『Wi-Fi高速中継機として使用』のクチコミ掲示板

[ケロ四]

この機種の購入を、検討しています。
Wi-Fiの利用できるエリアを拡大する為、Wi-Fi高速中継機の使用を考えています。

機能詳細ガイドなどを見ると、中継機能を利用した場合の制約の中に

『 Wi-Fi高速中継機モードの場合は、親機のMACアドレスフィルタリング機能はご利用になれません。』 となっていました。

接続ID、パスワードを手動で設定したいので、AOSSの利用は考えていません。そこで、セキュリティを高める為、MACアドレスフィルタリングが必須かと思っているのですが・・・

親機のMACアドレスフィルタリング機能が利用できなくても、子機側（中継機）で別途MACアドレスフィルタリング設定ができるのでしょうか？

ご利用中の方、詳しい方、この件について教えていただけると助かります。また、別の良い方法などありましたらアドバイスをお願いいたします。

書込番号：16098481

[羅城門の鬼]

> そこで、セキュリティを高める為、MACアドレスフィルタリングが必須かと思っているのですが・・・

MACアドレスのフィルタリングは、完全ではないです。
パケットキャプチャすればMACアドレスは判りますし、
機器のMACアドレスも変更可能です。

なので無線LANのセキュリティを保つ上で最も大切なのは
暗号方式AESを使うことだと思います。

MACアドレスフィルタリングが使えるのなら使えば良いですが、
それにこだわる必要はあまりないと思います。

書込番号：16098721

[ケロ四]

羅城門の鬼さん

アドバイス、ありがとうございます。

確かにより高度な暗号化は、セキュリティを高めるてくれますね。
しかし、無線ルーターに接続されては暗号化も意味がなくなってしまいます・・・？
そこで、接続できる子機を規制できるMACアドレスフィルタリングを、設定したいのですが・・・。
これって、あまり意味がないですかね？
正直、セキュリティ設定に詳しくないので、あれや、此れやを設定しています。より良い方法、教えてください。

書込番号：16103009

[ちっちうえ〜]

もし見当違いだったらゴメンなさい。
SSIDステルス機能をオンにしたら多少セキュリティー効果を高められませんか？

書込番号：16103097

[羅城門の鬼]

> しかし、無線ルーターに接続されては暗号化も意味がなくなってしまいます・・・？

例えば認証方式WPA2-PSKで暗号方式AESの無線LANルータに無線LAN接続するためには、
キーを事前に知っていなければ接続は出来ません。
有線LANのように物理的に接続すれば、ネットワークに入れるのとは事情が異なります。

再度書きますが、MACアドレスは暗号の対象外ですので、無線LAN通信すれば、
パケットキャプチャにより判ります。
そして機器のMACアドレスを変更することも可能なので、
その気になった人にはMACアドレスフィルタリングは無力です。

> セキュリティ設定に詳しくないので、あれや、此れやを設定しています。より良い方法、教えてください。

暗号方式AESを使うことが最も重要で、
MACアドレスフィルタリングとSSIDステルスは、
出来るなら設定して良いですが、あまりこだわる必要はないと思います。

こだわるならMACアドレスフィルタリングよりも、
認証サーバをたてて、WPA2-Enterpriseで接続した方が良いです。

書込番号：16103116

[羅城門の鬼]

> SSIDステルス機能をオンにしたら多少セキュリティー効果を高められませんか？

SSIDステルス機能も所詮気休めです。
SSIDも暗号化の対象外ですので、パケットキャプチャで判ります。

参考のため以下参照してみて下さい。
http://www.lifehacker.jp/2010/09/100914ssidsecure.html
http://takagi-hiromitsu.jp/diary/20071103.html

書込番号：16103259

[ケロ四]

ちっちうえ〜さん、アドバイスありがとうございます。

＞SSIDステルス機能をオンにしたら・・・

私もできればONにしたいのですが、他メーカーの子機を使ってると自動で親機を認識してくれず、接続が面倒なので使用していません。（現在は、バッファローの無線ルーター WZR-HP-G301NHを使っています。）

羅城門の鬼さん、細かな説明、ありがとうございます。

現在、バッファローの無線ルーター WZR-HP-G301NHを使っていて、認証/暗号化は WPA/WPA2-Mixed TKIP+AES となっています。この設定であれば、MACアドレスフィルタリングなしでも問題ないのでしょうか？　

これに加え、MACアドレスフィルタリング設定もしています。　使用環境は、2台のWZR-HP-G301NHを使い、1台は親機、もう1台は子機（中継機）でそれぞれにMACアドレスフィルタリングの設定をしています。

AtermWG1800HP イーサネットコンバータセットも、この様な設定ができれば・・・と思い質問をさせていただいたのですが・・・。　しかし、これは単なる気休めに過ぎないのですね・・・。

書込番号：16103595

[羅城門の鬼]

> 現在、バッファローの無線ルーター WZR-HP-G301NHを使っていて、認証/暗号化は WPA/WPA2-Mixed TKIP+AES となっています。この設定であれば、MACアドレスフィルタリングなしでも問題ないのでしょうか？　

WPA/WPA2-Mixed TKIP+AESの場合、
子機がAESに対応していれば基本的にAESで接続してくれます。

また万一TKIPで接続されても、WEPに比べれば格段に暗号強度は高まっていますので、
現状では特に問題ないと思います。

手軽にセキュリティを高めたいのなら、電波強度を必要最低限に抑えることです。
電波が届かなければネットワークに入れませんので。

書込番号：16103674

[きたの国から]

ケロ四さん こんにちは。
現時点で一般ユーザーができる無線LANの現実的な対策を思いつく限り列挙してみると、

00.無線LANルータのデフォルトパスワードは変更して複雑なものに変更する
01.認証処理は「WPA2-PSK」を使う
02.暗号化アルゴリズムは「AES」を使う
03.事前共有キー（プリシェアードキー）は意味を持たない英数字の組み合わせで、字数は30文字以上
04.事前共有キーを短期間サイクルで変更する
05.ステルスモードを使う
06.（使える場合は）MACアドレスフィルタリングを設定する
07.自動接続設定機能（WPSやAOSS）の停止
08.マルチSSIDを使ったセパレート機能を有効利用する。
09.DHCPを停止（有線LAN端子につなげただけでネットワークに接続することを防ぐ）
10.タグVLAN対応のコンシューマルータ（例：MZK-WG300NX）を使い仮想的に分離したネットワークを構築する。

概ねこんな感じです。

本機器はMACアドレスフィルタリングが使えないとのことのようなので、
単純ながらも対策04が効果的と思われます。ただ接続機器台数が増えると管理がかなり面倒になりますが…。
（結局のところ出来る対策を増やしていくほど利便性とトレードオフの関係になります。）

最低限必要なのは0〜3までで、後は利用環境のバランスを考慮して実施するのがよろしいかと思います。

そもそも暗号解読というのは（途方もない時間をかけさえすれば必ず）解析が出来てしまうものなので、
理論上の脅威についてまでも含めた話になると果てしなく対策が必要になりますから
（実質的に安全？と言える）0〜3ぐらいまでの対策で抑え折り合いをつける必要があるかと思います。

書込番号：16104352

[きたの国から]

お伝えしたいことで肝心なことを忘れていたので追記致します。<(_ _)>

無線LANでは事前共有キーを元に暗号化keyを作り出すのですが、
これを一定時間経過することで新たな暗号化keyを生成することが可能です。
（ちなみに無線LAN固有の機能ではなくVPN（IPSec）では「鍵交換時間」よばれて使われています。）


これを比較的短い時間にすることでより解析を困難なものにすることが出来ます。
ただしこれもトレードオフの関係にあって「Key交換時間」を短くしすぎると
（key生成処理が頻繁に起こりますので）無線LANルータのCPUに負荷がかかり不安定になることもあります。

設定する時間は一概に言えませんがまずは60分〜120分ほどで設定してみるのがよろしかと思います。

書込番号：16104841

[ケロ四]

きたの国からさん、より詳しい説明、ありがとうございました。

いろいろ調べてみましたが、MACアドレスフィルタリングは、中継機能を利用している状況下では設定できないことがわかりました。
皆さんがおっしゃる通り、暗号化である程度は問題なさそうなので、あまり気にしないようにします。

どうしても・・・と言う場合は、子機モードで利用して、これに現在使用しているWZR-HP-G301NH をLANケーブルで接続してここでMACアドレスフィルタリングを設定するか、バッファローの AirStation HighPower Giga WZR-1750DHP/E を検討したいと思います。

現在利用しているWZR-HP-G301NH は、中継モードを使用中でもMACアドレスフィルタリングの設定ができるので、恐らくAirStation HighPower Giga WZR-1750DHP/E も設定出来るかと・・・。

ただ、バッファローの製品は、中継機能を利用すると無線のチャンネルが5番に固定されてしまうのが気にいらないのですが・・・

皆さん、いろいろなアドバイスいただき、ありがとうございました。

書込番号：16107431