JP6417799B2 - ネットワークコントローラ、ネットワーク制御方法、およびプログラム - Google Patents

ネットワークコントローラ、ネットワーク制御方法、およびプログラム Download PDF

Info

Publication number
JP6417799B2
JP6417799B2 JP2014179642A JP2014179642A JP6417799B2 JP 6417799 B2 JP6417799 B2 JP 6417799B2 JP 2014179642 A JP2014179642 A JP 2014179642A JP 2014179642 A JP2014179642 A JP 2014179642A JP 6417799 B2 JP6417799 B2 JP 6417799B2
Authority
JP
Japan
Prior art keywords
network
terminal
setting
address
virtual
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2014179642A
Other languages
English (en)
Other versions
JP2016054419A (ja
Inventor
菜美 長田
菜美 長田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2014179642A priority Critical patent/JP6417799B2/ja
Publication of JP2016054419A publication Critical patent/JP2016054419A/ja
Application granted granted Critical
Publication of JP6417799B2 publication Critical patent/JP6417799B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Description

端末がネットワークに接続する際にアクセス制御を行うネットワークコントローラ、ネットワーク制御方法、およびプログラムに関する。
近年スマートフォンなどのモバイル端末の普及や、無線ＬＡＮ（ローカルエリアネットワーク）やキャリアネットワークの普及、高速化にともない、場所を選ばず業務を遂行することが求められている。一方、セキュリティに対する意識も高まっており、安全性の高いネットワークの運用管理が求められている。
かかるセキュリティを実現するためには、端末とその端末がアクセスすることのできるサーバ等のネットワークリソースに１まとまりのアクセス単位を形成する必要がある。かかるアクセス単位を形成するための技術として、ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）と呼ばれる技術が知られている。ＶＬＡＮでは、スイッチの接続ポート、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、プロトコルなどがユーザのアクセスレベルに対応させられる。そして、スイッチなどのネットワーク機器により、物理的な接続形態とは別に、アクセスレベルに応じた仮想ネットワークが構成される。
ＶＬＡＮを利用した従来技術として、次のような技術が知られている（例えば特許文献１に記載の技術）。ＲＡＳゲートウェイは、クライアント装置とクライアント装置が所属すべき内部ネットワークとの接続を可能とする仮想ネットワークインタフェースが、現に設定中であるＶＬＡＮインタフェース内に存在しない場合には、ＶＬＡＮインタフェースを動的に設定する。さらに、ＲＡＳゲートウェイは、設定されたＶＬＡＮインタフェースの利用状況を監視して、利用しているクライアント端末のないインタフェースについては消去する。これにより、ネットワークの接続管理に関する管理者の負担を軽減するとともに、リソースの浪費および不正アクセスを防止するものである。
ＶＬＡＮを利用した他の従来技術として、次のような技術が知られている（例えば特許文献２に記載の技術）。（１）クライアントは、認証要求をパス制御サーバに送信する。（２）パス制御サーバでは、認証するとランチャーソフトをクライアントに送信する。（３）クライアントでは、利用可能なサービスを選択すると、対応するパス構築要求がパス制御サーバに送信される。（４）パス制御サーバでは、パス構築要求を受信すると、クライアントに対して拠点ルータとの連結指示を発行するとともに、（５）拠点ルータに対してクライアントとの連結指示を発行する。この構成により、クライアントと拠点ルータ間の拠点内ＶＬＡＮを動的に構築することができる。これにより、サービス毎のエンド・ツー・エンドのセキュリティ、クライアントでのサービス間のセキュリティ、大規模システムに対するスケーラビリティを実現するものである。
特開２０１１−０１９１２５号公報 特開２００９−１３５８０５号公報
ここで、ネットワークにアクセスする端末を利用するユーザの状態は、利用状況に応じて動的に変化し得る。例えば学校において、先生、生徒、事務職員等のどのユーザが、先生端末、生徒端末、事務端末等のどれを利用し、その端末上で成績評価アプリ、自習アプリ等のどのユーザアプリケーションを使うか等の状態が変化し得る。そして、その状態に応じて、例えば教材サーバ、成績サーバ等のどのネットワークリソースにアクセスできるかというアクセス制限レベルも異なってくる。
本発明の１つの側面では、ネットワークリソースに対するアクセス制御を規定する制御ポリシに基づいて、端末の状態変化に伴って仮想ネットワークを動的に設定することでアクセス制限の動的変更を可能とすることを目的とする。
態様の一例では、１つ以上の仮想ネットワークにおけるネットワーク機器を設定制御するネットワークコントローラにおいて、端末からその端末の状態を受信する端末状態受信部と、端末の状態に対応するネットワークのアクセス制御を規定するアクセス制御ポリシに基づいて、ネットワーク機器のグルーピングを管理するグルーピング管理部と、グルーピングにより生成されるグループごとにアクセス制御を行うためのネットワーク設定値を管理するネットワーク設定管理部と、ネットワーク設定値をネットワーク機器に対して設定指示するネットワーク設定指示部と、を備え、グルーピング管理部は、グループを識別するためのグループ識別子と、当該グループに対応する端末の状態を識別するための状態識別子と、当該グループにおいて接続可能な端末を識別するための端末識別子と、当該グループにおいて認可されるネットワークリソースの識別名とを含むエントリを、当該グループごとに登録したネットワークリソース管理テーブルのデータに基づいて管理する。
ネットワークリソースに対するアクセス制御を規定する制御ポリシに基づいて、端末の状態変化に伴って仮想ネットワークを動的に設定することでアクセス制限の動的変更が可能となる。
アクセスレベルを制御しながらモバイル端末とサーバが通信を行うネットワークシステムの構成例を示す図である。 アクセスレベルを制御しながらモバイル端末とサーバが通信を行うネットワークシステムの利用形態を説明する図である。 アクセスレベルを制御しながらモバイル端末とサーバが通信を行うネットワークシステムの利用形態におけるアクセス制御を認証ＶＬＡＮの拡張により実現する構成を説明する図（その１）である。 アクセスレベルを制御しながらモバイル端末とサーバが通信を行うネットワークシステムの利用形態におけるアクセス制御を認証ＶＬＡＮの拡張により実現する構成を説明する図（その２）である。 ＮＷリソースが所属するＶＬＡＮとは異なるＶＬＡＮに属する端末からそのＮＷリソースにアクセスする構成の説明図である。 本実施形態によるコントローラの構成例を示す図である。 制御ポリシテーブル、ＮＷリソース管理テーブル、およびＮＷ設定管理テーブルのデータ構成例を示す図である。 仮想ＮＷ−ＩＤ管理テーブルおよびサブネット管理テーブルのデータ構成例を示す図である。 本実施形態の動作例（その１）を説明する図である。 本実施形態の動作例（その２）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の例を示す図である。 本実施形態の動作例（その３）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の例を示す図である。 本実施形態の動作例（その４）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容の遷移例を示す図である。 本実施形態の動作例（その５）を説明する図である。 本実施形態の動作例（その６）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の状態変更前の例を示す図である。 本実施形態の動作例（その６）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の状態変更後の例を示す図である。 本実施形態の動作例（その７）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容の遷移例を示す図である。 本実施形態の動作例（その８）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容の遷移例を示す図である。 本実施形態の動作例（その７）または動作例（その８）におけるコントローラの制御動作を説明する図である。 端末状態変化時のコントローラの制御処理の例を示すフローチャート（その１）である。 端末状態変化時のコントローラの制御処理の例を示すフローチャート（その２）である。 新ＧＩＤへの仮想ＮＷ−ＩＤ、サブネットアドレス追加の処理の詳細例を示すフローチャートである。 共有リソースの転送設定追加の処理の詳細例を示すフローチャートである。 本実施形態の動作例（その９）を説明する図である。 本実施形態によるスイッチの構成例を示す図である。 ＭＡＣテーブルおよびＶＬＡＮテーブルのデータ構成例を示す図である。 本実施形態によるルータの構成例を示す図である。 ルーティングテーブルおよびフィルタリングテーブルのデータ構成例を示す図である。 本実施形態によるＤＨＣＰサーバの構成例を示す図である。 ＤＨＣＰサーバの記憶部に記憶される設定テーブルのデータ構成例を示す図である。 本実施形態によるＤＮＳサーバの構成例を示す図である。 ＤＮＳサーバの記憶部に記憶される設定テーブルのデータ構成例を示す図である。 本実施形態による端末の構成例を示す図である。 ＳＳＩＤテーブルのデータ構成例を示す図である。 コントローラを実現可能なコンピュータのハードウェア構成例を示す図である。
以下、本発明を実施するための形態について図面を参照しながら詳細に説明する。
まず、仮想ネットワークを用いたアクセスレベルの制御方法の一般的な考え方について説明する。
図１は、アクセスレベルを制御しながらモバイル端末とサーバが通信を行うネットワークシステムの構成例を示す図である。ネットワークシステムは、コントローラ１０１、スイッチ１０２、ルータ１０３、ＷＬＡＮ−ＡＰ１０４、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ１０５、ＤＮＳサーバ１０６、サーバ１０７（教材サーバ１０７ａ、成績サーバ１０７ｂ等）を含む。また、ＷＬＡＮ−ＡＰ１０４には、端末１０８（先生端末１０８ａや生徒端末１０８ｂ等）が接続される。以下の説明では、「端末１０８」という記載を用いたときには、その記載による説明は、先生端末１０８ａと生徒端末１０８ｂを特に区別しない共通の説明であるとする。「サーバ１０７」という記載を用いたときには、その記載による説明は、教材サーバ１０７ａや成績サーバ１０７ｂを特に区別しない共通の説明であるとする。
例えばモバイル端末である端末１０８（先生端末１０８ａや生徒端末１０８ｂ）は、無線ＬＡＮアクセスポイント（Ｗｉｒｅｌｅｓｓ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｐｏｉｎｔ：ＷＬＡＮ−ＡＰ）１０４に無線接続する。無線接続の方式としては例えば、Ｗｉ Ｆｉ（Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）方式を採用できる。なお、「Ｗｉ Ｆｉ」は、ワイーファイ・アライアンスの登録商標である。ＷＬＡＮ−ＡＰ１０４は、スイッチ１０２のポートに接続される。なお、ＷＬＡＮ−ＡＰ１０４は１台である必要はなく、スイッチ１０２の複数のポートまたは異なるスイッチ１０２のポートに、複数台が接続されてもよい。ＷＬＡＮ−ＡＰ１０４は、端末１０８から無線ＬＡＮのフレームを受信し、そのフレームに格納されて送られてきたＩＰ（インターネットプロトコル）パケットをイーサネットフレーム（「イーサネット」は登録商標）に乗せ替えて、そのイーサネットフレームをスイッチ１０２に転送する。
スイッチ１０２は、ネットワークスイッチである例えばスイッチングハブ装置であり、複数の物理ポートを備える。教材サーバ１０７ａや成績サーバ１０７ｂなどの、ユーザアプリケーション（以下「ユーザアプリ」と記載）のサービスを提供するサーバコンピュータは、それぞれスイッチ１０２の物理ポートに接続される。
スイッチ１０２の各ポートに接続された各種ネットワーク機器（以下「ＮＷ機器」と記載）によって、１つの物理ネットワークが形成される。以下の説明において、特に言及しない限り、「ＮＷ機器」と記載した場合は、端末１０８、サーバ１０７、ＷＬＡＮ−ＡＰ１０４、ルータ１０３、ＤＨＣＰサーバ１０５、ＤＮＳサーバ１０６等の、コントローラ１０１以外の全ての機器を含むものとする。また、端末１０８がユーザアプリケーションを実行することによりアクセスを認可されたサーバ１０７を、「ネットワークリソース（以下「ＮＷリソース」と記載）」または「認可リソース」と呼ぶことがある。
なお、１つの物理ネットワーク上で、スイッチ１０２は１つである必要はなく、複数台含まれていてもよい。
スイッチ１０２は、ポートごとにＶＬＡＮを識別するための仮想ネットワーク識別子（以下「仮想ＮＷ−ＩＤ」と記載）を設定する。そして、スイッチ１０２は、同一のＶＬＡＮポート間、すなわち同じ仮想ＮＷ−ＩＤが設定されたポート間でのみ、ＩＰパケットを中継する。
このようにして、スイッチ１０２の同じＶＬＡＮの仮想ＮＷ−ＩＤが設定された各ポートに接続された各ＮＷリソースを、その仮想ＮＷ−ＩＤを有する１つのＶＬＡＮに所属させることができる。仮想ＮＷ−ＩＤが異なればＶＬＡＮも異なる。従って、このような構成のスイッチ１０２を用いることにより、１つの物理ネットワーク上に複数の仮想ネットワーク（ＶＬＡＮ）を構築することが可能となる。
ここで、１つのＷＬＡＮ−ＡＰ１０４に無線接続する複数の端末（図１では先生端末１０８ａや生徒端末１０８ｂ）は、それぞれ別々のＶＬＡＮに所属してアクセスを行う可能性がある。そこで、ＷＬＡＮ−ＡＰ１０４が接続されるスイッチ１０２のポートとしては、ＶＬＡＮによる区別をしないトランクポートを用いる。また、ＷＬＡＮ−ＡＰ１０４には、複数のＳＳＩＤ（Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｆｉｒｅ：サービスセット識別子）を設定することができ、さらに、各ＳＳＩＤには、各ＶＬＡＮが割り当てられる。ＳＳＩＤは、ＷＬＡＮ−ＡＰ１０４に無線接続するための識別情報である。各端末１０８は、自分が通信を行うＶＬＡＮに対応するＳＳＩＤでＷＬＡＮ−ＡＰ１０４に無線接続する。ＷＬＡＮ−ＡＰ１０４は、端末１０８からの無線接続時のＳＳＩＤと端末１０８から受信した無線ＬＡＮフレームに付加されている仮想ＮＷ−ＩＤの組によって、アクセスの認証を行う。スイッチ１０２は、端末１０８からのイーサネットフレームデータ（以下単に「フレーム」と記載）に付加されている仮想ＮＷ−ＩＤのタグを認識し、同じ仮想ＮＷ−ＩＤが割り当てられているポートに対してのみ、このフレームを中継する。
また、スイッチ１０２のポートには、ルータ１０３が接続される。ルータ１０３は、ＩＰパケット等のネットワークデータを２つ以上の異なるネットワーク間で転送する通信装置である。
ルータ１０３は、それが接続されるスイッチ１０２によって形成される物理ネットワーク上に生成されるそれぞれ異なるサブネットアドレスを有する異なる仮想ネットワークであるＶＬＡＮ間でデータを転送する。
ルータ１０３が接続されるスイッチ１０２のポートとしては、ＶＬＡＮによる区別をしないトランクポートを用いる。また、ルータ１０３がスイッチ１０２のトランクポートに接続するときの物理インタフェースは１つでよく、その物理インタフェースには、論理的なインタフェースであるサブインタフェースを設定できる。そして、各サブインタフェースには、各ＶＬＡＮに対応するサブネットアドレスに属する各ＩＰアドレスと、各ＶＬＡＮの仮想ＮＷ−ＩＤを割り当てることができる。
スイッチ１０２は、或るＶＬＡＮに所属するフレームを受信すると、そのフレームにそのＶＬＡＮの仮想ＮＷ−ＩＤのタグを付加して、トランクポートからルータ１０３に転送する。ルータ１０３は、スイッチ１０２から転送されてきたフレームを、そのフレームに付加されている仮想ＮＷ−ＩＤが割り当てられているサブインタフェースで受信する。ルータ１０３は、受信したフレームに格納されているＩＰパケットの送信元ＩＰアドレスと宛先ＩＰアドレスを取り出し、それらを内部のルーティングテーブルに設定されている経路情報と比較することにより、出力先のサブインタフェースを決定する。ルータ１０３は、受信したＩＰパケットを含み、出力先のサブインタフェースに設定されている仮想ＮＷ−ＩＤをタグとして含むフレームを生成する。そして、ルータ１０３は、そのフレームを、出力先のサブインタフェースが設定されている物理イーサネットインタフェースから、スイッチ１０２のトランクポートに転送する。スイッチ１０２は、受信したフレームに付加されている仮想ＮＷ−ＩＤのタグを認識し、同じ仮想ＮＷ−ＩＤが割り当てられているポートにこのフレームを中継する。このようにして、スイッチ１０２とルータ１０３を用いることにより、異なるＶＬＡＮ間でフレームを中継することができる。
また、ルータ１０３は、それが接続されるスイッチ２０４を含む物理ネットワークと外部の物理ネットワーク（以下「外部ＮＷ」と記載）との間の中継してもよい。ルータ１０３は、１台である必要はなく、スイッチ１０２の２つ以上のポートまたは異なるスイッチ１０２のポートに、２台以上のルータ１０３が接続されて、２つ以上の外部ＮＷと接続されてもよい。
さらに、スイッチ１０２のトランクポートには、ＤＨＣＰサーバ１０５が接続される。ＤＨＣＰサーバ１０５は、スイッチ１０２に接続される各ネットワーク機器に、ＩＰアドレスを自動的に割り当てる。
加えて、スイッチ１０２のポートには、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ１０６が接続される。ＤＮＳサーバ１０６は、端末やサーバのドメイン名からそのＩＰアドレスを解決する。例えば、先生端末１０８ａや生徒端末１０８ｂが教材サーバ１０７ａや成績サーバ１０７ｂにアクセスするときに、サーバ名をＤＮＳサーバ１０６に問い合わせる。ＤＮＳサーバ１０６は、そのサーバ名に対応付けられているＩＰアドレスを検索し、そのＩＰアドレスを先生端末１０８ａや生徒端末１０８ｂに返信する。先生端末１０８ａや生徒端末１０８ｂは、返信されたＩＰアドレスを宛先アドレスに設定したＩＰパケットを生成し、そのＩＰパケットをフレームに格納して送信する。
コントローラ１０１は、スイッチ１０２、ルータ１０３、またはＷＬＡＮ−ＡＰ１０４などに対して、ＶＬＡＮの設定を行うネットワークコントローラとして動作する。
図２は、アクセスレベルを制御されながらモバイル端末とサーバが通信を行う図１に例示されるネットワークシステムの利用形態を説明する図である。
いま例えば、図２（ａ）に示されるように、図１のＷＬＡＮ−ＡＰ１０４を介してアクセスする端末１０８の状態が、「先生が使用」する先生端末１０８ａであって、「成績評価アプリを起動」している状態の場合を考える。この場合は、先生端末１０８ａは、成績サーバ１０７ｂにはアクセスできるが（図２の２０１）、教材サーバ１０７ａにはアクセスできないようにアクセス制御したい（図２の２０２）。
一方、図２（ｂ）に示されるように、「先生が使用」する先生端末１０８ａが、「自習アプリを起動」して採点中は、成績サーバ１０７ｂ、教材サーバともアクセス可能であるようにアクセス制御したい（図２の２０３、２０４）。
さらに、図２（ｂ）に示されるように、図１のＷＬＡＮ−ＡＰ１０４を介してアクセスする端末１０８の状態が、「生徒が使用」する生徒端末１０８ｂであって、「自習アプリを起動」している状態を考える。この場合は、生徒端末１０８ｂは、成績サーバ１０７ｂにはアクセス不可だが（図２の２０６）、教材サーバにはアクセス可能であるようにアクセス制御したい（図２の２０５）。
すなわち、状態の異なる端末１０８が、各々ネットワークに接続し、ＮＷリソースを共有することになる。ここでいうＮＷリソースとは、例えばサーバ１０７（教材サーバ１０７ａや成績サーバ１０７ｂ等）をいう。また、端末１０８の「状態」とは、ユーザが使用する端末の種別（先生端末１０８ａ、生徒端末１０８ｂ等の別）、ユーザが端末で利用するユーザアプリ（成績評価アプリ、自習アプリ等の別）等の組合せをいい、ユーザの利用状況により変化するものをいう。なお、「状態」は、ユーザが端末を利用する場所やユーザのアクセス権限（例えば肩書きや部署）等を含んでもよい。
以上のような利用形態を実現するために、認証ＶＬＡＮを拡張する構成が考えられる。図３および図４は、上述の利用形態におけるアクセス制御を認証ＶＬＡＮの拡張により実現する構成を説明する図である。
認証ＶＬＡＮを使った制御では、教材サーバ１０７ａや成績サーバ１０７ｂに対するアクセスレベルは、それらのＮＷリソースがどのＶＬＡＮに所属し、先生端末１０８ａや生徒端末１０８ｂがどのＶＬＡＮにアクセスできるかによって定まる。
図３は、先生端末１０８ａのみが成績評価アプリを起動した状態を示している。先生端末１０８ａで成績評価アプリが起動され、その状態が、ＷＬＡＮ−ＡＰ１０４、スイッチ１０２、およびルータ１０３を経由して、コントローラ１０１に渡される。この結果、コントローラ１０１が、内部に保持する制御ポリシ（アクセス制御ポリシ）と先生端末１０８ａの状態とに基づいて、先生端末１０８ａにＶＬＡＮを割り当てる。この時の制御ポリシと仮想ネットワーク（ここではＶＬＡＮ）の設定は、図３の３０１および３０２に例示される如くとなる。すなわちまず、制御ポリシ３０１として予め、次のようなポリシが規定されている。まず、先生端末１０８ａから成績評価アプリが起動された場合には、ＮＷリソースとして成績サーバ１０７ｂへのアクセスを認可し、仮想ＮＷ−ＩＤとしては、ＶＬＡＮ２０を割り当てる。また、生徒端末１０８ｂから自習アプリが起動された場合には、ＮＷリソースとして教材サーバ１０７ａへのアクセスを認可し、仮想ＮＷ−ＩＤとしてはＶＬＡＮ１０を割り当てる。
ここで、「制御ポリシ」は、認証機能によって特定されたユーザが要求するリソースへのアクセスを制御する。具体的には「制御ポリシ」は、ユーザに対する異なるアクセス制限ごとに、「誰が」「何を」「どうする」を「許可」「禁止」で判定する仕組みとして定義される。より具体的には、「制御ポリシ」は、端末の種別（例えば先生端末１０８ａ、生徒端末１０８ｂ等の別）、ユーザアプリ（例えば成績評価アプリ、自習アプリ等の別）などに応じて、どのサーバ１０７にアクセスさせるかというアクセス制限が規定される。
この結果、先生端末１０８ａで成績評価アプリが起動された場合には、コントローラ１０１は、ＶＬＡＮテーブル３０２を生成し保持する。このＶＬＡＮテーブル３０２において例えば、成績サーバ１０７ｂには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が予め割り当てられている。また、教材サーバ１０７ａには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が割り当てられている。なお、コントローラ１０１とスイッチ１０２等は例えば仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００である専用のＶＬＡＮによって通信できるように、コントローラ１０１には、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が予め割り当てられている。また、成績サーバ１０７ｂには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０に対応するサブネットアドレス「１９２．１６８．１０．２０／２４」に属するようにＩＰアドレスが予め決定され設定されている。一方、教材サーバ１０７ａには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に対応するサブネットアドレス「１９２．１６８．１０．１０／２４」に属するようにＩＰアドレスが予め決定され設定されている。さらに、先生端末１０８ａがアクセスした時点で、ＶＬＡＮテーブル３０２において、先生端末１０８ａに仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が割り当てられる。また、先生端末１０８ａには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０に対応するサブネットアドレス「１９２．１６８．１０．２０／２４」に属するように、ＩＰアドレスが、例えばＤＨＣＰサーバ１０５から割り当てられる。なお、スイッチ１０２においては予め、コントローラ１０１が接続されるポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００を割り当て、教材サーバ１０７ａと成績サーバ１０７ｂが接続される各ポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とＶＬＡＮ２０を割り当てる設定が、固定的になされている。コントローラ１０１は、先生端末１０８ａに、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０とＶＬＡＮ２０に対応したＳＳＩＤを通知する。これにより、先生端末１０８ａは、通知されたＳＳＩＤでＷＬＡＮ−ＡＰ１０４に無線接続し、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０をタグとして含むフレームを送信するようになる。
スイッチ１０２は、ＷＬＡＮ−ＡＰ１０４を介してトランクポートでこのフレームを受信すると、そのフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を認識する。そして、スイッチ１０２は、受信したフレームを、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定され成績サーバ１０７ｂが接続されているポートに中継する。このようにして、先生端末１０８ａは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮを使って、成績サーバ１０７ｂにアクセスすることができる。
次に、図４は、図３の状態からさらに、生徒端末１０８ｂが自習アプリを起動した状態を示している。生徒端末１０８ｂで自習アプリが起動され、その状態が、ＷＬＡＮ−ＡＰ１０４およびスイッチ１０２を経由して、コントローラ１０１に渡される。この結果、コントローラ１０１が、内部に保持する制御ポリシと生徒端末１０８ｂの状態とに基づいて、生徒端末１０８ｂにＶＬＡＮを割り当てる。この時の制御ポリシとＶＬＡＮの設定は、図４の４０１および４０２に例示される如くとなる。すなわち、図３の制御ポリシ３０１と同様に、制御ポリシ４０１において、生徒端末１０８ｂから自習アプリが起動された場合には、ＮＷリソースとして教材サーバ１０７ａへのアクセスを認可し、仮想ＮＷ−ＩＤとしては、ＶＬＡＮ１０を割り当てる。この結果、先生端末１０８ａで成績評価アプリが実行されている状態でさらに、生徒端末１０８ｂで自習アプリが起動された場合には、コントローラ１０１は、図４のＶＬＡＮテーブル４０２を生成し保持する。このＶＬＡＮテーブル４０２において例えば、図３のＶＬＡＮテーブル３０２と同様に、成績サーバ１０７ｂには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が予め割り当てられている。一方、教材サーバ１０７ａには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が予め割り当てられている。コントローラ１０１には、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が予め割り当てられている。また、前述したように、教材サーバ１０７ａには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に対応するサブネットアドレス「１９２．１６８．１０．１０／２４」に属するようにＩＰアドレスが予め決定され設定されている。さらに、生徒端末１０８ｂがアクセスした時点で、ＶＬＡＮテーブル４０２において、生徒端末１０８ｂに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が割り当てられる。また、生徒端末１０８ｂには、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に対応するサブネットアドレス「１９２．１６８．１０．１０／２４」に属するように、ＩＰアドレスが、例えばＤＨＣＰサーバ１０５から割り当てられる。コントローラ１０１は、生徒端末１０８ｂに、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とＶＬＡＮ１０に対応したＳＳＩＤを通知する。これにより、生徒端末１０８ｂは、通知されたＳＳＩＤでＷＬＡＮ−ＡＰ１０４に無線接続し、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０をタグとして含むフレームを送信するようになる。スイッチ１０２は、ＷＬＡＮ−ＡＰ１０４を介してトランクポートでこのフレームを受信すると、そのフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を認識する。そして、スイッチ１０２は、受信したフレームを、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定され教材サーバ１０７ａが接続されているポートに中継する。このようにして、生徒端末１０８ｂは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮを使って、教材サーバ１０７ａにアクセスすることができる。
ここで、図４に示されるように、生徒端末１０８ｂが自習アプリを実行している状態で、先生端末１０８ａが成績評価アプリから例えば採点のために自習アプリにアプリを切り替えた場合を考える。この場合には、図２（ｂ）で説明したように、先生端末１０８ａが自習アプリを起動して採点中は、先生端末１０８ａは成績サーバ１０７ｂと教材サーバの両方にアクセス可能であるようにアクセス制御したい（図２の２０３、２０４）。なおかつ、生徒端末１０８ｂが自習アプリを起動している間は、生徒端末１０８ｂは教材サーバ１０７ａのみにアクセス可能であるようにアクセス制御したい（図２の２０５、２０６）。ここで、図４の４０２に示されるように、成績サーバ１０７ｂと先生端末１０８ａは仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を使って通信しており、教材サーバ１０７ａと生徒端末１０８ｂは仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を使って通信している。従って、このままでは、先生端末１０８ａが自習アプリを起動しても、ＶＬＡＮ１０に属する教材サーバ１０７ａにアクセスすることができない。教材サーバ１０７ａの仮想ＮＷ−ＩＤをＶＬＡＮ１０からＶＬＡＮ２０に変更してしまうと、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０でアクセスしている生徒端末１０８ｂが教材サーバ１０７ａにアクセスできなくなってしまう。
通常の認証ＶＬＡＮであれば、ＶＬＡＮを決定する「状態」は、ユーザの所属などに相当し、ユーザや端末ごとに固定的に決まっており、所属ごとにＮＷリソースが固定的に割り当てられている。また、スイッチ１０２における各ＮＷリソースが接続される各ポートにも、予め設定されたＶＬＡＮが固定的に割り当てられている。しかし、図２のような利用形態を想定すると、ユーザの状態がユーザ端末１０８の種別と実行されるユーザアプリに応じて変化するため、ユーザ端末に割り当てられるＶＬＡＮもそれに応じて変わることになる。例えば、ユーザが使用する端末１０８の種別（ここでは先生端末１０８ａや生徒端末１０８ｂの別）や、ユーザが端末を利用する場所や、ユーザが端末１０８で利用するユーザアプリなどによっても、状態が変化し得る。すなわち、同一のユーザであっても、使用する場所やユーザアプリが異なれば、共有できるＮＷリソースも異なることになり、異なるＶＬＡＮにアクセスする必要が生じる。
従って、図３、図４で説明したような、認証ＶＬＡＮの一般的な拡張構成では、図２の利用形態を実現することができない。
図４において、教材サーバ１０７ａが属するＶＬＡＮとして、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０と仮想ネットワーク＝ＬＡＮ２０の各ＶＬＡＮを重複して割り当てることができれば、この課題は解決できる。しかし、複数の制御ポリシから共有されるＮＷリソース（ここでは教材サーバ１０７ａ）にＶＬＡＮを重複設定することは、一部の機器を除いて一般的でなく、既存の機器では改造が必要となってしまう。さらに、スイッチ１０２のポートには、仮想ＮＷ−ＩＤは一般に１つしか設定できない。
上述のような、共有するＮＷリソースが複数のＶＬＡＮにまたがる場合に、そのＮＷリソースが所属するＶＬＡＮとは異なるＶＬＡＮに属する端末１０８からそのＮＷリソースにアクセスすることを可能にする構成として、次のようなものが考えられる。この構成では、ＶＬＡＮごとに異なるサブネットアドレスが割り当てられ、上記アクセスを可能にするための、ＯＳＩ参照モデルのレイヤ３（Ｌ３）のネットワーク層の経路情報（転送設定）が、図１のルータ１０３のルーティングテーブルに適切に設定される。
図５は、ＮＷリソースが所属するＶＬＡＮとは異なるＶＬＡＮに属する端末１０８からそのＮＷリソースにアクセスすることを可能にする構成の説明図である。図５で、成績サーバ１０７ｂと先生端末１０８ａには仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が割り当てられ、成績サーバ１０７ｂと先生端末１０８ａの各ＩＰアドレスはそれぞれ１９２．１６８．１０．１０と１９２．１６８．１０．２０であるとする。これにより、先生端末１０８ａは、ＶＬＡＮ２０を使って、成績サーバ１０７ｂにアクセスできる。また、教材サーバ１０７ａと生徒端末１０８ｂには仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が割り当てられ、教材サーバ１０７ａと生徒端末１０８ｂの各ＩＰアドレスはそれぞれ１９２３．１６８．２０．１０と１９２．１６８．２０．２０であるとする。生徒端末１０８ｂは、ＶＬＡＮ１０を使って、教材サーバ１０７ａにアクセスできる。ここで、先生端末１０８ａが、自習アプリを起動した場合に、先生端末１０８ａが所属する仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮから仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮに所属する教材サーバ１０７ａにもアクセスしたいとする。
この場合、ルータ１０３のルーティングテーブルに、経路情報５０１が設定される。この経路情報５０１は、次のような意味を持つ。
まず、「宛先ＩＰアドレス」＝１９２．１６８．１０．１０、「ネットマスク」＝２５５．２５５．２５５．２５５は、ルータ１０３で受信された経路制御されるべきＩＰパケットの宛先アドレスを示している。
「ゲートウェイ」＝１９２．１６８．１０．１は、ルータ１０３で受信された上記宛先アドレスを有するＩＰパケットが次に転送されるべきルータのＩＰアドレスを示している。前述したように、ルータ１０３は、サブインタフェースごとにそれぞれＩＰアドレスが設定できる。この場合には、それぞれのサブインタフェースごとにルータが存在するという考え方になる。従って、ルータ１０３で受信された上記宛先アドレスを有するＩＰパケットが次に転送されるべきルータは、ＩＰアドレス＝１９２．１６８．１０．１を有する同じルータ１０３であるということになる。
「インタフェース」＝１９２．１６８．１０．１は、受信された上記宛先アドレスを有するＩＰパケットが宛先ネットワークに出力されるべきルータ１０３のサブインタフェースのＩＰアドレスを示している。
「メトリック」は、ルータ１０３で受信された上記ＩＰパケットが上記宛先アドレスに到達するまでに経由するルータの数を示している。「メトリック」に指定されている値が小さいほど、ルータ１０３から宛先アドレスまでの経路が近いことを示している。ルータ１０３のルーティングテーブルが、他のルータ１０３等から通知される経路情報によって自動的に更新される場合、ルータ１０３には、同じ宛先アドレスを有する複数の経路情報が登録される可能性がある。この場合、ルータ１０３は、受信したＩＰアドレスを、それに設定された宛先アドレスに対応する「宛先ＩＰアドレス」項目および「ネットマスク」項目を有する経路情報のうち、「メトリック」項目に設定された値が最も小さい経路情報を選択する。これにより、ルータ１０３において、効率的な経路制御が実現される。
以上の内容を有する経路情報５０１によって、次のような経路制御が実現される。まず、先生端末１０８ａから教材サーバ１０７ａを宛先とするＩＰパケットを含み仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のタグが設定されたフレームは、前述したようにして、図１のＷＬＡＮ−ＡＰ１０４からスイッチ１０２を経由してルータ１０３に転送される。ルータ１０３は、そのフレームを、ＩＰアドレス＝１９２．１６８．２０．１が設定され仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されたサブインタフェースで受信する。ルータ１０３は、そのフレームからＩＰパケットを取り出す。さらに、ルータ１０３は、そのＩＰパケットから、宛先ＩＰアドレス＝１９２．１６８．１０．１０と、送信元ＩＰアドレス＝１９２．１６８．２０．２０を取り出し、内部のルーティングテーブルの各経路情報と比較する。この結果、ルータ１０３は、経路情報５０１に従って、上記ＩＰパケットを、ＩＰアドレス＝１９６．１６８．１０．１が設定されたサブインタフェースに出力する。ルータ１０３は、このサブインタフェースに設定されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０がタグとして付加されたフレームに上記ＩＰパケットを格納する。そして、ルータ１０３は、そのフレームを、上記サブインタフェースが設定されている物理イーサネットインタフェースから、図１のスイッチ１０２のトランクポートに向けて送信する。スイッチ１０２は、受信したフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のタグを認識する。そして、スイッチ１０２は、受信したフレームを、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定され教材サーバ１０７ａが接続されているポートに中継する。このようにして、先生端末１０８ａは、ルータ１０３によるルーティング機能を用いて、教材サーバ１０７ａにアクセスすることが可能となる。
本実施形態は、予め決められた複数の制御ポリシから端末１０８の状態に対応する制御ポリシが特定される。そして、その特定された制御ポリシに基づいて決定される端末１０８からのアクセスを認可されえたＮＷリソース（例えばサーバ１０７）と端末１０８に対して、動的にＶＬＡＮ（仮想ネットワーク）を設定するためのネットワーク設定値が管理される。ただし、ＶＬＡＮの設定の結果、共有するＮＷリソースが複数のＶＬＡＮにまたがる場合には、端末１０８が所属するＶＬＡＮから宛先のＮＷリソースが所属するＶＬＡＮへのアクセスを可能にする経路情報が、ルータ１０３に可変的に割り当てられる。
図６は、本実施形態による図１のコントローラ１０１の構成例を示す図である。コントローラ１０１は、端末状態受信部６０１、ネットワークリソース管理部６０２（以下「ＮＷリソース管理部６０２」と記載）、ネットワーク設定管理部６０３（以下「ＮＷ設定管理部６０３」と記載）、ネットワーク機器設定要求送信部６０４（以下、「ＮＷ機器設定要求送信部６０４」と記載）、および記憶部６０５を備える。記憶部６０５は、制御ポリシテーブル６０６、ＮＷリソース管理テーブル６０７、ＮＷ設定管理テーブル６０８（ＮＷ設定管理テーブル（最新）６０８ａ、ＮＷ設定管理テーブル（前回）６０８ｂ）、仮想ＮＷ−ＩＤ管理テーブル６０９、およびサブネット管理テーブル６１０を備える。
端末状態受信部６０１は、特には図示しない物理イーサネットインタフェースを介して、図１の先生端末１０８ａや生徒端末１０８ｂ（以下両者を総称して「端末１０８」とも記載する）から、当該端末１０８の状態を受信する。ここで、端末１０８は、ユーザアプリ（成績評価アプリや自習アプリ等）にログオンした状態を暗号化したチケット情報として保持し、これ以後、端末１０８は、このチケット情報を付加してデータを送信する。この結果、端末１０８は、そのチケット情報により、アクセス先に端末１０８自身の状態を通知することができる。端末状態受信部６０１は、端末１０８から上記チケット情報を受信することにより、当該端末１０８の状態を把握する。
ＮＷリソース管理部６０２は、端末状態受信部６０１が受信した端末１０８の状態に従って、ＮＷ機器、例えばＮＷリソースおよび端末１０８のグルーピングを管理するグルーピング管理部として動作する。このとき、ＮＷリソース管理部６０２は、記憶部６０５に記憶された制御ポリシテーブル６０６に登録されている制御ポリシに基づいて、上記グループの管理を行う。このグループの管理の結果は、記憶部６０５内のネットワークリソース管理テーブル６０７（以下「ＮＷリソース管理テーブル６０７」と記載）に記憶される。ここで、「グループ」とは、同じ制御ポリシに従う相互に通信可能なＮＷ機器、例えば認可されたＮＷリソースと、端末１０８の集合をいう。グループの例については、図７（ｂ）のＮＷリソース管理テーブル６０７の構成例の説明において後述する。
ＮＷ設定管理部６０３」と記載は、上記グループごとに、ＶＬＡＮ（仮想ネットワーク）を割り当て、アクセス制御を行うためのネットワーク設定値を決定する。決定されたネットワーク設定値は、記憶部６０５内のネットワーク設定管理テーブル６０８（以下「ＮＷ設定管理テーブル６０８」と記載）に記憶される。なお、ＮＷ設定管理テーブル６０８として、ネットワーク設定値の最新更新時の内容を記憶するＮＷ設定管理テーブル（最新）６０８ａと、ネットワーク設定値の前回更新時の内容を記憶するＮＷ設定管理テーブル（前回）６０８ｂを備える。ＮＷ設定管理部６０３は、ＮＷ設定管理テーブル（最新）６０８ａをＮＷ設定管理テーブル（前回）６０８ｂにコピーした後に、新たに更新されたネットワーク設定値の内容をＮＷ設定管理テーブル（最新）６０８ａに上書きする。また、ＮＷ設定管理部６０３は、ネットワーク設定値の決定時に、記憶部６０５内の仮想ＮＷ−ＩＤ管理テーブル６０９とサブネット管理テーブル６１０を参照する。これらについては、後述する。
ＮＷ機器設定要求送信部６０４は、ＮＷ設定管理テーブル（前回）６０８ｂとＮＷ設定管理テーブル（最新）６０８ａの間のネットワーク設定値の内容の差分を検出する。そして、ＮＷ機器設定要求送信部６０４は、その差分に基づくネットワーク設定値を、図１のスイッチ１０２、ルータ１０３、ＷＬＡＮ−ＡＰ１０４等のネットワーク機器（以下「ＮＷ機器」と記載）に対し、上記差分のネットワーク設定値の設定要求を送信する。このように、ＮＷ機器設定要求送信部６０４は、ＮＷ設定管理テーブル６０８に設定されたネットワーク設定値をＮＷ機器に対して設定指示するネットワーク設定指示部として動作する。
以上の構成により、コントローラ１０１において、まず、端末状態受信部６０１が、例えば端末１０８の種別とそこで実行されるユーザアプリとで決まる端末１０８の状態を受信する。次に、ＮＷリソース管理部６０２が、端末１０８の上記状態の変化に対して、制御ポリシテーブル６０６から制御ポリシを特定する。さらに、ＮＷリソース管理部６０２は、その制御ポリシに基づいて決定される端末１０８からのアクセスが認可されるネットワークリソース（認可リソース）を抽出し、その認可リソースと端末１０８のグループをＮＷリソース管理テーブル６０７に登録する。続いて、ＮＷ設定管理部６０３が、ＮＷリソース管理テーブル６０７に登録されたグループに対して、その都度ＶＬＡＮを動的に生成し、その設定のためのネットワーク設定値を生成して、ＮＷ設定管理テーブル（最新）６０８ａに登録する。このとき、ＮＷ設定管理部６０３は、仮想ＮＷ−ＩＤ管理テーブル６０９とサブネット管理テーブル６１０を参照して、新たなＶＬＡＮのための仮想ＮＷ−ＩＤとサブネットアドレスを決定する。そして、ＮＷ機器設定要求送信部６０４が、ＮＷ設定管理部６０３上で新たに登録または更新されたネットワーク設定値を、各ＮＷ機器に対して送信し、設定させる。
このようにして、図６のコントローラ１０１の構成により、端末１０８の種別とそこで実行されるユーザアプリとで決まる端末１０８の状態変化に対して、制御ポリシに基づいて決定される認可リソースが抽出される。そして、その認可リソースと端末１０８のグループに対して、その都度ＶＬＡＮ（仮想ネットワーク）が動的に生成、設定される。これにより、端末１０８からサーバ１０７へのアクセス制限の動的で適切な変更が可能となって、セキュリティが確保される。
図７は、図６のコントローラ１０１内の記憶部６０５に記憶される制御ポリシテーブル６０６、ＮＷリソース管理テーブル６０７、およびＮＷ設定管理テーブル６０８の各データ構成例を示す図である。
まず、図７（ａ）は、制御ポリシテーブル６０６のデータ構成例を示す図である。制御ポリシテーブル６０６は、ネットワークを利用するクライアント（ユーザ）の「状態」とそれに対して認可するＮＷリソースとの組合せのエントリを登録したものである。
制御ポリシテーブル６０６において、「ＣＩＤ」項目には、コントローラ１０１により、そのエントリの制御ポリシを識別するための状態識別子（Ｃｏｎｄｉｔｉｏｎ Ｉｄｅｎｔｉｆｉｒｅ）ＣＩＤが登録される。
「状態」項目には、各端末１０８がどの種別のユーザ（例えば先生、生徒の別）がどのユーザアプリ（例えば成績評価アプリ、自習アプリの別）を利用するかが登録される。
「認可」項目には、そのエントリの制御ポリシによって認可されるＮＷリソース（サーバ）の名前（例えばホスト名）が登録される。「認可」項目には、１つ以上のＮＷリソースの名前を登録できる。
図７（ａ）の例では、ＣＩＤ＝１のエントリには、先生端末１０８ａが成績評価アプリを起動したときに、成績サーバ１０７ｂへのアクセスが認可されることが規定される。また、ＣＩＤ＝２のエントリには、先生端末１０８ａが自習アプリを起動したときに、成績サーバ１０７ｂと教材サーバ１０７ａへのアクセスが認可されることが規定される。さらに、ＣＩＤ＝３のエントリには、生徒端末１０８ｂが自習アプリを起動したときに、教材サーバ１０７ａへのアクセスが認可されることが規定される。
この制御ポリシテーブル６０６の内容は例えば、特には図示しない特定の管理者端末上で実行される制御ポリシ設定用のアプリケーションソフトウェアを介して、管理者によって設定される。
図７（ｂ）は、図６のコントローラ１０１内の記憶部６０５に記憶されるＮＷリソース管理テーブル６０７のデータ構成例を示す図である。いずれかの端末１０８から「状態」が通知されたときに、図６のＮＷリソース管理部６０２が、制御ポリシテーブル６０６に登録されている制御ポリシに基づいて、その「状態」を通知した端末を含むグループを新たに生成、更新、または削除する。ＮＷリソース管理部６０２は、その管理結果に基づいて、新たに生成されたグループに対応するエントリをＮＷリソース管理テーブル６０７に生成する。または、ＮＷリソース管理部６０２は、上記管理結果に基づいて、更新または削除されたグループに対応するＮＷリソース管理テーブル６０７上のエントリを更新または削除する。
ＮＷリソース管理テーブル６０７において、「ＧＩＤ」項目には、ＮＷリソース管理部６０２が生成したグループを識別するための識別データであるグループ識別子ＧＩＤが登録される。グループ識別子ＧＩＤは、ＮＷリソース管理部６０２によって生成され付与される。
「ＣＩＤ」項目には、このエントリに対応するグループを生成するために参照された制御ポリシテーブル６０６中の制御ポリシのエントリの「ＣＩＤ」項目に登録されている状態識別子ＣＩＤが登録される。この「ＣＩＤ」項目により、ＮＷリソース管理テーブル６０７のエントリと制御ポリシテーブル６０６のエントリが紐付けられる。
「接続端末」項目には、このエントリに対応するグループにおいて接続可能な端末１０８の具体的な識別情報が登録される。識別情報としては例えば、「状態」を通知してきた端末１０８のＭＡＣアドレスを採用できる。
「認可リソース」項目には、このエントリに対応するグループにおいて認可されるＮＷ機器であるＮＷリソース、例えばサーバ１０７の名前が登録される。この項目には、このエントリに対応するグループを生成するために参照された制御ポリシテーブル６０６中の制御ポリシのエントリの「認可」項目に登録されているＮＷリソースの名前が登録される。「認可リソース」項目には、制御ポリシテーブル６０６のエントリの「認可」項目に登録されている１つ以上のＮＷリソースの名前を登録できる。
図７（ｂ）のＮＷリソース管理テーブル６０７の例では、ＧＩＤ＝１のエントリには、制御ポリシテーブル６０６のＣＩＤ＝３の制御ポリシに従ったグループが登録されている。すなわち、状態識別子ＣＩＤ＝３で、そのグループで接続可能な端末１０８は生徒端末１０８ｂで、そのグループでアクセス可能なＮＷリソースは教材サーバ１０７ａであることが登録されている。このように、同じ制御ポリシに従う相互に通信可能な教材サーバ１０７ａというＮＷリソースと端末１０８の集合が、１つのグループを形成する。
図７（ｃ）は、図６のコントローラ１０１内の記憶部に記憶されるＮＷ設定管理テーブル６０８のデータ構成例を示す図である。ＮＷリソース管理部６０２が、グループを新たに生成、更新、または削除すると、図６のＮＷ設定管理部６０３が、ＮＷリソース管理テーブル６０７に設定されたグループの具体的なＶＬＡＮ（仮想ネットワーク）の情報とアクセス制御のためのネットワーク設定値を生成、更新、または削除する。ＮＷ設定管理部６０３は、その管理結果に基づいて、新たに生成されたＶＬＡＮの情報とネットワーク設定値に対応するエントリをＮＷ設定管理テーブル（最新）６０８ａに生成する。または、ＮＷ設定管理部６０３は、上記管理結果に基づいて、更新または削除されたＶＬＡＮの情報またはネットワーク設定値に対応するＮＷ設定管理テーブル（最新）６０８ａ上のエントリを更新または削除する。
なお前述したように、ＮＷ設定管理部６０３は、上記管理動作の前に、ＮＷ設定管理テーブル（最新）６０８ａをＮＷ設定管理テーブル（前回）６０８ｂにコピーする。その後に、ＮＷ設定管理部６０３は、ＮＷ設定管理テーブル（最新）６０８ａに対して、エントリの新規生成、更新、または削除を実行する。以下の説明では、「ＮＷ設定管理テーブル６０８」という記載を用いたときには、その記載による説明は、ＮＷ設定管理テーブル（最新）６０８ａとＮＷ設定管理テーブル（前回）６０８ｂを特に区別しない共通の説明であるとする。
ＮＷ設定管理テーブル６０８において、「ＧＩＤ」項目には、このエントリに対応するＮＷリソース管理テーブル６０７上のグループのエントリの「ＧＩＤ」項目に登録されているグループ識別子ＧＩＤが登録される。この「ＧＩＤ」項目により、ＮＷ設定管理テーブル６０８のエントリと、ＮＷリソース管理テーブル６０７のエントリが紐付けられる。
「仮想ＮＷ−ＩＤ」項目には、ＮＷ設定管理部６０３が割り当てるＶＬＡＮを識別するための識別データである仮想ＮＷ−ＩＤ（仮想ネットワーク識別子）が登録される。ＮＷ設定管理部６０３は、図６の記憶部６０５に記憶される後述する仮想ＮＷ−ＩＤ管理テーブル６０９から、未使用の仮想ＮＷ−ＩＤを選択して、その仮想ＮＷ−ＩＤを「仮想ＮＷ−ＩＤ」項目に登録する。
「接続端末」項目には、このエントリに対応するＮＷリソース管理テーブル６０７上のグループのエントリの「接続端末」項目に登録されている端末１０８の識別子、例えばＭＡＣアドレスがコピーされる。
「サブネットアドレス」項目には、「仮想ＮＷ−ＩＤ」項目に登録されたＶＬＡＮに対して、そのＶＬＡＮで使用されるサブネットアドレスが登録される。ＮＷ設定管理部６０３は、図６の記憶部６０５に記憶される後述するサブネット管理テーブル６１０から、未使用のサブネットアドレスを選択して、そのサブネットアドレスを「サブネットアドレス」項目に登録する。
「認可リソース」項目には、このエントリに対応するＮＷリソース管理テーブル６０７上のグループのエントリの「認可リソース」項目に登録されているＮＷリソースの名前に対応するＩＰアドレスが登録される。ＮＷ設定管理部６０３は、「サブネットアドレス」項目に登録したサブネットアドレス中の所定のサーバ用のＩＰアドレスの範囲から未使用のＩＰアドレスを選択して、「認可リソース」項目に登録する。この範囲は、後述するＤＨＣＰサーバ１０５が管理する上記サブネットアドレス中のＩＰアドレスの範囲とは重複しないように選択される。
「ＳＳＩＤ」項目には、ＮＷ設定管理テーブル６０８内の各エントリ間で一意なＳＳＩＤが決定されて登録される。このＳＳＩＤの値は、ＷＬＡＮ−ＡＰ１０４に転送されて設定されるとともに、通信時に状態を通知してきた端末１０８に対して、そのエントリの「仮想ＮＷ−ＩＤ」項目に設定された仮想ＮＷ−ＩＤとともに通知される。これにより、通信を開始する端末１０８は、コントローラ１０１によって決定されたＶＬＡＮの仮想ＮＷ−ＩＤをＳＳＩＤを使って、ＷＬＡＮ−ＡＰ１０４にアクセスする。
図８は、コントローラ１０１の記憶部６０５に登録される仮想ＮＷ−ＩＤ管理テーブル６０９およびサブネット管理テーブル６１０のデータ構成例を示す図である。
まず、図８（ａ）は、仮想ＮＷ−ＩＤ管理テーブル６０９のデータ構成例を示す図である。仮想ＮＷ−ＩＤ管理テーブル６０９は、「仮想ＮＷ−ＩＤ」項目に登録された仮想ＮＷ−ＩＤごとに、それが現在設定されているＶＬＡＮで「使用中」か「未使用中」かを「割当」項目に登録して管理する。
コントローラ１０１の起動時は、仮想ＮＷ−ＩＤ管理テーブル６０９には、予め定められたＶＬＡＮ数に対応するエントリが生成され、各エントリの「仮想ＮＷ−ＩＤ」項目には通し番号が登録される。また、全てのエントリの「割当」項目には「未使用中」を示す値が登録される。
前述したように、ＮＷ設定管理部６０３は、仮想ＮＷ−ＩＤ管理テーブル６０９から、「割当」項目に「未使用中」を示す値が設定されているエントリを選択する。そして、ＮＷ設定管理部６０３は、その選択したエントリの「仮想ＮＷ−ＩＤ」項目から仮想ＮＷ−ＩＤを取得し、その仮想ＮＷ−ＩＤを図７（ｃ）に例示されるＮＷ設定管理テーブル６０８の「仮想ＮＷ−ＩＤ」項目に登録する。ＮＷ設定管理部６０３は、仮想ＮＷ−ＩＤ管理テーブル６０９において、上記選択した仮想ＮＷ−ＩＤが「仮想ＮＷ−ＩＤ」項目に登録されているエントリの「割当」項目に、「使用中」を示す値を登録する。
図８（ｂ）は、コントローラ１０１のコントローラの記憶部に登録されるサブネット管理テーブル６１０のデータ構成例を示す図である。サブネット管理テーブル６１０は、「サブネットアドレス」項目に登録されたサブネットアドレスごとに、それが現在設定されているＶＬＡＮで「使用中」か「未使用中」かを「割当」項目に登録して管理する。
コントローラ１０１の起動時は、サブネット管理テーブル６１０には、予め定められたサブネットアドレス数に対応するエントリが生成され、各エントリの「サブネットアドレス」項目には連続するサブネットアドレスが登録される。また、全てのエントリの「割当」項目には「未使用中」を示す値が登録される。
前述したように、ＮＷ設定管理部６０３は、サブネット管理テーブル６１０から、「割当」項目に「未使用中」を示す値が登録されているエントリを選択する。そして、ＮＷ設定管理部６０３は、そのエントリの「サブネットアドレス」項目からサブネットアドレスを取得し、そのサブネットアドレスを図７（ｃ）に例示されるＮＷ設定管理テーブル６０８の「サブネットアドレス」項目に登録する。ＮＷ設定管理部６０３は、サブネット管理テーブル６１０において、上記選択したサブネットアドレスが「サブネットアドレス」項目に登録されているエントリの「割当」項目に、「使用中」を示す値を登録する。
以上のコントローラ１０１の構成に基づいて、本実施形態の動作について、以下に詳細に説明する。
図９は、本実施形態の動作例（その１）を説明する図である。
生徒ユーザが生徒端末１０８ｂで自習アプリを起動すると、生徒端末１０８ｂはコントローラ１０１に仮接続する（図９の９０１）。
仮接続では、生徒端末１０８ｂが、仮接続用に予め定められたＳＳＩＤを設定して、図１のＷＬＡＮ−ＡＰ１０４に無線接続する。このとき、生徒端末１０８ｂは、ＤＨＣＰプロトコルに従って、仮接続用に予め定められた仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００を付加して、ＷＬＡＮ−ＡＰ１０４およびスイッチ１０２を介して、図１のＤＨＣＰサーバ１０５に問い合わせを行う。この結果、生徒端末１０８ｂは、仮接続用のＩＰアドレスを取得する。
生徒端末１０８ｂは、図１のコントローラ１０１のＩＰアドレスが宛先ＩＰアドレスとして設定され仮接続用の生徒端末１０８ｂ自身のＩＰアドレスが送信元ＩＰアドレスとして設定されたＩＰパケットを生成する。
このとき、生徒端末１０８ｂは、上記ＩＰパケットに、端末の状態＝「生徒端末」＋「自習アプリ」に対応する状態情報を付加する。さらに、生徒端末１０８ｂは、上記ＩＰパケットに、自身の生徒端末ＩＤ（例えば生徒端末１０８ｂのＭＡＣアドレスでよい。）を付加する。
そして、生徒端末１０８ｂは、このＩＰパケットが格納された上記無線ＬＡＮフレームを生成する。このとき、生徒端末１０８ｂは、この無線ＬＡＮフレームに、コントローラ１０１との仮接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０をタグとして付加する。
その後、生徒端末１０８ｂは、この無線ＬＡＮフレームを、コントローラ１０１宛てに送信する。
ＷＬＡＮ−ＡＰ１０４は、その内部に、仮接続用のＳＳＩＤ＝ＳＳＩＤ１００に対して仮接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が対応付けられて登録されたＳＳＩＤテーブル（後述する図３３の３３０１参照）を保持している。ＷＬＡＮ−ＡＰ１０４は、このＳＳＩＤテーブルを山椒アスうることにより、生徒端末１０８ｂから受信したＳＳＩＤが上記ＳＳＩＤ１００に一致し、また、無線ＬＡＮフレームにＳＳＩＤ１００とペアの仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されていることを確認する。この確認がＯＫならば、ＷＬＡＮ−ＡＰ１０４は、端末１０８から受信した無線ＬＡＮのフレームに格納されて送られてきたＩＰパケットをイーサネットフレームに乗せ替えて、そのイーサネットフレームをスイッチ１０２に転送する。このイーサネットフレームには、無線ＬＡＮフレームに付加されていた仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００がタグとして付加される。
スイッチ１０２は、ＷＬＡＮ−ＡＰ１０４が接続されるトランクポートから受信したイーサネットフレームに付加されている仮想ＮＷ−ＩＤがＶＬＡＮ１００であることを確認する。この結果、スイッチ１０２は、そのイーサネットフレームを、コントローラ１０１が接続され仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が設定されているポートに中継する。このようにして、上記イーサネットフレームが、コントローラ１０１に着信する。
コントローラ１０１では、端末状態受信部６０１（図６）が、端末１０８を送信元として送られてきたイーサネットフレームを受信すると、そのフレーム内のＩＰパケットから、端末の状態＝「生徒端末」＋「自習アプリ」と、生徒端末ＩＤ＝「生徒端末１０８ｂのＭＡＣアドレス」を抽出し、ＮＷリソース管理部６０２（図６）に引き渡す。
ＮＷリソース管理部６０２は、端末状態受信部６０１から引き渡された端末の状態および生徒端末ＩＤと、制御ポリシテーブル６０６の内容とに基づいて、以下のようにしてＮＷリソース管理テーブル６０７に新規エントリを作成する（図９の９０２）。すなわち、ＮＷリソース管理部６０２は、端末状態受信部６０１からの端末の状態＝「生徒端末」＋「自習アプリ」をキーとして、例えば図９に例示される制御ポリシテーブル６０６（図６参照）を検索することにより、ＣＩＤ＝３の制御ポリシのエントリを検出する。ＮＷリソース管理部６０２は、まず、ＧＩＤの値として未使用の値＝１を決定する。その後、ＮＷリソース管理部６０２は、上記制御ポリシのエントリ内容に基づき、「ＧＩＤ」項目の値＝１、「ＣＩＤ」項目の値＝３、「接続端末」項目の値＝「生徒端末ＩＤ」、「認可リソース」項目の値＝「教材サーバ」を決定する。そして、ＮＷリソース管理部６０２は、これらの値がそれぞれ登録された新規エントリを生成し、ＮＷリソース管理テーブル６０７に、図９に示されるように設定する。
続いて、コントローラ１０１内のＮＷ設定管理部６０３（図６参照）は、図９に示されるＮＷリソース管理テーブル６０７のＧＩＤ＝１のエントリに基づいて、以下のようにして、ＮＷ設定管理テーブル６０８への新規エントリの登録を行う（図９の９０３）。まず、ＮＷ設定管理部６０３は、ＮＷ設定管理テーブル６０８に、図９に示されるように、「ＧＩＤ」項目＝１のエントリを生成する。次に、ＮＷ設定管理部６０３は、仮想ＮＷ−ＩＤ管理テーブル６０９（図６、図８（ａ）参照）から未使用の仮想ＮＷ−ＩＤを選択し、それを、上記ＮＷ設定管理テーブル６０８の新規エントリの「仮想ＮＷ−ＩＤ」項目に登録する。次に、ＮＷ設定管理部６０３は、上記エントリの「接続端末」項目に、図９のＮＷリソース管理テーブル６０７のＧＩＤ＝１のエントリの「接続端末」項目の値＝「生徒端末ＩＤ」をコピーする。次に、ＮＷ設定管理部６０３は、サブネット管理テーブル６１０（図６、図８（ｂ）参照）から未使用のサブネットアドレス＝１９２．１６８．１０．０／２４を選択し、それを、上記ＮＷ設定管理テーブル６０８の新規エントリの「サブネットアドレス」項目に登録する。さらに、ＮＷ設定管理部６０３は、教材サーバ１０７ａの本接続時のＩＰアドレスとして、「サブネットアドレス」項目に登録したサブネットアドレス中の所定のサーバ用のＩＰアドレスの範囲から未使用のＩＰアドレス＝１９２．１６８．１０．１０を選択する。ＮＷ設定管理部６０３は、そのＩＰアドレスを、「認可リソース」項目に登録する。この「認可リソース」項目に登録されたＩＰアドレス＝１９２．１６８．１０．１０は、ＮＷリソース管理テーブル６０７上のＧＩＤ＝１のグループのエントリの「認可リソース」項目に登録されている教材サーバ１０７ａに対応するＩＰアドレスとなる。加えて、ＮＷ設定管理部６０３は、新たなＳＳＩＤの値＝ＳＳＩＤ１０を決定し、「ＳＳＩＤ」項目に登録する。
ここまでの設定処理の後、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、スイッチ１０２に対して、ポート番号と仮想ＮＷ−ＩＤの組からなる設定情報を送信する（図９の９０４）。設定情報のポート番号としては、図９のＮＷリソース管理テーブル６０７の「ＧＩＤ」項目＝１のエントリの「認可リソース」項目＝「教材サーバ」に対応する教材サーバ１０７ａが接続されているポートのポート番号、例えば１が設定される。なお、コントローラ１０１は、教材サーバ１０７ａや成績サーバ１０７ｂがスイッチ１０２に接続されている各ポートのポート番号は、予め認識しているものとする。設定情報の仮想ＮＷ−ＩＤとしては、図９のＮＷ設定管理テーブル６０８の「ＧＩＤ」項目＝１のエントリの「仮想ＮＷ−ＩＤ」項目の値＝ＶＬＡＮ１０が設定される。この設定情報は、宛先ＩＰアドレスとしてスイッチ１０２内の設定インタフェース（後述する図２４の２４０３）のＩＰアドレスが指定されたＩＰパケットに格納される。そのＩＰパケットは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されたイーサネットフレームに格納されて、送信される。スイッチ１０２は、受信したイーサネットフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が設定されていることを確認する。また、スイッチ１０２は、そのイーサネットフレームから取り出したＩＰパケットに付与されている宛先ＩＰアドレスが、スイッチ１０２自身の設定インタフェースのＩＰアドレスと一致することを確認する。さらに、スイッチ１０２は、上記ＩＰパケットに付与されている送信元ＩＰアドレスが、コントローラ１０１に予め付与されているＩＰアドレスと一致することを確認する。これらの確認がＯＫならば、スイッチ１０２は、上記ＩＰパケットから設定情報を取り出す。スイッチ１０２は、内部に保持するＶＬＡＮテーブル（後述する図２４、図２５（ｂ）の２４０７参照）に、上記設定情報に含まれるポート番号＝１と仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０の組のエントリを登録する。このようにして、教材サーバ１０７ａが接続されるスイッチ１０２のポート番号１のポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定され、教材サーバ１０７ａが仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮに所属することになる。
なお、教材サーバ１０７ａや成績サーバ１０７ｂは、それらにまだＶＬＡＮが割り当てられていない未使用状態のときには、それらが接続されるスイッチ１０２のポートには例えば、未使用を示す仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０００が割り当てられているものとする（図９の９１１）。図９の例は、教材サーバ１０７ａにＶＬＡＮ１０が割り当てられ、成績サーバ１０７ｂはＶＬＡＮ１０００の未使用状態であることを示している。
次に、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、図１のＷＬＡＮ−ＡＰ１０４に対して、ＳＳＩＤと仮想ＮＷ−ＩＤの組からなる設定情報を送信する（図９の９０５）。設定情報のＳＳＩＤとしては、図９のＮＷリソース管理テーブル６０７の「ＧＩＤ」項目＝１のエントリの「ＳＳＩＤ」項目の値＝ＳＳＩＤ１０が設定される。設定情報の仮想ＮＷ−ＩＤとしては、上記エントリの「仮想ＮＷ−ＩＤ」項目の値＝ＶＬＡＮ１０が設定される。この設定情報は、宛先ＩＰアドレスとして、ＷＬＡＮ−ＡＰ１０４に予め割り当てられているＩＰアドレスが指定されたＩＰパケットに格納される。そのＩＰパケットは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されたイーサネットフレームに格納されて、送信される。スイッチ１０２は、コントローラ１０１から受信した上記イーサネットフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が、スイッチ１０２内のどのポートにも割り当てられていないことを確認すると、そのイーサネットフレームをトランクポートに中継する。この結果、上記イーサネットフレームは、スイッチ１０２のトランクポートに接続されるＷＬＡＮ−ＡＰ１０４に到達する。ＷＬＡＮ−ＡＰ１０４は、スイッチ１０２から受信したイーサネットフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されていることを確認する。また、ＷＬＡＮ−ＡＰ１０４は、そのイーサネットフレームから取り出したＩＰパケットに付与されている宛先ＩＰアドレスが、ＷＬＡＮ−ＡＰ１０４自身に予め付与されているＩＰアドレスと一致することを確認する。さらに、ＷＬＡＮ−ＡＰ１０４は、上記ＩＰパケットに付与されている送信元ＩＰアドレスが、コントローラ１０１に予め付与されているＩＰアドレスであることを確認する。これらの確認がＯＫならば、ＷＬＡＮ−ＡＰ１０４は、上記ＩＰパケットから設定情報を取り出す。ＷＬＡＮ−ＡＰ１０４は、内部に保持するＳＳＩＤテーブル（後述する図３３の３３０１参照）に、上記設定情報に含まれるＳＳＩＤ＝ＳＳＩＤ１０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０の組のエントリを登録する。このようにして、ＷＬＡＮ−ＡＰ１０４に、コントローラ１０１で新たに設定された仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮ用に専用に使用されるＳＳＩＤ＝ＳＳＩＤ１０を設定することができる。
次に、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、端末の状態を通知してきた生徒端末１０８ｂに対して、ＳＳＩＤと仮想ＮＷ−ＩＤの組からなる設定情報を送信する（図９の９０６）。設定情報のＳＳＩＤとしては、図９のＮＷリソース管理テーブル６０７の「ＧＩＤ」項目＝１のエントリの「ＳＳＩＤ」項目の値＝ＳＳＩＤ１０が設定される。設定情報の仮想ＮＷ−ＩＤとしては、上記エントリの「仮想ＮＷ−ＩＤ」項目の値＝ＶＬＡＮ１０が設定される。この設定情報は、宛先ＩＰアドレスとして、端末状態受信部６０１（図６）が生徒端末１０８ｂから受信した状態設定用のＩＰパケットに指定されていた送信元ＩＰアドレスが指定されたＩＰパケットに格納される。そのＩＰパケットは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されたイーサネットフレームに格納されて、送信される。スイッチ１０２は、コントローラ１０１から受信した上記イーサネットフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が、スイッチ１０２内のどのポートにも割り当てられていないことを確認すると、そのイーサネットフレームをトランクポートに中継する。この結果、上記イーサネットフレームは、スイッチ１０２のトランクポートに接続されるＷＬＡＮ−ＡＰ１０４に到達する。ＷＬＡＮ−ＡＰ１０４は、スイッチ１０２から受信したイーサネットフレーム内のＩＰパケットを無線ＬＡＮフレームに乗せ替えて無線送信する。この無線ＬＡＮフレームには、イーサネットフレームに付加されていた仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加される。この無線ＬＡＮフレームは、ＷＬＡＮ−ＡＰ１０４からの無線送信により、生徒端末１０８ｂに到達する。
さらに、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、ＤＨＣＰサーバ１０５に対して、仮想ＮＷ−ＩＤとサブネットアドレスの組からなる設定情報を送信する（図９の９０７）。設定情報の仮想ＮＷ−ＩＤとしては、図９のＮＷ設定管理テーブル６０８の「ＧＩＤ」項目＝１のエントリの「仮想ＮＷ−ＩＤ」項目の値＝ＶＬＡＮ１０が設定される。設定情報のサブネットアドレスとしては、上記エントリの「サブネットアドレス」項目の値＝１９２．１６８．１０．０／２４が設定される。設定情報は、宛先ＩＰアドレスとしてＤＨＣＰサーバ１０５の設定インタフェース（後述する図２８の２８０４参照）のＩＰアドレスが指定されたＩＰパケットに格納される。そのＩＰパケットは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されたイーサネットフレームに格納されて、送信される。スイッチ１０２は、コントローラ１０１から受信した上記イーサネットフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が、スイッチ１０２内のどのポートにも割り当てられていないことを確認すると、そのイーサネットフレームをトランクポートに中継する。この結果、上記イーサネットフレームは、スイッチ１０２のトランクポートに接続されるＤＨＣＰサーバ１０５に到達する。ＤＨＣＰサーバ１０５は、スイッチ１０２から受信したイーサネットフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されていることを確認する。また、ＤＨＣＰサーバ１０５は、そのイーサネットフレームから取り出したＩＰパケットに付与されている宛先ＩＰアドレスが、ＤＨＣＰサーバ１０５自身に予め付与されているＩＰアドレスと一致することを確認する。さらに、ＤＨＣＰサーバ１０５は、上記ＩＰパケットに付与されている送信元ＩＰアドレスが、コントローラ１０１に予め付与されているＩＰアドレスであることを確認する。これらの確認がＯＫならば、ＤＨＣＰサーバ１０５は、上記ＩＰパケットから設定情報を取り出す。ＤＨＣＰサーバ１０５は、内部に保持する設定テーブル（後述する図２８、図２９の２８０７参照）に、上記設定情報に含まれる仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とサブネットアドレス＝１９２．１６８．１０．０／２４の組のエントリを登録する。この結果、ＤＨＣＰサーバ１０５は、コントローラ１０１にて新たに設定された仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮについて、そのＶＬＡＮに対応するサブネットアドレスに属するＩＰアドレスの払い出しを行うことができるようになる。なお、このＩＰアドレスの範囲は、コントローラ１０１の図６に示されるＮＷ設定管理部６０３がＮＷ設定管理テーブル６０８の「認可リソース」項目に設定するサーバ１０７のＩＰアドレスの範囲とは重複しないように設定される。
以上のようにして、コントローラ１０１は、生徒端末１０８ｂが通知してきた端末の状態＝「生徒端末」＋「自習アプリ」と、制御ポリシテーブル６０６上のＣＩＤ＝３の制御ポリシとに基づいて、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮを設定する。このＶＬＡＮには、生徒端末１０８ｂから教材サーバ１０７ａに対してのみアクセス可能というアクセス制限が設定されている。
コントローラ１０１による以上の制御動作の後、コントローラ１０１内のＮＷ機器設定要求送信部６０４は、教材サーバ１０７ａに対して、新たなＩＰアドレスを指定する設定情報を送信する（図９の９０８）。この設定情報には、ＮＷ設定管理テーブル６０８のＧＩＤ＝１の「認可リソース」項目に登録されたＩＰアドレス＝１９２．１６８．１０．１０が格納される。この結果、教材サーバ１０７ａのＩＰアドレスが、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に対応するサブネットアドレス１９２．１６８．１０．０／２４に所属するＩＰアドレス＝１９２．１６８．１０．１０に設定される。
なお、教材サーバ１０７ａへのＩＰアドレスの設定は、コントローラ１０１からではなく、教材サーバ１０７ａがＤＨＣＰサーバ１０５に問い合わせて行うようにしてもよい。この場合、教材サーバ１０７ａは、いままで設定されていたＩＰアドレスによる接続を切断した後、ＤＨＣＰプロトコルに従って、図１のＤＨＣＰサーバ１０５に、ＩＰアドレスの再取得を要求する。教材サーバ１０７ａは、ＤＨＣＰプロトコルに従って、ＤＨＣＰサーバ１０５が払い出したＩＰアドレス＝１９２．１６８．１０．１０を受信する。ここで、教材サーバ１０７ａがＤＨＣＰサーバ１０５に問い合わせてＩＰアドレスを決定するまで、コントローラ１０１はＮＷリソース管理テーブル６０７内の「認可リソース」項目の値を決定することができない。この場合には、教材サーバ１０７ａがＩＰアドレスを取得した後に、図１のＤＮＳサーバ１０６に、教材サーバ１０７ａの名前とＩＰアドレスの組を通知する。この結果、ＤＮＳサーバ１０６は、その組を受信し、内部の設定テーブル（後述する図３０、図３１の３００７参照）に登録する。その後に、コントローラ１０１のＮＷ設定管理部６０３（図６）がＤＮＳサーバ１０６に、ＮＷリソース管理テーブル６０７の「認可リソース」項目に登録されている教材サーバ１０７ａのサーバ名で問合せを行う。この結果、ＮＷ設定管理部６０３は、ＤＮＳサーバ１０６から教材サーバ１０７ａのＩＰアドレスを取得し、それをＮＷ設定管理テーブル６０８の「認可リソース」項目に登録する。
次に、生徒端末１０８ｂは、コントローラ１０１からＶＬＡＮの設定情報が格納された自分宛ての無線ＬＡＮフレームを受信する（図９の９０６）。生徒端末１０８ｂは、その無線ＬＡＮフレームに仮接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されていることを確認する。また、生徒端末１０８ｂは、その無線ＬＡＮフレームから取り出したＩＰパケットに付与されている宛先ＩＰアドレスが、生徒端末１０８ｂ自身の仮接続用のＩＰアドレスと一致することを確認する。さらに、生徒端末１０８ｂは、上記ＩＰパケットに付与されている送信元ＩＰアドレスが、コントローラ１０１に予め付与されているＩＰアドレスと一致することを確認する。これらの確認がＯＫならば、生徒端末１０８ｂは、上記ＩＰパケットから設定情報を取り出し、その設定情報から本接続用のＳＳＩＤと本接続用の仮想ＮＷ−ＩＤを取得する。その後、生徒端末１０８ｂは、コントローラ１０１との仮接続を切断する。なお、コントローラ１０１の側から仮接続を切断してもよい。
これ以後、生徒端末１０８ｂは、本接続の状態に移行する。まず、生徒端末１０８ｂは、コントローラ１０１から受信した本接続用のＳＳＩＤ＝ＳＳＩＤ１０を用いて、図１のＷＬＡＮ−ＡＰ１０４に無線接続する。
次に、生徒端末１０８ｂは、ＤＨＣＰプロトコルに従って、コントローラ１０１から取得した本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を付加して、図１のＤＨＣＰサーバ１０５に向けて、ＩＰアドレスの再取得を要求する。前述した図９の９０５の制御により、ＷＬＡＮ−ＡＰ１０４には、本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とＳＳＩＤ＝ＳＳＩＤ１０の組が登録されている。ＷＬＡＮ−ＡＰ１０４は、生徒端末１０８ｂから受信したＳＳＩＤが上記ＳＳＩＤ１０に一致し、また、無線ＬＡＮフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が付加されていることを確認する。この確認がＯＫならば、ＷＬＡＮ−ＡＰ１０４は、端末１０８から受信したＤＨＣＰ用のブロードキャストの無線ＬＡＮのフレームをブロードキャストのイーサネットフレームに変換し、そのイーサネットフレームをスイッチ１０２に転送する。このイーサネットフレームには、無線ＬＡＮフレームに付加されていた仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０がタグとして付加される。スイッチ１０２は、ＷＬＡＮ−ＡＰ１０４が接続されるトランクポートから受信したイーサネットフレームに付加されている仮想ＮＷ−ＩＤがＶＬＡＮ１０であることを確認する。この結果、スイッチ１０２は、そのイーサネットフレームを、ＶＬＡＮ１０が設定されているポートとＶＬＡＮに依存しないトランクポートに中継する。この結果、そのイーサネットフレームが、トランクポートに接続されているＤＨＣＰサーバ１０５に到達する。ＤＨＣＰサーバ１０５は、受信したイーサネットフレームから、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０と、要求メッセージを取り出す。ここで、前述したコントローラ１０１による図９の９０７の制御により、ＤＨＣＰサーバ１０５は、内部の設定テーブルに、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮに対してＩＰアドレスの払出し範囲が設定されたエントリを記憶している。ＤＨＣＰサーバ１０５は、受信した要求メッセージに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に対応するエントリ中の払出し範囲から、未使用のＩＰアドレス＝１９２．１６８．１０．２０を選択する。そして、ＤＨＣＰサーバ１０５は、その選択したＩＰアドレスを、生徒端末１０８ｂに通知する。生徒端末１０８ｂは、ＤＨＣＰプロトコルに従って、ＤＨＣＰサーバ１０５が払い出したＩＰアドレスを受信する。以後、接続制御部３２０２は、このＩＰアドレス＝１９２．１６８．１０．２０を、本接続用のＩＰアドレスとして使用する（図９の９０９）。
その後、生徒端末１０８ｂは、自身で実行が開始されているユーザアプリ３２０５（図３２参照）である自習アプリとの連携動作を開始する。
自習アプリとの連携動作の中で、生徒端末１０８ｂは、教材サーバ１０７ａへの送信用のデータを受け取ると、以下の接続制御動作を実行する。
まず、生徒端末１０８ｂは、教材サーバ１０７ａの名前として例えば「kｙｏｚａｉ．ｓｅｒｖｅｒ．ｃｏｍ」をキーとして、図１のＤＮＳサーバ１０６に教材サーバ１０７ａのＩＰアドレスを問い合わせる。問合せメッセージが格納された無線ＬＡＮフレームには本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が付加される。この無線ＬＡＮフレームは、生徒端末１０８ｂからＷＬＡＮ−ＡＰ１０４で受信される。ＷＬＡＮ−ＡＰ１０４は、本接続のＳＳＩＤを確認後、上記無線ＬＡＮのフレームをブロードキャストのイーサネットフレームに変換し、そのイーサネットフレームをスイッチ１０２に転送する。このイーサネットフレームには、無線ＬＡＮフレームに付加されていた仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０がタグとして付加される。スイッチ１０２は、ＷＬＡＮ−ＡＰ１０４から受信したイーサネットフレームに付加されている仮想ＮＷ−ＩＤがＶＬＡＮ１０であることを確認すると、そのイーサネットフレームを、ＶＬＡＮ１０が設定されているポートとＶＬＡＮに依存しないトランクポートに中継する。この結果、そのイーサネットフレームが、トランクポートに接続されているＤＮＳサーバ１０６に到達する。ＤＮＳサーバ１０６は、受信したイーサネットフレームから、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０と、問合せメッセージを取り出す。ＤＮＳサーバ１０６は、内部に保持している設定テーブル（後述する図３０、図３１の３００７参照）から、受信した問合せメッセージに付加されている教材サーバ１０７ａのサーバ名＝「ｋｙｏｚａｉ．ｓｅｒｖｅｒ．ｃｏｍ」が登録されているエントリを検索する。ＤＮＳサーバ１０６は、検索されたエントリから、ＩＰアドレス＝１９２．１６８．１０．１０を取得し、そのＩＰアドレスを生徒端末１０８ｂに通知する。生徒端末１０８ｂは、このＩＰアドレスをキャッシュし、次回以降自習アプリから送信用のデータを受け取ったときは、教材サーバ１０７ａの名前の指定に対してこのＩＰアドレスを用いる。
次に、生徒端末１０８ｂは、ＤＮＳサーバ１０６から取得したＩＰアドレスが宛先ＩＰアドレスとして設定され、ＤＨＣＰサーバ１０５から取得した本接続用の自身のＩＰアドレスが送信元ＩＰアドレスとして設定されたＩＰパケットを生成する。すなわち、宛先ＩＰアドレスは、教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．１０．１０である。また、送信元ＩＰアドレスは、生徒端末１０８ｂ自身のＩＰアドレス＝１９２．１６８．１０．２０である。
生徒端末１０８ｂは、このＩＰパケットのデータ部に、教材サーバ１０７ａへの送信用のデータを格納する。
生徒端末１０８ｂは、上記ＩＰパケットが格納された無線ＬＡＮフレームを生成する。
生徒端末１０８ｂは、この無線ＬＡＮフレームに、コントローラ１０１から取得している本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０をタグとして付加し、教材サーバ１０７ａ宛てに送信する。
ＷＬＡＮ−ＡＰ１０４のＳＳＩＤテーブルには、前述した図９の９０５の制御動作により、本接続用のＳＳＩＤ＝ＳＳＩＤ１０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０の組のエントリが予め記憶されている。ＷＬＡＮ−ＡＰ１０４は、生徒端末１０８ｂから受信したＳＳＩＤが上記ＳＳＩＤ１０に一致し、また、無線ＬＡＮフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が付加されていることを確認する。この確認がＯＫならば、ＷＬＡＮ−ＡＰ１０４は、生徒端末１０８ｂから受信した無線ＬＡＮのフレームに格納されて送られてきたＩＰパケットをイーサネットフレームに乗せ替えて、そのイーサネットフレームをスイッチ１０２に転送する。このイーサネットフレームには、無線ＬＡＮフレームに付加されていた仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０がタグとして付加される。
スイッチ１０２は、ＷＬＡＮ−ＡＰ１０４が接続されるトランクポートから受信したイーサネットフレームに付加されている仮想ＮＷ−ＩＤがＶＬＡＮ１０であることを確認する。この結果、スイッチ１０２は、そのイーサネットフレームを、同じ仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定されているポートに中継する。前述した図９の９０４の制御動作により、スイッチ１０２のＶＬＡＮテーブル（後述する図２４、図２５（ｂ）の２４０７参照）には、ポート番号＝１のポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定されている。これにより、スイッチ１０２は、上記イーサネットフレームを、教材サーバ１０７ａが接続されているポート番号＝１のポートに中継する。この結果、上記イーサネットフレームが、教材サーバ１０７ａに着信する。
教材サーバ１０７ａは、このイーサネットフレームからＩＰパケットを取り出し、このＩＰパケットから宛先ＩＰアドレス＝１９２．１６８．１０．１０と送信元ＩＰアドレス＝１９２．１６８．１０．２０を取り出す。教材サーバ１０７ａは、宛先ＩＰアドレスが自身のＩＰアドレスに一致することを確認して、そのＩＰパケットからデータを取り出して処理する。
その後、教材サーバ１０７ａは、上記ＩＰパケットから取り出したデータを処理した結果のデータをＩＰパケットに格納して、上記ＩＰパケットから取り出した生徒端末１０８ｂの送信元ＩＰアドレス＝１９２．１６８．１０．２０に向けて返信する。すなわち、上記ＩＰパケットの宛先ＩＰアドレスには、上記ＩＰパケットから取り出した生徒端末１０８ｂの送信元ＩＰアドレス＝１９２．１６８．１０．２０が格納される。また、上記ＩＰパケットの送信元ＩＰアドレスには、教材サーバ１０７ａ自身のＩＰアドレス＝１９２．１６８．１０．１０が格納される。教材サーバ１０７ａは、このＩＰパケットが格納されたイーサネットフレームを生成し、スイッチ１０２に向けて送信する。このスイッチ１０２は、ポート番号＝１のポートでこのイーサネットフレームを受信すると、そのイーサネットフレームに、ポート番号１に割り付けられている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を付加する。スイッチ１０２は、そのイーサネットフレームを、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定されている他のポートとトランクポートに中継する。この結果、上記イーサネットフレームは、トランクポートに接続されているＷＬＡＮ−ＡＰ１０４に転送される。ＷＬＡＮ−ＡＰ１０４は、受信したイーサネットフレームを無線ＬＡＮフレームに変換して、無線送信する。生徒端末１０８ｂは、ＷＬＡＮ−ＡＰ１０４から無線ＬＡＮフレームを受信すると、その無線ＬＡＮフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が付加されていることを確認する。確認ＯＫならば、生徒端末１０８ｂは、受信した無線ＬＡＮフレームからＩＰパケットを取り出し、このＩＰパケットから、宛先ＩＰアドレス＝１９２．１６８．１０．２０と送信元ＩＰアドレス＝１９２．１６８．１０．１０を取り出す。生徒端末１０８ｂは、宛先ＩＰアドレスが生徒端末１０８ｂ自身のＩＰアドレスと一致することを確認後、受信したＩＰパケットから教材サーバ１０７ａが返信したデータを取り出し、自習アプリに引き渡す。
以上の制御動作により、生徒端末１０８ｂと教材サーバ１０７ａは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を使って通信ができるようになるが、ＶＬＡＮ１０は、他の成績サーバ１０７ｂ（ＶＬＡＮ１０００）からは分離されているため、セキュリティが確保される。
以上のようにして、図９の動作例では、端末１０８の種別とそこで実行されるユーザアプリとで決まる端末の状態に対して、制御ポリシに基づいて決定される認可リソースが抽出される。そして、その認可リソースと端末１０８の組に対して、その都度ＶＬＡＮ（仮想ネットワーク）が動的に生成、設定される。これにより、、端末１０８からサーバ１０７へのアクセス制限の動的で適切な変更が可能となって、セキュリティが確保される。
図９の動作例（その１）を基本として、さらに動作例を挙げて、ＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の作成動作について説明する。
まず、動作例（その２）として、生徒端末１０８ｂの接続はなく、最初の状態は、「先生端末１０８ａ」が「成績評価アプリ」を起動した状態であるとする。このとき、図９の場合に準じた動作により、ＮＷリソース管理テーブル６０７（図６参照）の内容は、図１０（ａ）の例となり、ＮＷ設定管理テーブル６０８の内容は、図１０（ｂ）の例となる。すなわち、先生端末１０８ａで成績評価アプリが起動した状態に応じて、図９の制御ポリシテーブル６０６内のＣＩＤ＝１のエントリが参照される。このエントリの内容より、先生端末１０８ａは、成績サーバ１０７ｂにアクセス可能なことがわかる。この結果、図１０（ａ）に示される、先生端末１０８ａと成績サーバ１０７ｂとからなるＧＩＤ＝１のグループのエントリが、ＮＷリソース管理テーブル６０７に生成される。さらに、ＮＷ設定管理テーブル６０８に、図１０（ｂ）に示されるＧＩＤ＝１のエントリが生成される。そして、上記グループに対応して、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０、サブネットアドレス＝１９２．１６８．１０．０／２４、ＳＳＩＤ１０の各ネットワーク設定値を有するＶＬＡＮが割り当てられる。また、認可リソースとして、ＩＰアドレス＝１９２．１６８．１０．１０を有する成績サーバ１０７ｂが登録される。なお、ＮＷ設定管理テーブル６０８の「転送設定」項目については、後述する。これとともに、図１のスイッチ１０２の成績サーバ１０７ｂが接続されるポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定される。また、ＷＬＡＮ−ＡＰ１０４に、ＳＳＩＤ１０が登録される。さらに、先生端末１０８ａに、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とＳＳＩＤ１０が通知される。この結果、先生端末１０８ａと成績サーバ１０７ｂが、ＳＳＩＤ１０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を使って通信可能となり、教材サーバ１０７ａ等へのアクセスは制限されて、セキュリティが確保される。
図１０から理解されるように、図９の状態では、生徒端末１０８ｂが自習アプリを起動している状態に対して、生徒端末１０８ｂと教材サーバ１０７ａのグループに対して仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮが割り当てられていた。一方、図１０で、先生端末１０８ａが成績評価アプリを起動しており生徒端末１０８ｂは起動していない状態では、先生端末１０８ａと成績サーバ１０７ｂのグループに対して仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮが割り当てられる。このように、本実施形態では、端末１０８の状態に応じて、ＶＬＡＮが動的に変更されながら割り当てられる。
次に、動作例（その３）として、図１０の状態から、先生端末１０８ａが成績評価アプリを自習アプリに切り替えて採点を行う状態に変化した場合を想定する。このとき、図９の場合に準じた動作により、ＮＷリソース管理テーブル６０７（図６参照）の内容は、図１１（ａ）の例となり、ＮＷ設定管理テーブル６０８の内容は、図１１（ｂ）の例となる。この場合には、ＮＷリソース管理テーブル６０７およびＮＷ設定管理テーブル６０８において、いままでＧＩＤ＝１に唯一登録されていた先生端末１０８ａの状態が変わったので、両テーブルの既存のＧＩＤ＝１のエントリはいったん削除される。そして、新たに該当する端末の状態のグループがＧＩＤ＝１として登録される。すなわち、先生端末１０８ａで自習アプリが起動した状態に応じて、図９の制御ポリシテーブル６０６内のＣＩＤ＝２のエントリが参照される。このエントリの内容より、先生端末１０８ａは、教材サーバ１０７ａと成績サーバ１０７ｂの両方にアクセス可能なことがわかる。この結果、図１１（ａ）に示される、先生端末１０８ａと成績サーバ１０７ｂと教材サーバ１０７ａとからなるＧＩＤ＝１のグループのエントリが、ＮＷリソース管理テーブル６０７に生成される。さらに、ＮＷ設定管理テーブル６０８に、図１１（ｂ）に示されるＧＩＤ＝１のエントリが生成される。そして、上記グループに対応して、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０、サブネットアドレス＝１９２．１６８．１０．０／２４、ＳＳＩＤ１０の各ネットワーク設定値を有するＶＬＡＮが割り当てられる。また、認可リソースとして、ＩＰアドレス＝１９２．１６８．１０．１０を有する成績サーバ１０７ｂと、ＩＰアドレス＝１９２．１６８．１０．１１を有する教材サーバ１０７ａが登録される。これとともに、図１のスイッチ１０２の成績サーバ１０７ｂと教材サーバ１０７ａが接続される各ポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定される。また、ＷＬＡＮ−ＡＰ１０４に、ＳＳＩＤ１０とＶＬＡＮ１０の組が登録される。さらに、先生端末１０８ａに、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とＳＳＩＤ１０の組が通知される。この結果、先生端末１０８ａと成績サーバ１０７ｂと教材サーバ１０７ａが、ＳＳＩＤ１０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を使って通信可能となり、アクセスの範囲が図１０の場合よりも拡大される。
図１１から理解されるように、同じ仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮについて、図１０の状態からさらに図１１の状態に、ＶＬＡＮの割当てが動的に変更されることがわかる。
次に、動作例（その４）として、生徒端末１が自習アプリを起動後、生徒端末２が自習アプリを起動し、その後、生徒端末１が自習アプリの使用を終了する場合を想定する。図１２（ａ）および（ｂ）は、この場合における、ＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容の遷移例を示した図である。なお、生徒端末１と生徒端末２は、ともに図１の生徒端末１０８ｂに対応し、利用する生徒ユーザが異なる端末である。
まず、生徒端末１のみが自習アプリを起動した端末の状態でのＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容はそれぞれ、図１２（ａ）の１２０１ａおよび図１２（ｂ）の１２０２ａとなる。すなわち、生徒端末１で自習アプリが起動した状態に応じて、図９の制御ポリシテーブル６０６内のＣＩＤ＝３のエントリが参照される。このエントリの内容より、生徒端末１は、教材サーバ１０７ａにアクセス可能なことがわかる。この結果、図１２（ａ）の１２０１ａに示される、生徒端末１と教材サーバ１０７ａとからなるＧＩＤ＝１のグループのエントリが、ＮＷリソース管理テーブル６０７に生成される。さらに、ＮＷ設定管理テーブル６０８に、図１２（ｂ）の１２０２ａに示されるＧＩＤ＝１のエントリが生成される。そして、上記グループに対応して、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０、サブネットアドレス＝１９２．１６８．１０．０／２４、ＳＳＩＤ１０の各ネットワーク設定値を有するＶＬＡＮが割り当てられる。また、認可リソースとして、ＩＰアドレス＝１９２．１６８．１０．１０を有する教材サーバ１０７ａが登録される。これとともに、図１のスイッチ１０２の教材サーバ１０７ａが接続されるポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定される。また、ＷＬＡＮ−ＡＰ１０４に、ＳＳＩＤ１０とＶＬＡＮ＝１０の組が登録される。さらに、生徒端末１（図１の生徒端末１０８ｂに対応）に、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とＳＳＩＤ１０が通知される。この結果、生徒端末１と教材サーバ１０７ａが、ＳＳＩＤ１０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を使って通信可能となり、成績サーバ１０７ｂ等へのアクセスは制限されて、セキュリティが確保される。
１２０１ａおよび１２０２ａの状態で、生徒端末２がさらに自習アプリを起動した端末の状態を想定する。この端末の状態でのＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容はそれぞれ、図１２（ａ）の１２０１ｂおよび図１２（ｂ）の１２０２ｂとなる。すなわち、生徒端末２で自習アプリが起動した状態に応じて、図９の制御ポリシテーブル６０６内のＣＩＤ＝３のエントリが参照される。このエントリの内容より、生徒端末２も、教材サーバ１０７ａにアクセス可能なことがわかる。この結果、ＮＷリソース管理テーブル６０７において、１２０１ａに示されるＧＩＤ＝１のグループのエントリの「接続端末」項目に生徒端末２が追加され、図１２（ａ）の１２０１ｂに示される内容になる。また、ＮＷ設定管理テーブル６０８において、図１２（ｂ）の１２０２ａに示されるＧＩＤ＝１のエントリの「接続端末」項目に生徒端末２が追加され、図１２（ｂ）の１２０２ｂに示される内容になる。
１２０１ｂおよび１２０２ｂの状態で、生徒端末１が自習アプリの使用を終了した端末の状態を想定する。この端末の状態でのＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容はそれぞれ、図１２（ａ）の１２０１ｃおよび図１２（ｂ）の１２０２ｃとなる。すなわち、生徒端末１が自習アプリを終了した状態に応じて、ＮＷリソース管理テーブル６０７において、１２０１ｂに示されるＧＩＤ＝１のグループのエントリの「接続端末」項目から生徒端末１が削除され、図１２（ａ）の１２０１ｃに示される内容になる。また、ＮＷ設定管理テーブル６０８において、図１２（ｂ）の１２０２ｂに示されるＧＩＤ＝１のエントリの「接続端末」項目から生徒端末１が削除され、図１２（ｂ）の１２０２ｃに示される内容になる。
図１２から理解されるように、端末１０８の種別が同じで（図１２の場合は「生徒端末」）、ユーザアプリも同じ（図１２の場合は「自習アプリ」）の場合は、端末１０８から教材サーバ１０７ａにアクセスできるという、同じアクセス制限となる。この場合において、同じ種別の端末１０８が増減した場合には、そのアクセス制限を有するＶＬＡＮに対して、端末１０８を所属させたり削除させたりすることを、適切に行うことが可能となる。
図１３は、本実施形態の動作例（その５）を説明する図である。図１３は、図９で生徒ユーザが生徒端末１０８ｂで自習アプリを起動して教材サーバ１０７ａと通信を行っている端末の状態で、先生ユーザが先生端末１０８ａで自習アプリを起動した端末の状態の例である。
まず、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に関するＮＷリソース管理テーブル６０７、ＮＷ設定管理テーブル６０８、スイッチ１０２、ＷＬＡＮ−ＡＰ１０４、生徒端末１０８ｂ、ＤＨＣＰサーバ１０５、および教材サーバ１０７ａの各設定は、図９と同じである。
続いて、先生端末１０８ａで自習アプリが起動すると、その端末の状態＝「先生端末１０８ａ」＋「自習アプリ」が先生端末１０８ａからコントローラ１０１に通知される（図１３の１３０１）。これは、図９の９０１で説明した制御動作と同様で、生徒端末１０８ｂが先生端末１０８ａに変わっただけである。
この端末の状態の通知に応じて、図１３の制御ポリシテーブル６０６内のＣＩＤ＝２のエントリが参照される。このエントリの内容より、先生端末１０８ａは、教材サーバ１０７ａと成績サーバ１０７ｂの両方にアクセス可能なことがわかる。この結果、図１３に示される、先生端末１０８ａと教材サーバ１０７ａと成績サーバ１０７ｂとからなるＧＩＤ＝２のグループのエントリが、ＮＷリソース管理テーブル６０７に生成される（図１３の１３０２）。これは、図９の９０２で説明した制御動作と同様である。
さらに、ＮＷ設定管理テーブル６０８に、図１３に示されるＧＩＤ＝２のエントリが生成される。そして、上記グループに対応して、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０、サブネットアドレス＝１９２．１６８．２０．０／２４、ＳＳＩＤ２０の各ネットワーク設定値を有するＶＬＡＮが割り当てられる。また、認可リソースとして、ＩＰアドレス＝１９２．１６８．２０．１０を有する成績サーバ１０７ｂが登録される（図１３の１３０３）。これは、図９の９０３で説明した制御動作と同様である。
次に、先生端末１０８ａからは、成績サーバ１０７ｂだけではなく、教材サーバ１０７ａへもアクセスできる必要がある。この教材サーバ１０７ａは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮと仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮとで共有される共有リソースである。しかし、教材サーバ１０７ａは既に仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に所属しており、これに重複して、教材サーバ１０７ａを仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０に所属させることはできない。
そこで、本実施形態では、最初に教材サーバ１０７ａが登録されたＧＩＤ＝１のグループの後から教材サーバ１０７ａへのアクセスが認可されるＧＩＤ＝２のグループにおいては、ＮＷ設定管理テーブル６０８の「認可リソース」項目に教材サーバ１０７ａは登録しない（図１３の１３０３−１）。
そして、図１のコントローラ１０１内のＮＷ設定管理部６０３は、ＮＷ設定管理テーブル６０８のＧＩＤ＝２とＧＩＤ＝１の各エントリの「転送設定」項目を設定する（図１３の１３０３−２）。これは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０に所属する先生端末１０８ａから仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に所属する教材サーバ１０７ａにアクセスできるようにするためである。具体的には、ＮＷ設定管理部６０３は、ＮＷ設定管理テーブル６０８において、以下の設定を行う。まず、ＮＷ設定管理部６０３は、共有リソースの教材サーバ１０７ａが所属しない方のＧＩＤ＝２のエントリの「転送設定」項目に、サブネットアドレス＝１９２．１６８．２０．０／２４からＩＰアドレス＝１９２．１６８．１０．１０への転送情報を設定する。ここで、サブネットアドレス＝１９２．１６８．２０．０／２４は、転送情報の設定が行われるＧＩＤ＝２のエントリ自身の「サブネットアドレス」項目に登録されているサブネットアドレスである。また、ＩＰアドレス＝１９２．１６８．１０．１０は、共有リソースである教材サーバ１０７ａが所属する方のＧＩＤ＝１のエントリの「認可リソース」項目に登録されている、共有リソースである教材サーバ１０７ａのＩＰアドレスである。一方、ＮＷ設定管理部６０３は、共有リソースの教材サーバ１０７ａが所属する方のＧＩＤ＝１のエントリの「転送設定」項目に、ＩＰアドレス＝１９２．１６８．１０．１０からサブネットアドレス＝１９２．１６８．２０．０／２４への転送情報を設定する。ここで、ＩＰアドレス＝１９２．１６８．１０．１０は、転送情報の設定が行われるＧＩＤ＝１のエントリ自身の「認可リソース」項目に登録されている、共有リソースである教材サーバ１０７ａのＩＰアドレスである。また、サブネットアドレス＝１９２．１６８．２０．０／２４は、共有リソースである教材サーバ１０７ａが所属しない方のＧＩＤ＝２のエントリの「サブネットアドレス」項目に登録されているサブネットアドレスである。
ここで、共有リソースである教材サーバ１０７ａが所属しない方の仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮの転送情報にそのＶＬＡＮのサブネットアドレスが登録されるのは、ＶＬＡＮ２０側には複数の先生端末１０８ａが所属する可能性があるためである。すなわち、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮのサブネットアドレス内のＩＰアドレスを有するどの先生端末１０８ａからも、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮに所属する教材サーバ１０７ａにアクセスできることになる。
ここまでの設定処理の後、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、ルータ１０３に対して、ＶＬＡＮに関する設定情報と、ＶＬＡＮに関する転送情報を送信する（図１３の１３０４）。
まず、ＶＬＡＮに関する設定情報には、図１３の１３０３−２で「転送設定」項目への転送設定が行われたＧＩＤ＝２とＧＩＤ＝１の各エントリの「仮想ＮＷ−ＩＤ」項目に登録されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０とＶＬＡＮ１０が含まれる。また、この設定情報には、各仮想ＮＷ−ＩＤに対応して、ＧＩＤ＝２とＧＩＤ＝１の各エントリの「サブネットアドレス」項目に登録されているサブネットアドレス＝１９２．１６８．２０．０／２４と１９２．１６８．１０．０／２４が含まれる。この設定情報は、宛先ＩＰアドレスとしてルータ１０３の設定インタフェース（後述する図２６の２６０３参照）のＩＰアドレスが指定されたＩＰパケットに格納される。そのＩＰアドレスは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されたイーサネットフレームに格納されて、送信される。スイッチ１０２は、コントローラ１０１から受信した上記イーサネットフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が、スイッチ１０２内のどのポートにも割り当てられていないことを確認すると、そのイーサネットフレームをトランクポートに中継する。この結果、上記イーサネットフレームは、スイッチ１０２のトランクポートに接続されるルータ１０３に到達する。ルータ１０３は、スイッチ１０２から受信したイーサネットフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１００が付加されていることを確認する。また、ルータ１０３は、そのイーサネットフレームから取り出したＩＰパケットに付与されている宛先ＩＰアドレスが、ルータ１０３の設定インタフェース２６０３自身に予め付与されているＩＰアドレスと一致することを確認する。さらに、ルータ１０３は、上記ＩＰパケットに付与されている送信元ＩＰアドレスが、コントローラ１０１に予め付与されているＩＰアドレスであることを確認する。これらの確認がＯＫならば、ルータ１０３は、上記ＩＰパケットから設定情報を取り出す。さらに、ルータ１０３は、その設定情報から２つの仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０とＶＬＡＮ１０、およびそれらに対応するサブネットアドレス＝１９２．１６８．２０．０／２４と１９２．１６８．１０．０／２４を取り出す。
ここで、図２６で後述するが、ルータ１０３は、サブインタフェース（後述する図２６の２６０１参照）と呼ばれる論理的なインタフェースを持つことができる。ルータ１０３の特には図示しない物理インタフェース（イーサネットインタフェース）は、図１のスイッチ１０２の例えばトランクポートに接続されている。複数のサブインタフェースは、この物理インタフェース上に設定される。そして、各サブインタフェースは、ルータ１０３で転送制御されるＶＬＡＮの数に応じて設定される。ＶＬＡＮが増えれば、このサブインタフェースの数は設定可能なＶＬＡＮの数だけ増加させることが可能である。
そこで、ルータ１０３は、上記設定情報から取り出した各仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とＶＬＡＮ２０に対応する各サブインタフェースが、生成済みであるか否かを確認する。
そして、これらのサブインタフェースが生成されていなければ、ルータ１０３は、上記設定情報から取得した仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０とＶＬＡＮ２０がそれぞれ設定された各サブインタフェースを生成する。また、ルータ１０３は、上記設定情報から取得したサブネットアドレス＝１９２．１６８．１０．０／２４に基づいて、第１のサブインタフェースのＩＰアドレスを、そのサブネットアドレス内の例えば先頭のＩＰアドレスである１９２．１６８．１０．１に設定する。同様に、ルータ１０３は、上記設定情報から取得したサブネットアドレス＝１９２．１６８．２０．０／２４に基づいて、第２のサブインタフェースのＩＰアドレスを、そのサブネットアドレス内の例えば先頭のＩＰアドレスである１９２．１６８．２０．１に設定する。
一方、ＶＬＡＮに関する転送情報は、図１３の１３０３−２で共有リソースである教材サーバ１０７ａが所属しない方のＧＩＤ＝２のエントリで、「転送設定」項目に登録された転送情報と、「仮想ＮＷ−ＩＤ」項目に登録された仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を含む。また、転送情報は、図１３の１３０３−２で共有リソースである教材サーバ１０７ａが所属する方のＧＩＤ＝１のエントリで、「転送設定」項目に登録された転送情報と、「仮想ＮＷ−ＩＤ」項目に登録された仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を含む。この転送情報は、例えばＲＩＰ（Ｒｏｕｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）などのダイナミックルーティングプロトコルを用いることにより、コントローラ１０１からルータ１０３に転送できる。このプロトコルは既存の技術であるため、その説明は省略する。ルータ１０３は、上記転送情報を受信した後、その転送情報に基づいて経路情報を生成し、内部に保持するルーティングテーブル（後述する図２６、図２７（ａ）の２６０６参照）に登録する。また、設定制御部２６０４は、上記転送情報に基づいてフィルタリング情報を生成し、内部に保持するフィルタリングテーブル（後述する図２６、図２７（ｂ）の２６０７参照）に生成する。
前述したように、図１３のＮＷ設定管理テーブル６０８のＧＩＤ＝２のエントリの「転送設定」項目には、サブネットアドレス＝１９２．１６８．２０．０／２４からＩＰアドレス＝１９２．１６８．１０．１０への転送情報が設定されている。ルータ１０３は、この転送情報に基づいて、次のような第１の経路情報を生成する。この第１の経路情報は、宛先ＩＰアドレスが１９２．１６８．１０．０、ネットマスクが２５５．２５５．２５５．０のサブネットアドレスに属するＩＰパケットが、ＩＰアドレスが１９２．１６８．１０．１である第１のサブインタフェース（仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０）に転送される旨を定義している。また、ルータ１０３は、上記転送情報に基づいて、次のような第１のフィルタリング情報を生成する。この第１のフィルタリング情報は、全てのプロトコル、全ての送信元ポート番号、および全ての宛先ポート番号が設定されたＩＰパケットを、第１のサブインタフェースに転送するフィルタリングを定義している。かつ、第１のフィルタリング情報は、サブネットアドレス＝１９２．１６８．２０．０内の任意の送信元ＩＰアドレスのＮＷ機器からのＩＰパケットを、第１のサブインタフェースに転送するフィルタリングを定義している。かつ、第１のフィルタリング情報は、宛先ＩＰアドレスが教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．１０．１０であるＩＰパケットのみを、第１のサブインタフェースに転送するフィルタリングを定義している。
同様に前述したように、図１３のＮＷ設定管理テーブル６０８のＧＩＤ＝１のエントリの「転送設定」項目には、ＩＰアドレス＝１９２．１６８．１０．１０からサブネットアドレス＝１９２．１６８．２０．０／２４への転送情報が設定されている。ルータ１０３は、この転送情報に基づいて、次のような第２の経路情報を生成する。この第２の経路情報は、宛先ＩＰアドレスが１９２．１６８．２０．０、ネットマスクが２５５．２５５．２５５．０のサブネットアドレスに属するＩＰパケットが、ＩＰアドレスが１９２．１６８．２０．１の第２のサブインタフェース（仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０）に転送される旨を定義している。また、ルータ１０３は、上記転送情報に基づいて、次のような第２のフィルタリング情報を生成する。この第２のフィルタリング情報は、全てのプロトコル、全ての送信元ポート番号、および全ての宛先ポート番号が設定されたＩＰパケットを、第２のサブインタフェースに転送するフィルタリングを定義している。かつ、第２のフィルタリング情報は、送信元ＩＰアドレスが教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．１０．１０からのＩＰパケットのみを、第２のサブインタフェースに転送するフィルタリングを定義している。かつ、第２のフィルタリング情報は、、サブネットアドレス＝１９２．１６８．２０．０内の任意の宛先ＩＰアドレスのＮＷ機器宛てのＩＰパケットを、第２のサブインタフェースに転送するフィルタリングを定義している。
次に、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、スイッチ１０２に対して、ポート番号と仮想ＮＷ−ＩＤの組からなる設定情報を送信する（図１３の１３０５）。設定情報のポート番号としては、図１３のＮＷリソース管理テーブル６０７の「ＧＩＤ」項目＝２のエントリの「認可リソース」項目＝「成績サーバ」に対応する成績サーバ１０７ｂが接続されているポートのポート番号、例えば２が設定される。なお、コントローラ１０１は、教材サーバ１０７ａや成績サーバ１０７ｂがスイッチ１０２に接続されている各ポートのポート番号は、予め認識しているものとする。設定情報の仮想ＮＷ−ＩＤとしては、図１３のＮＷ設定管理テーブル６０８の「ＧＩＤ」項目＝２のエントリの「仮想ＮＷ−ＩＤ」項目の値＝ＶＬＡＮ２０が設定される。その後の制御動作は、前述した図９の９０４と同様である。この結果、スイッチ１０２は、内部に保持するＶＬＡＮテーブル（後述する図２４、図２５（ｂ）の２４０７参照）に、上記設定情報に含まれるポート番号＝２と仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０の組のエントリを登録する。このようにして、成績サーバ１０７ｂが接続されるスイッチ１０２のポート番号２のポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定され、成績サーバ１０７ｂが仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮに所属することになる。
次に、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、図１のＷＬＡＮ−ＡＰ１０４に対して、ＳＳＩＤと仮想ＮＷ−ＩＤの組からなる設定情報を送信する（図１３の１３０６）。設定情報のＳＳＩＤとしては、図１３のＮＷリソース管理テーブル６０７の「ＧＩＤ」項目＝２のエントリの「ＳＳＩＤ」項目の値＝ＳＳＩＤ２０が設定される。設定情報の仮想ＮＷ−ＩＤとしては、上記エントリの「仮想ＮＷ−ＩＤ」項目の値＝ＶＬＡＮ２０が設定される。その制御動作は、前述した図９の９０５と同様である。この結果、ＷＬＡＮ−ＡＰ１０４は、内部に保持するＳＳＩＤテーブル（後述する図３３の３３０１参照）に、上記設定情報に含まれるＳＳＩＤ＝ＳＳＩＤ２０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０の組のエントリを登録する。このようにして、ＷＬＡＮ−ＡＰ１０４に、コントローラ１０１で新たに設定された仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮ用に専用に使用されるＳＳＩＤ＝ＳＳＩＤ２０を設定することができる。
次に、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、状態を通知してきた先生端末１０８ａに対して、ＳＳＩＤと仮想ＮＷ−ＩＤの組からなる設定情報を送信する（図１３の１３０７）。設定情報のＳＳＩＤとしては、図１３のＮＷリソース管理テーブル６０７の「ＧＩＤ」項目＝２のエントリの「ＳＳＩＤ」項目の値＝ＳＳＩＤ２０が設定される。設定情報の仮想ＮＷ−ＩＤとしては、上記エントリの「仮想ＮＷ−ＩＤ」項目の値＝ＶＬＡＮ２０が設定される。その後の制御動作は、前述した図９の９０６と同様である。この結果、上記設定情報が格納された無線ＬＡＮフレームは、ＷＬＡＮ−ＡＰ１０４からの無線送信により、先生端末１０８ａに到達する。
さらに、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、ＤＨＣＰサーバ１０５に対して、仮想ＮＷ−ＩＤとサブネットアドレスの組からなる設定情報を送信する（図１３の１３０８）。設定情報の仮想ＮＷ−ＩＤとしては、図１３のＮＷ設定管理テーブル６０８の「ＧＩＤ」項目＝２のエントリの「仮想ＮＷ−ＩＤ」項目の値＝ＶＬＡＮ２０が設定される。設定情報のサブネットアドレスとしては、上記エントリの「サブネットアドレス」項目の値＝１９２．１６８．２０．０／２４が設定される。その後の制御動作は、前述した図９の９０７と同様である。この結果、ＤＨＣＰサーバ１０５は、内部に保持する設定テーブル（後述する図２８、図２９の２８０７参照）に、上記設定情報に含まれる仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０とサブネットアドレス＝１９２．１６８．２０．０／２４の組のエントリを登録する。この結果、ＤＨＣＰサーバ１０５は、コントローラ１０１にて新たに設定された仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮについて、そのＶＬＡＮに対応するサブネットアドレスに属するＩＰアドレスの払い出しを行うことができるようになる。なお、このＩＰアドレスの範囲は、コントローラ１０１の図６に示されるＮＷ設定管理部６０３がＮＷ設定管理テーブル６０８の「認可リソース」項目に設定するサーバ１０７のＩＰアドレスの範囲とは重複しないように設定される。
以上のようにして、コントローラ１０１は、先生端末１０８ａが通知してきた端末の状態＝「先生端末」＋「自習アプリ」と、制御ポリシテーブル６０６上のＣＩＤ＝２の制御ポリシとに基づいて、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮを設定する。このＶＬＡＮには、先生端末１０８ａから教材サーバ１０７ａおよび成績サーバ１０７ｂの両方にアクセス可能というアクセス制限が設定されている。
コントローラ１０１による以上の制御動作の後、コントローラ１０１内のＮＷ機器設定要求送信部６０４は、成績サーバ１０７ｂに対して、新たなＩＰアドレスを指定する設定情報を送信する（図１３の１３０９）。この設定情報には、ＮＷ設定管理テーブル６０８のＧＩＤ＝２のエントリの「認可リソース」項目に登録されたＩＰアドレス＝１９２．１６８．２０．１０が格納される。この結果、成績サーバ１０７ｂのＩＰアドレスが、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０に対応するサブネットアドレス１９２．１６８．２０．０／２４に所属するＩＰアドレス＝１９２．１６８．２０．１０に設定される。
なお、図９の教材サーバ１０７ａへのＩＰアドレスの設定の場合と同様に、成績サーバ１０７ｂへのＩＰアドレスの設定は、コントローラ１０１からではなく、成績サーバ１０７ｂがＤＨＣＰサーバ１０５に問い合わせて行うようにしてもよい。
次に、先生端末１０８ａは、コントローラ１０１からＶＬＡＮの設定情報が格納された自分宛ての無線ＬＡＮフレームを受信する（図１３の１３０７）。その後の制御動作は、前述した図９の９０６と同様である。先生端末１０８ａは、上記設定情報から本接続用のＳＳＩＤ＝ＳＳＩＤ２０と本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を取得する。その後、先生端末１０８ａは、コントローラ１０１との仮接続を切断する。なお、コントローラ１０１の側から仮接続を切断してもよい。
これ以後、先生端末１０８ａは、本接続の状態に移行する。まず、先生端末１０８ａは、コントローラ１０１から受信した本接続用のＳＳＩＤ＝ＳＳＩＤ２０を用いて、図１のＷＬＡＮ−ＡＰ１０４に無線接続する。
次に、先生端末１０８ａは、ＤＨＣＰプロトコルに従って、コントローラ１０１から取得した本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を付加して、図１のＤＨＣＰサーバ１０５に向けて、ＩＰアドレスの再取得を要求する（図１３の１３１０）。その後の制御動作は、前述した図９の９０９と同様である。すなわち、前述したコントローラ１０１による図１３の１３０８の制御により、ＤＨＣＰサーバ１０５は、内部の設定テーブルに、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮに対してＩＰアドレスの払出し範囲が設定されたエントリを記憶している。ＤＨＣＰサーバ１０５は、先生端末１０８ａからの要求メッセージに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０に対応するエントリ中の払出し範囲から未使用のＩＰアドレス＝１９２．１６８．２０．２０を選択する。そして、ＤＨＣＰサーバ１０５は、そのＩＰアドレスを先生端末１０８ａに通知する。先生端末１０８ａは、ＤＨＣＰプロトコルに従って、ＤＨＣＰサーバ１０５が払い出したＩＰアドレスを受信する。以後、先生端末１０８ａは、このＩＰアドレス＝１９２．１６８．２０．２０を、本接続用のＩＰアドレスとして使用する。
その後、先生端末１０８ａの接続制御部３２０２は、先生端末１０８ａ自身で実行が開始されているユーザアプリ３２０５（図３２参照）である自習アプリとの連携動作を開始する。
自習アプリとの連携動作の中で、先生端末１０８ａは、成績サーバ１０７ｂへの送信用のデータを受け取ると、図９の生徒端末１０８ｂの場合と同様にし、以下の接続制御動作を実行する。
まず、先生端末１０８ａは、成績サーバ１０７ｂの名前として例えば「ｓｅｉｓｅｋｉ．ｓｅｒｖｅｒ．ｃｏｍ」をキーとして、図１のＤＮＳサーバ１０６に成績サーバ１０７ｂのＩＰアドレスを問い合わせる。問合せメッセージが格納された無線ＬＡＮフレームには本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が付加される。図９と同様に、ＤＮＳサーバ１０６が、内部に保持している設定テーブル（後述する図３０、図３１の３００７参照）から、受信した問合せメッセージに付加されている成績サーバ１０７ｂのサーバ名＝「ｓｅｉｓｅｋｉ．ｓｅｒｖｅｒ．ｃｏｍ」が登録されているエントリを検索する。ＤＮＳサーバ１０６は、検索されたエントリから、ＩＰアドレス＝１９２．１６８．２０．１０を取得し、そのＩＰアドレスを先生端末１０８ａに通知する。先生端末１０８ａは、このＩＰアドレスをキャッシュし、次回以降自習アプリから成績サーバ１０７ｂへの送信用のデータを受け取ったときは、成績サーバ１０７ｂの名前の指定に対してこのＩＰアドレスを用いる。
次に、先生端末１０８ａは、ＤＮＳサーバ１０６から取得したＩＰアドレスが宛先ＩＰアドレスとして設定され、ＤＨＣＰサーバ１０５から取得した本接続用の自身のＩＰアドレスが送信元ＩＰアドレスとして設定されたＩＰパケットを生成する。すなわち、宛先ＩＰアドレスは、成績サーバ１０７ｂのＩＰアドレス＝１９２．１６８．２０．１０である。また、送信元ＩＰアドレスは、先生端末１０８ａ自身のＩＰアドレス＝１９２．１６８．２０．２０である。
先生端末１０８ａは、このＩＰパケットのデータ部に、成績サーバ１０７ｂへの送信用のデータを格納する。
先生端末１０８ａは、上記ＩＰパケットが格納された無線ＬＡＮフレームを生成する。
先生端末１０８ａは、この無線ＬＡＮフレームに、コントローラ１０１から取得している本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０をタグとして付加し、成績サーバ１０７ｂ宛てに送信する。
ＷＬＡＮ−ＡＰ１０４のＳＳＩＤテーブルには、前述した図１３の１３０６の制御動作により、本接続用のＳＳＩＤ＝ＳＳＩＤ２０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０の組のエントリが予め記憶されている。ＷＬＡＮ−ＡＰ１０４は、先生端末１０８ａから受信したＳＳＩＤが上記ＳＳＩＤ２０に一致し、また、無線ＬＡＮフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が付加されていることを確認する。この確認がＯＫならば、ＷＬＡＮ−ＡＰ１０４は、先生端末１０８ａから受信した無線ＬＡＮのフレームに格納されて送られてきたＩＰパケットをイーサネットフレームに乗せ替えて、そのイーサネットフレームをスイッチ１０２に転送する。このイーサネットフレームには、無線ＬＡＮフレームに付加されていた仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０がタグとして付加される。
スイッチ１０２は、ＷＬＡＮ−ＡＰ１０４が接続されるトランクポートから受信したイーサネットフレームに付加されている仮想ＮＷ−ＩＤがＶＬＡＮ２０であることを確認する。この結果、スイッチ１０２は、そのイーサネットフレームを、同じ仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されているポートに中継する。前述した図１３の１３０５の制御動作により、スイッチ１０２のＶＬＡＮテーブル（後述する図２４、図２５（ｂ）の２４０７参照）には、ポート番号＝２のポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されている。これにより、スイッチ１０２は、上記イーサネットフレームを、成績サーバ１０７ｂが接続されているポート番号＝２のポートに中継する。この結果、上記イーサネットフレームが、成績サーバ１０７ｂに着信する。
成績サーバ１０７ｂは、このイーサネットフレームからＩＰパケットを取り出し、このＩＰパケットから宛先ＩＰアドレス＝１９２．１６８．２０．１０と送信元ＩＰアドレス＝１９２．１６８．２０．２０を取り出す。成績サーバ１０７ｂは、宛先ＩＰアドレスが自身のＩＰアドレスに一致することを確認して、そのＩＰパケットからデータを取り出して処理する。
その後、成績サーバ１０７ｂは、上記ＩＰパケットから取り出したデータを処理した結果のデータをＩＰパケットに格納して、上記ＩＰパケットから取り出した先生端末１０８ａの送信元ＩＰアドレス＝１９２．１６８．２０．２０に向けて返信する。すなわち、上記ＩＰパケットの宛先ＩＰアドレスには、上記ＩＰパケットから取り出した先生端末１０８ａの送信元ＩＰアドレス＝１９２．１６８．２０．２０が格納される。また、上記ＩＰパケットの送信元ＩＰアドレスには、成績サーバ１０７ｂ自身のＩＰアドレス＝１９２．１６８．２０．１０が格納される。成績サーバ１０７ｂは、このＩＰパケットが格納されたイーサネットフレームを生成し、スイッチ１０２に向けて送信する。スイッチ１０２は、ポート番号＝２のポートでこのイーサネットフレームを受信すると、そのイーサネットフレームに、ポート番号２に割り付けられている仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を付加する。スイッチ１０２は、そのイーサネットフレームを、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されている他のポートとトランクポートに中継する。この結果、上記イーサネットフレームは、トランクポートに接続されているＷＬＡＮ−ＡＰ１０４に転送される。ＷＬＡＮ−ＡＰ１０４は、受信したイーサネットフレームを無線ＬＡＮフレームに変換して、無線送信する。先生端末１０８ａは、ＷＬＡＮ−ＡＰ１０４から無線ＬＡＮフレームを受信すると、その無線ＬＡＮフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が付加されていることを確認する。確認ＯＫならば、先生端末１０８ａは、受信した無線ＬＡＮフレームからＩＰパケットを取り出し、このＩＰパケットから、宛先ＩＰアドレス＝１９２．１６８．２０．２０と送信元ＩＰアドレス＝１９２．１６８．２０．１０を取り出す。先生端末１０８ａは、宛先ＩＰアドレスが先生端末１０８ａ自身のＩＰアドレスと一致することを確認後、受信したＩＰパケットから、成績サーバ１０７ｂが返信したデータを取り出し、自習アプリに引き渡す。
次に、先生端末１０８ａは、自習アプリとの連携動作の中で、教材サーバ１０７ａへの送信用のデータを受け取ると、以下の接続制御動作を実行する。
まず、先生端末１０８ａは、教材サーバ１０７ａの名前として例えば「ｋｙｏｚａｉ．ｓｅｒｖｅｒ．ｃｏｍ」をキーとして、図１のＤＮＳサーバ１０６に教材サーバ１０７ａのＩＰアドレスを問い合わせる。問合せメッセージが格納された無線ＬＡＮフレームには本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が付加される。図９と同様に、ＤＮＳサーバ１０６が、内部に保持している設定テーブル（後述する図３０、図３１の３００７参照）から、受信した問合せメッセージに付加されている成績サーバ１０７ｂのサーバ名＝「ｋｙｏｚａｉ．ｓｅｒｖｅｒ．ｃｏｍ」が登録されているエントリを検索する。ＤＮＳサーバ１０６は、検索されたエントリから、ＩＰアドレス＝１９２．１６８．１０．１０を取得し、そのＩＰアドレスを先生端末１０８ａに通知する。先生端末１０８ａは、このＩＰアドレスをキャッシュし、次回以降自習アプリから教材サーバ１０７ａへの送信用のデータを受け取ったときは、教材サーバ１０７ａの名前の指定に対してこのＩＰアドレスを用いる。
次に、先生端末１０８ａは、ＤＮＳサーバ１０６から取得したＩＰアドレスが宛先ＩＰアドレスとして設定され、ＤＨＣＰサーバ１０５から取得した本接続用の自身のＩＰアドレスが送信元ＩＰアドレスとして設定されたＩＰパケットを生成する。すなわち、宛先ＩＰアドレスは、教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．１０．１０である。また、送信元ＩＰアドレスは、先生端末１０８ａ自身のＩＰアドレス＝１９２．１６８．２０．２０である。
先生端末１０８ａは、このＩＰパケットのデータ部に、教材サーバ１０７ａへの送信用のデータを格納する。
先生端末１０８ａは、上記ＩＰパケットが格納された無線ＬＡＮフレームを生成する。
先生端末１０８ａは、この無線ＬＡＮフレームに、コントローラ１０１から取得している本接続用の仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０をタグとして付加し、教材サーバ１０７ａ宛てに送信する。
ＷＬＡＮ−ＡＰ１０４での制御動作は、成績サーバ１０７ｂへのアクセスの場合と同様である。ＷＬＡＮ−ＡＰ１０４は、先生端末１０８ａから受信した無線ＬＡＮのフレームに格納されて送られてきたＩＰパケットをイーサネットフレームに乗せ替えて、そのイーサネットフレームをスイッチ１０２に転送する。このイーサネットフレームには、無線ＬＡＮフレームに付加されていた仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０がタグとして付加される。
スイッチ１０２は、ＷＬＡＮ−ＡＰ１０４が接続されるトランクポートから受信したイーサネットフレームに付加されている仮想ＮＷ−ＩＤがＶＬＡＮ２０であることを確認する。この結果、スイッチ１０２は、そのイーサネットフレームを、同じ仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されているポートに中継する。しかしながら、教材サーバ１０７ａは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されているポートには接続されていないため、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されているポートから教材サーバ１０７ａへは上記イーサネットフレームは着信できない。
ここで、スイッチ１０２は、上記イーサネットフレームを、同じ仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されているポートだけでなく、トランクポートにも中継する。この結果、上記イーサネットフレームは、スイッチ１０２のトランクポートに接続されているルータ１０３に着信する。ルータ１０３では、第２のサブインタフェースが、上記イーサネットフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が、自身に設定されている仮想ＮＷ−ＩＤと一致することを確認する。この結果、第２のサブインタフェースが、上記イーサネットフレームを受信する。
第２のサブインタフェースは、受信したイーサネットフレームからＩＰパケットを取り出し、そのＩＰパケットを内部の転送制御部（後述する図２６の２６０２参照）に引き渡す。
転送制御部は、このＩＰパケットから、宛先ＩＰアドレス＝１９２．１６８．１０．１０、送信元ＩＰアドレス＝１９２．１６８．２０．２０を取り出す。この結果、転送制御部は、内部に保持するルーティングテーブル（後述する図２６、図２７（ａ）の２６０６参照）の第１の経路情報を適用した経路制御を実施する。同時に、転送制御部は、内部に保持するフィルタリングテーブル（後述する図２６、図２７（ｂ）の２６０７参照）の第１のフィルタリング情報を適用したフィルタリング制御を実施する。
この結果、転送制御部は、第２のサブインタフェースから受信した上記ＩＰパケットを、第１のサブインタフェースに転送する。第１のサブインタフェースは、自身の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を付加したイーサネットフレームを生成し、これに上記ＩＰパケットを格納し、そのイーサネットフレームをスイッチ１０２に向けて送信する。
スイッチ１０２は、ルータ１０３から受信したイーサネットフレームに付加されている仮想ＮＷ−ＩＤがＶＬＡＮ１０であることを確認すると、そのイーサネットフレームを、同じ仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定されているポートに中継する。前述した図９の９０４の制御動作により、スイッチ１０２のＶＬＡＮテーブル（図２４、図２５（ｂ）の２４０７参照）には、ポート番号＝１のポートに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定されている。これにより、スイッチ１０２は、上記イーサネットフレームを、教材サーバ１０７ａが接続されているポート番号＝１のポートに中継する。この結果、上記イーサネットフレームが、教材サーバ１０７ａに着信する。
教材サーバ１０７ａは、このイーサネットフレームからＩＰパケットを取り出し、このＩＰパケットから宛先ＩＰアドレス＝１９２．１６８．１０．１０と送信元ＩＰアドレス＝１９２．１６８．２０．２０を取り出す。教材サーバ１０７ａは、宛先ＩＰアドレスが自身のＩＰアドレスに一致することを確認して、そのＩＰパケットからデータを取り出して処理する。
その後、教材サーバ１０７ａは、上記ＩＰパケットから取り出したデータを処理した結果のデータをＩＰパケットに格納して、上記ＩＰパケットから取り出した先生端末１０８ａの送信元ＩＰアドレス＝１９２．１６８．２０．２０に向けて返信する。すなわち、上記ＩＰパケットの宛先ＩＰアドレスには、上記ＩＰパケットから取り出した先生端末１０８ａの送信元ＩＰアドレス＝１９２．１６８．２０．２０が格納される。また、上記ＩＰパケットの送信元ＩＰアドレスには、教材サーバ１０７ａ自身のＩＰアドレス＝１９２．１６８．１０．１０が格納される。教材サーバ１０７ａは、このＩＰパケットが格納されたイーサネットフレームを生成し、スイッチ１０２に向けて送信する。スイッチ１０２は、ポート番号＝１のポートでこのイーサネットフレームを受信すると、そのイーサネットフレームに、ポート番号１に割り付けられている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を付加する。スイッチ１０２は、そのイーサネットフレームを、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定されている他のポートとトランクポートに中継する。この結果、上記イーサネットフレームは、トランクポートに接続されているルータ１０３に着信する。ルータ１０３では、第１のサブインタフェースが、上記イーサネットフレームに付加されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が自身に設定されている仮想ＮＷ−ＩＤと一致することを確認する。この結果、第１のサブインタフェースが、上記イーサネットフレームを受信する。
第１のサブインタフェースは、受信したイーサネットフレームからＩＰパケットを取り出し、そのＩＰパケットを転送制御部に引き渡す。
転送制御部は、このＩＰパケットから、宛先ＩＰアドレス＝１９２．１６８．２０．２０、送信元ＩＰアドレス＝１９２．１６８．１０．１０を取り出す。この結果、転送制御部は、内部に保持するルーティングテーブル（図２６、図２７（ａ）の２６０６参照）の第２の経路情報を適用した経路制御を実施する。同時に、転送制御部は、内部に保持するフィルタリングテーブル（図２６、図２７（ｂ）の２６０７参照）の第２のフィルタリング情報を適用したフィルタリング制御を実施する。
この結果、転送制御部は、第１のサブインタフェースから受信した上記ＩＰパケットを、第２のサブインタフェースに転送する。第２のサブインタフェースは、自身の仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を付加したイーサネットフレームを生成し、これに上記ＩＰパケットを格納し、そのイーサネットフレームをスイッチ１０２に向けて送信する。
スイッチ１０２は、ルータ１０３から受信したイーサネットフレームに付加されている仮想ＮＷ−ＩＤがＶＬＡＮ２０であることを確認すると、そのイーサネットフレームを、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されている他のポートとトランクポートに中継する。この結果、上記イーサネットフレームは、トランクポートに接続されているＷＬＡＮ−ＡＰ１０４に転送される。ＷＬＡＮ−ＡＰ１０４は、受信したイーサネットフレームを無線ＬＡＮフレームに変換して、無線送信する。先生端末１０８ａは、ＷＬＡＮ−ＡＰ１０４から無線ＬＡＮフレームを受信すると、その無線ＬＡＮフレームに仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が付加されていることを確認する。確認ＯＫならば、先生端末１０８ａは、受信した無線ＬＡＮフレームからＩＰパケットを取り出し、このＩＰパケットから、宛先ＩＰアドレス＝１９２．１６８．２０．２０と送信元ＩＰアドレス＝１９２．１６８．１０．１０を取り出す。先生端末１０８ａは、宛先ＩＰアドレスが先生端末１０８ａ自身のＩＰアドレスと一致することを確認後、受信したＩＰパケットから、教材サーバ１０７ａが返信したデータを取り出し、自習アプリに引き渡す。
一般に、国際標準化機構が策定したＯＳＩ参照モデルにおいて、レイヤ２（Ｌ２）のデータリンク層すなわちフレームレベルでは、異なるＶＬＡＮに属する端末１０８とＮＷリソース（サーバ１０７）の間は、スイッチ１０２による中継はできない。しかし、レイヤ３（Ｌ３）のネットワーク層すなわちＩＰパケットレベルでは、異なるＶＬＡＮに属する端末１０８とＮＷリソース（サーバ１０７）間の転送を、ルータ１０３を用いて行うことができる。そこで、上述の実施形態では、コントローラ１０１内のＮＷ設定管理部６０３が、ＮＷ設定管理テーブル６０８上の共有リソースが先に登録されたグループと後に登録されたグループに対して、Ｌ３レベルの転送設定を登録する。具体的には、後のグループのサブネットアドレスと、先のグループのサブネットアドレスに属する共有リソースのＩＰアドレスとの間で、相互に転送を行えるようにする転送設定が、ＮＷ設定管理テーブル６０８の各グループの「転送設定」項目に登録される。そして、この「転送設定」項目の内容が変更になるごとに、コントローラ１０１からルータ１０３に設定情報が送信され、ルータ１０３の転送設定が動的に更新される。
この動作により、図１３の動作例（その５）では、生徒端末１０８ｂが含まれるグループと先生端末１０８ａが含まれるグループのそれぞれのセキュリティのアクセス制限を維持したまま、先生端末１０８ａが異なるＶＬＡＮに属する教材サーバ１０７ａにアクセスできるようになる。つまり、先生端末１０８ａと成績サーバ１０７ｂは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を使って通信できる。同時に、先生端末１０８ａは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮと仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮ間のルータ１０３の転送機能により、先生端末１０８ａが所属するＶＬＡＮとは異なるＶＬＡＮに所属する教材サーバ１０７ａにアクセス可能となる。
このようなコントローラ１０１の動作により、スイッチ１０２やルータ１０３などの既存のＮＷ機器を用いて各ＮＷリソースにＶＬＡＮを設定しながら、制御ポリシによって決定されるＮＷ機器の集合ごとに、異なるセキュリティのアクセス制御を行うことが可能になる。かつ、異なる制御ポリシに基づくＮＷ機器の異なる集合に、１つのＮＷリソース（図１３の例では教材サーバ１０７ａ）を共有リソースとしてそれぞれ所属させて、その集合ごとに異なるセキュリティのアクセス制限を加えることが可能となる。従来は、１つの共有リソースに異なるＶＬＡＮを重複して割り当てることができなかったため、１つの共有リソースに対して異なるセキュリティのアクセス制限を加えることができなかったが、本実施形態ではそれが可能となる。
図１３の動作例（その５）を基本として、さらに動作例を挙げて、ＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の作成動作について説明する。
図１４は、動作例（その６）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の状態変更前の例を示す図である。図１４（ａ）は、図１の先生端末１０８ａである先生端末Ａと先生端末Ｂが共に成績評価アプリを起動している端末の状態で、成績サーバ１０７ｂにアクセスしている端末の状態での、ＮＷリソース管理テーブル６０７（図６参照）におけるＧＩＤ＝１のグループの設定例を示している。このグループは、図１３の制御ポリシテーブル６０６のＣＩＤ＝１の制御ポリシに基づいて生成されている。また、図１４（ｂ）は、上記端末の状態での、ＮＷ設定管理テーブル６０８（図６参照）におけるＧＩＤ＝１のグループに対応するネットワーク設定例を示している。この端末の状態においては、先生端末Ａおよび先生端末Ｂともに、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０、サブネットアドレス１９２．１６８．１０．０／２４でグループ化されている。また、認可リソースとして、上記サブネットアドレスに属するＩＰアドレス＝１９２．１６８．１０．１０の成績サーバ１０７ｂにアクセス可能な状態が示されている。さらに、先生端末Ａおよび先生端末Ｂには、ＳＳＩＤ＝ＳＳＩＤ１０が割り当てられていることが示されている。
この端末の状態から、先生端末Ｂのみが成績評価アプリを自習アプリに切り替えて採点を行う端末の状態に変化した場合を想定する。図１５は、上記動作例（その６）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の状態変更後の例を示す図である。
先生端末Ａは、いままで通り成績評価アプリを起動しているため、図１３の制御ポリシテーブル６０６のＣＩＤ＝１の制御ポリシに従う。一方、先生端末Ｂは、自習アプリの起動に切り替わったため、図１３の制御ポリシテーブル６０６のＣＩＤ＝２の制御ポリシに切り替わる。従って、図１５（ａ）のＮＷリソース管理テーブル６０７において、まず、ＧＩＤ＝１、ＣＩＤ＝１のエントリの「接続端末」項目から、先生端末Ｂが削除される。そして、新たにＧＩＤ＝２、ＣＩＤ＝２のエントリが生成され、先生端末Ｂと教材サーバ１０７ａと成績サーバ１０７ｂとからなるグループが形成される。
図１５（ｂ）のＮＷ設定管理テーブル６０８では、ＧＩＤ＝１のエントリの「接続端末」項目から先生端末Ｂが削除される。また、ＧＩＤ＝２の新たなエントリが生成され、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０、サブネットアドレス＝１９２．１６８．２０．０／２４、ＳＳＩＤ２０が新たに割り当てられ、「接続端末」項目に先生端末Ｂ（のＭＡＣアドレス）が登録される。ここで、先生端末Ｂが自習アプリを起動している端末の状態では、教材サーバ１０７ａと成績サーバ１０７ｂの両方にアクセスする。しかし、図１３の１３０３−１で説明したように、ＧＩＤ＝２のエントリで「認可リソース」項目に登録されるのは、教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．２０．１０のみとなる。最初に成績サーバ１０７ｂが登録されたＧＩＤ＝１のグループの後から成績サーバ１０７ｂへのアクセスが認可されるＧＩＤ＝２のグループには、「認可リソース」項目に成績サーバ１０７ｂは登録されない。
その代わり、図１３の１３０３−２で説明したように、ＧＩＤ＝２のエントリの「転送設定」項目には、サブネットアドレス＝１９２．１６８．２０．０／２４から成績サーバ１０７ｂのＩＰアドレス＝１９２．１６８．１０．１０への転送設定が登録される。また共有リソースの成績サーバ１０７ｂが登録されている方のＧＩＤ＝１のエントリの「転送設定」項目には、成績サーバ１０７ｂのＩＰアドレス＝１９２．１６８．１０．１０からサブネットアドレス＝１９２．１６８．２０．０／２４への転送設定が登録される。
上記制御動作において、先生端末Ｂにおいて成績評価アプリが起動されている状態から自習アプリが起動されている状態に切り替わった場合には、先生端末Ｂから図１のＷＬＡＮ−ＡＰ１０４への接続が、いったん強制的に切断される。そして、先生端末Ｂから再度、図１３の１３０１で説明した端末の状態の通知が行われて、新しい仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０とＳＳＩＤ２０が取得され、ＷＬＡＮ−ＡＰ１０４への再接続が行われるものとする。
このようにして、動作例（その６）では、先生端末Ａは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を使って、成績サーバ１０７ｂと通信する。また、先生端末Ｂは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を使って、教材サーバ１０７ａと通信する。これと共に、先生端末Ｂは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮと仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮ間の図１のルータ１０３の転送機能により、先生端末Ｂが所属するＶＬＡＮとは異なるＶＬＡＮに所属する成績サーバ１０７ｂにアクセス可能となる。
図９から図１５の動作例で、サーバ１０７（教材サーバ１０７ａ、成績サーバ１０７ｂ等）の名前とそのＩＰアドレスの関連付け（名前解決）は、コントローラ１０１内のＮＷ設定管理テーブル６０８の「認可リソース」項目の値が変更されるごとに変化する。上記関連付けが変化した場合、コントローラ１０１内のＮＷ機器設定要求送信部６０４は、ＤＮＳサーバ１０６に対して、サーバ１０７の名前とＩＰアドレスの組を通知する。ＤＮＳサーバ１０６は、上記組を受信すると、以下の制御動作を実行する。ＤＮＳサーバ１０６は、内部に保持する設定テーブル（後述する図３０、図３１の３００７参照）に記憶されている上記組に含まれるサーバ１０７の名前が含まれるエントリのＩＰアドレスの値を、上記組に含まれるＩＰアドレスの値に変更する。これにより、端末１０８は、そのサーバ１０７にアクセスするときに、そのサーバ名に対して、新たに割り当てられたＩＰアドレスを取得してアクセスすることができる。
なお、上記関連付けが変化するサーバ１０７のサーバ名とIPアドレスの関連付けの管理のみ、コントローラ１０１で行ってもよい。
図１６は、本実施形態の動作例（その７）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容の遷移例を示す図である。図１６（ａ）の１６０１ａと図１６（ｂ）の１６０２ａは、動作例（その７）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の状態変更前の例を示す図である。この例は、図１３で説明した例と同じである。すなわち、状態変更前は、生徒端末１０８ｂが自習アプリを起動して教材サーバ１０７ａにアクセスし、先生端末１０８ａが自習アプリを起動して教材サーバ１０７ａと成績サーバ１０７ｂの両方にアクセスしている状態である。この場合、図１３で説明したように、教材サーバ１０７ａと生徒端末１０８ｂは、ＧＩＤ＝１のグループが先に組まれており、ともに仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のサブネットアドレス＝１９２．１６８．１０．０／２４に所属している。一方、成績サーバ１０７ｂと先生端末１０８ａは、ＧＩＤ＝１のグループの後からＧＩＤ＝２のグループが組まれており、ともに仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のサブネットアドレス＝１９２．１６８．２０．０／２４に所属している。そして、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のサブネットアドレス＝１９２．１６８．２０．０／２４と仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に属する教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．１０．１０との間で転送設定が登録されている。これにより、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０に所属する先生端末１０８ａが、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に所属する教材サーバ１０７ａにアクセス可能となっている。
図１６（ａ）の１６０１ｂと図１６（ｂ）の１６０２ｂは、上記動作例（その７）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の状態変更後の例を示す図である。状態変更後は、生徒端末１０８ｂが自習アプリの使用を終了することにより、図１６（ａ）の１６０１ｂおよび図１６（ｂ）の１６０２ｂに示されるように、まず、ＧＩＤ＝１の仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に関するエントリが削除される。そして、いままでＧＩＤ＝２であったエントリが、ＧＩＤ＝１になる。この場合、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に所属していた教材サーバ１０７ａは、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０から転送設定によりアクセスされる状態となっていた。このため、ＮＷ設定管理テーブル６０８上で単純にＧＩＤ＝１のエントリを削除してしまうと、先生端末１０８ａは教材サーバ１０７ａにアクセスできなくなってしまう。そこで、本実施形態では、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０に所属していた教材サーバ１０７ａが、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０に所属するように、新ＧＩＤ＝１のエントリの「認可リソース」項目に付け替えられる。これと共に、新ＧＩＤ＝１のエントリの「転送設定」項目は削除される。
具体的には、次のような制御動作により、上記認可リソースの付替えが行われる。
まず、ＮＷ設定管理テーブル６０８で、削除が行われるエントリの「転送設定」項目に登録されている転送設定で、転送元がそのエントリの「認可リソース」項目のＩＰアドレスである場合には、以下の付替え処理が実行される。まず、上記転送設定中の転送先のサブネットアドレスから、自身のエントリの「認可リソース」項目のＩＰアドレスへの転送設定がされているエントリが検出される。図１６の例では、図１６（ｂ）の１６０２ｂ内の一行目のエントリが削除されるエントリで、その「転送設定」項目の転送設定では、転送元がそのエントリの「認可リソース」項目のＩＰアドレス＝１９２．１６８．１０．１０（教材サーバ１０７ａ）となっている。また、転送先のサブネットアドレス＝１９２．１６８．２０．０／２４である。このサブネットアドレス＝１９２．１６８．２０．０／２４から「認可リソース」項目のＩＰアドレス＝１９２．１６８．１０．１０への転送設定がされているエントリは、図１６（ｂ）の１６０２ｂ内の二行目のエントリである。
次に、ＮＷリソース管理テーブル６０７上の図１６（ａ）の１６０１ａ内の１行目のエントリの「認可リソース」項目に登録されていて削除された認可リソースが特定される。その特定された認可リソースについて、上記検出されたエントリの「サブネットアドレス」項目に登録されているサブネットアドレスの範囲から、新たなＩＰアドレスが割り当てられる。そして、そのＩＰアドレスが、上記検出されたエントリの「認可リソース」項目に追加され、上記検出されたエントリの「転送設定」項目の上記転送設定が削除される。図１６の例では、図１６（ａ）のＮＷリソース管理テーブル６０７上で削除された１６０１ｂの一行目のエントリの「認可リソース」項目の教材サーバ１０７ａが削除された認可リソースである。その教材サーバ１０７ａに、検出された図１６（ｂ）の１６０２ｂ内の二行目のエントリの「サブネットアドレス」項目のサブネットアドレス＝１９２．１６８．２０．０／２４の範囲から、新たなＩＰアドレス＝１９２．１６８．２０．１１が割り当てられる。そして、そのＩＰアドレス＝１９２．１６８．２０．１１が、検出された図１６（ｂ）の１６０２ｂ内の二行目のエントリの「認可リソース」項目に追加される。
一方、ＮＷ設定管理テーブル６０８で、削除が行われる図１６の１６０２ｂ内の一行目のエントリの「転送設定」項目に登録されている転送設定で、転送元がそのエントリの「認可リソース」項目のＩＰアドレスでない場合には、以下の制御処理が実行される。すなわち、転送元がそのエントリの「サブネットアドレス」項目に登録されているサブネットアドレスである場合である。この場合には、削除されるエントリのサブネットアドレスに存在しない認可リソースが共有されていたので、認可リソースの付替え処理は不要である。この場合、まずエントリが削除され、転送先のエントリの該当する転送設定が削除される。
図１７は、本実施形態の動作例（その８）におけるＮＷリソース管理テーブル６０７とＮＷ設定管理テーブル６０８の登録内容の遷移例を示す図である。まず、図１７（ａ）の１７０１ａおよび図１７（ｂ）の１７０２ａは、それぞれ図１６（ａ）の１６０１ａおよび図１６（ｂ）の１６０２ａと同じ状態である。
図１６（ａ）の１６０１ｂと図１６（ｂ）の１６０２ｂは、先生端末１０８ａより先に自習アプリを起動させていた生徒端末１０８ｂがその自習アプリの使用を終了し、共有リソースの教材サーバ１０７ａが登録されている方のエントリが削除される場合であった。これに対して、図１７（ａ）の１７０１ｂと図１７（ｂ）の１７０２ｂは、後から自習アプリを起動させた先生端末１０８ａの方がその自習アプリの使用を終了し、共有リソースの教材サーバ１０７ａが登録されていない方のエントリが削除される場合である。この場合には、上述のように、削除されるエントリのサブネットアドレス＝１９２．１６８．２０．０／２４内に存在しないＩＰアドレス＝１９２．１６８．１０．１０を有する教材サーバ１０７ａが共有されていた。このため、認可リソースの付替え処理は不要で、単純にＧＩＤ＝２のエントリが削除されるだけでよい。
図１８は、上述した本実施形態の動作例（その７）または動作例（その８）におけるコントローラ１０１の制御動作を説明する図である。
まず、端末１０８（図１６の場合は生徒端末１０８ｂ、図１７の場合は先生端末１０８ａ）が自習アプリの使用を終了すると、端末１０８は、切断の状態をコントローラ１０１に通知した後に、ＷＬＡＮ−ＡＰ１０４への接続を切断する（図１８の１８０１）。このときの切断状態の通知は、通知される状態が「切断」となっただけで、具体的な制御動作は、前述の図９の９０１で説明した端末の状態の通知と同様である。
なお、端末１０８が明示的に切断しなかった場合には、例えばＷＬＡＮ−ＡＰ１０４やコントローラ１０１が端末１０８の接続のタイムアウトを検出することにより、切断状態を検出する。
次に、コントローラ１０１は、端末１０８が切断状態になると、図１６または図１７で説明したＮＷリソース管理テーブル６０７およびＮＷ設定管理テーブル６０８の更新を行う。
次に、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、ルータ１０３に対して、ＶＬＡＮに関する設定情報と、ＶＬＡＮに関する転送情報が変更になったことを送信する（図１８の１８０２）。この場合、ＮＷ機器設定要求送信部６０４は、図６で説明したＮＷ設定管理テーブル（前回）６０８ｂとＮＷ設定管理テーブル（最新）６０８ａの登録内容の差分を検出し、その差分のネットワーク設定値を設定情報とする。図１６の例では、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が削除されたことが設定情報として通知される。コントローラ１０１からルータ１０３への通知時の制御動作は、前述の図１３の１３０４と同様である。
ルータ１０３は、仮想ＮＷ−ＩＤの削除を指示する設定情報を受信すると、その仮想ＮＷ−ＩＤが設定されているサブインタフェースを削除する。また、ルータ１０３は、削除したサブインタフェースに設定されていたＩＰアドレスがインタフェースまたはゲートウェイとして設定されているルーティングテーブル中の経路情報を削除する。さらに、ルータ１０３は、削除したサブインタフェースを含むフィルタリングテーブル中のフィルタリング情報を削除する。図１６の場合は、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定されている第１のサブインタフェースが削除される。図１７の場合、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されている第２のサブインタフェースが削除される。また、図１６、図１７とも、第１または第２のサブインタフェースのＩＰアドレスがインタフェースまたはゲートウェイとして設定されているルーティングテーブル中の第１および第２の双方の経路情報が削除される。さらに、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０またはＶＬＡＮ２０を含むフィルタリングテーブル中の第１および第２の双方のフィルタリング情報が削除される。
次に、図１６の例の場合には、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、スイッチ１０２に対して、教材サーバ１０７ａが接続されているポート番号１について、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０を削除して、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０を新たに設定する設定情報を送信する（図１８の１８０３）。このときの制御動作は、前述の図９の９０４と同様である。スイッチ１０２は、上記設定情報を受信すると、以下の制御動作を実行する。スイッチ１０２は、内部に保持するＶＬＡＮテーブル（後述する図２４、図２５（ｂ）の２４０７参照）内の上記設定情報に設定されたポート番号＝１に関するエントリの仮想ＮＷ−ＩＤの値を、設定情報に従ってＶＬＡＮ１０からＶＬＡＮ２０に変更する。なお、図１７の例の場合は、教材サーバ１０７ａの付替えは行われないため、この制御動作は不要である。
次に、コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、図１のＷＬＡＮ−ＡＰ１０４に対して、ＳＳＩＤと仮想ＮＷ−ＩＤの組が削除されたことを通知する設定情報を送信する（図１８の１８０１）。図１６の場合は、ＳＳＩＤ１０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０の組、図１７の場合は、ＳＳＩＤ２０と仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０の組である。このときの制御動作は、削除動作になるだけで、前述の図９の９０５と同様である。ＷＬＡＮ−ＡＰ１０４は、上記設定情報を受信すると、内部に保持するＳＳＩＤテーブル（後述する図３３の３３０１参照）から、上記設定情報に含まれるＳＳＩＤと仮想ＮＷ−ＩＤの組のエントリを削除する。これ以降、ＷＬＡＮ−ＡＰ１０４は、端末１０８からの削除されたＳＳＩＤによる無線通信を受け付けなくなる。図１６の場合は生徒端末１０８ｂからのＳＳＩＤ１０の無線通信が、図１７の場合は先生端末１０８ａからのＳＳＩＤ２０の無線通信が、それぞれ受け付けられなくなる。
コントローラ１０１内のＮＷ機器設定要求送信部６０４（図６参照）は、ＤＨＣＰサーバ１０５に対して、仮想ＮＷ−ＩＤが削除されたことを通知する設定情報を送信する（図１８の１８０５）。図１６の場合は、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０、図１７の場合は、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０である。このときの制御動作は、削除動作になるだけで、前述の図９の９０７と同様である。ＤＨＣＰサーバ１０５は、上記設定情報を受信すると、以下の制御動作を実行する。ＤＨＣＰサーバ１０５は、内部に保持する設定テーブル（後述する図２８、図２９の２８０７参照）から、その設定情報に含まれる仮想ＮＷ−ＩＤが設定されているエントリを削除する。図１６の場合は仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のエントリが、図１７の場合は仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のエントリが、それぞれ削除される。
さらに、図１６の例の場合には、コントローラ１０１内のＮＷ機器設定要求送信部６０４は、教材サーバ１０７ａに対して、新たなＩＰアドレス＝１９２．１６８．２０．１１（図１６（ｂ）の１６０２ｂ参照）を指定する設定情報を送信する（図１８の１８０６）。このときの制御動作は、前述の図９の９０８と同様である。図１７の例の場合には、教材サーバ１０７ａの付け替えは行われないので、この制御動作は不要である。
最後に、図１６の例の場合には、コントローラ１０１内のＮＷ機器設定要求送信部６０４は、ＤＮＳサーバ１０６に対して、教材サーバ１０７ａの名前とＩＰアドレス＝１９２．１６８．２０．１１の組を通知する。ＤＮＳサーバ１０６は、上記組を受信すると、以下の制御動作を実行する。ＤＮＳサーバ１０６は、内部に保持する設定テーブル（後述する図３０、図３１の３００７参照）に記憶されている上記組に含まれる教材サーバ１０７ａの名前が含まれるエントリのＩＰアドレスの値を、上記組に含まれるＩＰアドレスに変更する。これにより、端末１０８は、教材サーバ１０７ａにアクセスするときに、そのサーバ名＝「ｋｙｏｚａｉ．ｓｅｒｖｅｒ．ｃｏｍ」に対して、新たに割り当てられたＩＰアドレスを取得してアクセスすることができる。図１７の例の場合には、教材サーバ１０７ａの付け替えは行われないので、この制御動作は不要である。
以上の制御動作により、端末１０８がＶＬＡＮを跨いでサーバ１０７にアクセスしていた場合に、サーバ１０７が含まれるＶＬＡＮまたは端末１０８が含まれるＶＬＡＮのいずれかが通信の終了で削除されても、サーバ１０７へのアクセスを適切に維持できる。
図１９および図２０は、端末１０８の状態が変化したときに、上述した図９から図１８の動作例を実現するために、図１のコントローラ１０１が実行する制御処理の例を示すフローチャートである。この処理は、コントローラ１０１を実現するコンピュータのＣＰＵ（中央演算処理装置）がメモリに記憶された制御処理プログラムを実行する動作である。
まず、端末１０８（図１）から、端末状態が受信される（図１９のステップＳ１９０１）。これは、前述の図９の９０１または図１３の１３０１等で説明した、端末状態受信部６０１（図６）の制御動作に対応する。
次に、制御ポリシテーブル６０６（図６、図７（ａ）、図９、図１３等参照）に対して、ステップＳ１９０１で新たに受信された端末状態に該当するＣＩＤが照会される（ステップＳ１９０２）。
次に、ステップＳ１９０２において、該当するＣＩＤが見つかったか否かが判定される（図１９のステップＳ１９０３）。
該当するＣＩＤが見つからない場合（ステップＳ１９０３の判定がＮＯの場合）には、コントローラ１０１は制御処理を終了する。
該当するＣＩＤが見つかった場合（ステップＳ１９０３の判定がＹＥＳの場合）には、ＮＷリソース管理テーブル６０７上に該当するＣＩＤのエントリが登録されているか否かが判定される（図１９のステップＳ１９０４）。
該当するＣＩＤのエントリが登録されていないと判定された場合（ステップＳ１９０４の判定がＮＯの場合）には、次の制御動作が実行される。ＮＷリソース管理テーブル６０７（図６、図７（ｂ）、図９、図１３、図１４（ａ）、図１５（ａ）等参照）上に新たなエントリが追加される（図１９のステップＳ１９０５）。具体的には、新たなＧＩＤの値が決定され、ステップＳ１９０２で検出された該当ＣＩＤの制御ポリシの内容に基づき、上記新エントリに、「ＧＩＤ」項目、「ＣＩＤ」項目、「接続端末」項目、および「認可リソース」項目の値が登録される。
一方、該当するＣＩＤのエントリが登録されていると判定された場合（ステップＳ１９０４の判定がＹＥＳの場合）には、次の制御動作が実行される。ＮＷリソース管理テーブル６０７上で「ＣＩＤ」項目の値がステップＳ１９０２で検出された該当ＣＩＤに一致するエントリの「接続端末」項目に、ステップＳ１９０１の新たな端末状態を発生した端末１０８の端末ＩＤが追加される（図１９のステップＳ１９０６）。
以上のステップＳ１９０２からＳ１９０６の処理は、前述の図９の９０２または図１３の１３０２等で説明した、ＮＷリソース管理部６０２（図６）の制御動作に対応する。
ステップＳ１９０５の後、ＮＷ設定管理テーブル６０８（図６、図７（ｃ）、図９、図１３、図１４（ｂ）、図１５（ｂ）等参照）に、ステップＳ１９０５で決定された新たなＧＩＤが「ＧＩＤ」項目に設定された新たなエントリが生成される。また、このエントリの「ＣＩＤ」項目には、ＮＷリソース管理テーブル６０７の「ＣＩＤ」項目の値がコピーして登録される（以上、図１９のステップＳ１９０７）。
次に、上記新たなＧＩＤのグループに対応する仮想ＮＷ−ＩＤおよびサブネットアドレスが決定され、上記ＮＷ設定管理テーブル６０８の新たなエントリの「仮想ＮＷ−ＩＤ」項目および「サブネットアドレス」項目に登録される（図１９のステップＳ１９０８）。
続いて、上記新たなＧＩＤのグループに対応するＳＳＩＤが決定され、上記ＮＷ設定管理テーブル６０８の新たなエントリの「ＳＳＩＤ」項目に登録される（図１９のステップＳ１９０９）。
一方、ステップＳ１９０４の判定がＹＥＳとなってステップＳ１９０６が実行された後には、次の制御動作が実行される。ＮＷ設定管理テーブル６０８上の「ＣＩＤ」項目の値がステップＳ１９０２で検出された該当ＣＩＤに一致するエントリの「接続端末」項目に、ステップＳ１９０１の新たな端末状態を発生させた端末１０８の端末ＩＤが追加される（図１９のステップＳ１９１３）。この端末ＩＤは、例えば端末１０８のＭＡＣアドレスである。
次に、図２０のフローチャートに移る。
図１９のステップＳ１９０６およびＳ１９０８でＮＷ設定管理テーブル６０８に新たなＧＩＤに対応するエントリが作成された後、その新エントリと他の既存エントリとで共有されるべきＮＷリソース（共有リソース）があるか否かが判定される（図２０のステップＳ１９１０）。
共有リソースがある場合（ステップＳ１９１０の判定がＹＥＳの場合）には、次の制御動作が実行される。共有リソースに対する転送設定が生成され、その転送設定が図１９のステップＳ１９０６で新たに生成されたエントリの「転送設定」項目に登録される（図３のステップＳ１９１１）。これは、前述の図１３または図１５（ｂ）等で説明した状態である。共有リソースの転送設定追加の処理の詳細については、後述する。
共有リソースがない場合（ステップＳ１９１０の判定がＮＯの場合）には、ステップＳ１９１１の処理はスキップされ、転送設定は登録されない。これは、前述の図９、図１０（ｂ）、図１１（ｂ）、図１２（ｂ）等で説明した状態である。
その後、図３のステップＳ１９０５でＮＷリソース管理テーブル６０７に追加されたエントリの「認可リソース」項目に登録されているＮＷリソースのうち、共有がされないＮＷリソース（認可リソース）の名前に対応するＩＰアドレスが決定される。そして、その決定されたＩＰアドレスが、図１９のステップＳ１９０６で新たに生成された新ＧＩＤエントリの「認可リソース」項目に登録される。このとき、図１９のステップＳ１９０８で決定されたサブネットアドレスに対応する所定のサーバ用のＩＰアドレスの範囲から未使用のＩＰアドレスが決定される（以上、図２０のステップＳ１９１２）。前述した図１３の例では、１３０３−１で説明したように、新たなに生成されたＧＩＤ＝２のエントリには、共有リソースである教材サーバ１０７ａのＩＰアドレスは登録されず、共有なしの成績サーバ１０７ｂのＩＰアドレスのみが登録される。また、前述した図１５（ｂ）の例では、新たなに生成されたＧＩＤ＝２のエントリには、共有リソースである成績サーバ１０７ｂのＩＰアドレスは登録されず、共有なしの教材サーバ１０７ａのＩＰアドレスのみが登録される。
図１９において、ステップＳ１９０４の判定がＹＥＳとなってステップＳ１９０７およびステップＳ１９１３が実行された後には、図２０のステップＳ１９１０からＳ１９１２の処理は実行されず、図２０のステップＳ１９１４に移行する。すなわち、図１９のステップＳ１９０６で新たに生成された新たなＧＩＤのエントリにおいて、「認可リソース」項目および「転送設定」項目の内容は変更されない。
以上のステップＳ１９０７からＳ１９１３の処理は、前述の図９の９０３または図１３の１３０３等で説明した、ＮＷ設定管理部６０３（図６）の制御動作に対応する。
図２０のステップＳ１９１２または図１９のステップＳ１９１３の処理の後、ＮＷ設定管理テーブル（前回）６０８ｂとＮＷ設定管理テーブル（最新）６０８ａとの差分が抽出される（図２０のステップＳ１９１４）。
その後、ステップＳ１９１４で抽出されたネットワーク設定値の差分情報のみが、設定情報として各ＮＷ機器へ設定要求される（図２０のステップＳ１９１５）。この処理は、前述の図９の９０４〜９０８、または前述の図１３の１３０４〜１３０９で説明した制御動作である。
その後、コントローラ１０１は、端末状態変化時の図１９および図２０で示される制御処理を終了する。
図２１は、図１９のステップＳ１９０８の、新ＧＩＤへの仮想ＮＷ−ＩＤ、サブネットアドレス追加の処理の詳細例を示すフローチャートである。
まず、図６の記憶部６０５に記憶されている仮想ＮＷ−ＩＤ管理テーブル６０９（図８（ａ））から、「割当」項目＝「未使用」のエントリの「仮想ＮＷ−ＩＤ」項目に登録されている仮想ＮＷ−ＩＤが取得される。そして、そのエントリの「割当」項目の値が「使用中」に変更される（ステップＳ２１０１）。
次に、図６の記憶部６０５に記憶されているサブネット管理テーブル６１０（図８（ｂ））から、「割当」項目＝「未使用」のエントリの「サブネットアドレス」項目に登録されているサブネットアドレスが取得される。そして、そのエントリの「割当」項目の値が「使用中」に変更される（ステップＳ２１０２）。
そして、ステップＳ２１０１で取得された仮想ＮＷ−ＩＤが、図１９のステップＳ１９０６で生成された新ＧＩＤのエントリの「仮想ＮＷ−ＩＤ」項目に登録される。また、ステップＳ２１０２で取得されたサブネットアドレスが、上記新ＧＩＤのエントリの「サブネットアドレス」項目に登録される（ステップＳ２１０３）。
その後、図２１のフローチャートの処理が終了し、図１９のステップＳ１９０８の新ＧＩＤへの仮想ＮＷ−ＩＤ、サブネットアドレス追加の処理が終了する。
図２２は、図２０の共有リソースの転送設定追加の処理の詳細例を示すフローチャートである。
まず、共有リソースが所属するＧＩＤのエントリの「転送設定」項目に、そのエントリの「認可リソース」項目の共有リソースのＩＰアドレスから図１９のステップＳ１９０８で生成されたサブネットアドレスへの転送情報が設定される（ステップＳ２２０１）。前述の図１３の１３０３−２の例では、共有リソースである教材サーバ１０７ａが所属するＧＩＤ＝１のエントリの「転送設定」項目に、次の転送情報が設定される。この転送情報は、ＧＩＤ＝１のエントリの「認可リソース」項目の教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．１０．１から、ＧＩＤ＝２のエントリの「サブネットアドレス」項目のサブネットアドレス＝１９２．１６８．２０．０／２４への転送を指示する。また、前述の図１５の例では、共有リソースである成績サーバ１０７ｂが所属するＧＩＤ＝１のエントリの「転送設定」項目に、次の転送情報が設定される。この転送情報は、ＧＩＤ＝１のエントリの「認可リソース」項目の成績サーバ１０７ｂのＩＰアドレス＝１９２．１６８．１０．１０から、ＧＩＤ＝２のエントリの「サブネットアドレス」項目のサブネットアドレス＝１９２．１６８．２０．０／２４への転送を指示する。
そして、共有リソースの転送先のエントリ、すなわち図１９のステップＳ１９０６およびＳ１９０７で新たに生成された新ＧＩＤのエントリの「転送設定」項目に、次の転送設定が登録される。図１９のステップＳ１９０８で生成されたサブネットアドレスから共有リソースが所属するエントリの「認可リソース」項目に登録された共有リソースのＩＰアドレスへの転送情報が設定される（ステップＳ２２０２）。前述の図１３の１３０３−２の例では、共有リソースの転送先のＧＩＤ＝２のエントリの「転送設定」項目に、次の転送情報が設定される。この転送情報は、ＧＩＤ＝２のエントリの「サブネットアドレス」項目のサブネットアドレス＝１９２．１６８．２０．０／２４から、ＧＩＤ＝１のエントリの「認可リソース」項目の教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．１０．１への転送を指示する。また、前述の図１５の例では、共有リソースの転送先のＧＩＤ＝２のエントリの「転送設定」項目に、次の転送情報が設定される。この転送情報は、ＧＩＤ＝２のエントリの「サブネットアドレス」項目のサブネットアドレス＝１９２．１６８．２０．０／２４から、ＧＩＤ＝１のエントリの「認可リソース」項目の成績サーバ１０７ｂのＩＰアドレス＝１９２．１６８．１０．１０への転送を指示する。
その後、図２２のフローチャートの処理が終了し、図２０のステップＳ１９１１の共有リソースの転送設定追加の処理が終了する。
前述した図９から図１８の動作例では、コントローラ１０１内のＮＷリソース管理テーブル６０７のエントリの「認可リソース」項目に登録されるサーバ１０７のＩＰアドレスは、次のように決定された。すなわち、コントローラ１０１内のＮＷ設定管理部６０３（図６参照）が、ＮＷ設定管理テーブル６０８のエントリの「サブネットアドレス」項目に設定されたサブネットアドレスに属する未使用のＩＰアドレスを選択してそのエントリの「認可リソース」項目に登録した。これに対して、サーバ１０７群のみを別のＧＩＤとみなし、それらのＩＰアドレスを固定的に特定のサブネットアドレスに帰属させることも可能である。図２３は、そのような制御動作を実現する本実施形態の動作例（その９）を説明する図である。
図２３は、図１３の場合と同様に、生徒端末１０８ｂが自習アプリを起動して教材サーバ１０７ａにアクセスし、先生端末１０８ａも自習アプリを起動して教材サーバ１０７ａと成績サーバ１０７ｂの双方にアクセスするケースである。ただし、図１３の場合と異なり、教材サーバ１０７ａと成績サーバ１０７ｂは、予め仮想ＮＷ−ＩＤ＝ＶＬＡＮ３０のサブネットアドレス１９２．１６８．３０．０／２４に固定的に帰属させられる。そして、教材サーバ１０７ａにはＩＰアドレス＝１９２．１６８．３０．１０、成績サーバ１０７ｂにはＩＰアドレス１９２．１６８．３０．１１が、それぞれ固定的に割り当てられる。この場合、各サーバ名とＩＰアドレスの組が、ＤＮＳサーバ１０６の設定テーブル３００７（図３０、図３１参照）に予め固定的に割り当てられている。
この状態で、コントローラ１０１内のＮＷ設定管理部６０３は、以下の制御動作を実行する。
まず、ＮＷ設定管理部６０３は、ＮＷ設定管理テーブル６０８において、以下の登録動作を実行する。ＮＷ設定管理部６０３は、図１３の場合と同様に、生徒端末１０８ｂを含むＧＩＤ＝１に、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０、サブネットアドレス＝１９２．１６８．１０．０／２４、ＳＳＩＤ＝ＳＳＩＤ１０をそれぞれ割り当てる。また、ＮＷ設定管理部６０３は、図１３の場合と同様に、先生端末１０８ａを含むＧＩＤ＝２に、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０、サブネットアドレス＝１９２．１６８．２０．０／２４、ＳＳＩＤ＝ＳＳＩＤ２０がそれぞれ割り当てられる。
また、ＮＷ設定管理部６０３は、図２３のＮＷ設定管理テーブル６０８の「認可リソース」項目には、次のような割当てを行う。ＮＷ設定管理部６０３は、ＧＩＤ＝１のエントリでは、教材サーバ１０７ａに対応するＩＰアドレス＝１９２．１６８．３０．１０を固定的に割り当てる。一方、ＮＷ設定管理部６０３は、ＧＩＤ＝２のエントリでは、教材サーバ１０７ａに対応するＩＰアドレス＝１９２．１６８．３０．１０と成績サーバ１０７ｂに対応するＩＰアドレス＝１９２．１６８．３０．１を固定的に割り当てる。このとき、ＮＷ設定管理部６０３は、ＮＷリソース管理テーブル６０７の「認可リソース」項目に登録されたサーバ名で、ＤＮＳサーバ１０６に問い合わせることにより、サーバ１０７のＩＰアドレスを取得することができる。
さらに、図２３において、ＮＷ設定管理テーブル６０８の「転送設定」項目には、次のような割当てが行われる。ＧＩＤ＝１のエントリでは、そのエントリの「サブネットアドレス」項目のサブネットアドレス＝１９２．１６８．１０．０／２４から教材サーバ１０７ａのＩＰアドレス＝１９２．１６８．３０．１０への転送設定が登録される。また、ＧＩＤ＝２のエントリでは、そのエントリの「サブネットアドレス」項目のサブネットアドレス＝１９２．１６８．１０．０／２４から教材サーバ１０７ａおよび成績サーバ１０７ｂの各ＩＰアドレス＝１９２．１６８．３０．１０および１９２．１６８．３０．１１への各転送設定が登録される。
図２４は、本実施形態による図１のスイッチ１０２の構成例を示す図である。スイッチ１０２は、イーサネットインタフェース２４０１、転送制御部２４０２、設定インタフェース２４０３、設定制御部２４０４、および記憶部２４０５を備える。記憶部２４０５は、ＭＡＣテーブル２４０６およびＶＬＡＮテーブル２４０７を記憶する。
イーサネットインタフェース２４０１は、ＬＡＮであるイーサネットを収容するインタフェース回路である。このイーサネットインタフェース２４０１は、ＬＡＮケーブル等を物理的に接続することのできるポートを複数備える。イーサネットインタフェース２４０１は、前述したように、仮想ＮＷ−ＩＤを設定するポートのほかに、前述したトランクポートを備える。
転送制御部２４０２は、記憶部２４０５に記憶されているＭＡＣテーブル２４０６とＶＬＡＮテーブル２４０７を用いて、イーサネットインタフェース２４０１の各ポートで受信されたフレームを他のポートに中継する制御を行う。転送制御部２４０２は、ＭＡＣテーブル２４０６を自ら更新しながら、前述した基本的な中継動作を実行する。
設定インタフェース２４０３は、スイッチ１０２の１つのポートであり、図１のコントローラ１０１が接続される。この設定インタフェース２６０３には、図１のコントローラ１０１と通信可能な専用の仮想ＮＷ−ＩＤが設定される。設定インタフェース２４０３は、この仮想ＮＷ−ＩＤに対応する専用のＶＬＡＮを用いて、コントローラ１０１からイーサネットインタフェース２４０１内の各ポートに割り当てられる各ＶＬＡＮに関する設定情報を受信する。
設定制御部２４０４は、設定インタフェース２４０３が受信したＶＬＡＮに関する設定情報を、記憶部２４０５内のＶＬＡＮテーブル２４０７に設定する。
図２５は、記憶部２４０５に記憶されるＭＡＣテーブル２４０６およびＶＬＡＮテーブル２４０７のデータ構成例を示す図である。
まず、図２５（ａ）は、ＭＡＣテーブル２４０６のデータ構成例を示す。ＭＡＣテーブル２４０６において、「ポート」項目に登録されたイーサネットインタフェース２４０１の各ポートに対応するポート番号に対応して、「ＭＡＣアドレス」項目にそのポートに接続されるＮＷ機器のＭＡＣアドレスが記憶される。
スイッチ１０２の起動時にはＭＡＣテーブル２４０６の各エントリの「ポート」項目（図２５（ａ）の１〜ｎ）に対応する「ＭＡＣアドレス」項目の値は空である。
この状態で、いずれかのポートにそのポートに接続されているＮＷ機器からフレーム（イーサネットフレーム）が着信する。転送制御部２４０２は、フレームが着信すると、そのフレームのヘッダ中の送信元ＭＡＣアドレスを取り出す。そして、転送制御部２４０２は、図２５（ａ）に例示されるＭＡＣテーブル２４０６の着信が発生したポートに対応するポート番号を「ポート」項目に有するエントリの「ＭＡＣアドレス」項目に、その取り出したＭＡＣアドレスを登録する。以上の動作が繰り返し実行されることにより、ＭＡＣテーブル２４０６の各エントリの「ＭＡＣアドレス」項目の内容が埋められてゆく。
その後、いずれかのポートにフレームが着信すると、転送制御部２４０２は、そのフレームのヘッダ中の宛先ＭＡＣアドレスを取り出す。転送制御部２４０２は、その宛先ＭＡＣアドレスでＭＡＣテーブル２４０６内の「ＭＡＣアドレス」項目を検索する。この結果、その宛先ＭＡＣアドレスがＭＡＣテーブル２４０６上で見つかると、見つかったエントリの「ポート」項目からポート番号を取り出す。転送制御部２４０２は、上記着信したフレームを、そのポート番号に対応するポートに中継する。一方、宛先ＭＡＣアドレスがＭＡＣテーブル２４０６上で見つからなかったときには、転送制御部２４０２は、上記着信したフレームを、着信ポート以外の全てのポートに中継する。
このようにして、転送制御部２４０２は、着信したフレームが無駄なポートに中継されないように、効率的な転送制御を行う。
図２５（ｂ）は、記憶部２４０５に記憶されるＶＬＡＮテーブル２４０７のデータ構成例を示す図である。前述したように、コントローラ１０１は、ポート番号と仮想ＮＷ−ＩＤの組を、ＶＬＡＮに関する設定情報として通知する。この情報は、図２４の設定インタフェース２４０３で受信され、設定制御部２４０４に引き渡される。設定制御部２４０４は、図２５（ｂ）に例示されるＶＬＡＮテーブル２４０７上で、受信された設定情報中のポート番号が「ポート」項目に設定されているエントリの「仮想ＮＷ−ＩＤ」項目に、上記設定情報中の仮想ＮＷ−ＩＤを登録する。
このようにして、スイッチ１０２の各ポートに接続されたＮＷ機器を、そのポートに対応してＶＬＡＮテーブル２４０７上で設定された仮想ＮＷ−ＩＤを有するＶＬＡＮに所属させることが可能となる。
図２６は、本実施形態による図１のルータ１０３の構成例を示す図である。ルータ１０３は、１つ以上のサブインタフェース２６０１（図２６中では「ＩＦ＃１」「ＩＦ＃２」などと記載）、転送制御部２６０２、設定インタフェース２６０３、設定制御部２６０４、および記憶部２６０５を備える。記憶部２６０５は、ルーティングテーブル２６０６およびフィルタリングテーブル２６０７を記憶する。
サブインタフェース２６０１は、前述した論理的なインタフェースである。前述したように、ルータ１０３の特には図示しない物理インタフェース（イーサネットインタフェース）は、図１のスイッチ１０２の例えばトランクポートに接続されている。複数のサブインタフェース２６０１は、この物理インタフェース上に設定される。なお、図２６では、図１３の動作例などで前述した２つの仮想ＮＷ−ＩＤであるＶＬＡＮ１０とＶＬＡＮ２０に対応させて、ＩＦ＃１とＩＦ＃２の２つのみのサブインタフェース２６０１が表記されている。ここで、設定されるＶＬＡＮの数が増えれば、このサブインタフェース２６０１の数は設定可能なＶＬＡＮの数だけ増加させることが可能である。
転送制御部２６０２は、図１のスイッチ１０２から転送されてきたフレームを、そのフレームに付加されている仮想ＮＷ−ＩＤが割り当てられているサブインタフェース２６０１（図２６ではＩＦ＃１またはＩＦ＃２のいずれか）で受信する。転送制御部２６０２は、受信したフレームに格納されているＩＰパケットの送信元ＩＰアドレスと宛先ＩＰアドレスを取り出す。転送制御部２６０２は、それらのアドレスを記憶部２６０５内のルーティングテーブル２６０６に設定されている経路情報と比較することにより、出力先のサブインタフェース２６０１（図２６ではＩＦ＃２またはＩＦ＃１のいずれか）を決定する。転送制御部２６０２は、受信したＩＰパケットを含み、出力先のサブインタフェースに設定されている仮想ＮＷ−ＩＤをタグとして含むイーサネットフレームを生成する。転送制御部２６０２は、そのイーサネットフレームを、出力先のサブインタフェース２６０１から特には図示しない物理インタフェースを介して、スイッチ１０２のトランクポートに転送する。なお、転送制御部２６０２は、記憶部２６０５内のフィルタリングテーブル２６０７を参照することにより、転送を禁止または許可するパケットフィルタリングを実施する。
設定インタフェース２６０３は、サブインタフェース２６０１と同様に、図１のスイッチ１０２の例えばトランクポートに接続されている特には図示しない物理インタフェース上に設定される論理的なサブインタフェースの１つである。この設定インタフェース２６０３には、図１のコントローラ１０１と通信可能な仮想ＮＷ−ＩＤが設定される。設定インタフェース２６０３は、この仮想ＮＷ−ＩＤに対応する専用のＶＬＡＮを用いて、コントローラ１０１から記憶部２６０５内のルーティングテーブル２６０６またはフィルタリングテーブル２６０７に設定されるべき転送設定（経路情報）を受信する。また、設定インタフェース２６０３は、上記専用のＶＬＡＮを用いて、コントローラ１０１から各サブインタフェース２６０１に設定されるべきＶＬＡＮに関する設定情報を受信する。経路情報２７０１やフィルタリング情報２７０２の設定情報は、前述したＲＩＰなどのダイナミックルーティングプロトコルを用いることにより、コントローラ１０１からルータ１０３に転送できる。
設定制御部２６０４は、設定インタフェース２６０３が受信した転送設定を、記憶部２６０５内のルーティングテーブル２６０６およびフィルタリングテーブル２６０７に設定する。また、設定制御部２６０４は、設定インタフェース２６０３が受信したＶＬＡＮに関する設定情報に基づいて、その設定情報に含まれる仮想ＮＷ−ＩＤと、その設定情報に含まれるサブネットアドレスに属するＩＰアドレスとが設定されたサブインタフェース２６０１を生成する。
図２７は、記憶部２６０５に記憶されるルーティングテーブル２６０６およびフィルタリングテーブル２６０７のデータ構成例を示す図である。
まず、図２７（ａ）は、ルーティングテーブル２６０６のデータ構成例を示す。ルーティングテーブル２６０６に設定される経路情報２７０１のデータ構成は、図５で説明した経路情報５０１のデータ構成と同じである。図２６（ａ）の経路情報２７０１が図５の経路情報５０１と異なる点は、経路情報２７０１は、設定インタフェース２６０３および設定制御部２６０４を介して、コントローラ１０１から設定されるという点である。
図２７（ａ）のルーティングテーブル２６０６の一行目および二行目の各エントリの経路情報２７０１はそれぞれ、図１３の説明で前述した第１および第２の経路情報に対応する。
次に、図２７（ｂ）は、フィルタリングテーブル２６０７のデータ構成例を示す。「通信方向」項目には、サブインタフェース２６０１間のどの方向、例えばＩＦ＃１からＩＦ＃２か、ＩＦ＃２からＩＦ＃１のどちらの方向に流れるＩＰパケットに対してフィルタリングが実行されるかが設定される。「プロトコル」項目には、ＯＳＩ階層のレイヤ３（Ｌ３）階層に設定されているどの通信プロトコルのデータが格納されたＩＰパケットに対してフィルタリングが実行されるかが設定される。「送信元ＩＰアドレス」項目には、どの送信元ＩＰアドレスが設定されたＩＰパケットに対してフィルタリングが実行されるかが設定される。「宛先ＩＰアドレス」項目には、どの宛先ＩＰアドレスが設定されたＩＰパケットに対してフィルタリングが実行されるかが設定される。「送信元ポート番号」項目には、ＯＳＩ階層のレイヤ３（Ｌ３）階層に設定されているどの送信元ポート番号を有するデータが格納されたＩＰパケットに対してフィルタリングが実行されるかが設定される。「宛先ポート番号」項目には、ＯＳＩ階層のレイヤ３（Ｌ３）階層に設定されているどの宛先ポート番号を有するデータが格納されたＩＰパケットに対してフィルタリングが実行されるかが設定される。「通過」項目には、ＩＰパケットの通過を「許可」するか「禁止」するかが設定される。
図２７（ｂ）のフィルタリングテーブル２６０７の一行目および二行目の各エントリのフィルタリング情報２７０２はそれぞれ、図１３の説明で前述した第２および第１の経路情報に対応する。
図２７に例示される経路情報２７０１およびフィルタリング情報２７０２によって、例として、次のような経路制御が実現される。
まず、図１のコントローラ１０１からの設定情報に基づいて、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０、ＩＰアドレス＝１９２．１６８．１０．１が割り当てられたＩＦ＃１が、サブインタフェース２６０１として生成されている。また、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０、ＩＰアドレス＝１９２．１６８．１０．２が割り当てられたＩＦ＃２が、サブインタフェース２６０１として生成されている。
この状態で例えば、サブネットアドレス＝１９２．１６８．１０．０のＶＬＡＮ１０に属するＮＷリソースを宛先とするＩＰパケットを含み、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のタグが設定されたフレームがルータ１０３に転送されてきたとする。ルータ１０３は、そのフレームを、ＩＰアドレス＝１９２．１６８．２０．１が設定され仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０が設定されたＩＦ＃２のサブインタフェース２６０１で受信する。図２６の転送制御部２６０２は、ＩＦ＃２で受信したフレームからＩＰパケットを取り出す。転送制御部２６０２は、そのＩＰパケットから、サブネットアドレス＝１９２．１６８．１０．０に属する宛先ＩＰアドレスと、サブネットアドレス＝１９２．１６８．２０．０に属する送信元ＩＰアドレスを取り出す。例えば、宛先ＩＰアドレス＝１９２．１６８．１０．１０だとする。転送制御部２６０２は、宛先ＩＰアドレスおよび送信元ＩＰアドレスを、図２７に例示されるルーティングテーブル２６０６の経路情報２７０１およびフィルタリング情報２７０２と比較する。この結果、転送制御部２６０２は、宛先ＩＰアドレス＝１９２．１６８．１０．１０のＩＰパケットを、ＩＰアドレス＝１９６．１６８．１０．１が設定されたサブインタフェースＩＦ＃１に出力する。転送制御部２６０２は、フィルタリング情報２７０２に基づいて、全てのプロトコル、全ての送信元ポート番号、および全ての宛先ポート番号が設定されたＩＰパケットを、サブインタフェース２６０１＝ＩＦ＃１に転送する。また、転送制御部２６０２は、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０（サブネットアドレス＝１９２．１６８．２０．０）内の任意のＮＷ機器からのＩＰパケットを、サブインタフェース２６０１＝ＩＦ＃１に転送する。転送制御部２６０２は、上記ＩＰパケットが格納され、サブインタフェース２６０１＝ＩＦ＃１に設定されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０がタグとして付加されたフレームを生成する。そして、転送制御部２６０２は、その生成したフレームを、サブインタフェース２６０１＝ＩＦ＃１が設定される物理イーサネットインタフェースから、図１のスイッチ１０２のトランクポートに向けて送信する。
逆に例えば、サブネットアドレス＝１９２．１６８．２０．０のＶＬＡＮ２０に属するＮＷリソースを宛先とするＩＰパケットを含み、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のタグが設定されたフレームがルータ１０３に転送されてきたとする。ルータ１０３は、そのフレームを、ＩＰアドレス＝１９２．１６８．１０．１が設定され仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０が設定されたＩＦ＃１のサブインタフェース２６０１で受信する。図２６の転送制御部２６０２は、ＩＦ＃１で受信したフレームからＩＰパケットを取り出す。転送制御部２６０２は、そのＩＰパケットから、サブネットアドレス＝１９２．１６８．２０．０に属する宛先ＩＰアドレスと、サブネットアドレス＝１９２．１６８．１０．０に属する送信元ＩＰアドレスを取り出す。例えば、送信元ＩＰアドレス＝１９２．１６８．１０．１０だとする。転送制御部２６０２は、宛先ＩＰアドレスおよび送信元ＩＰアドレスを、図２７に例示されるルーティングテーブル２６０６の経路情報２７０１およびフィルタリング情報２７０２と比較する。この結果、転送制御部２６０２は、サブネットアドレス＝１９２．１６８．２０．０に属する宛先ＩＰアドレスを有するＩＰパケットを、ＩＰアドレス＝１９６．１６８．２０．１が設定されたサブインタフェースＩＦ＃２に出力する。転送制御部２６０２は、フィルタリング情報２７０２に基づいて、全てのプロトコル、全ての送信元ポート番号、および全ての宛先ポート番号が設定されたＩＰパケットを、サブインタフェース２６０１＝ＩＦ＃２に転送する。また、転送制御部２６０２は、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０内の送信元ＩＰアドレス＝１９２．１６８．１０．１０を有するＮＷ機器のみからのＩＰパケットを、サブインタフェース２６０１＝ＩＦ＃２に転送する。転送制御部２６０２は、上記ＩＰパケットが格納され、サブインタフェース２６０１＝ＩＦ＃２に設定されている仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０がタグとして付加されたフレームを生成する。そして、転送制御部２６０２は、その生成したフレームを、サブインタフェース２６０１＝ＩＦ＃２が設定される物理イーサネットインタフェースから、図１のスイッチ１０２のトランクポートに向けて送信する。
以上のようにして、本実施形態によれば、スイッチ１０２とルータ１０３によって、異なるＶＬＡＮ間、例えば仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０のＶＬＡＮと仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０のＶＬＡＮとの間で、フレームを中継することが可能となる。
このとき、本実施形態では、前述したように、図６のコントローラ１０１から、図２４のスイッチ１０２内の各テーブル２４０６、２４０７と、図２６のルータ１０３内の各テーブル２６０６、２６０７およびサブインタフェース２６０１を設定できる。
図２８は、本実施形態による図１のＤＨＣＰサーバ１０５の構成例を示す図である。ＤＨＣＰサーバ１０５は、受信部２８０１、ＤＨＣＰプロトコル制御部２８０２、送信部２８０３、設定インタフェース２８０４、設定制御部２８０５、および記憶部２８０６を備える。記憶部２８０６には、設定テーブル２８０７が記憶される。
受信部２８０１は、特には図示しない物理イーサネットインタフェースを介して、図１の端末１０８や教材サーバ１０７ａまたは成績サーバ１０７ｂなどからのＩＰアドレスの払出し要求を受信する。
ＤＨＣＰプロトコル制御部２８０２は、受信部２８０１が受信したＩＰアドレスの払出し要求に対して、ＤＨＣＰプロトコルに従って、記憶部２８０６内の設定テーブル２８０７を参照する。この結果、ＤＨＣＰプロトコル制御部２８０２は、ＩＰアドレスの払出し要求に含まれる仮想ＮＷ−ＩＤのＶＬＡＮに対応するサブネットアドレスの払出し範囲から、未使用のＩＰアドレスを選択する。
送信部２８０３は、ＤＨＣＰプロトコル制御部２８０２が選択した未使用のＩＰアドレスを、ＩＰアドレスの払出し要求の送信元のＮＷ機器に返信する。
設定インタフェース２８０４は、特には図示しない物理イーサネットインタフェースを介して、コントローラ１０１から仮想ＮＷ−ＩＤとサブネットアドレスを含む設定情報を受信する。
設定制御部２８０５は、設定インタフェース２８０４が受信した設定情報に基づいて、記憶部２８０６内の設定テーブル２８０７に対して設定を行う。
図２９は、図２８の記憶部２８０６に記憶される設定テーブル２８０７のデータ構成例を示す図である。設定制御部２８０５は、コントローラ１０１から仮想ＮＷ−ＩＤとサブネットアドレスを含む設定情報を受信すると、それらが「仮想ＮＷ−ＩＤ」項目および「サブネット」項目にそれぞれ登録されたエントリを生成する。
設定制御部２８０５は、そのエントリの「デフォルトルータ」項目に、上記サブネットアドレスに属するＩＰパケットがデフォルトで転送されるルータ１０３のサブインタフェースのＩＰアドレスを登録する。
また、設定制御部２８０５は、「割当アドレス」項目に、上記サブネットアドレスの範囲内で割当てることのできるＩＰアドレスの範囲を登録する。
さらに、設定制御部２８０５は、「除外アドレス」項目に、「割当アドレス」項目に登録された範囲内で特別に除外すべきＩＰアドレスまたはその範囲を登録する。これらの除外アドレスは、例えば固定ＩＰアドレスとして使用される。
図２９の例では、仮想ＮＷ−ＩＤ＝ＶＬＡＮ１０、サブネットアドレス＝１９２．１６８．１０．０／２４のエントリに、デフォルトルータのＩＰアドレス＝１９２．１６８．１０．１（例えば図２６のサブインタフェース２６０１＝ＩＦ＃１）が設定される。また、このエントリにおいて、割当アドレスとして、１９２．１６８．１０．２から１９２．１６８．１０．５０までの範囲のＩＰアドレスが割り当てられる。ただし、このエントリにおいて、ＩＰアドレス＝１９２．１６８．１０．５は除外されることが設定される。また、仮想ＮＷ−ＩＤ＝ＶＬＡＮ２０、サブネットアドレス＝１９２．１６８．２０．０／２４のエントリに、デフォルトルータのＩＰアドレス＝１９２．１６８．２０．１（例えば図２６のサブインタフェース２６０１＝ＩＦ＃２）が設定される。また、このエントリにおいて、割当アドレスとして、１９２．１６８．２０．２から１９２．１６８．２０．６０までの範囲のＩＰアドレスが割り当てられる。ただし、このエントリにおいて、ＩＰアドレス＝１９２．１６８．２０．３０〜１９２．１６８．２０．３５までは除外されることが設定される。
図３０は、本実施形態による図１のＤＮＳサーバ１０６の構成例を示す図である。ＤＮＳサーバ１０６は、受信部３００１、ＤＮＳプロトコル制御部３００２、送信部３００３、設定インタフェース３００４、設定制御部３００５、および記憶部３００６を備える。記憶部３００６には、設定テーブル３００７が記憶される。
受信部３００１は、特には図示しない物理イーサネットインタフェースを介して、図１の端末１０８や教材サーバ１０７ａまたは成績サーバ１０７ｂなどからのサーバ名の解決要求を受信する。
ＤＮＳプロトコル制御部３００２は、受信部３００１が受信したサーバ名の解決要求に対して、ＤＮＳプロトコルに従って、記憶部３００６内の設定テーブル３００７を参照する。この結果、ＤＮＳプロトコル制御部３００２は、サーバ名の解決要求に含まれるサーバ名に対応するＩＰアドレスを取得する。
送信部３００３は、ＤＮＳプロトコル制御部３００２が取得したＩＰアドレスを、サーバ名の解決要求の送信元のＮＷ機器に返信する。
設定インタフェース３００４は、特には図示しない物理イーサネットインタフェースを介して、コントローラ１０１からＩＰアドレスとサーバ名を含む設定情報を受信する。
設定制御部３００５は、設定インタフェース３００４が受信した設定情報に基づいて、記憶部３００６内の設定テーブル３００７に対して設定を行う。
図３１は、図３０の記憶部３００６に記憶される設定テーブル３００７のデータ構成例を示す図である。設定制御部３００５は、コントローラ１０１からＩＰアドレスとサーバ名を含む設定情報を受信すると、それらが「ＩＰアドレス」項目および「サーバ名」項目にそれぞれ登録されたエントリを生成する。
図３１の例では、ＩＰアドレス＝１９２．１６８．１０．１０に対して図１の教材サーバ１０７ａのサーバ名＝「ｋｙｏｚａｉ．ｓｅｒｖｅｒ．ｃｏｍ」が対応付けられる。また、ＩＰアドレス＝１９２．１６８．２０．１０に対して図１の成績サーバ１０７ｂのサーバ名＝「ｓｅｉｓｅｋｉ．ｓｅｒｖｅｒ．ｃｏｍ」が対応付けられる。図１の端末１０８（先生端末１０８ａや生徒端末１０８ｂ）は、ユーザアプリ（自習アプリや成績評価アプリ）から教材サーバ１０７ａや成績サーバ１０７ｂにアクセスするときに、サーバ名を含むアドレスを指定する。このとき、端末１０８は、ＤＮＳサーバ１０６に対し、サーバ名の解決要求を送信し、アクセスするサーバ名に対応するＩＰアドレスを取得する。そして、端末１０８は、そのＩＰアドレスが宛先ＩＰアドレスに設定され必要なユーザデータが格納されたＩＰパケットを生成し、そのＩＰパケットを無線ＬＡＮのフレームに格納して送信する。
図３２は、本実施形態による図１の端末１０８（先生端末１０８ａ、生徒端末１０８ｂ等）の構成例を示す図である。
状態管理部３２０１は、端末１０８自身の状態を管理する。具体的には、状態管理部３２０１は例えば、端末１０８の種別（先生端末１０８ａか生徒端末１０８ｂかの別）、起動しているユーザアプリの名前等を取得する。
接続制御部３２０２は、状態を図１のコントローラ１０１に送信するための接続制御を行う。
具体的には、接続制御部３２０２は、状態をコントローラ１０１に送信する仮接続時には、次のような接続制御動作を実行する。ここで、「仮接続」とは、端末１０８がまだサーバ１０７にアクセスしていない状態で、コントローラ１０１に対して端末１０８自身の状態を通知するために確立する通信接続をいう。
まず、接続制御部３２０２は、状態を送信するための仮接続用のＳＳＩＤを設定する。
また、接続制御部３２０２は、図１のＤＨＣＰサーバ１０５に問い合わせて、仮接続用のＩＰアドレスを取得する。このとき、接続制御部３２０２は、コントローラ１０１との仮接続用の仮想ＮＷ−ＩＤを指定して問い合わせる。これに対して、ＤＨＣＰサーバ１０５は、仮接続用の仮想ＮＷ−ＩＤの範囲に属する未使用のＩＰアドレスを端末１０８に返信する。
接続制御部３２０２は、図１のコントローラ１０１のＩＰアドレスが宛先ＩＰアドレスとして設定され、ＤＨＣＰサーバ１０５から仮接続用に取得した端末１０８自身のＩＰアドレスが送信元ＩＰアドレスとして設定されたＩＰパケットを生成する。
このとき、接続制御部３２０２内の状態情報付加部３２０３が、上記ＩＰパケットに、状態管理部３２０１が取得している端末の状態に対応する状態情報を付加する。
また、接続制御部３２０２は、上記ＩＰパケットに、端末１０８自身の端末ＩＤを付加する。この端末ＩＤは、端末１０８のＭＡＣアドレスでよい。あるいは、他の一意な識別番号であってもよい。
接続制御部３２０２は、上記ＩＰパケットが格納された上記無線ＬＡＮフレームを生成する。
接続制御部３２０２は、この無線ＬＡＮフレームに、コントローラ１０１との仮接続用の仮想ＮＷ−ＩＤをタグとして付加する。
接続制御部３２０２は、この無線ＬＡＮフレームを送受信部３２０４に引き渡し、コントローラ１０１宛てに送信させる。
その後、接続制御部３２０２は、コントローラ１０１から、送受信部３２０４を介して、無線ＬＡＮフレームを受信する。
接続制御部３２０２は、受信した無線ＬＡＮフレームからＩＰパケットを取り出し、そのＩＰパケットから、本接続用のＳＳＩＤと、本接続よの仮想ＮＷ−ＩＤを取得する。ここで、「本接続」とは、端末１０８（先生端末１０８ａ、生徒端末１０８ｂ等）が、ユーザアプリ（成績評価アプリ、自習アプリ等）を実行してサーバ１０７（教材サーバ１０７ａ、成績サーバ１０７ｂ等）にアクセスをして通信を行う状態の接続をいう。
接続制御部３２０２は、本接続時には、次のような接続制御動作を実行する。
まず、接続制御部３２０２は、コントローラ１０１との仮接続を切断した後（コントローラ１０１が切断してもよい）、コントローラ１０１から受信した本接続用のＳＳＩＤを用いて、図１のＷＬＡＮ−ＡＰ１０４に無線接続する。
次に、接続制御部３２０２は、コントローラ１０１から取得した本接続用の仮想ＮＷ−ＩＤを付加して、図１のＤＨＣＰサーバ１０５に本接続用のＩＰアドレスを要求し取得する。
その後、接続制御部３２０２は、端末１０８自身で実行が開始されているユーザアプリ３２０５との連携動作を開始する。
ユーザアプリ３２０５との連携動作の中で、接続制御部３２０２は、サーバ１０７への送信用のデータを受け取ると、以下の接続制御動作を実行する。
まず、接続制御部３２０２は、サーバ１０７（教材サーバ１０７ａ、成績サーバ１０７ｂ等）の名前をキーとして、図１のＤＮＳサーバ１０６にサーバ１０７のＩＰアドレスを問合せて取得する。接続制御部３２０２は、このＩＰアドレスをキャッシュし、次回以降ユーザアプリ３２０５からサーバ１０７への送信用のデータを受け取ったときは、サーバ１０７の名前の指定に対してこのＩＰアドレスを用いる。
次に、接続制御部３２０２は、ＤＮＳサーバ１０６から取得したＩＰアドレスが宛先ＩＰアドレスとして設定され、ＤＨＣＰサーバ１０５から取得した本接続用の端末１０８自身のＩＰアドレスが送信元ＩＰアドレスとして設定されたＩＰパケットを生成する。
接続制御部３２０２は、このＩＰパケットのデータ部に、サーバ１０７への送信用のデータを格納する。
接続制御部３２０２は、上記ＩＰパケットが格納された無線ＬＡＮフレームを生成する。
接続制御部３２０２は、この無線ＬＡＮフレームに、コントローラ１０１から取得している本接続用の仮想ＮＷ−ＩＤをタグとして付加する。
接続制御部３２０２は、この無線ＬＡＮフレームを送受信部３２０４に引き渡し、サーバ１０７宛てに送信させる。
その後、接続制御部３２０２は、サーバ１０７から送受信部３２０４を介して無線ＬＡＮフレームを受信すると、以下の制御動作を実行する。
接続制御部３２０２は、受信した無線ＬＡＮフレームからＩＰパケットを取り出し、そのＩＰパケットから受信データを取得する。
接続制御部３２０２は、取得した受信データを、ユーザアプリ３２０５に引き渡す。
上述の接続制御部３２０２の動作と連携して、送受信部３２０４は、接続制御部３２０２が決定したＳＳＩＤを用いてＷＬＡＮ−ＡＰ１０４に無線接続する。そして、送受信部３２０４は、接続制御部３２０２が生成した無線ＬＡＮフレームをＷＬＡＮ−ＡＰ１０４に向けて送信する。また、送受信部３２０４は、ＷＬＡＮ−ＡＰ１０４から、無線ＬＡＮフレームを受信する。
図３３は、図１のＷＬＡＮ−ＡＰ１０４に設定されるＳＳＩＤテーブル３３０１のデータ構成例を示す図である。図１のコントローラ１０１からＷＬＡＮ−ＡＰ１０４には、各ＶＬＡＮごとに決定されたＳＳＩＤの設定情報が通知される。ＷＬＡＮ−ＡＰ１０４は、その設定情報を内部の特には図示しない記憶部に記憶されるＳＳＩＤテーブル３３０１に登録する。
ＷＬＡＮ−ＡＰ１０４は、端末１０８からの無線接続時のＳＳＩＤと端末１０８から受信した無線ＬＡＮフレームに付加されている仮想ＮＷ−ＩＤの組が、ＳＳＩＤテーブル３３０１に登録されているか否かを判定することによって、アクセスの認証を行う。
なお、「ＳＳＩＤ１００」と「ＶＬＡＮ１００」の組は、端末１０８とコントローラ１０１が前述した仮接続時に使用するＳＳＩＤと仮想ＮＷ−ＩＤの組である。
図３４は、図６の構成を有する図１のコントローラ１０１を実現可能なコンピュータのハードウェア構成例を示す図である。
図３４は、上記システムをソフトウェア処理として実現できるコンピュータのハードウェア構成の一例を示す図である。
図３４に示されるコンピュータは、ＣＰＵ３４０１、メモリ３４０２、入力装置３４０３、出力装置３４０４、外部記憶装置３４０５、可搬記録媒体３４０９が挿入される可搬記録媒体駆動装置３４０６、及び通信インタフェース３４０７を有し、これらがバス３４０８によって相互に接続された構成を有する。同図に示される構成は上記コントローラ１０１を実現できるコンピュータの一例であり、そのようなコンピュータはこの構成に限定されるものではない。
ＣＰＵ３４０１は、当該コンピュータ全体の制御を行う。メモリ３４０２は、プログラムの実行、データ更新等の際に、外部記憶装置３４０５（或いは可搬記録媒体３４０９）に記憶されているプログラム又はデータを一時的に格納するＲＡＭ等のメモリである。ＣＵＰ３４０１は、プログラムをメモリ３４０２に読み出して実行することにより、全体の制御を行う。
入力装置３４０３は、ユーザによるキーボードやマウス等による入力操作を検出し、その検出結果をＣＰＵ３４０１に通知する。
出力装置３４０４は、ＣＰＵ３４０１の制御によって送られてくるデータを表示装置や印刷装置に出力する。
外部記憶装置３４０５は、例えばハードディスク記憶装置である。主に各種データやプログラムの保存に用いられる。
可搬記録媒体駆動装置３４０６は、ＳＤカード、コンパクトフラッシュ（登録商標）や、ＣＤ−ＲＯＭ、ＤＶＤ、光ディスク等の可搬記録媒体３４０９を収容するもので、外部記憶装置３４０５の補助の役割を有する。
通信インタフェース３４０７は、例えばＬＡＮ（ローカルエリアネットワーク）又はＷＡＮ（ワイドエリアネットワーク）の通信回線を接続するための装置である。
本実施形態によるコントローラ１０１は、図６の端末状態受信部６０１、ＮＷリソース管理部６０２、ＮＷ設定管理部６０３、およびＮＷ機器設定要求送信部６０４の各動作を搭載したプログラムをＣＰＵ３４０１が実行することで実現される。このプログラムの処理は、図１９から図２２のフローチャート等で例示される。そのプログラムは、例えば外部記憶装置３４０５や可搬記録媒体３４０９に記録して配布してもよく、或いは通信インタフェース３４０７によりネットワークから取得できるようにしてもよい。
また、図６の記憶部６０５は、例えば図３４のメモリ３４０２または外部記憶装置３４０５に対応し、図６の６０６から６１０で示される各テーブルのデータを記憶する。
図６の端末状態受信部６０１およびＮＷ機器設定要求送信部６０４は、図３４の通信インタフェース３４０７を介して、スイッチ１０２に接続されるＬＡＮケーブルに対してデータの送受信を行う。
上述の実施形態では、図１の端末１０８がＷＬＡＮ−ＡＰ１０４（ネットワーク）に接続されたときに、コントローラ１０１がＶＬＡＮ設定の制御動作を実行する構成を有する。これに加えて、図６または図７（ａ）の制御ポリシテーブル６０６の内容が変更された場合に、コントローラ１０１がＶＬＡＮ設定の制御動作を実行する構成を有してもよい。
上述の実施形態では、学校に設置されるネットワークを例として、図１の先生端末１０８ａや生徒端末１０８ｂが、教材サーバ１０７ａや成績サーバ１０７ｂにアクセス場合を例として説明した。しかし、実施形態は、状態に紐付けて仮想ネットワークを作成できるネットワークであって、仮想ネットワーク同士で同じ認可リソースにアクセスしたいような様々なケースのネットワークに適用することができる。
上述の実施形態の構成では、成績サーバ１０７ｂや教材サーバ１０７ａ等の各物理サーバは、スイッチ１０２の１つのＶＬＡＮの仮想ＮＷ−ＩＤが設定されたポートに接続され、同時に１つのＶＬＡＮの通信のみが可能なように設定された。これに対して、物理サーバ上で複数の仮想マシンが稼働し各仮想マシンごとに異なるＶＬＡＮに所属させるような構成が採用される場合もある。この場合には、そのような物理サーバはスイッチ１０２のＶＬＡＮで区別されないトランクポートに接続され、そのトランクポートを流れるイーサネットフレーム中に仮想ＮＷ−ＩＤのタグが設定される、いわゆるタグＶＬＡＮと呼ばれるＶＬＡＮ方式を採用することができる。この結果、各仮想マシンは、自分が所属する仮想ＮＷ−ＩＤが設定されたフレームのみを送受信することにより、１つの物理マシン上の各仮想マシンを任意のＶＬＡＮに所属させることが可能となる。
上述の実施形態は、コントローラ１０１が、スイッチ１０２、ルータ１０３、ＷＬＡＮ−ＡＰ１０４、端末１０８、サーバ１０７、ＤＨＣＰサーバ１０５、ＤＮＳサーバ１０６等のＮＷ機器に対し、ＶＬＡＮを前提としたネットワーク設定値を設定するものである。しかしながら、実施形態は、必ずしもＶＬＡＮを前提とするものではない。実施形態に共通するのは、受信した端末の状態を制御ポリシと照らし合わせることで、サーバ等のＮＷリソースと端末をグルーピングし、そのグループを単位としてアクセス制御を行うという考え方である。この考え方が実現できる実施形態であれば、ＶＬＡＮ以外の伝送制御方式を用いた実施形態が採用されてもよい。例えば、ＳＤＮ（Ｓｏｆｔｗａｒｅ−Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ）の代表的な技術であるＯｐｅｎＦｌｏｗを用いた実施形態が採用されてもよい。この場合、ＯｐｅｎＦｌｏｗ方式に基づいて動作するコントローラが、上述した実施形態と同様の方式でＮＷリソースと端末をグルーピングする。その後、コントローラが、ＯｐｅｎＦｌｏｗ方式に従って、生成したグループに対応するネットワーク設定値をＯｐｅｎＦｌｏｗ方式に基づくフローテーブルにマッピングし、各ＮＷ機器に配信する。各ＮＷ機器は、このフローテーブルに従って、動的に伝送経路を変更する。
以上の実施形態に関して、更に以下の付記を開示する。
（付記１）
１つ以上の仮想ネットワークにおけるネットワーク機器を設定制御するネットワークコントローラ）において、
端末から当該端末の状態を受信する端末状態受信部と、
前記端末の状態に対応するネットワークのアクセス制御を規定するアクセス制御ポリシに基づいて、前記ネットワーク機器のグルーピングを管理するグルーピング管理部と、
前記グルーピングにより生成されるグループごとにアクセス制御を行うためのネットワーク設定値を管理するネットワーク設定管理部と、
前記ネットワーク設定値を前記ネットワーク機器に対して設定指示するネットワーク設定指示部と、
を備えることを特徴とするネットワークコントローラ。
（付記２）
前記端末が前記ネットワークに接続されたとき、または前記アクセス制御ポリシが変更されたときに、前記ネットワーク設定値を前記ネットワーク機器に対して設定指示する、
ことを特徴とする付記１に記載のネットワークコントローラ。
（付記３）
前記仮想ネットワークは仮想ローカルエリアネットワークであり、
前記ネットワーク設定管理部は、前記グループごとに、前記仮想ローカルエリアネットワークの識別情報と、当該仮想ローカルエリアネットワークに対応するサブネットアドレスを決定して前記ネットワーク設定値として割り当てる、
ことを特徴とする付記１または２に記載のネットワークコントローラ。
（付記４）
前記ネットワーク設定管理部は、前記グループ間で共有するネットワーク機器がある場合に、当該共有するネットワーク機器を１つのグループの仮想ネットワークに所属させ、前記ネットワーク機器と前記１つのグループ以外のグループの仮想ネットワークとの間のネットワーク層での転送設定を前記ネットワーク設定値として決定する、
ことを特徴とする付記１ないし３のいずれかに記載のネットワークコントローラ。
（付記５）
前記ネットワーク設定管理部は、前記１つのグループ以外のグループの仮想ネットワークに割り当てられたサブネットアドレスから前記共有するネットワーク機器のインターネットプロトコルアドレスへの転送設定と、前記共有するネットワーク機器のインターネットプロトコルアドレスから前記１つのグループ以外のグループの仮想ネットワークに割り当てられたサブネットアドレスへの転送設定を、前記ネットワーク設定値として決定する、
ことを特徴とする付記４に記載のネットワークコントローラ。
（付記６）
前記ネットワーク設定管理部は、
前記１つのグループ以外のグループが削除される場合には、前記１つのグループに設定されている前記転送設定を削除する設定を、前記ネットワーク設定値として決定し、
前記１つのグループが削除される場合には、前記１つのグループ以外のグループの仮想ネットワークに前記共有するネットワーク機器を所属させた上で、前記転送設定を削除する設定を、前記ネットワーク設定値として決定し、
ことを特徴とする付記４または５に記載のネットワークコントローラ。
（付記７）
前記ネットワーク機器を所定の仮想ネットワークに固定的に所属させ、
前記ネットワーク設定管理部は、前記端末が所属するグループの仮想ネットワークと前記ネットワーク機器との間のネットワーク層での転送設定を前記ネットワーク設定値として決定する、
ことを特徴とする付記１ないし６のいずれかに記載のネットワークコントローラ。
（付記８）
前記グルーピング管理部は、前記グループを識別するためのグループ識別子と、当該グループに対応する前記端末の状態を識別するための状態識別子と、当該グループにおいて接続可能な端末を識別するための端末識別子と、当該グループにおいて認可されるネットワークリソースの識別名とを含むエントリを、当該グループごとに登録したネットワークリソース管理テーブルのデータに基づいて、前記グルーピングを管理する、
ことを特徴とする付記１ないし７のいずれかに記載のネットワークコントローラ。
（付記９）
前記ネットワーク設定管理部は、前記グループを識別するためのグループ識別子と、当該グループにおいて接続可能な端末を識別するための端末識別子と、当該グループの仮想ネットワークを識別するための仮想ネットワーク識別子と、当該仮想ネットワークに対応するネットワークアドレスと、当該ネットワークアドレスに所属し当該グループにおいて認可されるネットワークリソースのアドレスと、当該ネットワークアドレスと当該グループに属し他のネットワークアドレスに所属するネットワークリソースとの間の転送設定とを含むエントリを、当該グループごとに登録したネットワーク設定管理テーブルのデータに基づいて、前記ネットワーク設定値を管理する、
ことを特徴とする付記１ないし８のいずれかに記載のネットワークコントローラ。
（付記１０）
前記ネットワーク設定管理部は、前記ネットワーク設定値を更新する前に前記ネットワーク設定管理テーブルを保存し、その後に前記ネットワーク設定管理テーブル上で前記ネットワーク設定値を更新し、
前記ネットワーク設定指示部は、前記更新後のネットワーク設定管理テーブルと前記保存された更新前のネットワーク設定管理テーブルとの間で前記ネットワーク設定値の差分を検出し、当該差分のネットワーク設定値を前記ネットワーク機器に対して設定指示する、
ことを特徴とする付記１ないし９のいずれかに記載のネットワークコントローラ。
（付記１１）
前記端末の状態は、ユーザが使用する前記端末の種別、前記ユーザが前記端末で起動して使用するユーザアプリケーション、前記ユーザが前記端末を利用する場所、または前記ユーザが前記端末を利用するときのアクセス権限のいずれか１つ以上の組合せで決定される、
ことを特徴とする付記１ないし１０のいずれかに記載のネットワークコントローラ。
（付記１２）
前記ネットワーク機器は学校に設置され、
前記端末の種別は、前記学校の教員が使用する先生端末と、前記学校の生徒が使用する生徒端末の種別を含み、
前記ユーザアプリケーションは、前記教員が前記先生端末から成績サーバにアクセスして前記生徒の成績の評価を行う成績評価アプリケーションと、前記教員が前記先生端末から前記成績サーバおよび教材サーバにアクセスして前記生徒の採点を行う第１の自習アプリケーションと、前記生徒が前記生徒端末から前記教材サーバにアクセスして自習を行う第２の自習アプリケーションとを含む、
ことを特徴とする付記１１に記載のネットワークコントローラ。
（付記１３）
第１の端末の種別を有する第１の端末が第１のユーザアプリケーションを起動してアクセスを開始した端末の状態において、
前記グルーピング管理部は、前記第１の端末の種別のもとで前記第１のユーザアプリケーションからアクセスされる１つ以上のサーバと前記第１の端末とを含むグループを生成し、
前記ネットワーク設定管理部は、前記生成されたグループに含まれる前記１つ以上のサーバのうち他のグループに所属していないサーバについては、前記生成されたグループに対応する１つの仮想ネットワーク内で前記第１の端末から当該共有されないサーバへのアクセスを行わせるためのネットワーク設定値を設定し、
前記ネットワーク設定指示部は、前記設定されたネットワーク設定値を前記ネットワーク機器に対して設定指示する、
ことを特徴とする付記１１または１２に記載のネットワークコントローラ。
（付記１４）
第１の端末の種別を有する第１の端末が第１のユーザアプリケーションを起動してアクセスを開始した端末の状態において、
前記グルーピング管理部は、前記第１の端末の種別のもとで前記第１のユーザアプリケーションからアクセスされる１つ以上のサーバと前記第１の端末とを含むグループを生成し、
前記ネットワーク設定管理部は、前記生成されたグループに含まれる前記１つ以上のサーバのうち他のグループに既に所属しているサーバについては、前記生成されたグループには所属させず、当該サーバと前記生成されたグループの仮想ネットワークとの間のネットワーク層での転送設定を前記ネットワーク設定値として決定し、
前記ネットワーク設定指示部は、前記設定されたネットワーク設定値を前記ネットワーク機器に対して設定指示する、
ことを特徴とする付記１１ないし１３のいずれかに記載のネットワークコントローラ。
（付記１５）
第１の端末の種別を有する第１の端末が第１のユーザアプリケーションを起動してアクセスを行っている端末の状態において、前記第１の端末において前記第１のユーザアプリケーションの実行から第２のユーザアプリケーションの実行に切り替えられた場合、
前記グルーピング管理部は、前記第２のユーザアプリケーションを含む端末の状態に対応するグルーピングをやり直し、
前記ネットワーク設定管理部は、前記やり直したグルーピングに対応するネットワーク設定値の設定をやり直し、
前記ネットワーク設定指示部は、前記設定をやり直す前のネットワーク設定値と前記設定をやり直した後のネットワーク設定値とで変化があったネットワーク設定値を、前記ネットワーク機器に対して設定指示する、
ことを特徴とする付記１１ないし１４のいずれかに記載のネットワークコントローラ。
（付記１６）
第１の端末の種別を有する第１の端末が第１のユーザアプリケーションを起動してアクセスを行っている端末の状態において、前記端末の種別および前記ユーザアプリケーションが同一である第２の端末がアクセスを開始した場合、
前記グルーピング管理部は、前記第１の端末が所属するグループに前記第２の端末を所属させ、
前記ネットワーク設定管理部は、前記第２の端末に対応するネットワーク設定値の設定を追加し、
前記ネットワーク設定指示部は、前記追加されたネットワーク設定値を、前記ネットワーク機器に対して追加設定指示する、
ことを特徴とする付記１１ないし１４のいずれかに記載のネットワークコントローラ。
（付記１７）
第１の端末の種別を有する第１の端末および第２の端末が第１のユーザアプリケーションを起動してアクセスを行っている端末の状態において、いずれか一方の端末がアクセスを終了した場合、
前記グルーピング管理部は、前記第１の端末および前記第２の端末が所属するグループから前記アクセスを終了した端末を削除し、
前記ネットワーク設定管理部は、前記アクセスを終了した端末に対応するネットワーク設定値の設定を削除し、
前記ネットワーク設定指示部は、前記削除されたネットワーク設定値を、前記ネットワーク機器に対して削除設定指示する、
ことを特徴とする付記１１または１２に記載のネットワークコントローラ。
（付記１８）
第１の端末の種別を有する第１の端末および第２の端末が第１のユーザアプリケーションを起動してアクセスを行っている端末の状態において、前記第２の端末において第１のユーザアプリケーションの実行から第２のユーザアプリケーションの実行に切り替えられた場合、
前記グルーピング管理部は、前記第１の端末および第２の端末が所属する第１のグループから前記第２の端末を削除するとともに、前記第１の端末の種別および前記第２のユーザアプリケーションに対応するグループが存在してなければ前記第２の端末が所属する新たな第２のグループを生成し、存在していれば前記第２の端末を当該存在しているグループに追加し、
前記ネットワーク設定管理部は、前記第１のグループに関する前記第２の端末に対応するネットワーク設定値の設定を削除するとともに、前記第２の端末に対応するグループに関するネットワーク設定値の設定を追加し、
前記ネットワーク設定指示部は、前記削除および追加されたネットワーク設定値を、前記ネットワーク機器に対して削除および追加設定指示する、
ことを特徴とする付記１１ないし１４のいずれかに記載のネットワークコントローラ。
（付記１９）
第１の端末の種別を有する第１の端末が、第１のユーザアプリケーションを実行することにより第１のグループを形成して第１のサーバにアクセスし、第２の端末の種別を有する第２の端末が、第２のユーザアプリケーションを実行することにより第２のグループを形成して第２のサーバにアクセスするとともに、第１のサーバへのアクセスを前記第１の端末とで共有している端末の状態において、前記第１の端末がアクセスを終了した場合、
前記グルーピング管理部は、前記第１のグループを削除し、
前記ネットワーク設定管理部は、前記第１のグループを削除し、前記第２のグループの仮想ネットワークに前記第１のサーバを所属させた上で、前記第２のグループに対応して設定されている前記第１のサーバに関する転送設定を削除するように、前記ネットワーク設定値を更新し、
前記ネットワーク設定指示部は、前記更新されたネットワーク設定値を、前記ネットワーク機器に対して設定指示する、
ことを特徴とする付記１１ないし１４のいずれかに記載のネットワークコントローラ。
（付記２０）
第１の端末の種別を有する第１の端末が、第１のユーザアプリケーションを実行することにより第１のグループを形成して第１のサーバにアクセスし、第２の端末の種別を有する第２の端末が、第２のユーザアプリケーションを実行することにより第２のグループを形成して第２のサーバにアクセスするとともに、第１のサーバへのアクセスを前記第１の端末とで共有している端末の状態において、前記第２の端末がアクセスを終了した場合、
前記グルーピング管理部は、前記第２のグループを削除し、
前記ネットワーク設定管理部は、前記第２のグループを削除し、前記第１のグループに対応して設定されている前記第１のサーバに関する転送設定を削除するように、前記ネットワーク設定値を更新し、
前記ネットワーク設定指示部は、前記更新されたネットワーク設定値を、前記ネットワーク機器に対して設定指示する、
ことを特徴とする付記１１ないし１４のいずれかに記載のネットワークコントローラ。
（付記２１）
前記ネットワーク設定指示部は、前記端末に対応するフレームデータと前記ネットワーク機器に対応するフレームデータとの間のデータリンク層におけるスイッチングを行うスイッチ装置のポートに対して、前記仮想ネットワークを設定する、
ことを特徴とする付記１ないし２０のいずれかに記載のネットワークコントローラ。
（付記２２）
前記ネットワーク設定指示部は、前記フレームデータに含まれるインターネットプロトコルパケットデータについてネットワーク層における前記仮想ネットワーク間の転送を制御するルータ装置におけるサブインタフェースに対して前記仮想ネットワークを設定し、当該ルータ装置におけるルーティングテーブルまたはフィルタリングテーブルに対して転送設定に基づく経路情報またはフィルタリング情報を設定する、
ことを特徴とする付記１ないし２１のいずれかに記載のネットワークコントローラ。
（付記２３）
前記ネットワーク設定指示部は、前記端末が無線接続する無線ネットワークアクセスポイント装置に対して、前記仮想ネットワークおよびサービスセット識別子の組を設定する、
ことを特徴とする付記１ないし２２のいずれかに記載のネットワークコントローラ。
（付記２４）
前記ネットワーク設定指示部は、インターネットプロトコルアドレスの自動割当てを行うサーバ装置に対して、前記仮想ネットワークおよび当該仮想ネットワークに対応するネットワークアドレスの組を設定する、
ことを特徴とする付記１ないし２３のいずれかに記載のネットワークコントローラ。
（付記２５）
前記ネットワーク設定指示部は、名前解決を行うネームサーバ装置に対して、前記ネットワーク機器の名前と当該ネットワーク機器のインターネットプロトコルアドレスの対応関係を設定する、
ことを特徴とする付記１ないし２４のいずれかに記載のネットワークコントローラ。
（付記２６）
前記ネットワーク設定管理部は、前記ネットワーク機器が所属するグループの仮想ネットワークが割り当てられた場合または変更された場合に、前記ネットワーク機器に、自装置内で管理されている前記仮想ネットワーク上で未使用のアドレスを割り当てて管理する、
ことを特徴とする付記１ないし２５のいずれかに記載のネットワークコントローラ。
（付記２７）
前記ネットワーク設定管理部は、前記ネットワーク機器が所属するグループの仮想ネットワークが割り当てられた場合または変更された場合に、アドレスの自動割当てを行うサーバに前記ネットワーク機器への前記仮想ネットワーク上で未使用のアドレスの割当てを依頼し、当該依頼の結果割り当てられたアドレスを管理する、
ことを特徴とする付記１ないし２５のいずれかに記載のネットワークコントローラ。
（付記２８）
前記ネットワーク機器間で前記仮想ネットワーク内を中継されるデータは、レイヤ２のデータリンク層のフレームデータであり、
前記仮想ネットワーク間を転送されるデータは、前記フレームデータに格納されるデータであって、レイヤ３のネットワークのパケットデータである、
ことを特徴とする付記１ないし２１のいずれかに記載のネットワークコントローラ。
（付記２９）
前記ネットワークコントローラは、オープンフロー方式に基づいて動作し、前記ネットワーク設定指示部は、前記ネットワーク設定値を前記オープンフロー方式に基づくフローテーブルにマッピングし、当該フローテーブルを前記各ネットワーク機器に配信する、
ことを特徴とする付記１、２、または４ないし２８のいずれかに記載のネットワークコントローラ。
（付記３０）
端末から当該端末の状態を受信し、
前記端末の状態に対応するネットワークのアクセス制御を規定するアクセス制御ポリシに基づいて、１つ以上の仮想ネットワークにおけるネットワーク機器のグルーピングを管理し、
前記グルーピングにより生成されるグループごとにアクセス制御を行うためのネットワーク設定値を管理し、
前記ネットワーク設定値を前記ネットワーク機器に対して設定指示する、
ことを特徴とするネットワーク制御方法。
（付記３１）
１つ以上の仮想ネットワークにおけるネットワーク機器を設定制御するコンピュータにおいて、
端末から当該端末の状態を受信する処理と、
前記端末の状態に対応するネットワークのアクセス制御を規定するアクセス制御ポリシに基づいて、前記ネットワーク機器のグルーピングを管理する処理と、
前記グルーピングにより生成されるグループごとにアクセス制御を行うためのネットワーク設定値を管理する処理と、
前記ネットワーク設定値を前記ネットワーク機器に対して設定指示する処理と、
を実行させるためのプログラム。
１０１ コントローラ
１０２ スイッチ
１０３ ルータ
１０４ ＷＬＡＮ−ＡＰ
１０５ ＤＨＣＰサーバ
１０６ ＤＮＳサーバ
１０７ サーバ
１０７ａ 教材サーバ
１０７ｂ 成績サーバ
１０８ 端末
１０８ａ 先生端末
１０８ｂ 生徒端末
３０１、４０１ 制御ポリシ
３０２、４０２ ＶＬＡＮテーブル
５０１、１２０１ 経路情報
６０１ 端末状態受信部
６０２ ＮＷリソース管理部
６０３ ＮＷ設定管理部
６０４ ＮＷ機器設定要求送信部
６０５、２４０５、２６０５、２８０６、３００６ 記憶部
６０６ 制御ポリシテーブル
６０７ ＮＷリソース管理テーブル
６０８ ＮＷ設定管理テーブル
６０８ａ ＮＷ設定管理テーブル（最新）
６０８ｂ ＮＷ設定管理テーブル（前回）
６０９ 仮想ＮＷ−ＩＤ管理テーブル
６１０ サブネット管理テーブル
２４０１ イーサネットインタフェース
２４０２、２６０２ 転送制御部
２４０３、２６０３、２８０４、３００４ 設定インタフェース
２４０４、２６０４、２８０５、３００５ 設定制御部
２４０６ ＭＡＣテーブル
２４０７ ＶＬＡＮテーブル
２６０１、ＩＦ＃１、ＩＦ＃２ インタフェース
２６０６ ルーティングテーブル
２６０７ フィルタリングテーブル
２８０１、３００１ 受信部
２８０２ ＤＨＣＰプロトコル制御部
２８０３、３００３ 送信部
２８０７、３００７ 設定テーブル
３００２ ＤＮＳプロトコル制御部
３２０１ 状態管理部
３２０２ 接続制御部
３２０３ 状態情報付加部
３２０４ 送受信部
３４０１ ＣＰＵ
３４０２ メモリ
３４０３ 入力装置
３４０４ 出力装置
３４０５ 外部記憶装置
３４０６ 可搬記録媒体駆動装置
３４０７ 通信インタフェース
３４０８ バス
３４０９ 可搬記録媒体

Claims (10)

  1. １つ以上の仮想ネットワークにおけるネットワーク機器を設定制御するネットワークコントローラにおいて、
    端末から当該端末の状態を受信する端末状態受信部と、
    前記端末の状態に対応するネットワークのアクセス制御を規定するアクセス制御ポリシに基づいて、前記ネットワーク機器のグルーピングを管理するグルーピング管理部と、
    前記グルーピングにより生成されるグループごとにアクセス制御を行うためのネットワーク設定値を管理するネットワーク設定管理部と、
    前記ネットワーク設定値を前記ネットワーク機器に対して設定指示するネットワーク設定指示部と、
    を備え、
    前記グルーピング管理部は、前記グループを識別するためのグループ識別子と、当該グループに対応する前記端末の状態を識別するための状態識別子と、当該グループにおいて接続可能な端末を識別するための端末識別子と、当該グループにおいて認可されるネットワークリソースの識別名とを含むエントリを、当該グループごとに登録したネットワークリソース管理テーブルのデータに基づいて管理する、
    ことを特徴とするネットワークコントローラ。
  2. 前記端末が前記ネットワークに接続されたとき、または前記アクセス制御ポリシが変更されたときに、前記ネットワーク設定値を前記ネットワーク機器に対して設定指示する、
    ことを特徴とする請求項１に記載のネットワークコントローラ。
  3. 前記ネットワーク設定管理部は、前記グループ間で共有するネットワーク機器がある場合に、当該共有するネットワーク機器を１つのグループの仮想ネットワークに所属させ、当該共有するネットワーク機器と前記１つのグループ以外のグループの仮想ネットワークとの間のネットワーク層での転送設定を前記ネットワーク設定値として決定する、
    ことを特徴とする請求項１または２に記載のネットワークコントローラ。
  4. 前記ネットワーク設定管理部は、
    前記１つのグループ以外のグループが削除される場合には、前記１つのグループに設定されている前記転送設定を削除する設定を、前記ネットワーク設定値として決定し、
    前記１つのグループが削除される場合には、前記１つのグループ以外のグループの仮想ネットワークに前記共有するネットワーク機器を所属させた上で、前記転送設定を削除する設定を、前記ネットワーク設定値として決定する、
    ことを特徴とする請求項３に記載のネットワークコントローラ。
  5. 前記ネットワーク設定管理部は、前記グループ間で共有するネットワーク機器がある場合に、当該共有するネットワーク機器を所定の仮想ネットワークに固定的に所属させ、前記端末が所属するグループの仮想ネットワークと当該共有するネットワーク機器との間のネットワーク層での転送設定を前記ネットワーク設定値として決定する、
    ことを特徴とする請求項１または２に記載のネットワークコントローラ。
  6. 前記ネットワーク設定管理部は、前記グループを識別するためのグループ識別子と、当該グループにおいて接続可能な端末を識別するための端末識別子と、当該グループの仮想ネットワークを識別するための仮想ネットワーク識別子と、当該仮想ネットワークに対応するネットワークアドレスと、当該ネットワークアドレスに所属し当該グループにおいて認可されるネットワークリソースのアドレスと、当該ネットワークアドレスと当該グループに属し他のネットワークアドレスに所属するネットワークリソースとの間の転送設定とを含むエントリを、当該グループごとに登録したネットワーク設定管理テーブルのデータに基づいて管理する、
    ことを特徴とする請求項１ないし５のいずれかに記載のネットワークコントローラ。
  7. 前記端末の状態は、ユーザが使用する前記端末の種別、前記ユーザが前記端末で起動して使用するユーザアプリケーション、前記ユーザが前記端末を利用する場所、または前記ユーザが前記端末を利用するときのアクセス権限のいずれか１つ以上の組合せで決定される、
    ことを特徴とする請求項１ないし６のいずれかに記載のネットワークコントローラ。
  8. 端末から当該端末の状態を受信し、
    前記端末の状態に対応するネットワークのアクセス制御を規定するアクセス制御ポリシに基づいて、１つ以上の仮想ネットワークにおけるネットワーク機器のグルーピングを管理し、
    前記グルーピングにより生成されるグループごとにアクセス制御を行うためのネットワーク設定値を管理し、
    前記ネットワーク設定値を前記ネットワーク機器に対して設定指示し、
    前記グルーピングの管理では、前記グループを識別するためのグループ識別子と、当該グループに対応する前記端末の状態を識別するための状態識別子と、当該グループにおいて接続可能な端末を識別するための端末識別子と、当該グループにおいて認可されるネットワークリソースの識別名とを含むエントリを、当該グループごとに登録したネットワークリソース管理テーブルのデータに基づいて管理する、
    ことを特徴とするネットワーク制御方法。
  9. １つ以上の仮想ネットワークにおけるネットワーク機器を設定制御するコンピュータにおいて、
    端末から当該端末の状態を受信する処理と、
    前記端末の状態に対応するネットワークのアクセス制御を規定するアクセス制御ポリシに基づいて、前記ネットワーク機器のグルーピングを管理する処理と、
    前記グルーピングにより生成されるグループごとにアクセス制御を行うためのネットワーク設定値を管理する処理と、
    前記ネットワーク設定値を前記ネットワーク機器に対して設定指示する処理と、
    を実行させるためのプログラムであって、
    前記グルーピングを管理する処理では、前記グループを識別するためのグループ識別子と、当該グループに対応する前記端末の状態を識別するための状態識別子と、当該グループにおいて接続可能な端末を識別するための端末識別子と、当該グループにおいて認可されるネットワークリソースの識別名とを含むエントリを、当該グループごとに登録したネットワークリソース管理テーブルのデータに基づいて管理する処理を前記コンピュータに実行させる、
    プログラム。
  10. １つ以上の仮想ネットワークにおけるネットワーク機器を設定制御するネットワークコントローラにおいて、
    端末から当該端末の状態を受信する端末状態受信部と、
    前記端末の状態に対応するネットワークのアクセス制御を規定するアクセス制御ポリシに基づいて、前記ネットワーク機器のグルーピングを管理するグルーピング管理部と、
    前記グルーピングにより生成されるグループごとにアクセス制御を行うためのネットワーク設定値を管理するネットワーク設定管理部と、
    前記ネットワーク設定値を前記ネットワーク機器に対して設定指示するネットワーク設定指示部と、
    を備え、
    前記ネットワーク設定管理部は、前記グループを識別するためのグループ識別子と、当該グループにおいて接続可能な端末を識別するための端末識別子と、当該グループの仮想ネットワークを識別するための仮想ネットワーク識別子と、当該仮想ネットワークに対応するネットワークアドレスと、当該ネットワークアドレスに所属し当該グループにおいて認可されるネットワークリソースのアドレスと、当該ネットワークアドレスと当該グループに属し他のネットワークアドレスに所属するネットワークリソースとの間の転送設定とを含むエントリを、当該グループごとに登録したネットワーク設定管理テーブルのデータに基づいて管理する、
    ことを特徴とするネットワークコントローラ。
JP2014179642A 2014-09-03 2014-09-03 ネットワークコントローラ、ネットワーク制御方法、およびプログラム Active JP6417799B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2014179642A JP6417799B2 (ja) 2014-09-03 2014-09-03 ネットワークコントローラ、ネットワーク制御方法、およびプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2014179642A JP6417799B2 (ja) 2014-09-03 2014-09-03 ネットワークコントローラ、ネットワーク制御方法、およびプログラム

Publications (2)

Publication Number Publication Date
JP2016054419A JP2016054419A (ja) 2016-04-14
JP6417799B2 true JP6417799B2 (ja) 2018-11-07

Family

ID=55744384

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2014179642A Active JP6417799B2 (ja) 2014-09-03 2014-09-03 ネットワークコントローラ、ネットワーク制御方法、およびプログラム

Country Status (1)

Country Link
JP (1) JP6417799B2 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7005436B2 (ja) * 2018-06-20 2022-02-10 エヌ・ティ・ティ・アドバンステクノロジ株式会社 仮想ネットワーク監視システム、仮想ネットワーク監視装置、仮想ネットワーク監視方法及びコンピュータープログラム
US11588713B2 (en) 2019-12-10 2023-02-21 Ntt Advanced Technology Corporation Virtual network monitoring system, virtual network monitoring apparatus, virtual network monitoring method, and non-transitory computer-readable recording medium

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5476261B2 (ja) * 2010-09-14 2014-04-23 株式会社日立製作所 マルチテナント型情報処理システム、管理サーバ及び構成管理方法
JP2015533049A (ja) * 2012-09-20 2015-11-16 株式会社Ｎｔｔドコモ ネットワークにおけるトポロジ及びパス検証のための方法及び装置

Also Published As

Publication number Publication date
JP2016054419A (ja) 2016-04-14

Similar Documents

Publication Publication Date Title
JP5398410B2 (ja) ネットワークシステム，パケット転送装置，パケット転送方法及びコンピュータプログラム
US8484353B1 (en) Resource placement templates for virtual networks
US10659430B2 (en) Systems and methods for dynamic network address modification related applications
JP5088100B2 (ja) Ｉｐネットワークシステム、そのアクセス制御方法、ｉｐアドレス配布装置、及びｉｐアドレス配布方法
JP5811171B2 (ja) 通信システム、データベース、制御装置、通信方法およびプログラム
US20140230044A1 (en) Method and Related Apparatus for Authenticating Access of Virtual Private Cloud
CN106487556B (zh) 业务功能sf的部署方法及装置
CN107666419B (zh) 一种虚拟宽带接入方法、控制器和系统
JP5323674B2 (ja) ＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍ）登録装置、ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）間接続管理システム、広域ＤＮＳ装置、ＤＮＳ登録プログラム、広域ＤＮＳプログラム、ＤＮＳ登録方法、及びＶＰＮ間接続管理方法
KR20120102626A (ko) 네트워크들을 통한 접속을 보장하기 위한 오버레이 사용
US20130111040A1 (en) Auto-Split DNS
EP3598705B1 (en) Routing control
US20190199679A1 (en) Dynamically defining encryption spaces across multiple data centers
JP2016019270A (ja) 通信方法及び通信プログラム
JP6417799B2 (ja) ネットワークコントローラ、ネットワーク制御方法、およびプログラム
EP2890052A1 (en) Method and system for dynamic network configuration and access to services of devices
JP5937563B2 (ja) 通信基地局およびその制御方法
EP3836487A1 (en) Internet access behavior management system, device and method
US11477079B2 (en) Globally-distributed secure end-to-end identity-based overlay network
JP6360012B2 (ja) ネットワーク統合システムおよびネットワーク統合方法
EP3909208B1 (en) Software defined access fabric without subnet restriction to a virtual network
CN108259292B (zh) 建立隧道的方法及装置
CN112887968B (zh) 一种网络设备管理方法、装置、网络管理设备及介质
WO2022049768A1 (ja) パケット通信装置、パケット処理ルール設定方法、及びプログラム
US20210051076A1 (en) A node, control system, communication control method and program

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20170605

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20180420

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20180501

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20180605

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20180911

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20180924

R150 Certificate of patent or registration of utility model

Ref document number: 6417799

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150