JP2007208323A - 認証ｖｌａｎスイッチ - Google Patents

Abstract

【課題】認証ＶＬＡＮシステムにおいて、ブロードキャスト・ドメインの拡大を防ぎネットワークの通信品質をより安定化させる。
【解決手段】認証スイッチ２２は、中継処理部２２１、変換処理部２２２、記憶部２２３及び時刻部２２４を備える。変換処理部２２２は、中継処理部２２１がＲＡＤＩＵＳサーバから受信した「ＶＬＡＮ ＩＤ」を、記憶部２２３に記憶されている固有値、ＩＰアドレス、ＭＡＣアドレス、または時刻部２２４が計時する現在時刻を利用して変換する。そして、その変換により得られたＶＬＡＮ ＩＤをＶＬＡＮテーブル２３１に登録し、該ＶＬＡＮ ＩＤをユーザ端末が接続された認証スイッチ２２のポート２５５２５に割り当てる。
【選択図】図３

Description

本発明はＶＬＡＮ(Virtual LAN)を構成するために使用されるＶＬＡＮスイッチに係り、特にユーザ認証機能を有する認証ＶＬＡＮスイッチに関する。

ＶＬＡＮは、ＬＡＮスイッチ等で構成されたネットワークを物理的な構成上で論理的に仮想のＬＡＮを形成する技術である。ＩＥＥＥ８０２．１Ｑで規格されたＶＬＡＮは、ＬＡＮスイッチ（スイッチングＨＵＢ、無線ＬＡＮスイッチ等）のネットワークアクセスポート毎に固有のＶＬＡＮ ＩＤ（ＶＬＡＮ識別子）を割り当てることによって構成され、同一のＶＬＡＮ ＩＤを有するポートに接続された端末が同一のＶＬＡＮに属することになる。ＶＬＡＮの利点は、ブロードキャスト／マルチキャスト・パケットが届く範囲であるブロードキャスト・ドメインがＶＬＡＮ内に閉じ込められることである。そのため、柔軟にネットワークを構成でき、ネットワーク・リソースを有効に活用できるようになる。また、ＶＬＡＮの構成はネットワークの物理的構成にとらわれないので、オフィスでネットワークのレイアウト変更や部署変更などが生じても、多大な手間を要することなくそれらの変更に対処できることである。

ところで、最近、ネットワークのセキュリティが重要になってきており、ネットワークへの不正アクセス防止も重要な課題となっている。特に、外部から持ち込まれた端末がネットワークに接続されて、ウィルスがネットワークに蔓延したり、スパイウェアやトロイの木馬が仕込まれて情報が漏洩したりするなどの問題への対策が重要になってきている。
そこで、ポートでネットワークの利用を制限することが考案され、ＩＥＥＥ( Institute of Electrical and Electronics Engineers)でＩＥＥＥ８０２．１Ｘとして規定、標準化されている。

ＩＥＥＥ８０２．１Ｘに準拠した装置（ＬＡＮスイッチや無線ＬＡＮスイッチなど）でネットワークを構成すれば、認証に成功したユーザだけが使用できるようになる（ＩＥＥＥ８０２．１Ｘ認証）。

ここで、ＲＡＤＩＵＳサーバなど（ユーザ情報を一括管理する装置）を使用する、ＩＥＥＥ８０２．１Ｘ認証の構成・手順について簡単に説明する。
ＩＥＥＥ８０２．１Ｘに準拠する装置をここでは認証スイッチと呼ぶ。ＲＡＤＩＵＳを使用したＩＥＥＥ８０２．１Ｘ認証は、ユーザ端末（Ｓｕｐｐｌｉｃａｎｔ）、認証スイッチ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）及び認証サーバ（ＲＡＤＩＵＳサーバなど）で構成され、認証スイッチはユーザ端末と認証サーバ間に配置される。

認証サーバは、ユーザの認証に必要な情報など（アトリビュート）を保有しており、ユーザＩＤとパスワードなどで認証を行う。
認証スイッチは、自己のポートにユーザ端末が接続されると、ＥＡＰＯＬ（ＥＡＰ Ｏｖｅｒ ＬＡＮ）というプロトコルに基づき、そのユーザ端末との間でユーザＩＤとパスワードを交換する。そして、認証スイッチは、ユーザ端末から受け取った認証情報（ユーザＩＤとパスワードなど）をＲＡＤＩＵＳサーバに送信する。

ＲＡＤＩＵＳサーバは、認証スイッチからユーザ認証情報を受信すると、そのユーザ認証情報と自己が保有するユーザ認証情報とを照合してユーザ認証を行い、ユーザが正規のユーザであるか判断する。そして、そのユーザ認証の結果を認証スイッチに返信する。ＲＡＤＩＵＳサーバは、アトリビュートの中でユーザ認証情報のほかにＶＬＡＮ ＩＤなどを管理しており、ユーザ認証に成功した場合には、ユーザ認証結果と共にＶＬＡＮ ＩＤも認証スイッチに返信する。

認証スイッチは、ＲＡＤＩＵＳサーバから受け取るアトリビュートを基に、ユーザ認証が成功したか否かを判断する。そして、成功した場合には、ポートに接続されたユーザ端末のＶＬＡＮ ＩＤをそのポートの番号と対応付けて内部テーブルに登録し、以後、そのポートに接続されたユーザ端末の対応付けされたＶＬＡＮへのアクセスを許可する。一方、ユーザ認証に失敗したと判明した場合には、そのポートに接続されたユーザ端末からのネットワークアクセスを拒否する。

ところで、本発明に近い公知技術として、通信端末と複数のルーター間に、該通信端末と該複数のルーターの実ＩＰアドレスと仮想ＩＰアドレスの対応テーブルを備えたＶＮＡＴ装置を設置し、該テーブルに基づいて実ＩＰアドレスと仮想ＩＰアドレスを変換するデータ通信システムが知られている（特許文献１参照）。

また、ＲＡＤＩＵＳに関してはＲＦＣ３５７９で定義されており（非特許文献１参照）、ＥＡＰに関してはＲＦＣ３７４８で定義されている。
特開２００５−２０１７０号公報 ＲＦＣ(Request For Comments)３５７９ ＲＦＣ(Request For Comments)３７４８

図１４は、従来のＩＥＥＥ８０２．１Ｘ認証の問題点を説明する図である。
同図（ａ）に示すＩＥＥＥ８０２．１Ｘ認証構成は、ユーザ端末１０１１、認証スイッチ１０１２、ＬＡＮスイッチ（スイッチングＨＵＢ）１０１３及びＲＡＤＩＵＳサーバ１０１４から構成されている。同図（ａ）に示す３台の各認証スイッチ１０１２のポートには１台のユーザ端末が接続されている。ＬＡＮスイッチ１０１３は、ＲＡＤＩＵＳサーバ１０１４に接続され、上記３台の認証スイッチ１０１２はＬＡＮスイッチ１０１３のポートに接続されている。ＲＡＤＩＵＳサーバのアトリビュートには、ＶＬＡＮ ＩＤ数の制限などから、複数のユーザが同じＶＬＡＮ ＩＤに割り当てられるように設定されている。ＩＥＥＥ８０２．１Ｘ認証後、これら３台の認証スイッチ１０１２とＬＡＮスイッチ１０１３とで１つのブロードキャスト・ドメイン１０１７を構成している。

同図（ａ）に示すＶＬＡＮは、図中上段のユーザ端末１０１１がブロードキャスト通信１０２６を行った際、発生するトラフィックを示している。同図（ａ）では、ユーザ端末数が３台だけなので、それぞれの端末がブロードキャスト通信をした場合でもブロードキャスト通信１０２６と同等の通信が３つ発生するだけで、ブロードキャスト・ドメイン１０１７内のトラフィックはそれほど増加せず、通信への影響は少ない。

しかしながら、図１４（ｂ）に示すように、各認証スイッチ１０１２のポートに接続されるユーザ端末（不図示）の数が増加するに伴い、同図（ｂ）に示すようにブロードキャスト・ドメイン１０２７は拡大する。このブロードキャスト・ドメイン１０２７の拡大により、例えば、図中上段の１台のユーザ端末１０１１がブロードキャスト通信１０２６を行うだけで、ユーザ端末すべてに向かって通信が発生するため、大量のトラフィックが流れる。同図（ｂ）では、ユーザ端末が多数存在し、それぞれの端末がブロードキャスト通信１０２６と同等の通信を行うため、大量のトラフィックによってネットワークの使用可能な帯域が小さくなり、アプリケーションの実行などに時間がかかるなどの問題が生じる。

現在のＩＥＥＥ８０２．１Ｘに準拠したＬＡＮでは、装置が割り当てられるＶＬＡＮ ＩＤの数に限りがあるなどの理由から、ＲＡＤＩＵＳサーバは複数のユーザ（ユーザＩＤ）に同一のＶＬＡＮ ＩＤを割り当てることになる。このため、図１４（ｂ）に示すように、ブロードキャスト・ドメインに属するユーザ端末数が増大し、ユーザ端末の通信品質に問題が生じる。

上述した公知例（特許文献１）のデータ通信システムのＶＮＡＴ装置を上記問題の解決手段として採用することも考えられるが、この場合、人手により前記対応テーブルを保守する必要があるため、運用コストが高くなるという問題が生じる。

本発明の目的は、ＩＥＥＥ８０２．１Ｘに準拠したＬＡＮにおいて、ブロードキャスト・ドメインの拡大を招くことなく、かつ、人手による保守も必要とせずにＶＬＡＮ分割を実施できる認証スイッチを実現することである。

本発明は、ユーザ認証機能を有する認証ＶＬＡＮスイッチを前提とする。
本発明の認証ＶＬＡＮスイッチは、ポートに接続されたユーザ端末から入力されるユーザ認証情報を認証サーバに送信し、前記認証サーバがユーザ認証に成功したとき、前記認証サーバが発行するＶＬＡＮ ＩＤを受信する中継処理手段と、該中継処理手段が受信したＶＬＡＮ ＩＤを所定の方法で変換し、該変換により得られたＶＬＡＮ ＩＤを、前記ユーザ端末が接続されたポートに割り当てる変換手段と、を備えることを特徴とする。

前記変換手段は、例えば、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記認証ＶＬＡＮスイッチに割り当てられた固有値、前記中継処理手段が該ＶＬＡＮ ＩＤを受信した時刻、前記認証ＶＬＡＮスイッチのＩＰアドレス、または前記認証ＶＬＡＮスイッチのＭＡＣアドレスを用いて変換する。

本発明の認証ＶＬＡＮスイッチによれば、認証サーバによりユーザ認証されたユーザ端末が接続されたポートのＶＬＡＮ ＩＤとして、認証サーバから発行されたＶＬＡＮ ＩＤではなく、該ＶＬＡＮ ＩＤを所定の方法で変換した結果得られる値を割り当てる。このため、ブロードキャスト・ドメインの拡大を防止できるようなＶＬＡＮ分割を行うことができる。

本発明の認証スイッチによれば、認証サーバから受け取ったＶＬＡＮ ＩＤを所定の方法で自動変換し、その変換で得られたＶＬＡＮ ＩＤを認証されたユーザ端末が接続しているポートに割り当てる。このため、ネットワーク内のユーザ端末数が増加してもブロードキャスト・ドメインが拡大しないようにＶＬＡＮを構築できる。その結果、ＶＬＡＮ内の通信を安定させることが可能となる。

以下、図面を参照しながら本発明の実施の形態について説明する。
［本発明の原理］
図１は、本発明の認証スイッチ（認証ＶＬＡＮスイッチ）によるＶＬＡＮの分割方法を説明する図である。

本発明においては、認証スイッチがＲＡＤＩＵＳサーバから受け取ったＶＬＡＮ ＩＤを予め定められた方法で変換し、その変換で得られたＶＬＡＮ ＩＤを、ＲＡＤＩＵＳサーバによりユーザ認証が承認されたユーザに割り当てる。このため、ブロードキャスト・ドメインは、ＲＡＤＩＵＳサーバが発行するＶＬＡＮ ＩＤではなく認証スイッチが発行するＶＬＡＮ ＩＤにより決定される。ＲＡＤＩＵＳサーバから発行されたＶＬＡＮ ＩＤは、認証スイッチ毎に異なるＶＬＡＮ ＩＤに変換されるようになるので、ブロードキャスト・ドメインの拡大が防止される。

図１（ａ）は、従来の認証スイッチ１２を用いたＩＥＥＥ８０２．１Ｘ認証機能を備えたＬＡＮのシステム構成図である。
同図（ａ）は図１４（ｂ）と同様な構成のＬＡＮであり、図１（ａ）において、図１４（ｂ）と同等な構成要素には同一の符号を付与している。また、ユーザ端末１１はユーザ端末１０１１と同等な機器であり、ＬＡＮスイッチ１３はＬＡＮスイッチ１０１３と同等な機器である。同様に、ＲＡＤＩＵＳサーバ１４はＲＡＤＩＵＳサーバ１０１４と同等な機器である。

本発明では、図１（ａ）に示すユーザ端末（ユーザ）の増加に伴い肥大化したブロードキャスト・ドメイン１０２７を、図１（ｂ）に示すように、認証スイッチ２２を用いて、より小さな複数のブロードキャスト・ドメインに分割する。

図１（ｂ）に示す例では、ブロードキャスト・ドメイン１０２７が、認証スイッチ２２毎に、３つのブロードキャスト・ドメイン２７ａ、２７ｂ、２７ｃに分割されている。図１（ｂ）に示す認証スイッチ２２は、ＲＡＤＩＵＳサーバ１４から受信するＶＬＡＮ ＩＤにそれぞれの機器に割り当てられた定数を加算し、その加算結果をポートに接続されたユーザ端末１１のＶＬＡＮ ＩＤとして割り当てる。この結果、同一の認証スイッチ２２のポートに接続されたユーザ端末１１は同一のＶＬＡＮに属することになる。
［実施例］
図２は、本発明の実施例である認証スイッチのシステム構成を示すブロック図である。

同図に示すように、認証スイッチ２２は、中継処理部２２１、変換処理部２２２、記憶部２２３、時刻部２２４及びｎ個（ｎは自然数）のポート２２５を備えている。
中継処理部２２１は、ユーザ端末とＲＡＤＩＵＳサーバ１４間の通信を中継し、ユーザ端末との間ではＥＡＰＯＬ（ＩＥＥＥ８０２．１Ｘで規定）、ＲＡＤＩＵＳサーバ１４との間ではＲＡＤＩＵＳ（ＲＦＣ３５７９で規定）の各プロトコルにより通信を行う。

中継処理部２２１は、認証スイッチ２２のポート２２５にユーザ端末２１が接続されたとき、ユーザ端末２１から入力される「ユーザＩＤ」と「パスワード」を含むコマンド（認証リクエスト）をＲＡＤＩＵＳサーバ１４に送信する。そして、ＲＡＤＩＵＳサーバ１４からユーザ認証結果を受け取る。

ＲＡＤＩＵＳサーバ１４は、ユーザ認証に成功すると、認証スイッチ２２に対してＶＬＡＮ ＩＤを発行する。中継処理部２２１は、そのＶＬＡＮ ＩＤを受信し、それを変換処理部２２２に渡す。ＲＡＤＩＵＳサーバ１４は、ユーザ認証に失敗した場合には、ユーザ認証に失敗した旨を認証スイッチ２２に通知する。

変換処理部２２２は、中継処理部２２１から受け取るＶＬＡＮ ＩＤを所定の方法により変換し、その変換で得られたＶＬＡＮ ＩＤを記憶部２２３に書き込む。
記憶部２２３は、図３に示すように、ＶＬＡＮテーブル２３１、ＭＡＣアドレス記憶領域２３２、ＩＰアドレス記憶領域２３３及び固有値記憶領域２３４を備えている。

時刻部２２４は、現在時刻を計時するタイマーであり、変換処理部２２２から要求を受けると、現在時刻（時刻：分）を変換処理部２２２に渡す。
ポート２２５は、ユーザ端末２１がケーブル等により接続されるポートであり、各ポート２２５−１、２２５−２、・・・、２２５−ｎには、それぞれ、“１”、“２”、・・・、“ｎ”のポート番号が付与されている。

図４Aは、図３の記憶部２２３内に設けられたＶＬＡＮテーブル２３１の構成を示す図である。
ＶＬＡＮテーブル２３１は、上述のようにして変換処理部２２２によって変換されたＶＬＡＮ ＩＤを、“１”〜“ｎ”の各ポート番号に対応付けて格納するテーブルである。中継処理部２２１は、このＶＬＡＮテーブル２３１を参照することにより、各ポート２２５に接続されているユーザ端末１１のＶＬＡＮ ＩＤを知ることができる。

図４Ａの例では、“１”のポート番号と“１１０”のＶＬＡＮ ＩＤとが対応付けられて格納されている。この場合、ポート番号が“１”のポート２２５に接続されたユーザ端末２１のＶＬＡＮ ＩＤは“１１０”となる。

図４Ｂは、認証スイッチ２２の一実施例を示す。変換処理部２４１は加算器から構成され、認証スイッチ２２で加算すべき固有値は、記憶部２４３に記憶される。変換処理部２４１は、記憶部２４３に記憶されている固有値（１００）を用い、ＶＬＡＮ ＩＤ（１０）を変換し、ＶＬＡＮテーブル２４２に出力する。

上記認証スイッチ２２の動作を説明する。サーバ１４からＶＬＡＮ ＩＤ（１０）が送られ、認証スイッチ２２はＶＬＡＮ ＩＤ（１０）と認証スイッチ２２の固有値（１００）を変換処理部２４１で演算してＶＬＡＮ ＩＤ（１１０）を算出する。算出されたＶＬＡＮ ＩＤ（１１０）は、ユーザ端末がアクセスしているポート番号と対応させてＶＬＡＮテーブルに出力される。

ＭＡＣアドレス記憶領域２３２は、認証スイッチ２２のＭＡＣアドレスを格納している領域である。ＩＰアドレス記憶領域２３３は、認証スイッチ２２のＩＰアドレスを格納している領域である。固有値記憶領域２３４は、認証スイッチ２２に固有の値を記憶している領域である。

記憶部２２３は、例えば、半導体メモリからなり、ＶＬＡＮテーブル２３１はＲＡＭ等の書き換え可能なメモリに設けられ、ＭＡＣアドレス記憶領域２３２、ＩＰアドレス記憶領域２３３及び固有値記憶領域２３４は、例えば、ＲＯＭなどのような読み出し専用のメモリに設けられる。

図５は、認証スイッチ２２の本発明の要部に関わる全体動作を説明するフローチャートである。
認証スイッチ２２は、ユーザ端末１１がポート２２５に接続されると、ユーザ端末１１から「ユーザＩＤ」と「パスワード」を入力する。認証スイッチ２２は、該入力された「ユーザＩＤ」と「パスワード」をＲＡＤＩＵＳサーバ１４に送信し、ＲＡＤＩＵＳサーバ１４に対してユーザ認証を要求（リクエスト）する。ＲＡＤＩＵＳサーバ１４は、認証スイッチ２２から送信されてくる「ユーザＩＤ」と「パスワード」を受信・入力する（ステップＳ１）。

ＲＡＤＩＵＳサーバ１４は、該入力された「ユーザＩＤ」と「パスワード」を基にユーザ認証を行い、ユーザが正規のユーザであるかどうか判断し（ステップＳ２）、正規のユーザであると判断するとステップＳ３に進み、正規のユーザでないと判断するとステップＳ１に戻る。

ステップＳ３では、ＲＡＤＩＵＳサーバ１４は認証スイッチ２２に対して「ＶＬＡＮ ＩＤ」を発行する。このＶＬＡＮ ＩＤは、予め、「ユーザＩＤ」に対して割り当てられていたものである。ＲＡＤＩＵＳサーバ１４にはユーザ・アトリビュート情報が登録されており、このユーザ・アトリビュート情報の中に「ユーザＩＤ」毎の「ＶＬＡＮ ＩＤ」が登録されている。

認証スイッチ２２は、ＲＡＤＩＵＳサーバ１４から発行されたＶＬＡＮ ＩＤを受け取り、このＶＬＡＮ ＩＤを予め定められた特定の方法で変換する（ステップＳ４）。
このように、認証スイッチ２２は、ポート２２５にユーザ端末１１が接続されると、該ユーザ端末１１から入力される「ユーザＩＤ」と「パスワード」をＲＡＤＩＵＳサーバ１４に送信し、ＲＡＤＩＵＳサーバ１４にユーザ認証をリクエストする。そして、ＲＡＤＩＵＳサーバ１４により、ポート２２５に接続されたユーザ端末１１のユーザが正規のユーザであると承認されると、ＲＡＤＩＵＳサーバ１４から「ＶＬＡＮ ＩＤ」を受け取る。認証スイッチ２２は、ＲＡＤＩＵＳサーバ１４から発行された「ＶＬＡＮ ＩＤ」を特定の方法で変換する。認証スイッチ２２は、この変換により得られた「ＶＬＡＮ ＩＤ」を、前記ユーザ端末１１が接続されたポート２２５の番号（ポート番号）と対応付けてＶＬＡＮテーブル２３１に登録する。
［システム構成例］
図６は、本発明の実施例である認証スイッチ２２を使用した認証ＶＬＡＮシステム（ＩＥＥＥ８０２．１Ｘ認証システム）の全体構成を示す図である。

同図に示す認証ＶＬＡＮシステムは、２台のユーザ端末１１（１１Ｘ、１１Ｙ）、２台の認証スイッチ２２（２２ａ、２２ｂ）、ＲＡＤＩＵＳサーバ１４及びネットワーク３０で構成されている。

ユーザ端末１１ＸはユーザＸのユーザ端末１１であり、ユーザ端末１１ＹはユーザＹのユーザ端末１１である。ユーザ端末１１Ｙは認証スイッチ２２ａ（認証スイッチＡ）のポート番号が“１”のポート２２５に接続され、ユーザ端末１１Ｙは認証スイッチ２２ｂ（認証スイッチＢ）のポート番号が“１”のポート２２５に接続される。

認証スイッチ２２ａと認証スイッチ２２ｂは、ネットワーク３０を介してＲＡＤＩＵＳサーバ１４に接続される。ネットワーク３０は、ＬＡＮまたはＷＡＮ等のＩＰ(Internet Protocol)による伝送プロトコルで通信を行うネットワークである。

ＲＡＤＩＵＳサーバ１４は、ＲＡＤＩＵＳに準拠したサーバであり、ユーザ・アトリビュート情報を格納するテーブルを備え、認証スイッチ２２Ｘ、２２Ｙから受け取る「ユーザＩＤ」と「パスワード」を基にそれらの認証スイッチ２２のポート２２５に接続されたユーザ端末１１のユーザの認証を行い、その認証結果を認証スイッチ２２に返す。このとき、ＲＡＤＩＵＳサーバ１４は、正規のユーザであると認証した場合には、ユーザ端末１１に割り当てる「ＶＬＡＮ ＩＤ」を認証スイッチ２２に返す。

図７は、ＲＡＤＩＵＳサーバ１４が保有するユーザ・アトリビュート情報の一例を示す図である。尚、図５には、ユーザ・アトリビュート情報の内、本発明に関わる情報のみを示している。

図５に示すように、ユーザ・アトリビュート情報は、「ユーザＩＤ」、「パスワード」及び「ＶＬＡＮ ＩＤ」を含んでいる。同図には、ユーザＸ、ユーザＹ及びユーザＺに関するユーザ・アトリビュート情報を示している。ＲＡＤＩＵＳサーバ１４は、ユーザ・アトリビュート情報の「ユーザＩＤ」と「パスワード」を認証スイッチ２２から受信する「ユーザＩＤ」と「パスワード」と照合することによってユーザ認証を行う。そして、ユーザ認証の結果、正規ユーザであると承認した場合には、ユーザ・アトリビュート情報として登録されている「ＶＬＡＮ ＩＤ」を認証スイッチ２２に返す。
{ＶＬＡＮ ＩＤの変換方法}
図５のフローチャートにステップＳ４における認証スイッチ２２（２２Ｘ、２２Ｙ）のＶＬＡＮ ＩＤの変換方法の各種実施例を説明する。
［ＶＬＡＮ ＩＤの変換方法の第１実施例］
図８は、認証スイッチ２２（２２Ｘ、２２Ｙ）によるＶＬＡＮ ＩＤの変換方法の第１実施例を示すシーケンス図である。図８は、認証スイッチ２２として認証スイッチ２２ａを取り上げているが、認証スイッチ２２ｂのＶＬＡＮ ＩＤ変換処理も認証スイッチ２２ａと同様である。

この第１の実施例では、認証スイッチ２２に割り当てられた固有値を利用して、ＲＡＤＩＵＳサーバ１４から発行される「ＶＬＡＮ ＩＤ」を変換する。
ユーザ端末１１Ｘは認証スイッチ２２ａのポート２２５に接続されると、ユーザがユーザ端末１１Ｘに入力した「ユーザＩＤ」と「パスワード」を認証スイッチ２２ａに送信する（ステップＳ１１）。

認証スイッチ２２ａは、ユーザ端末１１Ｘから受信した「ユーザＩＤ」と「パスワード」をネットワーク３０経由でＲＡＤＩＵＳサーバ１４に送信し、ＲＡＤＩＵＳサーバ１４に対してユーザ認証を要求する（ステップＳ１２）。

ＲＡＤＩＵＳサーバ１４は、認証スイッチ２２ａから認証リクエストを受け取ると、ユーザ・アトリビュート情報を参照し、認証スイッチ２２ａから受信した「ユーザＩＤ」と「パスワード」を基にユーザ認証を行う。そして、正規ユーザであると承認すると、“１０”というＶＬＡＮ ＩＤを認証スイッチ２２ａに対して発行する（ステップＳ１３）。

認証スイッチ２２ａの変換処理部２２２は、固有値記憶領域２３４から“１００”という固有値を取得し（ステップＳ１４）、この固有値（＝１００）をＲＡＤＩＵＳサーバ１４から受信したＶＬＡＮ ＩＤの値（＝１０）に加算する（ステップＳ１５）。

認証スイッチ２２ａの変換処理部２２２は、上記加算により得られた値を、ユーザ端末１１Ｘが接続されたポート２２５の「ＶＬＡＮ ＩＤ」として割り当て、この割り当て情報をＶＬＡＮテーブル２３１に登録する。この結果、図９に示すように、認証スイッチ２２ａのポート番号が“１”のポート２２５にはＶＬＡＮ ＩＤとして“１１０”が割り当てられる（ステップＳ１６）。

次に、固有値が“２００”に設定されている認証スイッチ２２ｂでは、ポート番号が“１”のポート２２５にユーザ端末１１Ｙが接続されると、同様の手順により、図９に示すように、認証スイッチ２２ｂのポート番号が“１”のポート２２５に対して“２１０”の「ＶＬＡＮ ＩＤ」が割り当てられる。

図１０は、認証スイッチ２２ａと認証スイッチ２２ｂのポート２２５にユーザ端末１１Ｙ、１１Ｙ、１１Ｚが接続された場合における認証スイッチ２２ａ、２２ｂのＶＬＡＮ ＩＤの割り当てを示している。

図１０の示す例においては、ユーザ端末１１Ｘとユーザ端末１１Ｙが、それぞれ、認証スイッチ２２ａの“１”と“３”のポート番号のポート２２５に接続されている。また、ユーザ端末１１Ｙとユーザ端末１１Ｚが、それぞれ、認証スイッチ２２ｂの“１”と“３”のポート番号のポート２２５に接続されている。また、認証スイッチ２２ａの固有値は“１００”、認証スイッチ２２ｂの固有値は“２００”となっている。

この場合、ＲＡＤＩＵＳサーバ１４はユーザ端末１１Ｘ、１１Ｙ、１１Ｚのユーザのユーザ認証に成功すると、ユーザ端末１１Ｘとユーザ端末１１Ｙには“１０”のＶＬＡＮ ＩＤを認証スイッチ２２ａ、２２ｂに返し、ユーザ端末１１Ｚには“２０”のＶＬＡＮ ＩＤを返す。
0 この結果、認証スイッチ２２ａの“１”と“３”のポート番号のポート２２５には、共に、ＶＬＡＮ ＩＤとして“１１０”と“１２０”が割り当てられる。また、認証スイッチ２２ｂの“１”と“３”のポート番号のポート２２５には、ＶＬＡＮ ＩＤとして、それぞれ、“２１０”と“２２０”が割り当てられる。

このように、同じユーザ端末１１であっても、異なる認証スイッチ２２のポート２２５に接続された場合には、ＶＬＡＮ ＩＤの値が異なるので、異なるＶＬＡＮに収容される（ユーザ端末１１Ｙの場合を参照）。また、同じ認証スイッチ２２のポート２２５に接続されるユーザ端末１１であっても、ＲＡＤＩＵＳサーバ１４から発行されるＶＬＡＮ ＩＤの値が異なる場合には、異なるＶＬＡＮに収容される。

本実施例では、ＲＡＤＩＵＳサーバ１４から発行されたＶＬＡＮ ＩＤに固有値を加えて該ＶＬＡＮ ＩＤを変換しているが、加算ではなく減算や乗算などの他の四則演算や、固有値を係数とする数式などを用いて変換するようにしてもよい。
［ＶＬＡＮ ＩＤの変換方法の第２実施例］
図１１は、認証スイッチ２２によるＶＬＡＮの変換方法の第２実施例を説明するシーケンス図である。図１２も、認証スイッチ２２として認証スイッチ２２ａを例として取り上げているが、認証スイッチ２２ｂも認証スイッチ２２ａと同様にしてＶＬＡＮ ＩＤを変換する。

この第２の実施例では、認証スイッチ２２がＲＡＤＩＵＳサーバ１４から発行されたＶＬＡＮ ＩＤを受信する時刻を利用して、そのＶＬＡＮ ＩＤを変換する。
図１１において、ステップＳ１１〜Ｓ１３の処理は図８のシーケンスと同様なのでその説明は省略する。

認証スイッチ２２ａの変換処理部２２２は、中継処理部２２１がＲＡＤＩＵＳサーバ１４から発行された「ＶＬＡＮ ＩＤ」（この場合、“１０”）を受信すると、時刻部２２４から現在時刻（この場合、１５時２５分）を取得し（ステップＳ２４）、その現在時刻における分の下一桁の値（この場合、“５”）を、ＲＡＤＩＵＳサーバ１４から受け取った「ＶＬＡＮ ＩＤ」に加算する（ステップＳ２５）。

そして、変換処理部２２２は、上記加算結果（この場合、“１５”）をユーザ端末１１Ｘが接続された認証スイッチ２２ａのポート２２５に割り当てる（ステップＳ２６）。
このように、変換方法の第２実施例では、ＲＡＤＩＵＳサーバ１４から発行された「ＶＬＡＮ ＩＤ」を受信した時刻（認証時刻）を利用して、ＲＡＤＩＵＳサーバ１４から発行された「ＶＬＡＮ ＩＤ」を変換し、その変換結果をＶＬＡＮテーブル２３１に登録する。この結果、上記変換結果が、ユーザ端末１１Ｘが接続されたポート２２５の「ＶＬＡＮ ＩＤ」として割り当てられる。

本実施例では、時刻の分に下一桁の値を「ＶＬＡＮ ＩＤ」に変換に利用しているが、この値ではなく、時刻の別の値を利用するようにしてもよい。また、加算ではなく減算や乗算などの他の四則演算や、時刻の所定値を係数とする数式などを用いて変換するようにしてもよい。
［ＶＬＡＮ ＩＤの変換方法の第３実施例］
図１２は、認証スイッチ２２によるＶＬＡＮ ＩＤの変換方法の第３実施例を示すシーケンス図である。図１３の場合も、認証スイッチ２２として認証スイッチ２２ａを取り上げている。また、図８のシーケンスと同様の処理には同じステップ番号を付与している。

この第３の実施例では、認証スイッチ２２のＩＰアドレスを利用して、ＲＡＤＩＵＳサーバ１４から発行された「ＶＬＡＮ ＩＤ」を変換する。
認証スイッチ２２ａの変換処理部２２２は、中継処理部２２１がＲＡＤＩＵＳサーバ１４から発行された「ＶＬＡＮ ＩＤ」を受け取ると、ＩＰアドレス記憶領域２３３からＩＰアドレス（この場合、１９２．１６８．１０．１）を取得し（ステップＳ２４）、このＩＰアドレスの最下位の値（この場合、“１”）をＲＡＤＩＵＳサーバ１４から発行された「ＶＬＡＮ ＩＤ」に加算する（ステップＳ３５）。

変換処理部２２２は、その加算結果を、ユーザ端末１１Ｘが接続された認証スイッチ２２ａのポート２２５のポート番号に対応付けてＶＬＡＮテーブル２３１に登録する。この結果、ユーザ端末１１Ｘが接続された認証スイッチ２２ａのポート２２５に上記変換結果が「ＶＬＡＮ ＩＤ」として割り当てられる（ステップＳ３６）。

本実施例では、ＩＰアドレスの最下位の値を用いて、ＲＡＤＩＵＳサーバ１４が発行したＶＬＡＮ ＩＤを変換するようにしているが、ＩＰアドレスの他の桁の値を用いて上記変換を行うようにしてもよい。また、加算ではなく減算や乗算などの他の四則演算や、ＩＰアドレスの所定値を係数とする数式などを用いて変換するようにしてもよい。
［ＶＬＡＮ ＩＤの変換方法の第４実施例］
図１３は、認証スイッチ２２による「ＶＬＡＮ ＩＤ」の変換方法の第４実施例を示すシーケンス図である。図１３の場合も、認証スイッチ２２として認証スイッチ２２ａを取り上げている。また、図８のシーケンスと同様の処理には同じステップ番号を付与している。

この第４の実施例では、認証スイッチ２２のＭＡＣアドレスを利用して、ＲＡＤＩＵＳサーバ１４が発行する「ＶＬＡＮ ＩＤ」を変換する。
認証スイッチ２２ａの変換処理部２２２は、中継処理部２２１がＲＡＤＩＵＳサーバ１４から発行された「ＶＬＡＮ ＩＤ」を受信すると、ＭＡＣアドレス記憶領域２３２からＭＡＣアドレス（この場合、００：００：０Ｅ：Ｄ５：２４：Ｅ７）を取得し（ステップＳ４４）、このＭＡＣアドレスの最下位の値を１桁の１０進数として、ＲＡＤＩＵＳサーバ１４が発行した「ＶＬＡＮ ＩＤ」に加算する（ステップＳ４５）。

変換処理部２２２は、上記加算結果を、ユーザ端末１１Ｘが接続された認証スイッチ２２ａのポート２２５のポート番号に対応付けてＶＬＡＮテーブル２３１に登録する。この結果、ユーザ端末１１Ｘが接続された認証スイッチ２２ａのポート２２５に上記加算結果が「ＶＬＡＮ ＩＤ」として割り当てられる（ステップＳ４６）。

本実施例では、ＭＡＣアドレスの最下位の値を、ＲＡＤＩＵＳサーバ１４が発行する「ＶＬＡＮ ＩＤ」の変換に利用しているが、ＭＡＣアドレスの最下位以外の値を上記「ＶＬＡＮ ＩＤ」の変換に用いるようにしてもよい。また、加算ではなく減算や乗算などの他の四則演算や、ＭＡＣアドレスの所定値を係数とする数式などを用いて変換するようにしてもよい。

また、本実施例では、認証サーバとしてＲＡＤＩＵＳサーバを使用しているが、ＲＡＤＩＵＳサーバ以外の認証サーバを使用してもよい。
本発明の認証スイッチによるＶＬＡＮ ＩＤ（ＲＡＤＩＵＳサーバなどの認証サーバから発行されるＶＬＡＮ ＩＤ）の変換方法は、上記実施例に限定されるものではなく、その他の各種方法による変換も含むものである。
また、上記では本発明を有線ＬＡＮに適用した実施例について説明したが、本発明は有線ＬＡＮに限定されることなく無線ＬＡＮ転送装置にも適用可能なものである。

(付記１)
ユーザ認証機能を有する認証ＶＬＡＮスイッチにおいて、
ポートに接続されたユーザ端末から入力されるユーザ認証情報を認証サーバに送信し、前記認証サーバがユーザ認証に成功したとき、前記認証サーバが発行するＶＬＡＮ ＩＤを受信する中継処理手段と、
該中継処理手段が受信したＶＬＡＮ ＩＤを所定の方法で変換し、該変換により得られたＶＬＡＮ ＩＤを、前記ユーザ端末が接続されたポートに割り当てる変換手段と、
を備えることを特徴とする認証スイッチ。
（付記２）
付記１記載の認証ＶＬＡＮスイッチであって、
前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記装置に割り当てられた固有値を用いて変換することを特徴とする。
（付記３）
付記２記載の認証ＶＬＡＮスイッチであって、
前記変換手段は、前記固有値を記憶する記憶手段を有し、該記憶手段から前記固有値を取得することを特徴とする。
（付記４）
付記２記載の認証ＶＬＡＮスイッチであって、
前記変換処理手段は、前記認証サーバが発行したＶＬＡＮ ＩＤと前記固有値を演算することにより、該ＶＬＡＮ ＩＤを変換することを特徴とする。
（付記５）
付記１記載の認証ＶＬＡＮスイッチであって、
前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記中継処理手段が該ＶＬＡＮ ＩＤを受信した時刻を用いて変換することを特徴とする。
（付記６）
付記５記載の認証ＶＬＡＮスイッチであって、
前記変換手段は、現在時刻を計時する計時手段を有し、該計時手段から前記受信時刻を取得することを特徴とする。
（付記７）
付記５記載の認証ＶＬＡＮスイッチであって、
前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤと前記受信時刻を用いて演算することにより、該ＶＬＡＮ ＩＤを変換することを特徴とする。
(付記８)
付記１記載の認証ＶＬＡＮスイッチであって、
前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記ＶＬＡＮスイッチのＩＰアドレスを用いて変換することを特徴する。
（付記９）
付記８記載の認証ＶＬＡＮスイッチであって、
前記変換手段は、前記ＩＰアドレスを記憶する記憶手段を有し、該記憶手段から前記ＩＰアドレスを取得することを特徴とする。
（付記１０）
付記１記載の認証ＶＬＡＮスイッチであって、
前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記ＶＬＡＮ認証スイッチのＭＡＣアドレスを用いて変換することを特徴とする。
（付記１１）
付記１０記載の認証スイッチであって、
前記変換手段は、前記ＭＡＣアドレスを記憶する記憶手段を有し、該記憶手段から前記ＭＡＣアドレスを取得することを特徴とする。

本発明は、ユーザ認証を行うＬＡＮの構築に好適であり、ＬＡＮへの不正アクセスを防止する上で有効である。

本発明の原理を説明する図である。 本発明の実施例である認証スイッチのシステム構成を示すブロック図である。 本実施例の認証スイッチが備える記憶部の構成を示すブロック図である。 ＶＬＡＮテーブルの構成を示す図である。 認証スイッチの一実施例を示す図である。 本発明の実施例である認証スイッチを利用したＶＬＡＮ ＩＤの変換処理の全体動作を説明するフローチャートである。 本実施例の認証スイッチを使用した認証ＶＬＡＮシステムの全体構成を示すブロック図である。 ＲＡＤＩＵＳサーバが保有するユーザ・アトリビュート情報における本発明の要部を示す図である。 本実施例の認証スイッチによるＶＬＡＮ ＩＤの変換方法の第１実施例を示すシーケンス図である。 上記ＶＬＡＮ ＩＤの変換方法の第１実施例における処理を説明する図（その１）である。 上記ＶＬＡＮ ＩＤの変換方法の第１実施例における処理を説明する図（その２）である。 本実施例の認証スイッチによるＶＬＡＮ ＩＤの変換方法の第２実施例を示すシーケンス図である。 本実施例の認証スイッチによるＶＬＡＮ ＩＤの変換方法の第３実施例を示すシーケンス図である。 本実施例の認証スイッチによるＶＬＡＮ ＩＤの変換方法の第４実施例を示すシーケンス図である。 従来の認証スイッチを使用した認証ＶＬＡＮシステムの問題点を説明する図である。

符号の説明

１１、１１Ｘ、１１Ｙ ユーザ端末
１３ ＬＡＮスイッチ（スイッチングＨＵＢ）
１４ ＲＡＤＩＵＳサーバ
２２、２２ａ、２２ｂ 認証スイッチ
２７ａ、２７ｂ、２７ｃ ＶＬＡＮ（ブロードキャスト・ドメイン）
２２１ 中継処理部
２２２、２４１ 変換処理部
２２３、２４３ 記憶部
２３１、２４２ ＶＬＡＮテーブル
２３２ ＭＡＣアドレス記憶領域
２３３ ＩＰアドレス記憶領域
２３４ 固有値記憶領域
２２４ 時刻部
２２５ ポート
３０ ネットワーク

Claims (5)

1. ユーザ認証機能を有する認証ＶＬＡＮスイッチにおいて、
   ポートに接続されたユーザ端末から入力されるユーザ認証情報を認証サーバに送信し、前記認証サーバがユーザ認証に成功したとき、前記認証サーバが発行するＶＬＡＮ ＩＤを受信する中継処理手段と、
   該中継処理手段が受信したＶＬＡＮ ＩＤを所定の方法で変換し、該変換により得られたＶＬＡＮ ＩＤを、前記ユーザ端末が接続されたポートに割り当てる変換手段と、を備えることを特徴とする認証ＶＬＡＮスイッチ。
2. 請求項１記載の認証ＶＬＡＮスイッチであって、
   前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記装置に割り当てられた固有値を用いて変換することを特徴とする。
3. 請求項１記載の認証ＶＬＡＮスイッチであって、
   前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記中継処理手段が該ＶＬＡＮ ＩＤを受信した時刻を用いて変換することを特徴とする。
4. 請求項１記載の認証ＶＬＡＮスイッチであって、
   前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記装置のＩＰアドレスを用いて変換することを特徴とする。
5. 請求項１記載の認証ＶＬＡＮスイッチであって、
   前記変換手段は、前記認証サーバが発行したＶＬＡＮ ＩＤを、前記認証ＶＬＡＮスイッチのＭＡＣアドレスを用いて変換することを特徴とする。