関連トピック

# WatchGuard AP デバイス用に VLAN を構成する

WatchGuard AP デバイスの SSID で VLAN タグ付けを有効化した場合、または AP デバイスの管理通信用 VLAN のタグ付けを有効にした場合、AP デバイスが接続するネットワークでも VLAN を有効にする必要があります。

既定では、AP デバイスへの管理通信用トラフィックにはタグは付いていません。そのため、以下の説明に従って、管理用トラフィックにタグなし VLAN を追加することをお勧めします。管理用トラフィックにタグ付き VLAN を使用する方が望ましい場合は、管理用トラフィックのタグ付けを AP デバイスが行うように構成すること、アクセスポイント構成の管理通信用 VLAN ID が、管理用トラフィックに使用する VLAN に設定されていることを確認します。

タグ付き管理通信用 VLAN は、は、AP デバイスが Firebox のゲートウェイ ワイヤレス コントローラにペアリングされてから使用します。ペアリングされていない AP デバイスは、タグ付き VLAN トラフィックに応答できません。

## SSID で VLAN のタグ付けを有効化すべき場合

AP の SSID で VLAN のタグ付けを有効化した方がいい理由は 2 つあります。

同じネットワークに接続する SSID に、異なるファイアウォール ポリシーを構成するには

AP デバイスに複数の SSID を構成し、各 SSID に異なるファイアウォール ポリシーを設定したい場合、SSID で VLAN のタグ付けを有効化してから、各 SSID に固有のポリシーで、その SSID に関連付けられた VLAN ID を使用することができます。たとえば、各 SSID に異なる HTTP パケット フィルタ ポリシーを追加し、その SSID に関連付けられた VLAN を指定することができます。

同じ物理ネットワークのトラフィックを個別の論理ネットワークに分割するには

同じ物理ネットワークに接続された APデバイスが複数存在する場合、VLAN タグにより、各 SSID に接続されたワイヤレス クライアントについて、個別にトラフィックを診断することができます。たとえば、ネットワーク分析を実行するときに、VLAN タグを使用して SSID に関連する VLAN ID のトラフィックを確認することができます。

または、信頼済みネットワークについて、すべての AP デバイスに 1 つの SSID を設定し、カスタム/任意ネットワークには別の SSID を設定することもできます。信頼済みネットワークと任意/カスタム ネットワークに接続するワイヤレス クライアントのトラフィックを分割するために、信頼済み VLAN と任意/カスタム VLAN を設定することができます。カスタム ネットワークが任意ネットワークよりセキュアな理由は、任意ネットワークに信頼済みリソースが存在する場合に、信頼のないワイヤレス クライアントをそのネットワークにアクセスさせたくないためです。

## Firebox で VLAN を構成する

AP デバイスに設定された SSID で VLAN のタグ付けを有効化するには、AP デバイスの接続先となる Firebox のインターフェイスで VLAN を構成する必要があります。

AP デバイスの接続先を意図する Firebox のインターフェイスで、インターフェイスの種類 を VLAN に設定します。次に、AP デバイスで使用する VLAN を構成します。

- VLAN インターフェイスにタグ付きトラフィックを送信するために各 SSID が使用する VLAN を構成します。
- AP デバイスへの管理接続用の VLAN を構成し、VLAN インターフェイスにタグなしトラフィックが送信されるようにします。
- 各 VLAN の DHCP サーバー または DHCP リレー を有効化します。
  - AP デバイスは、管理通信用の VLAN 上の DHCP サーバーから IP アドレスを取得します。
  - ワイヤレス クライアントが SSID に接続すると、その SSID の VLAN 上の DHCP サーバーから IP アドレスを取得します。

たとえば、VLAN タグを使用する SSID を 2 つ作成したい場合、VLAN を 3 つ作成し、その VLAN ID を 10、20、30 とします。

- 信頼済みゾーンの VLAN ID 10 — 信頼済みネットワークへのワイヤレス接続用の SSID に使用
- カスタムまたは任意ゾーンの VLAN ID 20 — インターネットへのワイヤレス ゲスト アクセス用の SSID に使用 カスタム ゾーンの方がセキュアです。
- 信頼済みゾーンの VLAN ID 30 — AP デバイスへの管理通信用

VLAN を作成する方法の詳細については、次を参照してください：新しい VLAN を定義する。

VLAN を作成した後、 VLAN インターフェイスとして AP デバイスが接続する Firebox インターフェイスを構成します。

AP デバイスが接続するインターフェイス設定を構成するには、Policy Manager から以下の手順を実行します：

1. AP デバイスが接続するインターフェイスを編集します。
2. インターフェイスの種類ドロップダウン リストから、VLAN を選択します。
3. SSID の 各 VLAN に対してタグ付トラフィックを送受信するように、そのインターフェイスを構成します。

1. AP デバイス への管理通信用 VLAN に対してタグなしトラフィックを送受信するように、そのインターフェイスを構成します。

VLAN インターフェイスの構成方法の詳細については、次を参照してください：インターフェイスを VLAN に割り当てる。

## 信頼済みまたはオプショナル インターフェイスを VLAN インターフェイスに変更する

ワイヤレス VLAN 構成に対応するため、場合によってはプライマリ信頼済みまたは任意の有線ネットワークインターフェイスを VLAN インターフェイスに変更することをお勧めします。

例えば、信頼済みの有線ネットワークインターフェイスとは異なるサブネット上の信頼済みワイヤレスインターフェイス上に、信頼済みのワイヤレスインターフェイスワイヤレス AP デバイスを最初に構成している場合があります。これは、ワイヤレス クライアントが信頼済みの優先 LAN 上のサーバーやプリンターなどのデバイスに接続できないことを意味します。

信頼済みまたは任意の有線ネットワークインターフェイスを VLAN に変更してから VLAN をタグなしとして既存の有線ネットワークに関連付け、その後ワイヤレス VLAN インターフェイスで同じ VLAN をタグ付き VLAN として割り当てます。ワイヤレス アクセスポイントを直接 Firebox に接続しない限り、VLAN 対応スイッチが必要です。

Policy Manager を使用してこのタスクを実行することをお勧めします。Fireware Web UI は、手順中に一時的に無効にする必要がある信頼済みインターフェイスへの管理接続が必要です。

森羅済みまたはオプショナル インターフェイスを VLAN インターフェイスに変更するには、Policy Manager から以下の手順を実行します：

1. WatchGuard System Manager で Firebox デバイスに接続します。
2. Policy Manager を開きます。
3. ネットワーク> 構成 の順に移動して、VLAN に変更したい信頼済みまたはオプショナル インターフェイスを構成します。
4. IP アドレス、DHCP 設定、および IPv6、セカンダリ、MACアクセス制御、詳細タブの設定を含む、このデバイスのすべての設定を控えておきます。
5. インターフェイスの種類ドロップダウン リストから VLAN を選択して OK をクリックします。
6. 選択したVLAN へのタグ付きトラフィックを送受信する チェック ボックスをクリックします。
7. 新しい VLAN をクリックします。
8. ステップ 4 にある通り、信頼済みインターフェイスの構成と同じ IP アドレス およびその他の設定で、新しい VLAN インターフェイスプロファイルを同様に構成します。

- 新しい VLAN の 名前 または エイリアス を入力します。
- (任意) 説明 テキスト ボックスに、ブリッジの説明を入力します。
- セキュリティ ゾーン リストから、信頼済み を選択します。
- VLAN のスラッシュ表記に IP アドレス を入力します。信頼済み または オプショナル インターフェイスの構成と同様に設定されていることを確認します。
- VLAN の IP アドレス配布の DHCP 設定を構成します。
- OK をクリックし、VLAN インターフェイス構成を保存します。

1. (任意)。インターフェイスでタグ付き VLAN を使用する場合は、インターフェイスで使用したいワイヤレス VLAN およびその他の VLAN の メンバー チェックボックスを選択します。
   タグ付き VLAN を持たない場合、この手順をスキップします。
2. OK をクリックし、インターフェイス構成を保存します。

## 管理されているスイッチで VLAN を構成する

VLAN タグを有効化し、APデバイスを管理されているスイッチに接続したい場合、そのスイッチでも VLAN を構成する必要があります。スイッチは 802.1Q VLAN のタグ付けをサポートする必要があります。

対象となるスイッチで、次の操作を行います:

1. Firebox 上で構成した VLAN と同じ ID で VLAN を追加します。
2. Firebox と AP デバイスに接続するスイッチ インターフェイスを構成し、各 SSID に割り当てられた VLAN のタグ付きトラフィックを送受信するようにします。
3. Firebox と AP デバイスに接続するスイッチ インターフェイスを構成し、AP デバイス管理用トラフィック (タグ付きまたはタグなし) を送受信するようにします。
   - AP デバイス構成で 管理通信用 VLAN のタグ付けが有効になっていない場合は、AP デバイスの管理に使用する VLAN のタグなしトラフィックを送受信するようスイッチを構成します。
   - AP デバイスの管理通信用 VLAN のタグ付けが有効になっている場合は、AP デバイス管理に使用する VLAN のタグ付きトラフィックを送受信するようにスイッチを構成します。

ご使用のスイッチの VLAN で有効化と構成の行う方法の説明は、スイッチのマニュアルを参照してください。

AP デバイスの SSIDs で VLAN のタグ付けを有効化した場合は、802.1Q の VLAN タグ付けをサポートしないスイッチに AP デバイスを接続しないでください。

#### 関連情報

WatchGuard AP デバイス配備の概要

シンプルなローミングでの AP デバイスの配備

アクセスポイント Web UI 接続のために HTTPS ポリシーを追加する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索