事務基幹サーバのクラウド化を支援するキャンパスネットワーク
徹 †,近堂†‡宮原俊行 ‡ ,相原玲二 †広島大学情報メディア教育研究センター

広島大学学術・社会産学連携室情報化推進グループ{tkondo,tmiyahar,ray}@hiroshima-u.ac.jp

概要 大学におけるキャンパスネットワークは，大学の主要インフラのひとつとして高いセキュリティと安定性を確保しつつ，ユーザの利便性を損なわないことが必要である．一方でその上で動くアプリケーションやサーバについては，民間企業だけでなく学術機関においてクラウドを導入する動きが顕著になってきている．
特に，今後はパブリッククラウドサービスを柔軟かつ安全に利用できることが強く求められ，キャンパスネットワークに対する役割も変わりつつある．広島大学では，2013 年度より財務会計システムや人事・給与システムなどの管理運営サービスをパブリッククラウド等に移行するの取り組みを進めてきた．本稿では，これらの事務基幹サーバのクラウド化を支えるキャンパスネットワークについて紹介するとともに，クラウドへの移行を通じて得られた成果や課題について述べる．

1

はじめにワークの更新を行った．新しいキャンパスネットワー
クでは，これまでのキャンパスネットワークが提供し大学などの高等教育機関におけるキャンパスネットてきた機能に加え，クラウドコンピューティングを活
ワークは，教育研究活動から管理運用業務に至る様々 用をコンセプトにいくつかの機能拡張を実施している．
な活動を支える主要インフラとしての必要性が高まる
本稿では，新キャンパスネットワーク (HINET2014)ばかりである．近年では，ICT を活用した授業支援やの概要について述べ，事務基幹サーバのクラウド移行

学外者も含めた BYOD(Bring Your Own Device)，基に対する HINET2014 での実現方法について紹介する

幹業務系での利用など，その利用形態は多種多様でととともに，その成果と課題について考察する．

なっている．単にネットワーク接続性を提供するだけでなく，高いセキュリティと安定性を確保しつつユーザの利便性を損なわないことが求められる．

2

広島大学のキャンパスネットワーク

一方で，キャンパスネットワークの上で動くアプリ

本学のキャンパスネットワークの規模等を明らかに
ケーションやサービスなどはクラウドコンピューティ するために，これまでのキャンパスネットワークの変ング導入による効率化の動きが顕著になってきている． 遷について述べる．広島大学のキャンパスネットワー
大学等でもアカデミッククラウド環境整備の議論が進

クは，主要 3 キャンパス（東広島キャンパス，霞キャ

むなか，学術情報基盤の強化・充実にはクラウド化へ

ンパス，東千田キャンパス），附属学校（翠地区，東の対応を含むネットワークの高度化は避けて通れない

雲地区，三原地区，福山地区）および小規模遠隔部局
課題となっている [1]．今後は，より大量のデータ流通 （呉，竹原，宮島，東京オフィス等）の拠点から構成への対応や耐障害性・高信頼性に優れたネットワークされる．構成員数は，教員約 1,800 人，職員約 3,300

基盤への要求が明確となっている．

人，学生約 15,000 人（附属学校の児童，生徒約 4,000

広島大学では 2013 年度より，財務会計・出張旅費な人は含まない）の規模である．

どの財務系システムや人事給与・労務管理などの人事

広島大学での本格的なキャンパスネットワークは系システム等の事務基幹システムをパブリッククラウ

FDDI を基幹に採用した HINET93（1994 年稼働）に始まり，ATM を基幹に採用した HINET95（1995 年

ド等へ移行し，運用の効率化への取り組みを進めている．移行にあたっては，クラウドサービスのセキュリ稼働）, Gigabit Ethernet を基幹とする HINET2001
ティや信頼性，コストなどの検討だけでなく，大学内 （2001 年稼働）と更新を重ねてきた．いずれにおいて外からクラウドサービスへアクセスするためのネットも，原則サブネットを部局単位に割当てを行い，各部ワークについても検討を行ってきた．また，この成果局で管理する体制で運用を行ってきた．2008 年度からや技術動向を踏まえ 2014 年 8 月にキャンパスネット運用を開始した HINET2007[2] ではそれまでの管理方

Internet

東広島キャンパス

SINET
L2VPN等

フロアスイッチ（最寄のPS内など）
100Mbps～1Gbps

建物集約スイッチ（主要建物内）附属学校・遠隔部局
…

商用
光ファイバ

クラウド接続への対応

SINET4/JGN
接続スイッチ

霞キャンパスキャンパス集約スイッチ

VLAN機能VLAN機能
利用者認証機能
全キャンパス合
計約500台コアネットワーク装置

キャンパス集約スイッチ
キャンパス間光ファイバ（整備済）

東千田キャンパス

基幹サーバ装置

VPN装置

可用性向上・通信の最適化

広島市内データセンター

部局整備・	部局管理	

全学整備・全学管理	

キャンパス集約スイッチ

部局整備・	部局管理	

図 1: HINET2014 の概要
法を一新し，全学整備および一元管理によるキャンパスネットワークを構築・運用してきた．基幹ネットワー
クだけでなくフロアスイッチ（2014 年 10 月時点で約500 台）を対象とした整備を実施し，部局単位でのサ

表 1: 基幹ネットワーク装置の主な機器仕様
機器名称
コアスイッチ装置
ファイアウォール装置

ブネット管理体制から全学的な一元管理体制へと移行

VPN 装置した．ネットワーク構成については，学内外からのアキャンパス集約スイッチ

クセス可否パターンおよび利用形態により区別される

基幹サーバ装置

機種
Cisco Catalyst 6807-XL
Cisco ASA5585-X / SSP60
Cisco ASA5545-X
Alaxala AX3830（東広島)
Alaxala A2530S (霞, 東千田)
DELL PowerEdge R620

数量2222各23「ゾーン」という概念を導入し，利用形態に応じたゾーンを各構成員に提供している．さらに，研究室を含む基幹装置のデータセンター設置 学内に存在する様々すべての利用場所で Web 認証もしくは Mac 認証によなサービスが今後クラウドを利用していくことる利用者認証を要求し機器管理をおこなうことで，利を想定し，HINET2014 では基幹装置の主要部分用者の制限や接続機器の把握を行ってきた．これらはをデータセンターへ設置している．これにより，3 章で述べる新キャンパスネットワーク HINET2014
でも同様の機能を引き続き実現しているため，詳細については後述する．

対外接続拠点であるデータセンターから各キャンパスが接続される完全なスター型ネットワークとなり，対外接続に対するトラフィックの経路最適化を実現している．データセンターと各キャンパ

キャンパスネットワーク HINET2014

3ス間は自設の光ファイバを用いて最大 40Gbps（東広島〜データセンター）の帯域を確保した．

本章では，2014 年 8 月より稼働を開始した新キャンパスネットワーク HINET2014 について紹介する．

ゾーニングによるネットワーク設計 HINET で は 学
内外からのアクセス可否パターンおよび利用形

3.1

概要と主な特徴

ネットワーク構成を図 1，主要な機器仕様を表 1 に示態により区別される「ゾーン」という概念を導入している．図 2 にゾーンの概要を示す．構成員の多くが研究室単位でゾーン C を申請し，その中にす．コアスイッチ装置および各キャンパス集約スイッチ

PC やプリンタ，NAS 等を設置して管理・運用すは全てスタック接続かつリンクアグリゲーションによるのが一般的な利用形態となっている．学外公開

るアクティブ・アクティブ構成とし，ファイアウォールが前提となるサーバはゾーン A，複数のゾーン C

装置と VPN 装置については HA (High Availability)やゾーン D から利用する可能性のあるプリンタによるアクティブ・スタンバイ構成としている. これにや NAS 等の学内限定ホストはゾーン B に設置すより，装置やリンクの故障に対する冗長性を確保した．

る形で運用している．構成員はネットワーク利用

HINET の主な特徴は以下に示す通りである．

申請サービスを通して各種の申請を行う．

個別ファイアウォール機能の提供 約 2,000 の個別フInternetァイアウォール (NAPT) 機能と DHCP サーバ機能をキャンパスネットワークの機能として全学的に提供し，管理・維持コストの削減を図っている．

2,000 という数字は本学教員等の数を勘定して設定したものであり，1 教員 1 個別ファイアウォール（ゾーン C）の提供が可能となる．また，ゾーンC の管理者によって構成員の ID をネットワーク利用申請サービスで事前登録することにより，特定のゾーン C の機器と直接接続可能な VPN サー
ビスも提供している．
全学的な一元管理体制 全学整備の範囲を基幹ネットワークからフロアスイッチまでとし，約 500 台のフロアスイッチを一元管理とした．ポート総数とIPS/IDS

VLAN
1800〜1899

VLAN
1600〜1699

Guest / HU-Guest(公衆ゾーン(ゲスト用))
DHCP+Web認証

ゾーンA (グローバルゾーン)
IP固定+MAC認証

×

全学FW(ファイアウォール）

VLAN
1700〜1799

ゾーンB (ファイアウォールゾーン)
IP固定+MAC認証

×・・・

×

個別FW

ゾーンC (ローカルゾーン)
DHCP/IP固定+Web/MAC認証

ゾーンD / HU-CUP(公衆ゾーン(学内))
DHCP+Web認証

VLAN
2000〜3999

VLAN
1800〜1899

しては，18,000 ポートとなる．各ポートにはコネ
クタ ID とよぶラベルを情報コンセント毎に付与
し，ネットワーク利用申請サービスからの申請に基づきポートの設定をメディアセンターで一括し

図 2: HINET におけるゾーン構成
Internetて行う．
すべての利用場所で利用者認証を要求 多様な機器にIPS(L2モード)よる利用者認証を行っている．Web 認証は学認に全学FW(L2モード)よるシングルサインオンに対応している．認証ポ
イントはフロアスイッチとし，認証後はワイヤーレートでの通信が可能である．

個別FW(L3モード)ゾーンC (2002)…

いる．この利点を生かし SINET4/JGN-X 等のゾーンC (2000)

部局L3スイッチ(VRF)…

チまでは全てレイヤ 2 ネットワークで構成してゾーンB, ゾーンD,HINET Wi-Fi

学内L3スイッチ(VRF)

ファイアウォール装置

SINET4/JGN-X における L2 接続の強化 HINET
ではコアネットワーク装置から各フロアスイッ

ゾーンA, GUEST

全学L3スイッチ(VRF)対応するために，Web 認証もしくは MAC 認証に全学VPN

ゾーンC (3999)

ゾーンC VPN

VPN装置

コアスイッチ装置

実験プロジェクトおよび商用クラウド接続を強化している．

3.2

基幹ネットワーク構成

図 3: コアネットワーク装置の構成
ン C を割当できるように 2,000 個のゾーン C を提供できる設計としている．2,000VLAN の収容および個別コアネットワーク装置の内部構成を図??に示す．基

ファイアウォールへのルーティングは部局 L3 スイッ

本方針は以下の通りである．コアスイッチは VRF 機チで行う．部局 L3 スイッチでは，ACL を設定するこ能により 3 つの独立した仮想 L3 スイッチを定義し， とで，ゾーン C 間の通信ができないように設定していL3 スイッチ間の相互通信はファイアウォール装置経由 る．IPv4 については，個別ファイアウォールで 2,000で行う．ただし，ゾーン C からゾーン A および学外の NAPT 機能を提供し，ゾーン C あたり 1 つの外部宛の通信については，学内 L3 スイッチにてポリシールーティングにより，全学ファイアウォールをバイパIP アドレスとなって外部へのアクセスを行う．また，原則全てのゾーン C に対してリレー機能により DHCPスするように設計した．また，インターネットとの接を提供している．IPv6 については，NAPT 機能は提続点には IPS を導入し，P2P など悪意あるトラフィッ 供せずファイアウォール機能のみを提供し，アドレス配布は RA のみをサポートしている．
クに対する抑制を行っている．
次に個別ファイアウォール機能（ゾーン C）の実現について述べる．個別ファイアウォールは 1 教員 1 ゾー

事務基幹サーバのクラウド移行

4

全学L3スイッチ (VRF)

本章では，HINET における事務ネットワークの構×成について述べるとともに，事務基幹サーバのクラウド化への対応方法について示す．

4.1

ZoneAサーバセグメント
全学FW

学内L3スイッチ (VRF)×

事務におけるネットワーク構成

ZoneBサーバセグメント
個別FW

部局L3スイッチ (VRF)

ネットワーク構成を示す前に，本学における事務組

×	ゾーンC間の通信は不可

織構成について説明する．事務組織は研究科等の部署

事務専用サーバセグメント

事務ゾーンC
事務ゾーンC
20XX
事務ゾーンC
20XX
20XX

…

から構成されており，約 30 程度の部署が存在している．
同一部署が建物やキャンパスをまたいで構成されてい50VLANs	 事務端末セグメントる場合も少なくない．事務組織全体でおおよそ 1,300台の事務用端末が配備され，職員がこれらの端末を利

図 4: 事務ネットワークの内部構成用して日々の業務を行っている．事務端末およびサーバの管理・運用は学術・社会産学連携室情報化推進グループの所掌となっている．

ネットワーク構成について述べる．

HINET ではこれらの事務組織を管理するためのネットワークを図 4 のように構成している．大きく分けて

4.2

パブリッククラウドとの接続

4 つのエリアに分けられる．一つ目が事務端末ネット
図 5 にクラウド接続との構成図を示す．本学では現ワークであり，これは部署単位でゾーン C（合計で約在，マイクロソフト社が提供する Microsoft Azure お30 程度）を割り当てている．これにより，建物やキャよび Amazon.com が提供するアマゾンウェブサービ
ンパスを越えるような事務組織であっても同一ネット
スの 2 つの IaaS サービスと接続し各種サービスを稼ワークとして収容することができる．また，ゾーン C働させている．クラウド上で稼働している主要なサー間では通信を行うことができないため，部署内でのみビスを表 2 に示す．
共有するファイルサーバ等も設置することも可能となっ各クラウドとの接続は L3VPN(IPsec-VPN) およびている．二つ目めが事務端末ネットワークからのみアインターネット経由で接続している．L3VPN は事務クセスできる事務管理サーバセグメントである．主に端末ネットワークから事務職員がアクセスする際に利端末を管理するためのサーバや事務組織でのみ利用す用する一方，それ以外の学内外からの一般構成員のアるファイルサーバ等が設置されている．これにはひとクセスはインターネット経由で http/https にで行われつのゾーン C を割当て，部局 L3 スイッチの ACL にている．クラウド内はサービスおよびアクセス範囲をより特定のゾーン C からのみアクセス許可を行う例外考慮し，複数の VPC(Virtual Private Network) を構設定を加えることで実現している．三つ目がゾーン A築し，それぞれを L3VPN で接続する形とした．このセグメントである．これは事務管理サーバのうち，学ようにすることで，特定の事務ネットワークからのみ外アドレスに対しても公開しているサーバ群が設置さ別経路でクラウド上のリソースにアクセスすることがれている．広島大学の教員用ポータルサイトや研究者でき，ネットワーク全体のセキュリティ設定などに大総覧等が該当する．四つ目がゾーン B セグメントであきな影響を与えることなくクラウドを利用することがる．これは事務管理サーバのうち，学内アドレス限定可能となっている．また，一般構成員のアクセスに対で公開しているサーバ群が設置されており，財務会計してゾーン B 相当（学内 IP アドレスからの接続）をシステムや人事・給与システムが該当する．
保証するために，フルトンネリングによる VPN 接続
このうち，ゾーン A セグメントおよびゾーン B セグサービスを提供している．
メントのサーバに関して，現行システムのハードウェ
表 3 に，本学と Microsoft Azure との L3VPN 接続
ア更新のタイミングで順次パブリッククラウド等へのにおけるスループットおよび RTT の計測結果を示す．
移行を進めている．移行にあたっては本学が定める「広なお，Azure は Ubuntu 14.04LTS,1core,175GB のイ
島大学クラウドサービス利用ガイドライン」1 に従い，ンスタンスを利用し，VPN 装置には Cisco 892FSP をセキュリティやネットワーク要件を確認しつつ作業を利用している．帯域は Iperf2 を用いて TCP 片方向 60進めた．次節では，パブリッククラウド接続を含めた秒間の測定結果となっている．
1 http://www.media.hiroshima-u.ac.jp/news/cloudguide2 http://sourceforge.net/projects/iperf

構成員(インターネット経由)

表 3: スループットおよび RTT 計測

IPアドレス+認証制御によるアクセス制限

仮想ネットワーク(VPC1)
財務会計システム他(IaaS)

仮想ネットワーク(VPC3)
ファイルサーバ，
ADサーバ等(IaaS)

仮想ネットワーク(VPC2)
人事給与システム(SaaS)

測定方向

帯域 (Mbps)

広島大 → Azure(東日本)

146
117
149
102

広島大 ← Azure(東日本)
広島大 → Azure(西日本)	

広島大 ← Azure(西日本)

RTT (ms)
25.53
28.41
32.48
31.65

L3VPNによる管理ネットワーク
VPN装置

5

おわりに

部局L3スイッチ (VRF)

広島大学(事務端末セグメント)

事務ゾーンC 20XX
事務ゾーンC 20XX
事務ゾーンC 20XX
事務ゾーンC 20XX

50VLANs	

本稿では，広島大学が 2014 年 8 月より運用を開始
した新キャンパスネットワーク HINET2014 について述べるとともに，2013 年度より順次移行を行っている

図 5: L3VPN によるクラウド接続

事務基幹サーバのクラウド化を支援するためのネット
ワーク構成について説明した．HINET の特徴はネッ

表 2: 主要なサービス稼働状況

トワーク資源の一元管理を行いつつ，ゾーニングによ

サービス名利用基盤運用形態

財務会計システム

AWS
AWS

IaaS
SaaS

Microsoft Azure

IaaS

人事・給与システム
事務用ファイルサーバ,AD サーバ等

りネットワークの単位を各事務組織や研究室といった細かな単位で柔軟に設定できる点にある．
今後，ネットワーク利用の多様化に伴い，キャンパ
スネットワークに対する役割も変わりつつある．対外クラウド接続についても例外ではなく，大学において4.3

成果と課題もパブリッククラウドサービスを柔軟かつ安全に利用していくことが必須となる. インターネット接続性だ
HINET はコアネットワーク機能をデータセンターけではなく，サービス連携を含めたネットワーク基盤に集約し，IP アドレスや VLANID 等の資源の一元管としての活用を今後検討していく．
理を行いつつ，ゾーニングによるネットワーク利用形
態を基本としてネットワークの単位を各事務組織や研究室といった細かな単位で柔軟に設定できることを特徴としている．ゾーニングの単位がクラウド利用の単位となり，クラウドの利用形態を必要に応じて柔軟に選択できることは大きなメリットである．
クラウド上のサーバをあたかもキャンパス内に設置されたサーバとして利用するには，接続の柔軟性に加え，通信帯域や遅延時間が重要な要素となる．今回，事務基幹サーバのクラウド接続については IPsec による L3VPN 接続環境を構築したため，VPN 接続のオーバーヘッドや MTU および MSS 長の問題が潜在している．現時点で実用上の問題は発生していないが，今後 SINET クラウドサービスを活用し，SINET 内を謝辞
キャンパスネットワークの構築および運用に尽力頂いている情報メディア教育研究センターおよび学術・社会産学連携室情報化推進グループの関係者各位に感謝致します．

参考文献[1] 文部科学省, ”教育研究の革新的な機能強化とイノベーション創出のための学術情報基盤整備について−クラウド時代の学術情報ネットワークの在り方−（審議まとめ）”, 2014.

L2VPN 接続することも検討している．3.1 章で述べた [2] 近堂徹, 田島浩一, 岸場清悟, 大東俊博, 岩田則和, 西村通り，HINET はコアネットワーク装置を集約しキャ浩二, 相原玲二, ”利用者認証機能を備えた大規模キャン

ンパス内は多数のレイヤ 2 ネットワークを利用者の申パスネットワークの性能評価”, 第 1 回 IOT シンポジウ

請に応じて設定している．SINET クラウドサービスによる商用クラウドの接続環境を任意のフロアスイッ
チに設定することは，通常の運用として容易に実現可能である．

ム 2008 論文集，pp.121-128, 2008.