802.1Xネットワークアクセスコントロール(NAC)とは

802.1Xネットワークアクセスコントロール(NAC)とは

802.1Xネットワークアクセスコントロール(NAC)により、管理者は有線/無線ネットワーク全体で統一されたアクセスコントロールが得られます。キャンパスおよび支店のエンタープライズネットワークに幅広く導入されており、以下の2つの主要な要素から構成されています。

  • 802.1Xプロトコル:有線/無線アクセスポイントでのポートベースのネットワークアクセスコントロール(PNAC)のためのIEEE規格。802.1Xは、LANまたはWLANへのアクセスを試みるユーザーやデバイスに対する認証コントロールを規定しています。
  • NAC:ネットワークへのアクセスを制御することでユーザーとデバイスを特定する、定評あるネットワーク概念。NACでは、認証とポリシー適用を使用して、エンタープライズリソースへのアクセスを制御します。

802.1Xネットワークアクセスコントロールが対処する問題

エンタープライズネットワークリソースに無線ネットワークアクセス、モビリティ、個人所有デバイスの持ち込み(BYOD)、ソーシャルメディア、クラウドコンピューティングが与える影響は多大です。以下の図が示すように、このようなモビリティの拡張によって、ネットワーク脅威やデジタル侵害にさらされている範囲が広がっています。802.1xを使用することで、TCO(総保有コスト)を抑えながら、このような環境でイングレスセキュリティを強化できます。

802.1Xネットワークアクセスコントロールが対処する問題

802.1Xネットワークアクセスコントロールでできること

NACはさまざまな方法で導入できますが、基本は以下のとおりです。

  • 事前のアドミッションコントロール:非認証メッセージをブロックします。
  • デバイスおよびユーザーの検知:事前定義した認証情報またはマシンIDでユーザーとデバイスを特定します。
  • 認証と許可:アクセスを検証し、提供します。
  • オンボーディング:デバイスにセキュリティ、管理、ホストチェック用ソフトウェアをプロビジョニングします。
  • プロファイリング:エンドポイントデバイスをスキャンします。
  • ポリシー適用:役割および権限ベースのアクセスを適用します。
  • 事後のアドミッションコントロール:セッションの終了とクリーンアップを実施します。

802.1Xは、物理ポートへのアクセスを試みるユーザーまたはデバイスを検証することにより、L2アクセスコントロールを提供します。

802.1Xネットワークアクセスコントロールの仕組み

802.1X NACは次のような順序で動作します。

1.初期化:オーセンティケータ(通常はスイッチ)またはサプリカント(クライアントデバイス)がセッション初期化要求を送信します。サプリカントがEAP応答メッセージをオーセンティケータに送信し、オーセンティケータがメッセージをカプセル化して認証サーバーに転送します。

2.認証:認証サーバーとサプリカントの間でオーセンティケータを介してメッセージが受け渡され、複数の情報が検証されます。

3.承認:認証情報が有効であれば、認証サーバーからオーセンティケータに、ポートへのアクセス権をサプリカントに提供するよう通知します。

4.アカウンティング:RADIUSアカウンティングによって、ユーザーとデバイスの詳細、セッションタイプ、サービスの詳細などのセッションレコードが保持されます。

5.終了:エンドポイントデバイスを切断するか、管理ソフトウェアを使用して、セッションが終了します。

ジュニパーネットワークスの実装

EXシリーズイーサネットスイッチシリーズは、キャンパスおよび支店のエンタープライズネットワークに対応するジュニパーネットワークスのゲートウェイです。EXシリーズは802.1XやRADIUS、複数の802.1x拡張を幅広くサポートしています。受信アクセスの要求に対処する方法を拡張し、ネットワークアクセスコントロールの大規模導入を簡素化します。さらに、ジュニパーの厳選されたベンダーであるAruba Networks社のClearPass Policy Management PlatformやPulse Secure社が提供するソリューションにより、ネットワークアクセスコントロール全体を管理することができます。