JP4541430B2 - ネットワーク接続制御方法およびネットワーク接続制御装置 - Google Patents

Description

この発明は、ネットワーク接続制御方法およびネットワーク接続制御装置に関する。

従来より、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）環境を実現するための技術として、ユーザのアクセスに基づいて、レイヤー２トンネリングプロトコルアクセスコンセントレーター（ＬＡＣ）とレイヤー２トンネリングプロトコルネットワークサーバ（ＬＮＳ）とを、ネットワークを介してレイヤー２トンネリングプロトコル（Ｌ２ＴＰ）により接続する技術が知られている（例えば、非特許文献１参照）。

また、Ｌ２ＴＰによる接続を制御するために、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバを用いる技術が知られている（例えば、非特許文献２〜４参照）。ＲＡＤＩＵＳサーバは、ＬＡＣから送られる情報に基づいて、Ｌ２ＴＰによる接続を制御する。以下、Ｌ２ＴＰによる接続制御について、図１７および図１８を用いて説明する。図１７および図１８は、従来技術を説明するための図である。

例えば、図１７に示すように、まず、ユーザ端末１がアクセスしたＬＡＣは、ＲＡＤＩＵＳサーバに、ユーザがユーザ端末１を介して指定したＬＮＳグループの識別子である「ＬＮＳグループ１」を「Ｕｓｅｒ−Ｎａｍｅ属性」として送信する（図１７の（１）参照）。ここで、ユーザが指定するＬＮＳグループの識別子とは、例えば、ユーザが指定するインターネットサービスプロバイダ（ＩＳＰ）のドメイン情報などのことである。

そして、「Ｕｓｅｒ−Ｎａｍｅ：ＬＮＳグループ１」を受信したＲＡＤＩＵＳサーバは、ユーザ端末がアクセスしたＬＡＣがＬ２ＴＰによって接続されるＬＮＳの候補（接続先ＬＮＳ候補）を示す「Ｔｕｎｎｅｌ−Ｓｅｒｖｅｒ−Ｅｎｄｐｏｉｎｔ属性」として、「ＬＮＳグループ１」に所属する「ＬＮＳ１およびＬＮＳ２」を、ユーザ端末１がアクセスしたＬＡＣに通知する（図１７の（２）参照）。

ＲＡＤＩＵＳサーバから「Ｔｕｎｎｅｌ−Ｓｅｒｖｅｒ−Ｅｎｄｐｏｉｎｔ属性」を通知されたＬＡＣは、「ＬＮＳ１およびＬＮＳ２」から１つのＬＮＳを選択し、選択したＬＮＳとネットワークを介してＬ２ＴＰにより接続を行なう。

しかし、ユーザ端末がＬＡＣを介して接続したいＬＮＳグループを指定した際に、指定されたＬＮＳグループに所属するＬＮＳへの接続を無条件に許可してしまうと、ユーザ端末がＬＮＳとの間で行なう認証処理のため、ＬＮＳ、または「ＬＮＳと協調して動作するＲＡＤＩＵＳサーバ」における負荷が増大することとなる。

また、ＬＮＳへの接続を無条件に許可してしまうと、悪意のあるユーザは、任意のＬＮＳグループに対して接続要求を頻繁に行なうことにより、ＬＮＳ、または「ＬＮＳと協調して動作するＲＡＤＩＵＳサーバ」における負荷を容易に増大させることができる。

このため、ＬＮＳグループごとに接続を許可するＬＡＣを識別するための「接続許可テーブル」をＲＡＤＩＵＳサーバに登録しておき、ＬＡＣから接続を要求するＬＮＳグループが送信された場合、ＲＡＤＩＵＳサーバが、接続要求されたＬＮＳグループ用の「接続許可テーブル」を用いて、接続を許可するか否かを判定する技術が知られている。

具体的には、ＲＡＤＩＵＳサーバは、接続を許可するＬＡＣを識別するための「ＮＡＳ−ＩＰ−Ａｄｒｅｓｓ」や「Ｃａｌｌｅｄ−Ｓｔａｔｉｏｎ−Ｉｄ」、および、接続を許可するユーザ（ユーザ端末）を識別するための「Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ」や「ＮＡＳ−Ｐｏｒｔ」などの属性情報の値の組み合わせを、ＬＮＳグループごとに登録した「接続許可テーブル」を記憶する。

ここで、「ＮＡＳ−ＩＰ−Ａｄｒｅｓｓ」は、ＬＡＣに割り当てられたＩＰ−Ａｄｒｅｓｓのことであり、「Ｃａｌｌｅｄ−Ｓｔａｔｉｏｎ−Ｉｄ」は、ユーザ端末がＬＡＣを呼び出す際に用いた回線番号、すなわち、ＬＡＣに割り当てられた回線番号のことである。したがって、「ＮＡＳ−ＩＰ−Ａｄｒｅｓｓ」や「Ｃａｌｌｅｄ−Ｓｔａｔｉｏｎ−Ｉｄ」は、ＬＡＣを識別するための属性情報となる。

また、「Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ」は、ユーザがユーザ端末を介してＬＡＣを呼び出す際に通知した回線番号、すなわち、ユーザ端末に割り当てられた回線番号のことであり、「ＮＡＳ−Ｐｏｒｔ」は、ユーザ端末を介してユーザが利用した回線につながるＬＡＣのポート番号のことである。したがって、「Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ」や「ＮＡＳ−Ｐｏｒｔ」は、ユーザが利用する回線を識別するための属性情報となる。

例えば、ＲＡＤＩＵＳサーバは、図１８に示すように、ＬＮＳグループ１用接続許可テーブル、ＬＮＳグループ２用接続許可テーブル、ＬＮＳグループ３用接続許可テーブルといったように、接続を許可する「ＮＡＳ−ＩＰ−Ａｄｒｅｓｓ」と「Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ」との組み合わせをＬＮＳグループごとに記憶する。

ここで、ユーザ端末１がアクセスしたＬＡＣが、ＲＡＤＩＵＳサーバに、ユーザがユーザ端末１を介して指定したＬＮＳグループ識別子として「Ｕｓｅｒ−Ｎａｍｅ：ＬＮＳグループ１」を、「ＮＡＳ−ＩＰ−Ａｄｒｅｓｓ：１９２．１６８．１．１」および「Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ：１１１１１１１１１１」の属性情報とともに送信すると（図１８の（１）参照）、ＲＡＤＩＵＳサーバは、受信したＬＮＳグループ識別子に対応するＬＮＳグループ１用接続許可テーブルを検索し、ＬＮＳグループ識別子とともに受信した属性情報の組み合わせがＬＮＳグループ１用接続許可テーブルに登録されているか否かを判定する。

図１８に示す例の場合、「ＮＡＳ−ＩＰ−Ａｄｒｅｓｓ：１９２．１６８．１．１」および「Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ：１１１１１１１１１１」の属性情報の組み合わせがＬＮＳグループ１用接続許可テーブルに存在するので、ＲＡＤＩＵＳサーバは、接続先ＬＮＳ候補を示す「Ｔｕｎｎｅｌ−Ｓｅｒｖｅｒ−Ｅｎｄｐｏｉｎｔ属性」として、「ＬＮＳグループ１」に所属する「ＬＮＳ１およびＬＮＳ２」を、ユーザ端末１がアクセスしたＬＡＣに通知する（図１８の（２）参照）。

ここで、受信したＬＮＳグループ識別子に対応する接続許可テーブルに、受信した属性情報の組み合わせが存在しない場合は、ＲＡＤＩＵＳサーバは、ＬＡＣとＬＮＳとの接続を不許可とする。

このように、ＲＡＤＩＵＳサーバに接続許可テーブルを登録し、ＲＡＤＩＵＳサーバがＬＡＣから受信した属性情報と接続許可テーブルとに基づいて接続許可を判定することにより、ＬＮＳおよびＲＡＤＩＵＳサーバにおける負荷が増大することを回避することができる。

なお、図１８に示す例では、接続許可テーブルに２種類の属性情報の組み合わせを登録する場合について説明したが、「Ｃａｌｌｅｄ−Ｓｔａｔｉｏｎ−Ｉｄ」や「ＮＡＳ−Ｐｏｒｔ」などの属性情報を組み合わせることにより、さらに、厳密な接続許可の判定処理を行なうことができる。

W. Townsley, A. Valencia, A. Rubens, G. Pall, G. Zorn, B. Palter, "Request for Comments: 2661, Layer Two Tunneling Protocol "L2TP"", August 1999, [online], [平成２０年６月３日], インターネット<URL: http://www.ietf.org/rfc/rfc2661.txt> C. Rigney, S. Willens, A. Rubens, W. Simpson, "Request for Comments: 2865, Remote Authentication Dial In User Service (RADIUS)", June 2000, [online], [平成２０年６月３日], インターネット<URL: http://www.ietf.org/rfc/rfc2865.txt> C. Rigney, "Request for Comments: 2866, RADIUS Accounting", June 2000, [online], [平成２０年６月３日], インターネット<URL: http://www.ietf.org/rfc/rfc2866.txt> G. Zorn, D. Leifer, A. Rubens, J. Shriver, M. Holdrege, I. Goyret, "Request for Comments: 2868, RADIUS Attributes for Tunnel Protocol Support", June 2000, [online], [平成２０年６月３日], インターネット<URL: http://www.ietf.org/rfc/rfc2868.txt>

ところで、上記した従来の技術は、必ずしも認証処理の負荷を軽減するものではないという課題があった。

すなわち、上記した従来の技術においてＲＡＤＩＵＳサーバは、複数種類の属性情報の組み合わせを登録した接続許可テーブルを記憶して管理する必要がある。このため、ＲＡＤＩＵＳサーバは、ＬＡＣとＬＮＳとの間の接続許可・不許可を管理するために用いられるディスクやメモリなどの領域を大量に確保しなければならず、必ずしも接続要求に対する認証処理の負荷を軽減するものではなかった。

また、ＲＡＤＩＵＳサーバは、大量のデータが登録された接続許可テーブルを参照して、受信した属性情報の組み合わせが存在するか否かを検索しなければならず、必ずしも接続要求に対する認証処理の負荷を軽減するものではなかった。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、認証処理の負荷を軽減することが可能になるネットワーク接続制御方法およびネットワーク接続制御装置を提供することを目的とする。

上述した課題を解決し、目的を達成するため、この方法は、ユーザの所有するユーザ端末が指定したネットワークである指定ネットワークへの接続を、前記ユーザ端末がアクセスするユーザアクセス装置と、前記指定ネットワークと接続されるネットワーク接続装置との接続を許可するか否かによって制御するネットワーク接続制御装置に適用されるネットワーク接続制御方法であって、前記ユーザアクセス装置を一意に特定するためのユーザアクセス装置識別子と、前記ユーザアクセス装置をグループ分けした各ユーザアクセス装置グループを一意に特定するためのユーザアクセス装置グループ識別子とを対応付けた第一の対応テーブルと、前記ユーザアクセス装置グループ識別子と、前記ネットワーク接続装置をグループ分けした各ネットワーク接続装置グループを一意に特定するためのネットワーク接続装置グループ識別子とを対応付けた装置間対応関係ごとに、接続を許可することを指示する接続許可指示情報、または、接続を許可するか否かをグループ単位より細分化した単位で行なうことを指示する細分化指示情報のいずれかからなる指示情報を対応付けた第二の対応テーブルと、前記ネットワーク接続装置グループ識別子と、前記ユーザ端末を一意に特定するためのユーザ端末識別子、および／または、前記ユーザ端末が利用する回線を一意に特定するためのユーザ利用回線識別子からなるユーザ端末情報とを対応付けた第三の対応テーブルとを所定の記憶部において保持する対応テーブル保持ステップと、前記ユーザ端末が現にアクセスしたユーザアクセス装置から、当該ユーザアクセス装置の前記ユーザアクセス装置識別子であるアクセス装置識別子と、前記指定ネットワークと接続されるネットワーク接続装置グループの前記ネットワーク接続装置グループ識別子である指定ネットワークグループ識別子と、当該ユーザアクセス装置にアクセスしたユーザ端末の前記ユーザ端末情報であるアクセスユーザ端末情報とを取得した場合に、前記第一の対応テーブルを参照して、前記アクセス装置識別子に対応するユーザアクセス装置グループ識別子を検索する第一の検索ステップと、前記第二の対応テーブルを参照して、前記指定ネットワークグループ識別子および前記第一の検索ステップによって検索された前記ユーザアクセス装置グループ識別子からなる指定装置間対応関係を含む装置間対応関係が存在するか否かを検索し、前記指定装置間対応関係を含む装置間対応関係が存在する場合は、当該装置間対応関係に対応づけられた前記指示情報を検索する第二の検索ステップと、前記第二の検索ステップによって検索された前記指示情報が前記細分化指示情報であった場合に、前記第三の対応テーブルを参照して、前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在するか否かを検索する第三の検索ステップと、前記第二の検索ステップによる検索結果において前記指定装置間対応関係を含む装置間対応関係が存在しない場合および前記第三の検索ステップによる検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在しない場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可しないことを通知し、前記第二の検索ステップによる検索結果において前記指定装置間対応関係を含む装置間対応関係に対応付けられた指示情報が前記接続許可指示情報であった場合および前記第三の検索ステップによる検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在する場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可することを通知する通知ステップと、を含んだことを要件とする。

また、この装置は、ユーザの所有するユーザ端末が指定したネットワークである指定ネットワークへの接続を、前記ユーザ端末がアクセスするユーザアクセス装置と、前記指定ネットワークと接続されるネットワーク接続装置との接続を認証するか否かによって制御するネットワーク接続制御装置であって、前記ユーザアクセス装置を一意に特定するためのユーザアクセス装置識別子と、前記ユーザアクセス装置をグループ分けした各ユーザアクセス装置グループを一意に特定するためのユーザアクセス装置グループ識別子とを対応付けた第一の対応テーブルと、前記ユーザアクセス装置グループ識別子と、前記ネットワーク接続装置をグループ分けした各ネットワーク接続装置グループを一意に特定するためのネットワーク接続装置グループ識別子とを対応付けた装置間対応関係ごとに、接続を許可することを指示する接続許可指示情報、または、接続を許可するか否かをグループ単位より細分化した単位で行なうことを指示する細分化指示情報のいずれかからなる指示情報を対応付けた第二の対応テーブルと、前記ネットワーク接続装置グループ識別子と、前記ユーザ端末を一意に特定するためのユーザ端末識別子、および／または、前記ユーザ端末が利用する回線を一意に特定するためのユーザ利用回線識別子からなるユーザ端末情報とを対応付けた第三の対応テーブルとを保持する対応テーブル保持手段と、前記ユーザ端末が現にアクセスしたユーザアクセス装置から、当該ユーザアクセス装置の前記ユーザアクセス装置識別子であるアクセス装置識別子と、前記指定ネットワークと接続されるネットワーク接続装置グループの前記ネットワーク接続装置グループ識別子である指定ネットワークグループ識別子と、当該ユーザアクセス装置にアクセスしたユーザ端末の前記ユーザ端末情報であるアクセスユーザ端末情報とを取得した場合に、前記第一の対応テーブルを参照して、前記アクセス装置識別子に対応するユーザアクセス装置グループ識別子を検索する第一の検索手段と、前記第二の対応テーブルを参照して、前記指定ネットワークグループ識別子および前記第一の検索手段によって検索された前記ユーザアクセス装置グループ識別子からなる指定装置間対応関係を含む装置間対応関係が存在するか否かを検索し、前記指定装置間対応関係を含む装置間対応関係が存在する場合は、当該装置間対応関係に対応づけられた前記指示情報を検索する第二の検索手段と、前記第二の検索手段によって検索された前記指示情報が前記細分化指示情報であった場合に、前記第三の対応テーブルを参照して、前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在するか否かを検索する第三の検索手段と、前記第二の検索手段による検索結果において前記指定装置間対応関係を含む装置間対応関係が存在しない場合および前記第三の検索手段による検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在しない場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可しないことを通知し、前記第二の検索手段による検索結果において前記指定装置間対応関係を含む装置間対応関係に対応付けられた指示情報が前記接続許可指示情報であった場合および前記第三の検索手段による検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在する場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可することを通知する通知手段と、を備えたことを要件とする。

開示の方法および装置によれば、接続を許可するユーザアクセス装置とネットワーク接続装置との組み合わせを装置単位ではなくグループ単位にし、グループ単位のみでは接続を許可するか否かを判定することができない組み合わせに関してのみ、ユーザがユーザ端末を介して利用した回線の情報を用いた粒度の細かい認証処理を行なうので、認証処理の負荷を軽減することが可能になる。

以下に添付図面を参照して、この発明に係るネットワーク接続制御方法およびネットワーク接続制御装置の実施例を詳細に説明する。なお、以下では、この発明に係るネットワーク接続制御方法を実行するネットワーク接続制御装置としてのＬＡＣ制御サーバを含んで構成されるネットワーク接続制御システムを実施例として説明する。

［用語の説明］
まず最初に、以下の実施例で用いる主要な用語を説明する。以下の実施例で用いる「ユーザ端末」とは、ネットワーク通信機能を備えたパーソナルコンピュータなどの情報機器のことであり、「ユーザ端末」は、ユーザの指定したネットワーク（以下、指定ネットワークと記す）とＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）環境にて接続することを要求するために「ＬＡＣ」にアクセスする。

また、「ＬＡＣ」とは、レイヤー２トンネリングプロトコル（Ｌ２ＴＰ）にて規定されるレイヤー２トンネリングプロトコルアクセスコンセントレーターであり、ＶＰＮ環境にて指定ネットワークとの接続を要求するために「ユーザ端末」がアクセスする装置である。なお、「ＬＡＣ」は、特許請求の範囲に記載の「ユーザアクセス装置」に対応する。

また、「ＬＮＳ」とは、Ｌ２ＴＰにて規定されるレイヤー２トンネリングプロトコルネットワークサーバであり、指定ネットワークに接続される装置である。なお、「ＬＮＳ」は、特許請求の範囲に記載の「ネットワーク接続装置」に対応する。

また、「ＬＡＣ制御サーバ」とは、「ユーザ端末」の指定ネットワークへのＬ２ＴＰによるＶＰＮ接続を、「ユーザ端末」がアクセスした「ＬＡＣ」と「ユーザ端末」が指定した指定ネットワークに接続される「ＬＮＳ」との接続を許可するか否かによって制御するＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバである。なお、「ＬＡＣ制御サーバ」は、特許請求の範囲に記載の「ネットワーク接続制御装置」に対応する。

［実施例１におけるネットワーク接続制御システムの全体構成］
次に、図１を用いて、実施例１におけるネットワーク接続制御システムの全体構成について説明する。図１は、実施例１におけるネットワーク接続制御システムの全体構成について説明するための図である。

図１に示すように、実施例１におけるネットワーク接続制御システムは、ユーザ端末４０とＬＡＣ２０とＬＮＳ３０とＬＡＣ制御サーバ１０とから構成され、ＬＡＣ制御サーバ１０が、ユーザ端末４０からアクセスされたＬＡＣ２０と、ユーザ端末４０が指定したネットワーク（指定ネットワーク）と接続されるＬＮＳ３０との接続を許可するか否かによって、ユーザ端末４０の指定ネットワークへの接続（ＶＰＮ接続）を制御する。

ここで、図１に示すように、実施例１におけるネットワーク接続制御システムにおいて、ＬＡＣは、例えば、設置される場所によってグループ化され（ＬＡＣグループ１、ＬＡＣグループ２、・・・・など）、さらに、ＬＮＳは、例えば、インターネットサービスプロバイダ（ＩＳＰ）によってグループ化される（ＬＮＳグループ１、ＬＮＳグループ２、・・・・など）。

そして、本発明は、接続を許可するＬＡＣとＬＮＳとの組み合わせを装置単位ではなくグループ単位にし、グループ単位のみでは接続を許可するか否かを判定することができない組み合わせに関してのみ、ユーザがユーザ端末を介して利用した回線の情報を用いた粒度の細かい認証処理を行なうことにより、ＬＡＣ制御サーバ１０における認証処理の負荷を軽減することが可能になることに主たる特徴がある。以下、ＬＡＣ制御サーバ１０およびＬＡＣ２０の構成および処理手順を詳述することにより、この主たる特徴について説明する。

［実施例１におけるＬＡＣ制御サーバの構成］
続いて、図２〜５を用いて、実施例１におけるＬＡＣ制御サーバの構成を説明する。図２は、実施例１におけるＬＡＣ制御サーバの構成を示すブロック図であり、図３は、ＬＡＣグループ対応テーブル記憶部を説明するための図であり、図４は、実施例１におけるＬＮＳ対応テーブル記憶部を説明するための図であり、図５は、実施例１における論理回線対応テーブル記憶部を説明するための図である。

図２に示すように、実施例１におけるＬＡＣ制御サーバ１０は、通信制御Ｉ／Ｆ部１１と、記憶部１２と、処理部１３とから構成され、さらに、ＬＡＣ２０およびＬＮＳ３０とネットワークを介して接続される。なお、図２ではＬＡＣ２０およびＬＮＳ３０を一つのみ示しているが、実際には、図１に示すように、ＬＡＣ制御サーバ１０は、複数のＬＡＣ２０およびＬＮＳ３０とネットワークを介して接続されている。

通信制御Ｉ／Ｆ部１１は、ＬＡＣ２０と、記憶部１２および処理部１３との間でやり取りする各種情報に関する通信を制御する。例えば、通信制御Ｉ／Ｆ部１１は、ＬＡＣ２０が送信した情報（後述する「アクセスＬＡＣ識別子」、「指定ＬＮＳグループ識別子」および「アクセス論理回線識別子」）を受信して処理部１３に転送したり、処理部１３による処理結果をＬＡＣ２０に転送したりする。

記憶部１２は、後述する処理部１３による各種処理に用いるデータを記憶し、特に本発明に密接に関連するものとしては、図２に示すように、ＬＡＣグループ対応テーブル記憶部１２ａと、ＬＮＳ対応テーブル記憶部１２ｂと、論理回線対応テーブル記憶部１２ｃと、検索結果記憶部１２ｄとを備える。なお、ＬＡＣグループ対応テーブル記憶部１２ａと、ＬＮＳ対応テーブル記憶部１２ｂと、論理回線対応テーブル記憶部１２ｃとは、特許請求の範囲に記載の「対応テーブル保持ステップ」に対応する。

ＬＡＣグループ対応テーブル記憶部１２ａは、ＬＡＣを一意に特定するためのＬＡＣ識別子と、ＬＡＣをグループ分けした各ＬＡＣグループを一意に特定するためのＬＡＣグループ識別子とを対応付けた「ＬＡＣグループ対応テーブル」を記憶する。なお、「ＬＡＣグループ」は、特許請求の範囲に記載の「ユーザアクセス装置グループ」に対応し、「ＬＡＣグループ識別子」は、同じく「ユーザアクセス装置グループ識別子」に対応し、「ＬＡＣグループ対応テーブル」は、同じく「第一の対応テーブル」に対応する。

具体的には、ＬＡＣグループ対応テーブル記憶部１２ａは、図３に示すように、ＬＡＣ識別子としてＬＡＣのＩＰアドレス（ＬＡＣ ＩＰアドレス）と「ＬＡＣグループ識別子」とを対応付けたＬＡＣグループ対応テーブルを記憶する。例えば、図３に示すように、「ＬＡＣ ＩＰアドレス：１０．２．１．１０１」と「ＬＡＣグループ識別子：ＬＡＣグループ２」とを対応付けて記憶し、「ＬＡＣ ＩＰアドレス：１０．２．１．１０４」と「ＬＡＣグループ識別子：ＬＡＣグループ１」とを対応付けて記憶する。なお、「ＬＡＣ ＩＰアドレス」は、後述するＬＡＣグループ検索部１３ａによる検索処理に用いられる検索キーとなる。

図２に戻って、ＬＮＳ対応テーブル記憶部１２ｂは、ＬＡＣグループ識別子と、ＬＮＳをグループ分けした各ＬＮＳグループを一意に特定するためのＬＮＳグループ識別子と、各ＬＮＳグループに所属する一つまたは複数のＬＮＳとを対応付けた装置間対応関係ごとに、接続を許可することを指示する「ＦＡＬＳＥ」、または、接続の認証をグループ単位より細分化した単位で行なうことを指示する「ＴＲＵＥ」のいずれかからなる「指示情報」を対応付けたＬＮＳ対応テーブルを記憶する。なお、「ＬＮＳグループ」は、特許請求の範囲に記載の「ネットワーク接続装置グループ」に対応し、「ＬＮＳグループ識別子」は、同じく「ネットワーク接続装置グループ識別子」に対応し、「ＦＡＬＳＥ」は、同じく「接続許可指示情報」に対応し、「ＴＲＵＥ」は、同じく「細分化指示情報」に対応し、「ＬＮＳ対応テーブル」は、同じく「第二の対応テーブル」に対応する。

具体的には、ＬＮＳ対応テーブル記憶部１２ｂは、図４に示すように、ＬＡＣグループ識別子と、ＬＮＳグループ識別子と、「当該ＬＮＳグループ識別子が割り当てられたＬＮＳであり、かつ、当該ＬＡＣグループ識別子と当該ＬＮＳグループ識別子との組み合わせにおいて指定されたＬＮＳ」とを対応付けた装置間対応関係ごとに、「ＦＡＬＳＥ」、または「ＴＲＵＥ」を対応付けたＬＮＳ対応テーブルを記憶する。

例えば、ＬＮＳ対応テーブル記憶部１２ｂは、図４に示すように、「ＬＡＣグループ識別子：ＬＡＣグループ１」と「ＬＮＳグループ識別子：ＬＮＳグループ２」と「ＬＮＳグループ２に所属するＬＮＳであり、かつ、ＬＡＣグループ１とＬＮＳグループ２との組み合わせにおいて指定されたＬＮＳ」として「ＬＮＳ：ＬＮＳ４、ＬＮＳ５」とからなる装置間対応関係に「指示情報：ＦＡＬＳＥ」を対応付けて記憶する。

また、ＬＮＳ対応テーブル記憶部１２ｂは、図４に示すように、「ＬＡＣグループ識別子：ＬＡＣグループ２」と「ＬＮＳグループ識別子：ＬＮＳグループ２」と「ＬＮＳグループ２に所属するＬＮＳであり、かつ、ＬＡＣグループ２とＬＮＳグループ２との組み合わせにおいて指定されたＬＮＳ」である「ＬＮＳ：ＬＮＳ１０、ＬＮＳ１１」とからなる装置間対応関係に「指示情報：ＴＲＵＥ」を対応付けて記憶する。なお、「ＬＡＣグループ識別子」と「ＬＮＳグループ識別子」とは、後述するＬＮＳ検索部１３ｂによる検索処理に用いられる検索キーとなる。

図２に戻って、論理回線対応テーブル記憶部１２ｃは、ＬＡＣグループ識別子とＬＮＳグループ識別子とユーザがユーザ端末４０を介して利用する論理回線を一意に特定するためのユーザ利用回線識別子とを対応付けた論理回線対応テーブルを記憶する。ここで、論理回線識別子は、ＬＡＣ２０が管理するユーザ端末４０と、ＬＡＣ２０との間で用いられる論理回線を識別するための情報であり、ユーザがユーザ端末４０を介して利用する回線を一意に特定するための識別子（ユーザ利用回線識別子）の具体例となる。なお、「論理回線対応テーブル」は、特許請求の範囲に記載の「第三の対応テーブル」に対応する。

例えば、論理回線対応テーブル記憶部１２ｃは、図５に示すように、「ＬＡＣグループ識別子：ＬＡＣグループ１」と、「ＬＮＳグループ識別子：ＬＮＳグループ１」と、「論理回線識別子：１１１１１１１１」とを対応付けた論理回線対応テーブルを記憶する。なお、「ＬＡＣグループ識別子」と「ＬＮＳグループ識別子」と「論理回線識別子」とは、後述する論理回線検索部１３ｃによる検索処理に用いられる検索キーとなる。

図２に戻って、検索結果記憶部１２ｄは、後述するＬＡＣグループ検索部１３ａと、ＬＮＳ検索部１３ｂと、論理回線検索部１３ｃとによる検索結果を記憶する。なお、検索結果記憶部１２ｄについては、後に詳述する。

図２に戻って、処理部１３は、通信制御Ｉ／Ｆ部１１から転送された情報と、記憶部１２が記憶する情報を用いて各種処理を実行し、特に本発明に密接に関連するものとしては、図２に示すように、ＬＡＣグループ検索部１３ａと、ＬＮＳ検索部１３ｂと、論理回線検索部１３ｃと、認証結果通知部１３ｄとを備える。なお、「ＬＡＣグループ検索部１３ａ」は、特許請求の範囲に記載の「第一の検索ステップ」に対応し、「ＬＮＳ検索部１３ｂ」は、同じく「第二の検索ステップ」に対応し、「論理回線検索部１３ｃ」は、同じく「第三の検索ステップ」に対応し、「認証結果通知部１３ｄ」は、同じく「通知ステップ」に対応する。

ここで、処理部１３は、ユーザ端末４０が現にアクセスしたＬＡＣ２０から、当該ＬＡＣ２０のＬＡＣ識別子（ＬＡＣ ＩＰアドレス）である「アクセスＬＡＣ識別子」と、ユーザ端末４０が指定した指定ネットワークと接続されるＬＮＳグループの識別子（ＬＮＳグループ識別子）である「指定ＬＮＳグループ識別子」と、ユーザがユーザ端末４０を介してＬＡＣ２０にアクセスした際に利用した論理回線の識別子である「アクセス論理回線識別子」とを、通信制御Ｉ／Ｆ部１１を介して取得した場合に、以下の各種処理を実行する。なお、「アクセスＬＡＣ識別子」は、特許請求の範囲に記載の「アクセス装置識別子」に対応し、「指定ＬＮＳグループ識別子」は、同じく「指定ネットワークグループ識別子」に対応する。

また、以下では、ユーザ端末４０がアクセスしたＬＡＣ２０から、「アクセスＬＡＣ識別子：１０．２．１．１００、指定ＬＮＳグループ識別子：ＬＮＳグループ２、アクセス論理回線識別子：２２２２２２２２」を取得した場合（以下、第一の場合と記す）と、「アクセスＬＡＣ識別子：１０．２．１．１０１、指定ＬＮＳグループ識別子：ＬＮＳグループ２、アクセス論理回線識別子：５５５５５５５５」を取得した場合（以下、第二の場合と記す）と、「アクセスＬＡＣ識別子：１０．２．１．１０２、指定ＬＮＳグループ識別子：ＬＮＳグループ１、アクセス論理回線識別子：１２３４５６７８」を取得した場合（以下、第三の場合と記す）と、「アクセスＬＡＣ識別子：１０．２．１．１０１、指定ＬＮＳグループ識別子：ＬＮＳグループ２、アクセス論理回線識別子：８７６５４３２１」を取得した場合（以下、第四の場合と記す）と、について説明する。

ＬＡＣグループ検索部１３ａは、ＬＡＣグループ対応テーブル記憶部１２ａが記憶するＬＡＣグループ対応テーブルを参照して、ＬＡＣ２０から取得した「アクセスＬＡＣ識別子」に対応する「ＬＡＣグループ識別子」を検索し、検索した「ＬＡＣグループ識別子」を、検索結果記憶部１２ｄに格納する。

例えば、ＬＡＣグループ検索部１３ａは、第一の場合、「アクセスＬＡＣ識別子：１０．２．１．１００」を検索キーとし、図３に示すＬＡＣグループ対応テーブルを参照して、「ＬＡＣグループ識別子：ＬＡＣグループ１」を検索する。

また、ＬＡＣグループ検索部１３ａは、第二の場合および第四の場合、「アクセスＬＡＣ識別子：１０．２．１．１０１」を検索キーとし、図３に示すＬＡＣグループ対応テーブルを参照して、「ＬＡＣグループ識別子：ＬＡＣグループ２」を検索する。

また、ＬＡＣグループ検索部１３ａは、第三の場合、「アクセスＬＡＣ識別子：１０．２．１．１０２」を検索キーとし、図３に示すＬＡＣグループ対応テーブルを参照して、「ＬＡＣグループ識別子：ＬＡＣグループ３」を検索する。

ＬＮＳ検索部１３ｂは、ＬＮＳ対応テーブル記憶部１２ｂが記憶するＬＮＳ対応テーブルを参照して、「ＬＡＣ２０から受信した指定ＬＮＳグループ識別子およびＬＡＣグループ検索部１３ａによって検索され検索結果記憶部１２ｄに格納されたＬＡＣグループ識別子からなる指定装置間対応関係」を含む装置間対応関係が存在するか否かを検索し、指定装置間対応関係を含む装置間対応関係が存在する場合は、当該装置間対応関係に対応づけられた指示情報を検索し、その結果を検査結果記憶部１２ｄに格納する。

例えば、ＬＮＳ検索部１３ｂは、第一の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１」および「指定ＬＮＳグループ識別子：ＬＮＳグループ２」からなる指定装置間対応関係を検索キーとし、図４に示すＬＮＳ対応テーブルを参照して、「ＬＡＣグループ１、ＬＮＳグループ２」を含む装置間対応関係（「ＬＡＣグループ１」と「ＬＮＳグループ２」と「ＬＮＳ４、ＬＮＳ５」との対応関係）が登録されていることを検索し、検索された装置間対応関係に対応付けられた指示情報が「ＦＡＬＳＥ」であることを検索する。

また、ＬＮＳ検索部１３ｂは、第二の場合および第四の場合、「ＬＡＣグループ識別子：ＬＡＣグループ２」および「指定ＬＮＳグループ識別子：ＬＮＳグループ２」からなる指定装置間対応関係を検索キーとし、図４に示すＬＮＳ対応テーブルを参照して、「ＬＡＣグループ２、ＬＮＳグループ２」を含む装置間対応関係（「ＬＡＣグループ２」と「ＬＮＳグループ２」と「ＬＮＳ１０、ＬＮＳ１１」との対応関係）が登録されていることを検索し、検索された装置間対応関係に対応付けられた指示情報が「ＴＲＵＥ」であることを検索する。

また、ＬＮＳ検索部１３ｂは、第三の場合、「ＬＡＣグループ識別子：ＬＡＣグループ３」および「指定ＬＮＳグループ識別子：ＬＮＳグループ１」からなる指定装置間対応関係を検索キーとし、図４に示すＬＮＳ対応テーブルを参照して、「ＬＡＣグループ３、ＬＮＳグループ１」を含む装置間対応関係が登録されていないとする検索結果を取得する。

論理回線検索部１３ｃは、ＬＮＳ検索部１３ｂによって検索され検索結果記憶部１２ｄに格納された指示情報が「ＴＲＵＥ」であった場合に、論理回線対応テーブル記憶部１２ｃが記憶する論理回線対応テーブルを参照して、「ＬＡＣ２０から受信した指定ネットワークグループ識別子およびＬＡＣグループ検索部１３ａによって検索され検索結果記憶部１２ｄに格納されたＬＡＣグループ識別子からなる指定装置間対応関係」と「アクセス論理回線識別子」の組み合わせが存在するか否かを検索し、その検索結果を、検索結果記憶部１２ｄに格納する。

例えば、論理回線検索部１３ｃは、第二の場合、「ＬＡＣグループ識別子：ＬＡＣグループ２」および「指定ＬＮＳグループ識別子：ＬＮＳグループ２」からなる指定装置間対応関係と「アクセス論理回線識別子：５５５５５５５５」との組み合わせを検索キーとし、図５に示す論理回線対応テーブルを参照して、検索対象となる組み合わせが登録されているとする検索結果を取得する。

また、論理回線検索部１３ｃは、第四の場合、「ＬＡＣグループ識別子：ＬＡＣグループ２」および「指定ＬＮＳグループ識別子：ＬＮＳグループ２」からなる指定装置間対応関係と「アクセス論理回線識別子：８７６５４３２１」との組み合わせを検索キーとし、図５に示す論理回線対応テーブルを参照して、検索対象となる組み合わせが登録されていないとする検索結果を取得する。

認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、検査結果記憶部１２に格納された検査結果を通信制御Ｉ／Ｆ部１１を介して通知する。すなわち、認証結果通知部１３ｄは、ＬＮＳ検索部１３ｂによる検索結果において、指定装置間対応関係を含む装置間対応関係が存在しない場合（第三の場合）、および論理回線検索部１３ｃによる検索結果において、指定装置間対応関係およびアクセス論理回線識別子の組み合わせが存在しない場合（第四の場合）は、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、接続を許可しないことを通信制御Ｉ／Ｆ部１１を介して通知する。

また、認証結果通知部１３ｄは、ＬＮＳ検索部１３ｂによる検索結果において、指定装置間対応関係を含む装置間対応関係に対応付けられた指示情報が「ＦＡＬＳＥ」であった場合（第一の場合）、および論理回線検索部１３ｃによる検索結果において、指定装置間対応関係およびアクセス論理回線識別子の組み合わせが存在する場合（第二の場合）は、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、接続を許可することを通信制御Ｉ／Ｆ部１１を介して通知する。

ここで、接続を許可する場合、認証結果通知部１３ｄは、ＬＮＳ対応テーブルにおいて、指定装置間対応関係を含む装置間対応関係の一つまたは複数のＬＮＳ３０をユーザ端末４０がアクセスしたＬＡＣ２０に対して、通信制御Ｉ／Ｆ部１１を介して通知する。

すなわち、認証結果通知部１３ｄは、第一の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１」および「指定ＬＮＳグループ識別子：ＬＮＳグループ２」からなる指定装置間対応関係を含む装置間対応関係に登録されている「ＬＮＳ４、ＬＮＳ５」をユーザ端末４０がアクセスしたＬＡＣ２０に対して通知する。

また、認証結果通知部１３ｄは、第二の場合、「ＬＡＣグループ識別子：ＬＡＣグループ２」および「指定ＬＮＳグループ識別子：ＬＮＳグループ２」からなる指定装置間対応関係を含む装置間対応関係に登録されている「ＬＮＳ１０、ＬＮＳ１１」をユーザ端末４０がアクセスしたＬＡＣ２０に対して通知する。

［実施例１におけるＬＡＣの構成］
次に、図６を用いて、実施例１におけるＬＡＣの構成を説明する。図６は、実施例１におけるＬＡＣの構成を示すブロック図である。

図６に示すように、実施例１におけるＬＡＣ２０は、通信制御Ｉ／Ｆ部２１と、記憶部２２と、処理部２３とから構成され、さらに、ＬＡＣ制御サーバ１０と、ユーザ端末４０と、ＬＮＳ３０とネットワークを介して接続される。なお、図６では、ユーザ端末４０およびＬＮＳ３０それぞれを一つのみ示しているが、実際には、ＬＡＣ２０は、複数のユーザ端末４０およびＬＮＳ３０とネットワークを介して接続されている。

通信制御Ｉ／Ｆ部２１は、ＬＡＣ制御サーバ１０と、ユーザ端末４０と、ＬＮＳ３０と記憶部２２および処理部２３との間でやり取りする各種情報に関する通信を制御する。

例えば、通信制御Ｉ／Ｆ部２１は、ＬＡＣ制御サーバ１０へ、ユーザ端末４０から受信した「指定ＬＮＳグループ識別子」や、自身の「アクセスＬＡＣ識別子」や、ユーザ端末４０との間で用いられた論理回線の識別子である「アクセス論理回線識別子」を転送したり、ＬＡＣ制御サーバ１０から受信した「認証を不許可とする認証結果」を自身にアクセスしたユーザ端末４０に転送したり、ＬＡＣ制御サーバ１０から「認証を許可とする認証結果」とともに受信した「ＬＮＳ」を後述するＬＮＳ選択接続部２３ａに転送したり、後述するＬＮＳ選択接続部２３ａが選択したＬＮＳ３０との通信を制御したりする。

記憶部２２は、後述する処理部２３による処理に用いるデータを記憶し、特に本発明に密接に関連するものとしては、図６に示すように、基準記憶部２２ａを備える。

基準記憶部２２ａは、後述するＬＮＳ選択接続部２３ａが一つのＬＮＳを選択する際に用いられる選択基準を記憶する。例えば、「負荷が最小となっているＬＮＳ」、「ランダムに選択したＬＮＳ」、といった選択基準を記憶する。

処理部２３は、各種処理を実行し、特に本発明に密接に関連するものとしては、図６に示すように、ＬＮＳ選択接続部２３ａを備える。

ＬＮＳ選択接続部２３ａは、ＬＡＣ制御サーバ１０から、通信制御Ｉ／Ｆ部２１を介して「認証を許可とする認証結果」とともに通知された「ＬＮＳ」から、基準記憶部２２ａが記憶する選択基準に基づいて、一つのＬＮＳ３０を選択し、選択した一つのＬＮＳ３０との間にＬ２ＴＰによる接続を確立する。

例えば、第一の場合、ＬＮＳ選択接続部２３ａは、「ＬＮＳ４、ＬＮＳ５」から、「ランダムに選択したＬＮＳ」とする選択基準によって、「ＬＮＳ５」であるＬＮＳ３０を選択し、選択したＬＮＳ３０との間にＬ２ＴＰによる接続を確立する。

また、第二の場合、ＬＮＳ選択接続部２３ａは、「ＬＮＳ１０、ＬＮＳ１１」から、例えば、「負荷が最小となっているＬＮＳ」とする基準によって、「ＬＮＳ１１」であるＬＮＳ３０を選択し、選択したＬＮＳ３０との間にＬ２ＴＰによる接続を確立する。

［実施例１におけるネットワーク接続制御システムの処理の手順］
次に、図７および図８を用いて、実施例１におけるネットワーク接続制御システムの処理を説明する。図７は、実施例１におけるＬＡＣ制御サーバの処理を説明するための図であり、図８は、実施例１におけるＬＡＣの処理を説明するための図である。

［実施例１におけるＬＡＣ制御サーバの処理の手順］
図７に示すように、まず、実施例１におけるＬＡＣ制御サーバ１０は、ユーザがユーザ端末４０を介してアクセスしたＬＡＣ２０からアクセスＬＡＣ識別子と指定ＬＮＳグループ識別子とアクセス論理回線識別子とを受信すると（ステップＳ７０１肯定）、ＬＡＣグループ検索部１３ａは、受信したアクセスＬＡＣ識別子からＬＡＣグループ識別子を、ＬＡＣグループ対応テーブル記憶部１２ａが記憶するＬＡＣグループ対応テーブルを用いて検索する（ステップＳ７０２）。

そして、ＬＮＳ検索部１３ｂは、ＬＡＣグループ検索部１３ａによって検索され検索結果記憶部１２ｄに格納されたＬＡＣグループ識別子とＬＡＣ２０から受信した指定ＬＮＳグループ識別子との組み合わせ（指定装置間対応関係）を、ＬＮＳ対応テーブル記憶部１２ｂが記憶するＬＮＳ対応テーブルを用いて検索する（ステップＳ７０３）。すなわち、ＬＮＳ検索部１３ｂは、ＬＮＳ対応テーブルに指定装置間対応関係を含む装置間対応関係が存在するか否かを検索する。

ここで、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）が登録されていない場合（ステップＳ７０４否定、第三の場合）、認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、ＬＮＳ３０への接続を不許可とする認証結果を、通信制御Ｉ／Ｆ部１１を介して通知し（ステップＳ７０８）、処理を終了する。

一方、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）が登録されている場合（ステップＳ７０４肯定）、当該指定装置間対応関係を含む装置間対応関係に対応づけられた指示情報を検索し、指示情報が「ＴＲＵＥ」であるか否かを検索する（ステップＳ７０５）。

ここで、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）を含む装置間対応関係に対応づけられた指示情報が「ＦＡＬＳＥ」である場合（ステップＳ７０５否定、第一の場合）、認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、ＬＮＳ３０への接続を許可とする認証結果とともに、ＬＮＳ対応テーブルにおいて、指定装置間対応関係を含む装置間対応関係の一つまたは複数のＬＮＳをユーザ端末４０がアクセスしたＬＡＣ２０に対して、通信制御Ｉ／Ｆ部１１を介して通知し（ステップＳ７０９）、処理を終了する。

一方、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）を含む装置間対応関係に対応づけられた指示情報が「ＴＲＵＥ」である場合（ステップＳ７０５肯定、第二および第四の場合）、論理回線検索部１３ｃは、ＬＡＣグループ検索部１３ａによって検索されたＬＡＣグループ識別子と、ＬＡＣ２０から受信した指定ネットワークグループ識別子と、ＬＡＣ２０から受信したアクセス論理回線識別子との組み合わせを、論理回線対応テーブル記憶部１２ｃが記憶する論理回線対応テーブルを用いて検索する（ステップＳ７０６）。

ここで、論理回線検索部１３ｃによる検索結果において、論理回線対応テーブルに検索対象の組み合わせが登録されていない場合（ステップＳ７０７否定、第四の場合）、認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、ＬＮＳ３０への接続を不許可とする認証結果を、通信制御Ｉ／Ｆ部１１を介して通知し（ステップＳ７０８）、処理を終了する。

一方、論理回線検索部１３ｃによる検索結果において、論理回線対応テーブルに検索対象の組み合わせが登録されている場合（ステップＳ７０７肯定、第二の場合）、認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、ＬＮＳ３０への接続を許可とする認証結果とともに、ＬＮＳ対応テーブルにおいて、指定装置間対応関係を含む装置間対応関係の一つまたは複数のＬＮＳを、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、通信制御Ｉ／Ｆ部１１を介して通知し（ステップＳ７０９）、処理を終了する。

［実施例１におけるＬＡＣの処理の手順］
図８に示すように、まず、実施例１におけるＬＡＣ２０は、ユーザ端末４０からアクセスされて、指定ＬＮＳグループ識別子を受信すると（ステップＳ８０１肯定）、ＬＡＣ制御サーバ１０に自身のＬＡＣ識別子であるアクセスＬＡＣ識別子と指定ＬＮＳグループ識別子と、アクセス論理回線識別子とを、ＬＡＣ制御サーバ１０に送信する（ステップＳ８０２）。

そして、通信制御Ｉ／Ｆ部２１は、ＬＡＣ制御サーバ１０から認証結果を受信すると（ステップＳ８０３肯定）、受信した認証結果が「許可とする認証結果」であるか否かを判定する（ステップＳ８０４）。

ここで、通信制御Ｉ／Ｆ部２１は、受信した認証結果が「不許可とする認証結果」である場合（ステップＳ８０４否定、第三および第四の場合）、認証を不許可と、自身にアクセスしたユーザ端末４０に通知し（ステップＳ８０５）、処理を終了する。

一方、通信制御Ｉ／Ｆ部２１は、受信した認証結果が「許可とする認証結果」である場合（ステップＳ８０４肯定、第一および第二の場合）、認証結果とともに受信したＬＮＳの情報をＬＮＳ選択接続部２３ａに転送し、ＬＮＳ選択接続部２３ａは、認証結果とともに受信した接続候補としてのＬＮＳから一つのＬＮＳ３０を、基準記憶部２２ａが記憶する選択機銃を用いて選択し、選択した一つのＬＮＳ３０との間にＬ２ＴＰによる接続を確立し（ステップ８０６）、処理を終了する。

［実施例１の効果］
上記したように、実施例１によれば、接続を許可するＬＡＣ２０とＬＮＳ３０との組み合わせを装置単位ではなくグループ単位にし、グループ単位のみでは接続を許可するか否かを判定することができない組み合わせに関してのみ、ユーザがユーザ端末を介して利用した回線の情報を用いた粒度の細かい認証処理を行なうので、上記した主たる特徴の通り、認証処理の負荷を軽減することが可能になる。

また、接続許可用の対応テーブルを、グループ単位の対応テーブルと装置単位（ユーザ端末属性単位）の対応テーブルとに分割して管理するので、対応テーブルに登録するデータ量を軽減してＬＡＣ制御サーバ１０において対応テーブルを記憶、管理するために確保すべき領域を削減することができ、認証処理の負荷を軽減することが可能になる。

なお、上記した実施例では、論理回線対応テーブル記憶部１２ｃが論理回線対応テーブルとして、ＬＡＣグループ識別子とＬＮＳグループ識別子と論理回線識別子とを対応付けて記憶する場合について説明したが、本発明はこれに限定されるものではなく、論理回線対応テーブル記憶部１２ｃが論理回線対応テーブルとして、ＬＮＳグループ識別子と論理回線識別子とを対応付けて記憶する場合であってもよい。

例えば、論理回線対応テーブル記憶部１２ｃは、図５に示すＬＡＣグループ識別子の項目を削除し、図９に示すように、「ＬＮＳグループ識別子：ＬＮＳグループ１」および「論理回線識別子：１１１１１１１１」のみを対応付けた論理回線対応テーブルを記憶してもよい。なお、図９は、実施例１における変形例を説明するための図である。

この場合、論理回線検索部１３ｃは、論理回線対応テーブルの「ＬＮＳグループ識別子」および「論理回線識別子」を検索キーとし、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）を含む装置間対応関係に対応づけられた指示情報が「ＴＲＵＥ」である場合（第二および第四の場合）、指定装置間対応関係の指定ＬＮＳグループ識別子と、アクセス論理回線識別子との組み合わせが、論理回線対応テーブル記憶部１２ｃが記憶する論理回線対応テーブルに登録されているか否かを検索する。

なお、論理回線対応テーブルとして図５に示す対応テーブルを保持したまま、論理回線検索部１３ｃの使用する検索キーが、指定装置間対応関係の指定ＬＮＳグループ識別子と、アクセス論理回線識別子との組み合わせである場合であってもよい。

このように検索キーの組み合わせを減少することで、装置単位での継続認証が必要となる際の、認証処理における負荷を軽減することが可能になる。

上述した実施例１では、ユーザ利用回線識別子として論理回線識別子を用い、ＬＡＣ制御サーバ１０が、現にユーザ端末４０がアクセスしたＬＡＣ２０からアクセス論理回線識別子を取得する場合について説明した。ここで、実施例２では、ユーザ利用回線識別子として論理回線識別子とともに、ユーザがユーザ端末４０を介して利用する物理回線の識別子（物理回線識別子）を用い、ＬＡＣ制御サーバ１０が、ＬＡＣ２０からアクセス論理回線識別子とともに、現にユーザがユーザ端末４０を介してＬＡＣ２０にアクセスした際に利用した物理回線の識別子であるアクセス物理回線識別子を取得する場合について説明する。

なお、実施例２におけるネットワーク接続制御システムの全体構成は、図１を用いて説明した実施例１におけるネットワーク接続制御システムの全体構成と同様であるので説明を省略する。

［実施例２におけるＬＡＣ制御サーバの構成］
まず最初に、図１０〜図１３を用いて、実施例２におけるＬＡＣ制御サーバの構成について説明する。図１０は、実施例２におけるＬＡＣ制御サーバの構成を示すブロック図であり、図１１は、物理回線グループ対応テーブル記憶部を説明するための図であり、図１２は、実施例２におけるＬＮＳ対応テーブル記憶部を説明するための図であり、図１３は、実施例２における論理回線対応テーブル記憶部を説明するための図である。

図１０に示すように、実施例２におけるＬＡＣ制御サーバ１０は、図２に示す実施例１におけるＬＡＣ制御サーバ１０と比較して、物理回線グループ対応テーブル記憶部１２ｅおよび物理回線グループ検索部１３ｅを新たに備える。以下、これらを中心に説明する。

物理回線グループ対応テーブル記憶部１２ｅは、ＬＡＣ識別子と物理回線識別子と、物理回線識別子をグループ分けした各物理回線グループを一意に特定するための物理回線グループ識別子とを対応付けた物理回線グループ対応テーブルを記憶する。ここで、物理回線グループ対応テーブルは、特許請求の範囲に記載の「第四の対応テーブル」に対応する。

具体的には、物理回線グループ対応テーブル記憶部１２ｅは、図１１に示すように、ＬＡＣ識別子としてＬＡＣのＩＰアドレス（ＬＡＣ ＩＰアドレス）と「物理回線識別子範囲」と「物理回線グループ識別子」とを対応付けた物理回線グループ対応テーブルを記憶する。例えば、図１１に示すように、「ＬＡＣ ＩＰアドレス：１０．２．１．１００」と「物理回線識別子範囲：００００〜１０００」と「物理回線グループ識別子：物理回線グループ１」とを対応付けて記憶する。すなわち、図１１に示す物理回線グループ対応テーブルは、「ＬＡＣ ＩＰアドレス」が「１０．２．１．１００」であり「物理回線識別子」が「００００〜１０００」の範囲にある値ならば、「物理接続グループ１」に対応することを示している。なお、「ＬＡＣ ＩＰアドレス」および「物理回線識別子範囲」は、後述する物理回線グループ検索部１３ｅによる検索処理に用いられる検索キーとなる。

図１０に戻って、ＬＡＣグループ対応テーブル記憶部１２ａは、実施例１と同様のＬＡＣグループ対応テーブル（図３参照）を記憶する。

実施例２におけるＬＮＳ対応テーブル記憶部１２ｂは、ＬＮＳ対応テーブルにおける装置間対応関係として、ＬＡＣグループ識別子、ＬＮＳグループ識別子および「当該ＬＮＳグループ識別子が割り当てられたＬＮＳであり、かつ、当該ＬＡＣグループ識別子と当該ＬＮＳグループ識別子との組み合わせにおいて指定されたＬＮＳ」に加えて、物理回線グループ識別子をさらに対応付けて記憶し、装置間対応関係ごとに、「ＦＡＬＳＥ」、または「ＴＲＵＥ」を対応付けて記憶する。

例えば、ＬＮＳ対応テーブル記憶部１２ｂは、図１２に示すように、「ＬＡＣグループ識別子：ＬＡＣグループ１」と「ＬＮＳグループ識別子：ＬＮＳグループ２」と「物理回線グループ識別子：物理接続グループ２」と「ＬＮＳ：ＬＮＳ４、ＬＮＳ５」とからなる装置間対応関係に「指示情報：ＦＡＬＳＥ」を対応付けて記憶する。なお、「ＬＡＣグループ識別子」と「ＬＮＳグループ識別子」と「物理回線グループ識別子」とは、実施例２におけるＬＮＳ検索部１３ｂによる検索処理に用いられる検索キーとなる。

図１０に戻って、実施例２における論理回線対応テーブル記憶部１２ｃは、ＬＡＣグループ識別子、ＬＮＳグループ識別子および論理回線識別子に物理回線グループ識別子をさらに対応付けた論理回線対応テーブルを記憶する。

例えば、論理回線対応テーブル記憶部１２ｃは、図１３に示すように、「ＬＡＣグループ識別子：ＬＡＣグループ１」と、「ＬＮＳグループ識別子：ＬＮＳグループ１」と、「物理回線グループ識別子：物理接続グループ１」と「論理回線識別子：１１１１１１１１」とを対応付けた論理回線対応テーブルを記憶する。なお、「ＬＡＣグループ識別子」と「ＬＮＳグループ識別子」と「物理回線グループ識別子」と「論理回線識別子」とは、実施例２における論理回線検索部１３ｃによる検索処理に用いられる検索キーとなる。

図１０に戻って、実施例２における処理部１３は、ユーザ端末４０が現にアクセスしたＬＡＣ２０から、「アクセスＬＡＣ識別子」、「指定ＬＮＳグループ識別子」および「アクセス論理回線識別子」とともに「アクセス物理回線識別子」を通信制御Ｉ／Ｆ部１１を介して取得した場合に、以下の各種処理を実行する。

また、以下では、ユーザ端末４０がアクセスしたＬＡＣ２０から、「アクセスＬＡＣ識別子：１０．２．１．１００、指定ＬＮＳグループ識別子：ＬＮＳグループ２、アクセス論理回線識別子：２２２２２２２２、アクセス物理回線識別子：２０００」を取得した場合（以下、第一の場合と記す）と、「アクセスＬＡＣ識別子：１０．２．１．１０４、指定ＬＮＳグループ識別子：ＬＮＳグループ３、アクセス論理回線識別子：３３３３３３３３、アクセス物理回線識別子：１０００」を取得した場合（以下、第二の場合と記す）と、「アクセスＬＡＣ識別子：１０．２．１．１０２、指定ＬＮＳグループ識別子：ＬＮＳグループ１、アクセス論理回線識別子：１２３４５６７８、アクセス物理回線識別子：３０００」を取得した場合（以下、第三の場合と記す）と、「アクセスＬＡＣ識別子：１０．２．１．１０４、指定ＬＮＳグループ識別子：ＬＮＳグループ３、アクセス論理回線識別子：８７６５４３２１、アクセス物理回線識別子：１０００」を取得した場合（以下、第四の場合と記す）と、について説明する。

物理回線グループ検索部１３ｅは、物理回線グループ対応テーブル記憶部１２ｅが記憶する物理回線グループ対応テーブルを参照して、ＬＡＣ２０から取得した「アクセスＬＡＣ識別子」および「アクセス物理回線識別子」に対応する物理回線グループ識別子を検索し、検索した「物理回線グループ識別子」を、検索結果記憶部１２ｄに格納する。

例えば、物理回線グループ検索部１３ｅは、第一の場合、「アクセスＬＡＣ識別子：１０．２．１．１００、アクセス物理回線識別子：２０００」を検索キーとし、図１１に示す物理回線グループ対応テーブルを参照して、「物理回線グループ識別子：物理接続グループ２」を検索する。

また、物理回線グループ検索部１３ｅは、第二の場合、「アクセスＬＡＣ識別子：１０．２．１．１０４、アクセス物理回線識別子：１０００」を検索キーとし、図１１に示す物理回線グループ対応テーブルを参照して、「物理回線グループ識別子：物理接続グループ１」を検索する。

また、物理回線グループ検索部１３ｅは、第三の場合、「アクセスＬＡＣ識別子：１０．２．１．１０２、アクセス物理回線識別子：３０００」を検索キーとし、図１１に示す物理回線グループ対応テーブルを参照して、「物理回線グループ識別子：物理接続グループ３」を検索する。

また、物理回線グループ検索部１３ｅは、第四の場合、「アクセスＬＡＣ識別子：１０．２．１．１０４、アクセス物理回線識別子：１０００」を検索キーとし、図１１に示す物理回線グループ対応テーブルを参照して、「物理回線グループ識別子：物理接続グループ１」を検索する。

ＬＡＣグループ検索部１３ａは、実施例１と同様に、ＬＡＣグループ対応テーブル記憶部１２ａが記憶するＬＡＣグループ対応テーブルを参照して、ＬＡＣ２０から取得した「アクセスＬＡＣ識別子」に対応する「ＬＡＣグループ識別子」を検索し、検索した「ＬＡＣグループ識別子」を、検索結果記憶部１２ｄに格納する。

例えば、ＬＡＣグループ検索部１３ａは、第一の場合、「アクセスＬＡＣ識別子：１０．２．１．１００」を検索キーとし、図３に示すＬＡＣグループ対応テーブルを参照して、「ＬＡＣグループ識別子：ＬＡＣグループ１」を検索する。

また、ＬＡＣグループ検索部１３ａは、第二の場合および第四の場合、「アクセスＬＡＣ識別子：１０．２．１．１０４」を検索キーとし、図３に示すＬＡＣグループ対応テーブルを参照して、「ＬＡＣグループ識別子：ＬＡＣグループ１」を検索する。

また、ＬＡＣグループ検索部１３ａは、第三の場合、「アクセスＬＡＣ識別子：１０．２．１．１０２」を検索キーとし、図３に示すＬＡＣグループ対応テーブルを参照して、「ＬＡＣグループ識別子：ＬＡＣグループ３」を検索する。

実施例２におけるＬＮＳ検索部１３ｂは、ＬＮＳ対応テーブル記憶部１２ｂが記憶するＬＮＳ対応テーブル（図１２）を参照して、「ＬＡＣ２０から受信した指定ＬＮＳグループ識別子とＬＡＣグループ検索部１３ａによって検索され検索結果記憶部１２ｄに格納されたＬＡＣグループ識別子と物理回線グループ検索部１３ｅによって検索され検索結果記憶部１２ｄに格納された物理回線グループ識別子からなる指定装置間対応関係」を含む装置間対応関係が存在するか否かを検索し、指定装置間対応関係を含む装置間対応関係が存在する場合は、当該装置間対応関係に対応づけられた指示情報を検索し、その結果を検査結果記憶部１２ｄに格納する。

例えば、ＬＮＳ検索部１３ｂは、第一の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１、指定ＬＮＳグループ識別子：ＬＮＳグループ２、物理回線グループ識別子：物理接続グループ２」からなる指定装置間対応関係を検索キーとし、図１２に示すＬＮＳ対応テーブルを参照して、「ＬＡＣグループ１、ＬＮＳグループ２、物理接続グループ２」を含む装置間対応関係（「ＬＡＣグループ１」と「ＬＮＳグループ２」と「物理接続グループ２」と「ＬＮＳ４、ＬＮＳ５」との対応関係）が登録されていることを検索し、検索された装置間対応関係に対応付けられた指示情報が「ＦＡＬＳＥ」であることを検索する。

また、ＬＮＳ検索部１３ｂは、第二の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１、指定ＬＮＳグループ識別子：ＬＮＳグループ３、物理回線グループ識別子：物理接続グループ１」からなる指定装置間対応関係を検索キーとし、図１２に示すＬＮＳ対応テーブルを参照して、「ＬＡＣグループ１、ＬＮＳグループ３、物理接続グループ１」を含む装置間対応関係（「ＬＡＣグループ１」と「ＬＮＳグループ３」と「物理接続グループ１」と「ＬＮＳ６、ＬＮＳ７、ＬＮＳ８」との対応関係）が登録されていることを検索し、検索された装置間対応関係に対応付けられた指示情報が「ＴＲＵＥ」であることを検索する。

また、ＬＮＳ検索部１３ｂは、第三の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１、指定ＬＮＳグループ識別子：ＬＮＳグループ１、物理回線グループ識別子：物理接続グループ３」からなる指定装置間対応関係を検索キーとし、図１２に示すＬＮＳ対応テーブルを参照して、「ＬＡＣグループ１、ＬＮＳグループ１、物理接続グループ３」を含む装置間対応関係が登録されていないとする検索結果を取得する。

また、ＬＮＳ検索部１３ｂは、第四の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１、指定ＬＮＳグループ識別子：ＬＮＳグループ３、物理回線グループ識別子：物理接続グループ１」からなる指定装置間対応関係を検索キーとし、図１２に示すＬＮＳ対応テーブルを参照して、「ＬＡＣグループ１、ＬＮＳグループ３、物理接続グループ１」を含む装置間対応関係（「ＬＡＣグループ１」と「ＬＮＳグループ３」と「物理接続グループ１」と「ＬＮＳ６、ＬＮＳ７、ＬＮＳ８」との対応関係）が登録されていることを検索し、検索された装置間対応関係に対応付けられた指示情報が「ＴＲＵＥ」であることを検索する。

実施例２における論理回線検索部１３ｃは、ＬＮＳ検索部１３ｂによって検索され検索結果記憶部１２ｄに格納された指示情報が「ＴＲＵＥ」であった場合に、論理回線対応テーブル記憶部１２ｃが記憶する論理回線対応テーブル（図１３）を参照して、「ＬＡＣ２０から受信した指定ＬＮＳグループ識別子とＬＡＣグループ検索部１３ａによって検索され検索結果記憶部１２ｄに格納されたＬＡＣグループ識別子と物理回線グループ検索部１３ｅによって検索され検索結果記憶部１２ｄに格納された物理回線グループ識別子からなる指定装置間対応関係」と「アクセス論理回線識別子」の組み合わせが存在するか否かを検索し、その検索結果を、検索結果記憶部１２ｄに格納する。

例えば、論理回線検索部１３ｃは、第二の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１、指定ＬＮＳグループ識別子：ＬＮＳグループ３、物理回線グループ識別子：物理接続グループ１」からなる指定装置間対応関係と「アクセス論理回線識別子：３３３３３３３」との組み合わせを検索キーとし、図１３に示す論理回線対応テーブルを参照して、検索対象となる組み合わせが登録されているとする検索結果を取得する。

また、論理回線検索部１３ｃは、第四の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１、指定ＬＮＳグループ識別子：ＬＮＳグループ３、物理回線グループ識別子：物理接続グループ１」からなる指定装置間対応関係と「アクセス論理回線識別子：８７６５４３２１」との組み合わせを検索キーとし、図１３に示す論理回線対応テーブルを参照して、検索対象となる組み合わせが登録されていないとする検索結果を取得する。

認証結果通知部１３ｄは、ＬＮＳ検索部１３ｂによる検索結果において、指定装置間対応関係を含む装置間対応関係が存在しない場合（第三の場合）、および論理回線検索部１３ｃによる検索結果において、指定装置間対応関係およびアクセス論理回線識別子の組み合わせが存在しない場合（第四の場合）は、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、接続を許可しないことを通信制御Ｉ／Ｆ部１１を介して通知する。

また、認証結果通知部１３ｄは、ＬＮＳ検索部１３ｂによる検索結果において、指定装置間対応関係を含む装置間対応関係に対応付けられた指示情報が「ＦＡＬＳＥ」であった場合（第一の場合）、および論理回線検索部１３ｃによる検索結果において、指定装置間対応関係およびアクセス論理回線識別子の組み合わせが存在する場合（第二の場合）は、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、接続を許可することを通信制御Ｉ／Ｆ部１１を介して通知する。

ここで、接続を許可する場合、認証結果通知部１３ｄは、ＬＮＳ対応テーブルにおいて、指定装置間対応関係を含む装置間対応関係のＬＮＳグループに所属する一つまたは複数のＬＮＳをユーザ端末４０がアクセスしたＬＡＣ２０に対して、通信制御Ｉ／Ｆ部１１を介して通知する。

すなわち、認証結果通知部１３ｄは、第一の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１、指定ＬＮＳグループ識別子：ＬＮＳグループ２、物理回線グループ識別子：物理接続グループ２」からなる指定装置間対応関係を含む装置間対応関係に登録されている「ＬＮＳ４、ＬＮＳ５」をユーザ端末４０がアクセスしたＬＡＣ２０に対して通知する。

また、認証結果通知部１３ｄは、第二の場合、「ＬＡＣグループ識別子：ＬＡＣグループ１、指定ＬＮＳグループ識別子：ＬＮＳグループ３、物理回線グループ識別子：物理接続グループ１」からなる指定装置間対応関係を含む装置間対応関係に登録されている「ＬＮＳ６、ＬＮＳ７、ＬＮＳ８」をユーザ端末４０がアクセスしたＬＡＣ２０に対して通知する。

なお、実施例２におけるＬＡＣ２０は、ＬＡＣ制御サーバ１０に対して、「アクセスＬＡＣ識別子」、「指定ＬＮＳグループ識別子」および「アクセス論理回線識別子」とともに「アクセス物理回線識別子」を送信する以外は、図６を用いて説明した実施例１におけるＬＡＣ２０と同様の処理を実行するので説明を省略する。

［実施例２におけるネットワーク接続制御システムの処理の手順］
次に、図１４および図１５を用いて、実施例２におけるネットワーク接続制御システムの処理を説明する。図１４は、実施例２におけるＬＡＣ制御サーバの処理を説明するための図であり、図１５は、実施例２におけるＬＡＣの処理を説明するための図である。

［実施例２におけるＬＡＣ制御サーバの処理の手順］
図１４に示すように、まず、実施例２におけるＬＡＣ制御サーバ１０は、ユーザがユーザ端末４０を介してアクセスしたＬＡＣ２０からアクセスＬＡＣ識別子、指定ＬＮＳグループ識別子、アクセス論理回線識別子およびアクセス物理回線識別子を受信すると（ステップＳ１４０１肯定）、物理回線グループ検索部１３ｅは、受信したアクセスＬＡＣ識別子およびアクセス物理回線識別子から物理回線部ループ識別子を、物理回線グループ対応テーブル記憶部１２ｅが記憶する物理回線グループ対応テーブルを用いて検索する（ステップＳ１４０２）。

そして、ＬＡＣグループ検索部１３ａは、受信したアクセスＬＡＣ識別子からＬＡＣグループ識別子を、ＬＡＣグループ対応テーブル記憶部１２ａが記憶するＬＡＣグループ対応テーブルを用いて検索する（ステップＳ１４０３）。

そののち、ＬＮＳ検索部１３ｂは、ＬＡＣグループ検索部１３ａによって検索され検索結果記憶部１２ｄに格納されたＬＡＣグループ識別子とＬＡＣ２０から受信した指定ＬＮＳグループ識別子と物理回線グループ検索部１３ｅによって検索され検索結果記憶部１２ｄに格納された物理回線グループ識別子との組み合わせ（指定装置間対応関係）を、ＬＮＳ対応テーブル記憶部１２ｂが記憶するＬＮＳ対応テーブルを用いて検索する（ステップＳ１４０４）。

ここで、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）が登録されていない場合（ステップＳ１４０５否定、第三の場合）、認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、ＬＮＳ３０への接続を不許可とする認証結果を、通信制御Ｉ／Ｆ部１１を介して通知し（ステップＳ１４０９）、処理を終了する。

一方、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）が登録されている場合（ステップＳ１４０５肯定）、当該指定装置間対応関係を含む装置間対応関係に対応づけられた指示情報を検索し、指示情報が「ＴＲＵＥ」であるか否かを検索する（ステップＳ１４０６）。

ここで、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）を含む装置間対応関係に対応づけられた指示情報が「ＦＡＬＳＥ」である場合（ステップＳ１４０６否定、第一の場合）、認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、ＬＮＳ３０への接続を許可とする認証結果とともに、ＬＮＳ対応テーブルにおいて、指定装置間対応関係を含む装置間対応関係の一つまたは複数のＬＮＳをユーザ端末４０がアクセスしたＬＡＣ２０に対して、通信制御Ｉ／Ｆ部１１を介して通知し（ステップＳ１４１０）、処理を終了する。

一方、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）を含む装置間対応関係に対応づけられた指示情報が「ＴＲＵＥ」である場合（ステップＳ１４０６肯定、第二および第四の場合）、論理回線検索部１３ｃは、ＬＡＣグループ検索部１３ａによって検索されたＬＡＣグループ識別子と、ＬＡＣ２０から受信した指定ネットワークグループ識別子と、物理回線グループ検索部１３ｅによって検索された物理回線グループ識別子と、ＬＡＣ２０から受信したアクセス論理回線識別子との組み合わせを、論理回線対応テーブル記憶部１２ｃが記憶する論理回線対応テーブルを用いて検索する（ステップＳ１４０７）。

ここで、論理回線検索部１３ｃによる検索結果において、論理回線対応テーブルに検索対象の組み合わせが登録されていない場合（ステップＳ１４０８否定、第四の場合）、認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、ＬＮＳ３０への接続を不許可とする認証結果を、通信制御Ｉ／Ｆ部１１を介して通知し（ステップＳ１４０９）、処理を終了する。

一方、論理回線検索部１３ｃによる検索結果において、論理回線対応テーブルに検索対象の組み合わせが登録されている場合（ステップＳ１４０８肯定、第二の場合）、認証結果通知部１３ｄは、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、ＬＮＳ３０への接続を許可とする認証結果とともに、ＬＮＳ対応テーブルにおいて、指定装置間対応関係を含む装置間対応関係の一つまたは複数のＬＮＳを、ユーザ端末４０がアクセスしたＬＡＣ２０に対して、通信制御Ｉ／Ｆ部１１を介して通知し（ステップＳ１４１０）、処理を終了する。

［実施例２におけるＬＡＣの処理の手順］
図１５に示すように、まず、実施例２におけるＬＡＣ２０は、ユーザ端末４０からアクセスされて、指定ＬＮＳグループ識別子を受信すると（ステップＳ１５０１肯定）、ＬＡＣ制御サーバ１０に自身のＬＡＣ識別子であるアクセスＬＡＣ識別子と指定ＬＮＳグループ識別子と、アクセス論理回線識別子と、アクセス物理回線識別子とを、ＬＡＣ制御サーバ１０に送信する（ステップＳ１５０２）。

そして、通信制御Ｉ／Ｆ部２１は、ＬＡＣ制御サーバ１０から認証結果を受信すると（ステップＳ１５０３肯定）、受信した認証結果が「許可とする認証結果」であるか否かを判定する（ステップＳ１５０４）。

ここで、通信制御Ｉ／Ｆ部２１は、受信した認証結果が「不許可とする認証結果」である場合（ステップＳ１５０４否定、第三および第四の場合）、認証を不許可と、自身にアクセスしたユーザ端末４０に通知し（ステップＳ１５０５）、処理を終了する。

一方、通信制御Ｉ／Ｆ部２１は、受信した認証結果が「許可とする認証結果」である場合（ステップＳ１５０４肯定、第一および第二の場合）、認証結果とともに受信したＬＮＳの情報をＬＮＳ選択接続部２３ａに転送し、ＬＮＳ選択接続部２３ａは、認証結果とともに受信した接続候補としてのＬＮＳから一つのＬＮＳ３０を、基準記憶部２２ａが記憶する選択機銃を用いて選択し、選択した一つのＬＮＳ３０との間にＬ２ＴＰによる接続を確立し（ステップ１５０６）、処理を終了する。

［実施例２の効果］
上記したように、実施例２によれば、接続を許可するＬＡＣ２０とＬＮＳ３０との組み合わせを、ＬＡＣグループおよびＬＮＳグループとともに物理回線グループを加えたグループ単位にすることで接続を許可するための組み合わせをさらに減少させるので、認証処理の負荷をより軽減することが可能になる。

なお、上記した実施例では、論理回線対応テーブル記憶部１２ｃが論理回線対応テーブルとして、ＬＡＣグループ識別子とＬＮＳグループ識別子と物理回線グループ識別子と論理回線識別子とを対応付けて記憶する場合について説明したが、本発明はこれに限定されるものではなく、論理回線対応テーブル記憶部１２ｃが論理回線対応テーブルとして、以下に示すような組み合わせを対応付けて記憶する場合であってもよい。

例えば、論理回線対応テーブル記憶部１２ｃは、図１３に示すＬＡＣグループ識別子および物理回線グループ識別子の項目を削除し、実施例１における変形例として図９を用いて上述した場合と同様に、「ＬＮＳグループ識別子」および「論理回線識別子」のみを対応付けた論理回線対応テーブルを記憶してもよい。この場合、論理回線検索部１３ｃは、論理回線対応テーブルの「ＬＮＳグループ識別子」および「論理回線識別子」を検索キーとし、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）を含む装置間対応関係に対応づけられた指示情報が「ＴＲＵＥ」である場合（第二および第四の場合）、指定装置間対応関係の指定ＬＮＳグループ識別子と、アクセス論理回線識別子との組み合わせが、論理回線対応テーブル記憶部１２ｃが記憶する論理回線対応テーブルに登録されているか否かを検索する。

また、論理回線対応テーブル記憶部１２ｃは、図１３に示すＬＡＣグループ識別子の項目を削除し、図１６の（Ａ）に示すように、「ＬＮＳグループ識別子」、「物理回線グループ識別子」および「論理回線識別子」のみを対応付けた論理回線対応テーブルを記憶してもよい。この場合、論理回線検索部１３ｃは、論理回線対応テーブルの「ＬＮＳグループ識別子」、「論理回線識別子」および「物理回線グループ識別子」を検索キーとし、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）を含む装置間対応関係に対応づけられた指示情報が「ＴＲＵＥ」である場合（第二および第四の場合）、指定装置間対応関係の指定ＬＮＳグループ識別子および物理回線グループ識別子と、アクセス論理回線識別子との組み合わせが、論理回線対応テーブル記憶部１２ｃが記憶する論理回線対応テーブルに登録されているか否かを検索する。なお、図１６は、実施例２における変形例を説明するための図である。

また、論理回線対応テーブル記憶部１２ｃは、図１３に示す物理回線グループ識別子の項目を削除し、図１６の（Ｂ）に示すように、「ＬＡＣグループ識別子」、「ＬＮＳグループ識別子」および「論理回線識別子」のみを対応付けた論理回線対応テーブルを記憶してもよい。この場合、論理回線検索部１３ｃは、論理回線対応テーブルの「ＬＡＣグループ識別子」、「ＬＮＳグループ識別子」および「論理回線識別子」を検索キーとし、ＬＮＳ検索部１３ｂによる検索結果において、ＬＮＳ対応テーブルに検索対象となる組み合わせ（指定装置間対応関係）を含む装置間対応関係に対応づけられた指示情報が「ＴＲＵＥ」である場合（第二および第四の場合）、指定装置間対応関係のＬＡＣグループ識別子および指定ＬＮＳグループ識別子と、アクセス論理回線識別子との組み合わせが、論理回線対応テーブル記憶部１２ｃが記憶する論理回線対応テーブルに登録されているか否かを検索する。

なお、論理回線対応テーブルとして図１３に示す対応テーブルを保持したまま、論理回線検索部１３ｃの使用する検索キーが、「指定装置間対応関係の指定ＬＮＳグループ識別子と、アクセス論理回線識別子との組み合わせ」や、「指定装置間対応関係の指定ＬＮＳグループ識別子および物理回線グループ識別子と、アクセス論理回線識別子との組み合わせ」や、「指定装置間対応関係のＬＡＣグループ識別子および指定ＬＮＳグループ識別子と、アクセス論理回線識別子との組み合わせ」である場合であってもよい。

このように検索キーの組み合わせを減少することで、装置単位での継続認証が必要となる際の、認証処理における負荷を軽減することが可能になる。

ところで、上記の実施例１および２では、ＬＡＣ２０およびＬＮＳ３０それぞれが、すべて実際の機器である場合について説明したが、本発明はこれに限定されるものではなく、実際の機器の中に、仮想的なＬＡＣまたは仮想的なＬＮＳが含まれる場合であってもよい。例えば、実際の機器である「ＬＮＳ」の中に、仮想ＬＮＳを複数設定する場合であってもよい。

また、上記の実施例１および２では、ユーザ端末４０に関する情報（ユーザ端末情報）として、ユーザ利用回線識別子のみを用い、また、ＬＡＣ２０にアクセスしたユーザ端末４０の情報（アクセスユーザ端末情報）として、アクセスユーザ利用回線識別子のみを用いた場合について説明したが、本発明はこれに限定されるものではなく、ユーザ端末情報やアクセスユーザ端末情報として、ユーザ端末４０のＩＰアドレスやＭＡＣアドレスなど、ユーザ端末４０を一意に特定するため情報（ユーザ端末識別子およびアクセスユーザ端末識別子）のみを用る場合であってもよい。あるいは、ユーザ端末情報として、ユーザ端末識別子とユーザ利用回線識別子との組み合わせを用い、アクセスユーザ端末情報として、アクセスユーザ端末識別子とアクセスユーザ利用回線識別子との組み合わせを用いる場合であってもよい。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、本実施例で説明したネットワーク接続制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係るネットワーク接続制御方法およびネットワーク接続制御装置は、ユーザの所有するユーザ端末が指定したネットワークである指定ネットワークへの接続を、ユーザ端末がアクセスするユーザアクセス装置と、指定ネットワークと接続されるネットワーク接続装置との接続を許可するか否かによって制御する場合に有用であり、特に、認証処理の負荷を軽減することに適する。

実施例１におけるネットワーク接続制御システムの全体構成について説明するための図である。 実施例１におけるＬＡＣ制御サーバの構成を示すブロック図である。 ＬＡＣグループ対応テーブル記憶部を説明するための図である。 実施例１におけるＬＮＳ対応テーブル記憶部を説明するための図である。 実施例１における論理回線対応テーブル記憶部を説明するための図である。 実施例１におけるＬＡＣの構成を示すブロック図である。 実施例１におけるＬＡＣ制御サーバの処理を説明するための図である。 実施例１におけるＬＡＣの処理を説明するための図である。 実施例１における変形例を説明するための図である。 実施例２におけるＬＡＣ制御サーバの構成を示すブロック図である。 物理回線グループ対応テーブル記憶部を説明するための図である。 実施例２におけるＬＮＳ対応テーブル記憶部を説明するための図である。 実施例２における論理回線対応テーブル記憶部を説明するための図である。 実施例２におけるＬＡＣ制御サーバの処理を説明するための図である。 実施例２におけるＬＡＣの処理を説明するための図である。 実施例２における変形例を説明するための図である。 従来技術を説明するための図である。 従来技術を説明するための図である。

符号の説明

１０ ＬＡＣ制御サーバ
１１ 通信制御Ｉ／Ｆ部
１２ 記憶部
１２ａ ＬＡＣグループ対応テーブル記憶部
１２ｂ ＬＮＳ対応テーブル記憶部
１２ｃ 論理回線対応テーブル記憶部
１２ｄ 検索結果記憶部
１３ 処理部
１３ａ ＬＡＣグループ検索部
１３ｂ ＬＮＳ検索部
１３ｃ 論理回線検索部
１３ｄ 認証結果通知部
２０ ＬＡＣ
２１ 通信制御Ｉ／Ｆ部
２２ 記憶部
２２ａ 基準記憶部
２３ 処理部
２３ａ ＬＮＳ選択接続部
３０ ＬＮＳ
４０ ユーザ端末

Claims (10)

1. ユーザの所有するユーザ端末が指定したネットワークである指定ネットワークへの接続を、前記ユーザ端末がアクセスするユーザアクセス装置と、前記指定ネットワークと接続されるネットワーク接続装置との接続を許可するか否かによって制御するネットワーク接続制御装置に適用されるネットワーク接続制御方法であって、
   前記ユーザアクセス装置を一意に特定するためのユーザアクセス装置識別子と、前記ユーザアクセス装置をグループ分けした各ユーザアクセス装置グループを一意に特定するためのユーザアクセス装置グループ識別子とを対応付けた第一の対応テーブルと、前記ユーザアクセス装置グループ識別子と、前記ネットワーク接続装置をグループ分けした各ネットワーク接続装置グループを一意に特定するためのネットワーク接続装置グループ識別子とを対応付けた装置間対応関係ごとに、接続を許可することを指示する接続許可指示情報、または、接続を許可するか否かをグループ単位より細分化した単位で行なうことを指示する細分化指示情報のいずれかからなる指示情報を対応付けた第二の対応テーブルと、前記ネットワーク接続装置グループ識別子と、前記ユーザ端末を一意に特定するためのユーザ端末識別子、および／または、前記ユーザ端末が利用する回線を一意に特定するためのユーザ利用回線識別子からなるユーザ端末情報とを対応付けた第三の対応テーブルとを所定の記憶部において保持する対応テーブル保持ステップと、
   前記ユーザ端末が現にアクセスしたユーザアクセス装置から、当該ユーザアクセス装置の前記ユーザアクセス装置識別子であるアクセス装置識別子と、前記指定ネットワークと接続されるネットワーク接続装置グループの前記ネットワーク接続装置グループ識別子である指定ネットワークグループ識別子と、当該ユーザアクセス装置にアクセスしたユーザ端末の前記ユーザ端末情報であるアクセスユーザ端末情報とを取得した場合に、
   前記第一の対応テーブルを参照して、前記アクセス装置識別子に対応するユーザアクセス装置グループ識別子を検索する第一の検索ステップと、
   前記第二の対応テーブルを参照して、前記指定ネットワークグループ識別子および前記第一の検索ステップによって検索された前記ユーザアクセス装置グループ識別子からなる指定装置間対応関係を含む装置間対応関係が存在するか否かを検索し、前記指定装置間対応関係を含む装置間対応関係が存在する場合は、当該装置間対応関係に対応づけられた前記指示情報を検索する第二の検索ステップと、
   前記第二の検索ステップによって検索された前記指示情報が前記細分化指示情報であった場合に、前記第三の対応テーブルを参照して、前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在するか否かを検索する第三の検索ステップと、
   前記第二の検索ステップによる検索結果において前記指定装置間対応関係を含む装置間対応関係が存在しない場合および前記第三の検索ステップによる検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在しない場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可しないことを通知し、前記第二の検索ステップによる検索結果において前記指定装置間対応関係を含む装置間対応関係に対応付けられた指示情報が前記接続許可指示情報であった場合および前記第三の検索ステップによる検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在する場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可することを通知する通知ステップと、
   を含んだことを特徴とするネットワーク接続制御方法。
2. 前記対応テーブル保持ステップは、前記第二の対応テーブルにおける前記装置間対応関係として、前記ユーザアクセス装置グループ識別子と前記ネットワーク接続装置グループ識別子との組み合わせとともに当該ネットワーク接続装置グループ識別子を有する一つまたは複数のネットワーク接続装置をさらに対応付けて保持し、
   前記通知ステップは、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可することを通知する場合に、前記第二の対応テーブルを参照して、前記指定装置間対応関係を含む装置間対応関係の一つまたは複数のネットワーク接続装置をさらに通知することを特徴とする請求項１に記載のネットワーク接続制御方法。
3. 前記ユーザ端末情報は、前記ユーザ端末が利用する回線を一意に特定するためのユーザ利用回線識別子からなり、前記アクセスユーザ端末情報は、前記ユーザ端末が前記ユーザアクセス装置へアクセスした際に利用した回線を一意に特定するためのアクセスユーザ利用回線識別子からなることを特徴とする請求項２に記載のネットワーク接続制御方法。
4. 前記ユーザ利用回線識別子は、前記ユーザ端末が利用する論理回線の識別子である論理回線識別子であり、前記アクセスユーザ利用回線識別子は、前記ユーザ端末が前記ユーザアクセス装置へアクセスした際に利用した論理回線の識別子であるアクセス論理回線識別子であることを特徴とする請求項３に記載のネットワーク接続制御方法。
5. 前記対応テーブル保持ステップは、前記第三の対応テーブルとして、前記ユーザアクセス装置グループ識別子を、前記ネットワーク接続装置グループ識別子および前記論理回線識別子にさらに対応付けて保持し、
   前記第三の検索ステップは、前記第三の対応テーブルを参照して、前記指定装置間対応関係および前記アクセス論理回線識別子の組み合わせが存在するか否かを検索し、
   前記通知ステップは、前記第三の検索ステップによる検索結果において前記指定装置間対応関係および前記アクセス論理回線識別子の組み合わせが存在しない場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可しないことを通知し、前記第三の検索ステップによる検索結果において前記指定装置間対応関係および前記アクセス論理回線識別子の組み合わせが存在する場合は、当該指定装置間対応関係を含む装置間対応関係の一つまたは複数のネットワーク接続装置を、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可するために通知することを特徴とする請求項４に記載のネットワーク接続制御方法。
6. 前記論理回線識別子とともに、前記ユーザ端末が利用する物理回線を一意に特定するための物理回線識別子を前記ユーザ利用回線識別子とし、さらに前記ユーザ端末がアクセスしたユーザアクセス装置から、前記アクセス装置識別子、前記指定ネットワークグループ識別子および前記アクセス論理回線識別子とともに前記ユーザ端末が前記ユーザアクセス装置へアクセスした際に利用した物理回線の識別子であるアクセス物理回線識別子を取得する場合であって、
   前記対応テーブル保持ステップは、前記ユーザアクセス装置識別子と、前記物理回線識別子と、前記物理回線識別子をグループ分けした各物理回線グループを一意に特定するための物理回線グループ識別子とを対応付けた第四の対応テーブルをさらに保持し、かつ、前記第二の対応テーブルにおける前記装置間対応関係として、前記物理回線グループ識別子をさらに対応付けて保持し、
   前記第四の対応テーブルを参照して、前記アクセス装置識別子および前記アクセス物理回線識別子に対応する物理回線グループ識別子を検索する第四の検索ステップをさらに含み、
   前記第二の検索ステップは、前記第二の対応テーブルを参照して、前記指定ネットワークグループ識別子、前記第一の検索ステップによって検索された前記ユーザアクセス装置グループ識別子および前記第四の検索ステップによって検索された前記物理回線グループ識別子からなる指定装置間対応関係を含む装置間対応関係が存在するか否かを検索し、前記指定装置間対応関係を含む装置間対応関係が存在する場合は、当該装置間対応関係に対応づけられた前記指示情報を検索することを特徴とする請求項４に記載のネットワーク接続制御方法。
7. 前記対応テーブル保持ステップは、前記第三の対応テーブルとして、前記物理回線グループ識別子を前記ネットワーク接続装置グループ識別子および前記論理回線識別子にさらに対応付けて保持し、
   前記第三の検索ステップは、前記第三の対応テーブルを参照して、前記指定装置間対応関係の指定ネットワークグループ識別子および物理回線グループ識別子と前記アクセス論理回線識別子との組み合わせが存在するか否かを検索し、
   前記通知ステップは、前記第三の検索ステップによる検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および物理回線グループ識別子と前記アクセス論理回線識別子との組み合わせが存在しない場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可しないことを通知し、前記第三の検索ステップによる検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および物理回線グループ識別子と前記アクセス論理回線識別子との組み合わせが存在する場合は、当該指定装置間対応関係を含む装置間対応関係の一つまたは複数のネットワーク接続装置を、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可するために通知することを特徴とする請求項６に記載のネットワーク接続制御方法。
8. 前記対応テーブル保持ステップは、前記第三の対応テーブルとして、前記ユーザアクセス装置グループ識別子を前記ネットワーク接続装置グループ識別子および前記論理回線識別子にさらに対応付けて保持し、
   前記第三の検索ステップは、前記第三の対応テーブルを参照して、前記指定装置間対応関係の指定ネットワークグループ識別子およびユーザアクセス装置グループ識別子と前記アクセス論理回線識別子との組み合わせが存在するか否かを検索し、
   前記通知ステップは、前記第三の検索ステップによる検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子およびユーザアクセス装置グループ識別子と前記アクセス論理回線識別子との組み合わせが存在しない場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可しないことを通知し、前記第三の検索ステップによる検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子およびユーザアクセス装置グループ識別子と前記アクセス論理回線識別子との組み合わせが存在する場合は、当該指定装置間対応関係を含む装置間対応関係におけるネットワーク接続装置グループに所属する一つまたは複数のネットワーク接続装置を、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可するために通知することを特徴とする請求項６に記載のネットワーク接続制御方法。
9. 前記対応テーブル保持ステップは、前記第三の対応テーブルとして、前記ユーザアクセス装置グループ識別子および前記物理回線グループ識別子を前記ネットワーク接続装置グループ識別子および前記論理回線識別子にさらに対応付けて保持し、
   前記第三の検索ステップは、前記第三の対応テーブルを参照して、前記指定装置間対応関係と前記アクセス論理回線識別子との組み合わせが存在するか否かを検索し、
   前記通知ステップは、前記第三の検索ステップによる検索結果において前記指定装置間対応関係と前記アクセス論理回線識別子との組み合わせが存在しない場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可しないことを通知し、前記第三の検索ステップによる検索結果において前記指定装置間対応関係と前記アクセス論理回線識別子との組み合わせが存在する場合は、当該指定装置間対応関係を含む装置間対応関係におけるネットワーク接続装置グループに所属する一つまたは複数のネットワーク接続装置を、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可するために通知することを特徴とする請求項６に記載のネットワーク接続制御方法。
10. ユーザの所有するユーザ端末が指定したネットワークである指定ネットワークへの接続を、前記ユーザ端末がアクセスするユーザアクセス装置と、前記指定ネットワークと接続されるネットワーク接続装置との接続を認証するか否かによって制御するネットワーク接続制御装置であって、
    前記ユーザアクセス装置を一意に特定するためのユーザアクセス装置識別子と、前記ユーザアクセス装置をグループ分けした各ユーザアクセス装置グループを一意に特定するためのユーザアクセス装置グループ識別子とを対応付けた第一の対応テーブルと、前記ユーザアクセス装置グループ識別子と、前記ネットワーク接続装置をグループ分けした各ネットワーク接続装置グループを一意に特定するためのネットワーク接続装置グループ識別子とを対応付けた装置間対応関係ごとに、接続を許可することを指示する接続許可指示情報、または、接続を許可するか否かをグループ単位より細分化した単位で行なうことを指示する細分化指示情報のいずれかからなる指示情報を対応付けた第二の対応テーブルと、前記ネットワーク接続装置グループ識別子と、前記ユーザ端末を一意に特定するためのユーザ端末識別子、および／または、前記ユーザ端末が利用する回線を一意に特定するためのユーザ利用回線識別子からなるユーザ端末情報とを対応付けた第三の対応テーブルとを保持する対応テーブル保持手段と、
    前記ユーザ端末が現にアクセスしたユーザアクセス装置から、当該ユーザアクセス装置の前記ユーザアクセス装置識別子であるアクセス装置識別子と、前記指定ネットワークと接続されるネットワーク接続装置グループの前記ネットワーク接続装置グループ識別子である指定ネットワークグループ識別子と、当該ユーザアクセス装置にアクセスしたユーザ端末の前記ユーザ端末情報であるアクセスユーザ端末情報とを取得した場合に、
    前記第一の対応テーブルを参照して、前記アクセス装置識別子に対応するユーザアクセス装置グループ識別子を検索する第一の検索手段と、
    前記第二の対応テーブルを参照して、前記指定ネットワークグループ識別子および前記第一の検索手段によって検索された前記ユーザアクセス装置グループ識別子からなる指定装置間対応関係を含む装置間対応関係が存在するか否かを検索し、前記指定装置間対応関係を含む装置間対応関係が存在する場合は、当該装置間対応関係に対応づけられた前記指示情報を検索する第二の検索手段と、
    前記第二の検索手段によって検索された前記指示情報が前記細分化指示情報であった場合に、前記第三の対応テーブルを参照して、前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在するか否かを検索する第三の検索手段と、
    前記第二の検索手段による検索結果において前記指定装置間対応関係を含む装置間対応関係が存在しない場合および前記第三の検索手段による検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在しない場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可しないことを通知し、前記第二の検索手段による検索結果において前記指定装置間対応関係を含む装置間対応関係に対応付けられた指示情報が前記接続許可指示情報であった場合および前記第三の検索手段による検索結果において前記指定装置間対応関係の指定ネットワークグループ識別子および前記アクセスユーザ端末情報の組み合わせが存在する場合は、前記ユーザ端末がアクセスしたユーザアクセス装置に対して接続を許可することを通知する通知手段と、
    を備えたことを特徴とするネットワーク接続制御装置。

Images