JP2006115072A

JP2006115072A - Ｖｌａｎ認証装置

Info

Publication number: JP2006115072A
Application number: JP2004298684A
Authority: JP
Inventors: Akira Iwata; 彰岩田; Kimii Wakayama; 公威若山; Shunyo Suzuki; 春洋鈴木; Osamu Sugie; 修杉江
Original assignee: Nagoya Institute of Technology NUC; Chuden Cti Co Ltd
Current assignee: Nagoya Institute of Technology NUC; Chuden Cti Co Ltd
Priority date: 2004-10-13
Filing date: 2004-10-13
Publication date: 2006-04-27

Abstract

【課題】既存のＶＬＡＮスイッチを備えたネットワークシステムに容易かつ低コストで導入可能なＶＬＡＮ認証装置を提供すること。
【解決手段】認証情報の有効性を判定する認証手段とＶＬＡＮ制御手段とが組み込まれ、認証手段により認証情報が有効と判定された場合に、ＶＬＡＮ制御手段により、当該認証情報に対応するＶＬＡＮに組み替える操作コマンドをＶＬＡＮスイッチ２０に発行する構成である。従って、ＶＬＡＮスイッチ２０自体が、ＶＬＡＮを組み替えるための認証制御プログラムを備えている必要がないため、ＶＬＡＮスイッチのベンダを問わず、接続可能であり汎用性がある。また、ＶＬＡＮスイッチ固有の認証制御プログラムを使用しないため、スタティックＶＬＡＮスイッチであっても、ＶＬＡＮの動的な組み替えが可能になる。
【選択図】図１

Description

本発明は、端末装置によるネットワークへのアクセスを制御し、許可されたネットワークのみにアクセス可能とするＶＬＡＮ認証装置に関する。

特許文献１には、ＶＬＡＮ（ＶｉｒｔｕａｌＬＡＮ（バーチャルＬＡＮ））への、パーソナルコンピュータなどの端末装置（クライアント）からのアクセスを、ユーザ毎に制御する技術が開示されている。具体的には、ユーザ認証サーバとデバイス認証サーバとを備え、これらをＶＬＡＮスイッチに接続し、端末装置から送信されるユーザ認証情報やデバイス認証情報を認証し、その認証結果に基づいて、所定のＶＬＡＮへの端末装置の接続を許可するものである。
特開２００２−３６６５２２号公報

特許文献１に開示されたＶＬＡＮスイッチは、ＶＬＡＮの割り当てをユーザ毎に動的に設定するものであり、デバイス認証サーバ、ユーザ認証サーバからの情報を参照し、端末装置から送信されるユーザ認証情報等と照合し、所属先のＶＬＡＮを決定する認証制御プログラム（例えば、ＩＥＥＥ８０２．１ｘ対応のプログラム）が設定されている。このため、ＶＬＡＮスイッチを介してアクセスする端末装置は、かかる認証制御プログラムを動作させるため、認証制御プログラムに対応したサプリカント（Supplicant）ソフトウェア（例えば、ＩＥＥＥ８０２．１ｘ対応サプリカント）がインストールされていなければならない。従って、特許文献１に開示されたもののように、動的にＶＬＡＮの割り当てを行うＶＬＡＮスイッチを用いる場合には、ＶＬＡＮスイッチとサプリカントソフトとの間で互換性を備えていなければならず、ＩＥＥＥ８０２．１ｘ等の有力な標準規格はあるものの、実装上の差異などの理由により実質的にはベンダ固有の仕様で統一されたものを用いる必要がある。また、階層的なネットワークにおいて複数のＶＬＡＮスイッチを用いる場合には、ＶＬＡＮスイッチ相互間でも仕様の統一が必要となる。

すなわち、特許文献１の技術を実現するには、使用する全てのＶＬＡＮスイッチ及び端末装置に設定するサプリカントソフトとも統一規格の製品を準備する必要があり、実質的には単一のベンダ固有の製品に統一せざるを得ないため、既存のＶＬＡＮスイッチを備えたネットワークシステムに導入するとすれば、ハードウェアの交換、ソフトウェアのインストールなどの設定作業が繁雑になると共に、導入コストが高くつく。

本発明は上記に鑑みなされたものであり、既存のＶＬＡＮスイッチを備えたネットワークシステムに容易かつ低コストで導入可能なＶＬＡＮ認証装置を提供することを課題とする。

上記課題を解決するため、請求項１記載の発明では、ＶＬＡＮスイッチに接続された端末装置から送信される認証情報を受信し、認証情報の有効性を判定する認証手段と、
前記認証情報が認証手段により有効と判定された場合に、当該認証情報に対応する所属可能なＶＬＡＮを決定するＶＬＡＮ設定部を備えたＶＬＡＮ制御手段とが組み込まれてなり、
前記ＶＬＡＮスイッチに汎用の通信方式を介して接続されて配置され、前記ＶＬＡＮ制御手段から、前記ＶＬＡＮ設定部により決定されたＶＬＡＮを割り当てる操作コマンドを前記ＶＬＡＮスイッチに発行し、ＶＬＡＮスイッチのＶＬＡＮ割り当てを前記認証情報に対応して動的に組み替え可能であることを特徴とするＶＬＡＮ認証装置を提供する。
請求項２記載の発明では、Ｗｅｂサーバを備えると共に、前記認証手段がＷｅｂサーバに組み込まれ、端末装置のＷｅｂブラウザを用いて前記認証情報を認証可能であることを特徴とする請求項１記載のＶＬＡＮ認証装置を提供する。
請求項３記載の発明では、前記認証情報がユーザ毎に取得した電子証明書であり、前記認証手段が、証明書発行者、証明書有効期限及び証明書失効情報を参照して有効性を判定する構成であることを特徴とする請求項２記載のＶＬＡＮ認証装置を提供する。
請求項４記載の発明では、前記ＶＬＡＮ設定部が、前記認証情報に対応する所属可能なＶＬＡＮを１又は複数選択する構成であること特徴とする請求項１〜３のいずれか１に記載のＶＬＡＮ認証装置を提供する。
請求項５記載の発明では、前記ＶＬＡＮ設定部により選択されるＶＬＡＮが複数である場合に、前記Ｗｅｂサーバを介して端末装置に選択可能な複数のＶＬＡＮ候補を送信し、ユーザにより所望のＶＬＡＮを１又は複数選択可能としたことを特徴とする請求項４記載のＶＬＡＮ認証装置を提供する。
請求項６記載の発明では、前記認証手段とＶＬＡＮ制御手段とがケーシング内に一体に組み込まれたハード・ソフト一体型であることを特徴とする請求項１〜５のいずれか１に記載のＶＬＡＮ認証装置を提供する。
請求項７記載の発明では、前記ＶＬＡＮスイッチと接続するための汎用の通信方式がＴｅｌｎｅｔであることを特徴とする請求項１〜６のいずれか１に記載のＶＬＡＮ認証装置を提供する。

本発明のＶＬＡＮ認証装置は、認証情報の有効性を判定する認証手段とＶＬＡＮ制御手段とが組み込まれ、認証手段により認証情報が有効と判定された場合に、ＶＬＡＮ制御手段により、当該認証情報に対応する所属可能なＶＬＡＮに組み替える操作コマンドをＶＬＡＮスイッチに発行する構成である。従って、ＶＬＡＮスイッチ自体が、ＶＬＡＮを組み替えるための認証制御プログラムを備えている必要がないため、本発明のＶＬＡＮ認証装置はＶＬＡＮスイッチのベンダを問わず、接続可能であり、汎用性がある。また、ＶＬＡＮスイッチ固有の認証制御プログラムを使用しないため、従来用いられているスタティックＶＬＡＮスイッチであっても、本発明のＶＬＡＮ認証装置を接続することにより、ＶＬＡＮの動的な組み替えが可能になる。従って、ＶＬＡＮスイッチを備えた既存のネットワークシステムに容易にかつ低コストで導入して社内ネットワークなどのネットワークシステムのセキュリティを高めることができる。

また、Ｗｅｂサーバを備え、認証手段をＷｅｂサーバに組み込むことにより、端末装置の汎用のＷｅｂブラウザを用いて認証情報を認証することができる。これにより、認証のための特別なプログラム（サプリカントソフトウェア等）を端末装置に設定する必要がなく、ＶＬＡＮスイッチ及び端末装置を含むネットワーク全体のベンダの統一性や相互互換性に拘泥する必要がなくなり、既存のネットワークシステムに、より容易にかつ低コストで導入することができる。また、電子証明書による認証も、証明書失効情報（Certificate Revocation List（CRL））等を参照してより確実に行うことができる。

なお、ＶＬＡＮ設定部において認証情報に対応して選択されるＶＬＡＮは１つに限定されるものではなく、認証情報に対応している限り複数であってもよい。ＶＬＡＮが複数選択される場合には、ユーザが端末装置のＷｅｂブラウザを用いて所望のＶＬＡＮを１又は複数選択可能とすることもできる。

また、認証手段とＶＬＡＮ制御手段とがケーシング内に一体に組み込まれたハード・ソフト一体型（アプライアンス型）とすることにより、より低コストで製作可能であると共に、導入作業がより容易になる。
また、ＶＬＡＮスイッチと接続するための汎用の通信方式は、Ｔｅｌｎｅｔを採用すると、汎用性が高いことから便利である。

以下、本発明の実施形態を図面に基づいて更に詳しく説明する。図１は、ＶＬＡＮ認証装置がＶＬＡＮスイッチを介したＶＬＡＮネットワークに接続された形態を示す概略図であり、図２は、ＶＬＡＮ認証装置の構成を示す概略図であり、図３は、認証前後の状態偏移を示す概略図であり、図４は、端末装置、ＶＬＡＮスイッチ及びＶＬＡＮ認証装置の動作シーケンスを示す図である。
ここで、ＶＬＡＮとは、企業内ネットワーク（ＬＡＮ）等において、物理的な接続形態とは独立して端末装置の仮想的なグループを設定したＬＡＮのことであり、本発明は、新規なネットワークシステムにおいてはもちろんのこと、既存のＶＬＡＮスイッチを備えたネットワークシステムにおいても容易かつ低コストで導入可能なＶＬＡＮ認証装置を提供するものである。

図１に示すように、ＶＬＡＮネットワークは、ＶＬＡＮ認証装置１０と、ＶＬＡＮスイッチ２０と、端末装置３０（３０ａ，３０ｂ，３０ｃ）とを備えて構築されている。ＶＬＡＮスイッチ２０は、各種機器と接続可能に設けられた複数のＬＡＮポート２１を備え、ＶＬＡＮ認証装置１０及び端末装置３０とＬＡＮケーブルを介して接続されている。端末装置３０は、例えば、装置本体内にＭＰＵ（Micro Processing Unit）やメインメモリ等により構成された演算処理部、演算処理のためのソフトウェアを記憶したハードディスク、及びこれらのデータの入出力部である入出力ポートが備えられたパーソナルコンピュータ等を用いることができる。

図２に示すように、本実施形態のＶＬＡＮ認証装置１０は、ＶＬＡＮスイッチ２０に接続された端末装置３０から送信される認証情報を受信し、認証情報の有効性を判定する認証手段１１と、認証手段１１により認証情報が有効と判定された場合に、当該認証情報に対応して所属可能なＶＬＡＮを決定するＶＬＡＮ設定部１２ａを備えたＶＬＡＮ制御手段１２とが組み込まれてなる。そして、認証手段１１と、ＶＬＡＮ制御手段１２と、これらを動作制御させるＯＳとがモジュール化され、ケーシング内に一体に組み込まれたアプライアンス型となっている。ＯＳは、本実施形態では、Ｌｉｎｕｘカーネルをコアとして動作するＲｅｄＨａｔベースのディストリビューションを採用しているが、これに限定されるものではないことはもちろんである。

また、ＶＬＡＮ認証装置１０は、ＶＬＡＮスイッチ２０に汎用の通信方式を介して接続されて配置され、ＶＬＡＮ制御手段１２から、ＶＬＡＮ設定部１２ａにより決定されたＶＬＡＮを割り当てるための操作コマンドをＶＬＡＮスイッチ２０に発行する機能を有する。なお、ＶＬＡＮ認証装置１０とＶＬＡＮスイッチ２０との通信方式には、例えば、通信方式として標準化されているＴｅｌｎｅｔを採用することができ、これにより汎用性が高まり、導入がより容易となる。

認証手段１１は、ＶＬＡＮ認証装置１０に設定されるＷｅｂサーバ１５に設定されている。図２に示すように、本実施形態のＷｅｂサーバ１５は、Ｌｉｎｕｘ等のＵＮＩＸ（登録商標）系ＯＳやＷｉｎｄｏｗｓ（登録商標）系ＯＳで動作するＡｐａｃｈｅ（アパッチ）を採用しており、Ａｐａｃｈｅ上のＣＧＩによってＨＴＴＰＳ認証を行う認証手段１１としての認証プログラムが起動し、端末装置３０の認証処理を行う。具体的には、ＶＬＡＮスイッチ２０に接続された端末装置３０がＷｅｂブラウザを用いて所定のネットワーク（例えば、図１の業務ネットワークＡ）にアクセスを望む際に、ＨＴＴＰＳ認証によって、まず、端末装置３０から送信される認証情報の認証を行うものである。ＨＴＴＰＳ認証によって認証されると、認証用のＣＧＩによって認証状態を保持するためのプログラムである認証状態保持手段１４が起動する。

このように、本実施形態では、端末装置３０の汎用のＷｅｂブラウザを用いて認証情報を認証することができる。このため、認証のための特別なプログラム（サプリカントソフトウェア等）を端末装置３０に設定する必要がなく、ＶＬＡＮスイッチ２０及び端末装置３０を含むネットワーク全体のベンダの統一性等を考慮する必要がなくなり、既存のネットワークシステムに、より容易にかつ低コストで導入することができる。

認証情報としては、端末装置３０のユーザ毎に発行される電子証明書を用いることが信頼性が高いことから好ましい。電子証明書の情報は、端末装置３０のハードディスクに記憶させておくこともできるが、ユーザの保有するＩＣカードに書き込んでおき、ＩＣカードを端末装置３０に読み込ませて取得する構成とすることもできる。電子証明書を用いる場合には、図２に示したように、ＶＬＡＮ認証装置１０内に、既存ネットワーク等を介して入手した証明書失効情報（ＣＲＬ）を格納したＣＲＬ記憶部１３を設ける。これにより、電子証明書の有効性を、かかるＣＲＬを用いて判定することができる。

ＶＬＡＮ制御手段１２は、上記したように、認証手段１１により電子証明書が有効と判定された場合に、当該電子証明書に対応して所属可能なＶＬＡＮを決定するプログラムであるＶＬＡＮ設定部１２ａを備え、ＶＬＡＮ制御手段１２から、ＶＬＡＮを設定する操作コマンドをＶＬＡＮスイッチ２０に発行し、ＶＬＡＮスイッチ２０のＶＬＡＮ割り当てを認証情報に対応して組み替える機能を有している。これを図３に示す状態偏移図及び図４の動作シーケンスを参照して説明する。

図３は、端末装置３０ａ〜３０ｃの「認証前」の状態と、端末装置３０ａ，３０ｃの「認証後」の状態との状態偏移を示しており、ＶＬＡＮスイッチ２０のＬＡＮポート２１ａ〜２１ｃに端末装置３０ａ〜３０ｃがそれぞれ接続され、ＬＡＮポート２１ｄにはＶＬＡＮ認証装置１０が接続されている。また、ＬＡＮポート２１ｅには、ＶＬＡＮ１に所属する業務ネットワークＡが接続されており、ＬＡＮポート２１ｆには、ＶＬＡＮ２に所属する業務ネットワークＢが接続されている。

ここで、ＶＬＡＮ１に所属可能に設定された電子証明書を保有する社員Ｓ１が端末装置３０ａを利用して業務ネットワークＡにアクセスする場合におけるＶＬＡＮの状態偏移について説明していく。まず、社員Ｓ１は、例えば、業務ネットワークＡへのアクセスを希望する際には、ＷｅｂブラウザにＶＬＡＮ認証装置１０のＵＲＬを入力する。ＵＲＬを入力すると電子証明書の提出が求められるため、社員Ｓ１はＰＩＮ（Personal Identify Number）を入力し、電子証明書の情報を送信する（図４のＳ１０１）。ＶＬＡＮ認証装置１０のＷｅｂサーバ１５に設定された認証手段１１によって電子証明書の有効性がチェックされる。すなわち、電子証明書の発行者及び有効期限のチェックがなされると共に、ＣＲＬ記憶部１３に格納されたＣＲＬを参照し、発行者によって当該電子証明書が失効されていないことのチェックがなされる（図４のＳ１０２）。それぞれが有効と判定された場合には、ＶＬＡＮ制御手段１２のＶＬＡＮ設定部１２ａにおいて電子証明書に応じて所属可能なＶＬＡＮとして、ＶＬＡＮ１を抽出し決定する（図４のＳ１０３）。

上記のように、ＶＬＡＮ設定部１２ａにおいてＶＬＡＮ１が抽出されると、端末装置３０ａのＩＰアドレス及び／又はＭＡＣアドレスを用いて、端末装置３０ａのＬＡＮポート２１ａの所属がＶＬＡＮ１になるように割り当てる操作コマンドを、ＶＬＡＮ設定部１２ａからＶＬＡＮスイッチ２０に対して発行する（図４のＳ１０４）。これにより、図３の「認証後」の状態で示したように、端末装置３０ａは、ＶＬＡＮ１に所属し、業務ネットワークＡにアクセス可能となる。

一方、社員Ｓ２が端末装置３０ｃを用いて業務ネットワークＢにアクセスしようとした場合には、上記と同様の操作により、ＶＬＡＮ認証装置１０によって、社員Ｓ２の電子証明書が認証された後、ＶＬＡＮ設定部１２ａからＶＬＡＮスイッチ２０に対して端末装置３０ｃのＬＡＮポート２１ｃをＶＬＡＮ２へ所属させる操作コマンドが発行される。これにより、端末装置３０ｃがＶＬＡＮ２に所属するように制御され、業務ネットワークＢへのアクセスが可能となる。
なお、例えば、電子証明書がＩＣカードに書き込まれている場合、上記の例で、社員Ｓ１が端末装置３０ｃに自己のＩＣカードを読み込ませてＶＬＡＮ認証装置１０にアクセスした場合には、端末装置３０ｃが接続されるＬＡＮポート２１ｃは、ＶＬＡＮ制御手段１２からＶＬＡＮスイッチ２０に対して発行される操作コマンドによりＶＬＡＮ１に所属されるように組み替えられる。

本実施形態では、電子証明書に応じてアクセス可能なＶＬＡＮを区別しているが、ＶＬＡＮを区別させる手段の一例としては、ＶＬＡＮ設定部１２ａが、内部又は外部に存在する、電子証明書に対応して所属可能なＶＬＡＮを決定できる対照表若しくはデータベース様の情報を参照できるような機能をＶＬＡＮ認証装置１０に設けておくことなどが考えられる。このようにすれば、社員であっても許可の無いＶＬＡＮ内のデータベース等にはアクセス不可能となり、セキュリティ性の向上を図ることができる。

なお、ＶＬＡＮ設定部１２ａにおいて認証情報に対応して決定されるＶＬＡＮは１つに限定されるものではなく、電子証明書に書き込まれた認証情報に対応している限り複数であってもよい。ＶＬＡＮが複数選択される場合には、Ｗｅｂサーバを介して端末装置に選択可能な複数のＶＬＡＮ候補を送信し、ユーザが端末装置３０のＷｅｂブラウザを用いて所望のＶＬＡＮを１又は複数選択することができるようにすると好ましい。

以上のように、本実施形態によれば、ＶＬＡＮスイッチ２０自体が、ＶＬＡＮを組み替えるための認証制御プログラムを備えている必要がないため、ＶＬＡＮ認証装置１０はＶＬＡＮスイッチ２０のベンダを問わず、接続可能であり、汎用性がある。また、ＶＬＡＮスイッチ２０固有の認証制御プログラムを使用しないため、従来用いられているスタティックＶＬＡＮスイッチであっても、本発明のＶＬＡＮ認証装置１０を接続することにより、ＶＬＡＮの動的な組み替えが可能になる。従って、ＶＬＡＮスイッチ２０を備えた既存のネットワークシステムに容易にかつ低コストで導入して社内ネットワークなどのネットワークシステムのセキュリティを高めることができる。

また、認証手段１１とＶＬＡＮ制御手段１２は、ＯＳと共に、それぞれモジュール化され、ＶＬＡＮ認証装置１０のケーシング内に一体に組み込まれたアプライアンス型となっているため、低コストで製作可能であると共に、ＶＬＡＮスイッチに接続するだけでよく、導入作業が容易である。

また、ＶＬＡＮ認証装置１０は、Ｐｉｎｇ機能が組み込まれており、相手先の端末装置が稼動中で通信可能か、途中のネットワークで異常がないかなどをＩＰレベルで定期的に調べ、また、ＩＰアドレスからＭＡＣアドレスを取得するａｒｐのチェックも定期的に行っている（図４のＳ１０５）。そして、異常が確認されると、ＶＬＡＮ制御手段１２のＶＬＡＮ解除部１２ｂからＶＬＡＮスイッチ２０に対してＶＬＡＮの解除処理を行う操作コマンドを発行する（図４のＳ１０６）。

また、ＶＬＡＮ認証装置１０は、ソフトウェアアップデート機能を備えていることが好ましい。これにより、インターネット経由でファームウェアのアップデートを行うことができる。

本発明に係るＶＬＡＮ認証装置がＶＬＡＮネットワークに接続された形態を示す概略図である。ＶＬＡＮ認証装置の構成を示す概略図である。認証前後の状態偏移を示す概略図である。端末装置、ＶＬＡＮスイッチ及びＶＬＡＮ認証装置の動作シーケンスを示す図である。

符号の説明

１０ＶＬＡＮ認証装置
１１認証手段
１２ＶＬＡＮ制御手段
１２ａＶＬＡＮ設定部
１３ＣＲＬ記憶部
１５Ｗｅｂサーバ
２０ＶＬＡＮスイッチ
２１（２１ａ，２１ｂ，２１ｃ，２１ｄ，２１ｅ，２１ｆ）ＬＡＮポート
３０（３０ａ，３０ｂ，３０ｃ）端末装置

Claims

ＶＬＡＮスイッチに接続された端末装置から送信される認証情報を受信し、認証情報の有効性を判定する認証手段と、
前記認証情報が認証手段により有効と判定された場合に、当該認証情報に対応する所属可能なＶＬＡＮを決定するＶＬＡＮ設定部を備えたＶＬＡＮ制御手段とが組み込まれてなり、
前記ＶＬＡＮスイッチに汎用の通信方式を介して接続されて配置され、前記ＶＬＡＮ制御手段から、前記ＶＬＡＮ設定部により決定されたＶＬＡＮを割り当てる操作コマンドを前記ＶＬＡＮスイッチに発行し、ＶＬＡＮスイッチのＶＬＡＮ割り当てを前記認証情報に対応して動的に組み替え可能であることを特徴とするＶＬＡＮ認証装置。
Ｗｅｂサーバを備えると共に、前記認証手段がＷｅｂサーバに組み込まれ、端末装置のＷｅｂブラウザを用いて前記認証情報を認証可能であることを特徴とする請求項１記載のＶＬＡＮ認証装置。
前記認証情報がユーザ毎に取得した電子証明書であり、前記認証手段が、証明書発行者、証明書有効期限及び証明書失効情報を参照して有効性を判定する構成であることを特徴とする請求項２記載のＶＬＡＮ認証装置。
前記ＶＬＡＮ設定部が、前記認証情報に対応する所属可能なＶＬＡＮを１又は複数選択する構成であること特徴とする請求項１〜３のいずれか１に記載のＶＬＡＮ認証装置。
前記ＶＬＡＮ設定部により選択されるＶＬＡＮが複数である場合に、前記Ｗｅｂサーバを介して端末装置に選択可能な複数のＶＬＡＮ候補を送信し、ユーザにより所望のＶＬＡＮを１又は複数選択可能としたことを特徴とする請求項４記載のＶＬＡＮ認証装置。
前記認証手段とＶＬＡＮ制御手段とがケーシング内に一体に組み込まれたハード・ソフト一体型であることを特徴とする請求項１〜５のいずれか１に記載のＶＬＡＮ認証装置。
前記ＶＬＡＮスイッチと接続するための汎用の通信方式がＴｅｌｎｅｔであることを特徴とする請求項１〜６のいずれか１に記載のＶＬＡＮ認証装置。