IPA 無線LAN・接続認証 — 頻出論点と過去問

頻出論点

1. この分野は何か

無線LANで電波をやり取りする方式や周波数の割り当てから、アクセスポイントに端末をつなぐときの暗号化と接続認証までを扱う分野です。電波干渉を避けるチャネル配置やアクセスポイント側の保護機能だけでなく、接続時に端末や利用者を確かめるIEEE 802.1Xと認証情報を集中管理するRADIUSの役割分担まで判断できるようになります。

2. 実際の出題のされ方

ITパスポートでは、身近な無線LANの基本機能と用語の識別が中心です。アクセスポイントを経由せず端末同士が直接通信するアドホックネットワーク、WEPより高い信頼性で通信データを暗号化するWPA2、ネットワーク名を隠して不正接続リスクを低減するESSIDのステルス化、来訪者用端末を内部ネットワークから隔離してインターネットのみに接続させるゲストポート（ゲストSSID）などが出題されています。

応用情報技術者の午前やITストラテジストの午前IIでは、周波数帯の特性や運用上の設計・対策が問われます。IEEE 802.11acが使用する周波数帯、2.4GHz帯で複数アクセスポイントを分散配置する際のチャネル番号の割当て方（1・6・11のように離れた番号の選択）、参加者が入れ替わる公開セミナで事前共有鍵をセミナごとに変更する運用対策が出題されています。

午前IIでは、無線伝送の多重化・アクセス制御の方式や、企業網での認証構成の細部まで問われます。ネットワークスペシャリストと情報処理安全確保支援士では、IEEE 802.11nとIEEE 802.11acの周波数帯の組合せ、複数のサブキャリアを互いに干渉しないよう直交配置するOFDM、衝突を回避するCSMA/CA方式、同一アクセスポイント内の端末間通信を遮断するプライバシーセパレータ機能が出題されています。また、WPA3-Enterpriseの特徴、IEEE 802.1Xの枠組みとサプリカント・オーセンティケータ・RADIUSクライアント/サーバの配置、クライアント証明書を用いて相互認証を行うEAP-TLS、認証やアカウンティング情報をやり取りするRADIUSも出題されています。

パスワード入力なしに通信を暗号化するEnhanced Openは、情報処理安全確保支援士とエンベデッドシステムスペシャリストの午前IIで問われています。

3. 学習のポイント

1. 無線LAN規格（IEEE 802.11）の周波数帯・多重化・アクセス制御

   • 周波数帯の区別: 日本国内において、IEEE 802.11nは2.4GHz帯と5GHz帯の両方を使用できますが、IEEE 802.11acは5GHz帯のみを使用します。2.4GHz帯専用の規格（IEEE 802.11gなど）の端末は、5GHz帯専用のIEEE 802.11acとは直接通信できません。
   • 2.4GHz帯のチャネル割当て: 2.4GHz帯は隣接するチャネル間で周波数帯域が重なっています。オフィスや店舗に複数のアクセスポイントを設置する際は、電波干渉を避けるために隣り合うアクセスポイントへ 1・6・11 のように離れたチャネル番号を割り当てます。
   • OFDMとCSMA/CA: IEEE 802.11a/g/n/acでは、データ信号を複数のサブキャリアに分割して直交配置する多重化方式の OFDM（直交周波数分割多重） が用いられます。また、アクセス制御方式には、送信前にキャリア検出とランダム時間待機を行って衝突を回避する CSMA/CA が採用されています。

2. 無線通信の暗号化規格とアクセスポイントの保護機能

   • WPA2 / WPA3 / Enhanced Open: WPA2はAESに基づく暗号化で通信データを保護します。企業向けの WPA3-Enterprise は、IEEE 802.1Xに沿った利用者認証と、認証ごとに動的に共有・配布される暗号鍵を用いた暗号化通信を実装します。一方、公衆無線LAN向けの Enhanced Open（RFC 8110 / OWE） は、端末でのパスワード（パスフレーズ）入力なしにアクセスポイントとの通信を暗号化します。
   • アクセスポイントの各種機能:
     • ESSIDステルス化: ビーコンでネットワーク名を報知しないことで、存在を隠して不正接続リスクを低減します。ESSIDを指定しない接続要求を拒否するANY接続拒否と組み合わせて使われます。
     • プライバシーセパレータ（APアイソレーション）: 同じアクセスポイントに無線接続している端末同士の通信を禁止します。
     • ゲストSSID（ゲストポート）: 来訪者の端末から社内などの内部ネットワークへの接続を遮断し、インターネットにだけ接続させます。
     • MACアドレスフィルタリング: 事前登録した物理アドレスの機器以外からの接続を拒否します。

3. IEEE 802.1X・EAP・RADIUSによる接続認証

   • 構成要素と役割分担: IEEE 802.1Xはアクセスポイントなどが EAP（Extensible Authentication Protocol） を使用してクライアントを認証する枠組みです。
     • サプリカント: 認証を要求するクライアント側（PCなど）の装置やソフトウェア。
     • オーセンティケータ: クライアントと認証サーバを仲介するネットワーク機器（アクセスポイントやスイッチ）。認証サーバに対しては RADIUSクライアント として機能します。
     • 認証サーバ: 認証情報やアカウンティング情報を一元管理する RADIUSサーバ。
   • EAP-TLSの特徴: EAPの方式のうち、EAP-TLS はTLSに基づき、認証サーバだけでなくクライアント側にも デジタル証明書（クライアント証明書） を導入して相互認証を行います。EAP-TTLSやPEAP、EAP-FAST、EAP-MD5ではクライアント証明書が必須ではない点と対比して押さえましょう。

4. 間違えやすいところ

• IEEE 802.1XにおけるRADIUSクライアントの配置場所:
  PC・アクセスポイント・認証サーバの3者構成で、PCにサプリカントとRADIUSクライアントの両方を実装するという誤答肢に注意してください。PCとアクセスポイント間はEAP（EAPOL）で通信し、アクセスポイントとRADIUSサーバ間がRADIUSプロトコルで通信するため、RADIUSクライアント機能を持つのはアクセスポイント（オーセンティケータ） です。
• アクセスポイントの保護機能同士の目的のすり替え:
  外部からの不正接続を防ぐ対策を問われているのに、接続済み端末間の通信を遮断するプライバシーセパレータや、接続後のIPアドレス割当て範囲を変えるDHCP設定変更を選ばせる引っかけがあります。また、MIMO（複数アンテナによる高速化）やWPS（ボタン操作等による簡易設定）を暗号化やアクセス制限の機能と混ぜる選択肢にも注意してください。
• EAP・RADIUS・SSIDと暗号化規格の混同:
  EAPを共通鍵による暗号化通信の規格、RADIUSを公開鍵暗号方式による暗号化通信の規格、SSIDをクライアントの秘密鍵とする選択肢は、いずれも誤りです。認証の枠組み・プロトコル（IEEE 802.1X / EAP / RADIUS）、ネットワーク識別子（SSID / ESSID）、暗号化通信の実装規格（WPA2 / WPA3 / Enhanced Open）の役割を明確に区別しましょう。
• 2.4GHz帯のチャネル設計とSSIDの関係:
  アクセスポイントごとにSSIDを変えれば同じチャネルでも干渉しないとする記述や、ローミングのために全アクセスポイントを同じチャネル番号に揃えるとする記述は誤りです。SSIDが異なっても物理的な周波数帯域が重なれば電波干渉が生じるため、隣接するアクセスポイント同士は離れたチャネル番号を割り当てる必要があります。