清水理史の「イニシャルB」
格安3.6万円のSMB向け統合Wi-Fiルーター「UniFi Dream Machine」で3つのネットワークを作ってみる
2020年5月25日 06:00
Ubiquiti Networksから販売されている「UniFi Dream Machine（以下UDM）」は、アクセスポイント、スイッチ、 セキュリティゲートウェイを一体化した統合Wi-Fiルーターだ。3.6万円という低価格で、どこまでできるのか？
SMB向けの「夢のマシン」として、その機能概要や性能面について検証した前回に続き、今回は実践編として、店舗やオフィスでの利用を想定して3つの異なるネットワークを作ってみよう。
「オフィス用」「店舗用」「ゲスト用」のネットワークを共存させる
あらかじめお断りしておくが、設定はベータ版の新UIを使って紹介するが、一部（ファイアウォール）の部分は分かりやすいので旧UIを利用している。また、設定を全て解説すると非常に長くなるため、ポイントのみを解説していく。
今回構築するネットワークの最終的な概要図は、以下のようなものとなる。
飲食店や小売店などでよく見られるような店舗とオフィスが一体化した環境を想定し、今回は「オフィス用」「店舗用」「ゲスト用」の3つの異なるネットワークを構築してみよう。
オフィス用
事務所用ネットワークには、事務処理をするためのPCなどが設置されている。このネットワークに参加する端末は、店舗用とゲスト用のネットワークにもアクセスできるが、逆に、ほかの2つのネットワークから、このネットワークへはアクセスできない。Wi-Fiの接続は、ユーザー名とパスワードをRADIUSサーバーで認証する「WPA Enterprise」（802.1X）を使う。
- Wi-Fi名：OfficeWi-Fi（WPA Enterprise）
- 周波数帯：2.4GHz帯＋5GHz帯
- 有線LAN名：OfficeLAN
- IPアドレス：192.168.102.0/24
- VLAN ID：2000
- IPv6：有効
- DNSフィルター：Security
店舗用
店舗のレジや予約システムなどを接続するためのネットワーク。オフィス用ネットワークからのアクセスは受け付けるが、そのほかのネットワークには接続できない。Wi-Fi接続は、オーソドックスなパスワード方式だ。
- Wi-Fi名：StoreWi-Fi（WPA PSK）
- 周波数帯：5GHz帯
- 有線LAN名：StoreLAN
- IPアドレス：192.168.103.0/24
- VLAN ID：3000
- IPv6：無効
- DNSフィルター：Adult
ゲスト用
こちらも店舗で使うネットワークだが、来訪者向けに提供するゲストネットワークとして利用する。ほかの2つのネットワークからは独立させ、ゲスト接続端末間の通信も遮断する。Wi-Fiの認証は、オーソドックスなパスワード接続だが、キャプティブポータルを作成し、ユーザーが規約に同意した場合に1時間だけ利用可能とする。
- Wi-Fi名：GuestWi-Fi（WPA PSK＋キャプティブポータル）
- 周波数帯：2.4GHz帯
- 有線LAN名：GuestLAN
- IPアドレス：192.168.104.0/24
- VLAN ID：4000
- IPv6：無効
- DNSフィルター：Family
標準設定ネットワーク
UDMは、初期設定のウィザードでセットアップを行うと、「LAN（有線）」と、任意の名前（ここではUFDM）のWi-Fiネットワークの2つが自動的に作成される。このうちLANは、メンテナンスや共通サーバー接続用に残しておくが、Wi-Fi（ここではUFDM）に関しては利用しない。
LANを作る
インターネット接続などの初期設定が済んでいる状態を想定して、セットアップを進めていこう。なお、インターネット接続にフレッツのPPPoEを利用する場合、MSSクランプを「1414」に設定しておかないと、まともにつながらないので要注意だ。
まずは、次のように3つのネットワークを作成する。
1．LANを追加
UDMの［NETWORKS］にある［Local Networks］から［Create Advanced Network」を選択し、上記3つのネットワークを作成する。
必須なのはVLAN IDだ。ネットワークごとに異なる値を設定することで、端末をグループ分けできる。同じVLAN IDを持つ端末同士は通信できるが、異なるVLAN IDとは基本的に（実際はできるので後でフィルターで遮断する）通信できない。
IPアドレスはVLAN IDと関連付けておくと分かりやすいが、DHCPで配布するIPアドレスの範囲などは、好みで設定して構わない。
OfficeLANとStoreLANは、［Network Purpose］を［Corporate］で作成するが、GuestLANは［Guest］で作成する。これで基本的に（例外があるので後でフィルターを追加する）ゲスト用ネットワークは、ほかのネットワークから独立する。
2．ポートに割り当てる
3つのネットワークができたら、UDMの背面のポートへこのネットワークを割り当てる。「デバイス」からUDMを開き、「ポート」設定で設定したいポートを編集して、［スイッチポートのプロファイル］に作成したLANを割り当てておく。
なお、UDMの配下にさらにスイッチを追加し、そちらでもタグVLANを使う場合は、ポート1などに「ALL」のプロファイルを割り当て、Trunk用に利用する。配下のスイッチが802.1Qに対応していれば、同様にタグを設定することでVLANを利用可能だ。
IPv6を使う場合は
1．WANを構成する
もしも、IPoE IPv6を利用する場合は、［INTERNET］の［WAN Networks］で、IPv4を［DHCP］や［Static］に設定し（PPPoEだとPPPoEからIPv6を取得しようとするのでNG）、［Using DHCPv6］で構成する。［Prefix Delegation］は、ひかり電話ありとなしで異なるので、注意が必要だ。筆者の環境はひかり電話ありなので、「60」に設定してある。
2．LANを構成する
続いてLAN側を構成する。今回はOffice LANでのみIPv6を有効にするので、［IPv6 Configuration］の［IPv6 Interface Type］を［Prefix Delegation］に設定すればいい。
ただし、この状態では名前解決がうまくできなかったので、RDNSSを［Manual］に変更し、Google Public DNSのアドレスをクライアントへ配布するように構成した。
Wi-Fiを作る
1.グループを作る
Wi-Fiは、まず「Wi-Fi Group」を作成する。［Wi-Fi］の［Wi-Fi Network Groups］に、［Default］が作成されているが、今回は2.4GHz帯と5GHz帯を各ネットワークに割り振るので、［5GHzGroup］と［24GHzGroup］の2つを作成する。
2．Wi-Fiを追加する
続いて［Wi-Fi Networks］でWi-Fiを3つ追加する。「Create New Wi-Fi Network」をクリックし、［Create Advanced Wi-Fi］で、SSIDや認証方式など各項目を入力していく。
基本的に、SSIDやパスワードなどを好みで設定すればいいが（OfficeWi-FiのRADIUS設定は後述するので、とりあえずWPAで構成）、大切なのは、GROUPとVLAN IDの設定だ。
VLAN IDは、LANと同じものを設定しておけばいいが、GROUPは注意が必要だ。基本的には、作成したWi-Fiが5GHz帯と2.4GHz帯のどちらを使うかで、1.で作成した［5GHzGroup］か［24GHzGroup］を割り当てればいい。
ただし今回、OfficeWi-Fiに関しては、2.4GHz帯でも5GHz帯でも。どちらでも接続可能にしたい。このため、OfficeWi-Fiに関しては、全く同じ名前で2つのWi-Fi Networkを作成し、片方は［5GHzGroup］、もう片方は［24GHzGroup］を割り当てておく。これで、OfficeWi-FiというSSIDに接続する際、2.4GHz帯と5GHz帯のいずれでも接続できるようになる。
3．グループを各周波数帯に割り当てる
最後に、作成したWi-Fi GroupをUDMの無線に割り当てる。LANのポート割り当てと同様に、［デバイス］のUDMから、［構成］を開き、［WLANS］の［WLAN2G］に1.で作成した［24GHzGroup］、［WLAN5G］に［5GHzGroup］を割り当てる。
ネットワーク間のアクセスを制限する
1．現状チェック
ここまでできていれば、有線LANにしろWi-Fiにしろ接続できるようになっているので、まずは現状をチェックしてみよう。
実際に接続チェックをすると、次のような結果になるはずだ。
| LAN | Office | Store | Guest | |
| LAN | 〇 | 〇 | 〇 | × |
| Office | 〇 | 〇 | 〇 | × |
| Store | 〇 | 〇 | 〇 | × |
| Guest | × | × | × | 〇 |
おおむね期待通りだが、Guest同士の通信は許可されてしまっている。加えて、今回はOfficeへのほかのネットワークからのアクセスを制限したいがStoreからのアクセスは許可されているので、この2つを変更する必要がある。
2．StoreからOfficeへのアクセスをフィルタリングする
ネットワーク間の通信はファイアウォールを使ってフィルタリングする。StoreLANからOfficeLANへのアクセスを禁止したいのであれば、［LAN IN］に次の2つの設定を追加すればいい。
3．Guest端末同士の通信を遮断する
この設定は、「Guest」プロファイルを適用することで自動的に構成されるかと思ったが、そうではなさそうなので追加したものだ。2.と同様に、ファイアウォールで次のフィルターを［LAN IN］に追加すればいい。
Wi-Fiのセキュリティを強化する
ここまでの設定でも普通に運用できそうだが、さらに設定を追加して、よりセキュリティを強化していこう。
1．Guestにキャプティブポータルを構成
キャプティブポータルの設定はシンプルだ。設定画面の［HOTSPOT］で機能を有効化すればいい。
認証をどうするかは運用方法次第だが、今回はGuestWi-FiがWPA-PSKなので、「No Authentication」で規約に同意したときに接続を許可すれば十分だろう。［Simple Password］で共通のパスワードを入力させる方法なども選択できる。
あとは画面のデザインなので、好みで設定すればいいが、［Advanced］を選択すると、接続可能な時間も選択できる。ここでは、1時間に設定しておいた。
2．OfficeWi-FiをWPA Enterpriseに変更する
UDMは、認証用のRADIUSサーバーを内蔵しているため、単体でWPA EnterpriseでのWi-Fi接続を構成可能だ。
通常のWPA-PSKであれば、接続ユーザー全員がWi-Fi接続時に共通のパスワードを入力するが、WPA Enterpriseで設定すると、ユーザー名と、ユーザーごとに個別のパスワードで認証ができるようになる。
OfficeWi-Fiの設定を［WPA Enterprise］に変更し、［Radius Profiele］を［Default(UDM)］に設定。その後、［GATEWAY］の項目にある［RADIUS］でRADIUSサーバーをオンにし、［Create New User］からユーザーを追加しておけばいい。これで、Wi-Fiに接続する際、ユーザー名とパスワードが要求されるようになる。
DNSフィルターを構成する
UDMには、ベータ版の機能が多数搭載されているが、このDNSフィルターもその1つだ。
ユーザーがウェブサイトへアクセスする際に、あらかじめレーティングされたウェブページのデータベースを参照することで、悪意のあるウェブサイトやアダルトサイトなどへのアクセスを遮断できる。
設定はシンプルで、［INTERNET SECURITY］の項目にある［DNS Filters］で機能をオンにし、［Add Filter］からネットワークごとにフィルターを設定しておけばいい。
オフィスのネットワークからはフィッシング詐欺などのサイトへのアクセスをブロックし、店舗のネットワークではこれに加えてアダルトサイトへのアクセスを禁止、ゲストはさらにVPN接続を禁止する、というような使い方ができる。
DPIとIDS/IPSを構成
DPIは、UDMを通過するパケットを調査し、その利用状況を分析する機能だ。どのユーザー、どの端末が、どのサイトへアクセスしているのかなどを分析できる。この機能は標準でオンになっているため、特別な設定は不要で、しばらく使っていれば自動的にダッシュボードから利用状況をチェックできるようになる。
一方、IDS/IPSもDPIの仕組みを利用するものだが、こちらはセキュリティ対策機能の1つとなる。通信の中身をチェックして、脆弱性に対する攻撃だったり、botに感染した内部端末が外部に攻撃を発信したりと、不正な通信を検知することができる。
IDSの場合は検知と通知のみで、IPSは遮断まで実行するが、IPSだと意図しない通信断が発生することがある。まずはIDSで、どれくらい検知できるかを試してみるといいだろう。
こちらも設定は簡単だ。［INTERNET SECURITY］の［Threat Management］からオンにしてIDSかIPSを選択し、検出するレベルを設定しておく。
ひとまず最高のレベル5で設定して、とりあえず1週間ほど運用してみたが、怪しい通信は検知できなかったので、内部から意図的に不正な通信を発生させ、その効果を試してみた。
Windowsであれば、コマンドプロンプトから以下のように実行すれば、IPS/IDSがこの通信を検知してくれるはずだ。詳しくは「UniFi - USG/UDM: Configuring Internet Security Settings」（Ubiquiti Help）の内容も参考にして欲しい。
nslookup blacklistthisdomain.com 8.8.8.8
VPN Serverを構成する
最後にVPN Serverを構成する。
［VPN］の［VPN Servers］で、［Create New VPN Server］を選択して構成する。UDMはPre-Shared KeyによるL2TP接続のみをサポートしているため、設定すべきなのは、接続時に指定する［Pre-Shared Key］と、MS-CHAPv2を有効にしておくくらいだ。
認証に関しては、WPA Enterpriseの設定で利用したRADUSサーバーを利用するので、必要に応じてユーザーを追加しておく。
これだけでもいいが、VPNで接続すると、困ったことに冒頭で作成した全てのネットワークに接続できてしまう。このため、こちらもファイアウォールを使って接続先を制限する。
ここでは、特定のサーバーにのみアクセスできるようにする設定にしてみた。これはシンプルで、［LAN OUT］に次のように2つのフィルターを追加すればいい。アクセスさせたいサーバーを［Servers］グループであらかじめ定義しておく。
次にソースがVPNのアドレスで、宛先が定義したServersの場合は通信を許可（Allow）。もう1つは遮断のルールで、ソースがVPNのアドレスの場合、全ての宛先への通信をドロップするという構成だ。
これが3.6万円でできるんだからお買い得
以上、Ubiquiti NetworksのUniFi Dream Machineを実際に構成してみた。前回も触れた通り、設定がどこにあるのか探すのに手間取るものの、慣れてしまえば、小規模な構成なら少し凝ったネットワークでも、比較的手軽に構成が可能だ。
こうして文字と画面で紹介すると膨大に思えるが、コマンドを使った設定に比べれば、だいぶ分かりやすい。
実際に導入するなら学習時間はそれなりに必要だが、上記の構成をステップバイステップの紙面に起こしたものなどがあれば、画面の通りに操作するだけで、初心者でも今回のネットワークを構成することはできる。ネットワークを2つにするなどのアレンジも、さほど難しくないはずだ。
UDMは、その価格ももちろん革命的だが、こうした敷居の低さが魅力だ。それでもまだ敷居が高いと言う人もいるかもしれないが、少なくとも、従来の「そびえ立つ壁」が「ちょっとした垣根」くらいにはなったと言える。個人的には、この点を高く評価したい。
そして、UDM Proの国内販売を待ち望んでいる。4Kカメラ（UniFi Protect G4-PRO）まで購入できるかどうかは予算的に微妙だが、デュアルWANと10Gbps対応、録画が追加された世界を堪能したいと思う。
清水 理史
製品レビューなど幅広く執筆しているが、実際に大手企業でネットワーク管理者をしていたこともあり、Windowsのネットワーク全般が得意ジャンル。最新刊「できる Windows 10 活用編」ほか多数の著書がある。