JP2007287097A - アクセス制御システム及び方法 - Google Patents

Abstract

【課題】クライアント端末のネットワーク接続時の認証を１回にすると共に、不当なサーバアクセスを制限するようにする。
【解決手段】本発明のアクセス制御システムは、ネットワーク上の１又は複数のサーバへのアクセスを要求する１又は複数のクライアント端末のアクセス制御を行なうアクセス制御システムにおいて、各クライアント端末のネットワーク識別情報と、１又は複数のアクセス許可サーバのネットワーク識別情報とを対応付けたアクセス制御情報を管理するアクセス制御情報管理手段と、所定の認証方式に従って、各クライアント端末の認証処理を行なう認証手段と、各クライアント端末から認証要求を認証手段に与えると共に、認証手段による認証が成功した場合に、クライアント端末のネットワーク識別情報に基づいてアクセス制御情報を参照して、クライアント端末のアクセスを制御するアクセス制御手段とを備える。
【選択図】 図１

Description

本発明は、アクセス制御システム及び方法に関し、例えば、ネットワーク上のサービス提供装置（サーバ）にアクセスするクライアント端末のアクセス制御を行なうアクセス制御システム及び方法に適用し得る。

従来、ネットワーク上に存在しているサービス提供装置（サーバ）にアクセスし、当該サーバからネットワークサービスの提供を受ける際、クライアント端末は、まず、ネットワークに接続するためのネットワークアクセス認証を行なう必要がある。

次に、クライアント端末のネットワークアクセス制御が成功すると、クライアント端末が送信したパケットのネットワーク上での転送が許容され、クライアント端末が送信した送信パケットをサーバに与えることができ、クライアント端末は、サーバにアクセスするためのサーバアクセス認証を行なう必要がある。

このように、従来、一般的にクライアント端末がネットワーク上のサーバにアクセスする際には、ネットワークアクセス認証とサーバアクセス認証との２種類の認証を行なう必要があった。

また、従来、認証ＶＬＡＮ（仮想ＬＡＮ）という技術がある。この認証ＶＬＡＮという技術は、ネットワークに接続する際に、ネットワークアクセス認証を行ない、この認証が成功すると、予め割り当てられたＶＬＡＮ（仮想ＬＡＮ）にクライアント端末を収容するという技術であり、同一ＶＬＡＮ内のサーバに自由にアクセスすることができるというものである。

さらに、特許文献１には、クライアント端末がネットワークに接続する際に、ネットワークアクセス認証を行ない、認証確認サーバが認証結果を保持しておき、クライアント端末がサービスサーバに接続すると、サービスサーバが認証確認サーバに認証済みか否かの問い合わせをし、認証確認サーバが認証済みとするとき、サービスサーバはクライアント端末の接続を許可するものである。

特開２００４−１３３８２３号公報

ところで、上述した認証ＶＬＡＮ技術は、１回のアクセス認証により、クライアント端末が、ＶＬＡＮ（仮想ＬＡＮ）上のサーバにアクセスでき、ネットワークサービスの提供を受けることを可能とすることはできるが、サーバへのアクセスが自由に行なわれるため、サーバへのアクセス制御ができないという問題が生じ得る。

また、上述した特許文献１に記載の技術は、クライアント端末のサービスサーバへの接続の際、サービスサーバが認証確認サーバに認証済みか否かを問い合わせることが必要であるため、より簡単な認証処理が求められている。

そのため、クライアント端末のネットワーク接続時のアクセス認証を１回にすると共に、不当なサーバへのアクセスを制限することができるアクセス制御システム及び方法が求められている。

かかる課題を解決するため、第１の本発明のアクセス制御システムは、ネットワーク上の１又は複数のサーバへのアクセスを要求する１又は複数のクライアント端末の当該ネットワークへのアクセス制御を行なうアクセス制御システムにおいて、（１）各クライアント端末のネットワーク識別情報と、各クライアント端末のアクセスが許可された１又は複数のアクセス許可サーバのネットワーク識別情報とを対応付けたアクセス制御情報を管理するアクセス制御情報管理手段と、（２）所定の認証方式に従って、各クライアント端末の認証処理を行なう認証手段と、（３）各クライアント端末から認証要求を受けると、そのクライアント端末からの認証要求を認証手段に与えると共に、認証手段による認証が成功した場合に、クライアント端末のネットワーク識別情報に基づいてアクセス制御情報を参照して、クライアント端末のアクセスを制御するアクセス制御手段とを備えることを特徴とする。

第２の本発明のアクセス制御方法は、ネットワーク上の１又は複数のサーバへのアクセスを要求する１又は複数のクライアント端末の当該ネットワークへのアクセス制御を行なうアクセス制御方法において、（１）アクセス制御情報管理手段が、各クライアント端末のネットワーク識別情報と、各クライアント端末のアクセスが許可された１又は複数のアクセス許可サーバのネットワーク識別情報とを対応付けたアクセス制御情報を管理するアクセス制御情報管理工程と、（２）認証手段が、所定の認証方式に従って、各クライアント端末の認証処理を行なう認証工程と、（３）アクセス制御手段が、各クライアント端末から認証要求を受けると、そのクライアント端末からの認証要求を認証手段に与えると共に、認証手段による認証が成功した場合に、クライアント端末のネットワーク識別情報に基づいてアクセス制御情報を参照して、クライアント端末のアクセスを制御するアクセス制御工程とを備えることを特徴とする。

本発明によれば、ネットワーク上の１又は複数のサーバへのアクセスを要求する１又は複数のクライアント端末の当該ネットワークへのアクセス制御を行なうアクセス制御システムにおいて、各クライアント端末のネットワーク識別情報と、各クライアント端末のアクセスが許可された１又は複数のアクセス許可サーバのネットワーク識別情報とを対応付けたアクセス制御情報を管理するアクセス制御情報管理手段と、所定の認証方式に従って、各クライアント端末の認証処理を行なう認証手段と、各クライアント端末から認証要求を受けると、そのクライアント端末からの認証要求を認証手段に認証させると共に、認証手段による認証が成功した場合に、クライアント端末のネットワーク識別情報に基づいてアクセス制御情報を参照して、クライアント端末のアクセスを制御するアクセス制御手段とを備えクライアント端末のネットワーク接続時のアクセス認証を１回にすると共に、不当なサーバへのアクセスを制限することができる。

（Ａ）第１の実施形態
以下、本発明のアクセス制御システム及び方法の第１の実施形態を図面を参照して詳細に説明する。

本実施形態は、本発明のアクセス制御システム及び方法を利用して、１又は複数のクライアント端末が、ネットワークの接続時に、アクセス制限された１又は複数のサーバにアクセスすることができるイントラネット（ネットワークシステム）を実現する場合を説明する。

（Ａ−１）第１の実施形態の構成
図１は、本実施形態に係るネットワークシステムの全体構成を示す構成図である。図１において、本実施形態に係るネットワークシステム１０は、ネットワーク５に接続可能な、遮断装置１、認証装置２、アクセス制御情報ＤＢ（データベース）３、複数（図１では２台）のサーバＡ及びサーバＢ、並びに、遮断装置１に接続可能なクライアント端末４、を少なくとも有して構成される。

ここで、図１において、ネットワーク５に接続可能なサーバの台数は特に限定されるものではない。

ネットワーク５は、図１に示す各構成要素間で情報を伝達するための通信網であり、本実施形態では、通信プロトコルとしてＴＣＰ／ＩＰ対応の通信網を想定する。なお、ネットワーク５は、専用網としてもよいし、公衆網としてもよいし、専用網及び公衆網を結合した通信網としてもよい。さらに、ネットワーク５は、有線回線としてもよいし、無線回線としてもよいし、又は有線回線と無線回線とが結合したものとしてもよい。

サーバＡ及びサーバＢは、ネットワークサービスを提供するサーバであって、後述する遮断装置１によりアクセスが許可されたクライアント端末４に対してネットワークサービスを提供するものである。サーバＡ及びサーバＢが提供するネットワークサービスは、特に限定されるものではなく、広く適用することができ、又既存のサーバを用いてもよい。

クライアント端末４は、ユーザにより利用される通信端末であり、例えば、パーソナルコンピュータや、ＰＤＡ等に代表される携帯型通信端末や、ノード型パーソナルコンピュータや、データ通信機能を有する携帯電話機や、社内イントラネット専用の携帯通信端末などが該当する。

認証装置２は、後述する遮断装置１から、サーバへのアクセスを希望するクライアント端末４の認証要求を受け取ると、当該クライアント端末４についての認証処理を行なうものである
ここで、なお、認証装置２において行なわれる所定の認証方式は、特に限定されないが、例えば、ＲＡＤＩＵＳ認証方式などを適用することができ、本実施形態では、ＲＡＤＩＵＳ認証方式を用いた場合を説明する。

この場合、認証装置２には、クライアント端末４を利用するユーザのユーザ識別情報（ＩＤ）と認証に必要なパスワードとを、クライアント端末毎に登録してある。そして、認証装置２は、クライアント端末４の認証要求を遮断装置１から受け取る際、クライアント端末４を利用するユーザのユーザ識別情報及び認証処理に必要なパスワードを受け取り、そのユーザ識別情報とパスワードとを登録情報から検索し、正しく検索できたとき認証が成功したものとし、また正しく検索できなかったとき認証が失敗したものとする。

また、認証装置２は、クライアント端末４の認証が成功した場合、アクセス制御情報ＤＢ３を参照し、当該クライアント端末４のサーバへのアクセス制御情報を取得するものである。

ここで、アクセス制御情報ＤＢ３は、クライアント端末４の識別情報（例えば、クライアント端末のＩＰアドレス等）と、そのクライアント端末４がアクセスすることが許可されるサーバの識別情報（例えば、サーバのＩＰアドレス等）及びポート番号とが対応付けて管理するものである。

そして、認証装置２は、クライアント端末４のＩＰアドレスを用いて、アクセス制御情報ＤＢ３から、クライアント端末４のＩＰアドレスに対応するサーバのＩＰアドレスを検索する。認証装置２は、アクセス制御情報ＤＢ３から検索したサーバのＩＰアドレス及びポート番号を認証結果と共に遮断装置１に返信する。

遮断装置１は、１又は複数のクライアント端末４と接続し、各クライアント端末とネットワークとを中継するネットワーク装置であり、例えば、ルータやスイッチ等が該当する。

遮断装置１は、接続するクライアント端末４から認証要求を受けると、その認証要求を認証装置２に対して中継するものである。このとき、遮断装置１は、認証成功していないクライアント端末４からのアクセス要求を全て拒否している。また、遮断装置１は、認証装置１から認証結果を受け取ると、その認証結果をクライアント端末４に送信するものである。

また、遮断装置１は、クライアント端末４の認証が成功した場合、認証装置２から、クライアント端末４のアクセスが許可されたサーバのＩＰアドレス及びポート番号を受け取り、そのサーバのＩＰアドレス及びポート番号を当該クライアント端末４のＭＡＣアドレス及びＩＰアドレスに対応させたアクセス管理情報を保持するものである。そして、遮断装置１は、アクセス管理情報を利用して、クライアント端末４がアクセス要求するサーバが許可されたサーバであるかを判断し、正当である場合にそのサーバへのアクセスを許可し、不当である場合にネットワーク５への通過を遮断して制限するものである。

図２は、本実施形態に係る遮断装置１の主なハードウェア構成を示すブロック図である。図２に示すように、遮断装置１のハードウェア構成は、通常のネットワーク装置と同様に、ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、ＥＥＰＲＯＭ１４、通信部１５などを有して構成される。

通信部１５は、所定の通信プロトコルに従って、ネットワーク５との間で、クライアント端末４との間で、情報を授受するものである。

ＣＰＵ１１は、遮断装置１の機能を司るものであり、ＲＯＭ１２、ＲＡＭ１３、ＥＥＰＲＯＭ１４は遮断装置１の記憶手段であり、例えば、ＣＰＵ１１は、ＲＯＭ１２やＥＥＰＲＯＭ１４に格納されているプログラム実行に必要なデータを、ワーキングエリアとするＲＡＭ１３に読み出し、ＲＯＭ１２に格納されている処理プログラムを実行することで、遮断装置１の機能が実現される。

本実施形態の遮断装置１は、主に、中継機能、アクセス管理機能、フィルタ機能を実現するものである。

図３は、遮断装置１が実現する機能を示す機能ブロック図であり、図３に示すように、本実施形態の遮断装置１は、中継機能部１２ａ、アクセス管理情報生成機能部１２ｂ、フィルタ機能部１２ｃを有する。

中継機能部１２ａは、クライアント端末４とネットワーク５との間で情報を中継する機能部であり、クライアント端末４から認証要求を受信すると、その認証要求を認証装置２に送信するものである。また、中継機能部１２ａは、認証装置２から当該クライアント端末４の認証結果を受け取ると、その認証結果をクライアント端末４に送信するものである。

アクセス管理情報生成機能部１２ｂは、認証装置２によるクライアント端末４の認証が成功し、認証装置２から当該クライアント端末のアクセス許可されるサーバのＩＰアドレス及びポート番号を受信すると、当該クライアント端末４の認証要求からクライアント端末４のＭＡＣアドレス及びＩＰアドレスを抽出し、サーバのＩＰアドレス及びポート番号を、当該クライアント端末４のＭＡＣアドレス及びＩＰアドレスに対応させたアクセス管理情報１４ａを生成するものである。

フィルタ機能部１２ｃは、認証が成功したクライアント端末４からサーバへのアクセス要求があった場合、当該クライアント端末４のＭＡＣアドレス及びＩＰアドレスに基づいて、アクセス管理情報から当該クライアント端末４のアクセス許可されたサーバのＩＰアドレス及びポート番号を検索し、当該クライアント端末４のアクセス要求に係るサーバのＩＰアドレス及びポート番号が、アクセス管理情報から検索したサーバのＩＰアドレス及びポート番号であるか比較して判断するものである。

そして、アクセス要求に係るサーバのＩＰアドレス及びポート番号が、アクセス管理情報のサーバのＩＰアドレス及びポート番号である場合、フィルタ機能部１２ｃは、このクライアント端末４のアクセス要求をネットワーク５へ通過させ、アクセス管理情報のサーバのＩＰアドレス及びポート番号でない場合、フィルタ機能部１２ｃは、このクライアント端末４のアクセス要求を遮断して制限するものである。

これにより、サーバへのアクセスを希望するクライアント端末４の認証処理を１回にすることができ、かつ、サーバへのアクセスが許可されていないクライアント端末４によるアクセス制限をかけることができる。

また、従来のサーバアクセス認証は、アプリケーションサーバ（サービスサーバ）において認証されているのに対し、遮断装置１は、クライアント端末４によるサーバへのアクセス制御を、ＯＳＩ基本参照モデルにおける第４層（ＩＰアドレス、ＭＡＣアドレス）で制御することができるので、従来よりも高速に認証することができる。

（Ａ−２）第１の実施形態の動作
次に、第１の実施形態に係るアクセス制御システムの処理動作を図面を参照して説明する。

図４は、第１の実施形態のアクセス制御システムの処理を説明するシーケンスである。

ここでは、クライアント端末４がサーバＡへのアクセスが許可されているものとし、アクセス制御情報ＤＢ３には、クライアント端末４のＩＰアドレスとサーバＡのＩＰアドレスとが対応付けられたアクセス制御情報が保持されているものとする。

まず、クライアント端末４が起動すると、クライアント端末４は、遮断装置１に対して認証要求を送信する（Ｓ１）。このとき、クライアント端末４は、認証要求と共に、ユーザ識別情報及びパスワードを遮断装置１に送信する。

クライアント端末４からの認証要求が遮断装置１に与えられると、遮断装置１は、そのクライアント端末４からの認証要求を認証装置２に与える（Ｓ２）。このとき、遮断装置１は、クライアント端末４から受信したユーザ識別情報及びパスワードも認証装置２に送信する。

遮断装置１からクライアント端末４の認証要求を受信すると、認証装置２は、クライアント端末４からのユーザ識別情報及びパスワードに基づいてユーザが正当であるか否かの認証を行なう（Ｓ３）。

このとき、認証装置２によるユーザ認証が失敗すると、認証装置２はユーザ認証が失敗した旨を認証結果として遮断装置１に送信する。なお、図４においては、ユーザ認証が成功した場合の例を示しており、ユーザ認証が失敗した場合の例を示していない。

一方、認証装置２によるユーザ認証が成功すると、認証装置２は、当該クライアント端末４のＩＰアドレスを用いて、アクセス制御情報ＤＢ３を検索し、クライアント端末４に対してアクセス許可がなされているサーバＡのＩＰアドレス及びポート番号を取得する（Ｓ４）。

そして、認証装置２がクライアント端末４のアクセス許可サーバのＩＰアドレス及びポート番号をアクセス制御情報ＤＢ３から取得すると、認証装置２は、認証成功の旨を示す認証結果と共に、クライアント端末４のアクセス許可サーバＩＰアドレス及びポート番号を遮断装置１に送信する（Ｓ５）。

認証装置２から認証成功の旨を示す認証結果を受信すると、遮断装置１は、その認証結果と共に送信されてきたクライアント端末３のアクセス許可サーバのＩＰアドレス及びポート番号に基づいてアクセス管理情報１４ａを生成する（Ｓ６）。

ここで、図５は、遮断装置１におけるアクセス管理情報１４ａの生成処理を示すフローチャートである。

図５に示すように、遮断装置１は、認証装置２からクライアント端末４のユーザ認証が成功した旨の認証結果を受信すると、その認証結果と共に受信した当該クライアント端末４のアクセス許可サーバＡのＩＰアドレス及びポート番号を受信する（Ｆ１１）。

また、遮断装置１は、当該クライアント端末４のＩＰアドレス及びＭＡＣアドレスを認証要求から抽出し（Ｆ１２）、その抽出したクライアント端末４のＩＰアドレス及びＭＡＣアドレスに、受信したアクセス許可サーバＡのＩＰアドレス及びポート番号を対応付けてアクセス管理情報１４ａを作成して、このアクセス管理情報１４ａを保持する（Ｆ１３）。

このように、遮断装置１は、当該クライアント端末４についてのアクセス管理情報１４ａを設定すると、クライアント端末４に対して、ユーザ認証が成功した旨を送信する（Ｓ７）。なお、認証装置２から認証失敗の旨を示す認証結果を受信したときには、遮断装置１は、その認証結果をクライアント端末４に送信する。

ユーザ認証が成功した旨の認証結果を受信したクライアント端末４は、その後サーバへのアクセス要求を遮断装置１に対して行なう（Ｓ８又はＳ１０）。

クライアント端末４からサーバへのアクセス要求が遮断装置１に与えられると、遮断装置１は、クライアント端末４からのアクセス要求先がアクセス許可されたサーバであるか否かを判断し、アクセス許可されたサーバへのアクセス要求である場合、そのアクセス要求をネットワーク５に通過させ、アクセス許可されたサーバへのアクセス要求でない場合、そのアクセス要求を制限して遮断する（Ｓ９又はＳ１１）。

ここで、図６は、遮断装置１におけるフィルタリング処理の動作を示すフローチャートである。

図６において、ユーザ認証が成功したクライアント端末４からサーバへのアクセス要求を受信すると（Ｆ２１）、アクセス要求からクライアント端末４のＩＰアドレス及びＭＡＣアドレスを抽出する。

そして、遮断装置１において、アクセス要求してきたクライアント端末４のＩＰアドレス及びＭＡＣアドレスに基づいて、アクセス管理情報１４ａから、アクセス許可サーバのＩＰアドレス及びポート番号を検索する（Ｆ２２）。

クライアント端末１４のアクセス許可されたサーバのＩＰアドレス及びポート番号が検索されると、遮断装置１は、クライアント端末４がアクセス要求したサーバのＩＰアドレス及びポート番号と比較する（Ｆ２３）。

そして、アクセス要求に係るサーバのＩＰアドレス及びポート番号が、アクセス許可されたサーバのＩＰアドレス及びポート番号に一致する場合、遮断装置１はアクセス要求をネットワーク５に通過させ（Ｆ２４）、アクセス許可されたサーバのＩＰアドレス及びポート番号に一致しない場合、遮断装置１はアクセス要求を制限して遮断する（Ｆ２５）。

（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、クライアント端末４の認証の際、遮断装置１は、クライアント端末４からの認証要求を認証装置２に中継し、認証装置２に認証処理をさせることにより、従来は一般的に２回以上必要としていた認証を１回で済ますことができる。

また、本実施形態によれば、遮断装置１は、クライアント端末４の認証成功時に、認証装置２からクライアント端末４のアクセス許可サーバの識別情報（ＩＰアドレス及びポート番号）を受け取り、そのクライアント端末４の識別情報（ＭＡＣアドレス及びＩＰアドレス）に対応付けて管理することで、ＯＳＩ基本参照モデルの第４層レベルでアクセス制御することができる。

さらに、本実施形態によれば、遮断装置１が、払い出したＩＰアドレスで、クライアント端末４のアクセス制御をすることができるので、動的なアドレスを用いるＤＨＣＰ環境でも高速認証することができる。

（Ｂ）他の実施形態
（Ｂ−１）上述した第１の実施形態では、社内のイントラネットに適用した場合をネットワークシステムの例に挙げて説明したが、クライアント端末がアクセス先として許可するサーバをＩＰアドレス等の識別情報をもって管理することができれば、他のネットワークシステムにも適用することができる。

（Ｂ−２）上述した第１の実施形態で説明した遮断装置１が有する機能は、物理的に同一の装置内に備えられ、遮断装置１として実現する機能として説明したが、それぞれの機能は、第１の実施形態で説明した処理が実行されるのであれば、物理的に同一の装置内に搭載されることなく、それぞれの機能を実行する装置を分散的に配置するようにしてもよい。

また、認証装置２及びアクセス制御情報ＤＢ３についても、遮断装置１と同様に、それぞれの機能を実行する装置を分散的に配置するようにしてもよい。

さらに、例えば、遮断装置１が、認証装置２の機能の一部又は全部の機能を備えるようにしたり、アクセス制御情報ＤＢ３を備えるようにしたりするなど、遮断装置１と認証装置２とアクセス制御情報ＤＢ３とがそれぞれ有する機能をそれぞれ組み合わせた装置としてもよい。

（Ｂ−３）上述した第１の実施形態では、１台のクライアント端末４がアクセスできるサーバを１台のサーバＡのみとして説明したが、１台のクライアント端末４がアクセス許可されるサーバの数は、特に限定されず、２台以上であってもよい。

（Ｂ−４）上述した第１の実施形態において、遮断装置１のアクセス管理情報１４ａは、クライアント端末４のＩＰアドレス及びＭＡＣアドレスを、アクセス許可サーバの識別情報と対応付けることとして説明したが、アクセス許可サーバの識別情報と対応付けるものを、ＭＡＣアドレス又はＩＰアドレスのうちいずれかとしてもよい。また、アクセス許可サーバの識別情報を、サーバのＩＰアドレス及びポート番号としたが、ＩＰアドレスのみとしてもよい。

（Ｂ−５）上述した遮断装置１は、クライアント端末４のネットワーク接続の認証を行なうものであるから、できる限り、クライアント端末４に近い側に設けられることが望ましい。また、クライアント端末１が、遮断装置１が有する各種機能を備えるようにしてもよい。

第１の実施形態のネットワークシステムの全体構成図である。 第１の実施形態の遮断装置の内部構成である。 第１の実施形態の遮断装置が実現する機能を示すブロック図である。 第１の実施形態のアクセス制御システムの処理を示すシーケンス図である。 第１の実施形態の遮断装置におけるアクセス管理情報の生成処理を示すフローチャートである。 第１の実施形態の遮断装置におけるフィルタリング処理を示すフローチャートである。

符号の説明

１…遮断装置、２…認証装置、３…アクセス制御情報ＤＢ、４…クライアント端末、Ａ及びＢ…サーバ、５…ネットワーク、１１…ＣＰＵ、１２…ＲＯＭ、１２ａ…中継機能部、１２ｂ…アクセス管理情報生成機能部、１２ｃ…フィルタ機能部、１３…ＲＡＭ、１４…ＥＥＰＲＯＭ、１４ａ…アクセス管理情報、１５…通信部。

Claims (3)

1. ネットワーク上の１又は複数のサーバへのアクセスを要求する１又は複数のクライアント端末の当該ネットワークへのアクセス制御を行なうアクセス制御システムにおいて、
   上記各クライアント端末のネットワーク識別情報と、上記各クライアント端末のアクセスが許可された１又は複数のアクセス許可サーバのネットワーク識別情報とを対応付けたアクセス制御情報を管理するアクセス制御情報管理手段と、
   所定の認証方式に従って、上記各クライアント端末の認証処理を行なう認証手段と、
   上記各クライアント端末から認証要求を受けると、そのクライアント端末からの認証要求を上記認証手段に与えると共に、上記認証手段による認証が成功した場合に、上記クライアント端末のネットワーク識別情報に基づいて上記アクセス制御情報を参照して、上記クライアント端末のアクセス制御をするアクセス制御手段と
   を備えることを特徴とするアクセス制御システム。
2. 上記アクセス制御手段は、認証成功した上記クライアント端末からのアクセス要求先サーバのネットワーク識別情報が、上記アクセス許可サーバのネットワーク識別情報でない場合、上記クライアント端末のアクセスを制限することを特徴とする請求項１に記載のアクセス制御システム。
3. ネットワーク上の１又は複数のサーバへのアクセスを要求する１又は複数のクライアント端末の当該ネットワークへのアクセス制御を行なうアクセス制御方法において、
   アクセス制御情報管理手段が、上記各クライアント端末のネットワーク識別情報と、上記各クライアント端末のアクセスが許可された１又は複数のアクセス許可サーバのネットワーク識別情報とを対応付けたアクセス制御情報を管理するアクセス制御情報管理工程と、
   認証手段が、所定の認証方式に従って、上記各クライアント端末の認証処理を行なう認証工程と、
   アクセス制御手段が、上記各クライアント端末から認証要求を受けると、そのクライアント端末からの認証要求を上記認証手段に与えると共に、上記認証手段による認証が成功した場合に、上記クライアント端末のネットワーク識別情報に基づいて上記アクセス制御情報を参照して、上記クライアント端末のアクセスを制御するアクセス制御工程と
   を備えることを特徴とするアクセス制御方法。
   

Images