無線LANセキュリティ

この単元で学ぶこと

無線LANは電波を利用するため、有線LANよりも接続範囲を意識した認証と暗号化が重要です。

この単元では、SSID、WPA2、WPA3、Personalモード、Enterpriseモード、PSK、802.1X、EAP、EAPOL、ゲストネットワークの基本を学びます。

無線LANで守るもの

無線LANでは、電波が届く範囲にいる端末が通信を受信できる可能性があります。そのため、正規の利用者だけをネットワークへ接続させ、通信内容を保護する仕組みが必要です。

無線LANセキュリティでは、SSIDの設計、利用者や端末の認証、暗号化、ゲスト利用者の分離、管理画面の保護を組み合わせて考えます。

SSID

SSIDは、無線LANを識別するための名前です。利用者用、社内端末用、ゲスト用、IoT用など、用途や必要なセキュリティ方針ごとにSSIDを分けることがあります。

SSIDを隠すだけでは、十分なセキュリティ対策にはなりません。認証、暗号化、ネットワーク分離を適切に設定することが重要です。

WPA2とWPA3

WPA2とWPA3は、無線LANで利用者を認証し、通信を保護するためのセキュリティ方式です。利用できる方式はアクセスポイント、無線LANコントローラ、端末の対応状況を確認します。

新しく構築する環境では、対応端末がそろっている場合にWPA3を優先して検討します。既存端末との互換性が必要な場合は、移行方法と設定モードを計画します。

PersonalモードとPSK

Personalモードでは、利用者が共通の事前共有鍵で接続します。小規模な環境では設定しやすい一方で、利用者が増えると鍵の配布・変更・失効管理が難しくなります。

退職者や端末紛失などで共通鍵を変更する必要がある場合、全利用者へ新しい鍵を配布する運用負荷も考慮します。

Enterpriseモードと802.1X

Enterpriseモードでは、802.1Xと認証サーバーを使い、利用者や端末ごとに認証します。共通の無線パスワードではなく、個別のアカウントや証明書を利用できる点が特徴です。

802.1Xでは、接続する端末をサプリカント、アクセスポイントやスイッチなど認証を中継する機器をオーセンティケータ、認証を判断するRADIUSサーバーを認証サーバーと呼びます。

EAPとEAPOL

EAPは、さまざまな認証方式を運ぶための枠組みです。EAPOLは、端末とオーセンティケータの間でEAPを扱うための方式です。

証明書を使う方式やユーザー名・パスワードを使う方式など、採用するEAP方式によって、端末設定、証明書管理、利用者の操作が変わります。

ゲストネットワークの分離

来訪者向けの無線LANは、社内ネットワークと分離します。ゲスト端末から社内サーバーや管理ネットワークへ到達できないように、VLAN、ACL、ファイアウォールなどで制御します。

ゲスト用SSIDの利用規約、認証方式、通信記録、帯域制御も、組織の利用方針に合わせて決めます。

設定時の注意

古い暗号方式や弱い共通パスワードは避けます。アクセスポイントの管理画面、無線LANコントローラ、RADIUSサーバーの管理アクセスも、SSHやHTTPS、強い認証で保護します。

無線LANの利用者が接続先SSIDを確認し、証明書警告を無視しないことも重要です。不正なアクセスポイントになりすました攻撃への対策を、利用者教育と運用設計の両方で行います。

まず覚えたいポイント

SSIDは無線LANの名前、WPA2/WPA3は無線LANを保護する方式です。PersonalモードはPSKを共有し、Enterpriseモードは802.1X、EAP、RADIUSを使って利用者や端末ごとに認証します。