関連トピック

# AP クライアント隔離について

AP デバイスの SSID を構成するときに、オプションでクライアント隔離を有効化することができます。クライアント隔離設定により、ワイヤレス クライアントが AP デバイスを介して相互に直接通信できるかどうかを制御することができます。クライアント隔離によって、同じ無線上で同じ SSID に接続するワイヤレス クライアント間に直接トラフィックが発生するのを防止します。

異なる AP デバイス上で同じ SSID を使用するワイヤレス クライアント間のトラフィックを防止するためにクライアント隔離を使用することもできますが、それには追加構成として、後述のセクションで説明する VLAN が必要となります。

相互信頼性のないワイヤレス クライアントにワイヤレス ゲスト ネットワークを提供する各 AP デバイスでは、その SSID でクライアント隔離を有効化しておくことをお勧めします。

## AP デバイス 1 台のクライアント隔離

1 台の AP デバイスでクライアント隔離を有効化するには、SSID 設定で クライアント隔離を有効化する チェックボックスを選択します。

詳細については、次を参照してください：WatchGuard AP デバイス SSID を構成する。

## 複数の AP デバイスのクライアント隔離

1 台の AP デバイスでクライアント隔離を有効化しても、そのデバイスが別の AP デバイスと同じ SSID を使用していれば、他の AP デバイスに接続しているワイヤレス クライアント間のトラフィックは引き続き通過することができます。複数台の AP デバイスが使用する SSID にクライアント隔離を効果的に実装するには、AP デバイス間のすべてのトラフィックが Firebox を通過するようにする必要もあります。そうすることで、Firebox は VLAN を使って、クライアント隔離設定をサポートするポリシーをトラフィックに適用します。

VLAN とクライアント隔離を併用することで、異なる AP デバイスに接続しながら同じ SSID を使用するワイヤレス クライアント間の直接トラフィックを防止することができます。

複数台の AP デバイスにクライアント隔離を実装するには、以下を実行する必要があります：

1. VLAN を追加し、VLAN 内のトラフィックにファイアウォール ポリシーを適用するように構成する。

任意の AP デバイスの SSID に接続するワイヤレス クライアントに、必ず同じ IP アドレス プールが使用されるようにするには、VLAN を構成する必要があります。ワイヤレス ローミングが正しく機能するには、すべての SSID が同じネットワーク上にある必要があります。VLAN 内のトラフィックにポリシーが適用されるように VLAN を構成すると、VLAN トラフィックが 1 つのインターフェイスから別のインターフェイス上の同じ VLAN に向かうときに、Firebox はその VLAN トラフィックにファイアウォール ポリシーを適用します。

1. 各 AP デバイスでは、1 つの VLAN インターフェイスがタグなし VLAN トラフィックを管理するように構成します。
   または、AP デバイスの構成で管理通信用 VLAN のタグ付けを有効化して、管理に使用する VLAN ID を選択します。

1. SSID 設定の構成で、クライアント隔離を有効化します。

VLAN インターフェイスがタグなしトラフィックを管理するように構成されている場合は、SSID 設定で VLAN のタグ付けを有効化する必要はありません。

1. 各 AP デバイスを Firebox 上の VLAN インターフェイスに直接接続します。

これにより、AP デバイス間のトラフィックはすべて Firebox を通過することになります。

既定のファイアウォールポリシーにより、2 つのインターフェイスが異なる場合は AP デバイス間のトラフィックは自動的に拒否されるので、そのトラフィックを明示的に拒否するポリシーを作成する必要はありません。たとえば、任意セキュリティゾーンに VLAN を構成した場合、2 つのインターフェイス間のパケットは、構成されているどのファイアウォール ポリシーにも一致しないので、Firebox はそれらを未処理のパケットとして自動的に拒否します。AP デバイス間のトラフィックを回避するには、任意ゾーンから任意ゾーンへのトラフィックを許可するポリシーを追加しないようにしてください。

SSID で VLAN のタグ付けを有効にして、VLAN インターフェイスがタグ付きトラフィックを管理するように構成することも可能ですが、クライアント隔離にはVLAN のタグ付けは必要ではありません。VLAN のタグ付けを有効にする場合は、2 つの VLAN (タグ付き SSID トラフィックと管理通信用のタグなしトラフィックに 1 つずつ) を構成する必要があります。または、VLAN を 1 つ有効にして、AP が AP デバイス構成でその VLAN に管理通信用 VLAN のタグ付けを有効にすることもできます。
詳細については、次を参照してください：WatchGuard AP デバイス用に VLAN を構成する。

## 例 — クライアント隔離およびローミング

次の例では、同じ SSID を使用する 2 台の AP100 デバイスで構成されたワイヤレス ゲスト ネットワークに、クライアント隔離を実装する手順を示します。

### ステップ 1 — VLAN を構成する

まず、AP デバイスに VLAN インターフェイスと VLAN を構成します。

VLAN を構成するには、Fireware Web UI から以下の手順を実行します：

1. 2 つの Firebox インターフェイスを VLAN インターフェイスとして構成します。
   たとえば、2 つの VLAN インターフェイスを以下のように設定します。
   - インターフェイスの名前 — AP100-1 と AP100-2
   - インターフェイスの種類 — VLAN
2. SSID へのトラフィックに使用する VLAN を作成します。
   たとえば、VLAN を以下のように設定します。
   - 名前 — AP100-Guest
   - VLAN ID — 20
   - セキュリティ ゾーン — 任意
   - IP アドレス — 10.0.20.1/24
   - VLAN のタグ設定 — VLAN インターフェイス AP100-1 と AP100-2 のタグなしトラフィック
   - VLAN 内トラフィックにファイアウォール ポリシーを適用する — 有効化済み
   - ネットワーク — DHCP サーバー アドレス プール ：10.0.20.10 から 10.0.20.100

VLAN を構成するには、Policy Manager から以下の手順を実行します：

1. VLAN を作成し、SSID へのトラフィックに VLAN のタグ付けを適用します。
   たとえば、VLAN のプロパティを以下のように設定します。
   - 名前 (エイリアス) — AP100-Guest
   - VLAN ID — 20
   - セキュリティ ゾーン — 任意
   - IP アドレス — 10.0.20.1/24
   - DHCP サーバー アドレス プール — 10.0.20.10 から 10.0.20.100
   - VLAN 内トラフィックにファイアウォール ポリシーを適用する — 有効化済み

2. 最初の AP デバイスの VLAN インターフェイスを構成します。
   たとえば、最初の VLAN インターフェイスのプロパティを以下のように設定します。
   - インターフェイスの名前 — AP100-1
   - インターフェイスの種類 — VLAN
   - VLAN AP100-Guest (10.0.20.1/24) にタグなしトラフィックを送受信する

3. 2 番目の AP デバイスの VLAN インターフェイスを構成します。
   たとえば、2 番目の VLAN インターフェイスのプロパティを以下のように設定します。
   - インターフェイス名 — AP100-2
   - インターフェイスの種類 — VLAN
   - VLAN AP100-Guest (10.0.20.1/24) にタグなしトラフィックを送受信する

VLAN の構成方法の詳細については、次を参照してください：新しい VLAN を定義する。

### ステップ 2 — SSID を構成する

次に、SSID 設定でクライアント隔離を有効化します。

クライアント隔離を有効化するには、Fireware Web UI から以下の手順を実行します：

1. ワイヤレス ゲスト ネットワークの SSID を追加または編集します。
2. クライアント隔離を有効化する チェックボックスを選択します。

この例では AP-Guest の VLAN はタグなし VLAN なので、SSID 設定で VLAN のタグ付けを有効にする必要はありません。

クライアント隔離を有効化するには、Policy Manager から以下の手順を実行します：

1. ワイヤレス ゲスト ネットワークの SSID を追加または編集します。
2. クライアント隔離を有効化する チェックボックスを選択します。

この例では AP-Guest の VLAN はタグなし VLAN なので、SSID 設定で VLAN のタグ付けを有効にする必要はありません。

SSID 構成の詳細については、次を参照してください：WatchGuard AP デバイス SSID を構成する。

### ステップ 3 — AP デバイスを VLAN インターフェイスに接続する

VLAN インターフェイスと SSID 設定を構成した後、以下を実行します。

1. AP デバイスを VLAN インターフェイスに接続します。
2. 各 AP デバイスを検出してペアリングします。
3. いずれの AP デバイスも、構成済みの SSID を使用するように構成します。

検出とペアリングの詳細については、次を参照してください：WatchGuard AP デバイスの検出およびペアリング。

### この例について

この構成例では、AP100-Guest SSID に接続するワイヤレス クライアント間にワイヤレス トラフィックが直接送られるのを回避します。この構成の 2 つの要素は以下のとおりです。

- クライアント隔離 — SSID のクライアント隔離設定によって、同じ無線に接続するワイヤレス クライアントが直接相互通信できないようにします。
- VLAN — ファイアウォールと VLAN 構成によって、異なる AP デバイスの AP100-Guest SSID に接続するワイヤレス クライアント間をトラフィックが通過できないようにします。

この例では、2 台の AP デバイスにクライアント隔離を構成する方法を示します。3 台目の AP デバイスを追加するには、定義済みの VLAN に VLAN インターフェイスをもう 1 つ追加し、その VLAN インターフェイスがタグなし VLAN トラフィックを処理するように構成します。次に、その VLAN インターフェイスに AP デバイスを接続し、定義済み SSID を使用するようにデバイスを構成します。

#### 関連情報

WatchGuard AP デバイス SSID を構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索