情報処理学会研究報告
IPSJ SIG Technical Report

キャンパス規模で運用可能なMAC アドレス認証システム OpengateM
大谷 誠1

江藤 博文1

渡辺 健次2

只木 進一1

渡辺 義明2

概要：タブレットやスマートフォンなどキャンパスネットワークへの接続端末が急速に多様化している．
我々はこれらに対応できキャンパス規模で運用可能な認証システム OpengateM を提案した．このシステ
ムはゲートウェイを通過するパケットの送信元 MAC アドレスを検査してパケットの通過を制御し，利用者のログを取る．多数端末に対して MAC アドレスと所有者の情報を円滑に登録管理するために，今回，管理者が介在する登録システムに加えて， Captive Portal 型の登録システムを提案する．また負荷調査とキャンパスネットワーク環境への試験的導入についても報告する．

MAC-address Base Authentication System
OpengateM Applicable to Campus Network
Makoto Otani1 Hirofumi Eto1 Kenzi Watanabe2 Shin-ichi Tadaki1 Yoshiaki Watanabe2

Abstract: In recent years, various mobile terminals, such as tablet type and smart phone are connected tocampus networks. We propose the authentication system OpengateM which supports such various mobileterminals. This system controls Internet communication by checking the source MAC address of packets
which passes the gateway, and saves users log. In order to carry out registration management of the information (MAC address and user information) on many terminals smoothly, we propose the Captive Portal
type registration system, in addition to the registration system requiring administrator’s intervention. Thispaper also describes the load of the system and the test operation in a campus network.

1. はじめにクを閉鎖する．利用が簡単であるため，学生や教職員，訪問者等の利用者がトラブルなく利用している [1]．

大学において，教育研究を支援するために自由に利用で

しかし近年では，タブレットや，スマートフォン，IP 電きるネットワーク環境の整備は，今や必要不可欠となって話など多種多様な端末が登場し，これらがキャンパスネッいる．しかしながら，自由に利用できるネットワークはトトワークで利用されることが非常に多くなってきた．これラブルが発生しやすいため，それに備えるための認証環境

らの端末では，画面サイズやタッチパネルの影響で，認証の整備が必要となってくる．のためのキー入力が不便な場合がある．また，端末がマルそこで我々は，Web ベースのネットワーク利用者認証シチタスクに対する制限や，バッテリー消費節減のために無ステム Opengate を開発し，大学キャンパス全域で運用し線を停止させるような機能を持つ場合には，Opengate にてきた．このシステムでは，Web 利用の開始時点で強制的よって満足なネットワーク環境を提供できない．また，IPに認証ページへ誘導して認証を行い，ネットワークを開放

電話機やプリンタなど Web 機能を持たない端末では，Webする．また Web ブラウザを閉じれば，即時にネットワー機能を前提とした Opengate で認証を行うことができず，

1
2

佐賀大学 総合情報基盤センター
Computer and Network Center, Saga University
佐賀大学 大学院 工学系研究科
Graduate School of Science and Engineering,Saga Universityc 2012 Information Processing Society of Japan

個別設定が必要となる．さらに起動時からネットワークに接続されていることを前提としたシステムが増えており，

1情報処理学会研究報告
IPSJ SIG Technical Report

ゲートウェイ

端末
タブレット

pcap

スマートフォン

キャプチャ

プリンタ

ipfw

制御

監視デーモン

電話・ ・ ・IP

OpengateMd

管理者介在
登録システムOpengateMreg

インターネット
管理データベース
OpengateMsql

アドレス
ユーザ
期限日
利用記録
・ ・ ・
MAC

ID自己登録システム
OpengateMown

更新システムOpengateMup

図 1 システム構成

Fig. 1 Structure of OpengateM対応が必要となっている．

イ上で動く監視デーモン (opengateMd) がそのパケットをそこで，我々は，キャンパス規模で Opengate と併用可キャプチャする．データベース (opengateMsql) に送信元

能で，多様な端末を扱えるシステム “OpengateM” を実現

MAC アドレスが登録済みであれば，ファイアウォールをした [2], [3]．本システムは，特定端末のみが許可された高開放し，ログに利用開始を記録する．一定時間パケットが度なセキュリティが必要なネットワークに適用するもので検出されなければ，ファイアウォールを閉鎖してログに利はなく，多様な端末が多数のユーザにより利用されるキャ用終了を記録する．

ンパスネットワークにおいて，利用者の制限と利用記録を送信元 MAC アドレスの登録が無い場合は，ファイア行うことを主眼とおり，MAC アドレス認証をベースに構築ウォールルールに従ってパケットが処理される．例えば，した．MAC アドレスに基づくシステムは端末互換性が高Web パケットであれば，MAC アドレス登録ページへフォい．しかし，MAC アドレスを登録する際の手間や，MACワードし，その他のパケットは拒否することが考えられる．

アドレス偽装への対応の難しさなどの弱点もある．我々は本学では Web パケットを Opengate 認証ページへフォワー

この弱点を緩和して，キャンパスネットワークで運用可能ドする設定を行い Opengate と併用する．とした．

端末の MAC アドレスと所有者の情報は，2 つの登録シ

本稿では，管理者が介在して端末を登録システムに加えステムのいずれかを使って登録する．Web 機能を持つ場合て，Captive Portal 型の登録システムを提案する．また負は，所有者自らが管理者の介在無しで登録できる (Open-荷調査とキャンパスネットワーク環境への試験的導入につgateMown)．上記のフォワード設定があれば，未登録時にいても報告する．

は登録ページが自動表示される．それ以外の端末は，申し2. OpengateM の概要

出により管理者が直近のアクセス履歴を確認して端末を特定し登録する (OpengateMreg)．

本システムはゲートウェイ上でパケットをキャプチャ

端末登録には期限が設定されており，期限前に更新ペーし，送信元 MAC アドレスに基づいて通過を制御するデー

ジの URL を示した警告メールを送付する．利用者は利用モンと，端末の MAC アドレスや所有者の情報を登録管理

履歴を確認の上，各自で登録を更新する (opengateMup)．

するいくつかのシステムからなる．これらについての詳細

なお，登録・更新ページは全て認証を行い，誰が登録・は次節で解説する．また，システム構成を図 1 に示す．

• 監視デーモン opengateMd• 管理者介在登録システム opengateMreg• 自己登録システム opengateMown• 更新システム opengateMup

更新しているかを特定可能としている．

3. OpengateM の構成要素
3.1 監視デーモン opengateMd
opengateMd は，ゲートウェイ上で動くデーモンプロセ• 管理データベース opengateMsql

スであり，以下の処理を繰り返すことで，パケット監視と利用者がネットワークをアクセスすると，ゲートウェファイアウォール制御を行う．

c 2012 Information Processing Society of Japan

2情報処理学会研究報告
IPSJ SIG Technical Report( 1 ) pcap を使ってゲートウェイを通過するパケットヘッ
ダをキャプチャし，送信元 MAC アドレスと IP アドレスを取得する．

( 2 ) そのアドレスペアがキャッシュにあれば最近チェックしたものなので，(3)〜(6) の処理を行わず次のパケッ
ト処理へ進む．

( 3 ) アドレスペアが開放中であるか調べる．また，MACアドレスが管理データベースにあるか調べる．

( 4 ) 許容される MAC アドレスであり，開放中でなければMAC アドレスに対応する IP アドレスの通信を開放する．

( 5 ) 許容されない MAC アドレスであり，開放中であればMAC アドレスに対応する IP アドレスの通信を閉鎖する．

( 6 ) 許容される MAC アドレスであり，開放中であればパケット検出時間を更新する．

( 7 ) 定期的に，パケット検出時間を調べ，古いままの開放中 IP アドレスの通信を閉鎖する．
高速化のため，最近チェックしたアドレスペアは (3)〜(6) の処理を行わないようにしている．よって MAC アド

図 2 登録画面

Fig. 2 Registration page

レスの登録状態が更新されたとしても，(3)〜(6) の処理が行われない限りデーモンに状態が反映されない．そこで表示する．利用者は端末名などを入力して登録する．登録

UDP によってアドレス登録状態の変更通知をするように

ページの表示は管理者介在の登録ページとほぼ同等であした．変更通知が届くと該当アドレスをキャッシュから消るが，管理者介在ページの場合には，管理者認証下で選択す．なお，通信が失敗した場合はキャッシュの更新後に遅した MAC アドレスが登録できるのに対して，自己登録の延して反映される．

ページでは今アクセスした端末の MAC アドレスのみが登録できる (図 2)．また，その端末が登録済みのときは，更3.2 管理者介在登録システム opengateMreg
opengateMreg は，利用者端末の MAC アドレスを，管理新ページを表示する．なお，NAT やルータを経由したアクセスは拒否される．

者が介在して調査し登録するシステムである．利用者は，本学では，通常の PC 機器では従来の Opengate を使い，持参した端末でネットワークにアクセスする．管理者は，当面はパスワード入力が煩雑な端末や，Opengate の利用直近のアクセス一覧を Web ブラウザに表示し，候補アドが難しい端末のみを MAC アドレス認証に移行することをレスを順番に短時間開放することで特定する．詳細説明は考えている．管理者介在の登録では，機器の種別判断は管以前の [3] に記述している．

理者の目視で可能である．自己登録システムにおいても機器の種別判断ができるようにするため，HTTP の User

3.3 自己登録システム opengateMown
上記の管理者介在登録システムは， Web 機能を持たない，IP 電話のような端末でも対応できるが，管理者の手を煩わせることになる．大学の全構成員を対象とする場合，Agent 文字列を取得して，設定ファイル内の正規表現指定した許容パターンと比較している．これにより MAC アドレス認証システムを特定の端末群 (User Agent で判断できる範囲) に限定してサービスすることができる．

この運用上の手間が問題となる可能性がある．そこで Web機能があれば所有者自ら，管理者を必要とせずに端末を登録できるシステム (opengateMown) を作成した．

3.4 更新システム opengateMup
MAC アドレス登録には期限が設定してある．期限前にこのシステムは Web ベースであり，認証を経由してアクは，更新ページの URL が記述されたメールが届く (図 3)．

セスする．アクセスした端末の MAC アドレスを取得し，その URL にアクセスし，認証を受けて更新ページを表示認証した利用者 ID で MAC アドレス登録を行うページをすると，本人が登録している MAC アドレス一覧と，利用c 2012 Information Processing Society of Japan

3

情報処理学会研究報告
IPSJ SIG Technical Report

している．

4. 負荷テスト
本システムは，全パケットを検査する方式のため，ゲートウェイにおける負荷の見積もりが必要である．そこで通常のPC でクライアントマシン (CPU:3.40GHz, Memory:2GB) ，ゲートウェイ (CPU:3.00GHz Core 2 Duo, Memory:4GB)，サーバマシン (CPU:3.40GHz, Memory:1GB) を構成し，1Gbps ネットワークを使って相互に接続した実験環境を
図 3 期限切れ警告メール

Fig. 3 Warning mail

作って調べた．
ゲートウェイ上のデーモンプロセスにおける各種処理時間を計測したところ，キャッシュチェックに約 1µ 秒，データベースアクセスおよびその他雑多な処理に約 10m 秒という結果であった．今回，キャッシュの保持時間を 30 分と設定しており，ほとんどのパケットは µ 秒オーダで処理されると考えられる．
また，サーバからクライアントへファイルダウンロードを行ったところ，500Mbps 程度の速度を維持できた．この際，ゲートウェイマシンの CPU 負荷は最大で 60%程度であった．さらにディスクアクセスは，転送バイト数:0.02MB/sであり busy 状態になることはなかった．また，実運用環
境において iperf 等によりスループットの計測を行ったが，同等の通信性能が計測できた．以上から，最大流量においてハードウェア負荷に問題はないと考える．

図 4

更新画面

Fig. 4 update page

次に，送信元 MAC アドレスをランダムに変化させながらパケットを送り付けるプログラムを作成して，多数端末履歴が表示されるので，アドレスの更新・休止・削除を指の同時アクセスの模擬試験を行った．約 19,000 パケット/

示する (図 4)．

秒の送信を行ったところ，プログラム開始時に新規アドレ

以上の管理者介在登録システムと自己登録システムおよび更新システムの，利用者からの利用手順を図 5 に示す．

ス確認のデータベースアクセスが集中して，パケットのキャプチャ漏れが発生した．

30 分間のキャプチャ漏れ発生率は，1000 台では 1%未満
3.5 管理データベース opengateMsql

であるが，1 万台では 10%，10 万台では 73%程度であっ

MAC アドレス登録テーブル，利用履歴テーブル，更新履た．CPU 負荷の変化から 1000 台程度であれば，すぐに処歴テーブルなどを保持し，ゲートウェイや管理システムか理し終えていることが確認できる．また，10 万台の同時アらアクセスする．MAC アドレス登録テーブルには，MACクセスであってもキャッシュ保持時間以内にはほぼ処理でアドレス・デバイス名・状態フラグ・利用者 ID・利用者メーきていることから，新規アドレスでのアクセスが分散してルアドレス・登録日時・更新日時・期限日時が記録されて発生する状況なら，この規模でも対応できる．ただし一時いる．状態フラグは，A(Active)，I(InActive)，D(Deleted)

点に許可できる台数はファイアウォールが許容するルールを持つ．I は，管理者の都合により無効にされた状態であ数の上限に縛られる．

り，利用者はそれを変更できないとした．利用者自らが休

さらに，極端に端末数を増やした状態で十数時間連続ア止を選択すると，フラグは A のまま期限日時を早める．端

クセスしても，マシンやデーモンプロセスが停止すること末削除が指示されたらフラグを D にして保持する．これははなかった．アクセスが集中している際，別端末からのア利用履歴表示に使うためである．MAC アドレス登録テー

クセスが通りにくい場合があるが，繰り返しアクセスすれブルは MAC アドレスをメインキーとしている．再登録をばいずれ処理されることが確認できている．

考慮して，フラグが D の場合には，メインキーに重複を許c 2012 Information Processing Society of Japan

なお，処理時間を短縮するには，ローカルメモリ上に全4情報処理学会研究報告
IPSJ SIG Technical Report

利用者

期限切れ通知(メール)更新・停止・削除

管理データベース(OpengateMsql)(OpengateMup)

情報登録・取得
更新通知

ゲートウェイ（OpengateMd）(OpengateMown)

ゲートウェイ(OpengateMd)(OpengateMreg)

新規登録通知ネットワークネットワークネットワーク

接続・試行

利用

登録・利用

インターネット

調査・登録

利用者

利用者

登録担当者

登録場所

図 5 利用手順

Fig. 5 Usage flow

端末の情報を保持すれば良いと考える．しかし，以下の理

現在は，試験運用ということで 10 数名程度と主に関係由から，当面はこの方法を取らないこととした．まず，高者のみの利用であるが，iPad などのタブレット端末や，速化するとアドレス総当たり攻撃によって，許容するアドiPhone,Android などのスマートフォン端末など様々な端レスを見つけ出すことが，短時間で実行できるようになる．

末が登録されており，これら登録端末が MAC アドレス認

また，情報更新時のサービス連携が複雑になる．なお本認証 (延べ 238 回:2012 年 7 月の 1 ヶ月間) によって，全学で証システムは，不正アクセスを防止するためには小さいサ問題なく利用できている．

ブネットに分割して運用する方が望ましく，一つのゲートウェイに膨大な端末数を想定しなくて良い．

5. 試験運用

6. 考察
本システムの稼働には，デーモンプロセスの高速かつ安定な稼働が重要である．実際の通信制御は FreeBSD 標準

本システムでは，Web 機能を持つ端末は所有者が登録であるファイアウォール ipfw に依存している．デーモンページへアクセスすれば，アクセス端末の MAC アドレスはファイアウォールに対して通過ルールの追加削除を行うを自動取得して端末を登録することができる．Opengateのみであり，これは従来の Opengate の動作と同様で複雑

等の Captive Portal が稼働している場合は，登録ページへではない．

誘導するリンクが可能である．本学においては，Opengateパケットはキャプチャ用の標準的ライブラリ libpcap ををすでに運用中である．そこで，管理者介在型の登録シス使用している．トラフィックが多くデーモンの処理が間にテムとともに，運用中の Opengate と連携し登録ページへ合わないとキャプチャ漏れが起こるが，繰り返しアクセス誘導する形での自己登録が可能とする OpengateM の試験すればいずれキャプチャされるので遅延のみの問題となる．

運用を開始した．

さらにデータベースの検索負荷を減らすため，一度チェッ先に述べたが，本学では通常の PC 機器では従来の Open-gate を使い，当面はパスワード入力が煩雑な端末などのみクしたアドレスはキャッシュに置き一定時間無視するようにする．

を MAC アドレス認証に移行することを考えている．そこキャンパスネットワークにおいては，教職員，学生，訪で試験運用においても HTTP の User Agent 文字列から，問者等の多様で膨大な利用者が存在する．本システムの運スマートフォンやタブレット端末と思われる端末のみ登録

用には，MAC アドレスとその端末の所有者の情報を適切ページへのアクセスを可能とし，それ以外の端末を拒否すに収集管理できることが重要である．

る設定で運用している．管理者介在の登録では，機器の種まず，MAC アドレスをそのままアクセスポイント等の別判断は管理者の目視によって判断する．

中継機器に設定することは，中継機器の性能や登録の手間

c 2012 Information Processing Society of Japan

5情報処理学会研究報告
IPSJ SIG Technical Reportなどに問題が出る．そこで MAC アドレスと利用者の情報

LAN のアクセスポイントに接続を許容する MAC アドレをデータベースに登録しておき，利用時に必要分のみを中スを登録する方法が考えられる．これらの方法は，登録す継システムに設定する方法とした．この方法により開始時

る MAC アドレス数が膨大になると機能しない．MAC アに利用者の記録が取れるようになり，中継システムが許容ドレスによる振り分けをサポートした認証スイッチを用いする登録数とできる．本システムでは，中継システムとしる方法も実際に用いられている [4], [5], [6]．本システムでて Opengate と同様に FreeBSD 構成のゲートウェイを用は，特別な機器を採用せず，一般的なハードウェアおよびいた．

オープンソースソフトウェアを用いたシステムとして構築

次に MAC アドレス登録の手間削減が重要である．そこ
でアドレス登録においては，管理者介在の登録，所有者自らの登録を用意した．まず，Web 機能を持たない端末は，した．

7. まとめ管理者が介在して登録する方法を取るが，MAC アドレス

キャンパス規模で Opengate と併用可能で，タブレッはマニュアル設定ではなく調査ページを用いて容易に決定

ト型を含む多様な携帯端末に適用可能な認証システムを，できるようにした．さらに Web 機能を持つ端末では，所有MAC アドレス認証をベースに実現した ．本システムは，者が登録ページへアクセスすれば，アクセス端末の MAC管理データベースに所有者情報を含む端末情報を一元化アドレスを取得して登録できるようにした．さらに，このし，キャンパス規模でも利便性とセキュリティを保持する登録ページを Captive Portal ページとして設定できるよことが可能である．管理者が介在して端末を登録するシスうにした．利用者は，端末を使って Web アクセスすると，テムに加えて，今回は Captive Portal 型の登録システムをMAC アドレスが登録されていればそのまま利用でき，未提案するとともに本学において試験導入した．

登録の場合は登録ページが表示される．既に Opengate 等

本システムは，全パケットを検査し認証を行うシステムの Captive Portal が稼働している場合は，そのページからであり，ゲートウェイにおける負荷を考慮する必要がある登録ページへ誘導するリンクも可能である．他に，MACと考え，負荷テストをあわせて行った．1Gbps のネット

アドレスと利用者 ID の一覧表を組織的に作成できるなら，ワークにおいて，十分な帯域を確保できるとともに，CPUSQL スクリプトを使ってデータベースに登録する方法も可等の負荷においても実運用上問題のない計測結果を得るこ能である．とができた．今後は，利用者数を大学の全構成員にまで拡さらに登録状態を適切な状態に維持することも必要である．そこで，登録には期限を設けて，定期的に更新しなけ大するとともに，大規模運用における，より一層の利便性の向上と，管理者の負担減を検討したい．

れば使えなくなるようにした．期限前には，更新ページのURL を付加した警告メールを送り更新を促すとともに，更新ページをホームページ等にリンクして，期限切れ後も更参考文献[1]新可能とした．また期限切れした端末で Web アクセスすると，登録ページの代わりに更新ページが表示されるよう[2]になる．なお更新時は，過去の利用履歴を提示し，不正な利用がされていないか確認させる．

[3]

他人への端末譲渡の際には，更新ページにおいて登録を削除すると新たな利用者の端末として登録できる．元の利用者が削除しないまま放置した端末は，期限切れ休止状態[4]にあり新たに登録できない．元の利用者に削除してもらう
か，管理者権限の操作を依頼する必要がある．卒業時期には多数の期限切れ休止端末が発生すると考えられる．大学[5]の認証サーバに登録がない利用者 ID の端末を定期的に削除する処理も入れた方が良いと考える．

MAC アドレスをベースとした認証の実現には様々な方法が考えられる．ファイアウォールに MAC アドレスベー[6]大谷誠，江藤博文，渡辺健次，只木進一，渡辺義明，“ シングルサインオンに対応したネットワーク利用者認証システムの開発”，情報処理学会論文誌，Vol.51，No.3，pp.1031-1039(2010)
渡辺義明 他，“OpengateM − MAC アドレスに基づくネットワーク利用者認証システム”，http://www.cc.sagau.ac.jp/opengate/opengatem/
Opengate を補完する MAC アドレス認証システム OpengateM，渡辺義明，大谷誠，江藤博文，只木進一，渡辺健
次，情報処理学会研究報告, 2011-IOT-16, pp.1-6, 北海道
大学 (2012.03.16).
田島浩一，近堂徹，岸場清悟，大東俊博，岩田則和，西村浩二，相原玲二，“大規模キャンパスネットワークにおける MAC アドレス認証の管理手法”，情報処理学会研究報
告，2009-IOT-4，pp.265-270 (2009)
谷内田正寿，白清学，“MAC アドレス認証と Web 認証併用キャンパスネットワークの導入”，学術情報処理研究，No.14，pp.140-143 (2010)
浜元信州，五十嵐瑛介，青山茂義，三河賢治，“ホスト登録システムを利用したネットワークアクセス認証システムの運用”，情報処理学会研究報告，Vol.2010-IOT-9,No.4，
pp.1-6 (2010)

スの許可ルールを登録する方法や，無線端末の場合は無線c 2012 Information Processing Society of Japan6