公開端末及び利用者移動端末の認証システムとそのディスクレスマシンによる運用

An Authentication System for Public and Mobile Terminals andIts Operation with Diskless Boot Mechanism
只木進一、江藤博文
Shin-ichi TADAKI, Hirofumi ETO
佐賀大学学術情報処理センター
Computer and Network Center, Saga University
840-8502 佐賀市本庄町 1
1 Honjo, Saga 840-8502
tadaki@cc.saga-u.ac.jp, etoh@cc.saga-u.ac.jp

渡辺健次、渡辺義明
Kenzi WATANABE, Yoshiaki WATANABE
佐賀大学理工学部知能情報システム学科
Department of Information Science, Saga University
840-8502 佐賀市本庄町 1
1 Honjo, Saga 840-8502
watanabe@is.saga-u.ac.jp, watanaby@is.saga-u.ac.jp

我々は、公開端末及び有線・無線を介した利用者移動端末に対応した認証システム Opengate を開発している。
Opengate は、利用者の最初の WWW 要求を契機に認証画面を WWW ブラウザへ表示し、認証によってファイアウォールを制御するシステムであり、利用者登録以外の登録作業及び端末の設定を必要としないことを大きな特徴とする。利用者が移動端末を携帯して全学を移動することを考え、本システムを全学規模で運用するためには、多数のシステムを運用しなければならない。そのコスト削減のため、ディスクレスマシンでの運用を提案する。ディ
スクレスマシンでの運用によって、設定から運用までのコストを大幅に削減できるとともに、保守及びログ収集なども容易に行えるようになる。
キーワード : ネットワーク認証、ファイアウォール、Java、ディスクレスブート

We are developing an authentication system, Opengate, for public terminals, wired and wireless mobile
terminals carried by users. At the first WWW request by user, Opengate shows an authentication form to
the WWW browser and controls a firewall system. The important feature of the system is that the systemdoes not require any setting on user’s terminals and any registrations except usual user registrations. Manysystems should be operated over whole campus, because users use the network with their mobile terminals.
To reduce the cost for operation, we suggest an operation method with diskless boot mechanism. By thediskless operation method, we can reduce the cost for introducing and operating the system. It also simplifies
the procedure for maintaining the system and collecting user logs.
KEYWORDS : Network Authentication, Firewall, Java, Diskless Boot

1

1

序論

はなく、ネットワーク利用の認証を全学共通の環境として提供することを目的としている。

コンピュータを利用した情報処理やインターネット

このようなシステムを運用する場合に、公開端末のを介した情報取得及び情報交換は、分野を問わず、大設置者や移動端末の利用者に特殊なソフトウェアのイ学における研究教育の上で不可欠な技術となりつつあンストールや機器の事前登録などの準備作業を要求しる。そのための情報処理リテラシ教育は、ほぼ全てのないことが望ましい。公開端末の数の増加や移動端末学生の必須科目となりつつある。専門教育にあってもの利用の一般化によって、機器の事前登録やソフトウェ様々な形でコンピュータとネットワークを利用するよアインストール作業への対応そのものが、認証システうになりつつある。

ム運用者への大きな負担となってしまうからである。

このような状況に対応して、情報処理教育のためのまた、学会や研究会などでの来校者、図書館などの演習用端末の充実も進んでいる。学習活動の様々な側学内組織固有の学外利用者など、大学の構成員以外の面でコンピュータとネットワークが利用され、特に自ネットワーク利用への柔軟な対応も求められている。

習でも利用されるようになることを考えると、十分数これらの学外利用者を学内利用者と同様に利用者登録の端末を演習室という形で準備することは現実的ではを行ったり、専用の認証なし端末や情報コンセントをない。利用者の持ち込む有線及び無線の移動端末も視設置することは、ネットワークセキュリティー保護と野に入れ、大学のネットワーク基盤の整備を検討する

利用者管理コスト低減という認証システム導入の趣旨べきである。と相反することとなる。

大学のネットワークは、大学における研究教育を支

本稿では、これらの問題を解決できる認証システム援することを目的として構築され、原則として大学のOpengate を提案するとともに、ディスクレスシステ構成員が利用資格を有するものである。従って、自由ムとすることで、複数の認証システムを若干の多様性に利用できることを目的として設置される公開端末やを許容しつつ、ほぼ同一環境で運用する手法について利用者の移動端末を接続する情報コンセントにおいて議論する。

も、利用資格を有する者のみが利用できる仕組みが必要である。

2

インターネットは社会における様々な面での情報流システムの基本構造通の基盤となりつつある。そのような状況下で、無制限なインターネット利用を放置することは、ネットワー

公開端末・移動端末用イントラネット

ク設置者には許されない。更に、他サイトへの攻撃、認証サーバ

Opengate

情報コンセント

不適切な内容のメール送信や WWW への書き込みなど、不適切なネットワーク利用が行われた場合には、利用者を特定する必要もある [1]。
大学の構成員にネットワーク利用を制限する方法の利用者移動端末

一つは、全ての端末で認証を行うことである。しかし、公開端末インターネットへパーソナルコンピュータで確実に認証を行うことは一無線ステーション

般に困難である。また、利用者の移動端末が持ち込まれる場合には、そのような認証は機能しない。従って、

図 1: Opengate の設置場所

機器そのものに付随する認証機構によって、インターネット利用を制限するのは現実的ではない。
我々は、情報機器の認証機構ではなく、ネットワー

本システム Opengate は、公開端末や利用者持ち込クを利用する際に利用者認証と利用記録を行うゲート

みの移動端末が、ネットワークを利用する際に認証をウェイシステム Opengate を開発した [2, 3, 4]。本シ行うシステムである。従って、本システムは、インターステムは、公開端末、及び有線・無線の利用者の移動ネットと公開端末や移動端末を接続する情報コンセン端末への対応を考え、情報機器の利用のための認証でト群用イントラネットとの間に設置するゲートウェイ

1

端末

認証サーバ

Opengate

WWWブラウザファイアウォール

WWWサーバ

接続要求

インターネット

横取り
CGI

認証画面

認証データ送信 認証データ

認証データ

認証完了
Javaページ

オープン

Java Applet

監視プロセスfork
TCPコネクション
インターネット利用(HTTP以外を含む)

利用終了

クローズ

図 2: Opengate の動作である (図 1)。

利用者が電子メールや TELNET などの WWW 以外のサービスを受ける場合には、一旦 WWW ブラウ

システムの流れを図 2 に示す [2, 3]。利用者が WWW

ザを介して認証を受け、WWW ブラウザを起動したブラウザを起動しインターネット上の URL へ最初に接ままで、これらのネットワークサービスを利用する形続しようとすると、Opengate がその要求を横取りし、を基本としている。もちろん、Opengate では、特定認証画面を利用者のブラウザへ表示する。利用者から電子メールサーバへの要求の透過を認証なしで認める送られたユーザ名とパスワードを使って認証サーバへなどの柔軟な対応が可能である。の問い合わせが行われる。認証に成功した場合には、当該端末に関するパケットの透過がファイアウォールに登上述のように、本システムは、WWW 利用開始と録される。同時にシステムは、利用者ブラウザに Java終了を契機にファイアウォール規則を動的に登録・削Applet を起動し、Opengate との間に TCP コネクションを張り利用状況を監視する。利用者が WWW ブラウ除することで動作するゲートウェイシステムである。

ザを終了するか Opengate が起動した Java Applet をび WWW サーバから構成されている。運用システム終了することで、利用終了が認識され、ファイアウォーにおいては、利用者端末群のネットワークへの外部かルから当該端末に関するパケット透過の規則が削除される。ファイアウォールへの登録及び削除の記録が認らのアクセスを制限するための NAT や移動端末群にIP アドレスを配布するための DHCP が併存する。現証記録とともにログとして残される。

在、Opengate は FreeBSD4.2 で上で、ipfw をファイ

従って、Opengate システムは、ファイウォール機能及アウォール開閉に利用し、apache1.3 を WWW サーバ

認証サーバへの問い合わせは、POP や FTP など複として実装している。

数の標準のプロトコルに対応している。そのため、認証サーバは利用者が通常登録されているシステムを利Opengate は、利用者が最初に行う WWW 要求を契用することが可能であり、特別な利用者登録を必要と機に認証を行うシステムである。従って、端末に WWWしない。

ブラウザ以外の特殊なソフトウェアのインストールや2設定などを行う必要が無く、多様なプラットフォーム空間を移動しながら移動端末を利用することを考えたを利用する多様な利用者に対応することができる。ま場合、全学共通の認証環境は必須である。

た、利用者が特定の認証サイトに一旦アクセスするの

しかし、全学に対して単一の認証サーバの設置は困ではなく、最初の WWW 要求を横取りするため、確難である。公開端末の設置は既に開始されており、プ実に、かつ WWW という容易な GUI を介した認証がリンタの有無や IP アドレスの設定されているネット可能である。

ワーク機器など、公開端末や移動端末の利用できる環端末の利用状況監視は、端末に起動した Java Applet

境は一様ではない。更に、障害やクラッキングが起こっとの通信によって行う。従って、固定的に設置されてた場合、場所を特定するとともに被害を最小限に押えいる公開端末だけでなく、有線及び無線の利用者移動るために、あまり大規模な端末用イントラネットを構端末に対応することができる。さらに、端末群を接続成することは好ましくない。従って、相当数の認証ゲーするスイッチなどのネットワークハードウェアにも依トウェイの設置が必要となる。

存しない。更に、一般的な利用者の登録以外の事前登

更に、附属図書館には大学構成員以外の市民利用者録が不要である。

が存在し、学内の各部局にも定常的なゲスト利用者が存在するであろう。また、学会や研究会などで来訪す3る学外者も存在する。これらの学外者にも、ネットワー運用状況と問題点クの利用を期間を限定して提供することへの要請も強い。Opengate では、複数の認証サーバを指定すること

Opengate は、2000 年から試験運用を開始している。

が可能であり、学内利用者用の認証サーバとは別の専

1. 佐賀大学学術情報処理センター内の情報コンセン
ト及び無線ステーション用の認証として利用して用認証サーバを設定することで、上記のような学外利いる。利用数は少数であるが、約 1 年以上の運用

属図書館内のみや、学会や研究会の会場のみでネット実績を有する。

ワークを利用可能とする柔軟な設定に対応するために用者へのサービスに対応できる。これらの利用者を附も、建物単位などでの Opengate の設置が必要である。

2. 佐賀大学文化教育学部情報処理演習室には約 40台の Windows 端末が設置され、それらの認証と本システム Opengate は、WWW 要求を契機としして Opengate が利用されている。Opengate がてファイアウォールの制御を行うシステムである。ま動作する機器は上記 1 と共用している。当該演習

た、それは FreeBSD という汎用 UNIX システム上に室は、講義及び自習に利用され、認証機能は約 1構築される。汎用 UNIX 上のシステムであるため、中年間の運用実績を有する。

心となる Opengate システムと他の WWW サーバ、認証システムなどを組み合わせて構成することが可能で

3. 佐賀大学附属図書館では、windows 端末が約 40台、WWW 専用端末が約 20 台、情報コンセントある。
一方、本システムが汎用 UNIX 上のシステムである及び無線ステーションが設置され、それらの認証ため、カーネルの再構成、ファイアウォール規則の記として Opengate が利用され、約半年の運用実績述、更に WWW サーバや DHCP サーバの記述など、を有する。

設定項目を多く有している。そのため、学内に多数の更に、佐賀大学学術情報処理センターでは、全学のOpengate システムを提供し、かつある程度バラツキ教室へのネットワーク環境の整備を行い、各教室からのある設定を行うのは容易ではない。また、セキュリ

Opengate を介してインターネットが利用できる準備

ティー管理のためのログの収集及び解析も管理者の大を行っている。

きな負担となる。

公開端末及び利用者の移動端末の認証システムを設

これらの問題を解決するために、Opengate システム

置する場合、全学で共通の認証環境の提供が求められを少数のブートサーバから起動するディスクレスブーる。特に、利用者が、共通科目の講義室、専門科目のトシステムとし、単一のログサーバへログを収集・解講義室、附属図書館、会議室、及びロビーなどの開放析する運用形態を提案する。

3

4

ディスクレスブートシステム

ブートサーバ

ログサーバ

認証サーバ

本システムを実装している FreeBSD では、NIC が+ -有する PXEBOOT(Preboot Execution Environment

Boot) という仕組みを利用したディスクレスでのシステム起動の方法がある1 。FreeBSD システムをディスインターネットへクレスで起動する場合の基本的流れを図 3 に示す。シOpengate

Opengate

Opengate

ステムや NIC の BIOS などにネットワークからの起....

動を指定すると、システムは DHCP サーバなどから起動の情報を得る。その起動情報を基に、システムはTFTP を使って起動用プログラム pxeboot を得たのち、NFS を通じて kernel を取得し起動する。kernel の公開端末・移動端末用イントラネット

起動後、ルートパーティション等を NFS マウントしてシステム起動を継続する [5]。
ディスクレスマシン

図 4: ディスクレス Opengate の設置概念図
ブートサーバNIC

DHCPサーバ
ブート情報取得

システムをディスクレスでネットワークから起動しようとすると、前述のように kernel 及びシステムに必TFTPサーバ

要なファイルシステムを NFS を介して取得する。従っPXEBOOTて、Opengate を通常の形態でディスクレス起動を行PXEBOOT転送

うと、kernel のファイアウォールが起動した段階で外NFSサーバ
kernel

ブート情報取得部との接続が不可能となり、起動することができない。

kernel転送

そこで、ファイアウォールシステムを全ての通信を許可した状態を基本として拒否する規則をその上から設

ルートパーティション
マウント定する方式で構築することで、kernel 起動直後にネットワークを閉鎖するのを防ぐ。

図 3: ディスクレスブートの基本的流れ

NAT はデーモンプロセスを kernel と別に起動するものの、パケットを NAT デーモンへ転送するのは kernel内のファイアウォール機能である。標準の FreeBSD 起

ディスクレスで Opengate システムを起動する場合、動では、ファイアウォール機能が先に設定され、遅れ次のような点での検討が必要となる。第一は、Open-て NAT デーモンが起動される。ディスクレスブート

gate システムが、ファイアウォールや NAT など、ネッの場合には、ファイアウォールに NAT への転送が設トワーク機能の制限を加えるシステムであることであ定された途端にパケットが NAT デーモンへ転送される。第二は、ファイアウォール規則を含め、一台ごとるが、この段階では NAT デーモンは起動しておらず、に異なる設定が必要な点である。

システムが停止する。これを避けるために、ファイアファイアウォールや NAT を有するシステムをディウォールへの NAT 転送設定は、NAT デーモン起動後スクレスで起動するのは一般に困難である。ファイアのシステム起動最終段階で行うことにする。

ウォールシステムは、通常は、kernel の一部として実マシンごとに異なる設定については、FreeBSD の場装される。また、システム自身との外部を含めて全て合、次のような方式を採用することができる。FreeBSDの通信を拒否した設定をデフォルトとして、許可するのディスクレスブートの場合、/etc/rc.diskless1 に設定を追加する場合が多い。

よって、ルートパーティションの内容がメモリ上に置

1 PXEBOOT を利用したディスクレスブートは、Linux などのかれる。その際に、/conf/IP アドレス/etc の内容が他の PC-UNIX 及び Windows でも可能である。ただし、手順はOS によって異なる。

/etc に上書きされる。従って、マシンごとに異なる起4動情報、WWW サーバや DHCP サーバの情報を/etc

対しては、十分長時間の耐久性を有する無停電電源なに集約するような設定を行えば、マシンごとに異なるどをブートサーバに設置するなどの対策が必要である。

設定で起動することができる。

これらの障害対策は、個々の Opengate に対する対策よりも小さな負担とすることが可能である。

ディスクレスブートの場合、ルートパーティションディスクレスでのシステム起動のために、ディスクはメモリ上に置かれるため、ログはシステムダウンによって全て失われてしまう。そこで、syslog 及び logger

レス Opengate とそのブートサーバ間のネットワークの機能を使って、ログサーバへ集約する。

が安定していることが運用には不可欠である。更に、TFTP と NFS というファイル転送プロトコルを利用しているため、サーバへのアクセス制限などの安全性

5

まとめと議論確保にも注意が必要である。外部からのアクセスを制限した専用ネットワーク上での運用などの対策が必要

我々は、公開端末、有線及び無線の利用者持ち込み移である。

動端末に対応したネットワーク利用認証システム Open-gate の開発を行っている。Opengate は、最初の WWW

参考文献

要求のパケット通過を契機として、利用者の WWWブラウザに認証画面を送信し、それに応じてファイア[1] JPCERT/CC「技術メモ – コンピュータセキュリティーインシデントへの対応」 JPCERT-ED-

ウォールを制御するシステムである。

Opengate は、共通科目及び専門科目の講義室から、20000-0007 (2000).

附属図書館、会議室、ロビーなどの公開空間まで、学http://www.jpcert.or.jp/ed/2000/ed000007.txt

内に共通的認証環境を提供することを目的としている。
そのため、設定環境に対する若干の多様性を許した形[2] 渡辺健次、江藤博文、只木進一、渡辺義明 「利で多数のシステムを運用することが必要となる。

用者認証と利用記録機能を実現するゲートウェイ
システム Opengate の開発」信学技報, Vol. 99,

多数の Opengate を運用するために、ディスクレス

No. 591, 43 (2000).

での起動とログの集約のための方法を提案した。ファイアウォール設定手順の変更及び設定ファイルの/etc[3] 渡辺義明、渡辺健次、江藤博文、只木進一 「利ディレクトリの集中で、ディスクレスでシステムを起用と管理が容易で適用範囲の広い利用者認証ゲー動することができる (図 4)。これにより、システム設トウェイシステムの開発」 情報処理学会論文誌,

定コスト及び管理コストの低減が可能となり、若干のVol. 42, No. 12 (2001), 印刷中.

多様性を許容して、多数の Opengate を全学共通の認[4] 渡辺義明 他 「Opengate ホームページ」

証環境として提供することが可能となる。

http://www.cc.saga-u.ac.jp/opengate

更に、個々の Opengate がディスクを持たないために、停電時の停止作業などの電源管理作業が不要とな[5] 山森丈範「PXE で FreeBSD をディスクレスブーる。また、BIOS が持つ電源復旧時の自動起動の機能

トしよう」パワーアップ FreeBSD (Software De-を使って、迅速にシステムの再起動を行うことが可能

sign FreeBSD Issue), pp.166-175 (技術評論社、となる。また、個々の Opengate のハードウェア障害

2001).

時には、ブートサーバの DHCP 設定を変更することで、容易に代替機を導入することができる。
一方で、ディスクレスでの起動を行うために、認証機構の中枢が少数台のブートサーバに集中する。従って、それに対応した別の障害対策を講じる必要がある。
ブートサーバの多重化が必要である。また、ディスクレスマシンの電源投入時の自動起動に対応するため、サーバは常時稼働していることが求められる。それに5