無線LANアクセス-クライアント証明書認証

文書更新日:2025-03-10

目的

• SingleIDのユーザで、Buffalo AirStation Proの無線LANアクセスポイントへアクセスします。
• 接続する際の認証方式は、クライアント証明書認証（EAP-TLS）です。
• SingleIDの拡張RADIUSサーバを利用します。
• ユーザ/グループによるアクセス制限をします。

設定方法

SingleIDのグループの作成

1. SingleID 管理者ポータル＞グループ画面へ移動します。
2. グループ追加をクリックします。グループ追加画面がポップアップします。
3. グループ名を入力し、登録ボタンをクリックします。

SingleIDのユーザの作成

1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
3. ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
4. メンバーとなるグループを選択し、登録ボタンをクリックします。

SingleIDのクライアント証明書の発行

1. SingleID 管理者ポータル＞ユーザタブへ移動します。
2. クライアント証明書を発行したいユーザの行にあるチェックボックスを選択します。
3. 選択実行ボタンの▼をクリックし、プルダウンメニューの証明書の発行を選択します。
4. 証明書発行画面がポップアップします。
5. プロファイル（例：デフォルト）および配布形式（例：一般）を選択します。
6. 発行ボタンをクリックして、クライアント証明書を発行します。ユーザのメールアドレス宛に発行されたクライアント証明書のダウンロードリンクが送信されます。

SingleIDの拡張RADIUSサーバの登録

1. SingleID 管理者ポータル＞認証＞RADIUS＞基本設定タブへ移動します。

2. 拡張RADIUSサーバ＞RADIUSポート番号の登録ボタンをクリックします。拡張RADIUSサーバの登録画面がポップアップします。

   設定項目	設定内容
   使用するプロトコル	UDPを選択します。
   シークレット	任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

3. 登録ボタンをクリックします。専用のRADIUSポート番号が割り当てれます。

Buffalo AirStation Proの設定

1. Buffalo AirStation Pro GUIへアクセスします。
2. 管理者のユーザ名、パスワードを入力し、ログインをクリックします。
3. Buffalo AirStation Pro GUI＞詳細設定＞Wi-Fi設定＞SSID設定画面へ移動します。
4. 新規追加ボタンをクリックします。SSID設定 - SSIDの編集画面を表示します。

5. 以下を設定します。

   設定項目	設定内容
   Wi-Fi	有効を選択します。
   SSID	任意のSSIDを入力します。
   使用デバイス	環境に応じて選択します。2.4GHz、5GHz

   

   設定項目	設定内容
   Wi-Fiの認証	WPA2/WPA3 Enterpriseを選択します。
   RADIUS	本画面で個別にRADIUSサーバの設定をするを選択します。

   

   設定項目	設定内容
   プライマリーRADIUSサーバー
   サーバー名	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのプライマリです。
   認証ポート	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞RADIUSポート番号のポート番号です。
   Accounting	使用するのチェックを外す
   Shared Secret	SingleIDの拡張RADIUSサーバの登録の手順のシークレットに設定した文字列です。
   セカンダリーRADIUSサーバー
   サーバー名	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのセカンダリです。
   認証ポート	プライマリーRADIUSサーバーの認証ポートに設定したポート番号と同じです。
   Accounting	使用するのチェックを外します。
   Shared Secret	プライマリーRADIUSサーバーのShared Secretに設定した文字列と同じです。
   Calling-Station-Id	"-"（ハイフン区切り、大文字）を選択します。
   Called-Station-Id	"-"（ハイフン区切り、大文字）:SSIDを選択します。

   Info

   Calling-Station-Id、Called-Station-Idの設定項目が表示されていない場合には、機器のファームウェアのバージョンを最新にしてください。

   

6. 修正保存ボタンをクリックします。

7. 設定ボタンをクリックして、設定内容を機器へ適用します。

サイト識別する属性の確認方法

Buffalo AirStation Proが送信するNAS-IP-Address属性およびNAS-Identifier属性の属性値を確認します。

1. 動作確認方法に従って、認証を試みます。
2. 認証が失敗します。
3. SingleID 管理者ポータル＞ログ＞RADIUS認証ログ画面へ移動します。
4. 認証失敗したログのNAS-IPまたはNAS-IDの項目を確認します。NAS-IPが、NAS-IP-Address属性の属性値です。NAS-IDが、NAS-Identifier属性の属性値です。

SingleIDのRADIUSサイトの登録

1. SingleID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
2. カタログ表示ボタンをクリックします。
3. カタログからBuffalo AirStation Proの登録ボタンをクリックします。Buffalo AirStation Pro画面がポップアップします。

4. 基本情報タブに、以下を設定します。

   設定項目	設定内容
   有効/無効	有効を選択します。
   サーバ	拡張を選択します。
   サーバ番号	SingleIDの拡張RADIUSサーバの登録の手順で登録したサーバ番号を選択します。
   サイト識別する属性	サイト識別する属性の確認方法の手順で確認できた属性を選択します。
   属性値	サイト識別する属性の確認方法の手順で確認できた属性の属性値を設定します。

   Danger

   • サイト識別する属性にNAS-IP-Addressを設定したときには、属性値に、グローバルIPアドレスを設定しないでください。
   • サイト識別する属性の確認方法の手順で、NAS-IP-AddressとNAS-Identifierのどちらの属性も確認できた場合には、どちらかの設定のみ行ってください。どちらかの設定を行うときには、NAS-Identifier属性の設定を行うことをお勧めします。NAS-IP-Address属性は、機器の設定によっては動的に変わってしまう場合があります。

   Info

   • BuffaloのAirStation Proは、NAS-Identifier属性の属性値に機器のMACアドレス（小文字ハイフンなし）を設定し、RADIUSサーバへ送信しています。すべてのBuffalo製品に同一のルール設定を行いたい場合には、サイト識別する属性に、NAS-Identifierを設定し、属性値に、**BUFFALO**を設定します。**BUFFALO**は、Buffaloのベンダーコードにマッチさせるための特別な値です。

5. 無線アクセスの認証タブへ移動します。

6. 許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。

   Info

   • 証明書認証（EAP-TLS）のみ許可を有効にすると、クライアント証明書認証以外の認証方式のアクセスを拒否します。
   • 接続可能なSSIDを制限したい場合には、SSID入力欄に、接続を許可したいSSIDを入力します。

7. 登録ボタンをクリックします。

動作確認方法

Windows端末からEAP-TLS（クライアント証明書認証）で無線LANアクセスの認証が可能なことを確認します。

クライアント証明書のダウンロード

1. SingleIDシステム管理から届いたメールを開きます。
2. ダウンロードリンクをクリックします。P12形式のクライアント証明書がダウンロードされます。

Info

もし、PCでメールを受信し、スマートフォンやタブレットにクライアント証明書をインストールしたい場合には、メールに添付されているQRコードを スマートフォンやタブレットで読み取ります。クライアント証明書のダウンロードURLを認識しますので、そのURLへアクセスすることで、 スマートフォンやタブレット にもクライアント証明書をダウンロードできます。

クライアント証明書のインストール

1. ダウンロードしたP12形式のクライアント証明書ファイルをダブルクリックします。

2. 保存場所として現在のユーザーを選択し、次へボタンをクリックします。

   

3. ダウンロードしたP12形式のファイル名とパスが正しく入力されていることを確認し、次へボタンをクリックします。

   

4. パスワードに、クライアント証明書のパスワードを入力します。クライアント証明書のパスワードは、ユーザ名と同一です。（例：ユーザ名が、user1の場合、クライアント証明書のパスワードは、user1です。）次へボタンをクリックします。

   

5. 証明書の種類に基づいて、自動に証明書ストアを選択するが選択されていることを確認し、次へボタンをクリックします。

   

6. 完了ボタンをクリックし、証明書をインストールします。

   

7. クライアント証明書のインストールが成功しました。

   

無線APへ接続

1. 無線LANアクセスポイントのSSIDを選択し、接続ボタンをクリックします。

   

2. 証明書を使って接続するをクリックします。

   

3. 認証で使用するクライアント証明書を選択し、OKボタンをクリックします。

   

4. 接続先が正しいかどうかの確認を要求されます。証明書の詳しい内容の表示でRADIUSサーバのサーバ証明書の情報が表示されますので、接続先の確認を行います。接続先が正しければ、接続ボタンをクリックします。

   項目	内容
   発行先	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
   発行元	R3

   

5. 接続成功したことを確認します。