Windows Server 2022上でNPSを利用してWPA3 Suite Bを構成するとき、細やかな設定や証明書の扱いは悩ましいポイントですよね。特にSamsung Galaxy S23といった一部のモバイル端末では、SSID選択後に「保存ボタンが押せない」といった事象が発生することもあります。この記事では、Windows Server 2022 NPSとWPA3 Suite Bを組み合わせる際の手順や注意点を、表や具体的な操作例を用いて徹底的に解説します。セキュアで安定した無線LAN環境を実現するために、ぜひ参考にしてみてください。
WPA3 Suite Bとは？
WPA3 Suite Bは、Wi-Fiアライアンスが策定する最新のセキュリティ規格WPA3の中でも、特に政府や軍事機関など厳格なセキュリティ要件を求める機関向けに設計されたプロファイルです。Suite Bではより強力な暗号化アルゴリズムやキー交換方式が採用され、堅牢性が高いのが特徴です。
- 楕円曲線暗号の利用 (ECC)
- AES-GCMP 128ビット以上
- SHA-256以上のハッシュアルゴリズム
企業環境などでも、高いセキュリティレベルを求める場合にはSuite Bに注目が集まっています。一方で、クライアントデバイス側のサポート状況や、証明書の配布・設定の難易度が上がる点も留意が必要です。
WPA3 Suite Bのメリット
- 暗号強度の向上
AES-GCMPなどの高度な暗号モードを使うため、通信傍受やリプレイ攻撃に対して強固な防御が可能です。 - 将来の拡張性
楕円曲線暗号(ECC)の利用により、通信容量を抑えつつ高いセキュリティを維持します。 - セキュリティポリシーへの適合性
Suite Bは米国政府標準の暗号スイートに準拠した設計です。大企業や官公庁など、厳格なガイドラインを満たすために有効です。
Windows Server 2022 NPSでWPA3 Suite Bを使うための準備
Windows Server 2022上のNetwork Policy Server(NPS)を用いてWPA3 Suite B認証を行う際には、いくつかの要件を満たす必要があります。特に証明書の扱いには注意が必要です。
前提条件の確認
- Windows Server 2022 – NPS (Network Policy and Access Services) ロールがインストール済みであること。
- 無線LANアクセスポイント(コントローラ含む) – WPA3 Suite Bをサポートしているファームウェア/ハードウェアであること。
- 認証局(CA) – Windows Server CA、または他の信頼できるCAからのサーバー証明書を発行できること。
- クライアントデバイス – Samsung Galaxy S23など、WPA3 Suite Bに対応したOS/ドライバを搭載していること。 – 企業配布端末などは、MDMなどで証明書をプッシュする手段があるとなお良い。
証明書に関する考慮事項
WPA3 Suite Bに限らず、802.1X認証で証明書を用いる場合は下記の点を意識してください。
- サーバー証明書の用途
- サーバー証明書には「Server Authentication」(サーバー認証)の用途が含まれている必要があります。
- Subject NameやSubject Alternative Name(SAN)においてFQDNが正しく登録されているか確認しましょう。
- クライアント証明書の用途
- クライアント証明書には「Client Authentication」(クライアント認証)が必要です。
- Smart Cardを利用する場合には、カード上の証明書がSuite B対応の暗号設定で発行されているかをチェックします。
- 暗号強度
- Suite Bの暗号要件(例: RSA 2048ビット以上、またはECC P-256/384など)を満たすようCAテンプレートを設定します。
- 署名アルゴリズムはSHA-256やSHA-384以上を推奨します。
証明書テンプレートの作成手順
Suite B向けに新しい証明書テンプレートを作成し、サーバー・クライアント双方で利用する証明書を発行する流れが一般的です。
テンプレートの複製と設定
- 認証局(CA)コンソールの起動
Windows Serverで「Certification Authority(認証局)」管理ツールを開き、使用するCAを選択します。 - 既存のテンプレートを複製
- 「Certificate Templates」を右クリック → 「Manage」を選択し、既存のテンプレート(例: Computer, User, Smart Card)を右クリック → 「Duplicate Template」。
- 新しいテンプレート名をわかりやすく変更(例: “WPA3 Suite B Template”)。
- 暗号とキー長の設定
- 「Cryptography」タブでキー長を2048ビット以上(またはECC P-256以上)に設定。
- 署名・暗号化アルゴリズムを強力なものに変更(SHA-256やRSA 2048ビット、ECCなど)。
- 証明書の用途（Application Policies / EKU）
- 「Application Policies」や「Extended Key Usage (EKU)」に「Client Authentication」「Server Authentication」など必要な用途を指定。
- サーバー証明書用とクライアント証明書用では用途が異なるため、個別にテンプレートを用意すると運用管理がスムーズです。
- テンプレートの発行
- CAコンソールに戻り、「Certificate Templates」を右クリック → 「New」 → 「Certificate Template to Issue」をクリック。
- 先ほど作成したテンプレートを選択して発行。
発行された証明書の確認
- サーバー証明書の場合、NPSサーバーの「証明書(MMC)」スナップインなどを使い、正しくインストールされているかを確認します。
- クライアント証明書の場合は、端末が属するドメインで自動登録(GPO)を利用するか、あるいは手動/MDM配布の方法で証明書をインポートします。
NPS (Network Policy Server)の構成
NPSでWPA3 Suite BのEAP認証を行うには、主に次の設定を行います。
役割と機能のインストール
Windows ServerにおいてNPSロールが未インストールの場合は、Server Managerなどでインストールを先に完了させてください。
# 例: PowerShellでNPSロールをインストールする場合
Install-WindowsFeature NPAS -IncludeManagementToolsネットワークポリシーの作成
- NPSコンソールを起動
「サーバーマネージャー」→「ツール」→「Network Policy Server」でNPS管理画面を開きます。 - 新しいポリシーの追加
- 左ペインで「Policies」→「Network Policies」を選択し、右クリックから「New」を実行。
- ポリシー名(例: “WPA3 Suite B Policy”)を入力し、無線LAN環境用に設定します。
- Conditionsの設定
- 「User Groups」や「Computer Groups」で、対象となるユーザーまたはコンピュータのグループを指定。
- 「NAS Port Type」や「Framed Protocol」を無線LAN(IEEE 802.11)に制限するなど、運用要件に合わせて設定します。
- Constraints (制約) の設定
- 「Authentication Methods」で「Microsoft: Protected EAP (PEAP)」などを選択し、編集画面へ進みます。
- 「Smart Card or other certificate」を有効にし、サーバー証明書として先ほど作成/発行したSuite B対応のサーバー証明書を指定。
- 必要に応じて「EAP-TLS」を追加する方法もあります。
- Settingsの詳細設定
- 「Encryption」や「Fast Reconnect」など、WPA3 Suite Bの特性に合わせて強力な暗号スイートを選択。
- 802.1Xの再認証間隔やポリシー優先度を環境に合わせてカスタマイズします。
設定例 (PEAP with Smart Card/Certificate)
下記のような画面構成になることが多いです。
| 設定項目 | 設定内容 |
|---|---|
| EAP Type | Microsoft: Protected EAP (PEAP) |
| PEAPで使用するEAPメソッド (内部) | Smart Card or other certificate |
| サーバー証明書 | 新しく発行したSuite B対応のサーバー証明書 |
| クライアント認証 | クライアント証明書（Smart Card含む） |
| Fast Reconnect | 有効（推奨） |
設定が完了したらポリシーを保存してNPSを再起動、または設定を反映します。
無線LANアクセスポイント側の設定
WPA3 Suite Bをサポートしているアクセスポイント(または無線LANコントローラ)に対して設定を行います。製品によって名称やUIは異なりますが、共通して以下のポイントを確認してください。
SSIDのセキュリティ方式
- WPA3 Suite BやWPA3-Enterprise Suite Bのような選択肢を有効化。
- 802.1X EAP認証を選択し、RADIUSサーバー情報(NPSサーバーのIPアドレス、ポート、共有シークレットなど)を正しく入力します。
暗号モード
- Suite BではAES-GCMPが推奨される場合が多いです。
- アクセスポイントによっては「WPA3-Enterprise (AES-GCMP 128)」「WPA3-Suite B 192bit」などの選択肢が細かく分かれています。適切なものを選びましょう。
RADIUS接続テスト
- アクセスポイントのテスト機能を使い、RADIUSサーバーへの疎通と認証を試験します。
- ログを見てエラーが発生していないかをチェックしてください。
クライアント側設定 (Samsung Galaxy S23など)
WPA3 Suite Bを有効にしたSSIDに接続する場合、端末OSやドライバによってはUI上の設定項目が変わることがあります。Samsung Galaxyシリーズの場合、特定のEAP方式・証明書・ドメイン情報が揃わないと「保存」ボタンが押せないケースがあります。
EAP方式を選択
- PEAPやEAP-TLSを選択し、証明書が必要な場合は正しくインポート済みの証明書を選択します。
- 「ドメイン」欄には、NPSサーバー証明書のSubjectやSANに含まれるドメイン(例: radius.example.local)を入力することが多いです。
証明書のインストールと選択
- クライアント証明書をAndroid端末にインストールする際は、拡張子「.p12」「.pfx」のファイルを端末に取り込み、端末の証明書ストアに格納します。
- 「ID」「パスワード」「ドメイン」の入力が空欄になっている場合、保存ボタンがグレーアウトしてしまう可能性があります。
トラブルシューティング
- 保存ボタンが押せない
- 証明書の種類が「ユーザー証明書」ではなく「Wi-Fi証明書」として扱われていない可能性があります。
- IDやパスワードが不要のEAP-TLSの場合でも、UI的に何らかの認証情報を求める端末もあるので注意します。
- 認証に失敗する
- NPSサーバーのイベントビューアでエラーコードを確認し、証明書の失効や署名アルゴリズムの不一致が起きていないか調べます。
- 端末時刻がNTPで正しく同期されていないと証明書の有効期限チェックに引っかかる場合があります。
高度なポイント：OCSPとCRLの設定
WPA3 Suite B環境では、より厳格なセキュリティを求めるためにOCSP(Online Certificate Status Protocol)やCRL(Certificate Revocation List)を利用して証明書の失効確認を行うことも推奨されます。
- NPS側の設定
- Windows ServerでOCSPレスポンダーを立てるか、外部のOCSPレスポンダーを利用します。
- グループポリシーやNPS構成で「証明書失効確認を必須にする」を有効化。
- クライアント側の設定
- Androidデバイスでも「常にオンライン証明書状態を確認する(OCSP)」等の設定がある場合は有効にします。
- ネットワークが外部に出ない環境ではOCSPレスポンダーへのアクセスができずに認証失敗することもあるため、CRLの発行と内線DNSの整備が必要です。
運用管理上のベストプラクティス
WPA3 Suite Bを運用する上で、以下の点を押さえておくとスムーズです。
定期的な証明書更新
- サーバー証明書やクライアント証明書の有効期限切れが発生すると突然認証失敗が起きるため、更新時期を可視化し、切替のリハーサルを行いましょう。
ログと監視の充実
- NPS側ではイベントビューアで認証ログを詳細に確認可能です。
- アクセスポイント側でもRADIUS連携ログやWPA3認証ログを取得し、不審な接続や失敗の原因を追えるように監視体制を整備します。
端末追加時のプロビジョニング
- Android端末に証明書を配布する手間を削減するため、MDMやEMMソリューションを活用して自動配布する方法がおすすめです。
- Active Directoryのユーザー証明書自動登録機能(GPO)を使う場合は、ユーザーがWindowsドメイン参加PCでログオンしたタイミングなどで自動的に証明書が発行される仕組みを構築できます。
まとめ
WPA3 Suite Bは非常に強力なセキュリティを提供しますが、端末側やサーバー側での証明書設定が複雑になるのが難点です。Windows Server 2022のNPSと組み合わせることで、企業向けあるいは厳格なセキュリティ要件を満たすネットワークを構築することができます。Samsung Galaxy S23など一部のモバイル端末では、SSIDを選択しても保存ボタンが押せないケースがあるため、以下を念頭において対策しましょう。
- Suite B対応の証明書テンプレートを用意し、サーバー証明書・クライアント証明書を発行する。
- NPS側で「PEAP (Smart Card or other certificate)」や「EAP-TLS」を設定し、暗号強度をSuite B要件に合わせる。
- クライアント端末には適切な証明書をインストールし、ドメイン名やEAP方式を正確に指定する。
- OCSP/CRLによる証明書失効確認や端末時刻同期など、認証に関わる周辺要素を整備しておく。
これらの対策を踏まえれば、組織における無線LANセキュリティを大幅に高められます。特に高度なセキュリティが求められる場面では、WPA3 Suite Bが頼れる選択肢となることでしょう。
コメント