国際学術無線LANローミングサービス
eduroamについて
中村素典（NII）・後藤英昭（東北大）
2016年5月26日 NII学術情報基盤オープンフォーラム

2016.5.30改訂版

http://www.eduroam.jp/

802.11無線LAN規格―高速化の歴史
802.11b
11/22M

802.11n802.11n65-600M
65-600M

802.11g
54Mbps

802.11ac wave2
290M-6.9Gbps

802.11a
54Mbps100（第5世代）(MIMO)

2015

2012

2007

2011

60GHz帯

2009

5GHz帯

2008

2.4GHz帯

802.11ac wave1
290M-1.6Gbps
2006

1997
1998
1999
2000
2001
2002
2003
2004
2005

10

2014

1000

2013

10000

1

802.11ad
4.6-6.8Gbps

2010(Mbps)

802.11
2Mbps

高速化の技術： 変調データの多ビット化、待ち時間削減、フレームサイズ拡張、フレームアグリゲーション、帯域幅の拡張（～x8）、 MIMO（複数ストリーム ～x8）、ビームフォーミング
2(c)2016 National Institute of Informatics

ネットワーク環境整備
環境整備のトレンドは有線から無線にシフト

無線LAN対応端末の普及
 ネットワーク構築・運用コストの低減化
 認証によるセキュリティの確保

大学・学会等の大人数が集まる会場での安定した運用への要求

大講義室、大会議室、ホールなど（100～1000人規模）


企業等の大規模オフィスなども

モバイル端末の増加により、一人が複数の端末を接続することも検討項目
端末収容能力、安定性の高い機器の採用
 アクセスポイントの数（チャネル割り当てに応じて） チャネル割り当て、出力調整
 壁、床、天井の透過性
 干渉源の検出、排除 古い規格（802.11b等）の利用制限（切り捨て）によるパフォーマンス向上 セキュリティ（認証方式、なりすまし・盗聴対策）
3(c)2016 National Institute of Informatics

アクセスポイント管理の効率化
 スタンドアロン

管理が面倒 機種の統一が不要
 無線LANコントローラ （2004年頃～）

チャネル割り当ての最適化
 カバレッジ調整
 ロードバランシング（スムーズなローミング） 大規模ネットワーク向き（基地局が安くなる？） コントローラのクラウド化 （2013年頃～）

コントローラ導入が容易に 管理のアウトソーシング マネージドサービス

4

WaaS
Wireless (WiFi) as a Service(c)2016 National Institute of Informatics

国際学術無線LANローミング基盤「eduroam」
欧州TERENA （現GÉANT）で開発された教育・研究用の学術無線LAN(Wi-Fi)ローミング基盤
世界75か国・地域に展開



国際的デファクト・スタンダード

互恵の精神に基づくサービス

基地局を運用・提供している機関だけが、その構成員に利用させる ことができる

日本から「eduroam JP」の名称で参加（2006～）

原則として学術研究機関が対象（参加費不要）
訪問先の無線LANが無料で利用可能








150

https://www.eduroam.org/index.php?p=where

ESSIDは“eduroam”で統一、IDは”user@大学名.jp”
関東の貸会議室やカフェ等の一部でも利用可能（約130か所）
海外では、駅や空港でつかえる国も参加機関数の推移 (‘16/4現在)

126

141

JPサーバ
JPサーバ

87100
502710 17435705

09 10 11 12 13 14 15 16.4

by TECHORUS & KDDI（旧DATAHOTEL）(c)2016 National Institute of Informatics

eduroam上位サーバ（Asia-Pacific）
eduroamトップレベルサーバ

www.eduroam.jp

利用可能な場所を地図上で確認できます

基地局所在地情報の提供にご協力をお願いします
6(c)2016 National Institute of Informatics

eduroam JPの事業化について
 NIIによる事業化（2016/04～）


これまで認証作業部会が提供してきたeduroam JPは、 NIIによる正式事業となります
運営体制が新しくなります 実施要領等を整備します 新しい各種申請フォームを準備しています 参加機関の皆様へ

新しい実施要領に基づくサービスに移行します
参加費は引き続き無料です 実施要領の内容に同意いただけるか、7月をめどに継続参加の意思を確認させて頂きます 参加機関側のシステムはそのまま利用できます 設定変更や継続申請など、お手数をおかけすることになるかもしれませんが、ご協力をお願いいたします。
7(c)2016 National Institute of Informatics

88

認証回数（万）400

2016年4月

2015年10月

2015年4月

2014年10月

2014年4月

2013年10月

2013年4月

2012年10月

2012年4月

2011年10月

2011年4月

2010年10月

2010年4月

2009年10月

2009年4月

2008年10月

eduroam JP月間アクセス数
ユーザ数
30000

350
25000

300
海外ユーザ含む

250
20000
JPユーザのみ

200
15000

150
10000

100

50
5000

00eduroamの仕組みとメリット

訪問先の無線LANが無料で利用可能
互恵の精神に基づくサービス（訪問先での利用＋ゲストへの提供）
 来訪者向けネットワークを毎回構築する必要なし

会議用一時アカウント発行も提供中（試行サービス）

所属する大学のアカウントがそのまま利用できる”user@大学名.jp”
 「学認」とも連携可能

レルムに基づく認証サーバの探索

国際標準IEEE 802.1x方式による安全なユーザ認証
Windows/Mac/スマートフォン
等に対応
 Web認証より安全

なりすまし基地局によるパスワード漏洩対策

クライアント証明書による認証も利用可能

国際RADIUS認証プロキシ

TLR

NII運用

AU
A大B大

C大(TLR: Europe, Asia-Pacific)

国内RADIUS認証プロキシ

JP(FLR: 国、地域ごとに設置)

D大大学運用AP

機関RADIUS認証サーバ

無線LANアクセスポイント
RADIUS認証要求

user@D大.jp
訪問先

9

GÉANT運用

ローミング
レルム (realm)(c)2016 National Institute of Informatics

RADIUS認証応答
所属機関

無線LANセキュリティ規格の変遷
 WEP （802.11規格の一部, 1999）
暗号化
 2001年以降、容易に解読できることが明らかに
 解読ツールで数分以内に解読できてしまう WPA （802.11iのサブセット、2002）


鍵の更新による対策
 2008年以降、WPA-TKIPに脆弱性が指摘される
 10分程度で攻撃が成功する

 WPA2（802.11i- 2004）

暗号強度の向上（AESの実装を義務化）
 認証方式 PSK (Personal)
 EAP/802.1x (Enterprise)10

ユーザごとに異なるパスワードまたは証明書を用いる(c)2016 National Institute of Informatics

2通りのユーザ認証方式
 Web認証 (Captive Portal)

認証前のユーザへの情報提供が容易
 APのなりすましへの注意が必要（パスワード等の漏洩、中間者攻撃、ウィルスの挿入など）


SSLサーバ証明書の確認が重要だが徹底が困難
 クライアント証明書認証はパスワード漏洩対策
 802.1x認証

外部の認証サーバ（RADIUS等）に問い合わせ パスワード認証


PEAP / MS-CHAPv2 （RFC 2759）による相互認証
 暗号通信(TLS)の内側で用いることで脆弱性（2012年に指摘）を回避

クライアント証明書認証（パスワードの漏洩がない）11

EAP-TTLS
EAP-TLS

サーバ証明書による認証サーバの確認が可能(c)2016 National Institute of Informatics

Web認証と802.1x認証
 Web認証

訪問先毎に証明書が異なりなりすまし、盗聴、ウィルス挿入の危険性
なりすまし認証サーバ

所属組織の認証サーバ

訪問先の認証サーバ

パスワードが見える

 802.1x認証
所属組織の認証サーバ

訪問先の認証サーバの証明書を確認しパスワードを送信（暗号通信）

訪問先の認証サーバ

常に同じ証明書であることを確認

証明書の準備パスワード盗聴不可

所属組織の認証サーバを確認しパスワードを送信（暗号通信）

 クライアント証明書認証ならどちらの場合も安心
12(c)2016 National Institute of Informatics

相互認証によるサーバ確認が可能eduroamへの参加方法：訪問先での利用
 自機関構成員向けアカウントの準備（3つの選択肢）

1. RADIUSサーバを構築・運用（クラウドも利用可）
 学内アカウントをそのまま利用することが可能

2. 代理認証システムを利用
 eduroam専用アカウント発行サービス

3. 仮名アカウント発行サービス（学認連携）を利用
 学認用のIDを用いてeduroam用一時アカウントを発行

13(c)2016 National Institute of Informatics

原則はこちらです代理認証システム (2008年～)
代理認証システム(DEAS)RADIUS
server

各機関
2016.5現在

40機関が利用中(全参加機関の約28%)オンラインサインアップ



クライアント証明書発行にも対応

account
DB

ID配布

Web UI

アカウント発行ウェブサービス (ウェブ画面) またはShibbolethによるシングルサインオン (開発中)※ 認証連携なしのシステムは既に サービス提供中!
• ID取得だけで、管理者がアカウントをバルク請求・発行可能• ゲスト用アカウントの発行も可能
14(c)2016 National Institute of Informatics

会議向け期間限定eduroamアカウントの試行(2014.7～)
 国内のeduroam対応大学・会議施設などで開催される学術系の会議、シンポジウム、ミーティングが対象
 eduroam対応だが、大学・会議場がゲストアカウントを発行できない例がある
 「代理認証システム」を利用 会議/シンポジウム/ミーティングを仮想機関(VO)とみなし、機関管理者用アカウントを発行
 会議開催ごとに申請が必要 現在、提供条件を検討しながら、試行中
 偽の会議の申請を排除したい eduroam JP事務局の負担が増えないようにしたい 利用資格の基準をどのように設定するか？
15(c)2016 National Institute of Informatics

eduroam仮名アカウント発行サービスSP
 Shibboleth認証し、eduroam一時アカウントを発行
 匿名ネットワークアクセスを実現

eduroamワールドワイド
認証ネットワーク(RADIUS) インシデント発生時は特定可能 パスワード漏洩対策
ID: komura@kyoto-u.ac.jp
仮名ID: KA8zveT3g

2010/03/01 18:10 @JP Server
A2S0513@upki.eduroam.jp

仮名アカウント発行
所属組織IdP
SP3)仮名ID通知
4)ID/PW通知
7)認証要求upki.eduroam.jpのRADIUSサーバ

2)認証
1)申請

仮名ID: KA8zveT3g
eduroam-ID: A2S0513@upki.eduroam.jp
5)移動16(c)2016 National Institute of Informatics6)接続要求学術認証フェデレーション「学認」
クラウド活用を支援
LoA 認定による、PubMed、e-Radアクセス
学割サービス

SP

多要素認証、個人情報保護、Virtual Organization
図書館システム

Webメール

グループウェア

Eラーニング電子ジャーナルフェデレーションの構築
は世界各国で進行中!
GakuNin運営組織• フェデレーション ポリシーの策定• IdP運用評価•広報・普及IdP

大学 A

個人認証で学外からも快適アクセス

ディスカバリーサービス

学認申請システム

メタデータリポジトリ

情報提供サイト

大学 B
ID管理工数の低減
セキュリティレベルの底上げ
個人情報保護

コンテンツ系サービス
Most ofMajor
Publishers

17
17

大学 C
シングルサインオンでスムーズなアクセス

各種基盤系サービス
学内事務サービス

eLearningePortfolio

Foodle(c)2016 National Institute of Informatics

eduroamへの参加方法：ゲストへの提供
 無線アクセスネットワーク（アクセスポイント）の準備

ゲスト用に用いるIPアドレスの主な選択肢（多くの機関では、機関内からのアクセスのみを許可しているサービスが運用されており、ゲストには同じIPアドレスを利用させたくないという要求がある。）
自機関が保有するIPアドレスブロックを利用（eduroam用のIPアドレスブロックの切り出し） 新たにIPアドレスブロックを取得して利用ア) 新たに商用回線等を導入し、その回線に付随するIPアドレスを利用
イ) 既接続回線提供者(SINET含む)からIPアドレスブロックの割り当てを受け、当該回線で利用（ただし、最近はIPv4で十分なサイズのIPアドレスブロックの割り当てを受けることは非常に困難）ウ) eduroam.jp から、SINET 接続による eduroam サービス提供用として割当を受けたアドレス(IPv4/IPv6)を利用（前項のIPアドレスブロック割り当て手続きの簡略化。ただし、接続形態を規定。詳細は次ページ参照）
18(c)2016 National Institute of Informatics

SINETによるeduroamアクセスネットワーク
収容のイメージ（SINET5でも継続提供）
前頁B-2-ウの事例

SINET

IPv4アドレスの割当(/30) by eduroam.jp（IPv6も提供可）

SINET
Routerxxx.xxx.xxx.a/30

IPdualサービス
IPdualサービス
Tag VLANSINET接続回線
DHCP/NAPTログの一定期間の保存が必要

xxx.xxx.xxx.b/30

NAPT
Router
192.168.XXX.1/24

Tag VLANを用いずに個別接続とすることも可能

大学
L2 SW

既設
Routereduroameduroamゲスト用ネットワーク
192.168.XXX.X/24

詳細は次のURLをご参照ください
http://www.eduroam.jp/docs/SINET5-eduroam-connect.pdf(c)2016 National Institute of Informatics

IPv4プライベートアドレスの利用 (DHCP)
19

既存学内ネットワーク

ダイナミックVLANでeduroamに一元化
 同一SSID「eduroam」を用いて


大学関係者とゲストで接続先のVLANを変える 「レルム」に基づく接続先の指定
 IPアドレス等によりアクセス可能なリソースの範囲を制御したい 常にeduroamの設定のままでネットワークを利用したい

さらに、教員と学生とで接続先のVLANを変える、など
 認証DBの属性情報に基づく接続先の指定

ゲスト用

教員用

学生用

SSID: eduroam

20(c)2016 National Institute of Informatics

eduroamで提供すべきプロトコル/ポート 原則としてプロトコル/ポート制限をかけないこと

ステートフルインスペクションやOP25B等の防御的セキュリティ対策は可 ファイアウォールで制限する場合でも以下は通すこと

VPN （NAPT等で技術的な制約がない限り）
 Standard IPsec VPN – IP/50(ESP),51(AH), UDP/500(IKE) OpenVPN 2.0 – UDP/1194
 IPv6 Tunnel broker service – IP/41
 IPsec NAT-Traversal – UDP/4500
 Cisco Ipsec VPN over TCP – TCP/10000
 PPTP VPN – IP/47(GRE), TCP/1723 （必ず許可）

HTTP – TCP/80,443
 Mail – TCP/143,993,110,995,465,587


やむを得ず制限する場合は、内容をeduroam JP事務局に連絡すること
21(c)2016 National Institute of Informatics

大学でのeduroamシステム構成例（基本）eTLR

海外への認証要求*.jpへの認証要求
JP FLRInternet

学外への認証要求

A大学.jpへの認証要求
AccessNW

FLR: Federation Level RADIUS

A大学.jpへの認証要求

Server side RADIUSとClient side RADIUSは同一サーバに集約可能

Access Point Access Point

A大学
22

LDAP(c)2016 National Institute of Informatics

大学でのeduroamシステム構成例（他の選択肢）
eTLR

JP FLR

FLR: Federation Level RADIUS

Internet

選択肢 (B)
選択肢 (A)

Access
NW

代理認証システム

Access Point Access Point

選択肢 (C)
学認

A大学
23

LDAP

学認IdP

(c)2016 National Institute of Informatics

仮名アカウント発行SP(eduroamshib)大学でのeduroamシステム構成例（冗長構成）
eTLR
JP FLR

FLR: Federation Level RADIUS

冗長構成
Internet

選択肢 (B)
選択肢 (A)

Access
NW

代理認証システム

Access Point Access Point

選択肢 (C)
学認

A大学
24

LDAP

学認IdP

(c)2016 National Institute of Informatics

仮名アカウント発行SP(eduroamshib)アクセスポイントネットワークの基本設計
DHCP
Access Network

DNS

Router(NAT)
Access Point

Management Network

LDAP/AD

eduroam JP RADIUS

RADIUS Proxy(client side)DMZRADIUS Server(server side)

インシデント対応のために、RADIUS (ID/MAC)、DHCP (MAC/IP)、NAT (IP/port)などのログを取得することも検討が必要
25(c)2016 National Institute of Informatics

eduroamの参加申請方法 認証サーバに関する項目

RADIUSサーバを構築・運用する場合

1.


レルム、RADIUSサーバのアドレス、パスワード

代理認証サービス利用の場合

2.


レルム（代理認証サービスの申請）

仮名アカウント発行サービス利用の場合

3.


（別途、学認への参加、IdPリストへの登録依頼）

認証プロキシ（アクセスポイント）に関する項目



アクセスポイントを独自に運用

1.


マネージドWi-Fiサービス

2.


プロバイダーを含め調整

準備中の場合3.
26

RADIUSプロキシのアドレス、パスワード
必要に応じてSINETによるeduroam用アドレスを申請

予定について記載（時期、台数など）

詳細については以下を参照ください
http://www.eduroam.jp/join.html
eduroam全般のお問い合わせ先：
tech@eduroam.jp(c)2016 National Institute of Informatics

NIIが提供するセキュアアクセスを支援するサービスの大学における活用イメージ
クラウドサービス

NII
UPKI証明書発行

ダイレクト・コネクト

Internet/SINET
Eduroam用
アクセス回線

大学

資産、NW、DNS管理DB
学生Trusted DB（学籍DB）
27

各種Web
サーバ

Shibboleth
IdP

アクセスポイントRADIUS

Webサービスにおける認証の集約と高度化

LDAP(c)2016 National Institute of Informatics

教職員Trusted DB（人事DB）

トラブルシューティング
端末がeduroamに繋がらないときは?
所属組織を離れる前に、利用予定の端末での接続テストをしておくことをお勧めします

訪問先でうまく繋がらない場合の問題の切り分けが容易になります（以下の1～3の問題でないことの確認）

問題の切り分けのポイント
1.
2.
3.
4.
5.
6.
28

アカウント自体が有効かどうか（他の端末で使えるか？）
端末での設定方法に問題がないか（パスワードの打ち間違い、認証方式の 選択、サーバ証明書の確認方法、など）
端末の機能に問題がないか（バージョンが古い、アクセスポイン トとの相性が良くない、など）
認証サーバに障害が発生していないか（発行元が同じである他のアカウントは他の場所でも使えているか？）
訪問先大学のアクセスポイントに障害が発生していないか（周辺にいる人は使えているか？）認証連携ネットワークに障害が発生しているのか（上記のいずれにも当てはまらないとき）(c)2016 National Institute of Informatics