小規模校における全館 Wi-Fi 化と学内 LAN のセキュリティ対策
田中健吾 1)2)

1) 香蘭女子短期大学 情報センター
2) 香蘭女子短期大学 ライフプランニング総合学科
tanaka@koran.ac.jp

Implementation of Whole Building Wi-Fiand Security Measures for Campus LAN in Small College
Kengo Tanaka 1)2)
1) Information Technology Center, Koran Women’s Junior College2) Department of Comprehensive Studies for Life Planning, Koran Women’s Junior College
概要
2021 年度に香蘭女子短期大学では一部のエリアにしか導入されていなかった Wi-Fi 環境を，全館へと拡張する工事を行った．それに伴い，Wi-Fi 環境も教育・研究・業務の基盤として利用されるようになり，それらの用途に耐えられるネットワーク構成，セキュリティ対策，安定稼働性，効率的なネットワーク管理などを担保できるように設計・施工を行ったので，本稿ではその内容について報告する．Wi-Fi 環境を含めた学内 LAN 管理の低コストかつ高効率な運用方法の事例として，本学と同規模程度の小規模校に参考になる事例であると考えている．

1が，各フロアのスイッチと教室のアクセスポイ

はじめにント（以下，AP）や LAN ポートまでの間は，GIGA（Global and Innovation Gateway for All）

理論値 1Gbps 程度の通信速度を，他方，各フロスクール構想は，2019 年 12 月に閣議決定を経アのスイッチもしくは各校舎の主幹スイッチかて文部科学省により発信された小学校，中学校，ら上位の主幹スイッチまで，くわえて WAN 側高等学校を対象とした ICT 環境の実現構想であのインターネット接続部分までは理論値でる．Society5.0 時代到来へ対応するために，高速10Gbps 程度の通信速度を想定していると概ね大容量の通信環境を校内 LAN として整備し，児理解される．

童生徒に 1 人 1 台の端末環境を配備することで，2020 年にパンデミックを起こした新型コロ

児童生徒に個別最適化され，創造性を育む教育

ナウィルスの影響で，日本全国の教育現場は遠ICT 環境の実現を目指したものである，と述べ隔授業への対応を迫られることになり，GIGAられている[1]．

スクール構想の計画も福岡県については前倒し

GIGA スクール構想を IT インフラの観点からで進行することになった．本学でも 2020 年度は簡潔にまとめると，校内に高速無線 LAN を導入

通常の対面授業の他に，遠隔授業ならびに対し，クラウド活用や大容量の動画視聴やオンラ面・遠隔の両方を行うハイブリッド型授業の実

インテストを快適に行える校内 LAN の整備を施を行った．また，パソコン室の授業も本学する，と説明される．その際，工事に用いる UTP

Firewall への VPN 接続とリモートデスクトップ

ケーブルは CAT6A 以上，ハブやスイッチ，ルー接続を組み合わせることで，一部遠隔授業を実ターなどは 1Gbps の普及モデルを使用する，と施した[3]．

いうガイドラインが提示されている[2]．この仕様の記述は解釈の差異を残す表現となっている

387

上記の様にして 2020 年度の授業を終えた結果，様々な問題が明確になってきた．その一つ設計・施工を行った．2.1 ではそのネットワークとして，1 日の時間割に対面授業と遠隔授業の構成について，2.2 では AP の無線部分の構成に両方が混在する場合，遠隔授業を学内で受講しついて，いずれもその概略を簡潔に説明する．

ようとすると，校舎内に AP がある場所が限定

2.1 ネットワーク機器構成されており，その周辺に密を招くという問題が

図 1 に今回の全館 Wi-Fi 化工事に関するネッ
トワーク構成の概略を示す．本学のファイアウあるということが認識された．
学内での密対策や教育・研究・業務の情報化

ォールの配下には L3 スイッチが配備されて，その推進，GIGA スクール構想を基盤とした教育

こから下位にある各校舎と各パソコン室の主幹からの連続性への対応などのために，本学ではL2 スイッチへ光ファイバーケーブルで接続さ2021 年度に全館 Wi-Fi 化を行った．それ以前は，れている．
各棟の主幹 L2 スイッチから配下の各学内の一部のエリアにしか Wi-Fi 環境を備えてフロアの L2 スイッチに，さらには各教室等に設おらず，その用途は主として学生のインターネ置されている AP までは，いずれも階層的にスット利用であった．
この度の全館 Wi-Fi 化では，ター型のネットワークで，UTP ケーブルで接続用途を学生・教職員の教育・研究ならびに業務されている．の基盤へと拡張したことで，それらに耐えられる

AP には IEEE 802.11ac（Wave2）に対応し，ネットワーク構成，セキュリティ対策，安定稼働

2.4GHz 帯では最大で 400Mbps，5GHz 帯では性，効率的なネットワーク管理などを担保できる867Mbps の通信速度のものを採用した．また，ように設計・施工を行った．本稿ではこれらの内PoE+（IEEE 802.3at）に対応した L2 スイッチを容について報告を行う．

採用し，その配下に設置された AP には UTP ケーブルで給電することにした．そのために，

2 ネットワーク構成

PoE+に非対応の L2 スイッチしかないフロアでこの度の全館 Wi-Fi 化は，有線ネットワークは，PoE+に対応した L2 スイッチでリプレースを主とした既存の学内 LAN を拡張する形式でもしくは追加するか，給電ポート数分の PoE+インジェクターを用いた．即ち，図 1 において，同一フロア内の L2 スイッチから AP までは，PoE+で給電しており，オレンジ色の線は UTP

ファイアウォールケーブルで給電していることを意味している．
2.2 VLAN と無線部分の構成
L3 スイッチ

学内のネットワークは「学生用 VLAN」「PC各校舎室用 VLAN」「職員用 VLAN」「教員用 VLAN」他で構成されている．今回導入した AP には VAP（Virtual Access Point）の機能を備えており，1

主幹 L2 スイッチ

同一フロア
教室

台の AP に複数の VLAN を収容可能である．
「学生用 VALN」は主に学生のインターネット接続のための用途であり，同 VLAN に対応す

L2 スイッチ

る VAP を AP に設定し，SSID を公開設定して発アクセスポイント信している．また，「PC 室用 VLAN」はパソコン室用であり，対応する SSID を隠蔽設定して
図 1いる．授業時に学生端末をパソコン室用のネットワーク構成の概略図

VLAN に接続するための用途を想定している．

388

「教員用 VLAN」「職員用 VLAN」に接続するために指定する SSID は，認証時にユーザ・端末に応じた VLAN 情報が AP へ提供され，所属VLAN が決定される．したがって，「教員用リース速度が高速な専用の DHCP 機器の導入も行った．

3 セキュリティ対策

VLAN」「職員用 VLAN」に対応する SSID は統

この節では，この度の全館 Wi-Fi 化に伴い，一した SSID で運用することにした．
表 1 では，高いセキュリティ強度を要する VLAN へのアク

学内 LAN でユーザが主に使用する VLAN とそ

セス許可は IEEE802.1X 認証を構成することにれに対応する VAP・SSID の設定の概略についてしたので，その内容について述べたい．3.1 ではまとめた．

認証システムの構成について，3.2 では主な

表 １ 各 VLAN と対応する VAP・SSID の設定

VLAN へのユーザ・端末ごとのアクセス制御に

VLAN
学生
PC 室

教員
職員

VAP・SSID
2.4GHz 帯 SSID
5GHz 帯 SSID
2.4GHz 帯 SSID
5GHz 帯 SSID

ついて，それぞれの概略を簡潔に説明する．

SSID
公開／隠蔽

「教員用 VLAN」「職員用 VLAN」に対応する
公開

SSID に端末が接続する際の認証には，高いセキ
ュリティ強度を実現するために，EAP-TLS の認隠蔽証方式を採用することにした．そのために，IEEE 802.1X に対応した AP（authenticator）と2.4GHz 帯 SSID
5GHz 帯 SSID
SSID を「教員」「職員」

3.1 認証システムの構成

RADIUS サーバ（authentication サーバ）の機能
隠蔽を有する認証機器を導入した．その認証システ
ムの概略図を図 2 に示す．

で統一

学内には 2.4GHz 帯にしか対応していない端末・周辺機器が存在するし，5GHz 帯に比べて2.4GHz 帯の方が，障害物などがある場合でも広範囲まで伝播する傾向があるため，両方の帯域の SSID を使用することにした．また，SSID の隠蔽（ステルス）設定はパッシブスキャンとしてビーコンを発信しなくなる，もしくは，実際の SSID 名で発信しなくなる，というだけで，アクティブスキャン時には端末から AP に向けて実際の SSID 名が発信されることになる．したがって，本質的なセキュリティ向上には繋がらないが，非専門家には一定の効果が期待できるので，「PC 室用 VLAN」「職員用 VLAN」「教員用 VLAN」に対応する SSID は隠蔽した．
電波干渉を極力抑えるために，AP 間で使用するチャンネルや電波の出力を自動調整するためのコントローラも導入した．また，IP アドレスを DHCP サーバから端末へリースする速度が遅いと，ネットワークの利用開始が遅滞するので，この認証機器は RADIUS サーバに加えて，プライベート認証局の機能を内蔵した専用機器であり，プライベート認証局から RADIUS サーバへのルート証明書とサーバ証明書のインストールが自動化されている．図 2 の上部にある認証機器の図はプライベート認証局と RADIUS サー
バが一体となって描かれており，プライベート認証局からルート証明書とサーバ証明書がRADIUS サーバへ自動的に配備されることをオレンジ色の矢印は示している．
また，水色の矢印は，プライベート認証局で発行されたクライアント証明書とルート証明書が，プライベート認証局から物理的に外部へ移動し，教職員端末へ配備されることを意味している．ここまでは，端末が認証と通信を行う前段階の準備である．
図 2 の①～⑫は，「教職員端末」を「教職員用SSID」を指定して接続開始をしてから，認証され，認証情報に対応する VLAN へ通信開始となるまでの処理順序の概略を示している．

389

各端末（supplicant）にインストールされたク認証するのに使用される．

ライアント証明書と RADIUS サーバにインスト

AP はダイナミック VLAN で「教職員用端末」

ールされているサーバ証明書を，相互にルートを，端末ごとに適切な VLAN へ所属させるよう証明書を用いて認証する．この際，クライアンに運用している．RADIUS サーバで「教職員用ト証明書は RADIUS サーバが端末を認証するた端末」の認証が成功すると，認証情報に紐づいめに，ルート証明書は端末が RADIUS サーバをた VLAN ID がリプライアイテムとして AP へ返認証機器

プライベート認証局

RADIUS サーバ⑤サーバ証明書送信④ID 受信⑨認証情報に紐づいた VLAN

⑧受信したクライアント証明書

ID を送信をルート証明書で認証

学生端末⑩VLAN ID を割り当て

パーソナル認証

アクセスポイント②ID 要求①接続要求⑥受信したサーバ証明書③ID 通知をルート証明書で認証⑦クライアント証明書を送信⑪鍵情報の送信⑫許可された VLAN へ通信開始⑪アクセス許可

教職員端末

教職員用 SSID
学生用 SSIDルート証明書

サーバ証明書図 2 IEEE802.1X 認証の構成と通信開始までの処理

390

クライアント証明書される．そして，端末が AP へ無線通信を行う

し，インストールされているクライアント証明と，AP の有線ポート部分で VLAN 情報が付加

書が RADIUS サーバに EAP-TLS 認証されると，され，適切な VLAN へ参加することになる．

認証情報に対応した VLAN へ通信許可されるこ

他方，図 2 の右部分にはスマホのアイコンでとを緑色の丸は意味している．

「学生端末」が図示されている．
「学生用 SSID」

また，「学生用 SSID」を指定して接続してきはパーソナル認証で運用されており，共通のパた「教員端末」「職員端末」は，AP が持つ MACスワードで「学生用 VLAN」へ通信許可される．

アドレスのブラックリストで「学生用 VLAN」

3.2 ユーザの認証と VLAN へのアクセス制御への通信がブロックされている．そのことを赤図 3 には，図 2 の認証システムの配下で，「ユ色の禁止マークは意味している．

ーザ・端末」「SSID」「認証方式」「VLAN への「教職員用周辺機器」はクライアント証明書アクセス制御」の関係性がまとめられている．

をインストールすることができないので，パー「教員端末」「職員端末」は「教職員用 SSID

ソナル認証と MAC アドレス認証を併用するこ（オレンジ色の電波のアイコン）」で AP へ接続とにした．RADIUS サーバにあらかじめ MAC

教職員用周辺機器

職員端末

教員端末

学生端末

周辺機器

職員用

教員用

学生用

その他

VLAN

VLAN

VLAN

VLAN

VLAN

学内 LAN

教職員周辺機器用 SSID
MAC アドレス認証＋パーソナル認証
MAC アドレス認証
ブラックリスト
図 3

教職員端末用 SSID

学生用 SSID

EAP-TLS 認証

パーソナル認証

ルート証明書ユーザ・SSID・VLAN へのアクセス制御の概略

391

クライアント証明書

アドレスが登録されている周辺機器が認証後，要もある．

「周辺機器用 VLAN」へ通信可能となる．今回

しかし，100 台を超える AP の設定変更を 1導入した AP の仕様により，単一の SSID で，台ずつ行うのは，現実的ではない．一括した AP

EAP-TLS 認証と MAC アドレス認証を同時に収の設定変更ができることや，使用するチャンネ容できなかったことより，「教職員用 SSID」とルや出力を自動調整してくれる機能が運用コスは別に「教職員周辺機器用 SSID（青色の電波のト全般を大幅に引き下げてくれる．

アイコン）」を設定する必要があった．

それらの重要な役割を果たしてくれるのが，「教職員周辺機器用 SSID」を指定して接続要

AP のコントローラであり，今回導入した AP に求してきた周辺機器は，パーソナル認証後，AP対応したコントローラは上記の機能を備えていが MAC アドレスを RADIUS サーバへ問い合わる．また，同コントローラは L2 スイッチのせて認証されると，「周辺機器 VLAN」へ通信許VLAN に関する簡易的な設定機能を拡張して搭可されることを青色の丸は意味している．また，載することができる．L2 スイッチに対して一括

図 3 には示していないが，「職員用 VLAN」「教して新しい VLAN を作成したり，個別の L2 ス

員用 VLAN」からは「周辺機器 VLAN」へ通信イッチに対してアクセスポートやトランクポー許可している．したがって，「教職員用端末」はトに，VLAN を追加したりすることが，GUI の「教職員用 SSID」を指定して各 VLAN へ参加

画面上でマウス操作により可能である．コント

し，そこから「周辺機器 VLAN」に所属していローラが有している設定機能に限定されるが，る「教職員用周辺機器」を利用可能である．

大幅に設定変更作業が迅速化されることを実感

他方，「学生端末」は「学生用 SSID」を指定できる．その際，VLAN 構成を可視化する機能

して AP へ接続し，パーソナル認証され，「学生もあり，管理業務を効率的にアシストしてくれ用 VLAN」へ通信許可されることを黄緑色の丸る．

は意味している．

今回の工事でプライベート認証局とRADIUS サーバの機能を有する認証機器が導4 運用コスト入されたことで，ダイナミック VLAN の実装がこの度の全館 Wi-Fi 化に伴い，AP は既設の可能となり，「教員用 VLAN」「職員用 VLAN」台数と併せて 125 台となった．また，L2 スイなどの重要なセグメントへのアクセスは端末にッチの台数も増加している．ネットワーク機器

インストールされたクライアント証明書に紐づの管理台数は急増し，従来の学内 LAN の運用

く VLAN ID で管理されるようになった．
他方，方法では維持管理が困難であり，効率的な運用

有線 LAN 主体だったこれまでは，タグ VLAN方法が求められる．4.1 ではネットワークの設で管理しており，部屋の用途が変更になると，計およびネットワーク機器の設定管理の観点か

L2 スイッチのアクセスポートの所属 VLAN をら，4.2 ではネットワークの安定稼働性やトラ変更する作業が生じていた．もちろん，有線ブル時の対応という観点から，運用コスト全般

LAN の利用は継続されるので，有線部分もダイについて説明したい．

ナミック VLAN への移行が必要になるが，それ4.1 ネットワークの設計とネットワーク機器の設が完了すれば，定期的な L2 スイッチの設定変定管理

AP では，パーソナル認証に関する定期的なパスワード変更や SSID 等に関する設定変更が必要になる．また，電波干渉を避けるために出力や使用するチャンネルを AP 間で調整する必

392

更作業は格段に少なくなり，クライアント証明書に紐づける VLAN ID を管理すればよい状態に概ね移行することになる．L2 スイッチの設定作業は専門的な知識・技術を要するが，それに比べると今回導入した認証機器はいわゆる専用

AP については，リプレースが困難な場所に機器であり，クライアント証明書の発行業務は設置されているものもあり，障害時の復旧作業単純作業のレベルに簡単化されている．したがが困難なケースも予想されるが，その場合は隣って，属人的な業務から誰でも担える業務へと接している AP の出力を増大させるなどして，移行したことになり，ネットワークの運用コスカバーすることで対応しつつ，復旧作業を急ぎトを軽減できたと言える．

たい．

4.2 ネットワークの安定稼働性と障害時の復旧対
応

5 まとめ・考察・課題

本学には著者を含めてネットワーク管理をす

本稿では 2021 年度に行った本学での全館る専任スタッフは不在である．ネットワーク障

Wi-Fi 化に関する設計・施工内容の概要について害が発生すると，途端に障害切り分けや復旧作報告を行った．以下，2 節，3 節，4 節について，業への対応が必要になり，それ以外の業務を圧その内容をまとめると共に，いくつかの考察や迫する．また，学内 LAN は教育・研究・業務今後の課題について述べたい．の基盤であるので，何よりもその安定稼働が重2 節ではこの度の全館 Wi-Fi 化について施工要であり，障害時の対応は想定する必要がある

後のネットワーク構成と AP の無線部分の構成が，それ以前に冗長構成やホスティングサービについて，図 1 および表 1 にまとめ，それぞれスの積極的利用等で安定稼働を担保することがの概要について説明を行った．
主幹 L2 スイッチ

きわめて重要であると長年考えてきた．

から各フロアの L2 スイッチ，さらには AP まで

今回導入した IEEE802.1X 認証を構成する図は CAT6 の UTP ケーブルで接続しており，GIGA2 の認証機器は，プライベート認証局とスクール構想と同程度の帯域を保証するネット

RADIUS サーバを内蔵しており，同機器に障害ワーク構成となっている．

が発生すると途端に「教職員用端末」は学内

他方，図 1 の主幹 L2 スイッチから上位の L3LAN へアクセスできなくなるために，冗長構成スイッチまでは工事を行っていない．
「主幹 L2をすると共に 2 台の認証機器間でデータの同期スイッチ」－「L3 スイッチ」－「ファイアウォをしており，片方の機器に障害が発生したとしール」の間は，それぞれの両端に SFP モジューても，もう片方の機器で認証を担保することがルを収容しており，その間を光ファイバーケーできる構成となっている．

ブルで接続しているという既存設備のままであ

また，今回導入した DHCP サーバも障害が発る．GIGA スクール構想ではネットワークの幹生すると途端に端末へ IP アドレスがリースさ

線部分は 10Gbps の帯域を想定しているので，これなくなるため，これも 2 台での冗長構成を採れらの部分は GIGA スクール構想の仕様には見用している．また，同機器は DNS サーバの機合っていないことになる．今後，大容量の動画能も内蔵しており，ゾーン転送による同期と冗視聴などの用途が拡大していけば，それに伴い，長構成で DNS サーバの安定稼働性も向上した．

求められる帯域も拡大していくことになり，主L2 スイッチについては，今回導入した AP の幹 L2 スイッチからファイアウォールまでの帯コントローラと L3 スイッチが連携して設定デ域だけではなく，インターネット接続回線につータを保存する機能を有している．障害時にはいても見直しが必要になる可能性がある．

L2 スイッチをリプレースして配線を元通りに無線部分の構成については，「学生用 SSID」

接続すると，設定が自動復旧する仕組みになっは，利便性を優先して公開し，それ以外は隠蔽ており，障害時の復旧作業の軽減と復旧までのしているが，現在のところ，教職員については迅速化に大きく貢献してくれることになる．

そのことが利用の障壁を押し上げている感触を

393

持ってはいない．現状，AP のみダイナミックるため，効率的に設定変更できるツールが不在

VLAN で運用しているが，将来的には有線部分だと柔軟なネットワークの運用が担保できなくにも拡張し，利用の障壁をさらに低減したい．

なる．

今回採用した AP は 11ac の規格に対応しておまた，認証局・認証サーバと DHCP サーバのり，通常のインターネット接続が快適に利用で機能を二つの専用機器で担い，冗長構成した．

きるのは，1 台の AP に接続する端末台数の上限

専用機器は機能性や他の機器との連携性は柔軟を 40～50 台と想定している．しかし，1 台のさには欠けるものの，設定作業や運用作業が平AP に接続可能な台数の上限を論理的に制限し易化されているという優位性がある．今回導入ていないので，複数台の AP を設置している大した DHCP 機器は DNS サーバの機能も内蔵し教室では，特定の AP に接続台数が偏重する可ており，既存の DNS サーバの役割も同機器に能性がある．その点については，今後，コント統合することができたことで，更なるコスト削ローラで端末の接続台数を観察しつつ，設定の減に繋がった．本学の学内 LAN に必要な認証必要性を検討したい．

サーバ，DHCP サーバ，DNS サーバの機能性

3 節では全館 Wi-Fi 化に伴って導入した認証を，いずれも専用機器で実装し，かつ，冗長構システムの構成と各ユーザ・端末のアクセス制成できたことは，安定稼働性と運用コストの低御について，図 2 および図 3 にまとめ，それぞ減に大きく資することができたと考えている．

れの概略について説明した．教職員は各自の業本件に関する初期費や年間固定費などは契約

務端末を AP へ接続するには，クライアント証時の時価という側面も少なくないので，費用の明書の発行申請をし，証明書を受け取った後は，単純評価は難しいが，本学の様な小規模校で専各自でインストールする必要がある[4]．しかし， 任スタッフが不在でも，全館 Wi-Fi 化後の拡大
業務用端末を「教職員用 SSID」を指定して学内したネットワークの日常運用がアウトソーシン

LAN へ接続しなくても当面，業務に支障がないグ無しで持続しているという事実が，本件のネ場合は，「学生用 SSID」を指定して「学生用ットワーク運用が低コストで高効率であることVLAN」へ接続し続けることも想定される．こを結論付けている．のような事態を回避するために，図 3 で示すよ
うに教職員の業務用端末は MAC アドレス制御で「学生用 VLAN」へのアクセスは論理的に禁止している．
4 節では，この度の全館 Wi-Fi 化で拡大したネットワークの運用コストとそれを低減するための工夫について述べた．コントローラによる APの一括管理・調整機能やその拡張機能による L2スイッチの効率的な VLAN 管理機能について言及した．例えば，全ての AP に新しい VLAN に対応した SSID を作成しようと思うと，AP はコントローラで一括して設定変更可能だが，それに連動して，AP が接続されている上位のネットワーク機器全台にタグ設定も必要になり，APの台数増加に比例して，工数も必然的に多くな

394

参考文献・注[1] 子供たち一人ひとりに個別最適化され，創造性を育む教育 ICT 環境の実現に向けて～令和時代のスタンダードとしての 1 人 1 台端末環境～≪文部科学大臣メッセージ≫ 2019 年 12月 , 文 部 科 学 大 臣
萩 生 田 光 一
https://www.mext.go.jp/content/20191225-mxt_s
yoto01_000003278_03.pdf[2] GIGA スクール構想の実現パッケージ～令和の時代のスタンダードな学校へ～, 2019 年 12月[3] 小規模校におけるパソコン教室の三密対策と遠隔授業, 大学 ICT 推進協議会 2020, 2020 年
12 月, 田中健吾
[4] 各自でクライアント証明書のインストールや「教職員用 SSID」を指定して AP へ接続できない場合は，各学科・事務局の情報端末利用運営委員がサポートの一次対応を務め，それでも問題解決しない場合は，情報センターが対応する体制になっている．