Aruba

2024.04.16

はじめに

WPA3ブログの第6回となる本ブログではarubaの設定や各SSIDにWindowsパソコンとiPhoneを接続した際の状態を紹介させていただきます。

下図は第三回のブログで紹介した無線機器のサポート状況の図ですが、arubaがサポートしているWPA3の規格の再確認のために再掲します。

※本ブログで紹介する内容は2022年8月時点の独自の検証結果に基づくものです。
記事の作成については万全を期しておりますが、掲載された情報の正確性について、これを保証するものではない点ご注意ください

2024年4月追記

AOSバージョン8.11にて、WPA3-EnterpriseのOnlyモードでCCMP-128での設定、及びWPA3-EnterpriseのTransitionモードに対応しました。
8.11では以下の表の通り全て「○」となります。

　目次　
1. 検証機器の紹介
2. WPA3-Personal Only mode
　2.1 アクセスポイントの設定内容
　2.2 クライアントの接続ステータス
3. WPA3-Personal Transition mode
　3.1 アクセスポイントの設定内容
　3.2 クライアントの接続ステータス
4. WPA3-Enterprise only mode
　4.1 アクセスポイントの設定内容
　4.2 クライアントの接続ステータス
5. WPA3-Enterprise Transition mode
　5.1 アクセスポイントの設定内容
　5.2 クライアントの接続ステータス
6. WPA3-Enterprise 192-bit mode
　6.1 アクセスポイントの設定内容
　6.2 クライアントの接続ステータス
7. Enhanced Open Only mode
　7.1 アクセスポイントの設定内容
　7.2 クライアントの接続ステータス
8. Enhanced Open Transition mode
　8.1 アクセスポイントの設定内容
　8.2 クライアントの接続ステータス
9. まとめ

1. 検証機器の紹介

今回の検証で使用した機器は以下の通りです。
クライアントやRadiusサーバは前回、前々回のMeraki/Ciscoと同様となります。

【無線AP】
＜aruba モビリティコントローラー＞
・Mobility Conductor(Virtual) [ArubaOS 8.6.0.6]
・7005-JP

＜aruba アクセスポイント＞
・AP-335

【クライアント】
＜Windows パソコン＞
・HP Spectre x360 convertible 13-ap0xxx [Windows 10 Pro , OSビルド：19044.1766 , Intel AX200]

＜iPhone＞
iPhone 12 [iOS 15.6]

【Radiusサーバー】
Netattest EPS [OSバージョン：4.10.4]
※WPA3-Enterpriseの検証に使用(EAP-TLSを使用)
※基本セットアップと"EAP-TLS"で認証を行うための設定を実行

2. WPA3-Personal Only mode

arubaのドキュメントでは動作モードを「opmode」と記しており、このモードはopmodeが「wpa3-sae-aes」となります。

2.1 アクセスポイントの設定内容

【設定ポイント】
WPA3に関連する部分のみの説明となります。
[Security]　>　"Personal"を選択
[Key management:]　>　"WPA3-Personal"を選択
[Enable backward compatibility]　>　チェックを"入れない"

【設定画面イメージ】

また設定内容をCLIで確認するとSSID-Profileは以下のようになります。
[opmode]　>　wpa3-sae-aes
[opmode-transition]　>　"no"(無効)

2.2 クライアントの接続ステータス

【クライアントを接続した際の状態】

【モビリティコントローラ上でのクライアント情報】

・Windows(GUI)

・Windows(CLI)

・iPhone(GUI)

・iPhone(CLI)

【Windowsで取得した接続情報】

【iPhoneで取得した接続情報】
iPhoneでは接続しているセキュリティ規格の確認はできません。

3. WPA3-Personal Transition mode

このモードはopmodeが「wpa3-sae-aes」の「Transition(が有効)」となります。

3.1 アクセスポイントの設定内容

【設定ポイント】
WPA3に関連する部分のみの説明となります。
WPA3-Personal Only modeとの違いは[Enable backward compatibility]へのチェックを入れる部分です。
[Security]　>　"Personal"を選択
[Key management:]　>　"WPA3-Personal"を選択
[Enable backward compatibility]　>　チェックを"入れる"

【設定画面イメージ】

また設定内容をCLIで確認するとSSID-Profileは以下のようになります。
[opmode]　>　wpa3-sae-aes
[opmode-transition]　>　表示なし(有効)

3.2 クライアントの接続ステータス

【クライアントを接続した際の状態】

【モビリティコントローラ上でのクライアント情報】

・Windows(GUI)

・Windows(CLI)

・iPhone(GUI)

・iPhone(CLI)

【Windowsで取得した接続情報】

【iPhoneで取得した接続情報】

4. WPA3-Enterprise Only mode

このモードはopmodeが「wpa3-aes-gcm-256」となります。
WPA3ブログの第二回でも紹介させていただきましたが、Cipher Suiteが最低要件のCCMP-128ではなく、GCMP-256を採用しています。

4.1 アクセスポイントの設定内容

【設定ポイント】
WPA3に関連する部分のみの説明となります。
[Security]　>　"Enterprise"を選択
[Key management:]　>　"WPA3-Enterprise"を選択
[Use CNSA suite:]　>　チェックを"入れない"
[Key size:]　>　"256 bits"を選択

【設定画面イメージ】

また設定内容をCLIで確認するとSSID-Profileは以下のようになります。
[opmode]　>　wpa3-aes-gcm-256

4.2 クライアントの接続ステータス

【クライアントを接続した際の状態】

【Windowsで取得した接続情報】
Windows側ではPSKと認識され接続できませんでした。

【iPhoneで取得した接続情報】
iPhone側でも接続不可でした。

2024年4月追記

AOSバージョン8.11にて、WPA3-EnterpriseのOnlyモードでCCMP-128での設定に対応しましたので確認しました。

アクセスポイントの設定内容

【設定ポイント】
WPA3に関連する部分のみの説明となります。
[Security]　>　"Enterprise"を選択
[Key management:]　>　"WPA3-Enterprise"を選択
[Use CNSA suite:]　>　チェックを"入れない"
[Key size:]　>　"128 bits"を選択

【設定画面イメージ】

SSIDプロファイルでは[opmode transition]を無効化(チェックを"入れない")

設定内容をCLIで確認するとSSID-Profileは以下のようになります。
[opmode]　>　wpa3-aes-ccm-128
[opmode-transition]　>　no

ビーコンをキャプチャした内容が以下となり、①Group Cipher Suite type/②Pairwise Cipher Suite type共にWPA3 Enterpriseの最小要件の「CCMP-128」となっています。

クライアントの接続ステータス

【クライアントを接続した際の状態】

Windowsのクライアントのみで確認していますが、接続可能なことが確認できました。

【モビリティコントローラ上でのクライアント情報】

・Windows(GUI)

・Windows(CLI)

【Windowsで取得した接続情報】

5. WPA3-Enterprise Transition mode

このモードはopmodeが「wpa3-aes-ccm-128」となります。
arubaではWPA3-Enterprise Transition modeには対応しておらず、WPA2-EnterpriseでPMFを有効化(MFPC:1)したのがこのモードとなります。
ビーコンをキャプチャしたのが下記となります。
WPA3ブログの第二回のciscoのWPA3-Enterprise Transition modeのキャプチャと比較していただくと、AKMが「WPA」の1つのみとなっているのがわかるかと思います。
ciscoの場合は「WPA」と「WPA(5)」の2つが存在します。

「Transition」の有効化はできませんが、WPA2クライアントも接続可能なモードとなります。
Wi-Fi Allianceの定義するWPA3-Enterprise Transition modeには準拠していないのでご注意ください。
便宜上WPA3-Enterprise Transition modeの項で説明させていただきます。

5.1 アクセスポイントの設定内容

【設定ポイント】
WPA3に関連する部分のみの説明となります。
WPA3-Enterprise Only modeとの違いは[Key size:]が"128 bits"となる点です。
[Security]　>　"Enterprise"を選択
[Key management:]　>　"WPA3-Enterprise"を選択
[Use CNSA suite:]　>　チェックを"入れない"
[Key size:]　>　"128 bits"を選択

【設定画面イメージ】

また設定内容をCLIで確認するとSSID-Profileは以下のようになります。
[opmode]　>　wpa3-aes-ccm-128

5.2 クライアントの接続ステータス

【クライアントを接続した際の状態】

【モビリティコントローラ上でのクライアント情報】

・Windows(GUI)

・Windows(CLI)

・iPhone(GUI)

・iPhone(CLI)

【Windowsで取得した接続情報】

【iPhoneで取得した接続情報】

2024年4月追記

AOSバージョン8.11にて、Wi-Fi AllianceのWPA3に準拠したWPA3-EnterpriseのTransitionモードの設定に対応しましたので確認しました。

アクセスポイントの設定内容

【設定ポイント】
WPA3に関連する部分のみの説明となります。
[Security]　>　"Enterprise"を選択
[Key management:]　>　"WPA3-Enterprise"を選択
[Enable backward compatibility:]　>　チェックを"入れる"
[Key size:]　>　"128 bits"を選択

【設定画面イメージ】

SSIDプロファイルでは[opmode transition]を有効化(チェックを"入れる")

設定内容をCLIで確認するとSSID-Profileは以下のようになります。
[opmode]　>　wpa3-aes-ccm-128
[opmode-transition]　>　表示なし(有効)

ビーコンをキャプチャした内容が以下となり、③Auth Key Management(AKM) typeにWPA2用に「IEEE Std 802.1X」、WPA3用に「IEEE Std 802.1X,SHA-256」がセットされています。
また④MFPR:0/⑤MFPC:1となっていることからPMFが必須となっていません。