WO2014002265A1 - 中継装置、情報処理装置、アクセス制御方法およびプログラム - Google Patents

中継装置、情報処理装置、アクセス制御方法およびプログラム Download PDF

Info

Publication number
WO2014002265A1
WO2014002265A1 PCT/JP2012/066758 JP2012066758W WO2014002265A1 WO 2014002265 A1 WO2014002265 A1 WO 2014002265A1 JP 2012066758 W JP2012066758 W JP 2012066758W WO 2014002265 A1 WO2014002265 A1 WO 2014002265A1
Authority
WO
WIPO (PCT)
Prior art keywords
identification information
relay device
relay
user
address
Prior art date
Application number
PCT/JP2012/066758
Other languages
English (en)
French (fr)
Inventor
高史 木野
将勝 入江
田中　宏行
四ノ宮　大輔
武仲　正彦
高橋　裕
Original Assignee
富士通株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 富士通株式会社 filed Critical 富士通株式会社
Priority to JP2014522333A priority Critical patent/JP5800089B2/ja
Priority to PCT/JP2012/066758 priority patent/WO2014002265A1/ja
Publication of WO2014002265A1 publication Critical patent/WO2014002265A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge

Definitions

  • the present invention relates to a relay device, an information processing device, an access control method, and a program.
  • the information processing system includes a server device that provides a service and a relay device that relays communication data.
  • the user can use the service by accessing the server device using the client device.
  • the security of the server device becomes a problem. For example, confidential information handled by the server device may be read illegally or the server device may be used illegally. Therefore, access to the server device in the network may be restricted for each user.
  • the operation terminal when operating a device in a home network from a user's operation terminal, there is a proposal to perform authentication by transmitting a user name and password from the operation terminal to the home gateway.
  • the operation terminal obtains a table having access permission information for each user's device from the home gateway.
  • the operation terminal performs access management for each device based on the table.
  • a reverse proxy that manages authenticated users by assigning a session identifier to the user and converts the destination of received data to access a different server for each authenticated user.
  • a device proposal For example, every time a user logs in to the system, a session ID (IDentifier) is notified to the user terminal, and when an information provision request including the session ID is received from the user terminal, the validity of the information provision request is confirmed based on the session ID. There are also suggestions.
  • Access control for each user may be performed using a relay device.
  • a relay device For example, it is conceivable to assign a plurality of logically divided virtual networks (sometimes referred to as VLAN (Virtual Local Area Network)) to the relay device.
  • VLAN Virtual Local Area Network
  • the client apparatus is assigned to a VLAN corresponding to the authenticated user. In this way, the access destination of the client device is limited to server devices belonging to the same VLAN.
  • an object of the present invention is to provide a relay device, an information processing device, an access control method, and a program that can easily perform access control for each user.
  • a relay device has setting means and control means.
  • the setting unit When receiving the first identification information indicating the user and the second identification information indicating the transmission source node, the setting unit identifies the destination node to which access is permitted in association with each of the plurality of user identification information.
  • the third identification information indicating the destination node corresponding to the first identification information is acquired from the information processing apparatus that stores the information, and the second identification information and the third identification are obtained as a combination in which data relay is permitted.
  • Information is set in the storage means.
  • the control means determines whether or not to relay the data based on the information set in the storage means when relaying the data including the identification information of the transmission source node and the identification information of the destination node. To do.
  • an information processing apparatus capable of communicating with a relay apparatus that relays data transmitted by a transmission source node.
  • This information processing apparatus has storage means and providing means.
  • the storage unit stores identification information indicating a destination node permitted to be accessed in association with identification information of a plurality of users.
  • the providing unit receives the first identification information indicating the user and the second identification information indicating the transmission source node from the relay device, the providing unit refers to the storage unit and determines a destination node corresponding to the first identification information.
  • the third identification information shown is searched, and the third identification information is provided to the relay device as the identification information of the destination node that is allowed to relay data corresponding to the second identification information.
  • the first identification information indicating the user and the second identification information indicating the transmission source node are received using the relay apparatus
  • the first identification information and the second identification information are received by the information processing apparatus.
  • the third identification information is provided to the relay device as the identification information of the destination node that is allowed to relay data corresponding to the second identification information.
  • a program executed by a computer for relaying data transmitted by a transmission source node When the computer receives the first identification information indicating the user and the second identification information indicating the transmission source node, the program allows the destination node to be accessed in association with the identification information of the plurality of users.
  • the third identification information indicating the destination node corresponding to the first identification information is acquired from the information processing apparatus that stores the identification information indicating the second identification information and the second identification information as a combination that allows data relay.
  • the data based on the information set in the storage means is set. It is determined whether or not to relay the process.
  • a program executed by a computer that can communicate with a relay device that relays data transmitted by a transmission source node.
  • the computer receives the first identification information indicating the user and the second identification information indicating the transmission source node from the relay device, the program is allowed to access the computer in association with the identification information of the plurality of users.
  • the third identification information indicating the destination node corresponding to the first identification information is searched, and the data of the data corresponding to the second identification information is retrieved.
  • a process of providing third identification information to the relay device as identification information of a destination node permitted to be relayed is executed.
  • FIG. 1 illustrates an information processing system according to the first embodiment.
  • the information processing system according to the first embodiment includes a relay device 1, an information processing device 2, and nodes 3, 4, 5, and 6.
  • the relay device 1, the information processing device 2, and the nodes 4, 5, and 6 are connected via a network.
  • Node 3 communicates with nodes 4, 5, and 6 via relay device 1.
  • the node 3 is a client device used by the user.
  • the nodes 3, 4, 5, and 6 may be physical computers (sometimes referred to as physical machines) or virtual computers (sometimes referred to as virtual machines) that operate on the physical machines.
  • the relay device 1 relays the data transmitted by the transmission source node.
  • the relay device 1 includes a storage unit 1a, a setting unit 1b, and a control unit 1c.
  • the storage unit 1a stores data used for the processing of the control unit 1c.
  • the setting unit 1b receives first identification information indicating a user and second identification information indicating a transmission source node.
  • the first identification information may be a user ID.
  • the second identification information may be address information used for data transfer in the network.
  • As the address information for example, an IP (Internet Protocol) address used for communication control in the third layer of the OSI (Open Systems Interconnection) reference model is conceivable.
  • the setting unit 1b acquires, from the information processing apparatus 2, third identification information indicating a destination node that is allowed to access corresponding to the first identification information, based on the first identification information.
  • the third identification information may be an address indicating a destination node.
  • the third identification information may be an IP address.
  • the setting unit 1b transmits the first identification information and the second identification information to the information processing device 2, and acquires the third identification information from the information processing device 2 as a response.
  • the setting unit 1b sets the second identification information and the third identification information in the storage unit 1a as a combination that allows data relay.
  • the control unit 1c determines whether to relay the data based on the information set in the storage unit 1a. To do. When the combination of identification information of each node included in the data is set in the storage unit 1a as a combination that allows relaying, the control unit 1c determines to relay the data. Then, the control unit 1c relays the data. On the other hand, if the storage unit 1a is not set as an allowable combination, the control unit 1c determines that the data is not relayed. Then, the control means 1c discards the data.
  • the information processing apparatus 2 includes a storage unit 2a and a providing unit 2b.
  • the storage unit 2a stores identification information indicating a destination node to which access is permitted in association with identification information of a plurality of users. Identification information indicating a plurality of destination nodes permitted to access may be associated with identification information of one user. There may be a plurality of identification information for each destination node.
  • the providing unit 2b When the providing unit 2b receives the first identification information and the second identification information from the relay device 1, the providing unit 2b refers to the storage unit 2a and provides third identification information indicating a destination node corresponding to the first identification information. Search for. The providing unit 2b provides the relay apparatus 1 with the third identification information as the identification information of the destination node that is allowed to relay data in correspondence with the second identification information.
  • the identification information of the relay device 1 is “DIDA”
  • the identification information of the node 3 is “SID1”
  • the identification information of the node 4 is “DID1”
  • the identification information of the node 5 is “DID2”
  • the identification information of the node 6 is “DID3”.
  • the identification information of the user who uses the node 3 is “UID1”. Further, it is assumed that there is no information set in the storage unit 1a before step S1 shown below.
  • the relay device 1 receives the data 3a from the node 3 (step S1).
  • the data 3a includes a transmission source “SID1”, a destination “DIDA”, and user data “UID1”.
  • the relay device 1 transmits “UID1” (and “SID1”) extracted from the data 3a to the information processing device 2 (step S2).
  • the information processing apparatus 2 searches the storage means 2a using “UID1” as a key, and extracts a destination “DID1” that is allowed to be accessed in response to the user of “UID1”. Access to a plurality of destinations may be permitted per user. For example, the storage unit 2a also has a record registration indicating that access to the destination “DID2, DID3” is permitted for the user of “UID2”. The information processing apparatus 2 provides “DID1” to the relay apparatus 1 as a destination that is allowed to relay data corresponding to the transmission source “SID1”. The relay device 1 sets “SID1” and “DID1” in the storage unit 1a as a combination that allows data relay (step S3).
  • the relay device 1 receives the data 3b from the node 3.
  • the data 3b includes a transmission source “SID1”, a destination “DID1”, and user data “Data”.
  • a combination of “SID1” and “DID1” is set in the storage unit 1a. Therefore, the relay device 1 relays the data 3b (step S4).
  • the relay device 1 receives the data 3c from the node 3.
  • the data 3c includes a transmission source “SID1”, a destination “DID2”, and user data “Data”.
  • a combination of “SID1” and “DID2” is not set in the storage unit 1a. Therefore, the relay device 1 does not relay the data 3c (step S5).
  • the relay device 1 acquires and holds the access control setting contents for each node for each user from the information processing apparatus 2, and determines whether to relay data based on the setting contents. For this reason, when it is desired to change the contents of access control for each user, the setting contents stored in the storage unit 2a may be changed. This is because the change content can be acquired by the relay device 1 and the change content can be reflected. Therefore, the administrator of the information processing system can save the trouble of setting the relay device 1 individually. In addition to the relay device 1, a plurality of relay devices may be operated. In this case, the trouble of searching for the relay device 1 to be set can be saved. Thus, access control for each user can be easily performed. In addition, the administrator's work can be saved, and access control can be set efficiently.
  • a large number of relay devices and nodes can be operated.
  • the processing power may be expanded by scaling out, and the number of nodes may increase.
  • the connection relationship between the virtual machine and the virtual switch can be updated frequently. This is because a virtual machine is added to or deleted from a physical machine or moved to another physical machine depending on the operating status (user usage or load, etc.).
  • the burden of changing the setting of each relay device (or virtual switch) at the time of connection change is particularly large. Therefore, it is particularly useful when the relay device 1 and the information processing device 2 are applied to a large-scale network.
  • each relay device 1 acquires the setting contents of access control for each user from the information processing device 2. Therefore, even if a plurality of relay apparatuses 1 are provided for each network for which access control is desired, it is possible to easily set access control for each relay apparatus 1 for each user.
  • the relay device 1 and the information processing device 2 may include a processor such as a CPU (Central Processing Unit) and a memory such as a RAM (Random Access Memory). In that case, the information processing of the relay device 1 and the information processing device 2 can be realized by the processor executing a program stored in the memory.
  • a processor such as a CPU (Central Processing Unit) and a memory such as a RAM (Random Access Memory).
  • the information processing of the relay device 1 and the information processing device 2 can be realized by the processor executing a program stored in the memory.
  • FIG. 2 illustrates an information processing system according to the second embodiment.
  • the information processing system according to the second embodiment includes relay devices 100, 100a, 100b, a management server 200, and business servers 300, 300a, 400, 400a.
  • the relay device 100 is connected to the firewall 11.
  • the firewall 11 is connected to the network 10.
  • the network 10 may be a local area network (LAN) or a wide area network such as the Internet or a wide area network (WAN).
  • LAN local area network
  • WAN wide area network
  • the firewall 11 monitors communication (for example, an IP packet) between the network 10 side (external side) and the relay device 100 side (internal side), and permits only communication that matches a predetermined rule. Reject communications that do not match
  • the relay apparatuses 100, 100a, 100b, the management server 200, and the business servers 300, 300a are connected to the network 20.
  • the relay device 100b and the business servers 400 and 400a are connected to the network 30.
  • the networks 20 and 30 are LANs.
  • the networks 20 and 30 may be networks of the same site, or networks of different sites (for example, a head office and a branch office).
  • the relay devices 100, 100a, and 100b are switches that relay communication data.
  • the relay apparatuses 100, 100a, and 100b may be L3 (Layer 3) switches or routers that perform routing between different network segments.
  • the relay apparatuses 100, 100a, and 100b communicate with the management server 200, acquire access control information for each user, and perform access control based on the information.
  • the relay devices 100, 100a, and 100b may be realized by a computer.
  • the management server 200 is a server computer that centrally manages access control information for each user.
  • the management server 200 provides access control information to the relay apparatuses 100, 100a, and 100b.
  • the management server 200 may be connected to a network other than the network 20 (for example, the network 30).
  • the business servers 300, 300a, 400, and 400a are server computers that execute business applications.
  • the business servers 300, 300a, 400, and 400a provide services by business applications to the clients 500, 500a, 600, and 600a.
  • the business servers 300, 300a, 400, and 400a have a Web server function. From the clients 500, 500a, 600, and 600a, services provided by the business servers 300, 300a, 400, and 400a can be used using software called a Web browser.
  • the firewall 11 permits communication of an application port corresponding to HTTP (HyperText Transfer Protocol) or HTTPS (HTTP over Secure Socket Layer). Then, HTTP requests and responses can be transmitted and received between the clients 500, 500a and the business servers 300, 300a, 400, 400a. The same applies to FTP (File Transfer Protocol).
  • HTTP HyperText Transfer Protocol
  • HTTPS HTTP over Secure Socket Layer
  • the user can access the information processing system according to the second embodiment by operating the clients 500, 500a, 600, and 600a.
  • Clients 500, 500a, 600, and 600a are client computers.
  • the clients 500, 500a, 600, and 600a may be electronic devices such as mobile phones and smart devices (for example, smartphones and tablet terminals).
  • the clients 500 and 500a connect to the network 10 via the access point 12 and access the information processing system.
  • the access point 12 is a relay device that relays wireless communication.
  • the access point 12 may be a radio base station connected to the network 10 via a mobile communication network.
  • the clients 600 and 600a are connected to the relay device 100a.
  • Clients 600 and 600a may be connected to relay device 100a via another network.
  • a service is used from the client 500.
  • the user designates a URL (Uniform Resource Locator) of a business application to be used on a Web browser running on the client 500.
  • the client 500 inquires a DNS (Domain Name System) server connected to the network 10 for an FQDN (Fully Quality Domain Name) in the URL, thereby resolving an IP address corresponding to the FQDN.
  • DNS Domain Name System
  • FQDN Full Quality Domain Name
  • the Web browser transmits a request with the resolved IP address as the destination IP address.
  • the service provided by the business server from the client 500 can be used.
  • FQDN it is conceivable to provide a DNS server in a network segment accessible from the clients 600 and 600a.
  • IP addresses used in the information processing system according to the second embodiment are as follows.
  • the network address of the network 20 is “192.168.10.0”.
  • the network address of the network 30 is “192.168.20.0”.
  • the relay device 100 is “192.168.10.1”.
  • the relay device 100a is “192.168.10.2”.
  • the relay device 100b is “192.168.20.1”.
  • the relay apparatus 100b may have an IP address on the network 20 side.
  • the management server 200 is “192.168.10.10.”
  • the business server 300 is “192.168.10.101”.
  • the business server 300a is “192.168.10.102”.
  • the business server 400 is “192.168.20.010”.
  • the business server 400a is “192.168.20.102”.
  • a predetermined IP address (for example, an IP address of the network 20) may be assigned to the clients 500 and 500a using, for example, a VPN (Virtual Private Network) technique. Then, a request specifying the IP address of each business server as the destination may be issued. In this case, for example, the client 500 or 500a is caused to execute VPN client software.
  • a VPN server that communicates with a VPN client and assigns an IP address is provided between the firewall 11 and the relay apparatus 100. The VPN client encapsulates the IP packet including the request using a predetermined protocol and sends it to the VPN server. The VPN server transfers the request obtained by releasing the encapsulation to the relay device 100.
  • a VPN may be implemented using a UTM (Unified Threat Management) device or the like.
  • FIG. 3 is a diagram illustrating a hardware example of the relay device according to the second embodiment.
  • the relay device 100 includes a processor 101, a RAM 102, a ROM (Read Only Memory) 103, a switch unit 104, and a port unit 105.
  • the relay apparatuses 100a and 100b can also be realized using the same units as the relay apparatus 100.
  • the processor 101 executes a firmware program.
  • the processor 101 may be a multiprocessor.
  • the processor 101 is, for example, a CPU, MPU (Micro Processing Unit), DSP (Digital Signal Processor), ASIC (Application Specific Integrated Circuit), FPGA (Field Programmable Gate Array) or PLD (Programmable Logic Device).
  • the processor 101 may be a combination of two or more elements of CPU, MPU, DSP, ASIC, FPGA, and PLD.
  • the RAM 102 temporarily stores firmware programs and data.
  • the ROM 103 stores firmware programs and data in advance.
  • the ROM 103 may be a rewritable nonvolatile memory such as a flash memory.
  • the switch unit 104 acquires a frame received at each port of the port unit 105 and outputs the frame to the processor 101.
  • the switch unit 104 acquires a frame determined to be relayed from the processor 101.
  • the switch unit 104 determines a port that outputs the frame based on a destination MAC (Media Access Control) address included in the frame.
  • the switch unit 104 may hold a transfer table for determining a transfer destination port. When routing is performed in the network layer, the MAC address and the transfer destination port may be resolved from the destination IP address included in the IP packet in the frame using ARP (Address Resolution Protocol) or the like.
  • the switch unit 104 outputs the frame to the determined port.
  • the port unit 105 has a plurality of ports that communicate with other devices such as the management server 200 via the firewall 11 and the network 20.
  • a part of the port unit 105 is directly or indirectly connected to the firewall 11 by a predetermined cable.
  • the other part of the port unit 105 is directly or indirectly connected to the network 20 by a predetermined cable.
  • FIG. 4 is a diagram illustrating a hardware example of the management server according to the second embodiment.
  • the management server 200 includes a processor 201, a RAM 202, an HDD (Hard Disk Drive) 203, a communication unit 204, an image signal processing unit 205, an input signal processing unit 206, a disk drive 207, and a device connection unit 208. Each unit is connected to the bus of the management server 200.
  • the business servers 300, 300 a, 400, 400 a and the clients 500, 500 a, 600, 600 a can also be realized using the same units as the management server 200.
  • the processor 201 controls information processing of the management server 200.
  • the processor 201 may be a multiprocessor.
  • the processor 201 is, for example, a CPU, MPU, DSP, ASIC, FPGA, or PLD.
  • the processor 201 may be a combination of two or more elements of CPU, MPU, DSP, ASIC, FPGA, and PLD.
  • the RAM 202 is a main storage device of the management server 200.
  • the RAM 202 temporarily stores at least part of an OS (Operating System) program and application programs to be executed by the processor 201.
  • the RAM 202 stores various data used for processing by the processor 201.
  • the HDD 203 is an auxiliary storage device of the management server 200.
  • the HDD 203 magnetically writes data to and reads data from a built-in magnetic disk.
  • the HDD 203 stores an OS program, application programs, and various data.
  • the management server 200 may include other types of auxiliary storage devices such as flash memory and SSD (Solid State Drive), or may include a plurality of auxiliary storage devices.
  • the communication unit 204 is an interface that can communicate with other computers and the relay devices 100, 100 a, 100 b through the network 20.
  • the communication unit 204 may be a wired interface or a wireless interface.
  • the image signal processing unit 205 outputs an image to the display 21 connected to the management server 200 in accordance with an instruction from the processor 201.
  • a CRT (CathodeathRay Tube) display As the display 21, a CRT (CathodeathRay Tube) display, a liquid crystal display, or the like can be used.
  • the input signal processing unit 206 acquires an input signal from the input device 22 connected to the management server 200 and outputs it to the processor 201.
  • the input device 22 for example, a pointing device such as a mouse or a touch panel, a keyboard, or the like can be used.
  • the disk drive 207 is a drive device that reads a program and data recorded on the optical disk 23 using a laser beam or the like.
  • the optical disc 23 for example, a DVD (Digital Versatile Disc), DVD-RAM, CD-ROM (Compact Disc Read Only Memory), CD-R (Recordable) / RW (ReWritable) or the like can be used.
  • the disk drive 207 stores the program and data read from the optical disk 23 in the RAM 202 or the HDD 203 in accordance with an instruction from the processor 201.
  • the device connection unit 208 is a communication interface for connecting peripheral devices to the management server 200.
  • the memory device 24 and the reader / writer device 25 can be connected to the device connection unit 208.
  • the memory device 24 is a recording medium equipped with a communication function with the device connection unit 208.
  • the reader / writer device 25 is a device that writes data to the memory card 26 or reads data from the memory card 26.
  • the memory card 26 is a card type recording medium.
  • the device connection unit 208 stores a program or data read from the memory device 24 or the memory card 26 in the RAM 202 or the HDD 203 in accordance with an instruction from the processor 201.
  • FIG. 5 is a diagram illustrating an example of software according to the second embodiment.
  • 5 may be a module of a program executed by the relay devices 100, 100a, 100b and the processor of the management server 200.
  • 5 may be an electronic circuit such as an ASIC or FPGA included in the relay apparatuses 100, 100a, and 100b and the management server 200.
  • the firewall 11 and the access point 12 are not shown.
  • the relay device 100 includes a storage unit 110 and an access control unit 120.
  • the storage unit 110 stores information used for processing of the access control unit 120.
  • the information includes a session management table.
  • the session management table is information for access control in which a combination of IP addresses permitted to be relayed is registered. Below, the information which shows the said combination may be called session information.
  • the storage unit 110 can be mounted using the RAM 120.
  • the access control unit 120 receives information for login authentication from the clients 500 and 500a.
  • the login authentication may be referred to as network login authentication.
  • the network login authentication is login authentication for connecting to the networks 20 and 30.
  • login authentication may occur individually for services provided by each business server.
  • the term “login authentication” refers to network login authentication.
  • the access control unit 120 receives login authentication information from the clients 500 and 500a.
  • the access control unit 120 transmits the login authentication information to the management server 200 and requests authentication.
  • the information for login authentication includes a user ID and a password.
  • the login authentication information may include client address information (IP address or MAC address).
  • the access control unit 120 may provide the clients 500 and 500a with a GUI (Graphical User Interface) for inputting login authentication information.
  • GUI Graphic User Interface
  • the GUI can be provided to the clients 500 and 500a as a Web page (login page).
  • a web server that provides a login page may be provided separately. Then, when an access specifying the business server as a destination is received from the clients 500 and 500a before login authentication, the access destination may be redirected to the URL of the login page.
  • the access control unit 120 may receive the user ID and password input on the login page.
  • the access control unit 120 receives session information corresponding to the authentication result from the management server 200 and registers it in the session management table stored in the storage unit 110. Then, when the access control unit 120 relays a request addressed to the business servers 300, 300 a, 400, and 400 a after login authentication, the access control unit 120 determines whether to relay the request based on the session management table stored in the storage unit 110. Determine whether. When relaying the request, the access control unit 120 outputs the request to the switch unit 104. The switch unit 104 refers to the destination of the request and sends the request from a predetermined port. When the request is not relayed, the access control unit 120 discards the request.
  • the storage unit 110 is an example of the storage unit 1a according to the first embodiment.
  • the access control unit 120 is an example of the setting unit 1b and the control unit 1c according to the first embodiment.
  • the relay device 100a includes a storage unit 110a and an access control unit 120a.
  • the relay device 100b includes a storage unit 110b and an access control unit 120b.
  • the storage units 110a and 110b store a session management table.
  • the access control unit 120a performs access control on the business servers 300, 300a, 400, and 400a based on the session management table stored in the storage unit 110a.
  • the access control unit 120b performs access control on the business servers 300, 300a, 400, and 400a based on the session management table stored in the storage unit 110b.
  • the management server 200 includes a storage unit 210 and a management unit 220.
  • the storage unit 210 stores information used for processing of the management unit 220.
  • the information includes a user management table, an access management table, and a connection management table.
  • the user management table is information in which basic user information is registered.
  • the basic user information includes, for example, information indicating whether or not simultaneous connection using a user ID, a password, and a plurality of clients (hereinafter sometimes referred to as multiple connection) is possible.
  • the access management table is information in which the IP address of a business server that allows access for each user is registered.
  • the connection management table is information for managing the current connection state in the relay apparatuses 100, 100a, and 100b.
  • the storage unit 210 can be mounted using the RAM 202 or the HDD 203.
  • the management unit 220 When the management unit 220 receives an authentication request from the relay devices 100, 100 a, 100 b, the management unit 220 executes an authentication process based on the information stored in the storage unit 210. The management unit 220 generates session information according to the authentication result and provides it to the requesting relay device.
  • the storage unit 210 is an example of the storage unit 2a according to the first embodiment.
  • the management unit 220 is an example of the providing unit 2b according to the first embodiment.
  • FIG. 6 illustrates an example of a user management table according to the second embodiment.
  • the user management table 211 is stored in the storage unit 210.
  • the user management table 211 includes items of user ID, password, and multiple connection setting.
  • the user ID is registered in the user ID item.
  • a password is registered in the password item.
  • permission information indicating whether multiple connection is permitted is registered. For example, the information “permitted” is registered in the item of “multiple connection setting” and the information “impossible” is registered in the item of “multiple connection setting”.
  • the user with the user ID “UID0001” is hereinafter referred to as user A.
  • the user with the user ID “UID0002” is called user B.
  • the user with the user ID “UID0003” is called user C.
  • the setting contents of the user management table 211 can be appropriately changed, for example, by an administrator of the information processing system, for example, when it is desired to change permission information for multiple connections for each user.
  • FIG. 7 illustrates an example of an access management table according to the second embodiment.
  • the access management table 212 is stored in the storage unit 210.
  • the access management table 212 includes items of ROLE, user ID, terminal IP address, terminal MAC address, and ACL (Access Control List).
  • ROLE item a ROLE number for identifying a record (data unit for one line) is registered.
  • ROLE1 indicates a record in which the ROLE number “1” is set in the ROLE item of the access management table 212.
  • the term ROLE may be used as a term indicating one record in the access management table 212.
  • the user ID is registered in the user ID item.
  • the IP address of the client is registered in the terminal IP address item.
  • the MAC address of the client is registered in the terminal MAC address item.
  • ACL item a list of IP addresses of business servers permitted to access is registered.
  • a plurality of IP addresses can be registered per ROLL. The numbers “1”, “2”, “3”, and “4” obtained by subdividing the ACL items are given for convenience. Further, when there are a large number of access destination servers, five or more IP addresses may be registered.
  • the access management table 212 includes items for which no information is registered in each record. In that case, a hyphen symbol “-” is shown. When “-” is registered in the terminal IP address item, it indicates an arbitrary terminal IP address. When “ ⁇ ” is registered in the item of the terminal MAC address, an arbitrary MAC address is indicated.
  • ROLE is “1”
  • user ID is “UID0001”
  • terminal IP address is “192.168.10.11”
  • terminal MAC address is “08-b4-25-9e-0c”.
  • -46 ACL“ 192.168.10.101 ”,“ 192.168.10.102 ”,“ 192.168.20.010 ”,“ 192.168.20.102 ”are registered. ing.
  • the ACL Indicates that access to the IP address is permitted. In this case, access to the business servers 300, 300a, 400, 400a is permitted.
  • the ACL is “192.168.10.101” and “192.168.20” for the same user ID “UID0001” and IP address “192.168.10.11”. .101 ".
  • ROLE for each user is registered in the access management table 212.
  • a plurality of ROLEs may be registered for one user.
  • a range of IP addresses that allow access may be registered in the ACL using a network address or the like.
  • a single business server may use a plurality of IP addresses (for example, for each service to be provided). In that case, it is only necessary to register in the ACL only the IP address that is desired to be allowed to access among the plurality of IP addresses of the one business server.
  • the setting contents of the access management table 212 can be changed when a user is added / deleted, a business server is added / deleted, a network connection of the business server is changed, or the like.
  • the administrator of the information processing system can change the setting contents of the access management table 212 when these changes occur.
  • FIG. 8 is a diagram illustrating an example of a connection management table according to the second embodiment.
  • the connection management table 213 is stored in the storage unit 210.
  • the connection management table 213 is updated by the management unit 220.
  • the connection management table 213 includes items of user ID, terminal IP address, relay device IP address, and applicable ROLE.
  • the user ID is registered in the user ID item.
  • the IP address of the client is registered in the terminal IP address item.
  • the relay device IP address item the IP address of the relay device that has made the authentication request is registered.
  • the applied ROLE item information indicating the ROLE to be applied as a result of the authentication is registered.
  • the applied ROLE is a ROLE provided to the relay apparatus by the management server 200. After receiving the provision of ROLE, the relay apparatus can perform access control based on the ROLE.
  • the connection management table 213 can also be referred to as a ROLE history provided to the relay device.
  • the user ID is “UID0001”
  • the terminal IP address is “50.223.3.4”
  • the relay device IP address is “192.168.10.1”
  • the applicable ROLE is “ROLE3”. "Is registered.
  • IP address “50.223.3.4” is the IP address of the client 500, for example.
  • the user ID is “UID0001”
  • the terminal IP address is “192.168.10.11”
  • the relay device IP address is “192.168.10.2”
  • the applicable ROLE is “ Information “ROLE1” is registered.
  • IP address “192.168.10.11” is, for example, the IP address of the client 600.
  • connection management table 213 Similar records are registered for the user B with the user ID “UID0002” and the user C with the user ID “UID0003”. The meaning of each information registered in the record is as described above.
  • the user B uses the client 500a.
  • the IP address “50.23.5.5” is the IP address of the client 500a.
  • the user C uses the client 600a.
  • the IP address “192.168.10.12” is the IP address of the client 600a.
  • Two records may be registered in the connection management table 213 for one client.
  • the second record for the clients 600 and 600a is registered as follows.
  • the user ID is “UID0001”
  • the terminal IP address is “192.168.10.11”
  • the relay device IP address is “192.168.20.1”
  • the applicable ROLE is “ROLE1”. "Is registered.
  • the user ID is “UID0003”
  • the terminal IP address is “192.168.10.12”
  • the relay device IP address is “192.168.20.1”
  • the applicable ROLE is “ Information "ROLE6" is registered.
  • the relay device may be registered using a device other than the relay device IP address. For example, a predetermined identification name is assigned in advance to each of the relay devices 100, 100a, and 100b.
  • the connection management table 213 may include an item for setting the identification name instead of the relay device IP address item.
  • FIG. 9 is a diagram illustrating an example of a session management table according to the second embodiment.
  • FIG. 9A illustrates the session management table 111.
  • the session management table 111 is stored in the storage unit 110.
  • the session management table 111 is updated by the access control unit 120.
  • the session management table 111 includes items of ROLE, terminal IP address, and ACL.
  • the ROLE item the ROLE number of the ROLE that is the basis of the session information is registered.
  • the IP address of the client is registered in the terminal IP address item.
  • the ACL item an IP address of a business server that allows relaying is registered.
  • the numbers “1”, “2”, “3”, and “4”, which are subdivided ACL items, are assigned for convenience as in the access management table 212.
  • the session management table 111 there is a part where information is not registered in each record. The hyphen symbol “-” is written in that place.
  • the session management table 111 information that ROLE is “3”, the terminal IP address is “50.223.3.4”, and the ACL is “192.168.10.101” is registered. This indicates that relaying of communication data whose source / destination IP address pairs are “50.223.3.4” and “192.168.10.101” is permitted. That is, in the case of the source IP address “50.223.3.4” and the destination IP address “192.168.10.101” (upstream), the source IP address “192.168.10.101”, the destination Relaying is allowed even in the case of the IP address “50.223.3.4” (downlink).
  • ROLE is “5”
  • the terminal IP address is “50.223.55.5”
  • ACL is “192.168.10.101”, “192.168.10.102”.
  • FIG. 9B illustrates the session management table 111a.
  • the session management table 111a is stored in the storage unit 110a.
  • the session management table 111a is updated by the access control unit 120a. Since the setting contents of the items included in the session management table 111a are the same as those of the session management table 111, description thereof is omitted.
  • FIG. 9C illustrates the session management table 111b.
  • the session management table 111b is stored in the storage unit 110b.
  • the session management table 111b is updated by the access control unit 120b. Since the setting contents of the items included in the session management table 111b are the same as those of the session management table 111, description thereof is omitted.
  • the session management tables 111, 111a, and 111b correspond to a session information group held by the relay devices 100, 100a, and 100b in the connection state indicated by the connection management table 213.
  • One record is one session information.
  • the session management tables 111, 111a, and 111b may include items of user ID and password.
  • the management server 200 may provide session information including a user ID and a password to the relay devices 100, 100a, and 100b. In this way, for example, when the relay device 100 receives an access from the terminal IP address registered in the session management table 111, the relay device 100 can record the user ID for the terminal IP address in the access log.
  • the session management tables 111, 111a, and 111b may include an item of MAC address.
  • the management server 200 may provide session information including the terminal MAC address to the relay devices 100, 100a, and 100b. This is because, for example, it may be possible to use a MAC address for identifying the client 500 or the like in the relay apparatus 100.
  • FIG. 10 is a diagram illustrating an example of communication data according to the second embodiment.
  • FIG. 10 illustrates communication data transmitted and received by the information processing system according to the second embodiment.
  • the frame 40 is an example of an Ethernet frame (Ethernet and Ethernet are registered trademarks).
  • the frame 40 includes fields of a preamble, a destination MAC address, a transmission source MAC address, a type, a payload, and FCS (Frame Check Sequence).
  • Preamble is a field that contains a signal for synchronization.
  • the destination MAC address is a field for setting a destination MAC address used for path selection in the second layer (data link layer) of the OSI reference model.
  • the source MAC address is a field for setting the source MAC address.
  • the type is a field for setting information indicating an upper layer protocol (for example, IP).
  • the payload is a field for setting the main body of data handled by the upper layer protocol.
  • FCS is a field for setting information for detecting a frame error.
  • the IP packet 50 is included in the payload of the frame 40.
  • the IP packet 50 is sometimes called a datagram.
  • the IP packet 50 includes a source IP address, a destination IP address, and data fields.
  • the transmission source IP address is a field for setting a transmission source IP address used for route selection in the third layer (network layer) of the OSI reference model.
  • the destination IP address is a field for setting the source IP address.
  • Data is a field for setting the communication data body.
  • Data 60 is included in the data field of the IP packet 50.
  • the data 60 may include a user ID and a password.
  • the data 60 may include an IP address or a MAC address of the client.
  • the user ID, password, and address information included in the data 60 may be information on the seventh layer (application layer) of the OSI reference model.
  • FIG. 11 is a flowchart illustrating an example of authentication processing according to the second embodiment. In the following, the process illustrated in FIG. 11 will be described in order of step number.
  • the access control unit 120 receives information for login authentication from the client 500.
  • the user A uses a web browser on the client 500 to access a web page (login page) for entering a user ID and password.
  • the user A inputs his / her user ID “UID0001” and password “pass1” on the login page.
  • the client 500 transmits a frame including the input information (login authentication information) to the relay apparatus 100.
  • the access control unit 120 receives the frame.
  • the IP packet in the frame includes a source IP address and a source MAC address. In this case, the transmission source IP address is “50.223.3.4”.
  • the source MAC address is a predetermined MAC address.
  • the access control unit 120 also extracts the address information and adds it to the login authentication information.
  • Step S12 The access control unit 120 transmits an authentication request including information for login authentication to the management server 200.
  • the login authentication information is stored in the data portion of the IP packet and transmitted to the management server 200.
  • the management unit 220 receives an authentication request from the relay device 100.
  • Step S13 The management unit 220 refers to the user management table 211 stored in the storage unit 210, and collates the user ID and the password. If the verification is successful, the process proceeds to step S14. If the collation is not successful (collation failure), the process proceeds to step S19. Specifically, if the set of the user ID and password included in the authentication request is registered in the user management table 211, the verification is successful. If the combination of the user ID and password included in the authentication request is not registered in the user management table 211, the verification is unsuccessful.
  • the management unit 220 refers to the access management table 212 stored in the storage unit 210 and searches the ACL.
  • the search key is the user ID, source IP address, and source MAC address included in the authentication request.
  • the management unit 220 extracts a corresponding record as a search result if there is at least a record with a matching user ID. There may be multiple search results. In that case, one with the largest matching key is extracted as a search result.
  • the user ID “UID0001” and the IP address “50.223.3.4” (and the source MAC address) of the client 500 are acquired.
  • the record “ROLE3” is obtained as a search result.
  • Step S15 The management unit 220 determines whether or not the ACL has been searched in Step S14. If the search is successful, the process proceeds to step S16. If not, the process proceeds to step S19.
  • Step S16 The management unit 220 determines whether there is a multiple connection restriction for the user being processed. If there is a restriction on multiple connections, the process proceeds to step S19. If there is no multiple connection restriction, the process proceeds to step S17.
  • Step S17 The management unit 220 updates the connection management table 213. Specifically, the management unit 220 registers, in the connection management table 213, the user ID received in the authentication request, the transmission source IP address (terminal IP address), and the ROLE number (application ROLE) of the record searched in step S14. Further, in the authentication request (IP packet included in the frame), the IP address of the relay device 100 is set as the source IP address. Therefore, the IP address of the relay device 100 (relay device IP address) is also registered in the connection management table 213.
  • Step S18 The management unit 220 generates session information based on the access management table 212. Specifically, the combination of the ROLE number of the ROLE searched in step S14, the terminal IP address, and the ACL is used as the session information.
  • the management unit 220 sets the source IP address received in the authentication request as the terminal IP address, and uses it as session information.
  • the management unit 220 may provide the session information including the user ID (hereinafter the same). The management unit 220 responds to the relay apparatus 100 with the session information and authentication success. Then, the process proceeds to step S20.
  • Step S19 The management unit 220 responds to the relay device 100 with an authentication failure.
  • Step S20 The access control unit 120 receives a response to the authentication request from the management server 200, and determines whether the authentication is successful based on the response. If the authentication is successful, the process proceeds to step S21. If it is an authentication failure, the process proceeds to step S23.
  • Step S21 The access control unit 120 registers the session information received together with the successful authentication in the session management table 111 stored in the storage unit 110.
  • the record “ROLE3” is registered in the session management table 111.
  • Step S22 The access control unit 120 responds to the client 500 with a successful authentication. Then, the process ends.
  • Step S ⁇ b> 23 The access control unit 120 sends an authentication failure response to the client 500. Then, the process ends.
  • step S18 even if there is no terminal IP address record that matches the accepted source IP address, a predetermined ROLE (ROLE for which no terminal IP address is set) is extracted for the corresponding user to generate session information. To do. For this reason, for example, even when the IP address of the client 500 is dynamically assigned, the predetermined ROLE can be applied.
  • DHCP Dynamic Host Configuration Protocol
  • step S18 the management unit 220 sets the IP address of the client 600 acquired from the relay device 100 when generating session information using the terminal IP address that has not been set in the ROLE of the access management table 212.
  • the access control unit 120 may perform the setting process. Specifically, the management unit 220 generates session information with no terminal IP address set for “ROLE3”, and sends the session information to the relay device 100.
  • step S21 the transmission source IP address extracted in step S11 is set in the session information by the responsibility of the access control unit 120, and is registered in the session management table 111.
  • the password is managed by the user management table 211
  • the password may be managed by the access management table 212. If it does so, even if it is the same user, a different password for every ROLE can be utilized for authentication. That is, the management unit 220 uses a password as a key when searching for an ACL in step S14. In this case, step S13 may be skipped.
  • FIG. 12 is a flowchart illustrating an example of relay processing according to the second embodiment. In the following, the process illustrated in FIG. 12 will be described in order of step number.
  • Step S31 The access control unit 120 receives communication data to be relayed.
  • this communication data is a request transmitted from the client 500 to the business server 300.
  • the destination IP address of the request is “192.168.10.101”.
  • the source IP address of the request is “50.223.3.4”.
  • the access control unit 120 extracts a transmission source IP address from the IP packet of communication data.
  • Step S32 The access control unit 120 refers to the session management table 111 stored in the storage unit 110 and determines whether there is session information corresponding to the transmission source IP address. If there is session information corresponding to the source IP address, the process proceeds to step S38. If there is no session information corresponding to the source IP address, the process proceeds to step S33.
  • Step S33 The access control unit 120 transmits a confirmation request for inquiring whether or not the transmission source IP address is registered in the connection management table 213 to the management server 200.
  • This confirmation request may be called an authentication confirmation request.
  • the reason for this is as follows. If the authentication process described with reference to FIG. 11 is successful (if authenticated), the management server 200 should have registered the transmission source IP address in the connection management table 213. For this reason, the confirmation as to whether or not the transmission source IP address has been registered in the connection management table 213 results in confirming the success or failure of the authentication process (whether or not it has been authenticated). The processing procedure of the management server 200 for the confirmation request will be described later.
  • Step S34 The access control unit 120 receives a response to the authentication confirmation request from the management server 200.
  • the response includes a confirmation result as to whether or not authentication has been completed. If the confirmation result is authenticated, the session information corresponding to the applied ROLE is included in the response.
  • the session information includes a combination of the source IP address and ACL extracted in step S31.
  • Step S35 The access control unit 120 determines whether or not it has been authenticated based on the response. If already authenticated, the process proceeds to step S36. If not authenticated, the process proceeds to step S37.
  • Step S ⁇ b> 36 The access control unit 120 registers the received session information in the session management table 111. Then, the process proceeds to step S38.
  • Step S37 The access control unit 120 redirects to the login page. For example, an HTTP request (request in step S31) received from the client 500 is replaced with a request specifying the URL of the login page and transferred. Provision of the login page may be performed by the relay apparatus 100 or another Web server. Then, a login page is displayed on the Web browser of the client 500, and the user is prompted to input a user ID and password (authentication information). Then, the process ends.
  • the procedure after accepting the user ID and password is the procedure of the authentication process in FIG.
  • the communication data received in step S31 is not relayed.
  • the communication data may be stored in a RAM or the like, and relaying may be suspended. After successful authentication, it may be determined again whether relaying is to be performed.
  • Step S38 The access control unit 120 refers to the session management table 111 and determines whether or not relaying between the source / destination IP addresses extracted in step S31 is permitted. If relaying is permitted, the process proceeds to step S39. If relaying is not permitted, the process proceeds to step S40.
  • Step S39 The access control unit 120 outputs the communication data received in step S31 to the switch unit 104.
  • the switch unit 104 transfers communication data to the destination IP address (communication data is relayed). Then, the process ends.
  • Step S40 The access control unit 120 discards the communication data received in step S31. That is, the communication data is not relayed. Then, the process ends. In this way, the relay device 100 relays communication data.
  • the relay device 100 collates the combination of the source IP address and the destination IP address included in the communication data with the session management table 111, and determines whether to relay the communication data. When communication data is not relayed, the client 500 may be notified that access to the destination IP address is not permitted.
  • the reason for requesting authentication confirmation to the management server 200 as in steps S33 and S34 is that one client may access different business servers via a plurality of relay devices.
  • the clients 600 and 600a may access the business servers 400 and 400a via both the relay devices 100a and 100b.
  • FIG. 13 is a flowchart illustrating an authentication confirmation example (part 1) according to the second embodiment. In the following, the process illustrated in FIG. 13 will be described in order of step number.
  • Step S41 The management unit 220 receives the confirmation request in step S33 from the relay device 100.
  • the confirmation request includes the IP address of the client to be confirmed.
  • Step S42 The management unit 220 refers to the connection management table 213 stored in the storage unit 210, and determines whether or not the IP address has been registered. If already registered, the process proceeds to step S43. If not registered, the process proceeds to step S45. If there is a record in which the IP address is set in the terminal IP address field of the connection management table 213, it is registered. On the other hand, if there is no record in which the IP address is set in the terminal IP address item of the connection management table 213, the record is not registered.
  • Step S43 The management unit 220 updates the connection management table 213. Specifically, the management unit 220 adds a record including the client IP address (terminal IP address) received in the confirmation request to the connection management table 213.
  • the record to be added includes the user ID of the record that is the basis for determining that it has been registered in step S42 and the setting value of the applied ROLE. Further, the added record includes the IP address (relay device IP address) of the relay device 100 that is the transmission source IP address of the confirmation request.
  • the confirmation request (the IP packet included in the frame) includes the IP address of the relay device 100 as the source IP address. This IP address is set in the item of the relay device IP address of the record.
  • Step S44 The management unit 220 generates session information based on the access management table 212. Specifically, the combination of the ROLE number of the application ROLE set in the new record in step S43, the terminal IP address, and the ACL corresponding to the ROLE number is used as session information. Then, in response to the confirmation request, the management unit 220 responds to the relay apparatus 100 that it has been authenticated. The response includes the generated session information. Then, the process ends.
  • Step S ⁇ b> 45 The management unit 220 responds to the relay apparatus 100 that the authentication request is not authenticated. Then, the process ends. In this way, the management server 200 executes authentication confirmation processing in response to the confirmation request from the relay apparatus 100.
  • the relay apparatuses 100, 100a, 100b and the management server 200 that executes the procedures of FIGS. 11 to 13 will be described.
  • FIG. 14 is a diagram illustrating a specific example (part 1) of communication according to the second embodiment. In the following, the process illustrated in FIG. 14 will be described in order of step number. It is assumed that there is no entry (registered record) in the session management table 111 and the connection management table 213 immediately before step ST101.
  • Step ST101 The client 500 transmits the login authentication information input by the user A on the login page to the relay device 100.
  • the authentication information includes a user ID “UID0001” and a password “pass1”.
  • the relay device 100 receives authentication information.
  • the authentication information is sent to the relay device 100 using the frame described with reference to FIG.
  • Step ST102 The relay device 100 extracts the source IP address “50.223.3.4” and the source MAC address from the frame.
  • Relay device 100 adds the source IP address and source MAC address to the authentication information received in step ST101. That is, a new frame is generated in which the extracted source IP address and source MAC address are set in the data portion of the IP packet.
  • the relay device 100 transmits the frame to the management server 200. This frame corresponds to an authentication request.
  • the authentication request includes the user ID, password, transmission source IP address and transmission source MAC address of the frame received in step ST101 as authentication information.
  • the management server 200 receives the authentication request.
  • Step ST103 The management server 200 collates the user ID and password included in the authentication request with the registered content of the user management table 211.
  • the user management table 211 a set of a user ID “UID0001” and a password “pass1” is registered. For this reason, this verification succeeds.
  • the access management table 212 includes the user ID “UID0001”, the terminal IP address “ ⁇ ”, and the MAC address “ ⁇ ”. “ROLE3” exists.
  • the management server 200 identifies “ROLE3” as the application ROLE. Further, according to the user management table 211, there is no restriction on the multiple connection for the user A (since the multiple connection setting is “possible”).
  • the management server 200 generates session information including the transmission source IP address “50.223.3.4” using “ROLE3”, and transmits it to the relay apparatus 100 together with a notification of successful authentication.
  • the relay device 100 receives session information and a notification of successful authentication.
  • the management server 200 also updates the connection management table 213. Specifically, a record of user ID “UID0001”, terminal IP address “50.223.3.4”, relay device IP address “192.168.10.1”, and applicable ROLE “ROLE3” is stored in the connection management table 213. Add to
  • Step ST104 The relay device 100 registers the received session information in the session management table 111. In this case, a record of ROLE “3”, terminal IP address “50.223.3.4”, ACL “192.168.10.101” is registered in the session management table 111.
  • the relay apparatus 100 transmits a notification of successful authentication to the client 500.
  • the client 500 receives a notification of successful authentication.
  • Step ST105 The client 500 transmits a request addressed to the business server 300.
  • the destination IP address of the request is “192.168.10.101”.
  • the source IP address is “50.223.3.4”.
  • the relay device 100 receives the request.
  • Step ST106 The relay device 100 collates the source / destination IP address pair included in the IP packet of the received request with the registered content of the session management table 111.
  • the session management table 111 there is a record of “ROLE3” registered in step ST104. That is, relaying of the request is permitted. Therefore, the relay device 100 transfers the request to the business server 300.
  • the business server 300 receives the request.
  • Step ST107 The business server 300 executes processing according to the received request.
  • the business server 300 transmits a response corresponding to the processing result to the client 500.
  • the response is transmitted to the client 500 via the relay device 100.
  • the relay apparatus 100 also determines that relaying is permitted for communication from the business server 300 to the client 500 based on the session management table 111. Therefore, the relay device 100 relays the response.
  • the client 500 receives the response.
  • Step ST108 The client 500 transmits a request addressed to the business server 300a.
  • the request is transferred to the relay apparatus 100 via the firewall 11.
  • the destination IP address included in the IP packet of the request is “192.168.10.102”.
  • the transmission source IP address is “50.223.3.4”.
  • the relay device 100 receives the request.
  • Step ST109 The relay device 100 collates the source / destination IP address pair included in the IP packet of the received request with the registered content of the session management table 111.
  • the session management table 111 includes a record including the transmission source IP address “50.223.3.4”.
  • the corresponding ACL does not include the destination IP address “192.168.10.102”. That is, relaying of the request is not permitted. Therefore, the relay device 100 discards the request without relaying the request.
  • the client 500 can access the business server 300 registered in the ACL of “ROLE3” through the network login authentication.
  • access to other business servers in the ACL of “ROLE3” is not permitted. For this reason, access to other business servers is restricted by the relay device 100.
  • FIG. 15 is a diagram illustrating a specific example (part 2) of communication according to the second embodiment. In the following, the process illustrated in FIG. 15 will be described in order of step number. It is assumed that there are no entries in the session management table 111 and the connection management table 213 immediately before step ST111.
  • Step ST111 The client 500 transmits a request addressed to the business server 300.
  • the request is transferred to the relay apparatus 100 via the firewall 11.
  • the relay device 100 receives the request.
  • the destination IP address included in the IP packet of the request received by the relay device 100 is “192.168.10.101”.
  • the transmission source IP address is “50.223.3.4”.
  • Step ST112 The relay device 100 collates the source / destination IP address pair included in the IP packet of the received request with the registered content of the session management table 111. There is no entry in the session management table 111 at this time. That is, there is no record including the source IP address “50.223.3.4”. Therefore, the relay device 100 transmits an authentication confirmation request to the management server 200.
  • the confirmation request (data portion of the IP packet) includes the source IP address “50.223.3.4”.
  • the management server 200 receives the confirmation request.
  • Step ST113 The management server 200 collates the transmission source IP address included in the confirmation request with the registered content of the connection management table 213. There is no entry in the connection management table 213 at this time. That is, there is no record including the source IP address “50.223.3.4”. Therefore, the management server 200 responds to the relay apparatus 100 that it is not authenticated. The relay device 100 receives the response.
  • Step ST114 The relay device 100 redirects the received request to the login page.
  • the relay apparatus 100 can provide a login page, for example, the data of the login page is provided to the client 500.
  • the client 500 receives the login page data. You may redirect to a login page provided by another Web server. Then, the Web browser of the client 500 presents a login page to the user A.
  • Step ST115 The client 500 transmits the login authentication information input by the user A on the login page to the relay device 100.
  • the authentication information includes a user ID “UID0001” and a password “pass1”.
  • the relay device 100 receives authentication information (frame).
  • Step ST116 The relay device 100 extracts the transmission source IP address “50.223.3.4” and the transmission source MAC address from the received frame.
  • the relay device 100 generates a new frame (authentication request) in which the extracted transmission source IP address and transmission source MAC address are set in the data portion of the IP packet, and transmits the frame to the management server 200.
  • the management server 200 receives the authentication request.
  • the authentication request includes a user ID and a password.
  • Step ST117 The management server 200 generates session information in the same manner as in step ST103 of FIG. In addition, a new record is added to the connection management table 213.
  • the management server 200 transmits the generated session information and a notification of successful authentication to the relay device 100.
  • the relay device 100 receives session information and a notification of successful authentication.
  • Step ST118 The relay apparatus 100 registers the session information received from the management server 200 in the session management table 111, similarly to step ST104 in FIG.
  • the relay apparatus 100 transmits a notification of successful authentication to the client 500.
  • the client 500 receives a notification of successful authentication.
  • the client 500 can access the business server 300 by the same procedure as that after step ST105 in FIG. Next, a case where the user A performs network login authentication using both the clients 500 and 600 will be exemplified.
  • FIG. 16 is a diagram illustrating a specific example (part 3) of communication according to the second embodiment. In the following, the process illustrated in FIG. 16 will be described in order of step number. It is assumed that there are no entries in the session management tables 111 and 111a and the connection management table 213 immediately before step ST121.
  • Step ST121 The client 500 transmits the login authentication information input by the user A on the login page to the relay device 100.
  • the authentication information includes a user ID “UID0001” and a password “pass1”.
  • the relay device 100 receives authentication information (frame).
  • Step ST122 The relay device 100 extracts the transmission source IP address “50.223.3.4” and the transmission source MAC address from the received frame.
  • the relay device 100 generates a new frame (authentication request) in which the extracted transmission source IP address and transmission source MAC address are set in the data portion of the IP packet, and transmits the frame to the management server 200.
  • the management server 200 receives the authentication request.
  • the authentication request includes a user ID and a password.
  • Step ST123 The management server 200 generates session information in the same manner as in step ST103 of FIG. Also, a record is added to the connection management table 213. Specifically, the record includes a user ID “UID0001”, a terminal IP address “50.223.3.4”, a relay device IP address “192.168.10.1”, and an applicable ROLE “ROLE3”.
  • the management server 200 transmits the generated session information and a notification of successful authentication to the relay device 100.
  • the relay device 100 receives session information and a notification of successful authentication.
  • Step ST124 The relay apparatus 100 registers the session information ("ROLE3" record) received from the management server 200 in the session management table 111, similarly to step ST104 of FIG.
  • the relay apparatus 100 transmits a notification of successful authentication to the client 500.
  • the client 500 receives a notification of successful authentication.
  • Step ST125 The client 600 transmits the login authentication information input by the user A on the login page to the relay device 100a.
  • the authentication information includes a user ID “UID0001” and a password “pass1”.
  • the relay device 100a receives the authentication information (frame).
  • Step ST126 The relay device 100a extracts the transmission source IP address “192.168.10.11” and the transmission source MAC address “08-b4-25-9e-0c-46” from the received frame.
  • the relay device 100a generates a new frame (authentication request) in which the extracted transmission source IP address and transmission source MAC address are set in the data portion of the IP packet, and transmits the frame to the management server 200.
  • the management server 200 receives the authentication request.
  • the authentication request includes a user ID and a password.
  • Step ST127 The management server 200 collates the user ID and password included in the authentication request with the registered contents of the user management table 211.
  • the user management table 211 a set of a user ID “UID0001” and a password “pass1” is registered. For this reason, this verification succeeds.
  • the access management table 212 includes a record including the user ID “UID0001”, the source IP address “192.168.10.11”, and the source MAC address “08-b4-25-9e-0c-46”. “ROLE1” exists.
  • the management server 200 identifies “ROLE1” as the application ROLE. Furthermore, a record “ROLE3” has already been added to the connection management table 213 in step ST123.
  • the user ID “UID0001” can be set to multiplex connection. Therefore, the management server 200 determines that a new connection with “ROLE1” is permitted (that is, there is no restriction on multiple connections).
  • Step ST128) The management server 200 generates session information using “ROLE1” in the access management table 212, and transmits it to the relay device 100a together with a notification of successful authentication.
  • the relay device 100a receives session information and a notification of successful authentication.
  • the management server 200 also updates the connection management table 213. Specifically, records of user ID “UID0001”, terminal IP address “192.168.10.11”, relay device IP address “192.168.10.2”, and applicable ROLE “ROLE1” are stored in the connection management table 213. Add to
  • Step ST129 The relay device 100a registers the session information received from the management server 200 in the session management table 111a (a record of “ROLE1”).
  • the relay device 100a transmits a notification of successful authentication to the client 600.
  • the client 600 receives a notification of successful authentication.
  • the user management table 211 In this way, whether or not multiple connections are allowed can be controlled by setting the user management table 211.
  • the user A (“UID0001”) has “permitted” for the multiple connection setting. For this reason, the user A can access the business server using both the clients 500 and 600.
  • the multiple connection setting is “impossible”. For this reason, access using a plurality of clients is not permitted for user B.
  • the range of business servers accessible from the clients 500 and 600 is limited by the relay devices 100 and 100a that relay the communication of the clients 500 and 600, respectively.
  • the range of accessible business servers can be different between the clients 500 and 600. As described above, even when one user uses a plurality of clients, access control can be performed in units of clients.
  • FIG. 17 is a diagram illustrating a specific example (part 4) of communication according to the second embodiment. In the following, the process illustrated in FIG. 17 will be described in order of step number. It is assumed that there is no entry in the session management tables 111a and 111b and the connection management table 213 immediately before step ST131.
  • Step ST131 The client 600 transmits the login authentication information input by the user A on the login page to the relay device 100a.
  • the authentication information includes a user ID “UID0001” and a password “pass1”.
  • the relay device 100a receives the authentication information (frame).
  • Step ST132 The relay device 100a extracts the transmission source IP address “192.168.10.11” and the transmission source MAC address “08-b4-25-9e-0c-46” from the received frame.
  • the relay device 100a generates a new frame (authentication request) in which the extracted transmission source IP address and transmission source MAC address are set in the data portion of the IP packet, and transmits the frame to the management server 200.
  • the management server 200 receives the authentication request.
  • the authentication request includes a user ID and a password.
  • Step ST133 The management server 200 collates the user ID and the password, and refers to the access management table 212 to generate session information “ROLE1”.
  • the reason why “ROLE1” is selected includes the user ID “UID0001”, the terminal IP address “192.168.10.11”, and the source MAC address “08-b4-25-9e-0c-46”. This matches with the information included in the authentication request.
  • a record is added to the connection management table 213. Specifically, the record is “UID0001”, terminal IP address “192.168.10.11”, relay device IP address “192.168.10.2”, and applicable ROLE “ROLE1”.
  • the management server 200 transmits the generated session information and a notification of successful authentication to the relay device 100a.
  • the relay device 100a receives session information and a notification of successful authentication.
  • Step ST134 The relay device 100a registers the session information received from the management server 200 in the session management table 111a (record “ROLE1”).
  • the relay device 100a transmits a notification of successful authentication to the client 600.
  • the client 600 receives a notification of successful authentication.
  • Step ST135) The client 600 transmits a request addressed to the business server 400.
  • the request is transferred to the relay device 100a.
  • the destination IP address included in the IP packet of the request is “192.168.20.010”.
  • the source IP address is “192.168.10.11.”.
  • the relay device 100a receives the request.
  • Step ST136 The relay device 100a collates the source / destination IP address pair included in the IP packet of the received request with the registered content of the session management table 111a.
  • the session management table 111a there is a record of “ROLE1” registered in step ST134.
  • “ROLE1” there is “192.168.20.101” in ACL for terminal IP address “192.168.10.11”. That is, relaying of the request is permitted. Therefore, the relay device 100a transfers the request to the business server 400.
  • the relay device 100b exists on the communication path to the business server 400.
  • the relay device 100b receives the request.
  • Step ST137 The relay apparatus 100b collates the source / destination IP address pair included in the IP packet of the received request with the registered content of the session management table 111b. There is no entry in the session management table 111b at this point. That is, there is no record including the source IP address “192.168.10.11”. Therefore, the relay device 100b transmits an authentication confirmation request to the management server 200.
  • the confirmation request (data portion of the IP packet) includes the IP address “192.168.10.11” of the client 600.
  • the management server 200 receives the confirmation request. Note that the relay device 100b suspends the request received in step ST136 (for example, stores it in the RAM).
  • Step ST138 The management server 200 collates the transmission source IP address included in the confirmation request with the registered content of the connection management table 213.
  • the terminal IP address of this record is “192.168.10.11”. Since this matches the IP address of the client 600 to be confirmed, the management server 200 determines that it has been authenticated.
  • the management server 200 identifies the application ROLE “ROLE1” from the record.
  • the management server 200 refers to “ROLE1” in the access management table 212 and generates session information.
  • the management server 200 transmits the generated session information and the authenticated notification to the relay device 100b.
  • the relay device 100b receives the session information and the authenticated notification.
  • the management server 200 adds a record to the connection management table 213.
  • the record includes a user ID “UID0001”, a terminal IP address “192.168.10.11”, a relay device IP address “192.168.20.1”, and an applicable ROLE “ROLE1”.
  • Step ST139 The relay device 100b registers the session information received from the management server 200 in the session management table 111b (record “ROLE1”).
  • the relay apparatus 100b collates the source / destination IP address pair included in the IP packet of the request whose relay is suspended in step ST137 with the registered content of the session management table 111b.
  • a record “ROLE1” exists in the session management table 111b.
  • “192.168.20.101” is included in the ACL with respect to the terminal IP address “192.168.10.11”. That is, relaying of the request is permitted. Therefore, the relay device 100b transfers the request to the business server 400.
  • the business server 400 receives the request.
  • Step ST140 The business server 400 executes processing according to the received request.
  • the business server 400 transmits a response corresponding to the processing result to the client 600.
  • the response is transferred to the client 600 via the relay devices 100b and 100a in this order.
  • the client 600 receives the response.
  • the client 600 can access the business server 400 via the relay devices 100a and 100b. That is, even when a business server is accessed from a single client via a plurality of relay devices, access control can be appropriately performed using the ROLE applied to the first relay device.
  • the relay apparatus 100b since the relay apparatus 100b does not need to input the login authentication information to the user A again, it is possible to save the user A from inputting redundant information. Further, it is not necessary to perform the authentication process repeatedly.
  • the management server 200 may provide the authentication result to the business servers 300, 300a, 400, and 400a.
  • a business application that runs on the business servers 300, 300a, 400, and 400a may perform user authentication individually. In this case, it is conceivable to use the authentication result of the management server 200. Then, collective authentication for each business application is possible. Such collective authentication is sometimes referred to as single sign-on.
  • FIG. 18 is a flowchart illustrating an authentication confirmation example (part 2) according to the second embodiment.
  • the management unit 220 receives an authentication confirmation request from the business server 300.
  • the confirmation request includes the IP address to be confirmed.
  • the IP address to be confirmed is the IP address of the client that has accessed the business server 300.
  • the IP address is “50.223.3.4”.
  • the business server 300 executes an authentication confirmation agent.
  • the agent receives a request from a client, the agent transmits an authentication confirmation request to the management server 200.
  • Step S52 The management unit 220 refers to the connection management table 213 stored in the storage unit 210 and determines whether or not the client IP address has been registered. If already registered, the process proceeds to step S53. If not registered, the process proceeds to step S54. For example, when there is a record in which the IP address is set in the terminal IP address item of the connection management table 213, the IP address is already registered. On the other hand, when there is no record in which the IP address is set in the terminal IP address item of the connection management table 213, the IP address is not registered.
  • Step S53 The management unit 220 extracts the user ID included in the corresponding record from the connection management table 213. In response to the confirmation request, the management unit 220 responds to the business server 300 that it has been authenticated. The response includes the extracted user ID. Then, the process ends.
  • Step S ⁇ b> 54 The management unit 220 responds to the business server 300 that the authentication request is not authenticated. Then, the process ends.
  • the business server 300 receives the provision of the user ID from the management server 200. Then, the business server 300 starts providing a service to the client.
  • the reason why the management server 200 provides the user ID to the business server 300 is that the service provided by the business server may be managed for each user. For example, it is possible to provide a GUI that is customized for each user, or to limit the functions that can be used for each user on a business server basis. Next, a specific example of such single sign-on communication will be described.
  • FIG. 19 is a diagram illustrating a specific example (part 5) of communication according to the second embodiment.
  • the connection management table 213 includes records having a user ID “UID0001”, a terminal IP address “192.168.10.11”, a relay device IP address “192.168.10.2”, and an applicable ROLE “ROLE1”.
  • Step ST141 The client 600 transmits a request addressed to the business server 300.
  • the request is transferred to the relay device 100a.
  • the destination IP address included in the IP packet of the request is “192.168.10.101”.
  • the source IP address is “192.168.10.11.”.
  • the relay device 100a receives the request.
  • Step ST142 The relay device 100a collates the source / destination IP address pair included in the IP packet of the received request with the registered content of the session management table 111a.
  • the session management table 111a has a record “ROLE1”. That is, relaying of the request is permitted. Therefore, the relay device 100a transfers the request to the business server 300.
  • the business server 300 receives the request. For example, this request is assumed to be a request that the business server 300 receives from the client 600 at the first access.
  • Step ST143 The business server 300 extracts the source IP address included in the IP packet of the request.
  • the source IP address is “192.168.10.11.”.
  • the business server 300 transmits an authentication confirmation request to the management server 200.
  • the data part of the IP packet of the confirmation request includes the extracted source IP address (IP address of the client 600).
  • the management server 200 receives the confirmation request.
  • Step ST144 The management server 200 collates the IP address of the client 600 included in the confirmation request with the registered content of the connection management table 213.
  • the connection management table 213 there is a record including the terminal IP address “192.168.10.11”. Therefore, the management server 200 determines that it has been authenticated, and acquires the user ID “UID0001” registered in the record.
  • the management server 200 responds to the business server 300 that it has been authenticated together with the user ID.
  • the business server 300 receives the response.
  • Step ST145 The business server 300 confirms that it has been authenticated by the response. Then, the business server 300 executes processing according to the request received in step ST142. At that time, the user ID provided from the management server 200 is used. For example, a different business menu page is provided for each user. Thereby, a service customized for each user can be provided.
  • the business server 300 transmits a response corresponding to the processing result to the client 600. The response is transferred to the client 600 via the relay device 100a. The client 600 receives the response.
  • Step ST146 The client 600 transmits a request addressed to the business server 300a.
  • the request is transferred to the relay device 100a.
  • the destination IP address included in the IP packet of the request is “192.168.10.102”.
  • the source IP address is “192.168.10.11.”.
  • the relay device 100a receives the request.
  • Step ST147 The relay device 100a collates the source / destination IP address pair included in the IP packet of the received request with the registered content of the session management table 111a.
  • the session management table 111a has a record “ROLE1”. That is, relaying of the request is permitted. Therefore, the relay device 100a transfers the request to the business server 300a.
  • the business server 300a receives the request. For example, it is assumed that this request is a request received by the business server 300a from the client 600 at the first access.
  • Step ST148 The business server 300a extracts the source IP address included in the IP packet of the request.
  • the source IP address is “192.168.10.11.”.
  • the business server 300 a transmits an authentication confirmation request to the management server 200.
  • the extracted source IP address is included in the data part of the IP packet of the confirmation request.
  • the management server 200 receives the confirmation request.
  • Step ST149 The management server 200 collates the transmission source IP address included in the confirmation request with the registered content of the connection management table 213.
  • the connection management table 213 there is a record including the terminal IP address “192.168.10.11”. Therefore, the management server 200 determines that it has been authenticated, and acquires the user ID “UID0001” registered in the record.
  • the management server 200 responds to the business server 300a that it has been authenticated together with the user ID.
  • the business server 300a receives the response.
  • Step ST150 The business server 300a confirms that it has been authenticated by the response. Then, the business server 300a executes processing according to the request received in step ST147. At this time, the user ID provided from the management server 200 is used as in step ST145. The business server 300a transmits a response according to the processing result to the client 600. The response is transferred to the client 600 via the relay device 100a. The client 600 receives the response.
  • each business server does not need to request the client to provide a user ID individually when providing the service.
  • the business servers 300 and 300a continue to provide the service without confirming the authentication with respect to the management server 200.
  • FIG. 20 is a flowchart illustrating an example of logout processing according to the second embodiment. In the following, the process illustrated in FIG. 20 will be described in order of step number.
  • Step S ⁇ b> 61 The access control unit 120 receives a logout request from the client 500.
  • Step S62 The access control unit 120 extracts the source IP address included in the IP packet of the logout request.
  • the extracted source IP address is “50.223.3.4”.
  • the access control unit 120 generates a logout request including the extracted IP address of the client 500 in the data portion of the IP packet, and transmits the logout request to the management server 200.
  • the management unit 220 receives the logout request transmitted by the relay device 100.
  • the management unit 220 refers to the connection management table 213 stored in the storage unit 210, and sets the IP address of the client 500 included in the logout request (data portion of the IP packet) as the terminal IP address item. Search for recorded records.
  • the management server 200 acquires the settings of the relay device IP address and the application ROLE included in the searched record.
  • the management server 200 instructs to delete the session information corresponding to the applicable ROLE, with the acquired relay device IP address as the destination. For example, in the logout request from the client 500, the relay apparatus 100 is instructed to delete the record “ROLE3”.
  • the deletion instruction may be issued to a plurality of relay apparatuses.
  • the management server 200 deletes the record retrieved from the connection management table 213. For example, in the logout request from the client 500, all records with the terminal IP address “50.223.3.4” are deleted from the connection management table 213.
  • Step S65 The access control unit 120 deletes the record (session information) of the session management table 111 stored in the storage unit 110 based on an instruction from the management server 200. For example, the access control unit 120 deletes the record “ROLE3” from the session management table 111.
  • Step S66 The access control unit 120 responds to the management server 200 that the deletion of the session information has been completed.
  • Step S67 The management unit 220 receives a deletion completion response from the relay apparatus that has issued the deletion instruction in step S64. When a deletion instruction is issued to a plurality of relay apparatuses, the management unit 220 receives a deletion completion response from the plurality of relay apparatuses.
  • Step S ⁇ b> 68 When the management unit 220 receives a deletion completion response from all of the instructed relay devices, it sends a logout completion response to the relay device 100. (Step S69) Upon receiving the response from the management server 200, the access control unit 120 responds to the client that logout is complete.
  • the relay device 100 and the management server 200 execute logout processing.
  • the management server 200 receives a logout request of a client from one relay device, the management server 200 instructs all relay devices holding the session information related to the client to delete the session information. For this reason, it is possible to prevent extra session information from remaining in each relay apparatus.
  • a specific example of communication in logout processing will be described.
  • FIG. 21 is a diagram illustrating a specific example (part 6) of communication according to the second embodiment.
  • the process illustrated in FIG. 21 will be described in order of step number.
  • a record “ROLE1” exists in the session management tables 111a and 111b immediately before step ST151.
  • the connection management table 213 there are records of user ID “UID0001”, terminal IP address “192.168.10.11”, relay device IP address “192.168.10.2”, and applicable ROLE “ROLE1”.
  • the connection management table 213 includes records of user ID “UID0001”, terminal IP address “192.168.10.11”, relay device IP address “192.168.20.1”, and applicable ROLE “ROLE1”. It shall exist.
  • Step ST151 The client 600 transmits a logout request to the relay device 100a.
  • the relay device 100a receives the logout request.
  • the logout request received by the relay device 100a includes the IP address “192.168.10.11” of the client 600 as the source IP address of the IP packet.
  • Step ST152 The relay device 100a extracts the source IP address.
  • the relay device 100a generates a logout request including the extracted IP address of the client 600 in the data portion of the IP packet, and transmits the logout request to the management server 200.
  • the management server 200 receives the logout request.
  • the management server 200 refers to the connection management table 213 and searches for a record in which the IP address is set in the terminal IP address item.
  • the setting value of the item of the terminal IP address is “192.168.10.11”.
  • the management server 200 acquires two relay device IP addresses “192.168.10.2” and “192.168.20.1” from these records. Further, according to the two records, the ROLE applied to these two relay apparatuses 100a and 100b is “ROLE1”. Therefore, the management server 200 instructs the relay apparatus 100a to delete the session information “ROLE1”.
  • Step ST154 The management server 200 instructs the relay apparatus 100b to delete the session information of “ROLE1”. However, the instruction in step ST154 may be performed simultaneously with step ST153.
  • Step ST155 The management server 200 deletes the two records searched in step ST153 from the connection management table 213.
  • Step ST156 Based on the deletion instruction from the management server 200, the relay device 100a deletes the record “ROLE1” from the session management table 111a. Then, the relay device 100a responds to the management server 200 with deletion completion. The management server 200 receives the response.
  • Step ST157 The relay device 100b deletes the record “ROLE1” from the session management table 111b based on the delete instruction from the management server 200. Then, the relay device 100b responds to the management server 200 with deletion completion. The management server 200 receives the response.
  • Step ST158 The management server 200 responds to the relay device 100a with logout completion in response to the logout request in step ST152.
  • the relay device 100a receives the response.
  • Step ST159 The relay apparatus 100a responds to the client 600 with logout completion in response to the logout request in step ST151.
  • the client 600 receives the response.
  • the relay apparatuses 100a and 100b and the management server 200 execute logout processing.
  • the client 600 can also access the business server via both the relay apparatuses 100a and 100b. Even in such a case, the session information held by both of the relay apparatuses 100a and 100b can be properly deleted by a single logout request from the client 600. As a result, the connection from the client 600 can be blocked.
  • the timing at which the session information is deleted from the relay devices 100, 100a, 100b may be other than the timing at which the logout request is received from the client 500 or the like.
  • the relay devices 100, 100a, and 100b may detect a timeout for the session information, and delete the session information when the timeout is detected.
  • the relay devices 100, 100a, and 100b monitor the time from the last connection received from the client for each session information. Then, when the unconnected time up to the present time is equal to or greater than the threshold, the session information is deleted.
  • the relay devices 100, 100a, and 100b notify the management server 200 that the session information has been deleted due to timeout (including the ROLL number of the deleted session information). Then, the management server 200 deletes the record including the IP address and ROLE number of the relay device that is the transmission source of the notification from the connection management table 213. In this way, it is possible to block the connection from the client due to timeout.
  • FIG. 22 is a diagram illustrating an example (part 1) of the accessible range according to the second embodiment.
  • FIG. 22 illustrates a business server that users A, B, and C can access using clients 500, 500a, and 600a. This is a case where the contents of each table illustrated in FIGS. 7 to 9 are held in the relay apparatuses 100, 100a, 100b and the management server 200.
  • the user A can access the business server 300 using the client 500. This is because the relay apparatus 100 that relays the request of the client 500 holds the session information “ROLE3”.
  • the user B can access the business servers 300 and 300a using the client 500a. This is because the relay apparatus 100 that relays the request of the client 500a holds the session information “ROLE5”.
  • the user C can access the business servers 400 and 400a using the client 600a. This is because the relay apparatuses 100a and 100b that relay the request of the client 600a hold the session information “ROLE6”.
  • FIG. 23 is a diagram illustrating an example (part 2) of the accessible range according to the second embodiment.
  • FIG. 22 illustrates a business server that user A can access using the clients 500 and 600. This is a case where the contents of each table illustrated in FIGS. 7 to 9 are held in the relay apparatuses 100, 100a, 100b and the management server 200.
  • the user A can access the business server 300 using the client 500. This is because the relay apparatus 100 that relays the request of the client 500 holds the session information “ROLE3”.
  • the user A can access the business servers 300, 300 a, 400, and 400 a using the client 600. This is because the relay devices 100a and 100b that relay the request of the client 600 hold the session information of “ROLE1”.
  • the relay devices 100, 100a, 100b and the management server 200 can limit the range of business servers accessible for each user and for each client used by the user.
  • FIG. 24 is a diagram illustrating another example (part 1) of the second embodiment.
  • execution servers 700 and 700 a are provided in the network 20.
  • the execution servers 700 and 700a are server computers capable of operating virtual machines and virtual switches.
  • the execution servers 700 and 700a can be realized using the same hardware as the management server 200.
  • the execution server 700 executes software called a hypervisor.
  • the hypervisor operates the virtual switch 710 and the virtual machines 720 and 730 on the execution server 700.
  • the hypervisor allocates a part of calculation resources such as a CPU and a storage area resource such as a RAM included in the execution server 700 to the virtual switch 710 and the virtual machines 720 and 730.
  • the execution server 700a also operates a virtual switch and a virtual machine.
  • the virtual switch 710 relays communication between the virtual machines 720 and 730 and the network 20.
  • the virtual machines 720 and 730 are used as business servers.
  • the virtual switch 710 may include a storage unit and an access control unit that store session information, similarly to the relay devices 100, 100a, and 100b (the relay device 100b is not shown in FIG. 24). Then, access control regarding the virtual machines 720 and 730 may be performed using the virtual switch 710. In that case, the execution server 700 can also be called a relay device.
  • FIG. 25 is a diagram illustrating another example (part 2) of the second embodiment.
  • the information processing system according to the second embodiment illustrated in FIG. 2 can include a large number of network devices including the relay devices 100, 100a, and 100b, and physical machines and virtual machines.
  • the administrator of the information processing system may search for a target relay device and individually set a VLAN or the like.
  • the work cost for individually changing the settings for the relay apparatus is also a problem.
  • the setting contents of user access control are centrally managed by the management server 200.
  • Each relay device acquires the setting contents of access control for the user from the management server 200 when an access from the client occurs.
  • the user management table 211 and the access management table 212 held by the management server 200 may be changed.
  • IP addresses for access control settings, it is not necessary to make detailed settings at the data link layer level for a large number of switches such as VLANs. Since it is only necessary to specify the nodes at both ends to be permitted access by the IP address, the setting contents are simpler than the setting at the data link layer level. For this reason, it is easy to perform maintenance and can contribute to the efficiency of operation management.
  • a plurality of management servers 200 may be provided according to the load. For example, you may provide in both the networks 20 and 30. FIG. In that case, the contents of the user management table 211, the access management table 212, and the connection management table 213 may be synchronized with each management server.
  • the relay apparatuses 100, 100a, and 100b may be L3 switches or routers. Further, the relay apparatuses 100, 100a, 100b may be load distribution apparatuses that distribute access loads to the business servers 300, 300a, 400, 400a. Alternatively, the functions of the firewall 11 may be integrated into the relay device 100. In that case, the relay apparatus 100 can be called a firewall.
  • the relay device 100 may be an appliance device such as a UTM device incorporating a firewall or VPN server function.
  • the relay devices 100, 100a, and 100b can also be realized by a computer having the same configuration as the management server 200.
  • a VPN server may be provided.
  • the relay apparatus 100 may have a VPN server function, and the user authentication process may be linked with the authentication in the VPN.
  • the access control for the client 500 used by the user A can be set in the relay device 100. Therefore, it is not necessary to impose duplicate authentication information on the user, and the convenience of access can be further improved.
  • the access control is performed for each user or for each client device used by the user.
  • access control for each user can be performed in more detail.
  • the third embodiment exemplifies a method for that purpose.
  • the information processing system of the third embodiment and the hardware examples / software examples of the respective devices are the same as the information processing system of the second embodiment and the hardware examples of the respective devices described with reference to FIGS. Since it is similar to the software example, the description is omitted. Further, the same names and symbols as those of the second embodiment are used for the respective devices of the third embodiment.
  • the contents of the access management table held by the management server 200 are different from those in the second embodiment. Further, the contents of the session management table held by each of the relay devices 100, 100a, and 100b are different from those of the second embodiment.
  • FIG. 26 is a diagram illustrating an example of an access management table according to the third embodiment.
  • the access management table 212a is stored in the storage unit 210.
  • the access management table 212a includes items of ROLE, user ID, terminal IP address, terminal MAC address, connection permission time zone, connection permission relay device, and ACL.
  • the information registered in the items of ROLE, user ID, terminal IP address, terminal MAC address, and ACL is the same as that in the access management table 212, and thus the description thereof is omitted.
  • connection permission time zone item a time zone allowing access to the ACL is registered.
  • connection permitted relay device an IP address of a relay device permitted as an access source is registered.
  • ROLE is “11”
  • user ID is “UID0001”
  • terminal IP address is “192.168.10.11”
  • terminal MAC address is “08-b4-25-9e-0c”.
  • a record “ROLE12” is registered in the access management table 212a.
  • “ROLE12” is a ROLE when a client having the same address information as “ROLE11” accesses from 17:00 to 9:00. For example, by registering an ACL different from “ROLE11”, it is possible to change the range of business servers that allow access depending on the time zone.
  • the setting of the connection permission relay device is also different. Specifically, in “ROLE13”, the setting of the connection permitted relay device item is the relay device 100a (IP address “192.168.10.2”), whereas in “ROLE14”, the setting of the same item is set in the relay device. 100b (IP address “192.168.20.1”). That is, according to “ROLE13”, the user B with the user ID “UID0002” is allowed to access only through the relay device 100a from 8:00 to 19:00. On the other hand, according to “ROLE14”, the user B is only allowed to access via the relay device 100b from 19:00 to 00:00. In other time zones, access by user B is not permitted.
  • a connection-permitted relay device may be registered using a device other than the IP address of the relay device. For example, a predetermined identification name is assigned in advance to each of the relay devices 100, 100a, and 100b. Then, the identification name may be set in the item of the connection permission relay device instead of the IP address of the relay device.
  • the management unit 220 generates session information based on the access management table 212a and provides it to the relay apparatuses 100, 100a, and 100b. Next, an example of a session management table held by the relay device 100 will be described.
  • the session management table held by the relay devices 100a and 100b has a similar data structure.
  • FIG. 27 is a diagram illustrating an example of a session management table according to the third embodiment.
  • the session management table 111c is stored in the storage unit 110.
  • the session management table 111c is updated by the access control unit 120.
  • the session management table 111c includes items of ROLE, terminal IP address, connection permission time zone, and ACL.
  • the connection permission time zone item a time zone allowing access to the ACL is registered.
  • ROLE is “11”
  • the terminal IP address is “192.168.10.11”
  • the connection permission time zone is “9: 00-17: 00”
  • the ACL is “192.168.”. .10.101, ... "is registered. This means that the relay of communication data whose source / destination IP address pair is “192.168.10.11” and any IP address included in the ACL is allowed from 9 o'clock to 17 o'clock. Indicates.
  • the relay devices 100, 100a, and 100b according to the third embodiment execute the procedures described in FIGS. 11 to 13, FIG. 18, and FIG. Description of each of these procedures is omitted.
  • the management unit 220 also considers the current time and the IP address of the relay device that is the transmission source of the authentication request when searching the ACL in step S14 of FIG. That is, the ACL that matches the conditions of the user ID, terminal IP address, terminal MAC address, connection permission time zone, and connection permission relay device is extracted from the access management table 212a. If there is no ACL that matches the condition, it is determined in step S15 that the authentication has failed.
  • the relay devices 100, 100a, and 100b also update the session management table according to the time zone.
  • the session management processing procedure will be exemplified.
  • the access control unit 120 will be described, but the processing of the access control units 120a and 120b is the same procedure.
  • FIG. 28 is a flowchart illustrating an example of session management according to the third embodiment. In the following, the process illustrated in FIG. 28 will be described in order of step number.
  • the access control unit 120 monitors the session management table 111c stored in the storage unit 110.
  • Step S72 The access control unit 120 determines whether there is session information that has exceeded the connection permission time period among the session information registered in the session management table 111c. If there is session information that exceeds the connection permission time period, the process proceeds to step S73. If there is no session information that exceeds the connection permission time period, the process proceeds to step S71.
  • the access control unit 120 can make the determination by comparing the time of RTC (Real Time ⁇ ⁇ ⁇ Clock) included in the relay device 100 with the connection permission time zone of each record (session information) of the session management table 111c. . For example, in the session information of “ROLE11” in the session management table 111c, the connection permission time zone is from 9:00 to 17:00. Therefore, the access control unit 120 deletes the session information of “ROLE11” after 17:00.
  • RTC Real Time ⁇ ⁇ ⁇ Clock
  • Step S73 The access control unit 120 deletes from the session management table 111c the session information that is determined to have exceeded the connection permission time period in step S72.
  • Step S74 The access control unit 120 notifies the management server 200 that the session information has been deleted.
  • the notification includes information on the terminal IP address included in the deleted session information.
  • Step S75 In response to the notification in step S74, the access control unit 120 determines whether or not session information for the next time zone including the same terminal IP address as the deleted session information has been received from the management server 200. . If received, the process proceeds to step S76. If not received, the process proceeds to step S71. For example, when the record “ROLE11” is deleted from the session management table 111c, the access control unit 120 can receive session information corresponding to “ROLE12” from the management server 200 as session information for the next time slot.
  • Step S76 The access control unit 120 registers the received session information of the next time zone in the session management table 111c. Then, the process proceeds to step S71. In this way, the relay device 100 deletes session information that has exceeded the connection permission time zone. Then, when the user next tries to access via the relay device 100, the user is again authenticated. Thereby, it is possible to limit access that exceeds the connection permission time zone.
  • the management unit 220 of the management server 200 includes the same terminal IP address as the session information that has been notified of deletion (an arbitrary IP address when the session information is provided by an arbitrary source IP address).
  • a record for the next time zone is searched from the access management table 212.
  • the record of the next time zone is a record including the time zone next to the time zone included in the session information notified of the deletion in the connection permission time zone.
  • the management unit 220 When any record is retrieved, the management unit 220 generates session information based on the record and provides the session information to the relay device 100. If no record is retrieved, the management unit 220 does not transmit session information for the next time zone. When the management unit 220 provides new session information to the relay device 100, the management unit 220 registers the provision status of the session information in the connection management table 213.
  • the ACL is also updated to another time zone, and the range of accessible business servers is changed. Further, when applying the ACL of the next time zone, it is not necessary to impose a re-authentication operation on the user.
  • the management server 200 that has received the notification in step S74 extracts a record including the corresponding terminal IP address from the connection management table 213.
  • the management server 200 acquires all the relay device IP addresses corresponding to the terminal IP address.
  • the management server 200 instructs all relay devices corresponding to the acquired relay device IP address to delete the session information including the terminal IP address. As a result, as in the case of logging out, it is possible to prevent extra session information from remaining in each relay device.
  • FIG. 29 is a diagram illustrating an example (part 1) of the accessible range according to the third embodiment.
  • FIG. 29 illustrates a business server that user A can access using the client 600.
  • 27 is an example of access control based on the setting contents of the access management table 212a shown in FIG.
  • the user A can access the business servers 300, 300a, 400, and 400a from 9:00 to 17:00. This is because the relay apparatuses 100a and 100b that relay the request of the client 600 determine whether or not relaying is possible using the session information “ROLE11”.
  • the user A can access the business servers 400 and 400a from 17:00 to 9:00. This is because the relay apparatuses 100a and 100b use the session information “ROLE12” to determine whether or not relaying is possible.
  • the relay apparatuses 100, 100a, 100b and the management server 200 can limit the range of business servers that can be accessed for each user and for each time period.
  • FIG. 30 is a diagram illustrating an example (part 2) of the accessible range according to the third embodiment.
  • FIG. 30 illustrates a business server that user B can access using the client 600a.
  • 27 is an example of access control based on the setting contents of the access management table 212a shown in FIG.
  • the user B can access the business servers 300, 300a, 400, and 400a via the relay device 100a from 8:00 to 19:00. This is because the relay apparatuses 100a and 100b determine whether or not relaying is possible using the session information “ROLE13”.
  • the user B can access the business servers 400 and 400a via the relay device 100b from 19:00 to 0:00. This is because the relay apparatus 100b determines whether or not relaying is possible using the session information “ROLE14”.
  • access control according to the time zone can be performed for each user. Furthermore, it is possible to limit the relay devices connected to each client. It is also possible to change the limit of the relay device to be connected according to the time zone.
  • the contents of these access controls are centrally managed by the management server 200. For example, if the administrator of the information processing system changes the setting of the access management table 212a, it is possible to perform access control in which the changed content is reflected on each relay device. Thereby, the setting of access control for every relay apparatus can be performed easily.
  • the information processing according to the first embodiment can be realized by causing the relay device 1 and the information processing device 2 to execute a program.
  • the information processing according to the second embodiment can be realized by causing the relay apparatuses 100, 100a, 100b and the management server 200 to execute programs.
  • the program can be recorded on a computer-readable recording medium (for example, the optical disc 23, the memory device 24, the memory card 26, and the like).
  • a portable recording medium on which the program is recorded is provided. It is also possible to store the program in a storage device of another computer and distribute the program via a network.
  • the computer stores, for example, a program recorded on a portable recording medium or a program received from another computer in a storage device, and reads and executes the program from the storage device.
  • a program read from a portable recording medium may be directly executed, or a program received from another computer via a network may be directly executed.
  • IPv4 Internet Protocol version 4
  • IPv6 Internet Protocol version 6
  • IPv6 Internet Protocol version 6

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)
  • Small-Scale Networks (AREA)

Abstract

　ユーザごとのアクセス制御を容易に行うこと。　設定手段（１ｂ）は、ユーザを示す第１の識別情報および送信元のノード（３）を示す第２の識別情報を受信すると、第１の識別情報に対応してアクセスが許容された宛先のノード（４）を示す第３の識別情報を情報処理装置（２）から取得し、データの中継が許容された組み合わせとして第２の識別情報と第３の識別情報とを記憶手段（１ａ）に設定する。制御手段（１ｃ）は、送信元のノード（３）の識別情報と宛先のノード（４）の識別情報とを含むデータ（３ｂ）の中継を行う際に、記憶手段（１ａ）に設定された情報に基づいて、当該データ（３ｂ）を中継するか否かを判定する。

Description

中継装置、情報処理装置、アクセス制御方法およびプログラム
　本発明は中継装置、情報処理装置、アクセス制御方法およびプログラムに関する。
　コンピュータなどの複数の情報処理装置を、ネットワークを介して接続した情報処理システムが利用されている。例えば、情報処理システムはサービスを提供するサーバ装置と通信データを中継する中継装置とを含む。ユーザはクライアント装置を用いてサーバ装置にアクセスし、サービスを利用し得る。
　しかし、不特定多数のユーザが同じサーバ装置にアクセス可能であると、サーバ装置のセキュリティが問題となる。例えば、当該サーバ装置で扱う機密情報が不正に読み出されたり、サーバ装置を不正に利用されたりするおそれがある。そこで、ネットワーク内のサーバ装置へのアクセスをユーザごとに制限することがある。
　例えば、ユーザの操作端末からホームネットワーク内の機器を操作する際に、ユーザ名やパスワードを操作端末からホームゲートウェイに送信して認証を行う提案がある。この提案では、ユーザが認証されると、操作端末が当該ユーザの機器単位のアクセス許可情報をもつテーブルをホームゲートウェイから取得する。操作端末が当該テーブルに基づき機器単位のアクセス管理を行う。
　なお、例えばユーザ認証された場合にセッション識別子をユーザに割り当てることで、認証済のユーザを管理し、また、認証済のユーザごとに異なるサーバにアクセスするように受信データの宛先を変換するリバースプロキシ装置の提案がある。更に、例えばユーザがシステムにログインするごとにセッションＩＤ（IDentifier）をユーザ端末に通知し、セッションＩＤを含む情報提供要求をユーザ端末から受信すると、セッションＩＤに基づき情報提供要求の正当性を確認する提案もある。
特開２００１－２５１３１２号公報 特開２０１０－５６６６６号公報 特開２００６－１１８３３号公報
　中継装置を用いてユーザごとのアクセス制御を行うことがある。例えば、論理的に分割された複数の仮想的なネットワーク（ＶＬＡＮ（Virtual Local Area Network）と呼ばれることがある）を中継装置に割り当てることが考えられる。例えば、認証されたユーザに応じたＶＬＡＮにクライアント装置を所属させる。こうして、クライアント装置のアクセス先を同じＶＬＡＮに所属するサーバ装置に制限する。
　しかし、この方法では、ユーザごとのアクセス制御のための情報を中継装置に予め保持させることになる。この場合、当該情報のメンテナンスが容易でないという問題がある。例えば、複数の中継装置を利用するとき、中継装置が増減するたびに個々の中継装置の設定を変更するとなると、設定変更のための作業コストが増大し得る。
　一側面によれば、本発明は、ユーザごとのアクセス制御を容易に行うことができる中継装置、情報処理装置、アクセス制御方法およびプログラムを提供することを目的とする。
　一実施態様によれば、中継装置が提供される。この中継装置は設定手段と制御手段とを有する。設定手段は、ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を受信すると、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する情報処理装置から、第１の識別情報に対応する宛先のノードを示す第３の識別情報を取得し、データの中継が許容された組み合わせとして第２の識別情報と第３の識別情報とを記憶手段に設定する。制御手段は、送信元のノードの識別情報と宛先のノードの識別情報とを含むデータの中継を行う際に、記憶手段に設定された情報に基づいて、当該データを中継するか否かを判定する。
　また、一実施態様によれば、送信元のノードにより送信されたデータを中継する中継装置と通信可能な情報処理装置が提供される。この情報処理装置は記憶手段と提供手段とを有する。記憶手段は、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する。提供手段は、ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を中継装置から受信すると、記憶手段を参照して、第１の識別情報に対応する宛先のノードを示す第３の識別情報を検索し、第２の識別情報に対応してデータの中継が許容された宛先のノードの識別情報として第３の識別情報を中継装置に提供する。
　また、一実施態様によれば、送信元のノードにより送信されたデータを中継する中継装置および中継装置と通信可能な情報処理装置を含むシステムで実行されるアクセス制御方法が提供される。このアクセス制御方法では、ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を中継装置を用いて受信すると、第１の識別情報および第２の識別情報を情報処理装置に送信する。情報処理装置を用いて、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードの識別情報を記憶する記憶手段を参照して、第１の識別情報に対応する宛先のノードを示す第３の識別情報を検索し、第２の識別情報に対応してデータの中継が許容された宛先のノードの識別情報として第３の識別情報を中継装置に提供する。送信元のノードの識別情報と宛先のノードの識別情報とを含むデータの中継を、中継装置を用いて行う際に、情報処理装置から提供された情報に基づいて、当該データを中継するか否かを判定する。
　また、一実施態様によれば、送信元のノードにより送信されたデータを中継するためのコンピュータによって実行されるプログラムが提供される。このプログラムは、コンピュータに、ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を受信すると、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する情報処理装置から、第１の識別情報に対応する宛先のノードを示す第３の識別情報を取得し、データの中継が許容された組み合わせとして第２の識別情報と第３の識別情報とを記憶手段に設定し、送信元のノードの識別情報と宛先のノードの識別情報とを含むデータの中継を行う際に、記憶手段に設定された情報に基づいて、当該データを中継するか否かを判定する、処理を実行させる。
　また、一実施態様によれば、送信元のノードにより送信されたデータを中継する中継装置と通信可能なコンピュータによって実行されるプログラムが提供される。このプログラムは、コンピュータに、ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を中継装置から受信すると、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する記憶手段を参照して、第１の識別情報に対応する宛先のノードを示す第３の識別情報を検索し、第２の識別情報に対応してデータの中継が許容された宛先のノードの識別情報として第３の識別情報を中継装置に提供する、処理を実行させる。
　一実施態様によれば、ユーザごとのアクセス制御を容易に行うことができる。
　本発明の上記および他の目的、特徴および利点は本発明の例として好ましい実施の形態を表す添付の図面と関連した以下の説明により明らかになるであろう。
第１の実施の形態の情報処理システムを示す図である。 第２の実施の形態の情報処理システムを示す図である。 第２の実施の形態の中継装置のハードウェア例を示す図である。 第２の実施の形態の管理サーバのハードウェア例を示す図である。 第２の実施の形態のソフトウェア例を示す図である。 第２の実施の形態のユーザ管理テーブルの例を示す図である。 第２の実施の形態のアクセス管理テーブルの例を示す図である。 第２の実施の形態の接続管理テーブルの例を示す図である。 第２の実施の形態のセッション管理テーブルの例を示す図である。 第２の実施の形態の通信データの例を示す図である。 第２の実施の形態の認証処理の例を示すフローチャートである。 第２の実施の形態の中継処理の例を示すフローチャートである。 第２の実施の形態の認証確認例（その１）を示すフローチャートである。 第２の実施の形態の通信の具体例（その１）を示す図である。 第２の実施の形態の通信の具体例（その２）を示す図である。 第２の実施の形態の通信の具体例（その３）を示す図である。 第２の実施の形態の通信の具体例（その４）を示す図である。 第２の実施の形態の認証確認例（その２）を示すフローチャートである。 第２の実施の形態の通信の具体例（その５）を示す図である。 第２の実施の形態のログアウト処理の例を示すフローチャートである。 第２の実施の形態の通信の具体例（その６）を示す図である。 第２の実施の形態のアクセス可能範囲の例（その１）を示す図である。 第２の実施の形態のアクセス可能範囲の例（その２）を示す図である。 第２の実施の形態の他の例（その１）を示す図である。 第２の実施の形態の他の例（その２）を示す図である。 第３の実施の形態のアクセス管理テーブルの例を示す図である。 第３の実施の形態のセッション管理テーブルの例を示す図である。 第３の実施の形態のセッション管理の例を示すフローチャートである。 第３の実施の形態のアクセス可能範囲の例（その１）を示す図である。 第３の実施の形態のアクセス可能範囲の例（その２）を示す図である。
　以下、本実施の形態を図面を参照して説明する。
　［第１の実施の形態］
　図１は、第１の実施の形態の情報処理システムを示す図である。第１の実施の形態の情報処理システムは、中継装置１、情報処理装置２およびノード３，４，５，６を含む。中継装置１、情報処理装置２およびノード４，５，６は、ネットワークを介して接続されている。ノード３は中継装置１を介してノード４，５，６と通信する。例えば、ノード３はユーザが利用するクライアント装置である。ノード３，４，５，６は、物理的なコンピュータ（物理マシンと呼ぶことがある）でもよいし、物理マシン上で動作する仮想的なコンピュータ（仮想マシンと呼ぶことがある）でもよい。
　中継装置１は、送信元のノードにより送信されたデータを中継する。中継装置１は、記憶手段１ａ、設定手段１ｂおよび制御手段１ｃを有する。
　記憶手段１ａは、制御手段１ｃの処理に用いるデータを記憶する。
　設定手段１ｂは、ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を受信する。第１の識別情報はユーザＩＤでもよい。第２の識別情報はネットワークにおいてデータの転送に用いられるアドレス情報でもよい。当該アドレス情報として、例えばＯＳＩ（Open Systems Interconnection）参照モデルの第３層の通信制御に用いられるＩＰ（Internet Protocol）アドレスが考えられる。
　設定手段１ｂは、第１の識別情報に基づいて、第１の識別情報に対応してアクセスが許容された宛先のノードを示す第３の識別情報を情報処理装置２から取得する。第３の識別情報は宛先のノードを示すアドレスでもよい。例えば、第３の識別情報はＩＰアドレスでもよい。例えば、設定手段１ｂは第１の識別情報と第２の識別情報とを情報処理装置２に送信し、その応答として第３の識別情報を情報処理装置２から取得する。設定手段１ｂは、データの中継が許容された組み合わせとして第２の識別情報と第３の識別情報とを記憶手段１ａに設定する。
　制御手段１ｃは、送信元のノードの識別情報と宛先のノードの識別情報とを含むデータを中継するとき、記憶手段１ａに設定された情報に基づいて、当該データを中継するか否かを判定する。当該データに含まれる各ノードの識別情報の組み合わせが、中継が許容された組み合わせとして記憶手段１ａに設定されている場合、制御手段１ｃは当該データを中継すると判定する。すると、制御手段１ｃは当該データの中継を行う。一方、中継が許容された組み合わせとして記憶手段１ａに設定されていない場合、制御手段１ｃは当該データを中継しないと判定する。すると、制御手段１ｃは当該データを破棄する。
　情報処理装置２は、記憶手段２ａおよび提供手段２ｂを有する。
　記憶手段２ａは、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する。１ユーザの識別情報につきアクセスが許容された複数の宛先のノードを示す識別情報が対応付けられていてもよい。１つの宛先のノードにつき複数の識別情報があってもよい。
　提供手段２ｂは、第１の識別情報および第２の識別情報を中継装置１から受信すると、記憶手段２ａを参照して、第１の識別情報に対応する宛先のノードを示す第３の識別情報を検索する。提供手段２ｂは、第２の識別情報に対応してデータの中継が許容された宛先のノードの識別情報として第３の識別情報を中継装置１に提供する。
　ここで、ノード３からノード４，５，６にアクセスする場合を考える。中継装置１の識別情報を“ＤＩＤａ”、ノード３の識別情報を“ＳＩＤ１”、ノード４の識別情報を“ＤＩＤ１”、ノード５の識別情報を“ＤＩＤ２”、ノード６の識別情報を“ＤＩＤ３”とする。ノード３を利用するユーザの識別情報を“ＵＩＤ１”とする。また、以下に示すステップＳ１の前には記憶手段１ａに設定されている情報はないものとする。
　まず、中継装置１はデータ３ａをノード３から受信する（ステップＳ１）。データ３ａは送信元“ＳＩＤ１”、宛先“ＤＩＤａ”、ユーザデータ“ＵＩＤ１”を含む。中継装置１はデータ３ａから抽出した“ＵＩＤ１”（および“ＳＩＤ１”）を情報処理装置２に送信する（ステップＳ２）。
　情報処理装置２は“ＵＩＤ１”をキーに記憶手段２ａを検索し、“ＵＩＤ１”のユーザに対応してアクセスが許容された宛先“ＤＩＤ１”を抽出する。１ユーザにつき複数の宛先へのアクセスを許容してもよい。例えば、記憶手段２ａには“ＵＩＤ２”のユーザにつき宛先“ＤＩＤ２，ＤＩＤ３”へのアクセスを許容することを示すレコードの登録もある。情報処理装置２は、送信元“ＳＩＤ１”に対応してデータの中継が許容された宛先として“ＤＩＤ１”を中継装置１に提供する。中継装置１は“ＳＩＤ１”と“ＤＩＤ１”とをデータの中継が許容された組み合わせとして記憶手段１ａに設定する（ステップＳ３）。
　その後、中継装置１はデータ３ｂをノード３から受信する。データ３ｂは、送信元“ＳＩＤ１”、宛先“ＤＩＤ１”、ユーザデータ“Ｄａｔａ”を含む。この時点で、記憶手段１ａには“ＳＩＤ１”と“ＤＩＤ１”との組み合わせが設定されている。よって、中継装置１はデータ３ｂを中継する（ステップＳ４）。更に、中継装置１はデータ３ｃをノード３から受信する。データ３ｃは、送信元“ＳＩＤ１”、宛先“ＤＩＤ２”、ユーザデータ“Ｄａｔａ”を含む。記憶手段１ａには、“ＳＩＤ１”と“ＤＩＤ２”との組み合わせは設定されていない。よって、中継装置１はデータ３ｃを中継しない（ステップＳ５）。
　このように、中継装置１はユーザごとの各ノードに対するアクセス制御の設定内容を情報処理装置２から取得して保持し、当該設定内容に基づいてデータを中継するか否かを判定する。このため、ユーザごとのアクセス制御の内容を変更したい場合には、記憶手段２ａに記憶された設定内容を変更すればよい。変更内容を中継装置１により取得させ、当該変更内容を反映させることができるからである。したがって、情報処理システムの管理者が中継装置１を個別に設定する手間を省ける。また、中継装置１の他にも複数の中継装置が運用されていることもある。その場合に、設定対象の中継装置１を探し出す手間を省ける。このように、ユーザごとのアクセス制御を容易に行うことができる。また、管理者の作業を省力化でき、アクセス制御の設定を効率的に行うことができる。
　特に、大規模なネットワークでは、多数の中継装置、ノードが運用され得る。処理能力をスケールアウトにより拡張することもあり、ノードが増大し得る。また、アクセス先ノードに仮想マシンが用いられる場合や、仮想マシンの通信を中継する仮想スイッチが用いられる場合には、仮想マシンと仮想スイッチとの接続関係が頻繁に更新され得る。仮想マシンは稼働状況（ユーザの利用有無や負荷など）に応じて、物理マシン上に追加または削除されたり、他の物理マシンへ移動されたりするからである。このように大規模なネットワークでは、接続変更時の各中継装置（または仮想スイッチ）の設定変更の作業負担が特に大きい。よって、大規模なネットワークに対して中継装置１および情報処理装置２を適用する場合、特に有用である。
　例えば、アクセス制御したいネットワークの入口に中継装置１を配置すれば、ユーザごとにアクセス可能なノードを容易に制限できる。また、個々の中継装置１が、ユーザごとのアクセス制御の設定内容を情報処理装置２から取得する。よって、アクセス制御したいネットワークごとに中継装置１を複数設けたとしても個々の中継装置１に対するユーザごとのアクセス制御の設定を容易に行える。
　なお、中継装置１および情報処理装置２は、ＣＰＵ（Central Processing Unit）などのプロセッサとＲＡＭ（Random Access Memory）などのメモリとを備えてもよい。その場合、中継装置１および情報処理装置２の情報処理は、メモリに記憶されたプログラムをプロセッサが実行することで実現できる。
　［第２の実施の形態］
　図２は、第２の実施の形態の情報処理システムを示す図である。第２の実施の形態の情報処理システムは、中継装置１００，１００ａ，１００ｂ、管理サーバ２００、業務サーバ３００，３００ａ，４００，４００ａを含む。中継装置１００は、ファイアウォール１１に接続されている。ファイアウォール１１はネットワーク１０に接続されている。例えば、ネットワーク１０はＬＡＮ（Local Area Network）でもよいし、インターネットやＷＡＮ（Wide Area Network）などの広域ネットワークでもよい。
　ファイアウォール１１は、ネットワーク１０側（外部側）と中継装置１００側（内部側）との間の通信（例えば、ＩＰパケット）を監視し、所定のルールに合致した通信のみを許可し、所定のルールに合致しない通信を拒否する。
　中継装置１００，１００ａ，１００ｂ、管理サーバ２００および業務サーバ３００，３００ａは、ネットワーク２０に接続されている。中継装置１００ｂおよび業務サーバ４００，４００ａは、ネットワーク３０に接続されている。例えば、ネットワーク２０，３０はＬＡＮである。ネットワーク２０，３０は、同一拠点のネットワークでもよいし、異なる拠点（例えば、本社と支社）のネットワークでもよい。
　中継装置１００，１００ａ，１００ｂは、通信データを中継するスイッチである。中継装置１００，１００ａ，１００ｂは、異なるネットワークセグメント間のルーティングを行うＬ３（Layer 3）スイッチまたはルータでもよい。中継装置１００，１００ａ，１００ｂは、管理サーバ２００と通信して、ユーザごとのアクセス制御の情報を取得し、当該情報に基づいてアクセス制御を行う。中継装置１００，１００ａ，１００ｂは、コンピュータによって実現されてもよい。
　管理サーバ２００は、ユーザごとのアクセス制御の情報を一元管理するサーバコンピュータである。管理サーバ２００は、中継装置１００，１００ａ，１００ｂにアクセス制御の情報を提供する。なお、管理サーバ２００をネットワーク２０以外のネットワーク（例えば、ネットワーク３０）に接続してもよい。
　業務サーバ３００，３００ａ，４００，４００ａは、業務アプリケーションを実行するサーバコンピュータである。業務サーバ３００，３００ａ，４００，４００ａは業務アプリケーションによるサービスをクライアント５００，５００ａ，６００，６００ａに提供する。例えば、業務サーバ３００，３００ａ，４００，４００ａはＷｅｂサーバ機能を有する。クライアント５００，５００ａ，６００，６００ａからは、Ｗｅｂブラウザと呼ばれるソフトウェアを用いて、業務サーバ３００，３００ａ，４００，４００ａが提供するサービスを利用できる。
　その場合、ファイアウォール１１では、ＨＴＴＰ（HyperText Transfer Protocol）やＨＴＴＰＳ（HTTP over Secure Socket Layer）などに対応するアプリケーションポートの通信を許可しておく。そうすれば、クライアント５００，５００ａと業務サーバ３００，３００ａ，４００，４００ａの間で、ＨＴＴＰのリクエストやレスポンスを送受信できる。ＦＴＰ（File Transfer Protocol）なども同様である。
　ユーザは、クライアント５００，５００ａ，６００，６００ａを操作して第２の実施の形態の情報処理システムにアクセスできる。クライアント５００，５００ａ，６００，６００ａは、クライアントコンピュータである。クライアント５００，５００ａ，６００，６００ａは、携帯電話機やスマートデバイス（例えば、スマートフォンやタブレット端末）などの電子装置でもよい。
　クライアント５００，５００ａは、アクセスポイント１２を介してネットワーク１０に接続し、情報処理システムにアクセスする。アクセスポイント１２は無線通信を中継する中継装置である。アクセスポイント１２は移動通信網を介してネットワーク１０に接続する無線基地局でもよい。クライアント６００，６００ａは、中継装置１００ａに接続されている。クライアント６００，６００ａは、他のネットワークを介して中継装置１００ａに接続されてもよい。
　例えば、クライアント５００からサービスを利用する場合を考える。例えば、ユーザはクライアント５００で動作するＷｅｂブラウザ上で、利用したい業務アプリケーションのＵＲＬ（Uniform Resource Locator）を指定する。クライアント５００はＵＲＬ中のＦＱＤＮ（Fully Qualified Domain Name）を、ネットワーク１０に接続されたＤＮＳ（Domain Name System）サーバに問い合わせることで、ＦＱＤＮに対応するＩＰアドレスを解決する。Ｗｅｂブラウザは、解決したＩＰアドレスを宛先ＩＰアドレスとしたリクエストを送信する。こうして、クライアント５００から業務サーバが提供するサービスを利用できる。例えば、クライアント６００，６００ａからサービスを利用する場合も同様である。ＦＱＤＮでアクセス先を指定する場合、クライアント６００，６００ａからアクセス可能なネットワークセグメントにＤＮＳサーバを設けることが考えられる。
　ここで、一例として、第２の実施の形態の情報処理システムで用いるＩＰアドレスを次の通りとする。ネットワーク２０のネットワークアドレスは“１９２．１６８．１０．０”である。ネットワーク３０のネットワークアドレスは“１９２．１６８．２０．０”である。中継装置１００は“１９２．１６８．１０．１”である。中継装置１００ａは“１９２．１６８．１０．２”である。中継装置１００ｂは“１９２．１６８．２０．１”である。ただし、中継装置１００ｂがネットワーク２０，３０の間のルーティングをする場合にはネットワーク２０側のＩＰアドレスを有してもよい。管理サーバ２００は“１９２．１６８．１０．１０”である。業務サーバ３００は“１９２．１６８．１０．１０１”である。業務サーバ３００ａは“１９２．１６８．１０．１０２”である。業務サーバ４００は“１９２．１６８．２０．１０１”である。業務サーバ４００ａは“１９２．１６８．２０．１０２”である。
　または、例えばＶＰＮ（Virtual Private Network）の技術を用いて、クライアント５００，５００ａに、所定のＩＰアドレス（例えば、ネットワーク２０のＩＰアドレス）を割り当ててもよい。そして、各業務サーバのＩＰアドレスを宛先に指定したリクエストを発行させてもよい。その場合、例えば、クライアント５００，５００ａにＶＰＮクライアントのソフトウェアを実行させる。例えば、ＶＰＮクライアントと通信してＩＰアドレスを割り当てるＶＰＮサーバをファイアウォール１１と中継装置１００との間などに設ける。ＶＰＮクライアントはリクエストを含むＩＰパケットを、所定のプロトコルを用いてカプセル化してＶＰＮサーバへ送る。ＶＰＮサーバは、カプセル化を解除して得たリクエストを中継装置１００に転送する。ファイアウォール１１に代えて、ＵＴＭ（Unified Threat Management）装置などを用いてＶＰＮを実装してもよい。
　図３は、第２の実施の形態の中継装置のハードウェア例を示す図である。中継装置１００は、プロセッサ１０１、ＲＡＭ１０２、ＲＯＭ（Read Only Memory）１０３、スイッチ部１０４およびポート部１０５を有する。中継装置１００ａ，１００ｂも中継装置１００と同様のユニットを用いて実現できる。
　プロセッサ１０１は、ファームウェアプログラムを実行する。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）またはＰＬＤ（Programmable Logic Device）である。プロセッサ１０１は、ＣＰＵ、ＭＰＵ、ＤＳＰ、ＡＳＩＣ、ＦＰＧＡ、ＰＬＤのうちの２以上の要素の組み合わせであってもよい。
　ＲＡＭ１０２は、ファームウェアプログラムやデータを一時的に記憶する。
　ＲＯＭ１０３は、ファームウェアプログラムやデータを予め記憶している。ＲＯＭ１０３は、フラッシュメモリなど、書き換え可能な不揮発性メモリであってもよい。
　スイッチ部１０４は、ポート部１０５の各ポートで受信されたフレームを取得し、プロセッサ１０１に出力する。スイッチ部１０４は、中継すると判定されたフレームをプロセッサ１０１から取得する。スイッチ部１０４は、当該フレームに含まれる宛先ＭＡＣ（Media Access Control）アドレスに基づき、当該フレームを出力するポートを判定する。スイッチ部１０４は転送先のポートを判定するための転送テーブルを保持してもよい。ネットワーク層でルーティングを行う場合には、フレーム内のＩＰパケットに含まれる宛先ＩＰアドレスから、ＡＲＰ（Address Resolution Protocol）などを用いて、ＭＡＣアドレスおよび転送先ポートを解決してもよい。スイッチ部１０４は当該フレームを判定したポートに対して出力する。
　ポート部１０５は、ファイアウォール１１やネットワーク２０を介して、管理サーバ２００などの他の装置と通信する複数のポートを有する。例えば、ポート部１０５の一部がファイアウォール１１と所定のケーブルにより直接または間接に接続される。また、ポート部１０５の他の一部がネットワーク２０と所定のケーブルにより直接または間接に接続される。
　図４は、第２の実施の形態の管理サーバのハードウェア例を示す図である。管理サーバ２００は、プロセッサ２０１、ＲＡＭ２０２、ＨＤＤ（Hard Disk Drive）２０３、通信部２０４、画像信号処理部２０５、入力信号処理部２０６、ディスクドライブ２０７および機器接続部２０８を有する。各ユニットが管理サーバ２００のバスに接続されている。業務サーバ３００，３００ａ，４００，４００ａおよびクライアント５００，５００ａ，６００，６００ａも管理サーバ２００と同様のユニットを用いて実現できる。
　プロセッサ２０１は、管理サーバ２００の情報処理を制御する。プロセッサ２０１は、マルチプロセッサであってもよい。プロセッサ２０１は、例えばＣＰＵ、ＭＰＵ、ＤＳＰ、ＡＳＩＣ、ＦＰＧＡまたはＰＬＤである。プロセッサ２０１は、ＣＰＵ、ＭＰＵ、ＤＳＰ、ＡＳＩＣ、ＦＰＧＡ、ＰＬＤのうちの２以上の要素の組み合わせであってもよい。
　ＲＡＭ２０２は、管理サーバ２００の主記憶装置である。ＲＡＭ２０２は、プロセッサ２０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部を一時的に記憶する。また、ＲＡＭ２０２は、プロセッサ２０１による処理に用いる各種データを記憶する。
　ＨＤＤ２０３は、管理サーバ２００の補助記憶装置である。ＨＤＤ２０３は、内蔵した磁気ディスクに対して、磁気的にデータの書き込みおよび読み出しを行う。ＨＤＤ２０３には、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。管理サーバ２００は、フラッシュメモリやＳＳＤ（Solid State Drive）などの他の種類の補助記憶装置を備えてもよく、複数の補助記憶装置を備えてもよい。
　通信部２０４は、ネットワーク２０を介して他のコンピュータや中継装置１００，１００ａ，１００ｂなどと通信を行えるインタフェースである。通信部２０４は、有線インタフェースでもよいし、無線インタフェースでもよい。
　画像信号処理部２０５は、プロセッサ２０１からの命令に従って、管理サーバ２００に接続されたディスプレイ２１に画像を出力する。ディスプレイ２１としては、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどを用いることができる。
　入力信号処理部２０６は、管理サーバ２００に接続された入力デバイス２２から入力信号を取得し、プロセッサ２０１に出力する。入力デバイス２２としては、例えば、マウスやタッチパネルなどのポインティングデバイス、キーボードなどを用いることができる。
　ディスクドライブ２０７は、レーザ光などを利用して、光ディスク２３に記録されたプログラムやデータを読み取る駆動装置である。光ディスク２３として、例えば、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）などを使用できる。ディスクドライブ２０７は、例えば、プロセッサ２０１からの命令に従って、光ディスク２３から読み取ったプログラムやデータをＲＡＭ２０２またはＨＤＤ２０３に格納する。
　機器接続部２０８は、管理サーバ２００に周辺機器を接続するための通信インタフェースである。例えば、機器接続部２０８にはメモリ装置２４やリーダライタ装置２５を接続することができる。メモリ装置２４は、機器接続部２０８との通信機能を搭載した記録媒体である。リーダライタ装置２５は、メモリカード２６へのデータの書き込み、またはメモリカード２６からのデータの読み出しを行う装置である。メモリカード２６は、カード型の記録媒体である。機器接続部２０８は、例えば、プロセッサ２０１からの命令に従って、メモリ装置２４またはメモリカード２６から読み取ったプログラムやデータをＲＡＭ２０２またはＨＤＤ２０３に格納する。
　図５は、第２の実施の形態のソフトウェア例を示す図である。図５に示す各ユニットの一部または全部は、中継装置１００，１００ａ，１００ｂおよび管理サーバ２００のプロセッサが実行するプログラムのモジュールであってもよい。また、図５に示す各ユニットの一部または全部は、中継装置１００，１００ａ，１００ｂおよび管理サーバ２００が備えるＡＳＩＣやＦＰＧＡなどの電子回路であってもよい。なお、図５ではファイアウォール１１やアクセスポイント１２の図示を省略している。
　中継装置１００は、記憶部１１０およびアクセス制御部１２０を有する。
　記憶部１１０は、アクセス制御部１２０の処理に用いられる情報を記憶する。当該情報には、セッション管理テーブルが含まれる。セッション管理テーブルは、中継することが許容されたＩＰアドレスの組み合わせを登録したアクセス制御のための情報である。以下では、当該組み合わせを示す情報をセッション情報と呼ぶことがある。例えば、記憶部１１０はＲＡＭ１２０を用いて実装できる。
　アクセス制御部１２０は、クライアント５００，５００ａからログイン認証用の情報を受信する。以下の説明では、当該ログイン認証をネットワークログイン認証ということがある。ネットワークログイン認証とは、ネットワーク２０，３０に接続するためのログイン認証である。ここで、業務サーバそれぞれが提供するサービスに対して個々にログイン認証が発生することもある。ただし、以下の説明では単にログイン認証という場合、ネットワークログイン認証を指すものとする。アクセス制御部１２０は、クライアント５００，５００ａからログイン認証用の情報を受信する。アクセス制御部１２０は、当該ログイン認証用の情報を管理サーバ２００に送信して認証を依頼する。ログイン認証用の情報は、ユーザＩＤおよびパスワードを含む。また、ログイン認証用の情報は、クライアントのアドレス情報（ＩＰアドレスやＭＡＣアドレス）などを含み得る。
　アクセス制御部１２０は、ログイン認証用の情報を入力するためのＧＵＩ（Graphical User Interface）をクライアント５００，５００ａに提供してもよい。例えば、中継装置１００がＷｅｂサーバ機能を備えれば、当該ＧＵＩをＷｅｂページ（ログインページ）としてクライアント５００，５００ａに提供できる。あるいは、ログインページを提供するＷｅｂサーバを別個に設けてもよい。そして、クライアント５００，５００ａからログイン認証前に業務サーバを宛先に指定したアクセスを受け付けた場合に、ログインページのＵＲＬへアクセス先をリダイレクトさせてもよい。更に、アクセス制御部１２０は当該ログインページで入力されたユーザＩＤやパスワードを受信してもよい。
　アクセス制御部１２０は、認証結果に応じたセッション情報を管理サーバ２００から受信し、記憶部１１０に記憶されたセッション管理テーブルに登録する。そして、アクセス制御部１２０は、ログイン認証後、業務サーバ３００，３００ａ，４００，４００ａ宛のリクエストを中継するとき、記憶部１１０に記憶されたセッション管理テーブルに基づいて、当該リクエストを中継するか否かを判定する。当該リクエストを中継する場合、アクセス制御部１２０は、スイッチ部１０４に当該リクエストを出力する。スイッチ部１０４は、当該リクエストの宛先を参照し、所定のポートから当該リクエストを送出する。当該リクエストを中継しない場合、アクセス制御部１２０は当該リクエストを破棄する。
　なお、記憶部１１０は第１の実施の形態の記憶手段１ａの一例である。アクセス制御部１２０は第１の実施の形態の設定手段１ｂおよび制御手段１ｃの一例である。
　中継装置１００ａは、記憶部１１０ａおよびアクセス制御部１２０ａを有する。中継装置１００ｂは、記憶部１１０ｂおよびアクセス制御部１２０ｂを有する。ここで、記憶部１１０ａ，１１０ｂは記憶部１１０と同様に、セッション管理テーブルを記憶する。また、アクセス制御部１２０ａはアクセス制御部１２０と同様に、記憶部１１０ａに記憶されたセッション管理テーブルに基づいて業務サーバ３００，３００ａ，４００，４００ａに対するアクセス制御を行う。また、アクセス制御部１２０ｂはアクセス制御部１２０と同様に、記憶部１１０ｂに記憶されたセッション管理テーブルに基づいて業務サーバ３００，３００ａ，４００，４００ａに対するアクセス制御を行う。
　管理サーバ２００は、記憶部２１０および管理部２２０を有する。
　記憶部２１０は、管理部２２０の処理に用いられる情報を記憶する。当該情報には、ユーザ管理テーブル、アクセス管理テーブルおよび接続管理テーブルが含まれる。ユーザ管理テーブルは、ユーザの基本情報を登録した情報である。ユーザの基本情報は、例えば、ユーザＩＤ、パスワードおよび複数クライアントを用いた同時接続（以下では多重接続ということがある）の可否などを示す情報を含む。アクセス管理テーブルは、ユーザごとにアクセスを許容する業務サーバのＩＰアドレスを登録した情報である。接続管理テーブルは、中継装置１００，１００ａ，１００ｂにおける現在の接続状態を管理するための情報である。例えば、記憶部２１０はＲＡＭ２０２やＨＤＤ２０３を用いて実装できる。
　管理部２２０は、中継装置１００，１００ａ，１００ｂから認証依頼を受信すると、記憶部２１０に記憶された情報に基づいて、認証処理を実行する。管理部２２０は、認証結果に応じて、セッション情報を生成し、依頼元の中継装置に提供する。
　なお、記憶部２１０は第１の実施の形態の記憶手段２ａの一例である。管理部２２０は第１の実施の形態の提供手段２ｂの一例である。
　図６は、第２の実施の形態のユーザ管理テーブルの例を示す図である。ユーザ管理テーブル２１１は記憶部２１０に格納される。ユーザ管理テーブル２１１は、ユーザＩＤ、パスワードおよび多重接続設定の項目を含む。
　ユーザＩＤの項目には、ユーザＩＤが登録される。パスワードの項目には、パスワードが登録される。多重接続設定の項目には、多重接続を許容するか否かを示す許可情報が登録される。例えば、多重接続が許容される場合には“可”という情報が、多重接続が許容されていない場合には“不可”という情報が、多重接続設定の項目に登録される。
　例えば、ユーザ管理テーブル２１１には、ユーザＩＤが“ＵＩＤ０００１”、パスワードが“ｐａｓｓ１”、多重接続設定が“可”という情報が登録されている。これは、ユーザＩＤ“ＵＩＤ０００１”に対してログイン用のパスワードとして“ｐａｓｓ１”が設定されていること、当該ユーザについて多重接続が許容されていることを示す。
　ここで、以下ではユーザＩＤ“ＵＩＤ０００１”のユーザをユーザＡと呼ぶ。ユーザＩＤ“ＵＩＤ０００２”のユーザをユーザＢと呼ぶ。ユーザＩＤ“ＵＩＤ０００３”のユーザをユーザＣと呼ぶ。
　ユーザ管理テーブル２１１の設定内容は、ユーザごとの多重接続の許可情報を変更したい場合などに、例えば情報処理システムの管理者により、適宜変更可能である。
　図７は、第２の実施の形態のアクセス管理テーブルの例を示す図である。アクセス管理テーブル２１２は記憶部２１０に格納される。アクセス管理テーブル２１２は、ＲＯＬＥ、ユーザＩＤ、端末ＩＰアドレス、端末ＭＡＣアドレスおよびＡＣＬ（Access Control List）の項目を含む。
　ＲＯＬＥの項目には、レコード（１行分のデータ単位）を識別するためのＲＯＬＥ番号が登録される。例えば、“ＲＯＬＥ１”という場合、アクセス管理テーブル２１２のＲＯＬＥの項目にＲＯＬＥ番号“１”が設定されたレコードを示す。ＲＯＬＥという用語をアクセス管理テーブル２１２のある１つのレコードを指す用語として用いることがある。
　ユーザＩＤの項目には、ユーザＩＤが登録される。端末ＩＰアドレスの項目には、クライアントのＩＰアドレスが登録される。端末ＭＡＣアドレスの項目には、クライアントのＭＡＣアドレスが登録される。ＡＣＬの項目には、アクセスが許容された業務サーバのＩＰアドレスのリストが登録される。ＡＣＬの項目には、１つのＲＯＬＥにつき複数のＩＰアドレスを登録できる。ＡＣＬの項目を細分化した“１”、“２”、“３”、“４”の番号は便宜的に付したものである。更に多数のアクセス先サーバが存在する場合には、５個以上のＩＰアドレスが登録されてもよい。
　アクセス管理テーブル２１２には、各レコードにおいて情報が登録されていない項目もある。その場合にはハイフン記号“－”を表記している。端末ＩＰアドレスの項目で“－”が登録されている場合は、任意の端末ＩＰアドレスを示す。端末ＭＡＣアドレスの項目で“－”が登録されている場合は、任意のＭＡＣアドレスを示す。
　例えば、アクセス管理テーブル２１２には、ＲＯＬＥが“１”、ユーザＩＤが“ＵＩＤ０００１”、端末ＩＰアドレスが“１９２．１６８．１０．１１”、端末ＭＡＣアドレスが“０８－ｂ４－２５－９ｅ－０ｃ－４６”、ＡＣＬが“１９２．１６８．１０．１０１”、“１９２．１６８．１０．１０２”、“１９２．１６８．２０．１０１”、“１９２．１６８．２０．１０２”という情報が登録されている。
　これは、ユーザＩＤ“０００１”のユーザＡが、ＩＰアドレス“１９２．１６８．１０．１１”、ＭＡＣアドレス“０８－ｂ４－２５－９ｅ－０ｃ－４６”であるクライアントからアクセスする場合、当該ＡＣＬのＩＰアドレスへのアクセスが許容されることを示す。この場合、業務サーバ３００，３００ａ，４００，４００ａへのアクセスが許容されていることになる。
　これに対し、“ＲＯＬＥ２”では、同一のユーザＩＤ“ＵＩＤ０００１”およびＩＰアドレス“１９２．１６８．１０．１１”に対して、ＡＣＬが“１９２．１６８．１０．１０１”、“１９２．１６８．２０．１０１”である。
　これは、ユーザＩＤ“０００１”のユーザＡが、ＩＰアドレス“１９２．１６８．１０．１１”であるクライアントからアクセスする場合、当該ＡＣＬのＩＰアドレスへのアクセスが許容されることを示す。“ＲＯＬＥ２”では、“ＲＯＬＥ１”に比べて、ＭＡＣアドレスの一致は課していない。この場合、業務サーバ３００，４００へのアクセスが許容されていることなる。なお、ＩＰアドレス“１９２．１６８．１０．１１”およびＭＡＣアドレス“０８－ｂ４－２５－９ｅ－０ｃ－４６”の両方が認証用の情報から検出される場合は、“ＲＯＬＥ２”よりも“ＲＯＬＥ１”が優先して適用される。
　また、“ＲＯＬＥ３”では、同一のユーザＩＤ“ＵＩＤ０００１”に対して、ＡＣＬが“１９２．１６８．１０．１０１”という情報が登録されている。“ＲＯＬＥ３”では、“ＲＯＬＥ１”や“ＲＯＬＥ２”に比べて、ＩＰアドレスおよびＭＡＣアドレスの一致は課していない。この場合、業務サーバ３００へのアクセスが許容されていることになる。ＩＰアドレス“１９２．１６８．１０．１１”およびＭＡＣアドレス“０８－ｂ４－２５－９ｅ－０ｃ－４６”の両方が認証用の情報から検出される場合は、“ＲＯＬＥ３”よりも“ＲＯＬＥ１”が優先して適用される。ＩＰアドレス“１９２．１６８．１０．１１”のみが認証用の情報から検出される場合は、“ＲＯＬＥ３”よりも“ＲＯＬＥ２”が優先して適用される。それ以外の場合に“ＲＯＬＥ３”が適用される。
　このように、アクセス管理テーブル２１２にはユーザごとのＲＯＬＥが登録される。１ユーザに対して複数のＲＯＬＥを登録してもよい。また、ＡＣＬにはネットワークアドレスなどを用いてアクセスを許容するＩＰアドレスの範囲を登録してもよい。
　１つの業務サーバで（例えば、提供するサービスごとに）複数のＩＰアドレスを利用することもある。その場合には、当該１つの業務サーバの複数のＩＰアドレスのうち、アクセスを許容したいＩＰアドレスのみをＡＣＬに登録すればよい。
　アクセス管理テーブル２１２の設定内容は、ユーザの追加／削除、業務サーバの追加／削除、業務サーバのネットワーク接続変更などが発生した際に、設定変更が可能である。例えば、情報処理システムの管理者は、これらの変更が発生した際に、アクセス管理テーブル２１２の設定内容を変更することができる。
　図８は、第２の実施の形態の接続管理テーブルの例を示す図である。接続管理テーブル２１３は、記憶部２１０に格納される。接続管理テーブル２１３は、管理部２２０により更新される。接続管理テーブル２１３は、ユーザＩＤ、端末ＩＰアドレス、中継装置ＩＰアドレスおよび適用ＲＯＬＥの項目を含む。
　ユーザＩＤの項目には、ユーザＩＤが登録される。端末ＩＰアドレスの項目には、クライアントのＩＰアドレスが登録される。中継装置ＩＰアドレスの項目には、認証依頼を行った中継装置のＩＰアドレスが登録される。適用ＲＯＬＥの項目には、認証された結果、適用されるＲＯＬＥを示す情報が登録される。ここで、適用されるＲＯＬＥとは、管理サーバ２００により当該中継装置に提供されるＲＯＬＥである。ＲＯＬＥの提供を受けた後、当該中継装置は、当該ＲＯＬＥに基づくアクセス制御を行えるようになる。接続管理テーブル２１３は、中継装置に提供されたＲＯＬＥの履歴ということもできる。
　例えば、接続管理テーブル２１３には、ユーザＩＤが“ＵＩＤ０００１”、端末ＩＰアドレスが“５０．２２３．３．４”、中継装置ＩＰアドレスが“１９２．１６８．１０．１”、適用ＲＯＬＥが“ＲＯＬＥ３”という情報が登録されている。
　これは、ユーザＩＤ“ＵＩＤ０００１”のユーザＡがＩＰアドレス“５０．２２３．３．４”のクライアントを用いて、中継装置１００（ＩＰアドレス“１９２．１６８．１０．１”）を介した業務サーバへのアクセスが可能であることを示す。また、アクセス制御のために適用されるＲＯＬＥが“ＲＯＬＥ３”であることを示す。ここで、ＩＰアドレス“５０．２２３．３．４”は、例えばクライアント５００のＩＰアドレスである。
　また、例えば接続管理テーブル２１３には、ユーザＩＤが“ＵＩＤ０００１”、端末ＩＰアドレスが“１９２．１６８．１０．１１”、中継装置ＩＰアドレスが“１９２．１６８．１０．２”、適用ＲＯＬＥが“ＲＯＬＥ１”という情報が登録されている。
　これは、ユーザＩＤ“ＵＩＤ０００１”のユーザＡが、ＩＰアドレス“１９２．１６８．１０．１１”のクライアントを用いて、中継装置１００ａ（ＩＰアドレス“１９２．１６８．１０．２”）を介した業務サーバへのアクセスが可能であることを示す。また、アクセス制御のために適用されるＲＯＬＥが“ＲＯＬＥ１”であることを示す。ここで、ＩＰアドレス“１９２．１６８．１０．１１”は、例えばクライアント６００のＩＰアドレスである。
　例えば、接続管理テーブル２１３には、ユーザＩＤ“ＵＩＤ０００２”のユーザＢおよびユーザＩＤ“ＵＩＤ０００３”のユーザＣに対しても同様のレコードが登録されている。レコードに登録された各情報の意味は上述した通りである。ここで、ユーザＢはクライアント５００ａを利用しているとする。接続管理テーブル２１３において、ＩＰアドレス“５０．２２３．５．５”はクライアント５００ａのＩＰアドレスである。また、ユーザＣはクライアント６００ａを利用しているとする。接続管理テーブル２１３において、ＩＰアドレス“１９２．１６８．１０．１２”はクライアント６００ａのＩＰアドレスである。
　１つのクライアントに対して、２つのレコードが接続管理テーブル２１３に登録されることもある。例えば、クライアント６００，６００ａについて２つ目のレコードが次のように登録されている。
　例えば、接続管理テーブル２１３には、ユーザＩＤが“ＵＩＤ０００１”、端末ＩＰアドレスが“１９２．１６８．１０．１１”、中継装置ＩＰアドレスが“１９２．１６８．２０．１”、適用ＲＯＬＥが“ＲＯＬＥ１”という情報が登録されている。
　これは、ユーザＩＤ“ＵＩＤ０００１”のユーザＡが、クライアント６００（ＩＰアドレス“１９２．１６８．１０．１１”）を用いて、中継装置１００ｂ（ＩＰアドレス“１９２．１６８．２０．１”）を介した業務サーバへのアクセスが可能であることを示す。また、アクセス制御のために適用されるＲＯＬＥが“ＲＯＬＥ１”であることを示す。
　また、例えば接続管理テーブル２１３には、ユーザＩＤが“ＵＩＤ０００３”、端末ＩＰアドレスが“１９２．１６８．１０．１２”、中継装置ＩＰアドレスが“１９２．１６８．２０．１”、適用ＲＯＬＥが“ＲＯＬＥ６”という情報が登録されている。
　これは、ユーザＩＤ“ＵＩＤ０００３”のユーザＣが、クライアント６００ａ（ＩＰアドレス“１９２．１６８．１０．１２”）を用いて、中継装置１００ｂ（ＩＰアドレス“１９２．１６８．２０．１”）を介した業務サーバへのアクセスが可能であることを示す。またアクセス制御のために適用されるＲＯＬＥが“ＲＯＬＥ６”であることを示す。
　なお、接続管理テーブル２１３では、中継装置ＩＰアドレス以外を用いて、中継装置を登録してもよい。例えば、中継装置１００，１００ａ，１００ｂそれぞれに所定の識別名称を予め付与しておく。そして、接続管理テーブル２１３には、中継装置ＩＰアドレスの項目に代えて、当該識別名称を設定する項目を設けてもよい。
　図９は、第２の実施の形態のセッション管理テーブルの例を示す図である。図９（Ａ）はセッション管理テーブル１１１を例示している。セッション管理テーブル１１１は、記憶部１１０に格納される。セッション管理テーブル１１１は、アクセス制御部１２０により更新される。セッション管理テーブル１１１は、ＲＯＬＥ、端末ＩＰアドレスおよびＡＣＬの項目を含む。
　ＲＯＬＥの項目には、セッション情報の元となったＲＯＬＥのＲＯＬＥ番号が登録される。端末ＩＰアドレスの項目には、クライアントのＩＰアドレスが登録される。ＡＣＬの項目には、中継を許容する業務サーバのＩＰアドレスが登録される。ＡＣＬの項目を細分化した“１”、“２”、“３”、“４”の番号は、アクセス管理テーブル２１２と同様に、便宜的に付したものである。セッション管理テーブル１１１には、各レコードにおいて情報が登録されていない箇所もある。その箇所にはハイフン記号“－”を表記している。
　例えば、セッション管理テーブル１１１には、ＲＯＬＥが“３”、端末ＩＰアドレスが“５０．２２３．３．４”、ＡＣＬが“１９２．１６８．１０．１０１”という情報が登録されている。これは、送信元／宛先ＩＰアドレスの組が“５０．２２３．３．４”、“１９２．１６８．１０．１０１”である通信データの中継を許容することを示す。すなわち、送信元ＩＰアドレス“５０．２２３．３．４”、宛先ＩＰアドレス“１９２．１６８．１０．１０１”の場合（上り）も、送信元ＩＰアドレス“１９２．１６８．１０．１０１”、宛先ＩＰアドレス“５０．２２３．３．４”の場合（下り）も中継を許容する。
　また、例えばセッション管理テーブル１１１には、ＲＯＬＥが“５”、端末ＩＰアドレスが“５０．２２３．５．５”、ＡＣＬが“１９２．１６８．１０．１０１”、“１９２．１６８．１０．１０２”という情報が登録されている。これは、送信元／宛先ＩＰアドレスの組が“５０．２２３．５．５”、“１９２．１６８．１０．１０１”である通信データの中継を許容することを示す。また、送信元／宛先ＩＰアドレスの組が“５０．２２３．５．５”、“１９２．１６８．１０．１０２”である通信データの中継を許容することを示す。
　図９（Ｂ）はセッション管理テーブル１１１ａを例示している。セッション管理テーブル１１１ａは、記憶部１１０ａに格納される。セッション管理テーブル１１１ａは、アクセス制御部１２０ａにより更新される。セッション管理テーブル１１１ａに含まれる項目の設定内容はセッション管理テーブル１１１と同様であるため、説明を省略する。
　図９（Ｃ）はセッション管理テーブル１１１ｂを例示している。セッション管理テーブル１１１ｂは、記憶部１１０ｂに格納される。セッション管理テーブル１１１ｂは、アクセス制御部１２０ｂにより更新される。セッション管理テーブル１１１ｂに含まれる項目の設定内容はセッション管理テーブル１１１と同様であるため、説明を省略する。
　ここで、セッション管理テーブル１１１，１１１ａ，１１１ｂは、接続管理テーブル２１３で示される接続状態である場合の、中継装置１００，１００ａ，１００ｂが保持するセッション情報群に相当する。１レコードが１つのセッション情報である。
　なお、セッション管理テーブル１１１，１１１ａ，１１１ｂはユーザＩＤやパスワードの項目を含んでもよい。管理サーバ２００はユーザＩＤやパスワードを含むセッション情報を中継装置１００，１００ａ，１００ｂに提供してもよい。このようにすれば、例えば、中継装置１００はセッション管理テーブル１１１に登録された端末ＩＰアドレスからアクセスを受け付けたとき、当該端末ＩＰアドレスに対するユーザＩＤをアクセスログに記録できる。
　また、セッション管理テーブル１１１，１１１ａ，１１１ｂは、ＭＡＣアドレスの項目を含んでもよい。管理サーバ２００は端末ＭＡＣアドレスを含むセッション情報を中継装置１００，１００ａ，１００ｂに提供してもよい。例えば、中継装置１００におけるクライアント５００などの識別にＭＡＣアドレスを用いたい場合も考えられるからである。
　図１０は、第２の実施の形態の通信データの例を示す図である。図１０では、第２の実施の形態の情報処理システムで送受信される通信データを例示している。フレーム４０は、イーサネットフレーム（イーサネットおよびＥｔｈｅｒｎｅｔは登録商標）の例である。フレーム４０は、プリアンブル、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、タイプ、ペイロード、ＦＣＳ（Frame Check Sequence）のフィールドを含む。
　プリアンブルは同期用の信号を含むフィールドである。宛先ＭＡＣアドレスはＯＳＩ参照モデルの第２層（データリンク層）の経路選択に用いられる宛先のＭＡＣアドレスを設定するフィールドである。送信元ＭＡＣアドレスは送信元のＭＡＣアドレスを設定するフィールドである。タイプは上位層プロトコル（例えば、ＩＰ）を示す情報を設定するフィールドである。ペイロードは上位層プロトコルで扱うデータの本体を設定するフィールドである。ＦＣＳはフレームエラーを検出するための情報を設定するフィールドである。
　ＩＰパケット５０はフレーム４０のペイロードに含まれる。ＩＰパケット５０はデータグラムと呼ばれることもある。ＩＰパケット５０は送信元ＩＰアドレス、宛先ＩＰアドレスおよびデータのフィールドを含む。
　送信元ＩＰアドレスは、ＯＳＩ参照モデルの第３層（ネットワーク層）の経路選択に用いられる送信元のＩＰアドレスを設定するフィールドである。宛先ＩＰアドレスは送信元のＩＰアドレスを設定するフィールドである。データは、通信データ本体を設定するフィールドである。
　データ６０は、ＩＰパケット５０のデータのフィールドに含まれる。例えば、何れかのクライアントが何れかの中継装置に対してログイン認証用の情報を送信する場合、データ６０にはユーザＩＤおよびパスワードが含まれ得る。また、何れかの中継装置が管理サーバ２００に認証依頼などを行う場合、データ６０にはクライアントのＩＰアドレスやＭＡＣアドレスなどが含まれ得る。データ６０に含まれるユーザＩＤ、パスワードおよびアドレス情報などは、ＯＳＩ参照モデルの第７層（アプリケーション層）の情報でもよい。
　次に、第２の実施の形態における各処理の手順を説明する。以下では、クライアント５００が中継装置１００などを介して業務サーバにアクセスする場合を主に例示するが、他のクライアントおよび他の中継装置を用いる場合も同様の手順である。まず、ネットワークログイン認証の手順を説明する。
　図１１は、第２の実施の形態の認証処理の例を示すフローチャートである。以下、図１１に示す処理をステップ番号に沿って説明する。
　（ステップＳ１１）アクセス制御部１２０は、クライアント５００からログイン認証用の情報を受信する。例えば、ユーザＡは、クライアント５００上のＷｅｂブラウザを用いてユーザＩＤやパスワードを入力するためのＷｅｂページ（ログインページ）へアクセスする。例えば、ユーザＡは自身のユーザＩＤ“ＵＩＤ０００１”およびパスワード“ｐａｓｓ１”を当該ログインページに入力する。クライアント５００は、入力された情報（ログイン認証用の情報）を含むフレームを中継装置１００へ宛てて送信する。アクセス制御部１２０は当該フレームを受信する。フレーム内のＩＰパケットには、送信元ＩＰアドレスおよび送信元ＭＡＣアドレスが含まれる。この場合、送信元ＩＰアドレスは“５０．２２３．３．４”である。送信元ＭＡＣアドレスは所定のＭＡＣアドレスである。アクセス制御部１２０は、これらのアドレス情報も抽出して、ログイン認証用の情報に加える。
　（ステップＳ１２）アクセス制御部１２０は、ログイン認証用の情報を含む認証依頼を管理サーバ２００に送信する。ログイン認証用の情報は、ＩＰパケットのデータ部分に格納されて管理サーバ２００に送信される。管理部２２０は中継装置１００から認証依頼を受信する。
　（ステップＳ１３）管理部２２０は、記憶部２１０に記憶されたユーザ管理テーブル２１１を参照して、ユーザＩＤとパスワードとを照合する。照合成功である場合、処理をステップＳ１４に進める。照合成功でない（照合失敗）の場合、処理をステップＳ１９に進める。具体的には、認証依頼に含まれるユーザＩＤとパスワードとの組がユーザ管理テーブル２１１に登録されていれば照合成功である。認証依頼に含まれるユーザＩＤとパスワードとの組がユーザ管理テーブル２１１に登録されていなければ照合失敗である。
　（ステップＳ１４）管理部２２０は、記憶部２１０に記憶されたアクセス管理テーブル２１２を参照して、ＡＣＬを検索する。検索のキーは、認証依頼に含まれるユーザＩＤ、送信元ＩＰアドレスおよび送信元ＭＡＣアドレスである。管理部２２０は、少なくともユーザＩＤが一致するレコードがあれば、該当のレコードを検索結果として抽出する。検索結果が複数件になる場合もある。その場合は、一致するキーが最大のものを１件抽出して検索結果とする。本例の場合は、ユーザＩＤ“ＵＩＤ０００１”、クライアント５００のＩＰアドレス“５０．２２３．３．４”（および送信元ＭＡＣアドレス）を取得している。この場合、“ＲＯＬＥ３”のレコードが検索結果として得られることになる。
　（ステップＳ１５）管理部２２０は、ステップＳ１４においてＡＣＬを検索できたか否かを判定する。検索できた場合、処理をステップＳ１６に進める。検索できなかった場合、処理をステップＳ１９に進める。
　（ステップＳ１６）管理部２２０は、処理中のユーザにつき多重接続の制約があるか否かを判定する。多重接続の制約がある場合、処理をステップＳ１９に進める。多重接続の制約がない場合、処理をステップＳ１７に進める。多重接続の制約があるとは次の場合である。すなわち、（１）処理中のユーザにつきユーザ管理テーブル２１１の多重接続設定が“不可”であり、かつ、（２）当該ユーザにつき認証依頼で受け付けた送信元ＩＰアドレスとは別の端末ＩＰアドレスのレコードが接続管理テーブル２１３に登録済の場合である。（１）、（２）の何れか一方が満たされていない場合は、多重接続の制約はないと判定する。
　（ステップＳ１７）管理部２２０は、接続管理テーブル２１３を更新する。具体的には、管理部２２０は認証依頼で受け付けたユーザＩＤ、送信元ＩＰアドレス（端末ＩＰアドレス）およびステップＳ１４で検索したレコードのＲＯＬＥ番号（適用ＲＯＬＥ）を接続管理テーブル２１３に登録する。また、認証依頼（のフレームに含まれるＩＰパケット）には、送信元ＩＰアドレスとして中継装置１００のＩＰアドレスが設定されている。よって、当該中継装置１００のＩＰアドレス（中継装置ＩＰアドレス）も接続管理テーブル２１３に登録する。
　（ステップＳ１８）管理部２２０は、アクセス管理テーブル２１２に基づいて、セッション情報を生成する。具体的には、ステップＳ１４で検索したＲＯＬＥのＲＯＬＥ番号、端末ＩＰアドレスおよびＡＣＬの組み合わせをセッション情報とする。ステップＳ１４で“ＲＯＬＥ３”を取得している場合、当該レコードには端末ＩＰアドレスが未設定である。この場合、管理部２２０は認証依頼で受け付けた送信元ＩＰアドレスを端末ＩＰアドレスに設定してセッション情報とする。ユーザＩＤも提供する場合、管理部２２０はセッション情報にユーザＩＤを含めて提供してもよい（以下、同様）。管理部２２０は、当該セッション情報と認証成功とを中継装置１００に応答する。そして、処理をステップＳ２０に進める。
　（ステップＳ１９）管理部２２０は、認証失敗を中継装置１００に応答する。
　（ステップＳ２０）アクセス制御部１２０は、認証依頼に対する応答を管理サーバ２００から受信し、当該応答に基づいて認証成功であるか否かを判定する。認証成功である場合、処理をステップＳ２１に進める。認証失敗である場合、処理をステップＳ２３に進める。
　（ステップＳ２１）アクセス制御部１２０は、認証成功とともに受信したセッション情報を記憶部１１０に記憶されたセッション管理テーブル１１１に登録する。上記の例では、セッション管理テーブル１１１に“ＲＯＬＥ３”のレコードが登録されることになる。
　（ステップＳ２２）アクセス制御部１２０は、クライアント５００に認証成功を応答する。そして、処理を終了する。
　（ステップＳ２３）アクセス制御部１２０は、クライアント５００に認証失敗を応答する。そして、処理を終了する。
　このようにして、中継装置１００および管理サーバ２００は、ネットワークログイン認証を行う。ステップＳ１８では、受け付けた送信元ＩＰアドレスと一致する端末ＩＰアドレスのレコードが存在しない場合でも、対応するユーザにつき所定のＲＯＬＥ（端末ＩＰアドレスが設定されていないＲＯＬＥ）を抽出してセッション情報を生成する。このため、例えば、クライアント５００のＩＰアドレスが動的に割り当てられている場合にも当該所定のＲＯＬＥを適用することができる。具体的には、クライアント５００が移動通信網を介して通信する場合やクライアント６００に固定のＩＰアドレスを割り当てない場合など、ＤＨＣＰ（Dynamic Host Configuration Protocol）を用いてクライアントに動的にＩＰアドレスが割り当てられることもある。すなわち、クライアントに静的ＩＰアドレスが割り当てられている場合に限らず、動的ＩＰアドレスが割り当てられている場合にもクライアントからのアクセス制御が可能である。
　なお、ステップＳ１８では、アクセス管理テーブル２１２のＲＯＬＥにおいて、端末ＩＰアドレスが未設定のものを用いてセッション情報を生成する際に、中継装置１００から取得したクライアント６００のＩＰアドレスを管理部２２０が設定するものとした。一方、アクセス制御部１２０が当該設定の処理を行ってもよい。具体的には、管理部２２０は、“ＲＯＬＥ３”について端末ＩＰアドレスを未設定の状態でセッション情報を生成し、中継装置１００に送る。そして、ステップＳ２１において、アクセス制御部１２０の責任によりステップＳ１１で抽出した送信元ＩＰアドレスを当該セッション情報に設定して、セッション管理テーブル１１１に登録する。
　また、ユーザ管理テーブル２１１でパスワードを管理するものとしたが、アクセス管理テーブル２１２でパスワードを管理してもよい。そうすれば、同一ユーザであってもＲＯＬＥごとに異なるパスワードを認証用に利用できる。すなわち、管理部２２０は、ステップＳ１４においてＡＣＬを検索する際にパスワードもキーに用いる。この場合、ステップＳ１３をスキップしてもよい。
　次に、中継装置１００による通信データの中継処理の手順を説明する。
　図１２は、第２の実施の形態の中継処理の例を示すフローチャートである。以下、図１２に示す処理をステップ番号に沿って説明する。
　（ステップＳ３１）アクセス制御部１２０は、中継対象の通信データを受信する。例えば、この通信データはクライアント５００が業務サーバ３００へ宛てて送信したリクエストである。その場合、当該リクエストの宛先ＩＰアドレスは“１９２．１６８．１０．１０１”である。また、当該リクエストの送信元ＩＰアドレスは“５０．２２３．３．４”である。アクセス制御部１２０は、通信データのＩＰパケットから送信元ＩＰアドレスを抽出する。
　（ステップＳ３２）アクセス制御部１２０は、記憶部１１０に記憶されたセッション管理テーブル１１１を参照して、当該送信元ＩＰアドレスに対応するセッション情報があるか否かを判定する。送信元ＩＰアドレスに対応するセッション情報がある場合、処理をステップＳ３８に進める。送信元ＩＰアドレスに対応するセッション情報がない場合、処理をステップＳ３３に進める。
　（ステップＳ３３）アクセス制御部１２０は、当該送信元ＩＰアドレスが接続管理テーブル２１３に登録済であるか否かを問い合わせるための確認要求を管理サーバ２００に送信する。この確認要求を認証の確認要求と呼ぶことがある。このように呼ぶ理由は次の通りである。図１１で説明した認証処理に成功していれば（認証済であれば）、管理サーバ２００は接続管理テーブル２１３に当該送信元ＩＰアドレスを登録しているはずである。このため、当該送信元ＩＰアドレスが接続管理テーブル２１３に登録済であるか否かの確認は、結果的に認証処理の成否（認証済か否か）を確認することになるからである。当該確認要求に対する管理サーバ２００の処理手順は後述する。
　（ステップＳ３４）アクセス制御部１２０は、認証の確認要求に対する応答を管理サーバ２００から受信する。当該応答には、認証済であるか否かの確認結果が含まれる。また、確認結果が認証済である場合、適用ＲＯＬＥに対応するセッション情報が当該応答に含まれる。セッション情報はステップＳ３１で抽出された送信元ＩＰアドレスとＡＣＬとの組み合わせを含む。
　（ステップＳ３５）アクセス制御部１２０は、当該応答に基づいて認証済であるか否かを判定する。認証済である場合、処理をステップＳ３６に進める。認証済でない場合、処理をステップＳ３７に進める。
　（ステップＳ３６）アクセス制御部１２０は、受信したセッション情報をセッション管理テーブル１１１に登録する。そして、処理をステップＳ３８に進める。
　（ステップＳ３７）アクセス制御部１２０は、ログインページにリダイレクトさせる。例えば、クライアント５００から受信したＨＴＴＰのリクエスト（ステップＳ３１のリクエスト）を、ログインページのＵＲＬを指定したリクエストに置き換えて転送する。ログインページの提供は中継装置１００が行ってもよいし、他のＷｅｂサーバが行ってもよい。すると、クライアント５００のＷｅｂブラウザにはログインページが表示され、ユーザＩＤやパスワード（認証用の情報）の入力がユーザに促される。そして、処理を終了する。ユーザＩＤおよびパスワードを受け付けた後の手順は図１１の認証処理の手順となる。この場合、ステップＳ３１で受信した通信データの中継は行われないことになる。例えば、当該通信データをＲＡＭなどに格納して中継を保留しておき、認証に成功した後に、中継を行うかを再度判断するようにしてもよい。
　（ステップＳ３８）アクセス制御部１２０は、セッション管理テーブル１１１を参照して、ステップＳ３１で抽出された送信元／宛先ＩＰアドレス間の中継が許容されているか否かを判定する。中継が許容されている場合、処理をステップＳ３９に進める。中継が許容されていない場合、処理をステップＳ４０に進める。
　（ステップＳ３９）アクセス制御部１２０は、ステップＳ３１で受信した通信データをスイッチ部１０４に出力する。スイッチ部１０４は宛先ＩＰアドレスに対して通信データを転送する（通信データが中継される）。そして、処理を終了する。
　（ステップＳ４０）アクセス制御部１２０は、ステップＳ３１で受信した通信データを破棄する。すなわち、当該通信データを中継しない。そして、処理を終了する。
　このようにして、中継装置１００は通信データの中継を行う。中継装置１００は、通信データに含まれる送信元ＩＰアドレスおよび宛先ＩＰアドレスの組み合わせと、セッション管理テーブル１１１とを照合して、通信データを中継するか否かを判定する。通信データを中継しない場合には、当該宛先ＩＰアドレスへのアクセスが許可されていない旨をクライアント５００に通知してもよい。
　また、ステップＳ３３，Ｓ３４のように管理サーバ２００に認証の確認要求を行う理由は、１つのクライアントが複数の中継装置を介して異なる業務サーバにアクセスする可能性があるからである。例えば、クライアント６００，６００ａは中継装置１００ａ，１００ｂの両方を経由して業務サーバ４００，４００ａにアクセスする可能性がある。認証の確認要求を行うことで、ユーザに対して中継装置１００ａで認証操作を行った後、中継装置１００ｂで再度の認証操作を課さずに済む。よって、再度の認証操作を課す場合よりもユーザの手間を省ける。
　次に、ステップＳ３３，Ｓ３４の間で実行される管理サーバ２００の処理手順を説明する。
　図１３は、第２の実施の形態の認証確認例（その１）を示すフローチャートである。以下、図１３に示す処理をステップ番号に沿って説明する。
　（ステップＳ４１）管理部２２０は、ステップＳ３３の確認要求を中継装置１００から受信する。確認要求には確認対象のクライアントのＩＰアドレスが含まれる。
　（ステップＳ４２）管理部２２０は、記憶部２１０に記憶された接続管理テーブル２１３を参照して、当該ＩＰアドレスが登録済であるか否かを判定する。登録済である場合、処理をステップＳ４３に進める。登録済でない場合、処理をステップＳ４５に進める。接続管理テーブル２１３の端末ＩＰアドレスの項目に、当該ＩＰアドレスが設定されたレコードが存在する場合、登録済である。一方、接続管理テーブル２１３の端末ＩＰアドレスの項目に当該ＩＰアドレスが設定されたレコードが存在しない場合、登録済でない。
　（ステップＳ４３）管理部２２０は、接続管理テーブル２１３を更新する。具体的には、管理部２２０は確認要求で受け付けたクライアントのＩＰアドレス（端末ＩＰアドレス）を含むレコードを接続管理テーブル２１３に追加する。追加されるレコードは、ステップＳ４２で登録済と判断した根拠となるレコードのユーザＩＤおよび適用ＲＯＬＥの設定値を含む。また、追加されるレコードは、確認要求の送信元ＩＰアドレスである中継装置１００のＩＰアドレス（中継装置ＩＰアドレス）を含む。具体的には、確認要求（のフレームに含まれるＩＰパケット）は送信元ＩＰアドレスとして中継装置１００のＩＰアドレスを含む。このＩＰアドレスを当該レコードの中継装置ＩＰアドレスの項目に設定する。
　（ステップＳ４４）管理部２２０は、アクセス管理テーブル２１２に基づいて、セッション情報を生成する。具体的には、ステップＳ４３で新たなレコードに設定した適用ＲＯＬＥのＲＯＬＥ番号、端末ＩＰアドレスおよび当該ＲＯＬＥ番号に対応するＡＣＬの組み合わせをセッション情報とする。そして、管理部２２０は、確認要求に対して、認証済である旨を中継装置１００に応答する。当該応答には、生成したセッション情報が含まれる。そして、処理を終了する。
　（ステップＳ４５）管理部２２０は、確認要求に対して未認証である旨を中継装置１００に応答する。そして、処理を終了する。
　このようにして、管理サーバ２００は中継装置１００からの確認要求に対して認証確認の処理を実行する。次に、図１１～１３の手順を実行する中継装置１００，１００ａ，１００ｂおよび管理サーバ２００の通信の具体例を説明する。
　図１４は、第２の実施の形態の通信の具体例（その１）を示す図である。以下、図１４に示す処理をステップ番号に沿って説明する。ステップＳＴ１０１の直前では、セッション管理テーブル１１１および接続管理テーブル２１３のエントリ（登録されたレコード）はないものとする。
　（ステップＳＴ１０１）クライアント５００は、ログインページでユーザＡにより入力されたログイン認証用の情報を中継装置１００に送信する。当該認証用の情報には、ユーザＩＤ“ＵＩＤ０００１”およびパスワード“ｐａｓｓ１”が含まれる。中継装置１００は認証用の情報を受信する。認証用の情報は、図１０で説明したフレームを用いて中継装置１００に送られる。
　（ステップＳＴ１０２）中継装置１００は、当該フレームから送信元ＩＰアドレス“５０．２２３．３．４”および送信元ＭＡＣアドレスを抽出する。中継装置１００は送信元ＩＰアドレスおよび送信元ＭＡＣアドレスを、ステップＳＴ１０１で受信した認証用の情報に加える。すなわち、抽出した送信元ＩＰアドレスおよび送信元ＭＡＣアドレスをＩＰパケットのデータ部分に設定した新たなフレームを生成する。中継装置１００は、当該フレームを管理サーバ２００に送信する。このフレームは認証依頼に相当する。認証依頼は、ユーザＩＤ、パスワード、ステップＳＴ１０１で受信したフレームの送信元ＩＰアドレスおよび送信元ＭＡＣアドレスを認証用の情報として含む。管理サーバ２００は認証依頼を受信する。
　（ステップＳＴ１０３）管理サーバ２００は、認証依頼に含まれるユーザＩＤおよびパスワードを、ユーザ管理テーブル２１１の登録内容と照合する。ユーザ管理テーブル２１１には、ユーザＩＤ“ＵＩＤ０００１”とパスワード“ｐａｓｓ１”との組が登録されている。このため本照合は成功する。また、ユーザＩＤ“ＵＩＤ０００１”、送信元ＩＰアドレス“５０．２２３．３．４”に対して、アクセス管理テーブル２１２にはユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“－”、ＭＡＣアドレス“－”の“ＲＯＬＥ３”が存在する。管理サーバ２００は適用ＲＯＬＥとして“ＲＯＬＥ３”を特定する。また、ユーザ管理テーブル２１１によれば、ユーザＡには多重接続の制約はない（多重接続設定が“可”であるため）。よって、管理サーバ２００は“ＲＯＬＥ３”を用いて送信元ＩＰアドレス“５０．２２３．３．４”を含むセッション情報を生成し、認証成功の通知とともに、中継装置１００に送信する。中継装置１００はセッション情報と認証成功の通知とを受信する。また、管理サーバ２００は接続管理テーブル２１３の更新も行う。具体的には、ユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“５０．２２３．３．４”、中継装置ＩＰアドレス“１９２．１６８．１０．１”、適用ＲＯＬＥ“ＲＯＬＥ３”のレコードを接続管理テーブル２１３に追加する。
　（ステップＳＴ１０４）中継装置１００は、受信したセッション情報をセッション管理テーブル１１１に登録する。この場合、ＲＯＬＥ“３”、端末ＩＰアドレス“５０．２２３．３．４”、ＡＣＬ“１９２．１６８．１０．１０１”のレコードがセッション管理テーブル１１１に登録されることになる。中継装置１００は、認証成功の通知をクライアント５００に送信する。クライアント５００は認証成功の通知を受信する。
　（ステップＳＴ１０５）クライアント５００は、業務サーバ３００へ宛てたリクエストを送信する。例えば、リクエストの宛先ＩＰアドレスは “１９２．１６８．１０．１０１”である。また、送信元ＩＰアドレスは“５０．２２３．３．４”である。中継装置１００は当該リクエストを受信する。
　（ステップＳＴ１０６）中継装置１００は、受信したリクエストのＩＰパケットに含まれる送信元／宛先ＩＰアドレスの組を、セッション管理テーブル１１１の登録内容と照合する。セッション管理テーブル１１１には、ステップＳＴ１０４で登録された“ＲＯＬＥ３”のレコードが存在する。すなわち、当該リクエストの中継は許容されている。よって、中継装置１００は業務サーバ３００に対して当該リクエストを転送する。業務サーバ３００は当該リクエストを受信する。
　（ステップＳＴ１０７）業務サーバ３００は、受信したリクエストに応じた処理を実行する。業務サーバ３００は、処理結果に応じたレスポンスをクライアント５００に送信する。当該レスポンスは、中継装置１００を介してクライアント５００に送信される。前述のように中継装置１００は、業務サーバ３００からクライアント５００への通信についても、セッション管理テーブル１１１に基づいて中継が許容されていると判断する。よって、中継装置１００は当該レスポンスを中継する。クライアント５００は当該レスポンスを受信する。
　（ステップＳＴ１０８）クライアント５００は、業務サーバ３００ａへ宛てたリクエストを送信する。当該リクエストはファイアウォール１１を介して中継装置１００へ転送される。当該リクエストのＩＰパケットに含まれる宛先ＩＰアドレスは“１９２．１６８．１０．１０２”である。送信元ＩＰアドレスは“５０．２２３．３．４”である。中継装置１００は当該リクエストを受信する。
　（ステップＳＴ１０９）中継装置１００は、受信したリクエストのＩＰパケットに含まれる送信元／宛先ＩＰアドレスの組を、セッション管理テーブル１１１の登録内容と照合する。この時点でセッション管理テーブル１１１には、送信元ＩＰアドレス“５０．２２３．３．４”を含むレコードは存在する。しかし、対応するＡＣＬには宛先ＩＰアドレス“１９２．１６８．１０．１０２”は含まれていない。すなわち、当該リクエストの中継は許容されていない。よって、中継装置１００は当該リクエストの中継を行わずに、当該リクエストを破棄する。
　このように、クライアント５００はネットワークログイン認証を経て、“ＲＯＬＥ３”のＡＣＬに登録された業務サーバ３００にアクセス可能となる。一方、“ＲＯＬＥ３”のＡＣＬで他の業務サーバについてはアクセスが許されていない。このため、中継装置１００により他の業務サーバに対するアクセスは制限される。
　次に、ネットワークログイン認証を経ずに、クライアント５００から業務サーバ３００へのアクセスを受け付けた場合の通信を例示する。
　図１５は、第２の実施の形態の通信の具体例（その２）を示す図である。以下、図１５に示す処理をステップ番号に沿って説明する。ステップＳＴ１１１の直前では、セッション管理テーブル１１１および接続管理テーブル２１３のエントリはないものとする。
　（ステップＳＴ１１１）クライアント５００は、業務サーバ３００へ宛てたリクエストを送信する。当該リクエストはファイアウォール１１を介して中継装置１００へ転送される。中継装置１００はリクエストを受信する。中継装置１００により受信されるリクエストのＩＰパケットに含まれる宛先ＩＰアドレスは“１９２．１６８．１０．１０１”である。送信元ＩＰアドレスは“５０．２２３．３．４”である。
　（ステップＳＴ１１２）中継装置１００は、受信したリクエストのＩＰパケットに含まれる送信元／宛先ＩＰアドレスの組を、セッション管理テーブル１１１の登録内容と照合する。セッション管理テーブル１１１には、この時点でエントリはない。すなわち、送信元ＩＰアドレス“５０．２２３．３．４”を含むレコードは存在しない。よって、中継装置１００は、認証の確認要求を管理サーバ２００に送信する。当該確認要求（ＩＰパケットのデータ部分）には送信元ＩＰアドレス“５０．２２３．３．４”が含まれる。管理サーバ２００は確認要求を受信する。
　（ステップＳＴ１１３）管理サーバ２００は、確認要求に含まれる送信元ＩＰアドレスを、接続管理テーブル２１３の登録内容と照合する。接続管理テーブル２１３には、この時点でエントリはない。すなわち、送信元ＩＰアドレス“５０．２２３．３．４”を含むレコードは存在しない。よって、管理サーバ２００は、未認証である旨を中継装置１００に応答する。中継装置１００は当該応答を受信する。
　（ステップＳＴ１１４）中継装置１００は、受信したリクエストをログインページへリダイレクトさせる。中継装置１００がログインページを提供可能な場合には、例えば、当該ログインページのデータをクライアント５００に提供する。クライアント５００はログインページのデータを受信する。他のＷｅｂサーバが提供するログインページにリダイレクトさせてもよい。すると、クライアント５００のＷｅｂブラウザはログインページをユーザＡに提示する。
　（ステップＳＴ１１５）クライアント５００は、ログインページでユーザＡにより入力されたログイン認証用の情報を中継装置１００に送信する。当該認証用の情報には、ユーザＩＤ“ＵＩＤ０００１”およびパスワード“ｐａｓｓ１”が含まれる。中継装置１００は認証用の情報（フレーム）を受信する。
　（ステップＳＴ１１６）中継装置１００は、受信したフレームから送信元ＩＰアドレス“５０．２２３．３．４”および送信元ＭＡＣアドレスを抽出する。中継装置１００は、抽出した送信元ＩＰアドレスおよび送信元ＭＡＣアドレスをＩＰパケットのデータ部分に設定した新たなフレーム（認証依頼）を生成し、管理サーバ２００に送信する。管理サーバ２００は認証依頼を受信する。認証依頼にはユーザＩＤおよびパスワードも含まれる。
　（ステップＳＴ１１７）管理サーバ２００は、図１４のステップＳＴ１０３と同様にして、セッション情報を生成する。また、接続管理テーブル２１３に新たなレコードを追加する。管理サーバ２００は、生成したセッション情報と認証成功の通知とを中継装置１００に送信する。中継装置１００はセッション情報と認証成功の通知とを受信する。
　（ステップＳＴ１１８）中継装置１００は、図１４のステップＳＴ１０４と同様に、管理サーバ２００から受信したセッション情報をセッション管理テーブル１１１に登録する。中継装置１００は、認証成功の通知をクライアント５００に送信する。クライアント５００は認証成功の通知を受信する。
　以後、図１４のステップＳＴ１０５以降と同様の手順により、クライアント５００から業務サーバ３００へのアクセスが可能となる。次に、ユーザＡがクライアント５００，６００の両方を用いてネットワークログイン認証を行う場合を例示する。
　図１６は、第２の実施の形態の通信の具体例（その３）を示す図である。以下、図１６に示す処理をステップ番号に沿って説明する。ステップＳＴ１２１の直前では、セッション管理テーブル１１１，１１１ａおよび接続管理テーブル２１３のエントリはないものとする。
　（ステップＳＴ１２１）クライアント５００は、ログインページでユーザＡにより入力されたログイン認証用の情報を中継装置１００に送信する。当該認証用の情報には、ユーザＩＤ“ＵＩＤ０００１”およびパスワード“ｐａｓｓ１”が含まれる。中継装置１００は認証用の情報（フレーム）を受信する。
　（ステップＳＴ１２２）中継装置１００は、受信したフレームから送信元ＩＰアドレス“５０．２２３．３．４”および送信元ＭＡＣアドレスを抽出する。中継装置１００は、抽出した送信元ＩＰアドレスおよび送信元ＭＡＣアドレスをＩＰパケットのデータ部分に設定した新たなフレーム（認証依頼）を生成し、管理サーバ２００に送信する。管理サーバ２００は認証依頼を受信する。認証依頼にはユーザＩＤおよびパスワードも含まれる。
　（ステップＳＴ１２３）管理サーバ２００は、図１４のステップＳＴ１０３と同様にして、セッション情報を生成する。また、接続管理テーブル２１３にレコードを追加する。具体的には、ユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“５０．２２３．３．４”、中継装置ＩＰアドレス“１９２．１６８．１０．１”、適用ＲＯＬＥ“ＲＯＬＥ３”のレコードである。管理サーバ２００は、生成したセッション情報と認証成功の通知とを中継装置１００に送信する。中継装置１００はセッション情報と認証成功の通知とを受信する。
　（ステップＳＴ１２４）中継装置１００は、図１４のステップＳＴ１０４と同様に、管理サーバ２００から受信したセッション情報（“ＲＯＬＥ３”のレコード）をセッション管理テーブル１１１に登録する。中継装置１００は、認証成功の通知をクライアント５００に送信する。クライアント５００は認証成功の通知を受信する。
　（ステップＳＴ１２５）クライアント６００は、ログインページでユーザＡにより入力されたログイン認証用の情報を中継装置１００ａに送信する。当該認証用の情報には、ユーザＩＤ“ＵＩＤ０００１”およびパスワード“ｐａｓｓ１”が含まれる。中継装置１００ａは認証用の情報（フレーム）を受信する。
　（ステップＳＴ１２６）中継装置１００ａは、受信したフレームから送信元ＩＰアドレス“１９２．１６８．１０．１１”および送信元ＭＡＣアドレス“０８－ｂ４－２５－９ｅ－０ｃ－４６”を抽出する。中継装置１００ａは、抽出した送信元ＩＰアドレスおよび送信元ＭＡＣアドレスをＩＰパケットのデータ部分に設定した新たなフレーム（認証依頼）を生成し、管理サーバ２００に送信する。管理サーバ２００は認証依頼を受信する。認証依頼にはユーザＩＤおよびパスワードも含まれる。
　（ステップＳＴ１２７）管理サーバ２００は、認証依頼に含まれるユーザＩＤおよびパスワードを、ユーザ管理テーブル２１１の登録内容と照合する。ユーザ管理テーブル２１１には、ユーザＩＤ“ＵＩＤ０００１”とパスワード“ｐａｓｓ１”との組が登録されている。このため、本照合は成功する。また、ユーザＩＤ“ＵＩＤ０００１”、送信元ＩＰアドレス“１９２．１６８．１０．１１”、送信元ＭＡＣアドレス“０８－ｂ４－２５－９ｅ－０ｃ－４６”を含むレコードとして、アクセス管理テーブル２１２には“ＲＯＬＥ１”が存在する。管理サーバ２００は適用ＲＯＬＥとして“ＲＯＬＥ１”を特定する。更に、接続管理テーブル２１３にはステップＳＴ１２３で“ＲＯＬＥ３”のレコードが既に追加されている。これに対し、ユーザ管理テーブル２１１によればユーザＩＤ“ＵＩＤ０００１”は多重接続設定が“可”である。よって、管理サーバ２００は“ＲＯＬＥ１”での新たな接続が許容されている（すなわち、多重接続の制約がない）と判断する。
　（ステップＳＴ１２８）管理サーバ２００は、アクセス管理テーブル２１２の“ＲＯＬＥ１”を用いてセッション情報を生成し、認証成功の通知とともに、中継装置１００ａに送信する。中継装置１００ａはセッション情報と認証成功の通知とを受信する。管理サーバ２００は接続管理テーブル２１３の更新も行う。具体的には、ユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“１９２．１６８．１０．１１”、中継装置ＩＰアドレス“１９２．１６８．１０．２”、適用ＲＯＬＥ“ＲＯＬＥ１”のレコードを接続管理テーブル２１３に追加する。
　（ステップＳＴ１２９）中継装置１００ａは、管理サーバ２００から受信したセッション情報をセッション管理テーブル１１１ａに登録する（“ＲＯＬＥ１”のレコード）。中継装置１００ａは、認証成功の通知をクライアント６００に送信する。クライアント６００は認証成功の通知を受信する。
　このようにして、ユーザ管理テーブル２１１の設定により、多重接続を許容するか否かを制御できる。ユーザ管理テーブル２１１において、ユーザＡ（“ＵＩＤ０００１”）は多重接続設定が“可”である。このため、ユーザＡはクラアント５００，６００の両方を用いて業務サーバにアクセス可能となる。これに対し、ユーザＢ（“ＵＩＤ０００２”）は多重接続設定が“不可”である。このため、ユーザＢに対しては複数のクライアントを用いたアクセスは許容されていないことになる。
　また、このように多重接続した場合にも、クライアント５００，６００からアクセス可能な業務サーバの範囲は、クライアント５００，６００の通信を中継する中継装置１００，１００ａそれぞれにより制限されることになる。アクセス可能な業務サーバの範囲は、クライアント５００，６００で相違し得る。このように、１ユーザが複数のクライアントを利用する場合にもクライアント単位のアクセス制御を行える。
　次に、クライアント６００から中継装置１００ａ，１００ｂを介したアクセスを行う場合を例示する。
　図１７は、第２の実施の形態の通信の具体例（その４）を示す図である。以下、図１７に示す処理をステップ番号に沿って説明する。ステップＳＴ１３１の直前では、セッション管理テーブル１１１ａ，１１１ｂおよび接続管理テーブル２１３のエントリはないものとする。
　（ステップＳＴ１３１）クライアント６００は、ログインページでユーザＡにより入力されたログイン認証用の情報を中継装置１００ａに送信する。当該認証用の情報には、ユーザＩＤ“ＵＩＤ０００１”およびパスワード“ｐａｓｓ１”が含まれる。中継装置１００ａは認証用の情報（フレーム）を受信する。
　（ステップＳＴ１３２）中継装置１００ａは、受信したフレームから送信元ＩＰアドレス“１９２．１６８．１０．１１”および送信元ＭＡＣアドレス“０８－ｂ４－２５－９ｅ－０ｃ－４６”を抽出する。中継装置１００ａは、抽出した送信元ＩＰアドレスおよび送信元ＭＡＣアドレスをＩＰパケットのデータ部分に設定した新たなフレーム（認証依頼）を生成し、管理サーバ２００に送信する。管理サーバ２００は認証依頼を受信する。認証依頼にはユーザＩＤおよびパスワードも含まれる。
　（ステップＳＴ１３３）管理サーバ２００は、ユーザＩＤとパスワードの照合などを行い、また、アクセス管理テーブル２１２を参照して“ＲＯＬＥ１”のセッション情報を生成する。“ＲＯＬＥ１”が選択される理由は、ユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“１９２．１６８．１０．１１”および送信元ＭＡＣアドレス“０８－ｂ４－２５－９ｅ－０ｃ－４６”を含み、これらが認証依頼に含まれる情報に一致するからである。また、接続管理テーブル２１３にレコードを追加する。具体的には、“ＵＩＤ０００１”、端末ＩＰアドレス“１９２．１６８．１０．１１”、中継装置ＩＰアドレス“１９２．１６８．１０．２”、適用ＲＯＬＥ“ＲＯＬＥ１”のレコードである。管理サーバ２００は、生成したセッション情報と認証成功の通知とを中継装置１００ａに送信する。中継装置１００ａはセッション情報と認証成功の通知とを受信する。
　（ステップＳＴ１３４）中継装置１００ａは、管理サーバ２００から受信したセッション情報をセッション管理テーブル１１１ａに登録する（“ＲＯＬＥ１”のレコード）。中継装置１００ａは、認証成功の通知をクライアント６００に送信する。クライアント６００は認証成功の通知を受信する。
　（ステップＳＴ１３５）クライアント６００は、業務サーバ４００へ宛てたリクエストを送信する。当該リクエストは中継装置１００ａへ転送される。当該リクエストのＩＰパケットに含まれる宛先ＩＰアドレスは“１９２．１６８．２０．１０１”である。送信元ＩＰアドレスは“１９２．１６８．１０．１１”である。中継装置１００ａは当該リクエストを受信する。
　（ステップＳＴ１３６）中継装置１００ａは、受信したリクエストのＩＰパケットに含まれる送信元／宛先ＩＰアドレスの組を、セッション管理テーブル１１１ａの登録内容と照合する。セッション管理テーブル１１１ａには、ステップＳＴ１３４で登録された“ＲＯＬＥ１”のレコードが存在する。“ＲＯＬＥ１”では、端末ＩＰアドレス“１９２．１６８．１０．１１”に対し、ＡＣＬに“１９２．１６８．２０．１０１”がある。すなわち、当該リクエストの中継は許容されている。よって、中継装置１００ａは業務サーバ４００に対して当該リクエストを転送する。業務サーバ４００への通信経路には、中継装置１００ｂが存在している。中継装置１００ｂは当該リクエストを受信する。
　（ステップＳＴ１３７）中継装置１００ｂは、受信したリクエストのＩＰパケットに含まれる送信元／宛先ＩＰアドレスの組を、セッション管理テーブル１１１ｂの登録内容と照合する。セッション管理テーブル１１１ｂには、この時点でエントリはない。すなわち、送信元ＩＰアドレス“１９２．１６８．１０．１１”を含むレコードは存在しない。よって、中継装置１００ｂは、認証の確認要求を管理サーバ２００に送信する。当該確認要求（ＩＰパケットのデータ部分）にはクライアント６００のＩＰアドレス“１９２．１６８．１０．１１”が含まれる。管理サーバ２００は確認要求を受信する。なお、中継装置１００ｂは、ステップＳＴ１３６で受信したリクエストを保留する（例えば、ＲＡＭに格納する）。
　（ステップＳＴ１３８）管理サーバ２００は、確認要求に含まれる送信元ＩＰアドレスを、接続管理テーブル２１３の登録内容と照合する。接続管理テーブル２１３には、ステップＳＴ１３３で登録されたレコードが存在する。このレコードの端末ＩＰアドレスは“１９２．１６８．１０．１１”である。これは確認対象のクライアント６００のＩＰアドレスと一致するので、管理サーバ２００は認証済であると判断する。管理サーバ２００は、当該レコードから適用ＲＯＬＥ“ＲＯＬＥ１”を特定する。管理サーバ２００は、アクセス管理テーブル２１２の“ＲＯＬＥ１”を参照して、セッション情報を生成する。管理サーバ２００は、生成したセッション情報と認証済の通知とを中継装置１００ｂに送信する。中継装置１００ｂはセッション情報と認証済の通知とを受信する。管理サーバ２００は、接続管理テーブル２１３にレコードを追加する。具体的には、ユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“１９２．１６８．１０．１１”、中継装置ＩＰアドレス“１９２．１６８．２０．１”、適用ＲＯＬＥ“ＲＯＬＥ１”のレコードである。
　（ステップＳＴ１３９）中継装置１００ｂは、管理サーバ２００から受信したセッション情報をセッション管理テーブル１１１ｂに登録する（“ＲＯＬＥ１”のレコード）。中継装置１００ｂは、ステップＳＴ１３７で中継を保留したリクエストのＩＰパケットに含まれる送信元／宛先ＩＰアドレスの組を、セッション管理テーブル１１１ｂの登録内容と照合する。この時点でセッション管理テーブル１１１ｂには“ＲＯＬＥ１”のレコードが存在する。“ＲＯＬＥ１”では、端末ＩＰアドレス“１９２．１６８．１０．１１”に対し、ＡＣＬに“１９２．１６８．２０．１０１”が含まれる。すなわち、当該リクエストの中継は許容されている。よって、中継装置１００ｂは業務サーバ４００に対して当該リクエストを転送する。業務サーバ４００は当該リクエストを受信する。
　（ステップＳＴ１４０）業務サーバ４００は、受信したリクエストに応じた処理を実行する。業務サーバ４００は、処理結果に応じたレスポンスをクライアント６００に送信する。当該レスポンスは中継装置１００ｂ，１００ａの順に経由してクライアント６００に転送される。クライアント６００は当該レスポンスを受信する。
　このようにして、クライアント６００は、中継装置１００ａ，１００ｂを介して業務サーバ４００にアクセスできる。すなわち、１つのクライアントから複数の中継装置を介して業務サーバにアクセスする場合にも、最初の中継装置に適用されたＲＯＬＥを用いて、適正にアクセス制御を行える。このとき、中継装置１００ｂはユーザＡに対してログイン認証用の情報を再度入力させずに済むので、ユーザＡによる重複した情報を入力する手間を省ける。また、認証処理を重複して行わずに済む。
　これまでの説明では、中継装置１００，１００ａ，１００ｂと管理サーバ２００との間の認証の流れを例示した。これに対し、管理サーバ２００は、業務サーバ３００，３００ａ，４００，４００ａに認証結果を提供してもよい。例えば、業務サーバ３００，３００ａ，４００，４００ａで動作する業務アプリケーションが個別にユーザ認証を行うことがある。この場合に、管理サーバ２００の認証結果を流用することが考えられる。そうすれば、各業務アプリケーションに対する一括認証が可能である。このような一括認証はシングルサインオンと呼ばれることがある。
　以下では、そのための管理サーバ２００の処理手順を説明する。なお、管理サーバ２００と業務サーバ３００との間の処理を説明するが、業務サーバ３００ａ，４００，４００ａについても同様の処理手順である。
　図１８は、第２の実施の形態の認証確認例（その２）を示すフローチャートである。以下、図１８に示す処理をステップ番号に沿って説明する。
　（ステップＳ５１）管理部２２０は、業務サーバ３００から認証の確認要求を受信する。確認要求には確認対象のＩＰアドレスが含まれる。ここで、確認対象のＩＰアドレスとは、業務サーバ３００へアクセスしてきたクライアントのＩＰアドレスである。例えば、クライアント５００であれば、当該ＩＰアドレスは“５０．２２３．３．４”である。例えば、業務サーバ３００では認証確認用のエージェントが実行される。例えば、当該エージェントは、クライアントからのリクエストを受信すると、管理サーバ２００に認証の確認要求を送信する。
　（ステップＳ５２）管理部２２０は、記憶部２１０に記憶された接続管理テーブル２１３を参照して、クライアントのＩＰアドレスが登録済であるか否かを判定する。登録済である場合、処理をステップＳ５３に進める。登録済でない場合、処理をステップＳ５４に進める。例えば、接続管理テーブル２１３の端末ＩＰアドレスの項目に当該ＩＰアドレスが設定されたレコードが存在する場合、当該ＩＰアドレスは登録済である。一方、接続管理テーブル２１３の端末ＩＰアドレスの項目に当該ＩＰアドレスが設定されたレコードが存在しない場合、当該ＩＰアドレスは登録済でない。
　（ステップＳ５３）管理部２２０は、接続管理テーブル２１３から該当レコードに含まれるユーザＩＤを抽出する。管理部２２０は、確認要求に対して、認証済である旨を業務サーバ３００に応答する。当該応答には、抽出したユーザＩＤが含まれる。そして、処理を終了する。
　（ステップＳ５４）管理部２２０は、確認要求に対して未認証である旨を業務サーバ３００に応答する。そして、処理を終了する。
　このように、認証済の場合、業務サーバ３００は管理サーバ２００からユーザＩＤの提供を受ける。そして、業務サーバ３００はクライアントへのサービス提供を開始する。管理サーバ２００が業務サーバ３００にユーザＩＤを提供する理由は、業務サーバが提供するサービスがユーザごとに管理されている場合があり得るからである。例えば、ユーザごとにカスタマイズされたＧＵＩを提供する、業務サーバ単位でユーザごとに利用可能な機能を制限する、などが考えられる。次に、このようなシングルサインオンの通信の具体例を説明する。
　図１９は、第２の実施の形態の通信の具体例（その５）を示す図である。以下、図１９に示す処理をステップ番号に沿って説明する。ステップＳＴ１４１の直前では、セッション管理テーブル１１１ａには“ＲＯＬＥ１”のレコードが存在するものとする。接続管理テーブル２１３にはユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“１９２．１６８．１０．１１”、中継装置ＩＰアドレス“１９２．１６８．１０．２”、適用ＲＯＬＥ“ＲＯＬＥ１”のレコードが存在するものとする。
　（ステップＳＴ１４１）クライアント６００は、業務サーバ３００へ宛てたリクエストを送信する。当該リクエストは中継装置１００ａへ転送される。当該リクエストのＩＰパケットに含まれる宛先ＩＰアドレスは“１９２．１６８．１０．１０１”である。送信元ＩＰアドレスは“１９２．１６８．１０．１１”である。中継装置１００ａは当該リクエストを受信する。
　（ステップＳＴ１４２）中継装置１００ａは、受信したリクエストのＩＰパケットに含まれる送信元／宛先ＩＰアドレスの組をセッション管理テーブル１１１ａの登録内容と照合する。セッション管理テーブル１１１ａには“ＲＯＬＥ１”のレコードが存在する。すなわち、当該リクエストの中継は許容されている。よって、中継装置１００ａは業務サーバ３００に対して当該リクエストを転送する。業務サーバ３００は当該リクエストを受信する。例えば、このリクエストは業務サーバ３００がクライアント６００からアクセスの初回に受け付けるリクエストであるものとする。
　（ステップＳＴ１４３）業務サーバ３００は、当該リクエストのＩＰパケットに含まれる送信元ＩＰアドレスを抽出する。送信元ＩＰアドレスは“１９２．１６８．１０．１１”である。業務サーバ３００は、認証の確認要求を管理サーバ２００に送信する。当該確認要求のＩＰパケットのデータ部分には、抽出された送信元ＩＰアドレス（クライアント６００のＩＰアドレス）が含まれる。管理サーバ２００は当該確認要求を受信する。
　（ステップＳＴ１４４）管理サーバ２００は、確認要求に含まれるクライアント６００のＩＰアドレスを、接続管理テーブル２１３の登録内容と照合する。接続管理テーブル２１３には、端末ＩＰアドレスが“１９２．１６８．１０．１１”を含むレコードが存在する。よって、管理サーバ２００は認証済であると判断し、当該レコードに登録されたユーザＩＤ“ＵＩＤ０００１”を取得する。管理サーバ２００はユーザＩＤとともに認証済である旨を業務サーバ３００に応答する。業務サーバ３００は当該応答を受信する。
　（ステップＳＴ１４５）業務サーバ３００は、当該応答により認証済であることを確認する。すると、業務サーバ３００は、ステップＳＴ１４２で受信したリクエストに応じた処理を実行する。その際、管理サーバ２００から提供されたユーザＩＤを用いる。例えば、ユーザごとに異なる業務メニューページを提供する。これにより、ユーザごとにカスタマイズされたサービスを提供できる。業務サーバ３００は、処理結果に応じたレスポンスをクライアント６００に送信する。当該レスポンスは中継装置１００ａを経由してクライアント６００に転送される。クライアント６００は当該レスポンスを受信する。
　（ステップＳＴ１４６）クライアント６００は、業務サーバ３００ａへ宛てたリクエストを送信する。当該リクエストは中継装置１００ａへ転送される。当該リクエストのＩＰパケットに含まれる宛先ＩＰアドレスは“１９２．１６８．１０．１０２”である。送信元ＩＰアドレスは“１９２．１６８．１０．１１”である。中継装置１００ａは当該リクエストを受信する。
　（ステップＳＴ１４７）中継装置１００ａは、受信したリクエストのＩＰパケットに含まれる送信元／宛先ＩＰアドレスの組をセッション管理テーブル１１１ａの登録内容と照合する。セッション管理テーブル１１１ａには“ＲＯＬＥ１”のレコードが存在する。すなわち、当該リクエストの中継は許容されている。よって、中継装置１００ａは業務サーバ３００ａに対して当該リクエストを転送する。業務サーバ３００ａは当該リクエストを受信する。例えば、このリクエストは業務サーバ３００ａがクライアント６００からアクセスの初回に受け付けたリクエストであるものとする。
　（ステップＳＴ１４８）業務サーバ３００ａは、当該リクエストのＩＰパケットに含まれる送信元ＩＰアドレスを抽出する。送信元ＩＰアドレスは“１９２．１６８．１０．１１”である。業務サーバ３００ａは、認証の確認要求を管理サーバ２００に送信する。当該確認要求のＩＰパケットのデータ部分には、抽出された送信元ＩＰアドレスが含まれる。管理サーバ２００は当該確認要求を受信する。
　（ステップＳＴ１４９）管理サーバ２００は、確認要求に含まれる送信元ＩＰアドレスを、接続管理テーブル２１３の登録内容と照合する。接続管理テーブル２１３には、端末ＩＰアドレスが“１９２．１６８．１０．１１”を含むレコードが存在する。よって、管理サーバ２００は認証済であると判断し、当該レコードに登録されたユーザＩＤ“ＵＩＤ０００１”を取得する。管理サーバ２００はユーザＩＤとともに認証済である旨を業務サーバ３００ａに応答する。業務サーバ３００ａは当該応答を受信する。
　（ステップＳＴ１５０）業務サーバ３００ａは、当該応答により認証済であることを確認する。すると、業務サーバ３００ａは、ステップＳＴ１４７で受信したリクエストに応じた処理を実行する。その際、ステップＳＴ１４５と同様に、管理サーバ２００から提供されたユーザＩＤを用いる。業務サーバ３００ａは、処理結果に応じたレスポンスをクライアント６００に送信する。当該レスポンスは中継装置１００ａを経由してクライアント６００に転送される。クライアント６００は当該レスポンスを受信する。
　このようにして、業務サーバ３００，３００ａに対するシングルサインオンを実行する。業務サーバ４００，４００ａについても同様である。管理サーバ２００が各業務サーバへユーザＩＤを提供すれば、各業務サーバは、サービス提供にあたり、クライアントに個別にユーザＩＤの提供を求めなくてもよい。ステップＳＴ１４４，ＳＴ１４９で認証済が確認された後は、業務サーバ３００，３００ａは管理サーバ２００に対する認証の確認を行わずにサービスの提供を継続することになる。
　このようにして、シングルサインオンを実現すれば、ネットワークログイン認証により、各業務アプリケーションに対する認証も一括して行える。シングルサインオンを実現すれば、ユーザによる認証情報の重複入力の手間を省けるので、ユーザの利便性を一層向上し得る。
　次に、ネットワークログインに対するログアウトの手順を説明する。
　図２０は、第２の実施の形態のログアウト処理の例を示すフローチャートである。以下、図２０に示す処理をステップ番号に沿って説明する。
　（ステップＳ６１）アクセス制御部１２０は、クライアント５００からログアウト要求を受信する。
　（ステップＳ６２）アクセス制御部１２０は、ログアウト要求のＩＰパケットに含まれる送信元ＩＰアドレスを抽出する。ここでは、抽出される送信元ＩＰアドレスは“５０．２２３．３．４”である。アクセス制御部１２０は、抽出したクライアント５００のＩＰアドレスをＩＰパケットのデータ部分に含めたログアウト要求を生成し、管理サーバ２００に送信する。
　（ステップＳ６３）管理部２２０は、中継装置１００が送信したログアウト要求を受信する。
　（ステップＳ６４）管理部２２０は、記憶部２１０に記憶された接続管理テーブル２１３を参照し、ログアウト要求（ＩＰパケットのデータ部分）に含まれるクライアント５００のＩＰアドレスが、端末ＩＰアドレスの項目に設定されたレコードを検索する。管理サーバ２００は、検索されたレコードに含まれる中継装置ＩＰアドレスおよび適用ＲＯＬＥの設定を取得する。管理サーバ２００は、取得された中継装置ＩＰアドレスを宛先として、当該適用ＲＯＬＥに対応するセッション情報を削除するように指示する。例えば、クライアント５００からのログアウト要求では、“ＲＯＬＥ３”のレコードを削除するように中継装置１００に指示する。当該削除の指示は、複数の中継装置に対して行われることもある。また、管理サーバ２００は、接続管理テーブル２１３上から検索されたレコードを削除する。例えば、クライアント５００からのログアウト要求では端末ＩＰアドレス“５０．２２３．３．４”の全レコードが接続管理テーブル２１３から削除されることになる。
　（ステップＳ６５）アクセス制御部１２０は、管理サーバ２００からの指示に基づいて、記憶部１１０に記憶されたセッション管理テーブル１１１のレコード（セッション情報）を削除する。例えば、アクセス制御部１２０は“ＲＯＬＥ３”のレコードをセッション管理テーブル１１１から削除する。
　（ステップＳ６６）アクセス制御部１２０は、セッション情報の削除が完了した旨を管理サーバ２００に応答する。
　（ステップＳ６７）管理部２２０は、ステップＳ６４で削除の指示を行った中継装置から削除完了の応答を受信する。複数の中継装置に対して削除の指示を行った場合には、管理部２２０は複数の中継装置から削除完了の応答を受信する。
　（ステップＳ６８）管理部２２０は、指示を行った全ての中継装置から削除完了の応答を受信するとログアウト完了を中継装置１００に応答する。
　（ステップＳ６９）アクセス制御部１２０は、管理サーバ２００から当該応答を受信すると、ログアウト完了をクライアントに応答する。
　このようにして、中継装置１００および管理サーバ２００はログアウト処理を実行する。管理サーバ２００は、１つの中継装置からあるクライアントのログアウト要求を受信すると、当該クライアントに係るセッション情報を保持する全ての中継装置に対してセッション情報の削除を指示する。このため、各中継装置に余計なセッション情報が残留することを防げる。次にログアウト処理における通信の具体例を説明する。
　図２１は、第２の実施の形態の通信の具体例（その６）を示す図である。以下、図２１に示す処理をステップ番号に沿って説明する。ステップＳＴ１５１の直前では、セッション管理テーブル１１１ａ，１１１ｂには“ＲＯＬＥ１”のレコードが存在するものとする。接続管理テーブル２１３には、ユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“１９２．１６８．１０．１１”、中継装置ＩＰアドレス“１９２．１６８．１０．２”、適用ＲＯＬＥ“ＲＯＬＥ１”のレコードが存在するものとする。また、接続管理テーブル２１３には、ユーザＩＤ“ＵＩＤ０００１”、端末ＩＰアドレス“１９２．１６８．１０．１１”、中継装置ＩＰアドレス“１９２．１６８．２０．１”、適用ＲＯＬＥ“ＲＯＬＥ１”のレコードが存在するものとする。
　（ステップＳＴ１５１）クライアント６００は、中継装置１００ａ宛てにログアウト要求を送信する。中継装置１００ａはログアウト要求を受信する。中継装置１００ａが受信するログアウト要求には、ＩＰパケットの送信元ＩＰアドレスとしてクライアント６００のＩＰアドレス“１９２．１６８．１０．１１”が含まれる。
　（ステップＳＴ１５２）中継装置１００ａは、当該送信元ＩＰアドレスを抽出する。中継装置１００ａは、抽出されたクライアント６００のＩＰアドレスをＩＰパケットのデータ部分に含めたログアウト要求を生成して管理サーバ２００に送信する。管理サーバ２００は当該ログアウト要求を受信する。
　（ステップＳＴ１５３）管理サーバ２００は、接続管理テーブル２１３を参照して、当該ＩＰアドレスが端末ＩＰアドレスの項目に設定されたレコードを検索する。ここでは、端末ＩＰアドレスの項目の設定値が“１９２．１６８．１０．１１”である上記の２つのレコードが存在している。管理サーバ２００は、これらのレコードから２つの中継装置ＩＰアドレス“１９２．１６８．１０．２”、“１９２．１６８．２０．１”を取得する。また、当該２つのレコードによれば、これら２つの中継装置１００ａ，１００ｂに適用されたＲＯＬＥは“ＲＯＬＥ１”である。よって、管理サーバ２００は、中継装置１００ａに“ＲＯＬＥ１”のセッション情報の削除を指示する。
　（ステップＳＴ１５４）管理サーバ２００は、中継装置１００ｂにも“ＲＯＬＥ１”のセッション情報の削除を指示する。ただし、ステップＳＴ１５４の指示はステップＳＴ１５３と同時に行われてもよい。
　（ステップＳＴ１５５）管理サーバ２００は、ステップＳＴ１５３で検索された２つのレコードを接続管理テーブル２１３から削除する。
　（ステップＳＴ１５６）中継装置１００ａは、管理サーバ２００からの削除指示に基づいて、セッション管理テーブル１１１ａから“ＲＯＬＥ１”のレコードを削除する。そして、中継装置１００ａは削除完了を管理サーバ２００に応答する。管理サーバ２００は当該応答を受信する。
　（ステップＳＴ１５７）中継装置１００ｂは、管理サーバ２００からの削除指示に基づいて、セッション管理テーブル１１１ｂから“ＲＯＬＥ１”のレコードを削除する。そして、中継装置１００ｂは削除完了を管理サーバ２００に応答する。管理サーバ２００は当該応答を受信する。
　（ステップＳＴ１５８）管理サーバ２００は、ステップＳＴ１５２のログアウト要求に対してログアウト完了を中継装置１００ａに応答する。中継装置１００ａは当該応答を受信する。
　（ステップＳＴ１５９）中継装置１００ａは、ステップＳＴ１５１のログアウト要求に対してログアウト完了をクライアント６００に応答する。クライアント６００は当該応答を受信する。
　このようにして、中継装置１００ａ，１００ｂおよび管理サーバ２００はログアウト処理を実行する。例えば、図１７で説明したように、クライアント６００から中継装置１００ａ，１００ｂの両方を経由した業務サーバへのアクセスも可能である。このような場合にも、クライアント６００からの１回のログアウト要求で、中継装置１００ａ，１００ｂの両方が保持するセッション情報を適正に消去できる。これによって、クライアント６００からの接続を閉塞させることができる。
　なお、中継装置１００，１００ａ，１００ｂからセッション情報が削除されるタイミングは、クライアント５００などからログアウト要求を受信したタイミング以外のタイミングも考え得る。例えば、中継装置１００，１００ａ，１００ｂは、セッション情報についてタイムアウトを検出し、タイムアウトを検出した場合に、当該セッション情報を削除してもよい。具体的には、中継装置１００，１００ａ，１００ｂは、セッション情報ごとに前回クライアントからの接続を受け付けてからの時間を監視する。そして、現在までの未接続の時間が閾値以上となった場合に、当該セッション情報を削除する。
　中継装置１００，１００ａ，１００ｂは、タイムアウトでセッション情報を削除した場合にも、管理サーバ２００に削除した旨（削除したセッション情報のＲＯＬＥ番号を含む）を通知する。すると、管理サーバ２００は、接続管理テーブル２１３から、当該通知の送信元の中継装置のＩＰアドレスおよびＲＯＬＥ番号を含むレコードを削除する。このように、タイムアウトによりクライアントからの接続を閉塞させることも可能である。
　図２２は、第２の実施の形態のアクセス可能範囲の例（その１）を示す図である。図２２では、ユーザＡ，Ｂ，Ｃそれぞれがクライアント５００，５００ａ，６００ａを用いてアクセスできる業務サーバを例示している。図７～９で例示した各テーブル内容が中継装置１００，１００ａ，１００ｂおよび管理サーバ２００に保持されている場合である。
　この場合、ユーザＡはクライアント５００を用いて業務サーバ３００にアクセス可能である。クライアント５００のリクエストを中継する中継装置１００が“ＲＯＬＥ３”のセッション情報を保持するからである。
　また、ユーザＢはクライアント５００ａを用いて業務サーバ３００，３００ａにアクセス可能である。クライアント５００ａのリクエストを中継する中継装置１００が“ＲＯＬＥ５”のセッション情報を保持するからである。
　更に、ユーザＣはクライアント６００ａを用いて業務サーバ４００，４００ａにアクセス可能である。クライアント６００ａのリクエストを中継する中継装置１００ａ，１００ｂが“ＲＯＬＥ６”のセッション情報を保持するからである。
　図２３は、第２の実施の形態のアクセス可能範囲の例（その２）を示す図である。図２２では、ユーザＡがクライアント５００，６００を用いてアクセスできる業務サーバを例示している。図７～９で例示した各テーブル内容が中継装置１００，１００ａ，１００ｂおよび管理サーバ２００に保持されている場合である。
　この場合、ユーザＡはクライアント５００を用いて業務サーバ３００にアクセス可能である。クライアント５００のリクエストを中継する中継装置１００が“ＲＯＬＥ３”のセッション情報を保持するからである。
　また、ユーザＡはクライアント６００を用いて業務サーバ３００，３００ａ，４００，４００ａにアクセス可能である。クライアント６００のリクエストを中継する中継装置１００ａ，１００ｂが“ＲＯＬＥ１”のセッション情報を保持するからである。
　このようにして、中継装置１００，１００ａ，１００ｂおよび管理サーバ２００は、ユーザごとおよび、ユーザが利用するクライアントごとにアクセス可能な業務サーバの範囲を制限することができる。
　ところで、業務サーバは仮想サーバを用いて実装されてもよい。
　図２４は、第２の実施の形態の他の例（その１）を示す図である。例えば、ネットワーク２０に実行サーバ７００，７００ａを設ける。実行サーバ７００，７００ａは仮想マシンおよび仮想スイッチが動作可能なサーバコンピュータである。実行サーバ７００，７００ａは、管理サーバ２００と同様のハードウェアを用いて実現できる。例えば、実行サーバ７００はハイパーバイザと呼ばれるソフトウェアを実行する。
　ハイパーバイザは、実行サーバ７００上で仮想スイッチ７１０および仮想マシン７２０，７３０を動作させる。ハイパーバイザは、仮想スイッチ７１０および仮想マシン７２０，７３０に、実行サーバ７００が備えるＣＰＵなどの演算のリソースやＲＡＭなどの記憶領域のリソースの一部を割り当てる。実行サーバ７００ａも実行サーバ７００と同様に仮想スイッチおよび仮想マシンを動作させる。
　仮想スイッチ７１０は、仮想マシン７２０，７３０とネットワーク２０との間の通信を中継する。仮想マシン７２０，７３０は、業務サーバとして用いられる。ここで、仮想スイッチ７１０は、中継装置１００，１００ａ，１００ｂ（中継装置１００ｂは図２４では図示を省略）と同様に、セッション情報を記憶する記憶部やアクセス制御部を有してもよい。そして、仮想スイッチ７１０を用いて仮想マシン７２０，７３０に関するアクセス制御を行ってもよい。その場合、実行サーバ７００を中継装置と呼ぶこともできる。
　図２５は、第２の実施の形態の他の例（その２）を示す図である。図２で例示した第２の実施の形態の情報処理システムでは、中継装置１００，１００ａ，１００ｂを含む多数のネットワーク機器、および、物理マシンや仮想マシンが含まれ得る。そして、ユーザごとのアクセス制御の設定を変更する場合、例えば、情報処理システムの管理者が対象となる中継装置を探し出して、個別にＶＬＡＮなどを設定することも考えられる。しかし、多数のネットワーク機器の中から、対象の中継装置を探し出すことは容易でない。また、中継装置に対して個々に設定変更を行うための作業コストも問題となる。
　特に、大規模なネットワークでは、物理マシン、仮想マシンおよび中継装置の数も多い。また、物理マシンや仮想マシンの追加や物理マシン、仮想マシン、中継装置および仮想スイッチの接続変更も頻繁に起こり得る。このような場合、中継装置を管理者が個別に設定変更するための作業負担は特に大きくなり得る。
　これに対し、第２の実施の形態では、ユーザのアクセス制御の設定内容を管理サーバ２００により一元管理する。そして、各中継装置は、クライアントからのアクセスが発生した際に、当該ユーザに対するアクセス制御の設定内容を管理サーバ２００から取得する。各業務サーバのアクセス制御の設定変更を行いたい場合には、管理サーバ２００が保持するユーザ管理テーブル２１１やアクセス管理テーブル２１２を変更すればよい。
　このため、管理者が設定対象の中継装置を探し出す手間を省け、また、中継装置に対して個々に設定変更を行うための作業コストも削減できる。このようにして、中継装置に対するユーザごとのアクセス制御の設定を容易に行うことができる。また、管理者の作業を省力化でき、アクセス制御の設定を効率的に行うことができる。また、新たにネットワークセグメントを設けたい場合にも、第２の実施の形態の中継装置を当該セグメントの入口に設ければ、当該セグメントに対するアクセス制御を容易に導入することができる。
　また、アクセス制御の設定にＩＰアドレスを用いることで、例えばＶＬＡＮのように多数のスイッチに対してデータリンク層レベルでの細かな設定を行わずに済む。アクセスを許容したい両末端のノードをＩＰアドレスにより指定すればよいため、データリンク層レベルでの設定に比べて設定内容も平易である。このため、メンテナンスを行い易く、運用管理の効率化にも寄与し得る。
　なお、管理サーバ２００はその負荷に応じて複数設けてもよい。例えば、ネットワーク２０，３０の両方に設けてもよい。その場合、各管理サーバでユーザ管理テーブル２１１、アクセス管理テーブル２１２および接続管理テーブル２１３の内容を同期してもよい。
　また、上述したように中継装置１００，１００ａ，１００ｂはＬ３スイッチやルータでもよい。更に、中継装置１００，１００ａ，１００ｂは、業務サーバ３００，３００ａ，４００，４００ａに対するアクセス負荷を分散する負荷分散装置でもよい。あるいは、中継装置１００にファイアウォール１１の機能を集約してもよい。その場合、中継装置１００をファイアウォールと呼ぶことができる。中継装置１００は、ファイアウォールやＶＰＮサーバの機能を組み込んだＵＴＭ装置などのアプライアンス装置でもよい。中継装置１００，１００ａ，１００ｂを管理サーバ２００と同様の構成を有するコンピュータによって実現することもできる。
　更に、図２の説明において、ＶＰＮサーバを設けてもよいことを説明した。中継装置１００がＶＰＮサーバ機能を備え、ユーザ認証の処理をＶＰＮにおける認証と連携してもよい。そうすれば、例えばユーザＡがＶＰＮへの認証に成功した時点で、ユーザＡが利用するクライアント５００に対するアクセス制御の設定を中継装置１００に行えることになる。よって、ユーザに対して重複した認証情報の入力を課さずに済み、アクセスの利便性を一層向上し得る。
　［第３の実施の形態］
　以下、第３の実施の形態を説明する。前述の第２の実施の形態との相違点を主に説明し、共通の事項の説明を省略する。
　第２の実施の形態では、ユーザごと、またはユーザが利用するクライアント装置ごとのアクセス制御を行うことを例示した。これに加え、ユーザごとのアクセス制御を更に詳細に行うことも可能である。第３の実施の形態では、そのための方法を例示する。
　ここで、第３の実施の形態の情報処理システムおよび各装置のハードウェア例／ソフトウェア例は、図２～５で説明した第２の実施の形態の情報処理システムおよび各装置のハードウェア例／ソフトウェア例と同様であるため説明を省略する。また、第３の実施の形態の各装置についても第２の実施の形態と同一の名称・符号を用いる。
　第３の実施の形態では、管理サーバ２００が保持するアクセス管理テーブルの内容が第２の実施の形態と異なる。また、中継装置１００，１００ａ，１００ｂそれぞれが保持するセッション管理テーブルの内容が第２の実施の形態と異なる。
　図２６は、第３の実施の形態のアクセス管理テーブルの例を示す図である。アクセス管理テーブル２１２ａは、記憶部２１０に格納される。アクセス管理テーブル２１２ａはＲＯＬＥ、ユーザＩＤ、端末ＩＰアドレス、端末ＭＡＣアドレス、接続許可時間帯、接続許可中継装置およびＡＣＬの項目を含む。ここで、ＲＯＬＥ、ユーザＩＤ、端末ＩＰアドレス、端末ＭＡＣアドレスおよびＡＣＬの項目に登録される情報は、アクセス管理テーブル２１２と同様であるため説明を省略する。
　接続許可時間帯の項目には、ＡＣＬへのアクセスを許容する時間帯が登録される。接続許可中継装置の項目には、アクセス元として許容される中継装置のＩＰアドレスが登録される。
　例えば、アクセス管理テーブル２１２ａには、ＲＯＬＥが“１１”、ユーザＩＤが“ＵＩＤ０００１”、端末ＩＰアドレスが“１９２．１６８．１０．１１”、端末ＭＡＣアドレスが“０８－ｂ４－２５－９ｅ－０ｃ－４６”、接続許可時間帯が“９：００－１７：００”、接続許可中継装置が“１９２．１６８．１０．２”、ＡＣＬが“１９２．１６８．１０．１０１，・・・”という情報が登録されている。
　これは、ユーザＩＤ“０００１”のユーザＡが、ＩＰアドレス“１９２．１６８．１０．１１”、ＭＡＣアドレス“０８－ｂ４－２５－９ｅ－０ｃ－４６”であるクライアントから９時から１７時の間に、中継装置１００ａを介してアクセスする場合に、当該ＡＣＬのＩＰアドレスへのアクセスが許容されることを示す。
　一方、アクセス管理テーブル２１２ａには、“ＲＯＬＥ１２”のレコードが登録されている。“ＲＯＬＥ１２”は、“ＲＯＬＥ１１”と同じアドレス情報をもつクライアントが、１７時から９時の間にアクセスを行う場合のＲＯＬＥである。例えば、“ＲＯＬＥ１１”とは異なるＡＣＬを登録することで、時間帯によってアクセスを許容する業務サーバの範囲を変えることができる。
　また、アクセス管理テーブル２１２ａの“ＲＯＬＥ１３”および“ＲＯＬＥ１４”も同様である。ただし、“ＲＯＬＥ１４”では、接続許可中継装置の設定も異なっている。具体的には“ＲＯＬＥ１３”では接続許可中継装置の項目の設定が中継装置１００ａ（ＩＰアドレス“１９２．１６８．１０．２”）であるのに対し、“ＲＯＬＥ１４”では同項目の設定が中継装置１００ｂ（ＩＰアドレス“１９２．１６８．２０．１”）である。すなわち、“ＲＯＬＥ１３”によれば、ユーザＩＤ“ＵＩＤ０００２”のユーザＢは、８時から１９時の間は中継装置１００ａを介したアクセスのみが許容されている。一方、“ＲＯＬＥ１４”によれば、ユーザＢは、１９時から０時の間は中継装置１００ｂを介したアクセスのみが許容されている。それ以外の時間帯では、ユーザＢによるアクセスは許容されていない。
　なお、アクセス管理テーブル２１２ａでは、中継装置のＩＰアドレス以外を用いて、接続許可中継装置を登録してもよい。例えば、中継装置１００，１００ａ，１００ｂそれぞれに所定の識別名称を予め付与しておく。そして、接続許可中継装置の項目には、中継装置のＩＰアドレスに代えて、当該識別名称を設定してもよい。
　管理部２２０は、アクセス管理テーブル２１２ａに基づいてセッション情報を生成し、中継装置１００，１００ａ，１００ｂに提供する。次に、中継装置１００が保持するセッション管理テーブルの例を説明する。中継装置１００ａ，１００ｂが保持するセッション管理テーブルも同様のデータ構造である。
　図２７は、第３の実施の形態のセッション管理テーブルの例を示す図である。セッション管理テーブル１１１ｃは、記憶部１１０に格納される。セッション管理テーブル１１１ｃは、アクセス制御部１２０により更新される。セッション管理テーブル１１１ｃは、ＲＯＬＥ、端末ＩＰアドレス、接続許可時間帯およびＡＣＬの項目を含む。ここで、ＲＯＬＥ、端末ＩＰアドレスおよびＡＣＬの項目に登録される情報は、セッション管理テーブル１１１と同様であるため説明を省略する。接続許可時間帯の項目には、ＡＣＬへのアクセスを許容する時間帯が登録される。
　例えば、セッション管理テーブル１１１ｃには、ＲＯＬＥが“１１”、端末ＩＰアドレスが“１９２．１６８．１０．１１”、接続許可時間帯が“９：００－１７：００”、ＡＣＬが“１９２．１６８．１０．１０１，・・・”という情報が登録されている。これは、送信元／宛先ＩＰアドレスの組が“１９２．１６８．１０．１１”およびＡＣＬに含まれる何れかのＩＰアドレスである通信データの中継が、９時から１７時の間において許容されていることを示す。
　次に、第３の実施の形態の処理手順を説明する。ここで、第３の実施の形態の中継装置１００，１００ａ，１００ｂは、図１１～１３、図１８および図２０で説明した各手順を実行する。これらの各手順については説明を省略する。
　ただし、管理部２２０は、図１１のステップＳ１４においてＡＣＬを検索する際に、現在の時刻および認証依頼の送信元の中継装置のＩＰアドレスをも考慮する。すなわち、ユーザＩＤ、端末ＩＰアドレス、端末ＭＡＣアドレス、接続許可時間帯および接続許可中継装置の条件が一致するＡＣＬをアクセス管理テーブル２１２ａから抽出することになる。条件に一致するＡＣＬが存在しない場合はステップＳ１５において認証失敗と判定する。
　第３の実施の形態では、第２の実施の形態の処理手順に加えて、中継装置１００，１００ａ，１００ｂは時間帯に応じたセッション管理テーブルの更新も行う。次に、当該セッション管理の処理手順を例示する。以下では、アクセス制御部１２０について説明するが、アクセス制御部１２０ａ，１２０ｂの処理も同様の手順である。
　図２８は、第３の実施の形態のセッション管理の例を示すフローチャートである。以下、図２８に示す処理をステップ番号に沿って説明する。
　（ステップＳ７１）アクセス制御部１２０は、記憶部１１０に記憶されたセッション管理テーブル１１１ｃを監視する。
　（ステップＳ７２）アクセス制御部１２０は、セッション管理テーブル１１１ｃに登録されたセッション情報のうち、接続許可時間帯を超過したセッション情報があるか否かを判定する。接続許可時間帯を超過したセッション情報がある場合、処理をステップＳ７３に進める。接続許可時間帯を超過したセッション情報がない場合、処理をステップＳ７１に進める。例えば、アクセス制御部１２０は、中継装置１００が備えるＲＴＣ（Real Time Clock）の時刻と、セッション管理テーブル１１１ｃの各レコード（セッション情報）の接続許可時間帯とを対比することで、当該判定を行える。例えば、セッション管理テーブル１１１ｃの“ＲＯＬＥ１１”のセッション情報は接続許可時間帯が９時から１７時である。よって、アクセス制御部１２０は１７時を超えると、“ＲＯＬＥ１１”のセッション情報を削除する。
　（ステップＳ７３）アクセス制御部１２０は、ステップＳ７２で接続許可時間帯を超過したと判断されたセッション情報をセッション管理テーブル１１１ｃから削除する。
　（ステップＳ７４）アクセス制御部１２０は、セッション情報を削除した旨を管理サーバ２００に通知する。当該通知には、削除したセッション情報に含まれる端末ＩＰアドレスの情報が含まれる。
　（ステップＳ７５）アクセス制御部１２０は、ステップＳ７４の通知に対して、削除したセッション情報と同一の端末ＩＰアドレスを含む次の時間帯のセッション情報を管理サーバ２００から受信したか否かを判定する。受信した場合、処理をステップＳ７６に進める。受信していない場合、処理をステップＳ７１に進める。例えば、セッション管理テーブル１１１ｃから“ＲＯＬＥ１１”のレコードを削除した場合、アクセス制御部１２０は、次の時間帯のセッション情報として“ＲＯＬＥ１２”に対応するセッション情報を管理サーバ２００から受信し得る。
　（ステップＳ７６）アクセス制御部１２０は、受信した次の時間帯のセッション情報をセッション管理テーブル１１１ｃに登録する。そして、処理をステップＳ７１に進める。
　このようにして、中継装置１００は、接続許可時間帯を超過したセッション情報を削除する。すると、ユーザが次に中継装置１００を介したアクセスを試みるとき、当該ユーザに対して再度の認証が課されることになる。これにより、接続許可時間帯を超過したアクセスを制限することができる。
　更に、管理サーバ２００の管理部２２０は、削除の通知があったセッション情報と同一の端末ＩＰアドレス（任意の送信元ＩＰアドレスによってセッション情報が提供されていた場合は、任意のＩＰアドレス）を含む次の時間帯のレコードをアクセス管理テーブル２１２から検索する。次の時間帯のレコードとは削除の通知があったセッション情報に含まれる時間帯の次の時間帯を接続許可時間帯に含むレコードである。
　管理部２２０は、何れかのレコードが検索された場合は、当該レコードに基づいてセッション情報を生成し、中継装置１００に提供する。何れのレコードも検索されない場合は、管理部２２０は次の時間帯のセッション情報の送信を行わない。管理部２２０は、新たなセッション情報を中継装置１００に提供した場合、当該セッション情報の提供状況を接続管理テーブル２１３に登録する。
　このようにして、中継装置１００のセッション情報が更新されれば、ＡＣＬも別時間帯のものに更新されることになり、アクセス可能な業務サーバの範囲が変更されることになる。また、次の時間帯のＡＣＬを適用する場合に、ユーザに対して再度の認証操作を課さずに済む。
　なお、ステップＳ７４の通知を受けた管理サーバ２００は、接続管理テーブル２１３から該当の端末ＩＰアドレスを含むレコードを抽出する。管理サーバ２００は、当該端末ＩＰアドレスに対応する全ての中継装置ＩＰアドレスを取得する。そして、管理サーバ２００は、取得した中継装置ＩＰアドレスに対応する全ての中継装置に対して当該端末ＩＰアドレスを含むセッション情報の削除を指示する。これにより、ログアウトする場合と同様に、各中継装置に余計なセッション情報が残留することの防止を図れる。
　図２９は、第３の実施の形態のアクセス可能範囲の例（その１）を示す図である。図２９では、ユーザＡがクライアント６００を用いてアクセスできる業務サーバを例示している。図２６で示したアクセス管理テーブル２１２ａの設定内容に基づくアクセス制御の例である。
　この場合、ユーザＡは９時から１７時の間は業務サーバ３００，３００ａ，４００，４００ａにアクセス可能である。クライアント６００のリクエストを中継する中継装置１００ａ，１００ｂが“ＲＯＬＥ１１”のセッション情報を用いて中継の可否を判断するからである。
　一方、ユーザＡは１７時から９時の間は業務サーバ４００，４００ａにアクセス可能である。中継装置１００ａ，１００ｂが“ＲＯＬＥ１２”のセッション情報を用いて中継の可否を判断するからである。
　このようにして、中継装置１００，１００ａ，１００ｂおよび管理サーバ２００は、ユーザごと、かつ、時間帯ごとに、アクセス可能な業務サーバの範囲を制限することができる。
　図３０は、第３の実施の形態のアクセス可能範囲の例（その２）を示す図である。図３０では、ユーザＢがクライアント６００ａを用いてアクセスできる業務サーバを例示している。図２６で示したアクセス管理テーブル２１２ａの設定内容に基づくアクセス制御の例である。
　この場合、ユーザＢは８時から１９時の間は、中継装置１００ａを介して、業務サーバ３００，３００ａ，４００，４００ａにアクセス可能である。中継装置１００ａ，１００ｂが“ＲＯＬＥ１３”のセッション情報を用いて中継の可否を判断するからである。
　一方、ユーザＢは１９時から０時の間は、中継装置１００ｂを介して、業務サーバ４００，４００ａにアクセス可能である。中継装置１００ｂが“ＲＯＬＥ１４”のセッション情報を用いて中継の可否を判断するからである。
　このように、ユーザごとに時間帯に応じたアクセス制御を行える。更に、クライアントごとに接続する中継装置を制限することができる。接続する中継装置の制限を時間帯に応じて変更することも可能である。これらのアクセス制御の内容は、管理サーバ２００により一元管理される。例えば、情報処理システムの管理者は、アクセス管理テーブル２１２ａの設定を変更すれば、当該変更内容を各中継装置に反映させたアクセス制御を行うことが可能である。これにより、中継装置ごとのアクセス制御の設定を容易に行うことができる。
　なお、前述のように、第１の実施の形態の情報処理は、中継装置１および情報処理装置２にプログラムを実行させることで実現できる。また、第２の実施の形態の情報処理は、中継装置１００，１００ａ，１００ｂおよび管理サーバ２００にプログラムを実行させることで実現できる。プログラムは、コンピュータ読み取り可能な記録媒体（例えば、光ディスク２３、メモリ装置２４およびメモリカード２６など）に記録できる。
　プログラムを流通させる場合、例えば、当該プログラムを記録した可搬記録媒体が提供される。また、プログラムを他のコンピュータの記憶装置に格納しておき、ネットワーク経由でプログラムを配布することもできる。コンピュータは、例えば、可搬記録媒体に記録されたプログラムまたは他のコンピュータから受信したプログラムを、記憶装置に格納し、当該記憶装置からプログラムを読み込んで実行する。ただし、可搬記録媒体から読み込んだプログラムを直接実行してもよく、他のコンピュータからネットワークを介して受信したプログラムを直接実行してもよい。
　また、上記の情報処理の少なくとも一部を、ＤＳＰ、ＡＳＩＣ、ＰＬＤなどの電子回路で実現することもできる。
　更に、上記の説明ではＩＰｖ４（Internet Protocol version 4）を例示して説明したが、ＩＰｖ６（Internet Protocol version 6）を通信プロトコルとして用いた場合も同様である。具体的には、ＩＰｖ４を用いて例示したＩＰアドレスに代えて、ＩＰｖ６に対応したＩＰｖ６アドレスを用いることができる。
　上記については単に本発明の原理を示すものである。更に、多数の変形や変更が当業者にとって可能であり、本発明は上記に示し、説明した正確な構成および応用例に限定されるものではなく、対応する全ての変形例および均等物は、添付の請求項およびその均等物による本発明の範囲とみなされる。
　１　中継装置
　１ａ，２ａ　記憶手段
　１ｂ　設定手段
　１ｃ　制御手段
　２　情報処理装置
　２ｂ　提供手段
　３，４，５，６　ノード
　３ａ，３ｂ，３ｃ　データ

Claims (20)

  1. 　ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を受信すると、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する情報処理装置から、前記第１の識別情報に対応する宛先のノードを示す第３の識別情報を取得し、データの中継が許容された組み合わせとして前記第２の識別情報と前記第３の識別情報とを記憶手段に設定する設定手段と、
    　送信元のノードの識別情報と宛先のノードの識別情報とを含むデータの中継を行う際に、前記記憶手段に設定された情報に基づいて、当該データを中継するか否かを判定する制御手段と、を有する中継装置。
  2. 　前記情報処理装置は、ユーザの識別情報および送信元のノードの識別情報に対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶しており、
    　前記設定手段は、前記第１の識別情報および前記第２の識別情報に対応する宛先のノードを示す前記第３の識別情報を取得する、請求の範囲第１項記載の中継装置。
  3. 　前記情報処理装置は、ユーザの識別情報に対応付けて送信元のノードの識別情報によらずにアクセスが許容された宛先のノードを示す識別情報を記憶しており、
    　前記設定手段は、前記第１の識別情報および前記第２の識別情報に対応する宛先のノードを示す識別情報が前記情報処理装置に記憶されていない場合には、前記第１の識別情報に対して送信元のノードの識別情報によらずにアクセスが許容された宛先のノードを示す識別情報を前記第３の識別情報として取得する、請求の範囲第２項記載の中継装置。
  4. 　前記制御手段は、データの中継を行う際に、送信元および宛先のノードの識別情報の組み合わせが前記記憶手段に設定された組み合わせに一致する場合にはデータを中継すると判定して当該データを宛先のノードに対して転送し、また、送信元および宛先のノードの識別情報の組み合わせが前記記憶手段に設定されていない場合には当該データを中継しないと判定して当該データを破棄する、請求の範囲第１項乃至第３項の何れか１項に記載の中継装置。
  5. 　前記情報処理装置は、他の中継装置に設定されている送信元および宛先のノードの識別情報の組み合わせを記憶しており、
    　前記制御手段は、データの中継を行う際に、送信元のノードの識別情報を含む組み合わせが前記記憶手段に設定されていない場合、当該送信元のノードの識別情報を含む組み合わせが他の中継装置に設定されているか否かを前記情報処理装置に問い合わせ、当該組み合わせが他の中継装置に設定されている場合には前記情報処理装置から当該組み合わせを取得し、取得された当該組み合わせに基づいて当該データを中継するか否かを判定し、また、当該組み合わせが他の中継装置に設定されていない場合には当該データを中継しない、請求の範囲第１項乃至第４項の何れか１項に記載の中継装置。
  6. 　前記設定手段は、前記第３の識別情報とともにアクセスが許容される時間帯を示す情報を前記情報処理装置から取得し、前記第２の識別情報および前記第３の識別情報に対応付けて前記記憶手段に設定し、
    　前記制御手段は、現時刻が前記時間帯を過ぎると、前記時間帯を示す情報に対応する前記第２の識別情報および前記第３の識別情報の組み合わせを前記記憶手段から削除する、請求の範囲第１項乃至第５項の何れか１項に記載の中継装置。
  7. 　送信元および宛先のノードの識別情報はデータの転送に用いられるアドレス情報である、請求の範囲第１項乃至第６項の何れか１項に記載の中継装置。
  8. 　送信元のノードにより送信されたデータを中継する中継装置と通信可能な情報処理装置であって、
    　複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する記憶手段と、
    　ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を中継装置から受信すると、前記記憶手段を参照して、前記第１の識別情報に対応する宛先のノードを示す第３の識別情報を検索し、前記第２の識別情報に対応してデータの中継が許容された宛先のノードの識別情報として前記第３の識別情報を当該中継装置に提供する提供手段と、を有する情報処理装置。
  9. 　前記記憶手段は、ユーザの識別情報に対応付けて複数の送信元のノードを用いた多重のアクセスを許容するか否かを示す許可情報を記憶しており、
    　前記提供手段は、前記第３の識別情報を中継装置に提供した後に、前記第１の識別情報および送信元のノードを示しており前記第２の識別情報とは異なる識別情報を中継装置から受信すると、前記許可情報に基づいて、前記第３の識別情報を当該中継装置に提供するか否かを判定する、請求の範囲第８項記載の情報処理装置。
  10. 　前記記憶手段は、ユーザの識別情報および送信元のノードの識別情報に対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶しており、
    　前記提供手段は、前記第１の識別情報および前記第２の識別情報に対応する宛先のノードを示す前記第３の識別情報を検索する、請求の範囲第８項または第９項記載の情報処理装置。
  11. 　前記記憶手段は、ユーザの識別情報に対応付けて送信元のノードの識別情報によらずにアクセスが許容された宛先のノードを示す識別情報を記憶しており、
    　前記提供手段は、前記第１の識別情報および前記第２の識別情報に対応する宛先のノードを示す識別情報が前記記憶手段に記憶されていない場合には、前記第１の識別情報に対して送信元のノードの識別情報によらずにアクセスが許容された宛先のノードを示す識別情報を検索し、前記第３の識別情報として中継装置に提供する、請求の範囲第１０項記載の情報処理装置。
  12. 　前記提供手段は、送信元のノードの識別情報に対応付けて宛先のノードの識別情報を中継装置に提供したことの履歴を前記記憶手段に登録し、前記第２の識別情報が前記履歴に登録済か否かの問い合わせを他の中継装置から受信すると、前記履歴を参照して、前記第２の識別情報が登録済であれば前記第３の識別情報を当該他の中継装置に提供し、また、前記第２の識別情報が登録済でなければ未登録である旨を当該他の中継装置に応答する、請求の範囲第８項乃至第１１項の何れか１項に記載の情報処理装置。
  13. 　前記提供手段は、宛先のノードの識別情報を提供した中継装置の識別情報も送信元のノードの識別情報に対応付けて前記履歴に登録し、前記第２の識別情報を含むログアウト要求を受信すると、前記履歴を参照して、前記第２の識別情報に対して前記第３の識別情報を提供した全ての中継装置に前記第２の識別情報と前記第３の識別情報との組み合わせについて中継を許容する旨の設定を削除させ、前記履歴の前記第２の識別情報の記録を削除する、請求の範囲第１２項記載の情報処理装置。
  14. 　前記記憶手段は、ユーザの識別情報および時間帯を示す情報に対応付けてアクセスが許容される宛先のノードの識別情報を記憶しており、
    　前記提供手段は、前記記憶手段を参照して、前記第１の識別情報および現時刻の時間帯を示す情報に対応する宛先のノードを示す前記第３の識別情報を検索する、請求の範囲第８項乃至第１３項の何れか１項に記載の情報処理装置。
  15. 　前記記憶手段は、ユーザの識別情報および中継装置の識別情報に対応付けてアクセスが許容される宛先のノードの識別情報を記憶しており、
    　前記提供手段は、前記記憶手段を参照して、前記第１の識別情報および前記第２の識別情報を送信した中継装置の識別情報に対応する宛先のノードを示す前記第３の識別情報を検索する、請求の範囲第８項乃至第１４項の何れか１項に記載の情報処理装置。
  16. 　前記提供手段は、ユーザの識別情報および送信元のノードの識別情報に対応付けて中継装置に情報を提供したことの履歴を前記記憶手段に登録し、宛先のノードに対して転送されたデータに含まれる送信元のノードの識別情報が前記履歴に登録済か否かの問い合わせを当該宛先のノードから受信すると、前記履歴を参照して、当該送信元のノードの識別情報が登録済であれば当該送信元のノードの識別情報に対応するユーザの識別情報を前記履歴から取得して当該宛先のノードに提供し、また、当該送信元のノードの識別情報が前記履歴に登録済でなければ未登録である旨を当該宛先のノードに応答する、請求の範囲第８項乃至第１５項の何れか１項に記載の情報処理装置。
  17. 　送信元および宛先のノードの識別情報はデータの転送に用いられるアドレス情報である、請求の範囲第８項乃至第１６項の何れか１項に記載の情報処理装置。
  18. 　送信元のノードにより送信されたデータを中継する中継装置および前記中継装置と通信可能な情報処理装置を含むシステムで実行されるアクセス制御方法であって、
    　ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を前記中継装置を用いて受信すると、前記第１の識別情報および前記第２の識別情報を前記情報処理装置に送信し、
    　前記情報処理装置を用いて、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードの識別情報を記憶する記憶手段を参照して、前記第１の識別情報に対応する宛先のノードを示す第３の識別情報を検索し、前記第２の識別情報に対応してデータの中継が許容された宛先のノードの識別情報として前記第３の識別情報を前記中継装置に提供し、
    　送信元のノードの識別情報と宛先のノードの識別情報とを含むデータの中継を、前記中継装置を用いて行う際に、前記情報処理装置から提供された情報に基づいて、当該データを中継するか否かを判定する、アクセス制御方法。
  19. 　送信元のノードにより送信されたデータを中継するためのコンピュータに、
    　ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を受信すると、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する情報処理装置から、前記第１の識別情報に対応する宛先のノードを示す第３の識別情報を取得し、データの中継が許容された組み合わせとして前記第２の識別情報と前記第３の識別情報とを記憶手段に設定し、
    　送信元のノードの識別情報と宛先のノードの識別情報とを含むデータの中継を行う際に、前記記憶手段に設定された情報に基づいて、当該データを中継するか否かを判定する、処理を実行させるプログラム。
  20. 　送信元のノードにより送信されたデータを中継する中継装置と通信可能なコンピュータに、
    　ユーザを示す第１の識別情報および送信元のノードを示す第２の識別情報を前記中継装置から受信すると、複数のユーザの識別情報それぞれに対応付けてアクセスが許容された宛先のノードを示す識別情報を記憶する記憶手段を参照して、前記第１の識別情報に対応する宛先のノードを示す第３の識別情報を検索し、
    　前記第２の識別情報に対応してデータの中継が許容された宛先のノードの識別情報として前記第３の識別情報を前記中継装置に提供する、処理を実行させるプログラム。
PCT/JP2012/066758 2012-06-29 2012-06-29 中継装置、情報処理装置、アクセス制御方法およびプログラム WO2014002265A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2014522333A JP5800089B2 (ja) 2012-06-29 2012-06-29 中継装置、情報処理装置、アクセス制御方法およびプログラム
PCT/JP2012/066758 WO2014002265A1 (ja) 2012-06-29 2012-06-29 中継装置、情報処理装置、アクセス制御方法およびプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2012/066758 WO2014002265A1 (ja) 2012-06-29 2012-06-29 中継装置、情報処理装置、アクセス制御方法およびプログラム

Publications (1)

Publication Number Publication Date
WO2014002265A1 true WO2014002265A1 (ja) 2014-01-03

Family

ID=49782488

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/066758 WO2014002265A1 (ja) 2012-06-29 2012-06-29 中継装置、情報処理装置、アクセス制御方法およびプログラム

Country Status (2)

Country Link
JP (1) JP5800089B2 (ja)
WO (1) WO2014002265A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5970494B2 (ja) * 2014-04-15 2016-08-17 西日本電信電話株式会社 中継装置、認証制御方法及びコンピュータプログラム

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002223228A (ja) * 2000-11-17 2002-08-09 Alcatel Internetworking Inc 通信ネットワークのための統合ポリシー実施サービス
JP2005159683A (ja) * 2003-11-25 2005-06-16 Nippon Telegr & Teleph Corp <Ntt> 情報通過制御システム、情報通過制御装置、プログラム及び記録媒体

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002223228A (ja) * 2000-11-17 2002-08-09 Alcatel Internetworking Inc 通信ネットワークのための統合ポリシー実施サービス
JP2005159683A (ja) * 2003-11-25 2005-06-16 Nippon Telegr & Teleph Corp <Ntt> 情報通過制御システム、情報通過制御装置、プログラム及び記録媒体

Also Published As

Publication number Publication date
JPWO2014002265A1 (ja) 2016-05-30
JP5800089B2 (ja) 2015-10-28

Similar Documents

Publication Publication Date Title
US7406524B2 (en) Secret session supporting load balancer
JP5824911B2 (ja) 情報処理装置、情報処理プログラムおよび管理方法
JP5480265B2 (ja) セキュアなリソース名前解決
US8910248B2 (en) Terminal connection status management with network authentication
JP5088100B2 (ja) Ｉｐネットワークシステム、そのアクセス制御方法、ｉｐアドレス配布装置、及びｉｐアドレス配布方法
WO2022247751A1 (zh) 远程访问应用的方法、系统、装置、设备及存储介质
US20100014529A1 (en) Network Communication Apparatus, Network Communication Method, And Address Management Apparatus
CN110995656B (zh) 负载均衡方法、装置、设备及存储介质
CA2404910C (en) Data networks
CN109379339B (zh) 一种Portal认证方法及装置
US20130100857A1 (en) Secure Hotspot Roaming
CN108600225B (zh) 一种认证方法及装置
US11784993B2 (en) Cross site request forgery (CSRF) protection for web browsers
KR102359070B1 (ko) 접속 및 인증 요청들이 재방향설정되는 포털 주소들로 서브캐리어 디바이스 식별자들을 매핑하고 대량 가입자 장치 설정을 용이하게 하는 포털 집성 서비스
CN110971701B (zh) 物联网通信方法及装置
JP5979304B2 (ja) プログラム、情報処理装置および更新方法
JP5800089B2 (ja) 中継装置、情報処理装置、アクセス制御方法およびプログラム
JP2010187314A (ja) 認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法
JP6378121B2 (ja) ゲートウェイ装置及び通信方法
US20100257274A1 (en) Communication system, communication method, and shared-authentication apparatus
JP4886651B2 (ja) Ｌａｎ制御情報管理装置、ｌａｎ制御システムおよびｌａｎ制御情報管理方法
JP2007060610A (ja) ネットワーク接続システム、ネットワーク接続装置、そのプログラムおよび記録媒体
JP4878043B2 (ja) アクセス制御システム、接続制御装置および接続制御方法
WO2008016972A2 (en) Supporting a response to a mid-dialog failure
CN114499965B (zh) 一种基于pop3协议的上网认证方法及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12879615

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2014522333

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12879615

Country of ref document: EP

Kind code of ref document: A1