JP3154679U - 中継機器及びネットワークシステム - Google Patents

Abstract

【課題】セキュリティの向上、システムの簡易化、及び、アクセス制御リストの適用の自由度の向上を図れる、中継機器及びネットワークシステムを提供する。【解決手段】中継機器１００は、ネットワークにおいて通信を中継するための送信元情報及び当該送信元情報に対応する宛先情報を含むアクセス制御リストを格納した記憶部１６０と、認証サーバがネットワーク機器を認証するための認証情報を、ネットワーク機器から取得する認証情報取得部１２０と、認証情報を認証サーバに送信する送信部１３０と、認証サーバにおいてネットワーク機器が認証された場合又は認証される前に、ネットワーク機器から当該ネットワーク機器のアドレスを取得するアドレス取得部１４０と、アクセス制御リストのうちの送信元情報及び宛先情報の少なくとも一方の情報を、認証されたネットワーク機器のアドレスに置き換える、アドレス置換部１５０とを備える。【選択図】図２

Description

本考案は中継機器及びネットワークシステムに関する。特に本考案は、セキュリティの向上、システムの簡易化、及び、アクセス制御リストの適用の自由度の向上が図れる、中継機器及びネットワークシステムに関する。

ネットワークシステムにおいては、セキュリティの観点から、通信が行われるネットワーク機器に対してアクセス制御リストが適用されることがある。アクセス制御リストには、送信元情報及び当該送信元情報に対応する宛先情報が記述されているところ、従来においては、それらの情報は、指定されたネットワーク機器のアドレスそのものが記載されていたため、リストに記載されていないネットワーク機器や、ＩＰアドレスが動的に割り振られるＤＨＣＰ（Dynamic Host Configuration Protocol）環境下においては、アクセス制御リストによる適用が受けられない場合があった。

なお、移動体端末の技術分野においては、サーバが移転してＩＰアドレスが変わった場合に備えて、状況に応じてアクセス制御リストの内容を変更する技術が知られている（例えば特許文献１参照）が、かかる構成においては管理サーバにおいてアクセス制御リストの動的に設定が可能な項目を明示し、かかる管理サーバからモバイルファイアウォールに転送した上で、当該項目の変換及び監視を行うため、システムが複雑になる場合がある。

特開２００６−６７３１４号公報

そこで本考案は、上記の課題を解決することのできる中継機器及びネットワークシステムを提供することを目的とする。この目的は実用新案登録請求の範囲における独立項に記載の特徴の組み合わせにより達成される。また従属項は本考案の更なる有利な具体例を規定する。

本考案の一態様に係る中継機器は、ネットワーク機器と認証サーバとの通信を含む、ネットワーク上の通信を中継する中継機器であって、前記ネットワークにおいて通信を中継するための送信元情報及び当該送信元情報に対応する宛先情報を含むアクセス制御リストを格納した記憶部と、前記認証サーバが前記ネットワーク機器を認証するための認証情報を前記ネットワーク機器から取得する認証情報取得部と、前記認証情報を前記認証サーバに送信する送信部と、前記認証サーバにおいて前記ネットワーク機器が認証された場合に、前記ネットワーク機器から当該ネットワーク機器のアドレスを取得するアドレス取得部と、前記アクセス制御リストのうちの前記送信元情報及び前記宛先情報の少なくとも一方の情報を、認証された前記ネットワーク機器の前記アドレスに置き換える、アドレス置換部とを備える。

かかる構成によれば、アクセス制御リストの所定の情報を、認証されたネットワーク機器のアドレスに置き換えることにより、動的にアクセス制御リストの変更又は生成を行う。これによれば、認証されたネットワーク機器についてのみアクセス制御リストを適用するので、管理者はアクセス制御リストに全ての個別のネットワーク機器のアドレスを指定しておく必要がなく、セキュリティの向上及びアクセス制御リストの簡易化を図ることができる。また、例えばＤＨＣＰ環境などにおいてネットワーク機器のＩＰアドレスが動的に変わる場合や、アクセス権を有するユーザーが他のネットワーク機器を用いて所定のネットワーク機器へアクセスしたい場合においても、アクセス制御リストを適用することが可能となるので、セキュリティの向上を図りつつも、アクセス制御リストの適用の自由度を向上させることができる。また、ネットワーク機器の認証に用いられる中継機器そのものが、アクセス制御リストの変更又は生成も行うので、ネットワークシステムの構成を極めて簡易なものにすることができる。

かかる構成において、前記アドレス置換部は、前記アクセス制御リストのうちの前記送信元情報及び前記宛先情報のいずれか一方の情報を、認証された前記ネットワーク機器の前記アドレスに置き換えてもよい。

かかる構成において、前記認証サーバによって行われる認証は、Ｗｅｂ認証、ＩＥＥＥ８０２．１Ｘ認証及びＭＡＣアドレス認証のいずれか１つ又は２つ以上の組み合わせであってもよい。

かかる構成において、前記アドレス置換部は、前記認証サーバによって行われる認証方式に基づいて、前記アクセス制御リストの置換すべき情報を決定してもよい。

かかる構成において、前記アドレス置換部は、認証された前記ネットワーク機器に設定されたＶＬＡＮに基づいて、前記アクセス制御リストの置換すべき情報を決定してもよい。

かかる構成において、前記ネットワーク機器を通信可能に接続するポートをさらに備え、前記アドレス置換部は、認証された前記ネットワーク機器が接続されたポート番号に基づいて、前記アクセス制御リストの置換すべき情報を決定してもよい。

かかる構成において、前記アドレス置換部は、認証された前記ネットワーク機器のＭＡＣアドレスに基づいて、前記アクセス制御リストの置換すべき情報を決定してもよい。

かかる構成において、前記アドレスは、ＩＰアドレスであってもよい。

かかる構成において、前記アドレスは、ＭＡＣアドレスであってもよい。

本考案の一態様に係るネットワークシステムは、ネットワーク機器と、認証サーバと、管理サーバと、前記ネットワーク機器と前記認証サーバとを中継しかつ前記ネットワーク機器と前記管理サーバとを中継する中継機器と、を備えたネットワークシステムであって、前記中継機器は、前記認証サーバが認証するための認証情報を前記ネットワーク機器から取得する認証情報取得部と、前記認証情報を前記認証サーバに送信する送信部と、前記認証サーバにおいて前記ネットワーク機器が認証された場合に、前記ネットワーク機器から当該ネットワーク機器のアドレスを取得するアドレス取得部とを備え、前記管理サーバは、送信元情報及び当該送信元情報に対応する宛先情報を含むアクセス制御リストを格納した記憶部と、前記アクセス制御リストのうちの前記送信元情報及び前記宛先情報の少なくとも一方の情報を、認証された前記ネットワーク機器の前記アドレスに置き換える、アドレス置換部とを備える。

本考案の一実施形態に係るネットワークシステムを示す図である。 本考案の一実施形態に係る中継機器を示す図である。 本考案の一実施形態に係るアクセス制御リストの一例を示す図である。 本考案の一実施形態に係るアクセス制御リストの一例を示す図である。 本考案の一実施形態に係るアクセス制御リストの一例を示す図である。 本考案の一実施形態に係るアクセス制御リストの一例を示す図である。 本考案の一実施形態に係るネットワークシステムを用いたアクセス制御リストの適用方法の一例である。 本考案の他の実施形態に係るネットワークシステムを示す図である。 本考案の他の実施形態に係る中継機器及び管理サーバを示す図である。

以下、図面を参照しつつ、考案の実施形態を通じて本考案を説明するが、以下の実施形態は実用新案登録請求の範囲に係る考案を限定するものではなく、また、実施形態の中で説明されている特徴の組み合わせのすべてが考案の解決手段に必須であるとは限らない。

図１〜図７を参照して、本考案の一実施形態に係る中継機器について説明する。

図１は、本考案の一実施形態に係るネットワークシステムを示す図であり、図２は、図１の中継機器を示す図である。

図１に示すように、本実施形態に係るネットワークシステム１０００は、中継機器１００と、ネットワーク機器２０２，２０４，２０６と、認証サーバ４００とを備える。

中継機器１００は例えばＬ３スイッチ及びルータである。図１に示す例では、中継機器１００は、ネットワーク機器２０２，２０４，２０６と認証サーバ４００とを中継する。中継機器１００と認証サーバ４００との間にネットワーク３００が介在してもよい。なお、中継機器１００の構成については図２を用いて詳述する。

ネットワーク機器２０２，２０４，２０６は、ネットワーク上に接続される機器全般を含む。ネットワーク機器２０２，２０４，２０６は例えばコンピュータ端末であってもよい。かかるコンピュータ端末は中継機器１００に能動的にアクセス可能であり、これによってユーザーが、コンピュータ端末を用いてＷｅｂ認証を実行することができる。あるいは、ネットワーク機器２０２，２０４，２０６は中継機器１００に能動的にアクセス不能であるネットワークプリンタ等であってもよい。

また、図１に示すように、ネットワーク機器２０２，２０４，２０６は中継機器１００のポート１０２，１０４，１０６に通信可能なように接続されている。この場合、ネットワーク機器２０２，２０４，２０６は、中継機器１００に対して無線で通信を行うように接続されてもよい。

認証サーバ４００は、中継機器１００からの認証要求に基づいて、ネットワーク機器又は当該ネットワーク機器を使用するユーザーが、条件を満たすか否かの認証を行う。具体的には、認証サーバ４００は、予め認証情報を格納し、ネットワーク機器から取得した認証情報が、予め認証サーバ４００に格納された認証情報と対応するか否かを判断する。認証サーバ４００の認証方式は限定されるものではないが、例えばＷｅｂ認証、ＩＥＥＥ８０２．１Ｘ認証及びＭＡＣ（Media Access Control）アドレス認証のいずれか１つ又はそれらの２つ以上の組み合わせからなるものを用いることができる。認証サーバは、例えばＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバである。

次に、図２を参照して、本実施形態に係る中継機器について説明する。

図２に示すように、中継機器１００は本実施形態に係るアクセス制御リストの適用方法を実行するために必要な制御を行う制御部１１０と、アクセス制御リストを格納する記憶部１６０とを備える。制御部１１０は記憶部１６０からデータを読み出し又は記憶部１６０へデータを書き込むことができるように構成される。

この制御部１１０は、認証サーバ４００が認証するための認証情報をネットワーク機器２０２，２０４，２０６から取得する認証情報取得部１２０と、かかる認証情報を認証サーバ４００に送信する送信部１３０と、認証サーバ４００においてネットワーク機器が認証された場合に、かかるネットワーク機器から当該ネットワーク機器のアドレスを取得するアドレス取得部１４０と、アクセス制御リストの所定の情報を、認証されたネットワーク機器のアドレスに置き換えるアドレス置換部１５０とを備える。また、記憶部１６０はアクセス制御リストを格納する。以下、それらの構成について詳述する。

認証情報取得部１２０は、例えばＷｅｂ認証の場合においては、所定のネットワーク機器（例えばネットワーク機器２０２とする）が中継機器１００において、Ｗｅｂ認証を行うよう要求した場合に処理を行う。具体的には、処理部１１０が、ネットワーク機器２０２の要求に対してこのネットワーク機器２０２にログイン表示を提供し、ユーザーがこのログイン表示にユーザーアカウント（例えばユーザーＩＤ及びパスワード）を入力し、認証情報取得部１２０がネットワーク機器２０２からかかるユーザーアカウントを取得する。認証情報取得部１２０が取得したユーザーアカウントは、Ｗｅｂ認証の場合においての認証情報の一例である。

送信部１３０は、認証情報取得部１２０が取得した認証情報を認証サーバ４００に送信する。これに対して認証サーバ４００は認証情報を取得し、所定の認証を行い、かかる認証結果を中継機器１００に送信する。

アドレス取得部１４０は、認証サーバ４００から受信した認証結果が成立である場合に、認証を要求したネットワーク機器２０２から、当該ネットワーク機器２０２のアドレスを取得する。取得したアドレスは記憶部１６０に格納してもよい。ここで、ネットワーク機器のアドレスは、通信上のアドレス（例えばＩＰアドレス）であってもよいし、あるいは物理的なアドレス（例えばＭＡＣアドレス）であってもよい。なお、認証サーバ４００から受信した認証結果が不成立である場合には、アドレス取得部１４０は、認証を要求したネットワーク機器２０２のアドレスを取得しない又は取得した上で当該アドレスを格納することなく破棄してもよい。また、認証結果の成立をする前に当該ネットワーク機器２０２のアドレスを取得し、格納してもよい。

アドレス置換部１５０は、記憶部１６０に格納されるアクセス制御リストを読み出し、当該アクセス制御リストのうちの所定の情報を、アドレス取得部１４０が取得したネットワーク機器２０２のアドレスに置き換える。ここで、アクセス制御リストは、送信元情報及び当該送信元情報に対応する宛先情報を含むもので、送信元情報により特定される送信元から、宛先情報により特定される宛先へのアクセスのアクション（例えば許可（permit）するか破棄（deny）するか）を示す情報のリストであり、ネットワーク上のセキュリティを設定するためのものである。

ここで、図３〜図６を参照して、アクセス制御リスト及びアドレス置換部についてさらに詳述する。図３〜図６は、予め記憶部１６０に格納されているアクセス制御リストの一例である。なお、以下においては、アドレス置換部１５０がネットワーク機器２０２のＩＰアドレス又はＭＡＣアドレスを、アクセス制御リストの所定の情報に置き換える場合を例として説明する。また、図３〜図５の「１０．０．０．１」という記載は、他の特定のネットワーク機器（例えばネットワーク機器２０４）のＩＰアドレスを意味する。また、図示されるアクセス制御リストは一例であり、アクセス制御リストの記述形式や設定項目についてはこれらに限定されるものではない。また、図中のＩＤ１及びＩＤ２は１つの組となっており、またアクセス制御リストは実際には多数のＩＤ（多数の組）を格納している。

図３に示すように、アドレス置換部１５０は、アクセス制御リストのうち送信元情報を、認証されたネットワーク機器２０２のＩＰアドレスに置き換えてもよい。具体的には、図３のアクセス制御リストには、ＩＤ１において、送信元情報に「認証されたネットワーク機器のＩＰアドレス」、宛先情報に「１０．０．０．１」、アクションに「許可」と記載され、ＩＤ２において、送信元情報に「認証されたネットワーク機器のＩＰアドレス」、宛先情報に「ａｎｙ（すなわち１０．０．０．１以外）」、アクションに「破棄」と記載されている。一方、アドレス取得部１４０は、認証サーバ４００によって認証されたネットワーク機器２０２のＩＰアドレスを取得し、アドレス置換部１５０は、図３のアクセス制御リストのＩＤ１及びＩＤ２の送信元情報を、認証されたネットワーク機器２０２のＩＰアドレスに置き換える。すなわち、置き換え後のアクセス制御リストにおいては、ＩＤ１の送信元情報及びＩＤ２の送信元情報に、ネットワーク機器２０２のＩＰアドレスが記述される。そして、かかる置き換え後のアクセス制御リストが適用されると、ネットワーク機器２０２においては、ＩＰアドレスが「１０．０．０．１」であるネットワーク機器（すなわちネットワーク機器２０４）に対する通信が許可され、それ以外に対する通信は破棄される。

変形例として図４に示すように、アドレス置換部１５０は、アクセス制御リストのうち送信元情報を、認証されたネットワーク機器２０２のＭＡＣアドレスに置き換えてもよい。具体的には、図４のアクセス制御リストには、ＩＤ１において、送信元情報に「認証されたネットワーク機器のＭＡＣアドレス」、宛先情報に「１０．０．０．１」、アクションに「許可」と記載され、ＩＤ２において、送信元情報に「認証されたネットワーク機器のＭＡＣアドレス」、宛先情報に「ａｎｙ（すなわち１０．０．０．１以外）」、アクションに「破棄」と記載されている。一方、アドレス取得部１４０は、認証サーバ４００によって認証されたネットワーク機器２０２のＭＡＣアドレスを取得し、アドレス置換部１５０は、図４のアクセス制御リストのＩＤ１及びＩＤ２の送信元情報を、認証されたネットワーク機器２０２のＭＡＣアドレスに置き換える。すなわち、置き換え後のアクセス制御リストにおいては、ＩＤ１の送信元情報及びＩＤ２の送信元情報に、ネットワーク機器２０２のＭＡＣアドレスが記述される。そして、かかる置き換え後のアクセス制御リストが適用されると、ネットワーク機器２０２においては、ＩＰアドレスが「１０．０．０．１」であるネットワーク機器（すなわちネットワーク機器２０４）に対する通信が許可され、それ以外に対する通信は破棄される。

また、他の変形例として図５に示すように、アドレス置換部１５０は、アクセス制御リストのうち宛先情報を、認証されたネットワーク機器２０２のＩＰアドレスに置き換えてもよい。具体的には、図５のアクセス制御リストには、ＩＤ１において、送信元情報に「１０．０．０．１」、宛先情報に「認証されたネットワーク機器のＩＰアドレス」、アクションに「許可」と記載され、ＩＤ２において、送信元情報に「１０．０．０．１」、宛先情報に「ａｎｙ（すなわち認証されたネットワーク機器以外）」、アクションに「破棄」と記載されている。一方、アドレス取得部１４０は、認証サーバ４００によって認証されたネットワーク機器２０２のＩＰアドレスを取得し、アドレス置換部１５０は、図５のアクセス制御リストのＩＤ１の送信元情報を、認証されたネットワーク機器２０２のＩＰアドレスに置き換える。すなわち、置き換え後のアクセス制御リストにおいては、ＩＤ１の宛先情報に、ネットワーク機器２０２のＩＰアドレスが記述される。そして、かかる置き換え後のアクセス制御リストが適用されると、ＩＰアドレスが「１０．０．０．１」であるネットワーク機器（すなわちネットワーク機器２０４）においては、ネットワーク機器２０２に対する通信が許可され、それ以外に対する通信は破棄される。なお、図５のさらなる変形例として、図５のＩＰアドレスの代わりにＭＡＣアドレスを適用してもよい。

図３〜図５においては、アクセス制御リストの送信元情報及び宛先情報のいずれか一方の情報を、認証されたネットワーク機器２０２のＩＰアドレス又はＭＡＣアドレスに置き換える例を説明したが、アドレス置換部１５０は、アクセス制御リストの送信元情報及びこれに対応する宛先情報の両方を置き換えてもよい。すなわち、認証情報取得部１２０が異なる２つのネットワーク機器（例えばネットワーク機器２０２，２０６）から認証情報を取得し、送信部１３０がそれぞれの認証情報を認証サーバ４００に送信し、認証サーバ４００においてそれぞれのネットワーク機器２０２，２０６が認証された場合に、アドレス取得部１４０がネットワーク機器２０２，２０６からそれぞれＩＰアドレス又はＭＡＣアドレスを取得し、アドレス置換部１５０が、アクセス制御リストの送信元情報を一方のネットワーク機器２０２のＩＰアドレス又はＭＡＣアドレスに置き換え、またアクセス制御リストの宛先情報を他方のネットワーク機器２０６のＩＰアドレス又はＭＡＣアドレスに置き換えてもよい。

この点について図６を参照して詳述する。図６のアクセス制御リストには、ＩＤ１において、送信元情報に「認証されたネットワーク機器ＡのＩＰアドレス」、宛先情報に「認証されたネットワーク機器のＩＰアドレスＢ」、アクションに「許可」と記載され、ＩＤ２において、送信元情報に「認証されたネットワーク機器ＡのＩＰアドレス」、宛先情報に「ａｎｙ（すなわち認証されたネットワーク機器Ｂ以外）」、アクションに「破棄」と記載されている。一方、アドレス取得部１４０は、認証サーバ４００によって認証されたネットワーク機器２０２のＩＰアドレスと、同じく認証サーバ４００によって認証されたネットワーク機器２０６のＩＰアドレスを取得し、アドレス置換部１５０は、図６のアクセス制御リストのＩＤ１及びＩＤ２の送信元情報を、認証されたネットワーク機器２０２のＩＰアドレスに置き換え、他方、図６のアクセス制御リストのＩＤ１及びＩＤ２の宛先情報を、認証されたネットワーク機器２０６のＩＰアドレスに置き換える。すなわち、置き換え後のアクセス制御リストにおいては、ＩＤ１及びＩＤ２の送信元情報に、ネットワーク機器２０２のＩＰアドレスが記述され、ＩＤ１及びＩＤ２の宛先情報に、ネットワーク機器２０６のＩＰアドレスが記述される。そして、かかる置き換え後のアクセス制御リストが適用されると、認証された一方のネットワーク機器２０２においては、同じく認証された他方のネットワーク機器２０６に対する通信が許可され、それ以外に対する通信は破棄される。なお、図６のさらなる変形例として、図６のＩＰアドレスの変わりにＭＡＣアドレスを適用してもよく、あるいは一方のネットワーク機器にＩＰアドレスを適用し、他方のネットワーク機器にＭＡＣアドレスを適用してもよい。

なお、図３〜図６のアクセス制御リストのアクションについては、「許可」、「破棄」のほか、送信元情報で特定された送信元のネットワーク機器の「指定ポートからの送信」や「ポリシーベースＱｏＳ（Quality of Service）の適用」を適用することができる。

また、アドレス置換部１５０は、認証サーバ４００によって行われる認証方式に基づいて、アクセス制御リストの置換すべき情報を決定してもよい。すなわち、アクセス制御リストが、対応する送信元情報及び宛先情報が規定されたＩＤを多数有し、その中から、アドレス置換部１５０によって、認証されたネットワーク機器のアドレスに置き換えられる情報を有する所定のＩＤを、認証サーバ４００によって行われる認証方式に基づいて決定してもよい。これにより、例えば第１の認証方式（例えばＷｅｂ認証）によって認証されたネットワーク機器は、第１のネットワーク機器に対してのみアクセスを許可し、第２の認証方式（例えばＩＥＥＥ８０２．１Ｘ認証）によって認証されたネットワーク機器は、第２のネットワーク機器に対してのみアクセスを許可するという、アクセス制御の適用が可能となる。

また、アドレス置換部１５０は、認証されたネットワーク機器に設定されたＶＬＡＮ（Virtual Local Area Network）に基づいて、アクセス制御リストの置換すべき情報を決定してもよい。すなわち、アクセス制御リストが、対応する送信元情報及び宛先情報が規定されたＩＤを多数有し、その中から、アドレス置換部１５０によって、認証されたネットワーク機器のアドレスに置き換えられる情報を有する所定のＩＤを、認証されたネットワーク機器に設定されたＶＬＡＮに基づいて決定してもよい。これにより、例えばＶＬＡＮ１に設定されているネットワーク機器は、当該ネットワーク機器が認証された場合に、第１のネットワーク機器に対してのみアクセスを許可し、他のＶＬＡＮ２に設定されているネットワーク機器は、当該ネットワーク機器が認証された場合に、第２のネットワーク機器に対してのみアクセスを許可するという、アクセス制御の適用が可能となる。

また、アドレス置換部１５０は、認証されたネットワーク機器が接続されたポート番号に基づいて、アクセス制御リストの置換すべき情報を決定してもよい。すなわち、アクセス制御リストが、対応する送信元情報及び宛先情報が規定されたＩＤを多数有し、その中から、アドレス置換部１５０によって、認証されたネットワーク機器のアドレスに置き換えられる情報を有する所定のＩＤを、認証されたネットワーク機器が接続されたポート番号に基づいて決定してもよい。これにより、例えば第１のポート番号に接続されているネットワーク機器は、当該ネットワーク機器が認証された場合に、第１のネットワーク機器に対してのみアクセスを許可し、他の第２のポート番号に接続されているネットワーク機器は、当該ネットワーク機器が認証された場合に、第２のネットワーク機器に対してのみアクセスを許可するという、アクセス制御の適用が可能となる。

また、アドレス置換部１５０は、認証されたネットワーク機器のＭＡＣアドレスに基づいて、アクセス制御リストの置換すべき情報を決定してもよい。すなわち、アクセス制御リストが、対応する送信元情報及び宛先情報が規定されたＩＤを多数有し、その中から、アドレス置換部１５０によって、認証されたネットワーク機器のアドレスに置き換えられる情報を有する所定のＩＤを、認証されたネットワーク機器のＭＡＣアドレスに基づいて決定してもよい。これにより、例えば第１のＭＡＣアドレスに該当するネットワーク機器は、当該ネットワーク機器が認証された場合に、第１のネットワーク機器に対してのみアクセスを許可し、他の第２のＭＡＣアドレスに該当するネットワーク機器は、当該ネットワーク機器が認証された場合に、第２のネットワーク機器に対してのみアクセスを許可するという、アクセス制御の適用が可能となる。

以上のとおり、本実施形態に係る中継機器によれば、アクセス制御リストの所定の情報を、認証されたネットワーク機器のアドレスに置き換えることにより、動的にアクセス制御リストの変更又は生成を行う。これによれば、認証されたネットワーク機器についてのみアクセス制御リストを適用するので、管理者はアクセス制御リストに全ての個別のネットワーク機器のアドレスを指定しておく必要がなく、セキュリティの向上及びアクセス制御リストの簡易化を図ることができる。また、例えばＤＨＣＰ環境などにおいてネットワーク機器のＩＰアドレスが動的に変わる場合や、アクセス権を有するユーザーが他のネットワーク機器を用いて所定のネットワーク機器へアクセスしたい場合においても、アクセス制御リストを適用することが可能となるので、セキュリティの向上を図りつつも、アクセス制御リストの適用の自由度を向上させることができる。また、ネットワーク機器の認証に用いられる中継機器そのものが、アクセス制御リストの変更又は生成も行うので、ネットワークシステムの構成を極めて簡易なものにすることができる。

次に、図７を参照して、本考案の一実施形態に係る中継機器の動作方法（アクセス制御リストの適用方法）について説明する。図７は、ネットワーク機器２０２、中継機器１００、認証サーバ４００のシーケンス図である。以下の説明においては、Ｗｅｂ認証により認証されたネットワーク機器２０２から当該ネットワーク機器のＩＰアドレスを取得して、かかるＩＰアドレスに基づいてアクセス制御リストを適用する例を示す。なお、以下に説明する各ステップ（符号が付されたステップのみならず、当該符号が付されたステップの部分的なステップを含む）は処理内容に矛盾を生じない範囲で任意に順番を変更して又は並列に実行することができる。

中継機器１００はアクセス制御リストを格納し（Ｓ１０１）、また認証サーバ４００はＷｅｂ認証に用いられる認証アカウントを格納している（Ｓ１０２）。この状況において、まず、ネットワーク機器２０２が、中継機器１００に当該ネットワーク機器２０２をＷｅｂ認証するよう要求する（Ｓ１０３）。かかる要求に従い、中継機器１００はネットワーク機器２０２にログイン表示を提供し、ユーザーにユーザーアカウントの入力を促すよう指示する（Ｓ１０４）。かかる指示に従い、ユーザーは、ネットワーク機器２０２においてユーザーアカウントを入力する（Ｓ１０５）。

その後、中継機器１００（認証情報取得部１２０）は、ネットワーク機器２０２から当該ネットワーク機器２０２のユーザーアカウントを取得する（Ｓ１０６）。そして、中継機器１００（送信部１３０）は、取得したユーザーアカウントを認証サーバ４００に送信する（Ｓ１０７）。認証サーバ４００は、こうして取得したネットワーク機器２０２のユーザーアカウントと、予め格納した認証アカウントとに基づいて認証を行う（Ｓ１０８）。その結果、ユーザーアカウントと認証アカウントとが対応した場合、アクセス権を有するユーザーからの認容要求に当たるので、中継機器１００に認証成立である旨を通知する（Ｓ１０９）。

中継機器１００は、認証成立である旨の通知を認証サーバ４００から受けると、ネットワーク機器２０２に対する認証成立である旨をネットワーク機器２０２に通知するとともに（Ｓ１１０）、ネットワーク機器２０２から当該ネットワーク機器２０２のＩＰアドレスを取得する（Ｓ１１１）。その後、中継機器１００は、アクセス制御リストの所定の情報を、取得したＩＰアドレスに置き換えて、アクセス制御リストを変更又は生成し（Ｓ１１２）、かかる置き換え後のアクセス制御リストをネットワーク機器２０２に適用する（Ｓ１１３）。

このように本実施形態によれば、既に述べたとおり、セキュリティの向上、システムの簡易化、及び、アクセス制御リストの適用の自由度を向上させることができる。

次に、図８及び図９を参照して、本考案の他の実施形態に係るネットワークシステムについて説明する。なお、以下においては、上記実施形態の内容と同一の要素には同一の符号を付し、重複する説明を省略する。

図８は、本実施形態に係るネットワークシステムを示す図であり、図９は、図８の中継機器及び管理サーバを示す図である。本実施形態においては、管理サーバが、中継機器の代わりに、上記実施形態で説明したアドレス置換部及び記憶部を備える。すなわち、本実施形態においては、中継機器５００の外部に配置される管理サーバが、アクセス制御リストの管理を行う。かかる構成の相違を除き、本実施形態においては、上記実施形態において説明した内容を可能な限り適用することができる。

図８に示すように、本実施形態に係るネットワークシステム１１００は、中継機器５００と、ネットワーク機器２０２，２０４，２０６と、認証サーバ４００と、管理サーバ６００とを備える。

中継機器５００は、ネットワーク機器２０２，２０４，２０６と認証サーバ４００とを中継し、ネットワーク機器２０２，２０４，２０６と管理サーバ６００とを中継する。また、ネットワーク機器２０２，２０４，２０６は中継機器５００のポート５０２，５０４，５０６に通信可能なように接続されている。

図９に示すように、中継機器５００は制御部５１０を備え、制御部５１０は、認証サーバ４００が認証するための認証情報をネットワーク機器２０２，２０４，２０６から取得する認証情報取得部５２０と、かかる認証情報を認証サーバ４００に送信する送信部５３０と、認証サーバ４００においてネットワーク機器が認証された場合に、かかるネットワーク機器から当該ネットワーク機器のアドレスを取得するアドレス取得部５４０とを備える。他方、管理サーバ６００は、アクセス制御リストの所定の情報を、認証されたネットワーク機器のアドレスに置き換えるアドレス置換部６１０と、アクセス制御リストを格納する記憶部６２０とを備える。なお、中継機器５００及び管理サーバの各構成が有する機能については上記実施形態において説明したとおりである。

このように本実施形態においても、既に述べたとおり、セキュリティの向上、システムの簡易化、及び、アクセス制御リストの適用の自由度を向上させることができる。

なお、変形例として、認証サーバ４００と管理サーバ６００とを１つのサーバとしてもよい。例えば、認証サーバ４００としてのＲＡＤＩＵＳサーバがアドレス置換部６１０及び記憶部６２０の機能を備えていてもよい。更に中継機器が認証サーバ４００と管理サーバ６００の機能を備えていてもよい。

上記考案の実施形態を通じて説明された実施例や応用例は、用途に応じて適宜に組み合わせて、又は変更若しくは改良を加えて用いることができ、本考案は上述した実施形態の記載に限定されるものではない。そのような組み合わせ又は変更若しくは改良を加えた形態も本考案の技術的範囲に含まれ得ることが、実用新案登録請求の範囲の記載から明らかである。

１００，５００・・・中継機器
１０２，１０４，１０６・・・ポート
１２０，５２０・・・認証情報取得部
１３０，５３０・・・送信部
１４０，５４０・・・アドレス取得部
１５０，６１０・・・アドレス置換部
１６０，６２０・・・記憶部
２０２，２０４，２０６・・・ネットワーク機器
３００・・・ネットワーク
４００・・・認証サーバ
６００・・・管理サーバ

Claims (10)

1. ネットワーク機器と認証サーバとの通信を含む、ネットワーク上の通信を中継する中継機器であって、
   前記ネットワークにおいて通信を中継するための送信元情報及び当該送信元情報に対応する宛先情報を含むアクセス制御リストを格納した記憶部と、
   前記認証サーバが前記ネットワーク機器を認証するための認証情報を、前記ネットワーク機器から取得する認証情報取得部と、
   前記認証情報を前記認証サーバに送信する送信部と、
   前記認証サーバにおいて前記ネットワーク機器が認証された場合又は認証される前に、前記ネットワーク機器から当該ネットワーク機器のアドレスを取得するアドレス取得部と、
   前記アクセス制御リストのうちの前記送信元情報及び前記宛先情報の少なくとも一方の情報を、認証された前記ネットワーク機器の前記アドレスに置き換える、アドレス置換部と
   を備えた、中継機器。
2. 前記アドレス置換部は、前記アクセス制御リストのうちの前記送信元情報及び前記宛先情報のいずれか一方の情報を、認証された前記ネットワーク機器の前記アドレスに置き換える、請求項１記載の中継機器。
3. 前記認証サーバによって行われる認証は、Ｗｅｂ認証、ＩＥＥＥ８０２．１Ｘ認証及びＭＡＣアドレス認証のいずれか１つ又は２つ以上の組み合わせである、請求項１又は２記載の中継機器。
4. 前記アドレス置換部は、前記認証サーバによって行われる認証方式に基づいて、前記アクセス制御リストの置換すべき情報を決定する、請求項３記載の中継機器。
5. 前記アドレス置換部は、認証された前記ネットワーク機器に設定されたＶＬＡＮに基づいて、前記アクセス制御リストの置換すべき情報を決定する、請求項１から３のいずれかに記載の中継機器。
6. 前記ネットワーク機器を通信可能に接続するポートをさらに備え、
   前記アドレス置換部は、認証された前記ネットワーク機器が接続されたポート番号に基づいて、前記アクセス制御リストの置換すべき情報を決定する、請求項１から３のいずれかに記載の中継機器。
7. 前記アドレス置換部は、認証された前記ネットワーク機器のＭＡＣアドレスに基づいて、前記アクセス制御リストの置換すべき情報を決定する、請求項１から３のいずれかに記載の中継機器。
8. 前記アドレスは、ＩＰアドレスである、請求項１から７のいずれかに記載の中継機器。
9. 前記アドレスは、ＭＡＣアドレスである、請求項１から７のいずれかに記載の中継機器。
10. ネットワーク機器と、認証サーバと、管理サーバと、前記ネットワーク機器と前記認証サーバとを中継しかつ前記ネットワーク機器と前記管理サーバとを中継する中継機器と、を備えたネットワークシステムであって、
    前記中継機器は、
    前記認証サーバが認証するための認証情報を前記ネットワーク機器から取得する認証情報取得部と、
    前記認証情報を前記認証サーバに送信する送信部と、
    前記認証サーバにおいて前記ネットワーク機器が認証された場合に、前記ネットワーク機器から当該ネットワーク機器のアドレスを取得するアドレス取得部と
    を備え、
    前記管理サーバは、
    送信元情報及び当該送信元情報に対応する宛先情報を含むアクセス制御リストを格納した記憶部と、
    前記アクセス制御リストのうちの前記送信元情報及び前記宛先情報の少なくとも一方の情報を、認証された前記ネットワーク機器の前記アドレスに置き換える、アドレス置換部と
    を備えた、ネットワークシステム。

Images