{"schema":"article/1","id":"art_e94b9e6cba","owner":"u_owner","status":"published","visibility":"public","version":1,"title":"誰かを確かめた後に、どの端末からかを確かめる","rawTitle":"誰かを確かめた後に、どの端末からかを確かめる","slug":"nw-basics-24-endpoint-check","file":"ネットワーク_24_端末の認証","relPath":"content/published/ネットワーク_24_端末の認証.md","aliases":[],"kind":"published","area":"tech","topic":"ネットワーク","category":"ネットワーク","tags":["ネットワーク","認証","セキュリティ","concept"],"summary":"名前と合言葉の後ろに、端末から集めた情報でもう 1 段の判定を足す形を 1 枚の図で見る。確かめ合いの向きが 2 つあることと、条件の書き方で結果が反対になることを扱う","date":"2026-09-14","updated":"2026-09-14","links":["nw-basics-index","nw-basics-00-three-layers","nw-basics-23-remote-access-vpn","nw-basics-07-internet","nw-basics-18-mab-radius"],"blocks":[{"id":"blk_4ad7e6","type":"paragraph","markdown":"図 23 でトンネルを張る入口は、名前と合言葉だけでした。\n端末ごと持ち去られると、持ち去った人と本人を、その入口では区別できません。\n勉強会では、そこに端末から集めた情報でもう 1 段の判定を足しました。\nこの記事は、その 1 段を 1 枚の図で見ます。","text":"図 23 でトンネルを張る入口は、名前と合言葉だけでした。\n端末ごと持ち去られると、持ち去った人と本人を、その入口では区別できません。\n勉強会では、そこに端末から集めた情報でもう 1 段の判定を足しました。\nこの記事は、その 1 段を 1 枚の図で見ます。","line":2,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_1dbdde","type":"paragraph","markdown":"扱うのは、製品としてのファイアウォールの設定のやり方ではなく、誰かを確かめる仕組みと、そこに何を足せるかの側です。\nCCNA 200-301 v1.1 の出題範囲でいえば 5.8「Compare authentication, authorization, and accounting concepts」にあたります。\n裏取りに使った資料が Cisco のファイアウォール製品のものなので、機能の名前はその呼び方で出てきます。","text":"扱うのは、製品としてのファイアウォールの設定のやり方ではなく、誰かを確かめる仕組みと、そこに何を足せるかの側です。\nCCNA 200-301 v1.1 の出題範囲でいえば 5.8「Compare authentication, authorization, and accounting concepts」にあたります。\n裏取りに使った資料が Cisco のファイアウォール製品のものなので、機能の名前はその呼び方で出てきます。","line":7,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_bb713c","type":"paragraph","markdown":"この連載は、ネットワークの言葉を 3 つの層に置いて読みます。\nもの（物理か論理か）、結びつき（人が設定で付ける手動か、機器が学習する自動か、製造時に決まる固定か）、通信フロー（1 本の通信がそれらを順に通る道筋）の 3 つです。","text":"この連載は、ネットワークの言葉を 3 つの層に置いて読みます。\nもの（物理か論理か）、結びつき（人が設定で付ける手動か、機器が学習する自動か、製造時に決まる固定か）、通信フロー（1 本の通信がそれらを順に通る道筋）の 3 つです。","line":11,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_34ba84","type":"heading","depth":2,"markdown":"## 登場するもの","text":"登場するもの","line":14,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_b9197e","type":"heading","depth":4,"markdown":"#### サーバ証明書","text":"サーバ証明書","line":16,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_4b74fe","type":"paragraph","markdown":"ファイアウォール側の身分証です（論理）。\n認証局に署名してもらった紙を、機器に入れます（手動）。\n端末は、手元に入れてある認証局の紙で署名を確かめます。\n確かめられるのは機器が本物かどうかであって、端末が登録済みかどうかではありません。\n機器が自分で作った紙を使う構成もあり、その場合は端末側に警告が出ます。","text":"ファイアウォール側の身分証です（論理）。\n認証局に署名してもらった紙を、機器に入れます（手動）。\n端末は、手元に入れてある認証局の紙で署名を確かめます。\n確かめられるのは機器が本物かどうかであって、端末が登録済みかどうかではありません。\n機器が自分で作った紙を使う構成もあり、その場合は端末側に警告が出ます。","line":18,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_3e7b2a","type":"heading","depth":4,"markdown":"#### 端末から集めた情報","text":"端末から集めた情報","line":24,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_677e7d","type":"paragraph","markdown":"端末の VPN ソフトが集めて、ファイアウォールへ送る値です。\nMAC アドレス・ホスト名・BIOS の製造番号などがあります。\n集まるところは自動ですが、送るのは端末側です。","text":"端末の VPN ソフトが集めて、ファイアウォールへ送る値です。\nMAC アドレス・ホスト名・BIOS の製造番号などがあります。\n集まるところは自動ですが、送るのは端末側です。","line":26,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_8546e4","type":"heading","depth":4,"markdown":"#### 判定の表","text":"判定の表","line":30,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_66e673","type":"paragraph","markdown":"利用者の条件と端末の条件の両方を書ける、行の集まりです（論理・手動）。\n1 行の形は、この条件に当てはまったらこの動作をする、です。\n動作は、そのまま通す・セッションを切る・隔離する、の 3 つから選びます。隔離は、制限付きの ACL だけを当てる形です。\n資料では、この表は認証の後、セッションを張るときに評価されるとされています。","text":"利用者の条件と端末の条件の両方を書ける、行の集まりです（論理・手動）。\n1 行の形は、この条件に当てはまったらこの動作をする、です。\n動作は、そのまま通す・セッションを切る・隔離する、の 3 つから選びます。隔離は、制限付きの ACL だけを当てる形です。\n資料では、この表は認証の後、セッションを張るときに評価されるとされています。","line":32,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_118c7a","type":"heading","depth":2,"markdown":"## 結びつき","text":"結びつき","line":37,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_125ed3","type":"list","markdown":"- 端末 ⇄ 認証局のルート証明書は手動です。人が端末に入れます。消すと、機器が本物かを確かめられなくなり、警告が出ます。\n- 端末 ⇄ MAC アドレス・ホスト名は、端末側が申告します。機器側でその値を確かめる手立てはありません。\n- 利用者名 ⇄ 端末の情報の組合せは、人が表に書きます（手動）。","text":"端末 ⇄ 認証局のルート証明書は手動です。人が端末に入れます。消すと、機器が本物かを確かめられなくなり、警告が出ます。端末 ⇄ MAC アドレス・ホスト名は、端末側が申告します。機器側でその値を確かめる手立てはありません。利用者名 ⇄ 端末の情報の組合せは、人が表に書きます（手動）。","line":39,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_d3236b","type":"heading","depth":2,"markdown":"## 確かめ合いは 2 方向ある","text":"確かめ合いは 2 方向ある","line":43,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_72ef6b","type":"paragraph","markdown":"証明書は、端末がファイアウォールを確かめる向きで使います。\n端末の判定は、その逆向きです。\nこの 2 つは別の話なので、図でも上下に分けてあります。","text":"証明書は、端末がファイアウォールを確かめる向きで使います。\n端末の判定は、その逆向きです。\nこの 2 つは別の話なので、図でも上下に分けてあります。","line":45,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_df21fc","type":"heading","depth":2,"markdown":"## 通信フロー","text":"通信フロー","line":49,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_f2c519","type":"paragraph","markdown":"① 端末がつなぎに行くと、ファイアウォールが自分の身分証（サーバ証明書）を見せます。端末は手元の認証局の紙で署名を確かめ、合わなければ警告を出します。","text":"① 端末がつなぎに行くと、ファイアウォールが自分の身分証（サーバ証明書）を見せます。端末は手元の認証局の紙で署名を確かめ、合わなければ警告を出します。","line":51,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_cab037","type":"paragraph","markdown":"② 名前と合言葉を認証サーバへ問い合わせます。図 23 の ② と同じです。","text":"② 名前と合言葉を認証サーバへ問い合わせます。図 23 の ② と同じです。","line":53,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_66a247","type":"paragraph","markdown":"③ 端末のソフトが、MAC アドレス・ホスト名などを集めてファイアウォールへ送ります。","text":"③ 端末のソフトが、MAC アドレス・ホスト名などを集めてファイアウォールへ送ります。","line":55,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_9adf0f","type":"paragraph","markdown":"④ ファイアウォールが判定の表に当てはめ、そのまま通す・切る・隔離するのどれかを決めます。","text":"④ ファイアウォールが判定の表に当てはめ、そのまま通す・切る・隔離するのどれかを決めます。","line":57,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_6c2a0d","type":"paragraph","markdown":"⑤ 端末を紛失したときは、接続中の一覧からそのセッションを切り、判定の表を「登録した端末以外は切る」に書き換えます。","text":"⑤ 端末を紛失したときは、接続中の一覧からそのセッションを切り、判定の表を「登録した端末以外は切る」に書き換えます。","line":59,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_a5b7da","type":"heading","depth":2,"markdown":"## 図 24","text":"図 24","line":61,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_dd02e4","type":"paragraph","markdown":"図の上半分が 2 方向の確かめ合いと増えたもの、下半分が、同じ 3 台の端末に対して条件の書き方だけを変えたときの結果です。","text":"図の上半分が 2 方向の確かめ合いと増えたもの、下半分が、同じ 3 台の端末に対して条件の書き方だけを変えたときの結果です。","line":63,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_4ed1c6","type":"html","markdown":"\n \n 図 24 端末の認証と紛失対策：「誰が」の次に「どの端末から」\n 図 23 の入口は名前と合言葉だけだった。端末ごと持ち去られると、盗んだ人と本人を区別できない。勉強会では、端末から集めた情報でもう 1 段の判定を足した\n 確かめ合いは 2 方向ある。証明書は「端末がファイアウォールを確かめる」向きで使い、端末の判定は逆向き。この 2 つは別の話なので分けて見る\n この図では、図 7〜12 のルータ 1 をファイアウォールに置き換えたとして描く（外側 203.0.113.10・内側 192.168.10.1 はルータ 1 から引き継いだ番地。VLAN 20 とトランクは省略）\n \n 自宅 PC\n VPN ソフトを入れた端末\n 信頼する認証局の一覧に\n ルート証明書を入れておく\n （人が入れる・手動）\n \n ファイアウォール 1\n 外側の口 203.0.113.10\n 自分の身分証（サーバ証明書）\n ＝認証局に署名してもらった紙\n 判定の表（DAP）を持つ\n （表の中身は人が書く・手動）\n \n A. 端末がファイアウォールを確かめる\n \n 1\n 身分証を見せる → 端末は手元の認証局の紙で署名を確かめる\n \n B. ファイアウォールが端末を確かめる\n \n 3\n 端末のソフトが MAC アドレス・ホスト名・製造番号などを集めて送る\n → ファイアウォールが判定の表に当てはめる\n 2\n ② の名前と合言葉（図 23 の ②）は、この 2 つとは別に行われる\n 増えたもの（3 つ）\n \n サーバ証明書\n ファイアウォール側の身分証（論理）\n 認証局に署名してもらって入れる（手動）\n 機器が自分で作った紙を使う構成もある。\n その場合は端末側に警告が出る\n 端末は手元のルート証明書で署名を確かめる\n 確かめられるのは「機器が本物か」であって\n 「端末が登録済みか」ではない\n \n 端末から集めた情報\n 端末のソフトが集めてファイアウォールへ送る\n MAC アドレス・ホスト名・製造番号など\n （自動で集まるが、送るのは端末側）\n 図 18 と同じく MAC は書き換えられる。ここ\n では端末のソフトが申告する値なので、機器側\n では正しさを確かめられない\n （実際に書き換えて試してはいない）\n \n 判定の表（DAP）\n 「利用者名」と「端末の情報」の両方を条件に\n 書ける（論理・手動）。当てはまったときの動作\n は 3 つから選ぶ：そのまま通す／切る／隔離する\n 隔離＝制限付きの ACL だけ当てて、どの端末か\n をログに残す\n 認証の後・セッションを張るときに評価される\n 4\n \n 端末を紛失したときにやること（勉強会での流れ）\n 1. 接続中の一覧から、その端末のセッションを選んで切る　　2. 判定の表を書き換えて、登録した端末以外は切るようにする\n 5\n フロー\n ① 端末がつなぎに行くと、ファイアウォールが自分の身分証（サーバ証明書）を見せる。端末は手元の認証局の紙で署名を確かめ、合わなければ警告を出す\n ② 名前と合言葉を認証サーバに問い合わせる（図 23 の ②・図 18 の AAA と同じ形）\n ③ 端末のソフトが MAC アドレス・ホスト名などを集めてファイアウォールへ送る\n ④ ファイアウォールが判定の表に当てはめる。条件に合えば、そのまま通す／セッションを切る／隔離する、のどれかになる\n ⑤ 端末を紛失したときは、接続中の一覧からそのセッションを切り、判定の表を「登録した端末以外は切る」に書き換える\n 3 層で見ると\n もの：サーバ証明書（論理。機器が本物だと示す紙）と、端末から集めた情報、判定の表（論理・手動で書く行の集まり）\n 結びつき：端末 ⇄ ルート証明書は手動で入れる。端末 ⇄ MAC アドレス・ホスト名は端末が申告する。利用者名 ⇄ 端末の情報の組合せは、人が表に書く（手動）\n フロー：図 23 の ②（名前と合言葉）の後ろに、④ の判定がもう 1 段入る。判定で「切る」になると、そのセッションはそこで終わる\n\n認証の判定表（同じ 3 台の端末で、条件の書き方だけを変えたときの結果）\n \n 条件 1：MAC アドレスが一致したら「切る」\n 登録した端末から: !入れない\n 登録していない端末から: 入れる\n \n 「一致したら切る」と書いたので、\n 指定した端末のほうが弾かれる\n \n 条件 2：ホスト名が一致「しない」なら「切る」\n 登録した端末から: 入れる\n 登録していない端末から: !入れない\n \n 「一致しないなら切る」に変えると、\n 結果がそっくり反対になる\n \n 条件 3：利用者名だけで判定して「隔離する」\n 登録した端末から: !隔離される\n 登録していない端末から: !隔離される\n \n 端末の条件を外すと、端末の区別が\n できなくなる（利用者名しか見ていない）\n判定の流れ（当てはまったときの動作）\n 表に書く 1 行の形\n 「（利用者の条件）かつ（端末の条件）に当てはまったら、この動作をする」。動作は そのまま通す／切る／隔離する の 3 つ\n この表で分かること（書き方を間違えると、本人だけが締め出される）\n 同じ仕組みでも、条件の書き方ひとつで結果が反対になる。表は「本来の端末を通す」のではなく「条件に当てはまったらこの動作をする」だけ\n図 18 との接続: 図 18 では、スイッチが RADIUS サーバに問い合わせて口に VLAN 番号を付けた。ここでは、ファイアウォールが認証サーバに問い合わせ、さらに自分の表で端末を見る\n図 23 との接続: ④ の判定は、認証の後・セッションを張るときに評価される（出典どおり）。住所を貸すのとどちらが先かは未検証\n出典（判定の表＝DAP は認証の後・セッションを張るときに評価される。端末の条件にはホスト名・MAC アドレス・BIOS の製造番号などがある）:\n　（動作は Continue／Terminate／Quarantine の 3 つ。Quarantine は制限付きの ACL を当てる、と同じページにある）\n　https://www.cisco.com/c/en/us/td/docs/security/asa/asa919/asdm719/vpn/asdm-719-vpn-config/vpn-asdm-dap.html\n未検証 1: MAC アドレスもホスト名も、端末側のソフトが申告した値。図 18 と同じく MAC は書き換えられるが、実際に書き換えて試してはいない\n未検証 2: 証明書を無効にする手続き（失効）は資料に無い。紛失時に資料でやったのは「接続中のセッションを切る」と「判定の表で端末を弾く」の 2 つだけ\n未検証 3: 端末側に証明書を入れて「登録した端末だけ通す」やり方も世の中にはあるが、この資料には無く、確かめていない\n注意: この図のサーバ証明書は、端末がファイアウォールを確かめるための紙。「登録した端末だけ通す」役には立たない。役割が逆なので混ぜない\n","text":"\n \n 図 24 端末の認証と紛失対策：「誰が」の次に「どの端末から」\n 図 23 の入口は名前と合言葉だけだった。端末ごと持ち去られると、盗んだ人と本人を区別できない。勉強会では、端末から集めた情報でもう 1 段の判定を足した\n 確かめ合いは 2 方向ある。証明書は「端末がファイアウォールを確かめる」向きで使い、端末の判定は逆向き。この 2 つは別の話なので分けて見る\n この図では、図 7〜12 のルータ 1 をファイアウォールに置き換えたとして描く（外側 203.0.113.10・内側 192.168.10.1 はルータ 1 から引き継いだ番地。VLAN 20 とトランクは省略）\n \n 自宅 PC\n VPN ソフトを入れた端末\n 信頼する認証局の一覧に\n ルート証明書を入れておく\n （人が入れる・手動）\n \n ファイアウォール 1\n 外側の口 203.0.113.10\n 自分の身分証（サーバ証明書）\n ＝認証局に署名してもらった紙\n 判定の表（DAP）を持つ\n （表の中身は人が書く・手動）\n \n A. 端末がファイアウォールを確かめる\n \n 1\n 身分証を見せる → 端末は手元の認証局の紙で署名を確かめる\n \n B. ファイアウォールが端末を確かめる\n \n 3\n 端末のソフトが MAC アドレス・ホスト名・製造番号などを集めて送る\n → ファイアウォールが判定の表に当てはめる\n 2\n ② の名前と合言葉（図 23 の ②）は、この 2 つとは別に行われる\n 増えたもの（3 つ）\n \n サーバ証明書\n ファイアウォール側の身分証（論理）\n 認証局に署名してもらって入れる（手動）\n 機器が自分で作った紙を使う構成もある。\n その場合は端末側に警告が出る\n 端末は手元のルート証明書で署名を確かめる\n 確かめられるのは「機器が本物か」であって\n 「端末が登録済みか」ではない\n \n 端末から集めた情報\n 端末のソフトが集めてファイアウォールへ送る\n MAC アドレス・ホスト名・製造番号など\n （自動で集まるが、送るのは端末側）\n 図 18 と同じく MAC は書き換えられる。ここ\n では端末のソフトが申告する値なので、機器側\n では正しさを確かめられない\n （実際に書き換えて試してはいない）\n \n 判定の表（DAP）\n 「利用者名」と「端末の情報」の両方を条件に\n 書ける（論理・手動）。当てはまったときの動作\n は 3 つから選ぶ：そのまま通す／切る／隔離する\n 隔離＝制限付きの ACL だけ当てて、どの端末か\n をログに残す\n 認証の後・セッションを張るときに評価される\n 4\n \n 端末を紛失したときにやること（勉強会での流れ）\n 1. 接続中の一覧から、その端末のセッションを選んで切る　　2. 判定の表を書き換えて、登録した端末以外は切るようにする\n 5\n フロー\n ① 端末がつなぎに行くと、ファイアウォールが自分の身分証（サーバ証明書）を見せる。端末は手元の認証局の紙で署名を確かめ、合わなければ警告を出す\n ② 名前と合言葉を認証サーバに問い合わせる（図 23 の ②・図 18 の AAA と同じ形）\n ③ 端末のソフトが MAC アドレス・ホスト名などを集めてファイアウォールへ送る\n ④ ファイアウォールが判定の表に当てはめる。条件に合えば、そのまま通す／セッションを切る／隔離する、のどれかになる\n ⑤ 端末を紛失したときは、接続中の一覧からそのセッションを切り、判定の表を「登録した端末以外は切る」に書き換える\n 3 層で見ると\n もの：サーバ証明書（論理。機器が本物だと示す紙）と、端末から集めた情報、判定の表（論理・手動で書く行の集まり）\n 結びつき：端末 ⇄ ルート証明書は手動で入れる。端末 ⇄ MAC アドレス・ホスト名は端末が申告する。利用者名 ⇄ 端末の情報の組合せは、人が表に書く（手動）\n フロー：図 23 の ②（名前と合言葉）の後ろに、④ の判定がもう 1 段入る。判定で「切る」になると、そのセッションはそこで終わる\n\n認証の判定表（同じ 3 台の端末で、条件の書き方だけを変えたときの結果）\n \n 条件 1：MAC アドレスが一致したら「切る」\n 登録した端末から: !入れない\n 登録していない端末から: 入れる\n \n 「一致したら切る」と書いたので、\n 指定した端末のほうが弾かれる\n \n 条件 2：ホスト名が一致「しない」なら「切る」\n 登録した端末から: 入れる\n 登録していない端末から: !入れない\n \n 「一致しないなら切る」に変えると、\n 結果がそっくり反対になる\n \n 条件 3：利用者名だけで判定して「隔離する」\n 登録した端末から: !隔離される\n 登録していない端末から: !隔離される\n \n 端末の条件を外すと、端末の区別が\n できなくなる（利用者名しか見ていない）\n判定の流れ（当てはまったときの動作）\n 表に書く 1 行の形\n 「（利用者の条件）かつ（端末の条件）に当てはまったら、この動作をする」。動作は そのまま通す／切る／隔離する の 3 つ\n この表で分かること（書き方を間違えると、本人だけが締め出される）\n 同じ仕組みでも、条件の書き方ひとつで結果が反対になる。表は「本来の端末を通す」のではなく「条件に当てはまったらこの動作をする」だけ\n図 18 との接続: 図 18 では、スイッチが RADIUS サーバに問い合わせて口に VLAN 番号を付けた。ここでは、ファイアウォールが認証サーバに問い合わせ、さらに自分の表で端末を見る\n図 23 との接続: ④ の判定は、認証の後・セッションを張るときに評価される（出典どおり）。住所を貸すのとどちらが先かは未検証\n出典（判定の表＝DAP は認証の後・セッションを張るときに評価される。端末の条件にはホスト名・MAC アドレス・BIOS の製造番号などがある）:\n　（動作は Continue／Terminate／Quarantine の 3 つ。Quarantine は制限付きの ACL を当てる、と同じページにある）\n　https://www.cisco.com/c/en/us/td/docs/security/asa/asa919/asdm719/vpn/asdm-719-vpn-config/vpn-asdm-dap.html\n未検証 1: MAC アドレスもホスト名も、端末側のソフトが申告した値。図 18 と同じく MAC は書き換えられるが、実際に書き換えて試してはいない\n未検証 2: 証明書を無効にする手続き（失効）は資料に無い。紛失時に資料でやったのは「接続中のセッションを切る」と「判定の表で端末を弾く」の 2 つだけ\n未検証 3: 端末側に証明書を入れて「登録した端末だけ通す」やり方も世の中にはあるが、この資料には無く、確かめていない\n注意: この図のサーバ証明書は、端末がファイアウォールを確かめるための紙。「登録した端末だけ通す」役には立たない。役割が逆なので混ぜない\n","line":65,"sources":["src_1"],"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_323a43","type":"paragraph","markdown":"帯の 3 通りは、勉強会でやった演習をそのまま並べたものです。\n「MAC アドレスが一致したら切る」と書くと、登録した端末のほうが入れなくなります。\n「ホスト名が一致しないなら切る」に変えると、結果がそっくり反対になります。\n利用者名だけで判定すると、端末の区別ができません。\n表は、登録した端末を通す道具ではありません。条件に当てはまったらこの動作をする、という仕掛けです。","text":"帯の 3 通りは、勉強会でやった演習をそのまま並べたものです。\n「MAC アドレスが一致したら切る」と書くと、登録した端末のほうが入れなくなります。\n「ホスト名が一致しないなら切る」に変えると、結果がそっくり反対になります。\n利用者名だけで判定すると、端末の区別ができません。\n表は、登録した端末を通す道具ではありません。条件に当てはまったらこの動作をする、という仕掛けです。","line":178,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_717c9c","type":"heading","depth":2,"markdown":"## 図 18・図 23 との接続","text":"図 18・図 23 との接続","line":184,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_1e5b22","type":"paragraph","markdown":"図 18 では、スイッチが RADIUS サーバに問い合わせて、口に VLAN 番号を付けました。\nここではファイアウォールが認証サーバに問い合わせ、さらに自分の表で端末を見ます。\n誰かの後ろに、どの端末からか、がもう 1 段付く形です。\n図 18 の MAB は、名乗れない機器を MAC アドレスで代用する仕組みでした。この図の判定も、MAC を手がかりにする点は同じです。ただし図 18 は入口の口の話で、図 24 は VPN のセッションの話なので、効く場所が違います。\n図 23 の ②（名前と合言葉）の後ろに ④ の判定が入り、「切る」になるとそのセッションはそこで終わります。","text":"図 18 では、スイッチが RADIUS サーバに問い合わせて、口に VLAN 番号を付けました。\nここではファイアウォールが認証サーバに問い合わせ、さらに自分の表で端末を見ます。\n誰かの後ろに、どの端末からか、がもう 1 段付く形です。\n図 18 の MAB は、名乗れない機器を MAC アドレスで代用する仕組みでした。この図の判定も、MAC を手がかりにする点は同じです。ただし図 18 は入口の口の話で、図 24 は VPN のセッションの話なので、効く場所が違います。\n図 23 の ②（名前と合言葉）の後ろに ④ の判定が入り、「切る」になるとそのセッションはそこで終わります。","line":186,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_703626","type":"heading","depth":2,"markdown":"## 未検証・注意","text":"未検証・注意","line":192,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_d37c01","type":"list","markdown":"- この記事の証明書は、端末がファイアウォールを確かめるためのサーバ証明書です。端末側に証明書を入れて登録した端末だけを通す形ではありません。向きが逆なので、図でも本文でも分けて書いてあります。端末側に証明書を入れるやり方は世の中にありますが、勉強会の資料には無く、確かめていません。\n- 証明書を無効にする手続き（失効）は、資料にありません。紛失時に資料でやったのは、接続中のセッションを切ることと、判定の表で端末を弾くことの 2 つだけです。失効したときの挙動は未検証です。\n- MAC アドレスもホスト名も、端末側のソフトが申告した値です。図 18 と同じく MAC は書き換えられますが、実際に書き換えて試してはいません。\n- ④ の判定と、住所を貸すこと（図 23 の ③）のどちらが先かは、資料で確認できませんでした。未検証です。資料で確認できたのは、判定が認証の後・セッションを張るときに評価される、というところまでです。\n- 隔離の説明（制限付きの ACL を当てる、どの端末かをログに残せる）は資料にありますが、隔離された先で何ができるかは試していません。","text":"この記事の証明書は、端末がファイアウォールを確かめるためのサーバ証明書です。端末側に証明書を入れて登録した端末だけを通す形ではありません。向きが逆なので、図でも本文でも分けて書いてあります。端末側に証明書を入れるやり方は世の中にありますが、勉強会の資料には無く、確かめていません。証明書を無効にする手続き（失効）は、資料にありません。紛失時に資料でやったのは、接続中のセッションを切ることと、判定の表で端末を弾くことの 2 つだけです。失効したときの挙動は未検証です。MAC アドレスもホスト名も、端末側のソフトが申告した値です。図 18 と同じく MAC は書き換えられますが、実際に書き換えて試してはいません。④ の判定と、住所を貸すこと（図 23 の ③）のどちらが先かは、資料で確認できませんでした。未検証です。資料で確認できたのは、判定が認証の後・セッションを張るときに評価される、というところまでです。隔離の説明（制限付きの ACL を当てる、どの端末かをログに残せる）は資料にありますが、隔離された先で何ができるかは試していません。","line":194,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_240080","type":"heading","depth":2,"markdown":"## 出典","text":"出典","line":200,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_ff5abd","type":"list","markdown":"- 勉強会での本人の観察（2026-09-13 実機ハンズオン。資料は非公開）\n- [Cisco: Dynamic Access Policies（ASDM 7.19）](https://www.cisco.com/c/en/us/td/docs/security/asa/asa919/asdm719/vpn/asdm-719-vpn-config/vpn-asdm-dap.html) — 判定の表は認証の後、セッションを張るときに評価される／端末の条件にホスト名（「Host Name only. Not FQDN」）・MAC アドレス（`xxxx.xxxx.xxxx`）・BIOS の製造番号が使える／動作は Continue（「Apply access policy attributes to the session」）・Terminate（「Terminate the session」）・Quarantine（制限付きの ACL を当てる）の 3 つ\n- [CCNA 200-301 v1.1 出題範囲](https://learningcontent.cisco.com/documents/marketing/exam-topics/200-301-CCNA-v1.1.pdf) — 5.8「Compare authentication, authorization, and accounting concepts」","text":"勉強会での本人の観察（2026-09-13 実機ハンズオン。資料は非公開）Cisco: Dynamic Access Policies（ASDM 7.19） — 判定の表は認証の後、セッションを張るときに評価される／端末の条件にホスト名（「Host Name only. Not FQDN」）・MAC アドレス（xxxx.xxxx.xxxx）・BIOS の製造番号が使える／動作は Continue（「Apply access policy attributes to the session」）・Terminate（「Terminate the session」）・Quarantine（制限付きの ACL を当てる）の 3 つCCNA 200-301 v1.1 出題範囲 — 5.8「Compare authentication, authorization, and accounting concepts」","line":202,"sources":["src_1","src_2"],"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_1f7c1f","type":"heading","depth":2,"markdown":"## 関連","text":"関連","line":206,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_3ff626","type":"list","markdown":"- [ネットワーク\\_INDEX](/notes/nw-basics-index) — 連載の目次\n\n- 連載の入口: [ネットワーク\\_00\\_3層で言葉を置く](/notes/nw-basics-00-three-layers)（`/notes/nw-basics-00-three-layers`）\n\n- 前の記事（図 23）: [ネットワーク\\_23\\_リモートアクセスVPN](/notes/nw-basics-23-remote-access-vpn)（`/notes/nw-basics-23-remote-access-vpn`）\n\n- 土台になる記事（図 7）: [ネットワーク\\_07\\_インターネットを挟む](/notes/nw-basics-07-internet)（`/notes/nw-basics-07-internet`）\n\n- 誰かを確かめる分担の形: [ネットワーク\\_18\\_MABとRADIUS](/notes/nw-basics-18-mab-radius)（`/notes/nw-basics-18-mab-radius`）","text":"ネットワーク_INDEX — 連載の目次連載の入口: ネットワーク_00_3層で言葉を置く（/notes/nw-basics-00-three-layers）前の記事（図 23）: ネットワーク_23_リモートアクセスVPN（/notes/nw-basics-23-remote-access-vpn）土台になる記事（図 7）: ネットワーク_07_インターネットを挟む（/notes/nw-basics-07-internet）誰かを確かめる分担の形: ネットワーク_18_MABとRADIUS（/notes/nw-basics-18-mab-radius）","line":208,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}}],"sources":[{"id":"src_1","url":"https://www.cisco.com/c/en/us/td/docs/security/asa/asa919/asdm719/vpn/asdm-719-vpn-config/vpn-asdm-dap.html","title":"Cisco: Dynamic Access Policies（ASDM 7.19）","accessed":"2026-09-14","kind":"secondary"},{"id":"src_2","url":"https://learningcontent.cisco.com/documents/marketing/exam-topics/200-301-CCNA-v1.1.pdf","title":"CCNA 200-301 v1.1 出題範囲","accessed":"2026-09-14","kind":"secondary"}],"errata":[]}