eduroam による大学間無線 LAN 連携と国内外の動向
後藤 英昭,曽根 秀昭

東北大学 サイバーサイエンスセンター{hgot,sone}@isc.tohoku.ac.jp
概要：

欧州で高等教育・研究機関の無線 LAN の相互利用環境が構築されたことに端を発する eduroam (エデュローム) は、現在では欧州 36 か国の他、アジア太平洋地域にも普及してきている．日本では、国立情報学研究所の主導による全国大学共同電子認証基盤構築事業 (UPKI) における認証連携のアプリケーションの一つとして、eduroam JP の名で運用されている．本稿では、eduroam によるキャンパスユビキタス環境実現の概要を述
べ、国内外における動向を紹介する．また、一千規模の多数の機関を効率的に eduroamに接続し、安定なシステムを実現するための技術開発を、併せて紹介する．

1

はじめには大規模な展開・導入が難しく、何らかの対策が必要である．

近年、無線 LAN システムを既にキャンパスに導本稿では、eduroam によるキャンパスユビキタ入済みの教育・研究機関は少なくない．大学等では、スネットワーク環境の実現の概要を述べ、国内外に講師がプレゼンテーション用の PC を学内 LAN における動向を紹介する．機関の eduroam 導入のし接続したり、学生が持ち込みの PC を使って演習やきいを大幅に下げ、大規模な無線 LAN ローミング自習を行ったりするなどの利用形態があり、ネット基盤を安定に運用するための技術開発も、併せて紹

ワーク管理の立場からは、このような新しい授業方介する．

法を支援していく必要もある．
従来のキャンパス無線 LAN(あるいは有線ポート)のシステムは、機関ごとに構築され、基本的に機関国際無線 LAN ローミング基盤

2内の者だけが利用できるシステムがほとんどであeduroam

る．しかし、近年では教職員・学生の大学間の移動にも対応できるシステムが求められている．単位互

2.1

eduroam とその国際的動向

換制度により他校のキャンパスで講義や演習に出席する学生にとっては、現地でのネットワーク接続が無線 LAN ローミングとは、「認証連携技術によ必要になる．教員や学生が国際会議などで海外渡航り、利用者が所属機関のアカウントを使って他機した際は、現地でインターネットに接続するのが難関の無線 LAN インフラを利用できる仕組み」でしいことが多い．もし現地の教育・研究機関で自由ある．eduroam はヨーロッパの TERENA (Trans-にネットワーク接続が可能ならば、利用者にとってEuropean Research and Education Networking As-

非常に便利なことはもちろん、ネットワーク管理者にとっても、ゲスト用アクセスポイントの一時的設sociation) において開発され、欧州内の教育研究機
関ごとの無線 LAN システムを相互接続したことに置や、ID 発行といった手間から解放されるという端を発する無線 LAN ローミング基盤である [1, 2]．

利点がある．

2009 年 9 月の時点で、欧州 36 か国が eduroam に以上のような背景のもと、大学等の高等教育機関加盟している．の無線 LAN システムを接続し、相互利用を可能と欧州で eduroam が急速に発展した背景として、する、無線 LAN ローミングの実現が望まれるよう欧州では国内に限らず隣接諸国の大学等とも教育・になった．欧州で運用が始まった無線 LAN ローミン

研究交流が盛んであり、機関や国をまたがっても利グ基盤である eduroam はアジア太平洋地域にも普用できるネットワークアクセス手段が切望されてい及してきており、現在、日本でも eduroam JP の名たことが挙げられる．商用無線 LAN サービスの普で運用されている [1, 2, 3]．一方、日本には 1,200及率や、相互運用性、利用料金なども、eduroam 普をこえる非常に多くの高等教育機関が存在するた及の大きな要因と言われている．

め、従来の eduroam の認証連携の仕組みのままで欧州の一部の国々では、教育研究機関以外でも、eduroam の利用が可能な無線 LAN アクセスポイントが設置されている例がある．例えば、大学の近所のパブや、街中のカフェ等においても、eduroam対応のアクセスポイントを設置する動きがある．
アジア太平洋地区では、2004 年にオーストラリアが eduroam に接続したのを皮切りに、現在では
図 1: eduroam のしくみ

中国、香港、台湾、日本、ニュージーランド、カナダが加盟済みである．

2.2

eduroam の仕組み

2.3

日本における eduroam

日本の eduroam への加盟は、全国共同電子認証基盤 (UPKI) 構築事業のプロジェクトの一つとして加盟機関の間で認証連携を実現するために、実現した [4]．UPKI 構築事業は、国立情報学研究所

eduroam では、図 1 に示すような世界規模の RA-(NII) と 8 大学 1 機関によって平成 17 年度より開始された事業であり、認証連携技術によって大学等

DIUS サーバ (Remote Authentication Dial-In User
Service Servers) の階層的ネットワークを用いる．欧を相互接続し、全国大学共同電子認証基盤を実現し州とアジア太平洋地区に世界のトップレベルサーバようとするものである．eduroam による無線 LANが設置されている．RADIUS サーバの役割は、認ローミングは、認証連携のアプリケーションの一つ証情報の提供と、隣接サーバへの認証情報・結果のとして位置付けられた．

転送の、二種類がある．ユーザ情報を持たないサー

2006 年 8 月に東北大学がオーストラリアにあるアジア太平洋地区のサーバに接続し、これにより日バは、特にプロキシサーバと呼ばれる．
基本的な eduroam では、IEEE802.1X に基づい本の eduroam 加盟が実現した．UPKI 事業の参加たユーザ認証が行われる．図 1 には、日本 (jp) の機関を中心に eduroam に接続、実証実験を行った

機関 D のユーザがオーストラリア (au) の機関 A に後、eduroam JP の名で国内運用を開始した．

おいて無線 LAN を使おうとしているシナリオが描

現在、eduroam JP は国立情報学研究所の正式なかれている．アクセスポイントには、オーセンティサービスの一部であり、国内の高等教育研究機関はケータと呼ばれる仕組みが備わっており、ユーザ認申請により随時加入できる．2009 年 9 月の時点で国証が成功しなければ、利用者の端末はネットワーク立情報学研究所、北海道大学、東北大学、山形大学、に接続することができない．

尚絅学院大学、高エネルギー加速器研究機構、名古利用者は、ネットワークへの接続にあたって、DNS

屋大学、京都大学、京都教育大学、大阪大学、九州(Domain Name System) のドメイン名に似た “レル大学の計 11 機関が eduroam に接続済みである．

ム名” を含むユーザ ID と、パスワード (または証図 2 に加盟機関のマップを、図 3 にネットワー明書) をアクセスポイントに提示する．ユーザ ID

ク図を示す．日本のトップレベルのサーバは、プラは “ユーザ識別子@レルム名” の構造をとる．また、

イマリ (NII) とセカンダリ (東北大学) の二台あり、レルム名は eduroam のネットワーク構造を反映し冗長構成により可用性を高めている．

た階層構造を持っている．認証情報はオーセンティ
ケータの上位の RADIUS プロキシに転送され、さらに複数の RADIUS プロキシを経由して、最終的には利用者の所属機関の RADIUS サーバまで届けられる．機関 D のサーバは、送られてきた認証情報

3

大規模展開への取り組み

3.1

eduroam 普及の障壁とその対策をデータベースのエントリと比較し、正しく認証さ

eduroam の導入においては、以下の二つの機能

れれば Accept の応答を、誤っている場合は Rejectを統合して導入することはもちろん可能であるが、を返す．

二つの機能を明確に意識すると見通しがよくなる．

なお、認証情報のやりとりは、所属機関の RA-• 無線 LAN アクセスポイントシステム

DIUS サーバと端末をエンドポイントとする暗号化されたトンネルを介して行われる．従って、アクセ• 認証情報の管理 (アカウント管理、認証連携)

スポイントや中間の RADIUS プロキシでは、利用

例えば、貸し会議場・会議室のような場所では、ア者のパスワードを盗み見ることはできない．

クセスポイントの提供だけでよい．また、大学等に

図 4: 代理認証システム
はじめ各国の NREN (National Research and Ed-

図 2: eduroam JP 加盟機関マップ (2009 年 9 月現ucation Network) で、国内では国立情報学研究所、東北大学、京都大学などで行われている．eduroam

在, Google Maps にて)の大規模展開に向けた取り組みの一部を、以下の節で紹介する．

3.2

代理認証システム

無線 LAN 連携のために新たに専用のユーザデー
タベースを構築することは、数千〜数万人の学生を擁する大学はもちろん、たとえ数百人の機関であっても現実的ではない．もし、統合認証基盤やそ
図 3: eduroam JP ネットワーク

れに類する認証システムが構築済みで、認証情報をおいてアクセスポイントの整備が時期的に遅れるよ

RADIUS プロトコルに変換する仕組みを用意できるのであれば、比較的容易に利用者に eduroam のうな場合は、学外 (特に海外) で eduroam 利用の便を図るために、認証連携の仕組みだけでも先に整備することはメリットが大きい．
機関として eduroam に加入するためには、技術的にはその機関の代表の RADIUS サーバを立てるだけでよい．ハードウェアとしては PC サーバ程度、あるいは小型アプライアンスの規模で十分である．アクセスポイントが必要ならば、一台だけでもeduroam の運用は開始できる．しかしながら、教職員・学生にアカウントを発行することを考えると、運用の手間が意外に大きいことがわかる．
一方、国のトップレベルのサーバに各大学のサーバを接続し、認証連携のテストを行うことを考えると、日本には国公立・私立を含めて約 760 の大学がある (2008 年調べ) ことから、その手間も相当に大きいものとなる．短大等を含めると日本には 1,200以上の高等教育機関が存在するが、この数は欧州の諸外国と比べて桁違いに大きい．国内で eduroamを普及させるためには、機関の加入や、接続の技術サポートにおいても、大幅な省力化が必要不可欠である．
様々な要素が eduroam 普及の障壁になっていると考えられるが、それらを取り払うか軽減するための技術開発や環境整備が、海外では TERENA をアカウントを配布できる．しかし、RADIUS サー
バの立ち上げでさえも、運用コスト等の制約により難しいことがある．
解決策の一つとしては、Shibboleth SSO (SingleSign-On) [5] のように、共同電子認証基盤で今後普及が期待される汎用的な認証連携の仕組みを使い、eduroam を利用できるようにすることが考えられる．Shibboleth によって eduroam の一時アカウン
トを発行するシステムが、実用化に向けて京都大学および東北大学で開発中である．このシステムでは、利用者個人が Shibboleth でユーザ認証を受け、条件を満たしていれば個人用の eduroam 一時アカウントが発行される．eduroam のユーザ認証は、日本のトップレベル RADIUS サーバに直結された代理認証サーバによって行われる．従って、当システ
ムを利用する機関では Shibboleth の IdP (IdentityProvider) を立てるだけでよい．
二つ目の解決策として、一時アカウントを自動発行し、eduroam のユーザ認証を代行するシステムが考えられる．この方法では、学内の統合認証基盤などが構築中や計画中、あるいは Shibboleth SSOの実現が難しい場合であっても、すぐに eduroamが利用可能になる．概要を図 4 に示す．

通信はすべて、AR で作られた L2VPN (EtherIP)のトンネルを介して、センターのゲートウェイに届けられる．これにより、端末とゲートウェイの間の通信もすべて学内 LAN から隔離される．AP が置かれる場所のネットワークから見ると、AR の上流のポートだけが見え、帯域を消費される以外は、利
図 5: EtherIP を用いた可搬型アクセスポイント
当システムを利用しようとする機関では、管理者と責任者を定め、システムのウェブサイトから利用申請を行う．機関用の管理アカウントが発行されるので、管理者はこれを用いて、必要な数の一時アカウントをシステムから随時ダウンロードできる (バルク発行)．機関におけるアカウントの配布・管理は、管理者が責任を持って行う．この部分は、学内で自動化されていても手動でも構わない．なお、利用者の故意あるいは無意識の不正利用に備えて、一時アカウントと利用者の紐付けが必要であるが、これはアカウントを請求した機関が責任を持って行う．
この代理認証システムは、既に実証実験として提供中である [3]．当システムでは、1 名からでもeduroam を容易に試すことができるほか、各機関の責任の下でゲスト用のアカウントを配布することも可能である．
以上の二種類の代理認証の仕組みは、eduroam のRADIUS プロキシネットワークの構造が単純になり、eduroam の可用性の向上にも貢献すると考えられる．

3.3

可搬型 eduroam アクセスポイント

大規模な機関では、建物内のネットワークがキャンパスネットワーク (幹線) とは別の業者によって用者端末からの影響は一切受けない．

AP を別のネットワークに移動した場合でも、ARの IP アドレスを変更するだけでよく、AP は自動的にセンターのゲートウェイに収容される．もし設置場所のネットワークで DHCP (Dynamic HostConfiguration Protocol) が利用できるならば、ARの IP アドレスも自動的に設定されるので、手作業の設定変更は一切不要である．AP の設定はセンターで一度行っておくだけでよい．
試作システムでは、AP にはアライドテレシス AT-TQ2403、AP 側のルーターに NEC IX2005、センター側のルーターに NEC IX3010 を用いた．
この可搬型アクセスポイントは、学内 LAN のみならず、インターネットを経由しても利用可能である．

IPsec の通信が透過するならば、NAPT (NetworkAddress/Port Translation) の裏側に AR を置いても動作する．

4

まとめeduroam による大学間無線 LAN 連携によって、教職員・学生の大学間移動に対応し、先進的な教育・研究環境の創成が期待されている．キャンパス無線
LAN システムの構築や更新は一朝一夕にはできないため、近々新設あるいは更新の予定がある機関には、eduroam にも対応したシステムを構築することを奨めたい．

導入・管理されていることがあり、学内共用の無線eduroam の大規模な展開に備えて、認証連携をLAN アクセスポイントの設置が容易ではないことがある．また、学外の会議場などでアクセスポイ容易にする代理認証システムと、設置条件を大幅にントを立てる場合、その都度の機材の設定変更はシステムの一部は、既に実証実験として提供中であ面倒である．特に、IEEE802.1X によるユーザ認証

り、学術情報ネットワーク (SINET) に加入機関かは、アクセスポイントの設定項目が多く、上位のら利用可能である．

緩和できるアクセスポイントを開発した．代理認証

RADIUS サーバの設定変更も必要になるため、実用的ではなかった．
学内外の eduroam 対応アクセスポイントの設置

参考文献

セスポイントシステムを開発した．図 5 にネット

[1] L. Florio and K. Wierenga, “Eduroam, providing
mobility for roaming users,” Proc. 11th International Conference EUNIS2005, 2005.

ワーク構成を示す．

[2] eduroam (world) : http://www.eduroam.org/

条件を大幅に緩和できるものとして、可搬型のアクアクセスポイント (AP) にアクセスルーター (AR)を抱き合わせて、学内 LAN などに接続する．学内の情報基盤センターなどに対向の AR を設置して、これに複数のアクセスポイントを収容する．AP の[3] eduroam JP: http://www.eduroam.jp/[4] UPKI イニシアティブ:
https://upki-portal.nii.ac.jp/[5] Shibboleth: http://shibboleth.internet2.edu/