ネットワーク中継装置
【課題】セキュリティの向上と利便性を両立させたネットワーク中継装置を提供する。
【解決手段】ネットワーク中継装置は、外部装置が接続されるとともに、接続された外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、ネットワーク中継装置に外部装置が接続された際に、外部装置が接続されたポートに対して予め定められた認証の種類に従って、外部装置との間で必要な認証を行う認証処理部と、フレームを受信したポートに対して予め定められた認証の種類が第１の認証種類である場合は、受信フレームを中継するとともに、フレームを受信したポートに対して予め定められた認証の種類が第２の認証種類である場合は、認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、を備える。
【解決手段】ネットワーク中継装置は、外部装置が接続されるとともに、接続された外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、ネットワーク中継装置に外部装置が接続された際に、外部装置が接続されたポートに対して予め定められた認証の種類に従って、外部装置との間で必要な認証を行う認証処理部と、フレームを受信したポートに対して予め定められた認証の種類が第１の認証種類である場合は、受信フレームを中継するとともに、フレームを受信したポートに対して予め定められた認証の種類が第２の認証種類である場合は、認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク中継装置に関する。
【背景技術】
【０００２】
ＩＣＴ（Information and Communication Technology）技術の進展に伴い、インテリジェントスイッチと呼ばれるスイッチ製品が登場している。このようなインテリジェントスイッチは、一般的なスイッチと比較して高機能なスイッチのことを意味する。インテリジェントスイッチは様々な機能、例えば、ＶＬＡＮ（Virtual Local Area Network）機能や、セキュリティ機能や、ＱｏＳサービス品質機能等を備えている（例えば、特許文献１）。このような機能の中でも、近年では、ネットワーク内部における脅威を重要視したセキュリティ機能の向上が求められている。
【０００３】
一方、セキュリティの向上と利便性とはトレードオフの関係であり、一方を追求すれば他方を犠牲にせざるを得ないという実情がある。例えば、インテリジェントスイッチにおいて、一般に広く用いられているポートベースのセキュリティ（インテリジェントスイッチのポートに接続する外部装置のＭＡＣアドレスに基づいてトラフィックの入力を制限する）を採用した場合、そのポートに接続される外部装置のＭＡＣアドレスを予め知る必要がある。
【０００４】
しかし、近年では、企業内において個人所有のモバイル端末やスマートフォンなどを業務に利用する従業員や、契約社員や関連会社、取引先のスタッフといったゲストユーザーも増えるようになったことから、このような不特定多数の外部装置が接続されることが想定されるポートについて厳格なセキュリティポリシーを運用することは利便性を損なうという問題があった。
【０００５】
また、このような問題は、インテリジェントスイッチに限らず、セキュリティ機能を備えるネットワーク中継装置全般に共通する問題であった。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−４８２５２号公報
【特許文献２】特開２００６−１２８９８５号公報
【特許文献３】特開２００９−２３９４２７号公報
【特許文献４】特開２００６−５０３７２号公報
【特許文献５】特開２００２−２０４２４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明は、セキュリティの向上と利便性を両立させたネットワーク中継装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００９】
［適用例１］
ネットワーク中継装置であって、
外部装置が接続されるとともに、接続された前記外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、
前記ネットワーク中継装置に前記外部装置が接続された際に、前記外部装置が接続されたポートに対して予め定められた前記認証の種類に従って、前記外部装置との間で必要な認証を行う認証処理部と、
フレームを受信したポートに対して予め定められた前記認証の種類が第１の認証種類である場合は、受信フレームを中継するとともに、フレームを受信したポートに対して予め定められた前記認証の種類が第２の認証種類である場合は、前記認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、
を備える、ネットワーク中継装置。
このような構成にすれば、中継処理部は、フレームを受信したポートに対して予め定められた認証の種類が第１の認証種類の場合は、外部装置からの受信フレームを中継し、フレームを受信したポートに対して予め定められた認証の種類が第２の認証種類の場合は、接続された外部装置の認証が成功した場合に、外部装置からの受信フレームを中継するため、ネットワーク中継装置において、セキュリティの向上と利便性を両立させることができる。
【００１０】
［適用例２］
適用例１記載のネットワーク中継装置であって、さらに、
前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置からの受信フレームを監視するセキュリティ管理部を備える、ネットワーク中継装置。
このような構成にすれば、認証の種類として第１の認証種類が対応付けられているポートに接続された外部装置からの受信フレームを監視するセキュリティ管理部を備えるため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１１】
［適用例３］
適用例１または２記載のネットワーク中継装置であって、
前記セキュリティ管理部は、さらに、
前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置からの受信フレームに、コンピュータウィルスが含まれるか否かを検出する、ネットワーク中継装置。
このような構成にすれば、セキュリティ管理部は、認証の種類として第１の認証種類が対応付けられているポートに接続された外部装置からの受信フレームに、コンピュータウィルスが含まれるか否かを検出するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１２】
［適用例４］
適用例１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記セキュリティ管理部は、さらに、
前記外部装置が接続された際に、前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置と、前記認証の種類として前記第２の認証種類が対応付けられているポートに接続された前記外部装置とに対して、異なる仮想ネットワークの識別子を送信する、ネットワーク中継装置。
このような構成にすれば、セキュリティ管理部は、外部装置が接続された際に、認証の種類として第１の認証種類が対応付けられているポートに接続された外部装置と、認証の種類として第２の認証種類が対応付けられているポートに接続された外部装置とに対して、異なる仮想ネットワークの識別子を送信するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１３】
［適用例５］
適用例１ないし４のいずれか一項記載のネットワーク中継装置であって、さらに、
前記中継処理部が前記受信フレームの中継可否を決定する際に用いる情報であって、前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを備え、
前記中継処理部は、さらに、
前記第１の許可リストに規定された内容を変更する認証情報管理部を含む、ネットワーク中継装置。
このような構成にすれば、中継処理部は、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを用いて受信フレームの中継可否を決定し、認証情報管理部は、第１の許可リストに規定された内容を変更するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１４】
［適用例６］
適用例５記載のネットワーク中継装置であって、
前記認証情報管理部は、
前記認証の種類として前記第１の認証種類が対応付けられているポートに前記外部装置が接続された場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更し、
前記認証の種類として前記第２の認証種類が対応付けられているポートに前記外部装置が接続され、前記認証処理部による認証が成功した場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更する、
ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、認証の種類として第１の認証種類が対応付けられているポートに外部装置が接続された場合に、外部装置からの受信フレームを中継可能とするように第１の許可リストに規定された内容を変更し、認証の種類として第２の認証種類が対応付けられているポートに外部装置が接続され、認証が成功した場合に、外部装置からの受信フレームを中継可能とするように第１の許可リストに規定された内容を変更するため、ネットワーク中継装置において、セキュリティの向上と利便性を両立させることができる。
【００１５】
［適用例７］
適用例５または６記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記第１の許可リストを変更した場合は、前記ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、前記第１の許可リストの内容を送信する、ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、第１の許可リストを変更した場合は、ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、第１の許可リストの内容を送信するため、ネットワーク中継装置において、さらに利便性の向上を図ることができる。
【００１６】
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、ネットワーク中継装置、ネットワーク中継装置の制御方法、ネットワーク中継装置を用いたネットワークシステム、および、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。
【図２】スイッチの構成を概略的に示す説明図である。
【図３】認証方法リストの一例を示す説明図である。
【図４】許可リストの一例を示す説明図である。
【図５】フレーム受信時処理の手順を示すフローチャートである。
【図６】スイッチに新たな外部装置（ＰＣ）が接続された場合であってＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。
【図７】Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）の処理の流れを示すシーケンス図である。
【図８】スイッチに新たな外部装置（ＰＣ）が接続された場合であって認証処理（図５：ステップＳ１６）が行われる際の様子を示す説明図である。
【図９】認証処理（図５：ステップＳ１６）の処理の流れを示すシーケンス図である。
【図１０】許可リストの他の例を示す説明図である。
【図１１】スイッチに新たな外部装置（他のスイッチ）が接続された場合であってＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。
【図１２】第２実施例におけるスイッチの構成を概略的に示す説明図である。
【図１３】ＶＬＡＮ定義情報の一例を示す説明図である。
【図１４】デフォルトＶＬＡＮ情報の一例を示す説明図である。
【図１５】第２実施例におけるスイッチに新たな外部装置（ＰＣ）が接続された場合であってＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。
【図１６】第２実施例におけるＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）の処理の流れを示すシーケンス図である。
【発明を実施するための形態】
【００１８】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
【００１９】
Ａ．第１実施例：
（Ａ−１）装置構成：
図１は、本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。ネットワーク中継装置（以降、「スイッチ」とも呼ぶ。）１００は、いわゆるレイヤ２スイッチであり、ＭＡＣアドレスによるフレームの中継を行う機能を有する。また、スイッチ１００は、５つのポートＰ５０１〜Ｐ５０５を備えている。ポートには外部装置（例えば、ＰＣや他のスイッチ）が接続される。
【００２０】
図１の例では、ポートＰ５０１には、回線を通じてパーソナルコンピュータ（以降、「端末」、「ＰＣ」とも呼ぶ。）１０が接続されている。ＰＣ１０のＭＡＣアドレスはＭＡＣ＿ＰＣ１０である。ポートＰ５０２には、回線を通じてＰＣ２０が接続されている。ＰＣ２０のＭＡＣアドレスはＭＡＣ＿ＰＣ２０である。ポートＰ５０３には、ＬＡＮケーブルのみが接続されている。ポートＰ５０３は、例えば、契約社員や関連会社、取引先のスタッフといったゲストユーザー用のＬＡＮ接続口であり、不特定多数のＰＣが接続されることが想定されている。なお、図１では便宜上、説明上必要としない、他のネットワーク装置、回線、端末、およびネットワーク中継装置１００内の構成部については図示を省略している。このことは、後述する図においても同様である。
【００２１】
図２は、スイッチ１００の構成を概略的に示す説明図である。スイッチ１００は、ＣＰＵ２００と、ＲＯＭ３００と、ＲＡＭ４００と、有線通信インタフェース（有線通信Ｉ／Ｆ）５００とを備えている。スイッチ１００の各構成要素は、バスを介して互いに接続されている。
【００２２】
ＣＰＵ２００は、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００に展開して実行することにより、スイッチ１００の各部を制御する。また、ＣＰＵ２００は、中継処理部２１０、ＥＡＰ認証部２４０、セキュリティ管理部２５０としても機能する。中継処理部２１０は、さらに、認証情報管理部２２０と、ＭＡＣアドレス認証部２３０とを含み、有線通信インタフェース５００を介して受信したフレームである受信フレームを中継する機能を有する。認証情報管理部２２０は、主として、許可リスト４２０を更新する機能と、他のスイッチとの間において許可リスト４２０を交換する機能とを有する。ＭＡＣアドレス認証部２３０は、受信フレームの中継可否を決定する機能を有する。認証処理部としてのＥＡＰ認証部２４０は、スイッチ１００に外部装置（例えば、ＰＣや他のスイッチ）が接続された際に、予め定められた認証方式に従って、外部装置との間で認証を行う機能を有する。セキュリティ管理部２５０は、受信フレームに対するセキュリティ面からの管理を行う機能を有する。これら各機能部についての詳細は後述する。
【００２３】
ＲＡＭ４００には、認証方法リスト４１０と、許可リスト４２０とが含まれている。これら各リストについての詳細は後述する。有線通信インタフェース５００は、ローカルエリアネットワーク（ＬＡＮ）と接続するためのＬＡＮケーブルの接続口である。有線通信インタフェース５００は、５つのポートＰ５０１〜Ｐ５０５を含んでいる。なお、本実施例では、ポートＰ５０１〜Ｐ５０４はスイッチ以外の外部装置（例えば、ＰＣやモバイル端末等）を接続するためのポートである。ポートＰ５０５は、他のスイッチを接続するためのカスケード接続用ポートである。
【００２４】
（Ａ−２）テーブル構成：
図３は、認証方法リスト４１０の一例を示す説明図である。認証方法リスト４１０は、ポート番号フィールドと、認証の種類フィールドと、ＭＡＣ認証フィールドとを含んでいる。ポート番号フィールドの各エントリには、スイッチ１００が備える全てのポートについての識別子が格納されている。
【００２５】
認証の種類フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められた認証の種類が格納されている。認証の種類とは、ポートに対して外部装置が接続された際に、ＥＡＰ認証部２４０が接続された外部装置に対して行うべき認証の種類のことを意味する。本実施例における認証の種類は、「ＥＡＰ」と、「Ｎｏ Ａｕｔｈ」と、「Ｏｐｅｎ」とを含んでいる。第２の認証種類としてのＥＡＰは、スイッチ１００に対して接続された外部装置の認証が必要であることを意味する。認証の種類がＥＡＰである場合において実際に用いられる認証方式は、ＲＡＭ４００内部に予め格納されている。本実施例では、ＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５（extensible authentication protocol-message digest version 5）を用いて認証を行う。なお、ＲＡＭ４００に格納されている認証方式は、利用者によるコンフィギュレーションが可能な構成としてもよい。
【００２６】
第１の認証種類としてのＮｏ Ａｕｔｈは、スイッチ１００に対して接続された外部装置の認証が不要であること（換言すれば、外部装置の認証を省略すること）を意味する。Ｏｐｅｎは、スイッチ１００に対して接続された外部装置の認証を行わないことを意味する。Ｎｏ Ａｕｔｈと、Ｏｐｅｎの違いについては後述する。
【００２７】
ＭＡＣ認証フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められたＭＡＣアドレス認証の有効（ｅｎａｂｌｅ）／無効（ｄｉｓａｂｌｅ）の設定値が格納されている。
【００２８】
例えば、図３の例では、識別子Ｐ５０１で識別されるポート（ポートＰ５０１）に外部装置が接続された際には、ＥＡＰに基づく認証、すなわち、ＥＡＰ−ＭＤ５認証方式に従って認証が行われることが規定されている。また、ポートＰ５０１からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０１）。ポートＰ５０３に外部装置が接続された際には、認証を行わないこと（認証を省略すること）が規定されている。また、ポートＰ５０３からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０３）。ポートＰ５０５に外部装置が接続された際には、認証を行わないことが規定されている。また、ポートＰ５０５からの受信フレームに対しては、ＭＡＣアドレス認証を行わないことが規定されている（エントリＥ０５）。
【００２９】
すなわち、Ｎｏ Ａｕｔｈに設定されたポート（ポートＰ５０３）と、Ｏｐｅｎに設定されたポート（ポートＰ５０５）とでは、当該ポートに接続された外部装置の認証を行わない、という点で共通する。しかし、両者は、次の点において相違する。
・認証の種類がＮｏ Ａｕｔｈに設定されたポートからの受信フレームに対しては、ＭＡＣアドレス認証を行う。
・認証の種類がＮｏ Ａｕｔｈに設定されたポートからの受信フレームに対しては、後述のセキュリティ管理処理が施される。
・認証の種類がＯｐｅｎに設定されたポートからの受信フレームに対しては、ＭＡＣアドレス認証を行わない。
・認証の種類がＯｐｅｎに設定されたポートからの受信フレームに対しては、セキュリティ管理処理を施さない。
【００３０】
なお、エントリＥ０５のように、認証の種類がＯｐｅｎに設定されたポートでは、フレームの中継を正しく行うために、ＭＡＣアドレス認証は無効（ｄｉｓａｂｌｅ）に設定される。このため、スイッチ１００は、認証の種類がＯｐｅｎに設定されたポートに対しては、外部装置の接続時において認証を行わず、さらに、受信フレームに対するＭＡＣアドレス認証も行わない。この結果、認証の種類がＯｐｅｎに設定されたポートがセキュリティホールになる恐れがある。
【００３１】
図４は、許可リスト４２０の一例を示す説明図である。第１の許可リストとしての許可リスト４２０は、ＭＡＣアドレス認証の際に使用されるリストである。許可リスト４２０には、スイッチ１００の中継処理部２１０において中継を許可する受信フレームの送信元ＭＡＣアドレス（フレームの送信元である装置のＭＡＣアドレス）が、許可アドレスとして格納されている。すなわち、許可リスト４２０には、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されているといえる。
【００３２】
例えば、図４の例では、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、「ＭＡＣ＿ＰＣ１０」、「ＭＡＣ＿ＰＣ２０」のいずれかであれば、中継処理部２１０において当該フレームの中継が許可される。
【００３３】
（Ａ−３）フレーム受信時処理：
図５は、フレーム受信時処理の手順を示すフローチャートである。中継処理部２１０は、ポートＰ５０１〜Ｐ５０５のいずれかを介してフレームを受信したか否かを判定する（ステップＳ１０）。フレームを受信していない場合（ステップＳ１０：ＮＯ）、ステップＳ１０へ戻る。フレームを受信した場合（ステップＳ１０：ＹＥＳ）、中継処理部２１０は、受信フレームはＥＡＰフレームか否かを判定する（ステップＳ１２）。具体的には、例えば、中継処理部２１０は、受信フレームのヘッダに含まれるイーサタイプから判断される受信フレームのタイプがＥＡＰＯＬである場合、ＥＡＰフレームを受信したと判定することができる。
【００３４】
受信フレームがＥＡＰフレームである場合（ステップＳ１２：ＹＥＳ）、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索する（ステップＳ１４）。具体的には、ＥＡＰ認証部２４０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリの認証の種類フィールドの値を取得する。ＥＡＰ認証部２４０は、認証処理を行った後、処理を終了する（ステップＳ１６）。認証処理の詳細については後述する。
【００３５】
一方、受信フレームがＥＡＰフレーム以外のフレームである場合（ステップＳ１２：ＮＯ）、ＥＡＰ認証部２４０は認証方法リスト４１０を検索する（ステップＳ１８）。具体的には、ＥＡＰ認証部２４０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリの認証の種類フィールドの値と、ＭＡＣ認証フィールドの値とを取得する。
【００３６】
次に、ＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈポートからの最初の接続であるか否かを判定する（ステップＳ３０）。具体的には、ＥＡＰ認証部２４０は、ステップＳ１８で取得した認証の種類フィールドの値が「Ｎｏ Ａｕｔｈ」であり、かつ、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致するか否かを判定する。認証の種類フィールドの値がＮｏ Ａｕｔｈ、かつ、送信元ＭＡＣアドレスが許可リスト４２０に格納されているＭＡＣアドレスと一致しない場合、ＥＡＰ認証部２４０は、当該フレームは、Ｎｏ Ａｕｔｈポートに接続された外部装置からの最初の受信フレームであると判定する（ステップＳ３０：ＹＥＳ）。ＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈイニシャル処理を行った後、処理を終了する（ステップＳ３２）。Ｎｏ Ａｕｔｈイニシャル処理の詳細については後述する。
【００３７】
一方、認証の種類フィールドの値がＮｏ Ａｕｔｈでない、または、認証の種類フィールドの値がＮｏ Ａｕｔｈであっても送信元ＭＡＣアドレスが許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致する場合、ＥＡＰ認証部２４０は、当該フレームは、Ｎｏ Ａｕｔｈポート以外のポートに接続された外部装置からの受信フレーム、または、Ｎｏ Ａｕｔｈポートに接続された外部装置からの２度目以降の受信フレームであると判定する（ステップＳ３０：ＮＯ）。このため、ＭＡＣアドレス認証部２３０は、ＭＡＣアドレス認証を行うか否かを判定する（ステップＳ２０）。具体的には、ステップＳ１８において取得したＭＡＣ認証フィールドの値が「ｅｎａｂｌｅ」であればＭＡＣアドレス認証を行い、ステップＳ１８において取得した値が「ｄｉｓａｂｌｅ」であればＭＡＣアドレス認証は行わない。ＭＡＣアドレス認証を行わない場合（ステップＳ２０：なし）、処理はステップＳ２８へ遷移する。
【００３８】
ＭＡＣアドレス認証を行う場合（ステップＳ２０：あり）、ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。次に、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であるか否かを判定する（ステップＳ２４）。具体的には、ＭＡＣアドレス認証部２３０は、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致するか否かを判定する。一致しない場合（ステップＳ２４：不可）、ＭＡＣアドレス認証部２３０は、受信フレームを破棄し、処理を終了する（ステップＳ２６）。受信フレームを破棄した際、ＭＡＣアドレス認証部２３０は、破棄したフレームの送信元端末に対して、フレームを破棄した旨の通知を行ってもよい。
【００３９】
一方、一致する場合（ステップＳ２４：可）、ＭＡＣアドレス認証部２３０は、受信フレームは中継可であるものとして、フレーム中継処理を行う（ステップＳ２８）。フレーム中継処理において、中継処理部２１０は、図示しないＭＡＣアドレステーブルを参照し、フォワーディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルにある場合のフレーム中継動作）もしくはフラッディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルに無い場合の動作）を行った後、処理を終了する。このように、中継処理部２１０のＭＡＣアドレス認証部２３０は、許可リスト４２０に従って、受信フレームの中継可否を決定する。
【００４０】
（Ａ−４）新たな外部装置として端末が接続された場合：
以下では、スイッチ１００に対して、新たな外部装置として端末（例えば、ＰＣ）が接続された場合について説明する。
（Ａ−４−１）Ｎｏ Ａｕｔｈイニシャル処理：
図６は、スイッチ１００に新たな外部装置（ＰＣ３０）が接続された場合であって、Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。スイッチ１００の構成は図１で説明した通りである。スイッチ１００のうち、認証の種類がＮｏ Ａｕｔｈであるポート（例えば、ポートＰ５０３）に新たな外部装置（例えば、ＰＣ３０、ＭＡＣアドレスＭＡＣ＿ＰＣ３０）が接続された場合について考える。
【００４１】
新たに接続されたＰＣ３０がスイッチ１００（もしくはスイッチ１００に接続される他のＰＣ）へフレームを送信した場合、スイッチ１００は、ＰＣ３０からのフレームを検出する（図５：ステップＳ１０：ＹＥＳ）。検出したフレームはＥＡＰフレームではないため（ステップＳ１２：ＮＯ）、ＥＡＰ認証部２４０は、認証方法リスト４１０から、フレームを受信したポートＰ５０３の認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」と、ＭＡＣ認証フィールドの値「ｅｎａｂｌｅ」とを取得する（ステップＳ１８）。ＥＡＰ認証部２４０は、認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」であり、送信元ＭＡＣアドレスのＭＡＣ＿ＰＣ３０が許可リスト４２０に格納されていないため、当該フレームは、Ｎｏ Ａｕｔｈポートに接続された外部装置からの最初の受信フレームであると判定する（ステップＳ３０：ＹＥＳ）。このため、ＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈイニシャル処理を行う（ステップＳ３２）。
【００４２】
図７は、Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）の処理の流れを示すシーケンス図である。まず、スイッチ１００は、ＰＣ３０から送信されたフレームを受信する（ステップＳ１００）。スイッチ１００の認証情報管理部２２０は、ＰＣ３０から受信したフレームのヘッダに含まれる送信元ＭＡＣアドレスを、許可リスト４２０に追加する（ステップＳ１０２）。
【００４３】
その後、スイッチ１００のセキュリティ管理部２５０は、ＰＣ３０に対するＳｙｓｌｏｇ管理を開始する（ステップＳ１０４）。具体的には、セキュリティ管理部２５０は、ＰＣ３０のカーネルや各種デーモン、アプリケーション等が出力するログを取得し、スイッチ１００のＲＡＭ４００や、他の記憶媒体（例えば、図示しないフラッシュＲＯＭ、ハードディスク等）に記憶する。また、セキュリティ管理部２５０は、ＰＣ３０から取得したログを監視し、何らかの異常を検知した場合には、スイッチ１００の管理者に対して異常を検知した旨を通知してもよい。通知の方法としては、アラーム点灯、所定アドレスへの電子メール送信等、種々の方法を採用することができる。なお、ＰＣ３０に対するＳｙｓｌｏｇ管理は、ＰＣ３０とのコネクションが切断するまで、継続して行うことが好ましい。
【００４４】
なお、上記Ｓｙｓｌｏｇ管理（ステップＳ１０４）は、あくまでセキュリティ管理部２５０によるセキュリティ管理の一例であり、Ｓｙｓｌｏｇ管理に代えて、または、Ｓｙｓｌｏｇ管理と共に、以下に挙げるような種々の管理方法を用いることができる。
・例えば、セキュリティ管理部２５０は、認証の種類がＮｏ Ａｕｔｈであるポートに接続された外部装置からの受信フレームに対してコンピュータウィルスが含まれるか否かを検出するためのウィルススキャンを実施することができる。例えば、受信フレームからコンピュータウィルスを検出した場合、セキュリティ管理部２５０は、当該受信フレームを中継せずに破棄することができる。また、受信フレーム破棄の際、スイッチ１００の管理者に対してコンピュータウィルスを検出した旨を通知してもよい。
・例えば、セキュリティ管理部２５０は、認証の種類がＮｏ Ａｕｔｈであるポートに接続された外部装置のＭＡＣアドレスを、スイッチ１００のＲＡＭ４００や、他の記憶媒体（例えば、図示しないフラッシュＲＯＭ、ハードディスク等）に記憶しておき、スイッチ１００を含むネットワーク内部で問題が発生した場合などに参照可能な構成としておくことができる。
・例えば、セキュリティ管理部２５０は、Ｎｏ Ａｕｔｈイニシャル処理が行われた際に、許可リスト４２０に対して新しく追加した外部装置の情報（例えば、ＰＣ３０のＭＡＣアドレスや、ＰＣ３０のユーザ名、パスワード等）を、電子メール等を用いて、スイッチ１００の管理者に通知してもよい。
【００４５】
上述のＮｏ Ａｕｔｈイニシャル処理を経て、スイッチ１００の内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、新たにスイッチ１００に接続されたＰＣ３０のＭＡＣアドレス（ＭＡＣ＿ＰＣ３０）が追加される（図６）。
【００４６】
図６を用いて、Ｎｏ Ａｕｔｈイニシャル処理が行われた後において、ＰＣ３０からＰＣ２０へのフレームが送信された場合について考える。ＰＣ３０からのフレームを受信したスイッチ１００は（図５：ステップＳ１０）、受信フレームはＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＥＡＰ認証部２４０は、認証方法リスト４１０から、フレームを受信したポートＰ５０３における認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」と、ＭＡＣ認証フィールドの値「ｅｎａｂｌｅ」とを取得する（ステップＳ１８）。ＥＡＰ認証部２４０は、ステップＳ１８で取得した認証の種類フィールドの値が「Ｎｏ Ａｕｔｈ」であり、送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が許可リスト４２０に格納されているＭＡＣアドレスと一致するため、受信フレームは、Ｎｏ Ａｕｔｈポートに接続された端末からの２度目以降の受信フレームであると判定する（ステップＳ３０：ＮＯ）。
【００４７】
次に、ＭＡＣアドレス認証部２３０は、ステップＳ１８で取得したＭＡＣ認証フィールドの値「ｅｎａｂｌｅ」であるため、ＭＡＣアドレス認証を行うものと判定する（ステップＳ２０：あり）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が、許可リスト４２０に格納されているＭＡＣアドレスと一致するため、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であると判定する（ステップＳ２４：可）。スイッチ１００の中継処理部２１０は、フレーム中継処理を行う（ステップＳ２８）。この結果、スイッチ１００がポートＰ５０３から受信したフレームは、スイッチ１００のポートＰ５０２からＰＣ２０へ向けて送信される。
【００４８】
なお、例えば、スイッチ１００がさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００は、更新後の許可リスト４２０に格納された許可アドレスを含むフレームを、さらに、他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。このように、更新後の許可アドレスを自身が接続されている他のスイッチへ伝播する構成とすれば、ＭＡＣアドレス認証で使用される許可リストの内容（すなわち、フレームの中継を許可すべき外部装置のＭＡＣアドレス）を、スイッチ間で交換することができるため、利便性がさらに向上する。なお、許可アドレスの伝播の範囲は、ルータで区切られた同一のセグメントの範囲内のスイッチとすることができる。なお、ルータそのものに対して許可アドレスの伝播を行ってもよい。そうすれば、ルータによっても、ＭＡＣアドレスを管理することができる。
【００４９】
以上のように、認証の種類が「Ｎｏ Ａｕｔｈ」に設定されたポートに対して外部装置としての端末が接続された場合、スイッチ１００は、接続された端末の認証を省略して、当該端末からのフレームの中継を許可するための処理（すなわち、Ｎｏ Ａｕｔｈイニシャル処理）を行う。このため、認証の種類が「Ｎｏ Ａｕｔｈ」に設定されたポートは、端末側において特別な処理（例えば、ユーザ名やパスワードの入力等）を必要せず、端末を接続するだけで通信が可能なポートとして提供可能となる。従って、例えば、スイッチ１００の管理者は、不特定多数の端末の接続が考えられるポートに関しては、予め認証の種類を「Ｎｏ Ａｕｔｈ」に設定しておくことで、スイッチ１００における利便性を向上させることができる。
【００５０】
さらに、セキュリティ管理部２５０は、認証の種類が「Ｎｏ Ａｕｔｈ」に設定されたポートに対して、図７で説明した種々のセキュリティ管理を行う。このため、スイッチ１００においては、上述のような利便性を確保しつつ、セキュリティの向上を図ることもできる。
【００５１】
（Ａ−４−２）認証処理：
図８は、スイッチ１００に新たな外部装置（ＰＣ４０）が接続された場合であって、認証処理（図５：ステップＳ１６）が行われる際の様子を示す説明図である。スイッチ１００の構成は図１で説明した通りである。スイッチ１００のうち、認証の種類がＥＡＰであるポート（例えば、ポートＰ５０４）に新たな外部装置（例えば、ＰＣ４０、ＭＡＣアドレスＭＡＣ＿ＰＣ４０）が接続された場合について考える。
【００５２】
新たに接続されたＰＣ４０がスイッチ１００へフレームを送信した場合、スイッチ１００は、ＰＣ４０からのフレームを検出する（図５：ステップＳ１０：ＹＥＳ）。ＰＣ４０からのフレームは、認証の開始を要求するためのＥＡＰＯＬ開始フレームであるため（ステップＳ１２：ＹＥＳ）、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索し、認証の種類はＥＡＰであると判定する（ステップＳ１４）。このため、ＥＡＰ認証部２４０は、認証処理を行う（ステップＳ１６）。
【００５３】
図９は、認証処理（図５：ステップＳ１６）の処理の流れを示すシーケンス図である。まず、サプリカント（Supplicant）としてのＰＣ４０から、オーセンティケータ（Authenticator）としてのスイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレーム（EAP over LAN-Start）が送信される（ステップＳ２００）。ＥＡＰＯＬ開始フレームを受信したスイッチ１００のＥＡＰ認証部２４０は、サプリカントのＩＤを要求するＥＡＰ要求フレームを送信する（ステップＳ２０４）。要求フレームを受信したＰＣ４０は、サプリカントのＩＤを含んだＥＡＰ応答フレームを送信する（ステップＳ２０６）。次に、スイッチ１００のＥＡＰ認証部２４０は、認証に使用するＥＡＰのタイプ（本実施例では、ＥＡＰ−ＭＤ５）を通知するＥＡＰ要求フレームを送信する（ステップＳ２０８）。要求フレームを受信したＰＣ４０は、認証に使用するＥＡＰのタイプ（本実施例では、ＥＡＰ−ＭＤ５）の識別子を含んだＥＡＰ応答フレームを送信する（ステップＳ２１０）。
【００５４】
その後、スイッチ１００と、ＰＣ４０との間で、ステップＳ２１０で通知された認証方式に則った認証が行われる（ステップＳ２１２）。認証が成功した場合、スイッチ１００のＥＡＰ認証部２４０は、認証が成功した旨のＥＡＰフレームを送信する（ステップＳ２１４）。なお、上述した各フレームは、ＥＡＰの規約で予め定められた形式に則った構成とされ、ＩＤやタイプ等の値は、フレーム中の規定の位置に格納されるデータとして送受信される。認証成功後、スイッチ１００の認証情報管理部２２０は、ＰＣ４０から受信したフレームのヘッダに含まれる送信元ＭＡＣアドレスを、許可リスト４２０に追加する（ステップＳ２１６）。
【００５５】
上述の認証処理を経て、外部装置の認証が成功した際は、スイッチ１００の内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、新たにスイッチ１００に接続されたＰＣ４０のＭＡＣアドレス（ＭＡＣ＿ＰＣ４０）が追加される（図８）。このため、図６における説明と同様に、認証処理後は、スイッチ１００とＰＣ４０との間におけるフレームは、中継処理部２１０によって中継される。すなわち、認証の種類が「ＥＡＰ」に設定されたポートについては、認証処理成功後に、通信が可能なポートとして提供可能となる。
【００５６】
（Ａ−５）新たな外部装置として他のスイッチが接続された場合：
以下では、スイッチ１００に対して、新たな外部装置として他のスイッチが接続された場合について説明する。
【００５７】
図１０は、許可リスト４２０の他の例を示す説明図である。図３に示した例との違いは、ポートＰ５０５における設定値（エントリＥ０５）のみである。図１０の例では、ポートＰ５０５（すなわち、カスケード接続用ポート）に外部装置としての他のスイッチが接続された際には、認証を行わないこと（認証を省略すること）が規定されている。また、ポートＰ５０５からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０５）。
【００５８】
（Ａ−５−１）Ｎｏ Ａｕｔｈイニシャル処理：
図１１は、スイッチ１００に新たな外部装置（他のスイッチ１００Ｘ）が接続された場合であって、Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。スイッチ１００の構成は、許可リスト４２０に格納されている内容が図１０に示した内容である点を除いては、図１に示したスイッチ１００と同様である。
【００５９】
また、スイッチ１００Ｘの構成は、ポート５０１がカスケード接続用ポートに設定される点を除いては、図１に示したスイッチ１００と同様である。スイッチ１００ＸのポートＰ５０１は、回線を通じてスイッチ１００のポートＰ５０５と接続されている。また、スイッチ１００ＸのポートＰ５０２にはＰＣ５０が、ポートＰ５０３にはＰＣ６０が、ポートＰ５０４にはＰＣ７０が、それぞれ回線を通じて接続されている。また、ＰＣ５０のＭＡＣアドレスはＭＡＣ＿ＰＣ５０、ＰＣ６０のＭＡＣアドレスはＭＡＣ＿ＰＣ６０、ＰＣ７０のＭＡＣアドレスはＭＡＣ＿ＰＣ７０である。なお、スイッチ１００Ｘ内部に格納されている認証方法リスト４１０、許可リスト４２０等については、記載を省略する。
【００６０】
図１１のように、スイッチ１００の認証の種類がＮｏ Ａｕｔｈであるカスケード接続用ポートＰ５０５に対して、新たなスイッチ１００Ｘが接続され、ＰＣ５０からＰＣ２０へフレームが送信された場合について考える。なお、スイッチ１００Ｘにおけるフレームの中継処理等の処理は、説明を省略する。
【００６１】
ＰＣ５０がＰＣ２０へフレームを送信した場合、スイッチ１００は、スイッチ１００Ｘを介して送信されるＰＣ５０からのフレームを検出する（図５：ステップＳ１０：ＹＥＳ）。検出したフレームはＥＡＰフレームではないため（ステップＳ１２：ＮＯ）、スイッチ１００のＥＡＰ認証部２４０は、認証方法リスト４１０から、フレームを受信したポートＰ５０５の認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」と、ＭＡＣ認証フィールドの値「ｅｎａｂｌｅ」とを取得する（ステップＳ１８）。スイッチ１００のＥＡＰ認証部２４０は、認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」であり、送信元ＭＡＣアドレスのＭＡＣ＿ＰＣ５０が許可リスト４２０に格納されていないため、当該フレームは、Ｎｏ Ａｕｔｈポートに接続された外部装置からの最初の受信フレームであると判定する（ステップＳ３０：ＹＥＳ）。このため、スイッチ１００のＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈイニシャル処理を行う（ステップＳ３０）。Ｎｏ Ａｕｔｈイニシャル処理は、図７で説明した通りである。
【００６２】
Ｎｏ Ａｕｔｈイニシャル処理を経て、スイッチ１００の内部に格納されている許可リスト４２０には、既にスイッチ１００に直接的に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、スイッチ１００Ｘを介して新たにスイッチ１００に接続されたＰＣ５０のＭＡＣアドレス（ＭＡＣ＿ＰＣ５０）が追加される（図１１）。このように、ＰＣ５０のＭＡＣアドレスが許可リスト４２０に追加された後のスイッチ１００においては、新たに接続されたＰＣ５０との間の送受信フレームについても、図６で説明したものと同様に、破棄されることなく中継される。また、スイッチ１００ＸのＰＣ６０、ＰＣ７０についても、図１１で説明したＰＣ５０と同様である。すなわち、各ＰＣからの初回のフレーム受信時に、スイッチ１００がＮｏ Ａｕｔｈイニシャル処理を行うことによって、各ＰＣとの送受信フレームの中継を可能とする。
【００６３】
なお、図６で説明したものと同様に、例えば、スイッチ１００がさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００は、更新後の許可リスト４２０に格納された許可アドレスを含むフレームを、さらに、他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。
【００６４】
以上のように、カスケード接続用ポート（ポートＰ５０５）の認証の種類を「Ｎｏ Ａｕｔｈ」とすれば、外部装置としての他のスイッチが接続された場合も、外部装置として端末が接続された場合と同様の処理を行い、同様の効果を得ることができる。すなわち、スイッチ１００は、カスケード接続用ポートを経由して接続される他のスイッチおよび他のスイッチに接続されている外部装置からのアクセスに対しても、図７で説明した種々のセキュリティ管理を実現することが可能となる。
【００６５】
（Ａ−５−２）認証処理：
認証の種類が「ＥＡＰ」に設定されたポートに対して外部装置としての他のスイッチが接続された場合であっても、外部装置として端末が接続された場合と同様の処理（具体的には、図８および図９で説明した処理）を行い、同様の効果を得ることができる。詳細な説明は省略する。
【００６６】
なお、スイッチ１００に対して他のスイッチが接続され、認証処理を行う場合は、スイッチ１００がＩＥＥＥ ８０２．１Ｘに基づく認証サーバ（オーセンティケータ）として機能するほか、スイッチ１００がＩＥＥＥ ８０２．１Ｘに基づく認証クライアント（サプリカント）として機能してもよい。例えば、スイッチ１００は、リンクアップ検出後、一定時間内に接続先の装置からＥＡＰＯＬ開始フレームを受信しない場合は、接続先の装置に対してＥＡＰＯＬ開始フレームを送信する構成を採用することができる。このような場合、スイッチ１００が認証クライアントとして機能し、接続先の装置が認証サーバとして機能する。以上のように、認証処理部としてのＥＡＰ認証部２４０は、ＩＥＥＥ ８０２．１Ｘに基づく認証クライアントと、ＩＥＥＥ ８０２．１Ｘに基づく認証サーバとの両方の機能を有するように構成してもよい。そうすれば、スイッチ１００は、スイッチ１００Ｘに対して、認証クライアントとしても、認証サーバとしても振舞うことができるため、柔軟性の高い認証を実現することができる。
【００６７】
以上のように、第１実施例によれば、ネットワーク中継装置（スイッチ１００）の中継処理部２１０は、フレームを受信したポートに対して予め定められた認証の種類が第１の認証種類（図３：Ｎｏ Ａｕｔｈ）の場合は、接続された外部装置（例えば、ＰＣや他のスイッチ）からの受信フレームを中継し、フレームを受信したポートに対して予め定められた認証の種類が第２の認証種類（図３：ＥＡＰ）の場合は、接続された外部装置の認証が成功した場合に、外部装置からの受信フレームを中継するため、スイッチ１００において、セキュリティの向上と利便性を両立させることができる。
【００６８】
さらに、スイッチ１００は、認証の種類として第１の認証種類（Ｎｏ Ａｕｔｈ）が対応付けられているポートに接続された外部装置からの受信フレームを監視するセキュリティ管理部２５０を備えるため、スイッチ１００において、セキュリティの向上を図ることができる。また、セキュリティ管理部２５０は、認証の種類として第１の認証種類（Ｎｏ Ａｕｔｈ）が対応付けられているポートに接続された外部装置からの受信フレームに、コンピュータウィルスが含まれるか否かを検出することも可能であるため、スイッチ１００において、セキュリティの向上を図ることができる。
【００６９】
さらに、認証情報管理部２２０は、認証の種類として第１の認証種類（Ｎｏ Ａｕｔｈ）が対応付けられているポートに外部装置が接続された場合に、外部装置からの受信フレームを中継可能とするように第１の許可リスト（許可リスト４２０）に規定された内容を変更し、認証の種類として第２の認証種類（ＥＡＰ）が対応付けられているポートに外部装置が接続され、認証が成功した場合に、外部装置からの受信フレームを中継可能とするように許可リスト４２０に規定された内容を変更するため、スイッチ１００において、セキュリティの向上と利便性を両立させることができる。また、認証情報管理部２２０は、許可リスト４２０を変更した場合は、スイッチ１００に接続されている他のネットワーク中継装置（スイッチ）に対して、許可リスト４２０の内容を送信するため、スイッチ１００において、利便性の向上を図ることができる。
【００７０】
Ｂ．第２実施例：
本発明の第２実施例では、第１実施例で説明したネットワーク中継装置において、さらに、ＶＬＡＮ（Virtual LAN）を使用したセキュリティ管理が可能な構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００７１】
（Ｂ−１）装置構成：
図１２は、第２実施例におけるスイッチ１００ａの構成を概略的に示す説明図である。図２に示したスイッチ１００との違いは、中継処理部２１０に代えて中継処理部２１０ａを備える点と、認証情報管理部２２０に代えて認証情報管理部２２０ａを備える点と、セキュリティ管理部２５０に代えてセキュリティ管理部２５０ａを備える点と、ＲＡＭ４００に代えてＲＡＭ４００ａを備える点のみであり、他の構成については第１実施例と同じである。中継処理部２１０ａ、認証情報管理部２２０ａ、セキュリティ管理部２５０ａの機能についての詳細は後述する。ＲＡＭ４００ａは、図３で説明した認証方法リスト４１０と、図４で説明した許可リスト４２０とに加えて、ＶＬＡＮ定義情報４３０と、デフォルトＶＬＡＮ情報４４０とを備えている。
【００７２】
（Ｂ−２）テーブル構成：
図１３は、ＶＬＡＮ定義情報４３０の一例を示す説明図である。第１の仮想ネットワーク定義情報としてのＶＬＡＮ定義情報４３０は、ポート番号フィールドと、ＶＬＡＮ ＩＤフィールドとを含んでいる。ポート番号フィールドの各エントリには、スイッチ１００ａが備える全てのポートについての識別子が格納されている。ＶＬＡＮ ＩＤフィールドには、ポート番号フィールドに格納されている各ポートに対して割り当てられている仮想ネットワークの識別子（ＶＬＡＮ ＩＤ）が格納されている。
【００７３】
例えば、図１３の例では、識別子Ｐ５０１で識別されるポート（ポートＰ５０１）に接続されている外部装置（すなわち、図１のＰＣ１０）は、識別子「１」で識別されるＶＬＡＮに所属することが規定されている。同様に、識別子Ｐ５０２で識別されるポート（ポートＰ５０２）に接続されている外部装置（すなわち、図１のＰＣ２０）は、識別子「１」で識別されるＶＬＡＮに所属することが規定されている。
【００７４】
図１４は、デフォルトＶＬＡＮ情報４４０の一例を示す説明図である。デフォルトＶＬＡＮ情報４４０は、認証の種類フィールドと、ＶＬＡＮ ＩＤフィールドとを含んでいる。認証の種類フィールドには、認証方法リスト４１０において各ポートに割り当てられた認証の種類（ＥＡＰ、Ｎｏ Ａｕｔｈ、Ｏｐｅｎ）が格納されている。なお、認証の種類フィールドに格納される認証の種類は、認証方法リスト４１０において各ポートに割り当てられた認証の種類の一部でもよい。図１４の例では、認証の種類「Ｏｐｅｎ」が省略されている。
【００７５】
ＶＬＡＮ ＩＤフィールドには、認証の種類フィールドに格納されている各認証の種類に対して、予め定められたＶＬＡＮの識別子が格納されている。すなわち、デフォルトＶＬＡＮ情報４４０は、認証の種類と、当該認証の種類が使用されるポートに接続される外部装置に割り当てるべきＶＬＡＮの識別子とを対応付けて記憶するためのテーブルである。
【００７６】
例えば、図１４の例では、認証の種類がＥＡＰのポートに接続される外部装置には、ＶＬＡＮ ＩＤとして「１」が割り当てられることが規定されている。また、認証の種類がＮｏ Ａｕｔｈのポートに接続される外部装置には、ＶＬＡＮ ＩＤとして「２」が割り当てられることが規定されている。このように、本実施例においては、認証の種類がＥＡＰのポートに接続される外部装置と、認証の種類がＮｏ Ａｕｔｈのポートに接続される外部装置とは、異なるＶＬＡＮ ＩＤが割り当てられることが規定されている。
【００７７】
（Ｂ−３）フレーム受信時処理：
第２実施例におけるフレーム受信時処理については、図５で説明したものと同様である。ただし、中継処理部２１０ａは、第１の仮想ネットワークの定義情報としてのＶＬＡＮ定義情報４３０に従って、スイッチ１００ａに直接的、または他のスイッチ等を介して間接的に接続される外部装置における仮想的なサブネットワーク（ＶＬＡＮ）を構築することができる。具体的には、中継処理部２１０ａは、フレーム中継処理（図５：ステップＳ２８）において、ＶＬＡＮ定義情報４３０を参照することにより、異なるＶＬＡＮの識別子が割り当てられたポートは異なるサブネットに所属するものとして、フレームの中継処理を行う。すなわち、図１３に示したＶＬＡＮ定義情報４３０によれば、図１のＰＣ１０と、ＰＣ２０とは、同じＶＬＡＮに所属するため、中継処理部２１０によって同じサブネットに所属するものとして取り扱われる。この結果、スイッチ１００は、ＰＣ１０と、ＰＣ２０との間におけるパケットの中継を行う。
【００７８】
（Ｂ−４）新たな外部装置として端末が接続された場合：
以下では、スイッチ１００ａに対して、新たな外部装置として端末（例えば、ＰＣ）が接続された場合について説明する。
（Ｂ−４−１）Ｎｏ Ａｕｔｈイニシャル処理：
図１５は、第２実施例におけるスイッチ１００ａに新たな外部装置（ＰＣ３０）が接続された場合であって、Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。スイッチ１００ａの構成は図１および図１２で説明した通りである。スイッチ１００ａのうち、認証の種類がＮｏ Ａｕｔｈであるポート（例えば、ポートＰ５０３）に新たな外部装置（例えば、ＰＣ３０、ＭＡＣアドレスＭＡＣ＿ＰＣ３０）が接続された場合について考える。
【００７９】
新たに接続されたＰＣ３０がスイッチ１００ａ（もしくはスイッチ１００ａに接続される他のＰＣ）へフレームを送信した場合、図６での説明と同様の処理を経て、スイッチ１００ａのＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈイニシャル処理を行う。
【００８０】
図１６は、第２実施例におけるＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）の処理の流れを示すシーケンス図である。図７で説明した第１実施例との違いは、ステップＳ１０２に代えて、ステップＳ２００と、Ｓ２０２とを備える点のみであり、他の構成や動作については第１実施例と同様である。
【００８１】
ＰＣ３０からのフレームを受信後、スイッチ１００ａのセキュリティ管理部２５０ａは、ＰＣ３０に対して、ＰＣ３０が所属すべきＶＬＡＮ ＩＤを送信する（ステップＳ２００）。具体的には、セキュリティ管理部２５０ａは、デフォルトＶＬＡＮ情報４４０を検索し、認証の種類フィールドの値が「Ｎｏ Ａｕｔｈ」であるエントリのＶＬＡＮ ＩＤフィールドの値「２」を取得する。セキュリティ管理部２５０ａは、取得したＶＬＡＮ ＩＤフィールドの値「２」を、ＰＣ３０に対して送信する。
【００８２】
その後、スイッチ１００ａの認証情報管理部２２０ａは、許可アドレスと、ＶＬＡＮ定義情報とを更新する（ステップＳ２０２）。具体的には、認証情報管理部２２０ａは、ＰＣ３０から受信したフレームのヘッダに含まれる送信元ＭＡＣアドレスを、許可リスト４２０に追加する。さらに、認証情報管理部２２０ａは、ＶＬＡＮ定義情報４３０を、ステップＳ２００においてＶＬＡＮ ＩＤを送信した外部装置が接続されているポート（換言すれば、フレームを受信したポート）をキーとして検索し、一致するエントリのＶＬＡＮ ＩＤフィールドの値を、ステップＳ２００においてＰＣ３０に送信したＶＬＡＮ ＩＤで更新する。
【００８３】
第２実施例におけるＮｏ Ａｕｔｈイニシャル処理を経て、スイッチ１００ａの内部に格納されている許可リスト４２０には、既にスイッチ１００ａに接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、新たにスイッチ１００ａに接続されたＰＣ３０のＭＡＣアドレス（ＭＡＣ＿ＰＣ３０）が追加される（図１５）。さらに、スイッチ１００ａに格納されているＶＬＡＮ定義情報４３０には、新たにスイッチ１００ａにＰＣ３０が接続されたポートＰ５０３のＶＬＡＮ ＩＤ（２）が追加される。
【００８４】
なお、図６で説明したものと同様に、例えば、スイッチ１００ａがさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００ａは、更新後の許可リスト４２０およびＶＬＡＮ定義情報４３０に格納された情報を含むフレームを、さらに、他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。
【００８５】
（Ｂ−４−２）認証処理：
第２実施例における認証処理では、図９で説明した認証処理のステップＳ２１６に代えて、図１６で説明したステップＳ２００と、Ｓ２０２と同様の処理を行えばよい。なお、認証処理が行われる場合はすなわち、対応する認証の種類は「ＥＡＰ」である。このため、図１４で説明したデフォルトＶＬＡＮ情報４４０に基づくと、図１６のステップＳ２００と同様の処理において、セキュリティ管理部２５０ａが送信するＶＬＡＮ ＩＤは「１」となる。
【００８６】
このようにすれば、例えば、識別子「１」で識別されるＶＬＡＮを通常業務用のネットワークとし、識別子「２」で識別されるＶＬＡＮをインターネットアクセス専用のネットワークとすることによって、認証が成功した外部装置には通常業務用の、すなわち機密情報の多いネットワークへのアクセスを許可し、認証を省略した外部装置には機密情報の多いネットワークへのアクセスを許可しない、という運用を行うこともできる。換言すれば、ＶＬＡＮをセキュリティ確保のための手段として利用することができる。
【００８７】
（Ｂ−５）新たな外部装置として他のスイッチが接続された場合：
スイッチ１００ａに対して新たな外部装置として他のスイッチが接続された場合も、外部装置として端末が接続された場合と同様の処理を行い、同様の効果を得ることができる。詳細な説明は省略する。
【００８８】
以上のように、第２実施例によれば、スイッチ１００ａのセキュリティ管理部２５０は、外部装置（例えば、ＰＣや他のスイッチ）が接続された際に、認証の種類として第１の認証種類（Ｎｏ Ａｕｔｈ）が対応付けられているポートに接続された外部装置と、認証の種類として第２の認証種類（ＥＡＰ）が対応付けられているポートに接続された外部装置とに対して、異なる仮想ネットワークの識別子（ＶＬＡＮ ＩＤ）を送信するため、スイッチ１００ａにおいて、セキュリティの向上を図ることができる。
【００８９】
Ｃ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲で種々の構成を採ることができる。例えば、ソフトウェアによって実現した機能は、ハードウェアによって実現するものとしてもよい。そのほか、以下のような変形が可能である。
【００９０】
Ｃ１．変形例１：
上記実施例では、ネットワーク中継装置の構成について説明した。しかし、上記実施例で示したネットワーク中継装置の構成はあくまで一例であり、任意の構成を採用することができる。例えば、その構成要素の一部を省略したり、更なる構成要素を付加したりする変形が可能である。
【００９１】
例えば、上記実施例におけるスイッチは、ＭＡＣアドレスによるフレームの中継を行うレイヤ２スイッチであるものとした。しかし、ＭＡＣアドレスによるフレームの中継に加えてＩＰアドレスによるパケットの中継を行うことも可能な、いわゆるレイヤ３スイッチであるものとしてもよい。また、無線通信インタフェースを備え、無線通信におけるパケットの中継が可能な、いわゆるアクセスポイントであるものとしてもよい。
【００９２】
例えば、上記実施例におけるスイッチでは、認証方法リストと、許可リストと、ＶＬＡＮ定義情報と、デフォルトＶＬＡＮ情報とはＲＡＭに格納されているものとしたが、他の記憶媒体、例えば、フラッシュＲＯＭに格納されているものとしても良い。
【００９３】
上記実施例におけるスイッチでは、ＣＰＵは、中継処理部と、ＥＡＰ認証部と、セキュリティ管理部と、を備え、中継処理部は、さらに、認証情報管理部と、ＭＡＣアドレス認証部とを含むものとして記載した。また、各処理部において実行される機能について説明した。しかし、これら各処理部の配置および各処理部が果たす機能の内容についてはあくまで例示であり、スイッチの構成に応じて任意に変更することが可能である。
【００９４】
例えば、上記実施例において記載した中継処理部の機能のうちのフレーム中継機能は、有線通信インタフェースを構成する物理チップによって実現される機能であるものとし、中継処理部の他の機能（受信フレームの中継可否を決定する機能や、認証情報管理部の機能、ＭＡＣアドレス認証部の機能）は、ＣＰＵによって実現される機能であるとしてもよい。この場合、有線通信インタフェースを構成する物理チップと、ＣＰＵとが協働することによって中継処理部の全ての機能を実現する。
【００９５】
例えば、有線通信インタフェースを構成する物理チップの内部に、中継処理部と、ＥＡＰ認証部と、セキュリティ管理部と、認証情報管理部と、ＭＡＣアドレス認証部との全ての機能を備えるものとしてもよい。
【００９６】
Ｃ２．変形例２：
上記実施例におけるスイッチは、受信したフレームのＭＡＣアドレス認証を行うためのＭＡＣアドレス認証部と、外部装置が接続された際に、接続された外部装置との間で認証を行うためのＥＡＰ認証部とを備える（すなわち、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を内蔵する）構成とした。しかし、専用のＲＡＤＩＵＳサーバをスイッチとは別に設け、外部のＲＡＤＩＵＳサーバにおいて、実際のＭＡＣアドレス認証や、接続された外部装置認証を行う構成としてもよい。専用のＲＡＤＩＵＳサーバをスイッチとは別に設ける場合、ＭＡＣアドレス認証部と、ＥＡＰ認証部は、ＲＡＤＩＵＳサーバに対して認証要求を送信し、その応答としての認証結果を得ることによって、ＭＡＣアドレス認証部およびＥＡＰ認証部として機能する。
【００９７】
上記実施例では、予め定められた認証方式として、認証の種類がＥＡＰの場合にＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５を用いて認証を行うものとした。しかし、上記実施例における認証方式は、あくまで例示であり、任意のものを採用することができる。
【００９８】
例えば、認証方式として、ＥＡＰ−ＴＬＳや、ＥＡＰ−ＴＴＬＳや、ＰＥＡＰ（Protected Extensible Authentication Protocol）や、ＬＥＡＰ（Lightweight Extensible Authentication Protocol）のほか、ＥＡＰプロトコルを利用した独自方式等を採用することができる。
【００９９】
例えば、認証方式として、ＩＥＥＥ ８０２．１ＸのＥＡＰプロトコルに準拠した認証方法に代えて、次のような認証方式を用いても良い。具体的には、スイッチ内部に、接続を許可すべき外部装置（他のスイッチやＰＣ等）のＭＡＣアドレスを予め記憶しておく。そして、ＥＡＰ認証部は、外部装置が接続された際に、当該外部装置のＭＡＣアドレスが接続を許可すべきＭＡＣアドレスとして予め登録されている場合に、認証が成功したものとして取り扱う。このようにすれば、接続を許可すべき外部装置（他のスイッチやＰＣ等）を、スイッチの管理者等によって、予め指定しておくことができる。
【０１００】
Ｃ３．変形例３：
上記実施例では、認証方法リスト、許可リスト、ＶＬＡＮ定義情報、デフォルトＶＬＡＮ情報の一例を示した。しかし、これらのテーブルはあくまで一例であり、発明の要旨を逸脱しない範囲において任意に定めることができる。例えば、上記に例示したフィールド以外のフィールドを備えるものとしても良い。また、各テーブルには、ダイレクトマップ方式を用いることも可能である。さらに、利用者が各テーブルをコンフィギュレーション可能な構成とすることも好ましい。
【０１０１】
上記実施例における許可リストは、フレームを受信したポートの区別なく、中継可能な送信元ＭＡＣアドレスのみを格納する構成としているが、次のような変形をしてもよい。
【０１０２】
例えば、許可リストに対して、ポート番号フィールドを追加することで、ポート毎に中継を許可する受信フレームの送信元ＭＡＣアドレスを管理する構成にしてもよい。
【０１０３】
例えば、許可アドレスフィールドに代えて、送信元ＭＡＣアドレスフィールドと、中継可否フィールドとを設け、送信元ＭＡＣアドレス毎に、フレームの中継可能／不可能を設定する構成としてもよい。
【符号の説明】
【０１０４】
１００…スイッチ
１００Ｘ…スイッチ
１００Ｚ…スイッチ
１００ａ…スイッチ
２００…ＣＰＵ
２１０…中継処理部
２１０ａ…中継処理部
２２０…認証情報管理部
２２０ａ…認証情報管理部
２３０…ＭＡＣアドレス認証部
２４０…ＥＡＰ認証部
２５０…セキュリティ管理部
２５０ａ…セキュリティ管理部
３００…ＲＯＭ
４００…ＲＡＭ
４１０…認証方法リスト
４２０…許可リスト
４３０…ＶＬＡＮ定義情報
４４０…デフォルトＶＬＡＮ情報
５００…有線通信インタフェース
Ｐ５０１〜Ｐ５０５…ポート
【技術分野】
【０００１】
本発明は、ネットワーク中継装置に関する。
【背景技術】
【０００２】
ＩＣＴ（Information and Communication Technology）技術の進展に伴い、インテリジェントスイッチと呼ばれるスイッチ製品が登場している。このようなインテリジェントスイッチは、一般的なスイッチと比較して高機能なスイッチのことを意味する。インテリジェントスイッチは様々な機能、例えば、ＶＬＡＮ（Virtual Local Area Network）機能や、セキュリティ機能や、ＱｏＳサービス品質機能等を備えている（例えば、特許文献１）。このような機能の中でも、近年では、ネットワーク内部における脅威を重要視したセキュリティ機能の向上が求められている。
【０００３】
一方、セキュリティの向上と利便性とはトレードオフの関係であり、一方を追求すれば他方を犠牲にせざるを得ないという実情がある。例えば、インテリジェントスイッチにおいて、一般に広く用いられているポートベースのセキュリティ（インテリジェントスイッチのポートに接続する外部装置のＭＡＣアドレスに基づいてトラフィックの入力を制限する）を採用した場合、そのポートに接続される外部装置のＭＡＣアドレスを予め知る必要がある。
【０００４】
しかし、近年では、企業内において個人所有のモバイル端末やスマートフォンなどを業務に利用する従業員や、契約社員や関連会社、取引先のスタッフといったゲストユーザーも増えるようになったことから、このような不特定多数の外部装置が接続されることが想定されるポートについて厳格なセキュリティポリシーを運用することは利便性を損なうという問題があった。
【０００５】
また、このような問題は、インテリジェントスイッチに限らず、セキュリティ機能を備えるネットワーク中継装置全般に共通する問題であった。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−４８２５２号公報
【特許文献２】特開２００６−１２８９８５号公報
【特許文献３】特開２００９−２３９４２７号公報
【特許文献４】特開２００６−５０３７２号公報
【特許文献５】特開２００２−２０４２４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明は、セキュリティの向上と利便性を両立させたネットワーク中継装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００９】
［適用例１］
ネットワーク中継装置であって、
外部装置が接続されるとともに、接続された前記外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、
前記ネットワーク中継装置に前記外部装置が接続された際に、前記外部装置が接続されたポートに対して予め定められた前記認証の種類に従って、前記外部装置との間で必要な認証を行う認証処理部と、
フレームを受信したポートに対して予め定められた前記認証の種類が第１の認証種類である場合は、受信フレームを中継するとともに、フレームを受信したポートに対して予め定められた前記認証の種類が第２の認証種類である場合は、前記認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、
を備える、ネットワーク中継装置。
このような構成にすれば、中継処理部は、フレームを受信したポートに対して予め定められた認証の種類が第１の認証種類の場合は、外部装置からの受信フレームを中継し、フレームを受信したポートに対して予め定められた認証の種類が第２の認証種類の場合は、接続された外部装置の認証が成功した場合に、外部装置からの受信フレームを中継するため、ネットワーク中継装置において、セキュリティの向上と利便性を両立させることができる。
【００１０】
［適用例２］
適用例１記載のネットワーク中継装置であって、さらに、
前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置からの受信フレームを監視するセキュリティ管理部を備える、ネットワーク中継装置。
このような構成にすれば、認証の種類として第１の認証種類が対応付けられているポートに接続された外部装置からの受信フレームを監視するセキュリティ管理部を備えるため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１１】
［適用例３］
適用例１または２記載のネットワーク中継装置であって、
前記セキュリティ管理部は、さらに、
前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置からの受信フレームに、コンピュータウィルスが含まれるか否かを検出する、ネットワーク中継装置。
このような構成にすれば、セキュリティ管理部は、認証の種類として第１の認証種類が対応付けられているポートに接続された外部装置からの受信フレームに、コンピュータウィルスが含まれるか否かを検出するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１２】
［適用例４］
適用例１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記セキュリティ管理部は、さらに、
前記外部装置が接続された際に、前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置と、前記認証の種類として前記第２の認証種類が対応付けられているポートに接続された前記外部装置とに対して、異なる仮想ネットワークの識別子を送信する、ネットワーク中継装置。
このような構成にすれば、セキュリティ管理部は、外部装置が接続された際に、認証の種類として第１の認証種類が対応付けられているポートに接続された外部装置と、認証の種類として第２の認証種類が対応付けられているポートに接続された外部装置とに対して、異なる仮想ネットワークの識別子を送信するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１３】
［適用例５］
適用例１ないし４のいずれか一項記載のネットワーク中継装置であって、さらに、
前記中継処理部が前記受信フレームの中継可否を決定する際に用いる情報であって、前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを備え、
前記中継処理部は、さらに、
前記第１の許可リストに規定された内容を変更する認証情報管理部を含む、ネットワーク中継装置。
このような構成にすれば、中継処理部は、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを用いて受信フレームの中継可否を決定し、認証情報管理部は、第１の許可リストに規定された内容を変更するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１４】
［適用例６］
適用例５記載のネットワーク中継装置であって、
前記認証情報管理部は、
前記認証の種類として前記第１の認証種類が対応付けられているポートに前記外部装置が接続された場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更し、
前記認証の種類として前記第２の認証種類が対応付けられているポートに前記外部装置が接続され、前記認証処理部による認証が成功した場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更する、
ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、認証の種類として第１の認証種類が対応付けられているポートに外部装置が接続された場合に、外部装置からの受信フレームを中継可能とするように第１の許可リストに規定された内容を変更し、認証の種類として第２の認証種類が対応付けられているポートに外部装置が接続され、認証が成功した場合に、外部装置からの受信フレームを中継可能とするように第１の許可リストに規定された内容を変更するため、ネットワーク中継装置において、セキュリティの向上と利便性を両立させることができる。
【００１５】
［適用例７］
適用例５または６記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記第１の許可リストを変更した場合は、前記ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、前記第１の許可リストの内容を送信する、ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、第１の許可リストを変更した場合は、ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、第１の許可リストの内容を送信するため、ネットワーク中継装置において、さらに利便性の向上を図ることができる。
【００１６】
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、ネットワーク中継装置、ネットワーク中継装置の制御方法、ネットワーク中継装置を用いたネットワークシステム、および、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。
【図２】スイッチの構成を概略的に示す説明図である。
【図３】認証方法リストの一例を示す説明図である。
【図４】許可リストの一例を示す説明図である。
【図５】フレーム受信時処理の手順を示すフローチャートである。
【図６】スイッチに新たな外部装置（ＰＣ）が接続された場合であってＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。
【図７】Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）の処理の流れを示すシーケンス図である。
【図８】スイッチに新たな外部装置（ＰＣ）が接続された場合であって認証処理（図５：ステップＳ１６）が行われる際の様子を示す説明図である。
【図９】認証処理（図５：ステップＳ１６）の処理の流れを示すシーケンス図である。
【図１０】許可リストの他の例を示す説明図である。
【図１１】スイッチに新たな外部装置（他のスイッチ）が接続された場合であってＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。
【図１２】第２実施例におけるスイッチの構成を概略的に示す説明図である。
【図１３】ＶＬＡＮ定義情報の一例を示す説明図である。
【図１４】デフォルトＶＬＡＮ情報の一例を示す説明図である。
【図１５】第２実施例におけるスイッチに新たな外部装置（ＰＣ）が接続された場合であってＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。
【図１６】第２実施例におけるＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）の処理の流れを示すシーケンス図である。
【発明を実施するための形態】
【００１８】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
【００１９】
Ａ．第１実施例：
（Ａ−１）装置構成：
図１は、本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。ネットワーク中継装置（以降、「スイッチ」とも呼ぶ。）１００は、いわゆるレイヤ２スイッチであり、ＭＡＣアドレスによるフレームの中継を行う機能を有する。また、スイッチ１００は、５つのポートＰ５０１〜Ｐ５０５を備えている。ポートには外部装置（例えば、ＰＣや他のスイッチ）が接続される。
【００２０】
図１の例では、ポートＰ５０１には、回線を通じてパーソナルコンピュータ（以降、「端末」、「ＰＣ」とも呼ぶ。）１０が接続されている。ＰＣ１０のＭＡＣアドレスはＭＡＣ＿ＰＣ１０である。ポートＰ５０２には、回線を通じてＰＣ２０が接続されている。ＰＣ２０のＭＡＣアドレスはＭＡＣ＿ＰＣ２０である。ポートＰ５０３には、ＬＡＮケーブルのみが接続されている。ポートＰ５０３は、例えば、契約社員や関連会社、取引先のスタッフといったゲストユーザー用のＬＡＮ接続口であり、不特定多数のＰＣが接続されることが想定されている。なお、図１では便宜上、説明上必要としない、他のネットワーク装置、回線、端末、およびネットワーク中継装置１００内の構成部については図示を省略している。このことは、後述する図においても同様である。
【００２１】
図２は、スイッチ１００の構成を概略的に示す説明図である。スイッチ１００は、ＣＰＵ２００と、ＲＯＭ３００と、ＲＡＭ４００と、有線通信インタフェース（有線通信Ｉ／Ｆ）５００とを備えている。スイッチ１００の各構成要素は、バスを介して互いに接続されている。
【００２２】
ＣＰＵ２００は、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００に展開して実行することにより、スイッチ１００の各部を制御する。また、ＣＰＵ２００は、中継処理部２１０、ＥＡＰ認証部２４０、セキュリティ管理部２５０としても機能する。中継処理部２１０は、さらに、認証情報管理部２２０と、ＭＡＣアドレス認証部２３０とを含み、有線通信インタフェース５００を介して受信したフレームである受信フレームを中継する機能を有する。認証情報管理部２２０は、主として、許可リスト４２０を更新する機能と、他のスイッチとの間において許可リスト４２０を交換する機能とを有する。ＭＡＣアドレス認証部２３０は、受信フレームの中継可否を決定する機能を有する。認証処理部としてのＥＡＰ認証部２４０は、スイッチ１００に外部装置（例えば、ＰＣや他のスイッチ）が接続された際に、予め定められた認証方式に従って、外部装置との間で認証を行う機能を有する。セキュリティ管理部２５０は、受信フレームに対するセキュリティ面からの管理を行う機能を有する。これら各機能部についての詳細は後述する。
【００２３】
ＲＡＭ４００には、認証方法リスト４１０と、許可リスト４２０とが含まれている。これら各リストについての詳細は後述する。有線通信インタフェース５００は、ローカルエリアネットワーク（ＬＡＮ）と接続するためのＬＡＮケーブルの接続口である。有線通信インタフェース５００は、５つのポートＰ５０１〜Ｐ５０５を含んでいる。なお、本実施例では、ポートＰ５０１〜Ｐ５０４はスイッチ以外の外部装置（例えば、ＰＣやモバイル端末等）を接続するためのポートである。ポートＰ５０５は、他のスイッチを接続するためのカスケード接続用ポートである。
【００２４】
（Ａ−２）テーブル構成：
図３は、認証方法リスト４１０の一例を示す説明図である。認証方法リスト４１０は、ポート番号フィールドと、認証の種類フィールドと、ＭＡＣ認証フィールドとを含んでいる。ポート番号フィールドの各エントリには、スイッチ１００が備える全てのポートについての識別子が格納されている。
【００２５】
認証の種類フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められた認証の種類が格納されている。認証の種類とは、ポートに対して外部装置が接続された際に、ＥＡＰ認証部２４０が接続された外部装置に対して行うべき認証の種類のことを意味する。本実施例における認証の種類は、「ＥＡＰ」と、「Ｎｏ Ａｕｔｈ」と、「Ｏｐｅｎ」とを含んでいる。第２の認証種類としてのＥＡＰは、スイッチ１００に対して接続された外部装置の認証が必要であることを意味する。認証の種類がＥＡＰである場合において実際に用いられる認証方式は、ＲＡＭ４００内部に予め格納されている。本実施例では、ＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５（extensible authentication protocol-message digest version 5）を用いて認証を行う。なお、ＲＡＭ４００に格納されている認証方式は、利用者によるコンフィギュレーションが可能な構成としてもよい。
【００２６】
第１の認証種類としてのＮｏ Ａｕｔｈは、スイッチ１００に対して接続された外部装置の認証が不要であること（換言すれば、外部装置の認証を省略すること）を意味する。Ｏｐｅｎは、スイッチ１００に対して接続された外部装置の認証を行わないことを意味する。Ｎｏ Ａｕｔｈと、Ｏｐｅｎの違いについては後述する。
【００２７】
ＭＡＣ認証フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められたＭＡＣアドレス認証の有効（ｅｎａｂｌｅ）／無効（ｄｉｓａｂｌｅ）の設定値が格納されている。
【００２８】
例えば、図３の例では、識別子Ｐ５０１で識別されるポート（ポートＰ５０１）に外部装置が接続された際には、ＥＡＰに基づく認証、すなわち、ＥＡＰ−ＭＤ５認証方式に従って認証が行われることが規定されている。また、ポートＰ５０１からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０１）。ポートＰ５０３に外部装置が接続された際には、認証を行わないこと（認証を省略すること）が規定されている。また、ポートＰ５０３からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０３）。ポートＰ５０５に外部装置が接続された際には、認証を行わないことが規定されている。また、ポートＰ５０５からの受信フレームに対しては、ＭＡＣアドレス認証を行わないことが規定されている（エントリＥ０５）。
【００２９】
すなわち、Ｎｏ Ａｕｔｈに設定されたポート（ポートＰ５０３）と、Ｏｐｅｎに設定されたポート（ポートＰ５０５）とでは、当該ポートに接続された外部装置の認証を行わない、という点で共通する。しかし、両者は、次の点において相違する。
・認証の種類がＮｏ Ａｕｔｈに設定されたポートからの受信フレームに対しては、ＭＡＣアドレス認証を行う。
・認証の種類がＮｏ Ａｕｔｈに設定されたポートからの受信フレームに対しては、後述のセキュリティ管理処理が施される。
・認証の種類がＯｐｅｎに設定されたポートからの受信フレームに対しては、ＭＡＣアドレス認証を行わない。
・認証の種類がＯｐｅｎに設定されたポートからの受信フレームに対しては、セキュリティ管理処理を施さない。
【００３０】
なお、エントリＥ０５のように、認証の種類がＯｐｅｎに設定されたポートでは、フレームの中継を正しく行うために、ＭＡＣアドレス認証は無効（ｄｉｓａｂｌｅ）に設定される。このため、スイッチ１００は、認証の種類がＯｐｅｎに設定されたポートに対しては、外部装置の接続時において認証を行わず、さらに、受信フレームに対するＭＡＣアドレス認証も行わない。この結果、認証の種類がＯｐｅｎに設定されたポートがセキュリティホールになる恐れがある。
【００３１】
図４は、許可リスト４２０の一例を示す説明図である。第１の許可リストとしての許可リスト４２０は、ＭＡＣアドレス認証の際に使用されるリストである。許可リスト４２０には、スイッチ１００の中継処理部２１０において中継を許可する受信フレームの送信元ＭＡＣアドレス（フレームの送信元である装置のＭＡＣアドレス）が、許可アドレスとして格納されている。すなわち、許可リスト４２０には、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されているといえる。
【００３２】
例えば、図４の例では、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、「ＭＡＣ＿ＰＣ１０」、「ＭＡＣ＿ＰＣ２０」のいずれかであれば、中継処理部２１０において当該フレームの中継が許可される。
【００３３】
（Ａ−３）フレーム受信時処理：
図５は、フレーム受信時処理の手順を示すフローチャートである。中継処理部２１０は、ポートＰ５０１〜Ｐ５０５のいずれかを介してフレームを受信したか否かを判定する（ステップＳ１０）。フレームを受信していない場合（ステップＳ１０：ＮＯ）、ステップＳ１０へ戻る。フレームを受信した場合（ステップＳ１０：ＹＥＳ）、中継処理部２１０は、受信フレームはＥＡＰフレームか否かを判定する（ステップＳ１２）。具体的には、例えば、中継処理部２１０は、受信フレームのヘッダに含まれるイーサタイプから判断される受信フレームのタイプがＥＡＰＯＬである場合、ＥＡＰフレームを受信したと判定することができる。
【００３４】
受信フレームがＥＡＰフレームである場合（ステップＳ１２：ＹＥＳ）、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索する（ステップＳ１４）。具体的には、ＥＡＰ認証部２４０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリの認証の種類フィールドの値を取得する。ＥＡＰ認証部２４０は、認証処理を行った後、処理を終了する（ステップＳ１６）。認証処理の詳細については後述する。
【００３５】
一方、受信フレームがＥＡＰフレーム以外のフレームである場合（ステップＳ１２：ＮＯ）、ＥＡＰ認証部２４０は認証方法リスト４１０を検索する（ステップＳ１８）。具体的には、ＥＡＰ認証部２４０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリの認証の種類フィールドの値と、ＭＡＣ認証フィールドの値とを取得する。
【００３６】
次に、ＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈポートからの最初の接続であるか否かを判定する（ステップＳ３０）。具体的には、ＥＡＰ認証部２４０は、ステップＳ１８で取得した認証の種類フィールドの値が「Ｎｏ Ａｕｔｈ」であり、かつ、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致するか否かを判定する。認証の種類フィールドの値がＮｏ Ａｕｔｈ、かつ、送信元ＭＡＣアドレスが許可リスト４２０に格納されているＭＡＣアドレスと一致しない場合、ＥＡＰ認証部２４０は、当該フレームは、Ｎｏ Ａｕｔｈポートに接続された外部装置からの最初の受信フレームであると判定する（ステップＳ３０：ＹＥＳ）。ＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈイニシャル処理を行った後、処理を終了する（ステップＳ３２）。Ｎｏ Ａｕｔｈイニシャル処理の詳細については後述する。
【００３７】
一方、認証の種類フィールドの値がＮｏ Ａｕｔｈでない、または、認証の種類フィールドの値がＮｏ Ａｕｔｈであっても送信元ＭＡＣアドレスが許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致する場合、ＥＡＰ認証部２４０は、当該フレームは、Ｎｏ Ａｕｔｈポート以外のポートに接続された外部装置からの受信フレーム、または、Ｎｏ Ａｕｔｈポートに接続された外部装置からの２度目以降の受信フレームであると判定する（ステップＳ３０：ＮＯ）。このため、ＭＡＣアドレス認証部２３０は、ＭＡＣアドレス認証を行うか否かを判定する（ステップＳ２０）。具体的には、ステップＳ１８において取得したＭＡＣ認証フィールドの値が「ｅｎａｂｌｅ」であればＭＡＣアドレス認証を行い、ステップＳ１８において取得した値が「ｄｉｓａｂｌｅ」であればＭＡＣアドレス認証は行わない。ＭＡＣアドレス認証を行わない場合（ステップＳ２０：なし）、処理はステップＳ２８へ遷移する。
【００３８】
ＭＡＣアドレス認証を行う場合（ステップＳ２０：あり）、ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。次に、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であるか否かを判定する（ステップＳ２４）。具体的には、ＭＡＣアドレス認証部２３０は、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致するか否かを判定する。一致しない場合（ステップＳ２４：不可）、ＭＡＣアドレス認証部２３０は、受信フレームを破棄し、処理を終了する（ステップＳ２６）。受信フレームを破棄した際、ＭＡＣアドレス認証部２３０は、破棄したフレームの送信元端末に対して、フレームを破棄した旨の通知を行ってもよい。
【００３９】
一方、一致する場合（ステップＳ２４：可）、ＭＡＣアドレス認証部２３０は、受信フレームは中継可であるものとして、フレーム中継処理を行う（ステップＳ２８）。フレーム中継処理において、中継処理部２１０は、図示しないＭＡＣアドレステーブルを参照し、フォワーディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルにある場合のフレーム中継動作）もしくはフラッディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルに無い場合の動作）を行った後、処理を終了する。このように、中継処理部２１０のＭＡＣアドレス認証部２３０は、許可リスト４２０に従って、受信フレームの中継可否を決定する。
【００４０】
（Ａ−４）新たな外部装置として端末が接続された場合：
以下では、スイッチ１００に対して、新たな外部装置として端末（例えば、ＰＣ）が接続された場合について説明する。
（Ａ−４−１）Ｎｏ Ａｕｔｈイニシャル処理：
図６は、スイッチ１００に新たな外部装置（ＰＣ３０）が接続された場合であって、Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。スイッチ１００の構成は図１で説明した通りである。スイッチ１００のうち、認証の種類がＮｏ Ａｕｔｈであるポート（例えば、ポートＰ５０３）に新たな外部装置（例えば、ＰＣ３０、ＭＡＣアドレスＭＡＣ＿ＰＣ３０）が接続された場合について考える。
【００４１】
新たに接続されたＰＣ３０がスイッチ１００（もしくはスイッチ１００に接続される他のＰＣ）へフレームを送信した場合、スイッチ１００は、ＰＣ３０からのフレームを検出する（図５：ステップＳ１０：ＹＥＳ）。検出したフレームはＥＡＰフレームではないため（ステップＳ１２：ＮＯ）、ＥＡＰ認証部２４０は、認証方法リスト４１０から、フレームを受信したポートＰ５０３の認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」と、ＭＡＣ認証フィールドの値「ｅｎａｂｌｅ」とを取得する（ステップＳ１８）。ＥＡＰ認証部２４０は、認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」であり、送信元ＭＡＣアドレスのＭＡＣ＿ＰＣ３０が許可リスト４２０に格納されていないため、当該フレームは、Ｎｏ Ａｕｔｈポートに接続された外部装置からの最初の受信フレームであると判定する（ステップＳ３０：ＹＥＳ）。このため、ＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈイニシャル処理を行う（ステップＳ３２）。
【００４２】
図７は、Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）の処理の流れを示すシーケンス図である。まず、スイッチ１００は、ＰＣ３０から送信されたフレームを受信する（ステップＳ１００）。スイッチ１００の認証情報管理部２２０は、ＰＣ３０から受信したフレームのヘッダに含まれる送信元ＭＡＣアドレスを、許可リスト４２０に追加する（ステップＳ１０２）。
【００４３】
その後、スイッチ１００のセキュリティ管理部２５０は、ＰＣ３０に対するＳｙｓｌｏｇ管理を開始する（ステップＳ１０４）。具体的には、セキュリティ管理部２５０は、ＰＣ３０のカーネルや各種デーモン、アプリケーション等が出力するログを取得し、スイッチ１００のＲＡＭ４００や、他の記憶媒体（例えば、図示しないフラッシュＲＯＭ、ハードディスク等）に記憶する。また、セキュリティ管理部２５０は、ＰＣ３０から取得したログを監視し、何らかの異常を検知した場合には、スイッチ１００の管理者に対して異常を検知した旨を通知してもよい。通知の方法としては、アラーム点灯、所定アドレスへの電子メール送信等、種々の方法を採用することができる。なお、ＰＣ３０に対するＳｙｓｌｏｇ管理は、ＰＣ３０とのコネクションが切断するまで、継続して行うことが好ましい。
【００４４】
なお、上記Ｓｙｓｌｏｇ管理（ステップＳ１０４）は、あくまでセキュリティ管理部２５０によるセキュリティ管理の一例であり、Ｓｙｓｌｏｇ管理に代えて、または、Ｓｙｓｌｏｇ管理と共に、以下に挙げるような種々の管理方法を用いることができる。
・例えば、セキュリティ管理部２５０は、認証の種類がＮｏ Ａｕｔｈであるポートに接続された外部装置からの受信フレームに対してコンピュータウィルスが含まれるか否かを検出するためのウィルススキャンを実施することができる。例えば、受信フレームからコンピュータウィルスを検出した場合、セキュリティ管理部２５０は、当該受信フレームを中継せずに破棄することができる。また、受信フレーム破棄の際、スイッチ１００の管理者に対してコンピュータウィルスを検出した旨を通知してもよい。
・例えば、セキュリティ管理部２５０は、認証の種類がＮｏ Ａｕｔｈであるポートに接続された外部装置のＭＡＣアドレスを、スイッチ１００のＲＡＭ４００や、他の記憶媒体（例えば、図示しないフラッシュＲＯＭ、ハードディスク等）に記憶しておき、スイッチ１００を含むネットワーク内部で問題が発生した場合などに参照可能な構成としておくことができる。
・例えば、セキュリティ管理部２５０は、Ｎｏ Ａｕｔｈイニシャル処理が行われた際に、許可リスト４２０に対して新しく追加した外部装置の情報（例えば、ＰＣ３０のＭＡＣアドレスや、ＰＣ３０のユーザ名、パスワード等）を、電子メール等を用いて、スイッチ１００の管理者に通知してもよい。
【００４５】
上述のＮｏ Ａｕｔｈイニシャル処理を経て、スイッチ１００の内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、新たにスイッチ１００に接続されたＰＣ３０のＭＡＣアドレス（ＭＡＣ＿ＰＣ３０）が追加される（図６）。
【００４６】
図６を用いて、Ｎｏ Ａｕｔｈイニシャル処理が行われた後において、ＰＣ３０からＰＣ２０へのフレームが送信された場合について考える。ＰＣ３０からのフレームを受信したスイッチ１００は（図５：ステップＳ１０）、受信フレームはＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＥＡＰ認証部２４０は、認証方法リスト４１０から、フレームを受信したポートＰ５０３における認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」と、ＭＡＣ認証フィールドの値「ｅｎａｂｌｅ」とを取得する（ステップＳ１８）。ＥＡＰ認証部２４０は、ステップＳ１８で取得した認証の種類フィールドの値が「Ｎｏ Ａｕｔｈ」であり、送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が許可リスト４２０に格納されているＭＡＣアドレスと一致するため、受信フレームは、Ｎｏ Ａｕｔｈポートに接続された端末からの２度目以降の受信フレームであると判定する（ステップＳ３０：ＮＯ）。
【００４７】
次に、ＭＡＣアドレス認証部２３０は、ステップＳ１８で取得したＭＡＣ認証フィールドの値「ｅｎａｂｌｅ」であるため、ＭＡＣアドレス認証を行うものと判定する（ステップＳ２０：あり）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が、許可リスト４２０に格納されているＭＡＣアドレスと一致するため、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であると判定する（ステップＳ２４：可）。スイッチ１００の中継処理部２１０は、フレーム中継処理を行う（ステップＳ２８）。この結果、スイッチ１００がポートＰ５０３から受信したフレームは、スイッチ１００のポートＰ５０２からＰＣ２０へ向けて送信される。
【００４８】
なお、例えば、スイッチ１００がさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００は、更新後の許可リスト４２０に格納された許可アドレスを含むフレームを、さらに、他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。このように、更新後の許可アドレスを自身が接続されている他のスイッチへ伝播する構成とすれば、ＭＡＣアドレス認証で使用される許可リストの内容（すなわち、フレームの中継を許可すべき外部装置のＭＡＣアドレス）を、スイッチ間で交換することができるため、利便性がさらに向上する。なお、許可アドレスの伝播の範囲は、ルータで区切られた同一のセグメントの範囲内のスイッチとすることができる。なお、ルータそのものに対して許可アドレスの伝播を行ってもよい。そうすれば、ルータによっても、ＭＡＣアドレスを管理することができる。
【００４９】
以上のように、認証の種類が「Ｎｏ Ａｕｔｈ」に設定されたポートに対して外部装置としての端末が接続された場合、スイッチ１００は、接続された端末の認証を省略して、当該端末からのフレームの中継を許可するための処理（すなわち、Ｎｏ Ａｕｔｈイニシャル処理）を行う。このため、認証の種類が「Ｎｏ Ａｕｔｈ」に設定されたポートは、端末側において特別な処理（例えば、ユーザ名やパスワードの入力等）を必要せず、端末を接続するだけで通信が可能なポートとして提供可能となる。従って、例えば、スイッチ１００の管理者は、不特定多数の端末の接続が考えられるポートに関しては、予め認証の種類を「Ｎｏ Ａｕｔｈ」に設定しておくことで、スイッチ１００における利便性を向上させることができる。
【００５０】
さらに、セキュリティ管理部２５０は、認証の種類が「Ｎｏ Ａｕｔｈ」に設定されたポートに対して、図７で説明した種々のセキュリティ管理を行う。このため、スイッチ１００においては、上述のような利便性を確保しつつ、セキュリティの向上を図ることもできる。
【００５１】
（Ａ−４−２）認証処理：
図８は、スイッチ１００に新たな外部装置（ＰＣ４０）が接続された場合であって、認証処理（図５：ステップＳ１６）が行われる際の様子を示す説明図である。スイッチ１００の構成は図１で説明した通りである。スイッチ１００のうち、認証の種類がＥＡＰであるポート（例えば、ポートＰ５０４）に新たな外部装置（例えば、ＰＣ４０、ＭＡＣアドレスＭＡＣ＿ＰＣ４０）が接続された場合について考える。
【００５２】
新たに接続されたＰＣ４０がスイッチ１００へフレームを送信した場合、スイッチ１００は、ＰＣ４０からのフレームを検出する（図５：ステップＳ１０：ＹＥＳ）。ＰＣ４０からのフレームは、認証の開始を要求するためのＥＡＰＯＬ開始フレームであるため（ステップＳ１２：ＹＥＳ）、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索し、認証の種類はＥＡＰであると判定する（ステップＳ１４）。このため、ＥＡＰ認証部２４０は、認証処理を行う（ステップＳ１６）。
【００５３】
図９は、認証処理（図５：ステップＳ１６）の処理の流れを示すシーケンス図である。まず、サプリカント（Supplicant）としてのＰＣ４０から、オーセンティケータ（Authenticator）としてのスイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレーム（EAP over LAN-Start）が送信される（ステップＳ２００）。ＥＡＰＯＬ開始フレームを受信したスイッチ１００のＥＡＰ認証部２４０は、サプリカントのＩＤを要求するＥＡＰ要求フレームを送信する（ステップＳ２０４）。要求フレームを受信したＰＣ４０は、サプリカントのＩＤを含んだＥＡＰ応答フレームを送信する（ステップＳ２０６）。次に、スイッチ１００のＥＡＰ認証部２４０は、認証に使用するＥＡＰのタイプ（本実施例では、ＥＡＰ−ＭＤ５）を通知するＥＡＰ要求フレームを送信する（ステップＳ２０８）。要求フレームを受信したＰＣ４０は、認証に使用するＥＡＰのタイプ（本実施例では、ＥＡＰ−ＭＤ５）の識別子を含んだＥＡＰ応答フレームを送信する（ステップＳ２１０）。
【００５４】
その後、スイッチ１００と、ＰＣ４０との間で、ステップＳ２１０で通知された認証方式に則った認証が行われる（ステップＳ２１２）。認証が成功した場合、スイッチ１００のＥＡＰ認証部２４０は、認証が成功した旨のＥＡＰフレームを送信する（ステップＳ２１４）。なお、上述した各フレームは、ＥＡＰの規約で予め定められた形式に則った構成とされ、ＩＤやタイプ等の値は、フレーム中の規定の位置に格納されるデータとして送受信される。認証成功後、スイッチ１００の認証情報管理部２２０は、ＰＣ４０から受信したフレームのヘッダに含まれる送信元ＭＡＣアドレスを、許可リスト４２０に追加する（ステップＳ２１６）。
【００５５】
上述の認証処理を経て、外部装置の認証が成功した際は、スイッチ１００の内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、新たにスイッチ１００に接続されたＰＣ４０のＭＡＣアドレス（ＭＡＣ＿ＰＣ４０）が追加される（図８）。このため、図６における説明と同様に、認証処理後は、スイッチ１００とＰＣ４０との間におけるフレームは、中継処理部２１０によって中継される。すなわち、認証の種類が「ＥＡＰ」に設定されたポートについては、認証処理成功後に、通信が可能なポートとして提供可能となる。
【００５６】
（Ａ−５）新たな外部装置として他のスイッチが接続された場合：
以下では、スイッチ１００に対して、新たな外部装置として他のスイッチが接続された場合について説明する。
【００５７】
図１０は、許可リスト４２０の他の例を示す説明図である。図３に示した例との違いは、ポートＰ５０５における設定値（エントリＥ０５）のみである。図１０の例では、ポートＰ５０５（すなわち、カスケード接続用ポート）に外部装置としての他のスイッチが接続された際には、認証を行わないこと（認証を省略すること）が規定されている。また、ポートＰ５０５からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０５）。
【００５８】
（Ａ−５−１）Ｎｏ Ａｕｔｈイニシャル処理：
図１１は、スイッチ１００に新たな外部装置（他のスイッチ１００Ｘ）が接続された場合であって、Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。スイッチ１００の構成は、許可リスト４２０に格納されている内容が図１０に示した内容である点を除いては、図１に示したスイッチ１００と同様である。
【００５９】
また、スイッチ１００Ｘの構成は、ポート５０１がカスケード接続用ポートに設定される点を除いては、図１に示したスイッチ１００と同様である。スイッチ１００ＸのポートＰ５０１は、回線を通じてスイッチ１００のポートＰ５０５と接続されている。また、スイッチ１００ＸのポートＰ５０２にはＰＣ５０が、ポートＰ５０３にはＰＣ６０が、ポートＰ５０４にはＰＣ７０が、それぞれ回線を通じて接続されている。また、ＰＣ５０のＭＡＣアドレスはＭＡＣ＿ＰＣ５０、ＰＣ６０のＭＡＣアドレスはＭＡＣ＿ＰＣ６０、ＰＣ７０のＭＡＣアドレスはＭＡＣ＿ＰＣ７０である。なお、スイッチ１００Ｘ内部に格納されている認証方法リスト４１０、許可リスト４２０等については、記載を省略する。
【００６０】
図１１のように、スイッチ１００の認証の種類がＮｏ Ａｕｔｈであるカスケード接続用ポートＰ５０５に対して、新たなスイッチ１００Ｘが接続され、ＰＣ５０からＰＣ２０へフレームが送信された場合について考える。なお、スイッチ１００Ｘにおけるフレームの中継処理等の処理は、説明を省略する。
【００６１】
ＰＣ５０がＰＣ２０へフレームを送信した場合、スイッチ１００は、スイッチ１００Ｘを介して送信されるＰＣ５０からのフレームを検出する（図５：ステップＳ１０：ＹＥＳ）。検出したフレームはＥＡＰフレームではないため（ステップＳ１２：ＮＯ）、スイッチ１００のＥＡＰ認証部２４０は、認証方法リスト４１０から、フレームを受信したポートＰ５０５の認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」と、ＭＡＣ認証フィールドの値「ｅｎａｂｌｅ」とを取得する（ステップＳ１８）。スイッチ１００のＥＡＰ認証部２４０は、認証の種類フィールドの値「Ｎｏ Ａｕｔｈ」であり、送信元ＭＡＣアドレスのＭＡＣ＿ＰＣ５０が許可リスト４２０に格納されていないため、当該フレームは、Ｎｏ Ａｕｔｈポートに接続された外部装置からの最初の受信フレームであると判定する（ステップＳ３０：ＹＥＳ）。このため、スイッチ１００のＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈイニシャル処理を行う（ステップＳ３０）。Ｎｏ Ａｕｔｈイニシャル処理は、図７で説明した通りである。
【００６２】
Ｎｏ Ａｕｔｈイニシャル処理を経て、スイッチ１００の内部に格納されている許可リスト４２０には、既にスイッチ１００に直接的に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、スイッチ１００Ｘを介して新たにスイッチ１００に接続されたＰＣ５０のＭＡＣアドレス（ＭＡＣ＿ＰＣ５０）が追加される（図１１）。このように、ＰＣ５０のＭＡＣアドレスが許可リスト４２０に追加された後のスイッチ１００においては、新たに接続されたＰＣ５０との間の送受信フレームについても、図６で説明したものと同様に、破棄されることなく中継される。また、スイッチ１００ＸのＰＣ６０、ＰＣ７０についても、図１１で説明したＰＣ５０と同様である。すなわち、各ＰＣからの初回のフレーム受信時に、スイッチ１００がＮｏ Ａｕｔｈイニシャル処理を行うことによって、各ＰＣとの送受信フレームの中継を可能とする。
【００６３】
なお、図６で説明したものと同様に、例えば、スイッチ１００がさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００は、更新後の許可リスト４２０に格納された許可アドレスを含むフレームを、さらに、他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。
【００６４】
以上のように、カスケード接続用ポート（ポートＰ５０５）の認証の種類を「Ｎｏ Ａｕｔｈ」とすれば、外部装置としての他のスイッチが接続された場合も、外部装置として端末が接続された場合と同様の処理を行い、同様の効果を得ることができる。すなわち、スイッチ１００は、カスケード接続用ポートを経由して接続される他のスイッチおよび他のスイッチに接続されている外部装置からのアクセスに対しても、図７で説明した種々のセキュリティ管理を実現することが可能となる。
【００６５】
（Ａ−５−２）認証処理：
認証の種類が「ＥＡＰ」に設定されたポートに対して外部装置としての他のスイッチが接続された場合であっても、外部装置として端末が接続された場合と同様の処理（具体的には、図８および図９で説明した処理）を行い、同様の効果を得ることができる。詳細な説明は省略する。
【００６６】
なお、スイッチ１００に対して他のスイッチが接続され、認証処理を行う場合は、スイッチ１００がＩＥＥＥ ８０２．１Ｘに基づく認証サーバ（オーセンティケータ）として機能するほか、スイッチ１００がＩＥＥＥ ８０２．１Ｘに基づく認証クライアント（サプリカント）として機能してもよい。例えば、スイッチ１００は、リンクアップ検出後、一定時間内に接続先の装置からＥＡＰＯＬ開始フレームを受信しない場合は、接続先の装置に対してＥＡＰＯＬ開始フレームを送信する構成を採用することができる。このような場合、スイッチ１００が認証クライアントとして機能し、接続先の装置が認証サーバとして機能する。以上のように、認証処理部としてのＥＡＰ認証部２４０は、ＩＥＥＥ ８０２．１Ｘに基づく認証クライアントと、ＩＥＥＥ ８０２．１Ｘに基づく認証サーバとの両方の機能を有するように構成してもよい。そうすれば、スイッチ１００は、スイッチ１００Ｘに対して、認証クライアントとしても、認証サーバとしても振舞うことができるため、柔軟性の高い認証を実現することができる。
【００６７】
以上のように、第１実施例によれば、ネットワーク中継装置（スイッチ１００）の中継処理部２１０は、フレームを受信したポートに対して予め定められた認証の種類が第１の認証種類（図３：Ｎｏ Ａｕｔｈ）の場合は、接続された外部装置（例えば、ＰＣや他のスイッチ）からの受信フレームを中継し、フレームを受信したポートに対して予め定められた認証の種類が第２の認証種類（図３：ＥＡＰ）の場合は、接続された外部装置の認証が成功した場合に、外部装置からの受信フレームを中継するため、スイッチ１００において、セキュリティの向上と利便性を両立させることができる。
【００６８】
さらに、スイッチ１００は、認証の種類として第１の認証種類（Ｎｏ Ａｕｔｈ）が対応付けられているポートに接続された外部装置からの受信フレームを監視するセキュリティ管理部２５０を備えるため、スイッチ１００において、セキュリティの向上を図ることができる。また、セキュリティ管理部２５０は、認証の種類として第１の認証種類（Ｎｏ Ａｕｔｈ）が対応付けられているポートに接続された外部装置からの受信フレームに、コンピュータウィルスが含まれるか否かを検出することも可能であるため、スイッチ１００において、セキュリティの向上を図ることができる。
【００６９】
さらに、認証情報管理部２２０は、認証の種類として第１の認証種類（Ｎｏ Ａｕｔｈ）が対応付けられているポートに外部装置が接続された場合に、外部装置からの受信フレームを中継可能とするように第１の許可リスト（許可リスト４２０）に規定された内容を変更し、認証の種類として第２の認証種類（ＥＡＰ）が対応付けられているポートに外部装置が接続され、認証が成功した場合に、外部装置からの受信フレームを中継可能とするように許可リスト４２０に規定された内容を変更するため、スイッチ１００において、セキュリティの向上と利便性を両立させることができる。また、認証情報管理部２２０は、許可リスト４２０を変更した場合は、スイッチ１００に接続されている他のネットワーク中継装置（スイッチ）に対して、許可リスト４２０の内容を送信するため、スイッチ１００において、利便性の向上を図ることができる。
【００７０】
Ｂ．第２実施例：
本発明の第２実施例では、第１実施例で説明したネットワーク中継装置において、さらに、ＶＬＡＮ（Virtual LAN）を使用したセキュリティ管理が可能な構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００７１】
（Ｂ−１）装置構成：
図１２は、第２実施例におけるスイッチ１００ａの構成を概略的に示す説明図である。図２に示したスイッチ１００との違いは、中継処理部２１０に代えて中継処理部２１０ａを備える点と、認証情報管理部２２０に代えて認証情報管理部２２０ａを備える点と、セキュリティ管理部２５０に代えてセキュリティ管理部２５０ａを備える点と、ＲＡＭ４００に代えてＲＡＭ４００ａを備える点のみであり、他の構成については第１実施例と同じである。中継処理部２１０ａ、認証情報管理部２２０ａ、セキュリティ管理部２５０ａの機能についての詳細は後述する。ＲＡＭ４００ａは、図３で説明した認証方法リスト４１０と、図４で説明した許可リスト４２０とに加えて、ＶＬＡＮ定義情報４３０と、デフォルトＶＬＡＮ情報４４０とを備えている。
【００７２】
（Ｂ−２）テーブル構成：
図１３は、ＶＬＡＮ定義情報４３０の一例を示す説明図である。第１の仮想ネットワーク定義情報としてのＶＬＡＮ定義情報４３０は、ポート番号フィールドと、ＶＬＡＮ ＩＤフィールドとを含んでいる。ポート番号フィールドの各エントリには、スイッチ１００ａが備える全てのポートについての識別子が格納されている。ＶＬＡＮ ＩＤフィールドには、ポート番号フィールドに格納されている各ポートに対して割り当てられている仮想ネットワークの識別子（ＶＬＡＮ ＩＤ）が格納されている。
【００７３】
例えば、図１３の例では、識別子Ｐ５０１で識別されるポート（ポートＰ５０１）に接続されている外部装置（すなわち、図１のＰＣ１０）は、識別子「１」で識別されるＶＬＡＮに所属することが規定されている。同様に、識別子Ｐ５０２で識別されるポート（ポートＰ５０２）に接続されている外部装置（すなわち、図１のＰＣ２０）は、識別子「１」で識別されるＶＬＡＮに所属することが規定されている。
【００７４】
図１４は、デフォルトＶＬＡＮ情報４４０の一例を示す説明図である。デフォルトＶＬＡＮ情報４４０は、認証の種類フィールドと、ＶＬＡＮ ＩＤフィールドとを含んでいる。認証の種類フィールドには、認証方法リスト４１０において各ポートに割り当てられた認証の種類（ＥＡＰ、Ｎｏ Ａｕｔｈ、Ｏｐｅｎ）が格納されている。なお、認証の種類フィールドに格納される認証の種類は、認証方法リスト４１０において各ポートに割り当てられた認証の種類の一部でもよい。図１４の例では、認証の種類「Ｏｐｅｎ」が省略されている。
【００７５】
ＶＬＡＮ ＩＤフィールドには、認証の種類フィールドに格納されている各認証の種類に対して、予め定められたＶＬＡＮの識別子が格納されている。すなわち、デフォルトＶＬＡＮ情報４４０は、認証の種類と、当該認証の種類が使用されるポートに接続される外部装置に割り当てるべきＶＬＡＮの識別子とを対応付けて記憶するためのテーブルである。
【００７６】
例えば、図１４の例では、認証の種類がＥＡＰのポートに接続される外部装置には、ＶＬＡＮ ＩＤとして「１」が割り当てられることが規定されている。また、認証の種類がＮｏ Ａｕｔｈのポートに接続される外部装置には、ＶＬＡＮ ＩＤとして「２」が割り当てられることが規定されている。このように、本実施例においては、認証の種類がＥＡＰのポートに接続される外部装置と、認証の種類がＮｏ Ａｕｔｈのポートに接続される外部装置とは、異なるＶＬＡＮ ＩＤが割り当てられることが規定されている。
【００７７】
（Ｂ−３）フレーム受信時処理：
第２実施例におけるフレーム受信時処理については、図５で説明したものと同様である。ただし、中継処理部２１０ａは、第１の仮想ネットワークの定義情報としてのＶＬＡＮ定義情報４３０に従って、スイッチ１００ａに直接的、または他のスイッチ等を介して間接的に接続される外部装置における仮想的なサブネットワーク（ＶＬＡＮ）を構築することができる。具体的には、中継処理部２１０ａは、フレーム中継処理（図５：ステップＳ２８）において、ＶＬＡＮ定義情報４３０を参照することにより、異なるＶＬＡＮの識別子が割り当てられたポートは異なるサブネットに所属するものとして、フレームの中継処理を行う。すなわち、図１３に示したＶＬＡＮ定義情報４３０によれば、図１のＰＣ１０と、ＰＣ２０とは、同じＶＬＡＮに所属するため、中継処理部２１０によって同じサブネットに所属するものとして取り扱われる。この結果、スイッチ１００は、ＰＣ１０と、ＰＣ２０との間におけるパケットの中継を行う。
【００７８】
（Ｂ−４）新たな外部装置として端末が接続された場合：
以下では、スイッチ１００ａに対して、新たな外部装置として端末（例えば、ＰＣ）が接続された場合について説明する。
（Ｂ−４−１）Ｎｏ Ａｕｔｈイニシャル処理：
図１５は、第２実施例におけるスイッチ１００ａに新たな外部装置（ＰＣ３０）が接続された場合であって、Ｎｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）が行われる際の様子を示す説明図である。スイッチ１００ａの構成は図１および図１２で説明した通りである。スイッチ１００ａのうち、認証の種類がＮｏ Ａｕｔｈであるポート（例えば、ポートＰ５０３）に新たな外部装置（例えば、ＰＣ３０、ＭＡＣアドレスＭＡＣ＿ＰＣ３０）が接続された場合について考える。
【００７９】
新たに接続されたＰＣ３０がスイッチ１００ａ（もしくはスイッチ１００ａに接続される他のＰＣ）へフレームを送信した場合、図６での説明と同様の処理を経て、スイッチ１００ａのＥＡＰ認証部２４０は、Ｎｏ Ａｕｔｈイニシャル処理を行う。
【００８０】
図１６は、第２実施例におけるＮｏ Ａｕｔｈイニシャル処理（図５：ステップＳ３２）の処理の流れを示すシーケンス図である。図７で説明した第１実施例との違いは、ステップＳ１０２に代えて、ステップＳ２００と、Ｓ２０２とを備える点のみであり、他の構成や動作については第１実施例と同様である。
【００８１】
ＰＣ３０からのフレームを受信後、スイッチ１００ａのセキュリティ管理部２５０ａは、ＰＣ３０に対して、ＰＣ３０が所属すべきＶＬＡＮ ＩＤを送信する（ステップＳ２００）。具体的には、セキュリティ管理部２５０ａは、デフォルトＶＬＡＮ情報４４０を検索し、認証の種類フィールドの値が「Ｎｏ Ａｕｔｈ」であるエントリのＶＬＡＮ ＩＤフィールドの値「２」を取得する。セキュリティ管理部２５０ａは、取得したＶＬＡＮ ＩＤフィールドの値「２」を、ＰＣ３０に対して送信する。
【００８２】
その後、スイッチ１００ａの認証情報管理部２２０ａは、許可アドレスと、ＶＬＡＮ定義情報とを更新する（ステップＳ２０２）。具体的には、認証情報管理部２２０ａは、ＰＣ３０から受信したフレームのヘッダに含まれる送信元ＭＡＣアドレスを、許可リスト４２０に追加する。さらに、認証情報管理部２２０ａは、ＶＬＡＮ定義情報４３０を、ステップＳ２００においてＶＬＡＮ ＩＤを送信した外部装置が接続されているポート（換言すれば、フレームを受信したポート）をキーとして検索し、一致するエントリのＶＬＡＮ ＩＤフィールドの値を、ステップＳ２００においてＰＣ３０に送信したＶＬＡＮ ＩＤで更新する。
【００８３】
第２実施例におけるＮｏ Ａｕｔｈイニシャル処理を経て、スイッチ１００ａの内部に格納されている許可リスト４２０には、既にスイッチ１００ａに接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、新たにスイッチ１００ａに接続されたＰＣ３０のＭＡＣアドレス（ＭＡＣ＿ＰＣ３０）が追加される（図１５）。さらに、スイッチ１００ａに格納されているＶＬＡＮ定義情報４３０には、新たにスイッチ１００ａにＰＣ３０が接続されたポートＰ５０３のＶＬＡＮ ＩＤ（２）が追加される。
【００８４】
なお、図６で説明したものと同様に、例えば、スイッチ１００ａがさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００ａは、更新後の許可リスト４２０およびＶＬＡＮ定義情報４３０に格納された情報を含むフレームを、さらに、他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。
【００８５】
（Ｂ−４−２）認証処理：
第２実施例における認証処理では、図９で説明した認証処理のステップＳ２１６に代えて、図１６で説明したステップＳ２００と、Ｓ２０２と同様の処理を行えばよい。なお、認証処理が行われる場合はすなわち、対応する認証の種類は「ＥＡＰ」である。このため、図１４で説明したデフォルトＶＬＡＮ情報４４０に基づくと、図１６のステップＳ２００と同様の処理において、セキュリティ管理部２５０ａが送信するＶＬＡＮ ＩＤは「１」となる。
【００８６】
このようにすれば、例えば、識別子「１」で識別されるＶＬＡＮを通常業務用のネットワークとし、識別子「２」で識別されるＶＬＡＮをインターネットアクセス専用のネットワークとすることによって、認証が成功した外部装置には通常業務用の、すなわち機密情報の多いネットワークへのアクセスを許可し、認証を省略した外部装置には機密情報の多いネットワークへのアクセスを許可しない、という運用を行うこともできる。換言すれば、ＶＬＡＮをセキュリティ確保のための手段として利用することができる。
【００８７】
（Ｂ−５）新たな外部装置として他のスイッチが接続された場合：
スイッチ１００ａに対して新たな外部装置として他のスイッチが接続された場合も、外部装置として端末が接続された場合と同様の処理を行い、同様の効果を得ることができる。詳細な説明は省略する。
【００８８】
以上のように、第２実施例によれば、スイッチ１００ａのセキュリティ管理部２５０は、外部装置（例えば、ＰＣや他のスイッチ）が接続された際に、認証の種類として第１の認証種類（Ｎｏ Ａｕｔｈ）が対応付けられているポートに接続された外部装置と、認証の種類として第２の認証種類（ＥＡＰ）が対応付けられているポートに接続された外部装置とに対して、異なる仮想ネットワークの識別子（ＶＬＡＮ ＩＤ）を送信するため、スイッチ１００ａにおいて、セキュリティの向上を図ることができる。
【００８９】
Ｃ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲で種々の構成を採ることができる。例えば、ソフトウェアによって実現した機能は、ハードウェアによって実現するものとしてもよい。そのほか、以下のような変形が可能である。
【００９０】
Ｃ１．変形例１：
上記実施例では、ネットワーク中継装置の構成について説明した。しかし、上記実施例で示したネットワーク中継装置の構成はあくまで一例であり、任意の構成を採用することができる。例えば、その構成要素の一部を省略したり、更なる構成要素を付加したりする変形が可能である。
【００９１】
例えば、上記実施例におけるスイッチは、ＭＡＣアドレスによるフレームの中継を行うレイヤ２スイッチであるものとした。しかし、ＭＡＣアドレスによるフレームの中継に加えてＩＰアドレスによるパケットの中継を行うことも可能な、いわゆるレイヤ３スイッチであるものとしてもよい。また、無線通信インタフェースを備え、無線通信におけるパケットの中継が可能な、いわゆるアクセスポイントであるものとしてもよい。
【００９２】
例えば、上記実施例におけるスイッチでは、認証方法リストと、許可リストと、ＶＬＡＮ定義情報と、デフォルトＶＬＡＮ情報とはＲＡＭに格納されているものとしたが、他の記憶媒体、例えば、フラッシュＲＯＭに格納されているものとしても良い。
【００９３】
上記実施例におけるスイッチでは、ＣＰＵは、中継処理部と、ＥＡＰ認証部と、セキュリティ管理部と、を備え、中継処理部は、さらに、認証情報管理部と、ＭＡＣアドレス認証部とを含むものとして記載した。また、各処理部において実行される機能について説明した。しかし、これら各処理部の配置および各処理部が果たす機能の内容についてはあくまで例示であり、スイッチの構成に応じて任意に変更することが可能である。
【００９４】
例えば、上記実施例において記載した中継処理部の機能のうちのフレーム中継機能は、有線通信インタフェースを構成する物理チップによって実現される機能であるものとし、中継処理部の他の機能（受信フレームの中継可否を決定する機能や、認証情報管理部の機能、ＭＡＣアドレス認証部の機能）は、ＣＰＵによって実現される機能であるとしてもよい。この場合、有線通信インタフェースを構成する物理チップと、ＣＰＵとが協働することによって中継処理部の全ての機能を実現する。
【００９５】
例えば、有線通信インタフェースを構成する物理チップの内部に、中継処理部と、ＥＡＰ認証部と、セキュリティ管理部と、認証情報管理部と、ＭＡＣアドレス認証部との全ての機能を備えるものとしてもよい。
【００９６】
Ｃ２．変形例２：
上記実施例におけるスイッチは、受信したフレームのＭＡＣアドレス認証を行うためのＭＡＣアドレス認証部と、外部装置が接続された際に、接続された外部装置との間で認証を行うためのＥＡＰ認証部とを備える（すなわち、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を内蔵する）構成とした。しかし、専用のＲＡＤＩＵＳサーバをスイッチとは別に設け、外部のＲＡＤＩＵＳサーバにおいて、実際のＭＡＣアドレス認証や、接続された外部装置認証を行う構成としてもよい。専用のＲＡＤＩＵＳサーバをスイッチとは別に設ける場合、ＭＡＣアドレス認証部と、ＥＡＰ認証部は、ＲＡＤＩＵＳサーバに対して認証要求を送信し、その応答としての認証結果を得ることによって、ＭＡＣアドレス認証部およびＥＡＰ認証部として機能する。
【００９７】
上記実施例では、予め定められた認証方式として、認証の種類がＥＡＰの場合にＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５を用いて認証を行うものとした。しかし、上記実施例における認証方式は、あくまで例示であり、任意のものを採用することができる。
【００９８】
例えば、認証方式として、ＥＡＰ−ＴＬＳや、ＥＡＰ−ＴＴＬＳや、ＰＥＡＰ（Protected Extensible Authentication Protocol）や、ＬＥＡＰ（Lightweight Extensible Authentication Protocol）のほか、ＥＡＰプロトコルを利用した独自方式等を採用することができる。
【００９９】
例えば、認証方式として、ＩＥＥＥ ８０２．１ＸのＥＡＰプロトコルに準拠した認証方法に代えて、次のような認証方式を用いても良い。具体的には、スイッチ内部に、接続を許可すべき外部装置（他のスイッチやＰＣ等）のＭＡＣアドレスを予め記憶しておく。そして、ＥＡＰ認証部は、外部装置が接続された際に、当該外部装置のＭＡＣアドレスが接続を許可すべきＭＡＣアドレスとして予め登録されている場合に、認証が成功したものとして取り扱う。このようにすれば、接続を許可すべき外部装置（他のスイッチやＰＣ等）を、スイッチの管理者等によって、予め指定しておくことができる。
【０１００】
Ｃ３．変形例３：
上記実施例では、認証方法リスト、許可リスト、ＶＬＡＮ定義情報、デフォルトＶＬＡＮ情報の一例を示した。しかし、これらのテーブルはあくまで一例であり、発明の要旨を逸脱しない範囲において任意に定めることができる。例えば、上記に例示したフィールド以外のフィールドを備えるものとしても良い。また、各テーブルには、ダイレクトマップ方式を用いることも可能である。さらに、利用者が各テーブルをコンフィギュレーション可能な構成とすることも好ましい。
【０１０１】
上記実施例における許可リストは、フレームを受信したポートの区別なく、中継可能な送信元ＭＡＣアドレスのみを格納する構成としているが、次のような変形をしてもよい。
【０１０２】
例えば、許可リストに対して、ポート番号フィールドを追加することで、ポート毎に中継を許可する受信フレームの送信元ＭＡＣアドレスを管理する構成にしてもよい。
【０１０３】
例えば、許可アドレスフィールドに代えて、送信元ＭＡＣアドレスフィールドと、中継可否フィールドとを設け、送信元ＭＡＣアドレス毎に、フレームの中継可能／不可能を設定する構成としてもよい。
【符号の説明】
【０１０４】
１００…スイッチ
１００Ｘ…スイッチ
１００Ｚ…スイッチ
１００ａ…スイッチ
２００…ＣＰＵ
２１０…中継処理部
２１０ａ…中継処理部
２２０…認証情報管理部
２２０ａ…認証情報管理部
２３０…ＭＡＣアドレス認証部
２４０…ＥＡＰ認証部
２５０…セキュリティ管理部
２５０ａ…セキュリティ管理部
３００…ＲＯＭ
４００…ＲＡＭ
４１０…認証方法リスト
４２０…許可リスト
４３０…ＶＬＡＮ定義情報
４４０…デフォルトＶＬＡＮ情報
５００…有線通信インタフェース
Ｐ５０１〜Ｐ５０５…ポート
【特許請求の範囲】
【請求項１】
ネットワーク中継装置であって、
外部装置が接続されるとともに、接続された前記外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、
前記ネットワーク中継装置に前記外部装置が接続された際に、前記外部装置が接続されたポートに対して予め定められた前記認証の種類に従って、前記外部装置との間で必要な認証を行う認証処理部と、
フレームを受信したポートに対して予め定められた前記認証の種類が第１の認証種類である場合は、受信フレームを中継するとともに、フレームを受信したポートに対して予め定められた前記認証の種類が第２の認証種類である場合は、前記認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、
を備える、ネットワーク中継装置。
【請求項２】
請求項１記載のネットワーク中継装置であって、さらに、
前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置からの受信フレームを監視するセキュリティ管理部を備える、ネットワーク中継装置。
【請求項３】
請求項１または２記載のネットワーク中継装置であって、
前記セキュリティ管理部は、さらに、
前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置からの受信フレームに、コンピュータウィルスが含まれるか否かを検出する、ネットワーク中継装置。
【請求項４】
請求項１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記セキュリティ管理部は、さらに、
前記外部装置が接続された際に、前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置と、前記認証の種類として前記第２の認証種類が対応付けられているポートに接続された前記外部装置とに対して、異なる仮想ネットワークの識別子を送信する、ネットワーク中継装置。
【請求項５】
請求項１ないし４のいずれか一項記載のネットワーク中継装置であって、さらに、
前記中継処理部が前記受信フレームの中継可否を決定する際に用いる情報であって、前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを備え、
前記中継処理部は、さらに、
前記第１の許可リストに規定された内容を変更する認証情報管理部を含む、ネットワーク中継装置。
【請求項６】
請求項５記載のネットワーク中継装置であって、
前記認証情報管理部は、
前記認証の種類として前記第１の認証種類が対応付けられているポートに前記外部装置が接続された場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更し、
前記認証の種類として前記第２の認証種類が対応付けられているポートに前記外部装置が接続され、前記認証処理部による認証が成功した場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更する、
ネットワーク中継装置。
【請求項７】
請求項５または６記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記第１の許可リストを変更した場合は、前記ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、前記第１の許可リストの内容を送信する、ネットワーク中継装置。
【請求項１】
ネットワーク中継装置であって、
外部装置が接続されるとともに、接続された前記外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、
前記ネットワーク中継装置に前記外部装置が接続された際に、前記外部装置が接続されたポートに対して予め定められた前記認証の種類に従って、前記外部装置との間で必要な認証を行う認証処理部と、
フレームを受信したポートに対して予め定められた前記認証の種類が第１の認証種類である場合は、受信フレームを中継するとともに、フレームを受信したポートに対して予め定められた前記認証の種類が第２の認証種類である場合は、前記認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、
を備える、ネットワーク中継装置。
【請求項２】
請求項１記載のネットワーク中継装置であって、さらに、
前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置からの受信フレームを監視するセキュリティ管理部を備える、ネットワーク中継装置。
【請求項３】
請求項１または２記載のネットワーク中継装置であって、
前記セキュリティ管理部は、さらに、
前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置からの受信フレームに、コンピュータウィルスが含まれるか否かを検出する、ネットワーク中継装置。
【請求項４】
請求項１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記セキュリティ管理部は、さらに、
前記外部装置が接続された際に、前記認証の種類として前記第１の認証種類が対応付けられているポートに接続された前記外部装置と、前記認証の種類として前記第２の認証種類が対応付けられているポートに接続された前記外部装置とに対して、異なる仮想ネットワークの識別子を送信する、ネットワーク中継装置。
【請求項５】
請求項１ないし４のいずれか一項記載のネットワーク中継装置であって、さらに、
前記中継処理部が前記受信フレームの中継可否を決定する際に用いる情報であって、前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを備え、
前記中継処理部は、さらに、
前記第１の許可リストに規定された内容を変更する認証情報管理部を含む、ネットワーク中継装置。
【請求項６】
請求項５記載のネットワーク中継装置であって、
前記認証情報管理部は、
前記認証の種類として前記第１の認証種類が対応付けられているポートに前記外部装置が接続された場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更し、
前記認証の種類として前記第２の認証種類が対応付けられているポートに前記外部装置が接続され、前記認証処理部による認証が成功した場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更する、
ネットワーク中継装置。
【請求項７】
請求項５または６記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記第１の許可リストを変更した場合は、前記ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、前記第１の許可リストの内容を送信する、ネットワーク中継装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公開番号】特開２０１２−４９５８９（Ｐ２０１２−４９５８９Ａ）
【公開日】平成２４年３月８日（２０１２．３．８）
【国際特許分類】
【出願番号】特願２０１０−１８６８２９（Ｐ２０１０−１８６８２９）
【出願日】平成２２年８月２４日（２０１０．８．２４）
【出願人】（３９００４０１８７）株式会社バッファロー (378)
【Ｆターム（参考）】
【公開日】平成２４年３月８日（２０１２．３．８）
【国際特許分類】
【出願日】平成２２年８月２４日（２０１０．８．２４）
【出願人】（３９００４０１８７）株式会社バッファロー (378)
【Ｆターム（参考）】
[ Back to top ]