JP2016099865A - 通信システム - Google Patents

Abstract

【課題】通信システムに関して、ユーザの端末がログイン状態である場合にもログイン制限を実現できる技術を提供する。【解決手段】通信システムにおいて、認証スイッチ及び認証サーバは、ユーザの端末がネットワークへログインする際、ユーザ入力のアカウント及び認証ＤＢのアカウント情報を参照してユーザ認証を行い、その結果に応じてログインを許可または不許可にする。認証スイッチは、端末のＭＡＣアドレス及びリストに基づいて端末によるネットワークへの接続を許可または不許可にする接続制限を行う。認証サーバは、ユーザのアカウントと端末のＭＡＣアドレスとを含む関係付け情報を管理表に記録し、アカウント情報の設定変更によるログイン制限の実行を契機として、管理表に基づいて指示を送信し、認証スイッチは、指示に従い、リストのＭＡＣアドレスの削除により、対象端末による接続を不許可にする。【選択図】図１

Description

本発明は、通信システムの技術に関し、特に、ユーザの端末によるネットワークへのログインを制限する技術に関する。

ＬＡＮやインターネット等のネットワークを含む通信システムにおいて、ユーザの端末がネットワークへログインする際に、認証や接続制限を行う場合がある。

認証の例として、ユーザ認証がある。ユーザ認証は、ユーザのアカウントとしてユーザＩＤ及びパスワードの組合せを用いた認証である。ユーザの端末は、ネットワークへログインする際、認証機器へアクセスする。認証機器は、認証サーバとの通信に基づいて、ユーザ認証を行い、その結果に応じてログインを許可または不許可にする。認証サーバは、ユーザのアカウントが設定された認証ＤＢを参照してユーザ認証を行う。

接続制限の例として、端末のＭＡＣアドレスを用いた接続制限がある。認証機器は、ネットワークへの接続が許可される端末のＭＡＣアドレスをリストに保持する。認証機器は、端末からのアクセスに対し、端末のＭＡＣアドレス及びリストを確認し、その結果に応じて接続を許可または不許可にする。

ログインの際の認証や接続制限に係わる先行技術例として、特開２０１１−１０７７９６号公報（特許文献１）が挙げられる。特許文献１には、複数の端末、複数の認証スイッチ、及び複数の認証サーバを含むシステムにおいて、認証スイッチは、ポート毎に利用する認証サーバや認証方式を振り分ける機能を有する旨が記載されている。

特開２０１１−１０７７９６号公報

従来の通信システムにおいて、管理者は、ユーザの端末によるログインを許可から不許可へ変更するログイン制限を行う場合、例えば認証ＤＢにおける対象ユーザのアカウントを削除する。このアカウント削除以降、対象ユーザの端末は、認証機器にアクセスしてログインを試みる場合、ユーザ認証の結果が失敗になり、ログインが不許可になる。

しかし、上記ログイン制限の効果は、アカウント削除以降、対象ユーザの端末が次回に認証機器へアクセスしてログインを試みる際から実質的に有効になる。アカウント削除の時点で既に対象ユーザの端末がログイン状態である場合、ログイン制限の効果はまだ無効である。すなわち、対象ユーザの端末は、ログアウトするまで、ネットワークへの接続及びサービスの利用が継続できてしまう。

上記のように、従来のログイン制限を行う通信システムは、一時的にログイン制限の効果が無効の状態が生じる場合があるため、セキュリティの観点を含めて改善余地がある。

本発明の目的は、ログイン制限を行う通信システムに関して、ユーザの端末がログイン状態である場合にもログイン制限を実現できる、セキュリティの観点を含めて改善された技術を提供することである。

本発明のうち代表的な実施の形態は、通信システムであって、以下に示す構成を有することを特徴とする。

一実施の形態の通信システムは、ユーザの端末と、ネットワークに接続され、ユーザの端末によるネットワークへのログインの際にアクセスされる中継装置と、ネットワークに接続され、ログインの際にユーザ認証を行うサーバ装置と、ユーザ認証のアカウント情報としてユーザのアカウントが設定される認証ＤＢと、を含み、中継装置は、ログインの際に、ユーザ認証の要求、ユーザにより入力されたアカウント、及び端末のＭＡＣアドレスをサーバ装置へ送信し、サーバ装置から応答を受信し、ユーザ認証の成功または失敗に応じて当該ログインを許可または不許可にする処理と、ネットワークへの接続が許可される端末のＭＡＣアドレスについての情報をリストに設定し、端末からのアクセスに対し、当該端末のＭＡＣアドレス及びリストを確認して当該端末による接続を許可または不許可にする、接続制限を行う処理と、サーバ装置からの指示に従い、リストの対象端末のＭＡＣアドレスについての情報を設定変更することにより、当該対象端末による接続を不許可にする処理と、を行い、サーバ装置は、ユーザ認証の要求に応じて、ユーザにより入力されたアカウント、及び認証ＤＢのアカウント情報を参照して、ユーザ認証を行い、当該ユーザ認証の成功または失敗を表す応答を中継装置へ送信する処理と、ユーザのアカウントと、当該ユーザの端末のＭＡＣアドレスと、を含む関係付け情報を管理表に記録しておく処理と、認証ＤＢのアカウント情報の設定変更により対象ユーザによるログインを不許可にするログイン制限の実行を契機として、管理表の当該対象ユーザのアカウントに関係付けられる対象端末のＭＡＣアドレスを用いて、指示を中継装置へ送信する処理と、を行う。

一実施の形態の通信システムは、ユーザの端末と、ネットワークに接続され、ユーザの端末によるネットワークへのログインの際にアクセスされる中継装置と、ネットワークに接続され、ログインの際に端末認証を行うサーバ装置と、端末認証のアカウント情報として端末のＭＡＣアドレスが設定される認証ＤＢと、を含み、中継装置は、ログインの際に、端末認証の要求、及び端末のＭＡＣアドレスをサーバ装置へ送信し、サーバ装置から応答を受信し、端末認証の成功または失敗に応じて当該ログインを許可または不許可にする処理と、ネットワークへの接続が許可される端末のＭＡＣアドレスについての情報をリストに設定し、端末からのアクセスに対し、当該端末のＭＡＣアドレス及びリストを確認して接続を許可または不許可にする、接続制限を行う処理と、サーバ装置からの指示に従い、リストの対象端末のＭＡＣアドレスについての情報を設定変更することにより、対象端末による接続を不許可にする処理と、を行い、サーバ装置は、端末認証の要求に応じて、受信した端末のＭＡＣアドレス、及び認証ＤＢのアカウント情報を参照して、端末認証を行い、端末認証の成功または失敗を表す応答を中継装置へ送信する処理と、ユーザの端末のＭＡＣアドレスと、端末が接続される中継装置のＩＰアドレスと、を含む関係付け情報を管理表に記録しておく処理と、認証ＤＢのアカウント情報の設定変更により対象端末によるログインを不許可にするログイン制限の実行を契機として、管理表の対象端末のＭＡＣアドレス、及び中継装置のＩＰアドレスを用いて、指示を、対象端末が接続される中継装置へ送信する処理と、を行う。

本発明のうち代表的な実施の形態によれば、認証及びログイン制限を行う通信システムに関して、ユーザの端末がログイン状態である場合にもログイン制限を実現できる、セキュリティの観点を含めて改善された技術を提供できる。

本発明の実施の形態１の通信システムの構成を示す図である。 実施の形態１における、認証スイッチ及び認証サーバの構成を示す図である。 実施の形態１における、認証スイッチ内の制御処理の概要のフローを示す図である。 実施の形態１における、認証ＤＢ、リスト、管理表、及び認証スイッチ管理情報の構成例を示す図である。 実施の形態１における、第１の通信処理シーケンスを示す図である。 実施の形態１における、第２の通信処理シーケンスを示す図である。 本発明の実施の形態２の通信システムにおける、認証ＤＢ、及びリストの構成例を示す図である。 本発明の実施の形態３の通信システムにおける、通信処理シーケンスを示す図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一符号を付し、その繰り返しの説明は省略する。

（実施の形態１）
図１〜図６を用いて、本発明の実施の形態１の通信システムについて説明する。

［通信システム］
図１は、実施の形態１の通信システムの構成を示す。実施の形態１の通信システムは、複数のユーザの端末１、複数の認証スイッチ２、認証サーバ３、及びＷｅｂサーバ８等の他の装置がネットワーク４に接続される構成である。

実施の形態１の通信システムは、ユーザのアカウントを用いたユーザ認証１０１と、ＭＡＣアドレスを用いた接続制限１０２と、ログイン制限１０３と、を行う。ログイン制限１０３は、即時切断１０４に関する制御を含む。

ネットワーク４は、ＬＡＮやインターネット等の通信網である。実施の形態１では、ネットワーク４は、１つの社内ＬＡＮである。複数のユーザは、社内ＬＡＮを利用する社員等である。

端末１は、ユーザが使用するＰＣやスマートフォン等の各種の端末装置である。複数の端末１として、ユーザ９ａの端末１ａ、ユーザ９ｂの端末１ｂ、等がある。端末１ａのＭＡＣアドレスをＭａ、端末１ｂのＭＡＣアドレスをＭｂ、等とする。端末１は、プロセッサ、メモリ、通信インタフェース、入力装置、表示装置、等のハードウェアを備え、ＯＳ、Ｗｅｂブラウザ等のソフトウェアを備える。端末１は、ネットワーク４へログインする際、認証スイッチ２へアクセスし、認証スイッチ２と通信を行う。

ユーザには、予め、ユーザ認証１０１のためのアカウントが割り当てられる。アカウントは、ユーザＩＤとパスワードとの組合せにより構成される。例えば、ユーザ９ａのアカウントをＡ１、ユーザ９ｂのアカウントをＡ２、等とする。

認証ＤＢ５は、ユーザ認証１０１のためのアカウント情報５０が登録及び管理されるデータベースである。アカウント情報５０は、正規の複数のユーザのアカウントを含む。正規のユーザは、ログインが許可されるユーザ、すなわち端末１によるネットワーク４への接続が許可されるユーザである。実施の形態１では、認証ＤＢ５は、認証サーバ３に保持される。

管理者９０は、例えばネットワーク４の管理者であり、運用管理保守用の端末から認証サーバ３にアクセスし、認証サーバ３の持つ設定機能を用いて、認証ＤＢ５のアカウント情報５０を設定可能である。管理者９０は、予め、認証ＤＢ５のアカウント情報５０に、正規の複数のユーザのアカウントを登録する。

認証スイッチ２は、レイヤ２スイッチ機能を備える中継装置であると共に、認証サーバ３との通信に基づいて認証を行う機能を備える認証機器である。認証スイッチ２は、ネットワーク４のエッジに接続されるノードであり、端末１をネットワーク４へ接続する。ネットワーク４に接続される複数の認証スイッチ２として、ｍ台の認証スイッチ２ａ〜２ｍがある。認証スイッチ２は、ＩＰアドレスを持つ。認証スイッチ２ａのＩＰアドレスをＩＰ１、認証スイッチ２ｍのＩＰアドレスをＩＰｍ、等とする。

端末１と認証スイッチ２とは、所定の通信インタフェース、例えばイーサネット（登録商標）で接続される。この接続は、有線接続でもよいし、無線接続でもよい。無線接続の場合、ネットワーク４は、無線ＬＡＮを含み、認証スイッチ２には、無線ＬＡＮアクセスポイント装置が接続される。端末１は、無線通信機能を有し、無線ＬＡＮアクセスポイント装置との無線接続を通じて、認証スイッチ２に接続される。なお、認証スイッチ２に無線ＬＡＮアクセスポイント機能を備えてもよい。

実施の形態１では、認証は、アカウントを用いたユーザ認証１０１である。認証スイッチ２は、ユーザ認証１０１のクライアントであり、認証サーバ３は、ユーザ認証１０１のサーバである。ユーザの端末１が認証スイッチ２を通じてネットワーク４へログインする際、認証スイッチ２と認証サーバ３との間では、RADIUSプロトコルに基づいたクライアントサーバ通信により、ユーザ認証１０１の処理が行われる。

また、認証スイッチ２は、ＭＡＣアドレスを用いた接続制限１０２を行う機能を備える。接続制限１０２は、ユーザ認証１０１の結果に基づいて、端末１によるネットワーク４への接続を制限及び制御することである。認証スイッチ２は、接続制限１０２の管理のためのリスト７を保持する。例えば、認証スイッチ２ａはリスト７ａを保持し、認証スイッチ２ｍはリスト７ｍを保持する。

認証スイッチ２と認証サーバ３とは、ネットワーク４上、ＴＣＰ／ＩＰ等の所定のプロトコルで接続される。認証サーバ３は、所定のＩＰアドレスを持つ。各認証スイッチ２は、所定のＩＰアドレスを宛先として認証サーバ３にアクセスする。

認証サーバ３は、ユーザ認証１０１を行う機能、アカウント管理機能を含む設定機能、及びログイン制限１０３を行う機能、を備えるサーバ装置である。ログイン制限１０３を行う機能は、即時切断１０４を制御する機能を含む。

認証サーバ３は、認証スイッチ２との通信に基づいて、認証ＤＢ５のアカウント情報５０を参照しながら、ユーザ認証１０１を行う。

アカウント管理機能は、認証ＤＢ５のアカウント情報５０を管理する機能である。設定機能は、管理者９０を含む外部に対するインタフェースとして、設定画面を提供する。管理者９０は、運用管理保守用の端末から、認証サーバ３にアクセスし、設定機能により提供される設定画面を表示する。設定画面は、認証ＤＢ５のアカウント情報５０の設定内容を表示する。管理者９０は、設定画面で、ユーザのアカウントの設定や確認ができる。

ログイン制限１０３は、認証ＤＢ５のアカウント情報５０の設定変更により、ユーザ認証１０１に基づいたユーザの端末１によるネットワーク４へのログインを制限することである。管理者９０は、対象ユーザのログイン制限１０３を実行する場合、設定機能を用いて、認証ＤＢ５のアカウント情報５０のうち、対象ユーザのアカウントを削除する。これにより、対象ユーザの端末１によるログインが不許可になる。

即時切断１０４は、アカウント削除によるログイン制限１０３の実行に伴い、その時点で対象ユーザの端末１がログイン状態であっても、即時にネットワーク４から切断させることである。言い換えると、即時切断１０４は、即時にネットワーク４への接続を不許可の状態にし、ユーザをログアウトさせることである。

認証サーバ３は、即時切断１０４の制御を含むログイン制限１０４の機能のための管理表６、及び認証スイッチ管理情報２０を保持する。認証サーバ３は、ユーザ認証１０１が成功になりログインが許可されたユーザの端末１の情報を管理表６に記録しておく。認証サーバ３は、アカウント削除によるログイン制限１０３の実行に伴い、管理表６を参照して、指示１１０を作成し、認証スイッチ２へ送信することにより、対象ユーザの端末１の即時切断１０４を行う。

認証スイッチ２は、指示１１０に従い、所定のログアウト処理を実行する。認証スイッチ２は、ログアウト処理では、リスト７に登録されている対象ユーザの端末１のＭＡＣアドレスを削除する。これにより、対象ユーザの端末1は、接続不許可状態になるので、即時切断１０４が実現される。

Ｗｅｂサーバ８は、ユーザの端末１がネットワーク４へログインした後に利用するサービスを提供する装置の例である。Ｗｅｂサーバ８は、端末１からの認証スイッチ２を通じたアクセスに対して、Ｗｅｂページ等を提供する。端末１は、ログイン状態では、認証スイッチ２を通じてネットワーク４上のＷｅｂサーバ８等のサービスを利用できる。

実施の形態１の通信システムは、ユーザ認証１０１、接続制限１０２、及びログイン制限１０３の機能により、ネットワーク４のセキュリティを確保する。

［認証スイッチ及び認証サーバ］
図２は、図１の認証スイッチ２及び認証サーバ３の構成を示す。

認証スイッチ２は、プロセッサ、メモリ、通信インタフェース部、等の要素により構成される。認証スイッチ２は、プロセッサ等によるソフトウェア処理またはハードウェア処理により、ユーザ認証クライアント部２１、及び接続制限部２２を実現する。接続制限部２２は、ログアウト処理部２２Ａを含む。認証スイッチ２は、メモリに、リスト７を含む情報を格納する。通信インタフェース部は、複数のポートを含む。複数のポートは、端末１に接続されるポート、及びネットワーク４に接続されるポートを含み、ポート毎に所定の通信インタフェースによる通信処理を行う。

ユーザ認証クライアント部２１は、ユーザ認証のクライアントとしての処理を行う。ユーザ認証クライアント部２１は、ユーザの端末１がネットワーク４へログインする際、認証サーバ３のユーザ認証サーバ部３１と通信する。ユーザ認証クライアント部２１は、ユーザにより入力されたアカウント及びユーザ認証の要求を、ユーザ認証サーバ部３１へ送信し、ユーザ認証サーバ部３１からユーザ認証の結果を表す応答を受信する。ユーザ認証クライアント部２１は、ユーザ認証の結果に応じてログインを許可または不許可にする。

接続制限部２２は、メモリのリスト７を読み書きしながら、端末１のＭＡＣアドレスを用いた接続制限の処理を行う。認証スイッチ２は、リスト７に、端末１毎の接続許可または接続不許可の状態を規定する情報を設定する。実施の形態１では、リスト７は、接続許可ＭＡＣアドレスリスト表である。

接続制限部２２は、ユーザ認証が成功となったことを検出する。例えば、ユーザ認証クライアント部２１は、ユーザ認証が成功となった場合、接続制限部２２へ通知する。接続制限部２２は、通知により、ユーザ認証が済み、その結果が成功となり、ログインが許可される状態となった端末１のＭＡＣアドレスを認識する。接続制限部２２は、ユーザ認証が成功となった端末１のＭＡＣアドレスを、接続許可ＭＡＣアドレスとして、リスト７に登録する。これにより、当該端末１は接続許可状態になる。

また、接続制限部２２は、ユーザの端末１がネットワーク４からログアウトした場合、あるいはログインしてからログアウトせずに無通信状態が一定時間続いた場合、リスト７に登録されている当該端末１の接続許可ＭＡＣアドレスを削除する。これにより、当該端末１は接続不許可状態になる。

接続制限部２２は、端末１からのアクセスに対し、当該端末１のＭＡＣアドレス及びリスト７の確認に基づいて、接続を許可または不許可にする。接続制限部２２は、当該端末１のＭＡＣアドレスがリスト７に接続許可ＭＡＣアドレスとして登録されている場合、接続を許可し、登録されていない場合、不許可にする。

また、接続制限部２２は、認証サーバ３のログイン制限部３３のログアウト指示部３３Ａからの指示に従い、ログアウト処理部２２Ａにより、所定のログアウト処理を行う。ログアウト処理部２２Ａは、ログアウト処理では、リスト７に登録されている対象の端末１のＭＡＣアドレスを削除する。これにより、対象の端末１は、接続不許可状態になり、即時切断が実現される。

認証サーバ３は、プロセッサ、メモリ、通信インタフェース部、等の要素により構成される。認証サーバ３は、プロセッサ等によるソフトウェア処理またはハードウェア処理により、ユーザ認証サーバ部３１、設定部３２、及びログイン制限部３３を実現する。設定部３２は、アカウント管理部３２Ａを含む。ログイン制限部３３は、ログアウト指示部３３Ａを含む。認証サーバ３は、メモリに、認証ＤＢ５、管理表６、及び認証スイッチ管理情報２０を格納する。通信インタフェース部は、ネットワーク４に接続されるポートを含み、ＴＣＰ／ＩＰ等の通信インタフェースによる通信処理を行う。

ユーザ認証サーバ部３１は、ユーザ認証のサーバとしての処理を行う。ユーザ認証サーバ部３１は、ユーザ認証クライアント部２１との通信に基づいて、メモリの認証ＤＢ５のアカウント情報５０を参照しながら、ユーザ認証の処理を行う。ユーザ認証サーバ部３１は、ユーザ認証の要求に応じて、ユーザにより入力されたアカウントと、アカウント情報５０に登録されているアカウントとを比較し、入力されたアカウントのユーザＩＤ及びパスワードが、アカウント情報５０に登録されているアカウントのユーザＩＤ及びパスワードと一致する場合、ユーザ認証の結果を成功とし、入力されたアカウントのユーザＩＤ及びパスワードが、アカウント情報５０に登録されているアカウントのユーザＩＤ及びパスワードと不一致である場合、失敗とする。ユーザ認証サーバ部３１は、ユーザ認証の結果を表す応答をユーザ認証クライアント部２１へ送信する。

設定部３２は、設定機能に対応した処理を行う。アカウント管理部３２Ａは、アカウント管理機能に対応した処理を行う。設定部３２は、管理者９０を含む外部からの指示や通知を受け付ける。アカウント管理部３２Ａは、指示や通知に従い、認証ＤＢ５のアカウント情報５０を設定する処理を行う。

ログイン制限部３３は、メモリの管理表６や認証スイッチ管理情報２０を読み書きしながら、即時切断の制御を含むログイン制限の処理を行う。

ログイン制限部３３は、ユーザ認証が成功となったことを検出する。例えば、ユーザ認証サーバ部３１は、ユーザ認証が成功となった場合、ログイン制限部３３へ通知する。ログイン制限部３３は、通知により、ユーザ認証が成功となったことを認識する。ログイン制限部３３は、ユーザ認証が成功となったユーザのアカウントと関係付けて、当該ユーザの端末１のＭＡＣアドレス等を含む関係付け情報を管理表６に記録する処理を行う。管理表６に記録される関係付け情報は、どのユーザのアカウントに対応した端末１が、どの認証スイッチ２に接続されるか、等を判断するための情報である。

ログイン制限部３３は、設定部３２のアカウント管理部３２Ａを用いて、アカウント情報５０の設定変更によるログイン制限を実現する。アカウント管理部３２Ａは、外部からの指示や通知に従い、アカウント情報５０のうちの対象ユーザのアカウントを削除する。これにより、対象ユーザは、ログインが許可から不許可に変更される。ログイン制限部３３は、アカウント情報５０の設定変更によるログイン制限の実行を検出する。例えば、アカウント管理部３２Ａは、アカウント削除によるログイン制限が実行された場合、ログイン制限部３３へ通知する。ログイン制限部３３は、通知により、アカウント削除によるログイン制限の実行を認識する。

ログイン制限部３３は、ログイン制限の実行を契機として、ログアウト指示部３３Ａにより、管理表６及び認証スイッチ管理情報２０を参照し、即時切断の制御のための指示を作成する。ログアウト指示部３３Ａは、管理表６に記録された情報から、ログイン制限の対象ユーザのアカウントに関係付けられる対象端末１のＭＡＣアドレス等を認識する。ログアウト指示部３３Ａは、当該ＭＡＣアドレスを用いて、対象端末１による接続を不許可にするための指示を作成する。そして、ログアウト指示部３３Ａは、当該指示を、対象端末１が接続される認証スイッチ２へ送信する。

ログイン制限部３３は、認証スイッチ管理情報２０に、複数の認証スイッチ２の種類に応じたコマンドを含む情報を管理している。ログアウト指示部３３Ａは、認証スイッチ管理情報２０に基づいて、対象端末１が接続される認証スイッチ２の種類に応じたコマンドを用いて、指示を作成する。

［認証スイッチ内の制御処理］
図３は、認証スイッチ２の内部における図１のユーザ認証１０１及び接続制限１０２に関する制御処理の概要のフローを示す。S101等はステップを表す。

（S101） 認証スイッチ２は、ユーザの端末１からのアクセスを受ける。認証スイッチ２は、当該端末１から受信したフレームの送信元ＭＡＣアドレスを参照する。

（S102） 認証スイッチ２は、まず、接続制限の処理を行う。認証スイッチ２は、アクセスしてきた端末１の送信元ＭＡＣアドレスが、リスト７に接続許可ＭＡＣアドレスとして登録されているかどうかを確認する。

（S103） 登録されている場合（S102−Y）は、ユーザ認証済み及び接続許可状態を示す。よって、認証スイッチ２は、当該端末１によるネットワーク４への接続を許可し、処理を終了する。

（S104） 登録されていない場合（S102−N）は、未ユーザ認証及び接続不許可状態を示す。認証スイッチ２は、当該端末１によるネットワーク４への接続を不許可とする。

（S105） 接続不許可（S104）の場合、次に、認証スイッチ２は、ユーザ認証の処理を行う。認証スイッチ２は、アクセスしてきた端末１に対して、ユーザ認証ページによるユーザ認証画面を提供し、ユーザ認証用のアカウントであるユーザＩＤ及びパスワードの入力を促す。認証スイッチ２は、ユーザにより入力されたアカウント、及びユーザ認証の要求を、認証サーバ３へ送信する。認証サーバ３は、受信した要求及びアカウントに応じて、認証ＤＢ５のアカウント情報５０を参照してユーザ認証を行い、その結果を表す応答を認証スイッチ２へ送信する。認証スイッチ２は、応答を受信し、ユーザ認証の結果を参照する。

（S106，S107，S108） 認証スイッチ２は、ユーザ認証の結果が、成功の場合（S106-Y）、S107で、当該端末１のＭＡＣアドレスを、接続許可ＭＡＣアドレスとしてリスト７に登録する。そして、S108で、認証スイッチ２は、当該端末１によるネットワーク４へのログインを許可し、処理を終了する。

（S109） 認証スイッチ２は、ユーザ認証の結果が、失敗の場合（S106-N）、S109で、当該端末１によるネットワーク４へのログインを不許可とし、処理を終了する。

［認証ＤＢ］
図４の（ａ）は、実施の形態１における認証ＤＢ５のアカウント情報５０の構成例を示す。このアカウント情報５０の表は、「アカウント（ユーザＩＤ，パスワード）」列を有し、複数のユーザのアカウントであるユーザＩＤ及びパスワードを格納する。

［リスト］
図４の（ｂ）は、実施の形態１におけるリスト７である接続許可ＭＡＣアドレスリスト表の構成例を示す。このリスト７は、「接続許可ＭＡＣアドレス」列を有する。「接続許可ＭＡＣアドレス」列は、接続が許可される端末１のＭＡＣアドレスが登録される。

［管理表］
図４の（ｃ）は、実施の形態１における管理表６の構成例を示す。この管理表６は、列として、「アカウント（ユーザＩＤ，パスワード）」、「端末ＭＡＣアドレス」、「認証スイッチＩＰアドレス」がある。「アカウント」列には、認証ＤＢ５の「アカウント」列の値と同じ値が格納される。「端末ＭＡＣアドレス」列には、ユーザ認証が成功となったユーザの端末１の識別情報及びアドレス情報として、ＭＡＣアドレスが格納される。「認証スイッチＩＰアドレス」は、認証スイッチ２の識別情報及びアドレス情報として、ＩＰアドレスが格納される。

なお、変形例として、管理表６の「アカウント」列には、認証ＤＢ５の「アカウント」列の値を指し示すアドレス等が格納されてもよい。また、変形例として、認証ＤＢ５のアカウント情報５０に管理表６が統合されてもよい。この場合、認証ＤＢ５内に統合された表において、「アカウント」、「端末ＭＡＣアドレス」、及び「認証スイッチＩＰアドレス」を含む情報が管理される。

［認証スイッチ管理情報］
図４の（ｄ）は、認証スイッチ管理情報２０の構成例を示す。この認証スイッチ管理情報２０の表は、列として、「認証スイッチＩＰアドレス」、「種類」、「コマンド」がある。「認証スイッチＩＰアドレス」列は、ネットワーク４に接続される複数の全ての認証スイッチ２ａ〜２ｍのそれぞれのＩＰアドレス「ＩＰ１」〜「ＩＰｍ」が格納される。「種類」列は、各認証スイッチ２ａ〜２ｍの種類を表す情報である「Ｋａ」等が格納される。この種類は、装置のメーカや型式、認証や接続制限の方式、受け付けるコマンドの形式、等の違いに応じた種類である。「コマンド」列は、認証サーバ３から認証スイッチ２へ図１の指示１１０を行う際に用いるコマンドが格納される。コマンドは、認証スイッチ２の種類毎に異なる。認証サーバ３は、対象の認証スイッチ２の種類に応じたコマンドを使用する。なお、認証スイッチ管理情報２０は、指示１１０だけでなく、他の指示のためのコマンドが格納されてもよい。

［通信処理シーケンス（１）］
図５は、実施の形態１の通信システムにおける第１の通信処理シーケンスとして、ログイン時のユーザ認証等の処理例を示す。Ｓ１１等はステップを表す。前提の設定状態として、認証ＤＢ５には、アカウントＡ１，Ａ２等が登録済みであり、各認証スイッチ２のリスト７には、接続許可ＭＡＣアドレスが未登録であるとする。以下、図５のステップＳ１１〜Ｓ１８について順に説明する。

（Ｓ１１） 例えば、ユーザ９ａは、ネットワーク４へログインする際、端末１ａから認証スイッチ２ａへアクセスし、ログインを試みる。

（Ｓ１２） 認証スイッチ２ａは、Ｓ１１の端末１ａからのアクセスを受ける。認証スイッチ２ａのリスト７ａには、端末１ａのＭＡＣアドレス「Ｍａ」が未登録である。よって、認証スイッチ２ａは、ユーザ認証を行う。認証スイッチ２ａは、端末１ａへ、ユーザ認証ページを提供する。端末１ａは、受信したユーザ認証ページにより、ユーザ認証画面を表示する。ユーザ認証画面には、ユーザ認証のためのアカウントであるユーザＩＤ及びパスワードの入力をユーザに促す情報が表示される。ユーザ９ａは、ユーザ認証画面で、自分のアカウントＡ１であるユーザＩＤ及びパスワードを入力する。本例では、認証ＤＢ５に登録されているアカウントＡ１が入力されたとする。端末１ａは、入力アカウントＡ１を認証スイッチ２ａへ送信する。

（Ｓ１３） 認証スイッチ２ａは、Ｓ１２の入力アカウントＡ１を受信し、入力アカウントＡ１及びユーザ認証の要求を、認証サーバ３へ送信する。また、この際、認証スイッチ２ａは、このユーザ認証の要求の中に、Ｓ１１でアクセスしてきた端末１ａのＭＡＣアドレス「Ｍａ」の情報を含ませる。また、このユーザ認証の要求は、パケットのヘッダにおいて、送信元の認証スイッチ２ａのＩＰアドレス「ＩＰ１」が含まれる。

（Ｓ１４） 認証サーバ３は、Ｓ１３のユーザ認証の要求を受信した場合、入力アカウントＡ１に対し、認証ＤＢ５のアカウント情報５０を参照し、ユーザ認証を行う。認証サーバ３は、入力アカウントＡ１のユーザＩＤ及びパスワードが、アカウント情報５０に登録されているアカウントのユーザＩＤ及びパスワードと一致する場合、ユーザ認証の結果を成功とする。認証サーバ３は、入力アカウントＡ１が、アカウント情報５０に登録されているアカウントと不一致である場合、ユーザ認証の結果を失敗とする。本例では、Ｓ１２のアカウントＡ１が認証ＤＢ５に登録されていることにより、ユーザ認証が成功となる。

（Ｓ１５） 認証サーバ３は、Ｓ１４のユーザ認証の結果である成功を表す応答を、Ｓ１３の要求の送信元ＩＰアドレス「ＩＰ１」を持つ認証スイッチ２ａへ送信する。

（Ｓ１６） また、認証サーバ３は、Ｓ１４のユーザ認証が成功になったことを契機として、当該ユーザ認証が成功になったユーザの端末に関する関係付け情報を管理表６に記録する処理を行う。実施の形態１では、認証サーバ３は、（１）当該ユーザ認証が成功になったユーザのアカウントと、（２）当該ユーザの端末１のＭＡＣアドレスと、（３）当該端末１が接続される認証スイッチ２のＩＰアドレスと、の３つの情報の関係付け情報を管理表６に記録する。

上記（１）のアカウントは、認証ＤＢ５のアカウント情報５０に登録されているアカウントと同じ値が用いられる。上記（２）のＭＡＣアドレスは、Ｓ１３の要求の中に含まれているＭＡＣアドレスが用いられる。上記（３）のＩＰアドレスは、Ｓ１３の要求のパケットのヘッダに含まれる送信元ＩＰアドレスが用いられる。

本例では、管理表６に、ユーザ９ａのアカウントＡ１と、当該ユーザ９ａの端末１ａのＭＡＣアドレス「Ｍａ」と、当該端末１ａが接続される認証スイッチ２ａのＩＰアドレス「ＩＰ１」と、を含む｛Ａ１，Ｍａ，ＩＰ１｝のような情報が追加される。

（Ｓ１７） 一方、認証スイッチ２ａは、Ｓ１５の応答を受信し、応答からユーザ認証が成功であった場合、当該ユーザの端末１によるネットワーク４へのログインを許可し、失敗の場合、不許可にする。本例では、ユーザ認証が成功であるため、ユーザ９ａの端末１ａによるログインが許可される。認証スイッチ２ａは、当該ログインが許可されるユーザ９ａの端末１ａのＭＡＣアドレス「Ｍａ」を、接続許可ＭＡＣアドレスとしてリスト７ａに登録する。この状態は、ユーザ認証済み及び接続許可状態に相当する。

（Ｓ１８） Ｓ１７により、ユーザ９ａの端末１ａは、ログインが許可され、ログイン状態になる。すなわち、端末１ａは、認証スイッチ２ａを通じてネットワーク４との接続が確立され、認証スイッチ２ａを通じてネットワーク４への通信及びサービスの利用ができる状態になる。例えば、５０１のように、端末１ａは、Ｗｅｂサーバ８へアクセスしてＷｅｂページを利用することができる。

このログイン状態では、認証スイッチ２ａは、端末１ａから送信されポートで受信したフレームについて、リスト７ａを確認する。認証スイッチ２ａは、リスト７ａに端末１ａのＭＡＣアドレス「Ｍａ」が登録された接続許可状態であるため、当該フレームをポートで通過させ、宛先のＷｅｂサーバ８等へ向けて転送する。

その後、ユーザ９ａは、必要に応じて、端末１ａを、ネットワーク４からログアウトさせる。なお、認証スイッチ２ａは、端末１ａがログアウトした場合、それに対応して、接続制限の処理として、リスト７ａから当該端末１ａの接続許可ＭＡＣアドレスを削除することにより、端末１ａを接続不許可状態にする。また、認証スイッチ２ａは、端末１ａがログインしてからログアウトしないまま無通信状態が一定時間続いた場合、接続制限の処理として、リスト７ａから当該端末１ａの接続許可ＭＡＣアドレスを削除することにより、端末１ａを接続不許可状態にする。

ユーザ９ａの端末１ａが再度ネットワーク４にログインする場合には、Ｓ１１からの処理が同様に行われる。他のユーザの端末がログインする場合も、上記と同様に通信処理が行われる。例えば、ユーザ９ｂの端末１ｂが認証スイッチ２ｂにアクセスしてログインする。認証スイッチ２ｂと認証サーバ３との間でユーザ認証が行われ、結果が成功になる。管理表６には、｛Ａ２，Ｍｂ，ＩＰ２｝のような情報が記録される。認証スイッチ２ｂのリスト７ｂには、端末１ｂのＭＡＣアドレス「Ｍｂ」が登録される。

［通信処理シーケンス（２）］
図６は、図５に続く第２の通信処理シーケンスとして、ログイン制限の実行の例を示す。本例では、前提の状態として、認証ＤＢ５、管理表６、及び各リスト７には、図５のような情報が登録済みとする。ユーザ９ａは、図５で端末１ａをネットワーク４へログインさせた後、当該端末１ａをログアウトさせずにログイン状態のままであり、リスト７ａにはＭＡＣアドレス「Ｍａ」が登録されたままである。以下、図６のステップＳ２１〜Ｓ２５について順に説明する。

（Ｓ２１） 管理者９０は、対象ユーザの端末１によるログインを許可から不許可に変更するログイン制限を実行する。本例では、ログイン制限の対象としてユーザ９ａの端末１ａとする。管理者９０は、端末から認証サーバ３にアクセスし、設定画面で、認証ＤＢ５のアカウント情報５０の設定内容を表示する。管理者９０は、設定画面で、アカウント情報のうち、対象ユーザ９ａのアカウントＡ１を選択して削除する操作、すなわちログイン制限の実行の操作を行う。この操作に従い、認証サーバ３は、認証ＤＢ５のアカウント情報５０のうちの対象ユーザ９ａのアカウントＡ１を削除して設定内容を更新する。

（Ｓ２２） 認証サーバ３は、Ｓ２１のアカウント削除によるログイン制限の実行を契機として、管理表６を参照し、削除された対象ユーザのアカウントに関係付けられた、端末１のＭＡＣアドレス及び認証スイッチ２のＩＰアドレスを読み出す。本例では、図５のＳ１６の時の｛Ａ１，Ｍａ，ＩＰ１｝の情報から、対象ユーザ９ａのアカウントＡ１に関係付けられた端末１ａのＭＡＣアドレス「Ｍａ」、及び認証スイッチ２ａのＩＰアドレス「ＩＰ１」が得られる。認証サーバ３は、この情報から、即時切断の制御の対象端末１が、ＭＡＣアドレス「Ｍａ」を持つ端末１ａであることがわかる。また、認証サーバ３は、この情報から、対象端末１ａが接続される認証スイッチ２が、ＩＰアドレス「ＩＰ１」を持つ認証スイッチ２ａであることがわかる。

（Ｓ２３） 認証サーバ３は、ログイン制限の対象ユーザのアカウントに関係付けられるＭＡＣアドレスの単位で、即時切断の制御のための指示を行う。この指示は、対象の端末１ａがログイン状態の場合には即時に切断させる旨の指示である。言い換えると、この指示は、対象の認証スイッチ２にログアウト処理を実行させる指示であり、リスト７から対象のＭＡＣアドレスを削除させる指示である。

認証サーバ３は、Ｓ２２で得たＭＡＣアドレス及びＩＰアドレスを含む情報を用いて、指示を作成する。認証サーバ３は、この指示の中に、Ｓ２２で得たＭＡＣアドレス、本例では「Ｍａ」、を含ませる。また、認証サーバ３は、Ｓ２２で得たＩＰアドレス、本例では「ＩＰ１」を、この指示のパケットのヘッダの宛先ＩＰアドレスに設定する。

また、認証サーバ３は、認証スイッチ管理情報２０を用いて、複数の認証スイッチ２のうち、対象端末１が接続される認証スイッチ２の種類に応じたコマンドを用いて、この指示を作成する。

そして、認証サーバ３は、作成した指示のパケットを、対象端末１ａが接続される認証スイッチ２ａへ送信する。

なお、ログイン制限の実行開始に対応するＳ２１〜Ｓ２３の時点で、認証サーバ３は、対象ユーザ９ａの端末１ａがログイン状態かログアウト済み状態かはわからないが、それを判断する必要は無い。認証サーバ３は、その判断には関係なく、すぐに上記の指示を対象の認証スイッチ２ａへ送信する。

（Ｓ２４） Ｓ２３の指示を受信した認証スイッチ２ａは、当該指示に従い、所定のログアウト処理を実行する。認証スイッチ２は、このログアウト処理で、Ｓ２３の指示に含まれる対象のＭＡＣアドレス「Ｍａ」が、リスト７ａに接続許可ＭＡＣアドレスとして登録されている場合、その接続許可ＭＡＣアドレス「Ｍａ」を削除する。これにより、対象ユーザ９ａの端末１ａは、接続許可状態から接続不許可状態になる。

上記Ｓ２３の指示を受けた時点で、認証スイッチ２ａに端末１ａが接続されているログイン状態である場合、リスト７ａにはＭＡＣアドレス「Ｍａ」が登録されている。よって、認証スイッチ２ａは、ログアウト処理では、リスト７ａからそのＭＡＣアドレス「Ｍａ」を削除する。また、上記Ｓ２３の指示を受けた時点で、認証スイッチ２ａに端末１ａが接続されていないログアウト済み状態である場合、あるいは、認証スイッチ２ａに端末１ａが接続してログインしてから無通信状態で一定時間が経過後の場合、リスト７ａにはＭＡＣアドレス「Ｍａ」が登録されていない。この場合、認証スイッチ２ａは、ログアウト処理では、リスト７から対象のＭＡＣアドレス「Ｍａ」が削除済みであるため、何もしない。

（Ｓ２５） Ｓ２４により、端末１ａは、即時切断された状態になり、ユーザ９ａはログアウトさせられる。すなわち、対象ユーザ９ａの端末１ａは、その時点でネットワーク４にログイン状態であったとしても、認証スイッチ２ａとの接続が切断され、ネットワーク４への通信及びサービスの利用ができない状態になる。例えば、６０１のように、端末１ａは、Ｗｅｂサーバ８へアクセスしてサービスを利用しようとしても、通信不可能である。認証スイッチ２ａは、端末１ａから送信されたフレームをポートで受信した場合、リスト７ａを確認する。認証スイッチ２ａは、端末１ａのＭＡＣアドレス「Ｍａ」が登録されておらず接続不許可状態であるため、当該端末１ａからのフレームをポートで破棄する。

なお、上記ログイン制限が行われたユーザ９ａの端末１ａが、次回以降にログインする際には、認証スイッチ２のリスト７に端末１ａのＭＡＣアドレス「Ｍａ」が登録されていないため、ユーザ認証が行われる。ユーザ認証では、認証ＤＢ５内のユーザ９ａのアカウントＡ１が削除済みであるため、ユーザ認証が失敗になり、その結果、ログインが不許可になる。

また、管理者９０は、対象ユーザのログイン制限を解除する場合、認証ＤＢ５のアカウント情報５０に対象ユーザのアカウントを登録する。

なお、実施の形態１において、一度に複数のユーザを対象にログイン制限を行うことも可能である。例えば、二人のユーザ９ａ，９ｂを対象に同時にログイン制限を行う場合、管理者９０は、認証ＤＢ５のアカウント情報５０に登録されている２個のアカウントＡ１，Ａ２を同時に削除する。それに伴い、認証サーバ３は、管理表６を参照し、対象ユーザ９ａの端末１ａが接続される認証スイッチ２ａへ、図４の（ｄ）のコマンドＣ１を用いた指示を送信し、同時に、対象ユーザ９ｂの端末１ｂが接続される認証スイッチ２ｂへ、コマンドＣ２を用いた指示を送信する。認証スイッチ２ａ，２ｂは、それぞれ、指示に従い、ログアウト処理を行う。これにより、ユーザ９ａの端末１ａ及びユーザ９ｂの端末１ｂは、即時切断される。

［効果等］
以上説明したように、実施の形態１の通信システムによれば、ユーザ認証、接続制限、及びログイン制限を行う機能を備える構成であり、これにより、セキュリティの観点を含めて改善されたログイン制限等を実現できる。実施の形態１によれば、ログイン制限として、アカウント削除の時点で対象ユーザの端末１がログイン状態である場合にも、即時切断させることができる。すなわち、管理者９０は、ログイン制限の実行により、対象ユーザの端末１によるネットワーク４への接続及びサービスの利用を即時に無効にすることができる。

実施の形態１によれば、ネットワーク４に複数の認証スイッチ２が接続されている場合にも、ログイン制限の対象ユーザの端末１及び当該端末１が接続される認証スイッチ２を判断し、対象の認証スイッチ２の種類に応じた指示を送信し、即時切断を実現できる。

実施の形態１は、即時切断を実現する仕組みとして、ユーザ認証の成功に応じて管理表６に関係付け情報を記録する手段や、アカウント削除によるログイン制限の実行を検出し、管理表６等から対象端末１及び認証スイッチ２を判断してすぐに指示を送信する手段、等を有する。これにより、実施の形態１は、即時切断として、アカウント削除の時点から対象端末１を接続不許可にする時点までの時間を十分に短くすることができる。

実施の形態１は、即時切断の制御のために、管理表６の情報として、ユーザのアカウント、端末１のＭＡＣアドレス、及び認証スイッチ２のＩＰアドレスを用いる構成とし、ＭＡＣアドレス単位で制御する構成とした。管理表６の情報は、これらの情報に限らずに、他の識別情報やアドレス情報も、適用可能である。

（実施の形態２）
図７を用いて、実施の形態２の通信システムについて説明する。以下、実施の形態２の構成における、実施の形態１の構成とは異なる部分について説明する。実施の形態２の通信システムの構成は、図１の構成と基本的に同様であるが、実施の形態２では、ログイン制限の方式として、アカウント削除ではなく、アカウント無効化を行う。すなわち、ログイン制限の際、認証サーバ３は、認証ＤＢ５のアカウント情報５０において、初期設定の対象ユーザのアカウントを残したまま、当該アカウントに無効の状態を設定する。

図７の（ａ）は、実施の形態２における認証ＤＢ５のアカウント情報５０の構成例を示す。この表は、「アカウント」列、「有効無効（ログイン制限状態）」列を有する。「アカウント」列は、実施の形態１と同様であり、ログインが許可されるユーザのアカウントが格納される。「有効無効」列は、ログイン制限の有無の状態に対応する、アカウントの有効または無効の状態を表すフラグの値が設定される。フラグの値０は、アカウント無効状態、及びログイン制限有りの状態を示す。フラグの値１は、アカウント有効状態、及びログイン制限無しの状態を示す。

認証サーバ３は、ログイン制限を行う場合、アカウント情報５０における対象ユーザのアカウントについて、フラグを無効化、すなわち値１から値０に変更する。また、管理者９０は、ログイン制限を解除する場合、対象ユーザのアカウントについて、フラグを有効化、すなわち値０から値１に変更する。

また、実施の形態２では、接続制限の方式として、リスト７において、接続許可ＭＡＣアドレスの登録及び削除ではなく、接続許可ＭＡＣアドレスの有効化及び無効化を行う方式である。すなわち、認証スイッチ２は、対象端末１を接続不許可状態にする場合、リスト７において、初期設定の対象端末１のＭＡＣアドレスを残したまま、当該ＭＡＣアドレスに無効の状態を設定する。

図７の（ｂ）は、実施の形態２におけるリスト７の構成例を示す。この表は、「端末ＭＡＣアドレス」列、「有効無効（接続制限状態）」列を有する。この表は、初期設定で、「端末ＭＡＣアドレス」列に、接続が許可される複数の端末１のＭＡＣアドレスが登録され、この情報が基本的に保持される。「有効無効」列は、接続制限の状態に対応する、ＭＡＣアドレスの有効または無効の状態を表すフラグの値が設定される。フラグの値０は、ＭＡＣアドレス無効状態、及び接続不許可状態を示す。フラグの値１は、ＭＡＣアドレス有効状態、及び接続許可状態を示す。

認証スイッチ２は、ユーザ認証が成功となったユーザの端末１のＭＡＣアドレスについて、リスト７のフラグを有効化、すなわち値０から値１に変更する。また、認証スイッチ２は、端末１がログアウトした場合等には、その端末１のＭＡＣアドレスについて、フラグを無効化、すなわち値１から値０に変更する。

実施の形態２の通信システムにおける通信処理の例について、実施の形態１の図５及び図６の例を用いて、異なる部分を説明する。初期設定で、認証ＤＢ５のアカウント情報５０には、各ユーザのアカウントＡ１，Ａ２等が「有効」状態で設定されている。また、各認証スイッチ２のリスト７には、各端末１のＭＡＣアドレス「Ｍａ」「Ｍｂ」等が「無効」状態で設定されている。

例えば、ユーザ９ａの端末１ａは、認証スイッチ２ａにアクセスし、ネットワーク４へのログインを試みる。認証スイッチ２ａと認証サーバ３との通信に基づいてユーザ認証が行われ、ユーザ認証が成功になる。その場合、認証スイッチ２ａは、リスト７ａのＭＡＣアドレス「Ｍａ」について有効化、すなわち「有効」状態にする。

管理者９０は、例えばユーザ９ａのアカウントＡ１を対象にログイン制限を行う。管理者９０は、設定画面で、対象ユーザ９ａのアカウントＡ１について無効化の操作を行う。これに従い、認証サーバ３は、アカウント情報５０のアカウントＡ１について無効化、すなわち「無効」状態にする。

認証サーバ３は、アカウントＡ１の無効化を契機として、管理表６を参照し、当該アカウントＡ１に関係付けられた、端末１ａのＭＡＣアドレス「Ｍａ」、及び認証スイッチ２ａのＩＰアドレス「ＩＰ１」を得る。認証サーバ３は、認証スイッチ２ａへ、ＭＡＣアドレス「Ｍａ」を含む指示を送信する。

認証スイッチ２ａは、指示に従うログアウト処理において、リスト７ａのＭＡＣアドレス「Ｍａ」について、「有効」状態である場合には、無効化を行い、「無効」状態にする。これにより、端末１ａは、接続不許可状態になり、即時切断が実現される。

実施の形態２によれば、ログイン制限として、アカウント無効化の時点で対象ユーザの端末１がログイン状態である場合にも、即時切断させることができる。

（実施の形態３）
図８を用いて、実施の形態３の通信システムについて説明する。以下、実施の形態３の構成における実施の形態１の構成とは異なる部分について説明する。実施の形態３は、ユーザの端末１がネットワーク４へログインする際の認証として、ユーザ認証ではなく、ＭＡＣアドレスを用いた端末認証を用いる。

図８は、実施の形態３の通信システムの構成を示す。実施の形態３は、ユーザの端末１、認証スイッチ２、及び認証サーバ３の間において、端末１のＭＡＣアドレスを用いた端末認証１０５を行う。ＭＡＣアドレスを用いた接続制限１０２は、端末認証１０５の結果に基づいて行われる。

認証サーバ３は、管理者９０による設定に基づいて、認証ＤＢ５に、ＭＡＣ認証用のアカウント情報５０Ｃとして、正規にログインが許可される複数の端末１のＭＡＣアドレスを登録する。

例えば、ユーザ９ａは、端末１ａから認証スイッチ２ａへアクセスし、ログインを試みる。認証スイッチ２ａは、端末１ａからのアクセスを受けると、端末認証１０５のため、当該端末１ａのＭＡＣアドレス「Ｍａ」、及び端末認証の要求を、認証サーバ３へ送信する。認証サーバ３は、要求に応じて、認証ＤＢ５のアカウント情報５０Ｃを参照し、端末認証１０５を行う。認証サーバ３は、要求に伴い受信したＭＡＣアドレス「Ｍａ」が、アカウント情報５０Ｃに登録されているＭＡＣアドレスと一致する場合、端末認証の結果を成功とし、不一致の場合、失敗とする。認証サーバ３は、端末認証の結果を表す応答を、認証スイッチ２ａへ送信する。

認証サーバ３は、端末認証が成功であった場合、管理表６Ｃに、当該端末認証が成功であった端末１ａのＭＡＣアドレス「Ｍａ」と、当該端末１ａが接続される認証スイッチ２ａのＩＰアドレス「ＩＰ１」と、を含む関係付け情報を記録する。

認証スイッチ２ａは、応答から、端末認証が成功であった場合、当該端末１ａのＭＡＣアドレス「Ｍａ」を接続許可ＭＡＣアドレスとしてリスト７ａに登録する。これにより、当該端末１ａは接続許可状態になる。

管理者９０は、例えばユーザ９ａの端末１ａを対象にログイン制限を行う。その際、管理者９０は、設定画面で、対象端末１ａのＭＡＣアドレス「Ｍａ」を削除する操作を行う。それに従い、認証サーバ３は、アカウント情報５０Ｃにおける対象端末１ａのＭＡＣアドレス「Ｍａ」を削除する。

認証サーバ３は、ログイン制限の実行を契機として、管理表６Ｃを参照し、対象端末１ａのＭＡＣアドレス「Ｍａ」に関係付けられた、認証スイッチ２のＩＰアドレス「ＩＰ１」を得る。認証サーバ３は、得た情報を用いて、対象端末１ａを即時切断させるための指示を作成する。この指示は、対象端末１ａのＭＡＣアドレス「Ｍａ」を含む。認証サーバ３は、この指示を、対象端末１ａが接続される認証スイッチ２ａへ送信する。

認証スイッチ２ａは、指示に従い、ログアウト処理として、リスト７ａに、対象端末１ａのＭＡＣアドレス「Ｍａ」が登録されている場合、当該ＭＡＣアドレス「Ｍａ」を削除する。これにより、対象端末１ａは、接続不許可状態になり、即時切断が実現される。

実施の形態３によれば、ＭＡＣアドレスを用いた端末認証を行う構成であり、ログイン制限として、アカウント削除の時点で対象ユーザの端末１がログイン状態である場合にも即時切断させることができる。

ログインの際の認証は、実施の形態１のユーザ認証や、実施の形態３の端末認証に限らず、適用可能である。実施の形態１及び実施の形態３の変形例として、ログインの際の認証は、実施の形態１のユーザ認証と、実施の形態３の端末認証と、を組合せた認証としてもよい。この場合、認証ＤＢ５には、認証用の情報として、ユーザのユーザＩＤ及びパスワードと、端末１のＭＡＣアドレスと、の組合せによる情報が登録される。ログイン制限の際には、この情報を削除または無効化する設定変更が行われる。

（他の実施の形態）
他の実施の形態の通信システムとして、以下が挙げられる。

（１） 他の実施の形態として、認証ＤＢ５は、ネットワーク４上、認証サーバ３以外の場所に保持されてもよい。例えば、ネットワーク４上に、アカウント管理機能を備える所定のサーバを有し、そのサーバは、認証ＤＢ５を保持及び管理する。認証サーバ３とそのサーバとは連係する。認証サーバ３は、必要に応じてそのサーバにアクセスし、認証ＤＢ５を読み書きする。

また、そのアカウント管理機能を持つサーバは、ログイン制限を実行する機能を備えてもよい。そのサーバは、管理者９０の指示等に基づいて、アカウント削除によるログイン制限を実行する。そのサーバは、ログイン制限の実行時、認証サーバ３へ通知する。認証サーバ３は、通知を受けて、管理表６を参照し、即時切断の制御のための指示を認証スイッチ２へ送信する。

（２） 他の実施の形態として、接続制限の方式は、実施の形態１のように、認証の成功に応じてリスト７にＭＡＣアドレスを登録し、ログアウト等に応じてリスト７からＭＡＣアドレスを削除する方式以外も、適用可能である。例えば、認証スイッチ２は、管理者９０や認証サーバ３等、外部からの設定の指示を任意のタイミングで受け付ける。認証スイッチ２は、その設定の指示に応じて、リスト７に、接続許可ＭＡＣアドレス、あるいは接続不許可ＭＡＣアドレスを登録する。

リスト７に接続不許可ＭＡＣアドレスを登録する方式の場合、認証スイッチ２は、端末１からのアクセスに対し、リスト７を確認し、当該端末１のＭＡＣアドレスが、接続不許可ＭＡＣアドレスとして登録されている場合、接続を不許可にする。認証スイッチ２は、認証サーバ３から、即時切断に関する指示を受信した場合、当該指示に含まれる対象のＭＡＣアドレスを、接続不許可ＭＡＣアドレスとしてリスト７に追加登録する。

以上、本発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されず、その要旨を逸脱しない範囲で種々変更可能である。

１，１ａ，１ｂ…端末、２，２ａ，２ｂ，２ｍ…認証スイッチ、３…認証サーバ、４…ネットワーク、５…認証ＤＢ、６…管理表、７，７ａ，７ｂ，７ｍ…リスト、８…Ｗｅｂサーバ、９ａ，９ｂ…ユーザ、２０…認証スイッチ管理情報、５０…アカウント情報、９０…管理者、１０１…ユーザ認証、１０２…接続制限、１０３…ログイン制限、１０４…即時切断、１１０…指示

Claims (8)

1. ユーザの端末と、
   ネットワークに接続され、前記ユーザの端末による前記ネットワークへのログインの際にアクセスされる中継装置と、
   前記ネットワークに接続され、前記ログインの際にユーザ認証を行うサーバ装置と、
   前記ユーザ認証のアカウント情報として前記ユーザのアカウントが設定される認証ＤＢと、
   を含み、
   前記中継装置は、
   前記ログインの際に、前記ユーザ認証の要求、前記ユーザにより入力されたアカウント、及び前記端末のＭＡＣアドレスを前記サーバ装置へ送信し、前記サーバ装置から応答を受信し、前記ユーザ認証の成功または失敗に応じて当該ログインを許可または不許可にする処理と、
   前記ネットワークへの接続が許可される前記端末のＭＡＣアドレスについての情報をリストに設定し、前記端末からのアクセスに対し、当該端末のＭＡＣアドレス及び前記リストを確認して当該端末による接続を許可または不許可にする、接続制限を行う処理と、
   前記サーバ装置からの指示に従い、前記リストの対象端末のＭＡＣアドレスについての情報を設定変更することにより、当該対象端末による接続を不許可にする処理と、
   を行い、
   前記サーバ装置は、
   前記ユーザ認証の要求に応じて、前記ユーザにより入力されたアカウント、及び前記認証ＤＢのアカウント情報を参照して、前記ユーザ認証を行い、当該ユーザ認証の成功または失敗を表す前記応答を前記中継装置へ送信する処理と、
   前記ユーザのアカウントと、当該ユーザの端末のＭＡＣアドレスと、を含む関係付け情報を管理表に記録しておく処理と、
   前記認証ＤＢのアカウント情報の設定変更により対象ユーザによるログインを不許可にするログイン制限の実行を契機として、前記管理表の当該対象ユーザのアカウントに関係付けられる対象端末のＭＡＣアドレスを用いて、前記指示を前記中継装置へ送信する処理と、
   を行う、
   通信システム。
2. 請求項１記載の通信システムにおいて、
   前記中継装置として、複数の中継装置を有し、
   前記サーバ装置は、
   前記ユーザ認証が成功となったユーザのアカウントと、当該ユーザの端末のＭＡＣアドレスと、当該端末が接続される前記中継装置のＩＰアドレスと、を含む関係付け情報を前記管理表に記録する処理と、
   前記認証ＤＢのアカウント情報における対象ユーザのアカウントを削除または無効化する設定変更による前記ログイン制限の実行を検出する処理と、
   前記ログイン制限の実行を契機として、前記管理表を参照し、前記対象ユーザのアカウントに関係付けられる対象端末のＭＡＣアドレス、及び当該対象端末が接続される前記中継装置のＩＰアドレスを用いて、前記指示を、当該対象端末が接続される前記中継装置へ送信する処理と、
   を行う、
   通信システム。
3. 請求項１記載の通信システムにおいて、
   前記サーバ装置は、
   前記認証ＤＢを保持し、
   管理者を含む外部からの指示に基づいて、前記認証ＤＢのアカウント情報を設定する処理と、
   前記管理者を含む外部からの指示に基づいて、前記アカウント情報における対象ユーザのアカウントを削除または無効化する設定変更により、前記ログイン制限を実行する処理と、
   を行う、
   通信システム。
4. 請求項１記載の通信システムにおいて、
   前記中継装置として、複数の中継装置を有し、
   前記サーバ装置は、
   前記複数の中継装置における中継装置毎の種類に応じたコマンドを含む情報を保持し、
   前記ログイン制限の実行に伴い、前記対象端末が接続される前記中継装置の種類に応じたコマンドを用いて、前記指示を作成し、当該対象端末が接続される前記中継装置へ送信する、
   通信システム。
5. 請求項１記載の通信システムにおいて、
   前記認証ＤＢのアカウント情報には、ユーザＩＤとパスワードとの組合せによるアカウントが登録されており、
   前記中継装置は、前記ログインの際に、前記ユーザの端末にユーザ認証画面を表示させることにより、当該ユーザに前記アカウントの入力を促し、
   前記サーバ装置は、
   前記ユーザにより入力されたアカウントが、前記アカウント情報において登録または有効化されているアカウントと一致する場合、前記ユーザ認証の結果を成功とする処理と、
   前記ユーザ認証が成功であった場合、前記ユーザのアカウントと、当該ユーザの端末のＭＡＣアドレスと、を含む関係付け情報を前記管理表に記録しておく処理と、
   を行う、
   通信システム。
6. 請求項１記載の通信システムにおいて、
   前記中継装置は、
   前記ユーザ認証が成功となったユーザの端末のＭＡＣアドレスを、前記ネットワークへの接続が許可される前記端末のＭＡＣアドレスとして、前記リストにおいて登録または有効化する処理と、
   前記ネットワークからログアウトした端末、または前記ログインしてから無通信状態が一定時間続いた端末のＭＡＣアドレスを、前記ネットワークへの接続が不許可になる前記端末のＭＡＣアドレスとして、前記リストにおいて削除または無効化する処理と、
   前記端末からのアクセスに対し、当該端末のＭＡＣアドレスが前記リストにおいて削除または無効化されている場合、当該端末による接続を不許可にする処理と、
   前記サーバ装置からの指示に従い、前記リストにおける対象端末のＭＡＣアドレスを削除または無効化することにより、当該対象端末による接続を不許可にする処理と、
   を行う、
   通信システム。
7. ユーザの端末と、
   ネットワークに接続され、前記ユーザの端末による前記ネットワークへのログインの際にアクセスされる中継装置と、
   前記ネットワークに接続され、前記ログインの際に端末認証を行うサーバ装置と、
   前記端末認証のアカウント情報として前記端末のＭＡＣアドレスが設定される認証ＤＢと、
   を含み、
   前記中継装置は、
   前記ログインの際に、前記端末認証の要求、及び前記端末のＭＡＣアドレスを前記サーバ装置へ送信し、前記サーバ装置から応答を受信し、前記端末認証の成功または失敗に応じて当該ログインを許可または不許可にする処理と、
   前記ネットワークへの接続が許可される前記端末のＭＡＣアドレスについての情報をリストに設定し、前記端末からのアクセスに対し、当該端末のＭＡＣアドレス及び前記リストを確認して前記接続を許可または不許可にする、接続制限を行う処理と、
   前記サーバ装置からの指示に従い、前記リストの対象端末のＭＡＣアドレスについての情報を設定変更することにより、当該対象端末による接続を不許可にする処理と、
   を行い、
   前記サーバ装置は、
   前記端末認証の要求に応じて、受信した前記端末のＭＡＣアドレス、及び前記認証ＤＢのアカウント情報を参照して、前記端末認証を行い、当該端末認証の成功または失敗を表す前記応答を前記中継装置へ送信する処理と、
   前記ユーザの端末のＭＡＣアドレスと、当該端末が接続される前記中継装置のＩＰアドレスと、を含む関係付け情報を管理表に記録しておく処理と、
   前記認証ＤＢのアカウント情報の設定変更により対象端末によるログインを不許可にするログイン制限の実行を契機として、前記管理表の当該対象端末のＭＡＣアドレス、及び前記中継装置のＩＰアドレスを用いて、前記指示を、当該対象端末が接続される前記中継装置へ送信する処理と、
   を行う、
   通信システム。
8. 請求項７記載の通信システムにおいて、
   前記中継装置として、前記ネットワークに接続される複数の中継装置を有し、
   前記サーバ装置は、
   前記受信した前記端末のＭＡＣアドレスが、前記アカウント情報において登録または有効化されているＭＡＣアドレスと一致する場合、前記端末認証の結果を成功とする処理と、
   前記端末認証が成功となった場合、前記端末のＭＡＣアドレスと、当該端末が接続される前記中継装置のＩＰアドレスと、を含む関係付け情報を前記管理表に記録する処理と、
   前記認証ＤＢのアカウント情報における対象端末のＭＡＣアドレスを削除または無効化する設定変更による前記ログイン制限の実行を検出する処理と、
   前記ログイン制限の実行を契機として、前記管理表を参照し、前記対象端末のＭＡＣアドレス、及び前記中継装置のＩＰアドレスを用いて、前記指示を、当該対象端末が接続される前記中継装置へ送信する処理と、
   を行う、
   通信システム。

Images