JP5171995B2 - ネットワークにおけるデータ伝送制御 - Google Patents

Description

本発明は、ネットワークにおけるデータ伝送を制御する技術に関する。

近年、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のネットワークにおけるセキュリティ対策の重要性が高まっている。ネットワークにおけるセキュリティ対策の１つとして、ファイアウォールを用いる技術がある。ファイアウォールは、一般に、内部ネットワーク（例えばＬＡＮ）と外部ネットワーク（例えばインターネット）との境界に設置され、外部ネットワークと内部ネットワークとの間の不正なデータ伝送を遮断するために利用される。

ファイアウォールは、また、ネットワーク内の端末装置上に設置される場合もある。この場合には、ファイアウォールは、ネットワーク内において、端末装置とネットワーク内の他の装置との間の不正なデータ伝送を遮断することが可能である。

ネットワークにおける他のセキュリティ対策として、ＩＥＥＥ（米国電気電子技術者協会）が制定した規格の１つであるＩＥＥＥ８０２．１ｘを用いた技術がある（非特許文献１）。ＩＥＥＥ８０２．１ｘを用いた技術によれば、端末装置によるネットワークの利用を可能にする前に当該端末装置のユーザ認証を行い、認証が成功した端末装置のみにネットワークを利用させることが可能である。

ＩＥＥＥ８０２．１ｘ

ネットワークの構築・運用の際には、ネットワークの内部におけるデータ伝送の制御が要求される場合がある。例えば、端末装置のユーザに応じてネットワーク内のサーバやプリンタ等の共用装置の利用可否を設定し、端末装置と当該端末装置のユーザの利用が不可と設定されている共用装置との間のデータ伝送は許容しないように、ネットワークを構築・運用することが望まれる場合がある。

このようなネットワークの構築・運用は、上述した従来の技術では、実現が困難であるという問題があった。すなわち、内部ネットワークと外部ネットワークとの境界にファイアウォールを設置する技術では、ネットワーク内部におけるデータ伝送の制御を行うことは困難である。

また、ファイアウォールをネットワーク内の端末装置上に設置する技術では、ユーザが端末装置を操作することによってファイアウォールの設定を不正に変更することが可能である。そのため、端末装置とネットワーク内の他の装置との間のデータ伝送制御の実効を保証するのは困難である。

また、ＩＥＥＥ８０２．１ｘを用いた技術では、端末装置が認証されてネットワークの利用が可能になった後は、端末装置とネットワーク内の他の装置との間のデータ伝送制御を行うことは困難である。

本発明は、上述した従来の課題を解決するためになされたものであり、ネットワークの内部におけるデータ伝送制御を可能とする技術を提供することを目的とする。

上記課題の少なくとも一部を解決するために、本発明のデータ伝送制御システムは、
ＬＡＮ内でのデータ伝送制御システムであって、
接続された端末を認証する認証中継装置と、
前記ＬＡＮ内に接続された端末から処理を要求できる複数の共用装置と、
前記ＬＡＮ内にある複数の中継装置と、
前記端末を認証すると共に前記共用装置のアクセス可否情報を管理する管理装置と、を備え、
前記複数の中継装置は、１以上の前記共用装置と接続された２以上の接続中継装置を含み、
前記認証中継装置は、第１のユーザからユーザ識別情報を受信した場合、当該ユーザ識別情報を前記管理装置に送信し、
前記管理装置は、前記ユーザ識別情報に基づいて第１のユーザを認証し、当該認証が成功した場合、前記アクセス可否情報を基に、前記接続中継装置に、当該接続装置と隣接する前記共用装置に対する前記第１のユーザの伝送制御情報を通知し、
前記接続中継装置は、前記受信した伝送制御情報を自身に設定し、前記第１のユーザから自身と隣接する前記共用装置に対する通信を受信した場合に、前記伝送制御情報を基に、前記通信を遮断または転送することを特徴とする。

上記データ伝送制御システムにおいて、
前記伝送制御情報は、送信元ＭＡＣアドレスと、送信元ＩＰアドレスと、送信先ＭＡＣアドレスと、送信先ＩＰアドレスと、を含むとしてもよい。

上記データ伝送制御システムにおいて、
前記管理装置は、前記共用装置のアクセス可否情報を、前記ユーザを分類したグループと対応付けて管理し、前記ユーザの所属するグループに応じて前記伝送制御情報を生成するとしてもよい。

また、上記課題の少なくとも一部を解決するために、本発明のデータ伝送制御方法は、
接続された端末を認証する認証中継装置と、ＬＡＮ内に接続された端末から処理を要求できる複数の共用装置と、１以上の前記共用装置と接続された２以上の接続中継装置を含む複数の中継装置と、前記端末を認証すると共に前記共用装置のアクセス可否情報を管理する管理装置と、を有する前記ＬＡＮ内でのデータ伝送制御方法であって、
（ａ）前記認証中継装置が、第１のユーザからユーザ識別情報を受信した場合、当該ユーザ識別情報を前記管理装置に送信する工程と、
（ｂ）前記管理装置が、前記ユーザ識別情報に基づいて第１のユーザを認証し、当該認証が成功した場合、前記アクセス可否情報を基に、前記接続中継装置に、当該接続装置と隣接する前記共用装置に対する前記第１のユーザの伝送制御情報を通知する工程と、
（ｃ）前記接続中継装置が、前記受信した伝送制御情報を自身に設定し、前記第１のユーザから自身と隣接する前記共用装置に対する通信を受信した場合に、前記伝送制御情報を基に、前記通信を遮断または転送する工程と、を備えることを特徴とする。

上記データ伝送制御方法において、
前記伝送制御情報は、送信元ＭＡＣアドレスと、送信元ＩＰアドレスと、送信先ＭＡＣアドレスと、送信先ＩＰアドレスと、を含むとしてもよい。

上記データ伝送制御方法において、
前記管理装置は、前記共用装置のアクセス可否情報を、前記ユーザを分類したグループと対応付けて管理し、前記ユーザの所属するグループに応じて前記伝送制御情報を生成するとしてもよい。

また、上記課題の少なくとも一部を解決するために、本発明の方法は、
少なくとも１つの端末装置と、少なくとも１つの共用装置と、前記端末装置と前記共用装置とをリンクを介して接続すると共に、入力されたデータの伝送可否を前記データの送信元と送信先との少なくとも一方に関する条件に基づき判定する少なくとも１つのネットワーク中継装置と、前記端末装置のユーザによる前記共用装置の利用可否を示す管理情報を含む管理部と、を有するネットワークにおいて、前記端末装置の１つである対象端末装置と前記共用装置との間のデータ伝送制御を行う方法であって、
（ａ）前記少なくとも１つのネットワーク中継装置の内、前記対象端末装置を送信元とするすべてのデータが入力されるネットワーク中継装置である端末接続中継装置が、前記対象端末装置から、前記対象端末装置のユーザを特定するユーザ特定情報を取得する工程と、
（ｂ）前記管理部が、前記端末接続中継装置から、前記ユーザ特定情報を取得する工程と、
（ｃ）前記管理部が、前記管理情報を参照して、取得した前記ユーザ特定情報に基づき特定された前記対象端末装置のユーザによる利用が許可された前記共用装置の１つを対象共用装置として検出する工程と、
（ｄ）前記管理部が、前記少なくとも１つのネットワーク中継装置の内、前記対象共用装置を送信先とするすべてのデータが入力されるネットワーク中継装置である共用装置接続中継装置に、前記対象端末装置と前記対象共用装置との間のデータの伝送の許可を、前記対象端末装置を特定する情報と共に通知する工程と、
（ｅ）前記共用装置接続中継装置が、前記工程（ｄ）の通知を受領したとき、前記対象端末装置と前記対象共用装置との間のデータの伝送可否を不許可から許可に変更するように、前記条件を設定する工程と、を備える。

この方法では、端末接続中継装置が対象端末装置からユーザ特定情報を取得し、管理部が端末接続中継装置からユーザ特定情報を取得する。また、管理部が、管理情報を参照して、対象端末装置のユーザによる利用が許可された対象共用装置を検出し、共用装置接続中継装置に、対象端末装置と対象共用装置との間のデータの伝送の許可を通知する。また、通知を受領した共用装置接続中継装置が、対象端末装置と対象共用装置との間のデータの伝送可否を不許可から許可に変更するように、条件を設定する。そのため、この方法では、端末装置のユーザに応じて端末装置と共用装置との間のデータ伝送の可否を制御するといった、ネットワーク内部におけるデータ伝送制御を行うことができる。

また、この方法では、共用装置接続中継装置において、端末装置のユーザに応じて端末装置と共用装置との間のデータ伝送の可否が判定されるため、データ伝送判定負荷の分散化を図ることができる。

上記方法において、前記ユーザ特定情報は、前記対象端末装置のユーザの認証に用いられる認証情報を含み、
前記方法は、さらに、
（ｆ）前記管理部が、前記認証情報に基づき、前記対象端末装置のユーザの認証を行う工程を備え、
前記工程（ｄ）は、前記工程（ｆ）における前記認証が成功したときに実行されるとしてもよい。

このようにすれば、ユーザ名を詐称するいわゆる「なりすまし」等のネットワークに対する不正なアクセスを制限することができる。

また、上記方法において、さらに、
（ｇ）前記工程（ｆ）における前記認証が成功したときに、前記管理部が、前記端末接続中継装置に、前記認証の成功を通知する工程と、
（ｈ）前記端末接続中継装置が、前記工程（ｇ）の通知を受領したとき、前記対象端末装置から送出されるデータの伝送可否を不許可から許可に変更するように、前記条件を設定する工程と、を備えるとしてもよい。

このようにすれば、未認証のユーザが利用できる範囲を制限して、ネットワークのセキュリティを向上させることができる。

また、上記方法において、さらに、
（ｉ）前記端末接続中継装置が、前記対象端末装置のユーザによる前記ネットワークの利用停止を検出して、前記管理部に通知する工程と、
（ｊ）前記工程（ｉ）の通知を受けた前記管理部が、前記共用装置接続中継装置に、前記利用停止を通知する工程と、
（ｋ）前記共用装置接続中継装置が、前記工程（ｊ）の通知を受領したとき、前記対象端末装置と前記対象共用装置との間のデータの伝送可否を許可から不許可に変更するように、前記条件を設定する工程と、を備えるとしてもよい。

このようにすれば、ユーザがネットワークの利用を停止した状態における、なりすまし等による共用装置への不正アクセスを制限することができる。

また、上記方法において、さらに、
（ｌ）前記端末接続中継装置が、前記利用停止を検出したとき、前記対象端末装置から送出されるデータの伝送可否を許可から不許可に変更するように、前記条件を設定する工程と、を備えるとしてもよい。

また、上記方法において、前記工程（ｉ）は、前記端末接続中継装置が、前記対象端末装置から前記ネットワークの利用停止要求を受領したときと、前記対象端末装置から所定時間内に前記ネットワークの利用の継続要求を受領しなかったときと、の内の少なくとも１つの場合に、前記利用停止を検出する工程であるとしてもよい。

また、上記方法において、前記端末接続中継装置は、前記対象端末装置から１ホップ目の前記ネットワーク中継装置であり、前記共用装置接続中継装置は、前記対象共用装置から１ホップ目の前記ネットワーク中継装置であるとしてもよい。

このようにすれば、未認証のユーザが利用できる範囲を最小限に制限して、ネットワークのセキュリティをさらに向上させることができる。また、このようにすれば、最小限のデータのみに対して伝送可否判定を行うことにより、端末装置と共用装置との間のデータ伝送の可否を制御することが可能となり、データ伝送判定負荷の低減を図ることができる。

また、上記課題の少なくとも一部を解決するために、本発明のネットワークシステムは、
少なくとも１つの端末装置と、
少なくとも１つの共用装置と、
前記端末装置と前記共用装置とをリンクを介して接続すると共に、入力されたデータの伝送可否を前記データの送信元と送信先との少なくとも一方に関する条件に基づき判定する少なくとも１つのネットワーク中継装置と、
前記端末装置のユーザによる前記共用装置の利用可否を示す管理情報を含む管理部と、を備え、
前記少なくとも１つのネットワーク中継装置の内、前記端末装置の１つである対象端末装置を送信元とするすべてのデータが入力されるネットワーク中継装置である端末接続中継装置は、前記対象端末装置から、前記対象端末装置のユーザの認証に用いられる認証情報を取得する認証情報取得部を含み、
前記管理部は、
前記端末接続中継装置から前記認証情報を取得すると共に、取得した前記認証情報に基づき、前記対象端末装置のユーザの認証を行う認証処理部と、
前記管理情報を参照して、認証されたユーザによる利用が許可された前記共用装置の１つを対象共用装置として検出する利用許可管理部と、を含み、
前記少なくとも１つのネットワーク中継装置の内、前記対象共用装置を送信先とするすべてのデータが入力されるネットワーク中継装置である共用装置接続中継装置は、前記管理部による前記認証が成功したとき、前記対象端末装置と前記対象共用装置との間のデータの伝送可否を不許可から許可に変更するように、前記条件を設定する伝送許可管理部を含む。

また、上記課題の少なくとも一部を解決するために、本発明の管理装置は、
少なくとも１つの端末装置と、少なくとも１つの共用装置と、前記端末装置と前記共用装置とをリンクを介して接続すると共に、入力されたデータの伝送可否を前記データの送信元と送信先との少なくとも一方に関する条件に基づき判定する少なくとも１つのネットワーク中継装置と、を有するネットワークに適用可能な管理装置であって、
管理者の指示に従い、前記端末装置のユーザによる前記共用装置の利用可否を示す情報を管理情報として設定する管理情報設定部と、
前記少なくとも１つのネットワーク中継装置の内、前記端末装置の１つである対象端末装置を送信元とするすべてのデータが入力されるネットワーク中継装置である端末接続中継装置から、前記対象端末装置のユーザを特定するユーザ特定情報を取得するユーザ特定情報取得部と、
前記管理情報を参照して、取得した前記ユーザ特定情報に基づき特定された前記対象端末装置のユーザによる利用が許可された前記共用装置の１つを対象共用装置として検出し、前記少なくとも１つのネットワーク中継装置の内、前記対象共用装置を送信先とするすべてのデータが入力されるネットワーク中継装置である共用装置接続中継装置に、前記対象端末装置と前記対象共用装置との間のデータの伝送の許可を、前記対象端末装置を特定する情報と共に通知する伝送許可管理部と、を備える。

また、上記課題の少なくとも一部を解決するために、本発明のネットワーク中継装置は、
少なくとも１つの端末装置と、少なくとも１つの共用装置と、前記端末装置のユーザによる前記共用装置の利用可否を示す管理情報を含むと共に、前記管理情報を参照して、前記端末装置の１つである対象端末装置のユーザによる利用が許可された前記共用装置の１つである対象共用装置を検出可能な管理部と、を有するネットワークに適用可能なネットワーク中継装置であって、
入力されたデータの伝送可否を前記データの送信元と送信先との少なくとも一方に関する条件に基づき判定する判定部と、
前記対象端末装置から、前記対象端末装置のユーザを特定するユーザ特定情報を取得して、前記管理部に送信するユーザ特定情報処理部と、
前記管理部から、前記対象端末装置と前記対象共用装置との間のデータの伝送の許可を、前記対象端末装置を特定する情報と共に受領したとき、前記対象端末装置と前記対象共用装置との間のデータの伝送可否を不許可から許可に変更するように、前記条件を設定する伝送許可管理部と、を備える。

なお、本発明は、種々の態様で実現することが可能であり、例えば、ネットワークにおけるデータ伝送制御方法、ネットワークに適用可能な管理装置およびネットワーク中継装置、ネットワークシステム、これらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体、そのコンピュータプログラムを含み搬送波内に具現化されたデータ信号、等の形態で実現することができる。

本発明の実施例としてのネットワークシステムの構成を概略的に示す説明図。 ネットワーク中継装置１００の構成を概略的に示す説明図。 許可情報１２９の内容の一例を示す説明図。 管理サーバ３００の構成を概略的に示す説明図。 ユーザ属性情報３３７の内容の一例を示す説明図。 グループ情報３３８の内容の一例を示す説明図。 共用装置情報３３９の内容の一例を示す説明図。 本実施例のネットワークシステム１０におけるログイン処理の流れを示すフローチャート。 本実施例のネットワークシステム１０におけるログイン処理の流れを示すフローチャート。 ログアウト状態におけるパケットの流れを概念的に示す説明図。 ネットワーク中継装置１００Ａの更新された許可情報１２９の内容の一例を示す説明図。 ネットワーク中継装置１００Ｙの更新された許可情報１２９の内容の一例を示す説明図。 ログイン状態におけるパケットの流れを概念的に示す説明図。 本実施例のネットワークシステム１０におけるログアウト処理の流れを示すフローチャート。 変形例としてのネットワーク中継装置１００ａの構成を概略的に示す説明図。 他の変形例としてのネットワーク中継装置１００ｂの構成を概略的に示す説明図。 他の変形例としてのネットワークシステム１０ａの構成を概略的に示す説明図。

次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
Ａ．実施例：
Ｂ．変形例：

Ａ．実施例：
図１は、本発明の実施例としてのネットワークシステムの構成を概略的に示す説明図である。本実施例のネットワークシステム１０は、複数の装置が複数のネットワーク中継装置１００とリンク２６０とにより接続された構成を有している。リンク２６０は、データの伝送路であり、ＵＴＰケーブル、ＳＴＰケーブル、光ファイバ、同軸ケーブル、または無線等によって構成される。ネットワーク中継装置１００は、ネットワークシステム１０のリンク２６０内を伝送されるデータを中継する装置であり、スイッチングハブ、ルータ、またはアクセスポイント等によって構成される。ネットワークシステム１０内のデータ伝送は、例えばＴＣＰ／ＩＰプロトコルといった所定のプロトコルに従い行われる。本実施例では、ネットワーク中継装置１００として、ＯＳＩ参照モデルにおける第３層（レイヤ３）でデータの中継を行う装置を用いている。また、ネットワークシステム１０内を伝送されるデータは、パケットの形をとるものとしている。

なお、本明細書では、ネットワークシステム１０内に同種の構成要素が複数存在する場合には、当該構成要素を表す符号の末尾に、個々の構成要素を識別するための識別符号を付加している。例えば、本実施例のネットワークシステム１０内には、４つのネットワーク中継装置１００が存在しているため、ネットワーク中継装置１００のそれぞれを、ネットワーク中継装置１００Ａ，１００Ｂ，１００Ｘ，１００Ｙと表している。ただし、同種の構成要素の個々を区別する必要のないときは、符号の末尾に付加した上記識別符号を省略して表現している。また、本明細書では、このような構成要素の名前に上記識別符号を付加して呼ぶ場合がある。例えば、ネットワーク中継装置１００Ａを、ネットワーク中継装置Ａと呼ぶ場合がある。

ネットワーク中継装置１００Ｙには、ゲートウェイ２５０が接続されている。ネットワークシステム１０は、ゲートウェイ２５０を介して外部ネットワーク２７０と接続されている。ゲートウェイ２５０は、ファイアウォールとしての機能を含んでいてもよい。ネットワーク中継装置１００Ｙには、また、メールサーバ２４０および管理サーバ３００が接続されている。ネットワーク中継装置１００Ｘには、ファイルサーバ２３０が接続されている。ネットワーク中継装置１００Ａには、ユーザが利用する端末２１０（２１０ｈおよび２１０ｉ）と、プリンタ２２０（２２０Ｐ）と、が接続されている。ネットワーク中継装置１００Ｂには、端末２１０（２１０ｊ）と、プリンタ２２０（２２０Ｑ）と、が接続されている。ゲートウェイ２５０とメールサーバ２４０とファイルサーバ２３０とプリンタ２２０とは、複数の端末２１０によって利用される装置であり、本明細書ではこれらの装置を共用装置と呼ぶ。

なお、ネットワークシステム１０内の端末２１０や共用装置は、図示しないネットワークインタフェースを有しており、当該ネットワークインタフェースを介してリンク２６０と接続されている。

また、本明細書では、ある端末２１０を送信元とするすべてのパケットが入力されるネットワーク中継装置１００を、当該端末２１０の「接続ネットワーク中継装置」と呼ぶ。例えば、端末２１０ｈを送信元とするすべてのパケットはネットワーク中継装置１００Ａに入力されるため、端末２１０ｈの接続ネットワーク中継装置は、ネットワーク中継装置１００Ａである。一般には、ある端末２１０の接続ネットワーク中継装置は、当該端末２１０から１ホップ目（１つ目の送り先）のネットワーク中継装置１００、すなわち、当該端末２１０と直接接続されたネットワーク中継装置１００である。

同様に、本明細書では、ある共用装置を送信先とするすべてのパケットが入力されるネットワーク中継装置１００を、当該共用装置の「接続ネットワーク中継装置」と呼ぶ。例えば、メールサーバ２４０の接続ネットワーク中継装置は、ネットワーク中継装置１００Ｙである。一般には、ある共用装置の接続ネットワーク中継装置は、当該共用装置から１ホップ目のネットワーク中継装置１００、すなわち、当該共用装置と直接接続されたネットワーク中継装置１００である。

図２は、ネットワーク中継装置１００（図１）の構成を概略的に示す説明図である。ネットワーク中継装置１００は、リンク２６０（図１）を介してパケット伝送を行う通信部１２０と、通信部１２０におけるパケット伝送を制御する制御部１１０と、を有している。

制御部１１０は、ＣＰＵ１１２と、メモリ１１４と、を含んでいる。メモリ１１４には、ユーザ認証処理部１１６と、ＩＰアドレス配布部１１７と、伝送許可管理部１１８と、の機能を実現するコンピュータプログラムが格納されている。ユーザ認証処理部１１６とＩＰアドレス配布部１１７と伝送許可管理部１１８とは、後述のログイン処理およびログアウト処理を実行するためのコンピュータプログラムである。ＣＰＵ１１２は、これらのコンピュータプログラムを読み出して実行することにより、上記各部の有する機能を実現する。なお、制御部１１０がメモリ１１４以外の記憶領域を備え、上記各コンピュータプログラムが当該記憶領域に格納されているとしてもよい。

通信部１２０は、複数のネットワークインタフェース１２４と、複数のネットワークインタフェース１２４に共有される共有バッファ１２２と、を含んでいる。図２には、２つのネットワークインタフェース１２４を示しているが、通信部１２０は３つ以上のネットワークインタフェース１２４を含んでいてもよい。ネットワークインタフェース１２４は、リンク２６０と接続されるポート１２６と、共有バッファ１２２から送出されたパケットを一時的に格納するバッファ１２７と、バッファ１２７に格納されたパケットの伝送可否を判定する伝送許可判定部１２８と、を含んでいる。また、伝送許可判定部１２８は、許可情報１２９を有している。

図３は、許可情報１２９（図２）の内容の一例を示す説明図である。許可情報１２９は、ネットワーク中継装置１００に入力されたパケットの伝送を許可する条件を示す情報である。パケットの伝送を許可する条件は、図３に示すように、パケットの送信元と送信先との組み合わせによって表される。本実施例では、パケットの送信元および送信先を、端末２１０や共用装置のネットワークインタフェースを識別する識別情報（例えばＭＡＣアドレス）とＩＰアドレスとを用いて特定している。

リンク２６０からネットワーク中継装置１００（図２）の通信部１２０の１つのネットワークインタフェース１２４に入力されたパケットは、ポート１２６を通って共有バッファ１２２に送られ、共有バッファ１２２内に格納される。その後パケットは当該パケットの送信先に向かうリンク２６０に接続された他のネットワークインタフェース１２４のバッファ１２７に転送される。

パケットがバッファ１２７に転送されると、パケットの出口側のネットワークインタフェース１２４の伝送許可判定部１２８による伝送可否の判定が行われる。伝送許可判定部１２８は、パケットの送信元および送信先が許可情報１２９（図３）に示された許可条件に合致する場合には伝送可と判定し、合致しない場合には伝送不可と判定する。伝送可と判定されたパケットは、ポート１２６を介してリンク２６０に送出される。一方、伝送不可と判定されたパケットは、廃棄される。このように、本実施例のネットワーク中継装置１００では、パケットの出口側のネットワークインタフェース１２４の伝送許可判定部１２８において、伝送可否の判定が行われる。

なお、ネットワーク中継装置１００内のすべてのネットワークインタフェース１２４において、パケット伝送可否判定を行う必要は無い。すなわち、本実施例のネットワーク中継装置１００では、ネットワークインタフェース１２４の接続先により、パケット伝送可否判定を行うか否かを設定することができる。

図４は、管理サーバ３００（図１）の構成を概略的に示す説明図である。管理サーバ３００は、ＣＰＵ３１０と、ネットワークインタフェース３２０と、内部記憶装置３３０と、を有している。ネットワークインタフェース３２０にはリンク２６０が接続される。

内部記憶装置３３０には、ユーザ認証処理部３３２と、伝送許可管理部３３４と、の機能を実現するコンピュータプログラムが格納されている。ユーザ認証処理部３３２と伝送許可管理部３３４とは、後述のログイン処理およびログアウト処理を実行するためのコンピュータプログラムである。ＣＰＵ３１０は、これらのコンピュータプログラムを読み出して実行することにより、上記各部の有する機能を実現する。

内部記憶装置３３０には、また、管理情報３３６が格納されている。管理情報３３６は、ネットワークシステム１０内における端末２１０や共用装置の状況を管理するための情報であって、ユーザ属性情報３３７と、グループ情報３３８と、共用装置情報３３９と、を含んでいる。

図５は、ユーザ属性情報３３７（図４）の内容の一例を示す説明図である。ユーザ属性情報３３７は、図５に示すように、ユーザ名と、当該ユーザが所属するグループと、当該ユーザによる利用が許可された共用装置と、当該ユーザの利用する端末２１０の識別情報（例えばＭＡＣアドレス）およびＩＰアドレスと、当該端末２１０の接続ネットワーク中継装置と、当該ユーザのネットワークシステム１０の利用状況と、を示している。例えば、図５の例では、ユーザ属性情報３３７によって、ユーザｈ（端末２１０ｈ（図１）のユーザ）は営業グループに所属していると共にメールサーバ２４０（図１）の利用を許可されており、端末２１０ｈの識別情報は「00:00:00:00:00:1」、ＩＰアドレスは「192.168.3.10」であり、端末２１０ｈの接続ネットワーク中継装置はネットワーク中継装置１００Ａ（図１）であり、ユーザｈはネットワークシステム１０内にログインしていることがわかる。

図６は、グループ情報３３８（図４）の内容の一例を示す説明図である。グループ情報３３８は、図６に示すように、グループ名と、当該グループに所属するユーザによる利用が許可された共用装置と、当該グループと関係のある他のグループと、当該グループのネットワークアドレスと、当該グループが利用するＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）の番号と、を示している。例えば、図６の例では、グループ情報３３８によって、営業グループに所属するユーザはプリンタ２２０Ｐ（図１）およびゲートウェイ２５０の利用が許可されており、営業グループは総務グループと関係があり、営業グループのネットワークアドレスは「192.168.3/24」であり、営業グループが利用するＶＬＡＮの番号が「３０」であることがわかる。

図７は、共用装置情報３３９（図４）の内容の一例を示す説明図である。共用装置情報３３９は、図７に示すように、共用装置名と、当該共用装置が所属するＶＬＡＮの番号と、当該共用装置の識別情報およびＩＰアドレスと、当該共用装置の接続ネットワーク中継装置と、を示している。例えば、図７の例では、共用装置情報３３９によって、ファイルサーバ２３０（図１）は、識別情報が「00:00:00:00:00:44」であり、ＩＰアドレスが「192.168.100.4」であり、接続ネットワーク中継装置がネットワーク中継装置１００Ｘ（図１）であることがわかる。

管理サーバ３００の有する管理情報３３６（図４）の一部は、管理者により設定・更新される。例えば、管理者は、管理サーバ３００（図４）の図示しない入力部を操作して、各ユーザの所属グループや利用が許可された共用装置を入力することにより、ユーザ属性情報３３７（図５）を設定する。また、管理情報３３６の一部（例えば利用状況欄）は、後述のログイン処理およびログアウト処理において、管理サーバ３００により設定・更新される。

図８および図９は、本実施例のネットワークシステム１０におけるログイン処理の流れを示すフローチャートである。ログイン処理は、ユーザによる端末２１０を用いたネットワークシステム１０の利用を開始するための処理である。以下では、ユーザｈによる端末２１０ｈ（図１）を用いたネットワークシステム１０の利用を開始する際のログイン処理を例に用いて説明する。

ユーザｈのログイン処理が開始される前の初期状態（以下「ログアウト状態」と呼ぶ）では、端末２１０ｈの接続ネットワーク中継装置であるネットワーク中継装置１００Ａ（図１）は、後述のユーザ認証が成功していない端末２１０を送信元とするパケットの伝送を、後述の例外を除いて許可しないように設定されている。従って、ログアウト状態では、端末２１０ｈから送出されたパケットは、ネットワーク中継装置１００Ａにおいて伝送不可と判定され、廃棄される。図１０は、ログアウト状態におけるパケットの流れを概念的に示す説明図である。図１０に示すように、ログアウト状態では、端末２１０ｈからネットワーク中継装置１００Ａ以降のネットワークシステム１０に向けて送出されたパケットｐ１は、ネットワーク中継装置１００Ａにおいて伝送不可と判定され、廃棄される。

ステップＳ１１０（図８）では、端末２１０ｈが、端末２１０ｈの接続ネットワーク中継装置であるネットワーク中継装置１００Ａ（図１）に対して認証用ＩＰアドレスを要求する。上述したように、ログアウト状態では、ネットワーク中継装置１００Ａは、端末２１０ｈを送信元とするパケットの伝送を許可しないように設定されているが、自らが送信先または送信元であるパケットについては処理するように設定されている。そのため、ネットワーク中継装置１００Ａは、端末２１０ｈから送信された認証用ＩＰアドレス要求を受信する。ステップＳ１２０では、認証用ＩＰアドレス要求を受信したネットワーク中継装置１００ＡのＩＰアドレス配布部１１７（図２）が、所定の認証用ＩＰアドレスを端末２１０ｈに配布する。なお、認証用ＩＰアドレスは、端末２１０ｈが後述のユーザ認証に必要なパケットをネットワーク中継装置１００Ａに伝送するためのみに使用されるＩＰアドレスである。そのため、端末２１０ｈが、配布された認証用ＩＰアドレスを用いてネットワーク中継装置１００Ａ以降のネットワークシステム１０内に向けてパケットを送出しても、図１０に示したパケットｐ１と同様に、送出されたパケットはネットワーク中継装置１００Ａにおいて廃棄される。

ステップＳ１３０（図８）では、端末２１０ｈが、配布された認証用ＩＰアドレスを設定し、認証用ＩＰアドレスを用いてネットワーク中継装置１００Ａに対しログイン要求を送信する。本実施例では、ログイン要求に、端末２１０ｈの識別情報（図５参照）と認証情報とが含まれている。認証情報は、後述のユーザ認証に用いられる情報であり、使用されるユーザ認証の方式に応じた所定の内容が含まれる。

ステップＳ１４０（図８）では、ネットワーク中継装置１００Ａのユーザ認証処理部１１６（図２）が、受信した認証情報を、自らが送信元となるパケットとして、管理サーバ３００に送信する。なお、ユーザ認証に識別情報も用いられる場合には、ユーザ認証処理部１１６は、受信した識別情報も管理サーバ３００に送信する。

ステップＳ１５０（図８）では、管理サーバ３００のユーザ認証処理部３３２（図４）が、受信した認証情報を基にユーザｈのユーザ認証を行う。ユーザ認証は、例えば、ＩＤとパスワードを用いる認証方式やディジタル署名を用いる認証方式等の公知のユーザ認証方式により実行される。なお、ユーザ認証に用いる認証方式によっては、端末２１０ｈと管理サーバ３００との間の（ネットワーク中継装置１００Ａを介した）認証情報のやりとりが、複数回実行される場合もある。ステップＳ１５０におけるユーザ認証が成功した場合には、管理サーバ３００の伝送許可管理部３３４（図４）が、ユーザ属性情報３３７（図５）中のユーザｈの利用状況欄を「ログイン」に更新する。また、伝送許可管理部３３４は、ユーザ属性情報３３７中の識別情報欄やＩＰアドレス欄、ネットワーク中継装置欄についても、必要により設定・更新を行う。例えば、ユーザｈによる初めてのログイン処理の際には、グループ情報３３８（図６）を参照して、ユーザｈの所属グループ（営業グループ）のネットワークアドレスを基に、通信用ＩＰアドレスを設定するとしてもよい。その後、処理はステップＳ１６０およびＳ２００に進む。一方、ステップＳ１５０におけるユーザ認証が失敗した場合には、処理は図９のステップＳ２２０に進む。

ステップＳ１６０（図８）では、管理サーバ３００の伝送許可管理部３３４（図４）が、端末２１０ｈの接続ネットワーク中継装置であるネットワーク中継装置１００Ａに対し、認証成功の通知と認証が成功したユーザｈに関するユーザ属性情報３３７（図５）とを送信する。

ステップＳ１７０では、ネットワーク中継装置１００Ａの伝送許可管理部１１８（図２）が、受信したユーザ属性情報３３７に基づき、ユーザｈの通信用ＩＰアドレスを検出する。通信用ＩＰアドレスは、ユーザｈが、認証成功後にネットワークシステム１０内で使用するＩＰアドレスである。伝送許可管理部１１８は、ユーザ属性情報３３７に含まれるＩＰアドレス（図５）を通信用ＩＰアドレスとして検出する。なお、通知されたユーザ属性情報３３７にＩＰアドレスの情報が含まれないときには、伝送許可管理部１１８が、ユーザｈのＩＰアドレスを、管理サーバ３００に対して改めて問い合わせるようにしてもよい。また、通信用ＩＰアドレスは、ユーザｈが認証用ＩＰアドレスとして使用しているＩＰアドレスと同じであってもよい。

ステップＳ１７０では、また、ネットワーク中継装置１００Ａの伝送許可管理部１１８（図２）が、ユーザｈを送信元とするパケットの伝送が許可されるように通信部１２０の設定を行う。具体的には、ネットワーク中継装置１００Ｘ（図１）との間のリンク２６０に接続されたネットワークインタフェース１２４に含まれる許可情報１２９（図２）を、送信元が端末２１０ｈであるパケットの伝送を許可する許可条件が追加されるように更新する。図１１は、ネットワーク中継装置１００Ａの更新された許可情報１２９の内容の一例を示す説明図である。図１１には、ネットワーク中継装置１００Ｘとの間のリンク２６０に接続されたネットワークインタフェース１２４に含まれる許可情報１２９を示している。図１１に示すように、更新された許可情報１２９には、識別情報とＩＰアドレスとで特定された端末２１０ｈを送信元とし、任意の装置を送信先とするパケットの伝送を許可する許可条件が含まれている。従って、端末２１０ｈからネットワーク中継装置１００Ａ以降のネットワークシステム１０に向けて送出されたパケットは、ネットワーク中継装置１００Ａにおいて伝送可と判定されることとなる。

ステップＳ１８０（図８）では、ネットワーク中継装置１００ＡのＩＰアドレス配布部１１７（図２）が、端末２１０ｈに対し、通信用ＩＰアドレスを配布する。ステップＳ１９０では、端末２１０ｈが、配布された通信用ＩＰアドレスを使用するための設定を行う。

なお、本実施例では、通信用ＩＰアドレスに、ライフタイム（有効期間）が設定されている。このライフタイムは、ステップＳ１８０における通信用ＩＰアドレス配布時に、通信用ＩＰアドレスと共に端末２１０ｈへと配布される。端末２１０ｈは、ネットワークシステム１０の利用の継続を希望する場合には、使用中の通信用ＩＰアドレスのライフタイムが経過する前に、通信用ＩＰアドレス配布要求をネットワーク中継装置１００Ａに対して送信する（ステップＳ１３０'）。ネットワーク中継装置１００Ａは、端末２１０ｈから通信用ＩＰアドレス要求を受信すると、端末２１０ｈに対して、再度通信用ＩＰアドレスを配布する（ステップＳ１８０'）。

一方、ステップＳ２００（図８）では、管理サーバ３００の伝送許可管理部３３４（図４）が、ユーザ属性情報３３７（図５）およびグループ情報３３８（図６）を参照して、ステップＳ１５０で認証が成功したユーザｈによる利用が許可された共用装置を検出する。そして、伝送許可管理部３３４は、検出された共用装置の接続ネットワーク中継装置に対し、利用通知と認証が成功したユーザｈに関するユーザ属性情報３３７（図５）とを送信する。ここで、利用通知とは、認証が成功したユーザと当該ユーザによる利用が許可された共用装置とを特定し、当該ユーザの利用する端末２１０と当該共用装置との間のパケットの伝送許可を伝える通知である。本実施例では、ユーザｈによる利用が許可された共用装置はメールサーバ２４０であるため（図５参照）、伝送許可管理部３３４は、上記情報を、メールサーバ２４０の接続ネットワーク中継装置であるネットワーク中継装置１００Ｙ（図１）に送信する。

ユーザによる利用が許可された共用装置が複数ある場合には、それぞれの共用装置の接続ネットワーク中継装置に対して上記情報が送信される。例えば、ユーザｈの属する営業グループによる利用が許可された共用装置はプリンタ２２０Ｐおよびゲートウェイ２５０であるため（図６参照）、伝送許可管理部３３４は、プリンタ２２０Ｐおよびゲートウェイ２５０の接続ネットワーク中継装置（ネットワーク中継装置１００Ａおよびネットワーク中継装置１００Ｙ）にも、上記情報を送信する。なお、以下では、ユーザｈによる利用が許可された共用装置としてメールサーバ２４０に注目し、メールサーバ２４０の接続ネットワーク中継装置（ネットワーク中継装置１００Ｙ）に関する処理を例に用いて説明するが、他の共用装置（プリンタ２２０Ｐおよびゲートウェイ２５０）の接続ネットワーク中継装置に関する処理の内容も同様である。

ステップＳ２１０（図８）では、ネットワーク中継装置１００Ｙの伝送許可管理部１１８（図２）が、受信したユーザ属性情報３３７に基づき、ユーザｈの通信用ＩＰアドレスを検出する。通信用ＩＰアドレスの検出は、上述のステップＳ１７０におけるネットワーク中継装置１００Ａによる通信用ＩＰアドレスの検出と同様に行われる。

ステップＳ２１０では、また、ネットワーク中継装置１００Ｙの伝送許可管理部１１８（図２）が、受信した利用通知に基づき、ユーザｈの利用する端末２１０ｈとメールサーバ２４０との間のパケットの伝送が許可されるように通信部１２０の設定を行う。本実施例では、端末２１０とメールサーバ２４０との間のパケット伝送許可の判定は、ネットワーク中継装置１００Ｙ内のメールサーバ２４０との間のリンク２６０に接続されたネットワークインタフェース１２４（図２）の伝送許可判定部１２８において行われている。そして、ログアウト状態では、当該ネットワークインタフェース１２４の許可情報１２９（図２）には、送信元が端末２１０ｈであり、送信先がメールサーバ２４０であるパケットの伝送を許可する許可条件が含まれていない。そこでネットワーク中継装置１００Ｙの伝送許可管理部１１８は、メールサーバ２４０との間のリンク２６０に接続されたネットワークインタフェース１２４の許可情報１２９を、送信元が端末２１０ｈであり、送信先がメールサーバ２４０であるパケットの伝送を許可する許可条件が追加されるように更新する。

図１２は、ネットワーク中継装置１００Ｙの更新された許可情報１２９の内容の一例を示す説明図である。図１２には、メールサーバ２４０との間のリンク２６０に接続されたネットワークインタフェース１２４の許可情報１２９を示している。図１２に示す更新された許可情報１２９には、ＩＰアドレスで特定された端末２１０ｈを送信元とし、同じくＩＰアドレスで特定されたメールサーバ２４０を送信先とするパケットの伝送を許可する許可条件が含まれている。これにより、ネットワーク中継装置１００Ｙに入力された、送信元が端末２１０ｈであり送信先がメールサーバ２４０であるパケットは、伝送可と判定されることとなる。なお、図１２に示したネットワーク中継装置１００Ｙの許可情報１２９中では、端末２１０や共用装置の特定に識別情報を使用していない。これは、端末２１０と共用装置との間のパケットの伝送は、ネットワーク中継装置１００を経由して行われるため、識別情報で送信元や送信先を特定できない場合があるからである。

以上の処理により、ユーザ認証（ステップＳ１５０）が成功した場合のログイン処理が完了する。ログイン処理完了後の状態（以下「ログイン状態」と呼ぶ）では、ユーザｈの端末２１０ｈとネットワークシステム１０内の利用許可された共用装置との間のパケットの伝送が可能となる。図１３は、ログイン状態におけるパケットの流れを概念的に示す説明図である。図１３に示すように、端末２１０ｈからメールサーバ２４０に向けて送出されたパケットｐ２は、ネットワーク中継装置１００Ａにおいて、送信元が端末２１０ｈであるから伝送可であると判定される。その後、パケットｐ２は、ネットワーク中継装置１００Ｘを経てネットワーク中継装置１００Ｙへと入力される。ネットワーク中継装置１００Ｙにおいては、パケットｐ２は、送信元が端末２１０ｈであり送信先がメールサーバ２４０であるから伝送可であると判定される。従って、パケットｐ２はメールサーバ２４０へと到達する。一方、端末２１０ｈから、ユーザｈによる利用が許可されていない共用装置であるファイルサーバ２３０（図５参照）に向けて送出されたパケットｐ３は、ネットワーク中継装置１００Ａにおいては伝送可であると判定されるものの、ネットワーク中継装置１００Ｘにおいて、送信元が端末２１０ｈであり送信先がファイルサーバ２３０であるパケットは許可情報１２９に合致しないとして伝送不可と判定され、廃棄される。

上述したように、ステップＳ１５０（図８）におけるユーザ認証が失敗した場合には、処理は図９のステップＳ２２０に進む。ステップＳ２２０（図９）では、管理サーバ３００のユーザ認証処理部３３２（図４）が、端末２１０ｈの接続ネットワーク中継装置であるネットワーク中継装置１００Ａに対し、認証失敗の通知を送信する。ステップＳ２３０では、ネットワーク中継装置１００Ａのユーザ認証処理部１１６（図２）が、端末２１０ｈに対し、認証失敗の通知を送信する。このように、ユーザ認証が失敗した場合には、端末２１０ｈに通信用のＩＰアドレスが配布されることはなく、ユーザｈはネットワークシステム１０内にアクセスすることができない。

図１４は、本実施例のネットワークシステム１０におけるログアウト処理の流れを示すフローチャートである。ログアウト処理は、ユーザによる端末２１０を用いたネットワークシステム１０の利用を停止するための処理である。以下では、ユーザｈによる端末２１０ｈ（図１）を用いたネットワークシステム１０の利用を停止する際のログアウト処理を例に用いて説明する。

ステップＳ３３０では、ネットワーク中継装置１００Ａが、ユーザｈのログアウトを検出する。本実施例では、ネットワーク中継装置１００Ａは、通信用ＩＰアドレスのライフタイム内に端末２１０ｈからの通信用ＩＰアドレス要求が無い場合に、ユーザｈのログアウトを検出する。なお、ネットワーク中継装置１００Ａが、端末２１０ｈから明示的なログアウト要求を受信することによってユーザｈのログアウトを検出するとしてもよい。

ステップＳ３４０では、ログアウトを検出したネットワーク中継装置１００ＡのＩＰアドレス配布部１１７（図２）が、端末２１０ｈに対する通信用ＩＰアドレスの配布を停止する。また、ネットワーク中継装置１００Ａの伝送許可管理部１１８（図２）が、ユーザｈを送信元とするパケットの伝送許可を解除するように通信部１２０の設定を行う。具体的には、ログイン処理のステップＳ１７０（図８）において許可情報１２９（図２）に追加された、送信元が端末２１０ｈであるパケットの伝送を許可する許可条件が削除されるように、許可情報１２９を更新する。これにより、端末２１０ｈからネットワーク中継装置１００Ａ以降のネットワークシステム１０に向けて送出されたパケットは、ネットワーク中継装置１００Ａにおいて伝送不可と判定されることとなる。

ステップＳ３５０では、ネットワーク中継装置１００Ａの伝送許可管理部１１８（図２）が、管理サーバ３００に対し、ユーザｈのログアウトを通知する。ログアウト通知を受信した管理サーバ３００の伝送許可管理部３３４（図４）は、ユーザ属性情報３３７（図５）中のユーザｈの利用状況欄を「ログアウト」に更新する。

また、伝送許可管理部３３４は、ユーザｈによる利用が許可された共用装置の接続ネットワーク中継装置に対し、利用停止通知とユーザｈに関するユーザ属性情報３３７（図５）とを送信する（ステップＳ３６０）。ここで、利用停止通知とは、ネットワークシステム１０の利用を停止するユーザと当該ユーザによる利用が許可されている共用装置とを特定し、当該ユーザの利用する端末２１０と当該共用装置との間のパケット伝送許可の停止を伝える通知である。本実施例では、ユーザｈによる利用が許可されている共用装置はメールサーバ２４０であるため（図５参照）、伝送許可管理部３３４は、上記情報を、メールサーバ２４０の接続ネットワーク中継装置であるネットワーク中継装置１００Ｙ（図１）に送信する。なお、ユーザｈによる利用が許可された共用装置が複数ある場合には、それぞれの共用装置の接続ネットワーク中継装置に対して上記情報が送信される。以下では、ユーザｈによる利用が許可された共用装置としてメールサーバ２４０に注目し、メールサーバ２４０の接続ネットワーク中継装置（ネットワーク中継装置１００Ｙ）に関する処理を例に用いて説明するが、他の共用装置（プリンタ２２０Ｐおよびゲートウェイ２５０）の接続ネットワーク中継装置に関する処理の内容も同様である。

ステップＳ３７０では、ネットワーク中継装置１００Ｙの伝送許可管理部１１８（図２）が、受信したユーザ属性情報３３７に基づき、ユーザｈの通信用ＩＰアドレスを検出する。通信用ＩＰアドレスの検出は、上述のログイン処理（図８）における通信用ＩＰアドレスの検出と同様に行われる。

ステップＳ３７０では、また、ネットワーク中継装置１００Ｙの伝送許可管理部１１８（図２）が、受信した利用停止通知に基づき、ユーザｈの使用する端末２１０ｈとメールサーバ２４０との間のパケットの伝送許可が解除されるように通信部１２０の設定を行う。具体的には、ログイン処理のステップＳ２１０（図８）において許可情報１２９（図２）に追加された、送信元が端末２１０ｈであり送信先がメールサーバ２４０であるパケットの伝送を許可する許可条件が削除されるように、許可情報１２９を更新する。

以上の処理により、ユーザｈのログアウト処理が完了する。これにより、ユーザｈは、ネットワークシステム１０内へのアクセスができなくなる。

以上説明したように、本実施例のネットワークシステム１０（図１）では、ログイン処理において、管理サーバ３００が、ユーザによる利用が許可された共用装置を検出し、検出された共用装置の接続ネットワーク中継装置に対し、利用通知を送信する。利用通知を受領したネットワーク中継装置１００は、ユーザの利用する端末２１０と共用装置との間のパケットの伝送が許可されない状態から、許可される状態に変更されるよう、保有する許可情報１２９（図２）を更新する。そのため、本実施例のネットワークシステム１０では、端末２１０のユーザに応じて端末２１０と共用装置との間のパケット伝送の可否を制御するといった、ネットワークシステム１０内部におけるパケット伝送制御を行うことが可能である。また、共用装置の接続ネットワーク中継装置において端末２１０と共用装置との間のパケット伝送の可否が判定されるため、パケット伝送判定負荷の分散化を図ることができる。

また、本実施例のネットワークシステム１０では、ユーザ認証に用いられる認証情報が、端末２１０から端末２１０の接続ネットワーク中継装置を経て管理サーバ３００に送られ、管理サーバ３００によるユーザ認証が成功したときに、上述の管理サーバ３００から共用装置の接続ネットワーク中継装置に対する利用通知が行われる。そのため、ユーザ名を詐称するいわゆる「なりすまし」等のネットワークシステム１０に対する不正なアクセスを制限することができる。

また、本実施例のネットワークシステム１０では、管理サーバ３００によるユーザ認証が成功したときに、管理サーバ３００から端末２１０の接続ネットワーク中継装置に対する認証成功通知が行われる。認証成功通知を受領したネットワーク中継装置１００は、ユーザの利用する端末２１０を送信元とするパケットの伝送が許可されない状態から、許可される状態に変更されるよう、保有する許可情報１２９（図２）を更新する。そのため、未認証のユーザが利用できる範囲を制限して、ネットワークシステム１０のセキュリティを向上させることができる。なお、本実施例のネットワークシステム１０では、端末２１０の接続ネットワーク中継装置は、当該端末２１０から１ホップ目のネットワーク中継装置１００であるとしている。そのため、未認証のユーザが利用できる範囲を最小限に制限して、ネットワークシステム１０のセキュリティをさらに向上させることができる。

また、本実施例のネットワークシステム１０では、端末２１０と共用装置との間のパケット伝送可否の判定を、当該共用装置の接続ネットワーク中継装置で行っている。そして、共用装置の接続ネットワーク中継装置は、当該共用装置から１ホップ目のネットワーク中継装置１００であるとしている。そのため、最小限のパケットのみに対して伝送許可判定を行うことにより、端末２１０と共用装置との間のパケット伝送の可否を制御することが可能となり、パケット伝送判定負荷の低減を図ることができる。

また、本実施例のネットワークシステム１０では、端末２１０の接続ネットワーク中継装置が端末２１０のユーザのログアウトを検出したとき、ログアウトを管理サーバ３００に通知する。通知を受領した管理サーバ３００は、ユーザによる利用が許可された共用装置を検出し、検出された共用装置の接続ネットワーク中継装置に対し、利用停止通知を送信する。利用停止通知を受領したネットワーク中継装置１００は、ユーザの利用する端末２１０と共用装置との間のパケットの伝送が許可される状態から、許可されない状態に変更されるよう、保有する許可情報１２９（図２）を更新する。そのため、本実施例のネットワークシステム１０では、ユーザがログアウトした状態では、なりすまし等による共用装置への不正アクセスを制限することができる。

Ｂ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。

Ｂ１．変形例１：
上記実施例のネットワーク中継装置１００の構成は、あくまで一例であり、ネットワーク中継装置１００の構成を他の構成とすることも可能である。図１５は、変形例としてのネットワーク中継装置１００ａの構成を概略的に示す説明図である。図２に示した実施例のネットワーク中継装置１００との違いは、ネットワークインタフェース１２４の構成である。すなわち、図２に示した実施例のネットワーク中継装置１００では、パケットの出口側のネットワークインタフェース１２４の伝送許可判定部１２８において、伝送可否の判定が行われるように、ネットワークインタフェース１２４が構成されている。これに対し、図１５に示した変形例のネットワーク中継装置１００ａでは、パケットの入口側のネットワークインタフェース１２４の伝送許可判定部１２８において、伝送可否の判定が行われるように、ネットワークインタフェース１２４が構成されている。ネットワークシステム１０には、図１５に示した変形例のネットワーク中継装置１００ａも適用可能である。

ただし、共用装置収容中継装置として実施例のネットワーク中継装置１００（図２）を用いれば、パケット伝送判定負荷の低減を図ることができるという効果を奏する。例えば、送信元が端末２１０ｈ（図１）であり送信先がメールサーバ２４０であるパケットの伝送制御を行う場合、メールサーバ２４０（図１）の接続ネットワーク中継装置であるネットワーク中継装置１００Ｙを図２に示す構成とすれば、ネットワーク中継装置１００Ｙのネットワークインタフェース１２４の内、メールサーバ２４０との間のリンク２６０に接続されたネットワークインタフェース１２４においてのみパケット伝送判定を実行すればよい。そのため、端末２１０ｈからメールサーバ２４０以外に宛てたパケットがネットワーク中継装置１００Ｙに入力されても、当該パケットに対する判定は不要である。これに対し、ネットワーク中継装置１００Ｙを図１５に示す構成とすると、ネットワーク中継装置１００Ｙのネットワークインタフェース１２４の内、ネットワーク中継装置１００Ｘとの間のリンク２６０に接続されたネットワークインタフェース１２４においてパケット伝送判定を実行することとなる。そのため、端末２１０ｈから送出されネットワーク中継装置１００Ｙに入力されたパケットのすべてに対して、判定が実行されることとなる。従って、このような場合には、ネットワーク中継装置１００Ｙを図２に示す構成とすれば、パケット伝送判定負荷の低減を図ることができる。

なお、ネットワーク中継装置１００において、パケットの出口側および入口側の両方のネットワークインタフェース１２４の伝送許可判定部１２８において、伝送可否の判定が行われるように、ネットワークインタフェース１２４が構成されるとしてもよい。

図１６は、他の変形例としてのネットワーク中継装置１００ｂの構成を概略的に示す説明図である。図２に示した実施例のネットワーク中継装置１００との違いは、図１６に示したネットワーク中継装置１００ｂでは、伝送許可判定部１２８がネットワークインタフェース１２４から独立し、各ネットワークインタフェース１２４に共有されている点である。ネットワークシステム１０には、図１６に示した変形例のネットワーク中継装置１００ｂも適用可能である。

また、ネットワーク中継装置１００の構成を、ネットワークシステム１０における配置に応じて異ならせてもよい。例えば、端末２１０が接続されることのないネットワーク中継装置１００は、ユーザ認証処理部１１６（図２）やＩＰアドレス配布部１１７を含まない構成としてもよい。また、端末２１０も共用装置も接続されることのないネットワーク中継装置１００は、伝送許可管理部１１８（図２）や伝送許可判定部１２８を含まない構成としてもよい。

Ｂ２．変形例２：
上記実施例のネットワークシステム１０の構成は、あくまで一例であり、ネットワークシステム１０を他の構成とすることも可能である。図１７は、他の変形例としてのネットワークシステム１０ａの構成を概略的に示す説明図である。図１に示した実施例のネットワークシステム１０との違いは、図１７に示した変形例のネットワークシステム１０ａでは、端末２１０ｈとネットワーク中継装置１００Ａとの間にネットワーク中継装置１００Ｃが配置されていると共に、メールサーバ２４０とネットワーク中継装置１００Ｙとの間にネットワーク中継装置１００Ｚが配置されている点である。

変形例のネットワークシステム１０ａでは、端末２１０ｈを送信元とするすべてのパケットが入力されるネットワーク中継装置１００は、ネットワーク中継装置１００Ａおよびネットワーク中継装置１００Ｃである。そのため、端末２１０ｈの接続ネットワーク中継装置は、ネットワーク中継装置１００Ａおよびネットワーク中継装置１００Ｃの２つとなる。この場合には、いずれか１つの接続ネットワーク中継装置により、上述のログイン処理およびログアウト処理が実行される。このように、端末２１０の接続ネットワーク中継装置は、必ずしも当該端末２１０から１ホップ目のネットワーク中継装置１００である必要はない。

同様に、メールサーバ２４０を送信先とするすべてのパケットが入力されるネットワーク中継装置１００は、ネットワーク中継装置１００Ｙおよびネットワーク中継装置１００Ｚである。そのため、メールサーバ２４０の接続ネットワーク中継装置は、ネットワーク中継装置１００Ｙおよびネットワーク中継装置１００Ｚの２つとなる。この場合には、いずれか１つの接続ネットワーク中継装置により、上述のログイン処理およびログアウト処理が実行される。このように、共用装置の接続ネットワーク中継装置は、必ずしも当該共用装置から１ホップ目のネットワーク中継装置１００である必要はない。

また、ネットワークシステム１０において、管理サーバ３００の機能が、少なくとも１つのネットワーク中継装置１００に含まれるとしてもよい。また、ネットワークシステム１０の構成によっては、端末２１０の接続ネットワーク中継装置と共用装置の接続ネットワーク中継装置とが、同一のネットワーク中継装置１００となる場合もある。

Ｂ３．変形例３：
上記実施例では、許可情報１２９（図３）において、送信元および送信先を、識別情報およびＩＰアドレスを用いて特定しているが、ネットワークシステム１０内のデータ伝送に使用するプロトコル等に応じた他の特定方法を用いてもよい。例えば、送信元および送信先を、ＩＰアドレスのみを用いて特定してもよい。また、識別情報およびＩＰアドレスに加え、端末２１０や共用装置上のアプリケーションに割り当てられたポート番号を用いて特定してもよい。

Ｂ４．変形例４：
上記実施例のログイン処理およびログアウト処理の内容は、あくまで一例であり、他の内容とすることも可能である。例えば、上記実施例のログイン処理（図８）では、ネットワーク中継装置１００Ａが、端末２１０からの認証用ＩＰアドレス要求に応じて認証用ＩＰアドレスを配布しているが（ステップＳ１１０およびＳ１２０）、ネットワーク中継装置１００Ａが、主体的に、接続された端末２１０に対して定期的に認証用ＩＰアドレスを配布するとしてもよい。また、ＩＥＥＥ８０２．１ｘで規定された方法のように、認証用ＩＰアドレスを用いずに端末２１０のユーザの認証を行うようにしてもよい。

また、上記実施例のログイン処理（図８）では、端末２１０のユーザ認証が行われているが（ステップＳ１５０）、ログイン処理において必ずしもユーザ認証が行われる必要は無い。例えば、端末２１０からのログイン要求（ステップＳ１３０）があった場合には、管理サーバ３００におけるユーザ認証が実行されることなく、端末２１０や共用装置の接続ネットワーク中継装置の有する許可情報１２９の更新（ステップＳ１７０およびＳ２１０）が行われるとしてもよい。この場合には、ログイン要求に認証情報が含まれる必要は無い。

また、ネットワークシステム１０において、端末２１０の接続ネットワーク中継装置におけるパケット伝送可否判定は、必ずしも実行される必要はない。例えば、ネットワークシステム１０において、端末２１０と共用装置との間のパケット伝送制御を行うために、共用装置の接続ネットワーク中継装置においてのみ、パケット伝送可否判定が実行されるとしてもよい。

また、上記実施例では、管理サーバ３００が管理情報３３６（図４）を有しているが、共用装置の接続ネットワーク中継装置が管理情報３３６の少なくとも一部を有していてもよい。例えば、メールサーバ２４０の接続ネットワーク中継装置であるネットワーク中継装置１００Ｙが管理情報３３６を有している場合には、ログイン処理（図８）において、管理サーバ３００からネットワーク中継装置１００Ｙへの属性情報の送信（ステップＳ２００）が行われる必要はない。

また、上記実施例のログイン処理（図８）では、利用通知（ステップＳ２００）に、認証が成功したユーザと当該ユーザによる利用が許可された共用装置とを特定する情報が含まれるとしているが、利用通知に、当該ユーザによる利用が許可された共用装置を特定する情報は含まれないとしてもよい。この場合には、利用通知を受けたネットワーク中継装置１００（図８のネットワーク中継装置１００Ｙ）は、管理サーバ３００に問い合わせることによって、認証が成功したユーザによる利用が許可された共用装置を特定することができる。

また、上記実施例では、グループ情報３３８（図６）によってグループの所属ユーザに対して利用が許可された共用装置と端末２１０との間のパケット伝送許可に関しても、管理サーバ３００におけるユーザ認証成功の後に、共用装置の接続ネットワーク中継装置において設定するとしているが、グループの所属ユーザに対して利用が許可された共用装置との間のパケット伝送許可は、ログイン処理の前に予め設定しておいてもよい。

１０...ネットワークシステム
１００...ネットワーク中継装置
１１０...制御部
１１２...ＣＰＵ
１１４...メモリ
１１６...ユーザ認証処理部
１１７...ＩＰアドレス配布部
１１８...伝送許可管理部
１２０...通信部
１２２...共有バッファ
１２４...ネットワークインタフェース
１２６...ポート
１２７...バッファ
１２８...伝送許可判定部
１２９...許可情報
２１０...端末
２２０...プリンタ
２３０...ファイルサーバ
２４０...メールサーバ
２５０...ゲートウェイ
２６０...リンク
３００...管理サーバ
３１０...ＣＰＵ
３２０...ネットワークインタフェース
３３０...内部記憶装置
３３２...ユーザ認証処理部
３３４...伝送許可管理部
３３６...管理情報
３３７...ユーザ属性情報
３３８...グループ情報
３３９...共用装置情報

Claims (6)

1. ＬＡＮ内でのデータ伝送制御システムであって、
   接続された端末を認証する認証中継装置と、
   前記ＬＡＮ内に接続された端末から処理を要求できる複数の共用装置と、
   前記ＬＡＮ内にある複数の中継装置と、
   前記端末を認証すると共に前記共用装置のアクセス可否情報を管理する管理装置と、を備え、
   前記複数の中継装置は、１以上の前記共用装置と接続された２以上の接続中継装置を含み、
   前記認証中継装置は、第１のユーザからユーザ識別情報を受信した場合、当該ユーザ識別情報を前記管理装置に送信し、
   前記管理装置は、前記ユーザ識別情報に基づいて第１のユーザを認証し、当該認証が成功した場合、前記アクセス可否情報を基に、前記接続中継装置の少なくとも１つに、当該接続中継装置と隣接する前記共用装置に対する前記第１のユーザの伝送制御情報を通知し、
   前記接続中継装置は、前記受信した伝送制御情報を自身に設定し、前記第１のユーザから自身と隣接する前記共用装置に対する通信を受信した場合に、前記伝送制御情報を基に、前記通信を遮断または転送することを特徴とする、データ伝送制御システム。
2. 請求項１に記載のデータ伝送制御システムであって、
   前記伝送制御情報は、送信元ＭＡＣアドレスと、送信元ＩＰアドレスと、送信先ＭＡＣアドレスと、送信先ＩＰアドレスと、を含むことを特徴とする、データ伝送制御システム。
3. 請求項１に記載のデータ伝送制御システムであって、
   前記管理装置は、前記共用装置のアクセス可否情報を、前記ユーザを分類したグループと対応付けて管理し、前記ユーザの所属するグループに応じて前記伝送制御情報を生成することを特徴とする、データ伝送制御システム。
4. 接続された端末を認証する認証中継装置と、ＬＡＮ内に接続された端末から処理を要求できる複数の共用装置と、１以上の前記共用装置と接続された２以上の接続中継装置を含む複数の中継装置と、前記端末を認証すると共に前記共用装置のアクセス可否情報を管理する管理装置と、を有する前記ＬＡＮ内でのデータ伝送制御方法であって、
   （ａ）前記認証中継装置が、第１のユーザからユーザ識別情報を受信した場合、当該ユーザ識別情報を前記管理装置に送信する工程と、
   （ｂ）前記管理装置が、前記ユーザ識別情報に基づいて第１のユーザを認証し、当該認証が成功した場合、前記アクセス可否情報を基に、前記接続中継装置の少なくとも１つに、当該接続中継装置と隣接する前記共用装置に対する前記第１のユーザの伝送制御情報を通知する工程と、
   （ｃ）前記接続中継装置が、前記受信した伝送制御情報を自身に設定し、前記第１のユーザから自身と隣接する前記共用装置に対する通信を受信した場合に、前記伝送制御情報を基に、前記通信を遮断または転送する工程と、を備えることを特徴とする、データ伝送制御方法。
5. 請求項４に記載のデータ伝送制御方法であって、
   前記伝送制御情報は、送信元ＭＡＣアドレスと、送信元ＩＰアドレスと、送信先ＭＡＣアドレスと、送信先ＩＰアドレスと、を含むことを特徴とする、データ伝送制御方法。
6. 請求項４に記載のデータ伝送制御方法であって、さらに、
   （ｄ）前記管理装置が、前記共用装置のアクセス可否情報を、前記ユーザを分類したグループと対応付けて管理し、前記ユーザの所属するグループに応じて前記伝送制御情報を生成する工程を備えることを特徴とする、データ伝送制御方法。

Images