Opengate における名前解決の利用
大谷 誠 † , 江藤 博文 † , 渡辺 健次 ‡ , 只木 進一 † , 渡辺 義明 ‡†佐賀大学 総合情報基盤センター‡

佐賀大学 理工学部

概要:
佐賀大学では，ネットワークの利用者認証と利用記録を行うためのゲートウェイシステ
ム Opengate を開発・公開し，学内において運用を行っている．
この Opengate は，Web ブラウザを用いて利用者認証を行う．この認証の際に，Webブラウザのドメイン名に対する名前解決の挙動を利用することで，利用者端末の IPv4/v6アドレス情報を取得し，その利用者端末に対する通信路を開放する．この名前解決の手法を利用した新たな Opengate の運用を 2008 年 8 月より開始し，IPv6 ネットワークの利用も全学で可能となった．また，この運用で名前解決に使用するドメイン名で UPKI イ
ニシアティブの発行する SSL サーバ証明書を使用した．
本稿では，Opengate における利用者端末の IP アドレス情報の取得と，UPKI イニシアティブの SSL サーバ証明書の導入について報告する．

Usage of the name resolution in Opengate
Makoto Otani† , Hirofumi Eto† , Kenzi Watanabe‡ ,Shin-ichi Tadaki† , Yoshiaki Watanabe‡†‡

Computer and Network Center, Saga University
Faculty of Science and Engineering, Saga University

Abstract:
We have developed and distributed a network user authentication system “Opengate”. It has been operated in Saga University since 2001.
This Opengate uses a web browser for user authentication. In the process of thisauthentication, Opengate gets IPv4/v6 addresses of the terminal using operation ofthe name resolution to the domain name of a web browser. And, Opengate permits communication of the terminal using this address information. Operation ofnew Opengate using this method was started from August, 2008. We used the SSL
certiﬁcate published from UPKI initiative in the new Opengate.
This paper describes the method of the name resolution of Opengate, and installation of the UPKI initiative SSL certiﬁcate.

な形でコンピュータやインターネットを利用するようになっており，学生の個人所有の PC を大学のネットワー

1 はじめにクに接続し利用することも一般的になりつつある．

コンピュータを利用した情報処理や，インターネット

大学のネットワークは，大学における研究教育を支援による情報収集は，大学における研究教育で，もはや必することを目的として構築され，原則として大学の構成要不可欠な技術となっている．専門教育においても様々員が利用資格を有するものである．よって，自由に利用-1-! "$#%できることを目的として設置される公開端末や利用者の移動端末を接続する情報コンセント，無線 LAN においても，利用資格を有する者のみを利用可能とする仕組みが必要となる．また近年，大学などの教育・研究機関において，IPv6 ネットワークの導入が進んでいる．IPv6Opengate

ネットワークの利用者に対して，公開端末や情報コンセントを提供するためには，IPv4/v6 の通信を統合的に制  LAN御可能とする仕組みも必要である．
佐賀大学では，利用者端末や公開端末からのネットワーク利用を認証・記録する “Opengate” を開発・公開

図1





Opengate のシステム構成例

し，2001 年より学内においてディスクレスで運用を行ってきた1)–3) ．2005 年には IPv6 にも対応し，学内において試験運用を行ってきた4) ．

Opengate は，この認証の際に，Web ブラウザのドメ

この Opengate は，Web ブラウザにより利用者認証をイン名に対する名前解決の挙動を利用することで，利用行う．この認証の際に，Web ブラウザのドメイン名に者端末の IPv4/v6 アドレス情報を取得し，その利用者端対する名前解決の挙動を利用することで，利用者端末の末に対する通信路を開放する．アドレス情報取得の詳細

IPv4/v6 アドレス情報を取得し，その利用者端末に対すは第 3 章で述べる．

る通信路を開放する．

認証の際に利用者端末において，Web ブラウザで SSL

2005 年から IPv6 の試験運用を行いつつ Opengate に改良を加え，2008 年 8 月より全学で IPv6 ネットワークが利用可能であれば，利用者の入力情報は暗号化され，Opengate に送信される．

サービスの運用を開始した．この運用では，名前解決に使用するドメイン名で，UPKI イニシアティブの発行する SSL 証明書を使用し，利用者の入力情報の暗号化等を2.2 利用終了の検知
Opengate は認証成功後，認証を行った Web ブラウザ行っている．
本稿では，Opengate における利用者端末の IP アドレの終了を検知することで，ネットワークの利用を終了とス情報の取得と，UPKI イニシアティブの SSL 証明書の判断する．終了の検知の具体的な動作を以下に述べる．
認 証 終 了 後 に ，利 用 者 端 末 の Web ブ ラ ウ ザ 上 で導入について報告する．

JavaScript が実行され，Opengate の監視プロセスと非同期通信を行う．この際の HTTP コネクションを2 Opengate について

HTTP Keep-Alive と遅延応答によって長期間維持し，この HTTP コネクションの切断を検知することで，ネッ

2.1 概要トワークの利用終了と判断する．

Opengate は，特定多数の利用者が多様な端末を接続

ただし，HTTP コネクションの維持によって，利用するネットワーク環境において，利用者認証と利用記録者端末の存在が確認できたとしても，必ずしも利用者がを行うことができるシステムである．この Opengate は， ネットワークを利用しているとは限らない．そこで利用利用者認証に Web ブラウザを用いるため，特別な申請 者端末から送信されたパケット数を監視し，設定時間内やソフトウェアの準備なしに，利用者端末等をインターにパケットの通過が確認できない場合も利用終了と判断ネットに接続することができる．Opengate のシステム

し，通信路を閉鎖する．これ以外にも様々な終了検知方

構成例を図 1 に示す．

法を導入している5) ．

利用者が，始めに Web サイトを閲覧しようとする際に，Opengate はその通信を奪い取り，代わりに認証ページを利用者に提供する．利用者は，この認証ページに

3 利用者端末の IP アドレスの取得

ユーザ ID とパスワードを入力し，認証サーバを利用しOpengate では，認証後に利用者端末が利用する IP ア
た認証に成功すると，ネットワークの利用が可能となる． ドレスに対する通信路を，ファイアウォールによって開認証には POP3，POP3S，FTP，RADIUS や PAM を 放する．IPv4/v6 デュアルネットワークでは，利用者は，利用することができる．また，設定によって任意の通信IPv4/v6 の通信を意識せずに併用するため，Opengateプロトコルを常時開放・常時閉鎖・認証後開放に選択制

では利用者端末が利用する IPv4/v6 アドレスを把握し，御することも可能である．

-2-リクエストを送信する．ここで Opengate は，ファ統合的に管理する．

イアウォールの転送機能を用いて HTTP リクエストを自身の Web サーバへ転送する．

3.1 Web ブラウザの名前解決の動作(3) 上記の (2) における転送は，必ず IPv4 通信によって行われる．この際に，利用者端末の IPv4 アドレスを環境変数 “REMOTE ADDR” より取得すIPv4/v6 対応の利用者端末では IPv6 のみ，あるいはIPv4 のみを用いて通信するといったことは無く，IPv4と IPv6 が複合的に利用される．

る．取得した IPv4 アドレスを URL の引数に付加

現在，広く利用されている IPv6 対応 Web ブラウザ

し，認証を行うページ (CGI) に，クライアントプルの一つとして，Windows Vista 上で利用される Internet機能 (html の meta タグ: http-equiv=”Refresh”)

Explorer 7 (以下，Vista + IE7 と記す) がある．このを使って転送する．

Vista + IE7 の環境で利用者端末が IPv6 アドレスが割り当てられていると，接続先の URL の FQDN につい(4) 認証ページに，利用者 ID とパスワードを入力するて DNS に IPv4 (A レコード) と IPv6 (AAAA レコー

め込んだ利用者端末の IPv4 アドレスを Opengateド) の両方が登録されていた場合，まず IPv6 を利用しの CGI へ送信 (POST) する．この際，送信先のて通信を試みる．そして，この通信が失敗した場合にあらためて IPv4 で通信を試みる．IPv4 (A レコード)，まOpengate CGI の URL に，IPv4/v6 両アドレスを持つ FQDN(以下，FQDN 64) の URL を指定

たは IPv6 (AAAA レコード) のみが DNS に登録されたする．と，これと一緒に hidden タグによってページに埋FQDN に対しては，それぞれのプロトコルのみを用いて(5) Opengate CGI において，URL が FQDN 64 で指定されているので，IPv6 アドレスに対して HTTP通信を試みる．
その他，IPv6 の利用を有効にした Windows XP で利用されるされている IE7 や Internet Explorer 6 と同様通信が行われる．こで Opengate は，環境変数“REMOTE ADDR” より利用者端末の IPv6 アの動作を行う．また，Windows XP や Vista 上で動作すドレスを取得する．IPv4 アドレスは，認証データ

る Firefox，Opera や Safari，FreeBSD 上などで動作すとあわせて POST されているため，これより取得

る Firefox なども，Vista + IE7 と同様に IPv6 を優先しする．て用い，IPv6 での名前解決に失敗すると IPv4 を用いる．
最初の Web サイトのアクセスが IPv4 で行われた場
Mac OS X で利用される Safari は，(バージョンなどによって異なるが) IPv6 の名前解決が無効化されており， 合，従来手法と同様に上記の (1) の手順が省略され，後IPv4 および IPv6 アドレスの両方が登録された FQDN は同様である．
利用者端末が IPv6 に対応していない場合も同様に (1)が URL に指定された場合にも，IPv4 で通信を試みる．
ただし，これらの挙動は，利用者が変更可能であり，IPv6 の手順が省略される．また，(5) の手順の POST が IPv4の名前解決を有効にすることで，Windows の IE7 など によって行われるため，ここで利用者端末の IPv4 アドレスが再度取得される．以上の利用者端末のアドレス取と同様の挙動となる．

得の流れを，図 2 に示す．



3.2 Opengate の名前解決の挙動
以上のように，ほぼ全ての IPv6 対応 Web ブラウザがIPv6 を優先して利用することが可能である．Opengate
では，この挙動を利用して，利用者端末の IP アドレスを   IPv4 IPv6!#"
WWW   859  
IPv6 HTTP $%&(' ,.-0/IPv4 HTTP $%&(' K+LOpengate

Web
$  

取得する．以下に，利用者端末のアドレス情報の取得のIPv4流れを示す．
HTML Refresh(1) 利用者端末が IPv6 通信に対応し，かつ最初にアクセスした任意の Web サーバも IPv6 通信に対応していた場合は，通常多くの Web ブラウザは，最123 54

126 5

アウォールで閉鎖しているため，IPv6 HTTP リ
クエストは遮断される．

図2-3-:D;E=F? GDH)+*

CGI

URL

IPv4 HTTP

7Opengate
CGI<: ;>:D=FIF;E?B=FJ G<?BH ADC

IP 6 or v4 HTTP
IPv6 or v4IPv4(hidden

初の通信を IPv6 で行う．しかし，通信路をファイ(2) Web ブラウザは，同じ Web サーバに IPv4 HTTP

IPv4CGI:<;>=@?BADC)

利用者端末のアドレス取得の流れ

試験運用を開始した当初，認証ページを表示する際に， は，HTTPS による暗号化を行っていたが，ここで利用IPv4 アドレスのみを持つドメイン名 (以下，FQDN 4)

していた SSL のサーバ証明書は IPv4 アドレスによる自を準備し，そのドメイン名に一度，ブラウザのクライアン己署名の証明書であった．よって，セキュリティ上の問トプル機能を用いて転送することによって，利用者端末題があった．また，近年自己署名証明書検出時の Web ブの IPv4 アドレスを把握していた．このため，FQDN 4ラウザの警告表示等が強化されつつあるため，この警告を，FQDN 64 とは別に準備する必要があった．また， 等が利用の妨げにもなっていた．

SSL による暗号化を行う際には，この FQDN 4 の為のSSL 証明書も別途必要であった4) ．

そこで，全学で IPv6 のサービスを開始するにあたり，UPKI イニシアティブの発行する SSL サーバ証明書の取佐賀大学では Opengate を全学規模で運営しており， 得し，Opengate に導入を行った．

Opengate のサーバ台数は現在 22 台にも及ぶ．このように複数台の Opengate を運営するといった場合に，従4.1 UPKI イニシアティブ

来手法ではドメイン名や SSL 証明書の管理コストが大きい．よって別途ドメイン名を準備する必要のない現行の方法に改良した6) ．ただし，この方法では，名前解決

UPKI イニシアティブは，最先端学術情報基盤 (サイバー・サイエンス・インフラストチャ: CSI) を実現すを利用して利用者端末の IP アドレスを取得するため， るために構築中である大学間連携のための全国大学共同Opengate 用に準備した DNS サーバ以外を利用するよう 電子認証基盤構築事業 (UPKI: University Public Keyに利用者端末が設定されていると，正常に動作しない場Infrastructure) の仕様や利用方法について，広く情報公合 (プライベートアドレス使用時など) がある．

開する目的で設立された組織である7) ．現在，UPKI イ
ニシアティブでは，以下で説明するサーバ証明書の発行や，シングルサインオン実証実験などが行われている．

3.3 その他の IPv6 アドレスの取得
IPv6 では，利用者端末が複数の IPv6 アドレスを利用

4.2 サーバ証明書プロジェクトする場合があるため，認証時に使用された IPv6 アドレ
この UPKI イニシアティブのプロジェクトの一つにスに対する通信のみを，ファイアウォールで開放しただ「サーバ証明書発行・導入における啓発・評価研究プロけでは，十分ではない．
そこで，通信状況を監視する際，近隣探索プロトコルでジェクト (サーバ証明書 PJ)」がある．このプロジェクト

ある NDP (Neighbor Discovery Protocol) エントリのでは，大学等へのサーバ証明書の普及や学術機関の Web一覧から得られるアドレス情報と MAC アドレスも監視

サーバ信頼性向上，サーバ証明書の導入・運用ノウハウしている．NDP エントリの一覧に，利用者端末の MACの共有を目的として，参加者の Web サーバに対してサーアドレスに対応する IPv6 アドレスが新たに追加されたバ証明書の無償配布を行っている．

場合は，その IPv6 アドレスに対しても通信路を開放す

こ の プ ロ ジ ェ ク ト に は ，学 術 情 報 ネ ッ ト ワ ー クる．ただし，これは利用者端末が Opengate の直下に接(SINET) に加入する大学等であれば無償で参加できる．
2008 年 8 月 1 日現在で，71 の機関が参加している．佐賀大学においても，Opengate 等でのサーバ証明書の利続された場合にのみ機能する．
また，IPv4 を優先して利用する Web ブラウザを用いて認証を行った場合にも，この方法で利用者端末の IPv6用を目的として参加した．
プロジェクトに参加するには，代表となる「機関責任アドレスを取得し，通信路を開放することができる．

者」と，サーバ証明書発行に関する事務手続きを行う「登録担当者」を決め，機関責任者がドメインの所有や，登4 SSL サーバ証明書の導入録担当者の本人性・実在性を確認した後，書面にて参加

佐賀大学では，2001 年より全学で Opengate を行っている．従来の Opengate は，IPv4 のみのサービスで申請を行う．申請後，機関責任者の本人性・実在性等の確認が行われた後に，参加手続きが完了する．

あったため，通信路の開放には利用者端末の IPv4 アドレスのみを取得すればよかった．そこで，環境変数

4.3 Opengate へのサーバ証明書の導入“REMOTE ADDR” から IPv4 アドレスを取得し，ブラウザのドメイン名に対する挙動を使用していなかった．
よって，Opengate に利用する URL にもドメイン名を利用せずに，IPv4 アドレスを使用していた．
ユーザ ID やパスワードの入力を行う Web ページで佐賀大学では Opengate を全学規模で安定かつ低運用コストでサービスを行うために，若干の設定だけが異なる 22 台のサーバをディスクレスで運用する仕組みを導入している．ディスクレスではあるものの，各 Opengate-4-

は異なるハードウェアで構成されている．このようなWeb サーバの場合，サーバ証明書としてワイルドカード証明書を導入するのが一つの方法である．
しかし，UPKI イニシアティブのサーバ証明書プロジェクトでは，ワイルドカード証明書を発行していない．
サーバの冗長化を目的とした同一 FQDN のサーバに対して証明書の発行は行っているが，これは，各サーバ毎に個別の CSR(Certiﬁcate Signing Request) を作成する必要がある．Opengate では，各 Opengate 毎に個別のFQDN とし，ぞれぞれの FQDN について CSR を作成した．
図3

サーバ証明書プロジェクトにおけるサーバ証明書の申認証インタフェース

請は，Excel ファイルによって行われる．登録担当者が，Web サーバの運用を行う「加入者」の本人性・実在性を確認するとともに，ドメインの実在性とサーバの管理権限等の確認を行う．この確認のち，加入者から提出された CSR 情報を Excel に記入し，メールにてプロジェクトに申請する．このメールには，プロジェクトから発行された S/MIME 証明書により電子署名を行う必要がある．
全学で運用している Opengate は 22 台であり，各Opengate の CSR を個別に作成し，一度に申請を行った．ただし，すべての Opengate 情報を一括して Excelファイルに記述できなかったため，2 つのファイルに分けて記述し，申請を行った．発行された証明書は，プロ
図4

ジェクトの中間 CA 証明書とともに，Web サーバに設定認証後の表示する必要があるが，導入マニュアルなども整備されており，導入も容易であった．

用される多くの Web ブラウザで，導入した SSL サーバ証明書の正常な動作が確認できた．

IPv6 対応の Opengate を導入後，2 週間の利用者は779 人 (教職員 148 人，学生 614 人，学外一時利用者 17

5 運用
Opengate の利用対象者は，佐賀大学の構成員である人) で，利用回数は，のべ 6,981 回であった．開講期間で教職員 (約 1,500 名)，学生 (約 7,500 人)，および学外一はないため，学生の利用は通常より少なかったが，利用時利用者である．開講期間には月平均で約 2〜3 万回の者の多く学生であった (表 1)．

利用があり，多い時には，約 240 人前後が同時に利用し表 1 Opengate の利用者ている．Opengate の認証インタフェースと認証後の表示をそれぞれ，図 3，図 4 に示す．

2008 年 8 月より，全学の Opengate で IPv6 ネット
ワーク (SINET3) のサービスの運用を開始した．移行の際には，ディスクレス環境の再起動などによる 10 分程度

利用者

利用者数

利用回数

教職員

148 (19.00 %)614 (78.82 %)17 (2.18 %)
779 (100 %)1,702 (24.38 %)5,204 (74.55 %)
75 (1.07 %)6,981 (100 %)学生
学外一時利用者のサービス停止が必要であったが，停止を事前にアナウ(合計)ンスしていたこともあり，円滑に移行作業を行うことができた．

IPv6 対応の Opengate は，利用者端末の IP アドレスの取得方法が，従来のものと異なるものの，インタフェースやその利用方法は，従来の Opengate と同じになるよう開発している．このため，移行に伴う新たな利用指導も特に必要としなかった．また，Opengate 環境下で利IPv6 対応端末 (IPv6 アドレスを取得した端末) の接続は，のべ 1,196 回 (17.13 %) であった．接続された全端末で利用された OS は，Windows XP が 5,060 回 (72.48%) で最多であった (表 2)．ただし，IPv6 対応端末では，Windows Vista が 918 回 (76.76 %) であり，多くが標準で IPv6 が利用可能な Vista OS であった (表 3)．

-5-表2利用された OS の割合 (全端末)

OS
Windows Vista
Windows XP
Windows 2000
Mac OS X
Mac OS 9Linux
その他

利用回数割合

1,316
5,060
238
28892050(18.85 %)(72.48 %)(3.41 %)
(4.13 %)
(0.13 %)
(0.29 %)
(0.72 %)6 おわりに大学のネットワークは，大学における研究教育を支援することを目的として構築され，原則として大学の構成員が利用資格を有するものである．従って，自由に利用できることを目的として設置される公開端末や利用者の移動者端末を接続する情報コンセントにおいても，利用資格を有する者のみが利用できる仕組みが必要である．
佐賀大学では，利用者端末や公開端末からのネットワー

表3

ク利用を認証・記録する Opengate を開発・公開し，学内利用された OS の割合 (IPv6 対応端末のみ)

OS
Windows Vista
Windows XP
Mac OS X
Linux

利用回数割合918
133
127
18

(76.76 %)(11.12 %)(10.62 %)(1.51 %)

において運用を行っている．この Opengate は IPv4/v6の両通信に対応しており，2008 年 8 月からは全学で IPv6ネットワークのサービスを開始した．

Opengate では，Web ブラウザのドメイン名に対する名前解決の挙動を利用することで，利用者端末の IPv4/v6アドレス情報を取得する．この名前解決に使用するドメイン名で UPKI イニシアティブの発行する SSL 証明書を取得し，利用した．

認証に利用されたブラウザも，全端末では IE6 が 3,566回 (51.06 %) で最多であったが (表 4)，IPv6 対応端末では IE7 が 878 回 (73.41 %) で最多であった (表 5)．これは，Vista で標準に利用できる Web ブラウザが IE7 であることが原因であると思われる．
表41) 渡辺義明 他 : 「Opengate ホームページ」

利用された Web ブラウザ (全端末)

ブラウザ

Internet Explorer 7
Internet Explorer 6
Firefox 3
Firefox 2
Firefox 1
Safari 3
Safari 2
Safari 1
その他

参考文献
http://www.cc.saga-u.ac.jp/opengate/2) 渡辺義明，渡辺健次，江藤博文，只木進一 : 利用と管利用回数割合

理が容易で適用範囲が広い利用者認証ゲートウェイシ

2,192
3,566367419100110
799
121(31.40 %)(51.06 %)(5.26 %)
(6.00 %)
(1.43 %)
(1.58 %)
(0.10 %)
(1.43 %)
(1.73 %)

ステムの開発，情報処理学会論文誌，Vol.42，No.12

pp.2802-2809 (2001)
3) 只木進一，江藤博文，渡辺健次，渡辺義明 : 利用者移動端末に対応した大規模ネットワークの Opengate による構築と運用，情報処理学会論文誌，Vol.46，No.4，pp.922-929 (2005)
4) 大谷誠， 江口勝彦， 渡辺健次 : IPv4/IPv6 デュアル
スタックネットワークに対応したネットワーク利用者認証システムの開発， 情報処理学会論文誌，Vol. 47，

表5利用された Web ブラウザ (IPv6 対応端末のみ)

ブラウザInternet Explorer 7
Internet Explorer 6
Firefox 3
Firefox 2
Safari 3
Safari 1
その他

利用回数割合87857915081363(73.41 %)(4.77 %)(7.61 %)
(4.18 %)
(6.77 %)
(3.01 %)
(0.25 %)

No. 4，pp.1146-1157 (2006)
5) 大谷 誠, 江藤博文, 渡辺健次, 只木進一, 渡辺 義明:“HTTP コネクションの維持による利用終了検知を行うネットワーク利用者認証システムの開発とその運用”，学術情報処理研究，No. 11，p.87-p.91 (2007)6) 大谷誠, 江藤博文, 渡辺健次, 只木進一, 渡辺義明: “ネットワーク利用者認証システム Opengate の改良と運用について”, 学術情報処理研究, No. 10 (2006)
7) UPKI イニシアティブ ホームページ
https://upki-portal.nii.ac.jp/- 6 -」