IPv4/IPv6 に対応したネットワーク利用者認証システム
Opengate の改良
大谷 誠 † , 江藤 博文 † , 渡辺 健次 ‡ , 只木 進一 † , 渡辺 義明 ‡†佐賀大学 総合情報基盤センター‡佐賀大学 理工学部

概要:
近年，大学などの教育・研究機関において，IPv6 ネットワークの導入が進んでいる．
よって将来，IPv6 ネットワークの利用者に対して，安全に公開端末や情報コンセントを提供するためには，IPv4/IPv6 の通信を統合的に制御可能とする新たな利用者認証シス
テムの実現が必要となってくる．
佐賀大学では，ネットワークの利用者認証と利用記録を行うためのゲートウェイシ
ステム Opengate を開発・公開し，学内において 2001 年より運用を行ってきた．このOpengate は，2005 年に IPv4/IPv6 の両ネットワークに対応し，学内において試験運用を行っている．この試験運用から，利用者端末の IPv4/IPv6 アドレスの取得方法の改良策を考案し，新たに実装した．本稿では，Opengate における利用者端末の IPv4/IPv6 ア
ドレスの取得方式の改良について報告する．

Improvement of the network user authentication system
Opengate for IPv4/IPv6 network
Makoto Otani† , Hirofumi Eto† , Kenzi Watanabe‡ ,Shin-ichi Tadaki† , Yoshiaki Watanabe‡†‡

Computer and Network Center, Saga University
Faculty of Science and Engineering, Saga University

Abstract:
In recent years, IPv6 network is operated in many campus and research networks.
From this background，it is important to implement a network user authentication
system that can control both communications of IPv4/IPv6, simultaneously.
We have developed and distributed a network user authentication system “Opengate”. It has been operated in Saga University since 2001. Currently, this Opengate
can be used in the network of IPv6, and is operated on campus since 2005. From operation experience, we contrived and implemented the new getting method of IPv4/IPv6
address of a user terminal. This paper describes improvement of the getting methodof IPv4/IPv6 address of the user terminal in the new Opengate.

た．専門教育においても様々な形で，コンピュータやインターネットを利用するようになっている．大学のネッ

1 はじめにトワークは，大学における研究教育を支援することを目コンピュータを利用した情報処理や，インターネット的として構築され，原則として大学の構成員が利用資格による情報収集・交換は，大学における研究教育上で必を有するものである．従って，自由に利用できることを要不可欠な技術となっている．このような背景から，コ目的として設置される公開端末や利用者の移動端末を接ンピュータリテラシ教育は，学生のほぼ必須科目となっ続する情報コンセントにおいても，利用資格を有する者

1

れを図 2 に示す．

のみが利用できる仕組みが必要である．
近年，大学などの教育・研究機関に IPv6 ネットワー

利用者が，始めに Web サイトを閲覧しようとする際クの導入が進んでいる．IPv6 ネットワークを導入する際に，Opengate はその通信を横取り，代わりに認証ページに，既存の IPv4 のネットワークを一斉に IPv6 のみのを利用者に提供する．利用者は，この認証ページにユーネットワークに変更するのではなく，緩やかに IPv4 かザ ID とパスワードを入力し，認証サーバを利用した認ら IPv6 ネットワークに移行する方がネットワーク利用証に成功すると，ネットワークの利用が可能となる．

者への影響も少なく，望ましい．このようなネットワー

Opengate では，ファイアウォールの設定によって任クの移行方法の一つとして，ネットワークの IPv4/IPv6

意の通信プロトコルを常時開放・常時閉鎖・認証後開放

デュアルスタックネットワーク化がある [1][2]．に選択制御できる．ただし Web 以外の通信プロトコルを使用する利用者も，任意の Web サーバへ HTTP アク

この方法では，IPv4 ネットワークに IPv4/IPv6 両通信に対応した機器を導入し，IPv4/IPv6 の両方を利用可セスすることから始める必要がある．

能とする．既に，一般的な OS (Windows XP，Mac OS

! "$#%X など) が IPv6 を標準でサポートしている．このため，



ネットワーク利用者は，IPv4/IPv6 を意識することなく使い分けることができ，徐々に IPv6 へ移行していくことが可能である．
Opengate

佐賀大学では，利用者端末や公開端末からのネットワーク利用を認証・記録する “Opengate” を開発・公開し，2001 年より学内においてディスクレスで運用を行っ  LANてきた [3, 4, 5]．2005 年には，その利用方法を変えずに，

IPv4/IPv6 デュアルスタックネットワークで利用するための利用者端末のアドレス情報の取得手法を提案し，実

図1Opengate のシステム構成例

WWW

装した [6]．



この手法では，利用者端末の IPv4 アドレスを取得するために IPv4 アドレスのみを持つドメイン名を準備し，そこに接続させることによって利用者端末の IPv4 アドレスを取得する．このため，別途ドメインを準備する必Web

HTML RefreshO0P

要があった．SSL を使用する場合には，このドメイン名の為の SSL 証明書も別途準備する必要があった．

OpengateCGI)*+3 1(2

そこで，新たに別途ドメイン名を準備する必要のない手法を考案し，実装した．本稿では，この新しい手法を. ,0/Java Applet

実装した IPv4/IPv6 に対応する Opengate について記述  ! " #MN CGI$&%(' CGIOpengate

POP3FTP, etc.

Java Appletする．

4 5 678
90 ;:<=?> HTTP @0ABCDE
TCP

2 Opengate について

<=FG2IHJ

まず初めに，Opengate の概要や基本的な機能について説明する．

5K L

図 2 Opengate の動作の流れ

2.1 概要
2.2 Opengate の動作環境

Opengate は，特定多数の利用者が多様な端末を接続するネットワーク環境において，利用者認証と利用記録

Opengate は FreeBSD 上で開発を行っている．ファイを行うことができるシステムである．この Opengate でアウォールには ipfw，Web サーバには Apache を利用

は，特別な申請やソフトウェアの準備なしに，利用者端し，利用状態を監視するプログラムを C 言語で開発し末をインターネットに接続することができる．

た．上記のプログラムが，認証後にダウンロードされる

Opengate のシステム構成例を図 1，基本的な動作の流利用者端末の Java Applet と通信することにより利用状

2態を監視する．そのため，利用者端末に Java Applet がアドレス，MAC アドレス，利用開始時刻，利用終了時刻動作する Web ブラウザが必要となる．もし利用者端末を SYSLOG 機能を用いて記録する．ただし MAC アドに Java Applet が動作する Web ブラウザがない場合， レスは Opengate を利用者端末と同一セグメントに設置

Opengate は，あらかじめ設定された時間経過後に利用者している場合に意味がある．

端末の通信路を自動的に閉鎖する．また開放中には arp
や ipfw コマンドを定期的に実行し，端末の MAC アドレ

3 Opengate の IPv4/IPv6 化の改良

スが変更された場合や端末からのパケットが無い場合は

この節では，利用者端末の IPv4/IPv6 アドレス取得方閉鎖する．

法の改良を行った Opengate の概要について述べる．

2.3 認証3.1 IPv4/IPv6 アドレス取得方法の改良

Opengate を利用したネットワークでは，利用者はまず任意の Web サーバへ HTTP を用いてアクセスしなけ

Opengate では，認証後に利用者端末が利用する IP ア

ればならない．このとき，Opengate は，ファイアウォードレスに対する通信を，ファイアウォールによって開放

ルの転送機能を用いて HTTP リクエストを自身の Webする．IPv4/IPv6 デュアルスタックネットワークにおいサーバへ転送する．これによって，利用者端末に認証ては，IPv4/IPv6 の通信を意識せずに併用するため，従ページが表示されることになる．ネットワーク利用者は， 来の IPv4 のみに対応した利用者認証システムを，単にこの認証ページより利用者 ID とパスワードを入力する． IPv6 対応にするだけでなく，IPv4/IPv6 の両通信を統これら利用者 ID やパスワードは，Opengate の CGI に合的に制御可能する新たな利用者認証システムの実現がPOST され，CGI は外部の認証サーバを使用し認証す必要となる．つまり，IPv4/IPv6 に対応する Opengateる．なお，認証には POP3，POP3S，FTP，RADIUS やは，利用者端末が利用する IPv4/IPv6 アドレスを把握PAM を利用することが可能である．

し，統合的に管理する必要がある．

2.4 利用者端末の監視と閉鎖

3.1.1 従来の IPv4/IPv6 アドレス取得方法
Opengate は ，2005 年 に 試 験 的 に IPv6 に 対 応 し認証後，利用者端末に認証完了ページが表示される．
さらに，この認証完了ページとともにブラウザに Javaた．この試験的に対応した Opengate の利用者端末のIPv4/IPv6 アドレス取得方法 (従来手法) について述Applet がダウンロードされる．この Java Applet が監視べる．

プロセスとの間に TCP コネクションを張ることによっ従来手法では，Opengate のサーバ名として二つのて，ネットワークの利用を監視する．この Java Applet

FQDN を 用 意 す る 必 要 が あ る ．一 つ に は ，DNS にと監視プロセスとの TCP コネクションが切れた場合，あるいは Java Applet が監視プロセスからの応答メッ

IPv4 アドレス (A レコード) のみを持つ FQDN(以下，FQDN 4 と記述する) を登録する．もう一つには，DNSセージに応答しなかった場合に利用終了と判断し，通信に IPv4(A レコード) と IPv6 アドレス (AAAA レコー路を閉鎖する．利用者端末に Java Applet が動作するド) の両方を持つ FQDN (以下，FQDN 64 と記述する)

Web ブラウザがない場合，設定時間経過後に通信路を閉を登録する. この 2 つの FQDN を利用者端末のアドレ鎖する．

ス情報の取得に利用する．

Opengate は，利用者が初めて Web サイトを閲覧す

2.5 通信状況の監視る際に，この通信を横取り，認証ページを利用者に提供

利用者端末の存在が確認できたとしても，必ずしも利する．利用者端末が IPv6 に対応している場合，Web サ用者がネットワークを利用しているとは限らない．そこ

イトへの通信は，Web サイトが IPv6 に対応していればで Opengate を通過する，利用者端末から送信されたパIPv6，そうでなければ IPv4 で行われる．以下に，IPv6ケット数を監視し，設定時間内にパケットの通過が確認で通信が行われた場合の従来手法の流れを示す．

できない場合も利用終了と判断し，通信路を閉鎖する．

(1) 利用者端末の Web ブラウザは，Web サーバにIPv6 HTTP リクエストを送信する．しかし，通2.6 利用者情報の記録信路は閉鎖されているため，IPv6 HTTP リクエ

Opengate は利用者の情報として，認証，ネットワークストは遮断される．

利用開始の手続きで取得した利用者 ID，利用者端末 IP

3

(2) Web ブラウザは，同じ Web サーバに IPv4 HTTP

よって別途ドメイン名を準備する必要のない，新たリクエストを送信する．ここで Opengate は，ファな手法を考案し，実装した．以下にこの新手法の手順をイアウォールの転送機能を用いて HTTP リクエ

示す．

ストを自身の Web サーバへ転送する．

(1) 利用者端末の Web ブラウザは，Web サーバに

(3) 次に Opengate の認証のページの CGI に，ブラIPv6 HTTP リクエストを送信する．しかし，通ウザのクライアントプル機能 (html の meta タグ:

信路は閉鎖されているため，IPv6 HTTP リクエ

http-equiv=”Refresh”) を用いた自動再表示によストは遮断される．

り転送する．この際，転送する URL を FQDN 4で指定する．認証ページを提供する CGI では，(2) Web ブラウザは，同じ Web サーバに IPv4 HTTPリクエストを送信する．ここで Opengate は，ファ利用者端末の IPv4 アドレスを環境変数 “RE-イアウォールの転送機能を用いて HTTP リクエ

MOTE ADDR” より取得し，認証ページに hid-ストを自身の Web サーバへ転送する．

den タグを用いてこの IPv4 アドレスを埋め込む．

(3) 上記の (2) における転送は，必ず IPv4 通信によっ(4) 認証ページに，利用者 ID とパスワードを入力すて行われる．この際に，利用者端末の IPv4 アドると，これと一緒にページに埋め込まれた IPv4レスを環境変数 “REMOTE ADDR” より取得すアドレスを Opengate の CGI へ送信 (POST) する．取得した IPv4 アドレスを URL の引数に付加る．この際，送信先の Opengate CGI の URL に，し，認証を行うページ (CGI) に，クライアントプ

Opengate 自身の FQDN 64 を指定する．

ル機能を使って転送する．この引数は他のデータ(5) Opengate CGI において，URL が FQDN 64 でと共にコード化されているが，これについては第指定されているので，Opengate の IPv6 アドレス

3.2 節において述べる．

に対して HTTP 通信が行われる (通常のブラウザ(4) 認証ページに，利用者 ID とパスワードを入力は，IPv6 を優先して利用する)．そこで Opengate

すると，これと一緒に hidden タグによってペーは，環境変数 “REMOTE ADDR” より利用者端ジに埋め込んだ利用者端末の IPv4 アドレスを末の IPv6 アドレスを取得する．IPv4 アドレス

Opengate の CGI へ送信 (POST) する．この際，は，認証データとあわせて POST されているた送信先の Opengate CGI の URL に，FQDN 64

め，これより取得する．

を指定する．

最初の Web サイトのアクセスが IPv4 で行われた場(5) Opengate CGI において，URL が FQDN 64 で指合，上記の (1) の手順が省略され，後は同様である．

定されているので，IPv6 アドレスに対して HTTP

利用者端末が IPv6 に対応していない場合も同様に (1)通信が行われる．こで Opengate は，環境変数の手順が省略される．また，(5) の手順の POST の通信“REMOTE ADDR” より利用者端末の IPv6 アが IPv4 で行われるため，ここで再度 IPv4 アドレスが取ドレスを取得する．IPv4 アドレスは，認証データ得される．とあわせて POST されているため，これより取得する．

3.1.2 改良を行った IPv4/IPv6 アドレス取得方法

最初の Web サイトのアクセスが IPv4 で行われた場

従来手法では，認証ページを表示する際に，IPv4 アド合，従来手法と同様に上記の (1) の手順が省略され，後レスのみを持つドメイン名 (FQDN 4) を準備し，そのドは同様である．

メイン名に一度，ブラウザのクライアントプル機能を用

利用者端末が IPv6 に対応していない場合も同様に (1)いて転送することによって，利用者端末の IPv4 アドレスの手順が省略される．また，(5) の手順の POST が IPv4を把握していた．このため，FQDN 4 を，IPv4/IPv6 アによって行われるため，ここで利用者端末の IPv4 アドドレスを両方持つドメイン (FQDN 64) とは別に準備すレスが再度取得される．

る必要があった．また，SSL を使用する場合には，この以上の利用者端末のアドレス取得の流れを，図 3 にFQDN 4 の為の SSL 証明書も別途準備する必要がある．

示す．

佐賀大学では Opengate を全学規模で運営しており，3.2 取得情報の受け渡し

Opengate のサーバ台数は数十台にも及ぶ．このように複数台の Opengate を運営するといった場合に，従来手新しい Opengate は最初に取得した IPv4 アドレスを法ではドメイン名や SSL 証明書の管理コストがとても大認証 CGI の引数として，コード化して受け渡している．

きくなってしまう．

この際に，コード化した IPv4 アドレスのチェックデジッ

4   IPv4 IPv6!#"
WWW   859  
IPv6 HTTP $%&(' ,.-0/IPv4 HTTP $%&(' K+LOpengateWeb
$  

IPv4

HTML Refresh:<;>=@?BADC:D;E=F? GDH

また，引数として “0-0-0” を指定した場合は，再度認証情報の入力を促さずに，認証時の POST に使用されたアドレス (IPv6 または IPv4) のみの通信路を開放する．これによって，IPv6 に対応した利用者端末において，IPv6通信路のみを開放する，ということが可能となる．このCGI)+*“0-0-0” の指定は，図 5 の一番下に表示されているリン
CGI123 54

IPv4126 5Opengate
CGI
IP 6 or v4 HTTP

クをクリックすることによっても利用可能である．

URL

IPv4 HTTP

7

3.3 利用者端末の複数の IPv6 アドレスの取得<: ;>:D=FIF;E?B=FJ G<?BH ADC

IPv6 or v4IPv4(hiddenIPv6 では，利用者端末が複数の IPv6 アドレスを利用する場合があるため，認証時に使用された IPv6 アドレ)スに対する通信のみを，ファイアウォールで開放しただ
図 3 利用者端末のアドレス取得の流れ

けでは，十分ではない．そこで，通信状況を監視する際，近隣探索プロトコルである NDP(Neighbor DiscoveryProtocol) エントリの一覧から得られるアドレス情報とトや，時刻情報なども同時に受け渡している．図 4 にそMAC アドレスも監視している．NDP エントリの一覧のフォーマットを示す．に，利用者端末の MAC アドレスに対応する IPv6 アド  !"#$%'&?'@(*),+CGI
UNIX time
IPv4 . +0/*1
24357698;:<5>=
図4

レスが新たに追加された場合は，その IPv6 アドレスに対しても通信路を開放する．これについては従来手法ににおいても同様である．

認証 CGI の引数フォーマット

3.4 IPv6 における動作環境
IPv4 アドレスのコード化は，引数の安易な改ざんのIPv6 に関する動作環境について，ファイアウォールに防止を目的として行っている．引数が変更され正しいは ip6fw， Web サーバには IPv6 に対応した Apache をフォーマットではない場合，図 5 を表示し，再度利用者利用した．また，利用者端末への IPv4 のアドレス割り

ID とパスワードの入力を促す．

当てには DHCP を，IPv6 アドレスの割り当てにはルータ通知デーモンである rtadvd を使用し，動作確認を行った．アドレスの割り当て方法は，Opengate の動作には直接影響しない．

4 試験運用佐賀大学では，2001 年より佐賀大学の全域規模で，Opengate をディスクレスによって運用しており，約 5年間の運用実績を持っている．
理工学部において，2005 年 6 月より，従来手法における IPv4/IPv6 に対応した Opengate の試験運用を開始した．2006 年 8 月からは，本稿で報告した新手法のOpengate での運用を開始している．新 Opengate のイ
図5

ンタフェースやその利用方法は，従来の Opengate のも引数変更時の表示画面のと基本的には変更されておらず，利用者はその変更を意識せずに利用することができる．新 Opengate の利用
引数として IPv4 アドレスをコード化して渡しているに関するトラブルも特になく，これまで正常に動作してが，認証時の POST が IPv4 通信によって行われた場合いる．また，試験期間 (2005 年 6 月 1 日〜2006 年 8 月

は，この通信に使われた IPv4 アドレスへの通信路を開19 日) における Opengate の利用回数は 37,837 回であっ放し，引数から渡されたアドレス情報は使用しない．

5

た．そのうち，IPv6 に対応した利用者端末からの利用が

表1

新 Opengate を構成する主要ソフトウェア

1,805 回 (約 4.8%) であった．少ないながらも，IPv6 に対応した利用者端末からの利用が確認できた．
新 Opengate の認証インタフェースと認証後の表示

種類

ソフトウェア名OS

FreeBSD 5.4
ipfw (OS 付属)
ip6fw (OS 付属)
natd (OS 付属)
rtadvd (OS 付属)
Apache 2.0
isc-dhcp3
opengate1.3.14

ファイアウォール

をそれぞれ，図 6，図 7 に示す．また，試験運用中の新Opengate を構成するソフトウェアを表 1 示す．

NATRAWeb サーバ
DHCP
Opengate

ネットワークの利用者に対して，安全に公開端末や情報コンセントを提供するためには，IPv4/IPv6 の通信を統合的に制御可能とする新たな利用者認証システムの実現が必要となってくる．
本稿では，IPv4/IPv6 に対応したネットワーク利用を認証し記録する “Opengate” の，利用者端末の IP アドレス取得方式の改良と実装について報告した．
今後の課題としては，今回紹介した新しい Opengate
図6認証インタフェースの全学的な運用があげられる．また新しい Opengate のディスクレスによる運用も今後の課題である．

謝辞
本研究は，平成 17 年度文部省科学研究費補助金 (基盤研究 (C) 課題番号 17500040) の援助を受けている．

参考文献[1] 平成 16 年度総務省 IPv6 移行実証実験に基づく『IPv6移行ガイドライン』，総務省 (2005)[2] 2005 年 IPv6 移行ガイドライン，IPv6 普及・高度化推進協議会 (2005)[3] 渡辺義明 他 : 「Opengate ホームページ」
http://www.cc.saga-u.ac.jp/opengate/[4] 渡辺義明，渡辺健次，江藤博文，只木進一 : 利用と管図 7 認証後の表示理が容易で適用範囲が広い利用者認証ゲートウェイシステムの開発，情報処理学会論文誌，Vol.42，No.12

5 まとめ

pp.2802-2809 (2001)
大学のネットワークは，大学における研究教育を支援

移動者端末を接続する情報コンセントにおいても，利用[5] 只木進一，江藤博文，渡辺健次，渡辺義明 : 利用者移動端末に対応した大規模ネットワークの Opengate による構築と運用，情報処理学会論文誌，Vol.46，No.4，pp.922-929 (2005)[6] 大谷誠， 江口勝彦， 渡辺健次 : IPv4/IPv6 デュアル資格を有する者のみが利用できる仕組みが必要である．

スタックネットワークに対応したネットワーク利用

また，近年，大学などの教育・研究機関において，IPv6者認証システムの開発， 情報処理学会論文誌，Vol.

することを目的として構築され，原則として大学の構成員が利用資格を有するものである．従って，自由に利用できることを目的として設置される公開端末や利用者のネットワークの導入が進んでいる．よって将来，IPv647， No. 4， pp. 1146 - 1157 (2006)
6