来訪者をセキュアな WPA-Enterprise ネットワークに接続する
Cisco Meraki・UniFi・TP-Link・Ruckus など標準的なアクセスポイント向けに 来訪者 WiFi エントリーを作成し、アクセスポイントを Offision の RADIUS サーバーに 向け、来訪者がバッジのユーザー名とパスワードで接続できるようにします。
完了の状態はこうです。テスト用の来訪者がチェックインし、バッジのユーザー名と パスワードでゲスト SSID に接続でき、チェックアウト後は拒否される。
1. ネットワークのエントリーを追加する
来訪者 WiFi を開いて 追加 を選び、メニューからコントローラーに合った ブランドを選びます — Cisco・Ruckus・TP-Link・Unifi、あるいは 標準的な RADIUS アクセスポイントなら Generic です。ブランドは作成後に 変更できません。
来訪者 WiFiを開く
来訪者 WiFi ページ — 1行が1つのゲストネットワーク。
マーケットプレイスの 来訪者 WiFi カテゴリにもベンダーごとのタイルがあり、 タイルを開くとブランドが選択済みの状態で同じ一覧が開きます。
2. 基本ページを埋める
エントリーに名前を付け、サインインの規則 — ユーザー名タイプ と パスワードタイプ — を決め、このネットワークが1拠点だけのものなら建物を 紐付けます。
RADIUS エントリーの基本ページ — サインイン規則があり、ネットワーク名の欄はない。
各フィールドの説明は設定リファレンスに あります。このページにネットワーク名の欄はありません。セキュアなネットワークの 名前はコントローラー側で付けるもので、その安全性は共有パスワードではなく 来訪者ごとのサインインから来ています。
3. RADIUS の値をコントローラーに写す
ダイアログの2ページ目 RADIUS 設定 を開きます。すべて自動で生成されて います。ホスト IP または FQDN・認証ポート・シークレット・ NAS 識別子 です。
RADIUS 設定ページ — コントローラーに写す値。
2つのブランドだけ異なります。
- Unifi はアクセスポイント単位で認証します。NAS 識別子の代わりに、アクセス ポイントの MAC アドレス を1行に1つずつ入力します。
- Cisco は同じ値を Meraki の手順ガイドとして表示します。
4. コントローラーで SSID を作る
コントローラー側で、手順3の値を指す WPA-Enterprise (802.1X) のゲスト SSID を 作成します。Offision の RADIUS サーバーは PAP・EAP-TTLS/PAP・PEAP/MSCHAPv2 に 応答します — スマートフォンやノート PC が標準で使う方式です。
5. 動作を確認する
自分を招待してチェックインし、バッジに印刷されたユーザー名とパスワードで SSID に 接続します。次にチェックアウトして、同じ内容が拒否されることを確認します。 どちらの結果も重要です。2つ目こそがセキュリティの本体です。
うまくいかないとき
| 見えている症状 | よくある原因 |
|---|---|
| 実在の来訪者なのにサインインが拒否される | まだチェックインしていない、または訪問期間が終わっている |
| すべてのサインインが拒否される | エントリーに Visitor WiFi Integration ライセンスがない、またはコントローラーの共有シークレットが一致しなくなっている — シークレット を再生成してコントローラーを更新し忘れるとこうなる |
| コントローラーが Offision に届かない | NAS 識別子（Unifi なら MAC アドレス）がアクセスポイントに未設定か誤入力で、リクエストをエントリーに紐付けられない |
| バッジに WiFi の情報が印刷されない | RADIUS ブランドでは想定どおり — バッジに印刷できるものを参照 |