SENAC Vol. 52, No. （1 2019. 1）［大学 ICT 推進協議会

2018 年度年次大会論文集より］― 45 ―

― 46 ―

SENAC Vol. 52, No. （1 2019. 1）

本稿では，第 2 章で本学の eduroam の構成と運利用することとした．具体的には，IPv4 の/30 の用について，第 3 章で市民へのキャンパス無線アドレスブロックの割り当てを受け，既設 SINET

LAN 開放を目的とした Cityroam への参加とその接続を行っていた回線を VLAN 多重モードに変更

メリットについて述べる．第 4 章は本稿のまとめし，同回線の VLAN を利用する方法で eduroamである．

アクセスネットワークを確保した．

2

本学の eduroam の構成と運用

2.1 本学における eduroam の構成
本学の第１キャンパスには 11 棟の建屋があり，2 台で冗長化された Aruba 7210 コントローラ配
下に 141 台のアクセスポイント（AP）を設置している（図 1）．

次に，AP からの eduroam 利用者からの認証要求を処理する RADIUS サーバについて，eduroamのネットワークを学内ネットワークと分離するため，学生・教員向けの無線 LAN 接続サービスのIEEE802.1X 認証で使用していた RADIUS サー
バとは独立の RADIUS サーバを構築する必要があった．eduroam JP のサイト上に，FreeRADIUS

商用プロバイダ

6,1(7 札幌'&）

ルータ 回線分散1$7装置$UXED 正）$UXED 副）
無線/$1コントローラ

による RADIUS サーバ構築についての説明が充実しており，これを参考に仮想サーバとして新た):に eduroam 向けの RADIUS サーバを構築した．

コア6:

学内には eduroam の RADIUS IdP (ID プロバイ

フロア6:

第キャンパス（～号館，$館～*館，図書館）

アクセスポイント（$UXED$3）ｘ台

図 1 ネットワーク構成図
本学は eduroam に参加する以前から学生・教員向けに独自の SSID による無線 LAN 接続サービスを提供しており，コンピュータ教室の PC へのログインに利用する Active Directory のアカウン
トを用いて IEEE802.1X 認証での持込デバイスの無 線 LAN 接 続 を 可 能 と し て い る ． ま た ，IEEE802.1X 認証が利用できないデバイスの接続のため， PSK(事前共有キー)とキャプティブポー
タル認証/MAC アドレス認証による接続方式も継続して運用している．
2012 年に eduroam に参加した際，既に Aruba製品での IEEE802.1X 認証については問題なく運用できており新たに必要とする機器などの制約はなかったが，図書館で契約している電子ジャーナル等の契約の関係上，eduroam 向けのアクセスネットワークを別途構築する必要があった．このため，国立情報学研究所が試験的に提供している
eduroam アクセスネットワーク収容サービスをダ ) は 構 築 せ ず ， AP か ら の 認 証 要 求 を 全 てeduroam JP の RADIUS サ ー バ に 転 送 す る
RADIUS Proxy として構築している．
本学の構成員が eduroam を利用するためのRADIUS IdP については，東北大学が開発・運用し、eduroam JP に提供している eduroam 代理認証システム [6] を 2012 年に採用し，電子計算機センターにて eduroam 利用希望者に都度アカウントを発行する形式とした．また、学術会議・研究会などにおけるゲストアカウント発行の要望があった場合には，同システム上で必要数のアカウン
トを発行し，責任者に一括で発行するサービスを提供している．
これに加え，2014 年には学術認証フェデレーシ
ョン（学認）[7] に参加し，国立情報学研究所が提供している eduroam 仮名アカウント発行システム（2017 年度より eduroam JP 認証連携 ID サー
ビ ス に 移 行 さ れ て い る ） [8] を 本 学 の Active
Directory アカウントによる Shibboleth 認証にて利用できるよう環境を整備し，学生・教職員が自ら eduroam JP 認証連携 ID サービスにログインすることで電子計算機センターを経由することなく eduroam アカウントを発行できるように運用

学術無線 LAN ローミング基盤 eduroam と次世代ホットスポット基盤 Cityroam のキャンパスへの展開― 47 ―を改善した．学認との接続においては株式会社ネ

チング・アシスタントについては他大学の大学院

ットスプリングのアプライアンス製品である生が多く，既に所属機関で発行した eduroam アカ

Axiole の IdP オプションを採用し，Shibbolethウントを保有しているため，eduroam への接続はIdP を短期間で構築することができた．

日常的に行われている．

また，eduroam 仮名アカウント発行システムにeduroam 接続に用いられているデバイスにつより発行されるアカウントは従来利用機関すべて

いては，2013 年頃までの一部メーカ製 Android 端で共通のレルムとなっていたが，eduroam JP 認

末については IEEE802.1X の利用がしにくい機種

証連携 ID サービスへの移行と共に，加入機関毎があったが，2014 年以降の端末においては支障なに異なったレルムのアカウントが発行されるようく利用することが可能となっており，現在では PC機能が拡張された [9]．これにより，本学のようにおよびスマートフォンについては問題がない．但自前の eduroam の RADIUS IdP を持たず，学内し、スマートスピーカー，スマートウォッチ，プロ向けネットワークと eduroam ネットワークを分

ジェクターへの映像伝送機，プリンターなど離するために SSID を複数運用していた大学におIEEE802.1X 接続に対応していないデバイスもあいても，アカウントのレルムによってネットワーり，これらは現在 eduroam 接続を行うことはできクを割り当てる認証 VLAN の仕組みで両者をない．

eduroam に統合することが可能となった．認証

eduroam を利用したユーザによるセキュリテ

VLAN の導入については今後の検討事項である．

ィインシデント等の発生時には，アクセスポイン

2.2 本学における eduroam の運用
本学キャンパスには eduroam に参加している他大学のキャンパスが隣接しており，単位互換・サークル活動などで来訪する他大学の学生は日常的に eduroam を利用している．一方，本学の学生による eduroam アカウントの発行は非常に少ない状況にある．これは，学生はキャンパス内であれば Active Directory アカウントにより直接無線LAN 接続が行えること，eduroam についての学内での広報が不足していること，他大学を訪れて無線 LAN 接続を行う必要を感じている学生が少ないことなどが理由であろうと推測される．しかし，eduroam により ICT を活用した学習の場はキャンパス内から世界中に広げることが可能であることを周知し，eduroam を利用する学生を増やす
ことは，深い学びの成果を得る学生を増やすことに繋がっていくと考えられるため，学生の利用率を上げていくことが課題である．
教員に関しては，他大学を非常勤講師として訪れたり，学術会議や研究会等に出席したりする際などに eduroam アカウントを取得して活用している．また，一部の講義で採用されているティートを設置している SP 側は利用者を特定するために，アカウント発行に責任のある IdP 側の協力が必要となる．あるいは、本学が責任を持って発行したアカウントについて、SP 側からインシデント発生に際し協力を求められる場合も想定される．
これらについては eduroam JP 実施要領 [10] に定められており，インシデントの対応のため現在は eduroam JP サービス技術基準・運用基準 [11]において少なくとも 6 ヶ月間は規定のログ等を保存するよう定められている．また本学では同技術基準・運用基準に従い，原則として全てのポートについて通信を制限しない運用としているが，これまでのところインシデントは本学では SP（サービスプロバイダ）としても IdP としても発生していない．
eduroam JP に関する技術的な障害事例として，
Aruba 製コントローラでは EAP パケットを終端させる Termination という機能があるが，通常終端させないよう無効になっている．これが意図せず 有 効 に な っ て い る と ， eduroam JP の JP
RADIUS は認証要求を受け付けないため，注意する必要がある． eduroam JP サービス技術基準・

― 48 ―

SENAC Vol. 52, No. （1 2019. 1）

運用基準 [11] においても EAP メッセージは改変

学術関係者と同等の安全な無線 LAN 接続サービせずに転送しなければならない，と規定されていスを市民に提供することは，学生・教職員と市民る．

活動の連携を効果的に行い，双方によりよい成果

3 Cityroam への参加とそのメリットをもたらす上で不可欠のものとなると考えている．

3.1 キャンパス無線 LAN の市民への開放
eduroam へ の 参 加 と 環 境 整 備 に よ り ，eduroam アカウントを所属機関で発行して本学を訪れる他大学の学生・教職員などは本学にてキャンパス無線 LAN への接続が可能となった．また，学術会議や研究会などで一時的に本学施設を利用する eduroam アカウントを保有していない利用者に対しても，一時的な eduroam アカウントをゲストアカウントとして発行することで，キャンパス無線 LAN のサービス提供が可能となった．
しかしながら，本学で開講している市民講座の受講者や、図書館を利用する市民に対してはキャンパス無線 LAN のサービス提供が実現できていな
い．例えば本学の図書館は，試験期間中を除き学外者に図書の貸出を含めて開放されているが，図書館を利用する学外者がインターネット接続サービスを希望する場合には，事前にキャンパス無線LAN への接続を機器に対して設定した PC を図書館カウンターで都度貸し出す対応を取っている．
このような状況の中，本学は江別市文京台の第1・第 2 キャンパスに加え，2021 年に 5km ほど離このようなニーズは，本学のみならず全国の大学においても多くなっていくことが想定されるが，キャンパス内での市民への無線 LAN サービス提供については，現在一部の大学が行っているに留まっている．
3.2 他大学におけるキャンパス内での市民への無線 LAN 接続サービスの提供
市街地等の公衆無線 LAN の中には，SSID を暗号化せず認証なしに接続を可能とし，メールアドレスの入力等と利用規約への同意のみでサービス提供しているケースが多数見受けられる．しかし，本人確認がなされておらずインシデント発生時の追跡が困難なことや，通信経路が暗号化されておらず容易に盗聴可能であるなどの問題があり，このような形式での大学内への公衆無線 LAN 設置は好ましくない．
より安全にキャンパス内で無線 LAN 接続サービスを市民へ提供する手法として，広島大学，京都大学，鹿児島大学といった一部の大学ではキャンパス無線 LAN にキャリア Wi-Fi（NTT ドコモ，KDDI，ソフトバンク）を相乗りさせてサービス提れた札幌市厚別区の新札幌駅近くへ分校舎を建設供する試み [12] が行われている．これは，キャンすることとなった．この分校舎建設と運用にあた

パス無線 LAN の AP 側で各キャリア Wi-Fi の SSIDっては，多目的ホールや図書館などの地域住民の利用が想定されており，生涯学習機能や多世代交流機能といった地域ニーズに十分応えていく必要を送出するよう設定した上で，キャリア毎にVLAN を分け，専用の回線で各キャリアのネットワークに収容する方式である．この場合，キャンがある．加えて，新札幌拠点においては学校機能パス内の AP は全て無線 LAN コントローラで一元と商業・先端医療機能を相互に連携させ，より効的に管理されるため，キャリア Wi-Fi 毎に独立し果的な人材育成や産学連携を展開していくことがた AP をキャンパス内に設置する方式に比べ無線掲げられている [2]．また，国の第 3 期教育振興計
画（2018 年度から 2022 年度）においても，社会の持続的発展に向けた地域課題解決のための学びの推進として，地域の学校や大学等と学習活動の拠点となる社会教育施設との連携について触れられているとおり [3]．本学の学生・教職員ならびにLAN の電波干渉の問題は発生しづらい．しかし，キャリア毎に複数の SSID を送出すると，SSID の数とエリア内のクライアント数に応じてビーコンやプローブといった制御用の通信の占有時間が増加するため，SSID の数が多すぎると通信品質の低下を招く場合があり, 注意が必要である．

学術無線 LAN ローミング基盤 eduroam と次世代ホットスポット基盤 Cityroam のキャンパスへの展開― 49 ―

またキャリア Wi-Fi は，基本的にはキャリアのより発行されたアカウントを持つ利用者は，自動電話回線契約のオプション機能として提供されて的に訪問先の SP が提供する公衆無線 LAN サーいるため，日本のキャリアと契約を結んでいない

ビスに SSID を意識せず接続することが可能とな訪日外国人などはサービスを利用できない．加えった．て日本国内では，キャリアの回線を借り受けて事NGH 導入を推進する目的で，海外では 2016 年

業を行う仮想移動体通信事業者（MVNO）の参入に，世界各地の都市で提供されている公衆無線が進み，キャリア Wi-Fi を利用できない MVNO 回LAN を NGH 基盤で接続することにより，ひとつ線の利用者も増加している状況にある．国内の IEEE802.1X アカウントで相互利用できる環境

MVNO 市場規模の推移として，2014 年 3 月末ではを実際に構築しようとする世界規模の実証実験，173 万回線であったものが，2018 年 3 月末ではCity Wi-Fi Roaming が WBA の主催で行われた．

1082.8 万回線に達し，急速に普及していることが利用者は NGH 基盤にローミング接続されているわかる [13] ．この傾向は今後も進むと見られ，大キャリアの SIM カードや IdP 事業者が発行する学を訪れる市民にキャリア Wi-Fi のみで対応する

IEEE802.1X アカウントを認証に用いることで，ことは難しくなってきている．

初めて訪れる都市の公衆無線 LAN を安全に利用

3.3 次世代ホットスポット（NGH）の登場と世界の公衆無線 LAN の動向
より安全で利便性の高い公衆無線 LAN 接続サすることを可能とする試みであった．
3.4 セキュア公衆無線 LAN ローミング研究会の発足と Cityroamービスの提供については世界共通の課題となって日本国内でも安全で利便性の高い公衆無線いるが，この実現に向け「次世代ホットスポット

LAN を提供する仕組みの構築を目指す有志が集（NGH, Next Generation Hotspot）」という規格

まり，2017 年に「セキュア公衆無線 LAN ローミが策定された [14]．NGH は，Wireless Broadband

ング研究会（NGHSIG）」[4] を発足するに至った．

Alliance（WBA）と Wi-Fi Alliance が共同で推進

同研究会において，RADIUS を中心とする認証している規格で，認証部分については従来の基盤，SP がサービス提供に使用する機器や利用者

IEEE802.1X 認証を使用しているのに加え，端末が接続に利用する端末の各種 OS の Passpoint 対が自動的に自組織とローミング接続している AP

応状況などについての情報収集と開発を進めるとを探索し接続する Passpoint（Hotspot 2.0）を中共に，NGH テストベッド基盤を構築し運用を開始

心とする規格である．既に米国では AT&T のキャした．また IdP としても NGHSIG クラウド IdP

リア Wi-Fi や Boingo などの無線 LAN サービス事の運用を開始して NGH テストベッドに接続し，業者において Passpoint が採用され [15]，サービ

複数の通信事業者及び開発者の AP を SP としてス提供が行われている．

接続し，日本国内で NGH が利用できる環境を整

NGH の登場以前は，仮に複数の IdP がローミえた．

ング接続されていても，AP が送出する SSID が異並行して NGHSIG では WBA との交渉を進め，なっている場合は，利用者は事前に訪問先の SSID

2017 年の 6 月から 8 月にかけて開催された第 2を知っていないと接続を行うことが難しいという回目の City Wi-Fi Roaming には東北大学が大学問題があった．このため，eduroam では加入期間としては世界で初めて [16]，また国内の複数の都は共通で SSID を eduroam として設定すること

市 に お い て 通 信 事 業 者 が SP と し て そ れ ぞ れが求められている．NGH の登場以降，複数の IdPNGHSIG を通して接続し [17]，実際のサービスをローミング接続し，かつ SP がそれぞれ異なる提供を行った（図 2）．本学は，2017 年の City Wi-

SSID を送出している状況でも，いずれかの IdP に

Fi Roaming については利用者が接続に使用する

― 50 ―

SENAC Vol. 52, No. （1 2019. 1）

端末のサポート対応や，利用者へのアカウント配布についてサービス運用できるレベルに至っていないと判断し，参加を行わなかった．

図 3 HS2.0 device checker
情報収集は現在も継続しているが，国内外で販売されている Android 端末について，Passpoint
図 2 City Wi-Fi Roaming 2017 参加都市一覧
参加を見送った理由の 1 つに，利用者が接続に利用する端末のうちの Android 端末の Passpoint

対応状況のキャリア，メーカ毎の対応状況を概ね把握することができ，本学の実証実験参加およびサービス提供に向け懸念の多くを解消することができた．

実装状況が明確になっておらず，利用者から本学

現在，NGHSIG は実証実験を通じて得られたノスタッフへの問い合わせなどについての対応体制

ウハウを基に，国内でセキュア公衆無線 LAN サに懸念があったことがあげられる．Android はービスの展開を本格化させており（図 4），2018 年2017 年 8 月にリリースされたバージョン 8.0 の互
換 性 定 義 （ CDD, Compatibility DefinitionDocument）[18] において，それまで端末メーカ

6 月より国内の認証連携基盤及びサービスのブランド名として，CityroamTM の名称で呼んでいる．に委ねられていた Passpoint 実装について，接続をサポートするべきであること，サポートしない場合の端末内部処理を標準化するよう規定された．
これにより，Android 8.0 以上が動作する端末についての Passpoint 接続の対応状況を調査することが容易となった．筆者は CDD に沿って Android
8.0 以上の端末で動作する Passpoint 対応状況判定用のアプリケーションを開発し，Google Play ス
ト ア を 通 じ て 一 般 に 公 開 [19] す る と 共 に ，Android 8.0 以上の端末を所有している一般の方や端末メーカに SNS 等を通じて同アプリケーションのスクリーンショット（図 3）の提供を依頼するなどの手法で調査を行った，

図 4 Cityroam 基地局マップ（2018 年 8 月現在）
2017 年の第 2 回目の City Wi-Fi Roaming においては，実際に利用した利用者は主に NGH に関心のある開発者や事業者の関係者が主体であった．
札幌学院大学では，より広い Cityroam の普及に向け，サービス形態の１つとして，大学が一般市民へのサービス提供基盤として Cityroam を利用する際の運用上の課題を洗い出すため，2018 年 10月より行われる第 3 回の City Wi-Fi Roaming に

学術無線 LAN ローミング基盤 eduroam と次世代ホットスポット基盤 Cityroam のキャンパスへの展開― 51 ―

おいて，学内全てのアクセスポイントの Cityroam

トを用いて Passpoint 認証にてキャンパス無線への接続を計画している．これにより，ローミン

LAN のみならず市街地の Cityroam に接続されたグに参加しているいずれかの IdP 事業者のアカウ

公衆無線 LAN を安全に利用可能となるように準ントを保有している利用者に無線 LAN 接続サー備を進めている．

ビスを提供すると共に，NGHSIG クラウド IdPを用いて本学の電子計算機センターにおいて希望4 まとめする市民に本人確認のもと対面でアカウントの発

本稿では，札幌学院大学におけるこれまでの行を行う予定である．

eduroam の構築と運用について，また今後キャン

3.3 キャンパス無線 LAN を Cityroam に接続するメリット
キャンパス無線 LAN に単にキャリア Wi-Fi を相乗りさせる方式に比べ，NGH によるローミングの方式では，ローミング参加する事業者が増えても SSID を増やす必要がなく，通信品質の低下が発生しづらい．
また，Cityroam の SP は，通信事業者およびeduroam を提供する教育研究機関などに限定されており，各 SP は盗聴や改ざんなどを行わないように義務付けられる．1X 認証では，端末が事前に正しく設定されている限り，偽の AP に対する認証は失敗するため， Cityroam を利用した市民が攻撃者による不正なネットワークに誘導され通信内容が盗聴されることはない．
利用者は，Passpoint に対応している端末であれば SSID を意識することなく自動的に接続が可能である．これにより，大学キャンパス周辺の公共施設や市街地の公衆無線 LAN が Cityroam に接続されると，利用者はシームレスに移動先で公衆無線 LAN を安全に利用可能となる．利用者が利用する端末が Passpoint に対応していない場合
でも，認証部分は従来の IEEE802.1X 認証である
ため，ユーザに SSID を通知し手動で認証情報を端末に設定してもらうことで利用が可能である．
また，eduroam JP は現在 Cityroam にローミング接続されているが，eduroam を Passpoint に対応させる仕組みの開発が完了していないため，
現 時 点 で は eduroam ア カ ウ ン ト を 用 い てCityroam に Passpoint 接続することはできない．
将来的には学生・教職員が持つ eduroam アカウン

パス無線 LAN を市民に開放するための Cityroamの展開状況と実証実験への接続計画およびそのメリットについて述べた．キャンパス無線 LAN を市民に安全に開放する手法を提案し，ひいてはCityroam の 中 核 技 術 の NGH 基 盤 お よ び
Passpoint によるサービス提供についての技術と運用方法を広く国内外に提案・技術協力していく
ことで，世界の公衆無線 LAN の次世代化に貢献すると共に，eduroam と Cityroam の連携によって学生が安全に利用できる公衆無線 LAN 環境を普及させ，先進的な教育研究環境の拡充を目指している．

参考文献[1] eduroam JP: https://www.eduroam.jp/(2018 年 8 月 28 日参照)
[2] “新さっぽろ駅周辺地区 G・I 街区公募提案審査報告書,” 新さっぽろ駅周辺地区Ｇ・Ｉ街区公募提案審査委員会, p.6.
http://www.city.sapporo.jp/toshi/kukaku/kyoten/shinsapporo/kouboteiann.html[3] “第 3 期教育振興基本計画, ” 文部科学省, p.7.
http://www.mext.go.jp/a_menu/keikaku/detail/1406127.htm[4] セキュア公衆無線 LAN ローミング研究会（NGHSIG）: https://nghsig.jp/（2018 年 8 月 28 日参照）
[5] 後藤英昭， “安全で利便性の高い公衆無線
LAN を提供する次世代ホットスポット基盤
Cityroam,” 東北大学サイバーサイエンスセン
ター大規模科学計算システム広報 SENAC，Vol.51,No.3, pp.16-19, 2018.
http://www.ss.cc.tohoku.ac.jp/refer/senac.html#2018_7[6] eduroam 代理認証システム:
https://www.eduroam.jp/deas/（2018 年 8 月 28 日参照）
[7] 学術認証フェデレーション:
https://www.gakunin.jp/

― 52 ―

（2018 年 8 月 28 日参照）
[8] eduroam JP 認証連携 ID サービス:
https://federated-id.eduroam.jp/（2018 年 8 月 28 日参照）
[9] 中村素典, “eduroam JP 認証連携 ID サービス新機能,” NII 学術情報基盤オープンフォーラ
ム 2018.
[10] eduroam JP 実施要領:
https://www.eduroam.jp/rules/（2018 年 8 月 28 日参照）
[11] eduroam JP サービス技術基準・運用基準:
https://www.eduroam.jp/rules/（2018 年 8 月 28 日参照）
[12] 大東俊博, “広島大学におけるキャンパス無線
LAN システム～キャリア Wi-Fi との共同利用と可搬型アクセスポイントの導入～,” 情報処理学会研究報告, Vol.2014-IOT-26, No.7.
[13] “国内 MVNO 市場規模の推移（2018 年 3 月末）, ” 株式会社 MM 総研:
https://www.m2ri.jp/news/detail.html?id=310（2018 年 8 月 28 日参照）
[14] 後藤英昭, “次世代ホットスポット (NGH)の世界動向と NGH 対応 eduroam システムの開発,” 信学技報 IA2017–61/IN2017–60,pp.49–54, 2017.
[15] Boingo Passpoint Secure Hotspot Access:https://passpoint.boingo.com/（2018 年 8 月 28 日参照）
[16] “City Wi-Fi Roaming 大学としては世界初参加-世 界 中 でつな がる 次世代 ホッ トス ポット（NGH）と eduroam の連携を推進-” 東北大学
プレスリリース, 2017 年 6 月 27 日.
https://www.tohoku.ac.jp/japanese/2017/06/press
20170627-01.html（2018 年 8 月 28 日参照）
[17] City Wi-Fi Roaming 2017, NGHSIG:
https://nghsig.jp/cwr2017.html（2018 年 8 月 28 日参照）
[18] Android 8.0 Compatibility Definition, 7.4.2.4. WiFi Passpoint:
https://source.android.com/compatibility/8.0/android-8.0-cdd（2018 年 8 月 28 日参照）
[19] HS2.0 device checker:
https://play.google.com/store/apps/details?id=tech.pirosap.hs20devicechecker（2018 年 8 月 28 日参照）

SENAC Vol. 52, No. （1 2019. 1）