JP6281516B2

JP6281516B2 - ネットワーク認証システム、ネットワーク認証方法および認証サーバ

Info

Publication number: JP6281516B2
Application number: JP2015065388A
Authority: JP
Inventors: 阿部　裕司; 裕司阿部
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2015-03-27
Filing date: 2015-03-27
Publication date: 2018-02-21
Anticipated expiration: 2035-03-27
Also published as: JP2016184911A; US10003588B2; US20160285846A1

Description

本発明は、ネットワーク認証システム、ネットワーク認証方法および認証サーバに係り、特に負荷分散を行うネットワーク認証システム、ネットワーク認証方法および認証サーバに関する。

近年、企業ネットワークや公共ネットワークなどの共用ネットワーク環境では、ネットワークセキュリティの確保は必須のものとなっている。有線ＬＡＮ環境においても、ＩＥＥＥ８０２．１Ｘ規格を適用して、その認証技術を用いたクライアント認証が用いられるようになってきている。ＩＥＥＥ８０２．１Ｘでのクライアント認証システムでは、利用者のクライアント端末（Ｓｕｐｐｌｉｃａｎｔ）と、その利用者認証情報を保持し認証を行うサーバ（ＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｅｒｖｅｒ）、クライアント端末と認証サーバとの認証情報の交換を中継し、クライアント端末のネットワーク接続を制御する認証スイッチ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）で構成される。

しかしながら、セキュリティと利便性とは、トレードオフの関係にあり、セキュリティの確保と管理の簡便化を両立するための方法が課題となっている。

上記に関連する技術として、特許文献１には、無線区間の通信帯域の無駄を回避しながら無線アクセスポイント間で負荷を分散するため、かかっている負荷が最も大きい無線アクセスポイント装置からデータブロック送信されているマルチキャストグループのうちから少なくとも１つを特定する技術が開示されている。また、そのマルチキャストグループへ参加している無線端末へ、かかっている負荷が最も小さい無線アクセスポイント装置へ接続を切替えるという技術が開示されている。

さらに、特許文献２には、認証ネットワークにおいて、認証パケットを透過する認証スイッチを柔軟に変更するため、認証サーバと認証スイッチ間のヘルス・チェックの結果に基づいて、クライアント端末の認証パケットを透過する認証スイッチを決定し、それに基づき受信ポートフィルタを生成して各認証スイッチに送信するフィルタ生成・通知手段を備える技術が開示されている。

特開２００４−３５００５２号公報特開２０１４−１７１０７８号公報

しかしながら、特許文献１は、無線区間の通信帯域の無駄を回避するため、負荷情報や識別子等を送受信する必要があり、電波環境によっては、電波環境の良い個所に集中し、無線アクセスポイント装置にかかっている負荷に偏りが出てきてしまうという課題があった。

また、特許文献２は、認証を受ける端末の分布状況や通信状況によっては、特定の認証スイッチに負荷が集中してしまい、適切な負荷分散が行えないことがあるという課題があった。

本発明の目的は、この点を鑑みたものであり、複数の認証スイッチによる大規模な認証機能によるセキュリティの確保とネットワーク利用の効率化を両立するための効率的なネットワーク認証における負荷分散方法を提供することにある。

本発明では、上記課題を解決するために、１つ以上のクライアント端末と、クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムにおいて、認証サーバは、認証スイッチの認証を行うユーザ認証処理部と、認証スイッチがどの認証サーバに属するかを管理する認証スイッチ管理テーブルと、認証スイッチでクライアント端末の認証が行われるように、認証スイッチの受信ポートフィルタを生成して、認証スイッチ管理テーブル内のフィルタ管理テーブルに格納し、認証スイッチに通知する認証スイッチ管理処理部と、認証スイッチから通知された端末管理テーブル情報を保存する端末管理データベースとを有することを特徴としている。

また、本発明では、上記課題を解決するために、１つ以上のクライアント端末と、クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムのネットワーク認証方法において、認証サーバは、認証スイッチの認証を行うステップと、認証スイッチがどの認証サーバに属するかを管理するステップと、認証スイッチで前記クライアント端末の認証が行われるように、認証スイッチの受信ポートフィルタを生成して、認証スイッチ管理テーブル内のフィルタ管理テーブルに格納し、認証スイッチに通知するステップと、認証スイッチから通知された端末管理テーブル情報を保存するステップとを有することを特徴としている。

また、本発明では、上記課題を解決するために、クライアント端末の外部ネットワークへの接続を認証する認証サーバにおいて、認証スイッチの認証を行うユーザ認証処理部と、認証スイッチがどの認証サーバに属するかを管理する認証スイッチ管理テーブルと、認証スイッチでクライアント端末の認証が行われるように、認証スイッチの受信ポートフィルタを生成して、認証スイッチ管理テーブル内のフィルタ管理テーブルに格納し、認証スイッチに通知する認証スイッチ管理処理部と、認証スイッチから通知された端末管理テーブル情報を保存する端末管理データベースとを有することを特徴としている。

本発明によれば、複数の認証スイッチによる大規模な認証機能によるセキュリティの確保とネットワーク利用の効率化を両立するための効率的なネットワーク認証における負荷分散方法を提供することができる。

本発明の第１の実施の形態におけるネットワーク認証システムの構成を示すブロック図である。本発明の第１の実施の形態におけるネットワーク構成図である。本発明の関連するネットワーク認証システムにおいて、端末３００Ａが、認証スイッチ２００Ａ、２００Ｂのうちの一つと認証を行う過程を示す図である。本発明の関連するネットワーク認証システムにおいて、認証スイッチを追加した場合の動作をネットワーク構成図を用いて説明する図である。本発明の第１の実施の形態におけるフィルタ管理テーブルの内容を示す図である。本発明の第１の実施の形態における端末管理データベースの内容を示す図である。本発明の第１の実施の形態におけるフィルタ生成・通知処理部１３１の動作を示すフローチャートである。本発明の第１の実施の形態におけるフィルタ生成・通知処理部１３１の動作の様子を示す図である。本発明の関連するネットワーク認証システムによって生成されたフィルタの様子を示す図である。本発明の第１の実施の形態におけるネットワーク認証システムによって生成されたフィルタの様子を示す図である。本発明の第１の実施の形態における通信端末数の増加を契機として、負荷分散を行う処理を表すシーケンス図である。本発明の第２の実施の形態におけるネットワーク認証システムの構成を示すブロック図である。本発明の第２の実施の形態における特定の端末からの通信流量の増大を契機として、負荷分散を行う処理を表すシーケンス図である。

以下、本発明の実施形態について図面を参照して詳細に説明する。
（第１の実施の形態）
図１、図２を用いて、本発明の第１の実施形態におけるネットワーク認証システムの構成について説明する。図１は、本実施形態におけるネットワーク認証システムの構成を示すブロック図である。図２は、本実施形態におけるネットワークの構成図である。

図１において、本実施形態におけるネットワーク認証システム１０は、認証サーバ１００と認証スイッチ２００（複数台構成の場合は、２００Ａ、２００Ｂ．．．）、クライアント端末３００（３００Ａ、３００Ｂ．．．）および外部ネットワーク４００を備えている。

認証サーバ１００は、認証スイッチ管理テーブル１１０、クライアント端末認証のための情報を格納する認証情報データベース１２０、認証スイッチ管理処理部１３０およびクライアント端末の認証処理を行うユーザ認証処理部（ＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｅｒｖｅｒ）１４０、端末管理のための情報を格納する端末管理データベース１５０を備えている。

認証スイッチ管理テーブル１１０は、フィルタ管理テーブル１１１を内部に持っている。

認証スイッチ管理処理部１３０は、フィルタ生成・通知処理部１３１とスイッチ監視処理部１３２からなっている。スイッチ監視処理部１３２は、認証スイッチ管理テーブル１１０に格納された認証スイッチ２００の認証サーバ処理部２２０との間で、定期的にヘルス・チェックのための通信を行う。ここで、ヘルス・チェックとは、認証スイッチ２００の稼働状況をチェックすることを言う。フィルタ生成・通知処理部１３１は、認証スイッチグループ内のいずれかのスイッチでクライアント端末認証が行われるように、各認証スイッチの受信ポートフィルタを生成してフィルタ管理テーブル１１１に格納し、複数台構成の場合、各認証スイッチ２００Ａ、２００Ｂに通知する。

認証スイッチ２００は、設定記憶部２１０、認証サーバ処理部２２０、端末認証処理部（Ａｕｔｈｅｎｔｉｃａｔｏｒ）２３０、フィルタ制御処理部２４０、受信ポートフィルタ２５０、パケット受信処理部２６０、パケット入力フィルタ２７０、パケット転送処理部２８０を備えている。

設定記憶部２１０は、認証サーバ情報２１１を保持し、認証サーバ情報２１１は認証スイッチグループ情報２１２を含んでいる。

認証サーバ処理部２２０は、認証サーバ１００のスイッチ監視処理部１３２との間で、定期的にヘルス・チェックのための通信を行う。また、認証サーバ処理手段２２０は、フィルタ制御処理部２４０に指示して、受信ポートフィルタ２５０の設定を行う。

端末認証処理部２３０は、端末管理テーブル２３１を保持している。

受信ポートフィルタ２５０は、特定のパケットの受信の許可・拒否を定義するフィルタ
である。例えば、受信ポートフィルタ２５０を全パケット破棄の状態に設定した場合は、
クライアント端末３００が認証要求パケットを送信しても、一切の要求パケットは破棄さ
れ、認証は開始されない。

パケット受信処理部２６０は、受信ポートフィルタ２５０を透過した認証要求パケットを受け取る。また、パケット受信処理部２６０は、認証要求パケットを端末認証処理部２３０に通知する。

パケット入力フィルタ２７０は、クライアント端末３００の外部ネットワーク４００へ
の通信を制御するフィルタである。

パケット転送処理部２８０は、クライアント端末３００からの通信トラヒックを外部ネットワーク４００に転送する。

クライアント端末３００は、ユーザ認証情報３１０、認証処理部（Ｓｕｐｐｌｉｃａｎｔ）３２０を備えている。

本実施形態におけるネットワークの構成図について図２を用いて説明する。

認証スイッチ２００Ａ、２００Ｂおよびクライアント端末３００Ａ、３００Ｂは共有ＬＡＮを介して接続され、クライアント端末の外部ネットワークへの通信を認証スイッチが制御する。

認証スイッチ２００Ａ、２００Ｂは、ネットワークを介して認証サーバ１００と通信を行う。認証スイッチ２００Ａ、２００Ｂと認証サーバ１００間のネットワークは外部ネットワークを介していてもよいし、同一ＬＡＮなど外部ネットワークを介さない環境であってもよい。また、認証サーバ１００は、各認証スイッチからみてネットワークとして一意であればよく、実態として単一サーバであってもよいし、複数サーバからなる高可用サーバであってもよい。

次に、本発明の第１の実施形態の動作について説明する。

まず、図３、図４を用いて関連するネットワーク認証システムの動作について説明する。図３は、関連するネットワーク認証システムにおいて、端末３００Ａが、認証スイッチ２００Ａ、２００Ｂのうちの一つと認証を行う過程を示す図である。また、Ａ、Ｂ、Ｃを付した構成要素は、例えば２００Ａ等の内部の構成を示している。

図３では、認証スイッチ２００Ａ、２００Ｂは、認証サーバ１００に認証スイッチ登録を行い、認証サーバ１００は、各認証スイッチ２００Ａ、２００Ｂが分散して端末認証を行う。そのため、各認証スイッチの受信ポートフィルタを生成し、各認証スイッチ２００Ａ、２００Ｂに通知する。各認証スイッチは通知されたフィルタ情報を元に、受信ポートフィルタ２５０Ａ、２５０Ｂを更新した状態となっている。また、認証スイッチ２００Ａのパケット入力フィルタは、パケット入力フィルタ２７０Ａである。

この時、端末３００ＡのＭＡＣアドレスは、受信ポートフィルタ２５０Ａでは透過され、受信ポートフィルタ２５０Ｂでは破棄される状態となっているとすると、端末３００Ａは、認証スイッチ２００Ａで認証を開始する。認証スイッチ２００Ａは、端末３００Ａの認証情報を認証サーバ１００に問い合わせ、認証サーバ１００は、端末３００Ａ認証情報を認証情報データベース１２０と照合して認証の可否を決定し、認証スイッチ２００Ａに通知する。認証スイッチ２００Ａは、認証結果を端末３００Ａに通知するとともに、認証が成功した場合には、端末３００Ａが外部ネットワーク４００へアクセスするのを許可するようにパケット入力フィルタ２７０Ａを更新する。

また、図４を用いて、関連するネットワーク認証システムにおいて、運用中の認証ネットワークに、認証スイッチ２００Ｃを追加した際の動作を説明する。図４は、稼働中のネットワークに、認証スイッチを追加した場合の動作をネットワーク構成図を用いて説明する図である。

認証スイッチ２００Ｃは、認証サーバ１００に認証スイッチ登録を行い、認証サーバ１００は、認証スイッチ２００Ａ、２００Ｂ、２００Ｃの受信ポートフィルタを再生成し、各認証スイッチに通知する。各認証スイッチ２００Ａ、２００Ｂ、２００Ｃは、それぞれの受信ポートフィルタ２５０Ａ、２５０Ｂ、２５０Ｃを更新する。

受信ポートフィルタ更新の結果、端末３００Ａの認証・通信処理は、認証スイッチ２００Ｂに移動するものとする。認証スイッチ２００Ｂが、端末３００Ａの認証情報を持たない場合、端末３００Ａは、再度認証をやり直すことになる。

このように、関連するネットワーク認証システムでは、受信ポートフィルタの再生成・更新処理により、認証を受ける端末の分布状況や通信状況によっては、特定の認証スイッチに負荷が集中してしまい、適切な負荷分散が行えないことがある。

これを改善するため、本実施形態では、後述するように、認証サーバ１００に、図６に示すような端末管理データベース１５０を保持し、受信ポートフィルタの再生成時に、フィルタの生成方法を工夫することにより、端末の再認証処理で発生するネットワーク負荷の改善をはかる。

図１、図５〜図１１を用いて、本実施形態の動作について説明する。

認証スイッチ２００の認証サーバ処理部２２０は、認証サーバ１００の認証スイッチ管理部１３０のスイッチ監視処理部１３２に対して定期的に通信を行っている。この通信処理において、認証スイッチ２００の認証サーバ処理部２２０は、端末認証処理部２３０が保持する端末管理テーブル２３１を取得し、認証サーバ１００の認証スイッチ管理部１３０に通知する。認証スイッチ管理部１３０は、各認証スイッチから通知された端末管理テーブル情報を端末管理データベース１５０に保存する。

一方、認証スイッチの登録・削除時など、認証スイッチの受信ポートフィルタを再生成する時、フィルタ生成・通知処理部１３１は、図７に示す処理を行う。

図７は、フィルタ生成・通知処理部１３１の動作を示すフローチャートである。図７において、まず、フィルタ管理テーブル１１１から現在各認証スイッチに設定されている受信ポートフィルタの値を取得する（Ｓ１０１）。

図５にフィルタ管理テーブル１１１の例を示す。図５は、フィルタ管理テーブル１１１の内容を示す図であり、ＳＷ−Ａ及びＳＷ−ＢのＭＡＣフィルタの例を示している。

次に、フィルタ生成・通知処理部１３１は、取得した受信ポートフィルタの値から、最小ハミング距離の新しい受信ポートフィルタ候補値Ｆ１、Ｆ２、．．．、Ｆｎを全て生成する（Ｓ１０２）。各フィルタ候補値Ｆｋは、各認証スイッチに通知するフィルタの集合｛ｆｋ１、ｆｋ２、．．．、ｆｋｓ｝（ｓ：認証スイッチ数）である。生成されたフィルタ候補値Ｆｋそれぞれについて、端末管理データベース１５０から各フィルタ値ｆｋ１、ｆｋ２、．．．、ｆｋｓの中からフィルタを選択し（Ｓ１０３）、該当する端末エントリを集計し（Ｓ１０４）、フィルタ候補値に対する指標値Ｓｋを算出する（Ｓ１０５）。

図６に端末管理データベース１５０の例を示す。図６は、端末管理データベース１５０の内容を示す図である。各クライアント端末の端末アドレスと所属する認証スイッチと通信量が登録してある。

図７、図８の例では、指標値として、各フィルタ値ｆｋ１、ｆｋ２、．．．、ｆｋｓでの端末数の標準偏差と認証スイッチ間を移動する端末数を用いているが、他の指標を用いてもよい。すなわち、標準偏差は、端末数のばらつきを示すので、ばらつきが少なく認証スイッチ間の移動が少なくなるような指標値を選べば、負荷を効率よく分散していることになる。

算出された指標値Ｓｋが、それまでの指標値の中で最良の値であれば、その指標値に対応するフィルタ候補値Ｆｋを最良フィルタとして保存する（Ｓ１０６）。全てのフィルタ候補値について上記、Ｓ１０３からＳ１０６を繰り返した後（Ｓ１０７）、最良フィルタとして保存されているフィルタ候補値を新しいフィルタとして、フィルタ管理テーブル１１１に登録し、各認証スイッチに通知する（Ｓ１０８）。

図８は、本実施形態のフィルタ生成・通知処理部１３１の動作の様子を示す図である。図８において、スイッチＩＤのＳＷ-ＡとＳＷ-ＢにＳＷ-ＣとＳＷ-Ｄを追加した場合は、
ＳＷ-ＣとＳＷ-Ｄを追加した管理テーブル候補リストを生成し、その候補から最良値を求める。例えば、ＳＷ-ＣとＳＷ-Ｄを追加したフィルタ管理テーブル候補について、所属端末数の標準偏差と移動端末数を求める。その中で最良値をとるフィルタ管理テーブルの候補を選ぶ。その選んだフィルタ管理テーブル候補を、新しいフィルタ管理テーブルとして設定する。

図９は、関連するネットワーク認証システムによって生成されたフィルタの様子を示す図である。図９に示すように、関連するネットワーク認証システムによって生成されたフィルタでは、端末のアドレス分布状況が考慮されていないため、端末の分布に偏りが生じている。すなわち、フィルタ管理テーブルにおいて、ＳＷ−Ｃ、ＳＷ−Ｄを追加しているが、端末管理データベースでは、所属スイッチＳＷ−ＡとＳＷ−Ｄだけに偏っている。また、ＳＷ−Ｄは後から追加されているので、再認証が必要となっている。

Ｓ１０８で生成されたフィルタの効果が、図１０に示されている。図１０は、本実施形態のネットワーク認証システムによって生成されたフィルタの様子を示す図である。図１０に示すように、本実施形態のフィルタ生成方法を用いてフィルタ再生成を行った場合は、認証スイッチ間の移動が少なくなるようフィルタ候補値が選ばれるので、認証スイッチ間での端末アドレスのやり取りを必要最小限に抑え、かつ認証スイッチ間での負荷分散を適切に行えるようにフィルタが生成される。すなわち、フィルタ再生成後のフィルタ管理テーブルにおいて、ＳＷ−Ｃ、ＳＷ−Ｄを追加しているが、フィルタ再生成後の端末管理データベースでは、所属スイッチＳＷ−Ａ、ＳＷ−Ｂ、ＳＷ−Ｃ、ＳＷ−Ｄに分散している。

図１１は、通信端末数の増加を契機として、負荷分散を行う処理を表すシーケンス図である。

図１１において、認証スイッチＡ２００Ａが端末Ａｘ（ｘは、１からｎの整数）を許可するフィルタ設定であって（Ｓ３２１）、認証スイッチＢ２００Ｂが端末Ａｘ（ｘは、１からｎの整数）を破棄するフィルタ設定であるとする（Ｓ３２０）。認証サーバ１００は、定期的に認証スイッチの監視通信を行う（Ｓ３０１、Ｓ３０３）。認証スイッチ２００Ａ、２００Ｂは、認証端末情報を認証サーバ１００に通知する（Ｓ３０２、Ｓ３０４）。端末Ａｎからの認証情報が、認証スイッチＡ２００Ａに与えられたとすると（Ｓ３１１）、認証サーバ１００は、定期的に認証スイッチの監視通信を行い（Ｓ３０５、Ｓ３０７）、認証スイッチ２００Ａ、２００Ｂは、認証端末情報を認証サーバ１００に通知する（Ｓ３０６、Ｓ３０８）。

認証サーバ１００は、認証スイッチＡ２００Ａでの認証端末数の増大を検知すると（Ｓ３２２）、各認証スイッチの分散用フィルタを再生成し（Ｓ３２３）、フィルタ情報を各認証スイッチへ通知する（Ｓ３０９、Ｓ３１０）。フィルタ情報を受信した各認証スイッチは、例えば、認証スイッチＡ２００Ａは、端末Ａ１を破棄するようフィルタを設定し（Ｓ３２５）、認証スイッチＢ２００Ｂは、端末Ａ１を許可するようフィルタを設定する（Ｓ３２４）。

認証サーバ１００のスイッチ監視処理部１３２は、認証端末数の変化をチェックすることで、認証スイッチの負荷の偏りを検出することができる。負荷の偏りを検出した場合、前述のフィルタ再生成処理を行うことにより、認証スイッチ間の負荷を適切に再配分し、ネットワーク負荷を抑制することが可能となる。

このように本実施形態では、認証サーバ１００が、端末管理データベース１５０を保持し、認証スイッチ２００が認証端末情報を定期的に認証サーバ１００に通知することにより、認証端末数の増加を契機とした、負荷分散を行うことができる。
（第２の実施の形態）
図１２、図１３を用いて、本発明の第２の実施形態について説明する。図１２は、第２の実施形態のネットワーク認証システムの構成を示す図である。図１３は、特定の端末で通信流量が増大した場合の、負荷分散を行う処理を表すシーケンス図である。

図１２において、第１の実施形態と同じ構成要素には、同じ番号を付して説明を省略する。図１２のネットワーク認証システム２０は、認証サーバ１００と認証スイッチ２０５、クライアント端末３００および外部ネットワーク４００を備えている。本実施形態は、第１の実施形態の認証スイッチ２００に通信量監視装置２９０を加えたものである。

通信量監視処理部２９０は、パケット転送処理部２８０の通信量を監視し、端末認証処理部２３０に通知する。

また、認証スイッチ２０５の端末管理テーブル２３１および認証サーバ１００の認証端末データベース１５０に、各端末の通信流量のデータを保持することで、特定の認証スイッチや特定の端末で通信流量が急激に増えた場合にも、その端末のみを特別な認証スイッチに隔離することにより、検疫処理などを行うこともできる。

図１３は、特定の端末３００Ａで通信流量が増大した場合の、負荷分散処理を示す。図１３において、認証スイッチＡ２００Ａが端末Ａを許可するフィルタ設定であって（Ｓ４２１）、認証スイッチＢ２００Ｂが端末Ａを破棄するフィルタ設定であるとする（Ｓ４２０）。認証サーバ１００は、定期的に認証スイッチの監視通信を行う（Ｓ４０１、Ｓ４０３）。認証スイッチ２００Ａ、２００Ｂは、端末の通信流量を認証サーバ１００に通知する（Ｓ４０２、Ｓ４０４）。

端末Ａの通信流量増大が、認証スイッチＡ２００Ａに与えられたとすると（Ｓ４１１）、認証サーバ１００は、定期的に認証スイッチの監視通信を行い（Ｓ４０５、Ｓ４０７）、認証スイッチ２００Ａ、２００Ｂは、端末の通信流量を認証サーバ１００に通知する（Ｓ４０６、Ｓ４０８）。

認証サーバ１００は、認証スイッチＡ２００Ａでの通信流量の増大を検知すると（Ｓ４２２）、各認証スイッチの分散用フィルタを再生成し（Ｓ４２３）、フィルタ情報を各認証スイッチへ通知する（Ｓ４０９、Ｓ４１０）。フィルタ情報を受信した各認証スイッチは、例えば、認証スイッチＡ２００Ａは、端末Ａを破棄するようフィルタを設定し（Ｓ４２５）、認証スイッチＢ２００Ｂは、端末Ａを許可するようフィルタを設定する（Ｓ４２４）。

このように、認証サーバ１００のスイッチ監視処理部１３２は、定期的に認証スイッチの監視通信を行っており、認証スイッチ２０５の認証サーバ処理部２２０は、通信流量を含む端末認証情報を認証サーバ１００に通知する。認証サーバ１００のスイッチ監視処理部１３２は、通信流量の変化をチェックすることで、認証スイッチ２０５の通信流量の偏りを検出することができる。

負荷の偏りを検出した場合、前述のフィルタ再生成処理を行うことにより、認証スイッチ間の通信負荷を適切に再配分し、ネットワーク負荷を抑制することが可能となる。あるいは、通信流量が増大した特定の端末のみを特別な認証スイッチに隔離することにより、検疫処理などを行うこともできる。

なお、第１の実施形態では認証端末数の増加、第２の実施形態では通信流量の変化をチェックしたが、認証端末数と通信流量の変化の両方を使ってチェックしてもよい。

以上述べてきたように、本願発明は、認証サーバに端末管理テーブルを保持し、認証スイッチに適用する受信ポートフィルタの再生成時に、それまでのフィルタを元に、端末管理テーブルに保持している端末の推移を考慮してフィルタの再生成を行うことにより、適切な負荷分散を行うことができる。

尚、本願発明は、上述の実施の形態に限定されるものではなく、本願発明の要旨を逸脱しない範囲で種々変更、変形して実施することが出来る。

本発明は、セキュリティの確保とネットワーク利用の効率化を両立させるネットワーク認証システムとして利用できる。

１０ネットワーク認証システム
１００認証サーバ
１１０認証スイッチ管理テーブル
１１１フィルタ管理テーブル
１２０認証情報データベース
１３０認証スイッチ管理部
１３１フィルタ生成・通知処理部
１３２スイッチ監視処理部
１４０ユーザ認証処理部
１５０端末管理データベース
２０ネットワーク認証システム
２００認証スイッチ
２１０設定記憶部
２１１認証サーバ情報
２１２認証スイッチグループ情報
２２０認証サーバ処理部
２３０端末認証処理部
２３１端末管理テーブル
２４０フィルタ制御処理部
２５０受信ポートフィルタ
２６０パケット受信処理部
２７０パケット入力フィルタ
２８０パケット転送処理部
２９０通信量監視処理部
３００クライアント端末
３１０ユーザ認証情報
３２０認証処理部
４００外部ネットワーク

Claims

１つ以上のクライアント端末と、
前記クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、
前記クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムにおいて、
前記認証サーバは、
前記認証スイッチの認証を行うユーザ認証処理部と、
前記認証スイッチがどの認証サーバに属するかを管理する認証スイッチ管理テーブルと、前記認証スイッチで前記クライアント端末の認証が行われるように、前記認証スイッチの受信ポートフィルタを生成して、前記認証スイッチ管理テーブル内のフィルタ管理テーブルに格納し、前記認証スイッチに通知する認証スイッチ管理処理部と、
前記認証スイッチから通知された端末管理テーブル情報を保存する端末管理データベースと、
を有し、
前記クライアント端末の数が変化した場合に、前記認証スイッチ間での負荷の偏りを検出するスイッチ監視処理部を更に備え、
前記認証スイッチ間での負荷の偏りを検出した場合、前記認証スイッチ監視処理部は、新たな認証スイッチを追加するとともに、前記新たな認証スイッチを追加することによって生成した複数のフィルタ管理テーブル候補の中から、各認証スイッチに所属する前記クライアント端末の数の間にばらつきが少なく、かつ、前記クライアント端末の所属先の認証スイッチが変化する数が少ないフィルタ管理テーブル候補を、新しいフィルタ管理テーブルとして選択し、再生成することを特徴とするネットワーク認証システム。
前記認証スイッチは、前記端末管理テーブルを有する端末認証処理部に接続され、パケット転送処理部を監視して、通信量を監視する通信量監視処理部を有することを特徴とする請求項１に記載のネットワーク認証システム。
１つ以上のクライアント端末と、
前記クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、
前記クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムのネットワーク認証方法において、
前記認証サーバは、
前記認証スイッチの認証を行うステップと、
前記認証スイッチがどの認証サーバに属するかを管理するステップと、
前記認証スイッチで前記クライアント端末の認証が行われるように、前記認証スイッチの受信ポートフィルタを生成して、前記認証スイッチ管理テーブル内のフィルタ管理テーブルに格納し、前記認証スイッチに通知するステップと、
前記認証スイッチから通知された端末管理テーブル情報を保存するステップと、
前記クライアント端末の数が変化した場合に、前記認証スイッチ間での負荷の偏りを検出するステップと、
を有し、
前記認証スイッチ間での負荷の偏りを検出した場合、新たな認証スイッチを追加するとともに、前記新たな認証スイッチを追加することによって生成した複数のフィルタ管理テーブル候補の中から、各認証スイッチに所属する前記クライアント端末の数の間にばらつきが少なく、かつ、前記クライアント端末の所属先の認証スイッチが変化する数が少ないフィルタ管理テーブル候補を、新しいフィルタ管理テーブルとして選択し、再生成することを特徴とするネットワーク認証方法。
前記認証スイッチは、前記端末管理テーブルを有する前記端末認証処理部に接続され、パケット転送処理部を監視して、通信量を監視するステップを有することを特徴とする請求項３に記載のネットワーク認証方法。
クライアント端末の外部ネットワークへの接続を認証する認証サーバにおいて、
認証スイッチの認証を行うユーザ認証処理部と、
前記認証スイッチがどの認証サーバに属するかを管理する認証スイッチ管理テーブルと、前記認証スイッチで前記クライアント端末の認証が行われるように、前記認証スイッチの受信ポートフィルタを生成して、前記認証スイッチ管理テーブル内のフィルタ管理テーブルに格納し、前記認証スイッチに通知する認証スイッチ管理処理部と、
前記認証スイッチから通知された端末管理テーブル情報を保存する端末管理データベースと、
を有し、
前記クライアント端末の数が変化した場合に、前記認証スイッチ間での負荷の偏りを検出するスイッチ監視処理部を更に備え、
前記認証スイッチ間での負荷の偏りを検出した場合、前記認証スイッチ監視処理部は、新たな認証スイッチを追加するとともに、前記新たな認証スイッチを追加することによって生成した複数のフィルタ管理テーブル候補の中から、各認証スイッチに所属する前記クライアント端末の数の間にばらつきが少なく、かつ、前記クライアント端末の所属先の認証スイッチが変化する数が少ないフィルタ管理テーブル候補を、新しいフィルタ管理テーブルとして選択し、再生成することを特徴とする認証サーバ。