JP6126062B2

JP6126062B2 - ネットワーク装置及びネットワーク装置のｍａｃアドレス認証方法

Info

Publication number: JP6126062B2
Application number: JP2014214405A
Authority: JP
Inventors: 勝美中村
Original assignee: NEC Platforms Ltd
Current assignee: NEC Platforms Ltd
Priority date: 2014-10-21
Filing date: 2014-10-21
Publication date: 2017-05-10
Anticipated expiration: 2034-10-21
Also published as: JP2016082499A

Description

本発明は、ネットワーク装置及びネットワーク装置のＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレス認証方法に関し、特に、ＭＡＣアドレス認証が完了状態であれば、通信が遮断されないネットワーク装置及びネットワーク装置のＭＡＣアドレス認証方法に関する。

クライアントに対する端末認証方式として、クライアント端末からログイン等の認証を必要とする要求があった場合に、クライアント端末からユーザ情報をサーバに送信したのち認証処理が行われる方式が知られている。ここでは、認証されていないネットワーク機器は、ネットワークを経由して他のネットワーク機器にアクセスすることができず、また他のネットワーク機器からのアクセスもできない。

例えば、ＲＡＤＩＵＳ（ＲｅｍｏｔｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＤｉａｌＩｎＵｓｅｒＳｅｒｖｉｃｅ）による認証システムは、ユーザ、ＲＡＤＩＵＳクライアント、ＲＡＤＩＵＳサーバから構成される。ＲＡＤＩＵＳクライアントは、アクセスしてくるユーザの認証要求を受け付け、ＲＡＤＩＵＳサーバに転送する。ＲＡＤＩＵＳサーバは、転送されてきた認証要求に応じて実際に認証を実行し、アクセスを許可するかどうかを決定する。

図９に関連するネットワーク装置の構成の一例を示す。図９に示すように、ネットワーク装置１２の構成としては、ＭＡＣアドレステーブル４はスイッチ部１０の内部にあり、本スイッチ部は、市販のスイッチチップで構成されている。また、ＭＡＣ認証制御部３とＭＡＣ認証テーブル５はＣＰＵとその周辺チップで構成されている。よって、ＭＡＣアドレステーブル４とＭＡＣ認証テーブル５の２つのテーブルを制御する必要がある。そのため、ＭＡＣアドレス認証完了状態において、ＭＡＣ認証テーブル５には、該当のＭＡＣアドレスが登録されているにも関わらず、ＭＡＣアドレステーブル４から該当するＭＡＣアドレスが削除されてしまう状態が発生し、パケットが遮断されるという課題があった。

アドレス認証に関連する技術として、特許文献１には、認証処理のための負荷処理を軽減しつつセキュリティを劣化させることなく、ユーザ端末のネットワーク接続をスムーズに行わせるために、第１のネットワークとの接続について切断要求を送信した後又はそれ以前に、ユーザ端末が現在使用しているアドレスとは別で且つ認証装置により生成されるアドレスと同一のアドレスを所定時間有効な再接続用のアドレスとして生成している。さらに、再接続用アドレス格納部に格納する工程と、第１のネットワークとの接続が切断された後所定時間内であれば、認証装置による認証を受けることなく、再接続用アドレス格納部に格納されている再接続用のアドレスで第１のネットワークへ再接続をする工程とを含む技術が開示されている。

また、特許文献２には、ＭＡＣアドレスを用いて通信の確立を許可するか否かを決定するため、少なくとも１つの通信端末と通信を確立可能な局側装置が、通信を許可する通信端末のＭＡＣアドレスを予め記憶するＭＡＣ認証テーブルと、通信端末のＭＡＣアドレスを含む開局要求パケットを受信する受信手段とを備えている。さらに、開局要求パケットが受信された場合、該開局要求パケットに含まれるＭＡＣアドレスがＭＡＣ認証テーブルに記憶されていることを条件に、ＭＡＣアドレス宛に通信を許可するための許可パケットを送信する許可信号送信手段とを備えて、通信を確立する通信端末を制御する技術が開示されている。

特開２０１０−９３５８５号公報特開２００５−２７０８３号公報

特許文献１に記載の技術では、ネットワークの接続が切断された後の再接続を行う技術であるため、再接続用のアドレスを生成するなどの処理が複雑であるという課題があった。

また、特許文献２の技術では、ネットワークの接続を行う端末を制限する技術であるため、接続を制限する処理が複雑になるという課題があった。

本発明の目的は、上述した課題を解決し、簡単な構成で、ＭＡＣ認証テーブルにＭＡＣアドレス認証が成功したＭＡＣアドレスが登録されていれば、通信が遮断されることなく通信品質を向上させることである。

本発明は、上記課題を解決するために、認証データベースにアクセスして認証するネットワーク装置において、認証データベースで認証されたＭＡＣアドレスを格納するＭＡＣ認証テーブルと、ＭＡＣ認証テーブルを制御するＭＡＣ認証制御部と、パケットのＭＡＣアドレスを格納するＭＡＣアドレステーブルと、ＭＡＣアドレステーブルを制御するパケット通信管理部と、パケットを所定の時間、保持するパケットバッファとを有し、ＭＡＣ認証テーブルにはＭＡＣアドレスが格納された状態で、ＭＡＣアドレステーブルにＭＡＣアドレスが格納されていない場合に、パケットを所定の時間、パケットバッファに保管することを特徴としている。

また、本発明は、上記課題を解決するために、認証データベースにアクセスして認証するネットワーク装置において、認証データベースで認証されたＭＡＣアドレスを格納するＭＡＣ認証テーブルと、ＭＡＣ認証テーブルを制御するＭＡＣ認証制御部と、パケットのＭＡＣアドレスを格納するＭＡＣアドレステーブルと、ＭＡＣアドレステーブルを制御するパケット通信管理部とを有し、ＭＡＣ認証テーブルにはＭＡＣアドレスが格納された状態で、ＭＡＣアドレステーブルにＭＡＣアドレスが格納されるようＭＡＣ認証制御部とパケット通信管理部とを制御することを特徴としている。

また、本発明は、上記課題を解決するために、認証データベースにアクセスして認証するネットワーク装置において、認証データベースで認証されたＭＡＣアドレスを格納するＭＡＣ認証テーブルと、ＭＡＣ認証テーブルを制御するＭＡＣ認証制御部と、パケットのＭＡＣアドレスを格納するＭＡＣアドレステーブルと、ＭＡＣアドレステーブルを制御するパケット通信管理部と、ＭＡＣアドレステーブルを監視するタイマと
を有し、パケット通信管理部が、タイマに同期した割り込み信号をＭＡＣ認証制御部へ出力して、ＭＡＣ認証テーブルとＭＡＣアドレステーブルのＭＡＣアドレスの格納状態を一致させるよう制御することを特徴としている。

また、本発明は、上記課題を解決するために、認証データベースにアクセスして認証するネットワーク装置のＭＡＣアドレス認証方法において、認証データベースで認証されたＭＡＣアドレスを格納するステップと、ＭＡＣアドレスが格納されるＭＡＣ認証テーブルを制御するステップと、パケットのＭＡＣアドレスを格納するステップと、パケットのＭＡＣアドレスが格納されたＭＡＣアドレステーブルを制御するステップとを有し、ＭＡＣ認証テーブルにはＭＡＣアドレスが格納された状態で、ＭＡＣアドレステーブルにＭＡＣアドレスが格納されていない場合に、パケットを所定の時間、パケットバッファに保管すること特徴としている。

また、本発明は、上記課題を解決するために、認証データベースにアクセスして認証するネットワーク装置のＭＡＣアドレス認証方法において、認証データベースで認証されたＭＡＣアドレスを格納するステップと、ＭＡＣアドレスが格納されるＭＡＣ認証テーブルを制御するステップと、パケットのＭＡＣアドレスを格納するステップと、パケットのＭＡＣアドレスが格納されたＭＡＣアドレステーブルを制御するステップとを有し、ＭＡＣ認証テーブルにはＭＡＣアドレスが格納された状態で、ＭＡＣアドレステーブルにＭＡＣアドレスが格納されるように制御することを特徴としている。

また、本発明は、上記課題を解決するために、認証データベースにアクセスして認証するネットワーク装置のＭＡＣアドレス認証方法において、認証データベースで認証されたＭＡＣアドレスを格納するステップと、ＭＡＣアドレスが格納されるＭＡＣ認証テーブルを制御するステップと、パケットのＭＡＣアドレスを格納するステップと、パケットのＭＡＣアドレスが格納されたＭＡＣアドレステーブルを制御するステップと、ＭＡＣアドレステーブルを監視するステップとを有し、ＭＡＣアドレステーブルの状態が変化したタイミングで割り込み信号を出力して、ＭＡＣ認証テーブルとＭＡＣアドレステーブルのＭＡＣアドレスの格納状態を一致させるよう制御することを特徴としている。

本発明によれば、簡単な構成で、ＭＡＣ認証テーブルにＭＡＣアドレス認証が成功したＭＡＣアドレスが登録されていれば、通信が遮断されることなく通信品質を向上させることが可能である。

本発明の第１の実施形態におけるネットワーク装置の構成を示すブロック図である。本発明の関連技術におけるネットワーク装置の動作を示す図である。本発明の関連技術におけるネットワーク装置の動作を示す図である。本発明の第１の実施形態におけるネットワーク装置の動作を示す図である。本発明の第２の実施形態におけるネットワーク装置の構成を示すブロック図である。本発明の第２の実施形態におけるネットワーク装置の動作を示す図である。本発明の第３の実施形態におけるネットワーク装置の構成を示すブロック図である。本発明の第３の実施形態におけるネットワーク装置の動作を示す図である。本発明の関連技術におけるネットワーク装置の構成を示すブロック図である。

以下、本発明の実施形態について図面を参照して詳細に説明する。

（第１の実施形態）
まず、図２、図３、図９を用いて、ＲＡＤＩＵＳベースのＭＡＣアドレス認証について、関連するネットワーク装置の構成と動作を説明する。図９は、本発明の関連技術におけるネットワーク装置の構成を示すブロック図である。図２、図３は、関連技術におけるネットワーク装置の動作を示す図である。

ＲＡＤＩＵＳベースのＭＡＣアドレス認証において、図９に示すネットワーク装置１２は、ＲＡＤＩＵＳクライアントとして動作し、ＲＡＤＩＵＳサーバ１１は、認証データベース（認証ＤＢ９）を管理する。ＲＡＤＩＵＳクライアントであるネットワーク装置１２は、ＲＡＤＩＵＳサーバ１１に対し、ＭＡＣアドレス認証についての、情報のやり取りを行う。ネットワーク装置１２は、ＲＡＤＩＵＳサーバ１１を使用しない場合は、認証データベース（内部認証ＤＢ７）を装置内部で管理し、ＭＡＣアドレス認証を行うことが可能である。例えば、ユーザ１３を認証するために、ＲＡＤＩＵＳサーバ１１に、ＩＤとパスワードとして検知したユーザ１３のＭＡＣアドレスを転送し、さらに、ＲＡＤＩＵＳサーバ１１に、そのＭＡＣアドレスが登録されていると認証が成功し、ユーザ１３に対し、ネットワークリソースにアクセスする許可が与えられ、通信が可能となる。
ユーザ１４に対しても、同様の動作が可能である。

図９に示すように、ネットワーク装置１２は、ＭＡＣアドレステーブル４とＭＡＣ認証テーブル５の２つのテーブルを管理してＭＡＣアドレス認証を実行する。スイッチ部１０は、パケット通信管理部２とＭＡＣアドレステーブル４で構成され、ＭＡＣアドレステーブル４は、パケット通信管理部２で制御され、ＭＡＣ認証テーブル５は、ＭＡＣ認証制御部３で制御される。

ユーザ１３からパケットを受信すると、ネットワーク装置１２は、通信ポート１を経由してスイッチ部１０のパケット通信管理部２へパケットを送信する。パケット通信管理部２は、スイッチ部１０のＭＡＣアドレステーブル４に、ユーザ１３から受信したパケットのＭＡＣアドレス（以降ユーザ１３のＭＡＣアドレス）が登録されているか確認し、登録されていなければ、新たにそのＭＡＣアドレスをＭＡＣアドレステーブル４に登録する。

ただし、ＭＡＣアドレス認証が完了していないため、ＭＡＣアドレステーブル４に登録されたユーザ１３のＭＡＣアドレスには、ネットワークリソースにアクセスする許可は与えず、ユーザ１３から受信したパケットは他の通信ポートへの転送は遮断された状態であるため、廃棄される。

パケット通信管理部２は、ＭＡＣアドレステーブル４にユーザ１３のＭＡＣアドレスを新たに登録した後、ＭＡＣ認証制御部３へユーザ１３のＭＡＣアドレスを送信する。さらにＭＡＣ認証制御部３は、認証ＤＢ制御部６にＩＤ、パスワードとしてユーザ１３のＭＡＣアドレスを転送する。認証ＤＢ制御部６は、ユーザ１３のＭＡＣアドレスを通信ポート８を経由してＲＡＤＩＵＳサーバ１１に転送し、ＲＡＤＩＵＳサーバ１１と情報交換を行い、そのＭＡＣアドレスがＲＡＤＩＵＳサーバ１１に登録されていると認証が成功する。

認証が成功すると、認証ＤＢ制御部６は、その情報をＭＡＣ認証制御部３に送信し、ＭＡＣ認証制御部３は、認証に成功したＭＡＣアドレスをＭＡＣ認証テーブル５に登録する。ＭＡＣ認証テーブル５に、ユーザ１３のＭＡＣアドレスが登録されると、パケット通信管理部２は、ＭＡＣアドレステーブル４に登録されているユーザ１３のＭＡＣアドレスに対し、ネットワークリソースにアクセスする許可を与え、ユーザ１３のＭＡＣアドレスを持つパケットの転送が可能となる。

ＭＡＣ認証制御部３は、内蔵するオフライン検出タイマ２３のインターバルごとに、ユーザ１３が、オフライン状態（ＭＡＣアドレステーブル４において、ユーザ１３のＭＡＣアドレスが削除された状態）にあるか否かを確認する。ユーザ１３からの通信がなくなると、パケット通信管理部２内のＭＡＣアドレスエージングタイマ２２によりＭＡＣアドレステーブル４からユーザ１３のＭＡＣアドレスが削除され、ユーザ１３がオフライン状態となる。ＭＡＣ認証制御部３は、オフライン検出タイマ２３のインターバルごとに、ユーザ１３がオフライン状態かどうかを確認し、オフライン状態であれば、その情報を認証ＤＢ制御部６へ送信する。認証ＤＢ制御部６は、ＲＡＤＩＵＳサーバ１１へＭＡＣアドレス認証の停止要求を送信し、さらにＭＡＣ認証制御部３は、ＭＡＣ認証テーブル５からユーザ１３のＭＡＣアドレスを削除する。

ＭＡＣアドレスエージングタイマ２２は、あるパケットを受信すると、その送信元アドレスをＭＡＣアドレステーブル４に登録する。しかし、一定期間、登録済みの送信元アドレスを持つパケットを受信しない場合、このＭＡＣエージングタイマ２２により、ＭＡＣアドレステーブル４から削除する。ＭＡＣアドレスエージングタイマ２２のインターバルが経過すると、ＭＡＣアドレステーブル４に登録されているＭＡＣアドレスのｈｉｔｂｉｔが１であれば、ｈｉｔｂｉｔを０とし、ｈｉｔｂｉｔが０であれば、ＭＡＣアドレステーブルから削除する。ＭＡＣアドレスエージングタイマ２２のインターバルが経過する前に該当のパケットを受信すると、ｈｉｔｂｉｔは０から１になる。つまり、次のＭＡＣアドレスエージングタイマ２２の監視時間が経過する前に該当のパケットを受信しないとＭＡＣアドレステーブル４から削除される。

オフライン検出タイマ２３は、インターバル毎に確認するタイマで、ＭＡＣ認証が完了してから、通信が継続しているか確認を行う。ＭＡＣアドレステーブルから該当のＭＡＣアドレスがない場合は、無通信と判断する。

ＭＡＣアドレステーブル４については、動的にＭＡＣアドレスの追加が行われるため、テーブルのリソースの浪費を防ぐ為に、エージングメカニズムがある。ＭＡＣアドレスエージングタイマ２２のインターバルを適切な時間に設定し、有効期限切れのＭＡＣアドレスがあれば、そのＭＡＣアドレスをＭＡＣアドレステーブル４から削除する。

ＭＡＣアドレスのエージング時間を管理するＭＡＣアドレスエージングタイマ２２は、パケット通信管理部２が制御する。ＭＡＣアドレスエージングタイマ２２が、Ｘ秒に設定されていた場合、Ｘ秒単位でＭＡＣアドレステーブル４の状態を監視し、ＭＡＣアドレスの保持や削除などを制御する。
ＭＡＣアドレステーブル４の監視、登録、保持、削除などの制御は、パケット通信管理部２にて行う。

パケット通信管理部２の動作について、図２を用いて説明する。図２は、図９のネットワーク装置１２がユーザ１３からパケットを受信した後の、ＭＡＣアドレステーブル４とｈｉｔｂｉｔの状態の時間変化を説明する図である。

図２において、ＭＡＣアドレステーブル４にユーザ１３のＭＡＣアドレスの登録がない状態１で、ユーザ１３からパケットを受信すると（パケット受信Ａ）、受信したユーザ１３のパケットのＭＡＣアドレスを、ＭＡＣアドレステーブル４に登録する。ＭＡＣアドレステーブル４に登録、保持されている各ユーザのＭＡＣアドレスには、それぞれｈｉｔｂｉｔが付与される。受信したユーザ１３のパケットのＭＡＣアドレスを、ＭＡＣアドレステーブル４へ登録する時、そのｈｉｔｂｉｔは０→１へ変更され、状態２となる。

この状態で、ＭＡＣアドレスエージングタイマ２２のインターバルであるＸ秒が経過すると、ＭＡＣアドレステーブル４に登録、保持されている全てのＭＡＣアドレスのｈｉｔｂｉｔが１→０へ変更されるため、ユーザ１３のＭＡＣアドレスのｈｉｔｂｉｔも１→０へ変更され、状態３となる。

このとき、登録されているユーザ１３のＭＡＣアドレスはＭＡＣアドレステーブル４に保持される。

状態３でユーザ１３のパケットを受信すると（パケット受信Ｂ）、受信したユーザ１３のＭＡＣアドレスが、ＭＡＣアドレステーブル４に保持されているため、ｈｉｔｂｉｔを０→１へ変更し、状態４となる。

この状態で、ＭＡＣアドレスエージングタイマのＸ秒が経過すると、登録されている全てのＭＡＣアドレスのｈｉｔｂｉｔが再び１→０に変更されるため、ユーザ１３のＭＡＣアドレスのｈｉｔｂｉｔも１→０へ変更され、状態５となる。

状態５で、ユーザ１３のパケットの受信がないまま、ＭＡＣアドレスエージングタイマ２２のＸ秒が経過すると、ｈｉｔｂｉｔが０のユーザ１３のＭＡＣアドレスは、ＭＡＣアドレステーブル４から削除され、状態６となる。

上記のようなエージングメカニズムにより、有効期限切れのＭＡＣアドレスとしてＭＡＣアドレステーブル４から削除される。

図３は、図９のネットワーク装置１２がユーザ１３からパケットを受信した後の、ＭＡＣアドレステーブル４とＭＡＣ認証テーブル５とｈｉｔｂｉｔの状態の時間変化を説明する図である。

図３に示すように、ＭＡＣアドレス認証は、ＭＡＣアドレスエージングタイマ２２とオフライン検出タイマ２３の２つのタイマがある。しかしそれぞれ独立に動作するタイマであってタイマのインターバル（秒数）と開始・終了の時刻は一致しない。そのため、ＭＡＣアドレス認証が完了状態において、ＭＡＣ認証テーブル５にＭＡＣアドレス認証が成功したＭＡＣアドレスが登録されているにも関わらず、ＭＡＣアドレステーブル４からＭＡＣアドレス認証が成功したＭＡＣアドレスが削除されてしまう状態が発生してしまう。

本状態が発生すると、認証が完了し、ネットワークリソースにアクセスする許可が与えられるにも関わらず、許可が与えられているユーザの通信が遮断されてしまうという課題がある。

この課題の動作について、図３および図９を用いて説明する。

図３の状態５と状態６について、状態５で、オフライン検出タイマ２３のＹ秒が経過すると、図９のユーザ１３がオフライン状態（ＭＡＣアドレステーブル４にユーザ１３のＭＡＣアドレスが削除された状態）にあるか否かを確認する。状態５では、ＭＡＣアドレステーブル４が保持の状態であり、オフライン状態ではないため、ＭＡＣアドレス認証は保持される。その後、状態５で、ユーザ１３のパケットの受信がないまま、ＭＡＣアドレスエージングタイマのＸ秒が経過すると、ｈｉｔｂｉｔが０のユーザ１３のＭＡＣアドレスは、ＭＡＣアドレステーブル４から削除され、状態６となる。状態６で、オフライン検出タイマのＹ秒が経過すると、図９のユーザ１３が、オフライン状態にあるか否かを確認する。状態６ではＭＡＣアドレスが、なしの状態であり、オフライン状態であるため、ＭＡＣアドレス認証が停止され、ＭＡＣ認証テーブル５からＭＡＣアドレスが削除される。

このように、状態６では、ＭＡＣ認証テーブル５には、ＭＡＣアドレス認証が成功したＭＡＣアドレスが登録されているにも関わらず、ＭＡＣアドレステーブル４からＭＡＣアドレス認証が成功したＭＡＣアドレスが削除されてしまうという状態が発生する。

次に本発明の第１の実施形態を説明する。図１は第１の実施形態であるネットワーク装置の構成を示すブロック図である。図１において、図９と同じ名称の構成は、同じ機能を有している。本実施形態のネットワーク装置１１２は、図９に示すネットワーク装置１２に対し、パケット通信管理部１１２が一時的にパケットを保管するパケットバッファ１１５が追加されている。

図１において、ネットワーク装置１１２は、ユーザ１１３やユーザ１１４などを収容する通信ポート１０１と、認証ＤＢ１０９を有するＲＡＤＩＵＳサーバ１１１との間で通信を行う通信ポート１０８とを備えている。ネットワーク装置１１２の内部には、内部認証ＤＢ１０７や認証ＤＢ１０９を制御する認証ＤＢ制御部１０６と、ＭＡＣ認証テーブル１０５を制御するＭＡＣ認証制御部１０３と、スイッチ部１１０が備えられている。

スイッチ部１１０は、パケット通信管理部１０２とＭＡＣアドレステーブル１０４を有しており、パケット通信管理部１０２が一時的にパケットを保管するパケットバッファ１１５と、接続されている。

パケット通信管理部１０２は、通信ポート１０１へのパケットの送受信を管理し、ＭＡＣアドレス認証時にＭＡＣ認証制御部１０３へＭＡＣアドレス認証に必要な情報を送信し、受信したパケットのＭＡＣアドレスをＭＡＣアドレステーブル１０４に登録する。さらに、内蔵するＭＡＣアドレスエージングタイマ１２２の設定時間によりＭＡＣアドレステーブル１０４に登録してあるＭＡＣアドレスを保持及び削除する。

ＭＡＣ認証制御部１０３は、パケット通信管理部１０２から入手したＭＡＣアドレス認証に必要な情報を認証ＤＢ制御部１０６へ送信し、認証の結果を受信する。さらに、認証が成功した場合は、そのＭＡＣアドレスをＭＡＣ認証テーブル１０５に登録し、オフライン検出タイマ１２３の設定時間によりＭＡＣ認証テーブル１０５に登録してあるＭＡＣアドレスを保持及び削除する。

認証ＤＢ制御部１０６は、ＭＡＣ認証制御部１０３から入手した情報を元に、通信ポート１０８に収容されるＲＡＤＩＵＳサーバ１１１の認証ＤＢ１０９または、内部認証ＤＢ１０７とＭＡＣアドレス認証を制御する。

次に、図１、図４を用いて、本発明の第１の実施形態の動作について説明する。図４は、本発明の第１の実施形態の動作を示す図である。

ネットワーク装置１１２は、図４に示す状態６で、ユーザ１１３からパケットが送信されると（パケット受信Ｃ）、ネットワーク装置１１２が、通信ポート１０１を経由してスイッチ部１１０内部のパケット通信管理部１０２へパケットを送付する。パケット通信管理部１０２は、スイッチ部１１０内部のＭＡＣアドレステーブル１０４に、ユーザ１１３から送信されたパケットのＭＡＣアドレスが登録されているか確認するが、登録されていない場合、新たにそのＭＡＣアドレスをＭＡＣアドレステーブル１０４に登録する。

ただし、まだネットワークリソースにアクセスする許可は与えられておらず、そのパケットは他の通信ポートへの転送は遮断された状態であるため、パケット通信管理部１０２は、そのパケットを一時的にパケットバッファ１１５に保管する。パケット通信管理部１０２は、保管したＭＡＣアドレスをＭＡＣアドレステーブル１０４に新たに登録し、ＭＡＣアドレスのｈｉｔｂｉｔを０→１へ変更した後、受信したＭＡＣアドレスをＭＡＣ認証制御部１０３へ送信する。さらにＭＡＣ認証制御部１０３は、ＭＡＣ認証テーブル１０５に、すでにＭＡＣアドレス認証は完了していると判断する。ＭＡＣアドレス認証が完了していると、パケット通信管理部１０２は、ＭＡＣアドレステーブル１０４に登録されているユーザ１１３のＭＡＣアドレスに対し、ネットワークリソースにアクセスする許可を与え、そのＭＡＣアドレスを持つパケットの転送が可能となる。

その後、パケットバッファ１１５に保管されていたパケットを送信する。このようにしてパケットの廃棄を防ぐことが可能となる。

以上のように、本実施形態では、ユーザ１１３からパケットが送信された時点で、ＭＡＣアドレス認証完了状態であるが、ＭＡＣアドレステーブル１０４にＭＡＣアドレスが登録されていない場合に、そのパケットを一時的にパケットバッファ１１５に保管することにより、ＭＡＣアドレスがＭＡＣアドレステーブル１０４に登録されるのを待つことができるので、パケットの廃棄を防ぎ、通信品質を向上させることを可能としている。

（第２の実施形態）
図５を用いて、本発明の第２の実施形態であるネットワーク装置の構成を説明する。図５は、第２の実施形態であるネットワーク装置の構成を示すブロック図である。

図５において、ネットワーク装置２１２は、ユーザ２１３やユーザ２１４などを収容する通信ポート２０１と、認証ＤＢ２０９を有するＲＡＤＩＵＳサーバ２１１との間で通信を行う通信ポート２０８とを備えている。ネットワーク装置２１２の内部には、内部認証ＤＢ２０７や認証ＤＢ２０９を制御する認証ＤＢ制御部２０６と、ＭＡＣ認証テーブル２０５を制御するＭＡＣ認証制御部２０３と、スイッチ部２１０が備えられている。

スイッチ部２１０は、パケット通信管理部２０２とＭＡＣアドレステーブル２０４を有している。

パケット通信管理部２０２は、通信ポート２０１へのパケットの送受信を管理し、ＭＡＣアドレス認証時にＭＡＣ認証制御部２０３へＭＡＣアドレス認証に必要な情報を送信し、受信したパケットのＭＡＣアドレスをＭＡＣアドレステーブル２０４に登録する。さらに内蔵するＭＡＣアドレスエージングタイマ２２２の設定時間を利用して、ＭＡＣアドレステーブル２０４に登録してあるＭＡＣアドレスを保持及び削除する。

ＭＡＣ認証制御部２０３は、パケット通信管理部２０２から入手したＭＡＣアドレス認証に必要な情報を認証ＤＢ制御部２０６へ送信し、認証の結果を受信する。さらに認証が成功した場合は、そのＭＡＣアドレスをＭＡＣ認証テーブル２０５に登録し、オフライン検出タイマ２２３の設定時間によりＭＡＣ認証テーブル２０５に登録してあるＭＡＣアドレスを保持及び削除する。

以下に図９のネットワーク装置１２との動作の差分を説明する。

ネットワーク装置１２では、図３に示すように、状態５でパケットの受信がないまま、ＭＡＣアドレスエージングタイマ２２のＸ秒が経過すると、ｈｉｔｂｉｔが０のＭＡＣアドレスは、ＭＡＣアドレステーブル４から削除されていた。この第２の実施形態では、図６に示すように、パケット通信管理部２０２が、状態５で、パケットの受信がないままＭＡＣアドレスエージングタイマ２２２のＸ秒が経過しても、ｈｉｔｂｉｔが０のＭＡＣアドレスをＭＡＣアドレステーブル２０４から削除せず保持するよう制御する。

さらに図９のネットワーク装置１２では、ＭＡＣ認証制御部３が、オフライン検出タイマ２３のインターバルで、ユーザ１３が、オフライン状態（ＭＡＣアドレステーブル４に該当のＭＡＣアドレスが削除された状態）にあるか否かを確認していた。しかし、第２の実施形態では、図６に示すようにＭＡＣ認証制御部２０３が、オフライン検出タイマ２２３のインターバルで、ユーザ２１３のＭＡＣアドレステーブル２０４上にある該当のＭＡＣアドレスのｈｉｔｂｉｔを監視する。図６の状態５とそれに続く状態６のように、ｈｉｔｂｉｔが０の状態が連続した場合は、オフライン状態であると判断し、認証ＤＢ制御部２０６より、ＲＡＤＩＵＳサーバ２１１にＭＡＣアドレス認証の停止要求を送信し、ＭＡＣ認証テーブル２０５からユーザ２１３のＭＡＣアドレスを削除する。さらにＭＡＣアドレステーブル２０４から、ユーザ２１３のＭＡＣアドレスを削除する。

以上により、ＭＡＣアドレス認証完了状態（該当のＭＡＣアドレスがＭＡＣ認証テーブルに登録された状態）であるが、ＭＡＣテーブルなしの状態（該当のＭＡＣアドレスがＭＡＣアドレステーブルから削除された状態）は、発生しなくなる。

以上のように、本実施形態では、パケット通信管理部２０２が、状態５で、パケットの受信がないままＭＡＣアドレスエージングタイマ２２２のＸ秒が経過しても、ｈｉｔｂｉｔが０のＭＡＣアドレスをＭＡＣアドレステーブル２０４から削除せず保持するために発生していた、ＭＡＣアドレス認証完了状態であるがＭＡＣテーブルなしの状態、は発生しなくなる。

また、ＭＡＣ認証制御部２０３は、オフライン検出タイマ２２３のインターバルで、ユーザ２１３のＭＡＣアドレステーブル２０４上にある該当のＭＡＣアドレスのｈｉｔｂｉｔを監視する。そして、ｈｉｔｂｉｔが０の状態が連続した場合は、オフライン状態であると判断し、ＭＡＣ認証テーブル２０５からユーザ２１３のＭＡＣアドレスを削除し、さらにＭＡＣアドレステーブル２０４から、ユーザ２１３のＭＡＣアドレスを削除する。

そのためＭＡＣアドレス認証テーブルと、ＭＡＣアドレステーブルとの不一致状態が解消されるので、通信品質が向上する。

（第３の実施形態）
図７を用いて、本発明の第３の実施形態であるネットワーク装置の構成について説明する。
図７は、本発明の第３の実施形態であるネットワーク装置の構成を示すブロック図である。

ＲＡＤＩＵＳベースのＭＡＣアドレス認証において、図７に示すネットワーク装置３１２は、ＲＡＤＩＵＳクライアントとして動作し、ＲＡＤＩＵＳサーバ３１１は、認証データベース（認証ＤＢ３０９）を管理する。ＲＡＤＩＵＳクライアントであるネットワーク装置３１２は、ＲＡＤＩＵＳサーバ３１１に対し、ＭＡＣアドレス認証についての、情報のやり取りを行う。ネットワーク装置３１２は、ＲＡＤＩＵＳサーバ３１１を使用しない場合は、認証データベース（内部認証ＤＢ３０７）を装置内部で管理し、ＭＡＣアドレス認証を実施することが可能である。例えば、ユーザ３１３を認証するためには、ユーザ３１３のＭＡＣアドレスは、通信ポート３０１を経て、ネットワーク装置３１２のスイッチ部３１０へ転送される。さらに、ＭＡＣ認証制御部３０３と認証ＤＢ制御部３０６と通信ポート３０８を経て、ＲＡＤＩＵＳサーバ３１１へ転送される。ＲＡＤＩＵＳサーバ３１１にＩＤとパスワードとして検知したユーザ３１３のＭＡＣアドレスを転送し、ＲＡＤＩＵＳサーバ３１１にそのＭＡＣアドレスが登録されていると、認証が成功し、ユーザ３１３に対しネットワークリソースにアクセスする許可が与えられ、通信が可能となる。ユーザ３１４に対しても、同様の動作が可能である。

図９のネットワーク装置１２との構成についての差分としては、図７に示すように、パケット通信管理部３０２は、ＭＡＣ認証制御部３０３に対する割り込み信号３３１が追加されていることである。さらにＭＡＣ認証制御部３０３はオフライン検出タイマを持たず、本割り込み信号３３１を受信したタイミングでオフライン検出を実施する。

図７、図８を用いて、本発明の第３の実施形態であるネットワーク装置の動作について説明する。

図８は、本発明の第３の実施形態の動作を説明する図である。図８に示すように、ＭＡＣアドレスエージングタイマ３２２のインターバル（図８では状態４の終了時点）で、図７のパケット通信管理部３０２は、ＭＡＣ認証制御部３０３に対し、割り込み信号を送信する。ＭＡＣ認証制御部３０３は、割り込み信号３３１を受信すると、ユーザ３１３がオフライン状態（ＭＡＣアドレステーブル３０４に該当のＭＡＣアドレスが削除された状態）にあるか否かを確認する。

図８において、図７のＭＡＣアドレステーブル３０４が、状態５から状態６に変化した場合、パケット通信管理部３０２からＭＡＣ認証制御部３０３へ割り込み信号３３１が送信されると、ＭＡＣ認証制御部３０３は、直ちにオフライン状態（ＭＡＣアドレステーブル３０４に該当のＭＡＣアドレスが削除された状態）であるか確認する。オフライン状態であると判断すると、認証ＤＢ制御部３０６より、ＲＡＤＩＵＳサーバ３１１にＭＡＣアドレス認証の停止要求を送信し、ＭＡＣ認証テーブル３０５からユーザ３１３のＭＡＣアドレスを削除する。

その結果ＭＡＣ認証テーブルとＭＡＣアドレステーブルへのＭＡＣアドレスの格納状態が一致する。

以上により、ＭＡＣアドレス認証完了状態（該当のＭＡＣアドレスがＭＡＣ認証テーブルに登録された状態）であるが、ＭＡＣテーブルなしの状態（該当のＭＡＣアドレスがＭＡＣアドレステーブルから削除された状態）は発生しなくなるので、通信品質を向上させることができる。

尚、本願発明は、上述の実施の形態に限定されるものではなく、本願発明の要旨を逸脱しない範囲で種々変更、変形して実施することが出来る。

本発明は、ＭＡＣアドレス認証を行うネットワーク装置に利用可能である。

１、１０１、２０１、３０１通信ポート
２、１０２、２０２、３０２パケット通信管理部
３、１０３、２０３、３０３ＭＡＣ認証制御部
４、１０４、２０４、３０４ＭＡＣアドレステーブル
５、１０５、２０５、３０５ＭＡＣ認証テーブル
６、１０６、２０６、３０６認証ＤＢ制御部
７、１０７、２０７、３０７内部認証ＤＢ
８、１０８、２０８、３０８通信ポート
９、１０９、２０９、３０９認証ＤＢ
１０、１１０、２１０、３１０スイッチ部
１１、１１１、２１１、３１１ＲＡＤＩＵＳサーバ
１２、１１２、２１２、３１２ネットワーク装置
１３、１１３、２１３、３１３ユーザ
１４、１１４、２１４、３１４ユーザ
２２、１２２、２２２、３２２ＭＡＣアドレスエージングタイマ
２３、１２３、２２３オフライン検出タイマ
１１５パケットバッファ
３３１割り込み信号

Claims

認証データベースにアクセスして認証するネットワーク装置において、
前記認証データベースで認証されたＭＡＣアドレスを格納するＭＡＣ認証テーブルと、
前記ＭＡＣ認証テーブルを制御するＭＡＣ認証制御部と、
パケットのＭＡＣアドレスを格納するＭＡＣアドレステーブルと、
前記ＭＡＣアドレステーブルを制御するパケット通信管理部と、
前記パケットを所定の時間、保持するパケットバッファと、
を有し、
前記ＭＡＣ認証テーブルには前記ＭＡＣアドレスが格納された状態で、前記ＭＡＣアドレステーブルに前記ＭＡＣアドレスが格納されていない場合に、前記パケットを所定の時間、前記パケットバッファに保管することを特徴とするネットワーク装置。
前記ネットワーク装置は、
前記ＭＡＣ認証制御部に制御され、前記ＭＡＣ認証テーブルを監視する第１のタイマと、
前記パケット通信管理部に制御され、前記ＭＡＣアドレステーブルを監視する第２のタイマと、
を有することを特徴とする請求項１に記載のネットワーク装置。
認証データベースにアクセスして認証するネットワーク装置において、
前記認証データベースで認証されたＭＡＣアドレスを格納するＭＡＣ認証テーブルと、
前記ＭＡＣ認証テーブルを制御するＭＡＣ認証制御部と、
パケットのＭＡＣアドレスを格納するＭＡＣアドレステーブルと、
前記ＭＡＣアドレステーブルを制御するパケット通信管理部と、
を有し、
前記ＭＡＣ認証テーブルには前記ＭＡＣアドレスが格納された状態で、前記ＭＡＣアドレステーブルに前記ＭＡＣアドレスが格納されるよう前記ＭＡＣ認証制御部と前記パケット通信管理部とを制御することを特徴とするネットワーク装置。
前記ネットワーク装置は、
前記ＭＡＣ認証制御部に制御され、前記ＭＡＣ認証テーブルを監視する第１のタイマと、
前記パケット通信管理部に制御され、前記ＭＡＣアドレステーブルを監視する第２のタイマと、
を有することを特徴とする請求項３に記載のネットワーク装置。
認証データベースにアクセスして認証するネットワーク装置において、
前記認証データベースで認証されたＭＡＣアドレスを格納するＭＡＣ認証テーブルと、
前記ＭＡＣ認証テーブルを制御するＭＡＣ認証制御部と、
パケットのＭＡＣアドレスを格納するＭＡＣアドレステーブルと、
前記ＭＡＣアドレステーブルを制御するパケット通信管理部と、
前記ＭＡＣアドレステーブルを監視するタイマと、
を有し、
前記パケット通信管理部が、前記タイマに同期した割り込み信号を前記ＭＡＣ認証制御部へ出力して、前記ＭＡＣ認証テーブルと前記ＭＡＣアドレステーブルの前記ＭＡＣアドレスの格納状態を一致させるよう制御することを特徴とするネットワーク装置。
前記タイマは、前記パケット通信管理部に内蔵されていることを特徴とする請求項５に記載のネットワーク装置。
認証データベースにアクセスして認証するネットワーク装置のＭＡＣアドレス認証方法において、
前記認証データベースで認証されたＭＡＣアドレスを格納するステップと、
前記ＭＡＣアドレスが格納されるＭＡＣ認証テーブルを制御するステップと、
パケットのＭＡＣアドレスを格納するステップと、
前記パケットのＭＡＣアドレスが格納されたＭＡＣアドレステーブルを制御するステップと、
を有し、
前記ＭＡＣ認証テーブルには前記ＭＡＣアドレスが格納された状態で、前記ＭＡＣアドレステーブルに前記ＭＡＣアドレスが格納されていない場合に、前記パケットを所定の時間、パケットバッファに保管すること特徴とするネットワーク装置のＭＡＣアドレス認証方法。
認証データベースにアクセスして認証するネットワーク装置のＭＡＣアドレス認証方法において、
前記認証データベースで認証されたＭＡＣアドレスを格納するステップと、
前記ＭＡＣアドレスが格納されるＭＡＣ認証テーブルを制御するステップと、
パケットのＭＡＣアドレスを格納するステップと、
前記パケットのＭＡＣアドレスが格納されたＭＡＣアドレステーブルを制御するステップと、
を有し、
前記ＭＡＣ認証テーブルには前記ＭＡＣアドレスが格納された状態で、前記ＭＡＣアドレステーブルに前記ＭＡＣアドレスが格納されるように制御することを特徴とするネットワーク装置のＭＡＣアドレス認証方法。
認証データベースにアクセスして認証するネットワーク装置のＭＡＣアドレス認証方法において、
前記認証データベースで認証されたＭＡＣアドレスを格納するステップと、
前記ＭＡＣアドレスが格納されるＭＡＣ認証テーブルを制御するステップと、
パケットのＭＡＣアドレスを格納するステップと、
前記パケットのＭＡＣアドレスが格納されたＭＡＣアドレステーブルを制御するステップと、
前記ＭＡＣアドレステーブルを監視するステップと、
を有し、
前記ＭＡＣアドレステーブルの状態が変化したタイミングで割り込み信号を出力して、前記ＭＡＣ認証テーブルと前記ＭＡＣアドレステーブルの前記ＭＡＣアドレスの格納状態を一致させるよう制御することを特徴とするネットワーク装置のＭＡＣアドレス認証方法。
前記ＭＡＣアドレステーブルの状態が変化とは、前記ＭＡＣアドレスを受信した際のｈｉｔｂｉｔの変更であることを特徴とする請求項９に記載のネットワーク装置のＭＡＣアドレス認証方法。