JP4881672B2

JP4881672B2 - Communication device and communication control program

Info

Publication number: JP4881672B2
Application number: JP2006209084A
Authority: JP
Inventors: 敦史仲野; 範彦二反田; 章松崎
Original assignee: Panasonic Corp; Matsushita Electric Works Ltd
Current assignee: Panasonic Corp; Panasonic Electric Works Co Ltd
Priority date: 2006-07-31
Filing date: 2006-07-31
Publication date: 2012-02-22
Anticipated expiration: 2026-07-31
Also published as: JP2008033831A

Description

本発明は、ネットワーク接続時に端末にユーザ認証を行い、認証サーバによって認証された端末によって送受信される通信データを中継する通信装置及び通信制御プログラムに関する。 The present invention relates to a communication apparatus and a communication control program for performing user authentication on a terminal when connected to a network and relaying communication data transmitted and received by a terminal authenticated by an authentication server.

従来より、正当な権限を有するユーザのみがネットワークにアクセスすることを管理する技術としては、下記の特許文献１や特許文献２に記載された技術が知られている。 Conventionally, techniques described in Patent Document 1 and Patent Document 2 below are known as techniques for managing access to a network by only a user having a legitimate authority.

下記の特許文献１には、ＰＨＳ（Personal Handyphone System）通信システムにおけるＰＨＳ子機をＰＨＳ親機で管理するために、ＰＨＳ子機の発信時に、ＰＨＳ子機からＰＨＳ親機にＩＤを送信して、当該ＰＨＳ親機によってＩＤが、事前に登録されているＩＤであるか否かを認証することが記載されている。 In Patent Document 1 below, in order to manage a PHS slave unit in a PHS (Personal Handyphone System) communication system with the PHS master unit, an ID is transmitted from the PHS slave unit to the PHS master unit when the PHS slave unit originates. The PHS master unit authenticates whether the ID is an ID registered in advance.

また、下記の特許文献２には、無線接続制御装置に無線端末のＭＡＣ（Media Access Control）アドレスを登録しておき、無線端末からパケットを無線接続制御装置で受信すると、受信したパケットに含まれるＭＡＣアドレスと予め登録されたＭＡＣアドレスとを比較して、接続の可否を判断することが記載されている。 Also, in Patent Document 2 below, when a MAC (Media Access Control) address of a wireless terminal is registered in the wireless connection control device and a packet is received from the wireless terminal by the wireless connection control device, it is included in the received packet. The document describes that a MAC address and a previously registered MAC address are compared to determine whether or not connection is possible.

更に、近年においては、認証サーバで端末をユーザ認証させるためのＩＥＥＥ（The Institute of Electrical and Electronics Engineers）８０２．１ｘサプリカント（認証クライアントソフトウェア）を汎用のＯＳ（Operation System）に付属させ、当該ＩＥＥＥ８０２．１ｘサプリカントと、同じくＩＥＥＥ８０２．１ｘに対応したＬＡＮ（Local Area Network）スイッチ等のアクセスポイント（認証装置）と、ＲＡＤＩＵＳ（Remote Authentication Dial-In-User-Service）サーバ等の認証サーバとによって、端末のユーザ認証ができるようになっている。 Further, in recent years, an IEEE (The Institute of Electrical and Electronics Engineers) 802.1x supplicant (authentication client software) for authenticating a user with a authentication server is attached to a general-purpose OS (Operation System), and the IEEE 802 A 1x supplicant, an access point (authentication device) such as a LAN (Local Area Network) switch that also supports IEEE 802.1x, and an authentication server such as a RADIUS (Remote Authentication Dial-In-User-Service) server, User authentication of the terminal can be performed.

具体的には、ＩＥＥＥ８０２．１ｘに準拠したＬＡＮスイッチに端末が接続された場合に、ＬＡＮスイッチから端末に認証情報の返信を要求するリクエストパケットを送信し、当該端末のＩＥＥＥ８０２．１ｘサプリカントからＬＡＮスイッチに認証情報を送信して、当該認証情報をＬＡＮスイッチからＲＡＤＩＵＳサーバに送信する。そして、ＲＡＤＩＵＳサーバによって、認証が許可された場合にはＬＡＮスイッチを介した端末の通信を許可し、認証が失敗した場合にはＬＡＮスイッチを介した端末の通信を禁止している。このように、ＩＥＥＥ８０２．１ｘサプリカントとＬＡＮスイッチとＲＡＤＩＵＳサーバとによる認証プロセスは、ＬＡＮスイッチによって端末が接続されたことを検知した場合に、ＬＡＮスイッチがリクエストパケットを送信することによって開始されていた。
特開２００１−１６６４６号公報特開２００６−７４６８０号公報 Specifically, when a terminal is connected to a LAN switch compliant with IEEE 802.1x, a request packet for requesting a return of authentication information is transmitted from the LAN switch to the terminal, and the IEEE 802.1x supplicant of the terminal Authentication information is transmitted to the switch, and the authentication information is transmitted from the LAN switch to the RADIUS server. If the authentication is permitted by the RADIUS server, the communication of the terminal via the LAN switch is permitted, and if the authentication fails, the communication of the terminal via the LAN switch is prohibited. As described above, the authentication process by the IEEE 802.1x supplicant, the LAN switch, and the RADIUS server was started by transmitting a request packet when the LAN switch detects that the terminal is connected. .
JP 2001-16646 A JP 2006-74680 A

しかしながら、上述の認証プロセスにおいて、ＩＥＥＥ８０２．１ｘサプリカントは、自ら認証スタートパケットを送信しないために、ＬＡＮスイッチの配下にハブやスイッチ等の中継装置を介して端末が接続された場合には、ＬＡＮスイッチによる認証プロセスが開始されない。 However, in the above-described authentication process, the IEEE 802.1x supplicant does not transmit an authentication start packet by itself, so when a terminal is connected via a relay device such as a hub or switch under the LAN switch, The authentication process by the switch does not start.

これに対し、ＬＡＮスイッチを、定期的にＩＥＥＥ８０２．１ｘに準拠したリクエストパケットをマルチキャストで送信するように構成したり、端末からのＩＰパケットをＬＡＮスイッチで受信する度に、当該ＩＰパケットに含まれるＭＡＣアドレスを宛先としてＩＥＥＥ８０２．１ｘのリクエストパケットを送信していた。 On the other hand, every time a LAN switch is configured to periodically send a request packet conforming to IEEE802.1x by multicast or an IP packet from a terminal is received by the LAN switch, it is included in the IP packet. An IEEE802.1x request packet was transmitted with the MAC address as the destination.

しかしながら、定期的にリクエストパケットを送信するようにＬＡＮスイッチを構成した場合には、リクエストパケットの送信間隔を長くすると、端末がリクエストパケットを受信するまでの待ち時間がながくなって、端末がＬＡＮスイッチに接続されたにも拘わらずＲＡＤＩＵＳサーバによる認証が行われないという問題がある。また、マルチキャストするリクエストパケットの送信間隔を短くすると、一度認証された端末に対してもリクエストパケットを送信してしまうことによって常に認証プロセスを行い続けるために、ＬＡＮスイッチにおけるＣＰＵの処理負荷が大きく、且つＲＡＤＩＵＳサーバへも大量の認証結果ログが蓄積されてしまう問題がある。 However, when the LAN switch is configured to periodically transmit request packets, if the request packet transmission interval is lengthened, there is no waiting time until the terminal receives the request packet, and the terminal However, there is a problem that authentication by the RADIUS server is not performed despite being connected to. In addition, if the transmission interval of request packets to be multicast is shortened, the processing load of the CPU in the LAN switch is large in order to always perform the authentication process by transmitting the request packet even to a terminal once authenticated, In addition, there is a problem that a large amount of authentication result logs are accumulated in the RADIUS server.

また、端末からＩＰパケットを受信する度にＬＡＮスイッチからリクエストパケットを送信する場合には、端末の通信が発生する度に認証プロセスを行い続けるために、ＬＡＮスイッチの処理負荷の増大する問題、ＲＡＤＩＵＳサーバへ大量の認証結果ログが蓄積される問題があった。 In addition, when a request packet is transmitted from the LAN switch every time an IP packet is received from the terminal, the authentication process continues to be performed every time the terminal communication occurs, which increases the processing load of the LAN switch. There was a problem that a large amount of authentication result logs were accumulated on the server.

そこで、本発明は、上述した実情に鑑みて提案されたものであり、所定の認証プロセスによって端末を認証できない場合であっても、処理負荷の増大等を招くことなく当該端末を認証することができる通信装置及び通信制御プログラムを提供することを目的とする。 Therefore, the present invention has been proposed in view of the above-described circumstances, and even when a terminal cannot be authenticated by a predetermined authentication process, the terminal can be authenticated without causing an increase in processing load or the like. An object of the present invention is to provide a communication device and a communication control program.

本発明は、一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置において、前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、前記アドレステーブルは、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有し、端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末に認証情報を返送するリクエストを供給することによって当該端末の認証情報を取得して、当該認証情報に基づく認証処理を前記認証サーバに行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する。 The present invention relates to communication data transmitted from a terminal in a communication device connected to a network to which one or a plurality of authentication target terminals are connected and an authentication server that performs authentication processing of the terminals is connected. An address table for registering addresses contained therein, comprising an address table for registering addresses of terminals authenticated by the authentication server based on authentication information of the terminals, wherein the address table is a terminal authenticated by an authentication server If the address included in the communication data is not registered in the first address table and the address included in the first address table is the address of the terminal that has not been authenticated by the authentication server It has a second address table to be registered and the communication sent from the terminal When the data includes an address registered in the second address table, the authentication information of the terminal is obtained by supplying a request for returning the authentication information to the terminal having the address, and the authentication When the authentication server is caused to perform authentication processing based on information, and as a result of the authentication processing by the authentication server, communication of the terminal is permitted, the address of the terminal is registered in the first address table and the first address table is registered. 2 is deleted from the address table .

更に、本発明を適用した他の通信装置は、一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置において、前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、前記アドレステーブルは、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有し、端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成し、この認証情報を前記認証サーバに供給して認証処理を行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する。 Furthermore, another communication device to which the present invention is applied is a communication device connected to a network to which one or a plurality of terminals to be authenticated is connected and to which an authentication server that performs authentication processing of the terminal is connected. an address table for registering address included in the communication data transmitted from the terminal, an address table for registering addresses of the terminals that have been authenticated by the authentication server based on the authentication information of the terminal, the address table The first address table for registering the address of the terminal authenticated by the authentication server, and when the address included in the communication data is not registered in the first address table, the address is authenticated by the authentication server. Second address table registered as an address of a terminal that has not been processed And when the communication data transmitted from the terminal includes an address registered in the second address table, the authentication information of the terminal is generated on behalf of the terminal having the address, When authentication information is supplied to the authentication server to perform authentication processing and, as a result of the authentication processing by the authentication server, communication of the terminal is permitted, the address of the terminal is registered in the first address table. At the same time, it is deleted from the second address table .

本発明を適用した通信制御プログラムは、一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置のコンピュータに記憶される通信制御プログラムであって、前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルであって、前記認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有する前記アドレステーブルを作成する機能と、端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末に認証情報を返送するリクエストを供給することによって当該端末の認証情報を取得して、当該認証情報に基づく認証処理を前記認証サーバに行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する機能とを前記通信装置のコンピュータに実現させる。 A communication control program to which the present invention is applied is stored in a computer of a communication device connected to a network to which one or a plurality of authentication target terminals are connected and an authentication server that performs authentication processing of the terminals is connected. A communication control program for registering an address included in communication data transmitted from the terminal, wherein the address of the terminal authenticated by the authentication server is registered based on authentication information of the terminal A first address table for registering an address of a terminal authenticated by the authentication server, and an address included in communication data when the address included in the communication data is not registered in the first address table. Registered as the address of a terminal that has not been authenticated by the authentication server A function of generating the address table having a second address table that, if it contains the transmitted address registered in the second address table in the communication data from the terminal, the terminal having the address The authentication information of the terminal is acquired by supplying a request for returning authentication information, and the authentication server is caused to perform authentication processing based on the authentication information. As a result of the authentication processing by the authentication server, communication of the terminal is performed. In the case of permitting, the function of registering the address of the terminal in the first address table and deleting it from the second address table is realized in the computer of the communication apparatus.

また、本発明を適用した他の通信制御プログラムは、一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置のコンピュータに記憶される通信制御プログラムであって、前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルであって、前記認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有する前記アドレステーブルを作成する機能と、端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成し、この認証情報を前記認証サーバに供給して認証処理を行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する機能とを前記通信装置のコンピュータに実現させる。

In addition, another communication control program to which the present invention is applied is a communication apparatus connected to a network to which an authentication server for performing authentication processing of the terminal is connected as well as one or a plurality of authentication processing target terminals. A communication control program stored in a computer, an address table for registering addresses included in communication data transmitted from the terminal, the terminal being authenticated by the authentication server based on authentication information of the terminal An address table for registering an address , the first address table for registering the address of the terminal authenticated by the authentication server, and the address included in the communication data is not registered in the first address table , The address of the terminal that has not been authenticated by the authentication server And the ability to create the address table having a second address table for registering, if it contains the transmitted address registered in the second address table in the communication data from the terminal, the address When generating authentication information of the terminal itself on behalf of the terminal having it, supplying the authentication information to the authentication server to perform authentication processing, and permitting communication of the terminal as a result of the authentication processing by the authentication server The function of registering the address of the terminal in the first address table and deleting it from the second address table is realized in the computer of the communication device.

本発明に係る通信装置によれば、端末の認証情報に基づいて認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、端末から受信した通信データに含まれるアドレスがアドレステーブルに登録されていない場合に、当該アドレスを有する端末から認証情報を取得し、当該認証情報に基づく認証処理を認証サーバに行わせることができるので、端末が自ら認証情報を送信しなく所定の認証プロセスによって端末を認証できない場合であっても、処理負荷の増大等を招くことなく当該端末を認証することができる。 The communication device according to the present invention includes an address table for registering the address of the terminal authenticated by the authentication server based on the authentication information of the terminal, and the address included in the communication data received from the terminal is registered in the address table. If the authentication information is acquired from the terminal having the address and the authentication server is allowed to perform authentication processing based on the authentication information, the terminal does not transmit the authentication information by itself and the terminal performs a predetermined authentication process. Even if the authentication cannot be performed, the terminal can be authenticated without increasing the processing load.

また、この通信装置によれば、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、認証サーバによって認証処理がされていない端末のアドレスを登録する第２のアドレステーブルを備え、端末から送信された通信データに第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末の認証情報を取得し、当該認証情報に基づく認証処理を認証サーバに行わせることができるので、端末が自ら認証情報を送信しなく所定の認証プロセスによって端末を認証できない場合であっても、処理負荷の増大等を招くことなく当該端末を認証することができる。 In addition, according to this communication apparatus, the first address table for registering the address of the terminal authenticated by the authentication server and the second address table for registering the address of the terminal that has not been authenticated by the authentication server are provided. When the communication data transmitted from the terminal includes the address registered in the second address table, the authentication information of the terminal having the address is acquired, and the authentication process based on the authentication information is performed on the authentication server. Therefore, even if the terminal does not transmit authentication information by itself and cannot authenticate the terminal by a predetermined authentication process, the terminal can be authenticated without causing an increase in processing load.

更に、本発明を適用した他の通信装置によれば、認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、端末から通信データを受信した場合に、当該通信データに含まれるアドレスがアドレステーブルに登録されていない場合には、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成して認証サーバに認証処理を行わせることができるので、所定の認証プロセスを行うことができない端末であっても、当該端末を認証させることができる。 Furthermore, according to another communication apparatus to which the present invention is applied, an address table for registering the address of the terminal authenticated by the authentication server is provided, and when communication data is received from the terminal, the address included in the communication data is If it is not registered in the address table, it can generate authentication information of the terminal itself on behalf of the terminal having the address and cause the authentication server to perform the authentication process. Even a terminal that cannot be authenticated can be authenticated.

また、この通信装置によれば、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、認証サーバによって認証処理がされていない端末のアドレスを登録する第２のアドレステーブルを備え、端末から送信された通信データに第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成するので、所定の認証プロセスを行うことができない端末であっても、当該端末を認証させることができる。 In addition, according to this communication apparatus, the first address table for registering the address of the terminal authenticated by the authentication server and the second address table for registering the address of the terminal that has not been authenticated by the authentication server are provided. When the communication data transmitted from the terminal includes an address registered in the second address table, the terminal generates the authentication information for the terminal on behalf of the terminal having the address. Even a terminal that cannot perform a process can be authenticated.

本発明を適用した通信制御プログラムによれば、通信装置のコンピュータに、端末の認証情報に基づいて認証サーバによって認証された端末のアドレスを登録するアドレステーブルを作成する機能を実現し、更に、端末から送信された通信データに含まれるアドレスがアドレステーブルに登録されていない場合に、当該アドレスを有する端末の認証情報を取得して認証サーバに認証処理を行わせることができるので、端末が自ら認証情報を送信しなく所定の認証プロセスによって端末を認証できない場合であっても、処理負荷の増大等を招くことなく当該端末を認証することができる。 According to the communication control program to which the present invention is applied, the function of creating an address table for registering the address of the terminal authenticated by the authentication server based on the authentication information of the terminal is realized in the computer of the communication apparatus. When the address included in the communication data sent from the server is not registered in the address table, the authentication information of the terminal having the address can be acquired and the authentication server can perform the authentication process. Even when the terminal cannot be authenticated by a predetermined authentication process without transmitting information, the terminal can be authenticated without increasing the processing load.

また、本発明を適用した他の通信制御プログラムによれば、通信装置のコンピュータに、認証サーバによって認証された端末のアドレスを登録するアドレステーブルを作成する機能を実現し、端末から通信データを受信した場合に、当該通信データに含まれるアドレスがアドレステーブルに登録されていない場合には、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成して認証サーバに認証処理を行わせることができるので、所定の認証プロセスを行うことができない端末であっても、当該端末を認証させることができる。 Further, according to another communication control program to which the present invention is applied, the function of creating an address table for registering the address of the terminal authenticated by the authentication server is realized in the computer of the communication apparatus, and communication data is received from the terminal. If the address included in the communication data is not registered in the address table, the terminal having the address is represented on its behalf and authentication information of the terminal is generated and the authentication server performs the authentication process. Therefore, even a terminal that cannot perform a predetermined authentication process can be authenticated.

以下、本発明の実施の形態について図面を参照して説明する。 Hereinafter, embodiments of the present invention will be described with reference to the drawings.

本発明は、例えば図１に示すような通信システムにおけるＬＡＮスイッチ１（通信装置）に適用される。この通信システムは、ＬＡＮスイッチ１を介して端末３Ａ，３Ｂ，３Ｃ（以下、総称する場合には単に「端末３」と呼ぶ。）がネットワークＮＷに通信を行う場合に、ＬＡＮスイッチ１及びＲＡＤＩＵＳサーバ２によって端末３を認証するものである。この通信システムは、例えばＩＥＥＥ８０２．１ｘ規格に準拠した認証プロセスを行うものであり、端末３Ａ，３Ｂ，３Ｃが認証クライアント(認証処理対象）となり、ＬＡＮスイッチ１が認証装置となり、ＲＡＤＩＵＳサーバ２が認証サーバとなる。 The present invention is applied to, for example, a LAN switch 1 (communication device) in a communication system as shown in FIG. This communication system includes a LAN switch 1 and a RADIUS server when terminals 3A, 3B, and 3C (hereinafter simply referred to as “terminal 3” when collectively referred to) communicate with a network NW via the LAN switch 1. 2 authenticates the terminal 3. This communication system performs an authentication process compliant with, for example, the IEEE 802.1x standard. The terminals 3A, 3B, and 3C are authentication clients (authentication processing targets), the LAN switch 1 is an authentication device, and the RADIUS server 2 is authenticated. Become a server.

ＬＡＮスイッチ１は、ネットワークＮＷを介してＲＡＤＩＵＳサーバ２と接続されると共に、端末３と接続されている。端末３Ａは、ＬＡＮスイッチ１に直接接続され、端末３Ｂは、スイッチングハブ４Ａを介して間接的にＬＡＮスイッチ１に接続され、端末３Ｃは、スイッチングハブ４Ｂを介して間接的にＬＡＮスイッチ１に接続されている。 The LAN switch 1 is connected to the RADIUS server 2 and the terminal 3 via the network NW. The terminal 3A is directly connected to the LAN switch 1, the terminal 3B is indirectly connected to the LAN switch 1 via the switching hub 4A, and the terminal 3C is indirectly connected to the LAN switch 1 via the switching hub 4B. Has been.

ＩＥＥＥ８０２．１ｘに準拠した認証プロセスを行うために、端末３Ａ，３ＢはＩＥＥＥ８０２．１ｘサプリカントがインストールされ、ＬＡＮスイッチ１と、ＲＡＤＩＵＳサーバ２とは、それぞれ、ＩＥＥＥ８０２．１ｘに準拠したプログラムがインストールされている。また、端末３Ｃは、ＩＥＥＥ８０２．１ｘサプリカントがインストールされていないものとする。 In order to perform an authentication process compliant with IEEE802.1x, the terminals 3A and 3B are installed with an IEEE802.1x supplicant, and the LAN switch 1 and the RADIUS server 2 are installed with programs compliant with IEEE802.1x, respectively. ing. Also, assume that the terminal 3C does not have an IEEE 802.1x supplicant installed.

このＩＥＥＥ８０２．１ｘに準拠した認証プロセスについて説明する。通常、ＩＥＥＥ８０２．１ｘの認証プロセスは、ＬＡＮスイッチ１に直接的に端末３Ａが接続されたことをＬＡＮスイッチ１で検知すると、ＬＡＮスイッチ１から端末３Ａに認証情報の返信を要求する認証リクエストパケットを送信することによって開始される。 An authentication process compliant with IEEE 802.1x will be described. Normally, when the IEEE 802.1x authentication process detects that the terminal 3A is directly connected to the LAN switch 1, the LAN switch 1 sends an authentication request packet requesting the terminal 3A to return authentication information. Start by sending.

端末３Ａは、ＬＡＮスイッチ１から認証リクエストパケットを受信すると、当該認証リクエストパケットに応答して、ユーザＩＤ、パスワード、電子証明書等の認証情報を含む認証スタートパケットをＬＡＮスイッチ１に返信する。ＬＡＮスイッチ１は、端末３Ａから認証情報を取得すると、当該認証情報をＲＡＤＩＵＳサーバ２に送信して、ＲＡＤＩＵＳサーバ２で認証を行わせる。このとき、ＲＡＤＩＵＳサーバ２は、予め登録されている端末３Ａの認証情報と、ＬＡＮスイッチ１から送信された認証情報とが合致するか否かを判定して、合致する場合には端末３Ａの通信を許可する認証結果をＬＡＮスイッチ１に返信する。この認証結果によって端末３Ａの通信が許可された場合には、ＬＡＮスイッチ１は、以降において端末３Ａから送信されたパケット（通信データ）の中継を行い、認証結果によって端末３Ａの通信が許可されなかった場合には、以降において端末３Ａから送信されたパケットを破棄する。これによって、ＬＡＮスイッチ１は、ＲＡＤＩＵＳサーバ２によってユーザ認証された端末３のみをネットワークＮＷに対してアクセス可能とする。 Upon receiving the authentication request packet from the LAN switch 1, the terminal 3A returns an authentication start packet including authentication information such as a user ID, a password, and an electronic certificate to the LAN switch 1 in response to the authentication request packet. When acquiring the authentication information from the terminal 3A, the LAN switch 1 transmits the authentication information to the RADIUS server 2 so that the RADIUS server 2 performs authentication. At this time, the RADIUS server 2 determines whether or not the authentication information of the terminal 3A registered in advance matches the authentication information transmitted from the LAN switch 1, and if they match, the communication of the terminal 3A is performed. An authentication result permitting the authentication is sent back to the LAN switch 1. When the communication of the terminal 3A is permitted based on the authentication result, the LAN switch 1 subsequently relays the packet (communication data) transmitted from the terminal 3A, and the communication of the terminal 3A is not permitted based on the authentication result. If the packet is received, the packet transmitted from the terminal 3A is discarded thereafter. As a result, the LAN switch 1 allows only the terminal 3 that has been authenticated by the RADIUS server 2 to access the network NW.

スイッチングハブ４Ａ，４Ｂは、所謂ノンインテリジェントハブであり、ＳＮＭＰ（Simple Network Management Protocol）エージェントの機能を有しておらず、遠隔からのネットワーク管理に対応していないものである。すなわち、スイッチングハブ４Ａ，４Ｂは、当該ハブを流れるデータに関する情報をＳＮＭＰマネージャに送信したり、ＳＮＭＰマネージャの要求に従ってデータを制御することができない。したがって、スイッチングハブ４Ａ，４Ｂは、喩えＬＡＮスイッチ１がＳＮＭＰマネージャの機能を有していても、自己に接続されている端末３Ｂ，３Ｃの情報をＬＡＮスイッチ１に通知することはできない。 The switching hubs 4A and 4B are so-called non-intelligent hubs that do not have SNMP (Simple Network Management Protocol) agent functions and do not support remote network management. That is, the switching hubs 4A and 4B cannot transmit information related to data flowing through the hub to the SNMP manager or control data according to a request from the SNMP manager. Therefore, the switching hubs 4A and 4B cannot notify the LAN switch 1 of the information of the terminals 3B and 3C connected to the switching hubs 4A and 4B, even if the LAN switch 1 has the SNMP manager function.

このようなスイッチングハブ４Ａに接続された端末３Ｂは、ＩＥＥＥ８０２．１ｘサプリカントがインストールされていても、既にスイッチングハブ４ＡがＬＡＮスイッチ１に接続された状態で、スイッチングハブ４Ａに接続された場合には、ＬＡＮスイッチ１によって新たな端末３Ｂが接続されたことが検知されないために、ＬＡＮスイッチ１から認証リクエストパケットを送信することはできない。 When the terminal 3B connected to the switching hub 4A is connected to the switching hub 4A with the switching hub 4A already connected to the LAN switch 1 even if the IEEE 802.1x supplicant is installed. Since it is not detected by the LAN switch 1 that a new terminal 3B has been connected, the authentication request packet cannot be transmitted from the LAN switch 1.

また、ＬＡＮスイッチ１には、ＩＥＥＥ８０２．１ｘサプリカントがインストールされていない端末３Ｃが接続された場合には、当該端末３Ｃに認証リクエストパケットを送信しても、当該端末３Ｃからは認証情報を含む認証スタートパケットを受信することができない。 In addition, when a terminal 3C in which no IEEE 802.1x supplicant is installed is connected to the LAN switch 1, even if an authentication request packet is transmitted to the terminal 3C, the terminal 3C includes authentication information. An authentication start packet cannot be received.

これに対し、ＬＡＮスイッチ１は、スイッチングハブ４Ａを介して接続された端末３Ｂ、及び、ＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃの認証を行う構成を備えている。 On the other hand, the LAN switch 1 has a configuration for authenticating the terminal 3B connected via the switching hub 4A and the terminal 3C not mounted with the IEEE 802.1x supplicant.

ＬＡＮスイッチ１は、図２に示すように、通信制御部１１と、ＲＡＤＩＵＳサーバ２によって認証済の端末３のＭＡＣアドレスを登録した認証済端末アドレステーブル（第１のアドレステーブル）１２と、ＲＡＤＩＵＳサーバ２によって未認証の端末３のＭＡＣアドレスを登録した未認証端末アドレステーブル（第２のアドレステーブル）１３とを備える。また、ＬＡＮスイッチ１は、端末３が直接的又は端末３がスイッチングハブ４を介して間接的に接続されるポート番号が「１」〜「６」の複数のポートＰ１〜Ｐ６と、ネットワークＮＷ側のポート番号が「７」〜「１２」の複数のポートＰ７〜Ｐ１２とを有する。ＬＡＮスイッチ１は、認証済端末アドレステーブル１２を参照して、端末３で送受信されるパケットがポートＰ１〜Ｐ６とポートＰ７〜Ｐ１２との間で通信されることの可否を制御する。 As shown in FIG. 2, the LAN switch 1 includes a communication control unit 11, an authenticated terminal address table (first address table) 12 in which the MAC address of the terminal 3 authenticated by the RADIUS server 2 is registered, and a RADIUS server. 2 and an unauthenticated terminal address table (second address table) 13 in which MAC addresses of unauthenticated terminals 3 are registered. Further, the LAN switch 1 includes a plurality of ports P1 to P6 with port numbers “1” to “6” to which the terminal 3 is directly connected or indirectly connected to the terminal 3 via the switching hub 4, and the network NW side. And a plurality of ports P7 to P12 having port numbers “7” to “12”. The LAN switch 1 refers to the authenticated terminal address table 12 and controls whether packets transmitted and received by the terminal 3 can be communicated between the ports P1 to P6 and the ports P7 to P12.

認証済端末アドレステーブル１２は、図３に示すように、ＲＡＤＩＵＳサーバ２によって認証済であって通信が許可された端末３のＭＡＣアドレスと、当該ＭＡＣアドレスを有する端末３が接続された図２に示すＬＡＮスイッチ１のポート番号とを対応付けしている。認証済端末アドレステーブル１２は、認証プロセスによって作成され、端末３で送受信されるパケットをＬＡＮスイッチ１で受信した場合に、通信制御部１１によって参照される。 As shown in FIG. 3, the authenticated terminal address table 12 is shown in FIG. 2 in which the MAC address of the terminal 3 authenticated by the RADIUS server 2 and allowed to communicate with the terminal 3 having the MAC address is connected. The port number of the LAN switch 1 shown in FIG. The authenticated terminal address table 12 is created by an authentication process, and is referred to by the communication control unit 11 when a packet transmitted / received by the terminal 3 is received by the LAN switch 1.

未認証端末アドレステーブル１３は、ＬＡＮスイッチ１及びＲＡＤＩＵＳサーバ２によって認証プロセスが未だ行われていない未認証の端末３のＭＡＣアドレスと、当該ＭＡＣアドレスを有する端末３が接続された図２に示すＬＡＮスイッチ１のポート番号とを対応付けしている。未認証端末アドレステーブル１３は、端末３からのパケット受信時に作成され、予め設定した所定期間ごとに通信制御部１１によって参照される。 The unauthenticated terminal address table 13 includes the MAC address of the unauthenticated terminal 3 that has not been authenticated by the LAN switch 1 and the RADIUS server 2 and the LAN 3 shown in FIG. 2 to which the terminal 3 having the MAC address is connected. The port number of the switch 1 is associated. The unauthenticated terminal address table 13 is created when a packet is received from the terminal 3, and is referred to by the communication control unit 11 every predetermined period set in advance.

通信制御部１１は、プログラムを記憶したプログラム用メモリ及び当該プログラムを読み込んで実行するＣＰＵ（Central Processing Unit）等からなる。通信制御部１１が記憶・実行するプログラムは、認証プロセスによって認証済端末アドレステーブル１２を作成する認証プログラム２１と、端末３で送受信されるパケットを認証済端末アドレステーブル１２を参照して中継すると共に未認証端末アドレステーブル１３及び端末３の認証情報を作成する中継／テーブル作成プログラム２２とからなる。これら認証プログラム２１及び中継／テーブル作成プログラム２２は、通信制御部１１のＣＰＵ（コンピュータ）に、端末３をＲＡＤＩＵＳサーバ２でユーザ認証させる機能、認証済端末アドレステーブル１２と未認証端末アドレステーブル１３と認証情報とを作成させる機能、端末３で送受信されるパケットを中継又は破棄する機能を実現させる。 The communication control unit 11 includes a program memory that stores a program and a CPU (Central Processing Unit) that reads and executes the program. A program stored and executed by the communication control unit 11 is an authentication program 21 that creates an authenticated terminal address table 12 through an authentication process, and relays packets transmitted and received by the terminal 3 with reference to the authenticated terminal address table 12. It comprises an unauthenticated terminal address table 13 and a relay / table creation program 22 for creating authentication information of the terminal 3. The authentication program 21 and the relay / table creation program 22 have a function of causing the CPU (computer) of the communication control unit 11 to perform user authentication of the terminal 3 with the RADIUS server 2, an authenticated terminal address table 12 and an unauthenticated terminal address table 13. A function of creating authentication information and a function of relaying or discarding packets transmitted and received by the terminal 3 are realized.

中継／テーブル作成プログラム２２は、端末３からパケットを受信した場合に、認証済端末アドレステーブル１２を参照して、当該受信したパケットに認証済端末アドレステーブル１２に登録されたＭＡＣアドレスが含まれている場合には当該パケットの中継を行い、認証済端末アドレステーブル１２に登録されたＭＡＣアドレスが含まれていない場合には、当該ＭＡＣアドレスを未認証端末アドレステーブル１３に登録する。 When the relay / table creation program 22 receives a packet from the terminal 3, the relay / table creation program 22 refers to the authenticated terminal address table 12, and the received packet includes the MAC address registered in the authenticated terminal address table 12. If the MAC address registered in the authenticated terminal address table 12 is not included, the MAC address is registered in the unauthenticated terminal address table 13.

認証プログラム２１は、認証プロセスによってＲＡＤＩＵＳサーバ２によって認証された端末３のアドレスを登録する認証済端末アドレステーブル１２を作成する。認証プログラム２１は、端末３から送信されたパケットに含まれるＭＡＣアドレスが認証済端末アドレステーブル１２に登録されていない場合に、当該ＭＡＣアドレスを有する端末３に認証情報を返送する認証リクエストパケットを供給して、端末３の認証情報を取得し、当該認証情報に基づく認証処理をＲＡＤＩＵＳサーバ２に行わせ、当該ＲＡＤＩＵＳサーバ２による認証処理の結果、当該端末３の通信を許可する場合には、当該端末３のアドレスを認証済端末アドレステーブル１２に登録する。これにより、ＬＡＮスイッチ１は、スイッチングハブ４を介して端末３Ｂが接続されていて、端末３Ｂが自ら認証情報を送信しない場合であっても、当該端末３Ｂからパケットを受信した時に、当該パケットに含まれるＭＡＣアドレス宛に認証リクエストパケットを送信して、端末３Ｂから認証スタートパケットに含まれる認証情報を取得することができる。 The authentication program 21 creates an authenticated terminal address table 12 for registering the address of the terminal 3 authenticated by the RADIUS server 2 by the authentication process. The authentication program 21 supplies an authentication request packet for returning authentication information to the terminal 3 having the MAC address when the MAC address included in the packet transmitted from the terminal 3 is not registered in the authenticated terminal address table 12. Then, the authentication information of the terminal 3 is acquired, the authentication process based on the authentication information is performed by the RADIUS server 2, and when the communication of the terminal 3 is permitted as a result of the authentication process by the RADIUS server 2, The address of the terminal 3 is registered in the authenticated terminal address table 12. Thereby, even when the terminal 3B is connected via the switching hub 4 and the terminal 3B does not transmit the authentication information by itself, the LAN switch 1 receives the packet from the terminal 3B. The authentication request packet can be transmitted to the included MAC address, and the authentication information included in the authentication start packet can be acquired from the terminal 3B.

また、認証プログラム２１は、端末３から送信されたパケットに未認証端末アドレステーブル１３に登録されたＭＡＣアドレスが含まれている場合に、当該ＭＡＣアドレスを有する端末３に認証情報を返送する認証リクエストパケットを供給することによって当該端末３の認証情報を取得して、当該認証情報に基づく認証処理をＲＡＤＩＵＳサーバ２に行わせ、当該ＲＡＤＩＵＳサーバ２による認証処理の結果、当該端末３の通信を許可する場合には、当該端末３のＭＡＣアドレスを認証済端末アドレステーブル１２に登録すると共に未認証端末アドレステーブル１３から削除する。これによって、認証プログラム２１は、スイッチングハブ４Ａを介して接続された端末３Ｂに対して認証リクエストパケットを送信することによって当該端末３Ｂから認証スタートパケットを取得できる。 The authentication program 21 returns an authentication request to the terminal 3 having the MAC address when the MAC address registered in the unauthenticated terminal address table 13 is included in the packet transmitted from the terminal 3. The authentication information of the terminal 3 is acquired by supplying the packet, and the RADIUS server 2 performs authentication processing based on the authentication information. As a result of the authentication processing by the RADIUS server 2, the communication of the terminal 3 is permitted. In this case, the MAC address of the terminal 3 is registered in the authenticated terminal address table 12 and deleted from the unauthenticated terminal address table 13. Thereby, the authentication program 21 can acquire an authentication start packet from the terminal 3B by transmitting an authentication request packet to the terminal 3B connected via the switching hub 4A.

更に、認証プログラム２１は、ＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃから送信されたパケットを受信した場合であって、当該パケットに含まれるＭＡＣアドレスが認証済端末アドレステーブル１２に登録されていない場合に、中継／テーブル作成プログラム２２で生成した認証情報をＲＡＤＩＵＳサーバ２に送信する。そして、ＲＡＤＩＵＳサーバ２による認証処理の結果、当該端末３Ｃの通信を許可する場合には、当該端末３ＣのＭＡＣアドレスを認証済端末アドレステーブル１２に登録する。これにより、ＬＡＮスイッチ１は、ＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃが接続されている場合であっても、当該端末３Ｃから送信されたパケットから端末３Ｃの認証情報を作成して、端末３Ｃに代理して認証プロセスを行うことができる。 Further, the authentication program 21 receives a packet transmitted from the terminal 3C not equipped with the IEEE 802.1x supplicant, and the MAC address included in the packet is registered in the authenticated terminal address table 12. If not, the authentication information generated by the relay / table creation program 22 is transmitted to the RADIUS server 2. As a result of the authentication process by the RADIUS server 2, when the communication of the terminal 3C is permitted, the MAC address of the terminal 3C is registered in the authenticated terminal address table 12. As a result, the LAN switch 1 creates the authentication information of the terminal 3C from the packet transmitted from the terminal 3C, even when the terminal 3C not mounting the IEEE 802.1x supplicant is connected. The authentication process can be performed on behalf of the terminal 3C.

更にまた、認証プログラム２１は、ＭＡＣアドレスを含むパケットを解析して、端末３の認証情報を自ら作成する。例えば、端末３Ｃから取得したパケットを解析した結果としてのＭＡＣアドレスやＩＰアドレスを、端末３Ｃを特定する情報として取得しておく。 Furthermore, the authentication program 21 analyzes the packet including the MAC address and creates the authentication information of the terminal 3 itself. For example, a MAC address or an IP address as a result of analyzing a packet acquired from the terminal 3C is acquired as information for specifying the terminal 3C.

つぎに、上述したように構成されたＬＡＮスイッチ１の通信制御部１１によって中継／テーブル作成プログラム２２を実行することによって行われる処理について図４を参照して説明する。 Next, processing performed by executing the relay / table creation program 22 by the communication control unit 11 of the LAN switch 1 configured as described above will be described with reference to FIG.

通信制御部１１は、先ずステップＳ１において、端末側のポートＰ１〜Ｐ１２からパケットを受信したか否かを判定し、パケットを受信していない場合にはアイドル状態に戻り（ステップＳ２）、パケットを受信した場合にはステップＳ３に処理を進める。 First, in step S1, the communication control unit 11 determines whether or not a packet has been received from the ports P1 to P12 on the terminal side. If no packet has been received, the communication control unit 11 returns to the idle state (step S2). If received, the process proceeds to step S3.

ステップＳ３において通信制御部１１は、ステップＳ１で受信したパケットに含まれるＭＡＣアドレスを取り出し、当該ＭＡＣアドレスが認証済端末アドレステーブル１２に登録されたＭＡＣアドレスか否かを判定する。そして、通信制御部１１は、ステップＳ１で受信したパケットに含まれるＭＡＣアドレスが認証済端末アドレステーブル１２に登録されている場合には当該パケットを中継し（ステップＳ４）、ステップＳ１で受信したパケットに含まれるＭＡＣアドレスが認証済端末アドレステーブル１２に登録されていない場合にはステップＳ５に処理を進める。 In step S 3, the communication control unit 11 extracts the MAC address included in the packet received in step S 1 and determines whether or not the MAC address is a MAC address registered in the authenticated terminal address table 12. When the MAC address included in the packet received in step S1 is registered in the authenticated terminal address table 12, the communication control unit 11 relays the packet (step S4), and the packet received in step S1. If the MAC address included in is not registered in the authenticated terminal address table 12, the process proceeds to step S5.

ステップＳ５において通信制御部１１は、認証済端末アドレステーブル１２にＭＡＣアドレスが登録されていない端末３からのパケットを破棄する。 In step S5, the communication control unit 11 discards the packet from the terminal 3 whose MAC address is not registered in the authenticated terminal address table 12.

次のステップＳ６において通信制御部１１は、ステップＳ１で受信したパケットに含まれるＭＡＣアドレスを未認証端末アドレステーブル１３に登録する。このとき、通信制御部１１は、ステップＳ１でパケットを受信したポート番号と共にＭＡＣアドレスを未認証端末アドレステーブル１３に登録する。 In next step S 6, the communication control unit 11 registers the MAC address included in the packet received in step S 1 in the unauthenticated terminal address table 13. At this time, the communication control unit 11 registers the MAC address in the unauthenticated terminal address table 13 together with the port number that received the packet in step S1.

このように、ＬＡＮスイッチ１は、ＲＡＤＩＵＳサーバ２によって認証されて通信が許可された端末３のＭＡＣアドレスを認証済端末アドレステーブル１２に登録しておき、当該認証済端末アドレステーブル１２に登録されていないＭＡＣアドレスを含むパケットを受信した場合に、当該ＭＡＣアドレスを未認証端末アドレステーブル１３に登録する。これにより、図１に示したように、端末３ＡのようにＬＡＮスイッチ１に対して直接的に接続されておらず、端末３Ｂのようにスイッチングハブ４Ａを介して接続されている場合に、認証プロセスによって端末３Ｂが認証されない場合であっても、スイッチングハブ４Ａを介してＬＡＮスイッチ１に接続されている端末３ＢのＭＡＣアドレスを未認証端末アドレステーブル１３に登録することができる。 As described above, the LAN switch 1 registers the MAC address of the terminal 3 authenticated by the RADIUS server 2 and permitted to communicate in the authenticated terminal address table 12, and is registered in the authenticated terminal address table 12. When a packet including a non-MAC address is received, the MAC address is registered in the unauthenticated terminal address table 13. As a result, as shown in FIG. 1, when the terminal is not directly connected to the LAN switch 1 like the terminal 3A and is connected via the switching hub 4A like the terminal 3B, the authentication is performed. Even if the terminal 3B is not authenticated by the process, the MAC address of the terminal 3B connected to the LAN switch 1 via the switching hub 4A can be registered in the unauthenticated terminal address table 13.

つぎに、ＬＡＮスイッチ１の通信制御部１１により、認証プログラム２１を実行することによって行われる認証プロセスについて図５を参照して説明する。なお、この認証プロセスには、（１）ＬＡＮスイッチ１に対する端末３の切断時の処理、（２）ＬＡＮスイッチ１に対するＩＥＥＥ８０２．１ｘサプリカントを実装した端末３がスイッチングハブ４を介さずに直接接続された時の認証プロセス、（３）ＬＡＮスイッチ１に対するＩＥＥＥ８０２．１ｘサプリカントを実装した端末３がスイッチングハブ４を介して接続されているときの認証プロセス、（４）ＬＡＮスイッチ１に対してＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３を認証する認証プロセスを含んでいる。 Next, an authentication process performed by executing the authentication program 21 by the communication control unit 11 of the LAN switch 1 will be described with reference to FIG. In this authentication process, (1) processing when the terminal 3 is disconnected from the LAN switch 1 and (2) the terminal 3 equipped with the IEEE 802.1x supplicant for the LAN switch 1 is directly connected without the switching hub 4. (3) Authentication process when the terminal 3 equipped with the IEEE 802.1x supplicant for the LAN switch 1 is connected via the switching hub 4, and (4) IEEE 802 for the LAN switch 1. It includes an authentication process for authenticating the terminal 3 that does not implement the 1x supplicant.

通信制御部１１は、先ず、ポートＰ１〜Ｐ６に対する端末３の接続の切断を検出した場合（ステップＳ１１）、端末３Ａのように直接的にＬＡＮスイッチ１に接続されたことを検出した場合（ステップＳ１２）、未認証端末アドレステーブル１３にＭＡＣアドレスが登録されているか否かを検出する所定時間が経過したことを検出した場合（ステップＳ１３）に、ステップＳ１０のアイドル状態から遷移する。 First, when the communication control unit 11 detects disconnection of the terminal 3 with respect to the ports P1 to P6 (step S11), it detects that it is directly connected to the LAN switch 1 like the terminal 3A (step S11). S12) When it is detected that a predetermined time for detecting whether or not the MAC address is registered in the unauthenticated terminal address table 13 has passed (step S13), the state transits from the idle state of step S10.

ステップＳ１１において端末３の接続の切断を検出した場合、通信制御部１１は、ステップＳ１４において、当該切断された端末３のＭＡＣアドレス及びポート番号を認証済端末アドレステーブル１２から削除して、ステップＳ１０のアイドル状態に戻る。 When the disconnection of the connection of the terminal 3 is detected in step S11, the communication control unit 11 deletes the MAC address and port number of the disconnected terminal 3 from the authenticated terminal address table 12 in step S14. Return to the idle state.

このように、ＬＡＮスイッチ１は、上記（１）のＬＡＮスイッチ１に対する端末３の切断時の処理を行って、切断された端末３が認証済端末アドレステーブル１２に登録され続けることを回避する。 As described above, the LAN switch 1 performs the process at the time of disconnection of the terminal 3 with respect to the LAN switch 1 of the above (1), and avoids that the disconnected terminal 3 is continuously registered in the authenticated terminal address table 12.

ステップＳ１２において端末３が直接的にＬＡＮスイッチ１のポートＰ１〜Ｐ６の何れかに接続されたことを検出した場合、通信制御部１１は、ステップＳ１５において、認証情報の返信を要求する認証リクエストパケットを送信する。そして、通信制御部１１は、送信した認証リクエストパケットに対する応答の認証スタートパケットを端末３から受信したか否かを判定し、受信していない場合にはステップＳ１０のアイドル状態に戻り、端末３から認証スタートパケットを受信した場合にはステップＳ１７に処理を進める。 If it is detected in step S12 that the terminal 3 is directly connected to any of the ports P1 to P6 of the LAN switch 1, the communication control unit 11 requests an authentication information reply in step S15. Send. Then, the communication control unit 11 determines whether or not an authentication start packet in response to the transmitted authentication request packet has been received from the terminal 3. If not received, the communication control unit 11 returns to the idle state in step S 10 and returns from the terminal 3. If the authentication start packet is received, the process proceeds to step S17.

ステップＳ１７において通信制御部１１は、ステップＳ１６において受信した認証スタートパケットの送信元の端末３のＭＡＣアドレスが、当該パケットを受信したポートのポート番号に対応付けられて認証済端末アドレステーブル１２に登録されているか否かを判定する。認証済端末アドレステーブル１２に登録されている場合には、通信制御部１１は、ステップＳ１８において、ステップＳ１６で受信した認証スタートパケットに含まれる認証情報をＲＡＤＩＵＳサーバ２に送信する。 In step S17, the communication control unit 11 registers the MAC address of the terminal 3 that is the transmission source of the authentication start packet received in step S16 in the authenticated terminal address table 12 in association with the port number of the port that received the packet. It is determined whether or not it has been done. If registered in the authenticated terminal address table 12, the communication control unit 11 transmits the authentication information included in the authentication start packet received in step S16 to the RADIUS server 2 in step S18.

一方、認証済端末アドレステーブル１２に登録されていない場合には、ステップＳ１９に処理を進め、通信制御部１１は、ステップＳ１６で認証スタートパケットを受信したポートのポート番号以外のポート番号に対応付けられて、ステップＳ１６で受信した認証スタートパケットの送信元の端末３のＭＡＣアドレスが登録されているか否かを判定し、そうである場合には、ステップＳ２０において当該ＭＡＣアドレスを認証済端末アドレステーブル１２から削除し、そうではない場合には、ステップＳ２１において、認証済端末アドレステーブル１２に登録されたＭＡＣアドレス数が所定数未満か否かを判定する。 On the other hand, if it is not registered in the authenticated terminal address table 12, the process proceeds to step S19, and the communication control unit 11 associates with a port number other than the port number of the port that received the authentication start packet in step S16. Then, it is determined whether or not the MAC address of the terminal 3 that is the transmission source of the authentication start packet received in step S16 is registered. If so, the MAC address is registered in the authenticated terminal address table in step S20. In step S21, it is determined whether or not the number of MAC addresses registered in the authenticated terminal address table 12 is less than a predetermined number.

ステップＳ２１において認証済端末アドレステーブル１２に登録されたＭＡＣアドレス数が所定数未満であると判定した場合には、ステップＳ１８に処理を進めて認証情報をＲＡＤＩＵＳサーバ２に送信し、所定数未満ではない場合にはステップＳ１０のアイドル状態に戻る。 If it is determined in step S21 that the number of MAC addresses registered in the authenticated terminal address table 12 is less than the predetermined number, the process proceeds to step S18 to transmit authentication information to the RADIUS server 2, and if it is less than the predetermined number, If not, the process returns to the idle state in step S10.

ステップＳ１８において端末３から送信された認証情報を送信した後のステップＳ２２において、通信制御部１１は、ＲＡＤＩＵＳサーバ２の認証結果を受信して、ＲＡＤＩＵＳサーバ２によるユーザ認証によって端末３の通信が許可されたか否かを判定する。端末３の通信が許可されたと判定した場合、通信制御部１１は、ステップＳ２３に処理を進め、端末３の通信が許可されていないと判定した場合には、ステップＳ２５に処理を進める。 In step S22 after transmitting the authentication information transmitted from the terminal 3 in step S18, the communication control unit 11 receives the authentication result of the RADIUS server 2, and permits the communication of the terminal 3 by the user authentication by the RADIUS server 2. It is determined whether or not it has been done. When it is determined that the communication of the terminal 3 is permitted, the communication control unit 11 proceeds to step S23, and when it is determined that the communication of the terminal 3 is not permitted, the communication control unit 11 proceeds to step S25.

ステップＳ２３において、通信制御部１１は、端末３のＭＡＣアドレス及び端末３が接続されているポートのポート番号を認証済端末アドレステーブル１２に登録する。次に通信制御部１１は、ステップＳ２４において、認証済端末アドレステーブル１２に登録したＭＡＣアドレスが未認証端末アドレステーブル１３に登録されているかを判定して、登録されている場合には未認証端末アドレステーブル１３から削除して、ステップＳ１０のアイドル状態に戻る。 In step S 23, the communication control unit 11 registers the MAC address of the terminal 3 and the port number of the port to which the terminal 3 is connected in the authenticated terminal address table 12. Next, in step S24, the communication control unit 11 determines whether or not the MAC address registered in the authenticated terminal address table 12 is registered in the unauthenticated terminal address table 13, and if it is registered, the unauthenticated terminal. It deletes from the address table 13, and returns to the idle state of step S10.

一方、ステップＳ２２において、ＲＡＤＩＵＳサーバ２によって端末３の通信が許可されなかった場合には、ステップＳ２５において、通信制御部１１は、当該端末３のＭＡＣアドレスが認証済端末アドレステーブル１２に登録されているか否かを判定する。認証済端末アドレステーブル１２に登録されている場合、ステップＳ２６において、通信制御部１１は、認証済端末アドレステーブル１２から当該端末３のＭＡＣアドレスを削除して、ステップＳ１０のアイドル状態に戻る。 On the other hand, if communication of the terminal 3 is not permitted by the RADIUS server 2 in step S22, the communication control unit 11 registers the MAC address of the terminal 3 in the authenticated terminal address table 12 in step S25. It is determined whether or not. If registered in the authenticated terminal address table 12, in step S26, the communication control unit 11 deletes the MAC address of the terminal 3 from the authenticated terminal address table 12, and returns to the idle state in step S10.

このように、ＬＡＮスイッチ１は、ステップＳ１２において、ＩＥＥＥ８０２．１ｘに準拠した端末３Ａが新たにＬＡＮスイッチ１に接続された場合には、認証リクエストパケットを送信することによって端末３からの認証情報を得てＲＡＤＩＵＳサーバ２で認証を行わせて、認証済端末アドレステーブル１２に登録することができる。 As described above, when a terminal 3A compliant with IEEE802.1x is newly connected to the LAN switch 1 in step S12, the LAN switch 1 transmits the authentication request packet to obtain the authentication information from the terminal 3. Then, authentication can be performed by the RADIUS server 2 and registered in the authenticated terminal address table 12.

通信制御部１１は、ステップＳ１３において未認証端末アドレステーブル１３にＭＡＣアドレスが登録されているか否かを参照する所定時間が経過したことを検出した場合には、ステップＳ２７において、図４に示す処理によって未認証端末アドレステーブル１３にＭＡＣアドレスが登録されているか否かを判定する。なお、ステップＳ１３で検出する所定時間は、例えば５秒といったように、任意の時間を設定しておくことができる。 If the communication control unit 11 detects in step S13 that a predetermined time has passed for referring to whether or not the MAC address is registered in the unauthenticated terminal address table 13, the process illustrated in FIG. 4 is performed in step S27. To determine whether or not the MAC address is registered in the unauthenticated terminal address table 13. The predetermined time detected in step S13 can be set to an arbitrary time such as 5 seconds, for example.

ステップＳ２７において未認証端末アドレステーブル１３にＭＡＣアドレスが登録されていると判定した場合には、ステップＳ２８に処理を進め、ＭＡＣアドレスが登録されていないと判定した場合には再度ステップＳ１０のアイドル状態に戻る。 If it is determined in step S27 that the MAC address is registered in the unauthenticated terminal address table 13, the process proceeds to step S28. If it is determined that the MAC address is not registered, the idle state in step S10 is performed again. Return to.

ステップＳ２８において通信制御部１１は、未認証端末アドレステーブル１３に登録されているＭＡＣアドレスを宛先とした認証リクエストパケットを送信し、ステップＳ２９において通信制御部１１は、送信した認証リクエストパケットに対して端末３から認証スタートパケットを受信したか否かを判定する。ここで、未認証端末アドレステーブル１３に登録されているＭＡＣアドレスを有する端末３がスイッチングハブ４を介して間接接続されている場合には、当該端末３から認証スタートパケットを受信することができ、ステップＳ１７以降に処理を進める。 In step S28, the communication control unit 11 transmits an authentication request packet destined for the MAC address registered in the unauthenticated terminal address table 13, and in step S29, the communication control unit 11 responds to the transmitted authentication request packet. It is determined whether or not an authentication start packet has been received from the terminal 3. Here, when the terminal 3 having the MAC address registered in the unauthenticated terminal address table 13 is indirectly connected via the switching hub 4, the authentication start packet can be received from the terminal 3. The process proceeds after step S17.

このように、ＬＡＮスイッチ１は、スイッチングハブ４を介して間接接続されている端末３ＢのＭＡＣアドレスを未認証端末アドレステーブル１３に登録することによって、当該端末３Ｂに認証リクエストパケットを送信して端末３Ｂの認証情報を得て、ＲＡＤＩＵＳサーバ２でユーザ認証を行わせることができる。 As described above, the LAN switch 1 registers the MAC address of the terminal 3B indirectly connected via the switching hub 4 in the unauthenticated terminal address table 13, thereby transmitting an authentication request packet to the terminal 3B. 3B authentication information can be obtained and user authentication can be performed by the RADIUS server 2.

また、ステップＳ２８において未認証端末アドレステーブル１３に登録されている端末３に認証リクエストパケットを送信したにも拘わらず、ステップＳ２９において認証スタートパケットを受信できない場合には、ステップＳ３０において、通信制御部１１は、端末３の認証情報を含む要求を、端末３に代理してＲＡＤＩＵＳサーバ２に送信して、ステップＳ２２に処理を進める。このとき、通信制御部１１は、当該端末３からのパケットに含まれる情報を解析して、端末３の認証情報を自ら作成する。 If the authentication start packet cannot be received in step S29 even though the authentication request packet is transmitted to the terminal 3 registered in the unauthenticated terminal address table 13 in step S28, the communication control unit in step S30. 11 transmits a request including the authentication information of the terminal 3 to the RADIUS server 2 on behalf of the terminal 3, and advances the process to step S22. At this time, the communication control unit 11 analyzes the information included in the packet from the terminal 3 and creates the authentication information of the terminal 3 itself.

また、ＬＡＮスイッチ１は、認証済端末アドレステーブル１２に登録されていないＭＡＣアドレスを含むパケットを受信した場合に、当該パケットに含まれる情報から、端末３の認証情報を自ら作成することができる。これにより、端末３ＣのようにＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃに代理してＲＡＤＩＵＳサーバ２に送信する認証情報を自ら作成できる。 In addition, when the LAN switch 1 receives a packet including a MAC address that is not registered in the authenticated terminal address table 12, the LAN switch 1 can create the authentication information of the terminal 3 from the information included in the packet. As a result, the authentication information to be transmitted to the RADIUS server 2 on behalf of the terminal 3C not mounted with the IEEE 802.1x supplicant, such as the terminal 3C, can be created by itself.

そして、ＲＡＤＩＵＳサーバ２は、ＬＡＮスイッチ１によって作成された認証情報と、予め記憶しておいた認証情報とを用いて認証を行って認証結果をＬＡＮスイッチ１に返信する。ここで、ＲＡＤＩＵＳサーバ２は、ＬＡＮスイッチ１で作成された認証情報で認証を行うために、予め正当な端末３Ｃの認証情報（ＩＰアドレス、ＭＡＣアドレス、その他ユーザを特定する情報、その組み合わせ）を登録しておく必要がある。 Then, the RADIUS server 2 performs authentication using the authentication information created by the LAN switch 1 and the authentication information stored in advance, and returns an authentication result to the LAN switch 1. Here, in order to authenticate with the authentication information created by the LAN switch 1, the RADIUS server 2 uses authentication information (IP address, MAC address, other information specifying the user, and a combination thereof) of the valid terminal 3C in advance. It is necessary to register.

このように、ＬＡＮスイッチ１は、ＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃの認証情報を自ら作成し、当該端末３Ｃから認証スタートパケットを受信していない場合であっても、端末３Ｃに代理して認証情報をＲＡＤＩＵＳサーバ２に送信して、端末３Ｃのユーザ認証を行わせることができる。 In this way, the LAN switch 1 creates the authentication information of the terminal 3C that does not have the IEEE802.1x supplicant and does not receive the authentication start packet from the terminal 3C. The authentication information can be transmitted to the RADIUS server 2 on behalf of the user, and the user authentication of the terminal 3C can be performed.

以上詳細に説明したように、本発明を適用したＬＡＮスイッチ１によれば、ＩＥＥＥ８０２．１ｘに準拠した認証プロセスによって端末３を認証できない場合であっても、認証されていない端末３からのパケットを受信する度又は定期的に認証リクエストパケットを送信する必要ないので、処理負荷の増大を招くことがなく、正当なユーザが使用している端末３の認証を行うことができる。また、ＬＡＮスイッチ１によれば、認証されていない端末３を複数回に亘ってＲＡＤＩＵＳサーバ２でユーザ認証をさせることも無いので、ＲＡＤＩＵＳサーバ２に認証結果のログが大量に蓄積されることを回避できる。 As described above in detail, according to the LAN switch 1 to which the present invention is applied, even if the terminal 3 cannot be authenticated by an authentication process compliant with IEEE802.1x, packets from the unauthenticated terminal 3 are received. Since it is not necessary to transmit an authentication request packet each time it is received or periodically, the terminal 3 used by a legitimate user can be authenticated without increasing the processing load. Further, according to the LAN switch 1, since the terminal 3 which is not authenticated is not authenticated by the RADIUS server 2 for a plurality of times, a large amount of authentication result logs are accumulated in the RADIUS server 2. Can be avoided.

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。 The above-described embodiment is an example of the present invention. For this reason, the present invention is not limited to the above-described embodiment, and various modifications can be made depending on the design and the like as long as the technical idea according to the present invention is not deviated from this embodiment. Of course, it is possible to change.

本発明を適用したＬＡＮスイッチを含む通信システムの構成を示すブロック図である。It is a block diagram which shows the structure of the communication system containing the LAN switch to which this invention is applied. 本発明を適用したＬＡＮスイッチの機能的な構成を示すブロック図である。It is a block diagram which shows the functional structure of the LAN switch to which this invention is applied. 認証済端末アドレステーブル及び未認証端末アドレステーブルを説明する図である。It is a figure explaining an authenticated terminal address table and an unauthenticated terminal address table. 本発明を適用したＬＡＮスイッチによって、端末からパケットを受信した場合の処理手順を示すフローチャートである。It is a flowchart which shows the process sequence at the time of receiving a packet from a terminal by the LAN switch to which this invention is applied. 本発明を適用したＬＡＮスイッチによる認証プロセスの処理手順を示すフローチャートである。It is a flowchart which shows the process sequence of the authentication process by the LAN switch to which this invention is applied.

Explanation of symbols

１ＬＡＮスイッチ（通信装置）
２ＲＡＤＩＵＳサーバ（認証サーバ）
３Ａ，３Ｂ，３Ｃ端末
４Ａ，４Ｂスイッチングハブ
１１通信制御部
１２認証済端末アドレステーブル（第１のアドレステーブル）
１３未認証端末アドレステーブル（第２のアドレステーブル）
２１認証プログラム
２２中継／テーブル作成プログラム 1 LAN switch (communication device)
2 RADIUS server (authentication server)
3A, 3B, 3C terminal 4A, 4B switching hub 11 communication control unit 12 authenticated terminal address table (first address table)
13 Unauthenticated terminal address table (second address table)
21 Authentication program 22 Relay / table creation program

Claims

In a communication device connected to a network to which an authentication server for performing authentication processing of the terminal is connected while one or more terminals to be authenticated are connected,
An address table for registering an address included in communication data transmitted from the terminal, comprising an address table for registering an address of a terminal authenticated by the authentication server based on authentication information of the terminal;
The address table includes a first address table for registering an address of a terminal authenticated by an authentication server, and an address included in communication data when the address included in the communication data is not registered in the first address table. A second address table registered as an address of a terminal that has not been authenticated by the server;
When the communication data transmitted from the terminal includes an address registered in the second address table, the authentication information of the terminal is obtained by supplying a request for returning the authentication information to the terminal having the address. When the authentication server performs authentication processing based on the authentication information and permits the communication of the terminal as a result of the authentication processing by the authentication server, the address of the terminal is set to the first address table. And deleting from the second address table .

In a communication device connected to a network to which an authentication server for performing authentication processing of the terminal is connected while one or more terminals to be authenticated are connected,
An address table for registering an address included in communication data transmitted from the terminal, comprising an address table for registering an address of a terminal authenticated by the authentication server based on authentication information of the terminal;
The address table includes a first address table for registering an address of a terminal authenticated by an authentication server, and an address included in communication data when the address included in the communication data is not registered in the first address table. A second address table registered as an address of a terminal that has not been authenticated by the server;
When the communication data transmitted from the terminal includes the address registered in the second address table, the terminal generates the authentication information for the terminal on behalf of the terminal having the address. When the authentication process is performed by supplying to the authentication server and the communication of the terminal is permitted as a result of the authentication process by the authentication server, the address of the terminal is registered in the first address table and the first address table is registered. 2. A communication apparatus that is deleted from the address table of No. 2 .

A communication control program stored in a computer of a communication device connected to a network to which an authentication server for performing authentication processing of the terminal is connected and one or a plurality of authentication processing target terminals are connected,
An address table for registering an address included in communication data transmitted from the terminal, the address table for registering an address of a terminal authenticated by the authentication server based on authentication information of the terminal , wherein the authentication The first address table for registering the address of the terminal authenticated by the server and when the address included in the communication data is not registered in the first address table, the address is subjected to authentication processing by the authentication server. A function of creating the address table having a second address table registered as an address of a non-terminal ,
When the communication data transmitted from the terminal includes an address registered in the second address table, the authentication information of the terminal is obtained by supplying a request for returning the authentication information to the terminal having the address. When the authentication server performs authentication processing based on the authentication information and permits the communication of the terminal as a result of the authentication processing by the authentication server, the address of the terminal is set to the first address table. A communication control program for causing a computer of the communication device to realize a function of registering in the second address table and deleting from the second address table .

A communication control program stored in a computer of a communication device connected to a network to which an authentication server for performing authentication processing of the terminal is connected and one or a plurality of authentication processing target terminals are connected,
An address table for registering an address included in communication data transmitted from the terminal, the address table for registering an address of a terminal authenticated by the authentication server based on authentication information of the terminal , wherein the authentication The first address table for registering the address of the terminal authenticated by the server and when the address included in the communication data is not registered in the first address table, the address is subjected to authentication processing by the authentication server. A function of creating the address table having a second address table registered as an address of a non-terminal ,
When the communication data transmitted from the terminal includes the address registered in the second address table, the terminal generates the authentication information for the terminal on behalf of the terminal having the address. When the authentication process is performed by supplying to the authentication server and the communication of the terminal is permitted as a result of the authentication process by the authentication server, the address of the terminal is registered in the first address table and the first address table is registered. A communication control program for causing a computer of the communication device to realize the function of deleting from the address table of 2 .