エンタープライズ向け Meraki 無線のベスト プラクティス - セキュリティ

無線セキュリティプロトコル

無線セキュリティプロトコルは4つの主要な種類があります。これらは、無線技術と相互運用性を推進する Wi-Fi Alliance によって策定されました。

最初のプロトコルは WEP（Wired Equivalent Privacy）で、1990年代後半に登場し、基本的な64/128ビット暗号化を使用します。WEP はもはや安全な無線セキュリティプロトコルとは見なされていません。

WPA（Wi-Fi Protected Access）は 2003 年に登場し、TKIP（Temporal Key Integrity Protocol）を用いた 128/256ビット暗号化を提供し、WEP の代替として利用されました。 WPA2 は 2004 年に開発された後継で、現在もっとも広く使用されているネットワークセキュリティプロトコルです。AES（Advanced Encryption Standard）の設定と導入が容易で、より高いセキュリティを提供します。 最新世代のWPAは WPA3 で、Wi-Fi 6 全体でサポートされ、Wi-Fi 6E および 6GHz 無線ネットワークでは必須となります。192/256/384ビット暗号化による強化、堅牢な認証、そして暗号強度の向上を実現します。

認証方式

以下はワイヤレスセキュリティの互換性マトリクスです：

クライアント IP と VLAN 割り当て

クライアント IP 割り当てオプションには、NAT モードとブリッジモードの 2 種類があります。

NAT モードでは、Meraki AP が DHCP サーバーとして機能し、プライベートの 10.x.x.x アドレスプールから無線クライアントに IP アドレスを割り当て、NAT 配下で動作します。この場合、無線クライアント間での直接接続やレイヤー2ディスカバリープロトコルの使用はできません。NAT モードはデバイスを完全に分離し、ローミングや mDNS が不可能になるため、エンタープライズ環境では推奨されません。

ブリッジモードでは、Meraki AP がブリッジとして機能し、無線クライアントは上位 DHCP サーバーから IP アドレスを取得します。ブリッジモードでは DHCP オプションが設定可能で、ファイアウォール設定により無線クライアントが他の無線／有線デバイスにアクセスできます。無線トラフィックは VLAN タグ付けされ、上位の有線インフラへ送られます。詳細は SSID Modes for Client IP Assignment を参照してください。

無線クライアント分離（Wireless Client Isolation）

無線クライアント分離は、無線クライアント同士が相互通信することを防ぐセキュリティ機能です。ゲストSSIDやBYOD（Bring Your Own Device）SSIDなどで有効で、同一ネットワーク上のデバイス間攻撃や脅威を抑制します。

この機能はブリッジモードのSSIDでワンクリックで有効化できます。デフォルトではブリッジモードでは無効化されており、NATモードでは初期設定で有効（無効化は不可）です。

ブリッジモードでこの機能を有効にすると、クライアントはデフォルトゲートウェイとのみ通信でき、同一VLAN（ブロードキャストドメイン）上の他デバイスとは通信できません。他デバイスとの通信が必要な場合は、上位ゲートウェイ側で通信を許可する必要があります（例：VLAN間ルーティングやACL設定）。同一VLAN宛の通信は拒否され、他VLAN宛の通信は通常どおりルーティングされます。詳細はWireless Client Isolationを参照してください。

DHCPガードとRAガード

RAガード（IPv6）およびDHCPガード（IPv4/IPv6）は ワイヤレス > ファイアウォール＆トラフィックシェーピング ページで有効化できます。これらの機能は、クライアントがRA送信やDHCPv4/v6リース配布を行うことを防止できます。必要に応じて許可IPを指定することも可能です。

L3 / L7 ファイアウォールルール

L3およびL7ファイアウォールルールにより、LAN分離以上のきめ細かいアクセス制御が可能です。管理者は、SSIDに接続した無線ユーザーからのすべての要求トラフィックに適用されるルールセットを定義できます。ルールは上から順番に評価され、最初に一致したルールが適用され、それ以降のルールは評価されません。マッチするルールがない場合は「すべて許可」のデフォルトルールが適用されます。

例：L3ファイアウォールルール設定

L7ファイアウォールルールでは、特定のIPやポート範囲を指定せずに、NBAR（Next-gen Network-Based Application Recognition）を利用して特定アプリケーション通信を完全にブロックできます。

SSIDごとのアウトバウンドルール設定例

アプリケーション認識によるL7ファイアウォールルール設定例

詳細はMR Firewall Rulesを参照してください。

トラフィックシェーピング

Cisco Meraki アクセスポイントは、無線ネットワーク利用者ごとの帯域幅制限を設定できます。これにより、一部ユーザーが過剰に帯域を占有することを防止できます。

SpeedBurstを有効にすると、一時的に（最大5秒間）通常の4倍まで帯域幅をバースト可能になり、小規模ファイルのダウンロード体験を改善しつつ、継続的な帯域占有を防ぎます。

管理者はアプリケーションやトラフィック条件に基づいて、クライアント単位やSSID単位でアップロード／ダウンロード速度を別々に制御するカスタムルールも設定可能です。非対称な帯域設定により、例えば画像のダウンロードは必要でもアップロードは不要といった要件に対応できます。最適な設定は、アプリケーション要件や利用可能帯域を考慮して決定します。

例：SSIDごとのトラフィックシェーピングルール

詳細はTraffic and Bandwidth Shapingを参照してください。

概要

従来のネットワークセキュリティは、IPベースのアクセス制御に依存してきました。オンライン業務の比重が高まる中、ネットワークセキュリティの重要性はかつてないほど高まっています。Cisco Meraki は、ACL やグループポリシーによる堅牢なアクセス制御を提供してきましたが、組織拡大に伴いそれらの管理は複雑化します。

ユーザー数やデバイス数が増加すると、従来のセキュリティポリシーはスケーラビリティの面で課題が顕著になります。Meraki はこの課題を解決するために、アダプティブポリシーソリューションを導入しました。

アダプティブポリシーは、セキュリティグループを用いてネットワークトラフィックを分類し、ポリシーを適用することで、アクセス制御の管理と適用を簡素化します。IPアドレスだけでなく、エンドポイントの識別情報や利用状況（コンテキスト）に基づく分類が可能なため、ネットワークを再設計することなくポリシーを更新できます。

アダプティブポリシーは、分類、伝搬、適用という3つの主要概念で構成されます。ユーザー／端末がネットワーク接続する際に、ID、LDAPグループ、位置情報、アクセス種別などに基づきSGT（Security Group Tag）に分類されます。ネットワーク機器はSGTに基づき直接トラフィックを制御するか、もしくは伝搬して別の機器で制御します。MerakiダッシュボードがSGTとポリシー管理の中枢となります。

Meraki アダプティブポリシーのインラインタグ付フレーム構造

Meraki アダプティブポリシーのホップ間タグ伝搬

ISE 3.1 Patch 2 以降では、Cisco ISE が Meraki ダッシュボードと統合し、TrustSec の SGT/SGACL 設定をMeraki API経由で同期可能です。これにより、Merakiダッシュボードに限定されずISEから直接SGTやSGACLの追加・削除・設定ができます。

Meraki と ISE のアダプティブポリシー／SGT 同期連携

プラットフォームとライセンス

特定ネットワークでアダプティブポリシーを有効化する場合、そのネットワーク内のすべてのMerakiデバイスが上記ライセンス要件を満たしている必要があります。

スケーリング

設計上の考慮事項

IP→SGTマッピング数の最大値は、Merakiダッシュボード上での静的マッピングのみに適用されます。 RADIUSサーバー経由での動的SGT割り当てはこの制限を消費せず、そのスケールはMerakiデバイスのクライアント接続スケールと同等です。

アダプティブポリシーの概要は Adaptive Policy Overview を、 ダッシュボードでの設定は Adaptive Policy Configuration Guide を参照してください。 ISE連携設定は Adaptive Policy and Cisco ISE を参照。 ISEとMerakiダッシュボード間のSGT/SGACL同期は 公式ガイド を確認ください。

脅威の種類

1. 有線ネットワークの侵害 – 有線インフラが安全に構成されていない場合、悪意あるAPが有線に接続され内部ネットワークを危殆化させます。例：従業員が私物APを持込み、第三者の接続を許可する。

2. 無線ネットワークの侵害 – DoS攻撃やパケットフラッドにより、正規クライアントがAPに接続できなくなる脅威。

3. Evil Twin攻撃 – 攻撃者が正規SSIDを装ったAPを持ち込み、認証情報の窃取や通信傍受を試みる。

最新のMeraki APは専用の2.4GHz/5GHz/6GHz Air Marshalスキャン用ラジオを搭載し、通常のスループットに影響を与えず継続的なRFスキャンと脅威封じ込めが可能です。対応機種はMR Overview and Specifications参照。

Air Marshalの分類

Air Marshalは以下の5つを分類表示します：不正な SSID (Rogue SSID)、その他のSSID(Other SSID)、なりすまし(Spoofs)、悪意のあるブロードキャスト(Malicious broadcasts)、パケットフラッド(Packet floods)。

自動Rogue SSID封じ込め

ワイヤレス > Air Marshal > 設定 で次を設定可能：SSIDブロックリスト、許可リスト、アラート設定。マッチ条件はSSID名、BSSID、キーワード、ワイルドカードが指定可能。

• SSIDブロックリスト – Rogue/Other両方を対象に自動封じ込め
• SSID許可リスト – 指定SSID/BSSIDを封じ込め・通知対象から除外
• SSIDアラート – 検出即時に通知（ネットワーク全体 > アラート でRogue AP検出を有効化）

設計上の注意

設定方法詳細はAir Marshal ドキュメント参照。