JP2006332910A - ネットワーク機器制御システム、アクセス制御装置、アクセス制御方法、及びプログラム - Google Patents

Abstract

【課題】
通信を許可しない端末に不要なＩＰアドレスの割り当てを行わず、通信を許可する端末がネットワーク機器間又はネットワーク機器内のポート間を移動しても再度、通信許可の判定の必要なく通信が行えるようにする。
【解決手段】
ＤＨＣＰサーバ１１と許可部１２が連携し、ＩＰアドレスを割り当てる前に許可情報データベース１３と照合を行い、許可されていればＩＰアドレスを割り当てる処理を行う。ネットワーク機器２０は、ＶＬＡＮ部２２にＩＰアドレスが設定された時にＩＰサブネットを設定部１４に通知する。設定部１４は、許可部１２から通知されるＩＰサブネット情報と一致するＩＰサブネットを通知してきた全てのネットワーク機器２０に対して、通信を許可された端末のＭＡＣアドレスとＩＰサブネット情報を通知する。通知を受けたネットワーク機器２０は、そのＩＰサブネットに対応するＶＬＡＮ部２２に対して、通知されたＭＡＣアドレスを登録し、保持する。
【選択図】 図１

Description

本発明は、ネットワークセキュリティにおけるネットワーク機器制御システム、アクセス制御装置、アクセス制御方法、及びプログラムに関する。

ネットワークにおいては、ＩＰアドレスの割り当てにＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバが用いられることがある。ＤＨＣＰサーバには、ゲートウェイサーバやＤＮＳサーバのＩＰアドレスや、サブネットマスク、クライアントに割り当てても良いＩＰアドレスの範囲が設定されており、自動的にＩＰアドレスを割り振ることができる。そのため、ＤＨＣＰを使うとネットワークの設定に詳しくないユーザでも簡単にインターネットに接続することができ、且つ、ネットワーク管理者は多くのクライアントを容易に一元管理することができる。

また、企業内ネットワーク（ＬＡＮ）においては、物理的な接続形態とは独立に、端末の仮想的なグループを設定するために、仮想ＬＡＮ、すなわちＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）が用いられる場合がある。ＶＬＡＮでは、１つのスイッチング・ハブの各ポートをグループ分けし、それぞれのグループを独立したＬＡＮ（ブロードキャスト・ドメイン）として機能させる。

特開２００４−６４２０４号公報にネットワーク機器アクセス制御方法、ネットワーク機器制御システム、アクセス制御装置、アクセス制御方法、及びプログラムが開示されている。このネットワーク機器アクセス制御方法では、ネットワークを利用して、ネットワーク機器のポートに接続された１又は２以上の端末とアクセス制御装置との間で通信を実行する。このネットワーク機器アクセス制御方法は、認証用通信送信段階と、通信許可判断段階と、通知・設定段階とを有している。認証用通信送信段階は、前記端末が、前記ネットワーク機器を介して前記アクセス制御装置へ、認証用通信を送信する。通信許可判断段階は、前記アクセス制御装置が、前記端末との間の前記通信を許可するか否かを判断する。通知・設定段階は、この通信許可判断段階で通信許可と判断されると、前記アクセス制御装置が、前記ネットワーク機器に対して、ポート使用許可の設定を行う。

上記の従来技術では、端末からのＩＰアドレス割り当て要求に対し、ＤＨＣＰサーバからＩＰアドレスが割り当てられたことを契機として、許可情報データベースと照合するため、通信の許可を与えられていない端末に対して不要なＩＰアドレスの割り当てが行われる。

また、アクセス制御装置が通信許可端末をネットワーク機器のどのポートに登録するかを決定するため、端末の認証用通信がネットワーク機器を通過するたびに、ネットワーク機器からアクセス制御装置に情報を通知する必要がある。そのため、ネットワーク機器の負荷を高めてしまい、他の通信に障害を及ぼす可能性がある。

また、通信が許可された端末の情報は、その端末が接続されたネットワーク機器のポートに設定が行われる。そのため、端末が同ネットワーク機器内で同じＩＰサブネット内の他のポートに移動した場合や、他のネットワーク機器に接続先を移動した場合に、その移動先のポートでは端末の通信が許可されていないので、再度ＤＨＣＰサーバに対して、手動でＩＰアドレスの取得を要求しなければならない。理由は、ＩＰアドレスのリース期間内である場合は、端末から自動的にＤＨＣＰサーバへのアクセスは行わないためである。なお、サブネットとは、大きなネットワークを複数の小さなネットワークに分割して管理する際の管理単位となる小さなネットワークのことである。また、ＩＰアドレスからサブネットを導出する時に使うマスクをサブネットマスクという。ここでは、ＩＰアドレスから導出されたサブネットをＩＰサブネットと呼ぶ。

更に、ＤＨＣＰサーバでＩＰアドレスが割り当てられたことを契機に認証を行うため、固定のＩＰアドレスを設定している端末（例えばプリンタ）を使うことができない。

関連する技術として特開２００１−１０３０８６号公報にＩＰアドレス監視システムとＩＰアドレス監視方法及び記録媒体が記載されている。このＩＰアドレス監視システムは、第１のホスト装置と複数の端末装置とが接続されるネットワークのＩＰアドレスの使用状況を監視する。前記第１のホスト装置は、第１のファイルと、第２のファイルと、ＭＡＣアドレス収集手段と、ＩＰアドレス監視手段とを備えたことを特徴とする。前記第１のファイルは、前記端末装置のネットワークに接続する部分のネットワークインターフェース部毎に設定したＭＡＣアドレスとＩＰアドレスとの対応情報等のネットワークに関する情報を登録して記憶する。前記第２のファイルは、前記ネットワークインターフェース部毎に運用中のＩＰアドレスとＭＡＣアドレスとの対応情報を記憶する。前記ＭＡＣアドレス収集手段は、前記ネットワークを運用中に探索して前記各ネットワークインターフェース部のネットワークに関する情報を収集し、ＩＰアドレスとＭＡＣアドレスの対応情報を第２のファイルに登録するとともに、前記収集した情報の中から未登録の情報を前記第１のファイルに登録する。前記ＩＰアドレス監視手段は、前記第１のファイルの情報を管理者が操作する手段は、前記第１のファイルに登録されたＩＰアドレスとＭＡＣアドレスの対応通りにＩＰアドレスが運用されているかを監視する。

特開２００２−１４１９１６号公報にネットワーク管理システム並びにそれに用いるネットワーク中継機器及びネットワーク管理装置が開示されている。このネットワーク管理システムは、ネットワーク中継機器より接続されている端末の情報をネットワーク管理装置に送信する。また、そのネットワーク管理装置が前記端末情報に応じてアクセス許可／禁止を示す情報を前記ネットワーク中継機器に返信する。更に、前記ネットワーク中継機器が前記アクセス許可／禁止情報に基づいて端末を接続しているポートを使用可能／使用不可に設定する。

特開２００４−２３３６６号公報に仮想ＬＡＮ対応の無線ＬＡＮシステムが開示されている。この仮想ＬＡＮ対応の無線ＬＡＮシステムでは、物理的に単一のＬＡＮに収容された無線端末を仮想的に複数のグループに分類する。なお、この仮想ＬＡＮ対応の無線ＬＡＮシステムは、無線端末との間に無線リンクを確立する複数のアクセスポイントと、前記各アクセスポイントと各仮想ＬＡＮとの間でフレームを交換するスイッチング手段とを含む。前記各アクセスポイントは、各無線端末に固有の端末ＩＤと当該無線端末が所属する仮想ＬＡＮグループに固有の仮想ＩＤとの対応関係を記憶するデータテーブルと、各無線端末から受信したフレームに登録されている端末ＩＤを認識する手段と、前記受信フレームに仮想ＬＡＮタグを挿入する手段と、前記認識した端末ＩＤに基づいて前記データテーブルを参照し、当該端末ＩＤに対応した仮想ＩＤを抽出する手段と、前記抽出した仮想ＩＤを前記仮想ＬＡＮタグに登録して前記スイッチング手段へ転送する手段とを含む。前記スイッチング手段は、前記アクセスポイントから受信したフレームの仮想ＬＡＮタグに登録されている仮想ＩＤを識別する手段と、前記識別結果に基づいて、当該受信フレームの転送先を選択する手段と、前記受信フレームから仮想ＬＡＮタグを削除する手段と、前記仮想ＬＡＮタグの削除されたフレームを前記選択された転送先へ出力する手段とを含む。

特開２００４−３２５２５号公報にユーザ認証ＱｏＳポリシー管理システム、方法及びＬＡＮスイッチが開示されている。このユーザ認証ＱｏＳポリシー管理システムでは、ＰＣクライアントが、ＬＡＮスイッチを介して、認証サーバによる認証を受けるとともに、業務用サーバへのアクセス制御及びアクセス優先順位の制御を受ける。このユーザ認証ＱｏＳポリシー管理システムは、前記ＰＣクライアントと、前記ＬＡＮスイッチと、前記認証サーバと、前記業務用サーバとを有する。前記ＰＣクライアントは、ログオン情報を前記ＬＡＮスイッチに送信する。前記ＬＡＮスイッチは、前記ＰＣクライアントから送信されてきた前記ログオン情報を前記認証サーバに送信するとともに、前記ＰＣクライアントのアドレス情報を記憶する。かつ、前記認証サーバからアクセス制御情報及びＱｏＳ情報を受信して、このアクセス制御情報によって前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行う。同時に、前記ＱｏＳ情報に基づき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御する。前記認証サーバは、前記ＬＡＮスイッチから送信されてきた前記ログオン情報に基づき認証を行い、認証結果が正である場合に、前記ログオン情報に対応する前記アクセス制御情報及び前記ＱｏＳ情報を前記ＬＡＮスイッチに送信する。前記業務用サーバは、前記ＬＡＮスイッチによって、前記アクセス制御情報及び前記ＱｏＳ情報にしたがい制御を受けたＰＣクライアントからのアクセスを受ける。

特開２００４−６４２０４号公報 特開２００１−１０３０８６号公報 特開２００２−１４１９１６号公報 特開２００４−２３３６６号公報 特開２００４−３２５２５号公報

従来技術では、通信が許可された端末の情報を、その端末が接続されているネットワーク機器のポートまで限定して登録している。そのため、そのポートでしか通信が行えず、同じＩＰサブネット内のポートやネットワーク機器間で端末が他のポートに移動した場合に、再度ＤＨＣＰサーバにアクセスしてネットワーク機器へ端末情報を設定し直す必要がある。
しかし、ＤＨＣＰサーバへのアクセスは、ＩＰアドレスのリース期間内では自動的にアクセスすることがないため、端末を移動した場合には、ＩＰアドレスの解放と再取得を手動で行う必要があり、運用での利便性に欠ける。
また、ＤＨＣＰクライアント端末しかアクセス制御装置からネットワーク機器に対して設定することができず、プリンタなどの固定ＩＰアドレス端末は、各ネットワーク機器に個別に設定する必要があり、ＤＨＣＰクライアント端末と固定ＩＰアドレス端末で運用のポリシーが異なる問題がある。

従来技術の問題を解決するために、本発明は以下のような特徴を有するものである。
（１）ＤＨＣＰサーバとアクセス制御装置の許可手段が連携し、ＩＰアドレスを割り当てる前に許可情報データベースと照合を行い、許可されていればＩＰアドレスを割り当てる処理を行う。
（２）ネットワーク機器は、ＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）にＩＰアドレスが設定された時にＩＰサブネットをアクセス制御装置の設定手段に通知する。
（３）アクセス制御装置の設定手段は、同じＩＰサブネットを通知してくる複数のネットワーク機器を管理する。
（４）アクセス制御装置の設定手段は、アクセス制御装置の許可手段から通信を許可した端末のネットワーク機器への登録要求があった場合、アクセス制御装置の許可手段から通知されるＩＰサブネット情報と一致するＩＰサブネットを通知してきた全てのネットワーク機器に対して、通信を許可された端末のＭＡＣアドレスとＩＰサブネット情報を通知する。
（５）通知を受けたネットワーク機器は、そのＩＰサブネットに対応するＶＬＡＮに対して、通知されたＭＡＣアドレスを登録し、保持する。
（６）アクセス制御装置の許可手段は、コマンド設定に基づいて、固定ＩＰアドレスを使用する端末のＭＡＣアドレスとＩＰサブネットを許可情報データベースに登録することができ、アクセス制御装置からネットワーク機器に通信許可端末の設定をＤＨＣＰクライアント端末と同じように行うことができる。

（１）により通信が許可されていない端末へ不要なＩＰアドレスを割り当てることを防ぐことができる。
（２）により、ＶＬＡＮのＩＰサブネットが設定・変更された時にネットワーク機器からアクセス制御装置の設定手段へ通知を行えば良いため、端末の認証用通信がネットワーク機器を通過するたびにアクセス制御装置の設定手段へ通知する必要がなくなり、ネットワーク機器の負荷を軽減することができる。
（３）〜（５）により、同じＩＰサブネットが設定されたネットワーク機器に対して、通信が許可された端末の情報が設定されるため、通信許可後の端末移動でも、再度、通信許可の判定を行う必要がなく通信が継続できる。
（６）により、ＤＨＣＰが利用できない端末も同じポリシーで運用することができ、ネットワーク内の端末全てをサーバで管理することができる。

本発明の目的は、上記のいずれかの特徴を有するネットワーク機器制御システム、アクセス制御装置、アクセス制御方法、及びプログラムを提供することである。

以下に、［発明を実施するための最良の形態］で使用される番号を括弧付きで用いて、課題を解決するための手段を説明する。これらの番号は、［特許請求の範囲］の記載と［発明を実施するための最良の形態］との対応関係を明らかにするために付加されたものである。但し、それらの番号を、［特許請求の範囲］に記載されている発明の技術的範囲の解釈に用いてはならない。

本発明のネットワーク機器（２０）制御システム（１）は、通信を許可する端末（３０）の情報（ＭＡＣアドレス）を保持する許可情報データベース（１３）を有するアクセス制御装置（１０）と、前記端末（３０）から前記アクセス制御装置（１０）への通信を転送するネットワーク機器（２０）とを含む。
前記アクセス制御装置（１０）は、前記ネットワーク機器（２０）に接続された前記端末（３０）に対して動的に識別情報（ＩＰアドレス）を割り当てることが可能な識別情報割当サーバ（１１）と、前記識別情報割当サーバ（１１）と連携し、前記識別情報割当サーバ（１１）が前記端末（３０）に識別情報（ＩＰアドレス）を割り当てる前に、前記端末（３０）の情報（ＭＡＣアドレス）について前記許可情報データベース（１３）の照合を行い、前記端末（３０）の情報（ＭＡＣアドレス）が登録されていれば、前記識別情報割当サーバ（１１）が前記端末（３０）に前記識別情報（ＩＰアドレス）を割り当てる処理を許可する許可部（１２）と、前記許可部（１２）から前記端末（３０）の情報（ＭＡＣアドレス）の前記ネットワーク機器（２０）への登録の要求の通知を受け、且つ、前記ネットワーク機器（２０）から通知されるネットワーク情報（ＩＰサブネット）を受け取り保持する設定部（１４）とを具備する。

前記設定部（１４）は、同じネットワーク情報（ＩＰサブネット）を通知してくる複数のネットワーク機器（２０）を管理する。

前記設定部（１４）は、前記許可部（１２）から通知されるネットワーク情報（ＩＰサブネット）と一致するネットワーク情報（ＩＰサブネット）を通知してきた全てのネットワーク機器（２０）に対して、通信を許可された端末（３０）の情報（ＭＡＣアドレス）とネットワーク情報（ＩＰサブネット）を通知する。

前記通知を受けたネットワーク機器（２０）は、前記ネットワーク情報（ＩＰサブネット）に対応する仮想ＬＡＮ部（２２）に対して、前記端末（３０）の情報（ＭＡＣアドレス）を登録する。

前記許可部（１２）は、コマンド設定に基づいて、固定識別情報（ＩＰアドレス）を使用する端末（３０）の情報（ＭＡＣアドレス）と仮想ＬＡＮ部（２２）を許可情報データベース（１３）に登録する。

本発明のアクセス制御装置（１０）は、端末（３０）からの識別情報（ＩＰアドレス）割り当て要求を受け取り、識別情報（ＩＰアドレス）の割り当てを行う識別情報割当サーバ（１１）と、前記識別情報（ＩＰアドレス）の割り当てを行う前に、前記識別情報割当サーバ（１１）から前記端末（３０）の情報（ＭＡＣアドレス）が許可情報データベース（１３）にあるかどうかの問い合わせ要求を受け取り、前記端末（３０）の情報（ＭＡＣアドレス）を前記許可情報データベース（１３）に照合した結果を応答する許可部（１２）と、端末（３０）との通信を中継するネットワーク機器（２０）から通知されるネットワーク情報（ＩＰサブネット）を受け取り保持する設定部（１４）とを具備する。

前記許可部（１２）は、コマンド設定により、前記許可情報データベース（１３）に前記端末（３０）の情報（ＭＡＣアドレス）を設定し、前記設定部（１４）に対して前記ネットワーク機器（２０）への前記端末（３０）の情報（ＭＡＣアドレス）の登録及び削除要求の通知を行う。

前記設定部（１４）は、ネットワーク情報（ＩＰサブネット）に基づいて、ネットワーク毎に複数のネットワーク機器（２０）の情報を保持し、前記許可部（１２）から通知される前記端末（３０）の情報（ＭＡＣアドレス）を該当するネットワーク機器（２０）に登録要求を行う。

本発明のアクセス制御方法は、（ａ）識別情報割当サーバ（１１）が、ネットワーク機器（２０）に接続された端末（３０）からパケットを受信すると、前記パケットに含まれる前記端末（３０）の情報（ＭＡＣアドレス）、及び割り当てを行う予定の識別情報（ＩＰアドレス）をアクセス制御装置（１０）の許可部（１２）へ通知するステップと、（ｂ）前記許可部（１２）が、ネットワーク接続を許可する端末（３０）の情報（ＭＡＣアドレス）を登録している許可情報データベース（１３）に、通知された前記端末（３０）の情報（ＭＡＣアドレス）が登録されているか検索を行うステップと、（ｃ）前記端末（３０）の情報（ＭＡＣアドレス）が許可情報データベース（１３）に登録されている場合、前記許可部（１２）が、識別情報割当サーバ（１１）から通知を受けた前記端末（３０）の情報（ＭＡＣアドレス）及びネットワーク情報（ＩＰサブネット）を、前記アクセス制御装置（１０）の設定部（１４）に通知するステップと、（ｄ）前記設定部（１４）が、前記ネットワーク情報（ＩＰサブネット）が設定されている前記ネットワーク機器（２０）に対して、前記端末（３０）の情報（ＭＡＣアドレス）及びネットワーク情報（ＩＰサブネット）を通知するステップとを具備する。

本発明のアクセス制御方法は、（ｅ）ネットワーク機器（２０）が、前記設定部（１４）から通知された前記ネットワーク情報（ＩＰサブネット）が設定されている仮想ＬＡＮ部（２２）に対し、前記端末（３０）の情報（ＭＡＣアドレス）の登録を行うステップと、（ｆ）前記ネットワーク機器（２０）が、前記端末（３０）からパケットを受信した場合、前記端末（３０）の情報（ＭＡＣアドレス）が前記仮想ＬＡＮ部（２２）に設定されていれば、受信ポート（２３）にパケット通過の許可と転送可能な仮想ＬＡＮ部（２２）を設定するステップとを更に具備する。

本発明のアクセス制御方法は、（ｇ）前記（ｆ）ステップ以降、前記端末（３０）からのパケットを前記受信ポート（２３）で受信した場合、前記設定により前記仮想ＬＡＮ部（２２）にパケットを転送するステップを更に具備する。

本発明のアクセス制御方法は、（ｈ）前記端末（３０）が移動した場合、前記端末（３０）から新たにパケットを受信する受信ポート（２３）にパケット通過の許可設定がなければ、前記（ｆ）ステップ及び前記（ｇ）ステップを行うステップを更に具備する。

本発明のアクセス制御方法は、（ｉ）前記許可情報データベース（１３）に、固定の識別情報（ＩＰアドレス）を有する端末（３０）の情報（ＭＡＣアドレス）を登録するステップを具備する。

本発明のプログラムは、上記のいずれかのアクセス制御方法を、コンピュータに実行させる。

通信を許可しない端末に不要なＩＰアドレスの割り当てを行わない。
また、通信を許可する端末を、その端末のＩＰサブネットが設定された全てのネットワーク機器に設定するため、端末がネットワーク機器間又はネットワーク機器内のポート間を移動しても再度、通信許可の判定の必要がなく、通信が行える。
更に、ＤＨＣＰクライアント端末だけでなく、プリンタといった固定ＩＰアドレス端末もデータベースに登録して運用することができる。

以下に本発明の第１実施形態について添付図面を参照して説明する。
実施例の構成を図１に示す。
本発明のネットワーク機器制御システム１は、アクセス制御装置１０、ネットワーク機器２０（２０−ｉ、ｉ＝１〜ｎ）を備える。

アクセス制御装置１０は、通信許可端末のデータベースを保持する。また、ＩＰアドレスの割り当てを行い、ネットワーク機器２０に通信許可端末の設定を行う。
ネットワーク機器２０は、端末３０（３０−ｉ、ｉ＝１〜ｎ）からＤＨＣＰサーバ１１への通信を転送する。また、アクセス制御装置１０からの通信許可端末の設定を受け取り、通信可否の制御を行う。ネットワーク機器２０に接続する端末３０の例としては、ＤＨＣＰクライアント端末や固定ＩＰアドレス端末（例えばプリンタ）がある。但し、実際には、これらの例に限定されない。この時、ネットワーク機器２０と端末３０とは、中継装置４０を介して接続される場合もある。
また、アクセス制御装置１０とネットワーク機器２０とは、ネットワーク５０を介して接続される。

以下に、それぞれの要素についての詳細な内容を示す。
アクセス制御装置１０は、主にＤＨＣＰクライアント端末からのＩＰアドレス割り当て要求を受け、その端末のネットワーク接続に関して通信許可の判定を行う。以下にアクセス制御装置１０を構成する要素について記述する。

アクセス制御装置１０は、ＤＨＣＰサーバ１１、許可部１２、許可情報データベース１３、設定部１４を備える。

ＤＨＣＰサーバ１１は、端末からのＩＰアドレス割り当て要求を受け取り、ＩＰアドレスの割り当てを行う。その際、アクセス制御装置１０の許可部１２に対し、通信許可端末かどうかの問い合わせを行う。通信許可端末である場合、ＩＰアドレスの割り当てを行う。通信許可端末でない場合、ＩＰアドレスの割り当ては行わない。

許可部１２は、ＤＨＣＰサーバ１１からＩＰアドレスを割り当てる端末が許可情報データベース１３にあるかどうかの問い合わせ要求を受け取り、その結果を応答する。また、アクセス制御装置１０の設定部１４に対して、ネットワーク機器２０への情報登録及び削除要求の通知を行う。コマンド設定などにより、許可情報データベース１３に静的に端末の情報を設定することができ、その情報をアクセス制御装置１０の設定部１４に対して、ネットワーク機器２０への登録及び削除要求の通知を行う。

許可情報データベース１３は、通信を許可する端末の情報を保持する。

設定部１４は、ネットワーク機器２０から通知されるＩＰサブネット情報を受け取り保持する。また、ＩＰサブネット毎に複数のネットワーク機器２０の情報を保持し、アクセス制御装置１０の許可部１２から通知される通信許可端末情報を該当する複数のネットワーク機器２０に登録要求を行う。

ネットワーク機器２０は、アクセス制御装置１０の設定部１４からの通信許可設定の要求を受け取り、端末からの通信の制御を行う。以下にネットワーク機器２０を構成する要素について記述する。

ネットワーク機器２０は、制御部２１（２１−ｉ、ｉ＝１〜ｎ）、ＶＬＡＮ部２２（２２−ｉ、ｉ＝１〜ｎ）を備える。

制御部２１は、ＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）に設定されたＩＰサブネット情報をアクセス制御装置１０の許可部１２に通知する。また、アクセス制御装置１０の設定部１４から通知される通信許可端末情報を受け取り、その情報からＶＬＡＮを決定してＶＬＡＮ部２２に対して端末情報を設定する。

ＶＬＡＮ部２２は、ＶＬＡＮに設定されているポート２３から受信したフレームの送信元ＭＡＣアドレスが制御部２１から設定されているか検索を行う。また、検索した結果を受信ポートに登録する。

ネットワーク機器２０に接続する端末３０は、ＤＨＣＰクライアント端末と固定ＩＰアドレス端末である。

図２に、ＤＨＣＰクライアント端末の起動後からネットワーク機器２０で通信許可されるまでのシーケンスを示す。以下にその処理について記述する。
まず、ネットワーク機器２０とアクセス制御装置１０との間で、以下のような処理が行われる。
（１）ステップＳ１０１
端末３０に対するＤＨＣＰ設定として、予めネットワーク接続を許可する端末３０のＭＡＣアドレスを、許可情報データベース１３に登録しておく。
（２）ステップＳ１０２
ネットワーク機器２０には、ＤＨＣＰサーバ１４をＤＨＣＰサーバとして設定し、ＤＨＣＰパケットだけを転送する設定を行っておく。
（３）ステップＳ１０３
ネットワーク機器２０の制御部２１は、ＶＬＡＮに設定されたＩＰサブネットをアクセス制御装置１０の設定部１４に通知する。
（４）ステップＳ１０４
アクセス制御装置１０の設定部１４は、ネットワーク機器２０をＩＰサブネット毎に管理する。

ここまでの処理により、アクセス制御装置１０の設定部１４がどのネットワーク機器２０に同じＩＰサブネットが設定されているかを管理することができ、端末３０にＩＰアドレスが割り当てられる時に、そのＩＰサブネットからどのネットワーク機器２０に設定を行えば良いか判断することが可能となる。

（５）ステップＳ１０５
端末３０は、起動後、ＤＨＣＰ−ＤＩＳＣＯＶＥＲパケットを送信する。
（６）ステップＳ１０６
ネットワーク機器２０には、予め、ＤＨＣＰパケットだけを通過させるような設定を行っておき、処理（５）のパケットを通過させる。
（７）ステップＳ１０７
ＤＨＣＰサーバ１１は、処理（５）で送られたパケットを受信すると、送信元の端末３０がネットワーク接続を許可されているかどうかを、アクセス制御装置１０の許可部１２へ問い合わせを行う。この時、送信元の端末３０のＭＡＣアドレスと割り当てを行う予定のＩＰサブネットをアクセス制御装置１０の許可部１２へ通知する。
（８）ステップＳ１０８
アクセス制御装置１０の許可部１２は、受け取ったＭＡＣアドレスが通信許可情報データベース１３に登録されているか検索を行う。
（９）ステップＳ１０９
アクセス制御装置１０の許可部１２は、通信許可情報データベース１３に登録されていない場合、ＤＨＣＰサーバ１１へＩＰアドレスの割り当てを行わないよう応答を返し、ＤＨＣＰサーバ１１はＩＰアドレスの割り当てを行わない。
（１０）ステップＳ１１０
アクセス制御装置１０の許可部１２は、受け取ったＭＡＣアドレスが通信許可情報データベース１３に登録されている場合、アクセス制御装置１０の設定部１４に対し、ネットワーク機器２０への通信許可設定を行うよう要求する。この時、アクセス制御装置１０の設定部１４へはＤＨＣＰサーバ１１から通知を受けたＭＡＣアドレスとＩＰサブネットを通知する。
（１１）ステップＳ１１１
更に、アクセス制御装置１０の許可部１２は、ＤＨＣＰサーバ１１へＩＰアドレスの割り当てを許可する応答を返す。
（１２）ステップＳ１１２
ＤＨＣＰサーバ１１は、端末３０に対してＩＰアドレスの割り当てを行う。
（１３）ステップＳ１１３
アクセス制御装置１０の設定部１４は、受け取ったＩＰサブネットが設定されているネットワーク機器２０を検索し、同じＩＰサブネットが設定されているネットワーク機器２０の制御部２１に対して、通信が許可された端末３０のＭＡＣアドレスを通知する。この時、端末３０の情報としてＭＡＣアドレスとＩＰサブネットが制御部２１へ通知される。
（１４）ステップＳ１１４
制御部２１は、受け取ったＩＰサブネットが設定されているＶＬＡＮ部２２があるか検索し、検索の結果、発見されたＶＬＡＮ部２２に対し、ＭＡＣアドレスの登録を行う。ここでは、端末３０がどのポートに接続されているかを意識することはなく、ネットワーク機器２０は、どのＶＬＡＮで通信を許可されたかということに関して制御を行う。
（１５）ステップＳ１１５
ＤＨＣＰサーバ１１からＩＰアドレスが割り当てられた端末３０は、通信を開始し、データを送信する。
（１６）ステップＳ１１６
端末３０からのデータを受信したネットワーク機器２０は、端末３０のＭＡＣアドレスがＶＬＡＮ部２２に登録されているかを検索し、登録されていれば受信ポートにパケット通過の許可と転送可能なＶＬＡＮを設定する。以後、端末３０からのデータを同じポートで受信した場合は、この許可設定により特定のＶＬＡＮにデータは転送され、ＶＬＡＮ部２２での登録検索を行うことはない。
端末３０が移動した場合、データを受信するポートではパケット通過の許可設定がないため、上段の処理が行われる。

ＶＬＡＮはＩＰサブネットと１：１に対応付けられているため、処理（１６）で転送可能なＶＬＡＮを設定することは、転送可能なＩＰサブネットを設定することと等しくなり、端末は特定のＩＰサブネット内の装置とのみ通信可能となる。

図３に、固定ＩＰアドレス端末がネットワーク機器２０で通信許可されるまでのシーケンスを示す。以下にその処理について記述する。
（１）ステップＳ２０１
許可情報データベース１３に、固定ＩＰアドレス端末として端末のＭＡＣアドレスを登録する。
（２）ステップＳ２０２
アクセス制御装置１０の許可部１２は、すぐさまアクセス制御装置１０の設定部１４に対してＩＰサブネットとＭＡＣアドレスをアクセス制御装置１０の設定部１４に通知し、ネットワーク機器２０への登録を要求する。

以降、処理（１３）〜（１６）（図２に示すステップＳ１１３〜ステップＳ１１６）が同じように行われる。

（３）ステップＳ２０３
アクセス制御装置１０の設定部１４は、受け取ったＩＰサブネットが設定されているネットワーク機器２０を検索し、同じＩＰサブネットが設定されているネットワーク機器２０の制御部２１に対して、通信が許可された端末３０のＭＡＣアドレスを通知する。この時、端末３０の情報としてＭＡＣアドレスとＩＰサブネットが制御部２１へ通知される。
（４）ステップＳ２０４
制御部２１は、受け取ったＩＰサブネットが設定されているＶＬＡＮ部２２があるか検索し、検索の結果、発見されたＶＬＡＮ部２２に対し、ＭＡＣアドレスの登録を行う。ここでは、端末３０がどのポートに接続されているかを意識することはなく、ネットワーク機器２０は、どのＶＬＡＮで通信を許可されたかということに関して制御を行う。
（５）ステップＳ２０５
ＤＨＣＰサーバ１１からＩＰアドレスが割り当てられた端末３０は、通信を開始し、データを送信する。
（６）ステップＳ２０６
端末３０からのデータを受信したネットワーク機器２０は、端末３０のＭＡＣアドレスがＶＬＡＮ部２２に登録されているかを検索し、登録されていれば受信ポートにパケット通過の許可と転送可能なＶＬＡＮを設定する。以後、端末３０からのデータを同じポートで受信した場合は、この許可設定により特定のＶＬＡＮにデータは転送され、ＶＬＡＮ部２２での登録検索を行うことはない。
端末３０が移動した場合、データを受信するポートではパケット通過の許可設定がないため、上段の処理が行われる。

なお、上記の動作をコンピュータに実行させるためのプログラムを用いて本発明を実施しても良い。

本発明のネットワーク機器制御システムの特徴について以下に詳述する。
（ａ）本発明のネットワーク機器制御システムでは、アクセス制御装置１０の許可情報データベース１３に登録する情報は、ＭＡＣアドレスとその端末に設定されるサブネットアドレスであり、固定ＩＰアドレス端末とＤＨＣＰアドレス端末において区別する必要がない。
（ｂ）本発明のネットワーク機器制御システムでは、アクセス制御装置１０の設定部１４から、端末が所属するＶＬＡＮが設定された全ネットワーク機器２０に通知が行われるため、端末が装置間を移動しても、再認証の必要がなく、通信を継続することができる効果がある。
（ｃ）本発明のネットワーク機器制御システムでは、アクセス制御装置１０の設定部１４から、端末が所属するサブネット（ＶＬＡＮ）が設定されているネットワーク機器２０全てに個別に通知するものである。また、ネットワーク機器２０は、その通知を受けた場合、各ネットワーク機器２０内において、ＭＡＣアドレスとＶＬＡＮの対応を設定するだけで、サーバからクライアントの情報を取り出すなどの行為は行わない。更に、ネットワーク機器２０のＶＬＡＮにＩＰアドレスが設定されると、ネットワーク機器２０からアクセス制御装置１０の設定部１４に対して通知が行われる。このタイミングでアクセス制御装置１０の設定部１４から他の装置に通知された情報が、この新規に通知してきたネットワーク機器２０に通知され、ＶＬＡＮ内の全ネットワーク機器２０は常に同じ情報を保持する。
（ｄ）本発明のネットワーク機器制御システムでは、ＤＨＣＰサーバがＩＰアドレスを割り当てる前に、許可部にデータサーバでの検索を要求し、登録されていれば、ＩＰアドレスの割り当てを行うため、未登録端末に対して、ＩＰアドレスが割り当てられない効果がある。

すなわち、本発明のネットワーク機器制御システムでは、サーバにて固定ＩＰアドレス、ＤＨＣＰアドレス端末の区別なく、同じ情報を管理する。サーバからネットワーク装置へはＶＬＡＮ番号ではなく、ネットワークのサブネットアドレスを通知する。また、通知を受けたネットワーク装置が、サブネットアドレスからＶＬＡＮ番号に変換するため、ネットワーク内で全ネットワーク装置がＶＬＡＮ番号を統一する必要がない。サーバからの情報通知は、各ネットワーク装置とサーバ間で行われる。そのため、新規にネットワーク装置を追加した場合でも、他のネットワーク装置と同じ情報をサーバから受け取り動作することができる。更に、全ネットワーク機器２０が同じ情報を常に保持しているため、端末の移動に対しても、再認証の必要がなく利便性が高い。

以上のように、本発明のネットワーク機器制御システムは、ネットワークで通信を許可する端末がＤＨＣＰだけでなく固定ＩＰアドレス端末についてもサーバで管理が行える。また、サーバから全ネットワーク機器２０に、通信許可端末の設定が行えるため、通信許可端末がどのネットワーク機器２０に移動しても再認証を必要としない。また、ネットワーク機器２０において任意のポートから受信したデータの送信元ＭＡＣアドレスから通信許可を与えられたかどうかを決定できる。更に、ネットワーク機器２０において、受信ポートに送信元ＭＡＣアドレスと通信を許可するＩＰサブネットを登録することができる。

図１は、本発明の構成を示すブロック図である。 図２は、本発明の動作を示す第１のシーケンス図である。 図３は、本発明の動作を示す第２のシーケンス図である。

符号の説明

１ ネットワーク機器制御システム
１０ アクセス制御装置
１１ ＤＨＣＰサーバ
１２ 許可部
１３ 許可情報データベース
１４ 設定部
２０（−ｉ、ｉ＝１〜ｎ） ネットワーク機器
２１（−ｉ、ｉ＝１〜ｎ） 制御部
２２（−ｉ、ｉ＝１〜ｎ） ＶＬＡＮ部
２３（−ｉ、ｉ＝１〜ｎ） ポート
３０（−ｉ、ｉ＝１〜ｎ） 端末
４０ 中継装置
５０ ネットワーク

Claims (14)

1. 通信を許可する端末の情報を保持する許可情報データベースを有するアクセス制御装置と、
   前記端末から前記アクセス制御装置への通信を転送するネットワーク機器と
   を含み、
   前記アクセス制御装置は、
   前記ネットワーク機器に接続された前記端末に対して動的に識別情報を割り当てることが可能な識別情報割当サーバと、
   前記識別情報割当サーバと連携し、前記識別情報割当サーバが前記端末に識別情報を割り当てる前に、前記端末の情報について前記許可情報データベースの照合を行い、前記端末の情報が登録されていれば、前記識別情報割当サーバが前記端末に前記識別情報を割り当てる処理を許可する許可部と、
   前記許可部から前記端末の情報の前記ネットワーク機器への登録の要求の通知を受け、且つ、前記ネットワーク機器から通知されるネットワーク情報を受け取り保持する設定部と
   を具備する
   ネットワーク機器制御システム。
2. 請求項１に記載のネットワーク機器制御システムにおいて、
   前記設定部は、同じネットワーク情報を通知してくる複数のネットワーク機器を管理する
   ネットワーク機器制御システム。
3. 請求項１又は２に記載のネットワーク機器制御システムにおいて、
   前記設定部は、前記許可部から通知されるネットワーク情報と一致するネットワーク情報を通知してきた全てのネットワーク機器に対して、通信を許可された端末の情報とネットワーク情報を通知する
   ネットワーク機器制御システム。
4. 請求項３に記載のネットワーク機器制御システムにおいて、
   前記通知を受けたネットワーク機器は、前記ネットワーク情報に対応する仮想ＬＡＮ部に対して、前記端末の情報を登録する
   ネットワーク機器制御システム。
5. 請求項１乃至４のいずれか一項に記載のネットワーク機器制御システムにおいて、
   前記許可部は、コマンド設定に基づいて、固定識別情報を使用する端末の情報と仮想ＬＡＮ部を許可情報データベースに登録する
   ネットワーク機器制御システム。
6. 端末からの識別情報割り当て要求を受け取り、識別情報の割り当てを行う識別情報割当サーバと、
   前記識別情報の割り当てを行う前に、前記識別情報割当サーバから前記端末の情報が許可情報データベースにあるかどうかの問い合わせ要求を受け取り、前記端末の情報を前記許可情報データベースに照合した結果を応答する許可部と、
   端末との通信を中継するネットワーク機器から通知されるネットワーク情報を受け取り保持する設定部と
   を具備する
   アクセス制御装置。
7. 請求項６に記載のアクセス制御装置において、
   前記許可部は、コマンド設定により、前記許可情報データベースに前記端末の情報を設定し、前記設定部に対して前記ネットワーク機器への前記端末の情報の登録及び削除要求の通知を行う
   アクセス制御装置。
8. 請求項６又は７に記載のアクセス制御装置において、
   前記設定部は、ネットワーク情報に基づいて、ネットワーク毎に複数のネットワーク機器の情報を保持し、前記許可部から通知される前記端末の情報を該当するネットワーク機器に登録要求を行う
   アクセス制御装置。
9. （ａ）識別情報割当サーバが、ネットワーク機器に接続された端末からパケットを受信すると、前記パケットに含まれる前記端末の情報、及び割り当てを行う予定の識別情報をアクセス制御装置の許可部へ通知するステップと、
   （ｂ）前記許可部が、ネットワーク接続を許可する端末の情報を登録している許可情報データベースに、通知された前記端末の情報が登録されているか検索を行うステップと、
   （ｃ）前記端末の情報が許可情報データベースに登録されている場合、前記許可部が、識別情報割当サーバから通知を受けた前記端末の情報及びネットワーク情報を、前記アクセス制御装置の設定部に通知するステップと、
   （ｄ）前記設定部が、前記ネットワーク情報が設定されている前記ネットワーク機器に対して、前記端末の情報及びネットワーク情報を通知するステップと
   を具備する
   アクセス制御方法。
10. 請求項９に記載のアクセス制御方法において、
    （ｅ）ネットワーク機器が、前記設定部から通知された前記ネットワーク情報が設定されている仮想ＬＡＮ部に対し、前記端末の情報の登録を行うステップと、
    （ｆ）前記ネットワーク機器が、前記端末からパケットを受信した場合、前記端末の情報が前記仮想ＬＡＮ部に設定されていれば、受信ポートにパケット通過の許可と転送可能な仮想ＬＡＮ部を設定するステップと
    を更に具備する
    アクセス制御方法。
11. 請求項１０に記載のアクセス制御方法において、
    （ｇ）前記（ｆ）ステップ以降、前記端末からのパケットを前記受信ポートで受信した場合、前記設定により前記仮想ＬＡＮ部にパケットを転送するステップを更に具備する
    アクセス制御方法。
12. 請求項１１に記載のアクセス制御方法において、
    （ｈ）前記端末が移動した場合、前記端末から新たにパケットを受信する受信ポートにパケット通過の許可設定がなければ、前記（ｆ）ステップ及び前記（ｇ）ステップを行うステップを更に具備する
    アクセス制御方法。
13. 請求項９乃至１２のいずれか一項に記載のアクセス制御方法において、
    （ｉ）前記許可情報データベースに、固定の識別情報を有する端末の情報を登録するステップを具備する
    アクセス制御方法。
14. 請求項９乃至１３のいずれか一項に記載のアクセス制御方法を、コンピュータに実行させるためのプログラム。

Images