KUINS-IIIにおけるNATの利用

KUINS-IIIでは，学外との接続性を持たないプライベートIPアドレスを用い，学外との通信は，例えば Webの場合にはHTTPプロキシサーバを介して行うようになっています．一方，家庭でも普及しつつあるADSLやCATVインターネットなどの広帯域インターネット接続では，いわゆるブロードバンドルータを介してパソコン側にはプライベートIPアドレスが割り当てられるのが普通ですが，家庭の外と特別な設定なく通信できます．これは，ブロードバンドルータが NAT(Network Address Translation)とよばれるプライベートIPアドレスとグローバルIPアドレスの変換の処理を行ってくれているからです．

本稿では，KUINS-IIIではなぜNATが提供されていないのか，では部局側で KUINS-IIIにNATの機能を持つルータ(NATルータ)を導入するにはどうすればよいかについて解説します．

NATとセキュリティ

そもそもなぜKUINS-IIIではプライベートIPアドレスを採用したのでしょうか．これは，グローバルIPアドレスが不足していて， KUINS-IIIのような新しい空間に割り当てるだけの余裕がなかったからにすぎません．

プライベートIPアドレスを用いると，外部との直接の接続性が無くなってセキュリティ面で優れているという解説がされることがありますが，これは必ずしも本当ではありません．グローバルIPアドレスを用いても，対外接続ルータのところで外部との接続をフィルタリングしてやれば，ほとんど同じことだからです．

プライベートIPアドレスを用いて外部との接続にNATを介することにすることは，直接グローバルIPアドレスで接続するのに比べ，プライバシーの観点からは優れています．すなわち，外部にはNATルータのIPアドレスから接続しているようにしか見えないので，NATルータの内側にどのような機器があってそのうちどの機器から接続されてきたかということが，外側からは知る方法がないのです．

このことは，家庭などでネットワークを構成する場合にはメリットですが，大学のようなところでNATルータを導入する場合には注意しなければなりません．例えば，もしNATの内側でウイルスに感染したパソコンが外に対して不正アクセスを繰り返しているような状況になったとしましょう．外からは，不正アクセスはすべてNATルータから行われているとしかわからず，NATの内側でどのパソコン (1台とは限りません) が不正アクセスを行っているかを特定するまでは，NATルータそのものを停止して配下の全端末の通信を停止せざるを得ないようなことも起こります．

なぜKUINS-IIIではNATを提供しないのか

KUINS-IIIの設計段階において，NATの機能を提供するかどうかは慎重に検討され，結論としては見送られました．

第一の理由は，NATの処理はルータに取って負荷の重い処理であることです． KUINSでの利用においては百歩譲っても10Mbps以上の性能が必須と考えられますが， KUINS-IIIの設計時点では，その性能を実現できるNATルータは非常に高価で，比較的安価なものは数Mbpsが限界でした．さらに，後述のようにNAT処理ごとのログを取ることにするとさらに厳しくなります．しかし，家庭へのブロードバンドサービスの普及とともに，この状況は変わってきています．

第二に，KUINS-IIIのハードウェア構成との親和性の問題があります． KUINS-IIIでは，機器のコストおよび管理のコストを削減するために，ルーティングの処理を，全学で8台の基幹スイッチとよばれる高速のL3スイッチに集約せざるを得ませんでした．これにNATの処理を加えるためには，基幹スイッチ自体にNAT処理をやらせるか，基幹スイッチの周りにVLANの数だけNATルータを並べるかのいずれかになりますが，前者は性能的に無理があり，後者は機器の管理ができなくなります．

第三に，ログの管理の問題があります．前節で述べたように，NATルータを介して外部に不正アクセスがあった場合に問題のある機器を特定できるようにするには，すべての通信に対して NATによるアドレス変換がどのように行われたかをログとして記録しておくことが必須です．ログの保存期間について法律上の明確な定めはありませんが，最低3ヵ月は保存しておくことが必要と言われています． KUINSにおいて全通信でそのようなログを取ると膨大な量になり，現実的ではありません．

以上のことから，KUINS-IIIにおいては， NATではなくアプリケーションゲートウェイを介して学外と通信することを基本とし，KUINSとしてWebプロキシサーバ，メールサーバ，SOCKSプロキシサーバ等を提供することにしました．これに加え，部局で準備するアプリケーションサーバや， SSHによるユーザレベルでのポートフォーワーディングによりほとんどのアプリケーションはKUINS-IIIにおいても利用できるようになります(図1)．

図1: KUINS-III の通常の利用

部局でのNATルータの設置

しかし，アプリケーションあるいはOSによっては，アプリケーションゲートウェイではどうしても対応できないものがあります． KUINSではそのような場合に部局でKUINS-IIとKUINS-IIIを橋渡しするように NATルータを設置することを禁止はしません．

前置きが長くなりましたが，KUINS-IIIに接続された端末から， NATを介して学外へ接続できるようにするための方法を以下に解説します．

部局でNATルータを設置する場合には，以下の2点に注意していただくことが条件となります．

必ず事前にKUINSに相談すること
責任の所在を明確にし，NATルータにおけるログの管理をきちんと行うこと

NATルータを不適切な設定でKUINS-IIIにつないでしまうと，うまく通信できないばかりでなく KUINS全体に波及するトラブルを発生させる可能性があります．事前に調整の上必要な設定項目をご連絡致しますので，接続の前に必ず事前にご相談ください．将来的には簡単な届出のみでNATルータの設置ができるようにする予定です．

NATルータを設置する際の注意点の第二は，法的責任に関してです．ここで示す方法では，KUINS-IIIに接続された端末から学外へのアクセスは，すべてNATルータのKUINS-IIの側のIPアドレスを使って行われます．学外からはNATルータのKUINS-IIの側のIPアドレスで接続されたということ以上はわかりません．もし不正アクセスその他法律上の責任が問われるようなことになった場合，実際にそのアクセスがどの端末から行われたかを特定する責任が，NATルータの管理者，すなわちKUINS-II側のIP addressについて責任者として届け出ている人にかかります．

したがって，このようなNATルータを設置する場合には， NATルータにおけるアドレス変換毎に，グローバル側とプライベート側での IPアドレスとポート番号の対応関係がきちんとログに取れるようにすることが必要です．また，対象とするKUINS-III側のVLANを，責任者が本当に責任が取れる小さな範囲，典型的には研究室単位くらいにしておき，接続される端末の台数も必要以上に増やさないことを強くお勧めします．

NATルータの導入方法と製品例

NATルータの導入方法としては，次のようになります．まず，NATルータの2つのネットワークインターフェースのグローバルIPアドレス側にKUIN-IIのIPアドレス，プライベートIPアドレス側に接続するKUINS-III の固定IPアドレスを振ります．また，KUINS-IIIではKUINS-III用のDHCPサーバが動作しているため，NATルータのDHCPサーバの機能は必ず停止します(図2)．

KUINSのDHCPサーバは，NATがない場合と同じようにdefault gatewayとして KUINSのルータ(基幹スイッチ)のIPアドレスを付与します．KUINSのルータでは，学内向けのパケットは通常通り配送します．一方学外へのパケットは通常であれば，ルータで破棄されるところ，代わりにNATルータへredirectされます(図3)．

これにより，学外との通信のパケットのみがNATルータを通過することになり， NATの負荷やログの管理の点で有利になります．また万一NATルータが停止しても，学内との通信は(NATルータのない)通常のKUINS-IIIと同様にできます．

図2: NATルータの導入方法

図3: NATルータ使用時の動作

NATルータとしては，「ブロードバンドルータ」のような名前で売られている専用のルータを用いる方法と， PCにUNIXあるいはWindowsNT serverを載せて動作させる方法があります．

プロードバンドルータを利用する場合には，NAT処理でのアドレス変換毎のグローバル側とプライベート側の IPアドレスとポート番号の対応関係がすべてログに残せることが条件です．また，ブロードバンドルータそのものはハードディスクなどの二次記憶を持たずメモリ容量も限られているため，必ずログを管理するためのサーバを別に用意して，そこへsyslogというプロトコルでログが飛ばせるようになっていることが必要です．syslogログ対応とうたっていても，アドレス変換ごとのログがきちんと取れるものは限定されるようです．こちらで確認している製品例としては YAMAHA RTA55i があります．

PCやワークステーションにNATルータをさせる場合，きめ細かいログが取れること，ログの蓄積もそれ自身が行うことができる点で有利です．ただし，停電などの対策が必要になり長期安定運用のためにはそれなりの手間がかかります．

おわりに

以上，KUINS-IIとKUINS-IIIをNATルータでつないで利便性を高くする方法について述べました．しかしながら利便性の向上はセキュリティレベルの低下と表裏一体であることを常に意識しておいてください．

最近のNATルータは，UPnP対応やVPN対応など高機能を売りにしていますが，これらの機能が予期せぬ不正侵入経路をつくってしまうことが稀ではありません． NATルータの設定の際には，使わなさそうな機能，よく理解できない機能はできるだけ停めた状態で運用なさるようご配慮下さい．