eduroam の認証要求の集中による過負荷事象の発生と対策実施について
山﨑 國弘 1)，2)， 磯部 千裕 2) ， 永田 正樹 1)
1) 静岡大学 情報基盤センター
2) 株式会社 アバンセシステム
yamazaki.kunihiro@shizuoka.ac.jp， c-isobe@avancesys.co.jp，nagata.masaki@shizuoka.ac.jp

Occurrence of overload events due to concentration of eduroam certification
requests and implementation of countermeasures
Yamazaki kunihiro 1)，2)， Isobe Chihiro 2) ， Nagata Masaki 1)
1) Center for Information Infrastructure, Shizuoka University．
2) AvanceSystem Corporation．
概要
静岡大学では 2018 年 3 月より 300 台以上のアクセスポイントで eduroam が利用できるようにした．学内ネットワークの混雑低減を目的に，インターネット接続のみの通信はeduroam 利用を推奨している．eduroam の利用拡大で特定の時間帯に無線 LAN 接続が不安定になる事象が発生し，認証要求の集中が原因と判明したため認証サーバの負荷軽減対策を実施し改善効果を確認することができた．本稿では大学における無線 LAN 接続の認証要
求 に 特 有 の 日 変 化 ， 認 証 要 求 の 輻 輳 状 態 が 発 生 し た と き の 利 用 者 へ の 影 響 ， LDAP（Lightweight Directory Access Protocol）への適切なインデックス有無による性能の違いなどについて報告する．

1

常に多くの認証要求が発生し輻輳状態になっていはじめにることが確認できた．また，認証処理時の LDAP2018 年 3 月の eduroam サービス開始から順調検索において，適切なインデックスが設定されてに利用が拡大し，2019 年 7 月には 1 日の eduroamいないことが確認できた．それらが原因となり，接続ユーザ数が約 2,900 ユーザ，月間の接続端末

認証処理時に仮想サーバが高負荷状態となってい数は 6,000 端末となり無線 LAN 接続全体の 35%をることが判明したが，原因調査と対策実施の過程占めるようになった．同じく 2019 年 7 月の平均ででいくつかの知見を得ることができた．

eduroam を利用し他大学から静岡大学アカウントで接続するユーザが一日当たり 30 ユーザ，静岡大学キャンパス内から他大学のアカウントで接続し2

静岡大学の eduroam 無線 LAN 環境

2.1 利用状況ているユーザが一日当たり 15 ユーザ，ゲスト用ア

本学では無線 LAN アクセスポイントのマルチカウントを利用するユーザが一日当たり 15 ユーSSID（Service Set Identifier）機能を使用し学内ネッザと前年と比較して 2 倍に利用が拡大している．

トワーク接続と eduroam の２種類の無線 LAN サ

eduroam IdP（Identity Provider）サーバは zabbix[1]ービスを提供している．eduroam は概ね学部単位で 監 視 し て お り ， eduroam の 利 用 拡 大 に よ り

で光ケーブルによる商用インターネット接続サー

eduroam IdP サーバの CPU 使用率が 90%以上となビスを導入し，インターネット接続のみのトラヒるアラートが 2019 年度から頻繁に発生するようックがキャンパススイッチ（静岡，浜松キャンパになった．授業開始時に無線 LAN 接続が不安定にスの最上位スイッチ），データセンターのコアスイなる事があったという報告も寄せられている．こッチやネットワークセキュリティ機器を通過しなれらの事象の原因を調査したところ，短時間に非いようにして学内ネットワークの混雑低減を図っ

46

プライベートクラウド（焼津DC）
1. 学内LAN限定サーバ

既存回線

eduroam.JP

BGP
ルータ

学術情報ネットワーク
SINET5

コアスイッチ

商用回線

UTM

パブリッククラウド
2. 学内関係者限定公開サーバ（TOKAIコミュニケーションズ）

eduroamシステム(MS Azure )静岡大学
eduroam IdP

静大IoTE
管理システム

静岡，浜松
キャンパス

センタースイッチ

ゲスト用アカウント
管理システム(合計11ブロック)ルータ

静大IoTEブロック

棟スイッチ
静大IoTE回線（eduroam）
フロアスイッチ

３. 公開サーバ

フレッツ光などの商用回線

SUTV

SETV

他サーバ

小型サーバ

無線AP
SSID:
学内接続

一般Webサイトなど

SSID:
eduroam

図-1. 静大 IoTE 概要
静岡大学 キャンパス

表-1. eduroam IdP システム概要
eduroam IdP
Azure Virtual MachinesOS
アプリケーション

eduroam IdP

アクセスポイント

…

D2 v3

…

CentOS 7.4
samba 4.6.2

eduroam JP

認証要求
RADIUS
出力
LDAP

認証ログ

FreeRADIUS 3.0.13-8
openldap-2.4.44
openssl-1.0.2k-8

統合認証基盤

eduroamアカウント
管理システム図-2. eduroam IdP システム構成図ている [2] ．
eduroam は VLAN で学内ネットワークから完全に独立したネットワーク構成とし，万一無線 LAN接続した端末の不適切な利用による問題が発生した場合でも，その影響がキャンパス全体に波及しないようにしている．本学ではこの eduroam 無線
LAN システムを静大 IoTE と呼んでいる．図 1 に

3

認証負荷と過負荷事象
図-3 に eduroam IdP サーバにおける 2019 年 4

月 24 日 8 時から 17 時までの CPU 使用率の変化を示す．授業の前後に CPU 使用率の急増が見システムの全体構成を示す．

られ，1・2 時限目と 3・4 時限目の間は 100%の2.2 eduroam IdP の構成状態が継続している．この CPU 使用率の変化はeduroam に端末を接続するための認証処理はパ授業のある日に共通して見られる．

ブリッククラウドに設置した eduroam IdP で実施

この時間帯を含む 10 時 00 分から 59 分の CPUしている．大規模災害等でデータセンターに設置

使用率と eduroam IdP への認証要求数の関係をした本学の認証基盤と接続ができない場合でも，図-4 に示す．単位時間当たりの認証要求が増加

他大学から静岡大学のアカウントで eduroam の利している場合は CPU 使用率の上昇は抑えられ，用が継続できるよう認証情報を eduroam IdP に配CPU 使用率が 100%の状態になると認証要求が置している．eduroam IdP はオープンソースの減少しても CPU 使用率がなかなか減少しない

RADIUS（Remote Authentication Dial In User Service）

ヒステリシス曲線になっていることが確認できと LDAP で実現している．
表-1 にシステム環境を，る ． 無 線 LAN 管 理 サ ー バ [3] の 認 証 処 理 ，

図-2 に eduroam IdP のシステム構成を示す．

RADIUS の認証要求，LDAP の認証要求は同様

47

1・2
時限目

3・4
時限目

5・6
時限目

7・8
時限目

9・10
時限目

100
【対策前】2019年6月11日（火）CPU使用率（％）

CPU使用率（％）

10080604020806040【対策後】2019年6月18日（火）2000時刻時刻

図-5. 対策前後の CPU 使用率の比較

図-3. 仮想サーバの CPU 利用率 日変化
y = 4.1182x - 21.766

20

要求数が急増している
場合の変化

y = 0.0328x + 0.6953

R² = 0.865400

CPU使用率（％）

1分間の認証要求数

500

300
200

100
要求数が減少している
場合の変化

0020

406080R² = 0.8378

1510

500100100200300

400

500

1分間の認証要求数

CPU使用率（％）

図-6. CPU 使用率と 1 分間の認証要求数

図-4. CPU 使用率と認証要求の関係20の変化を示していることから短時間に認証要求積する状態になっていたと考えられる．無線
LAN 接続の認証処理が著しく遅れると端末は無線 LAN 接続処理を繰返し実行する可能性がある．これにより認証要求が更に増加する輻輳

【対策前】2019年6月11日（火）

認証処理時間（秒）が集中したことで処理しきれない認証要求が累1510【対策後】2019年6月18日（火）5状態が発生していたと考えられる．また，授業開始時に無線 LAN 接続が不安定になる事があったという報告とも一致している．
本学の環境では毎分 200 件程度の認証要求ま0時刻

図-7. 対策前後の認証処理時間の比較では正常に動作しているが，実際にはその 2 倍
ト発行処理時間が遅延しないことの確認などの検以上の認証要求の発生が見られた．

証を実施した.その上で，本番システムの LDAP へ4対策実施と効果確認インデックス追加を行った．

eduroam IdP の処理能力向上のために LDAP に対し適切なインデックスを追加することとした．
LDAP へのインデックス追加にあたっては，稼動している現行システムと同一環境の検証用システ
ムをパブリッククラウドに構築し，認証要求を発生できる試験ツールを用いて，事象の再現，インデックス追加後の CPU 使用率低減効果比較による適切なインデックスの検討，ゲスト用アカウン

48

図-5 に対策前後の CPU 使用率変化の比較を示す．無線 LAN 利用は特に火曜日が多いため，対策前は 6 月 11 日，対策後は 6 月 18 日を比較している．対策後も授業時間の前後に CPU 使用率の上昇が見られるものの，ピークは 15%程度の小さな値になっている．対策前後の平日 1 週間の平均を比較すると最大値では 87%の低減と大きな効果があったことが確認できた．図-6 に対策後の CPU 使用率と 1 分毎の認証要求数の関係を示す．6 月 14 日

から 6 月 20 日の内の平日 5 日間における，8 時 00

3．eduroam IdP が輻輳状態になったときの影響分から 17 時 59 分のデータを使用している．LDAP

無線 LAN は端末が自律で動作する部分が大きく，への適切なインデックス追加により認証要求に対認証処理つまり端末接続処理時間に遅延が発生すする eduroam IdP の処理能力は 12 倍に拡大したこると再接続による輻輳状態になりやすく，利用者とが確認できる．また，現在のシステム構成のまは無線 LAN の接続が不安定になったと感じるこ

まで CPU 使用率 80%程度の負荷時には，2,400 件とがある．

／分の認証要求の処理が可能であると推測される．

これらのことから無線 LAN 利用者の満足度向

図-7 に対策前後の認証処理時間変化の比較を示す．

上のためには，無線 LAN アクセスポイントの性能

図-5 と同じく対策前は 6 月 11 日，対策後は 6 月だけでなく認証機能などの無線 LAN 関連システ

18 日を比較している．
認証処理時間は無線 LAN 管ムの性能とバランスが取れていることが重要であ

理サーバのログから，端末がアクセスポイントにる．また大学特有の無線 LAN 利用パターンに対応

接続した時間から接続承認のイベントが記録されし大きく変動する負荷に対して妥当な性能のシスるまでの時間を秒単位で計算している．eduroam

テムを構築するには，負荷状況の継続的な測定がIdP の認証処理以外にアクセスポイントの処理時必要なことが確認できた．

間も含まれている．10 分間に eduroam に接続した

eduroam と同一設備で運用している学内ネット端末毎の時間を計算し，その平均値を算出した．

ワーク接続用の無線 LAN も，eduroam と同様の利対策前の 6 月 11 日は CPU 使用率 100%が 10 分以用傾向を示していると考えられる．今後は学内ネ上継続した 10 時 20 分頃に極めて大きな遅延が発ットワーク接続用の無線 LAN についても同様の生しているが，対策後の 6 月 18 日は極端な遅延は分析を行いたいと考えている．

発生していない．

5

おわりに

参考文献

eduroam IdP における単位時間当たりの認証要[1] zabbix
https://www.zabbix.com/jp/features[2] 永田正樹，磯部千裕，安原裕子，古畑智博，高田重利，松村宣顕，山崎國弘，長谷川孝博，
井上春樹、”パブリッククラウドとオープンソースソフトウェアを用いたトラフィック分
散型 eduroam 基盤「静大 IoTE」の構築”、 学術情報処理研究 No．22、2018 年 9 月．
[3] 無線ネットワーク管理システム UNIFAS
http://www.furunosystems.co.jp/product/detail/un
ifas.html

求の集中による仮想サーバの過負荷状態の調査及びその対策実施で以下の知見を得ることができた．
1．パブリッククラウドを使用したシステム運用の効果
4 項で述べたように稼働中のシステムと同じ構成の検証システムを構築し，事象の再現，対策の効果確認，関連機能への影響発生有無の確認などを，コストを抑えて実施することができた．運用開始
後の負荷状況が把握できない新規サービスや利用拡大で負荷が大きく増加することが予想されるサービスでは特に有効だと考えられる．
2．大学における無線 LAN 特有の負荷の変化
学生が授業スケジュールに従い教室，図書館，福利厚生施設などを移動するため，授業の前後に非常に大量の認証要求が発生することがわかった．
無線 LAN アクセスポイントの整備が進み利用が拡大するほどこれらのパターンも顕著になると考えられる．無線 LAN がネットワーク接続の基本サービスになり利用者が複数の端末を同時に接続する，新しい端末デバイスが利用されるなど今後も変化が予想される．無線 LAN の利用状況及び構成する機能の負荷状況などを継続的に監視・分析できる仕組みの確立が重要になると考えられる．

49