JP2010283607A

JP2010283607A - ネットワーク管理方法、ネットワーク管理プログラム、ネットワークシステム及び中継機器

Info

Publication number: JP2010283607A
Application number: JP2009135338A
Authority: JP
Inventors: Takayuki Sato; 貴之佐藤
Original assignee: Allied Telesis Holdings KK
Current assignee: Allied Telesis Holdings KK
Priority date: 2009-06-04
Filing date: 2009-06-04
Publication date: 2010-12-16
Anticipated expiration: 2029-06-04
Also published as: JP5334693B2; US20100313242A1

Abstract

【課題】簡易でかつセキュリティの高いＭＡＣアドレスベースＶＬＡＮを形成することである。
【解決手段】ネットワーク管理方法は、ネットワーク管理装置１００が、ネットワーク機器１００を認証するための認証アカウントを予め格納するステップと、中継機器２００が、ネットワーク機器１００においてユーザにユーザアカウントの入力を促すよう指示するステップと、中継機器２００が、ネットワーク機器３００から、ユーザアカウント及びネットワーク機器３００の機器識別情報を取得するステップと、中継機器２００が、ネットワーク管理装置１００に、ユーザアカウント及び機器識別情報を送信するステップと、ネットワーク管理装置１００が、認証アカウント及びユーザアカウントに基づいて、ネットワーク機器３００の認証を行う第１の認証ステップと、第１の認証ステップにおいて、ネットワーク機器３００が認証された場合に、ネットワーク管理装置１００が、機器識別情報を認証機器識別情報として格納するステップとを含む。
【選択図】図４

Description

本発明はネットワーク管理方法、ネットワーク管理プログラム、ネットワークシステム及び中継機器に関する。特に本発明は、簡易でかつセキュリティの高いＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスベースＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）を形成することができる、ネットワーク管理方法、ネットワーク管理プログラム、ネットワークシステム及び中継機器に関する。

従来において、ＭＡＣアドレスベースＶＬＡＮを構築するネットワーク管理装置又は中継機器は、ＭＡＣアドレスとＶＬＡＮグループとが対応づけられて格納されるデータベースを有し、ネットワーク機器から受信した受信パケット内の送信元ＭＡＣアドレスに基づいてネットワーク機器のＶＬＡＮグループを認識し、ネットワーク機器のＶＬＡＮグループを設定するシステムが知られている。このようなシステムを開示するものとしては、例えば特許第３７８４２６９号公報がある。

特許第３７８４２６９号公報

ここで、このようなシステムを管理又は使用する者にとっては、可能な限り人為的処理を発生させずに、かつ、外部からの不正なアクセスを防止した高いセキュリティを実現することが重要である。

そこで本発明は、上記の課題を解決することのできるネットワーク管理方法、ネットワーク管理プログラム、ネットワークシステム及び中継機器を提供することを目的とする。この目的は特許請求の範囲における独立項に記載の特徴の組み合わせにより達成される。また従属項は本発明の更なる有利な具体例を規定する。

本発明の一態様に係るネットワーク管理方法は、ネットワーク機器と、当該ネットワーク機器を管理するネットワーク管理装置と、前記ネットワーク機器と前記ネットワーク管理装置とを接続する中継機器とを備えるコンピュータネットワークにおけるネットワーク管理方法であって、前記ネットワーク管理装置が、前記ネットワーク機器を認証するための認証アカウントを予め格納するステップと、前記中継機器が、前記ネットワーク機器においてユーザにユーザアカウントの入力を促すよう指示するステップと、前記中継機器が、前記ネットワーク機器から、前記ユーザアカウント及び当該ネットワーク機器の機器識別情報を取得するステップと、前記中継機器が、前記ネットワーク管理装置に、前記ユーザアカウント及び前記機器識別情報を送信するステップと、前記ネットワーク管理装置が、前記認証アカウント及び前記ユーザアカウントに基づいて、前記ネットワーク機器の認証を行う第１の認証ステップと、前記第１の認証ステップにおいて、前記ネットワーク機器が認証された場合に、前記ネットワーク管理装置が、前記機器識別情報を認証機器識別情報として格納するステップとを含む。

かかる態様によれば、ネットワーク機器が認証アカウント及びユーザアカウントに基づいて認証されることを条件として、ネットワーク管理装置が機器識別情報を格納するので、ネットワーク機器の機器識別情報を予め登録する手間が省けるだけでなく、機器識別情報を格納するまでの間において、許可していない不正な進入を防止することができる。したがって、簡易でかつセキュリティの高いネットワーク管理方法を提供することができる。

上記方法において、前記機器識別情報を格納するステップの後に、前記中継機器が、前記ネットワーク機器から当該ネットワーク機器の機器識別情報である被認証機器識別情報を取得するステップと、前記中継機器が、前記ネットワーク管理装置に、前記被認証機器識別情報を送信するステップと、前記ネットワーク管理装置が、前記認証機器識別情報及び前記被認証機器識別情報に基づいて、前記ネットワーク機器の認証を行う第２の認証ステップとをさらに含んでもよい。

上記方法において、前記被認証機器識別情報を取得するステップの前に、前記ネットワーク機器が前記中継機器に、前記ネットワーク管理装置において前記第２の認証ステップを行うよう要求するステップをさらに含んでもよい。

上記方法において、前記認証アカウントを予め格納するステップは、前記認証アカウントを所定のＶＬＡＮグループに対応づけて格納することを含み、前記第２の認証ステップの後に、前記第２の認証ステップにおいて、前記ネットワーク機器が認証された場合に、前記ネットワーク管理装置が、前記ネットワーク機器に当該ネットワーク機器に対応するＶＬＡＮグループを設定するステップをさらに含んでもよい。

上記方法において、前記中継機器がユーザに指示するステップは、前記ネットワーク機器が前記中継機器に、前記ネットワーク管理装置において前記第１の認証ステップを行うよう要求した場合に行われてもよい。

上記方法において、前記認証アカウントは、複数のユーザにおいて共有されるアカウントであってもよい。

上記方法において、前記機器識別情報は、前記ネットワーク機器のＭＡＣアドレスであってもよい。

本発明の一態様に係るネットワーク管理プログラムは、いずれかの上記ネットワーク管理方法をコンピュータに実行させるものである。

本発明の一態様に係るネットワークシステムは、ネットワーク機器と、当該ネットワーク機器を管理するネットワーク管理装置と、前記ネットワーク機器と前記ネットワーク管理装置とを接続する中継機器とを備え、前記中継機器は、前記ネットワーク機器においてユーザにユーザアカウントの入力を促すよう指示する指示部と、前記ネットワーク機器から、前記ユーザアカウント及び当該ネットワーク機器の機器識別情報を取得する取得部と、前記中継機器が、前記ネットワーク管理装置に、前記ユーザアカウント及び前記機器識別情報を送信する送信部とを備え、前記ネットワーク管理装置は、前記ネットワーク機器を認証するための認証アカウントを予め格納する認証アカウント記憶部と、前記認証アカウント及び前記ユーザアカウントに基づいて、前記ネットワーク機器の認証を行う第１の認証実行部と、前記第１の認証実行部において、前記ネットワーク機器が認証された場合に、前記ネットワーク管理装置が、前記機器識別情報を認証機器識別情報として格納する認証機器識別情報記憶部とを備える。

かかる態様によれば、ネットワーク機器が認証アカウント及びユーザアカウントに基づいて認証されることを条件として、ネットワーク管理装置が機器識別情報を格納するので、ネットワーク機器の機器識別情報を予め登録する手間が省けるだけでなく、機器識別情報を格納するまでの間において、許可していない不正な進入を防止することができる。したがって、簡易でかつセキュリティの高いネットワークシステムを提供することができる。

上記システムにおいて、前記中継機器の前記取得部は、前記ネットワーク機器から当該ネットワーク機器の機器識別情報である被認証機器識別情報を取得し、前記ネットワーク管理装置は、前記認証機器識別情報及び前記被認証機器識別情報に基づいて、前記ネットワーク機器の認証を行う第２の認証実行部とをさらに備えてもよい。

本発明の一態様に係る中継機器は、ネットワーク機器と当該ネットワーク機器を管理するネットワーク管理装置とを接続する中継機器であって、前記ネットワーク機器を認証するための認証アカウントを予め格納する認証アカウント記憶部と、前記ネットワーク機器においてユーザにユーザアカウントの入力を促すよう指示する指示部と、前記ネットワーク機器から、前記ユーザアカウント及び当該ネットワーク機器の機器識別情報を取得する取得部と、前記認証アカウント及び前記ユーザアカウントに基づいて、前記ネットワーク機器の認証を行う第１の認証実行部と、前記第１の認証実行部において、前記ネットワーク機器が認証された場合に、前記機器識別情報を認証機器識別情報として格納する認証機器識別情報記憶部とを備える。

かかる態様によれば、ネットワーク機器が認証アカウント及びユーザアカウントに基づいて認証されることを条件として、中継機器が機器識別情報を格納するので、ネットワーク機器の機器識別情報を予め登録する手間が省けるだけでなく、機器識別情報を格納するまでの間において、許可していない不正な進入を防止することができる。したがって、簡易でかつセキュリティの高い中継機器を提供することができる。

上記中継機器において、前記取得部は、前記ネットワーク機器から当該ネットワーク機器の機器識別情報である被認証機器識別情報を取得し、前記中継機器が、前記認証機器識別情報及び前記被認証機器識別情報に基づいて、前記ネットワーク機器の認証を行う第２の認証実行部をさらに備えてもよい。

本発明の一実施形態に係るネットワークシステムを示す図である。本発明の一実施形態に係るネットワーク管理装置のハードウェアの構成を示す図である。本発明の一実施形態に係るネットワークシステムの構成を示す図である。本発明の一実施形態に係るネットワーク管理方法を説明するためのシーケンス図である。本発明の一実施形態に係るネットワーク管理装置に格納されるデータベースを示す図である。本発明の一実施形態に係るネットワーク管理方法のフロー図である。本発明の一実施形態に係るネットワーク管理方法のフロー図である。本発明の他の実施形態に係る中継機器の構成を示す図である。

以下、図面を参照しつつ、発明の実施形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲に係る発明を限定するものではなく、また、実施形態の中で説明されている特徴の組み合わせのすべてが発明の解決手段に必須であるとは限らない。

図１は、本発明の一実施形態に係るコンピュータネットワークシステムを示す図である。本実施形態に係るコンピュータネットワークシステム１０００は、ネットワークにおいて通信を行うネットワーク機器３００ａ、３００ｂ、３００ｃ及び３００ｄと、ネットワーク機器３００ａ〜ｄを管理するネットワーク管理装置１００と、ネットワーク機器３００ａ〜ｄとネットワーク管理装置１００とを接続する中継機器２００ａ及び２００ｂとを備える。

ネットワーク機器３００ａ〜ｄは例えば汎用のコンピュータ端末であってもよい。また、ネットワーク機器３００ａ〜ｄは、自らが中継機器２００ａ及び２００ｂ又はネットワーク管理装置１００にアクセスする（例えば認証の要求を行う）ことができる機器であってもよいし、自らは中継機器２００ａ及び２００ｂ又はネットワーク管理装置１００にアクセスすることができない機器（例えばネットワークプリンタ等）であってもよい。

ネットワーク管理装置１００は、中継機器２００ａ及び２００ｂを介して、ネットワーク機器３００ａ〜ｄからの機器識別情報の一例であるＭＡＣアドレスを受信する。また、ネットワーク管理装置１００は、中継機器２００ａ及び２００ｂを介してネットワーク機器３００ａ〜ｄに入力されたユーザアカウントを受信し、また中継機器２００ａ及び２００ｂを介して認証結果の通知をネットワーク機器３００ａ〜ｄに送信する。

ネットワーク管理装置１００は、ネットワーク機器３００ａ〜ｄのＶＬＡＮグループを設定する。このとき、ネットワーク管理装置１００は、ネットワーク機器３００ａ〜ｄが接続された中継機器２００ａ及び２００ｂの接続ポート２０１ａ、２０３ａ、２０１ｂ及び２０３ｂを、ネットワーク機器３００ａ〜ｄのそれぞれが属すべきＶＬＡＮグループに設定することにより、ネットワーク機器３００ａ〜ｄがそれぞれのＶＬＡＮグループにおいて通信することを可能にする。

中継機器２００ａ及び２００ｂは、ネットワーク機器３００ａ〜ｄと無線で通信を行う無線中継機器であってもよい。無線中継機器により構成されたコンピュータネットワークシステムにおいて、ＭＡＣアドレスベースＶＬＡＮを形成することにより、ネットワーク機器は、ネットワーク機器の使用場所を移動された場合においても、ネットワーク機器の設定が変更されることなく、所定のＶＬＡＮグループにおける通信が可能である。

また、図１に示す例とは別に、ネットワーク管理装置１００と中継機器２００ａ及び２００ｂとを接続する他の中継機器、又は、中継機器２００ａ及び２００ｂとネットワーク機器３００ａ〜ｄとを接続する他の中継機器が存在してもよい。

また、例えば中継機器２００ａの接続ポート２０１ａ及び２０３ａが複数のＶＬＡＮ、例えばＶＬＡＮ１及びＶＬＡＮ２において通信できるように設定することにより、中継機器２００ａに接続されたネットワーク機器３００ａ及び３００ｂがＶＬＡＮ１又はＶＬＡＮ２において通信することを可能としてもよい。

また、本実施形態によるコンピュータネットワークシステムは、イーサネットフレームにＶＬＡＮを識別するタグを付加し、タグの情報に基づいてＶＬＡＮを分割するタギングＶＬＡＮ、又は任意の接続ポートを複数のＶＬＡＮグループに所属させるマルチプルＶＬＡＮを、本実施形態のＭＡＣアドレスベースＶＬＡＮと組み合わせて用いてもよい。

図２は、本実施形態に係るネットワーク管理装置１００のハードウェア構成を示す図である。ネットワーク管理装置１００には、例えば図２に示すようなＣＰＵ１０１１、ＲＯＭ１０２、ＲＡＭ１０３、通信Ｉ／Ｆ１０４、表示装置１０５、入力装置１０６、ＨＤＤ１０７、ＦＤドライブ１０８及びＣＤ−ＲＯＭドライブ１０９を備えるコンピュータを適用することができる。

ネットワーク管理装置１００は、例えばＣＰＵ１０２が、上記したＲＯＭ１０４、ＲＡＭ１０６、外部記憶装置１０８などに記憶された又はネットワークを介してダウンロードされた所定のプログラム（本実施形態に係るネットワーク管理方法を規定したプログラム）を実行することにより、システム１０００を後述の各種機能ブロック又は各種ステップとして機能させることができる。ＣＰＵ１０２が実行するプログラムは、ＦＤ１０８ａ、ＣＤ−ＲＯＭ１０９ａ等の記録媒体に格納された又はネットワークを介してＲＯＭ１０２又はＲＡＭ１０３等のメモリにダウンロードされた所定のプログラム（本実施形態に係るネットワーク管理方法を規定したプログラム）を実行することにより、システム１０００を後述の各種機能ブロック又は各種ステップとして機能させることができる。格納された又はダウンロードされたプログラムは圧縮されていても非圧縮であってもよい。プログラムは記録媒体又はメモリからＨＤＤ１０７にインストールされ、ＲＡＭ１０３に読み出されてＣＰＵ１０１により実行される。なお、本実施形態に係るネットワーク管理方法を規定したプログラムがコンピュータに働きかけてＣＰＵ１０１に行わせる処理は、それぞれ本実施形態のシステム又は方法における、対応する部材の機能及び動作と同一である。

図２に示した、記録媒体の一例としてのＦＤ１０８ａ、ＣＤ−ＲＯＭ１０９ａには、本出願で説明する全ての実施形態におけるシステム１０００の動作の一部又は全ての機能を格納することができる。

これらのプログラムは記録媒体から直接ＲＡＭに読み出されて実行されても、一旦ハードディスクドライブにインストールされた後にＲＡＭに読み出されて実行されてもよい。更に、上記プログラムは単一の記録媒体に格納されても複数の記録媒体に格納されてもよい。また、符号化した形態で格納されていてもよい。

記録媒体としては、ＦＤ、ＣＤ−ＲＯＭの他にも、ＤＶＤ、ＰＤ等の光学記録媒体、ＭＤ等の光磁気記録媒体、テープ媒体、磁気記録媒体、ＩＣカードやミニチュアーカードなどの半導体メモリ等を用いることができる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けたハードディスクまたはＲＡＭ等の格納装置を記録媒体として使用し、通信網を介してプログラムをシステムに提供してもよい。このような記録媒体は、システムを製造するためのみに使用されるものであり、そのような記録媒体の業としての製造および販売等が本出願に基づく特許権の侵害を構成することは明らかである。

図３は、本実施形態に係るシステム１０００の構成を示す図である。図３に示す例においては、ネットワーク管理装置１００は、中継機器２００との間で必要なデータ送受信を行い、本実施形態に係るネットワーク管理方法を実行するために必要な制御を行う制御部１１０と、ユーザが入力するユーザアカウントに対する認証を行うための認証アカウントを予め格納する認証アカウント記憶部１２０と、ネットワーク機器３００の被認証機器識別情報に対する認証を行うための認証機器識別情報を格納する認証機器識別情報記憶部１３０とを備える。制御部１１０は、各記憶部からデータを読み出し又は各記憶部へデータを書き込むことができるように構成されている。

認証アカウント記憶部１２０は、管理者により決められた所定の認証アカウントを格納する。この認証アカウントは、複数のネットワーク機器３００の複数の機器識別情報ごとに対応し得るものであってもよい。すなわち、１つの認証アカウントについて複数の機器識別情報が対応し得るように設定してもよい。また、認証アカウントは、認証アカウント記憶部１２０に、ネットワーク機器３００が属するべき所定のＶＬＡＮグループに対応づけられて格納されてもよい。この場合、認証アカウント記憶部１２０は、ユーザＩＤ、パスワード及びＶＬＡＮＩＤがそれぞれ対応づけられたデータベースを有していてもよい。認証アカウントをネットワーク機器が属するべきＶＬＡＮグループごとに登録することにより、ユーザがログインしたユーザアカウントごとにネットワーク機器にＶＬＡＮが割り当てられるので、ＶＬＡＮグループの管理が容易になる。なお、認証アカウントは、複数のユーザで共有されてもよいし、ユーザ単位で決められてもよい。

認証機器識別情報記憶部１３０は、ネットワーク機器の機器識別情報の一例であるＭＡＣアドレスを格納する。認証機器識別情報記憶部１３０に格納されるＭＡＣアドレスは、ネットワーク機器３００の認証に用いられるので認証ＭＡＣアドレスと呼ぶことができる。認証機器識別情報記憶部１３０は、認証ＭＡＣアドレスに基づいてユーザＩＤ及びパスワードを生成してもよい。認証機器識別情報記憶部１３０は、認証ＭＡＣアドレスを認証アカウントに対応づけて格納してもよい。この場合、認証ＭＡＣアドレスは、認証アカウントに直接的に対応づけられて格納されてもよいし、認証アカウントに間接的、すなわち認証アカウントに対応づけられているＶＬＡＮＩＤに対応づけられて格納されてもよい。

中継機器２００は、ネットワーク機器３００においてユーザにユーザアカウントの入力を促すよう指示する指示部２１０を備える。指示部２１０は、ネットワーク機器３００が中継機器２００に、ネットワーク管理装置１００において認証アカウント及びユーザアカウントに基づく認証を行うよう要求した場合に処理を行う。具体的には、中継機器２００は当該中継機器２００にネットワーク機器３００からアクセス（例えばＷｅｂブラウザによるアクセス）があった場合、ネットワーク機器３００にログイン表示を送る。すなわち、中継機器２００は、ネットワーク機器３００においてユーザにＷｅｂ認証を行うよう指示する。

また、中継機器２００は、ネットワーク機器３００から、ユーザが入力したユーザアカウント及びネットワーク機器３００の機器識別情報を取得する取得部２１２と、ネットワーク管理装置１００に、ユーザが入力したユーザアカウント及びネットワーク機器３００の機器識別情報を送信する送信部２１４とをさらに備える。

一方、ネットワーク管理装置１００の第１の認証実行部１１２は、ネットワーク機器３００に入力されたユーザアカウント、及び、認証アカウント記憶部１２０に予め格納された認証アカウントに基づいて第１の認証を行う。具体的には、予め格納されている所定の認証アカウントを認証アカウント記憶部１２０から読み出し、当該認証アカウントと、ネットワーク機器３００に入力されたユーザアカウントとが対応するか否かを認証する。その結果、両者のアカウントが対応すると判断した場合には、予め管理者が認めた正当なアクセスであると判断して、ネットワーク機器３００のＭＡＣアドレスを中継機器２００を介して受信し、当該ＭＡＣアドレスを認証ＭＡＣアドレスとして認証機器識別情報記憶部１３０に格納する。このとき、認証ＭＡＣアドレスは認証アカウントに対応づけて格納される。また、第１の認証実行部１１２は、認証成立の場合には、その旨を中継機器２００及びネットワーク機器３００に通知する。

他方、ネットワーク管理装置１００の第２の認証実行部１１４は、ネットワーク機器３００が中継機器２００に、ネットワーク管理装置１００において認証ＭＡＣアドレス及び被認証ＭＡＣアドレスに基づいて認証を行うよう要求した場合に処理を行う。言い換えれば、第２の認証実行部１１４は、ネットワーク機器３００からネットワーク管理装置１００にアクセス（例えば任意のプロトコルによるアクセス）があった場合、ネットワーク機器３００についていわゆるＭＡＣアドレスベース認証を実行する。その結果、両者のＭＡＣアドレスが対応すると判断した場合には、正当なアクセスであると判断して、認証成立の旨を中継機器２００及びネットワーク機器３００に通知する。そして、ネットワーク機器３００に被認証ＭＡＣアドレスに対応づけられたＶＬＡＮグループを設定し、当該ＶＬＡＮグループに基づいて以後の通信を許可する。

本実施形態に係るシステムによれば、ユーザがアカウントのログインを行い、ログインされたネットワーク機器のＭＡＣアドレスをＭＡＣアドレスベース認証の認証ＭＡＣアドレスとして格納することにより、以後、ユーザがＭＡＣアドレスを入力することなく、自動でＭＡＣアドレスベース認証を実行することができる。これにより、ネットワーク管理者は、ネットワーク管理装置にネットワーク機器のＭＡＣアドレスを予め登録することなく、簡易にＭＡＣアドレスベースＶＬＡＮを形成することができる。他方、ネットワーク機器のＭＡＣアドレスの格納は、アカウントのログインにより認証されることが条件となるため、ＶＬＡＮへの許可していない不正な進入を防ぐことができる。すなわち、ＭＡＣアドレスをＭＡＣアドレスベース認証の認証ＭＡＣアドレスとして格納するまでの間のセキュリティを向上させることができる。

また、ネットワーク管理者は、例えば複数ユーザで共有されるアカウントを認証アカウントとしてネットワーク管理装置に登録するので足りるため、ユーザごとのアカウントやＭＡＣアドレスを登録及び管理する必要がなく、簡易なシステムを構築することができる。

また、認証アカウントをＶＬＡＮグループごとに設定することにより、Ｗｅｂ認証等でユーザがログインしたユーザアカウントに応じて、ＭＡＣアドレスベース認証によりダイナミックＶＬＡＮでＶＬＡＮを設定することができる。

次に図４〜図７を参照して、本発明の一実施形態に係るネットワーク管理方法について説明する。ここで、図４は、本発明の一実施形態に係るネットワーク管理方法を説明するためのシーケンス図である。また、図５は、本発明の一実施形態に係るネットワーク管理装置に格納されるデータベースを示す図である。また、図６及び図７は、図４のシーケンス図の一部のフロー図である。以下、上記したシステム１０００を適用して、本実施形態のネットワーク管理方法を実行した場合を例として説明する。なお、以下に説明する各ステップ（符号が付されたステップのみならず、当該符号が付されたステップの部分的なステップを含む）は処理内容に矛盾を生じない範囲で任意に順番を変更して又は並列に実行することができる。

まず、ネットワーク管理装置１００は、ユーザが入力するユーザアカウントに対する認証を行うための認証アカウントを予め格納する（Ｓ１００）。

次に、ユーザが所定のネットワーク機器３００を用いて、当該ネットワーク機器３００から中継機器２００に、認証アカウント及びユーザアカウントに基づいて認証するよう要求する（Ｓ１０１）。具体的には、ユーザが、ネットワーク機器３００によってネットワーク上の中継機器２００にＷｅｂブラウザでアクセスする。次に、中継機器２００は、ネットワーク機器３００からの要求に基づいて、ネットワーク機器３００においてユーザにアカウントの入力を促すよう、当該ネットワーク機器３００に指示する（Ｓ１０３）。この場合、中継機器２００がネットワーク機器３００にユーザアカウントを入力してログインするためのログイン表示を送ってもよい。なお、ステップＳ１０３は、上記した中継機器２００の指示部２１０によって行うことができる。

次に、ユーザは、ネットワーク機器３００のログイン表示に従い、ユーザアカウントを入力する（Ｓ１０５）。具体的には、ユーザは、予め管理者から知得したユーザＩＤ及びパスワードをネットワーク機器３００に入力する。中継機器２００は、ネットワーク機器３００から、ユーザアカウント及びネットワーク機器３００の機器識別情報の一例であるＭＡＣアドレスを取得し、また、ユーザアカウント及びＭＡＣアドレスをネットワーク管理装置１００に送信する（Ｓ１０７）。ネットワーク管理装置１００の取得部２１２及び送信部２１４が、ユーザアカウント及びＭＡＣアドレスの取得及び送信を行ってもよい。ここで、ネットワーク管理装置１００が取得するＭＡＣアドレスは、ステップＳ１０１で要求があったネットワーク機器のＭＡＣアドレスであってもよいし、あるいはステップＳ１０１で要求があったネットワーク機器とは異なるネットワーク機器のＭＡＣアドレスであってもよい。後者の場合、自らが中継機器２００又はネットワーク管理装置１００にアクセスできない機器に対しても、本実施形態に係るネットワーク管理方法を適用することが可能となる。

次に、図４及び図６に示すように、ネットワーク管理装置１００は、中継機器２００を介してネットワーク機器３００から取得したユーザアカウント、及び、認証アカウント記憶部１２０に予め格納された認証アカウントに基づいて第１の認証を行う（Ｓ１０９）。これにより、ネットワーク機器３００が認証された場合、ネットワーク管理装置１００は、当該ネットワーク機器３００のＭＡＣアドレスを認証ＭＡＣアドレスとして認証機器識別情報記憶部１３０に格納する（Ｓ１１１）。また、認証成立である旨を中継機器２００及びネットワーク機器３００に通知する（Ｓ１１３）。他方、ネットワーク機器３００が認証されなかった場合、ネットワーク管理装置１００は、管理者に認められていない不正なアクセスであると判断して、当該ネットワーク機器３００のＭＡＣアドレスを格納することなく、認証不成立である旨を中継機器２００及びネットワーク機器３００に通知する（Ｓ１１４）。なお、かかる第１の認証は、例えば上記した第１の認証実行部１１２により行うことができる。

認証ＭＡＣアドレスは、認証アカウントに対応づけられて認証アカウント記憶部１２０に格納される。この場合、ネットワーク管理装置１００は、認証アカウント記憶部１２０及び認証機器識別情報記憶部１３０によって、認証アカウント及び認証ＭＡＣアドレスを対応づけたデータベース１４０を生成してもよい（図５参照）。かかるデータベース１４０は、図５に示すように、ユーザＩＤ、パスワード及びＶＬＡＮＩＤの各フィールドを有する。ここで、ＶＬＡＮＩＤフィールドはＶＬＡＮの種類を識別する情報を格納し、ユーザＩＤフィールドはネットワーク機器のユーザの識別情報であるユーザ識別情報を格納し、パスワードフィールドはユーザ識別情報で識別されるユーザを認証するためのパスワードを格納するものである。ユーザＩＤフィールドには、システムの管理者によって予め登録される認証アカウント（例えば「Ａａａ」）と、認証アカウント及びユーザアカウントに基づいて行われる第１の認証時に格納される認証ＭＡＣアドレスが（例えば「ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ」）として格納されている。システムの管理者によって予め登録される認証アカウントには、ＶＬＡＮグループ（例えばＶＬＡＮ１又はＶＬＡＮ２）が設定されており、当該ＶＬＡＮグループに対応づけて認証ＭＡＣアドレスが格納されている。

本実施形態に係る方法によれば、ネットワーク機器において入力されたユーザＩＤ及びパスワードを、予め登録されたユーザＩＤ及びパスワードを用いて認証し、認証されたネットワーク機器が有するＭＡＣアドレスを登録することができる。そのため、ネットワーク管理者は、複雑な文字列であるＭＡＣアドレスをデータベースに登録する代わりに、ユーザＩＤ及びパスワードを登録することによって、ＭＡＣアドレスベースＶＬＡＮを形成することができる。

次に、ユーザは、認証アカウント及びユーザアカウントに基づく第１の認証が成立した旨の通知を受けたネットワーク機器３００において、ログアウト又は再起動を行う（Ｓ１１５）。そして、ユーザがネットワーク機器３００を用いて、当該ネットワーク機器３００から中継機器２００及びネットワーク管理装置１００にＭＡＣアドレスベース認証をするよう要求する。具体的には、ユーザが、ネットワーク機器３００によってネットワーク上の中継機器２００及びネットワーク管理装置１００に任意のプロトコルでアクセスする。これにより、中継機器２００は、例えば取得部２１２によってネットワーク機器３００から当該ネットワーク機器３００の被認証ＭＡＣアドレスを取得し、例えば送信部２１４によって当該被認証ＭＡＣアドレスをネットワーク管理装置１００に送信する。ここで、ネットワーク管理装置１００に送信される被認証ＭＡＣアドレスは、ステップＳ１１７で要求があったネットワーク機器のＭＡＣアドレスであってもよいし、あるいはステップＳ１１７で要求があったネットワーク機器とは異なるネットワーク機器のＭＡＣアドレスであってもよい。

次に、図４及び図７に示すように、ネットワーク管理装置１００は、中継機器２００を介して受信したネットワーク機器３００の被認証ＭＡＣアドレス、及び、認証アカウント記憶部１２０に格納された認証ＭＡＣアドレスに基づいて第２の認証を行う（Ｓ１２３）。これにより、ネットワーク機器３００が認証された場合、ネットワーク管理装置１００は、認証成立である旨を中継機器２００及びネットワーク機器３００に通知し、図５に示した認証ＭＡＣアドレスに対応づけられたＶＬＡＮを設定する（Ｓ１２５）。こうして、以後、ユーザが認証されたネットワーク機器３００を用いてＶＬＡＮにより通信すると（Ｓ１２７）、ネットワーク管理装置１００によってかかる通信が許可される。他方、ネットワーク機器３００が認証されなかった場合、ネットワーク管理装置１００は、管理者に認められていない不正なアクセスであると判断して、認証不成立である旨を中継機器２００及びネットワーク機器３００に通知する（Ｓ１２６）。こうして、ＶＬＡＮへの許可していない不正な進入を防ぐことができる。なお、かかる第２の認証は、例えば上記した第２の認証実行部１１４により行うことができる。

なお、ネットワーク機器がＶＬＡＮにおいて通信が可能な有効期限が予め定められており、ネットワーク管理装置１００は、予め定められた有効期限が経過したネットワーク機器の認証ＭＡＣアドレスをデータベースから削除してもよい。また、ネットワーク機器のユーザが登録削除の申請を行うことによって、ネットワーク管理者が、登録削除の申請が行われたネットワーク機器のＭＡＣアドレスをデータベースから削除してもよい。これによれば、ユーザがＶＬＡＮの再設定を要求する場合には、再度、ユーザアカウント及び認証アカウントに基づく認証を受けることが必要となるのでセキュリティをさらに向上させることができる。

本実施形態に係るネットワーク管理方法によれば、ユーザがアカウントのログインを行い、ログインされたネットワーク機器のＭＡＣアドレスをＭＡＣアドレスベース認証の認証ＭＡＣアドレスとして格納することにより、以後、ユーザがＭＡＣアドレスを入力することなく、自動でＭＡＣアドレスベース認証を実行することができる。これにより、ネットワーク管理者は、ネットワーク管理装置にネットワーク機器のＭＡＣアドレスを予め登録することがないため、簡易にＭＡＣアドレスベースＶＬＡＮを形成することができる。他方、ネットワーク機器のＭＡＣアドレスの格納は、アカウントのログインにより認証されたことが条件となるため、ＶＬＡＮへの許可していない不正な進入を防ぐことができる。すなわち、ＭＡＣアドレスをＭＡＣアドレスベース認証の認証ＭＡＣアドレスとして格納するまでの間のセキュリティを向上させることができる。

また、ユーザにおいてネットワーク機器を変更する必要が生じた場合、変更後のネットワーク機器において、ユーザアカウント及び認証アカウントに基づく第１の認証と、認証ＭＡＣアドレス及び被認証ＭＡＣアドレスに基づく第２の認証を行えば足りるので、管理者への通信許可のための申請や管理者のアカウント登録の手間がなく、簡易かつセキュリティの高い方法でシステムを利用することができる。

なお、上記した本実施形態に係るシステム又は方法の変形例として、ＭＡＣアドレス詐称を防止するため、中継機器２００のＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）スヌーピング機能を合わせて適用してもよい。すなわち、中継機器２００又はネットワーク管理装置１００の制御部１１０が、ＤＨＣＰフレームを監視し、正しいＤＨＣＰサーバが割り当てたＩＰアドレス及びＭＡＣアドレスの組を備える通信のみを許可してもよい。

また、本実施形態に係るユーザアカウント及び認証アカウントに基づく第１の認証が認証成功であったときに、認証されたネットワーク機器のウィルスチェックや資産情報収集及び管理を行ってもよい。この場合、認証ＭＡＣアドレスに基づいて割り振られるＶＬＡＮグループとして、ウィルスチェック用ＶＬＡＮグループ又は資産情報管理用ＶＬＡＮグループを予め設定し、ウィルスチェック又は資産情報管理が求められるネットワーク機器に対して、ＭＡＣアドレスベース認証によりかかる目的に応じたＶＬＡＮグループを割り振ってもよい。

次に、本発明の他の実施形態に係る中継機器について説明する。図８に示すように、本例において中継機器５００は、ネットワーク機器３００とネットワーク管理装置４００とを接続して設けられており、上記した第１の認証実行部１１２、第２の認証実行部１１４、認証アカウント記憶部１２０及び認証機器識別情報記憶部１３０のそれぞれと同様の機能を備える機能ブロックを内蔵する。すなわち、中継機器５００は、上記した指示部２１０及び取得部２１２に加えて、第１の認証実行部５１６及び第２の認証実行部５１８を含む制御部５１０と、認証アカウント記憶部５２０と、認証機器識別情報記憶部５３０とを備える。それらの機能ブロックの構成及び動作については、当該機能ブロックがネットワーク管理装置４００ではなく中継機器５００に内蔵されている点及びこれに伴うデータ送信元及び送信先が変更する点を除いて、既に説明した内容を適用することができる。

本例においても既に説明したとおり、簡易でかつセキュリティの高いシステム及び方法を提供することができる。

上記発明の実施形態を通じて説明された実施例や応用例は、用途に応じて適宜に組み合わせて、又は変更若しくは改良を加えて用いることができ、本発明は上述した実施形態の記載に限定されるものではない。そのような組み合わせ又は変更若しくは改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

１００・・・ネットワーク管理装置
１１２・・・第１の認証実行部
１１４・・・第２の認証実行部
１２０・・・認証アカウント記憶部
１３０・・・認証機器識別情報記憶部
２００・・・中継機器
２１０・・・指示部
２１２・・・取得部
２１４・・・送信部
３００・・・ネットワーク機器
４００・・・ネットワーク管理装置
５００・・・中継機器
５１６・・・第１の認証実行部
５１８・・・第２の認証実行部
５２０・・・認証アカウント記憶部
５３０・・・認証機器識別情報記憶部

Claims

ネットワーク機器と、当該ネットワーク機器を管理するネットワーク管理装置と、前記ネットワーク機器と前記ネットワーク管理装置とを接続する中継機器とを備えるコンピュータネットワークにおけるネットワーク管理方法であって、
前記ネットワーク管理装置が、前記ネットワーク機器を認証するための認証アカウントを予め格納するステップと、
前記中継機器が、前記ネットワーク機器においてユーザにユーザアカウントの入力を促すよう指示するステップと、
前記中継機器が、前記ネットワーク機器から、前記ユーザアカウント及び当該ネットワーク機器の機器識別情報を取得するステップと、
前記中継機器が、前記ネットワーク管理装置に、前記ユーザアカウント及び前記機器識別情報を送信するステップと、
前記ネットワーク管理装置が、前記認証アカウント及び前記ユーザアカウントに基づいて、前記ネットワーク機器の認証を行う第１の認証ステップと、
前記第１の認証ステップにおいて、前記ネットワーク機器が認証された場合に、前記ネットワーク管理装置が、前記機器識別情報を認証機器識別情報として格納するステップと
を含む、ネットワーク管理方法。
前記機器識別情報を格納するステップの後に、
前記中継機器が、前記ネットワーク機器から当該ネットワーク機器の機器識別情報である被認証機器識別情報を取得するステップと、
前記中継機器が、前記ネットワーク管理装置に、前記被認証機器識別情報を送信するステップと、
前記ネットワーク管理装置が、前記認証機器識別情報及び前記被認証機器識別情報に基づいて、前記ネットワーク機器の認証を行う第２の認証ステップと
をさらに含む、請求項１記載のネットワーク管理方法。
前記被認証機器識別情報を取得するステップの前に、
前記ネットワーク機器が前記中継機器に、前記ネットワーク管理装置において前記第２の認証ステップを行うよう要求するステップをさらに含む、請求項２記載のネットワーク管理方法。
前記認証アカウントを予め格納するステップは、前記認証アカウントを所定のＶＬＡＮグループに対応づけて格納することを含み、
前記第２の認証ステップの後に、
前記第２の認証ステップにおいて、前記ネットワーク機器が認証された場合に、前記ネットワーク管理装置が、前記ネットワーク機器に当該ネットワーク機器に対応するＶＬＡＮグループを設定するステップをさらに含む、請求項２又は３記載のネットワーク管理方法。
前記中継機器がユーザに指示するステップは、前記ネットワーク機器が前記中継機器に、前記ネットワーク管理装置において前記第１の認証ステップを行うよう要求した場合に行われる、請求項１から４のいずれかに記載のネットワーク管理方法。
前記認証アカウントは、複数のユーザにおいて共有されるアカウントである、請求項１から５のいずれかに記載のネットワーク管理方法。
前記機器識別情報は、前記ネットワーク機器のＭＡＣアドレスである、請求項１から６のいずれかに記載のネットワーク管理方法。
請求項１から７のいずれかに記載のネットワーク管理方法をコンピュータに実行させるネットワーク管理プログラム。
ネットワーク機器と、
当該ネットワーク機器を管理するネットワーク管理装置と、
前記ネットワーク機器と前記ネットワーク管理装置とを接続する中継機器と
を備え、
前記中継機器は、
前記ネットワーク機器においてユーザにユーザアカウントの入力を促すよう指示する指示部と、
前記ネットワーク機器から、前記ユーザアカウント及び当該ネットワーク機器の機器識別情報を取得する取得部と、
前記中継機器が、前記ネットワーク管理装置に、前記ユーザアカウント及び前記機器識別情報を送信する送信部と
を備え、
前記ネットワーク管理装置は、
前記ネットワーク機器を認証するための認証アカウントを予め格納する認証アカウント記憶部と、
前記認証アカウント及び前記ユーザアカウントに基づいて、前記ネットワーク機器の認証を行う第１の認証実行部と、
前記第１の認証実行部において、前記ネットワーク機器が認証された場合に、前記ネットワーク管理装置が、前記機器識別情報を認証機器識別情報として格納する認証機器識別情報記憶部と
を備える、ネットワークシステム。
前記中継機器の前記取得部は、前記ネットワーク機器から当該ネットワーク機器の機器識別情報である被認証機器識別情報を取得し、
前記ネットワーク管理装置は、前記認証機器識別情報及び前記被認証機器識別情報に基づいて、前記ネットワーク機器の認証を行う第２の認証実行部と
をさらに備える、請求項９記載のネットワークシステム。
ネットワーク機器と当該ネットワーク機器を管理するネットワーク管理装置とを接続する中継機器であって、
前記ネットワーク機器を認証するための認証アカウントを予め格納する認証アカウント記憶部と、
前記ネットワーク機器においてユーザにユーザアカウントの入力を促すよう指示する指示部と、
前記ネットワーク機器から、前記ユーザアカウント及び当該ネットワーク機器の機器識別情報を取得する取得部と、
前記認証アカウント及び前記ユーザアカウントに基づいて、前記ネットワーク機器の認証を行う第１の認証実行部と、
前記第１の認証実行部において、前記ネットワーク機器が認証された場合に、前記機器識別情報を認証機器識別情報として格納する認証機器識別情報記憶部と
を備える、中継機器。
前記取得部は、前記ネットワーク機器から当該ネットワーク機器の機器識別情報である被認証機器識別情報を取得し、
前記中継機器が、前記認証機器識別情報及び前記被認証機器識別情報に基づいて、前記ネットワーク機器の認証を行う第２の認証実行部をさらに備える、請求項１１記載の中継機器。