JP4275156B2

JP4275156B2 - 特定エリアネットワークアクセス制御システムおよび制御方法、ならびにそのプログラム

Info

Publication number: JP4275156B2
Application number: JP2006203221A
Authority: JP
Inventors: 仁志中山
Original assignee: 株式会社日立情報システムズ
Priority date: 2006-07-26
Filing date: 2006-07-26
Publication date: 2009-06-10
Anticipated expiration: 2026-07-26
Also published as: JP2008034937A

Description

本発明は、特定エリアのネットワークの接続状態を確認し、特定のネットワーク端末のみ時間帯により接続を許可するネットワーク制御システム、および、ネットワーク制御方法、ならびにネットワーク制御用プログラムに関する。

近年、急速に広がりを見せているインターネットやイントラネットにおいて、コンピュータ、プリンタ等のＯＡ機器の他に、携帯端末（モバイル）機器のように小型化も進んでいる。このために、従来のデスクトップ型端末のようなネットワークへの接続位置を固定した使用形態に加えて、端末の接続位置を気軽に変更するケースや、携帯端末のように、市街の中で使用していた端末をオフィスに持ち帰ってネットワークに接続するケースも増加してきた。
前述のような使用を前提としたコンピュータネットワークでは、不正な端末接続によるネットワークの不正利用および不正アクセスを防止するために端末の管理／認証の技術が必要となる。

例えば、特開２００５−１０１９５７号公報に記載の技術では、ＭＡＣアドレスがアドレス登録手段に登録されていれば、そのＭＡＣアドレスに対応するＩＰアドレスをＰＣ（パーソナルコンピュータ）に提供するＩＰアドレス提供手段を設けて、提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣを検知すると、ネットワークに対する当該ＰＣの接続を遮断するようにし、ネットワークに対する接続の許可を受けていないＰＣをネットワークから排除するセキュリティ管理システムおよび管理方法が提案されている。

特開２００５−１０１９５７号公報

前記特許文献１の技術では、セキュリティ確保のため、ＬＡＮ全体から接続の許可を受けていないネットワーク端末をＬＡＮから排除することを目的としている。
しかしながら、ＬＡＮの敷設されたエリアがセキュリティレベルの低いエリア（例えば、会議室等、第三者の入室が容易な場所）の場合も同様な環境が用意されており、そのような場所にもネットワーク端末が接続できる環境となっている場合がある。
このような場合には、許可を受けていないネットワーク端末を情報を詐称することでＬＡＮに接続したり、正規のネットワーク端末を盗難等によりＬＡＮ接続することによって、許可を受けていない第三者によりＬＡＮ環境を利用され、情報漏洩がなされる可能性も考えられる。

（目的）
本発明の目的は、前述のような問題点を解消し、物理的にセキュリティレベルの低い特定エリアのＬＡＮ環境を、申請した時間帯のみ申請したサービスを利用できるようにして、特定エリアからの情報漏洩等のリスクを最小限に止めることが可能な特定エリアネットワークアクセス制御システムおよび制御方法、ならびにそのプログラムを提供することにある。

本発明の特定エリアネットワークアクセス制御システムは、特定エリアに敷設されているＬＡＮが接続されているスイッチングハブのポートを事前にネットワークから遮断しておき、利用者から申請された時間帯になると、利用可能とするようポートを開き、そのポートに接続されているネットワーク端末が正規に申請されたネットワーク端末であるか、スイッチハブ内のＭＡＣアドレステーブルや、基幹スイッチングハブのＭＡＣアドレスに対応するＩＰアドレスより判断し、申請したサービスのみ利用できるようにアクセス制御することを特徴としている。

また、利用者が一時的にサービスを停止／再開する場合の自動制御（待機）や、ネットワーク端末がネットワークから切断された場合の自動制御（遮断）も可能としている。

本発明によれば、ＬＡＮ全体ではなく、特定のエリアに対して事前に申請された時間帯のみＬＡＮを利用可能な状態として、事前に申請を受けているネットワーク端末のみ接続を許可すると同時に、アクセスできるサービスについても申請したものに限定するので、特定エリアからの情報漏洩等のリスクを最小限にくい止めることができる。

以下、本発明の実施例を、図面により詳細に説明する。
図１は、本発明の一実施例に係る特定エリアネットワークアクセス制御システムのブロック図である。
社内ネットワークとなるネットワーク０００には、基幹となるスイッチングハブ基幹ＳＷ００２、それを中心にカスケードにてスイッチングハブ００３、スイッチングハブ００４が接続されている。このネットワーク０００には、ネットワーク端末００７よりスイッチングハブ００３を介してアクセスするためのサーバＡ００５、サーバＢ００６が接続されている。また、スイッチングハブ００４より会議室等セキュリティレベルの低いエリアへ敷設されているＬＡＮケーブルが存在している。

本発明における特定エリアネットワークアクセス制御システムは、管理サーバ００１であり、社内ネットワーク０００に会議室等セキュリティレベルの低いエリアから接続されるネットワーク端末００８に対するアクセス制御を行う。管理サーバ００１は、事前に予約入力を行う入力部１００、定期的に予約確認を行う予約確認処理部２００、ネットワーク端末００８が該当区画に接続されたか否かの確認を行うチェックイン処理部３００、ネットワーク端末００８が該当区画から切断されたか否かの確認を行うチェックアウト処理部４００、チェックイン処理部３００およびチェックアウト処理部４００にて接続された端末が正規のものであるか否かの確認を行う端末確認処理部５００、および、利用ユーザが任意にてアクセス制御状態の変更を行うブレイクオフ処理部６００で構成されている。

また、予約状況を保存する予約ＤＢａ００、構成しているネットワーク機器の情報とアクセス制御コマンドを保有しているネットワーク機器ＤＢｂ００、アクセス制御を行う必要があるエリア情報を保有しているエリア情報ＤＢｃ００、ネットワーク端末からアクセスを行う必要のあるサーバ情報を保有しているサーバ情報ＤＢｄ００の各データベースを備えている。
このように、管理サーバ００１の１００〜６００は、特定エリアネットワークアクセス制御プログラムによる各処理部であって、これらは１つ以上のプロセッサの制御により、メモリからアクセス制御プログラムを読み出し、読み出したプログラムを実行することにより、それぞれの処理を行う。例えば、プロセッサ内の演算回路により登録された予約日時と比較することにより、予約確認処理を行い、また、特定エリアのネットワーク端末００８が登録された該当区画のアドレスと比較することにより、該当区画への接続の確認を行い、また、アドレスと比較して、不一致ならば該当区画からの切断の確認を行う。

図２は、図１における入力部の処理動作を示すフローチャートである。
入力部１００の動作目的は、セキュリティレベルが低く、アクセス制御を行っている区画を利用する旨の事前申請をネットワーク端末００８を利用する利用者が入力するものである。そのための処理として、次の各ステップを実行する。
まず、利用者は入力部開始（ステップ１００）とともに、利用場所、利用日、利用開始時間、利用終了時間、利用するネットワーク端末の情報としてＩＰアドレス、ＭＡＣアドレス、および利用サービス（サーバ）の入力を行う（ステップ１０１）。入力された情報は、予約ＤＢａ００に保存され（ステップ１０２）、入力されたデータのチェックインフラグを初期化するため“０”を代入する（ステップ１０３）。

図３は、図１における予約確認処理の処理動作を示すフローチャートである。
予約確認処理部２００の動作目的は、予約ＤＢａ００に登録されている予約された時間帯であるか否かを定期的に判断することである。そのための処理として、次の各ステップを実行する。
この予約確認処理部２００の動作は定期的（例えば、１分毎等）に実行され、まずシステム日付と予約ＤＢａ００に格納されている利用日の比較を行う（ステップ２０１）。同日でない場合には処理を終了させ、同日であった場合には、システム時間と予約ＤＢａ００テーブル（図８参照）に格納されている利用開始時間の比較を行う（ステップ２０２）。

システム時間が利用開始時間に到達していない場合には、処理を終了させる。システム時間が利用開始時間に達していた場合、更にシステム時間と予約ＤＢａ００テーブルに格納されている利用終了時間の比較を行い（ステップ２０３）、システム時間が予約した利用時間内であるか否かの判断を行う。システム時間が予約終了時間を過ぎていた場合には、チェックアウト処理を行い（ステップ２０７）、また予約終了時間を過ぎていない場合には、予約ＤＢａ００テーブルに格納されているチェックインフラグの判定を行う（ステップ２０４）。チェックインフラグが初期値である“０”である場合には、まだ利用時間内となってから該当エリアにネットワーク端末００８が接続されていないため、チェックイン処理を行い（ステップ２０６）、既に該当エリアにネットワーク端末００８が接続されている場合には、チェックインフラグが初期値以外の“１”となっており、チェックアウト処理が実行される（ステップ２０７）。以下、チェックイン処理（ステップ２０６）については図４、チェックアウト処理（ステップ２０７）については図５において、それぞれ説明する。

図４は、図１に予約確認処理のサブシステムであるチェックイン処理部の処理動作を示すフローチャートである。
チェックイン処理部３００の動作目的は、特定エリアのネットワークを利用時間になったなら開放し、申請された正規のネットワーク端末が接続されているか否かの判断を行い、正規のネットワーク端末が接続された場合には、そのネットワーク端末から利用するサーバに対してのみアクセス可能となるようにアクセス制御を行うものである。
そのための処理として、図４に示す各ステップを実行する。

その前に、予約ＤＢのテーブルとエリア情報ＤＢのテーブル、および、ネットワーク機器ＤＢとサーバ情報ＤＢのテーブルの説明を行う。
図８は、予約ＤＢａ００のテーブルおよびそのテーブルの項目説明を示す図である。
このテーブルには、利用場所（端末を持ち込む低セキュリティエリアの名称（例えば、会議室の名前））、利用日、利用開始時間、利用終了時間、利用ＰＣ情報ＩＰアドレス、利用ＰＣ情報ＭＡＣアドレス、利用サーバ（低セキュリティエリアより利用するサーバ名）、および、チェックインフラグ（チェックイン処理が済んでいるか否かを判断するフラグ）の各項目が存在する。

図９は、エリア情報ＤＢのテーブルおよびそのテーブルの項目説明を示す図である。
このテーブルには、利用場所、スイッチングハブ名、利用ポート番号、アクセス制御名（アクセス制御時に利用する名称）、および、ｖｌａｎ番号（利用場所で利用されるｖｌａｎ番号）の各項目が存在する。

図１０は、ネットワーク機器ＤＢのテーブルおよびそのテーブルの項目説明を示す図である。
このテーブルには、スイッチングハブ名、そのＩＰアドレス、そのスイッチングハブにログインするアカウント、同じくログインするパスワード、ポート切断コマンド、ポート復帰コマンド、アクセス制御コマンド（設定）、アクセス制御コマンド（解除）、ｆｄｂコマンド（接続ポートとＭＡＣアドレスの対応表を示す）、ａｒｐコマンド（ＭＡＣアドレスとＩＰアドレスの対応表を示す）、基幹機器（ＩＰアドレス）の各項目が存在する。

図１１は、サーバ情報ＤＢのテーブルおよびそのテーブルの項目説明を示す図である。
このテーブルには、利用サーバ（低セキュリティエリアより利用するサーバ名称）、ＩＰアドレス（利用するサーバのＩＰアドレス）、および、サービスポート（利用するサービスのポート番号）の各項目が存在する。

図４において、まず、予約ＤＢａ００テーブル（図８）の利用場所よりエリア情報ＤＢｃ００（図９）の利用場所と同じレコードを参照し（ステップ３０１）、参照したレコードのスイッチングハブよりネットワーク機器ＤＢ（図１０）のスイッチングハブと同じレコードを参照する（ステップ３０２）。
次に、サーバ情報ＤＢｄ００（図１１）から利用サーバが管理サーバ００１となっているレコードを参照する（ステップ３０３）。参照された情報からネットワーク機器ＤＢ（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ３０４）。

続いて、利用するネットワーク端末から全てへのアクセスを遮断するため、予約ＤＢａ００（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御コマンドからコマンドを生成して発行する（ステップ３０５）。
さらに、利用するネットワーク端末から管理サーバ００１へのみアクセスを許可させるため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の管理サーバ００１のＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣアドレスを元に、ネットワーク機器ＤＢｂ００（図１０）のアクセス制御コマンドからコマンドを生成し発行する（ステップ３０６）。

次に、利用する特定エリアのポートを開放するため、エリア情報ＤＢｃ００テーブル（図９）のｖｌａｎ番号および利用ポート番号を元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のポート復帰コマンドからコマンドを生成して発行する（ステップ３０７）。申請された特定エリアから申請されたネットワーク端末が管理サーバ００１へアクセスが可能となるようになったため、スイッチングハブからログアウトを行う（ステップ３０８）。この後、特定エリアにネットワーク端末が接続されているか、接続されているネットワーク端末が申請された正規のものであるかの確認を行う端末確認処理（ステップ３０９）が実施される。なお、端末確認処理（ステップ３０９）の詳細については、図６により説明する。

端末確認処理（ステップ３０９）の結果により正規端末であったか否かの判定を行う（ステップ３１０）。接続されたネットワーク端末が申請された正規のネットワーク端末であった場合、再びネットワーク機器ＤＢｂ００（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ３１５）。続いて、利用するネットワーク端末から申請した利用サーバへのアクセスを許可するため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の利用サーバのＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御コマンドからコマンドを生成して発行する（ステップ３１６）。

一方、接続されたネットワーク端末が申請された正規のネットワーク端末でない、又は、まだ接続されていない場合、再び、ネットワーク機器ＤＢｂ００（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ３１１）。続いて、特定エリアで利用するネットワークを遮断するため、エリア情報ＤＢｃ００テーブル（図９）のｖｌａｎ番号、及び、利用ポート番号を元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のポート遮断コマンドからコマンドを生成して発行する（ステップ３１２）。さらに、アクセス制御を行った内容を全て元に戻す。

次に、利用するネットワーク端末から全てへのアクセスを遮断していた設定を解除するため、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドからコマンドを生成して発行する（ステップ３１３）。さらに、利用するネットワーク端末から管理サーバ００１へのみアクセスを許可していた設定を解除するため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の管理サーバのＩＰアドレス、及び、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドからコマンドを生成して発行する（ステップ３１４）。コマンドを発行する処理が完了したため、スイッチングハブからログアウトを行う（ステップ３１７）。

図５は、図１における予約確認処理部のサブシステムであるチェックアウト処理部の処理動作を示すフローチャートである。
チェックアウト処理部４００の動作目的は、特定エリアのネットワークを申請した利用終了時間を超過したならば強制的にチェックイン処理部３００で実施されたポートの開放の解除（ポートの遮断）、アクセス制御を通常の状態に戻す。また、一定期間ネットワーク端末がネットワークから切断された場合、申請して利用していたサーバへのアクセスを遮断し、さらに一定期間過ぎてもネットワーク端末がネットワークに接続されない場合には、利用を終了したと判断し、チェックイン処理部３００で実施された、ポートの遮断、アクセス制御を通常の状態に戻す。そのための処理として、次の各ステップを実行する。

まず、システム時間と予約ＤＢａ００のテーブル（図８）に格納されている利用終了時間の比較を行う（ステップ４０１）。システム時間が未だ利用終了時間でなかった場合には、特定エリアにネットワーク端末が接続されているか、接続されているネットワーク端末が申請された正規のものであるか否かの確認を行う端末確認処理が実施される（ステップ４０２）。なお、端末確認処理の詳細については、図６において説明する。

次に、特定エリアにネットワーク端末が接続されていたのか否かの判断を行い（ステップ４０３）、ネットワーク端末が接続されていない場合には、切断されていた時間により実施する処理を異ならせる。本実施例では、切断時間が３分を超過すると、申請したサーバへのアクセスを停止させ、５分を経過すると利用が終了したと判断している（ステップ４０４）が、この時間は任意の時間で設定しておけばよい。３分を超過した場合には、次のステップを実行する。
ネットワーク機器ＤＢｂ００（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ４０５）。利用するネットワーク端末から申請した利用サーバへのアクセスを遮断するため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の利用サーバのＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドからコマンドを生成して、これを発行する（ステップ４０６）。コマンドを発行する処理が完了したため、スイッチングハブからログアウトを行う（ステップ４０７）。

５分を超過した場合には、次のステップを実行する。
ネットワーク機器ＤＢｂ００テーブル（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ４１５）。特定エリアで利用するネットワークを遮断するため、エリア情報ＤＢｃ００（図９）のｖｌａｎ番号、および、利用ポート番号を元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のポート遮断コマンドからコマンドを生成し、これを発行する（ステップ４１６）。利用するネットワーク端末から全てへのアクセスを遮断していた設定を解除するため、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドからコマンドを生成し、これを発行する（ステップ４１７）。

さらに、利用するネットワーク端末から管理サーバ００１へのみアクセスを許可していた設定を解除するため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の管理サーバのＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドからコマンドを生成し、これを発行する（ステップ４１８）。コマンドを発行する処理が完了したため、スイッチングハブからログアウトを行う（ステップ４１９）。最後に予約ＤＢａ００より該当する予約レコードの削除を行う（ステップ４２０）。

ステップ４０３の判断にて、ネットワーク端末が接続されていたならば、その端末が正規に申請されたネットワーク端末であるか否かの判断を行う（ステップ４０９）。次に、その接続されているネットワーク端末が申請された正規のものであったか否かの判断を行う（ステップ４１０）。正規のものであった場合には、切替時間が４〜５分の間であるか否かの判断を行う（ステップ４１０）。４〜５分であった場合、ステップ４０６にて利用するネットワーク端末から利用するサーバまでのアクセスが遮断されており、改めてサーバへ通信ができるようにアクセス制御を行うために、次のステップを実行する。

ネットワーク機器ＤＢｂ００（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ４１１）。続いて、利用するネットワーク端末から申請した利用サーバへのアクセスを許可するため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の利用サーバのＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御コマンドからコマンドを生成し、これを発行する（ステップ４１２）。コマンドを発行する処理が完了したため、スイッチングハブからログアウトを行う（ステップ４１３）。そして、正常に正規のネットワーク端末が接続されているため、切断時間を初期値である“０”に戻す処理を行う（ステップ４１４）。

ステップ４１０にて、システム時間が申請した利用時間を超過していた場合、ステップ４０９にて接続されているネットワーク端末が正規の端末でなかった場合、これらの場合は強制的に利用を終了させる必要があるので、次のステップを実行する。
ネットワーク機器ＤＢｂ００（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ４２１）。特定エリアで利用するネットワークを遮断するため、エリア情報ＤＢｃ００テーブル（図９）のｖｌａｎ番号、および、利用ポート番号を元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のポート遮断コマンドからコマンドを生成し、これを発行する（ステップ４２２）。

利用するネットワーク端末から全てへのアクセスを遮断していた設定を解除するため、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドからコマンドを生成し、これを発行する（ステップ４２３）。さらに、利用するネットワーク端末から管理サーバ００１へのみアクセスを許可していた設定を解除するため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の管理サーバのＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドからコマンドを生成し、これを発行する（ステップ４２４）。

次に、切替時間が４分以上であるか否かを判断する（ステップ４２５）。切替時間が４分を超過していた場合、ステップ４０６にて利用するネットワーク端末から申請した利用するサーバまでのアクセスが遮断されているが、それ以外の場合には、まだ遮断されていないため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の利用サーバのＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドからコマンドを生成し、これを発行する（ステップ４２６）。コマンドを発行する処理が完了したため、スイッチングハブからログアウトを行う（ステップ４２７）。最後に、予約ＤＢａ００より該当する予約レコードの削除を行う（ステップ４２８）。

図６は、図１における端末確認処理部の処理動作を示すフローチャートである。
端末確認処理部５００の動作目的は、事前に申請したネットワーク端末のＭＡＣアドレスが、特定エリアに接続されているスイッチングハブのどのポートに接続されているのかの判断と、基幹スイッチングハブのＩＰアドレスとＭＡＣアドレスの対応表から接続されているＭＡＣアドレスのＩＰアドレスが事前に申請されたＩＰアドレスであるか否かの判断で、ネットワーク端末が接続されているか、申請した正規のネットワーク端末が接続されているか、の判断を行う。そのための処理として、次の各ステップを実行する。

まず、予約ＤＢａ００テーブル（図８）の利用場所よりエリア情報ＤＢｃ００（図９）の利用場所と同じレコードを参照し（ステップ５０１）、参照したレコードのスイッチングハブよりネットワーク機器ＤＢｂ００（図１０）のスイッチングハブと同じレコードを参照する（ステップ５０２）。参照された情報からネットワーク機器ＤＢｂ００（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ５０３）。続いて、申請されたネットワーク端末がスイッチングハブのどのポートに接続されているかの情報を得るため、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のｆｄｂコマンドからコマンドを生成し、これを発行する（ステップ５０４）。出力結果より申請したネットワーク端末のＭＡＣアドレスがスイッチングハブのどのポートに接続されているかの情報を得て（ステップ５０５）、スイッチングハブからログアウトを行う（ステップ５０６）。

次に、ステップ５０５にて、情報が得られたのか否かの判定を行う（ステップ５０７）。
情報が得られない場合、申請したネットワーク端末がネットワークに接続されていないためであり、接続確認にＮＧの情報を（ステップ５１７）、正規端末にＮＧの情報を、それぞれ与える。出力結果が得られた場合、得られたポート番号とエリア情報ＤＢｃ００（図９）の利用ポート番号との比較を行い（ステップ５０８）、同じであった場合、接続確認にＯＫの情報を与える（ステップ５０９）。そして、ネットワーク機器ＤＢｂ００（図１０）よりＩＰアドレス、アカウント、パスワードより基幹機器となるスイッチングハブにログインを行う（ステップ５１１）。

続いて、申請したネットワーク端末のＭＡＣアドレスから実際に利用しているＩＰアドレスの情報を取得するため、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ａｒｐコマンドを生成し、これを発行する（ステップ５１２）。出力結果より申請したネットワーク端末のＭＡＣアドレスが利用しているＩＰアドレスの情報を得て（ステップ５１３）、スイッチングハブからログアウトを行う（ステップ５１４）。次に、ステップ５１３にて得られたＩＰアドレスと予約ＤＢａ００テーブル（図８）の利用ＩＰアドレスを比較し（ステップ５１５）、同じであれば、申請された正規のネットワーク端末が接続されていることとなるので、正規端末にＯＫの情報を与え（ステップ５１６）、異なっていた場合にはネットワーク端末の情報を詐称していると判断し、正規端末にＮＧの情報を与える（ステップ５１８）。

図７は、図１におけるブレイクオフ処理部の処理動作を示すフローチャートである。
ブレイクオフ処理部６００の動作目的は、特定エリアで利用しているネットワーク端末から何等かの理由で利用者がネットワーク端末をその場に置いたまま離席する場合、利用者が任意で申請して利用したサーバへのアクセス遮断を行う。そのための処理として、次の各ステップを実行する。
まず、離席する場合には、ブレイクオフ処理を開始するよう、利用者が判断して選択する（ステップ６０５）。それにより、ネットワーク機器ＤＢｂ００（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ６０６）。利用するネットワーク端末から申請した利用サーバへのアクセスを遮断するため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の利用サーバのＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御解除コマンドを生成し、これを発行する（ステップ６０７）。

コマンドを発行する処理が完了したため、スイッチングハブからログアウトを行う（ステップ６０８）。離席から戻り、再び申請したサーバにアクセスを行う場合には、ブレイクオフ処理を終了させるよう利用者が選択する（ステップ６０１）。それにより、ネットワーク機器ＤＢｂ００（図１０）のＩＰアドレス、アカウント、パスワードよりネットワーク端末を利用する特定エリアが利用しているスイッチングハブにログインを行う（ステップ６０２）。利用するネットワーク端末から申請した利用サーバへのアクセスを可能にするため、エリア情報ＤＢｃ００テーブル（図９）のアクセス制御名、サーバ情報ＤＢｄ００（図１１）の利用サーバのＩＰアドレス、および、サービスポート、予約ＤＢａ００テーブル（図８）の利用者ＰＣＩＰアドレスを元に、ネットワーク機器ＤＢｂ００テーブル（図１０）のアクセス制御コマンドからコマンドを生成し、これを発行する（ステップ６０３）。コマンドを発行する処理が完了したため、スイッチングハブからログアウトを行う（ステップ６０４）。

本発明の一実施例に係る特定エリアネットワークアクセス制御システムの構成図である。図１における入力部の処理動作例を示すフローチャートである。図１における予約確認処理部の処理動作例を示すフローチャートである。図１におけるチェックイン処理部の処理動作例を示すフローチャートである。図１におけるチェックアウト処理部の処理動作例を示すフローチャートである。図１における端末確認処理部の処理動作例を示すフローチャートである。図１におけるブレイクオフ処理部の処理動作例を示すフローチャートである。図１における予約ＤＢテーブルの構成例を示す図である。図１におけるエリア情報ＤＢのテーブル構成例を示す図である。図１におけるネットワーク機器ＤＢのテーブル構成例を示す図である。図１におけるサーバ情報ＤＢのテーブル構成例を示す図である。

符号の説明

０００社内ネットワーク
００１管理サーバ
００２基幹スイッチングハブ
００３スイッチングハブ
００４スイッチングハブ
００５サーバＡ
００６サーバＢ
００７ネットワーク端末
００８ネットワーク端末（低セキュリティエリア）
ａ００予約ＤＢ
ｂ００ネットワーク機器ＤＢ
ｃ００エリア情報ＤＢ
ｄ００サーバ情報ＤＢ
１００入力部
２００予約確認処理部
３００チェックイン処理部
４００チェックアウト処理部
５００端末確認処理部
６００ブレイクオフ処理部

Claims

プロセッサの制御により、特定エリアのネットワーク端末のみ時間帯により接続を許可する特定エリアネットワークアクセス制御方法において、
前記プロセッサは、特定エリアのスイッチングハブのポートを事前に設定することで、該特定エリアのネットワーク端末の接続を遮断し、
申請された利用時間になると、申請された正規のネットワーク端末が該スイッチングハブに接続されたか否かを判断し、定期的に前記ポートを開放して正規のネットワーク端末が接続されているか否かの確認を行い、
該プロセッサは、正規のネットワーク端末が接続された場合、さらに申請されたサービスのみ利用させるように、前記スイッチングハブによりアクセス制御を行うと共に、
申請された利用時間中に、特定エリアに接続されていたネットワーク端末がネットワークから切断された場合、予め定めた時間ｔ１を経過すると、申請されたサービスを利用不可能にするように、スイッチングハブでアクセス制御を行い、さらに、予め定めた時間ｔ２が経過すると、利用を終了したと判断し、スイッチングハブのポートを遮断することを特徴とする特定エリアネットワークアクセス制御方法。
請求項１に記載の特定エリアネットワークアクセス制御方法において、
前記プロセッサは、接続されたネットワーク端末から申請されたサービスの利用を、利用者による前記ネットワーク端末からの制御で、任意に停止または再開を行うときには、スイッチングハブでアクセス制御を行うことを特徴とする特定エリアネットワークアクセス制御方法。
プロセッサの制御により、特定エリアのネットワーク端末のみ時間帯により接続を許可する特定エリアネットワークアクセス制御システムにおいて、
前記ネットワーク端末からの入力された利用日、利用時間と、予約ＤＢに登録されている利用日、利用時間とを比較して、入力されたデータのチェックインフラグを初期化する予約確認処理手段と、
特定エリアのスイッチングハブのポートを事前に遮断しておき、申請された利用時間になると、申請された正規のネットワーク端末が接続されたか否か、前記ポートを開放して確認を行い、正規のネットワーク端末が接続された場合、さらに申請されたサービスのみ利用できるように前記スイッチングハブでアクセス制御を行うチェックイン処理手段と、
申請された利用時間中に前記ネットワーク端末がネットワークから切断された場合、予め定めた時間を経過すると、申請されたサービスを利用不可能にし、さらに予め定めた時間を経過すると、利用を終了したと判断して、前記ポートを遮断するチェックアウト処理手段と、
前記ネットワーク端末から申請されたサービスの利用を、該ネットワーク端末からの制御により任意に停止または再開する場合、前記スイッチングハブでアクセス制御を行うブレイクオフ処理手段と
を具備したことを特徴とする特定エリアネットワークアクセス制御システム。
特定エリアのネットワーク端末のみ時間帯により接続を許可する特定エリアネットワークアクセス制御用プログラムであって、
プロセッサに、ネットワーク端末からの入力された利用日、利用時間と、予約ＤＢに登録されている利用日、利用時間とを比較して、入力されたデータのチェックインフラグを初期化する手順、特定エリアのスイッチングハブのポートを事前に遮断する手順、申請された利用時間になると、申請された正規のネットワーク端末が接続されたか否か、前記ポートを開放して確認を行う手順、正規のネットワーク端末が接続された場合、さらに申請されたサービスのみ利用できるように前記スイッチングハブでアクセス制御を行う手順、申請された利用時間中に前記ネットワーク端末がネットワークから切断された場合、予め定めた時間を経過すると、申請されたサービスを利用不可能にする手順、さらに予め定めた時間を経過すると、利用を終了したと判断して、前記ポートを遮断する手順、前記ネットワーク端末から申請されたサービスの利用を、該ネットワーク端末からの制御により任意に停止または再開する場合、前記スイッチングハブでアクセス制御を行う手順を、それぞれ実行させるための特定エリアネットワークアクセス制御用プログラム。