Show Table of Contents
このページには機械翻訳が使用されている場合があります (詳細はこちら)。
5.2. 802.1X セキュリティーの設定
802.1X セキュリティーとは、ポートベースのネットワークアクセス制御 (PNAC) 用の IEEE 基準の名前です。これは、WPA Enterprise とも呼ばれます。802.1X セキュリティーは、物理ネットワークから 論理ネットワーク へのアクセスを制御する手段です。論理ネットワークに参加するクライアントはすべて、正しい 802.1X 認証方法を使用してルーターなどのサーバーで認証を行う必要があります。
802.1X セキュリティーは、ほとんどの場合、ワイヤレスネットワーク (WLAN) のセキュリティー保護に関連付けられていますが、ネットワーク (LAN) に物理的にアクセスする侵入者が侵入するのを防ぐためにも使用できます。
これまで、
DHCP
サーバーは、許可されていないユーザーに IP
アドレスをリースしないように設定されていましたが、実現が困難で、安全ではないため、推奨されません。代わりに、802.1X セキュリティーを使用して、ポートベースの認証を通じて、論理的に安全なネットワークを確保します。
802.1X は、WLAN と LAN のアクセス制御のためのフレームワークを提供して、EAP (Extensible Authentication Protocol) タイプの 1 つを運搬するエンベロープとして機能します。EAP のタイプとは、ネットワーク上でセキュリティーの達成方法を定義するプロトコルです。
5.2.1. nmcli を使用した Wi-Fi 用の 802.1X セキュリティーの構成
手順
- 認証済みの
key-mgmt
(鍵管理) プロトコルを設定します。このプロトコルにより、安全なwifi
接続のための鍵のメカニズムが設定されます。プロパティーの詳細は、man ページの 『nm-settings(5)』 を参照してください。 - 802-1x 認証設定を構成します。TLS (Transport Layer Security) 認証は「TLS の設定」を参照してください。
表5.1 802-1x 認証設定
802-1x 認証設定 | 名前 | |
---|---|---|
802-1x.identity | アイデンティティー | |
802-1x.ca-cert | CA 証明書 | |
802-1x.client-cert | ユーザー証明書 | |
802-1x.private-key | プライベートキー | |
802-1x.private-key-password | プライベートキーのパスワード |
たとえば、EAP-TLS 認証メソッドを使用して WPA2 Enterprise を設定するには、以下の設定を適用します。
nmcli c add type wifi ifname wlo61s0 con-name 'My Wifi Network' \ 802-11-wireless.ssid 'My Wifi' \ 802-11-wireless-security.key-mgmt wpa-eap \ 802-1x.eap tls \ 802-1x.identity identity@example.com \ 802-1x.ca-cert /etc/pki/my-wifi/ca.crt \ 802-1x.client-cert /etc/pki/my-wifi/client.crt \ 802-1x.private-key /etc/pki/my-wifi/client.key \ 802-1x.private-key-password s3cr3t
5.2.2. nmcli を使用した有線用の 802.1X セキュリティーの構成
nmcli ツールを使用して
有線
接続を設定するには、802-11-wireless.ssid
および 802-11-wireless-security.key-mgmt
設定を除き、ワイヤレス
接続と同じ手順を実施します。
5.2.3. GUI を使用した Wi-Fi 用の 802.1X セキュリティーの構成
手順
- Network ウィンドウを開きます (「control-center GUI を使用したネットワーク接続」 を参照)。
- 右側のメニューから Wi-Fi ネットワークインターフェースを選択します。必要に応じて電源ボタンを オン にして、ハードウェアのスイッチがオンになっていることをチェックします。
- 802.1X セキュリティーを設定する新規接続の接続名を選択するか、既存の接続プロファイルのギアのアイコンをクリックします。新規接続の場合、必要な認証手順を完了して接続を完了させてからギアのアイコンをクリックします。
- セキュリティ を選択します。以下の設定オプションが利用できます。
- セキュリティー
- 「TLS の設定」 とともに使用します。- WEP キーは動的に変更します。「TLS の設定」 とともに使用します。- IEEE 802.1X ネットワークアクセス制御を提供するために RADIUS 認証サーバーとともに使用する WPA。
- パスワード
- 認証プロセスで使用するパスワードを入力します。
- ドロップダウンメニューから、、 、 いずれかのセキュリティー方法を選択します。
Security ドロップダウンメニューでの選択に対応する 拡張認証プロトコル (EAP) タイプの説明は、「TLS の設定」 を参照してください。
5.2.4. nm-connection-editor を使用した有線用の 802.1X セキュリティーの構成
手順
- 端末で nm-connection-editor を入力します。
~]$ nm-connection-editor
Network Connections
ウィンドウが表示されます。 - 編集するイーサネット接続を選択し、歯車アイコンをクリックしてください。「nm-connection-editor を使用した有線接続の設定」を参照してください。
- セキュリティー を選択してから電源ボタンを ON にして、設定を有効にします。
- 以下のいずれかの認証方法を選択します。
- トランスポートレイヤーセキュリティーを設定するには、TLS を選択して、「TLS の設定」に進みます。
- Flexible Authentication through Secure Tunneling (セキュアトンネリングを介したフレキシブル認証)を設定するには、FAST を選択して、「Tunneled TLS の設定」に進みます。
- Tunneled Transport Layer Security (TTLS または EAP-TTLS とも呼ぶ) を設定するには、トンネル化 TLS を選択して「Tunneled TLS の設定」に進みます。
- Protected Extensible Authentication Protocol を設定するには 保護つき EAP (PEAP) を選択して「Protected EAP (PEAP) の設定」に進みます。
TLS の設定
TLS (トランスポートレイヤーセキュリティー) では、クライアントとサーバーは TLS プロトコルを使用して相互に認証します。サーバーはデジタル証明書を維持していることを示し、クライアントはクライアント側の証明書を使用して自身の ID を証明することで、鍵情報が交換されます。認証が完了すると、TLS トンネルの使用は終了します。その代わりにクライアントとサーバーは交換したキーで、AES、TKIP、WEP のいずれかを使用してデータを暗号化します。
認証を希望する全クライアントに証明書が配布される必要があるということは、EAP-TLS 認証のメソッドが非常に強力であることを意味しますが、セットアップはより複雑になります。TLS セキュリティーを使用すると、証明書を管理するための PKI (パブリックキーインフラストラクチャー) のオーバーヘッドが必要になります。TLS セキュリティーを使用する利点は、パスワードが危険にさらされても (W)LAN へのアクセスが許可されないことです。侵入者は、認証するクライアントのプライベートキーにもアクセスを必要とします。
NetworkManager は、対応する TLS のバージョンを決定しません。NetworkManager は、ユーザーが入力するパラメーターを集め、手順を処理するデーモンである wpa_supplicant にこれらを渡します。このデーモンは、OpenSSL を使って TLS トンネルを確立します。OpenSSL 自体は、SSL/TLS プロトコルバージョンを処理します。このバージョンには、両方の末端でサポートされる一番高いバージョンが使用されます。
TLS を設定するには、「nm-connection-editor を使用した有線用の 802.1X セキュリティーの構成」 で説明されている手順に従います。以下の設定が可能です。
- アイデンティティー
- このサーバーの識別子を入力します。
- ユーザー証明書
- 個人用 X.509 証明書ファイルをブラウズして選択します。これは、Distinguished Encoding Rules (DER) または Privacy Enhanced Mail (PEM) でエンコードされたものです。
- CA 証明書
- X.509 認証局 証明書ファイルをブラウズして選択します。これは、Distinguished Encoding Rules (DER) または Privacy Enhanced Mail (PEM) でエンコードされたものです。
- プライベートキー
- プライベートキーをブラウズして選択します。これは、Distinguished Encoding Rules (DER)、Privacy Enhanced Mail (PEM)、または Personal Information Exchange Syntax Standard (PKCS #12) でエンコードされたものです。
- プライベートキーのパスワード
- プライベートキー フィールドのプライベートキー用のパスワードを入力します。パスワードを表示を選択すると、入力時にパスワードが表示されます。
FAST の設定
FAST を設定するには、「nm-connection-editor を使用した有線用の 802.1X セキュリティーの構成」で説明されている手順に従います。以下の設定が可能です。
- 匿名の識別子
- このサーバーの識別子を入力します。
- PAC プロビジョニング
- チェックボックスを選択してから、、 、 のいずれかを選択します。
- PAC ファイル
- クリックしてブラウズし、protected access credential (PAC) ファイルを選択します。
- 内部認証
- ユーザー名
- 認証プロセスで使用するユーザー名を入力します。
- パスワード
- 認証プロセスで使用するパスワードを入力します。
Tunneled TLS の設定
Tunneled TLS を設定するには、「nm-connection-editor を使用した有線用の 802.1X セキュリティーの構成」 で説明されている手順に従います。以下の設定が可能です。
- 匿名の識別子
- この値は、非暗号化 ID として使用されます。
- CA 証明書
- クリックしてブラウズし、認証局 (CA) の証明書を選択します。
- 内部認証
- ユーザー名
- 認証プロセスで使用するユーザー名を入力します。
- パスワード
- 認証プロセスで使用するパスワードを入力します。
Protected EAP (PEAP) の設定
Protected EAP (PEAP) を設定するには、「nm-connection-editor を使用した有線用の 802.1X セキュリティーの構成」 で説明されている手順に従います。以下の設定が可能です。
- 匿名の識別子
- この値は、非暗号化 ID として使用されます。
- CA 証明書
- クリックしてブラウズし、認証局 (CA) の証明書を選択します。
- PEAP バージョン
- 使用する、保護された EAP のバージョン。Automatic、0、1 のいずれか。
- 内部認証
- ユーザー名
- 認証プロセスで使用するユーザー名を入力します。
- パスワード
- 認証プロセスで使用するパスワードを入力します。
このページには機械翻訳が使用されている場合があります (詳細はこちら)。