関連トピック

# VLAN とゲスト ネットワークを使用した AP デバイスの配備

ワイヤレス ユーザーのためのセキュリティとポリシーが必要とされる複雑なネットワーク環境の場合、ワイヤレス ネットワークで SSID の VLAN を有効化できます。VLAN を有効化すると、Firebox 上の各 SSID にワイヤレス セキュリティ ポリシーを適用し、専用 VLAN 上で SSID ごとにネットワーク トラフィックを分割することができます。

この配備シナリオでは、WatchGuard AP デバイスをネットワークに物理的に接続するために使用できる主要な方法が、次のとおり 2 つ存在します:

- VLAN インターフェイスとして構成された信頼済み、任意またはカスタム ネットワーク上の Firebox に、AP デバイスを直接接続します。Firebox で、AP デバイス管理用および各ワイヤレス SSID 用の VLAN を作成します。

- 関連する SSID 用の VLAN 情報で構成された管理対象ネットワーク スイッチに APデバイスを接続します。各 SSID 用のファイアウォール ポリシーで VLAN を使用できるように、Firebox 上に同じ VLAN を構成することもできます。

## AP 配備と Firebox ポリシー

特定の VLAN の SSID に接続するワイヤレス ユーザーは、同一 VLAN 上の他のリソースにアクセスできますが、信頼済み、カスタム、任意などの同一のセキュリティ ゾーンにある他のインターフェイスや VLAN に接続されたリソースに自動的にアクセスすることはできません。他のインターフェイスや VLAN へのトラフィックを許可する場合は、追加の Firebox ポリシーを作成する必要があります。

## カスタム インターフェイスおよびゲスト ワイヤレス セキュリティ

ゲスト ワイヤレス インターフェイスにはカスタム インターフェイス セキュリティ ゾーンを推奨します。既定ではカスタム インターフェイスはファイアウォール ポリシーに含まれていないため、ゲスト ワイヤレス ユーザーが信用済みまたは任意ネットワーク上のネットワークリソースにアクセスするのを防ぐセキュアな開始地点となります。アウトバウンド アクセスや他のインターフェイスやネットワークへのアクセスを含め、カスタム セキュリティ ゾーンのアクセスのポリシーを特別に作成する必要があります。

## 必要な VLAN の種類

AP デバイスの SSID で VLAN タグ付けを有効化するには、次の 2 種類の VLAN を作成する必要があります：

- SSID 用のタグ付き VLAN — AP デバイスは、タグ付き VLAN を使用して、各 SSID からのワイヤレス トラフィックを分割します。ワイヤレス ネットワーク内で構成する各 SSID に VLAN 1 つを作成する必要があります。
- AP デバイス管理用のタグなし VLAN — Firebox 上のゲートウェイ ワイヤレス コントローラは、WatchGuard AP デバイスの発見と管理に特別な管理接続を使用します。AP デバイスの管理接続用に使用するタグなしの VLAN を別途作成する必要があります。AP デバイス管理用 IP アドレスは、タグ付き VLAN の IP アドレスと同じにすることはできません。

AP デバイス構成で管理通信用 VLAN のタグ付けを有効にした場合、Firebox は AP デバイスへの管理接続にタグ付き VLAN を使用できます。タグなし VLAN も、まだペアリングされていない AP デバイスへの初期接続用に必要です。

VLAN を設定する方法は、APデバイスをネットワークに接続する場所に基づいて、次の 2 種類から選択できます:

- AP デバイスを Firebox に直接接続する — AP デバイスを Firebox に直接接続するには、AP デバイスの接続先の Firebox インターフェイスで VLAN を設定する必要があります。
  1. Firebox で、AP デバイス管理用 VLAN と、すべてのワイヤレス SSID 用の VLAN を作成します。
  2. 各 SSID の VLAN のタグ付きトラフィックを送受信するように Firebox インターフェイスを構成し、タグなしトラフィックを AP デバイス通信用 VLAN に送受信するよう構成します。
- APデバイスを管理されたスイッチに接続する — APデバイスを管理されたスイッチに接続するには、管理されたスイッチ インターフェイスと、スイッチが接続する Firebox インターフェイスの両方で VLAN を設定します。
  1. Firebox で、AP デバイス管理用 VLAN と、すべてのワイヤレス SSID 用の VLAN を作成します。
  2. 各 SSID の VLAN のタグ付きトラフィックを送受信するように Firebox インターフェイスを構成し、タグなしトラフィックを AP デバイス通信用 VLAN に送受信するよう構成します。
  3. 各 SSID の VLAN のタグ付きトラフィックを送受信するように Firebox と AP デバイスに接続するインターフェイスをスイッチ上で構成します。AP デバイス通信 VLAN に対してタグなしトラフィックを送受信するように、スイッチの同じインターフェイスを構成します。

WatchGuard AP デバイスで VLAN の使用を構成する場合やその方法の詳細については、次を参照してください：WatchGuard AP デバイス用に VLAN を構成する。

タグ付き VLAN とタグなしの VLAN をスイッチのインターフェイス上で有効化する方法の詳細は、スイッチのマニュアルを参照してください。

## Firebox で VLAN を作成する

この構成例では、次の 3 種類の VLAN を作成します:

信頼済みワイヤレス アクセス用の VLAN

- 説明 — プライマリ信頼済みワイヤレス ネットワークに使用します。
- VLAN ID — 10
- インターフェイスの種類 — 信頼済み
- IP アドレス — 10.0.10.1/24
- DHCP の範囲 — 10.0.10.2 ～10.0.10.20

ワイヤレス ゲスト アクセス用の VLAN

- 説明 — ゲスト ワイヤレス ネットワークに使用します。
- VLAN ID — 20
- インターフェイスの種類 — カスタム
- IP アドレス — 10.0.20.1/24
- DHCP の範囲 — 10.0.20.2 ～10.0.20.20

既定ではカスタム インターフェイスにはアクセス ポリシーがなく、ゲスト ワイヤレス ユーザーが信用済みまたは任意ネットワークにアクセスするのを防ぐセキュアな開始地点となるため、ゲスト ワイヤレス インターフェイスにはカスタム インターフェイス セキュリティ ゾーンを推奨します。

AP デバイス管理用のタグなし VLAN

- 説明 — ゲートウェイ ワイヤレス コントローラが AP デバイス発見・管理に使用します。
- VLAN ID — 30
- インターフェイスの種類 — 信頼済み
- IP アドレス — 10.0.30.1/24
- DHCP の範囲 — 10.0.30.2 ～10.0.30.20

### 信頼済みワイヤレス SSID 用の VLAN を作成する

Firebox で信頼済みワイヤレス SSID 用の VLAN を作成するには、Fireware Web UI から以下の手順を実行します：

1. ネットワーク > VLAN の順に選択します。
2. 追加 をクリックします。

1. 名前 テキスト ボックスに、VLAN の名前を入力します。
   この例では、VLAN10 と入力します。
2. 説明 テキスト ボックスに、VLAN の説明コメントを入力します。
   この例では、信頼済みワイヤレス ネットワーク用 VLAN と入力します。
3. VLAN ID テキスト ボックスに、VLAN ID 番号を入力します。
   この例では、10 と入力します。
4. セキュリティ ゾーン ドロップダウンリストから、この VLAN と SSID のセキュリティ ゾーンを選択します。
   この例では、信頼済み VLAN インターフェイス、信頼済み を選択します。
5. IP アドレス テキスト ボックスに、VLAN インターフェイスの IP アドレスをスラッシュ表記で入力します。
   この例では、10.0.10.1/24 と入力します。
6. ネットワーク タブで、DHCP サーバーを追加します。
7. 開始 IP と 終了 IP テキスト ボックスに、DHCP 範囲の IP アドレスを入力します。
   この VLAN では、10.0.10.2 と 10.0.10.20 を入力します。
8. VLAN インターフェイス用の VLAN タグ設定を選択します。この例では、信頼済みワイヤレス VLAN トラフィックをタグ付けします。
9. 保存 をクリックし、この VLAN 構成を保存します。

Firebox で信頼済みワイヤレス SSID 用の VLAN を作成するには、Policy Manager から以下の手順を実行します：

1. ネットワーク > 構成 の順に選択します。
2. VLAN タブを選択します。
3. 追加 をクリックします。

1. 名前 (エイリアス) テキスト ボックスに、VLAN の名前を入力します。
   この例では、VLAN10 と入力します。
2. 説明 テキスト ボックスに、VLAN の説明コメントを入力します。
   この例では、信頼済みワイヤレス ネットワーク用 VLAN と入力します。
3. VLAN ID テキスト ボックスに、VLAN ID 番号を入力します。
   この例では、10 と入力します。
4. セキュリティ ゾーン ドロップダウンリストから、この VLAN と SSID のセキュリティ ゾーンを選択します。
   この例では、信頼済み VLAN インターフェイス、信頼済み を選択します。
5. IP アドレス テキスト ボックスに、VLAN インターフェイスの IP アドレスをスラッシュ表記で入力します。
   この例では、10.0.10.1/24 と入力します。
6. DHCP サーバーを使用する を選択して 追加 をクリックします。
7. 開始 IP と 終了 IP テキスト ボックスに、DHCP 範囲の IP アドレスを入力します。
   この VLAN では、10.0.10.2 と 10.0.10.20 を入力します。
8. OK をクリックし、VLAN 構成を保存します。

### ゲスト ワイヤレス SSID 用の VLAN を作成する

Firebox で信頼済みワイヤレス SSID 用の VLAN を作成するには、Fireware Web UI から以下の手順を実行します：

1. ネットワーク > VLAN の順に選択します。
2. 追加 をクリックします。

1. 名前 テキスト ボックスに、VLAN の名前を入力します。
   この例では、VLAN20 と入力します。
2. 説明 テキスト ボックスに、VLAN の説明コメントを入力します。
   この例では、ゲスト ワイヤレス ネットワーク用 VLAN と入力します。
3. VLAN ID テキスト ボックスに、VLAN ID 番号を入力します。
   この例では、20 と入力します。
4. セキュリティ ゾーン ドロップダウンリストから、この VLAN と SSID のセキュリティ ゾーンを選択します。
   この例では、ゲスト ワイヤレス VLAN インターフェイス、カスタム を選択します。
5. IP アドレス テキスト ボックスに、VLAN インターフェイスの IP アドレスをスラッシュ表記で入力します。
   この VLAN では、10.0.10.1/24 と入力します。
6. ネットワーク タブで、DHCP サーバーを追加します。
7. 開始 IP と 終了 IP テキスト ボックスに、DHCP 範囲の IP アドレスを入力します。
   この VLAN では、10.0.20.2 と 10.0.20.20 を入力します。
8. VLAN インターフェイス用の VLAN タグ設定を選択します。この例では、ゲスト ワイヤレス VLAN トラフィックをタグ付けします。
9. 保存 をクリックし、この VLAN 構成を保存します。

Firebox でゲスト ワイヤレス SSID 用の VLAN を作成するには、Policy Manager から以下の手順を実行します：

1. ネットワーク > 構成 の順に選択します。
2. VLAN タブを選択します。
3. 追加 をクリックします。

1. 名前 (エイリアス) テキスト ボックスに、VLAN の名前を入力します。
   この例では、VLAN20 と入力します。
2. 説明 テキスト ボックスに、VLAN の説明コメントを入力します。
   この例では、ゲスト ワイヤレス ネットワーク用 VLAN と入力します。
3. VLAN ID テキスト ボックスに、VLAN ID 番号を入力します。
   この例では、20 と入力します。
4. セキュリティ ゾーン ドロップダウンリストから、この VLAN と SSID のセキュリティ ゾーンを選択します。

たとえば、RADIUS と入力します。カスタム インターフェイスのトラフィックを具体的に許可するポリシーを設定しない限り、カスタム インターフェイスのトラフィックは Firebox を経由することが許可されないため、カスタム ゾーンを推奨します。ゲスト ユーザーが信頼済みまたは任意ネットワークにアクセスできないよう徹底することは、ワイヤレス ゲスト ネットワークのセキュリティにとって重要なことです。

カスタム セキュリティ ゾーンを使用する場合は、ゲスト ワイヤレス ユーザーにアウトバウンド アクセスを許可するため、送信 ポリシーにゲスト ワイヤレス ネットワークを特別に追加する必要があります。

1. IP アドレス テキスト ボックスに、VLAN インターフェイスの IP アドレスをスラッシュ表記で入力します。
   この例では、10.0.20.1/24 と入力します。
2. DHCP サーバーを使用する を選択して 追加 をクリックします。
3. 開始 IP と 終了 IP テキスト ボックスに、DHCP 範囲の IP アドレスを入力します。
   この例では、10.0.20.2 と 10.0.20.20 を入力します。
4. OK をクリックし、VLAN 構成を保存します。

### AP デバイス管理用の VLAN を作成する

Firebox で AP デバイス管理接続用の VLAN を作成するには、Fireware Web UI から以下の手順を実行します：

1. ネットワーク > VLAN の順に選択します。
2. 追加 をクリックします。

1. 名前 テキスト ボックスに、VLAN の名前を入力します。
   この例では、[VLAN30] と入力します。
2. 説明 テキスト ボックスに、VLAN の説明コメントを入力します。
   この例では、AP 管理接続用 VLAN と入力します。
3. VLAN ID テキスト ボックスに、VLAN ID 番号を入力します。
   この例では、30 と入力します。
4. セキュリティ ゾーン ドロップダウンリストから、この VLAN と SSID のセキュリティ ゾーンを選択します。
   この例では、AP デバイス通信用 VLAN インターフェイス、信頼済み を選択します。
5. IP アドレス テキスト ボックスに、VLAN インターフェイスの IP アドレスをスラッシュ表記で入力します。
   この VLAN では、10.0.30.1/24 と入力します。
6. ネットワーク タブで、DHCP サーバーを追加します。
7. 開始 IP と 終了 IP テキスト ボックスに、DHCP 範囲の IP アドレスを入力します。
   この VLAN では、10.0.30.2 と 10.0.30.20 を入力します。
8. VLAN インターフェイス用の VLAN タグ設定を選択します。この例では、AP 通信 VLAN トラフィックにタグを付けません。
9. 保存 をクリックし、この VLAN 構成を保存します。

この例の VLAN 設定が完了すると、次のようになります:

Firebox で AP デバイス管理接続用の VLAN を作成するには、Policy Manager から以下の手順を実行します：

1. ネットワーク > 構成 の順に選択します。
2. VLAN タブを選択します。
3. 追加 をクリックします。

1. 名前 (エイリアス) テキスト ボックスに、VLAN の名前を入力します。
   この例では、VLAN30 と入力します。
2. 説明 テキスト ボックスに、VLAN の説明コメントを入力します。
   この例では、AP 管理接続用 VLAN と入力します。
3. VLAN ID テキスト ボックスに、VLAN ID 番号を入力します。
   この例では、30 と入力します。
4. セキュリティ ゾーン ドロップダウンリストから、この VLAN と SSID のセキュリティ ゾーンを選択します。
   この例では、AP デバイス通信用 VLAN インターフェイス、信頼済み を選択します。
5. IP アドレス テキスト ボックスに、VLAN インターフェイスの IP アドレスをスラッシュ表記で入力します。
   この例では、10.0.30.1/24 と入力します。
6. DHCP サーバーを使用する を選択して 追加 をクリックします。
7. 開始 IP と 終了 IP テキスト ボックスに、DHCP 範囲の IP アドレスを入力します。
   この例では、10.0.30.2 と 10.0.30.20 を入力します。
8. OK をクリックし、VLAN 構成を保存します。

この例の VLAN 設定が完了すると、次のようになります:

## ネットワーク インターフェイス (Policy Manager) に VLAN を追加する

Policy Manager を使用する場合は、これらの VLAN をネットワーク インターフェイスに追加し、タグ付けオプションを選択する必要があります。

ネットワーク インターフェイスに VLAN を追加するには、Policy Manager から以下の手順を実行します：

1. ネットワーク > 構成 の順に選択します。
2. インターフェイス タブを選択します。
3. VLAN で使用するネットワーク インターフェイスを選択して、構成 をクリックします。
   選択されたインターフェイスのインターフェイス設定ダイアログ ボックスが表示されます。

1. インターフェイスの名前 テキスト ボックスに、この VLAN インターフェイスの名前を入力します。
2. インターフェースの説明 テキスト ボックスに、この VLAN インターフェイスの説明を入力します。
3. インターフェイスの種類ドロップダウン リストから、VLAN を選択します。
4. ネットワーク インターフェイスのタグ付き VLAN データを受信するには、選択した VLAN でタグ付きトラフィックを送受信する チェック ボックスを選択します。
5. このインターフェイスに含める各タグ付き VLAN の メンバー チェック ボックスを選択します。
   この例では、VLAN10 と VLAN20 を選択します。
   SSID 用の VLAN のみがタグ付きになります。AP デバイス通信用の VLAN は、タグなしのままにする必要があります。
6. タグなしデータを受信するようにインターフェイスを構成するには、ダイアログ ボックスの下部にある 選択した VLAN でのタグなしトラフィックを送受信する チェック ボックスを選択します。
   AP デバイス通信用の VLAN でタグなしデータの送受信を行うには、このオプションを選択する必要があります。
7. ドロップダウン リストから、AP デバイス通信用 VLAN、VLAN30 をタグなし VLAN に選択します。
8. OK をクリックします。
9. 構成ファイルを Firebox に保存します。

## ゲートウェイ ワイヤレス コントローラに SSID を追加する

この配備例で、ゲートウェイ ワイヤレス コントローラに SSID を追加するには、Fireware Web UI から以下の手順を実行します：

1. ネットワーク > ゲートウェイ ワイヤレス コントローラ の順に選択します。
2. ゲートウェイ ワイヤレス コントローラを有効化する チェックボックスを選択します。
3. SSID タブで、追加 をクリックします。

1. ネットワーク名 (SSID) テキスト ボックスに、信頼済み と入力します。
2. VLAN タグを有効化する チェックボックスを選択します。
   これが必要な理由は、この SSID 用 VLAN がタグ付きでなければならないためです。
3. VLAN ID テキスト ボックスで、10 と入力するか、これを選択します。
4. アクセスポイント タブで、この SSID を使用したい AP デバイスを選択します。
5. セキュリティ タブを選択します。
6. この SSID のワイヤレス暗号化のセキュリティ設定を構成します。
7. 保存 をクリックし、SSID 構成を保存します。
8. SSID タブで、追加 をクリックします。
   設定タブが選択された状態で SSID の追加ダイアログ ボックスが表示されます。

1. ネットワーク名 (SSID) テキスト ボックスに、Guest と入力します。
2. VLAN タグを有効化する チェックボックスを選択します。
   これが必要な理由は、この SSID 用 VLAN がタグ付きでなければならないためです。
3. VLAN ID テキスト ボックスで、20 と入力するか選択します。
4. アクセスポイント タブで、この SSID を使用したい AP デバイスを選択します。
5. セキュリティ タブを選択します。
6. この SSID のワイヤレス暗号化のセキュリティ設定を構成します。
7. 保存 をクリックし、SSID 構成を保存します。

この配備例でゲートウェイ ワイヤレス コントローラに SSID を追加するには、Policy Manager から以下の手順を実行します：

1. ネットワーク > ゲートウェイ ワイヤレス コントローラ の順に選択します。
   ゲートウェイ ワイヤレス コントローラダイアログ ボックスが、SSID タブを選択した状態で表示されます。
2. ゲートウェイ ワイヤレス コントローラを有効化する チェックボックスを選択します。
3. SSID タブで、追加 をクリックします。
   設定タブが選択された状態で SSID の追加ダイアログ ボックスが表示されます。

1. ネットワーク名 (SSID) テキスト ボックスに、信頼済み と入力します。
2. VLAN タグを有効化する チェックボックスを選択します。
   これが必要な理由は、この SSID 用 VLAN がタグ付きでなければならないためです。
3. VLAN ID テキスト ボックスで、10 と入力するか、これを選択します。
4. アクセス ポイント タブで、この SSID を使用したい AP デバイスを、利用可能 リストから メンバー リストに移動します。
5. セキュリティ タブを選択します。
6. この SSID のワイヤレス暗号化のセキュリティ設定を構成します。
7. OK をクリックし、SSID 構成を保存します。
   ゲートウェイ ワイヤレス コントローラ ダイアログ ボックスが、SSID リスト内の信頼済み SSID と表示されます。
8. SSID タブで、追加 をクリックします。
   設定タブが選択された状態で SSID の追加ダイアログ ボックスが表示されます。

1. ネットワーク名 (SSID) テキスト ボックスに、Guest と入力します。
2. VLAN タグを有効化する チェックボックスを選択します。
   これが必要な理由は、この SSID 用 VLAN がタグ付きでなければならないためです。
3. VLAN ID テキスト ボックスで、20 と入力するか選択します。
4. アクセス ポイント タブで、この SSID を使用したい AP デバイスを、利用可能 リストから メンバー リストに移動します。
5. セキュリティ タブを選択します。
6. この SSID のワイヤレス暗号化のセキュリティ設定を構成します。
7. OK をクリックします。
   ゲートウェイ ワイヤレス コントローラ ダイアログ ボックスが、SSID リスト内の信頼済み SSID とゲスト SSID と共に表示されます。

1. OK をクリックし、ゲートウェイ ワイヤレス コントローラの設定を保存します。
2. 構成ファイルを Firebox に保存します。

SSID を構成した後に、AP デバイスを Firebox とペアリングし、この SSID を各 AP デバイスの無線に割り当てることができます。

#### 関連情報

AP デバイス構成について

ゲートウェイ ワイヤレス コントローラで AP デバイスを構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索