MACアドレスフィルタリングの効果と限界

「登録した機器だけがWi-Fiに接続できる」設定は、多くの業務用ルーター・アクセスポイントに標準搭載されており、追加コストなく導入できる手軽さから、中小企業のオフィスでもよく使われています。ただしこの対策には明確な限界があり、それを理解した上で使うことが重要です。

MACアドレスフィルタリングとは

すべてのネットワーク機器（PC、スマートフォン、プリンターなど）には、機器固有の識別番号であるMACアドレス（例：00:1A:2B:3C:4D:5Eのような12桁の16進数）が割り当てられています。MACアドレスフィルタリングは、このアドレスをあらかじめルーターやアクセスポイントに登録し、登録済みの機器だけがネットワークに接続できるようにする設定です。

設定の実際

多くの業務向けルーター・アクセスポイントでは、管理画面から次のような手順で設定します（製品によって画面構成は異なりますが、流れは共通しています）。

管理画面にログインし、「MACフィルタリング」「アクセス制御」などの項目を開く
フィルタリングモードを「許可リスト方式（登録した機器のみ許可）」に設定する（「拒否リスト方式」は登録した機器だけを排除する設定で、通常の用途には向かない）
許可したい機器のMACアドレスを1台ずつ登録する（PC本体の設定画面や、ipconfig /all（Windows）・ifconfig（Mac/Linux）のコマンドで確認できる）
設定を保存し、未登録の機器で接続を試して、実際に拒否されることを確認する

台数が多い企業では、この登録作業自体が運用負荷になります。新しい機器を導入するたびに管理者が登録作業を行う必要があり、来客や外部業者の一時利用には別途「ゲスト用SSID」を用意するなど、運用ルールとあわせて設計しておく必要があります。

限界：MACアドレスは偽装できる

MACアドレスフィルタリングの最大の弱点は、MACアドレスが容易に偽装（スプーフィング）できることです。攻撃者は、無線LANの電波を傍受することで、許可されている機器のMACアドレスを特定できます。多くのOSでは、ソフトウェア側の設定変更だけでMACアドレスを別の値に書き換えられるため、特定したアドレスになりすませば、フィルタリングを迂回して接続できてしまいます。

つまりMACアドレスフィルタリングは、「知識のない第三者が誤って、あるいは軽い気持ちで接続を試みる」ことは防げますが、接続を意図的に狙う攻撃者に対してはほぼ防御力を持たないという前提で扱う必要があります。

他の対策と組み合わせる

MACアドレスフィルタリングを過信せず、次のような対策と組み合わせることで、実効性のある防御になります。

WPA3-Enterprise（IEEE 802.1X認証）：機器ごとの固定的な識別子ではなく、利用者ごとのID・証明書による認証を行う方式です。RADIUSサーバーと組み合わせて構築するため導入のハードルは上がりますが、MACアドレスの偽装では突破できない、より強固な認証になります
強固なWi-Fiパスワード（事前共有鍵）と定期変更：MACフィルタリングとあわせて、接続自体に強固なパスワードを要求する
ネットワークの分断（VLAN）：万が一フィルタリングを突破されても、被害が波及する範囲を最小限にとどめる（VLANでネットワークを分断する）
接続機器の異常を監視する：登録台数と実際の接続台数に乖離がないか、管理画面で定期的に確認する

どんな場面なら有効か

MACアドレスフィルタリングは、次のような限定的な場面では実用的な対策になります。

台数が少なく、登録・管理の運用負荷が現実的に回せる小規模オフィス
上記のような強固な認証方式を導入するコスト・専門知識が確保できない段階での、暫定的な対策として
他の対策（VPN、VLAN、強固なパスワード）と組み合わせた、多層防御の一部として

「MACアドレスフィルタリングを設定したから安心」という単独の対策として扱うのではなく、防御の層の1つと位置づけることが、実際のリスクに見合った使い方になります。

まとめ

MACアドレスフィルタリングは、追加コストなく導入できる手軽な対策である一方、MACアドレスの偽装によって容易に迂回されるという明確な限界を持っています。単独の防御策としてではなく、WPA3-EnterpriseやVLANによるネットワーク分断など、他の対策と組み合わせた多層防御の一部として位置づけることが現実的な使い方です。