WO2019220632A1 - 中継装置及び通信システム - Google Patents

Abstract

複数の入出力ポート（１１１）と、認証の対象となる中継装置である対象中継装置の認証を行うための認証情報を記憶する認証情報記憶部（１１４）と、対象中継装置に接続される入出力ポート（１１１）である対象入出力ポートを介して、対象中継装置の認証を行うための認証パケットである対象認証パケットを取得して、認証情報を参照して、対象中継装置の認証を行う認証処理部（１１３）と、対象中継装置の認証に成功した場合に、対象入出力ポートを介して取得された転送パケットを、転送パケットの転送先が接続されている入出力ポート（１１１）である転送入出力ポートから出力させ、対象中継装置の認証に失敗した場合に、転送パケットを廃棄する中継処理部（１１２）とを備える。

Description

中継装置及び通信システム

　本発明は、中継装置及び通信システムに関する。

　ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）では、データパケットの中継を行うために、スイッチングハブ又はルーター等のパケット中継装置を用いている。代表的なパケット中継装置は、Ｅｔｈｅｒｎｅｔ（登録商標）に対応したスイッチングハブ又はＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）に対応したルーター等の装置があり、ＩＥＥＥ８０２．１Ｘ又はＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレス認証等により、接続された端末装置等に対して認証を行い、ネットワークのセキュリティを確保している（例えば、特許文献１参照）。

特開２００１－１８６１８６号公報

　従来のパケットの中継装置は、ＩＥＥＥ８０２．１Ｘ又はＭＡＣアドレス等の認証が設定されたポートに対して接続された装置と、中継装置との間でセキュリティを確保している。従って、中継装置間では認証処理設定がされておらず、認証処理が行われてない。このため、中継装置間のポートに対してはセキュリティが確保できておらずネットワーク全体のセキュリティを確保することが難しいという問題点があった。

　また、中継装置を含むネットワーク全体のセキュリティ確保のためＭＡＣアドレス等からホワイトリストを作成し、認証をする方法もある。しかしながら、このような方法では、大規模なネットワークでは中継装置への機能追加が大きくなりコスト等が高くなる問題点、及び、新たに装置を追加する際にネットワーク全体で新たにホワイトリストを更新する必要がある等の問題点があった。

　そこで、本発明の１又は複数の態様は、パケット中継装置間のセキュリティを確保し、ネットワーク全体のセキュリティを確保できるようにすることを目的としている。

　本発明の１態様に係る中継装置は、複数の中継装置の各々に、各々が接続される複数の入出力ポートと、前記複数の中継装置の内、認証の対象となる中継装置である対象中継装置の認証を行うための認証情報を記憶する認証情報記憶部と、前記複数の入出力ポートの内、前記対象中継装置に接続される入出力ポートである対象入出力ポートを介して、前記対象中継装置の認証を行うための認証パケットである対象認証パケットを取得して、前記認証情報を参照して、前記対象中継装置の認証を行う認証処理部と、前記対象中継装置の認証に成功した場合に、前記対象入出力ポートを介して取得された転送パケットを、前記複数の入出力ポートの内、前記転送パケットの転送先が接続されている入出力ポートである転送入出力ポートから出力させ、前記対象中継装置の認証に失敗した場合に、前記転送パケットを廃棄する中継処理部と、を備えることを特徴とする。

　本発明の１態様に係る通信システムは、複数の中継装置を備える通信システムであって、前記複数の中継装置の各々は、自装置を除く前記複数の中継装置の各々に、各々が接続される複数の入出力ポートと、前記複数の中継装置の内、認証の対象となる中継装置である対象中継装置の認証を行うための認証情報を記憶する認証情報記憶部と、前記複数の入出力ポートの内、前記対象中継装置に接続される入出力ポートである対象入出力ポートを介して、前記対象中継装置の認証を行うための対象認証パケットを取得して、前記認証情報を参照して、前記対象中継装置の認証を行う認証処理部と、前記対象中継装置の認証に成功した場合に、前記対象入出力ポートを介して取得された転送パケットを、前記複数の入出力ポートの内、前記転送パケットの転送先が接続されている入出力ポートである転送入出力ポートから出力させ、前記対象中継装置の認証に失敗した場合に、前記転送パケットを廃棄する中継処理部と、前記対象中継装置で認証を受けるための認証パケットである送信認証パケットを生成し、前記対象入出力ポートを介して、前記対象中継装置に送る認証パケット生成部と、を備えることを特徴とする。

　本発明の一態様によれば、パケット中継装置間のセキュリティを確保し、ネットワーク全体のセキュリティを確保することができる。

実施の形態１～４に係る通信システムの構成を概略的に示すブロック図である。 実施の形態１における中継装置の構成を概略的に示すブロック図である。 実施の形態１における認証情報の一例を示す概略図である。 実施の形態１における認証パケットのフォーマット例を示す概略図である。 実施の形態１における転送情報の一例を示す概略図である。 （Ａ）及び（Ｂ）は、ハードウェア構成例を示すブロック図である。 実態の形態１における中継装置の認証動作を示すフローチャートである。 認証データテーブルのエントリの更新動作を示すフローチャートである。 実施の形態１における中継装置が認証パケットを送信する動作を示すフローチャートである。 実施の形態２における中継装置の構成を概略的に示すブロック図である。 照会パケットのフォーマット例を示す概略図である。 照会情報の一例を示す概略図である。 実態の形態２における中継装置の認証動作を示す第１のフローチャートである。 実態の形態２における中継装置の認証動作を示す第２のフローチャートである。 実施の形態３における中継装置の構成を概略的に示すブロック図である。 実施の形態３における認証情報の一例を示す概略図である。 実施の形態３における認証パケットのフォーマット例を示す概略図である。 実態の形態３における中継装置の認証動作を示すフローチャートである。 認証データテーブルの転送遅延時間の更新動作を示すフローチャートである。 実施の形態３における中継装置が認証パケットを送信する動作を示すフローチャートである。 実施の形態４における中継装置の構成を概略的に示すブロック図である。 実施の形態４における認証情報の一例を示す概略図である。 実施の形態４における認証パケットのフォーマット例を示す概略図である。 実態の形態４における中継装置の認証動作を示す第１のフローチャートである。 実態の形態４における中継装置の認証動作を示す第２のフローチャートである。 実施の形態４における中継装置が認証パケットを送信する動作を示すフローチャートである。

実施の形態１．
　図１は、実施の形態１に係る通信システム１００の構成を概略的に示すブロック図である。
　通信システム１００は、複数の中継装置１１０Ａ～１１０Ｄを備える。
　複数の中継装置１１０Ａ～１１０Ｄの各々は、同様に構成されているため、複数の中継装置１１０Ａ～１１０Ｄの各々を特に区別する必要がない場合には、中継装置１１０という。

　情報処理装置としての端末装置１０１Ａ～１０１Ｅは、中継装置１１０を介して、通信を行う。例えば、端末装置１０１Ａから端末装置１０１Ｂにパケットを転送する場合、中継装置１１０Ａ及び中継装置１１０Ｂを介して、そのパケットは、端末装置１０１Ｂに送られる。
　また、端末装置１０１Ａ～１０１Ｄの各々を特に区別する必要がない場合には、端末装置１０１という。

　図２は、中継装置１１０の構成を概略的に示すブロック図である。
　中継装置１１０は、複数の入出力ポート１１１－１～１１１－Ｎ（Ｎは、２以上の整数）と、中継処理部１１２と、認証処理部１１３と、認証情報記憶部１１４と、エージング処理部１１５と、認証パケット生成部１１６と、転送情報記憶部１１７とを備える。
　これら各構成部分は、一方向又は双方向に、信号データの入出力が可能なように接続されている。

　なお、複数の入出力ポート１１１－１～１１１－Ｎの各々を特に区別する必要がない場合には、入出力ポート１１１という。
　入出力ポート１１１は、他の中継装置１１０又は端末装置１０１に接続され、パケットの送受信を行う。入出力ポート１１１は、他の中継装置１１０又は端末装置１０１からパケットを受信した場合には、そのパケットを中継処理部１１２に送る。

　中継処理部１１２は、入出力ポート１１１又は認証パケット生成部１１６からのパケットを、認証情報記憶部１１４に記憶されている認証情報及び転送情報記憶部１１７に記憶されている転送情報に従って転送する。ここで、入出力ポート１１１に接続されている他の中継装置１１０が認証を行うことになっている場合には、中継処理部１１２は、その中継装置１１０の認証が成功した場合に、その中継装置１１０から得られた、認証パケット以外のパケットである転送パケットを転送し、その中継装置１１０の認証が失敗した場合には、その中継装置１１０から得られた転送パケットを廃棄する。
　また、中継処理部１１２は、入出力ポート１１１より認証パケットを取得した場合には、認証処理部１１３に認証パケットを転送する。

　認証処理部１１３は、中継処理部１１２より認証パケットを取得した場合、認証情報記憶部１１４に記憶されている認証情報を参照して、他の中継装置１１０の認証を行う。例えば、認証処理部１１３は、認証パケットに含まれている認証データと、認証情報に含まれている認証データとを比較することで、他の中継装置１１０の認証を行う。
　また、認証処理部１１３は、認証情報記憶部１１４に記憶されている認証情報を編集する機能を有する。

　認証情報記憶部１１４は、他の中継装置１１０の認証を行うための認証情報を記憶する。
　図３は、実施の形態１における認証情報の一例である認証データテーブル１１４ａを示す概略図である。
　認証データテーブル１１４ａは、入出力ポート番号列１１４ｂと、認証データ列１１４ｃと、認証設定列１１４ｄと、ＶＡＬＩＤ列１１４ｅと、ＨＩＴ列１１４ｆとを備え、各々の行が、各々の中継装置１１０を認証するためのデータを格納するエントリとなっている。

　入出力ポート番号列１１４ｂは、入出力ポート１１１を識別するための入出力ポート識別情報としての入出力ポート番号を格納する。入出力ポート１１１－１～１１１－Ｎの各々には、予め一意となる入出力ポート番号が割り振られているものとする。

　認証データ列１１４ｃは、中継装置１１０の認証に用いられる認証データを格納する。認証データとして、例えば、ＭＡＣアドレス、ＩＰアドレス、ＯＵＩ（Ｏｒｇａｎｉｚａｔｉｏｎ　Ｕｎｉｑｕｅ　Ｉｄｅｎｔｉｆｉｅｒ）及び任意のデータの何れか１つが使用されればよい。なお、認証データ列１１４ｃに格納されている認証データを比較用認証データともいう。

　認証設定列１１４ｄは、中継装置１１０の認証を行うか否かを示す認証設定を格納する。認証設定が「Ｅｎａｂｌｅ」である場合には、認証を行い、認証設定が「Ｄｉｓａｂｅｌ」である場合には、認証を行わないことを示す。

　ＶＡＬＩＤ列１１４ｅは、中継装置１１０の認証に成功したか否かを示す第１のフラグであるＶＡＬＩＤの値を格納する。ＶＡＬＩＤの値が第１の値である「１」である場合には、認証に成功し、ＶＡＬＩＤの値が第２の値である「０」である場合には、認証に失敗したことを示す。

　ＨＩＴ列１１４ｆは、中継装置１１０から、エージングタイマ内に、認証に成功した認証パケットを受信したか否かを示す第２のフラグであるＨＩＴの値を格納する。ＨＩＴの値が第３の値である「１」である場合には、そのような認証パケットが受信されたことを示し、ＨＩＴの値が第４の値である「０」である場合には、そのような認証パケットが受信されていないことを示す。

　以上のように、認証データテーブル１１４ａによれば、入出力ポート番号と、認証データと、認証設定と、ＶＡＬＩＤの値と、ＨＩＴの値とが対応付けられる。
　なお、認証データテーブル１１４ａにおいて、認証設定が「Ｅｎａｂｌｅ」となっている入出力ポート番号で示される入出力ポート１１１を対象入出力ポートともいい、対象入出力ポートに接続されている中継装置１１０を対象中継装置ともいう。対象中継装置からの認証パケットを対象認証パケットともいう。対象中継装置からの転送パケットの転送先が接続されている入出力ポート１１１を転送入出力ポートともいう。

　図２に戻り、エージング処理部１１５は、認証データテーブル１１４ａのＶＡＬＩＤ又はＨＩＴの値を更新するまでの時間を、エージングタイマとして管理する。例えば、エージングタイマは、１秒～１０秒程度であればよい。
　エージング処理部１１５は、エージングタイマが満了する毎に、認証データテーブル１１４ａ内のエントリを順次読み出し、全エントリの更新を行う。

　認証パケット生成部１１６は、認証パケットを送信するまでの時間を、送信タイマとして管理する。送信タイマは、エージングタイマよりも短い時間とする。
　認証パケット生成部１１６は、送信タイマが満了する毎に、認証パケットを生成し、それを中継処理部１１２に与える。なお、認証パケット生成部１１６で生成される認証パケットを送信認証パケットともいう。

　図４は、認証パケット１３０のフォーマット例を示す概略図である。
　認証パケット１３０は、Ｅｔｈｅｒｎｅｔヘッダ１３０ａと、データ部１３０ｂとを備える。
　Ｅｔｈｅｒｎｅｔヘッダ１３０ａは、宛先アドレス、送信元アドレス及びタイプを格納する。
　データ部１３０ｂは、認証データを格納する。
　なお、Ｅｔｈｅｒｎｅｔヘッダ１３０ａのタイプ又はデータ部１３０ｂに、認証パケット１３０であることを示す値がセットされる。

　なお、認証パケット１３０については、ＡＥＳ（Ａｄｖａｎｃｅｄ　Ｅｎｃｙｐｔｉｏｎ　Ｓｔａｎｄａｒｄ）等の暗号化が施されてもよい。

　図２に戻り、転送情報記憶部１１７は、入出力ポート１１１からパケットを転送するための転送情報を記憶する。
　図５は、転送情報の一例である転送テーブル１１７ａを示す概略図である。
　転送テーブル１１７ａは、ＭＡＣアドレス列１１７ｂと、入出力ポート番号列１１７ｃとを備え、各々の行が、パケットを転送するためのデータを格納するエントリとなっている。

　ＭＡＣアドレス列１１７ｂは、中継装置１１０の通信アドレスであるＭＡＣアドレスを格納する。
　入出力ポート番号列１１７ｃは、中継装置１１０が接続されている入出力ポート１１１の入出力ポート番号を格納する。
　転送テーブル１１７ａによれば、ＭＡＣアドレスと、入出力ポート番号とが対応付けられる。

　以上に記載された中継処理部１１２、認証処理部１１３、エージング処理部１１５及び認証パケット生成部１１６の一部又は全部は、例えば、図６（Ａ）に示されているように、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔｓ）又はＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）等の処理回路１０で構成することができる。

　また、中継処理部１１２、認証処理部１１３、エージング処理部１１５及び認証パケット生成部１１６の一部は、例えば、図６（Ｂ）に示されているように、メモリ１１と、メモリ１１に格納されているプログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）等のプロセッサ１２とにより構成することもできる。このようなプログラムは、ネットワークを通じて提供されてもよく、また、記録媒体に記録されて提供されてもよい。即ち、このようなプログラムは、例えば、プログラムプロダクトとして提供されてもよい。

　なお、認証情報記憶部１１４及び転送情報記憶部１１７は、揮発性又は不揮発性のメモリで構成することができる。

　図７は、実態の形態１における中継装置１１０の認証動作を示すフローチャートである。
　なお、中継装置１１０の認証処理部１１３により、認証情報記憶部１１４に記憶されている認証データテーブル１１４ａのエントリに対して、入出力ポート番号、認証データ、認証設定の「Ｅｎａｂｌｅ」又は「Ｄｉｓａｂｌｅ」が設定されているものとする。

　また、図７のフローチャートは、入出力ポート１１１がパケットを受信することにより開始される。
　まず、中継処理部１１２は、パケットを受信した入出力ポート１１１から、そのパケットを取得する（Ｓ１０）。

　次に、中継処理部１１２は、認証データテーブル１１４ａを参照することで、そのパケットを受信した入出力ポート１１１に対応するエントリの認証設定が「Ｅｎａｂｌｅ」であるか否かを判断する（Ｓ１１）。言い換えると、パケットを受信した入出力ポート１１１に接続されている中継装置１１０が認証を行う中継装置であるか否かを判断する。「Ｅｎａｂｌｅ」である場合（Ｓ１１でＹｅｓ）には、処理はステップＳ１２に進み、「Ｅｎａｂｌｅ」ではなく、「Ｄｉｓａｂｌｅ」である場合（Ｓ１１でＮｏ）には、処理はステップＳ１５に進む。

　ステップＳ１２では、中継処理部１１２は、ステップＳ１１で取得されたパケットが認証パケット１３０であるか否かを判断する。例えば、中継処理部１１２は、Ｅｔｈｅｒｎｅｔヘッダ１３０ａのタイプ又はデータ部１３０ｂに、認証パケット１３０であることを示す値がセットされているか否かにより、この判断を行えばよい。認証パケット１３０である場合（Ｓ１２でＹｅｓ）には、中継処理部１１２は、その認証パケット１３０を認証処理部１１３に送るとともに、その認証パケット１３０を受信した入出力ポート１１１の入出力ポート番号を認証処理部１１３に通知し、処理はステップＳ１３に進む。認証パケット１３０ではない場合（Ｓ１２でＮｏ）には、処理はステップＳ１６に進む。

　ステップＳ１３では、認証処理部１１３は、認証情報記憶部１１４に記憶されている認証データテーブル１１４ａを参照し、中継処理部１１２から通知された入出力ポート番号に対応するエントリの認証データと、中継処理部１１２から与えられた認証パケット１３０に格納されている認証データとが一致するか否かを判断する（Ｓ１３）。これらが一致する場合には、認証パケット１３０を送ってきた中継装置１１０の認証が成功したと判断して、処理はステップＳ１４に進む。これらが一致しない場合には、処理は終了する。

　ステップＳ１４では、認証処理部１１３は、中継処理部１１２から通知された入出力ポート番号に対応するエントリのＶＡＬＩＤの値を「１」に、ＨＩＴの値を「１」に更新する。

　ステップＳ１５では、中継処理部１１２は、ステップＳ１１で取得されたパケットが認証パケット１３０であるか否かを判断する。認証パケット１３０である場合（Ｓ１５でＹｅｓ）には、処理はステップＳ１７に進み、中継処理部１１２は、そのパケットを廃棄する。認証パケット１３０ではない場合（Ｓ１５でＮｏ）には、処理はステップＳ１８に進み、中継装置１１０からの通常のパケット（転送パケット）であるため、中継処理部１１２は、転送情報記憶部１１７に記憶されている転送テーブル１１７ａを参照して、パケットの宛先に対応する入出力ポート１１１へパケットを転送する。

　ステップＳ１６では、中継処理部１１２は、認証情報記憶部１１４に記憶されている認証データテーブル１１４ａを参照することで、そのパケットを受信した入出力ポート１１１に対応するエントリのＶＡＬＩＤの値が「１」であるか否か、言い換えると、そのパケットを送信した中継装置１１０の認証が成功しているか否かを判断する。その値が「１」ではなく、「０」である場合（Ｓ１６でＮｏ）には、その中継装置１１０の認証に失敗しているため、処理はステップＳ１７に進み、中継処理部１１２は、そのパケットを廃棄する。その値が「１」である場合（Ｓ１６でＹｅｓ）には、処理はステップＳ１８に進み、その中継装置１１０の認証が成功しているため、中継処理部１１２は、転送情報記憶部１１７に記憶されている転送テーブル１１７ａを参照して、パケットの宛先に対応する入出力ポート１１１へパケットを転送する。

　図８は、認証データテーブル１１４ａのエントリの更新動作を示すフローチャートである。
　エージング処理部１１５は、保有するエージングタイマが満了したタイミング、言い換えると予め定められたエージング更新待機時間が経過したタイミングで、エントリの更新動作を開始する（Ｓ２０）。
　エージング処理部１１５は、認証データテーブル１１４ａのエントリから、まだ更新処理を行っていない１つのエントリを読み出す（Ｓ２１）。

　次に、エージング処理部１１５は、ステップＳ２１で読み出されたエントリのＨＩＴの値が「１」であるか否か、言い換えると、読み出されたエントリに対応する中継装置１１０が認証に成功した認証パケット１３０をエージングタイマに対応する予め定められた時間内に送ってきたか否かを判断する（Ｓ２２）。その値が「１」の場合（Ｓ２２でＹｅｓ）は、処理はステップＳ２３に進み、その値が「１」ではなく「０」である場合（Ｓ２２でＮｏ）には、処理はステップＳ２４に進む。

　ステップＳ２３では、エージング処理部１１５は、ステップＳ２１で読み出されたエントリのＨＩＴの値を「０」に更新する。そして、処理はステップＳ２５に進む。
　一方、ステップＳ２４では、エージング処理部１１５は、ステップＳ２１で読み出されたエントリが無効となるように、そのエントリのＶＡＬＩＤの値を「０」に更新する。そして、処理はステップＳ２５に進む。

　ステップＳ２５では、エージング処理部１１５は、認証データテーブル１１４ａのエントリの読み出しを完了したか否かを判断する。全てのエントリが読み出されている場合（Ｓ２５でＹｅｓ）には、処理はステップＳ２６に進み、まだ読み出されていないエントリが残っている場合（Ｓ２５でＮｏ）には、処理はステップＳ２１に戻る。

　ステップＳ２６では、エージング処理部１１５は、エージングタイマをクリアして、再び、予め定められたエージング更新待機時間の計測を行う。

　図９は、中継装置１１０が認証パケット１３０を送信する動作を示すフローチャートである。
　認証パケット生成部１１６は、保有する送信タイマが満了したタイミング、言い換えると、予め定められた送信待機時間が経過したタイミングで、認証パケット１３０の送信動作を開始する（Ｓ３０）。

　認証パケット生成部１１６は、認証データをデータ部１３０ｂに格納した認証パケット１３０を生成し、その認証パケット１３０を中継処理部１１２に送る（Ｓ３１）。
　認証パケット生成部１１６から認証パケット１３０を取得した中継処理部１１２は、認証情報記憶部１１４に記憶されている認証データテーブル１１４ａを参照して、認証設定が「Ｅｎａｂｌｅ」となっているエントリ、言い換えると、認証を行う中継装置に対応するエントリがあるか否かを判断する（Ｓ３２）。認証設定が「Ｅｎａｂｌｅ」となっているエントリがある場合（Ｓ３２でＹｅｓ）には、処理はステップＳ３３に進み、認証設定が「Ｅｎａｂｌｅ」となっているエントリがない場合（Ｓ３２でＮｏ）には、処理はステップＳ３４に進む。

　ステップＳ３３では、中継処理部１１２は、認証設定が「Ｅｎａｂｌｅ」となっているエントリの入出力ポート番号に対応する入出力ポート１１１に認証パケット１３０を転送し、その入出力ポート１１１から中継装置１１０にその認証パケット１３０を送信させる。そして、処理はステップＳ３５に進む。

　ステップＳ３４では、中継処理部１１２は、取得された認証パケット１３０を廃棄する。そして、処理はステップＳ３５に進む。

　ステップＳ２６では、認証パケット生成部１１６は、送信タイマをクリアして、再び、予め定められた送信待機時間の計測を行う。

　以上のように、実施の形態１によれば、中継装置１１０間で相互に認証処理を行うことで、認証に成功した入出力ポート１１１のパケットを転送することができ、ネットワークの不正使用を防止することが可能になる等、ネットワークのセキュリティを向上することができる。
　また、実施の形態１における中継装置１１０は、ＶＡＬＩＤ及びＨＩＴという２つのフラグを用いることにより、パケットの転送不可期間を回避することができる。

　なお、実施の形態１は、中継装置１１０に限らず、パケットを送信する装置であれば適用可能である。

実施の形態２．
　実施の形態１では、中継装置１１０の認証データテーブル１１４ａ内のエントリによる認証動作を示したが、実施の形態２では、認証データテーブル１１４ａ内に対応するエントリがない場合に、別の装置が認証を行う例を説明する。

　図１に示されているように、実施の形態２に係る通信システム２００は、複数の中継装置２１０Ａ～２１０Ｄを備える。
　複数の中継装置２１０Ａ～２１０Ｄの各々は、同様に構成されているため、複数の中継装置２１０Ａ～２１０Ｄの各々を特に区別する必要がない場合には、中継装置２１０という。
　なお、実施の形態２でも、端末装置１０１Ａ～１０１Ｅは、中継装置２１０を介して、通信を行う。

　図１０は、中継装置２１０の構成を概略的に示すブロック図である。
　中継装置２１０は、複数の入出力ポート１１１と、中継処理部１１２と、認証処理部２１３と、認証情報記憶部１１４と、エージング処理部１１５と、認証パケット生成部１１６と、転送情報記憶部１１７と、照会部２１８と、照会情報記憶部２１９とを備える。
　実施の形態２における中継装置２１０の入出力ポート１１１、中継処理部１１２、認証情報記憶部１１４、エージング処理部１１５、認証パケット生成部１１６及び転送情報記憶部１１７は、実施の形態１における中継装置１１０の入出力ポート１１１、中継処理部１１２、認証情報記憶部１１４、エージング処理部１１５、認証パケット生成部１１６及び転送情報記憶部１１７と同様である。

　認証処理部２１３は、中継処理部１１２より認証パケット１３０を取得した場合、認証情報記憶部１１４に記憶されている認証情報を用いて、他の中継装置２１０の認証を行う。
　ここで、認証処理部２１３は、他の中継装置２１０の認証に失敗した場合、言い換えると、認証データテーブル１１４ａに、認証パケット１３０を受信した入出力ポート１１１の入出力ポート番号及び認証パケット１３０に含まれている認証データに対応するエントリがない場合に、その認証データを照会部２１８に送り、照会を依頼する。

　照会部２１８は、認証処理部２１３からの依頼に応じて、照会情報記憶部２１９に記憶されている照会情報を参照して、他の中継装置２１０に、認証データの照会を行う。具体的には、照会部２１８は、中継処理部１１２及び入出力ポート１１１を介して、照会パケットを他の中継装置２１０に送ることで、認証データの照会を行う。これにより、照会部２１８は、自装置で認証に失敗した中継装置２１０の認証を、他の中継装置２１０に照会する。

　図１１は、照会パケット２４０のフォーマット例を示す概略図である。
　照会パケット２４０は、Ｅｔｈｅｒｎｅｔヘッダ２４０ａと、データ部２４０ｂとを備える。
　Ｅｔｈｅｒｎｅｔヘッダ２４０ａは、宛先アドレス、送信元アドレス及びタイプを格納する。
　データ部２４０ｂは、照会対象となる認証データを格納する。
　なお、Ｅｔｈｅｒｎｅｔヘッダ２４０ａのタイプ又はデータ部２４０ｂに、照会パケット２４０であることを示す値がセットされる。

　そして、照会部２１８は、その照会の結果に応じて、認証情報記憶部１１４に記憶されている認証データテーブル１１４ａのエントリを編集する。これにより、中継処理部１１２は、自装置で認証に失敗しても、他の装置で認証に成功した中継装置２１０からの転送パケットを転送することができる。
　また、照会部２１８は、照会情報記憶部２１９に記憶されている照会情報に、照会を行う他の中継装置２１０の装置データを格納する機能を有する。

　照会情報記憶部２１９は、認証データの照会先である中継装置２１０を示す照会情報を記憶する。
　図１２は、照会情報の一例である照会テーブル２１９ａを示す概略図である。
　照会テーブル２１９ａは、エントリ列２１９ｂと、装置データ列２１９ｃとを備え、各々の行が、認証データの照会先を示すデータを格納するエントリとなっている。
　エントリ列２１９ｂは、エントリを識別するためのエントリ識別情報であるエントリ番号を格納する。エントリ番号として、例えば、「１」から順に連番が割り当てられている。

　装置データ列２１９ｃは、照会先である中継装置２１０を識別するための中継装置識別情報である装置データを格納する。装置データは、例えば、ＭＡＣアドレス、ＩＰアドレス、ＯＵＩ及び任意のデータの少なくとも何れか一つであればよい。
　なお、エントリ列２１９ｂのエントリ番号が若いエントリに対応する中継装置２１０から順に、照会先として特定されるものとする。

　以上に記載された中継処理部１１２、認証処理部２１３、エージング処理部１１５、認証パケット生成部１１６及び照会部２１８の一部又は全部は、例えば、図６（Ａ）に示されているように、処理回路１０で構成することができる。

　また、中継処理部１１２、認証処理部２１３、エージング処理部１１５、認証パケット生成部１１６及び照会部２１８の一部は、例えば、図６（Ｂ）に示されているように、メモリ１１と、メモリ１１に格納されているプログラムを実行するプロセッサ１２とにより構成することもできる。このようなプログラムは、ネットワークを通じて提供されてもよく、また、記録媒体に記録されて提供されてもよい。即ち、このようなプログラムは、例えば、プログラムプロダクトとして提供されてもよい。
　なお、認証情報記憶部１１４、転送情報記憶部１１７及び照会情報記憶部２１９は、揮発性又は不揮発性のメモリで構成することができる。

　図１３及び図１４は、実態の形態２における中継装置２１０の認証動作を示すフローチャートである。
　なお、図１３及び図１４に示されているフローチャートの処理の内、実施の形態１における図７に示されているフローチャートと同様の処理については、図７と同様の符号を付すことにより、詳細な説明を省略する。

　図１３のステップＳ１０～Ｓ１８の処理は、図７のステップＳ１０～Ｓ１８の処理と同様である。
　但し、図１３のステップＳ１３でＮｏと判断された場合、言い換えると、中継処理部１１２から通知された入出力ポート番号に対応するエントリの認証データと、中継処理部１１２から与えられた認証パケット１３０に格納されている認証データとが一致しない場合には、処理は図１４のステップＳ２０に進む。この場合、認証処理部２１３は、照会部２１８に、認証データを送り、照会を依頼する。

　図１４のステップＳ２０では、照会の依頼を受けた照会部２１８は、照会情報記憶部２１９に記憶されている照会テーブル２１９ａに装置データが登録されているか否かを判断する。装置データが登録されている場合（Ｓ２０でＹｅｓ）には、処理はステップＳ２１に進み、装置データが登録されていない場合（Ｓ２０でＮｏ）には、処理は終了する。

　ステップＳ２１では、照会部２１８は、照会テーブル２１９ａを参照して、まだ照会を実行していない装置データで示される中継装置２１０に、中継処理部１１２及び入出力ポート１１１を介して照会パケット２４０を送ることで、照会を実行する。

　照会パケット２４０を受信した中継装置２１０では、照会部２１８は、照会パケット２４０に含まれている認証データと一致する認証データが、自装置の認証情報記憶部１１４に記憶されている認証データテーブル１１４ａの何れかのエントリに格納されているか否かを判断する。そのような認証データが何れかのエントリに格納されている場合には、照会部２１８は、中継処理部１１２及び入出力ポート１１１を介して、照会元の中継装置２１０に認証成功の応答パケットを送る。そのような認証データが何れのエントリにも格納されていない場合には、照会部２１８は、中継処理部１１２及び入出力ポート１１１を介して、照会元の中継装置２１０に認証失敗の応答パケットを送る。

　そして、照会元の照会部２１８は、照会先の応答パケットにより、認証が成功したか否かを判断する（Ｓ２２）。認証に成功した場合（Ｓ２２でＹｅｓ）には、処理はステップＳ２３に進み、認証に失敗した場合（Ｓ２２でＮｏ）には、処理はステップＳ２４に進む。

　ステップＳ２３では、照会部２１８は、認証データテーブル１１４ａにおいて、図１３のステップＳ１０で認証パケット１３０を受信した入出力ポート１１１の入出力ポート番号に対応するエントリを特定し、そのエントリに、その認証パケット１３０に格納されていた認証データ、認証設定「Ｅｎａｂｌｅ」、ＶＡＬＩＤの値「１」及びＨＩＴの値「１」を格納する。

　ステップＳ２４では、照会部２１８は、照会テーブル２１９ａの全エントリに対して照会を実行したか否かを判断する。まだ照会を行っていないエントリがある場合（Ｓ２４でＮｏ）には、処理はステップＳ２１に戻り、全てのエントリに照会を実行した場合（Ｓ２４でＹｅｓ）には、処理は終了する。

　以上説明したように、実施の形態２によれば、別の中継装置２１０に対して認証データの照会を行うことで、中継装置２１０毎に個別に管理している認証データテーブル１１４ａを、１つの認証データテーブル１１４ａに統合することができる。

　なお、実施の形態２では、認証データの照会先が別の中継装置２１０であるが、パケットを送受信できる装置であれば、中継装置２１０以外の装置（図示せず）が認証データの認証を行ってもよい。

実施の形態３．
　実施の形態１では、認証データによる認証動作を行っているが、実施の形態３は、時刻同期を行い、認証パケットの遅延時間の照合による認証動作も行う。

　図１に示されているように、実施の形態３に係る通信システム３００は、複数の中継装置３１０Ａ～３１０Ｄを備える。
　複数の中継装置３１０Ａ～３１０Ｄの各々は、同様に構成されているため、複数の中継装置３１０Ａ～３１０Ｄの各々を特に区別する必要がない場合には、中継装置３１０という。
　なお、実施の形態３でも、端末装置１０１Ａ～１０１Ｅは、中継装置３１０を介して、通信を行う。

　図１５は、中継装置３１０の構成を概略的に示すブロック図である。
　中継装置３１０は、複数の入出力ポート１１１と、中継処理部１１２と、認証処理部３１３と、認証情報記憶部３１４と、エージング処理部１１５と、認証パケット生成部３１６と、転送情報記憶部１１７と、時刻同期処理部３２０と、遅延算出部３２１とを備える。
　実施の形態３における中継装置３１０の入出力ポート１１１、中継処理部１１２、エージング処理部１１５及び転送情報記憶部１１７は、実施の形態１における中継装置１１０の入出力ポート１１１、中継処理部１１２、エージング処理部１１５及び転送情報記憶部１１７と同様である。

　認証処理部３１３は、中継処理部１１２より認証パケットを取得した場合、認証情報記憶部３１４に記憶されている認証情報を用いて、他の中継装置３１０の認証を行う。例えば、認証処理部３１３は、実施の形態１と同様に、認証データによる認証を行うとともに、遅延算出部３２１に認証パケットの遅延時間を算出させ、算出された遅延時間が、認証情報に格納されている許容される転送遅延時間の範囲を示す転送遅延時間の範囲内であるか否かによっても、認証を行う。具体的には、認証処理部３１３は、中継処理部１１２より認証パケットを取得した時に、時刻同期処理部３２０から時刻を取得して、取得された時刻を受信時刻として、認証パケットに含まれている送信時刻とともに、遅延算出部３２１に送ることで、遅延算出部３２１に遅延時間を算出させる。

　また、認証処理部３１３は、遅延算出部３２１で計測される更新タイマが満了する毎に、認証データテーブル３１４ａに格納されている転送遅延時間を更新する。例えば、認証処理部３１３は、入出力ポート番号毎に、算出された遅延時間を保持しておき、保持された遅延時間を用いて、転送遅延時間を算出する。
　また、認証処理部３１３は、認証情報記憶部３１４に記憶されている認証情報を編集する機能を有する。

　認証情報記憶部３１４は、他の中継装置３１０の認証を行うための認証情報を記憶する。
　図１６は、実施の形態３における認証情報の一例である認証データテーブル３１４ａを示す概略図である。
　認証データテーブル３１４ａは、入出力ポート番号列３１４ｂと、認証データ列３１４ｃと、認証設定列３１４ｄと、ＶＡＬＩＤ列３１４ｅと、ＨＩＴ列３１４ｆと、遅延時間算出設定列３１４ｇと、転送遅延時間列３１４ｈとを備え、各々の行が、各々の中継装置３１０を認証するためのデータを格納するエントリとなっている。

　入出力ポート番号列３１４ｂは、入出力ポート番号を格納する。
　認証データ列３１４ｃは、中継装置３１０の認証を行うための認証データを格納する。
　認証設定列３１４ｄは、中継装置３１０の認証を行うか否かを示す認証設定を格納する。
　ＶＡＬＩＤ列３１４ｅは、ＶＡＬＩＤの値を格納する。
　ＨＩＴ列３１４ｆは、ＨＩＴの値を格納する。

　遅延時間算出設定列３１４ｇは、遅延時間による中継装置３１０の認証を行うか否かを示す遅延時間算出設定を格納する。遅延時間算出設定が「Ｅｎａｂｌｅ」である場合には、遅延時間による認証を行い、遅延時間算出設定が「Ｄｉｓａｂｅｌ」である場合には、遅延時間による認証を行わないことを示す。
　転送遅延時間列３１４ｈは、許容される転送遅延時間の範囲を示す転送遅延時間を格納する。

　以上のように、認証データテーブル３１４ａによれば、入出力ポート番号と、認証データと、認証設定と、ＶＡＬＩＤの値と、ＨＩＴの値と、遅延時間算出設定と、転送遅延時間とが対応付けられる。

　図１５に戻り、認証パケット生成部３１６は、認証パケットを送信するまでの時間を、送信タイマとして管理する。
　認証パケット生成部３１６は、送信タイマが満了する毎に、認証パケットを生成し、それを中継処理部１１２に与える。ここで、認証パケット生成部３１６は、認証パケットを生成する際に、時刻同期処理部３２０から時刻を取得して、取得された時刻を、認証パケットの送信時刻として、認証パケットに格納する。

　図１７は、認証パケット３３０のフォーマット例を示す概略図である。
　認証パケット３３０は、Ｅｔｈｅｒｎｅｔヘッダ３３０ａと、データ部３３０ｂとを備える。
　Ｅｔｈｅｒｎｅｔヘッダ３３０ａは、宛先アドレス、送信元アドレス及びタイプを格納する。
　データ部３３０ｂは、認証データ及び送信時刻を格納する。
　なお、Ｅｔｈｅｒｎｅｔヘッダ３３０ａのタイプ又はデータ部３３０ｂに、認証パケット３３０であることを示す値がセットされる。

　図１５に戻り、時刻同期処理部３２０は、中継装置３１０における時刻を計時し、他の中継装置３１０との間で時刻の同期をとる。時刻は、例えば、ＮＴＰ（Ｎｅｔｗｏｒｋ　Ｔｉｍｅ　Ｐｒｏｔｏｃｏｌ）又はＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）等により同期させればよい。

　遅延算出部３２１は、認証パケット３３０内の送信時刻と、認証パケット３３０を受信した時刻を比較し、遅延時間を算出する。ここで、認証パケット３３０を受信した時刻については、認証処理部３１３が中継処理部１１２から認証パケット３３０を取得したときに、時刻同期処理部３２０から得られる時刻が用いられればよい。

　また、遅延算出部３２１は、認証データテーブル３１４ａに格納されている転送遅延時間を更新するまでの時間を、更新タイマとして管理する。

　以上に記載された中継処理部１１２、認証処理部３１３、エージング処理部１１５、認証パケット生成部３１６、時刻同期処理部３２０及び遅延算出部３２１の一部又は全部は、例えば、図６（Ａ）に示されているように、処理回路１０で構成することができる。
　また、中継処理部１１２、認証処理部３１３、エージング処理部１１５、認証パケット生成部３１６、時刻同期処理部３２０及び遅延算出部３２１の一部は、例えば、図６（Ｂ）に示されているように、メモリ１１と、メモリ１１に格納されているプログラムを実行するプロセッサ１２とにより構成することもできる。

　図１８は、実態の形態３における中継装置３１０の認証動作を示すフローチャートである。
　なお、図１８に示されているフローチャートの処理の内、実施の形態１における図７に示されているフローチャートと同様の処理については、図７と同様の符号を付すことにより、詳細な説明を省略する。

　図１８のステップＳ１０～Ｓ１８の処理は、図７のステップＳ１０～Ｓ１８の処理と同様である。
　但し、図１８のステップＳ１３でＹｅｓと判断された場合、言い換えると、中継処理部１１２から通知された入出力ポート番号に対応するエントリの認証データと、中継処理部１１２から与えられた認証パケット３３０に格納されている認証データとが一致する場合には、処理は図１８のステップＳ３０に進む。

　ステップＳ３０では、中継処理部１１２は、認証データテーブル３１４ａを参照することで、認証パケット３３０を受信した入出力ポート１１１に対応するエントリの遅延時間算出設定が「Ｅｎａｂｌｅ」であるか否かを判断する。言い換えると、認証パケット３３０を受信した入出力ポート１１１に接続されている中継装置３１０が、遅延時間による認証を行う中継装置であるか否かを判断する。「Ｅｎａｂｌｅ」である場合（Ｓ３０でＹｅｓ）には、処理はステップＳ３１に進み、「Ｅｎａｂｌｅ」ではなく、「Ｄｉｓａｂｌｅ」である場合（Ｓ３０でＮｏ）には、処理はステップＳ１４に進む。

　ステップＳ３１では、認証処理部３１３は、中継処理部１１２から認証パケット３３０を取得した時刻を、時刻同期処理部３２０から取得し、取得された時刻を受信時刻として、認証パケット３３０に格納されている送信時刻とともに、遅延算出部３２１に与える。そして、遅延算出部３２１は、受信時刻から送信時刻を減算することで、認証パケット３３０の遅延時間を算出し、算出された遅延時間を認証処理部３１３に応答する。そして、認証処理部３１３は、認証情報記憶部３１４に記憶されている認証データテーブル３１４ａを参照し、中継処理部１１２から通知された入出力ポート番号に対応するエントリの転送遅延時間で示される範囲に、応答された遅延時間が含まれるか否か、言い換えると、応答された遅延時間が、許容される転送遅延時間であるか否かを判断する。応答された遅延時間が許容される転送遅延時間である場合（Ｓ３１でＹｅｓ）には、処理はステップＳ１４に進み、応答された遅延時間が許容される転送遅延時間を超えている場合（Ｓ３１でＮｏ）には、処理は終了する。

　図１９は、認証データテーブル３１４ａの転送遅延時間の更新動作を示すフローチャートである。
　遅延算出部３２１は、保有する更新タイマが満了したタイミング、言い換えると予め定められた転送遅延時間更新待機時間が経過したタイミング、又は、使用者が遅延測定要求を行ったタイミングで、転送遅延時間の更新動作を開始する（Ｓ４０）。なお、使用者は、中継装置３１０に備えられている入力部（図示せず）を用いて、遅延測定要求を行ってもよく、また、何れかの端末装置１０１Ａ～１０１Ｅから、遅延測定要求を格納したパケットを中継装置３１０に送ることで、遅延測定要求を行ってもよい。

　認証処理部３１３は、入出力ポート番号毎に転送遅延時間を特定する（Ｓ４１）。認証処理部３１３は、例えば、入出力ポート番号毎に記憶されている遅延時間を用いて、入出力ポート番号毎の遅延時間の最小値と最大値に応じて、転送遅延時間を特定する。具体的には、認証処理部３１３は、入出力ポート番号毎の遅延時間の最小値と最大値との範囲により転送遅延時間を特定する。なお、認証処理部３１３は、その最小値及び最大値の少なくとも何れか一方に予め定められた係数を乗算する、その最小値から予め定められた値を減算する、又は、その最大値に予め定められた値を加算する等により、その最小値と最大値との範囲よりも広い範囲により転送遅延時間を特定してもよい。

　認証処理部３１３は、認証データテーブル３１４ａのエントリから、まだ更新処理を行っていない１つのエントリを読み出す（Ｓ４２）。

　次に、認証処理部３１３は、ステップＳ４２で読み出されたエントリのＶＡＬＩＤの値が「１」であり、かつ、そのエントリの遅延時間算出設定が「Ｅｎａｂｌｅ」であるか否か、言い換えると、読み出されたエントリに対応する中継装置３１０の認証が成功しているか否か、及び、その中継装置３１０に対して遅延時間による認証を行うか否かを判断する（Ｓ４３）。ＶＡＬＩＤの値が「１」、かつ、遅延時間算出設定が「Ｅｎａｂｌｅ」である場合（Ｓ４３でＹｅｓ）は、処理はステップＳ４４に進む。ＶＡＬＩＤの値が「０」、又は、遅延時間算出設定が「Ｄｉｓａｂｌｅ」である場合（Ｓ４３でＮｏ）には、処理はステップＳ４５に進む。

　ステップＳ４４では、認証処理部３１３は、ステップＳ４２で読み出されたエントリの転送遅延時間を、対応する入出力ポート番号について特定した転送遅延時間で更新する。そして、処理はステップＳ４５に進む。

　ステップＳ４５では、認証処理部３１３は、認証データテーブル３１４ａのエントリの読み出しを完了したか否かを判断する。全てのエントリが読み出されている場合（Ｓ４５でＹｅｓ）には、処理はステップＳ４６に進み、まだ読み出されていないエントリが残っている場合（Ｓ４５でＮｏ）には、処理はステップＳ４２に戻る。

　ステップＳ４６では、遅延算出部３２１は、認証処理部３１３からの指示に応じて、更新タイマをクリアして、再び、予め定められた転送遅延時間更新待機時間の計測を行う。

　図２０は、中継装置３１０が認証パケット３３０を送信する動作を示すフローチャートである。
　なお、図２０に示されているフローチャートの処理の内、実施の形態１における図９に示されているフローチャートと同様の処理については、図９と同様の符号を付すことにより、詳細な説明を省略する。

　図２０のステップＳ３０の処理は、図９のステップＳ３０の処理と同様である。但し、ステップＳ３０の処理の後、処理はステップＳ５０に進む。
　ステップＳ５０では、認証パケット生成部３１６は、時刻同期処理部３２０から時刻を取得して、取得された時刻を送信時刻として、認証データとともにデータ部３３０ｂに格納した認証パケット３３０を生成し、その認証パケット３３０を中継処理部１１２に送る。そして、処理はステップＳ３２に進む。

　図２０のステップＳ３２～Ｓ３５の処理は、図９のステップＳ３２～Ｓ３５の処理と同様である。

　以上のように、実施の形態３によれば、認証パケット３３０の転送遅延時間を確認することにより、中継装置３１０の間に認証パケット３３０を透過するような機能を有する他の装置が入り込んだ場合に、転送遅延時間の変化によりそのような他の装置による、なりすまし等の不正を検出することができる。このため、実施の形態３は、ネットワークの不正使用を防止することが可能になる等、ネットワークのセキュリティを向上することができる。

　なお、実施の形態３は、中継装置３１０に限らず、時刻同期機能を有し、パケットを送信する装置であれば適用可能である。

実施の形態４．
　実施の形態１では中継装置１１０の認証データによる認証動作を示したが、実施の形態４では、認証パケットのパケット長をランダムに変化させ、次回送信する認証パケットのパケット長情報を今回送信する認証パケット内に追加することで、認証パケットのパケット長の照合により、認証動作を行う。

　図１に示されているように、実施の形態４に係る通信システム４００は、複数の中継装置４１０Ａ～４１０Ｄを備える。
　複数の中継装置４１０Ａ～４１０Ｄの各々は、同様に構成されているため、複数の中継装置４１０Ａ～４１０Ｄの各々を特に区別する必要がない場合には、中継装置４１０という。
　なお、実施の形態４でも、端末装置１０１Ａ～１０１Ｅは、中継装置４１０を介して、通信を行う。

　図２１は、中継装置４１０の構成を概略的に示すブロック図である。
　中継装置４１０は、複数の入出力ポート１１１と、中継処理部１１２と、認証処理部４１３と、認証情報記憶部４１４と、エージング処理部１１５と、認証パケット生成部４１６と、転送情報記憶部１１７と、乱数生成部４２２とを備える。
　実施の形態４における中継装置４１０の入出力ポート１１１、中継処理部１１２、エージング処理部１１５及び転送情報記憶部１１７は、実施の形態１における中継装置１１０の入出力ポート１１１、中継処理部１１２、エージング処理部１１５及び転送情報記憶部１１７と同様である。

　認証処理部４１３は、中継処理部１１２より認証パケットを取得した場合、認証情報記憶部４１４に記憶されている認証情報を用いて、他の中継装置４１０の認証を行う。例えば、認証処理部４１３は、実施の形態１と同様に、認証データによる認証を行うとともに、認証パケットのパケット長によっても認証を行う。
　また、認証処理部４１３は、認証情報記憶部４１４に記憶されている認証情報を編集する機能を有する。

　認証情報記憶部４１４は、他の中継装置１１０の認証を行うための認証情報を記憶する。
　図２２は、実施の形態４における認証情報の一例である認証データテーブル４１４ａを示す概略図である。
　認証データテーブル４１４ａは、入出力ポート番号列４１４ｂと、認証データ列４１４ｃと、認証設定列４１４ｄと、ＶＡＬＩＤ列４１４ｅと、ＨＩＴ列４１４ｆと、パケット長判定設定列４１４ｇと、パケット長列４１４ｈとを備え、各々の行が、各々の中継装置４１０を認証するためのデータを格納するエントリとなっている。

　入出力ポート番号列４１４ｂは、入出力ポート番号を格納する。
　認証データ列４１４ｃは、中継装置４１０の認証を行うための認証データを格納する。
　認証設定列４１４ｄは、中継装置４１０の認証を行うか否かを示す認証設定を格納する。
　ＶＡＬＩＤ列４１４ｅは、中継装置４１０の認証に成功したか否かを示すＶＡＬＩＤの値を格納する。
　ＨＩＴ列４１４ｆは、中継装置４１０から、エージングタイマ内に、認証に成功した認証パケットを受信したか否かを示すＨＩＴの値を格納する。

　パケット長判定設定列４１４ｇは、認証パケットのパケット長による中継装置４１０の認証を行うか否かを示すパケット長判定設定を格納する。パケット長判定設定が「Ｅｎａｂｌｅ」である場合には、パケット長による認証を行い、パケット長判定設定が「Ｄｉｓａｂｅｌ」である場合には、パケット長による認証を行わないことを示す。
　パケット長列４１４ｈは、次回の認証パケットのパケット長を示す次回のパケット長を格納する。

　以上のように、認証データテーブル４１４ａによれば、入出力ポート番号と、認証データと、認証設定と、ＶＡＬＩＤの値と、ＨＩＴの値と、パケット長判定設定と、次回のパケット長とが対応付けられる。

　図２１に戻り、認証パケット生成部４１６は、認証パケットを送信するまでの時間を、送信タイマとして管理する。送信タイマは、エージングタイマよりも短い時間とする。
　認証パケット生成部４１６は、送信タイマが満了する毎に、認証パケットを生成し、それを中継処理部１１２に与える。
　ここで、認証パケット生成部４１６は、認証パケットを生成する際に、乱数生成部４２２から、今回の認証パケットのパケット長に対応する今回の乱数を示す今回の乱数情報と、次回の認証パケットのパケット長に対応する次回の乱数を示す次回の乱数情報とを取得する。そして、認証パケット生成部４１６は、認証データ及び次回の乱数に対応するパケット長である次回の認証パケットのパケット長を含む認証パケットを今回の乱数に対応するパケット長で生成する。

　図２３は、認証パケット４３０のフォーマット例を示す概略図である。
　認証パケット４３０は、Ｅｔｈｅｒｎｅｔヘッダ４３０ａと、データ部４３０ｂとを備える。
　Ｅｔｈｅｒｎｅｔヘッダ４３０ａは、宛先アドレス、送信元アドレス及びタイプを格納する。
　データ部４３０ｂは、認証データ及び次回の認証パケットのパケット長を格納する。
　なお、Ｅｔｈｅｒｎｅｔヘッダ４３０ａのタイプ又はデータ部４３０ｂに、認証パケット４３０であることを示す値がセットされる。
　なお、認証パケット生成部４１６は、例えば、データ部４３０ｂにパディングを行うことで、認証パケット４３０のデータ長を変化させる。

　乱数生成部４２２は、乱数を生成し、生成された乱数を示す乱数情報を認証パケット生成部４１６に与える。例えば、乱数生成部４２２は、中継装置４１０の通信プロトコルで認証パケットのパケット長の範囲が予め定められている場合には、その範囲内の値となるように、乱数を生成する。また、通信プロトコルでそのような範囲が定められていない場合等、中継装置４１０で送受信するパケット長の範囲に制限がない場合であっても、認証パケットのパケット長として好適な範囲が予め定められており、乱数生成部４２２がその範囲内の値となるように乱数を生成することが望ましい。
　なお、乱数の更新タイミングは、認証パケット生成部４１６からの更新要求があったタイミングである。

　以上に記載された中継処理部１１２、認証処理部４１３、エージング処理部１１５、認証パケット生成部４１６及び乱数生成部４２２の一部又は全部は、例えば、図６（Ａ）に示されているように、処理回路１０で構成することができる。
　また、中継処理部１１２、認証処理部４１３、エージング処理部１１５、認証パケット生成部４１６及び乱数生成部４２２の一部は、例えば、図６（Ｂ）に示されているように、メモリ１１と、プロセッサ１２とにより構成することもできる。

　図２４及び図２５は、実態の形態４における中継装置４１０の認証動作を示すフローチャートである。
　なお、図２４及び図２５に示されているフローチャートの処理の内、実施の形態１における図７に示されているフローチャートと同様の処理については、図７と同様の符号を付すことにより、詳細な説明を省略する。

　図２４及び図２５のステップＳ１０～Ｓ１３及びＳ１５～Ｓ１８の処理は、図７のステップＳ１０～Ｓ１３及びＳ１５～Ｓ１８の処理と同様である。
　但し、図２５のステップＳ１３でＹｅｓと判断された場合、言い換えると、中継処理部１１２から通知された入出力ポート番号に対応するエントリの認証データと、中継処理部１１２から与えられた認証パケット４３０に格納されている認証データとが一致する場合には、処理は図２５のステップＳ６０に進む。

　ステップＳ６０では、中継処理部１１２は、認証データテーブル４１４ａを参照することで、認証パケットを受信した入出力ポート１１１に対応するエントリのパケット長判定設定が「Ｅｎａｂｌｅ」であるか否かを判断する。言い換えると、認証パケット４３０を受信した入出力ポート１１１に接続されている中継装置４１０が、パケット長による認証を行う中継装置であるか否かを判断する。「Ｅｎａｂｌｅ」である場合（Ｓ６０でＹｅｓ）には、処理はステップＳ６１に進み、「Ｅｎａｂｌｅ」ではなく、「Ｄｉｓａｂｌｅ」である場合（Ｓ６０でＮｏ）には、処理はステップＳ６３に進む。

　ステップＳ６１では、認証処理部４１３は、認証情報記憶部４１４に記憶されている認証データテーブル４１４ａを参照し、中継処理部１１２から与えられた認証パケット４３０のパケット長が、中継処理部１１２から通知された入出力ポート番号に対応するエントリの次回のパケット長と一致するか否かを判断する。これらが一致する場合（Ｓ６１でＹｅｓ）には、処理はステップＳ６２に進み、これらが一致しない場合（Ｓ６１でＮｏ）には、処理はステップＳ６４に進む。

　ステップＳ６２では、パケット長による認証が成功したため、認証処理部４１３は、中継処理部１１２から通知された入出力ポート番号に対応するエントリのＶＡＬＩＤの値を「１」に、ＨＩＴの値を「１」に更新するとともに、認証パケット４３０に含まれている次回の認証パケットのパケット長を、そのエントリの次回のパケット長として格納する。

　ステップＳ６３では、パケット長による認証は行わず、認証データによる認証が成功しているため、認証処理部４１３は、中継処理部１１２から通知された入出力ポート番号に対応するエントリのＶＡＬＩＤの値を「１」に、ＨＩＴの値を「１」に更新する。

　ステップＳ６４では、パケット長による認証は失敗したが、認証データによる認証は成功したため、認証処理部４１３は、認証パケットに含まれている次回の認証パケットのパケット長を、中継処理部１１２から通知された入出力ポート番号に対応するエントリの次回のパケット長として格納する。

　図２６は、中継装置４１０が認証パケット４３０を送信する動作を示すフローチャートである。
　なお、図２６に示されているフローチャートの処理の内、実施の形態１における図９に示されているフローチャートと同様の処理については、図９と同様の符号を付すことにより、詳細な説明を省略する。

　図２６のステップＳ３０の処理は、図９のステップＳ３０の処理と同様である。但し、ステップＳ３０の処理の後、処理はステップＳ７０に進む。
　ステップＳ７０では、認証パケット生成部４１６は、乱数生成部４２２から乱数情報を取得して、取得された乱数情報から、今回の認証パケットのパケット長を特定する。

　次に、認証パケット生成部４１６は、乱数生成部４２２に乱数情報の更新を要求し、このような要求に応じて、乱数生成部４２２は、乱数情報を更新する（Ｓ７１）。
　そして、認証パケット生成部４１６は、更新された乱数情報を取得し、取得された乱数情報により、次回の認証パケットのパケット長を特定する（Ｓ７２）。

　次に、認証パケット生成部４１６は、ステップＳ７２で特定されたパケット長を、次回の認証パケットのパケット長として、認証データとともにデータ部４３０ｂに格納した認証パケット４３０を生成する（Ｓ７３）。ここで、認証パケット生成部４１６は、生成される認証パケット４３０のパケット長がステップＳ７０で特定されたパケット長となるように、データ部４３０ｂにパディングを行う。そして、認証パケット生成部４１６は、その認証パケット４３０を中継処理部１１２に送る。そして、処理はステップＳ３２に進む。

　図２６のステップＳ３２～Ｓ３５の処理は、図９のステップＳ３２～Ｓ３５の処理と同様である。

　以上のように、実施の形態４によれば、認証パケット４３０のパケット長をランダムに変化させ、次回送信する認証パケットのパケット長を認証パケット４３０内に追加することで、認証パケット４３０が模擬されてしまうことを防止することができる。これにより、ネットワークのセキュリティを向上することができる。

　なお、実施の形態４は、中継装置４１０に限らず、乱数生成部を有し、パケットを送信する装置であれば適用可能である。

　１００，２００，３００，４００　通信システム、　１１０，２１０，３１０，４１０　中継装置、　１１１　入出力ポート、　１１２　中継処理部、　１１３，２１３，３１３，４１３　認証処理部、　１１４，３１４，４１４　認証情報記憶部、　１１５　エージング処理部、　１１６，３１６，４１６　認証パケット生成部、　１１７　転送情報記憶部、　２１８　照会部、　２１９　照会情報記憶部、　３２０　時刻同期処理部、　３２１　遅延算出部、　４２２。

Claims (11)

1. 　複数の中継装置を含む複数の装置の各々に、各々が接続される複数の入出力ポートと、
   　前記複数の中継装置の内、認証の対象となる中継装置である対象中継装置の認証を行うための認証情報を記憶する認証情報記憶部と、
   　前記複数の入出力ポートの内、前記対象中継装置に接続される入出力ポートである対象入出力ポートを介して、前記対象中継装置の認証を行うための認証パケットである対象認証パケットを取得して、前記認証情報を参照して、前記対象中継装置の認証を行う認証処理部と、
   　前記対象中継装置の認証に成功した場合に、前記対象入出力ポートを介して取得された転送パケットを、前記複数の入出力ポートの内、前記転送パケットの転送先が接続されている入出力ポートである転送入出力ポートから出力させ、前記対象中継装置の認証に失敗した場合に、前記転送パケットを廃棄する中継処理部と、を備えること
   　を特徴とする中継装置。
2. 　前記対象認証パケットは、前記対象中継装置の認証に用いられる認証データを含んでおり、
   　前記認証情報は、前記対象中継装置に対応付けて、前記認証データと比較するための比較用認証データを含んでおり、
   　前記認証処理部は、前記認証データと前記比較用認証データとを比較することで、前記対象中継装置の認証を行うこと
   　を特徴とする請求項１に記載の中継装置。
3. 　前記認証情報は、前記複数の中継装置の各々に対応付けて、認証を行うか否かを示す認証設定を含んでおり、
   　前記対象中継装置は、前記複数の中継装置の内、認証を行うことを示す前記認証設定に対応付けられている中継装置であること
   　を特徴とする請求項１又は２に記載の中継装置。
4. 　エージング処理部をさらに備え、
   　前記認証情報は、前記複数の中継装置の各々に対応付けて、第１のフラグ及び第２のフラグを含んでおり、
   　前記認証処理部は、前記対象中継装置の認証が成功した場合に、前記対象中継装置に対応する前記第１のフラグを第１の値に更新し、前記対象中継装置に対応する前記第２のフラグを第３の値に更新し、
   　前記エージング処理部は、予め定められたエージング更新待機時間が経過する毎に、前記複数の中継装置から１つずつ順番に選択して、前記選択された中継装置に対応する前記第２のフラグが第４の値である場合に、前記選択された中継装置に対応する前記第１のフラグを第２の値に更新し、前記選択された中継装置に対応する前記第２のフラグが前記第３の値である場合に、前記選択された中継装置に対応する前記第２のフラグを前記第４の値に更新し、
   　前記中継処理部は、前記対象中継装置に対応する前記第１のフラグが前記第１の値である場合に、前記対象中継装置の認証に成功したと判断し、前記対象中継装置に対応する前記第１のフラグが前記第２の値である場合に、前記対象中継装置の認証に失敗したと判断すること
   　を特徴とする請求項１から３の何れか一項に記載の中継装置。
5. 　前記認証処理部が前記対象中継装置の認証に失敗した場合に、前記複数の入出力ポートの内の少なくとも１つの入出力ポートを介して、前記複数の中継装置の少なくとも１つの中継装置に、前記対象中継装置の認証を照会する照会部をさらに備え、
   　前記中継処理部は、前記少なくとも１つの中継装置で前記対象中継装置の認証に成功した場合に、前記対象入出力ポートを介して取得された前記転送パケットを、前記転送入出力ポートから出力させること
   　を特徴とする請求項１から４の何れか一項に記載の中継装置。
6. 　前記対象認証パケットは、前記対象認証パケットの送信時刻をさらに含んでおり、
   　前記認証情報は、前記複数の中継装置の各々に対応付けて、許容される転送遅延時間の範囲をさらに含んでおり、
   　前記認証処理部は、前記認証データが前記比較用認証データと一致し、かつ、前記送信時刻から前記対象認証パケットの受信時刻までの遅延時間が、前記対象中継装置に対応する前記範囲に含まれている場合に、前記対象中継装置の認証を成功と判断し、前記認証データが前記比較用認証データと一致しない場合、又は、前記遅延時間が、前記対象中継装置に対応する前記範囲を超えている場合に、前記対象中継装置の認証を失敗と判断すること
   　を特徴とする請求項２に記載の中継装置。
7. 　前記認証処理部は、前記認証情報に含まれている前記範囲を、予め定められた期間において、前記複数の中継装置の内の対応する中継装置から送信されてきた複数の認証パケットの遅延時間の最小値と最大値とに応じて更新すること
   　を特徴とする請求項６に記載の中継装置。
8. 　前記対象認証パケットは、前記対象認証パケットの次に送信される認証パケットである次回の認証パケットのパケット長をさらに含んでおり、
   　前記認証情報は、前記対象中継装置に対応付けて、次回のパケット長をさらに含んでおり、
   　前記認証処理部は、前記認証データが前記比較用認証データと一致し、かつ、前記対象認証パケットのパケット長が前記次回のパケット長と一致する場合に、前記対象中継装置の認証を成功と判断し、前記認証データが前記比較用認証データと一致しない場合、又は、前記対象認証パケットのパケット長が、前記次回のパケット長と一致しない場合に、前記対象中継装置の認証を失敗と判断し、
   　前記認証処理部は、前記次回のパケット長を、前記次回の認証パケットのパケット長を示すように更新すること
   　を特徴とする請求項２に記載の中継装置。
9. 　前記対象中継装置で認証を受けるための認証パケットである送信認証パケットを生成し、前記対象入出力ポートを介して、前記対象中継装置に送る認証パケット生成部をさらに備えること
   　を特徴とする請求項１から８の何れか一項に記載の中継装置。
10. 　前記認証パケット生成部は、前記送信認証パケットの次に送る次回の認証パケットのパケット長を、前記送信認証パケットに格納すること
    　を特徴とする請求項９に記載の中継装置。
11. 　複数の中継装置を備える通信システムであって、
    　前記複数の中継装置の各々は、
    　自装置を除く前記複数の中継装置を含む複数の装置の各々に、各々が接続される複数の入出力ポートと、
    　前記複数の中継装置の内、認証の対象となる中継装置である対象中継装置の認証を行うための認証情報を記憶する認証情報記憶部と、
    　前記複数の入出力ポートの内、前記対象中継装置に接続される入出力ポートである対象入出力ポートを介して、前記対象中継装置の認証を行うための対象認証パケットを取得して、前記認証情報を参照して、前記対象中継装置の認証を行う認証処理部と、
    　前記対象中継装置の認証に成功した場合に、前記対象入出力ポートを介して取得された転送パケットを、前記複数の入出力ポートの内、前記転送パケットの転送先が接続されている入出力ポートである転送入出力ポートから出力させ、前記対象中継装置の認証に失敗した場合に、前記転送パケットを廃棄する中継処理部と、
    　前記対象中継装置で認証を受けるための認証パケットである送信認証パケットを生成し、前記対象入出力ポートを介して、前記対象中継装置に送る認証パケット生成部と、を備えること
    　を特徴とする通信システム。

Images