店舗Wi-Fi、全部同じで大丈夫？｜Staff・Guest・Deviceを分ける現実的な設計【OpenWrt集中連載029】
店舗のWi-Fiを整理するなら、Staff（業務端末）、Guest（来客）、Device（カメラ・設備）を分け、必要な通信だけ残します。POS・決済端末は移動する前に、ベンダーの接続要件を確認してください。
この回はLN6001-JPのメーカー提供ファームウェアversion 1.2.0.15を基準にした設計ガイドです。別のファームウェアでそのまま使える設定例や、決済サービスの認定構成ではありません。ファームウェアと追加モジュールの関係は003にまとめています。
この連載では、Linksys Velop WRT Pro 7（LN6001-JP）を使いながら、家庭・小さなオフィス・店舗でOpenWrtルーターを現実的に使う方法をまとめています。
連載目次: LN6001-JPで始めるOpenWrt実践ガイド
まず3つの役割を決める
Staff
スタッフPC、管理用タブレット、NAS、業務プリンターなど、信頼する業務端末を置きます。LuCIを開く管理用PCもStaff側です。
Guest
お客様のスマートフォンやPCを置きます。インターネットだけ使える状態が基本で、Staff、Device、LuCI、SSHへは入れません。
Device
監視カメラ、録画機、スマートロック、設備機器などを置きます。DeviceからStaffへは原則として入れず、Staffから必要な機器へだけ管理アクセスを許可します。
構成例
例では、Staffを 192.168.1.0/24、Guestを 192.168.2.0/24、Deviceを 192.168.3.0/24 に分けます。
IPアドレス範囲は例です。既存のPOS、ホームゲートウェイ、VPN先などと重ならない範囲を選びます。
SSIDには店舗名をそのまま入れる必要はありません。StaffとDeviceのSSIDは、店頭に掲示しない運用にします。パスワードも3つで分けます。
Guestは「別SSID」だけでは足りない
Guest用SSIDを作っても、同じnetworkへ接続していたら業務LANと分かれていません。
Guestには、別のnetwork、DHCP、firewall zoneを持たせます。
Guest → Internet：許可
Guest → Staff：拒否
Guest → Device：拒否
Guest → LuCI・SSH：拒否
zoneのInputを拒否する場合でも、端末がIPアドレスと名前解決を使えるように、DHCPとDNSの通信は必要です。
さらに、同じGuest SSIDへつながった端末同士も見せたくない場合は、無線側のclient isolationも検討します。ただし、実装や動作はファームウェアと構成で確認してください。
Deviceは「何でも置く箱」にしない
Deviceへ入れるのは、カメラや設備機器など、役割と通信先を説明できるものです。
クラウド接続が必要なカメラはInternetへ出る必要があります。録画機をStaffのPCから見るなら、Staffから録画機への通信も必要です。
Staffの管理PCから録画機のIP・必要なポートだけへ許可します。DeviceとStaff全体を双方向に開けないようにします。
POS・決済端末はベンダー要件を優先
POSレジ、カードリーダー、QR決済端末には、指定回線、固定IP、特定DNS、専用ルーター、リモート保守などの条件がある場合があります。
ネットワークを分ければ自動的に決済要件を満たすわけではありません。次をベンダーへ確認します。
指定の接続方式や回線があるか
無線・有線のどちらを使うか
固定IPやDHCP予約が必要か
外向き・内向きの通信要件があるか
ルーター交換やnetwork変更がサポート対象か
障害時の連絡先と復旧手順は何か
不明な状態で、POSや決済端末をDeviceへ移動しないのが安全です。
業務機器はDHCP予約する
プリンター、NAS、録画機、管理PCなど、IPアドレスでアクセスする機器はDHCP予約すると管理しやすくなります。
端末側へ固定IPを直接入力するより、ルーター側で予約すれば、重複や設定忘れを減らせます。
予約表には、機器名、設置場所、network、IPアドレス、用途を書きます。MACアドレスや管理画面の認証情報を公開資料へ載せないようにします。
AdblockやDNSフィルタを強くしすぎない
店舗では、広告ブロックより業務継続が優先です。
予約サービス、決済、カメラ、サイネージ、BGMなどが、外部ドメインへ接続する場合があります。強いフィルタをStaffやDeviceへ一度に入れると、原因の分かりにくい障害になります。
最初は通常のDNSで安定させます。フィルタを追加するなら、影響の小さいnetworkから、営業時間外に、戻し方を用意して試します。
VPNは対象機器だけへ
外出先から店舗へ入る場合も、LAN全体を見せる必要はありません。
録画機を確認するなら録画機だけ、LuCIを見るならLN6001-JPだけ、保守用PCへSSHするならそのPCだけです。
固定IPや外部着信が難しい回線ではTailscale、到達可能なendpointと鍵・経路を自己管理するならWireGuardを検討します。必要な利用者・宛先・ポートへ権限を絞る考え方は、VPNのアクセス設計028で整理しています。
営業を止めない変更順
営業時間外の作業枠を決める
設定バックアップを取る
現在の端末とIPアドレスを記録する
Guestだけ追加して確認する
問題がなければDeviceを追加する
POS・決済はベンダー確認後に扱う
動いた状態をもう一度バックアップする
Guest、Device、VPN、Adblockを同じ日に追加しません。作業を始める前に「何時までに確認できなければ戻すか」と、戻す担当者を決めます。バックアップに加え、元のケーブル接続とSSIDを記録しておくと、営業時間までに戻す判断がしやすくなります。
実機で確認する
Staffでは業務アプリ、プリンター、NAS、管理画面を確認します。
GuestではWebサイトを開き、Staff・Device・LuCIへ届かないことを確認します。先にStaffから正常に開ける管理画面や対象機器を確認し、同じ接続先をGuestから試します。対象機器が停止しているだけなら、分離の確認にはなりません。IPv6も使っている場合は、その経路も確認します。
Deviceでは公式アプリ、クラウド接続、録画、Staffからの必要な管理操作を確認します。
SSHで状態を読む場合は、参照コマンドに絞ります。
uci show network
uci show wireless
uci show dhcp
uci show firewall
cat /tmp/dhcp.leases
ifstatus wan
ifstatus wan6
iptables-save
ip6tables-save
logread | tail -n 200
公開するログや画面では、SSID、パスワード、MACアドレス、内部IP、端末名、店舗名を伏せます。
店舗に残す運用メモ
最低限、次を残します。
3つのnetworkと用途
ルーター・ONU・スイッチ・APの接続図
業務機器のIP予約表
設定変更日と変更内容
最新バックアップの場所
回線事業者・POS・決済・カメラの連絡先
障害時に「触らない機器」
メモは、店舗スタッフが見る簡易版と、管理者だけが見る詳細版に分けると安全です。
実装と運用へ進む
Guestの作り方は007、通信方向を決めるfirewall zoneは016へ。ケーブルやスイッチをまたいで分離する必要が出たら、VLANの導入判断011を読みます。作業前のバックアップと復元は023で確認してください。
