JP2010187314A

JP2010187314A - 認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法

Info

Publication number: JP2010187314A
Application number: JP2009031468A
Authority: JP
Inventors: Taketo Kamikawa; 武人上川
Original assignee: Hitachi Cable Ltd
Current assignee: Hitachi Cable Ltd
Priority date: 2009-02-13
Filing date: 2009-02-13
Publication date: 2010-08-26

Abstract

【課題】Ｌ３機器を介して接続された未認証の端末の通信が許可されることを防止する認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法を提供する。
【解決手段】認証の対象となる端末のアドレスが登録される認証対象管理テーブル１１１と、該認証対象管理テーブル１１１にアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備える。
【選択図】図１

Description

本発明は、Ｌ３機器を介して接続された未認証の端末の通信が許可されることを防止する認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法に関する。

不正なユーザや端末がネットワークへアクセスするのを防止するために、スイッチングハブ等のＬ（Layer；レイヤー）２に属するネットワーク中継機器（Ｌ２機器）に端末の認証機能を設ける方法がある。この認証機能付きネットワーク中継機器をネットワークと端末との間に配置する構成とする。認証機能付きネットワーク中継機器は、新たに接続されたユーザや端末の認証を行い、認証に成功したユーザや端末のみネットワークへの通信を許可する。

図９に、認証機能付きスイッチングハブ（以下、認証ＳＷ）を用いたシステム構成を示す。端末９０１は、認証ＳＷ９０２を介してネットワーク９０３に接続するようになっている。認証ＳＷ９０２は、認証に成功した端末からのパケットはネットワーク９０３に中継し、認証に成功していない端末からのパケットは中継せずに廃棄する。

認証ＳＷ９０２は、以下のように認証処理を行う。

あるユーザが端末９０１を立ち上げて新たにネットワーク９０３に接続しようとしたとする。

（１）端末９０１は、ＩＰアドレスを取得するためにＤＨＣＰ（Dynamic Host Configration Protocol）により、ネットワーク９０３に存在するＤＨＣＰサーバ９０４とＤＨＣＰのパケットのやりとりを行う。認証ＳＷ９０２は、ＤＨＣＰのパケットの中継を許可するように設定されており、端末９０１とＤＨＣＰサーバ９０４との間でやりとりされるＤＨＣＰのパケットを中継する。端末９０１は、ＤＨＣＰサーバ９０４から割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。

（２）ユーザは、ネットワーク９０３にアクセスするために、ブラウザを立ち上げる。端末９０１は、これに伴い、所定のサーバ（図示せず）に宛ててＨＴＴＰパケットを送信する。認証ＳＷ９０２は、このＨＴＴＰパケットを受信し、そのＨＴＴＰパケットの内容を参照する。認証ＳＷ９０２は、このＨＴＴＰパケットが（その送信元ＭＡＣアドレスが認証成功として登録されたものでないことから、）未認証の端末からのものであることを判定する。認証ＳＷ９０２は、ユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより端末９０１に送信する。ユーザは、端末９０１に表示された認証ＷＥＢ画面にユーザ名とパスワードを入力し、端末９０１は入力されたユーザ名とパスワードをパケットにより認証ＳＷ９０２に送信する。

（３）認証ＳＷ９０２は、ユーザ名とパスワードをパケットによりＲＡＤＩＵＳ（Remote Authentication Dial in User Service）サーバ９０５に送信する。ＲＡＤＩＵＳサーバ９０５は、正当なユーザがユーザ名とパスワードで登録されたデータベースを有し、受信したパケットのユーザ名とパスワードをデータベースに照会する。ユーザが正当なユーザであるとすると、ＲＡＤＩＵＳサーバ９０５は、認証成功の返信のパケットを認証ＳＷ９０２に送信する。認証ＳＷ９０２は、認証成功の返信のパケットを受信したことにより、端末９０１を認証成功とし、端末９０１のＭＡＣアドレスを登録し、端末９０１のＭＡＣアドレスを有するパケットはネットワーク９０３への中継を許可する。

（４）以後、端末９０１は、認証ＳＷ９０２を介してネットワーク９０３への通信が可能となる。

特開２００５−２８６５５８号公報特開２００５−２５２７１７号公報

図１０に示されるように、認証ＳＷ９０２の配下にルータ等のＬ３機器９０６が接続されており、Ｌ３機器９０６に端末９０１と端末９０７が接続されたネットワーク構成を考える。

端末９０１は、ネットワーク９０３へアクセスしようとするとき、認証ＳＷ９０２との間で前述した認証の通信を行う。Ｌ３機器９０６は、端末９０１からのパケットを受信したとき、そのパケットのＭＡＣアドレスを自分のＭＡＣアドレスに置き換えて中継する。端末９０１が認証ＳＷ９０２との認証に成功したとき、端末９０１からのパケットはそのＭＡＣアドレスがＬ３機器９０６のＭＡＣアドレスに置き換えられて送信されてくるので、認証ＳＷ９０２にはＬ３機器９０６のＭＡＣアドレスが認証成功として登録される。

次に、端末９０７がＬ３機器９０６に接続されたとする。このとき、端末９０７が送信したパケットは、Ｌ３機器９０６においてＭＡＣアドレスがＬ３機器９０６のＭＡＣアドレスに置き換えられて認証ＳＷ９０２に中継される。Ｌ３機器９０６のＭＡＣアドレスは認証成功として登録されているので、未認証であるはずの端末９０７からのパケットは認証済みとしてネットワーク９０３へ中継されてしまう。

このように、認証ＳＷ９０２に対して複数の端末がＬ３機器９０６を介して接続されているシステム構成においては、未認証の端末の通信が許可されてしまうことがある。

そこで、本発明の目的は、上記課題を解決し、Ｌ３機器を介して接続された未認証の端末の通信が許可されることを防止する認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法を提供することにある。

上記目的を達成するために本発明の認証機能付きネットワーク中継機器は、認証の対象となる端末のアドレスが登録される認証対象管理テーブルと、該認証対象管理テーブルにアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備えるものである。

データ領域にパケットを送信した端末のアドレスを格納しているパケットの上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブルに登録する認証対象登録手段を備えてもよい。

上記認証処理実行手段は、端末からのネットワークへのアクセス要求のパケットのヘッダ領域に格納されている送信元アドレスが上記認証対象管理テーブルに登録されている場合に、上記アクセス要求をしてきた端末の認証処理を実行してもよい。

また、本発明の端末の認証方法は、認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行するものである。

上記認証機能付きネットワーク中継機器は、データ領域にパケットを送信した端末のアドレスを格納しているパケットの該データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを認証の対象となる端末のアドレスとして登録しておいてもよい。

上記認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、そのパケットのヘッダ領域に格納されている送信元アドレスが登録されている認証の対象となる端末のアドレスかどうか判定し、認証の対象となる端末のアドレスであれば認証処理を実行し、認証の対象となる端末のアドレスでなければ認証処理を実行しなくてもよい。

本発明は次の如き優れた効果を発揮する。

（１）Ｌ３機器を介して接続された未認証の端末の通信が許可されることが防止できる。

本発明の一実施形態を示す認証機能付きネットワーク中継機器の内部構成図である。本発明に用いるＤＨＣＰパケットの構成図である。認証管理テーブルの構成図である。認証対象管理テーブルの構成図である。本発明の認証機能付きネットワーク中継機器を使用したシステムの構成図である。認証対象管理テーブルの構成図である。認証管理テーブルの構成図である。認証管理テーブルの構成図である。従来の認証機能付きネットワーク中継機器を使用したシステムの構成図である。従来の認証機能付きネットワーク中継機器を使用したシステムの構成図である。

以下、本発明の一実施形態を添付図面に基づいて詳述する。

本発明の端末の認証方法は、従来より知られている認証機能付きネットワーク中継機器による端末の認証方法に加えて、該認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行するようにしたものである。

具体的には、認証機能付きネットワーク中継機器は、認証の対象となる端末のアドレスが登録される認証対象管理テーブルを備え、受信されたパケットがＤＨＣＰＤｉｓｃｏｖｅｒ、ＤＨＣＰＲｅｑｕｅｓｔのようにデータ領域に当該パケットを送信した端末のアドレスを格納しているパケットであるとき、このパケットを参照し、データ領域、例えば、ＤＨＣＰメッセージのクライアントハードアドレスに格納されているＭＡＣアドレスと、ヘッダ領域に格納されている送信元ＭＡＣアドレスとを比較し、これら両ＭＡＣアドレスが一致するときにそのＭＡＣアドレスを認証の対象となる端末のアドレスとして認証対象管理テーブルに登録する。

さらに、認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、端末からネットワークへのアクセス要求があったと判定し、そのパケットのヘッダ領域に格納されている送信元ＭＡＣアドレスで認証対象管理テーブルを照会することにより、その送信元ＭＡＣアドレスが認証の対象となる端末のＭＡＣアドレスかどうか判定し、認証対象管理テーブルに登録されていれば、認証の対象となる端末のＭＡＣアドレスであるので、認証処理を続行し、認証対象管理テーブルに登録されていなければ、認証処理を止め、認証失敗とする。

図１に示されるように、本発明に係る認証機能付きネットワーク中継機器（以下、認証ＳＷ）１０１は、パケットを送受信する送受信部１０２と、パケットのポート間の転送を制御する転送制御部１０３と、転送制御部１０３を制御する中央制御部１０４とを備える。

送受信部１０２は、複数のポート１０５を備える。ポート１０５には、ケーブルなどの伝送路１０６が接続される。送受信部１０２は、ポート１０５で受信したパケットを転送制御部１０３に送ると共に、転送制御部１０３から送られてきたパケットを所定のポート１０５から送信するようになっている。

転送制御部１０３は、パケット解析部１０７とＦＤＢ（Forwarding Data Base）１０８とフィルタリングテーブル１０９とを備える。パケット解析部１０７は、送受信部１０２から送られてきたパケットの内容を解析し、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、パケットの種類などを調べるようになっている。ＦＤＢ１０８は、ポートとＭＡＣアドレス、ＶＬＡＮとの対応を記憶するテーブルである。ＦＤＢ１０８には、パケットが受信されたとき、受信されたポート１０５と送信元ＭＡＣアドレス、ＶＬＡＮとの対応が記憶される。また、受信したパケットの宛先ＭＡＣアドレスによりＦＤＢ１０８が検索され、そのパケットの転送先のポートが決められる。フィルタリングテーブル１０９には、パケットのフィルタリング内容が設定されている。フィルタリング内容は、特定のパケットを転送不可としたり、特定のパケットを中央制御部１０４へ送ったりするものである。

この実施形態では、フィルタリングテーブル１０９には、認証に成功したＭＡＣアドレスが記憶され、記憶されたＭＡＣアドレスのパケットのみ転送を許可するように設定されると共に、ＤＨＣＰパケットは転送が許可され、ＤＨＣＰＤｉｓｃｏｖｅｒまたはＤＨＣＰＲｅｑｕｅｓｔは中央制御部１０４へ送るように設定される。

これにより、転送制御部１０３は、受信したパケットをパケット解析部１０７が解析し、フィルタリングテーブル１０９に記憶されているＭＡＣアドレスのパケットは転送を許可し、ＦＤＢ１０８を参照して所定のポート１０５に転送する。また、転送制御部１０３は、ＤＨＣＰパケットは転送を許可し、ＤＨＣＰＤｉｓｃｏｖｅｒまたはＤＨＣＰＲｅｑｕｅｓｔは中央制御部１０４へ送る。

図２に示されるように、ＤＨＣＰＤｉｓｃｏｖｅｒ、ＤＨＣＰＲｅｑｕｅｓｔなどのＤＨＣＰパケットは、ヘッダ領域として、イーサネット（登録商標）ヘッダ領域、ＩＰヘッダ領域、ＵＤＰヘッダ領域を有する。イーサネットヘッダ領域は、宛先ＭＡＣアドレスの領域と送信元ＭＡＣアドレスの領域とを含んでいる。データ領域には、ＤＨＣＰメッセージを格納するが、そのＤＨＣＰメッセージにはクライアントハードアドレスの領域が含まれる。クライアントハードアドレスの領域には、当該パケットを送信した端末のＭＡＣアドレスが格納される。図２中、各領域の数値はバイト長である。

図１に示されるように、本発明に係る認証ＳＷ１０１の中央制御部１０４は、ソフトウェアが格納され、そのソフトウェアを実行することで、各種のプロトコル動作を行うよう転送制御部１０３を制御するようになっている。中央制御部１０４は、認証管理テーブル１１０と、認証対象管理テーブル１１１とを備える。中央制御部１０４は、認証対象管理テーブル１１１にアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段１１２と、受信されたパケットがデータ領域にこのパケットを送信した端末のアドレスを格納しているパケットであるとき、上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブル１１１に登録する認証対象登録手段１１３とを備える。これらの手段は、中央制御部１０４にソフトウェアとして格納され、そのソフトウェアが実行されることで実現される。

図３に示されるように、認証管理テーブル１１０は、認証ＳＷ１０１に接続された端末のＭＡＣアドレスとその認証状態が記憶されるテーブルである。

図４に示されるように、認証対象管理テーブル１１１は、認証の対象となる端末のＭＡＣアドレスを記憶するテーブルである。

これにより、中央制御部１０４は、転送制御部１０３から送られてきたＤＨＣＰＤｉｓｃｏｖｅｒまたはＤＨＣＰＲｅｑｕｅｓｔを参照し、ヘッダ領域の送信元ＭＡＣアドレスとＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較し、一致する場合にそのＭＡＣアドレスを認証対象管理テーブル１１１に登録する。また、中央制御部１０４は、未認証の端末について背景技術で述べた手順で認証処理を行う際、端末からのパケットのＭＡＣアドレスが認証対象管理テーブル１１１に登録されているときは認証処理を続け、端末からのパケットのＭＡＣアドレスが認証対象管理テーブル１１１に登録されていないときは認証処理を止めて認証失敗とする。

さらに、中央制御部１０４は、上記ＭＡＣアドレスが認証対象管理テーブル１１１に登録されているとき、当該端末にユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより送信するよう動作し、背景技術で述べた認証処理を続ける。中央制御部１０４は、認証に成功したとき、認証管理テーブル１１０に端末のＭＡＣアドレスを登録する。中央制御部１０４は、認証に成功した端末のＭＡＣアドレスを転送制御部１０３のフィルタリングテーブル１０９に登録することにより、フィルタリングテーブル１０９にて転送が許可されるように設定する。

図５に、本発明の認証ＳＷ１０１を使用したシステムを示す。認証ＳＷ１０１の配下にルータ等のＬ３機器５０１が接続されており、Ｌ３機器５０１に端末５０２，５０３が接続されている。端末５０４は直接、認証ＳＷ１０１に接続されている。端末５０２，５０３，５０4は、認証ＳＷ１０１を介してネットワーク５０５と通信する。ネットワーク５０５には、ＤＨＣＰサーバ５０６とＲＡＤＩＵＳサーバ５０７が配置されている。

以下、図５のシステムにおける本発明の認証ＳＷ１０１を用いた端末の認証方法を説明する。なお、ＤＨＣＰは公知であるので、詳しい動作の説明は省略する。また、Ｌ３機器５０１は、端末とＤＨＣＰサーバ間のＤＨＣＰのパケットをリレーするＤＨＣＰリレーの機能を備えるものとする。また、ここでは、認証ＳＷ１０１は、端末からのパケットのＤＨＣＰＤｉｓｃｏｖｅｒを参照して認証対象を管理するが、ＤＨＣＰＲｅｑｕｅｓｔを参照して認証対象を管理する場合でも、類似の手順となる。

まず、端末５０２に対する認証処理は次のようになる。

あるユーザが端末５０２を立ち上げて、または、端末５０２をＬ３機器５０１に接続して、新たにネットワーク５０５に接続しようとしたとする。

端末５０２は、ＩＰアドレスを取得するために、ブロードキャストにてＤＨＣＰＤｉｓｃｏｖｅｒを送信する。この際、ＤＨＣＰＤｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０２のＭＡＣアドレスを格納する。

Ｌ３機器５０１は、端末５０２からのＤＨＣＰＤｉｓｃｏｖｅｒを認証ＳＷ１０１へ中継する。この際、Ｌ３機器５０１は、ＤＨＣＰＤｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスをＬ３機器５０１のＭＡＣアドレスに書き換える。

認証ＳＷ１０１は、ＤＨＣＰＤｉｓｃｏｖｅｒを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰＤｉｓｃｏｖｅｒをネットワーク５０５へ中継する。また、フィルタリングテーブル１０９には、ＤＨＣＰＤｉｓｃｏｖｅｒを中央制御部１０４に送るよう設定されているので、転送制御部１０３はＤＨＣＰＤｉｓｃｏｖｅｒを中央制御部１０４に送る。

中央制御部１０４は、ＤＨＣＰＤｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域に格納されたＭＡＣアドレスと、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較する。送信元ＭＡＣアドレスはＬ３機器５０１のＭＡＣアドレスであり、クライアントハードアドレスは端末５０２のＭＡＣアドレスであるから、これらは一致しない。よって、中央制御部１０４は、ＭＡＣアドレスを認証対象管理テーブル１１１に登録しない。

ＤＨＣＰサーバ５０６は、ＤＨＣＰＤｉｓｃｏｖｅｒを受信すると、ＤＨＣＰＯｆｆｅｒを送信する。ＤＨＣＰＯｆｆｅｒには、割り当て可能なＩＰアドレスが格納される。

認証ＳＷ１０１は、ＤＨＣＰＯｆｆｅｒをＬ３機器５０１へ中継する。

Ｌ３機器５０１は、ＤＨＣＰＯｆｆｅｒを端末５０２へ中継する。

端末５０２は、ＤＨＣＰＯｆｆｅｒを受信すると、ＤＨＣＰＲｅｑｕｅｓｔを送信する。この際、端末５０２は、ＤＨＣＰＲｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレス領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０２のＭＡＣアドレスを格納する。

Ｌ３機器５０１は、端末５０２からのＤＨＣＰＲｅｑｕｅｓｔを認証ＳＷ１０１へ中継する。この際、Ｌ３機器５０１は、ＤＨＣＰＲｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレスをＬ３機器５０１のＭＡＣアドレスに書き換える。

認証ＳＷ１０１は、ＤＨＣＰＲｅｑｕｅｓｔを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰＲｅｑｕｅｓｔをネットワーク５０５へ中継する。

ＤＨＣＰサーバ５０６は、ＤＨＣＰＲｅｑｕｅｓｔを受信すると、端末５０２宛てにＤＨＣＰＡＣＫを送信する。

認証ＳＷ１０１は、ＤＨＣＰＡＣＫをＬ３機器５０１へ中継する。

Ｌ３機器５０１は、ＤＨＣＰＡＣＫを端末５０２へ中継する。

端末５０２は、ＤＨＣＰＡＣＫを受信すると、割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。

ユーザは、ネットワーク５０５にアクセスするために、ブラウザを立ち上げる。端末５０２は、これに伴い、所定のサーバに宛ててＨＴＴＰパケットを送信する。ＨＴＴＰパケットの送信元ＭＡＣアドレスには、端末５０２のＭＡＣアドレスが格納される。

Ｌ３機器５０１は、ＨＴＴＰパケットを認証ＳＷ１０１へ転送する。この際、ＨＴＴＰパケットの送信元ＭＡＣアドレスは、Ｌ３機器５０１のＭＡＣアドレスに書き換えられる。

認証ＳＷ１０１は、ＨＴＴＰパケットを受信し、転送制御部１０３においてそのＨＴＴＰパケットの内容を参照する。転送制御部１０３は、ＨＴＴＰパケットの送信元ＭＡＣアドレスがフィルタリングテーブル１０９に設定されていないことから、このＨＴＴＰパケットが未認証の端末からのパケットであることを判定し、このＨＴＴＰパケットを中央制御部１０４に転送する。

中央制御部１０４は、ＨＴＴＰパケットの送信元ＭＡＣアドレスを認証対象管理テーブル１１１と照会する。Ｌ３機器５０１のＭＡＣアドレスは認証対象管理テーブル１１１に登録されていないので、認証失敗と判定する。中央制御部１０４は、認証失敗を端末５０２に対してパケットにより通知する。

端末５０２のユーザは、認証ＳＷ１０１において認証失敗となり、ネットワーク５０５との通信は不可となる。

端末５０３に対する認証処理は、端末５０２に対する認証処理と同じになる。

端末５０４に対する認証処理は、次のようになる。

あるユーザが端末５０４を立ち上げて、または、端末５０４を認証ＳＷ１０１に接続して、新たにネットワーク５０５に接続しようとしたとする。

端末５０２は、ＩＰアドレスを取得するために、ブロードキャストにてＤＨＣＰＤｉｓｃｏｖｅｒを送信する。この際、ＤＨＣＰＤｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０４のＭＡＣアドレスを格納する。

認証ＳＷ１０１は、ＤＨＣＰＤｉｓｃｏｖｅｒを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰＤｉｓｃｏｖｅｒをネットワーク５０５へ中継する。また、フィルタリングテーブル１０９には、ＤＨＣＰＤｉｓｃｏｖｅｒを中央制御部１０４に転送するよう設定されているので、転送制御部１０３はＤＨＣＰＤｉｓｃｏｖｅｒを中央制御部１０４に送る。

中央制御部１０４は、ＤＨＣＰＤｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域に格納されたＭＡＣアドレスと、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較する。送信元ＭＡＣアドレスもクライアントハードアドレスも共に端末５０４のＭＡＣアドレスであるから、これらは一致する。よって、中央制御部１０４は、この端末５０４のＭＡＣアドレスを認証対象管理テーブル１１１に登録する。この結果、認証対象管理テーブル１１１の内容は、図６のようになる。

ＤＨＣＰサーバ５０６は、ＤＨＣＰＤｉｓｃｏｖｅｒを受信すると、ブロードキャストにてＤＨＣＰＯｆｆｅｒを送信する。ＤＨＣＰＯｆｆｅｒには、割り当て可能なＩＰアドレスが格納される。

認証ＳＷ１０１は、ＤＨＣＰＯｆｆｅｒを端末５０４へ中継する。

端末５０４は、ＤＨＣＰＯｆｆｅｒを受信すると、ＤＨＣＰＲｅｑｕｅｓｔを送信する。この際、端末５０４は、ＤＨＣＰＲｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレス領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０４のＭＡＣアドレスを格納する。

ＤＨＣＰサーバ５０６は、ＤＨＣＰＲｅｑｕｅｓｔを受信すると、端末５０４宛てにＤＨＣＰＡＣＫを送信する。

認証ＳＷ１０１は、ＤＨＣＰＡＣＫを端末５０４へ中継する。

端末５０４は、ＤＨＣＰＡＣＫを受信すると、割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。

ユーザは、ネットワーク５０５にアクセスするために、ブラウザを立ち上げる。端末５０４は、これに伴い、所定のサーバに宛ててＨＴＴＰパケットを送信する。ＨＴＴＰパケットの送信元ＭＡＣアドレスには、端末５０４のＭＡＣアドレスが格納される。

中央制御部１０４は、ＨＴＴＰパケットの送信元ＭＡＣアドレスを認証対象管理テーブル１１１と照会する。端末５０４のＭＡＣアドレスは認証対象管理テーブル１１１に登録されているので、認証処理は続行される。中央制御部１０４は、端末５０４に対してユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより送信する。また、中央制御部１０４は、認証管理テーブル１１０に端末５０４のＭＡＣアドレスを登録する。この結果、認証管理テーブル１１０の内容は、図７のようになる。

ユーザは、端末５０４に表示された認証ＷＥＢ画面にユーザ名とパスワードを入力し、端末５０４は入力されたユーザ名とパスワードをパケットにより認証ＳＷ１０１へ送信する。

認証ＳＷ１０１は、端末５０４からのユーザ名とパスワードが格納されたパケットを受信し、このユーザ名とパスワードが格納されたパケットをＲＡＤＩＵＳサーバ５０７へ送信する。

ＲＡＤＩＵＳサーバ５０７は、正当なユーザが登録されたデータベースを有し、受信したパケット中のユーザ名とパスワードをデータベースに照会する。端末５０４のユーザが正当なユーザであるとすると、ＲＡＤＩＵＳサーバ５０７は、認証成功の返信のパケットを認証ＳＷ１０１へ送信する。

認証ＳＷ１０１は、認証成功の返信のパケットを受信し、中央制御部１０４は、端末５０４を認証成功として認証管理テーブル１１０に端末５０４のＭＡＣアドレスを登録する。この結果、認証管理テーブル１１０の内容は、図８のようになる。また、中央制御部１０４は、転送制御部１０３のフィルタリングテーブル１０９に端末５０４のＭＡＣアドレスを設定し、これにより、端末５０４のＭＡＣアドレスを有するパケットはネットワーク５０５への中継が許可されるようになる。中央制御部１０４は、端末５０４へ認証成功を通知するパケットを送信する。

端末５０４のユーザは、認証ＳＷ１０１において認証成功となり、以後、ネットワーク５０５との通信が可能となる。

以上説明したように、本発明の端末の認証方法によれば、Ｌ３機器５０１を介して認証ＳＷ１０１に接続されている端末５０２，５０３は、認証ＳＷ１０１において認証処理が実行されることなく、認証失敗となる。一方、認証ＳＷ１０１に直接接続されている端末５０４は、認証ＳＷ１０１においてＷＥＢ認証の認証処理が実行される。

これにより、Ｌ３機器５０１を介して認証ＳＷ１０１に接続されている端末は、全て認証失敗となり、認証ＳＷ１０１に直接接続されている端末は、認証処理により正当なユーザのみ認証成功となる。

１０１認証機能付きネットワーク中継機器（認証ＳＷ）
１０２送受信部
１０３転送制御部
１０４中央制御部
１０５ポート
１０６伝送路
１０７パケット解析部
１０８ＦＤＢ
１０９フィルタリングテーブル
１１０認証管理テーブル
１１１認証対象管理テーブル

Claims

認証の対象となる端末のアドレスが登録される認証対象管理テーブルと、
該認証対象管理テーブルにアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備えることを特徴とする認証機能付きネットワーク中継機器。
データ領域にパケットを送信した端末のアドレスを格納しているパケットの上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブルに登録する認証対象登録手段とを備えたことを特徴とする請求項１記載の認証機能付きネットワーク中継機器。
上記認証処理実行手段は、端末からのネットワークへのアクセス要求のパケットのヘッダ領域に格納されている送信元アドレスが上記認証対象管理テーブルに登録されている場合に、上記アクセス要求をしてきた端末の認証処理を実行することを特徴とする請求項１又は２記載の認証機能付きネットワーク中継機器。
認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、
該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行することを特徴とする端末の認証方法。
上記認証機能付きネットワーク中継機器は、データ領域にパケットを送信した端末のアドレスを格納しているパケットの該データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを認証の対象となる端末のアドレスとして登録しておくことを特徴とする請求項４記載の端末の認証方法。
上記認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、そのパケットのヘッダ領域に格納されている送信元アドレスが登録されている認証の対象となる端末のアドレスかどうか判定し、認証の対象となる端末のアドレスであれば認証処理を実行し、認証の対象となる端末のアドレスでなければ認証処理を実行しないことを特徴とする請求項４又は５記載の端末の認証方法。