IoT機器を家庭のPCやスマートフォンから分けたい場合は、先に機器の役割と必要な通信を確認し、その後にゲストネットワークやVLANを選びます。
設定後は、メインネットワークからIoT機器の管理画面や共有機器へ到達できないことを確認してください。
分離は、IoT機器自体の乗っ取りを防ぐ設定ではありません。
機器ごとの更新、固有の認証情報、不要な外部公開の停止と組み合わせて使います。
分離前に機器と依存関係を棚卸しする
最初に、家庭内で使っているIoT機器を一覧にします。
- ネットワークカメラ、スマートスピーカー、スマートプラグ
- スマートロック、照明、空気清浄機、ロボット掃除機
- NASやプリンターなど、PCやスマートフォンから直接使う機器
機器ごとに、次の項目を確認します。
- メーカーと機種名
- 接続方法（Wi-Fi、有線、Bluetooth、ハブ経由）
- クラウド経由の操作が必要か
- 同じ家庭内ネットワークの端末から操作するか
- ファームウェア更新、管理者パスワード、外部アクセスの設定があるか
スマートスピーカーから照明を操作するような構成では、機器同士の通信経路が分離後も必要です。
印刷や映像表示のように、PCやスマートフォンから直接アクセスする機器は、ゲストネットワークへ移すと使えなくなる場合があります。
この一覧を作らずに分離すると、機器が動かなくなった原因と、分離が機能していない原因を区別しにくくなります。
ネットワーク分離で防げる範囲
ネットワーク分離は、同じ家庭内にある機器を別のネットワークセグメントへ置き、セグメント間の通信をルーターで制限する構成です。
IoT機器が別セグメントにあると、IoT機器からPCやスマートフォンへ直接接続する経路を制限しやすくなります。
分離で期待できるのは、侵害された機器から家庭内の別の機器へ被害が広がる可能性を下げることです。
分離だけで次の問題が解決するわけではありません。
- IoT機器の脆弱性や弱いパスワード
- IoT機器と連携するクラウドアカウントの不正ログイン
- メーカーのクラウドや連携サービス側の障害や侵害
- 分離設定の誤りによるセグメント間通信
- IoT機器からインターネットへ出ていく通信
その理由は、分離が通信経路の制御であり、機器のソフトウェアやクラウドアカウントを修復する設定ではないからです。
ゲストネットワークの使い方
家庭用ルーターにゲストネットワークがある場合は、初心者でも試しやすい分離方法です。
ただし、ゲストネットワークの機能と通信制御は機種によって異なります。
設定画面で、次の項目を確認してください。
- ゲストネットワークを有効にします。
- メインネットワークとは異なるSSIDとパスワードを設定します。
- 「ローカルネットワークへのアクセスを許可しない」など、メイン側への通信を制限する項目を有効にします。
- 一覧で確認したIoT機器だけをゲストネットワークへ接続します。
- スマートスピーカーなどの連携が必要な機器が動くか確認します。
設定名は機種やファームウェアによって異なります。
メーカー公式マニュアルで、ゲスト側からメイン側へのアクセス制限と、ゲスト側の端末同士の通信制御を確認してください。
ゲストネットワーク内の機器同士も分けたい場合は、ゲストネットワークだけでは足りないことがあります。
分離状態を確認する
分離の確認は、IPアドレスの違いだけで判断しないでください。
別のIPアドレスが割り当てられていても、ルーターの設定によってはセグメント間通信が許可されている場合があります。
次の順に確認します。
- ルーターの管理画面で、IoT機器がゲストまたはIoT用のネットワークに接続していることを確認します。
- メインネットワークのPCから、IoT機器の管理画面や共有機能へ接続できないことを確認します。
- IoT機器から、メインネットワークのPC、NAS、プリンターへ接続できないことを確認します。
- スマートスピーカーなど、分離後も必要な連携だけが動作することを確認します。
- ルーターの公式マニュアルで、端末間隔離とセグメント間通信の説明を照合します。
接続できないことだけでは、すべての通信が遮断されたとは判断できません。
ICMP、管理画面、共有プロトコルなど、確認する通信の種類によって結果が異なるためです。
確認方法が機器側の仕様に依存する場合は、メーカーのサポートへ問い合わせてください。
VLANなど高度な構成
VLANは、物理的な配線を増やさずにネットワークを論理的に分ける仕組みです。
ゲストネットワークより細かく、PC、IoT機器、カメラ、来客用端末などを別のセグメントへ分けたい場合に使います。
VLANを検討するときは、次の対応状況を先に確認します。
- ルーターが複数のVLANとファイアウォール規則に対応しているか
- Wi-FiアクセスポイントがSSIDごとのVLAN割り当てに対応しているか
- 有線スイッチが必要なVLAN方式に対応しているか
- セグメント間で許可する通信を定義できるか
- 設定を失敗した場合に、公式手順で復旧できるか
VLANを設定するときは、機器同士の通信を最初から全面的に許可しないでください。
必要な連携だけを特定して、許可する通信を少しずつ追加します。
設定に失敗するとIoT機器が使えなくなるだけでなく、意図せず別セグメントへ到達できる状態になる場合があります。
対応機種、設定名、通信規則は、ルーター、アクセスポイント、スイッチの公式マニュアルで確認してください。
分離できない場合の代替策
ゲストネットワークやVLANを使えない場合でも、IoT機器単体の設定を見直せます。
- メーカー公式アプリや管理画面からファームウェアの更新を確認する
- 機器ごとに異なる管理者パスワードを設定する
- 不要なリモート管理、ポート開放、外部公開を無効にする
- 使っていない機器をネットワークから外す
- カメラの映像共有、クラウド保存、連携ユーザーを確認する
- ルーターの管理用パスワードとWi-Fiパスワードを使い回さない
更新が提供されているか、更新の終了時期が決まっているかは機器ごとに異なります。
更新状況が確認できない機器は、メーカーのサポート情報を確認したうえで、交換や利用停止を判断してください。
分離できない場合の対策は、分離の代替というより、機器自体の被害を抑えるための別の対策です。
ルーターの選定基準
ルーターを交換する場合は、製品名や価格から決めず、家庭の機器と必要な通信に合うかを確認します。
- ゲストネットワークと端末間隔離に対応しているか
- IoT用のSSIDやVLANを設定できるか
- セグメント間の通信を制御できるか
- 管理画面の多要素認証や安全な管理方式に対応しているか
- ファームウェアの更新方法とサポート期間を確認できるか
- 設定を変更した後に、公式マニュアルで動作確認できるか
「IoT保護」や「セキュリティ搭載」という名称だけでは、通信の分離範囲や更新条件は分かりません。
購入前に、機種別の仕様、利用規約、追加料金の有無、更新の扱いをメーカー公式情報で確認してください。
本記事は特定の型番がゲストネットワーク、端末間隔離、VLANに対応すると保証するものではありません。
購入または設定の判断では、対象機器の型番、ファームウェアのバージョン、メーカーの公式マニュアルとサポート情報を一組で確認します。
よくある質問
ゲストネットワークへ移すと、スマートスピーカーから照明を操作できますか？
機器の連携方式によって変わります。
クラウド経由なら動作する場合がありますが、家庭内ネットワークのローカル通信が必要な構成では動かなくなる場合があります。
分離前に公式マニュアルで必要な通信を確認してください。
VLANを設定しないとIoT機器は危険ですか？
VLANは分離方法の一つであり、すべての家庭に必要なわけではありません。
ゲストネットワークで必要な端末間通信を制限できるなら、まずその構成を検証できます。
分離できれば、IoT機器のパスワード変更は不要ですか？
不要にはなりません。
分離は家庭内の通信経路を制限する対策であり、機器の管理画面やクラウドアカウントの認証情報を変更する機能ではないからです。
分離状態を確認できない場合はどうすればよいですか？
機器の管理画面をむやみに外部公開せず、ルーターと機器の公式マニュアルを確認してください。
通信の確認方法が不明な場合は、設定を変更した機器のメーカーへ相談します。
参考資料
- IPA「情報セキュリティ10大脅威」
- IPA「情報セキュリティに関する技術的なご相談」
- 総務省「IoTセキュリティ」
- NIST「Guidelines for Securing Wireless Local Area Networks」
- NIST「Recommended Cybersecurity Requirements for Consumer-Grade Router Products」
- CISA「Federal Mobile Workplace Security」
- ルーター、アクセスポイント、IoT機器の各メーカー公式マニュアル。機種とファームウェアに対応する手順を確認します。
本文で扱った設定名や対応範囲は、機器の機種とファームウェアによって異なります。
購入前や設定変更前に、各メーカーの公式情報を確認してください。
最終更新日：