病院での有線802.1X展開-IP電話のMAB失敗と医用機器の可用性
病院（職員800名、ベッド400床）で有線802.1Xの全館展開を計画している。RADIUSサーバは導入済みで、まず外来棟の200ポートでパイロットを行った。PC（Windows 11）は端末証明書によるEAP-TLSで認証に成功し、データVLANに割り当てられた。しかしIP電話（PoE給電、802.1X非対応）を接続したポートで問題が発生した。電話機はMAC認証バイパス（MAB）で登録したが認証に失敗し、その後同じポートに接続したPCも通信できなくなった。このポートは電話機の背面ポートにPCを接続するデイジーチェーン構成で、スイッチから見えるのは電話機のMACアドレスのみである。また電子カルテ用の医用機器（固定IP、802.1X非対応）が数台あり、MABで通す予定だがMACアドレスの事前登録が間に合っていない。認証失敗時の動作は「ポートを閉塞」としており、ナースステーションで通信断が発生した。病院側からは「医療機器を止めるわけにはいかない」と強い要望が出ている。音声VLAN（VLAN 30）とデータVLAN（VLAN 10）は分離済みで、DHCPは外部サーバにある。
1. 電話機のMAB認証が失敗し、さらに後段のPCも通信できなくなった理由を、スイッチから見た認証の単位（サプリカント、認証ドメイン）に触れて説明せよ。
Read the worked answer
1. 認証セッションの単位がポートであること
- スイッチポートは既定では1つの認証セッションしか持てない。MABで電話機のMACを認証しても、そのセッションは電話機のものとして扱われる。
- 電話機の背面に接続されたPCのEAPOLフレームは、802.1X非対応の電話機を通過できない。つまりPCはサプリカントとしてスイッチに見えていない。スイッチから見えるサプリカントは電話機だけである。
2. 認証ドメインの未設定
- 音声端末とデータ端末を同一ポートで扱うには、マルチドメイン認証（データドメインと音声ドメインを別々に認証する仕組み）の設定が必要である。これがないと、どちらか一方しか認証できない。
- 音声ドメインを許可するポリシーがRADIUS側にない場合、MACが正しくてもMABは失敗する。原因は「MACの登録漏れ」だけではない可能性が高い。
3. 音声VLANの割当方法の誤り
- 音声VLANは、認証結果としてのVLANアサイン、LLDP-MED／CDPによる音声VLAN通知、ポートの静的設定のいずれかで割り当てる。音声VLANが通知されていない状態でMABだけ設定しても、電話機はデータVLAN側で認証を試みることになる。
4. 失敗時ポリシーによる全断
- 認証失敗時の動作を「ポート閉塞」としているため、電話機の認証失敗がポート全体の停止に直結し、後段のPCも巻き添えになった。1つの認証失敗がポート全体を落とす設計は、共有ポートでは危険である。
以上をまとめると、原因は「MAC登録の有無」ではなく、認証ドメイン設計と失敗時ポリシーの設計不足である。
2. 認証失敗時の扱いを含めた設計方針を、医療機関の可用性要件を踏まえて提案せよ。セキュリティを弱めすぎない範囲で具体的に示すこと。
Read the worked answer
基本方針：可用性を最優先にしつつ、失敗時は「通す／切る」の二択ではなく隔離する。
マルチドメイン認証の導入
- データドメインと音声ドメインを分けて認証し、電話機は音声ドメインでMAB、PCはデータドメインでEAP-TLSとする。LLDP-MEDで音声VLANを通知し、電話機が音声VLANで起動できるようにする。
未認証時は隔離VLAN（Critical VLAN）へ
- 認証に成功しない端末はポート閉塞ではなく、アクセス制限付きの隔離VLANに収容する。許可する通信はDHCP、DNS、RADIUS、電子カルテサーバなど必要最小限に絞る。
- 医療機器が「つながらない」状態を回避しつつ、無制限のネットワークアクセスは与えない。
医用機器はMAC登録＋ポート固定で別扱いにする
- 802.1X非対応の医用機器は、スイッチポート単位の許可リスト（ポートセキュリティ）とMAC登録を組み合わせる。機器の入れ替え時の手続きを運用に組み込む。
- 固定IPであるため、DHCPへの依存がないことも考慮し、IPアドレスとMACの対応表を構成管理に持つ。
段階的強制（Monitor Mode → Enforcement）
- 最初は監視モードで1〜2週間ログのみ取得し、認証できない端末を洗い出す。影響範囲を可視化してから強制モードへ移行する。
ベンダ条件の確認
- 医用機器ベンダのサポート条件（802.1X非対応であること、スイッチ挿替時の挙動、保証への影響）を文書で確認する。ここを飛ばすと、障害時に責任分界が曖昧になる。
ヘルプデスクと運用体制
- 認証失敗時の一次切り分け手順を整備し、看護師でも「ポートのランプ状態」を伝えられるようにする。夜間の連絡体制も決めておく。
3. 本番展開の進め方と、展開前に完了しておくべき準備項目を挙げよ。
Read the worked answer
準備項目
- MACアドレスの棚卸し：スイッチのMACアドレステーブル、ARPテーブル、DHCPリース履歴、無線コントローラの接続履歴を突き合わせて、接続される端末を可能な限り自動収集する。目視調査だけでは漏れる。
- 機器台帳の整備：医用機器、プリンタ、IP電話、FAX、監視カメラなど、802.1X非対応機器をリスト化し、設置場所・ポート・MAC・IPを対応付ける。
- RADIUSポリシーの整備：音声ドメイン、医用機器グループ、ゲストのポリシーを分け、それぞれの許可通信を定義する。
- ロールバック手段の確認：ポート単位で802.1Xを無効化できる手順を用意する。全館一括で戻す必要が生じないようにする。
展開の進め方
- 外来棟のパイロット結果を評価し、認証成功率・失敗ポート数・原因分類をまとめる。
- 事務系フロア → 一般病棟 → 医用機器設置エリアの順に展開する。医用機器はMAC登録が完了したエリアから着手する。
- 各フロアの展開は業務時間外に実施し、翌営業日の午前中は現地待機とする。
- 週次でKPI（認証成功率、隔離VLAN収容数、認証失敗の原因内訳）を確認し、改善サイクルを回す。
ガバナンス
- 病院側の情報システム担当と、展開スケジュール・停止許容時間・エスカレーション経路を事前に合意する。医療機関では「止められない」ことが前提であり、合意なき強制展開は事故につながる。