社内LAN上に公共Wifiを構築する方法

Question

IT勉強会などにいくと、その部屋の中で有効な無線LANをサービスしていることがありますが、どうやって実現しているのでしょうか。

無線LANルータを立てても、社内のファイルサーバにアクセスできないようにしたいです。

Answer 1

VLANを使うのが一般的だと思いますが、運用や設定について適切な方法が求められます。

一番簡単なのはインターネットにつながる回線を物理的に別に用意してその下に無線LANを構築する方法でしょうか
用途にもよりますが、例えば勉強会やセミナー程度であればwimaxやsoftbank airと言った回線を用意してその下に無線LANルータを置き、社内のPCからはそこにアクセスしないようにすれば、社内ネットワークにつながる心配は100%無くなります。

次に、PPPoEマルチセッションを使って（契約して）社内用環境と別のルータでPPPOEセッションを張る方法です。
この場合、物理的には社内ネットワークとつながりますが（社内ルータの上流にスイッチが入る）社内ネットワークに接続するには社内ルータを超える必要があり、インターネットからのアクセスと同様の条件になります。

Comments

[raccy]

自分で別回答を書いといてなんですが、私もtenatさんがいう物理的に別回線を用意することを推奨します。既に必要機器が揃っているといったことがなければ、コスト面もセキュリティ面も断然いいですからね。

Answer 2

社内LANのネットワーク装置を利用して、社内にはアクセスさせないようなネットワークを構築する場合、通常はVLANを使います。

VLANとは一つの物理ネットワーク上に複数の論理ネットワークを構築する技術です。普通、一つのスイッチングハブは一つのネットワークに属しています。しかしVLAN対応スイッチングハブはポートをグループ化して論理的にネットワークを分けることができます。また、VLAN対応スイッチングハブ同士を1本のLANケーブルで接続する場合でも、パケットにVLANタグという特殊な情報を付加することで、1本のLANケーブルに論理上複数のネットワークが繋がっている状態を実現できます(これをVLANトランクといいます)。

こうしたVLANを使って社内ネットワークとは異なるVLANになっているスイッチングハブのポートを用意し、そのポートに無線APを接続すれば、社内サーバにはアクセスできないようにできます。また、法人向け無線APの中にはSSIDによってVLANを変えられるものもあり、一つの無線APで、社内用と公共用、二つのWiFiを提供することもできます。

インターネットへのアクセスは、社内も公共もファイアウォールに接続し、公共は外部接続に必要なアクセスだけ通過を許可するように設定します。ですので、きちんとしたファイアウォールも必要になります。

なお、これを実現するには基幹から末端までVLAN対応スイッチングハブを用意する必要があります。法人向けでも低価格L2スイッチングハブは対応していない場合がありますので、ご注意ください。VLAN対応スイッチングハブは8ポートの一番安い物でも5万円ぐらいはします。

Answer 3

社内でIEEE802.1x認証を運用していれば、認証に成功した端末は社内ネットワーク、認証に失敗した端末はゲストネットワークに接続するようにできます。