Eduroam によるゲスト用無線 LAN サービスの更改
伊藤 和哉, 中村 直毅, 長瀬 祥子, 葭葉 純子,
高畑 知香, 鈴木 麻里恵, 冨永 悌二
東北大学大学院 医学系研究科・医学部 情報基盤室
k.ito@med.tohoku.ac.jp

Renewal of the Wi-Fi for Visitors Using Eduroam
Kazuya Ito, Naoki Nakamura, Sachiko Nagase, Junko Yoshiba,
Chika Takahata, Marie Suzuki, Teiji Tominaga
Information Infrastructure Office, School of Medicine, Tohoku University.
概要
昨今、大学キャンパスで行われる各種学会やセミナーでは、会場内でのゲスト（来訪者）用無線 LAN サービス（以下、ゲスト無線）の提供が必要不可欠となっている。一方、ゲスト無線は、その特性上、接続するユーザが不特定多数であるとともに、接続する機器のセキュリティ対策の状況が不透明であり、管理上のセキュリティリスクが非常に高く、注意して運用する必要がある。また、大学の教職員が日常業務で利用する無線機器や無線空間を併用する場合、ゲスト無線の提供による日常業務への影響を最小限にする考慮が必要である。今回、東北大学星陵キャンパスでは、無線サービス向上を目的として現状のゲスト無線を廃止し、教育研究機関間の国際無線 LAN ローミング基盤 eduroam（以下、eduroam）を導入し、キャンパス全域にサービスを展開した。本稿は、その整備の詳細について報告する。

1

はじめに医療系の部局が集約された東北大学星陵キャンパスでは、4 部局が共同で 1 つの統合されたネットワーク基盤を運用している。約 7 年前からゲスト無線を提供しているが、ゲスト無線の利用の度に複雑な設定をする必要があり、運用の改善が必要な状況であった。そこで、従来のゲスト無線を廃止して新たに eduroam [1] を導入することと本番環境への切り替えとその後の運用状況を述べる。5 章は本稿のまとめである。

2

ゲスト無線の概要

2.1

システム構成始めに星陵キャンパスの無線環境におけるシステム規模を表１に示す。
表１ 無線環境のシステム規模した。eduroam は国内教育研究機関のみならず、全世界共通でアカウントを利用することが可能であり、利便性がとても高い。東北大学では大学本部で eduroam を提供する基盤 [2] を用意しており、学内の多くの部局で導入している。
星陵キャンパスでは既に無線環境が整備されているため、運用中の無線環境に相乗りして組み込む必要があり、現状の構成や設定ポリシーを踏襲して実現する必要があった。
本稿では、先ず 2 章でゲスト無線の概要と構成について述べる。3 章では eduroam の特徴と導入における課題及び実装の詳細を述べる。4 章では利用ユーザは大学の教職員と学生、外部ゲストの他、大学病院の医療系スタッフなど様々で、常時約 1500 ユーザが利用している。また、通常のキャンパスネットワークとは違い、病院の診療業務による無線の利用がある。診療業務では無線エリットワーク、教育・事務系ネットワーク、研究系ア全域で機器の冗長化が必要となり、設置している無線アクセスポイントは約 900 台に上る。

ネットワークなどがあり、周波数帯は診療系ネットワークが 5GHz 帯、その他のネットワークが共同で 2.4GHz 帯を利用する。認証方式は用途に合わせて IEEE802.1X 認証と PSK（事前共有キー）認証の両方を採用している。また、水色の網掛け部分は今回の更改対象となったゲスト系ネットワークである。
2.2 ゲスト無線の現状
現状のゲスト無線は、利用希望者からの申請が

図１

無線環境の物理構成

次に、無線環境の物理構成を図１に示す。
既存の無線アクセスポイントは、無線コントローラによる一括管理を行う集中管理型と、無線アクセスポイント自身が単体で動作する自律型のそれぞれが運用しており、更にその両方にて複数ベンダーの機器が稼働している。また、無線アクセ
スポイントへは PoE（Power over Ethernet）給電にて電力を供給し、接続時のユーザ認証は Radiusサーバ（正・副）が行い、認証ログとアクセスロ
グは Syslog サーバが一括管理している。

あった際に、管理者が場所と期間を限定して既存の無線アクセスポイントにゲスト用 SSID を追加し、終了後は SSID を削除する運用である。また、ゲスト用 SSID は PSK による認証を採用し、パスフレーズは都度異なる内容で申請者のみに個別通知している。しかし PSK の場合は、ゲストユーザ全員が同じ接続設定（アカウントの使い回し）となるため、ユーザ個人の特定が困難である。このため何らかのセキュリティインシデントが発生した場合、誰がいつどこにアクセスしたかといったトレーサビリティを追跡できないため、何れはIEEE802.1X 認証や WEB 認証（キャプティブポータル）などによる認証機能の強化が必要であった。
また、星陵キャンパスの既存無線環境は、これまで段階的に導入や拡張を繰り返してきたため、運用中の無線アクセスポイントの機種やスペック、機器ベンダーが様々で、複数種類の無線コントローラが稼働している。その結果、同じ目的の設定を行う場合であっても、アクセスポイントに直接設定変更するもの、無線コントローラ経由で設定変更するもの、設定反映に再起動が必要なもの、不要なもの、というように無線アクセスポイント

図２

無線環境の論理イメージ

表２

ネットワーク詳細の機種ごとに手順が大きく異なっており、管理者は作業の度に機種ごとの手順と利用者への影響を正確に把握しながら作業する必要があった。このように、複数の管理者が何度も設定変更する運用は作業ミスを誘発する原因であり、ゲスト無線利用の度に設定変更を必要としない仕組みへ改善する必要があった。
前述した管理者側の課題を解決するとともに、利用者の利便性を向上するため、従来のゲスト無線の継続利用を廃止し、eduroam を利用した新た続いて、無線環境の論理イメージと各ネットワークの詳細を図２及び表２に示す。
全 25 種類の SSID を用途別に集約すると 5 つのネットワークに分類できる。その中には診療系ネな無線環境を導入することにした。

eduroam を利用したゲスト無線の実3初めに、既存の無線アクセスポイントについて装3.1る場合には代替案も含めた検討が必要である。
機器ベンダーでグループ分けを行い、計 4 種類（Aeduroam の特徴

社-AP、B 社-AP、C 社-AP、D 社-AP）に分類した。

eduroam とは教育研究機関間の国際無線 LAN ロ

そして 4 種類それぞれに対して、【ダイナミックーミング基盤であり、日本を含む世界 76 か国・地VLAN】と【複数 Radius 指定】の検証を行った。そ域で運用されている。eduroam では、自身の所属の検証結果を表３に示す。
表３

機関が発行したアカウントを使って、国内外の参技術的要件の機能検証

加機関はどこに行っても同じ接続設定で無線の利用が可能である。
東北大学でも大学本部にて eduroam を利用するための基盤が整備されており、IEEE802.1X 認証とWPA2/AES による暗号化が実装され、セキュリティの高い安全な通信が可能である。また、認証時のこの検証により、比較的導入時期が古い「B 社

レルムをもとに教職員用、学生用、他機関用でそ-AP」と「D 社-AP」の 2 種類は eduroam の要件をれぞれ異なったネットワークを提供できるように満たさないことが判明した。これらは設置エリアなっており、具体的にはダイナミック VLAN を使っが限定的で、2 種類の合計台数も約 80 台しかなく、て Radius アトリビュートにて受け取った VLAN ID

これは全無線アクセスポイント総数の 10%未満でを動的に割り当てる制御をしている。

あった。残りの 90%には eduroam が展開できる見込みが立ったため、当初計画通りに進めることと3.2

既存環境への eduroam 導入の課題

現状の無線環境に eduroam を相乗りさせるための課題を整理した。
大学本部の eduroam に加わるためには、eduroam用の Radius サーバ（キャンパス外に設置）によるし、「B 社-AP」と「D 社-AP」が集中して設置された建屋に対しては利用優先度が比較的高い場所（ユーザが集中する会議室や講義室等）のみ、予備として保有していた「A 社-AP」に置き換えることで展開不可能な状況を救済することにした。

認証が必要である。そのため、既存の Radius サーバに加えて eduroam 用の Radius サーバを設定する3.4実現した構成必要があるため、Authenticator（無線アクセスポ

前述した検討の結果、認証ログは大学本部管轄イント）では SSID ごとに複数の Radius サーバのの Radius サーバを参照する運用ではなく、キャン設定が必要である。

パス内で管理するため、図３に示す通り、また運用サポートの面では、ユーザ問合せや接続トラブルの調査に Radius サーバの認証ログがAuthenticator と大学本部管轄の Radius サーバの間に Radius プロキシを設置した。

不可欠であるため、eduroam を利用する場合にも既存の Radius サーバと同様、集約されたログを保持する必要がある。

3.3

機能検証

eduroam の導入にあたり必要な技術的要件である【ダイナミック VLAN】と【複数 Radius 指定】について検証を行った。
今回は eduroam をキャンパス全域で展開することを目的としており、既存の全ての機種で要件を満たすかどうか確認し、仮に満たさない機種があ

図３

Radius プロキシによる認証点で問題があった。従来は、実装時点で全ての機Authenticator が 参 照 す る Radius サ ー バ は器で切り替えの事前シミュレーションを行って詳

Radius プロキシにして、Radius プロキシへの認証

細な運用影響を把握してきたが、今回は一部の機リクエストは大学本部管轄の Radius サーバへ転器で本番環境以外に検証機が無く、事前シミュレ送する構成とした。

ーションの実施が困難であった。

Radius プロキシは既存の仮想基盤上に CentOSそこで対策を検討し、今後の運用も見据えた検と FreeRADIUS で構築し、冗長化と負荷分散を考慮証機の必要性を鑑みて、本番環境の構成を見直すして 2 サーバ構成で実装した。構成は以下の図４ことにした。具体的には本番環境で稼働中の機器であり、破線に囲まれた箇所が今回の更改対象での１つを本番環境から切り離し、検証機として利ある。

用することにした。検証機が確保できたことで全ての機器で切り替えの事前シミュレーションが可能になった。そして詳細な切り替えスケジュールを策定後、関係者の許可を受領、無事に eduroamへの切り替えが完了した。

4.2運用

今回整備したゲスト無線により学会やセミナーの開催時に管理者の負担が無くなり、来訪者にも
図４ 無線環境の最終構成イメージ

快適なゲスト無線を提供することができるようになった。また、eduroam アカウントで接続者の身認 証 元 の Authenticator の IP ア ド レ ス やSupplicant（無線端末）の Mac アドレスといった認証に関連する情報が、Radius プロキシから適切に中継されることを確認した。これにより、セキュリティインシデントが起きた際に、大学本部管轄の Radius サーバと Radius プロキシの両方で証元（所属機関）が把握できるため、安心してゲスト無線を提供できるようになった。さらに一時的なゲストアカウントを本部で発行することができるため、eduroam アカウントを持たない来訪者やシステムの保守ベンダーもゲスト無線を利用することができるようになり、利便性が向上した。

跡を確認することが可能になった。

4切り替えと運用

4.1

切り替え

先述の通り、星陵キャンパスの無線環境は大学病院の診療業務でも利用しているため、原則 24 時
間 365 日の可用性が必要である。またネットワー
クの停止や遅延、通信の不安定といった何らかの作業に伴う運用影響が生じる場合は、予め影響範

図５

無線利用アカウント数（1 日平均）

囲と影響時間を正確に把握し、事前に関係者に通知してスケジュールの合意、許可を受ける、といったルールである。

直近 5 ヶ月の 1 日平均の無線利用アカウント数の推移を図５に示す。グラフの青は既存の教育・今回の eduroam への切り替えも運用影響が予想

事務系の SSID、赤は eduroam の学生アカウント、されたが、”影響範囲と時間を正確に把握”という

緑は eduroam の教職員アカウントを表している。

これによると 5 月と 8 月、9 月は連休が多いため利用数自体が比較的少ないが、全体の傾向としては従来から提供していた教育・事務系 SSID の利用が徐々に減少し、eduroam の学生アカウントによる利用が大きく増加している。これは多くの学生が他のキャンパスでも利用可能な eduroam にシフトしたもの、と考えられる。
このように eduroam は多くのユーザに支持され、キャンパスの運用に不可欠なネットワークとして定着した。

5 まとめ
本稿では eduroam の導入について、計画から運用までの一連の取り組みについて述べた。今後はeduroam の大学内における利用シーンを探して、利用者の拡大に努めていきたい。
星陵キャンパスでは多数の無線アクセスポイン
トが設置されているため、持ち込みルータやスマートデバイスのテザリング機能によって 2.4GHz帯のチャネルの干渉によるスループットの低下が時々発生している。そこで、2.4GHz 帯から 5GHz帯の W56(計 11 チャネル)に移行または分散させることで電波状況の改善を検討中である。

参考文献[1] 「eduroam JP」、http://www.eduroam.jp/[2] 「東北大学総合情報ネットワークシステム
TAINS － eduroam ア カ ウ ン ト サ ー ビ ス 」、
http://www.tains.tohoku.ac.jp/kyousyokuin/eduroam.html