Meraki MRとOneGateによる無線の証明書認証
社内Wi-Fiの接続制限に、MACアドレス制限を利用している方も多いのではないでしょうか。
MACアドレス制限は導入しやすい反面、MACアドレスを偽装し、なりすまして接続されるリスクがあります。
また、端末ごとのMACアドレス登録や、ランダムMACアドレス機能への対応など、運用面でも手間がかかります。
そこで選択肢となるのが、端末に配布したクライアント証明書を使って認証する “証明書認証” です。
証明書認証では、証明書がインストールされた端末のみにアクセスを制限できるため、 なりすましによる不正接続のリスクを低減できます。
今回は、Meraki MRとOneGate EPS-edgeを組み合わせて、無線の証明書認証を検証していきます！
１． EPS-edgeの設定
はじめに、EPS-edgeをセットアップします。
機器に記載された [REG] の値を控え、OneGateの管理画面に登録します。
EPS-edgeが登録できました。
[接続待ち] となっているため、EPS-edgeの電源を入れDHCP環境のあるネットワークに接続します。
[オンライン] になった後、EPS-edgeのIPアドレスを再設定します。
そのまま、EPS-edgeにRADIUSクライアントとの認証設定を行います。
[RADIUSクライアントシークレット] は、MRに設定するRADIUSサーバーの [secret] と同じ値にします。
EPS-edgeへ設定を反映させます。
反映できました。
EPS-edgeは機器冗長することが多いため、名前をメイン機に変更し、設置拠点のタグ付けを行いました。
これで、EPS-edge側の設定は完了です。
２． MRの設定
続いて、EPS-edgeと連携するMRを設定します。
今回はすでにオンラインとなっているMRに対して、証明書認証のSSIDを新しく作成します。
エンタープライズ認証を選択し、RADIUSサーバーとしてEPS-edgeを設定します。
RADIUSサーバーの [secret] は、OneGate管理画面の [RADIUSクライアントシークレット] と同じ値にします。
これで、MR側の設定は完了です。
３． 無線クライアントに証明書・SSID設定を配布
次に、無線に接続する端末へクライアント証明書をインストールします。
今回はSoliton KeyManagerを利用して、証明書と一緒にWi-Fi設定プロファイルも配布します。
まずは、証明書発行プロファイルを作成します。
Wi-Fi設定プロファイルを追加します。
これで、プロファイル設定は完了です。
作成したプロファイルを利用して、ユーザーにクライアント証明書とWi-Fi設定プロファイルを発行・配布します。
これで配布は完了です。
Soliton keyManagerをインストールした端末で、届いたメールをクリックします。
これで、クライアント証明書のインストールが完了しました。
Wi-Fi設定を確認したところ、一緒にWi-Fi設定プロファイルも保存されていました。
これでユーザー端末のセットアップも完了です。
４． SSIDへ接続
それでは、接続検証を行います！
まずは、証明書・Wi-Fi設定プロファイルをインストールしていない端末から接続します。
Enterprise認証のため、ユーザー名とパスワードが聞かれます。
試しにOneGateに登録しているユーザーで入力しましたが、エラーが表示されSSIDに接続できませんでした。
次に、証明書とWi-Fi設定プロファイルをインストールした端末から接続します。
既にWi-Fi設定が保存されているので、 表示されているSSIDの [接続] もしくは [自動的に接続] をクリックします。
接続できました！
初回接続はワンクリックが必要ですが、自動接続を有効にしていれば、次からはユーザー操作なしで接続できます。
最後に、EPS-edgeとMRのログを確認します。
EPS-edgeでユーザーがRADIUS認証に成功したログが確認できました。
MRでも、ユーザーが無線接続に成功したログが確認できました。
これで、無線の証明書認証が行えました。
以上で検証は完了です！
まとめ
今回の検証では、Meraki MRとOneGateを組み合わせて、証明書認証によるWi-Fi接続を確認できました。
認証方法を見直すことで、なりすましや、許可していない私物端末の接続によるリスクを低減できます。
証明書認証は導入・運用が大変というイメージがありますが、OneGateでは証明書とWi-Fi設定をまとめて配布できます。
また、EPS-edgeもゼロコンフィグで導入でき、本検証ではスムーズにセキュアな無線環境を構築できました。
不正アクセス対策の一つとして、身近な社内Wi-Fiから証明書認証を取り入れ、セキュリティを強化してみてはいかがでしょうか。
ご相談等がございましたら、弊社ホームページの お問い合わせフォーム または 弊社営業担当 までお気軽にご連絡ください。
それではまた次回！
明日も Ping 打ってみな！飛ぶぞ！🚀
◆この記事も読まれています↓
