【バッファロー × デバイス ID】バッファローの VPN ルーター・AP でデバイス ID 証明書連携をしてクライアント認証してみた

VPN や Wi-Fi における「端末識別」の必要性

オフィスの Wi-Fi やリモートワーク環境における VPN 接続において、アクセス管理の大きな課題となるのが「許可されていない私物端末（BYOD）や外部の端末からの接続」をいかに防ぐかという点です。

株式会社バッファロー（BUFFALO INC.）の法人向け VPN ルーター「VR-U300W」や Wi-Fi アクセスポイント「WAPM-AX8R」「WAPM-AXETR」と、「サイバートラストデバイス ID」を組み合わせることで、管理者が許可した登録済み端末からのみバッファロー機器へのアクセスが可能となり、未登録端末からの接続を論理的にブロックできます。

本記事ではバッファロー機器を活用した強固なセキュリティの特長と運用フローについてご紹介します。

＜バッファロー機器×デバイス ID を利用した EAP-TLS 認証の構成図＞

強固な EAP-TLS 認証（証明書認証）
従来の PSK（事前共有キー）や ID・パスワードによる認証とは異なり、電子証明書を用いた厳格な認証で不正アクセスをシャットアウトします。
「組織の管理端末」のみに接続を限定
あらかじめ組織の管理者が許可・電子証明書を配付した端末のみをネットワークに接続させることが可能です。

＜ネットワーク認証方式のセキュリティ比較＞

認証方式	認証対象	端末識別の可否	メリット	弱点・リスク
PSK	共通キー	× 不可	設定が最も簡単	キー漏洩で全員分がアウト
ID・パスワード	人	× 不可	退職者管理ができる	パスワードの盗難・使い回し、未許可の私物端末の侵入
電子証明書（EAP-TLS）	端末	〇可能	・アカウント情報の流出リスクを軽減・ゼロトラストの概念に基づき、未認証端末の接続を遮断	導入時の証明書配付の手間 ※ツールなどで効率化可能

システム構成と選べる 2 つの運用フロー

バッファローのルーターやアクセスポイント（AP）で証明書認証（EAP-TLS）を導入する際、認証の肝となるのが「RADIUS（ラディウス）サーバー」です。

「外部 RADIUS サーバー」と「内蔵 RADIUS サーバー」のいずれかを選択可能です。

外部 RADIUS サーバーを使用する場合

ルーターや AP とは別に、専用の認証サーバー（FreeRADIUS やクラウド RADIUS、Active Directory など）を構築して連携する方式です。

メリット

高度で厳格なセキュリティ制御（失効確認の自動化）
外部 RADIUS では「OCSP」や「CRL」といった証明書失効リストと連携が可能です。
万が一、社員が端末を紛失して電子証明書を無効化（失効）させた場合、EAP-TLS 認証が行われるタイミングで RADIUS サーバーが失効確認のためのサーバー（OCSP や CRL）に問い合わせして認証可否を判定し、アクセスを遮断します。
多拠点・複数機器での一元管理
社内に何台も AP やルーターがある場合でも、すべての機器が 1 台の外部 RADIUS サーバーに問い合わせを行うため、アカウントや端末情報の一括管理が非常に楽になります。

デメリット（注意点）

サーバーの新規構築や保守の専門知識、ご利用の RADIUS によっては月額コストが別途必要になります。

内蔵 RADIUS サーバーを使用する場合

バッファロー機器（VR-U300W など）自体に備わっている RADIUS サーバー機能を利用し、機器単体で認証を完結させる方式です。

メリット

圧倒的な手軽さと低コスト
別途、専用の認証サーバーを立てる必要がありません。
バッファローのルーターや AP の設定画面だけで完結するため、サーバー構築の知識がなくても手軽に「証明書認証（EAP-TLS）」環境を導入できます。
機器構成のシンプル化
「ルーター（または AP）＋デバイスの電子証明書」という最小限の構成で済むため、トラブル時の切り分けが簡単になります。

デメリット（注意点）

失効確認（CRL/OCSP）ができない
最大の注意点として、内蔵 RADIUS サーバーはインターネットを介した証明書の失効確認リスト（CRL/OCSP）を直接参照できない仕様です。
そのため、退職や紛失などで特定の端末を拒否したい場合は、管理者が管理画面から「登録ユーザーを削除する」という手動の管理運用が必要になります。

事前準備

設定を始める前に、運用スタイルに合わせて以下の準備をします。

各対象機器（VR-U300W / WAPM-AX8R / WAPM-AXETR）の基本設定
クライアント端末へのサイバートラストデバイス ID 証明書の配付
（外部サーバー利用時）FreeRADIUS などの各種設定、Shared Secret（合言葉）など
（内蔵サーバー利用時）「サイバートラストデバイス ID」の「Premium オプション」および「NW 機器専用サーバー証明書オプション」のお申込み、サーバー証明書、秘密鍵、ルート証明書を 1 つにした pfx ファイル

設定のポイント

SSID の共通基本設定

まずはバッファロー機器の設定画面にアクセスし、SSID の作成を行います。

SSID の共通基本設定画面

「SSID 設定」メニューの「新規追加」から設定を行い、主な設定項目は、以下です。

Wi-Fi を有効にし、任意の SSID 名を入力します。
「Wi-Fi の認証」項目にて、EAP-TLS に対応している認証方式（WPA2/WPA3 Enterprise など）を選択します。

外部 RADIUS サーバーとの連携

外部の RADIUS サーバーに認証を委任する場合の設定です。

RADIUS サーバー設定で「外部」を選択し、サーバー名（IP アドレス）と、サーバー側で設定した「Shared Secret（合言葉）」を同一に入力して保存します。
FreeRADIUS などを利用する場合は、設定ファイル（clients.conf）に対象機器の IP アドレスと「Shared Secret（合言葉）」をそれぞれ登録することで連携が完了します。

内蔵 RADIUS サーバーの設定

機器単体で証明書認証を完結させたい場合の設定です。

機器の SSID 設定で RADIUS サーバーを「内蔵」に指定し、ネットワーク設定の「RADIUS 設定」メニューを開きます。
あらかじめ用意した NW 機器専用サーバー証明書の「pfx ファイル」をアップロードしてパスワードを入力します。
最後に「ユーザー管理」メニューから、接続を許可する任意のユーザー名リストを登録します。

たったこれだけで EAP-TLS は完了です。

設定完了後、バッファロー機器が再スタートしたのちに証明書認証の設定が有効となり、以下のとおり、許可している端末だけアクセス可能です。

許可している端末
サイバートラストデバイス ID 証明書をインストール済みの端末からは、特別な操作を意識することなくスムーズに Wi-Fi/VPN へ接続可能です。（内蔵 RADIUS の場合は登録済みのユーザー名と合致することも条件です）
未許可の端末
電子証明書を持たない端末や、認証局の異なる不正な端末からのアクセスは、ネットワークの入り口で即座に拒否されます。

「一度設定してしまえば、ユーザー側は電子証明書を意識することなく、管理者側は強固な端末選別を自動で行える」という点が、本構成の最大のメリットです。
専用サーバーを立てず今ある機器だけで始めることも、既存の認証サーバーと連携することも可能であり、設定画面の数ステップで『許可した端末だけが繋がるセキュアな環境』をすぐに構築できます。