JP5143198B2 - ネットワーク中継装置 - Google Patents

Description

本発明は、ネットワーク中継装置に関する。

ＩＣＴ（Information and Communication Technology）技術の進展に伴い、インテリジェントスイッチと呼ばれるスイッチ製品が登場している。このようなインテリジェントスイッチは、一般的なスイッチと比較して高機能なスイッチのことを意味する。インテリジェントスイッチは様々な機能、例えば、ＶＬＡＮ（Virtual Local Area Network）機能や、セキュリティ機能や、ＱｏＳサービス品質機能等を備えている（例えば、特許文献１）。このような機能の中でも、近年では、ネットワーク内部における脅威を重要視したセキュリティ機能の強化が求められている。

しかし、従来の技術では、インテリジェントスイッチにおいて、一般に広く用いられているポートベースのセキュリティ（インテリジェントスイッチのポートに接続する外部装置のＭＡＣアドレスに基づいてトラフィックの入力を制限する）を採用した場合であっても、インテリジェントスイッチ同士をカスケード接続するためのカスケード接続用ポートはオープン状態、すなわち、セキュリティ面におけるトラフィックの入力制限なしの状態に設定されていた。このため、カスケード接続用ポートがセキュリティホールになるという問題があった。

また、このような問題は、インテリジェントスイッチに限らず、セキュリティ機能を備えるネットワーク中継装置全般に共通する問題であった。

特開２００８−４８２５２号公報 特開２００６−１２８９８５号公報 特開２００９−２３９４２７号公報 特開２００６−５０３７２号公報 特開２００２−２０４２４７号公報

本発明は、ネットワーク中継装置において、セキュリティを向上させることを目的とする。

本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、例えば、以下の形態として実現可能である。ネットワーク中継装置であって、前記ネットワーク中継装置に他のネットワーク中継装置が接続された際に、予め定められた認証方式に従って、他のネットワーク中継装置との間で認証を行う認証処理部と、前記ネットワーク中継装置が受信したフレームである受信フレームの中継可否を決定し、中継可である前記受信フレームを中継するとともに、前記認証が成功した場合に、前記他のネットワーク中継装置で中継が許可されているフレームを前記ネットワーク中継装置においても中継する中継処理部と、を備え、前記認証処理部は、前記認証をされる側として動作する認証クライアントと、前記認証をする側として動作する認証サーバとの両方の機能を有し、前記他のネットワーク中継装置の接続検出後、一定時間内に前記認証の開始を要求するための開始フレームを受信しない場合は、前記他のネットワーク中継装置に対して前記開始フレームを送信する。本発明は、そのほか、以下の形態又は適用例として実現することが可能である。

［適用例１］
ネットワーク中継装置であって、
前記ネットワーク中継装置に他のネットワーク中継装置が接続された際に、予め定められた認証方式に従って、他のネットワーク中継装置との間で認証を行う認証処理部と、
前記ネットワーク中継装置が受信したフレームである受信フレームの中継可否を決定し、中継可である前記受信フレームを中継するとともに、前記認証が成功した場合に、前記他のネットワーク中継装置で中継が許可されているフレームを前記ネットワーク中継装置においても中継する中継処理部と、
を備える、ネットワーク中継装置。
このような構成にすれば、認証処理部は、ネットワーク中継装置に他のネットワーク中継装置が接続された際に、予め定められた認証方式に従って、他のネットワーク中継装置との間で認証を行い、中継処理部は、認証が成功した場合に、他のネットワーク中継装置で中継が許可されているフレームをネットワーク中継装置においても中継するため、ネットワーク中継装置において、セキュリティを向上させることができる。

［適用例２］
適用例１記載のネットワーク中継装置であって、
前記中継処理部は、
前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストに従って、前記受信フレームの中継可否を決定し、
前記中継処理部は、さらに、
前記認証が成功した場合に、前記第１の許可リストの内容を前記他のネットワーク中継装置へ送信すると共に、前記他のネットワーク中継装置から、前記他のネットワーク中継装置において中継可能なフレームを特定するための第２の許可リストの内容を受信し、受信した前記第２の許可リストの内容を、前記第１の許可リストに反映する認証情報管理部を備える、ネットワーク中継装置。
このような構成にすれば、中継処理部は、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストに基づいて、受信フレームの中継可否を決定し、認証情報管理部は、他のネットワーク中継装置との間の認証が成功した場合に、第１の許可リストの内容を他のネットワーク中継装置へ送信すると共に、他のネットワーク中継装置から、他のネットワーク中継装置において中継可能なフレームを特定するための第２の許可リストの内容を受信し、受信した第２の許可リストに規定された内容を、第１の許可リストに反映するため、ネットワーク中継装置において、セキュリティを向上させることができる。

［適用例３］
適用例１または２記載のネットワーク中継装置であって、さらに、
前記ネットワーク中継装置が有するそれぞれのポートに対する仮想ネットワークの識別子を格納する第１の仮想ネットワーク定義情報を備え、
前記中継処理部は、さらに、
前記第１の仮想ネットワーク定義情報に基づいて、前記ネットワーク中継装置に直接的に、または、他のネットワーク中継装置を介して間接的に接続される端末における仮想的なサブネットワークを構築することが可能であり、
前記認証情報管理部は、さらに、
前記認証が成功した場合、前記第１の仮想ネットワーク定義情報の内容を前記他のネットワーク中継装置へ送信すると共に、前記他のネットワーク中継装置から、前記他のネットワーク中継装置が有するそれぞれのポートに対する仮想ネットワークの識別子を格納する第２の仮想ネットワーク定義情報の内容を受信し、受信した前記第２の仮想ネットワーク定義情報の内容を、前記第１の仮想ネットワーク定義情報に反映する、ネットワーク中継装置。
このような構成にすれば、中継処理部は、さらに、第１の仮想ネットワーク定義情報に基づいて仮想的なサブネットワークを構築することが可能であり、認証情報管理部は、さらに、他のネットワーク中継装置との間の認証が成功した場合に、第１の仮想ネットワーク定義情報の内容を他のネットワーク中継装置へ送信すると共に、他のネットワーク中継装置から第２の仮想ネットワーク定義情報の内容を受信し、受信した第２の仮想ネットワーク定義情報の内容を、第１の仮想ネットワーク定義情報に反映するため、ネットワーク中継装置において、セキュリティを向上しつつ、仮想的なサブネットワークに関する設定を簡便に行うことができる。

［適用例４］
適用例２または３記載のネットワーク中継装置であって、
前記認証処理部は、さらに、
前記ネットワーク中継装置に端末が直接的に接続された際に、予め定められた認証方式に従って前記端末を認証し、
前記認証情報管理部は、さらに、
前記端末の認証が成功した場合、前記端末からの受信フレームの中継を許可するように前記第１の許可リストに規定された内容を変更するとともに、変更された前記第１の許可リストの内容を前記他のネットワーク中継装置へ送信する、ネットワーク中継装置。
このような構成にすれば、認証処理部は、さらに、ネットワーク中継装置に端末が直接的に接続された際に、予め定められた認証方式に従って端末を認証し、認証情報管理部は、さらに、端末の認証が成功した場合、端末からの受信フレームの中継を許可するように第１の許可リストに規定された内容を変更するとともに、変更された第１の許可リストの内容を他のネットワーク中継装置へ送信するため、ネットワーク中継装置において、セキュリティを向上させることができる。

［適用例５］
適用例３に従属する適用例４記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記端末の認証が成功した場合、前記第１の仮想ネットワーク定義情報の内容を前記他のネットワーク中継装置へ送信する、ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、さらに、端末の認証が成功した場合、第１の仮想ネットワーク定義情報の内容を他のネットワーク中継装置へ送信するため、ネットワーク中継装置において、セキュリティを向上しつつ、仮想的なサブネットワークに関する設定の更新を簡便に行うことができる。

［適用例６］
適用例１ないし５のいずれか一項記載のネットワーク中継装置であって、
前記認証処理部は、ＩＥＥＥ ８０２．１Ｘに基づく認証クライアントと、ＩＥＥＥ ８０２．１Ｘに基づく認証サーバとの両方の機能を有する、ネットワーク中継装置。
このような構成にすれば、認証処理部は、ＩＥＥＥ ８０２．１Ｘに基づく認証クライアントと、ＩＥＥＥ ８０２．１Ｘに基づく認証サーバとの両方の機能を有するため、ネットワーク中継装置は、他のネットワーク中継装置に対して、認証クライアントとしても認証サーバとしても振舞うことができる。

［適用例７］
適用例１ないし６のいずれか一項記載のネットワーク中継装置であって、
前記認証処理部は、前記ネットワーク中継装置に他のネットワーク中継装置が接続された際に、前記他のネットワーク中継装置のＭＡＣアドレスが、前記ネットワーク中継装置内に接続を許可すべきＭＡＣアドレスとして予め登録されている場合に、前記認証が成功したものと取り扱う、ネットワーク中継装置。
このような構成にすれば、認証処理部は、ネットワーク中継装置に他のネットワーク中継装置が接続された際に、他のネットワーク中継装置のＭＡＣアドレスが接続を許可すべきＭＡＣアドレスとして予め登録されている場合に、認証が成功したものと取り扱うため、接続を許可すべき他のネットワーク中継装置を予め指定しておくことができる。

なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、ネットワーク中継装置、ネットワーク中継装置の制御方法、ネットワーク中継装置を用いたネットワークシステム、および、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。

本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。 スイッチの構成を概略的に示す説明図である。 認証方法リストの一例を示す説明図である。 許可リストの一例を示す説明図である。 フレーム受信時処理の手順を示すフローチャートである。 スイッチに他のスイッチが接続された場合であって認証が行われる前の様子を示す説明図である。 図５のステップＳ１６において認証の種類がＥＡＰ＿ＣＡＳである場合に行われる処理の流れを示すシーケンス図である。 スイッチに他のスイッチが接続された場合であって認証が行われた後の様子を示す説明図である。 図８の状態においてスイッチに新たな外部装置が接続される様子を示す説明図である。 図５のステップＳ１６において認証の種類がＥＡＰ＿ＰＣである場合に行われる処理の流れを示すシーケンス図である。 スイッチに新たな外部装置が接続された場合であって認証が行われた後の様子を示す説明図である。 第２実施例におけるスイッチの構成を概略的に示す説明図である。 ＶＬＡＮ定義情報の一例を示す説明図である。 第２実施例におけるスイッチに他のスイッチが接続された場合であって認証が行われる前の様子を示す説明図である。 第２実施例におけるスイッチに対して他のスイッチが接続された際に行われる処理（図５：ステップＳ１６：認証の種類ＥＡＰ＿ＣＡＳ）の流れを示すシーケンス図である。 第２実施例におけるスイッチに他のスイッチが接続された場合であって認証が行われた後の様子を示す説明図である。

次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。

Ａ．第１実施例：
（Ａ−１）装置構成：
図１は、本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。ネットワーク中継装置（以降、「スイッチ」とも呼ぶ。）１００は、いわゆるレイヤ２スイッチであり、ＭＡＣアドレスによるフレームの中継を行う機能を有する。また、スイッチ１００は、５つのポートＰ５０１〜Ｐ５０５を備えている。ポートＰ５０１には、回線を通じてパーソナルコンピュータ（以降、「端末」、「ＰＣ」とも呼ぶ。）１０が接続されている。ＰＣ１０のＭＡＣアドレスはＭＡＣ＿ＰＣ１０である。ポートＰ５０２には、回線を通じてＰＣ２０が接続されている。ＰＣ２０のＭＡＣアドレスはＭＡＣ＿ＰＣ２０である。なお、図１では便宜上、説明上必要としない、他のネットワーク装置、回線、端末、およびネットワーク中継装置１００内の構成部については図示を省略している。このことは、後述する図においても同様である。

図２は、スイッチ１００の構成を概略的に示す説明図である。スイッチ１００は、ＣＰＵ２００と、ＲＯＭ３００と、ＲＡＭ４００と、有線通信インタフェース（有線通信Ｉ／Ｆ）５００とを備えている。スイッチ１００の各構成要素は、バスを介して互いに接続されている。

ＣＰＵ２００は、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００に展開して実行することにより、スイッチ１００の各部を制御する。また、ＣＰＵ２００は、中継処理部２１０、ＥＡＰ認証部２４０としても機能する。中継処理部２１０は、さらに、認証情報管理部２２０と、ＭＡＣアドレス認証部２３０とを含み、有線通信インタフェース５００を介して受信したフレームである受信フレームを中継する機能を有する。認証情報管理部２２０は、主として、許可リスト４２０を更新する機能と、他のスイッチとの間において許可リスト４２０を交換する機能とを有する。ＭＡＣアドレス認証部２３０は、受信フレームの中継可否を決定する機能を有する。認証処理部としてのＥＡＰ認証部２４０は、スイッチ１００に外部装置（例えば、ＰＣや他のスイッチ）が接続された際に、予め定められた認証方式に従って、外部装置との間で認証を行う機能を有する。これら各機能部についての詳細は後述する。

ＲＡＭ４００には、認証方法リスト４１０と、許可リスト４２０とが含まれている。これら各リストについての詳細は後述する。有線通信インタフェース５００は、ローカルエリアネットワーク（ＬＡＮ）と接続するためのＬＡＮケーブルの接続口である。有線通信インタフェース５００は、５つのポートＰ５０１〜Ｐ５０５を含んでいる。なお、本実施例では、ポートＰ５０１〜Ｐ５０４はスイッチ以外の外部装置（例えば、ＰＣやモバイル端末等）を接続するためのポートである。ポートＰ５０５は、他のスイッチを接続するためのカスケード接続用ポートである。

（Ａ−２）テーブル構成：
図３は、認証方法リスト４１０の一例を示す説明図である。認証方法リスト４１０は、ポート番号フィールドと、認証の種類フィールドと、ＭＡＣ認証フィールドとを含んでいる。ポート番号フィールドの各エントリには、スイッチ１００が備える全てのポートについての識別子が格納されている。

認証の種類フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められた認証の種類が格納されている。認証の種類とは、ポートに対して外部装置（ＰＣや他のスイッチ）が接続された際に、ＥＡＰ認証部２４０が行う認証の種類のことを意味する。本実施例における認証の種類は、「ＥＡＰ＿ＰＣ」と、「ＥＡＰ＿ＣＡＳ」と、「Ｏｐｅｎ」とを含んでいる。ＥＡＰ＿ＰＣは、スイッチと、スイッチ以外の外部装置との間における認証であることを意味する。ＥＡＰ＿ＣＡＳは、スイッチ間認証であることを意味する。Ｏｐｅｎは、認証なしであることを意味する。また、各認証の種類において実際に用いられる認証方式は、ＲＡＭ４００内部に予め格納されている。本実施例では、認証の種類がＥＡＰ＿ＰＣの場合はＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５（extensible authentication protocol-message digest version 5）を用いて認証を行う。一方、認証の種類がＥＡＰ＿ＣＡＳの場合はＩＥＥＥ ８０２．１ＸのＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）を用いて認証を行う。なお、各認証の種類において実際に用いられる認証方式は、利用者によるコンフィギュレーションが可能な構成としてもよい。

ＭＡＣ認証フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められたＭＡＣアドレス認証の有効（ｅｎａｂｌｅ）／無効（ｄｉｓａｂｌｅ）の設定値が格納されている。

例えば、図３の例では、識別子Ｐ５０１で識別されるポート（ポートＰ５０１）に外部装置が接続された際には、ＥＡＰ＿ＰＣに基づく認証、すなわち、ＥＡＰ−ＭＤ５認証方式に従って認証が行われることが規定されている。また、ポートＰ５０１からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０１）。ポートＰ５０４に外部装置が接続された際には、認証を行わないことが規定されている。また、ポートＰ５０４からの受信フレームに対しては、ＭＡＣアドレス認証を行わないことが規定されている（エントリＥ０４）。ポートＰ５０５に外部装置が接続された際には、ＥＡＰ＿ＣＡＳに基づく認証、すなわち、ＥＡＰ−ＴＬＳ認証方式に従って認証が行われることが規定されている。また、ポートＰ５０５からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０５）。

なお、エントリＥ０４のように、認証の種類がＯｐｅｎに設定されたポートでは、フレームの中継を正しく行うために、ＭＡＣアドレス認証は無効（ｄｉｓａｂｌｅ）に設定される。このため、スイッチ１００は、認証の種類がＯｐｅｎに設定されたポートに対しては、外部装置の接続時において認証を行わず、さらに、受信フレームに対するＭＡＣアドレス認証も行わない。この結果、認証の種類がＯｐｅｎに設定されたポートがセキュリティホールになる恐れがある。

図４は、許可リスト４２０の一例を示す説明図である。第１の許可リストとしての許可リスト４２０は、ＭＡＣアドレス認証の際に使用されるリストである。許可リスト４２０には、スイッチ１００の中継処理部２１０において中継を許可する受信フレームの送信元ＭＡＣアドレス（フレームの送信元である装置のＭＡＣアドレス）が、許可アドレスとして格納されている。すなわち、許可リスト４２０には、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されているといえる。

例えば、図４の例では、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、「ＭＡＣ＿ＰＣ１０」、「ＭＡＣ＿ＰＣ２０」のいずれかであれば、中継処理部２１０において当該フレームの中継が許可される。

（Ａ−３）フレーム受信時処理：
図５は、フレーム受信時処理の手順を示すフローチャートである。中継処理部２１０は、ポートＰ５０１〜Ｐ５０５のいずれかを介してフレームを受信したか否かを判定する（ステップＳ１０）。フレームを受信していない場合（ステップＳ１０：ＮＯ）、ステップＳ１０へ戻る。フレームを受信した場合（ステップＳ１０：ＹＥＳ）、中継処理部２１０は、受信フレームはＥＡＰフレームか否かを判定する（ステップＳ１２）。具体的には、例えば、中継処理部２１０は、受信フレームのヘッダに含まれるイーサタイプから判断される受信フレームのタイプがＥＡＰＯＬである場合、ＥＡＰフレームを受信したと判定することができる。

受信フレームがＥＡＰフレームである場合（ステップＳ１２：ＹＥＳ）、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索する（ステップＳ１４）。具体的には、ＥＡＰ認証部２４０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリの認証の種類フィールドの値を取得する。ＥＡＰ認証部２４０は、取得した認証の種類に応じた処理を行った後、処理を終了する（ステップＳ１６）。各認証の種類（ＥＡＰ＿ＰＣ、ＥＡＰ＿ＣＡＳ）に応じた処理の詳細については後述する。

一方、受信フレームがＥＡＰフレーム以外のフレームである場合（ステップＳ１２：ＮＯ）、ＭＡＣアドレス認証部２３０は認証方法リスト４１０を検索する（ステップＳ１８）。具体的には、ＭＡＣアドレス認証部２３０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリのＭＡＣ認証フィールドの値、すなわち、ＭＡＣアドレス認証の有効／無効の設定値を取得する。次に、ＭＡＣアドレス認証部２３０は、ＭＡＣアドレス認証を行うか否かを判定する（ステップＳ２０）。具体的には、取得した設定値が「ｅｎａｂｌｅ」であればＭＡＣアドレス認証を行い、取得した設定値が「ｄｉｓａｂｌｅ」であればＭＡＣアドレス認証は行わない。ＭＡＣアドレス認証を行わない場合（ステップＳ２０：なし）、処理はステップＳ２８へ遷移する。

ＭＡＣアドレス認証を行う場合（ステップＳ２０：あり）、ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であるか否かを判定する（ステップＳ２４）。具体的には、ＭＡＣアドレス認証部２３０は、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致するか否かを判定する。一致しない場合（ステップＳ２４：不可）、ＭＡＣアドレス認証部２３０は、受信フレームを破棄し、処理を終了する（ステップＳ２６）。受信フレームを破棄した際、ＭＡＣアドレス認証部２３０は、破棄したフレームの送信元端末に対して、フレームを破棄した旨の通知を行ってもよい。

一方、一致する場合（ステップＳ２４：可）、ＭＡＣアドレス認証部２３０は、受信フレームは中継可であるものとして、フレーム中継処理を行う（ステップＳ２８）。フレーム中継処理においては、中継処理部２１０は、図示しないＭＡＣアドレステーブルを参照し、フォワーディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルにある場合のフレーム中継動作）もしくはフラッディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルに無い場合の動作）を行った後、処理を終了する。このように、中継処理部２１０のＭＡＣアドレス認証部２３０は、許可リスト４２０に基づいて、受信フレームの中継可否を決定する。

図６は、スイッチ１００に他のスイッチ１００Ｘが接続された場合であって、認証が行われる前の様子を示す説明図である。スイッチ１００Ｘの構成は、ポートＰ５０１がカスケード接続用ポートに設定されている点を除いては、図１に示したスイッチ１００と同様である。スイッチ１００ＸのポートＰ５０１は、回線を通じてスイッチ１００のポートＰ５０５と接続されている。また、スイッチ１００ＸのポートＰ５０２にはＰＣ３０が、ポートＰ５０３にはＰＣ４０が、ポートＰ５０４にはＰＣ５０が、それぞれ回線を通じて接続されている。また、ＰＣ３０のＭＡＣアドレスはＭＡＣ＿ＰＣ３０、ＰＣ４０のＭＡＣアドレスはＭＡＣ＿ＰＣ４０、ＰＣ５０のＭＡＣアドレスはＭＡＣ＿ＰＣ５０である。

また、スイッチ１００Ｘ内部に格納されている認証方法リスト４１０の、ポートＰ５０１に対応する認証の種類フィールドの値は「ＥＡＰ＿ＣＡＳ」、ＭＡＣ認証フィールドの値は「ｅｎａｂｌｅ」である。また、ポートＰ５０２に対応する認証の種類フィールドの値は「ＥＡＰ＿ＰＣ」、ＭＡＣ認証フィールドの値は「ｅｎａｂｌｅ」である。さらに、スイッチ１００Ｘ内部に格納されている許可リスト４２０には、既にスイッチ１００Ｘに接続されている３台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）が格納されている。なお、スイッチ１００Ｘに格納されている許可リスト４２０を、第２の許可リストとも呼ぶ。

例えば、図６のように、スイッチ１００とスイッチ１００Ｘとの認証が行われる前において、ＰＣ３０からＰＣ２０へフレームが送信された場合について考える。まず、スイッチ１００Ｘは、ＰＣ３０からのフレームを検出する（図５：ステップＳ１０：ＹＥＳ）。検出したフレームはＥＡＰフレームではないため（ステップＳ１２：ＮＯ）、ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０２におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０は、許可リスト４２０に格納されているＭＡＣアドレスと一致するため、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であると判定する（ステップＳ２４：可）。スイッチ１００Ｘの中継処理部２１０は、フレーム中継処理を行う（ステップＳ２８）。この結果、スイッチ１００Ｘが受信したフレームは、スイッチ１００ＸのポートＰ５０１からスイッチ１００へ向けて送信される。

スイッチ１００Ｘからのフレームを受信したスイッチ１００は（図５：ステップＳ１０：ＹＥＳ）、受信フレームはＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０５におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索し、送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が、許可リスト４２０に格納されているＭＡＣアドレスのいずれとも一致しないと判定する（ステップＳ２２、Ｓ２４：不可）。この結果、スイッチ１００が受信したフレームは、ＭＡＣアドレス認証部２３０により破棄される（ステップＳ２６）。

以上のように、スイッチ１００とスイッチ１００Ｘとの間の認証が行われる前においては、スイッチ１００は、スイッチ１００Ｘに接続されている外部装置からの受信フレームを中継することなく破棄する。換言すれば、スイッチ１００は、スイッチ１００Ｘとの認証前においては、スイッチ１００Ｘからのトラフィックの入力を制限する。これは、スイッチ１００が有する許可リスト４２０に、スイッチ１００Ｘに接続されている外部装置（ＰＣ３０〜ＰＣ５０）のＭＡＣアドレスが格納されていないためである。

（Ａ−４）認証の種類に応じた処理：
図６のように、スイッチ１００に他のスイッチ１００Ｘが接続された場合、スイッチ１００もしくはスイッチ１００Ｘは、接続先のスイッチに対して、認証の開始を要求するためのＥＡＰＯＬ開始フレームを送信する。ＥＡＰＯＬ開始フレームを受信したスイッチ１００の中継処理部２１０は、受信フレームはＥＡＰフレームであると判定する（図５：ステップＳ１２：ＹＥＳ）。このため、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索し、認証の種類はＥＡＰ＿ＣＡＳであると判定する（ステップＳ１４）。以下、認証の種類がＥＡＰ＿ＣＡＳである場合の処理（ステップＳ１６）について説明する。

（Ａ−４−１）認証の種類がＥＡＰ＿ＣＡＳである場合の処理：
図７は、図５のステップＳ１６において、認証の種類がＥＡＰ＿ＣＡＳである場合に行われる処理の流れを示すシーケンス図である。スイッチ１００に対してスイッチ１００Ｘが接続された際、最初に双方の間においてリンクアップが行われる（ステップＳ１００）。次に、サプリカント（Supplicant）としてのスイッチ１００Ｘから、オーセンティケータ（Authenticator）としてのスイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレーム（EAP over LAN-Start）が送信される（ステップＳ１０２）。

ＥＡＰＯＬ開始フレームを受信したスイッチ１００のＥＡＰ認証部２４０は、サプリカントのＩＤを要求するＥＡＰ要求フレームを送信する（ステップＳ１０４）。要求フレームを受信したスイッチ１００Ｘは、サプリカントのＩＤを含んだＥＡＰ応答フレームを送信する（ステップＳ１０６）。次に、スイッチ１００のＥＡＰ認証部２４０は、認証に使用するＥＡＰのタイプ（本実施例では、ＥＡＰ−ＴＬＳ）を通知するＥＡＰ要求フレームを送信する（ステップＳ１０８）。要求フレームを受信したスイッチ１００Ｘは、認証に使用するＥＡＰのタイプ（本実施例では、ＥＡＰ−ＴＬＳ）の識別子を含んだＥＡＰ応答フレームを送信する（ステップＳ１１０）。

その後、スイッチ１００と、スイッチ１００Ｘとの間で、ステップＳ１１０で通知された認証方式に則った認証が行われる（ステップＳ１１２）。認証が成功した場合、スイッチ１００のＥＡＰ認証部２４０は、認証が成功した旨のＥＡＰフレームを送信する（ステップＳ１１４）。なお、上述した各フレームは、ＥＡＰの規約で予め定められた形式に則った構成とされ、ＩＤやタイプ等の値は、フレーム中の規定の位置に格納されるデータとして送受信される。

認証成功後、スイッチ１００の認証情報管理部２２０は、許可リスト４２０に格納された許可アドレスを含んだフレームを送信する（ステップＳ１１６）。これを受信したスイッチ１００Ｘは、スイッチ１００Ｘ内の許可リスト４２０に格納された許可アドレスを含んだフレームを送信する（ステップＳ１１８）。最後に、スイッチ１００の認証情報管理部２２０は、受信フレームに含まれる許可アドレスをもとにして、スイッチ１００の許可リスト４２０に格納されている許可アドレスを更新する。具体的には、認証情報管理部２２０は、受信フレームに含まれる許可アドレス（ＭＡＣアドレス）を、自身の許可リスト４２０に追加する。また、スイッチ１００Ｘについても同様に、受信フレームに含まれる許可アドレスをもとにして、スイッチ１００Ｘの許可リスト４２０に格納されている許可アドレスを更新する。

なお、図７においては、スイッチ１００ＸがＩＥＥＥ ８０２．１Ｘに基づく認証クライアント（サプリカント）として機能し、スイッチ１００がＩＥＥＥ ８０２．１Ｘに基づく認証サーバ（オーセンティケータ）として機能しているが、これらは逆にしてもよい。例えば、スイッチ１００は、リンクアップ（ステップＳ１００）検出後、一定時間内にＥＡＰＯＬ開始フレームを受信しない場合は、スイッチ１００Ｘに対してＥＡＰＯＬ開始フレームを送信する構成を採用することができる。このような場合、スイッチ１００が認証クライアントとして機能し、スイッチ１００Ｘが認証サーバとして機能する。以上のように、認証処理部としてのＥＡＰ認証部２４０がＩＥＥＥ ８０２．１Ｘに基づく認証クライアントと、ＩＥＥＥ ８０２．１Ｘに基づく認証サーバとの両方の機能を有するようにすれば、スイッチ１００は、スイッチ１００Ｘに対して、認証クライアントとしても、認証サーバとしても振舞うことができるため、柔軟性の高い認証を実現することができる。

図８は、スイッチ１００に他のスイッチ１００Ｘが接続された場合であって、認証が行われた後の様子を示す説明図である。スイッチ１００およびスイッチ１００Ｘの構成は図６で説明した通りである。スイッチ１００内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、スイッチ１００Ｘの許可リスト４２０に格納された許可アドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）が格納されている（図７：ステップＳ１２０）。同様に、スイッチ１００Ｘ内部に格納されている許可リスト４２０には、既にスイッチ１００Ｘに接続されている３台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）に加えて、スイッチ１００の許可リスト４２０に格納された許可アドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）が格納されている（図７：ステップＳ１２０）。

図８のように、スイッチ１００とスイッチ１００Ｘとの認証が行われた後において、ＰＣ３０からＰＣ２０へのフレームが送信された場合について考える。ＰＣ３０からのフレームが、スイッチ１００Ｘを経由してスイッチ１００へ送信されるまでの流れは、図６で説明したものと同じである。

スイッチ１００Ｘからのフレームを受信したスイッチ１００は（図５：ステップＳ１０：ＹＥＳ）、受信フレームＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０５におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が、許可リスト４２０に格納されているＭＡＣアドレスと一致するため、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であると判定する（ステップＳ２４：可）。スイッチ１００の中継処理部２１０は、フレーム中継処理を行う（ステップＳ２８）。この結果、スイッチ１００が受信したフレームは、スイッチ１００のポートＰ５０２からＰＣ２０へ向けて送信される。

以上のように、スイッチ１００とスイッチ１００Ｘとの間の認証が行われ、当該認証が成功した後においては、スイッチ１００は、スイッチ１００Ｘに接続されている外部装置からの受信フレームを中継する。換言すれば、スイッチ１００は、スイッチ１００Ｘとの認証成功後においては、スイッチ１００Ｘからのトラフィックの入力を制限しない。

（Ａ−４−２）認証の種類がＥＡＰ＿ＰＣである場合の処理：
図９は、図８の状態において、スイッチ１００に新たな外部装置が接続される様子を示す説明図である。スイッチ１００に新たな外部装置（ＰＣ６０、ＭＡＣアドレスＭＡＣ＿ＰＣ６０）が接続された場合、ＰＣ６０は、接続先のスイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレームを送信する。ＥＡＰＯＬ開始フレームを受信したスイッチ１００の中継処理部２１０は、受信フレームはＥＡＰフレームであると判定する（図５：ステップＳ１２：ＹＥＳ）。このため、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索し、認証の種類はＥＡＰ＿ＰＣであると判定する（ステップＳ１４）。以下、認証の種類がＥＡＰ＿ＰＣである場合の処理（ステップＳ１６）について説明する。

図１０は、図５のステップＳ１６において、認証の種類がＥＡＰ＿ＰＣである場合に行われる処理の流れを示すシーケンス図である。図１０のステップＳ１００〜Ｓ１１４は、ＰＣ６０が認証クライアント（サプリカント）として振舞う点を除いては、図７のＳ１００〜Ｓ１１４とほぼ同じである。ただし、本実施例では認証の種類がＥＡＰ＿ＰＣの場合、ＥＡＰ−ＭＤ５に従って認証が行われるため、ステップＳ１０８においてスイッチ１００のＥＡＰ認証部２４０は、認証に使用するＥＡＰのタイプとして、ＥＡＰ−ＭＤ５を通知するＥＡＰ要求フレームを送信する。

ステップＳ１１２の認証が成功後、スイッチ１００の認証情報管理部２２０は、許可リスト４２０に格納されている許可アドレスに、ＰＣ６０のＭＡＣアドレス（ＭＡＣ＿ＰＣ６０）を追加する更新を行う（ステップＳ２００）。その後、スイッチ１００の認証情報管理部２２０と、スイッチ１００Ｘとは、互いに、許可リスト４２０に格納された許可アドレスを含んだフレームを送信し合う（ステップＳ１１６、Ｓ１１８）。そして、スイッチ１００の認証情報管理部２２０と、スイッチ１００Ｘとは、自身の許可リスト４２０を更新する。なお、ステップＳ１１６〜Ｓ１２０の詳細は、図７と同様である。

図１１は、スイッチ１００に新たな外部装置が接続された場合であって、認証が行われた後の様子を示す説明図である。スイッチ１００およびスイッチ１００Ｘの内部に格納されている許可リスト４２０には、新たにスイッチ１００に接続されたＰＣ６０のＭＡＣアドレス（ＭＡＣ＿ＰＣ６０）が追加されている（図１０：ステップＳ１２０）。

以上のように、スイッチ１００と、スイッチ１００Ｘとの認証が成功した後において、一方のスイッチ（例えばスイッチ１００）に対して、さらに、ＰＣ等の外部装置（例えばＰＣ６０）が接続された場合、上述のように、スイッチ１００とＰＣ６０との認証成功後、スイッチ１００は、ＰＣ６０のＭＡＣアドレスを自身の許可リスト４２０に追加する。そして、スイッチ１００は、更新後の許可リスト４２０をスイッチ１００Ｘに送信する。この結果、新たに接続されたＰＣ６０との間の送受信フレームについても、図８で説明したものと同様に、破棄されることなく中継される。なお、以上のことは、例えば、スイッチ１００に他のスイッチ（例えば、スイッチ１００Ｙ）が接続された場合についても同様である。

また、図１１のように、例えば、スイッチ１００Ｘがさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００Ｘは、スイッチ１００から受信した、スイッチ１００の許可リスト４２０に格納された許可アドレスを含んだフレーム（図１０：ステップＳ１１６）を、さらに、自身が接続されている他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。このように、自身が接続されている一方のスイッチから受信した許可アドレスを、他方のスイッチへ伝播する構成とすれば、ＭＡＣアドレス認証で使用される許可リストの内容（すなわち、フレームの中継を許可すべき外部装置のＭＡＣアドレス）を、スイッチ間で交換することができるため、利便性が向上する。なお、許可アドレスの伝播の範囲は、ルータで区切られた同一のセグメントの範囲内のスイッチとすることができる。なお、ルータそのものに対して許可アドレスの伝播を行ってもよい。そうすれば、ルータによっても、ＭＡＣアドレスを管理することができる。

以上のように、第１実施例によれば、ネットワーク中継装置（スイッチ１００）のＥＡＰ認証部２４０は、スイッチ１００に他のネットワーク中継装置（スイッチ１００Ｘ）が接続された際に、認証方法リスト４１０に直接的または間接的に予め定められた認証方式（ＥＡＰ＿ＣＡＳ：ＥＡＰ−ＴＬＳ、ＥＡＰ＿ＰＣ：ＥＡＰ−ＭＤ５）に従って、スイッチ１００Ｘとの間で認証（図５：ステップＳ１６、図７）を行い、中継処理部２１０は、認証が成功した場合に、スイッチ１００Ｘで中継が許可されているフレームをスイッチ１００においても中継するため、セキュリティを向上させることができる。

さらに、スイッチ１００の中継処理部２１０は、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リスト（許可リスト４２０）に基づいて、受信フレームの中継可否を決定し（図５：ステップＳ２２、Ｓ２４）、中継不可である受信フレームを破棄する。また、認証情報管理部２２０は、スイッチ１００Ｘとの間の認証が成功した場合に、許可リスト４２０の内容をスイッチ１００Ｘへ送信すると共に、スイッチ１００Ｘから、スイッチ１００Ｘにおいて中継可能なフレームを特定するための第２の許可リスト（許可リスト４２０）の内容を受信し、受信したスイッチ１００Ｘの許可リスト４２０に規定された内容を、スイッチ１００の許可リスト４２０に反映する（図５：ステップＳ１６、図７）。

すなわち、スイッチ１００は、スイッチ１００Ｘとの認証前においては、スイッチ１００Ｘからのトラフィックの入力を制限し、スイッチ１００Ｘとの認証成功後においては、スイッチ１００Ｘからのトラフィックの入力を制限しない。このため、特に、従来の問題点であったカスケード接続用ポートがセキュリティホール化することを抑制することができる。この結果、スイッチ１００におけるセキュリティ（特に機密性）を向上させることができる。

さらに、ＥＡＰ認証部２４０は、スイッチ１００に端末（例えば、ＰＣ等の外部装置）が直接的に接続された際に、認証方法リスト４１０に直接的または間接的に予め定められた認証方式（ＥＡＰ＿ＣＡＳ：ＥＡＰ−ＴＬＳ、ＥＡＰ＿ＰＣ：ＥＡＰ−ＭＤ５）に従って端末を認証し、認証情報管理部２２０は、さらに、端末の認証が成功した場合、端末からの受信フレームの中継を許可するように許可リスト４２０に規定された内容を変更するとともに、変更された許可リスト４２０の内容をスイッチ１００Ｘ等の他のネットワーク中継装置へ送信する。すなわち、スイッチ間における認証と許可アドレスの交換の後に、あるスイッチに対して構成の変更があった場合でも、変更後の許可アドレスの交換が行われるため、セキュリティと、利便性とを向上させることができる。

Ｂ．第２実施例：
本発明の第２実施例では、第１実施例で説明したネットワーク中継装置において、さらに、ＶＬＡＮ（Virtual LAN）を使用可能な構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。

（Ｂ−１）装置構成：
図１２は、第２実施例におけるスイッチ１００ａの構成を概略的に示す説明図である。図２に示したスイッチ１００との違いは、中継処理部２１０に代えて中継処理部２１０ａを備える点と、認証情報管理部２２０に代えて認証情報管理部２２０ａを備える点と、ＲＡＭ４００に代えてＲＡＭ４００ａを備える点のみであり、他の構成については第１実施例と同じである。中継処理部２１０ａおよび認証情報管理部２２０ａの機能についての詳細は後述する。ＲＡＭ４００ａは、図３で説明した認証方法リスト４１０と、図４で説明した許可リスト４２０とに加えて、ＶＬＡＮ定義情報４３０を備えている。

（Ｂ−２）テーブル構成：
図１３は、ＶＬＡＮ定義情報４３０の一例を示す説明図である。第１の仮想ネットワーク定義情報としてのＶＬＡＮ定義情報４３０は、ポート番号フィールドと、ＶＬＡＮ ＩＤフィールドとを含んでいる。ポート番号フィールドの各エントリには、スイッチ１００ａが備える全てのポートについての識別子が格納されている。ＶＬＡＮ ＩＤフィールドには、ポート番号フィールドに格納されている各ポートに対して割り当てられている仮想ネットワーク（ＶＬＡＮ）の識別子が格納されている。

例えば、図１３の例では、識別子Ｐ５０１で識別されるポート（ポートＰ５０１）に接続されている外部装置（すなわち、図１のＰＣ１０）は、識別子「１」で識別されるＶＬＡＮに所属することが規定されている。同様に、識別子Ｐ５０２で識別されるポート（ポートＰ５０２）に接続されている外部装置（すなわち、図１のＰＣ２０）は、識別子「２」で識別されるＶＬＡＮに所属することが規定されている。

（Ｂ−３）フレーム受信時処理：
フレーム受信時処理については、図５で説明したものと同様である。ただし、中継処理部２１０ａは、第１の仮想ネットワークの定義情報としてのＶＬＡＮ定義情報４３０に基づいて、スイッチ１００ａに直接的、または他のスイッチ等を介して間接的に接続される外部装置における仮想的なサブネットワーク（ＶＬＡＮ）を構築することができる。具体的には、中継処理部２１０ａは、フレーム中継処理（図５：ステップＳ２８）において、ＶＬＡＮ定義情報４３０を参照することにより、異なるＶＬＡＮの識別子が割り当てられたポートは異なるサブネットに所属するものとして、フレームの中継処理を行う。すなわち、図１３に示したＶＬＡＮ定義情報４３０によれば、図１のＰＣ１０と、ＰＣ２０とは、異なるＶＬＡＮに所属するため、中継処理部２１０によって異なるサブネットに所属するものとして取り扱われる。この結果、ＰＣ１０と、ＰＣ２０との間におけるパケットの中継は行われない。

図１４は、第２実施例におけるスイッチ１００ａに他のスイッチ１００Ｘａが接続された場合であって、認証が行われる前の様子を示す説明図である。スイッチ１００Ｘａの構成は、ポートＰ５０１がカスケード接続用ポートに設定されている点を除いては、図１２に説明したスイッチ１００ａと同様である。スイッチ１００ＸａのポートＰ５０１は、回線を通じてスイッチ１００ａのポートＰ５０５と接続されている。また、スイッチ１００ＸａのポートＰ５０２にはＰＣ３０（ＭＡＣアドレス：ＭＡＣ＿ＰＣ３０、ＶＬＡＮ ＩＤ：１）が、ポートＰ５０３にはＰＣ４０（ＭＡＣアドレス：ＭＡＣ＿ＰＣ４０、ＶＬＡＮ ＩＤ：２）が、ポートＰ５０４にはＰＣ５０（ＭＡＣアドレス：ＭＡＣ＿ＰＣ５０、ＶＬＡＮ ＩＤ：２）が、それぞれ回線を通じて接続されている。

スイッチ１００Ｘａ内部に格納されている認証方法リスト４１０および許可リスト４２０の内容は、図６で説明したものと同様である。スイッチ１００Ｘａ内部に格納されているＶＬＡＮ定義情報４３０の、ポートＰ５０１に対応するＶＬＡＮ ＩＤフィールドの値は「−」、ポートＰ５０２に対応するＶＬＡＮ ＩＤフィールドの値は「１」、ポートＰ５０３とポートＰ５０４に対応するＶＬＡＮ ＩＤフィールドの値は「２」である。なお、スイッチ１００Ｘａに格納されているＶＬＡＮ定義情報４３０を、第２の仮想ネットワーク定義情報とも呼ぶ。

（Ｂ−４）認証の種類に応じた処理：
（Ｂ−４−１）認証の種類がＥＡＰ＿ＣＡＳである場合の処理：
図１５は、第２実施例におけるスイッチ１００ａに対して他のスイッチ１００Ｘａが接続された際に行われる処理（図５：ステップＳ１６：認証の種類ＥＡＰ＿ＣＡＳ）の流れを示すシーケンス図である。ステップＳ１００〜Ｓ１１４は、図７で説明したステップＳ１００〜Ｓ１１４と同じである。

スイッチ１００Ｘａとの認証成功後、スイッチ１００ａの認証情報管理部２２０ａは、許可リスト４２０に格納された許可アドレスと、ＶＬＡＮ定義情報４３０に格納された仮想ネットワークの定義情報とを含んだフレームを送信する（ステップＳ３００）。これを受信したスイッチ１００Ｘａは、同様に、スイッチ１００Ｘａ内の許可リスト４２０に格納された許可アドレスと、ＶＬＡＮ定義情報４３０に格納された仮想ネットワークの定義情報とを含んだフレームを送信する（ステップＳ３０２）。

スイッチ１００ａの認証情報管理部２２０ａは、受信フレームに含まれる許可アドレスをもとにして、スイッチ１００ａの許可リスト４２０に格納されている許可アドレスを更新するとともに、受信フレームに含まれる仮想ネットワークの定義情報をもとにして、スイッチ１００ａのＶＬＡＮ定義情報４３０に格納されている定義情報を更新する（ステップＳ３０４）。また、スイッチ１００Ｘについても同様に、受信フレームに含まれる許可アドレスと、仮想ネットワークの定義情報とをもとにして、自身の許可リスト４２０と、ＶＬＡＮ定義情報４３０とを更新する（ステップＳ３０４）。

図１６は、第２実施例におけるスイッチ１００ａに他のスイッチ１００Ｘａが接続された場合であって、認証が行われた後の様子を示す説明図である。スイッチ１００ａおよびスイッチ１００Ｘａの構成は図１４で説明した通りである。スイッチ１００ａ内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、スイッチ１００Ｘａの許可リスト４２０に格納された許可アドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）が格納されている。また、スイッチ１００ａ内部に格納されているＶＬＡＮ定義情報４３０には、ポートＰ５０５に対応するＶＬＡＮ ＩＤとして、「１」および「２」が格納されている（図１５：ステップＳ３０４）。同様に、スイッチ１００Ｘａ内部に格納されている許可リスト４２０には、既にスイッチ１００Ｘａに接続されている３台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）に加えて、スイッチ１００ａの許可リスト４２０に格納された許可アドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）が格納されている。また、スイッチ１００Ｘａ内部に格納されているＶＬＡＮ定義情報４３０には、ポートＰ５０１に対応するＶＬＡＮ ＩＤとして、「１」および「２」が格納されている（図１５：ステップＳ３０４）。

（Ｂ−４−２）認証の種類がＥＡＰ＿ＰＣである場合の処理：
認証の種類がＥＡＰ＿ＰＣである場合の処理については、図示を省略するが、図１０に示した第１実施例とほぼ同様である。異なる点は、ステップＳ２００において、許可リスト４２０に加えＶＬＡＮ定義情報４３０を更新する点と、ステップＳ１１６、Ｓ１１８において許可アドレスに加えて仮想ネットワークの定義情報を送受信する点と、ステップＳ１２０において、許可リスト４２０に加えＶＬＡＮ定義情報４３０を更新する点である。

以上のように、第２実施例によれば、ネットワーク中継装置（スイッチ１００ａ）の中継処理部２１０ａは、さらに、第１の仮想ネットワーク定義情報（ＶＬＡＮ定義情報４３０）に基づいて仮想的なサブネットワーク（ＶＬＡＮ）を構築することが可能であり、認証情報管理部２２０ａは、さらに、他のネットワーク中継装置（スイッチ１００Ｘａ）との間の認証（図５：ステップＳ１６、図１５）が成功した場合に、ＶＬＡＮ定義情報４３０の内容をスイッチ１００Ｘａへ送信すると共に、スイッチ１００Ｘａから第２の仮想ネットワーク定義情報（ＶＬＡＮ定義情報４３０）の内容を受信し、受信した仮想ネットワーク定義情報に規定された内容を、自身の仮想ネットワーク定義情報（ＶＬＡＮ定義情報４３０）に反映する。この結果、スイッチ１００ａにおいて、セキュリティを向上しつつ、仮想的なサブネットワーク（ＶＬＡＮ）に関する設定を簡便に行うことができる。

さらに、第２実施例におけるスイッチ１００ａの認証情報管理部２２０ａは、端末（例えばＰＣ等）の認証（図５：ステップＳ１６）が成功した場合、ＶＬＡＮ定義情報４３０の内容をスイッチ１００Ｘａへ送信するため、スイッチ１００ａにおいて、セキュリティを向上しつつ、仮想的なサブネットワークに関する設定の更新をも簡便に行うことができる。

Ｃ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲で種々の構成を採ることができる。例えば、ソフトウェアによって実現した機能は、ハードウェアによって実現するものとしてもよい。そのほか、以下のような変形が可能である。

Ｃ１．変形例１：
上記実施例では、ネットワーク中継装置の構成について説明した。しかし、上記実施例で示したネットワーク中継装置の構成はあくまで一例であり、任意の構成を採用することができる。例えば、その構成要素の一部を省略したり、更なる構成要素を付加したりする変形が可能である。

例えば、上記実施例におけるスイッチは、ＭＡＣアドレスによるフレームの中継を行うレイヤ２スイッチであるものとした。しかし、ＭＡＣアドレスによるフレームの中継に加えてＩＰアドレスによるパケットの中継を行うことも可能な、いわゆるレイヤ３スイッチであるものとしてもよい。また、無線通信インタフェースを備え、無線通信におけるパケットの中継が可能な、いわゆるアクセスポイントであるものとしてもよい。

例えば、上記実施例におけるスイッチでは、認証方法リストと、許可リストと、ＶＬＡＮ定義情報とはＲＡＭに格納されているものとしたが、他の記憶媒体、例えば、フラッシュＲＯＭに格納されているものとしても良い。

上記実施例におけるスイッチでは、ＣＰＵは、中継処理部と、ＥＡＰ認証部と、を備え、中継処理部は、さらに、認証情報管理部と、ＭＡＣアドレス認証部とを含むものとして記載した。また、各処理部において実行される機能について説明した。しかし、これら各処理部の配置および各処理部が果たす機能の内容についてはあくまで例示であり、スイッチの構成に応じて任意に変更することが可能である。

例えば、上記実施例において記載した中継処理部の機能のうちのフレーム中継機能は、有線通信インタフェースを構成する物理チップによって実現される機能であるものとし、中継処理部の他の機能（受信フレームの中継可否を決定する機能や、認証情報管理部の機能、ＭＡＣアドレス認証部の機能）は、ＣＰＵによって実現される機能であるとしてもよい。この場合、有線通信インタフェースを構成する物理チップと、ＣＰＵとが協働することによって中継処理部の全ての機能を実現する。

例えば、有線通信インタフェースを構成する物理チップの内部に、中継処理部と、ＥＡＰ認証部と、認証情報管理部と、ＭＡＣアドレス認証部との全ての機能を備えるものとしてもよい。

Ｃ２．変形例２：
上記実施例におけるスイッチは、受信したフレームのＭＡＣアドレス認証を行うためのＭＡＣアドレス認証部と、外部装置が接続された際に、接続された外部装置との間で認証を行うためのＥＡＰ認証部とを備える（すなわち、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を内蔵する）構成とした。しかし、専用のＲＡＤＩＵＳサーバをスイッチとは別に設け、外部のＲＡＤＩＵＳサーバにおいて、実際のＭＡＣアドレス認証や、接続された外部装置認証を行う構成としてもよい。専用のＲＡＤＩＵＳサーバをスイッチとは別に設ける場合、ＭＡＣアドレス認証部と、ＥＡＰ認証部は、ＲＡＤＩＵＳサーバに対して認証要求を送信し、その応答としての認証結果を得ることによって、ＭＡＣアドレス認証部およびＥＡＰ認証部として機能する。

上記実施例では、予め定められた認証方式として、認証の種類がＥＡＰ＿ＰＣの場合はＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５を用いて、認証の種類がＥＡＰ＿ＣＡＳの場合はＩＥＥＥ ８０２．１ＸのＥＡＰ−ＴＬＳを用いて認証を行うものとした。しかし、上記実施例における認証方式は、あくまで例示であり、任意のものを採用することができる。

例えば、認証方式として、ＥＡＰ−ＴＴＬＳや、ＰＥＡＰ（Protected Extensible Authentication Protocol）や、ＬＥＡＰ（Lightweight Extensible Authentication Protocol）のほか、ＥＡＰプロトコルを利用した独自方式等を採用することができる。

例えば、認証方式として、ＩＥＥＥ ８０２．１ＸのＥＡＰプロトコルに準拠した認証方法に代えて、次のような認証方式を用いても良い。具体的には、スイッチ内部に、接続を許可すべき外部装置（他のスイッチやＰＣ等）のＭＡＣアドレスを予め記憶しておく。そして、ＥＡＰ認証部は、外部装置が接続された際に、当該外部装置のＭＡＣアドレスが接続を許可すべきＭＡＣアドレスとして予め登録されている場合に、認証が成功したものとして取り扱う。このようにすれば、接続を許可すべき外部装置（他のスイッチやＰＣ等）を、スイッチの管理者等によって、予め指定しておくことができる。

Ｃ３．変形例３：
上記実施例では、認証方法リスト、許可リストおよびＶＬＡＮ定義情報の一例を示した。しかし、これらのテーブルはあくまで一例であり、発明の要旨を逸脱しない範囲において任意に定めることができる。例えば、上記に例示したフィールド以外のフィールドを備えるものとしても良い。また、各テーブルには、ダイレクトマップ方式を用いることも可能である。さらに、利用者が各テーブルをコンフィギュレーション可能な構成とすることも好ましい。

上記実施例における許可リストは、フレームを受信したポートの区別なく、中継可能な送信元ＭＡＣアドレスのみを格納する構成としているが、次のような変形をしてもよい。

例えば、許可リストに対して、ポート番号フィールドを追加することで、ポート毎に中継を許可する受信フレームの送信元ＭＡＣアドレスを管理する構成にしてもよい。

例えば、許可アドレスフィールドに代えて、送信元ＭＡＣアドレスフィールドと、中継可否フィールドとを設け、送信元ＭＡＣアドレス毎に、フレームの中継可能／不可能を設定する構成としてもよい。

１００…スイッチ
１００Ｘ…スイッチ
１００Ｙ…スイッチ
１００Ｚ…スイッチ
１００ａ…スイッチ
１００Ｘａ…スイッチ
２００…ＣＰＵ
２１０…中継処理部
２１０ａ…中継処理部
２２０…認証情報管理部
２２０ａ…認証情報管理部
２３０…ＭＡＣアドレス認証部
２４０…ＥＡＰ認証部
４１０…認証方法リスト
４２０…許可リスト
４３０…ＶＬＡＮ定義情報
５００…有線通信インタフェース
Ｐ５０１〜Ｐ５０５…ポート

Claims (7)

1. ネットワーク中継装置であって、
   前記ネットワーク中継装置に他のネットワーク中継装置が接続された際に、予め定められた認証方式に従って、他のネットワーク中継装置との間で認証を行う認証処理部と、
   前記ネットワーク中継装置が受信したフレームである受信フレームの中継可否を決定し、中継可である前記受信フレームを中継するとともに、前記認証が成功した場合に、前記他のネットワーク中継装置で中継が許可されているフレームを前記ネットワーク中継装置においても中継する中継処理部と、
   を備え、
   前記認証処理部は、
   前記認証をされる側として動作する認証クライアントと、前記認証をする側として動作する認証サーバとの両方の機能を有し、
   前記他のネットワーク中継装置の接続検出後、一定時間内に前記認証の開始を要求するための開始フレームを受信しない場合は、前記他のネットワーク中継装置に対して前記開始フレームを送信する、ネットワーク中継装置。
2. 請求項１記載のネットワーク中継装置であって、
   前記中継処理部は、
   前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストに従って、前記受信フレームの中継可否を決定し、
   前記中継処理部は、さらに、
   前記認証が成功した場合に、前記第１の許可リストの内容を前記他のネットワーク中継装置へ送信すると共に、前記他のネットワーク中継装置から、前記他のネットワーク中継装置において中継可能なフレームを特定するための第２の許可リストの内容を受信し、受信した前記第２の許可リストの内容を、前記第１の許可リストに反映し、受信した前記第２の許可リストの内容を、同一セグメントの範囲内の前記他のネットワーク中継装置とは異なるネットワーク中継装置へ送信する認証情報管理部を備える、ネットワーク中継装置。
3. 請求項２記載のネットワーク中継装置であって、さらに、
   前記ネットワーク中継装置が有するそれぞれのポートに対する仮想ネットワークの識別子を格納する第１の仮想ネットワーク定義情報を備え、
   前記中継処理部は、さらに、
   前記第１の仮想ネットワーク定義情報に基づいて、前記ネットワーク中継装置に直接的に、または、他のネットワーク中継装置を介して間接的に接続される端末における仮想的なサブネットワークを構築することが可能であり、
   前記認証情報管理部は、さらに、
   前記認証が成功した場合、前記第１の仮想ネットワーク定義情報の内容を前記他のネットワーク中継装置へ送信すると共に、前記他のネットワーク中継装置から、前記他のネットワーク中継装置が有するそれぞれのポートに対する仮想ネットワークの識別子を格納する第２の仮想ネットワーク定義情報の内容を受信し、受信した前記第２の仮想ネットワーク定義情報の内容を、前記第１の仮想ネットワーク定義情報に反映する、ネットワーク中継装置。
4. 請求項２または３記載のネットワーク中継装置であって、
   前記認証処理部は、さらに、
   前記ネットワーク中継装置に端末が直接的に接続された際に、予め定められた認証方式に従って前記端末を認証し、
   前記認証情報管理部は、さらに、
   前記端末の認証が成功した場合、前記端末からの受信フレームの中継を許可するように前記第１の許可リストに規定された内容を変更するとともに、変更された前記第１の許可リストの内容を前記他のネットワーク中継装置へ送信する、ネットワーク中継装置。
5. 請求項３に従属する請求項４記載のネットワーク中継装置であって、
   前記認証情報管理部は、さらに、
   前記端末の認証が成功した場合、前記第１の仮想ネットワーク定義情報の内容を前記他のネットワーク中継装置へ送信する、ネットワーク中継装置。
6. 請求項１ないし５のいずれか一項記載のネットワーク中継装置であって、
   前記認証処理部は、ＩＥＥＥ ８０２．１Ｘに基づく認証クライアントと、ＩＥＥＥ ８０２．１Ｘに基づく認証サーバとの両方の機能を有する、ネットワーク中継装置。
7. 請求項１ないし６のいずれか一項記載のネットワーク中継装置であって、
   前記認証処理部は、前記ネットワーク中継装置に他のネットワーク中継装置が接続された際に、前記他のネットワーク中継装置のＭＡＣアドレスが、前記ネットワーク中継装置内に接続を許可すべきＭＡＣアドレスとして予め登録されている場合に、前記認証が成功したものと取り扱う、ネットワーク中継装置。

Images