ドキュメント · 基幹ネットワークの分離
ゲストWi‑Fiが、レジに近づくことはありません。
施設を運営する方の最大の心配は、ゲストWi‑Fiが売上の妨げになることです。そのためTagnectが管理するのはゲストネットワークだけです。レジ、レシート／フィスカルプリンター、カード決済端末、社内システムは、固定キーを使う別のネットワークに置かれたままで、Tagnectがそれを変更することも、それに依存することもありません。
推奨トポロジー
ネットワークも役割も分ける
1
業務ネットワーク（お客様のもの）
レジ、レシート／フィスカルプリンター、カード決済端末、カメラ、社内システム。非公開の強固な固定キーを使用します。Tagnectはこのネットワークを管理も変更もしません。
2
ゲストネットワーク（Tagnect）
一時的なゲスト専用：ローテーションパスワード、NFCタグ、OTP。業務ネットワークから分離され、外部への通信はインターネットのみです。
3
機器用ネットワーク（任意）
テレビ、汎用プリンターなど画面のない機器向けで、専用の固定キーを使います。こちらも業務ネットワークとは別です。
シナリオ
状況ごとに、業務に何が起こるか
| 状況 | 業務ネットワーク | ゲストネットワーク |
|---|---|---|
| 通常の運用 | いつも通り動作し、Tagnectは関与しない | グループごとのローテーションパスワード、タグまたはOTPでサインイン |
| ゲストパスワードの自動ローテーション | 影響なし（固定キーでローテーション対象外） | 新しいパスワードが有効になってから古いものを削除。猶予期間は設定可能 |
| Tagnectクラウドが利用できない | 影響なし | すでに接続済みのゲストは引き続き閲覧でき、タグによる新規サインインはサービス復旧まで待機 |
| 侵害されたゲスト端末 | 到達不可：ゲストは業務ネットワークにアクセスできない | クライアント分離により、ゲスト同士は互いを見られない |
| 施設のインターネット回線の停止 | Tagnectの有無にかかわらず、回線事業者に依存 | Tagnectの有無にかかわらず、回線事業者に依存 |
プラットフォーム別
お使いの機器で分離をどう実現するか
どのプラットフォームでも、ゲストネットワークは専用のSSIDを持ち、業務ネットワークには到達できません。詳細はベンダーによって異なります。
- Ubiquiti UniFiとTP‑Link OmadaゲストSSIDを専用のVLANに置き、クライアント分離と、業務用LANへのアクセスを遮断するコントローラーのルールを適用します。
- Cisco Meraki別のゲストSSIDにグループポリシーを適用し、LANへのアクセス遮断をMerakiクラウドで設定します。
- MikroTik RouterOSTagnectのインストーラーが、ゲスト専用のブリッジ、サブネット、DHCP、およびインターネットへの通信のみを許可するファイアウォールルールを作成します。施設の既存ネットワークは変更されません。
- OpenWrtゲスト専用のインターフェースとファイアウォールゾーンを設け、業務用LANへのフォワーディングは行いません。
チェックリスト
設置時に技術担当者が確認する項目
- カード決済端末とレジはゲストネットワークから分離業務ネットワーク上、有線接続、または端末自身の4G SIMを使用します。
- 業務用SSIDは非公開の強固なキーWPA2またはWPA3で、スタッフだけが知る固定キー。
- ゲスト専用の別サブネットまたはVLANクライアント分離を有効にした状態で。
- ゲストから業務へのファイアウォール経路なしゲストはインターネットにのみ出られます。
- 最終テストゲストネットワークに接続したスマートフォンから、レシートプリンターやレジのPCにアクセスできないことを確認します。