法人向け無線LANアクセスポイントの選び方。WPA3と802.1X認証、コントローラ管理で選ぶ業務用AP

オフィスの無線LANは、机の上の一台のルーターで足りるうちは選定に迷いません。困るのはその先です。フロアが広がって電波が届かない場所ができ、アクセスポイント(AP)を二台三台と足していくと、SSIDとパスワードを機器ごとに手で合わせる作業が発生し、どのAPに誰がつないでいるのかも見えなくなります。退職者が出るたびに全社員へ新しいパスワードを配り直す運用も、社員数が二桁になると回らなくなります。

法人向けのAPは、この「複数台をまとめて扱う」ところに作りの違いがあります。設定を一括で配る仕組み、利用者ごとに認証して接続可否を判断する仕組み、SSIDごとにネットワークを分ける仕組み、そして状態とログを外へ出す仕組みです。家庭向け機種の上位モデルを買っても、この四つは代わりになりません。

この記事は、中小企業とSOHOで複数台のAPをコントローラでまとめて運用する前提に立ち、購入前に見るべき軸を整理します。すでにある機種の設定を固める話や、家庭向けルーターの選び方は別記事に譲ります。なお本記事はアフィリエイトリンクを含みます。紹介する製品の効果や適合性を保証するものではなく、購入判断はご自身の用途に照らしてお願いします。詳細は広告およびアフィリエイトについてをご覧ください。

家庭用ルーターと業務用アクセスポイントの分かれ目#

家庭用のWi-Fiルーターは、ルーティングとDHCPとNATとAP機能が一台に入っています。台数が一台で足りる範囲では合理的な作りです。一方、業務用APはルーティングを持たず、AP機能に特化しているものが主流です。上流のルーターやL3スイッチが経路とDHCPを担当し、APは電波と認証と転送だけを受け持ちます。

この分担が効いてくるのは台数が増えたときです。総務省が公開している手引書「企業等が安心して無線LANを導入・運用するために」は、複数のAPの管理を可能にするアクセスポイントコントローラを使うと、管理者パスワードの設定などの管理を容易に行えると述べています。設定の配布だけでなく、電波出力やチャネルの調整、ファームウェアの一括更新、接続端末の一覧表示といった作業が、コントローラの有無で工数の桁が変わります。

総務省の手引書(平成25年1月30日公表)は、APの初期設定パスワードはベンダごとに共通であるなどよく知られていることがあるため長くランダムなものへ変更すべきとしたうえで、複数のAPを管理できるアクセスポイントコントローラの利用により管理者パスワードの設定などの管理を容易に行えると説明しています。

同じ手引書は、無線LANの導入を準備と構築と運用と廃棄の四段階に分け、各段階で実施すべき事項を必須と追加と検討の三段階で整理しています。廃棄段階で無線LANの設定情報を消去することまで必須に挙げている点は、リース返却や中古売却を想定するとそのまま使える指針です。文書自体は2013年の公表でWPA3より前の内容ですが、認証と分離とログという骨格の考え方は現在の製品選定にも当てはまります。

なお、中小企業が組織としてどこから手を付けるかという順序については、IPAの「中小企業の情報セキュリティ対策ガイドライン」が参考になります。2026年3月に第4.0版が公開され、はじめに取り組む「情報セキュリティ5か条」に「バックアップを取ろう!」が加わって6か条となり、「5分でできる!情報セキュリティ自社診断」の項目にも外部から内部ネットワークへの不要な通信を遮断することなどが追加されています。無線LANの整備は、この土台の上に載せる施策として位置づけると予算の説明もしやすくなります。

IPAは「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開し、情報セキュリティ5か条に「バックアップを取ろう!」を追加して6か条としたこと、自社診断の項目に「外部から内部ネットワークへの不要な通信を遮断する」などを追加したことを説明しています。

WPA3の動作モードで設定の意味が変わる#

Wi-Fi Allianceは、WPA3をWi-Fi CERTIFIED機器で必須とし、管理フレームを保護するProtected Management Frames(PMF)も新規の認証機器すべてに要求すると説明しています。つまり現行機を買えばWPA3自体は使えます。選定で見るべきは対応の有無ではなく、どのモードで運用できるかです。

Wi-Fi Allianceは、WPA3がWi-Fi CERTIFIED機器で必須であること、PMFがユニキャストとマルチキャストの管理アクションフレームまで保護を広げ新規の認証機器すべてに要求されることを示しています。

Wi-Fi AllianceのWPA3仕様(執筆時点で確認できる最新はv3.5、2025年2月26日改訂)は、AP側とクライアント側それぞれの構成要件をモードごとに定めています。設定画面に並ぶ選択肢の裏側は次のようになっています。

Personal側のSAE(Simultaneous Authentication of Equals)は、記録した通信からパスフレーズを後追いで割り出すオフライン辞書攻撃を成立しにくくする手続きです。ただしTransition Modeでは同じSSIDにPSKも残るため、攻撃者が旧方式だけを提示する偽APを立てれば、対応端末がPSK側へ落ちる余地が残ります。仕様はこの下げ落としに対する仕組みとしてTransition Disableを定義しており、ネットワーク内のすべてのBSSでWPA3が有効になった時点でAPからクライアントへ指示を出し、クライアント側のプロファイルをOnly Modeへ再構成させて以後のダウングレードを防ぎます。同時に、この指示の誤設定は同じネットワークの別BSSへの接続に影響するため、APは既定でTransition Disableを有効にしてはならないとも定められています。

Wi-Fi AllianceのWPA3仕様v3.5は、Transition DisableがAPからクライアントへの指示であり、ネットワークのすべてのBSSでWPA3が有効になった時点でクライアントのプロファイルをWPA3-Personal Only Modeへ再構成させてダウングレード攻撃から保護すること、およびAPがBSSの既定でTransition Disableを有効にしてはならないことを定めています。

192ビットモードは、AKMをSuite B 192bitのみに固定し、ペアワイズ暗号とグループデータ暗号をGCMP-256、グループ管理暗号をBIP-GMAC-256に限定します。使えるEAPの暗号スイートもP-384の楕円曲線かRSA 3072ビット以上を用いる三種類に絞られ、他のセキュリティモードとは相互接続しません。仕様は政府や防衛や産業といった高い要求のある環境に適するとしており、一般的な中小企業のオフィスで最初から選ぶ設定ではありません。製品仕様に「192-bitセキュリティモード」と書かれていても、それは選択肢が用意されているという意味で、常用を勧める表示ではない点を押さえておくと迷いません。

事前共有鍵の運用が破綻する場面#

WPA3-Personalに移行しても、事前共有鍵(パスフレーズ)を全員で共有する運用そのものの制約は消えません。総務省の手引書は、PSK認証では同じAPに接続する端末で共通のパスフレーズを設定する必要があるため漏えいの危険があること、パスフレーズを個々の端末へ自動的に配布する仕組みがないため端末数が増えると設定や更新の管理と運用が煩雑になることを指摘し、基本的には端末認証が行えるIEEE 802.1X認証を利用することが適当だと述べています。

総務省の手引書は、PSK認証は認証サーバが不要で採用は容易だが共通のパスフレーズを使うためなりすまし接続の危険があり、パスフレーズを自動配布する仕組みがないため端末数が増えると管理と運用が煩雑になるとしたうえで、基本的には端末認証が行えるIEEE 802.1X認証の利用が適当だと結論づけています。

実務でこれが刺さるのは退職と端末紛失の場面です。共有パスフレーズを知っている人が辞めれば、理屈のうえでは全端末のパスフレーズを入れ替える必要があります。一台でも入れ替え漏れがあると、その端末はつながらなくなり、問い合わせが情シスに飛びます。結果として「面倒だから変えない」という判断に流れ、退職者が知っている鍵が何年も生き残ります。802.1Xであれば、認証サーバ側で当該利用者のアカウントを止めるだけで、その人の端末だけが接続できなくなります。

同じ手引書は、代替策として使われがちな二つの設定にも釘を刺しています。SSIDのステルス化はステルス化されたSSIDを検知するツールが公開されているため組織の対策としての有効性は乏しく、MACアドレスフィルタリングもMACアドレスの偽装が可能なため同様だとしています。どちらも「やっても害はない」程度の位置づけで、認証の代わりにはなりません。選定の場で「MACアドレス制限があるから安心」と説明された場合は、その先に802.1Xがあるかを確認します。

利用者ごとの認証という考え方は、無線LANだけの話ではありません。業務システム側の認証強化と歩調を合わせると効果が出ます。

あわせて読みたい

多要素認証（MFA）の選び方と導入の勘所。方式比較から運用まで徹底解説

802.1XとRADIUSサーバーの選択肢#

IEEE 802.1X認証は、端末の認証用ソフトウェア(サプリカント)と、802.1Xに対応したAP(オーセンティケータ)と、RADIUSサーバの三つで構成されます。APは認証の判断をせず、端末とRADIUSサーバの間でEAPのやり取りを中継し、サーバの応答に従って接続を許可します。ユーザー情報がサーバ側で一元管理されるため、端末とAPが増えても管理は分散しません。

RADIUSサーバの持ち方は、おおむね三通りです。

APの内蔵RADIUSは手軽ですが、登録件数の上限とバックアップの扱いを確認します。ヤマハのWLX222とWLX232は内蔵RADIUSサーバーを最大1,000件、EAP-PEAP(MSCHAPv2)とEAP-TLSに対応と公式仕様に記載しており、小規模なら十分な規模です。バッファローのWAPM-AX4Rも内蔵RADIUSサーバー機能とMAC-RADIUS認証を仕様に挙げています。

社内のActive Directoryを使う場合、Microsoftの説明では、Windows ServerのNPSがRADIUSサーバとして動作します。Microsoft Entra IDそのものがRADIUSの終端になるわけではなく、Entra IDの多要素認証を無線LANの接続に効かせたい場合は、NPSサーバへ多要素認証のNPS拡張機能を入れる構成が案内されています。この構成ではNPSがActive Directoryに対して一次認証を行い、その後にクラウド側へ多要素認証の要求を送ります。

Microsoftは、Windows ServerのNPSがRADIUSサーバとして動作すること、RADIUSを使うワークロード(VPNやWi-Fiアクセスなど)にMicrosoft Entra多要素認証を適用する場合はNPSサーバへNPS拡張機能を導入すること、NPSがActive Directoryで一次認証を行ったうえで多要素認証の要求をクラウドへ送ることを説明しています。

もう一点、802.1Xで見落とされやすいのがサーバー証明書の検証です。WPA3の仕様は、EAP-TLSとEAP-TTLSとEAP-PEAPv0とEAP-PEAPv1を使うクライアントに対してサーバー証明書の検証を行うことを求め、検証に失敗した場合はEAPのフェーズ2へ進んではならないとしています。検証を切った端末が一台でもあると、正規のSSIDを騙る偽APにパスワードを渡してしまう経路が残ります。端末側のプロファイル配布まで含めて設計できるかどうかが、802.1X導入の成否を分けます。

拠点が一つで人数が限られ、外部サーバを立てずに802.1Xを始めたい場合は、内蔵RADIUSを持つ国産機が現実的な入口になります。

SSIDとVLANでネットワークを分ける#

一つのAPで複数のSSIDを出せることと、それらが分離されていることは別の話です。総務省の手引書は、利用者の属性ごとに使える資産を制限するため、権限ごとに異なるSSIDを設定し、マルチSSID機能を持つAPでSSIDごとにVLANを設定してネットワークを分割する方法を挙げています。SSIDを増やしただけでVLANを分けていなければ、来客用のSSIDから業務用の共有フォルダへ到達できる状態が残ります。

NISTのSP 800-153「Guidelines for Securing Wireless Local Area Networks (WLANs)」(2012年2月公開)も同じ方向の指針を示しています。無線LANの利用形態が複数あるなら論理的に分離した無線LANを持つべきで、来客などの外部利用と内部利用は分けること、一方の無線LANの機器が他方の機器へ接続できてはならないこと、有線側へアクセスする必要がある場合も必要なホストへ必要なプロトコルだけを許すことを求めています。あわせて、有線と無線に同時接続した端末(dual connected)を経由して有線側が攻撃される経路にも触れ、どの形態の同時接続を許すか禁止するかを明文化して技術的に強制することを勧めています。

NIST SP 800-153は、無線LANの利用プロファイルが複数ある組織は論理的に分離した無線LANを持つべきで、来客などの外部利用と内部利用を分け、一方の無線LANの機器が他方の機器へ接続できないようにすること、有線ネットワークへのアクセスは必要なホストへ必要なプロトコルだけに限ることを推奨しています。

製品仕様で確認する項目は三つです。第一に、SSIDごとにVLAN IDを割り当てられるか。第二に、同じSSIDにつないだ端末どうしの通信を止められるか(プライバシーセパレータやクライアント分離と呼ばれる機能)。第三に、有線側のスイッチがタグVLANを扱えるか。三つ目はAP側ではなくスイッチ側の要件で、ここが未対応だと設計が成立しません。VLANを前提としたスイッチの選び方は関連記事で整理しています。

あわせて読みたい

家庭と小規模オフィスでIoT機器を隔離するVLAN対応スイッチの選び方

来客用のSSIDについては、スイッチのVLAN設定なしで隔離できる機能を持つ機種もあります。手軽ではありますが、隔離の範囲がベンダの実装に依存するため、業務用と同じ配線に載せる場合は仕様の記載を読んで適用範囲を確かめます。ネットワークを分ける考え方そのものは、無線に限らず社内全体の設計に効いてきます。

あわせて読みたい

ネットワークセグメンテーションで侵入後の被害を広げない設計

外付けアンテナで電波の届く範囲を調整したい場合や、来客用ポートを標準機能で持たせたい場合には、国内メーカーの法人向けモデルが選びやすくなります。

管理方式とライセンス費用#

複数台をまとめる仕組みは、大きく三通りに分かれます。どれを選ぶかで、初期費用と継続費用と障害時の挙動が変わります。

中小企業の規模では、コントローラレスのクラスタ管理で足りる場合が少なくありません。ヤマハのWLX222とWLX232は、同じL2ネットワークに接続された複数台のAPを一元管理するクラスター管理機能を持ち、管理可能台数を最大128台と記載しています。数台から十数台の拠点であれば、専用機器を追加せずに設定の同期と一括更新ができます。

クラウド管理を選ぶ場合は、無料の範囲と有料の範囲を購入前に切り分けます。TP-LinkのOmadaは、クラウドベースコントローラとハードウェアコントローラとソフトウェアコントローラの三通りを用意していますが、日本語の公式コントローラーページには「クラウド型コントローラーのご利用には、デバイス一台につきライセンス費用が発生します」という記載があります。ハードウェアコントローラを買うのか、ソフトウェアコントローラを社内サーバで動かすのか、クラウドの台数課金を払うのかで、三年間の総額はかなり変わります。

TP-Linkの日本語コントローラー一覧ページは、Omadaのコントローラーとしてクラウドベースとハードウェアとソフトウェアの三種類を掲げ、クラウド型コントローラーの利用にはデバイス一台につきライセンス費用が発生すると案内しています。

管理の入口が増えることは、守るべき入口が増えることでもあります。クラウド管理を使う場合は、管理コンソールのアカウントを多要素認証で守れるか、権限を担当者ごとに分けられるか、操作ログが残るかを確認します。オンプレコントローラでもコントローラ自身のOSと管理画面の更新は必要で、放置すれば無線LAN全体の設定を握られる資産になります。

コントローラの選択肢を三通りとも持ち、ローカルとクラウドを後から切り替えたい場合は、次のような機種が候補になります。

ログと監視を運用に載せる#

APは電波を出す機器であると同時に、誰がいつどこから接続したかを知る唯一の記録源でもあります。総務省の手引書は、APと認証サーバのログを収集して定常的に分析することで不正な通信や攻撃の疑いを早期に検知できるとし、ログを他のサーバへ転送する機能があれば複数のAPと認証サーバのログを集中管理して横断的かつ時系列で分析できると述べています。製品仕様で見るのは、Syslog転送の可否と、SNMPのバージョン、そしてNTPクライアントの有無です。

時刻同期は地味ですが効きます。複数台のAPのログを突き合わせるとき、機器ごとに時刻がずれていると事象の順序が追えません。NTPクライアントを持ち、社内のNTPサーバか信頼できる外部サーバへ向けられることを確認します。SNMPはv1とv2cがコミュニティ名を平文で扱うため、監視に使うならv3を選び、v1とv2cは無効化するのが基本の形です。

NIST SP 800-153は、監視を攻撃監視と脆弱性監視の二種類に分けて両方を実施することを求め、無線LANの構成要素についても他のソフトウェアと同様にパッチの特定と適用および設定値の確認と調整を行うべきだとしています。加えて、無線LAN全体を評価する技術的なセキュリティ評価を少なくとも年一回、継続的監視が評価に必要な情報をすべて集めているのでなければ四半期に一度は定期評価を行うことを推奨しています。

NIST SP 800-153は、無線LANのセキュリティを支えるために攻撃監視と脆弱性監視の両方を行うこと、無線LAN全体を評価する技術的評価を少なくとも年に一度実施し、継続的監視で必要な情報が得られていない場合は四半期ごとの定期評価も行うことを推奨しています。

許可なく持ち込まれたAPの検知も、この文脈に入ります。総務省の手引書は電波状況を定期的に監視して許可なく設置されたAPや不正なAPを検知することを挙げていますが、SSIDもMACアドレスも偽装できる点に留意する必要があるとも書いています。製品側では不正AP検出の機能を持つ機種があり、コントローラの画面で周囲のAPの一覧を見られると点検の手間が下がります。

ファームウェア更新とサポート期間#

APはインターネットに直接面していないことが多い機器ですが、社内のどの端末からも管理画面に届く位置にあります。管理画面の脆弱性が残っていれば、社内に入り込んだ攻撃者にとっては設定変更と通信傍受の足場になります。買った後に効いてくるのは、更新が出るかどうかと、それを知る手段があるかどうかです。

確認しておきたいのは次の三点です。第一に、脆弱性情報を公開する窓口が用意されているか。ヤマハはネットワーク製品の「重要なお知らせ」で告知を出し、脆弱性開示プログラム(VDP)の受付ページも公開しています。バッファローは法人のお客様へのお知らせのページと脆弱性開示ポリシーを、TP-Linkはセキュリティアドバイザリのページを持っています。第二に、ファームウェアの更新手段が運用に合うか。コントローラから一括で当てられるのか、一台ずつ管理画面で入れ替えるのかで、台数が増えたときの負担が変わります。第三に、生産完了後もどれだけ更新が続くか。ヤマハは無線LANアクセスポイントの製品一覧に生産完了品の区分を設けており、購入前に現行機か生産完了品かを判別できます。

保守サービスの有無も見ておきます。バッファローのWAPM-AX4Rは製品ページに「3年+2年保証」と「保守対応」の表記があります。故障時に代替機がどれくらいで届くかは、無線LANが止まると業務が止まる拠点では効いてきます。

ヤマハはネットワーク製品のサポートページに「重要なお知らせ」を設け、製品に関する告知を公開しています。脆弱性の受付については別途、脆弱性開示プログラム(VDP)のページを用意しています。

公表された脆弱性を追う先としては、JPCERT/CCとIPAが共同運営するJVNが日本語で情報を出しています。導入している型番を控えておき、機器の追加や年次点検のタイミングで確認する運用にすると、見落としが減ります。

技適の確認と国内正規流通#

海外メーカーのAPを個人輸入や並行輸入で入手する場合、日本の技術基準に適合した表示(技適マーク)がない機器を国内で使うと電波法に抵触します。総務省の作業班に提出された2025年11月25日付の資料は、店頭販売と違ってEC販売では技適マークの表示そのものを確認できない状態で購入を判断せざるをえないケースが増えていること、技術基準適合性を確認できないまま購入した機器が技術基準に適合せずそのまま利用された場合は電波法に抵触することを指摘しています。

総務省の作業班資料(令和7年11月25日)は、技適マークの表示は基本的に無線設備の目視で確認できるよう制度設計されているが、EC販売では表示を確認できない状態で購入判断をせざるをえないケースが増えており、技術基準に適合しない機器をそのまま利用した場合は電波法に抵触すると整理しています。

法人利用では、国内の正規流通品を選び、保証と保守と技適の三点が揃っていることを購入先に確認するのが安全です。海外モデルは対応周波数や送信出力が国内の制度と異なる場合があり、6GHz帯の扱いは国ごとに違います。ヤマハのWLX232は6GHz帯の対応周波数帯を5,925から6,425MHzと公式仕様に明記しており、国内向けモデルであることが仕様表から読み取れます。海外メーカーの製品を検討する場合は、日本向けの販売経路と表示を確認してください。

PoE給電と設置台数の考え方#

業務用APの多くは天井や壁に付けるため、電源コンセントを避けてLANケーブル経由で給電するPoEを使います。ここで見るのは、APが要求するPoEの規格と、スイッチ側が供給できる電力です。

規格はIEEE 802.3af(PoE)、IEEE 802.3at(PoE+)、IEEE 802.3bt(PoE++)の順に供給できる電力が上がります。製品仕様には対応規格と最大消費電力が書かれているので、そこを起点に計算します。実例を並べると、ヤマハWLX222はPoE(IEEE 802.3af準拠)で最大消費電力10.8W、ヤマハWLX232はPoE(IEEE 802.3at準拠)で最大消費電力15W、バッファローWAPM-AX4RはPoE(IEEE 802.3at)で最大消費電力16.3W、TP-Link EAP653はIEEE 802.3at準拠のPoEとDCの両対応、Ubiquiti UniFi U7 ProはPoE+で最大消費電力21Wという記載です。Wi-Fi 6EやWi-Fi 7で無線を三つ載せる機種ほど消費電力が上がる傾向があり、802.3afのスイッチでは足りない場合があります。

スイッチ側は、ポートごとの供給上限と、装置全体の給電容量(PoEバジェット)の両方を見ます。8ポートのPoEスイッチでも全ポートに802.3atの電力を同時に出せるとは限りません。AP4台にIP電話やネットワークカメラが同居する構成では、合計値がバジェットを超えないかを事前に確認します。PoEインジェクタで個別に給電する手もありますが、台数が増えるほど電源まわりが散らかります。

設置台数の考え方は、面積よりも「同時に通信する端末の数」と「壁の材質」で決めます。石膏ボードと違い、コンクリート壁や金属製のパーティションは電波を大きく減衰させます。総務省の手引書は電波の伝搬範囲を制限する管理面の対策として、窓や外壁付近にAPを設置しない、電波出力を調整する、指向性のあるアンテナを使うといった方法を挙げています。出力を最大にして台数を減らすより、出力を絞って台数を増やすほうが、APどうしの干渉が減り、隣室や屋外への漏れも抑えられます。

6GHz帯まで使いたい場合や、2.5ギガビットの有線区間を前提にしたい場合は、上位のモデルが候補になります。

Wi-Fi 6と6Eと7が設定に与える制約#

新しい世代を選ぶ理由は速度だけではありません。Wi-Fi AllianceのWPA3仕様は、周波数帯と世代ごとにセキュリティ上の制約を定めています。

6GHz帯でBSSを運用するAPは、TKIPを許可してはならず、WPA3-Personal Transition Modeで構成してはならず、802.1X SHA-1のAKMを許可してはならないため結果としてWPA3-Enterprise Transition Modeでも構成できません。PMFはRequiredで、Wi-Fi Enhanced Openの移行モードも使えません。つまり6GHz帯を使うSSIDは、必然的にWPA3のOnly Mode相当になります。旧端末を混ぜる余地がないため、6GHz帯は新しい端末専用のSSIDとして切り出す設計が自然です。

Wi-Fi 7のEHTやMLOを有効にしたBSSでも、PSK系のAKMと802.1X SHA-1のAKMはEHTやMLOをネゴシエートする接続で使えず、暗号化を伴わないオープン接続も有効にできません。仕様には、APが許可されたAKMを一つも広告していない場合、クライアントがEHTとMLOを無効にしてWi-Fi 6相当の機能へ落ちる可能性があるという注記もあります。設定を古いままにしておくと、Wi-Fi 7対応機を買っても世代の機能が働かない状態になりえます。

Wi-Fi AllianceのWPA3仕様v3.5は、6GHz帯のBSSではTKIPとWPA3-Personal Transition Modeと802.1X SHA-1 AKMを許可せずPMFをRequiredとすること、EHTやMLOを有効にしたBSSではPSK系AKMと802.1X SHA-1 AKMをEHTやMLOの接続に使えないことを定めています。

中小企業の実務としては、当面は5GHz帯を主役に置き、6GHz帯は新しい端末向けの追加SSIDとして使う、という段階的な構成が扱いやすくなります。家庭向け機器と業務用機器の考え方の違いは、こちらの記事とあわせて読むと整理しやすくなります。

あわせて読みたい

セキュリティ重視の無線LANルーターの選び方。WPA3と自動更新、ネットワーク分離で選ぶ買い方ガイド

導入直後に必ず変える設定#

機種が決まったら、設置の当日に済ませる作業があります。順序を決めておくと漏れが減ります。

このうちWPSについて補足します。Wi-Fi Allianceは現在、QRコードやNFCタグを使って公開鍵暗号で機器を登録するWi-Fi Easy Connectという方式を案内しており、APを入れ替えても全機器を新しいAPへ登録し直す必要がない点を利点として挙げています。業務用の環境では、そもそもプロファイル配布かキャプティブポータルで接続を制御するのが基本になるため、WPSは無効のままで支障が出にくい設定です。

Wi-Fi Allianceは、Wi-Fi Easy ConnectがQRコードやNFCタグの読み取りなどで機器を登録する標準化された方法を提供し、公開鍵暗号による安全な認証を用いること、およびAPを交換しても全機器を新しいAPへ登録し直す必要がないことを説明しています。

選定で見る指標#

比較表を作るときの軸を整理します。カタログの最大速度と同時接続台数だけを並べると、運用に効く差が見えなくなります。

数値の測定条件はメーカーごとに異なり、機能名が同じでも適用範囲が違うことがあります。気になる機種は、比較サイトの一覧ではなくメーカーの仕様ページを開いて一項目ずつ確かめる進め方が確実です。

買う前のチェックリスト#

法人向けAPの選定は、速度の数字より運用の形で決まります。利用者ごとに接続を切れること、来客用と業務用が同じ配線の上で分かれていること、複数台の設定とログが一箇所から見えること、そして更新が続くことです。この四つが揃っていれば、台数が増えても運用は破綻しません。逆にどれか一つでも欠けると、増設のたびに手作業が積み上がり、いずれ「触れない無線LAN」になります。導入時に決めた構成を図と手順書に残し、年に一度は設定と接続端末の一覧を見直す運用まで含めて、機種を選んでください。