先日久々にスイッチとアクセスポイントに802.1xの認証の設定をしました。そこで、どこに設定すべき？ポート単位？グローバル？なんて悩んでしまったので備忘兼ねて記載しておきます。

スイッチ

スイッチの場合は、認証したい機器がつながるポートに設定します。そのポートに機器が繋がると、それをトリガーに認証が走ります。

認証は別途設定しているRADIUSサーバやAAAの設定に基づいて行われます。

アクセスポイント

アクセスポイントの場合は無線なのでポートはありませんが、この場合はWi-Fi（すなわちSSID）に設定をします。WLANとも言います。厳密に言い分けることはあえて避けますが、ここでは同じものだと思って良いと思います。

これにより、そのSSIDに接続したユーザが認証の対象となります。

無線認証による認証と認可

AAAとはAuthentication（認証）、Authorization（認可）、Accounting（アカウント）の略ですが、この認証と認可について少し注意が必要です。

無線認証の場合は、そもそもWi-Fiに繋がせるかといったこと（認証）を行い、認証が通れば、そのWi-Fiのネットワークに接続させて良いか（認可）が行われます。そのため、「ネットワークに繋がせたくないのにWi-Fiには繋がってしまう」と言う事象が発生しますが、これは当然のことです。

そもそも、端末が何らかのネットワークに接続できなければ、認証に必要な情報のやり取りができないからです。

まとめ

一応簡単に図にしてみるとこんな感じです。