当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
目的
来客や家族、従業員、保守事業者など、ネットワークへWi-Fi接続する利用者は様々である。
しかし、すべての利用者へ同じ権限を与えると、マルウェア感染や情報漏洩が発生した際の影響範囲が大きくなる。
ここでは、利用者ごとにどこまでのアクセスを許可するかを整理し、自身の環境で採用するWi-Fi分離方針を決定する。
Wi-Fi分離の基本パターンを理解する
Wi-Fi分離とは、利用者ごとに異なる接続先や権限を割り当てるためにネットワークを複数の利用区分に分ける考え方である。
当サイトでは、以下の3つの分離パターンを基本とする。
1. 内部ネットワークへのアクセスを許可する
NASやサーバー、プリンター、ネットワーク機器など、内部リソースへのアクセスを許可するWi-Fiパターン。
対象例
- 家族
- 管理者自身
- SOHOの従業員
- 保守事業者
- 委託先
なお、内部ネットワークにアクセスする必要がなければ、これら利用者であっても下記「インターネット利用のみ」にするほうがよい。
2. インターネット利用のみに制限する
インターネット接続のみを許可し、内部リソースへのアクセスは許可しないパターン。
対象例
- 来客
- 友人
- 商談相手
- 一時利用者
- SOHO従業員の私物端末（福利厚生としてWi-Fi提供する場合など）
3. 不特定多数にインターネット利用を提供する
利用者の身元確認を前提とせず、インターネット接続を提供するパターン。「インターネット利用のみ」と似ているが、帯域制限や利用規約への同意、ログの取り方の違いなどルールを変えて運用することが多い。
対象例
- 店舗利用者（カフェやバーといった飲食店など）
- 宿泊客（ホテル、民宿、ゲストハウスなど）
- イベント参加者
- 来場者
なお、宿泊客は法令によって住所氏名を提供してもらうが身分証確認まではしないことも多い。追跡が困難なためここでは不特定多数として扱うが、状況により上記パターン２でもよい。
利用者ではなく利用目的で判断する
同じ利用者であっても、利用目的によって必要なアクセス範囲は異なる。
例えば、下記のようなケースではそれぞれ必要な権限が異なる。
- NASへアクセスして写真を見たい
- ネットワーク機器の保守を行いたい
- 社内にある業務システムを利用したい
- Web閲覧だけできれば良い
- 特定のクラウドサービスだけ利用できれば良い
そのため、「誰か」ではなく「何を許可するか」を基準に判断する。
自身の環境に当てはめて考える
自身の環境で想定される利用者を書き出し、それぞれに必要なアクセス範囲を整理する。
例
| 利用者 | 必要なアクセス |
|---|---|
| 家族 | NAS利用 |
| 保守事業者 | ネットワーク機器管理 |
| 来客 | Web利用のみ |
| 私物スマートフォン | Web利用のみ |
整理した結果をもとに、どの分離パターンを採用するか決定する。
その際、複数のパターンを併用する構成になることも珍しくない。
例えば、下記のように分けて運用する構成は一般的である。
- 管理者向けWi-Fi（内部リソースアクセス許可）
- 取引先用Wi-Fi（インターネット利用のみ）
- 来場者用Wi-Fi（不特定多数としてのインターネット利用）
逆に、分ける必要性がなければ利用者も管理者もひっくるめて「インターネット利用のみ」とし内部リソースへのアクセスは全遮断しても構わない。ネットワークの保守は有線接続した機器から行え、そちらの方が安全性はずっと高い。
まとめ
以下が整理できていれば完了とする。
- Wi-Fi分離の目的を理解している
- 3つの分離パターンを理解している
- 利用者ごとの必要なアクセス範囲を整理できる
- 自身の環境で採用する分離パターンを決定できる
採用する分離パターンが決まったら、次から実装段階へ進み、実際の設定を行う。