JP6272274B2 - ネットワーク装置、認証システムおよび認証方法 - Google Patents

Description

本発明は、ネットワーク装置、認証システムおよび認証方法に関し、特に、予め決められた端末機器以外が通信ネットワークに接続できないように規制するネットワーク装置、認証システムおよび認証方法に関する。

ユーザが端末を使用して通信ネットワークに接続しようとする場合、当該ユーザまたは当該端末が当該通信ネットワークにアクセス可能か否かを判断するために、ネットワーク認証が行われる。

上記ネットワーク認証を行うネットワーク認証システムは、一般的に、認証を要求するユーザや端末などのクライアント（以降、「サプリカント」とも言う。）と、サプリカントやネットワークが接続するネットワーク装置と、サプリカントの認証を行う認証サーバとで構成される。

ネットワーク認証システムの基本的な動作を以下に説明する。

ユーザは自身に割り当てられたユーザ識別情報（以降、「アカウント情報」とも言う。）をサプリカントに入力し、サプリカントは、該アカウント情報を含む認証用パケットのやり取りを認証サーバと行う。

認証サーバはサプリカントから受け取った認証用パケットを基に認証を実行する。認証サーバは、通信ネットワークに接続可能なユーザのアカウント情報と、該アカウント情報と一対一対応で設けられた仮想ネットワークを示すＶＬＡＮ（「Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ」の略称）識別とを保持する。認証サーバは、当該サプリカントの認証結果とともに、上記認証用パケットに含まれるアカウント情報に対応したＶＬＡＮ識別をネットワーク装置に通知する。

ネットワーク装置は、認証サーバより通知されたＶＬＡＮ識別が示す仮想ネットワーク（以降、「ＶＬＡＮ」と言う。）に当該サプリカントを割り当てる。これにより、以降、該サプリカントは、当該ＶＬＡＮを利用し通信ネットワークに接続することができるようになる。

なお、ＶＬＡＮは、ネットワーク装置が備える複数のポートのうち幾つかをまとめて仮想的なグループを設定したものであり、ＶＬＡＮに割り当てられたサプリカントからは、該ＶＬＡＮに含まれるポートのみを使用して通信を行うことができる。

また、一般的に、認証に失敗した（すなわち、上記認証用パケットに含まれるアカウント情報が認証サーバで保持しているアカウント情報の中に存在しない）サプリカントには、接続先が特定のポートに制限されたＶＬＡＮ（以降、「制限ＶＬＡＮ」と言う。）が割り当てられる。

図１０は係るネットワーク認証システムの一例を示すブロック図である。

図１０を参照すると、ネットワーク認証システム５は、端末管理部５１０と、制御部５２０と、ポートＡ５３０と、ポートＢ５３１と、ポートＣ５３２とを備えるネットワーク装置５００と、ポートＣ５３２を介してネットワーク装置５００と接続されている認証サーバ５４２と、ポートＡ５３０を介してネットワーク装置５００と接続されている通信装置５４０と、ポートＢ５３１を介してネットワーク装置５００と接続されている通信装置５４１と、通信装置５４０または通信装置５４１に接続されている少なくとも一つのサプリカント５５０とから構成される。

ポートＡ５３０、ポートＢ５３１、ポートＣ５３２にはそれぞれを識別するポート識別情報が割り当てられている。

サプリカント５５０には、それぞれを識別する端末識別情報（以降、「ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス」とも言う。）が割り当てられ、通信装置５４０または通信装置５４１を介してネットワーク装置５００と通信を行う。

通信装置５４０および通信装置５４１は、接続されたサプリカント５５０とネットワーク装置５００との間でデータの送受信を行う。

認証サーバ５４２は、ネットワーク認証システム５を利用する少なくとも一人のユーザにそれぞれ割り当てられたアカウント情報と、予め各該アカウント情報に一対一対応で設定されたＶＬＡＮを示すＶＬＡＮ識別情報とを記憶したアカウント管理テーブル（図示せず）を含む。

端末管理部５１０は、認証を受けるサプリカントにそれぞれ割り当てられたＭＡＣアドレスと、該サプリカントが接続されている通信装置５４０または５４１が接続されているポートを示すポート識別情報とを対応させて記憶するＭＡＣアドレステーブル５１１を含む。

制御部５２０は、認証を受けるサプリカントを識別する情報であるＭＡＣアドレスと、該サプリカントが接続されている通信装置５４０または５４１が接続されているポートを示すポート識別情報と、該サプリカントを使用しているユーザに割り当てられたアカウント情報に対応したＶＬＡＮ識別情報とを対応させて記憶する認証テーブル５２１を含む。

次に、ネットワーク認証システム５がサプリカント５５０の認証を行う際の動作について説明する。

なお、サプリカント５５０は、通信装置５４０を介してネットワーク装置５００と接続されているものとする。

図１１はネットワーク認証システム５の動作を示すフローチャートである。

図１１を参照すると、まず、ユーザが自身に割り当てられたアカウント情報をサプリカント５５０から入力する。サプリカント５５０は、入力されたアカウント情報および自身に割り当てられたＭＡＣアドレスを含む認証用パケットをネットワーク装置５００に送付する。

該認証用パケットは、通信装置５４０とポートＡ５３０と端末管理部５１０とを介して制御部５２０に送られる。

制御部５２０は、認証テーブル５２１に含まれるデータのコピーを予め定められた所定の記憶場所（図示せず）に退避する。そして、上記認証用パケットに含まれるＭＡＣアドレスと、ポートＡ５３０に割り当てられたポート識別情報とを対応付けて認証テーブル５２１に登録する（ステップＳ５００）。

次に、制御部５２０は、該認証用パケットを認証サーバ５４２に送付し、認証サーバ５４２は、受信した認証用パケットに含まれるアカウント情報を基に、アカウント管理テーブル（図示せず）を検索する。

当該アカウント情報がアカウント管理テーブル（図示せず）に存在する場合は、認証サーバ５４２は、認証結果が成功である旨とともに、当該認証用パケットに含まれるＭＡＣアドレスと、該アカウント情報に対応するＶＬＡＮ識別情報とを制御部５２０に通知する。

一方、当該アカウント情報がアカウント管理テーブル（図示せず）に存在しない場合は、認証サーバ５４２は、認証結果が失敗である旨とともに、当該認証用パケットに含まれるＭＡＣアドレスと、予め設定された制限ＶＬＡＮを示す制限ＶＬＡＮ識別情報とを制御部５２０に通知する（ステップＳ５０１）。

制御部５２０は、認証サーバ５４２より通知されたＭＡＣアドレスを基に認証テーブル５２１を検索する、そして、検索したＭＡＣアドレスに対応して、認証サーバ５４２より通知されたＶＬＡＮ識別情報または制限ＶＬＡＮ識別情報を登録する（ステップＳ５０２）。

次に、制御部５２０は、認証サーバ５４２から通知されたＭＡＣアドレスと、該ＭＡＣアドレスに対応して認証テーブル５２１に登録されているポート識別情報とを、端末管理部５１０に渡す。端末管理部５１０は、該ＭＡＣアドレスがＭＡＣアドレステーブル５１１に存在しない場合は、該ＭＡＣアドレスと、ポート識別情報とを対応させてＭＡＣアドレステーブル５１１に登録する（ステップＳ５０３）。

次に、制御部５２０は、認証サーバ５４２より認証結果が失敗である旨の通知を受けた場合には、当該通知に含まれるＭＡＣアドレスを基に認証テーブル５２１を検索し、検索したＭＡＣアドレスと、対応するポート識別情報とを認証テーブル５２１から削除する（ステップＳ５０４）。

そして、制御部５２０は、ステップＳ５００で、予め定められた所定の記憶場所（図示せず）に退避した認証テーブル５２１の各ポート識別情報と、現在の認証テーブル５２１の各ポート識別情報とを比較する。比較の結果、差異があった場合は、変更後のポート識別情報および対応するＭＡＣアドレスを端末管理部５１０に渡し、ＭＡＣアドレステーブル５１１の内容を更新するように要求する。

端末管理部５１０は、上記要求後のＭＡＣアドレスを基にＭＡＣアドレステーブル５１１を検索し、検索したＭＡＣアドレスに対応するポート識別情報を、上記要求のポート識別情報で更新する（ステップＳ５０５）。

以上のネットワーク認証システム５の認証動作により、ＭＡＣアドレステーブル５１１に、サプリカント５５０に割り当てられたＭＡＣアドレスおよびサプリカント５５０が接続中のポートＡ５３０に割り当てられたポート識別情報が登録され、サプリカント５５０のポートＡ５３０を介した通信が可能となる。そして、サプリカント５５０は、認証サーバ５４２より通知された、ＶＬＡＮ識別情報が示すＶＬＡＮまたは制限ＶＬＡＮ識別情報が示す制限ＶＬＡＮにて通信ネットワーク（図示せず）と通信を行うことが可能となる。

また、関連技術として、特許文献１には、複数のネットワーク認証システムを統合した場合に、ネットワーク機器のポート単位で個別に認証方式や認証サーバを設定し、各ポートに、認証する認証処理部を選択する認証処理振り分け機能を有することにより、１台の認証スイッチで複数の認証サーバを利用できるようにするための技術が記載されている。

特許文献２には、無線移動端末が、ある無線基地局のサービスエリアから他の無線基地局のサービスエリアへ移動することで無線基地局が切り替えられる場合であっても、再認証処理を不要とすることにより、接続切り替えにかかる時間を短縮するための技術が記載されている。

特許文献３には、無線ＬＡＮ通信システムにおける移動通信端末の認証方法において、認証サーバで集中的な認証を行わず、アクセスポイント装置で直接認証を行うことにより、ハンドオーバ時間を短縮し、さらに、記憶手段の利用効率を向上させて、通信効率の向上を図るための技術が記載されている。

特開２０１４−０２９７１０号公報 特開２００５−１０９８２３号公報 特開２００４−３０４２４０号公報

しかしながら、図１０に示すネットワーク認証システム５では、通信装置５４０を介してネットワーク装置５００に接続したサプリカント５５０が認証に失敗して制限ＶＬＡＮにて通信を行っているときに、当該サプリカント５５０が通信装置５４０から通信装置５４１に接続を変更した場合、変更後に制限ＶＬＡＮでの通信ができなくなるという問題点がある。

すなわち、サプリカント５５０が通信装置５４０から通信装置５４１に接続を変更すると、サプリカント５５０と通信装置５４０との間の通信が切断しリンクダウンが発生する。しかし、通信装置５４０がポートＡ５３０を介してネットワーク装置５００と接続したままであるため、端末管理部５１０は、サプリカント５５０の移動を検知できない。その結果、ＭＡＣアドレステーブル５１１に登録されているサプリカント５５０の情報が更新または削除されずに残ってしまう。

また、サプリカント５５０が通信装置５４１に接続した後の処理においても、図１１のフローチャートのステップＳ５０３にあるように、端末管理部５１０は、サプリカント５５０を示すＭＡＣアドレスがＭＡＣアドレステーブル５１１にすでに存在するため、制御部５２０から受け取った新しいポート識別情報を使用した更新は行わない。

さらに、サプリカント５５０を使用しているユーザのアカウント情報に変更はないので、認証サーバ５４２によるサプリカント５５０の認証は失敗する。そのため、ステップＳ５０４にあるように、制御部５２０は、認証テーブル５２１に登録したサプリカント５５０のＭＡＣアドレスと新しいポート識別情報を削除する。その結果、ステップＳ５００で予め定められた所定の記憶場所（図示せず）に退避した認証テーブル５２１のデータのコピーと、現在の認証テーブル５２１のデータとの比較処理（ステップＳ５０５）の結果が、変更なしとなる。そのため、制御部５２０が端末管理部５１０へＭＡＣアドレステーブル５１１の更新を要求することは無く、ＭＡＣアドレステーブル５１１にサプリカント５５０のＭＡＣアドレスに対応して、移動前のポートＡ５３０のポート識別情報が残ってしまう。

このとき、サプリカント５５０がポートＢ５３１を介して接続してきた場合、端末管理部５１０は、ＭＡＣアドレステーブル５１１に登録済みのポート識別情報と違うため、サプリカント５５０との通信を行わない。結果として、サプリカント５５０からは、移動後の通信装置５４１を介しての制限ＶＬＡＮへの通信ができなくなる。

なお、特許文献１乃至３には、ネットワーク認証に失敗したサプリカントが制限ＶＬＡＮに割り当てられて通信を行っている場合に、当該サプリカントが他のポートに移動した場合の、ネットワーク認証および通信ネットワークへの接続に関する技術については何ら記載されていない。

本発明の目的は、上述した問題点を解決できるネットワーク装置、認証システムおよび認証方法を提供することにある。

本発明のネットワーク装置は、
複数のポートと、
前記ポートに接続する端末を利用することのできる各ユーザにそれぞれ割り当てられたユーザ識別情報を保持する記憶手段と、
前記端末から入力された前記ユーザ識別情報が、前記記憶手段に存在するか否かを判別し、該判別の結果、該ユーザ識別情報が前記記憶手段に存在するか否かに基づいてそれぞれ予め定めた複数のポートを使用して、前記端末と前記ポートに接続された通信ネットワークとの通信を行う制御手段と
を含む。

また、本発明の認証システムは、
制御手段と、記憶手段と、複数のポートとを含むネットワーク装置と、
前記ポートに接続される少なくとも一つの端末と
を含み、
前記記憶手段は、前記端末を利用することのできる各ユーザにそれぞれ割り当てられたユーザ識別情報を保持し、
前記制御手段は、前記端末から入力された前記ユーザ識別情報が、前記記憶手段に存在するか否かを判別し、該判別の結果、該ユーザ識別情報が前記記憶手段に存在するか否かに基づいてそれぞれ予め定めた複数のポートを使用して、前記端末と前記ポートに接続された通信ネットワークとの通信を行う。

また、本発明の認証方法は、
複数のポートのうちの一つに接続する端末を利用することのできる各ユーザにそれぞれ割り当てられたユーザ識別情報を記憶手段に記憶し、
前記端末から入力された前記ユーザ識別情報が、前記記憶手段に存在するか否かを判別し、該判別の結果、該ユーザ識別情報が前記記憶手段に存在するか否かに基づいてそれぞれ予め定めた複数のポートを使用して、前記端末と前記ポートに接続された通信ネットワークとの通信を行う。

本発明には、認証に失敗して特定のＶＬＡＮで通信を行っているサプリカントが別のポートに接続を変更した場合でも、引き続き同じ特定のＶＬＡＮで通信を行うことができるという効果がある。

本発明の第１の実施形態を示すブロック図である。 第１の実施形態でのＭＡＣアドレステーブル１１１の一例を示す図である。 第１の実施形態での認証テーブル基本部１２１の一例を示す図である。 第１の実施形態での認証テーブル拡張部１２５の一例を示す図である。 第１の実施形態のネットワーク認証システム１の動作を示すフローチャートである。 第１の実施形態でサプリカント１５０が通信装置１４１に接続を変更した後のネットワーク認証システム１の動作を示すフローチャートである。 本発明の第２の実施形態を示すブロック図である。 第２の実施形態のネットワーク認証システム２の動作を示すフローチャートである。 本発明の第３の実施形態を示すブロック図である。 関連技術におけるネットワーク認証システムの一例を示すブロック図である。 ネットワーク認証システム５の動作を示すフローチャートである。

次に、本発明の実施形態について図面を参照して詳細に説明する。

［第１の実施形態］
図１は本発明の第１の実施形態を示すブロック図である。

図１を参照すると、本実施形態のネットワーク認証システム１は、ネットワーク装置１００と、サプリカント１５０と、通信装置１４０と、通信装置１４１と、認証サーバ１４２とから構成される。

ネットワーク装置１００は、ＭＡＣアドレステーブル１１１を含む端末管理部１１０と、認証テーブル基本部１２１および認証テーブル拡張部１２５を含む制御部１２０と、ポートＡ１３０と、ポートＢ１３１と、ポートＣ１３２とを備える。

ポートＡ１３０、ポートＢ１３１、ポートＣ１３２にはそれぞれを識別するポート識別情報が割り当てられている。

また、本システムを利用するユーザには、各々を識別するための固有のアカウント情報が割り当てられている。そして、各該アカウント情報にはＶＬＡＮが一対一対応で予め設定されている。

認証サーバ１４２は、ポートＣ１３２を介してネットワーク装置１００と接続され、本システムを利用する各ユーザに割り当てられたアカウント情報と、該アカウント情報に対応づけて設定されたＶＬＡＮを示すＶＬＡＮ識別情報を記憶した、アカウント管理テーブル（図示せず）を含む。

通信装置１４０は、ポートＡ１３０を介してネットワーク装置１００と接続され、通信装置１４１は、ポートＢ１３１を介してネットワーク装置１００と接続されている。通信装置１４０および通信装置１４１は、接続されたサプリカント１５０とネットワーク装置１００との間でデータの送受信を行う。

サプリカント１５０は、通信装置１４０または通信装置１４１を介してネットワーク装置１００と通信を行う。なお、本システムのサプリカントには、それぞれを識別するＭＡＣアドレスが割り当てられている。

図２は、ＭＡＣアドレステーブル１１１の一例を示す図である。

図２を参照すると、ＭＡＣアドレステーブル１１１は、認証を受けるサプリカントに割り当てられているＭＡＣアドレスが登録されるＭＡＣアドレス欄１１２と、該サプリカントが接続されている通信装置１４０または１４１が接続されているポートを示すポート識別情報が登録されるポート識別欄１１３とを含む。

図３は、認証テーブル基本部１２１の一例を示す図である。

図３を参照すると、認証テーブル基本部１２１は、認証が成功したサプリカントに割り当てられているＭＡＣアドレスが登録されるＭＡＣアドレス欄１２２と、該サプリカントが接続されている通信装置１４０または通信装置１４１が接続されているポートを示すポート識別情報が登録されるポート識別欄１２３と、該サプリカントを使用しているユーザに割り当てられたアカウント情報に対応したＶＬＡＮ識別情報が登録されるＶＬＡＮ識別欄１２４とを含む。

図４は、認証テーブル拡張部１２５の一例を示す図である。

図４を参照すると、認証テーブル拡張部１２５は、認証が失敗したサプリカントに割り当てられているＭＡＣアドレスが登録されるＭＡＣアドレス欄１２６と、該サプリカントが接続されている通信装置１４０または通信装置１４１が接続されているポートを示すポート識別情報が登録されるポート識別欄１２７と、予め設定された制限ＶＬＡＮを示す制限ＶＬＡＮ識別情報が登録されるＶＬＡＮ識別欄１２８とを含む。

次に、ネットワーク認証システム１がサプリカント１５０の認証を行う際の動作について説明する。

なお、サプリカント１５０は、通信装置１４０を介してネットワーク装置１００と接続されているものとする。

図５はネットワーク認証システム１の動作を示すフローチャートである。

図５を参照すると、まず、ユーザが自身に割り当てられたアカウント情報をサプリカント１５０から入力する。サプリカント１５０は、入力されたアカウント情報および自身に割り当てられたＭＡＣアドレスを含む認証用パケットをネットワーク装置１００に送付する。

該認証用パケットは、通信装置１４０とポートＡ１３０と端末管理部１１０とを介して制御部１２０に送られる。

制御部１２０は、認証テーブル基本部１２１および認証テーブル拡張部１２５に含まれるデータのコピーを予め定められた所定の記憶場所（図示せず）に退避する。そして、上記認証用パケットに含まれるＭＡＣアドレスおよびポートＡ１３０に割り当てられたポート識別情報を、認証テーブル基本部１２１のＭＡＣアドレス欄１２２およびポート識別欄１２３に登録する。また、同時に認証テーブル拡張部１２５のＭＡＣアドレス欄１２６およびポート識別欄１２７にも登録する（ステップＳ１００）。なお、このとき、認証テーブル基本部１２１および認証テーブル拡張部１２５の当該ＭＡＣアドレス欄１２２および１２６に対応したＶＬＡＮ識別欄１２４および１２８には値は登録されない。

次に、制御部１２０は、上記認証用パケットを認証サーバ１４２に送付し、認証サーバ１４２は、受信した認証用パケットに含まれるアカウント情報を基に、アカウント管理テーブル（図示せず）を検索する。

当該アカウント情報がアカウント管理テーブル（図示せず）に存在する場合は、認証サーバ１４２は、認証結果が成功であることを示す認証結果情報（例えば、「成功」という文字列）と、上記認証用パケットに含まれるＭＡＣアドレスと、当該アカウント情報に対応してアカウント管理テーブル（図示せず）に登録されているＶＬＡＮ識別情報とを含む認証結果パケットを制御部１２０に送付する。

一方、当該アカウント情報がアカウント管理テーブル（図示せず）に存在しない場合は、認証サーバ１４２は、認証結果が失敗であることを示す認証結果情報（例えば、「失敗」という文字列）と、上記認証用パケットに含まれるＭＡＣアドレスと、予め設定された制限ＶＬＡＮ識別情報とを含む認証結果パケットを制御部１２０に送付する（ステップＳ１０１）。

認証サーバ１４２より送付された認証結果パケットに含まれる認証結果情報が成功であることを示す情報である場合、制御部１２０は、該パケットに含まれるＭＡＣアドレスを基に認証テーブル基本部１２１のＭＡＣアドレス欄１２２を検索する。そして、検索したＭＡＣアドレス欄１２２に対応したＶＬＡＮ識別欄１２４へ、該パケットに含まれるＶＬＡＮ識別情報を登録する。一方、認証サーバ１４２より送付された認証結果パケットに含まれる認証結果情報が失敗であることを示す情報である場合、制御部１２０は、該パケットに含まれるＭＡＣアドレスを基に認証テーブル拡張部１２５のＭＡＣアドレス欄１２６を検索する。そして、検索したＭＡＣアドレス欄１２６に対応したＶＬＡＮ識別欄１２８へ、該パケットに含まれる制限ＶＬＡＮ識別情報を登録する（ステップＳ１０２）。

次に、制御部１２０は、認証結果パケットに含まれる認証結果情報が成功であることを示す情報である場合、該パケットに含まれるＭＡＣアドレスを基にステップＳ１０２で検索したＭＡＣアドレス欄１２２の値と、対応するポート識別欄１２３の値とを、端末管理部１１０に送付する。一方、認証結果パケットに含まれる認証結果情報が失敗であることを示す情報である場合、制御部１２０は、該パケットに含まれるＭＡＣアドレスを基にステップＳ１０２で検索したＭＡＣアドレス欄１２６の値と、対応するポート識別欄１２７の値とを、端末管理部１１０に送付する。

端末管理部１１０は、制御部１２０から受け取ったＭＡＣアドレスがＭＡＣアドレステーブル１１１のＭＡＣアドレス欄１１２に存在しない場合は、該ＭＡＣアドレスをＭＡＣアドレス欄１１２へ登録し、ポートＡ１３０のポート識別情報を該ＭＡＣアドレスに対応するポート識別欄１１３へ登録する（ステップＳ１０３）。

次に、制御部１２０は、認証結果パケットに含まれる認証結果情報が成功であることを示す情報である場合、該パケットに含まれるＭＡＣアドレスを基に認証テーブル拡張部１２５のＭＡＣアドレス欄１２６を検索する。そして、制御部１２０は、検索したＭＡＣアドレス欄１２６の値と、対応するポート識別欄１２７の値と、対応するＶＬＡＮ識別欄１２８の値とを削除する。一方、認証結果パケットに含まれる認証結果情報が失敗であることを示す情報である場合、制御部１２０は、該パケットに含まれるＭＡＣアドレスを基に認証テーブル基本部１２１のＭＡＣアドレス欄１２２を検索する。そして、制御部１２０は、検索したＭＡＣアドレス欄１２２の値と、対応するポート識別欄１２３の値と、対応するＶＬＡＮ識別欄１２４の値とを削除する（ステップＳ１０４）。

これにより、サプリカント１５０の認証が成功した場合は、制御部１２０によって、サプリカント１５０に割り当てられたＭＡＣアドレスと、サプリカント１５０が接続しているポートを示すポート識別情報と、サプリカント１５０に割り当てられたＶＬＡＮを示すＶＬＡＮ識別情報とが認証テーブル基本部１２１に保存される。また、サプリカント１５０の認証が失敗した場合には、サプリカント１５０に割り当てられたＭＡＣアドレスと、サプリカント１５０が接続しているポートを示すポート識別情報と、サプリカント１５０に割り当てられた制限ＶＬＡＮを示す制限ＶＬＡＮ識別情報とが認証テーブル拡張部１２５に保存される。

次に、制御部１２０は、ステップＳ１００で予め定められた所定の記憶場所（図示せず）に退避した認証テーブル基本部１２１および認証テーブル拡張部１２５のポート識別欄１２３およびポート識別欄１２７に登録された各ポート識別情報と、現在の認証テーブル基本部１２１および認証テーブル拡張部１２５のポート識別欄１２３およびポート識別欄１２７に登録された各ポート識別情報とをそれぞれ比較する。比較の結果、認証テーブル基本部１２１のポート識別欄１２３の内容に変更があった場合は、制御部１２０は、変更後のポート識別欄１２３に登録されている値および対応するＭＡＣアドレス欄１２２に登録されている値を端末管理部１１０に渡し、ＭＡＣアドレステーブル１１１の内容を更新するように要求する。一方、比較の結果、認証テーブル拡張部１２５のポート識別欄１２７の内容に変更があった場合は、制御部１２０は、変更後のポート識別欄１２７に登録されている値および対応するＭＡＣアドレス欄１２６に登録されている値を端末管理部１１０に渡し、ＭＡＣアドレステーブル１１１の内容を更新するように要求する。

端末管理部１１０は、上記要求のＭＡＣアドレスを基にＭＡＣアドレステーブル１１１のＭＡＣアドレス欄１１２を検索し、検索したＭＡＣアドレス欄１１２に対応するポート識別欄１１３に登録されている値を、上記要求のポート識別の値で更新する（ステップＳ１０５）。

以上のネットワーク認証システム１の認証動作により、ＭＡＣアドレステーブル１１１に、サプリカント１５０に割り当てられたＭＡＣアドレスおよびサプリカント１５０が接続中のポートＡ１３０に割り当てられたポート識別情報が登録され、サプリカント１５０のポートＡ１３０を介した通信が可能となる。そして、サプリカント１５０は、認証サーバ１４２より通知された、ＶＬＡＮ識別情報が示すＶＬＡＮまたは制限ＶＬＡＮ識別情報が示す制限ＶＬＡＮにて通信を行うことが可能となる。

次に、認証に失敗して制限ＶＬＡＮで通信をおこなっているサプリカント１５０が通信装置１４０から通信装置１４１に接続を変更した場合のネットワーク認証システム１の動作について説明する。

接続を変更するため、サプリカント１５０が通信装置１４０から切り離されると、サプリカント１５０と通信装置１４０との間の通信が切断しリンクダウンが発生する。しかし、図１０、図１１に示す関連技術の場合と同様に、通信装置１４０はポートＡ１３０を介してネットワーク装置１００と接続したままであるため、端末管理部１１０は、サプリカント１５０の切り離しを検知できない。その結果、ＭＡＣアドレステーブル１１１のポート識別欄１１３に登録されているポートＡ１３０を示すポート識別情報が削除されずに残ってしまう。

図６はサプリカント１５０が通信装置１４１に接続を変更した後のネットワーク認証システム１の動作を示すフローチャートである。

図６を参照すると、まず、サプリカント１５０が通信装置１４１に接続を変更すると、サプリカント１５０は、使用中のユーザに割り当てられたアカウント情報および自身に割り当てられたＭＡＣアドレスを含む認証用パケットをネットワーク装置１００に送付する。

該認証用パケットは、通信装置１４１とポートＢ１３１と端末管理部１１０とを介して制御部１２０に送られる。

制御部１２０は、認証テーブル基本部１２１および認証テーブル拡張部１２５に含まれるデータのコピーを予め定められた所定の記憶場所（図示せず）に退避する。そして、上記認証用パケットに含まれるＭＡＣアドレスと同じ値が認証テーブル基本部１２１のＭＡＣアドレス欄１２２には登録されていないので、該ＭＡＣアドレスおよびポートＢ１３１に割り当てられたポート識別情報を、ＭＡＣアドレス欄１２２およびポート識別欄１２３に登録する。また、認証テーブル拡張部１２５のＭＡＣアドレス欄１２６には、上記認証用パケットに含まれるＭＡＣアドレスと同じ値が存在するので、当該ＭＡＣアドレス欄１２６に対応するポート識別欄１２７に登録されている値を、ポートＢ１３１に割り当てられたポート識別情報で更新する（ステップＳ１１０）。なお、このとき、当該ＭＡＣアドレス欄１２６に対応したＶＬＡＮ識別欄１２８に登録されている値は削除される。

次に、制御部１２０は、上記認証用パケットを認証サーバ１４２に送付し、認証サーバ１４２は、受信した認証用パケットに含まれるアカウント情報を基に、アカウント管理テーブル（図示せず）を検索する。

当該アカウント情報はアカウント管理テーブル（図示せず）に存在しないので、認証サーバ１４２は、認証結果が失敗であることを示す認証結果情報と、上記認証用パケットに含まれるＭＡＣアドレスと、予め設定された制限ＶＬＡＮ識別情報とを含む認証結果パケットを制御部１２０に送付する（ステップＳ１１１）。

認証サーバ１４２より送付された認証結果パケットに含まれる認証結果情報が失敗であることを示す情報であるので、制御部１２０は、該パケットに含まれるＭＡＣアドレスを基に認証テーブル拡張部１２５のＭＡＣアドレス欄１２６を検索する。そして、検索したＭＡＣアドレス欄１２６に対応して、該パケットに含まれる制限ＶＬＡＮ識別情報をＶＬＡＮ識別欄１２８へ登録する（ステップＳ１１２）。

次に、制御部１２０は、認証結果パケットに含まれる認証結果情報が失敗であることを示す情報であるので、該パケットに含まれるＭＡＣアドレスを基にステップＳ１１２で検索したＭＡＣアドレス欄１２６の値と、対応するポート識別欄１２７の値とを、端末管理部１１０に送付する。

しかし、制御部１２０から受け取ったＭＡＣアドレスがＭＡＣアドレステーブル１１１のＭＡＣアドレス欄１１２に存在するので、端末管理部１１０は、該ＭＡＣアドレスに対応するポート識別欄１１３の更新は行わない（ステップＳ１１３）。

次に、制御部１２０は、認証結果パケットに含まれる認証結果情報が失敗であることを示す情報であるので、該パケットに含まれるＭＡＣアドレスを基に認証テーブル基本部１２１のＭＡＣアドレス欄１２２を検索する。そして、検索したＭＡＣアドレス欄１２２の値と、対応するポート識別欄１２３の値と、対応するＶＬＡＮ識別欄１２４の値とを削除する（ステップＳ１１４）。

そして、制御部１２０は、ステップＳ１１０で予め定められた所定の記憶場所（図示せず）に退避した認証テーブル基本部１２１および認証テーブル拡張部１２５のポート識別欄１２３およびポート識別欄１２７に登録された各ポート識別情報と、現在の認証テーブル基本部１２１および認証テーブル拡張部１２５のポート識別欄１２３およびポート識別欄１２７に登録された各ポート識別情報とをそれぞれ比較する。

サプリカント１５０が送付した認証用パケットに含まれるアカウント情報の認証結果が失敗であり、認証テーブル基本部１２１に登録された当該サプリカント１５０に割り当てられたＭＡＣアドレスなどの情報がステップＳ１１４で削除されているので、認証テーブル基本部１２１のポート識別欄１２３に登録された各ポート識別情報には変更がない。一方、認証テーブル拡張部１２５のポート識別欄１２７に登録されたポート識別情報には、ポートＡ１３０に割り当てられたポート識別情報からポートＢ１３１に割り当てられたポート識別情報へ更新されたデータがある。

そのため、制御部１２０は、上記ポートＢ１３１に割り当てられたポート識別情報に更新されたポート識別情報欄１２７の値と、対応するＭＡＣアドレス欄１２６に登録されている値とを端末管理部１１０に渡し、ＭＡＣアドレステーブル１１１の内容を更新するように要求する。

端末管理部１１０は、上記要求のＭＡＣアドレスを基にＭＡＣアドレステーブル１１１のＭＡＣアドレス欄１１２を検索し、検索したＭＡＣアドレス欄１１２に対応するポート識別欄１１３に登録されている値を、上記要求のポート識別の値で更新する（ステップＳ１１５）。

以上のネットワーク認証システム１の認証動作により、ＭＡＣアドレステーブル１１１に、サプリカント１５０に割り当てられたＭＡＣアドレスおよび移動後のサプリカント１５０が接続中のポートＢ１３１に割り当てられたポート識別情報が登録される。そして、サプリカント１５０は、ポートＢ１３１を介して制限ＶＬＡＮ識別情報が示す制限ＶＬＡＮにて通信を継続することが可能となる。

なお、移動後のサプリカント１５０が通信装置１４１を介してポートＢ１３１に接続されるのではなく、直接ポートＢ１３１に接続してネットワーク装置１００と通信を行うことでもよい。その場合でも、制御部１２０は、認証テーブル拡張部１２５のポート識別欄１２３に登録されたポート識別情報の変更を認識できるので、該変更に基づいて端末管理部１１０がＭＡＣアドレステーブル１１１を更新することができる。そして、サプリカント１５０は、ポートＢ１３１を介して制限ＶＬＡＮ識別情報が示す制限ＶＬＡＮにて通信を行うことが可能となる。

また、サプリカント１５０がネットワーク装置１００の他のポートへ接続を変更した場合に、ネットワーク装置１００は当該サプリカント１５０が移動後にどのポートに接続されて通信を行っているかを認識できるため、当該ポートへの帯域制限を継続する等の制御を行うことも可能となる。

以上、本実施形態には、認証に失敗して制限ＶＬＡＮで通信を行っているサプリカント１５０が別の通信装置に接続を変更した場合でも、引き続き同じ制限ＶＬＡＮで通信を行うことができるという効果がある。

その理由は、制御部１２０に、認証に失敗したサプリカント１５０の情報を保存する認証テーブル拡張部１２５を新たに設けることによって、ステップＳ１１０で予め定められた所定の記憶場所（図示せず）に退避された認証テーブル拡張部１２５に登録されたデータと、現在の認証テーブル拡張部１２５に登録されたデータとに差異が生じるので、端末管理部１１０が現在の認証テーブル拡張部１２５に登録された変更後のデータでＭＡＣアドレステーブル１１１を更新することができるからである。

［第２の実施形態］
次に、本発明の第２の実施形態について説明する。

図７は本発明の第２の実施形態を示すブロック図である。

図７を参照すると、本実施形態のネットワーク認証システム２は、制御部２２０と、それぞれを識別するポート識別情報が割り当てられたポートＡ２３０およびポートＢ２３１と、ユーザテーブル２６１および端末認証テーブル２６２を含む記憶部２６０とを含むネットワーク装置２００と、それぞれを識別する端末識別情報が割り当てられた少なくとも一つの端末２５０とから構成される。

本実施形態では、第１の実施形態においてサプリカント１５０の認証を行う認証サーバ１４２の機能が、ネットワーク装置２００の制御部２２０の機能に含まれる。また、第１の実施形態においてＭＡＣアドレステーブル１１１、認証テーブル基本部１２１および認証テーブル拡張部１２５に保持される情報は、本実施形態では、端末認証テーブル２６２に集約されて保持される。

ユーザテーブル２６１は、端末２５０を利用することのできる各ユーザにそれぞれ割り当てられたユーザ識別情報を保持する。

端末認証テーブル２６２は、端末２５０が接続しているポートに割り当てられているポート識別情報と、該端末を利用しているユーザに割り当てられたユーザ識別情報がユーザテーブル２６１に保持されているユーザ識別情報に含まれるか否かを示す認証結果情報とを、該端末に割り当てられた端末識別情報に対応づけて保持する。

次に、ネットワーク認証システム２が端末２５０の認証を行う際の動作について説明する。

なお、端末２５０は、ポートＡ２３０に接続されているものとする。

図８はネットワーク認証システム２の動作を示すフローチャートである。

図８を参照すると、まず、ユーザが自身に割り当てられたユーザ識別情報を端末２５０から入力する。端末２５０は、入力されたユーザ識別情報および自身に割り当てられた端末識別情報を含む認証用パケットを制御部２２０に送付する。

制御部２２０は、当該認証用パケットに含まれる端末識別情報および端末２５０が接続されているポートＡ２３０に割り当てられたポート識別情報を、端末認証テーブル２６２に登録する（ステップＳ２００）。なお、このとき、端末認証テーブル２６２に、既に同じ端末識別情報が存在する場合は、制御部２２０は、既に登録されているポート識別情報の値を、当該端末が接続されているポートに割り当てられたポート識別情報（すなわち、ポートＡ２３０に割り当てられたポート識別情報）で更新する。さらに、制御部２２０は、既に登録されている認証結果情報を削除する。

制御部２２０は、上記認証用パケットに含まれるユーザ識別情報を基に、ユーザテーブル２６１を検索する（ステップＳ２０１）。

当該ユーザ識別情報がユーザテーブル２６１に存在する場合は、制御部２２０は、ユーザテーブル２６１に存在することを示す認証結果情報（すなわち、認証が成功したことを示す情報であり、例えば、「成功」という文字列）を、上記認証用パケットに含まれる端末識別情報と同じ端末識別情報に対応づけて端末認証テーブル２６２に登録する。一方、当該ユーザ識別情報がユーザテーブル２６１に存在しない場合は、制御部２２０は、ユーザテーブル２６１に存在しないことを示す認証結果情報（すなわち、認証が失敗したことを示す情報であり、例えば、「失敗」という文字列）を、上記認証用パケットに含まれる端末識別情報と同じ端末識別情報に対応づけて端末認証テーブル２６２に登録する（ステップＳ２０２）。

制御部２２０は、上記認証結果情報が、認証が成功したことを示す情報かまたは認証が失敗したことを示す情報かに基づいて、それぞれ予め定めた一つまたは複数のポート（すなわち仮想ネットワーク（ＶＬＡＮ）。）を使用して端末２５０と通信ネットワーク（図示せず）との通信を行うことを許可する（ステップＳ２０３）。これにより、端末２５０は、上記認証結果情報が、認証が成功したことを示す情報かまたは認証が失敗したことを示す情報かに基づいて、それぞれ予め定めたＶＬＡＮにて通信ネットワーク（図示せず）と通信を行うことが可能となる。

なお、ユーザテーブル２６１に保持されているユーザ識別情報ごとに、それぞれＶＬＡＮを予め設定しておき、該ユーザ識別情報ごとに別々のＶＬＡＮを使用して端末２５０が通信をできるようにしてもよい。

そして、ステップＳ２０２で認証に失敗したユーザが使用する端末２５０が、ポートＡ２３０からポートＢ２３１に移動したときに、ネットワーク装置２００が何らかの原因で端末２５０とポートＡ２３０との通信の切断を認識できず、端末認証テーブル２６２に端末２５０の端末識別情報と、該端末識別情報に対応するポート識別情報および認証結果情報とが残ってしまった場合について説明する。このような場合は、ステップＳ２００で、制御部２２０が、既に登録されているポート識別情報の値を、端末２５０が接続されているポートに割り当てられたポート識別情報（すなわち、ポートＢ２３１に割り当てられたポート識別情報）で更新するため、以降、端末２５０はポートＢ２３１を介して通信を行うことが可能となる。

以上、本実施形態には、第１の実施形態と同様に、認証に失敗して予め定めたＶＬＡＮで通信を行っている端末２５０が別のポートに接続を変更した場合でも、引き続き同じＶＬＡＮで通信を行うことができるという効果がある。

その理由は、端末認証テーブル２６２に、認証に失敗した端末２５０の端末識別情報と該端末が接続されているポート識別情報とを対応づけて保存し、ステップＳ２００で、制御部２２０が、既に登録されているポート識別情報の値を、新たに接続されたポートに割り当てられたポート識別情報で更新するからである。

［第３の実施形態］
次に、本発明の第３の実施形態について説明する。

図９は本発明の第３の実施形態を示すブロック図である。

図９を参照すると、本実施形態のネットワーク認証システム３は、制御部３２０と、記憶部３６０と、ポートＡ３３０、ポートＢ３３１、およびポートＣ３３２とを含むネットワーク装置３００と、ポートＡ３３０またはポートＢ３３１に接続された少なくとも一つの端末３５０と、ポートＣ３３２に接続された通信ネットワーク３７０とから構成される。

本実施形態では、第２の実施形態と同様に、第１の実施形態においてサプリカント１５０の認証を行う認証サーバ１４２の機能が、ネットワーク装置３００の制御部３２０の機能に含まれる。

記憶部３６０は、端末２５０を利用することのできる各ユーザにそれぞれ割り当てられたユーザ識別情報を保持する。

制御部３２０は、上記ユーザが端末２５０から入力したユーザ識別情報が、記憶部３６０に存在するか否かを判別し、当該ユーザ識別情報が記憶部３６０に存在するか否かに基づいてそれぞれ予め定めた複数のポートを使用して、端末３５０と通信ネットワーク３７０との通信を行う。

以上、本実施形態には、第１の実施形態と同様に、記憶部３６０にユーザ識別情報が存在しないユーザが使用する端末３５０が、予め定めたポートを使用して通信ネットワーク３７０と通信を行っているときに、別のポートに接続を変更した場合でも、引き続き同じ通信ネットワーク３７０と通信を行うことができるという効果がある。

その理由は、制御部３２０が、ユーザが端末３５０から入力したユーザ識別情報が、記憶部３６０に存在するか否かを判別し、当該ユーザ識別情報が記憶部３６０に存在するか否かに基づいて、それぞれ予め定めた複数のポートを使用して端末３５０と通信ネットワーク３７０との通信を行うからである。

１ ネットワーク認証システム
２ ネットワーク認証システム
３ ネットワーク認証システム
５ ネットワーク認証システム
１００ ネットワーク装置
１１０ 端末管理部
１１１ ＭＡＣアドレステーブル
１１２ ＭＡＣアドレス欄
１１３ ポート識別欄
１２０ 制御部
１２１ 認証テーブル基本部
１２２ ＭＡＣアドレス欄
１２３ ポート識別欄
１２４ ＶＬＡＮ識別欄
１２５ 認証テーブル拡張部
１２６ ＭＡＣアドレス欄
１２７ ポート識別欄
１２８ ＶＬＡＮ識別欄
１３０ ポートＡ
１３１ ポートＢ
１３２ ポートＣ
１５０ サプリカント
１４０ 通信装置
１４１ 通信装置
１４２ 認証サーバ
２００ ネットワーク装置
２２０ 制御部
２３０ ポートＡ
２３１ ポートＢ
２５０ 端末
２６０ 記憶部
２６１ ユーザテーブル
２６２ 端末認証テーブル
３００ ネットワーク装置
３２０ 制御部
３３０ ポートＡ
３３１ ポートＢ
３３２ ポートＣ
３５０ 端末
３６０ 記憶部
３７０ 通信ネットワーク
５００ ネットワーク装置
５１０ 端末管理部
５１１ ＭＡＣアドレステーブル
５２０ 制御部
５２１ 認証テーブル
５３０ ポートＡ
５３１ ポートＢ
５３２ ポートＣ
５５０ サプリカント
５４０ 通信装置
５４１ 通信装置
５４２ 認証サーバ

Claims (7)

1. 複数のポートと、記憶手段と、制御手段とを含み、
   前記記憶手段は、前記ポートに接続する端末を利用することのできる各ユーザにそれぞれ割り当てられたユーザ識別情報を保持するユーザテーブルと、前記端末にそれぞれ割り当てられた端末識別情報に対応づけて、前記ポートにそれぞれ割り当てられたポート識別情報および認証結果情報を保持する端末認証テーブルとを備え、
   前記制御手段は、
   前記端末から入力された前記ユーザ識別情報が、前記ユーザテーブルに存在するか否かを判別し、
   該判別の結果、該ユーザ識別情報が前記ユーザテーブルに存在する場合は、該ユーザ識別情報が入力された前記端末に割り当てられた端末識別情報に対応づけて、該端末が接続している前記ポートに割り当てられているポート識別情報と、該ユーザ識別情報が前記ユーザテーブルに存在することを示す認証結果情報とを前記端末認証テーブルに登録し
   一方、前記判別の結果、該ユーザ識別情報が前記ユーザテーブルに存在しない場合は、該ユーザ識別情報が入力された前記端末に割り当てられた端末識別情報に対応づけて、該端末が接続している前記ポートに割り当てられているポート識別情報と、該ユーザ識別情報が前記ユーザテーブルに存在しないことを示す認証結果情報とを前記端末認証テーブルに登録し
   前記認証結果情報が、前記ユーザテーブルに存在することを示す認証結果情報か、または前記ユーザテーブルに存在しないことを示す認証結果情報かに基づいて、それぞれ予め定めた複数のポートを使用して、前記端末と前記ポートに接続された通信ネットワークとの通信を行う、
   ネットワーク装置。
2. 前記制御手段は、前記ユーザ識別情報が前記記憶手段、または前記ユーザテーブルに存在する場合に、該ユーザ識別情報にそれぞれ対応付けて予め定めた複数のポートを使用して前記端末と前記通信ネットワークとの通信を行う
   請求項１に記載のネットワーク装置。
3. 前記端末識別情報に対応づけて、前記ポート識別情報を保持する端末管理テーブルを備える端末管理手段と、
   前記端末識別情報に対応づけて、前記ポート識別情報と、予め定めた複数のポートを使用する仮想ネットワークを識別する仮想ネットワーク識別情報とを保持する第１の認証テーブルと、前記端末識別情報に対応づけて、前記ポート識別情報と、前記仮想ネットワーク識別情報とを保持する第２の認証テーブルとを備える第２の制御手段と
   を含み、
   前記第２の制御手段は、
   前記端末に割り当てられた端末識別情報に対応づけて、該端末が接続された前記ポートに割り当てられているポート識別情報を、前記第１の認証テーブルおよび前記第２の認証テーブルに登録し、
   前記ポートに接続された認証装置が、前記端末から入力された前記ユーザ識別情報の認証に成功した場合、該端末に割り当てられた端末識別情報に対応づけて、前記認証装置から取得した前記仮想ネットワーク識別情報を前記第１の認証テーブルに登録し、
   該端末識別情報および該端末識別情報に対応づけて前記第１の認証テーブルに登録されているポート識別情報を前記端末管理手段に通知し、
   一方、前記認証装置が、前記ユーザ識別情報の認証に失敗した場合、該端末に割り当てられた端末識別情報に対応づけて、前記認証装置から取得した前記仮想ネットワーク識別情報を前記第２の認証テーブルに登録し、
   該端末識別情報および該端末識別情報に対応づけて前記第２の認証テーブルに登録されているポート識別情報を前記端末管理手段に通知し、
   前記端末管理手段は、前記制御手段から通知された端末識別情報に対応づけて、前記制御手段から通知されたポート識別情報を前記端末管理テーブルに登録し、
   前記端末は、該端末に割り当てられた端末識別情報に対応づけて前記第１の認証テーブルまたは前記第２の認証テーブルに登録された前記仮想ネットワーク識別情報が割り当てられた複数のポートを使用して前記通信ネットワークとの通信を行う
   請求項１または２に記載のネットワーク装置。
4. 制御手段と、記憶手段と、複数のポートとを含むネットワーク装置と、
   前記ポートに接続される少なくとも一つの端末と
   を含み、
   前記記憶手段は、前記端末を利用することのできる各ユーザにそれぞれ割り当てられたユーザ識別情報を保持するユーザテーブルと、前記端末にそれぞれ割り当てられた端末識別情報に対応づけて、各前記ポートにそれぞれ割り当てられたポート識別情報および認証結果情報を保持する端末認証テーブルとを備え、
   前記制御手段は、
   前記端末から入力された前記ユーザ識別情報が、前記ユーザテーブルに存在するか否かを判別し、
   該判別の結果、該ユーザ識別情報が前記ユーザテーブルに存在する場合は、該ユーザ識別情報が入力された前記端末に割り当てられた端末識別情報に対応づけて、該端末が接続している前記ポートに割り当てられているポート識別情報と、該ユーザ識別情報が前記ユーザテーブルに存在することを示す認証結果情報とを前記端末認証テーブルに登録し
   一方、前記判別の結果、該ユーザ識別情報が前記ユーザテーブルに存在しない場合は、該ユーザ識別情報が入力された前記端末に割り当てられた端末識別情報に対応づけて、該端末が接続している前記ポートに割り当てられているポート識別情報と、該ユーザ識別情報が前記ユーザテーブルに存在しないことを示す認証結果情報とを前記端末認証テーブルに登録し
   前記認証結果情報が、前記ユーザテーブルに存在することを示す認証結果情報か、または前記ユーザテーブルに存在しないことを示す認証結果情報かに基づいて、それぞれ予め定めた複数のポートを使用して、前記端末と前記ポートに接続された通信ネットワークとの通信を行う、
   認証システム。
5. 前記ポートに接続され、前記ユーザ識別情報を保持する認証装置をさらに備え、
   前記認証装置は、前記端末から入力されたユーザ識別情報が存在するか否かを示す認証結果情報を前記制御手段に通知し、
   前記制御手段は、該認証結果情報が前記認証装置に存在することを示す認証結果情報か、または前記認証装置に存在しないことを示す認証結果情報かに基づいて、それぞれ予め定めた複数のポートを使用して前記端末と前記通信ネットワークとの通信を行う、
   請求項４に記載の認証システム。
6. 複数のポートのうちの一つに接続する端末を利用することのできる各ユーザにそれぞれ割り当てられたユーザ識別情報を保持するユーザテーブルと、前記端末にそれぞれ割り当てられた端末識別情報に対応づけて、前記ポートにそれぞれ割り当てられたポート識別情報および認証結果情報を保持する端末認証テーブルとを記憶手段に備え、
   前記端末から入力された前記ユーザ識別情報が、前記ユーザテーブルに存在するか否かを判別し、
   該判別の結果、該ユーザ識別情報が前記ユーザテーブルに存在する場合は、該ユーザ識別情報が入力された前記端末に割り当てられた端末識別情報に対応づけて、該端末が接続している前記ポートに割り当てられているポート識別情報と、該ユーザ識別情報が前記ユーザテーブルに存在することを示す認証結果情報とを前記端末認証テーブルに登録し
   一方、前記判別の結果、該ユーザ識別情報が前記ユーザテーブルに存在しない場合は、該ユーザ識別情報が入力された前記端末に割り当てられた端末識別情報に対応づけて、該端末が接続している前記ポートに割り当てられているポート識別情報と、該ユーザ識別情報が前記ユーザテーブルに存在しないことを示す認証結果情報とを前記端末認証テーブルに登録し
   前記認証結果情報が、前記ユーザテーブルに存在することを示す認証結果情報か、または前記ユーザテーブルに存在しないことを示す認証結果情報かに基づいて、それぞれ予め定めた複数のポートを使用して、前記端末と前記ポートに接続された通信ネットワークとの通信を行う、
   認証方法。
7. 前記ユーザ識別情報が前記記憶手段、または前記ユーザテーブルに存在する場合に、該ユーザ識別情報にそれぞれ対応付けて予め定めた複数のポートを使用して前記端末と前記通信ネットワークとの通信を行う、
   請求項６に記載の認証方法。

Images