Access-Accept（許可）か Access-Reject（拒否）を返す。許可の返事には VLAN 番号などの属性を入れられる\n ⑥ スイッチ 1 は返事に入っていた VLAN 番号を口 1 に付ける。図 3 で人が設定していた「物理ポート ⇄ VLAN 番号」が、ここでは通信のたびに決まる\n 3 層で見ると\n もの：認証・認可の台帳（論理・サーバが持つ）／口ごとの認証の状態（論理・スイッチが持つ）／事前共有鍵（論理・両側に同じ文字列）\n 結びつき：物理ポート ⇄ VLAN 番号が、手動（図 3）からサーバの返事による自動に変わる。サーバの住所・鍵・認証の順番は手動のまま\n フロー：図 3 の ①（口にフレームが入る）の前に、スイッチとサーバの間で 1 往復の問い合わせが入る。許可が出るまで、その口では何も起きない\n 図 17 の最後に出たポートセキュリティは、同じ「口を守る」を人が決め打ちでやる方法（この口はこの MAC だけ）。台数が増えると機器ごとに書くことになる\n MAB はその決め打ちを 1 か所（サーバの台帳）に集める。ただし MAC は詐称できるので、名乗れる端末には 802.1X を使う\n\n各テーブルの推移（○番のフローで追加・変化した行。青字）\n \n スイッチ 1: 口 1 の認証の状態\n 前: 認証待ち（データを通さない）\n ④⑤ 追加: MAC A・方式 MAB・結果 許可\n \n スイッチ 1: 口 1 の VLAN 番号\n 前: 決まっていない\n ⑥ 後: VLAN 10（サーバの返事で自動）\n \n スイッチ 1: MAC アドレステーブル\n ⑥ 追加: MAC A → 口 1（VLAN 10）\n 認証が済むまでは、ここにも載らない\n \n RADIUS サーバ: 認証・認可の台帳\n MAC A → 許可・VLAN 10（手動で登録）\n 利用者名 → 許可・VLAN 20（手動で登録）\n \n スイッチ 1: 人が手で設定したもの\n サーバの IP・ポート番号・事前共有鍵\n 口ごとの認証の順番（MAB と 802.1X）\n \n 図 3 との違い\n 図 3: 口 1 の VLAN 10 は設定に書いた行\n 図 18: 口 1 の VLAN 10 はサーバの返事\n通信の中身の推移（フローごとのフレーム／パケット）\n ② スイッチ 1 → PC-A：名乗りを求める（EAPOL。IP はまだ出てこない）\n \n 宛先 MAC\n 認証用の決まった番地\n \n 送信元 MAC\n MAC SW-口1\n \n データ\n EAP 要求\nEAPOL に使う決まった番地は 01:80:C2:00:00:03（Cisco の解析例で端末 → スイッチ方向を確認）。スイッチから端末へ出すときの宛先は一次資料で確認できていない\n ④ スイッチ 1 → RADIUS サーバ：Access-Request（普通の IP パケットで送る）\n \n 宛先 MAC\n MAC R1-Gi0\n \n 送信元 MAC\n MAC SW\n \n 宛先 IP\n 192.168.3.201\n \n 送信元 IP\n 192.168.10.2\n \n 宛先ポート番号（UDP）\n 1812\n \n AAA のメッセージ\n Access-Request（名前＝MAC A）\n \n フレーム＝全部。ただしスイッチが見るのは MAC とタグの部分だけ\n \n パケット＝この部分。ルータはここ（IP）を見る\n ⑤ RADIUS サーバ → スイッチ 1：Access-Accept\n \n 宛先 MAC\n MAC SW\n \n 送信元 MAC\n MAC R1-Gi0\n \n 宛先 IP\n 192.168.10.2\n \n 送信元 IP\n 192.168.3.201\n \n 宛先ポート番号（UDP）\n ④ の送信元ポート\n \n AAA のメッセージ\n Access-Accept（VLAN 10 の属性）\n宛先は ④ の送信元ポートへ返る（1812 は行きの宛先）。隠されるのはパスワードの欄だけで残りはそのまま流れ、VLAN 番号は属性 3 つの組で渡す（RFC 2865・RFC 3580 §3.31）\n ⑥ 認証が済んだあと：PC-A が同じ VLAN 10 の PC-B へ出す普通のフレーム\n \n 宛先 MAC\n MAC B\n \n 送信元 MAC\n MAC A\n \n 宛先 IP\n 192.168.10.20\n \n 送信元 IP\n 192.168.10.10\n \n データ\n ping\n口 1 が VLAN 10 の一員になったので、ここから先は図 2・図 3 とまったく同じ動きになる\n 記録（アカウンティング）\n スイッチ 1 は「いつ・どの口に・どの MAC がつながり、いつ切れたか」をサーバへ送る（宛先ポート番号 1813）。認証・認可とは別のやり取り\n出典（RADIUS のポート番号 1812／Access-Request・Accept・Reject／隠されるのはパスワードの欄だけ）: RFC 2865 §3・§4・§5.2\n　https://www.rfc-editor.org/rfc/rfc2865.html\n出典（記録のポート番号 1813）: RFC 2866　https://www.rfc-editor.org/rfc/rfc2866.html\n出典（許可の返事で VLAN 番号を渡す属性の組・802.1X のスイッチが RADIUS の client になる）: RFC 3580 §1・§3.31　https://www.rfc-editor.org/rfc/rfc3580.html\n出典（TACACS+ は TCP 49／認証・認可・記録が別／命令ひとつずつの認可／機器の管理向け）: RFC 8907 §1・§3.4・§4.5・§10.1\n　https://www.rfc-editor.org/rfc/rfc8907.html\n出典（MAB：MAC を名前とパスワードに入れて問い合わせる／MAC を詐称すると破れるので強い認証ではない）: Cisco\n　同（許可の返事で VLAN や ACL を渡せる／諦めるまでの待ち時間は（再試行回数＋1）×30 秒で既定 90 秒）\n　https://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/Security/TrustSec_1-99/MAB/MAB_Dep_Guide.html\n出典（RADIUS と TACACS+ の比較。RADIUS は命令ひとつずつの制御ができない）: Cisco\n　https://www.cisco.com/c/en/us/support/docs/security-vpn/remote-authentication-dial-user-service-radius/13838-10.html\n出典（EAPOL の決まった番地 0180.C200.0003・Ethernet の種類の欄 0x888E）: Cisco（端末 → スイッチ方向の解析例）\n　https://www.cisco.com/c/en/us/support/docs/lan-switching/8021x/220919-troubleshoot-dot1x-on-catalyst-9000-seri.html\n注: Cisco の比較ページは TACACS+ を「本文全体を暗号化する」と書くが、RFC 8907 §4.5・§10.1 は同じ仕組みを「暗号化ではなく難読化」と呼び、弱点も挙げている\n未検証: 勉強会の実機で確かめたのは MAB の成功・失敗の記録までで、TACACS+ は触っていない\n未検証: 802.1X で使う名乗りの方式（証明書・利用者名など）ごとの違いは、この図では扱っていない\n\n## 図 3・図 17 との接続","text":"\n \n MAB と RADIUS：口に付ける VLAN 番号を、人が決め打ちせずサーバに聞いて決める\n 図 3 では「物理ポート ⇄ VLAN 番号」を人が設定で固定した。ここではスイッチがサーバに問い合わせ、返事に入っていた VLAN 番号が口に付く\n VLAN 10（192.168.10.0/24）\n データセンター（192.168.3.0/24）\n \n PC-A\n 名乗る仕組みが無い\n MAC A しか持っていない\n \n \n スイッチ 1（問い合わせる係）\n 口 1：認証が済むまで通さない\n RADIUS サーバの IP とポート番号\n 事前共有鍵・認証の順番（手動）\n 口1\n 口8\n \n \n ルータ 1\n Gi0 192.168.10.1\n Gi1 192.168.3.1\n Gi0\n Gi1\n \n \n RADIUS サーバ\n 192.168.3.201\n 認証・認可の台帳\n UDP 1812 / 1813\n \n 2\n ② 名乗って（EAPOL）\n \n 4\n ④ MAC を名前とパスワードにして問い合わせ（UDP 1812）\n \n 3\n \n ③ 名乗りの返事が来ない → 待って諦める\n \n 5\n ⑤ 許可＋VLAN 番号の属性を返す\n 1\n ケーブルを挿した直後。リンクは上がるが、口 1 はまだデータを通さない\n 6\n 口 1 に VLAN 10 が付く（自動）。ここから通常の通信が流れる\n \n AAA ＝ 3 つの A\n 認証：誰か（名乗りを確かめる）\n 認可：何をしてよいか\n 　（VLAN 番号や ACL を返す）\n アカウンティング：記録を残す\n 　（いつ・どの口に・誰がつないだか）\n \n 802.1X と MAB\n 802.1X：端末が自分で名乗る\n 　（利用者名・証明書など）\n MAB：名乗れない機器の代わりに、\n 　スイッチが MAC で問い合わせる\n MAC は詐称できるので強くない\n \n RADIUS と TACACS+\n RADIUS：利用者の接続を通すか決める\n 　UDP 1812（認証）/ 1813（記録）\n TACACS+：機器の管理者ログイン向け\n 　TCP 49。命令ひとつずつの認可ができる\n 隠す範囲も違う（帯の最後の注）\n フロー\n ① ケーブルを挿す。リンクは上がるが、認証が済むまで口 1 はデータを通さない（図 2 の学習も転送も、まだ始まらない）\n ② スイッチ 1 は「名乗って」というフレーム（EAPOL）を口 1 に出す。ここではまだ IP を使わない\n ③ 名乗る仕組みが無い端末は返事をしない。スイッチは既定で（再試行 2 回＋1）×30 秒＝90 秒 待って諦め、MAB に切り替える（順番は設定で変えられる）\n ④ スイッチ 1 は最初のフレームの送信元 MAC を読み、その MAC の文字列を利用者名にもパスワードにも入れて Access-Request を送る（宛先ポート番号 1812）\n ⑤ サーバは台帳と照らし、Access-Accept（許可）か Access-Reject（拒否）を返す。許可の返事には VLAN 番号などの属性を入れられる\n ⑥ スイッチ 1 は返事に入っていた VLAN 番号を口 1 に付ける。図 3 で人が設定していた「物理ポート ⇄ VLAN 番号」が、ここでは通信のたびに決まる\n 3 層で見ると\n もの：認証・認可の台帳（論理・サーバが持つ）／口ごとの認証の状態（論理・スイッチが持つ）／事前共有鍵（論理・両側に同じ文字列）\n 結びつき：物理ポート ⇄ VLAN 番号が、手動（図 3）からサーバの返事による自動に変わる。サーバの住所・鍵・認証の順番は手動のまま\n フロー：図 3 の ①（口にフレームが入る）の前に、スイッチとサーバの間で 1 往復の問い合わせが入る。許可が出るまで、その口では何も起きない\n 図 17 の最後に出たポートセキュリティは、同じ「口を守る」を人が決め打ちでやる方法（この口はこの MAC だけ）。台数が増えると機器ごとに書くことになる\n MAB はその決め打ちを 1 か所（サーバの台帳）に集める。ただし MAC は詐称できるので、名乗れる端末には 802.1X を使う\n\n各テーブルの推移（○番のフローで追加・変化した行。青字）\n \n スイッチ 1: 口 1 の認証の状態\n 前: 認証待ち（データを通さない）\n ④⑤ 追加: MAC A・方式 MAB・結果 許可\n \n スイッチ 1: 口 1 の VLAN 番号\n 前: 決まっていない\n ⑥ 後: VLAN 10（サーバの返事で自動）\n \n スイッチ 1: MAC アドレステーブル\n ⑥ 追加: MAC A → 口 1（VLAN 10）\n 認証が済むまでは、ここにも載らない\n \n RADIUS サーバ: 認証・認可の台帳\n MAC A → 許可・VLAN 10（手動で登録）\n 利用者名 → 許可・VLAN 20（手動で登録）\n \n スイッチ 1: 人が手で設定したもの\n サーバの IP・ポート番号・事前共有鍵\n 口ごとの認証の順番（MAB と 802.1X）\n \n 図 3 との違い\n 図 3: 口 1 の VLAN 10 は設定に書いた行\n 図 18: 口 1 の VLAN 10 はサーバの返事\n通信の中身の推移（フローごとのフレーム／パケット）\n ② スイッチ 1 → PC-A：名乗りを求める（EAPOL。IP はまだ出てこない）\n \n 宛先 MAC\n 認証用の決まった番地\n \n 送信元 MAC\n MAC SW-口1\n \n データ\n EAP 要求\nEAPOL に使う決まった番地は 01:80:C2:00:00:03（Cisco の解析例で端末 → スイッチ方向を確認）。スイッチから端末へ出すときの宛先は一次資料で確認できていない\n ④ スイッチ 1 → RADIUS サーバ：Access-Request（普通の IP パケットで送る）\n \n 宛先 MAC\n MAC R1-Gi0\n \n 送信元 MAC\n MAC SW\n \n 宛先 IP\n 192.168.3.201\n \n 送信元 IP\n 192.168.10.2\n \n 宛先ポート番号（UDP）\n 1812\n \n AAA のメッセージ\n Access-Request（名前＝MAC A）\n \n フレーム＝全部。ただしスイッチが見るのは MAC とタグの部分だけ\n \n パケット＝この部分。ルータはここ（IP）を見る\n ⑤ RADIUS サーバ → スイッチ 1：Access-Accept\n \n 宛先 MAC\n MAC SW\n \n 送信元 MAC\n MAC R1-Gi0\n \n 宛先 IP\n 192.168.10.2\n \n 送信元 IP\n 192.168.3.201\n \n 宛先ポート番号（UDP）\n ④ の送信元ポート\n \n AAA のメッセージ\n Access-Accept（VLAN 10 の属性）\n宛先は ④ の送信元ポートへ返る（1812 は行きの宛先）。隠されるのはパスワードの欄だけで残りはそのまま流れ、VLAN 番号は属性 3 つの組で渡す（RFC 2865・RFC 3580 §3.31）\n ⑥ 認証が済んだあと：PC-A が同じ VLAN 10 の PC-B へ出す普通のフレーム\n \n 宛先 MAC\n MAC B\n \n 送信元 MAC\n MAC A\n \n 宛先 IP\n 192.168.10.20\n \n 送信元 IP\n 192.168.10.10\n \n データ\n ping\n口 1 が VLAN 10 の一員になったので、ここから先は図 2・図 3 とまったく同じ動きになる\n 記録（アカウンティング）\n スイッチ 1 は「いつ・どの口に・どの MAC がつながり、いつ切れたか」をサーバへ送る（宛先ポート番号 1813）。認証・認可とは別のやり取り\n出典（RADIUS のポート番号 1812／Access-Request・Accept・Reject／隠されるのはパスワードの欄だけ）: RFC 2865 §3・§4・§5.2\n　https://www.rfc-editor.org/rfc/rfc2865.html\n出典（記録のポート番号 1813）: RFC 2866　https://www.rfc-editor.org/rfc/rfc2866.html\n出典（許可の返事で VLAN 番号を渡す属性の組・802.1X のスイッチが RADIUS の client になる）: RFC 3580 §1・§3.31　https://www.rfc-editor.org/rfc/rfc3580.html\n出典（TACACS+ は TCP 49／認証・認可・記録が別／命令ひとつずつの認可／機器の管理向け）: RFC 8907 §1・§3.4・§4.5・§10.1\n　https://www.rfc-editor.org/rfc/rfc8907.html\n出典（MAB：MAC を名前とパスワードに入れて問い合わせる／MAC を詐称すると破れるので強い認証ではない）: Cisco\n　同（許可の返事で VLAN や ACL を渡せる／諦めるまでの待ち時間は（再試行回数＋1）×30 秒で既定 90 秒）\n　https://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/Security/TrustSec_1-99/MAB/MAB_Dep_Guide.html\n出典（RADIUS と TACACS+ の比較。RADIUS は命令ひとつずつの制御ができない）: Cisco\n　https://www.cisco.com/c/en/us/support/docs/security-vpn/remote-authentication-dial-user-service-radius/13838-10.html\n出典（EAPOL の決まった番地 0180.C200.0003・Ethernet の種類の欄 0x888E）: Cisco（端末 → スイッチ方向の解析例）\n　https://www.cisco.com/c/en/us/support/docs/lan-switching/8021x/220919-troubleshoot-dot1x-on-catalyst-9000-seri.html\n注: Cisco の比較ページは TACACS+ を「本文全体を暗号化する」と書くが、RFC 8907 §4.5・§10.1 は同じ仕組みを「暗号化ではなく難読化」と呼び、弱点も挙げている\n未検証: 勉強会の実機で確かめたのは MAB の成功・失敗の記録までで、TACACS+ は触っていない\n未検証: 802.1X で使う名乗りの方式（証明書・利用者名など）ごとの違いは、この図では扱っていない\n\n## 図 3・図 17 との接続","line":60,"sources":["src_1","src_2","src_3","src_4","src_5","src_6","src_7"],"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_7bfdf0","type":"paragraph","markdown":"図 3 では、物理ポートの VLAN 10 は設定に書いた行でした。図 18 では、同じ VLAN 10 がサーバの返事です。見える結果は同じで、その行がどこから来たかだけが違います。","text":"図 3 では、物理ポートの VLAN 10 は設定に書いた行でした。図 18 では、同じ VLAN 10 がサーバの返事です。見える結果は同じで、その行がどこから来たかだけが違います。","line":261,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_03a830","type":"paragraph","markdown":"増えたのはもの（台帳と認証の状態）と結びつきの作り方で、通信フローそのものは図 2 と図 3 のままです。帯のいちばん下のフレームが図 2 のフレームと同じなのは、認証が済めば以降は何も変わらないからです。","text":"増えたのはもの（台帳と認証の状態）と結びつきの作り方で、通信フローそのものは図 2 と図 3 のままです。帯のいちばん下のフレームが図 2 のフレームと同じなのは、認証が済めば以降は何も変わらないからです。","line":263,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_c4c670","type":"paragraph","markdown":"図 17 のポートセキュリティとの違いは、許す相手をどこに書くかです。ポートセキュリティは機器の物理ポートに書き、MAB はサーバの台帳に書きます。台数が増えるほど、書く場所が 1 か所であることが効いてきます。","text":"図 17 のポートセキュリティとの違いは、許す相手をどこに書くかです。ポートセキュリティは機器の物理ポートに書き、MAB はサーバの台帳に書きます。台数が増えるほど、書く場所が 1 か所であることが効いてきます。","line":265,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_703626","type":"heading","depth":2,"markdown":"## 未検証・注意","text":"未検証・注意","line":267,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_96d945","type":"list","markdown":"- Cisco の比較ページは TACACS+ が本文全体を暗号化すると書き、RFC 8907 §4.5・§10.1 は同じ仕組みを難読化と呼びます。どちらか一方だけを採らず、両方の言い方を本文に残しています。\n- 勉強会の実機で確かめたのは MAB の成功と失敗の記録までです。TACACS+ は触っていません。\n- 802.1X で使う名乗りの方式（証明書、利用者名など）ごとの違いは扱っていません。\n- EAPOL に使う決まった番地は 01:80:C2:00:00:03（Ethernet の種類の欄は 0x888E）です。Cisco の解析例で確認できたのは端末からスイッチへ向かう方向だけで、スイッチが最初に出す「名乗って」の宛先が同じ番地かは確認できていません。そのため図の箱は「認証用の決まった番地」のままにしてあります。\n- 90 秒は Cisco の既定値から計算した値です。実機の設定で変わります。\n- 認可の説明を VLAN 番号に寄せています。許可の返事には ACL も入れられますが、この 1 枚では扱っていません。\n- スイッチの管理 IP アドレス 192.168.10.2 と RADIUS サーバの 192.168.3.201 は、図 1〜7 の住所計画に合わせた説明用の値です。勉強会の資料の値とは関係ありません。","text":"Cisco の比較ページは TACACS+ が本文全体を暗号化すると書き、RFC 8907 §4.5・§10.1 は同じ仕組みを難読化と呼びます。どちらか一方だけを採らず、両方の言い方を本文に残しています。勉強会の実機で確かめたのは MAB の成功と失敗の記録までです。TACACS+ は触っていません。802.1X で使う名乗りの方式（証明書、利用者名など）ごとの違いは扱っていません。EAPOL に使う決まった番地は 01:80:C2:00:00:03（Ethernet の種類の欄は 0x888E）です。Cisco の解析例で確認できたのは端末からスイッチへ向かう方向だけで、スイッチが最初に出す「名乗って」の宛先が同じ番地かは確認できていません。そのため図の箱は「認証用の決まった番地」のままにしてあります。90 秒は Cisco の既定値から計算した値です。実機の設定で変わります。認可の説明を VLAN 番号に寄せています。許可の返事には ACL も入れられますが、この 1 枚では扱っていません。スイッチの管理 IP アドレス 192.168.10.2 と RADIUS サーバの 192.168.3.201 は、図 1〜7 の住所計画に合わせた説明用の値です。勉強会の資料の値とは関係ありません。","line":269,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_240080","type":"heading","depth":2,"markdown":"## 出典","text":"出典","line":277,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_26f395","type":"list","markdown":"- 勉強会での本人の観察。2026-09-13 の実機ハンズオン（資料は非公開）\n- [RFC 2865 Remote Authentication Dial In User Service (RADIUS)](https://www.rfc-editor.org/rfc/rfc2865.html) — ポート番号 1812、Access-Request と Access-Accept と Access-Reject、隠されるのは User-Password の欄だけであること\n- [RFC 2866 RADIUS Accounting](https://www.rfc-editor.org/rfc/rfc2866.html) — 記録のポート番号 1813\n- [RFC 3580 IEEE 802.1X RADIUS Usage Guidelines](https://www.rfc-editor.org/rfc/rfc3580.html) — 名乗りを受け付けるスイッチが RADIUS の client になること、VLAN 番号を渡す属性の組\n- [RFC 8907 The TACACS+ Protocol](https://www.rfc-editor.org/rfc/rfc8907.html) — TCP 49、認証と認可と記録を分けた設計、機器の管理向けであること、本文を隠す仕組みを難読化と呼ぶこと\n- [Cisco MAC Authentication Bypass Deployment Guide](https://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/Security/TrustSec_1-99/MAB/MAB_Dep_Guide.html) — MAC アドレスを利用者名とパスワードに入れて問い合わせること、MAC アドレスの詐称で破れること、待ち時間の式と既定の 90 秒、許可の返事で VLAN や ACL を渡せること\n- [Cisco TACACS+ and RADIUS Comparison](https://www.cisco.com/c/en/us/support/docs/security-vpn/remote-authentication-dial-user-service-radius/13838-10.html) — RADIUS はパスワードだけを隠し残りは平文であること、TACACS+ は本文全体を隠すこと、RADIUS では命令ひとつずつの制御ができないこと\n- [Cisco Troubleshoot dot1x on Catalyst 9000 Series Switches](https://www.cisco.com/c/en/us/support/docs/lan-switching/8021x/220919-troubleshoot-dot1x-on-catalyst-9000-seri.html) — EAPOL の解析例（宛先 0180.C200.0003、種類の欄 0x888E）","text":"勉強会での本人の観察。2026-09-13 の実機ハンズオン（資料は非公開）RFC 2865 Remote Authentication Dial In User Service (RADIUS) — ポート番号 1812、Access-Request と Access-Accept と Access-Reject、隠されるのは User-Password の欄だけであることRFC 2866 RADIUS Accounting — 記録のポート番号 1813RFC 3580 IEEE 802.1X RADIUS Usage Guidelines — 名乗りを受け付けるスイッチが RADIUS の client になること、VLAN 番号を渡す属性の組RFC 8907 The TACACS+ Protocol — TCP 49、認証と認可と記録を分けた設計、機器の管理向けであること、本文を隠す仕組みを難読化と呼ぶことCisco MAC Authentication Bypass Deployment Guide — MAC アドレスを利用者名とパスワードに入れて問い合わせること、MAC アドレスの詐称で破れること、待ち時間の式と既定の 90 秒、許可の返事で VLAN や ACL を渡せることCisco TACACS+ and RADIUS Comparison — RADIUS はパスワードだけを隠し残りは平文であること、TACACS+ は本文全体を隠すこと、RADIUS では命令ひとつずつの制御ができないことCisco Troubleshoot dot1x on Catalyst 9000 Series Switches — EAPOL の解析例（宛先 0180.C200.0003、種類の欄 0x888E）","line":279,"sources":["src_1","src_2","src_3","src_4","src_5","src_6","src_7"],"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_1f7c1f","type":"heading","depth":2,"markdown":"## 関連","text":"関連","line":288,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_6fd7f5","type":"list","markdown":"- [ネットワーク\\_INDEX](/notes/nw-basics-index) — 連載の目次\n\n- 連載の入口: [ネットワーク\\_00\\_3層で言葉を置く](/notes/nw-basics-00-three-layers)（`/notes/nw-basics-00-three-layers`）\n\n- 前の記事（図 17）: [ネットワーク\\_17\\_DHCPとその守り](/notes/nw-basics-17-dhcp)（`/notes/nw-basics-17-dhcp`）\n\n- 次の記事（図 19）: [ネットワーク\\_19\\_無線LAN](/notes/nw-basics-19-wireless-lan)（`/notes/nw-basics-19-wireless-lan`）\n\n- 物理ポートに VLAN 番号を人が付ける形: [ネットワーク\\_03\\_VLAN](/notes/nw-basics-03-vlan)（`/notes/nw-basics-03-vlan`）\n\n- 認証が済んだあとに戻る、いつもの動き: [ネットワーク\\_02\\_同じネットワークの中](/notes/nw-basics-02-same-network)（`/notes/nw-basics-02-same-network`）","text":"ネットワーク_INDEX — 連載の目次連載の入口: ネットワーク_00_3層で言葉を置く（/notes/nw-basics-00-three-layers）前の記事（図 17）: ネットワーク_17_DHCPとその守り（/notes/nw-basics-17-dhcp）次の記事（図 19）: ネットワーク_19_無線LAN（/notes/nw-basics-19-wireless-lan）物理ポートに VLAN 番号を人が付ける形: ネットワーク_03_VLAN（/notes/nw-basics-03-vlan）認証が済んだあとに戻る、いつもの動き: ネットワーク_02_同じネットワークの中（/notes/nw-basics-02-same-network）","line":290,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}}],"sources":[{"id":"src_1","url":"https://www.rfc-editor.org/rfc/rfc2865.html","title":"RFC 2865 Remote Authentication Dial In User Service (RADIUS)","accessed":"2026-09-14","kind":"secondary"},{"id":"src_2","url":"https://www.rfc-editor.org/rfc/rfc2866.html","title":"RFC 2866 RADIUS Accounting","accessed":"2026-09-14","kind":"secondary"},{"id":"src_3","url":"https://www.rfc-editor.org/rfc/rfc3580.html","title":"RFC 3580 IEEE 802.1X RADIUS Usage Guidelines","accessed":"2026-09-14","kind":"secondary"},{"id":"src_4","url":"https://www.rfc-editor.org/rfc/rfc8907.html","title":"RFC 8907 The TACACS+ Protocol","accessed":"2026-09-14","kind":"secondary"},{"id":"src_5","url":"https://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/Security/TrustSec_1-99/MAB/MAB_Dep_Guide.html","title":"Cisco MAC Authentication Bypass Deployment Guide","accessed":"2026-09-14","kind":"secondary"},{"id":"src_6","url":"https://www.cisco.com/c/en/us/support/docs/security-vpn/remote-authentication-dial-user-service-radius/13838-10.html","title":"Cisco TACACS+ and RADIUS Comparison","accessed":"2026-09-14","kind":"secondary"},{"id":"src_7","url":"https://www.cisco.com/c/en/us/support/docs/lan-switching/8021x/220919-troubleshoot-dot1x-on-catalyst-9000-seri.html","title":"Cisco Troubleshoot dot1x on Catalyst 9000 Series Switches","accessed":"2026-09-14","kind":"secondary"}],"errata":[]}