ゲストネットワークとは｜ネットミリしら

ゲストネットワークとは

ゲストネットワークは、来訪者用の端末を家庭内機器などから分離して接続させる無線LAN機能です。英語ではguest network（ゲスト・ネットワーク）またはguest Wi‑Fi（ゲスト・ワイファイ）と呼びます。

利用者には別のSSIDを見せ、内部では別VLANや別IPサブネットへ収容し、ファイアウォールで家庭内LANへの通信を拒否します。インターネットへの通信だけをルーターで許可するのが基本形です。

名前を別にすることではなく、通信経路を別の境界へ分けてアクセス制御することが保護の本体です。SSIDだけ追加し、内部で同じLANへ橋渡ししていれば分離にはなりません。

別SSIDは入口、別サブネットと通信規則が境界どの層まで分かれているかを設定画面と通信試験で確かめる

無線別SSID・BSSID

来訪者が選ぶ接続名と暗号設定を家庭用から分け、資格情報を別管理する

リンク別VLAN・ブリッジ

無線フレームを信頼LANとは異なる論理セグメントへ収容する

IP別サブネット・DHCP

異なるIP範囲とデフォルトゲートウェイ設定を配り、境界で経路制御する

制御ファイアウォール

外部は許可し、家庭内・管理画面・必要に応じて来訪者間を拒否する

図2家庭向け製品では内部実装が表示されない場合があります。「イントラネットアクセス」「クライアント分離」などの設定名と実機試験で確認します。

ゲストからNAS、プリンター、スマート家電へ到達できない設定は、信頼LANとの分離です。一方、同じゲストSSIDへ接続した端末同士を遮断する機能はclient isolation（クライアント・アイソレーション）やAP分離と呼ばれます。

来訪者同士で画面共有やプリンターを使う用途では端末間通信が必要ですが、不特定多数へ提供する場所では分離が安全です。「ゲスト分離」と「ゲスト同士の分離」の二つを確認します。

家庭内端末への通信を止めても、デフォルトゲートウェイであるルーター自身へは設定上到達できます。管理画面、SSH、ファイル共有などをゲスト側インターフェースで待ち受けないようにします。

DNSをルーターが中継する場合、名前解決用ポートだけを許可し、管理機能と分離します。ゲストが独自DNSを使えるか、ペアレンタル制御やフィルタリングを適用するかも方針を決めます。

IPv4ではNATがあるため内部へ入りにくいように見えますが、分離の根拠はファイアウォール規則です。IPv6では各端末がグローバルアドレスを持てるため、IPv4規則だけを設定すると意図しない到達性が残ることがあります。

ゲスト用IPv6プレフィックス、RA、DNS、入力・転送ファイアウォールを確認します。マルチキャスト名前解決や機器発見も、信頼LANへ中継しないのが基本です。

更新が止まった家電を家庭PCから分けるため、ゲストネットワークをIoT用に転用する方法があります。しかしスマートフォンから家電を操作するには、特定のローカル通信やマルチキャスト発見が必要で、完全分離すると使えません。

対応ルーターではIoT専用ネットワークやVLANを使い、必要な方向だけ許可します。キャプティブポータル、利用時間、帯域制限を来客用へ設定できる製品もあります。

ゲストへ接続した端末のIPアドレスとサブネットを確認し、信頼LANのNAS、プリンター、ルーター管理画面へ到達できないことを試します。別のゲスト端末との通信も方針どおりか確認します。

設定画面の名称だけで完了にせず、IPv4・IPv6・端末間を個別にテストします。ファームウェア更新後に既定値が変わっていないかも再確認します。