JP4773987B2

JP4773987B2 - 端末所属切換システム

Info

Publication number: JP4773987B2
Application number: JP2007023124A
Authority: JP
Inventors: 元英能見
Original assignee: Alaxala Networks Corp
Current assignee: Alaxala Networks Corp
Priority date: 2007-02-01
Filing date: 2007-02-01
Publication date: 2011-09-14
Anticipated expiration: 2027-02-01
Also published as: JP2008193231A; US20080186977A1; US8194537B2

Description

本発明は、少なくとも第１及び第２のネットワークの間で端末の所属を切り換えるための技術に関するものである。

認証・検疫ネットワークシステムでは、検疫ネットワークと業務ネットワークとの間で通信が行えないように、また、認証ネットワークシステムでは、認証前ネットワークと認証後ネットワークとの間で通信が行えないように、ネットワークの独立性をそれぞれ保つ必要がある。そのような独立性を保つために、例えば、パケット中継装置は、各々のネットワークに、別々のＶＬＡＮ（Virtual Local Area Network）を割り当てる。このような異なるＶＬＡＮを割り当てることにより、論理的に通信が分離される。

図１０は認証・検疫ネットワークシステムに適用した従来の端末所属切換システムを模式的に示すブロック図である。認証・検疫ネットワークシステムでは、図１０に示すように、パケット中継装置ＲＳ１０によって、まず、セキュリティポリシに合致しない端末ＰＣ１０を、検疫ネットワークＮＷ１に対応するＶＬＡＮ１００に所属させ、検疫ネットワークＮＷ１に接続される認証サーバＳＶ１や検疫サーバＳＶ２によって、その端末ＰＣ１０に対し認証・検疫を行わせる。その後、その端末ＰＣ１０がセキュリティポリシに合致するようになったら、パケット中継装置ＲＳ１０によって、その端末ＰＣ１０を、業務ネットワークＮＷ２に対応するＶＬＡＮ２００に所属させるようにする。

一方、パケット中継装置ＲＳ１０は、端末ＰＣ１０が通信できるようにするために、内部にあるＤＨＣＰサーバ部１１２１によって、その端末ＰＣ１０にＩＰアドレスを割り当てる。従来においては、異なるＶＬＡＮ間でもレイヤ３にて中継することがあるため、パケット中継装置ＲＳ１０内のＤＨＣＰサーバ部１１２１は、ＶＬＡＮ毎に所属している端末に対して、異なるＩＰアドレスを割り当てる必要があった。具体的には、レイヤ３にてルーティングを行う場合、ＶＬＡＮごとに違うサブネットのＩＰアドレスが割り当てられていなければ、パケット中継装置は、どのＶＬＡＮにパケットを中継してよいのかわからず、通信を行うことができないからである。そのため、検疫ネットワークＮＷ１のＶＬＡＮ１００から業務ネットワークＮＷ２のＶＬＡＮ２００に端末ＰＣ１０の所属を変更する場合に、ＤＨＣＰサーバ部１１２１は、端末ＰＣ１０に対して、ＤＨＣＰサーバ部１１２１は、端末ＰＣ１０に対して、検疫ネットワークＮＷ１のＶＬＡＮ１００に所属していた場合と、所属変更後に、業務ネットワークＮＷ２のＶＬＡＮ２００に所属した場合と、で別のＩＰアドレスを割り当てることになる。

なお、図１０において、パケット中継装置ＲＳ１０は、ＤＨＣＰサーバ部１１２１の他、ＶＬＡＮ１００を管理するＶＬＡＮ１００処理部１４０１と、ＶＬＡＮ２００を管理するＶＬＡＮ２００処理部１５０１と、ＶＬＡＮ１００とＶＬＡＮ２００との間で端末所属の切り換えを行う認証デーモン１３０１と、ルーティングを管理するルーティング部１１１１を備えている。また、ＤＨＣＰサーバ部１１２１は、ＤＨＣＰテーブル１１２２を備えており、ルーティング部１１１１は、ルーティングテーブル１１１２を備えている。また、業務ネットワークＮＷ２には、業務用サーバＳＶ３が接続されている。

図１１は認証ネットワークシステムに適用した従来の端末所属切換システムを模式的に示すブロック図である。認証ネットワークシステムでは、図１１に示すように、パケット中継装置ＲＳ２０によって、まず、認証前の端末ＰＣ１０を、認証前ネットワークＮＷ３に対応するＶＬＡＮ１００に所属させ、パケット中継装置ＲＳ２０に接続される認証サーバＳＶ１によって、その端末ＰＣ１０に対し認証を行わせる。その後、認証が完了したら、パケット中継装置ＲＳ１０によって、その端末ＰＣ１０を、認証後ネットワークである業務ネットワークＮＷ２に対応するＶＬＡＮ２００に所属させるようにする。

一方、パケット中継装置ＲＳ２０は、端末ＰＣ１０が通信できるようにするために、内部にあるＤＨＣＰサーバ部１１２１によって、その端末ＰＣ１０にＩＰアドレスを割り当てる。従来においては、認証・検疫システムと同様に、認証前ネットワークＮＷ３のＶＬＡＮ１００から認証後ネットワークである業務ネットワークＮＷ２のＶＬＡＮ１００に端末ＰＣ１０の所属を変更する場合に、ＤＨＣＰサーバ部１１２１は、端末ＰＣ１０に対して、認証前ネットワークＮＷ３のＶＬＡＮ１００に所属していた場合と、所属変更後に、認証後ネットワークである業務ネットワークＮＷ２のＶＬＡＮ２００に所属した場合と、で別のＩＰアドレスを割り当てることになる。

なお、図１１においても、図１０と同様の構成要素には、同じ符号が付されている。従って、それについての説明は省略する。なお、認証前ネットワークＮＷ３は、パケット中継装置ＲＳ１０内のＶＬＡＮ１００処理部１４０１だけが所属するネットワークとして構成されている。

以上のような認証システムとしては、例えば、下記の特許文献１に記載のものが知られている。
特開２００６−３３２０６号公報

上記したとおり、従来において、ＤＨＣＰサーバ部１１２１は、端末ＰＣ１０に対し、その端末ＰＣ１０の所属するＶＬＡＮが変更されるたびに、別のＩＰアドレスを割り当てる必要があった。ＤＨＣＰサーバ部１１２１から端末ＰＣ１０へのＩＰアドレスの割り当ては、端末ＰＣ１０からＤＨＣＰサーバ部１１２１に対し、ＩＰアドレスの割り当て要求を行うことにより、実行される。しかし、端末ＰＣ１０は、所属するＶＬＡＮが変更されても、一定のリース時間が経たないと、ＤＨＣＰサーバ部１１２１に対してＩＰアドレスの割り当て要求をしない。そのため、端末ＰＣ１０は、業務ネットワーク（認証後ネットワーク）ＮＷ２のＶＬＡＮ１００に所属が変更されても、上記したリース時間が経過するまでの間は、変更される前のＩＰアドレスのままであるので、しばらく通信を行うことができない。

従って、本発明の目的は、上記した従来技術の問題点を解決し、端末の所属するＶＬＡＮが変更されても、端末が通信を継続することができる技術することにある。

上記した目的の少なくとも一部を達成するために、本発明の第１のシステムは、少なくとも第１及び第２のネットワークの間で端末の所属を切り換えるための端末所属切換システムであって、前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える端末所属切換部と、前記端末が前記第１のネットワークに所属する場合に、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第１のＤＨＣＰサーバ部と、前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第２のＤＨＣＰサーバ部と、を備え、前記第１及び第２のＤＨＣＰサーバ部は、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を他方のＤＨＣＰテーブル内の情報にも反映させることを要旨とする。

このように、第１のシステムでは、第１及び第２のＤＨＣＰサーバ部は、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を他方のＤＨＣＰテーブル内の情報にも反映させ、第１及び第２のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するようにしている。

従って、第１のシステムによれば、第１のＤＨＣＰテーブル内の情報と第２のＤＨＣＰテーブル内の情報とを常に同期するようにしているため、端末の所属するネットワークが変更されても、端末はＩＰアドレスを変更することなく、通信を継続することができる。

本発明の端末所属切換システムにおいて、前記端末所属切換部並びに前記第１及び第２のＤＨＣＰサーバ部は、同一の装置内に含まれていてもよい。

また、前記第１及び第２のＤＨＣＰサーバ部は、同一の装置内に含まれており、前記端末所属切換部は、前記装置とは異なる装置内に含まれていてもよい。

さらに、前記第１及び第２のＤＨＣＰサーバ部は、互いに異なる装置内に含まれていてもよい。

このように、端末所属切換部並びに第１及び第２のＤＨＣＰサーバ部は、同一の装置内であっても、異なる装置内であっても、上記した効果を奏することができる。

また、前記第１及び第２のＤＨＣＰサーバ部は、同じパケット中継装置内に含まれていることが好ましい。このように構成することにより、ＩＰアドレスの管理をそのパケット中継装置だけで行うことができる。

本発明の端末所属切換システムにおいて、前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮであって、互いに、ルーティング及びフォワーディングが別々に行われていることが好ましい。このように構成することにより、第１及び第２のネットワークは互いに影響を受けることなく、独立して通信を行うことができる。

本発明の第２のシステムは、少なくとも第１及び第２のネットワークの間で端末の所属を切り換えるための端末所属切換システムであって、前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える端末所属切換部と、前記端末が前記第１のネットワークに所属する場合には、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当て、前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバ部と、を備え、前記ＤＨＣＰサーバ部は、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を他方のＤＨＣＰテーブル内の情報にも反映させることを要旨とする。

このように、ＤＨＣＰサーバ部によって、第１及び第２のＤＨＣＰテーブルの両者を管理するようにしてもよく、このような場合でも、端末の所属するネットワークが変更された際に、端末はＩＰアドレスを変更することなく、通信を継続することができる。

本発明の第３のシステムは、少なくとも第１及び第２のネットワークの間で端末の所属を切り換えるための端末所属切換システムであって、前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、ＶＲＲＰ（Virtual Router Redundancy Protocol）に対応した複数のパケット中継装置を備え、これらパケット中継装置のうち、マスタとなる第１のパケット中継装置は、前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える第１の端末所属切換部と、前記端末が前記第１のネットワークに所属する場合に、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第１のＤＨＣＰサーバ部と、前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第２のＤＨＣＰサーバ部と、を備え、バックアップとなる第２のパケット中継装置は、前記第２のパケット中継装置がマスタとなった場合に、前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える第２の端末所属切換部と、前記第２のパケット中継装置がマスタとなった場合であって、前記端末が前記第１のネットワークに所属する場合に、第３のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第３のＤＨＣＰサーバ部と、前記第２のパケット中継装置がマスタとなった場合であって、前記端末が前記第２のネットワークに所属する場合には、第４のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第４のＤＨＣＰサーバ部と、を備え、マスタとなる前記パケット中継装置の前記第１及び第２のＤＨＣＰサーバ部は、前記第１ないし第４のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を、他方のＤＨＣＰテーブル内の情報に反映させると共に、前記第３及び第４のＤＨＣＰテーブル内の情報にも反映させることを要旨とする。

このように、第３のシステムでは、マスタとなる前記パケット中継装置の前記第１及び第２のＤＨＣＰサーバ部は、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を、他方のＤＨＣＰテーブル内の情報に反映させると共に、前記第３及び第４のＤＨＣＰテーブル内の情報にも反映させて、前記第１ないし第４のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するようにしている。

従って、第３のシステムによれば、第１のＤＨＣＰテーブル内の情報と第２のＤＨＣＰテーブル内の情報だけでなく、バックアップとなる第２のパケット中継装置における第３のＤＨＣＰテーブル内の情報と第４のＤＨＣＰテーブル内の情報も同期するようにしているため、マスタである第１のパケット中継装置が障害を起こし、第２のパケット中継装置がマスタとなって通信を受け継いだ場合に、端末の所属するネットワークが変更されても、端末はＩＰアドレスを変更することなく、通信を継続することができる。

なお、本発明は、上記した端末所属切換システムに限ることなく、パケット中継装置やＤＨＣＰサーバとしても実現することができる。また、これら装置発明の態様に限ることなく、端末所属切換方法法などの方法発明としての態様で実現することも可能である。

Ａ．第１の実施例：
図１は本発明の第１の実施例としての端末所属切換システムを模式的に示すブロック図である。本実施例における端末所属切換システムは、認証・検疫ネットワークシステムに適用されるものである。

図１に示すように、本実施例における端末所属切換システムは、認証・検疫ネットワークシステム内のパケットを中継するパケット中継装置ＲＳ１と、そのパケット中継装置ＲＳ１にネットワークを介して接続される端末ＰＣ１と、認証・検疫ネットワークシステムのネットワークを構成する検疫ネットワークＮＷ１及び業務ネットワークＮＷ２と、を備えている。

検疫ネットワークＮＷ１には、認証サーバＳＶ１及び検疫サーバＳＶ２が接続されており、業務ネットワークＮＷ２には、業務用サーバＳＶ３が接続されている。検疫ネットワークＮＷ１は、ネットワークのセキュリティポリシに合致しない端末を隔離するために用いられる。業務ネットワークＮＷ２は、ネットワークへの接続を認証し、かつ、セキュリティポリシに合致した端末を、業務用サーバＳＶ３等で作業させるために用いられる。従って、検疫ネットワークＮＷ１と業務ネットワークＮＷ２は、双方間で通信ができない独立したネットワークで構成されている。具体的には、パケット中継装置ＲＳ１によって、検疫ネットワークＮＷ１には、ＶＬＡＮ１００が割り当てられ、業務ネットワークＮＷ２には、ＶＬＡＮ２００が割り当てられており、両者は論理的に通信が分離されている。

認証サーバＳＶ１は、端末ＰＣ１のネットワークへの接続可否を判定するための認証データベース（図示せず）を保持しており、認証データベースにはユーザ名，パスワード等の情報が登録されている。認証サーバＳＶ１は、端末ＰＣ１がユーザ名，パスワード等を用いて認証を要求してきた場合に、それらの情報が認証データベースに登録されている情報と一致するか否かを判定する。

一方、検疫サーバＳＶ２は、ネットワークへの接続を認証された端末ＰＣ１に対して、セキュリティポリシに合致するか否かを判定する。セキュリティポリシに合致していない（すなわち、セキュリティポリシに違反している）端末ＰＣ１に対しては、セキュリティポリシに合致するように、治療を行う。

パケット中継装置ＲＳ１は、端末ＰＣ１がネットワーク接続しようとしたときに、端末ＰＣ１がセキュリティポリシに違反している場合には、検疫ネットワークＮＷ１のＶＬＡＮ１００のみに接続させるようにし、端末ＰＣ１がセキュリティポリシに合致している場合には、業務ネットワークＮＷ２のＶＬＡＮ２００のみに接続させるようにする。

また、本実施例では、さらに、パケット中継装置ＲＳ１によって、検疫ネットワークＮＷ１のＶＬＡＮ１００は、図示せざる他のＶＬＡＮ１１０，ＶＬＡＮ１２０と共に、ＶＰＮ（Virtual Private Network）♯１を構成し、業務ネットワークＮＷ２のＶＬＡＮ２００は、図示せざる他のＶＬＡＮ２１０，ＶＬＡＮ２２０と共に、ＶＰＮ♯２を構成している。

パケット中継装置ＲＳ１は、図１に示すように、ＶＰＮ＃１処理部１０１と、ＶＰＮ＃２処理部２０１と、認証デーモン３０１と、を備えている。ＶＰＮ＃１処理部１０１は、検疫ネットワークＮＷ１に対応するＶＰＮ♯１内において通信するパケットのルーティング及びフォワーディングを行うと共に、ＶＰＮ♯１に所属する端末にＩＰアドレスの割り当てを行う。ＶＰＮ＃２処理部２０１は、業務ネットワークＮＷ２に対応するＶＰＮ♯２内において通信するパケットのルーティング及びフォワーディングを行うと共に、ＶＰＮ♯２に所属する端末にＩＰアドレスの割り当てを行う。認証デーモン３０１は、端末ＰＣ１に対して認証処理を行う場合に、端末ＰＣ１の認証要求を認証サーバＳＶ１に問い合わせ、認証サーバＳＶ１からの指示によって、端末ＰＣ１を検疫ネットワークＮＷ１に対応するＶＬＡＮ１００もしくは業務ネットワークＮＷ２に対応するＶＬＡＮ２００のどちらかに所属させる処理を行う。

ＶＰＮ＃１処理部１０１は、ＶＰＮ♯１内で通信するパケットのルーティング処理を行うルーティング部１１１と、ＶＰＮ♯１に所属する端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバ部１２１と、を備える。ルーティング部１１１は、ＶＰＮ♯１における経路情報を登録しているルーティングテーブル１１２を有する。ＤＨＣＰサーバ部１２１は、端末に割り当てるＩＰアドレスの割当状態を登録するＤＨＣＰテーブル１２２を有する。

ＶＰＮ＃２処理部２０１は、ＶＰＮ♯２内で通信するパケットのルーティング処理を行うルーティング部２１１と、ＶＰＮ♯２に所属する端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバ部２２１と、を備える。ルーティング部２１１は、ＶＰＮ♯２における経路情報を登録しているルーティングテーブル２１２を有する。ＤＨＣＰサーバ部２２１は、端末に割り当てるＩＰアドレスの割当状態を登録するＤＨＣＰテーブル２２２を有する。

本実施例では、いわゆるＶＲＦ（Virtual Routing and Forwarding）を利用することにより、パケット中継装置ＲＳ１において、独立した複数のルーティングポリシを持つことを可能にしている。これにより、パケット中継装置ＲＳ１では、ＶＰＮ＃１のルーティングテーブル１１２とＶＰＮ＃２のルーティングテーブル２１２とを別々に持ち、ルーティング部１１１とルーティング部２１１とによって、ＶＰＮ♯１，ＶＰＮ♯２に関し別々に独立でルーティングするようにしている。このため、ＶＰＮ♯１とＶＰＮ♯２とは、ＩＰアドレスが重複しても良い。

図２は図１におけるＶＰＮ毎のルーティングテーブルの登録例を示す説明図である。図２において、（ａ）はＶＰＮ＃１のルーティングテーブルであって、ルーティング部１１１内のルーティングテーブル１１２の登録例を示す。（ｂ）はＶＰＮ＃２のルーティングテーブルであって、ルーティング部２１１内のルーティングテーブル２１２の登録例を示す。

図２（ａ）に示すように、ＶＰＮ＃１のルーティングテーブル１１２には、ＶＰＮ＃１に設定したＩＰインターフェイス（ＩＰＩ／Ｆ）が登録されている。ＩＰインターフェイスの各エントリＴ１Ｒｎ（ｎ＝１〜３）には、ＶＬＡＮ番号と、ＩＰアドレスと、サブネットマスクがそれぞれ設定されている。

ＩＰインターフェイスは、ＩＰアドレスとＶＬＡＮとの対応関係を表したものであって、端末が所属するサブネットを示している。例えば、ＶＬＡＮ１００では、エントリＴ１Ｒ１に示すように、パケット中継装置ＲＳ１に割り当てられたＩＰアドレスは、１０．０．０．１であり、各端末はＩＰアドレス１０．０．０．２〜１０．０．０．２５４の何れかに割り付けられる。また、ＶＬＡＮ１１０では、エントリＴ１Ｒ２に示すように、パケット中継装置ＲＳ１に割り当てられたＩＰアドレスは、１１．０．０．１であり、各端末はＩＰアドレス１１．０．０．２〜１１．０．０．２５４の何れかに割り付けられる。さらに、ＶＬＡＮ３００では、エントリＴ１Ｒ３に示すように、パケット中継装置ＲＳ１に割り当てられたＩＰアドレスは、１２．０．０．１であり、各端末はＩＰアドレス１２．０．０．２〜１２．０．０．２５４の何れかに割り付けられる。

一方、図２（ｂ）に示すように、ＶＰＮ＃２のルーティングテーブル２１２には、ＶＰＮ＃２に設定したＩＰインターフェイス（ＩＰＩ／Ｆ）が登録されている。ＩＰインターフェイスの各エントリＴ２Ｒｎ（ｎ＝１〜３）には、ＶＬＡＮ番号、ＩＰアドレス、サブネットマスクがそれぞれ設定されている。

前述したとおり、本実施例では、ＶＲＦを利用することにより、ＶＰＮ♯１とＶＰＮ♯２とはＩＰアドレスが重複しても良いため、図２（ｂ）に示すＶＰＮ♯２のルーティングテーブル２１２における各エントリＴ２Ｒｎ（ｎ＝１〜３）は、図２（ａ）に示したＶＰＮ♯１のルーティングテーブル１１２における各エントリＴ１Ｒｎ（ｎ＝１〜３）と、ＩＰアドレス及びサブネットマスクがそれぞれ重複している。

このように、ＩＰアドレス及びサブネットマスクがそれぞれ重複しても、ＶＰＮ♯１とＶＰＮ♯２とでは別々に独立してルーティングがなされるため、問題はない。

例えば、パケット中継装置ＲＳ１がＶＰＮ♯１に属する端末からパケット受信した場合、ＶＰＮ♯１に対応するルーティング部１１１が動作する。そして、そのパケットに記載された宛先が１０．０．０．２〜１０．０．０．２５４のＩＰアドレス範囲である場合には、ＶＬＡＮ１００にそのパケットを中継し、宛先が１１．０．０．２〜１１．０．０．２５４のＩＰアドレス範囲である場合には、図２（ａ）のルーティングテーブル１１２に従って、ＶＬＡＮ１１０にそのパケットを中継し、宛先が１２．０．０．２〜１２．０．０．２５４のＩＰアドレス範囲である場合には、ＶＬＡＮ１２０にそのパケットを中継することになる。また、パケット中継装置ＲＳ１がＶＰＮ♯２に属する端末からパケット受信した場合には、ＶＰＮ♯２に対応するルーティング部２１１が動作する。そして、そのパケットに記載された宛先が１０．０．０．２〜１０．０．０．２５４のＩＰアドレス範囲である場合には、図２（ｂ）のルーティングテーブル２１２に従って、ＶＬＡＮ２００にそのパケットを中継し、宛先が１１．０．０．２〜１１．０．０．２５４のＩＰアドレス範囲である場合には、ＶＬＡＮ２１０にそのパケットを中継し、宛先が１２．０．０．２〜１２．０．０．２５４のＩＰアドレス範囲である場合には、ＶＬＡＮ２２０にそのパケットを中継することになる。

本実施例においては、ＶＰＮ＃１処理部１０１におけるＤＨＣＰサーバ部１２１とＶＰＮ＃２処理部２０１におけるＤＨＣＰサーバ部２２１とは、各々が保持しているＤＨＣＰテーブル１２２とＤＨＣＰテーブル２２２の登録情報を常に同期するようにしている。こうすることで、端末ＰＣ１の所属が、検疫ネットワークＮＷ１のＶＬＡＮ１００から業務ネットワークＮＷ２のＶＬＡＮ２００に移った場合でも、端末ＰＣ１はＩＰアドレスを変更せずに通信を継続させることができる。

図３は図１におけるＶＰＮ毎のＤＨＣＰテーブルの登録例を示す説明図である。図３において、（ａ）はＶＰＮ＃１のＤＨＣＰテーブルであって、ＤＨＣＰサーバ部１２１内のＤＨＣＰテーブル１２２の登録例を示す。（ｂ）はＶＰＮ＃２のＤＨＣＰテーブルであって、ＤＨＣＰサーバ部２２１内のＤＨＣＰテーブル２２２の登録例を示す。

図３（ａ）に示すように、ＶＰＮ＃１のＤＨＣＰテーブル１２２には、ＶＰＮ＃１について、プールしているＩＰアドレスに関する情報が登録されている。ＩＰアドレスの各エントリＴ１Ｄｎ（ｎ＝１〜３）には、そのＩＰアドレスと、そのＩＰアドレスを使用している端末のＭＡＣアドレスと、そのＩＰアドレスの使用状況がそれぞれ設定されている。

例えば、ＩＰアドレス１０．０．０．２は、エントリＴ１Ｄ１に示すように、ＭＡＣアドレスがＸＸＸＸ：ＸＸＸ：０００１である端末に割り当てられ、現在、使用中となっている。また、ＩＰアドレス１０．０．０．３は、エントリＴ１Ｄ２に示すように、未だ何れの端末にも割り当てられておらず、現在、未使用となっている。

一方、図３（ｂ）に示すように、ＶＰＮ＃２のＤＨＣＰテーブル２２２には、ＶＰＮ＃２について、プールしているＩＰアドレスに関する情報が登録されている。ＩＰアドレスの各エントリＴ２Ｄｎ（ｎ＝１〜３）には、そのＩＰアドレスと、そのＩＰアドレスを使用している端末のＭＡＣアドレスと、そのＩＰアドレスの使用状況がそれぞれ設定されている。

前述したとおり、本実施例では、ＶＰＮ＃１のＤＨＣＰテーブル１２２の登録情報とＶＰＮ＃２のＤＨＣＰテーブル２２２の登録情報とを常に同期するようにしている。従って、図３（ｂ）に示すＶＰＮ♯２のＤＨＣＰテーブル２２２における各エントリＴ２Ｄｎ（ｎ＝１〜３）は、図３（ａ）に示したＶＰＮ♯１のＤＨＣＰテーブル１２２における各エントリＴ１Ｄｎ（ｎ＝１〜３）と、ＩＰアドレス、ＭＡＣアドレス、及び使用状況が一致している。

従って、例えば、ＶＰＮ＃１において、或る端末からＩＰアドレスの割り当て要求があった場合、ＤＨＣＰサーバ部１２１は、ＶＰＮ＃１のＤＨＣＰテーブル１２２を参照して、その端末に対し、未使用のＩＰアドレスの割り当てを行う。この際、ＤＨＣＰサーバ部１２１は、ＶＰＮ＃１のＤＨＣＰテーブル１２２に対し、そのＩＰアドレスに対応するエントリに、その端末のＭＡＣアドレスを書き込むと共に、使用状況を未使用から使用中に書き換える。さらに、ＤＨＣＰサーバ部１２１は、そのＩＰアドレスに対応するエントリに、その端末のＭＡＣアドレスを書き込むと共に、使用状況を未使用から使用中に書き換える。こうして、ＤＨＣＰサーバ部１２１は、ＶＰＮ＃１において、端末にＩＰアドレスの割り当てを行う場合、ＶＰＮ＃１のＤＨＣＰテーブル１２２の登録情報を変更すると共に、それと同じ変更をＤＨＣＰサーバ部１２１を通じてＶＰＮ＃２のＤＨＣＰテーブル２２２の登録情報にも反映させる。

同様に、ＤＨＣＰサーバ部２２１は、ＶＰＮ＃２において、ＩＰアドレスの割り当て要求があった端末に対しＩＰアドレスの割り当てを行う場合、ＶＰＮ＃２のＤＨＣＰテーブル２２２の登録情報を変更すると共に、それと同じ変更をＤＨＣＰサーバ部１２１を通じてＶＰＮ＃１のＤＨＣＰテーブル１２２の登録情報に反映させる。

一方、ＩＰアドレスの使用状況を使用中から未使用にする場合には、ＤＨＣＰサーバ部１２１，２２１が、それぞれ、対応するネットワーク（ＶＰＮ＃１，ＶＰＮ＃２）上に、対象となるＩＰアドレスを使用している端末が無いことを、確認してから、両方のＤＨＣＰテーブル１２２，２２２において、対象となるＩＰアドレスの使用状況を使用中から未使用に変更する。

本実施例において、認証デーモン３０１は請求項における端末所属切換部に、ＤＨＣＰサーバ部１２１，２２１は請求項における第１及び第２のＤＨＣＰサーバ部に、ＤＨＣＰテーブル１２２，２２２は請求項における第１及び第２のＤＨＣＰテーブルに、それぞれ対応している。

図４は図１におけるパケット中継装置ＲＳ１の処理フローを示すフローチャートである。このフローチャートに従って、以下に認証・検疫処理時におけるＩＰアドレス配布の動作について説明する。本実施例では、認証方式としてＩＥＥＥ８０２．１ｘ認証を用いている。ＩＥＥＥ８０２．１ｘ認証は、レイヤ２レベルでの通信によって行われるので、ＩＰアドレスが無くても、端末ＰＣ１はユーザ名とバスワードさえあれば、認証を行うことができる。

図４に示すように、まず、パケット中継装置ＲＳ１において、認証デーモン３０１は、端末ＰＣ１から認証要求を受ける（ステップＳ１０１）。この際、端末ＰＣ１からユーザ名，パスワード等の情報も併せて受け取る。次に、認証デーモン３０１は、受け取った情報を認証サーバＳＶ１に送信し、認証サーバＳＶ１に対し、端末ＰＣ１の認証可否を問い合わせる（ステップＳ１０２）。これにより、認証サーバＳＶ１は、受信した情報が認証データベースに登録されている情報と一致するか否かを判定する。

認証デーモン３０１は、認証サーバＳＶ１から認証結果を受け取って、その認証結果に応じて処理を分ける（ステップＳ１０３）。その認証結果が認証ＮＧである場合には、認証デーモン３０１は、一連の処理を終了する。認証ＯＫの場合には、認証デーモン３０１は、検疫サーバＳＶ２に対し、端末ＰＣ１がセキュリティポリシに合致しているか否かを問い合わせる（ステップＳ１０４）。これにより、検疫サーバＳＶ２は、端末ＰＣ１に対して、セキュリティポリシに合致するか否かを判定する。

認証デーモン３０１は、検疫サーバＳＶ２から判定結果を取得して、その判定結果に応じて処理を分ける（ステップＳ１０５）。判定結果がＯＫである場合、すなわち、端末ＰＣ１がセキュリティポリシに合致している場合には、認証デーモン３０１は、端末ＰＣ１を、業務ネットワークＮＷ２のＶＬＡＮ２００に所属させる（ステップＳ１０６）。

次に、ＶＰＮ＃２のＤＨＣＰサーバ部２２１は、ＤＨＣＰテーブル２２２から端末ＰＣ１に割り当てるべき未使用のＩＰアドレスを確保し、ＤＨＣＰテーブル２２２において、そのＩＰアドレスに関する登録情報を変更すると共に（ステップＳ１０６）、それと同じ変更をＤＨＣＰサーバ部１２１を通じてＶＰＮ＃１のＤＨＣＰテーブル１２２の登録情報にも反映させる（ステップＳ１０７）。さらに、ＤＨＣＰサーバ部２２１は、端末ＰＣ１に、確保したＩＰアドレスを配布する（ステップＳ１０９）。

一方、判定結果がＮＧである場合、すなわち、端末ＰＣ１がセキュリティポリシに違反している場合には、認証デーモン３０１は、端末ＰＣ１を、検疫ネットワークＮＷ１のＶＬＡＮ１００に所属させる（ステップＳ１１０）。

次に、ＶＰＮ＃１のＤＨＣＰサーバ部１２１は、ＤＨＣＰテーブル１２２から端末ＰＣ１に割り当てるべき未使用のＩＰアドレスを確保し、ＤＨＣＰテーブル１２２において、そのＩＰアドレスに関する登録情報を変更すると共に（ステップＳ１１１）、それと同じ変更をＤＨＣＰサーバ部２２１を通じてＶＰＮ＃２のＤＨＣＰテーブル２２２の登録情報にも反映させる（ステップＳ１１２）。さらに、ＤＨＣＰサーバ部１２１は、端末ＰＣ１に、確保したＩＰアドレスを配布する（ステップＳ１１３）。

次に、検疫サーバＳＶ２は、端末ＰＣ１がセキュリティポリシに合致するように、治療を行う。その後、検疫サーバＳＶ２は、治療が終わったことを認証サーバＳＶ１を介してパケット中継装置ＲＳ１に通知する（ステップＳ１１４）。それを受けて、認証デーモン３０１は、端末ＰＣ１の所属を、検疫ネットワークＮＷ１のＶＬＡＮ１００から、業務ネットワークＮＷ２のＶＬＡＮ２００に切り換える（ステップＳ１１５）。

この結果、端末ＰＣ１は、所属するＶＬＡＮの切り換え時にＩＰアドレスを変更することなく、業務用サーバＳＶ３と通信を行うことができる。

以上説明したように、本実施例によれば、認証・検疫ネットワークシステムにおいて、ＶＰＮ♯１のＤＨＣＰテーブル１２２の登録情報とＶＰＮ♯２のＤＨＣＰテーブル２２２の登録情報とを常に同期するようにしているため、端末ＰＣ１の所属するＶＬＡＮが変更されても、端末はＩＰアドレスを変更することなく、通信を継続することができる。

Ｂ．第２の実施例：
図５は本発明の第２の実施例としての端末所属切換システムを模式的に示すブロック図である。本実施例における端末所属切換システムは、認証ネットワークシステムに適用されるものである。

図５に示すように、本実施例における端末所属切換システムは、認証ネットワークシステム内のパケットを中継するパケット中継装置ＲＳ２と、そのパケット中継装置ＲＳ２にネットワークを介して接続される端末ＰＣ１と、認証ネットワークシステムのネットワークを構成する認証前ネットワークＮＷ３及び業務ネットワーク（認証後ネットワーク）ＮＷ２と、を備えている。

パケット中継装置ＲＳ２には、認証サーバＳＶ１が接続されており、業務ネットワークＮＷ２には、第１の実施例の場合と同様、業務用サーバＳＶ３が接続されている。認証前ネットワークＮＷ３は、認証前の端末を隔離するために用いられ、業務ネットワークＮＷ２は、ネットワークへの接続を認証した端末を、業務用サーバＳＶ３等で作業させるために用いられる。従って、本実施例においても、第１の実施例の場合と同様に、認証前ネットワークＮＷ３と業務ネットワークＮＷ２は、双方間で通信ができない独立したネットワークで構成されている。具体的には、パケット中継装置ＲＳ２によって、認証前ネットワークＮＷ３には、ＶＬＡＮ１００が割り当てられ、業務ネットワークＮＷ２には、ＶＬＡＮ２００が割り当てられており、両者は論理的に通信が分離されている。なお、認証前ネットワークＮＷ３は、パケット中継装置ＲＳ２内のＶＰＮ＃１処理部１０１だけが所属するネットワークとして構成されている。これは、認証前の端末を、パケット中継装置の外部と通信させないためである。

本実施例において、認証サーバＳＶ１及び業務用サーバＳＶ３は、第１の実施例の場合と同様であるので、それらについての説明は省略する。

パケット中継装置ＲＳ２は、端末ＰＣ１がネットワーク接続しようとしたときに、まず、端末ＰＣ１を認証前ネットワークＮＷ３のＶＬＡＮ１００のみに接続させるようにし、その後、端末ＰＣ１が認証された場合に、業務ネットワークＮＷ２のＶＬＡＮ２００のみに接続させるようにする。

また、本実施例においても、第１の実施例と同様に、パケット中継装置ＲＳ２によって、認証前ネットワークＮＷ３のＶＬＡＮ１００は、図示せざる他のＶＬＡＮ１１０，ＶＬＡＮ１２０と共に、ＶＰＮ♯１を構成し、業務ネットワークＮＷ２のＶＬＡＮ２００は、図示せざる他のＶＬＡＮ２１０，ＶＬＡＮ２２０と共に、ＶＰＮ♯２を構成している。

本実施例において、パケット中継装置ＲＳ２の構成は、第１の実施例におけるパケット中継装置ＲＳ１の構成と同じであるので、それらについての説明は省略する。

図６は図５におけるパケット中継装置ＲＳ２の処理フローを示すフローチャートである。このフローチャートに従って、以下に認証処理時におけるＩＰアドレス配布の動作について説明する。本実施例では、認証方式としてＷｅｂ認証を用いている。Ｗｅｂ認証は、レイヤ３レベルでの通信によって行われるので、端末ＰＣ１は当初からＩＰアドレスが必要となる。

図６に示すように、まず、パケット中継装置ＲＳ２において、ＶＰＮ＃１のＤＨＣＰサーバ部１２１は、ＤＨＣＰテーブル１２２から端末ＰＣ１に割り当てるべき未使用のＩＰアドレスを確保し、ＤＨＣＰテーブル１２２において、そのＩＰアドレスに関する登録情報を変更すると共に（ステップＳ２０１）、それと同じ変更をＤＨＣＰサーバ部２２１を通じてＶＰＮ＃２のＤＨＣＰテーブル２２２の登録情報にも反映させる（ステップＳ２０２）。さらに、ＤＨＣＰサーバ部１２１は、端末ＰＣ１に、確保したＩＰアドレスを配布する（ステップＳ２０３）。

次に、認証デーモン３０１は、端末ＰＣ１から認証要求を受ける（ステップＳ２０４）。この際、端末ＰＣ１からユーザ名，パスワード等の情報も併せて受け取る。次に、認証デーモン３０１は、受け取った情報を認証サーバＳＶ１に送信し、認証サーバＳＶ１に対し、端末ＰＣ１の認証可否を問い合わせる（ステップＳ２０５）。これにより、認証サーバＳＶ１は、受信した情報が認証データベースに登録されている情報と一致するか否かを判定する。

認証デーモン３０１は、認証サーバＳＶ１から認証結果を受け取って、その認証結果に応じて処理を分ける（ステップＳ２０６）。その認証結果が認証ＮＧである場合には、認証デーモン３０１は、一連の処理を終了する。認証ＯＫの場合には、認証デーモン３０１は、端末ＰＣ１の所属を、認証前ネットワークＮＷ３のＶＬＡＮ１００から、業務ネットワークＮＷ２のＶＬＡＮ２００に切り換える（ステップＳ２０７）。

以上説明したように、本実施例では、認証ネットワークシステムにおいても、第１の実施例における認証・検疫ネットワークシステムの場合と同様に、端末ＰＣ１の所属するＶＬＡＮが変更されても、端末はＩＰアドレスを変更することなく、通信を継続することができる。

Ｃ．第３の実施例：
図７は本発明の第３の実施例としての端末所属切換システムを模式的に示すブロック図である。本実施例における端末所属切換システムは、認証・検疫ネットワークシステムに適用されるものである。

本実施例が第１の実施例と異なる点は、パケット中継装置が、ＤＨＣＰサーバ部１２１，２２１を備えるパケット中継装置ＲＳ３と、認証デーモン３０１を備えるパケット中継装置ＲＳ４と、にそれぞれ別体で分かれており、それらが互いに物理回線を介して接続されている点である。

すなわち、パケット中継装置ＲＳ３は、図７に示すように、ＶＰＮ＃１処理部１０１と、ＶＰＮ＃２処理部２０１と、を備えている。本実施例において、ＶＰＮ＃１処理部１０１及びＶＰＮ＃２処理部２０１の構成は、第１の実施例の場合と同様であるので、それらについての説明は省略する。なお、ルーティング部１１１及びルーティング部２１１については、図面の都合上、図示を省略されている。また、パケット中継装置ＲＳ２には、認証サーバＳＶ１が接続されている。

一方、パケット中継装置ＲＳ４は、図７に示すように、認証デーモン３０１の他、ＶＬＡＮ１００を管理するＶＬＡＮ１００処理部４０１と、ＶＬＡＮ２００を管理するＶＬＡＮ２００処理部５０１と、を備えている。

これらのうち、パケット中継装置ＲＳ３は、例えば、レイヤ３スイッチで構成されており、パケット中継装置ＲＳ４は、レイヤ２スイッチで構成されている。このため、パケット中継装置ＲＳ４については、ＩＰアドレスは不要である。なお、パケット中継装置ＲＳ４から出力されるパケットのヘッダには、ＶＬＡＮ１００かＶＬＡＮ２００かを示すＶＬＡＮタグが付されるため、パケット中継装置ＲＳ３は、そのＶＬＡＮタグにより、を付けることにより、ＶＬＡＮ１００のパケットか、ＶＬＡＮ２００のパケットかを識別する。その他の構成については、第１の実施例と同様であるので、それらについての説明は省略する。

まず、パケット中継装置ＲＳ４において、認証デーモン３０１は、端末ＰＣ１から、ユーザ名，パスワード等の情報と共に認証要求を受ける。認証デーモン３０１は、受け取った情報を認証サーバＳＶ１に送信し、認証サーバＳＶ１に対し、端末ＰＣ１の認証可否を問い合わせる。認証サーバＳＶ１は、受信した情報が認証データベースに登録されている情報と一致するか否かを判定する。

認証デーモン３０１は、認証サーバＳＶ１から認証結果を受け取り、その認証結果が認証ＯＫの場合には、検疫サーバＳＶ２に対し、端末ＰＣ１がセキュリティポリシに合致しているか否かを問い合わせる。検疫サーバＳＶ２は、端末ＰＣ１に対して、セキュリティポリシに合致するか否かを判定する。

認証デーモン３０１は、検疫サーバＳＶ２から判定結果を取得して、その判定結果がＮＧである場合、すなわち、端末ＰＣ１がセキュリティポリシに違反している場合には、端末ＰＣ１を、検疫ネットワークＮＷ１のＶＬＡＮ１００に所属させる。

次に、パケット中継装置ＲＳ３において、ＶＰＮ＃１のＤＨＣＰサーバ部１２１は、ＤＨＣＰテーブル１２２から端末ＰＣ１に割り当てるべき未使用のＩＰアドレスを確保し、ＤＨＣＰテーブル１２２において、そのＩＰアドレスに関する登録情報を変更すると共に、それと同じ変更をＤＨＣＰサーバ部２２１を通じてＶＰＮ＃２のＤＨＣＰテーブル２２２の登録情報にも反映させる。さらに、ＤＨＣＰサーバ部１２１は、端末ＰＣ１に、確保したＩＰアドレスを配布する。

次に、検疫サーバＳＶ２は、端末ＰＣ１がセキュリティポリシに合致するように、治療を行う。その後、検疫サーバＳＶ２は、治療が終わったことを認証サーバＳＶ１を介してパケット中継装置ＲＳ４に通知する。それを受けて、パケット中継装置ＲＳ４における認証デーモン３０１は、端末ＰＣ１の所属を、検疫ネットワークＮＷ１のＶＬＡＮ１００から、業務ネットワークＮＷ２のＶＬＡＮ２００に切り換える。

以上説明したように、本実施例では、パケット中継装置を、ＤＨＣＰサーバ部１２１，２２１を備えるパケット中継装置ＲＳ３と、認証デーモン３０１を備えるパケット中継装置ＲＳ４と、にそれぞれ別体に分けた場合でも、第１の実施例と同様の効果を奏することができる。

Ｄ．第４の実施例：
図８は本発明の第４の実施例としての端末所属切換システムを模式的に示すブロック図である。本実施例における端末所属切換システムは、認証・検疫ネットワークシステムに適用されるものである。

本実施例が第１の実施例と異なる点は、パケット中継装置が、ＶＰＮ♯１に対するＤＨＣＰサーバ部１２１しか備えず、ＶＰＮ♯２に対するＤＨＣＰサーバは、パケット中継装置の外部に設けた点である。

すなわち、パケット中継装置ＲＳ５は、図８に示すように、ＶＰＮ＃２処理部２０１から、ＤＨＣＰサーバ部２２１が削除されており、その代わりに、業務ネットワークＮＷ２には、ＶＰＮ♯２に所属する端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバＳＶ４が接続されている。ＤＨＣＰサーバＳＶ４は、独立した装置がＤＨＣＰテーブル部を備えたものであり、端末に割り当てるＩＰアドレスの割当状態を登録するＤＨＣＰテーブル２２４を有している。なお、ＤＨＣＰサーバＳＶ４は、パケット中継装置ＲＳ５におけるＤＨＣＰサーバ部１２１と通信して、ＤＨＣＰテーブル２２４の登録情報と、ＤＨＣＰテーブル１２２の登録情報と、を相互に同期させ得る機能を有している。

その他の構成については、第１の実施例と同様であるので、それらについての説明は省略する。

まず、パケット中継装置ＲＳ５において、認証デーモン３０１は、端末ＰＣ１から、ユーザ名，パスワード等の情報と共に認証要求を受ける。認証デーモン３０１は、受け取った情報を認証サーバＳＶ１に送信し、認証サーバＳＶ１に対し、端末ＰＣ１の認証可否を問い合わせる。認証サーバＳＶ１は、受信した情報が認証データベースに登録されている情報と一致するか否かを判定する。

次に、パケット中継装置ＲＳ３において、ＶＰＮ＃１のＤＨＣＰサーバ部１２１は、ＤＨＣＰテーブル１２２から端末ＰＣ１に割り当てるべき未使用のＩＰアドレスを確保し、ＤＨＣＰテーブル１２２において、そのＩＰアドレスに関する登録情報を変更する。それと同時に、ＤＨＣＰサーバ部１２１は、それと同じ変更をＤＨＣＰサーバＳＶ４を通じてＶＰＮ＃２のＤＨＣＰテーブル２２４の登録情報にも反映させる。さらに、ＤＨＣＰサーバ部１２１は、端末ＰＣ１に、確保したＩＰアドレスを配布する。

以上説明したように、本実施例では、ＶＰＮ♯１に対するＤＨＣＰサーバ部１２１をパケット中継装置ＲＳ５の内部に設け、ＶＰＮ♯２に対するＤＨＣＰサーバＳＶ４を、パケット中継装置ＲＳ５の外部に別の装置として設けた場合でも、第１の実施例と同様の効果を奏することができる。

Ｅ．第５の実施例：
図９は本発明の第５の実施例としての端末所属切換システムを模式的に示すブロック図である。

本実施例における端末所属切換システムでは、ネットワークの冗長化を図るために、パケット中継装置として、ＶＲＲＰ（Virtual Router Redundancy Protocol）に対応した２つのパケット中継装置ＲＳ６，ＲＳ７を備えている。これら２つのパケット中継装置ＲＳ６，ＲＳ７のうち、例えば、パケット中継装置ＲＳ６はマスタに、パケット中継装置ＲＳ７はバックアップに、それぞれ設定されている。通常は、マスタであるパケット中継装置ＲＳ６が通信を行なうが、そのパケット中継装置ＲＳ６が障害を起こした場合には、バックアップであるパケット中継装置ＲＳ７が、パケット中継装置ＲＳ６の代わりに、マスタとなって、自動的に通信を受け継ぐ。パケット中継装置ＲＳ６とＲＳ７との間では、定期的に制御信号のやり取りを行い、障害が起きていないかどうか常時監視している。

これら２つのパケット中継装置ＲＳ６，ＲＳ７は、それぞれ、第１の実施例におけるパケット中継装置ＲＳ１と同様に、ＶＰＮ＃１処理部１０１ａ，ｂと、ＶＰＮ＃２処理部２０１ａ，ｂと、認証デーモンと、を備えている。なお、認証デーモンは、図面の都合上、図示を省略されている。そして、ＶＰＮ＃１処理部１０１ａ，ｂ及びＶＰＮ＃２処理部２０１ａ，ｂの構成は、第１の実施例の場合と同様であるので、それらについての説明は省略する。なお、ルーティング部１１１及びルーティング部２１１については、図面の都合上、図示を省略されている。

本実施例では、マスタであるパケット中継装置ＲＳ６において、ＶＰＮ＃１のＤＨＣＰテーブル１２２ａの登録情報とＶＰＮ＃２のＤＨＣＰテーブル２２２ａの登録情報と常に同期するようにすると共に、バックアップであるパケット中継装置ＲＳ７におけるＶＰＮ＃１のＤＨＣＰテーブル１２２ｂの登録情報とＶＰＮ＃２のＤＨＣＰテーブル２２２ｂの登録情報とも常に同期するようにする。

例えば、マスタであるパケット中継装置ＲＳ６におけるＤＨＣＰサーバ部１２１ａが、ＶＰＮ＃１において、端末にＩＰアドレスの割り当てを行う場合、ＶＰＮ＃１のＤＨＣＰテーブル１２２の登録情報を変更すると共に、それと同じ変更をＤＨＣＰサーバ部１２１を通じてＶＰＮ＃２のＤＨＣＰテーブル２２２の登録情報にも反映させる。さらに、ＤＨＣＰサーバ部１２１ａは、上記と同じ変更を、バックアップであるパケット中継装置ＲＳ７におけるＤＨＣＰサーバ部１２１ｂを通じてＶＰＮ＃１のＤＨＣＰテーブル１２２ｂの登録情報にも反映させ、ＤＨＣＰサーバ部２２１ｂを通じてＶＰＮ＃２のＤＨＣＰテーブル２２２ｂの登録情報にも反映させる。

このように、本実施例によれば、バックアップであるパケット中継装置ＲＳ７におけるＤＨＣＰテーブルの登録情報についても、同期させるようにしているため、マスタであるパケット中継装置ＲＳ６が障害を起こし、パケット中継装置ＲＳ７がマスタとなって通信を受け継いだ場合に、端末ＰＣ１の所属するＶＬＡＮが変更されても、端末はＩＰアドレスを変更することなく、通信を継続することができる。

Ｆ．変形例：
なお、本発明は上記した実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様にて実施することが可能である。

上記した実施例においては、ＶＰＮ毎にＤＨＣＰサーバ部（またはＤＨＣＰサーバ）を用意するようにしたが、本発明はこれに限定されるものではなく、ＶＰＮ毎にＤＨＣＰテーブルを管理することができるのであれば、ＤＨＣＰサーバ部（またはＤＨＣＰサーバ）をＶＰＮ毎に用意する必要はなく、１つであってもよい。

本発明の第１の実施例としての端末所属切換システムを模式的に示すブロック図である。図１におけるＶＰＮ毎のルーティングテーブルの登録例を示す説明図である。図１におけるＶＰＮ毎のＤＨＣＰテーブルの登録例を示す説明図である。図１におけるパケット中継装置ＲＳ１の処理フローを示すフローチャートである。本発明の第２の実施例としての端末所属切換システムを模式的に示すブロック図である。図５におけるパケット中継装置ＲＳ２の処理フローを示すフローチャートである。本発明の第３の実施例としての端末所属切換システムを模式的に示すブロック図である。本発明の第４の実施例としての端末所属切換システムを模式的に示すブロック図である。本発明の第５の実施例としての端末所属切換システムを模式的に示すブロック図である。認証・検疫ネットワークシステムに適用した従来の端末所属切換システムを模式的に示すブロック図である。認証ネットワークシステムに適用した従来の端末所属切換システムを模式的に示すブロック図である。

符号の説明

１１１…ルーティング部
１１１１…ルーティング部
１１１２…ルーティングテーブル
１１２…ルーティングテーブル
１１２１…ＤＨＣＰサーバ部
１１２２…ＤＨＣＰテーブル
１２１…ＤＨＣＰサーバ部
１２１ａ…ＤＨＣＰサーバ部
１２１ｂ…ＤＨＣＰサーバ部
１２２…ＤＨＣＰテーブル
１２２ａ…ＤＨＣＰテーブル
１２２ｂ…ＤＨＣＰテーブル
１３０１…認証デーモン
２１１…ルーティング部
２１２…ルーティングテーブル
２２１…ＤＨＣＰサーバ部
２２１ｂ…ＤＨＣＰサーバ部
２２２…ＤＨＣＰテーブル
２２２ａ…ＤＨＣＰテーブル
２２２ｂ…ＤＨＣＰテーブル
２２４…ＤＨＣＰテーブル
３０１…認証デーモン
ＮＷ１…検疫ネットワーク
ＮＷ２…業務ネットワーク
ＮＷ３…認証前ネットワーク
ＰＣ１…端末
ＰＣ１０…端末
ＲＳ１…パケット中継装置
ＲＳ１０…パケット中継装置
ＲＳ２…パケット中継装置
ＲＳ２０…パケット中継装置
ＲＳ３…パケット中継装置
ＲＳ４…パケット中継装置
ＲＳ５…パケット中継装置
ＲＳ６…パケット中継装置
ＲＳ７…パケット中継装置
ＳＶ１…認証サーバ
ＳＶ２…検疫サーバ
ＳＶ３…業務用サーバ

Claims

少なくとも第１及び第２のネットワークの間で端末の所属を切り換えるための端末所属切換システムであって、
前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、
前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える端末所属切換部と、
前記端末が前記第１のネットワークに所属する場合に、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第１のＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ部と、
前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第２のＤＨＣＰサーバ部と、
を備え、
前記第１及び第２のＤＨＣＰサーバ部は、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を他方のＤＨＣＰテーブル内の情報にも反映させることを特徴とする端末所属切換システム。
請求項１に記載の端末所属切換システムにおいて、
前記端末所属切換部並びに前記第１及び第２のＤＨＣＰサーバ部は、同一の装置内に含まれていることを特徴とする端末所属切換システム。
請求項１に記載の端末所属切換システムにおいて、
前記第１及び第２のＤＨＣＰサーバ部は、同一の装置内に含まれており、前記端末所属切換部は、前記装置とは異なる装置内に含まれていることを特徴とする端末所属切換システム。
請求項１に記載の端末所属切換システムにおいて、
前記第１及び第２のＤＨＣＰサーバ部は、互いに異なる装置内に含まれていることを特徴とする端末所属切換システム。
請求項３に記載の端末所属切換システムにおいて、
前記第１及び第２のＤＨＣＰサーバ部は、同じパケット中継装置内に含まれていることを特徴とする端末所属切換システム。
少なくとも第１及び第２のネットワークの間で端末の所属を切り換えるための端末所属切換システムであって、
前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、
前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える端末所属切換部と、
前記端末が前記第１のネットワークに所属する場合には、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当て、前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバ部と、
を備え、
前記ＤＨＣＰサーバ部は、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を他方のＤＨＣＰテーブル内の情報にも反映させることを特徴とする端末所属切換システム。
少なくとも第１及び第２のネットワークの間で端末の所属を切り換えるための端末所属切換システムであって、
前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、
ＶＲＲＰ（Virtual Router Redundancy Protocol）に対応した複数のパケット中継装置を備え、これらパケット中継装置のうち、
マスタとなる第１のパケット中継装置は、
前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える第１の端末所属切換部と、
前記端末が前記第１のネットワークに所属する場合に、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第１のＤＨＣＰサーバ部と、
前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第２のＤＨＣＰサーバ部と、
を備え、
バックアップとなる第２のパケット中継装置は、
前記第２のパケット中継装置がマスタとなった場合に、前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える第２の端末所属切換部と、
前記第２のパケット中継装置がマスタとなった場合であって、前記端末が前記第１のネットワークに所属する場合に、第３のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第３のＤＨＣＰサーバ部と、
前記第２のパケット中継装置がマスタとなった場合であって、前記端末が前記第２のネットワークに所属する場合には、第４のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第４のＤＨＣＰサーバ部と、
を備え、
マスタとなる前記パケット中継装置の前記第１及び第２のＤＨＣＰサーバ部は、前記第１ないし第４のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を、他方のＤＨＣＰテーブル内の情報に反映させると共に、前記第３及び第４のＤＨＣＰテーブル内の情報にも反映させることを特徴とする端末所属切換システム。
少なくとも第１及び第２のネットワークの間で所属が切り換えられる端末に対してＩＰアドレスを割り当てるパケット中継装置であって、
前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、
前記端末が前記第１のネットワークに所属する場合に、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第１のＤＨＣＰサーバ部と、
前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てる第２のＤＨＣＰサーバ部と、
を備え、
前記第１及び第２のＤＨＣＰサーバ部は、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、一方のＤＨＣＰテーブル内の情報を変更した際には、その変更を他方のＤＨＣＰテーブル内の情報にも反映させることを特徴とするパケット中継装置。
少なくとも第１及び第２のネットワークの間で所属が切り換えられる端末に対してＩＰアドレスを割り当てるパケット中継装置であって、
前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、
前記端末が前記第１のネットワークに所属する場合に、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバとの間で通信を行うことが可能であると共に、前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバ部を備え、
前記ＤＨＣＰサーバ部は、前記第１及び第２のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、前記第２のＤＨＣＰテーブル内の情報を変更した際には、その変更を前記第１のＤＨＣＰテーブル内の情報にも反映させることを特徴とするパケット中継装置。
請求項８または請求項９に記載のパケット中継装置において、
前記端末の所属するネットワークを前記第１及び第２のネットワークの間で切り換える端末所属切換部をさらに備えるパケット中継装置。
少なくとも第１及び第２のネットワークの間で所属が切り換えられる端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバであって、
前記第１及び第２のネットワークは、互いの間で通信することができない独立したＶＰＮ（Virtual Private Network）であり、別々のルーティングテーブルに基づいて別々にルーティング及びフォワーディングが行われており、
前記端末が前記第１のネットワークに所属する場合に、第１のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当てるＤＨＣＰサーバ部を備えるパケット中継装置との間で通信を行うことが可能であると共に、
前記端末が前記第２のネットワークに所属する場合には、第２のＤＨＣＰテーブル内の情報に基づいて、前記端末に対してＩＰアドレスを割り当て、
前記第１及び第２のＤＨＣＰテーブル内の情報のうち、少なくとも端末とＩＰアドレスとの対応関係を表す情報が互いに一致するように、前記第２のＤＨＣＰテーブル内の情報を変更した際には、その変更を前記第１のＤＨＣＰテーブル内の情報にも反映させることを特徴とするＤＨＣＰサーバ。