Vol. 47

No. 4

Apr. 2006

情報処理学会論文誌

IPv4/IPv6 デュアルスタックネットワークに対応したネットワーク利用者認証システムの開発
大

谷

誠†

江

口

勝

彦††

渡

辺

健

次†††

近年，大学などの教育・研究機関において，IPv6 ネットワークの導入が進んでいる．このとき，既存の IPv4 ネットワークを IPv4/IPv6 のデュアルスタックネットワークに変更することで，スムー
ズな IPv6 ネットワークの導入が可能となる．このような IPv4/IPv6 デュアルスタックネットワー
クの利用者に対して，安全に公開端末や情報コンセントを提供するためには，IPv4/IPv6 の両通信を統合的に制御可能する新たな利用者認証システムの実現が必要となる．佐賀大学では，利用者移動端末や公開端末からのネットワーク利用を認証・記録する “Opengate” の開発を行っている．本研究では，Opengate の利便性を引き継ぎつつ IPv6 に対応させ，また IPv4/IPv6 の両通信を統合的に制御可能な利用者認証システムの開発を行った．そしてこのシステムの有用性を，運用実験により確認した．本稿では，この IPv4/IPv6 の統合的な利用に対応したネットワーク認証システムの開発について述べる．

Development of a Network User Authentication System
for IPv4/IPv6 Dual Stack Network
Makoto Otani,† Katsuhiko Eguchi†† and Kenzi Watanabe†††In recent years, IPv6 network is operated in many campus and research networks.
IPv4/IPv6 dual stack network model is one of the approaches for deploying IPv6 smoothly.
Users of IPv4/IPv6 dual stack network can use both IPv4 and IPv6 without a special setup.
From this background，it is important to implement a network user authentication systemthat can control both communications of IPv4/IPv6, simultaneously. We have developed a
network user authentication system “Opengate” in Saga University. We have implemented
functions for IPv6 into Opengate without changing characteristic features of the system. Thisfunction can control both communication of IPv4 and IPv6, simultaneously. And we verified the availability of this system by the experiment network. This paper describes about
implementation of a network user authentication system for IPv4/IPv6 dual stack network.

このようなネットワークの移行方法の 1 つとし

1. は じ め にて，ネットワークの IPv4/IPv6 デュアルスタックネッ

近年，多くの研究用ネットワークでは，IPv6 へのトワーク化がある1),2) ．この方法では，IPv4 ネット

対応が行われている．また大学などの教育・研究機関

ワークに IPv4/IPv6 両通信に対応した機器を導入し，にも IPv6 ネットワークの導入が進んでいる．

IPv4/IPv6 の両方を利用可能とする．すでに，一般的な OS（Windows XP，Mac OS X など）も IPv6 を標準でサポートしているため，ネットワーク利用者は，

IPv6 ネットワークを導入する際に，既存の IPv4 のネットワークをいっせいに IPv6 のみのネットワークに変更するのではなく，緩やかに IPv4 から IPv6 ネッ

IPv4/IPv6 を意識することなく使い分けることができ，徐々に IPv6 へ移行していくことが可能である．

トワークに移行する方がネットワーク利用者への影響

一方，ネットワークの利用が日常的に行われるようも少なく，望ましいと考えられる．

になった現在，その利便性を最大限に活用するために，
公開端末の設置や，情報コンセント，無線 LAN の利† 佐賀大学総合情報基盤センター
Computer and NetworkCenter, Saga University†† 佐賀大学大学院工学系研究科
Graduate School of Engineering, Saga University††† 佐賀大学理工学部
Faculty of Science and Engineering, Saga University

用環境を整備している組織が増えている．しかしながら，不特定多数の利用者に対してネットワークを公開する場合に，その利用者が特定されず犯罪に利用されるなどの恐れがある．これらの問題点を解決するため
1146

Vol. 47

No. 4

IPv6 対応利用者認証システム Opengateには，ネットワークの利用認証や利用記録の保存を行うシステムが重要となる．

1147

2. Opengate についてする情報を登録したり，あるいは専用ソフトウェアを

2.1 概
要Opengate の概要について述べる．Opengate は，不特定多数の利用者が多様な端末を接続するネットワー

インストールしたりするものから，認証などを通じてク環境において，利用者認証と利用記録を行うことがゲートウェイを開閉するものまで，いくつかの方式ができるシステムである．この Opengate は，佐賀大学

近年，このような利用者認証システムの開発がさかんに行われている．事前に利用者や利用者端末に関提案されている3)〜7)．

において開発され，2001 年より佐賀大学の全域規模

今後急増するであろう IPv4/IPv6 デュアルスタッで利用されている9)〜11) ．また，いくつかの大学でもクネットワークの利用者に対して，安全に公開端末や運用されている12) ．Opengate では，特別な申請やソ

情報コンセントを提供するためには，IPv4/IPv6 の両

フトウェアの準備なしに，利用者端末をインターネッ

通信に対応した利用者認証システムが必要であると考トに接続することができる．

えられる．ネットワーク利用者は，IPv4/IPv6 の両通信を意識せずに併用して利用するため，この両通信に対する認証を統合し，また通信路の開閉を同時に行う

Opengate のシステム構成例を図 1，動作の流れを図 2 に示す．
利用者端末が，初めに Web サイトを閲覧しようと必要がある．そのため，従来の IPv4 のみに対応した

する際に，Opengate はその通信を横取り，代わりに利用者認証システムを，単に IPv6 対応にするだけで認証ページを利用者に提供する．利用者は，この認証なく，IPv4/IPv6 の両通信を統合的に制御可能する新ページにユーザ ID とパスワードを入力し，認証サー

たな利用者認証システムの実現が必要となる．また，

バを利用した認証に成功すると，ネットワークの利用

IPv6 においては，マルチホームや，匿名アドレスなが可能となる．

どによって利用者端末が複数の IPv6 グローバルアド

なお，Opengate は NAT や DHCP を用いたネット

レスを利用する場合があるため，これら複数のアドレスへの対応も必要となる．
佐賀大学においても，利用者移動端末や公開端末からのネットワーク利用を認証・記録する “Opengate”の開発・運用を行っている．本研究では IPv4 のみを想定して開発された，この Opengate を，その利用方法
を変えずに IPv4/IPv6 デュアルスタックネットワー
クでの利用に対応させ，運用実験を行い，利用者端末の IPv4/IPv6 の両通信を統合的に制御可能であることを確認した．また上記に述べたマルチホームや，匿名アドレスなどによって，利用者端末が複数の IPv6

図 1 Opengate のシステム構成例
Fig. 1 Example of Opengate system architecture.

アドレス利用する場合にも，それらすべての IPv6 ア
ドレスを把握して扱うことも可能とした8) ．
本稿では，この Opengate の IPv6 対応と運用実験による評価について述べる．この Opengate に対する

IPv6 対応の手法は，Opengate と同様に OSI 参照モ
デルにおけるネットワーク層で通信を制御する，ネッ
トワーク利用者認証システムに適応が可能であると考える．
まず 2 章において，Opengate の概要について述べ，
次に 3 章で，IPv6 対応 Opengate の設計について述べる．4 章において，IPv6 対応 Opengate の実装について述べ，5 章で運用実験について述べる．6 章において考察し，最後に 7 章でまとめる．

図 2 Opengate の動作の流れ
Fig. 2 Operation flow of Opengate.

1148

情報処理学会論文誌

Apr. 2006

ワークにおいても使用可能である．

れたパケット数を監視し，設定時間内にパケットの通2.2 Opengate の動作環境

過が確認できない場合も利用終了と判断し，通信路をOpengate は FreeBSD 上で開発を行っている．ファ

閉鎖する．

イアウォールには ipfw，Web サーバには Apache を利用し，利用状態を監視するプログラムを C 言語で開2.7 利用者情報の記録
Opengate は利用者の情報として，認証，ネットワー

発した．上記のプログラムが，利用者端末の Java Ap-

ク利用開始の手続きで取得した利用者 ID，利用者端

plet と通信することにより利用状態を監視する．その末 IP アドレス，利用開始時刻，利用終了時刻を SYS-

ため，利用者端末に Java Applet が動作する Web ブ

LOG 機能を用いて記録する．また Opengate を利用

ラウザが必要となる．もし利用者端末に Java Applet

者端末と同一セグメントに設置している場合は，MACが動作する Web ブラウザがない場合，Opengate はアドレスの記録も行う．

利用状態を監視せず，設定時間経過後に利用者端末の通信路を自動的に閉鎖する．

2.3 認
証Opengate を利用したネットワークでは，利用者はまず任意の Web サーバ（以下，この Web サーバをス

3. IPv6 対応 Opengate の設計
この章では，IPv6 対応 Opengate の設計について述べる．

3.1 IPv6 対応 Opengate が利用される環境につアクセスしなければならない．このとき，Opengate

いてIPv6 対応 Opengate では，IPv4/IPv6 デュアルス

は，ファイアウォールの転送機能を用いて HTTP リ

タックネットワークにおいて，利用者端末が，IPv4 まクエストを自身の Web サーバへ転送する．これによったは IPv6 を用いてインターネットを利用することをタートアップ Web サーバと記す）へ HTTP を用いてて，利用者端末に認証ページが表示されることになる．

想定している．ここで，IPv4/IPv6 デュアルスタック

ネットワーク利用者は，この認証ページより利用者

ネットワークとは，同一の物理ネットワーク内で IPv4

ID とパスワードを入力する．これらは Opengate のと IPv6 が同時に利用されているネットワークのこと

CGI に POST され，CGI は外部の認証サーバに対して認証を行う．なお，認証には POP3，POP3S，FTP，
RADIUS や PAM を利用することが可能である．

を指す．

2.4 利用者端末の IP アドレスの取得
Opengate は上記の POST が実行された際，利用者
端末の IP アドレスを Web サーバから環境変数 “RE-

MOTE ADDR” を用いて取得し，この IP アドレスに対して通信路の開閉を行う．

2.5 利用者端末の監視と閉鎖
認証後，利用者端末に認証完了ページが表示される．
さらに，この認証完了ページとともにブラウザに Java

IPv4/IPv6 デュアルスタックネットワークでは，以下のような利用者端末が接続される．

• IPv4 のみをサポートした利用者端末• IPv4 と IPv6 をサポートした利用者端末– Web ブラウザが IPv4 を優先利用する利用者
端末– Web ブラウザが IPv6 を優先利用する利用者
端末
IPv4 と IPv6 をサポートした利用者端末において，

Applet がダウンロードされる．この Java Applet がWeb ブラウザが IPv4 の通信を優先するものと，IPv6の通信を優先するものがある．これについては，4.2.3

監視プロセスとの間に TCP コネクションを張ること

項で詳しく述べる．

によって，ネットワークの利用を監視する．

なお，本提案方式は，IPv6 のみをサポートした利

この Java Applet と監視プロセスとの TCP コネク

用者端末をサポートしていない．これは，本方式で認ションが切れた場合，あるいは Java Applet が監視証ページを提供する際に必要となるファイアウォール

プロセスからの応答メッセージに応答しなかった場合のパケット転送機能が，FreeBSD の IPv6 のファイアに利用終了と判断し，通信路を閉鎖する．利用者端末

ウォールに実装されていないからである．さらに，本に Java Applet が動作する Web ブラウザがない場合，

方式では利用者端末の利用状況を監視するための Java

設定時間経過後に通信路を閉鎖する．

Applet と通信を行うが，利用者端末に導入されてい2.6 通信状況の監視
利用者端末の存在が確認できたとしても，必ずしもる Java VM が必ずしも IPv6 に対応していると限ら利用者がネットワークを利用しているとは限らない．

がある．よって IPv6 のみを利用する端末は対象外とそこで Opengate を通過する，利用者端末から送信さしている．

ない．このため，利用者端末の監視ができない可能性

Vol. 47

No. 4

IPv6 対応利用者認証システム Opengate

1149

3.2 IPv6 対応に対する方針

は，ip6fw を用いた．また，利用者端末への IPv4 のこれらの利用者端末を考慮して，以下のような方針

アドレス割当てには DHCP サーバである dhcpd を，で，IPv6 へ対応させることとした．

IPv6 アドレスの割当てにはルータ通知デーモンであ(1) 従来の Opengate の利用方法の維持
認証などの利用者側の操作方法は，従来の Open-る rtadvd を使用し，動作確認を行ったが，アドレス

gate と同様とする．また IPv6 を利用しない利用
者端末も従来どおり利用可能とする．
(2) IPv4/IPv6 の両プロトコルに同時に対応
利用者端末の IPv4/IPv6 の両アドレスを同時に管理し，利用開始および終了時に，両プロトコルによる通信の開閉を同時に行うものとする．
(3) IPv6 特有の問題に対応
マルチホーム環境や，匿名アドレス13) や IPv6 のアドレス自動設定機構により付与されたアドレスなど，複数の IPv6 アドレスを扱う利用者端末にも対応するものとする．
3.3 必要な機能
上記の方針に基づき，以下の機能を実現する IPv6に対応した Opengate の開発を行った（以降，IPv6 に対応した Opengate を “Opengate v6” と記述し，従来の Opengate については “Opengate” と記述する）．

(1) 利用者端末のアドレスの取得
認証の過程で Web サーバを介して，利用者端末の IPv4/IPv6 アドレスの両方を取得する．
(2) IPv4/IPv6 両通信路の同時開放
認証の過程で得られた利用者端末の IPv4/IPv6の割当て方法は，Opengate v6 の動作に影響しない．
そのほかに，利用者端末の IPv6 アドレスを，IPv6に対応した Web サーバから取得するため，IPv6 に対応した Apache を利用した．動作環境の例は，5 章の運用実験を参照されたい．

4.2 利用者端末の IPv4/IPv6 アドレスの取得
3.3 節で示したように，Opengate を IPv6 に対応させるうえで必要な機能の 1 つが，利用者端末の IPv6
アドレスの取得である．

4.2.1 スタートアップ Web サーバの多様性
Opengate を利用したネットワークでは，利用者はまずスタートアップ Web サーバにアクセスする必要がある．これは Opengate v6 においても同様であるが，IPv6 を考慮すると，このスタートアップ Web サーバには，以下の 3 種類があることになる．
• IPv4 アドレスのみを持つ Web サーバ• IPv4/IPv6 アドレスを持つ Web サーバ• IPv6 アドレスのみを持つ Web サーバ
よって Opengate v6 では，これらのスタートアップ Web サーバを考慮する必要がある．

4.2.2 環境変数によるアドレスの取得

アドレスに関する通信路を同時に開放する．

Opengate v6 においても Opengate と同様に Web
インタフェースにより認証を行う．ネットワーク利用(3) 利用者端末の監視と閉鎖Opengate と同様に Java Applet によって利用者する．これらの情報によって，外部の認証サーバに対端末の存在を監視し，利用終了時に，IPv4/IPv6

して認証を行う．Opengate v6 では，この認証ページの両通信路を同時に閉鎖する．

を表示する過程において，利用者端末の IPv4 と IPv6

(4) 通信状況の監視

者は，認証ページより利用者 ID とパスワードを入力の両アドレスの取得しなければならない．

一定時間以上，利用者端末が IPv4 および IPv6

IPv4/IPv6 に対応した利用者端末は IPv4 アドレスの通信を行わなかった場合に，両通信路を同時にと IPv6 アドレスの 2 種類を所有することになる．従閉鎖する．
(5) 複数 IPv6 アドレスを持つ利用者端末への対応
利用者端末が複数の IPv6 アドレスを有しているら環境変数 “REMOTE ADDR” を利用して IPv6 ア

とき，認証の際に利用されない IPv6 アドレスも取得し，あわせて扱うことを可能にする．

4. IPv6 対応 Opengate の実装
4.1 Opengate v6 の動作環境

来の Opengate 同様，IPv6 に対応した Web サーバかドレスを取得することは可能であるが，この方法では，HTTP リクエストが送信された際に用いられたプロ
トコルの IP アドレスしか，取得できない．
そこで，利用者端末の IPv4/IPv6 アドレスの情報
を，環境変数 “REMOTE ADDR” から取得するためには，利用者端末からそれぞれ，IPv4 の HTTP およOpengate v6 は，Opengate と同様に FreeBSD 上で開発を行った．Opengate v6 では，IPv4 と IPv6

び IPv6 の HTTP の通信を行わせる必要がある．

の両通信路を開閉する必要があるため，Opengate とIPv4/IPv6 デュアルスタック対応の利用者端末ではIPv6 のみ，あるいは IPv4 のみを用いて通信すると同様に IPv4 の開閉には ipfw を用い，IPv6 の開閉に

4.2.3 IPv6 対応 Web ブラウザの挙動

1150

Apr. 2006

情報処理学会論文誌

る．そこでまず，利用者端末で使用される IPv6 対応

いったことはなく，IPv4 と IPv6 が複合的に利用されス（AAAA レコード）の両方を持つ FQDN（以下，FQDN 64 と記述する）を登録する．ここでは，例としWeb ブラウザの挙動の分析を行った．
現在，広く利用されている IPv6 対応 Web ブラウザの 1 つとして，IPv6 の利用を有効にした Windows XPて FQDN 4 を opengate4.example.jp（IPv4 アドレス
192.168.55.1），FQDN 64 を opengate64.example.jp（IPv6 アドレス 2001:db8:3661:1a5::1，IPv4 アドレ

上で利用される Internet Explorer 6（以下，XP+IE6

ス 192.168.55.1）として説明する．

と記す）がある．この XP+IE6 の環境では，接続先の先に述べたように，IPv4/IPv6 デュアルスタックの

URL の FQDN について DNS に IPv4（A レコード）

利用者端末が，任意の Web サイトの FQDN に対しと IPv6（AAAA レコード）の両方が登録されていたてアクセスする際，その Web サイトの IPv4 アドレス場合，まず IPv6 を利用して通信を試みる．そして，このみ DNS に登録されていれば IPv4 を用いてアクセの通信が失敗した場合にあらためて IPv4 で通信を試スする．もし，IPv4/IPv6 の両方が登録されている場

みる．IPv4（A レコード），または IPv6（AAAA レ

合は，IPv6 を用いてアクセスする．このとき，IPv6コード）のみが DNS に登録された FQDN に対して
は，それぞれのプロトコルのみを用いて通信を試みる．
Windows XP 上で動作する Firefox や Opera，によるアクセスに失敗した Web ブラウザは，IPv4 でFreeBSD 上などで動作する Mozilla なども，XP+IE6と同様に IPv6 を優先して用い，失敗すると IPv4 を用いる．また，Mac OS 10.4 に標準に搭載されている safari も，XP+IE6 と同様に IPv6 を優先して利用する．

Mac OS X 10.3 に標準でインストールされている
safari は，XP+IE6 とは逆に，IPv4 を優先するようになっており，IPv4 および IPv6 アドレスの両方が登録された FQDN が URL に指定された場合には，まず再度アクセスを試みる．
この挙動を利用して，以下の 2 つの条件において，認証の際に IPv4/IPv6 アドレスを取得する流れを述べる．

• スタートアップ Web サーバが IPv4/IPv6 アドレスを持つ場合（4.3.1 項）• スタートアップ Web サーバが IPv4 アドレスを持つ場合（4.3.2 項）

4.3.1 Web サーバが IPv4/IPv6 アドレスを持
つ場合

IPv4 で通信を試みる．そして，この通信が失敗した(1) 利用者端末の Web ブラウザは，スタートアップ
Web サーバに IPv6 HTTP リクエストを送信す

場合にあらためて，IPv6 で通信を試みる．ところが，る．しかし，通信路は閉鎖されているため，IPv6

HTTPS に対する通信は，XP+IE6 と同様に IPv6 をHTTP リクエストはタイムアウトする．

優先して用いる．特に HTTPS に関しては，調査した(2) Web ブ ラ ウ ザ は ，同 じ Web サ ー バ に IPv4
HTTP リクエストを送信する．ここで，ファイすべての Web ブラウザが IPv6 を優先する．
以上のように，IPv6 対応 Web ブラウザの分析の結

アウォールによって，IPv4 HTTP リクエストを果，ほぼすべての Web ブラウザが IPv6 を優先してOpengate v6 上の Web サーバ（http:// opengate4.example.jp）へ転送する．

利用することが分かった．
なお，佐賀大学の Opengate 環境下で利用されている Web ブラウザの調査を行ったところ，IPv6 対応

Web ブラウザの約 96.8%は，IE6 であった．
4.3 考案した利用者端末の IPv4/IPv6 アドレスの取得方法

(3) 次に Opengate v6 の認証のページの CGI に，ブラウザのクライアントプル機能（html の meta
タグ：http-equiv=”Refresh”）を用いた自動再表示により転送する．この際，転送する URL
を FQDN 4（http://opengate4.example.jp）でそこで我々は Opengate v6 では，多くの Web ブラ指定する．認証ページを提供する CGI では，

ウザが IPv6 を優先し，IPv6 の利用に失敗した場合に利用者端末の IPv4 アドレスを環境変数 “RE-IPv4 を利用するという挙動をもとにして，IPv4/IPv6
アドレスを取得する方法を考案した．
まず，Opengate v6 を導入するゲートウェイのた

MOTE ADDR” より取得し，認証ページに hidden タグを用いてこの IPv4 アドレスを埋め込む．
(4) 認証ページより，利用者 ID とパスワードを入力

めに，2 つの FQDN を用意する．1 つには，DNS

し，これと一緒にページに埋め込まれた IPv4 アドに IPv4 アドレス（A レコード）のみを持つ FQDN

レスを Opengate v6 の CGI へ送信（POST）す（以下，FQDN 4 と記述する）を登録する．もう 1 つる．この際，送信先の Opengate v6 CGI の URLには，DNS に IPv4（A レコード）と IPv6 アドレに，FQDN 64（http://opengate64.example.jp）

Vol. 47

No. 4

IPv6 対応利用者認証システム Opengate1151を指定する．
(5) Opengate v6 CGI において，URL が FQDN 64

4.3.2 Web サーバが IPv4 アドレスのみを持つ
場合（http://opengate64.example.jp）で指定されて(1) スタートアップ Web サーバに IPv4 HTTP リク
エストを送信する．ここで，ファイアウォールによって，HTTP リクエストはゲートウェイ上のいるので，IPv6 の優先利用により，IPv6 アド
レス 2001:db8:3661:1a5::1 に対して HTTP 通信が行われる．そこで Opengate v6 は，環境変数

Web サーバへ転送される．

“REMOTE ADDR” より利用者端末の IPv6 ア

以降は，IPv4/IPv6 アドレスを持つ Web サイトにドレスを取得する．IPv4 アドレスは，認証デー

アクセスした場合における (3)〜(5) と同様である．

タとあわせて POST されているため，これより取得する．
認証の際に，IPv4/IPv6 アドレスを持つスタート
アップ Web サーバへアクセスする場合の，利用者端末情報の取得の流れを図 3 に示す．
図 2 と比較すると分かるように，認証ページの提供の際に，ブラウザのクライアントプル機能を用いてつまり，初回の HTTP リクエストが IPv4 を用いて行われるため，IPv4/IPv6 アドレスを持つ Web サ
イトにアクセスした際の (1) の手順が省略され，(2)以降と同様の処理となる．
以上のように，Opengate v6 の IPv4/IPv6 アドレ
ス取得では，利用者端末がスタートアップ Web サー
バにアクセスする際，通信先の Web サーバの FQDN

ページを自動再表示をすることにより，従来のインタ

は，少なくとも IPv4 アドレスが登録されていて，場

フェースを変更することなく，IPv4 と IPv6 の両方の合によっては IPv6 アドレスが登録されていることをアドレスの取得を可能にした．

前提としている．スタートアップ Web サーバが IPv6

(1) に記したように，最初の IPv6 HTTP リクエス

アドレスしか持っていない場合の認証ページへの転トを Opengate v6 上の Web サーバに転送できない．

送には，対応できていない．これは先にも述べたが，これは，IPv6 ファイアウォール ip6fw が転送機能を実装していないためである．このため，利用者は IPv6

Opengate v6 の動作環境である IPv6 ファイアウォー
ル ip6fw が転送機能を実装していないためである．たによる HTTP リクエストがタイムアウトする時間をだし，現在はこのような Web サーバは少ないため，ス

待たなければならない．各種ブラウザの仕様によってタートアップ Web サーバに指定されることも少なく，

タイムアウトまでの時間は異なるものの，約 5〜15 秒

事実上問題にならないと考える．

ただし，ip6fw のバージョン（FreeBSD4.10 または

4.4 通信路の開放
認証を終えると，次に利用者端末のための通信

FreeBSD5.2 以上に付属の ip6fw）によっては，ブラウザに “TCP reset（RST）notice メッセージ” を送路の開放を行う．認証過程で得られた利用者端末のIPv4/IPv6 アドレスに対するファイアウォールのルーを要する．

信することができるため，タイムアウトによる待ち時

ルを，ipfw，ip6fw にそれぞれ追加することによって間をなくすことができる．

通信路を開放する．

4.5 利用者端末の監視
利用者端末の利用状況を監視するために，従来どおりゲートウェイ側の利用監視プロセスと利用者端末にダウンロードされた Java Applet 間で TCP 接続を行
い，利用状況を監視する．このとき，IPv4/IPv6 デュ
アルスタックの利用者端末の利用状況を監視する際は，

IPv4 で TCP 接続を行うように実装している．これは，利用者端末側に導入される Java VM の仕様のためである．

Java VM には，Microsoft 社のものと Sun Microsystems 社の 2 つがある．最新の Sun Microsys図 3 Opengate v6 における利用者端末情報取得
Fig. 3 Acquisition of terminal information in
Opengate v6.

tems 社の VM（Java Runtime Environment（JRE）
1.4 以上）を利用した場合は，IPv6 を利用することは可能であるが，IPv4 が利用可能な場合は IPv4 を優先するように実装されている．すなわち，IPv4/IPv6

1152

情報処理学会論文誌

Apr. 2006

デュアルスタックの利用者端末の場合でも，必ずしもの両パケットが Opengate v6 を通過しなかった場合

Java VM で IPv6 が利用可能であるとは限らないたに，Opengate v6 の利用終了と判断し，IPv4/IPv6 のめ，Opegate v6 では利用者端末の監視の際に，IPv4

両方の通信路を閉鎖する．

を用いてコネクションを確立する．

Opengate v6 では，認証時に使用しなかった IPv6
アドレスに対しても通信路を開放するため（4.7 節参

4.6 通信状況の監視
Opengate v6 は利用者端末から送信されゲートウェ
イを通過したパケット数を監視する．この際，一定時間以上 IPv4 と IPv6 の両パケットについて，ともに通過が確認できなかった場合に，利用終了を判断して両通信路を閉鎖する．どちらか一方のパケットが通過照），利用終了の際に，これらの IPv6 アドレスに対する通信路も閉鎖する．

4.10 IPv4 を優先利用する IPv6 対応利用者端末について
4.3 節で示した IPv4/IPv6 アドレスを取得する方している場合は，両通信路ともに閉鎖しない．

法は，4.2.3 項で述べたように，IPv6 と IPv4 アドレ

4.7 利用される IPv6 アドレスの監視スの両方が DNS に登録されているサーバに対する，

マルチホーム環境下や，Windows XP における匿ブラウザの挙動をもとにしたものである．多くのブ名アドレスと IPv6 のアドレス自動設定機構により付ラウザは IPv6 を優先して利用するため，この方法でIPv6 と IPv4 の両方のアドレスが取得できるが，一与されたアドレスのように，IPv6 では 1 つの端末が，複数のグローバルアドレスを持つことがある．Open-gate v6 は，認証時の HTTP に用いられた IPv6 アド部の IPv4 を優先して利用するブラウザについては，
IPv6 アドレスが取得できないことになる．

レスについてのみ通信路を開くため，他の IPv6 アド

しかし，このような利用者端末がネットワーク利用

レスに対する通信路は閉じたままである．

の途中で IPv6 を使ったとき，NDP エントリの一覧

そこで，通信状況を監視する際，近隣探索プロトコに IPv6 アドレスが登録される．4.7 節で述べたようルである NDP（Neighbor Discovery Protocol）14) エに，Opengate v6 は NDP エントリの一覧を監視してントリの一覧から得られるアドレス情報と MAC アド

おり，MAC アドレスをもとに追加された IPv6 アド

レスも監視している．NDP エントリの一覧に，利用レスを検知し，そのアドレスに対して通信路を開く機

者端末の MAC アドレスに対応する IPv6 アドレスが能を有している．

新たに追加された場合は，その IPv6 アドレスに対しこの機能によって，IPv6 を優先して使用しない利ても通信路を開放する．また IPv6 アドレスが NDP

用者端末においても，IPv6 による通信が可能となる．

エントリの一覧から削除された場合は，その IPv6 ア

4.11 IPv4 のみを利用する利用者端末ついてドレスに対する通信路を閉鎖する．
これにより，認証時に用いられなかった IPv6 アドレ
スも途中から利用できるようになるだけでなく，4.10
節で述べるように IPv4 を優先利用する IPv6 対応端末に対応することができる．

4.8 利用者情報の記録
従来の Opengate 同様に，SYSLOG 機能を用いてOpengate v6 が利用される環境において，IPv4 のみを利用する利用者端末が接続された場合にも，従来どおりの方法で利用できる必要がある．

IPv4 のみを利用する利用者端末では，4.3.1 項で述べた手順の (3) で IPv4 アドレスを取得された 後 ，手 順の (5) で行 われる URL の FQDN 64（http://opengate64.example.jp）に 対 す る 通 信 にあるならば，利用者 ID，IPv4/IPv6 両方のアドレス，

IPv4 が用いられるため，IPv4 アドレスが再度取得されることとなる．
すなわち IPv4 のみを利用する利用者端末では，すMAC アドレス，利用開始時刻，利用終了時刻を記録す

べての HTTP リクエストは IPv4 を用いて行われ，環利用者情報を記録する．
利用者端末が IPv4/IPv6 デュアルスタック対応でる．利用者端末が IPv4 のみ対応であるならば，IPv6

境変数 “REMOTE ADDR” から IPv4 アドレスのみ

アドレスを省いたものを記録する．また，ネットワーが取得される．この場合は，Opengate v6 は，IPv4

ク利用途中に利用開始された IPv6 アドレスについて通信のみを開閉する．これによって従来の Opengateも同様に記録する．

との互換性を提供している．

4.9 利 用 終 了
先に述べたように，利用監視プロセスと Java Applet

5. 運 用 実 験間の通信が途絶えたとき（Web ブラウザの正常終了，

今回開発した Opengate v6 では，認証インタフェー

異常終了時など），または一定時間以上 IPv4 と IPv6

スやその利用方法は従来の Opengate から変更していVol. 47

No. 4

IPv6 対応利用者認証システム Opengate

図 4 認証インタフェース
Fig. 4 Authentication interface.

1153

図 6 実験ネットワーク
Fig. 6 Experiment network.

表 1 Opengate v6 を構成する主要ソフトウェア
Table 1 Software components for Opengate v6.
種類

ソフトウェア名OS
ファイアウォールFreeBSD 4.10
ipfw（OS 附属）
ip6fw（OS 附属）
natd（OS 附属）
rtadvd（OS 附属）
Apache 2.0
isc-dhcp3
opengate090i+IPv6

NATRA
Web サーバ
DHCP
Opengate v6
図 5 認証後の表示
Fig. 5 Screen of after authentication.

表 2 Opengate v6 の利用記録
Table 2 Statistics of Opengate v6.
全利用数IPv6 利用数
認証失敗数
異常終了数

ない．認証インタフェースと認証後の動作状態を図 4，
図 5 に示す．
利用者数が 30 人ほどの小規模なネットワークにお

4,679
1,302
511
880

いて，Opengate v6 の運用実験を行った．実験に用いたネットワークは IPv4/IPv6 デュアルスタックネッ

後に再度認証を行う必要がある．この問題は Open-

トワークであり，IPv4/IPv6 デュアルスタック対応

gate v6 特有の問題ではなく，利用者が Opengate のの利用者端末と IPv4 のみ対応した利用者端末の利利用に習熟することで解決されると考えられる．

用者が混在している．実験ネットワークでは，Open-gate v6 上で IPv4 DHCP サーバが動作し，また IPv6
RA（Router Advertisement）が送信されているため，

6. 考

察

6.1 スケーラビリティ

利用者端末は IPv4 アドレスを自動的に取得し，またIPv6 アドレスを自動的に生成することが可能である．
運用実験を行ったネットワークを図 6 に示す．また，の利用者端末に対して，CGI によるサーバプロセスがOpengate v6 では，従来の Opengate と同様に 1 つOpengate v6 を構成するソフトウェアを表 1 に示す．
実験ネットワークにおいて 2004 年 11 月 9 日から学で利用されている Opengate では，最大 256 程度のIPv4 アドレス空間を管理し，分散配置するように運2005 年 6 月 30 日までの利用記録を表 2 に示す．全利
用数の約 3 割が IPv6 を利用しているが，問題なく利用者認証が行われ，ネットワークを利用している．異用されている11) ．

常終了が約 2 割ほど発生しているが，これは利用者が1 つ動作する構成になっている．佐賀大学において全IPv4/IPv6 デュアルスタックネットワークにおいて運用する場合，IPv6 の膨大なアドレス空間に対してJava Applet が起動している Web ブラウザで他のペー

IPv4 のアドレス空間による制約が大きい．そのためOpengate 同様に分散配置することが適当であると考ジを読み込んでしまったなどの利用上の問題で，TCPえられるが，IPv4/IPv6 デュアルスタックネットワー

接続が切断したものである．この場合，一定時間経過

クにおけるアドレスの割当ては今後の課題であり，よ1154

情報処理学会論文誌

り大規模な運用実験を通じて考察する必要がある．

6.2 利 用 制 限

Apr. 2006

ある．
ただし，現在は NDP エントリの一覧を一定時間間

4.7 節で述べたように，Opengate v6 は，認証時に隔で監視しているため，タイミングによっては，認証用いられた IPv6 アドレスについてのみ通信路を開く時に使用しなかった IPv6 アドレスを使った Web 通信

ため，他の IPv6 アドレスに対する通信路は閉じたまに対して，ユーザ認証ページを表示してしまうといっまである．そこで，通信状況を監視する際，NDP エ

た問題が発生すると考えられる．この問題に対応する

ントリの一覧も監視している．ただし，この NDP はには，利用者端末にユーザ認証ページを提供しようとルータを越えて配送されない．よって，Opengate v6

する際に NDP エントリの一覧を閲覧し，すでに認証

では，Opengate v6 を利用者端末間と同一セグメントが終了している利用者端末からの通信であれば，即座に設置する必要ある．

に通信路を開放し，認証ページを提供しないといった

また，Opengate v6 を導入したネットワークに，
IPv6 のみを利用する利用者端末が接続される場合がような対応が必要である．

6.4 アドレス偽造に関する危険性考えられる．3.1 節でも述べたが，本方式で認証ページ
を提供する際に必要となるファイアウォールのパケッ
ト転送機能が，IPv6 のファイアウォールに実装され利用者認証に成功した IP アドレスに対して通信の許ていない．さらに，利用状況を監視するために使用す

すでに認証に成功した IP アドレスを偽装し，悪用する利用者端末の Java VM が必ずしも IPv6 に対応しるといった危険性が考えられる．

ていると限らない．このため，利用者端末の監視がで従来の Opengate も同様であるが，Opengate v6 は可を与えるシステムのため，悪意を持った利用者が，また，Opengate v6 は，NDP エントリの一覧を監きない可能性がある．そのほかに，Opengate v6 が利視することによって，新たに利用が開始された IPv6

用者端末の IPv4/IPv6 アドレスを取得する際，IPv6

アドレスの通信を開放するため，MAC アドレスの偽と IPv4 の通信を複合的に利用しているため，IPv6 の装に対しても同様の危険性が考えられる．よって，こみを利用する利用者端末は利用できないといった制限

れらの問題に対応するためには，セキュリティ上の対がある．現状では，IPv6 のみを利用する利用者端末策を行う必要がある．

を使うユーザは少ないと考えられるが，これについて
は今後の課題である．

6.3 IPv6 パケットの転送機能への対応
Opengate v6 に使用した ip6fw は，IPv6 パケット

ただし，Opengate v6 は利用者の認証と記録を行うシステムとして実現したものであり，悪意を持った利
用者への対策は別のシステムとして実現し，組み合わせて利用することを想定しているが，これについてはの転送機能が実装されていない．このため，認証の今後の課題である．

手順で一度 IPv6 の通信がタイムアウトするのを待ち

6.5 研究の応用（あるいは，TCP RST を用いて），次に IPv4 を用いて認証ページを提供している．

現在，ネットワーク利用者認証を行うためのシステ
ムは幅広く研究されている．これらの研究における通しかし，今後 ip6fw に IPv6 パケットの転送機能が信の制御を大きく 2 つに分類すると，OSI 参照モデ

実装，またはこれに代わる同様のプログラムが登場す

ルにおけるデータリンク層で制御する方式3),4) とネッることを仮定すると，IPv6 パケット転送機能を用いトワーク層で制御する方式6),7) に分類できる．本研究て認証ページを提供することも可能となる．ここで，において IPv6 対応を図った Opengate v6 はネット

転送機能が実装された場合における Opengate v6 のワーク層において通信を制御する方式をとっている．

認証手順は以下のようになる．

データリンク層において通信の制御を行うネット(1) スタートアップ Web ページに IPv6 アドレスを送信する．ここで，ファイアウォールによって，ワーク利用者認証システムについては，通信路の開閉

IPv6 HTTP リクエストはゲートウェイ上の Web
サーバに転送する．
以降は，4.3.1 項で述べた IPv4/IPv6 アドレスを持る必要はない．しかし，ネットワーク層において通信

つ Web サイトにアクセスした場合における (3)〜(5)ネットワーク層で通信を制御するシステムで IPv6と同様である．
このように，IPv6 のパケット転送機能が実装された場合においても，Opengate v6 は容易に対応可能でに IP アドレスを用いないため，特に IPv6 を考慮すを制御するネットワーク利用者認証システムにおいては，IPv6 を考慮しなければならない．
対応を図る場合は，本研究において用いた以下の手法
や，考察は適用できると考えられる．

• IPv4/IPv6 アドレスの取得

Vol. 47

No. 4

IPv6 対応利用者認証システム Opengate• 通信路の開閉• 通信状態の監視• IPv6 の複数アドレスへの対応

7. ま と め
利用者認証ゲートウェイシステム “Opengate” のIPv6 対応に関する研究と開発を行った．今回，開発した Opengate v6 は，動作実験において IPv4/IPv6
デュアルスタックネットワークで問題なく動作し，利用者端末において IPv6 を利用することが可能となった．

IPv4 と IPv6 を同時に利用することが可能で，IPv6
アドレスを複数持つ利用者端末も利用可能である．
今後，IPv6 ネットワークの整備が進むにつれて，すでに導入されているネットワーク利用者認証システ
ムの IPv6 対応が求められる．よって，本研究における IPv6 に対応するための手法は有用であると考えられる．
謝辞 システムの開発に際し，有益な議論をしていただいた，佐賀大学理工学部知能情報システム学科渡1155

情報処理学会研究会報告 99-DSM-14，pp.131–
136 (1999).
8) 江口勝彦，渡辺健次：Opengate の IPv6 対応に関する研究，情報処理学会研究報告，2004-DSM36, pp.7–12 (2005).
9) 渡辺義明ほか：Opengate ホームページ．
http://www.cc.saga-u.ac.jp/opengate/
10) 渡辺義明，渡辺健次，江藤博文，只木進一：利用と管理が容易で適用範囲が広い利用者認証ゲー
トウェイシステムの開発，情報処理学会論文誌，
Vol.42, No.12, pp.2802–2809 (2001).
11) 只木進一，江藤博文，渡辺健次，渡辺義明：利用者移動端末に対応した大規模ネットワークのOpengate による構築と運用，情報処理学会論文
誌，Vol.46, No.4, pp.922–929 (2005).
12) 文京学院大学．
http://www.shijokyo.or.jp/LINK/journal/
0501/05 02.html
13) RFC3041 (Privacy Extensions for StatelessAddress Auto configuration in IPv6).
14) RFC2461 (Neighbor Discovery for IPVersion
6 (IPv6)).

辺義明教授，佐賀大学総合情報基盤センター只木進一(平成 17 年 7 月 8 日受付)

教授，江藤博文助手に感謝します．また，システムの(平成 18 年 2 月 1 日採録)

運用実験に参加していただいた佐賀大学理工学部知能
情報システム学科第 5 研究グループの皆様に感謝します．

大谷誠（正会員）

平成 10 年佐賀大学理工学部情報

なお本研究は，平成 17 年度文部省科学研究費補助

科学科卒業．平成 12 年同大学大学金（基盤研究（C）課題番号 17500040）の援助を受け

院工学系研究科博士前期課程情報科ている．

学専攻修了．平成 15 年同大学大学

参

考 文

献

1) 平成 16 年度総務省 IPv6 移行実証実験に基づく『IPv6 移行ガイドライン』，総務省 (2005).
2) 2005 年 IPv6 移行ガイドライン，IPv6 普及・高度化推進協議会 (2005).
3) 石 橋 勇 人 ，山 井 成 良 ，安 部 広 多 ，阪 本 晃 ，
松浦敏雄：利用者ごとのアクセス制御を実現す
る情報コンセント不正利用防止方式，情報処理学
会論文誌，Vol.42, No.1, pp.79–88 (2001).
4) 西村浩二，秋成秀紀，野村嘉洋，相原玲二：遠隔機器制御プロトコルを用いた有線/無線 LAN 用
情報コンセントシステム，情報処理学会論文誌，
Vol.43, No.2, pp.662–670 (2002).
5) 広島大学総合情報処理センター「PortGuard」(2001). http://www.portguard.org/
6) 久長 穣，岡田 隆，刈谷丈治：情報コンセントのユーザ認証について，学術情報処理研究，No.2,
pp.77–81 (1998).
7) 丸山 伸，浅野善男，辻 斉，藤井康雄，中村
順一：既存の DHCP 端末で利用できる利用者にも管理者にも安全な情報コンセントシステムの構築，

院工学系研究科博士後期課程システ
ム生産科学専攻修了．同年同大学海洋エネルギー研究センター COE 研究員．平成 16 年同大学学術情報処理センター講師．平成 18 年同大学総合情報基盤セン
ター講師．博士（工学）．インターネットの研究に従事．
江口 勝彦
平成 16 年佐賀大学理工学部知能
情報システム学科卒業．平成 18 年
同大学大学院工学系研究科博士前期
課程知能情報システム学専攻修了．
インターネットの研究に従事．

1156

情報処理学会論文誌

渡辺 健次（正会員）
平成元年佐賀大学大学院理工学研
究科物理学専攻修士課程修了．同年
同大学情報処理センター助手．平成5 年和歌山大学経済学部産業工学科
助手．平成 8 年同大学システム工学
部情報通信システム学科講師．平成 10 年同助教授．平成 11 年佐賀大学理工学部知能情報システム学科助教
授．教育システム，インターネット，分散システム運用技術の研究に従事．博士（工学）．平成 7 年情報処理学会全国大会奨励賞，平成 10 年教育システム情報学会論文賞受賞．

Apr. 2006