JP6967950B2 - 認証スイッチ装置、ネットワークシステムおよび認証方法 - Google Patents

Description

この発明は、仮想ローカルエリアネットワーク（以下、ＶＬＡＮと記載する。）を構成するために使用される認証スイッチ装置、これを用いたネットワークシステムおよび認証方法に関する。

ＩＥＥＥ８０２．１Ｘ認証は、ネットワークの認証方式の一つである。ＩＥＥＥ８０２．１Ｘ認証が行われるネットワークシステムは、認証スイッチ装置、遠隔認証ダイヤルインユーザサービス（以下、ＲＡＤＩＵＳと記載する。）サーバおよびユーザ端末を備えて構成される。ＲＡＤＩＵＳサーバは、ユーザ端末の認証を行う認証サーバであり、ユーザ端末の認証に必要なアカウント情報が登録されている。

認証スイッチ装置は、ユーザ端末から受信したアカウント情報の正当性をＲＡＤＩＵＳサーバに問い合わせて、問い合わせ結果が認証成功である場合、ユーザ端末によるネットワークアクセスを許可する。一方、問い合わせ結果が認証失敗である場合、認証スイッチ装置は、ユーザ端末によるネットワークアクセスを拒否する。

認証スイッチ装置が受信するフレームには、ユーザ端末が接続するポートに転送されるエンドユーザ用のフレームと認証スイッチ装置自身に処理を実施させる制御用のフレームがある。認証スイッチ装置が構成するＶＬＡＮには、エンドユーザ用のフレームが送受信されるＶＬＡＮと、制御用のフレームの通信に用いられる管理用ＶＬＡＮがある。制御用のフレームは、エンドユーザ用のフレームと区別するため、管理用ＶＬＡＮで送受信される。

また、制御用のフレームにはユーザ端末の認証に用いられるアカウント情報も含まれるため、認証対象のユーザ端末は、認証スイッチ装置が有する複数のポートのうち、管理用ＶＬＡＮに属するポートに接続される。なお、管理用ＶＬＡＮには、制御用のフレームが送受信されるので、認証対象のユーザ端末は、管理用ＶＬＡＮを介して認証スイッチ装置を制御することも可能である。

近年では、認証スイッチ装置の不正な制御に起因したネットワークへの不正なアクセスを防止する目的で、管理用ＶＬＡＮに属していないポートを利用したユーザ端末の認証の必要性が増している。
例えば、特許文献１に記載される認証スイッチ装置では、認証対象のユーザ端末が接続されたポートが属するＶＬＡＮを管理用ＶＬＡＮに変換し、管理用ＶＬＡＮを介して認証に関する通信を実施する。ユーザ端末の認証が成功した場合、上記認証スイッチ装置は、ＲＡＤＩＵＳサーバから発行されたＶＬＡＮ ＩＤを自身に固有なＶＬＡＮ ＩＤに変換してから、ユーザ端末が接続しているポートに割り当てる。これにより、管理用ＶＬＡＮが、ユーザ端末ごとに規定されたＶＬＡＮに変換される。

特開２００７−２０８３２３号公報

特許文献１に記載された認証スイッチ装置を備えた従来のシステムでは、ユーザ端末の認証に用いられるアカウント情報がＲＡＤＩＵＳサーバに登録されており、アカウント情報には、ユーザＩＤごとのＶＬＡＮ ＩＤが登録されている。ＲＡＤＩＵＳサーバは、認証スイッチ装置からアカウント情報を受信すると、登録されたアカウント情報と受信したアカウント情報とを照合してユーザ端末の認証を実施する。ユーザ端末の認証に成功した場合、ＲＡＤＩＵＳサーバは、認証結果とともにアカウント情報に登録されたＶＬＡＮ ＩＤを返信する。

特許文献１に記載された認証スイッチ装置は、ＲＡＤＩＵＳサーバから受信したＶＬＡＮ識別子をユーザ端末が接続しているポートに割り当てることで、管理用ＶＬＡＮから、ユーザ端末ごとに規定されたＶＬＡＮに変換する。
このように、従来は、ユーザ端末が接続しているポートに割り当てるＶＬＡＮ ＩＤとＲＡＤＩＵＳサーバに登録されたアカウント情報とが対応関係にある。
このため、特許文献１に記載された認証スイッチ装置では、ＶＬＡＮを変更する場合、ＲＡＤＩＵＳサーバに登録されているアカウント情報も更新する必要があるという課題があった。

この発明は上記課題を解決するものであって、認証サーバに登録されているアカウント情報を更新しなくてもＶＬＡＮを構築することができる認証スイッチ装置、ネットワークシステムおよび認証方法を得ることを目的とする。

この発明に係る認証スイッチ装置は、テーブルデータ、処理部および転送部を備える。テーブルデータは、認証情報が受信されたポートを識別するためのポート識別情報およびポートが属するＶＬＡＮを識別するためのＶＬＡＮ識別情報が、認証情報を送信したユーザ端末に固有なアドレス情報ごとに登録されている。処理部は、認証情報に基づいてユーザ端末の認証処理を実施し、認証に成功したユーザ端末に固有なアドレス情報をキーとしてテーブルデータから取得したポート識別情報およびＶＬＡＮ識別情報を出力する。転送部は、処理部から出力されたポート識別情報およびＶＬＡＮ識別情報に基づいて、認証に成功したユーザ端末が接続するポートを特定し、特定したポートにユーザ端末の認証結果を転送する。

この発明によれば、ポート識別情報およびＶＬＡＮ識別情報がユーザ端末に固有なアドレス情報ごとに登録されたテーブルデータを備える。処理部が、認証に成功したユーザ端末のアドレス情報をキーとして、テーブルデータからポート識別情報およびＶＬＡＮ識別情報を取得する。転送部は、テーブルデータから取得されたポート識別情報およびＶＬＡＮ識別情報に基づいて、認証に成功したユーザ端末が接続するポート特定し、特定したポートが属するＶＬＡＮを設定して、ユーザ端末の認証結果を転送する。これにより、認証サーバに登録されているアカウント情報を更新しなくてもＶＬＡＮを構築することができる。

この発明の実施の形態１に係るネットワークシステムの構成例を示す図である。 実施の形態１に係る認証スイッチ装置の構成を示すブロック図である。 ユーザ端末テーブルの例を示す図である。 実施の形態１におけるフレーム転送部がフレームを入力したときの処理を示すフローチャートである。 実施の形態１におけるフレーム処理部によるユーザ端末テーブルに対する処理を示すフローチャートである。 実施の形態１におけるフレーム処理部が送信対象のフレームを出力するまでの処理を示すフローチャートである。 実施の形態１におけるフレーム転送部が送信対象のフレームを転送するまでの処理を示すフローチャートである。 この発明の実施の形態２に係る認証スイッチ装置の構成を示すブロック図である。 実施の形態２におけるフレーム転送部によるユーザ端末テーブルに対する処理を示すフローチャートである。 実施の形態２におけるフレーム処理部がフレームを入力したときの処理を示すフローチャートである。 実施の形態２におけるフレーム処理部が送信対象のフレームを出力するまでの処理を示すフローチャートである。 実施の形態２におけるフレーム転送部が送信対象のフレームを転送するまでの処理を示すフローチャートである。

実施の形態１．
図１は、この発明の実施の形態１に係るネットワークシステム１の構成例を示す図である。ネットワークシステム１は、ＩＥＥＥ８０２．１Ｘ認証を実施するシステムであり、認証スイッチ装置２、ハブ３、ＲＡＤＩＵＳサーバ４およびユーザ端末５を備えている。認証スイッチ装置２は、ユーザ端末５とローカルエリアネットワーク６との間に介在している。ユーザ端末５は、認証結果に応じてローカルエリアネットワーク６へのアクセスが可能となる。

ＲＡＤＩＵＳサーバ４は、ハブ３を介してローカルエリアネットワーク６に接続されている。認証スイッチ装置２は、ハブ３およびローカルエリアネットワーク６を介して、ユーザ端末５の認証をＲＡＤＩＵＳサーバ４に問い合わせる。認証スイッチ装置２は、問い合わせ結果が認証成功であれば、ユーザ端末５によるローカルエリアネットワーク６へのアクセスを許可する。一方、問い合わせ結果が認証失敗である場合、認証スイッチ装置２は、ユーザ端末５によるアクセスを拒否する。

ＩＥＥＥ８０２．１Ｘ認証では、認証情報として、認証スイッチ装置２とユーザ端末５との間で認証フレームが使用される。認証フレームのヘッダ情報における、宛先メディアアクセスコントロール（以下、ＭＡＣと記載する）アドレスには、“０１−８０−Ｃ２−００−００−０３”が設定され、ＥｔｈｅｒＴｙｐｅには、“０ｘ８８８Ｅ”が設定されている。認証スイッチ装置２とＲＡＤＩＵＳサーバ４との間では、ＲＡＤＩＵＳフレームによるインターネットプロトコル（以下、ＩＰと記載する。）通信が使用される。

図２は、実施の形態１に係る認証スイッチ装置２の構成を示すブロック図である。認証スイッチ装置２は、ポートＡ〜ポートＤ、フレーム処理部２０およびフレーム転送部２１を備えている。ネットワークシステム１が複数の認証スイッチ装置２を備える場合、認証スイッチ装置２ごとにＭＡＣアドレスが割り当てられる。

認証スイッチ装置２は、ポートＡ〜ポートＤのいずれかのポートにユーザ端末５が接続されると、アカウント情報が設定された認証フレームをユーザ端末５から受け取る。
なお、アカウント情報には、ユーザ端末５に割り当てられたユーザＩＤおよびユーザに付与されたパスワードといったユーザ端末５の認証に使用される情報が含まれる。
認証スイッチ装置２は、認証処理において、アカウント情報をＲＡＤＩＵＳサーバ４に送信して、ユーザ端末５の認証を問い合わせる。

フレーム処理部２０は、アカウント情報が設定された認証フレームに基づいて、ユーザ端末５の認証処理を実施し、認証に成功したユーザ端末５のＭＡＣアドレス情報をキーとしてユーザ端末テーブル２２から取得したポート番号およびＶＬＡＮ ＩＤを、認証結果とともに転送情報に含めて出力する処理部である。ポート番号は、ポートを識別するためのポート識別情報であり、ＶＬＡＮ ＩＤは、ＶＬＡＮを識別するためのＶＬＡＮ識別情報である。

フレーム処理部２０は、ユーザ端末テーブル２２、フレーム判定部２３および認証処理部２４を備える。ユーザ端末テーブル２２は、認証フレームが受信されたポートのポート番号およびこのポートが属するＶＬＡＮのＶＬＡＮ ＩＤが、認証フレームを送信したユーザ端末５のＭＡＣアドレスごとに登録されたテーブルデータである。
図３は、ユーザ端末テーブル２２の例を示す図である。ユーザ端末テーブル２２には、図３に示すように、認証フレームに含まれる送信元ＭＡＣアドレス、認証フレームが受信されたポートのポート番号、および受信ポートが属するＶＬＡＮのＶＬＡＮ ＩＤが登録されている。

フレーム判定部２３は、認証フレームに含まれるポート番号およびＶＬＡＮ ＩＤを使用してユーザ端末テーブル２２を更新し、認証に失敗したユーザ端末５に対応するポート番号およびＶＬＡＮ ＩＤをユーザ端末テーブル２２から削除する。このように、ユーザ端末テーブル２２は、フレーム判定部２３によって自立的に作成および更新されるので、ネットワークの保守者がユーザ端末テーブル２２を作成する作業は不要である。

認証処理部２４は、アカウント情報が設定された認証フレームに基づいて、ユーザ端末５の認証処理を実施する。認証処理において、認証処理部２４は、ＲＡＤＩＵＳサーバ４にアカウント情報を問い合わせるためのパケットを作成し、当該パケットをフレーム転送部２１から送信して、ＲＡＤＩＵＳサーバ４から認証結果を受信する。認証処理部２４は、認証に成功したユーザ端末５のＭＡＣアドレスをキーとしてユーザ端末テーブル２２からポート番号およびＶＬＡＮ ＩＤ取得し、取得したポート番号およびＶＬＡＮ ＩＤを認証フレームに付与する。当該認証フレームは、フレーム処理部２０からフレーム転送部２１に出力される。

フレーム転送部２１は、フレーム処理部２０から入力した認証フレームに付与されているポート番号およびＶＬＡＮ ＩＤに基づいて、認証に成功したユーザ端末５が接続しているポートに対して認証フレームを転送する転送部である。
例えば、フレーム転送部２１は、認証フレームに付与されているポート番号から、認証に成功したユーザ端末５が接続しているポートを特定し、特定したポートに転送するフレームのＶＬＡＮ ＩＤを、認証フレームに付与されているＶＬＡＮ ＩＤに変更する。
これにより、フレーム転送部２１は、認証フレームを、認証に成功したユーザ端末５が接続しているポートに転送する。

フレーム転送部２１は、ポートＡ〜ポートＤで受信されたフレームおよびフレーム処理部２０から入力したフレームの転送先を、ＭＡＣ学習テーブル２５の内容を参照して決定する。なお、ＭＡＣ学習テーブル２５には、これまでに受信されたフレームに付与されていた送信元ＭＡＣアドレスが、当該フレームが受信されたポートのポート番号ごとに登録されている。

次に動作について説明する。
図４は、フレーム転送部２１がフレームを入力したときの処理を示すフローチャートである。ポートＡ〜ポートＤのいずれかのポートでフレームが受信されると、フレーム転送部２１は、受信されたフレームに含まれる、ＶＬＡＮ ＩＤが管理用ＶＬＡＮ ＩＤであり、かつ、宛先ＭＡＣアドレスが認証スイッチ装置２宛であるか否かを判定する（ステップＳＴ１）。なお、管理用ＶＬＡＮ ＩＤは、管理用ＶＬＡＮを識別するＶＬＡＮ識別情報である。

入力されたフレームに含まれるＶＬＡＮ ＩＤが管理用ＶＬＡＮ ＩＤではないか、宛先が認証スイッチ装置２ではないか、またはこれらの両方である場合（ステップＳＴ１；ＮＯ）、ステップＳＴ２に移行する。ステップＳＴ２において、フレーム転送部２１は、入力されたフレームに含まれる宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”であり、かつ、上記フレームに含まれるＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であるか否かを判定する。

宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”であり、かつＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”である場合（ステップＳＴ２；ＹＥＳ）、フレーム転送部２１は、入力されたフレームが認証フレームであると判定する。ここで、フレーム転送部２１は、認証フレームにおけるＶＬＡＮ ＩＤを管理用ＶＬＡＮ ＩＤに変換し、認証フレームが受信されたポートのポート番号を特定し、認証フレームのデータ領域を拡張し、ポート番号および変換前のＶＬＡＮ ＩＤを付与する（ステップＳＴ３）。

入力されたフレームに含まれるＶＬＡＮ ＩＤが管理用ＶＬＡＮ ＩＤであり、かつ宛先ＭＡＣアドレスが認証スイッチ装置２宛てである（ステップＳＴ１；ＹＥＳ）、フレーム転送部２１は、当該フレームをフレーム処理部２０に転送する（ステップＳＴ４）。
また、ステップＳＴ３の処理が完了すると、フレーム転送部２１は、ステップＳＴ３で得られたフレームを、フレーム処理部２０に転送する。

宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”ではないか、または、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”ではない場合（ステップＳＴ２；ＮＯ）、フレーム転送部２１は、入力されたフレームをフレーム処理部２０に転送しない（ステップＳＴ５）。フレーム転送部２１は、入力されたフレームが認証フレーム以外である場合、図７を用いて後述するように、ＭＡＣ学習テーブル２５に基づいて、フレームの転送先を決定する。

図５は、フレーム処理部２０によるユーザ端末テーブル２２に対する処理を示すフローチャートである。フレーム処理部２０のフレーム判定部２３は、フレーム転送部２１から入力したフレームが、認証フレームであるかどうかを確認するために、フレームのヘッダ情報におけるＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であるか否かを判定する（ステップＳＴ１ａ）。

ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”である場合（ステップＳＴ１ａ；ＹＥＳ）、フレーム判定部２３は、入力したフレームが認証フレームであると判定し、認証フレームに付与されているポート番号およびＶＬＡＮ ＩＤを取得する（ステップＳＴ２ａ）。

次に、フレーム判定部２３は、認証フレームから取得したポート番号およびＶＬＡＮ ＩＤを、認証フレームに設定されている送信元ＭＡＣアドレスに対応付けて、ユーザ端末テーブル２２に登録する（ステップＳＴ３ａ）。ユーザ端末テーブル２２は、フレーム判定部２３によって自動的に更新される。フレーム判定部２３は、認証フレームを認証処理部２４に出力する。

認証処理部２４は、フレーム判定部２３から入力した認証フレームに基づいて、ユーザ端末５の認証処理を開始する（ステップＳＴ４ａ）。
例えば、認証処理部２４は、認証フレームからアカウント情報を取得し、フレーム転送部２１に指示して、取得したアカウント情報をＲＡＤＩＵＳサーバ４に送信させてユーザ端末５の認証を問い合わせる。ＲＡＤＩＵＳサーバ４は、認証スイッチ装置２からアカウント情報を受信すると、予め登録されたアカウント情報と、受信したアカウント情報とを照合してユーザ端末５の認証を実施する。ユーザ端末５の認証に成功した場合、ＲＡＤＩＵＳサーバ４は、認証スイッチ装置２へ認証結果を返信する。

ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”ではない場合（ステップＳＴ１ａ；ＮＯ）、フレーム判定部２３は、入力したフレームが認証フレームではないので、当該フレームを廃棄する（ステップＳＴ５ａ）。
また、フレーム判定部２３は、ＲＡＤＩＵＳサーバ４から返信された認証結果が認証の失敗である場合に、認証に失敗したユーザ端末５に対応するポート番号およびＶＬＡＮ ＩＤをユーザ端末テーブル２２から削除する。

図６は、フレーム処理部２０が送信対象のフレームを出力するまでの処理を示すフローチャートである。まず、フレーム判定部２３は、送信対象のフレームが認証フレームであるかどうかを確認するため、送信対象のフレームのヘッダ情報におけるＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であるか否かを判定する（ステップＳＴ１ｂ）。

このとき、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”ではない場合（ステップＳＴ１ｂ；ＮＯ）、フレーム処理部２０は、図６の処理を終了する。
一方、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”である場合（ステップＳＴ１ｂ；ＹＥＳ）、フレーム判定部２３は、送信対象のフレームが認証フレームであることから、認証フレームに付与されている宛先ＭＡＣアドレスをキーとして、ユーザ端末テーブル２２からポート番号およびＶＬＡＮ ＩＤを取得する（ステップＳＴ２ｂ）。
次に、フレーム判定部２３は、ユーザ端末テーブル２２から取得したポート番号およびＶＬＡＮ ＩＤを、送信対象のフレームに付与する（ステップＳＴ３ｂ）。

この後、フレーム判定部２３は、送信対象のフレームをフレーム転送部２１に出力する（ステップＳＴ４ｂ）。送信対象のフレームは認証フレームであるので、フレーム判定部２３は、送信対象のフレームの宛先ＭＡＣアドレスに“０１−８０−Ｃ２−００−００−０３”を設定する。なお、“０１−８０−Ｃ２−００−００−０３”は、ユーザ端末５の認証用に予約されているマルチキャストアドレスであり、認証フレームの宛先ＭＡＣアドレスとして一般的に用いられている。

図７は、フレーム転送部２１が送信対象のフレームを転送するまでの処理を示すフローチャートである。フレーム転送部２１は、送信対象のフレームに設定された宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”であり、かつ、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であるか否かを判定する（ステップＳＴ１ｃ）。

宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”ではないか、または、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”ではない場合（ステップＳＴ１ｃ；ＮＯ）、フレーム転送部２１は、送信対象のフレームに設定された宛先ＭＡＣアドレスがＭＡＣ学習テーブル２５に登録されているか否かを確認する（ステップＳＴ２ｃ）。

一方、宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”であり、かつ、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”である場合（ステップＳＴ１ｃ；ＹＥＳ）、フレーム転送部２１は、送信対象のフレームが認証フレームであるので、この認証フレームから、ポート番号およびＶＬＡＮ ＩＤを取得する（ステップＳＴ３ｃ）。

続いて、フレーム転送部２１は、ステップＳＴ３ｃで取得したポート番号に基づいて、転送先のポートを特定し、送信対象のフレームから取得したＶＬＡＮ ＩＤを、特定したポートに割り当てる（ステップＳＴ４ｃ）。すなわち、フレーム転送部２１は、認証フレームから取得したポート番号に基づいて転送先のポートを特定し、特定したポートに転送されるフレームのＶＬＡＮ ＩＤを、送信対象のフレームから取得したＶＬＡＮ ＩＤに変更する。

この後、フレーム転送部２１は、ステップＳＴ４ｃで特定したポートにフレームを転送する（ステップＳＴ５ｃ）。なお、送信対象のフレームの宛先ＭＡＣアドレスとして使用される“０１−８０−Ｃ２−００−００−０３”は、マルチキャストアドレスであることから、ポートを特定しないと不必要なポートにフレームが転送されてしまう。このため、フレーム転送部２１は、ステップＳＴ４ｃで特定したポートのみにフレームを転送する。ユーザ端末５のユーザは、認証フレームに含まれる認証結果から、ユーザ端末５が認証に成功したことを知ることができる。

また、送信対象のフレームに含まれる宛先ＭＡＣアドレスがＭＡＣ学習テーブル２５に登録されていた場合（ステップＳＴ２ｃ；ＹＥＳ）、フレーム転送部２１は、ＭＡＣ学習テーブル２５に登録されているＭＡＣアドレスに対応するポートにフレームを転送する（ステップＳＴ６ｃ）。これにより、認証フレーム以外のフレームがユーザ端末５に転送される。

送信対象のフレームに含まれる宛先ＭＡＣアドレスがＭＡＣ学習テーブル２５に登録されていなければ（ステップＳＴ２ｃ；ＮＯ）、フレーム転送部２１は、管理用ＶＬＡＮに属する全てのポートにフレームを転送する（ステップＳＴ７ｃ）。このようにして、認証スイッチ装置２の制御に関するフレームが、管理用ＶＬＡＮを介して転送される。

実施の形態１に係る認証スイッチ装置２は、例えば、Ｌ２スイッチに適用することが可能である。Ｌ２スイッチに適用した場合であっても、ポート番号およびＶＬＡＮ ＩＤを付与したフレームを利用することで、ＶＬＡＮ ＩＤとアカウント情報を切り離して設定することが可能である。

以上のように、実施の形態１に係る認証スイッチ装置２は、ユーザ端末テーブル２２、フレーム処理部２０およびフレーム転送部２１を備える。ユーザ端末テーブル２２は、ポート番号およびＶＬＡＮ ＩＤがユーザ端末５のＭＡＣアドレスごとに登録されている。フレーム処理部２０は、認証に成功したユーザ端末５のアドレス情報をキーとしてユーザ端末テーブル２２からポート番号およびＶＬＡＮ ＩＤを取得する。フレーム処理部２０は、例えば、ＩＥＥＥ８０２．１Ｘ認証を実施する。フレーム転送部２１は、ユーザ端末テーブル２２から取得されたポート番号およびＶＬＡＮ ＩＤに基づいて、認証に成功したユーザ端末５が接続するポート特定し、特定したポートが属するＶＬＡＮを設定して認証結果を転送する。
このように構成することで、ユーザ端末５に割り当てるＶＬＡＮ ＩＤをＲＡＤＩＵＳサーバ４で保持する必要がない。従って、ＶＬＡＮ ＩＤとアカウント情報とを切り離して設定できることから、ＲＡＤＩＵＳサーバ４に登録されているアカウント情報を更新しなくても、ＶＬＡＮを構築することができる。

実施の形態１に係る認証スイッチ装置２において、フレーム処理部２０が、認証フレームに含まれるポート番号およびＶＬＡＮ ＩＤを使用してユーザ端末テーブル２２を更新し、認証に失敗したユーザ端末５に対応するポート番号およびＶＬＡＮ ＩＤを、ユーザ端末テーブル２２から削除する。これにより、ユーザ端末テーブル２２が自立的に作成および更新されるので、ネットワークの保守者によるユーザ端末テーブル２２の作成作業が不要となる。

実施の形態２．
実施の形態１は、フレーム処理部が備えるユーザ端末テーブルを示したが、実施の形態２では、フレーム転送部がユーザ端末テーブルを備える構成について説明する。
図８は、この発明の実施の形態２に係る認証スイッチ装置２Ａの構成を示すブロック図である。図８において、図１と同一の構成要素には同一の符号を付して説明を省略する。実施の形態２におけるネットワークシステムは、図１に示したネットワークシステム１における認証スイッチ装置２を、認証スイッチ装置２Ａに置き換えたものである。

認証スイッチ装置２Ａは、ポートＡ〜ポートＤ、フレーム処理部２０Ａおよびフレーム転送部２１Ａを備える。フレーム処理部２０Ａは、認証フレームに基づいてユーザ端末５の認証処理を実施し、認証に成功したユーザ端末５のＭＡＣアドレスを出力する処理部である。また、フレーム処理部２０Ａは、フレーム判定部２３Ａおよび認証処理部２４Ａを備える。

フレーム判定部２３Ａは、認証スイッチ装置２Ａ宛ての制御用のフレームを使用して、認証スイッチ装置２Ａの制御に関する処理を実施する。
認証処理部２４Ａは、アカウント情報が設定された認証フレームに基づいて、ユーザ端末５の認証処理を実施する。認証処理において、認証処理部２４Ａは、ＲＡＤＩＵＳサーバ４にアカウント情報を問い合わせるためのパケットを作成し、当該パケットをフレーム転送部２１Ａから送信し、ＲＡＤＩＵＳサーバ４から認証結果を受信する。

フレーム転送部２１Ａは、ユーザ端末テーブル２２Ａから取得したポート番号およびＶＬＡＮ ＩＤに基づいて、認証に成功したユーザ端末５が接続するポートを特定し、特定したポートが属するＶＬＡＮを設定して認証結果を転送する転送部である。
例えば、フレーム転送部２１Ａは、ユーザ端末テーブル２２Ａから取得したポート番号から、認証に成功したユーザ端末５が接続しているポートを特定し、特定したポートに転送するフレームのＶＬＡＮ ＩＤを、ユーザ端末テーブル２２Ａから取得したＶＬＡＮ ＩＤに変更する。

ユーザ端末テーブル２２Ａは、実施の形態１と同様に、認証フレームが受信されたポートのポート番号およびこのポートが属するＶＬＡＮのＶＬＡＮ ＩＤが、認証フレームを送信したユーザ端末５のＭＡＣアドレスごとに登録されたテーブルデータである。
実施の形態２におけるユーザ端末テーブル２２Ａは、フレーム転送部２１Ａによって、ポート番号およびＶＬＡＮ ＩＤが更新される。

次に動作について説明する。
図９は、フレーム転送部２１Ａによるユーザ端末テーブル２２Ａに対する処理を示すフローチャートである。まず、フレーム転送部２１Ａは、受信フレームに含まれる、ＶＬＡＮ ＩＤが管理用ＶＬＡＮ ＩＤであり、かつ、宛先ＭＡＣアドレスが認証スイッチ装置２Ａ宛であるか否かを判定する（ステップＳＴ１ｄ）。

受信されたフレームに含まれるＶＬＡＮ ＩＤが管理用ＶＬＡＮ ＩＤではないか、宛先が認証スイッチ装置２Ａではないか、または、これらの両方である場合（ステップＳＴ１ｄ；ＮＯ）、フレーム転送部２１Ａは、受信されたフレームに含まれる宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”であり、かつ、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であるか否かを判定する（ステップＳＴ２ｄ）。

宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”であり、かつ、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”である場合（ステップＳＴ２ｄ；ＹＥＳ）、フレーム転送部２１Ａは、受信されたフレームが認証フレームであると判定する。このとき、フレーム転送部２１Ａは、認証フレームから、ポート番号およびＶＬＡＮ ＩＤを取得する（ステップＳＴ３ｄ）。

次に、フレーム転送部２１Ａは、認証フレームに設定されている送信元ＭＡＣアドレスに対応付けて、認証フレームから取得したポート番号およびＶＬＡＮ ＩＤをユーザ端末テーブル２２Ａに登録する（ステップＳＴ４ｄ）。このようにして、ユーザ端末テーブル２２Ａは、フレーム転送部２１Ａによって自動的に更新される。
続いて、フレーム転送部２１Ａは、認証フレームから取得したＶＬＡＮ ＩＤを管理用ＶＬＡＮ ＩＤに変換する（ステップＳＴ５ｄ）。

受信されたフレームに含まれるＶＬＡＮ ＩＤが管理用ＶＬＡＮ ＩＤであり、かつ、宛先ＭＡＣアドレスが認証スイッチ装置２宛である場合（ステップＳＴ１ｄ；ＹＥＳ）、フレーム転送部２１Ａは、受信されたフレームをフレーム処理部２０Ａに転送する（ステップＳＴ６ｄ）。ステップＳＴ５ｄの処理が完了すると、フレーム転送部２１Ａは、ステップＳＴ５ｄで得られたフレームを、フレーム処理部２０Ａに転送する。

宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”ではないか、または、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”ではない場合（ステップＳＴ２ｄ；ＮＯ）、フレーム転送部２１Ａは、受信されたフレームをフレーム処理部２０Ａに転送しない（ステップＳＴ７ｄ）。

図１０は、フレーム処理部２０Ａがフレームを入力したときの処理を示すフローチャートである。フレーム処理部２０Ａのフレーム判定部２３Ａは、フレーム転送部２１Ａから転送されてきたフレームが、認証フレームであるかどうかを確認するために、フレームのヘッダ情報におけるＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であるか否かを判定する（ステップＳＴ１ｅ）。

ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”である場合（ステップＳＴ１ｅ；ＹＥＳ）、フレーム判定部２３Ａは、フレーム転送部２１Ａから転送されてきたフレームが認証フレームであると判定する。フレーム判定部２３Ａは、認証フレームを認証処理部２４Ａに出力する。認証処理部２４Ａは、フレーム判定部２３Ａから入力した認証フレームに基づいてユーザ端末５の認証処理を開始する（ステップＳＴ２ｅ）。認証処理は、実施の形態１と同様である。

一方、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”ではない場合（ステップＳＴ１ｅ；ＮＯ）、フレーム判定部２３Ａは、フレーム転送部２１Ａから転送されてきたフレームが認証フレームではないので、当該フレームを廃棄する（ステップＳＴ３ｅ）。

図１１は、フレーム処理部２０Ａが送信対象のフレームを出力するまでの処理を示すフローチャートである。まず、フレーム処理部２０Ａのフレーム判定部２３Ａは、送信対象のフレームが認証フレームであるかどうかを確認するため、送信対象のフレームのヘッダ情報におけるＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であるか否かを判定する（ステップＳＴ１ｆ）。

このとき、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”ではない場合（ステップＳＴ１ｆ；ＮＯ）、フレーム処理部２０Ａは、図１１の処理を終了する。
一方、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であれば（ステップＳＴ１ｆ；ＹＥＳ）、フレーム判定部２３Ａは、送信対象のフレームが認証フレームであると判定する。
このとき、フレーム判定部２３Ａは、認証に成功したユーザ端末５のＭＡＣアドレス（送信元ＭＡＣアドレス）を認証フレームに付与する（ステップＳＴ２ｆ）。
続いて、フレーム判定部２３は、ステップＳＴ２ｆでユーザ端末５のＭＡＣアドレスを付与した送信対象のフレームを、フレーム転送部２１に出力する（ステップＳＴ３ｆ）。

図１２は、フレーム転送部２１Ａが送信対象のフレームを転送するまでの処理を示すフローチャートである。フレーム転送部２１Ａは、送信対象のフレームに設定された宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”で、かつ、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”であるか否かを判定する（ステップＳＴ１ｇ）。

宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”ではないか、または、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”ではない場合（ステップＳＴ１ｇ；ＮＯ）、フレーム転送部２１Ａは、送信対象のフレームに含まれる宛先ＭＡＣアドレスが、ＭＡＣ学習テーブル２５に登録されているか否かを確認する（ステップＳＴ２ｇ）。

一方、宛先ＭＡＣアドレスが“０１−８０−Ｃ２−００−００−０３”であり、かつ、ＥｔｈｅｒＴｙｐｅが“０ｘ８８８Ｅ”である場合（ステップＳＴ１ｇ；ＹＥＳ）、フレーム転送部２１Ａは、送信対象のフレームが認証フレームであるので、この認証フレームから送信元ＭＡＣアドレスを取得する（ステップＳＴ３ｇ）。
続いて、フレーム転送部２１Ａは、ステップＳＴ３ｇで取得した送信元ＭＡＣアドレスをキーとしてユーザ端末テーブル２２Ａからポート番号およびＶＬＡＮ ＩＤを取得する（ステップＳＴ４ｇ）。

フレーム転送部２１Ａは、ユーザ端末テーブル２２Ａから取得したポート番号に基づいて転送先のポートを特定し、ユーザ端末テーブル２２Ａから取得したＶＬＡＮ ＩＤを、特定したポートに割り当てる（ステップＳＴ５ｇ）。すなわち、フレーム転送部２１Ａは、ユーザ端末テーブル２２Ａから取得したポート番号に基づいて転送先のポートを特定し、特定したポートに転送されるフレームのＶＬＡＮ ＩＤを、ユーザ端末テーブル２２Ａから取得したＶＬＡＮ ＩＤに変更する。

フレーム転送部２１Ａは、ステップＳＴ５ｇで特定したポートにフレームを転送する（ステップＳＴ６ｇ）。ユーザ端末５のユーザは、認証フレームに含まれる認証結果からユーザ端末５が認証に成功したことを知ることができる。

また、送信対象のフレームに含まれる宛先ＭＡＣアドレスがＭＡＣ学習テーブル２５に登録されていた場合（ステップＳＴ２ｇ；ＹＥＳ）、フレーム転送部２１Ａは、ＭＡＣ学習テーブル２５に登録されているＭＡＣアドレスに対応するポートにフレームを転送する（ステップＳＴ７ｇ）。これにより、認証フレーム以外のフレームがユーザ端末５に転送される。

送信対象のフレームに含まれる宛先ＭＡＣアドレスがＭＡＣ学習テーブル２５に登録されていなければ（ステップＳＴ２ｇ；ＮＯ）、フレーム転送部２１Ａは、管理用ＶＬＡＮに属する全てのポートにフレームを転送する（ステップＳＴ８ｇ）。
このようにして、認証スイッチ装置２Ａの制御に関するフレームが、管理用ＶＬＡＮを介して転送される。

実施の形態２に係る認証スイッチ装置２Ａは、例えば、Ｌ２スイッチに適用することが可能である。Ｌ２スイッチに適用した場合であっても、ポート番号およびＶＬＡＮ ＩＤを付与したフレームを利用することで、ＶＬＡＮ ＩＤとアカウント情報を切り離して設定することが可能である。

以上のように、実施の形態２に係る認証スイッチ装置２Ａは、ユーザ端末テーブル２２Ａ、フレーム処理部２０Ａおよびフレーム転送部２１Ａを備える。ユーザ端末テーブル２２Ａは、ポート番号およびＶＬＡＮ ＩＤがユーザ端末５のＭＡＣアドレスごとに登録されている。フレーム処理部２０Ａは、認証フレームに基づいてユーザ端末５の認証処理を実施する。例えば、フレーム処理部２０Ａは、ＩＥＥＥ８０２．１Ｘ認証を実施する。フレーム転送部２１Ａは、認証フレームから取得した送信元ＭＡＣアドレスをキーとして、ポート番号およびＶＬＡＮ ＩＤをユーザ端末テーブル２２Ａから取得し、取得したポート番号およびＶＬＡＮ ＩＤに基づいて、認証に成功したユーザ端末５が接続するポートを特定し、特定したポートが属するＶＬＡＮを設定して認証結果を転送する。
このように構成しても、ユーザ端末５に割り当てるＶＬＡＮ ＩＤをＲＡＤＩＵＳサーバ４で保持する必要がない。従って、ＶＬＡＮ ＩＤとアカウント情報とを切り離して設定できることから、ＲＡＤＩＵＳサーバ４に登録されているアカウント情報を更新しなくても、ＶＬＡＮを構築することができる。
特に、フレーム処理部２０Ａの処理負荷が高い場合またはメモリの使用量が高い場合、フレーム処理部２０Ａではなく、フレーム転送部２１Ａが、ユーザ端末テーブル２２Ａの作成および更新を行うことができる。

実施の形態２に係る認証スイッチ装置２Ａにおいて、フレーム転送部２１Ａが、認証フレームに含まれるポート番号およびＶＬＡＮ ＩＤを使用してユーザ端末テーブル２２Ａを更新し、認証に失敗したユーザ端末５に対応するポート番号およびＶＬＡＮ ＩＤを、ユーザ端末テーブル２２Ａから削除する。これにより、ユーザ端末テーブル２２Ａが自立的に作成および更新されるので、ネットワークの保守者によるユーザ端末テーブル２２Ａの作成作業が不要となる。

なお、本発明は上記実施の形態に限定されるものではなく、本発明の範囲内において、実施の形態のそれぞれの自由な組み合わせまたは実施の形態のそれぞれの任意の構成要素の変形もしくは実施の形態のそれぞれにおいて任意の構成要素の省略が可能である。

１ ネットワークシステム、２，２Ａ 認証スイッチ装置、３ ハブ、４ ＲＡＤＩＵＳサーバ、５ ユーザ端末、６ ローカルエリアネットワーク、２０，２０Ａ フレーム処理部、２１，２１Ａ フレーム転送部、２２，２２Ａ ユーザ端末テーブル、２３，２３Ａ フレーム判定部、２４，２４Ａ 認証処理部、２５ ＭＡＣ学習テーブル。

Claims (9)

1. 認証情報が受信されたポートを識別するためのポート識別情報およびポートが属する仮想ローカルエリアネットワークを識別するためのＶＬＡＮ識別情報が、前記認証情報を送信したユーザ端末に固有なアドレス情報ごとに登録されたテーブルデータと、
   前記認証情報に基づいてユーザ端末の認証処理を実施し、認証に成功したユーザ端末に固有なアドレス情報をキーとして前記テーブルデータから取得したポート識別情報およびＶＬＡＮ識別情報を出力する処理部と、
   前記処理部から出力されたポート識別情報およびＶＬＡＮ識別情報に基づいて、認証に成功したユーザ端末が接続するポートを特定し、特定したポートにユーザ端末の認証結果を転送する転送部と、を備えた
   ことを特徴とする認証スイッチ装置。
2. 前記処理部は、前記認証情報に含まれるポート識別情報およびＶＬＡＮ識別情報を使用して前記テーブルデータを更新し、認証に失敗したユーザ端末に対応するポート識別情報およびＶＬＡＮ識別情報を前記テーブルデータから削除する
   ことを特徴とする請求項１記載の認証スイッチ装置。
3. 認証情報が受信されたポートを識別するためのポート識別情報およびポートが属する仮想ローカルエリアネットワークを識別するためのＶＬＡＮ識別情報が、前記認証情報を送信したユーザ端末に固有なアドレス情報ごとに登録されたテーブルデータと、
   前記認証情報に基づいてユーザ端末の認証処理を実施する処理部と、
   前記認証情報から取得したアドレス情報をキーとしてポート識別情報およびＶＬＡＮ識別情報を前記テーブルデータから取得し、取得したポート識別情報およびＶＬＡＮ識別情報に基づいて、認証に成功したユーザ端末が接続するポートを特定し、特定したポートにユーザ端末の認証結果を転送する転送部と、を備えた
   ことを特徴とする認証スイッチ装置。
4. 前記転送部は、前記認証情報に含まれるポート識別情報およびＶＬＡＮ識別情報を使用して前記テーブルデータを更新し、認証に失敗したユーザ端末に対応するポート識別情報およびＶＬＡＮ識別情報を前記テーブルデータから削除する
   ことを特徴とする請求項３記載の認証スイッチ装置。
5. 前記処理部は、ＩＥＥＥ８０２．１Ｘ認証を行う
   ことを特徴とする請求項１から請求項４のうちのいずれか１項記載の認証スイッチ装置。
6. 請求項１から請求項５のうちのいずれか１項記載の認証スイッチ装置と、
   前記処理部からの問い合わせに応じてユーザ端末の認証処理を実施して認識結果を返信する認証サーバと、
   認証スイッチ装置が有するポートに接続されたユーザ端末と、を備えた
   ことを特徴とするネットワークシステム。
7. 請求項１または請求項２記載の認証スイッチ装置の認証方法であって、
   前記処理部が、前記認証情報に基づいてユーザ端末の認証処理を実施し、認証に成功したユーザ端末に固有なアドレス情報をキーとして前記テーブルデータから取得したポート識別情報およびＶＬＡＮ識別情報を出力するステップと、
   前記転送部が、前記処理部から出力されたポート識別情報およびＶＬＡＮ識別情報に基づいて、認証に成功したユーザ端末が接続するポート特定し、特定したポートにユーザ端末の認証結果を転送するステップと、を備えた
   ことを特徴とする認証方法。
8. 請求項３または請求項４記載の認証スイッチ装置の認証方法であって、
   前記処理部が、前記認証情報に基づいてユーザ端末の認証処理を実施するステップと、
   前記転送部が、前記認証情報から取得したアドレス情報をキーとしてポート識別情報およびＶＬＡＮ識別情報を前記テーブルデータから取得し、取得したポート識別情報およびＶＬＡＮ識別情報に基づいて、認証に成功したユーザ端末が接続するポートにユーザ端末の認証結果を転送するステップと、を備えた
   ことを特徴とする認証方法。
9. 前記処理部は、ＩＥＥＥ８０２．１Ｘ認証を行う
   ことを特徴とする請求項７または請求項８記載の認証方法。

Images