Informational
日本語の情報は原文の英語の非公式な翻訳です。日本語と英語のバージョンに相違がある場合は、英語のバージョンが優先されます。
概要
Cisco Meraki MRシリーズデバイスのスプラッシュページ機能（キャプティブポータルとも呼ばれる）の設定オプションを使用すると、管理者は、ネットワークに接続しているクライアントにトラフィックポリシーが適用されていない802.11 WLANを設定できます。
この安全でない設定は、管理者がスプラッシュページアクセスコントロールを使用してWLANを設定し、キャプティブポータルの強度がサインオン前に非HTTPトラフィックを許可するように設定されている場合に確認されます。
この設定の目的は、ワイヤレスクライアントがスプラッシュページと対話する前に接続を提供することですが、トラフィックポリシーはサインオンが完了した後にのみ適用されます。悪意のあるユーザは、この安全でない設定を利用して、該当するWLAN内のトラフィックを制限するように設定されたファイアウォールルール、コンテンツフィルタリング、トラフィックシェーピングなどのネットワークポリシーを回避する可能性があります。
Cisco Merakiは、Cisco Meraki MRソフトウェアまたはスプラッシュページ機能の脆弱性とは見なしません。これは設定の問題と見なされます。
Cisco Merakiでは、より強固なネットワークセキュリティを確保するため、このアドバイザリの「推奨事項」セクションのガイダンスに従って適切な設定変更を行うことを推奨しています。
注：このオプションは、2020年12月4日以降にCisco Meraki Cloud Management Interface（ダッシュボードとも呼ばれる）を使用して作成されたWLANでは、デフォルトで無効になっています。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-meraki-config-Ab3Da
該当製品
脆弱性がある製品
この問題は、公表時点では、Cisco Meraki MRシリーズデバイスで、アクセス制御にスプラッシュページを使用するWLANが設定されており、かつキャプティブポータルの強度がサインオン前に非HTTPトラフィックを許可するように設定されている場合に影響を受けました。
デバイスが影響を受けるかどうかを確認する
デバイスがこのアドバイザリに記載されている問題の影響を受けるかどうかを確認するには、次の手順に従います。
ステップ1：スプラッシュページが構成されているかどうかを確認します
- [ダッシュボード（Dashboard）] にログインします。
- Combinedビューで、Wireless > Configure > Access controlの順に選択します。
- SSIDドロップダウンメニューから適切なWLANを選択します。
- スプラッシュページセクションを探して展開します。
スプラッシュページタイプがNone （ダイレクトアクセス）以外の値に設定されている場合、WLANはアクセス制御にスプラッシュページを使用するように設定されています。ステップ 2 に進みます。
スプラッシュページタイプがなし（ダイレクトアクセス）に設定されている場合、または拡張スプラッシュ設定セクションが展開できない場合、WLANはアクセス制御にスプラッシュページを使用するように設定されていないため、このアドバイザリで説明されている問題の影響を受けません。
ステップ2：キャプティブポータルの強度の設定を決定する
- スプラッシュページセクションで拡張スプラッシュ設定をクリックし、設定セクションを展開します。
- [キャプティブポータルの強度]ドロップダウンメニューを見つけます。
キャプティブポータルの強度がAllow non-HTTP traffic before sign-onに設定されている場合は、このアドバイザリで説明されている安全でない設定オプションを使用してWLANが設定されています。
キャプティブポータルの強度がサインオンが完了するまですべてのアクセスをブロックするように設定されている場合、WLANは安全でない設定オプションで設定されていないため、このアドバイザリに記載されている問題の影響を受けません。
Cisco Meraki MRデバイスでは、使用中のWLANごとに個別のスプラッシュページを設定できます。各スプラッシュページには、特定のキャプティブポータルの強度設定があります。Cisco Merakiは、このアドバイザリの「推奨事項」セクションに記載されているように、デバイスで有効になっている各WLANの設定を確認することをお勧めします。
詳細
この情報アドバイザリの対象読者は、アクセスコントロールにスプラッシュページを使用してWLANネットワークを導入したユーザです。
Cisco Merakiスプラッシュページは、Webベースのアクセス制御機能です。フルネットワークアクセスを利用するには、HTMLページを表示して操作する必要があります。スプラッシュページと対話する前にクライアントが持つネットワークアクセスの範囲は、キャプティブポータルの強度設定によって制限されます。キャプティブポータルの強度がAllow non-HTTP traffic before sign-onに設定されている場合、ワイヤレスクライアントがスプラッシュページと対話する前に、ネットワーク接続がワイヤレスクライアントに提供されます。ただし、TCPポート80が宛先であるトラフィックは除きます。
Cisco Meraki MRシリーズデバイスでは、スプラッシュページが設定されている場合、キャプティブポータルの強度設定は、設定されているトラフィックシェーピング、コンテンツフィルタリング、およびファイアウォールルールよりも優先されます。ユーザ定義のWLANトラフィックポリシーは、サインオンが完了した後に適用されます。
Cisco Merakiスプラッシュページの詳細については、「スプラッシュページ」を参照してください。
推奨事項
Cisco Merakiでは、使用中の各WLANの設定を確認することをお勧めします。スプラッシュページによってアクセスが制御されるWLAN展開では、キャプティブポータルの強度をサインオンが完了するまですべてのアクセスをブロックするように設定することをお勧めします。
より安全な設定を採用するには、次の手順を実行します。
- [ダッシュボード（Dashboard）] にログインします。
- Combinedビューで、Wireless > Configure > Access controlの順に選択します。
- SSIDドロップダウンメニューから適切なWLANを選択します。
- スプラッシュページセクションを探します。
- Advanced splash settingsをクリックして、Configurationセクションを展開します。
- Captive portal strengthドロップダウンメニューから、Block all access until sign-on is completeを選択していない場合は、これを選択します。
高度なスプラッシュ設定セクションが拡張できない場合、WLANはアクセス制御にスプラッシュページを使用するように設定されていないため、このアドバイザリで説明されている問題の影響を受けません。
キャプティブポータルの強度がサインオンが完了するまですべてのアクセスをブロックするに設定されている場合、そのWLANはこのアドバイザリに記載されている問題の影響を受けません。
URL
改訂履歴
| バージョン | 説明 | セクション | Status | 日付 |
|---|---|---|---|---|
| 1.0 | 初版リリース | — | Final | 2022 年 9 月 7 日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。このドキュメントの情報は、シスコ製品のエンドユーザーを対象としています。