無線LANセキュリティ - セキュリティコミュニティ「WEST-SEC」

1.無線LANの基礎
2. 無線LANセキュリティ
3.認証の実装
4.無線LANの最近のトレンド
- 4.1 AIの活用（AIOps）

1.無線LANの基礎

本章では、無線LAN（Wireless LAN）の基本原理、ハードウェア構成、標準規格の変遷、および通信速度を向上させるための技術的要素について解説する。

1.1 無線LAN概要

(1) 定義と特徴

無線LANとは、IEEE 802.11シリーズの規格に基づき、電波（Radio Frequency）または赤外線を用いて構築されるローカルエリアネットワーク（LAN）である。有線LAN（Ethernet）が物理的なケーブルによる接続を必要とするのに対し、無線LANは空間を伝送媒体とするため、デバイスの可搬性（モビリティ）が高いのが最大の特徴である。

(2) 周波数帯

主に以下の3つの帯域が使用される。

比較項目	2.4GHz帯	5GHz帯	6GHz帯
通信速度	普通（最大速度は低め）	速い	非常に速い
電波の届く距離	遠くまで届く	普通	短め
障害物への強さ	強い（壁などを回り込む）	やや弱い	弱い（遮蔽物に弱い）
電波干渉	多い（電子レンジ/BT等）	比較的少ない（DFS注意）	極めて少ない（専用道路）
混雑状況	非常に混雑しやすい	比較的空いている	空いている
対応Wi-Fi規格	Wi-Fi 4/6/7 など	Wi-Fi 4/5/6/7 など	Wi-Fi 6E/7 のみ

通信速度   2.4GHz  ──●──
           5GHz    ─────●─────
           6GHz    ───────────●──────────

到達距離   2.4GHz  ───────────●──────────
           5GHz    ─────●─────
           6GHz    ──●──

干渉の多さ
           2.4GHz  ●●●●●（多い）
           5GHz    ●●
           6GHz    ●（ほぼなし）

1.2 無線LANを構成する機器

(1)無線LANアクセスポイント（AP: Access Point）

・無線端末と有線ネットワークを中継する基地局。
・一般的に、WLC（コントローラ）が不要な自律型と、WLC配下で動く集中管理型がある。

項目	自律型	集中管理型
特徴	AP単体で動作	コントローラで一元管理
Arubaでの名称	Instant AP (IAP) 通常のAP	Campus AP (CAP)
WLC	不要（APが仮想コントローラになる）	必要（Mobility Controller / Gateway）
導入規模	数台〜100台程度	50台〜数万台

(2)無線LANコントローラ（WLC: Wireless LAN Controller）

・多数のAPを一元管理する装置。電波出力の自動調整、ローミング制御、セキュリティ設定の配信を行う。
・トンネルモード（全ての通信がWLCを経由する）、ブリッジモードがある。
・近年は、クラウド上の管理画面で代用されるケースも増えている。その代表は、Cisco Merakiがパイオニアであるが、HPE Arubaでも、Aruba Central（クラウド）にログインして、IAPを一括管理ができる。

Q.ArubaのWLCはクラウドとオンプレのどっちが多い？

→A.現状、多いのは圧倒的にオンプレ。ただ、クラウド化が進んできている。通信トラフィックの観点でも、特にデメリットは無い。単に慣れていないという点で、オンプレが多いのだろう。
・クラウド（Central）の場合、WLCを置かない場合と、WLC相当の装置をオンプレに置く場合の両方がある。ようは、WLCといっても機能がいくつかあり、どこまでをCentralに差せるかによって変わってくる。
・表にしてみるとこんな感じ。

構成パターン	①管理・設定機能（Management）	②通信・データ処理機能（Data Plane）	③高度な制御機能（Control Plane）	解説
1. オンプレWLC型	オンプレWLC（Mobility Conductor）	オンプレWLC（全通信をトンネルで集約）	オンプレWLC（ローミング判定や電波調整もここ）	【従来の形】全てをオンプレのWLC（コントローラ）が担当する「全部入り」構成。WLCがダウンすると影響が大きい。
2. クラウド単独型	クラウド（Aruba Central）	各AP（APから直接スイッチへ流す）※WLC相当の装置は不要	クラウド＋AP（基本的な制御はAPが行う）	【中小規模向け】「WLCレス」の構成。管理はクラウドだが、通信は現場（AP）で完結する。シンプルだが、複雑なL3ローミングは苦手。
3. クラウド＋GW型	クラウド（Aruba Central）	オンプレGateway（WLC相当の装置）※全通信をトンネルで集約	クラウド＋Gateway（ローミングやセキュリティを分担）	【大規模・高機能向け】管理はクラウド、重たい通信処理はオンプレの専用装置（Gateway）に任せる。「いいとこ取り」の構成。

・Arubaの場合、クラウドの機能はCentralという機能

・単純にWLCの画面だと、以下

・Centralの画面は以下で

・ここでゲートウェイを押すと、WLCの管理画面のようなものになる。※ゲートウェイが物理的なWLCの機能の一部を担っているので

(3)無線端末

PC、スマートフォン、タブレット、IoT機器など、無線LANインターフェースを持つデバイス。

(4)PoEスイッチ（Power over Ethernet）

APに対し、LANケーブル経由で電力とデータを同時に供給するスイッチ。

(5)認証サーバ

・IEEE 802.1X認証（エンタープライズ認証）を行う場合に必須です。MicrosoftのADでは代替えできず、Radiusサーバが必須です。

メーカー	製品名	特徴
HPE Aruba	ClearPass（クリアパス）	ベンダーフリーで最強格。Aruba以外のネットワーク機器も統合管理できるのが強み。ゲストWi-Fi機能や証明書配布機能も強力。
Cisco	ISE（アイエスイー）	Cisco環境での鉄板。Identity Services Engineの略。Ciscoのスイッチや無線と連携して、非常に細かいアクセス制御が可能。
Microsoft	NPS	Windows Serverの標準機能。機能はシンプルだが追加費用がかからないため広く使われている。NPSは認証情報を持たず、ADのユーザー情報をそのまま参照する

・以下はClearPassの画面

・APまたはWLCから認証サーバに問い合わせをする。事前に認証サーバを登録しておく

1.3 無線LANの規格

IEEE（米国電気電子学会）によって策定された標準規格と、Wi-Fi Allianceによる認定名称の対応は以下の通りである。

規格名	Wi-Fi世代	最大通信速度(理論値)	周波数帯	特徴
IEEE 802.11b	-	11 Mbps	2.4GHz	初期の普及規格。現在はほぼ利用されない。
IEEE 802.11a	-	54 Mbps	5GHz	5GHz帯の基礎。OFDMを採用。
IEEE 802.11g	-	54 Mbps	2.4GHz	11bとの互換性を持ちつつ高速化。
IEEE 802.11n	Wi-Fi 4	600 Mbps	2.4/5GHz	MIMO導入による大幅な高速化。
IEEE 802.11ac	Wi-Fi 5	6.9 Gbps	5GHz	帯域幅拡大(最大160MHz)、MU-MIMO(DL)導入。
IEEE 802.11ax	Wi-Fi 6/6E	9.6 Gbps	2.4/5/6GHz	OFDMAによる高密度環境での効率化。6Eは6GHz帯対応。
IEEE 802.11be	Wi-Fi 7	46 Gbps	2.4/5/6GHz	MLO (Multi-Link Operation) 等による超高速・低遅延化。

1.4 無線LANの高速化技術

近年のスループット向上を支える主要技術は以下の通りである。

❶チャネルボンディング（Channel Bonding）
複数のチャネルを束ねて帯域幅を広げる技術（例：20MHz幅→40MHz, 80MHz, 160MHz幅）。道路の車線を増やすイメージ。

❷MIMO（Multiple Input Multiple Output）
・送信側と受信側の双方で複数のアンテナを使用し、異なるデータを同時に伝送する空間多重技術。
・MU-MIMO（Multi-User MIMO）
複数の端末に対して同時に通信を行う技術。

❸変調方式の多値化（QAM: Quadrature Amplitude Modulation）
一度の波で運べる情報量を増やす。Wi-Fi 5の256QAMから、Wi-Fi 6では1024QAM、Wi-Fi 7では4096QAMへと高密度化している。

❹OFDMA（Orthogonal Frequency Division Multiple Access）
Wi-Fi 6で導入。周波数をサブキャリア単位（RU: Resource Unit）に分割し、複数のユーザーに同時に割り当てることで、通信待ち時間を削減し効率を高める技術。

1.5 Aruba(HPE）の無線LANについて

(1) 会社概要と変遷

Arubaはもともと「Aruba Networks」という独立した無線LAN専業ベンダーとして創業。その後、Hewlett Packard Enterprise (HPE) に買収された
・2002年：Aruba Networks 設立
・2015年：HP (現在のHPE) による買収
　HPの既存ネットワーク部門（ProCurveなど）をArubaブランドに統合し、「HPE Aruba Networking」として再編された。
・2024年：HPEによるJuniper Networks 買収発表

(2) 市場シェアと勢力図

長年、エンタープライズ（企業向け）無線LAN市場はCisco、次いでAruba、最近では、Juniper Networks (Mist)、また、クラウドで管理できるCisco Merakiなどが有名であった。HPEのJuniper買収により、どうなるか。

(3)デモサイト

登録は必要になりますが、こちらから誰でもWLCを体験することができます。https://www.hpe.com/jp/ja/aruba-central.html?dmodal=modal-9c929

2. 無線LANセキュリティ

無線LANは電波を傍受されるリスクが常にあるため、有線LAN以上に強固なセキュリティ対策が必須となる。対策は主に「暗号化」と「認証」の2軸で実装される。

2.1 暗号化技術

通信内容を第三者に解読されないための技術である。

(1) 暗号化規格の変遷

規格名	推奨度	暗号化方式	特徴・セキュリティ
WEP	× 禁止	RC4	初期の規格。数分で解読される脆弱性があり非常に危険。
WPA	△ 非推奨	TKIP (RC4ベース)	WEPの弱点を補うために作られた一時的な規格。現在は安全ではない。
WPA2	○ 現役	AES (CCMP)	長年の標準規格。強固だが「KRACKs」等の脆弱性が指摘されている。
WPA3	◎ 最新	AES (GCMPなど)	最新規格。辞書攻撃に強い「SAE」や、政府レベルの「CNSA」を採用。
OWE	○ 公衆用	AES	認証をせずに暗号化だけ実施。パスワード不要の公衆Wi-Fiでも、端末ごとに通信を暗号化する仕組み

・TKIP (Temporal Key Integrity Protocol):WPAで採用された暗号化方式。WEPと同じハードウェアで動くように設計されたため、根本的な強度が低く、現在は非推奨です。
・AES (Advanced Encryption Standard):WPA2以降で採用された、現在世界中で標準的に使われている非常に強固な暗号化アルゴリズムです。
・SAE (Simultaneous Authentication of Equals):WPA3-Personalの核心機能。「対等な認証」という意味で、従来のPSK（単純なパスワード照合）に代わる技術です。パスワードを総当たりで突破しようとする「辞書攻撃」を防ぎます。
・CNSA (Commercial National Security Algorithm):WPA3-Enterprise向けのオプション。極めて機密性の高い情報を扱うために、暗号鍵を192ビット（通常は128ビット）に強化したモードです。

(2) WPA2 (Wi-Fi Protected Access 2)

暗号アルゴリズムにAES (CCMP)を採用。長らく標準として利用されてきたが、「KRACKs」などの脆弱性が指摘された。

(3) WPA3

・最新のセキュリティ規格。
・辞書攻撃に対する耐性を強化した鍵交換方式であるSAE (Simultaneous Authentication of Equals)を採用。
・WPA2の4-Way Handshakeの場合、端末とAPは、パスワード（PSK）を元にして暗号化キーを生成する。パスワードを知っていれば、誰でも計算できてしまうのが問題。WPA3のSAEハンドシェイクでは、パスワードを直接使うのではなく、パスワードを種（シード）として、楕円曲線暗号などを用いた高度な数学的計算（Dragonfly鍵交換）を行う。これにより、毎回バラバラの鍵が作成される。
・また、鍵の長さですが、通常は128ビットですが、WPA3-Enterpriseだけで使える「特別モード」としてCNSA（Commercial National Security Algorithm、192ビット）が使えます。

項目	WPA2 (Wi-Fi Protected Access 2)	WPA3 (Wi-Fi Protected Access 3)
暗号化アルゴリズム（プロトコル）	AES（CCMP）128ビット暗号が標準。	・AES（CCMP / GCMP）・通常はWPA2と同じAES（CCMP）を使用・Enterpriseの特定モードでは、より強力なGCMP-256を使用可能
ハンドシェイク（鍵交換方式）	4-Way Handshake。パスワードを知っていれば、他人の通信を傍受してあとから解読できるリスクがあった。	SAE（Simultaneous Authentication of Equals）※WPA3-Personalで採用。「辞書攻撃」に強く、パスワードが弱くても解読されにくい。
セキュリティ強度（Enterprise）	通常 128ビット	192ビットセキュリティモード（CNSA）※WPA3-Enterpriseのオプション。政府・軍事レベルの極めて高い暗号強度を利用可能（一般企業では通常使用しない）。

(4)OWE

・OWE (Opportunistic Wireless Encryption)は、公衆Wi-Fiなどのオープンネットワークでも、端末ごとに通信を暗号化する仕組み。
・オー・ダブリュー・イーと読み、「オウェ」とは普通は読まない
・ArubaのAP設定画面では、セキュリティ設定で「Enhanced Open」を選択することでこのOWEモードになります。（※ただし、古いスマホやPCはOWEに対応していないため、Arubaでは「OWE対応機は暗号化、非対応機は普通のオープン接続」を1つのSSIDで共存させるTransition Modeという設定を使うのが一般的です）
・OWE（Opportunistic Wireless Encryption）を使った認証プログラム名がWi-Fi CERTIFIED Enhanced Open

2.2 認証方式

ネットワークに接続しようとしている人物や端末が、正規の利用者であるかを確認します。

(1)SSIDによる認証

※厳密には認証方式ではありません

・SSID（Service Set Identifier）は、無線LANネットワークを識別するための名前です。「ESS-ID」と同義として扱われます。
・SSIDを知らなければ接続できない設定（SSIDの隠蔽/ステルス機能）もありますが、これはツールを使えば容易に特定可能なため、認証技術としてもセキュリティ対策としても不十分です。

(2) Web認証（キャプティブポータル）

・ブラウザを開いた際にログイン画面を表示させ、ID・パスワード入力や規約への同意を求める方式。
・主にゲストWi-Fi、ホテル、空港などで利用されます。
・また、これは、無線LAN接続後の「上位レイヤ（Web）」での認証です。無線区間自体は暗号化されていない（Open）ことが多いため、盗聴のリスクがあります（近年はOWEによる暗号化との併用が推奨されています）。
・Arubaの場合、WLCやAP内臓のWeb認証機能もあれば、ClearPassを使ってより柔軟（画面カスタマイズやメールを飛ばす、承認者に許可をもらうなど）な設定が可能
・Arubaの画面（スマホ、登録画面）

（参考）POPCHAT（ポップチャット）

・Web認証（キャプティブポータル）を実現するための専用アプライアンス製品です。
・ネットワーク構成としては、アクセスポイント（AP）とインターネット（ルーター）の間に設置し、通信をチェックします。
・製品例
https://popchat.jp/model/

Q.なぜPOPCHATが必要か。単なるWeb認証ならArubaなどのAP単体でもできるのではないか

→A.以下の機能があります。
❶多様な認証手段の提供（ID/Pass以外）
単なるパスワード入力だけでなく、SNS認証（LINE, Facebook等）、メールアドレス認証、SMS認証（電話番号）などを簡単に実装できます。
❷ログの保存（法的要請・セキュリティ）
どのMACアドレスの端末が、どの認証（メールアドレス等）を使って、いつ、どのサイトを見たか（アクセスログ）」を長期間保存します。
❸メーカー不問
Aruba, Cisco, Buffaloなど、APのメーカーを問わず、その上位に設置するだけで認証機能を追加できます。

(3) MACアドレス認証

・端末固有のMACアドレスを事前に登録し、許可された端末のみ接続させる方式です。
・MACアドレスは平文で流れており、また、MACアドレスは偽装が容易であるため、セキュリティ強度としては低いです。
・入力インターフェースを持たないIoT機器やプリンタなどで、802.1X認証が使えない場合の代替策として利用される。

(4)事前共有鍵方式（PSK: Pre-Shared Key）

・アクセスポイント（AP）と端末に、あらかじめ同じパスワード（パスフレーズ）を設定しておく方式です。一般家庭で「Wi-Fiのパスワード」と言えばこれを指します。
・設定が簡単ですが、パスワードが一つしかないため、「誰か一人が漏らすと全員の変更が必要になる」という管理上のリスクがあります。
・Windowsでの設定:Wi-Fi一覧からSSIDを選択し、「セキュリティキー（パスワード）」を入力するだけで接続完了します。

(5)IEEE 802.1X認証（EAP認証）

・企業や組織で利用される、最も堅牢な認証方式です。「誰が（ユーザー認証）」または「どの端末が（端末認証）」接続しているかを厳格にチェックします。認証にはRADIUSサーバが必要です。
・これには主に2つの種類があります。

① PEAP（Protected EAP）
・「IDとパスワード」を用いて認証を行う方式です。
・ホテルのフリーWi-Fiは通常これ（PEAP）ではありません（ホテルは(3)Web認証が主）。PEAPは、大学のキャンパスWi-Fiや、社員にIDを配布している企業で使われます。
・サーバ側のみが証明書を持ち、暗号化トンネルを作った中でID/パスワードを送るため安全です。
・PEAP (MS-CHAPv2) の標準的な動作では、Windowsにログインしているユーザーの「ID（ユーザー名）」と「パスワード」を裏でRADIUSサーバーに送って認証します。
・設定時に、「Windowsのログオン名とパスワード（およびドメインがある場合はドメイン）を自動的に使用する」のチェックを外せば、サプリカントがID/PWの入力画面を表示するようにもできる
・一度入力して接続できれば、次回以降はPCを再起動しても、エリア内に入ればキャッシュされた情報を使って自動的に再接続します。→しかし、ログインしないといけない。
・Windowsでの設定:
[コントロールパネル] > [ネットワークと共有センター] > [新しい接続またはネットワークのセットアップ]
「ワイヤレスネットワークに手動で接続します」を選択。
セキュリティの種類: 「WPA2-エンタープライズ」等を選択。
[設定の変更] > [セキュリティ]タブ > 認証方法の選択で「Microsoft: Protected EAP (PEAP)」を選択。
・接続時にIDとパスワードの入力画面が表示されます。
・認証サーバにユーザを登録しておく必要がある。

■PEAPでの「コンピュータ認証」
・設定方法（Windows側）：Wi-Fiのプロパティ画面で、以下の設定を変更
「ワイヤレスネットワークのプロパティ」を開く
「セキュリティ」タブ → 「設定」ボタン
「構成」ボタンの下にある「詳細設定」ボタンを押す
「認証モードを指定する」にチェックを入れる
プルダウンから**「ユーザーまたはコンピューターの認証」**を選ぶ
これだけで、
ログオン前 → **「コンピュータ認証」**で繋ぐ
ログオン後 → **「ユーザー認証」**に切り替える
という動きを自動でやってくれます。
★要確認

② EAP-TLS
・「デジタル証明書（クライアント証明書）」を用いて認証を行う方式です。
また、Windows端末にログインする際に、ユーザ認証をするという点では、ユーザ認証＋端末認証になる？
・端末に証明書がインストールされていないと接続すらできません。パスワード漏洩のリスクがなく、なりすましも極めて困難です。
・Windowsでの設定:
（PEAPと同様に手動構成画面へ進む）
認証方法の選択で**「Microsoft: スマートカードまたはその他の証明書 (EAP-TLS)」**を選択。
あらかじめWindowsの証明書ストアに、管理者から配布された「クライアント証明書」をインストールしておく必要があります。

2.3 認証方式の整理

項番	認証方式	暗号	認証要素	安全性	導入・運用	主な利用シーン	備考
1	(認証機能なし)Open System	×	SSID(ネットワーク名)	なし	不要	誰でも使えるフリーWi-Fi	隠蔽（ステルス機能）してもツールで検知可能なため、セキュリティ対策にはならない。
2	Web認証	×	ブラウザでの入力	低	容易	ホテル、空港、カフェ	無線区間は暗号化なしが多い
3	MACアドレス認証	×	端末のMACアドレス	低	面倒（登録が必要）	IoT機器、レガシー機器	偽装が容易
4	PSK (事前共有鍵)	○	共通パスワード	低～中	容易	家庭、小規模オフィス	鍵が漏れると全変更が必要
5-1	PEAP	○	ID + パスワード	高	普通（サーバ必要）	一般企業、大学	802.1Xの一種
5-2	EAP-TLS	○	デジタル証明書	極めて高い	難しい（証明書配布）	金融、行政、高セキュリティ企業	ゼロトラスト推奨

・【参考】Arubaでの設定画面

2.4 WPAパーソナルとエンタープライズ

・「WPAパーソナル」「WPAエンタープライズ」という言葉は、上記の認証方式を「利用シーンに合わせてパッケージ化したブランド名（モード名）」と理解してください。これは、Wi-Fi Allianceが定めた分類です。

モード名	対応する認証方式	構成 (サーバ要否)	仕組み・鍵管理
WPA-Personal (パーソナルモード)	PSK (Pre-Shared Key) 事前共有鍵	サーバ不要 ※アクセスポイント(AP)と端末だけで認証が完結する。	全員で「1つの共通パスワード」を使用
WPA-Enterprise (エンタープライズモード)	IEEE 802.1X ・PEAP (ID/パスワード) ・EAP-TLS (電子証明書)	認証サーバ (RADIUS) 必須	ユーザごと、セッションごとに「異なる暗号化キー」を動的に生成・配布する。

2.5 ユーザ認証と端末認証

(1)EAP-TLSはユーザ認証か端末認証か

・証明書にはユーザ証明書とコンピュータ証明書があり、一般的には、コンピュータ証明書（＝端末認証）です。
・挙動としては、 Windowsが起動した瞬間（ログイン画面が表示される前）に、PCが勝手にWi-Fiに接続します。→認証サーバは、許可されたPCだと判断しますが、「誰が使っているか」は関知しません。
・ただ、Windowsログインする際に、ユーザがID/パスワード（または生体認証）をするので、ユーザ認証もしているとも考えられる（※ただし、無線LANとは全く違う次元）

(2)二段階認証

EAP-TLSのデバイス認証後にWeb認証（ユーザ認証）をすることもできる。

(3)TEAP (Tunnel EAP)

・1つの通信の中で、「端末認証（TLS）」と「ユーザ認証（ID/Pass）」の両方行うことができます。※ただし、これを使うことは非常に少ない。
・以前はこのような高度な認証をするには、専用ソフト（Cisco AnyConnectなど）をPCに入れる必要がありましたが、現在はWindows 10 (バージョン2004以降) および Windows 11 が、OS標準でTEAPをサポートしています。
・Aruba ClearPassのClearPass Policy Manager (CPPM) は、TEAPによる「EAP Chaining（EAPチェイニング）」という機能をサポートしています。
・認証の流れですが、まず、「コンピュータ証明書」で端末認証を行い、続けて、そのトンネルの中で「ID/パスワード」でユーザ認証を行います。

Q.利用者はID/PWを入力するのか？

A.両方できます。
❶パターンA：シングルサインオン（SSO）【推奨・一般的】
「Windowsへのログインに使ったID/パスワードを、そのままWi-Fi認証にも使う」設定です。Windowsが認証情報を裏で自動的にTEAP（の中のMSCHAPv2）に渡し、Wi-Fi認証を行う。
❷パターンB：手動入力（プロンプト表示）
「Windowsのログインとは別に、Wi-Fi接続時に入力を求める」設定です。「サインイン」というポップアップ（PEAPと同じもの）が出て、IDとパスワードを入れる。

2.6 その他のセキュリティ

無線LANセキュリティの設定には、SSIDの隠蔽、ANY接続拒否、端末間通信の制限など、各種の設定ができます。Arubaの場合はどういう設定ができて、どういう設定が推奨なのか、整理します。

項目 (Aruba用語)	日本語での一般的名称	推奨設定	理由・解説
Hide SSID	SSIDの隠蔽 (ステルス機能)	OFF	【理由】セキュリティ効果が薄く、利便性を損なうため。 SSIDを隠しても、専用ツールを使えば容易に検知可能です。逆に、端末側が接続のために常にSSIDを探し回るため、端末のバッテリー消費が増えたり、接続トラブルの原因になります。 ※極秘の管理用SSIDなど、特殊な用途以外ではOFFが標準です。
Deny Broadcast Probes	ANY接続拒否	ON	【理由】無駄な応答を減らし、不用意な接続を防ぐため。 SSIDを指定せずに「誰かいますか？」と聞いてくる端末（Probe Request）に対して、応答しない設定です。これを入れておくと、無関係な端末の接続リストに自社のSSIDが表示されにくくなり、電波空間（エアタイム）の節約にもなります。
Deny Inter-User Traffic (P2P Blocking)	端末間通信の制限 (プライバシーセパレータ)	ON (Guest/BYOD) OFF (社内LAN)	【理由】「ラテラルムーブメント（横展開）」を防ぐため。同じWi-Fiに繋がっている端末同士の通信をブロックします。 ● Guest/公衆用: 必須（ON）。利用者のPC同士が通信できると、ウイルス感染拡大や覗き見のリスクがあります。 ● 社内用: 業務でPC同士の共有やプリンタ利用がある場合はOFF。全てサーバー経由ならONでも可。
Drop Broadcast and Unknown Multicast	ブロードキャスト/マルチキャストの遮断	ON	【理由】ネットワークの盗聴やスキャンを防ぎ、パフォーマンスを上げるため。 Wi-Fiは無線の性質上、全員に届く通信（ブロードキャスト）を行うと速度が激減します。不要な通信を止めることで、セキュリティ向上と高速化の両方が見込めます。（※DHCPやARPなど必須なものはArubaが自動で通します）ただし、家庭用ではプリンタの検索ができないなどのデメリットもあり

3.認証の実装

企業ネットワークにおける認証基盤の構築について詳述する。

3.1Active Directory (AD) との連携

(1) 基本構成と役割

・WLCを入れている場合で解説します。
・この構成は、「サプリカント（端末）」、「パススルー（無線AP）」、「オーセンティケータ（WLC）」、「認証サーバ（RADIUS）」、そして「IDストア（AD）」で成り立つ。

(2)通信の流れ

❶端末 ⇔ 無線AP
EAP over LAN (EAPoL): 端末はAPに対して認証情報を送る。
※この段階では、端末はまだネットワーク（社内LAN）には参加できていない。
❷無線AP ⇔ WLC（コントローラ）
GREトンネル（PAPI）: Aruba独自の通信方式。APは受け取った認証パケットをそのままカプセル化（梱包）し、トンネルを通じてWLCへ転送する。
※APは中身を見ず、単にWLCへ運ぶ土管（トンネル）の役割に徹する。
❸WLC ⇔ RADIUSサーバ
RADIUSプロトコル: ここで初めて、WLCが認証パケットを取り出し、RADIUSパケットに変換してサーバへ問い合わせる。
❹RADIUSサーバ ⇔ AD
・プロトコルは、一般的にはLDAP
・RADIUSサーバが裏側のADに対し、「このユーザー（または証明書）は有効か？」を問い合わせる。

・Clearpassが、問合せ（連携）サキのADを指定する場合は、IPアドレスでは指定できず、ホスト名で指定する。※なので、ClearpassではDNSサーバを指定して名前解決できるようにしておく。
ADサーバー（ドメインコントローラー）自体には、それぞれユニークな名前がついています。（1台目: dc01.example.com、2台目: dc02.example.comなど）。しかし、ADのドメイン名そのもの（例: example.com）を指定することが多いだろう。→自動で負荷分散される。

(3) PEAP (ID/パスワード) の場合

・前提として、ClearPass自身をActive Directoryドメインに「ドメイン参加」させる必要があります。
・動きですが、

認証 (Authentication)	ClearPassは受け取ったID/パスワードを、裏側（Samba/NTLM）でADに投げ、「このパスワードで合っていますか？」と確認します。
認可 (Authorization)	パスワードが合っていれば、続けてADから「所属グループ（MemberOf）」などの情報を引き出します。「営業部ならVLAN10」「総務部ならVLAN20」といった割り当てに使います。

(4)EAP-TLS (電子証明書) の場合

「証明書のチェック」と「ADのチェック」を明確に分けて処理します。
・Step 1: 認証 (Authentication) = 「証明書の検証」
相手: ClearPass内部（または信頼するCA）
内容: 「この証明書は偽造されていないか？」「有効期限内か？」「失効リスト(CRL)に入っていないか？」をチェックします。
・Step 2: 認可 (Authorization) = 「ADアカウントの状態確認」
相手: Active Directory (LDAP接続)
内容: 証明書の中身（CN=UserAなど）を見て、ADに対してLDAP検索をかけます。

3.2 EntraIDとの連携

オンプレミスのActive Directory (AD) ではなく、クラウド上のID基盤である Microsoft Entra ID を認証に利用する場合、従来のプロトコルがそのままでは通じないという課題がある。

(1) PEAP (ID/パスワード認証) の課題

結論: Entra IDに対して、直接PEAP認証を行うことはできない。
理由は単純で、プロトコルが違う。Wi-Fi (PEAP)の場合、認証プロトコルとして RADIUS (MS-CHAPv2) を使用する。一方のEntra IDは、Webプロトコル (OAuth 2.0, SAML, OIDC) しか話せない。

(2) EAP-TLS (電子証明書認証) の実装と挙動

・結論: 実装は可能
・Entra ID環境では、MDM（Microsoft Intune）と連携して証明書を配布する構成が一般的である。その際、当然ながらEntra ID上のユーザ情報を確認する。→「Entra IDに存在する正規ユーザ」にのみ、クライアント証明書がインストールされる。
・Wi-Fi接続時のEAP-TLS認証の瞬間、RADIUSサーバは、証明書の有効性のみチェック（標準的）する。よって。Entra IDへの問合せを行わない。問合せしないのであれば使える。

3.3 証明書の管理と構成

EAP-TLSやPEAPでは、電子証明書を用いた信頼関係の構築（PKI: 公開鍵基盤）が必須となる。ここでは、「誰が発行し、どこに置くのか」を整理する。

(1) 認証局 (CA) は誰か？

証明書を発行する機関を CA (Certificate Authority) と呼ぶ。無線LAN認証において、CAの役割を担うのは主に以下の2つである。

プライベートCA (AD CSなど)	・社内ネットワーク専用の認証局。・Windows Serverの機能である AD CS (Active Directory Certificate Services) を構築して利用するのが一般的。・メリット: Windows端末へGPO（グループポリシー）を使って自動配布できるため、運用コストが低い。
パブリックCA (DigiCert, GlobalSignなど)	・インターネット上で信頼されている公的な認証局。・主にWebサーバ（HTTPS）で使われるが、無線LANの「サーバ証明書」として利用することもある。・メリット: BYOD端末（スマホ等）でも最初から信頼されているため、警告画面が出ない。

(2) サーバ証明書 (Server Certificate)

「RADIUSサーバが本物であること」を端末に証明するための証明書。
PEAP、EAP-TLSの両方で必須となる。

項目	内容
発行するCA	プライベートCA (AD CS) またはパブリックCA
インストール場所	認証サーバ (ClearPass) にインストールする。
端末側の準備	端末は、このサーバ証明書を信用するために、発行元である「ルート証明書 (CA証明書)」を持っている必要がある。※AD参加端末にはGPOでルート証明書を自動配布する。
役割	「なりすましAP/RADIUS」を防ぐ。端末が接続する際、「このサーバは本当に会社のRADIUSか？」を確認するために使われる。

(3) クライアント証明書 (Client Certificate)

「端末（またはユーザ）が許可された者であること」をRADIUSサーバに証明するための証明書。
EAP-TLSの場合に必須となる。一般的には、デバイス証明書ではなく、ユーザ証明書であることが多い。

項目	内容
発行するCA	原則としてプライベートCA (AD CS) を使用する。※全社員分の証明書をお金のかかるパブリックCAで発行するのは現実的ではないため。
インストール場所	サプリカント (端末) にインストールする。 ● ユーザ証明書: Windowsの「現在のユーザ」ストア ● コンピュータ証明書: Windowsの「ローカルコンピュータ」ストア
配布方法	● AD参加端末: GPOの「自動登録」機能で、ユーザが意識することなく勝手にインストールされる。 ● スマホ/Mac: MDM（Mobile Device Management）ツール経由で配布する。
役割	「不正な端末の接続」を防ぐ。RADIUSサーバが、「この証明書はうちのCAが発行したものか？」を検証する。

(4) 証明書の配置まとめ表

証明書の種類	誰の証明書？	どこに置く？	発行元(CA)	検証する人
サーバ証明書	RADIUSの身分証	ClearPass	AD CS / パブリックCA	端末がサーバをチェック
クライアント証明書	端末/ユーザの身分証	PC / スマホ	AD CS (必須)	ClearPass が端末をチェック
ルート証明書(CA証明書)	発行元の印鑑	両方	-(CA自身の自己署名)	信頼の基点となるため、全員が持つ

3.4 通信制御（ACL: Access Control List）

・マイクロセグメンテーションという表現をすることもある。IP（L3）、ポート番号（L4）、デバイス、アプリケーションで制御ができる。
・Arubaのコントローラが通信を識別すれば、制御が可能。
・制御の例

ユーザー、グループ	特定の役職者のみサーバーへアクセス許可
宛先	インターネットのみ許可し、社内イントラは拒否（ゲスト用など）
プロトコル/ポート	Web閲覧（80/443）は許可し、SSH（22）は拒否
時間帯	業務時間外のアクセス制限

4.無線LANの最近のトレンド

4.1 AIの活用（AIOps）

複雑化する無線環境の運用をAIが支援する。

RF（電波）自動調整: 周囲の電波状況をAIが学習し、最適なチャネルと出力を動的に設定する。
トラブルシューティング: 「つながらない」原因がDHCPにあるのか、無線の干渉にあるのか、認証にあるのかをAIが解析し、管理者に自然言語で解決策を提示する。
異常検知: 通常とは異なるトラフィックパターンや振る舞いを検知し、未知のセキュリティ脅威を早期に発見する。