OS X Server(Leopard Server)のRADIUSサービス

Mac OS X Server 10.5(Leopard Server)で新たにRADIUSサーバが組み込まれました．一般的なシステム管理者にとってRADIUSサーバはあまりなじみがないかもしれませんが、インターネットサービスプロバイダなどでユーザの認証サービスを行っている事ぐらいはご存じかと思います．ネットワークの管理者であれば無線LANやユーザ認証スイッチの管理でこのRADIUSサーバのお世話になっているのではないでしょうか．

今回、OS X Server にこのRADIUSサーバが標準で組み込まれたことによって、今まで複雑で面倒な設定が必要だった無線LANの管理が簡単にできるようになりました．特にApple製の無線LAN AP であるAirPort（AirMac) ベースステーションと組み合わせると、GUIベースの管理画面(Server Admin）から、IEEE802.1X による認証の設定が簡単にできるようになっています．

単純なWEPキーやWPA2などでは、暗号化によってある程度のセキュリティーは確保できましたが、ユーザ毎に無線LANの利用を制限するということは難しかったかと思います．無線LANでIEEE802.1X による認証が可能になると、認証を通ったユーザしかネットワークにアクセスできなくなるので、ネットワークの不正アクセスの心配が低減されますね．

特に大学などでは、学生に無線LANを使わせようとする場合、WEPキーやWPAパスワードではアクセス制限を掛けるのは事実上不可能だと思います．全学的に学生のアカウントが管理されていて、無線LANのインフラが整備されている場合は、既に何らかのRADIUSやLDAPサーバによる認証システムが稼働していると思いますが、研究室レベルや学科レベルではこのような対策を取るのは難しいでしょう．

このような比較的小規模な環境ではこの OSX Server 10.5 と AirPort ベースステーションの組み合わせが簡単でしかもコスト的に見てもベストな組み合わせだと思います．市販のRADIUSサーバとWindowsサーバ(Active Directory)の組み合わせでは、設定も大変ですし、予算も百万円を超えるかもしれません．

私も以前管理していた学科のネットワークに、CiscoやAlcatelのスイッチ、無線LAN AP 等を組み合わせ、OSX Server のオープンディレクトリとRADIUS（FreeRADIUS）サーバで独自のIEEE802.1X 認証システムを起ち上げようとして、えらく難儀した覚えがあります．今回AppleがFreeRADIUSをオープンディレクトリ(中身はOpenLDAP）と上手く連携するようにインプリメントしてくれたので、難しかったユーザ認証の部分の設定がとても簡単になりました．

３年半ぐらい前に、CupertinoのApple本社で教育部門の担当者達と日本の大学関係者との間でちょっとしたミーティングを行う機会があって、そのときにRADIUSサーバを OSX Serverに組み込んでくれというリクエストを出しておいたのですが、Leopard Serverでやっと実現されました．これで本当の意味でのオールインサーバになったと言えるでしょう．

これから２〜３回に分けて、RADIUSサーバ廻りのトピックスを追ってみたいと思います．次回はまず、Server AdminからAirMacベースステーションをIEEE802.1X 認証に対応させる方法を紹介します．