キャンパス情報ネットワーク（NIFS-LAN）のシステム更新○井上 知幸 A)B), 中村 修 A)B), 高山 有道 A)C), 山本 孝志 A)C),
情報ネットワークタスクグループ A)
自然科学研究機構

1

核融合科学研究所A)情報通信システム部, B)技術部, C)ヘリカル研究部

はじめに核融合科学研究所（NIFS）における、研究活動を支えるキャンパス情報ネットワークは、情報の種類、目的、用途の違いから、キャンパス情報ネットワー
ク（研究基盤ネットワーク、NIFS-LAN）、LHD 実験ネットワーク（LHD-LAN）、プラズマシミュレータネットワーク（PS-LAN）の 3 つのクラスタで構成されている。そのうち、研究者居室や一般業務等で利用される NIFS-LAN においては、平成 24（2012）年度から 25（2013）年度にかけて導入した各種ネット

図 1.

研究所俯瞰図ワーク機器やセキュリティシステムは導入から約10 年となり、順次更新の時期を迎えている。昨年度には、平成 26（2014）年度に導入したメールシステ
ムの更新を実施した。本研究会では、ここ数年に実施した NIFS-LAN の各種システム更新について報告する。

稼働している。
コアスイッチと各建物に設置されているエッジス
イッチは 10GbE×2 で接続されており、建物内のネットワークは、各建物・フロアのネットワーク機器設置場所から各部屋まで、UTP ケーブルを配線している。利用者及びネットワーク管理者の利便性を考2

NIFS のネットワーク環境

NIFS は、約 46 万㎡の研究所敷地内に約 20 の建屋が点在している（図 1）。コアスイッチ、SINET5 との外部接続スイッチ、各種サーバ群等、主要なネットワーク機器は、シミュレーション科学研究棟のネットワーク機器室に集約して設置されており、各建物とはシミュレーション科学研究棟を起点とする光ファイバ網で結ばれている。
図 2 に NIFS-LAN の構成図を示す。SINET5 とは、外部接続スイッチを介して接続され、NIFS-LAN の接続点には、冗長化されたファイアウォールが設置されている。
主要なサーバ群は、仮想化サーバ、仮想化ストレージ、バックアップシステム、無停電電源システムからなる支援サーバシステム上で仮想マシンとして慮し、利用者数・部屋数が多い建物では、情報コンセント（RJ-45 コネクタ）を設置し、各部屋の情報コンセントと端末を接続するだけでネットワークを利用できるようにしている。来訪者用には NIFS-LANと独立した商用プロバイダ回線によるゲストネットワーク、及び、eduroam による無線環境を用意している。
セキュリティ対策として、ウィルス対策ソフトの導入、標的型攻撃検知システム（FireEye）の運用、特に、ネットワーク接続端末の管理には検疫認証シ
ステム[1]を導入しており、
NIFS-LAN に接続するためには、あらかじめ端末の MAC アドレスを登録した上で、ワクチンソフトの定義ファイル更新や OS アップデートが実施されているかどうかの確認をする「検疫」に合格する必要がある。

インターネットSINET5

プロバイダ

遠隔共同研究ネットワーク
SNET

外部接続スイッチ
ゲストネットワーク用
ファイアウォール

LHD-DMZ
エッジスイッチ
所外リモートアクセス（SSL-VPN）

NIFS-DMZ
エッジスイッチ

ファイアウォール
ファイアウォール
Paloalto4020

支援サーバシステム

標的型攻撃検知システム
NIFS-LAN 管理エッジスイッチ

ゲストネットワーク

研究棟、各実験棟
コアスイッチFWLHD-LANFW

PS-LAN

検疫認証システム

エッジスイッチ
エッジスイッチ
エッジスイッチ
光ファイバ網キャンパス情報ネットワーク（NIFS-LAN）

図 2.

3

NIFS-LAN 構成図に集中して導入されており[2]、7～10 年程度で保守期

システム更新限を迎えて機器、システム更新を行っている。いく平成 30（2018）年度以降の各種システム更新につつかの項目について、以下に詳細を述べる。

いて表 1 にまとめた。ファイアウォールなど一部を除き、平成 24（2012）年度から平成 26（2014）年度
表 1.

システム更新まとめ

更新年度

システム名

更新理由

内容

平成 29 (2017)平成 30 (2018)

仮想ストレージ
ファイアウォール

保守期限
保守期限

後継機種への更新（HP P2000 → HPE MSA2050）
後継機種への更新（PaloAlto PA-4020 → PA-5220）
1Gbps→10Gbps に増強

標的型攻撃検知システム

保守期限

後継機種への更新（FireEye Web MPS 7300 → NX4500）
1Gbps→10Gbps に増強

バックアップサーバ

保守期限

後継機種への更新（HP X1400 → HPE StoreEasy 1660）
Veeam Backup & Restore 導入

ワクチンソフト
コアスイッチ
メールシステム
仮想サーバシステム
所外リモートアクセス（SSL-VPN）

乗り換え
保守期限
保守期限
保守期限
保守期限

ESET Endpoint Protection への乗り換え ※詳細後述
モジュール、スーパーバイザのみの更新
オンプレミスからクラウドサービスへの移行 ※詳細後述
サーバ更新、及び、検疫認証システム改修など ※詳細後述
システム更新（F5 BIG-IP APM2000 → PulseSecure PSA5000）
ワンタイムパスワード→クライアント証明書に変更

ゲストネットワーク用
ファイアウォール

保守期限

後継機種への更新（FortiGate 100D → 60F）

外部接続スイッチ

保守期限

100GbE 対応可能な機種に更新（Catalyst 4900M → Catalyst 9500）

エッジスイッチ
エッジスイッチ

保守期限
保守期限

約 4 分の 3 の調達。物品のみ。 ※詳細後述
残り機器の調達、及び、配線、設置作業を実施予定。

令和元 (2019)令和 2 (2020)
令和 3 (2021)

令和 4 (2022)

ワクチンソフトの更新

クラウドサービスの候補として、Google G Suite for

NIFS では、平成 11（1999）年から、所員の利用すEducation（G Suite）の Gmail と Microsoft 365 forる端末用として 、 Symantec 社のワクチン ソフトEducation（M365） A3 の Exchange Online を検討し（Symantec Endpoint Protection）を使用していたが、た。MailSuite の更新案に対して、導入、及び、保守2017 年のアカデミックプログラム終了を契機に、提費用を比較すると、クラウドサービスの優位性は明供ソフトの変更の検討を開始し、2019 年後半、会社らかであった。両者を総合的に検討した結果、Gmail買収の影響からかライセンス更新見積の提示もされの採用を決定した。

ない状態となったため、2019 年 12 月に、2020 年度

例年 10 月前後に始まる LHD 実験への影響を考慮し、2020 年 8 月上旬運用開始として準備作業に着手からのワクチンソフト変更を決定した。
NIFS-LAN で導入されている検疫認証システムのした。運用開始前の約 1 か月を掛けて、MailSuite の仕様上、TrendMicro、McAfee、F-Secure、ESET からメールスプールを Gmail に移した上で、利用者の都の選択となったが、他機関の利用状況、価格面など合のいいタイミングで移行できるように、8 月上旬から ESET を導入することとした。乗り換えにあたから 1 か月程度の移行期間を設け、期間中は新着メっては、乗り換え特典の Symantec ライセンス期限のールを新旧両方のシステムへ配送することにより業2020 年 6 月までの ESET ライセンス試用期間を利用務に支障が発生しないようにした。

して、2020 年 1 月から、管理サーバの構築、端末動

MailSuite で利用していた ML 機能は、Google グル作試験、インストールマニュアルの整備等を実施しープの配送機能を利用することとし、Google Appた上で、所内配布を開始した。

Script などを利用し、メンバーや詳細設定の移行を乗り換えは予想よりも滞りなく進み、乗り換えが実施した。

完了して定常運用となった後も、現在まで大きな問

MailSuite 同様、Gmail でも 2 段階認証を必須とし題は発生していないが、ESET 利用上の懸念点を挙た。スマートフォンへのメッセージ通知や認証アプ

げるとすると、日本販売代理店では英語版のサポー

リ、電話での音声案内に加え、スマートフォンを持トが無いこと、また、英語版と比べて、新バージョ

たない利用者や別の認証手段用として、セキュリテンの提供開始が遅いことが挙げられる。

ィキー（Yubico YubiKey5 NFC）を利用者全員に事前配布した。
移行期間中には、新旧両システム間のメール転送

メールシステムの更新

不達などいくつかの問題が発生したが、予定通り 8

NIFS のメールサービスは、これまでオンプレミス月末で移行期間を終了し、正式運用に移行した。のサーバ群で運用を行ってきた。平成 26 年度には、NIFS では名誉教授に対して終身利用可能なアド

仮 想 化 サ ー バ 上 で 稼 働 す る DEEPSoft 社 （ 現レスも発行しており、こちらも一般アカウント同様QUALITIA 社）MailSuite を導入した。MailSuite の特の手順で、2021 年 1 月までに Gmail 移行を完了し徴として、柔軟なカスタマイズが可能であることがた。

挙げられ、導入にあたっては、アカウント搾取等にMailSuite のアカウント情報は、検疫認証システムよるスパム発信源とならない対策として、ワンタイの認証サーバのユーザー認証で利用していたため、ムパスワード（OTP）による二要素認証が可能とな

次節で述べる検疫認証システムの改修作業終了を待るようカスタマイズを実施し、セキュリティ面で高って、2021 年 3 月中旬に運用を終了した。

レベルなメールサービスを提供していた。

[3]

MailSuite の保守期限を令和 2（2020）年度末に迎えるにあたり、2019 年 10 月からクラウドサービスを含めた次期メールサービスの検討を開始した。[4]仮想サーバシステムの更新
令和 2（2020）年度に保守期限を迎えた仮想サー
バシステムは、物理サーバ（HP ProLiant DL380p Gen8）

4 台、仮想ストレージ 2 台（HPE MSA2040, MSA2050）

1GbE のファンレス機器を選択せざるを得なかったで構成していた。前述のオンプレミスのメールサーため、10bEG×2 から 1GbE×2 に縮退させることにビス（MailSuite）運用終了に伴い、必要リソースがより対応することとした。

減少したことと、必要な稼働仮想マシンの見直しなどを実施し、物理サーバは 3 台（HP ProLiant DL380

配線、設置作業については、来年度調達予定の機器と合わせて実施することを計画している。

Gen10）で更新することとし、仮想ストレージは、保守期限を迎える既設 MSA2040 を廃止し、MSA20501 台とした。これにより CPU コア数は 128 → 120、

4今後の予定搭載メモリは 224GB → 384GB、ストレージ容量は前章でも触れた通り、来年度はエッジスイッチの19.6TB → 4.9TB となった。仮想化ソフトウェア

残りの更新と、配線設置作業を予定しているが、作VMWare vSphere の更新（ESXi, vCenter Server）も同業の概算見積が想定以上の金額となったため、所内時に実施した。

作業部分を増やすなど、作業内容の見直しにより費仮想サーバシステムの更新と並行して、検疫認証用を抑える予定である。

システムの改修作業を実施した。認証サーバ、DNS

今後、仮想サーバストレージ、バックアップサー

サーバ、DHCP サーバの OS 更新（CentOS 6 →7）

バ、標的型攻撃検知システムなどの更新が予定されと、ネットワーク接続端末の登録、管理をする認証ているが、LHD 実験終了に伴い、予算確保が厳しくサーバの認証に MailSuite のアカウント情報を利用なることが予想されるため、場合によっては、代替していたため、Google アカウントを利用した OAuthシステムへの変更も視野に入れて更新を検討する。

認証に変更する作業を実施した。
DNS サーバの OS 更新のタイミングに合わせて、
NIFS-LAN に設置されている DNS サーバの見直しを実施し、セキュリティ的に問題がある権威サーバと参考文献[1]山本 孝志, et al. “情報セキュリティ対策としキャッシュサーバの兼用を取りやめた。また、所内ての検疫認証システムの構築と評価”, 学術情

停電時の影響を低減するため、NII の分散セカンダ

報処理 25(1) 9-20 (2021)

リ DNS サービスの利用を開始した。

[2]

井上 知幸, et al. “キャンパス情報ネットワー
クの更新について”, 北海道大学総合技術研究会報告集 (2014)

エッジスイッチの更新
NIFS-LAN 全体で約 60 台設置されているエッジス[3]を利用したメールシステムの導入と運用”, 九イッチ（Apresia13200-48X-PSR 等）は、令和 4（2022）

州大学総合技術研究会報告集 (2019)年度中に保守期限を迎える。本来であれば、全台まとめての更新が望ましいが、予算的な制約に加えて、導入を想定していた機器が半導体不足やコロナ禍の影響から、年度内納品が間に合わない可能性があることが判明したため、令和 3（2021）年度は約 4 分の 3 の調達を実施し、残りは次年度の導入を予定している。
更新機器は、導入済みの検疫認証システムが動作することを仕様条件として機種選定を行ったが、静音ファン搭載電源が廃番となっていた影響で、静音化が必要な設置場所については、アップリンクが

井上 知幸, et al. “ワンタイムパスワード認証[4]

山本 孝志, et al. “核融合科学研究所の電子メールサービスの Gmail と Google グループへの移行”, AXIES 年次大会 (2020)