Case Study

国立大学で端末追跡が可能なプライベートネットワークの導入を実現
高度なCGN機能により脅威拡散の防止に貢献するA10 Thunder CGN
顧客名：“ A10 Thunder CGN を活用したことで、全学内の端末を追跡可能なプライベートネット

群馬大学ワークの導入に成功しました。また、研究室間の通信を禁止することで横展開の防止に貢献しています。“業種：

群馬大学 総合情報メディアセンター

大学

A10 のソリューション：

A10 Thunder CGN による NAT 処理

課題：• 全学内のネットワーク刷新において、マルウェアの横展開を防止する環境づくりが急務に

浜元 信州氏“ 国立大学は基本的にグローバルアドレスを使用しており、プライベートアドレスを使うことに二の足を踏んでいるケースも多い。我々が整備した高度な NAT による環境づくりが、他大学にとってもベストプラクティスになるはずです。“
群馬大学 総合情報メディアセンター

小川 康一氏“ インシデントが発生しても、数分レベルですぐに分かるようになっているため、追跡作業の負担も軽減しています。“
群馬大学 総合情報メディアセンター

小田切 貴志氏• 横展開を防ぐためのサブネットの細分化、IP アドレス枯渇への対策が必要• インシデント発生時に原因追跡できるような環境整備

導入効果：• 全学内の端末を追跡可能なプライベートネットワークの導入に成功• 研究室間の通信を禁止することで横展開の防止を可能に• 研究室などの単位でそれぞれ代表者を可視化し、マイクロセグメンテーションを実現

群馬大学は、距離の離れた複数キャンパスの情報基盤を一括管理するために、データセン

ターを中核としたネットワーク環境を整備しています。そして、内部に侵入したマルウェアによる横展開の影響を最小限に抑えるため、サブネットを小さく区切ることで強固なセキュリティ環境を構築しています。IP アドレスの枯渇に対処しながら、インシデントが発生した端末を特定するための高度な NAT を実現するCGN 機能を活用するべく、A10 ネットワー

クス（以下、A10）が提供する「A10 Thunder® CGN」が採用されています。

課題：サブネットの細分化で横展開を防止する環境整備が必要に

群馬大学

総合情報メディアセンター

浜元 信州氏群馬大学

総合情報メディアセンター

小川 康一氏

共同教育学部をはじめ、理工学部や、医学部、情報学部の 4 つの学部を設置している群馬大学は、荒牧、昭和、桐生、太田それぞれにキャンパスを有しています。ICTリテラシーを全ての学生に提供しながら、全ての領域の学生・研究者の研究活動をデータサイエンスによって支援しています。

そのために群馬大学では、分散したキャンパスの情報基盤を一括管理すべく、高速・安定・安全を基本に、データセンターを中心とした群馬大学学術情報ネットワーク「GUNet2022」を展開しています。
基幹ネットワークに 10Gbps を導入して高速化を図り、地区間回線を二重にすることで安定性を実現しています。また、認証強化による不正利用や横展開防止、インシデント追跡が可能な環境を整備することで安全を確保しています。
「以前はキャンパスごとに情報基盤が個別に管理されていましたが、各地区に設置されていた L3スイッチをデータセンターに集約しました。GUNet2022 は、コスト削減を群馬大学

総合情報メディアセンター

小田切 貴志氏図りながら各地区にまたがった組織の利便性を向上させるように設計されています」と群馬大学総合情報メディアセンターの浜元 信州氏は説明します。

GUNet2022 の整備に向けて検討されたのが、安全面に関連した研究室・部署サブネットの導入でした。

「ゲートウェイ部分での入口対策はもちろんですが、侵入されることを前提としたセキュリティ対策は、どんな組織や団体でも進めていかなければいけない時代です。我々も内部侵入の拡大を防ぐため、横展開が防止できるようなネットワークづくりが必要でした。また、インシデントが発生した場合は必ず追跡できるような仕組みづくりも必須でした」と浜元氏は当時を振り返ります。

安全な環境づくりに向けて取り組んだのは、内部侵入後の探索範囲を最小限にとどめるサブネットの細分化でした。
「以前の GUNet2016 は、適切な単位にサブネットが設計されておらず、研究室や部署ごとに閉じたネットワークが整備できていませんでした。新たなネットワークでは、研究室ごとにサブネットを細分化し、横展開を防ぐ環境を整備しようと考えました。いわゆるマイクロセグメンテーションの実現を目指したのです」と浜元氏は語ります。

群馬大学 | CASE STUDY

研究室ごとにサブネットを細分化し、脅威の横展開を防ぐ環境を整備

研究室

研究室

個人情報研究室

研究室

研究室

研究室

検証：高度な NAT が可能な CGN（Carrier Grade NAT）機能を持ったソリューションとして A10 Thunder CGN に注目

サブネットを細分化するためには十分なアドレスが必要であり、もともと大学が保有しているクラスB のグローバルアドレスだけでは不足が懸念されました。
「不足するIP アドレスを補うためには、NAT によるプライベートアドレスでの運用が必要だと考えましたが、一般的なブロードバンドルーターでは、サブネットを1 つの IP に NATしてしまうため、インシデント発生時の詳細な追跡が難しくなります。もっと賢くNAT できる仕組みが必要になりました」と浜元氏は言います。実は群馬大学に限らず、多くの大学がグローバルアドレスからプライベートアドレスへの切り替えを実施したいと考えているものの、最適な NATソリューションが確立していないことでインシデントの追跡が難しく、プライベートアドレスへの切り替えが進んでいないのが実態です。

当初、次世代ファイアウォールが持つ NAT 機能も検討しましたが、コスト面のほか、深いレベルのチューニングが難しく、要件を十分満たすことができない状況でした。そんな折に紹介されたのが、通信事業者で使われる大規模かつ高度な NAT を実現するCGN 機能を持った A10 Thunder CGN でした。

「 動的に NAT を行いつつ、固定できるものはできるだけ活かせる柔軟なNAT を実現する製品が必要だったので、キャリアグレードの NAT 機能を持つ
A10 Thunder CGN は魅力的でした」と浜元氏は振り返ります。

具体的なアルゴリズムについては、順番にプライベートアドレスを割り当てるラウンドロビンを検討していましたが、最終的には Least-users-strict と呼ばれるアルゴリズムが群馬大学には最適だと判断しました。
「全ての端末を1 つの IP アドレスにするのではなく、NAT セッションにより外部 IP アドレスに対応する内部 IP アドレス数を最小にするよう、プールアドレスから外部 IP アドレスを選択する方式です。極力 1 対 1 の関係を維持するようなアルゴリズムが選択できたのは、豊富な NAT に対応しているA10 Thunder CGN ならではのメリットでした」と浜元氏は強調します。

NAT 専用機として通信事業者などにも採用されている豊富な実績も評価しながら、最終的に全学内ネットワークであるGUNet2022 の一部として検証を行い、その中でコストパーマンスに優れた A10 のソリューションが選ばれました。
SINET6SINET6

UTM

データセンタL3

L3Thunder CGN

導入効果：A10 Thunder CGN によって端末の追跡可能なプライベートネットワークの導入に成功

群馬大学では、学生約 6500 名および教職員約 2500 名が在籍しており、幼稚園や小学校がある若宮地区や中学校がある上沖地区を含め、6 地区内とデータセンターを結ぶキャンパスネットワークを構成しています。GUNet2022 は、バックボーン部分をグローバルアドレスで、研究室や部署サブネットをプライベートアドレスでそれぞれ構成しており、プライベートアドレスとグローバルアドレスの変換処理に A10 Thunder CGN を使用しています。現在、データセンター側では A10 Thunder CGN が冗長構成で設置されており、有線・無線あわせて 1 万 5000 台ほどの端末が紐づいています。また、NAT セッション数についてはピーク時で 700 万ほどに達します。

今回の刷新によって、全学内の端末を追跡可能なプライベートネットワークの導入に成功するとともに、研究室間の通信を禁止することで横展開の防止を実現しました。結果として、研究室などの単位でそれぞれ代表者を明確化する可視化が進み、マイクロセグメンテーションとしての環境が整備できたと高く評価しています。
「これまでは、インシデントが発生すると研究室の主要メンバーを探し当てるのに苦労しており、やむなく複数名に問合せをするなど手間がかかっていました。しかし、今では直接代表者にコンタクトが取れるようになりました」と同センター 小川 康一氏は評価します。まさに、追跡のしやすさといった運用面での負担軽減につながっています。
「以前は、外からインシデントの指摘があった際はなかなか追跡しきれない状況でしたが、今では数分ですぐに気づけるようになり、追跡作業の負担も軽減しています」と同センター 小田切 貴志氏も評価します。

A10 Thunder CGN については、日常的にはコマンドラインで運用しており、その使いやすさも高く評価します。
「ネットワークに慣れているエンジニアであればコマンドラインの方が使いやすいですが、GUI でも十分利用できることから、幅広いメンバーで運用が可能となっています」と小田切氏は語ります。
また、サーバー機器での NAT 実装に比べて、十分な信頼性がある点も評価しているポイントの 1 つに挙げています。

NAT 調整などの環境設定から導入に至るまでのさまざまな場面では、パートナー企業によるサポートに加えて、その裏側でA10 による積極的な支援もあり、それらのお陰で群馬大学が求める要件にマッチした環境を作り上げることができたと小川氏は評価します。
「特に NAT については、普段使わないアルゴリズムだったこともあり、セッションがうまく維持できないなど設定面で苦慮しました。それでも、メーカーの A10 に手厚く支援いただいたことで、うまく環境が整備できました」。

今後の展開：ロードバランサへの広がりやセキュリティ強化への提案に期待

今後については、現状の CGN 機能としての A10 Thunder CGN を引き続き活用しながら、ロードバランサとしての A10ソリューションに期待していると語ります。
「現在、学術情報基盤システム側ではロードバランサを運用していますが、今回の CGN 装置としての成功をきっかけに、ロードバランサの領域を広げていく際の選択肢の 1 つとしてA10 のソリューションに期待しています」と回線サービス 10Gbps

ダークファイバ 10Gbps

SINET6SINET6

ダークファイバ 1Gbps

ソリューション：高度なCGN 機能によってIPアドレスの枯渇対策にUTM貢献するA10Thunder CGN
IPv4 アドレスの有効活用とIPv6 移行に役立つ A10 ThunderThunderCGN
CGN は、大規L3L3
模ネットワークにも対応できるCGNソリューションとして、通信事業者はもちデータセンタ

ろん企業にも多く採用されています。IPv4 アドレスあたりの収容効率を上げることでアドレス枯渇に対応し、既存設備を延命しながら高い可用性を保つことで、サービス稼働率の向上に寄与します。また、仮想アプライアンスやベアメタル、コンテナなど幅広い環境で活用可能であり、専用のハードウェア

では、コンパクトな筐体で大容量のパフォーマンスを提供できるため、設備・回線サービス 10Gbps

ダークファイバ 10Gbps

運用コストの削減に貢献します。

Learn More
About A10 Networks
お問い合わせA10networks.co.jp/contact

ダークファイバ 1Gbps

A10ネットワークス株式会社
www.a10networks.co.jp

小川氏は期待を示します。

また、セキュリティ観点では、学内公開サーバーに関連した部分はセキュリティの強化を進めており、今回のマイクロセグメンテーションを土台として、さらなるソリューションの活用も検討しています。A10 からの新たな提案についても期待していると最後に語っていただきました。
A10 Networks / A10 ネットワークス株式会社について

A10 Networks（ NYSE: ATEN）は、サービス事業者やクラウド事業者および企業で利用される5G ネットワークやマルチクラウドアプリケーションのセキュリティを確保します。高度な分析や機械学習、インテリジェントな自動化機能により、ミッションクリティカルなアプリケーションを保護し、信頼性と可用性を担保します。A10 Networks は 2004 年に設立されました。米国カリフォルニア州サンノゼに本拠地を置き、世界 117 か国のお客様にサービスを提供しています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションをご提供することを使命としています。
www.a10networks.co.jp/ Facebook：https://www.facebook.com/A10networksjapan

記載された内容は 2023 年 6 月時点の情報です。

©2023 A10 Networks, Inc. All rights reserved. A10 ロゴ、A10 Networksは米国およびその他各国におけるA10 Networks, Inc. の商標または登録商標です。
その他上記の全ての商品およびサービスの名称はそれら各社の商標です。A10 Networks は本書の誤りに関して責任を負いません。A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。
製品の仕様や機能は、変更する場合がございますので、ご注意ください。商標について詳しくはホームページをご覧ください。 www.a10networks.com/a10-trademarks
Part Number: A10-CS-Gunma uviv-01 JUN 2023