【検証報告】Cisco Meraki MR36 無線アクセスポイントと NetAttest EPS の認証連携を確認しました

アイキャッチ
目次

はじめに

ソリトンシステムズのオールインワン認証アプライアンス「NetAttest EPS」と、シスコシステムズ社製 無線LANアクセスポイント 「Cisco Meraki MR36」を連携させ、エンタープライズ方式による認証が可能かを確認しました。

無線接続クライアントは、Windows、macOS、iOS、Android OS 搭載端末で、確認した認証方式はパスワード方式(EPS-PEAP)及び、電子証明書認証方式(EAP-TLS)です。


無線LAN(Wi-Fi)のセキュリティ強化とは? 事例・対策・設定をわかりやすく解説 | ネットアテスト

企業がオフィス内で無線LANを使用する場合には、セキュリティに十分な注意を払わなければなりません。企業が無線LANを導入する際、セキュリティ対策を最も重視していることが「企業ネットワーク及び関連システムに関する調査」からも確認できます。具体的にどのような危険性があり、どんなセキュ...

netattest.com

og_img

1. 構成 

1-1 構成図

以下の環境を構成します。

  • 有線LANで接続する機器はL2スイッチに収容
  • 有線LANと無線LANは同一セグメント
  • 無線LANで接続するクライアントPCのIPアドレスは、NetAttest D3のDHCPサーバーから払い出す

1-2 環境

1-2-1 機器

製品名メーカー役割バージョン
NetAttest EPS-SX15A-AソリトンシステムズRADIUS/CAサーバー5.0.4
MR36CiscoRADIUSクライアント
 (無線アクセスポイント)
MR 28.7.1
NetAttest D3-SX15-AソリトンシステムズDHCPサーバー5.2.10
Lenovo X390Lenovo

802.1Xクライアント

(Client PC)

Windows 10 64bit

Windows 標準サプリカント
MacBook ProApple

802.1Xクライアント

(Client PC)

12.5.1

(macOS Monterey)

iPhone SE 

(2nd generation)
Apple802.1Xクライアント
 (Client SmartPhone)
15.6.1
Pixel 5Google

802.1Xクライアント

(Client SmartPhone)
13

1-2-2 認証方式

IEEE802.1X EAP-TLS/EAP-PEAP

1-2-3 ネットワーク設定

機器IPアドレスRADIUS port (Authentication)RADIUS Secret (Key)
NetAttest EPS-SX15A-A192.168.1.2/24UDP 1812secret
MR36192.168.1.1/24secret
NetAttest D3-SX15-A192.168.1.3/24
Client PCDHCP
Client SmartPhoneDHCP

2. NetAttest EPSの設定

NetAttest EPSのセットアップを下記の流れで行います。

  1. サービス管理ページへのログオン
  2. 初期設定ウィザード (システム、システム-2)の実行
  3. 初期設定ウィザード (サービス)の実行
  4. httpsサービスの再起動
  5. RADIUSクライアントの登録
  6. 利用者の登録
  7. クライアント証明書の発行

2-1 サービス管理ページへのログオン

NetAttest EPSの初期設定はLAN1から行います。初期のIPアドレスは「192.168.1.2/24」です。管理端末に適切なIPアドレスを設定し、Google Chrome もしくは Microsoft Edgeから「https://192.168.1.2:2181」にアクセスしてください。

2-2 初期設定ウィザード (システム、システム-2)の実行

サービス管理ページにログイン後、システム初期設定ウィザードを使用し、以下の項目を設定します。

  • 管理者アカウントの設定
  • 日付と時刻の設定
  • ホスト名の設定
  • ネットワークの設定
  • DNSの設定
  • インターネット時刻サーバーの設定
  • ライセンスの設定

ログイン後に表示される画面より、「セットアップをはじめる」→「すすめる」→「はじめる」と進み、初期設定ウィザードの「システム」に関する設定を行います。

ここからは、システム初期セットアップウィザードの「システム-2」に関する設定を行います。

2-3 初期設定ウィザード (サービス)の実行

OS再起動が完了後、再度サービス管理ページにアクセス及びログインし、サービス初期設定ウィザードを使用して、以下の項目を設定します。

  • 認証の用途の設定
  • 認証の方式の設定
  • 利用者情報リポジトリの設定
  • CA構築
  • サーバー証明書発行

2-4 httpsサービスの再起動

画面上部に「httpsサービスを再起動する」ボタンを選択し、httpsサービスの再起動を行います。

httpsサービスを再起動するとページの再読み込みを求められるため、ページの再読み込みを行います。

2-5 RADIUSクライアントの登録

サービス管理画面の「管理」メニューにて「RADIUS認証」でフィルタリングし、「NAS/RADIUSクライアント」を選択します。表示された画面で「新規登録」ボタンを選択し、RADIUSクライアントの登録を行います。

2-6 利用者の登録

サービス管理画面の「管理」メニューにて「利用者とデバイス」でフィルタリングし、「利用者一覧」を選択します。表示された画面で「新規登録」ボタンを選択し、利用者登録を行います。

2-7 クライアント証明書の発行

サービス管理画面より、クライアント証明書の発行を行います。[利用者一覧]ページから該当する利用者のクライアント証明書を発行します。
(クライアント証明書は、user01.p12という名前で保存)

3. MR36の設定

MR36の設定はクラウド上の管理ページであるMerakiダッシュボード

「http://dashboard.meraki.com」 から行います。

ここでは以下の項目を設定します。

  • Merakiダッシュボードとの接続
  • APの登録
  • ダッシュボードによるAPのIPアドレス設定
  • SSIDの設定

3-1 Merakiダッシュボードとの接続

MR36はデフォルトではDHCPにてIPアドレスを取得する設定となっています。

ここではIPアドレスの固定方法としてDHCPによる静的割り当てと、MerakiダッシュボードにAP登録後のMerakiダッシュボードによる静的割り当ての方法を紹介します。

3-1-1 D3のスコープ設定 

「http://192.168.1.3:2182」にアクセスし、D3の管理画面にログインします。「DHCP」-「スコープ」から「+」をクリックし、スコープを追加します。

今回は、端末に払い出すIPアドレスを「192.168.1.4-99」にするため、以下のように設定します。

設定後、「追加」をクリックします。

3-1-2 D3によるIPアドレスの静的割り当て

MR36のMACアドレスにIPアドレスを静的に割当てます。

MACアドレスは筐体裏面に記載されています。

「DHCP」-「静的割り当て」から「+」をクリックし、IPアドレスの静的割り当てを行います。

設定値を入力後、「追加」をクリックします。

3-1-3 DHCPサーバーの起動

「DHCP」-「サーバー状態」から「起動」ボタンを押し、DHCPサーバーを起動します。

3-2 APの登録

「http://dashboard.meraki.com」にアクセスし、Merakiダッシュボードにログインします。

「ネットワーク」より該当するネットワークを選択後 、「ワイヤレス」-「アクセスポイント」を選択します。

筐体裏面のシリアル番号、MACアドレスを確認します。

確認したシリアル番号、MACアドレスに一致した機器にチェックを行い、「アクセスポイントを追加する」をクリックします。

画面上部に変更が保存された旨のアナウンスが表示されます。

「ワイヤレス」-「アクセスポイント」の画面に戻り、アクセスポイントが追加されたことを確認します。

3-3 ダッシュボードによるAPのIPアドレス設定

APがダッシュボードに接続された後は、ダッシュボードでIPアドレスを固定することも可能です。ここではダッシュボードでのIPアドレス固定方法を紹介します。

「ワイヤレス」-「アクセスポイント」の画面から追加されたアクセスポイントをクリックします。

3-4 SSIDの設定

SSIDの設定を行います。

「ワイヤレス」-「アクセス制御」をクリックし、SSIDの設定画面へ移動します。

「ワイヤレス」-「アクセスポイント」の画面に移動し、アクセスポイントがオンラインになっていれば設定は完了です。

4. EAP-TLS認証でのクライアント設定 

4-1 Windows 10でのEAP-TLS認証

4-1-1 クライアント証明書のインポート

PCにクライアント証明書をインポートします。ダウンロードしておいたクライアント証明書(user01.p12)をダブルクリックすると、証明書インポートウィザードが実行されます。

4-1-2 サプリカント設定

Windows標準サプリカントでTLSの設定を行います。

 [ワイヤレスネットワークのプロパティ] の [セキュリティ] タブから以下の設定を行います。

4-2 MacでのEAP-TLS認証

4-2-1 クライアント証明書のインポート

PCにデジタル証明書をインポートします。

「キーチェーンアクセス」を起動し、[デフォルトキーチェーン] - [ログイン]を選択後、PKCS#12ファイルをドラッグ&ドロップし、PKCS#12ファイル のパスワードを入力します。

インポートしたCA証明書の信頼設定を変更します。

インポートしたCA証明書をダブルクリックし、[信頼] - [この証明書を使用するとき]の項目で「常に信頼」に変更します。

ウィンドウを閉じると、パスワードを求められるため、端末(Mac)に設定しているパスワードを入力し、「設定をアップデート」を選択します。

参考)
CLIコマンドを利用して、PKCS#12ファイルをインポートすることも可能です。
PKCS#12ファイルをデスクトップ上へ保存し、ターミナルで以下のコマンドを入力します。

security import /Users/<ログインユーザーID>/Desktop/<証明書ファイル名> -k /Users/<ログインユーザーID>/Library/KeyChains/Login.keychain-db –f pkcs12 –x

※V11.6.6(macOS Big Sur)及びV12.5(macOS Monterey)で確認したところ、コマンドラインからエクスポート禁止オプション("-x")を設定してインポートしても、キーチェーアクセスから秘密鍵をエクスポート出来てしまうようです。

なお、ソリトンシステムズの証明書配布ソリューションであるEPS-apを利用してクライアント証明書をインポートした場合は、秘密鍵のエクスポートは不可の状態となります。

4-2-2 サプリカント設定

Mac標準サプリカントでTLSの設定を行います。

メニューバーのネットワークのアイコンをクリックして、「“ネットワーク“環境設定…」をクリックし、以下の設定を行います。

4-3 iOSでのEAP-TLS認証

4-3-1 クライアント証明書のインポート

NetAttest EPSから発行したクライアント証明書をiOSデバイスにインポートする方法には下記などがあります。

  • Mac OSを利用してApple Configuratorを使う方法
  • クライアント証明書をメールに添付しiOSデバイスに送り、インポートする方法
  • SCEPで取得する方法(NetAttest EPS-apを利用できます)

いずれかの方法でCA証明書とクライアント証明書をインポートします。本書では割愛します。

4-3-2 サプリカント設定 

MR36で設定したSSIDを選択し、サプリカントの設定を行います。

まず、「ユーザ名」には証明書を発行したユーザーのユーザーIDを入力します。次に「モード」より「EAP-TLS」を選択します。その後、「ユーザ名」の下の「ID」よりインポートされたクライアント証明書を選択します。

※初回接続時は「信頼されていません」と警告が出るので、「信頼」を選択し、接続します。

4-4 AndroidでのEAP-TLS認証

4-4-1 クライアント証明書のインポート

NetAttest EPSから発行したクライアント証明書をAndroidデバイスにインポートする方法として、下記3つの方法等があります。いずれかの方法でCA証明書とクライアント証明書をインポートします。手順については、本書では割愛します。

  • SDカードにクライアント証明書を保存し、インポートする方法※1 
  • クライアント証明書をメールに添付しAndroidデバイスに送り、インポートする方法※2
  • SCEPで取得する方法(NetAttest EPS-apを利用できます)※3

※1 メーカーやOSバージョンにより、インポート方法が異なる場合があります。事前にご検証ください。
※2 メーカーやOSバージョン、メーラーにより、インポートできない場合があります。事前にご検証ください。
※3 メーカーやOSバージョンにより、Soliton KeyManagerが正常に動作しない場合があります。事前にご検証ください。

Android 13では証明書インポート時に用途別に証明書ストアが選択できますが、本書では無線LANへの接続を行うため、クライアント証明書は「Wi-Fi証明書」を選択しています。

4-4-2 サプリカント設定

MR36で設定したSSIDを選択し、サプリカントの設定を行います。

「ID」には証明書を発行したユーザーのユーザーIDを入力します。CA証明書とユーザー証明書はインポートした証明書を選択して下さい。

5. EAP-PEAP認証でのクライアント設定

5-1 Windows 10でのEAP-PEAP認証

5-1-1 Windows 10のサプリカント設定

[ワイヤレスネットワークのプロパティ] の「セキュリティ」タブから以下の設定を行います。

5-2 MacでのEAP-PEAP認証

5-2-1 Macのサプリカント設定

Mac標準サプリカントでTLSの設定を行います。

メニューバーのネットワークのアイコンをクリックして、「“ネットワーク“環境設定…」をクリックし、以下の設定を行います。

5-3 iOSでのEAP-PEAP認証

5-3-1 iOSのサプリカント設定

MR36で設定したSSIDを選択し、サプリカントの設定を行います。「ユーザ名」、「パスワード」には「2-6 利用者の登録」で設定したユーザーID、パスワードを入力してください。

※初回接続時は「証明書が信頼されていません」と警告が出るので、「信頼」を選択し、接続します。

5-4 AndroidでのEAP-PEAP認証

5-4-1 Androidのサプリカント設定

MR36で設定したSSIDを選択し、サプリカントの設定を行います。「ID」「パスワード」には「2-6 利用者の登録」で設定したユーザーID、パスワードを入力してください。「CA証明書」にインポートしたCA証明書を選択してください。

6. 動作確認結果

6-1 RADIUS認証ログの確認(EPS)

EPSのRADIUS認証ログは、サービス管理画面の「管理」メニューにて「ログ」でフィルタリングし、「RADIUS認証ログ」を選択することで確認可能です。



EAP-TLS認証が成功した場合のログ表示例
EAP-PEAP認証が成功した場合のログ表示例

6-2 ログの確認(MR36)

MR36のログは、ダッシュボードの「ワイヤレス」-「アクセスポイント」から該当の機器を選択し、「イベントログ」タブから確認可能です。

また、「フルイベントログを参照」をクリックするとより詳しい情報が確認可能です。



EAP-TLS認証が成功した場合のログ表示例
EAP-PEAP認証が成功した場合のログ表示例

まとめ

ソリトンシステムズのオールインワン認証アプライアンス「NetAttest EPS」と、シスコシステムズ社製 無線LANアクセスポイント 「Cisco Meraki MR36」を連携させ、エンタープライズ方式による認証が可能であることを確認しました。

今回の連携検証は、最もシンプルな構成で行っています。
企業ネットワークへの導入を検討するにあたっては、無線アクセスポイントの各種機能の評価も必要になります。より実環境に近い構成での確認をお奨めします。


記事を書いた人

ソリトンシステムズ・マーケティングチーム