ポータルサイトを核とした仮想ネットワークの構築
大谷誠†1 江 藤 博 文†1 渡 辺 健 次†2只 木 進 一†1 渡 辺 義 明†2

佐賀大学では平成 22 年度に向けて，ポータルサイトを用い効果的な情報提供を可能にするキャンパスネットワークの構築を進めている．このネットワークでは，Web を利用する際に定期的に認証し，認証後に利用者の属性情報に応じたポータルサイトを表示する．この際の認証はシングルサインオン認証に対応し，ポータルサイトからリンクされた Web 情報システムには，再認証なしに利用可能となる．
このようなネットワークを全学規模で実現するためには，多数のサーバを準備し，統合的に管理・運用をしていく必要がある．この多数のサーバの運用の冗長性確保とコスト削減には，仮想化技術が有用であり，本ネットワークの実現においても仮装化技術を用いたネットワークの構築を計画している．本稿では，このポータルサイトを核とした仮想ネットワークの構築とシステムの実現について述
べる．

Construction of the virtual network based on
the portal site
Makoto Otani,†1 Hirofumi Eto,†1 Kenzi Watanabe,†2Shin-ichi Tadaki†1 and Yoshiaki Watanabe†2In Saga University, the construction of a campus network with the portal site which provides
information eﬀectively is planned from 2010. In this network, when users use Web, they needauthentication. And, the portal site according to a user’s attribute information is displayed
after authentication. This authentication is single sign-on authentication, and can use again
without authentication the Web information system linked from the portal site.
Many systems are needed in order to realize this network at the whole university. To reduction of this cost, the system management by the virtual server technologeies is useful, andsuch technology is used for this network. This paper describes the construction of virtual
network and systems which display the portal site.

1. は じ め ににアクセスしてもらえないと，様々な情報を効果的に提供することはできない．よって，ポータルサイトへ情報提供や各種情報サービスを目的として，Web を定期的にアクセスする習慣が身についていない利用者用いた多種多様な情報システムが，近年，大学などでに対しては，情報提供自体が難しくなってしまう．ま運用されるようになってきた．このような Web 情報

た，ポータルサイト上で Web 情報システムをまとめシステムは用途毎にそれぞれ構築される場合が多く，て提供しても，リンクされた各情報システムごとに利通常は利用者が用途に応じてそれぞれの情報システム

用者認証が行われると，利便性が損なわれ，結果としにアクセスする必要がある．このため，各システムをてポータルサイトへのアクセスを減らしてしまう要因

利用しやすいようにポータルサイトにまとめるといっとなってしまう．

た，利便性を向上させる取り組み1 が行われている．

佐賀大学では平成 22 年度に向けて，ポータルサイ

このようなポータルサイトを用いて情報提供を行う

トを用いた効果的な情報提供が可能なキャンパスネッ

場合においても，ポータルサイトへ能動的かつ定期的トワークの構築を進めている．このネットワークでは，

Web を利用する際に定期的に認証を行い，認証後に利†1 佐賀大学 総合情報基盤センター
Computer and Network Center，Saga University†2 佐賀大学 理工学部
Faculty of Science and Engineering，Saga University

用者の属性情報に応じたポータルサイトを表示する．
この際の認証はシングルサインオン認証に対応しており，ポータルサイトからリンクされた Web 情報シス

後の Web 利用時に再度ポータルサイトを表示可能な状態にする．また，これらネットワーク利用の記録を行う．その他に，これらのシステムと連携するポータ   "!

ルサイトおよび Web 情報システムを準備する必要がある．
このようなネットワークの機能を実現するシステム#$"%&(' )+*,.- 0/.1*2- 304/5 1,

図 1 仮想ネットワークイメージ図
Fig. 1 Virtual network image.

として，ポータルサイト表示システムおよび，Open-gate にポータルサイトを表示する機能を実装した SSOOpengate の構築を行った．
また，このシステムの導入の際には，学内の各サブネットワークのゲートウェイそれぞれに，ポータルサテムは，再認証なしに利用可能となる．

イトを表示する仕組みを導入する必要がある，よって，また佐賀大学では現在，ネットワークの利用者認証複数のサーバを準備し，システム全体を構成する必要を行うシステム (Opengate2 ) を，個人のノート PC をがある．このサーバの構築に仮想化技術を行い，冗長接続可能な有線・無線ネットワークにおいて運用して性を確保しつつ運用コストを押さえる機器構成を検討いる．このネットワークにおいても同様にポータルサ

した．

イトを表示する仕組み (SSO-Opengate) を実現する3 ．
このようなシステムを用い，ポータルサイトを核としたキャンパスネットワークを全学規模で実現していくためには，多数のサーバを準備し，統合的に管理・運用を行っていく必要がある．このような多数のサー3. ポータルサイト表示システム
この章では，ポータルサイト表示システムの構成や利用，各機能について述べる．
3.1 概
要

バの冗長性確保と運用コスト削減には，仮想化技術がポータルサイト表示システムは，主に常時接続され有効であり，本ネットワークにおいてもこの仮想技術

るデスクトップ PC 等，あらかじめ接続を把握していを用いてネットワークを構築することを予定している．

るクライアント機器が接続されるネットワークでの利

本稿では，このポータルサイトを核とした仮想ネット用を想定している．

ワークやシステムについての詳細について述べる．

2. ポータルサイトを核とした仮想ネットワー
ク

先にも述べたように，利用者が Web ブラウザを用いて最初にネットワークを利用しようとする際に，ゲートウェイにおいて通信を制御し，ここでシングルサインオン認証を行う．認証成功後は，ポータルサイトにポータルサイトを核としたキャンパスネットワークよって利用者毎の情報の提供を行う．また，一定時間では，Web ブラウザに定期的にポータルサイトを表

経過後に Web への通信路を閉じ，その後の Web 利

示する．また，この際に利用者が認証を行うことで，用において，再度ポータルサイトが表示される状態に利用者の属性情報に応じた情報をポータルサイトを表戻る．

示する．よってネットワーク構成のどこかに，利用者

このシステムでは，あらかじめ接続されている機器の Web の通信を制御し，ポータルサイトを表示するを把握していることを前提としているため，認証 (シ仕組みを導入する必要がある．本システムでは，負荷ングルサインオン) は，利用者の属性に応じた情報の分散や冗長性を考慮し，学内の各サブネットワークの提供と，Web 情報システム利用時の認証の省略のたゲートウェイに，この仕組みを実装することを想定すめに用いられる．Web 以外の通信は，特に認証等をる (図 1)．

行うことなく利用可能である．

利用者が出勤・登校し，Web ブラウザを用いて最初

一方，個人所有の持ち込み PC などの接続を想定したにネットワークを利用しようとする際に，ゲートウェ

ネットワークにおけるポータル表示には，ネットワー

イにおいて通信を制御し，ここでシングルサインオン

クのの利用自体の認証機能も有する SSO-Opengate認証を行う．また，この認証成功後に Web の利用を(第 4 章) を用いる．
3.2 構
成

許可するとともに，ポータルサイトを表示し利用者に応じた情報提供を行う．そして，一定時間経過後 (授

図 2 にポータルサイト表示システムの構成を示す．

業/勤務時間終了等) に Web への通信路を閉じ，そのこのシステムは，利用者端末のネットワークとの間   !"/01325456!7
899 

#%$'&)(+* ,.-:!;!< =>
図 2 システム構成
Fig. 2 System architecture.

 
"!$# h i`j 3klmn,  bbcd@BADCFEBG

465
e6f

0 132

7,878 ./%'&'(') +*,-図 4 認証ページ
Fig. 4 Authentication page.

g  : -6 ( ?
(,9: <;>= ?

  

HJILKMONOP QRTSVUWXZY\[^]`_`a
図 3 モジュール構成
Fig. 3 Module architecture.に，ゲートウェイとなるよう設置し，そこを通過するHTTP パケットを制御することによってポータルサイトを表示する．この制御には，ファイアウォールの機能を用いる．

図 5 ポータルサイト (例)Fig. 5 Portal site (example).

このシステムは FreeBSD 上で構築されており，ファイアウォールの制御には OS 付属の ipfw，認証などのWeb 表示には，Web サーバの Apache を用いている．
表 1，図 3 に実際に動作の確認を行った，ソフト
ウェアとモジュールの構成を示す．ポータルサイト表示システムは，Web サーバから CGI としてプロセスが起動される．利用者の Web ブラウザに認証画面やポータルサイトを表示するとともに，ポータルサイトの再表示のためのファイアウォールの制御を行う．
3.3 利 用 手 順
ポータルサイト表示システムが動作しているネットワーク環境で，PC を利用した際の利用手順を以下に示す．

(1) 利用者が Web ブラウザを用いて任意の URL へアクセスを行うと，その通信が奪い取られ，ユー
ザ ID とパスワードを要求する認証ページ (図 4)が Web ブラウザに表示される．

(2) 利用者は，この認証ページにユーザ ID とパスワードを入力する．

(3) 認証に成功すると，ユーザの属性情報に応じたポータルサイト (図 5) の内容が表示されるとともに，(1) で最初にアクセスしようとしていた URLの Web ページも別ウィンドウ (ブラウザの設定によっては，別タブ) で表示される．

(4) 認証成功後，設定時間 (標準設定:12 時間) が経過するまで，利用者は Web やその他の通信を自由に利用することができる．

(5) (4) の設定時間経過後に (1) の動作に戻る．ただし一定時間 (標準設定:2 時間) の間，ネットワー
クの利用がない場合も同様に (1) の動作に戻る．

3.4 各 機 能
この節では，ポータルサイト表示システムの各機能について述べる．
3.4.1 認証画面およびポータルサイトの表示機能
ポータルサイトを表示するための Web 通信の制御
は，先に述べたように FreeBSD 標準のパケットフィ

表 1 ソフトウェア構成
Table 1 Software architecture.

IdP

SP, SSO-Opengate

OS
シングルサインオン
Web サーバ
認証データベース
OS
シングルサインオン
Web サーバ
ファイアウォールFreeBSD 6.4-RELEASE
Shibboleth IdP 2.1.2
Apache 2.2.11
OpenLDAP 2.4.15
FreeBSD 6.4-RELEASE
Shibboleth SP 2.1
Apache 2.2.11
ipfw(OS 付属)

ルタリング型のファイアウォールである ipfw を用いV WYXている．ipfw は制御ルールを列挙することで，パケッ
!#" %$ &

トの送信元，送信先，ポート番号などとルールを比較し，最初に合致したルールに従い，パケットの制御を行う．
ポータルサイトの表示のための HTTP に対する制
御ルール (表示ルール) を優先度の低い位置に置き，認証成功後に CGI が追加するルール (ポータルを表示しないルール) を表示ルールよりも優先順位の高い位置に追加することで，認証後に Web アクセスが他のプロトコルと同様に利用可能となる．
設定時間経過後に CGI が追加したポータルを表示しないルールを自動的に削除することにより，再度ポー'( ) "%*,+.-,/0!%" $ &2138%9:D; " 46<=E
' * 7F GIH JKL
MONOP!%" $ & /0QSR%T,U 4 :' (,465%7

8#9:2; " 4<=>

 ?A@CB
図 6 シングルサインオン認証の流れ
Fig. 6 Flow of single sign-on authentication.

タルサイトの表示が可能な状態となる．
3.4.2 シングルサインオン認証を行う機能
ポータルサイト表示システムは，シングルサインオンによる認証を行う．このシングルサインオン機能の実現に，Shibboleth を利用した4 ．

Shibboleth は，Internet2 の教育機関向けプロジェク
トである MACE で開発された SAML ベース (Open-SAML) の認証システムである．Shibboleth は，利用者の認証と利用者の属性を提供する IdP，IdP からの属性情報をもとにサービスを提供する SP，複数の IdPを利用する場合に，IdP 選択のための情報を提供するDS で構成される．
ポータルサイト表示システムは，Shibboleth による認証を用いたため，システムそのものは，認証処理は行わない．システムが Shibboleth の SP として動作し，認証の成功した利用者のユーザ ID を IdP に要求・取得することによってポータルサイトを表示する(図 6)．また，このポータルサイト表示システムは，複数の IdP を利用する必要がある場合でも，設定により Shibboleth の DS(図 7) を用いて IdP の選択することで，複数の IdP による認証を行うことが可能である．

図 7 DS による IdP の選択
Fig. 7 Selection of IdP using DS.

3.4.3 利用者の情報を記録する機能
利用情報として，Shibboleth における IdP およびSP の利用ログの他に，syslog によって，ポータルサイト表示システムの利用状況を記録する機能を実装する．これにより，複数のサーバ等の機器によってシステム全体を構成しても，利用者のシステムの利用状況を一元的に把握することができる．

4. SSO-Opengate
SSO-Opengate は，特定多数が個人所有の PC を接続するようなネットワークでの利用を目的としている．
ポータルサイト表示システムでは，Web 以外のサービスは認証せずに利用可能であり，Web 利用の場合には認証を行わせることにより，設定時間おきにポータルサイトを Web ブラウザに表示する．

Web サービス以外を利用する際も，まず Web ブラウザを用いた認証を行わせることで，ネットワーク利図 8 認証許可ページ
Fig. 8 Authentication accept page.

用者認証システムとして利用することが可能である．
これによって，特定多数が個人所有の PC を接続するようなネットワークにおいて利用者認証を行うとともに，ポータルサイトの表示により情報提供を行うことが可能となる．
この仕組みの実現には，現在全学的に運用中のOpengate に，ポータルサイト表示機能，およびシングルサインオン認証機能を持たせることにより SSO-Opengate を実現した．これにより，学内の固定端末の設置を目的としたネットワークおよび，移動 PC 等の接続を目的としたネットワーク全てにおいて，ポータルサイトを表示する機能が実現できる．
この SSO-Opengate は，利用者のネットワーク利用を監視しておき，認証を行った際の Web ページ (認証許可ページ：図 8) を表示している間は，再度ポータルサイトを表示させない仕組みとなっている．ネットワーク利用の監視と Web ページの閉鎖検知は従来の Opengate と同様である．詳しくは参考文献2 を参照されたい．
また，外部組織に設置されている IdP と連携することによって，外部組織の所属者が来学した際に，ゲスト用のアカウントを発行することなく，来学者の所属する組織の IdP を用いて認証することでネットワークサービスを提供することも可能となる．

5. システムおよびネットワークの仮想化
本研究で実現するネットワークの目的は，多くの人が日常的に利用する Web 利用時に認証を行い，ポータルサイトを定期的に表示することで利用者毎の情報伝達を円滑に行うことである．よって，大学の全構成員の多くが利用すると想定される．たとえば，佐賀大学の全構成員は約 1 万人であり，この利用規模においても，ポータルサイト表示システム，SSO-Opengate，ポータルサイト，認証を行う IdP，DS それぞれが，過負荷にならず安定して動作する必要がある．
また，ポータルサイト表示システムおよび SSO-Opengate は，学内の各サブネットのゲートウェイとして動作することを想定しているため，現行のネットワークにおいて機能しているルーティング装置を，このシステムで置き換える必要がある．従って，本シス
テムは，安定なサービス提供とともに適切な負荷分散と冗長性を確保するためにも，一つのサーバとしてではなく複数のサーバとして導入し，これらを一括して管理・運用していく必要がある．
現在，学内で運用している Opengate は，複数のサーバ (約 20 台: 図 9) で構成している．この複数のサーバの構築には，ディスクレスによるネットワークブートが可能な機器を用い，マスターサーバによって設定等を一元管理することで，管理コストを抑えている7 ．しかしながら，この方法では一台のサーバを構築するために，それに対応する物理サーバをそれぞれ一台準備する必要がある．
本研究で実現するネットワークは，持ち込み PC が主に接続される Opengate が想定する利用 (最大同時利用者 300 人 程度) より，遙かに多くの利用が想定され，それに伴い従来の Opengate を運用するのに比べより多くのサーバが必要となる．よってこれらのサーバを柔軟にかつ統合的に管理するために，仮想サーバを用いたシステムを検討した．
図 10 に仮想サーバによるシステムの構成を示す．
物理サーバの 1 台のスペックは，• CPU: Xeon E5540 2.53GHz (Quad Core) × 2• Memory: 20GB

QRST
U " V?WMXZY[ [ \E] \,^3_` a b c _:<;<=?>#@ACBD:<;<= >#@EACB,D: ;<= > @ACB,D*,+.-/* +.-/,0.1
0 1.
%&%.&')( de fhg ')(*,+.-/* +-/,0.1
0 1
%.&%&')( dhe fg ')(( ( '32( ( '32')4 5 6 7 8 9 5')4 5 6 7 8 9 5%&%&')( de fhg ')(ijMk#l Em n?oT #p  F G H IKJMLNIKOKP  !#" $図 10 仮想サーバによる本システムの構成
Fig. 10 System architecture by virtual server system.

現するとともに I/O の統合が実現でき，ケーブリン
グの煩雑さの軽減にも貢献する．
この物理サーバ上にポータルサイト表示システムおよび SSO-Opengate をそれぞれ仮想に数十台構築し，それぞれ動作させることになる．これらのシステムは，先にも述べたように学内の各サブネットワークのゲートウェイとして動作する．よって，このシステム自体がネットワークのルータとして動作することで仮想ネットワークが構築されることになる．数十台のルータを，仮想サーバを用いて実現し，かつその上でポータルサイトの表示サービスを提供する必要があるため，冗長性や柔軟性，帯域の確保が重要な課題となる．
このような要件を満たし，かつ既存のネットワークから柔軟に移行を行うことを想定すると，仮想サーバを用いてネットワークを構成する場合においても，ネットワークの設定が既存の物理ネットワーク機器と同様に行えることが望ましいと考えられる．
そこで，仮想サーバ全体のネットワークの統合的な管理を実現し，かつ物理ネットワーク機器 (L2 スイッ
図 9 ディスクレスブートによる Opengate の運用
Fig. 9 Operation of Opengate by diskless boot.

• CNA (Converged Network Adapter): 2 ポート• Ethernet: 10/100/1000BASE-T 2 ポートとし，この物理サーバを計 7 台準備することによりシステムを運用する予定である．また，この物理サーバ

チ) と同様に設定可能となる仮想ソフトウェアスイッ
チ (Nexus 1000V8 ) を導入することとした．Nexus

1000V は，Cisco Nexus スイッチをソフトウェアとして実装するものである．このソフトウェアは，仮想システム上に常駐し，仮想 OS を管理するハイパーバイザに統合され，仮想マシン対応のネットワークサービスを実現する．のネットワークおよびストレージ (SAN:Storage Area

これにより仮想で構築され，それぞれルータとしてNetwork) 接続は，10Gbps の FCoE (Fiber Channel

数十台が動作する本システムの場合において，移行コover Ethernet) を用いる．これにより高速な通信を実ストやケーブリングの煩雑さの軽減，ネットワーク構成の柔軟な変更などが可能となるため，管理・運用コストを大幅に軽減することが期待できる．現在は，これ7. ま と めら仮想サーバおよび仮想スイッチを用いたネットワー

多くの人が日常的に利用する Web 利用時に認証をクを平成 22 年度の運用に向けて構築を進めている．

行い，大学のポータルサイトを提示することで，大学

6. ポータルサイトと Web 情報システムのシングルサインオン
ネットワークの利用者に情報を提供する他の手段としては，メールを用いた方法が一般的である．所属すからの広報，連絡事項，予定などを表示し，利用者への情報の伝達を円滑に行うことが可能となる．しかし，このようなポータルサイトを用いて様々な情報を効果的に提供するには，利用者に能動的かつ定期的にアクセスを行ってもらう必要がある．

るグループや組織ごとにメーリングリストを構築し，佐賀大学では平成 22 年度に向けて，ポータルサイトこれを用いて，情報提供やファイル提供等が行われる．

を用い効果的な情報提供を可能にするキャンパスネッ

メーリングリストによる情報提供は，受信者に必要のトワークの構築を進めている．このネットワークでは，ない情報が提供されることも多く，受信者に取捨選択を行わせることになるため，多数のメールから必要なWeb を利用する際に定期的に認証し，認証後に利用者の属性情報に応じたポータルサイトを表示する．こ

メールを取捨選択することを受信者に強いることによの際の認証はシングルサインオン認証に対応し，ポーり，メーリングリストによる情報提供は，その有効性

タルサイトからリンクされた Web 情報システムには，を低下させることになりかねない．

再認証なしに利用可能となる．

ポータルサイトを核にしたネットワークにおいては，このキャンパスポータルを核としたネットワークをネットワークの利用者認証の際に，大学のポータルサ実現するために，ポータルサイト表示システム，およイトを表示し，そこで大学からの広報，連絡事項，予定び SSO-Opengate の開発を行った．このネットワーなど，利用者毎の情報を提供する．しかし，これを実現クを全学規模で実現するためには，多数のサーバを準するためには，ポータルサイトに，利用者毎に伝達す備し，統合的に管理・運用をしていく必要がある．こるための情報を登録していく必要がある．今回構築しれを解決するために，仮想サーバ技術を用いたシステ

たポータルサイト表示システムおよび SSO-Opengate

ム構成を検討した．

は，シングルサインオンに対応したポータルサイトを表示するための枠組みを提供するだけであり，ポータルサイトへの情報登録手段や，効率的な表示のさせ方，運用体制などについては，ポータルサイトの運用として別途検討の必要がある．
その他に，ポータルサイトからリンクを行う Web情報システムについて，シングルサインオンへの対応の検討を行う必要がある．通常，大学内には既存のWeb 情報システムが多数ある．また，大学では次々の新しい Web 情報システムが発生する．これらをシングルサインオン対応にすることで，利用者の利便性が向上する．よって，今後情報システムをシングルサインオン対応とするための，手順の整理や支援体制の構築が必要である．しかし，既存の情報システムの中には，シングルサインオン対応が困難なものがあると思われる．このようなシステムのために，擬似的なシングルサインオン等を検討する必要がある．また，シングルサインオンの仕組みは，Shibboleth だけでなく，OpenID や CAS などいくつかの手法がある．これらの対応は今後の課題である．

参考文献1) 名古屋大学ポータルによる情報サービスの統合と課題, 梶田将司, 内藤久資, 平野靖, 瀬川午直, 小尻智子, 間瀬健二, 情報処理学会研究報告, 2007DSM-046, pp.1-6 (2007)
2) HTTP コネクションの監視により利用終了検知を行うネットワーク利用者認証システムの開発とその円滑な導入, 大谷誠, 江藤博文, 渡辺健次, 只木進一, 渡辺義明, 情報処理学会論文誌, Vol.50,No.3, pp.1032-1042 (2009)3) Opengate とシングルサインオン, 江藤博文, 大谷誠, 渡辺健次, 只木進一, 情報処理学会研究報告,2009-IOT-4, pp.259-264 (2009)4) Shibboleth, http://shibboleth.internet2.edu/
5) Moodle, http://moodle.org/
6) Plone, http://plone.org/
7) 公開端末及び利用者移動端末の認証システムとそのディスクレスマシンによる運用，只木進一，江藤博文，渡辺健次，渡辺義明，学術情報処理研
究, No.5, pp.15-20 (2001)
8) Cisco Nexus 1000V, http://www.cisco.com/w
eb/JP/product/hs/switches/nexus1000/