学術無線 LAN ローミング基盤 eduroam における IoT デバイス・周辺機器の接続手法の調査検討
原田 寛之 1), 後藤 英昭 2) , 漆谷 重雄 3)1) 札幌学院大学 情報処理課
2) 東北大学 サイバーサイエンスセンター
3) 国立情報学研究所
se-harada@e.sgu.ac.jp

Survey and investigation of connection methods for IoT devices andperipherals in eduroam, an academic wireless LAN roaming infrastructure
Hiroyuki Harada 1), Hideaki Goto2), Shigeo Urushidani3)
1) Information Processing Division, Sapporo Gakuin University
2) Cyberscience Center, Tohoku University3) National Institute of Informatics
概要
キャンパス無線 LAN 環境においては，WPA2 Enterprise を使用する方式が多く使われており，認証基盤を相互接続して利用者がキャンパス無線 LAN をローミング利用できるeduroam への加入機関も年々増加の傾向にある．一方，WPA2 Enterprise を利用できないクライアントへの対応のため，WPA2 Personal とキャプティブポータルによる Web 認証を用いた独自 SSID によるキャンパス無線 LAN 環境を並行運用している機関も少なくない．
WPA2 Personal によるサービス提供については安全性の懸念点があることに加え，2022 年
現在においては利用者の PC やスマートフォンについてはほぼ全てが WPA2 Enterprise に対応していることから，札幌学院大学ではキャンパス無線 LAN を eduroam および市民向けのCityroam のみの運用とし，WPA2 Personal による独自 SSID の廃止に踏み切った．しかしながら，キャンパス内には IoT デバイスや周辺機器などをキャンパス無線 LAN に接続した
いというニーズが一定数存在する．本研究では，このような機器を eduroam にローミング接続されたキャンパス無線 LAN に接続するにあたり，ネットワークポリシーやアカウント管理における課題を明らかにすると共に，クライアント側に必要となる WPA2 Enterprise 実
装状況を調査した．また加えて個人所有の機器以外で eduroam に接続されているキャンパ
ス無線 LAN への接続を実現した事例を挙げる．

1 はじめに始してから 2017 年頃までの間は，利用者が持ち込む一部のメーカーのスマートフォンの独自実装

学術無線 LAN ローミング基盤 eduroam[1]は，によって，WPA2 Enterprise による無線 LAN 接

国内 348 機関（2022 年 8 月現在）
，世界 106 か国

続設定に特別な手順が必要であるなどの問題があ（地域）が参加する基盤へと成長し，参加機関のり，キャンパス無線 LAN においても独自 SSID に構成員は相互にキャンパス無線 LAN を利用可能て WPA2 Personal（事前共有キー）によるキャプな仕組みが広く運用されている．クライアントがティブポータル認証方式を併設している例が見ら

eduroam に接続する際に用いられるのは WPA2れた．しかしながら 2022 年現在では利用者が持Enterprise（IEEE 802.1X）である．キャプティ

ち込む PC やスマートフォンのうち OS ベンダー

ブポータル認証（Web 認証）については，国立情によるサポートが継続しているものはほぼ全てが

報学研究所 eduroam JP サービス技術基準・運用

WPA2 Enterprise に標準的な手法で接続できるよ

基準[2]において安全性の問題から明示的に禁止うになっており，持ち込み端末のためのサービスされている．eduroam JP が 2006 年にサービス開

提 供 の 観 点 か ら は 独 自 SSID に よ る WPA2

Personal の接続サービスは廃止できる状況にあス無線 LAN の市民への開放に対応するため，セる．

キュア公衆無線 LAN ローミング研究会 [3] が一方，キャンパス内には WPA2 Enterprise に対2017 年に次世代ホットスポット（NGH）基盤と応していない IoT デバイスや周辺機器などで，キして整備した Cityroam [4] に 2018 年より接続し，ャンパス無線 LAN に接続したいというニーズが市民へのキャンパス無線 LAN 開放を行っている．

存在する．これらは，大学が全体のサービス提供

2021 年度までは WPA2 Enterprise に対応してのために設置するものと，利用者が自己の利用のいないデバイスの接続のため，接続方式を WPA2ために持ち込むものに分けられるが，キャンパスPersonal としキャプティブポータル認証や MAC

無線 LAN の安全性の確保の面からは， WPA2

アドレスの事前登録を経て利用できる独自のPersonal やキャプティブポータルといった安全SSID と，WPA2 Enterprise による独自の SSID

性に問題があるサービス提供を永続的に続けていも併用してサービス提供してきた．しかし，利用くことは避けるべきである．

者 の 持 込 ク ラ イ ア ン ト に つ い て は ほ ぼ WPA2

本稿では，第 2 章で実際に WPA2 Personal にEnterprise に対応した状況にあることに加え，イよる独自 SSID の廃止に踏み切った札幌学院大学

ンターネット上の Web サイトの常時 SSL 化が進のキャンパス無線 LAN の構成と運用について述

み利用者が接続時にトラブルを抱えやすくなった

べる．第 3 章では，キャンパス内の IoT デバイス

こと，WPA2 Personal では偽基地局の判別が行なや周辺機器のキャンパス無線 LAN 接続にあたりえず安全性に問題があるといった懸念点を排除す検討すべき課題を明らかにし，実際の各機器のるため，従来の独自 SSID の廃止に踏み切った．

WPA2 Enterprise 対応状況や，個人所有の機器以

現 在 ， 運 用 中 の キ ャ ン パ ス 無 線 LAN 環 境 は外で eduroam に接続されているキャンパス無線

eduroam/Cityroam のみとなっている．

LAN への接続を実現した事例について述べる．第4 章は本稿のまとめである．

2.2 独自 SSID の廃止に至る経緯
無線 LAN 環境においては，アクセスポイント

2 札幌学院大学のキャンパス無線 LANの構成と運用
2.1 札幌学院大学におけるキャンパス無線 LANの構成

が SSID ごとに一定時間毎にビーコンを送信している．クライアントはプローブリクエストを周辺に向け一斉に送信し，これを受けたアクセスポイ
ントは SSID ごとにプローブレスポンスをクライアントに応答している．このような仕組みにより，札幌学院大学では 2011 年にキャンパス内に導キャンパス内で多数の SSID を運用している環境

入学部の違いなどから複数存在していた無線下においては，ビーコンやプローブのような管理LAN を統合すると共に，利用可能エリアをキャン制御用の通信でチャンネルが占有されてしまう．

パス内全域に拡張し，学生及び教職員がキャンパ

これは，利用できるチャンネル数が少ない 2.4GHz

ス内でどこでも無線 LAN 接続にできる環境を整帯の無線 LAN 環境において顕著である．このよ備した．更に 2012 年に eduroam に参加し，本学うな観点から，大学キャンパスのように限られた構成員のみならず eduroam アカウントを持つ学空間に多数のアクセスポイントを高密度で設置す外者がキャンパス無線 LAN の全てのアクセスポる場合，発信する SSID はなるべく少なくするこイントを利用できる環境を整備した．また本学でとが望ましい．本学キャンパスにおいては，各アは図書館やホール，産学連携拠点といった設備をクセスポイントが eduroam/Cityroam の SSID に市民が利用することが想定されており，キャンパ加え，独自の SSID2 つの計 4 つの SSID を送出している状況であった． 2021 年 4 月に新たに開設ていたが，レルム無しの設定では他機関訪問時にした本学新札幌キャンパスにおいては，6 階建ては接続できない問題があった．これについては学の建屋１つに無線 LAN コントローラで管理され内に周知広報したうえで，RADIUS Proxy 側でレるアクセスポイントを 205 基設置しており，ビールム無しの認証要求については拒絶するよう設定

コンやプローブによるチャンネルの占有を抑えるを変更した．

ことが利用者のキャンパス無線 LAN へのつながりやすさに寄与すると考えられた．
また本学の構成員は，本学キャンパスでは独自の SSID に接続し，他機関訪問時にのみ eduroamに接続する利用形態を取るものが多かったが，他機関訪問時に初めて eduroam への接続トラブル（ID やパスワードの誤りなど）に気づくケースがあり，他機関での無線 LAN のスムーズな利用の面で課題があった．これは，自機関においても

図 1

eduroam を常用することで未然に抑制すること

LAN の VLAN とアクセスネットワーク．

札幌学院大学におけるキャンパス無線が可能であるため，本学キャンパス内で本学構成員が利用するキャンパス無線 LAN を eduroam とする方針とした．

このような経緯を経て 2022 年度に独自 SSIDを廃止し，本学の構成員が本学キャンパスで利用

この実現のためには， eduroam を利用する学するキャンパス無線 LAN は eduroam に統一した．

外者用のネットワークと，本学構成員が利用する

これにより，本学構成員は学内・他機関訪問時ネットワークを分離する必要がある．具体的には，を問わず常時 eduroam を使用することとなり，学学内限定公開しているサーバ等へのアクセス制限

会等で他機関を訪れた際に eduroam が利用できの必要性の他に，図書館で契約している電子ジャなかったとの相談（多くは当日に解決できず事後

ーナルは契約の関係上ゲスト利用が許可されていに相談に来られる状況であった）は減少した．まないためである．このため，キャンパス無線 LANた学生の留学先など本学のスタッフのサポートがにおいて認証 VLAN の仕組みを構築し，自機関の受けられない環境においても，本学が発行した

レルムによる認証は学内者向け VLAN に，自機関eduroam アカウントの利用が増加している（外部以外のレルムによる認証はゲスト用 VLAN にクラから本学への認証要求件数による）．

イアントを収容する構成とした．ゲスト用 VLANの上流には，国立情報学研究所が提供している
eduroam アクセスネットワーク収容サービスを利用することで，ゲストがインターネットにアクセスする際の接続元 IP アドレスについても学内者のものとは別になっている（図 1）．
また，自キャンパス内の eduroam においては，本学で発行したアカウントについてはレルムを付与して設定するよう案内していたものの，実際にはレルム無しでの認証も可能としていた．利用者にとっての接続トラブルを減らすことを目的とし

2.3 独自 SSID の廃止で生じた課題
独自 SSID においては，利用者の持込クライアン
トだけではなく，プロジェクター等の周辺機器など，WPA2 Enterprise に対応していない機器が一部収容されていた．独自 SSID の廃止に伴い，現状これらの機器については学内 LAN から切断し，それぞれの機器に対してアドホックでクライアントが接続して利用する方式としている．しかしながら例えばプロジェクターにおいては，クライアントから投影しながら学内 LAN に接続したいといったニーズには対応することができない．この解決

のためには，プロジェクター等の周辺機器をては，eduroam IdP におけるアカウント管理としeduroam によるキャンパス無線 LAN に収容するこて“全てのアカウントは，当該の機関が管理するとが必要となる．このような機器の接続にあたっ有効な利用者情報に基づかなければならない”とてどのような点に留意すべきか，現状を調査して規定されている．このため， IoT デバイスや周辺整理し実現可能性を検討することとした．

機器などを大学側がキャンパス無線 LAN に接続するにあたっては，接続に用いるアカウントは3 eduroam へのキャンパス内 IoT デバイ
スや周辺機器の接続

eduroam アカウントではなく，あくまで自機関のキャンパス無線 LAN に WPA2 Enterprise で接続するためのアカウントとして発行する必要がある．

3.1 前提条件と検討すべき課題
IoT デバイスや周辺機器が eduroam に接続するためには，まず機器側が WPA2 Enterprise による接続をサポートしている必要がある．機器自身がこれをサポートしていない場合は，何らかの中継装置を用いて eduroam と機器を相互接続することも考えられるが，この場合は当該機器の利用に本学においては，仮に当該機器が他機関に持ち出されたとしても他機関のキャンパス無線 LAN をeduroam クライアントとして利用することがないよう，認証情報のレルム等を自機関でのみ有効なものとしている．
3.2 2022 年現在の周辺機器等のサポート状況

あたりどのようなネットワークにおける接続性

そこでまず，キャンパス内で主に利用されてい（リーチャビリティ）が必要なのかも合わせて検るネットワーク接続が必要な周辺機器を洗い出し，討する必要がある．例えば，測定値をクラウドにその WPA2 Enterprise による無線 LAN 接続のサ送信するセンサーのような IoT デバイスは単にイポート状況を確認することとした．

ンターネットへのアクセスがあればよいが，プロジェクターやプリンターのように利用者の持込クライアントと双方向に通信して動作するものは，当該機器が学内 LAN 側から検出できることや，学内 LAN 上の他のクライアントとの相互通信が必要となる．札幌学院大学においては，キャンパス無線 LAN クライアント間の通信については無線 LAN コントローラ側で遮断するクライアントアイソレーションの構成にて運用しているため，このような機器の運用についてはネットワークのポリシーに手を加える必要がある．
また，IoT デバイスや周辺機器は不特定多数がキャンパス施設内に無人で設置されることがあるため，機器の盗難や設定情報へのアクセスにより認証情報が漏洩することは避けなくてはならない．
設定情報へのアクセスは管理者パスワード等で防止できる機器もあるが，平文で EAP-TTLS の認証情報を格納するような 機器については注意しなければならない．
さらに，eduroam JP サービス運用基準におい3.2.1 プロジェクター（セットトップボックス）

キャンパス内に設置されているプロジェクタ
ーの一部には，セットトップボックス（STB）と呼ばれる持込クライアントからの入力映像や，各種ストリーミングサービス等の受信映像をプロジェクターに投影できるものがある．代表的な STB としては，Apple の Apple TV，Googleの ChromeCast，
Amazon の Amazon Fire TV，また汎用的な機器として内田洋行の Wivia [5]がよく利用されている．Apple TV は管理者がプロ フ ァ イ ル を 適 用 す る こ と で WPA2Enterprise による無線 LAN に接続可能である．
一 方 ， ChromeCast や Amazon Fire TV は
WPA2 Enterprise に対応していない．Wivia についても従来対応していなかったが，最新のWivia R+（2021 年 12 月～）については標準でWPA2 Enterprise (PEAP/MSCHAPV2 またはEAP-TTLS/MSCHAPv2)に対応している．但し，キャンパス無線 LAN 上で PC 等と Wivia が相互通信することとなるため，無線 LAN クライ

サイネージ導入担当部署と事前にコンテンツ更アント間の通信を遮断するポリシーで運用して新方法について調整しておくことが重要となる．

いる場合は注意が必要となる．Wivia については有線 LAN も搭載されているため，本学では有線 LAN で学内 LAN に接続することを原則としている．
3.2.2 プリンター

3.2.4 サーマルカメラ・防犯カメラ
コロナ禍の対策の１つとして，キャンパス建屋の入館時に検温を行うサーマルカメラが設置されている．本学ではスリーアールソリューションの3R-TMC03 を採用しているが，利用者への検温とキャンパス内には，利用者が共同で利用でき音声による注意喚起のみの運用で設置している．

るプリンターが設置されており，現状は全て有

当該機器は有線/無線のネットワークインターフ

線 LAN による．しかしながら教員からはまれにェースを搭載していない．また，導入時に他に提研究室内での無線 LAN によるプリンター接続案があった機器として HIKVISION の製品があについて相談があることから，合わせて調査しるが，こちらは有線 LAN インターフェースを有た．2022 年 8 月の大学生協カタログに掲載されしている．サーマルカメラにおいて無線 LAN 接ているプリンターメーカーは，ブラザー，エプ続が必要なものは確認できなかった．

ソン，NEC，OKI，キャノン，リコーであった．

キャンパス各所に設置している防犯カメラにつ各社共に WPA2 Enterprise による無線 LAN 接続

いては，学内 LAN に接続せずローカルで運用しに対応している機種が販売されている．ただしているものと，学内 LAN に接続しレコーダー等安価な機種においては WPA2 Enterprise 非対応に映像送信しているものがある．いずれも設置にのものが多いため注意が必要である．また，プあたっては施設に工事を伴って設置することがほロジェクターと同様に無線 LAN クライアント

とんどであり，今後もあまり無線 LAN への接続間の通信となるため，現在の本学のネットワーのニーズは本学ではないと考えられる．

クポリシーでは利用に問題が生じる．
3.2.3 サイネージ

キャンパス内には，複数個所に従来の掲示板を置き換える目的でサイネージが設置されている．学内 LAN とは接続されておらずローカルで運用されているものあるが，一部はコンテンツ

一方で，研究室等では小型の Wi-Fi 接続できるカメラを研究等の目的で設置することがある．アトムテックの ATOM Cam 2 は非常に安価でありよく利用されているが，実装されている無線 LANへの接続方式は WPA2 Personal に留まっている．
3.2.5 施設設備管理系

配信サーバがクラウド上にあり，コンテンツ更キャンパス内の空調機器等，施設設備管理装

新のためにインターネットへのアクセスが必要

置等の一部には，ネットワーク接続により集中である．本学で運用中のサイネージについては，管理を行っているものがある．本学においては全て制御部に Windows が使用されており，学内 LAN に専用の VLAN を設定し，全て有線WPA2 Enterprise によるキャンパス無線 LAN へLAN での接続を行っているため，無線 LAN 接の接続は容易である． 但し，EAP-TLS による接続の要望はいまのところない．また機械室等は続については，設置個所によっては証明書の定キャンパス無線 LAN のエリア外であることが期的な更新作業の負荷に注意する必要がある．

多く，そのような点からも有線 LAN での接続

また，コンテンツの更新のために学内 LAN 上のが多いものと考えられる．

他のクライアントと相互通信が必要な場合は，また一部の部屋の入退室・施錠解錠に IC カ

ネットワークポリシーにより利用できないため，ードリーダーを使用している．これは現状，キャンパス内に物理的に独立した LAN を構築しており，キャンパス LAN とは接続されていな
い．
3.2.6 その他の IoT デバイス

本学では設置事例がないが，IoT 機器においては内部に Wi-Fi を内蔵するマイクロコントロー
ラがよく利用されている．特に，ESP32 チップ[6]は低コスト，低消費電力であり，これを搭載する ESP32 モジュールは多く利用されている．
こ れ を 利 用 し て 小 山 高 専 学 内 無 線 LAN のWPA2 Enterprise への接続が可能な IoT デバイ
ス の 試 作 が 行 わ れ て い る [7] ． 認 証 情 報 はArduino IDE のスケッチファイルに平文で記述する実装[8]を元にしているため，EEPROM の吸い出しによる認証情報の漏洩等に注意する必要がある．
また ESP32 においては，WPA2 Personal であればスマートフォンからアプリ経由で設定が行える ESP-TOUCH プロトコル[9]と SDK が提供されている．この仕組みを利用するなどして，将来的には ESP32 を利用する組み込み機器のようなヘッドレスデバイスにおいても，WPA2 Enterprise による接続時のアカウントの登録や確実な失効を行う手法の開発に繋げられる可能性がある．

図 2

PC 自動貸出ロッカー

貸出 PC は全て学内の Active Directory にコンピュータとして登録されており，学生は貸出 PC 起
動後に自分の Active Directory アカウントにてログインして利用を開始する．この際，AD アカウン
トでの認証にはネットワーク接続が必要であることから，貸出 PC はログイン前の時点でキャンパス無線 LAN に接続されている必要がある．これは，Active Directory のグループポリシーにおいて、ユーザーログオン前にコンピュータの認証としてワイヤレスネットワーク接続を行うよう設定することで実現している（図 3）．当該ポリシーにより，ユーザーがログインする際に AD アカウン
トによるキャンパス無線 LAN への認証が再度行われる．

3.3 個人所有の機器以外で，eduroam への接続を実現した例
2021 年度に開設した新札幌キャンパスでは，学生が学生証を用いて無人の貸出ロッカー（図 2）より自動で貸出を受けられるノート PC を 80 台配置した．貸出 PC は貸出ロッカーへの格納中に充電とディスクイメージ配信サーバからのイメージ受信・復元を兼ねて USB Type-C ケーブルで有線LAN により学内 LAN に接続されている．学生に

図 3

貸出 PC に適用したグループポリシー

より貸出手続きが行われると貸出ロッカーの１つが自動で開錠され利用可能な状態となり，貸出 PC

この一連の動作において WPA2 Enterprise のは USB Type-C ケーブルの抜去以降は全てキャン

PEAP 認証に用いられるユーザー名は下記の通り

パス無線 LAN に接続された状態で動作する．となる．

１）起動直後（コンピュータの認証）
host/コンピュータの FQDN 名[3]２）ユーザーのログイン時（ユーザの認証）
AD ドメイン名¥ユーザー名
キャンパス内の無線 LAN アクセスポイントからの認証要求を処理する RADIUS Proxy におい[4][5]ては、通常想定されている eduroam アカウント以外の上記の認証要求についても，自機関の上位サーバに転送するようルールを記述している．具体[6]

的には、FreeRADIUS で構築した RADIUS Proxyの sites-available/default において，Stripped-[7]User-Name が上記１）または２）に合致する場合は自機関の上位サーバに転送するようにしている．
いずれも，eduroam JP ではルーティングされないレルムであり，また Active Directory は学外からは直接参照できないため，本学キャンパス内[8]での利用に限定される，という仕組みを実現している．
[9]4 まとめ本 稿 で は ， 札 幌 学 院 大 学 に お け る WPA2Enterprise による eduroam/Cityroam でのキャン
パス無線 LAN 統合と WPA2 Personal による独自
SSID の廃止により生じた IoT デバイス・周辺機器のキャンパス無線 LAN への接続における課題について調査した．また，通常の個人の持込端末と異なり，不特定多数の学生が貸出利用する貸出PC においても，利用者を紐づけてキャンパス無線LAN 配下で運用できることを示した．今後，さらに無人で運用される人が介在しない機器の接続についても検討を進めていきたい．本研究の一部は，
令和 4 年度国立情報学研究所公募型共同研究の助成を受けた．

参考文献[1] eduroam JP: https://www.eduroam.jp/(2022 年 9 月 28 日参照)
[2] 国 立 情 報 学 研 究 所 , “ 国 立 情 報 学 研 究 所
eduroam JP サービス技術基準・運用基準.”:

https://www.eduroam.jp/document/81/（2022 年 10 月 11 日参照）
セキュア公衆無線 LAN ローミング研究会（NGHSIG）: https://nghsig.jp/（2022 年 9 月 28 日参照）
Cityroam: https://cityroam.jp/（2022 年 9 月 28 日参照）
株式会社内田洋行，ワイヤレス画面転送装置
Wivia[ワイビア] :https://www.uchida.co.jp/wivia/（2022 年 9 月 28 日参照）
Espressif Systems, ESP32.:
https://www.espressif.com/en/products/socs/esp32/（2022 年 10 月 11 日参照）
加藤康弘,“ESP32 モジュールの開発環境構築と IoT 機器の試作.”，第 24 回高専シンポジウ
ム 講演要旨集 PI-33:
https://www.oyamact.ac.jp/24sympo_bk/contents/24sympoyoushi.html（2022 年 10 月 11 日参照）
JeroenBeemster/ESP32-WPA2-Enterprise:https://github.com/JeroenBeemster/ESP32WPA2-enterprise/（2022 年 10 月 11 日参照）
Espressif Systems, ESP-Touch Overview:https://www.espressif.com/en/products/software/e
sp-touch/overview/（2022 年 10 月 16 日参照）