NIIオープンフォーラム2017・細川.pptx

Size: px

Start display at page:

Download "NIIオープンフォーラム2017・細川.pptx"

いつやふくだ
5 years ago
Views:

1 慶應義塾における eduroam 提供慶應義塾 ITC 本部細川達

2 内容 1. 慶應義塾におけるeduroam 提供の概要 2. eduroam 対応システムの構成構築注意点 3. 提供開始以来の利状況 4. まとめ今後の課題 2017 年 6 7 NII 学術情報基盤オープンフォーラム

3 慶應義塾における eduroam 提供状況時系列 2015 年 6 参加申請開発開始 2015 年 9 試験運開始 2015 年 12 運開始学内の対象ユーザ学教職員 : 合計約 45,000 名アクセスポイント全主要 6 キャンパス + 部サテライトキャンパス ( 新川崎鶴岡 ) の ITC 設置全 Wi-Fi アクセスポイント開発 OSS 利で内製 eduroam_map.php?type=jp ( 三キャンパス近辺 ) 2017 年 6 7 NII 学術情報基盤オープンフォーラム

4 学内ユーザの認証法既存の Wi-Fi RADIUS インフラを利 keiomobile2 という 802.1X 認証の Wi-Fi が提供済みだったの両あるが eduroam-jp 的には特に問題ない PEAP のパスワードは通常のログインのものとは別 Web インターフェースで独のパスワードを取得する複雑でいランダムパスワードを発更新利可能な ID 対象レルム名認証法共通認証システム EAP-PEAP ITC アカウント EAP-PEAP SFC-CNS EAP-PEAP/EAP-TLS 表 :keiomobile2 で利可能な RADIUS 認証サーバ (eduroam でも同様に利可能とした ) 2017 年 6 7 NII 学術情報基盤オープンフォーラム

RADIUS インフラに eduroam 対応追加 eduroam RADIUS Proxy/Acct サーバを追加各キャンパスの SSID:eduroam による RADIUS Auth( 認証 ) と

向やり取り RADIUS Auth RADIUS Acct eduroam Proxy/Acct サーバ各 Proxy/Acct サーバは Auth( 認証 ) を各認証サーバに Proxy し Acct(

jp Auth サーバキャンパス A Proxy/Acct サーバキャンパス A Wi-Fi コントローラ ITC アカウント Auth サーバ RADIUS Auth キャンパス B Proxy/Acct

5 RADIUS インフラに eduroam 対応追加 eduroam RADIUS Proxy/Acct サーバを追加各キャンパスの SSID:eduroam による RADIUS Auth( 認証 ) と RADIUS Acct( アカウンティング ) をこのサーバに送信 eduroam-jp サーバとは Auth と Acct を双向に送受信 eduroam-jp Auth/Acct サーバ ( 学外 ) 双向やり取り RADIUS Auth RADIUS Acct eduroam Proxy/Acct サーバ各 Proxy/Acct サーバは Auth( 認証 ) を各認証サーバに Proxy し Acct( アカウンティング ) はローカルで処理する keio.jp Auth サーバキャンパス A Proxy/Acct サーバキャンパス A Wi-Fi コントローラ ITC アカウント Auth サーバ RADIUS Auth キャンパス B Proxy/Acct サーバ RADIUS Auth RADIUS Acct キャンパス B Wi-Fi コントローラ SFC-CNS Auth サーバキャンパス C Proxy/Acct サーバ全キャンパス分 Proxy/Acct サーバはあるキャンパス C Wi-Fi コントローラ全キャンパス分 Wi-Fi コントローラはある 2017 年 6 7 NII 学術情報基盤オープンフォーラム

提供ネットワークとユーザトラフィック SINET5 の eduroam ネットワークを提供通常の学内ネットワークとは別ネットワーク

で構築 ( スクリプトを動かすため ) キャンパス A Wi-Fi コントローラ SINET5 Pub IPv4(/29) Pub

Wire) Pvt IPv4(/20) Pub IPv6(/64) キャンパス B Wi-Fi コントローラキャンパス C

6 提供ネットワークとユーザトラフィック SINET5 の eduroam ネットワークを提供通常の学内ネットワークとは別ネットワーク IPv4 は NAT によるプライベートネットワーク (/20) IPv6 はグローバルネットワーク (/64) ルータは Linux で構築 ( スクリプトを動かすため ) キャンパス A Wi-Fi コントローラ SINET5 Pub IPv4(/29) Pub IPv6(/64) eduroam IPv4 NAT/ IPv6 ルータ eduroam L7 Firewall (Virtual Wire) Pvt IPv4(/20) Pub IPv6(/64) キャンパス B Wi-Fi コントローラキャンパス C Wi-Fi コントローラ全キャンパス分 Wi-Fi コントローラはある 2017 年 6 7 NII 学術情報基盤オープンフォーラム

7 慶應義塾 eduroam システム構成概要 FreeRADIUS+PostgreSQL で Acct DB を記録負荷軽減と検索更新の簡便さのためルータが IP MAC アドレス対応を Acct DB に記録この結果を元にユーザと IP アドレスの対応を Firewall に設定 RADIUS インフラ eduroam-jp Auth/Acct サーバ ( 学外 ) RADIUS Auth/ Acct( 双向 ) Acct DB [PostgreSQL] ユーザの接続ログ情報 IP アドレス等を保存学内 RADIUS Auth サーバ群 [FreeRADIUS] RADIUS Auth ARP(IPv4), ND(IPv6) 情報 (SQL) eduroam Proxy/Acct サーバ [FreeRADIUS] USER-ID 情報 (XML API) RADIUS Auth/Acct 各キャンパス Wi-Fi コントローラ群 [Cisco, Aruba, Avaya 等 ] SINET5 ユーザの通信 eduroam ルータ [Linux] ユーザの通信 eduroam L7 Firewall [paloalto] ユーザの通信 2017 年 6 7 NII 学術情報基盤オープンフォーラム

8 eduroam における RADIUS 関連注意点 RADIUS Acct を送らない参加組織学内ユーザの学外での eduroam 利時信できる記録は Post-Auth ログ Acct 情報は来ないことがある匿名 ID を利する学外ユーザ TLS チャネルを匿名 ID で要求レルム名等 TLS チャネル内でリアルな ID で認証をうが AP 側のログに残るのは匿名 ID のみ特に実害はないが知っておこう Auth Acct 年 6 7 NII 学術情報基盤オープンフォーラム

9 Acct DB に記録する情報主なテーブル RADIUS Post-Auth 情報 ( 学内外問わず認証結果を記録 ) RADIUS Acct 情報 ( 主に学内 AP での利状況を記録 ) ルータからの IP アドレス情報 ( もっぱら学内 AP での利状況を記録 ) Proxy 元情報とは? クライアント短縮名 (clients.conf の shortname 標準では記録されない ) 認証要求が eduroam-jp からのものか各キャンパスからのものか等を判別 Proxy/Acct サーバ上の FreeRADIUS (SQL バックエンド ) Post-Auth 情報を記録 Acct 情報を記録 MAC アドレスを条件に主キーを検索ルータ上の Perl スクリプト検索結果を IP アドレスと共に記録 RADIUS Post-Auth 情報認証時刻ユーザID 認証法結果アクセスポイント情報端末 MACアドレス Proxy 元情報 RADIUS Acct 情報 ( 連主番キー ) 接続開始終了時刻ユーザ ID 通信量アクセスポイント情報端末 MAC アドレス Proxy 元情報ルータからの IP アドレス情報 ( 学内での利のみ ) 端末 IPv4 アドレス端末 IPv6 アドレス Acct 情報の主キー参照 Acct DB [PostgreSQL] 1 つの RADIUS Acct の情報を複数のルータからの情報が参照 e.g. デュアルスタック v6 複数アドレス動変更等 2017 年 6 7 NII 学術情報基盤オープンフォーラム

慶應義塾における eduroam 利状況 2,000 1,800 1,600 ユーザ数 1,400 1,200 1,000 800

学外ユーザ : 学内での利 ( 匿名 ID は 1 ユーザ / レルム扱い ) 100,000 認証回数 80,000 60,000

10 慶應義塾における eduroam 利状況 2,000 1,800 1,600 ユーザ数 1,400 1,200 1, 学内ユーザ数学外ユーザ数 , ,000 試夏休み試学内ユーザ : 学外組織での利学外ユーザ : 学内での利 ( 匿名 ID は 1 ユーザ / レルム扱い ) 100,000 認証回数 80,000 60,000 40,000 20,000 学内ユーザ認証回数学外ユーザ認証回数年 6 7 NII 学術情報基盤オープンフォーラム

jp 16%) 総計 6,870 ユーザ uk 7% se 2% fr 2% de

11 学外ユーザの TLD 内訳 (2016 年度 ) 学外ユーザ数での集計学内ユーザは対象外匿名 ID は 1 ユーザ / レルム扱い全体の 63% が jp ドメイン学認仮名アカウント 16% 欧州のドメインが多いその他 ( ユーザ数降順 ): ch, it, be, at, es, dk, sg, cn, no, cz, th, kr, fi, pt, pl, tr, tw, ie, is, nz, cat, eu, za, si, rs, mo, lt, hu, gr, com, sk, sa, mt, il, hr, gov, br jp 63% その他 8% hk 1% ca 1% (upki.eduroam.jp 16%) 総計 6,870 ユーザ uk 7% se 2% fr 2% de 5% edu 6% nl 2% au 3% 2017 年 6 7 NII 学術情報基盤オープンフォーラム

12 その他苦労した点導に向けての調整主に教員から eduroam をれて欲しいと要望があったのが追いとなったインシデント対応等に対する懸念なども L7 Firewall の運経験を積んできたことなどもあり軽減することができた拠点間で RADIUS プライベートアドレスが衝突調整してにリナンバーしてもらった 2017 年 6 7 NII 学術情報基盤オープンフォーラム

13 今後の課題利者が増えてきたので拡張したい本システムでルータの並列配置が可能か? 1 つの LAN に複数ルータを置くと DHCP と ND が両のルータとネゴしてしまう模様キャンパス等でルータを分けたがいい? SINET からのアドレスはおかわり ( 拡張 ) 済今はプライベート側アドレス拡張で息認証 VLAN 化で学内 WiFi との統合 keiomobile2 との統合トラブル確認は学認仮名アカウントで? あまりトラブル報告が来なくなるのでは? 全拠点で提供可能かどうかなど検討中様々なメーカーの AP がある上にコントローラ配下にないものも SINET5 学内 LAN eduroam keiomobile 年 6 7 NII 学術情報基盤オープンフォーラム

14 ありがとうございました ( おまけ ) 基地局マップ情報を登録しよう年 6 7 NII 学術情報基盤オープンフォーラム

Microsoft PowerPoint AM_GN_eduroam01_Nakamura.pptx

Microsoft PowerPoint AM_GN_eduroam01_Nakamura.pptx eduroam JP 認証連携 ID サービス新機能 (Federated-ID new feature introduction) 中村素典 / 国立情報学研究所 NII 学術情報基盤オープンフォーラム 2018 eduroam 認証連携 ID サービス学認で認証し eduroam 一時アカウントを発行仮名ネットワークアクセスを実現インシデント発生時は特定可能パスワード漏洩対策 ID: