アクセス制御

基本情報(Basic info)

このセクションでは SSID 名の設定と有効・無効の変更ができます。

SSIDを隠す にチェックを入れると AP が SSID をブロードキャストする際にクライアントに対して SSID 名を非表示にできます。

セキュリティ(Security)

各 SSID は、クライアントがその SSID に接続(アソシエート)する前に満たさなければならないセキュリティ要件を設定できます。PSK などの認証設定はここで設定します。以下の各オプションの詳細については、Wireless Encryption and Authenticationの記事を参照してください。(英語表記) 

RADIUSを使用したIdentity PSK

RADIUS サーバーへ問い合わせを行い、クライアントの MAC アドレスに従って正しい PSK を取得します。詳細はこちらのドキュメントを参照してください。

WPA 暗号化 

PSK または WPA2-Enterprise 認証が設定されている場合、WPA 暗号化モードを選択するオプショ ンが使用できます。このドロップダウンでは、以下のオプションを選択できます。

• WPA2 のみ： このオプションは、 SSID に接続するすべてのデバイスに WPA2 暗号化を使用させます。ほぼすべての最新デバイスが WPA2 暗号化を完全にサポートしているため、大半のネットワークでこのオプションが推奨されます。
• WPA1 と WPA2：このオプションでは、デバイスが WPA1 または WPA2 暗号化を使用するかどうかを選択できます。このオプションは、WPA2 暗号化をサポートしないレガシーデバイスをサポートする必要がある SSID にお勧めします。
• WPA3 移行モード : WPA3 SAEには、WPA3用に使用される同じSSID上でWPA2クライアントが共存できるように作成された移行モード（混合モードと呼ばれることもある）があります。WPA3では管理フレーム保護（MFP/802.11w）を「必須」に設定する必要がありますが、「有効」に設定することで、WPA3にもMFPにも対応していないクライアントでも同じ SSID に接続できます。
• WPA3 のみ : WPA3のみを使用する場合、アクセスポイントはWPA3 SAEを使用するクライアントのみを受け入れることをビーコンで送信します。移行モードを使用する場合、アクセスポイントはWPA2とWPA3の両方を使用するクライアントを受け入れることをビーコンでブロードキャストします。

802.11r 

セキュリティで PSK あるいはエンタープライズ認証 が選択されていて、且つ、 "クライアントIPとVLAN" で "外部DHCPサーバによる割り当て(ブリッジモード)" が選択されている場合にこのオプションがセキュリティセクションに表示されます。 現在、802.11r の設定には、有効、アダプティブ、無効 の 3 つのオプションがあります。802.11rの詳細については、802.11r OverviewとRoaming Technologiesの記事を参照してください。

• 無効: 802.11r を使用しません
• アダプティブ: 802.11r を有効にした場合に見られる非互換性の問題の可能性を最小限に抑えながら、iOSデバイスの高速ローミングを可能にします。
• 有効: 802.11r を使用します

802.11w 

セキュリティで PSK あるいはエンタープライズ認証 が選択されている場合に 802.11w の設定オプションが表示されます。 802.11w は、認証、認証解除、アソシエーション、ディスアソシエーション、ビーコン、プローブトラフィックなどの管理フレームに対して、Protected Management Frames (PMF) を有効にします。これにより Meraki AP は、不正なデバイスが Meraki AP からの管理フレームをスプーフィングするのを防ぐことができます。'有効' を選択すると、Meraki AP は 802.11w をサポートするクライアントに対して Protected Management Frames の利用を開始します。802.11wのより詳細な概要については、802.11w Management Frame Protection の記事をご覧ください。

スプラッシュページ

ネットワークアクセスコントロール(NAC) 

ネットワークアクセスコントロール(NAC)は、ネットワークに接続するクライアントがアクセスする前に、有効なアンチウイルスソフトウェアがデバイスにインストールされていることを要求します。WindowsクライアントがNACを有効にしたSSIDに接続すると、Javaアプレットを使用してローカルシステムをスキャンし、準拠したアンチウイルスプログラムがインストールされていることを確認するスプラッシュページが表示されます。このスキャンに合格したクライアントはネットワークへのアクセスが許可され、このチェックに失敗したクライアントはブロックされ、Microsoft Security Essentialsをダウンロードするか、定義された修復URLにリダイレクトされます。より詳細な情報については、Network Access Control (NAC)の記事を参照してください。

デバイスタイプ別にグループポリシーを割り当て

検出されたデバイスタイプに基づいて指定されたグループポリシーをデバイスに自動的に割り当てできます。各デバイスタイプは単一のポリシーに自動的に割り当てられるように設定できます。例えば、iPhone のような iOS デバイスには自動的に Mobile Devices グループポリシーが割り当てられるように設定できますが、MacBook のような他の OSX デバイスには同じ SSID に参加する際に別のポリシーを割り当てることができます。

以下のデバイスタイプを選択できます。

• Android
• Blackberry
• Chrome OS
• iPad
• iPhone
• iPod
• Mac OS X
• Windows
• Windows Phone
• B&N Nook
• 上記以外の OS

デバイスの種類とデバイスOSの検出によるポリシーの割り当ての詳細については、Applying Policies by Device Type を参照してください。

キャプティブポータル

キャプティブポータルは、SSIDでスプラッシュページが有効になっている場合に選択できます。キャプティブポータルでは、まだスプラッシュページによるサインオンプロセスを完了していないクライアントに対して、ブラウジングの制限／制約を設定することができます。スプラッシュページで認証に成功したクライアントには、通常のネットワーク制限が適用されます。

キャプティブポータルの強度

• サインオンが完了するまで、すべてのアクセスをブロック: スプラッシュページでの認証等を済ませていないユーザーからのすべての通信をブロックします。
• サインオンする前にも非HTTPトラフィックは許可: スプラッシュページでの認証等を済ませてないユーザーに対し、HTTP 以外のトラフィックを許可します。(HTTPSは許可されます)

ウォールドガーデン

ウォールドガーデンでは、管理者は、スプラッシュページを完了していないクライアントがアクセス可能な IP または URL を指定できます。ウォールド・ガーデンで定義された宛先へのトラフィックは、キャプティブポータルの強度設定に関係なく、すべてのクライアントで許可されます。

• ウォールドガーデンの範囲: ウォールドガーデンを有効にすると表示されます。ここでスプラッシュページでの認証等を完了していないクライアントがアクセス可能な IP あるいは URL を定義できます。

コントローラー切断時の挙動

ほとんどの スプラッシュページは、スプラッシュページを適切に表示し、クライアントの認証を追跡するために Meraki Cloud Controller に戻る通信を必要とします。何らかの理由で Meraki Cloud Controller に到達できない場合、このセクションでは接続と認証を試みるクライアントのための SSID の動作を定義します。

• オープン: クライアントが明示的にブロックされてる場合を除き、認証等を経ずともネットワークを利用できます。
• 制限付き: 接続中のクライアントおよび許可リストに登録されているデバイスのみネットワークを利用できます。
• デフォルト: スプラッシュページで選択したオプションに応じた以下のデフォルトの動作が行われます。

  • 無し（ダイレクトアクセス）: 適用外

  • クリックスルー: オープン

  • スポンサーゲストのログイン: オープン

  • サインオン方法: 制限付き

  • SMS認証 サインオン: オープン

  • Cisco Identity Services Engine（ISE）認証: 適用外

  • エンドポイント管理登録(Systems Manager): オープン

  • 課金（有料アクセス）: 適用外

Meraki APによる割り当て（NATモード）

NATモードは Meraki DHCP とも呼ばれ、アクセスポイントはクライアントに10.0.0.0/8の IP プールからランダムなアドレスを割り当てます。これらのクライアントからのすべてのクライアントトラフィックは、LAN上に転送される前にアクセスポイントの管理IPに NAT されます。Meraki DHCP を使用している場合、各クライアントは同じ SSID 上の他の無線クライアントから隔離されますが、SSID ファイアウォール設定が許可している場合は LAN 上の有線クライアントと通信できます。NAT モード の動作の詳細については、 Meraki DHCPを使用したNATモードを参照してください

外部DHCPサーバによる割り当て(ブリッジモード)

ブリッジモードでは、アクセスポイントを透過的に動作させるため、クライアントは LAN から IP アドレスを取得するか、静的 IP を使用し、アクセスポイントからのNAT なしで通信できます。

この構成では、 アクセスポイントは単に トラフィックをワイヤレスネットワークから有線ネットワークに直接転送します。デフォルトでは、ブリッジモードは、デバイスが他の無線クライアントと有線 LAN クライアントの両方に通信できるようになっています。ブリッジモードでは、クライアントが接続している SSID に基づいて、クライアントのトラフィックにVLAN タグを付けることもできます。ブリッジモードの詳細については、Client IP Assignment の記事を参照してください。

VLANタグ

 VLAN タギングはトラフィックを特定の VLAN に誘導するために使用されます。VLAN タギングを使用するには、ネットワーク内でゲートウェイとして機能するすべての Meraki AP が IEEE 802.1Q をサポートするスイッチに接続されている必要があります。また、AP は802.1Q タグ付きイーサネットフレームを受け入れるように設定されたスイッチポートに接続されている必要があります（このようなポートは "トランクポート" と呼ばれることもあります）。不安な場合は、この機能を有効にしないでください。

VLAN タグは、NAT モードのクライアント IP 割り当てでは設定できません。NATモードSSIDのクライアントトラフィックは個々のAPのIPアドレスに変換されます。NAT モード SSID の詳細については NAT Mode with Meraki DHCP を参照してください。 

"ブリッジモード" を選択している場合、VLANタグのドロップダウンから以下のオプションが選択できます。:

• 無効 :  VLAN タグを付けずにトラフィックを有線ネットワークへ転送します。デフォルトはこちらに設定されています。

• VLAN ID: 有線ネットワークに転送されるときに、設定された VLAN ID がタグ付けされます。このオプションを選択すると、VLAN ID 設定セクションが VLAN タグセクションの真下に表示され、この SSID に必要な VLAN ID を設定できます。

• 名前付きVLAN : VLAN IDの代わりに、ネットワーク全体 > VLAN プロファイルで設定した VLAN 名を選択できます。詳細は VLAN Profiles の記事を参照してください。

"外部DHCPサーバによる割り当て" > "トンネルで コンセントレーターへデータを VPN トンネルで送信" あるいは コンセントレータを使用したレイヤ3モビリティ” が設定されている場合、ドロップダウンから選択したコンセントレーター上に存在する VLAN を指定できます。クライアントは指定された VLAN から IP アドレスを取得します。

RADIUS応答による上書き

RADIUS サーバーは RADISU Access Accept メッセージ内に VLAN 情報を含ませることが可能です。VLAN 情報を含ませるためには RADIUS ポリシーで以下の 3 つの属性を設定する必要があります。

• Tunnel-Type:802.1Xで一般的に使用される属性値を選択し、仮想LAN（VLAN）を選択します。
• Tunnel-Medium-Type: 属性値には、802（すべての802メディアとイーサネット標準フォーマットを含む）を選択します。
• Tunnel-Private-Group-ID: Stringを選択し、希望するVLANを入力します（例："500"）。この文字列はVLAN ID 500を指定します。

FreeRADIUS におけるユーザー設定例は以下のとおりです。 (/etc/freeradius/3.0/users):

Tunnel-Type = "VLAN",
Tunnel-Medium-Type = "IEEE-802",
Tunnel-Private-Group-ID = "500"

適切な値については利用されている RADIUS サーバーのベンダーが提供するドキュメントを参照してください。

FreeRADIUS における EAP 設定例は以下のとおりです。 (/etc/freeradius/3.0/mods-enabled/eap):

use_tunneled_reply = yes

EAP 設定で Tunnel パラメータを設定する場合、EAP 設定を 'use_tunneled_reply = no' (Default) から 'use_tunneled_reply=yes' に変更しない限り、FreeRADIUS はこれらのパラメータを最終的な Access-Accept に挿入しません。

RADIUS サーバーから送信された VLAN 情報を受け入れるように AP を設定するには、外部DHCPサーバによる割り当て(ブリッジモード) を選択後、、”RADIUS応答による上書き" で "VLANタグを上書きする" を選択します。この設定は、設定されたSSID VLANを上書きするか、またはVLANが指定されていない場合にVLANを適用することができます：