誰かを確かめた後に、どの端末からかを確かめる

図 23 でトンネルを張る入口は、名前と合言葉だけでした。 端末ごと持ち去られると、持ち去った人と本人を、その入口では区別できません。 勉強会では、そこに端末から集めた情報でもう 1 段の判定を足しました。 この記事は、その 1 段を 1 枚の図で見ます。

扱うのは、製品としてのファイアウォールの設定のやり方ではなく、誰かを確かめる仕組みと、そこに何を足せるかの側です。 CCNA 200-301 v1.1 の出題範囲でいえば 5.8「Compare authentication, authorization, and accounting concepts」にあたります。 裏取りに使った資料が Cisco のファイアウォール製品のものなので、機能の名前はその呼び方で出てきます。

この連載は、ネットワークの言葉を 3 つの層に置いて読みます。 もの（物理か論理か）、結びつき（人が設定で付ける手動か、機器が学習する自動か、製造時に決まる固定か）、通信フロー（1 本の通信がそれらを順に通る道筋）の 3 つです。

登場するもの

サーバ証明書

ファイアウォール側の身分証です（論理）。 認証局に署名してもらった紙を、機器に入れます（手動）。 端末は、手元に入れてある認証局の紙で署名を確かめます。 確かめられるのは機器が本物かどうかであって、端末が登録済みかどうかではありません。 機器が自分で作った紙を使う構成もあり、その場合は端末側に警告が出ます。

端末から集めた情報

端末の VPN ソフトが集めて、ファイアウォールへ送る値です。 MAC アドレス・ホスト名・BIOS の製造番号などがあります。 集まるところは自動ですが、送るのは端末側です。

判定の表

利用者の条件と端末の条件の両方を書ける、行の集まりです（論理・手動）。 1 行の形は、この条件に当てはまったらこの動作をする、です。 動作は、そのまま通す・セッションを切る・隔離する、の 3 つから選びます。隔離は、制限付きの ACL だけを当てる形です。 資料では、この表は認証の後、セッションを張るときに評価されるとされています。

結びつき

• 端末 ⇄ 認証局のルート証明書は手動です。人が端末に入れます。消すと、機器が本物かを確かめられなくなり、警告が出ます。
• 端末 ⇄ MAC アドレス・ホスト名は、端末側が申告します。機器側でその値を確かめる手立てはありません。
• 利用者名 ⇄ 端末の情報の組合せは、人が表に書きます（手動）。

確かめ合いは 2 方向ある

証明書は、端末がファイアウォールを確かめる向きで使います。 端末の判定は、その逆向きです。 この 2 つは別の話なので、図でも上下に分けてあります。

通信フロー

① 端末がつなぎに行くと、ファイアウォールが自分の身分証（サーバ証明書）を見せます。端末は手元の認証局の紙で署名を確かめ、合わなければ警告を出します。

② 名前と合言葉を認証サーバへ問い合わせます。図 23 の ② と同じです。

③ 端末のソフトが、MAC アドレス・ホスト名などを集めてファイアウォールへ送ります。

④ ファイアウォールが判定の表に当てはめ、そのまま通す・切る・隔離するのどれかを決めます。

⑤ 端末を紛失したときは、接続中の一覧からそのセッションを切り、判定の表を「登録した端末以外は切る」に書き換えます。

図 24

図の上半分が 2 方向の確かめ合いと増えたもの、下半分が、同じ 3 台の端末に対して条件の書き方だけを変えたときの結果です。

帯の 3 通りは、勉強会でやった演習をそのまま並べたものです。 「MAC アドレスが一致したら切る」と書くと、登録した端末のほうが入れなくなります。 「ホスト名が一致しないなら切る」に変えると、結果がそっくり反対になります。 利用者名だけで判定すると、端末の区別ができません。 表は、登録した端末を通す道具ではありません。条件に当てはまったらこの動作をする、という仕掛けです。

図 18・図 23 との接続

図 18 では、スイッチが RADIUS サーバに問い合わせて、口に VLAN 番号を付けました。 ここではファイアウォールが認証サーバに問い合わせ、さらに自分の表で端末を見ます。 誰かの後ろに、どの端末からか、がもう 1 段付く形です。 図 18 の MAB は、名乗れない機器を MAC アドレスで代用する仕組みでした。この図の判定も、MAC を手がかりにする点は同じです。ただし図 18 は入口の口の話で、図 24 は VPN のセッションの話なので、効く場所が違います。 図 23 の ②（名前と合言葉）の後ろに ④ の判定が入り、「切る」になるとそのセッションはそこで終わります。

未検証・注意

• この記事の証明書は、端末がファイアウォールを確かめるためのサーバ証明書です。端末側に証明書を入れて登録した端末だけを通す形ではありません。向きが逆なので、図でも本文でも分けて書いてあります。端末側に証明書を入れるやり方は世の中にありますが、勉強会の資料には無く、確かめていません。
• 証明書を無効にする手続き（失効）は、資料にありません。紛失時に資料でやったのは、接続中のセッションを切ることと、判定の表で端末を弾くことの 2 つだけです。失効したときの挙動は未検証です。
• MAC アドレスもホスト名も、端末側のソフトが申告した値です。図 18 と同じく MAC は書き換えられますが、実際に書き換えて試してはいません。
• ④ の判定と、住所を貸すこと（図 23 の ③）のどちらが先かは、資料で確認できませんでした。未検証です。資料で確認できたのは、判定が認証の後・セッションを張るときに評価される、というところまでです。
• 隔離の説明（制限付きの ACL を当てる、どの端末かをログに残せる）は資料にありますが、隔離された先で何ができるかは試していません。

出典

• 勉強会での本人の観察（2026-09-13 実機ハンズオン。資料は非公開）
• Cisco: Dynamic Access Policies（ASDM 7.19） — 判定の表は認証の後、セッションを張るときに評価される／端末の条件にホスト名（「Host Name only. Not FQDN」）・MAC アドレス（xxxx.xxxx.xxxx）・BIOS の製造番号が使える／動作は Continue（「Apply access policy attributes to the session」）・Terminate（「Terminate the session」）・Quarantine（制限付きの ACL を当てる）の 3 つ
• CCNA 200-301 v1.1 出題範囲 — 5.8「Compare authentication, authorization, and accounting concepts」

関連

• ネットワーク_INDEX — 連載の目次

• 連載の入口: ネットワーク_00_3層で言葉を置く（/notes/nw-basics-00-three-layers）

• 前の記事（図 23）: ネットワーク_23_リモートアクセスVPN（/notes/nw-basics-23-remote-access-vpn）

• 土台になる記事（図 7）: ネットワーク_07_インターネットを挟む（/notes/nw-basics-07-internet）

• 誰かを確かめる分担の形: ネットワーク_18_MABとRADIUS（/notes/nw-basics-18-mab-radius）