この記事は、 「ネットワーク中級編｜構築・検証・障害切り分けを身につける」 の第28回です。
前回学んだVPNの暗号化とは対象範囲が異なります。今回は、端末が無線LANへ接続するときの 利用者・端末の確認と、端末とアクセスポイント間の通信保護を整理します。
無線LANの認証と暗号化とは？WPA2・WPA3・802.1Xの違いと接続の流れを図解
無線LANでは、電波が届く範囲にいる第三者も通信を受信できる可能性があります。 そのため、「接続を許可する相手を確認する認証」と「通信内容を読めない形にする暗号化」の両方が必要です。 WPA2-Personal、WPA3-Personal、802.1Xを使うEnterprise方式の違いを、接続シーケンスと設計判断から解説します。
無線LANの設定画面には、WPA2、WPA3、Personal、Enterprise、PSK、SAE、AES、802.1Xなど、 似た言葉が並びます。これらを丸暗記すると、「結局どの設定が安全なのか」「接続失敗時にどこを調べるのか」が分かりません。
最初に、認証・鍵交換・暗号化を別々の処理として分けることが重要です。
この記事を読み終えるとできること
- 認証と暗号化の違いを説明できる
- WEP・WPA・WPA2・WPA3の位置づけを判断できる
- PersonalとEnterpriseを使い分けられる
- PSK・SAE・802.1X・RADIUSの関係を説明できる
- 4ウェイハンドシェイクの目的を説明できる
- 無線LAN接続障害を段階ごとに切り分けられる
認証と暗号化の違い
認証は「接続してよい相手かを確認する処理」、暗号化は「通信内容を第三者に読まれにくくする処理」です。
認証 Authentication
無線LANへ接続しようとしている利用者や端末が、許可された相手かを確認します。
- 共通パスフレーズを知っているか
- ユーザー名・パスワードが正しいか
- 正しいクライアント証明書を持っているか
暗号化 Encryption
端末とアクセスポイントの間を流れるデータを、暗号鍵を持たない相手が読めない形へ変換します。
- 通信内容の盗聴を防ぐ
- データの改ざんを検知する
- セッションごとの暗号鍵を利用する
認証に成功しても、暗号化されていなければ通信内容を盗み見られる可能性があります。 反対に、通信が暗号化されていても、誰でも接続できる設計では社内ネットワークへの不正アクセスを防げません。
無線LANセキュリティは、認証と暗号化を組み合わせて考えます。
「WPA2だから安全」と規格名だけを見るのではなく、認証方式、暗号方式、鍵の管理方法まで確認します。
無線LAN接続の全体像
端末が無線LANで業務通信を始めるまでには、複数の段階があります。
端末が社内無線LANへ接続する基本構成
- SSIDを検出する端末がビーコンやプローブ応答から利用可能な無線LANを確認します。
- 802.11の接続処理を行う端末とアクセスポイントが認証・アソシエーション処理を進めます。
- 利用者・端末を認証するPSK、SAE、802.1Xなど、設定された方式で接続可否を確認します。
- 暗号鍵を確立する4ウェイハンドシェイクなどで、実際のデータ暗号化に使う鍵を生成・確認します。
- IPアドレスを取得する多くの環境ではDHCPでIPアドレス、デフォルトゲートウェイ、DNSサーバーを取得します。
- 業務通信を開始する認証・暗号化・IP設定が完了して、初めて通常の通信が可能になります。
「Wi-Fiには接続済みなのにインターネットへ出られない」という状態は、無線の認証と暗号化が成功した後、 DHCP、VLAN、デフォルトゲートウェイ、DNSなどで問題が起きている可能性があります。
WEP・WPA・WPA2・WPA3の違い
WEP、WPA、WPA2、WPA3は、無線LANのアクセス制御や暗号化を提供する世代の異なる仕組みです。 現在の設計では、古い端末との互換性だけを理由にWEPやWPAを残さないことが重要です。
| 方式 | 代表的な暗号 | 特徴 | 設計上の判断 |
|---|---|---|---|
| WEP | RC4 | 初期の無線LAN暗号化方式。鍵管理や暗号設計に重大な弱点がある。 | 使用しない |
| WPA | TKIP | WEPから移行するための暫定的な仕組み。古い機器で使われた。 | 新規採用しない |
| WPA2 | AES-CCMP | PersonalとEnterpriseを利用でき、長く広く使われている。 | 互換性が必要な環境で利用 |
| WPA3 | CCMP／GCMPなど | PersonalではSAEを使い、パスワード推測攻撃への耐性を強化。PMFも重要になる。 | 対応端末では優先 |
WPA2ではAES-CCMPを使う
WPA2であっても、古い互換設定としてTKIPを併用している場合があります。 設計書や設定画面では、単に「WPA2」と書かれているだけでなく、 AES-CCMPが選択されているかまで確認します。
WPA3ではSAEとPMFを理解する
- SAE：WPA3-Personalで使われるパスワードベースの相互認証・鍵合意方式
- PMF：切断や認証解除などに使われる管理フレームを保護する仕組み
- Transition Mode：WPA2端末とWPA3端末を同じSSIDへ接続させる移行用の混在モード
Transition Modeは移行に便利ですが、WPA3のみの構成よりも古い方式を許容します。 端末対応状況を確認し、移行期間を決めたうえで使用します。
6GHz帯ではセキュリティ要件が厳しい
Wi-Fi 6Eなどで使用する6GHz帯では、WPA3またはOWEとPMFが前提となり、 WPA2や従来のオープン方式との混在を前提にできません。 新しい周波数帯を導入するときは、端末の無線規格だけでなく認証方式の対応も確認します。
PersonalとEnterpriseの違い
| 比較項目 | Personal | Enterprise |
|---|---|---|
| 代表例 | WPA2-Personal、WPA3-Personal | WPA2-Enterprise、WPA3-Enterprise |
| 認証方法 | 共通パスフレーズ、SAE | 802.1X／EAP |
| 認証サーバー | 原則不要 | RADIUSなどが必要 |
| 利用者の識別 | 同じPSKを共有すると個人を識別しにくい | 利用者・端末単位で識別しやすい |
| 失効・変更 | PSK流出時は多数の端末で変更が必要 | 特定アカウントや証明書だけを無効化できる |
| 向いている環境 | 家庭、小規模拠点、認証機能を持たないIoT | 企業、学校、多人数・多端末の組織 |
企業で全社員が同じPSKを使うと、退職者や紛失端末だけを個別に無効化できません。
利用者数が多い環境では、初期構築が複雑でもEnterprise方式の方が運用管理しやすくなります。
WPA2-Personalの接続フロー
WPA2-Personalでは、アクセスポイントと端末へ同じ事前共有鍵を設定します。 ただし、通常の接続でパスフレーズ文字列そのものを電波上へ送信して照合するわけではありません。
対象のアクセスポイントとアソシエーションを進める。
SSIDとパスフレーズなどを基に、両者が同じPMKを保持する。
APが乱数情報を端末へ送り、鍵生成に必要な材料を交換する。
ユニキャスト通信を保護するセッション鍵を生成し、同じPMKを持つことを確認する。
ブロードキャスト・マルチキャスト用のグループ鍵を端末へ通知する。
AES-CCMPで保護されたデータ通信へ移る。
PMK・PTK・GTKの役割
PMK
Pairwise Master Key
セッション鍵を作る基になるマスター鍵です。PersonalではPSKから、Enterpriseでは認証結果から得られます。
PTK
Pairwise Transient Key
端末とアクセスポイント間のユニキャスト通信に使う、接続ごとの鍵です。
GTK
Group Temporal Key
同じ無線LANへ接続している端末へ送るブロードキャスト・マルチキャスト通信に使います。
4ウェイハンドシェイクは「利用者が入力したパスワードをもう一度認証する処理」ではありません。 同じマスター鍵を持つことを確認し、実際のデータ暗号化へ使う鍵を安全に確立する処理です。
WPA3-PersonalとSAE
WPA3-Personalでは、従来のPSK方式の代わりに SAE（Simultaneous Authentication of Equals）を使います。 端末とアクセスポイントがパスフレーズを基に相互認証と鍵合意を行い、その後に4ウェイハンドシェイクを実行します。
WPA3-Personalの大まかな流れ
SAEが強化するポイント
- 盗聴した接続情報だけを使って、オフラインで大量のパスワード候補を試す攻撃への耐性を高める
- 端末とアクセスポイントが相互に確認しながら鍵を合意する
- 過去の通信を記録していても、後からパスフレーズが漏れた場合に過去セッション全体を解読されにくくする
WPA3を選んでも、短く推測しやすいパスフレーズでよいわけではありません。 強い認証方式と、十分に長く推測されにくいパスフレーズを組み合わせます。
802.1XとRADIUSを使うEnterprise認証
Enterprise方式では、全員が同じ無線LANパスワードを共有する代わりに、 利用者の資格情報や端末証明書をRADIUSサーバーで確認します。
802.1Xを構成する3つの役割
Supplicant
認証を受ける端末側のソフトウェアです。Windows、スマートフォン、業務端末などが該当します。
Authenticator
端末からの認証メッセージを中継し、成功するまで通常通信を制限します。APやWLCが該当します。
Authentication Server
ユーザー、パスワード、証明書、ポリシーを確認します。RADIUSサーバーが代表例です。
端末がEnterprise用SSIDへ接続を開始する。
AP/WLCは認証内容を解釈する主体ではなく、RADIUSサーバーへ中継する。
ユーザー情報、証明書、有効期限、グループ、端末条件などをポリシーで確認する。
成功時にはVLANやACLなどの属性を同時に返すこともできる。
認証で得たPMKを基にPTK・GTKを確立する。
社員VLAN、委託先VLAN、隔離VLANなどへ動的に収容できる。
代表的なEAP方式
| 方式 | 主な認証情報 | 特徴 | 注意点 |
|---|---|---|---|
| PEAP | ユーザー名・パスワード | サーバー証明書で保護されたトンネル内で、ID・パスワードを認証する構成が多い。 | 端末が正しいRADIUSサーバー証明書を検証する設定が重要。 |
| EAP-TLS | クライアント証明書・サーバー証明書 | 端末とサーバーが証明書で相互認証する。パスワード共有に依存しない。 | 証明書の配布、更新、失効、端末管理の仕組みが必要。 |
管理対象端末へ証明書を安全に配布・更新できる組織では、EAP-TLSは有力な選択肢です。 ただし、方式名だけで決めず、PKI、MDM、端末再発行、証明書失効まで含めて運用設計します。
無線LAN暗号化が保護する範囲
WPA2・WPA3の暗号化範囲
HTTPS・VPNなどで保護する範囲：端末 ⇄ 接続先サービス
WPA2やWPA3は、主に無線端末とアクセスポイント間のレイヤー2通信を保護します。 アクセスポイントから先の有線LANやインターネットまで、同じ無線暗号がそのまま続くわけではありません。
WPA3の無線LANへ接続していても、HTTPや平文プロトコルを使えば、アクセスポイントより先の経路で内容が保護されない場合があります。 無線LAN暗号化とHTTPS、SSH、VPNなどのエンドツーエンド保護は別の役割です。
オープンWi-Fiとキャプティブポータル
ホテルや店舗のWi-Fiでは、接続後にWeb画面で利用規約への同意やログインを求めることがあります。 これは利用者確認や利用条件の提示には使えますが、従来型のオープンSSIDでは無線区間が暗号化されない場合があります。
OWE（Enhanced Open）は、共通パスワードなしで端末ごとに無線区間を暗号化する仕組みです。 ただし、OWEだけで接続先の組織や利用者の本人性を保証するわけではありません。
環境別の設計判断
家庭・小規模拠点
- 対応端末ではWPA3-Personalを優先
- 長く推測されにくいパスフレーズ
- ゲスト・IoTを別SSIDへ分離
- 管理画面の初期パスワード変更
企業の社内端末
- WPA2/WPA3-Enterprise
- 802.1XとRADIUS
- EAP-TLSを含めて検討
- 利用者・端末単位の失効
IoT・旧端末
- 対応方式を事前調査
- 専用SSID・専用VLANへ隔離
- 必要な宛先だけACLで許可
- 代替・更新計画を持つ
来訪者・ゲスト
- 社内LANから分離
- OWEを利用できるか確認
- クライアント間通信を制限
- 利用期限・帯域・ログを設計
企業向け無線LANで確認する設計項目
| 設計項目 | 確認内容 | 判断例 |
|---|---|---|
| 端末対応 | OS、無線NIC、ドライバー、WPA3、PMF、EAP方式 | 非対応端末を移行対象として一覧化する |
| 利用者管理 | 社員、委託先、共有端末、IoT、ゲスト | 利用者種別ごとにSSIDや認証ポリシーを分ける |
| 認証基盤 | RADIUS、Active Directory、証明書、MDM | 冗長化、時刻同期、証明書更新も設計する |
| ネットワーク分離 | VLAN、ACL、ファイアウォール、クライアント分離 | 接続後に到達できる範囲を最小化する |
| ログ | 認証成功・失敗、端末MAC、ユーザー名、AP、時刻 | WLC・RADIUS・DHCP・FWの時刻をNTPで合わせる |
| 移行 | WPA2からWPA3、PSKから802.1X | 検証SSID、段階移行、旧方式の停止日を決める |
安全性だけを最大化しても、業務端末が接続できなければ導入できません。 一方、互換性だけを優先すると古い方式が残り続けます。 対応端末、移行期限、例外端末の隔離をセットで設計します。
無線LAN接続障害の切り分け
「Wi-Fiにつながらない」という申告だけでは、どの段階で失敗したか分かりません。 接続処理を段階に分け、端末・AP/WLC・RADIUS・DHCPのログを同じ時刻で確認します。
| 症状 | 主な確認箇所 | 原因候補 |
|---|---|---|
| SSIDが表示されない | AP稼働、WLAN有効化、電波、周波数、端末対応 | SSID停止、AP障害、6GHz非対応、電波到達範囲外 |
| パスワードが違うと表示される | Personal方式、PSK、WPA2/WPA3対応、Transition Mode | PSK誤り、SAE非対応、保存済みプロファイル不整合 |
| Enterprise認証で失敗する | RADIUSログ、EAP方式、証明書、時刻、アカウント状態 | 証明書期限切れ、CA未信頼、ユーザー無効、RADIUS到達不可 |
| 接続済みだがIPアドレスを取得できない | VLAN、DHCP、DHCPリレー、スコープ残数 | 動的VLAN不一致、DHCP障害、アドレス枯渇 |
| IP取得後に通信できない | デフォルトゲートウェイ、DNS、ACL、FW、Web認証 | 認証後ACL、隔離VLAN、DNS障害、キャプティブポータル未完了 |
| 一部端末だけ切断される | ドライバー、PMF、ローミング、電波品質、端末証明書 | 古い無線NIC、WPA3/PMF互換性、証明書差分 |
Enterprise認証で優先して確認する5点
- 時刻が一致しているか証明書検証とログ突合のため、端末、WLC、RADIUS、認証基盤の時刻を確認します。
- RADIUSまで到達できるかWLCとRADIUS間のIP到達性、ポート、ファイアウォール、共有シークレットを確認します。
- EAP方式が一致しているかWLAN側、端末プロファイル、RADIUSポリシーでPEAPやEAP-TLSなどが一致しているか確認します。
- 証明書を信頼できるか有効期限、SAN/CN、発行CA、中間CA、失効状態、端末の信頼ストアを確認します。
- 認証後の属性が正しいかAccess-Accept後に返されたVLAN、ACL、セッションタイムアウトが想定どおりか確認します。
RADIUSログにAccess-Acceptがあるのに通信できない場合、認証そのものではなく、 4ウェイハンドシェイク、VLAN割り当て、DHCP、ACLの段階を確認します。
無線LANセキュリティでよくある勘違い
SSID非表示は管理画面上で見えにくくする程度で、通信を解析すればSSIDを把握できる場合があります。認証・暗号化の代わりにはなりません。
MACアドレスは通信上で確認でき、端末側で変更される可能性もあります。補助的な制御には使えても、802.1Xや証明書認証の代替にはなりません。
互換性のためTKIPが有効になっていないか、AES-CCMPが使われているかを確認します。
PSKはアカウントと独立しているため、本人が知っているPSKを変更しない限り接続できる可能性があります。
WPA3は主に端末とAP間を保護します。接続先までの通信にはHTTPS、SSH、VPNなどが必要です。
認証が成功した端末でも、必要なVLANや宛先だけへ到達できるようにACL、FW、セグメンテーションを設計します。
英語ドキュメントで使われる表現
| 英語表現 | 意味 | 調査時の読み方 |
|---|---|---|
| authentication failed | 認証に失敗した | 資格情報、EAP方式、証明書、RADIUSポリシーを確認 |
| 4-way handshake timeout | 4ウェイハンドシェイクがタイムアウトした | PSK、暗号方式、PMF、電波品質、端末互換性を確認 |
| invalid credentials | 資格情報が無効 | ユーザー名・パスワード、アカウント状態を確認 |
| certificate validation failed | 証明書検証に失敗した | 期限、CA、名前、失効、端末時刻を確認 |
| RADIUS server unreachable | RADIUSサーバーへ到達できない | 経路、ACL、UDPポート、共有シークレットを確認 |
| protected management frames required | PMFが必須 | 端末とWLANのPMF対応・設定差分を確認 |
| cipher suite mismatch | 暗号スイートが一致しない | CCMP、GCMP、TKIPなどの対応差分を確認 |
検索キーワード例
WPA3 SAE authentication failed、802.1X EAP-TLS certificate validation failed、4-way handshake timeout wireless
理解度チェック
解答を見る前に、認証・暗号化・鍵交換を分けて考えてください。
問題1．無線LANの「認証」の説明として最も適切なものはどれですか。
- 電波の強さを測定する
- 接続してよい利用者・端末かを確認する
- IPアドレスを自動配布する
- 通信経路をルーティングする
解答を見る
認証は、接続要求を出した利用者や端末が許可された相手かを確認する処理です。
問題2．新規の無線LANで使用を避けるべき組み合わせはどれですか。
- WPA3-Personal＋SAE
- WPA2-Enterprise＋802.1X＋AES-CCMP
- WPA＋TKIP
- WPA3-Enterprise＋802.1X
解答を見る
WPA/TKIPは旧方式です。新規設計ではWPA2/AES-CCMP以上を基本とし、対応端末ではWPA3を検討します。
問題3．企業で802.1X認証を使う主なメリットを2つ挙げてください。
解答を見る
- 利用者・端末単位で認証し、個別に失効できる
- 認証結果に応じてVLANやACLを動的に割り当てられる
- 共有PSKの一斉変更を減らせる
- 認証ログを利用者情報と対応付けやすい
問題4．4ウェイハンドシェイクの主な目的は何ですか。
解答を見る
同じPMKを持つことを確認し、データ暗号化に使うPTKやGTKを安全に確立することです。
問題5．RADIUSログにAccess-Acceptが記録されているのに端末がIPアドレスを取得できません。次に優先して確認するものはどれですか。
- WebサーバーのHTML
- VLAN割り当て、DHCP、DHCPリレー
- インターネット上のDNSだけ
- 端末の画面の明るさ
解答を見る
認証は成功しているため、接続後に収容されたVLANとDHCPの経路を確認します。
実践演習：オフィス無線LANの方式を選定する
次の要件を満たす無線LAN構成を考えてください。
要件
- 社員200名、管理対象PCとスマートフォンを利用する
- 社員の退職・異動時に、その利用者だけを無効化したい
- 業務端末はMDMで管理し、証明書を配布できる
- 来訪者にはインターネット接続だけを提供する
- プリンターと一部IoT機器は802.1Xに対応していない
- 社内端末、ゲスト、IoTは相互に自由通信させない
課題1．SSIDと認証方式を設計する
社員用、ゲスト用、IoT用に、認証方式とネットワーク分離方法を提案してください。
ゲスト用SSID：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
IoT用SSID：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
解答例を見る
- 社員用：WPA2/WPA3-Enterprise、802.1X、EAP-TLS、RADIUS。社員用VLANへ収容し、証明書単位で失効する。
- ゲスト用：OWEまたはゲスト用の安全な認証方式を使い、専用VLANへ収容。社内宛てをFWで拒否し、インターネットだけ許可する。
- IoT用：対応状況に応じて専用PSKまたはiPSKを検討し、専用VLANへ隔離。必要なサーバー・ポートだけACLで許可する。
課題2．接続障害を切り分ける
社員PCが社員用SSIDへ接続すると、RADIUSにはAccess-Acceptが記録されます。 しかし、PCは169.254.x.xのアドレスになり、社内システムへ接続できません。確認順序を書いてください。
解答例を見る
- RADIUSが返したVLAN属性とWLC側のVLANマッピングを確認する
- 対象VLANがAP/WLCからDHCPサーバーまで正しく通っているか確認する
- DHCPリレー、DHCPスコープ、アドレス残数を確認する
- DHCP Discover／Offerのログやパケットを確認する
Access-Acceptがあるため、ユーザー認証よりも認証後のVLAN・DHCP処理を優先します。
課題3．顧客へ説明する
「全社員で同じWi-Fiパスワードを使う方が簡単ではないですか」と質問されました。60秒程度で説明してください。
説明例を見る
全員で同じパスワードを使う方式は初期設定が簡単ですが、パスワードが漏れた場合に誰が利用したかを特定しにくく、 退職者や紛失端末だけを個別に停止できません。企業向けの802.1X認証を使えば、利用者や端末ごとに認証し、 問題のあるアカウントや証明書だけを無効化できます。運用開始後の管理と監査を考えると、Enterprise方式が適しています。
自分の言葉で説明する課題
後輩から「Wi-Fiの認証と暗号化は何が違うのですか」と質問されました。60秒程度で説明してください。
説明例を見る
認証は、無線LANへ接続しようとしている利用者や端末が許可された相手かを確認する処理です。 暗号化は、認証後に端末とアクセスポイントの間を流れるデータを、第三者が読めない形にする処理です。 Personal方式では共通パスフレーズやSAEを使い、Enterprise方式では802.1XとRADIUSで個別に認証します。 認証後は4ウェイハンドシェイクで通信に使う暗号鍵を確立します。
「接続相手を確認する」「通信内容を保護する」「鍵を確立する」の3段階を分けて説明できれば、この記事の到達目標を満たしています。
まとめ
- 認証は接続を許可する利用者・端末の確認、暗号化は通信内容の保護
- WEPとWPA/TKIPは新規設計で使用せず、WPA2/AES-CCMP以上を基本とする
- 対応端末ではWPA3を優先し、WPA3-PersonalではSAEを使用する
- Personalは共通鍵を使いやすく、Enterpriseは802.1XとRADIUSで個別認証できる
- 4ウェイハンドシェイクはPMKを基にPTK・GTKを確立する
- EAP-TLSは証明書運用が必要だが、管理対象端末の企業認証に適している
- WPA2・WPA3の保護範囲は主に端末とAP間であり、接続先まではHTTPSやVPNなどで保護する
- 障害時はSSID検出、認証、鍵交換、VLAN、DHCP、通信制御の順に段階を分ける
無線LANの設定を判断するときは、規格名だけでなく、誰を認証し、どの暗号を使い、鍵をどう管理し、接続後にどこまで通信させるかを確認します。
コメント