ゲストWi-Fiと社内LANは、どう分ければいい？

SSIDは、無線でどのネットワークに接続するかを利用者が選ぶための名前です。SSIDを追加すると、来客は「Guest」という名前のほうに接続します。ただし、その2つのSSIDが同じVLAN、同じIPサブネットに割り当てられていれば、接続後の通信は同じネットワークの中で行われます。名前が2つあることと、区画が2つあることは別です。

一方で、製品によっては「ゲストネットワーク」「ゲストSSID」といった名前の機能が用意されており、これを有効にすると、VLANの割り当て、ポートの分離、端末同士の通信の制限、社内ネットワークへのアクセス制限などが同時に設定される場合があります。この場合、利用者が個別にVLANを設計しなくても、一定の分離が適用されていることがあります。

つまり、SSID名を見ただけでは、どの分離・通信制御が実際に適用されているかは判断できません。有効になっている機能と、それが何を設定しているかを、使用する製品の仕様と設定画面で確認します。

また、VLANを分けてIPサブネットも分けたとしても、その間の通信をL3で自由に許可していれば、来客用の区画から社内の資源に到達できます。VLANで分けることは、通信を遮断することとは別の操作です。

VLANを使って社内LANと分離する典型的な構成では、次の3つがそれぞれ決まっている必要があります。どれか1つだけでは、意図した分離になりません。

1. 無線側で、接続する入口（SSID）をどのネットワークに割り当てるかを決める。
2. ネットワークを論理的に分ける（VLANと、それに対応するIPサブネット）。
3. 分けた区画の間で、どの通信を許可し、どの通信を許可しないかをL3の経路制御やファイアウォール／ACLで決める。

区画を増やすほど、設定と運用の手間も増えます。管理用の区画を分けるかどうかは、管理を誰がどこから行うかによって判断が変わります。遠隔から管理する必要がある場合、その経路をどう確保するかもあわせて設計します。

映像・設備用の機器は、機器側で更新が受けられる期間や、変更できる設定の範囲が業務用端末と異なることがあります。この違いが、区画を分ける判断の根拠になります。

通信は方向を持ちます。「業務用から映像用へ」と「映像用から業務用へ」は別の通信であり、片方だけを許可することもできます。次の表は、方向ごとに判断を書き出すための枠組みです。実際に許可する範囲は、業務要件によって変わります。

• 接続時の認証方式。共有のパスワードを使うか、期間や利用者を限定する仕組みを使うか。
• 共有パスワードを使う場合、変更の頻度と、変更時の周知方法。
• 利用条件をどのように提示するか。接続時に表示する仕組みを使うかどうか。
• 利用できる時間帯や帯域の上限を設けるかどうか。
• 接続の記録をどこまで残すか。保存期間と保存場所。
• 来客用の帯域が業務用を圧迫しないよう、上限を設けるかどうか。

これらは、無線機器やゲートウェイの機能によって実現できる範囲が変わります。必要な条件を先に決めてから、対応できる機器を確認する順序にすると、機器の機能に合わせて要件が変わることを避けられます。

記録の保存については、社内の規程や取引先との取り決めで求められる場合があります。ネットワーク側だけで決められない項目のため、早い段階で確認しておくと構成の変更を避けられます。

区画を分けると、ある区画で起きたことが他の区画に及ぶ経路を減らせます。これは有効な対策ですが、次のような領域は分離では扱えません。

• 利用者の認証と、権限の管理。誰がどの区画に入れるかは、分離とは別に管理します。
• 端末側の対策。区画の中に持ち込まれた端末の状態は、区画を分けても変わりません。
• 機器やソフトウェアの更新。管理画面や機器そのものに既知の問題がある場合、区画を分けても残ります。
• 管理者権限の扱い。設定変更ができる人と経路の管理は、分離とは別の対策です。
• 許可した通信の中身。許可された経路を通る通信は、分離では止まりません。
• 設定の誤り。区画をまたぐ許可設定を広く取りすぎていれば、分けた意味が薄れます。

無線LANのセキュリティについては、設計から運用までを通した考え方が公的機関の文書として公開されています。中小規模の組織における情報セキュリティ対策全体の進め方についても、国内の公的機関がガイドラインを公開しています。分離の設計と並行して参照できます。

• 製品に「ゲストネットワーク」に相当する機能がある場合、それを有効にすると何が設定されるか。VLAN、端末同士の通信の制限、社内ネットワークへのアクセス制限のどこまでを含むかは製品によって異なります。
• スイッチがVLANに対応しているか。管理機能のない機器では設定できません。
• アクセスポイントが、SSIDごとに異なるVLANを割り当てられるか。割り当て方は機器によって異なります。
• アクセスポイントを収容するスイッチのポートが、複数のVLANを扱える設定になっているか。
• 区画ごとのIPサブネットとDHCPを、どの機器で提供するか。
• 区画をまたぐ通信の制御を、どの機器で行うか。ルーター側か、ファイアウォール側か。
• 同じ区画内の端末同士の通信を制限する機能があるか。名称と対応範囲は機器によって異なります。
• 既存の配線と機器で実現できるか。実現できない場合、どこを入れ替える必要があるか。

既存環境に後から区画を追加する場合、途中のスイッチが1台でもVLANに対応していないと、その先で分離が維持されません。経路上のすべての機器を確認してください。

設定後は、意図した通信ができること、意図していない通信ができないことの両方を確認します。許可のテストだけを行い、遮断のテストを省略すると、設定漏れが見つかりません。