内部アクセス用Wi-Fiを設定する｜許可端末だけを内部ネットワークへ接続する

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

目的

前項で決定した「内部ネットワークへのアクセスを許可する利用者」向けのWi-Fiを構築する。

このWi-Fiへ接続した利用者は、NASや業務システム、ネットワーク機器など管理者が設定した機器へアクセスが許可されている。そのため、来客向けWi-Fiとは区別し、本当に必要な利用者だけが接続できる状態を構築する。

まず整理した利用者と利用目的を確認する。

例

重要なのは「誰か」ではなく「何へアクセスする必要があるか」である。ここでは内部ネットワークリソースへアクセスできる経路を作ることを前提としている。

ルーターまたはアクセスポイント上で、内部ネットワークへ接続可能なWi-Fiを作成する。

設定例

SSID名について：SSIDは公開情報なので、重要なアクセス用だと認識されると攻撃対象になる懸念がある。しかし利用目的がわかる明確な名称は運用のミスを防ぐことにつながる。このバランスは環境によるが、内部の者には明確で外部からはわかりづらいものが理想である。

許可した端末のみ接続できるようMACアドレス認証を利用する。

最近のデバイスではMACアドレスをランダム化しプライバシーを向上させる機能がデフォルトでONになっていることが多いが、そもそも内部リソースにアクセスさせるための接続にプライバシーは不要である。
よってこの機能は、（このネットワーク接続の場合に）OFFとしておく。

ツールを使えばMACアドレスの偽装を行うことは可能だが、攻撃者のハードルを上げ、アクセスしている者の管理・追跡がしやすくなる。

このWi-Fiへ接続できることは、そのまま内部ネットワークへの入口を持つことを意味する。そのため接続情報の取り扱いルールを決める。

例

接続情報の管理は利用者任せにせず、管理者が責任を持って運用する。
ホームネットワークであっても友人などへ共有させないようルール化する。可能であれば管理者が全デバイスに設定し、利用者にパスワードを意識させないことが理想的である。

Wi-Fi接続後、必要な機器へアクセスできることを確認する。

例

利用目的に必要な機器へ接続できることを確認する。
また、接続不要な機器へアクセスできないことも合わせて確認する。

ネットワーク機器の設定変更や保守作業は、有線接続の方がたいていの場合は安全である。
特に管理者しか利用しない環境であれば、

と役割を分けることで、無線経由のリスクを減らせる。

以下が確認できていれば完了とする。