初等教育機関におけるネットワーク分離の事例報告
松井聴治 1), 佐藤

1) 大阪教育大学
2) 大阪教育大学隆士 2)

情報企画室

情報処理センター

kmatsui@cc.osaka-kyoiku.ac.jp

Case reports of network separation in elementary school
Kikuji Matsui 1), Takashi Sato 2)
1) Information Planning Office, Osaka Kyoiku University
2) Information Processing Center, Osaka Kyoiku University
概要
初等中等教育機関において、情報セキュリティ対策から目的別にネットワーク分離が必要となっている。大阪教育大学附属学校においても、限られた予算の中でネットワーク分離を進めている。ネットワーク分離を実施する際の気づきや分離後の運用状況について報告する。

1

職員室は、机が島状に構成され、各島にスイ背景

ッチングハブがある。常勤教員の机には LAN コ

初等中等教育機関では、最近の情報セキュリンセントがあり、ハブは机コンセントにつながティ対策への対策のために教育情報セキュリテっている。その他の 2 島（管理職、用務員及びィポリシーのためのガイドライン[1]を発出共用 PC）及び複合機へはハブから直結していし、各学校及び学校を統括する機関に対してセる。

キュリティ対策を呼び掛けた。

事務室には、VPN ルータがあり、事務職員

その中で、校務系ネットワークと学習系ネッは、大学本部から VPN 接続したパソコンを使用

トワークについては完全に分離するとともに、しており、ネットワークは、独立している。

校務系においてもインターネット接続可能なネ

ネットワークアドレスはグローバル IP アド

ットワークとインターネット接続が不可能なネレスを静的に付与している。過去には台帳管理ットワークにわけるよう指針が示された。

が煩雑という声をいただいたこともある。学校

本論文では、その指針に基づき、大阪教育大学附属天王寺小学校（以下，附属天王寺小学校

内のラックには教材と校務資料が入った NAS があり、数 TB 程度のデータが存在する。と記す）において実際に構築して得た知見や今後に向けた課題をまとめたものを述べる。

教室には 2012 年に無線 LAN を整備している。無線 LAN はプライベート IP アドレスが動的に配布され、天王寺地区の小中高で共通の管2理をしている。

着手前の状況
教員が使用するパソコンは、校務や授業指導3のために一人一台所有している。端末の OS はWindows Home 版であるため一元管理はできて設計
校務支援システムのサーバ本体は、本学のメいない。

インキャンパスである柏原キャンパスに導入し480481

ており、附属天王寺小学校の利用者はキャンパ

管理系ネットワークは、バックアップや保守ス間ネットワーク経由で利用する。のためのネットワークである。

3.1

3.3

サーバ及びルータサーバは次のとおり整備している。

附属天王寺小学校の接続構成（1）職員室ネットワーク（1）仮想化基盤システム

職員室は、原則校務系ネットワークである。

仮想化基盤システムの性能を表 1 に示す。

ネットワーク分離のために、株式会社 JMC

次項（2）～（4）についてを仮想マシンとしてHardLockey を使用している。USB ドングルが接収容している。

続されていなければ、校務系システムへは続で（2）校務システム（DB サーバ・AP サーバ）

きない。

（3）HardLockey 管理サーバ（2）職員室パソコン（4）Active Directory 兼 DNS サーバ

ネットワーク更新に際して、教員のパソコン

以下の（5）から（7）は、物理サーバで構築してを Microsoft Surface Laptop へ更新している。物理サーバの性能を表 2 に示す。

Active Directory 及び USB デバイスによる多（5）WSUS 兼ウイルス対策ソフト管理サーバ

要素認証に対応している。

（6）学校 NAS 用ストレージサーバ（3）変更対象外の機器（7）バックアップサーバ（1 次・2 次用）

事務職員及び教室系ネットワークについてはサーバのうち、（6）学校 NAS 用ストレージサー

現状維持で今回は変更を行わなかった。

バ、（7）バックアップサーバ（1 次・2 次用）については FreeBSD で構築している。

表 1 仮想化基盤システムの性能

ルータについては、ネットワークごとに設置し型番
CPURAMHDDOSている。
3.2

柏原キャンパスの接続構成（1）校務系ネットワーク

HP ML350 Gen10Intel Xeon Bronze 3106
32GB(PC4-2666V-R 16GB*2)
2TB(SATA 2TB*2,RAID1構成)
Vmware vSphere 6.7

校務系ネットワークは、外部からインターネット利用ができないネットワークである。附属表 2 物理サーバの性能

学校の校務系ネットワークと相互に接続してい型番
CPUM/BRAM
SSD
HDD
OSる。サーバのうち、（2）校務システム、（3）HardLockey 管理サーバ、（4）Active Directory
兼 DNS サーバ、
（6）学校 NAS 用ストレージサー
バが接続される。
（2）校務外部接続系ネットワーク

組み立てのためなし
Intel Core i3-8100
Asus B360M-A
16GB (PC4-28800)
500GB(M.2)
6TB(バックアップサーバは12TB)
Windows Server 2019 又はFreeBSD 12

校務外部接続系ネットワークは、外部からインターネットが利用できるネットワークである。
校務システムのインターネット接続口や各学4実装

校からのメール等インターネット目的で利用す本実装は、2019 年 2 月から 3 月にかけて構る。サーバのうち、（5）WSUS 兼ウイルス対策築をおこなった。構築にあたり複数の課題が出ソフト管理サーバが接続される。てきたので列挙する。

（3）管理系ネットワーク

481482

4.1

DNS サーバ

4.6

ユーザプロファイル

Active Directory を設置するため、基本的教員用パソコンにデータを置くのを最低限ににはドメインコントローラに DNS 機能が統合さとどめて、利便性と安全性を確保するためにユれておりクライアントは利用するが、ドメインーザプロファイルはフォルダーリダイレクトをコントローラは、校務系ネットワークに所属す多用している。

るため、外部情報を参照できない。Forwarder

実運用を始めたのち、ユーザプロファイルをについても、ネットワーク分離していると上位運用すると非常に端末のレスポンスが遅いこと

DNS に直接アクセスできないために代理応答のがわかり、調査を行った結果、複数の点で課題DNS が必要となり、今回はルータ機能で実現しが出てきたため対応している。ている。
4.2

一点目は、IME 辞書がフォルダーリダイレク

複合機トの対象となっていたことである。文字入力の所属が異なるネットワークから複合機への印際に遅延が発生しており実用に耐えられなくな刷やスキャンデータの取り出しが要望としてあっていたため、フォルダーリダイレクトの範囲るが、ネットワーク分離を徹底した場合利用でを変更して改善している。

きなくなる。

二点目は、ネットワーク利用前提のソフトウ

今回は、HardLockey により複合機やルータェアが、校務用ネットワーク内でネットワーク側でなくクライアント側でネットワーク制御が探索を続けている事象である。グループポリシできることで対応している。

ー等でソフトウェアや機能を無効にするなどに4.3して改善している。

ネットワーク回線帯域不足

運用を開始して、ネットワーク帯域が不足し4.7

ハードウェアトラブルていることが顕著化した。次項以降の様々な症

最近のノートパソコンには有線 LAN 端子がつ状の根本原因といえる。根本的な解決としてはいていない機種も多く、今回導入した教員用パ回線契約の更新を待っている状況である。

ソコンについても、有線 LAN 端子がついていな

4.4

い端末であったため別売の純正 Dock を購入しActive Directory 冗長化

ネットワークが遅い事象に悩まされたなか、て有線接続を可能にしている。Windows 起動直様々な対応をした中の一つである。当初、サー後に、LAN によるネットワーク接続がきちんとバはセンターである柏原のみで運用していたが認識しないことがまれに発生し、ログイン障害遠隔地の遅延も考え、附属学校にも設置していなどになっている。

る。設置後は、遅延状況のモニタにも利用でき4.8るようになり、利便性が向上している。
4.5

既存端末

今までの教員のパソコンは、リース調達では既設 NAS のデータ移行ないため、引き続き学校内にある。今後は学習附属学校には、6 年間の児童の活動について蓄積データがあり、大量のデータがある。新た用パソコンの教材研究用として再利用している。

なストレージサーバに集約するためにネットワーク経由でコピーを実施したが、大容量のため移行に 1 週間程度を要した。附属学校が使用す

5

まとめと今後の展望

る回線のスループットなどを予め把握しなかっ

本稿では、附属学校での移行事例をもとに対たため、理論値に近い値が出ると錯覚したこと応した課題について事例報告を行った。情報セが原因である。

キュリティ対策のためにはネットワーク分離が482
483

必須であり、利便性を損ねない中での取り組みがより重要となっている。
本学では、附属学校が所在する地区と SINETを直結する準備を進めており、その背景も含め、附属天王寺小学校での事例をもとに本学の他の附属学校園においても、課題を昇華しながら対応を進めていく。

謝辞
校務支援システム及び HardLockey の環境を構築頂いた株式会社ライオン事務器に感謝する。
年度末及び年度初めの多忙な中、移行作業に協力頂き、問題解決に協力頂いた大阪教育大学附属天王寺小学校に感謝する。

参考文献[1] 「教育情報セキュリティポリシーに関するガイドライン」公表について<http://www.mext.go.jp/a_menu/shotou/zyouhou/detail/1397369.htm> 2019 年 9 月 20 日
アクセス.

483
484