ジュニパー Mist Access Assurance の WPA3 Radius PSK サポート

導入

ジュニパー Mist Access Assuranceは、WPA3マルチパスフレーズ(Multi-PSK)をサポートしているため、MACベースのデバイス登録を通じて、複数のパスフレーズを持つ単一のWPA3パーソナルSSIDを導入できます。この機能により、グループごとに固有のパスフレーズを使用しつつ、異なるデバイスタイプが同じSSIDに安全に接続できるようになり、無線ネットワーク管理が簡素化されます。

WPA2マルチPSKの導入では、複数のパスフレーズを1つのSSIDに割り当てることができ、有効なパスフレーズを提供するデバイスであれば誰でも正常に認証できます。ただし、WPA3 は Simultaneous Authentication of Equals(SAE)プロトコルを使用し、クライアントとネットワーク間で相互鍵交換を強制します。その結果、WPA3マルチPSKが正しく機能するためには、クライアントのMACアドレスまたはMAC OUIを対応するパスフレーズに事前に関連付けて、認証中に鍵が適切に一致するようにする必要があります。

要件

ジュニパー Mist Access AssuranceでWPA3複数パスフレーズ(マルチPSK)を有効にして使用するには、以下の前提条件が満たされていることを確認します。

• APファームウェア:バージョン0.14.x以降
• サブスクリプション:Access アシュアランススタンダード(またはそれ以上)

注:

1. WPA3マルチPSKは、組織レベルでのみサポートされます。WLANと事前共有キー(PSK)の両方を組織レベルで設定する必要があります。
2. クライアントオンボーディングは、現在WPA3マルチPSKではサポートされていません。そのため、すべてのPSKエントリーを手動で作成し、対応するMACアドレスまたはMAC OUIに関連付ける必要があります。

WLAN設定

ジュニパーMistポータルで複数のパスフレーズを持つWPA3-Personal(SAE)WLANを設定するには、以下の手順に従います。

1. Organization > Wireless > WLAN Templatesに移動し、Add WLANをクリックします。
2. セキュリティモードとして WPA3 と パーソナル(SAE) を選択します。
3. 複数のパスフレーズと RADIUS PSK を有効にします。
4. デフォルトのPSKとデフォルトのVLAN IDを入力します。
   • デフォルトのPSKは、MACアドレスが登録されていないクライアントによって使用されます。
   • VLAN を指定しない場合、未登録のクライアントはデフォルトで自動的に VLAN 999 に割り当てられます。
5. [認証サーバー]セクションまで下にスクロールし、認証サーバーとしてMist Authを選択します。
6. VLANセクションで、 動的VLANを有効にし、 WPA3パスフレーズに使用されるすべてのVLAN IDを含めます。
7. 保存をクリックして設定を適用します。

事前共有鍵の設定

WLANを設定した後、次の手順に従って、ジュニパー MistポータルにWPA3 RADIUS PSKエントリを作成して登録します。

1. [Organization > Wireless > Pre-Shared Keys]に移動します。
2. 「 キーの追加」をクリックします。
3. WPA3 RADIUS PSKで設定されたリストからSSIDを選択します。キー名、SSID、VLAN ID、パスフレーズ、有効期限、ロール、登録済みMACアドレスとしての使用状況など、必要な情報をすべて入力します。MACアドレスまたはMAC OUIを入力します。このパスフレーズには、1つ以上のMACアドレスまたはOUIを関連付けることができます。
4. 「保存」をクリックします。
   図2:事前共有鍵の設定

設定が完了すると、一致するMACアドレスまたはOUIを持つデバイスは、関連するパスフレーズを使用して認証できるようになります。MACアドレスが登録されていないデバイスは、WLAN設定で指定されたデフォルトのPSKで認証できます。

クライアント接続と検証

登録済みのMACアドレスまたはOUIを持つクライアントは、割り当てられたWPA3マルチPSKパスフレーズと対応するVLANを使用して接続します。

接続を確認するには、 クライアント > NACクライアントに移動します。PSK設定からのキー名が ユーザーとして表示されます。

このビューから、 クライアントインサイト をクリックして、詳細な接続イベントを確認し、認証中のキー検索プロセスを確認できます。

登録されていないMACアドレスを持つクライアントは、デフォルトのPSKを使用して接続し、デフォルトのVLANに配置されます。