JP2010062667A - ネットワーク機器及びネットワークシステム - Google Patents

Abstract

【課題】認証手続きを簡素化するとともに、管理負荷を軽減するスイッチングハブ及びネットワークシステムを提供する。
【解決手段】ユーザ端末１０５の認証を行う認証機能を備えたスイッチングハブ１０２において、ユーザ端末１０５からの認証要求のパケットを認証サーバ１０３へ転送し、認証サーバからの認証応答のパケットをユーザ端末１０５へ転送するとともに、認証応答のパケットを参照し、認証成功の情報を読み取ったとき、上記ユーザ端末１０５を認証済みとする認証手段を備えた。
【選択図】図１

Description

本発明は、認証手続きが簡素化するとともに、管理負荷を軽減できるネットワーク機器及びネットワークシステムに関する。

図７に従来のネットワークシステムの一例を示す。ネットワークシステム７０１は、ネットワーク７０４にスイッチングハブ７０２が接続され、スイッチングハブ７０２にユーザ端末７０５が接続されており、ユーザ端末７０５はスイッチングハブ７０２を介してネットワーク７０４と通信する構成となっている。スイッチングハブ７０２には、認証サーバ７０３とラディウスサーバ７０６が接続されている。図７では、認証サーバ７０３及びラディウスサーバ７０６からの伝送路がそれぞれ直接にスイッチングハブ７０２のポートに接続されているが、認証サーバ７０３及びラディウスサーバ７０６はスイッチングハブ７０２に繋がるネットワーク７０４に接続していても良い。

ユーザ端末７０５は、ネットワーク７０４に接続しようとするとき、自分の属するドメイン（ネットワークのサーバ、ユーザ端末、プリンタなどの複数の端末で構成されるグループ）にログインするために、認証サーバ７０３と認証手続きの通信を行う。ユーザ端末７０５と認証サーバ７０３は、所定の認証方式、例えばケルベロス（Kerberos）認証やラディウス（Radius）認証、により認証手続きを行う。ユーザ端末７０５と認証サーバ７０３は、所定の認証方式のプロトコル、ケルベロス認証の場合はケルベロス認証のプロトコル、に対応している必要がある。

認証サーバ７０３はユーザデータを登録したデータベースを有する。認証サーバ７０３へのユーザデータの登録は管理者が管理端末を操作して行う。

スイッチングハブ７０２は、複数のポートを有し、あるポートで受信したパケットを、その宛先アドレス（宛先ＭＡＣアドレス、宛先ＩＰアドレス）に従って、転送先のポートへ転送する。

ラディウスサーバ７０６はＭＡＣアドレスやユーザデータを登録したデータベースを有する。ラディウスサーバ７０６へのＭＡＣアドレスやユーザデータの登録は管理者が管理端末を操作して行う。

スイッチングハブ７０２はＭＡＣ認証やＷＥＢ認証などの認証機能を有する。

ＭＡＣ認証では、スイッチングハブ７０２は受信したパケットの送信元ＭＡＣアドレスをラディウスサーバ７０６に送る。ラディウスサーバ７０６にはデータベースに予め通信が許可されるＭＡＣアドレスが登録されている。ラディウスサーバ７０６は送信元ＭＡＣアドレスとデータベースを照合する。送信元ＭＡＣアドレスがデータベースに登録されている場合は、認証成功の応答をスイッチングハブ７０２に返す。スイッチングハブ７０２は認証成功の応答により、当該送信元ＭＡＣアドレスのパケットは転送を可とする。

ＷＥＢ認証では、スイッチングハブ７０２は接続されたユーザ端末に対してユーザ名やパスワードなどのユーザデータを入力するためのＷＥＢ画面を送信する。ユーザはＷＥＢ画面にユーザデータを入力し、スイッチングハブ７０２に送信する。スイッチングハブ７０２は受信したユーザデータをラディウスサーバ７０６に送る。ラディウスサーバ７０６にはデータベースに予め通信が許可されるユーザデータが登録されている。ラディウスサーバ７０６は受信したユーザデータとデータベースを照合する。ユーザデータがデータベースに登録されている場合は、認証成功の応答をスイッチングハブ７０２に返す。スイッチングハブ７０２は認証成功の応答により、ユーザ端末７０５からのパケットは転送を可とする。

スイッチングハブ７０２は、パケットフィルタにおいて、受信したパケットの内容を参照し、認証済みでないユーザ端末からのパケットは転送せずに廃棄する。例えば、受信したパケットの送信元ＭＡＣアドレスが、転送を可として設定されたＭＡＣアドレスと異なる場合は、認証済みでないユーザ端末からのパケットとして廃棄する。上記の認証手続により認証成功したユーザ端末は、そのＭＡＣアドレスが転送を可として設定され、以後スイッチングハブ７０２を通して通信が可能となる。

また、スイッチングハブ７０２はユーザ端末７０５と認証サーバ７０３間の所定の認証方式による認証手続きのパケットは転送を可と設定される。

次に、ユーザ端末７０５がスイッチングハブ７０２に接続されて、ネットワーク１０４に通信可能となるまでの手順を説明する。ユーザ端末７０５と認証サーバ７０３はケルベロス認証の認証手続を行うものとする。スイッチングハブ７０２はＷＥＢ認証を行うものとする。

認証サーバ７０３とラディウスサーバ７０６には、あらかじめドメインの正当なユーザデータ（ユーザ名、ログインパスワード）が登録される。

スイッチングハブ７０２に接続された状態で、ユーザ端末７０５が起動し、オペレーティングシステム（ＯＳ）が立ち上がると、ＯＳはユーザ端末７０５にログイン画面を表示させる。ユーザは、ログイン画面にユーザ名、ログインパスワードを入力する。ユーザ端末７０５は、ユーザ名とログインパスワードを格納したケルベロス認証要求メッセージのパケットを認証サーバ７０３へ送信する。

スイッチングハブ７０２は、ケルベロス認証要求メッセージのパケットを認証サーバ７０３は転送する。

認証サーバ７０３は、受信したケルベロス認証要求メッセージのパケットに格納されたユーザ名、ログインパスワードを、データベースに登録されているユーザデータと参照し、ユーザが登録された正当なユーザであれば、認証成功を格納したケルベロス認証応答メッセージのパケットをユーザ端末７０５に返す。

スイッチングハブ７０２は、ケルベロス認証応答メッセージのパケットをユーザ端末７０５へ転送する。

これにより、ユーザ端末７０５はドメインへのアクセスが許可される。

この時点で、ユーザ端末７０５はドメインへのアクセスは許可されているが、スイッチングハブ７０２における認証に成功していないので、ネットワーク７０４と通信できない。

スイッチングハブ７０２はユーザ端末７０５に対してユーザ名やパスワードを入力するためのＷＥＢ画面を送信する。

ユーザはＷＥＢ画面にユーザ名とパスワードを入力し、スイッチングハブ７０２に送信する。

スイッチングハブ７０２は受信したユーザ名とパスワードをラディウスサーバ７０６に送信する。

ラディウスサーバ７０６は、受信したユーザ名、ログインパスワードとデータベースを照合し、データベースに登録されている場合は、認証成功の応答をスイッチングハブ７０２へ返す。

スイッチングハブ７０２は、認証成功の応答を受信して、ユーザ端末７０５は認証済みとし、ユーザ端末からのパケットの転送を可とする。

これにより、ユーザ端末７０５はネットワーク７０４に通信可能となる。

また、ドメインへの認証を必要としない端末（例えば、プリンタ、ＦＡＸ）も存在する。このような端末がスイッチングハブ７０２に接続されたときは、認証サーバ７０３との認証は行わず、スイッチングハブ７０２においてＭＡＣ認証による認証を行い、これに認証成功すれば、端末はネットワーク７０４への通信が可能となる。

特開２００２−１４１９１６号公報 特開２００４−６４２０４号公報 特開２００８−６０６３１号公報

図７のネットワークシステム７０１において、ユーザ端末７０５がスイッチングハブ７０２に物理的に接続してからネットワーク７０４への通信を開始するには、ユーザ端末７０５を使うユーザが認証サーバ７０３との認証に成功した後、スイッチングハブ７０２との認証に成功する必要がある。

また、従来のネットワークシステム７０１では、正当なユーザについて、認証サーバ７０３とラディウスサーバ７０６にユーザデータを重複して登録する必要がある。

一方、認証サーバ７０３との認証を行わない端末がスイッチングハブ７０２に接続された場合に備え、スイッチングハブ７０２における認証機能はネットワークシステム７０１から外すことはできない。

このように、従来のネットワークシステム７０１は、認証サーバ７０３との認証とスイッチングハブ７０２との認証をそれぞれ行う必要があり、冗長な認証手続きとなっている。また、同じユーザについて、認証サーバ７０３とラディウスサーバ７０６にそれぞれユーザデータを登録する必要があり、管理者の管理負荷が重くなる。

そこで、本発明の目的は、上記課題を解決し、認証手続きを簡素化するとともに、管理負荷を軽減するスイッチングハブ及びネットワークシステムを提供することにある。

上記目的を達成するために請求項１に係る発明は、複数のポートを有し、前記複数のポート間でパケットを転送するネットワーク機器であって、端末からのパケットの転送を可とする認証を行う認証手段を備え、前記認証手段は、端末と認証サーバがネットワーク機器を介して所定の認証方式による認証手続きの通信を行うとき、上記認証サーバからの上記端末宛の認証応答のパケットを上記端末へ転送するとともに、上記認証応答のパケットの内容を参照し、認証成功の情報を読み取ったとき、上記端末を認証済みとするネットワーク機器である。

請求項２に係る発明は、上記認証手段は、受信したパケットの内容を参照し、認証済みの端末からのパケットは転送を可とし、所定の認証方式における認証要求のパケットと認証応答のパケットは転送を可とする通信条件に設定されたパケットフィルタと、認証応答のパケットの内容を参照し、認証成功の情報を読み取ったとき、上記パケットフィルタの通信条件を上記端末からのパケットは転送を可と設定する処理装置とからなる請求項１記載のネットワーク機器である。

請求項３に係る発明は端末の認証を行う認証機能を備えたネットワーク機器と、上記ネットワーク機器に接続された端末と、上記端末と上記ネットワーク機器を介して接続され、所定の認証方式により上記端末との間で認証を行う認証サーバとから構成され、上記端末は上記認証サーバ宛の認証要求のパケットを送信し、上記ネットワーク機器は受信した上記認証要求のパケットを上記認証サーバへ転送し、上記認証サーバは、上記ユーザ端末宛の認証応答のパケットを送信し、上記ネットワーク機器は受信した上記認証応答のパケットを上記端末へ転送するとともに、上記認証応答のパケットの内容を参照し、認証成功の情報を読み取ったとき上記端末を認証済みとするネットワークシステムである。

本発明は、認証手続きを簡素化するとともに、管理負荷を軽減することができる。

以下、本発明の一実施形態を添付図面に基づいて詳述する。

図１に示されるように、本発明に係るネットワークシステム１０１は、ネットワーク１０４にスイッチングハブ１０２が接続され、スイッチングハブ１０２にユーザ端末１０５が接続されており、ユーザ端末１０５はスイッチングハブ１０２を介してネットワーク１０４と通信する構成である。スイッチングハブ１０２には、認証サーバ１０３とラディウスサーバ１０６が接続される。図１では、認証サーバ１０３及びラディウスサーバ１０６からの伝送路がそれぞれ直接にスイッチングハブ１０２のポートに接続されているが、認証サーバ１０３及びラディウスサーバ１０６はスイッチングハブ１０２に繋がるネットワーク１０４に接続しても良い。

ユーザ端末１０５は、自分の属するドメインにログインするために、認証サーバ１０３と所定の認証方式により認証を行う。本実施形態では、ケルベロス認証による認証手続きを行う。ユーザ端末１０５と認証サーバ１０３はケルベロス認証のプロトコルに対応している。認証サーバ１０３はユーザデータを登録したデータベースを有する。認証サーバ１０３へのユーザデータの登録は管理者が管理端末を操作して行う。

図２に本発明に係るネットワーク機器の一実施形態であるスイッチングハブ１０２を示す。本発明に係るネットワーク機器は、スイッチングハブに限られず、ルータその他のパケットを転送する機器が含まれる。

スイッチングハブ１０２は、複数のポート２１と、ＦＤＢ（Forwarding Data Base）とパケットフィルタ２３を有する転送処理部２２と、ＣＰＵ（処理装置）２４と、メモリ２５とを備える。

ポート２１は、端末、サーバやスイッチングハブに繋がる伝送路を任意のポートに物理的に接続（電気的に接続）することができる通信ポートである。図２には、無線ＡＰ１０８、ユーザ端末１０５、認証サーバ１０３、ラディウスサーバ１０６がポートに接続されているようすが示されている。

転送処理部２２は、ＦＤＢとパケットフィルタ２３を有する。転送処理部２２は、受信したパケットをパケットフィルタ２３で宛先アドレスを読み出し、その宛先アドレスをＦＤＢに照合して転送するポートを読み出し、そのポートからパケットを転送する。

ＦＤＢは、ポート２１で受信したパケットに格納されている送信元アドレス（送信元ＭＡＣアドレス、送信元ＩＰアドレス）とポートとを対応付けて学習するともに、受信したフレームに格納されている宛先アドレスで学習内容を参照して転送するポートを読み出すものである。ＦＤＢで行うアドレス学習、フラッディング等の技術は従来技術であるので、詳しい説明は省く。

パケットフィルタ２３は、ポートで受信したパケットの内容を参照する（フィルタリング）ものである。パケットフィルタ２３において受信したパケットの宛先アドレス、送信先アドレスを読み取る。また、パケットフィルタ２３は、あるパケットは廃棄する、あるパケットはＣＰＵのバッファを転写するなどの通信条件が設定される。パケットフィルタ２３は、ハードウェアで構成されており、ソフトウェア制御を行うＣＰＵ２４で通信条件が設定され、パケットの内容の参照、特定のパケットの廃棄やバッファへの転写を制御するようになっている。

本実施形態では、パケットフィルタ２３は、パケットの内容を参照し、認証済みでないユーザ端末からのパケットは廃棄する。例えば、認証済みでないユーザ端末１０５からのネットワーク１０４へのパケットはパケットフィルタ２３が廃棄するので、通信が不可とされる。一方、認証済みのユーザ端末１０５からのネットワーク１０４へのパケットは、パケットフィルタ２３が廃棄せず通信を可としポートに転送されて通信が行われる。また、パケットフィルタ２３は、パケットの内容を参照し、特定のパケットをＣＰＵが読み取り可能なバッファに転写する。

本実施形態において、パケットフィルタ２３は、１）認証済みでないユーザ端末からのパケットは廃棄する、２）ユーザ端末と認証サーバの間のケルベロス認証のパケットの通信は許可する、３）ケルベロス認証の認証要求メッセージのパケットと認証応答メッセージのパケットはＣＰＵの読み取り可能なバッファに転写する、４）認証済みのユーザ端末の通信を許可する、ように動作するよう通信条件が設定される。パケットフィルタ２３における上記設定の優先度は、４）＞３）＞２）＞１）である。つまり、認証済みでないユーザ端末からのパケットであっても、認証プロトコルメッセージのパケットは通信許可となる。

ＣＰＵ２４は、ソフトウェア制御を行うものである。本発明に関しては、パケットフィルタ２３によりバッファに転写された、ケルベロス認証の認証要求メッセージのパケットと認証応答メッセージのパケットの内容を読み取る（スヌーピング）とともに、メモリ２５中の端末認証状態管理テーブルへの書込や参照、パケットフィルタ２３の通信条件の設定を行う。

メモリ２５は、ソフトウェア制御で使用されるデータ、生成されるデータ、パケットから読み取ったデータなどを格納するものである。本発明では、メモリ２５中に端末認証状態管理テーブル３１が構成される。

図３に示されるように、端末認証状態管理テーブル３１は、ＭＡＣアドレスの列、ＩＰアドレスの列、ポートの列、ＶＬＡＮＩＤの列、ＵｓｅｒＩＤ（ユーザ名）の列、ｓｔａｔｕｓ（状態）の列を有し、ひとつに対応し合うデータが同じ行に記憶される。例えば、図示した端末認証状態管理テーブル３１の最上行の内容からは、ＭＡＣアドレス00:00:00:00:00:01のユーザ端末について、そのＩＰアドレスが172.21.29.10であり、ユーザ端末がポート２に接続されており、ＶＬＡＮＩＤが10であり、ユーザ端末を使用するユーザ名がａａａであり、既に認証済みの状態であることが分かる。ここで、状態の列に格納されている「認証済み」とは、ユーザ名ａａａでＭＡＣアドレス00:00:00:00:00:01のユーザ端末が正当なユーザであることが認証成功済みであることを示す。「認証中」は認証要求を行っているが認証結果が未だ得られていないことを示す。

以下、図１に示した本発明のネットワークシステムにおけるスイッチングハブの動作を説明する。

ユーザ端末１０５には、認証サーバ１０３との間でケルベロス認証を行うためのケルベロス認証プロトコルがＯＳにあらかじめインストールされている。

ステップ１１）
ユーザがユーザ端末１０５を立ち上げると、ユーザ端末１０５のＯＳはユーザ端末１０５にログイン画面（図示せず）を表示させる。ログイン画面には、ユーザ名とパスワードの記入欄がプロンプト表示される。ユーザがキーボード等の入力装置からユーザ名とパスワードを入力すると、ＯＳは、ＴＣＰまたはＵＤＰ（以下、「ＴＣＰ／ＵＤＰ」と記載）のパケットで構成されるケルベロス認証要求メッセージを作成する。

図４（ａ）、図４（ｂ）に示されるように、ケルベロス認証におけるパケットは、ＭＡＣヘッダ、ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダ、ケルベロスデータからなる。ＭＡＣヘッダには、宛先ＭＡＣアドレス、送信元ＭＡＣアドレスなどが含まれ、ＩＰヘッダには、宛先ＩＰアドレス、送信元ＩＰアドレスなどが含まれる。ＴＣＰ／ＵＤＰヘッダには、当該パケットがどの種の認証方式における認証プロトコルのパケットであるかを示す情報が含まれる。ケルベロスデータには、認証成功の情報、認証失敗の情報などが含まれる。

図４（ａ）に示されるように、ケルベロス認証要求メッセージでは、宛先のＴＣＰ／ＵＤＰポート番号（図示せず）が８８番となる。ケルベロス認証要求メッセージでは、ＴＣＰ／ＵＤＰヘッダに続くケルベロスデータの１７バイト目に置かれるメッセージタイプの欄に「KRB AS REQ(10)」と呼ばれるデータ、具体的には１０進数の１０が格納される。つまり、ケルベロスデータの１７バイト目に１０が格納されたＴＣＰ／ＵＤＰパケットがケルベロス認証要求メッセージとなる。

ユーザ端末１０５のＯＳは、入力装置から入力されたユーザ名とパスワードをケルベロス認証要求メッセージとなるパケット（認証要求のパケット）に格納し、その認証要求のパケットをスイッチングハブ１０２に送信する。認証要求のパケットのＭＡＣヘッダは、宛先ＭＡＣアドレスが認証サーバ、送信元ＭＡＣアドレスがユーザ端末である。

ステップ１２）
スイッチングハブ１０２はＴＣＰ／ＵＤＰパケットを受信すると、このＴＣＰ／ＵＤＰパケットがケルベロス認証要求メッセージとなるパケットであるかどうか判断する。具体的には、パケットフィルタ２３においてパケットをフィルタリングし、ケルベロスデータの１７バイト目に１０が格納されているかどうか判断する。

スイッチングハブ１０２は、このＴＣＰ／ＵＤＰパケットがケルベロス認証要求メッセージのパケットであることを認識したとき、このケルベロス認証要求メッセージのパケットを認証サーバ１０３に転送する。スイッチングハブ１０２から認証サーバ１０３に送信されるケルベロス認証要求メッセージのパケットは図４（ａ）のものと同じである。

なお、スイッチングハブ１０２が受信したユーザ端末１０５からのパケットがケルベロス認証要求メッセージでなく、一般のパケットであるときは、この時点では未だユーザ端末１０５が認証成功していないので、スイッチングハブ１０２は、このパケットをネットワーク１０４に転送しない。

スイッチングハブ１０２は、ユーザ端末１０５から受信したＴＣＰ／ＵＤＰパケットがケルベロス認証要求メッセージであったとき、ケルベロス認証要求メッセージをＣＰＵ２４が読み取り可能なバッファに転写する。

ＣＰＵ２４は、バッファを参照してケルベロス認証要求メッセージに格納されているユーザ端末１０５のＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮＩＤを取り出すとともに当該ケルベロス認証要求メッセージの受信ポート番号を認識する。ＣＰＵ２４は、未知のユーザ端末がケルベロス認証要求中（待ち状態）であることを認識し、メモリ２５内の端末認証状態管理テーブル３１に、ユーザ端末１０５のＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮＩＤ、ポート番号、認証中を登録する。

ステップ１３）
認証サーバ１０３はスイッチングハブ１０２により転送されたケルベロス認証要求メッセージのＴＣＰ／ＵＤＰパケットを受信する。認証サーバ１０３には、あらかじめユーザ名とパスワードが登録されたデータベースがある。認証サーバ１０３は、このデータベースを参照して認証を行う。すなわち、ケルベロス認証要求メッセージのケルベロスデータに格納されているユーザ名とパスワードがデータベースの登録内容に一致するかどうか比較する。

認証サーバ１０３は、ＴＣＰ／ＵＤＰパケットからなるケルベロス認証応答メッセージを作成する。図４（ｂ）に示されるように、ケルベロス認証応答メッセージでは、送信元のＴＣＰ／ＵＤＰポート番号（図示せず）が８８番となる。認証成功の場合、ＴＣＰ／ＵＤＰヘッダに続くケルベロスデータの１７バイト目に置かれるメッセージタイプの欄に「KRB AS REP(10)」と呼ばれるデータ、具体的には１０進数の１１が格納される。つまり、ケルベロスデータの１７バイト目に１１が格納されたＴＣＰ／ＵＤＰパケットが認証成功のケルベロス認証応答メッセージとなる。認証失敗の場合、ＴＣＰ／ＵＤＰヘッダに続くケルベロスデータの１３バイト目に置かれるメッセージタイプの欄に「KRB ERROR(10)」と呼ばれるデータ、具体的には１０進数の３０が格納される。つまり、ケルベロスデータの１３バイト目に３０が格納されたＴＣＰ／ＵＤＰパケットが認証失敗のケルベロス認証応答メッセージとなる。

認証サーバ１０３は、ケルベロス認証応答メッセージのＴＣＰ／ＵＤＰパケットを、ユーザ端末１０５を宛先として送信する。

ステップ１４）
スイッチングハブ１０２は、ケルベロス認証応答メッセージのＴＣＰ／ＵＤＰパケットを受信する。ＭＡＣヘッダは、宛先ＭＡＣアドレスがユーザ端末１０５、送信元ＭＡＣアドレスが認証サーバ１０３である。スイッチングハブ１０２は、受信したケルベロス認証応答メッセージのＴＣＰ／ＵＤＰパケットを宛先に従ってユーザ端末１０５に転送する。スイッチングハブ１０２からユーザ端末１０５に送信されるケルベロス認証応答メッセージのパケットは図４（ｂ）のものと同じである。

このとき本発明では、スイッチングハブ１０２は、ケルベロス認証応答メッセージをスヌーピングする。すなわち、スイッチングハブ１０２のパケットフィルタ２３はケルベロス認証応答メッセージをＣＰＵ２４が読み取り可能なバッファに転写する。ＣＰＵ２４は、認証成功、失敗を示す情報が格納される格納場所（ケルベロスデータの１７バイト目と１３バイト目）を参照することにより、認証が成功したかどうかを判断する。

スイッチングハブ１０２のＣＰＵ２４は、認証の可否を端末認証状態管理テーブル３１に記憶する。ＣＰＵ２４は、ケルベロス認証応答メッセージに認証成功を示す情報が格納されていた場合には、ケルベロス認証応答メッセージのＭＡＣヘッダ及びＩＰヘッダから読み取った宛先アドレスと同じアドレスが記憶されている端末認証状態管理テーブル３１の行について、状態の列を「認証中」から「認証済み」に更新する。ケルベロス認証応答メッセージに認証失敗を示す情報が格納されていた場合には、状態の列を更新しないかまたは「認証不可」を書き込む。このようにして、端末認証状態管理テーブル３１にケルベロス認証の可否が登録される。

認証成功であった場合、ＣＰＵ２４はソフトウェア制御により、端末認証状態管理テーブル３１の内容に従い、ユーザ端末１０５のパケットは転送を許可するように、パケットフィルタ２３の通信条件を設定する。これにより、パケットフィルタ２３は、送信元ＭＡＣアドレスがユーザ端末１０５のアドレスであるパケットを廃棄せずに、ネットワーク１０４に転送するようになる。

ここで、本発明と従来技術との比較のため、図７で従来の手順を検討すると、ケルベロス認証に関して行われるパケットのやりとり（ステップ７１）〜ステップ７４））は本発明におけるパケットのやりとり（ステップ１１）〜ステップ１４））と同じである。しかし、本発明のステップ１２，１４で行われるスヌーピングが従来は行われない。このために、従来技術では引き続いて次のステップが必要になる。

ステップ７５）
ユーザ端末７０５にネットワーク接続のための認証手続き用画面が表示される。ユーザがユーザ名とパスワードを入力すると、ユーザ端末７０５からユーザ名とパスワードを格納したＨＴＴＰパケットがスイッチングハブ７０２に送信される。

ステップ７６）
スイッチングハブ７０２は、ユーザ名とパスワードを格納したＨＴＴＰパケットを受信する。スイッチングハブ７０２は、このユーザ名とパスワードを格納した認証要求のラディウスパケットを作成し、ラディウスサーバ７０６に送信する。

ステップ７７）
ラディウスサーバ７０６は、ユーザ名とパスワードを格納した認証要求のラディウスパケットを受信する。ラディウスサーバ７０６は、ユーザ名とパスワードを登録されているデータと参照し、認証の成功、失敗を判定する。ラディウスサーバは、認証結果を格納した認証応答のラディウスパケットを作成し、スイッチングハブ７０２に送信する。

ステップ７８）
スイッチングハブ７０２は、認証結果を格納した認証応答のラディウスパケットを受信する。認証結果の基づきユーザ端末のネットワーク７０４への通信ンの可、不可を設定する。スイッチングハブ７０２は、認証の成功、不成功をユーザへ知らせるＨＴＴＰパケットをユーザ端末７０５に送信する。

図１と図７の比較により、本発明では、ステップ７５）〜ステップ７８）が省略されていることが分かる。

以上説明したように、本発明のネットワークシステム１０１においては、スイッチングハブ１０２がユーザ端末１０５と認証サーバ１０３間のケルベロス認証のパケットをスヌーピングする。スヌーピングによって、認証成功が認識されると、スイッチングハブ１０２はユーザ端末１０５を認証済みとしてネットワーク１０４への通信を許可する。このため、スイッチングハブ１０２における認証手続きが省略されることになる。これにより、ユーザ端末１０５を立ち上げたユーザは迅速にネットワーク１０４にアクセスすることができる。

本発明は、ケルベロス認証やラディウス認証に限らず、どのような複数の認証プロトコルの組み合わせにおいても応用できる。

次に、本発明の変形例を説明する。

図５に示されるネットワークシステム５０１は、本発明に係るスイッチングハブ１０２とラディウスサーバ１０６とがネットワーク１０４に接続されている。スイッチングハブ１０２の適宜なあるポートに、ハブ（ＨＵＢ；リピーターである）１０７が接続されている。ハブ１０７には、無線ＡＰ（アクセスポイント）１０８とユーザ端末１０９が接続されており、無線ＡＰ１０８に対してユーザ端末１０５が無線接続可能に構成されている。

無線ＡＰ１０８は、ＩＥＥＥ（米国電気電子技術者協会）８０２．１Ｘにより規定された認証方式におけるオーセンティケータ機能を有し、ユーザ端末１０５はその認証方式におけるサプリカント機能を有する。オーセンティケータ機能とは、ラディウスサーバ１０６とユーザ端末１０５との間に位置してラディウス認証の仲介処理を行う機能のことである。

ラディウスサーバ１０６にとっては、無線ＡＰ１０８はラディウスクライアントであり、スイッチングハブ１０２もまたラディウスクライアントである。

このように、図５のネットワークシステム５０１は、スイッチングハブ１０２の配下にラディウスクライアントが存在する構成である。

図５のネットワークシステム５０１のように本発明のスイッチングハブ１０２の配下にオーセンティケータ機能を持つ無線ＡＰ１０８が接続されている。無線ＡＰ１０８がラディウスクライアントとなってユーザ端末１０５のラディウス認証を行うとき、スイッチングハブ１０２は、無線ＡＰ１０８とラディウスサーバ１０６間の認証パケット（ラディウス認証要求メッセージ・ラディウス認証応答メッセージ）をスヌーピングし、認証成功を検知したときユーザ端末１０５のネットワーク１０４への通信を許可するようになっている。これにより、スイッチングハブ１０２がラディウスクライアントになって行うラディウス認証を省略することができる。

以下、図５に示した本発明のネットワークシステム５０１におけるスイッチングハブ１０２の動作を説明する。

ステップ５１）
ユーザ端末１０５にネットワーク接続のための認証手続き用画面が表示され、ユーザがユーザ名とパスワードを入力すると、ユーザ端末１０５からラディウス認証を要求するためのＭＡＣフレームからなる認証要求メッセージが無線ＡＰ１０８に送信される。

図６（ａ）に示されるように、ＩＥＥＥ８０２．１Ｘ（以下略）における認証要求メッセージは、ＭＡＣヘッダに続いてＥＡＰ（Extensible Authentication Protocol）データを有する。

ステップ５２）
ラディウスクライアントとなる無線ＡＰ１０８では、ユーザ端末１０５からの認証要求メッセージに基づいてＵＤＰパケットからなる認証要求メッセージを作成する。

図６（ｂ）に示されるように、認証要求メッセージは、ＭＡＣヘッダ、ＩＰヘッダ、ＵＤＰヘッダ、ラディウスデータを有する。ＭＡＣヘッダには、宛先ＭＡＣアドレス、送信元ＭＡＣアドレスなどが含まれ、ＩＰヘッダには、宛先ＩＰアドレス、送信元ＩＰアドレスなどが含まれる。ＵＤＰヘッダには、当該パケットがどの種の認証方式における認証プロトコルのパケットであるかを示す情報が含まれる。ラディウス認証の場合、宛先のＵＤＰポート番号（図示せず）が１８１２番となる。ラディウスデータには、認証要求の情報、認証成功の情報、認証失敗の情報などが含まれる。認証要求メッセージの場合、ラディウスデータの１バイト目に、「Code:Access-Request(1)」と呼ばれるデータ、具体的には１０進数の１が格納される。つまり、ラディウスデータの１バイト目に１が格納されたＵＤＰパケットが認証要求メッセージとなる。

無線ＡＰ１０８は、この認証要求メッセージのＵＤＰパケットをラディウスサーバ１０６宛てに送信する。このＵＤＰパケットは、ハブ１０７で転送されスイッチングハブ１０２に到着する。

スイッチングハブ１０２は、受信した認証要求メッセージのＵＤＰパケットをそのままラディウスサーバ１０６に転送する。

さらに、スイッチングハブ１０２は、無線ＡＰ１０８から受信したＵＤＰパケットをパケットフィルタ２３においてフィルタリングする。ラディウス認証の認証要求メッセージであることを認識し、認証要求メッセージをＣＰＵ２４が読み取り可能なスヌーピングバッファに転写する。

ＣＰＵ２４は、スヌーピングバッファを参照して認証要求メッセージに格納されているユーザ端末１０５のＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮＩＤを取り出すとともに当該認証要求メッセージの受信ポート番号を認識する。ＣＰＵ２４は、メモリ２５内の端末認証状態管理テーブル３１に、ユーザ端末１０５のＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮＩＤ、ポート番号、認証中を登録する。

ステップ５３）
スイッチングハブ１０２により転送された認証要求メッセージのＵＤＰパケットを受信したラディウスサーバ１０６には、ユーザデータ（ユーザ名、パスワード）が登録されたデータベースがある。ラディウスサーバ１０６は、このデータベースを参照して認証を行う。

ラディウスサーバ１０６は、ＵＤＰパケットからなる認証応答メッセージを作成する。図６（ｃ）に示されるように、認証応答メッセージでは、送信元のＵＤＰポート番号（図示せず）が１８１２番となる。認証成功の場合、ＵＤＰヘッダに続くラディウスデータの１バイト目に、「Code:Access-Accept(2)」と呼ばれるデータ、具体的には１０進数の２が格納される。つまり、ラディウスデータの１バイト目に２が格納されたＵＤＰパケットが認証成功の認証応答メッセージとなる。認証失敗の場合、ＵＤＰヘッダに続くラディウスデータの１バイト目に、「Code:Access-Reject(3)」と呼ばれるデータ、具体的には１０進数の３が格納される。つまり、ラディウスデータの１バイト目に２が格納されたＵＤＰパケットが認証失敗の認証応答メッセージとなる。

ラディウスサーバ１０６は、図６（ｃ）の認証応答メッセージのＵＤＰパケットをユーザ端末１０５に宛ててスイッチングハブ１０２に送信する。

スイッチングハブ１０２は、認証応答メッセージのＵＤＰパケットを受信する。ＭＡＣヘッダは、宛先ＭＡＣアドレスが無線ＡＰ１０８、送信元ＭＡＣアドレスがラディウスサーバ１０６である。スイッチングハブ１０２は、受信した認証応答メッセージのＵＤＰパケットを宛先に従って無線ＡＰ１０８に転送する。

このとき本発明では、スイッチングハブ１０２は、認証応答メッセージをスヌーピングする。すなわち、スイッチングハブ１０２は、無線ＡＰ１０８に転送する認証応答メッセージをＣＰＵ２４が読み取り可能なスヌーピングバッファに転写する。ＣＰＵ２４は、認証成功を示す情報が格納される格納場所（ラディウスデータの１バイト目）を参照することにより、認証が成功したかどうかを判断する。

スイッチングハブ１０２のＣＰＵ２４は、認証の可否を端末認証状態管理テーブル３１に記憶する。ＣＰＵ２４は、認証応答メッセージに認証成功を示す情報が格納されていた場合には、認証応答メッセージのＭＡＣヘッダ及びＩＰヘッダから読み取った宛先アドレスと同じアドレスが記憶されている端末認証状態管理テーブル３１の行について、状態の列を「認証中」から「認証済み」に更新する。認証応答メッセージに認証失敗を示す情報が格納されていた場合には、状態の列を更新しないかまたは「認証不可」を書き込む。

このようにして、端末認証状態管理テーブル３１にラディウス認証の可否が登録される。状態の列が「認証済み」に更新された場合、これ以後、スイッチングハブ１０２は、パケットフィルタ２３の通信条件が変更されて、送信元ＭＡＣアドレスがユーザ端末１０５のアドレスであるパケットはネットワーク１０４に転送するようになる。

ステップ５４）
ラディウスサーバ１０６から送信されスイッチングハブ１０２が転送した認証応答メッセージのＵＤＰパケットが無線ＡＰ１０８に到着する。ラディウスクライアントである無線ＡＰ１０８では、認証要求メッセージに基づいてＭＡＣフレームからなる認証応答メッセージを作成する。図６（ｄ）に示されるように、ＭＡＣフレームからなる認証応答メッセージは、図６（ａ）の認証要求メッセージと同じである。

無線ＡＰ１０８は、このＭＡＣフレームからなる認証応答メッセージをユーザ端末１０５に無線送信する。

以上説明したように、本発明のネットワークシステム５０１においては、スイッチングハブ１０２が無線ＡＰ１０８とラディウスサーバ１０６間のラディウス認証のパケットをスヌーピングする。スヌーピングによって、認証成功が認識されると、スイッチングハブ１０２はユーザ端末１０５のネットワーク１０４への通信を許可する。このため、スイッチングハブ１０２がラディウスクライアントになって行うラディウス認証の手順が省略されることになる。

従来技術では、スイッチングハブ１０２が認証パケットをスヌーピングしないので、スイッチングハブ１０２がラディウスクライアントになって行うラディウス認証を省略できない。

本発明は、スイッチングハブ１０２の配下に接続した無線ＡＰ１０８にユーザ端末１０５が接続されている場合に限らず、スイッチングハブ１０２の配下に接続したラディウスクライアントにユーザ端末１０５が接続されている場合に適用される。

なお、スイッチングハブ１０２の配下に接続されているラディウスクライアントを持たないユーザ端末１０９については、スイッチングハブ１０２がラディウスクライアントとなってラディウス認証を行うことができる。

以上説明したように、本発明のネットワークシステム１０１，５０１によれば、冗長な認証処理を省略できユーザはより早くネットワークにアクセスすることができる。すなわち、本発明は認証を効率化して迅速な認証を行うことができる。

このネットワークシステム１０１，５０１には、冗長なサーバを用意する必要がないため、あるいは、冗長なサーバがあってもそれらのサーバに同じ登録作業をする必要がないため、認証サーバの運用管理の負担を軽減でき、認証サーバの運用管理方法の改善に寄与する。

本発明の一実施形態を示すネットワークシステムの構成図である。 本発明の一実施形態を示すスイッチングハブの内部構成図である。 本発明に用いる端末認証状態管理テーブルの構成図である。 （ａ）、（ｂ）は、ケルベロス認証に用いるメッセージの構成図である。 本発明の変形例を示すネットワークシステムの構成図である。 （ａ）〜（ｄ）は、ラディウス認証に用いるメッセージの構成図である。 従来のネットワークシステムの構成図である。

符号の説明

２１ ポート
２２ 転送処理部
２３ パケットフィルタ
２４ ＣＰＵ
２５ メモリ
３１ 端末認証状態管理テーブル
１０１，５０１ ネットワークシステム
１０２ スイッチングハブ
１０３ 認証サーバ
１０４ ネットワーク
１０５ ユーザ端末
１０６ ラディウスサーバ
１０８ 無線アクセスポイント（無線ＡＰ）

Claims (3)

1. 複数のポートを有し、前記複数のポート間でパケットを転送するネットワーク機器であって、
   端末からのパケットの転送を可とする認証を行う認証手段を備え、
   前記認証手段は、端末と認証サーバがネットワーク機器を介して所定の認証方式による認証手続きの通信を行うとき、上記認証サーバからの上記端末宛の認証応答のパケットを上記端末へ転送するとともに、上記認証応答のパケットの内容を参照し、認証成功の情報を読み取ったとき、上記端末を認証済みとすることを特徴とするネットワーク機器。
2. 上記認証手段は、
   受信したパケットの内容を参照し、認証済みの端末からのパケットは転送を可とし、所定の認証方式における認証要求のパケットと認証応答のパケットは転送を可とする通信条件に設定されたパケットフィルタと、
   認証応答のパケットの内容を参照し、認証成功の情報を読み取ったとき、上記パケットフィルタの通信条件を上記端末からのパケットは転送を可と設定する処理装置とからなる請求項１記載のネットワーク機器。
3. 端末の認証を行う認証機能を備えたネットワーク機器と、
   上記ネットワーク機器に接続された端末と、
   上記端末と上記ネットワーク機器を介して接続され、所定の認証方式により上記端末との間で認証を行う認証サーバとから構成され、
   上記端末は上記認証サーバ宛の認証要求のパケットを送信し、
   上記ネットワーク機器は受信した上記認証要求のパケットを上記認証サーバへ転送し、 上記認証サーバは、上記ユーザ端末宛の認証応答のパケットを送信し、
   上記ネットワーク機器は受信した上記認証応答のパケットを上記端末へ転送するとともに、上記認証応答のパケットの内容を参照し、認証成功の情報を読み取ったとき上記端末を認証済みとすることを特徴とするネットワークシステム。

Images