キャンパス情報ネットワークの更新について
渡邉 美穂・田中 昌二・万田 真樹・上田 康信
岐阜大学 情報連携統括本部

岐阜大学では，キャンパス情報ネットワークの基幹を担う情報ネットワーク機器のサポート終了に伴い，2018 年度に大規模なネットワークの更新を行った．また，セキュリティ強化のため，ネットワークに接続するユーザー端末の MAC アドレスによる認証やプライベート IP アドレス化への移行を行った．さらに，利用者の利便性向上を図るため，無線 LAN 環境の拡充や各研究室の回線高速化も行った．本稿では，キャンパス情報ネットワーク更新の概要について報告する．
Key Words : MAC アドレス認証，プライベート IP アドレス，動的 VLAN

１．はじめにも考慮したネットワーク環境を構築することにした．
本稿では，更新した新キャンパス情報ネットワークの岐阜大学における教育・研究・事務に関する情報処理概要について，報告する．の円滑化ならびに情報の促進を図る上での重要インフラとなるキャンパス情報ネットワークは，ひとたびこれが停

２．旧キャンパス情報ネットワークについて止することにより，本学における上記の諸活動に大きな影響が及ぶ．また，情報ネットワーク機器の一般的な耐更新前のキャンパス情報ネットワーク(以下，旧キャン

用寿命は 10 年程度と言われている．岐阜大学のキャン

パス情報ネットワークという）は，セキュリティ対策として，パス情報ネットワークは，全学の基幹を担う基幹スイッチ

学外からの不正アクセスを防御するファイアウォールと，群，部局の基幹を担う部局基幹スイッチ，各部屋の情報

あらゆる通信を監視し異常な通信があればその通信をコンセントを収容するフロアスイッチから構成されている

検知・ブロックする機能をもつ不正侵入防止システム

が，これらを構成する大半のフロアスイッチは 2018 年度（IPS）の 2 種類のセキュリティ機器を用いていた．この構に導入から 10 年を迎えることになる上，基幹及び部局成において一定の安全性を確保していたが，本来正常基幹を担っているスイッチについてもメーカーによるサポな通信に問題が発生した際，その問題がどちらの機器ートが終了となる．耐用寿命を超えた機器の故障率は高に起因しているのか，原因の切り分けが困難であるといくなる一方であることや，メーカーサポートを受けられなう課題があった．

い機器の継続運用は，障害発生時に大学における諸活

また，旧キャンパス情報ネットワークでは，各部局単位動において致命的な事態をもたらす可能性があるため，にグローバル IP アドレスをセグメント単位で割り当て，部大規模なネットワーク更新を数年前から計画し，2018 年

局にて IP アドレスの管理を行っていた．ユーザー端末に度に実施した．

割り当てる IP アドレスはすべて固定であったため，部局また，セキュリティ面においてもさらなる強化を図るたにおけるグローバル IP アドレスの管理負担も大きく，利め，MAC アドレス認証の導入及びユーザー端末のプラ用者においては，端末設定が難しいという声も聞かれてイベート IP アドレスへの移行を併せて行うことにした．さいた．さらに，昨今のセキュリティ情勢を鑑みると，ユーらに，各研究室の通信の高速化等，利用者の利便性にザー端末がインターネット（学外）の脅威に直接さらされるグローバル IP アドレスを利用することについては，キャある情報機器が学外から攻撃を受けた際，学内全体にンパス情報ネットワークを運用する中で，セキュリティ面被害が蔓延する事態を防ぐことができる．

や端末管理面で懸念事項であった．

なお，学外からの攻撃対象となる危険性の高い学外
公開サーバにおいては，定期的にサーバ管理者に対し，３．新キャンパス情報ネットワークについてセキュリティパッチの適用状況等，適切なセキュリティ対策がなされているかのチェックを促す．

今回更新を行ったキャンパス情報ネットワーク（新キャ（２） プライベート IP アドレス化

ンパス情報ネットワーク）においては，各機器を一新するユーザーが利用するすべての一般端末が使用する IPとともに，以下のような変更を実施した．

アドレスをプライベート IP アドレスへ移行した．また，本（１）セキュリティ機器の統合

学の教育職員(以下，教員という)1 名につき 1 セグメント（２）プライベート IP アドレス化

を割り当て，教員自身が 245 個の IP アドレスを管理可能（３）MAC アドレスによる認証とした．これにより，部局の IP アドレス管理負担が軽減さ（４）動的 VLANれた．さらに，教員へ配布可能な IP アドレス数のばらつ（５）全研究室 1Gbps 化

きや配布可能な IP アドレスの枯渇等，部局により差があ（６）無線 LAN 環境の拡充

ったさまざまな IP アドレスの問題も解消された．
なお，導入したネットワーク機器の性能的制限によりセ（１） セキュリティ機器の統合
旧キャンパス情報ネットワークでは別々の機器だった

グメントを保有できる教員は常勤の助教以上としている．
（３） MAC アドレスによる認証

セキュリティ機器を 1 台に統合した．また，セキュリティレすべての情報機器に固有の MAC アドレス（物理アドレベルを新規に導入し，図 1 に示すゾーニングを行った．

ス）を用いた認証を導入し，事前に登録された機器以外の接続を許可しないこととした．
MAC アドレスの登録は，Web で提供する管理サイトにて行う．なお，この管理サイトで使用するユーザーID は，岐阜大学情報連携統括本部が管理している統合認証システムで利用する ID を用いる．また，この管理サイトへのログインは，セグメントを保有できる教員にのみ権限が付与されるような仕組みとなっている．
なお，MAC アドレスによる認証は，教員が主に利用する研究室や実験室の情報コンセントを対象としており，後に記載する無線 LAN 環境については，ユーザーID

図 1 セキュリティレベルによるゾーニングとパスワードによる認証を用いている．
（４） 動的 VLAN

本ゾーニング構成は，通信の目的に応じてレベル 1からレベル 3 の三つのレベルにより構成され，レベル 3

旧キャンパス情報ネットワークでは，各部屋の情報コンセントに対し固定で VLAN を設定していた．一方，利用が最も高い安全性を要する目的で設定される．低いレ者はグローバル IP を固定で設定していたため，VLAN とベルから高いレベルへの通信をアクセス制限することで，IP アドレスの不一致による接続トラブルも多かった．また，利用目的を達成しつつ通信の安全性を確保する．また，部屋の利用者変更による情報コンセント側の設定変更も定常的に発生し，管理担当者の負担も大きかった．

今回，MAC アドレスによる認証を導入することにより，図り，全学共通教育棟においては全講義室に環境を整

各情報コンセントに接続された機器から VLAN（ひいて備した．

は利用者）が特定されるため，各情報コンセントは，接続

なお，学生用及び教職員用無線 LAN 環境へ接続すされた機器から特定された VLAN を動的に割り当てる仕るには識別名に付随するセキュリティキーに加え，前述組みとした．の統合認証システムにて利用する ID での認証を必須と

この動的 VLAN の仕組みを導入することで，利用者は，する．

MAC アドレスを登録済の機器であれば，学内のどの情報コンセントへ接続しても自身のセグメントで利用可能と４．今後の課題なり，利用者の利便性の向上につながった．
（５）全研究室 1Gbps 化

今回のキャンパス情報ネットワーク更新では，キャンパ各部屋の情報コンセントにおける通信速度を，100Mbps

ス情報ネットワークの安全かつ安定した運用を最大の目から 1Gbps へ変更することにより，利用者がより快適にネ的とし，上述のような仕組みを導入した．本更新についットワークを利用できる環境を整備した．なお，新キャンて今後改善すべき課題について述べる．

パス情報ネットワークは，基幹スイッチと部局基幹スイッ

例えば，MAC アドレス認証においては，管理者不在チ間を 10Gbps，部局基幹スイッチとフロアスイッチ間をの端末がキャンパス情報ネットワークに接続される事を1Gbps で接続している．

防いでいるが，管理者が退職等で大学を離れた際に残（６） 無線 LAN 環境の拡充

置された機器については，管理者不在の端末としてキャ無線 LAN 環境については，これまで主に学生に提供ンパス情報ネットワークへ接続されうる状態のまま学内にするサービスとして提供を続けてきた背景があり，教育・残ることとなる．安全な運用を継続するためには，今後，研究に不要と判断されるコンテンツへのアクセスを制限

このような管理者不在となる端末の定期的な棚卸しが必する等制約のある環境であった．また，昨今の無線 LAN要である．また，セキュリティ機器においても，学外に対環境の急激な需要増加もあり，授業において教員が利して開放している通信設定と学外公開サーバの運用状用する際に不便との声や，学会や会議での利用要望も況との整合性を定期的に調査することで不要な通信が増えてきていた．

なされないよう確認する必要がある．

そのため，今回の更新で，新たに教職員用無線 LAN

今後は，機器の障害を早期に検知するための監視や，環境を整備することとした．しかしながら，1 つの無線障害発生時の迅速な対応を可能とする保守契約を限らLAN アクセスポイントにつきアナウンス可能な識別名れた予算の中で締結することにより，高い可用性を維持（SSID）は 1 つという制約から，複数の識別名をアナウンした運用を目指す．

スするためには，学生用に加え，新たに無線 LAN アクセスポイントが必要となる．この問題を解消するため，無謝辞

線 LAN コントローラを導入し，1 つの無線 LAN アクセス

本報告を作成するにあたり，ご指導，ご助言をいただ

ポイントで複数の識別名をアナウンスすることを可能としきました岐阜大学情報連携統括本部の皆様方，及び，た．現在，無線 LAN アクセスポイントを設置しているエリ

今回のキャンパス情報ネットワーク更新にあたり，ご協力

アにおいては，学生用無線 LAN 識別名，教職員用無をいただきました学内の皆様方に深く感謝いたします．

線 LAN 識別名，さらに大学等教育研究機関の間でキャンパス無線 LAN の相互利用を実現する「eduroam」の 3つを同時に提供し，利用者の利便性を高めた．
さらに，無線 LAN が利用可能な通信エリアも拡充を