JP3746782B2

JP3746782B2 - ネットワークシステム

Info

Publication number: JP3746782B2
Application number: JP2004040094A
Authority: JP
Inventors: 英樹吉井; 誠村上; 吉喜芦萱; 伸介竹内
Original assignee: 日本テレコム株式会社
Priority date: 2004-02-17
Filing date: 2004-02-17
Publication date: 2006-02-15
Anticipated expiration: 2024-02-17
Also published as: JP2005236394A

Description

本発明は、例えばスイッチにおけるポート単位等での管理や各種サービスの提供を可能とするネットワークシステム及びネットワーク制御方法に関する。

従来、企業ユーザは、社内ＬＡＮ(Local Area Network)を管理するにあたり、セキュリティポリシの策定、監査、ウィルスチェックソフトウェアの導入、ファイアウォールの設置、ＩＤＳ(Intrusion Detection System)の設置、ＩＰアドレス管理、ＭＡＣアドレス管理等、膨大な労力を割いている。さらに、ネットワークファイルサーバの提供、ＳＩＰ(Session Initiation Protocol)フォンの提供、グループウェアの提供等、企業ユーザは情報システムの構築に膨大なコストをかけている。このような労力にも関わらずウィルスの感染、社内情報の漏洩といった事件が多発している。尚、今日では、遠隔一元的にセキュリティ管理を行うネットワークシステムの開発も進められている。

しかしながら、前述したような従来技術に関わるネットワークシステムでは、ＩＳＰとの契約は基本的にＬＡＮのエッジまでとなり、ＬＡＮ内は自前で運用するか外部委託するかしかなく、ＩＳＰが外部からＬＡＮ内部を管理するといったサービスはなされていなかった。さらに、ＬＡＮ内部には、ルータやスイッチ、ハブといったネットワーク中継機器が多数必要となり、その管理、運用は複雑であり処理負担も大きく、投資効率も悪い。投資効率という面に着目して、ルータやスイッチ、ハブといったネットワーク中継機器のレンタルサービスも行われているが、管理、運用に関しては全く解決されていない。

さらに、近年、イントラネットと呼ばれるようなシステムでは、ネットワークファイルサーバやＳＩＰを用いたアプリケーション、各種グループウェアなどを利用する企業が増えている。これらのサービスやアプリケーションを利用する場合には、別途そのアプリケーションベンダー、サービスベンダーと契約し、必要ならばソフトウェアをインストールし、社内にはヘルプデスク等を用意しなければならないことから、管理体系が大変複雑になり、処理負担も大きく、投資効率も悪い。

また、ＩＰ系の公衆ネットワークサービス（公衆無線ＬＡＮ等）を考慮した場合、既存のサービスでは、無線ＬＡＮのＡＰなどを異なるネットワーク事業者が共有するといったサービスは実現されていない。以上の状況からＬ２スイッチのポート単位もしくはＷＬＡＮのセッション単位でサービスを提供可能とすることが嘱望されている。

本発明の目的とするところは、スイッチにおけるポート単位、若しくはＷＬＡＮにおけるセッション単位での契約、管理、各種サービスの提供を可能とするネットワークシステム及びネットワーク制御方法を提供することにある。

上記目的を達成するために、本発明の第１の態様によれば、業務用ＶＬＡＮとセキュリティ対策用ＶＬＡＮとの切り換えが可能なネットワークシステムであって、端末が接続可能な複数のポートを有しており、利用可能なポートの設定、管理用ＩＰアドレスの割り当てに係る設定がなされており、ネットワーク監視端末より監視、管理、設定が可能なスイッチと、上記ポート単位で所定の管理、サービスの提供を行うもので、上記ポート単位で各端末のセキュリティ状態を示すセキュリティ対策状況データを用いた認証を行い、認証が成立した場合には上記業務用ＶＬＡＮに上記端末を接続し、一方、認証が不成立の場合には上記セキュリティ対策用ＶＬＡＮに上記端末を接続し、所定のセキュリティ対策を実行し、セキュリティ対策が完了した通知を受信したときには当該端末を業務用ＶＬＡＮに接続するように制御するサーバと、を有し、上記ネットワーク監視端末は上記サーバのログ、スイッチのポート番号、上記端末の端末情報に応じて端末監視テーブルを作成することでスイッチのポート単位で監視する、ことを特徴とするネットワークシステムが提供される。
本発明の第２の態様によれば、上記第１の態様において、前記セキュリティ対策状況データには、ウィルスパターンファイルのバージョン又は適用済みパッチリストが含まれることを特徴とするネットワークシステムが提供される。
本発明の第３の態様によれば、上記第１の態様において、業務用ＶＬＡＮとセキュリティ対策用ＶＬＡＮとの切り換えが可能なネットワークシステムであって、端末が接続可能な複数のポートを有しており、利用可能なポートの設定、管理用ＩＰアドレスの割り当てに係る設定がなされており、ネットワーク監視端末より監視、管理、設定が可能なスイッチと、端末のセキュリティ対策状況の診断を行う端末状態診断サーバと、所定のセキュリティ対策を実行するためのセキュリティ対策サイトと、を有し、上記ポート単位で所定の管理、サービスの提供を行うもので、端末よりセキュリティ状態を示すセキュリティ対策状況データを受信すると、上記端末状態診断サーバにより上記ポート単位でセキュリティ対策状況データに基づく端末のセキュリティ対策状況の診断を行い、当該診断結果に基づいて上記端末の認証を行い、認証が成立した場合には上記業務用ＶＬＡＮに上記端末を接続し、一方、認証が不成立の場合には上記セキュリティ対策用ＶＬＡＮに上記端末を接続し、上記セキュリティ対策サイトによる所定のセキュリティ対策を実行し、当該セキュリティ対策用ＶＬＡＮに接続された端末よりセキュリティ対策が完了した通知を受信したときには当該端末を業務用ＶＬＡＮに接続するように制御するサーバと、を有し、上記ネットワーク監視端末は上記サーバのログ、スイッチのポート番号、上記端末の端末情報に応じて端末監視テーブルを作成することでスイッチのポート単位で監視することを特徴とするネットワークシステムが提供される。
本発明の第４の態様によれば、上記第１の態様において、上記スイッチは、複数の業務用ＶＬＡＮの各々に対応したＶＬＡＮの設定がなされていることを更に特徴とするネットワークシステムが提供される。
本発明の第５の態様によれば、上記第１の態様において、上記スイッチの各ポートに接続された各端末が利用可能なオプションサービス内容をポート単位で統括して管理する管理サーバを更に有し、当該管理サーバは、上記認証が成立した場合には上記オプションサービス内容に基づいてオプションサービスをポート単位で提供するように制御する、ことを更に特徴とするネットワークシステムが提供される。

本発明によれば、スイッチにおけるポート単位、若しくはＷＬＡＮにおけるセッション単位での契約、管理、各種サービスの提供を可能とするネットワークシステム及びネットワーク制御方法を提供することができる。

以下、図面を参照して本発明の第１乃至第４の実施の形態について説明する。

（第１の実施の形態）
図１には、本発明の第１の実施の形態に係るネットワークシステム及びネットワーク制御方法の概念図を示し説明する。この第１の実施の形態に係るネットワークシステム及びネットワーク制御方法では、Ｌ２スイッチのポート単位、若しくはＷＬＡＮにおけるセッション単位での契約や管理、各種サービスの提供を可能とする。この点、スイッチの機器単位での契約等が基本とされている既存のサービスと大きく相違する。

Ｌ２スイッチ１０１の各ポートには、ユーザ端末１０２ａ，１０２ｂ，１０２ｃ・・・（以下、符号１０２で総称する）が接続されている。ここで、Ｌ２スイッチ１０１におけるポートとは、ユーザ端末１０２とＮ対１で接続されるＯＳＩ７層モデルでいうところのデータリンク層に位置する有線ネットワーク中継デバイスの一つのネットワークインタフェースをいうものとする。一方、無線ネットワーク中継デバイス（無線ＬＡＮアクセスポイント）１０３は、ユーザ端末１０４ａ，１０４ｂ，１０４ｃ・・・（以下、符号１０４で総称する）と通信自在となっている。ここで、ＷＬＡＮにおけるセッションとは、ユーザ端末１０４とＮ対１で接続される無線ネットワーク中継デバイス１０３の一つのセッションをいうものとする。各端末１０２，１０４は、Ｌ２スイッチ１０１又は無線ネットワーク中継デバイス１０３を介して、他のデバイスにアクセス可能な状態にある。

Ｌ２スイッチ１０１、無線ネットワーク中継デバイス１０３は、配布前に外部管理を可能とするためのコンフィグレーションがなされる。具体的には、管理ＶＬＡＮの作成、管理用ＩＰアドレスの割り当て、認証用パスワードなどが準備され、ネットワーク監視端末１００より所定の監視、及び管理、設定が可能となる。
続いて、Ｌ２スイッチ１０１のポート単位、もしくはＷＬＡＮにおけるセッション単位での契約や管理、各種サービスの提供を可能とするためのコンフィグレーションがなされる。これについては、配布前になされても良いし、配布後、ネットワーク監視端末１００によりなされてもよい。

このコンフィグレーションは具体的には、以下のようになる。

即ち、Ｌ２スイッチ１０１においては、利用可能なポートの設定（契約外のポートはシャットダウン）、利用可能な端末のＭＡＣアドレスの登録、グループ毎のＶＬＡＮ作成、ＶＬＡＮ毎のＱｏＳ、統計情報の作成、及び送信、その他スイッチにまつわる設定等が必要とあれば実施される。さらに、無線ネットワーク中継でバイス１０３においては、デバイス毎の同時利用セッション数、利用可能な端末のＭＡＣアドレスの登録、グループ毎のＶＬＡＮ作成、ＶＬＡＮ毎のＱｏＳ、統計情報の作成、及び送信、その他無線ネットワーク中継デバイス１０３にまつわる設定等が必要とあれば実施される。

以上の構成において、Ｌ２スイッチ１０１、無線ネットワーク中継デバイス１０３に対しては、端末１００により所定のコンフィグレーションがなされる。これは、Ｌ２スイッチのポート単位、若しくはＷＬＡＮにおけるセッション単位での契約や管理、各種サービスの提供を可能とするために施されるものであり、具体的には、少なくとも管理ＶＬＡＮ(Virtual Local Area Network)の作成、管理用ＩＰアドレスの割り当て、管理端末の準備等がなされる（＃１）。このようなコンフィグレーションにより、Ｌ２スイッチ１０１はポート単位で設定がなされ（＃２）、無線ネットワーク中継デバイス１０３はセッション単位で設定がなされる（＃３）。このような設定の後においては、ユーザ端末の利用状況や、契約内容の変更に対して、柔軟にＬＡＮ内を管理することが可能となる。

以上説明したように、本発明の第１の実施の形態によれば、Ｌ２スイッチにおけるポート単位、若しくはＷＬＡＮにおけるセッション単位での契約、管理、各種サービスの提供を可能となる。

（第２の実施の形態）
次に、図２には、本発明の第２の実施の形態に係るネットワークシステム及びネットワーク制御方法の概念図を示し説明する。

図２に示されるように、例えばIEEE802.1x等に対応した各スイッチ１ａ，１ｂ，１ｃ，１ｄ・・・（以下、符号１で総称する）の各ポートには、ユーザ端末２ａ，２ｂ・・・２ｌ・・・（以下、符号２で総称する）が接続されている。スイッチ１ａ，１ｂはルータ３ａに接続されており、スイッチ１ｃ，１ｄはルータ３ｂに接続されている。ルータ３ａ，３ｂ・・・（以下、符号３で総称する）は、インターネット等のネットワーク５を介してIEEE802.1x対応のRadius(Remote authentication dial-in user service)サーバ４と通信自在に接続されている。そして、このIEEE802.1x対応のRadiusサーバ４は、アクセスしてきたユーザ端末を認証し、当該ユーザ端末のポートの利用許可、不許可の決定を最低でも行い、必要とあれば、ＶＬＡＮ番号の割り当て、ＩＰアドレスの割り当て、その他様々な情報をユーザ端末に割り当てる機能を有するものである。ＶＬＡＮ２０には、ゲストＶＬＡＮが含まれる場合もあり得る。

スイッチ１、ルータ３は、配布前に外部管理を可能とするためのコンフィグレーションがなされる。具体的には、管理ＶＬＡＮの作成、管理用ＩＰアドレスの割り当て、認証用パスワードなどが準備され、IEEE802.1x対応のRadiusサーバ４より所定の監視、及び管理、設定が可能となる。続いて、スイッチ１のポート単位、もしくはＷＬＡＮにおけるセッション単位での契約や管理、各種サービスの提供を可能とするためのコンフィグレーションがなされる。これについては、配布前になされても良いし、配布後、ネットワーク監視端末１００によりなされてもよい。

このコンフィグレーションは、より具体的には以下の内容を含む。

即ち、スイッチ１においては、利用可能なポートの設定（契約外のポートはシャットダウン）、利用可能な端末のＭＡＣアドレスの登録、グループ毎のＶＬＡＮ作成、ＶＬＡＮ毎のＱｏＳ、統計情報の作成、及び送信、その他スイッチにまつわる設定等が必要とあれば実施される。ルータ３においては、デバイス毎の同時利用セッション数、利用可能な端末のＭＡＣアドレスの登録、グループ毎のＶＬＡＮ作成、ＶＬＡＮ毎のＱｏＳ、統計情報の作成、及び送信、その他、ルータ３にまつわる設定等が必要とあれば実施される。

以上のほか、スイッチ１、ルータ３について、IEEE802.1x対応のために、利用するIEEE802.1x対応のRadiusサーバ４のＩＰアドレス、ポート番号、そのＩＰアドレスのＩＰ reachabilityの確保、必要とあればバックアップRadiusサーバ４のＩＰアドレス、ポート番号、その他、IEEE802.1x利用のための設定が実施される。

このような構成の下、第２の実施の形態に係るネットワークシステム及びネットワーク制御方法では、例えばIEEE802.1x等に対応したスイッチ１のポート単位での契約や管理、各種サービスの提供を可能とする。これを実現する為に、前述したように、スイッチ１にはポート単位の設定に係るコンフィグレーション、即ち管理ＶＬＡＮの作成、管理用ＩＰアドレスの割り当て、管理端末の準備等が予めなされている。

以下、図３のフローチャートを参照して、本発明の第２の実施の形態に係るネットワークシステムのIEEE802.1x対応のRadiusサーバ４による動作を詳細に説明する。尚、一連の制御動作は、本発明の第２の実施の形態に係るネットワーク制御方法にも相当する。

IEEE802.1x対応のRadiusサーバ４は、端末２からの接続要求を受信すると（ステップＳ１）、接続要求を出力した端末２に所定の認証情報（ＩＤ及びパスワード、ＭＡＣアドレス、電子認証等）を要求する（ステップＳ２）。

続いて、IEEE802.1x対応のRadiusサーバ４は、この要求に応じて端末２から出力された所定の認証情報をスイッチ１、ルータ３を介して受信すると（ステップＳ３）、接続要求を出力している端末２についての認証を実行する（ステップＳ４）。

このステップＳ４において、IEEE802.1x対応のRadiusサーバ４は、認証情報が不適切なものであると認定した場合（認証ＮＧ）には、ゲストＶＬＡＮの有無を判断する（ステップＳ７）。そして、ゲストＶＬＡＮが有りの場合には、ゲストＶＬＡＮに割り当て（ステップＳ９）、動作を終了する。一方、ゲストＶＬＡＮが無しの場合には、その端末２のアクセスをポート単位で拒否し（ステップＳ８）、動作を終了する。

例えば、ＭＡＣアドレスにより端末２を認証する場合、未登録のＭＡＣアドレスの端末２のアクセスは拒否されることにが、ＩＤ及びパスワード等により認証を受け、ＭＡＣアドレスを登録した後は接続許可される。

一方、上記ステップＳ４において、IEEE802.1x対応のRadiusサーバ４は、接続要求を出力している端末２の認証情報を適切なものと認定した場合（認証ＯＫ）、当該端末２をＶＬＡＮ２０に接続させるための制御信号をスイッチ１に出力し、当該端末２をＶＬＡＮ２０に接続させる（ステップＳ５）。以降、IEEE802.1x対応のRadiusサーバ４は、ポート単位で当該端末２の管理、サービス提供を行うことになる（ステップＳ６）。

以上で一連の処理を終了する。

以上説明したように、本発明の第２の実施の形態によれば、IEEE802.1x等に対応したスイッチにおけるポート単位、若しくはＷＬＡＮにおけるセッション単位での契約、管理、各種サービスの提供を可能となる。

（第３の実施の形態）
次に、図４には、本発明の第３の実施の形態に係るネットワークシステム及びネットワーク制御方法の概念図を示し説明する。

図４に示されるように、IEEE802.1x対応の各スイッチ１ａ，１ｂ，１ｃ，１ｄ・・・（以下、符号１で総称する）の各ポートには、IEEE802.1x対応のユーザ端末２ａ，２ｂ・・・２ｌ・・・（以下、符号２で総称する）が接続されている。スイッチ１ａ，１ｂはIEEE802.1x対応のルータ３ａに接続されており、スイッチ１ｃ，１ｄはIEEE802.1x対応のルータ３ｂに接続されている。このルータ３ａ，３ｂ・・・（以下、符号３で総称する）は、インターネット等のネットワーク５を介してIEEE802.1x対応のRadiusサーバ６と通信自在に接続されている。そして、このIEEE802.1x対応のRadiusサーバ６は、アクセスしてきたユーザ端末を認証し、当該ユーザ端末のポートの利用許可、不許可の決定を最低でも行い、必要とあれば、ＶＬＡＮ番号の割り当て、ＩＰアドレスの割り当て、その他様々な情報をユーザ端末に割り当てる機能を有するものである。

以上の他、端末状態診断サーバ７、セキュリティ対策サイト８がネットワーク５に通信自在に接続されている。セキュリティ対策サイト８では、最新のウィルスパターンファイルやパッチ等を保持している。端末状態診断サーバ７は、ユーザ端末２のセキュリティ対策状況を、ウィルスパターンファイルのバージョンや適用済みパッチリスト等の情報を用いて診断するサーバである。端末状態診断サーバ７には、最新のパッチリスト等を登録することで、ユーザ端末２が満たすべきセキュリティレベルの設定を行う。

スイッチ１、ルータ３は、配布前に外部管理を可能とするためのコンフィグレーションがなされる。具体的には、管理ＶＬＡＮの作成、管理用ＩＰアドレスの割り当て、認証用パスワードなどが準備され、IEEE802.1x対応のRadiusサーバ６より所定の監視、及び管理、設定が可能となる。続いて、スイッチ１のポート単位、もしくはＷＬＡＮにおけるセッション単位での契約や管理、各種サービスの提供を可能とするためのコンフィグレーションがなされる。これについては、配布前になされても良いし、配布後、ネットワーク監視端末１００によりなされてもよい。

以上のほか、スイッチ１、ルータ３について、IEEE802.1x対応のために、利用するIEEE802.1x対応のRadiusサーバ６のＩＰアドレス、ポート番号、そのＩＰアドレスのＩＰ reachabilityの確保、必要とあればバックアップRadiusサーバ６のＩＰアドレス、ポート番号、その他、IEEE802.1x利用のための設定が実施される。さらに、IEEE802.1x対応のRadiusサーバ６に対しても、例えば、利用ユーザの登録、利用ユーザ端末のＭＡＣアドレスの登録、認証手法の選択、同時利用可能セッション数の登録等がなされる。

このような構成の下、第３の実施の形態に係るネットワークシステム及びネットワーク制御方法では、IEEE802.1x対応のスイッチ１のポート単位での契約や管理、各種サービスの提供を可能とする。これを実現する為に、前述したように、IEEE802.1x対応のスイッチ１にはポート単位の設定に係るコンフィグレーション、即ち管理ＶＬＡＮの作成、管理用ＩＰアドレスの割り当て、管理端末の準備等が予めなされている。更に、IEEE802.1x対応のRadiusサーバ６に対しても、例えばユーザ情報とＭＡＣアドレス情報がペアになったＣＳＶファイルの登録等（ユーザの同時アクセスセッション数の登録）がなされる。

さらに、この第３の実施の形態に係るネットワークシステム及びネットワーク制御方法では、セキュリティ上の理由から、ＬＡＮを、少なくともセキュリティ対策用ＶＬＡＮ２０ａと業務用ＶＬＡＮ２０ｂとに分けて運用する工夫もなされている。

以下、図５のフローチャートを参照して、本発明の第３の実施の形態に係るネットワークシステムのRadiusサーバ６による動作を詳細に説明する。この一連の制御動作は、本発明の第３の実施の形態に係るネットワーク制御方法にも相当する。

Radiusサーバ６は、端末２からの接続要求を受信すると（ステップＳ１０）、接続要求を出力した端末２に所定の認証情報（ＩＤ及びパスワード、ＭＡＣアドレス、電子認証等）を要求する（ステップＳ１１）。続いて、Radiusサーバ６は、この要求に応じて端末２から出力された所定の認証情報をスイッチ１、ルータ３を介して受信すると（ステップＳ１２）、接続要求を出力している端末２についての認証を実行する（ステップＳ１３）。

この認証としては、電子証明書が格納されたＵＳＢトークンを用いたIEEE802.1xによる認証を採用することも可能である。

このステップＳ１３において、Radiusサーバ６は、認証情報が不適切なものであると認定した場合（認証ＮＧ）、その端末２のアクセスをポート単位で拒否し、動作を終了する（ステップＳ１４）。例えば、ＭＡＣアドレスにより端末２を認証する場合、未登録のＭＡＣアドレスの端末２のアクセスは拒否されることにが、ＩＤ及びパスワード等により認証を受け、ＭＡＣアドレスを登録した後は接続許可されることになる。

一方、上記ステップＳ１３において、Radiusサーバ６は、接続要求を出力している端末２の認証情報を適切なものと認定した場合（認証ＯＫ）、端末２に対し、自己のセキュリティ対策状況を示すセキュリティ対策状況データをRadiusサーバ６に対して出力するように要求する（ステップＳ１５）。次いで、Radiusサーバ６は、その要求に応じて端末２から出力された自己のセキュリティ対策状況を示すセキュリティ対策状況データをスイッチ２、ルータ３を介して受信すると（ステップＳ１６）、Radiusサーバ６は、受信したセキュリティ対策状況データを端末状態診断サーバ７に転送し、端末２のセキュリティ対策状況の診断を依頼する（ステップＳ１７）。端末状態診断サーバ７にてセキュリティ対策状況の診断が実行され、Radiusサーバ６が当該結果を受信すると（ステップＳ１８）、端末２のセキュリティ対策が十分であるか否かを判定する（ステップＳ１９）。

このステップＳ１９において、Radiusサーバ６は、セキュリティ対策が十分でないと判定すると、端末２をセキュリティ対策用ＶＬＡＮ２０ａに接続するための制御信号をスイッチ２に出力して、当該端末２をセキュリティ対策用ＶＬＡＮ２０ａに接続させる（ステップＳ２０）。そして、セキュリティ対策が完了した通知を受信するまで待機する（ステップＳ２１）。セキュリティ対策用ＶＬＡＮ２０ａに接続された端末２は、必要なウィルス検知用データ、パッチファイル等をセキュリティ対策サイト８よりダウンロードして各種のセキュリティ対策を実行することになる。こうして、ステップＳ２１にて、Radiusサーバ６が当該通知を受信すると、上記ステップＳ１５に戻り、上記動作を繰り返す。尚、このステップＳ２１をＹｅｓに分岐し、ステップＳ２２に戻るようにしてもよい。

一方、上記ステップＳ１９において、端末２のセキュリティ対策が十分であると判断した場合には、Radiusサーバ６は当該端末２を業務用ＶＬＡＮ２０ｂに接続させるための制御信号をスイッチ１に出力し、当該端末２を業務用ＶＬＡＮ２０ｂに接続させる（ステップＳ２２）。これ以降、Radiusサーバ６は、ポート単位で当該端末２の管理、サービス提供を行う（ステップＳ２３）。以上で一連の処理を終了する。

以上説明したように、本発明の第３の実施の形態によれば、IEEE802.1x対応のスイッチにおけるポート単位、若しくはＷＬＡＮにおけるセッション単位での契約、管理、各種サービスの提供が可能となる。しかも、セキュリティ対策の不十分な端末と十分な端末とで接続先のＶＬＡＮを切り換えることが可能である。従って、ウィルス等による被害を未然に防止し、迅速に対応することも可能となる。

（第４の実施の形態）
次に、図６には、本発明の第４の実施の形態に係るネットワークシステム及びネットワーク制御方法の概念図を示し説明する。ここでは、図４と同一構成要素には図４と同一符号を付し、重複した説明は省略し、異なる部分を説明する。各部のコンフィグレーションに関しても前述した第３の実施の形態と略同様である為、説明を省略する。

図６に示されるように、第４の実施の形態に係るネットワークシステムは、図４の構成に加えてRadiusサーバ６が収集したログ情報を格納する利用ログデータベース（以下、利用ログＤＢとする）９と、利用状況監視サーバ１０、オプションサービス管理サーバ１１を更に備えている。この利用ログＤＢ９には、例えば、IEEE802.1x対応Radiusサーバ６のログ、ユーザＩＤ、ユーザ端末２のＭＡＣアドレス、スイッチ１のＩＰアドレス及びポート番号、利用開始日時、利用終了日時、総パケット数、端末情報、オプションサービス情報（オプションサービス名、サービス利用開始時間、サービス利用終了時間等）等の情報が関係付けられて記憶されている。利用状況監視サーバ１０は、利用ログＤＢ９を参照することでIEEE802.1x対応Radiusサーバ６のログ、及びIEEE802.1x対応のスイッチ１からＳＮＭＰ(Simple Network Management Protocol)を介して得たポート番号、ユーザ端末からSNMPを介して得た端末情報に応じて、端末監視テーブルを作成できる。

また、利用状況監視サーバ１０は、利用ログＤＢ９を参照することで、例えば単位時間毎の利用頻度のグラフ化、スイッチのポート毎の利用頻度の可視化、スイッチのポート毎の総パケット数に基づく判断ならびに警告等を行うことも可能である。

さらに、第４の実施の形態に係るネットワークシステムでは、詳細は後述するが、オプションサービス管理サーバ１１が、IEEE802.1x対応のスイッチ１のポート単位でオプションサービスの契約内容を管理し、オプションサービスサーバ群１２との連携により、各種のオプションサービスを提供するための制御を統括している。

以下、図７のフローチャートを参照して、本発明の第４の実施の形態に係るネットワークシステムのRadiusサーバ６による動作を詳細に説明する。この一連の制御動作は、本発明の第４の実施の形態に係るネットワーク制御方法にも相当する。

この図７のステップＳ３０乃至Ｓ４３に示される動作は、先に説明した図５のステップＳ１０乃至Ｓ２３と同様である。図７のステップＳ４４において、Radiusサーバ６が利用ログを収集し、利用ログＤＢ９に格納する点のみが第３の実施の形態（図５）と相違しているだけであるので、ここでは、これ以上の重複した説明は省略する。

続いて、図８のフローチャートを参照して、本発明の第４の実施の形態に係るネットワークシステムのオプションサービス管理サーバ１１による動作を詳細に説明する。この一連の制御動作は、第４の実施の形態に係るネットワーク制御方法にも相当する。

さて、認証が成立し、端末２が業務用ＬＡＮ２０ｂに接続されると、オプションサービス管理サーバ１１は当該端末２との交渉を開始する（ステップＳ５１）。

このオプションサービス管理サーバ１１は、ポート単位で利用可能なサービスの登録を受けており、その内容を保存している。上記交渉に際して、端末２側では利用可能なサービスが表示され、所望とするオプションサービスが選択可能となる。

オプションサービス管理サーバ１１は、この交渉を開始した後、ポート単位で管理している利用可能なオプションサービスのうちユーザ端末２側で選択されたオプションサービスに係る利用チケット（利用可能サービス名、サービス利用のためのコンフィグレーション情報、属性証明書等の情報を含む）を作成し、ユーザ端末２に配布することになる（ステップＳ５２）。そして、利用チケットの作成、配布の情報に基づいて利用ログＤＢ９の内容を適宜更新する（ステップＳ５３）。この利用チケットにより、ユーザ端末２はオプションサービスサーバ群１２によるサービスの利用が許可されることになる。

以降、ユーザ端末２がオプションサービスの利用を開始し、当該ユーザ端末２からの利用状況報告がなされると（ステップＳ５４）、オプションサービス管理サーバ１１は利用ログＤＢ９の内容を更新する（ステップＳ５５）。更に、ユーザ端末２がオプションサービスの利用を終了し、当該ユーザ端末２からの利用終了報告を受けると（ステップＳ５６）、利用ログＤＢ９の内容を更新し（ステップＳ５７）、本動作を終了する。

ここで、オプションサービスサーバ群１２の詳細は図９に示される通りである。

即ち、サーバ群１２には、ＤＨＣＰ(Dynamic Host Configuration Protocol)オプションサーバ１２ａ、ＧＲＩＤオプションサーバ１２ｂ、ＳＩＰアプリケーションオプションサーバ１２ｃ、グループウェアオプションサーバ１２ｄ等が含まれている。

ＤＨＣＰオプションサーバ１２ａは、動的なＩＰアドレスの割り当て、及びホストコンフィグレーションを実現する（ＤＮＳ等）。ＧＲＩＤオプションサーバ１２ｂは、ＧＲＩＤアプリケーションをサポートするもので、例えばネットワーク上に個人のディスクスペースを状況に応じて作成するものである。ＳＩＰアプリケーションオプションサーバ１２ｃは、ＳＩＰを利用するアプリケーションをサポートするもので、例えばＳＩＰフォンや画面共有、ＳＩＰプレゼンス管理等を実現する。そして、グループウェアオプションサーバ１２ｄは、例えばスケジューラ、簡易掲示板、勤務管理等をサポートするものである。これら各オプションサービスは、物理的に異なる複数のサーバによって提供されても、一のサーバで論理的に分けられた態様で提供されてもよい。

以上説明したように、本発明の第４の実施の形態によれば、IEEE802.1x対応のスイッチにおけるポート単位、若しくはＷＬＡＮにおけるセッション単位での契約、管理、各種サービスの提供が可能となる。しかも、セキュリティ対策の不十分な端末と十分な端末とで接続先のＶＬＡＮを切り換えることが可能である。従って、ウィルス等による被害を未然に防止し、迅速に対応することも可能となる。また、ポート単位で利用可能なオプションサービスを統括管理することも可能である。即ち、前述したオプションサービス等のサーバ機能はサービス提供者側でホスティングされるので、ベンダーと個別に契約する必要はなくなり、ユーザはIEEE802.1x対応のスイッチのポートをレンタルするだけで当該オプションサービスの提供を受けることが可能となる。従って、オプションサービスを利用する場合も契約、及び当該契約に基づく各種処理（課金等）はシンプルになる。さらに、ユーザ側は、固定資産を抱える必要がないので、資産管理も不要となる。

以上、本発明の第１乃至第４の実施の形態について説明したが、本発明はこれに限定されることなく、その趣旨を逸脱しない範囲で種々の改良・変更が可能であることは勿論である。例えば、前述したオプションサービスは、前述したものには限定されず、ネットワークディスクやバイオメトリクス認証、ファイアウォール機能、ＩＤＳ等、種々のものが含まれることは勿論である。

本発明の第１の実施の形態に係るネットワークシステム及びネットワーク制御方法の概念図。本発明の第２の実施の形態に係るネットワークシステム及びネットワーク制御方法の概念図。本発明の第２の実施の形態に係るネットワークシステムのサーバ４による動作を詳細に説明するフローチャート。本発明の第３の実施の形態に係るネットワークシステム及びネットワーク制御方法の概念図を示し説明する。本発明の第３の実施の形態に係るネットワークシステムのRadiusサーバ６による動作を詳細に説明するフローチャート。本発明の第４の実施の形態に係るネットワークシステム及びネットワーク制御方法の概念図を示し説明する。本発明の第４の実施の形態に係るネットワークシステムのRadiusサーバ６による動作を詳細に説明するフローチャート。本発明の第４の実施の形態に係るネットワークシステムのオプションサービス管理サーバ１１による動作を詳細に説明するフローチャート。オプションサービスサーバ群１２を詳細に示す図。

符号の説明

１・・・スイッチ、２・・・ユーザ端末、３・・・ルータ、４・・・Radiusサーバ、５・・・ネットワーク、６・・・Radiusサーバ、７・・・端末状態診断サーバ、８・・・セキュリティ対策サイト、９・・・利用ログＤＢ、１０・・・利用状況監視サーバ、１１・・・オプションサービス管理サーバ、１２・・・オプションサービスサーバ群。

Claims

業務用ＶＬＡＮとセキュリティ対策用ＶＬＡＮとの切り換えが可能なネットワークシステムであって、
端末が接続可能な複数のポートを有しており、利用可能なポートの設定、管理用ＩＰアドレスの割り当てに係る設定がなされており、ネットワーク監視端末より監視、管理、設定が可能なスイッチと、
上記ポート単位で所定の管理、サービスの提供を行うもので、上記ポート単位で各端末のセキュリティ状態を示すセキュリティ対策状況データを用いた認証を行い、認証が成立した場合には上記業務用ＶＬＡＮに上記端末を接続し、一方、認証が不成立の場合には上記セキュリティ対策用ＶＬＡＮに上記端末を接続し、所定のセキュリティ対策を実行し、セキュリティ対策が完了した通知を受信したときには当該端末を業務用ＶＬＡＮに接続するように制御するサーバと、を有し、
上記ネットワーク監視端末は上記サーバのログ、スイッチのポート番号、上記端末の端末情報に応じて端末監視テーブルを作成することでスイッチのポート単位で監視する、
ことを特徴とするネットワークシステム。
前記セキュリティ対策状況データには、ウィルスパターンファイルのバージョン又は適用済みパッチリストが含まれることを特徴とする請求項１に記載のネットワークシステム。
業務用ＶＬＡＮとセキュリティ対策用ＶＬＡＮとの切り換えが可能なネットワークシステムであって、
端末が接続可能な複数のポートを有しており、利用可能なポートの設定、管理用ＩＰアドレスの割り当てに係る設定がなされており、ネットワーク監視端末より監視、管理、設定が可能なスイッチと、
端末のセキュリティ対策状況の診断を行う端末状態診断サーバと、
所定のセキュリティ対策を実行するためのセキュリティ対策サイトと、
を有し、上記ポート単位で所定の管理、サービスの提供を行うもので、端末よりセキュリティ状態を示すセキュリティ対策状況データを受信すると、上記端末状態診断サーバにより上記ポート単位でセキュリティ対策状況データに基づく端末のセキュリティ対策状況の診断を行い、当該診断結果に基づいて上記端末の認証を行い、認証が成立した場合には上記業務用ＶＬＡＮに上記端末を接続し、一方、認証が不成立の場合には上記セキュリティ対策用ＶＬＡＮに上記端末を接続し、上記セキュリティ対策サイトによる所定のセキュリティ対策を実行し、当該セキュリティ対策用ＶＬＡＮに接続された端末よりセキュリティ対策が完了した通知を受信したときには当該端末を業務用ＶＬＡＮに接続するように制御するサーバと、を有し、
上記ネットワーク監視端末は上記サーバのログ、スイッチのポート番号、上記端末の端末情報に応じて端末監視テーブルを作成することでスイッチのポート単位で監視する、
ことを特徴とするネットワークシステム。
上記スイッチは、複数の業務用ＶＬＡＮの各々に対応したＶＬＡＮの設定がなされていることを更に特徴とする請求項１に記載のネットワークシステム。
上記スイッチの各ポートに接続された各端末が利用可能なオプションサービス内容をポート単位で統括して管理する管理サーバを更に有し、
当該管理サーバは、上記認証が成立した場合には上記オプションサービス内容に基づいてオプションサービスをポート単位で提供するように制御する、
ことを更に特徴とする請求項１に記載のネットワークシステム。