変更要約: 初版
5.5VPNと無線セキュリティ
公衆網上に安全な通信路を作るVPN（個人が拠点へつなぐリモートアクセスVPNと拠点間を結ぶサイト間VPN、機密性/完全性/認証を担うIPsec）、そして無線LANの暗号化規格WPA/WPA2/WPA3（WPA3のSAE・PMF必須）とパーソナル/エンタープライズの違い、WPA2 PSKのGUI設定を、要件に応じた方式選択として判断できるように学びます。
インターネットのような信頼できない公衆網を、あたかも専用線のように安全に使うのがVPNであり、無線LANは電波が届く範囲なら誰でも受信できてしまうため暗号化が生命線です。この節では、VPNの2つの形態（在宅勤務者を社内へつなぐか、拠点同士を丸ごとつなぐか）とIPsecの役割、そして無線暗号化規格の世代（WPA→WPA2→WPA3）の違いを理解し、「この要件ならどの方式か」を判断できるようにします。
5.5.1VPNの形態とIPsec
- リモートアクセスVPN＝在宅勤務者や出張者など個々の端末が、公衆網経由で社内ネットワークへ安全に接続する形態。端末にVPNクライアント（またはブラウザのSSL/TLS）を用い、ユーザ単位で認証してトンネルを張る。「人が社外から社内へ入る」ユースケース。
- サイト間VPN＝本社と支社のような拠点同士のネットワーク全体を、両端のルータ/ファイアウォール（VPNゲートウェイ）間のトンネルで恒常的に接続する形態。個々の端末に設定は不要で、ゲートウェイが暗号化を代行する。「ネットワークとネットワークを結ぶ」ユースケース。
- IPsec＝IP層で機密性（暗号化）・完全性（改ざん検知）・認証（送信元の正当性）・リプレイ防止を提供するプロトコル群。データを暗号化するESP、鍵交換を行うIKEなどから成り、トンネルモードで元のIPパケットごとカプセル化して拠点間を結ぶ。サイト間VPNの中核技術であり、リモートアクセスでも使われる。
5.5.2無線暗号化規格（WPA/WPA2/WPA3）
- WPA（初代）＝脆弱なWEPの後継として登場し暗号にTKIPを用いる過渡的規格。WPA2＝IEEE802.11iに基づき、強力なAES（CCMP）を必須とする長年の標準。WPA3＝最新世代で、パーソナルの鍵交換にSAE（Simultaneous Authentication of Equals）を採用し、オフライン辞書攻撃に耐性を持ち前方秘匿性（forward secrecy）を提供する。
- WPA3ではPMF（Protected Management Frames・管理フレーム保護）が必須となり、認証解除（deauth）などの管理フレームを偽装する攻撃を防ぐ。SAEはWPA2-Personalの事前共有鍵（PSK）と4ウェイハンドシェイクを置き換え、たとえ弱いパスフレーズでもキャプチャした通信からのオフライン総当たりを困難にする点が本質的な進歩。
- 各世代にはパーソナル（PSK/SAEによる事前共有鍵・家庭や小規模向け）とエンタープライズ（802.1X＋RADIUSでユーザ個別認証・組織向け）の2モードがある。エンタープライズは第2節のAAA（RADIUS）と連携し、利用者ごとに認証・失効を管理できる。
5.5.3WPA2 PSKのGUI設定（WLC）
- 無線LANコントローラ（WLC）のGUIでWLAN（SSID）を作成し、セキュリティにWPA2（AES）、認証方式にPSK（事前共有鍵）を選び、事前共有鍵（パスフレーズ）を入力するのが基本手順。パーソナル（PSK）なので外部認証サーバは不要だが、鍵は十分に長く複雑にし、漏洩時は全端末で変更が必要になる点に注意する。
- 組織で「利用者ごとに認証・失効を管理したい」「共有鍵の漏洩リスクを避けたい」場合は、PSKではなくエンタープライズ（802.1X＋RADIUS）を選ぶ。GUIではAAAサーバ（RADIUS）を登録し、WLANのセキュリティで802.1Xを指定する。要件が「小規模・手軽さ優先」ならPSK、「組織・個別管理」ならエンタープライズ、という判断になる。
「リモートアクセスVPN＝個々の端末が社内へ／サイト間VPN＝ゲートウェイ間で拠点網どうしを接続」「IPsec＝機密性/完全性/認証をIP層で提供（ESP・トンネルモード）」「WPA2＝AES必須／WPA3＝SAE＋PMF必須で辞書攻撃耐性」「パーソナル（PSK/SAE）とエンタープライズ（802.1X＋RADIUS）」が最頻出です。WPA2 PSKのGUI設定手順（WPA2/AES＋PSK＋事前共有鍵）も押さえましょう。
あなたは企業のネットワーク設計者で、2つの独立した要件に取り組んでいます。要件Aは「本社と新設支社のLANどうしを、専用線を敷かずインターネット経由で恒常的に安全接続し、両拠点の全端末が相互通信できるようにする」。要件Bは「本社の無線LANを刷新し、社員が持つ多数の端末を最も安全な方式で接続する」。要件Aでは、つなぐ対象が「個人の端末」ではなく「拠点ネットワーク全体」であり恒常接続が必要なので、リモートアクセスVPNではなくサイト間VPNが適切です。両拠点のルータ/ファイアウォールをVPNゲートウェイとし、IPsecのトンネルモードで拠点間を暗号化すれば、個々の端末に設定を入れずに全端末が相互通信でき、機密性・完全性・送信元認証も担保できます。要件Bでは、無線暗号化の世代選択が鍵です。WPA2でもAES必須で十分強力ですが、最新のWPA3はSAEにより弱いパスフレーズでもオフライン辞書攻撃に耐え、PMF必須で管理フレーム偽装攻撃も防ぐため「最も安全」という要件に最も合致します。さらに社員個別の認証・失効管理まで求めるなら、パーソナル（PSK/SAE）ではなくエンタープライズ（802.1X＋RADIUS）を選び、第2節のAAAと連携させます。判断の核心は、VPNは「個人が入る＝リモートアクセス／網どうしを結ぶ＝サイト間」で選び、無線は「最新かつ辞書攻撃耐性・管理フレーム保護＝WPA3」「個別管理が要る＝エンタープライズ」で選ぶという、要件から方式への写像です。
| 規格 | 暗号/鍵交換 | 特徴 |
|---|---|---|
| WPA | TKIP | WEPの後継の過渡的規格（現在は非推奨） |
| WPA2 | AES（CCMP）必須 | 802.11iに基づく長年の標準 |
| WPA3 | AES＋SAE（パーソナル） | SAEで辞書攻撃耐性・PMF必須・前方秘匿性 |
| パーソナル/エンタープライズ | PSK・SAE / 802.1X＋RADIUS | 小規模の事前共有鍵 / 組織の個別認証 |
ひっかけ： 「拠点ネットワーク全体を結ぶにはリモートアクセスVPNを使う」は誤りです——個々の端末を社内へつなぐのがリモートアクセスVPNで、拠点網どうしの恒常接続はサイト間VPN（ゲートウェイ間IPsecトンネル）です。また「WPA3はWPA2と同じPSK/4ウェイハンドシェイクを使う」も誤り＝WPA3パーソナルはSAEで置き換え、PMFを必須化してオフライン辞書攻撃や管理フレーム偽装に耐性を持たせています。「WPA2 PSKは外部RADIUSサーバが必須」も誤りで、PSK（パーソナル）は事前共有鍵のみで、RADIUSが要るのはエンタープライズ（802.1X）です。
5.5.4この節のまとめ
- リモートアクセスVPNは個々の端末を社内へ、サイト間VPNは拠点網どうしをゲートウェイ間で結ぶ。IPsecが機密性/完全性/認証をIP層で提供（ESP・トンネルモード）
- WPA2はAES必須、WPA3はSAEで辞書攻撃耐性＋PMF必須。無線は世代とパーソナル/エンタープライズを要件で選ぶ
- WPA2 PSKのGUI設定はWLAN作成→WPA2/AES＋PSK→事前共有鍵入力。個別認証・失効管理が要るならエンタープライズ（802.1X＋RADIUS）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 本社と新設支社のLANどうしを、専用線を敷かずインターネット経由で恒常的に安全接続し、両拠点の全端末が個別設定なしに相互通信できるようにしたい。最も適切な方式はどれか。
Q2. 無線LANを最も安全な規格で刷新したい。WPA3がWPA2に対して持つセキュリティ上の本質的な進歩として最も適切なものはどれか。
Q3. 小規模な事業所の無線LANを、外部認証サーバを用意せずWLCのGUIで手軽に安全化したい。最も適切な設定はどれか。