2.4セキュアアクセスとSoHo無線

ネットワークへの「入口」を守るには、通信を選別する仕組みと、正しい相手だけを通す仕組みが要ります。この節では、通信を許可/拒否するACL、状態を追って制御するファイアウォール、離れた拠点や在宅を安全につなぐVPN、接続前に端末の健全性を確かめるNACというセキュアアクセスの基本を学びます。あわせて、小規模オフィスや家庭（SoHo）の無線を守る要点として、暗号化標準（WPA2/WPA3）・MACフィルタリング・SSID（無線名）の扱いを取り上げます。ここで大切なのは、それぞれが「本命の守りなのか、あくまで補助なのか」を見分けることです。補助的な対策を主たる守りと勘違いすると、危険な誤解につながります。

2.4.1セキュアアクセス：ACL・ファイアウォール・VPN・NAC

• ACL（アクセス制御リスト）＝送信元/宛先のアドレスやポートなどの条件で通信を許可（permit）/拒否（deny）するルールの一覧。ルータやスイッチで「誰がどこへ通ってよいか」を選別する、素朴だが基本の関門。
• ファイアウォール＝ネットワークの境界で通信を検査し、方針に反する通信を遮断する装置/機能。とくにステートフルなファイアウォールは、確立済みの接続の状態を追跡し、内部から始めた通信の戻りだけを通すなど、ACL単体より賢く出入りを制御できる。
• VPN（仮想プライベートネットワーク）＝インターネットのような公衆網の上に暗号化されたトンネルを作り、離れた拠点間や在宅勤務者を安全につなぐ技術（IPsecやTLSを使う）。経路を暗号化するので、途中で盗聴されても内容を読まれにくい。
• NAC（ネットワークアクセス制御）＝端末がネットワークにつなぐ前に、その姿勢（OSやパッチの状態、ウイルス対策の有無など）を確認し、条件を満たさない端末は接続を制限/隔離する仕組み。「入る前に健康診断」というイメージ。

2.4.2SoHo無線を守る：暗号化標準・SSID・MACフィルタリング

• 暗号化標準＝無線を守る本命。現在はWPA3が最も強く、次いでWPA2。古いWEPやWPA（無印）は解読が容易で使ってはいけない。強い暗号化と十分に長いパスフレーズが、SoHo無線セキュリティの核心。
• SSID（無線ネットワーク名）＝Wi-Fiの名前。SSIDを非公開（ステルス）にしても、電波自体は出ているため専用ツールで容易に発見でき、単独では強い守りにならない。名前を隠すのは「気休め」程度の補助と理解する。
• MACフィルタリング＝許可したMACアドレスの端末だけ接続を認める設定。しかしMACアドレスは偽装（なりすまし）が容易で、電波を観測すれば正規のMACを盗んで詐称できるため、これも単独では弱く補助にとどまる。暗号化標準の代わりにはならない。

ある小さな事務所のWi-Fiが「たまに知らない端末につながれている気がする」と相談を受けたとします。現状を聞くと、暗号化は古いWEPのまま、代わりにSSIDを非公開にし、MACフィルタリングで許可端末を絞ることで「二重に守っている」つもりだ、とのことでした。ここで入門レベルの正しい判断は、「守りの本命がずれている」と見抜くことです。SSIDを隠しても電波は出ているので専用ツールで容易に見つかり、MACアドレスは電波を観測すれば正規の値を盗んで詐称できます。つまりこの2つはあくまで補助で、肝心の暗号化標準が脆弱なWEPのままでは、通信そのものが解読されてしまいます。したがって最優先の対処は、暗号化をWPA2（できればWPA3）へ引き上げ、十分に長く推測されにくいパスフレーズを設定することです。SSID非公開やMACフィルタは、やっても構いませんがそれだけに頼ってはいけない補助という位置づけを外さないことが重要です。同じ考え方は有線側にも通じます。外部と社内の境界にはファイアウォールを置いて出入りを検査し、通してよい通信をACLで許可/拒否し、在宅勤務者や拠点間はVPNで暗号化トンネルを張り、社内に持ち込まれる端末はNACでパッチやウイルス対策の状態を接続前に確認する——このように役割の違う関門を重ねるのがセキュアアクセスの基本形です。要は、それぞれの技術が「主たる守り」か「補助」かを正しく見極め、本命を疎かにしないことが、入門段階で身につけるべき判断です。

2.4.3この節のまとめ

• ACLは許可/拒否、ファイアウォールは境界で状態追跡、VPNは経路を暗号化、NACは接続前に端末の姿勢を確認。役割の違う関門を重ねる
• SoHo無線の本命はWPA2/WPA3の暗号化標準。WEPや無印WPAは解読容易で使わない
• SSID非公開とMACフィルタリングは偽装/発見が容易な補助にすぎず、暗号化の代わりにはならない