最大10Gbpsの光回線の月額は、1Gbpsの回線とそれほど変わらなくなっています。宿泊者の動画視聴やOSの大型アップデートが重なる時間帯に備えて、10Gの回線を選んでおくと余裕があります。

10Gの回線を活かすには、ルーターのWAN側にも10GbEのポートが必要です。

従来のPPPoE方式は、利用者が集中する夜間に、通信事業者の網の終端装置で混雑しやすいことが知られています。IPv6のIPoE方式は、この混雑を避けられます。

IPv4のサイトへの接続は、IPv6の上でIPv4を運ぶ方式で行います。主にMAP-EとDS-Liteの2つがあります。

本部やデータセンターとの拠点間VPN、外部からの保守の接続元の制限、クラウドサービス側での許可リストへの登録、問題が起きたときの発信元の特定などには、固定のグローバルIPv4アドレスが必要です。

IPoEの回線でも、固定のIPv4アドレスをIPv6の上で運ぶ「IPIP」方式のオプションを付ければ、固定のIPv4アドレスが使えます。ポートを共有しないので、ポート不足の心配もありません。

妥当案固定のIPv4アドレスが不要であればDS-Lite方式を選択し、ポート不足を避けます。

MAP-E、DS-Lite、IPIPのどれを使えるかは、ルーターによって違います。回線と接続方式を決める前に、使うルーターが対応しているかを確認します。

片方が止まっても自動で切り替わるようにします。NTTのフレッツの網を使うサービスどうしで二重にしても、フレッツの網で障害が起きれば両方が同時に止まります。フレッツの網を使う回線と、独自の網を使う回線を組み合わせる方が確実です。

できれば、建物への引き込みの経路も分けます。同じ経路だと、工事や災害で両方が同時に切れます。

妥当案急場凌ぎとしてデータ通信用SIMカードを用いたルーターを予備回線として採用できます。

2本の回線に負荷を分散し、宿泊者用は主回線、業務用は副回線を優先する、といった使い分けもできます。

ルーターが1台だけだと、その1台の故障で全館が止まります。2台で冗長化（HA構成）にすることを推奨します。

妥当案1台で運用する場合は、予備機を館内に置き、設定をすぐに戻せるようにしておきます。

2台のルーターのどちらが動いていても両方の回線を使えるよう、回線とルーターの間にWANスイッチを入れ、各回線を両方のルーターにつなぎます。

妥当案ルーターを1台で運用し、予備機をコールドスタンバイにする場合は、WANスイッチは不要です。

ルーターやスイッチの管理画面やSSHを、インターネットに直接公開しません。

外部から保守する場合は、IDと多要素認証で利用者を確かめてから管理画面に入る仕組み（ゼロトラストネットワークアクセス）か、ワンタイムVPNを経由させます。

メーカーのセキュリティ情報（アドバイザリ）を確認し、更新の時間帯をあらかじめ決めておきます。

宿泊者用のネットワークで問題が起きたときに、いつ、どの端末が、どこに接続したかをたどれるよう、DHCPの割り当てやアドレス変換（NAT）の記録を一定期間保存します。

ルーター本体に残せるログは容量が限られるため、syslogなどで外部のSIEM（Microsoft Sentinel、Elasticsearchを基盤にしたElastic Securityなど）に転送して保管します。ルーターだけでなく、アクセスポイントやスイッチ、Web認証のサーバーのログも1か所に集めると、ばらばらの記録を時刻でつなげて追えます。

定期的な点検と改善：IPSの検知やDNSフィルタリングの遮断の傾向を定期的に見て、設定の過不足を見直せます。

事象の深掘りと対応：問題が起きたときに、どの端末が、いつ、どこと通信したかを、機器をまたいでたどり、影響の範囲を確かめて対応できます。

SOCの内製化：検知のルールや通知の仕組みを整えれば、監視と初動の対応を自社やグループの中で担う体制（SOC：Security Operations Center）づくりの土台になります。

アクセスポイントやカメラはPoEで給電します。スイッチ全体の給電容量（PoEバジェット）が、つなぐ機器の合計に足りるかを確認します。

妥当案ホテルの客室は、イベント会場のように利用者が密集する環境ではないので、Wi-Fi 6のアクセスポイントで十分です。Wi-Fi 6のアクセスポイントは、多くがPoE（15.4W）からPoE+（30W）の範囲で動きます。

Wi-Fi 6EやWi-Fi 7のアクセスポイントでは、2.5GbEのポートを推奨します。

妥当案Wi-Fi 6のアクセスポイントなら、1GbEのポートで足ります。

アクセスポイントのクライアント分離に加えて、スイッチでも、宿泊者用のポートどうしが通信できないようにします（ポート分離）。

DHCPスヌーピングやARPインスペクションを有効にし、宿泊者や持ち込まれた機器が、偽のDHCPサーバーとして振る舞えないようにします。

宿泊者が客室の端子にケーブルを差し込んで輪を作っても全館が止まらないよう、ループ防止（BPDUガード、ストームコントロール）を設定します。

空いているポートは無効にするか、何もできないVLANに入れておきます。事務所の有線ポートは、802.1X認証やMACアドレス認証で、許可した機器だけを接続させます。

フロアの機械室（IDF）は施錠し、温度を管理します。客室の近くの点検口などにスイッチを置く場合は、鍵付きのラックに入れます。

廊下にアクセスポイントを並べる方法は費用を抑えられますが、鉄筋コンクリートの壁や防火扉で電波が弱まり、窓側で届かなくなりがちです。壁付けの小型アクセスポイントを各客室に置く方法を推奨します。客室の有線端子やテレビも、同じ機器でまかなえます。

妥当案客室の数が多い場合や、客室内の工事が難しい場合は、廊下などの共用部に置いたアクセスポイントで、なるべく各客室をカバーする方法も現実的です。その場合は、電波の調査で窓側まで届くかを確かめ、届かない部屋にだけ客室用のアクセスポイントを足します。

中庭、テラス、宴会場の一角など、LANケーブルを引けない場所には、アクセスポイントどうしを無線でつなぐメッシュが使えます。ただし、無線で中継するたびに使える帯域が減り、遅延も増えるので、中継は1ホップ程度にとどめます。電源は、近くのコンセントやPoEのインジェクターで確保します。

別館や離れ、道路を挟んだ建物など、建物の間をつなぎたい場合は、60GHz帯の無線ブリッジが役立ちます。電波を細いビームで向かい合わせに飛ばすので、配線工事をせずに、光回線に近い数Gbpsの速度でつなげます。見通しが必要で、強い雨で弱まることがあるため、60GHz帯の通信が弱まったときに5GHz帯へ自動で切り替わる（フェイルオーバーする）機器を採用します。

設置の前と後に、電波の強さと干渉を実際に測ります。

WPA3-Enterpriseで、利用者ごとのIDや証明書で認証します。RADIUSサーバーは、認証に成功したときに、そのユーザーやグループに割り当てたVLANの番号をアクセスポイントに返します。たとえば、事務所の従業員は業務用のVLANへ、機器を保守する業者は機器管理用のVLANへ、と振り分けられます。

端末がIEEE 802.1Xに対応していることが前提です。

PPSK（Private PSK）では、パスワードごとに入るVLANを決められます。宿泊者用、従業員の私用端末用、IoT端末用を1つのSSIDにまとめ、パスワードによって別々のVLANに振り分ければ、SSIDの数を増やさずにネットワークを分けられます。

IEEE 802.1Xに対応していない端末も、パスワードだけで振り分けられます。

全員が同じパスワードで接続する方式です。WPA3では、接続のときにパスワードそのものをやり取りしない仕組み（SAE）を使うため、通信を傍受されても、パスワードを総当たりで割り出されにくくなります。管理フレームの保護（PMF）も必須です。

従来のWPA2-PSKでは、接続のときのやり取りを傍受されると、パスワードを手元で総当たりされるおそれがあります。また、同じパスワードを知っている人なら、ほかの端末の通信を復号できます。WPA2-PSKのSSIDは、WPA3-PSKへの移行を進めます。

古い端末のために、WPA2とWPA3の両方を受け付ける移行用のモード（トランジションモード）もあります。ただし、WPA2での接続も許すことになるため、対応する端末がそろったらWPA3だけに切り替えます。

同一のSSID上で、端末や利用者ごとに別のパスワードを発行し、パスワードごとに入るVLANを決められる方式です。漏れたパスワードや退職者のパスワードだけを、個別に無効にできます。

WPA3-PSKやIEEE 802.1Xに対応していない端末も、端末ごとのパスワードで分けてつなげます。電子錠や空調の制御装置など、WPA2-PSKにしか対応していないIoT端末を救う手段になります。ただし、多くの製品ではWPA2の仕組みの上で動くため、WPA3が必須の6GHz帯では使えません。

利用者ごとのIDとパスワード、または証明書で、RADIUSサーバーが認証する方式です（IEEE 802.1X）。誰がつないでいるかが分かり、退職者や紛失した端末を個別に止められます。認証の結果によって、VLANを振り分けることもできます。

RADIUSサーバーと、端末ごとの設定（証明書の配布など）が必要です。IEEE 802.1Xに対応していない端末はつなげません。

パスワードなしで接続できるWi-Fiでも、端末とアクセスポイントの間の通信を、端末ごとに暗号化する仕組みです。技術的にはOWE（Opportunistic Wireless Encryption）と呼ばれます。

OWEに対応していない古い端末もつなげるよう、従来のオープンなWi-Fiと並べて使う移行用のモード（トランジションモード）もあります。

パスワードを配らずに済み、利用者もパスワードの入力を省ける手軽さはそのままに通信を暗号化できるので、特に公衆無線LANサービスの利便性と安全性を両立できます。

妥当案OWE（パスワードレスの通信暗号化）＋Web認証（部屋ごとのパスワードを打ち込ませる）

部屋ごとのパスワードは、宿泊管理システム（PMS）と連携し、チェックインのときに発行し、チェックアウトのときに無効にします。

1つのSSIDで館内のどこでも同じパスワードが使えるので、客室からロビーやレストランに移動してもつながったままです。ログイン画面が要らず、通信も暗号化されます。また、端末とアクセスポイントは、接続のたびに同じパスワードを知っているかを確かめ合います。部屋ごとにパスワードが違うので、その部屋のパスワードを知らない偽APには、宿泊者の端末はつながりません。

Wi-Fiへの接続そのものにはパスワードが要らず、部屋ごとのパスワードはWeb認証の画面で入力させます。Web認証のセッションを長め（滞在期間に合わせるなど）にして、館内を移動するたびにログインし直さなくて済むようにします。

通信は暗号化されますが、偽のアクセスポイントは見分けられません。そのため、「偽物への備え」で紹介する、偽ポータルへの対策が欠かせません。

宿泊者用、業務用などのSSIDは、客室と共用部ですべて同じ名前と設定にします。SSIDが変わると、端末はつなぎ直しになります。

同じSSIDのVLANは、全館のアクセスポイントで同じにします。フロアごとにVLANやIPアドレスの範囲を分けると、移動したときにIPアドレスが変わり、通話や動画が途切れます。

部屋ごとに分けるのはパスワード（PPSK）だけにし、宿泊者用のVLANは1つにまとめます。部屋ごとにVLANを作る必要はなく、宿泊者どうしの通信は、アクセスポイントのクライアント分離で止めます。

隣り合うアクセスポイントの電波は、切り替えの境目でも十分な強さ（目安は-67dBm以上）が出るよう、少し重なるように配置します。

逆に、出力を上げすぎると、端末が遠くのアクセスポイントにつながったまま離れない（スティッキークライアント）原因になります。

エレベーターの中や乗り場、階段、非常口の付近は、電波が途切れやすい場所です。設置の後に、実際に歩きながら確認します。

接続を切り替えるかどうかを最終的に決めるのは、アクセスポイントではなく端末の側です。次の機能は、端末に切り替えを促すものと考えます。

電波の弱い端末を強制的に切断する機能は、強くかけすぎると、かえって接続が途切れる原因になります。使う場合は控えめに設定します。

WPA3-Enterpriseの業務用では、802.11rなどで、切り替えのたびにRADIUSでの認証をやり直さないようにします。IP電話の切り替えは、50ミリ秒以内を目安にします。

OWEとWeb認証の組み合わせでは、Web認証の状態を全館のアクセスポイントで共有し、セッションを長めに設定します。アクセスポイントが変わるたびにログイン画面が出ないようにするためです。

PPSKでは、全館で同じパスワードが使えるので、移動してもつなぎ直しは起きません。

同じアクセスポイントにつないだ端末どうしが通信できないようにします。

通信を強制的に切断して偽物へ誘導する攻撃を防ぎます。WPA3では必須です。

1台または1部屋あたりの上限を決め、一部の利用者が回線を使い切らないようにします。

客室テレビやIP電話は、QoSで優先します。

WANスイッチ、ルーター、コアスイッチ、フロアスイッチ、アクセスポイントを1つのコントローラーで管理する製品なら、ネットワークそのものをソフトウェアで定義できます（Software Defined Network、以降、SDNと表記）。機器の一覧、設置場所、ファームウェアのバージョン、MACアドレス、どの機器がどこにつながっているかが自動で記録され、台帳や構成図を手で作る必要がありません。

VLANやSSIDの設定は、コントローラーで一度決めれば全機器に反映されます。フロアごとにスイッチの設定を手で揃える必要がなく、設定の食い違いが起きません。ファームウェアの更新も、全館の機器にまとめて、決めた時間帯に実行できます。

偽APの検出、通信量、障害の通知も同じ画面で確認できるので、「偽物への備え」の検出と報告の体制を、そのまま日々の運用に組み込めます。

メーカーごとのアドバイザリを確認し、自施設の機器が対象かどうかを判断する担当を決めます。

回線、機器の稼働状況、電波の状況を常時監視し、異常があれば運用担当者に通知します。

年に一度は、ネットワーク間の遮断が設定どおりに効いているか、使っていないポートや古いアカウントが残っていないかを確認します。

宿泊者から「Wi-Fiで更新を求められた」「似た名前のWi-Fiがある」と言われたら、すぐに運用担当者に連絡する流れを、フロントのスタッフと共有します。