オフィスWi-Fiの「ステルスSSID」を廃止しEAP-TLS(証明書認証+クラウドRADIUS)へ移行すべき理由

セキュリティ対策としてSSIDを非表示(ステルス)にしていたが、端末の再接続が遅い、特定のモバイル端末がつながらないといった不満が現場から噴出。PSK(事前共有鍵)運用にも限界を感じ、認証方式の抜本的な見直しが必要となりました。

原因と落とし穴

ステルスSSIDはセキュリティ上のメリットがほぼない一方で、端末側が常に「隠れたSSID」を探し続けるため、バッテリー消費の増大や接続の不安定化を招きます。また、PSKの漏洩リスクは依然として残ります。

切り分け・対処手順

認証基盤の選定: 証明書認証を実現するため、クラウドRADIUスまたは自前の中間CAを構成します。

デバイス証明書の配布: IntuneのSCEP/PKCSプロファイルを用いて、管理端末へ自動的にクライアント証明書を配布します。

ステルス解除とEAP-TLS適用: SSIDを表示設定(ブロードキャスト)に変更し、EAP-TLSによる「証明書を持つ端末のみ」の接続を許可します。

まとめ

「隠す」セキュリティから「証明書で守る」セキュリティへの転換により、ユーザーの利便性(接続安定性)と管理者の安心感を両立させることができます。

■ 無線LAN機器を探すとき

証明書認証（EAP-TLS）に対応しているかは、製品ごとに公式の資料で確認してください。探すための検索ページを置いておきます（PR）。
▶ Amazonで「法人向け無線LANアクセスポイント」を探す
Amazonのアソシエイトとして、当サイトは適格販売により収入を得ています。

■ この記事に関連するテンプレート

SSIDの設定や認証方式、証明書の配布先のような構成情報は、台帳にまとまっていれば見直しのたびに探し直さずに済みます。拠点ネットワークの機器・VLAN・障害記録をNotionにまとめるためのテンプレートを作りました。
まずは無料版で、使い方が合うかを確かめてみてください。

Discussion