「接続済み」なのに応答なし？WPA2-Enterprise PEAPにおけるwpa_supplicantの謎を解明

Cisco AP環境での断続的なRequest, Identity未応答問題：原因と包括的対策

Wi-Fiシステム開発において、WPA2-EnterpriseのPEAP (Protected Extensible Authentication Protocol) 設定で wpa_supplicant を使用している際に、Cisco製アクセスポイント（AP）からの "Request, Identity" にシステムが応答しない問題が1日に1回程度の頻度で発生し、その際システム側は接続済みと認識しているという状況ですね。この不可解な現象は、開発者を悩ませる典型的な問題の一つです。本稿では、この断続的な認証問題の潜在的な原因を深掘りし、具体的な解決策を提示します。

問題解決への糸口：3つの主要ポイント

wpa_supplicant の設定不備とバージョン互換性: PEAP認証に必要なパラメータ（ID、証明書、フェーズ設定）の確認と、特定バージョンでの既知の問題への対応が鍵となります。
認証プロセスとTLSセッションの不安定性: EAP (Extensible Authentication Protocol) プロセスの不整合、TLS (Transport Layer Security) トンネル確立・再接続の失敗が、接続済みと誤認しつつ応答不能に陥る原因となり得ます。
Cisco APとRADIUSサーバーの連携問題: AP側の設定、ファームウェア、RADIUS (Remote Authentication Dial-In User Service) サーバーとの通信遅延や設定不一致が、断続的な認証失敗を引き起こす可能性があります。

なぜ応答しないのか？考えられる原因

この断続的な問題は、単一の原因ではなく、複数の要因が絡み合って発生している可能性があります。以下に主要な原因候補を挙げます。

1. `wpa_supplicant` 関連の問題

設定ファイルの不備

wpa_supplicant.conf ファイル内のPEAP関連設定が不適切または不足している可能性があります。特に以下の項目は重要です：

identity: ユーザーの認証ID。
anonymous_identity: PEAPのフェーズ1で使用される匿名ID。RADIUSサーバーの設定によっては必須です。
password: ユーザーのパスワード。
ca_cert: RADIUSサーバーのCA証明書への正しいパス。証明書の検証に失敗するとTLSトンネルを確立できません。
phase1: PEAPのフェーズ1設定（例: "peaplabel=0", "peapver=0"）。
phase2: PEAPのフェーズ2設定、つまり内部認証メソッド（例: "auth=MSCHAPV2"）。

これらの設定がRADIUSサーバーの要求と一致していない場合、認証プロセスが途中で停止することがあります。

バージョン固有のバグや互換性

使用している wpa_supplicant のバージョンによっては、PEAP認証処理に既知のバグが存在する場合があります。特定のバージョン（例: v2.6からv2.7への移行期など）でPEAP認証が不安定になったり、特定のCisco APファームウェアとの組み合わせで問題が発生したりする事例が報告されています。古いバージョンではPEAPv1の処理に問題があることもあります。

内部状態の不整合やSSL/TLS初期化失敗

wpa_supplicant が内部的に不整合な状態に陥り、EAPメッセージを正しく処理できなくなることがあります。特に、SSL/TLSトンネルの初期化に失敗する（"EAP-PEAP: Failed to initialize SSL"のようなエラー）と、APからの Request, Identity に応答できなくなります。これは証明書の不一致、期限切れ、あるいはクライアント側の時刻同期の問題に起因することがあります。

2. 認証プロセスとセッション管理の問題

EAPセッションのタイムアウトや不整合

WPA2-Enterpriseの認証は、EAPoL (EAP over LAN) パケットを介した複数のメッセージ交換から成り立ちます。このシーケンスのどこかでタイムアウトが発生したり、期待される応答が得られなかったりすると、認証は完了しません。システムが「接続済み」と表示するのは、物理的なレイヤー2接続が確立された後、認証プロセスが途中でハングアップしている状態かもしれません。

TLSトンネルの確立・再確立の問題

PEAP認証の中核はTLSトンネルの確立です。このトンネルが何らかの理由（例: 証明書検証エラー、暗号スイートの不一致）で正しく確立できない場合、認証は進みません。また、セッション再開（Fast Reconnect）機能に関連する問題で、再認証時にTLSトンネルの再確立に失敗し、応答不能に陥ることも考えられます。

WPA2-Enterprise 802.1X認証の一般的なフロー

3. CiscoアクセスポイントとRADIUSサーバーの要因

Cisco AP側の設定やファームウェアの問題

Cisco AP特有の設定やファームウェアのバグが、特定のクライアント（wpa_supplicant を使用するシステムなど）との間で互換性の問題を引き起こすことがあります。APが802.1X認証要求を適切に処理できない、またはRADIUSサーバーとの通信に問題がある場合、クライアントは応答を待機したままになる可能性があります。

RADIUSサーバー側の問題

認証要求を処理するRADIUSサーバー側で問題が発生している可能性も考えられます。

応答遅延やタイムアウト: RADIUSサーバーの負荷が高い、ネットワーク遅延が大きいなどの理由で、認証要求への応答が遅れたり、タイムアウトしたりすることがあります。
設定不一致: APとRADIUSサーバー間で共有シークレットキーが一致していない、クライアントのIPアドレスがRADIUSクライアントとして登録されていない、EAPタイプの設定が不適切であるなどの設定ミス。
証明書の問題: RADIUSサーバー側の証明書が期限切れである、クライアントが信頼するCAによって発行されていないなどの場合、クライアントはTLSトンネルを確立できません。

4. クライアントシステムおよびネットワーク環境の問題

クライアントシステムの時刻同期

証明書の有効性検証には正確なシステム時刻が不可欠です。システムの時刻が大幅にずれていると、有効な証明書であっても無効と判断され、TLSハンドシェイクに失敗する可能性があります。特に起動直後にNTP同期が完了する前に認証が試みられる場合に問題となることがあります。

ネットワークドライバやインターフェースの問題

使用している無線LANインターフェースのドライバ（例: nl80211 vs wext）と wpa_supplicant との相性問題や、ドライバ自体の不具合も、認証プロセスの不安定性を引き起こす可能性があります。

ネットワークの不安定性やパケットロス

APとクライアント間、またはAPとRADIUSサーバー間のネットワーク経路が不安定でパケットロスが発生している場合、認証に必要なEAPメッセージが欠落し、認証プロセスが中断されることがあります。

PEAP認証失敗の要因分析レーダーチャート

以下のレーダーチャートは、WPA2-Enterprise PEAP認証が失敗する際に考えられる各要因カテゴリの「問題発生の可能性の高さ」、「発生した場合の影響度」、「診断の難易度」を相対的に示したものです。これらの評価は一般的な傾向に基づくものであり、実際の状況によって変動します。

このチャートは、例えば「wpa_supplicant設定」は問題が発生しやすく影響も大きいが、比較的診断しやすい項目である一方、「TLSセッション管理」は影響が大きく診断も難しいといった傾向を示唆しています。

問題解決へのアプローチ：トラブルシューティングと対策

問題の原因を特定し解決するためには、体系的なトラブルシューティングが必要です。

1. 詳細なログの取得と分析

問題解決の第一歩は、関連するすべてのコンポーネントから詳細なログを収集することです。

wpa_supplicant のデバッグログ: wpa_supplicant をデバッグモード (例: -d や -dd オプション付き) で起動し、認証プロセス中の詳細なログを取得します。特に "EAP-Request/Identity" 受信時や、その後のSSL/TLSハンドシェイク、EAPメソッドの処理状況に関するメッセージに注目します。
```
sudo wpa_supplicant -i wlan0 -c /etc/wpa_supplicant/wpa_supplicant.conf -d
```
Cisco APおよびWLCのログ: アクセスポイントやワイヤレスLANコントローラ (WLC) 側で、対象クライアントの認証試行に関するログ（802.1X/EAPデバッグログなど）を確認します。APがクライアントからの応答をどのように処理しているか、エラーが記録されていないかを確認します。
RADIUSサーバーのログ: 認証サーバー（例: Cisco ISE, FreeRADIUS, Windows NPS）のログで、問題発生時刻に対応する認証要求が届いているか、認証が成功/失敗しているか、エラーメッセージ（例: 不明なクライアント、証明書検証失敗、ユーザー認証失敗など）が出ていないかを確認します。

2. `wpa_supplicant` の設定ファイルの再確認

前述の「考えられる原因」で挙げた wpa_supplicant.conf の各パラメータを慎重に確認し、誤りや不足がないか、RADIUSサーバーの要件と一致しているかを確認します。特に ca_cert で指定されたCA証明書がシステムに正しくインストールされており、wpa_supplicant からアクセス可能であることを確認してください。

`wpa_supplicant.conf` の主要PEAP設定パラメータ

以下の表は、wpa_supplicant.conf でWPA2-Enterprise PEAP認証を設定する際の主要なパラメータとその説明です。これらの設定が環境に合わせて正しく構成されているかを確認してください。

パラメータ	説明	一般的な値/例
`ssid`	接続するネットワークのSSID	`"YourEnterpriseSSID"`
`key_mgmt`	キー管理プロトコル	`WPA-EAP`
`eap`	使用するEAPメソッド	`PEAP`
`identity`	ユーザーID (外部ID)	`"your_username"`
`anonymous_identity`	匿名ID (PEAPフェーズ1で使用、サーバー設定による)	`"anonymous"`
`password`	パスワード	`"your_password"`
`ca_cert`	RADIUSサーバーのCA証明書へのパス	`"/etc/ssl/certs/ca.pem"`
`phase1`	PEAPフェーズ1の設定 (TLSトンネル)	`"peaplabel=0"` または `"peapver=0"`
`phase2`	PEAPフェーズ2の設定 (内部認証メソッド)	`"auth=MSCHAPV2"`
`scan_ssid`	非ブロードキャストSSIDへの接続 (必要な場合)	`1`

3. ソフトウェアとファームウェアの更新

wpa_supplicant のバージョン: 現在使用している wpa_supplicant のバージョンを確認し、最新の安定版へのアップデートを検討します。あるいは、問題が報告されている特定のバージョンであれば、別のバージョン（新しいものまたは一つ前の安定版）を試すことも有効です。
OSおよびドライバ: システムのOSカーネルや無線LANドライバを最新の状態に保ちます。
Cisco AP/WLCのファームウェア: アクセスポイントやWLCのファームウェアも最新版にアップデートすることで、既知のバグが修正され、互換性が向上する可能性があります。

4. 証明書の検証

クライアント側およびRADIUSサーバー側の証明書が正しく設定され、有効期限内であり、信頼チェーンが構築されていることを確認します。OpenSSLなどのツールを使用して、CA証明書、サーバー証明書（RADIUS側）、クライアント証明書（EAP-TLSの場合）の有効性を検証できます。

5. システム時刻の同期

クライアントシステムの時刻が正確であることを確認し、NTP (Network Time Protocol) などで常に同期されるように設定します。

6. ネットワーク環境の確認

問題発生時に、他のクライアントデバイスが同じAPに正常に接続できるか確認します。また、可能であれば、問題のシステムを別のAP（同じ設定または異なる設定）に接続してみて、問題が再現するかどうかを確認し、問題箇所を切り分けます。

7. 段階的な設定変更とテスト

設定変更を行う際は、一度に一つの項目だけを変更し、その都度動作を確認することで、どの変更が効果的だったかを特定しやすくします。例えば、phase1 の peaplabel や peapver の値を変更してみる、anonymous_identity の有無を試す、などが考えられます。

WPA2-Enterprise PEAP認証フローと潜在的障害点の可視化

以下のマインドマップは、WPA2-Enterprise PEAP認証プロセスにおける主要なステップと、各ステップで発生しうる潜在的な問題点を示しています。今回の「Request, Identityに応答しない」問題は、特にサプリカントがAPからの最初の要求に応じる段階での障害を示唆しています。

mindmap root["WPA2-Enterprise PEAP認証フロー
と潜在的障害点"] idS["サプリカント (wpa_supplicant)"] idS1["EAPoL-Start 送信"] idS2["APからの EAP-Request/Identity 受信"] idS2_1["応答しない (今回の問題点)"] idS2_1_1["wpa_supplicant設定ミス
(identity, eap, key_mgmt等)"] idS2_1_2["内部状態不整合/ハングアップ"] idS2_1_3["バージョン固有バグ"] idS2_1_4["ドライバ/IF問題"] idS3["EAP-Response/Identity 送信
(ユーザーID/匿名ID)"] idS4["TLSトンネル確立 (フェーズ1)"] idS4_1["証明書検証失敗 (CA信頼性、期限)"] idS4_2["SSL/TLS初期化エラー"] idS4_3["暗号スイート不一致"] idS4_4["クライアント時刻不正確"] idS4_5["phase1設定不備"] idS5["内部認証 (例: MSCHAPv2 - フェーズ2)"] idS5_1["資格情報誤り (パスワード)"] idS5_2["phase2設定ミス"] idS6["EAP-Success 受信 / 認証完了"] idS6_1["IPアドレス取得失敗 (DHCP)"] idS6_2["システム側は「接続済み」と認識
だが上位通信不可の場合も"] idA["オーセンティケータ (Cisco AP)"] idA1["EAP-Request/Identity 送信"] idA2["サプリカントからの応答待機/タイムアウト"] idA3["RADIUSサーバーへ認証要求を転送"] idA4["RADIUSからの応答をサプリカントへ中継"] idA4_1["APファームウェアバグ/互換性"] idA4_2["AP設定ミス (RADIUS連携等)"] idA4_3["ローミング/再認証処理の問題"] idAS["認証サーバー (RADIUS)"] idAS1["クライアント証明書検証 (サーバー側)"] idAS2["ユーザー資格情報検証"] idAS3["Access-Accept/Reject をAPへ送信"] idAS3_1["サーバー負荷/応答遅延"] idAS3_2["設定不一致 (Shared Secret, IP等)"] idAS3_3["サーバー側証明書問題"] idAS3_4["ポリシーによる拒否"]

このマインドマップを参考に、問題が発生している可能性のある箇所を特定し、集中的に調査を進めてください。

よくある質問 (FAQ)

Q1: なぜシステムは「接続済み」と表示されるのに、実際には応答しないのですか？

A1: これは、Wi-Fiのレイヤー2（データリンク層）での接続が確立された後、上位の認証プロセス（802.1X/EAP）が途中で停止または失敗しているために発生することが多いです。wpa_supplicant はAPとのアソシエーションが完了した時点で「接続済み」と判断することがありますが、EAP認証が完了しなければIPアドレスの取得や実際のネットワーク通信はできません。Request, Identity に応答しないのは、このEAP認証プロセスの初期段階で問題が発生していることを示唆しています。

Q2: `wpa_supplicant` のログをより詳細に出力するにはどうすればよいですか？

A2: `wpa_supplicant` を起動する際に、デバッグオプションを追加します。一般的には -d で通常のデバッグ情報、-dd でさらに詳細なデバッグ情報が出力されます。例えば、sudo wpa_supplicant -i wlan0 -c /etc/wpa_supplicant/wpa_supplicant.conf -dd のように実行します。ログレベルを上げることで、EAPメッセージの交換、TLSハンドシェイクの各ステップ、内部状態の変化などを詳細に追跡できます。

Q3: Cisco AP側の問題か、クライアント側の問題か切り分ける方法はありますか？

A3: いくつかの方法で切り分けを試みることができます：

別のクライアントデバイスで試す: 同じCisco APに対して、異なるOSやデバイス（例: Windows PC, スマートフォン）で同じWPA2-Enterprise PEAP設定で接続を試みます。他のデバイスが問題なく接続できれば、開発中のシステム側に問題がある可能性が高まります。
別のAPで試す: 開発中のシステムを、別のアクセスポイント（可能であればCisco製以外も含む）に同じ認証設定で接続してみます。別のAPで問題が再現しなければ、特定のCisco APとの相性や設定の問題が考えられます。
APとRADIUSサーバーのログ分析: AP側のログでクライアントからの関連付け要求やEAPメッセージの受信状況を確認し、RADIUSサーバーのログで認証試行の有無やエラーを確認します。両者のログを突き合わせることで、通信のどの段階で問題が起きているか特定しやすくなります。

Q4: 証明書関連の問題はどのように確認すればよいですか？

A4: 証明書関連の問題はPEAP認証で頻繁に見られます。確認すべき点は以下の通りです：

CA証明書の確認: `wpa_supplicant.conf` の `ca_cert` で指定されたパスが正しいか、ファイルが存在し読み取り可能か確認します。そのCA証明書が、RADIUSサーバーが提示するサーバー証明書を発行したCAのルート証明書または中間CA証明書であることを確認します。
証明書の有効期限: RADIUSサーバーの証明書およびCA証明書の有効期限が切れていないか確認します。
クライアントシステムの時刻: システムの時刻が正確であることを確認します。時刻が大幅にずれていると、有効な証明書も無効と判断されることがあります。
証明書の信頼性: `openssl verify` コマンドなどを使用して、CA証明書に対するサーバー証明書の信頼チェーンが正しく検証できるか確認します。
`wpa_supplicant` のログ: SSL/TLSハンドシェイクに関するエラーメッセージ（"TLS alert", "certificate unknown", "bad certificate"など）がないか確認します。

Q5: この問題は `wpa_supplicant` の特定のバージョンに依存しますか？

A5: はい、その可能性はあります。`wpa_supplicant` は活発に開発されており、バージョンアップによってPEAPや他のEAPメソッドの処理方法が変更されたり、バグが修正されたり、新たなバグが混入したりすることがあります。特定のバージョンでPEAP認証が不安定になるという報告は過去にも複数あります。もし特定のバージョンで問題が頻発するようであれば、開発元のメーリングリストやバグトラッカーで同様の報告がないか確認し、可能であれば別の安定バージョン（最新版または一つ前のLTS版など）で試してみることをお勧めします。