岡崎 3 機関ネットワークシステムの更新（ORION2022）〇澤 昌孝
自然科学研究機構

分子科学研究所 技術推進部

１．旧ネットワークシステム（ORION2017）
その前までのネットワークシステム（ORION2011 以前）では更新の補正予算がついて実施していたが、ORION2017 ではネットワークシステム更新の補正予算がつかず、自助努力で導入した。そのため予算的に厳しいこともあり、下記の図 1 のような ORION2011 とほぼ同様な構成のシステムとなった。

図1••••••••ORION2017 概要図

次世代 Firmware（IPS/IDS）SINET 回線：10Gbps
支線ノード間 10Gbps
無線 AP：1Gbps(Wi-Fi4(a/b/g/n))
VPN は小規模（1Gbps）
メール・Web サーバ等は仮想基盤上にオンプレミス
標的型攻撃などの検知：DeepDiscoveryInspector（DDI）[別調達]アンチウィルス：Norton→ESET[別調達]２．ORION2017 運用中のイベントや問題
２.１ 無線 AP の追加設置
無線 AP の設置個所は会議室などの明確に利用者が多い箇所以外は、旧来から設置されていた所内 PHSアンテナを参考に設置しており、無線伝達状況などの調査は行っていなかった。そのため AP の追加設置がそれなりに発生していた。
２.２ VPN システムの追加
COVID-19 流行に伴いリモートワーク増加が見込まれ、稼働していた VPN システム（ASA5555）に対して全ユーザが VPN 利用した場合、帯域的に快適な VPN 利用ができないことが想定された。Firewall で運用していた PaloAlto が PC であれば追加ライセンスなしで VPN 利用できることが判明したため、VPN 機能を有効化してリモートワーク（VPN）体制を整えた。
２.３ Firewall の IDS/IPS や標的型攻撃検知システムの検知低下
Web ページなどで HTTPS などの暗号化通信への置き換わりが増加したことにより、検知件数が徐々に低下する現象が見られた。対応として Firewall など中継機器での復号化（Man-in-the-middle：MITM）
する方法があったが、ユーザへの MITM が困難な暗号化プロトコル TLS1.3 への移行が見えていたなどの理由から MITM は採用しなかった。
２.４ クラウドサービスの導入
2020 年度に Google Workspace（当時は G Suite）を導入し、今まで内部の仮想基盤上で実施していたメールサービスは廃止となった。Google Workspace 導入は ORION2017 導入時の構想にはないものであったため、新ネットワーク（ORION2022）ではクラウドサービス利用前提での構想が必要となった。
３．新ネットワーク（ORION2022）構想
旧ネットワークシステム（ORION2017）の問題などを踏まえて、2019 年 1 月ごろから検討を開始した。また、検討を進めるにあたって下記のような調査も実施した。
• 簡易的な無線電波強度の調査を実施（NetSpot）（図 2）• 有線ポートの利用状況（平日勤務時間帯）を把握し、スイッチの設置台数減らすことや機種の単一化することによるコスト削減• 暗号化通信に影響されない防御製品の PoC検討と調査の結果、ORION2022 の基本方針は下記のようなものになった。
図 2 NetSpot で生成した電波強度グラフ•Firewall IPS/IDS 機能はなし
 経路上での検知・防御は止めて、終端側（端末）で検知・防御を強化
 高価格帯製品でなくとも高速帯域利用可能に クラウドサービス利用（GoogleWorkspace や Web 会議など）増加を考慮し、また
SINET6 にて岡崎データセンター開設されることに伴う回線費用軽減も見込まれたこともあり、100Gbps 接続を前提とした
 VPN とネットワーク接続認証を兼用
 基幹スイッチで実施していた Routing を Firewall で実施、セグメント越え通信は全部記録
 適正なルール運用ができるようにオーケストレーションツールを導入•
ネットワーク 調査を元に AP 設置を増加させ、有線スイッチを減少させる
 端末認証を今まで実施していた MAC アドレス認証に、CaptivePortal 認証を追加
 だれがその時点で利用したかをより明確化
 クラウドサービス利用に対応した Idp の設置
 多要素認証の方法として汎用性の高い FIDO 対応を必須とした•
端末
 DNS Firewall（フィルタリング）採用
 フィシングサイトなどで見られる使い捨て FQDN などをフィルタ
 代表的な PublicDNS への暗号化 DNS 問い合わせ通信は遮断 検知・防御ツールとして EDR インストールを原則•
GoogleWorkspace
 有償版に移行して、必要なログをエクスポートする
 無償版ではサービスログが最新６か月分しか閲覧できない 自然科学研究機構規則ではメール等の重要なサービスログは最新 1 年分保持することになっている

４．新ネットワークシステム（ORION2022）調達
４.１ 仕様書、加点など前のシステム（ORION2017）導入時にサービス停止などの調整に手間取ったこともあり、ORION2022
では開札～納入完了までの期間を最小期間の 2 倍（約 6 か月）にした。コスト削減の一環として、スイッチの光モジュールについて、サードパーティの互換モジュール採用を認めた。
加点について、システム連携や運用のしやすさなどを考慮して、なるべく同一メーカ製品で構成した場合の加点を高くした。なお、官報公開した時点で、政府調達のサプライチェーンリスクの対象に大学共同利用法人は含まれておらず、また、資料招請で提案されたセキュリティ製品に該当しそうなメーカの製品はなかったこともあり、競争性を確保するため特定メーカ製品の禁止などは行わなかった。
４.２ 開札結果と主な構成
セキュリティおよび認証関連は Fortinet 製が中心、サーバ関連は Dell と HUAWEI、ネットワーク関連
は HUAWEI 中心といった構成になった（図 3）。有線接続が NBASE-T（2.5Gbps）や無線接続が Wi-Fi6（a/b/g/n/ac/ax）になるなど、スペック的には想定していたベストに近いものとなった。

図3

ORION2022 概要図

４.３ 導入状況
COVID-19 流行や半導体不足などによる影響について、導入期間を 2 倍にしたことが功を奏して、納品が間に合わないことで物品変更があったのは UPS1 個のみとなった。しかし、納品が計画より遅れることはそれなりに発生したため、作業遅れなどが起きた。また、リモートワークや Web 会議の利用増加などのため、平日昼間の全体に影響があるサービス停止は困難となり、全体サービス停止を伴う作業は土日祝日が中心になった。SINET6 への接続は岡崎データセンターへの回線提供が遅れたため、100Gbps接続は ORION2022 導入後の 2022 年 4 月になった。
５．新ネットワーク（ORION2022）の運用新しく導入したシステムを中心に調整を実施している。
•CaptivePortal の認証頻度
 通常勤務時間に合わせて 8 時間としていたが、1 日 1 回の認証が手間と感じるユーザが多く、GoogleWorkspace の認証頻度と同様の 2 週間に変更した。
•FortiEDR 正規アプリでもアップデートされたばかりだと一旦止められる傾向がある（しばらくするとFortiEDR の DB 側で問題ないことが反映される）。
 外部へ稀に通信を実施するアプリは危険扱いされやすい（一例：Office の翻訳機能） 上記で挙げた例などで止められた場合や、ややマイナーなアプリは管理者が手動で調整

導入前に無線強度調査をふまえて AP 設置を行ったにもかかわらず、無線が繋がらないという声が出た。原因としては、調査実施後に人員配置換えや耐震工事などで居室構成を変更したなどがあった。また、個人で Web 会議に参加する際に居室の隅っこで無線接続を行うことがあるといった、調査・導入検討時には想定できなかった原因もあった。
Idp として FortiAuthenticator を導入したことに伴い、岡崎 3 機関共通サービスの認証は Radius 認証（ID/PW 認証）から SAML 認証（多要素認証）への移行が進んだ。
GoogleWorkspace がドライブなどの容量の無制限が廃止され、無償版では全体で 100TB 制限となった。
岡崎 3 機関全体のドライブなどの使用容量は 100TB を超えていたが、有償版に移行したことで制限が200TB 以上になっていることから、今のところ混乱なく運用できている（非常に利用容量が多いユーザに対してアナウンスはしている）。GoogleWorkspace 関連として NII の分散セカンダリ DNS サービスに参加した。これはトラブルなどで岡崎 3 機関内にある DNS サービスに外部からアクセスができなくなった際に GoogleWorkspace の岡崎 3 機関ドメイン Gmail へのメールが不達にならないようにするためである。セキュリティ関連の NII サービスではあるが、自動 DDoS Mitigation サービスにも参加した。
管理者のみが影響することでは、ネットワーク機器のコマンドは Cisco ライクであることが一般的だが、HUAWEI 製品は Cisco ライクではないため、戸惑うことが多くある。
６．まとめ
今回の更新は想定していたベストに近い構成にはなったが、昨今はスペック強化よりセキュリティ強化の面が強く、ユーザには良くなったというより、面倒くさくなったと印象されやすいのが悩ましい。
次年度から Microsoft365 のサービス一部（Teams など）を導入することになっているが、高速ネットワークや認証手段などはユーザに提供済みであり、またサービス入れ替えではなく追加という形になるので、それほど問題なく受け入れられるのではと期待している。
運用面としては、対中国政策によって一部機器の保守が運用期間中、維持できるかの心配がある。また、ほぼ同時期に更新を実施した他機関で、更新費用が今までの 1.6 倍になったという話もあり、次回のネットワークシステム更新では一部のシステムは、スペックダウンせざるを得なくなる可能性もあるため、利用状況や優先順などを考えながら運用していきたい。