これからの常識!?　「無線LANコントローラー」事情

セキュリティもIP電話もOK――無線LANコントローラーの真価

単にAPを設置しているだけでは無線LANの「潜在能力」は生かされない。将来を見据え、無線LANコントローラーによる統合管理システムのメリットを理解し、無線LAN本来の利便性を手に入れよう。

公開 2008年10月16日 08時00分

更新 2012年09月04日 18時36分

[池田冬彦]

印刷する

無線LANが新たなワークスタイルを創出する

　無線LANの導入スタイルはさまざまだ。会議室などの共有スペースに部分的に導入している場合もあるし、部署が個別にアクセスポイント（以下、AP）を導入している場合もある。これらは、有線LANの延長上に“ケーブル配線不要”な環境を作っていく典型的な例といえるだろう。だが、このような使い方は、無線LANが持つ潜在能力の一部を利用しているにすぎない。

　例えば、オフィスの移転を機に有線LANを廃止し、フリーアドレス化を実現したオフィスがある。自席を持たず、オフィスのどの場所でも自由に仕事ができるメリットに加え、音声統合によってIP電話端末やデュアルバンド携帯電話、スマートフォンを使った新たな無線LAN活用スタイルも生まれる。

　運用管理面でも大きなメリットがある。引っ越しや組織の改変などで新たなオフィスを構築する場合、オフィスレイアウトの設計書をベースに、部署（「島」）単位にLANケーブルを配置する必要はなくレイアウト変更も容易だ。しかも、面倒なLANケーブルの「番線管理」も最小限に抑えられる。配線工事、運用のコストや手間を大幅に削減できる。

　また、最近では日本でも大学のキャンパスなどで無線LANが大規模導入されるケースが増えている。また、病院における患者用の端末システムやPDAと連動する電子カルテシステムの運用など、院内で無線LANを導入するケースも目立つようになった。まさに、無線LANはこれからの新しいワークスタイルを創出する上で不可欠なインフラだろう。このインフラ構築のために理想的な無線LAN環境を提供するのが、無線LANコントローラーである。

　なお、無線LANコントローラーはベンダーによって「モビリティ・コントローラー」「アクセスポイント／コントローラー」など、さまざまな名称で呼ばれている。また、APからのトラフィックを経由するタイプの製品を特に「無線LANスイッチ」と呼ぶこともあるが、本稿ではこれらを含めて「無線LANコントローラー」と名称を統一して解説を進める。

無線LANコントローラーとは何か？

　無線LANコントローラーは、大企業や学校などの大規模な導入例が目立ち、まだまだ広範には普及していないのが現状だ。確かに無線LANシステムは、安価なAPをコンピュータショップで購入し、有線LANに接続するだけで簡単に構築できてしまう。できるなら手軽に無線LANのメリットを得たいというのが、限られたIT予算を有効に使わなければならないIT管理者やシステム管理者の本音だろう。

　だが、このような無線LAN（スタンドアロン型）は、2つの問題を抱えることになる。1つはセキュリティと運用の問題、もう1つはパフォーマンスの問題である。セキュリティ面では、たとえ1台のAPを導入した場合でも、社内セキュリティポリシーに従った運用、およびセキュリティ対策が必要だ。もし、誰かが勝手にAPのセキュリティ設定を変更してしまったら、APの存在が重大なセキュリティホールになってしまう。

　また、アクセス可能な範囲を広げるために無計画にAPを増設していくと、電波干渉の問題が発生してスループットが悪化し、せっかくの無線LANの利便性が発揮されない。このようにAPを増やせば増やすほど、SSIDやパスワードなどを管理し、セキュリティや運用面のコントロールを行うのが難しくなる。これらのスタンドアロン型運用の限界を超え、AP全体を統制して無線LANの可能性を最大限に引き出すのが、無線LANコントローラーの重要な役割だ。

　無線LANコントローラーはAPと常に通信を行い、集中的にAPの管理や各種制御を行っている。ユーザー認証や暗号化処理、電波状況の監視などの処理はAP側で行い、コントローラー側ではQoS（サービス品質）や負荷分散、ローミング管理などを担当している。ただし、例外的にアルバネットワークスの製品では、AP側には主にワイヤレス機能だけを担当させ、そのほかの処理をすべてコントローラー側に集約させる「Thin AP」という仕組みを採用している。

図1●無線LANコントローラーの利用イメージ。コントローラーが複数のAPを制御信号で集中管理し、各APの設定の変更を一元的に行う

何ができる？　無線LANコントローラーの導入メリット

　無線LANコントローラーは、チャンネルの最適化によるパフォーマンスの向上や、モビリティの向上、音声通信に必要なQoS、AP間のハンドオーバーの制御、ITセキュリティポリシーの全面的な適用やIDS（侵入検知システム）／IPS（侵入防御システム）と連動した不正アクセス制御などを実現する。このソリューションの詳細を次に見ていくことにしよう。

（1）チャンネルコントロールが容易にできる

　APの電波が届く範囲は10～20メートル以上で、環境によってはもっと遠距離になる。複数のAPの電波チャンネル（以下、チャンネル）が同一、または隣接していると、干渉が発生してスループットが下がってしまう。APの電波が干渉しないようにチャンネル設計を行い、無線LANアナライザを使って綿密なサイトサーベイを行う必要があるが、手間や費用もばかにならない。

　無線LANコントローラーは、APごとに自動的にチャンネルを割り当て、電波出力を調整できる製品が主流であり、稼働後のモニタリングやリポートツール利用によって、集中的に微調整を施すことも可能だ。オフィス全体を最適な無線LANアクセスエリアにすることが容易なので、どの場所からアクセスしても十分な帯域が得られ、ユーザーの利便性と運用管理面で大きなメリットがある（図2）。

図2●無線LANコントローラーは、APが一定の時間ごとに検知した周囲の電波状況を判定し、各APに割り当てるチャンネルと出力を自動的に調整する

　特に、チャンネルコントロール面で高い優位性を持つ仕組みがメルー・ネットワークスの「シングル・チャネル・デプロイメント」だ。これは、複数のAPを束ねて単一のチャンネルとして扱い、チャンネル設計自体を不要とする技術だ。個別のAPの送受信タイミングをTDMA（時分割多重通信）のように時間で分割し、AP間の干渉が起こらないようにしている。シングル・チャンネル・デプロイメントではサイトサーベイが最低限のもので済み、APの追加や削除の際に設計をやり直す必要もない。

メルー・ネットワークスの「Meru Controller（MC）」シリーズ。すべてのAPが同一チャンネルを使って通信する技術を提供する。

（2）音声統合に欠かせないインフラを提供

　最近では、スマートフォンや無線LANに対応する携帯電話の普及により、音声・データ統合の環境作りが注目されている。これを実現する上で不可欠なのが、ワイヤレスネットワークにおける帯域制御とAP間をまたがるハンドオーバー通信の技術だ。帯域制御については、無線LANコントローラー側でWMM／EDCA（※）といった基本的なQoSの仕組みを実装するとともに、APごとの負荷を常に監視して各APに最適な帯域を割り当てるための「APロードバランス」機能が備わっている。

※　WMM（Wi-Fi Multimedia）は無線LAN上で音声や動画のストリーミングデータを効率的に伝送するための規格。無線LANのQoSを規定するIEEE 802.11eに準拠する。EDCA（Enhanced Distributed Channel Access）はWMMにおけるデータ送信優先制御方式の1つで、4つのデータ分類に基づいて音声データなどを優先処理する。

　ハンドオーバー／ローミング（以下、ハンドオーバー）は、音声端末が移動しながらでも通話を継続できるようにするために必須である（図3）。例えばシスコシステムズの製品では、セキュリティを重視したハンドオーバー技術を採用しており、ハンドオーバー発生時には都度、自動再認証を行う。この再認証によるタイムラグを生じさせないため、チャンネルスキャンとAP選択のアルゴリズムを高速に実行している。また、アルバネットワークスではAPでの暗号処理の負荷を軽減するため、暗号化アクセラレータなどの仕組みでハンドオーバーを高速化している。

図3●音声通信では、ハンドオーバー時のわずかな「空白」が発生するだけでも通話が途切れる。認証のプロセスを含めて、数十ミリ秒と極めて高速な切り替えが必要になる

　また、ハンドオーバーそのものが発生しない仕組みもある。メルー・ネットワークスでは「バーチャル・セル」という機能を用意しており、すべてのAPが同一のSSIDとチャンネルを使うように構成し、無線LANコントローラーがクライアントに対して最適なAPを選択するように制御する。つまり、クライアント側から見れば、どの場所にいてもどこのAPに接続しているかを意識する必要がない。

（3）モビリティを最大限に高める

　無線LANコントローラーは、オフィス内のみならず、屋外やリモートオフィスの構築の中核となる。この代表的なソリューションが、イーサネットケーブルを使わずにワイヤレスネットワークを構築できる「ワイヤレスメッシュネットワーク」（関連記事「IEEE 802.11sメッシュネットワークとは」参照）だ。ワイヤレスメッシュネットワークではAP同士が無線で通信を行い、サービスエリアを提供したりほかのAPからの通信を中継したりする。LANケーブルが不要なので屋外にサービスエリアを広げたり、展示会など一時的にワイヤレスネットワークを構築する用途などに利用できる。

　また、リモートオフィスを簡単に構築できるソリューションもある。アルバネットワークスの「Remote AP」（図4）は、自宅や別のオフィスなどにAPを設置してそのまま直接WAN回線やインターネットに接続するだけで、社内の無線LANコントローラーとの間にセキュアなIPsec VPNを構築する。つまり、APを持ち歩いてWANに接続すれば、その場所が社内と変わらないネットワーク環境に早変わりするのだ。アクセス制御はすべて無線LANコントローラーが行い、AP側には設定情報を保存しないため、万一APが盗難に遭っても情報漏えいの心配はない。

図4●Remote APの利用イメージ。ユーザーはAPをWAN回線／インターネットに接続する。IPsec VPN接続後はオフィス内と同等の無線LAN環境としてアクセスできる

アルバネットワークス「Mobility Controller」シリーズはリモートオフィスに設置したAPとの間でセキュアな無線LAN環境を構築できる

（4）セキュリティを最大限に高める

　無線LANコントローラーは、複数のAPと常に制御信号を通じて情報をやりとりし、各APのSSIDや認証、暗号化に関する設定、電波強度やチャンネルなどの設定を一元的に行うので、ITセキュリティポリシーを具現化できる。無線LANシステム全体の稼働状況や設定状況などが可視化され、さまざまな障害やリスクに迅速に対応できる（関連記事「無線セキュリティ最前線――今そこにあるWi-Fi機器を“見える化”参照」）。

　これに加え、社内に設置された無許可のAP、クライアントの検出など、スタンドアロン型の運用ではなし得ない全体統制も実現する。例えば、シスコシステムズの製品では「Real-Time RF Management」という機能を持ち、10分ごとのAP間のカバレッジエリア、チャンネルの自動調整時にAPが常に電波状況を監視する。疑わしいAPに対しては、MACアドレスを取得して正規APかどうかを比較する「Rogue Detector AP Mode」や、その不審なAPに対する無線クライアントに偽装し、DHCPとpingを使って正当なAPかどうかを判定する「Rogue Location Detect Protocol」（図5）といった機能を備えている。

図5●シスコシステムズの「Rogue Location Detect Protocol」の仕組み。pingで疎通確認することで、自社内APなのか社外にあるAPなのかを判断できる

中～大規模サイト向けのシスコシステムズ「Cisco 4400 シリーズ Wireless LAN Controller」。LWAPP（Lightweight Access Point Protocol）による機器相互認証やローグAPの検知などセキュリティ対策に優れる

　このように、無線LANの可能性を最大限に引き出し、同時に高度なセキュリティと統合的な管理を実現させる上で、無線LANコントローラーは必須のソリューションといえる。安い製品ではないが、サイトサーベイや運用管理の問題をそれぞれ解決するための費用を合算すれば、無線LANコントローラーの導入費用よりも高額になる可能性は大きい。長期的な視点で、ワイヤレスセキュリティ対策、IP電話のインフラやフリーアドレス化のための無線LAN活用などで必要になる追加コストを考えれば、決して高い投資にはならないだろう。

　また、各ベンダーは次世代高速無線LAN規格IEEE 802.11nへの対応を果たしている。同規格に対応するAPと組み合わせて、さらに高いパフォーマンスを享受できるはずだ。

印刷する