利用者移動端末に対応したネットワークの運用– 佐賀大学での Opengate の運用 –只木進一∗ 、江藤博文
佐賀大学学術情報処理センター
渡辺健次、渡辺義明
佐賀大学理工学部知能情報システム学科ができる。また、大規模に運用するために、Opengate

概要をディスクレス化し、集中管理する手法の開発も行っ利用者がノート型などの移動型端末を携行しているてきた [8]。

状況が日常化している。こうした移動型端末の接続環

実際に、利用者の移動型端末に対応したネットワー境の整備も進んでいる。我々は、利用者移動端末や公クを全学規模で運用すると、様々な問題が発生する。

開端末からのネットワーク利用を認証する Opengate

大学ネットワークの管理者の手が届かない端末が多数を開発してきた。その全学規模での運用に向けた技術発生することで、不適切なネットワーク利用に使われと運用上の問題点について報告する。

る端末やコンピュータウィルスを感染させる端末が多数発生する。

1

本稿では、ディスクレス化することによる Opengate

はじめにの大規模運用と、実際に運用した際の障害と対策につコンピュータとインターネットの利用は、生活のあらいて報告する。

ゆる部分に普及している。大学においては、学生や教職員など利用者個人がノート型パーソナルコンピュー

2タ (PC) を携帯する姿が増えている。学生がこうしたOpengate の仕組み

移動型端末を携帯していることを前提とした教育カリ

Opengate は、利用者が持ち込むノート型 PC などキュラムも増えつつある。
利用者の移動型端末を大学内で有線あるいは無線をの移動型端末を接続するネットワークとインターネッ介してインターネットへ接続するための、ネットワークトの間に設置するゲートウェイである。利用者が Webシステムの開発も近年盛んに行われている。事前に利を介してインターネットへ接続しようとする要求を契用者や端末に関する情報を登録したり専用ソフトウェ機に、利用者の Web ブラウザに認証画面をダウンロー

アをインストールするものから、単に認証などを通じドし、認証によってファイアウォールを開閉する [6,7] 。
動作の流れを図 1 に示す。利用者が Web を介しててゲートウェイを開閉するものまで、いくつかの方式

インターネットへ接続しようとする要求は、Opengateが提案されている [1–5] 。
我々は、利用者の移動型端末から Web を利用する上で稼働するファイアウォールによって Opengate 上際に認証を行う Opengate システムを提案し、運用しの Web サーバへと転送され、利用者の Web ブラウザてきた [6, 7]。Opengate では、利用者は特別な申請やに認証画面がダウンロードされる。

ソフトウェアの準備なしに、利用することができる。

Web ブラウザから送られた利用者名とパスワード

また、システムも、平均的な機器構成で構築することを使って、別に設置された認証サーバへの認証が行わ∗ e-mail:tadaki@cc.saga-u.ac.jp

れ、成功するとファイアウォールが開かれる。Web ブ1

端末

認証サーバ

Opengate

WWWブラウザ
接続要求

インターネット

表 1: Opengate を構成する主要ソフトウェア種類
ソフトウェア名

ファイアウォール

WWWサーバ
横取り

CGI

認証画面

認証データ送信 認証データ

認証データ

認証完了
Javaページ

オープンJava Applet

監視プロセスOS

FreeBSD5.1

ファイアウォール

ipfw(OS 附属)
natd(OS 附属)
Apache 2.0
isc-dhcp3

NAT
Web サーバ
DHCP

fork
TCPコネクション

3

インターネット利用(HTTP以外を含む)

ディスクレスによる Opengate の大規模運用

利用終了

クローズ

3.1

図 1: Opengate の動作の流れ

ディスクレスの必要性

1 台の Opengate で全学規模の運用することには問題がある。第一の問題は、処理能力の問題である。通常の利用であれは、100 台規模のクライアント数であっラウザには認証成功を知らせるページとともに Javaても問題なく動作することが確認されている。しかし、Applet がダウンロードされ、監視プロセスとの通信で後述する MSBlaster のようなネットワーク帯域を消費利用していることをモニタする。

するタイプのウィルスが活動する場合には、10 台程度の MSBlaster を有するクライアントの存在でシステム

Java Applet が停止する、あるいは一定時間の間通信が行われないと監視プロセスは利用終了と判断し、ファイアウォールを閉じる。Java Applet が動作しな停止を招く。

い端末でも、あらかじめ設定された時間の間、通信がトの場所と利用者を特定し、対処する必要がある場合可能なようにすることも可能である。

がある。また、そのようなクライアントからの影響が第二の問題は、障害や不適切な利用があった場合への対応である。そのような場合に、迅速にクライアン

このシステムを利用するには、クライアント側に他のクライアントへ及ぶことを最小限にする必要があWeb ブラウザ以外の特別なソフトウェアを必要としない。また、認証サーバへは ftp や pop などを使うため、既に運用している情報システムを利用することが可能である。つまり、特別な利用登録も必要としない。

る。そのため、適当に分割されたネットワークごとにOpengate を設置することが望ましい。
第三に、冗長性の確保と拡張性が必要である。多くの利用者が個人の移動型 PC を携行するようになっており、そのような移動型 PC を接続できるネットワー

従って、Opengate は利用者が携帯する移動型 PC だ

クを安定してサービスするには、機器の障害時に迅速けでなく、利用者認証機構を持たない固定の公開端末に復旧できることと、対象箇所の拡大が容易である必群のゲートウェイとしても利用することが可能である。

要がある。

Opengate 本体は、FreeBSD 上で動作している。ファそこで、佐賀大学では、ほぼ建物ごとに設置されたイアウォールには ipfw、Web サーバには Apache が、監視プロセスには C プログラムが使われている。その

21 台の Opengate を運用し、二つのキャンパスにわたって利用者移動端末の接続サービスを行っている (図 2)。

他、必要なソフトウェアは、DHCP と NAT である。

多数の Opengate を運用するために、佐賀大学ではつまり、NIC を 2 枚以上持つ通常の PC-UNIX で構それらをディスクレスで運用している [8]。ディスクレ築することが可能である。主要ソフトウェアを表 1 にスで運用することで、各 Opengate の IP アドレスなど示す。

少数の個別設定以外を共通として、多数の Opengate

2公開端末・移動端末用
イントラネット

Opengate

認証サーバ

情報コンセント

インターネットへ
Opengate

利用者移動端末
公開端末

ブートサーバ
ログサーバ

無線ステーションOpengate
公開端末・移動端末用
イントラネット

図 3: ディスクレス Opengate の運用ネットワーク上書きが行われる。
図 2: ディスクレス Opengate 群

Opengate はファイアウォールと NAT を利用するシステムである。このようなシステムをディスクレスでを安定運用することが可能となる。

運用するためには、注意が必要である。第一は起動時

Opengate 運用のネットワーク構成を図 3 に示す。各Opengate の起動と NFS マウント、ログ収集のための専用閉鎖ネットワークを設定してセキュリティの保持をしている。認証は、研究教育用システムと同じ利用に、ファイアウォールが開放になっていなければ、NFSマウントそのものができなくなってしまう。FreeBSD
では、デフォルト設定がファイアウォールを完全閉鎖するようになっている。kernel の設定を変更するとと者認証が可能な汎用認証サーバを利用している [9]。

もに、ファイアウォール規則 (/etc/rc.firewall) で、最後に全てを閉じる記述が必要である。

3.2

ディスクレスシステムとファイアウォー
ル

NAT はファイアウォールからパケットを転送される。しかし、FreeBSD の起動順序では、ファイアウォー

FreeBSD のディスクレス起動では、DHCP サーバからネットワーク情報と起動プログラム PXEBOOT の場
所に関する情報を得た後、TFTP を使って PXEBOOTをダウンロードする。PXEBOOT は NFS を介してル起動時には NATD が起動されておらず、この時点kernel を取得し、OS を起動する。ルートパーティショ
ン以下全てを NFS でマウントするが、/var と/etc はメモリ上に置かれる。FreeBSD5 からは、ブートサーバの/usr もマウントする仕様となっている。ルートパー変更が必要となる。

へ集約している。集約されているログは、Opengate のティション下の/conf/IP アドレス/etc 以下に端末固開閉、Web サーバのアクセス及びエラー及びファイア有の情報を格納すると、ディスクレス起動時に/etc にウォールのログである。

で通信が停止してしまう。そこで、ファイアウォールへの転送は起動時には行わず、起動順序の最後にファイアウォール規則に NAT への転送を追加するように

各 Opengate のログは、syslog を通じてログサーバ

3

3.3

ホストごとの設定

表 2: Opengate の利用状況 (2003 年 9 月 20 日 18 時

各 Opengate ごとに異なる設定は、データベースに情から 10 月 23 日 13 時)。利用数はのべ数。
gateway
opengate00
opengate-med
opengate01
opengate02
opengate03
opengate04
opengate05
opengate06
opengate07
opengate08
opengate09
opengate10
opengate11
opengate12
opengate13
opengate14
opengate15
opengate16
opengate17
opengate18
opengatelib2

報が蓄積され、テンプレートからスクリプトで生成するなどでほぼ自動生成することができる。各 Opengateごとに異なる情報の中心は、IP アドレス、ネットワー
クアドレス、NIC のデバイス名であり、これらはほぼ/etc/rc.conf を通じて設定することができる。
各 Opengate ごとの dhcp サーバの設定は、テンプレートから生成した後、各 Opengate 下に設置されている固定端末の情報をデータベースから取得して追加する。この設定は/etc/に置かれるように設定している。
附属図書館用 Opengate には、OPAC(Online PublicAccess Catalog) や電子ジャーナルなど認証無しで通過させる設定が必要となっている。今のところ、この特殊設定は、一旦生成された/etc/rc.firewall に手動で挿入している。

Web サーバの設定及び Web ページも/etc/apacheの下に設置し、Opengate ごとに異なる設定が可能と

利用数
7046
14264
38627231869
103620253
1016184535754110297295
44

設置場所
附属図書館
医学分館
文化教育学部
就職相談室を含む
教養教育機構を含む
経済学部、サークル棟
理工学部
改修
国際交流会館を含む

農学部、宿泊施設を含む
大学会館
科学技術協同開発センター
学術情報処理センター内なっている。SSL のキーも各 Opengate に設定されている。
多いためと予想される。

4

Opengate は認証サーバを複数指定することができる。そこで、学生及び教職員などの通常の利用者の他に、一時利用者が Opengate だけを利用することがで利用状況
佐賀大学は、2003 年 10 月の佐賀医科大学との統合

きるゲストアカウントと専用認証サーバを用意していによって、新たに医学部が増え、5 学部で構成されてる。ゲストアカウントは常時用意されており、利用希いる。医学部のあるキャンパスへの Opengate の設置

望者は、身分証などを提示し、申込書に署名するだけは附属図書館分館に限られているが、佐賀大学の医学で利用できる。このアカウントは、附属図書館を利用部以外があるキャンパスの全域で Opengate を介してする学外者、研究会や短期訪問などで佐賀大学を訪れ有線無線のインターネット利用が行える。

る研究者などが利用している。

最近の利用状況を表 2 に示す。利用数は Opengateを通じた認証成功数をのべで表している。附属図書館(Opengate00) がもっとも利用が多いが、ここには 50台以上の固定端末があり、認証に Opengate が利用されている。Opengate12 下には情報系学科があり、学生5個人の移動型 PC を教育に利用しているため、利用が接続する多数の利用者がおり、多くの個人の移動端末多い。Opengate14 下にあるのは化学系学科だが、個が接続されている。また、適切な管理が行われていな

人の固定型 PC を Opengate 下に置くことを許可してい端末も接続されている。そのため、ウィルスを持っいるため、多数の利用がある。ている端末や、大量のファイルダウンロードなどの不ウィルス対策など
前述のように、Opengate を介してインターネットへ利用時間の累計を図 4 に示す。化学系学科、附属図

適切な利用が行われる端末もある。それらへの対策状

書館、情報系学科の順に利用時間累計が多い。化学系

況を報告する。

学科が接続時間が長いのは、学生個人の PC が常時接MSBlaster は 2003 年 8 月上旬に発見されたワーム型ウィルスであり、135 番ポートを使ってコピーを配続された形態が多く、夜間などに長時間の連続接続が418000000

16000000

14000000use (second)

12000000

10000000

8000000

6000000

4000000

2000000

op
en
ga
te-m
ed
op
en
ga
te
00
op
en
ga
te
01
op
en
ga
te
02
op
en
ga
te
03
op
en
ga
te
04
op
en
ga
te
05
op
en
ga
te
06
op
en
ga
te
07
op
en
ga
te
09
op
en
ga
te
10
op
en
ga
te
12
op
en
ga
te
13
op
en
ga
te
14
op
en
ga
te
15
op
en
ga
te
16
op
en
ga
te
17
op
en
ga
te
18
op
en
ga
te
lib
20

gateway

図 4: Opengate の累計利用時間 (2003 年 9 月 20 日 18 時から 10 月 23 日 13 時)。

布する [10] 。通常は、ファイアウォールなどを通じて135 番ポートの通信が行われない設定を行えば侵入を防げるはずである。しかし、自宅で感染したものを学内に持ち込まれるという形で、8 月下旬から感染が広ターへ直接機器を持ち込んでもらい、センター職員ががった。学生たちが夏休みを終えて戻ると Opengateの下でも MSBlaster 及びその亜種が活動する状況とP2P 型のファイル共有ソフトウェアは、著作権侵害などの問題を引き起こすとともに、ネットワーク帯域なった。

を占有することがある。主要な P2P 型ソフトウェア

MSBlaster は毎秒、数 10 箇所へ接続を試みる。また、その亜種の中には接続の前に ping を試みるものもある。
Opengate は NAT を利用しているため、MSBlaster がが使用するポートをファイアウォールで閉じても、ラ接続を試みるたびに NAT の変換テーブルを消費する。

ある。

対策を行った。現在は、ほぼ収束した状況である。
また、139 番ポートや 445 番ポートなどを通じて感染するワームの活動も検出し、対策を行っている。

ンダムに相手先のポートをスキャンするものや、プロキシサービスを利用するものなどが利用される場合がこれらのソフトウェアの特徴としては、接続先をラOpengate を稼働しているマシン (Pentium III 1GHz,512MB メモリ) の場合、一クライアントが MSBlasterを保有している場合、CPU の約 20%が NAT プロセス

ンダムにスキャンする場合も、プロキシサービスを利に使われてしまい、10 クライアントが MSBlaster をて自分のポート番号を一つずつ増やしながら通信する

保有していれば、Opengate が機能不全となることがという特徴を持っている。そのような特徴のあるファ判明した。

イアウォールログから、該当者への注意を行っている。

用して相手先を固定している場合でも、長時間にわたっ

そこで、135 番ポートアクセスを Opengate のファイアウォールのログから検索し、発見次第、利用者に6直接、あるいはその所属に対して対策依頼を行った。

まとめと議論

また、MSBlaster を持つクライアント数が多い場合にOpengate は、利用者が自らの端末を特別な手続きは、一時的に ping を拒否する設定を行ってシステムなしに接続することができる仕組みとして、佐賀大学停止を防いだ。利用者によっては、学術情報処理センで定着している。学生が利用するだけでなく、教員が5学内を移動して、講義や会議の際にネットワーク上の参考文献資源を利用しながら講義や議論ができる基盤として有[1] 久長 穣、岡田 隆、刈谷丈治: 情報コンセントのユーザ認証について, 学術情報処理研究 2 77–81効性を発揮している。本節では、サービス内容と管理手法の発展方向について議論する。

(1998).
一つは、IPv6 への対応である。IPv6 は次世代のイ[2] 丸山 伸、浅野善男、辻 斉、藤井康雄、中村順一:
既存の DHCP 端末で利用できる利用者にも管理者ンターネットプロトコルとして注目され、SINET での運用も開始されている。通常利用される多くの OS もIPv6 に対応している。通常は、IPv4 とのデュアルスタックで実装されている。Opengate を IPv6 化するためには、デュアルスタックに対応して、IPv4 と IPv6にも安全な情報コンセントシステムの構築, 情報処理学会研究会報告 99-DSM-14 131–136 (1999).

[3] 石橋勇人、山井成良、安部広多、大西克美、松浦のファイアウォール操作を同時に行うことが望ましい。

敏雄: IP アドレス/MAC アドレス偽造に対応した情報コンセント不正アクセス防止方式, 情報処

IPv6 サービスを行うことは、クライアントに IPv6グローバルアドレスを割り当てることと等価である。
各クライアントが自らセキュリティー対策を講じられない現状では、IPv6 への移行にはセキュリティーなど

理学会論文誌 40(12) 4353–4361 (1999).

[4] 石橋勇人、山井成良、安部広多、阪本 晃、松浦敏
雄: 利用者ごとのアクセス制御を実現する情報コンセント不正利用防止方式, 情報処理学会論文誌
42(1) 79–88 (2001).

解決すべき他の課題がある。
現在の Opengate では、利用者ごとに異なるファイアウォール規則を適応することを行っていない。学生、[5] 西村浩二、秋成秀紀、野村嘉洋、相原玲二: 遠隔機器制御プロトコルを用いた有線/無線 LAN 用情報コンセントシステム, 情報処理学会論文誌 43(2)

教職員、学外者に応じたファイアウォール規則は必要になる可能性は大きい。佐賀大学では、認証の統合化を行っている [9]。現在の認証サーバもこの統合認証シ

662–670 (2002).

ステムを利用しているが、更にこのシステムから提供される身分情報を利用して、サービス内容を決定する[6] 渡辺義明、渡辺健次、江藤博文、只木進一: 利用と管理が容易で適用範囲の広い利用者認証ゲートウェことも可能であろう。

イシステムの開発, 情報処理学会論文誌 42(12)前述のように、各 Opengate の個別設定は、データ

2802–2809 (2001).

ベース化されている。これらの情報は、各 Opengate を再起動する際に反映することができる。しかし、サー[7] http://www.cc.saga-u.ac.jp/opengate

ビス中にファイアウォール規則を変更するなどの操作[8] 只木進一、江藤博文、渡辺健次、渡辺義明: 公開端末及び利用者移動端末の認証システムとそのディスクレスマシンによる運用, 学術情報処理研究 5

は、各 Opengate にログインすることで行っている。
また、現在のファイアウォール規則や arp テーブルの状況を知るにも各 Opengate にログインしなくてはな

15–20 (2001).

らない。こうした運用手法の改善が必要である。

[9] 江藤博文、渡辺健次、只木進一、渡辺義明: 大学
における情報基盤の中核となる統合認証システ

利用者の持ち込む端末は、OS へのセキュリティーパッチが適切に適応されていないものや、ウィルス対策ソフトウェアを持たないものなどが多く含まれていム, 情報処理学会シンポジウムシリーズ 2003(6)る。MSBlaster のような型のウィルスの場合、ファイ

43–48 (2003).

アウォールに活動記録が残るが、もっとも一般的なウィ[10] MSBlaster の情報については、例えば以下を参

ルス付きメールを送るタイプのものはファイアウォー

照:http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.blaster.worm.html

ルでは活動状況は分からない。Opengate を通過する

SMTP パケットをウィルスフィルタなどを通すなどの処理を行う必要もある。
6