JP2015050496A - 通信システム及び認証スイッチ - Google Patents

Abstract

【課題】通信システムにおける認証処理の分散を目的とする。【解決手段】 第一の端末と第二の端末の認証情報を管理する認証サーバと、第一の端末の認証処理を行う第一の通信ノードに接続される第二の通信ノードと、を備える通信システムで、第２の通信ノードは、第一の通信ノードでの認証処理の結果に基づいて、第２の通信ノードにおける第一の端末の通信制御を行なう。【選択図】図１

Description

本発明は、認証処理を行う通信システム、またはスイッチ装置に関する。

通信ネットワークのセキュリティを高める手段として、有線ネットワーク、無線ネットワークを問わず、ネットワーク認証システムが用いられている。ネットワーク認証システムを構成するのは、PCやスマートデバイス等のユーザ端末、無線アクセスポイント、認証スイッチ、認証サーバである。認証の方式としては、無線ネットワークでは、無線アクセスポイントは、主にＩＥＥＥ８０２．１Ｘ認証を使用して、認証サーバに対して認証情報が登録されているか問い合わせを行う。また、有線ネットワークの場合で、認証スイッチが、ＭＡＣアドレス認証を使用して、認証情報が登録されているか問い合わせを行う。

特許文献１では、セキュリティをより強化するために、認証と同時にユーザ端末に対してアクセス制御やＱｏＳ制御を行うが開示されている。特許文献２は、認証処理の連携については、無線アクセスポイントからの認証パケットをスヌーピングし、認証スイッチにて認証するための方式が開示されている。特許文献３には、認証に関する情報として、端末装置登録情報エントリに端末識別子、認証フラグが開示されている。

特開２００４-３２５２５ 特開２０１０-０６２６６７ 特開２００６-３３２０６

ここで、無線のユーザ端末の場合には、無線アクセスポイントで認証を行うが、有線のユーザ端末では認証スイッチが認証を行うため、認証シーケンスや認証に関連する設定、例えば再認証間隔や最大接続時間、が、無線ネットワークと有線ネットワークで別々に存在する。

また無線アクセスポイントで認証サーバへ、問い合わせにより外部ネットワークへの認証を行ない、認証が成功した場合でも、外部ネットワークへの経路上の認証スイッチは、別途認証要求を行ない、認証サーバに対して認証情報が登録されているか問い合わせを行う。認証サーバは認証データベースを検索し、認証情報が登録されている場合には、認証成功通知を認証スイッチに通知し、その通知を受信した無線アクセスポイントまたは認証スイッチは、当該認証リクエストを送信したユーザ端末を認証済みとして、通信を可能とする。

ユーザ端末のアクセスを制御するという課題にたいして、一つのシステムであれば同一のポリシーで運用管理を行う必要があるが、無線ネットワークと有線ネットワークで個別に構築するため、それぞれの機器でサポートする機能や仕様が異なる場合、同一のセキュリティーポリシーとする必要があり、ネットワーク構築や管理が煩雑になる。

特許文献１では、本方式を無線アクセスポイントに個別に設定した場合には、無線アクセスポイントの台数分の設定が必要となる。そのため、管理対象の無線アクセスポイントが数十台から数百台存在する大規模なネットワークでは、同一の設定変更を全ての機器に行う必要が生じるため、管理が煩雑になる要因となってしまう。さらに、無線アクセスポイントの台数が多い場合には、無線LANスイッチと呼ばれる集中運用管理装置が導入される場合もあるが、無線LANスイッチで認証処理までを行うと、無線LANスイッチの負荷が増大し、通信処理へ影響を及ぼす可能性も考えられる。

特許文献２では、認証サーバとの間で認証パケットが暗号化されている場合には、認証状態を判断することができない。また、認証スイッチにて認証を行った場合、端末が無線アクセスポイントを移動してしまった際に、古い認証情報を削除する必要がある。

また、特許文献３があるが、こちらは端末装置登録情報エントリとして、端末識別子、認証フラグのみであり、アクセス制御情報がないため、認証結果に基づく認証済み端末に対するアクセス制御ができない。また、認証済み端末のネットワークからの離脱に関する記述がない。

本発明では、通信システムにおける認証処理と認証状態の管理の分散し、各装置での認証処理負荷の軽減を目的とする。

本発明の一態様では、第一の端末と第二の端末の認証情報を管理する認証サーバと、端末の第一の認証処理を行う第一の通信ノードと、端末の第二の認証処理を行う第二の通信ノードと、を備える通信システムで、第二の通信ノードは、第一の認証処理または第二の認証処理のいずれか一方を用いて、当該端末の認証状態を更新し、端末から外部ネットワークへの通信を許可する。第一の認証処理及び第二の認証処理は、通信ノードそれぞれは、認証サーバに対して、端末が外部ネットワークへの通信の許可を求め、認証サーバは、通信を許可するか判断する。

より具体的な態様としては、認証スイッチは、認証サーバに対して端末の外部ネットワークへの通信可否を問い合わせ、その結果に応じて端末の認証状態を更新するだけでなく、無線端末と無線を介して接続される無線アクセスポイントによって認証された無線端末の認証情報を取得し、認証スイッチ自身で、無線端末の外部ネットワークへの認証処理を行なうことなく、無線アクセスポイントの認証処理による認証情報を用いて、認証状態を更新し、無線端末から外部ネットワークへのアクセスを中継する。

その他の態様は、本明細書及び図面全体によって開示される。

本発明の一態様により、認証処理が分散され、端末からネットワークへのアクセスの認証処理の効率がよくなる。

実施例１におけるネットワークシステムの全体構成図 を示す。 実施例１および実施例２におけるユーザ端末登録テーブルの構成図を示す。 実施例１および実施例２におけるアクセス制御情報(ＡＣＬ)登録テーブルを示す。 実施例１および実施例２におけるＱｏＳ情報登録テーブル１６６を示す。 実施例１における認証処理のシーケンス図である。 実施例１において認証スイッチ１１１と無線アクセスポイント１１３との疎通性がなくなった場合のシーケンス図を示す。 実施例２におけるネットワーク構成を示す。 実施例２での、認証処理のシーケンス図を示す。 実施例２における認証情報削除処理を示す。

発明を実施するための図面に基づいて説明する。

実施例１について説明を行う。実施例１では、無線アクセスポイントと認証スイッチ間での認証情報の同期を行うことにより、ユーザ端末のアクセス制御を認証スイッチで一括管理することが可能となり、管理者の負荷を軽減できるという利点があり、実施例１では、認証情報の同期を無線アクセスポイントから認証スイッチへＨＴＴＰ(Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ)のＰＯＳＴメソッドにより送信することで実現する。
無線アクセスポイントはユーザ端末が接続された場合、認証サーバへ認証可否を問い合わせる。認証サーバから認証成功通知を無線アクセスポイントが受信し、ユーザ端末の認証が成功した場合、無線アクセスポイントは認証成功情報を認証スイッチへＨＴＴＰＳ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｅ）を利用して通知し、認証スイッチとの間で認証成功情報の同期を行う。また、その際には無線アクセスポイントは、認証成功情報に付加情報としてアクセス制御を行う識別子を付加し、その識別子を用いることで、認証スイッチにて予め設定されているアクセス制御情報や、ＱｏＳ情報とユーザ端末を紐付け、ユーザ端末単位でのアクセス制御やＱｏＳ制御を可能とする。

無線アクセスポイントにてユーザ端末のログアウトを検知した場合は、無線アクセスポイントは認証スイッチにＨＴＴＰＳを利用して端末ログアウト情報を通知する。認証スイッチでは、この情報を元にユーザ端末の認証成功情報を削除する。

本実施例によると、無線アクセスポイントから認証スイッチへＨＴＴＰＳを用いて認証成功情報を通知するため、通信経路が暗号化され、また柔軟な付加情報の拡張が容易となる。

図１はネットワークシステムの全体図である。図１のネットワークシステムはネットワーク１１５に認証スイッチ１１１が接続され、認証スイッチ１１１に無線アクセスポイント１１３及びスイッチングハブ１１２が接続され、無線アクセスポイント１１３には、無線を介して無線端末１１４が接続されている。ユーザのうち無線端末１１４は、無線通信により無線アクセスポイント１１３へ接続し無線アクセスポイント１１３で認証処理が行なわれ、認証スイッチ１１１を介してネットワーク１１５に接続される。また、スイッチングハブ１１２には、有線を介して端末１１８が接続されている。ユーザ端末のうち有線端末１１８は、有線通信によりスイッチングハブ１１２へ接続を行い、認証スイッチ１１１で、認証処理が行われ、通信を行う構成となっている。以下、ネットワークの構成要素について説明を行う。

ユーザ端末のうち無線端末１１４はネットワーク１１５への通信を行うための無線通信デバイスであり、ユーザ端末のうち有線端末１１８は、外部のネットワーク１１５への通信を行うための有線通信デバイスである。認証サーバ１１０は、ユーザ端末（無線端末１１４及び有線端末１１８）がネットワークに接続する際にネットワーク認証を動作させる場合に機能する。認証サーバ１１０には予めユーザ端末（無線端末１１４及び有線端末１１８）やユーザの情報を登録しておき、認証サーバ１１０に登録されたユーザのみ正規ユーザとして判断しネットワークへの接続を許可し、登録されていないユーザ端末１１４及びユーザ端末１１８やユーザを不正ユーザと判断してネットワークへの接続を許可しないといった、セキュリティ機能を利用することが出来る。

スイッチングハブ１１２はユーザ端末１１８が有線通信を利用してネットワーク接続を行う場合の接続ポイントとして機能する。

認証スイッチ１１は、ＣＰＵ１１、ポート１２、メモリ１３、認証端末登録テーブル１４、認証情報処理部１５、アクセス制御情報(ＡＣＬ)テーブル１６/ＱｏＳ情報登録テーブル１６６を備えている。

ポート１２は、無線ＡＰ１１２０、スイッチは部１１２、認証サーバ１１０、外部ネットワーク１１５のいずれかに接続される。

パケット送受信部１６８は、ＡＣＬ１６、ＱｏＳ１６６、ＦＤＢ１６８の情報を保持し、ポート１２を介して受信するパケットの出力可否、出力先の決定を行う、中継部である。 ＡＣＬ１６は、アクセス制御情報(ＡＣＬ)の登録テーブルである。ＡＣＬ１６は、認証成功後のユーザ端末（無線端末１１４または有線端末１１８）がアクセスできるネットワークを制御するための条件が設定され、パケット送受信部１７が、パケット中継時にされるフィルタの一つである。ＱｏＳ１６６も、パケット送受信部１７が、パケット中継時にされるフィルタの一つであり、認証成功後のユーザ端末のＱｏＳ制御を行うための条件が設定される。ＦＤＢ（Ｆｏｒｗａｒｄｉｎｇ Ｄａｔａ Ｂａｓｅ）１６８は、受信したパケットの出力するポートを決定するための情報を保持し、端末のアドレス（ＭＡＣアドレス、ＩＰアドレス）とポートとの対応付けが保持される。パケット送受信部１７は、ＦＤＢ１６８を参照し、受信したパケットの宛先アドレスを参照し、対応するポート１２からパケットを出力する。無線ＡＰ１３のアドレスとポート１２との対応付けや認証サーバ１１０とポート１２との対応づけてもＦＤＢ１６８に含まれていてもよい。認証スイッチ１１から無線ＡＰに要求を送信する場合もＦＤＢ１６８を参照し、要求を出力するポートを特定してもよい。

認証スイッチ１１１はユーザ端末（無線端末１１４及び有線端末１１８）がネットワークへ接続する際に不正ユーザの接続を防止するためのネットワーク認証機能を備えている。認証スイッチ１１１で認証処理を行う際の動作を以下に説明する。

メモリ１３は、認証端末登録テーブル１４、認証情報処理部１５を保持する。認証端末登録テーブル１４は、認証処理済みの情報処理装置のＭＡＣアドレス、ＩＰアドレスの組合せが記憶される。認証情報処理部１５は、プログラムであり、ＣＰＵ１１が、当該プログラムを読み取り、認証情報処理部１５を実行する。

認証スイッチ１１１では、認証機能の設定をポート１２ごとに行う。認証機能の設定を行ったポート１２で任意のパケットを受信すると受信パケットが認証されたユーザ端末からの通信であるか否かを、判断するために、認証情報処理部１５において、パケットのヘッダ情報から送信元ＭＡＣアドレス、送信元ＩＰアドレスを読み取り、該当アドレスが認証端末登録テーブル１４に登録されているか否かを確認する。

認証情報処理部１５は、該当アドレスが認証端末登録テーブル１４に登録されていれば正規ユーザからの通信であると判断し、受信パケットをパケット送受信部１７から宛先ネットワークのポートへ送信処理をおこない、該当アドレスが認証端末登録テーブル１４に登録されていなければユーザ認証（ＭＡＣ認証）を行うために該当ユーザ端末（無線端末１１４あるいは１１８）に対して認証情報の要求をおこなう。

そして、認証スイッチ１１１がユーザ端末から認証情報を送信するパケットを受信すると、認証スイッチ１１１は認証サーバ１１０へ認証情報を転送し、認証を要求する。認証スイッチ１１１が認証サーバ１１０から認証成功の通知を受信した場合、該当ユーザを認証済みユーザとして認証端末登録テーブル１４へ登録し、該当ユーザはネットワーク１１５へのアクセスが可能なる。認証スイッチ１１１が認証サーバ１１０から認証失敗の通知を受信した場合、該当ユーザを不正ユーザとみなし認証端末登録テーブル１４へ登録は行わず、該当ユーザはネットワークへのアクセスが不可となる。なお、認証スイッチ１１１は、ＭＡＣアドレスを用いて認証サーバ１１０へ認証可否を問い合わせるＭＡＣアドレス認証方式を用いてもよい。その場合は、認証サーバ１１０は、端末のＭＡＣアドレスやユーザの情報を事前に持っている。

また、認証情報処理部１５は、無線アクセスポイント（ＡＰ）１１３による認証処理の結果の通知を受けた場合も、認証端末登録テーブル１４を更新し、無線ＡＰ（１１３）の認証処理で認証された端末の認証状態を認証済みとする。このように、認証情報処理部１５は、認証端末登録テーブルを更新し、無線アクセスポイントでの認証結果や認証スイッチ自身での認証結果を用いて認証状態を管理する。その結果、認証スイッチ１１１は、認証サーバ１１０に認証要求をする処理をスキップし、更新された認証端末登録テーブル１４を参照し端末からネットワーク１１５への通信を許可する。 無線アクセスポイント（ＡＰ）１１３は、ユーザ端末１１４が無線通信を利用してネットワーク接続を行う場合の接続ポイントとして機能する。また、無線アクセスポイント（ＡＰ）１１３は、ＩＥＥＥ８０２．１Ｘ認証のような認証方式を用いて、認証サーバ１１０へ認証可否の問合せを行ない、ネットワーク認証を行う。

ユーザ端末１１４はネットワークに接続すると認証パケットを送信し、その認証パケットを受信した無線アクセスポイント１１３は、認証サーバに対して認証情報が登録されているか問い合わせを行う。認証サーバは認証データベースを検索し、認証情報が登録されている場合には、認証成功通知を無線アクセスポイントまたは認証スイッチに通知し、その通知を受信した無線アクセスポイントまたは認証スイッチは、当該認証リクエストを送信したユーザ端末を認証済みとして、通信を可能とする。

無線ＡＰ１１３は、無線送受信部１１３０、パケット送受信部１１２０、ＣＰＵ１１６０、メモリ１１５０を有する。メモリ１１５０は、ＣＰＵ１１６０に接続される。メモリ１１５０は、認証端末登録テーブル１１４０と、認証情報登録部１１５０を有する。認証情報登録部１１５０は、プログラムであり、ＣＰＵ１１６０によって読み出され実行される。認証情報登録部１１５０は、認証スイッチで認証登録をするのと同様に、無線ＡＰ１１３にアクセスする端末の認証可否について認証サーバに問合せ、その問合せ結果に応じて認証端末登録テーブル１１４０に認証可否を設定する。そして、認証可の場合は、無線ＡＰ１１３は、ＨＴＴＰ（ＨＴＴＰＳ）のＰＯＳＴメソッドにより、認証スイッチ１１１に対して認証可の端末の情報を送信する。ＣＰＵ１１６０は、メモリ１１３０に接続され、認証情報登録部１１５０を実行し、認証端末登録テーブル１１４０を更新または参照する。ＣＰＵ１１６０は、パケット送受信部１１２０及び無線送受信部１１１０に接続され、それらを制御する。たとえば、ＣＰＵ１１６０は、認証情報登録部１１５０の処理に従ったパケット送受信部における転送先アドレスや出力ポートの設定を行う。

無線送受信部１１１０は、無線端末１１４から送信された信号を無線でアンテナを介して受信し、無線端末１１４に信号を無線で送信する。パケット送受信部１１２０は、認証スイッチ１１１から送信されたパケットを受信し、無線送受信部１１１０を介してパケットを無線端末１１４に向けて送信する。また、パケット送受信部１１２０は、認証済みの無線端末１１４からのパケットをポート１１２０を介して認証スイッチに１１１へ送信する。認証済みでない無線端末１１４からのパケットについては、認証情報登録部１１５０の処理に従ってパケットが、認証スイッチに１１１に向けて送信される。

また、無線ＡＰは、ポート１１２０を有し、認証スイッチ１１１や他のノードに有線ネットワークを介して接続される、ポート１１２０は、無線ＡＰ１１３が認証スイッチ１１１や認証サーバ１１０、ネットワーク１１５を通信するためのインターフェースである。また、無線ＡＰ１１２０は、複数のポート１１２０を有する。それぞれのポート１１２０は一意の識別子が割り振られており、ＣＰＵ１１６０により管理される。

図２は、認証端末登録テーブル１４の構成を示す。認証端末登録テーブル１１４０も同様の構成である。認証端末登録テーブル１４は、ユーザ端末（無線端末１１４または有線端末１１８）のＭＡＣアドレス、ＩＰアドレス、所属ＶＬＡＮ、アクセス制御をするための識別子、ユーザ名と認証状態の関連付けを示す。なお、認証スイッチ１１１や無線アクセスポイント１１３といったネットワーク機器は、図２で示すテーブルの形式に限らず、これらの情報を関連づけて保持してもよい。

無線アクセスポイント１１３（認証情登録部１１５０）では、ユーザ端末（無線端末１１４）からの認証要求パケットを受信すると受信ポートの番号を認証端末登録テーブル１１４０へ記録し、認証要求パケットから、認証端末のＭＡＣアドレス、ＩＰアドレス、所属ＶＬＡＮ番号、ユーザ名を読み取り認証端末登録テーブル１１４０へ記録する。

その際、識別子の欄は未記入、状態の欄は認証中として、認証要求パケットを認証サーバ１１０へ送信する。無線アクセスポイント１１３（認証情報登録部１１５０）は、認証サーバから認証結果通知を受信し、認証が成功していた場合、認証結果通知に記載されているユーザの識別子を読み取り、認証端末登録テーブル１１４０に、読み取った識別子を書き込み、状態を認証済みに変更し、更新する。そして、無線アクセスポイント１１３（認証情報登録部１１５０）は、無線アクセスポイントから認証スイッチへＨＴＴＰのＰＯＳＴメソッドにより、認証済みとなった端末のＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮ番号、ユーザ名、識別子を送信する。

一方、認証スイッチ１１（認証情報処理部１５）は、認証端末登録テーブル１４へ、無線アクセスポイントからのパケットを受信したポート番号と、ＰＯＳＴメソッドにより通知された情報を用いて認証端末登録テーブル１４に登録し、他の認証情報はＰＯＳＴメソッドにより受信したパケットから読取ることにより、認証端末登録テーブル１４に登録を行う。

無線アクセスポイントが認証サーバから認証失敗の通知を受信した場合、認証状態が「認証中」となっていた該当ユーザ情報を認証端末登録テーブル１１４０から削除する。

実施例１では、無線アクセスポイント１１３で認証を行った場合、無線アクセスポイント１１３から認証スイッチ１１１に対してＨＴＴＰのＰＯＳＴメソッドを利用して認証情報を送信し、認証情報の同期を行う。図１において、認証スイッチ１１１は無線アクセスポイント１１３からＨＴＴＰのＰＯＳＴメソッドによって認証情報を受信すると、認証情報処理によって受信パケットから認証成功端末のＭＡＣアドレス、ＩＰアドレス、所属ＶＬＡＮ、識別子、の情報を読取り、認証端末登録テーブル１４のエントリに読み取った情報を登録する。また、認証端末登録テーブル１４に登録するポート番号は、無線アクセスポイント１１３からＨＴＴＰパケットを受信したポート番号を登録し、認証状態を認証済みとして登録する。また、認証スイッチ１１１は、処理２０６により通知された認証情報を用いてＡＣＬテーブル１６またはＱｏＳ登録テーブル１６６を更新する。

図１で示す形態のネットワークシステムにおいて、端末１１４が無線アクセスポイント１１３経由でネットワーク１１５にアクセスする形態では無線アクセスポイント１１３にて認証処理を実施すれば認証スイッチ１１１での認証サーバ１１６に問合せする認証処理は不要となる。また、有線で接続されるユーザ端末１１８がハブ１１２経由でネットワーク１１５にアクセスする形態では認証スイッチ１１１で認証処理を実施すればよい。従って、無線アクセスポイント１１３と認証スイッチ１１１いずれかで、認証サーバ１１６との問合せによる認証処理を実施すればよい。認証スイッチ１１１での認証処理については、上記に示したとおりである。

本実施例では、特に、無線アクセスポイント１１３にて認証処理を行い、認証成功情報を認証スイッチ１１１の認証成功情報と同期し、認証スイッチ１１１や認証サーバ１１０での負荷の軽減することを目的としている。そこで、以下、ユーザ端末１１４が無線アクセスポイント１１３経由で自分が属するドメインへログインする形態について説明する。

図５は、本実施例における認証処理のシーケンス図である。

無線アクセスポイント１１３は、無線ユーザ端末 １１４からの任意のパケットを無線アクセスポイント１１３で受信すると、認証端末登録テーブル１１４０を参照し、無線アクセスポイント１１３（認証情報登録部１１５０）は受信した任意のパケットが認証済みのユーザ端末からのものか否かを識別する処理２０１を行う。

無線アクセスポイント１１３（認証情報登録部１１５０）は、認証済みのユーザ端末からのパケットであると判断された場合には、端末の通信を許可し受信したパケットを認証スイッチに転送する。

無線アクセスポイント１１３（認証情報登録部１１５０）は、処理２０１の結果、認証前のユーザ端末からのパケットであると判断された場合、ユーザ端末１１４に認証情報（ユーザＩＤ、パスワード）の要求処理２０２を行う。無線アクセスポイント１１３からの認証情報の要求を受信したユーザ端末１１４は、無線アクセスポイント１１３へ認証情報を送信する処理２０３を行う。ユーザ端末１１４から認証情報を受信した場合、無線アクセスポイント１１３（認証情報登録部１１５０）は、認証サーバ１１０ へ認証要求を送信する処理２０４を行う。

無線アクセスポイント１１３からの認証要求を受信した認証サーバ１１０は、認証要求中に含まれるユーザ情報が認証サーバ１１０内のユーザデータベースに予め登録されているか否かを識別し、登録されていた場合には認証結果を認証成功と判断し、また登録されていない場合には認証結果を認証失敗と判断し、無線アクセスポイント１１３へ認証結果を送信する処理２０５を行う。

無線アクセスポイント１１３（認証情報登録部１１５０）は、認証サーバ１１０から認証スイッチ１１１を介して認証結果を受信する。無線アクセスポイント１１３（認証情報登録部１１５０）は、認証結果を参照し、認証成功したか失敗したかを判定する。受信した認証結果が認証成功を示す場合、無線アクセスポイント１１３（認証情報登録部１１５０）は、メモリ１１３０内で管理している認証端末登録テーブル１１４０に認証成功となったユーザ端末の情報を登録する（処理２０６）。そして、無線アクセスポイント１１３（認証情報登録部１１５０）は、認証成功情報を認証スイッチ１１１へＨＴＴＰのＰＯＳＴメソッドを利用して通知する処理２０６を行う。無線アクセスポイント１１３から認証スイッチ１１１へＰＯＳＴする認証情報は、ユーザ端末１１４のＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮ番号、ユーザ名、識別子、無線アクセスポイントでの認証状態である。

認証スイッチ１１１（認証情報処理部１５）は、無線アクセスポイント１１３から認証成功情報を受信した場合、認証スイッチ１１１内のユーザ端末登録テーブル１４に認証が成功した端末の情報を登録し、ユーザ端末の通信を許可する。

認証スイッチ１１１にアクセス制御情報の登録テーブル１６やＱｏＳ制御情報の登録テーブル１６６を予め設定しておく。処理２０６によるＨＴＴＰＳのＰＯＳＴメソッドにより無線アクセスポイント１１３から通知された識別子を用いて、認証スイッチ１１１は、当該識別子に対応するユーザ端末の識別子とアクセス制御情報やＱｏＳ情報を紐付け、テーブル１６（または１６６）を更新し、ユーザ端末単位でのアクセス制御やＱｏＳ制御を可能とする。

無線アクセスポイント１１３は認証が成功したユーザ端末１１４のネットワーク１１５への通信を可能とするユーザ端末の通信許可およびユーザ端末への認証結果の応答処理２０７を行い、ユーザ端末１１４は自分が所属するドメインへのログインが可能となる。

図３.図４を用いて、認証スイッチ１１１が、処理２０６で受ける通知に含まれる認証情報を用いてテーブルを更新する例を説明する。

図３に示すアクセス制御情報(ＡＣＬ)の登録テーブルは、認証成功後のユーザ端末がアクセスできるネットワークを制御するための条件を設定する。アクセス制御情報(ＡＣＬ)の登録テーブル１６の各エントリには、識別子、アクセス条件、制御する挙動の項目がある。識別子は、ユーザＩＤと関連付けされた情報であり、関連付けの情報は認証サーバに予め登録しておき、認証済みとなった端末については認証端末登録テーブル１４で紐付けられた情報が管理される。そのため、識別子毎にアクセス制御の条件が設定され、ユーザ毎のアクセス制御が設定される。実施例であれば、識別子１００に登録されたユーザは、認証成功後、宛先１９２.１６８.１００.０/２４への通信は許可されているが、それ以外のネットワークへはアクセスが制限される動作となる。

図３は、ＡＣＬ１６（アクセス制御情報テーブル）の一例を示す。ＡＣＬ１６は、識別子とアクセス条件とアクセス条件に合致した場合の制御する挙動との対応付けを保持する。「識別子」は、認証端末登録テーブル１４で保持されるような他の情報とリンクさせるための、一意に識別可能な識別子である。リンク不要のエントリの場合は、当該識別子の欄は、空欄となる。また、「アクセス条件」は、パケットの宛先が設定される。そして、「制御する挙動」は、「アクセス条件」に合致したパケットに対してどのような制御をパケット送受信部１７で行なうべきかが設定される。

図４は、ＱｏＳ１６６（ＱｏＳ情報登録テーブル１６６）の例を示す。ＱｏＳ情報登録テーブル１６６では、認証成功後のユーザ端末のＱｏＳ制御を行うための条件を設定する。図３と同様に、ＱｏＳ１６６の各エントリには、識別子、アクセス条件、制御する挙動の項目がある。図３との違いは、アクセス制御情報(ＡＣＬ)の登録テーブル１６との違いは、アクセス条件の内容がＱｏＳの条件で設定されるといった点である。実施例であれば、識別子３００に登録されたユーザの宛先ネットワーク１９２.１６８.１００.０への通信は、CoS値を５変更して通信を行う動作となる。

また、図４のようなＱｏＳ情報を設定した場合、識別子２００に紐付けられたユーザ端末から宛先ネットワーク１９２.１６８.２００.０への通信では、認証スイッチ１１１で、CoS値の書き換え処理が行われ、また、識別子３００に紐付けられたユーザ端末の宛先ネットワーク１９２.１６８.２００.０への通信はDSCP値の書き換え処理が行われる。このように識別子を利用することにより、無線アクセスポイント１１３経由で認証処理を実施したユーザ端末にも認証スイッチ１１１に設定したアクセス制御情報やＱｏＳ情報を適用することが可能となり、設定情報の一元管理が可能となる。

認証スイッチ１１１は、アクセス制御情報やＱｏＳ制御情報を予め設定しておくことで、無線アクセスポイント１１３から認証スイッチ１１１へ通知された識別子を用いて、認証スイッチではユーザ端末の識別子とアクセス制御情報やＱｏＳ情報を紐付け、ユーザ端末単位でのアクセス制御やＱｏＳ制御を可能とする。

次に、認証成功となったユーザ端末１１４が自分の所属するドメインからログアウトする場合のシーケンスを説明する。無線アクセスポイント１１３ でユーザ端末１１４のログアウトを検知した場合、無線アクセスポイント１１３（認証情報登録部１１５０）内で管理しているユーザ端末登録テーブル１１４０からユーザ端末１１４の認証成功情報削除処理２０８を行う。そして、無線アクセスポイント１１３（認証情報登録部１１５０）は、認証スイッチ１１１へＨＴＴＰＳのＰＯＳＴメソッドを利用してユーザ端末１１４のログアウト情報通知処理２０９を行う。

無線アクセスポイント１１３からログアウト情報を受信した認証スイッチ１１１（認証情報処理部１５）は、認証スイッチ１１１内のユーザ端末登録テーブル１４からユーザ端末１１４の認証成功情報を 削除する処理２１０を行い、ユーザ端末１１４のログアウト処理が完了する。 なお、ログアウトの検知は、無線アクセスポイント１１３は、定期的に無線端末１１４からのアクセス状況を監視し、所定の時間アクセスがない場合に、ログアウトと判定してもよい。なお、認証スイッチ１１でも、無線アクセスポイント１１３と同様に、ログアウトの検知処理を行ない、認証端末登録テーブル１４からログアウトしたと判定したユーザの情報の削除や、ＡＣＬ１６やＱｏＳ１６６のテーブルの更新を行ってもよい。 また、認証スイッチ１１１にて通信監視機能または管理者の設定によりによりユーザ端末のログアウトを検知した場合、認証スイッチにてログアウト処理を行なってもよい。この場合、認証スイッチ１１１から無線アクセスポイント１１３に対して、ユーザ端末のログアウト要求処理６０２を行う。認証スイッチ１１１からのログアウト処理要求を受信した無線アクセスポイント１１３は該当ユーザ端末の認証情報を削除する。

以上の実施例にて、無線アクセスポイントにて認証を行い、認証スイッチと無線アクセスポイントの認証成功情報の同期を行うことで、認証スイッチでの認証設定とアクセス制御、ＱｏＳ制御の一元管理を可能とするものである。

図６は、実施例１において認証スイッチ１１１と無線アクセスポイント１１３との疎通性がなくなった場合のシーケンス図を示す。図６では、ネットワーク障害により認証スイッチ１１１と無線アクセスポイント１１３との疎通性がなくなった場合、認証スイッチ１１１は無線アクセスポイント１１３がネットワークから離脱したとみなし認証スイッチ１１１内の認証情報登録テーブル１４から、無線アクセスポイント１１３から処理２０６に得られたユーザ端末の認証情報を削除する処理３０１を行う。

また、認証スイッチ１１１が装置再起動した場合、認証スイッチ１１１内の認証情報登録テーブル１４の登録情報は一掃される。この時、無線アクセスポイント１１３ 内の認証情報登録テーブルは保持されたままとなるため、無線アクセスポイント１１３と認証スイッチ１１１間で認証状態に差異が発生し、無線アクセスポイント１１３配下で既にログイン処理が完了している端末がネットワーク１１５へアクセスできなくなる問題が発生する。そこで本実施例では、認証スイッチ１１１が 無線アクセスポイント１１３への疎通性確認処理３０２にて、無線アクセスポイントを再度確認したとき、認証スイッチ１１１から無線アクセスポイント１１３へ認証情報の要求処理３０３を行う。認証スイッチ１１１からの認証要求を受信した無線アクセスポイント１１３は、無線アクセスポイント１１３内の認証情報登録テーブルの情報に基づいて、ＨＴＴＰＳの ＰＯＳＴメソッドを利用して認証スイッチ１１１へ認証情報を送信する処理３０４を行う。

無線アクセスポイント１１３から認証情報を受信した認証スイッチ１１１は、認証 スイッチ１１１内のユーザ端末登録テーブル１４に認証情報を登録する処理３０５を行う。

以上説明したように、認証スイッチのポートがリンクダウンした場合や、認証スイッチが再起動した場合などに、認証成功情報が無線アクセスポイントと認証スイッチの間で不一致が生じる可能性がある。この場合、認証スイッチではポートがリンクダウンからリンクアップしたことを契機として、無線アクセスポイントへ認証成功情報の再送要求通知を行う。これにより、ユーザ端末が再度認証動作を行うのではなく、無線アクセスポイントと認証スイッチ間でのみ認証成功情報のやり取りを行うため、ユーザ端末に意識させることなく認証情報の同期を行うができる。

以上が実施例１の説明である。

実施例２は、無線アクセスポイントと認証スイッチ間での認証情報の同期を行うことにより、ユーザ端末のアクセス制御を認証スイッチで一括管理することが可能となり、管理者の負荷を軽減できるという利点があり、実施例２では、認証情報の同期を、認証スイッチをRADIUプロキシサーバとして動作させることにより実現する。

無線アクセスポイント１にユーザ端末が接続された場合、認証可否をＲＡＤＩＵＳプロトコルを使用して認証スイッチに問い合わせを行う。この場合、無線アクセスポイントと認証スイッチ間で通信経路は暗号化されている場合でも、認証スイッチが終端となるため、認証情報の判断が可能である。認証スイッチはＲＡＤＩＵＳプロキシとして動作し、無線アクセスポイントの代理として認証サーバへ問い合わせを行う。認証サーバから認証成功通知を認証スイッチが受信し、ユーザ端末の認証が成功した場合、認証スイッチは認証成功情報を自身のユーザ端末登録テーブルへ格納し、認証情報に含まれる識別子と予め設定されているアクセス制御情報やＱｏＳ情報とユーザ端末を紐付けて、ユーザ端末単位でのアクセス制御やＱｏＳ制御を行う。また、無線アクセスポイントへも認証成功情報を転送する。無線アクセスポイントでも、認証成功情報をユーザ端末登録テーブルへ格納する。本実施例では、無線アクセスポイントから認証スイッチへＲＡＤＩＵＳを用いて認証問い合わせを行うため、処理としては負荷が軽くなる。

図７は、実施例２におけるネットワーク構成である。図７で示すように、実施例２は実施例１と同様に、ユーザ端末１１４がネットワーク１１５にアクセスするために認証処理を必要とするネットワーク構成である。実施例２では無線アクセスポイント１１３と認証スイッチ１１６の認証情報を同期化する方式としてＲＡＤＩＵＳプロキシサーバ機能を利用する。図７で示すように、認証スイッチ１１７の内部にRADIUプロキシサーバ１８を有する構成を記載している。それ以外の認証スイッチ１１７の構成は、実施例１の認証スイッチ１１１の構成と同様である。

認証スイッチ(RADIUプロキシサーバ)１１７はRADIUプロキシサーバと動作する。そのため、無線アクセスポイント１１４は認証スイッチ(RADIUプロキシサーバ)１１７内のＲＡＤＩＵＳプロキシサーバ１８をＲＡＤＩＵＳサーバと認識して動作し、認証スイッチ(RADIUプロキシサーバ)１１７に対して認証要求パケットを送信する。認証スイッチ(RADIUプロキシサーバ)１１７は、無線アクセスポイント１１３から認証要求パケットを受信した場合、認証情報処理部１５により認証要求パケットから認証要求ユーザのＭＡＣアドレス、ＩＰアドレス、所属ＶＬＡＮ、ユーザＩＤを読取り、認証端末登録テーブル１４に登録を行う。その際、認証端末登録テーブル１４のポート番号は認証要求パケットを受信したポート番号、識別子は未記入、認証状態は認証中、として登録する。認証情報処理部１５による情報の登録処理が終了すると、認証要求パケットをＲＡＤＩＵＳサーバ１１６へ転送する。ＲＡＤＩＵＳサーバからの認証結果通知パケットを認証スイッチＲＡＤＩＵＳプロキシサーバ)１１７で受信し、認証情報処理部１５で認証結果通知パケットの情報を読み取り、認証結果が認証成功であった場合、認証端末登録テーブル１４に該当ユーザの識別子の記載と、認証状態を「認証済み」に更新する。また、認証結果が認証失敗であった場合、認証端末登録テーブル１４に登録されている該当ユーザのエントリを削除する。

図８は、実施例２での、認証処理のシーケンス図である。ユーザ端末１１４からの任意のパケットを無線アクセスポイント１１３で受信すると、無線アクセスポイン１１３は受信した任意のパケットが認証済みのユーザ端末からのものか否かを識別する処理４０１を行う。認証済みのユーザ端末からのパケットであると判断された場合には、無線アクセスポイント１１３は、受信したパケットを転送し、認証前のユーザ端末からのパケットであると判断された場合にはユーザ端末１１４に認証情報の要求処理４０２を行う。無線アクセスポイント１１３からの認証情報の要求を受信したユーザ端末１１４は無線アクセスポイント１１３へ認証情報を送信する処理４０３を行う。ユーザ端末１１４から認証情報を受信した無線アクセスポイント１１３は認証スイッチ(RADIUプロキシサーバ)１１７へ認証要求を送信する処理４０４を行う。処理４０１、４０２、４０３、４０４は、実施例１の処理２０１、２０２、２０３、２０４と同様である。 認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は、無線アクセスポイント１１３からＲＡＤＩＵＳサーバに対する認証要求を受けた場合、ＲＡＤＩＵＳパケットからユーザ端末のＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮ番号、ユーザ名を取得し、識別子を空白、無線アクセスポイントでの認証状態を認証中としてユーザ端末登録テーブル１１４０に登録すると共に、ＲＡＤＩＵＳサーバ１１６へ認証要求送信処理４０５を行う。

ＲＡＤＩＵＳサーバ１１６は、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７からの認証要求を受信した場合、認証要求があったユーザ情報がＲＡＤＩＵＳサーバ１１６内のユーザデータベースに予め登録されているか否かを識別し、登録されていた場合には認証結果を認証成功と判断し、登録されていない場合には認証結果を認証失敗と判断し、認証結果を認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７へ送信する処理４０６を行う。

ＲＡＤＩＵＳサーバ１１６から認証結果を受信した認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は認証成功の結果を受信した場合、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７内で管理しているユーザ端末登録テーブル１４に認証成功となったユーザ端末の情報を登録し、ユーザ端末の通信許可を行う。また、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は、ＲＡＤＩＵＳサーバから受信した認証結果に含まれる識別子もユーザ端末登録テーブルに登録する。実施例１と同様に認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は識別子を利用して、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７に予め設定したアクセス制御情報やＱｏＳ制御情報の登録テーブルで、ユーザ端末の識別子を紐付けて、ユーザ端末単位でのアクセス制御やＱｏＳ制御を行う。そして、認証スイッチ１１７は、ポート１２を介して無線アクセスポイント１１３へ認証成功の結果を通知する処理４０７を行う。

無線アクセスポイント１１３は、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７からの認証成功通知を受信した場合、ユーザ端末１１４の通信を許可する処理４０８を行う。

さらに、無線アクセスポイント１１３でユーザ端末のログアウトを検知した場合、無線アクセスポイント１１３内のユーザ端末登録テーブルから該当するユーザ端末の認証情報を削除する処理４０９を行うと共に、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７へＲＡＤＩＵＳ Accounting-RequestによりSTOPの通知を発行する処理４１０を行う。 認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は、無線アクセスポイント１１３からSTOP通知を受信した場合、ユーザ端末登録テーブル１４から該当するユーザ端末の認証情報を削除する処理４１１を行う。そして、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は、STOPの通知をＲＡＤＩＵＳサーバ１１６へ転送する処理４１２を行う。

図９は、実施例２における認証情報削除処理を示す。ネットワーク障害により認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７と無線アクセスポイント１１３との疎通性がなくなった場合、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は無線アクセスポイント１１３がネットワークから離脱したとみなし認証情報登録テーブル１４の内、無線アクセスポイント１１３から学習したユーザ端末の認証情報を削除する処理５０１を行う。また、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７が装置再起動した場合、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７内の認証情報登録テーブル１４の登録情報は一掃される。この時、実施例１の図５と同様に、無線アクセスポイント１１３ 内の認証情報登録テーブルは保持されたままとなるため、無線アクセスポイント１１３と認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７間で認証状態に差異が発生し、無線アクセスポイント１１３配下で既にログイン処理が完了している端末がネットワーク１１５へアクセスできなくなる。そこで本実施例では、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７が無線アクセスポイント１１３への疎通性確認処理５０２にて無線アクセスポイントを確認したとき、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７から無線アクセスポイント１１３へ認証情報の要求処理５０３を行う。

さらに、本実施例では、認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７からの認証要求を受信した無線アクセスポイント１１３は無線アクセスポイント１１３内の認証情報登録テーブルの情報に基づいてRADIUプロキシサーバへ認証の再要求処理５０４を行う。
無線アクセスポイント１１３から認証要求を受信した認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は認証要求の情報を確認すると共に、ＲＡＤＩＵＳサーバ１１６へ認証要求を転送する処理５０５を行う。認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７からの認証要求を受信したＲＡＤＩＵＳサーバ１１６は装置内のユーザデータベースに基づいて、認証結果を認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７へ通知する処理５０６を行う。

ＲＡＤＩＵＳサーバ１１６からの認証結果を受信した認証スイッチ(ＲＡＤＩＵＳプロキシサーバ)１１７は、認証結果に基づいて装置内のユーザ端末登録テーブル１４を更新すると共に、無線アクセスポイント１１３へ認証結果を転送する処理５０７を行う。無線アクセスポイント１１３では認証結果を受信すると、無線アクセスポイント１１３内の認証情報登録テーブルの情報を更新するのみで、ユーザ端末へは通知を行わない。

上述の種々の実施例及び下記の態様により、以下の効果の少なくとも一を奏する。

無線アクセスポイントからのユーザ端末のアクセスは無線アクセスポイントで認証処理を行いつつ、認証成功情報を認証スイッチと同期し、有線のユーザ端末からのアクセスは認証スイッチで認証処理を行う態様により、認証処理の負荷を各無線アクセスポイントと認証スイッチ間で分散することができる。

無線アクセスポイントと認証スイッチ間で認証成功情報を同期することにより、認証に関する設定情報を、認証スイッチで一元的に管理することができる。

無線アクセスポイントと認証スイッチ間で認証成功情報を同期するという態様により、アクセス制御やＱｏＳ制御に関する設定情報を一元的に管理しつつ、認証成功情報に付加された情報を元に、ユーザ端末単位のアクセス制御やＱｏＳ制御を認証スイッチで集中的に実施することができる。

認証スイッチのポートアップ（リンクアップ）を契機に、無線アクセスポイントに認証成功情報の再送要求を行う態様により、ユーザ端末に意識させることなく、無線アクセスポイントと認証スイッチの認証成功情報を同期させることができる。

認証スイッチへの管理者の認証情報消去設定を契機として、無線アクセスポイントに認証成功情報を消去するよう認証スイッチから要求する態様により、管理者は無線アクセスポイントを個別に把握することなく、認証ネットワーク上からユーザ端末の認証成功情報を消去することができる。
上記各実施例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えてもよく、逆に、ソフトウェアによって実現されていた構成の一部をハードウェアに置き換えても良い。

以上説明したとおり、本実施例では、無線アクセスポイントと認証スイッチの認証処理を同期化させ、無線アクセスポイントの設定は最小限に留めた状態で、無線アクセスポイントで認証処理を実施し、認証スイッチでは、認証に関連する設定や、認証されたユーザ毎に個別のアクセス制御やＱｏＳ制御を行う。
以上、実施例、変形例に基づき本発明について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その主旨ならびに特許請求の範囲を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。

１１ ＣＰＵ、１２ ポート、１３ メモリ、１４ 認証端末登録テーブル、１５ 認証情報処理部、１６ アクセス制御情報(ＡＣＬ)、１６６ ＱｏＳ情報登録テーブル、１７ パケット送受信部、１１０ 認証サーバ、１１１ 認証スイッチ、１１２ スイッチングハブ、１１３ 無線アクセスポイント、１１４ （無線）ユーザ端末、１１５ ネットワーク、１１６ ＲＡＤＩＵＳサーバ、１１７ ＲＡＤＩＵＳプロキシサーバ機能を内蔵した認証スイッチ、１１８（有線）ユーザ端末

Claims (14)

1. 通信システムであって、
   第１の端末及び第２の端末の認証情報を保持する認証サーバと、前記第一の端末に接続され、前記認証サーバに対して外部ネットワークへのアクセスに関する認証要求を送信し、前記認証要求に対する結果に基づいて第一の認証処理を行う通信ノードと、
   前記通信ノードと前記認証サーバとの間に位置し、前記第一の端末及び第２の端末の少なくとも一方から外部ネットワークへのアクセスするための認証要求に対して、端末毎に認証処理の状況を示す認証状態を保持し、前記第一の端末または前記第２の端末からのアクセス要求に対応する認証状態が、認証完了していない場合、前記認証サーバに対して第二の認証処理を実行し、前記認証状態を更新し、前記第一の認証処理の結果を取得した場合、前記認証状態を更新し、
   前記更新された認証状態が認証成功を示す場合、前記第一の端末または前記第２の端末から前記外部ネットワークへの通信を許可する認証スイッチと、を有する、ことを特徴とする通信システム。
2. 請求項１記載の通信システムであって、
   前記通信ノードは、前記第一の端末から無線ネットワークを介してアクセス要求を受領し、前記通信ノードから前記認証スイッチを介して認証サーバに、前記第一の認証処理に関する認証要求を実行し、前記認証要求に対する回答が認証成功を示す場合、前記通信ノードから前記認証スイッチに対して、前記第一の端末が認証成功したことを示す情報を通知し、
   前記認証スイッチは、前記通知に応じて前記認証状態を更新する、ことを特徴とする通信システム。
3. 請求項２記載の通信装置であって、前記通信ノードは、ＨＴＴＰＳのＰＯＳＴメソッドにより、端末のＭＡＣアドレス、ＩＰアドレスを含めて第一の端末が認証成功したことを示す情報を通知し、前記認証スイッチは、前記ＰＯＳTメソッドに従った通知に従って前記認証状態を更新する、ことを特徴とする通信システム。
4. 請求項２記載の通信システムであって、
   前記認証スイッチは、前記認証サーバの代理応答をする認証プロキシを備え、
   前記認証プロキシは、前記第一の認証処理に関する認証要求を実行し、前記通信ノードに、前記認証結果を送信するとともに、前記認証状態を更新する、
   ことを特徴とする通信システム。
5. 請求項４記載の通信システムであって、
   前記認証サーバは、ＲＡＤＩＵＳサーバである、ことを特徴とする通信システム。
6. 請求項２記載の通信システムであって、
   前記通信ノードは、前記認証スイッチの取得要求に応じて、ＨＴＴＰＳのＰＯＳＴメソッドにより前記通信ノードが管理する認証状態を送信する、ことを特徴とする通信システム。
7. 請求項２記載の通信システムであって、
   前記通信ノードは、未認証端末からのアクセス要求に対し、ＩＥＥＥ８０２．１ｘ認証により、認証を行い、前記認証スイッチは、未認証の端末からのアクセス要求に対し、ＭＡＣアドレス認証を行なうことを特徴とする、通信システム。
8. 外部ネットワークに通信するための第１の端末及び第２の端末の認証情報を保持する認証サーバに対して、第一の認証要求を行う通信ノードと、前記外部ネットワークと、に接続され、前記認証サーバ及び前記通信ノード間の通信経路に位置する認証スイッチであって、
   端末毎に認証状態を対応付けて保持するメモリと、
   前記メモリを参照し、認証状態が認証済みでないことを示す端末からの外部ネットワークへのアクセス要求の受領に応じて、第二の認証要求を認証サーバに対して行う認証要求部と、
   前記第一の認証要求に対応する認証成功を示す第一の認証結果及び当該端末の情報あるいは前記第二の認証要求に対して認証成功の結果を示す第二の認証結果の、いずれか一方を取得する場合、前記メモリに保持される認証状態を更新する認証管理部と、
   前記第一の認証要求と前記第一の認証要求に対する第一の認証結果を含む応答と前記更新された認証状態に従って通信が許可された端末からの外部ネットワークへのアクセスを中継する中継処理部と、
   を有する、ことを特徴とする認証スイッチ。
9. 請求項８記載の認証スイッチであって、
   前記通信ノードに有線を介して接続される第一のポートと、前記第二の端末に有線を介して接続される第二のポートと、認証サーバに接続される第３のポートと、前記外部ネットワークに接続される第４のポートと、を備え、
   前記中継処理部は、前記第一の端末からの無線を介して前記通信ノードに送信されるアクセス要求に対応する第一の認証要求あるいは前記応答を前記第一のポートを介して前記通信ノードに転送し、
   前記認証要求部は、第二の端末からの外部ネットワークへのアクセス要求を前記第二のポートを介して受領し、前記第二の認証要求を前記第３のポートを介して送信し、
   前記認証管理部は、前記第一のポートを介して、前記応答に含まれる情報を前記通信ノードから受信する、ことを特徴とする、認証スイッチ。
10. 請求項８記載の認証スイッチであって、
    前記中継処理部は、外部ネットワークへのアクセスに関する条件が設定されるアクセス制御リストまたはＱｏＳ制御テーブルの少なくとも一方を含むフィルタを保持し、
    前記認証管理部は、前記第一の認証処理の結果の取得に応じて、前記フィルタに認証された端末の情報を対応付け、前記フィルタを更新する、ことを特徴とする認証スイッチ。
11. 請求項８記載の認証スイッチであって、
    前記認証管理部は、第一の認証要求で認証済みと更新されていれば、第二の認証要求の送信を含む認証処理をスキップする、ことを特徴とする認証スイッチ。
12. 請求項８記載の通信装置であって、前記認証スイッチは、前記通信ノードからＨＴＴＰＳのＰＯＳＴメソッドにより、端末のＭＡＣアドレス、ＩＰアドレスを含めて第一の端末が認証成功したことを示す情報を受信し、前記認証状態を更新する、ことを特徴とする認証スイッチ。
13. 請求項８ないし１１いずれか一に記載の認証スイッチであって、第一の認証要求は８０２．１ｘ認証に従い、第二の認証はＭＡＣアドレス認証に従う。
14. 請求項８記載の認証スイッチであって、
    さらに、前記認証サーバの代理するプロキシ部を有し、
    前記認証管理部は、前記第一の認証要求に対する前記プロキシ部における認証結果を用いて端末の認証状態を更新する、ことを特徴とする、認証スイッチ。

Images