大学ICT推進協議会
2011年度年次大会 論文集

D6-3
名工大における大規模ダイナミック VLAN ネットワークの管理・運用
打矢 隆弘, 松井 俊浩, 齋藤 彰一, 山本 大介, 内匠 逸, 松尾 啓志
名古屋工業大学 情報基盤センター
t-uchiya@nitech.ac.jp
概要：名古屋工業大学では 2010 年 4 月から 2 万台の端末認証が可能なダイナミック VLAN ネット
ワーク：新 MAINS(Meikoudai Advanced Information Network System) を稼働している．新MAINS ではネットワーク機器更新と各種システム開発により利便性・可用性の向上，セキュリティと利便性の両立，およびユビキタス環境の充実を実現した．本稿では，新 MAINS におけるネットワーク運用実績や利用状況の推移について報告する．

1

はじめに

 約6,700人の学生・院生と550人の教職員が所属する名古屋工業大学では，これまで1万台を超える大規模ダイナミックVLANネットワーク(MAINS:
Meikoudai Advanced Information NetworkSystem)を運用し，MACアドレスベースの端末認証手法や管理・運用方式に関する多数のノウハウを蓄積してきた．また，2010年3月末にネットワーク機器を更新し，可用性，信頼性，保守容易性，安全性，利便性をさらに向上させたネットワークシステムとして，新MAINSを稼働している．本稿
では，2011年10月時点の新MAINSの構成，本学

図 1：旧 MAINS の MAC アドレスベース

で開発したシステム，及び，新MAINSにおけるネダイナミック VLAN

ットワーク運用実績や利用状況の推移について報 この利便性の一方で，教職員・学生の不注意に告する．

2

よるケーブル誤接続に伴うネットワークループや，持ち込み PC からのウイルス攻撃によるトラフィ

新 MAINS の導入

ックの急激な増加が発生すると，学内ネットワー

2.1 旧 MAINS の問題点

クが全てダウンしており，学内の教育・研究活動

 旧 MAINS では MAC アドレス認証によるダイに大きな支障をきたしていた．また，SSH 経由のナミック VLAN を使ったネットワーク(図 1)を構外部からの侵入，研究室無線 LAN 基地局の安易築していた．このネットワークでは，サブネットな設置によるセキュリティ低下，電波混信による作成時にサブネットと VLAN の紐付けをネットワ性能低下が発生していた．さらに，個々の端末毎ーク管理者が設定している．その後，端末利用者のセキュリティポリシの設定が不可能，P2P ファ

が MAC アドレスの登録作業により MAC アドレ

イル交換ソフトの利用制限やアプリケーションレ

スとサブネットを一度紐付けするだけで，以降はベルでのフィルタリングができないなどのセキュ大学内のどの建物でその端末を情報コンセントにリティ上の課題もあった．

接続しても，紐付けしたサブネットの端末としてそこで，これらの問題点を解決する新しいネッ自動的に認識され，場所を問わずに研究室サブネトワークシステムとして，新 MAINS を導入した．

ットのリソースを利用できる．

― 198 ―

大学ICT推進協議会
2011年度年次大会 論文集

無線 LAN アカウント発行システムを開発した．

2.2 新 MAINS の概要(2011 年 10 月時点)

新 MAINS は旧 MAINS 最大の特徴である MAC加えて，2011 年 3 月に国際無線 LAN ローミング

アドレスベースのダイナミック VLAN を継承する基盤(eduroam)に参加した．これにより，学外者とともに以下の改善を行ったネットワークである．

が所属機関のアカウントを用いてユーザ認証を行

1. 可用性の向上

い，無線 LAN を利用できる環境が整いつつある．

エッジスイッチによる L2 ループ検知機能を用

なお，本学では無線 AP への接続ログを常時保い，スイッチ配下の HUB でループ構成になった存しており，紛失したモバイル端末の早期発見や場合にポートのシャットダウンにより障害影響範各無線 AP の利用状況の把握に活用している．

囲の局所化を図る．またエッジスイッチのストー

2.3 導入機器一覧

導入した機器は以下の通りである．また，図 2

ムコントロール機能を用い，ポート毎にパケットの流量を監視し，ストームが発生した場合に当該に新 MAINS のネットワーク構成を示す．

トラフィックを廃棄する．これらの機能により，

中央スイッチ L3 AlaxalA AX6708S 1 台

ループやストーム発生時のネットワーク全体のダ

サーバスイッチ，集約スイッチ，エッジスウンを防ぐことに成功した．

イ ッ チ : L2 AlaxalA AX3640S 120 台

2. 通信速度の向上(MAC 認証, WEB 認証, IEEE802.1X 認証
対応，ループ検知やストームコントロール

中央スイッチと各建物・フロアのエッジスイッチの回線を 100Mbps から 1Gbps に増速した．無機能を備え，1 台あたり 1000 端末の同時

線 LAN も IEEE11n 方式により最大 300Mbps に認証／ダイナミック VLAN が利用可能)対応した．さらに透過型 WEB プロキシを導入す

Point 400 台ることで WEB の閲覧速度を向上した．加えて，2011 年 3 月に SINET3 から SINET4 に移行し，



3. セキュリティと利便性の両立

UTM(Firewall, IPS): Fortigate3810A 2台(IP アドレス単位のポリシ設定やアプリケーションレベルフィルタリングが可能)

統合脅威管理機器(UTM)を用い，セキュリティポリシを IP アドレス・ポート毎に設定可能とした．

無 線 AP Controller: HP ProCurve
MSM760 Access Controller 3 台

対外接続を従来の 1Gbps から 10Gbps に増速し対外向けの通信速度を向上した．

無線 AP: HP ProCurve MSM422 AccessHP BladeSystem c7000: (mail サーバ,

これにより学外に公開しなければならないサーバ

mail gateway サーバ, traffic capture サー群を最小限にしている．また，異常検知や外部攻バ, DNS/DHCP サーバ, SNMP サーバ,

撃の自動遮断を行う侵入防止システム，WEB サイ

MAINS データベースサーバ, RADIUS サーバ) 1 台

トや P2P ファイル交換を遮断するアプリケーショ

ンレベルのフィルタリング機能も導入した．

SIP サーバ, VPN コンセントレータ

端末の認証関連では，従来の端末認証方式である MAC アドレス認証に加え， エッジスイッチによる WEB 認証を新たに導入した．これにより，端末の MAC アドレス登録作業無しに学内認証アカウントである基盤 ID で利用端末をネットワークに接続できる．さらに，WEB 認証時でも研究室の VLAN に接続可能な，利便性の高い環境を構築した．
4. ユビキタス環境の充実
2.4GHz/5GHz 対応，かつ IEEE802.11 a/b/g/nに対応した無線 LAN アクセスポイント(以降，無線 AP)を 400 台以上設置し，学内ほぼ全ての場所で高速にインターネットにアクセス可能な学内ユビキタス環境を実現した．
また学外者の無線 LAN 利用のため，ゲスト用― 199 ―

図 2：新 MAINS のネットワーク構成

大学ICT推進協議会
2011年度年次大会 論文集

3 本学で開発したシステム

3.3 学外公開ホスト参照システム

3.1 MAINS データベース

利用者は，本システムを用いて自身が学外に公 MACアドレス認証では，事前に利用端末の開しているWebサーバ，SSHサーバ等の外部公開

MACアドレスをMAINSデータベース(図3)に登録用サーバの設定状況を参照できる(図5)．開放してする方式を用いている．MAINSデータベースでは，いるポートの一覧も確認可能である．

サブネットとVLANの紐付け情報や，MACアドレスとサブネットの紐付け情報が管理されている．

図5：学外公開ホストの設定状況確認画面

3.4 サブネット管理情報参照システム

図3：MAINSデータベースの端末登録画面

研究室のネットワーク管理者は，本システムを

3.2 WEB 認証時の接続先 VLAN 設定システム

用いて自身の管理サブネットの設定状況(サブネ VLANネットワークにおいてWEB認証を実現

ット基本情報，MACアドレス用IPアドレス範囲，する場合，認証後の接続先VLANを任意に変更でWEB認証用IPアドレス範囲)を確認できる(図6)．

きることは利用者の利便性向上に大きく寄与する．
本学では，利用者毎に接続先VLANを「WEB認証既定VLAN」または「研究室VLAN」のどちらかに変更可能なシステム(図4)を開発した．これにより，「研究室VLAN」が接続先に設定されていれば，WEB認証時でも認証成功後に研究室のプリンタ・共有フォルダなどのリソースが活用できる．
図6：管理サブネットの設定状況確認画面

3.5 ゲスト用無線 LAN アカウント発行システム本システムでは，来学者が尐数の場合に利用する「アカウント個別発行」と，学会開催などで来学者が多数の場合に利用する「アカウント一括発行」の2種類の発行方式を利用できる(図7)．アカ
ウントの有効期間は開始日を含め最大4日まで設
図4：WEB認証時接続先VLANの設定画面定可能である．発行手続きを行うと，認証用のアカウントとパスワードが利用者に提供される．

― 200 ―

大学ICT推進協議会
2011年度年次大会 論文集

数は非常に多いが，認証関連のトラブルは皆無であった．特に，認証処理の大部分は MAC アドレ
ス認証であるが，本学では認証サーバである
RADIUS サーバと MAINS データベースの連携により，認証処理を自動化している．そのため，接続端末が増え認証回数が大幅に増加しても管理者負担がない，スケーラビリティの高い構成となっている．
表 1：MAC 認証回数と WEB 認証回数
年月
MAC認証回数 WEB認証回数
2010年11月
㻝㻜㻤㻞㻞㻥㻟
㻝㻥㻝㻝㻝
2010年12月
㻝㻝㻠㻝㻢㻝㻡㻝㻢㻣㻣㻝
2011年1月
㻝㻝㻟㻢㻢㻞㻤㻝㻣㻠㻟㻠
2011年2月
㻝㻜㻠㻡㻥㻝㻠
㻝㻢㻝㻠㻣
2011年3月
㻝㻜㻤㻠㻣㻡㻞
㻝㻝㻡㻞㻡
2011年4月
㻝㻝㻠㻜㻟㻡㻞
㻞㻝㻡㻝㻥
2011年5月
㻝㻝㻣㻡㻟㻞㻝
㻞㻠㻜㻤㻞
2011年6月
㻝㻝㻣㻠㻝㻡㻥
㻞㻠㻢㻣㻢
2011年7月
㻝㻝㻣㻟㻥㻢㻣
㻞㻠㻥㻟㻥
2011年8月
㻝㻜㻣㻜㻤㻜㻝
㻝㻡㻠㻟㻡
2011年9月
㻝㻜㻡㻣㻜㻣㻣
㻝㻞㻥㻟㻣

図7：ゲスト用無線LANアカウント
発行システム

MAC認証回数

4 ネットワーク運用実績・利用状況

合計㻝㻝㻜㻝㻠㻜㻠
㻝㻝㻡㻤㻟㻤㻢
㻝㻝㻡㻠㻜㻢㻞
㻝㻜㻢㻞㻜㻢㻝
㻝㻜㻥㻢㻞㻣㻣
㻝㻝㻢㻝㻤㻣㻝
㻝㻝㻥㻥㻠㻜㻟
㻝㻝㻥㻤㻤㻟㻡
㻝㻝㻥㻤㻥㻜㻢
㻝㻜㻤㻢㻞㻟㻢
㻝㻜㻣㻜㻜㻝㻠

WEB認証回数

1400000
1000000
800000

MAINS を導入した 2010 年 4 月から 2011 年 10600000

月までのネットワーク全体のダウン回数は 0 回で停止や大幅な速度低下の発生は 0 回であった．ま図 8：月別の認証成功回数

た，外部からの攻撃による計算機への進入や，進入された計算機から外部への踏み台攻撃も皆無となった．

4.3 MAC アドレス認証回数と WEB 認証回数の推移
表 1 に 2010 年 11 月から 2011 年 9 月までのMAC アドレス認証の成功回数と WEB 認証の成功回数を示す．また，図 8 に月別の認証成功回数のグラフを示す．本学では 1 カ月に 100 万回以上の認証処理が行われていることがわかる．認証回

2011年09月

た結果，ウイルス攻撃によるネットワークの全面

2011年08月

統合脅威管理機器(UTM)の各機能が有効に働い

2011年07月

4.2 セキュリティ向上

2011年06月

0

2011年05月

定等のネットワークの保守・管理が容易になった．

2011年04月

2000002010年11月

あった．さらに，L2 ループ/ストーム発生源の特2011年03月

4000002011年02月

トームコントロール機能が有効に働いた結果，新1200000

2011年01月

エッジスイッチによる L2 ループ検知機能やス

2010年12月

4.1 ネットワーク全体のダウン回数の大幅減

4.4 無線 AP の接続状況
 表 2 に 2011 年 9 月 19 日から 2011 年 10 月 16日までの無線 AP の接続状況を示す．当該数値は無線 AP コントローラに記録されているセッション確立ログを基に算出した．休日・祝日と比較すると，平日は 2～3 倍程度の接続があるのがわかる．
また，前半 2 週と比較して，後半 2 週の接続数が増加している．これは後期開始となり，無線 LAN― 201 ―

大学ICT推進協議会
2011年度年次大会 論文集

利用者が増加したためと考えられる．接続数は全されていることがわかった．また，「アカウント一体的に予想より多いものであったが，約 400 台の括発行」は学会シーズンである 8 月～9 月，3 月の無線 AP が有効活用されていることが確認できた．

利用が多く，特に 2010 年 9 月には 2,357 アカウントの発行があったことから，来学者の無線 LAN

表 2：無線 AP の接続状況

利用に本システムが大いに貢献したことがわかる．

期間
月
火水木金土日合計㻜㻥㻛㻝㻥㻙㻠㻡㻣㻝 㻝㻟㻠㻠㻡 㻢㻟㻠㻜 㻝㻝㻝㻞㻥 㻠㻥㻟㻤 㻠㻣㻠㻜 㻠㻞㻡㻢 㻠㻥㻠㻝㻥㻜㻥㻛㻞㻡㻜㻥㻛㻞㻢㻙㻝㻟㻥㻤㻡 㻝㻠㻜㻥㻥 㻝㻠㻢㻞㻠 㻝㻡㻤㻟㻞 㻝㻠㻣㻞㻤 㻢㻟㻟㻥 㻡㻠㻡㻜 㻤㻡㻜㻡㻣㻝㻜㻛㻜㻞㻝㻜㻛㻜㻟㻙㻝㻢㻝㻜㻠 㻞㻞㻝㻡㻠 㻝㻥㻝㻤㻝 㻞㻝㻜㻞㻟 㻝㻣㻡㻜㻢 㻡㻞㻥㻝 㻡㻝㻡㻞 㻝㻜㻢㻠㻝㻝㻝㻜㻛㻜㻥㻝㻜㻛㻝㻜㻙㻡㻤㻡㻞 㻞㻢㻜㻞㻥 㻞㻜㻥㻤㻡 㻞㻤㻟㻥㻝 㻞㻥㻠㻤㻠 㻝㻠㻣㻤㻞 㻝㻠㻠㻥㻞 㻝㻠㻜㻜㻝㻡㻝㻜㻛㻝㻢合計 㻠㻜㻡㻝㻞 㻣㻡㻣㻞㻣 㻢㻝㻝㻟㻜 㻣㻢㻟㻣㻡 㻢㻢㻢㻡㻢 㻟㻝㻝㻡㻞 㻞㻥㻟㻡㻜 㻟㻤㻜㻥㻜㻞

4.5 WEB 認証における研究室 VLAN への接続状況
 表 3 に研究室 VLAN を WEB 認証接続先に設定しているユーザ数を示す．学生数の推移を確認す
ると，4 月から 10 月にかけて，設定ユーザは増加傾向にあることがわかる．この傾向は翌年 3 月まで継続することが予想される．一方年度が変わると設定ユーザが減尐することも確認できた．これは本設定を行っているのが主に研究室配属された4 年次以上の学生であり，学生の卒業により設定

表 4：ゲスト用無線 LAN アカウント
発行システムの利用状況
年月 個別発行回数㻞㻜㻝㻜㻠㻡㻢㻣㻤㻥㻝㻜㻝㻝㻝㻞㻞㻜㻝㻝 㻝㻞㻟㻠㻡㻢㻣㻤㻥㻢㻞㻥㻜㻥㻤㻟㻠㻡㻡㻟㻢㻝㻞㻣㻜㻞㻞

一括発行回数㻞㻜㻝㻟㻞㻡㻜㻜㻞㻞㻜㻟㻝㻜㻜㻝㻝㻝発行アカウント数（一括発行）㻡㻡㻝㻜㻜㻞㻜㻞㻜㻞㻟㻡㻣㻝㻝㻡㻝㻣㻢㻣㻝㻜㻞㻜㻝㻜㻟㻜

ユーザが減尐してしまうためだと考えられる．一方，教員数の推移から本設定の利用教員数は増加傾向にあることがわかる．昨年度と比較して今年度の利用教員数は微増であるが，今後さらに利用教員数を増やすためには，「研究室 VLAN」を接続先に設定するメリットを教員に周知していくことが重要である．

5

おわりに
本稿では，名古屋工業大学における大規模ダイ

ナミック VLAN ネットワークの管理・運用方式に焦点を当て，新 MAINS の構成，開発したシステム，及び，新 MAINS におけるネットワーク運用実績や利用状況の推移について報告した．今後はネットワーク管理の効率化とアクセスログ解析システムの構築・運用を進めてゆきたい．

表 3：研究室 VLAN を WEB 認証接続先に参考文献

設定しているユーザ数
年月2010年4月
2010年10月
2011年4月
2011年10月

学生㻟㻜㻥㻜㻠㻣
㻝㻜㻟

教員㻝㻥㻠㻢
㻠㻢
㻠㻣合計㻠㻥㻝㻟㻢㻥㻟㻝㻡㻜

4.6 ゲスト用無線 LAN アカウント発行システ
ムの利用状況
表 4 に 2010 年 4 月から 2011 年 9 月までのゲス
トアカウント発行状況を示す．
「アカウント個別発行」では発行件数は尐ないものの，ほぼ毎月利用[1] キャンパス情報ネットワーク（MAINS）
http://www.cc.nitech.ac.jp/mains.html[2] “大規模な認証ネットワークシステムの構築”,
西日本電信電話株式会社お客様事例紹介パンフレット, 2010.
[3] “新キャンパス情報ネットワークの利便性と高度なセキュリティの両立に寄与する FortiGate”,
フォーティネットジャパン株式会社, 2010.
http://www.fortinet.co.jp/doc/cases_nitech.pdf[4] “1 万 1000 台の機器を MAC 認証と Web 認証によるダイナミック VLAN で使用”, アラクサラ
ネットワークス株式会社, 2010.
http://www.alaxala.com/jp/introduce/case12/― 202 ―