ネットワーク中継装置及び転送制御システム
【課題】ＶＬＡＮに限定されず、個々の端末機器又は端末機器を使用する個々のユーザに対して、様々なポリシーを適用する。
【解決手段】認証サーバ２０は、所定のネットワーク認証方式を用いて各端末機器１０，１２，１４，１６の認証やこれらを使用するユーザの認証を実行する。また、ネットワーク中継装置１，２は、認証された各端末機器１０，１２，１４，１６から受信したユーザフレームを中継する過程で、個々の端末機器又はユーザに割り当てられたクラスＩＤに対応するポリシーに基づき、ユーザフレームをフィルタリングする。
【解決手段】認証サーバ２０は、所定のネットワーク認証方式を用いて各端末機器１０，１２，１４，１６の認証やこれらを使用するユーザの認証を実行する。また、ネットワーク中継装置１，２は、認証された各端末機器１０，１２，１４，１６から受信したユーザフレームを中継する過程で、個々の端末機器又はユーザに割り当てられたクラスＩＤに対応するポリシーに基づき、ユーザフレームをフィルタリングする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク中継装置及び転送制御システムに関する。
【背景技術】
【０００２】
従来、端末機器がスイッチングハブを介して接続されたネットワークや所定のサーバへの通信を実行する前に、スイッチングハブを介して接続された認証サーバが所定のネットワーク認証方式を用いて端末機器のユーザ個人を認証する先行技術が知られている（例えば、特許文献１参照。）。この先行技術では、スイッチングハブに端末機器やルータ等が接続されており、さらにルータを介してＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバ等が接続されている。
【０００３】
先行技術で用いられるＲＡＤＩＵＳサーバには、予めこれを管理する作業者により端末機器を使用するユーザを個別に識別するためのユーザＩＤとパスワード、及びユーザに割り当てられたＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ） ＩＤを登録しておくことができる。そしてＲＡＤＩＵＳサーバは、スイッチングハブに接続された端末機器を使用するユーザの認証を行い、認証が成功すると認証結果とともにＶＬＡＮ ＩＤを示す応答パケットをスイッチングハブへ通知する。スイッチングハブは受信した応答パケットに基づいて、認証に成功した端末機器が接続されているポートにＶＬＡＮを設定する。
【０００４】
このため上記の先行技術によれば、ＲＡＤＩＵＳサーバや端末機器を管理する作業者が、ＲＡＤＩＵＳサーバに端末機器に割り当てられたＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスやＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス等の送信元情報を登録しなくても、個々のユーザを識別するユーザＩＤとパスワード、及びユーザに対応するＶＬＡＮ ＩＤを予め登録しておけば、ユーザの認証とともにスイッチングハブのポートに対してＶＬＡＮを自動的に設定することができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−２８６５５８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、一般的に認証された端末機器から送信されたフレームをスイッチングハブにおいて受信した場合、スイッチングハブにてアクセスリストや、ルーティング、優先制御等のポリシー（フィルタリング条件）に基づいて受信したフレームをフィルタリングすることで、通信セキュリティの強化をさらに向上することができると考えられる。
【０００７】
しかしながら、スイッチングハブにおいて端末機器が接続されたポートにＶＬＡＮ ＩＤが設定されている場合、このＶＬＡＮ ＩＤ単位で共通のポリシーを適用することはできたとしても、現状では同一のＶＬＡＮ ＩＤに所属する個々のユーザに対して各種のポリシーを自由に設定することができない。
【０００８】
そこで本発明は、ＶＬＡＮに限定されず、個々の端末機器又は端末機器を使用する個々のユーザに対して、様々なポリシーを適用することができる技術の提供を課題とする。
【課題を解決するための手段】
【０００９】
上記の目的を達成するために本発明のネットワーク中継装置は、端末機器から送信されたユーザフレームを中継するネットワーク中継装置であって、端末機器を識別する端末機器識別情報とフィルタリング用識別情報とを対応付けて記憶するフィルタリング用識別情報記憶部と、ユーザフレームに格納されたユーザフレームを送信した端末機器の端末機器識別情報によりフィルタリング用識別情報記憶部を参照し、端末機器識別情報に対応するフィルタリング用識別情報を特定する転送処理部と、フィルタリング用識別情報とフィルタリングのためのポリシーとを対応付けて記憶しており、転送処理部において特定されたフィルタリング用識別情報に対応するポリシーに基づいて、ユーザフレームに対しフィルタリングを実行するフィルタリング部とを備える。
【００１０】
また、上記の目的を達成するために本発明の転送制御システムは、端末機器と、端末機器から送信されたユーザフレームを中継するネットワーク中継装置とからなり、ネットワーク中継装置がユーザフレームを中継する際にユーザフレームをフィルタリングする転送制御システムであって、ネットワーク中継装置は、端末機器を識別する端末機器識別情報とフィルタリング用識別情報とを対応付けて記憶するフィルタリング用識別情報記憶部と、ユーザフレームに格納されたユーザフレームを送信した端末機器の端末機器識別情報によりフィルタリング用識別情報記憶部を参照し、端末機器識別情報に対応するフィルタリング用識別情報を特定する転送処理手段と、フィルタリング用識別情報とフィルタリングのためのポリシーとを対応付けて記憶しており、転送処理手段により特定されたフィルタリング用識別情報に対応するポリシーに基づいて、ユーザフレームに対しフィルタリングを実行するフィルタリング手段とを備える。
【発明の効果】
【００１１】
本発明のネットワーク中継装置及び転送制御システムによれば、ＶＬＡＮに限定されず、個々の端末機器又は端末機器を使用する個々のユーザに対して、様々なポリシーを適用することができる。
【図面の簡単な説明】
【００１２】
【図１】第１実施形態の転送制御システムの構成例を概略的に示す図である。
【図２】ネットワーク中継装置及び認証サーバの機能的な構成を概略的に示すブロック図である。
【図３】ネットワーク中継装置のクラスＩＤテーブルを示す表である。
【図４】フィルタリング部が有するフィルタリングテーブルを示す表である。
【図５】認証ＤＢに登録された認証情報及びクラスＩＤを示す表である。
【図６】ユーザフレームの転送処理の流れを示すシーケンス図である。
【図７】第２実施形態の転送処理システムの構成例を概略的に示す図である。
【図８】第２実施形態のネットワーク中継装置の機能的な構成を概略的に示すブロック図である。
【図９】第２実施形態におけるユーザフレームの転送処理の流れを示すシーケンス図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施形態について図面を参照しながら説明する。なお、以下ではネットワーク中継装置で実行される実施形態を中心として説明するが、ネットワーク中継装置及び端末機器を組み合わせたものが「転送制御システム」としての実施形態となる。
【００１４】
〔第１実施形態〕
図１は、第１実施形態の転送制御システムの構成例を概略的に示す図である。ネットワーク中継装置１，２には、複数のポート４が備えられており、このうちいずれかのポート４に無線通信用のアクセスポイント６及びＨＵＢ８がそれぞれ接続されている。また、アクセスポイント６及びＨＵＢ８には、端末機器１０，１２及び端末機器１４，１６がそれぞれ接続されている。また、ネットワーク中継装置１，２には、企業内ネットワーク１８を介して、認証サーバ２０及び業務サーバ２２が接続されている。また、ネットワーク中継装置１，２には、企業内ネットワーク１８及びルータ２４を介して、公衆ネットワーク２６が接続されている。なお、ネットワーク中継装置１，２には、図示しない複数の端末機器や、部門サーバ、部門内ネットワーク等が接続されていてもよい。
【００１５】
〔転送制御システムの概要〕
ネットワーク中継装置１，２は、例えばＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルのレイヤ２及びレイヤ３等のデータ転送機能を備えたスイッチングハブである。ネットワーク中継装置１，２は、端末機器１０，１２，１４，１６から送信されたユーザフレームを宛先の端末機器１０，１２，１４，１６に転送したり、図示しない複数の端末機器や、業務サーバ２２、公衆ネットワーク２６等へ転送したりする。なお、本明細書において、「ユーザフレーム」は、端末機器１０，１２，１４，１６から送信されるレイヤ２のフレーム及びレイヤ３のパケットを含む意味にて使用する。
【００１６】
また、ネットワーク中継装置１，２は、認証機能を有し、認証に成功していない端末機器からのデータは中継を遮断し、認証に成功した端末機器からのデータは中継を行う。なお、ネットワーク中継装置１，２は、認証に成功していない端末機器１０，１２，１４，１６と認証サーバ２０との間の認証を行うための通信については、中継を行う。
【００１７】
端末機器１０，１２，１４，１６は、例えばＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）やワークステーション等、所定のユーザが操作を行い、データをユーザフレームとして送受信する機器である。
【００１８】
認証サーバ２０は、所定のネットワーク認証方式を用いて、個々の端末機器１０，１２，１４，１６やこれらを使用するユーザを認証するためのサーバである。認証サーバ２０は、上記のネットワーク認証方式として、例えば、ユーザＩＤとパスワードを入力させるためのＷＥＢページを端末機器に表示させ、入力されたユーザＩＤとパスワードに基づいてユーザを認証する認証方式（ＷＥＢ認証）、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスに基づいて端末機器を認証する認証方式（ＭＡＣ認証）、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）８０２．１ｘ規格に基づく認証方式、ＲＡＤＩＵＳプロトコルに基づく認証方式等を用いて、端末機器１０，１２，１４，１６やこれらを使用するユーザを認証する。
【００１９】
また、認証サーバ２０には、予め端末機器１０，１２，１４，１６やこれらを使用するユーザを認証するために、ＭＡＣアドレス、ユーザＩＤ及びパスワード等の認証情報、ＶＬＡＮ ＩＤ、及び、後述するフィルタリング用識別情報としてのクラスＩＤが対応付けられて登録されている。認証サーバ２０は、上記のネットワーク認証方式に基づいて、各端末機器１０，１２，１４，１６との間で認証を行う。例えば、各端末機器１０，１２，１４，１６から送信された上記の認証情報は、ネットワーク中継装置１，２を介して認証サーバ２０へ転送される。具体的に、認証サーバ２０は、受信した認証情報が登録されている場合、認証を成功と判定し、受信した認証情報が登録されていない場合、認証を不成功と判定する。そして、端末機器１０，１２，１４，１６は、認証サーバ２０による認証が成功すると、ネットワーク中継装置１，２において通信の中継が許可され、ネットワーク中継装置１，２を介して企業内ネットワーク１８や業務サーバ２２、公衆ネットワーク２６等へアクセスすることができる。
【００２０】
また、ネットワーク中継装置１，２は、認証サーバ２０により所定のネットワーク認証方式を用いて認証された各端末機器１０，１２，１４，１６から受信したユーザフレームを中継する過程で、例えば、アクセスリストや、ルーティング、優先制御等のポリシー（フィルタリング条件）に基づいて、ユーザフレームをフィルタリングすることができる。なお、ネットワーク中継装置１，２において、ユーザフレームを転送する過程でこれをフィルタリングする手法については、図２〜図４を用いてさらに詳しく後述する。
【００２１】
図２は、ネットワーク中継装置１，２及び認証サーバ２０の機能的な構成を概略的に示すブロック図である。なお、図２中に点線で示す矢印は、ユーザフレームや認証情報が転送される方向を表している。
【００２２】
ネットワーク中継装置１，２は、主にＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２８、送受信部３０、及び制御部３２を備えている。
【００２３】
ＣＰＵ２８は、送受信部３０及び制御部３２で実行される動作を制御している。
送受信部３０は、複数のポート４を備えており、複数のポート４には、図１中に示すアクセスポイント６や、ＨＵＢ８、認証サーバ２０、企業内ネットワーク１８、図示しない他の端末機器等が接続されている。
【００２４】
送受信部３０は、ポート４で受信したユーザフレームを制御部３２へ転送する。具体的に、送受信部３０は、ユーザフレームに装置内タグを付加し、装置内タグの所定の領域に受信したポートのポート番号を格納し、ユーザフレームを制御部３２へ転送する。
【００２５】
また、送受信部３０は、制御部３２から転送されたユーザフレームを所定のポート４から送信する。具体的に、送受信部３０は、ユーザフレームの装置内タグに格納されている転送先のポート番号を参照し、転送先のポート番号に対応するポート４からユーザフレームを送信する。なお、送受信部３０は、ユーザフレームをポート４から送信する際に、ユーザフレームに付加されている装置内タグを除去する。
【００２６】
制御部３２は、転送処理部３４、フィルタリング用識別情報記憶部としてのクラスＩＤテーブル３６、ＦＤＢ（Ｆｏｗａｒｄｉｎｇ Ｄａｔａ Ｂａｓｅ）３８、及びフィルタリング手段としてのフィルタリング部４０を有しており、主にユーザフレームの転送処理を行う。また、本実施形態において制御部３２は、転送処理部３４、クラスＩＤテーブル３６、ＦＤＢ３８、及びフィルタリング部４０を用い、個々の端末機器１０，１２，１４，１６から送信されたユーザフレームに対して、所定のポリシーに基づくフィルタリングを行う。
【００２７】
〔フィルタリング用識別情報記憶部〕
フィルタリング用識別情報記憶部としてのクラスＩＤテーブル３６には、ユーザフレームの送信元である端末機器１０，１２，１４，１６を識別する端末機器識別情報としてのＭＡＣアドレス又はＩＰアドレスと、フィルタリング用識別情報としてのクラスＩＤとが対応付けられて登録されている。なお、クラスＩＤテーブル３６については、図３を用いてさらに詳しく後述する。
【００２８】
ＦＤＢ３８には、周知のスイッチングハブに備えられたＦＤＢと同様に、ＭＡＣアドレスとポート番号とが対応付けられて登録されている。
【００２９】
〔転送処理部（転送処理手段）〕
転送処理部３４は、送受信部３０から転送されたユーザフレームを受信する。
転送処理部３４は、認証に成功していない端末機器から送信されたユーザフレームを破棄し、認証に成功した端末機器から送信されたユーザフレームに対して転送処理を行う。なお、転送処理部２６は、認証に成功していない端末機器から送信されたユーザフレームであって、認証サーバ２０との間で認証を行う通信のためのユーザフレームについては、転送処理を行う。また、例えば、制御部３２は、認証の成功又は不成功の情報と、ポート番号又は端末機器識別情報とを対応付けて記憶した図示しない認証用テーブルを備え、転送処理部３４は、認証用テーブルを参照して、ユーザフレームの転送又は破棄を判定してもよい。
【００３０】
認証に成功した端末機器から送信されたユーザフレームの場合、転送処理部３４は、ユーザフレームの送信元情報である送信元ＭＡＣアドレスにより、クラスＩＤテーブル３６を参照し、送信元ＭＡＣアドレスと対応付けられて登録されているクラスＩＤを特定する。転送処理部３４は、特定したクラスＩＤをユーザフレームに付加する。具体的に、ユーザフレームに付加されている装置内タグの所定の領域にクラスＩＤを格納する。
【００３１】
次に、転送処理部３４は、ユーザフレームの宛先ＭＡＣアドレスにより、ＦＤＢ３８を参照し、宛先ＭＡＣアドレスと対応付けられて登録されているポート番号を特定する。転送処理部３４は、特定したポート番号をユーザフレームに付加する。具体的に、ユーザフレームに付加された装置内タグの所定の領域にポート番号を格納する。また、転送処理部３４は、ユーザフレームの送信元ＭＡＣアドレスと、ユーザフレームに付加されている装置内タグに格納されている受信したポートのポート番号とを対応付けて、ＦＤＢ３８に登録する。
【００３２】
次に、転送処理部３４は、ユーザフレームをフィルタリング部４０経由で、送受信部３０へ転送する。
【００３３】
〔フィルタリング部（フィルタリング手段）〕
フィルタリング部４０は、転送処理部３４が送受信部３０へユーザフレームを転送する過程で、ユーザフレームに付加されたクラスＩＤを参照し、クラスＩＤに対応するポリシーに基づいてユーザフレームをフィルタリングする。具体的に、フィルタリング部４０は、クラスＩＤとポリシーとを対応付けて記憶したフィルタリング情報記憶部としてのフィルタリングテーブル４２を有する。フィルタリング部４０は、フィルタリングテーブル４２にユーザフレームに付加されたクラスＩＤと対応付けられて記憶されているポリシーに基づき、アクセスリストや、ルーティング、優先制御等のフィルタリングを行う。
【００３４】
認証サーバ２０は、認証部（認証手段）としてのＣＰＵ４４、及び認証管理部（認証管理手段）としての認証ＤＢ４６を備えている。ＣＰＵ４４は、例えば、上述したＷＥＢ認証や、ＭＡＣ認証、ＩＥＥＥ８０２．１ｘ規格に基づく認証方式、ＲＡＤＩＵＳプロトコルに基づく認証方式等を用いて、端末機器１０，１２，１４，１６の認証やこれらを使用するユーザの認証を行う。認証ＤＢ４６には、例えば、ＭＡＣアドレス、ユーザＩＤ及びパスワード等の認証情報と、各ユーザに割り当てられたＶＬＡＮ ＩＤ、及び各ユーザに割り当てられたクラスＩＤとが対応付けられて登録されている。
【００３５】
ＣＰＵ４４は、例えば、図１中に示す端末機器１０から送信された認証情報を、ネットワーク中継装置１を介して受信すると、受信した認証情報により認証ＤＢ４６を照合する。ＣＰＵ４４は、受信した認証情報が認証ＤＢ４６に登録されている場合、認証成功と判定し、認証が成功した旨の応答データを端末機器１０へ送信する。この際、応答データには、受信した認証情報に対応付けられて認証ＤＢ４６に記憶されているＶＬＡＮ ＩＤとクラスＩＤとが格納される。一方、ＣＰＵ４４は、受信した認証情報が認証ＤＢ４６に登録されていない場合、認証不成功と判定し、認証不成功である旨の応答データを端末機器１０へ送信する。なお、認証ＤＢ４６に登録された認証情報及びクラスＩＤを示す表について、図５を用いてさらに詳しく後述する。
【００３６】
図３は、ネットワーク中継装置１，２のクラスＩＤテーブル３６を示す表である。
【００３７】
図３中、左側の列に配置された「送信元アドレス」の欄には、ユーザフレームを送信する端末機器１０，１２，１４，１６に割り当てられたＭＡＣアドレスやＩＰアドレス等が示されている。また、右側の列に配置された「クラスＩＤ」の欄には、クラスＩＤが番号で示されている。
【００３８】
上記の番号で示されたクラスＩＤは、左欄に示されているＭＡＣアドレスやＩＰアドレスと相互に対応している。例えば、クラスＩＤの欄に示されている「２０」は、送信元アドレスの欄に示された端末機器１０のＭＡＣアドレス又はＩＰアドレスと対応しており、クラスＩＤの欄に示された「３０」は、端末機器１２のＭＡＣアドレス又はＩＰアドレスと相互に対応している。
【００３９】
例えば、転送処理部３４が、端末機器１０から送信されたユーザフレームを受信した際、ユーザフレームの送信元ＭＡＣアドレスや送信元ＩＰアドレスに基づいてクラスＩＤテーブル３６を参照し、端末機器１０のＭＡＣアドレスやＩＰアドレスに対応付けられて登録されているクラスＩＤ「２０」を特定する。そして、特定されたクラスＩＤ「２０」をユーザフレームに付加する。
【００４０】
ネットワーク中継装置１，２は、転送処理部３４において、認証サーバ２０が送信した認証が成功した旨の応答データを端末機器１０，１２，１４，１６へ中継する際に、応答データに格納されているクラスＩＤを参照し、端末機器１０，１２，１４，１６のＭＡＣアドレス又はＩＰアドレスと、クラスＩＤとを対応付けてクラスＩＤテーブル３６に登録する。
【００４１】
図４は、フィルタリング部４０が有するフィルタリングテーブル４２を示す表である。フィルタリング部４０は、クラスＩＤが付加されたユーザフレームが転送処理部３４により転送先のポート４へ中継される過程で、クラスＩＤと対応するポリシーに基づいてユーザフレームをフィルタリングする。ポリシーの内容は、例えば、「アクセスリスト」、「ルーティング」、「優先制御」及び「カウント／ミラー」からなる。なお、ポリシーの内容については、周知のポリシーと同様の規定であり、ここではその詳細な説明を省略する。
【００４２】
図４中、左端列に配置された「クラスＩＤ」の欄には、クラスＩＤを示す番号「２０」や「３０」等が示されている。左から２列目〜５列目に掛けてポリシーの具体的な内容である「アクセスリスト」、「ルーティング」、「優先制御」及び「カウント／ミラー」の欄がそれぞれ配置され、クラスＩＤごとにポリシーの各内容が有効であるか又は無効であるかのいずれかが示されている。
【００４３】
例えば、クラスＩＤの欄に示されたクラスＩＤ「２０」は、「アクセスリスト」及び「優先制御」の欄が「有効」として示されており、「ルーティング」及び「カウント／ミラー」の欄が「無効」として示されている。したがって、フィルタリング部４０は、クラスＩＤ「２０」が付加されたユーザフレームを受信した場合、アクセスリスト及び優先制御に基づいてユーザフレームをフィルタリングする。
【００４４】
なお、上記の「アクセスリスト」、「ルーティング」、「優先制御」、「カウント／ミラー」の４つのに限らず、いずれか一つを用いてもよい。また、その他の内容が、ポリシーに追加されていてもよく、ユーザやこれを管理する作業者がその用途に応じて必要なポリシーをクラスＩＤに規定することができる。
【００４５】
このように、クラスＩＤと、各種のポリシーのうちいずれのポリシーを有効とするか、又は無効とするかを自由に組み合わせて規定することができる。このため、例えば、ネットワーク中継装置１，２や端末機器１０，１２，１４，１６を管理する作業者は、ユーザ単位又は機器単位でそれぞれに必要なポリシーを規定することができる。
【００４６】
図５は、認証ＤＢ４６に登録された認証情報及びクラスＩＤを示す表である。図５中、左端列に配置された「ユーザＩＤ」の欄には、各端末機器１０，１２，１４，１６を使用するユーザを認識するためのアカウント情報が示されている。ここでは、例えば、端末機器１０を使用するユーザを認識ためのアカウント情報として「ｕｓｅｒ１」が「ユーザＩＤ」の欄に示されているものとする。
【００４７】
また、左から２列目に配置された「パスワード」の欄には、「ユーザＩＤ」の欄に示されているアカウント情報に対応するパスワードが示されている。例えば、「ユーザＩＤ」の欄に示された「ｕｓｅｒ１」に対応するパスワードが、「ｐａｓｓ１」として「パスワード」の欄に示されている。
【００４８】
左から３列目に配置された「ＶＬＡＮ ＩＤ」の欄には、ＶＬＡＮ情報が示されている。例えば、端末機器１０を使用するユーザがＶＬＡＮ番号１０に所属している場合、ＶＬＡＮ番号を表す「１０」が「ＶＬＡＮ ＩＤ」の欄に示されている。なお、「ＶＬＡＮ ＩＤ」の欄の下から１行目〜３行目に示す「−」は、端末機器にＶＬＡＮが設定されていないことを便宜的に表している。
【００４９】
右端列に配置された「クラスＩＤ」の欄には、上述したクラスＩＤが番号で示されている。「クラスＩＤ」の欄に示されている番号は、「ユーザＩＤ」の欄に登録されたアカウント情報と対応しており、例えば「ｕｓｅｒ１」は、クラスＩＤの欄に示された「２０」と対応している。
【００５０】
図６は、ユーザフレームの転送処理の流れを示すシーケンス図である。以下、シーケンス図に基づいて、ユーザフレームの転送処理の流れを説明する。
【００５１】
ステップＳ１０：端末機器１０は、所定のネットワーク認証方式に基づき、認証情報を認証サーバ２０へ向けて送信する。
ステップＳ１２：ネットワーク中継装置１は、端末機器１０から送信された認証情報を認証サーバ２０へ転送する。
ステップＳ１４：認証サーバ２０は、認証情報を受信すると、認証ＤＢ４６を参照し、認証の成功又は不成功を判定する。次に、認証サーバ２０は、認証した結果を示す応答データを端末機器１０へ向けて通知する（ステップＳ１６）。
【００５２】
ステップＳ１８：ネットワーク中継装置１は、認証サーバ２０から送信された応答データを端末機器１０へ転送する。なお、認証が成功した場合、ネットワーク中継装置１は、受信した応答データを参照して端末機器１０のＭＡＣアドレス又はＩＰアドレスと、クラスＩＤとを対応付けてクラスＩＤテーブルに登録する。
【００５３】
ここで、端末機器１０は、ネットワーク中継装置１から転送された応答データが認証成功を示す場合、ネットワーク中継装置１を介しての通信が可能となる。一方、認証が失敗した場合、例えば、端末機器１０を使用するユーザにより再度認証情報を入力し直してステップＳ１０を実行してもよい。いずれにしても、認証が成功しない限り、ネットワーク中継装置１において通信が遮断されるため、端末機器１０は、ネットワーク中継装置１を介してデータを送受信することができない。
【００５４】
以下のステップＳ２０からステップＳ２８では、例えば、端末機器１０が業務サーバ２２へアクセスする場合におけるユーザフレームの転送処理について説明する。
【００５５】
ステップＳ２０：端末機器１０は、業務サーバ２２へ向けてユーザフレームを送信する。
【００５６】
ステップＳ２２：ネットワーク中継装置１は、端末機器１０から送信されたユーザフレームを受信すると、ユーザフレームの送信元ＭＡＣアドレスによりクラスＩＤテーブル３６を参照し、ユーザフレームの送信元ＭＡＣアドレスに対応付けられて記憶されているクラスＩＤ「２０」をユーザフレームに付加する。
【００５７】
ステップＳ２４：次にネットワーク中継装置１は、ユーザフレームの宛先ＭＡＣアドレスに基づいてＦＤＢ３８を参照し、ユーザフレームの宛先ＭＡＣアドレスに対応付けられて記憶されているポート番号を特定し、このポート番号をユーザフレームに付加し、送受信部３０にユーザフレームを転送する
【００５８】
ステップＳ２６：ネットワーク中継装置１のフィルタリング部４０は、ユーザフレームを送受信部３０に転送する過程で、クラスＩＤに対応するポリシーに基づきユーザフレームのフィルタリングを実行する。例えば、フィルタリング部４０は、ユーザフレームにクラスＩＤ「２０」が付加されている場合、これに対応するポリシーのうち図４中で「有効」を示す「アクセスリスト」及び「優先制御」に基づいてユーザフレームのフィルタリングを行う。なお、本実施形態では、アクセスリストにより、クラスＩＤ「２０」について業務サーバ２０へのアクセスが許可されているものとする。
【００５９】
ステップＳ２８：ネットワーク中継装置１は、上記のフィルタリングに基づいてユーザフレームをポート４から業務サーバ２０へ転送する。なお、このときネットワーク中継装置１は、ユーザフレームに付加されたクラスＩＤを削除したうえで転送する。
【００６０】
以下のステップＳ３０からステップＳ３８では、例えば、端末機器１０が公衆ネットワーク２６へアクセスする場合におけるユーザフレームの転送処理について説明する。
【００６１】
ステップＳ３０：端末機器１０は、公衆ネットワーク２６へ向けてユーザフレームを送信する。
ステップＳ３２：ネットワーク中継装置１は、端末機器１０から送信されたユーザフレームを受信すると、上述したステップＳ２２〜ステップＳ２４と同様の手順を実行する。すなわち、ネットワーク中継装置１は、クラスＩＤ「２０」をユーザフレームに付加し（ステップＳ３２）、次に、ＦＤＢ３８を参照して転送先のポート４を特定する（ステップＳ３４）。また、フィルタリング部４０はクラスＩＤ「２０」に規定されたポリシー（アクセスリスト及び優先制御）に基づいて、ユーザフレームのフィルタリングを行なう（ステップＳ３６）。なお、本実施形態では、アクセスリストにより、クラスＩＤ「２０」について公衆ネットワーク２６へのアクセスが禁止されているものとする。
【００６２】
ステップＳ３８：ネットワーク中継装置１は、ステップＳ３６でユーザフレームのフィルタリングを行なった結果、このユーザフレームを転送先のポート４から送信することなく破棄する。
【００６３】
以下のステップＳ４０からステップＳ４４では、端末機器１２が認証サーバ２０により認証される際の認証情報の転送処理について説明する。
【００６４】
ステップＳ４０：端末機器１２は、端末機器１２を利用するユーザによって入力されたユーザＩＤやパスワード等の認証情報を認証サーバ２０へ向けて送信する。
【００６５】
ステップＳ４２：ネットワーク中継装置１は、端末機器１２から送信された認証情報を認証サーバ２０へ転送する。
【００６６】
ステップＳ４４：認証サーバ２０は、認証情報を受信すると、ステップＳ１４と同様に、受信した認証情報により認証ＤＢ４６を参照し、認証の成功又は不成功を判定する。次に認証サーバ２０は、ステップＳ１６と同様に、認証結果を示す応答データを端末機器１２へ向けて通知する（ステップＳ４６）。なお、このときネットワーク中継装置１は、受信した応答データの内容を参照して、端末機器１２のＭＡＣアドレス又はＩＰアドレスと、クラスＩＤとを対応付けてクラスＩＤテーブル３６に登録する。
【００６７】
以下のステップＳ５０からステップＳ５８では、ステップＳ４６で認証が成功した後に端末機器１２が公衆ネットワーク２６へアクセスする場合における、ユーザフレームの転送処理について説明する。
【００６８】
ステップＳ５０：端末機器１２は、公衆ネットワーク２６へ向けてユーザフレームを送信する。
ステップＳ５２：ネットワーク中継装置１は、端末機器１２から送信されたユーザフレームを受信すると、ユーザフレームの送信元ＭＡＣアドレスによりクラスＩＤテーブル３６を参照し、ユーザフレームの送信元ＭＡＣアドレスと対応付けられて記憶されているクラスＩＤ「３０」をユーザフレームに付加する。
【００６９】
ステップＳ５４：次にネットワーク中継装置１は、ユーザフレームの宛先ＭＡＣアドレスによりＦＤＢ３８を参照し、ユーザフレームの宛先ＭＡＣアドレスと対応付けられて記憶されているポート番号を特定し、このポート番号をユーザフレームに付加し、送受信部３０にユーザフレームを転送する。
【００７０】
ステップＳ５６：ネットワーク中継装置１は、ユーザフレームを転送先のポート４へ転送する過程で、フィルタリング部４０により、ユーザフレームに付加されたクラスＩＤに対応するポリシーに基づいてフィルタリングを行う。例えば、ユーザフレームにクラスＩＤ「３０」が付加されている場合、図４中で「有効」として示された「ルーティング」及び「優先制御」に基づいてユーザフレームの転送制御を行なう。
【００７１】
ステップＳ５８：ネットワーク中継装置１は、フィルタリング部４０において上記の「ルーティング」及び「優先制御」に基づいてユーザフレームのフィルタリングを行い、このユーザフレームをポート４から公衆ネットワーク２６へ送信する。
【００７２】
このように、ネットワーク中継装置１，２は、端末機器１０，１２，１４，１６の端末機器識別情報とクラスＩＤとを対応付けて記憶することにより、端末機器１０，１２，１４，１６が送信するユーザフレームに対して、それぞれクラスＩＤに対応するポリシーに基づくフィルタリングを実行することができる。
【００７３】
また、認証ＤＢ４６に、端末機器又は端末機器を使用するユーザを認証する認証情報と、クラスＩＤとを対応付けて記憶することにより、端末機器又はユーザ単位で、クラスＩＤに対応するポリシーを適用することができる。
【００７４】
また、フィルタリングテーブル４２にクラスＩＤとクラスＩＤに対応するポリシーの内容を記憶させることにより、容易に各種のポリシーを設定できる。そして、端末機器又はユーザにクラスＩＤを割り当てることで、設定したポリシーを端末機器又はユーザ単位で適用することができる。よって、ネットワーク中継装置１，２は、ＶＬＡＮ単位で各種のポリシーを適用することに限定されず、同じＶＬＡＮに所属していても、端末機器又はユーザにクラスＩＤを割り当てることで、端末機器又はユーザ単位で各種のポリシーを適用することができる。
【００７５】
〔第２実施形態〕
次に、第２実施形態のネットワーク中継装置１，２について説明する。第２実施形態では、認証サーバ２０の代わりにネットワーク中継装置１，２においてネットワーク認証が行われる点が第１実施形態と異なっている。その他の構成は第１実施形態と同様であり、第２実施形態では、第１実施形態と共通の構成には図示とともに同じ符号を付し、重複した説明を省略するものとする。
【００７６】
図７は、第２実施形態の転送処理システムの構成例を概略的に示す図である。ネットワーク中継装置１，２のポート４には、企業内ネットワーク１８を介して業務サーバ２０、公衆ネットワーク２６等が接続されている。
【００７７】
また、ネットワーク中継装置１，２のポート４には、アクセスポイント６及びＨＵＢ８が接続されている。アクセスポイント６及びＨＵＢ８に接続された端末機器１０，１２，１４，１６は、ネットワーク中継装置１，２を介して、業務サーバ２０、公衆ネットワーク２６へアクセスすることができる。また、ネットワーク中継装置１，２は、所定のネットワーク認証方式を用いて、端末機器１０，１２，１４，１６の認証やこれらを使用するユーザの認証を実行する。また、ネットワーク中継装置１，２は、端末機器１０，１２，１４，１６が業務サーバ２０、や公衆ネットワーク２６へアクセスする際、各種のポリシーに基づいてフィルタリングを行う。
【００７８】
図８は、第２実施形態のネットワーク中継装置１，２の機能的な構成を概略的に示すブロック図である。第２実施形態のネットワーク中継装置１，２は、認証部（認証手段）としてのＣＰＵ２８と、認証管理部（認証管理手段）としての認証ＤＢ４８とを備える。
【００７９】
第１実施形態では、予め作業者が認証サーバ２０の認証ＤＢ４６にユーザＩＤやパスワード、ＶＬＡＮ ＩＤ、クラスＩＤ等を登録することで、複数のネットワーク中継装置１，２を介して接続された端末機器１０，１２，１４，１６を利用するユーザ等の認証情報を認証サーバ２０で一元的に管理していた。しかし、第２実施形態のネットワーク中継装置１，２のように、それぞれのネットワーク中継装置１，２に接続された端末機器に関して、認証情報を各ネットワーク中継装置１，２の認証ＤＢ４８に記憶させておくこともできる。
【００８０】
この場合、ネットワーク中継装置１，２のＣＰＵ２８は、端末機器１０，１２，１４，１６から送信された認証情報を受信すると、受信した認証情報により認証ＤＢ４８を参照し、認証ＤＢ４８に認証情報が登録されている場合、認証は成功と判定し、認証ＤＢ４８に認証情報が登録されていない場合、認証は不成功と判定する。認証が成功した場合、各端末機器１０，１２，１４，１６は、ネットワーク中継装置１，２を介して業務サーバ２０、公衆ネットワーク２６へアクセスすることができる。また、制御部３２はフィルタリング部４０により、クラスＩＤに対応するポリシーに基づいて業務サーバ２０や、公衆ネットワーク２６へのアクセスを制限したり、転送経路を決定したりする。
【００８１】
図９は、第２実施形態におけるユーザフレームの転送処理の流れを示すシーケンス図である。
【００８２】
ステップＳ６０：端末機器１０は、ユーザＩＤやパスワード等、端末機器１０を利用するユーザによって入力された認証情報をネットワーク中継装置１へ向けて送信する。
【００８３】
ステップＳ６２：ネットワーク中継装置１は、受信した認証情報により認証ＤＢ４８を参照し、認証の成功又は不成功を判定する。次に、ネットワーク中継装置１は、認証した結果を端末機器１０へ向けて通知する（ステップＳ６４）。
【００８４】
端末機器１０は、ネットワーク中継装置１を介して通信を行う際に、第１実施形態と同様に、端末機器１０に割り当てられたクラスＩＤに対応するポリシーに基づくフィルタリングが行われる。具体的に、端末機器１０は、業務サーバ２２へアクセスすることができるが、公衆ネットワーク２６にはアクセスすることができない。
【００８５】
ステップＳ７０：端末機器１２も、端末機器１０と同様に、認証情報をネットワーク中継装置１へ向けて送信する。ネットワーク中継装置１は、端末機器１２から送信された認証情報を受信すると、上記のステップＳ６２及びステップＳ６４と同様に、受信した認証情報により認証ＤＢ４８を参照し、認証の成功又は不成功を判定する（ステップＳ７２）。そして、ネットワーク中継装置１は、認証した結果を端末機器１２へ向けて通知する（ステップＳ７４）。
【００８６】
このように、各ネットワーク中継装置１，２は、様々なネットワーク認証方式を用いて各端末機器１０，１２，１４，１６の認証やユーザの認証を実行することができる。さらに、ネットワーク中継装置１，２は、認証された各端末機器１０，１２，１４，１６から送信されたユーザフレームに対して個々のクラスＩＤを付加することができる。これにより、各端末機器１０，１２，１４，１６からネットワーク中継装置１，２を介して実行される通信と、各端末機器１０，１２，１４，１６やこれらを使用するユーザに割り当てられた認証情報を各ネットワーク中継装置１，２において効率的に管理することができる。
【００８７】
本発明のネットワーク中継装置及び転送制御システムによれば、端末機器やこれを使用するユーザに割り当てられたユーザに割り当てられたクラスＩＤごとに各種のポリシーを適用することができる。これにより、端末機器又はユーザ単位で、フィルタリングポリシーを適用することができる。
【符号の説明】
【００８８】
１，２ ネットワーク中継装置
１０，１２，１４，１６ 端末機器
２０ 認証サーバ
３４ 転送処理部
３６ クラスＩＤテーブル
３８ ＦＤＢ
４０ フィルタリング部
４６，４８ 認証ＤＢ
【技術分野】
【０００１】
本発明は、ネットワーク中継装置及び転送制御システムに関する。
【背景技術】
【０００２】
従来、端末機器がスイッチングハブを介して接続されたネットワークや所定のサーバへの通信を実行する前に、スイッチングハブを介して接続された認証サーバが所定のネットワーク認証方式を用いて端末機器のユーザ個人を認証する先行技術が知られている（例えば、特許文献１参照。）。この先行技術では、スイッチングハブに端末機器やルータ等が接続されており、さらにルータを介してＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバ等が接続されている。
【０００３】
先行技術で用いられるＲＡＤＩＵＳサーバには、予めこれを管理する作業者により端末機器を使用するユーザを個別に識別するためのユーザＩＤとパスワード、及びユーザに割り当てられたＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ） ＩＤを登録しておくことができる。そしてＲＡＤＩＵＳサーバは、スイッチングハブに接続された端末機器を使用するユーザの認証を行い、認証が成功すると認証結果とともにＶＬＡＮ ＩＤを示す応答パケットをスイッチングハブへ通知する。スイッチングハブは受信した応答パケットに基づいて、認証に成功した端末機器が接続されているポートにＶＬＡＮを設定する。
【０００４】
このため上記の先行技術によれば、ＲＡＤＩＵＳサーバや端末機器を管理する作業者が、ＲＡＤＩＵＳサーバに端末機器に割り当てられたＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスやＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス等の送信元情報を登録しなくても、個々のユーザを識別するユーザＩＤとパスワード、及びユーザに対応するＶＬＡＮ ＩＤを予め登録しておけば、ユーザの認証とともにスイッチングハブのポートに対してＶＬＡＮを自動的に設定することができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−２８６５５８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、一般的に認証された端末機器から送信されたフレームをスイッチングハブにおいて受信した場合、スイッチングハブにてアクセスリストや、ルーティング、優先制御等のポリシー（フィルタリング条件）に基づいて受信したフレームをフィルタリングすることで、通信セキュリティの強化をさらに向上することができると考えられる。
【０００７】
しかしながら、スイッチングハブにおいて端末機器が接続されたポートにＶＬＡＮ ＩＤが設定されている場合、このＶＬＡＮ ＩＤ単位で共通のポリシーを適用することはできたとしても、現状では同一のＶＬＡＮ ＩＤに所属する個々のユーザに対して各種のポリシーを自由に設定することができない。
【０００８】
そこで本発明は、ＶＬＡＮに限定されず、個々の端末機器又は端末機器を使用する個々のユーザに対して、様々なポリシーを適用することができる技術の提供を課題とする。
【課題を解決するための手段】
【０００９】
上記の目的を達成するために本発明のネットワーク中継装置は、端末機器から送信されたユーザフレームを中継するネットワーク中継装置であって、端末機器を識別する端末機器識別情報とフィルタリング用識別情報とを対応付けて記憶するフィルタリング用識別情報記憶部と、ユーザフレームに格納されたユーザフレームを送信した端末機器の端末機器識別情報によりフィルタリング用識別情報記憶部を参照し、端末機器識別情報に対応するフィルタリング用識別情報を特定する転送処理部と、フィルタリング用識別情報とフィルタリングのためのポリシーとを対応付けて記憶しており、転送処理部において特定されたフィルタリング用識別情報に対応するポリシーに基づいて、ユーザフレームに対しフィルタリングを実行するフィルタリング部とを備える。
【００１０】
また、上記の目的を達成するために本発明の転送制御システムは、端末機器と、端末機器から送信されたユーザフレームを中継するネットワーク中継装置とからなり、ネットワーク中継装置がユーザフレームを中継する際にユーザフレームをフィルタリングする転送制御システムであって、ネットワーク中継装置は、端末機器を識別する端末機器識別情報とフィルタリング用識別情報とを対応付けて記憶するフィルタリング用識別情報記憶部と、ユーザフレームに格納されたユーザフレームを送信した端末機器の端末機器識別情報によりフィルタリング用識別情報記憶部を参照し、端末機器識別情報に対応するフィルタリング用識別情報を特定する転送処理手段と、フィルタリング用識別情報とフィルタリングのためのポリシーとを対応付けて記憶しており、転送処理手段により特定されたフィルタリング用識別情報に対応するポリシーに基づいて、ユーザフレームに対しフィルタリングを実行するフィルタリング手段とを備える。
【発明の効果】
【００１１】
本発明のネットワーク中継装置及び転送制御システムによれば、ＶＬＡＮに限定されず、個々の端末機器又は端末機器を使用する個々のユーザに対して、様々なポリシーを適用することができる。
【図面の簡単な説明】
【００１２】
【図１】第１実施形態の転送制御システムの構成例を概略的に示す図である。
【図２】ネットワーク中継装置及び認証サーバの機能的な構成を概略的に示すブロック図である。
【図３】ネットワーク中継装置のクラスＩＤテーブルを示す表である。
【図４】フィルタリング部が有するフィルタリングテーブルを示す表である。
【図５】認証ＤＢに登録された認証情報及びクラスＩＤを示す表である。
【図６】ユーザフレームの転送処理の流れを示すシーケンス図である。
【図７】第２実施形態の転送処理システムの構成例を概略的に示す図である。
【図８】第２実施形態のネットワーク中継装置の機能的な構成を概略的に示すブロック図である。
【図９】第２実施形態におけるユーザフレームの転送処理の流れを示すシーケンス図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施形態について図面を参照しながら説明する。なお、以下ではネットワーク中継装置で実行される実施形態を中心として説明するが、ネットワーク中継装置及び端末機器を組み合わせたものが「転送制御システム」としての実施形態となる。
【００１４】
〔第１実施形態〕
図１は、第１実施形態の転送制御システムの構成例を概略的に示す図である。ネットワーク中継装置１，２には、複数のポート４が備えられており、このうちいずれかのポート４に無線通信用のアクセスポイント６及びＨＵＢ８がそれぞれ接続されている。また、アクセスポイント６及びＨＵＢ８には、端末機器１０，１２及び端末機器１４，１６がそれぞれ接続されている。また、ネットワーク中継装置１，２には、企業内ネットワーク１８を介して、認証サーバ２０及び業務サーバ２２が接続されている。また、ネットワーク中継装置１，２には、企業内ネットワーク１８及びルータ２４を介して、公衆ネットワーク２６が接続されている。なお、ネットワーク中継装置１，２には、図示しない複数の端末機器や、部門サーバ、部門内ネットワーク等が接続されていてもよい。
【００１５】
〔転送制御システムの概要〕
ネットワーク中継装置１，２は、例えばＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルのレイヤ２及びレイヤ３等のデータ転送機能を備えたスイッチングハブである。ネットワーク中継装置１，２は、端末機器１０，１２，１４，１６から送信されたユーザフレームを宛先の端末機器１０，１２，１４，１６に転送したり、図示しない複数の端末機器や、業務サーバ２２、公衆ネットワーク２６等へ転送したりする。なお、本明細書において、「ユーザフレーム」は、端末機器１０，１２，１４，１６から送信されるレイヤ２のフレーム及びレイヤ３のパケットを含む意味にて使用する。
【００１６】
また、ネットワーク中継装置１，２は、認証機能を有し、認証に成功していない端末機器からのデータは中継を遮断し、認証に成功した端末機器からのデータは中継を行う。なお、ネットワーク中継装置１，２は、認証に成功していない端末機器１０，１２，１４，１６と認証サーバ２０との間の認証を行うための通信については、中継を行う。
【００１７】
端末機器１０，１２，１４，１６は、例えばＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）やワークステーション等、所定のユーザが操作を行い、データをユーザフレームとして送受信する機器である。
【００１８】
認証サーバ２０は、所定のネットワーク認証方式を用いて、個々の端末機器１０，１２，１４，１６やこれらを使用するユーザを認証するためのサーバである。認証サーバ２０は、上記のネットワーク認証方式として、例えば、ユーザＩＤとパスワードを入力させるためのＷＥＢページを端末機器に表示させ、入力されたユーザＩＤとパスワードに基づいてユーザを認証する認証方式（ＷＥＢ認証）、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスに基づいて端末機器を認証する認証方式（ＭＡＣ認証）、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）８０２．１ｘ規格に基づく認証方式、ＲＡＤＩＵＳプロトコルに基づく認証方式等を用いて、端末機器１０，１２，１４，１６やこれらを使用するユーザを認証する。
【００１９】
また、認証サーバ２０には、予め端末機器１０，１２，１４，１６やこれらを使用するユーザを認証するために、ＭＡＣアドレス、ユーザＩＤ及びパスワード等の認証情報、ＶＬＡＮ ＩＤ、及び、後述するフィルタリング用識別情報としてのクラスＩＤが対応付けられて登録されている。認証サーバ２０は、上記のネットワーク認証方式に基づいて、各端末機器１０，１２，１４，１６との間で認証を行う。例えば、各端末機器１０，１２，１４，１６から送信された上記の認証情報は、ネットワーク中継装置１，２を介して認証サーバ２０へ転送される。具体的に、認証サーバ２０は、受信した認証情報が登録されている場合、認証を成功と判定し、受信した認証情報が登録されていない場合、認証を不成功と判定する。そして、端末機器１０，１２，１４，１６は、認証サーバ２０による認証が成功すると、ネットワーク中継装置１，２において通信の中継が許可され、ネットワーク中継装置１，２を介して企業内ネットワーク１８や業務サーバ２２、公衆ネットワーク２６等へアクセスすることができる。
【００２０】
また、ネットワーク中継装置１，２は、認証サーバ２０により所定のネットワーク認証方式を用いて認証された各端末機器１０，１２，１４，１６から受信したユーザフレームを中継する過程で、例えば、アクセスリストや、ルーティング、優先制御等のポリシー（フィルタリング条件）に基づいて、ユーザフレームをフィルタリングすることができる。なお、ネットワーク中継装置１，２において、ユーザフレームを転送する過程でこれをフィルタリングする手法については、図２〜図４を用いてさらに詳しく後述する。
【００２１】
図２は、ネットワーク中継装置１，２及び認証サーバ２０の機能的な構成を概略的に示すブロック図である。なお、図２中に点線で示す矢印は、ユーザフレームや認証情報が転送される方向を表している。
【００２２】
ネットワーク中継装置１，２は、主にＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２８、送受信部３０、及び制御部３２を備えている。
【００２３】
ＣＰＵ２８は、送受信部３０及び制御部３２で実行される動作を制御している。
送受信部３０は、複数のポート４を備えており、複数のポート４には、図１中に示すアクセスポイント６や、ＨＵＢ８、認証サーバ２０、企業内ネットワーク１８、図示しない他の端末機器等が接続されている。
【００２４】
送受信部３０は、ポート４で受信したユーザフレームを制御部３２へ転送する。具体的に、送受信部３０は、ユーザフレームに装置内タグを付加し、装置内タグの所定の領域に受信したポートのポート番号を格納し、ユーザフレームを制御部３２へ転送する。
【００２５】
また、送受信部３０は、制御部３２から転送されたユーザフレームを所定のポート４から送信する。具体的に、送受信部３０は、ユーザフレームの装置内タグに格納されている転送先のポート番号を参照し、転送先のポート番号に対応するポート４からユーザフレームを送信する。なお、送受信部３０は、ユーザフレームをポート４から送信する際に、ユーザフレームに付加されている装置内タグを除去する。
【００２６】
制御部３２は、転送処理部３４、フィルタリング用識別情報記憶部としてのクラスＩＤテーブル３６、ＦＤＢ（Ｆｏｗａｒｄｉｎｇ Ｄａｔａ Ｂａｓｅ）３８、及びフィルタリング手段としてのフィルタリング部４０を有しており、主にユーザフレームの転送処理を行う。また、本実施形態において制御部３２は、転送処理部３４、クラスＩＤテーブル３６、ＦＤＢ３８、及びフィルタリング部４０を用い、個々の端末機器１０，１２，１４，１６から送信されたユーザフレームに対して、所定のポリシーに基づくフィルタリングを行う。
【００２７】
〔フィルタリング用識別情報記憶部〕
フィルタリング用識別情報記憶部としてのクラスＩＤテーブル３６には、ユーザフレームの送信元である端末機器１０，１２，１４，１６を識別する端末機器識別情報としてのＭＡＣアドレス又はＩＰアドレスと、フィルタリング用識別情報としてのクラスＩＤとが対応付けられて登録されている。なお、クラスＩＤテーブル３６については、図３を用いてさらに詳しく後述する。
【００２８】
ＦＤＢ３８には、周知のスイッチングハブに備えられたＦＤＢと同様に、ＭＡＣアドレスとポート番号とが対応付けられて登録されている。
【００２９】
〔転送処理部（転送処理手段）〕
転送処理部３４は、送受信部３０から転送されたユーザフレームを受信する。
転送処理部３４は、認証に成功していない端末機器から送信されたユーザフレームを破棄し、認証に成功した端末機器から送信されたユーザフレームに対して転送処理を行う。なお、転送処理部２６は、認証に成功していない端末機器から送信されたユーザフレームであって、認証サーバ２０との間で認証を行う通信のためのユーザフレームについては、転送処理を行う。また、例えば、制御部３２は、認証の成功又は不成功の情報と、ポート番号又は端末機器識別情報とを対応付けて記憶した図示しない認証用テーブルを備え、転送処理部３４は、認証用テーブルを参照して、ユーザフレームの転送又は破棄を判定してもよい。
【００３０】
認証に成功した端末機器から送信されたユーザフレームの場合、転送処理部３４は、ユーザフレームの送信元情報である送信元ＭＡＣアドレスにより、クラスＩＤテーブル３６を参照し、送信元ＭＡＣアドレスと対応付けられて登録されているクラスＩＤを特定する。転送処理部３４は、特定したクラスＩＤをユーザフレームに付加する。具体的に、ユーザフレームに付加されている装置内タグの所定の領域にクラスＩＤを格納する。
【００３１】
次に、転送処理部３４は、ユーザフレームの宛先ＭＡＣアドレスにより、ＦＤＢ３８を参照し、宛先ＭＡＣアドレスと対応付けられて登録されているポート番号を特定する。転送処理部３４は、特定したポート番号をユーザフレームに付加する。具体的に、ユーザフレームに付加された装置内タグの所定の領域にポート番号を格納する。また、転送処理部３４は、ユーザフレームの送信元ＭＡＣアドレスと、ユーザフレームに付加されている装置内タグに格納されている受信したポートのポート番号とを対応付けて、ＦＤＢ３８に登録する。
【００３２】
次に、転送処理部３４は、ユーザフレームをフィルタリング部４０経由で、送受信部３０へ転送する。
【００３３】
〔フィルタリング部（フィルタリング手段）〕
フィルタリング部４０は、転送処理部３４が送受信部３０へユーザフレームを転送する過程で、ユーザフレームに付加されたクラスＩＤを参照し、クラスＩＤに対応するポリシーに基づいてユーザフレームをフィルタリングする。具体的に、フィルタリング部４０は、クラスＩＤとポリシーとを対応付けて記憶したフィルタリング情報記憶部としてのフィルタリングテーブル４２を有する。フィルタリング部４０は、フィルタリングテーブル４２にユーザフレームに付加されたクラスＩＤと対応付けられて記憶されているポリシーに基づき、アクセスリストや、ルーティング、優先制御等のフィルタリングを行う。
【００３４】
認証サーバ２０は、認証部（認証手段）としてのＣＰＵ４４、及び認証管理部（認証管理手段）としての認証ＤＢ４６を備えている。ＣＰＵ４４は、例えば、上述したＷＥＢ認証や、ＭＡＣ認証、ＩＥＥＥ８０２．１ｘ規格に基づく認証方式、ＲＡＤＩＵＳプロトコルに基づく認証方式等を用いて、端末機器１０，１２，１４，１６の認証やこれらを使用するユーザの認証を行う。認証ＤＢ４６には、例えば、ＭＡＣアドレス、ユーザＩＤ及びパスワード等の認証情報と、各ユーザに割り当てられたＶＬＡＮ ＩＤ、及び各ユーザに割り当てられたクラスＩＤとが対応付けられて登録されている。
【００３５】
ＣＰＵ４４は、例えば、図１中に示す端末機器１０から送信された認証情報を、ネットワーク中継装置１を介して受信すると、受信した認証情報により認証ＤＢ４６を照合する。ＣＰＵ４４は、受信した認証情報が認証ＤＢ４６に登録されている場合、認証成功と判定し、認証が成功した旨の応答データを端末機器１０へ送信する。この際、応答データには、受信した認証情報に対応付けられて認証ＤＢ４６に記憶されているＶＬＡＮ ＩＤとクラスＩＤとが格納される。一方、ＣＰＵ４４は、受信した認証情報が認証ＤＢ４６に登録されていない場合、認証不成功と判定し、認証不成功である旨の応答データを端末機器１０へ送信する。なお、認証ＤＢ４６に登録された認証情報及びクラスＩＤを示す表について、図５を用いてさらに詳しく後述する。
【００３６】
図３は、ネットワーク中継装置１，２のクラスＩＤテーブル３６を示す表である。
【００３７】
図３中、左側の列に配置された「送信元アドレス」の欄には、ユーザフレームを送信する端末機器１０，１２，１４，１６に割り当てられたＭＡＣアドレスやＩＰアドレス等が示されている。また、右側の列に配置された「クラスＩＤ」の欄には、クラスＩＤが番号で示されている。
【００３８】
上記の番号で示されたクラスＩＤは、左欄に示されているＭＡＣアドレスやＩＰアドレスと相互に対応している。例えば、クラスＩＤの欄に示されている「２０」は、送信元アドレスの欄に示された端末機器１０のＭＡＣアドレス又はＩＰアドレスと対応しており、クラスＩＤの欄に示された「３０」は、端末機器１２のＭＡＣアドレス又はＩＰアドレスと相互に対応している。
【００３９】
例えば、転送処理部３４が、端末機器１０から送信されたユーザフレームを受信した際、ユーザフレームの送信元ＭＡＣアドレスや送信元ＩＰアドレスに基づいてクラスＩＤテーブル３６を参照し、端末機器１０のＭＡＣアドレスやＩＰアドレスに対応付けられて登録されているクラスＩＤ「２０」を特定する。そして、特定されたクラスＩＤ「２０」をユーザフレームに付加する。
【００４０】
ネットワーク中継装置１，２は、転送処理部３４において、認証サーバ２０が送信した認証が成功した旨の応答データを端末機器１０，１２，１４，１６へ中継する際に、応答データに格納されているクラスＩＤを参照し、端末機器１０，１２，１４，１６のＭＡＣアドレス又はＩＰアドレスと、クラスＩＤとを対応付けてクラスＩＤテーブル３６に登録する。
【００４１】
図４は、フィルタリング部４０が有するフィルタリングテーブル４２を示す表である。フィルタリング部４０は、クラスＩＤが付加されたユーザフレームが転送処理部３４により転送先のポート４へ中継される過程で、クラスＩＤと対応するポリシーに基づいてユーザフレームをフィルタリングする。ポリシーの内容は、例えば、「アクセスリスト」、「ルーティング」、「優先制御」及び「カウント／ミラー」からなる。なお、ポリシーの内容については、周知のポリシーと同様の規定であり、ここではその詳細な説明を省略する。
【００４２】
図４中、左端列に配置された「クラスＩＤ」の欄には、クラスＩＤを示す番号「２０」や「３０」等が示されている。左から２列目〜５列目に掛けてポリシーの具体的な内容である「アクセスリスト」、「ルーティング」、「優先制御」及び「カウント／ミラー」の欄がそれぞれ配置され、クラスＩＤごとにポリシーの各内容が有効であるか又は無効であるかのいずれかが示されている。
【００４３】
例えば、クラスＩＤの欄に示されたクラスＩＤ「２０」は、「アクセスリスト」及び「優先制御」の欄が「有効」として示されており、「ルーティング」及び「カウント／ミラー」の欄が「無効」として示されている。したがって、フィルタリング部４０は、クラスＩＤ「２０」が付加されたユーザフレームを受信した場合、アクセスリスト及び優先制御に基づいてユーザフレームをフィルタリングする。
【００４４】
なお、上記の「アクセスリスト」、「ルーティング」、「優先制御」、「カウント／ミラー」の４つのに限らず、いずれか一つを用いてもよい。また、その他の内容が、ポリシーに追加されていてもよく、ユーザやこれを管理する作業者がその用途に応じて必要なポリシーをクラスＩＤに規定することができる。
【００４５】
このように、クラスＩＤと、各種のポリシーのうちいずれのポリシーを有効とするか、又は無効とするかを自由に組み合わせて規定することができる。このため、例えば、ネットワーク中継装置１，２や端末機器１０，１２，１４，１６を管理する作業者は、ユーザ単位又は機器単位でそれぞれに必要なポリシーを規定することができる。
【００４６】
図５は、認証ＤＢ４６に登録された認証情報及びクラスＩＤを示す表である。図５中、左端列に配置された「ユーザＩＤ」の欄には、各端末機器１０，１２，１４，１６を使用するユーザを認識するためのアカウント情報が示されている。ここでは、例えば、端末機器１０を使用するユーザを認識ためのアカウント情報として「ｕｓｅｒ１」が「ユーザＩＤ」の欄に示されているものとする。
【００４７】
また、左から２列目に配置された「パスワード」の欄には、「ユーザＩＤ」の欄に示されているアカウント情報に対応するパスワードが示されている。例えば、「ユーザＩＤ」の欄に示された「ｕｓｅｒ１」に対応するパスワードが、「ｐａｓｓ１」として「パスワード」の欄に示されている。
【００４８】
左から３列目に配置された「ＶＬＡＮ ＩＤ」の欄には、ＶＬＡＮ情報が示されている。例えば、端末機器１０を使用するユーザがＶＬＡＮ番号１０に所属している場合、ＶＬＡＮ番号を表す「１０」が「ＶＬＡＮ ＩＤ」の欄に示されている。なお、「ＶＬＡＮ ＩＤ」の欄の下から１行目〜３行目に示す「−」は、端末機器にＶＬＡＮが設定されていないことを便宜的に表している。
【００４９】
右端列に配置された「クラスＩＤ」の欄には、上述したクラスＩＤが番号で示されている。「クラスＩＤ」の欄に示されている番号は、「ユーザＩＤ」の欄に登録されたアカウント情報と対応しており、例えば「ｕｓｅｒ１」は、クラスＩＤの欄に示された「２０」と対応している。
【００５０】
図６は、ユーザフレームの転送処理の流れを示すシーケンス図である。以下、シーケンス図に基づいて、ユーザフレームの転送処理の流れを説明する。
【００５１】
ステップＳ１０：端末機器１０は、所定のネットワーク認証方式に基づき、認証情報を認証サーバ２０へ向けて送信する。
ステップＳ１２：ネットワーク中継装置１は、端末機器１０から送信された認証情報を認証サーバ２０へ転送する。
ステップＳ１４：認証サーバ２０は、認証情報を受信すると、認証ＤＢ４６を参照し、認証の成功又は不成功を判定する。次に、認証サーバ２０は、認証した結果を示す応答データを端末機器１０へ向けて通知する（ステップＳ１６）。
【００５２】
ステップＳ１８：ネットワーク中継装置１は、認証サーバ２０から送信された応答データを端末機器１０へ転送する。なお、認証が成功した場合、ネットワーク中継装置１は、受信した応答データを参照して端末機器１０のＭＡＣアドレス又はＩＰアドレスと、クラスＩＤとを対応付けてクラスＩＤテーブルに登録する。
【００５３】
ここで、端末機器１０は、ネットワーク中継装置１から転送された応答データが認証成功を示す場合、ネットワーク中継装置１を介しての通信が可能となる。一方、認証が失敗した場合、例えば、端末機器１０を使用するユーザにより再度認証情報を入力し直してステップＳ１０を実行してもよい。いずれにしても、認証が成功しない限り、ネットワーク中継装置１において通信が遮断されるため、端末機器１０は、ネットワーク中継装置１を介してデータを送受信することができない。
【００５４】
以下のステップＳ２０からステップＳ２８では、例えば、端末機器１０が業務サーバ２２へアクセスする場合におけるユーザフレームの転送処理について説明する。
【００５５】
ステップＳ２０：端末機器１０は、業務サーバ２２へ向けてユーザフレームを送信する。
【００５６】
ステップＳ２２：ネットワーク中継装置１は、端末機器１０から送信されたユーザフレームを受信すると、ユーザフレームの送信元ＭＡＣアドレスによりクラスＩＤテーブル３６を参照し、ユーザフレームの送信元ＭＡＣアドレスに対応付けられて記憶されているクラスＩＤ「２０」をユーザフレームに付加する。
【００５７】
ステップＳ２４：次にネットワーク中継装置１は、ユーザフレームの宛先ＭＡＣアドレスに基づいてＦＤＢ３８を参照し、ユーザフレームの宛先ＭＡＣアドレスに対応付けられて記憶されているポート番号を特定し、このポート番号をユーザフレームに付加し、送受信部３０にユーザフレームを転送する
【００５８】
ステップＳ２６：ネットワーク中継装置１のフィルタリング部４０は、ユーザフレームを送受信部３０に転送する過程で、クラスＩＤに対応するポリシーに基づきユーザフレームのフィルタリングを実行する。例えば、フィルタリング部４０は、ユーザフレームにクラスＩＤ「２０」が付加されている場合、これに対応するポリシーのうち図４中で「有効」を示す「アクセスリスト」及び「優先制御」に基づいてユーザフレームのフィルタリングを行う。なお、本実施形態では、アクセスリストにより、クラスＩＤ「２０」について業務サーバ２０へのアクセスが許可されているものとする。
【００５９】
ステップＳ２８：ネットワーク中継装置１は、上記のフィルタリングに基づいてユーザフレームをポート４から業務サーバ２０へ転送する。なお、このときネットワーク中継装置１は、ユーザフレームに付加されたクラスＩＤを削除したうえで転送する。
【００６０】
以下のステップＳ３０からステップＳ３８では、例えば、端末機器１０が公衆ネットワーク２６へアクセスする場合におけるユーザフレームの転送処理について説明する。
【００６１】
ステップＳ３０：端末機器１０は、公衆ネットワーク２６へ向けてユーザフレームを送信する。
ステップＳ３２：ネットワーク中継装置１は、端末機器１０から送信されたユーザフレームを受信すると、上述したステップＳ２２〜ステップＳ２４と同様の手順を実行する。すなわち、ネットワーク中継装置１は、クラスＩＤ「２０」をユーザフレームに付加し（ステップＳ３２）、次に、ＦＤＢ３８を参照して転送先のポート４を特定する（ステップＳ３４）。また、フィルタリング部４０はクラスＩＤ「２０」に規定されたポリシー（アクセスリスト及び優先制御）に基づいて、ユーザフレームのフィルタリングを行なう（ステップＳ３６）。なお、本実施形態では、アクセスリストにより、クラスＩＤ「２０」について公衆ネットワーク２６へのアクセスが禁止されているものとする。
【００６２】
ステップＳ３８：ネットワーク中継装置１は、ステップＳ３６でユーザフレームのフィルタリングを行なった結果、このユーザフレームを転送先のポート４から送信することなく破棄する。
【００６３】
以下のステップＳ４０からステップＳ４４では、端末機器１２が認証サーバ２０により認証される際の認証情報の転送処理について説明する。
【００６４】
ステップＳ４０：端末機器１２は、端末機器１２を利用するユーザによって入力されたユーザＩＤやパスワード等の認証情報を認証サーバ２０へ向けて送信する。
【００６５】
ステップＳ４２：ネットワーク中継装置１は、端末機器１２から送信された認証情報を認証サーバ２０へ転送する。
【００６６】
ステップＳ４４：認証サーバ２０は、認証情報を受信すると、ステップＳ１４と同様に、受信した認証情報により認証ＤＢ４６を参照し、認証の成功又は不成功を判定する。次に認証サーバ２０は、ステップＳ１６と同様に、認証結果を示す応答データを端末機器１２へ向けて通知する（ステップＳ４６）。なお、このときネットワーク中継装置１は、受信した応答データの内容を参照して、端末機器１２のＭＡＣアドレス又はＩＰアドレスと、クラスＩＤとを対応付けてクラスＩＤテーブル３６に登録する。
【００６７】
以下のステップＳ５０からステップＳ５８では、ステップＳ４６で認証が成功した後に端末機器１２が公衆ネットワーク２６へアクセスする場合における、ユーザフレームの転送処理について説明する。
【００６８】
ステップＳ５０：端末機器１２は、公衆ネットワーク２６へ向けてユーザフレームを送信する。
ステップＳ５２：ネットワーク中継装置１は、端末機器１２から送信されたユーザフレームを受信すると、ユーザフレームの送信元ＭＡＣアドレスによりクラスＩＤテーブル３６を参照し、ユーザフレームの送信元ＭＡＣアドレスと対応付けられて記憶されているクラスＩＤ「３０」をユーザフレームに付加する。
【００６９】
ステップＳ５４：次にネットワーク中継装置１は、ユーザフレームの宛先ＭＡＣアドレスによりＦＤＢ３８を参照し、ユーザフレームの宛先ＭＡＣアドレスと対応付けられて記憶されているポート番号を特定し、このポート番号をユーザフレームに付加し、送受信部３０にユーザフレームを転送する。
【００７０】
ステップＳ５６：ネットワーク中継装置１は、ユーザフレームを転送先のポート４へ転送する過程で、フィルタリング部４０により、ユーザフレームに付加されたクラスＩＤに対応するポリシーに基づいてフィルタリングを行う。例えば、ユーザフレームにクラスＩＤ「３０」が付加されている場合、図４中で「有効」として示された「ルーティング」及び「優先制御」に基づいてユーザフレームの転送制御を行なう。
【００７１】
ステップＳ５８：ネットワーク中継装置１は、フィルタリング部４０において上記の「ルーティング」及び「優先制御」に基づいてユーザフレームのフィルタリングを行い、このユーザフレームをポート４から公衆ネットワーク２６へ送信する。
【００７２】
このように、ネットワーク中継装置１，２は、端末機器１０，１２，１４，１６の端末機器識別情報とクラスＩＤとを対応付けて記憶することにより、端末機器１０，１２，１４，１６が送信するユーザフレームに対して、それぞれクラスＩＤに対応するポリシーに基づくフィルタリングを実行することができる。
【００７３】
また、認証ＤＢ４６に、端末機器又は端末機器を使用するユーザを認証する認証情報と、クラスＩＤとを対応付けて記憶することにより、端末機器又はユーザ単位で、クラスＩＤに対応するポリシーを適用することができる。
【００７４】
また、フィルタリングテーブル４２にクラスＩＤとクラスＩＤに対応するポリシーの内容を記憶させることにより、容易に各種のポリシーを設定できる。そして、端末機器又はユーザにクラスＩＤを割り当てることで、設定したポリシーを端末機器又はユーザ単位で適用することができる。よって、ネットワーク中継装置１，２は、ＶＬＡＮ単位で各種のポリシーを適用することに限定されず、同じＶＬＡＮに所属していても、端末機器又はユーザにクラスＩＤを割り当てることで、端末機器又はユーザ単位で各種のポリシーを適用することができる。
【００７５】
〔第２実施形態〕
次に、第２実施形態のネットワーク中継装置１，２について説明する。第２実施形態では、認証サーバ２０の代わりにネットワーク中継装置１，２においてネットワーク認証が行われる点が第１実施形態と異なっている。その他の構成は第１実施形態と同様であり、第２実施形態では、第１実施形態と共通の構成には図示とともに同じ符号を付し、重複した説明を省略するものとする。
【００７６】
図７は、第２実施形態の転送処理システムの構成例を概略的に示す図である。ネットワーク中継装置１，２のポート４には、企業内ネットワーク１８を介して業務サーバ２０、公衆ネットワーク２６等が接続されている。
【００７７】
また、ネットワーク中継装置１，２のポート４には、アクセスポイント６及びＨＵＢ８が接続されている。アクセスポイント６及びＨＵＢ８に接続された端末機器１０，１２，１４，１６は、ネットワーク中継装置１，２を介して、業務サーバ２０、公衆ネットワーク２６へアクセスすることができる。また、ネットワーク中継装置１，２は、所定のネットワーク認証方式を用いて、端末機器１０，１２，１４，１６の認証やこれらを使用するユーザの認証を実行する。また、ネットワーク中継装置１，２は、端末機器１０，１２，１４，１６が業務サーバ２０、や公衆ネットワーク２６へアクセスする際、各種のポリシーに基づいてフィルタリングを行う。
【００７８】
図８は、第２実施形態のネットワーク中継装置１，２の機能的な構成を概略的に示すブロック図である。第２実施形態のネットワーク中継装置１，２は、認証部（認証手段）としてのＣＰＵ２８と、認証管理部（認証管理手段）としての認証ＤＢ４８とを備える。
【００７９】
第１実施形態では、予め作業者が認証サーバ２０の認証ＤＢ４６にユーザＩＤやパスワード、ＶＬＡＮ ＩＤ、クラスＩＤ等を登録することで、複数のネットワーク中継装置１，２を介して接続された端末機器１０，１２，１４，１６を利用するユーザ等の認証情報を認証サーバ２０で一元的に管理していた。しかし、第２実施形態のネットワーク中継装置１，２のように、それぞれのネットワーク中継装置１，２に接続された端末機器に関して、認証情報を各ネットワーク中継装置１，２の認証ＤＢ４８に記憶させておくこともできる。
【００８０】
この場合、ネットワーク中継装置１，２のＣＰＵ２８は、端末機器１０，１２，１４，１６から送信された認証情報を受信すると、受信した認証情報により認証ＤＢ４８を参照し、認証ＤＢ４８に認証情報が登録されている場合、認証は成功と判定し、認証ＤＢ４８に認証情報が登録されていない場合、認証は不成功と判定する。認証が成功した場合、各端末機器１０，１２，１４，１６は、ネットワーク中継装置１，２を介して業務サーバ２０、公衆ネットワーク２６へアクセスすることができる。また、制御部３２はフィルタリング部４０により、クラスＩＤに対応するポリシーに基づいて業務サーバ２０や、公衆ネットワーク２６へのアクセスを制限したり、転送経路を決定したりする。
【００８１】
図９は、第２実施形態におけるユーザフレームの転送処理の流れを示すシーケンス図である。
【００８２】
ステップＳ６０：端末機器１０は、ユーザＩＤやパスワード等、端末機器１０を利用するユーザによって入力された認証情報をネットワーク中継装置１へ向けて送信する。
【００８３】
ステップＳ６２：ネットワーク中継装置１は、受信した認証情報により認証ＤＢ４８を参照し、認証の成功又は不成功を判定する。次に、ネットワーク中継装置１は、認証した結果を端末機器１０へ向けて通知する（ステップＳ６４）。
【００８４】
端末機器１０は、ネットワーク中継装置１を介して通信を行う際に、第１実施形態と同様に、端末機器１０に割り当てられたクラスＩＤに対応するポリシーに基づくフィルタリングが行われる。具体的に、端末機器１０は、業務サーバ２２へアクセスすることができるが、公衆ネットワーク２６にはアクセスすることができない。
【００８５】
ステップＳ７０：端末機器１２も、端末機器１０と同様に、認証情報をネットワーク中継装置１へ向けて送信する。ネットワーク中継装置１は、端末機器１２から送信された認証情報を受信すると、上記のステップＳ６２及びステップＳ６４と同様に、受信した認証情報により認証ＤＢ４８を参照し、認証の成功又は不成功を判定する（ステップＳ７２）。そして、ネットワーク中継装置１は、認証した結果を端末機器１２へ向けて通知する（ステップＳ７４）。
【００８６】
このように、各ネットワーク中継装置１，２は、様々なネットワーク認証方式を用いて各端末機器１０，１２，１４，１６の認証やユーザの認証を実行することができる。さらに、ネットワーク中継装置１，２は、認証された各端末機器１０，１２，１４，１６から送信されたユーザフレームに対して個々のクラスＩＤを付加することができる。これにより、各端末機器１０，１２，１４，１６からネットワーク中継装置１，２を介して実行される通信と、各端末機器１０，１２，１４，１６やこれらを使用するユーザに割り当てられた認証情報を各ネットワーク中継装置１，２において効率的に管理することができる。
【００８７】
本発明のネットワーク中継装置及び転送制御システムによれば、端末機器やこれを使用するユーザに割り当てられたユーザに割り当てられたクラスＩＤごとに各種のポリシーを適用することができる。これにより、端末機器又はユーザ単位で、フィルタリングポリシーを適用することができる。
【符号の説明】
【００８８】
１，２ ネットワーク中継装置
１０，１２，１４，１６ 端末機器
２０ 認証サーバ
３４ 転送処理部
３６ クラスＩＤテーブル
３８ ＦＤＢ
４０ フィルタリング部
４６，４８ 認証ＤＢ
【特許請求の範囲】
【請求項１】
端末機器から送信されたユーザフレームを中継するネットワーク中継装置であって、
前記端末機器を識別する端末機器識別情報とフィルタリング用識別情報とを対応付けて記憶するフィルタリング用識別情報記憶部と、
前記ユーザフレームに格納された前記ユーザフレームを送信した前記端末機器の前記端末機器識別情報により前記フィルタリング用識別情報記憶部を参照し、前記端末機器識別情報に対応する前記フィルタリング用識別情報を特定する転送処理部と、
前記フィルタリング用識別情報とフィルタリングのためのポリシーとを対応付けて記憶しており、前記転送処理部において特定された前記フィルタリング用識別情報に対応する前記ポリシーに基づいて、前記ユーザフレームに対しフィルタリングを実行するフィルタリング部と
を備えるネットワーク中継装置。
【請求項２】
前記端末機器は、前記ネットワーク中継装置を介して、又は前記ネットワーク中継装置との間で、所定のネットワーク認証方式によって認証を行い、
前記転送処理部は、
認証が成功した前記端末機器について、前記端末機器識別情報と前記フィルタリング用識別情報とを対応付けて前記フィルタリング用識別情報記憶部に記憶する
請求項１に記載のネットワーク中継装置。
【請求項３】
前記端末機器又は前記端末機器を使用するユーザを認証するための認証情報と、前記フィルタリング用識別情報とを対応付けて記憶する認証管理部と、
前記端末機器から前記認証情報が送信された場合、受信した前記認証情報により前記認証管理部を参照して認証を実行する認証部と
を更に備え、
前記転送処理部は、
前記認証部による認証が成功した場合、認証が成功した前記端末機器の前記端末機器識別情報と、認証が成功した前記認証情報に対応して前記認証管理部に記憶されている前記フィルタリング用識別情報とを対応付けて、前記フィルタリング用識別情報記憶部に記憶する
請求項２に記載のネットワーク中継装置。
【請求項４】
前記転送処理部は、
前記ユーザフレームに格納された前記ユーザフレームを送信した前記端末機器の前記端末機器識別情報として前記ユーザフレームの送信元情報により前記フィルタリング用識別情報記憶部を参照する
請求項１から３いずれかに記載のネットワーク中継装置。
【請求項５】
前記端末機器情報は、前記端末機器に割り当てられたＭＡＣアドレス又はＩＰアドレスである
請求項１から４いずれかに記載のネットワーク中継装置。
【請求項６】
端末機器と、前記端末機器から送信されたユーザフレームを中継するネットワーク中継装置とからなり、前記ネットワーク中継装置が前記ユーザフレームを中継する際に前記ユーザフレームをフィルタリングする転送制御システムであって、
前記ネットワーク中継装置は、
前記端末機器を識別する端末機器識別情報とフィルタリング用識別情報とを対応付けて記憶するフィルタリング用識別情報記憶部と、
前記ユーザフレームに格納された前記ユーザフレームを送信した前記端末機器の前記端末機器識別情報により前記フィルタリング用識別情報記憶部を参照し、前記端末機器識別情報に対応する前記フィルタリング用識別情報を特定する転送処理手段と、
前記フィルタリング用識別情報とフィルタリングのためのポリシーとを対応付けて記憶しており、前記転送処理手段により特定された前記フィルタリング用識別情報に対応する前記ポリシーに基づいて、前記ユーザフレームに対しフィルタリングを実行するフィルタリング手段と
を備える転送制御システム。
【請求項７】
前記端末機器は、前記ネットワーク中継装置を介して、又は前記ネットワーク中継装置との間で、所定のネットワーク認証方式によって認証を行い、
前記転送処理手段は、
認証が成功した前記端末機器について、前記端末機器識別情報と前記フィルタリング用識別情報とを対応付けた前記フィルタリング用識別情報記憶部に記憶をする
請求項６に記載の転送制御システム。
【請求項８】
前記ネットワーク中継装置は、
前記端末機器又は前記端末機器を使用するユーザを認証するための認証情報と前記フィルタリング用識別情報とを対応付けて記憶する認証管理手段と、
前記端末機器から前記認証情報が送信された場合、受信した前記認証情報により前記認証管理手段により記憶した前記認証情報とこれに対応する前記フィルタリング情報とを参照して認証を実行する認証手段と
を更に備え、
前記転送処理手段は、
前記認証手段による認証が成功した場合、認証が成功した前記端末機器の前記端末機器識別情報と、認証が成功した前記認証情報に対応して前記認証管理手段により記憶された前記フィルタリング用識別情報とを対応付けて、前記フィルタリング用識別情報記憶部へ記憶する
請求項７に記載の転送制御システム。
【請求項９】
前記転送処理手段は、
前記ユーザフレームに格納された前記ユーザフレームを送信した前記端末機器の前記端末機器識別情報として前記ユーザフレームの送信元情報により前記フィルタリング用識別情報記憶部を参照する
請求項６から８いずれかに記載の転送制御システム。
【請求項１０】
前記端末機器識別情報は、前記端末機器に割り当てられたＭＡＣアドレス又はＩＰアドレスである
請求項６から９いずれかに記載の転送制御システム。
【請求項１】
端末機器から送信されたユーザフレームを中継するネットワーク中継装置であって、
前記端末機器を識別する端末機器識別情報とフィルタリング用識別情報とを対応付けて記憶するフィルタリング用識別情報記憶部と、
前記ユーザフレームに格納された前記ユーザフレームを送信した前記端末機器の前記端末機器識別情報により前記フィルタリング用識別情報記憶部を参照し、前記端末機器識別情報に対応する前記フィルタリング用識別情報を特定する転送処理部と、
前記フィルタリング用識別情報とフィルタリングのためのポリシーとを対応付けて記憶しており、前記転送処理部において特定された前記フィルタリング用識別情報に対応する前記ポリシーに基づいて、前記ユーザフレームに対しフィルタリングを実行するフィルタリング部と
を備えるネットワーク中継装置。
【請求項２】
前記端末機器は、前記ネットワーク中継装置を介して、又は前記ネットワーク中継装置との間で、所定のネットワーク認証方式によって認証を行い、
前記転送処理部は、
認証が成功した前記端末機器について、前記端末機器識別情報と前記フィルタリング用識別情報とを対応付けて前記フィルタリング用識別情報記憶部に記憶する
請求項１に記載のネットワーク中継装置。
【請求項３】
前記端末機器又は前記端末機器を使用するユーザを認証するための認証情報と、前記フィルタリング用識別情報とを対応付けて記憶する認証管理部と、
前記端末機器から前記認証情報が送信された場合、受信した前記認証情報により前記認証管理部を参照して認証を実行する認証部と
を更に備え、
前記転送処理部は、
前記認証部による認証が成功した場合、認証が成功した前記端末機器の前記端末機器識別情報と、認証が成功した前記認証情報に対応して前記認証管理部に記憶されている前記フィルタリング用識別情報とを対応付けて、前記フィルタリング用識別情報記憶部に記憶する
請求項２に記載のネットワーク中継装置。
【請求項４】
前記転送処理部は、
前記ユーザフレームに格納された前記ユーザフレームを送信した前記端末機器の前記端末機器識別情報として前記ユーザフレームの送信元情報により前記フィルタリング用識別情報記憶部を参照する
請求項１から３いずれかに記載のネットワーク中継装置。
【請求項５】
前記端末機器情報は、前記端末機器に割り当てられたＭＡＣアドレス又はＩＰアドレスである
請求項１から４いずれかに記載のネットワーク中継装置。
【請求項６】
端末機器と、前記端末機器から送信されたユーザフレームを中継するネットワーク中継装置とからなり、前記ネットワーク中継装置が前記ユーザフレームを中継する際に前記ユーザフレームをフィルタリングする転送制御システムであって、
前記ネットワーク中継装置は、
前記端末機器を識別する端末機器識別情報とフィルタリング用識別情報とを対応付けて記憶するフィルタリング用識別情報記憶部と、
前記ユーザフレームに格納された前記ユーザフレームを送信した前記端末機器の前記端末機器識別情報により前記フィルタリング用識別情報記憶部を参照し、前記端末機器識別情報に対応する前記フィルタリング用識別情報を特定する転送処理手段と、
前記フィルタリング用識別情報とフィルタリングのためのポリシーとを対応付けて記憶しており、前記転送処理手段により特定された前記フィルタリング用識別情報に対応する前記ポリシーに基づいて、前記ユーザフレームに対しフィルタリングを実行するフィルタリング手段と
を備える転送制御システム。
【請求項７】
前記端末機器は、前記ネットワーク中継装置を介して、又は前記ネットワーク中継装置との間で、所定のネットワーク認証方式によって認証を行い、
前記転送処理手段は、
認証が成功した前記端末機器について、前記端末機器識別情報と前記フィルタリング用識別情報とを対応付けた前記フィルタリング用識別情報記憶部に記憶をする
請求項６に記載の転送制御システム。
【請求項８】
前記ネットワーク中継装置は、
前記端末機器又は前記端末機器を使用するユーザを認証するための認証情報と前記フィルタリング用識別情報とを対応付けて記憶する認証管理手段と、
前記端末機器から前記認証情報が送信された場合、受信した前記認証情報により前記認証管理手段により記憶した前記認証情報とこれに対応する前記フィルタリング情報とを参照して認証を実行する認証手段と
を更に備え、
前記転送処理手段は、
前記認証手段による認証が成功した場合、認証が成功した前記端末機器の前記端末機器識別情報と、認証が成功した前記認証情報に対応して前記認証管理手段により記憶された前記フィルタリング用識別情報とを対応付けて、前記フィルタリング用識別情報記憶部へ記憶する
請求項７に記載の転送制御システム。
【請求項９】
前記転送処理手段は、
前記ユーザフレームに格納された前記ユーザフレームを送信した前記端末機器の前記端末機器識別情報として前記ユーザフレームの送信元情報により前記フィルタリング用識別情報記憶部を参照する
請求項６から８いずれかに記載の転送制御システム。
【請求項１０】
前記端末機器識別情報は、前記端末機器に割り当てられたＭＡＣアドレス又はＩＰアドレスである
請求項６から９いずれかに記載の転送制御システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１２−７０２２５（Ｐ２０１２−７０２２５Ａ）
【公開日】平成２４年４月５日（２０１２．４．５）
【国際特許分類】
【出願番号】特願２０１０−２１３４４２（Ｐ２０１０−２１３４４２）
【出願日】平成２２年９月２４日（２０１０．９．２４）
【出願人】（０００００５１２０）日立電線株式会社 (3,358)
【Ｆターム（参考）】
【公開日】平成２４年４月５日（２０１２．４．５）
【国際特許分類】
【出願日】平成２２年９月２４日（２０１０．９．２４）
【出願人】（０００００５１２０）日立電線株式会社 (3,358)
【Ｆターム（参考）】
[ Back to top ]