ネットワークシステム，パケット転送装置，パケット転送方法及びコンピュータプログラム
【課題】レイヤ３アドレスの利用効率を向上させると共に、認証後の端末や業務ネットワークから認証ネットワークにアクセス可能とする。
【解決手段】ネットワークシステムは、第１のＮＷと、認証サーバと、認証サーバが所属する第２のＮＷと、少なくとも１つの第３のＮＷと、第１ないし第３のＮＷに所属するパケット転送装置であって、少なくとも第２のＮＷ内への第１の転送経路テーブルと少なくとも第２，３のＮＷ内への第２の転送経路テーブルとを格納する転送経路テーブル格納部と、検索転送経路テーブルとして、認証成功前に第１の転送経路テーブルを、認証成功後に第２の転送経路テーブルをそれぞれ決定する転送経路テーブル決定部と、を有するパケット転送装置と、を備える。
【解決手段】ネットワークシステムは、第１のＮＷと、認証サーバと、認証サーバが所属する第２のＮＷと、少なくとも１つの第３のＮＷと、第１ないし第３のＮＷに所属するパケット転送装置であって、少なくとも第２のＮＷ内への第１の転送経路テーブルと少なくとも第２，３のＮＷ内への第２の転送経路テーブルとを格納する転送経路テーブル格納部と、検索転送経路テーブルとして、認証成功前に第１の転送経路テーブルを、認証成功後に第２の転送経路テーブルをそれぞれ決定する転送経路テーブル決定部と、を有するパケット転送装置と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末から送信されるパケットの転送技術に関する。
【背景技術】
【０００２】
端末がネットワークに所属する前に認証や検疫（以下、単に「認証」と呼ぶ）を行うネットワークシステムでは、セキュリティの観点から、認証を行うためのネットワーク（以下、単に「認証ネットワーク」と呼ぶ）と認証後に接続するネットワーク（端末が所属するネットワーク及び認証ネットワークとは異なるネットワーク（以下、「業務ネットワーク」と呼ぶ）との間で通信が行えないように、それぞれのネットワークの独立性を確保したいという要請があった。
【０００３】
そこで、それぞれのネットワークに異なるＶＬＡＮ（Virtual Local Area Network）を割り当て、認証成功後に端末が所属するＶＬＡＮを移動させ、移動先のＶＬＡＮで通信を許可する方式（ダイナミックＶＬＡＮ方式）が提案されている。また、認証前後でＶＬＡＮを移動させず、認証前には認証のための通信（レイヤ２における通信）のみを許可し、他の通信は一切許可しないとする方式（固定ＶＬＡＮ方式）が提案されている。しかし、ダイナミックＶＬＡＮ方式では、認証前後において同一の端末に対して異なるＩＰアドレスを割り当てるため、ＩＰアドレスの利用効率が低いという問題があった。また、固定ＶＬＡＮ方式では、認証前にレイヤ３における通信ができないという問題があった。
【０００４】
そこで、それぞれのネットワークをＶＰＮ（Virtual Private Network）として構成し、各ＶＰＮにＤＨＣＰ（Dynamic Host Configuration Protocol）サーバを設置し、認証成功後に端末が所属するＶＬＡＮを移動させると共に、各ＤＨＣＰサーバの情報を同期させ、認証前後において同一のＩＰアドレスを端末に割り当てる方法が提案されている（下記特許文献１）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−１９３２３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上述した認証ネットワークと業務ネットワークとをＶＰＮにより分離する技術では、認証後の端末が認証ネットワークにアクセスできなくなるという課題があった。したがって、例えば、認証後の端末について認証ネットワークに属するサーバ（認証サーバ）を用いて、定期的に検疫（例えば、ウィルス定義ファイルが最新であるか、オペレーティングシステムのバージョンが最新であるか等の検疫）を実行することができないという問題が発生する。この問題は、端末に限らず、業務ネットワークに属するサーバ（業務サーバ）等についても発生し得る。すなわち、認証ネットワークと業務ネットワークとをＶＰＮにより分離するために業務サーバは認証ネットワークにアクセスできず、業務サーバについて認証サーバを用いた認証や検疫を実行できないという問題が発生する。また、ＤＨＣＰサーバを複数台設置しなければならず、加えて、各ＤＨＣＰサーバに互いに同期させるための特殊な機能を搭載させねばならず、ネットワークシステムの構築コストの上昇を招いていた。
【０００７】
なお、上記問題は、ＩＰアドレスに限らず、ＩＰＸ（Internetwork Packet eXchange）アドレスなど、任意のレイヤ３アドレスを用いるパケットを転送する際に発生し得る。
【０００８】
本発明は、ネットワークシステムにおけるレイヤ３アドレスの利用効率を向上させると共に、認証後の端末や業務ネットワークから認証ネットワークにアクセス可能とすることを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【００１０】
［適用例１］ ネットワークシステムであって、第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバと、前記認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、前記第１ないし第３のネットワークに所属し、パケットを転送するパケット転送装置であって、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する転送経路テーブル格納部と、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する転送経路テーブル決定部と、を有するパケット転送装置と、を備える、ネットワークシステム。
【００１１】
適用例１のネットワークシステムでは、認証サーバにより端末について認証成功と判定される前には、端末からのパケットについて、第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルを適用するので、端末からのパケットの第２のネットワーク（認証サーバ）へのパケットの転送を許容すると共に、第３のネットワークへの転送を抑制できる。また、認証成功と判定された後には、端末からのパケットについて、第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路情報群を適用するので、端末からのパケットの第２及び第３のネットワークへの転送を許容する。したがって、認証後の端末や第３のネットワークから認証サーバが所属する第２のネットワークへのアクセスを可能とする。加えて、端末に対してアドレス（レイヤ３アドレス）を複数付与する必要がないため、アドレスの利用効率を向上させることができる。なお、適用例１における「認証」とは、認証及び検疫を含む広い意味を有する。
【００１２】
［適用例２］ 適用例１に記載のネットワークシステムにおいて、さらに、パケットの送信元を識別する送信元識別子と前記検索転送経路テーブルとを対応付ける検索転送経路テーブル決定テーブルと、前記検索転送経路テーブル決定テーブルを更新するテーブル更新部と、を備え、前記転送経路テーブル決定部は、受信したパケットについて、前記検索転送経路テーブル決定テーブルに基づき前記検索転送経路テーブルを決定し、前記検索転送経路テーブル決定テーブルには、前記認証サーバにより前記端末について認証成功と判定される前に、予め、前記端末の前記送信元識別子と前記第１の転送経路テーブルとが対応付けられており、前記テーブル更新部は、前記認証サーバにより前記端末について認証成功と判定された後に、前記端末の前記送信元識別子と前記第２の転送経路テーブルとを対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【００１３】
このような構成により、検索転送経路テーブル決定テーブルを参照することにより、認証成功前の端末からのパケットの転送経路を第１の転送経路テーブルから決定させることができ、認証成功後の端末からのパケットの転送経路を第２の転送経路テーブルから決定させることができる。
【００１４】
［適用例３］ 適用例１または適用例２に記載のネットワークシステムにおいて、前記第３のネットワークを複数備え、前記転送経路テーブル格納部は、互いに異なる前記第３のネットワークに所属する所定のデバイスへのパケットの経路情報と、前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報と、を含む複数の前記第２の転送経路テーブルを格納し、前記認証サーバは、前記転送経路テーブル決定部に対して、前記認証処理の結果と前記複数の第３のネットワークのうち接続を許可するネットワークである１つ以上の許可ネットワークに関する情報とを通知し、前記転送経路テーブル決定部は、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する前記検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記複数の第２の転送経路テーブルのうち、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルを、前記端末からのパケットに適用する前記検索転送経路テーブルとして決定する、ネットワークシステム。
【００１５】
このような構成により、認証成功後の端末からのパケットについて、接続を許可されたネットワークへの転送を許容すると共に、接続を許可されていないネットワークへの転送を抑制できる。
【００１６】
［適用例４］ 適用例２または適用例３に記載のネットワークシステムにおいて、前記パケットはＩＰパケットであり、前記送信元識別子は、ＭＡＣアドレス及びＩＰアドレスのうち、少なくとも一方である、ネットワークシステム。
【００１７】
このような構成により、レイヤ３での通信を実現するために用いられるＩＰアドレスや、レイヤ２での通信を実現するために用いられるＭＡＣアドレスを送信元識別子として利用できるので、これらの識別子とは別に送信元識別子を用いる構成に比べて、ネットワークシステムを容易に構築することができる。
【００１８】
［適用例５］ 適用例１ないし適用例４のいずれかに記載のネットワークシステムにおいて、前記転送経路テーブル決定部は、前記第１のネットワークに所属された前記端末が前記認証サーバにより認証が解除されると、前記端末からのパケットに適用する前記検索転送経路テーブルとして、前記第２の転送経路テーブルから前記第１の転送経路テーブルに戻す、ネットワークシステム。
【００１９】
このような構成により、認証が解除された端末からのパケットの転送の際に、第１の転送経路テーブルから転送経路を決定させることができるので、認証が解除された端末から第３のネットワークへのパケットの転送を抑制できる。
【００２０】
［適用例６］ 適用例３に記載のネットワークシステムにおいて、さらに、パケットの転送経路を決定する転送経路決定部と、前記転送経路テーブル格納部に格納されている転送経路テーブルを更新する転送経路テーブル更新部と、を備え、前記転送経路テーブル格納部は、前記第１の転送経路テーブルと前記第２の転送経路テーブルとに加えて、少なくとも前記第１のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第３の転送経路テーブルを格納し、前記転送経路テーブル決定部は、各第３のネットワークから前記第１及び第２のネットワークにパケットを転送する際に、前記検索転送経路テーブルとして前記第２の転送経路テーブルを決定し、前記第２のネットワークから前記第１のネットワークに前記パケットを転送する際に、前記検索転送経路テーブルとして前記第３の転送経路テーブルを決定し、前記転送経路テーブル更新部は、前記認証処理において前記認証サーバから前記端末にパケットを転送する際に、前記転送経路決定部により決定された前記端末へのパケットの経路情報である端末経路情報を、前記第３の転送経路テーブルに追加し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第３の転送経路テーブルから前記端末経路情報を取得し、前記複数の第２の転送経路テーブルのうち、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルに、前記端末経路情報をコピーする、ネットワークシステム。
【００２１】
このような構成により、予め第２の転送経路テーブルに第１のネットワークを宛先とする転送経路（第１のネットワーク内の所定のデバイスを宛先とする転送経路）を設定しておくことを要しない。したがって、第３のネットワークに所属するデバイスから、第１のネットワークに所属する不特定の端末への通信を抑制でき、セキュリティを向上させることができる。
【００２２】
［適用例７］ 適用例６に記載のネットワークシステムにおいて、前記転送経路テーブル更新部は、前記第１のネットワークに所属された前記端末が前記認証サーバにより認証が解除されると、前記第２の転送経路テーブルから前記端末経路情報を削除する、ネットワークシステム。
【００２３】
このような構成により、認証が解除された端末からのパケットの転送の際に、第１の転送経路テーブルから転送経路を決定させることができるので、認証が解除された端末から第３のネットワークへのパケットの転送を抑制できる。
【００２４】
［適用例８］ 適用例２に記載のネットワークシステムにおいて、さらに、パケットの転送経路を決定する転送経路決定部を備え、前記第１の転送経路テーブルと前記第２の転送経路テーブルとは、統合転送経路テーブルとして構成され、前記検索転送経路テーブル決定テーブルは、前記送信元識別子と前記認証処理の結果と前記検索転送経路テーブルを示す検索転送経路テーブル識別子とを対応付け、前記統合転送経路テーブルは、前記第１の転送経路テーブル及び前記第２の転送経路テーブルに含まれる各経路情報と前記認証処理の結果と前記検索転送経路テーブル識別子とを対応付け、前記検索転送経路テーブル決定テーブルには、前記認証サーバにより前記端末について認証成功と判定される前に、予め、前記端末の送信元識別子と、前記認証処理が成功していない旨の情報と、前記検索転送経路テーブル識別子として前記第１の転送経路テーブルを示す識別子と、が対応付けられており、前記認証サーバは、前記テーブル更新部に対して、少なくとも前記認証記処理の結果を通知し、前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨を通知されると、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記検索転送経路テーブル識別子として前記第２の転送経路テーブルの識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新し、前記転送経路テーブル決定部は、受信したパケットについて、前記パケットの送信元識別子に基づき、前記検索転送経路テーブル決定テーブルを参照して、前記認証処理の結果及び前記検索転送経路テーブル識別子を取得し、前記転送経路決定部は、前記転送経路テーブル決定部により取得された前記認証処理の結果及び前記検索転送経路テーブル識別子に基づき、前記統合転送経路テーブルを参照して、前記パケットについての転送経路を決定する、ネットワークシステム。
【００２５】
このような構成により、第１の転送経路テーブル及び第２の転送経路テーブルを、それぞれ異なる転送経路テーブルとして格納する構成に比べて、同一デバイスへの転送経路を示す重複したエントリの記載を抑制でき、転送経路テーブル格納部の容量を抑制することができる。
【００２６】
［適用例９］ 適用例８に記載のネットワークシステムにおいて、前記第３のネットワークを複数備え、前記転送経路テーブル格納部は、互いに異なる前記第３のネットワークに所属する所定のデバイスへのパケットの経路情報と、前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報と、を含む複数の前記第２の転送経路テーブルを格納し、前記認証サーバは、前記テーブル更新部に対して、前記認証処理の結果と、前記複数の第３のネットワークのうち接続を許可するネットワークである１つ以上の許可ネットワークと、を通知し、前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨及び前記許可ネットワークを通知されると、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記検索転送経路テーブル識別子として、前記複数の第２の転送経路テーブルのうち前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルの識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【００２７】
このような構成により、予め統合転送経路テーブルに第１のネットワークを宛先とする転送経路（第１のネットワーク内の所定のデバイスを宛先とする転送経路）を設定しておくことを要しない。したがって、第３のネットワークに所属するデバイスから、第１のネットワークに所属する不特定の端末への通信を抑制でき、セキュリティを向上させることができる。
【００２８】
［適用例１０］ 適用例９に記載のネットワークシステムにおいて、さらに、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルの組み合わせと、各組み合せを示す組み合わせ識別子と、を対応付ける組み合わせテーブルを備え、前記検索転送経路テーブル決定テーブル及び前記統合転送経路テーブルには、前記第２の転送経路テーブルについての前記検索転送経路テーブル識別子として、前記組み合わせ識別子が用いられ、前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨及び前記許可ネットワークを通知されると、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルからなる組み合わせの組み合わせ識別子である許可組合せ識別子を、前記組み合わせテーブルから取得すると共に、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記許可組み合わせ識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【００２９】
このような構成により、認証処理において、端末に対して複数のネットワークへの接続許可がされる場合において、許可されたネットワークに所属する所定のデバイスへのパケットに適用する検索転送経路テーブルを、統合転送経路テーブルにおいて簡易に指定（記述）することができ、転送経路テーブル格納部の容量を抑えることができる。
【００３０】
［適用例１１］ 第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属し、パケットを転送するパケット転送装置であって、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する転送経路テーブル格納部と、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する転送経路テーブル決定部と、を備える、パケット転送装置。
【００３１】
適用例１１のパケット転送装置では、認証サーバにより端末について認証成功と判定される前には、端末からのパケットについて、第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルを適用するので、端末からのパケットの第２のネットワーク（認証サーバ）へのパケットの転送を許容すると共に、第３のネットワークへの転送を抑制できる。また、認証成功と判定された後には、端末からのパケットについて、第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路情報群を適用するので、端末からのパケットの第２及び第３のネットワークへの転送を許容する。したがって、認証後の端末や第３のネットワークから認証サーバが所属する第２のネットワークへのアクセスを可能とする。加えて、端末に対してアドレス（レイヤ３アドレス）を複数付与する必要がないため、アドレスの利用効率を向上させることができる。なお、適用例１における「認証」とは、認証及び検疫を含む広い意味を有する。
【００３２】
［適用例１２］ 第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属し、パケットを転送するパケット転送装置を用いたパケット転送方法であって、（ａ）前記パケット転送装置において、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する工程と、（ｂ）前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する工程と、を備えるパケット転送方法。
【００３３】
適用例１２のパケット転送方法では、認証サーバにより端末について認証成功と判定される前には、端末からのパケットについて、第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルを適用するので、端末からのパケットの第２のネットワーク（認証サーバ）へのパケットの転送を許容すると共に、第３のネットワークへの転送を抑制できる。また、認証成功と判定された後には、端末からのパケットについて、第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路情報群を適用するので、端末からのパケットの第２及び第３のネットワークへの転送を許容する。したがって、認証後の端末や第３のネットワークから認証サーバが所属する第２のネットワークへのアクセスを可能とする。加えて、端末に対してアドレス（レイヤ３アドレス）を複数付与する必要がないため、アドレスの利用効率を向上させることができる。なお、適用例１における「認証」とは、認証及び検疫を含む広い意味を有する。
【００３４】
［適用例１３］ 第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属するコンピュータを用いたパケットを転送するためのプログラムであって、前記コンピュータにおいて、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する機能と、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する機能と、を前記コンピュータに実現させるためのプログラム。
【００３５】
適用例１３のプログラムでは、認証サーバにより端末について認証成功と判定される前には、端末からのパケットについて、第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルを適用するので、端末からのパケットの第２のネットワーク（認証サーバ）へのパケットの転送を許容すると共に、第３のネットワークへの転送を抑制できる。また、認証成功と判定された後には、端末からのパケットについて、第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路情報群を適用するので、端末からのパケットの第２及び第３のネットワークへの転送を許容する。したがって、認証後の端末や第３のネットワークから認証サーバが所属する第２のネットワークへのアクセスを可能とする。加えて、端末に対してアドレス（レイヤ３アドレス）を複数付与する必要がないため、アドレスの利用効率を向上させることができる。なお、適用例１における「認証」とは、認証及び検疫を含む広い意味を有する。
【図面の簡単な説明】
【００３６】
【図１】本発明の一実施例としてのネットワークシステムの構成を示す説明図。
【図２】図１に示すインタフェース役割種別テーブル１５２を示す説明図。
【図３】図１に示すＶＲＦ判定テーブル１５８の初期状態を示す説明図。
【図４】図１に示す端末ＶＲＦフォワーディングテーブル１５６の初期状態を示す説明図。
【図５】図１に示す認証後ＶＲＦフォワーディングテーブル１５４の初期状態を示す説明図。
【図６】端末の認証成功前後における転送経路を模式的に示す説明図。
【図７】ネットワークシステム１０において実行されるパケット転送処理の手順を示すフローチャート。
【図８】第１端末１１について認証成功後の端末ＶＲＦフォワーディングテーブル１５６を示す説明図。
【図９】第１端末１１について認証成功後の認証後ＶＲＦフォワーディングテーブル１５４を示す説明図。
【図１０】端末の認証成功後に実行されるＶＲＦ判定テーブルのエントリ追加処理の手順を示すフローチャート。
【図１１】第１端末１１の認証成功後に第１端末１１についてのエントリが追加された後のＶＲＦ判定テーブル１５８を示す説明図。
【図１２】パケット転送装置１００において実行されるＶＲＦ判定テーブル１５８のエントリ削除処理の手順を示す説明図。
【図１３】第２の実施例のネットワークシステム１０ａの構成を示す説明図。
【図１４】第２の実施例のインタフェース役割種別テーブル１５２を示す説明図。
【図１５】第２の実施例におけるＶＲＦ判定テーブルの初期状態を示す説明図。
【図１６】第２の実施例における認証ＶＲＦフォワーディングテーブル１５４ａの初期状態を示す説明図。
【図１７】第２の実施例における第１業務ＶＲＦフォワーディングテーブル１５４ｂの初期状態を示す説明図。
【図１８】第２の実施例における第２業務ＶＲＦフォワーディングテーブル１５４ｃの初期状態を示す説明図。
【図１９】第２の実施例における第１端末１１の認証成功前後の転送経路を模式的に示す説明図。
【図２０】第２の実施例における第２端末１２の認証成功前後の転送経路を模式的に示す説明図。
【図２１】第２の実施例におけるパケット転送処理の手順を示すフローチャート。
【図２２】第２の実施例におけるＶＲＦ判定テーブルのエントリ追加処理の手順を示すフローチャート。
【図２３】第１端末１１及び第２端末１２の認証成功後にこれら２つの端末１１，１２についてのエントリが追加された後のＶＲＦ判定テーブル１５８を示す説明図。
【図２４】第１端末１１及び第２端末１２の認証成功後の認証ＶＲＦフォワーディングテーブル１５４ａを示す説明図。
【図２５】第１端末１１及び第２端末１２の認証成功後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す説明図。
【図２６】第１端末１１及び第２端末１２の認証成功後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す説明図。
【図２７】第３の実施例のネットワークシステムの構成を示す説明図。
【図２８】第３の実施例のＶＲＦ判定テーブル１５８を示す説明図。
【図２９】第４の実施例における第１業務ＶＲＦフォワーディングテーブル１５４ｂの初期状態を示す説明図。
【図３０】第４の実施例における第２業務ＶＲＦフォワーディングテーブル１５４ｃの初期状態を示す説明図。
【図３１】第４の実施例におけるＶＲＦ判定テーブル１５８及びＶＲＦフォワーディングテーブルへのエントリ追加処理の手順を示すフローチャート。
【図３２】ステップＳ２２０実行後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す説明図。
【図３３】ステップＳ２２０実行後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す説明図。
【図３４】第４の実施例のエントリ削除処理の手順を示すフローチャート。
【図３５】第５の実施例のネットワークシステムの構成を示す説明図。
【図３６】第５の実施例のＶＲＦ判定テーブル１５８ａを示す説明図。
【図３７】第５の実施例の統合ＶＲＦフォワーディングテーブルを示す説明図。
【図３８】第５の実施例のパケット転送処理の手順を示すフローチャートである。
【図３９】認証成功前において第１端末１１と認証サーバ１９１との間でパケットのやりとりがなされた後の統合ＶＲＦフォワーディングテーブル１５９を示す説明図。
【図４０】第５の実施例におけるエントリ更新処理の手順を示すフローチャート。
【図４１】第１端末１１及び第２端末１２の認証成功後にこれら２つの端末１１，１２についてのエントリが追加された後のＶＲＦ判定テーブル１５８ａを示す説明図。
【図４２】第１端末１１及び第２端末１２についての認証成功後の統合ＶＲＦフォワーディングテーブル１５９を示す説明図。
【図４３】第５の実施例のエントリ削除処理の手順を示すフローチャート。
【発明を実施するための形態】
【００３７】
以下、本発明を実施するための最良の形態を実施例に基づいて以下の順序で説明する。
Ａ．第１の実施例：
Ａ１．システム構成：
Ａ２．認証成功前後における転送経路の変化の概要：
Ａ３．端末認証時の動作：
Ａ４．端末認証成功後のパケット転送処理：
Ａ５．ＶＲＦ判定テーブルのエントリ削除処理：
Ｂ．第２の実施例：
Ｂ１．システム構成：
Ｂ２．認証成功前後における転送経路の変化の概要：
Ｂ３．端末認証時の動作：
Ｂ４．端末認証成功後のパケット転送処理：
Ｃ．第３の実施例：
Ｄ．第４の実施例：
Ｅ．第５の実施例：
Ｅ１．システム構成：
Ｅ２．端末認証時の動作：
Ｅ３．端末認証成功後のパケット転送処理：
Ｅ４．エントリ削除処理：
Ｆ．変形例：
【００３８】
Ａ．第１の実施例：
Ａ１．システム構成：
図１は、本発明の一実施例としてのネットワークシステムの構成を示す説明図である。このネットワークシステム１０は、パケット転送装置１００と、ユーザネットワーク１７０と、レイヤ２スイッチ１７１と、認証ネットワーク１９０と、認証サーバ１９１と、検疫サーバ１９２と、業務ネットワーク１８０と、業務サーバ１８１とを備えている。
【００３９】
パケット転送装置１００は、レイヤ３スイッチであり、ＯＳＩ参照モデルにおける第３層（ネットワーク層）のパケットを転送する。なお、レイヤ３スイッチに代えて、ルーターを用いることもできる。また、本実施例では、第３層のパケットとしてＩＰ（Internet Protocol）パケットを用いるが、ＩＰパケットに代えて、ＩＰＸ（Internetwork Packet eXchange）パケットを用いることもできる。なお、以下では、第３層のパケットを単に「パケット」とも呼ぶ。
【００４０】
パケット転送装置１００は、３つのインタフェース（第１インタフェース１１１，第２インタフェース１１２，第３インタフェース１１３）と、メモリ１５０と、認証処理部１２２と、経路制御部１２４と、パケット転送処理部１２６と、ＶＲＦ判定制御部１２８とを備えている。
【００４１】
第１インタフェース１１１は、ユーザネットワーク１７０を接続するインタフェースである。また、第２インタフェース１１２は認証ネットワーク１９０を、第３インタフェース１１３は業務ネットワーク１８０を、それぞれ接続するインタフェースである。これら３つのインタフェース１１１〜１１３は、いずれもＶＬＡＮにおいてＩＰアドレスが割り当てられる論理的なインタフェースであるが、Ｅｔｈｅｒｎｅｔ（登録商標）等の物理的なインタフェースであってもよい。
【００４２】
メモリ１５０は、インタフェース役割種別テーブル１５２と、認証後ＶＲＦフォワーディングテーブル１５４と、端末ＶＲＦフォワーディングテーブル１５６と、ＶＲＦ判定テーブル１５８とを格納している。パケット転送装置１００は、ＶＲＦ（Virtual Routing and Forwarding：複数のフォワーディングテーブル（ルーティングテーブル）を保持し、各テーブルに従いパケットを転送する技術）を実現可能に構成されている。したがって、パケット転送装置１００は、２つのフォワーディングテーブル（認証後ＶＲＦフォワーディングテーブル１５４及び端末ＶＲＦフォワーディングテーブル１５６）を備え、これらフォワーディングテーブル１５４，１５６に基づき、受信したパケットを転送する。なお、各テーブルの詳細については後述する。
【００４３】
認証処理部１２２と、経路制御部１２４と、パケット転送処理部１２６と、ＶＲＦ判定制御部１２８とは、いずれもメモリ１５０内に格納されているプログラムを、図示しないＣＰＵ（Central Processing Unit）が実行することにより実現される機能部である。なお、ＣＰＵに代えて、ＡＳＩＣ（Application Specific Integrated Circuit）を用いることもできる。
【００４４】
認証処理部１２２は、認証前における端末と認証サーバ１９１及び検疫サーバ１９２との間の通信を仲介する。また、認証処理部１２２は、認証サーバ１９１や検疫サーバ１９２から受信する認証（認証及び検疫）の結果を、ＶＲＦ判定制御部１２８に通知する。認証処理（認証及び検疫）の方式としては、例えば、ＩＥＥＥ８０２．１ｘに準拠した方式や、Ｗｅｂ認証などを採用することもできる。
【００４５】
経路制御部１２４は、認証後ＶＲＦフォワーディングテーブル１５４及び端末ＶＲＦフォワーディングテーブル１５６を管理することにより、パケットの転送経路を制御する。
【００４６】
パケット転送処理部１２６は、各インタフェース１１１〜１１３が受信したパケットを、認証後ＶＲＦフォワーディングテーブル１５４及び端末ＶＲＦフォワーディングテーブル１５６に基づき転送する。
【００４７】
ＶＲＦ判定制御部１２８は、ＶＲＦ判定テーブル１５８を管理すると共に、パケットを転送するための経路を、認証後ＶＲＦフォワーディングテーブル１５４及び端末ＶＲＦフォワーディングテーブル１５６のいずれのテーブルにて検索するかを決定する。
【００４８】
ユーザネットワーク１７０は、端末（例えば、パーソナルコンピュータ）が所属し得るレイヤ３のネットワーク（ＶＬＡＮ）である。レイヤ２スイッチ１７１は、いわゆるスイッチングハブであり、ユーザネットワーク１７０における第２層（データリンク層）のフレームのスイッチングを行う。第１インタフェース１１１は、レイヤ２スイッチ１７１に物理的に接続されている。また、ユーザネットワーク１７０に所属する端末は、このレイヤ２スイッチ１７１に物理的に接続される。図１の例では、第１端末１１がユーザネットワーク１７０に所属され得る。
【００４９】
認証ネットワーク１９０は、認証サーバ１９１及び検疫サーバ１９２が所属するレイヤ３のネットワーク（ＶＬＡＮ）である。認証サーバ１９１は、ユーザネットワーク１７０に所属しようとする端末に対し、端末から受信した認証要素（ログイン名やパスワード等）に基づき認証を実行する。検疫サーバ１９２は、ユーザネットワーク１７０に所属しようとする端末に対し、検疫を行い、端末が所定のセキュリティポリシーに合致するか否かを判定する。セキュリティポリシーとしては、例えば、ウィルス定義ファイルが最新であるか、オペレーティングシステムのバージョンが最新であるか等を採用することができる。前述の認証サーバ１９１は、認証が成功し、かつ、端末がセキュリティポリシーに合致した場合に「認証成功」と判定して、認証成功の旨を認証処理部１２２に通知する。
【００５０】
業務ネットワーク１８０は、業務サーバ１８１が所属するレイヤ３のネットワーク（ＶＬＡＮ）である。業務サーバ１８１は、認証成功後の端末がアクセスするサーバである。
【００５１】
ここで、端末や各サーバやパケット転送装置１００の各インタフェース１１１〜１１３には、予めＩＰアドレスが割り当てられている。具体的には、第１端末１１には、１０．０．０．１／３２が割り当てられている。また、認証サーバ１９１には１１．０．０．１／３２が、検疫サーバ１９２には１１．０．０．２／３２が、業務サーバ１８１には１２．０．０．１／３２が、第１インタフェース１１１には１０．０．０．１０／２４が、第２インタフェース１１２には１１．０．０．１１／２４が、第３インタフェース１１３には１２．０．０．１２／２４が、それぞれ割り当てられている。なお、上記各ＩＰアドレスはＣＩＤＲ（Classless Inter-Domain Routing）形式で表わしている。
【００５２】
図２は、図１に示すインタフェース役割種別テーブル１５２を示す説明図である。インタフェース役割種別テーブル１５２は、パケット転送装置１００が備える各インタフェース１１１〜１１３の役割種別を管理するテーブルである。インタフェース役割種別テーブル１５２では、「インタフェース番号」と「役割種別」とが対応付けられている。インタフェース番号フィールドは、各インタフェース１１１〜１１３を示す番号を示す。なお、本実施例では、第１インタフェース１１１のインタフェース番号として「ＩＦ１」が設定されている。同様に、第２インタフェース１１２のインタフェース番号として「ＩＦ２」が、第３インタフェース１１３のインタフェース番号として「ＩＦ３」が、それぞれ設定されている。役割種別フィールドは、各インタフェースの役割を示す。役割種別フィールドの値が「認証対象端末」とは、認証対象となる端末が所属するネットワークを接続するインタフェースであることを示す。役割種別フィールドの値が「認証前」とは、認証前の端末が通信可能なネットワークを接続するインタフェースであることを示す。役割種別フィールドの値が「認証後」とは、認証成功した場合にのみ端末が通信可能なネットワークに接続するインタフェースであることを示す。
【００５３】
図２の例では、第１エントリにおいて、第１インタフェース１１１（ＩＦ１）に「認証対象端末」が対応付けられている。また、第２エントリにおいて第２インタフェース１１２（ＩＦ２）に「認証前」が、第３エントリにおいて第３インタフェース１１３（ＩＦ３）に「認証後」が、それぞれ対応付けられている。これら第１〜第３エントリは、システム管理者が、予め各インタフェース１１１〜１１３の役割を考慮して設定しておく。
【００５４】
図３は、図１に示すＶＲＦ判定テーブル１５８の初期状態を示す説明図である。ＶＲＦ判定テーブル１５８は、パケット転送装置１００がパケットを受信した際に、パケットの転送経路を検索するＶＲＦフォワーディングテーブルを決定するためのテーブルである。ＶＲＦ判定テーブル１５８では、「インタフェース番号」と「判定種別」と「ＭＡＣアドレス」と「ＶＲＦフォワーディングテーブル種別」とが対応付けられている。
【００５５】
インタフェース番号フィールドは、前述のインタフェース役割種別テーブル１５２の「インタフェース番号」と同じである。判定種別フィールドとは、ＶＲＦフォワーディングテーブルを決定する際に、いずれのエントリを参照するかを決定するために用いられる要素（フィールド）である。判定種別フィールドの値が「ＭＡＣアドレス」とは、パケットの送信元のＭＡＣ（Media Access Control）アドレスを用いて参照するエントリを決定することを示す。判定種別フィールドの値が「インタフェース」とは、パケットの送信元のＭＡＣアドレスに関わらず、パケットを受信したインタフェースを用いて参照するエントリを決定することを示す。ＭＡＣアドレスフィールドは、判定種別が「ＭＡＣアドレス」であるエントリにおいて、ＭＡＣアドレスを指定するための要素である。ＶＲＦフォワーディングテーブルフィールドは、パケットの転送経路を検索するために用いるＶＲＦフォワーディングテーブルを指定する。
【００５６】
図３の例では、第１エントリにおいて、判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「その他」及びＶＲＦフォワーディングテーブル種別「端末ＶＲＦフォワーディングテーブル」が、それぞれ設定されている。ＭＡＣアドレスが「その他」とは、判定種別フィールドが「ＭＡＣアドレス」のエントリにおいて、ＭＡＣアドレスフィールドの値として「他のエントリにおいて指定されているＭＡＣアドレスを除く他の全てのＭＡＣアドレス」が設定されていることを示す。また、第２エントリにおいて、判定種別「インタフェース」，ＭＡＣアドレス「−」及びＶＲＦフォワーディングテーブル種別「認証後ＶＲＦフォワーディングテーブル」が、それぞれ設定されている。ＭＡＣアドレスが「−」とは、ＭＡＣアドレスを参照しないことを示す。なお、第３エントリにおいて、第３インタフェース１１３（ＩＦ３）について各フィールドの値が設定されているが、判定種別，ＭＡＣアドレス及びＶＲＦフォワーディングテーブル種別の各フィールドの値は第２エントリと同じであるので、説明を省略する。
【００５７】
初期状態においては、これら３つのエントリ（第１〜第３エントリ）がＶＲＦ判定テーブル１５８に設定されている。これら３つのエントリは、ネットワークシステム１０の初期コンフィグレーションの際に、ＶＲＦ判定制御部１２８により生成される。具体的には、ＶＲＦ判定制御部１２８は、図２に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、ＶＲＦ判定制御部１２８は、役割種別が「認証対象端末」であるインタフェースについて、判定種別を「ＭＡＣアドレス」に、ＭＡＣアドレスを「その他」に、ＶＲＦフォワーディングテーブル種別を「端末ＶＲＦフォワーディングテーブル」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８に追加する。また、ＶＲＦ判定制御部１２８は、役割種別が「認証前」及び「認証後」であるインタフェースについて、判定種別を「インタフェース」に、ＭＡＣアドレスを「−」に、ＶＲＦフォワーディングテーブル種別を「認証後ＶＲＦフォワーディングテーブル」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８に追加する。このようにして、ＶＲＦ判定テーブル１５８に、図３に示す第１〜第３エントリが追加される。なお、ＶＲＦ判定テーブル１５８のエントリは、後述するように、初期コンフィグレーションの後も追加され得る。
【００５８】
図４は、図１に示す端末ＶＲＦフォワーディングテーブル１５６の初期状態を示す説明図である。端末ＶＲＦフォワーディングテーブル１５６は、認証成功前の端末から受信したパケットを転送する際に転送経路を検索するために用いられるテーブルである。端末ＶＲＦフォワーディングテーブル１５６では、「宛先ＩＰアドレス」と「サブネットマスク長」と「出力インタフェース番号」と「ネクストホップ」とが対応付けられている。「宛先ＩＰアドレス」及び「サブネットマスク長」とは、パケット転送装置１００が受信したパケットのヘッダから得られる宛先ＩＰアドレス及びサブネットマスク長を示す。「出力インタフェース番号」とは、受信したＩＰアドレスを転送（出力）するインタフェースを示す。「ネクストホップ」とは、パケットの具体的な送信先のＭＡＣアドレスを示す。なお、「ネクストホップ」フィールドに設定される値として、各装置のＭＡＣアドレスの他、「未定」が設定され得る。ネクストホップが「未定」とは、ＭＡＣアドレスが解決されていないことを示す。
【００５９】
図４の例では、第１エントリにおいて、宛先ＩＰアドレス「１０．０．０．１０」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ１」及びネクストホップ「未定」が設定されている。これは、宛先が「１０．０．０．１０／２４」（つまり、ユーザネットワーク１７０内への）のパケットについては、第１インタフェース１１１に転送するが、具体的な宛先装置については「未定」であることを意味する。また、第２エントリにおいて、宛先ＩＰアドレス「１１．０．０．１１」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ２」及びネクストホップ「未定」が設定されている。これは、宛先が「１１．０．０．１１／２４」（つまり、認証ネットワーク１９０内への）のパケットについては、第２インタフェース１１２に転送するが、具体的な宛先装置については「未定」であることを意味する。
【００６０】
初期状態においては、これら２つのエントリ（第１，２エントリ）が端末ＶＲＦフォワーディングテーブル１５６に設定されている。これら２つのエントリは、ネットワークシステム１０の初期コンフィグレーションの際に、経路制御部１２４により生成される。具体的には、経路制御部１２４は、図２に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、経路制御部１２４は、役割種別が「認証対象端末」及び「認証前」であるインタフェースについて、それぞれに設定されているＩＰアドレス，サブネットマスク及びインタフェース番号に基づき、「宛先ＩＰアドレス」，「サブネットマスク長」及び「インタフェース番号」の各フィールドを記載し、ネクストホップを「未定」に記載したエントリを端末ＶＲＦフォワーディングテーブル１５６に追加する。このようにして、端末ＶＲＦフォワーディングテーブル１５６に、図４に示す第１，２エントリが追加される。なお、端末ＶＲＦフォワーディングテーブル１５６のエントリは、後述するように、初期コンフィグレーションの後も追加され得る。
【００６１】
図５は、図１に示す認証後ＶＲＦフォワーディングテーブル１５４の初期状態を示す説明図である。認証後ＶＲＦフォワーディングテーブル１５４は、認証成功後の端末，認証サーバ１９１，検疫サーバ１９２及び業務サーバ１８１から受信したパケットを転送する際に、転送経路を検索するために用いられるテーブルである。認証後ＶＲＦフォワーディングテーブル１５４の各フィールドの意味は、端末ＶＲＦフォワーディングテーブル１５６（図４）の各フィールドの意味と同じであるので説明を省略する。また、図５における第１，２エントリは、前述の端末ＶＲＦフォワーディングテーブル１５６の第１，２エントリと同じであるので説明を省略する。
【００６２】
図５の例では、第３エントリにおいて、宛先ＩＰアドレス「１２．０．０．１２」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ３」及びネクストホップ「未定」が設定されている。これは、宛先が「１２．０．０．１２／２４」（つまり、業務ネットワーク１８０）のパケットについては、第３インタフェース１１３に転送するが、具体的な宛先装置については「未定」であることを意味する。
【００６３】
初期状態においては、これら３つのエントリ（第１〜３エントリ）が認証後ＶＲＦフォワーディングテーブル１５４に設定されている。これら３つのエントリは、ネットワークシステム１０の初期コンフィグレーションの際に、経路制御部１２４により生成される。具体的には、経路制御部１２４は、図２に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、経路制御部１２４は、いずれの役割種別が設定されているインタフェースについても、それぞれに設定されているＩＰアドレス，サブネットマスク及びインタフェース番号に基づき、「宛先ＩＰアドレス」，「サブネットマスク長」及び「インタフェース番号」の各フィールドを記載し、ネクストホップを「未定」に記載したエントリを認証後ＶＲＦフォワーディングテーブル１５４に追加する。このようにして、認証後ＶＲＦフォワーディングテーブル１５４に、図５に示す第１〜３エントリが追加される。なお、認証後ＶＲＦフォワーディングテーブル１５４のエントリは、後述するように、初期コンフィグレーションの後も追加され得る。
【００６４】
前述のユーザネットワーク１７０は、請求項における第１のネットワークに相当する。また、認証ネットワーク１９０は請求項における第２のネットワークに、業務ネットワーク１８０は請求項における第３のネットワークに、端末ＶＲＦフォワーディングテーブル１５６は請求項における第１の転送経路テーブルに、認証後ＶＲＦフォワーディングテーブル１５４は請求項における第２の転送経路テーブルに、ＶＲＦ判定テーブル１５８は請求項における検索転送経路テーブル決定テーブルに、メモリ１５０は請求項における転送経路テーブル格納部に、ＶＲＦ判定制御部１２８は請求項におけるテーブル更新部及び転送経路決定部に、経路制御部１２４は請求項における転送経路テーブル更新部に、それぞれ相当する。
【００６５】
Ａ２．認証成功前後における転送経路の変化の概要：
図６は、端末の認証成功前後における転送経路を模式的に示す説明図である。ネットワークシステム１０では、上述した各テーブル１５４，１５６，１５８の初期状態の設定、及び後述のＶＲＦ判定テーブル１５８のエントリ追加処理やパケット転送処理を実行することにより、認証成功前の端末は認証ネットワーク１９０にのみアクセス可能とし、認証成功後の端末は業務ネットワーク１８０に加えて認証ネットワーク１９０にもアクセス可能となるように構成されている。まず、図６を用いて端末から送信されるパケットの転送経路の変化について概略を説明し、次に、パケット転送処理及びＶＲＦ判定テーブル１５８のエントリ追加処理の詳細について説明する。
【００６６】
図６では、パケット転送装置１００の各構成要素のうち、ＶＲＦ判定テーブル１５８と、端末ＶＲＦフォワーディングテーブル１５６と、認証後ＶＲＦフォワーディングテーブル１５４とのみを表わし、他の構成要素は省略している。図６において、破線の矢印は認証成功前の第１端末１１から送信されるパケットの転送経路を示している。また、実線の矢印は認証成功後の第１端末１１から送信されるパケットの転送経路を、一点鎖線の矢印は認証成功前後における業務サーバ１８１から認証サーバ１９１及び検疫サーバ１９２へのパケットの転送経路を示す。
【００６７】
認証成功前には、第１端末１１からのパケットの転送経路は、ＶＲＦ判定テーブル１５８に基づき、端末ＶＲＦフォワーディングテーブル１５６の中から検索され決定される。ここで、端末ＶＲＦフォワーディングテーブル１５６には、認証ネットワーク１９０内の装置への転送経路が記述されているため、破線の矢印に示すように、パケットは認証サーバ１９１及び検疫サーバ１９２へと転送される。なお、端末ＶＲＦフォワーディングテーブル１５６には業務ネットワーク１８０への転送経路は記述されていないため、認証成功前における第１端末１１からのパケットは、業務ネットワーク１８０に転送されることはない。
【００６８】
認証成功により、ＶＲＦ判定テーブル１５８は更新され、第１端末１１からのパケットの転送経路は、認証後ＶＲＦフォワーディングテーブル１５４の中から検索され決定される。ここで、認証後ＶＲＦフォワーディングテーブル１５４には、業務ネットワーク１８０及び認証ネットワーク１９０への転送経路が記述されているため、実線の矢印に示すように、認証成功後における第１端末１１からのパケットは業務サーバ１８１や、認証サーバ１９１や、検疫サーバ１９２へと転送される。
【００６９】
なお、業務ネットワーク１８０から認証ネットワーク１９０へのパケットの転送経路は、図示を省略しているがＶＲＦ判定テーブル１５８を参照し、第１端末１１の成功の有無に関わらず、認証後ＶＲＦフォワーディングテーブル１５４の中から検索され決定される。
【００７０】
Ａ３．端末認証時の動作：
図７は、ネットワークシステム１０において実行されるパケット転送処理の手順を示すフローチャートである。第１端末１１がユーザネットワーク１７０に所属すると、第１端末１１はパケット転送装置１００に対し、認証サーバ１９１宛のパケット（例えば、ログイン名及びパスワードを含むパケット）を送信する。パケット転送装置１００では、パケットを受信すると、パケット転送処理を開始する。なお、予めＩＰアドレスを割り当てずＤＨＣＰ（Dynamic Host Configuration Protocol）によりＩＰアドレスを付与する構成においては、認証処理の一部としてＤＨＣＰによりＩＰアドレスが割り当てられた後、認証サーバ１９１に認証用のパケットを送信する場合にパケット転送処理を開始する。
【００７１】
まず、ＶＲＦ判定制御部１２８は、ＶＲＦ判定テーブル１５８を参照して、到着したパケットの転送経路を検索するために使用するＶＲＦフォワーディングテーブル（以下、「検索使用ＶＲＦフォワーディングテーブル」と呼ぶ）を決定する（ステップＳ１０５）。第１端末１１の認証成功前におけるＶＲＦ判定テーブル１５８の設定内容は、図３に示す初期状態となっている。したがって、認証前の第１端末１１からのパケットについては、インタフェース番号が「ＩＦ１」であり、判定種別が「ＭＡＣアドレス」であり、ＭＡＣアドレスが「その他」である第１エントリがヒットし、転送経路を検索するのに使用するＶＲＦフォワーディングテーブルとして、端末ＶＲＦフォワーディングテーブル１５６が決定される。
【００７２】
検索使用ＶＲＦフォワーディングテーブルが決定されると、パケット転送処理部１２６は、ステップＳ１０５で決定されたＶＲＦフォワーディングテーブルを参照し、転送経路を検索し（ステップＳ１１０）、転送経路が見つかったか否かを判定する（ステップＳ１１５）。認証前の第１端末１１からのパケットについては、検索使用ＶＲＦフォワーディングテーブルとして端末ＶＲＦフォワーディングテーブル１５６が決定されるので、パケット転送処理部１２６は、端末ＶＲＦフォワーディングテーブル１５６から転送経路を検索する。なお、このときの端末ＶＲＦフォワーディングテーブル１５６の設定内容は、図４に示す初期状態となっている。
【００７３】
検索使用ＶＲＦフォワーディングテーブルにおける転送経路の検索は、いわゆるロンゲストマッチ検索と呼ばれる方法を用いて実行される。具体的には、検索使用ＶＲＦフォワーディングテーブルの各エントリのうち、宛先ＩＰアドレスにおけるサブネットマスク長に示す上位ビットの値が、受信したパケットの宛先ＩＰアドレスにおけるサブネットマスク長に示す上位ビットの値と一致するエントリを検索し、より多くのビットで一致したエントリを決定する。認証成功前の第１端末１１から受信するパケットは、認証サーバ１９１（１１．０．０．１／３２）宛であるので、図４に示す第２エントリが見つかる。
【００７４】
転送経路が見つかった場合（ステップＳ１１５：ＹＥＳ）、パケット転送処理部１２６は、見つかった転送経路におけるネクストホップが未定（未解決）であるか否かを判定し（ステップＳ１２０）、ネクストホップが未定の場合には、経路制御部１２４を制御して、ネクストホップを解決する（ステップＳ１２５）。図４に示す第２エントリでは、ネクストホップは「未定」であるので、パケット転送処理部１２６は、ネクストホップを解決する。ネクストホップの解決方法としては、経路制御部１２４がＡＲＰ（Address Resolution Protocol）を実行して解決する方法を採用することができる。
【００７５】
ステップＳ１２５の結果、認証サーバ１９１へのネクストホップが解決すると、経路制御部１２４は、ステップＳ１０５で決定されたＶＲＦフォワーディングテーブルに解決したネクストホップの値を記述する新たなエントリを追加する（ステップＳ１３０）。
【００７６】
図８は、第１端末１１について認証成功後の端末ＶＲＦフォワーディングテーブル１５６を示す説明図である。図８では、第１端末１１について認証及び検疫がいずれも成功した後の端末ＶＲＦフォワーディングテーブル１５６を示す。前述のように、第１端末１１の認証成功前において実行されるパケット転送処理のステップＳ１３０の後には、図８に示す第３エントリ（認証サーバ１９１への具体的な転送経路）が追加される。なお、この時点では、第４エントリは追加されていない。図８の第３エントリに示すように、第１端末１１の認証動作において追加される新たなエントリでは、宛先ＩＰアドレスとして「１１．０．０．１」（認証サーバ１９１のＩＰアドレス）が、サブネットマスク長として「３２」が、出力インタフェース番号として「ＩＦ２」が、ネクストホップとして「認証サーバ（のＭＡＣアドレス）」が、それぞれ記述される。
【００７７】
ステップＳ１３０において、ＶＲＦフォワーディングテーブルに新たなエントリ（転送経路）が追加されると、パケット転送処理部１２６は受信したパケットを、ＶＲＦフォワーディングテーブルに従って転送する（ステップＳ１３５）。こうして認証サーバ１９１宛のパケットは、図８に示す第３エントリに記述された転送経路に従い、認証サーバ１９１へと転送される。
【００７８】
前述のステップＳ１１５において、転送経路が見つからない場合には、パケット転送処理部１２６は、受信したパケットを廃棄する（ステップＳ１４０）。また、前述のステップＳ１２０においてネクストホップが解決済みであった場合には、ステップＳ１２５，１３０を省略して、ステップＳ１３５を実行する。
【００７９】
このようにして、認証用パケットが認証サーバ１９１に届くと、認証サーバ１９１において認証処理が実行され、認証サーバ１９１から第１端末１１へと認証用のパケットが送信される。この場合も、上述したパケット転送処理に従いパケットが転送される。ステップＳ１０５では、図３のＶＲＦ判定テーブル１５８の第２エントリに従い、検索使用ＶＲＦフォワーディングテーブルとして認証後ＶＲＦフォワーディングテーブル１５４が決定される。ステップＳ１１０では、第１端末１１への転送経路として、図５に示す認証後ＶＲＦフォワーディングテーブル１５４の第１エントリが見つかるが、ネクストホップが未定であるので、ステップＳ１２５において第１端末１１へのネクストホップが解決される。その後、認証が成功し、第１端末１１から検疫サーバ１９２に検疫用のパケットが送信されると、図８に示す第４エントリが端末ＶＲＦフォワーディングテーブル１５６に追加される。
【００８０】
図９は、第１端末１１について認証成功後の認証後ＶＲＦフォワーディングテーブル１５４を示す説明図である。図９では、第１端末１１について認証及び検疫がいずれも成功し、かつ、その後に第１端末１１が業務サーバ１８１にアクセスした後の認証後ＶＲＦフォワーディングテーブル１５４を示す。前述のように、第１端末１１へのネクストホップが解決された場合、ステップＳ１３０において、認証後ＶＲＦフォワーディングテーブル１５４に第４エントリが追加される。そして、ステップＳ１３５において、認証用のパケットが第１端末１１へと転送される。なお、認証及び検疫が成功してから業務サーバ１８１にアクセスする前には、第５エントリは追加されていない。
【００８１】
認証サーバ１９１による認証が成功すると、次に検疫サーバ１９２により検疫が実行される。検疫の手順については、上述した認証サーバ１９１による認証の手順と同じであるので、説明は省略する。認証及び検疫が成功した後において、端末ＶＲＦフォワーディングテーブル１５６には、図８に示すように、第１〜第４エントリが記述される。なお、認証サーバ１９１は、認証及び検疫が成功した場合に、認証（認証及び検疫）が成功した旨を認証処理部１２２に通知し、認証処理部１２２は認証成功の旨をＶＲＦ判定制御部１２８に通知する。
【００８２】
図１０は、端末の認証成功後に実行されるＶＲＦ判定テーブルのエントリ追加処理の手順を示すフローチャートである。端末の認証成功の後、ＶＲＦ判定制御部１２８は、ＶＲＦ判定テーブル１５８のエントリ追加処理を実行する。
【００８３】
具体的には、ＶＲＦ判定制御部１２８は、ユーザネットワーク１７０に所属した端末について認証（認証及び検疫）が成功するまで待機する（ステップＳ２０５）。認証成功の旨を認証処理部１２２から通知されると、ＶＲＦ判定制御部１２８は、認証成功した端末について、認証後ＶＲＦフォワーディングテーブル１５４と対応付けるエントリを、ＶＲＦ判定テーブル１５８に追加する（ステップＳ２１０）。
【００８４】
図１１は、第１端末１１の認証成功後に第１端末１１についてのエントリが追加された後のＶＲＦ判定テーブル１５８を示す説明図である。前述のように第１端末１１の認証が成功した場合に、ＶＲＦ判定制御部１２８は、図１１に示す第４エントリを追加する。この第４エントリは、ＭＡＣアドレスフィールド及びＶＲＦフォワーディングテーブル種別フィールドの値が異なる点において第１エントリと異なり、他のフィールドの値は第１エントリと同じである。すなわち、第４エントリでは、ＭＡＣアドレスフィールドに第１端末１１のＭＡＣアドレスである「ｍａｃ１」が設定され、ＶＲＦフォワーディングテーブル種別フィールドに認証後ＶＲＦフォワーディングテーブル１５４が設定されている。このように第１端末１１の認証成功の後にＶＲＦ判定テーブル１５８に第４エントリが追加されることにより、第１端末１１は、業務ネットワーク１８０内の業務サーバ１８１にアクセスできるようになる。
【００８５】
Ａ４．端末認証成功後のパケット転送処理：
認証成功後に、第１端末１１から業務サーバ１８１にパケットを送信する場合の動作について説明する。この場合も、第１端末１１からパケットを受信すると、パケット転送装置１００において図７に示すパケット転送処理が実行される。ステップＳ１０５では、第１端末１１（ＭＡＣアドレス＝ｍａｃ１）からのパケットを受信するため、図１１に示すＶＲＦ判定テーブル１５８の第４エントリに基づき、検索使用ＶＲＦフォワーディングテーブルとして認証後ＶＲＦフォワーディングテーブル１５４が決定される。このケースにおいて、ステップＳ１１０を実行するでは、図９に示す認証後ＶＲＦフォワーディングテーブル１５４に第５エントリがない状態であるので、第３エントリが見つかる。第３エントリではネクストホップが未定であるので、ステップＳ１２５によりネクストホップが解決され、ステップＳ１３０により、認証後ＶＲＦフォワーディングテーブル１５４にネクストホップを「業務サーバ」とするエントリ（第５エントリ）が追加される。したがって、ステップＳ１３５では、端末ＶＲＦフォワーディングテーブル１５４の第５エントリに従い、第１端末１１からのパケットが業務サーバ１８１に転送される。
【００８６】
また、認証成功後の第１端末１１は、認証成功前と同様に、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にアクセスできる。具体的には、第１端末１１から認証サーバ１９１にパケットを送信する場合について説明する。この場合も、第１端末１１からパケットを受信すると、パケット転送装置１００において図７に示すパケット転送処理が実行される。ステップＳ１０５では、上述した業務サーバ１８１にアクセスする場合と同様に、検索使用ＶＲＦフォワーディングテーブルとして、認証後ＶＲＦフォワーディングテーブル１５４が決定される。ステップＳ１１０では、図９に示す認証後ＶＲＦフォワーディングテーブル１５４において、認証サーバ１９１への転送経路がない状態であるので、第２エントリが見つかる。第２エントリではネクストホップが未定であるので、ステップＳ１２５によりネクストホップが解決され、ステップＳ１３０により、認証後ＶＲＦフォワーディングテーブル１５４にネクストホップを「認証サーバ」とするエントリ（図示省略）が追加される。したがって、ステップＳ１３５では、この新たに追加されたエントリに従い、第１端末１１からのパケットが認証サーバ１９１に転送される。
【００８７】
このように、ユーザネットワーク１７０に所属する端末については、認証成功の前後のいずれにおいても、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にアクセスすることができる。したがって、例えば、ひとたび認証成功した端末についても、定期的に、或いは随時に認証や検疫を実行させることができるので、ネットワークシステム１０におけるセキュリティを向上させることができる。
【００８８】
なお、業務サーバ１８１から認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）には、端末の認証成功の有無に関わらずアクセスすることができる。これは以下の理由による。図３，１１に示すように、業務サーバ１８１からのパケットの転送経路検索に使用するＶＲＦフォワーディングテーブルは、ＶＲＦ判定テーブル１５８において認証後ＶＲＦフォワーディングテーブル１５４（第３エントリ）となるように設定されている。また、認証後ＶＲＦフォワーディングテーブル１５４には、図５，９に示すように、宛先ＩＰアドレスとして、認証ネットワーク１９０が接続されている第２インタフェース１１２（ＩＦ２）のＩＰアドレスが設定されたエントリ（第２エントリ）が記述されている。したがって、ネクストホップを解決することにより、認証ネットワーク１９０内の装置（認証サーバ１９１及び検疫サーバ１９２）への転送経路を記述したエントリを追加することができるからである。
【００８９】
Ａ５．ＶＲＦ判定テーブルのエントリ削除処理：
図１２は、パケット転送装置１００において実行されるＶＲＦ判定テーブル１５８のエントリ削除処理の手順を示す説明図である。端末の認証成功の後、ＶＲＦ判定制御部１２８は、ＶＲＦ判定テーブル１５８のエントリ削除処理を開始する。まず、ＶＲＦ判定制御部１２８は、端末の認証解除を検出するまで待機する（ステップＳ３０５）。
【００９０】
端末の認証が解除されるのは、例えば、ユーザが端末からログオフした場合や、認証成功後に定期的に実行される認証や検疫で失敗と判定されたケースなどである。これらの場合、認証処理部１２２は、認証失敗（認証解除）した端末のＭＡＣアドレスと、認証解除の旨をＶＲＦ判定制御部１２８に通知する。
【００９１】
ＶＲＦ判定制御部１２８は、端末の認証解除を検出すると、通知されたＭＡＣアドレスの端末についてのエントリをＶＲＦ判定テーブル１５８から削除する（ステップＳ３１０）。例えば、第１端末１１の認証が解除された場合には、ＶＲＦ判定制御部１２８は、図１１に示すＶＲＦ判定テーブル１５８の第４エントリを削除する。その結果、ＶＲＦ判定テーブル１５８は、図３に示す初期状態に戻る。
【００９２】
したがって、その後、第１端末１１がユーザネットワーク１７０に所属した場合には、ＶＲＦ判定テーブル１５８（第１エントリ）に基づき、検索使用ＶＲＦフォワーディングテーブルとして、端末ＶＲＦフォワーディングテーブル１５６が決定されることとなる。それゆえ、第１端末１１は、再度認証成功と判定されるまで、業務ネットワーク１８０（業務サーバ１８１）にはアクセスすることができない。なお、「ひとたび端末が認証された場合には、端末のログオフの後においても認証成功の状態を維持する」といったポリシーを採用するのであれば、上述したＶＲＦ判定テーブルのエントリ削除処理は省略することができる。
【００９３】
以上説明したように、第１の実施例のネットワークシステム１０では、認証成功前に、第１端末１１からのパケットの検索使用ＶＲＦフォワーディングテーブルとして、端末ＶＲＦフォワーディングテーブル１５６を決定するようなエントリをＶＲＦ判定テーブル１５８に設定している。また、端末ＶＲＦフォワーディングテーブル１５６には、宛先ＩＰアドレスフィールドに第１，２インタフェース１１１，１１２のＩＰアドレスを設定したエントリ（第１，２エントリ）が記述されている。したがって、認証成功前の端末は、ネクストホップを解決して、ユーザネットワーク１７０及び認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にアクセスすることができるが、業務ネットワーク１８０（業務サーバ１８１）にアクセスすることはできない。したがって、認証前の端末による業務サーバ１８１へのアクセスを抑制できる。
【００９４】
また、認証成功後に、第１端末１１からのパケットの検索使用ＶＲＦフォワーディングテーブルとして、認証後ＶＲＦフォワーディングテーブル１５４を決定するようなエントリをＶＲＦ判定テーブル１５８に追加するようにしている。加えて、認証後ＶＲＦフォワーディングテーブル１５４には、宛先ＩＰアドレスフィールドに第２，３インタフェース１１２，１１３のＩＰアドレスが設定されたエントリ（第２，３エントリ）が記述されている。したがって、認証成功後の端末は、ネクストホップを解決して、業務ネットワーク１８０（業務サーバ１８１）にアクセスできることに加えて、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にもアクセスすることができる。したがって、例えば、認証成功後の端末についても、定期的に或いは随時に、認証サーバ１９１や検疫サーバ１９２による認証や検疫を実行することができる。
【００９５】
また、ネットワークシステム１０では、第１端末１１に割り当てられたＩＰアドレスは１つであるので、第１端末１１に対して、認証前後で異なるＩＰアドレスを割り当てる構成に比べて、ＩＰアドレスの利用効率を向上させることができる。
【００９６】
また、認証解除された場合には、ＶＲＦ判定テーブル１５８において認証成功時に追加されたエントリを削除するだけで、認証解除された端末による業務ネットワーク１８０へのアクセスを抑制できる。したがって、簡易な構成により、認証結果に応じたアクセス制限を実現でき、ネットワークシステム１０の構築コスト及び運用コストを抑制できる。
【００９７】
Ｂ．第２の実施例：
Ｂ１．システム構成：
図１３は、第２の実施例のネットワークシステム１０ａの構成を示す説明図である。第２の実施例のネットワークシステム１０ａは、以下の５点において第１の実施例のネットワークシステム１０と異なり、他の構成は第１の実施例と同じである。すなわち、パケット転送装置１００ａが、第１〜３のインタフェース１１１〜１１３に加えて第４インタフェース１１４を備えている点と、認証後ＶＲＦフォワーディングテーブル１５４に代えて、認証ＶＲＦフォワーディングテーブル１５４ａと第１業務ＶＲＦフォワーディングテーブル１５４ｂと第２業務ＶＲＦフォワーディングテーブル１５４ｃとを備えている点と、業務ネットワーク１８０に代えて、２つの業務ネットワーク（第１業務ネットワーク１８０ａ及び第２業務ネットワーク１８０ｂ）を備えている点と、第１端末１１に加えて第２端末１２がユーザネットワーク１７０に所属し得る点と、認証サーバ１９１がアクセス許可テーブル１９３を備えている点とが、第１の実施例のネットワークシステム１０との相違点である。
【００９８】
第４インタフェース１１４は、第２業務ネットワーク１８０ｂを接続するインタフェースである。なお、第３インタフェース１１３に接続されたネットワークを第１業務ネットワーク１８０ａと呼ぶ。これら２つの業務ネットワーク１８０ａ，１８０ｂは、いずれも、第１の実施例の業務ネットワーク１８０と同じ役割を有する。第１業務ネットワーク１８０ａには、第１業務サーバ１８１ａが所属しており、第２業務ネットワーク１８０ｂには、第２業務サーバ１８１ｂが所属している。
【００９９】
第１の実施例と同様に、各端末やサーバやパケット転送装置１００ａの各インタフェースには、予めＩＰアドレスが割り当てられている。具体的には、第４インタフェース１１４には１３．０．０．１３／２４が割り当てられている。また、第１業務サーバ１８１ａには１２．０．０．１／３２が、第２業務サーバ１８１ｂには１３．０．０．１／３２が、第２端末１２には１０．０．０．２／３２が、それぞれ割り当てられている。なお、第２端末１２には、ＭＡＣアドレスとして「ｍａｃ２」が設定されている。
【０１００】
認証ＶＲＦフォワーディングテーブル１５４ａは、認証ネットワーク１９０に属する装置（認証サーバ１９１及び検疫サーバ１９２）から受信したパケットの転送経路を検索するために用いられるテーブルである。第１業務ＶＲＦフォワーディングテーブル１５４ｂは、第１業務ネットワーク１８０ａに属する装置（第１業務サーバ１８１ａ）及び認証成功後の２つの端末１１，１２から受信したパケットの転送経路を検索するために用いられるテーブルである。第２業務ＶＲＦフォワーディングテーブル１５４ｃは、第２業務ネットワーク１８０ｂに属する装置（第２業務サーバ１８１ｂ）及び認証成功後の第２端末１２から受信したパケットの転送経路を検索するために用いられるテーブルである。
【０１０１】
図１３に示すように、認証サーバ１９１が備えるアクセス許可テーブル１９３には、ユーザネットワーク１７０に所属し得る端末と、アクセスを許可するネットワークとが対応付けられている。具体的には、第１端末１１には第１業務ネットワーク１８０ａが対応付けられ、第２端末１２には、第１業務ネットワーク１８０ａ及び第２業務ネットワーク１８０ｂが対応付けられている。このアクセス許可テーブル１９３は、ネットワークシステム１０の初期コンフィグレーションの際に、ネットワーク管理者により設定される。
【０１０２】
図１４は、第２の実施例のインタフェース役割種別テーブル１５２を示す説明図である。第２の実施例におけるインタフェース役割種別テーブル１５２は、第２エントリにおいて、役割種別「認証前」が設定されている点と、第３エントリにおいて役割種別「第１業務」が設定されている点と、第４エントリとして、インタフェース番号「ＩＦ４」及び役割種別「第２業務」が設定されている点とにおいて、図２に示す第１の実施例のインタフェース役割種別テーブル１５２と異なり、他の構成は、第１の実施例と同じである。
【０１０３】
図１５は、第２の実施例におけるＶＲＦ判定テーブル１５８の初期状態を示す説明図である。第２の実施例における初期状態のＶＲＦ判定テーブル１５８は、第２エントリにおいて、ＶＲＦフォワーディングテーブル種別として「認証ＶＲＦフォワーディングテーブル」が設定されている点と、第３エントリにおいて、ＶＲＦフォワーディングテーブル種別として「第１業務ＶＲＦフォワーディングテーブル」が設定されている点と、第４エントリとして、インタフェース番号「ＩＦ４」，判定種別「インタフェース」，ＭＡＣアドレス「−」及びＶＲＦフォワーディングテーブル「第２業務ＶＲＦフォワーディングテーブル」が、それぞれ設定されている点において、図３に示す第１の実施例のＶＲＦ判定テーブル１５８と異なり、他の構成は第１の実施例と同じである。
【０１０４】
ＶＲＦ判定テーブル１５８の初期状態における各エントリは、第１の実施例と同様に、インタフェース役割種別テーブル１５２に基づき作成される。具体的には、役割種別「認証前」のインタフェース（第２インタフェース１１２）に対しては、ＶＲＦフォワーディングテーブル種別として「認証ＶＲＦフォワーディングテーブル」が生成される。また、役割種別「第１業務」のインタフェースにはＶＲＦフォワーディングテーブル種別「第１業務ＶＲＦフォワーディングテーブル」が、役割種別「第２業務」のインタフェースにはＶＲＦフォワーディングテーブル種別「第２業務ＶＲＦフォワーディングテーブル」が、それぞれ設定される。
【０１０５】
第２の実施例における初期状態の端末ＶＲＦフォワーディングテーブル１５６は、図４に示す第１の実施例の端末ＶＲＦフォワーディングテーブル１５６と同じであるので、説明を省略する。
【０１０６】
図１６は、第２の実施例における認証ＶＲＦフォワーディングテーブル１５４ａの初期状態を示す説明図である。認証ＶＲＦフォワーディングテーブル１５４ａの各フィールドは、他のＶＲＦフォワーディングテーブルの各フィールドと同じである。初期状態の認証ＶＲＦフォワーディングテーブル１５４ａは、第４エントリとして、宛先ＩＰアドレス「１３．０．０．１３」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ４」及びネクストホップ「未定」が設定されている点を除き、図５に示す第１の実施例における初期状態の認証後ＶＲＦフォワーディングテーブル１５４と同じである。この第４エントリは、第１〜３エントリと同様に、ネットワークシステム１０ａの初期コンフィグレーションの際に、経路制御部１２４により生成される。
【０１０７】
図１７は、第２の実施例における第１業務ＶＲＦフォワーディングテーブル１５４ｂの初期状態を示す説明図である。初期状態の第１業務ＶＲＦフォワーディングテーブル１５４ｂは、図５に示す第１の実施例における初期状態の認証後ＶＲＦフォワーディングテーブル１５４と同じである。すなわち、宛先ＩＰアドレスとして、ユーザネットワーク１７０に接続されたインタフェース（第１インタフェース１１１）のＩＰアドレスと、認証ネットワーク１９０に接続されたインタフェース（第２インタフェース１１２）のＩＰアドレスと、第１業務ネットワーク１８０ａに接続されたインタフェース（第３インタフェース１１３）のＩＰアドレスとが記述されたエントリのみが、初期状態において設定されている。
【０１０８】
これらの初期状態における各エントリは、ネットワークシステム１０ａの初期コンフィグレーションの際に、経路制御部１２４により生成される。具体的には、インタフェース役割種別テーブル１５２における役割種別が「認証対象端末」，「認証前」及び「第１業務」であるインタフェースについて、各インタフェースに設定されているＩＰアドレス，サブネットマスク，インタフェース番号に基づき、宛先ＩＰアドレスフィールド，サブネットマスク長フィールド，出力インタフェース番号フィールドの各値が設定され、ネクストホップフィールドを「未定」に設定されたエントリが生成される。
【０１０９】
図１８は、第２の実施例における第２業務ＶＲＦフォワーディングテーブル１５４ｃの初期状態を示す説明図である。初期状態の第２業務ＶＲＦフォワーディングテーブル１５４ｃは、第３エントリとして、宛先ＩＰアドレス「１３．０．０．１３」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ４」及びネクストホップ「未定」が設定されている点において、図１７に示す初期状態の第１業務ＶＲＦフォワーディングテーブル１５４ｂと異なり、他の構成は第１業務ＶＲＦフォワーディングテーブル１５４ｂと同じである。これらの初期状態における各エントリは、第１業務ＶＲＦフォワーディングテーブル１５４ｂと同様にして、ネットワークシステム１０ａの初期コンフィグレーションの際に、経路制御部１２４により生成される。
【０１１０】
本実施例では、第１業務ネットワーク１８０ａ及び第２業務ネットワーク１８０ｂは、請求項における第３のネットワークに相当する。また、認証ＶＲＦフォワーディングテーブル１５４ａは請求項における第３の転送経路テーブルに、また、第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃは請求項における第２の転送経路テーブルに、それぞれ相当する。
【０１１１】
Ｂ２．認証成功前後における転送経路の変化の概要：
図１９は、第２の実施例における第１端末１１の認証成功前後の転送経路を模式的に示す説明図である。図２０は、第２の実施例における第２端末１２の認証成功前後の転送経路を模式的に示す説明図である。
【０１１２】
第２の実施例のネットワークシステム１０ａでは、上述した各テーブルの初期状態の設定、及び後述のＶＲＦ判定テーブル１５８のエントリ追加処理やパケット転送処理を実行することにより、認証成功前の端末はいずれも認証ネットワーク１９０にのみアクセス可能とすると共に、各端末１１，１２ごとに、認証成功後にアクセス可能なネットワーク（サーバ）を設定可能に構成されている。
【０１１３】
図１９に示すように、認証成功前において、第１端末１１からのパケットは、端末ＶＲＦフォワーディングテーブル１５６を検索して得られた転送経路を転送され、認証サーバ１９１及び検疫サーバ１９２に転送される。認証成功後において、第１端末１１からのパケットは、第１業務ＶＲＦフォワーディングテーブル１５４ｂを検索して得られた転送経路を転送され、第１業務サーバ１８１ａに転送される。また、認証成功後において、第１端末１１からのパケットは、第１業務ＶＲＦフォワーディングテーブル１５４ｂを検索して得られた転送経路を転送され、認証サーバ１９１及び検疫サーバ１９２に転送される。なお、認証成功後において、第１端末１１からのパケットは、第２業務サーバ１８１ｂに転送されないように構成されている。
【０１１４】
図２０に示すように、認証成功前において、第２端末１２からのパケットは、端末ＶＲＦフォワーディングテーブル１５６を検索して得られた転送経路を転送され、認証サーバ１９１及び検疫サーバ１９２に転送される。認証成功後において、第２端末１２からのパケットは、第１業務ＶＲＦフォワーディングテーブル１５４ｂを検索して得られた転送経路を転送され、第１業務サーバ１８１ａに転送される。また、認証成功後において、第２端末１２からのパケットは、第２業務ＶＲＦフォワーディングテーブル１５４ｃを検索して得られた転送経路を転送され、第２業務サーバ１８１ｂに転送される。また、認証成功後において、第２端末１２からのパケットは、第１業務ＶＲＦフォワーディングテーブル１５４ｂを検索して得られた転送経路を転送され、認証サーバ１９１及び検疫サーバ１９２に転送される。
【０１１５】
Ｂ３．端末認証時の動作：
図２１は、第２の実施例におけるパケット転送処理の手順を示すフローチャートである。第２の実施例のパケット転送処理は、ステップＳ１１０に代えて、ステップＳ１１０ａを実行する点において、第１の実施例のパケット転送処理（図７）と異なり、他の手順は第１の実施例と同じである。第２の実施例では、ＶＲＦ判定テーブル１５８のＶＲＦフォワーディング種別として複数のＶＲＦフォワーディングテーブルを設定することを許容している。したがって、ステップＳ１０５において、到着したパケットの検索使用ＶＲＦフォワーディングテーブルとして複数のＶＲＦフォワーディングテーブルが決定され得る。そこで、ステップＳ１１０ａでは、転送経路を検索する際に、これら複数のＶＲＦフォワーディングテーブルを順次参照するものとしている。
【０１１６】
なお、後述するように、端末認証時には、ステップＳ１０５において、検索使用ＶＲＦフォワーディングテーブルとして端末ＶＲＦフォワーディングテーブル１５６のみが決定されるので、端末認証時における動作（ステップＳ１１０ａの実行結果）は第１の実施例と同じである。
【０１１７】
ここで、第２の実施例では、認証成功の際に、認証サーバ１９１から認証処理部１２２に通知される情報において、第１の実施例と異なる。具体的には、認証サーバ１９１は、認証及び検疫が成功した場合に、認証（認証及び検疫）が成功した旨に加えて、認証が成功した端末に対してアクセスが許可されているネットワークについての情報を認証処理部１２２に通知する。具体的には、認証サーバ１９１は、第１端末１１の認証が成功した場合に、図１３に示すアクセス許可テーブル１９３を参照し、アクセスが許可されたネットワークとして「第１業務ネットワーク」を認証成功の旨と共に認証処理部１２２に通知する。また、認証サーバ１９１は、第２端末１２の認証が成功した場合に、アクセス許可テーブル１９３を参照し、アクセスが許可されたネットワークとして「第１業務ネットワーク及び第２業務ネットワーク」を認証成功の旨と共に認証処理部１２２に通知する。認証処理部１２２は、認証成功の旨と、アクセスが許可されたネットワークの情報を、ＶＲＦ判定制御部１２８に通知する。
【０１１８】
図２２は、第２の実施例におけるＶＲＦ判定テーブルのエントリ追加処理の手順を示すフローチャートである。第２の実施例のＶＲＦ判定テーブルのエントリ追加処理は、ステップＳ２１０に代えて、ステップＳ２１０ａを実行する点において、図１０に示す第１の実施例のＶＲＦ判定テーブルのエントリ追加処理と異なり、他の手順は第１の実施例と同じである。ステップＳ２０５を実行した後、ＶＲＦ判定制御部１２８は、認証成功した端末について、アクセス許可されたネットワークからのパケットの検索使用ＶＲＦフォワーディングテーブルと対応付けるエントリを、ＶＲＦ判定テーブル１５８に追加する（ステップＳ２１０ａ）。
【０１１９】
図２３は、第１端末１１及び第２端末１２の認証成功後に、これら２つの端末１１，１２についてのエントリが追加された後のＶＲＦ判定テーブル１５８を示す説明図である。第１端末１１にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａである。第１業務ネットワーク１８０ａからのパケットの検索使用ＶＲＦフォワーディングテーブルは、第１業務ＶＲＦフォワーディングテーブル１５４ｂである（ＶＲＦ判定テーブル１５８の第３エントリ参照）。したがって、第１端末１１が認証成功した場合に、ＶＲＦ判定制御部１２８は、インタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「ｍａｃ１」及びＶＲＦフォワーディングテーブル種別「第１業務ＶＲＦフォワーディングテーブル」が設定されたエントリ（第５エントリ）をＶＲＦ判定テーブル１５８に追加する。
【０１２０】
また、第２端末１２にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａ及び２業務ネットワーク１８０ｂである。第１業務ネットワーク１８０ａからのパケットの検索使用ＶＲＦフォワーディングテーブルは、第１業務ＶＲＦフォワーディングテーブル１５４ｂである（ＶＲＦ判定テーブル１５８の第３エントリ参照）。第２業務ネットワーク１８０ｂからのパケットの検索使用ＶＲＦフォワーディングテーブルは、第２業務ＶＲＦフォワーディングテーブル１５４ｃである（ＶＲＦ判定テーブル１５８の第４エントリ参照）。したがって、第２端末１２が認証成功した場合に、ＶＲＦ判定制御部１２８は、インタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「ｍａｃ２」及びＶＲＦフォワーディングテーブル種別「第１業務ＶＲＦフォワーディングテーブル，第２業務ＶＲＦフォワーディングテーブル」が設定されたエントリ（第６エントリ）をＶＲＦ判定テーブル１５８に追加する。
【０１２１】
図２４は、第１端末１１及び第２端末１２の認証成功後の認証ＶＲＦフォワーディングテーブル１５４ａを示す説明図である。２つの端末１１，１２の認証動作において、認証サーバ１９１及び検疫サーバ１９２は、これら２つの端末１１，１２にパケットを送信する。この際に、各端末１１，１２へのネクストホップが解決され、第５，６エントリが追加される。
【０１２２】
Ｂ４．端末認証成功後のパケット転送処理：
認証成功後に、第１端末１１から業務サーバ１８１にパケットを送信する場合のパケット転送処理について説明する。図２１に示すステップＳ１０５では、図２３に示すＶＲＦ判定テーブル１５８の第５エントリに基づき、検索使用ＶＲＦフォワーディングテーブルとして、第１業務ＶＲＦフォワーディングテーブル１５４ｂが決定される。
【０１２３】
図２５は、第１端末１１及び第２端末１２の認証成功後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す説明図である。図２５では、第１端末１１及び第２端末１２について認証及び検疫がいずれも成功し、かつ、その後に第１端末１１及び第２端末１２が第１業務サーバ１８１ａにアクセスした後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す。第２端末１２が第１業務サーバ１８１ａにアクセスしておらず、第１端末１１のみが第１業務サーバ１８１ａにアクセスした後には、図１７に示す初期状態から第４，５エントリが追加される。その後、第２端末１２が第１業務サーバ１８１ａにアクセスした場合に、第６エントリが追加される。
【０１２４】
図２５に示すように、第１業務ＶＲＦフォワーディングテーブル１５４ｂの第３エントリには、宛先ＩＰアドレスとして第３インタフェース１１３が設定されている。したがって、ステップＳ１１０ａではこのエントリが発見され、さらに、第１業務サーバ１８１ａへのネクストホップが解決され（ステップＳ１２５）、第５エントリが追加される（ステップＳ１３０）。したがって、この第１業務ＶＲＦフォワーディングテーブル１５４ｂの第５エントリに基づき、第１端末１１から第１業務サーバ１８１ａへとパケットが転送される（ステップＳ１３５）。なお、その後、第１業務サーバ１８１ａから第１端末１１へのパケットを転送する際に、第４エントリが追加される。
【０１２５】
ここで、図２５に示す第１業務ＶＲＦフォワーディングテーブル１５４ｂには、宛先ＩＰアドレスとして、第３インタフェース１１３に加えて、第２インタフェース１１２が設定されたエントリ（第２エントリ）が記述されている。したがって、認証成功後において、第１端末１１は、第１業務ネットワーク１８０ａ（第１業務サーバ１８１ａ）に加えて、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にもアクセスすることができる。一方、第１業務ＶＲＦフォワーディングテーブル１５４ｂには、宛先ＩＰアドレスとして、第４インタフェース１１４が設定されたエントリは記述されていない。したがって、認証成功後において、第１端末１１は、第２業務ネットワーク１８０ｂ（第２業務サーバ１８１ｂ）にアクセスすることはできない。
【０１２６】
認証成功後に、第２端末１２から第１業務サーバ１８１ａにアクセスする場合のパケット転送処理について説明する。なお、前提として、上述した第１端末１１から第１業務サーバ１８１ａへのアクセスが既に実行されており、第１業務サーバ１８１ａへのネクストホップが解決され、第１業務ＶＲＦフォワーディングテーブル１５４ｂに第５エントリが記述されているものとする。
【０１２７】
ステップＳ１０５では、図２３に示すＶＲＦ判定テーブル１５８の第６エントリに基づき、検索使用ＶＲＦフォワーディングテーブルとして、第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃが決定される。ステップＳ１１０ａでは、これら２つのＶＲＦフォワーディングテーブル１５４ａ，１５４ｂが、この順序で参照され転送経路が検索される。このとき、第１業務ＶＲＦフォワーディングテーブル１５４ｂ(図２５)には、ネクストホップを第１業務サーバ１８１ａとするエントリ（第５エントリ）が記述されているので、第２業務ＶＲＦフォワーディングテーブル１５４ｃを参照することなく、第１業務サーバ１８１ａへの転送経路が見つかる。したがって、この第１業務ＶＲＦフォワーディングテーブル１５４ｂの第５エントリに基づき、第２端末１２から第１業務サーバ１８１ａへとパケットが転送される。
【０１２８】
次に、認証成功後に、第２端末１２から第２業務サーバ１８１ｂにアクセスする場合のパケット転送処理について説明する。
【０１２９】
ステップＳ１０５では、上述した第１業務サーバ１８１ａにアクセスする場合と同様に、検索使用ＶＲＦフォワーディングテーブルとして、第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃが決定される。ステップＳ１１０ａでは、これら２つのＶＲＦフォワーディングテーブル１５４ａ，１５４ｂが、この順序で参照され転送経路が検索される。
【０１３０】
図２６は、第１端末１１及び第２端末１２の認証成功後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す説明図である。図２６では、第１端末１１及び第２端末１２について認証及び検疫がいずれも成功し、かつ、その後に第２端末１２が第２業務サーバ１８１ｂにアクセスした後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す。なお、第２端末１２が最初に第２業務サーバ１８１ｂにアクセスする際には、第４，５エントリは記述されていない。
【０１３１】
図１８，２６に示すように、第２業務ＶＲＦフォワーディングテーブル１５４ｃには、宛先ＩＰアドレスとして第４インタフェース１１４が設定されたエントリ（第３エントリ）が記述されている。一方、図１７，２５に示す第１業務ＶＲＦフォワーディングテーブル１５４ｂには、第４インタフェース１１４が設定されたエントリは記述されていない。したがって、ステップＳ１１０ａでは、第１業務ＶＲＦフォワーディングテーブル１５４ｂ，第２業務ＶＲＦフォワーディングテーブル１５４ｃの順序で参照され、第２業務ＶＲＦフォワーディングテーブル１５４ｃにおいて第３エントリが発見される。そして、第２業務サーバ１８１ｂへのネクストホップが解決され（ステップＳ１２５）、第２業務ＶＲＦフォワーディングテーブル１５４ｃに第５エントリが追加される。したがって、この第５エントリに基づき、第２端末１２から第２業務サーバ１８１ｂへとパケットが転送される（ステップＳ１３５）。
【０１３２】
上述したように、図２５に示す第１業務ＶＲＦフォワーディングテーブル１５４ｂには、宛先ＩＰアドレスとして、第２インタフェース１１２が設定されたエントリ（第２エントリ）が記述されている。したがって、認証成功後において、第２端末１２は、第１端末１１と同様に、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にもアクセスすることができる。
【０１３３】
以上説明した第２の実施例のネットワークシステム１０ａは、第１の実施例のネットワークシステム１０と同じ効果を有する。加えて、第１業務ＶＲＦフォワーディングテーブル１５４ｂでは、宛先ＩＰアドレスとして第３インタフェース１１３を設定したエントリを記述し、第４インタフェース１１４を設定したエントリを記述せず、また、第２業務ＶＲＦフォワーディングテーブル１５４ｃでは、宛先ＩＰアドレスとして第４インタフェース１１４を設定したエントリを記述し、第３インタフェース１１３を設定したエントリを記述しない構成を採用している。そして、ＶＲＦ判定テーブル１５８において、第１端末１１からのパケットの検索使用ＶＲＦフォワーディングテーブルとして第１業務ＶＲＦフォワーディングテーブル１５４ｂを設定したエントリを記述し、第２端末１２からのパケットの検索使用ＶＲＦフォワーディングテーブルとして第１，２ＶＲＦフォワーディングテーブル１５４ｃを設定したエントリを記述する構成を採用している。このような構成により、第１端末１１は第１業務ネットワーク１８０ａ（第１業務サーバ１８１ａ）にアクセスできるが、第２業務ネットワーク１８０ｂ（第２業務サーバ１８１ｂ）にはアクセスできないようにすることができる。また、第２端末１２は、第１業務ネットワーク１８０ａ（第１業務サーバ１８１ａ）及び第２業務ネットワーク１８０ｂ（第２業務サーバ１８１ｂ）のいずれにもアクセスできるようにすることができる。
【０１３４】
加えて、第１業務ＶＲＦフォワーディングテーブル１５４ｂには、宛先ＩＰアドレスとして第２インタフェース１１２を設定したエントリを記述しているので、認証成功後において、第１端末１１及び第２端末１２は、いずれも認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にアクセスすることができる。
【０１３５】
Ｃ．第３の実施例：
図２７は、第３の実施例のネットワークシステムの構成を示す説明図である。第３の実施例のネットワークシステム１０ｂは、ルータ１７２を備えている点と、アクセスネットワーク２００を備えている点とにおいて第１の実施例と異なり、他の構成は第１の実施例と同じである。
【０１３６】
ルータ１７２は、レイヤ２スイッチ１７１とパケット転送装置１００の第１インタフェース１１１とに接続されており、ユーザネットワーク１７０と、アクセスネットワーク２００とをレイヤ３において接続する。アクセスネットワーク２００は、ルータ１７２と第１インタフェース１１１との間に設けられたレイヤ３のネットワーク（ＶＬＡＮ）である。第１端末１１には、予めＩＰアドレス「２０．０．０．１／３２」が割り当てられている。
【０１３７】
このように、第１端末１１と第１インタフェース１１１とが、ルータ１７２を介して接続された場合、ルータ１７２から第１インタフェース１１１に届くパケット（レイヤ２フレーム）の送信元アドレス（ＭＡＣアドレス）は、ルータ１７２のポートに割り当てられているＭＡＣアドレスとなる。したがって、パケット転送処理のステップＳ１０５において、送信元ＭＡＣアドレスに基づき正しいパケットの送信元を判断することができない。そこで、第３の実施例では、送信元ＩＰアドレスに基づきパケットの送信元を判断するように構成されている。
【０１３８】
図２８は、第３の実施例のＶＲＦ判定テーブル１５８を示す説明図である。図２８では、第１端末１１について認証及び検疫がいずれも成功した後のＶＲＦ判定テーブル１５８を示す。第３の実施例のＶＲＦ判定テーブル１５８は、ＭＡＣアドレスフィールドに代えて、ＩＰアドレスフィールドが設けられている点において、第１の実施例のＶＲＦ判定テーブルと異なり、他の構成は第１の実施例と同じである。
【０１３９】
図２８において第４エントリは、第１端末１１について認証成功後に追加されたエントリである。この第４エントリでは、インタフェース番号「ＩＦ１」，判定種別「ＩＰアドレス」，ＩＰアドレス「２０．０．０．１／３２」及びＶＲＦフォワーディングテーブル種別「認証後ＶＲＦフォワーディングテーブル」が設定されている。したがって、認証成功後に、第１端末１１からパケットを受信した際には、パケットの送信元ＩＰアドレスが「２０．０．０．１／３２」であるので、第４エントリに基づき、検索使用ＶＲＦフォワーディングテーブルとして認証後ＶＲＦフォワーディングテーブルが決定される。
【０１４０】
以上説明した第３の実施例のネットワークシステム１０ｂも、第１の実施例のネットワークシステム１０と同様な効果を有する。加えて、ＶＲＦ判定テーブル１５８において、第１端末１１から送信されるパケットの検索使用ＶＲＦフォワーディングテーブルを決定するためのエントリにおいて、判定種別を「ＩＰアドレス」とし、ＩＰアドレスを「２０．０．０．１／３２」と設定するので、パケット転送装置１００に到着したパケットの送信元をＩＰアドレスにより判断することができる。したがって、第１端末１１が所属するネットワーク（ＶＬＡＮ）と、第１インタフェース１１１が所属するネットワーク（ＶＬＡＮ）が異なる場合においても、パケットの送信元を正確に判定することができる。
【０１４１】
Ｄ．第４の実施例：
第４の実施例のネットワークシステムは、初期状態における第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃにおいて、宛先ＩＰアドレスとして第１インタフェース１１１（ユーザネットワーク１７０）が設定されたエントリがない点と、ＶＲＦ判定テーブル１５８のエントリ追加に加えて、ＶＲＦフォワーディングテーブルのエントリ追加の処理を実行する点において、第２の実施例のネットワークシステム１０ａと異なり、他の構成は第２の実施例と同じである。
【０１４２】
第４の実施例のネットワークシステムでは、第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂからアクセス可能な端末を、第１端末１１ないし第２端末１２に限定し、ユーザネットワーク１７０に所属する他の端末（図示省略）へのアクセスを抑制するように構成されている。
【０１４３】
図２９は、第４の実施例における第１業務ＶＲＦフォワーディングテーブル１５４ｂの初期状態を示す説明図である。図３０は、第４の実施例における第２業務ＶＲＦフォワーディングテーブル１５４ｃの初期状態を示す説明図である。図２９に示すように、第４の実施例の第１業務ＶＲＦフォワーディングテーブル１５４ｂでは、第２の実施例とは異なり、初期状態において、宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリがない。同様に、図３０に示すように、第２業務ＶＲＦフォワーディングテーブル１５４ｃにおいても、第２の実施例とは異なり、初期状態において、宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリがない。
【０１４４】
図３１は、第４の実施例におけるＶＲＦ判定テーブル１５８及びＶＲＦフォワーディングテーブルへのエントリ追加処理の手順を示すフローチャートである。ステップＳ２０５及びステップＳ２１０ａは、第２の実施例のＶＲＦ判定テーブルのエントリ追加処理（図２２）と同じである。端末の認証が成功し（ステップＳ２０５：ＹＥＳ）、認証成功した端末についてのエントリがＶＲＦ判定テーブル１５８に追加されると（ステップＳ２１０ａ）、経路制御部１２４は、認証成功した端末への転送経路を、認証ＶＲＦフォワーディングテーブル１５４ａから検索する（ステップＳ２１５）。
【０１４５】
図２４に示すように、第１端末１１及び第２端末１２が認証成功した後における認証ＶＲＦフォワーディングテーブル１５４ａには、第１端末１１への転送経路を示すエントリ（第５エントリ）及び第２端末１２への転送経路を示すエントリ（第６エントリ）が記述されている。したがって、第１端末１１及び第２端末１２が認証成功した後においてステップＳ２１５を実行する場合、この認証ＶＲＦフォワーディングテーブル１５４ａの第５，６エントリが見つかることとなる。
【０１４６】
認証成功した端末への転送経路が見つかると、経路制御部１２４は、見つかった転送経路を、ＶＲＦ判定テーブル１５８において端末に対応付けられているＶＲＦフォワーディングテーブルにコピーする（ステップＳ２２０）。
【０１４７】
図３２は、ステップＳ２２０実行後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す説明図である。図３３は、ステップＳ２２０実行後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す説明図である。
【０１４８】
図２３に示すように、第１端末１１及び第２端末１２の認証成功後におけるＶＲＦ判定テーブル１５８では、第１端末１１には第１業務ＶＲＦフォワーディングテーブル１５４ｂが対応付けられている。また、第２端末１２には、第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃが対応付けられている。したがって、ステップＳ２２０実行後には、図３２に示すように、第１業務ＶＲＦフォワーディングテーブル１５４ｂには第３，４エントリが追加され、第２業務ＶＲＦフォワーディングテーブル１５４ｃには図３３に示す第３エントリが追加される。
【０１４９】
したがって、第１業務サーバ１８１ａから第１端末１１へのパケットについては、図３２に示す第３エントリに基づきパケットが転送される。また、第１業務サーバ１８１ａから第２端末１２へのパケットについては、図３２に示す第４エントリに基づきパケットが転送される。ここで、第１業務サーバ１８１ａからユーザネットワーク１７０に所属する他の端末（図示省略）へのパケットについては、第１業務ＶＲＦフォワーディングテーブル１５４ｂに宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリがないのでＡＲＰ解決することができず、転送経路が見つからずに廃棄される。
【０１５０】
また、第２業務サーバ１８１ｂから第２端末１２へのパケットについては、図３３に示す第２業務ＶＲＦフォワーディングテーブル１５４ｃの第３エントリに基づき、パケットが転送される。ここで、第２業務サーバ１８１ｂからユーザネットワーク１７０に所属する他の端末（図示省略）へのパケットについては、第２業務ＶＲＦフォワーディングテーブル１５４ｃに宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリがないのでＡＲＰ解決することができず、転送経路が見つからずに廃棄される。
【０１５１】
図３４は、第４の実施例のエントリ削除処理の手順を示すフローチャートである。第４の実施例のエントリ削除処理では、ステップＳ３１５を加えた点において、第１，２の実施例のＶＲＦ判定テーブルのエントリ削除処理（図１２）と異なり、他の手順はＶＲＦ判定テーブルのエントリ削除処理と同じである。
【０１５２】
ステップＳ３１０において、認証解除された端末のエントリをＶＲＦ判定テーブル１５８から削除した後に、経路制御部１２４は、認証解除された端末への転送経路をＶＲＦフォワーディングテーブルから削除する（ステップＳ３１５）。
【０１５３】
具体的には、２つの端末１１，１２が認証解除された場合、経路制御部１２４は、図３２に示す第１業務ＶＲＦフォワーディングテーブル１５４ｂの第３，４エントリを削除し、また、図３３に示す第２業務ＶＲＦフォワーディングテーブル１５４ｃの第３エントリを削除する。なお、これらの削除対象とするエントリは、認証処理部１２２から通知される認証を解除された端末に関する情報（ＩＰアドレス等）に基づき決定される。
【０１５４】
なお、本実施例において、図３２に示す第３，４エントリ及び図３３に示す第３エントリは請求項における端末経路情報に相当する。
【０１５５】
以上説明した第４の実施例のネットワークシステムも、第１の実施例のネットワークシステム１０と同様な効果を有する。加えて、第４の実施例のネットワークシステムでは、第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂに、宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリ（転送経路）を初期状態において記述しないようにし、認証成功した端末についての転送経路のみ、認証ＶＲＦフォワーディングテーブル１５４ａからコピーするようにしている。したがって、第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂから第１端末１１及び第２端末１２へのパケットの転送を可能にすると共に、これら２つの業務サーバ１８１ａ，１８１ｂからユーザネットワーク１７０に属する他の端末（或いは認証成功前の端末１１，１２）へのパケットの転送を抑制することができる。それゆえ、２つの業務サーバ１８１ａ，１８１ｂからユーザネットワーク１７０に向かう通信におけるセキュリティを強化することができる。
【０１５６】
加えて、認証成功した端末についての転送経路を、認証ＶＲＦフォワーディングテーブル１５４ａからコピーするようにしているので、第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂから第１端末１１及び第２端末１２に最初にパケットを送信する際に、改めてネクストホップを解決せずに済む。したがって、第１端末１１及び第２端末１２は、認証成功後、迅速に第１業務サーバ１８１ａ又は第２業務サーバ１８１ｂとの通信を行うことができる。
【０１５７】
Ｅ．第５の実施例：
Ｅ１．システム構成：
図３５は、第５の実施例のネットワークシステムの構成を示す説明図である。第５の実施例のネットワークシステム１０ｃは、パケット転送装置１００ｂが、認証ＶＲＦフォワーディングテーブル１５４ａと第１業務ＶＲＦフォワーディングテーブル１５４ｂと第２業務ＶＲＦフォワーディングテーブル１５４ｃと端末ＶＲＦフォワーディングテーブル１５６とに代えて、統合ＶＲＦフォワーディングテーブル１５９を備えている点と、ＶＲＦ判定テーブル１５８ａの設定内容において、第２の実施例のネットワークシステム１０ａ（図１３）と異なり、他の構成は第２の実施例と同じである。
【０１５８】
第５の実施例では、パケット転送装置１００ｂの各インタフェース１１１〜１１４や、各端末１１，１２や、各サーバ１９１，１９２，１８１ａ，１８１ｂへの各転送経路を、統合ＶＲＦフォワーディングテーブル１５９のエントリとして設定することにより、同一の転送経路を複数のテーブルに重複して記述することを避け、パケット転送装置１００ｂ内のメモリ１５０の容量を低減させるように構成されている。なお、第５の実施例のネットワークシステム１０ｃは、転送経路を記述したテーブルとして、統合ＶＲＦフォワーディングテーブル１５９のみを備えているので、いわゆるＶＲＦ機能を有していない。しかしながら、統合ＶＲＦフォワーディングテーブル１５９において、転送経路を検索する際に参照するエントリの範囲をパケットの送信元に応じて変えることにより、仮想的にＶＲＦ機能を実現している。
【０１５９】
図３６は、第５の実施例のＶＲＦ判定テーブル１５８ａを示す説明図である。なお、図３６では、初期状態におけるＶＲＦ判定テーブル１５８ａを示す。このＶＲＦ判定テーブル１５８ａは、ＶＲＦフォワーディングテーブル種別フィールドに代えて、認証有無フィールド及び仮想ＶＲＦフィールドを備えている点において、図１５に示す第２の実施例のＶＲＦ判定テーブル１５８と異なり、他の構成は、第２の実施例と同じである。
【０１６０】
認証有無フィールドは、認証（認証及び検疫）が成功しているか否かを示す。この認証有無フィールドの値が「未」とは認証成功前であることを示し、「済み」とは認証成功済みであることを示す。なお、認証有無フィールドの値が「＊」とは認証成功前及び認証成功済みのいずれでもよいことを示す。
【０１６１】
仮想ＶＲＦフィールドは、仮想的なＶＲＦ機能を実現するために用いられる仮想ＶＲＦフォワーディングテーブルを特定する。この仮想ＶＲＦフィールドの値が「第１業務」とは仮想的な第１業務ＶＲＦフォワーディングテーブル（第１業務仮想ＶＲＦフォワーディングテーブル）を示し、「第２業務」とは仮想的な第２業務ＶＲＦフォワーディングテーブル（第２業務仮想ＶＲＦフォワーディングテーブル）を示す。仮想ＶＲＦフィールドの値が「＊」とは、第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよいことを示す。なお、第１業務仮想ＶＲＦフォワーディングテーブルは、第１業務ネットワーク１８０ａからのパケットの転送経路を検索するために用いられる仮想的なＶＲＦフォワーディングテーブルを意味し、第２業務仮想ＶＲＦフォワーディングテーブルは、第２業務ネットワーク１８０ｂからのパケットの転送経路を検索するために用いられる仮想的なＶＲＦフォワーディングテーブルを意味する。
【０１６２】
図３６に示すように、初期状態において、ＶＲＦ判定テーブル１５８ａには、図１５に示すＶＲＦ判定テーブル１５８と同様に、第１〜４エントリが設定されている。なお、図３６に示す各エントリにおけるインタフェース番号，判定種別及びＭＡＣアドレスの各フィールドには、図１５に示すＶＲＦ判定テーブル１５８の各フィールドと同じ値が設定されているので、説明を省略する。ＶＲＦ判定テーブル１５８ａの初期状態における第１エントリには、認証有無フィールドに「未」が、仮想ＶＲＦフィールドに「＊」が設定されている。また、第２エントリには認証有無「＊」及び仮想ＶＲＦ「＊」が、第３エントリには認証有無「済み」及び仮想ＶＲＦ「第１業務」が、第４エントリには認証有無「済み」及び仮想ＶＲＦ「第２業務」が、それぞれ設定されている。
【０１６３】
これらの４つのエントリは、ネットワークシステム１０ｃの初期コンフィグレーションの際に、ＶＲＦ判定制御部１２８により生成される。具体的には、ＶＲＦ判定制御部１２８は、図１４に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、ＶＲＦ判定制御部１２８は、役割種別が「認証対象端末」のインタフェース（第１インタフェース１１１）に対しては、認証有無を「未」に、仮想ＶＲＦを「＊」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８ａに追加する。また、ＶＲＦ判定制御部１２８は、役割種別が「認証前」のインタフェース（第２インタフェース１１２）に対しては、認証有無及び仮想ＶＲＦを「＊」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８ａに追加する。また、ＶＲＦ判定制御部１２８は、役割種別が「第１業務」のインタフェース（第３インタフェース１１３）に対しては、認証有無を「済み」に、仮想ＶＲＦを「第１業務」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８ａに追加する。また、ＶＲＦ判定制御部１２８は、役割種別が「第２業務」のインタフェース（第４インタフェース１１４）に対しては、認証有無を「済み」に、仮想ＶＲＦを「第２業務」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８ａに追加する。
【０１６４】
上述した第２の実施例のＶＲＦ判定テーブル１５８ａは、受信したパケットについて、インタフェース番号，判定種別及びＭＡＣアドレスに基づき、ＶＲＦフォワーディングテーブル種別の値（すなわち、検索使用ＶＲＦフォワーディングテーブル）を決定するのに用いられていた。これに対し、第５の実施例のＶＲＦ判定テーブル１５８ａは、インタフェース番号，判定種別及びＭＡＣアドレスに基づき、認証の有無と、転送経路を検索するために用いる仮想ＶＲＦフォワーディングテーブル（以下、「検索使用仮想ＶＲＦフォワーディングテーブル」と呼ぶ）とを決定するのに用いられる。
【０１６５】
図３７は、第５の実施例の統合ＶＲＦフォワーディングテーブル１５９を示す説明図である。なお、図３７では、初期状態における統合ＶＲＦフォワーディングテーブル１５９を示す。この統合ＶＲＦフォワーディングテーブル１５９は、認証有無フィールド及び仮想ＶＲＦフィールドを備えている点において、第２の実施例の各ＶＲＦフォワーディングテーブル１５４ａ〜１５４ｃと異なり、他の構成は第２の実施例と同じである。
【０１６６】
統合ＶＲＦフォワーディングテーブル１５９の認証有無フィールド及び仮想ＶＲＦフィールドの意味は、図３６に示すＶＲＦ判定テーブル１５８ａの認証有無フィールド及び仮想ＶＲＦフィールドの意味と同じである。
【０１６７】
図３７に示すように、統合ＶＲＦフォワーディングテーブル１５９には、初期状態において４つのエントリ（第１〜４エントリ）が設定されている。第１エントリには、認証有無「未」，仮想ＶＲＦフィールド「＊」，ＩＰアドレス「１０．０．０．１０」，サブネットマスク長「２４」，出力インタフェース番号フィールド「ＩＦ１」及びネクストホップフィールド「未定」が、それぞれ設定されている。第２エントリには、認証有無「＊」，仮想ＶＲＦフィールド「＊」，ＩＰアドレス「１１．０．０．１１」，サブネットマスク長「２４」，出力インタフェース番号フィールド「ＩＦ２」及びネクストホップフィールド「未定」が、それぞれ設定されている。第３エントリには、認証有無「済み」，仮想ＶＲＦフィールド「第１業務」，ＩＰアドレス「１２．０．０．１２」，サブネットマスク長「２４」，出力インタフェース番号フィールド「ＩＦ３」及びネクストホップフィールド「未定」が、それぞれ設定されている。第４エントリには、認証有無「済み」，仮想ＶＲＦフィールド「第２業務」，ＩＰアドレス「１３．０．０．１３」，サブネットマスク長「２４」，出力インタフェース番号フィールド「ＩＦ４」及びネクストホップフィールド「未定」が、それぞれ設定されている。
【０１６８】
これらの４つのエントリは、ネットワークシステム１０ｃの初期コンフィグレーションの際に、経路制御部１２４により生成される。具体的には、経路制御部１２４は、図１４に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、経路制御部１２４は、役割種別が「認証対象端末」のインタフェース（第１インタフェース１１１）について、認証有無を「未」に、仮想ＶＲＦを「＊」に、ＩＰアドレスを「当該インタフェースに設定されているＩＰアドレス（１０．０．０．１０）」に、サブネットマスク長を「当該インタフェースに設定されているサブネットマスク長（２４）」に、出力インタフェース番号を「当該インタフェースのインタフェース番号（ＩＦ１）」に、ネクストホップを「未定」に、それぞれ設定したエントリを作成する。また、経路制御部１２４は、役割種別が「認証前」のインタフェース（第２インタフェース１１２）について、認証有無を「＊」に、仮想ＶＲＦを「＊」に、ＩＰアドレスを「当該インタフェースに設定されているＩＰアドレス（１１．０．０．１１）」に、サブネットマスク長を「当該インタフェースに設定されているサブネットマスク長（２４）」に、出力インタフェース番号を「当該インタフェースのインタフェース番号（ＩＦ２）」に、ネクストホップを「未定」に、それぞれ設定したエントリを作成する。また、経路制御部１２４は、役割種別が「第１業務」のインタフェース（第３インタフェース１１３）について、認証有無を「済み」に、仮想ＶＲＦを「第１業務」に、ＩＰアドレスを「当該インタフェースに設定されているＩＰアドレス（１２．０．０．１２）」に、サブネットマスク長を「当該インタフェースに設定されているサブネットマスク長（２４）」に、出力インタフェース番号を「当該インタフェースのインタフェース番号（ＩＦ３）」に、ネクストホップを「未定」に、それぞれ設定したエントリを作成する。また、経路制御部１２４は、役割種別が「第２業務」のインタフェース（第４インタフェース１１４）について、認証有無を「済み」に、仮想ＶＲＦを「第２業務」に、ＩＰアドレスを「当該インタフェースに設定されているＩＰアドレス（１３．０．０．１３）」に、サブネットマスク長を「当該インタフェースに設定されているサブネットマスク長（２４）」に、出力インタフェース番号を「当該インタフェースのインタフェース番号（ＩＦ４）」に、ネクストホップを「未定」に、それぞれ設定したエントリを作成する。
【０１６９】
統合ＶＲＦフォワーディングテーブル１５９では、認証有無フィールド，仮想ＶＲＦ，宛先ＩＰアドレス及びサブネットマスク長を検索キーとして、出力インタフェース番号及びネクストホップ（経路情報）が検索される。なお、第５の実施例において、認証成功前後における転送経路の変化は、第２の実施例（図１９，２０参照）と同様である。
【０１７０】
Ｅ２．端末認証時の動作：
図３８は、第５の実施例のパケット転送処理の手順を示すフローチャートである。まず、第１端末１１について認証（認証及び検疫）を実行する場合のパケット転送処理について説明する。パケット転送装置１００ｂでは、認証サーバ１９１宛の認証用のパケットを受信するとパケット転送処理が実行される。この第５の実施例のパケット転送処理は、ステップＳ１０５に代えてステップＳ１０５ａを実行する点と、ステップＳ１１０に代えてステップＳ１１０ｂを実行する点と、ステップＳ１３０に代えてステップＳ１３０ａを実行する点と、ステップＳ１３５に代えてステップＳ１３５ａを実行する点と、において、図２１に示す第２の実施例のパケット転送処理と異なり、他の手順は第２の実施例と同じである。
【０１７１】
まず、ＶＲＦ判定制御部１２８は、受信したパケットの情報（受信したインタフェース及び送信元ＭＡＣアドレス）に基づき、認証有無及び仮想ＶＲＦを、ＶＲＦ判定テーブル１５８から取得する（ステップＳ１０５ａ）。例えば、第１端末１１について認証を行う場合には、図３６に示すインタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」及びＭＡＣアドレス「その他」が設定されている第１エントリが見つかり、認証有無として「未」と、仮想ＶＲＦとして「＊」とが取得される。
【０１７２】
次に、ＶＲＦ判定制御部１２８は、ステップＳ１０５ａで取得した認証有無の値と、仮想ＶＲＦの値とを含む検索キー（認証有無フィールド，仮想ＶＲＦ，宛先ＩＰアドレス及びサブネットマスク長）を用いて、統合ＶＲＦフォワーディングテーブル１５９から転送経路を検索する（ステップＳ１１０ｂ）。
【０１７３】
第１端末１１が認証用パケットを送信する際には、前述のステップＳ１０５ａにおいて、認証有無「未」と仮想ＶＲＦ「＊」とが取得されており、これらの値と、認証サーバ１９１の宛先ＩＰアドレス（１１．０．０．１）及びサブネットマスク長（３２）を検索キーとして統合ＶＲＦフォワーディングテーブル１５９が検索される。したがって、図３７に示す統合ＶＲＦフォワーディングテーブル１５９の各エントリのうち、第１エントリが見つかることとなる（ステップＳ１１５：ＹＥＳ）。
【０１７４】
ここで、図３７に示す統合ＶＲＦフォワーディングテーブル１５９の第１エントリでは、ネクストホップが解決されていないので、ネクストホップが解決される（ステップＳ１２０，Ｓ１２５）。経路制御部１２４は、ステップＳ１２５により解決されたネクストホップを含む転送経路のエントリを統合ＶＲＦフォワーディングテーブル１５９に追加する（ステップＳ１３０ａ）。
【０１７５】
図３９は、認証成功前において第１端末１１と認証サーバ１９１との間でパケットのやりとりがなされた後の統合ＶＲＦフォワーディングテーブル１５９を示す説明図である。上述のように、認証動作において、第１端末１１から認証サーバ１９１に最初にパケットを送信する際にステップＳ１３０ａが実行されると、図３９に示す第５エントリが追加される。なお、この時点では、図３９に示す第６エントリは追加されていない。
【０１７６】
第１端末１１から認証サーバ１９１に最初にパケットを送信する際のステップＳ１３０ａにおいて新たに追加されるエントリの認証有無フィールド及び仮想ＶＲＦフィールドの値は、ネクストホップを解決する際に用いられたインタフェースについてのエントリに設定されている認証有無フィールド及び仮想ＶＲＦフィールドの値が設定される。したがって、第５エントリでは、第２インタフェース１１２についてのエントリ（第２エントリ）における認証有無フィールドの値「＊」と、仮想ＶＲＦフィールドの値「＊」とが、それぞれ認証有無フィールド及び仮想ＶＲＦフィールドに設定されている。
【０１７７】
次に、パケット転送処理部１２６は、受信したパケットをＶＲＦフォワーディングテーブルに従って転送する（ステップＳ１３５）。したがって、認証サーバ１９１宛のパケットは、図３９の第５エントリに記述された転送経路に従い、認証サーバ１９１へと転送される。
【０１７８】
認証成功前において認証サーバ１９１から第１端末１１にパケットが送信される際にもパケット転送処理が実行され、統合ＶＲＦフォワーディングテーブル１５９に図３９に示す第６エントリが追加される。また、その後第１端末１１について検疫が実行され、第２端末１２について認証及び検疫が実行されると、統合ＶＲＦフォワーディングテーブル１５９に、検疫サーバ１９２及び第２端末１２への転送経路をそれぞれ記述したエントリが追加される（図示省略）。
【０１７９】
なお、第２の実施例でも述べたように、第１端末１１及び第２端末１２について認証（認証及び検疫）が成功すると、認証処理部１２２は、認証成功の旨と、アクセスが許可されたネットワークの情報（第１端末１１：第１業務ネットワーク１８０ａ，第２端末１２：第１業務ネットワーク１８０ａ及び第２業務サーバ１８１ｂ）を、ＶＲＦ判定制御部１２８に通知する。
【０１８０】
図４０は、第５の実施例におけるエントリ更新処理の手順を示すフローチャートである。第５の実施例のエントリ更新処理は、ステップＳ２１０ａに代えてステップＳ２１０ｂを実行する点と、ステップＳ２３０を実行する点と、において図２２に示す第２の実施例におけるＶＲＦ判定テーブルのエントリ追加処理と異なり、他の手順は第２の実施例と同じである。
【０１８１】
端末の認証成功を判定した場合（ステップＳ２０５：ＹＥＳ）、ＶＲＦ判定制御部１２８は、認証成功した端末について、アクセス許可されたネットワークからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルと対応付けるエントリを、ＶＲＦ判定テーブル１５８に追加する（ステップＳ２１０ｂ）。
【０１８２】
図４１は、第１端末１１及び第２端末１２の認証成功後に、これら２つの端末１１，１２についてのエントリが追加された後のＶＲＦ判定テーブル１５８ａを示す説明図である。第１端末１１にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａである。第１業務ネットワーク１８０ａからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルは、第１業務仮想ＶＲＦフォワーディングテーブルである（ＶＲＦ判定テーブル１５８ａの第３エントリ参照）。したがって、第１端末１１が認証成功した場合に、ＶＲＦ判定制御部１２８は、インタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「ｍａｃ１」，認証有無「済み」及び仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が設定されたエントリ（第５エントリ）をＶＲＦ判定テーブル１５８に追加する。
【０１８３】
また、第２端末１２にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａ及び２業務ネットワーク１８０ｂである。第１業務ネットワーク１８０ａからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルは、第１業務ＶＲＦフォワーディングテーブル１５４ｂである（ＶＲＦ判定テーブル１５８の第３エントリ参照）。また、第２業務ネットワーク１８０ｂからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルは、第２業務仮想ＶＲＦフォワーディングテーブル１５４ｃである（ＶＲＦ判定テーブル１５８の第４エントリ参照）。したがって、第２端末１２が認証成功した場合に、ＶＲＦ判定制御部１２８は、インタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「ｍａｃ２」，認証有無「済み」及び仮想ＶＲＦ「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」が設定されたエントリ（第６エントリ）をＶＲＦ判定テーブル１５８に追加する。
【０１８４】
前述のステップＳ２１０ｂを実行した後、経路制御部１２４は、認証成功した端末についての統合ＶＲＦフォワーディングテーブル１５９のエントリを更新する（ステップＳ２３０）。具体的には、経路制御部１２４は、認証成功した端末についてのエントリにおいて、認証有無フィールドの値を「済み」に書き替え、仮想ＶＲＦフィールドの値を、アクセス許可されたネットワークからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルを示す値に設定する。
【０１８５】
図４２は、第１端末１１及び第２端末１２についての認証成功後の統合ＶＲＦフォワーディングテーブル１５９を示す説明図である。図４２では、２つの端末１１，１２について認証成功し、その後、第１端末１１及び第２端末１２が第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂにアクセスした後の統合ＶＲＦフォワーディングテーブル１５９を示す。
【０１８６】
認証成功前において、統合ＶＲＦフォワーディングテーブル１５９における第１端末１１についてのエントリでは、図３９の第６エントリに示すように、認証有無フィールドの値は「未」に、仮想ＶＲＦフィールドの値は「＊」に、それぞれ設定されている。ステップＳ２３０では、この認証有無フィールドの値を、「未」から「済み」に書き換える。また第１端末１１にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａであるので、図４２の第６エントリに示すように、仮想ＶＲＦフィールドの値を「＊」から「第１業務仮想ＶＲＦフォワーディングテーブル」に書き換える。
【０１８７】
また、第２端末１２にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａ及び第２業務ネットワーク１８０ｂである。第１，２業務ネットワーク１８０ａ，１８０ｂからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルは、第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルである。この場合、図４２の第８エントリに示すように、仮想ＶＲＦフィールドの値を「＊」（いずれの仮想ＶＲＦフォワーディングテーブルでもよい）に書き換えることとなる。ただし認証成功前の仮想ＶＲＦの値も「＊」であるので書き換えは行われない。なお、第８エントリでは、第６エントリと同様に、認証有無フィールドの値は、「未」から「済み」に書き換えられる。
【０１８８】
本実施例では、図４２において、仮想ＶＲＦフィールドの値が「＊」及び「第１業務」のエントリは、請求項における第１の転送経路テーブルに相当する。また、仮想ＶＲＦフィールドの値が「＊」及び「第２業務」のエントリは、請求項における第２の転送経路テーブルに相当する。
【０１８９】
Ｅ３．端末認証成功後のパケット転送処理：
認証成功後に、第１端末１１から第１業務サーバ１８１ａにパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第５エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」，第１業務サーバ１８１ａのＩＰアドレス（１２．０．０．１／３２）及びサブネットマスク長「３２」を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、第９エントリがヒットし、この第９エントリの経路情報に基づき、パケットが転送される。
【０１９０】
ここで、統合ＶＲＦフォワーディングテーブル１５９から転送経路が検索される際に、検索キーに含まれる仮想ＶＲＦの値「第１業務仮想ＶＲＦフォワーディングテーブル」により、第４，１０エントリは、宛先ＩＰアドレスやサブネットマスク長を検索するまでもなく候補からはずれることとなる。第４，１０エントリは、第４インタフェース１１４への転送経路及び第２業務サーバ１８１ｂへの転送経路を示す。したがって、これら転送経路については、第１端末１１から第１業務サーバ１８１ａへのパケットの転送経路を検索する際に、確実に経路情報を参照されることはない。この例からも理解できるように、すくなくとも仮想ＶＲＦフィールドの値が異なるエントリについては、確実に経路情報を参照されないようにすることができ、パケット転送装置１００ｂはＶＲＦ機能を実現できる。
【０１９１】
認証成功後に、第１業務サーバ１８１ａから第１端末１１にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第３エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」と、第１端末１１のＩＰアドレス（１０．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、図４２に示す第６エントリがヒットし、この第６エントリの経路情報に基づき、パケットが転送される。
【０１９２】
認証成功後に、第２端末１２から第１業務サーバ１８１ａにパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第６エントリから、認証有無「済み」，仮想ＶＲＦ「＊」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「＊」と、第１業務サーバ１８１ａのＩＰアドレス（１２．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」であるので、図４２に示す第９エントリがヒットし、この第９エントリの経路情報に基づき、パケットが転送される。
【０１９３】
認証成功後に、第１業務サーバ１８１ａから第２端末１２にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第３エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」と、第２端末１２のＩＰアドレス（１０．０．０．２／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。ここで、図４２に示す統合ＶＲＦフォワーディングテーブル１５９の第８エントリでは、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」であるので、この第８エントリがヒットする。したがって、この第８エントリの経路情報に基づき、パケットが転送される。
【０１９４】
認証成功後に、第２端末１２から第２業務サーバ１８１ｂにパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第６エントリから、認証有無「済み」，仮想ＶＲＦ「＊」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「＊」と、第２業務サーバ１８１ｂのＩＰアドレス（１３．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」であるので、図４２に示す第１０エントリがヒットし、この第１０エントリの経路情報に基づき、パケットが転送される。
【０１９５】
認証成功後に、第２業務サーバ１８１ｂから第２端末１２にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第４エントリから、認証有無「済み」，仮想ＶＲＦ「第２業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第２業務仮想ＶＲＦフォワーディングテーブル」と、第２端末１２のＩＰアドレス（１０．０．０．２／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。ここで、図４２に示す統合ＶＲＦフォワーディングテーブル１５９の第８エントリでは、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」であるので、この第８エントリがヒットする。したがって、この第８エントリの経路情報に基づき、パケットが転送される。
【０１９６】
認証成功後に、第１端末１１から認証サーバ１９１にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第５エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」と、認証サーバ１９１のＩＰアドレス（１１．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。ここで、図４２に示す統合ＶＲＦフォワーディングテーブル１５９の第５エントリでは、認証有無フィールドの値が「＊（認証成功前後のいずれでもよい）」であり、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」である。したがって、この第５エントリがヒットし、この第５エントリの経路情報に基づき、パケットが転送される。
【０１９７】
認証成功後に、認証サーバ１９１から第１端末１１にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第２エントリから、認証有無「＊」，仮想ＶＲＦ「＊」が取得される。ステップＳ１１０ｂでは、認証有無「＊」，仮想ＶＲＦ「＊」と、第１端末１１のＩＰアドレス（１０．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、図４２に示す第６エントリがヒットし、この第６エントリの経路情報に基づき、パケットが転送される。
【０１９８】
認証成功後に、第１端末１１から、アクセス許可されていない第２業務ネットワーク１８０ｂ内の第２業務サーバ１８１ｂにパケットを送信する場合について説明する。この場合、図４１に示すＶＲＦ判定テーブル１５８ａの第３エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」と、第２業務サーバ１８１ｂのＩＰアドレス（１３．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。ここで、図４２に示す第２業務サーバ１８１ｂへの転送経路を示す第１０エントリでは、仮想ＶＲＦフィールドの値として「第２業務仮想ＶＲＦフォワーディングテーブル」のみが設定されている。したがって、この第１０エントリはヒットせず、第１端末１１から送信されたパケットは第２業務サーバ１８１ｂに転送されずに、廃棄される。
【０１９９】
Ｅ４．エントリ削除処理：
図４３は、第５の実施例のエントリ削除処理の手順を示すフローチャートである。第５の実施例のエントリ削除処理は、ステップＳ３１５を実行する点において、図１２に示す第１の実施例のＶＲＦ判定テーブル１５８のエントリ削除処理と異なり、他の手順は第１の実施例と同じである。
【０２００】
図４３に示すステップＳ３１０において、認証解除された端末についてのエントリをＶＲＦ判定テーブル１５８ａから削除した後、経路制御部１２４は、認証解除された端末についてのエントリを統合ＶＲＦフォワーディングテーブル１５９から削除する。具体的には、第２端末１２について認証解除された場合、図４２に示す第８エントリが削除される。このように、ＶＲＦ判定テーブル１５８ａに加えて、統合ＶＲＦフォワーディングテーブル１５９からも認証解除された端末についてのエントリを削除することにより、認証解除された端末への転送経路が、他の装置への転送経路を検索する際に参照されることを抑制し、セキュリティを向上させるように構成されている。
【０２０１】
以上説明した第５の実施例のネットワークシステム１０ｃは、第２の実施例のネットワークシステム１０ａと同じ効果を有する。加えて、各転送経路を統合ＶＲＦフォワーディングテーブル１５９のエントリに設定することにより、同一の転送経路を複数のテーブルに重複して記述することを避け、パケット転送装置１００ａ内のメモリ容量を抑えることができる。
【０２０２】
また、端末について認証成功した場合に、当該端末と、ＶＲＦ判定テーブル１５８ａにおいて、アクセス許可されたネットワークからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルとを対応付けるエントリを追加している。したがって、認証成功した端末からのパケットについて転送経路を検索する際に、仮想ＶＲＦフィールドの値が「検索使用仮想ＶＲＦフォワーディングテーブル」でない転送経路（すなわち、アクセス許可されていないネットワーク内の装置への転送経路）を参照されないようにすることができ、セキュリティを強化することができる。
【０２０３】
また、端末について認証成功した場合に、統合ＶＲＦフォワーディングテーブル１５９において、端末のエントリを更新し、アクセス許可されたネットワークからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルと対応付ける。したがって、検索使用仮想ＶＲＦフォワーディングテーブルと対応付けられたネットワークに所属するサーバからのパケットのみを、認証成功した端末へ転送させることができ、他のネットワークに所属するサーバから認証成功した端末宛のパケットを廃棄することができる。それゆえ、ネットワークシステム１０ｃのセキュリティを強化することができる。
【０２０４】
Ｆ．変形例：
なお、上記各実施例における構成要素の中の、独立クレームでクレームされた要素以外の要素は、付加的な要素であり、適宜省略可能である。また、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。
【０２０５】
Ｆ１．変形例１：
第５の実施例では、ＶＲＦ判定テーブル１５８ａ及び統合ＶＲＦフォワーディングテーブル１５９において、検索使用仮想ＶＲＦフォワーディングテーブルを示すために、「仮想ＶＲＦ」フィールドを設けていたが、これに代えて、各仮想ＶＲＦフォワーディングテーブルに対応するフラグ（使用する又は使用しないを示すフラグ）を記述するフィールドを設けることもできる。このような構成においても、検索使用ＶＲＦフォワーディングテーブルに対応するフラグをそれぞれオン（「使用する」に設定）することにより、いずれの仮想ＶＲＦフォワーディングテーブルを検索使用ＶＲＦフォワーディングテーブルとするかを示すことができる。
【０２０６】
また、複数の仮想ＶＲＦフォワーディングテーブルを転送経路検索時において参照を許容する場合、参照を許容するテーブルの組み合わせ（グループ）について、各々対応するフラグを記述するフィールドを予め設けておき、これらフィールドの値（フラグのオン／オフ）により検索使用仮想ＶＲＦフォワーディングテーブルを示すこともできる。この構成においては、各テーブルの組み合わせと、どのフラグ（フィールド）を対応付けるのかを記述するテーブル（組み合わせテーブル）を設けておき、この組み合わせテーブルを参照して得られたフィールドのフラグをオンすることで、検索使用ＶＲＦフォワーディングテーブルを示すことができる。このような構成により、ＶＲＦ判定テーブル１５８ａ及び統合ＶＲＦフォワーディングテーブル１５９において、エントリ数を低減させることができると共に、各仮想ＶＲＦフォワーディングテーブルに対応するフラグを設ける構成に比べて各エントリにおける情報量を減らすことができ、パケット転送装置が備えるメモリの容量を低減させることができる。
【０２０７】
Ｆ２．変形例２：
各実施例では、端末が認証動作として実行する処理は、認証処理と検疫処理とであったが、認証処理及び検疫処理のいずれか一方でもよい。すなわち、一般には、認証処理と検疫処理とのうち、少なくとも一方を実行するサーバを備える構成を、本発明のネットワークシステムに採用することができる。
【０２０８】
Ｆ３．変形例３：
パケットの送信元を識別するために使用する情報は、第１の実施例ではＭＡＣアドレスであり、第３の実施例ではＩＰアドレスであったが、本発明はこれらに限定されるものではない。例えば、ＭＡＣアドレス及びＩＰアドレスの両方を用いて、パケットの送信元を識別することもできる。このような構成により、パケットの送信元をより正確に識別することができるため、ＩＰアドレスの詐称やＭＡＣアドレスの詐称などの不正な行為による不正アクセスを抑制できる。また、レイヤ３パケットとして、ＩＰパケットに代えてＩＰＸ（Internetwork Packet eXchange）パケットを用いる構成においては、ＩＰアドレスに代えて、ＩＰＸのアドレスを用いてパケットの送信元を識別することができる。
【０２０９】
Ｆ４．変形例４：
各実施例では、各端末１１，１２に対して、予めＩＰアドレスが割り当てられていたが、これに代えて、ＤＨＣＰに従いＩＰアドレスを動的に割り当てることもできる。この構成においても、上述した各実施例のネットワークシステムの効果を奏することができる。また、各実施例では端末が所属するネットワーク側のＶＬＡＮを１つにできるので、ＤＨＣＰサーバを１つ設置すればよく、また、ＤＨＣＰサーバに特殊な機能を追加することがないので、複数台のＤＨＣＰサーバを設置し、かつ、ＤＨＣＰサーバに特殊な機能を追加する構成に比べてネットワークシステム１０，１０ａ〜１０ｃの構築コストを抑えられる。
【０２１０】
Ｆ５．変形例５：
各実施例では、フォワーディングテーブルの「ネクストホップ」フィールドに設定される値は、パケットの具体的な送信先のＭＡＣアドレスであったが、本発明はこれに限定されるものではない。具体的には、各フォワーディングテーブルとは別にＡＲＰテーブルを設ける構成とし、「ネクストホップ」フィールドには、ＡＲＰテーブルを参照する際のキーとなる宛先ＩＰアドレスを設定することもできる。この構成では、パケット転送処理部１２６は、パケット転送処理のステップＳ１２５において、宛先ＩＰアドレスをキーとして、ＡＲＰテーブルを検索してパケットの送信先となるＭＡＣアドレスを取得することができる。
【０２１１】
Ｆ６．変形例６：
各実施例では、各フォワーディングテーブルの初期状態の値は、インタフェース役割種別テーブル１５２に基づき、経路制御部１２４やＶＲＦ判定制御部１２８によって生成されていたが、本発明はこれに限定されるものではない。インタフェース役割種別テーブル１５２を備えない構成とし、ネットワーク管理者等が手動で設定することもできる。このような構成においても、各実施例のネットワークシステムと同様な効果を奏する。加えて、インタフェース役割種別テーブル１５２を備えないため、パケット転送装置１００，１００ａ，１００ｂが備えるメモリの容量を低減でき、ネットワークシステム１０，１０ａ〜１０ｃの構築コストを抑えることができる。
【０２１２】
Ｆ７．変形例７：
各実施例では、ＩＰアドレスとして、ＩＰｖ４を採用していたが、これに代えて、ＩＰｖ６を採用することができる。かかる構成においても、各実施例のネットワークシステムと同様な効果を奏する。加えて、各実施例では端末が所属するネットワーク側のＶＬＡＮを１つにできるので、パケット転送装置１００からのＲＡ（Router Advertisement）を１つだけにすることができ、同一の端末において２つのＩＰアドレスを生成することを抑制できる。
【０２１３】
Ｆ８．変形例８：
第１〜４の実施例では、ＶＲＦ判定テーブル１５８において、認証前の任意の端末が利用するエントリ（例えば、図３に示す第１エントリ）を用意していたが、これに代えて、予めユーザネットワーク１７０に所属し得る端末について、それぞれＶＲＦフォワーディングテーブル種別フィールドを「端末ＶＲＦ」とするエントリを作成しておき、認証成功後に、認証成功した端末についてのエントリにおいてＶＲＦフォワーディングテーブル種別フィールドを更新することもできる。
【０２１４】
Ｆ９．変形例９：
第１〜４の実施例では、端末１１，１２から送信されるパケットについて用いる検索使用ＶＲＦフォワーディングテーブルを決定するために、ＶＲＦ判定テーブル１５８を用いていたが、ＶＲＦ判定テーブルを用いずに決定することもできる。具体的には、例えば、第１の実施例のステップＳ１０５に代えて、パケット転送処理部１２６は、受信したパケットの送信元ＩＰアドレスに基づき端末から送信されたパケットであるか否かを判定し、端末から送信されたパケットである場合に、認証処理部１２２に当該端末について認証が成功したか否かを問い合わせる。パケット転送処理部１２６は、認証成功の旨を通知された場合に検索使用ＶＲＦフォワーディングテーブルとして認証後ＶＲＦフォワーディングテーブルを決定し、認証未成功の旨を通知された場合に検索使用ＶＲＦフォワーディングテーブルとして端末ＶＲＦフォワーディングテーブルを決定する。このような構成においても、各実施例のネットワークシステム１０，１０ａ〜１０ｃと同じ効果を奏する。
【符号の説明】
【０２１５】
１０，１０ａ〜１０ｃ…ネットワークシステム、１１…第１端末、１２…第２端末、１００，１００ａ，１００ｂ…パケット転送装置、１１１…第１インタフェース、１１２…第２インタフェース、１１３…第３インタフェース、１１４…第４インタフェース、１２２…認証処理部、１２４…経路制御部、１２６…パケット転送処理部、１２８…ＶＲＦ判定制御部、１５２…インタフェース役割種別テーブル、１５４…認証後ＶＲＦフォワーディングテーブル、１５４ａ…認証ＶＲＦフォワーディングテーブル、１５４ｂ…第１業務ＶＲＦフォワーディングテーブル、１５４ｃ…第２業務ＶＲＦフォワーディングテーブル、１５６…端末ＶＲＦフォワーディングテーブル、１５８…ＶＲＦ判定テーブル、１７０…ユーザネットワーク、１７１…レイヤ２スイッチ、１７２…ルータ、１８０…業務ネットワーク、１８０ａ…第１業務ネットワーク、１８０ｂ…第２業務ネットワーク、１８１…業務サーバ、１８１ａ…第１業務サーバ、１８１ｂ…第２業務サーバ、１９０…認証ネットワーク、１９１…認証サーバ、１９２…検疫サーバ、１９３…アクセス許可テーブル、２００…アクセスネットワーク
【技術分野】
【０００１】
本発明は、端末から送信されるパケットの転送技術に関する。
【背景技術】
【０００２】
端末がネットワークに所属する前に認証や検疫（以下、単に「認証」と呼ぶ）を行うネットワークシステムでは、セキュリティの観点から、認証を行うためのネットワーク（以下、単に「認証ネットワーク」と呼ぶ）と認証後に接続するネットワーク（端末が所属するネットワーク及び認証ネットワークとは異なるネットワーク（以下、「業務ネットワーク」と呼ぶ）との間で通信が行えないように、それぞれのネットワークの独立性を確保したいという要請があった。
【０００３】
そこで、それぞれのネットワークに異なるＶＬＡＮ（Virtual Local Area Network）を割り当て、認証成功後に端末が所属するＶＬＡＮを移動させ、移動先のＶＬＡＮで通信を許可する方式（ダイナミックＶＬＡＮ方式）が提案されている。また、認証前後でＶＬＡＮを移動させず、認証前には認証のための通信（レイヤ２における通信）のみを許可し、他の通信は一切許可しないとする方式（固定ＶＬＡＮ方式）が提案されている。しかし、ダイナミックＶＬＡＮ方式では、認証前後において同一の端末に対して異なるＩＰアドレスを割り当てるため、ＩＰアドレスの利用効率が低いという問題があった。また、固定ＶＬＡＮ方式では、認証前にレイヤ３における通信ができないという問題があった。
【０００４】
そこで、それぞれのネットワークをＶＰＮ（Virtual Private Network）として構成し、各ＶＰＮにＤＨＣＰ（Dynamic Host Configuration Protocol）サーバを設置し、認証成功後に端末が所属するＶＬＡＮを移動させると共に、各ＤＨＣＰサーバの情報を同期させ、認証前後において同一のＩＰアドレスを端末に割り当てる方法が提案されている（下記特許文献１）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−１９３２３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上述した認証ネットワークと業務ネットワークとをＶＰＮにより分離する技術では、認証後の端末が認証ネットワークにアクセスできなくなるという課題があった。したがって、例えば、認証後の端末について認証ネットワークに属するサーバ（認証サーバ）を用いて、定期的に検疫（例えば、ウィルス定義ファイルが最新であるか、オペレーティングシステムのバージョンが最新であるか等の検疫）を実行することができないという問題が発生する。この問題は、端末に限らず、業務ネットワークに属するサーバ（業務サーバ）等についても発生し得る。すなわち、認証ネットワークと業務ネットワークとをＶＰＮにより分離するために業務サーバは認証ネットワークにアクセスできず、業務サーバについて認証サーバを用いた認証や検疫を実行できないという問題が発生する。また、ＤＨＣＰサーバを複数台設置しなければならず、加えて、各ＤＨＣＰサーバに互いに同期させるための特殊な機能を搭載させねばならず、ネットワークシステムの構築コストの上昇を招いていた。
【０００７】
なお、上記問題は、ＩＰアドレスに限らず、ＩＰＸ（Internetwork Packet eXchange）アドレスなど、任意のレイヤ３アドレスを用いるパケットを転送する際に発生し得る。
【０００８】
本発明は、ネットワークシステムにおけるレイヤ３アドレスの利用効率を向上させると共に、認証後の端末や業務ネットワークから認証ネットワークにアクセス可能とすることを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【００１０】
［適用例１］ ネットワークシステムであって、第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバと、前記認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、前記第１ないし第３のネットワークに所属し、パケットを転送するパケット転送装置であって、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する転送経路テーブル格納部と、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する転送経路テーブル決定部と、を有するパケット転送装置と、を備える、ネットワークシステム。
【００１１】
適用例１のネットワークシステムでは、認証サーバにより端末について認証成功と判定される前には、端末からのパケットについて、第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルを適用するので、端末からのパケットの第２のネットワーク（認証サーバ）へのパケットの転送を許容すると共に、第３のネットワークへの転送を抑制できる。また、認証成功と判定された後には、端末からのパケットについて、第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路情報群を適用するので、端末からのパケットの第２及び第３のネットワークへの転送を許容する。したがって、認証後の端末や第３のネットワークから認証サーバが所属する第２のネットワークへのアクセスを可能とする。加えて、端末に対してアドレス（レイヤ３アドレス）を複数付与する必要がないため、アドレスの利用効率を向上させることができる。なお、適用例１における「認証」とは、認証及び検疫を含む広い意味を有する。
【００１２】
［適用例２］ 適用例１に記載のネットワークシステムにおいて、さらに、パケットの送信元を識別する送信元識別子と前記検索転送経路テーブルとを対応付ける検索転送経路テーブル決定テーブルと、前記検索転送経路テーブル決定テーブルを更新するテーブル更新部と、を備え、前記転送経路テーブル決定部は、受信したパケットについて、前記検索転送経路テーブル決定テーブルに基づき前記検索転送経路テーブルを決定し、前記検索転送経路テーブル決定テーブルには、前記認証サーバにより前記端末について認証成功と判定される前に、予め、前記端末の前記送信元識別子と前記第１の転送経路テーブルとが対応付けられており、前記テーブル更新部は、前記認証サーバにより前記端末について認証成功と判定された後に、前記端末の前記送信元識別子と前記第２の転送経路テーブルとを対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【００１３】
このような構成により、検索転送経路テーブル決定テーブルを参照することにより、認証成功前の端末からのパケットの転送経路を第１の転送経路テーブルから決定させることができ、認証成功後の端末からのパケットの転送経路を第２の転送経路テーブルから決定させることができる。
【００１４】
［適用例３］ 適用例１または適用例２に記載のネットワークシステムにおいて、前記第３のネットワークを複数備え、前記転送経路テーブル格納部は、互いに異なる前記第３のネットワークに所属する所定のデバイスへのパケットの経路情報と、前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報と、を含む複数の前記第２の転送経路テーブルを格納し、前記認証サーバは、前記転送経路テーブル決定部に対して、前記認証処理の結果と前記複数の第３のネットワークのうち接続を許可するネットワークである１つ以上の許可ネットワークに関する情報とを通知し、前記転送経路テーブル決定部は、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する前記検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記複数の第２の転送経路テーブルのうち、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルを、前記端末からのパケットに適用する前記検索転送経路テーブルとして決定する、ネットワークシステム。
【００１５】
このような構成により、認証成功後の端末からのパケットについて、接続を許可されたネットワークへの転送を許容すると共に、接続を許可されていないネットワークへの転送を抑制できる。
【００１６】
［適用例４］ 適用例２または適用例３に記載のネットワークシステムにおいて、前記パケットはＩＰパケットであり、前記送信元識別子は、ＭＡＣアドレス及びＩＰアドレスのうち、少なくとも一方である、ネットワークシステム。
【００１７】
このような構成により、レイヤ３での通信を実現するために用いられるＩＰアドレスや、レイヤ２での通信を実現するために用いられるＭＡＣアドレスを送信元識別子として利用できるので、これらの識別子とは別に送信元識別子を用いる構成に比べて、ネットワークシステムを容易に構築することができる。
【００１８】
［適用例５］ 適用例１ないし適用例４のいずれかに記載のネットワークシステムにおいて、前記転送経路テーブル決定部は、前記第１のネットワークに所属された前記端末が前記認証サーバにより認証が解除されると、前記端末からのパケットに適用する前記検索転送経路テーブルとして、前記第２の転送経路テーブルから前記第１の転送経路テーブルに戻す、ネットワークシステム。
【００１９】
このような構成により、認証が解除された端末からのパケットの転送の際に、第１の転送経路テーブルから転送経路を決定させることができるので、認証が解除された端末から第３のネットワークへのパケットの転送を抑制できる。
【００２０】
［適用例６］ 適用例３に記載のネットワークシステムにおいて、さらに、パケットの転送経路を決定する転送経路決定部と、前記転送経路テーブル格納部に格納されている転送経路テーブルを更新する転送経路テーブル更新部と、を備え、前記転送経路テーブル格納部は、前記第１の転送経路テーブルと前記第２の転送経路テーブルとに加えて、少なくとも前記第１のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第３の転送経路テーブルを格納し、前記転送経路テーブル決定部は、各第３のネットワークから前記第１及び第２のネットワークにパケットを転送する際に、前記検索転送経路テーブルとして前記第２の転送経路テーブルを決定し、前記第２のネットワークから前記第１のネットワークに前記パケットを転送する際に、前記検索転送経路テーブルとして前記第３の転送経路テーブルを決定し、前記転送経路テーブル更新部は、前記認証処理において前記認証サーバから前記端末にパケットを転送する際に、前記転送経路決定部により決定された前記端末へのパケットの経路情報である端末経路情報を、前記第３の転送経路テーブルに追加し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第３の転送経路テーブルから前記端末経路情報を取得し、前記複数の第２の転送経路テーブルのうち、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルに、前記端末経路情報をコピーする、ネットワークシステム。
【００２１】
このような構成により、予め第２の転送経路テーブルに第１のネットワークを宛先とする転送経路（第１のネットワーク内の所定のデバイスを宛先とする転送経路）を設定しておくことを要しない。したがって、第３のネットワークに所属するデバイスから、第１のネットワークに所属する不特定の端末への通信を抑制でき、セキュリティを向上させることができる。
【００２２】
［適用例７］ 適用例６に記載のネットワークシステムにおいて、前記転送経路テーブル更新部は、前記第１のネットワークに所属された前記端末が前記認証サーバにより認証が解除されると、前記第２の転送経路テーブルから前記端末経路情報を削除する、ネットワークシステム。
【００２３】
このような構成により、認証が解除された端末からのパケットの転送の際に、第１の転送経路テーブルから転送経路を決定させることができるので、認証が解除された端末から第３のネットワークへのパケットの転送を抑制できる。
【００２４】
［適用例８］ 適用例２に記載のネットワークシステムにおいて、さらに、パケットの転送経路を決定する転送経路決定部を備え、前記第１の転送経路テーブルと前記第２の転送経路テーブルとは、統合転送経路テーブルとして構成され、前記検索転送経路テーブル決定テーブルは、前記送信元識別子と前記認証処理の結果と前記検索転送経路テーブルを示す検索転送経路テーブル識別子とを対応付け、前記統合転送経路テーブルは、前記第１の転送経路テーブル及び前記第２の転送経路テーブルに含まれる各経路情報と前記認証処理の結果と前記検索転送経路テーブル識別子とを対応付け、前記検索転送経路テーブル決定テーブルには、前記認証サーバにより前記端末について認証成功と判定される前に、予め、前記端末の送信元識別子と、前記認証処理が成功していない旨の情報と、前記検索転送経路テーブル識別子として前記第１の転送経路テーブルを示す識別子と、が対応付けられており、前記認証サーバは、前記テーブル更新部に対して、少なくとも前記認証記処理の結果を通知し、前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨を通知されると、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記検索転送経路テーブル識別子として前記第２の転送経路テーブルの識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新し、前記転送経路テーブル決定部は、受信したパケットについて、前記パケットの送信元識別子に基づき、前記検索転送経路テーブル決定テーブルを参照して、前記認証処理の結果及び前記検索転送経路テーブル識別子を取得し、前記転送経路決定部は、前記転送経路テーブル決定部により取得された前記認証処理の結果及び前記検索転送経路テーブル識別子に基づき、前記統合転送経路テーブルを参照して、前記パケットについての転送経路を決定する、ネットワークシステム。
【００２５】
このような構成により、第１の転送経路テーブル及び第２の転送経路テーブルを、それぞれ異なる転送経路テーブルとして格納する構成に比べて、同一デバイスへの転送経路を示す重複したエントリの記載を抑制でき、転送経路テーブル格納部の容量を抑制することができる。
【００２６】
［適用例９］ 適用例８に記載のネットワークシステムにおいて、前記第３のネットワークを複数備え、前記転送経路テーブル格納部は、互いに異なる前記第３のネットワークに所属する所定のデバイスへのパケットの経路情報と、前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報と、を含む複数の前記第２の転送経路テーブルを格納し、前記認証サーバは、前記テーブル更新部に対して、前記認証処理の結果と、前記複数の第３のネットワークのうち接続を許可するネットワークである１つ以上の許可ネットワークと、を通知し、前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨及び前記許可ネットワークを通知されると、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記検索転送経路テーブル識別子として、前記複数の第２の転送経路テーブルのうち前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルの識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【００２７】
このような構成により、予め統合転送経路テーブルに第１のネットワークを宛先とする転送経路（第１のネットワーク内の所定のデバイスを宛先とする転送経路）を設定しておくことを要しない。したがって、第３のネットワークに所属するデバイスから、第１のネットワークに所属する不特定の端末への通信を抑制でき、セキュリティを向上させることができる。
【００２８】
［適用例１０］ 適用例９に記載のネットワークシステムにおいて、さらに、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルの組み合わせと、各組み合せを示す組み合わせ識別子と、を対応付ける組み合わせテーブルを備え、前記検索転送経路テーブル決定テーブル及び前記統合転送経路テーブルには、前記第２の転送経路テーブルについての前記検索転送経路テーブル識別子として、前記組み合わせ識別子が用いられ、前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨及び前記許可ネットワークを通知されると、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルからなる組み合わせの組み合わせ識別子である許可組合せ識別子を、前記組み合わせテーブルから取得すると共に、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記許可組み合わせ識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【００２９】
このような構成により、認証処理において、端末に対して複数のネットワークへの接続許可がされる場合において、許可されたネットワークに所属する所定のデバイスへのパケットに適用する検索転送経路テーブルを、統合転送経路テーブルにおいて簡易に指定（記述）することができ、転送経路テーブル格納部の容量を抑えることができる。
【００３０】
［適用例１１］ 第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属し、パケットを転送するパケット転送装置であって、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する転送経路テーブル格納部と、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する転送経路テーブル決定部と、を備える、パケット転送装置。
【００３１】
適用例１１のパケット転送装置では、認証サーバにより端末について認証成功と判定される前には、端末からのパケットについて、第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルを適用するので、端末からのパケットの第２のネットワーク（認証サーバ）へのパケットの転送を許容すると共に、第３のネットワークへの転送を抑制できる。また、認証成功と判定された後には、端末からのパケットについて、第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路情報群を適用するので、端末からのパケットの第２及び第３のネットワークへの転送を許容する。したがって、認証後の端末や第３のネットワークから認証サーバが所属する第２のネットワークへのアクセスを可能とする。加えて、端末に対してアドレス（レイヤ３アドレス）を複数付与する必要がないため、アドレスの利用効率を向上させることができる。なお、適用例１における「認証」とは、認証及び検疫を含む広い意味を有する。
【００３２】
［適用例１２］ 第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属し、パケットを転送するパケット転送装置を用いたパケット転送方法であって、（ａ）前記パケット転送装置において、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する工程と、（ｂ）前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する工程と、を備えるパケット転送方法。
【００３３】
適用例１２のパケット転送方法では、認証サーバにより端末について認証成功と判定される前には、端末からのパケットについて、第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルを適用するので、端末からのパケットの第２のネットワーク（認証サーバ）へのパケットの転送を許容すると共に、第３のネットワークへの転送を抑制できる。また、認証成功と判定された後には、端末からのパケットについて、第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路情報群を適用するので、端末からのパケットの第２及び第３のネットワークへの転送を許容する。したがって、認証後の端末や第３のネットワークから認証サーバが所属する第２のネットワークへのアクセスを可能とする。加えて、端末に対してアドレス（レイヤ３アドレス）を複数付与する必要がないため、アドレスの利用効率を向上させることができる。なお、適用例１における「認証」とは、認証及び検疫を含む広い意味を有する。
【００３４】
［適用例１３］ 第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属するコンピュータを用いたパケットを転送するためのプログラムであって、前記コンピュータにおいて、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する機能と、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する機能と、を前記コンピュータに実現させるためのプログラム。
【００３５】
適用例１３のプログラムでは、認証サーバにより端末について認証成功と判定される前には、端末からのパケットについて、第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルを適用するので、端末からのパケットの第２のネットワーク（認証サーバ）へのパケットの転送を許容すると共に、第３のネットワークへの転送を抑制できる。また、認証成功と判定された後には、端末からのパケットについて、第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路情報群を適用するので、端末からのパケットの第２及び第３のネットワークへの転送を許容する。したがって、認証後の端末や第３のネットワークから認証サーバが所属する第２のネットワークへのアクセスを可能とする。加えて、端末に対してアドレス（レイヤ３アドレス）を複数付与する必要がないため、アドレスの利用効率を向上させることができる。なお、適用例１における「認証」とは、認証及び検疫を含む広い意味を有する。
【図面の簡単な説明】
【００３６】
【図１】本発明の一実施例としてのネットワークシステムの構成を示す説明図。
【図２】図１に示すインタフェース役割種別テーブル１５２を示す説明図。
【図３】図１に示すＶＲＦ判定テーブル１５８の初期状態を示す説明図。
【図４】図１に示す端末ＶＲＦフォワーディングテーブル１５６の初期状態を示す説明図。
【図５】図１に示す認証後ＶＲＦフォワーディングテーブル１５４の初期状態を示す説明図。
【図６】端末の認証成功前後における転送経路を模式的に示す説明図。
【図７】ネットワークシステム１０において実行されるパケット転送処理の手順を示すフローチャート。
【図８】第１端末１１について認証成功後の端末ＶＲＦフォワーディングテーブル１５６を示す説明図。
【図９】第１端末１１について認証成功後の認証後ＶＲＦフォワーディングテーブル１５４を示す説明図。
【図１０】端末の認証成功後に実行されるＶＲＦ判定テーブルのエントリ追加処理の手順を示すフローチャート。
【図１１】第１端末１１の認証成功後に第１端末１１についてのエントリが追加された後のＶＲＦ判定テーブル１５８を示す説明図。
【図１２】パケット転送装置１００において実行されるＶＲＦ判定テーブル１５８のエントリ削除処理の手順を示す説明図。
【図１３】第２の実施例のネットワークシステム１０ａの構成を示す説明図。
【図１４】第２の実施例のインタフェース役割種別テーブル１５２を示す説明図。
【図１５】第２の実施例におけるＶＲＦ判定テーブルの初期状態を示す説明図。
【図１６】第２の実施例における認証ＶＲＦフォワーディングテーブル１５４ａの初期状態を示す説明図。
【図１７】第２の実施例における第１業務ＶＲＦフォワーディングテーブル１５４ｂの初期状態を示す説明図。
【図１８】第２の実施例における第２業務ＶＲＦフォワーディングテーブル１５４ｃの初期状態を示す説明図。
【図１９】第２の実施例における第１端末１１の認証成功前後の転送経路を模式的に示す説明図。
【図２０】第２の実施例における第２端末１２の認証成功前後の転送経路を模式的に示す説明図。
【図２１】第２の実施例におけるパケット転送処理の手順を示すフローチャート。
【図２２】第２の実施例におけるＶＲＦ判定テーブルのエントリ追加処理の手順を示すフローチャート。
【図２３】第１端末１１及び第２端末１２の認証成功後にこれら２つの端末１１，１２についてのエントリが追加された後のＶＲＦ判定テーブル１５８を示す説明図。
【図２４】第１端末１１及び第２端末１２の認証成功後の認証ＶＲＦフォワーディングテーブル１５４ａを示す説明図。
【図２５】第１端末１１及び第２端末１２の認証成功後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す説明図。
【図２６】第１端末１１及び第２端末１２の認証成功後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す説明図。
【図２７】第３の実施例のネットワークシステムの構成を示す説明図。
【図２８】第３の実施例のＶＲＦ判定テーブル１５８を示す説明図。
【図２９】第４の実施例における第１業務ＶＲＦフォワーディングテーブル１５４ｂの初期状態を示す説明図。
【図３０】第４の実施例における第２業務ＶＲＦフォワーディングテーブル１５４ｃの初期状態を示す説明図。
【図３１】第４の実施例におけるＶＲＦ判定テーブル１５８及びＶＲＦフォワーディングテーブルへのエントリ追加処理の手順を示すフローチャート。
【図３２】ステップＳ２２０実行後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す説明図。
【図３３】ステップＳ２２０実行後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す説明図。
【図３４】第４の実施例のエントリ削除処理の手順を示すフローチャート。
【図３５】第５の実施例のネットワークシステムの構成を示す説明図。
【図３６】第５の実施例のＶＲＦ判定テーブル１５８ａを示す説明図。
【図３７】第５の実施例の統合ＶＲＦフォワーディングテーブルを示す説明図。
【図３８】第５の実施例のパケット転送処理の手順を示すフローチャートである。
【図３９】認証成功前において第１端末１１と認証サーバ１９１との間でパケットのやりとりがなされた後の統合ＶＲＦフォワーディングテーブル１５９を示す説明図。
【図４０】第５の実施例におけるエントリ更新処理の手順を示すフローチャート。
【図４１】第１端末１１及び第２端末１２の認証成功後にこれら２つの端末１１，１２についてのエントリが追加された後のＶＲＦ判定テーブル１５８ａを示す説明図。
【図４２】第１端末１１及び第２端末１２についての認証成功後の統合ＶＲＦフォワーディングテーブル１５９を示す説明図。
【図４３】第５の実施例のエントリ削除処理の手順を示すフローチャート。
【発明を実施するための形態】
【００３７】
以下、本発明を実施するための最良の形態を実施例に基づいて以下の順序で説明する。
Ａ．第１の実施例：
Ａ１．システム構成：
Ａ２．認証成功前後における転送経路の変化の概要：
Ａ３．端末認証時の動作：
Ａ４．端末認証成功後のパケット転送処理：
Ａ５．ＶＲＦ判定テーブルのエントリ削除処理：
Ｂ．第２の実施例：
Ｂ１．システム構成：
Ｂ２．認証成功前後における転送経路の変化の概要：
Ｂ３．端末認証時の動作：
Ｂ４．端末認証成功後のパケット転送処理：
Ｃ．第３の実施例：
Ｄ．第４の実施例：
Ｅ．第５の実施例：
Ｅ１．システム構成：
Ｅ２．端末認証時の動作：
Ｅ３．端末認証成功後のパケット転送処理：
Ｅ４．エントリ削除処理：
Ｆ．変形例：
【００３８】
Ａ．第１の実施例：
Ａ１．システム構成：
図１は、本発明の一実施例としてのネットワークシステムの構成を示す説明図である。このネットワークシステム１０は、パケット転送装置１００と、ユーザネットワーク１７０と、レイヤ２スイッチ１７１と、認証ネットワーク１９０と、認証サーバ１９１と、検疫サーバ１９２と、業務ネットワーク１８０と、業務サーバ１８１とを備えている。
【００３９】
パケット転送装置１００は、レイヤ３スイッチであり、ＯＳＩ参照モデルにおける第３層（ネットワーク層）のパケットを転送する。なお、レイヤ３スイッチに代えて、ルーターを用いることもできる。また、本実施例では、第３層のパケットとしてＩＰ（Internet Protocol）パケットを用いるが、ＩＰパケットに代えて、ＩＰＸ（Internetwork Packet eXchange）パケットを用いることもできる。なお、以下では、第３層のパケットを単に「パケット」とも呼ぶ。
【００４０】
パケット転送装置１００は、３つのインタフェース（第１インタフェース１１１，第２インタフェース１１２，第３インタフェース１１３）と、メモリ１５０と、認証処理部１２２と、経路制御部１２４と、パケット転送処理部１２６と、ＶＲＦ判定制御部１２８とを備えている。
【００４１】
第１インタフェース１１１は、ユーザネットワーク１７０を接続するインタフェースである。また、第２インタフェース１１２は認証ネットワーク１９０を、第３インタフェース１１３は業務ネットワーク１８０を、それぞれ接続するインタフェースである。これら３つのインタフェース１１１〜１１３は、いずれもＶＬＡＮにおいてＩＰアドレスが割り当てられる論理的なインタフェースであるが、Ｅｔｈｅｒｎｅｔ（登録商標）等の物理的なインタフェースであってもよい。
【００４２】
メモリ１５０は、インタフェース役割種別テーブル１５２と、認証後ＶＲＦフォワーディングテーブル１５４と、端末ＶＲＦフォワーディングテーブル１５６と、ＶＲＦ判定テーブル１５８とを格納している。パケット転送装置１００は、ＶＲＦ（Virtual Routing and Forwarding：複数のフォワーディングテーブル（ルーティングテーブル）を保持し、各テーブルに従いパケットを転送する技術）を実現可能に構成されている。したがって、パケット転送装置１００は、２つのフォワーディングテーブル（認証後ＶＲＦフォワーディングテーブル１５４及び端末ＶＲＦフォワーディングテーブル１５６）を備え、これらフォワーディングテーブル１５４，１５６に基づき、受信したパケットを転送する。なお、各テーブルの詳細については後述する。
【００４３】
認証処理部１２２と、経路制御部１２４と、パケット転送処理部１２６と、ＶＲＦ判定制御部１２８とは、いずれもメモリ１５０内に格納されているプログラムを、図示しないＣＰＵ（Central Processing Unit）が実行することにより実現される機能部である。なお、ＣＰＵに代えて、ＡＳＩＣ（Application Specific Integrated Circuit）を用いることもできる。
【００４４】
認証処理部１２２は、認証前における端末と認証サーバ１９１及び検疫サーバ１９２との間の通信を仲介する。また、認証処理部１２２は、認証サーバ１９１や検疫サーバ１９２から受信する認証（認証及び検疫）の結果を、ＶＲＦ判定制御部１２８に通知する。認証処理（認証及び検疫）の方式としては、例えば、ＩＥＥＥ８０２．１ｘに準拠した方式や、Ｗｅｂ認証などを採用することもできる。
【００４５】
経路制御部１２４は、認証後ＶＲＦフォワーディングテーブル１５４及び端末ＶＲＦフォワーディングテーブル１５６を管理することにより、パケットの転送経路を制御する。
【００４６】
パケット転送処理部１２６は、各インタフェース１１１〜１１３が受信したパケットを、認証後ＶＲＦフォワーディングテーブル１５４及び端末ＶＲＦフォワーディングテーブル１５６に基づき転送する。
【００４７】
ＶＲＦ判定制御部１２８は、ＶＲＦ判定テーブル１５８を管理すると共に、パケットを転送するための経路を、認証後ＶＲＦフォワーディングテーブル１５４及び端末ＶＲＦフォワーディングテーブル１５６のいずれのテーブルにて検索するかを決定する。
【００４８】
ユーザネットワーク１７０は、端末（例えば、パーソナルコンピュータ）が所属し得るレイヤ３のネットワーク（ＶＬＡＮ）である。レイヤ２スイッチ１７１は、いわゆるスイッチングハブであり、ユーザネットワーク１７０における第２層（データリンク層）のフレームのスイッチングを行う。第１インタフェース１１１は、レイヤ２スイッチ１７１に物理的に接続されている。また、ユーザネットワーク１７０に所属する端末は、このレイヤ２スイッチ１７１に物理的に接続される。図１の例では、第１端末１１がユーザネットワーク１７０に所属され得る。
【００４９】
認証ネットワーク１９０は、認証サーバ１９１及び検疫サーバ１９２が所属するレイヤ３のネットワーク（ＶＬＡＮ）である。認証サーバ１９１は、ユーザネットワーク１７０に所属しようとする端末に対し、端末から受信した認証要素（ログイン名やパスワード等）に基づき認証を実行する。検疫サーバ１９２は、ユーザネットワーク１７０に所属しようとする端末に対し、検疫を行い、端末が所定のセキュリティポリシーに合致するか否かを判定する。セキュリティポリシーとしては、例えば、ウィルス定義ファイルが最新であるか、オペレーティングシステムのバージョンが最新であるか等を採用することができる。前述の認証サーバ１９１は、認証が成功し、かつ、端末がセキュリティポリシーに合致した場合に「認証成功」と判定して、認証成功の旨を認証処理部１２２に通知する。
【００５０】
業務ネットワーク１８０は、業務サーバ１８１が所属するレイヤ３のネットワーク（ＶＬＡＮ）である。業務サーバ１８１は、認証成功後の端末がアクセスするサーバである。
【００５１】
ここで、端末や各サーバやパケット転送装置１００の各インタフェース１１１〜１１３には、予めＩＰアドレスが割り当てられている。具体的には、第１端末１１には、１０．０．０．１／３２が割り当てられている。また、認証サーバ１９１には１１．０．０．１／３２が、検疫サーバ１９２には１１．０．０．２／３２が、業務サーバ１８１には１２．０．０．１／３２が、第１インタフェース１１１には１０．０．０．１０／２４が、第２インタフェース１１２には１１．０．０．１１／２４が、第３インタフェース１１３には１２．０．０．１２／２４が、それぞれ割り当てられている。なお、上記各ＩＰアドレスはＣＩＤＲ（Classless Inter-Domain Routing）形式で表わしている。
【００５２】
図２は、図１に示すインタフェース役割種別テーブル１５２を示す説明図である。インタフェース役割種別テーブル１５２は、パケット転送装置１００が備える各インタフェース１１１〜１１３の役割種別を管理するテーブルである。インタフェース役割種別テーブル１５２では、「インタフェース番号」と「役割種別」とが対応付けられている。インタフェース番号フィールドは、各インタフェース１１１〜１１３を示す番号を示す。なお、本実施例では、第１インタフェース１１１のインタフェース番号として「ＩＦ１」が設定されている。同様に、第２インタフェース１１２のインタフェース番号として「ＩＦ２」が、第３インタフェース１１３のインタフェース番号として「ＩＦ３」が、それぞれ設定されている。役割種別フィールドは、各インタフェースの役割を示す。役割種別フィールドの値が「認証対象端末」とは、認証対象となる端末が所属するネットワークを接続するインタフェースであることを示す。役割種別フィールドの値が「認証前」とは、認証前の端末が通信可能なネットワークを接続するインタフェースであることを示す。役割種別フィールドの値が「認証後」とは、認証成功した場合にのみ端末が通信可能なネットワークに接続するインタフェースであることを示す。
【００５３】
図２の例では、第１エントリにおいて、第１インタフェース１１１（ＩＦ１）に「認証対象端末」が対応付けられている。また、第２エントリにおいて第２インタフェース１１２（ＩＦ２）に「認証前」が、第３エントリにおいて第３インタフェース１１３（ＩＦ３）に「認証後」が、それぞれ対応付けられている。これら第１〜第３エントリは、システム管理者が、予め各インタフェース１１１〜１１３の役割を考慮して設定しておく。
【００５４】
図３は、図１に示すＶＲＦ判定テーブル１５８の初期状態を示す説明図である。ＶＲＦ判定テーブル１５８は、パケット転送装置１００がパケットを受信した際に、パケットの転送経路を検索するＶＲＦフォワーディングテーブルを決定するためのテーブルである。ＶＲＦ判定テーブル１５８では、「インタフェース番号」と「判定種別」と「ＭＡＣアドレス」と「ＶＲＦフォワーディングテーブル種別」とが対応付けられている。
【００５５】
インタフェース番号フィールドは、前述のインタフェース役割種別テーブル１５２の「インタフェース番号」と同じである。判定種別フィールドとは、ＶＲＦフォワーディングテーブルを決定する際に、いずれのエントリを参照するかを決定するために用いられる要素（フィールド）である。判定種別フィールドの値が「ＭＡＣアドレス」とは、パケットの送信元のＭＡＣ（Media Access Control）アドレスを用いて参照するエントリを決定することを示す。判定種別フィールドの値が「インタフェース」とは、パケットの送信元のＭＡＣアドレスに関わらず、パケットを受信したインタフェースを用いて参照するエントリを決定することを示す。ＭＡＣアドレスフィールドは、判定種別が「ＭＡＣアドレス」であるエントリにおいて、ＭＡＣアドレスを指定するための要素である。ＶＲＦフォワーディングテーブルフィールドは、パケットの転送経路を検索するために用いるＶＲＦフォワーディングテーブルを指定する。
【００５６】
図３の例では、第１エントリにおいて、判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「その他」及びＶＲＦフォワーディングテーブル種別「端末ＶＲＦフォワーディングテーブル」が、それぞれ設定されている。ＭＡＣアドレスが「その他」とは、判定種別フィールドが「ＭＡＣアドレス」のエントリにおいて、ＭＡＣアドレスフィールドの値として「他のエントリにおいて指定されているＭＡＣアドレスを除く他の全てのＭＡＣアドレス」が設定されていることを示す。また、第２エントリにおいて、判定種別「インタフェース」，ＭＡＣアドレス「−」及びＶＲＦフォワーディングテーブル種別「認証後ＶＲＦフォワーディングテーブル」が、それぞれ設定されている。ＭＡＣアドレスが「−」とは、ＭＡＣアドレスを参照しないことを示す。なお、第３エントリにおいて、第３インタフェース１１３（ＩＦ３）について各フィールドの値が設定されているが、判定種別，ＭＡＣアドレス及びＶＲＦフォワーディングテーブル種別の各フィールドの値は第２エントリと同じであるので、説明を省略する。
【００５７】
初期状態においては、これら３つのエントリ（第１〜第３エントリ）がＶＲＦ判定テーブル１５８に設定されている。これら３つのエントリは、ネットワークシステム１０の初期コンフィグレーションの際に、ＶＲＦ判定制御部１２８により生成される。具体的には、ＶＲＦ判定制御部１２８は、図２に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、ＶＲＦ判定制御部１２８は、役割種別が「認証対象端末」であるインタフェースについて、判定種別を「ＭＡＣアドレス」に、ＭＡＣアドレスを「その他」に、ＶＲＦフォワーディングテーブル種別を「端末ＶＲＦフォワーディングテーブル」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８に追加する。また、ＶＲＦ判定制御部１２８は、役割種別が「認証前」及び「認証後」であるインタフェースについて、判定種別を「インタフェース」に、ＭＡＣアドレスを「−」に、ＶＲＦフォワーディングテーブル種別を「認証後ＶＲＦフォワーディングテーブル」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８に追加する。このようにして、ＶＲＦ判定テーブル１５８に、図３に示す第１〜第３エントリが追加される。なお、ＶＲＦ判定テーブル１５８のエントリは、後述するように、初期コンフィグレーションの後も追加され得る。
【００５８】
図４は、図１に示す端末ＶＲＦフォワーディングテーブル１５６の初期状態を示す説明図である。端末ＶＲＦフォワーディングテーブル１５６は、認証成功前の端末から受信したパケットを転送する際に転送経路を検索するために用いられるテーブルである。端末ＶＲＦフォワーディングテーブル１５６では、「宛先ＩＰアドレス」と「サブネットマスク長」と「出力インタフェース番号」と「ネクストホップ」とが対応付けられている。「宛先ＩＰアドレス」及び「サブネットマスク長」とは、パケット転送装置１００が受信したパケットのヘッダから得られる宛先ＩＰアドレス及びサブネットマスク長を示す。「出力インタフェース番号」とは、受信したＩＰアドレスを転送（出力）するインタフェースを示す。「ネクストホップ」とは、パケットの具体的な送信先のＭＡＣアドレスを示す。なお、「ネクストホップ」フィールドに設定される値として、各装置のＭＡＣアドレスの他、「未定」が設定され得る。ネクストホップが「未定」とは、ＭＡＣアドレスが解決されていないことを示す。
【００５９】
図４の例では、第１エントリにおいて、宛先ＩＰアドレス「１０．０．０．１０」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ１」及びネクストホップ「未定」が設定されている。これは、宛先が「１０．０．０．１０／２４」（つまり、ユーザネットワーク１７０内への）のパケットについては、第１インタフェース１１１に転送するが、具体的な宛先装置については「未定」であることを意味する。また、第２エントリにおいて、宛先ＩＰアドレス「１１．０．０．１１」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ２」及びネクストホップ「未定」が設定されている。これは、宛先が「１１．０．０．１１／２４」（つまり、認証ネットワーク１９０内への）のパケットについては、第２インタフェース１１２に転送するが、具体的な宛先装置については「未定」であることを意味する。
【００６０】
初期状態においては、これら２つのエントリ（第１，２エントリ）が端末ＶＲＦフォワーディングテーブル１５６に設定されている。これら２つのエントリは、ネットワークシステム１０の初期コンフィグレーションの際に、経路制御部１２４により生成される。具体的には、経路制御部１２４は、図２に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、経路制御部１２４は、役割種別が「認証対象端末」及び「認証前」であるインタフェースについて、それぞれに設定されているＩＰアドレス，サブネットマスク及びインタフェース番号に基づき、「宛先ＩＰアドレス」，「サブネットマスク長」及び「インタフェース番号」の各フィールドを記載し、ネクストホップを「未定」に記載したエントリを端末ＶＲＦフォワーディングテーブル１５６に追加する。このようにして、端末ＶＲＦフォワーディングテーブル１５６に、図４に示す第１，２エントリが追加される。なお、端末ＶＲＦフォワーディングテーブル１５６のエントリは、後述するように、初期コンフィグレーションの後も追加され得る。
【００６１】
図５は、図１に示す認証後ＶＲＦフォワーディングテーブル１５４の初期状態を示す説明図である。認証後ＶＲＦフォワーディングテーブル１５４は、認証成功後の端末，認証サーバ１９１，検疫サーバ１９２及び業務サーバ１８１から受信したパケットを転送する際に、転送経路を検索するために用いられるテーブルである。認証後ＶＲＦフォワーディングテーブル１５４の各フィールドの意味は、端末ＶＲＦフォワーディングテーブル１５６（図４）の各フィールドの意味と同じであるので説明を省略する。また、図５における第１，２エントリは、前述の端末ＶＲＦフォワーディングテーブル１５６の第１，２エントリと同じであるので説明を省略する。
【００６２】
図５の例では、第３エントリにおいて、宛先ＩＰアドレス「１２．０．０．１２」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ３」及びネクストホップ「未定」が設定されている。これは、宛先が「１２．０．０．１２／２４」（つまり、業務ネットワーク１８０）のパケットについては、第３インタフェース１１３に転送するが、具体的な宛先装置については「未定」であることを意味する。
【００６３】
初期状態においては、これら３つのエントリ（第１〜３エントリ）が認証後ＶＲＦフォワーディングテーブル１５４に設定されている。これら３つのエントリは、ネットワークシステム１０の初期コンフィグレーションの際に、経路制御部１２４により生成される。具体的には、経路制御部１２４は、図２に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、経路制御部１２４は、いずれの役割種別が設定されているインタフェースについても、それぞれに設定されているＩＰアドレス，サブネットマスク及びインタフェース番号に基づき、「宛先ＩＰアドレス」，「サブネットマスク長」及び「インタフェース番号」の各フィールドを記載し、ネクストホップを「未定」に記載したエントリを認証後ＶＲＦフォワーディングテーブル１５４に追加する。このようにして、認証後ＶＲＦフォワーディングテーブル１５４に、図５に示す第１〜３エントリが追加される。なお、認証後ＶＲＦフォワーディングテーブル１５４のエントリは、後述するように、初期コンフィグレーションの後も追加され得る。
【００６４】
前述のユーザネットワーク１７０は、請求項における第１のネットワークに相当する。また、認証ネットワーク１９０は請求項における第２のネットワークに、業務ネットワーク１８０は請求項における第３のネットワークに、端末ＶＲＦフォワーディングテーブル１５６は請求項における第１の転送経路テーブルに、認証後ＶＲＦフォワーディングテーブル１５４は請求項における第２の転送経路テーブルに、ＶＲＦ判定テーブル１５８は請求項における検索転送経路テーブル決定テーブルに、メモリ１５０は請求項における転送経路テーブル格納部に、ＶＲＦ判定制御部１２８は請求項におけるテーブル更新部及び転送経路決定部に、経路制御部１２４は請求項における転送経路テーブル更新部に、それぞれ相当する。
【００６５】
Ａ２．認証成功前後における転送経路の変化の概要：
図６は、端末の認証成功前後における転送経路を模式的に示す説明図である。ネットワークシステム１０では、上述した各テーブル１５４，１５６，１５８の初期状態の設定、及び後述のＶＲＦ判定テーブル１５８のエントリ追加処理やパケット転送処理を実行することにより、認証成功前の端末は認証ネットワーク１９０にのみアクセス可能とし、認証成功後の端末は業務ネットワーク１８０に加えて認証ネットワーク１９０にもアクセス可能となるように構成されている。まず、図６を用いて端末から送信されるパケットの転送経路の変化について概略を説明し、次に、パケット転送処理及びＶＲＦ判定テーブル１５８のエントリ追加処理の詳細について説明する。
【００６６】
図６では、パケット転送装置１００の各構成要素のうち、ＶＲＦ判定テーブル１５８と、端末ＶＲＦフォワーディングテーブル１５６と、認証後ＶＲＦフォワーディングテーブル１５４とのみを表わし、他の構成要素は省略している。図６において、破線の矢印は認証成功前の第１端末１１から送信されるパケットの転送経路を示している。また、実線の矢印は認証成功後の第１端末１１から送信されるパケットの転送経路を、一点鎖線の矢印は認証成功前後における業務サーバ１８１から認証サーバ１９１及び検疫サーバ１９２へのパケットの転送経路を示す。
【００６７】
認証成功前には、第１端末１１からのパケットの転送経路は、ＶＲＦ判定テーブル１５８に基づき、端末ＶＲＦフォワーディングテーブル１５６の中から検索され決定される。ここで、端末ＶＲＦフォワーディングテーブル１５６には、認証ネットワーク１９０内の装置への転送経路が記述されているため、破線の矢印に示すように、パケットは認証サーバ１９１及び検疫サーバ１９２へと転送される。なお、端末ＶＲＦフォワーディングテーブル１５６には業務ネットワーク１８０への転送経路は記述されていないため、認証成功前における第１端末１１からのパケットは、業務ネットワーク１８０に転送されることはない。
【００６８】
認証成功により、ＶＲＦ判定テーブル１５８は更新され、第１端末１１からのパケットの転送経路は、認証後ＶＲＦフォワーディングテーブル１５４の中から検索され決定される。ここで、認証後ＶＲＦフォワーディングテーブル１５４には、業務ネットワーク１８０及び認証ネットワーク１９０への転送経路が記述されているため、実線の矢印に示すように、認証成功後における第１端末１１からのパケットは業務サーバ１８１や、認証サーバ１９１や、検疫サーバ１９２へと転送される。
【００６９】
なお、業務ネットワーク１８０から認証ネットワーク１９０へのパケットの転送経路は、図示を省略しているがＶＲＦ判定テーブル１５８を参照し、第１端末１１の成功の有無に関わらず、認証後ＶＲＦフォワーディングテーブル１５４の中から検索され決定される。
【００７０】
Ａ３．端末認証時の動作：
図７は、ネットワークシステム１０において実行されるパケット転送処理の手順を示すフローチャートである。第１端末１１がユーザネットワーク１７０に所属すると、第１端末１１はパケット転送装置１００に対し、認証サーバ１９１宛のパケット（例えば、ログイン名及びパスワードを含むパケット）を送信する。パケット転送装置１００では、パケットを受信すると、パケット転送処理を開始する。なお、予めＩＰアドレスを割り当てずＤＨＣＰ（Dynamic Host Configuration Protocol）によりＩＰアドレスを付与する構成においては、認証処理の一部としてＤＨＣＰによりＩＰアドレスが割り当てられた後、認証サーバ１９１に認証用のパケットを送信する場合にパケット転送処理を開始する。
【００７１】
まず、ＶＲＦ判定制御部１２８は、ＶＲＦ判定テーブル１５８を参照して、到着したパケットの転送経路を検索するために使用するＶＲＦフォワーディングテーブル（以下、「検索使用ＶＲＦフォワーディングテーブル」と呼ぶ）を決定する（ステップＳ１０５）。第１端末１１の認証成功前におけるＶＲＦ判定テーブル１５８の設定内容は、図３に示す初期状態となっている。したがって、認証前の第１端末１１からのパケットについては、インタフェース番号が「ＩＦ１」であり、判定種別が「ＭＡＣアドレス」であり、ＭＡＣアドレスが「その他」である第１エントリがヒットし、転送経路を検索するのに使用するＶＲＦフォワーディングテーブルとして、端末ＶＲＦフォワーディングテーブル１５６が決定される。
【００７２】
検索使用ＶＲＦフォワーディングテーブルが決定されると、パケット転送処理部１２６は、ステップＳ１０５で決定されたＶＲＦフォワーディングテーブルを参照し、転送経路を検索し（ステップＳ１１０）、転送経路が見つかったか否かを判定する（ステップＳ１１５）。認証前の第１端末１１からのパケットについては、検索使用ＶＲＦフォワーディングテーブルとして端末ＶＲＦフォワーディングテーブル１５６が決定されるので、パケット転送処理部１２６は、端末ＶＲＦフォワーディングテーブル１５６から転送経路を検索する。なお、このときの端末ＶＲＦフォワーディングテーブル１５６の設定内容は、図４に示す初期状態となっている。
【００７３】
検索使用ＶＲＦフォワーディングテーブルにおける転送経路の検索は、いわゆるロンゲストマッチ検索と呼ばれる方法を用いて実行される。具体的には、検索使用ＶＲＦフォワーディングテーブルの各エントリのうち、宛先ＩＰアドレスにおけるサブネットマスク長に示す上位ビットの値が、受信したパケットの宛先ＩＰアドレスにおけるサブネットマスク長に示す上位ビットの値と一致するエントリを検索し、より多くのビットで一致したエントリを決定する。認証成功前の第１端末１１から受信するパケットは、認証サーバ１９１（１１．０．０．１／３２）宛であるので、図４に示す第２エントリが見つかる。
【００７４】
転送経路が見つかった場合（ステップＳ１１５：ＹＥＳ）、パケット転送処理部１２６は、見つかった転送経路におけるネクストホップが未定（未解決）であるか否かを判定し（ステップＳ１２０）、ネクストホップが未定の場合には、経路制御部１２４を制御して、ネクストホップを解決する（ステップＳ１２５）。図４に示す第２エントリでは、ネクストホップは「未定」であるので、パケット転送処理部１２６は、ネクストホップを解決する。ネクストホップの解決方法としては、経路制御部１２４がＡＲＰ（Address Resolution Protocol）を実行して解決する方法を採用することができる。
【００７５】
ステップＳ１２５の結果、認証サーバ１９１へのネクストホップが解決すると、経路制御部１２４は、ステップＳ１０５で決定されたＶＲＦフォワーディングテーブルに解決したネクストホップの値を記述する新たなエントリを追加する（ステップＳ１３０）。
【００７６】
図８は、第１端末１１について認証成功後の端末ＶＲＦフォワーディングテーブル１５６を示す説明図である。図８では、第１端末１１について認証及び検疫がいずれも成功した後の端末ＶＲＦフォワーディングテーブル１５６を示す。前述のように、第１端末１１の認証成功前において実行されるパケット転送処理のステップＳ１３０の後には、図８に示す第３エントリ（認証サーバ１９１への具体的な転送経路）が追加される。なお、この時点では、第４エントリは追加されていない。図８の第３エントリに示すように、第１端末１１の認証動作において追加される新たなエントリでは、宛先ＩＰアドレスとして「１１．０．０．１」（認証サーバ１９１のＩＰアドレス）が、サブネットマスク長として「３２」が、出力インタフェース番号として「ＩＦ２」が、ネクストホップとして「認証サーバ（のＭＡＣアドレス）」が、それぞれ記述される。
【００７７】
ステップＳ１３０において、ＶＲＦフォワーディングテーブルに新たなエントリ（転送経路）が追加されると、パケット転送処理部１２６は受信したパケットを、ＶＲＦフォワーディングテーブルに従って転送する（ステップＳ１３５）。こうして認証サーバ１９１宛のパケットは、図８に示す第３エントリに記述された転送経路に従い、認証サーバ１９１へと転送される。
【００７８】
前述のステップＳ１１５において、転送経路が見つからない場合には、パケット転送処理部１２６は、受信したパケットを廃棄する（ステップＳ１４０）。また、前述のステップＳ１２０においてネクストホップが解決済みであった場合には、ステップＳ１２５，１３０を省略して、ステップＳ１３５を実行する。
【００７９】
このようにして、認証用パケットが認証サーバ１９１に届くと、認証サーバ１９１において認証処理が実行され、認証サーバ１９１から第１端末１１へと認証用のパケットが送信される。この場合も、上述したパケット転送処理に従いパケットが転送される。ステップＳ１０５では、図３のＶＲＦ判定テーブル１５８の第２エントリに従い、検索使用ＶＲＦフォワーディングテーブルとして認証後ＶＲＦフォワーディングテーブル１５４が決定される。ステップＳ１１０では、第１端末１１への転送経路として、図５に示す認証後ＶＲＦフォワーディングテーブル１５４の第１エントリが見つかるが、ネクストホップが未定であるので、ステップＳ１２５において第１端末１１へのネクストホップが解決される。その後、認証が成功し、第１端末１１から検疫サーバ１９２に検疫用のパケットが送信されると、図８に示す第４エントリが端末ＶＲＦフォワーディングテーブル１５６に追加される。
【００８０】
図９は、第１端末１１について認証成功後の認証後ＶＲＦフォワーディングテーブル１５４を示す説明図である。図９では、第１端末１１について認証及び検疫がいずれも成功し、かつ、その後に第１端末１１が業務サーバ１８１にアクセスした後の認証後ＶＲＦフォワーディングテーブル１５４を示す。前述のように、第１端末１１へのネクストホップが解決された場合、ステップＳ１３０において、認証後ＶＲＦフォワーディングテーブル１５４に第４エントリが追加される。そして、ステップＳ１３５において、認証用のパケットが第１端末１１へと転送される。なお、認証及び検疫が成功してから業務サーバ１８１にアクセスする前には、第５エントリは追加されていない。
【００８１】
認証サーバ１９１による認証が成功すると、次に検疫サーバ１９２により検疫が実行される。検疫の手順については、上述した認証サーバ１９１による認証の手順と同じであるので、説明は省略する。認証及び検疫が成功した後において、端末ＶＲＦフォワーディングテーブル１５６には、図８に示すように、第１〜第４エントリが記述される。なお、認証サーバ１９１は、認証及び検疫が成功した場合に、認証（認証及び検疫）が成功した旨を認証処理部１２２に通知し、認証処理部１２２は認証成功の旨をＶＲＦ判定制御部１２８に通知する。
【００８２】
図１０は、端末の認証成功後に実行されるＶＲＦ判定テーブルのエントリ追加処理の手順を示すフローチャートである。端末の認証成功の後、ＶＲＦ判定制御部１２８は、ＶＲＦ判定テーブル１５８のエントリ追加処理を実行する。
【００８３】
具体的には、ＶＲＦ判定制御部１２８は、ユーザネットワーク１７０に所属した端末について認証（認証及び検疫）が成功するまで待機する（ステップＳ２０５）。認証成功の旨を認証処理部１２２から通知されると、ＶＲＦ判定制御部１２８は、認証成功した端末について、認証後ＶＲＦフォワーディングテーブル１５４と対応付けるエントリを、ＶＲＦ判定テーブル１５８に追加する（ステップＳ２１０）。
【００８４】
図１１は、第１端末１１の認証成功後に第１端末１１についてのエントリが追加された後のＶＲＦ判定テーブル１５８を示す説明図である。前述のように第１端末１１の認証が成功した場合に、ＶＲＦ判定制御部１２８は、図１１に示す第４エントリを追加する。この第４エントリは、ＭＡＣアドレスフィールド及びＶＲＦフォワーディングテーブル種別フィールドの値が異なる点において第１エントリと異なり、他のフィールドの値は第１エントリと同じである。すなわち、第４エントリでは、ＭＡＣアドレスフィールドに第１端末１１のＭＡＣアドレスである「ｍａｃ１」が設定され、ＶＲＦフォワーディングテーブル種別フィールドに認証後ＶＲＦフォワーディングテーブル１５４が設定されている。このように第１端末１１の認証成功の後にＶＲＦ判定テーブル１５８に第４エントリが追加されることにより、第１端末１１は、業務ネットワーク１８０内の業務サーバ１８１にアクセスできるようになる。
【００８５】
Ａ４．端末認証成功後のパケット転送処理：
認証成功後に、第１端末１１から業務サーバ１８１にパケットを送信する場合の動作について説明する。この場合も、第１端末１１からパケットを受信すると、パケット転送装置１００において図７に示すパケット転送処理が実行される。ステップＳ１０５では、第１端末１１（ＭＡＣアドレス＝ｍａｃ１）からのパケットを受信するため、図１１に示すＶＲＦ判定テーブル１５８の第４エントリに基づき、検索使用ＶＲＦフォワーディングテーブルとして認証後ＶＲＦフォワーディングテーブル１５４が決定される。このケースにおいて、ステップＳ１１０を実行するでは、図９に示す認証後ＶＲＦフォワーディングテーブル１５４に第５エントリがない状態であるので、第３エントリが見つかる。第３エントリではネクストホップが未定であるので、ステップＳ１２５によりネクストホップが解決され、ステップＳ１３０により、認証後ＶＲＦフォワーディングテーブル１５４にネクストホップを「業務サーバ」とするエントリ（第５エントリ）が追加される。したがって、ステップＳ１３５では、端末ＶＲＦフォワーディングテーブル１５４の第５エントリに従い、第１端末１１からのパケットが業務サーバ１８１に転送される。
【００８６】
また、認証成功後の第１端末１１は、認証成功前と同様に、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にアクセスできる。具体的には、第１端末１１から認証サーバ１９１にパケットを送信する場合について説明する。この場合も、第１端末１１からパケットを受信すると、パケット転送装置１００において図７に示すパケット転送処理が実行される。ステップＳ１０５では、上述した業務サーバ１８１にアクセスする場合と同様に、検索使用ＶＲＦフォワーディングテーブルとして、認証後ＶＲＦフォワーディングテーブル１５４が決定される。ステップＳ１１０では、図９に示す認証後ＶＲＦフォワーディングテーブル１５４において、認証サーバ１９１への転送経路がない状態であるので、第２エントリが見つかる。第２エントリではネクストホップが未定であるので、ステップＳ１２５によりネクストホップが解決され、ステップＳ１３０により、認証後ＶＲＦフォワーディングテーブル１５４にネクストホップを「認証サーバ」とするエントリ（図示省略）が追加される。したがって、ステップＳ１３５では、この新たに追加されたエントリに従い、第１端末１１からのパケットが認証サーバ１９１に転送される。
【００８７】
このように、ユーザネットワーク１７０に所属する端末については、認証成功の前後のいずれにおいても、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にアクセスすることができる。したがって、例えば、ひとたび認証成功した端末についても、定期的に、或いは随時に認証や検疫を実行させることができるので、ネットワークシステム１０におけるセキュリティを向上させることができる。
【００８８】
なお、業務サーバ１８１から認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）には、端末の認証成功の有無に関わらずアクセスすることができる。これは以下の理由による。図３，１１に示すように、業務サーバ１８１からのパケットの転送経路検索に使用するＶＲＦフォワーディングテーブルは、ＶＲＦ判定テーブル１５８において認証後ＶＲＦフォワーディングテーブル１５４（第３エントリ）となるように設定されている。また、認証後ＶＲＦフォワーディングテーブル１５４には、図５，９に示すように、宛先ＩＰアドレスとして、認証ネットワーク１９０が接続されている第２インタフェース１１２（ＩＦ２）のＩＰアドレスが設定されたエントリ（第２エントリ）が記述されている。したがって、ネクストホップを解決することにより、認証ネットワーク１９０内の装置（認証サーバ１９１及び検疫サーバ１９２）への転送経路を記述したエントリを追加することができるからである。
【００８９】
Ａ５．ＶＲＦ判定テーブルのエントリ削除処理：
図１２は、パケット転送装置１００において実行されるＶＲＦ判定テーブル１５８のエントリ削除処理の手順を示す説明図である。端末の認証成功の後、ＶＲＦ判定制御部１２８は、ＶＲＦ判定テーブル１５８のエントリ削除処理を開始する。まず、ＶＲＦ判定制御部１２８は、端末の認証解除を検出するまで待機する（ステップＳ３０５）。
【００９０】
端末の認証が解除されるのは、例えば、ユーザが端末からログオフした場合や、認証成功後に定期的に実行される認証や検疫で失敗と判定されたケースなどである。これらの場合、認証処理部１２２は、認証失敗（認証解除）した端末のＭＡＣアドレスと、認証解除の旨をＶＲＦ判定制御部１２８に通知する。
【００９１】
ＶＲＦ判定制御部１２８は、端末の認証解除を検出すると、通知されたＭＡＣアドレスの端末についてのエントリをＶＲＦ判定テーブル１５８から削除する（ステップＳ３１０）。例えば、第１端末１１の認証が解除された場合には、ＶＲＦ判定制御部１２８は、図１１に示すＶＲＦ判定テーブル１５８の第４エントリを削除する。その結果、ＶＲＦ判定テーブル１５８は、図３に示す初期状態に戻る。
【００９２】
したがって、その後、第１端末１１がユーザネットワーク１７０に所属した場合には、ＶＲＦ判定テーブル１５８（第１エントリ）に基づき、検索使用ＶＲＦフォワーディングテーブルとして、端末ＶＲＦフォワーディングテーブル１５６が決定されることとなる。それゆえ、第１端末１１は、再度認証成功と判定されるまで、業務ネットワーク１８０（業務サーバ１８１）にはアクセスすることができない。なお、「ひとたび端末が認証された場合には、端末のログオフの後においても認証成功の状態を維持する」といったポリシーを採用するのであれば、上述したＶＲＦ判定テーブルのエントリ削除処理は省略することができる。
【００９３】
以上説明したように、第１の実施例のネットワークシステム１０では、認証成功前に、第１端末１１からのパケットの検索使用ＶＲＦフォワーディングテーブルとして、端末ＶＲＦフォワーディングテーブル１５６を決定するようなエントリをＶＲＦ判定テーブル１５８に設定している。また、端末ＶＲＦフォワーディングテーブル１５６には、宛先ＩＰアドレスフィールドに第１，２インタフェース１１１，１１２のＩＰアドレスを設定したエントリ（第１，２エントリ）が記述されている。したがって、認証成功前の端末は、ネクストホップを解決して、ユーザネットワーク１７０及び認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にアクセスすることができるが、業務ネットワーク１８０（業務サーバ１８１）にアクセスすることはできない。したがって、認証前の端末による業務サーバ１８１へのアクセスを抑制できる。
【００９４】
また、認証成功後に、第１端末１１からのパケットの検索使用ＶＲＦフォワーディングテーブルとして、認証後ＶＲＦフォワーディングテーブル１５４を決定するようなエントリをＶＲＦ判定テーブル１５８に追加するようにしている。加えて、認証後ＶＲＦフォワーディングテーブル１５４には、宛先ＩＰアドレスフィールドに第２，３インタフェース１１２，１１３のＩＰアドレスが設定されたエントリ（第２，３エントリ）が記述されている。したがって、認証成功後の端末は、ネクストホップを解決して、業務ネットワーク１８０（業務サーバ１８１）にアクセスできることに加えて、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にもアクセスすることができる。したがって、例えば、認証成功後の端末についても、定期的に或いは随時に、認証サーバ１９１や検疫サーバ１９２による認証や検疫を実行することができる。
【００９５】
また、ネットワークシステム１０では、第１端末１１に割り当てられたＩＰアドレスは１つであるので、第１端末１１に対して、認証前後で異なるＩＰアドレスを割り当てる構成に比べて、ＩＰアドレスの利用効率を向上させることができる。
【００９６】
また、認証解除された場合には、ＶＲＦ判定テーブル１５８において認証成功時に追加されたエントリを削除するだけで、認証解除された端末による業務ネットワーク１８０へのアクセスを抑制できる。したがって、簡易な構成により、認証結果に応じたアクセス制限を実現でき、ネットワークシステム１０の構築コスト及び運用コストを抑制できる。
【００９７】
Ｂ．第２の実施例：
Ｂ１．システム構成：
図１３は、第２の実施例のネットワークシステム１０ａの構成を示す説明図である。第２の実施例のネットワークシステム１０ａは、以下の５点において第１の実施例のネットワークシステム１０と異なり、他の構成は第１の実施例と同じである。すなわち、パケット転送装置１００ａが、第１〜３のインタフェース１１１〜１１３に加えて第４インタフェース１１４を備えている点と、認証後ＶＲＦフォワーディングテーブル１５４に代えて、認証ＶＲＦフォワーディングテーブル１５４ａと第１業務ＶＲＦフォワーディングテーブル１５４ｂと第２業務ＶＲＦフォワーディングテーブル１５４ｃとを備えている点と、業務ネットワーク１８０に代えて、２つの業務ネットワーク（第１業務ネットワーク１８０ａ及び第２業務ネットワーク１８０ｂ）を備えている点と、第１端末１１に加えて第２端末１２がユーザネットワーク１７０に所属し得る点と、認証サーバ１９１がアクセス許可テーブル１９３を備えている点とが、第１の実施例のネットワークシステム１０との相違点である。
【００９８】
第４インタフェース１１４は、第２業務ネットワーク１８０ｂを接続するインタフェースである。なお、第３インタフェース１１３に接続されたネットワークを第１業務ネットワーク１８０ａと呼ぶ。これら２つの業務ネットワーク１８０ａ，１８０ｂは、いずれも、第１の実施例の業務ネットワーク１８０と同じ役割を有する。第１業務ネットワーク１８０ａには、第１業務サーバ１８１ａが所属しており、第２業務ネットワーク１８０ｂには、第２業務サーバ１８１ｂが所属している。
【００９９】
第１の実施例と同様に、各端末やサーバやパケット転送装置１００ａの各インタフェースには、予めＩＰアドレスが割り当てられている。具体的には、第４インタフェース１１４には１３．０．０．１３／２４が割り当てられている。また、第１業務サーバ１８１ａには１２．０．０．１／３２が、第２業務サーバ１８１ｂには１３．０．０．１／３２が、第２端末１２には１０．０．０．２／３２が、それぞれ割り当てられている。なお、第２端末１２には、ＭＡＣアドレスとして「ｍａｃ２」が設定されている。
【０１００】
認証ＶＲＦフォワーディングテーブル１５４ａは、認証ネットワーク１９０に属する装置（認証サーバ１９１及び検疫サーバ１９２）から受信したパケットの転送経路を検索するために用いられるテーブルである。第１業務ＶＲＦフォワーディングテーブル１５４ｂは、第１業務ネットワーク１８０ａに属する装置（第１業務サーバ１８１ａ）及び認証成功後の２つの端末１１，１２から受信したパケットの転送経路を検索するために用いられるテーブルである。第２業務ＶＲＦフォワーディングテーブル１５４ｃは、第２業務ネットワーク１８０ｂに属する装置（第２業務サーバ１８１ｂ）及び認証成功後の第２端末１２から受信したパケットの転送経路を検索するために用いられるテーブルである。
【０１０１】
図１３に示すように、認証サーバ１９１が備えるアクセス許可テーブル１９３には、ユーザネットワーク１７０に所属し得る端末と、アクセスを許可するネットワークとが対応付けられている。具体的には、第１端末１１には第１業務ネットワーク１８０ａが対応付けられ、第２端末１２には、第１業務ネットワーク１８０ａ及び第２業務ネットワーク１８０ｂが対応付けられている。このアクセス許可テーブル１９３は、ネットワークシステム１０の初期コンフィグレーションの際に、ネットワーク管理者により設定される。
【０１０２】
図１４は、第２の実施例のインタフェース役割種別テーブル１５２を示す説明図である。第２の実施例におけるインタフェース役割種別テーブル１５２は、第２エントリにおいて、役割種別「認証前」が設定されている点と、第３エントリにおいて役割種別「第１業務」が設定されている点と、第４エントリとして、インタフェース番号「ＩＦ４」及び役割種別「第２業務」が設定されている点とにおいて、図２に示す第１の実施例のインタフェース役割種別テーブル１５２と異なり、他の構成は、第１の実施例と同じである。
【０１０３】
図１５は、第２の実施例におけるＶＲＦ判定テーブル１５８の初期状態を示す説明図である。第２の実施例における初期状態のＶＲＦ判定テーブル１５８は、第２エントリにおいて、ＶＲＦフォワーディングテーブル種別として「認証ＶＲＦフォワーディングテーブル」が設定されている点と、第３エントリにおいて、ＶＲＦフォワーディングテーブル種別として「第１業務ＶＲＦフォワーディングテーブル」が設定されている点と、第４エントリとして、インタフェース番号「ＩＦ４」，判定種別「インタフェース」，ＭＡＣアドレス「−」及びＶＲＦフォワーディングテーブル「第２業務ＶＲＦフォワーディングテーブル」が、それぞれ設定されている点において、図３に示す第１の実施例のＶＲＦ判定テーブル１５８と異なり、他の構成は第１の実施例と同じである。
【０１０４】
ＶＲＦ判定テーブル１５８の初期状態における各エントリは、第１の実施例と同様に、インタフェース役割種別テーブル１５２に基づき作成される。具体的には、役割種別「認証前」のインタフェース（第２インタフェース１１２）に対しては、ＶＲＦフォワーディングテーブル種別として「認証ＶＲＦフォワーディングテーブル」が生成される。また、役割種別「第１業務」のインタフェースにはＶＲＦフォワーディングテーブル種別「第１業務ＶＲＦフォワーディングテーブル」が、役割種別「第２業務」のインタフェースにはＶＲＦフォワーディングテーブル種別「第２業務ＶＲＦフォワーディングテーブル」が、それぞれ設定される。
【０１０５】
第２の実施例における初期状態の端末ＶＲＦフォワーディングテーブル１５６は、図４に示す第１の実施例の端末ＶＲＦフォワーディングテーブル１５６と同じであるので、説明を省略する。
【０１０６】
図１６は、第２の実施例における認証ＶＲＦフォワーディングテーブル１５４ａの初期状態を示す説明図である。認証ＶＲＦフォワーディングテーブル１５４ａの各フィールドは、他のＶＲＦフォワーディングテーブルの各フィールドと同じである。初期状態の認証ＶＲＦフォワーディングテーブル１５４ａは、第４エントリとして、宛先ＩＰアドレス「１３．０．０．１３」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ４」及びネクストホップ「未定」が設定されている点を除き、図５に示す第１の実施例における初期状態の認証後ＶＲＦフォワーディングテーブル１５４と同じである。この第４エントリは、第１〜３エントリと同様に、ネットワークシステム１０ａの初期コンフィグレーションの際に、経路制御部１２４により生成される。
【０１０７】
図１７は、第２の実施例における第１業務ＶＲＦフォワーディングテーブル１５４ｂの初期状態を示す説明図である。初期状態の第１業務ＶＲＦフォワーディングテーブル１５４ｂは、図５に示す第１の実施例における初期状態の認証後ＶＲＦフォワーディングテーブル１５４と同じである。すなわち、宛先ＩＰアドレスとして、ユーザネットワーク１７０に接続されたインタフェース（第１インタフェース１１１）のＩＰアドレスと、認証ネットワーク１９０に接続されたインタフェース（第２インタフェース１１２）のＩＰアドレスと、第１業務ネットワーク１８０ａに接続されたインタフェース（第３インタフェース１１３）のＩＰアドレスとが記述されたエントリのみが、初期状態において設定されている。
【０１０８】
これらの初期状態における各エントリは、ネットワークシステム１０ａの初期コンフィグレーションの際に、経路制御部１２４により生成される。具体的には、インタフェース役割種別テーブル１５２における役割種別が「認証対象端末」，「認証前」及び「第１業務」であるインタフェースについて、各インタフェースに設定されているＩＰアドレス，サブネットマスク，インタフェース番号に基づき、宛先ＩＰアドレスフィールド，サブネットマスク長フィールド，出力インタフェース番号フィールドの各値が設定され、ネクストホップフィールドを「未定」に設定されたエントリが生成される。
【０１０９】
図１８は、第２の実施例における第２業務ＶＲＦフォワーディングテーブル１５４ｃの初期状態を示す説明図である。初期状態の第２業務ＶＲＦフォワーディングテーブル１５４ｃは、第３エントリとして、宛先ＩＰアドレス「１３．０．０．１３」，サブネットマスク長「２４」，出力インタフェース番号「ＩＦ４」及びネクストホップ「未定」が設定されている点において、図１７に示す初期状態の第１業務ＶＲＦフォワーディングテーブル１５４ｂと異なり、他の構成は第１業務ＶＲＦフォワーディングテーブル１５４ｂと同じである。これらの初期状態における各エントリは、第１業務ＶＲＦフォワーディングテーブル１５４ｂと同様にして、ネットワークシステム１０ａの初期コンフィグレーションの際に、経路制御部１２４により生成される。
【０１１０】
本実施例では、第１業務ネットワーク１８０ａ及び第２業務ネットワーク１８０ｂは、請求項における第３のネットワークに相当する。また、認証ＶＲＦフォワーディングテーブル１５４ａは請求項における第３の転送経路テーブルに、また、第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃは請求項における第２の転送経路テーブルに、それぞれ相当する。
【０１１１】
Ｂ２．認証成功前後における転送経路の変化の概要：
図１９は、第２の実施例における第１端末１１の認証成功前後の転送経路を模式的に示す説明図である。図２０は、第２の実施例における第２端末１２の認証成功前後の転送経路を模式的に示す説明図である。
【０１１２】
第２の実施例のネットワークシステム１０ａでは、上述した各テーブルの初期状態の設定、及び後述のＶＲＦ判定テーブル１５８のエントリ追加処理やパケット転送処理を実行することにより、認証成功前の端末はいずれも認証ネットワーク１９０にのみアクセス可能とすると共に、各端末１１，１２ごとに、認証成功後にアクセス可能なネットワーク（サーバ）を設定可能に構成されている。
【０１１３】
図１９に示すように、認証成功前において、第１端末１１からのパケットは、端末ＶＲＦフォワーディングテーブル１５６を検索して得られた転送経路を転送され、認証サーバ１９１及び検疫サーバ１９２に転送される。認証成功後において、第１端末１１からのパケットは、第１業務ＶＲＦフォワーディングテーブル１５４ｂを検索して得られた転送経路を転送され、第１業務サーバ１８１ａに転送される。また、認証成功後において、第１端末１１からのパケットは、第１業務ＶＲＦフォワーディングテーブル１５４ｂを検索して得られた転送経路を転送され、認証サーバ１９１及び検疫サーバ１９２に転送される。なお、認証成功後において、第１端末１１からのパケットは、第２業務サーバ１８１ｂに転送されないように構成されている。
【０１１４】
図２０に示すように、認証成功前において、第２端末１２からのパケットは、端末ＶＲＦフォワーディングテーブル１５６を検索して得られた転送経路を転送され、認証サーバ１９１及び検疫サーバ１９２に転送される。認証成功後において、第２端末１２からのパケットは、第１業務ＶＲＦフォワーディングテーブル１５４ｂを検索して得られた転送経路を転送され、第１業務サーバ１８１ａに転送される。また、認証成功後において、第２端末１２からのパケットは、第２業務ＶＲＦフォワーディングテーブル１５４ｃを検索して得られた転送経路を転送され、第２業務サーバ１８１ｂに転送される。また、認証成功後において、第２端末１２からのパケットは、第１業務ＶＲＦフォワーディングテーブル１５４ｂを検索して得られた転送経路を転送され、認証サーバ１９１及び検疫サーバ１９２に転送される。
【０１１５】
Ｂ３．端末認証時の動作：
図２１は、第２の実施例におけるパケット転送処理の手順を示すフローチャートである。第２の実施例のパケット転送処理は、ステップＳ１１０に代えて、ステップＳ１１０ａを実行する点において、第１の実施例のパケット転送処理（図７）と異なり、他の手順は第１の実施例と同じである。第２の実施例では、ＶＲＦ判定テーブル１５８のＶＲＦフォワーディング種別として複数のＶＲＦフォワーディングテーブルを設定することを許容している。したがって、ステップＳ１０５において、到着したパケットの検索使用ＶＲＦフォワーディングテーブルとして複数のＶＲＦフォワーディングテーブルが決定され得る。そこで、ステップＳ１１０ａでは、転送経路を検索する際に、これら複数のＶＲＦフォワーディングテーブルを順次参照するものとしている。
【０１１６】
なお、後述するように、端末認証時には、ステップＳ１０５において、検索使用ＶＲＦフォワーディングテーブルとして端末ＶＲＦフォワーディングテーブル１５６のみが決定されるので、端末認証時における動作（ステップＳ１１０ａの実行結果）は第１の実施例と同じである。
【０１１７】
ここで、第２の実施例では、認証成功の際に、認証サーバ１９１から認証処理部１２２に通知される情報において、第１の実施例と異なる。具体的には、認証サーバ１９１は、認証及び検疫が成功した場合に、認証（認証及び検疫）が成功した旨に加えて、認証が成功した端末に対してアクセスが許可されているネットワークについての情報を認証処理部１２２に通知する。具体的には、認証サーバ１９１は、第１端末１１の認証が成功した場合に、図１３に示すアクセス許可テーブル１９３を参照し、アクセスが許可されたネットワークとして「第１業務ネットワーク」を認証成功の旨と共に認証処理部１２２に通知する。また、認証サーバ１９１は、第２端末１２の認証が成功した場合に、アクセス許可テーブル１９３を参照し、アクセスが許可されたネットワークとして「第１業務ネットワーク及び第２業務ネットワーク」を認証成功の旨と共に認証処理部１２２に通知する。認証処理部１２２は、認証成功の旨と、アクセスが許可されたネットワークの情報を、ＶＲＦ判定制御部１２８に通知する。
【０１１８】
図２２は、第２の実施例におけるＶＲＦ判定テーブルのエントリ追加処理の手順を示すフローチャートである。第２の実施例のＶＲＦ判定テーブルのエントリ追加処理は、ステップＳ２１０に代えて、ステップＳ２１０ａを実行する点において、図１０に示す第１の実施例のＶＲＦ判定テーブルのエントリ追加処理と異なり、他の手順は第１の実施例と同じである。ステップＳ２０５を実行した後、ＶＲＦ判定制御部１２８は、認証成功した端末について、アクセス許可されたネットワークからのパケットの検索使用ＶＲＦフォワーディングテーブルと対応付けるエントリを、ＶＲＦ判定テーブル１５８に追加する（ステップＳ２１０ａ）。
【０１１９】
図２３は、第１端末１１及び第２端末１２の認証成功後に、これら２つの端末１１，１２についてのエントリが追加された後のＶＲＦ判定テーブル１５８を示す説明図である。第１端末１１にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａである。第１業務ネットワーク１８０ａからのパケットの検索使用ＶＲＦフォワーディングテーブルは、第１業務ＶＲＦフォワーディングテーブル１５４ｂである（ＶＲＦ判定テーブル１５８の第３エントリ参照）。したがって、第１端末１１が認証成功した場合に、ＶＲＦ判定制御部１２８は、インタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「ｍａｃ１」及びＶＲＦフォワーディングテーブル種別「第１業務ＶＲＦフォワーディングテーブル」が設定されたエントリ（第５エントリ）をＶＲＦ判定テーブル１５８に追加する。
【０１２０】
また、第２端末１２にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａ及び２業務ネットワーク１８０ｂである。第１業務ネットワーク１８０ａからのパケットの検索使用ＶＲＦフォワーディングテーブルは、第１業務ＶＲＦフォワーディングテーブル１５４ｂである（ＶＲＦ判定テーブル１５８の第３エントリ参照）。第２業務ネットワーク１８０ｂからのパケットの検索使用ＶＲＦフォワーディングテーブルは、第２業務ＶＲＦフォワーディングテーブル１５４ｃである（ＶＲＦ判定テーブル１５８の第４エントリ参照）。したがって、第２端末１２が認証成功した場合に、ＶＲＦ判定制御部１２８は、インタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「ｍａｃ２」及びＶＲＦフォワーディングテーブル種別「第１業務ＶＲＦフォワーディングテーブル，第２業務ＶＲＦフォワーディングテーブル」が設定されたエントリ（第６エントリ）をＶＲＦ判定テーブル１５８に追加する。
【０１２１】
図２４は、第１端末１１及び第２端末１２の認証成功後の認証ＶＲＦフォワーディングテーブル１５４ａを示す説明図である。２つの端末１１，１２の認証動作において、認証サーバ１９１及び検疫サーバ１９２は、これら２つの端末１１，１２にパケットを送信する。この際に、各端末１１，１２へのネクストホップが解決され、第５，６エントリが追加される。
【０１２２】
Ｂ４．端末認証成功後のパケット転送処理：
認証成功後に、第１端末１１から業務サーバ１８１にパケットを送信する場合のパケット転送処理について説明する。図２１に示すステップＳ１０５では、図２３に示すＶＲＦ判定テーブル１５８の第５エントリに基づき、検索使用ＶＲＦフォワーディングテーブルとして、第１業務ＶＲＦフォワーディングテーブル１５４ｂが決定される。
【０１２３】
図２５は、第１端末１１及び第２端末１２の認証成功後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す説明図である。図２５では、第１端末１１及び第２端末１２について認証及び検疫がいずれも成功し、かつ、その後に第１端末１１及び第２端末１２が第１業務サーバ１８１ａにアクセスした後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す。第２端末１２が第１業務サーバ１８１ａにアクセスしておらず、第１端末１１のみが第１業務サーバ１８１ａにアクセスした後には、図１７に示す初期状態から第４，５エントリが追加される。その後、第２端末１２が第１業務サーバ１８１ａにアクセスした場合に、第６エントリが追加される。
【０１２４】
図２５に示すように、第１業務ＶＲＦフォワーディングテーブル１５４ｂの第３エントリには、宛先ＩＰアドレスとして第３インタフェース１１３が設定されている。したがって、ステップＳ１１０ａではこのエントリが発見され、さらに、第１業務サーバ１８１ａへのネクストホップが解決され（ステップＳ１２５）、第５エントリが追加される（ステップＳ１３０）。したがって、この第１業務ＶＲＦフォワーディングテーブル１５４ｂの第５エントリに基づき、第１端末１１から第１業務サーバ１８１ａへとパケットが転送される（ステップＳ１３５）。なお、その後、第１業務サーバ１８１ａから第１端末１１へのパケットを転送する際に、第４エントリが追加される。
【０１２５】
ここで、図２５に示す第１業務ＶＲＦフォワーディングテーブル１５４ｂには、宛先ＩＰアドレスとして、第３インタフェース１１３に加えて、第２インタフェース１１２が設定されたエントリ（第２エントリ）が記述されている。したがって、認証成功後において、第１端末１１は、第１業務ネットワーク１８０ａ（第１業務サーバ１８１ａ）に加えて、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にもアクセスすることができる。一方、第１業務ＶＲＦフォワーディングテーブル１５４ｂには、宛先ＩＰアドレスとして、第４インタフェース１１４が設定されたエントリは記述されていない。したがって、認証成功後において、第１端末１１は、第２業務ネットワーク１８０ｂ（第２業務サーバ１８１ｂ）にアクセスすることはできない。
【０１２６】
認証成功後に、第２端末１２から第１業務サーバ１８１ａにアクセスする場合のパケット転送処理について説明する。なお、前提として、上述した第１端末１１から第１業務サーバ１８１ａへのアクセスが既に実行されており、第１業務サーバ１８１ａへのネクストホップが解決され、第１業務ＶＲＦフォワーディングテーブル１５４ｂに第５エントリが記述されているものとする。
【０１２７】
ステップＳ１０５では、図２３に示すＶＲＦ判定テーブル１５８の第６エントリに基づき、検索使用ＶＲＦフォワーディングテーブルとして、第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃが決定される。ステップＳ１１０ａでは、これら２つのＶＲＦフォワーディングテーブル１５４ａ，１５４ｂが、この順序で参照され転送経路が検索される。このとき、第１業務ＶＲＦフォワーディングテーブル１５４ｂ(図２５)には、ネクストホップを第１業務サーバ１８１ａとするエントリ（第５エントリ）が記述されているので、第２業務ＶＲＦフォワーディングテーブル１５４ｃを参照することなく、第１業務サーバ１８１ａへの転送経路が見つかる。したがって、この第１業務ＶＲＦフォワーディングテーブル１５４ｂの第５エントリに基づき、第２端末１２から第１業務サーバ１８１ａへとパケットが転送される。
【０１２８】
次に、認証成功後に、第２端末１２から第２業務サーバ１８１ｂにアクセスする場合のパケット転送処理について説明する。
【０１２９】
ステップＳ１０５では、上述した第１業務サーバ１８１ａにアクセスする場合と同様に、検索使用ＶＲＦフォワーディングテーブルとして、第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃが決定される。ステップＳ１１０ａでは、これら２つのＶＲＦフォワーディングテーブル１５４ａ，１５４ｂが、この順序で参照され転送経路が検索される。
【０１３０】
図２６は、第１端末１１及び第２端末１２の認証成功後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す説明図である。図２６では、第１端末１１及び第２端末１２について認証及び検疫がいずれも成功し、かつ、その後に第２端末１２が第２業務サーバ１８１ｂにアクセスした後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す。なお、第２端末１２が最初に第２業務サーバ１８１ｂにアクセスする際には、第４，５エントリは記述されていない。
【０１３１】
図１８，２６に示すように、第２業務ＶＲＦフォワーディングテーブル１５４ｃには、宛先ＩＰアドレスとして第４インタフェース１１４が設定されたエントリ（第３エントリ）が記述されている。一方、図１７，２５に示す第１業務ＶＲＦフォワーディングテーブル１５４ｂには、第４インタフェース１１４が設定されたエントリは記述されていない。したがって、ステップＳ１１０ａでは、第１業務ＶＲＦフォワーディングテーブル１５４ｂ，第２業務ＶＲＦフォワーディングテーブル１５４ｃの順序で参照され、第２業務ＶＲＦフォワーディングテーブル１５４ｃにおいて第３エントリが発見される。そして、第２業務サーバ１８１ｂへのネクストホップが解決され（ステップＳ１２５）、第２業務ＶＲＦフォワーディングテーブル１５４ｃに第５エントリが追加される。したがって、この第５エントリに基づき、第２端末１２から第２業務サーバ１８１ｂへとパケットが転送される（ステップＳ１３５）。
【０１３２】
上述したように、図２５に示す第１業務ＶＲＦフォワーディングテーブル１５４ｂには、宛先ＩＰアドレスとして、第２インタフェース１１２が設定されたエントリ（第２エントリ）が記述されている。したがって、認証成功後において、第２端末１２は、第１端末１１と同様に、認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にもアクセスすることができる。
【０１３３】
以上説明した第２の実施例のネットワークシステム１０ａは、第１の実施例のネットワークシステム１０と同じ効果を有する。加えて、第１業務ＶＲＦフォワーディングテーブル１５４ｂでは、宛先ＩＰアドレスとして第３インタフェース１１３を設定したエントリを記述し、第４インタフェース１１４を設定したエントリを記述せず、また、第２業務ＶＲＦフォワーディングテーブル１５４ｃでは、宛先ＩＰアドレスとして第４インタフェース１１４を設定したエントリを記述し、第３インタフェース１１３を設定したエントリを記述しない構成を採用している。そして、ＶＲＦ判定テーブル１５８において、第１端末１１からのパケットの検索使用ＶＲＦフォワーディングテーブルとして第１業務ＶＲＦフォワーディングテーブル１５４ｂを設定したエントリを記述し、第２端末１２からのパケットの検索使用ＶＲＦフォワーディングテーブルとして第１，２ＶＲＦフォワーディングテーブル１５４ｃを設定したエントリを記述する構成を採用している。このような構成により、第１端末１１は第１業務ネットワーク１８０ａ（第１業務サーバ１８１ａ）にアクセスできるが、第２業務ネットワーク１８０ｂ（第２業務サーバ１８１ｂ）にはアクセスできないようにすることができる。また、第２端末１２は、第１業務ネットワーク１８０ａ（第１業務サーバ１８１ａ）及び第２業務ネットワーク１８０ｂ（第２業務サーバ１８１ｂ）のいずれにもアクセスできるようにすることができる。
【０１３４】
加えて、第１業務ＶＲＦフォワーディングテーブル１５４ｂには、宛先ＩＰアドレスとして第２インタフェース１１２を設定したエントリを記述しているので、認証成功後において、第１端末１１及び第２端末１２は、いずれも認証ネットワーク１９０（認証サーバ１９１及び検疫サーバ１９２）にアクセスすることができる。
【０１３５】
Ｃ．第３の実施例：
図２７は、第３の実施例のネットワークシステムの構成を示す説明図である。第３の実施例のネットワークシステム１０ｂは、ルータ１７２を備えている点と、アクセスネットワーク２００を備えている点とにおいて第１の実施例と異なり、他の構成は第１の実施例と同じである。
【０１３６】
ルータ１７２は、レイヤ２スイッチ１７１とパケット転送装置１００の第１インタフェース１１１とに接続されており、ユーザネットワーク１７０と、アクセスネットワーク２００とをレイヤ３において接続する。アクセスネットワーク２００は、ルータ１７２と第１インタフェース１１１との間に設けられたレイヤ３のネットワーク（ＶＬＡＮ）である。第１端末１１には、予めＩＰアドレス「２０．０．０．１／３２」が割り当てられている。
【０１３７】
このように、第１端末１１と第１インタフェース１１１とが、ルータ１７２を介して接続された場合、ルータ１７２から第１インタフェース１１１に届くパケット（レイヤ２フレーム）の送信元アドレス（ＭＡＣアドレス）は、ルータ１７２のポートに割り当てられているＭＡＣアドレスとなる。したがって、パケット転送処理のステップＳ１０５において、送信元ＭＡＣアドレスに基づき正しいパケットの送信元を判断することができない。そこで、第３の実施例では、送信元ＩＰアドレスに基づきパケットの送信元を判断するように構成されている。
【０１３８】
図２８は、第３の実施例のＶＲＦ判定テーブル１５８を示す説明図である。図２８では、第１端末１１について認証及び検疫がいずれも成功した後のＶＲＦ判定テーブル１５８を示す。第３の実施例のＶＲＦ判定テーブル１５８は、ＭＡＣアドレスフィールドに代えて、ＩＰアドレスフィールドが設けられている点において、第１の実施例のＶＲＦ判定テーブルと異なり、他の構成は第１の実施例と同じである。
【０１３９】
図２８において第４エントリは、第１端末１１について認証成功後に追加されたエントリである。この第４エントリでは、インタフェース番号「ＩＦ１」，判定種別「ＩＰアドレス」，ＩＰアドレス「２０．０．０．１／３２」及びＶＲＦフォワーディングテーブル種別「認証後ＶＲＦフォワーディングテーブル」が設定されている。したがって、認証成功後に、第１端末１１からパケットを受信した際には、パケットの送信元ＩＰアドレスが「２０．０．０．１／３２」であるので、第４エントリに基づき、検索使用ＶＲＦフォワーディングテーブルとして認証後ＶＲＦフォワーディングテーブルが決定される。
【０１４０】
以上説明した第３の実施例のネットワークシステム１０ｂも、第１の実施例のネットワークシステム１０と同様な効果を有する。加えて、ＶＲＦ判定テーブル１５８において、第１端末１１から送信されるパケットの検索使用ＶＲＦフォワーディングテーブルを決定するためのエントリにおいて、判定種別を「ＩＰアドレス」とし、ＩＰアドレスを「２０．０．０．１／３２」と設定するので、パケット転送装置１００に到着したパケットの送信元をＩＰアドレスにより判断することができる。したがって、第１端末１１が所属するネットワーク（ＶＬＡＮ）と、第１インタフェース１１１が所属するネットワーク（ＶＬＡＮ）が異なる場合においても、パケットの送信元を正確に判定することができる。
【０１４１】
Ｄ．第４の実施例：
第４の実施例のネットワークシステムは、初期状態における第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃにおいて、宛先ＩＰアドレスとして第１インタフェース１１１（ユーザネットワーク１７０）が設定されたエントリがない点と、ＶＲＦ判定テーブル１５８のエントリ追加に加えて、ＶＲＦフォワーディングテーブルのエントリ追加の処理を実行する点において、第２の実施例のネットワークシステム１０ａと異なり、他の構成は第２の実施例と同じである。
【０１４２】
第４の実施例のネットワークシステムでは、第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂからアクセス可能な端末を、第１端末１１ないし第２端末１２に限定し、ユーザネットワーク１７０に所属する他の端末（図示省略）へのアクセスを抑制するように構成されている。
【０１４３】
図２９は、第４の実施例における第１業務ＶＲＦフォワーディングテーブル１５４ｂの初期状態を示す説明図である。図３０は、第４の実施例における第２業務ＶＲＦフォワーディングテーブル１５４ｃの初期状態を示す説明図である。図２９に示すように、第４の実施例の第１業務ＶＲＦフォワーディングテーブル１５４ｂでは、第２の実施例とは異なり、初期状態において、宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリがない。同様に、図３０に示すように、第２業務ＶＲＦフォワーディングテーブル１５４ｃにおいても、第２の実施例とは異なり、初期状態において、宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリがない。
【０１４４】
図３１は、第４の実施例におけるＶＲＦ判定テーブル１５８及びＶＲＦフォワーディングテーブルへのエントリ追加処理の手順を示すフローチャートである。ステップＳ２０５及びステップＳ２１０ａは、第２の実施例のＶＲＦ判定テーブルのエントリ追加処理（図２２）と同じである。端末の認証が成功し（ステップＳ２０５：ＹＥＳ）、認証成功した端末についてのエントリがＶＲＦ判定テーブル１５８に追加されると（ステップＳ２１０ａ）、経路制御部１２４は、認証成功した端末への転送経路を、認証ＶＲＦフォワーディングテーブル１５４ａから検索する（ステップＳ２１５）。
【０１４５】
図２４に示すように、第１端末１１及び第２端末１２が認証成功した後における認証ＶＲＦフォワーディングテーブル１５４ａには、第１端末１１への転送経路を示すエントリ（第５エントリ）及び第２端末１２への転送経路を示すエントリ（第６エントリ）が記述されている。したがって、第１端末１１及び第２端末１２が認証成功した後においてステップＳ２１５を実行する場合、この認証ＶＲＦフォワーディングテーブル１５４ａの第５，６エントリが見つかることとなる。
【０１４６】
認証成功した端末への転送経路が見つかると、経路制御部１２４は、見つかった転送経路を、ＶＲＦ判定テーブル１５８において端末に対応付けられているＶＲＦフォワーディングテーブルにコピーする（ステップＳ２２０）。
【０１４７】
図３２は、ステップＳ２２０実行後の第１業務ＶＲＦフォワーディングテーブル１５４ｂを示す説明図である。図３３は、ステップＳ２２０実行後の第２業務ＶＲＦフォワーディングテーブル１５４ｃを示す説明図である。
【０１４８】
図２３に示すように、第１端末１１及び第２端末１２の認証成功後におけるＶＲＦ判定テーブル１５８では、第１端末１１には第１業務ＶＲＦフォワーディングテーブル１５４ｂが対応付けられている。また、第２端末１２には、第１業務ＶＲＦフォワーディングテーブル１５４ｂ及び第２業務ＶＲＦフォワーディングテーブル１５４ｃが対応付けられている。したがって、ステップＳ２２０実行後には、図３２に示すように、第１業務ＶＲＦフォワーディングテーブル１５４ｂには第３，４エントリが追加され、第２業務ＶＲＦフォワーディングテーブル１５４ｃには図３３に示す第３エントリが追加される。
【０１４９】
したがって、第１業務サーバ１８１ａから第１端末１１へのパケットについては、図３２に示す第３エントリに基づきパケットが転送される。また、第１業務サーバ１８１ａから第２端末１２へのパケットについては、図３２に示す第４エントリに基づきパケットが転送される。ここで、第１業務サーバ１８１ａからユーザネットワーク１７０に所属する他の端末（図示省略）へのパケットについては、第１業務ＶＲＦフォワーディングテーブル１５４ｂに宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリがないのでＡＲＰ解決することができず、転送経路が見つからずに廃棄される。
【０１５０】
また、第２業務サーバ１８１ｂから第２端末１２へのパケットについては、図３３に示す第２業務ＶＲＦフォワーディングテーブル１５４ｃの第３エントリに基づき、パケットが転送される。ここで、第２業務サーバ１８１ｂからユーザネットワーク１７０に所属する他の端末（図示省略）へのパケットについては、第２業務ＶＲＦフォワーディングテーブル１５４ｃに宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリがないのでＡＲＰ解決することができず、転送経路が見つからずに廃棄される。
【０１５１】
図３４は、第４の実施例のエントリ削除処理の手順を示すフローチャートである。第４の実施例のエントリ削除処理では、ステップＳ３１５を加えた点において、第１，２の実施例のＶＲＦ判定テーブルのエントリ削除処理（図１２）と異なり、他の手順はＶＲＦ判定テーブルのエントリ削除処理と同じである。
【０１５２】
ステップＳ３１０において、認証解除された端末のエントリをＶＲＦ判定テーブル１５８から削除した後に、経路制御部１２４は、認証解除された端末への転送経路をＶＲＦフォワーディングテーブルから削除する（ステップＳ３１５）。
【０１５３】
具体的には、２つの端末１１，１２が認証解除された場合、経路制御部１２４は、図３２に示す第１業務ＶＲＦフォワーディングテーブル１５４ｂの第３，４エントリを削除し、また、図３３に示す第２業務ＶＲＦフォワーディングテーブル１５４ｃの第３エントリを削除する。なお、これらの削除対象とするエントリは、認証処理部１２２から通知される認証を解除された端末に関する情報（ＩＰアドレス等）に基づき決定される。
【０１５４】
なお、本実施例において、図３２に示す第３，４エントリ及び図３３に示す第３エントリは請求項における端末経路情報に相当する。
【０１５５】
以上説明した第４の実施例のネットワークシステムも、第１の実施例のネットワークシステム１０と同様な効果を有する。加えて、第４の実施例のネットワークシステムでは、第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂに、宛先ＩＰアドレスを第１インタフェース１１１（１０．０．０．１０／２４）とするエントリ（転送経路）を初期状態において記述しないようにし、認証成功した端末についての転送経路のみ、認証ＶＲＦフォワーディングテーブル１５４ａからコピーするようにしている。したがって、第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂから第１端末１１及び第２端末１２へのパケットの転送を可能にすると共に、これら２つの業務サーバ１８１ａ，１８１ｂからユーザネットワーク１７０に属する他の端末（或いは認証成功前の端末１１，１２）へのパケットの転送を抑制することができる。それゆえ、２つの業務サーバ１８１ａ，１８１ｂからユーザネットワーク１７０に向かう通信におけるセキュリティを強化することができる。
【０１５６】
加えて、認証成功した端末についての転送経路を、認証ＶＲＦフォワーディングテーブル１５４ａからコピーするようにしているので、第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂから第１端末１１及び第２端末１２に最初にパケットを送信する際に、改めてネクストホップを解決せずに済む。したがって、第１端末１１及び第２端末１２は、認証成功後、迅速に第１業務サーバ１８１ａ又は第２業務サーバ１８１ｂとの通信を行うことができる。
【０１５７】
Ｅ．第５の実施例：
Ｅ１．システム構成：
図３５は、第５の実施例のネットワークシステムの構成を示す説明図である。第５の実施例のネットワークシステム１０ｃは、パケット転送装置１００ｂが、認証ＶＲＦフォワーディングテーブル１５４ａと第１業務ＶＲＦフォワーディングテーブル１５４ｂと第２業務ＶＲＦフォワーディングテーブル１５４ｃと端末ＶＲＦフォワーディングテーブル１５６とに代えて、統合ＶＲＦフォワーディングテーブル１５９を備えている点と、ＶＲＦ判定テーブル１５８ａの設定内容において、第２の実施例のネットワークシステム１０ａ（図１３）と異なり、他の構成は第２の実施例と同じである。
【０１５８】
第５の実施例では、パケット転送装置１００ｂの各インタフェース１１１〜１１４や、各端末１１，１２や、各サーバ１９１，１９２，１８１ａ，１８１ｂへの各転送経路を、統合ＶＲＦフォワーディングテーブル１５９のエントリとして設定することにより、同一の転送経路を複数のテーブルに重複して記述することを避け、パケット転送装置１００ｂ内のメモリ１５０の容量を低減させるように構成されている。なお、第５の実施例のネットワークシステム１０ｃは、転送経路を記述したテーブルとして、統合ＶＲＦフォワーディングテーブル１５９のみを備えているので、いわゆるＶＲＦ機能を有していない。しかしながら、統合ＶＲＦフォワーディングテーブル１５９において、転送経路を検索する際に参照するエントリの範囲をパケットの送信元に応じて変えることにより、仮想的にＶＲＦ機能を実現している。
【０１５９】
図３６は、第５の実施例のＶＲＦ判定テーブル１５８ａを示す説明図である。なお、図３６では、初期状態におけるＶＲＦ判定テーブル１５８ａを示す。このＶＲＦ判定テーブル１５８ａは、ＶＲＦフォワーディングテーブル種別フィールドに代えて、認証有無フィールド及び仮想ＶＲＦフィールドを備えている点において、図１５に示す第２の実施例のＶＲＦ判定テーブル１５８と異なり、他の構成は、第２の実施例と同じである。
【０１６０】
認証有無フィールドは、認証（認証及び検疫）が成功しているか否かを示す。この認証有無フィールドの値が「未」とは認証成功前であることを示し、「済み」とは認証成功済みであることを示す。なお、認証有無フィールドの値が「＊」とは認証成功前及び認証成功済みのいずれでもよいことを示す。
【０１６１】
仮想ＶＲＦフィールドは、仮想的なＶＲＦ機能を実現するために用いられる仮想ＶＲＦフォワーディングテーブルを特定する。この仮想ＶＲＦフィールドの値が「第１業務」とは仮想的な第１業務ＶＲＦフォワーディングテーブル（第１業務仮想ＶＲＦフォワーディングテーブル）を示し、「第２業務」とは仮想的な第２業務ＶＲＦフォワーディングテーブル（第２業務仮想ＶＲＦフォワーディングテーブル）を示す。仮想ＶＲＦフィールドの値が「＊」とは、第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよいことを示す。なお、第１業務仮想ＶＲＦフォワーディングテーブルは、第１業務ネットワーク１８０ａからのパケットの転送経路を検索するために用いられる仮想的なＶＲＦフォワーディングテーブルを意味し、第２業務仮想ＶＲＦフォワーディングテーブルは、第２業務ネットワーク１８０ｂからのパケットの転送経路を検索するために用いられる仮想的なＶＲＦフォワーディングテーブルを意味する。
【０１６２】
図３６に示すように、初期状態において、ＶＲＦ判定テーブル１５８ａには、図１５に示すＶＲＦ判定テーブル１５８と同様に、第１〜４エントリが設定されている。なお、図３６に示す各エントリにおけるインタフェース番号，判定種別及びＭＡＣアドレスの各フィールドには、図１５に示すＶＲＦ判定テーブル１５８の各フィールドと同じ値が設定されているので、説明を省略する。ＶＲＦ判定テーブル１５８ａの初期状態における第１エントリには、認証有無フィールドに「未」が、仮想ＶＲＦフィールドに「＊」が設定されている。また、第２エントリには認証有無「＊」及び仮想ＶＲＦ「＊」が、第３エントリには認証有無「済み」及び仮想ＶＲＦ「第１業務」が、第４エントリには認証有無「済み」及び仮想ＶＲＦ「第２業務」が、それぞれ設定されている。
【０１６３】
これらの４つのエントリは、ネットワークシステム１０ｃの初期コンフィグレーションの際に、ＶＲＦ判定制御部１２８により生成される。具体的には、ＶＲＦ判定制御部１２８は、図１４に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、ＶＲＦ判定制御部１２８は、役割種別が「認証対象端末」のインタフェース（第１インタフェース１１１）に対しては、認証有無を「未」に、仮想ＶＲＦを「＊」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８ａに追加する。また、ＶＲＦ判定制御部１２８は、役割種別が「認証前」のインタフェース（第２インタフェース１１２）に対しては、認証有無及び仮想ＶＲＦを「＊」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８ａに追加する。また、ＶＲＦ判定制御部１２８は、役割種別が「第１業務」のインタフェース（第３インタフェース１１３）に対しては、認証有無を「済み」に、仮想ＶＲＦを「第１業務」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８ａに追加する。また、ＶＲＦ判定制御部１２８は、役割種別が「第２業務」のインタフェース（第４インタフェース１１４）に対しては、認証有無を「済み」に、仮想ＶＲＦを「第２業務」に、それぞれ設定したエントリをＶＲＦ判定テーブル１５８ａに追加する。
【０１６４】
上述した第２の実施例のＶＲＦ判定テーブル１５８ａは、受信したパケットについて、インタフェース番号，判定種別及びＭＡＣアドレスに基づき、ＶＲＦフォワーディングテーブル種別の値（すなわち、検索使用ＶＲＦフォワーディングテーブル）を決定するのに用いられていた。これに対し、第５の実施例のＶＲＦ判定テーブル１５８ａは、インタフェース番号，判定種別及びＭＡＣアドレスに基づき、認証の有無と、転送経路を検索するために用いる仮想ＶＲＦフォワーディングテーブル（以下、「検索使用仮想ＶＲＦフォワーディングテーブル」と呼ぶ）とを決定するのに用いられる。
【０１６５】
図３７は、第５の実施例の統合ＶＲＦフォワーディングテーブル１５９を示す説明図である。なお、図３７では、初期状態における統合ＶＲＦフォワーディングテーブル１５９を示す。この統合ＶＲＦフォワーディングテーブル１５９は、認証有無フィールド及び仮想ＶＲＦフィールドを備えている点において、第２の実施例の各ＶＲＦフォワーディングテーブル１５４ａ〜１５４ｃと異なり、他の構成は第２の実施例と同じである。
【０１６６】
統合ＶＲＦフォワーディングテーブル１５９の認証有無フィールド及び仮想ＶＲＦフィールドの意味は、図３６に示すＶＲＦ判定テーブル１５８ａの認証有無フィールド及び仮想ＶＲＦフィールドの意味と同じである。
【０１６７】
図３７に示すように、統合ＶＲＦフォワーディングテーブル１５９には、初期状態において４つのエントリ（第１〜４エントリ）が設定されている。第１エントリには、認証有無「未」，仮想ＶＲＦフィールド「＊」，ＩＰアドレス「１０．０．０．１０」，サブネットマスク長「２４」，出力インタフェース番号フィールド「ＩＦ１」及びネクストホップフィールド「未定」が、それぞれ設定されている。第２エントリには、認証有無「＊」，仮想ＶＲＦフィールド「＊」，ＩＰアドレス「１１．０．０．１１」，サブネットマスク長「２４」，出力インタフェース番号フィールド「ＩＦ２」及びネクストホップフィールド「未定」が、それぞれ設定されている。第３エントリには、認証有無「済み」，仮想ＶＲＦフィールド「第１業務」，ＩＰアドレス「１２．０．０．１２」，サブネットマスク長「２４」，出力インタフェース番号フィールド「ＩＦ３」及びネクストホップフィールド「未定」が、それぞれ設定されている。第４エントリには、認証有無「済み」，仮想ＶＲＦフィールド「第２業務」，ＩＰアドレス「１３．０．０．１３」，サブネットマスク長「２４」，出力インタフェース番号フィールド「ＩＦ４」及びネクストホップフィールド「未定」が、それぞれ設定されている。
【０１６８】
これらの４つのエントリは、ネットワークシステム１０ｃの初期コンフィグレーションの際に、経路制御部１２４により生成される。具体的には、経路制御部１２４は、図１４に示すインタフェース役割種別テーブル１５２を参照し、各インタフェース１１１〜１１３に対して設定されている役割種別を取得する。次に、経路制御部１２４は、役割種別が「認証対象端末」のインタフェース（第１インタフェース１１１）について、認証有無を「未」に、仮想ＶＲＦを「＊」に、ＩＰアドレスを「当該インタフェースに設定されているＩＰアドレス（１０．０．０．１０）」に、サブネットマスク長を「当該インタフェースに設定されているサブネットマスク長（２４）」に、出力インタフェース番号を「当該インタフェースのインタフェース番号（ＩＦ１）」に、ネクストホップを「未定」に、それぞれ設定したエントリを作成する。また、経路制御部１２４は、役割種別が「認証前」のインタフェース（第２インタフェース１１２）について、認証有無を「＊」に、仮想ＶＲＦを「＊」に、ＩＰアドレスを「当該インタフェースに設定されているＩＰアドレス（１１．０．０．１１）」に、サブネットマスク長を「当該インタフェースに設定されているサブネットマスク長（２４）」に、出力インタフェース番号を「当該インタフェースのインタフェース番号（ＩＦ２）」に、ネクストホップを「未定」に、それぞれ設定したエントリを作成する。また、経路制御部１２４は、役割種別が「第１業務」のインタフェース（第３インタフェース１１３）について、認証有無を「済み」に、仮想ＶＲＦを「第１業務」に、ＩＰアドレスを「当該インタフェースに設定されているＩＰアドレス（１２．０．０．１２）」に、サブネットマスク長を「当該インタフェースに設定されているサブネットマスク長（２４）」に、出力インタフェース番号を「当該インタフェースのインタフェース番号（ＩＦ３）」に、ネクストホップを「未定」に、それぞれ設定したエントリを作成する。また、経路制御部１２４は、役割種別が「第２業務」のインタフェース（第４インタフェース１１４）について、認証有無を「済み」に、仮想ＶＲＦを「第２業務」に、ＩＰアドレスを「当該インタフェースに設定されているＩＰアドレス（１３．０．０．１３）」に、サブネットマスク長を「当該インタフェースに設定されているサブネットマスク長（２４）」に、出力インタフェース番号を「当該インタフェースのインタフェース番号（ＩＦ４）」に、ネクストホップを「未定」に、それぞれ設定したエントリを作成する。
【０１６９】
統合ＶＲＦフォワーディングテーブル１５９では、認証有無フィールド，仮想ＶＲＦ，宛先ＩＰアドレス及びサブネットマスク長を検索キーとして、出力インタフェース番号及びネクストホップ（経路情報）が検索される。なお、第５の実施例において、認証成功前後における転送経路の変化は、第２の実施例（図１９，２０参照）と同様である。
【０１７０】
Ｅ２．端末認証時の動作：
図３８は、第５の実施例のパケット転送処理の手順を示すフローチャートである。まず、第１端末１１について認証（認証及び検疫）を実行する場合のパケット転送処理について説明する。パケット転送装置１００ｂでは、認証サーバ１９１宛の認証用のパケットを受信するとパケット転送処理が実行される。この第５の実施例のパケット転送処理は、ステップＳ１０５に代えてステップＳ１０５ａを実行する点と、ステップＳ１１０に代えてステップＳ１１０ｂを実行する点と、ステップＳ１３０に代えてステップＳ１３０ａを実行する点と、ステップＳ１３５に代えてステップＳ１３５ａを実行する点と、において、図２１に示す第２の実施例のパケット転送処理と異なり、他の手順は第２の実施例と同じである。
【０１７１】
まず、ＶＲＦ判定制御部１２８は、受信したパケットの情報（受信したインタフェース及び送信元ＭＡＣアドレス）に基づき、認証有無及び仮想ＶＲＦを、ＶＲＦ判定テーブル１５８から取得する（ステップＳ１０５ａ）。例えば、第１端末１１について認証を行う場合には、図３６に示すインタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」及びＭＡＣアドレス「その他」が設定されている第１エントリが見つかり、認証有無として「未」と、仮想ＶＲＦとして「＊」とが取得される。
【０１７２】
次に、ＶＲＦ判定制御部１２８は、ステップＳ１０５ａで取得した認証有無の値と、仮想ＶＲＦの値とを含む検索キー（認証有無フィールド，仮想ＶＲＦ，宛先ＩＰアドレス及びサブネットマスク長）を用いて、統合ＶＲＦフォワーディングテーブル１５９から転送経路を検索する（ステップＳ１１０ｂ）。
【０１７３】
第１端末１１が認証用パケットを送信する際には、前述のステップＳ１０５ａにおいて、認証有無「未」と仮想ＶＲＦ「＊」とが取得されており、これらの値と、認証サーバ１９１の宛先ＩＰアドレス（１１．０．０．１）及びサブネットマスク長（３２）を検索キーとして統合ＶＲＦフォワーディングテーブル１５９が検索される。したがって、図３７に示す統合ＶＲＦフォワーディングテーブル１５９の各エントリのうち、第１エントリが見つかることとなる（ステップＳ１１５：ＹＥＳ）。
【０１７４】
ここで、図３７に示す統合ＶＲＦフォワーディングテーブル１５９の第１エントリでは、ネクストホップが解決されていないので、ネクストホップが解決される（ステップＳ１２０，Ｓ１２５）。経路制御部１２４は、ステップＳ１２５により解決されたネクストホップを含む転送経路のエントリを統合ＶＲＦフォワーディングテーブル１５９に追加する（ステップＳ１３０ａ）。
【０１７５】
図３９は、認証成功前において第１端末１１と認証サーバ１９１との間でパケットのやりとりがなされた後の統合ＶＲＦフォワーディングテーブル１５９を示す説明図である。上述のように、認証動作において、第１端末１１から認証サーバ１９１に最初にパケットを送信する際にステップＳ１３０ａが実行されると、図３９に示す第５エントリが追加される。なお、この時点では、図３９に示す第６エントリは追加されていない。
【０１７６】
第１端末１１から認証サーバ１９１に最初にパケットを送信する際のステップＳ１３０ａにおいて新たに追加されるエントリの認証有無フィールド及び仮想ＶＲＦフィールドの値は、ネクストホップを解決する際に用いられたインタフェースについてのエントリに設定されている認証有無フィールド及び仮想ＶＲＦフィールドの値が設定される。したがって、第５エントリでは、第２インタフェース１１２についてのエントリ（第２エントリ）における認証有無フィールドの値「＊」と、仮想ＶＲＦフィールドの値「＊」とが、それぞれ認証有無フィールド及び仮想ＶＲＦフィールドに設定されている。
【０１７７】
次に、パケット転送処理部１２６は、受信したパケットをＶＲＦフォワーディングテーブルに従って転送する（ステップＳ１３５）。したがって、認証サーバ１９１宛のパケットは、図３９の第５エントリに記述された転送経路に従い、認証サーバ１９１へと転送される。
【０１７８】
認証成功前において認証サーバ１９１から第１端末１１にパケットが送信される際にもパケット転送処理が実行され、統合ＶＲＦフォワーディングテーブル１５９に図３９に示す第６エントリが追加される。また、その後第１端末１１について検疫が実行され、第２端末１２について認証及び検疫が実行されると、統合ＶＲＦフォワーディングテーブル１５９に、検疫サーバ１９２及び第２端末１２への転送経路をそれぞれ記述したエントリが追加される（図示省略）。
【０１７９】
なお、第２の実施例でも述べたように、第１端末１１及び第２端末１２について認証（認証及び検疫）が成功すると、認証処理部１２２は、認証成功の旨と、アクセスが許可されたネットワークの情報（第１端末１１：第１業務ネットワーク１８０ａ，第２端末１２：第１業務ネットワーク１８０ａ及び第２業務サーバ１８１ｂ）を、ＶＲＦ判定制御部１２８に通知する。
【０１８０】
図４０は、第５の実施例におけるエントリ更新処理の手順を示すフローチャートである。第５の実施例のエントリ更新処理は、ステップＳ２１０ａに代えてステップＳ２１０ｂを実行する点と、ステップＳ２３０を実行する点と、において図２２に示す第２の実施例におけるＶＲＦ判定テーブルのエントリ追加処理と異なり、他の手順は第２の実施例と同じである。
【０１８１】
端末の認証成功を判定した場合（ステップＳ２０５：ＹＥＳ）、ＶＲＦ判定制御部１２８は、認証成功した端末について、アクセス許可されたネットワークからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルと対応付けるエントリを、ＶＲＦ判定テーブル１５８に追加する（ステップＳ２１０ｂ）。
【０１８２】
図４１は、第１端末１１及び第２端末１２の認証成功後に、これら２つの端末１１，１２についてのエントリが追加された後のＶＲＦ判定テーブル１５８ａを示す説明図である。第１端末１１にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａである。第１業務ネットワーク１８０ａからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルは、第１業務仮想ＶＲＦフォワーディングテーブルである（ＶＲＦ判定テーブル１５８ａの第３エントリ参照）。したがって、第１端末１１が認証成功した場合に、ＶＲＦ判定制御部１２８は、インタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「ｍａｃ１」，認証有無「済み」及び仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が設定されたエントリ（第５エントリ）をＶＲＦ判定テーブル１５８に追加する。
【０１８３】
また、第２端末１２にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａ及び２業務ネットワーク１８０ｂである。第１業務ネットワーク１８０ａからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルは、第１業務ＶＲＦフォワーディングテーブル１５４ｂである（ＶＲＦ判定テーブル１５８の第３エントリ参照）。また、第２業務ネットワーク１８０ｂからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルは、第２業務仮想ＶＲＦフォワーディングテーブル１５４ｃである（ＶＲＦ判定テーブル１５８の第４エントリ参照）。したがって、第２端末１２が認証成功した場合に、ＶＲＦ判定制御部１２８は、インタフェース番号「ＩＦ１」，判定種別「ＭＡＣアドレス」，ＭＡＣアドレス「ｍａｃ２」，認証有無「済み」及び仮想ＶＲＦ「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」が設定されたエントリ（第６エントリ）をＶＲＦ判定テーブル１５８に追加する。
【０１８４】
前述のステップＳ２１０ｂを実行した後、経路制御部１２４は、認証成功した端末についての統合ＶＲＦフォワーディングテーブル１５９のエントリを更新する（ステップＳ２３０）。具体的には、経路制御部１２４は、認証成功した端末についてのエントリにおいて、認証有無フィールドの値を「済み」に書き替え、仮想ＶＲＦフィールドの値を、アクセス許可されたネットワークからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルを示す値に設定する。
【０１８５】
図４２は、第１端末１１及び第２端末１２についての認証成功後の統合ＶＲＦフォワーディングテーブル１５９を示す説明図である。図４２では、２つの端末１１，１２について認証成功し、その後、第１端末１１及び第２端末１２が第１業務サーバ１８１ａ及び第２業務サーバ１８１ｂにアクセスした後の統合ＶＲＦフォワーディングテーブル１５９を示す。
【０１８６】
認証成功前において、統合ＶＲＦフォワーディングテーブル１５９における第１端末１１についてのエントリでは、図３９の第６エントリに示すように、認証有無フィールドの値は「未」に、仮想ＶＲＦフィールドの値は「＊」に、それぞれ設定されている。ステップＳ２３０では、この認証有無フィールドの値を、「未」から「済み」に書き換える。また第１端末１１にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａであるので、図４２の第６エントリに示すように、仮想ＶＲＦフィールドの値を「＊」から「第１業務仮想ＶＲＦフォワーディングテーブル」に書き換える。
【０１８７】
また、第２端末１２にアクセス許可されたネットワークは、第１業務ネットワーク１８０ａ及び第２業務ネットワーク１８０ｂである。第１，２業務ネットワーク１８０ａ，１８０ｂからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルは、第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルである。この場合、図４２の第８エントリに示すように、仮想ＶＲＦフィールドの値を「＊」（いずれの仮想ＶＲＦフォワーディングテーブルでもよい）に書き換えることとなる。ただし認証成功前の仮想ＶＲＦの値も「＊」であるので書き換えは行われない。なお、第８エントリでは、第６エントリと同様に、認証有無フィールドの値は、「未」から「済み」に書き換えられる。
【０１８８】
本実施例では、図４２において、仮想ＶＲＦフィールドの値が「＊」及び「第１業務」のエントリは、請求項における第１の転送経路テーブルに相当する。また、仮想ＶＲＦフィールドの値が「＊」及び「第２業務」のエントリは、請求項における第２の転送経路テーブルに相当する。
【０１８９】
Ｅ３．端末認証成功後のパケット転送処理：
認証成功後に、第１端末１１から第１業務サーバ１８１ａにパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第５エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」，第１業務サーバ１８１ａのＩＰアドレス（１２．０．０．１／３２）及びサブネットマスク長「３２」を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、第９エントリがヒットし、この第９エントリの経路情報に基づき、パケットが転送される。
【０１９０】
ここで、統合ＶＲＦフォワーディングテーブル１５９から転送経路が検索される際に、検索キーに含まれる仮想ＶＲＦの値「第１業務仮想ＶＲＦフォワーディングテーブル」により、第４，１０エントリは、宛先ＩＰアドレスやサブネットマスク長を検索するまでもなく候補からはずれることとなる。第４，１０エントリは、第４インタフェース１１４への転送経路及び第２業務サーバ１８１ｂへの転送経路を示す。したがって、これら転送経路については、第１端末１１から第１業務サーバ１８１ａへのパケットの転送経路を検索する際に、確実に経路情報を参照されることはない。この例からも理解できるように、すくなくとも仮想ＶＲＦフィールドの値が異なるエントリについては、確実に経路情報を参照されないようにすることができ、パケット転送装置１００ｂはＶＲＦ機能を実現できる。
【０１９１】
認証成功後に、第１業務サーバ１８１ａから第１端末１１にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第３エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」と、第１端末１１のＩＰアドレス（１０．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、図４２に示す第６エントリがヒットし、この第６エントリの経路情報に基づき、パケットが転送される。
【０１９２】
認証成功後に、第２端末１２から第１業務サーバ１８１ａにパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第６エントリから、認証有無「済み」，仮想ＶＲＦ「＊」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「＊」と、第１業務サーバ１８１ａのＩＰアドレス（１２．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」であるので、図４２に示す第９エントリがヒットし、この第９エントリの経路情報に基づき、パケットが転送される。
【０１９３】
認証成功後に、第１業務サーバ１８１ａから第２端末１２にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第３エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」と、第２端末１２のＩＰアドレス（１０．０．０．２／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。ここで、図４２に示す統合ＶＲＦフォワーディングテーブル１５９の第８エントリでは、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」であるので、この第８エントリがヒットする。したがって、この第８エントリの経路情報に基づき、パケットが転送される。
【０１９４】
認証成功後に、第２端末１２から第２業務サーバ１８１ｂにパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第６エントリから、認証有無「済み」，仮想ＶＲＦ「＊」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「＊」と、第２業務サーバ１８１ｂのＩＰアドレス（１３．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」であるので、図４２に示す第１０エントリがヒットし、この第１０エントリの経路情報に基づき、パケットが転送される。
【０１９５】
認証成功後に、第２業務サーバ１８１ｂから第２端末１２にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第４エントリから、認証有無「済み」，仮想ＶＲＦ「第２業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第２業務仮想ＶＲＦフォワーディングテーブル」と、第２端末１２のＩＰアドレス（１０．０．０．２／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。ここで、図４２に示す統合ＶＲＦフォワーディングテーブル１５９の第８エントリでは、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」であるので、この第８エントリがヒットする。したがって、この第８エントリの経路情報に基づき、パケットが転送される。
【０１９６】
認証成功後に、第１端末１１から認証サーバ１９１にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第５エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」と、認証サーバ１９１のＩＰアドレス（１１．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。ここで、図４２に示す統合ＶＲＦフォワーディングテーブル１５９の第５エントリでは、認証有無フィールドの値が「＊（認証成功前後のいずれでもよい）」であり、仮想ＶＲＦフィールドの値が「＊（第１業務仮想ＶＲＦフォワーディングテーブル及び第２業務仮想ＶＲＦフォワーディングテーブルのいずれでもよい）」である。したがって、この第５エントリがヒットし、この第５エントリの経路情報に基づき、パケットが転送される。
【０１９７】
認証成功後に、認証サーバ１９１から第１端末１１にパケットを送信する場合、図３８に示すステップＳ１０５ａにおいて、図４１に示すＶＲＦ判定テーブル１５８ａの第２エントリから、認証有無「＊」，仮想ＶＲＦ「＊」が取得される。ステップＳ１１０ｂでは、認証有無「＊」，仮想ＶＲＦ「＊」と、第１端末１１のＩＰアドレス（１０．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。この場合、図４２に示す第６エントリがヒットし、この第６エントリの経路情報に基づき、パケットが転送される。
【０１９８】
認証成功後に、第１端末１１から、アクセス許可されていない第２業務ネットワーク１８０ｂ内の第２業務サーバ１８１ｂにパケットを送信する場合について説明する。この場合、図４１に示すＶＲＦ判定テーブル１５８ａの第３エントリから、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」が取得される。ステップＳ１１０ｂでは、認証有無「済み」，仮想ＶＲＦ「第１業務仮想ＶＲＦフォワーディングテーブル」と、第２業務サーバ１８１ｂのＩＰアドレス（１３．０．０．１／３２）を検索キーとして、統合ＶＲＦフォワーディングテーブル１５９において転送経路が検索される。ここで、図４２に示す第２業務サーバ１８１ｂへの転送経路を示す第１０エントリでは、仮想ＶＲＦフィールドの値として「第２業務仮想ＶＲＦフォワーディングテーブル」のみが設定されている。したがって、この第１０エントリはヒットせず、第１端末１１から送信されたパケットは第２業務サーバ１８１ｂに転送されずに、廃棄される。
【０１９９】
Ｅ４．エントリ削除処理：
図４３は、第５の実施例のエントリ削除処理の手順を示すフローチャートである。第５の実施例のエントリ削除処理は、ステップＳ３１５を実行する点において、図１２に示す第１の実施例のＶＲＦ判定テーブル１５８のエントリ削除処理と異なり、他の手順は第１の実施例と同じである。
【０２００】
図４３に示すステップＳ３１０において、認証解除された端末についてのエントリをＶＲＦ判定テーブル１５８ａから削除した後、経路制御部１２４は、認証解除された端末についてのエントリを統合ＶＲＦフォワーディングテーブル１５９から削除する。具体的には、第２端末１２について認証解除された場合、図４２に示す第８エントリが削除される。このように、ＶＲＦ判定テーブル１５８ａに加えて、統合ＶＲＦフォワーディングテーブル１５９からも認証解除された端末についてのエントリを削除することにより、認証解除された端末への転送経路が、他の装置への転送経路を検索する際に参照されることを抑制し、セキュリティを向上させるように構成されている。
【０２０１】
以上説明した第５の実施例のネットワークシステム１０ｃは、第２の実施例のネットワークシステム１０ａと同じ効果を有する。加えて、各転送経路を統合ＶＲＦフォワーディングテーブル１５９のエントリに設定することにより、同一の転送経路を複数のテーブルに重複して記述することを避け、パケット転送装置１００ａ内のメモリ容量を抑えることができる。
【０２０２】
また、端末について認証成功した場合に、当該端末と、ＶＲＦ判定テーブル１５８ａにおいて、アクセス許可されたネットワークからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルとを対応付けるエントリを追加している。したがって、認証成功した端末からのパケットについて転送経路を検索する際に、仮想ＶＲＦフィールドの値が「検索使用仮想ＶＲＦフォワーディングテーブル」でない転送経路（すなわち、アクセス許可されていないネットワーク内の装置への転送経路）を参照されないようにすることができ、セキュリティを強化することができる。
【０２０３】
また、端末について認証成功した場合に、統合ＶＲＦフォワーディングテーブル１５９において、端末のエントリを更新し、アクセス許可されたネットワークからのパケットの検索使用仮想ＶＲＦフォワーディングテーブルと対応付ける。したがって、検索使用仮想ＶＲＦフォワーディングテーブルと対応付けられたネットワークに所属するサーバからのパケットのみを、認証成功した端末へ転送させることができ、他のネットワークに所属するサーバから認証成功した端末宛のパケットを廃棄することができる。それゆえ、ネットワークシステム１０ｃのセキュリティを強化することができる。
【０２０４】
Ｆ．変形例：
なお、上記各実施例における構成要素の中の、独立クレームでクレームされた要素以外の要素は、付加的な要素であり、適宜省略可能である。また、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。
【０２０５】
Ｆ１．変形例１：
第５の実施例では、ＶＲＦ判定テーブル１５８ａ及び統合ＶＲＦフォワーディングテーブル１５９において、検索使用仮想ＶＲＦフォワーディングテーブルを示すために、「仮想ＶＲＦ」フィールドを設けていたが、これに代えて、各仮想ＶＲＦフォワーディングテーブルに対応するフラグ（使用する又は使用しないを示すフラグ）を記述するフィールドを設けることもできる。このような構成においても、検索使用ＶＲＦフォワーディングテーブルに対応するフラグをそれぞれオン（「使用する」に設定）することにより、いずれの仮想ＶＲＦフォワーディングテーブルを検索使用ＶＲＦフォワーディングテーブルとするかを示すことができる。
【０２０６】
また、複数の仮想ＶＲＦフォワーディングテーブルを転送経路検索時において参照を許容する場合、参照を許容するテーブルの組み合わせ（グループ）について、各々対応するフラグを記述するフィールドを予め設けておき、これらフィールドの値（フラグのオン／オフ）により検索使用仮想ＶＲＦフォワーディングテーブルを示すこともできる。この構成においては、各テーブルの組み合わせと、どのフラグ（フィールド）を対応付けるのかを記述するテーブル（組み合わせテーブル）を設けておき、この組み合わせテーブルを参照して得られたフィールドのフラグをオンすることで、検索使用ＶＲＦフォワーディングテーブルを示すことができる。このような構成により、ＶＲＦ判定テーブル１５８ａ及び統合ＶＲＦフォワーディングテーブル１５９において、エントリ数を低減させることができると共に、各仮想ＶＲＦフォワーディングテーブルに対応するフラグを設ける構成に比べて各エントリにおける情報量を減らすことができ、パケット転送装置が備えるメモリの容量を低減させることができる。
【０２０７】
Ｆ２．変形例２：
各実施例では、端末が認証動作として実行する処理は、認証処理と検疫処理とであったが、認証処理及び検疫処理のいずれか一方でもよい。すなわち、一般には、認証処理と検疫処理とのうち、少なくとも一方を実行するサーバを備える構成を、本発明のネットワークシステムに採用することができる。
【０２０８】
Ｆ３．変形例３：
パケットの送信元を識別するために使用する情報は、第１の実施例ではＭＡＣアドレスであり、第３の実施例ではＩＰアドレスであったが、本発明はこれらに限定されるものではない。例えば、ＭＡＣアドレス及びＩＰアドレスの両方を用いて、パケットの送信元を識別することもできる。このような構成により、パケットの送信元をより正確に識別することができるため、ＩＰアドレスの詐称やＭＡＣアドレスの詐称などの不正な行為による不正アクセスを抑制できる。また、レイヤ３パケットとして、ＩＰパケットに代えてＩＰＸ（Internetwork Packet eXchange）パケットを用いる構成においては、ＩＰアドレスに代えて、ＩＰＸのアドレスを用いてパケットの送信元を識別することができる。
【０２０９】
Ｆ４．変形例４：
各実施例では、各端末１１，１２に対して、予めＩＰアドレスが割り当てられていたが、これに代えて、ＤＨＣＰに従いＩＰアドレスを動的に割り当てることもできる。この構成においても、上述した各実施例のネットワークシステムの効果を奏することができる。また、各実施例では端末が所属するネットワーク側のＶＬＡＮを１つにできるので、ＤＨＣＰサーバを１つ設置すればよく、また、ＤＨＣＰサーバに特殊な機能を追加することがないので、複数台のＤＨＣＰサーバを設置し、かつ、ＤＨＣＰサーバに特殊な機能を追加する構成に比べてネットワークシステム１０，１０ａ〜１０ｃの構築コストを抑えられる。
【０２１０】
Ｆ５．変形例５：
各実施例では、フォワーディングテーブルの「ネクストホップ」フィールドに設定される値は、パケットの具体的な送信先のＭＡＣアドレスであったが、本発明はこれに限定されるものではない。具体的には、各フォワーディングテーブルとは別にＡＲＰテーブルを設ける構成とし、「ネクストホップ」フィールドには、ＡＲＰテーブルを参照する際のキーとなる宛先ＩＰアドレスを設定することもできる。この構成では、パケット転送処理部１２６は、パケット転送処理のステップＳ１２５において、宛先ＩＰアドレスをキーとして、ＡＲＰテーブルを検索してパケットの送信先となるＭＡＣアドレスを取得することができる。
【０２１１】
Ｆ６．変形例６：
各実施例では、各フォワーディングテーブルの初期状態の値は、インタフェース役割種別テーブル１５２に基づき、経路制御部１２４やＶＲＦ判定制御部１２８によって生成されていたが、本発明はこれに限定されるものではない。インタフェース役割種別テーブル１５２を備えない構成とし、ネットワーク管理者等が手動で設定することもできる。このような構成においても、各実施例のネットワークシステムと同様な効果を奏する。加えて、インタフェース役割種別テーブル１５２を備えないため、パケット転送装置１００，１００ａ，１００ｂが備えるメモリの容量を低減でき、ネットワークシステム１０，１０ａ〜１０ｃの構築コストを抑えることができる。
【０２１２】
Ｆ７．変形例７：
各実施例では、ＩＰアドレスとして、ＩＰｖ４を採用していたが、これに代えて、ＩＰｖ６を採用することができる。かかる構成においても、各実施例のネットワークシステムと同様な効果を奏する。加えて、各実施例では端末が所属するネットワーク側のＶＬＡＮを１つにできるので、パケット転送装置１００からのＲＡ（Router Advertisement）を１つだけにすることができ、同一の端末において２つのＩＰアドレスを生成することを抑制できる。
【０２１３】
Ｆ８．変形例８：
第１〜４の実施例では、ＶＲＦ判定テーブル１５８において、認証前の任意の端末が利用するエントリ（例えば、図３に示す第１エントリ）を用意していたが、これに代えて、予めユーザネットワーク１７０に所属し得る端末について、それぞれＶＲＦフォワーディングテーブル種別フィールドを「端末ＶＲＦ」とするエントリを作成しておき、認証成功後に、認証成功した端末についてのエントリにおいてＶＲＦフォワーディングテーブル種別フィールドを更新することもできる。
【０２１４】
Ｆ９．変形例９：
第１〜４の実施例では、端末１１，１２から送信されるパケットについて用いる検索使用ＶＲＦフォワーディングテーブルを決定するために、ＶＲＦ判定テーブル１５８を用いていたが、ＶＲＦ判定テーブルを用いずに決定することもできる。具体的には、例えば、第１の実施例のステップＳ１０５に代えて、パケット転送処理部１２６は、受信したパケットの送信元ＩＰアドレスに基づき端末から送信されたパケットであるか否かを判定し、端末から送信されたパケットである場合に、認証処理部１２２に当該端末について認証が成功したか否かを問い合わせる。パケット転送処理部１２６は、認証成功の旨を通知された場合に検索使用ＶＲＦフォワーディングテーブルとして認証後ＶＲＦフォワーディングテーブルを決定し、認証未成功の旨を通知された場合に検索使用ＶＲＦフォワーディングテーブルとして端末ＶＲＦフォワーディングテーブルを決定する。このような構成においても、各実施例のネットワークシステム１０，１０ａ〜１０ｃと同じ効果を奏する。
【符号の説明】
【０２１５】
１０，１０ａ〜１０ｃ…ネットワークシステム、１１…第１端末、１２…第２端末、１００，１００ａ，１００ｂ…パケット転送装置、１１１…第１インタフェース、１１２…第２インタフェース、１１３…第３インタフェース、１１４…第４インタフェース、１２２…認証処理部、１２４…経路制御部、１２６…パケット転送処理部、１２８…ＶＲＦ判定制御部、１５２…インタフェース役割種別テーブル、１５４…認証後ＶＲＦフォワーディングテーブル、１５４ａ…認証ＶＲＦフォワーディングテーブル、１５４ｂ…第１業務ＶＲＦフォワーディングテーブル、１５４ｃ…第２業務ＶＲＦフォワーディングテーブル、１５６…端末ＶＲＦフォワーディングテーブル、１５８…ＶＲＦ判定テーブル、１７０…ユーザネットワーク、１７１…レイヤ２スイッチ、１７２…ルータ、１８０…業務ネットワーク、１８０ａ…第１業務ネットワーク、１８０ｂ…第２業務ネットワーク、１８１…業務サーバ、１８１ａ…第１業務サーバ、１８１ｂ…第２業務サーバ、１９０…認証ネットワーク、１９１…認証サーバ、１９２…検疫サーバ、１９３…アクセス許可テーブル、２００…アクセスネットワーク
【特許請求の範囲】
【請求項１】
ネットワークシステムであって、
第１のネットワークと、
前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバと、
前記認証サーバが所属する第２のネットワークと、
前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、
前記第１ないし第３のネットワークに所属し、パケットを転送するパケット転送装置であって、
少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する転送経路テーブル格納部と、
前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する転送経路テーブル決定部と、
を有するパケット転送装置と、
を備える、ネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムにおいて、さらに、
パケットの送信元を識別する送信元識別子と前記検索転送経路テーブルとを対応付ける検索転送経路テーブル決定テーブルと、
前記検索転送経路テーブル決定テーブルを更新するテーブル更新部と、
を備え、
前記転送経路テーブル決定部は、受信したパケットについて、前記検索転送経路テーブル決定テーブルに基づき前記検索転送経路テーブルを決定し、
前記検索転送経路テーブル決定テーブルには、前記認証サーバにより前記端末について認証成功と判定される前に、予め、前記端末の前記送信元識別子と前記第１の転送経路テーブルとが対応付けられており、
前記テーブル更新部は、前記認証サーバにより前記端末について認証成功と判定された後に、前記端末の前記送信元識別子と前記第２の転送経路テーブルとを対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【請求項３】
請求項１または請求項２に記載のネットワークシステムにおいて、
前記第３のネットワークを複数備え、
前記転送経路テーブル格納部は、互いに異なる前記第３のネットワークに所属する所定のデバイスへのパケットの経路情報と、前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報と、を含む複数の前記第２の転送経路テーブルを格納し、
前記認証サーバは、前記転送経路テーブル決定部に対して、前記認証処理の結果と前記複数の第３のネットワークのうち接続を許可するネットワークである１つ以上の許可ネットワークに関する情報とを通知し、
前記転送経路テーブル決定部は、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する前記検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記複数の第２の転送経路テーブルのうち、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルを、前記端末からのパケットに適用する前記検索転送経路テーブルとして決定する、ネットワークシステム。
【請求項４】
請求項２または請求項３に記載のネットワークシステムにおいて、
前記パケットはＩＰパケットであり、
前記送信元識別子は、ＭＡＣアドレス及びＩＰアドレスのうち、少なくとも一方である、ネットワークシステム。
【請求項５】
請求項１ないし請求項４のいずれかに記載のネットワークシステムにおいて、
前記転送経路テーブル決定部は、前記第１のネットワークに所属された前記端末が前記認証サーバにより認証が解除されると、前記端末からのパケットに適用する前記検索転送経路テーブルとして、前記第２の転送経路テーブルから前記第１の転送経路テーブルに戻す、ネットワークシステム。
【請求項６】
請求項３に記載のネットワークシステムにおいて、さらに、
パケットの転送経路を決定する転送経路決定部と、
前記転送経路テーブル格納部に格納されている転送経路テーブルを更新する転送経路テーブル更新部と、
を備え、
前記転送経路テーブル格納部は、前記第１の転送経路テーブルと前記第２の転送経路テーブルとに加えて、少なくとも前記第１のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第３の転送経路テーブルを格納し、
前記転送経路テーブル決定部は、各第３のネットワークから前記第１及び第２のネットワークにパケットを転送する際に、前記検索転送経路テーブルとして前記第２の転送経路テーブルを決定し、前記第２のネットワークから前記第１のネットワークに前記パケットを転送する際に、前記検索転送経路テーブルとして前記第３の転送経路テーブルを決定し、
前記転送経路テーブル更新部は、前記認証処理において前記認証サーバから前記端末にパケットを転送する際に、前記転送経路決定部により決定された前記端末へのパケットの経路情報である端末経路情報を、前記第３の転送経路テーブルに追加し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第３の転送経路テーブルから前記端末経路情報を取得し、前記複数の第２の転送経路テーブルのうち、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルに、前記端末経路情報をコピーする、ネットワークシステム。
【請求項７】
請求項６に記載のネットワークシステムにおいて、
前記転送経路テーブル更新部は、前記第１のネットワークに所属された前記端末が前記認証サーバにより認証が解除されると、前記第２の転送経路テーブルから前記端末経路情報を削除する、ネットワークシステム。
【請求項８】
請求項２に記載のネットワークシステムにおいて、さらに、
パケットの転送経路を決定する転送経路決定部を備え、
前記第１の転送経路テーブルと前記第２の転送経路テーブルとは、統合転送経路テーブルとして構成され、
前記検索転送経路テーブル決定テーブルは、前記送信元識別子と前記認証処理の結果と前記検索転送経路テーブルを示す検索転送経路テーブル識別子とを対応付け、
前記統合転送経路テーブルは、前記第１の転送経路テーブル及び前記第２の転送経路テーブルに含まれる各経路情報と前記認証処理の結果と前記検索転送経路テーブル識別子とを対応付け、
前記検索転送経路テーブル決定テーブルには、前記認証サーバにより前記端末について認証成功と判定される前に、予め、前記端末の送信元識別子と、前記認証処理が成功していない旨の情報と、前記検索転送経路テーブル識別子として前記第１の転送経路テーブルを示す識別子と、が対応付けられており、
前記認証サーバは、前記テーブル更新部に対して、少なくとも前記認証記処理の結果を通知し、
前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨を通知されると、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記検索転送経路テーブル識別子として前記第２の転送経路テーブルの識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新し、
前記転送経路テーブル決定部は、受信したパケットについて、前記パケットの送信元識別子に基づき、前記検索転送経路テーブル決定テーブルを参照して、前記認証処理の結果及び前記検索転送経路テーブル識別子を取得し、
前記転送経路決定部は、前記転送経路テーブル決定部により取得された前記認証処理の結果及び前記検索転送経路テーブル識別子に基づき、前記統合転送経路テーブルを参照して、前記パケットについての転送経路を決定する、ネットワークシステム。
【請求項９】
請求項８に記載のネットワークシステムにおいて、
前記第３のネットワークを複数備え、
前記転送経路テーブル格納部は、互いに異なる前記第３のネットワークに所属する所定のデバイスへのパケットの経路情報と、前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報と、を含む複数の前記第２の転送経路テーブルを格納し、
前記認証サーバは、前記テーブル更新部に対して、前記認証処理の結果と、前記複数の第３のネットワークのうち接続を許可するネットワークである１つ以上の許可ネットワークと、を通知し、
前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨及び前記許可ネットワークを通知されると、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記検索転送経路テーブル識別子として、前記複数の第２の転送経路テーブルのうち前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルの識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【請求項１０】
請求項９に記載のネットワークシステムにおいて、さらに、
前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルの組み合わせと、各組み合せを示す組み合わせ識別子と、を対応付ける組み合わせテーブルを備え、
前記検索転送経路テーブル決定テーブル及び前記統合転送経路テーブルには、前記第２の転送経路テーブルについての前記検索転送経路テーブル識別子として、前記組み合わせ識別子が用いられ、
前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨及び前記許可ネットワークを通知されると、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルからなる組み合わせの組み合わせ識別子である許可組合せ識別子を、前記組み合わせテーブルから取得すると共に、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記許可組み合わせ識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【請求項１１】
第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属し、パケットを転送するパケット転送装置であって、
少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する転送経路テーブル格納部と、
前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する転送経路テーブル決定部と、
を備える、パケット転送装置。
【請求項１２】
第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属し、パケットを転送するパケット転送装置を用いたパケット転送方法であって、
（ａ）前記パケット転送装置において、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する工程と、
（ｂ）前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する工程と、
を備えるパケット転送方法。
【請求項１３】
第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属するコンピュータを用いたパケットを転送するためのプログラムであって、
前記コンピュータにおいて、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する機能と、
前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する機能と、
を前記コンピュータに実現させるためのプログラム。
【請求項１】
ネットワークシステムであって、
第１のネットワークと、
前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバと、
前記認証サーバが所属する第２のネットワークと、
前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、
前記第１ないし第３のネットワークに所属し、パケットを転送するパケット転送装置であって、
少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する転送経路テーブル格納部と、
前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する転送経路テーブル決定部と、
を有するパケット転送装置と、
を備える、ネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムにおいて、さらに、
パケットの送信元を識別する送信元識別子と前記検索転送経路テーブルとを対応付ける検索転送経路テーブル決定テーブルと、
前記検索転送経路テーブル決定テーブルを更新するテーブル更新部と、
を備え、
前記転送経路テーブル決定部は、受信したパケットについて、前記検索転送経路テーブル決定テーブルに基づき前記検索転送経路テーブルを決定し、
前記検索転送経路テーブル決定テーブルには、前記認証サーバにより前記端末について認証成功と判定される前に、予め、前記端末の前記送信元識別子と前記第１の転送経路テーブルとが対応付けられており、
前記テーブル更新部は、前記認証サーバにより前記端末について認証成功と判定された後に、前記端末の前記送信元識別子と前記第２の転送経路テーブルとを対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【請求項３】
請求項１または請求項２に記載のネットワークシステムにおいて、
前記第３のネットワークを複数備え、
前記転送経路テーブル格納部は、互いに異なる前記第３のネットワークに所属する所定のデバイスへのパケットの経路情報と、前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報と、を含む複数の前記第２の転送経路テーブルを格納し、
前記認証サーバは、前記転送経路テーブル決定部に対して、前記認証処理の結果と前記複数の第３のネットワークのうち接続を許可するネットワークである１つ以上の許可ネットワークに関する情報とを通知し、
前記転送経路テーブル決定部は、前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する前記検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記複数の第２の転送経路テーブルのうち、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルを、前記端末からのパケットに適用する前記検索転送経路テーブルとして決定する、ネットワークシステム。
【請求項４】
請求項２または請求項３に記載のネットワークシステムにおいて、
前記パケットはＩＰパケットであり、
前記送信元識別子は、ＭＡＣアドレス及びＩＰアドレスのうち、少なくとも一方である、ネットワークシステム。
【請求項５】
請求項１ないし請求項４のいずれかに記載のネットワークシステムにおいて、
前記転送経路テーブル決定部は、前記第１のネットワークに所属された前記端末が前記認証サーバにより認証が解除されると、前記端末からのパケットに適用する前記検索転送経路テーブルとして、前記第２の転送経路テーブルから前記第１の転送経路テーブルに戻す、ネットワークシステム。
【請求項６】
請求項３に記載のネットワークシステムにおいて、さらに、
パケットの転送経路を決定する転送経路決定部と、
前記転送経路テーブル格納部に格納されている転送経路テーブルを更新する転送経路テーブル更新部と、
を備え、
前記転送経路テーブル格納部は、前記第１の転送経路テーブルと前記第２の転送経路テーブルとに加えて、少なくとも前記第１のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第３の転送経路テーブルを格納し、
前記転送経路テーブル決定部は、各第３のネットワークから前記第１及び第２のネットワークにパケットを転送する際に、前記検索転送経路テーブルとして前記第２の転送経路テーブルを決定し、前記第２のネットワークから前記第１のネットワークに前記パケットを転送する際に、前記検索転送経路テーブルとして前記第３の転送経路テーブルを決定し、
前記転送経路テーブル更新部は、前記認証処理において前記認証サーバから前記端末にパケットを転送する際に、前記転送経路決定部により決定された前記端末へのパケットの経路情報である端末経路情報を、前記第３の転送経路テーブルに追加し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第３の転送経路テーブルから前記端末経路情報を取得し、前記複数の第２の転送経路テーブルのうち、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルに、前記端末経路情報をコピーする、ネットワークシステム。
【請求項７】
請求項６に記載のネットワークシステムにおいて、
前記転送経路テーブル更新部は、前記第１のネットワークに所属された前記端末が前記認証サーバにより認証が解除されると、前記第２の転送経路テーブルから前記端末経路情報を削除する、ネットワークシステム。
【請求項８】
請求項２に記載のネットワークシステムにおいて、さらに、
パケットの転送経路を決定する転送経路決定部を備え、
前記第１の転送経路テーブルと前記第２の転送経路テーブルとは、統合転送経路テーブルとして構成され、
前記検索転送経路テーブル決定テーブルは、前記送信元識別子と前記認証処理の結果と前記検索転送経路テーブルを示す検索転送経路テーブル識別子とを対応付け、
前記統合転送経路テーブルは、前記第１の転送経路テーブル及び前記第２の転送経路テーブルに含まれる各経路情報と前記認証処理の結果と前記検索転送経路テーブル識別子とを対応付け、
前記検索転送経路テーブル決定テーブルには、前記認証サーバにより前記端末について認証成功と判定される前に、予め、前記端末の送信元識別子と、前記認証処理が成功していない旨の情報と、前記検索転送経路テーブル識別子として前記第１の転送経路テーブルを示す識別子と、が対応付けられており、
前記認証サーバは、前記テーブル更新部に対して、少なくとも前記認証記処理の結果を通知し、
前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨を通知されると、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記検索転送経路テーブル識別子として前記第２の転送経路テーブルの識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新し、
前記転送経路テーブル決定部は、受信したパケットについて、前記パケットの送信元識別子に基づき、前記検索転送経路テーブル決定テーブルを参照して、前記認証処理の結果及び前記検索転送経路テーブル識別子を取得し、
前記転送経路決定部は、前記転送経路テーブル決定部により取得された前記認証処理の結果及び前記検索転送経路テーブル識別子に基づき、前記統合転送経路テーブルを参照して、前記パケットについての転送経路を決定する、ネットワークシステム。
【請求項９】
請求項８に記載のネットワークシステムにおいて、
前記第３のネットワークを複数備え、
前記転送経路テーブル格納部は、互いに異なる前記第３のネットワークに所属する所定のデバイスへのパケットの経路情報と、前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報と、を含む複数の前記第２の転送経路テーブルを格納し、
前記認証サーバは、前記テーブル更新部に対して、前記認証処理の結果と、前記複数の第３のネットワークのうち接続を許可するネットワークである１つ以上の許可ネットワークと、を通知し、
前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨及び前記許可ネットワークを通知されると、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記検索転送経路テーブル識別子として、前記複数の第２の転送経路テーブルのうち前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルの識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【請求項１０】
請求項９に記載のネットワークシステムにおいて、さらに、
前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルの組み合わせと、各組み合せを示す組み合わせ識別子と、を対応付ける組み合わせテーブルを備え、
前記検索転送経路テーブル決定テーブル及び前記統合転送経路テーブルには、前記第２の転送経路テーブルについての前記検索転送経路テーブル識別子として、前記組み合わせ識別子が用いられ、
前記テーブル更新部は、前記認証サーバより前記端末について認証処理が成功した旨及び前記許可ネットワークを通知されると、前記許可ネットワークに所属する所定のデバイスへのパケットの経路情報を含む前記第２の転送経路テーブルからなる組み合わせの組み合わせ識別子である許可組合せ識別子を、前記組み合わせテーブルから取得すると共に、前記端末の送信元識別子と、前記認証処理が成功した旨の情報と、前記許可組み合わせ識別子と、を対応付けるように、前記検索転送経路テーブル決定テーブルを更新する、ネットワークシステム。
【請求項１１】
第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属し、パケットを転送するパケット転送装置であって、
少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する転送経路テーブル格納部と、
前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する転送経路テーブル決定部と、
を備える、パケット転送装置。
【請求項１２】
第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属し、パケットを転送するパケット転送装置を用いたパケット転送方法であって、
（ａ）前記パケット転送装置において、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する工程と、
（ｂ）前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する工程と、
を備えるパケット転送方法。
【請求項１３】
第１のネットワークと、前記第１のネットワークに端末が所属した際に認証処理を実行する認証サーバが所属する第２のネットワークと、前記端末及び前記認証サーバが所属していない少なくとも１つの第３のネットワークと、に所属するコンピュータを用いたパケットを転送するためのプログラムであって、
前記コンピュータにおいて、少なくとも前記第２のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第１の転送経路テーブルと、少なくとも前記第２及び第３のネットワークに所属する所定のデバイスへのパケットの経路情報を含む第２の転送経路テーブルと、を格納する機能と、
前記認証サーバにより前記端末について認証成功と判定される前に、前記第１の転送経路テーブルを、前記端末からのパケットに適用する経路情報を検索する転送経路テーブルである検索転送経路テーブルとして決定し、前記認証サーバにより前記端末について認証成功と判定された後に、前記第２の転送経路テーブルを前記検索転送経路テーブルとして決定する機能と、
を前記コンピュータに実現させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図３８】
【図３９】
【図４０】
【図４１】
【図４２】
【図４３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図３８】
【図３９】
【図４０】
【図４１】
【図４２】
【図４３】
【公開番号】特開２０１１−４０９２８（Ｐ２０１１−４０９２８Ａ）
【公開日】平成２３年２月２４日（２０１１．２．２４）
【国際特許分類】
【出願番号】特願２００９−１８５５８０（Ｐ２００９−１８５５８０）
【出願日】平成２１年８月１０日（２００９．８．１０）
【出願人】（５０４４１１１６６）アラクサラネットワークス株式会社 (315)
【Ｆターム（参考）】
【公開日】平成２３年２月２４日（２０１１．２．２４）
【国際特許分類】
【出願日】平成２１年８月１０日（２００９．８．１０）
【出願人】（５０４４１１１６６）アラクサラネットワークス株式会社 (315)
【Ｆターム（参考）】
[ Back to top ]