27-Jan-25

WLANの機能

Aruba ESP WLANの機能セクションでは、Aruba ESP無線LANの実装に使用されるテクノロジと機能について説明しています。対象となるトピックには、ワイヤレスセキュリティ、ビジターWi-Fi、ワイヤレスマルチキャスト、ワイヤレスQoS、ワイヤレスネットワークトラフィックエンジニアリング、WLAN耐障害性などがあります。

WLANの機能

ワイヤレスセキュリティ

ワイヤレスセキュリティは、Aruba ESP WLANソリューションの重要なコンポーネントです。無線セキュリティの最新の改善は、Arubaが定義に役立ったWPA3と呼ばれるプロトコルアップデートに含まれています。信頼性と安全性の高いWLANを確保するために、ワイヤレスクライアントでWPA3をサポートされたらすぐに移行します。

WPA3

WPA3は、WPA3–パーソナル(SAE)またはWPA3–エンタープライズを使用して展開できます。WPA3ではセキュリティが強化されていますが、複雑性はWPA2と変わりません。WPA3では、ワークフローや使用方法を変更する必要はなく、覚えておくべき新しい手順や注意事項はありません。Aruba Simultaneous Authentication of Equals(SAE)プロトコルがIEEE 802.11sメッシュネットワーキング標準に追加され、2012年に認証されました。SAEは、ゼロ知識証明を使用してパスワード認証された鍵交換を実行するdragonfly鍵交換の実装です。両者は、パスワードまたはパスワード由来のデータを公開することなく、パスワードを知っていることを証明します。WPA3-SAEのユーザーエクスペリエンスはWPA2-PSKと同じで、ユーザーがパスワードを入力して接続するだけです。

Wi-Fi AllianceはWPA3-Certified Client Devicesのリストを公開しています。

WPA3–パーソナル

WPA3–パーソナルは、WPA2-PSKに代わるものです。これは、アクティブ、パッシブ、およびディクショナリの攻撃に対して耐性のあるdragonflyキー交換(RFC 7664)を使用したパスワードベースの認証を使用します。下位互換性を確保するため、「移行モード」を有効にして、WPA3対応クライアントがWPA3-SAEを使用して接続し、レガシークライアントがWPA2-PSKを使用して接続するようにします。

WPA3–エンタープライズ(CCM 128)

CCM 128は、802.1Xを使用するAES CCM暗号化およびダイナミックキーを備えたWPA3です。

CCM 128は、現在WPA3に移行しているネットワークに適しています。動作モードはWPA2と下位互換性がありますが、802.11w Protected Management Frame(PMF)のサポートがオプションで追加されています。PMF対応（802.11wをサポート）のクライアントとレガシークライアントは、同じSSIDに接続できます。このモードは、ブリッジ、トンネル、および混合モードのSSIDでサポートされています。

WPA3–エンタープライズ(GCM 256)

AES GCM-256暗号化を使用するWPA3では、新しいキー管理(SHA-256)、新しい暗号、およびPMFが必要です。レガシークライアントはサポートされていません。クライアント群がGCM 256をサポートしている場合、より強力なキー管理と暗号化を必要とするサイトでこの動作モードを使用できます。

WPA3–エンタープライズ(CNSA)

AES GCM-256暗号化を使用するWPA3では、Commercial National Security Algorithm(CNSA)（192ビット）、新しいキー管理(SHA-384)、および必須のPMFエンドポイントサポートが使用されます。WPA3–エンタープライズCSNA （192ビット）モードには、互換性のあるEAPサーバー（Aruba ClearPass Policy Manager、バージョン6.8以降など）とEAP-TLSが必要です。厳密なキー交換および暗号要件は、すべてのデバイスでサポートされているとは限りません。このモードは、ブリッジ、トンネル、および混合モードのSSIDでサポートされています。主に政府機関によって使用されています。

エンハンスドオープン

エンハンスドオープンは、Opportunistic Wireless Encryption(OWE)を使用して、オープンなWi-Fiネットワークに無認証でデータ暗号化を提供します。ユーザーには、エンハンスドオープンネットワークは、パドロック記号のないオープンネットワークと同様にみえますが、データは暗号化されます。OWEは、クライアントがAPとアソシエートされたときに、無認証でDiffie-Hellmanキー交換を実行します。

このキーは、クライアントとAPが送受信するすべての管理トラフィックとデータトラフィックを暗号化するためのキーを取得するために使用されます。Centralは、鍵を近隣のAPにプロアクティブにコピーします。

エンハンスドオープンでは、追加のデバイスプロビジョニングは必要ありません。Arubaは、コーヒーショップ、バー、学校、公共の場所、スタジアムなど、暗号化が必要だが認証が不要な訪問者ネットワークでエンハンスドオープンを有効にすることをお勧めします。

移行モードを使用すると、管理者は下位互換性のために1つのオープンSSIDを構成できます。エンハンスドオープンがイネーブルの場合、APは個別のビーコンを使用して2つのBSSIDを自動的に作成します。

BSSID 1 – エンハンスドオープンをサポートしない端末に対して用いられるオープンネットワークで、BSSID 2が利用可能なことを示すInformation Element (IE)を含みます。レガシークライアントはこのBSSIDに接続し、通信は暗号化されません。
BSSID 2 – 認証用のスイート18 （OWEスイート）の使用を示すRobust Secure Network Indicator Element (RSN-IE)認証キー管理(AKM)フィールドを持つ、隠されたエンハンスドオープンネットワーク。さらに、BSSID 1を示すIEを含みます。この隠されたSSIDに接続するエンハンスドオープン対応クライアントは、PMFと暗号化の利点を受けます。

Arubaは、ブリッジモードまたはトンネルモードでのエンハンスドオープンSSIDの設定をサポートしています。

MPSK

MPSK(Multiple Pre-Shared Keys)機能を使用すると、同じSSIDに接続するデバイスで異なるPSKを使用できます。たとえば、802.1XをサポートしないヘッドレスIoT (Internet-of-Things)デバイスの接続です。MPSKは、デバイス固有またはグループ固有のパスフレーズを有効にすることで、WPA2-PSKモードを強化します。Aruba ClearPass Policy Managerを使用すると、パスフレーズは、プロファイルデータなどの共通の属性に基づいて個々のデバイスまたはデバイスグループに管理目的で割り当てられるか、個々のデバイス登録に一意に割り当てられます。これにより、デバイスと特定のユーザーとの間に1対1の関係が確立され、可視性、アカウンタビリティ、および管理が実現されます。さらに、一連のデバイスのパスフレーズを変更する際の管理負担が軽減されます。

注:
MPSKはWPA3パーソナル(SAE)と互換性がありません。

ビジターワイヤレス

Aruba ESPアーキテクチャは、同じインフラストラクチャを介して訪問者と従業員にアクセスを提供し、訪問者のアクセスが企業のネットワークセキュリティを損なわないことを保証します。

組織の既存のWLANを使用すると、訪問者や請負業者にインターネットアクセスを提供するための便利で費用対効果の高い方法を提供できます。ワイヤレスビジターネットワークは:

– オープンなワイヤレスSSIDを使用して訪問者にインターネットアクセスを提供し、ゲートウェイのファイアウォールでWebアクセス制御を行います。 – 承認された内部ユーザーが管理できる、一時的な訪問者の認証資格情報の作成をサポートします。 – 訪問者のネットワークトラフィックを内部ネットワークから分離します。

すべてのAPは、インターネットへのワイヤレス接続への制御されたオープンアクセスをプロビジョニングできます。訪問者のトラフィックは、無線APからゲートウェイに安全にトンネリングされ、インターネットアクセスのみ可能な別のVLANに渡されます。次の図は、ワイヤレスビジターネットワークVLANからファイアウォールにトラフィックがどのように渡されるかを示しています。

ビジター無線ネットワーク

ビジターネットワークでは、キャプティブポータルでユーザー名とパスワードを入力する必要があります。ロビーのアンバサダーやその他の管理スタッフは、一時的な訪問者アカウントを発行できます。この設計により、安全なネットワークインフラストラクチャを維持しながら、組織の要件に合わせて制御と管理を柔軟に調整できます。

ゲートウェイがビジタークライアント用のDHCPサーバーおよびルーターとして機能することは一般的です。予測される負荷メトリックがゲートウェイの推奨制限を下回っている限り、訪問者またはIoTネットワークに対してレイヤ3オペレーションを有効にできます。

ゲートウェイでルーティングを有効にする場合は、ファイアウォールポリシーを使用してVLAN間のトラフィックを制御します。ゲートウェイ上のDHCPサービスは冗長ではないため、ミッションクリティカルなビジターアクセスには外部DHCPサーバーを使用することをお勧めします。

WLANマルチキャストおよびブロードキャスト

動的マルチキャスト最適化

802.11規格では、WLANを介したマルチキャストトラフィックは、最も低い基本レートで送信されなければならないとされています。Dynamic Multicast Optimization（DMO;動的マルチキャスト最適化）は、ゲートウェイからAPに転送する前に、マルチキャストフレームをユニキャストに変換するArubaテクノロジーです。ユニキャストフレームはクライアントによって受信確認され、フレームが空中で失われた場合に再送信できます。ユニキャストフレームは、クライアントがサポートする可能な限り最高のデータレートで送信されます。これにより、セル内のデューティサイクルが大幅に削減され、すべてのユーザーの帯域幅が解放されます。

パフォーマンスを最適化するには、同じWLANデータパス上で同じデータをブロードキャストするマルチキャストソースを複数使用しないでください。複数のマルチキャストストリームを同時に変換しないようにするには、可能な限り大きなレイヤ2ネットワークを使用します。

次の図は、DMOが有効になっている一般的なIPマルチキャストトポロジを示しています。

IPマルチキャストBSR、RP、MSDP、IGMPスヌーピング、およびDMO配置

ブロードキャストからユニキャストへの変換

Aruba WLANでは、ブロードキャストパケットをユニキャストフレームに変換して、無線空間の使用を最適化できます。空中のブロードキャストフレームは、可能な限り低いデータレートを設定して送信する必要があります（「基本レート」と呼ばれます）。ブロードキャストには配信確認がないため、失われたブロードキャストフレームを再送信するオプションはありません。APは、無線を介したフレームをユニキャストに変換すると、より高いデータレートでフレームを送信し、配信確認を取得できます。失われたフレームは再送信できます。

ユニキャストは、チャネルデューティサイクルを大幅に削減し、クライアントごとに可能な限り最高のデータレートでフレームを配信します。

ブロードキャストフィルタリング

SSIDにブロードキャストフィルタリングを設定して、WLANのパフォーマンスを最適化できます。Centralで管理されるAruba ESP WLANのデフォルト設定はARPです。

ARP - WLANは、DHCP、ARP、IGMPグループクエリ、およびIPv6ネイバーディスカバリプロトコルを除き、ブロードキャストフレームとマルチキャストフレームをドロップします。さらに、ARP要求をユニキャストに変換し、関連するクライアントに直接フレームを送信します。
All - WLANは、DHCP、ARP、IGMPグループクエリ、およびIPv6ネイバーディスカバリプロトコルを除くすべてのブロードキャストフレームとマルチキャストフレームを廃棄します。
Unicast ARP Only:このオプションを選択すると、WLANでARP要求がユニキャストフレームに変換され、関連するクライアントに送信されます。
無効 - APはすべてのブロードキャストを転送し、マルチキャストトラフィックはワイヤレスインターフェイスに転送されます。

WLAN QoS

Wi-Fiマルチメディア

Wi-Fi Multimedia (WMM)は、Wi-Fi Allianceによって作成された認証プログラムで、Wi-Fiネットワーク上のQoSをカバーしています。WMMでは、ネットワークトラフィックが4つのキューのいずれかに優先度とともに分類されます。トラフィックは、割り当てられたトラフィッククラスに基づいて、パケット間の待ち時間の短縮や、DSCPおよびIEEE 802.1pマーキングを使用したパケットのタグ付けなど、さまざまな処理を受けます。

ユーザは各キューに割り当てるトラフィックを定義でき、必要に応じてDSCPと802.1pの値を調整して有線LANに一致させることができます。

Wi-FiネットワークでWMM機能を利用するには、次の3つの要件を満たす必要があります。

APはWi-Fi Certified™ for WMMであり、WMMが有効になっています。 – クライアントデバイスはWi-Fi Certified™ for WMMです。 – ソースアプリケーションはWMMをサポートしています。

注:
WMMは全てのAruba Wi-Fi製品でサポートされています。

QoSはVLANまたはポートに対して設定され、ポリシーエンフォースメントファイアウォールを使用してアプリケーションごとに動的に設定できます。無線LANを含むほとんどのネットワークは、容量を下回って動作します。渋滞は少なく、交通の流れも良いです。QoSは、輻輳が発生している期間に予測可能な動作を提供します。過負荷状態では、QoSメカニズムによって、特定のトラフィックに高い優先順位が与えられると同時に、低い優先順位のトラフィックに使用できるリソースが少なくなります。たとえば、音声ユーザの数を増やすと、データトラフィックが遅延または廃棄される可能性があります。

Wi-Fiは、従来の共有イーサネットネットワークと同様に、キャリアセンス、衝突回避によるマルチアクセス(CSMA/CA)を使用して無線通信時間の競合を管理します。CSMA/CAでは、フレームを送信する前に、各デバイスが他のWi-Fi送信のワイヤレスチャネルを監視する必要があります。Wi-Fi規格では、クライアントやAPの集中一元管理やスケジューリングが行われない分散システムが定義されています。ただし、Wi-Fi 6とBSSカラーリングでは、チャネル競合が大幅に減少します。

WMMプロトコルは、送信するフレームのQoS優先度に応じて、ランダムバックオフタイマーとアービトレーションフレーム間スペースという2つのCSMA/CAパラメータを調整します。優先度の高いフレームには、ランダムバックオフ時間とアービトレーションフレーム間スペースが短く割り当てられ、優先度の低いフレームにはより長く待機する必要があります。

WMM用のバックオフおよびアービトレーションフレーム間タイマー

![]（メディア/QoS/WMMタイマー.png）

WMMでは、802.11トラフィックに対して4つのプライオリティレベルが定義されています。優先順位は昇順で以下です:

– バックグラウンド – ベストエフォート – ビデオ – 音声

QoSはエンドツーエンドで維持する必要があるため、WMMの優先度レベルはLANで使用されるQoSの優先度にマッピングする必要があります。次の表は、DSCP優先度が4つのWMM優先度レベルにどのように変換されるかを示しています。

WMMからDSCPへのマッピング

WMMアクセスカテゴリ	説明	DSCP
音声	リアルタイムインタラクティブ	46
ビデオ	マルチメディアストリーミング	26
ベストエフォート	トランザクション	18
バックグラウンド	ベストエフォート	0

AirSlice

AirSliceは、Policy Enforcement Firewall(PEF)のディープパケットインスペクションを使用して、4Kビデオストリーミングやユニファイドコミュニケーション(UC)などの遅延に敏感なIoTサービスのパフォーマンスを保証する独自のRFテクノロジーです。AirSliceを設定する前に、ディープパケットインスペクションを有効にするにはアドバンスドライセンスが必要です。

次の表は、AirSliceでデフォルトでサポートされているアプリケーションの一覧です。

デフォルトアプリケーション
Wi-Fi Calling
Office 365
GoToMeeting
Cisco WebEx
Dropbox
GitHub
Zoom
Skype for Business
Slack
Amazon Web Services

AirSliceの詳細については、Aruba AirSlice Tech Brief.を参照してください。

ブリッジモードの展開

ブリッジモードは、トンネルトラフィックや高度なゲートウェイ機能が不要な場合に簡単なソリューションを提供します。このモードでは、無線トラフィックがAPから有線インフラストラクチャに直接ブリッジされます。APのアクセススイッチポートは、SSIDからVLANへの接続を提供するためにトランキングされます。APはパケット暗号化、ユーザ認証、およびポリシーエンフォースメント機能を処理しますが、RF管理、鍵管理、ライブアップグレード、監視、およびトラブルシューティングなどの機能はCentralで管理されます。

次の図は、ArubaOS 10(AOS 10)ブリッジモードトポロジを示しています。

ブリッジモード

トンネルモードの展開

Arubaゲートウェイは、新規展開設計または既存のブリッジモード展開に追加できます。トンネルモードの導入は、堅牢なセキュリティ機能と最大限の運用柔軟性を提供します。ゲートウェイは個別に導入することも、クラスタ化して冗長性と拡張性を高めることもできます。クラスタは、Centralの同じグループにゲートウェイを追加することによって自動的に作成されます。

トンネルモードでは、アプリケーションの可視性が向上し、ビジネスクリティカルなデータの優先順位付けに役立ちます。このモデルでは、マイクロセグメンテーション、動的RADIUSプロキシ、およびLAN上の暗号化も提供されます。シームレスなローミングは、レイヤ3キャンパス全体でサポートされています。

AOS 10では、単一のクラスタ内で複数のバージョンのゲートウェイとAPを使用できますが、WLAN全体で一貫した機能サポートと全体的な安定性を確保するには、APとゲートウェイのバージョンを一致させることがベストプラクティスです。

次の図は、AOS 10トンネルモードトポロジを示しています。

トンネルモードのAP

ゲートウェイのプロキシARP

この機能を有効にすると、ゲートウェイはユーザーテーブル内のクライアントに代わってARP要求に応答します。IPアドレスを持つVLANで有効にすると、ゲートウェイはプロキシARPで自身のMACアドレスを提供します。VLANにIPアドレスがない場合、ゲートウェイはクライアントのMACアドレスを提供します。この機能はデフォルトでオフになっています。Aruba VIA(Virtual Internet Access)VPNなど、ゲートウェイが別のデバイスへのトランスペアレントホップである展開に対応する場合にのみ有効にします。

レイヤ3設計

ゲートウェイのキャンパスインストールは常にレイヤ2である必要があり、ゲートウェイはレイヤ3の操作を実行しません。クライアントのデフォルトゲートウェイは、ルータやスイッチなどの別のデバイスである必要があります。また、レイヤ2ネットワークは、ゲートウェイに接続されたクライアント専用である必要があります。ゲートウェイのブロードキャストおよびマルチキャスト管理機能により、大きなサブネットを問題なく使用できます。

レイヤ2ネットワークを、ゲートウェイとスイッチングインフラストラクチャでサポートできる最大のサイズにします。テーブルサイズ、ARP学習速度、物理層レート、および冗長性はすべて、スイッチングインフラストラクチャの設計に影響します。

WLAN回復性

Aruba ESPは、可用性の高いフォールトトレラントネットワークの設計に役立つさまざまなコンポーネントを提供します。このセクションでは、フォールトトレランスを向上させ、サービスへの影響を最小限に抑えてアップグレードを可能にするソフトウェア機能の一般的なガイドラインを示します。

認証状態/キー同期

認証キーは、CentralのKey Management Service（KMS;キー管理サービス）によってAP間で同期されます。これにより、クライアントは暗号化されたトラフィックを再認証または再キー設定することなく、AP間をローミングできます。キー同期によってRADIUSサーバーの負荷が軽減され、ローミングプロセスが高速化され、シームレスなエクスペリエンスが実現します。キーの同期と管理はAPとCentralによって自動的に処理されるため、追加のユーザ設定は必要ありません。

ファイアウォール状態の同期

クラスタを使用する場合、クライアントからのトラフィックは、プライマリおよびセカンダリのゲートウェイ間で同期できます。これにより、クライアントはプライマリゲートウェイからセカンダリにシームレスにフェイルオーバーできます。システムはAP間で暗号化キーを同期するため、クライアントがセカンダリゲートウェイに移動する際に、クライアントは暗号化されたトラフィックを再認証または再キー設定する必要はありません。クライアントにとっては、ゲートウェイ間またはAP間の移動は透過的です。

これは、Arubaの高可用性設計とライブアップグレード機能の重要なコンポーネントです。ブリッジされたSSIDを使用する場合、ファイアウォールの状態はローミングイベントごとに同期されるため、クライアントはトラフィックを中断することなくシームレスなローミングを実行できます。

クラスタ設計の障害ドメイン

ゲートウェイに障害が発生すると、単一のゲートウェイ接続のみ残っているクライアントについて、クラスタ全体で再調整されます。この操作に必要な時間は、ネットワーク上のクライアントの数によって異なります。再バランシングが行われる前に2つ目のゲートウェイに障害が発生した場合、クライアントのアソシエーションが解除され、使用可能なゲートウェイに再接続されます。他のゲートウェイがキャパシティに達していない限り、クライアントは接続を再確立できます。

複数のゲートウェイの障害を軽減するには、共通の障害点を最小限に抑えます。ドメイン障害のリスクを抑えるには、別々のラインカードまたはスイッチ、ラインカードまたはスイッチにまたがる複数のアップリンク、ポート設定の検証、および複数のゲートウェイを使用します。

キャンパスワイヤレスの概要

ESPキャンパスWLANは、従業員、訪問者、およびIoTデバイスにネットワークアクセスを提供します。場所に関係なく、ワイヤレスデバイスはサービスに接続するときに同じユーザーエクスペリエンスを持っています。

Arubaワイヤレスソリューションのメリットは次のとおりです。

– 従業員、訪問者、IoTデバイスへのシームレスなネットワークアクセス。 – ワイヤレスAP用のプラグアンドプレイ展開。

Wi-Fi 6の機能強化により、高密度展開における接続の問題に対処し、ネットワークのパフォーマンスを向上させます。 – サービスにほとんどもしくは全く影響を与えずに、オペレーティングシステムのアップデートを実行するためのライブアップグレード。