JP4920878B2 - 認証システム、ネットワーク集線装置及びそれらに用いる認証方法並びにそのプログラム - Google Patents

Description

本発明は認証システム、ネットワーク集線装置及びそれらに用いる認証方法並びにそのプログラムに関し、特に端末装置がネットワークに接続する際に認証用ハブにおいてアクセス制限をかける方法に関する。

従来、認証用ハブにおいてアクセス制限をかける方法としては、図７に示すＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）８０２．１ｘ認証方式や、図８に示す認証ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）方式が使用されている。

ＩＥＥＥ８０２．１Ｘ認証方式では、図７に示すように、認証前、認証用ハブ３２において端末装置３１から送信された一般のフレームが全て廃棄され、認証用フレームについてのみ受信している。認証用ハブ３２は認証用フレームから送信元情報（送信元アドレス、ユーザ名、パスワード等）を抽出し、認証サーバ３３に認証確認フレームを送信する。

認証サーバ３３はその認証確認フレームに対して認証を確認した場合、認証用ハブ３２に対して端末装置３１が接続されたポートからのフレームまたは端末装置３１固有のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを送信元に持つフレームについての通信許可を設定するフレームを送信する。

認証用ハブ３２はそのフレームにしたがって通信制限の解除を行う。それ以降、端末装置３１は認証用ハブ３２、スイッチングハブ３４、ルータ３５を介してネットワーク３００に接続可能となる。

一方、認証ＶＬＡＮ方式では、図８に示すように、認証前、端末装置４１がデフォルトＶＬＡＮと呼ばれ、かつ接続範囲が限定された認証前ネットワーク４０１への参加が許可される（例えば、特許文献１参照）。

端末装置４１は認証前ネットワーク４０１から接続可能なＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ４６に対して仮のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス払い出しを要求し、その仮のＩＰアドレスで認証サーバ４３に対して認証要求を行う。

認証サーバ４３はその認証要求に対して認証を確認した場合、ＤＨＣＰサーバ４６及び認証用ハブ４２に対して端末装置４１が所属するべきＶＬＡＮ（認証後ネットワーク４０２）を指示する。

ＤＨＣＰサーバ４６は端末装置４１に対して仮のＩＰアドレスのリリースと認証後ネットワーク４０２用のＩＰアドレスの通知とを行う。認証用ハブ４２は端末装置４１に対して、認証サーバ４３から指示された認証後ネットワーク４０２への接続許可を行う。それ以降、端末装置４１は認証用ハブ４２、スイッチングハブ４４、ルータ４５を介してネットワーク４００に接続可能となる。

特開２００４−６４２０４号公報

しかしながら、上述した従来の認証用ハブにおいてアクセス制限をかける方法では、ＩＥＥＥ８０２．１ｘ認証方式の場合、認証方式特有のプロトコルを使用するため、端末装置に対して認証を行うための特別なプログラムを実装する必要がある。

また、ＩＥＥＥ８０２．１ｘ認証方式の場合には、認証用ハブが端末装置と認証サーバとの間の認証処理の中継を行い、その処理がソフトウェア動作となるため、認証用ハブに対して高いソフトウェア処理能力が要求される。

さらに、ＩＥＥＥ８０２．１ｘ認証方式の場合には、認証がなされない端末装置がネットワークに一切接続することができないため、未認証の端末装置に対して限定機能の提供を行うことができない。

一方、従来の認証用ハブにおいてアクセス制限をかける方法では、認証ＶＬＡＮ方式の場合、認証完了後、認証前ネットワークから認証によって許可された認証後ネットワークへの切替えが発生し、その際に端末装置側でネットワーク設定の変更が必要となるため、認証を行ってから実際に通信が行えるようになるまでに時間がかかったり、端末装置で使用可能なＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の種類に制限がかかる場合が発生する。

また、認証ＶＬＡＮ方式の場合には、認証動作に対して複数の装置が連動する必要があるため、システムに使用可能な装置が限定されることとなる。例えば、ＤＨＣＰサーバは認証サーバからの指示にしたがってＩＰアドレスをリースする必要があり、専用のＤＨＣＰサーバまたはＤＨＣＰサーバに対して機能追加プログラムを実装する必要がある。

さらに、認証ＶＬＡＮ方式の場合には、認証用ハブに対してＶＬＡＮの切替え作業、複数のＶＬＡＮのトランキング等の高度な機能が要求されるため、認証用ハブ自身が高価・高機能な装置となってしまう。

そこで、本発明の目的は上記の問題点を解消し、複雑なシステムやネットワークの切替え、高機能な認証装置を使用することなく、不正ユーザによる侵入や盗聴、攻撃を防ぎ、セキュリティ性を確保することができる認証システム、ネットワーク集線装置及びそれらに用いる認証方法並びにそのプログラムを提供することにある。

本発明による認証システムは、ネットワーク集線装置に収容される端末装置の認証を行う認証サーバを含む認証システムであって、
前記ネットワーク集線装置は、前記認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限する手段を備え、
前記フレームの転送を制限する手段は、前記端末装置から送信されたユニキャストフレームの送信を制限し、前記端末装置が認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要不可欠なブロードキャストフレームを予め許可された送信先へのユニキャストフレームに書き換えることで、認証前に、少なくとも前記端末装置の前記認証サーバへのアクセスを可能とし、
前記フレームの転送を制限する手段は、認証前に、少なくともスイッチングハブ及びルータを経由して他のノードへアクセスしようとするフレームを排除している。

本発明によるネットワーク集線装置は、認証サーバによって認証される端末装置を収容するネットワーク集線装置であって、
前記認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限する手段を備え、
前記フレームの転送を制限する手段は、前記端末装置から送信されたユニキャストフレームの送信を制限し、前記端末装置が認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要不可欠なブロードキャストフレームを予め許可された送信先へのユニキャストフレームに書き換えることで、認証前に、少なくとも前記端末装置の前記認証サーバへのアクセスを可能とし、
前記フレームの転送を制限する手段は、認証前に、少なくともスイッチングハブ及びルータを経由して他のノードへアクセスしようとするフレームを排除している。

本発明による認証方法は、ネットワーク集線装置に収容される端末装置の認証を行う認証サーバを含む認証システムに用いられる認証方法であって、
前記ネットワーク集線装置が、前記認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限するステップを実行し、
前記フレームの転送を制限するステップにおいて、前記端末装置から送信されたユニキャストフレームの送信を制限し、前記端末装置が認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要不可欠なブロードキャストフレームを予め許可された送信先へのユニキャストフレームに書き換えることで、認証前に、少なくとも前記端末装置の前記認証サーバへのアクセスを可能とし、
前記フレームの転送を制限するステップにおいて、認証前に、少なくともスイッチングハブ及びルータを経由して他のノードへアクセスしようとするフレームを排除している。

本発明によるプログラムは、ネットワーク集線装置に収容される端末装置の認証を行う認証サーバを含む認証システムにおいて前記ネットワーク集線装置内のコンピュータに実行させるプログラムであって、
前記認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限する処理を含み、
前記フレームの転送を制限する処理において、前記端末装置から送信されたユニキャストフレームの送信を制限させ、前記端末装置が認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要不可欠なブロードキャストフレームを予め許可された送信先へのユニキャストフレームに書き換えることで、認証前に、少なくとも前記端末装置の前記認証サーバへのアクセスを可能とさせ、
前記フレームの転送を制限する処理において、認証前に、少なくともスイッチングハブ及びルータを経由して他のノードへアクセスしようとするフレームを排除させることを特徴とする。

すなわち、本発明の放送範囲可変型ネットワーク集線装置（以下、認証用ハブとする）では、認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限することで、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）環境下におけるセキュリティ性を確保することを特徴とする。

より具体的に説明すると、本発明の認証用ハブでは、端末装置から送信されたユニキャストフレームの送信を制限し、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス取得やＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）解決といった認証動作に必要不可欠なブロードキャストフレームを、許可された送信先へのユニキャストフレームに書き換えることで、必要なネットワークノード（例えば、認証サーバ）のみにアクセス可能としている。

本発明の認証用ハブでは、従来のように、認証動作を肩代わりしたり、ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を切替えるといった高度な機能が不要となるので、ソフトウェアの機能や性能が問われるような高性能な装置を使用する必要がない。これは以下の理由によるものである。

本発明の認証用ハブでは、ノードと認証サーバとの間の通信（認証動作）において、未認証ノードからの通信を全て遮断し、認証フレームを認証用ハブが肩代わりして認証サーバに送信するのではなく、ノードと認証サーバとの間の通信及びその他必要な通信のみを透過するように動作するため、認証用ハブ自身が認証動作にかかわる必要がない。これによって、本発明の認証用ハブでは、ノードと認証サーバとの間のプロトコルに対応する必要性がなく、フレームを作成して送信する機能を持つ必要もない。

また、本発明の認証用ハブでは、ＶＬＡＮを切り分けて認証前後の通信範囲の切り分けを行うのではなく、認証前の送信先を限定する方式であるため、ネットワークの切替え動作やＶＬＡＮ機能自身を有する必要がない。この場合、本発明の認証用ハブでは、ソフトウェアが介在する部分が認証サーバとのテーブルのやりとりのみとなるため、非常に単純なパケットフィルタ機能、パケットコピー機能、アドレス書換え機能を含むハードウェア機能と、認証サーバから認証用ハブのテーブルを書換える機能を含むソフトウェア機能とをのみ有することで、実現可能となる。

さらに、本発明の認証用ハブでは、認証前のノードに対して一部の通信が許可される。つまり、本発明の認証用ハブでは、制限付きのノードからの送信可能ノードエントリテーブルを持つことによって、認証済みのノード以外のノードからの受信フレームを全て廃棄するのではなく、制限付きのノードからの受信としてエントリテーブル宛てのフレームを送信可能としているからである。

さらにまた、本発明の認証用ハブでは、端末のネットワーク設定を認証前後で変更する必要がない。上述した認証ＶＬＡＮ方式では、制限付きのノードが参加するＶＬＡＮと、認証済みのノードが参加するＶＬＡＮとを別のＶＬＡＮとすることで、通信可能ノードの通信範囲を変更しているが、この方式ではＶＬＡＮの切替えに伴ってネットワークが変わるため、ノード側でもネットワーク設定の切替えが必要になる。本発明の認証用ハブでは、認証前後でネットワークを切替えるのではなく、送信可能先を切替えているため、端末でのネットワーク設定の切替えが不要となる。

したがって、本発明の認証用ハブでは、端末装置がスイッチングハブやルータを経由してその他のネットワークノード（その他のサーバや認証済み端末装置）にアクセスするのを排除することによって、複雑なシステムやネットワークの切替え、高機能な認証装置を使用することなく、不正ユーザによる侵入や盗聴、攻撃を防ぎ、セキュリティ性を確保することが可能となる。

本発明は、以下に述べるような構成及び動作とすることで、複雑なシステムやネットワークの切替え、高機能な認証装置を使用することなく、不正ユーザによる侵入や盗聴、攻撃を防ぎ、セキュリティ性を確保することができるという効果が得られる。

次に、本発明の実施の形態について図面を参照して説明する。図１は本発明の実施の形態による認証システムの構成を示すブロック図である。図１において、本発明の実施の形態による認証システムは端末装置１と、放送範囲可変型ネットワーク集線装置（以下、認証用ハブとする）２と、認証サーバ３と、スイッチングハブ４と、ルータ５と、その他のサーバ６と、認証済み端末装置７とから構成され、認証用ハブ２が端末装置１からスイッチングハブ４やルータ５を経由したネットワーク１００へのアクセス、スイッチングハブ４やルータ５を経由してその他のネットワークノード（その他のサーバ６や認証済み端末装置７）にアクセスするのを制限している。

認証用ハブ２は端末装置１から送信されたユニキャストフレームの送信を制限し、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス取得やＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）解決といった認証動作に必要不可欠なブロードキャストフレームを、許可された送信先へのユニキャストフレームに書き換えることで、必要なネットワークノード（認証サーバ３）のみにアクセス可能としている。

また、認証用ハブ２は端末装置１がスイッチングハブ４やルータ５を経由してその他のネットワークノード（その他のサーバ６や認証済み端末装置７）へのアクセスを排除することによって、複雑なシステムやネットワークの切替え、高機能な認証装置を使用することなく、不正ユーザによる侵入や盗聴、攻撃を防ぎ、セキュリティ性を確保している。

次に、本発明の実施例について図面を参照して説明する。図２は本発明の一実施例による認証システムの構成を示すブロック図である。図２において、本発明の一実施例による認証システムは端末装置１−１〜１−３と、認証用ハブ２と、認証サーバ３と、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ８と、各ネットワークノード間を接続するスイッチングハブ４と、ルータ５と、ルータ５によって接続されるネットワーク１００とから構成されている。

認証用ハブ２はフレーム受信回路部２１と、登録情報データベース２２と、送信バッファ２３と、自装置の各種制御を行うためのプログラム（コンピュータで実行可能なプログラム）を格納する記録媒体２４とから構成されている。尚、認証用ハブ２としては、フレーム受信回路部２１と、登録情報データベース２２と、送信バッファ２３と、記録媒体２４とを集積化して集積回路チップとすることもできる。

ＤＨＣＰサーバ８は端末装置１−１〜１−３からのリクエストに対してＩＰアドレスの払い出しを行う。認証サーバ３は端末装置１−１〜１−３から送信される認証フレームを受信し、端末装置１−１〜１−３（ユーザ）の認証を行う。その結果、端末装置１−１〜１−３の認証が完了した場合、認証サーバ３は認証用ハブ２の登録情報データベース２２に対して端末装置１−１〜１−３の通信許可（認証済み）を通知する。

認証用ハブ２は端末装置１−１〜１−３が送信したフレームをフレーム受信回路部２１において受信し、その送信元情報を基に登録情報データベース２２を参照することによって、フレームの送信、書換え送信、破棄を決定し、送信または書換え送信が許可された送信フレームについては送信バッファ２３に送る。

図３は図２の認証用ハブ２の動作例を示すフローチャートである。これら図２及び図３を参照して認証用ハブ２の動作について説明する。尚、図３に示す処理は認証用ハブ２が記録媒体２４のプログラムを実行することで実現される。

認証用ハブ２は入力されたフレームに対して、登録情報データベース２２への送信元の登録状況を確認する（図３ステップＳ１，Ｓ２）。認証用ハブ２はそのフレームの送信元の登録状況が「認証済み」であった場合、そのフレームを送信バッファ２３に送り（図３ステップＳ６）、その後、宛先ポートから送信する。

また、認証用ハブ２はそのフレームの送信元の登録状況が「未登録」であった場合、そのフレームの送信元を「制限付き」端末として登録情報データベース２２に登録する（図３ステップＳ３）。この後、あるいはそのフレームの送信元の登録状況が「制限付き」であった場合、認証用ハブ２は「制限付き」フレームに対してブロードキャストかユニキャストかの判定を行う（図３ステップＳ４）。

認証用ハブ２はブロードキャストフレームであった場合、そのフレームをブロードキャストフレームから登録情報データベース２２で指定された送信先へのユニキャストフレームに書換えを行った後（図３ステップＳ５）、そのフレームを送信バッファ２３に送り（図３ステップＳ６）、その後、宛先ポートから送信する。

一方、認証用ハブ２はユニキャストフレームであった場合、フレームの送信先の確認を行い（図３ステップＳ７）、フレームの送信先が登録情報データベース２２の設定で許可された送信先である場合、そのフレームを送信バッファ２３に送り（図３ステップＳ６）、その後、宛先ポートから送信する。

また、認証用ハブ２はフレームの送信先が登録情報データベース２２の設定で許可されていない送信先の場合、そのフレームを破棄する（図３ステップＳ６）。

図４は図２の認証用ハブ２の登録情報データベース２２の格納情報を示す図である。図４（ａ）は制限付き端末でのフレーム送信可能ノードエントリ２２ａを示し、図４（ｂ）は端末装置登録情報エントリ２２ｂを示している。すなわち、登録情報データベース２２の格納情報はフレーム送信可能ノードエントリ２２ａと、端末装置登録情報エントリ２２ｂとの２つに分類される。

制限付き端末でのフレーム送信可能ノードエントリ２２ａには、制限付き端末装置からユニキャストまたはブロードキャストで送信可能なネットワークノードについての情報が格納されている。このエントリ２２ａには送信可能なネットワークノードの送信先識別子２２１ａと、ユニキャストのフレーム送信可否を決めるユニキャスト送信許可フラグ２２２ａと、ブロードキャストからユニキャストに書換えられたフレームの送信可否を決めるブロードキャスト書換え許可フラグ２２３ａとの３項目が含まれている。

送信先識別子２２１ａとしては、“ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス”、または“ＩＰアドレス”、もしくはその両者を使用することが考えられる。送信先識別子２２１ａに登録するネットワークノードとしては、認証サーバ３、ＤＨＣＰサーバ８が挙げられる。この送信先識別子２２１ａには、必要に応じてＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ等を追加することも考えられる。

端末装置登録情報エントリ２２ｂには、端末装置１の認証状態についての情報が格納されている。このエントリ２２ｂには、端末装置の端末識別子２２１ｂと、端末装置が認証状態か制限状態かを示す認証フラグ２２２ｂとの２項目が含まれている。端末識別子２２１ｂとしては、“ＭＡＣアドレス”を使用することが考えられる。

図５及び図６は本発明の一実施例による認証システムの動作例を示すシーケンスチャートである。これら図２〜図６を参照して本発明の一実施例による認証システムの動作について説明する。本発明の一実施例による認証システムの動作は、端末装置１、認証用ハブ２、ＤＨＣＰサーバ８、認証サーバ３によって行われる。その他のノードは、認証用ハブ２やスイッチングハブ４、ルータ５経由で接続されるその他のネットワーク機器や端末装置を示している。

端末装置１が「制限付き」の場合、端末装置１から送信された任意のユニキャストフレームは、認証用ハブ２において登録情報データベース２２にある制限付き端末装置でのフレーム送信可能ノードエントリ２２ａのユニキャスト送信を許可されたエントリと一致するかが確認され、許可されたネットワークノード以外であった場合、認証用ハブ２で破棄される（図５のａ１，ａ２）。このユニキャストフレームは許可されたネットワークノードの場合、そのまま送信される。

端末装置１から送信されたブロードキャストフレームは、認証用ハブ２において登録情報データベース２２にある制限付き端末装置でのフレーム送信可能ノードエントリ２２ａのブロードキャスト書換え許可フラグ２２３ａによって許可されたネットワークノード宛てのユニキャストフレームに書き換えられた後に送信される（図５のａ３，ａ４，ａ６）。

本実施例ではＤＨＣＰサーバ８及び認証サーバ３を送信可能ネットワークノードとしており、ＤＨＣＰサーバ８及び認証サーバ３は送られてきたユニキャストフレームを受信または破棄する（図５のａ５，ａ７）。

端末装置１はＤＨＣＰサーバ８のＩＰアドレスの取得のためにＤＨＣＰサーバ８へアクセスを行う場合、ブロードキャストでＤＨＣＰフレームを送信する（図５のａ８）。認証用ハブ２はブロードキャストとして受信したＤＨＣＰフレームをＤＨＣＰサーバ８及び認証サーバ３宛てのユニキャストフレームとして送信する（図５のａ９，ａ１１）。

認証サーバ３は受信したユニキャストフレームが認証用のフレームではないため、そのフレームの破棄を行う（図５のａ１２）。ＤＨＣＰサーバ８は受信したユニキャストフレームをＤＨＣＰのリクエストとしてＩＰアドレス払い出し処理を行い、端末装置１に対してリプライのＤＨＣＰフレームを送信する（図５のａ１０，ａ１３，ａ１４）。端末装置１は受信したＤＨＣＰフレームからＤＨＣＰサーバ８のＩＰアドレスを取得する（図５のａ１５）。

端末装置１はユーザ認証を行う場合、まず認証サーバ３のＩＰアドレスからＭＡＣアドレスを取得するために、ブロードキャストにてＡＲＰフレームを送信する（図５のａ１６）。認証用ハブ２はブロードキャストで受信したＡＲＰフレームをＤＨＣＰサーバ８及び認証サーバ３宛てのユニキャストとしてＡＲＰフレームを送信する（図５のａ１７，ａ１９）。

ＤＨＣＰサーバ８は受信したＡＲＰフレームに含まれる情報が自装置のＩＰアドレスではないため、そのフレームを破棄する（図５のａ１８）。認証サーバ３はＡＲＰフレームに含まれる情報が自装置のＩＰアドレスであるため、ＡＲＰに対してリプライのＡＲＰフレームを送信する（図５のａ２０〜ａ２２）。

端末装置１は認証サーバ３から受信したリプライのＡＲＰフレームよりＭＡＣアドレスを取得することができるので（図５のａ２３）、認証サーバ３に対してそのＭＡＣアドレス宛てに認証のためのユニキャスト通信を行う（図６のａ２４）。認証用ハブ２は端末装置１から受信したユニキャストフレーム（認証フレーム）の送信先が許可されたネットワークノードであるため、そのままフレームの送信を行う。

端末装置１と認証サーバ３との間で認証が完了すると、認証サーバ３は端末装置１に対して認証ＯＫフレームをリプライし（図６のａ２５〜ａ２７）、端末装置１は認証状態と認識される（図６のａ２８）。また、認証サーバ３は認証用ハブ２の登録情報データベース２２にアクセスし（認証ＯＫフレーム）（図６のａ２９，ａ３０）、端末装置登録情報エントリ２２ｂの該当する端末装置エントリに対して認証フラグ２２２ｂを「未」から「完」に更新する（図６のａ３１）。

認証後、端末装置１から送信されるブロードキャストフレーム、ユニキャストフレームはそのまま送信先または全ネットワークノードに対して送信が行われる（図６のａ３２〜ａ３６）。

このように、本実施例では、認証用ハブ２にて、端末装置１から送信されたユニキャストフレームの送信を制限し、ＩＰアドレス取得やＡＲＰ解決といった認証動作に必要不可欠なブロードキャストフレームを、許可された送信先へのユニキャストフレームに書き換えることで、必要なネットワークノード（例えば、認証サーバ）のみにアクセス可能としている。

本実施例では、認証用ハブ２において、従来のように、認証動作を肩代わりしたり、ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を切替えるといった高度な機能が不要となるので、ソフトウェアの機能や性能が問われるような高性能な装置を使用する必要がない。これは以下の理由によるものである。

本実施例では、認証用ハブ２が、ノードと認証サーバ３との間の通信（認証動作）において、未認証ノードからの通信を全て遮断し、認証フレームを認証用ハブ２が肩代わりして認証サーバ３に送信するのではなく、ノードと認証サーバ３との間の通信及びその他必要な通信のみを透過するように動作するため、認証用ハブ２自身が認証動作にかかわる必要がない。これによって、本実施例では、認証用ハブ２が、ノードと認証サーバ３との間のプロトコルに対応する必要性がなく、フレームを作成して送信する機能を持つ必要もない。

また、本実施例では、認証用ハブ２が、ＶＬＡＮを切り分けて認証前後の通信範囲の切り分けを行うのではなく、認証前の送信先を限定する方式であるため、ネットワークの切替え動作やＶＬＡＮ機能自身を有する必要がない。この場合、本実施例では、認証用ハブ２が、ソフトウェアが介在する部分が認証サーバ３とのテーブルのやりとりのみとなるため、非常に単純なパケットフィルタ機能、パケットコピー機能、アドレス書換え機能を含むハードウェア機能と、認証サーバから認証用ハブのテーブルを書換える機能を含むソフトウェア機能とをのみ有することで、実現可能となる。

さらに、本実施例では、認証用ハブ２が、認証前のノードに対して一部の通信が許可される。つまり、本実施例では、認証用ハブ２が、制限付きのノードからの送信可能ノードエントリテーブルを持つことによって、認証済みのノード以外のノードからの受信フレームを全て廃棄するのではなく、制限付きのノードからの受信としてエントリテーブル宛てのフレームを送信可能としているからである。

さらにまた、本実施例では、認証用ハブ２が、端末のネットワーク設定を認証前後で変更する必要がない。上述した認証ＶＬＡＮ方式では、制限付きのノードが参加するＶＬＡＮと、認証済みのノードが参加するＶＬＡＮとを別のＶＬＡＮとすることで、通信可能ノードの通信範囲を変更しているが、この方式ではＶＬＡＮの切替えに伴ってネットワークが変わるため、ノード側でもネットワーク設定の切替えが必要になる。本実施例では、認証用ハブ２が、認証前後でネットワークを切替えるのではなく、送信可能先を切替えているため、端末でのネットワーク設定の切替えが不要となる。

したがって、本実施例では、認証用ハブ２にて、端末装置１がスイッチングハブ４やルータ５を経由してその他のネットワークノード（その他のサーバ６や認証済み端末装置７）にアクセスするのを排除することによって、複雑なシステムやネットワークの切替え、高機能な認証装置を使用することなく、不正ユーザによる侵入や盗聴、攻撃を防ぎ、セキュリティ性を確保することができる。

尚、本実施例では、ネットワークの内部へのアクセス制限について述べたが、ネットワークの外部へのアクセス制限を行うことも可能である。宛先がネットワークの外部の場合、宛先ＭＡＣアドレスはデフォルトゲートウェイとして機能するルータのアドレスとなり、宛先ＩＰアドレスは目的のネットワークノードのＩＰアドレスとなる。この二つのアドレスを送信先識別子として制限付き端末に対応するフレーム送信可能ノードエントリに格納し、そのフレーム送信可能ノードエントリに基づいて送信判定を行う必要がある。

本発明の実施の形態による認証システムの構成を示すブロック図である。 本発明の一実施例による認証システムの構成を示すブロック図である。 図２の認証用ハブ２の動作例を示すフローチャートである。 図２の認証用ハブの登録情報データベースの格納情報を示す図である。 本発明の一実施例による認証システムの動作例を示すシーケンスチャートである。 本発明の一実施例による認証システムの動作例を示すシーケンスチャートである。 従来のＩＥＥＥ８０２．１Ｘ認証方式の認証システムの構成を示すブロック図である。 従来の認証ＶＬＡＮ方式の認証システムの構成を示すブロック図である。

符号の説明

１，１−１〜１−３ 端末装置
２ 放送範囲可変型ネットワーク集線装置（認証用ハブ）
３ 認証サーバ
４ スイッチングハブ
５ ルータ
６ その他のサーバ
７ 認証済み端末装置
８ ＤＨＣＰサーバ
２１ フレーム受信回路部
２２ 登録情報データベース
２２ａ フレーム送信可能ノードエントリ
２２ｂ 端末装置登録情報エントリ
２３ 送信バッファ
２４ 記録媒体
１００ ネットワーク
２２１ａ 送信先識別子
２２２ａ ユニキャスト送信許可フラグ
２２３ａ ブロードキャスト書換え許可フラグ
２２１ｂ 端末識別子
２２２ｂ 認証フラグ

Claims (13)

1. ネットワーク集線装置に収容される端末装置の認証を行う認証サーバを含む認証システムであって、
   前記ネットワーク集線装置は、前記認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限する手段を有し、
   前記フレームの転送を制限する手段は、前記端末装置から送信されたユニキャストフレームの送信を制限し、前記端末装置が認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要不可欠なブロードキャストフレームを予め許可された送信先へのユニキャストフレームに書き換えることで、認証前に、少なくとも前記端末装置の前記認証サーバへのアクセスを可能とし、
   前記フレームの転送を制限する手段は、認証前に、少なくともスイッチングハブ及びルータを経由して他のノードへアクセスしようとするフレームを排除することを特徴とする認証システム。
2. 前記ネットワーク集線装置は、前記ブロードキャストフレームと前記ユニキャストフレームとの書き換えが可能な放送範囲可変型であることを特徴とする請求項１記載の認証システム。
3. 前記認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要な処理として、少なくともＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス取得とＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）解決とを含むことを特徴とする請求項１または請求項２記載の認証システム。
4. 前記ネットワーク集線装置は、少なくとも前記フレームの転送を制限する手段を集積化してなる集積回路であることを特徴とする請求項１から請求項３のいずれか記載の認証システム。
5. 認証サーバによって認証される端末装置を収容するネットワーク集線装置であって、
   前記認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限する手段を有し、
   前記フレームの転送を制限する手段は、前記端末装置から送信されたユニキャストフレームの送信を制限し、前記端末装置が認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要不可欠なブロードキャストフレームを予め許可された送信先へのユニキャストフレームに書き換えることで、認証前に、少なくとも前記端末装置の前記認証サーバへのアクセスを可能とし、
   前記フレームの転送を制限する手段は、認証前に、少なくともスイッチングハブ及びルータを経由して他のノードへアクセスしようとするフレームを排除することを特徴とするネットワーク集線装置。
6. 前記ブロードキャストフレームと前記ユニキャストフレームとの書き換えが可能な放送範囲可変型であることを特徴とする請求項５記載のネットワーク集線装置。
7. 前記認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要な処理として、少なくともＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス取得とＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）解決とを含むことを特徴とする請求項５または請求項６記載のネットワーク集線装置。
8. 少なくとも前記フレームの転送を制限する手段を集積化してなる集積回路であることを特徴とする請求項５から請求項７のいずれか記載のネットワーク集線装置。
9. ネットワーク集線装置に収容される端末装置の認証を行う認証サーバを含む認証システムに用いられる認証方法であって、
   前記ネットワーク集線装置が、前記認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限するステップを実行し、
   前記フレームの転送を制限するステップにおいて、前記端末装置から送信されたユニキャストフレームの送信を制限し、前記端末装置が認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要不可欠なブロードキャストフレームを予め許可された送信先へのユニキャストフレームに書き換えることで、認証前に、少なくとも前記端末装置の前記認証サーバへのアクセスを可能とし、
   前記フレームの転送を制限するステップにおいて、認証前に、少なくともスイッチングハブ及びルータを経由して他のノードへアクセスしようとするフレームを排除することを特徴とする認証方法。
10. 前記ネットワーク集線装置は、前記ブロードキャストフレームと前記ユニキャストフレームとの書き換えが可能な放送範囲可変型であることを特徴とする請求項９記載の認証方法。
11. 前記認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要な処理として、少なくともＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス取得とＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）解決とを含むことを特徴とする請求項９または請求項１０記載の認証方法。
12. 前記ネットワーク集線装置が、少なくとも前記フレームの転送を制限する手段を集積化してなる集積回路であることを特徴とする請求項９から請求項１１のいずれか記載の認証方法。
13. ネットワーク集線装置に収容される端末装置の認証を行う認証サーバを含む認証システムにおいて前記ネットワーク集線装置内のコンピュータに実行させるプログラムであって、
    前記認証サーバによって許可された端末装置以外からのフレームのネットワークの内部及び外部への転送を制限する処理を含み、
    前記フレームの転送を制限する処理において、前記端末装置から送信されたユニキャストフレームの送信を制限させ、前記端末装置が認証動作を行う際に前記認証サーバとＩＰ通信を行うために必要不可欠なブロードキャストフレームを予め許可された送信先へのユニキャストフレームに書き換えることで、認証前に、少なくとも前記端末装置の前記認証サーバへのアクセスを可能とさせ、
    前記フレームの転送を制限する処理において、認証前に、少なくともスイッチングハブ及びルータを経由して他のノードへアクセスしようとするフレームを排除させることを特徴とするプログラム。

Images