システムエンジニアXの「プログラミング以外」の話 50代会社員SEのお仕事・副業・システム運用の経験談
セキュリティ Windows

【Windows 11】パスワードなし野良Wi-Fiへの接続を禁止するGPO設計

公開:
更新:

※本記事には広告を含みます。

はじめに

社給のノートPCを持ち出してカフェや出張先で業務を行う社員が増えるなか、「暗号化されていないパスワードなしのフリーWi-Fi（オープンネットワーク）」や、オフィスビル周辺から飛んでくる謎の野良SSIDに端末が繋がってしまうリスクに頭を悩ませていないでしょうか。

私も過去に、オフィスで「急に社内システムに繋がらなくなった」という社員のPCを調査したところ、社内Wi-Fiが一瞬途切れた隙に、隣のテナントや街頭から飛んでいたパスワードなしのフリーWi-FiへWindows 11が勝手に切り替わっていたことがあり、背筋が凍った経験があります。

パスワードなし（Open認証・暗号化なし）の無線LANは、通信内容の盗聴や中間者攻撃（Evil Twin攻撃）の温床となるため、就業規則での「接続禁止ルール」だけでなく、OSのポリシー制御で物理的に接続できないよう塞ぐのが確実です。

この記事では、Windows 11端末において「パスワードなしのオープンWi-Fi」への接続や一覧表示をGPO（グループポリシー）および netsh wlan コマンドで制御する設計手法と、現場で起きる副作用の回避策を解説します。

読み終えるころには、自宅Wi-Fiやテザリングの利便性を損なわずに、危険な野良Wi-Fiだけを安全に遮断できるようになります。

この記事の要点

  • Windows標準の「ワイヤレス ネットワーク (IEEE 802.11) ポリシー」や netsh wlan には、実は「オープン（パスワードなし）のSSIDだけをピンポイントで一括拒否する単一スイッチ」は存在しない
  • そのため、現場では ①「社内SSIDのみ許可するホワイトリスト方式」、②「インフラストラクチャのオープンプロファイル作成・自動接続の抑止＋有名フリーWi-Fiのブラックリスト方式」 のいずれかで設計する
  • いきなり「許可されたSSID以外すべてブロック」を有効にすると、社員の自宅Wi-Fiやスマホテザリングまで繋がらなくなるため、端末用途（社内専用機かモバイル機か）によるOU分離が必須
項目 動作確認・検証環境
検証年月 2026年9月
対象OS Windows 11 Pro / Enterprise (23H2 / 24H2)
設定箇所 GPO (ワイヤレス ネットワーク (IEEE 802.11) ポリシー) / netsh wlan
確認コマンド netsh wlan show filters / netsh wlan show wirelesscapabilities

結論：野良Wi-Fi接続を防ぐ2つのポリシー設計アプローチ

結論からお伝えすると、Windows 11の無線LAN制御（Native Wi-Fiフィルタリング機能）で野良Wi-Fiを防ぐには、端末の利用形態に合わせて 「ホワイトリスト方式（社内専用PC向け）」 と 「ブラックリスト＋自動接続抑止方式（テレワーク併用PC向け）」 の2つのアプローチを使い分ける必要があります。

それぞれの方式で何が許可・拒否されるのかを以下の比較表にまとめました。

比較項目 方式A：ホワイトリスト方式（厳格） 方式B：ブラックリスト＋アドホック禁止方式（柔軟）
GPOの主要設定 「ネットワークのアクセス許可」で 「許可されたネットワークのみ表示する」 を有効化 「アドホック ネットワークに接続しない」を有効化 ＋ 特定フリーWi-Fi SSIDを拒否リストに登録
社内指定SSID 接続可能（一覧に表示される） 接続可能
社員の自宅Wi-Fi・テザリング 接続不可（SSIDが一覧から消える） 接続可能
パスワードなしの野良Wi-Fi 完全遮断（一覧に表示すらされない） 登録した公衆SSIDは遮断 ＋ Wi-Fi Sense自動接続を無効化
向いている端末 社内・拠点間のみで使うPC、コールセンター端末 自宅テレワークや出張でテザリングを使うモバイルPC

「なぜパスワードなしのWi-Fiだけを機械的に全拒否できないのか？」というと、Windowsの無線フィルタ（netsh wlan add filter）が指定できるネットワーク種別（networktype）が infrastructure（一般的なAP経由のWi-Fiすべて） か adhoc（端末同士の直接通信） の2択になっており、「インフラストラクチャモードのうち、暗号化がOpenのものだけ」という条件フィルタがOS仕様上用意されていないためです。

この仕様の前提を踏まえたうえで、具体的なGPO設定手順を見ていきましょう。

手順1：GPO「ワイヤレス ネットワーク (IEEE 802.11) ポリシー」の設定方法

Active Directory環境で無線LANの接続制限を一括配布するには、グループポリシー管理エディター（GPMC）を使用します。

1. ポリシーの作成場所と基本構成

GPMCを開き、以下の階層へ移動して新規ポリシーを作成します。

コンピューターの構成 > ポリシー > Windows の設定 > セキュリティの設定 > ワイヤレス ネットワーク (IEEE 802.11) ポリシー

右クリックして 「新しい Windows Vista 以降のリリース用ワイヤレス ネットワーク ポリシーの作成」 を選択し、プロパティ画面を開きます。

2. 「ネットワークのアクセス許可」タブでの制御設定

プロパティ内の 「ネットワークのアクセス許可（Network Permissions）」 タブを開くと、周辺から飛んでくる電波（SSID）に対するフィルタリングルールを設定できます。

パターン①：社内専用PC（社内Wi-Fi以外への接続を一切禁止する場合）

  1. 「優先するネットワーク」タブで、社内の正規SSID（WPA2/WPA3-EnterpriseまたはPSK）を追加しておく。
  2. 「ネットワークのアクセス許可」タブを開き、以下のチェックボックスをすべてオンにする。
  3. 「アドホック ネットワークに接続しない」（オン）
  4. 「インフラストラクチャ ネットワークに接続しない」（オフのままにする ※オンにすると社内Wi-Fiも死にます）
  5. 「ユーザーにすべてのネットワークの表示を許可しない（許可されたネットワークのみ表示する）」（または、インフラストラクチャ全体を拒否フィルタに入れたうえで、社内SSIDのみを「許可（Allow）」リストに追加する）

パターン②：テレワーク併用PC（自宅Wi-Fiは残しつつ危険な接続を防ぐ場合）

テレワークPCでインフラストラクチャ全体を拒否すると自宅Wi-Fiに繋がらなくなるため、以下の設定を行います。

  1. 「アドホック ネットワークに接続しない」 にチェックを入れる（端末間ピアツーピアの野良接続を完全遮断）。
  2. 下部のリストで「追加」をクリックし、街中やオフィス周辺で社員が誤接続しやすい代表的なオープンSSID（例：0000Flets-Portal、FREE_Wi-Fi、ビル共有のゲストSSIDなど）を 「アクセス許可: 拒否（Deny）」 として登録する。

3. Windows 11の「オープンなホットスポットへの自動接続」をGPOで塞ぐ

Windows 11には、過去に一度でも繋いだことがあるオープンWi-Fiや、推奨される公衆ホットスポットへ自動的に接続を提案・試行する機能（旧Wi-Fi Sense系機能）があります。これを以下のGPO（管理用テンプレート）で確実に無効化します。

コンピューターの構成 > ポリシー > 管理用テンプレート > ネットワーク > WLAN サービス > WLAN の設定
  • 「推奨されるオープンなホットスポットに自動的に接続する（Allow Windows to automatically connect to suggested open hotspots...）」: 「無効」 に設定

さらに、有線LAN接続中に勝手に野良Wi-Fiへ同時接続してブリッジしてしまう事故を防ぐため、以下のポリシーもあわせて 「有効」 にするのが鉄板の設計です。

コンピューターの構成 > ポリシー > 管理用テンプレート > ネットワーク > Windows 接続マネージャー
  • 「ドメイン ネットワークへの接続時、非ドメイン ネットワークへの同時接続を禁止する（Minimize the number of simultaneous connections to the Internet or a Windows Domain）」: 「有効」（オプション：3 = Wi-Fi が機能しているときにネットワークへのブリッジと同時接続を防止する）

手順2：netsh wlan コマンドとPowerShellによるフィルタ確認・強制削除

GPOで配布した無線LANフィルタがクライアント側で正しく効いているかの確認や、Intune環境等でスクリプトから直接制御したい場合は、netsh wlan コマンドを使用します。

1. 現在適用されているWi-Fiフィルタ一覧を確認する

コマンドプロンプトまたはPowerShellで以下のコマンドを実行します。

# クライアントPCに適用されている無線LANの許可・拒否フィルタを確認する
netsh wlan show filters

実行すると、システム上で許可（Allow）されているSSIDと、ブロック（Block）されているSSIDの一覧が表示されます。

システム上の許可一覧 (グループ ポリシー)
---------------------------------------
    SSID: "CORP-SECURE-WIFI", 種類: インフラストラクチャ

システム上のブロック一覧 (グループ ポリシー)
---------------------------------------
    SSID: "", 種類: アドホック
    SSID: "FREE-OPEN-WIFI", 種類: インフラストラクチャ

また、コマンドラインから直接特定の野良SSIDをブロックリストに追加し、WindowsのWi-Fi一覧（タスクバーのポップアップ）から非表示にするコマンドは以下の通りです（要管理者権限）。

# 特定の野良SSIDをブロックリストに追加する
netsh wlan add filter permission=block ssid="FREE-OPEN-WIFI" networktype=infrastructure

# アドホック（ピアツーピア）ネットワークをすべてブロックする
netsh wlan add filter permission=block ssid="" networktype=adhoc

# ブロックリストにあるSSIDをユーザーのWi-Fi一覧画面から完全に隠す（非表示にする）
netsh wlan set blockednetworks display=hide

2. 【Intune/スクリプト応用】端末に保存された「パスワードなし（Open）Wi-Fi」を自動検知・削除する

前述の通り、OSの事前フィルタだけでは「未知の新しい名前のオープンWi-Fi」を社員が手動でクリックして繋ぐ動作を100%防ぐことはできません（ホワイトリスト方式を除く）。

そこで現場で非常に有効なのが、「端末に保存されたWi-Fiプロファイルのうち、認証が『オープン（<authentication>open</authentication>）』かつ暗号化が『なし（<encryption>none</encryption>）』のものを定期的に検知して強制削除・切断するPowerShellスクリプト」 です。

# 端末内に登録されている「パスワードなし（Open / 暗号化none）」のWi-Fiプロファイルを検知して自動削除するスクリプト
$profiles = (netsh wlan show profiles) | Select-String "すべてのユーザー プロファイル\s+:\s+(.+)$" | ForEach-Object { $_.Matches.Groups[1].Value.Trim() }

foreach ($name in $profiles) {
    # プロファイルの詳細（認証方式と暗号化方式）を取得
    $detail = netsh wlan show profile name="$name"
    $isOpen = $detail | Select-String "認証\s+:\s+オープン|Authentication\s+:\s+Open"
    $isNone = $detail | Select-String "暗号化\s+:\s+なし|Cipher\s+:\s+None"

    if ($isOpen -and $isNone) {
        Write-Warning "危険なオープンWi-Fiプロファイル [$name] を検知しました。プロファイルを強制削除します。"
        netsh wlan delete profile name="$name"
    }
}

このスクリプトをIntuneの「修復（Remediations）」やGPOのスタートアップ／定期タスクとして仕込んでおけば、万が一社員が外出先でパスワードなしの野良Wi-Fiに繋いでしまっても、プロファイルごと即座に抹消され、次回以降の自動再接続（野良Wi-Fiへの勝手な吸い込み）を完全に阻止できます。

現場でハマる「無線LANポリシー設計」3つの落とし穴

最後に、Wi-Fi制限ポリシーを全社展開する際に情シスが陥りやすい3つの罠を紹介します。

落とし穴1：permission=denyall で自宅Wi-Fiもテザリングも全滅する事故

netsh wlan add filter permission=denyall networktype=infrastructure（またはGPOで「許可されたネットワークのみ表示」）を、外出や在宅勤務をするモバイルノートPCのOUに適用してしまうと、許可リストに事前登録されていない「社員それぞれの自宅のWi-Fiルーター」や「個人のiPhone/AndroidのテザリングSSID」が画面からすべて消え去り、一切インターネットに繋がらなくなります。

しかもリモートワーク中だと、ネットワークに繋がらないため解除用の新しいGPOを受け取ることもできず、PCを会社へ郵送してもらう羽目になります。ホワイトリスト方式（denyall）は、必ず「オフィス内から持ち出さない端末」だけに限定して適用してください。

落とし穴2：キャプティブポータル（ホテルや新幹線のWi-Fi）の扱い

出張先のビジネスホテルや新幹線、空港のWi-Fiの中には、「電波自体はオープン（暗号化なし）で飛んでおり、接続後にブラウザのログイン画面（キャプティブポータル）でID・パスワードを入れる方式」が多く存在します。

これらは通信路（無線区間）自体は暗号化されていないオープンネットワークであるため、セキュリティ上はVPN（常時接続VPN / Always On VPN）の併用が必須です。オープンプロファイル削除スクリプトを運用する場合は、出張者向けに会社支給のLTE/5Gモバイルルーターやスマホテザリング（WPA2/WPA3暗号化あり）を標準手段として提供するのが最も安全です。

落とし穴3：社内SSIDの優先順位（自動接続順）が下位になる罠

社員が過去に街中のWi-Fiやテザリングに繋いだ結果、Windows 11内部のプロファイル優先順位で「社内Wi-Fi」よりも「外部Wi-Fi」が上に来てしまい、出社しても社内Wi-Fiに自動で切り替わらないケースがあります。

GPOの「ワイヤレス ネットワーク (IEEE 802.11) ポリシー」で社内SSIDを配布しておけば、GPOで配布されたプロファイルは常にユーザーが手動追加したプロファイルよりも最優先（リストの一番上）に固定される ため、オフィス内での野良Wi-Fi誤接続を大幅に減らすことができます。

よくある質問（FAQ）

Q: Windows 11の標準GPOだけで「WPA2/WPA3のWi-Fiはすべて許可し、パスワードなし（Open）のWi-Fiだけをすべて拒否する」設定はできますか？

A: いいえ、Windows 11（およびWindows ServerのGPO）の標準機能には、未知のSSIDに対して「暗号化方式（OpenかWPA2か）だけを条件にして接続をブロックする」というフィルタ項目は存在しません。そのため、①社内SSIDのみを許可するホワイトリスト運用にするか、②GPOで推奨オープンホットスポット自動接続を無効化したうえで、本記事で紹介したPowerShellスクリプトによるOpenプロファイル強制削除（またはEDR/検疫ツール）を組み合わせるのが現実的な解決策となります。

Q: GPOでブロックしたSSIDが、まだタスクバーのWi-Fi一覧に見えているのはなぜですか？

A: ネットワークのアクセス許可で「拒否（Block）」に登録しただけでは、一覧画面には「×」マーク等が付いた状態でSSID名自体が表示される場合があります。一覧からも完全に非表示にしたい場合は、GPOのネットワークアクセス許可タブで「ブロックされたネットワークを表示しない」にチェックを入れるか、netsh wlan set blockednetworks display=hide を実行してください。

Q: 誤って全インフラストラクチャ拒否（denyall）を適用してしまい、Wi-Fiが一切見えなくなったPCをローカルで復旧するコマンドは？

A: ローカル管理者権限でコマンドプロンプトを開き、netsh wlan delete filter permission=denyall networktype=infrastructure を実行してください。ただし、GPOで強制配布されている場合は次回のポリシー更新（gpupdate）で再びブロックされるため、必ずAD側のGPOリンク解除またはセキュリティフィルター除外を先に行ってください。

まとめ

Windows 11端末が「パスワードなしの野良Wi-Fi」へ勝手に繋がるのを防ぐ設計ポイントは以下の通りです。

  • 社内持ち出し禁止の端末 には、GPOの「ワイヤレス ネットワーク (IEEE 802.11) ポリシー」で社内SSIDのみを許可する ホワイトリスト方式 を適用する
  • テレワーク・持ち出し端末 には、ホワイトリスト方式は使わず（自宅Wi-Fiが死ぬため）、「推奨されるオープンなホットスポットへの自動接続」の無効化 と 「アドホック接続の禁止」、および 「ドメイン接続時の非ドメイン同時接続禁止」 を適用する
  • 万が一手動でパスワードなしWi-Fiへ接続された場合に備え、netsh wlan を使った オープンプロファイル自動検知・削除スクリプト を定期実行させて自動再接続を根絶する

端末の働き方に合わせた無線LANポリシーを設計し、利便性とセキュリティを高次元で両立させましょう。

関連記事

💡 あわせて読みたいセキュリティ関連記事
カフェのフリーWi-Fiで仕事する社内SEが今すぐ青ざめるべき「暗号化の罠」と安全な防衛策

パスワード付きWi-Fiでも同一ネットワーク内ならパケットは丸見え。出先やカフェからの安全な通信経路を月額396円から確保する国産VPN（MillenVPN）の活用法を詳しく解説しています。

免責規定

この記事で提供される情報は、一般的なガイダンスを目的としており、すべての環境やシステムでの動作を保証するものではありません。

OSのバージョンやリリースによっては、記載されている事が実行できない、または異なる結果をもたらす可能性があります。 また、会社所有のパソコン、スマホ、タブレットなどでは、ポリシーや権限によって実行できない場合があります。

この記事の情報を使用することによって生じる問題や結果について、筆者およびサイト管理者は責任を負いません。 すべての操作は自己責任で行ってください。

最後までお読みいただきありがとうございました。
またお会いしましょう！
← 記事一覧に戻る