ネットワーク中継装置
【課題】セキュリティを確保しつつ、ネットワーク構成の変化に柔軟に対応することのできるネットワーク中継装置を提供する。
【解決手段】ネットワーク中継装置は、外部装置が接続されるとともに、接続された外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、ネットワーク中継装置に外部装置が接続された際に、外部装置が接続されたポートに対して予め定められた認証の種類を判別し、判別した前記認証の種類が第１の認証種類である場合は、所定の条件に基づいて決定された認証方式を用いて外部装置との間で認証を行う認証処理部と、認証処理部による認証が成功した場合に受信フレームを中継する中継処理部とを備える。
【解決手段】ネットワーク中継装置は、外部装置が接続されるとともに、接続された外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、ネットワーク中継装置に外部装置が接続された際に、外部装置が接続されたポートに対して予め定められた認証の種類を判別し、判別した前記認証の種類が第１の認証種類である場合は、所定の条件に基づいて決定された認証方式を用いて外部装置との間で認証を行う認証処理部と、認証処理部による認証が成功した場合に受信フレームを中継する中継処理部とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク中継装置に関する。
【背景技術】
【０００２】
ＩＣＴ（Information and Communication Technology）技術の進展に伴い、インテリジェントスイッチと呼ばれるスイッチ製品が登場している。このようなインテリジェントスイッチは、一般的なスイッチと比較して高機能なスイッチのことを意味する。インテリジェントスイッチは様々な機能、例えば、ＶＬＡＮ（Virtual Local Area Network）機能や、セキュリティ機能や、ＱｏＳサービス品質機能等を備えている（例えば、特許文献１）。このような機能の中でも、近年では、ネットワーク内部における脅威を重要視したセキュリティ機能の向上が求められている。
【０００３】
一方、セキュリティの強化と利便性とはトレードオフの関係であり、一方を追求すれば他方を犠牲にせざるを得ないという実情がある。例えば、インテリジェントスイッチにおいて、一般に広く用いられているポートベースのセキュリティ（インテリジェントスイッチのポートに接続する外部装置のＭＡＣアドレスに基づいてトラフィックの入力を制限する）を採用する場合、ネットワーク管理者は通常、インテリジェントスイッチの個々のポートに対して、セキュリティの有効・無効、トラフィックの入力を許可すべき外部装置のＭＡＣアドレス、セキュリティ違反時の処理の指定等の設定を行う。
【０００４】
しかし、近年では、企業内において個人所有のモバイル端末やスマートフォンなどを業務に利用する従業員や、契約社員や関連会社、取引先のスタッフといったゲストユーザーも増えるようになったことから、ネットワークの構成の変更が頻繁に発生する。この結果、ネットワーク管理者は、セキュリティを確保しつつ、ネットワーク構成の変更に対応しなければならず、ネットワーク管理者における管理負担が増大するという問題があった。
【０００５】
また、このような問題は、インテリジェントスイッチに限らず、セキュリティ機能を備えるネットワーク中継装置全般に共通する問題であった。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−４８２５２号公報
【特許文献２】特開２００６−１２８９８５号公報
【特許文献３】特開２００９−２３９４２７号公報
【特許文献４】特開２００６−５０３７２号公報
【特許文献５】特開２００２−２０４２４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明は、セキュリティを確保しつつ、ネットワーク構成の変化に柔軟に対応することのできるネットワーク中継装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００９】
［適用例１］
ネットワーク中継装置であって、
外部装置が接続されるとともに、接続された前記外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、
前記ネットワーク中継装置に前記外部装置が接続された際に、前記外部装置が接続されたポートに対して予め定められた前記認証の種類を判別し、判別した前記認証の種類が第１の認証種類である場合は、所定の条件に従って決定された認証方式を用いて前記外部装置との間で認証を行う認証処理部と、
前記認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、
を備える、ネットワーク中継装置。
このような構成にすれば、認証処理部は、外部装置が接続されたポートに対して予め定められた認証の種類が第１の認証種類である場合は、所定の条件に従って決定された認証方式を用いて外部装置との間で認証を行い、中継処理部は、認証処理部による認証が成功した場合に受信フレームを中継するため、セキュリティを確保しつつ、ネットワーク構成の変化に柔軟に対応することのできるネットワーク中継装置を提供することができる。
【００１０】
［適用例２］
適用例１記載のネットワーク中継装置であって、
前記認証処理部は、さらに、
判別した前記認証の種類が第２の認証種類である場合は、予め定められた特定の認証方式を用いて前記外部装置との間で認証を行う、ネットワーク中継装置。
このような構成にすれば、認証処理部は、外部装置が接続されたポートに対して予め定められた認証の種類が第２の認証種類である場合は、予め定められた特定の認証方式を用いて外部装置との間で認証を行うため、ネットワーク中継装置において、セキュリティの向上と利便性を両立させることができる。
【００１１】
［適用例３］
適用例１または２記載のネットワーク中継装置であって、
前記所定の条件は、
受信フレームの種類と、前記受信フレームの送信元である前記外部装置の種類とに応じて、予め定められた複数の認証方式の候補から実行すべき認証方式を決定することである、ネットワーク中継装置。
このような構成にすれば、認証処理部は、受信フレームの種類と、受信フレームの送信元である外部装置の種類とに応じて、実行すべき認証方式を決定することができる。
【００１２】
［適用例４］
適用例１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記ネットワーク中継装置に前記外部装置が接続された際に、予め定められたトリガの発生に応じて、
前記中継処理部は、前記受信フレームの中継を停止し、
前記認証処理部は、前記認証に使用する鍵の交換を要求する旨の鍵交換フレームを受信した場合、前記鍵交換フレームを受信したポートに接続されている前記外部装置との間で、鍵交換のための処理を行う、ネットワーク中継装置。
このような構成にすれば、予め定められたトリガの発生に応じて、中継処理部は受信フレームの中継を停止し、認証処理部は鍵交換のための処理を行うため、ネットワーク中継装置と、外部装置との間で認証に使用する鍵の交換をすることができる。
【００１３】
［適用例５］
適用例１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められた特定の認証方式は、ＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴのうちのいずれか１つであり、
前記予め定められた複数の認証方式の候補には、ＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴとのうちの少なくとも１つが含まれる、ネットワーク中継装置。
【００１４】
［適用例６］
適用例１ないし５のいずれか一項記載のネットワーク中継装置であって、さらに、
前記中継処理部が前記受信フレームの中継可否を決定する際に用いる情報であって、前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを備え、
前記中継処理部は、さらに、
前記第１の許可リストに規定された内容を変更する認証情報管理部を含む、ネットワーク中継装置。
このような構成にすれば、中継処理部は、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを用いて受信フレームの中継可否を決定し、認証情報管理部は、第１の許可リストに規定された内容を変更するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１５】
［適用例７］
適用例６記載のネットワーク中継装置であって、
前記認証情報管理部は、
前記認証処理部による認証が成功した場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更する、ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、外部装置が接続されて認証が成功した場合に、外部装置からの受信フレームを中継可能とするように第１の許可リストに規定された内容を変更するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１６】
［適用例８］
適用例６または７記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記第１の許可リストを変更した場合は、前記ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、前記第１の許可リストの内容を送信する、ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、第１の許可リストを変更した場合は、ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、第１の許可リストの内容を送信するため、ネットワーク中継装置において、利便性の向上を図ることができる。
【００１７】
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、ネットワーク中継装置、ネットワーク中継装置の制御方法、ネットワーク中継装置を用いたネットワークシステム、および、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。
【図面の簡単な説明】
【００１８】
【図１】本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。
【図２】スイッチの構成を概略的に示す説明図である。
【図３】認証方法リストの一例を示す説明図である。
【図４】許可リストの一例を示す説明図である。
【図５】認証方式候補の一例を示す説明図である。
【図６】フレーム受信時処理の手順を示すフローチャートである。
【図７】スイッチに新たな外部装置（他のスイッチ）が接続された場合であって認証が行われる前の様子を示す説明図である。
【図８】ＥＡＰ＿ＳＷモード認証処理（図６：ステップＳ３６）の流れを示すシーケンス図である。
【図９】スイッチに新たな外部装置（他のスイッチ）が接続された場合であって認証が行われた後の様子を示す説明図である。
【図１０】スイッチに新たな外部装置（ＰＣ）が接続された場合であって認証が行われる前の様子を示す説明図である。
【図１１】ＥＡＰ＿ＰＣモード認証処理（図６：ステップＳ３８）の流れを示すシーケンス図である。
【図１２】スイッチに新たな外部装置（ＰＣ）が接続された場合であって認証が行われた後の様子を示す説明図である。
【図１３】第２実施例におけるスイッチの構成を概略的に示す説明図である。
【図１４】鍵交換処理の流れを示すシーケンス図である。
【発明を実施するための形態】
【００１９】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
【００２０】
Ａ．第１実施例：
（Ａ−１）装置構成：
図１は、本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。ネットワーク中継装置（以降、「スイッチ」とも呼ぶ。）１００は、いわゆるレイヤ２スイッチであり、ＭＡＣアドレスによるフレームの中継を行う機能を有する。また、スイッチ１００は、５つのポートＰ５０１〜Ｐ５０５を備えている。ポートには外部装置（例えば、ＰＣや他のスイッチ）が接続される。
【００２１】
図１の例では、ポートＰ５０１には、回線を通じてパーソナルコンピュータ（以降、「端末」、「ＰＣ」とも呼ぶ。）１０が接続されている。ＰＣ１０のＭＡＣアドレスはＭＡＣ＿ＰＣ１０である。ポートＰ５０２には、回線を通じてＰＣ２０が接続されている。ＰＣ２０のＭＡＣアドレスはＭＡＣ＿ＰＣ２０である。なお、図１では便宜上、説明上必要としない、他のネットワーク装置、回線、端末、およびネットワーク中継装置１００内の構成部については図示を省略している。このことは、後述する図においても同様である。
【００２２】
図２は、スイッチ１００の構成を概略的に示す説明図である。スイッチ１００は、ＣＰＵ２００と、ＲＯＭ３００と、ＲＡＭ４００と、有線通信インタフェース（有線通信Ｉ／Ｆ）５００とを備えている。スイッチ１００の各構成要素は、バスを介して互いに接続されている。
【００２３】
ＣＰＵ２００は、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００に展開して実行することにより、スイッチ１００の各部を制御する。また、ＣＰＵ２００は、中継処理部２１０、ＥＡＰ認証部２４０としても機能する。中継処理部２１０は、さらに、認証情報管理部２２０と、ＭＡＣアドレス認証部２３０とを含み、有線通信インタフェース５００を介して受信したフレームである受信フレームを中継する機能を有する。認証情報管理部２２０は、主として、許可リスト４２０を更新する機能と、他のスイッチとの間において許可リスト４２０を交換する機能とを有する。ＭＡＣアドレス認証部２３０は、受信フレームの中継可否を決定する機能を有する。認証処理部としてのＥＡＰ認証部２４０は、スイッチ１００に外部装置（例えば、ＰＣや他のスイッチ）が接続された際に、外部装置との間で認証を行う機能を有する。これら各機能部についての詳細は後述する。
【００２４】
ＲＡＭ４００には、認証方法リスト４１０と、許可リスト４２０と、認証方式候補４５０とが含まれている。これら各リストについての詳細は後述する。有線通信インタフェース５００は、ローカルエリアネットワーク（ＬＡＮ）と接続するためのＬＡＮケーブルの接続口である。有線通信インタフェース５００は、５つのポートＰ５０１〜Ｐ５０５を含んでいる。なお、本実施例では、ポートＰ５０１〜Ｐ５０４はスイッチ以外の外部装置（例えば、ＰＣやモバイル端末等）を接続するためのポートである。ポートＰ５０５は、他のスイッチを接続するためのカスケード接続用ポートである。
【００２５】
（Ａ−２）テーブル構成：
図３は、認証方法リスト４１０の一例を示す説明図である。認証方法リスト４１０は、ポート番号フィールドと、認証の種類フィールドと、ＭＡＣ認証フィールドとを含んでいる。ポート番号フィールドの各エントリには、スイッチ１００が備える全てのポートについての識別子が格納されている。
【００２６】
認証の種類フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められた認証の種類が格納されている。認証の種類とは、スイッチ１００が有するポートに対して外部装置が接続された際に、ＥＡＰ認証部２４０が行うべき認証の種類のことを意味する。本実施例における認証の種類は、「Ａｕｔｏ」と、「ＥＡＰ」とを含んでいる。第１の認証種類としてのＡｕｔｏは、所定の条件に従って決定された認証方式を用いて、スイッチ１００に対して接続された外部装置との間で認証を行うことを意味する。詳細は後述する。
【００２７】
第２の認証種類としてのＥＡＰは、予め定められた特定の認証方式を用いて、スイッチ１００に対して接続された外部装置との間で認証を行うことを意味する。特定の認証方式、すなわち、認証の種類がＥＡＰである場合において実際に用いられる認証方式は、ＲＡＭ４００内部に予め格納されている。この特定の認証方式は、ＩＥＥＥ ８０２．１Ｘの、ＥＡＰ−ＭＤ５（Extensible Authentication Protocol-message digest version 5）と、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）と、ＥＡＰ−ＴＴＬＳ（Extensible Authentication Protocol-Tunneled Transport Layer Security）と、ＰＥＡＰ（Protected Extensible Authentication Protocol）と、ＬＥＡＰ（Lightweight Extensible Authentication Protocol）と、ＥＡＰ−ＦＡＳＴ（Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling）とのうちのいずれかから選択されることが好ましい。本実施例では、ＥＡＰ−ＭＤ５を用いて認証を行う。この特定の認証方式は利用者によるコンフィギュレーションが可能な構成としてもよい。
【００２８】
なお、認証方法リスト４１０には、上記に例示した認証の種類以外の認証の種類（例えば、スイッチ１００に対して接続された外部装置の認証を行わないことを示す「Ｏｐｅｎ」等）を含んでもよい。
【００２９】
ＭＡＣ認証フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められたＭＡＣアドレス認証の有効（ｅｎａｂｌｅ）／無効（ｄｉｓａｂｌｅ）の設定値が格納されている。なお、ＭＡＣ認証フィールドは省略可能である。ＭＡＣ認証フィールドを省略した場合は、スイッチ１００におけるセキュリティ向上の観点から、全てのポートについて、ＭＡＣアドレス認証は有効（ｅｎａｂｌｅ）とすることが好ましい。
【００３０】
例えば、図３の例では、識別子Ｐ５０１で識別されるポート（ポートＰ５０１）に外部装置が接続された際には、Ａｕｔｏに基づく認証、すなわち、所定の条件に従って決定された認証方式を用いて認証が行われることが規定されている。また、ポートＰ５０１からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０１）。ポートＰ５０２に外部装置が接続された際には、ＥＡＰに基づく認証、すなわち、ＥＡＰ−ＭＤ５認証方式に従って認証が行われることが規定されている。また、ポートＰ５０２からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０２）。
【００３１】
図４は、許可リスト４２０の一例を示す説明図である。第１の許可リストとしての許可リスト４２０は、ＭＡＣアドレス認証の際に使用されるリストである。許可リスト４２０には、スイッチ１００の中継処理部２１０において中継を許可する受信フレームの送信元ＭＡＣアドレス（フレームの送信元である装置のＭＡＣアドレス）が、許可アドレスとして格納されている。すなわち、許可リスト４２０には、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されているといえる。
【００３２】
例えば、図４の例では、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、「ＭＡＣ＿ＰＣ１０」、「ＭＡＣ＿ＰＣ２０」のいずれかであれば、中継処理部２１０において当該フレームの中継が許可される。
【００３３】
図５は、認証方式候補４５０の一例を示す説明図である。認証方式候補４５０は、認証処理フィールドと、認証方式フィールドとを含んでいる。認証処理フィールドには、ＥＡＰ認証部２４０が実行することが可能な認証処理の種類が予め格納されている。本実施例における認証処理の種類は、「ＥＡＰ＿ＳＷモード認証処理」と、「ＥＡＰ＿ＰＣモード認証処理」とを含んでいる。ＥＡＰ＿ＳＷモード認証処理は、他のスイッチが接続された場合に、ＥＡＰ認証部２４０によって実行される認証処理である。ＥＡＰ＿ＰＣモード認証処理は、スイッチ以外の端末（例えば、ＰＣ等）が接続された場合に、ＥＡＰ認証部２４０によって実行される認証処理である。
【００３４】
認証方式フィールドには、認証処理フィールドに格納されたそれぞれの認証処理において、実際に用いられる認証方式が予め格納されている。図５の例では、認証処理の種類がＥＡＰ＿ＳＷモード認証処理の場合、ＥＡＰ認証部２４０は、ＩＥＥＥ ８０２．１ＸのＥＡＰ−ＴＬＳを用いて認証することが規定されている。また、認証処理の種類がＥＡＰ＿ＰＣモード認証処理の場合は、ＥＡＰ認証部２４０は、ＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５を用いて認証することが規定されている。なお、認証方式フィールドには、ＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴとのうちの少なくとも１つを含むことが好ましい。
【００３５】
上述の通り、認証方式候補４５０には、ＥＡＰ認証部２４０が実行する認証処理の候補と、それぞれの認証処理において用いられる認証方式とが予め対応付けて格納されている。すなわち、認証方式候補４５０には、複数の認証方式の候補が格納されているといえる。なお、認証方式候補４５０の内容は、利用者によるコンフィギュレーションが可能な構成としてもよい。
【００３６】
（Ａ−３）フレーム受信時処理：
図６は、フレーム受信時処理の手順を示すフローチャートである。中継処理部２１０は、ポートＰ５０１〜Ｐ５０５のいずれかを介してフレームを受信したか否かを判定する（ステップＳ１０）。フレームを受信していない場合（ステップＳ１０：ＮＯ）、ステップＳ１０へ戻る。フレームを受信した場合（ステップＳ１０：ＹＥＳ）、中継処理部２１０は、受信フレームはＥＡＰフレームか否かを判定する（ステップＳ１２）。具体的には、例えば、中継処理部２１０は、受信フレームのヘッダに含まれるイーサタイプから判断される受信フレームのタイプがＥＡＰＯＬである場合、ＥＡＰフレームを受信したと判定することができる。
【００３７】
受信フレームがＥＡＰフレームである場合（ステップＳ１２：ＹＥＳ）、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索する（ステップＳ１４）。具体的には、ＥＡＰ認証部２４０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリの認証の種類フィールドの値を取得する。ＥＡＰ認証部２４０は、取得した認証の種類フィールドの値に応じて処理を分岐させる（ステップＳ３０）。認証の種類フィールドの値が「ＥＡＰ」である場合（ステップＳ３０：ＥＡＰ）、ＥＡＰ認証部２４０は、ＥＡＰ＿ＰＣモード認証処理を行う（ステップＳ３８）。ＥＡＰ＿ＰＣモード認証処理の詳細は後述する。
【００３８】
一方、認証の種類フィールドの値が「Ａｕｔｏ」である場合（ステップＳ３０：Ａｕｔｏ）、ＥＡＰ認証部２４０は、受信フレームがＰＣからのフレームであるか否かを判定する（ステップＳ３２）。具体的には、例えば、ＥＡＰ認証部２４０は、受信したＥＡＰフレームのペイロードを参照し、ペイロード中の所定の位置に含まれる識別子がＰＣを示す値である場合に、ＰＣからの受信フレームであると判定する。受信フレームがＰＣからのフレームである場合（ステップＳ３２：ＹＥＳ）、ＥＡＰ認証部２４０は、ＥＡＰ＿ＰＣモード認証処理を行う（ステップＳ３８）。ＥＡＰ＿ＰＣモード認証処理の詳細は後述する。
【００３９】
受信フレームがＰＣからの受信フレームでない場合（ステップＳ３２：ＮＯ）、ＥＡＰ認証部２４０は、受信フレームがスイッチからのフレームであるか否かを判定する（ステップＳ３４）。具体的には、例えば、ＥＡＰ認証部２４０は、受信したＥＡＰフレームのペイロードを参照し、ペイロード中の所定の位置に含まれる識別子がスイッチを示す値である場合に、スイッチからの受信フレームであると判定する。受信フレームがスイッチからのフレームである場合（ステップＳ３４：ＹＥＳ）、ＥＡＰ認証部２４０は、ＥＡＰ＿ＳＷモード認証処理を行う（ステップＳ３６）。ＥＡＰ＿ＳＷモード認証処理の詳細は後述する。一方、受信フレームがスイッチからのフレームでない場合（ステップＳ３４：ＮＯ）、ＥＡＰ認証部２４０は、受信フレームを破棄し、処理を終了する（ステップＳ２６）。
【００４０】
このように、認証処理部としてのＥＡＰ認証部は、フレームを受信したポート（換言すれば、外部装置が接続されたポート）に対して設定された認証の種類を判別し、判別した認証の種類に応じて処理を分岐させている（ステップＳ３０）。
【００４１】
一方、受信フレームがＥＡＰフレーム以外のフレームである場合（ステップＳ１２：ＮＯ）、ＭＡＣアドレス認証部２３０は認証方法リスト４１０を検索する（ステップＳ１８）。具体的には、ＭＡＣアドレス認証部２３０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリのＭＡＣ認証フィールドの値、すなわち、ＭＡＣアドレス認証の有効／無効の設定値を取得する。次に、ＭＡＣアドレス認証部２３０は、ＭＡＣアドレス認証を行うか否かを判定する（ステップＳ２０）。具体的には、取得した設定値が「ｅｎａｂｌｅ」であればＭＡＣアドレス認証を行い、取得した設定値が「ｄｉｓａｂｌｅ」であればＭＡＣアドレス認証は行わない。ＭＡＣアドレス認証を行わない場合（ステップＳ２０：なし）、処理はステップＳ２８へ遷移する。
【００４２】
ＭＡＣアドレス認証を行う場合（ステップＳ２０：あり）、ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であるか否かを判定する（ステップＳ２４）。具体的には、ＭＡＣアドレス認証部２３０は、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致するか否かを判定する。一致しない場合（ステップＳ２４：不可）、ＭＡＣアドレス認証部２３０は、受信フレームを破棄し、処理を終了する（ステップＳ２６）。受信フレームを破棄した際、ＭＡＣアドレス認証部２３０は、破棄したフレームの送信元端末に対して、フレームを破棄した旨の通知を行ってもよい。
【００４３】
一方、一致する場合（ステップＳ２４：可）、ＭＡＣアドレス認証部２３０は、受信フレームは中継可であるものとして、フレーム中継処理を行う（ステップＳ２８）。フレーム中継処理においては、中継処理部２１０は、図示しないＭＡＣアドレステーブルを参照し、フォワーディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルにある場合のフレーム中継動作）もしくはフラッディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルに無い場合の動作）を行った後、処理を終了する。このように、中継処理部２１０のＭＡＣアドレス認証部２３０は、許可リスト４２０に基づいて、受信フレームの中継可否を決定する。
【００４４】
図７は、スイッチ１００に新たな外部装置（他のスイッチ）が接続された場合であって、認証が行われる前の様子を示す説明図である。新たな外部装置としてのスイッチ１００Ｘの構成は、ポートＰ５０１がカスケード接続用ポートに設定されている点を除いては、図１に示したスイッチ１００と同様である。スイッチ１００ＸのポートＰ５０１は、回線を通じてスイッチ１００のポートＰ５０５と接続されている。また、スイッチ１００ＸのポートＰ５０２にはＰＣ３０が、ポートＰ５０３にはＰＣ４０が、ポートＰ５０４にはＰＣ５０が、それぞれ回線を通じて接続されている。また、ＰＣ３０のＭＡＣアドレスはＭＡＣ＿ＰＣ３０、ＰＣ４０のＭＡＣアドレスはＭＡＣ＿ＰＣ４０、ＰＣ５０のＭＡＣアドレスはＭＡＣ＿ＰＣ５０である。スイッチ１００Ｘ内部に格納されている許可リスト４２０には、既にスイッチ１００Ｘに接続されている３台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）が格納されている。なお、スイッチ１００Ｘ内部に格納されている認証方法リスト４１０については、記載を省略する。
【００４５】
例えば、図７のように、スイッチ１００とスイッチ１００Ｘとの認証が行われる前において、ＰＣ３０からＰＣ２０へフレームが送信された場合について考える。スイッチ１００Ｘが受信したフレームは、スイッチ１００ＸのポートＰ５０１からスイッチ１００へ向けて送信される。
【００４６】
スイッチ１００Ｘからのフレームを受信したスイッチ１００は（図６：ステップＳ１０：ＹＥＳ）、受信フレームはＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０５におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索し、送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が、許可リスト４２０に格納されているＭＡＣアドレスのいずれとも一致しないと判定する（ステップＳ２２、Ｓ２４：不可）。この結果、スイッチ１００が受信したフレームは、ＭＡＣアドレス認証部２３０により破棄される（ステップＳ２６）。
【００４７】
以上のように、スイッチ１００とスイッチ１００Ｘとの間の認証が行われる前においては、スイッチ１００は、スイッチ１００Ｘに接続されている外部装置からの受信フレームを中継することなく破棄する。換言すれば、スイッチ１００は、スイッチ１００Ｘとの認証前においては、スイッチ１００Ｘからのトラフィックの入力を制限する。これは、スイッチ１００が有する許可リスト４２０に、スイッチ１００Ｘに接続されている外部装置（ＰＣ３０〜ＰＣ５０）のＭＡＣアドレスが格納されていないためである。
【００４８】
図７のように、スイッチ１００に他のスイッチ１００Ｘが接続された場合、スイッチ１００Ｘは、スイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレームを送信する。ＥＡＰＯＬ開始フレームを受信したスイッチ１００の中継処理部２１０は、受信フレームはＥＡＰフレームであると判定する（図６：ステップＳ１２：ＹＥＳ）。このため、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索し、フレームを受信したポートＰ５０５の認証の種類はＡｕｔｏであると判定する（ステップＳ３０：Ａｕｔｏ）。また、ＥＡＰ認証部２４０は、受信したＥＡＰフレームのペイロードの所定の位置に含まれる識別子から、受信フレームはスイッチからの受信フレームであると判定する（ステップＳ３２：ＮＯ、ステップＳ３４：ＹＥＳ）以下、ＥＡＰ＿ＳＷモード認証処理（ステップＳ３６）について説明する。
【００４９】
（Ａ−４）ＥＡＰ＿ＳＷモード認証処理：
図８は、ＥＡＰ＿ＳＷモード認証処理（図６：ステップＳ３６）の流れを示すシーケンス図である。スイッチ１００に対してスイッチ１００Ｘが接続された際、最初に双方の間においてリンクアップが行われる（ステップＳ１００）。次に、サプリカント（Supplicant）としてのスイッチ１００Ｘから、オーセンティケータ（Authenticator）としてのスイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレーム（EAP over LAN-Start）が送信される（ステップＳ１０２）。
【００５０】
ＥＡＰＯＬ開始フレームを受信したスイッチ１００のＥＡＰ認証部２４０は、サプリカントのＩＤを要求するＥＡＰ要求フレームを送信する（ステップＳ１０４）。要求フレームを受信したスイッチ１００Ｘは、サプリカントのＩＤを含んだＥＡＰ応答フレームを送信する（ステップＳ１０６）。次に、スイッチ１００のＥＡＰ認証部２４０は、認証に使用するＥＡＰのタイプを通知するＥＡＰ要求フレームを送信する（ステップＳ１０８）。具体的には、ＥＡＰ認証部２４０は、認証方式候補４５０を、実行中の認証処理（すなわち、ＥＡＰ＿ＳＷモード認証処理）をキーとして検索し、一致するエントリの認証方式フィールドの値（ＥＡＰ−ＴＬＳ）を取得する。そして、ＥＡＰ認証部２４０は、取得した認証方式ＥＡＰ−ＴＬＳの識別子を含んだＥＡＰ要求フレームを送信する。要求フレームを受信したスイッチ１００Ｘは、認証に使用するＥＡＰのタイプ（ＥＡＰ−ＴＬＳ）の識別子を含んだＥＡＰ応答フレームを送信する（ステップＳ１１０）。
【００５１】
その後、スイッチ１００と、スイッチ１００Ｘとの間で、ステップＳ１１０で通知された認証方式に則った認証が行われる（ステップＳ１１２）。認証が成功した場合、スイッチ１００のＥＡＰ認証部２４０は、認証が成功した旨のＥＡＰフレームを送信する（ステップＳ１１４）。なお、上述した各フレームは、ＥＡＰの規約で予め定められた形式に則った構成とされ、ＩＤやタイプ等の値は、フレーム中の規定の位置に格納されるデータとして送受信される。
【００５２】
認証成功後、スイッチ１００の認証情報管理部２２０は、許可リスト４２０に格納された許可アドレスを含んだフレームを送信する（ステップＳ１１６）。これを受信したスイッチ１００Ｘは、スイッチ１００Ｘ内の許可リスト４２０に格納された許可アドレスを含んだフレームを送信する（ステップＳ１１８）。最後に、スイッチ１００の認証情報管理部２２０は、受信フレームに含まれる許可アドレスをもとにして、スイッチ１００の許可リスト４２０に格納されている許可アドレスを更新する。具体的には、認証情報管理部２２０は、受信フレームに含まれる許可アドレス（ＭＡＣアドレス）を、自身の許可リスト４２０に追加する。また、スイッチ１００Ｘについても同様に、受信フレームに含まれる許可アドレスをもとにして、スイッチ１００Ｘの許可リスト４２０に格納されている許可アドレスを更新する。
【００５３】
なお、図８のステップＳ１１６〜Ｓ１２０は省略してもよい。ステップＳ１１６〜Ｓ１２０を省略した場合、例えば、以下のような処理で代替することができる。
・スイッチ１００内の特定の記憶部（例えば、ＲＡＭ４００等）にポートＰ５０５に接続されているスイッチ１００Ｘは認証済みである旨を記憶しておく。
・フレーム受信時処理（図６）のステップＳ２２において、認証済みであるポートＰ５０５から受信したフレームのヘッダに含まれる送信元ＭＡＣアドレスが許可リスト４２０にない場合、許可リスト４２０に新たに追加し、中継を許可する。
【００５４】
なお、図８においては、スイッチ１００ＸがＩＥＥＥ ８０２．１Ｘに基づく認証クライアント（サプリカント）として機能し、スイッチ１００がＩＥＥＥ ８０２．１Ｘに基づく認証サーバ（オーセンティケータ）として機能しているが、これらは逆にしてもよい。例えば、スイッチ１００は、リンクアップ（ステップＳ１００）検出後、一定時間内にＥＡＰＯＬ開始フレームを受信しない場合は、スイッチ１００Ｘに対してＥＡＰＯＬ開始フレームを送信する構成を採用することができる。このような場合、スイッチ１００が認証クライアントとして機能し、スイッチ１００Ｘが認証サーバとして機能する。以上のように、認証処理部としてのＥＡＰ認証部２４０がＩＥＥＥ ８０２．１Ｘに基づく認証クライアントと、ＩＥＥＥ ８０２．１Ｘに基づく認証サーバとの両方の機能を有するようにすれば、スイッチ１００は、スイッチ１００Ｘに対して、認証クライアントとしても、認証サーバとしても振舞うことができるため、柔軟性の高い認証を実現することができる。
【００５５】
図９は、スイッチ１００に新たな外部装置（他のスイッチ）が接続された場合であって、認証が行われた後の様子を示す説明図である。スイッチ１００およびスイッチ１００Ｘの構成は図７で説明した通りである。スイッチ１００内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、スイッチ１００Ｘの許可リスト４２０に格納された許可アドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）が格納されている（図８：ステップＳ１２０）。同様に、スイッチ１００Ｘ内部に格納されている許可リスト４２０には、既にスイッチ１００Ｘに接続されている３台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）に加えて、スイッチ１００の許可リスト４２０に格納された許可アドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）が格納されている（図８：ステップＳ１２０）。
【００５６】
図９のように、スイッチ１００とスイッチ１００Ｘとの認証が行われた後において、ＰＣ３０からＰＣ２０へのフレームが送信された場合について考える。スイッチ１００Ｘが受信したフレームは、スイッチ１００ＸのポートＰ５０１からスイッチ１００へ向けて送信される。
【００５７】
スイッチ１００Ｘからのフレームを受信したスイッチ１００は（図６：ステップＳ１０：ＹＥＳ）、受信フレームＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０５におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が、許可リスト４２０に格納されているＭＡＣアドレスと一致するため、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であると判定する（ステップＳ２４：可）。スイッチ１００の中継処理部２１０は、フレーム中継処理を行う（ステップＳ２８）。この結果、スイッチ１００が受信したフレームは、スイッチ１００のポートＰ５０２からＰＣ２０へ向けて送信される。
【００５８】
以上のように、スイッチ１００とスイッチ１００Ｘとの間の認証が行われ、当該認証が成功した後においては、スイッチ１００は、スイッチ１００Ｘに接続されている外部装置からの受信フレームを中継する。換言すれば、スイッチ１００は、スイッチ１００Ｘとの認証成功後においては、スイッチ１００Ｘからのトラフィックの入力を制限しない。
【００５９】
図１０は、スイッチ１００に新たな外部装置（ＰＣ）が接続された場合であって、認証が行われる前の様子を示す説明図である。スイッチ１００に新たな外部装置としてのＰＣ６０（ＭＡＣアドレスＭＡＣ＿ＰＣ６０）が接続され、認証が行われる前においては、図７での説明と同様に、スイッチ１００が受信したＰＣ６０からのフレームは、ＭＡＣアドレス認証部２３０により破棄される（図６：ステップＳ２６）。
【００６０】
図１０のように、スイッチ１００にＰＣ６０が接続された場合、ＰＣ６０は、接続先のスイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレームを送信する。ＥＡＰＯＬ開始フレームを受信したスイッチ１００の中継処理部２１０は、受信フレームはＥＡＰフレームであると判定する（図６：ステップＳ１２：ＹＥＳ）。このため、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索し、フレームを受信したポートＰ５０３の認証の種類はＡｕｔｏであると判定する（ステップＳ３０：Ａｕｔｏ）。また、ＥＡＰ認証部２４０は、受信したＥＡＰフレームのペイロードの所定の位置に含まれる識別子から、受信フレームはＰＣからの受信フレームであると判定する（ステップＳ３２：ＹＥＳ）以下、ＥＡＰ＿ＰＣモード認証処理（ステップＳ３８）について説明する。
【００６１】
（Ａ−５）ＥＡＰ＿ＰＣモード認証処理：
図１１は、ＥＡＰ＿ＰＣモード認証処理（図６：ステップＳ３８）の流れを示すシーケンス図である。図１１のステップＳ１００〜Ｓ１１４は、ＰＣ６０が認証クライアント（サプリカント）として振舞う点を除いては、図８のＳ１００〜Ｓ１１４とほぼ同じである。ただし、ステップＳ１０８においてＥＡＰ認証部２４０は、認証方式候補４５０を、実行中の認証処理であるＥＡＰ＿ＰＣモード認証処理をキーとして検索し、一致するエントリに格納された認証方式ＥＡＰ−ＭＤ５の識別子を含んだＥＡＰ要求フレームを送信する。また、ステップＳ１１０において要求フレームを受信したＰＣ６０は、認証に使用するＥＡＰのタイプ（ＥＡＰ−ＭＤ５）の識別子を含んだＥＡＰ応答フレームを送信する。ステップＳ１１２では、ＥＡＰ−ＭＤ５に則った認証が行われる。
【００６２】
ステップＳ１１２の認証が成功後、スイッチ１００の認証情報管理部２２０は、許可リスト４２０に格納されている許可アドレスに、ＰＣ６０のＭＡＣアドレス（ＭＡＣ＿ＰＣ６０）を追加する更新を行う（ステップＳ２００）。
【００６３】
図１２は、スイッチ１００に新たな外部装置（ＰＣ）が接続された場合であって、認証が行われた後の様子を示す説明図である。スイッチ１００およびＰＣ６０の構成は図１０で説明した通りである。スイッチ１００内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、新たにスイッチ１００に接続されたＰＣ６０のＭＡＣアドレス（ＭＡＣ＿ＰＣ６０）が格納されている（図１１：ステップＳ２００）。
【００６４】
図１２のように、スイッチ１００とＰＣ６０との認証が行われた後において、ＰＣ６０からＰＣ２０へのフレームが送信された場合について考える。ＰＣ６０からのフレームを受信したスイッチ１００は（図６：ステップＳ１０）、受信フレームはＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０３におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ６０が、許可リスト４２０に格納されているＭＡＣアドレスと一致するため、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であると判定する（ステップＳ２４：可）。スイッチ１００の中継処理部２１０は、フレーム中継処理を行う（ステップＳ２８）。この結果、スイッチ１００が受信したフレームは、スイッチ１００のポートＰ５０２からＰＣ２０へ向けて送信される。
【００６５】
なお、例えば、スイッチ１００がさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００は、更新後の許可リスト４２０に格納された許可アドレスを含むフレームを、さらに、他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。このように、更新後の許可アドレスを自身が接続されている他のスイッチへ伝播する構成とすれば、ＭＡＣアドレス認証で使用される許可リストの内容（すなわち、フレームの中継を許可すべき外部装置のＭＡＣアドレス）を、スイッチ間で交換することができるため、利便性がさらに向上する。なお、許可アドレスの伝播の範囲は、ルータで区切られた同一のセグメントの範囲内のスイッチとすることができる。なお、ルータそのものに対して許可アドレスの伝播を行ってもよい。そうすれば、ルータによっても、ＭＡＣアドレスを管理することができる。
【００６６】
以上のように、スイッチ１００とＰＣ６０との間の認証が行われ、当該認証が成功した後においては、スイッチ１００はＰＣ６０からの受信フレームを中継する。換言すれば、スイッチ１００は、ＰＣ６０の認証成功後においては、ＰＣ６０からのトラフィックの入力を制限しない。
【００６７】
以上のように、第１実施例によれば、認証処理部（ＥＡＰ認証部２４０）は、ＰＣや他のスイッチといった外部装置が接続されたポートに対して予め定められた認証の種類が第１の認証種類（Ａｕｔｏ）である場合は、所定の条件、すなわち、受信フレームの種類（ＥＡＰフレームか否か）と、受信フレームの送信元である外部装置の種類（スイッチか、ＰＣ等の端末か）とに応じて、複数の認証処理の候補（ＥＡＰ＿ＰＣモード認証処理、ＥＡＰ＿ＳＷモード認証処理）から、実行すべき認証処理を決定する。さらに、ＥＡＰ認証部２４０は、決定された認証処理の種類に応じた（認証方式候補４５０に規定された）認証方式を用いて外部装置との間で認証を行う。中継処理部２１０は、ＥＡＰ認証部２４０による認証が成功した場合に受信フレームを中継する。
【００６８】
このように、第１の認証種類であるＡｕｔｏが対応付けられたポートに接続された外部装置と、スイッチ１００との間においては、外部装置の種類に応じた認証方式を用いた認証が行われる。このため、スイッチ１００の管理者は、スイッチ１００の各ポートに対して第１の認証種類であるＡｕｔｏを対応付けておくことで、スイッチ１００の各ポートに接続される外部装置の種類（他のスイッチか、ＰＣ等の端末か）を意識する必要がなくなり、ネットワーク構成の変化に柔軟に対応することができる。また、スイッチ１００と外部装置との間の認証が行われる前においては、スイッチ１００は外部装置からのトラフィックの入力を制限し、スイッチ１００と外部装置との間の認証成功後においては、スイッチ１００は外部装置からのトラフィックの入力を制限しないため、セキュリティを確保することもできる。これらの結果、セキュリティを確保しつつ、ネットワーク構成の変化に柔軟に対応することのできるネットワーク中継装置（スイッチ１００）を提供することが可能となる。
【００６９】
さらに、認証処理部（ＥＡＰ認証部２４０）は、外部装置が接続されたポートに対して予め定められた認証の種類が第２の認証種類（ＥＡＰ）である場合は、ＲＡＭ４００内部に予め定められた特定の認証方式（ＥＡＰ−ＭＤ５）を用いて外部装置との間で認証を行う。このため、例えば特定のポートについては予め定められた認証方式を用いたい等の要求に対しても対応することができる。この結果、ネットワーク中継装置（スイッチ１００）において、セキュリティの向上と利便性を両立させることができる。
【００７０】
さらに、認証情報管理部２２０は、外部装置が接続されて、認証処理（ＥＡＰ＿ＳＷモード認証処理またはＥＡＰ＿ＰＣモード認証処理）が成功した場合に、外部装置からの受信フレームを中継可能とするように第１の許可リスト（許可リスト４２０）に規定された内容を変更するため、ネットワーク中継装置（スイッチ１００）において、セキュリティの向上を図ることができる。また、認証情報管理部２２０は、許可リスト４２０を変更した場合は、スイッチ１００に接続されている他のネットワーク中継装置（スイッチ）に対して、許可リスト４２０の内容を送信するため、利便性の向上を図ることができる。
【００７１】
Ｂ．第２実施例：
本発明の第２実施例では、第１実施例で説明したネットワーク中継装置において、さらに、認証時に使用する鍵の交換処理を備える構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００７２】
（Ｂ−１）装置構成：
図１３は、第２実施例におけるスイッチ１００ａの構成を概略的に示す説明図である。図２に示したスイッチ１００との違いは、ＥＡＰ認証部２４０に代えてＥＡＰ認証部２４０ａを備える点のみであり、他の構成については第１実施例と同じである。ＥＡＰ認証部２４０ａは、さらに、鍵交換処理部２６０を含んでいる。
【００７３】
鍵交換処理部２６０は、ＥＡＰ認証部２４０による認証処理において使用される共有鍵（秘密鍵）を交換する機能を有する。なお、ＥＡＰ認証部２４０による認証処理とは、図８で説明したＥＡＰ＿ＳＷモード認証処理と、図１１で説明したＥＡＰ＿ＰＣモード認証処理を意味する。しかし、ＥＡＰ認証部２４０がＩＥＥＥ ８０２．１ＸのＥＡＰプロトコルに準拠した認証方式以外の認証方式（例えば、ＷＰＡや、独自の認証方式等）を使用する場合であっても同様に、鍵交換処理部２６０は、当該認証方式において使用される共有鍵を交換することができる。なお、（Ｂ−２）テーブル構成〜（Ｂ−５）ＥＡＰ＿ＰＣモード認証処理についての詳細は、（Ａ−２）〜（Ａ−５）で説明した通りである。
【００７４】
（Ｂ−６）鍵交換処理：
図１４は、鍵交換処理の流れを示すシーケンス図である。まず、スイッチ１００ａに対してスイッチ１００Ｘａが有線によって接続され、双方のスイッチはこの有線接続を検出する（ステップＳ３００）。なお、スイッチ１００ａと、スイッチ１００Ｘａとは、上述（図１３）の違いを除いて、図７で説明したものと同じである。
【００７５】
次に、スイッチ１００ａは、スイッチ１００ａに設けられたボタンの押下を検出する（ステップＳ３１０）。このボタンは、共有鍵の交換を開始するためのボタンである。ボタン押下を検出後、スイッチ１００ａの鍵交換処理部２６０は、スイッチ１００ａの鍵交換モードを開始する（ステップＳ３２０）。具体的には、スイッチ１００ａの鍵交換処理部２６０は、中継処理部２１０による受信フレームの中継処理（図５）を停止させるとともに、中継処理部２１０に代わって受信フレームを取得する。なお、ステップＳ３１０、Ｓ３２０の処理は、スイッチ１００Ｘａでも同様に実行される。
【００７６】
鍵交換モードにおいて、スイッチ１００ａの鍵交換処理部２６０は、スイッチ１００Ｘａに対して鍵の交換を要求する旨の鍵交換フレームを送信する（ステップＳ３３０）。スイッチ１００Ｘａも同様に、スイッチ１００ａに対して鍵の交換を要求する旨の鍵交換フレームを送信する（ステップＳ３４０）。スイッチ１００Ｘａからの鍵交換フレームを受信したスイッチ１００ａ鍵交換処理部２６０は、スイッチ１００Ｘａに対して鍵交換を開始する旨の開始要求フレームを送信する（ステップＳ３５０）。スイッチ１００Ｘａも同様に、スイッチ１００ａに対して鍵交換を開始する旨の開始要求フレームを送信する（ステップＳ３６０）。なお、ステップＳ３３０およびＳ３４０、ステップＳ３５０およびＳ３６０の順序はそれぞれ逆でもよい。
【００７７】
その後、スイッチ１００ａとスイッチ１００Ｘａとの間で、共有鍵を交換するための鍵交換処理が行われる（ステップＳ３７０）。鍵交換処理は、任意の鍵交換方式を用いて行うことができ、例えば、ＤＨ法（Diffie- Hellman鍵交換）を用いることができる。鍵交換処理によってスイッチ１００ａと、スイッチ１００Ｘａとの間で秘密鍵が送受信される。
【００７８】
鍵交換処理の終了後、スイッチ１００ａの鍵交換処理部２６０は、鍵交換モードを終了する（ステップＳ３８０）。具体的には、スイッチ１００ａの鍵交換処理部２６０は、中継処理部２１０に代わって行っていた受信フレームの取得を停止するとともに、中継処理部２１０による受信フレームの中継処理（図５）を再開させる。なお、ステップＳ３８０の処理は、スイッチ１００Ｘａでも同様に実行される。以上で鍵交換モードは終了する。なお、鍵交換モードの最中は中継処理部２１０によるフレームの中継が停止されることから、スイッチ１００ａは、利用者に注意を喚起するための表示（ＬＥＤ表示等）を行うことが好ましい。
【００７９】
なお、上述の鍵交換処理は、ボタン押下（ステップＳ３１０）をトリガとして実行されるが、ボタン押下はあくまでトリガの一例であり、任意のものを採用することができる。また、第２実施例では、スイッチ１００ａと鍵交換処理を行う外部装置の例として他のスイッチ（スイッチ１００Ｘａ）挙げて説明した。しかし、外部装置としてＰＣ等の端末装置が接続された場合であっても、図１４と同様の鍵交換処理を行うことが可能である。
【００８０】
以上のように、第２実施例によれば、スイッチ１００ａの認証処理部（鍵交換処理部２６０）は、予め定められたトリガ（すなわちボタン押下操作）の発生に応じて、中継処理部２１０による受信フレームの中継を停止させ、鍵交換処理を行うため、ネットワーク中継装置（スイッチ１００ａ）と、外部装置との間で認証に使用する共有鍵（秘密鍵）の交換をすることができる。
【００８１】
Ｃ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲で種々の構成を採ることができる。例えば、ソフトウェアによって実現した機能は、ハードウェアによって実現するものとしてもよい。そのほか、以下のような変形が可能である。
【００８２】
Ｃ１．変形例１：
上記実施例では、ネットワーク中継装置の構成について説明した。しかし、上記実施例で示したネットワーク中継装置の構成はあくまで一例であり、任意の構成を採用することができる。例えば、その構成要素の一部を省略したり、更なる構成要素を付加したりする変形が可能である。
【００８３】
例えば、上記実施例におけるスイッチは、ＭＡＣアドレスによるフレームの中継を行うレイヤ２スイッチであるものとした。しかし、ＭＡＣアドレスによるフレームの中継に加えてＩＰアドレスによるパケットの中継を行うことも可能な、いわゆるレイヤ３スイッチであるものとしてもよい。また、無線通信インタフェースを備え、無線通信におけるパケットの中継が可能な、いわゆるアクセスポイントであるものとしてもよい。
【００８４】
例えば、上記実施例におけるスイッチは、さらに、例えば、仮想的なサブネットワークを構築するためのＶＬＡＮ（Virtual Local Area Network）機能や、複数のポートを論理的に１つにまとめて取り扱うためのリンクアグリゲーションや機能等を備えていてもよい。
【００８５】
例えば、上記実施例におけるスイッチでは、認証方法リストと、許可リストと、認証方式候補とはＲＡＭに格納されているものとしたが、他の記憶媒体、例えば、フラッシュＲＯＭに格納されているものとしても良い。
【００８６】
上記実施例におけるスイッチでは、ＣＰＵは、中継処理部と、ＥＡＰ認証部と、を備え、中継処理部は、さらに、認証情報管理部と、ＭＡＣアドレス認証部とを含み、ＥＡＰ認証部は、さらに、鍵交換処理部を含むものとして記載した。また、各処理部において実行される機能について説明した。しかし、これら各処理部の配置および各処理部が果たす機能の内容についてはあくまで例示であり、スイッチの構成に応じて任意に変更することが可能である。
【００８７】
例えば、上記実施例において記載した中継処理部の機能のうちのフレーム中継機能は、有線通信インタフェースを構成する物理チップによって実現される機能であるものとし、中継処理部の他の機能（受信フレームの中継可否を決定する機能や、認証情報管理部の機能、ＭＡＣアドレス認証部の機能）は、ＣＰＵによって実現される機能であるとしてもよい。この場合、有線通信インタフェースを構成する物理チップと、ＣＰＵとが協働することによって中継処理部の全ての機能を実現する。
【００８８】
例えば、有線通信インタフェースを構成する物理チップの内部に、中継処理部と、ＥＡＰ認証部と、認証情報管理部と、ＭＡＣアドレス認証部と、鍵交換処理部との全ての機能を備えるものとしてもよい。
【００８９】
Ｃ２．変形例２：
上記実施例におけるスイッチは、受信したフレームのＭＡＣアドレス認証を行うためのＭＡＣアドレス認証部と、外部装置が接続された際に、接続された外部装置との間で認証を行うためのＥＡＰ認証部とを備える（すなわち、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を内蔵する）構成とした。しかし、専用のＲＡＤＩＵＳサーバをスイッチとは別に設け、外部のＲＡＤＩＵＳサーバにおいて、実際のＭＡＣアドレス認証や、接続された外部装置認証を行う構成としてもよい。専用のＲＡＤＩＵＳサーバをスイッチとは別に設ける場合、ＭＡＣアドレス認証部と、ＥＡＰ認証部は、ＲＡＤＩＵＳサーバに対して認証要求を送信し、その応答としての認証結果を得ることによって、ＭＡＣアドレス認証部およびＥＡＰ認証部として機能する。
【００９０】
Ｃ３．変形例３：
上記実施例では、認証方法リスト、許可リスト、認証方式候補の一例を示した。しかし、これらのテーブルはあくまで一例であり、発明の要旨を逸脱しない範囲において任意に定めることができる。例えば、上記に例示したフィールド以外のフィールドを備えるものとしても良い。また、各テーブルには、ダイレクトマップ方式を用いることも可能である。さらに、利用者が各テーブルをコンフィギュレーション可能な構成とすることも好ましい。
【００９１】
上記実施例における許可リストは、フレームを受信したポートの区別なく、中継可能な送信元ＭＡＣアドレスのみを格納する構成としているが、次のような変形をしてもよい。
【００９２】
例えば、許可リストに対して、ポート番号フィールドを追加することで、ポート毎に中継を許可する受信フレームの送信元ＭＡＣアドレスを管理する構成にしてもよい。
【００９３】
例えば、許可アドレスフィールドに代えて、送信元ＭＡＣアドレスフィールドと、中継可否フィールドとを設け、送信元ＭＡＣアドレス毎に、フレームの中継可能／不可能を設定する構成としてもよい。
【００９４】
Ｃ４．変形例４：
上記実施例では、フレーム受信時処理（図６）において、中継処理部およびＥＡＰ認証部が、フレームの種類（ＥＡＰフレームか否か）や、フレーム送信元の装置の種類（ＰＣか、スイッチか）を特定するための方法の一例について説明した。しかし、上記実施例で説明した方法はあくまで例示であり、任意の方法を採用することができる。
【００９５】
例えば、フレーム受信時処理（図６）のステップＳ３２、３４において、ＥＡＰ認証部は、受信したＥＡＰフレームのペイロードを参照することに代えて、接続先の外部装置から送信されるサプリカントのＩＤを含んだ応答フレーム（図８：ステップＳ１０６）を受信し、この応答フレームの中に含まれる識別情報を参照するものとしてもよい。このようにすれば、ＥＡＰ認証部は、ＥＡＰフレームのペイロード中に識別子を含まないフレームを受信した場合であっても、フレーム送信元の外部装置の種類を識別することが可能となるため、汎用性が向上する。なお、この場合、フレーム受信時処理（図６）のステップＳ３０と、ステップＳ３２との間に、ＩＤを含んだＥＡＰフレームの送受信処理が追加される。また、ＥＡＰ＿ＳＷモード認証処理（図８）およびＥＡＰ＿ＰＣモード認証処理（図１１）は、ステップＳ１０８から開始する。
【符号の説明】
【００９６】
１００…スイッチ
１００Ｘ…スイッチ
１００Ｚ…スイッチ
１００ａ…スイッチ
１００Ｘａ…スイッチ
２００…ＣＰＵ
２１０…中継処理部
２２０…認証情報管理部
２３０…ＭＡＣアドレス認証部
２４０…ＥＡＰ認証部
２４０ａ…ＥＡＰ認証部
２６０…鍵交換処理部
３００…ＲＯＭ
４００…ＲＡＭ
４１０…認証方法リスト
４２０…許可リスト
４５０…認証方式候補
５００…有線通信インタフェース
Ｐ５０１〜Ｐ５０５…ポート
【技術分野】
【０００１】
本発明は、ネットワーク中継装置に関する。
【背景技術】
【０００２】
ＩＣＴ（Information and Communication Technology）技術の進展に伴い、インテリジェントスイッチと呼ばれるスイッチ製品が登場している。このようなインテリジェントスイッチは、一般的なスイッチと比較して高機能なスイッチのことを意味する。インテリジェントスイッチは様々な機能、例えば、ＶＬＡＮ（Virtual Local Area Network）機能や、セキュリティ機能や、ＱｏＳサービス品質機能等を備えている（例えば、特許文献１）。このような機能の中でも、近年では、ネットワーク内部における脅威を重要視したセキュリティ機能の向上が求められている。
【０００３】
一方、セキュリティの強化と利便性とはトレードオフの関係であり、一方を追求すれば他方を犠牲にせざるを得ないという実情がある。例えば、インテリジェントスイッチにおいて、一般に広く用いられているポートベースのセキュリティ（インテリジェントスイッチのポートに接続する外部装置のＭＡＣアドレスに基づいてトラフィックの入力を制限する）を採用する場合、ネットワーク管理者は通常、インテリジェントスイッチの個々のポートに対して、セキュリティの有効・無効、トラフィックの入力を許可すべき外部装置のＭＡＣアドレス、セキュリティ違反時の処理の指定等の設定を行う。
【０００４】
しかし、近年では、企業内において個人所有のモバイル端末やスマートフォンなどを業務に利用する従業員や、契約社員や関連会社、取引先のスタッフといったゲストユーザーも増えるようになったことから、ネットワークの構成の変更が頻繁に発生する。この結果、ネットワーク管理者は、セキュリティを確保しつつ、ネットワーク構成の変更に対応しなければならず、ネットワーク管理者における管理負担が増大するという問題があった。
【０００５】
また、このような問題は、インテリジェントスイッチに限らず、セキュリティ機能を備えるネットワーク中継装置全般に共通する問題であった。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−４８２５２号公報
【特許文献２】特開２００６−１２８９８５号公報
【特許文献３】特開２００９−２３９４２７号公報
【特許文献４】特開２００６−５０３７２号公報
【特許文献５】特開２００２−２０４２４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明は、セキュリティを確保しつつ、ネットワーク構成の変化に柔軟に対応することのできるネットワーク中継装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００９】
［適用例１］
ネットワーク中継装置であって、
外部装置が接続されるとともに、接続された前記外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、
前記ネットワーク中継装置に前記外部装置が接続された際に、前記外部装置が接続されたポートに対して予め定められた前記認証の種類を判別し、判別した前記認証の種類が第１の認証種類である場合は、所定の条件に従って決定された認証方式を用いて前記外部装置との間で認証を行う認証処理部と、
前記認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、
を備える、ネットワーク中継装置。
このような構成にすれば、認証処理部は、外部装置が接続されたポートに対して予め定められた認証の種類が第１の認証種類である場合は、所定の条件に従って決定された認証方式を用いて外部装置との間で認証を行い、中継処理部は、認証処理部による認証が成功した場合に受信フレームを中継するため、セキュリティを確保しつつ、ネットワーク構成の変化に柔軟に対応することのできるネットワーク中継装置を提供することができる。
【００１０】
［適用例２］
適用例１記載のネットワーク中継装置であって、
前記認証処理部は、さらに、
判別した前記認証の種類が第２の認証種類である場合は、予め定められた特定の認証方式を用いて前記外部装置との間で認証を行う、ネットワーク中継装置。
このような構成にすれば、認証処理部は、外部装置が接続されたポートに対して予め定められた認証の種類が第２の認証種類である場合は、予め定められた特定の認証方式を用いて外部装置との間で認証を行うため、ネットワーク中継装置において、セキュリティの向上と利便性を両立させることができる。
【００１１】
［適用例３］
適用例１または２記載のネットワーク中継装置であって、
前記所定の条件は、
受信フレームの種類と、前記受信フレームの送信元である前記外部装置の種類とに応じて、予め定められた複数の認証方式の候補から実行すべき認証方式を決定することである、ネットワーク中継装置。
このような構成にすれば、認証処理部は、受信フレームの種類と、受信フレームの送信元である外部装置の種類とに応じて、実行すべき認証方式を決定することができる。
【００１２】
［適用例４］
適用例１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記ネットワーク中継装置に前記外部装置が接続された際に、予め定められたトリガの発生に応じて、
前記中継処理部は、前記受信フレームの中継を停止し、
前記認証処理部は、前記認証に使用する鍵の交換を要求する旨の鍵交換フレームを受信した場合、前記鍵交換フレームを受信したポートに接続されている前記外部装置との間で、鍵交換のための処理を行う、ネットワーク中継装置。
このような構成にすれば、予め定められたトリガの発生に応じて、中継処理部は受信フレームの中継を停止し、認証処理部は鍵交換のための処理を行うため、ネットワーク中継装置と、外部装置との間で認証に使用する鍵の交換をすることができる。
【００１３】
［適用例５］
適用例１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められた特定の認証方式は、ＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴのうちのいずれか１つであり、
前記予め定められた複数の認証方式の候補には、ＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴとのうちの少なくとも１つが含まれる、ネットワーク中継装置。
【００１４】
［適用例６］
適用例１ないし５のいずれか一項記載のネットワーク中継装置であって、さらに、
前記中継処理部が前記受信フレームの中継可否を決定する際に用いる情報であって、前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを備え、
前記中継処理部は、さらに、
前記第１の許可リストに規定された内容を変更する認証情報管理部を含む、ネットワーク中継装置。
このような構成にすれば、中継処理部は、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを用いて受信フレームの中継可否を決定し、認証情報管理部は、第１の許可リストに規定された内容を変更するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１５】
［適用例７］
適用例６記載のネットワーク中継装置であって、
前記認証情報管理部は、
前記認証処理部による認証が成功した場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更する、ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、外部装置が接続されて認証が成功した場合に、外部装置からの受信フレームを中継可能とするように第１の許可リストに規定された内容を変更するため、ネットワーク中継装置において、セキュリティの向上を図ることができる。
【００１６】
［適用例８］
適用例６または７記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記第１の許可リストを変更した場合は、前記ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、前記第１の許可リストの内容を送信する、ネットワーク中継装置。
このような構成にすれば、認証情報管理部は、第１の許可リストを変更した場合は、ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、第１の許可リストの内容を送信するため、ネットワーク中継装置において、利便性の向上を図ることができる。
【００１７】
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、ネットワーク中継装置、ネットワーク中継装置の制御方法、ネットワーク中継装置を用いたネットワークシステム、および、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。
【図面の簡単な説明】
【００１８】
【図１】本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。
【図２】スイッチの構成を概略的に示す説明図である。
【図３】認証方法リストの一例を示す説明図である。
【図４】許可リストの一例を示す説明図である。
【図５】認証方式候補の一例を示す説明図である。
【図６】フレーム受信時処理の手順を示すフローチャートである。
【図７】スイッチに新たな外部装置（他のスイッチ）が接続された場合であって認証が行われる前の様子を示す説明図である。
【図８】ＥＡＰ＿ＳＷモード認証処理（図６：ステップＳ３６）の流れを示すシーケンス図である。
【図９】スイッチに新たな外部装置（他のスイッチ）が接続された場合であって認証が行われた後の様子を示す説明図である。
【図１０】スイッチに新たな外部装置（ＰＣ）が接続された場合であって認証が行われる前の様子を示す説明図である。
【図１１】ＥＡＰ＿ＰＣモード認証処理（図６：ステップＳ３８）の流れを示すシーケンス図である。
【図１２】スイッチに新たな外部装置（ＰＣ）が接続された場合であって認証が行われた後の様子を示す説明図である。
【図１３】第２実施例におけるスイッチの構成を概略的に示す説明図である。
【図１４】鍵交換処理の流れを示すシーケンス図である。
【発明を実施するための形態】
【００１９】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
【００２０】
Ａ．第１実施例：
（Ａ−１）装置構成：
図１は、本発明の一実施例としてのネットワーク中継装置および端末の概略構成を示す説明図である。ネットワーク中継装置（以降、「スイッチ」とも呼ぶ。）１００は、いわゆるレイヤ２スイッチであり、ＭＡＣアドレスによるフレームの中継を行う機能を有する。また、スイッチ１００は、５つのポートＰ５０１〜Ｐ５０５を備えている。ポートには外部装置（例えば、ＰＣや他のスイッチ）が接続される。
【００２１】
図１の例では、ポートＰ５０１には、回線を通じてパーソナルコンピュータ（以降、「端末」、「ＰＣ」とも呼ぶ。）１０が接続されている。ＰＣ１０のＭＡＣアドレスはＭＡＣ＿ＰＣ１０である。ポートＰ５０２には、回線を通じてＰＣ２０が接続されている。ＰＣ２０のＭＡＣアドレスはＭＡＣ＿ＰＣ２０である。なお、図１では便宜上、説明上必要としない、他のネットワーク装置、回線、端末、およびネットワーク中継装置１００内の構成部については図示を省略している。このことは、後述する図においても同様である。
【００２２】
図２は、スイッチ１００の構成を概略的に示す説明図である。スイッチ１００は、ＣＰＵ２００と、ＲＯＭ３００と、ＲＡＭ４００と、有線通信インタフェース（有線通信Ｉ／Ｆ）５００とを備えている。スイッチ１００の各構成要素は、バスを介して互いに接続されている。
【００２３】
ＣＰＵ２００は、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００に展開して実行することにより、スイッチ１００の各部を制御する。また、ＣＰＵ２００は、中継処理部２１０、ＥＡＰ認証部２４０としても機能する。中継処理部２１０は、さらに、認証情報管理部２２０と、ＭＡＣアドレス認証部２３０とを含み、有線通信インタフェース５００を介して受信したフレームである受信フレームを中継する機能を有する。認証情報管理部２２０は、主として、許可リスト４２０を更新する機能と、他のスイッチとの間において許可リスト４２０を交換する機能とを有する。ＭＡＣアドレス認証部２３０は、受信フレームの中継可否を決定する機能を有する。認証処理部としてのＥＡＰ認証部２４０は、スイッチ１００に外部装置（例えば、ＰＣや他のスイッチ）が接続された際に、外部装置との間で認証を行う機能を有する。これら各機能部についての詳細は後述する。
【００２４】
ＲＡＭ４００には、認証方法リスト４１０と、許可リスト４２０と、認証方式候補４５０とが含まれている。これら各リストについての詳細は後述する。有線通信インタフェース５００は、ローカルエリアネットワーク（ＬＡＮ）と接続するためのＬＡＮケーブルの接続口である。有線通信インタフェース５００は、５つのポートＰ５０１〜Ｐ５０５を含んでいる。なお、本実施例では、ポートＰ５０１〜Ｐ５０４はスイッチ以外の外部装置（例えば、ＰＣやモバイル端末等）を接続するためのポートである。ポートＰ５０５は、他のスイッチを接続するためのカスケード接続用ポートである。
【００２５】
（Ａ−２）テーブル構成：
図３は、認証方法リスト４１０の一例を示す説明図である。認証方法リスト４１０は、ポート番号フィールドと、認証の種類フィールドと、ＭＡＣ認証フィールドとを含んでいる。ポート番号フィールドの各エントリには、スイッチ１００が備える全てのポートについての識別子が格納されている。
【００２６】
認証の種類フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められた認証の種類が格納されている。認証の種類とは、スイッチ１００が有するポートに対して外部装置が接続された際に、ＥＡＰ認証部２４０が行うべき認証の種類のことを意味する。本実施例における認証の種類は、「Ａｕｔｏ」と、「ＥＡＰ」とを含んでいる。第１の認証種類としてのＡｕｔｏは、所定の条件に従って決定された認証方式を用いて、スイッチ１００に対して接続された外部装置との間で認証を行うことを意味する。詳細は後述する。
【００２７】
第２の認証種類としてのＥＡＰは、予め定められた特定の認証方式を用いて、スイッチ１００に対して接続された外部装置との間で認証を行うことを意味する。特定の認証方式、すなわち、認証の種類がＥＡＰである場合において実際に用いられる認証方式は、ＲＡＭ４００内部に予め格納されている。この特定の認証方式は、ＩＥＥＥ ８０２．１Ｘの、ＥＡＰ−ＭＤ５（Extensible Authentication Protocol-message digest version 5）と、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）と、ＥＡＰ−ＴＴＬＳ（Extensible Authentication Protocol-Tunneled Transport Layer Security）と、ＰＥＡＰ（Protected Extensible Authentication Protocol）と、ＬＥＡＰ（Lightweight Extensible Authentication Protocol）と、ＥＡＰ−ＦＡＳＴ（Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling）とのうちのいずれかから選択されることが好ましい。本実施例では、ＥＡＰ−ＭＤ５を用いて認証を行う。この特定の認証方式は利用者によるコンフィギュレーションが可能な構成としてもよい。
【００２８】
なお、認証方法リスト４１０には、上記に例示した認証の種類以外の認証の種類（例えば、スイッチ１００に対して接続された外部装置の認証を行わないことを示す「Ｏｐｅｎ」等）を含んでもよい。
【００２９】
ＭＡＣ認証フィールドには、ポート番号フィールドに格納されている各ポートに対して予め定められたＭＡＣアドレス認証の有効（ｅｎａｂｌｅ）／無効（ｄｉｓａｂｌｅ）の設定値が格納されている。なお、ＭＡＣ認証フィールドは省略可能である。ＭＡＣ認証フィールドを省略した場合は、スイッチ１００におけるセキュリティ向上の観点から、全てのポートについて、ＭＡＣアドレス認証は有効（ｅｎａｂｌｅ）とすることが好ましい。
【００３０】
例えば、図３の例では、識別子Ｐ５０１で識別されるポート（ポートＰ５０１）に外部装置が接続された際には、Ａｕｔｏに基づく認証、すなわち、所定の条件に従って決定された認証方式を用いて認証が行われることが規定されている。また、ポートＰ５０１からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０１）。ポートＰ５０２に外部装置が接続された際には、ＥＡＰに基づく認証、すなわち、ＥＡＰ−ＭＤ５認証方式に従って認証が行われることが規定されている。また、ポートＰ５０２からの受信フレームに対しては、ＭＡＣアドレス認証を行うことが規定されている（エントリＥ０２）。
【００３１】
図４は、許可リスト４２０の一例を示す説明図である。第１の許可リストとしての許可リスト４２０は、ＭＡＣアドレス認証の際に使用されるリストである。許可リスト４２０には、スイッチ１００の中継処理部２１０において中継を許可する受信フレームの送信元ＭＡＣアドレス（フレームの送信元である装置のＭＡＣアドレス）が、許可アドレスとして格納されている。すなわち、許可リスト４２０には、受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されているといえる。
【００３２】
例えば、図４の例では、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、「ＭＡＣ＿ＰＣ１０」、「ＭＡＣ＿ＰＣ２０」のいずれかであれば、中継処理部２１０において当該フレームの中継が許可される。
【００３３】
図５は、認証方式候補４５０の一例を示す説明図である。認証方式候補４５０は、認証処理フィールドと、認証方式フィールドとを含んでいる。認証処理フィールドには、ＥＡＰ認証部２４０が実行することが可能な認証処理の種類が予め格納されている。本実施例における認証処理の種類は、「ＥＡＰ＿ＳＷモード認証処理」と、「ＥＡＰ＿ＰＣモード認証処理」とを含んでいる。ＥＡＰ＿ＳＷモード認証処理は、他のスイッチが接続された場合に、ＥＡＰ認証部２４０によって実行される認証処理である。ＥＡＰ＿ＰＣモード認証処理は、スイッチ以外の端末（例えば、ＰＣ等）が接続された場合に、ＥＡＰ認証部２４０によって実行される認証処理である。
【００３４】
認証方式フィールドには、認証処理フィールドに格納されたそれぞれの認証処理において、実際に用いられる認証方式が予め格納されている。図５の例では、認証処理の種類がＥＡＰ＿ＳＷモード認証処理の場合、ＥＡＰ認証部２４０は、ＩＥＥＥ ８０２．１ＸのＥＡＰ−ＴＬＳを用いて認証することが規定されている。また、認証処理の種類がＥＡＰ＿ＰＣモード認証処理の場合は、ＥＡＰ認証部２４０は、ＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５を用いて認証することが規定されている。なお、認証方式フィールドには、ＩＥＥＥ ８０２．１ＸのＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴとのうちの少なくとも１つを含むことが好ましい。
【００３５】
上述の通り、認証方式候補４５０には、ＥＡＰ認証部２４０が実行する認証処理の候補と、それぞれの認証処理において用いられる認証方式とが予め対応付けて格納されている。すなわち、認証方式候補４５０には、複数の認証方式の候補が格納されているといえる。なお、認証方式候補４５０の内容は、利用者によるコンフィギュレーションが可能な構成としてもよい。
【００３６】
（Ａ−３）フレーム受信時処理：
図６は、フレーム受信時処理の手順を示すフローチャートである。中継処理部２１０は、ポートＰ５０１〜Ｐ５０５のいずれかを介してフレームを受信したか否かを判定する（ステップＳ１０）。フレームを受信していない場合（ステップＳ１０：ＮＯ）、ステップＳ１０へ戻る。フレームを受信した場合（ステップＳ１０：ＹＥＳ）、中継処理部２１０は、受信フレームはＥＡＰフレームか否かを判定する（ステップＳ１２）。具体的には、例えば、中継処理部２１０は、受信フレームのヘッダに含まれるイーサタイプから判断される受信フレームのタイプがＥＡＰＯＬである場合、ＥＡＰフレームを受信したと判定することができる。
【００３７】
受信フレームがＥＡＰフレームである場合（ステップＳ１２：ＹＥＳ）、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索する（ステップＳ１４）。具体的には、ＥＡＰ認証部２４０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリの認証の種類フィールドの値を取得する。ＥＡＰ認証部２４０は、取得した認証の種類フィールドの値に応じて処理を分岐させる（ステップＳ３０）。認証の種類フィールドの値が「ＥＡＰ」である場合（ステップＳ３０：ＥＡＰ）、ＥＡＰ認証部２４０は、ＥＡＰ＿ＰＣモード認証処理を行う（ステップＳ３８）。ＥＡＰ＿ＰＣモード認証処理の詳細は後述する。
【００３８】
一方、認証の種類フィールドの値が「Ａｕｔｏ」である場合（ステップＳ３０：Ａｕｔｏ）、ＥＡＰ認証部２４０は、受信フレームがＰＣからのフレームであるか否かを判定する（ステップＳ３２）。具体的には、例えば、ＥＡＰ認証部２４０は、受信したＥＡＰフレームのペイロードを参照し、ペイロード中の所定の位置に含まれる識別子がＰＣを示す値である場合に、ＰＣからの受信フレームであると判定する。受信フレームがＰＣからのフレームである場合（ステップＳ３２：ＹＥＳ）、ＥＡＰ認証部２４０は、ＥＡＰ＿ＰＣモード認証処理を行う（ステップＳ３８）。ＥＡＰ＿ＰＣモード認証処理の詳細は後述する。
【００３９】
受信フレームがＰＣからの受信フレームでない場合（ステップＳ３２：ＮＯ）、ＥＡＰ認証部２４０は、受信フレームがスイッチからのフレームであるか否かを判定する（ステップＳ３４）。具体的には、例えば、ＥＡＰ認証部２４０は、受信したＥＡＰフレームのペイロードを参照し、ペイロード中の所定の位置に含まれる識別子がスイッチを示す値である場合に、スイッチからの受信フレームであると判定する。受信フレームがスイッチからのフレームである場合（ステップＳ３４：ＹＥＳ）、ＥＡＰ認証部２４０は、ＥＡＰ＿ＳＷモード認証処理を行う（ステップＳ３６）。ＥＡＰ＿ＳＷモード認証処理の詳細は後述する。一方、受信フレームがスイッチからのフレームでない場合（ステップＳ３４：ＮＯ）、ＥＡＰ認証部２４０は、受信フレームを破棄し、処理を終了する（ステップＳ２６）。
【００４０】
このように、認証処理部としてのＥＡＰ認証部は、フレームを受信したポート（換言すれば、外部装置が接続されたポート）に対して設定された認証の種類を判別し、判別した認証の種類に応じて処理を分岐させている（ステップＳ３０）。
【００４１】
一方、受信フレームがＥＡＰフレーム以外のフレームである場合（ステップＳ１２：ＮＯ）、ＭＡＣアドレス認証部２３０は認証方法リスト４１０を検索する（ステップＳ１８）。具体的には、ＭＡＣアドレス認証部２３０は、認証方法リスト４１０を、フレームを受信したポートの識別子をキーとして検索し、一致するエントリのＭＡＣ認証フィールドの値、すなわち、ＭＡＣアドレス認証の有効／無効の設定値を取得する。次に、ＭＡＣアドレス認証部２３０は、ＭＡＣアドレス認証を行うか否かを判定する（ステップＳ２０）。具体的には、取得した設定値が「ｅｎａｂｌｅ」であればＭＡＣアドレス認証を行い、取得した設定値が「ｄｉｓａｂｌｅ」であればＭＡＣアドレス認証は行わない。ＭＡＣアドレス認証を行わない場合（ステップＳ２０：なし）、処理はステップＳ２８へ遷移する。
【００４２】
ＭＡＣアドレス認証を行う場合（ステップＳ２０：あり）、ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であるか否かを判定する（ステップＳ２４）。具体的には、ＭＡＣアドレス認証部２３０は、受信フレームのヘッダに含まれる送信元ＭＡＣアドレスが、許可リスト４２０に格納されているＭＡＣアドレスのいずれかと一致するか否かを判定する。一致しない場合（ステップＳ２４：不可）、ＭＡＣアドレス認証部２３０は、受信フレームを破棄し、処理を終了する（ステップＳ２６）。受信フレームを破棄した際、ＭＡＣアドレス認証部２３０は、破棄したフレームの送信元端末に対して、フレームを破棄した旨の通知を行ってもよい。
【００４３】
一方、一致する場合（ステップＳ２４：可）、ＭＡＣアドレス認証部２３０は、受信フレームは中継可であるものとして、フレーム中継処理を行う（ステップＳ２８）。フレーム中継処理においては、中継処理部２１０は、図示しないＭＡＣアドレステーブルを参照し、フォワーディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルにある場合のフレーム中継動作）もしくはフラッディング（宛先ＭＡＣアドレスがＭＡＣアドレステーブルに無い場合の動作）を行った後、処理を終了する。このように、中継処理部２１０のＭＡＣアドレス認証部２３０は、許可リスト４２０に基づいて、受信フレームの中継可否を決定する。
【００４４】
図７は、スイッチ１００に新たな外部装置（他のスイッチ）が接続された場合であって、認証が行われる前の様子を示す説明図である。新たな外部装置としてのスイッチ１００Ｘの構成は、ポートＰ５０１がカスケード接続用ポートに設定されている点を除いては、図１に示したスイッチ１００と同様である。スイッチ１００ＸのポートＰ５０１は、回線を通じてスイッチ１００のポートＰ５０５と接続されている。また、スイッチ１００ＸのポートＰ５０２にはＰＣ３０が、ポートＰ５０３にはＰＣ４０が、ポートＰ５０４にはＰＣ５０が、それぞれ回線を通じて接続されている。また、ＰＣ３０のＭＡＣアドレスはＭＡＣ＿ＰＣ３０、ＰＣ４０のＭＡＣアドレスはＭＡＣ＿ＰＣ４０、ＰＣ５０のＭＡＣアドレスはＭＡＣ＿ＰＣ５０である。スイッチ１００Ｘ内部に格納されている許可リスト４２０には、既にスイッチ１００Ｘに接続されている３台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）が格納されている。なお、スイッチ１００Ｘ内部に格納されている認証方法リスト４１０については、記載を省略する。
【００４５】
例えば、図７のように、スイッチ１００とスイッチ１００Ｘとの認証が行われる前において、ＰＣ３０からＰＣ２０へフレームが送信された場合について考える。スイッチ１００Ｘが受信したフレームは、スイッチ１００ＸのポートＰ５０１からスイッチ１００へ向けて送信される。
【００４６】
スイッチ１００Ｘからのフレームを受信したスイッチ１００は（図６：ステップＳ１０：ＹＥＳ）、受信フレームはＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０５におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索し、送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が、許可リスト４２０に格納されているＭＡＣアドレスのいずれとも一致しないと判定する（ステップＳ２２、Ｓ２４：不可）。この結果、スイッチ１００が受信したフレームは、ＭＡＣアドレス認証部２３０により破棄される（ステップＳ２６）。
【００４７】
以上のように、スイッチ１００とスイッチ１００Ｘとの間の認証が行われる前においては、スイッチ１００は、スイッチ１００Ｘに接続されている外部装置からの受信フレームを中継することなく破棄する。換言すれば、スイッチ１００は、スイッチ１００Ｘとの認証前においては、スイッチ１００Ｘからのトラフィックの入力を制限する。これは、スイッチ１００が有する許可リスト４２０に、スイッチ１００Ｘに接続されている外部装置（ＰＣ３０〜ＰＣ５０）のＭＡＣアドレスが格納されていないためである。
【００４８】
図７のように、スイッチ１００に他のスイッチ１００Ｘが接続された場合、スイッチ１００Ｘは、スイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレームを送信する。ＥＡＰＯＬ開始フレームを受信したスイッチ１００の中継処理部２１０は、受信フレームはＥＡＰフレームであると判定する（図６：ステップＳ１２：ＹＥＳ）。このため、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索し、フレームを受信したポートＰ５０５の認証の種類はＡｕｔｏであると判定する（ステップＳ３０：Ａｕｔｏ）。また、ＥＡＰ認証部２４０は、受信したＥＡＰフレームのペイロードの所定の位置に含まれる識別子から、受信フレームはスイッチからの受信フレームであると判定する（ステップＳ３２：ＮＯ、ステップＳ３４：ＹＥＳ）以下、ＥＡＰ＿ＳＷモード認証処理（ステップＳ３６）について説明する。
【００４９】
（Ａ−４）ＥＡＰ＿ＳＷモード認証処理：
図８は、ＥＡＰ＿ＳＷモード認証処理（図６：ステップＳ３６）の流れを示すシーケンス図である。スイッチ１００に対してスイッチ１００Ｘが接続された際、最初に双方の間においてリンクアップが行われる（ステップＳ１００）。次に、サプリカント（Supplicant）としてのスイッチ１００Ｘから、オーセンティケータ（Authenticator）としてのスイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレーム（EAP over LAN-Start）が送信される（ステップＳ１０２）。
【００５０】
ＥＡＰＯＬ開始フレームを受信したスイッチ１００のＥＡＰ認証部２４０は、サプリカントのＩＤを要求するＥＡＰ要求フレームを送信する（ステップＳ１０４）。要求フレームを受信したスイッチ１００Ｘは、サプリカントのＩＤを含んだＥＡＰ応答フレームを送信する（ステップＳ１０６）。次に、スイッチ１００のＥＡＰ認証部２４０は、認証に使用するＥＡＰのタイプを通知するＥＡＰ要求フレームを送信する（ステップＳ１０８）。具体的には、ＥＡＰ認証部２４０は、認証方式候補４５０を、実行中の認証処理（すなわち、ＥＡＰ＿ＳＷモード認証処理）をキーとして検索し、一致するエントリの認証方式フィールドの値（ＥＡＰ−ＴＬＳ）を取得する。そして、ＥＡＰ認証部２４０は、取得した認証方式ＥＡＰ−ＴＬＳの識別子を含んだＥＡＰ要求フレームを送信する。要求フレームを受信したスイッチ１００Ｘは、認証に使用するＥＡＰのタイプ（ＥＡＰ−ＴＬＳ）の識別子を含んだＥＡＰ応答フレームを送信する（ステップＳ１１０）。
【００５１】
その後、スイッチ１００と、スイッチ１００Ｘとの間で、ステップＳ１１０で通知された認証方式に則った認証が行われる（ステップＳ１１２）。認証が成功した場合、スイッチ１００のＥＡＰ認証部２４０は、認証が成功した旨のＥＡＰフレームを送信する（ステップＳ１１４）。なお、上述した各フレームは、ＥＡＰの規約で予め定められた形式に則った構成とされ、ＩＤやタイプ等の値は、フレーム中の規定の位置に格納されるデータとして送受信される。
【００５２】
認証成功後、スイッチ１００の認証情報管理部２２０は、許可リスト４２０に格納された許可アドレスを含んだフレームを送信する（ステップＳ１１６）。これを受信したスイッチ１００Ｘは、スイッチ１００Ｘ内の許可リスト４２０に格納された許可アドレスを含んだフレームを送信する（ステップＳ１１８）。最後に、スイッチ１００の認証情報管理部２２０は、受信フレームに含まれる許可アドレスをもとにして、スイッチ１００の許可リスト４２０に格納されている許可アドレスを更新する。具体的には、認証情報管理部２２０は、受信フレームに含まれる許可アドレス（ＭＡＣアドレス）を、自身の許可リスト４２０に追加する。また、スイッチ１００Ｘについても同様に、受信フレームに含まれる許可アドレスをもとにして、スイッチ１００Ｘの許可リスト４２０に格納されている許可アドレスを更新する。
【００５３】
なお、図８のステップＳ１１６〜Ｓ１２０は省略してもよい。ステップＳ１１６〜Ｓ１２０を省略した場合、例えば、以下のような処理で代替することができる。
・スイッチ１００内の特定の記憶部（例えば、ＲＡＭ４００等）にポートＰ５０５に接続されているスイッチ１００Ｘは認証済みである旨を記憶しておく。
・フレーム受信時処理（図６）のステップＳ２２において、認証済みであるポートＰ５０５から受信したフレームのヘッダに含まれる送信元ＭＡＣアドレスが許可リスト４２０にない場合、許可リスト４２０に新たに追加し、中継を許可する。
【００５４】
なお、図８においては、スイッチ１００ＸがＩＥＥＥ ８０２．１Ｘに基づく認証クライアント（サプリカント）として機能し、スイッチ１００がＩＥＥＥ ８０２．１Ｘに基づく認証サーバ（オーセンティケータ）として機能しているが、これらは逆にしてもよい。例えば、スイッチ１００は、リンクアップ（ステップＳ１００）検出後、一定時間内にＥＡＰＯＬ開始フレームを受信しない場合は、スイッチ１００Ｘに対してＥＡＰＯＬ開始フレームを送信する構成を採用することができる。このような場合、スイッチ１００が認証クライアントとして機能し、スイッチ１００Ｘが認証サーバとして機能する。以上のように、認証処理部としてのＥＡＰ認証部２４０がＩＥＥＥ ８０２．１Ｘに基づく認証クライアントと、ＩＥＥＥ ８０２．１Ｘに基づく認証サーバとの両方の機能を有するようにすれば、スイッチ１００は、スイッチ１００Ｘに対して、認証クライアントとしても、認証サーバとしても振舞うことができるため、柔軟性の高い認証を実現することができる。
【００５５】
図９は、スイッチ１００に新たな外部装置（他のスイッチ）が接続された場合であって、認証が行われた後の様子を示す説明図である。スイッチ１００およびスイッチ１００Ｘの構成は図７で説明した通りである。スイッチ１００内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、スイッチ１００Ｘの許可リスト４２０に格納された許可アドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）が格納されている（図８：ステップＳ１２０）。同様に、スイッチ１００Ｘ内部に格納されている許可リスト４２０には、既にスイッチ１００Ｘに接続されている３台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ３０、ＭＡＣ＿ＰＣ４０、ＭＡＣ＿ＰＣ５０）に加えて、スイッチ１００の許可リスト４２０に格納された許可アドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）が格納されている（図８：ステップＳ１２０）。
【００５６】
図９のように、スイッチ１００とスイッチ１００Ｘとの認証が行われた後において、ＰＣ３０からＰＣ２０へのフレームが送信された場合について考える。スイッチ１００Ｘが受信したフレームは、スイッチ１００ＸのポートＰ５０１からスイッチ１００へ向けて送信される。
【００５７】
スイッチ１００Ｘからのフレームを受信したスイッチ１００は（図６：ステップＳ１０：ＹＥＳ）、受信フレームＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０５におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ３０が、許可リスト４２０に格納されているＭＡＣアドレスと一致するため、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であると判定する（ステップＳ２４：可）。スイッチ１００の中継処理部２１０は、フレーム中継処理を行う（ステップＳ２８）。この結果、スイッチ１００が受信したフレームは、スイッチ１００のポートＰ５０２からＰＣ２０へ向けて送信される。
【００５８】
以上のように、スイッチ１００とスイッチ１００Ｘとの間の認証が行われ、当該認証が成功した後においては、スイッチ１００は、スイッチ１００Ｘに接続されている外部装置からの受信フレームを中継する。換言すれば、スイッチ１００は、スイッチ１００Ｘとの認証成功後においては、スイッチ１００Ｘからのトラフィックの入力を制限しない。
【００５９】
図１０は、スイッチ１００に新たな外部装置（ＰＣ）が接続された場合であって、認証が行われる前の様子を示す説明図である。スイッチ１００に新たな外部装置としてのＰＣ６０（ＭＡＣアドレスＭＡＣ＿ＰＣ６０）が接続され、認証が行われる前においては、図７での説明と同様に、スイッチ１００が受信したＰＣ６０からのフレームは、ＭＡＣアドレス認証部２３０により破棄される（図６：ステップＳ２６）。
【００６０】
図１０のように、スイッチ１００にＰＣ６０が接続された場合、ＰＣ６０は、接続先のスイッチ１００に対して、認証の開始を要求するためのＥＡＰＯＬ開始フレームを送信する。ＥＡＰＯＬ開始フレームを受信したスイッチ１００の中継処理部２１０は、受信フレームはＥＡＰフレームであると判定する（図６：ステップＳ１２：ＹＥＳ）。このため、ＥＡＰ認証部２４０は、認証方法リスト４１０を検索し、フレームを受信したポートＰ５０３の認証の種類はＡｕｔｏであると判定する（ステップＳ３０：Ａｕｔｏ）。また、ＥＡＰ認証部２４０は、受信したＥＡＰフレームのペイロードの所定の位置に含まれる識別子から、受信フレームはＰＣからの受信フレームであると判定する（ステップＳ３２：ＹＥＳ）以下、ＥＡＰ＿ＰＣモード認証処理（ステップＳ３８）について説明する。
【００６１】
（Ａ−５）ＥＡＰ＿ＰＣモード認証処理：
図１１は、ＥＡＰ＿ＰＣモード認証処理（図６：ステップＳ３８）の流れを示すシーケンス図である。図１１のステップＳ１００〜Ｓ１１４は、ＰＣ６０が認証クライアント（サプリカント）として振舞う点を除いては、図８のＳ１００〜Ｓ１１４とほぼ同じである。ただし、ステップＳ１０８においてＥＡＰ認証部２４０は、認証方式候補４５０を、実行中の認証処理であるＥＡＰ＿ＰＣモード認証処理をキーとして検索し、一致するエントリに格納された認証方式ＥＡＰ−ＭＤ５の識別子を含んだＥＡＰ要求フレームを送信する。また、ステップＳ１１０において要求フレームを受信したＰＣ６０は、認証に使用するＥＡＰのタイプ（ＥＡＰ−ＭＤ５）の識別子を含んだＥＡＰ応答フレームを送信する。ステップＳ１１２では、ＥＡＰ−ＭＤ５に則った認証が行われる。
【００６２】
ステップＳ１１２の認証が成功後、スイッチ１００の認証情報管理部２２０は、許可リスト４２０に格納されている許可アドレスに、ＰＣ６０のＭＡＣアドレス（ＭＡＣ＿ＰＣ６０）を追加する更新を行う（ステップＳ２００）。
【００６３】
図１２は、スイッチ１００に新たな外部装置（ＰＣ）が接続された場合であって、認証が行われた後の様子を示す説明図である。スイッチ１００およびＰＣ６０の構成は図１０で説明した通りである。スイッチ１００内部に格納されている許可リスト４２０には、既にスイッチ１００に接続されている２台のＰＣのＭＡＣアドレス（ＭＡＣ＿ＰＣ１０、ＭＡＣ＿ＰＣ２０）に加えて、新たにスイッチ１００に接続されたＰＣ６０のＭＡＣアドレス（ＭＡＣ＿ＰＣ６０）が格納されている（図１１：ステップＳ２００）。
【００６４】
図１２のように、スイッチ１００とＰＣ６０との認証が行われた後において、ＰＣ６０からＰＣ２０へのフレームが送信された場合について考える。ＰＣ６０からのフレームを受信したスイッチ１００は（図６：ステップＳ１０）、受信フレームはＥＡＰフレームではないと判定する（ステップＳ１２：ＮＯ）。ＭＡＣアドレス認証部２３０は、認証方法リスト４１０からフレームを受信したポートＰ５０３におけるＭＡＣアドレス認証が有効である旨の設定値を取得する（ステップＳ１８、Ｓ２０）。ＭＡＣアドレス認証部２３０は、許可リスト４２０を検索する（ステップＳ２２）。送信元ＭＡＣアドレスであるＭＡＣ＿ＰＣ６０が、許可リスト４２０に格納されているＭＡＣアドレスと一致するため、ＭＡＣアドレス認証部２３０は、受信フレームを中継可能であると判定する（ステップＳ２４：可）。スイッチ１００の中継処理部２１０は、フレーム中継処理を行う（ステップＳ２８）。この結果、スイッチ１００が受信したフレームは、スイッチ１００のポートＰ５０２からＰＣ２０へ向けて送信される。
【００６５】
なお、例えば、スイッチ１００がさらに他のスイッチ（例えば、図示しないスイッチ１００Ｚ）と接続されている場合、スイッチ１００は、更新後の許可リスト４２０に格納された許可アドレスを含むフレームを、さらに、他のスイッチ（スイッチ１００Ｚ）へ送信してもよい。このように、更新後の許可アドレスを自身が接続されている他のスイッチへ伝播する構成とすれば、ＭＡＣアドレス認証で使用される許可リストの内容（すなわち、フレームの中継を許可すべき外部装置のＭＡＣアドレス）を、スイッチ間で交換することができるため、利便性がさらに向上する。なお、許可アドレスの伝播の範囲は、ルータで区切られた同一のセグメントの範囲内のスイッチとすることができる。なお、ルータそのものに対して許可アドレスの伝播を行ってもよい。そうすれば、ルータによっても、ＭＡＣアドレスを管理することができる。
【００６６】
以上のように、スイッチ１００とＰＣ６０との間の認証が行われ、当該認証が成功した後においては、スイッチ１００はＰＣ６０からの受信フレームを中継する。換言すれば、スイッチ１００は、ＰＣ６０の認証成功後においては、ＰＣ６０からのトラフィックの入力を制限しない。
【００６７】
以上のように、第１実施例によれば、認証処理部（ＥＡＰ認証部２４０）は、ＰＣや他のスイッチといった外部装置が接続されたポートに対して予め定められた認証の種類が第１の認証種類（Ａｕｔｏ）である場合は、所定の条件、すなわち、受信フレームの種類（ＥＡＰフレームか否か）と、受信フレームの送信元である外部装置の種類（スイッチか、ＰＣ等の端末か）とに応じて、複数の認証処理の候補（ＥＡＰ＿ＰＣモード認証処理、ＥＡＰ＿ＳＷモード認証処理）から、実行すべき認証処理を決定する。さらに、ＥＡＰ認証部２４０は、決定された認証処理の種類に応じた（認証方式候補４５０に規定された）認証方式を用いて外部装置との間で認証を行う。中継処理部２１０は、ＥＡＰ認証部２４０による認証が成功した場合に受信フレームを中継する。
【００６８】
このように、第１の認証種類であるＡｕｔｏが対応付けられたポートに接続された外部装置と、スイッチ１００との間においては、外部装置の種類に応じた認証方式を用いた認証が行われる。このため、スイッチ１００の管理者は、スイッチ１００の各ポートに対して第１の認証種類であるＡｕｔｏを対応付けておくことで、スイッチ１００の各ポートに接続される外部装置の種類（他のスイッチか、ＰＣ等の端末か）を意識する必要がなくなり、ネットワーク構成の変化に柔軟に対応することができる。また、スイッチ１００と外部装置との間の認証が行われる前においては、スイッチ１００は外部装置からのトラフィックの入力を制限し、スイッチ１００と外部装置との間の認証成功後においては、スイッチ１００は外部装置からのトラフィックの入力を制限しないため、セキュリティを確保することもできる。これらの結果、セキュリティを確保しつつ、ネットワーク構成の変化に柔軟に対応することのできるネットワーク中継装置（スイッチ１００）を提供することが可能となる。
【００６９】
さらに、認証処理部（ＥＡＰ認証部２４０）は、外部装置が接続されたポートに対して予め定められた認証の種類が第２の認証種類（ＥＡＰ）である場合は、ＲＡＭ４００内部に予め定められた特定の認証方式（ＥＡＰ−ＭＤ５）を用いて外部装置との間で認証を行う。このため、例えば特定のポートについては予め定められた認証方式を用いたい等の要求に対しても対応することができる。この結果、ネットワーク中継装置（スイッチ１００）において、セキュリティの向上と利便性を両立させることができる。
【００７０】
さらに、認証情報管理部２２０は、外部装置が接続されて、認証処理（ＥＡＰ＿ＳＷモード認証処理またはＥＡＰ＿ＰＣモード認証処理）が成功した場合に、外部装置からの受信フレームを中継可能とするように第１の許可リスト（許可リスト４２０）に規定された内容を変更するため、ネットワーク中継装置（スイッチ１００）において、セキュリティの向上を図ることができる。また、認証情報管理部２２０は、許可リスト４２０を変更した場合は、スイッチ１００に接続されている他のネットワーク中継装置（スイッチ）に対して、許可リスト４２０の内容を送信するため、利便性の向上を図ることができる。
【００７１】
Ｂ．第２実施例：
本発明の第２実施例では、第１実施例で説明したネットワーク中継装置において、さらに、認証時に使用する鍵の交換処理を備える構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００７２】
（Ｂ−１）装置構成：
図１３は、第２実施例におけるスイッチ１００ａの構成を概略的に示す説明図である。図２に示したスイッチ１００との違いは、ＥＡＰ認証部２４０に代えてＥＡＰ認証部２４０ａを備える点のみであり、他の構成については第１実施例と同じである。ＥＡＰ認証部２４０ａは、さらに、鍵交換処理部２６０を含んでいる。
【００７３】
鍵交換処理部２６０は、ＥＡＰ認証部２４０による認証処理において使用される共有鍵（秘密鍵）を交換する機能を有する。なお、ＥＡＰ認証部２４０による認証処理とは、図８で説明したＥＡＰ＿ＳＷモード認証処理と、図１１で説明したＥＡＰ＿ＰＣモード認証処理を意味する。しかし、ＥＡＰ認証部２４０がＩＥＥＥ ８０２．１ＸのＥＡＰプロトコルに準拠した認証方式以外の認証方式（例えば、ＷＰＡや、独自の認証方式等）を使用する場合であっても同様に、鍵交換処理部２６０は、当該認証方式において使用される共有鍵を交換することができる。なお、（Ｂ−２）テーブル構成〜（Ｂ−５）ＥＡＰ＿ＰＣモード認証処理についての詳細は、（Ａ−２）〜（Ａ−５）で説明した通りである。
【００７４】
（Ｂ−６）鍵交換処理：
図１４は、鍵交換処理の流れを示すシーケンス図である。まず、スイッチ１００ａに対してスイッチ１００Ｘａが有線によって接続され、双方のスイッチはこの有線接続を検出する（ステップＳ３００）。なお、スイッチ１００ａと、スイッチ１００Ｘａとは、上述（図１３）の違いを除いて、図７で説明したものと同じである。
【００７５】
次に、スイッチ１００ａは、スイッチ１００ａに設けられたボタンの押下を検出する（ステップＳ３１０）。このボタンは、共有鍵の交換を開始するためのボタンである。ボタン押下を検出後、スイッチ１００ａの鍵交換処理部２６０は、スイッチ１００ａの鍵交換モードを開始する（ステップＳ３２０）。具体的には、スイッチ１００ａの鍵交換処理部２６０は、中継処理部２１０による受信フレームの中継処理（図５）を停止させるとともに、中継処理部２１０に代わって受信フレームを取得する。なお、ステップＳ３１０、Ｓ３２０の処理は、スイッチ１００Ｘａでも同様に実行される。
【００７６】
鍵交換モードにおいて、スイッチ１００ａの鍵交換処理部２６０は、スイッチ１００Ｘａに対して鍵の交換を要求する旨の鍵交換フレームを送信する（ステップＳ３３０）。スイッチ１００Ｘａも同様に、スイッチ１００ａに対して鍵の交換を要求する旨の鍵交換フレームを送信する（ステップＳ３４０）。スイッチ１００Ｘａからの鍵交換フレームを受信したスイッチ１００ａ鍵交換処理部２６０は、スイッチ１００Ｘａに対して鍵交換を開始する旨の開始要求フレームを送信する（ステップＳ３５０）。スイッチ１００Ｘａも同様に、スイッチ１００ａに対して鍵交換を開始する旨の開始要求フレームを送信する（ステップＳ３６０）。なお、ステップＳ３３０およびＳ３４０、ステップＳ３５０およびＳ３６０の順序はそれぞれ逆でもよい。
【００７７】
その後、スイッチ１００ａとスイッチ１００Ｘａとの間で、共有鍵を交換するための鍵交換処理が行われる（ステップＳ３７０）。鍵交換処理は、任意の鍵交換方式を用いて行うことができ、例えば、ＤＨ法（Diffie- Hellman鍵交換）を用いることができる。鍵交換処理によってスイッチ１００ａと、スイッチ１００Ｘａとの間で秘密鍵が送受信される。
【００７８】
鍵交換処理の終了後、スイッチ１００ａの鍵交換処理部２６０は、鍵交換モードを終了する（ステップＳ３８０）。具体的には、スイッチ１００ａの鍵交換処理部２６０は、中継処理部２１０に代わって行っていた受信フレームの取得を停止するとともに、中継処理部２１０による受信フレームの中継処理（図５）を再開させる。なお、ステップＳ３８０の処理は、スイッチ１００Ｘａでも同様に実行される。以上で鍵交換モードは終了する。なお、鍵交換モードの最中は中継処理部２１０によるフレームの中継が停止されることから、スイッチ１００ａは、利用者に注意を喚起するための表示（ＬＥＤ表示等）を行うことが好ましい。
【００７９】
なお、上述の鍵交換処理は、ボタン押下（ステップＳ３１０）をトリガとして実行されるが、ボタン押下はあくまでトリガの一例であり、任意のものを採用することができる。また、第２実施例では、スイッチ１００ａと鍵交換処理を行う外部装置の例として他のスイッチ（スイッチ１００Ｘａ）挙げて説明した。しかし、外部装置としてＰＣ等の端末装置が接続された場合であっても、図１４と同様の鍵交換処理を行うことが可能である。
【００８０】
以上のように、第２実施例によれば、スイッチ１００ａの認証処理部（鍵交換処理部２６０）は、予め定められたトリガ（すなわちボタン押下操作）の発生に応じて、中継処理部２１０による受信フレームの中継を停止させ、鍵交換処理を行うため、ネットワーク中継装置（スイッチ１００ａ）と、外部装置との間で認証に使用する共有鍵（秘密鍵）の交換をすることができる。
【００８１】
Ｃ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲で種々の構成を採ることができる。例えば、ソフトウェアによって実現した機能は、ハードウェアによって実現するものとしてもよい。そのほか、以下のような変形が可能である。
【００８２】
Ｃ１．変形例１：
上記実施例では、ネットワーク中継装置の構成について説明した。しかし、上記実施例で示したネットワーク中継装置の構成はあくまで一例であり、任意の構成を採用することができる。例えば、その構成要素の一部を省略したり、更なる構成要素を付加したりする変形が可能である。
【００８３】
例えば、上記実施例におけるスイッチは、ＭＡＣアドレスによるフレームの中継を行うレイヤ２スイッチであるものとした。しかし、ＭＡＣアドレスによるフレームの中継に加えてＩＰアドレスによるパケットの中継を行うことも可能な、いわゆるレイヤ３スイッチであるものとしてもよい。また、無線通信インタフェースを備え、無線通信におけるパケットの中継が可能な、いわゆるアクセスポイントであるものとしてもよい。
【００８４】
例えば、上記実施例におけるスイッチは、さらに、例えば、仮想的なサブネットワークを構築するためのＶＬＡＮ（Virtual Local Area Network）機能や、複数のポートを論理的に１つにまとめて取り扱うためのリンクアグリゲーションや機能等を備えていてもよい。
【００８５】
例えば、上記実施例におけるスイッチでは、認証方法リストと、許可リストと、認証方式候補とはＲＡＭに格納されているものとしたが、他の記憶媒体、例えば、フラッシュＲＯＭに格納されているものとしても良い。
【００８６】
上記実施例におけるスイッチでは、ＣＰＵは、中継処理部と、ＥＡＰ認証部と、を備え、中継処理部は、さらに、認証情報管理部と、ＭＡＣアドレス認証部とを含み、ＥＡＰ認証部は、さらに、鍵交換処理部を含むものとして記載した。また、各処理部において実行される機能について説明した。しかし、これら各処理部の配置および各処理部が果たす機能の内容についてはあくまで例示であり、スイッチの構成に応じて任意に変更することが可能である。
【００８７】
例えば、上記実施例において記載した中継処理部の機能のうちのフレーム中継機能は、有線通信インタフェースを構成する物理チップによって実現される機能であるものとし、中継処理部の他の機能（受信フレームの中継可否を決定する機能や、認証情報管理部の機能、ＭＡＣアドレス認証部の機能）は、ＣＰＵによって実現される機能であるとしてもよい。この場合、有線通信インタフェースを構成する物理チップと、ＣＰＵとが協働することによって中継処理部の全ての機能を実現する。
【００８８】
例えば、有線通信インタフェースを構成する物理チップの内部に、中継処理部と、ＥＡＰ認証部と、認証情報管理部と、ＭＡＣアドレス認証部と、鍵交換処理部との全ての機能を備えるものとしてもよい。
【００８９】
Ｃ２．変形例２：
上記実施例におけるスイッチは、受信したフレームのＭＡＣアドレス認証を行うためのＭＡＣアドレス認証部と、外部装置が接続された際に、接続された外部装置との間で認証を行うためのＥＡＰ認証部とを備える（すなわち、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を内蔵する）構成とした。しかし、専用のＲＡＤＩＵＳサーバをスイッチとは別に設け、外部のＲＡＤＩＵＳサーバにおいて、実際のＭＡＣアドレス認証や、接続された外部装置認証を行う構成としてもよい。専用のＲＡＤＩＵＳサーバをスイッチとは別に設ける場合、ＭＡＣアドレス認証部と、ＥＡＰ認証部は、ＲＡＤＩＵＳサーバに対して認証要求を送信し、その応答としての認証結果を得ることによって、ＭＡＣアドレス認証部およびＥＡＰ認証部として機能する。
【００９０】
Ｃ３．変形例３：
上記実施例では、認証方法リスト、許可リスト、認証方式候補の一例を示した。しかし、これらのテーブルはあくまで一例であり、発明の要旨を逸脱しない範囲において任意に定めることができる。例えば、上記に例示したフィールド以外のフィールドを備えるものとしても良い。また、各テーブルには、ダイレクトマップ方式を用いることも可能である。さらに、利用者が各テーブルをコンフィギュレーション可能な構成とすることも好ましい。
【００９１】
上記実施例における許可リストは、フレームを受信したポートの区別なく、中継可能な送信元ＭＡＣアドレスのみを格納する構成としているが、次のような変形をしてもよい。
【００９２】
例えば、許可リストに対して、ポート番号フィールドを追加することで、ポート毎に中継を許可する受信フレームの送信元ＭＡＣアドレスを管理する構成にしてもよい。
【００９３】
例えば、許可アドレスフィールドに代えて、送信元ＭＡＣアドレスフィールドと、中継可否フィールドとを設け、送信元ＭＡＣアドレス毎に、フレームの中継可能／不可能を設定する構成としてもよい。
【００９４】
Ｃ４．変形例４：
上記実施例では、フレーム受信時処理（図６）において、中継処理部およびＥＡＰ認証部が、フレームの種類（ＥＡＰフレームか否か）や、フレーム送信元の装置の種類（ＰＣか、スイッチか）を特定するための方法の一例について説明した。しかし、上記実施例で説明した方法はあくまで例示であり、任意の方法を採用することができる。
【００９５】
例えば、フレーム受信時処理（図６）のステップＳ３２、３４において、ＥＡＰ認証部は、受信したＥＡＰフレームのペイロードを参照することに代えて、接続先の外部装置から送信されるサプリカントのＩＤを含んだ応答フレーム（図８：ステップＳ１０６）を受信し、この応答フレームの中に含まれる識別情報を参照するものとしてもよい。このようにすれば、ＥＡＰ認証部は、ＥＡＰフレームのペイロード中に識別子を含まないフレームを受信した場合であっても、フレーム送信元の外部装置の種類を識別することが可能となるため、汎用性が向上する。なお、この場合、フレーム受信時処理（図６）のステップＳ３０と、ステップＳ３２との間に、ＩＤを含んだＥＡＰフレームの送受信処理が追加される。また、ＥＡＰ＿ＳＷモード認証処理（図８）およびＥＡＰ＿ＰＣモード認証処理（図１１）は、ステップＳ１０８から開始する。
【符号の説明】
【００９６】
１００…スイッチ
１００Ｘ…スイッチ
１００Ｚ…スイッチ
１００ａ…スイッチ
１００Ｘａ…スイッチ
２００…ＣＰＵ
２１０…中継処理部
２２０…認証情報管理部
２３０…ＭＡＣアドレス認証部
２４０…ＥＡＰ認証部
２４０ａ…ＥＡＰ認証部
２６０…鍵交換処理部
３００…ＲＯＭ
４００…ＲＡＭ
４１０…認証方法リスト
４２０…許可リスト
４５０…認証方式候補
５００…有線通信インタフェース
Ｐ５０１〜Ｐ５０５…ポート
【特許請求の範囲】
【請求項１】
ネットワーク中継装置であって、
外部装置が接続されるとともに、接続された前記外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、
前記ネットワーク中継装置に前記外部装置が接続された際に、前記外部装置が接続されたポートに対して予め定められた前記認証の種類を判別し、判別した前記認証の種類が第１の認証種類である場合は、所定の条件に従って決定された認証方式を用いて前記外部装置との間で認証を行う認証処理部と、
前記認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、
を備える、ネットワーク中継装置。
【請求項２】
請求項１記載のネットワーク中継装置であって、
前記認証処理部は、さらに、
判別した前記認証の種類が第２の認証種類である場合は、予め定められた特定の認証方式を用いて前記外部装置との間で認証を行う、ネットワーク中継装置。
【請求項３】
請求項１または２記載のネットワーク中継装置であって、
前記所定の条件は、
受信フレームの種類と、前記受信フレームの送信元である前記外部装置の種類とに応じて、予め定められた複数の認証方式の候補から実行すべき認証方式を決定することである、ネットワーク中継装置。
【請求項４】
請求項１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記ネットワーク中継装置に前記外部装置が接続された際に、予め定められたトリガの発生に応じて、
前記中継処理部は、前記受信フレームの中継を停止し、
前記認証処理部は、前記認証に使用する鍵の交換を要求する旨の鍵交換フレームを受信した場合、前記鍵交換フレームを受信したポートに接続されている前記外部装置との間で、鍵交換のための処理を行う、ネットワーク中継装置。
【請求項５】
請求項１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められた特定の認証方式は、ＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴのうちのいずれか１つであり、
前記予め定められた複数の認証方式の候補には、ＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴとのうちの少なくとも１つが含まれる、ネットワーク中継装置。
【請求項６】
請求項１ないし５のいずれか一項記載のネットワーク中継装置であって、さらに、
前記中継処理部が前記受信フレームの中継可否を決定する際に用いる情報であって、前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを備え、
前記中継処理部は、さらに、
前記第１の許可リストに規定された内容を変更する認証情報管理部を含む、ネットワーク中継装置。
【請求項７】
請求項６記載のネットワーク中継装置であって、
前記認証情報管理部は、
前記認証処理部による認証が成功した場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更する、ネットワーク中継装置。
【請求項８】
請求項６または７記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記第１の許可リストを変更した場合は、前記ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、前記第１の許可リストの内容を送信する、ネットワーク中継装置。
【請求項１】
ネットワーク中継装置であって、
外部装置が接続されるとともに、接続された前記外部装置に対して行うべき認証の種類が予め対応づけられている複数のポートと、
前記ネットワーク中継装置に前記外部装置が接続された際に、前記外部装置が接続されたポートに対して予め定められた前記認証の種類を判別し、判別した前記認証の種類が第１の認証種類である場合は、所定の条件に従って決定された認証方式を用いて前記外部装置との間で認証を行う認証処理部と、
前記認証処理部による認証が成功した場合に受信フレームを中継する中継処理部と、
を備える、ネットワーク中継装置。
【請求項２】
請求項１記載のネットワーク中継装置であって、
前記認証処理部は、さらに、
判別した前記認証の種類が第２の認証種類である場合は、予め定められた特定の認証方式を用いて前記外部装置との間で認証を行う、ネットワーク中継装置。
【請求項３】
請求項１または２記載のネットワーク中継装置であって、
前記所定の条件は、
受信フレームの種類と、前記受信フレームの送信元である前記外部装置の種類とに応じて、予め定められた複数の認証方式の候補から実行すべき認証方式を決定することである、ネットワーク中継装置。
【請求項４】
請求項１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記ネットワーク中継装置に前記外部装置が接続された際に、予め定められたトリガの発生に応じて、
前記中継処理部は、前記受信フレームの中継を停止し、
前記認証処理部は、前記認証に使用する鍵の交換を要求する旨の鍵交換フレームを受信した場合、前記鍵交換フレームを受信したポートに接続されている前記外部装置との間で、鍵交換のための処理を行う、ネットワーク中継装置。
【請求項５】
請求項１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められた特定の認証方式は、ＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴのうちのいずれか１つであり、
前記予め定められた複数の認証方式の候補には、ＥＡＰ−ＭＤ５と、ＥＡＰ−ＴＬＳと、ＥＡＰ−ＴＴＬＳと、ＰＥＡＰと、ＬＥＡＰと、ＥＡＰ−ＦＡＳＴとのうちの少なくとも１つが含まれる、ネットワーク中継装置。
【請求項６】
請求項１ないし５のいずれか一項記載のネットワーク中継装置であって、さらに、
前記中継処理部が前記受信フレームの中継可否を決定する際に用いる情報であって、前記受信フレームに含まれる情報を用いて中継可能なフレームを特定することができるように構成されている第１の許可リストを備え、
前記中継処理部は、さらに、
前記第１の許可リストに規定された内容を変更する認証情報管理部を含む、ネットワーク中継装置。
【請求項７】
請求項６記載のネットワーク中継装置であって、
前記認証情報管理部は、
前記認証処理部による認証が成功した場合に、前記外部装置からの受信フレームを中継可能とするように前記第１の許可リストに規定された内容を変更する、ネットワーク中継装置。
【請求項８】
請求項６または７記載のネットワーク中継装置であって、
前記認証情報管理部は、さらに、
前記第１の許可リストを変更した場合は、前記ネットワーク中継装置に接続されている他のネットワーク中継装置に対して、前記第１の許可リストの内容を送信する、ネットワーク中継装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２０１２−４９５９０（Ｐ２０１２−４９５９０Ａ）
【公開日】平成２４年３月８日（２０１２．３．８）
【国際特許分類】
【出願番号】特願２０１０−１８６８３１（Ｐ２０１０−１８６８３１）
【出願日】平成２２年８月２４日（２０１０．８．２４）
【出願人】（３９００４０１８７）株式会社バッファロー (378)
【Ｆターム（参考）】
【公開日】平成２４年３月８日（２０１２．３．８）
【国際特許分類】
【出願日】平成２２年８月２４日（２０１０．８．２４）
【出願人】（３９００４０１８７）株式会社バッファロー (378)
【Ｆターム（参考）】
[ Back to top ]