RADIUSの設定方法は？

RADIUSサーバーをインストールまたは有効化し、各ネットワークデバイスをIPアドレスと共有シークレットを持つクライアントとして定義し、サーバーをディレクトリなどのユーザーストアに接続します。次に、スイッチ、コントローラー、またはゲートウェイにサーバーのアドレスと同じシークレットを設定し、ユーザーやグループをアクセス結果にマッピングするポリシーを作成します。本格展開の前に、1台のデバイスでテストを行ってください。

RADIUSはどのポートを使用しますか？

RADIUSの認証およびアカウンティングでは、従来、UDPが使用されており、RFC 2865およびRFC 2866で規定されているサービスに従い、認証にはポート1812、アカウンティングにはポート1813が割り当てられています。以前の導入環境では、ポート1645および1646が使用されていました。設定が一致していないと通信が妨げられるため、クライアントとサーバーの両方の設定を確認してください。

RADIUSは802.1Xと同じものですか？

802.1Xは、デバイスがネットワークにアクセスする前に認証を行う方法を定義するポートベースのアクセス制御規格であるのに対し、RADIUSは、スイッチやアクセスポイントが認証サーバーに接続するために一般的に使用されるプロトコルです。これらはしばしば組み合わせて導入されます。

RADIUSはトラフィックを暗号化しますか？

一部のみです。RADIUSは共有秘密鍵を使用してユーザーパスワード属性を保護しますが、メッセージ内の他のほとんどの属性は暗号化されずに送信されます。多くの導入事例では、TLSトンネルを構築するEAP方式を使用したり、IPsecやTLS上でRADIUSを実行したりすることで、保護を強化しています。

RADIUSとTACACS+の違いは何ですか？

RADIUSは、ユーザーやデバイスによるネットワークアクセスに一般的に使用されるオープン標準であり、一方、TACACS+は、管理者がネットワークデバイスのコマンドラインにアクセスする際に一般的に使用されます。TACACS+は認証、認可、アカウンティングを分離し、メッセージ本文全体を暗号化しますが、RADIUSは認証と認可を統合しています。

用語集
RADIUS（Remote Authentication Dial-In User Service）とは？

セキュリティ用語集

RADIUS（Remote Authentication Dial-In User Service）とは？

RADIUS（Remote Authentication Dial-In User Service）は、ネットワークアクセスを要求するユーザーやデバイスの認証、認可、アカウンティングを一元化するネットワークプロトコルです。これにより、ネットワークアクセスサーバーは認証情報を中央のRADIUSサーバーに送信し、RADIUSサーバーはアクセス属性とともに、承認、拒否、またはチャレンジの決定を返します。

DDIをシンプルにしましょう

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

主なポイント

RADIUS (Remote Authentication Dial-In User Service) is a standardized network protocol defined in RFC 2865 and RFC 2866 that centralizes authentication, authorization, and accounting for users and devices requesting network access across enterprise environments including Wi-Fi, VPN, and wired 802.1X deployments. A network access server acts as the RADIUS client, forwarding user credentials to a central RADIUS server over UDP ports 1812 (authentication) and 1813 (accounting), which evaluates requests against a user store and returns accept, reject, or challenge responses with authorization attributes. Organizations benefit from eliminating per-device local accounts and managing access policy in one central location, but must address operational dependencies such as server redundancy, timeout configuration, shared secret management, and certificate validation to ensure reliable authentication and prevent network access disruptions.

RADIUS runs over UDP using ports 1812 for authentication and 1813 for accounting, with older deployments using ports 1645 and 1646, requiring verification of port configuration on both client and server to prevent communication failures.
Only the password attribute is obscured with the shared secret; other user data travels unencrypted, so deployments should implement EAP methods with TLS tunnels, IPsec, or TLS transport to strengthen security.
Common authentication failures stem from mismatched shared secrets between network devices and the server, server unreachability due to firewall or routing issues, missing or incorrect authorization attributes, and EAP certificate expiration in 802.1X environments.

RADIUSの概要

Attribute	Value
Full name	Remote Authentication Dial-In User Service
Category	Network protocol
Defined in	RFC 2865 (authentication and authorization) and RFC 2866 (accounting)
Protocol and port	UDP ports 1812 for authentication and 1813 for accounting; older deployments used ports 1645 and 1646
OSI layer	Application layer (layer 7)
Primary use	Centralized authentication, authorization, and accounting for network access such as Wi-Fi, VPN, and wired 802.1X
Related terms	AAA, 802.1X, EAP, TACACS+, Network access control

RADIUSの仕組み

RADIUSは、RADIUSクライアントとして機能するネットワークアクセスサーバーと、中央のRADIUSサーバーとの間で動作します。クライアントは認証情報を自ら検証することはなく、それらを転送し、返答を適用する役割を担います。

アクセス要求：ユーザーまたはデバイスがスイッチ、ワイヤレスコントローラ、またはVPNゲートウェイに接続します。そのデバイスはRADIUSクライアントとして動作し、認証情報やEAPデータに加え、クライアント識別子などの属性を含むAccess-Requestを送信します。
サーバーの評価：RADIUSサーバーは、ディレクトリやデータベースなどのユーザーストアとリクエストを照合し、ポリシーを適用します。リクエストの認証は、クライアントとサーバー間で共有秘密鍵を使用して行われます。
サーバーの応答：サーバーは「Access-Accept」、「Access-Reject」、または「Access-Challenge」で応答します。「Challenge」は、第2の認証要素やEAP交換の次のステップなど、追加情報の入力を求めます。
認可属性：Access-Acceptには、VLANの割り当て、セッションのタイムアウト、フィルタルールなど、クライアントに何を許可するかを指示する属性を含めることができます。
アカウンティング：クライアントは、セッションの開始、更新、終了時に「Accounting-Request」メッセージを送信します。サーバーは、監査や課金の目的で利用状況を記録します。

RADIUSはUDP上で動作するため、導入時には通常、タイムアウト、再試行、およびバックアップサーバーが設定されます。パスワード属性のみが共有秘密鍵によって隠蔽されるため、RADIUSトラフィックは保護されたリンク上、またはサポートされている場合はTLS経由で伝送する必要があります。

エンタープライズネットワークにおいてRADIUSが重要な理由

RADIUSは、企業向けWi-Fiのログイン、有線802.1Xポートセキュリティ、およびリモートアクセスVPNの背後にある共通の仕組みです。RFC 2865およびRFC 2866で標準化されているため、多くのメーカーのスイッチ、コントローラー、ゲートウェイがすべて1つのポリシーサーバーを指し示すことができます。これにより、デバイスごとのローカルアカウントが不要となり、組織は一元的に、誰がどのような条件下でアクセスできるかを変更できるようになります。

中央サーバーは、あらゆるログインにおいて不可欠な存在となります。このサーバーに接続できない場合、新しいユーザーやデバイスはネットワークに参加できず、再認証によって既存のセッションが切断される可能性があります。通常、チームは冗長化されたサーバーを運用し、タイムアウト時間を調整し、応答時間を監視します。EAP 展開における共有秘密鍵の不一致、時計や証明書の問題、およびクライアントアドレスの誤った登録は、認証失敗の一般的な原因です。

セキュリティは設定に依存します。共有シークレットはクライアントとサーバー間のメッセージの完全性を保護するため、脆弱なシークレットや多くのデバイスで再利用されたシークレットは、その保護機能を弱めます。このプロトコルはパスワード属性のみを隠蔽するため、経路が露見すると他のユーザーデータが漏洩する可能性があります。強力なEAP方式、保護された転送、および記録されたアカウンティングログは、これらのリスクを軽減し、インシデント調査を支援します。

RADIUSと関連用語の比較

RADIUS 対 AAA（認証、認可、アカウンティング）

AAAは、アクセスに対する認証、認可、およびアカウンティングを行う一般的なフレームワークであり、RADIUSはそのフレームワークを実装する特定のプロトコルの1つです。AAAとは何ですか？

Attribute	RADIUS	AAA (Authentication, Authorization and Accounting)
Type	Network protocol	Conceptual framework
Defined in	RFC 2865 and RFC 2866	Not a single specification; implemented by several protocols
Scope	Carries requests, decisions, and accounting records between client and server	Describes the three functions any access control system performs
Examples	RADIUS	RADIUS, TACACS+, and Diameter

RADIUS 対軽量ディレクトリアクセスプロトコル (LDAP)

RADIUSは、デバイスやユーザーがネットワークにアクセスできるかどうかを決定しますが、LDAPは、RADIUSが確認するID情報が格納されていることが多いディレクトリを読み取り、クエリを実行するためのプロトコルです。LDAPとは？

Attribute	RADIUS	Lightweight Directory Access Protocol (LDAP)
Primary role	Network access authentication, authorization, and accounting	Directory lookup and update
Typical client	Switch, wireless controller, or VPN gateway	Applications and servers
Relationship	Often queries a directory for credentials and group membership	Often serves as the user store behind a RADIUS server
Accounting	Supported through accounting messages	Not part of the protocol

RADIUSの一般的な問題

ネットワークデバイス上のシークレットが、サーバー上でそのクライアント用に設定されたものと異なる場合、リクエストは失敗するか、破棄されます。サーバーのログには、無効な認証子を持つパケットが頻繁に記録され、ユーザーは認証情報が正しいにもかかわらず、ログインに繰り返し失敗することになります。

ファイアウォールのルール、ルーティングの変更、または送信元アドレスの誤りにより、リクエストがサーバーに到達しなくなる場合があります。その結果、スイッチやコントローラーはタイムアウトとなり、設定に応じてゲストVLAN、ローカルアカウント、またはアクセス不可のいずれかにフォールバックすることがあります。

ユーザーが認証に成功しても、サーバーがデバイスが認識しない属性、あるいは属性をまったく返さないために、誤ったVLANやロールに割り当てられてしまうことがあります。ベンダー固有の属性名や値は、デバイスメーカーによって異なることがよくあります。

RADIUSサーバーが1台しか設定されていない場合、障害やメンテナンス期間中に新規ログインや再認証ができなくなります。各クライアントで少なくとも2台のサーバーを設定し、障害が発生して対応を余儀なくされる前に、フェイルオーバーの動作をテストしておきましょう。

証明書ベースの EAP 方式を使用する 802.1X 導入環境では、サーバーの証明書の有効期限が切れている場合や、クライアントがその発行者を信頼していない場合、多数のデバイスで同時に認証に失敗することがあります。その原因は通常、ユーザーアカウントではなく、証明書にあります。

統合型DDIがネットワーク運用をいかに簡素化するかをぜひご覧ください

自動化、可視化、制御機能が組み込まれた単一のプラットフォームから、DNS、DHCP、IPアドレスを管理できます。

お問い合わせ

インテリジェント・ネットワーク

RADIUS（Remote Authentication Dial-In User Service）とは？

DDIの簡素化を始めませんか？

RADIUSの概要

RADIUSの仕組み

エンタープライズネットワークにおいてRADIUSが重要な理由