令和 3 年度 東海国立大学機構 第 1 回 技術発表会 名古屋会場（2022 年 3 月 7 日開催）

名古屋大学無線ネットワークにおける新 Web 認証システム導入とゲスト専用ネットワークの展開について

石原正也 A)、岩瀬雄祐 A)、川瀬友貴 A) 、川田良文 A)○A)

情報通信技術支援室 情報基盤技術グループ

概要
名古屋大学では名古屋大学構成員およびゲストユーザ向けの全学的な無線 LAN サービスとして名古屋大学無線ネットワーク（NUWNET）を提供している。2002 年に学内向け無線 LAN サービスの実証実験として開始した NUWNET は，2008 年の正式運用サービス開始，およびその後のサービス更新を経て，ウェブブラウザを通じての認証（Web 認証）と IEEE802.1X 規格による認証（802.1X 認証）を提供するようになった。
NUWNET は，Web 認証では名古屋大学 ID とゲスト ID（名古屋大学構成員が発行可能なゲスト用 ID）を，802.1X 認証では名古屋大学 ID をログイン ID として使用しているが，導入から 10 年以上経過した Web 認証システムの老朽化対応に加え，ゲストユーザによる学内情報資源へのアクセス制限および 802.1X 認証対応の要望があった。本発表では，キャンパスネットワークの維持管理の一環として行った新 Web 認証システム導入やゲスト専用ネットワークの展開を含めた NUWNET のサービス更新について報告する。

1

はじめに

名古屋大学では，大学の教育・研究および大学運営を支える全学的なキャンパス情報ネットワークとして名古屋大学キャンパス情報ネットワーク（NICE）があり，その一部として無線 LAN サービスである名古屋大学無線ネットワーク（NUWNET）を提供している。各キャンパスの主要な建物に NUWNET の無線 LANアクセスポイント（AP）が設置されており，大学内の会議室や講義室をはじめ，食堂等学内の多くの場所でインターネットアクセスが可能となっている。
NUWNET は 2002 年に学内向け無線 LAN サービスの実証実験として開始され，当初利用時にはクライアン
ト側に特定のソフトウェアおよびシステム独自のログイン ID が必要であったが，後にウェブブラウザを通じての認証（Web 認証）に加え，ログイン ID として全学 ID（現：名古屋大学 ID）を利用できるようにした。
2008 年に正式運用サービスとして開始した後，2011 年にはサービス更新を行い，名古屋大学 ID（名大 ID）とは別のゲスト ID（名古屋大学構成員が発行可能な期間限定のゲストユーザ用 ID）をログイン ID に追加した。さらに，新たな認証方式として IEEE802.1X 規格による認証（802.1X 認証）を提供するようになった。
また，NUWNET は AP の他，認証サーバ（Radius サーバ），NAT 装置，ルータおよびこれらの機器を収容するネットワークスイッチで構成されている。2011 年度以降，AP および認証サーバの増強・更新を行ってきたが，2019 年度には AP の増強・更新の他に，無線 LAN アクセスコントローラ導入による一部 AP の集中制御化，統合脅威管理（UTM）導入による情報セキュリティ強化を図った（図 1）。さらに 2020 年度にはコロナ禍の影響により講義のオンライン化が必須となったため，オンライン講義の受講環境の向上を目的とした整備として，数世代前の古い規格の AP の更新を行った[1]。しかしながら，Web 認証では名大 ID とゲストID を，802.1X 認証では名大 ID をログイン ID として使用しているが，導入から 10 年以上経過した Web 認証

令和 3 年度 東海国立大学機構 第 1 回 技術発表会 名古屋会場（2022 年 3 月 7 日開催）

システムの老朽化対応に加え，ゲストユーザによる学内情報資源へのアクセス制限および 802.1X 認証対応の要望があった。
本発表では，新 Web 認証システム導入やゲスト専用ネットワークの展開を含めた NUWNET のサービス更新について報告する。

図 1. サービス更新前の NUWNET 概要図

2

新 Web 認証システムの構築

2.1

新旧システムの比較

旧 Web 認証システム（アクセスコントローラ，HP MSM760）は 2010 年 3 月に導入されたもので，文系地区や理系地区などエリアごとに分散配置され，各コントローラは 1Gbps で上流のネットワークと接続されていた[2]。導入から 10 年以上が経過し，老朽化したハードウェアの故障によるサービス停止が発生するとともに，対応する TLS（Transport Layer Security）のバージョンが古いことで，新しいウェブブラウザによってはWeb 認証画面をセキュリティに問題があるサイトと判断されてログインできなくなるといった問題があった。

図 2. Web 認証画面（名大 ID，ゲスト ID）

令和 3 年度 東海国立大学機構 第 1 回 技術発表会 名古屋会場（2022 年 3 月 7 日開催）

新 Web 認証システムは，FreeBSD をベースにしてファイアウォールとルータ機能を提供する pfSense [3] を用いて仮想マシンとして構築し，情報基盤センターにある仮想基盤サーバ上に各エリアのコントローラを集約して，上流と下流のネットワークを合わせて 10Gbps×2 で接続した。コントローラを仮想化することによってリソースの調整や障害時の対応が容易となり，TLS のバージョンが上がったことで新しいウェブブラウ
ザで Web 認証が利用可能となった。ただし，新システムではログイン ID の種類によって通信設定を変えることができないため，名大 ID とゲスト ID で専用コントローラを準備し，ログイン ID の誤入力を防ぐために
ゲスト ID の Web 認証画面のデザインを変更した（図 2）。

2.2

新システムの構築とテスト

新 Web 認証システムは，旧システムと同じエリアを分担する名大 ID 用コントローラ（nwcp-XX、開発・テスト用を含む）15 台，ゲスト ID 用コントローラ（nwcp-g）1 台，仮想基盤サーバ（nwcp-srv1X，VMware ESXi，
Dell PowerEdge R440）2 台によって構成される（図 3）。各コントローラは上流（NICE，もしくは NICE バリア（学外相当）への接続）と下流（PC，スマートフォン，タブレットなどが接続）ネットワークへ接続する
2 つのネットワークインタフェースをもち（nwcp-g は管理用にもう 1 つインタフェースをもつ），下流ネットワークからの通信要求に対して，Captive Portal 機能による Web 認証，上流ネットワークへのアクセスを提供する。

コントローラ（nwcp-XX、1 台あたり）
CPU

2 コア

メモリ

2GB

ディスク

20GB

仮想基盤サーバ（nwcp-srv1X、1 台あたり）
CPU

Intel Xeon Silver 4214R
2.4G (12 コア、24 スレッド) x 1

メモリ

64GB

ディスク

600GB x 4 (RAID5 構築)

ネットワーク

10Gbps x 2

図 3. 新 Web 認証システムのシステム構成

多ユーザの同時接続に耐えられるかどうか確認するため，新コントローラの負荷テストを行った。Web 認証システムではウェブブラウザによる認証作業が必要となるため，ウェブブラウザの作業を自動化できる
Selenium [4]を用い，別の仮想基盤サーバ上にサーバ・クライアント型の負荷テストのシステム（仮想マシン
にて Selenium サーバ 1 台，Selenium クライアント 55 台，ファイルダウンロード用のウェブサーバ 1 台）を構築した。同時ログインとファイルダウンロードを検証し，新コントローラ 1 台あたり，50 ユーザの同時ログイン，2.5Gbps 程度の通信を処理できることを確認した。

令和 3 年度 東海国立大学機構 第 1 回 技術発表会 名古屋会場（2022 年 3 月 7 日開催）

2.3

本番運用

2021 年 4 月に附属学校において，コロナ過によってタブレット端末が導入されたが，新しいブラウザでゲスト ID による Web 認証が必要となったため，新 Web 認証システムを先行導入した。附属学校の先行導入よって，新システムの正常動作を確認できた一方，名大 ID とゲスト ID を誤入力する事例があったため，ゲスト ID の Web 認証画面のデザインを変更することになった。その後，2021 年 9 月に新 Web 認証システムを全学展開した。情報コンセントを NICE から有線 NUWNET へ切り替えた文学部を含む文系エリア等の通信障害を恐れていたが，全学の通信においてリソースが逼迫することなく安定運用ができた。

3

ゲストユーザ専用サービスおよびネットワークの構築

3.1

ゲスト専用サービスの検討

従来の NUWNET においてゲスト ID は Web 認証のみ利用可能としていたが，以前からゲスト ID においても 802.1X 認証による利用の要望があった。今までゲスト ID を Web 認証限定にしていたのには理由があり，「制限ありゲスト ID」「制限なしゲスト ID」の 2 種類のゲスト ID が存在し，通常は制限ありゲスト ID であり，「ウェブ」「メール」「SSH」等の一部のサービスのみ利用可能であった。なお，制限なしゲスト ID は特別な申請により利用サービス制限を外したものであった。NUWNET システムのデータベースの中にユーザテーブルがあり，ユーザ ID とともに「名大 ID」「制限ありゲスト ID」「制限なしゲスト ID」といったユーザ種別情報を保存している。旧 Web 認証システムでは，Radius から得られたユーザ種別情報を基に，それぞれに適用するアクセスコントロールリスト（ACL）を選択することができたが，802.1X 認証システムではユーザ種別情報を基に適用する ACL を選択することが難しいため，ゲスト ID での 802.1X 認証による利用を提供していなかった。また，同様に新 Web 認証システムにおいてもユーザ種別情報を基に適用する ACL を選択することが難しい。
そこで新システムでは 2 種類のゲスト ID の統一とともにサービス制限を廃止し，全ての ACL を統一することにした。それに加え，ゲスト ID 用コントローラの構築とともにゲスト専用サービス用の NAT 装置を新たに導入した。

図 4. NUWNET における認証シークエンス概要

令和 3 年度 東海国立大学機構 第 1 回 技術発表会 名古屋会場（2022 年 3 月 7 日開催）

3.2

ログイン ID 別の利用サービス制限の実現方法

新 NUWNET システムでは「名大 ID 用 Web 認証」「名大 ID 用 802.1X 認証」「ゲスト ID 用 Web 認証」「ゲスト ID 用 802.1X 認証」の大きく 4 つのサービスを提供し，ログイン ID 種別ごとに利用可能なサービスを分けるため，以下の情報を用い，図 4 のように Radius による制限を行った。
ログイン ID・パスワード認証

（Web 認証の制御）「Radius クライアント（NAS）の IP アドレス」×「ログイン ID 種別」

（802.1X 認証の制御）「接続先 SSID」×「ログイン ID 種別」

なお，802.1X 認証の場合は AP が Radius クライアントになっており，AP のメーカごとに RADIUS アトリビ
ュート名称が異なるため，全パターンを Radius サーバに設定した。

3.3

ゲスト専用ネットワークの構築

旧 Web 認証システムは，名古屋大学構成員による名大 ID でのログインも，ゲストユーザによるゲスト IDでのログインも，出口は学内ネットワークである NICE であった。そのため，以前より名古屋大学構成員ではないゲストユーザによる学内情報資源へのアクセスや，セキュリティ上の問題を抱えた端末の NICE への接続，およびそのような端末による学外へのアクセスといった懸念があった。そこで新システムでは，「名大ID 用 Web 認証」「名大 ID 用 802.1X 認証」は NICE に接続，「ゲスト ID 用 Web 認証」「ゲスト ID 用 802.1X認証」は NICE バリアに接続といった方針の下，名古屋大学構成員とゲストユーザの出口ネットワークを分けることにした（図 5）。なお，NICE バリアネットワークも学内 UTM を通る通信経路となっている。

図 5. サービス更新後の NUWNET 概念図

令和 3 年度 東海国立大学機構 第 1 回 技術発表会 名古屋会場（2022 年 3 月 7 日開催）

4

新 Web 認証システムとゲスト専用サービスの全学への展開

4.1

SSID の整理

名古屋大学で導入している大多数の AP は 2.4GHz/5GHz のそれぞれ 16 個の SSID を設定することができるが，新 Web 認証システムとゲスト専用サービスおよびネットワークの導入の際に，SSID 数が増え過ぎて煩雑にならないようにするため，以下の基本方針を立て，SSID の整理と付け替えを行った[5][6]。


新 Web 認証 SSID は名大 ID 用とゲスト ID 用とともに 2.4GHz 帯/5GHz 帯で共通の SSID とする



ゲスト ID 用 802.1X 認証 SSID は 2.4GHz 帯/5GHz 帯で共通の SSID とする



新 Web 認証システム側が煩雑になるため，鶴舞プライベートネットワークへ接続する Web 認証サービスの提供を終了



一部の部局で提供していた“nuwnet”に部屋番号等の識別子を付けた SSID（“nuwnet-101”等）の廃止

サービス更新前後の SSID 一覧を以下に記す（表 1，表 2）。

表 1. サービス更新前の SSID 一覧
SSIDnuwnet
nuwnet (5GHz)
nuwnet1x
nuwnet1x (5GHz)
eduroamnuwnet-med
nuwnet-med (5GHz)
nuwnet1x-med
nuwnet1x-med (5GHz)

周波数帯
2.4GHz
5GHz
2.4GHz
5GHz
2.4GHz/5GHz
2.4GHz
5GHz
2.4GHz5GHz

認証方式
Web 認証Web 認証
802.1X 認証
802.1X 認証
802.1X 認証
Web 認証Web 認証
802.1X 認証
802.1X 認証

利用可能 ID
名大 ID
ゲスト ID〇〇〇〇〇〇〇〇〇〇〇〇〇※ "eduroam"のアカウントは「名大 ID@nagoya-u.ac.jp」※ "nuwnet-med"，"nuwnet-med (5GHz)"，"nuwnet1x-med"，"nuwnet1x-med (5GHz)"は鶴舞キャンパス限定

表 2. サービス更新後の SSID 一覧
SSID
nuwnetnuwnet1x
nuwnet1x (5GHz)
nuwnet-guest
nuwnet1x-guest
eduroamnuwnet1x-med
nuwnet1x-med (5GHz)

周波数帯
2.4GHz/5GHz
2.4GHz
5GHz
2.4GHz/5GHz
2.4GHz/5GHz
2.4GHz/5GHz
2.4GHz5GHz

認証方式
Web 認証
802.1X 認証
802.1X 認証
Web 認証
802.1X 認証
802.1X 認証
802.1X 認証
802.1X 認証

利用可能 ID
名大 ID
ゲスト ID〇〇〇〇〇〇〇〇

令和 3 年度 東海国立大学機構 第 1 回 技術発表会 名古屋会場（2022 年 3 月 7 日開催）

4.2

AP および有線 NUWNET コンセントへの展開
NUWNET で使用している AP は 4 メーカで合計 2000 台近くあり，そのうち 1700 台以上を自律型 AP，200台以上を制御型 AP として動かしている。AP への展開について，制御型 AP の場合，無線 LAN アクセスコ
ントローラもしくは仮想コントローラの WebUI 経由で管理下の AP 設定を一括で変更することができるが，自律型 AP では 1 台 1 台に対し設定を投入する必要がある。そのため，各メーカや機種にあわせて設定変更スクリプトを作成した。また，AP 以外にも「有線 NUWNET」と呼ばれている情報コンセントの設定を変更する必要があった。有線 NUWNET は情報コンセントに端末を接続した際に Web 認証を行わせるもので，Web 認証システムの VLAN を情報コンセントに設定している。こちらについても設定変更スクリプトを作成し，切り替えに掛かる時間短縮を図った。
新 NUWNET システムへの切り替えは東山キャンパス（東地区），東山キャンパス（西地区），鶴舞・大幸キャンパスをそれぞれ 1 日，合計 3 日間で切り替えを行った（表 3）。なお，各 AP 接続スイッチに VALN を通す設定作業は事前に行った。

表 3. 切替対象 AP および有線 NUWNET の数と作業実績時間

A社
B社
自律型 AP
C社
D社
A社制御型 APB社
有線 NUWNET
作業時間（実績）5

1 日目（東山/東地区） 2 日目（東山/西地区） 3 日目（鶴舞・大幸）
547 台
404 台
207 台
93 台
135 台
97 台
5台
6台
96 台
61 台
97 台
188 台
37 台
1401 ポート
1626 ポート410 ポート
2 時間 20 分
2 時間
1 時間 45 分

おわりに名古屋大学無線ネットワークの概要とともに，キャンパスネットワークの維持管理の一環として行った新Web 認証システム導入やゲスト専用ネットワークの展開を含めた NUWNET のサービス更新について報告した。新 Web 認証システムは以前から導入を検討しており，またゲスト ID の 802.1X 認証対応についても数年前から要望を受けていたものの，大学からの要望もあり毎年のように AP の増強・更新やセキュリティ強化（UTM 導入）といった無線 LAN 提供エリア拡大のための整備を先に進めてきたため，サービス面での改善等が後回しになっていた。今回のサービス更新により利用者の利便性向上とともに，管理者の運用面での業務量改善に繋がることを期待したい。また，本サービス更新は，2021 年 8 月下旬の情報連携推進本部内の会
議にて切り替えスケジュールが了承され，9 月上旬に全学アナウンス，9 月末にサービス更新を行ったが，短い周知期間にもかかわらず，大きな混乱もなく無事終了した。
2020 年 4 月に東海国立大学機構が発足し，2021 年度から学生・教職員に機構アカウントが配布されている。
名大 ID に基づく統合認証サービスの段階的縮小，および東海国立大学機構統合認証サービス提供の方針により，近い将来名大 ID をログイン ID として使用できなくなる見込みである。そのため，機構アカウントに対応し, さらによりセキュリティを強化した認証システムの構築が直近の課題となっている。

令和 3 年度 東海国立大学機構 第 1 回 技術発表会 名古屋会場（2022 年 3 月 7 日開催）

参考文献
[1]

川瀬友貴，石原正也，岩瀬雄祐，川田良文，“名古屋大学における近年の無線ネットワーク環境の整備とセキュリティ対策の強化について”，令和 2 年度第 16 回名古屋大学技術研修会，O10，2021 年 3 月[2]石原正也，“名古屋大学無線ネットワーク(NUWNET)の導入について”，平成 22 年度第 6 回名古屋大学
技術研修会，OJOU-3，2011 年 3 月[3]pfSense, https://www.pfsense.org/[4]

Selenium, https://www.selenium.dev/ja/[5]名古屋大学無線ネットワーク (NUWNET)，https://icts.nagoya-u.ac.jp/ja/services/nuwnet/[6]

802.1x 認証の NUWNET(nuwnet1x)の利用方法，https://icts.nagoya-u.ac.jp/ja/services/nuwnet/nuwnet1x.html