ネットワーク中継装置
【課題】セキュリティの向上と利便性を両立させたネットワーク中継装置を提供する。
【解決手段】ネットワーク中継装置は、利用者がネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、認証処理において、利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、認証処理において利用者がネットワーク中継装置へ接続する権限を保持すると判定された場合に、利用者の端末との間のフレームを中継する中継処理部と、予め定められたトリガの発生に応じて、認証情報記憶部に格納された認証情報を、ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、を備える。
【解決手段】ネットワーク中継装置は、利用者がネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、認証処理において、利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、認証処理において利用者がネットワーク中継装置へ接続する権限を保持すると判定された場合に、利用者の端末との間のフレームを中継する中継処理部と、予め定められたトリガの発生に応じて、認証情報記憶部に格納された認証情報を、ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク中継装置に関する。
【背景技術】
【０００２】
ＩＣＴ（Information and Communication Technology）技術の進展に伴い、インテリジェントスイッチと呼ばれるスイッチ製品が登場している。このようなインテリジェントスイッチは、一般的なスイッチと比較して高機能なスイッチのことを意味する。インテリジェントスイッチは様々な機能、例えば、ＶＬＡＮ（Virtual Local Area Network）機能や、セキュリティ機能や、ＱｏＳサービス品質機能等を備えている（例えば、特許文献１）。このような機能の中でも、近年では、ネットワーク内部における脅威を重要視したセキュリティ機能の向上が求められている。
【０００３】
このような背景から、従来、接続される利用者の認証を行うことが可能なＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を内蔵したインテリジェントスイッチが知られている。ＲＡＤＩＵＳ機能を内蔵したインテリジェントスイッチは、独立したＲＡＤＩＵＳサーバを設ける必要がない点において手軽である。しかし、例えば、あるインテリジェントスイッチに接続され、ＲＡＤＩＵＳ機能を使用していた特定の利用者の端末が、他のインテリジェントスイッチに接続されるような場合（すなわち、ネットワークの構成に変化が生じた場合）、当該端末が新たに接続されたインテリジェントスイッチにおいて、ＲＡＤＩＵＳ機能を有効にするための設定が再び必要となり、煩雑であるという問題があった。
【０００４】
また、このような問題は、インテリジェントスイッチに限らず、セキュリティ機能を備えるネットワーク中継装置全般に共通する問題であった。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−０２５０６５号公報
【特許文献２】特開平０９−２６９９３０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、セキュリティの向上と利便性を両立させたネットワーク中継装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００８】
［適用例１］
ネットワーク中継装置であって、
利用者が前記ネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、
前記認証処理において、前記利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、
前記認証処理において前記利用者が前記ネットワーク中継装置へ接続する権限を保持すると判定された場合に、前記利用者の端末との間のフレームを中継する中継処理部と、
予め定められたトリガの発生に応じて、前記認証情報記憶部に格納された前記認証情報を、前記ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、
を備える、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、予め定められたトリガの発生に応じて、利用者の権限を照合するために使用される情報である認証情報を他のネットワーク中継装置へ送信するため、他のネットワーク中継装置においても、この認証情報を用いて認証処理を実行することができる。この結果、セキュリティの向上と利便性を両立させたネットワーク中継装置を提供することができる。
【０００９】
［適用例２］
適用例１記載のネットワーク中継装置であって、さらに、
前記他のネットワーク中継装置から前記認証情報を受信した際に、受信した前記認証情報を前記認証情報記憶部へ格納する認証情報更新部を備える、ネットワーク中継装置。
このような構成にすれば、認証情報更新部は、他のネットワーク中継装置から認証情報を受信した際に、受信した認証情報を認証情報記憶部へ格納するため、この認証情報を用いて認証処理を実行することができる。
【００１０】
［適用例３］
適用例２記載のネットワーク中継装置であって、さらに、
前記利用者から前記認証情報を受け付けると共に、受け付けた前記認証情報を前記認証情報記憶部へ格納する認証情報登録部を備え、
前記認証情報登録部は、受け付けた前記認証情報を前記認証情報記憶部へ格納する際に、前記ネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、
前記認証情報送信部は、前記認証情報と、前記登録日時とを併せて前記他のネットワーク中継装置へ送信し、
前記認証情報更新部は、前記認証情報と併せて受信した前記登録日時を用いることによって、前記認証情報記憶部内の一貫性を保持するように、前記認証情報を前記認証情報記憶部へ格納する、ネットワーク中継装置。
このような構成にすれば、認証情報登録部は、受け付けた認証情報を格納する際にネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、認証情報送信部は、認証情報と登録日時とを併せて送信し、認証情報更新部は、認証情報と併せて受信した登録日時を用いることによって、認証情報記憶部内の一貫性を保持するように認証情報を認証情報記憶部へ格納するため、認証情報記憶部に格納された認証情報の一貫性を向上させることができる。
【００１１】
［適用例４］
適用例１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記認証情報送信部は、
前記ネットワーク中継装置に接続された他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して前記認証情報を送信する、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して認証情報を送信することができる。この結果、利便性を向上させることができる。
【００１２】
［適用例５］
適用例１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められたトリガは、前記認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかである、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかのトリガの発生に応じて、認証情報を送信することができる。この結果、利便性を向上させることができる。
【００１３】
［適用例６］
適用例１ないし５のいずれか一項記載のネットワーク中継装置であって、
前記認証情報は、前記利用者を識別するためのユーザＩＤと、前記利用者によって設定されるパスワードとの組、もしくは、前記利用者の電子証明書の信頼性を判断するための電子証明書の少なくともいずれか一方を含む、ネットワーク中継装置。
このような構成にすれば、認証情報は、利用者を識別するためのユーザＩＤと、利用者によって設定されるパスワードとの組、もしくは、利用者の電子証明書の信頼性を判断するための電子証明書の少なくともいずれか一方を含むことができるため、認証処理部の認証処理において幅広い認証方式を用いることが可能となる。
【００１４】
［適用例７］
適用例１ないし６のいずれか一項記載のネットワーク中継装置であって、
前記認証情報記憶部は、ハードディスクドライブ内に設けられる、ネットワーク中継装置。
このような構成にすれば、認証情報記憶部はハードディスクドライブ内に設けられるため、認証情報記憶部の記憶容量を大きくすることができる。
【００１５】
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、ネットワーク中継装置、ネットワーク中継装置の制御方法、ネットワーク中継装置を用いたネットワークシステム、および、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施例としてのネットワーク中継装置および端末の機能の概略構成を示す説明図である。
【図２】スイッチの構成を概略的に示す説明図である。
【図３】認証情報記憶部に格納されているデータの一例を示す説明図である。
【図４】送信先記憶部に格納されているデータの一例を示す説明図である。
【図５】スイッチの構成を概略的に示す説明図である。
【図６】認証情報登録処理の手順を示すフローチャートである。
【図７】認証情報送信処理の流れを示すシーケンス図である。
【図８】認証情報更新処理の手順を示すフローチャートである。
【図９】認証情報の伝播が行われる様子を示す説明図である。
【図１０】第２実施例におけるスイッチの構成を概略的に示す説明図である。
【図１１】第２実施例において認証情報の伝播が行われる様子を示す説明図である。
【図１２】第３実施例におけるスイッチの構成を概略的に示す説明図である。
【００１７】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
【発明を実施するための形態】
【００１８】
Ａ．第１実施例：
（Ａ−１）装置構成：
図１は、本発明の一実施例としてのネットワーク中継装置および端末の機能の概略構成を示す説明図である。ネットワーク中継装置（以降、単に「スイッチ」とも呼ぶ。）１０、２０、２０Ｘは、いわゆるレイヤ２スイッチである。スイッチ１０は、ＭＡＣアドレスがＭＡＣ＿ＳＷ１０であり、回線を通じてパーソナルコンピュータ（以降、「端末」、「ＰＣ」とも呼ぶ。）５０と接続されている。スイッチ２０は、ＭＡＣアドレスがＭＡＣ＿ＳＷ２０であり、回線を通じてＰＣ６０と接続されている。スイッチ２０Ｘは、ＭＡＣアドレスがＭＡＣ＿ＳＷ２０Ｘである。スイッチ１０と、スイッチ２０と、スイッチ２０Ｘとは、ローカルエリアネットワーク（ＬＡＮ）等のネットワークを通じて互いに接続されている。なお、図１では便宜上、説明上必要としない、他のネットワーク中継装置、回線、端末、およびネットワーク中継装置内の構成部については図示を省略している。このことは、後述する図においても同様である。
【００１９】
スイッチ１０、２０、２０Ｘは、ＭＡＣアドレスによるフレームの中継を行う中継機能を備えている。さらに、スイッチ１０、２０、２０Ｘは、スイッチに接続される端末の利用者が、スイッチへ接続する権限を保持するか否かを判定する（認証を行う）ことが可能なＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を備えている。
【００２０】
ＲＡＤＩＵＳ機能とは、具体的には、８０２．１Ｘ認証や、ＭＡＣアドレス認証、Ｗｅｂ認証等に基づいた認証処理を実現する機能である。８０２．１Ｘ認証、ＭＡＣアドレス認証、Ｗｅｂ認証に基づいた認証処理では、例えば、ＰＡＰ（Password Authentication Protocol）、ＣＨＡＰ（Challenge Handshake Authentication Protocol）、ＥＡＰ−ＭＤ５（Extensible Authentication Protocol-Message Digest version 5）、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）、ＰＥＡＰ（Protected Extensible Authentication Protocol）等の種々の認証方式を使用することができる。
【００２１】
上述の認証処理においては、利用者の権限を照合するために、予め各スイッチ内に格納されている認証情報が使用される。本実施例では、認証情報は、スイッチ１０に接続されたＰＣ５０を介して、スイッチ１０の記憶部内に登録される。また、スイッチ２０、２０Ｘ内の認証情報は、スイッチ１０から送信される。すなわち、本実施例では、スイッチ１０がマスタとなり、スイッチ２０、２０Ｘをスレーブとして、認証情報を伝播させる。
【００２２】
上述のように、スイッチ１０、２０、２０Ｘは、それぞれＲＡＤＩＵＳ機能を内蔵している。このため、独立したＲＡＤＩＵＳサーバを設ける必要がなく手軽である。さらに、独立したＲＡＤＩＵＳサーバを設けた場合は、ＲＡＤＩＵＳサーバが、例えば、サーバのダウンやサーバまでの経路障害の発生等により認証処理のサービスが不能となった場合、当該ＲＡＤＩＵＳサーバを利用する全ての端末における利用者の認証処理が不可能となる問題がある。これに対し、本実施例におけるスイッチ１０、２０、２０Ｘは、仮に１つのスイッチのＲＡＤＩＵＳ機能が、例えば、スイッチのダウン等により認証処理のサービスが不能となった場合であっても、他のスイッチでは認証処理のサービスを継続することができる。このため、影響範囲を小さくすることができる。
【００２３】
図２は、スイッチ１０の構成を概略的に示す説明図である。スイッチ１０は、ＣＰＵ２００と、ＲＯＭ３００と、ＲＡＭ４００と、有線通信部５００とを備えている。スイッチ１０の各構成要素は、バスを介して互いに接続されている。
【００２４】
ＣＰＵ２００は、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００に展開して実行することにより、スイッチ１０の各部を制御する。また、ＣＰＵ２００は、認証処理部２２０、認証情報送信部２３０、認証情報登録部２４０としても機能する。
【００２５】
認証処理部２２０は、ＲＡＤＩＵＳ機能（８０２．１Ｘ認証、ＭＡＣアドレス認証、Ｗｅｂ認証）に基づいた認証処理を実行する。認証情報送信部２３０は、認証処理において使用される認証情報を、他のスイッチ（スイッチ２０、２０Ｘ：図１）へ送信する認証情報送信処理（図６、ステップＳ２０、図７）を実行する機能を有する。認証情報登録部２４０は、認証処理に先立って、利用者から認証情報を受け付け、認証情報を登録する認証情報登録処理（図６）を実行する機能を有する。これら各機能の詳細は後述する。
【００２６】
ＲＡＭ４００には、認証情報記憶部４１０と、送信先記憶部４２０とが含まれている。これら各記憶部の内容についての詳細は後述する。有線通信部５００は、中継処理部５１０と、図示しない有線通信インタフェースとを含む物理チップ（ＡＳＩＣ：Application Specific Integrated Circuit）である。中継処理部５１０は、有線通信インタフェースを介して受信したフレームであって、認証処理部２２０の認証処理において許可された利用者から受信したフレームを中継する機能を有する。
【００２７】
（Ａ−２）記憶部内の構成：
図３は、認証情報記憶部４１０に格納されているデータの一例を示す説明図である。認証情報記憶部４１０には、ユーザＩＤと、パスワードと、登録日時とが関連付けて記憶されている。ユーザＩＤは、スイッチ１０に接続される端末の利用者を識別するために付与される一意な識別子である。パスワードは、ユーザＩＤと関連付けて任意に設定される文字列である。登録日時は、認証情報（ユーザＩＤとパスワードの組）が認証情報記憶部４１０内に登録された日時である。なお、ユーザＩＤと関連付けられて記憶される情報には、図示以外のものも含むことができる。例えば、スイッチ１０に接続される端末の利用者を証明するために提示される電子証明書（以降、「ユーザ証明書」とも呼ぶ。）を含んでもよい。
【００２８】
認証情報記憶部４１０には、さらに、スイッチ１０が信頼する認証局から発行されているルート証明書が格納されている。このルート証明書は、認証処理において、ユーザ証明書の信頼性を判断するために用いられる。ルート証明書は、スイッチ１０の管理者により予め格納される。なお、ユーザＩＤとパスワードとの組と、ルート証明書とを総称して「認証情報」とも呼ぶ。
【００２９】
図３の例では、ユーザＩＤ「ｕｓｅｒ０１」によって識別される利用者のパスワードは「ａｂｃ１２３４５６」であり、ユーザＩＤ「ｕｓｅｒ０１」の利用者の認証情報が認証情報記憶部４１０に登録されたのは「２０１０年８月２３日 １７時５４分０秒」である。また、ユーザＩＤ「ｕｓｅｒ０２」の利用者のパスワードは「ａｂｃｄｅｆｇｈｉ」であり、認証情報が登録されたのは「２０１０年８月２５日 １０時１５分２秒」である。また、スイッチ１０には、スイッチ１０が信頼する２つの認証局から発行されたルート証明書ＲＣ１が格納されている。
【００３０】
図４は、送信先記憶部４２０に格納されているデータの一例を示す説明図である。送信先記憶部４２０には、予め、送信先と、認証情報の種類とが関連付けて記憶されている。送信先は、後述の認証情報送信処理において、認証情報送信部２３０が認証情報を送信する際の宛先となるスイッチを識別するための情報が格納されている。本実施例では、送信先スイッチを識別するための情報として、送信先スイッチのＭＡＣアドレスを格納するものとしているが、他の情報（例えば、スイッチ１０内の出力ポートの識別子）等を採用してもよい。認証情報の種類は、後述の認証情報送信処理において、認証情報送信部２３０が送信する認証情報の種類が格納されている。
【００３１】
図５は、スイッチ２０の構成を概略的に示す説明図である。図２に示したスイッチ１０との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ａを備える点と、ＲＡＭ４００の代わりにＲＡＭ４００ａを備える点のみであり、他の構成や動作はスイッチ１０と同じである。なお、図１に示したスイッチ２０Ｘの構成は、スイッチ２０と同じである。
【００３２】
ＣＰＵ２００ａは、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００ａに展開して実行することにより、スイッチ２０の各部を制御する。また、ＣＰＵ２００ａは、認証処理部２２０、認証情報更新部２５０としても機能する。認証処理部２２０については、図２で説明した通りである。認証情報更新部２５０は、他のスイッチ（例えば、スイッチ１０）から認証情報を受信した際に、受信した認証情報をＲＡＭ４００ａ内の認証情報記憶部４１０へ格納する認証情報更新処理を行う。詳細は後述する。また、ＲＡＭ４００ａは、送信先記憶部４２０を備えない点を除いては、ＲＡＭ４００と同じである。
【００３３】
（Ａ−３）認証情報登録処理：
図６は、認証情報登録処理の手順を示すフローチャートである。認証情報登録処理は、利用者から受け付けた認証情報（ユーザＩＤ、パスワード）を、認証情報記憶部４１０へ登録する処理である。まず、認証情報登録部２４０（図２）は、利用者からの登録要求を受け付ける（ステップＳ１０）。具体的には、例えば、スイッチ１０の設定画面（ブラウザ等を用いて提供されるスイッチ１０の一般的な設定を行うための画面）に設けたリンクの押下により、登録要求がされたものと扱うことができる。
【００３４】
登録要求受け付け後、認証情報登録部２４０は、スイッチ１０の設定画面上に、認証情報登録画面を表示させる（ステップＳ１２）。認証情報登録画面には、例えば、ユーザＩＤ入力フィールドと、パスワード入力フィールドと、登録ボタンとを含むことができる。利用者は、これら各フィールドに、任意のユーザＩＤ、任意のパスワードを入力し、登録ボタンを押下する。登録ボタン押下により、認証情報登録部２４０は、設定画面上の各フィールドで指定されたユーザＩＤ、パスワードを取得する（ステップＳ１４）。
【００３５】
その後、認証情報登録部２４０は、スイッチ１０の外部から時刻を取得する（ステップＳ１６）。具体的には、例えば、認証情報登録部２４０は、インターネットを介してネットワーク上に存在する時刻管理サーバにアクセスし、時刻管理サーバが提供している時刻の情報を取得する。なお、時刻管理サーバとは、ＮＴＰ（Network Time Protocol）プロトコルに準拠し、協定世界時（ＵＴＣ：Universal Time, Coordinated）に基づいた時刻の情報を提供するためのサーバである。時刻管理サーバとしては、例えば、大学や研究機関、大手ＩＳＰ（Internet Services Provider）により提供されるサーバを利用することができる。
【００３６】
時刻取得後、認証情報登録部２４０は、ステップＳ１４で取得したユーザＩＤ、パスワードと、ステップＳ１６で取得した時刻の情報とを関連付けて認証情報記憶部４１０に格納する（ステップＳ１８）。認証情報記憶部４１０の更新後、認証情報送信部２３０は、認証情報を他のスイッチへ送信する認証情報送信処理を行う（ステップＳ２０）。
【００３７】
このようにすれば、認証情報登録部２４０は、利用者から受け付けた認証情報と、スイッチ１０の外部から取得した時刻とを関連付けて認証情報記憶部４１０に格納するため、認証情報記憶部４１０内に格納されている認証情報がいつ登録されたものであるかを正確な時刻を用いて管理することが可能となる。
【００３８】
さらに、認証情報登録部２４０が認証情報を更新した後、認証情報送信部２３０は認証情報送信処理を行うため、複数のスイッチが存在するネットワークシステムにおいて、最新の認証情報を共有することが可能となる。
【００３９】
（Ａ−４）認証情報送信処理：
図７は、認証情報送信処理の流れを示すシーケンス図である。認証情報送信部２３０（図２）は、送信先記憶部４２０を検索し、送信先（すなわち、宛先スイッチのＭＡＣアドレス）と、送信すべき認証情報の種類との１つの組を検索し、検索内容に応じた更新要求を生成する（ステップＳ１００）。具体的には、ステップＳ１００において認証情報送信部２３０は、図４のエントリＥ０１（送信先：ＭＡＣ＿ＳＷ２０、認証情報の種類：ＩＤ／パスワード）を検索する。認証情報送信部２３０は、宛先ＭＡＣアドレスをＭＡＣ＿ＳＷ２０として、ペイロード内にスイッチ２０の認証情報記憶部４１０の更新を要求する旨のコマンドと、スイッチ１０の認証情報記憶部４１０に格納されている各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組を格納したフレーム（更新要求フレーム）を生成する。なお、セキュリティの観点から、更新要求フレームは暗号化されることが好ましい。また、なりすまし防止のための技術を適用してもよい。
【００４０】
そして、認証情報送信部２３０は、生成した更新要求フレームをスイッチ２０へ送信する（ステップＳ１０２）。更新要求フレームを受信したスイッチ２０の認証情報更新部２５０（図５）は、スイッチ２０内の認証情報記憶部４１０に格納された認証情報を更新するための認証情報更新処理を行う（ステップＳ１０４）。認証情報更新処理の詳細は後述する。認証情報更新処理の終了後、スイッチ２０の認証情報更新部２５０は、認証情報更新処理の結果を含んだ応答フレームをスイッチ１０へ送信する（ステップＳ１０６）。
【００４１】
また、スイッチ１０の認証情報送信部２３０（図２）は、認証情報登録部２４０を検索し、送信先と、送信すべき認証情報の種類との他の組を検索し、検索内容に応じた更新要求を生成する（ステップＳ１０８）。具体的には、ステップＳ１０８において認証情報送信部２３０は、図４のエントリＥ０２（送信先：ＭＡＣ＿ＳＷ２０Ｘ、認証情報の種類：ＩＤ／パスワード／ルート証明書）を検索する。認証情報送信部２３０は、宛先ＭＡＣアドレスをＭＡＣ＿ＳＷ２０Ｘとして、ペイロード内にスイッチ２０Ｘの認証情報記憶部４１０の更新を要求する旨のコマンドと、スイッチ１０の認証情報記憶部４１０に格納されている各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組と、スイッチ１０の認証情報記憶部４１０に格納されているルート証明書とを格納したフレーム（更新要求フレーム）を生成する。
【００４２】
そして、認証情報送信部２３０は、生成した更新要求フレームをスイッチ２０Ｘへ送信する（ステップＳ１１０）。更新要求フレームを受信したスイッチ２０Ｘの認証情報更新部２５０（図５）は、認証情報更新処理を行う（ステップＳ１１２）。詳細は、ステップＳ１０４と同様である。認証情報更新処理の終了後、スイッチ２０Ｘの認証情報更新部２５０は、認証情報更新処理の結果を含んだ応答フレームをスイッチ１０へ送信する（ステップＳ１１４）。
【００４３】
認証情報送信部２３０は、送信先記憶部４２０に格納されている全ての送信先について、上述のような更新要求フレームを送信した後、各送信先からの応答フレームの受信を待機する。各送信先からの応答フレーム受信後、認証情報送信部２３０は、応答フレームの内容を用いて送信結果のログを生成し、処理を終了する（ステップＳ１１８）。
【００４４】
このようにすれば、認証情報送信部２３０は、スイッチ１０に接続されている他のスイッチのうち、送信先記憶部４２０によって予め定められた特定のスイッチに対してのみ認証情報を送信することができるため、利便性を向上させることができる。
【００４５】
さらに、認証情報送信部２３０は、送信先記憶部４２０に定められている送信先と、送信すべき認証情報の種類とに応じた更新要求フレームを送信する。従って、例えば、電子証明書を使用する認証方式をサポートしていないスイッチ２０に対してはユーザＩＤとパスワードのみ送信し、全ての認証方式をサポートしているスイッチ２０Ｘに対してはユーザＩＤ、パスワード、ルート証明書を送信するといった処理を行うことができる。すなわち、送信先スイッチがサポートしている認証方式に応じた認証情報の送信が可能となり、利便性を向上させることができるほか、通信トラフィックの軽減と、不要な認証情報の送信しないことに伴うセキュリティの向上をも図ることができる。
【００４６】
（Ａ−５）認証情報更新処理：
図８は、認証情報更新処理の手順を示すフローチャートである。認証情報更新処理は、更新要求フレームを受信したスイッチの認証情報更新部が、受信フレームの内容に応じて自装置内の認証情報記憶部を更新する処理である。まず、認証情報更新部２５０（図５）は、自装置内の認証情報記憶部４１０を検索する（ステップＳ５０）。具体的には、認証情報更新部２５０は、受信したフレームのペイロードに含まれる各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組を取り出し、取り出した各組について、ユーザＩＤをキーとして認証情報記憶部４１０を検索する。
【００４７】
次に、認証情報更新部２５０は、認証情報記憶部４１０の検索の結果、受信したデータのユーザＩＤと同じＩＤを有する認証情報があるか否かを判定する（ステップＳ５２）。同じＩＤを有する認証情報がない場合（ステップＳ５２：ＮＯ）処理はステップＳ５８へ遷移する。一方、同じＩＤを有する認証情報がある場合（ステップＳ５２：ＹＥＳ）、認証情報更新部２５０は、受信したデータのユーザＩＤに関連付けられた登録日時と、認証情報記憶部４１０の検索の結果一致したデータの登録日時とを比較する（ステップＳ５４、Ｓ５５）。
【００４８】
比較の結果、受信したデータのユーザＩＤに関連付けられた登録日時の方が新しい場合（ステップＳ５５：ＹＥＳ）、認証情報更新部２５０は、認証情報記憶部４１０の検索の結果一致したデータを、受信したデータの組（ユーザＩＤ、パスワード、登録日時）を用いて更新する。また、認証情報更新部２５０は、認証情報記憶部４１０に格納されたルート証明書を、受信したフレームのペイロードに含まれるルート証明書を用いて更新する。認証情報記憶部４１０の更新後、処理を終了する（ステップＳ５８）。一方、比較の結果、受信したデータのユーザＩＤに関連付けられた登録日時と認証情報記憶部４１０の検索の結果一致したデータの登録日時とが同じ、または、認証情報記憶部４１０の検索の結果一致したデータの登録日時の方が新しい場合（ステップＳ５５：ＮＯ）、処理を終了する。
【００４９】
なお、ステップＳ５４、Ｓ５６の処理では、ルート証明書の発行日時の比較を併せて行い、更新要求フレームに含まれるルート証明書の発行日時が新しい場合にのみ、ルート証明書の更新（ステップＳ５８）を行うものとしてもよい。この場合、認証情報送信処理（図７）において生成する更新要求フレームには、ルート証明書の発行日時を含める。
【００５０】
このようにすれば、スイッチ１０の認証情報送信部２３０は、認証情報と、スイッチ１０の外部から取得した日時に依拠した登録日時とを含む更新要求フレームを送信し、スイッチ２０（スイッチ２０Ｘ）の認証情報更新部２５０は、受信した更新要求フレームに含まれるデータのユーザＩＤに関連付けられた登録日時が新しい場合のみ（換言すれば、登録日時を用いて）、自装置内の認証情報記憶部を更新するため、認証情報記憶部に格納された認証情報の一貫性を向上させることができる。
【００５１】
図９は、認証情報の伝播が行われる様子を示す説明図である。スイッチ１０に対して、ＰＣ５０を介してユーザＡの認証情報登録処理が行われる場合について考える。認証情報登録処理（図６）のステップＳ１０〜Ｓ１８が実行されることにより、ユーザＡの認証情報は、スイッチ１０の認証情報記憶部４１０に格納される。また、認証情報登録処理のステップＳ２０（認証情報送信処理：図７）が実行されることにより、ユーザＡの認証情報と、スイッチ１０に予め登録されているルート証明書ＲＣ１とを含む更新要求フレームがスイッチ２０に、ユーザＡの認証情報を含む更新要求フレームがスイッチ２０Ｘに、それぞれ送信される。更新要求フレームを受信したスイッチ２０と、スイッチ２０Ｘとにおいて、認証情報更新処理（図８）が実行されることにより、スイッチ２０の認証情報記憶部４１０と、スイッチ２０Ｘの認証情報記憶部４１０とには、認証情報がそれぞれ格納される。
【００５２】
なお、スイッチ２０およびスイッチ２０Ｘは、認証情報登録部２４０を含まないため（図５）、スイッチ２０およびスイッチ２０Ｘに対して認証情報を登録することはできない。すなわち、第１実施例においては、スイッチ１０がマスタとなり、スイッチ２０、２０Ｘをスレーブとして、認証情報を伝播させる構成である。
【００５３】
以上のように、第１実施例によれば、スイッチ１０の認証情報送信部２３０は、予め定められたトリガ（本実施例においては、認証情報登録処理による認証情報記憶部の更新）の発生に応じて、スイッチ１０への接続を要求する利用者の権限を照合するために使用される情報である認証情報（ユーザＩＤとパスワードとの組、ルート証明書）を、他のスイッチへ送信する。認証情報を受信したスイッチの認証情報更新部２５０は、受信した認証情報を自装置内の認証情報記憶部４１０へ格納する。従って、他のスイッチの認証処理部２２０は、認証情報記憶部４１０に格納された認証情報を用いて認証処理を実行することができる。この結果、セキュリティの向上と利便性とを両立させたスイッチを提供することができる。
【００５４】
さらに、認証情報には、利用者を識別するためのユーザＩＤと、利用者によって設定されるパスワードとの組、もしくは、利用者の電子証明書の信頼性を判断するための電子証明書（ルート証明書）の少なくともいずれか一方を含むことができるため、各スイッチの認証処理部２２０において、幅広い認証方式を用いることが可能となる。
【００５５】
Ｂ．第２実施例：
本発明の第２実施例では、複数のスイッチが接続された場合であっても、マスタ−スレーブ関係を持たずに、相互に認証情報の伝播が可能な構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００５６】
（Ｂ−１）装置構成：
図１０は、第２実施例におけるスイッチ３０の構成を概略的に示す説明図である。図２示した第１実施例との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ｂを備える点のみであり、他の構成や動作は第１実施例と同じである。
【００５７】
ＣＰＵ２００ｂは、図２で説明した認証処理部２２０と、認証情報送信部２３０と、認証情報登録部２４０に加えて、さらに、図５で説明した認証情報更新部２５０を備えている。なお、認証情報登録部２４０の動作は（Ａ−３）認証情報登録処理、認証情報送信部２３０の動作は（Ａ−４）認証情報送信処理、認証情報更新部２５０の動作は（Ａ−５）認証情報更新処理、においてそれぞれ説明したものと同様である。
【００５８】
図１１は、第２実施例において、認証情報の伝播が行われる様子を示す説明図である。第２実施例では、スイッチ３０（図１０）が回線を通じてＰＣ５０と接続され、スイッチ３０Ｘ（図１０）が回線を通じてＰＣ６０と接続されている。また、スイッチ３０と、スイッチ３０Ｘと、スイッチ３０Ｙ（図１０）とは、ＬＡＮ等のネットワークを通じて互いに接続されている。
【００５９】
スイッチ３０に対してＰＣ５０を介して登録されたユーザＡの認証情報、および、スイッチ３０に予め登録されているルート証明書ＲＣ１は、スイッチ３０Ｘ、スイッチ３０Ｙへ送信される。このことは、図９で説明した通りである。さらに、第２実施例において、図示のように、スイッチ３０Ｘに対してＰＣ６０を介してユーザＢの認証情報登録処理が行われる場合について考える。
【００６０】
スイッチ３０Ｘの認証情報登録部２４０（図１０）において認証情報登録処理（図６）のステップＳ１０〜Ｓ１８が実行されることにより、ユーザＢの認証情報は、スイッチ３０Ｘの認証情報記憶部４１０に格納される。また、認証情報登録処理のステップＳ２０（認証情報送信処理：図７）が実行されることにより、ユーザＢの認証情報と、スイッチ３０Ｘに予め登録されているルート証明書ＲＣ２とを含む更新要求フレームがスイッチ３０に、ユーザＢの認証情報を含む更新要求フレームがスイッチ３０Ｙに、それぞれ送信される。更新要求フレームを受信したスイッチ３０と、スイッチ３０Ｙとにおいて、認証情報更新処理（図８）が実行されることにより、スイッチ３０の認証情報記憶部４１０と、スイッチ３０Ｙの認証情報記憶部４１０とには、認証情報がそれぞれ格納される。すなわち、第２実施例においては、各スイッチは、マスタ、スレーブの区別なく、動作することが可能である。
【００６１】
以上のように、第２実施例によれば、各スイッチは、認証情報送信部２３０と、認証情報登録部２４０と、認証情報更新部２５０とを備えるため、利用者は、全てのスイッチに対して認証情報の登録を行うことが可能となる。また、登録された認証情報は、他のスイッチへ送信され、当該スイッチにおける認証処理に使用されるため、セキュリティの向上と利便性とを両立させたスイッチを提供することができる。
【００６２】
Ｃ．第３実施例：
本発明の第３実施例では、認証情報記憶部４１０と、送信先記憶部４２０とを、スイッチ内に備えるハードディスクに格納する構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００６３】
（Ｃ−１）装置構成：
図１２は、第３実施例におけるスイッチ４０の構成を概略的に示す説明図である。図２に示した第１実施例との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ｃを備える点と、ＲＡＭ４００の代わりにＲＡＭ４００ｃを備える点と、さらに、ハードディスク６００と、ＵＳＢインタフェース（ＵＳＢ Ｉ／Ｆ）７００とを備える点のみであり、他の構成や動作は第１実施例と同じである。
【００６４】
ＲＡＭ４００ｃは、認証情報記憶部（図３）と、送信先記憶部（図４）とを含まない。これらの記憶部は、ハードディスク６００内に認証情報記憶部６１０、送信先記憶部６２０として格納されている。認証情報記憶部６１０と、送信先記憶部６２０との内容は、図３、図４で説明した通りである。ＵＳＢインタフェース７００は、スイッチ４０に対して種々の周辺機器を接続するためのインタフェースである。本実施例では、ＵＳＢインタフェース７００を介して、ＵＳＢインタフェースを用いた記憶装置（例えば、ＵＳＢフラッシュメモリや、ＵＳＢ接続されるハードディスク等）が接続される。
【００６５】
ＣＰＵ２００ｃは、図２で説明した認証処理部２２０と、認証情報送信部２３０と、認証情報登録部２４０に加えて、さらに、認証情報出力部２６０を備えている。認証情報登録部２４０の動作は（Ａ−３）認証情報登録処理、認証情報送信部２３０の動作は（Ａ−４）認証情報送信処理、認証情報更新部２５０の動作は（Ａ−５）認証情報更新処理、においてそれぞれ説明したものと同様である。認証情報出力部２６０は、利用者からの要求（例えば、スイッチ４０の設定画面に設けたリンクの押下）をトリガとして、ハードディスク６００に格納されている認証情報記憶部６１０の内容を、ＵＳＢインタフェース７００を介して接続される記憶装置に出力する機能を有する。
【００６６】
以上のように、第３実施例によっても、第１実施例と同様の効果を得ることができる。また、第３実施例によれば、認証情報記憶部６１０はハードディスクドライブ内に設けられるため、認証情報記憶部の記憶容量を大きくすることができる。
【００６７】
さらに、スイッチ４０は、認証情報記憶部６１０の内容を、ＵＳＢインタフェース７００を介して接続される記憶装置に出力する認証情報出力部２６０を備えるため、利用者が登録した認証情報を容易にエクスポートすることができる。この結果、利便性をさらに向上させることができる。
【００６８】
Ｄ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲で種々の構成を採ることができる。例えば、ソフトウェアによって実現した機能は、ハードウェアによって実現するものとしてもよい。そのほか、以下のような変形が可能である。
【００６９】
Ｄ１．変形例１：
上記実施例では、ネットワーク中継装置の構成について説明した。しかし、上記実施例で示したネットワーク中継装置の構成はあくまで一例であり、任意の構成を採用することができる。例えば、その構成要素の一部を省略したり、更なる構成要素を付加したりする変形が可能である。
【００７０】
例えば、上記実施例におけるスイッチは、ＭＡＣアドレスによるフレームの中継を行うレイヤ２スイッチであるものとした。しかし、ＭＡＣアドレスによるフレームの中継に加えてＩＰアドレスによるパケットの中継を行うことも可能な、いわゆるレイヤ３スイッチであるものとしてもよい。また、無線通信インタフェースを備え、無線通信におけるパケットの中継が可能な、いわゆるアクセスポイントであるものとしてもよい。
【００７１】
上記実施例におけるスイッチでは、ＣＰＵは、認証処理部と、認証情報送信部と、認証情報登録部と、認証情報更新部と、認証情報出力部とを含むものとして記載した。また、各処理部において実行される機能について説明した。しかし、これら各処理部の配置および各処理部が果たす機能の内容についてはあくまで例示であり、スイッチの構成に応じて任意に変更することが可能である。
【００７２】
例えば、有線通信部を構成する物理チップの内部に、認証処理部と、認証情報送信部と、認証情報登録部と、認証情報更新部と、認証情報出力部との全ての機能を備えるものとしてもよい。
【００７３】
Ｄ２．変形例２：
上記実施例では、認証情報登録処理（図６）の手順の中で、外部のＮＴＰサーバから時刻を取得した上で、認証情報と関連付けて認証情報記憶部に格納するものとした（ステップＳ１６、Ｓ１７）。しかし、上記実施例における態様はあくまで一例であり、任意の方法を採用することができる。
【００７４】
例えば、時刻の情報は、スイッチの外部から取得すれば足り、ＮＴＰサーバに限らない。具体的には、スイッチが接続されるＰＣから時刻を取得するものとしてもよい。
【００７５】
例えば、スイッチは、タイマ処理等を行うことによって定期的に外部から時刻を取得し、取得した時刻をスイッチの内部時計に反映させた上で、認証情報登録処理のステップＳ１６においては、当該内部時計の時刻を取得することとしてもよい。
【００７６】
Ｄ３．変形例３：
上記実施例では、認証情報登録処理（図６）において、認証情報登録部が認証情報記憶部の更新を行った後、認証情報送信処理（図７）を行うものとした。しかし、認証情報送信処理を行うトリガは、任意に定めることができ、上記の態様に限られない。
【００７７】
例えば、スイッチ内部に予めスケジュールを指定しておき、このスケジュールに従った日時が到来した際に認証情報送信処理を行ってもよい。そうすれば、例えば、スイッチの負荷の少ない時間帯（深夜等）に認証情報送信処理を実行するように設定しておくことで、煩雑時間帯におけるスイッチのＣＰＵへの負荷を抑制しつつ、認証情報の伝播を行うことが可能となる。また、認証情報送信処理を実行するスケジュールを、送信先記憶部内に指定可能な構成とすれば、送信先スイッチごとに、更新要求フレームを送信する時間を可変とすることができるため、利便性が向上する。
【００７８】
例えば、マスタとなるスイッチが定期的に認証情報記憶部の更新時刻をスレーブとなるスイッチへ通知（マルチキャスト）する。スレーブとなるスイッチは、自身の認証情報記憶部の更新時刻と通知された更新時刻を比較し、通知された更新時刻が新しいと判断した場合に、マスタとなるスイッチへ認証情報含んだフレームの送信を要求することとしてもよい。
【００７９】
Ｄ４．変形例４：
上記実施例では、認証情報送信処理（図７）において、送信先記憶部（図４）に指定された内容に従って更新要求フレームを生成し、送信先記憶部に指定された送信先へ送信するものとした。しかし、送信先記憶部は省略可能である。例えば、送信先記憶部を省略した場合、認証情報送信部は、認証情報記憶部の更新を要求する旨のコマンドと、認証情報（ユーザＩＤとパスワードと登録日時の組、および、ルート証明書）を格納したフレームを、自装置が接続されている全てのスイッチに対してマルチキャストすることができる。
【００８０】
Ｄ５．変形例５：
上記実施例では、認証情報更新処理（図８）において、認証情報更新部は、受信した更新要求フレームに含まれるデータのユーザＩＤに関連付けられた登録日時が新しい場合のみ、自装置内の認証情報記憶部を更新することとした。しかし、上記処理はあくまで一例であり、認証情報更新部は、更新要求フレームに含まれる登録日時を用いて、データベースの一貫性保持のために一般的に知られた種々の方法を採用することによる種々の更新方法を採用することができる。
【００８１】
Ｄ６．変形例６：
上記第１実施例では、スレーブとなるスイッチに対しては、利用者は認証情報を登録することはできないものとして記載した。しかし、スイッチの管理者による認証情報の登録／変更／削除等の処理を別途設けることも可能である。
【００８２】
上記第２実施例では、各スイッチは、マスタ−スレーブの区別なく動作することが可能であるものとした。しかし、第２実施例の構成において、スイッチ間にマスタ−スレーブ関係を持たせても良い。具体的には、例えば、スイッチの管理者が手動でマスタ−スレーブの設定を行ってもよいし、ＬＬＤＰ等を用いて行ってもよい。
【符号の説明】
【００８３】
１０…スイッチ
２０,２０Ｘ…スイッチ
３０,３０Ｘ,３０Ｙ…スイッチ
４０…スイッチ
２００,２００ａ,２００ｂ,２００ｃ…ＣＰＵ
２２０…認証処理部
２３０…認証情報送信部
２４０…認証情報登録部
２５０…認証情報更新部
２６０…認証情報出力部
４１０…認証情報記憶部
４２０…送信先記憶部
５００…有線通信部
５１０…中継処理部
６００…ハードディスク
６１０…認証情報記憶部
６２０…送信先記憶部
７００…ＵＳＢインタフェース
【技術分野】
【０００１】
本発明は、ネットワーク中継装置に関する。
【背景技術】
【０００２】
ＩＣＴ（Information and Communication Technology）技術の進展に伴い、インテリジェントスイッチと呼ばれるスイッチ製品が登場している。このようなインテリジェントスイッチは、一般的なスイッチと比較して高機能なスイッチのことを意味する。インテリジェントスイッチは様々な機能、例えば、ＶＬＡＮ（Virtual Local Area Network）機能や、セキュリティ機能や、ＱｏＳサービス品質機能等を備えている（例えば、特許文献１）。このような機能の中でも、近年では、ネットワーク内部における脅威を重要視したセキュリティ機能の向上が求められている。
【０００３】
このような背景から、従来、接続される利用者の認証を行うことが可能なＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を内蔵したインテリジェントスイッチが知られている。ＲＡＤＩＵＳ機能を内蔵したインテリジェントスイッチは、独立したＲＡＤＩＵＳサーバを設ける必要がない点において手軽である。しかし、例えば、あるインテリジェントスイッチに接続され、ＲＡＤＩＵＳ機能を使用していた特定の利用者の端末が、他のインテリジェントスイッチに接続されるような場合（すなわち、ネットワークの構成に変化が生じた場合）、当該端末が新たに接続されたインテリジェントスイッチにおいて、ＲＡＤＩＵＳ機能を有効にするための設定が再び必要となり、煩雑であるという問題があった。
【０００４】
また、このような問題は、インテリジェントスイッチに限らず、セキュリティ機能を備えるネットワーク中継装置全般に共通する問題であった。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−０２５０６５号公報
【特許文献２】特開平０９−２６９９３０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、セキュリティの向上と利便性を両立させたネットワーク中継装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００８】
［適用例１］
ネットワーク中継装置であって、
利用者が前記ネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、
前記認証処理において、前記利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、
前記認証処理において前記利用者が前記ネットワーク中継装置へ接続する権限を保持すると判定された場合に、前記利用者の端末との間のフレームを中継する中継処理部と、
予め定められたトリガの発生に応じて、前記認証情報記憶部に格納された前記認証情報を、前記ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、
を備える、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、予め定められたトリガの発生に応じて、利用者の権限を照合するために使用される情報である認証情報を他のネットワーク中継装置へ送信するため、他のネットワーク中継装置においても、この認証情報を用いて認証処理を実行することができる。この結果、セキュリティの向上と利便性を両立させたネットワーク中継装置を提供することができる。
【０００９】
［適用例２］
適用例１記載のネットワーク中継装置であって、さらに、
前記他のネットワーク中継装置から前記認証情報を受信した際に、受信した前記認証情報を前記認証情報記憶部へ格納する認証情報更新部を備える、ネットワーク中継装置。
このような構成にすれば、認証情報更新部は、他のネットワーク中継装置から認証情報を受信した際に、受信した認証情報を認証情報記憶部へ格納するため、この認証情報を用いて認証処理を実行することができる。
【００１０】
［適用例３］
適用例２記載のネットワーク中継装置であって、さらに、
前記利用者から前記認証情報を受け付けると共に、受け付けた前記認証情報を前記認証情報記憶部へ格納する認証情報登録部を備え、
前記認証情報登録部は、受け付けた前記認証情報を前記認証情報記憶部へ格納する際に、前記ネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、
前記認証情報送信部は、前記認証情報と、前記登録日時とを併せて前記他のネットワーク中継装置へ送信し、
前記認証情報更新部は、前記認証情報と併せて受信した前記登録日時を用いることによって、前記認証情報記憶部内の一貫性を保持するように、前記認証情報を前記認証情報記憶部へ格納する、ネットワーク中継装置。
このような構成にすれば、認証情報登録部は、受け付けた認証情報を格納する際にネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、認証情報送信部は、認証情報と登録日時とを併せて送信し、認証情報更新部は、認証情報と併せて受信した登録日時を用いることによって、認証情報記憶部内の一貫性を保持するように認証情報を認証情報記憶部へ格納するため、認証情報記憶部に格納された認証情報の一貫性を向上させることができる。
【００１１】
［適用例４］
適用例１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記認証情報送信部は、
前記ネットワーク中継装置に接続された他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して前記認証情報を送信する、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して認証情報を送信することができる。この結果、利便性を向上させることができる。
【００１２】
［適用例５］
適用例１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められたトリガは、前記認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかである、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかのトリガの発生に応じて、認証情報を送信することができる。この結果、利便性を向上させることができる。
【００１３】
［適用例６］
適用例１ないし５のいずれか一項記載のネットワーク中継装置であって、
前記認証情報は、前記利用者を識別するためのユーザＩＤと、前記利用者によって設定されるパスワードとの組、もしくは、前記利用者の電子証明書の信頼性を判断するための電子証明書の少なくともいずれか一方を含む、ネットワーク中継装置。
このような構成にすれば、認証情報は、利用者を識別するためのユーザＩＤと、利用者によって設定されるパスワードとの組、もしくは、利用者の電子証明書の信頼性を判断するための電子証明書の少なくともいずれか一方を含むことができるため、認証処理部の認証処理において幅広い認証方式を用いることが可能となる。
【００１４】
［適用例７］
適用例１ないし６のいずれか一項記載のネットワーク中継装置であって、
前記認証情報記憶部は、ハードディスクドライブ内に設けられる、ネットワーク中継装置。
このような構成にすれば、認証情報記憶部はハードディスクドライブ内に設けられるため、認証情報記憶部の記憶容量を大きくすることができる。
【００１５】
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、ネットワーク中継装置、ネットワーク中継装置の制御方法、ネットワーク中継装置を用いたネットワークシステム、および、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施例としてのネットワーク中継装置および端末の機能の概略構成を示す説明図である。
【図２】スイッチの構成を概略的に示す説明図である。
【図３】認証情報記憶部に格納されているデータの一例を示す説明図である。
【図４】送信先記憶部に格納されているデータの一例を示す説明図である。
【図５】スイッチの構成を概略的に示す説明図である。
【図６】認証情報登録処理の手順を示すフローチャートである。
【図７】認証情報送信処理の流れを示すシーケンス図である。
【図８】認証情報更新処理の手順を示すフローチャートである。
【図９】認証情報の伝播が行われる様子を示す説明図である。
【図１０】第２実施例におけるスイッチの構成を概略的に示す説明図である。
【図１１】第２実施例において認証情報の伝播が行われる様子を示す説明図である。
【図１２】第３実施例におけるスイッチの構成を概略的に示す説明図である。
【００１７】
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
【発明を実施するための形態】
【００１８】
Ａ．第１実施例：
（Ａ−１）装置構成：
図１は、本発明の一実施例としてのネットワーク中継装置および端末の機能の概略構成を示す説明図である。ネットワーク中継装置（以降、単に「スイッチ」とも呼ぶ。）１０、２０、２０Ｘは、いわゆるレイヤ２スイッチである。スイッチ１０は、ＭＡＣアドレスがＭＡＣ＿ＳＷ１０であり、回線を通じてパーソナルコンピュータ（以降、「端末」、「ＰＣ」とも呼ぶ。）５０と接続されている。スイッチ２０は、ＭＡＣアドレスがＭＡＣ＿ＳＷ２０であり、回線を通じてＰＣ６０と接続されている。スイッチ２０Ｘは、ＭＡＣアドレスがＭＡＣ＿ＳＷ２０Ｘである。スイッチ１０と、スイッチ２０と、スイッチ２０Ｘとは、ローカルエリアネットワーク（ＬＡＮ）等のネットワークを通じて互いに接続されている。なお、図１では便宜上、説明上必要としない、他のネットワーク中継装置、回線、端末、およびネットワーク中継装置内の構成部については図示を省略している。このことは、後述する図においても同様である。
【００１９】
スイッチ１０、２０、２０Ｘは、ＭＡＣアドレスによるフレームの中継を行う中継機能を備えている。さらに、スイッチ１０、２０、２０Ｘは、スイッチに接続される端末の利用者が、スイッチへ接続する権限を保持するか否かを判定する（認証を行う）ことが可能なＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を備えている。
【００２０】
ＲＡＤＩＵＳ機能とは、具体的には、８０２．１Ｘ認証や、ＭＡＣアドレス認証、Ｗｅｂ認証等に基づいた認証処理を実現する機能である。８０２．１Ｘ認証、ＭＡＣアドレス認証、Ｗｅｂ認証に基づいた認証処理では、例えば、ＰＡＰ（Password Authentication Protocol）、ＣＨＡＰ（Challenge Handshake Authentication Protocol）、ＥＡＰ−ＭＤ５（Extensible Authentication Protocol-Message Digest version 5）、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）、ＰＥＡＰ（Protected Extensible Authentication Protocol）等の種々の認証方式を使用することができる。
【００２１】
上述の認証処理においては、利用者の権限を照合するために、予め各スイッチ内に格納されている認証情報が使用される。本実施例では、認証情報は、スイッチ１０に接続されたＰＣ５０を介して、スイッチ１０の記憶部内に登録される。また、スイッチ２０、２０Ｘ内の認証情報は、スイッチ１０から送信される。すなわち、本実施例では、スイッチ１０がマスタとなり、スイッチ２０、２０Ｘをスレーブとして、認証情報を伝播させる。
【００２２】
上述のように、スイッチ１０、２０、２０Ｘは、それぞれＲＡＤＩＵＳ機能を内蔵している。このため、独立したＲＡＤＩＵＳサーバを設ける必要がなく手軽である。さらに、独立したＲＡＤＩＵＳサーバを設けた場合は、ＲＡＤＩＵＳサーバが、例えば、サーバのダウンやサーバまでの経路障害の発生等により認証処理のサービスが不能となった場合、当該ＲＡＤＩＵＳサーバを利用する全ての端末における利用者の認証処理が不可能となる問題がある。これに対し、本実施例におけるスイッチ１０、２０、２０Ｘは、仮に１つのスイッチのＲＡＤＩＵＳ機能が、例えば、スイッチのダウン等により認証処理のサービスが不能となった場合であっても、他のスイッチでは認証処理のサービスを継続することができる。このため、影響範囲を小さくすることができる。
【００２３】
図２は、スイッチ１０の構成を概略的に示す説明図である。スイッチ１０は、ＣＰＵ２００と、ＲＯＭ３００と、ＲＡＭ４００と、有線通信部５００とを備えている。スイッチ１０の各構成要素は、バスを介して互いに接続されている。
【００２４】
ＣＰＵ２００は、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００に展開して実行することにより、スイッチ１０の各部を制御する。また、ＣＰＵ２００は、認証処理部２２０、認証情報送信部２３０、認証情報登録部２４０としても機能する。
【００２５】
認証処理部２２０は、ＲＡＤＩＵＳ機能（８０２．１Ｘ認証、ＭＡＣアドレス認証、Ｗｅｂ認証）に基づいた認証処理を実行する。認証情報送信部２３０は、認証処理において使用される認証情報を、他のスイッチ（スイッチ２０、２０Ｘ：図１）へ送信する認証情報送信処理（図６、ステップＳ２０、図７）を実行する機能を有する。認証情報登録部２４０は、認証処理に先立って、利用者から認証情報を受け付け、認証情報を登録する認証情報登録処理（図６）を実行する機能を有する。これら各機能の詳細は後述する。
【００２６】
ＲＡＭ４００には、認証情報記憶部４１０と、送信先記憶部４２０とが含まれている。これら各記憶部の内容についての詳細は後述する。有線通信部５００は、中継処理部５１０と、図示しない有線通信インタフェースとを含む物理チップ（ＡＳＩＣ：Application Specific Integrated Circuit）である。中継処理部５１０は、有線通信インタフェースを介して受信したフレームであって、認証処理部２２０の認証処理において許可された利用者から受信したフレームを中継する機能を有する。
【００２７】
（Ａ−２）記憶部内の構成：
図３は、認証情報記憶部４１０に格納されているデータの一例を示す説明図である。認証情報記憶部４１０には、ユーザＩＤと、パスワードと、登録日時とが関連付けて記憶されている。ユーザＩＤは、スイッチ１０に接続される端末の利用者を識別するために付与される一意な識別子である。パスワードは、ユーザＩＤと関連付けて任意に設定される文字列である。登録日時は、認証情報（ユーザＩＤとパスワードの組）が認証情報記憶部４１０内に登録された日時である。なお、ユーザＩＤと関連付けられて記憶される情報には、図示以外のものも含むことができる。例えば、スイッチ１０に接続される端末の利用者を証明するために提示される電子証明書（以降、「ユーザ証明書」とも呼ぶ。）を含んでもよい。
【００２８】
認証情報記憶部４１０には、さらに、スイッチ１０が信頼する認証局から発行されているルート証明書が格納されている。このルート証明書は、認証処理において、ユーザ証明書の信頼性を判断するために用いられる。ルート証明書は、スイッチ１０の管理者により予め格納される。なお、ユーザＩＤとパスワードとの組と、ルート証明書とを総称して「認証情報」とも呼ぶ。
【００２９】
図３の例では、ユーザＩＤ「ｕｓｅｒ０１」によって識別される利用者のパスワードは「ａｂｃ１２３４５６」であり、ユーザＩＤ「ｕｓｅｒ０１」の利用者の認証情報が認証情報記憶部４１０に登録されたのは「２０１０年８月２３日 １７時５４分０秒」である。また、ユーザＩＤ「ｕｓｅｒ０２」の利用者のパスワードは「ａｂｃｄｅｆｇｈｉ」であり、認証情報が登録されたのは「２０１０年８月２５日 １０時１５分２秒」である。また、スイッチ１０には、スイッチ１０が信頼する２つの認証局から発行されたルート証明書ＲＣ１が格納されている。
【００３０】
図４は、送信先記憶部４２０に格納されているデータの一例を示す説明図である。送信先記憶部４２０には、予め、送信先と、認証情報の種類とが関連付けて記憶されている。送信先は、後述の認証情報送信処理において、認証情報送信部２３０が認証情報を送信する際の宛先となるスイッチを識別するための情報が格納されている。本実施例では、送信先スイッチを識別するための情報として、送信先スイッチのＭＡＣアドレスを格納するものとしているが、他の情報（例えば、スイッチ１０内の出力ポートの識別子）等を採用してもよい。認証情報の種類は、後述の認証情報送信処理において、認証情報送信部２３０が送信する認証情報の種類が格納されている。
【００３１】
図５は、スイッチ２０の構成を概略的に示す説明図である。図２に示したスイッチ１０との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ａを備える点と、ＲＡＭ４００の代わりにＲＡＭ４００ａを備える点のみであり、他の構成や動作はスイッチ１０と同じである。なお、図１に示したスイッチ２０Ｘの構成は、スイッチ２０と同じである。
【００３２】
ＣＰＵ２００ａは、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００ａに展開して実行することにより、スイッチ２０の各部を制御する。また、ＣＰＵ２００ａは、認証処理部２２０、認証情報更新部２５０としても機能する。認証処理部２２０については、図２で説明した通りである。認証情報更新部２５０は、他のスイッチ（例えば、スイッチ１０）から認証情報を受信した際に、受信した認証情報をＲＡＭ４００ａ内の認証情報記憶部４１０へ格納する認証情報更新処理を行う。詳細は後述する。また、ＲＡＭ４００ａは、送信先記憶部４２０を備えない点を除いては、ＲＡＭ４００と同じである。
【００３３】
（Ａ−３）認証情報登録処理：
図６は、認証情報登録処理の手順を示すフローチャートである。認証情報登録処理は、利用者から受け付けた認証情報（ユーザＩＤ、パスワード）を、認証情報記憶部４１０へ登録する処理である。まず、認証情報登録部２４０（図２）は、利用者からの登録要求を受け付ける（ステップＳ１０）。具体的には、例えば、スイッチ１０の設定画面（ブラウザ等を用いて提供されるスイッチ１０の一般的な設定を行うための画面）に設けたリンクの押下により、登録要求がされたものと扱うことができる。
【００３４】
登録要求受け付け後、認証情報登録部２４０は、スイッチ１０の設定画面上に、認証情報登録画面を表示させる（ステップＳ１２）。認証情報登録画面には、例えば、ユーザＩＤ入力フィールドと、パスワード入力フィールドと、登録ボタンとを含むことができる。利用者は、これら各フィールドに、任意のユーザＩＤ、任意のパスワードを入力し、登録ボタンを押下する。登録ボタン押下により、認証情報登録部２４０は、設定画面上の各フィールドで指定されたユーザＩＤ、パスワードを取得する（ステップＳ１４）。
【００３５】
その後、認証情報登録部２４０は、スイッチ１０の外部から時刻を取得する（ステップＳ１６）。具体的には、例えば、認証情報登録部２４０は、インターネットを介してネットワーク上に存在する時刻管理サーバにアクセスし、時刻管理サーバが提供している時刻の情報を取得する。なお、時刻管理サーバとは、ＮＴＰ（Network Time Protocol）プロトコルに準拠し、協定世界時（ＵＴＣ：Universal Time, Coordinated）に基づいた時刻の情報を提供するためのサーバである。時刻管理サーバとしては、例えば、大学や研究機関、大手ＩＳＰ（Internet Services Provider）により提供されるサーバを利用することができる。
【００３６】
時刻取得後、認証情報登録部２４０は、ステップＳ１４で取得したユーザＩＤ、パスワードと、ステップＳ１６で取得した時刻の情報とを関連付けて認証情報記憶部４１０に格納する（ステップＳ１８）。認証情報記憶部４１０の更新後、認証情報送信部２３０は、認証情報を他のスイッチへ送信する認証情報送信処理を行う（ステップＳ２０）。
【００３７】
このようにすれば、認証情報登録部２４０は、利用者から受け付けた認証情報と、スイッチ１０の外部から取得した時刻とを関連付けて認証情報記憶部４１０に格納するため、認証情報記憶部４１０内に格納されている認証情報がいつ登録されたものであるかを正確な時刻を用いて管理することが可能となる。
【００３８】
さらに、認証情報登録部２４０が認証情報を更新した後、認証情報送信部２３０は認証情報送信処理を行うため、複数のスイッチが存在するネットワークシステムにおいて、最新の認証情報を共有することが可能となる。
【００３９】
（Ａ−４）認証情報送信処理：
図７は、認証情報送信処理の流れを示すシーケンス図である。認証情報送信部２３０（図２）は、送信先記憶部４２０を検索し、送信先（すなわち、宛先スイッチのＭＡＣアドレス）と、送信すべき認証情報の種類との１つの組を検索し、検索内容に応じた更新要求を生成する（ステップＳ１００）。具体的には、ステップＳ１００において認証情報送信部２３０は、図４のエントリＥ０１（送信先：ＭＡＣ＿ＳＷ２０、認証情報の種類：ＩＤ／パスワード）を検索する。認証情報送信部２３０は、宛先ＭＡＣアドレスをＭＡＣ＿ＳＷ２０として、ペイロード内にスイッチ２０の認証情報記憶部４１０の更新を要求する旨のコマンドと、スイッチ１０の認証情報記憶部４１０に格納されている各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組を格納したフレーム（更新要求フレーム）を生成する。なお、セキュリティの観点から、更新要求フレームは暗号化されることが好ましい。また、なりすまし防止のための技術を適用してもよい。
【００４０】
そして、認証情報送信部２３０は、生成した更新要求フレームをスイッチ２０へ送信する（ステップＳ１０２）。更新要求フレームを受信したスイッチ２０の認証情報更新部２５０（図５）は、スイッチ２０内の認証情報記憶部４１０に格納された認証情報を更新するための認証情報更新処理を行う（ステップＳ１０４）。認証情報更新処理の詳細は後述する。認証情報更新処理の終了後、スイッチ２０の認証情報更新部２５０は、認証情報更新処理の結果を含んだ応答フレームをスイッチ１０へ送信する（ステップＳ１０６）。
【００４１】
また、スイッチ１０の認証情報送信部２３０（図２）は、認証情報登録部２４０を検索し、送信先と、送信すべき認証情報の種類との他の組を検索し、検索内容に応じた更新要求を生成する（ステップＳ１０８）。具体的には、ステップＳ１０８において認証情報送信部２３０は、図４のエントリＥ０２（送信先：ＭＡＣ＿ＳＷ２０Ｘ、認証情報の種類：ＩＤ／パスワード／ルート証明書）を検索する。認証情報送信部２３０は、宛先ＭＡＣアドレスをＭＡＣ＿ＳＷ２０Ｘとして、ペイロード内にスイッチ２０Ｘの認証情報記憶部４１０の更新を要求する旨のコマンドと、スイッチ１０の認証情報記憶部４１０に格納されている各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組と、スイッチ１０の認証情報記憶部４１０に格納されているルート証明書とを格納したフレーム（更新要求フレーム）を生成する。
【００４２】
そして、認証情報送信部２３０は、生成した更新要求フレームをスイッチ２０Ｘへ送信する（ステップＳ１１０）。更新要求フレームを受信したスイッチ２０Ｘの認証情報更新部２５０（図５）は、認証情報更新処理を行う（ステップＳ１１２）。詳細は、ステップＳ１０４と同様である。認証情報更新処理の終了後、スイッチ２０Ｘの認証情報更新部２５０は、認証情報更新処理の結果を含んだ応答フレームをスイッチ１０へ送信する（ステップＳ１１４）。
【００４３】
認証情報送信部２３０は、送信先記憶部４２０に格納されている全ての送信先について、上述のような更新要求フレームを送信した後、各送信先からの応答フレームの受信を待機する。各送信先からの応答フレーム受信後、認証情報送信部２３０は、応答フレームの内容を用いて送信結果のログを生成し、処理を終了する（ステップＳ１１８）。
【００４４】
このようにすれば、認証情報送信部２３０は、スイッチ１０に接続されている他のスイッチのうち、送信先記憶部４２０によって予め定められた特定のスイッチに対してのみ認証情報を送信することができるため、利便性を向上させることができる。
【００４５】
さらに、認証情報送信部２３０は、送信先記憶部４２０に定められている送信先と、送信すべき認証情報の種類とに応じた更新要求フレームを送信する。従って、例えば、電子証明書を使用する認証方式をサポートしていないスイッチ２０に対してはユーザＩＤとパスワードのみ送信し、全ての認証方式をサポートしているスイッチ２０Ｘに対してはユーザＩＤ、パスワード、ルート証明書を送信するといった処理を行うことができる。すなわち、送信先スイッチがサポートしている認証方式に応じた認証情報の送信が可能となり、利便性を向上させることができるほか、通信トラフィックの軽減と、不要な認証情報の送信しないことに伴うセキュリティの向上をも図ることができる。
【００４６】
（Ａ−５）認証情報更新処理：
図８は、認証情報更新処理の手順を示すフローチャートである。認証情報更新処理は、更新要求フレームを受信したスイッチの認証情報更新部が、受信フレームの内容に応じて自装置内の認証情報記憶部を更新する処理である。まず、認証情報更新部２５０（図５）は、自装置内の認証情報記憶部４１０を検索する（ステップＳ５０）。具体的には、認証情報更新部２５０は、受信したフレームのペイロードに含まれる各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組を取り出し、取り出した各組について、ユーザＩＤをキーとして認証情報記憶部４１０を検索する。
【００４７】
次に、認証情報更新部２５０は、認証情報記憶部４１０の検索の結果、受信したデータのユーザＩＤと同じＩＤを有する認証情報があるか否かを判定する（ステップＳ５２）。同じＩＤを有する認証情報がない場合（ステップＳ５２：ＮＯ）処理はステップＳ５８へ遷移する。一方、同じＩＤを有する認証情報がある場合（ステップＳ５２：ＹＥＳ）、認証情報更新部２５０は、受信したデータのユーザＩＤに関連付けられた登録日時と、認証情報記憶部４１０の検索の結果一致したデータの登録日時とを比較する（ステップＳ５４、Ｓ５５）。
【００４８】
比較の結果、受信したデータのユーザＩＤに関連付けられた登録日時の方が新しい場合（ステップＳ５５：ＹＥＳ）、認証情報更新部２５０は、認証情報記憶部４１０の検索の結果一致したデータを、受信したデータの組（ユーザＩＤ、パスワード、登録日時）を用いて更新する。また、認証情報更新部２５０は、認証情報記憶部４１０に格納されたルート証明書を、受信したフレームのペイロードに含まれるルート証明書を用いて更新する。認証情報記憶部４１０の更新後、処理を終了する（ステップＳ５８）。一方、比較の結果、受信したデータのユーザＩＤに関連付けられた登録日時と認証情報記憶部４１０の検索の結果一致したデータの登録日時とが同じ、または、認証情報記憶部４１０の検索の結果一致したデータの登録日時の方が新しい場合（ステップＳ５５：ＮＯ）、処理を終了する。
【００４９】
なお、ステップＳ５４、Ｓ５６の処理では、ルート証明書の発行日時の比較を併せて行い、更新要求フレームに含まれるルート証明書の発行日時が新しい場合にのみ、ルート証明書の更新（ステップＳ５８）を行うものとしてもよい。この場合、認証情報送信処理（図７）において生成する更新要求フレームには、ルート証明書の発行日時を含める。
【００５０】
このようにすれば、スイッチ１０の認証情報送信部２３０は、認証情報と、スイッチ１０の外部から取得した日時に依拠した登録日時とを含む更新要求フレームを送信し、スイッチ２０（スイッチ２０Ｘ）の認証情報更新部２５０は、受信した更新要求フレームに含まれるデータのユーザＩＤに関連付けられた登録日時が新しい場合のみ（換言すれば、登録日時を用いて）、自装置内の認証情報記憶部を更新するため、認証情報記憶部に格納された認証情報の一貫性を向上させることができる。
【００５１】
図９は、認証情報の伝播が行われる様子を示す説明図である。スイッチ１０に対して、ＰＣ５０を介してユーザＡの認証情報登録処理が行われる場合について考える。認証情報登録処理（図６）のステップＳ１０〜Ｓ１８が実行されることにより、ユーザＡの認証情報は、スイッチ１０の認証情報記憶部４１０に格納される。また、認証情報登録処理のステップＳ２０（認証情報送信処理：図７）が実行されることにより、ユーザＡの認証情報と、スイッチ１０に予め登録されているルート証明書ＲＣ１とを含む更新要求フレームがスイッチ２０に、ユーザＡの認証情報を含む更新要求フレームがスイッチ２０Ｘに、それぞれ送信される。更新要求フレームを受信したスイッチ２０と、スイッチ２０Ｘとにおいて、認証情報更新処理（図８）が実行されることにより、スイッチ２０の認証情報記憶部４１０と、スイッチ２０Ｘの認証情報記憶部４１０とには、認証情報がそれぞれ格納される。
【００５２】
なお、スイッチ２０およびスイッチ２０Ｘは、認証情報登録部２４０を含まないため（図５）、スイッチ２０およびスイッチ２０Ｘに対して認証情報を登録することはできない。すなわち、第１実施例においては、スイッチ１０がマスタとなり、スイッチ２０、２０Ｘをスレーブとして、認証情報を伝播させる構成である。
【００５３】
以上のように、第１実施例によれば、スイッチ１０の認証情報送信部２３０は、予め定められたトリガ（本実施例においては、認証情報登録処理による認証情報記憶部の更新）の発生に応じて、スイッチ１０への接続を要求する利用者の権限を照合するために使用される情報である認証情報（ユーザＩＤとパスワードとの組、ルート証明書）を、他のスイッチへ送信する。認証情報を受信したスイッチの認証情報更新部２５０は、受信した認証情報を自装置内の認証情報記憶部４１０へ格納する。従って、他のスイッチの認証処理部２２０は、認証情報記憶部４１０に格納された認証情報を用いて認証処理を実行することができる。この結果、セキュリティの向上と利便性とを両立させたスイッチを提供することができる。
【００５４】
さらに、認証情報には、利用者を識別するためのユーザＩＤと、利用者によって設定されるパスワードとの組、もしくは、利用者の電子証明書の信頼性を判断するための電子証明書（ルート証明書）の少なくともいずれか一方を含むことができるため、各スイッチの認証処理部２２０において、幅広い認証方式を用いることが可能となる。
【００５５】
Ｂ．第２実施例：
本発明の第２実施例では、複数のスイッチが接続された場合であっても、マスタ−スレーブ関係を持たずに、相互に認証情報の伝播が可能な構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００５６】
（Ｂ−１）装置構成：
図１０は、第２実施例におけるスイッチ３０の構成を概略的に示す説明図である。図２示した第１実施例との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ｂを備える点のみであり、他の構成や動作は第１実施例と同じである。
【００５７】
ＣＰＵ２００ｂは、図２で説明した認証処理部２２０と、認証情報送信部２３０と、認証情報登録部２４０に加えて、さらに、図５で説明した認証情報更新部２５０を備えている。なお、認証情報登録部２４０の動作は（Ａ−３）認証情報登録処理、認証情報送信部２３０の動作は（Ａ−４）認証情報送信処理、認証情報更新部２５０の動作は（Ａ−５）認証情報更新処理、においてそれぞれ説明したものと同様である。
【００５８】
図１１は、第２実施例において、認証情報の伝播が行われる様子を示す説明図である。第２実施例では、スイッチ３０（図１０）が回線を通じてＰＣ５０と接続され、スイッチ３０Ｘ（図１０）が回線を通じてＰＣ６０と接続されている。また、スイッチ３０と、スイッチ３０Ｘと、スイッチ３０Ｙ（図１０）とは、ＬＡＮ等のネットワークを通じて互いに接続されている。
【００５９】
スイッチ３０に対してＰＣ５０を介して登録されたユーザＡの認証情報、および、スイッチ３０に予め登録されているルート証明書ＲＣ１は、スイッチ３０Ｘ、スイッチ３０Ｙへ送信される。このことは、図９で説明した通りである。さらに、第２実施例において、図示のように、スイッチ３０Ｘに対してＰＣ６０を介してユーザＢの認証情報登録処理が行われる場合について考える。
【００６０】
スイッチ３０Ｘの認証情報登録部２４０（図１０）において認証情報登録処理（図６）のステップＳ１０〜Ｓ１８が実行されることにより、ユーザＢの認証情報は、スイッチ３０Ｘの認証情報記憶部４１０に格納される。また、認証情報登録処理のステップＳ２０（認証情報送信処理：図７）が実行されることにより、ユーザＢの認証情報と、スイッチ３０Ｘに予め登録されているルート証明書ＲＣ２とを含む更新要求フレームがスイッチ３０に、ユーザＢの認証情報を含む更新要求フレームがスイッチ３０Ｙに、それぞれ送信される。更新要求フレームを受信したスイッチ３０と、スイッチ３０Ｙとにおいて、認証情報更新処理（図８）が実行されることにより、スイッチ３０の認証情報記憶部４１０と、スイッチ３０Ｙの認証情報記憶部４１０とには、認証情報がそれぞれ格納される。すなわち、第２実施例においては、各スイッチは、マスタ、スレーブの区別なく、動作することが可能である。
【００６１】
以上のように、第２実施例によれば、各スイッチは、認証情報送信部２３０と、認証情報登録部２４０と、認証情報更新部２５０とを備えるため、利用者は、全てのスイッチに対して認証情報の登録を行うことが可能となる。また、登録された認証情報は、他のスイッチへ送信され、当該スイッチにおける認証処理に使用されるため、セキュリティの向上と利便性とを両立させたスイッチを提供することができる。
【００６２】
Ｃ．第３実施例：
本発明の第３実施例では、認証情報記憶部４１０と、送信先記憶部４２０とを、スイッチ内に備えるハードディスクに格納する構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
【００６３】
（Ｃ−１）装置構成：
図１２は、第３実施例におけるスイッチ４０の構成を概略的に示す説明図である。図２に示した第１実施例との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ｃを備える点と、ＲＡＭ４００の代わりにＲＡＭ４００ｃを備える点と、さらに、ハードディスク６００と、ＵＳＢインタフェース（ＵＳＢ Ｉ／Ｆ）７００とを備える点のみであり、他の構成や動作は第１実施例と同じである。
【００６４】
ＲＡＭ４００ｃは、認証情報記憶部（図３）と、送信先記憶部（図４）とを含まない。これらの記憶部は、ハードディスク６００内に認証情報記憶部６１０、送信先記憶部６２０として格納されている。認証情報記憶部６１０と、送信先記憶部６２０との内容は、図３、図４で説明した通りである。ＵＳＢインタフェース７００は、スイッチ４０に対して種々の周辺機器を接続するためのインタフェースである。本実施例では、ＵＳＢインタフェース７００を介して、ＵＳＢインタフェースを用いた記憶装置（例えば、ＵＳＢフラッシュメモリや、ＵＳＢ接続されるハードディスク等）が接続される。
【００６５】
ＣＰＵ２００ｃは、図２で説明した認証処理部２２０と、認証情報送信部２３０と、認証情報登録部２４０に加えて、さらに、認証情報出力部２６０を備えている。認証情報登録部２４０の動作は（Ａ−３）認証情報登録処理、認証情報送信部２３０の動作は（Ａ−４）認証情報送信処理、認証情報更新部２５０の動作は（Ａ−５）認証情報更新処理、においてそれぞれ説明したものと同様である。認証情報出力部２６０は、利用者からの要求（例えば、スイッチ４０の設定画面に設けたリンクの押下）をトリガとして、ハードディスク６００に格納されている認証情報記憶部６１０の内容を、ＵＳＢインタフェース７００を介して接続される記憶装置に出力する機能を有する。
【００６６】
以上のように、第３実施例によっても、第１実施例と同様の効果を得ることができる。また、第３実施例によれば、認証情報記憶部６１０はハードディスクドライブ内に設けられるため、認証情報記憶部の記憶容量を大きくすることができる。
【００６７】
さらに、スイッチ４０は、認証情報記憶部６１０の内容を、ＵＳＢインタフェース７００を介して接続される記憶装置に出力する認証情報出力部２６０を備えるため、利用者が登録した認証情報を容易にエクスポートすることができる。この結果、利便性をさらに向上させることができる。
【００６８】
Ｄ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲で種々の構成を採ることができる。例えば、ソフトウェアによって実現した機能は、ハードウェアによって実現するものとしてもよい。そのほか、以下のような変形が可能である。
【００６９】
Ｄ１．変形例１：
上記実施例では、ネットワーク中継装置の構成について説明した。しかし、上記実施例で示したネットワーク中継装置の構成はあくまで一例であり、任意の構成を採用することができる。例えば、その構成要素の一部を省略したり、更なる構成要素を付加したりする変形が可能である。
【００７０】
例えば、上記実施例におけるスイッチは、ＭＡＣアドレスによるフレームの中継を行うレイヤ２スイッチであるものとした。しかし、ＭＡＣアドレスによるフレームの中継に加えてＩＰアドレスによるパケットの中継を行うことも可能な、いわゆるレイヤ３スイッチであるものとしてもよい。また、無線通信インタフェースを備え、無線通信におけるパケットの中継が可能な、いわゆるアクセスポイントであるものとしてもよい。
【００７１】
上記実施例におけるスイッチでは、ＣＰＵは、認証処理部と、認証情報送信部と、認証情報登録部と、認証情報更新部と、認証情報出力部とを含むものとして記載した。また、各処理部において実行される機能について説明した。しかし、これら各処理部の配置および各処理部が果たす機能の内容についてはあくまで例示であり、スイッチの構成に応じて任意に変更することが可能である。
【００７２】
例えば、有線通信部を構成する物理チップの内部に、認証処理部と、認証情報送信部と、認証情報登録部と、認証情報更新部と、認証情報出力部との全ての機能を備えるものとしてもよい。
【００７３】
Ｄ２．変形例２：
上記実施例では、認証情報登録処理（図６）の手順の中で、外部のＮＴＰサーバから時刻を取得した上で、認証情報と関連付けて認証情報記憶部に格納するものとした（ステップＳ１６、Ｓ１７）。しかし、上記実施例における態様はあくまで一例であり、任意の方法を採用することができる。
【００７４】
例えば、時刻の情報は、スイッチの外部から取得すれば足り、ＮＴＰサーバに限らない。具体的には、スイッチが接続されるＰＣから時刻を取得するものとしてもよい。
【００７５】
例えば、スイッチは、タイマ処理等を行うことによって定期的に外部から時刻を取得し、取得した時刻をスイッチの内部時計に反映させた上で、認証情報登録処理のステップＳ１６においては、当該内部時計の時刻を取得することとしてもよい。
【００７６】
Ｄ３．変形例３：
上記実施例では、認証情報登録処理（図６）において、認証情報登録部が認証情報記憶部の更新を行った後、認証情報送信処理（図７）を行うものとした。しかし、認証情報送信処理を行うトリガは、任意に定めることができ、上記の態様に限られない。
【００７７】
例えば、スイッチ内部に予めスケジュールを指定しておき、このスケジュールに従った日時が到来した際に認証情報送信処理を行ってもよい。そうすれば、例えば、スイッチの負荷の少ない時間帯（深夜等）に認証情報送信処理を実行するように設定しておくことで、煩雑時間帯におけるスイッチのＣＰＵへの負荷を抑制しつつ、認証情報の伝播を行うことが可能となる。また、認証情報送信処理を実行するスケジュールを、送信先記憶部内に指定可能な構成とすれば、送信先スイッチごとに、更新要求フレームを送信する時間を可変とすることができるため、利便性が向上する。
【００７８】
例えば、マスタとなるスイッチが定期的に認証情報記憶部の更新時刻をスレーブとなるスイッチへ通知（マルチキャスト）する。スレーブとなるスイッチは、自身の認証情報記憶部の更新時刻と通知された更新時刻を比較し、通知された更新時刻が新しいと判断した場合に、マスタとなるスイッチへ認証情報含んだフレームの送信を要求することとしてもよい。
【００７９】
Ｄ４．変形例４：
上記実施例では、認証情報送信処理（図７）において、送信先記憶部（図４）に指定された内容に従って更新要求フレームを生成し、送信先記憶部に指定された送信先へ送信するものとした。しかし、送信先記憶部は省略可能である。例えば、送信先記憶部を省略した場合、認証情報送信部は、認証情報記憶部の更新を要求する旨のコマンドと、認証情報（ユーザＩＤとパスワードと登録日時の組、および、ルート証明書）を格納したフレームを、自装置が接続されている全てのスイッチに対してマルチキャストすることができる。
【００８０】
Ｄ５．変形例５：
上記実施例では、認証情報更新処理（図８）において、認証情報更新部は、受信した更新要求フレームに含まれるデータのユーザＩＤに関連付けられた登録日時が新しい場合のみ、自装置内の認証情報記憶部を更新することとした。しかし、上記処理はあくまで一例であり、認証情報更新部は、更新要求フレームに含まれる登録日時を用いて、データベースの一貫性保持のために一般的に知られた種々の方法を採用することによる種々の更新方法を採用することができる。
【００８１】
Ｄ６．変形例６：
上記第１実施例では、スレーブとなるスイッチに対しては、利用者は認証情報を登録することはできないものとして記載した。しかし、スイッチの管理者による認証情報の登録／変更／削除等の処理を別途設けることも可能である。
【００８２】
上記第２実施例では、各スイッチは、マスタ−スレーブの区別なく動作することが可能であるものとした。しかし、第２実施例の構成において、スイッチ間にマスタ−スレーブ関係を持たせても良い。具体的には、例えば、スイッチの管理者が手動でマスタ−スレーブの設定を行ってもよいし、ＬＬＤＰ等を用いて行ってもよい。
【符号の説明】
【００８３】
１０…スイッチ
２０,２０Ｘ…スイッチ
３０,３０Ｘ,３０Ｙ…スイッチ
４０…スイッチ
２００,２００ａ,２００ｂ,２００ｃ…ＣＰＵ
２２０…認証処理部
２３０…認証情報送信部
２４０…認証情報登録部
２５０…認証情報更新部
２６０…認証情報出力部
４１０…認証情報記憶部
４２０…送信先記憶部
５００…有線通信部
５１０…中継処理部
６００…ハードディスク
６１０…認証情報記憶部
６２０…送信先記憶部
７００…ＵＳＢインタフェース
【特許請求の範囲】
【請求項１】
ネットワーク中継装置であって、
利用者が前記ネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、
前記認証処理において、前記利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、
前記認証処理において前記利用者が前記ネットワーク中継装置へ接続する権限を保持すると判定された場合に、前記利用者の端末との間のフレームを中継する中継処理部と、
予め定められたトリガの発生に応じて、前記認証情報記憶部に格納された前記認証情報を、前記ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、
を備える、ネットワーク中継装置。
【請求項２】
請求項１記載のネットワーク中継装置であって、さらに、
前記他のネットワーク中継装置から前記認証情報を受信した際に、受信した前記認証情報を前記認証情報記憶部へ格納する認証情報更新部を備える、ネットワーク中継装置。
【請求項３】
請求項２記載のネットワーク中継装置であって、さらに、
前記利用者から前記認証情報を受け付けると共に、受け付けた前記認証情報を前記認証情報記憶部へ格納する認証情報登録部を備え、
前記認証情報登録部は、受け付けた前記認証情報を前記認証情報記憶部へ格納する際に、前記ネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、
前記認証情報送信部は、前記認証情報と、前記登録日時とを併せて前記他のネットワーク中継装置へ送信し、
前記認証情報更新部は、前記認証情報と併せて受信した前記登録日時を用いることによって、前記認証情報記憶部内の一貫性を保持するように、前記認証情報を前記認証情報記憶部へ格納する、ネットワーク中継装置。
【請求項４】
請求項１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記認証情報送信部は、
前記ネットワーク中継装置に接続された他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して前記認証情報を送信する、ネットワーク中継装置。
【請求項５】
請求項１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められたトリガは、前記認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかである、ネットワーク中継装置。
【請求項６】
請求項１ないし５のいずれか一項記載のネットワーク中継装置であって、
前記認証情報は、前記利用者を識別するためのユーザＩＤと、前記利用者によって設定されるパスワードとの組、もしくは、前記利用者の電子証明書の信頼性を判断するための電子証明書の少なくともいずれか一方を含む、ネットワーク中継装置。
【請求項７】
請求項１ないし６のいずれか一項記載のネットワーク中継装置であって、
前記認証情報記憶部は、ハードディスクドライブ内に設けられる、ネットワーク中継装置。
【請求項１】
ネットワーク中継装置であって、
利用者が前記ネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、
前記認証処理において、前記利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、
前記認証処理において前記利用者が前記ネットワーク中継装置へ接続する権限を保持すると判定された場合に、前記利用者の端末との間のフレームを中継する中継処理部と、
予め定められたトリガの発生に応じて、前記認証情報記憶部に格納された前記認証情報を、前記ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、
を備える、ネットワーク中継装置。
【請求項２】
請求項１記載のネットワーク中継装置であって、さらに、
前記他のネットワーク中継装置から前記認証情報を受信した際に、受信した前記認証情報を前記認証情報記憶部へ格納する認証情報更新部を備える、ネットワーク中継装置。
【請求項３】
請求項２記載のネットワーク中継装置であって、さらに、
前記利用者から前記認証情報を受け付けると共に、受け付けた前記認証情報を前記認証情報記憶部へ格納する認証情報登録部を備え、
前記認証情報登録部は、受け付けた前記認証情報を前記認証情報記憶部へ格納する際に、前記ネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、
前記認証情報送信部は、前記認証情報と、前記登録日時とを併せて前記他のネットワーク中継装置へ送信し、
前記認証情報更新部は、前記認証情報と併せて受信した前記登録日時を用いることによって、前記認証情報記憶部内の一貫性を保持するように、前記認証情報を前記認証情報記憶部へ格納する、ネットワーク中継装置。
【請求項４】
請求項１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記認証情報送信部は、
前記ネットワーク中継装置に接続された他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して前記認証情報を送信する、ネットワーク中継装置。
【請求項５】
請求項１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められたトリガは、前記認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかである、ネットワーク中継装置。
【請求項６】
請求項１ないし５のいずれか一項記載のネットワーク中継装置であって、
前記認証情報は、前記利用者を識別するためのユーザＩＤと、前記利用者によって設定されるパスワードとの組、もしくは、前記利用者の電子証明書の信頼性を判断するための電子証明書の少なくともいずれか一方を含む、ネットワーク中継装置。
【請求項７】
請求項１ないし６のいずれか一項記載のネットワーク中継装置であって、
前記認証情報記憶部は、ハードディスクドライブ内に設けられる、ネットワーク中継装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２０１２−６５１４２（Ｐ２０１２−６５１４２Ａ）
【公開日】平成２４年３月２９日（２０１２．３．２９）
【国際特許分類】
【出願番号】特願２０１０−２０７７２４（Ｐ２０１０−２０７７２４）
【出願日】平成２２年９月１６日（２０１０．９．１６）
【出願人】（３９００４０１８７）株式会社バッファロー (378)
【Ｆターム（参考）】
【公開日】平成２４年３月２９日（２０１２．３．２９）
【国際特許分類】
【出願日】平成２２年９月１６日（２０１０．９．１６）
【出願人】（３９００４０１８７）株式会社バッファロー (378)
【Ｆターム（参考）】
[ Back to top ]