安全なギガビットネットワークKUI NS- I I I の構築と運用
江原康生高倉弘喜宮崎修一中村素典
沢田篤史岡部寿男金揮正憲
京都大学学術情報メディアセンター
京都大学では2002年4月より了安全なギガビットネットワークシステム( KUI NS- I I I ) 」の運用を開始した・近年セキュリティ被害が増大する中, 学内ではセキュー」ティ対策が不十分のままインターネッ
トに接続されている機器が多い・また, 従来運用されてきたネットワーク( KUI NS- I I ) は, 管理の管轄が各建物の入り口となるルータまでで・その先の建物内の配線や管理は部局任せだった. そのため,ネットワークのトラブルや不正アクセスによる被害が生じたときに, 管理者が不在などにより状況を
把握できないことが多く, 学内のセキュリティレベルを維持することが困難となった.  KUI NS- I I I では, 全学のセキュリティレベルの向上を主目的とし, 新しいネットワークを新規に配線することにし,
各部屋の情報コンセントまで管理するネットワークを設計した. これによ・り, 約16, 000ポートの情報コンセントの管理ができ, また約5000を超えるVLANを割り当てて, きめ細かなポリシーを決定できるようにし・機器のセキュリティ向上と不正アクセスの拡散防止を試みた. 本稿では,  KUI NS- I I Iの構築及び運用状況の概要について述べる.
StructureandOperationof SecureGigabitNetworkSystem,
KUINS-III
Yasuo EBARAHirokiTAKAKURAShuichiMIYAZAKIMotonoriNAKAMURA
AtsushiSAWADAYasuo OKABEMasanori.KANAZAWA
AcademicCenterforComputingandMediaStudies,KyotoUniversity
Yoshida-honsho;Sakyo-ku,Kyoto606-8501,JAPAN
Abstract
InKyotouniversity,theoperationof securegigabitnetworksystem(KUINS-III)have beenstarted
inApril,2002.Many computerswhichsecurityprotectionis notinsufficientare connectedto the
Interneton thecampus,whilesecuritydamagesincreasein recentyear.Inpastcampusnetwork
(KUINS-II),thenetworkmanagementwas dividedintoa routerin eachbuilding,andthewiringof
cableandthe managementin thebuildingwas dependenton each department.In case damagesby
networktroubleand thecrackingoccuerd,thesituationcouldnot confirmby absenceof thenetwork
manager.Consequently,theimprovementof securitylevelwas verydifficult.To improvesecurity
levelin all-campus,we designednew networksystemwhichcouldmanage socketsineachroom by
new wiringinKUINS-III.We attemptedto improvethesecuritylevelandto preventthediffusion
forthecracking,by themanagementof 16,000informationsocketsandtheconfigurationwiththe
detailspolicyformore than5000VLAN.In thisreport,we explainthestructureandtheoperation
of KUINS-III.
1989年に運用を開始した京都大学キャンパスネッ
トワークKUI NS( 京都大学統合情報通信システム)は,  ATMバックボーンの導入などによる高速化を
近年まで進めてきた. しかし, ネットワーク機器の
高機能化やルーティングプロトコルの多様化複雑
化した現在では, 受益者負担によるネットワーク運
用という当初の常識が成り立たなくなりつつある・また, 本学に対する不正アクセスの急増がI DS等
で確認されている状況の中で, 全学で約30, 000台
の機器について高水準のセキュリティを維持するこ
とは困難であり, 将来的に不正アクセスによる被害
が深刻化されるのは必至と考えられる. しかし, 一
般的な防御策であるファイアウォールによる学外と
の通信遮断は, 教育研究機関として有する柔軟かつ
自由な通信環境を放棄することになり, 本学では受
け入れられない.
そこで, 既存のKUI NS- I I /ATMネットワークl l ]
上で運用されてきたgl obal I PアドレスLANと並
行に, ファイアウォールで保護される代りに制約の
あるpri vat eI PアドレスLANとして,  「安全なギガビットネットワークシステム( KUI NS- I I I ) 」を構
築し, ユーザが目的に応じてどちらを利用するかを選択できるようにした剛3ト現在,  KUI NS- I I I では4, 000を超えるVLANが構築され12, 000台以
上の機器が接続されている.
本稿では,  KUI NS- I I I の構成及び運用ポリシーに
ついて, その概要を述べる.
2KUI NS- I I I の構成
2. 1概要
本学のネットワーク構成図を図1に示す. 本学の
主要キャンパスは8構内( 吉日地区7構内+宇治地
区1構内) に分割されキャンパスLANの管理単位もほぼこれに従っている. また平成15年度には
新しいキャンパスとして桂地区が開校予定である・本稿で述べるKUI NS- I I I は濃色のライン及びそれ
らに接続されている機器が該当し, 薄色のライン系統は既存のATMネットワーク( KUI NS- I I ) を表す・
各構内はセンタールータ( CR) とギガビットイー
サネット2回線( 吉田地区) ,  ′ 10ギガビットイーサ
ネット1回線( 宇治・桂地区) で接続されている・また吉田地区では, 基幹スイッチ( KS) 間でバックアッ
プ用の冗長回線を設けている. 一方, 遠隔地キヤン
パスの内, 原子炉研究所( 大阪府熊即丁) , 付属農場
( 大阪府高槻市) , 生態学研究センター( 滋賀県大津市) , 飛駄天文台( 岐阜県) , 地震予知研究センタ~
( 宮崎県) , 付属火山活動研究センター( 鹿児島県) ,霊長類研究所( 愛知県犬山市) をI PSecルータ( NR)による暗号化通信を行っている.
これまで本学では, 原則として建物単位で大きな
サブネットを割り当てていたため, アドレス空間全
体ではgl obal I Pアドレスに十分な空きがあった
にも関わらず, 割り当て可能なサブネット数が不足し, 最近では新築の建物には27bi t マスクのサブ
ネットを構成せざるを得ない状態である. しかし全
学でのサブネットの再構成を行うには膨大な時間を要するので,  KUI NS- I I I ではpri vat e I Pアドレス
( 10. 224. 川/l l ) を使用している・経路制御はファイアウォールルータ( FR) , センタールータ( CR) , 塞
幹スイッチ( KS) の間でOSPFを使用している・そのオーバヘッドを減らすために, 各構内毎に複数のクラスBのネットワークを割り当てている・平常
時の他構内への通信はセンタールータを経由し, セ
ンタールータの障害時には基幹スイッチ間のバック
アップ回線を選択する.
2. 2機器構成
2. 2. 1ファイアウォールルータ( FR)
学外との接続にはファイアウォールルータとし
てJ uni per M20を設置し, 以下の用途に使用しBI 3El
. 学外とgl obal I PアドレスLAN間通信に関し
て, 危険性の高い通信を遮断
. 学外からpri vat e I PアドレスLANへ流入す
る通信を遮断
. 学外とサーバ群( 2ヶ所) 間の通信を振り分け
2. 2. 2センタールータ( CR
Cat al yst 6513( L3( レイヤー3) スイッチ) と
NEC CX 5210( ルータ) を設置し, 以下の用途に使用している.
。学外とgl obal  I PアドレスLAN間の通信を
. 各構内の基幹スイッチ( KS) を収容し, 構内を
跨ぐVLAN間の通信を中継
gl obal 及びpri vat e I PアドレスLANの各クライアントからサ- バヘの通信を中継
2. 2. 3基幹スイッチ( KS)
各構内にCat al yst 6509または6513( L3スイッ
チ) を1台づつ設置している. 各構内で基幹スイッチ( KS) とgl obal  I PアドレスLANを管理する
KUI NS- I I ルータ( SR) とATMスイッチ( N) とギガビットイーサネットとATM( OC- 12) でそれぞれ接続されている. 基幹スイッチの主な役割は,
・配下の構内に設置された館内スイッチを収容
・構内の各VLANに対しACL( Access Cont rol
Li st ) を設定
・構内のVLAN間通信を中継
・ KSとSR間のギガビットイーサネット回線を
介して,  gl obal I PアドレスLANとpri vat eI PアドレスLAN間の通信を中継
.  KSとN間のATM回線を介して,  gl obal I Pア
ドレスをKUI NS- I I I  VLANに提供
2. 2. 4館内スイッチ( BS)
建物を管理単位とするCat al yst 3508( L2スイッ
チ) を約200台設置し, 建物内の末端スイッチを収
容する・通常, 館内スイッチは建物の情報機器室などに設置されている.
2. 2. 5末端スイッチ( FS)
原則として, 各階を管理単位とするCat a-
I yst 3512,  3524または3548( L2スイッチ) を約700台設置し, 各部屋の情報コンセントを収容する.基幹スイッチから末端スイッチまでは1回線以上
の光ファイバを使用し, ギガビットイーサネットで
接続されている. 一方, 末端スイッチから各居室までは,  UTPケーブルによるフアストイーサネット( l OOMbps) の提供となる. なお,  UTPケーブルの
距離的な制約により, 末端スイッチは廊下等に設置
されることが多いため, 鍵付の箱に収容されている.
2. 2. 6情報コンセント
従来本学では, ネットワーク管理部門の責任分界
点は各部局の建物に設置されたネットワーク機器ま
でとしていた. 部局の管理下にある配線のほとんど
は, 必要時にボランティア作業で敷設されたため,
時間経過に伴い, 配線・接続状況が把握できなくなる事態に陥っていた. このため,  KUI NS- I I I では
ネットワーク管理部門の責任分界点を居室の情報コ
ンセントまでとし, そこまでの配線を管理することにした.
当初, 各部屋2ポートを基準として,  , *ヤンパス
全体に約16, 000ポートの情報コンセントを設置し
たが, 逐次追加工事が行われ平成15年度開校予定の桂地区の分を合わせると, 約20, 000ポートを
超える見込みである.
2. 2. 7 I DS( 不正アクセス検出装置)
平成10年から運用中の1DSの経験を踏まえ, キャ
ンパス各所に十数台のI DS( Ci sco I DS及びRe-
course ManHunt ) を設置した・内9台はセンタ~ルータと基幹スイッチの内蔵型であり, これらを通
過する通信を監視している.  I DSの警報総数は誤報も含めて,  - 日当り平常時で20万件前後, ピーク
時には150万件に達している.
2. 2. 8各種サーバ群
KUI NS- I I I は学外との直接通信を禁止すること
で, セキュリティレベルを高めている.  pri vat eI PアドレスLANから学外への接続にはNAT( ネット
ワ- クアドレス変換) 装置の利用が一般的である・しかしNAT装置の運用では, 万一に備え, アドレ
ス変換記録を保持する必要があるが,  KUI NS- I I I に
接続される数万台のクライアント機器に関する変換
記録を保持することは技術的に困難である. そのため, 全学規模のNATは運用せずに, 以下のサ- バ
を設置し, 学外との接続を行う,
。外部, 内部DNSサーバ
● メールサ- バ
Webキャッシュサーバ
DHCPサーバ( 管理サーバも含む)
・Socks,  del i gat eサーバ
+ログ収集サーバ
このうち, メールサーバは学内と学外間, あるい
は学内間のメール配送を行うと同時に, ウイルス検
査も実施している. 一部のサーバを除いて, それぞ
れ複数台を2箇所に分散配置している.  2箇所共にUpsと外部給電設備を備え, 一方が電源供給を絶
たれても他方がサービスを引き継げるように設計し
KUI NS- I I I ではプリンタやファイルサーバなど
を除き,  DHCPによるI Pアドレス管理を原則としている.  DHCPサーバによるアドレス発行の記録
を保存することにより, 万一の際に機器を特定することができる. 利用頻度の高さから,  DHCPサー
バは基幹スイッチと同じ場所に設置している. 吉田
地区では各基幹スイッチのある場所に1台づつ配置
し, 計画停電の日程や地理的距離を考慮して,  2台
のDHCPサーバでpri mary/st andbyの組を構成している. 一方, 宇治地区では,  pri mary/st andby構
成の2台を設置しているpri mary/st andbyの切替
は,  DHCP管理サーバで制御しており, 発行済みの
I Pアドレスなどの情報をそのままst andby側で引
き渡すことで, 矛盾のない切替が可能となっている・
これらのサ- バが生成するログは全てログ収集
サーバが保持している.
3VLANの構成
3. 1VLANの概要
KUI NS- I I I では,  VLAN毎の管理責任者の申請
に基づき, 複数の情報コンセントでVLANを構成
する. 各学部の特性に応じて, 教官・学生部屋を全
て含む研究室VLAN, 教官室のみ, 学生部屋のみで構成されるVLAN, 各教官室で独立したVLANなどの申請に従い, 現在約4, 000のVLANが設定されている( DHCPサ- バで約12, 000のMACアドレスの接続が記録されている) . 桂地区が開校する来年度はVLAN数が5, 000を超える見込みである・
ただし, 各ネットワーク機器の使用上制約と障害
発生時の原因調査が複雑になるため, 複数の構内に跨るVLANは原則として認めず,  L3( レイヤー3)によるVLAN間の通信を提供している. 実際には,OSPFによる経路制御では全てのVLAN問で到達可能な状態になっており, アクセス可能なVLANをACLで定義することでアクセス制御している.
3. 2VLAN単位のセキュリティポリシー
VLANの設定・変更申請は,  VLAN管理責任者
( 教職員に限定) のみが行える.  VLAN管理責任者はそのVLANに接続される機器及び使用状況を把
握する必要があり, 万一の場合には法的責任が及
ぶ.  VLANの特性( 物理的・人的セキュリティ) に応じてアクセス制限( 技術的セキュリティ) を定め,KUI NS- I I I として要求されるセキュリティレベルを維持することとした. 図2にその例を示す.
( 1) オープンスペース( 例: 講義室)
常時施錠されていない不特定多数の出入りがあ
るなど物理的・人的セキュリティの確保がなされていない部屋は他のVLANに加え,  DHCP
とDNS以外のサーバへのアクセスを禁止し,
gl obal I PアドレスLANへのアクセスは,  SSH
かPPTP( Poi nしt o- Poi nt  Tunnel i ng Prot ocol )のみを許可する. つまり,  sshあるいはPPTP
を介してgl obal  I PアドレスLANに設置さ
れた機器でユーザ認証を受け,  port  f orwardi ngやトンネリングを用いなければ, 当該VLAN
の外( 学外も含む) との通信ができない. なお
KUI NS- I I ( gl obal  I Pへの機器設置は申請制となっており, 許可されていない機器について
は学外だけでなくサブネット内の通信もできな
くなる対策を平成15年1月より講じる予定である.
( 2) クローズドスペース( 例: 教官室. 事務室)
無人時には施錠され且つ, 出入りする人も限定される部屋は物理的・人的セキュリティがあ
る程度確保されているとして, 申請に基づき
他のVLANへのアクセスやgl obal  I PアドレスLANへのアクセスを認めている. ただし,
gl obal I PアドレスLANからのアクセスは原則として認めていない.
3. 3アクセス制御
クローズドスペースVLANであっても,  gl obal
I PアドレスLANの機器や他のVLANに対する通
信はその相手先とプロトコルの組を申請する必要がある・大半のVLANでは, 任意のgl obal I Pアドレス機器に対して任意のプロトコルを通す申請がなさ
れている・一方で,  VLAN管理責任者がクローズド
スペースではあるが, 人的セキュリティが若干低いと判断しているVLANについて, 特定のKUI NS- I I
機器( 例えば, 部局のメールサーバ) に対して特定のプロトコル( SMTPとPOP3など) に通信を限定する設定や, 一方向アクセスなどの設定もなされて
3. 4gl obal I PアドレスVLAN
KUI NS- I I I のもう一つの目的として, 適切に管
理されていない回線廃止の促進があり, そのためクローズドスペースに設置された情報コンセントに
gl obal I PアドレスLAN環境の提供も行っている.
各部屋に設置されている情報コンセント2ボートの
内,  1つをpri vat eI Pアドレスかgl obal I Pアドレスの何れかに選択できるようにした. また識別を容
易にするために,  pri vat eI Pアドレス専用ポートに
は緑の蓋を, 選択できるポートに黄色の蓋を設けた.
これは, 基幹スイッチとATMスイッチ( 図1の
N) 問のATM回線を介して,  ATMネットワークのLANE( LAN Emul at i on) とKUI NS- I I I  VLANを接
続することで実現している・何らかの理由により,LANEへの接続が困難な場合は,  VLANの情報コ
ンセントの1つを最寄りのgl obal I PアドレスLAN
のスイッチ等( 部局設置) に接続している.
4KUI NS- I I I のセキュリティ対
4. 1 Pol i cy Rout i ngを用いたNAT装
各種サーバを介してpri vat e I PアドレスLANか
ら学外にアクセスできるプロトコルは限定されるた
め, これ以外のプロトコルを用いた学術研究を行う
場合に多くの不都合が生じる. 学外と直接通信できる環境を設ける一手段として, それぞれのVLANにdef aul t  gat ewayとなるNAT装置の設置が考え
られる( 図3) ・しかしこの手法では, 以下の問題点が存在する.
( a)  NAT装置を介した通信のスループットが装置
の性能によ' って制限される( 特にNAT装置を跨ぐ場合)
( b) I DSで,  NAT装置のdobal I Pアドレスに対
する( からの) 通信だけしか検査できない
( C) 他のVLANへの経路制御をNAT装置で行う
これらの問題を回避するために,  Pol i cy
Rout i ng[ 4] による解決を試みる.  VLAN内のクライアントとgl obal I PアドレスLANとの通信
は次の経路を通る( 図4) .
[ クライアントからの通信]
( 1) クライアントはdef aul t  gat eway′ ( 基幹スイッチ)
にパケットを送出
( 2) 基幹スイッチの内蔵I DSによりパケットを検査( 3) Pol i cy Rout i ngに基づき, 基幹スイッチは
VLANのNAT装置にパケットを送出
( 4)  NAT装置はgl obal I Pアドレス側に向けてパ
ケットを転送
[ クライアントへの送信]( A)  NAT装置はgl obal  I Pアドレス側で受信した
パケットをクライアントへ直接転送
以上により,  gl obal I Pアドレス側のI DSでNAT
装置を発信元とする通信を検査するだけでなく,  prト
vat e I Pアドレスの通信を基幹スイッチのI DSで検
査することができる. この手法は一つの通信を複数
のI DSで検査するため,  I DSのログ増加の一因となるが, 実運用ではgl obal I PアドレスLANのI DS
で異常検知時のみpri vat eI PアドレスLANに関わるログを精査すれば良い.
一方, 学内のgl obal  I PアドレスLANや他の
VLANへの通信は,
( 1) クライアントはdef aul t  gat eway( 基幹スイッチ)
にパケットを送出
( 2) 基幹スイッチの内蔵I DSによってパケットを
( 3' ) 基幹スイッチはギガビットイーサネットで接続
されたKUI NS- I I ルータ( SR) を介して,  gl obalI PアドレスLAN, あるいは他のVLANに向
けてパケットを転送
となり,  NAT装置を設置しないVLANと同じ経
路を通ることになる. したがって, 学外からの通信
を除き,  pri vat e I Pアドレスに関する通信を基幹スイッチで検査することが可能である・
本稿では,  KUI NS- I I I の構成,  VLANの分類に
応じたアクセス制御のポリシーについて述べた・KUI NS- I I I の運用開始から9ケ月が経過したが,
VLANを含む各種設定等はまだ試行錯誤を続けて
いる段階であり, 今後は安定かつ効率的な運用手法
の検討が課題と考える.
KUI NS_I I I の維持運用に, 日頃からご尽力いただ
いている本センター情報サービス部ネットワーク担
当の諸氏, 構築に携わっていただいたNECの皆様,I DSの運用に関し, ご支援いただいた日新電機の皆
様に感謝いたします.