このガイドについて
このガイドでは、Iru Endpoint で構成できるさまざまな種類のネットワーク認証について説明します。非エンタープライズとエンタープライズの Wi-Fi オプションを比較し、環境に適したアプローチを選択できるようにします。 ネットワークアクセスの構成手順については、以下を参照してください。非エンタープライズ Wi-Fi 認証
Iru Endpoint で Wi-Fi ネットワークを設定する場合は、認証の種類を選択する必要があります。環境でエンタープライズレベルの認証 (802.1X など) が不要な場合は、いくつかのオプションがあり、それぞれに異なる長所とトレードオフがあります。非エンタープライズ認証の種類
- WPA3 Personal: オフラインでのパスワード推測に対する保護を含め、より強力な保護を備えた新しい規格です。デバイスとアクセスポイントがサポートしている場合は、新しいハードウェアで優先的に使用してください。
- Mixed-mode (WPA2/WPA3): WPA2 と WPA3 の両方を許可します。移行期間中に便利です。全体的なセキュリティは最も弱いクライアントによって制限される点に注意してください。
- WPA2 Personal: エンタープライズ認証を使用しないほとんどの Wi-Fi の現行規格です。強力な暗号化 (AES) を備え、広くサポートされています。中小規模の組織にとって、セキュリティと使いやすさのバランスが優れています。強力で一意のパスワードを使用してください。
- WPA Personal (WPA-PSK): 共有パスワード (事前共有鍵) です。ほぼ WPA2 と WPA3 に置き換えられています。古いデバイスにのみ使用し、強力なパスワードを選択してアップグレードを計画してください。
- WEP (Wired Equivalent Privacy): 古いプロトコルで、現在は安全ではなく容易に解読されると考えられています。他の方式をサポートできないレガシーデバイスにのみ使用し、機密データから隔離してください。
- オープンネットワーク: パスワードは不要です。範囲内の誰でも接続できます。暗号化がないため、データは保護されません。公共のゲスト Wi-Fi やテストにのみ適しており、業務用途には使用しないでください。
比較: 非エンタープライズ Wi-Fi の種類
エンタープライズ Wi-Fi 認証
エンタープライズ Wi-Fi は 802.1X を使用して、誰がネットワークに接続できるかを制御します。共有パスワードの代わりに、各ユーザまたはデバイスが通常は認証情報、多くの場合はデジタル証明書を使用して個別に認証されます。これにより、セキュリティが向上し、大規模なアクセス管理が容易になります。802.1X の仕組み
4 つのコンポーネントが関係します。- MDM (Iru Endpoint): 802.1X 用の認証情報でデバイスを構成し、ID 証明書を展開して (SCEP や PKCS #12 などを使用)、デバイスの接続時に EAP-TLS などの方式が機能するようにします。
- サプリカント: 接続しようとするデバイス (Mac、Windows ノートパソコン、スマートフォンなど) で、MDM が展開した認証情報と証明書を使用します。
- オーセンティケータ: ゲートキーパーとして機能するネットワークデバイス (アクセスポイントやスイッチなど) です。
- 認証サーバ: 通常は RADIUS サーバです。認証情報を確認し、アクセスを許可するかどうかをオーセンティケータに伝えます。
エンタープライズ認証の種類
- WPA3 Enterprise: WPA2 Enterprise を基に、より強力な暗号化と追加の保護機能を備えています。ユーザが正しいネットワークに接続するよう、サーバ証明書の検証が必要です。特定の攻撃を防ぐための管理フレーム保護 (MFP) が追加されています。機密性の高い環境向けに、オプションの 192 ビットモードを利用できます。
- WPA2 Enterprise: 802.1X と強力な暗号化 (AES) を組み合わせます。各ユーザは固有のログインを持ち、パスワード、証明書、または多要素認証を使用できます。広くサポートされており、強力な Wi-Fi セキュリティを必要とする組織にとって最も一般的な選択肢です。
比較: エンタープライズ Wi-Fi の種類
EAP の種類
ユーザの認証に使用される方式は Extensible Authentication Protocol (EAP) です。一般的な種類 (セキュリティの高い順):- EAP-TLS: クライアント証明書とサーバ証明書を使用して相互認証を行います。非常に安全ですが、証明書の管理が必要です。
- PEAP および EAP-TTLS: サーバ証明書とユーザの認証情報 (ユーザ名とパスワードなど) を使用します。EAP-TLS よりも管理が容易で、引き続き安全です。
- その他の種類 (EAP-FAST、LEAP など) もありますが、あまり一般的ではなく、新規導入には推奨されません。
比較: EAP の種類
エンタープライズ認証を選択する理由
- ユーザごとまたはデバイスごとの認証情報。漏洩する共有パスワードがありません。
- 一元化されたアクセス制御。アカウントを無効にすると、Wi-Fi アクセスがすぐに取り消されます。
- 証明書ベースの認証と多要素認証をサポート。
- コンプライアンスとトラブルシューティングのための詳細なログ記録と監査。
インフラストラクチャの要件
エンタープライズ認証には、追加のインフラストラクチャが必要です。RADIUS サーバと、証明書ベースの構成の場合は認証局です。多くの組織はすでにこれらを保有しているか、クラウドベースのオプションを使用しています。証明書と 802.1X の詳細については、802.1X 認証に ID 証明書を使用するを参照してください。関連記事
Wi-Fi Library Item を構成する
ネットワーク展開用に Wi-Fi Library Item を構成します
Ethernet Library Item を構成する
有線ネットワーク用に 802.1X 認証を構成します
802.1X 認証に ID 証明書を使用する
802.1X 認証に ID 証明書を使用します
EAP (Extensible Authentication Protocol) の種類を構成する
802.1X 認証用に EAP の種類を構成します