ネットワーク接続装置
【課題】ネットワーク接続装置のＩＤ、パスワードのセキュリティ上の管理を容易にし、保守時の盗難や機器廃棄の場合でも装置の情報を読み取られないネットワーク接続装置を提供する。
【解決手段】ネットワーク装置３００であって、複数のポート３０５１〜３０５４と、前記ポート３０５１〜３０５４を介して通信を行う通信制御部と、前記ポート３０５１〜３０５４を介して接続される機器の識別情報、接続状態を記憶する記憶部３０４と、第１の機器からのログイン要求を受け付けた場合、前記記憶部３０４を参照し、特定の識別情報が示す第２の機器が前記ネットワーク装置３００に接続されてるかに基づき、前記ネットワーク装置３００へのログイン可否を判断するプロセッサを有する。
【解決手段】ネットワーク装置３００であって、複数のポート３０５１〜３０５４と、前記ポート３０５１〜３０５４を介して通信を行う通信制御部と、前記ポート３０５１〜３０５４を介して接続される機器の識別情報、接続状態を記憶する記憶部３０４と、第１の機器からのログイン要求を受け付けた場合、前記記憶部３０４を参照し、特定の識別情報が示す第２の機器が前記ネットワーク装置３００に接続されてるかに基づき、前記ネットワーク装置３００へのログイン可否を判断するプロセッサを有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークシステムを構成するスイッチングハブ、ルータなどのネットワーク接続装置に係わり、特にネットワーク接続装置へのログイン制御に関する。
【背景技術】
【０００２】
スイッチングハブやルータなどのネットワーク接続装置の各種設定や障害情報の調査は、
ネットワーク接続装置のシリアルポートに接続したコンソールＰＣからネットワーク接続装置にログインして行われる。ログインの際はログインＩＤとパスワードを入力するが、
複数のネットワーク接続装置を管理する場合には、各ネットワーク接続装置毎にログインＩＤとパスワードを変えることは困難であり同一のＩＤ、パスワードになりやすい。また、ネットワーク接続装置の障害時には保守先に機器を送付するため、セキュリティの観点からはその都度ＩＤとパスワードを変更する必要があるが行われない場合がある。
【０００３】
特に、ネットワーク接続機器に当初から設定されているＩＤとパスワードのままの場合には、盗難にあった場合にネットワーク接続装置内の情報を読み取られる恐れがある。また、ネットワーク接続装置を廃棄する場合にも設定内容の消去を行わないとネットワーク接続装置内の情報を読み取られる恐れがある。
【０００４】
特許文献１にはネットワーク接続装置の保守作業におけるセキュリティ対策としては、保守対象のネットワーク接続装置から設定情報を保守ツールにより吸い上げてその後ネットワーク接続装置から消去する方法が提案されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開2009-265715号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、保守ツールを利用した場合など管理者の作業量が増加し、負担となる可能性がある。また、保守専用のツールの開発により製品自体のコストが増大する恐れがある。また、仮に保守ツールなどによりデータを吸い出したとしてもそのデータそのものを紛失、盗難される恐れがある。
【０００７】
本発明の目的は、ネットワーク接続装置のＩＤ、パスワードのセキュリティ上の管理を容易にし、保守時の盗難や機器廃棄の場合でも装置の情報を読み取られないネットワーク接続装置を提供することにある。
【課題を解決するための手段】
【０００８】
前記の課題の少なくとも一部を達成するために、本発明に係わる装置は、複数のポートと、前記ポートを介して通信を行う通信制御部と、前記ポートを介して接続される機器の識別情報、接続状態を記憶する記憶部と、他の機器からのログイン要求を受け付けた場合、前記記憶部を参照し、特定の識別情報が示す機器の接続状態により前記ネットワーク装置へのログイン可否を判断するプロセッサを有することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、ネットワーク接続装置に接続されたネットワーク機器の情報によりネットワーク接続装置へのログインの許可／不許可を判断することにより、ネットワーク接続装置へのログインを制限することができ、機器内の情報を読み取られることを防止できる。
【図面の簡単な説明】
【００１０】
【図１】ＬＡＮ上の装置の接続関係の一例
【図２】ＬＡＮ上の装置を取り外したイメージの一例
【図３】本発明に係るネットワーク接続装置の構成図の一例
【図４】本発明に係る認証対象設定テーブルの設定の一例
【図５】本発明に係る接続先機器情報テーブルの構成の一例
【図６】本発明に係るネットワーク接続装置の構成図の一例
【図７】本発明に係る接続先機器情報テーブルの構成の一例
【図８】本発明に係る認証対象設定テーブルの設定変更の一例
【図９】本発明に係るネットワーク接続装置の構成図の一例
【図１０】本発明に係る接続先機器情報テーブルの構成の一例
【図１１】本発明に係るログイン制御のフローチャートの一例
【図１２】本発明に係る認証対象設定テーブルの設定変更の一例
【図１３ａ】本発明に係る認証対象設定テーブルの構成の一例
【図１３ｂ】本発明に係る接続先機器情報テーブルの構成の一例
【図１４ａ】本発明に係る認証対象設定テーブルの構成の一例
【図１４ｂ】本発明に係る接続先機器情報テーブルの構成の一例
【図１５ａ】本発明に係る認証対象設定テーブルの構成の一例
【図１５ｂ】本発明に係る接続先機器情報テーブルの構成の一例
【図１６ａ】本発明に係る認証対象設定テーブルの構成の一例
【図１６ｂ】本発明に係る接続先機器情報テーブルの構成の一例
【発明を実施するための形態】
【００１１】
以下、図面を参照して本発明の実施例について説明する。
【実施例１】
【００１２】
図１に企業などのネットワークシステムの一例を示す。ＧＷ１００の上流はＷＡＮなどの他のネットワークに接続されている。ＧＷ１００の下流にはスイッチであるＳＷ１ １０１、ＳＷ２ １０２が接続されている。さらにＳＷ１ １０１の下流にはＳＷ３ １０３〜ＳＷ１０ １１０までのスイッチが接続されている。ＳＷ２ １０２の下流にはＳＷ１１ １１１〜ＳＷ２０ １２０までのスイッチが接続されている。
【００１３】
ネットワーク管理者はこれらのＳＷ１ １０１〜ＳＷ２０ １２０の個別の設定等をする場合ＰＣなどを使ってＳＷにログインして設定を行う。各ＳＷにはログイン用のＩＤとパスワードが設定されていることが前提であるが、大量のＳＷを管理している場合等に、ネットワーク管理者がＳＷのＩＤとパスワードを出荷時のままにしておいたり、全て同じパスワードにしてしまう恐れがある。
【００１４】
仮に図１のＳＷ２０ １２０を出荷時のＩＤとパスワードで管理していた場合、図２に示すようにＳＷ２０ １２０が廃棄や盗難されてネットワークから外れた場合に本来アクセス権のないはずの第三者がＳＷ２０ １２０のＩＤとパスワードを推測してログインできる可能性がある。もし運用時の設定等がＳＷ２０ １２０に残っていると企業内のネットワークの構成が外部に漏れるなど、セキュリティ上好ましくない。
【００１５】
そこで、本実施例では運用しているネットワーク上の隣接装置との接続関係を認証に利用することにより、ネットワークから取り外した装置から情報が漏れることを防止する。
【００１６】
図３は、本発明に係るネットワーク接続装置の構成の一例である。同図において、３００はネットワーク接続装置を示し、ＣＰＵ３０１、ＳＷ制御部３０２、メモリ３０３、不揮発メモリ３０４、入出力ポート３０５１、入出力ポート３０５２、入出力ポート３０５３、入出力ポート３０５４、シリアルポート３０６から構成される。また、不揮発性メモリ３０４内には後述する認証対象設定テーブル３０７、接続先機器情報テーブル３０８が格納されている。尚、入出力ポートの数は本実施例では説明のため４つのみであるが、実際は何個でもよい。
【００１７】
ＳＷ−ＨＵＢ３１０はネットワーク接続装置３００に接続された上位のネットワークへの接続を行うネットワーク機器である。ＰＣ３１１、ＰＣ３１２はネットワーク接続装置３００に接続されたネットワーク機器である。説明のための例としてＰＣにしているがＰＣに限られない。ＳＷ制御部３０２はＣＰＵ３０１からの制御で入出力ポート３０５１〜３０５４の入出力を行う。コンソールＰＣ３０９は、シリアルポート３０６に接続されネットワーク接続装置３００へログインしてネットワーク接続装置３００の各種設定を行う。
【００１８】
図４は、図３にも出てきた認証対象設定テーブル３０７の一例である。認証対象設定テーブル３０７はどの隣接装置を用いて認証を行うかを設定するテーブルである。以下図４のテーブルを認証対象設定テーブル４００という。認証対象設定テーブル４００は、グループ番号４００ａ、ＭＡＣアドレス４００ｂ、接続ポート４００ｃを有する。グループ番号４００ａは認証に利用する機器をグループに纏めるために利用する。ＭＡＣアドレス４００ｂは認証に利用する機器のＭＡＣアドレスである。接続ポート４００ｃは認証に利用する機器が接続される接続ポートを設定するが、接続ポートを認証の条件にしない場合は利用しなくてもよい。また接続ポート４００ｃ自体なくてもよい。
【００１９】
図４の例だと、レコード４０１とレコード４０２は同じグループ番号４００ａ「１」なので同じ認証グループである。よって、ＭＡＣアドレス４００ｂが「ＡＡＡ」のものと「ＢＢＢ」のものが両方接続されている場合ログイン可能という意味である。接続ポート４００ｃは「ａｎｙ」となっており今回の設定では特に利用していない。すなわちどの接続ポートに接続されていてもよいということである。接続ポート４００ｃを利用する設定は後述する。
【００２０】
次に、図５に接続先機器情報テーブル３０８の一例を示す。接続先機器情報テーブル３０８はネットワーク接続装置が３００の接続状態を表すテーブルである。認証対象設定テーブル３０７と併せて利用することにより隣接機器を用いた認証処理を行うことができる。以下図５のテーブルを接続先機器情報テーブル５００という。接続先機器情報テーブル５００は図３のネットワーク接続装置３００の接続状態を表したものである。また、設定として図４の認証対象設定テーブル４００を利用しているものとする。
【００２１】
接続先機器情報テーブル５００は、グループ番号５００ａ、ＭＡＣアドレス５００ｂ、接続ポート５００ｃ、接続時間５００ｄ、接続状況５００ｅ、比較対象５００ｆ、判定値５００ｇから構成される。
【００２２】
グループ番号５００ａは当該レコードのＭＡＣアドレスが認証対象設定テーブル３０７におけるいずれの認証グループに属しているかを示す。比較対象５００ｆが「対象」の場合そのレコードのＭＡＣアドレスは認証の比較対象であることを示す。「非対象」の場合はそのレコードのＭＡＣアドレスは認証の比較対象ではないことを示す。認証対象設定テーブル３０７に登録されていないともいいかえられる。判定値５００ｇは認証に必要な接続機器の数である。図４のグループ番号４００ａが「１」のＭＡＣアドレスは２つある。よって図５のグループ番号５００ａが「１」のレコードの判定値５００ｇは「２」となる。
【００２３】
ネットワーク接続装置３００の接続ポート３０５１〜接続ポート１０５４間の通信は、ＳＷ制御部３０２によりポートに接続されたネットワーク機器のＭＡＣアドレスに基づいて行われる。
【００２４】
本実施例では、ＳＷ制御部３０２が持つ接続されたネットワーク機の情報をＣＰＵ３０１により収集し、不揮発メモリ４０４内に接続先機器情報テーブル３０８を作成する。ここで、ＳＷ−ＨＵＢ３１０のＭＡＣアドレスを「ＡＡＡ」とし接続ポートが３０５１、ＰＣ３１１のＭＡＣアドレスを「ＢＢＢ」とし接続ポートが３０５２、ＰＣ３１２のＭＡＣアドレスを「ＣＣＣ」とし接続ポートが３０５３とする。
【００２５】
接続先機器情報テーブル５００の５００ｂにはＳＷ−ＨＵＢ３１０およびＰＣ３１１、ＰＣ３１２のＭＡＣアドレスが記録され、５００ｃには接続ポートが記録される。また、５００ｄには接続されてからの時間が、５００ｅには現在の接続状況が記録される。これらの情報はＣＰＵ５０１により定期的に収集記録される。例えば、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）などにより取得したＭＡＣアドレスを記録する。グループ番号５００ａ、比較対象５００ｆ、判定値５００ｇはレコードの登録時に図４の認証対象設定テーブル４００を参照して格納される。
【００２６】
図４，５の例では、認証対象設定テーブル４００グループ番号「１」にＭＡＣアドレス「ＡＡＡ」「ＢＢＢ」が設定されている。また、接続先機器情報テーブル５００では認証に用いられるグループ番号「１」に含まれるＭＡＣアドレス「ＡＡＡ」「ＢＢＢ」を持つ機器が両方とも接続されているため、ネットワーク接続装置３００はログイン処理が可能となっている。
【００２７】
尚、接続先機器情報テーブル５００のグループ番号５００ａ、比較対象５００ｆ、判定値５００ｇは認証対象設定テーブル４００を参照すればよいため無くても良い。含めておくと認証の判断の際に毎回認証対象設定テーブル４００を参照しなくてすむ。
【００２８】
また、図４の認証対象設定テーブル４００用いることなく図５の接続先機器情報テーブル５００のみで設定情報と状態情報を管理してもよい。
【００２９】
その場合、ネットワーク管理者は認証に必要な機器の接続が完了した時点でコンソールＰＣ３０９から接続先機器情報テーブル５００のグループ番号５００ａおよび比較対象５００ｆ、判定値５００ｇの情報を設定し、ネットワーク接続装置３００のログイン動作をログイン制御状態に設定する。例えばＳＷ−ＨＵＢ１０７のみを認証に利用する場合、ＳＷ−ＨＵＢ１０７のＭＡＣアドレス「ＡＡＡ」が比較対象となり、グループ番号５００ａを例えば「１」に設定し、比較対象５００ｆに「対象」と設定し、ＳＷ−ＨＵＢ１０７の１台のみなので判定値を１に設定する。ＭＡＣアドレス５００ｂ、接続ポート５００ｃ、接続時間５００ｄ、接続状況５００ｅはＡＲＰなどにより自動的に設定される。
【００３０】
図４の認証対象設定テーブル４００への設定はネットワークへ接続前でも後でも可能である。図５の接続先機器情報テーブル５００のみで設定情報と状態情報を管理する場合は、ネットワークに接続して認証に必要な機器が接続されて接続先機器情報テーブル５００に接続された機器のＭＡＣアドレスが設定された後に可能となる。
【００３１】
次に、図６に本発明に係るネットワーク接続装置の他の接続状態を示す。図６によると、ＳＷ−ＨＵＢ３１０のみがネットワーク接続装置３００に接続されている。認証対象設定テーブル４００は図４のままである。
【００３２】
この場合接続先機器情報テーブルは図７のようになる。以下図７のテーブルを接続先機器情報テーブル７００とよぶ。接続先機器情報テーブル７００を参照すると、レコード７０１をみると比較対象であるＭＡＣアドレス「ＡＡＡ」のＳＷ−ＨＵＢ３１０は接続されているがそれ以外の機器は一切接続されていない。よって判定値「２」個分の認証対象の接続が無いためログイン処理できないことになる。
【００３３】
次に認証グループを複数作った場合の説明をする。図８のテーブルは認証対象設定テーブルの一例であり、以下認証対象設定テーブル８００と呼ぶ。認証対象設定テーブル８００ではグループ番号が「１」「２」の二つ存在する。この場合、いずれかのグループの条件が満たされていればネットワーク接続装置３００にログイン処理できる。すなわち、グループ番号「１」の条件であるＭＡＣアドレス「ＡＡＡ」「ＢＢＢ」の機器がネットワーク接続装置３００に接続されているか、又は、グループ番号「２」の条件であるＭＡＣアドレス「ＣＣＣ」の機器が接続されていればログイン処理が可能となる。
【００３４】
このように複数のグループを設定することにより柔軟なログイン認証が可能となる。例えば、一つのグループで特定の隣接するネットワーク機器との接続関係を設定しておき、もう一つのグループでネットワーク管理者の管理用のＰＣのＭＡＣアドレスを設定する等が可能である。図８のレコード８０１のＭＡＣアドレス「ＣＣＣ」が管理用のＰＣのＭＡＣアドレスとした場合、例えネットワーク接続装置３００やその隣接機器が修理等の理由でネットワークから外された場合でも管理者だけは管理用のＰＣでログインすることができる。
【００３５】
図９を用いて上記例を説明する。ネットワーク接続装置３００にはＳＷ−ＨＵＢ３１０が接続ポート３０５１に接続され、管理者のコンソールＰＣ３０９が接続ポート３０５３に接続されている。
【００３６】
尚、Ｗ−ＨＵＢ３１０のＭＡＣアドレスは「ＡＡＡ」で、コンソールＰＣ３０９のＭＡＣアドレスは「ＣＣＣ」とする。
【００３７】
図１０に図９の接続状態を表す接続先機器情報テーブルを示す。以下接続先機器情報テーブル９００という。接続先機器情報テーブル９００を参照すると、グループ番号「１」のＭＡＣアドレス「ＡＡＡ」が接続されているが判定値「２」を満たさないので認証条件を満たさない。
【００３８】
一方で、グループ番号「２」のＭＡＣアドレス「ＣＣＣ」が接続されており判定値「１」を満たすので認証条件を満たす。結果としてネットワーク接続装置３００にログイン処理が可能となる。
【００３９】
図９、図１０からわかるようにコンソールＰＣ３０９が接続ポートで接続されていれば認証処理の条件を満たすためネットワーク管理者はコンソールＰＣ３０９を持ち歩けば常にネットワーク接続装置３００にログイン処理が可能となる。しかし、第三者がネットワーク接続装置３００をネットワークからはずした状態で利用しようとしてもコンソールＰＣ３０９自体を入手しない限りはログインできない。
【００４０】
以上のように、認証グループを複数設定することによりセキュリティと運用時の柔軟性を両立させることが可能となる。
【００４１】
次に図１１を用いてネットワーク接続装置３００の認証フローを説明する。ネットワーク接続装置３００の初期出荷状態ではログイン制御は通常状態であり、コンソールからのIDとパスワードの入力でログインできる。隣接接続機器との接続状態を用いた認証を行う場合はログインした状態で「ログイン制御モード」に設定する必要がある。「ログイン制御モード」に対して従来どおり隣接接続機器に関係なくコンソールからのIDとパスワードの入力でログインできる場合を「通常モード」という。
【００４２】
以下、図１１のフローチャートの処理を説明する。ネットワーク接続装置３００にログインする場合に、Ｓ１１００にて機器がログイン制御状態か判断し、ログイン制御状態でなければＳ１１０３でＬｏｇｉｎ処理を実行する。Ｌｏｇｉｎ処理とは通常のコンソールからのIDとパスワードの入力でログインする処理である。代わりにハードウェア認証やＩＤとパスワードの入力をなくしても良い。
【００４３】
ログイン制御状態であれば、Ｓ１１０１で比較対象として設定されているＭＡＣアドレスが接続状態にあるか接続先機器情報テーブル３０８により比較する。Ｓ１１０２において比較したＭＡＣアドレス数が判定値以上か判断する。判定は同一グループ番号のＭＡＣアドレス数とグループ番号の判定値により、どれか一つのグループ番号のＭＡＣアドレス数がそのグループ番号の判定値より多い場合には、一定数以上一致と判断する。一定数以上一致した場合には、Ｓ１１０３のＬｏｇｉｎ処理が実行される。Ｓ１１０４でログインが成功すればネットワーク接続装置３００を操作することができる。接続されているＭＡＣアドレス数が判定値以下の場合や、ＩＤ、パスワードが一致せずＬｏｇｉｎ処理に失敗した場合にはＳ１１００の処理にもどる。
【００４４】
Ｓ１１０２またはＳ１１０４の処理でＬｏｇｉｎ処理に失敗した場合にはＳ１１０５のようにＬｏｇｉｎに失敗した旨をユーザの操作する装置の画面に表示する。必要なければ表示しなくてもよい。
【００４５】
以上のように、本発明では、Ｓ１１０２のログイン制御処理の条件を満たさない限り、通常のＳ１１０３の通常のログイン処理をさせないことにより情報流出の危険を減らすことができる。Ｓ１１０２のステップがあることにより仮に盗難にあって、ＩＤとパスワードを推測されてもログインされる恐れがなくなる。
【００４６】
次に、ネットワーク接続装置３００を異なるネットワークに移す場合の処理について説明する。機器の移動や、保守のためにネットワーク管理装置を通常のネットワーク環境と異なる状況で動作させる場合には、異なる環境の接続機器のＭＡＣアドレスを登録することで通常のログイン処理が実行できる。図１２に認証対象設定テーブルの変更例を示す。
【実施例２】
【００４７】
別の実施例として、認証条件のＭＡＣアドレスを隣接接続機器の接続時間によって決定する方式について説明する。
【００４８】
図１３ａに認証対象設定テーブルの例を示す。以下認証対象設定テーブル１３００という。認証対象設定テーブル１３００では、グループ番号「１」ではＭＡＣアドレスが「ａｎｙ」で、接続時間「１」となっている。これは接続時間が最も長い機器のＭＡＣアドレスを設定するという意味である。同様にグループ番号「２」ではＭＡＣアドレスが「ａｎｙ」で、接続時間「２」となっている。これは接続時間が２番目に長い機器のＭＡＣアドレスを設定するという意味である。
【００４９】
図１３ｂの接続先機器情報テーブル１３０１の例で説明すると、接続時間１３０２を参照し、接続時間が最も長い機器のＭＡＣアドレス「ＡＡＡ」がグループ「１」に属し、接続時間が２番目に長い機器のＭＡＣアドレス「ＢＢＢ」がグループ「２」に属している。この場合だとＭＡＣアドレス「ＡＡＡ」か「ＢＢＢ」のどちらかの機器が接続されている限りはネットワーク接続装置３００にログイン処理可能である。
【００５０】
本実施例の方式により長時間繋がれる可能性の高い上流装置などを自動的に認証対象とすることができる。
【実施例３】
【００５１】
別の実施例として、認証条件をＭＡＣアドレスと接続ポートの組み合わせで決定する方式を説明する。
【００５２】
図１４ａに認証対象設定テーブルの例を示す。以下認証対象設定テーブル１４００という。に認証対象設定テーブル１４００では各グループごとにＭＡＣアドレスと接続ポートの組み合わせを設定できる。
【００５３】
図１４ｂの接続先機器情報テーブル１４０１の例で説明すると、ＭＡＣアドレスと接続ポートの組み合わせ１４０２を参照し、各グループに設定された認証条件を満たすかを確認する。
【実施例４】
【００５４】
別の実施例として、認証条件をＭＡＣアドレスとＩＰアドレスの組み合わせで決定する方式を説明する。
【００５５】
図１５ａに認証対象設定テーブルの例を示す。以下認証対象設定テーブル１５００という。に認証対象設定テーブル１５００では各グループごとにＭＡＣアドレスとＩＰアドレスの組み合わせを設定できる。
【００５６】
図１５ｂの接続先機器情報テーブル１５０１の例で説明すると、ＭＡＣアドレス１５０２とＩＰアドレス１５０３の組み合わせを参照し、各グループに設定された認証条件を満たすかを確認する。
【実施例５】
【００５７】
別の実施例として、認証条件をＭＡＣアドレスと接続ポートとＩＰアドレスの組み合わせで決定する方式を説明する。
【００５８】
図１６ａに認証対象設定テーブルの例を示す。以下認証対象設定テーブル１６００という。に認証対象設定テーブル１６００では各グループごとにＭＡＣアドレスと接続ポートとＩＰアドレスの組み合わせを設定できる。
【００５９】
図１６ｂの接続先機器情報テーブル１６０１の例で説明すると、ＭＡＣアドレスと接続ポートとＩＰアドレスの組み合わせ１６０２を参照し、各グループに設定された認証条件を満たすかを確認する。
【実施例６】
【００６０】
別の実施例として、認証対象設定テーブルと接続先機器情報テーブルを外部の認証用のサーバに保有させても良い。この場合ネットワーク接続装置３００はログイン要求があると認証用のサーバに認証してよいか問合せ、認証用のサーバは認証対象設定テーブルと接続先機器情報テーブルを参照して認証可否を返信する。
【００６１】
また、認証用のサーバに認証対象設定テーブルのみを持たせ、接続先機器情報テーブルはネットワーク接続装置３００に持たしても良い。この場合ネットワーク接続装置３００はログイン要求があると認証用のサーバに認証対象設定テーブルの内容を問合せ、認証用のサーバは認証対象設定テーブルの内容を返信する。
【００６２】
以上、本願発明を用いることにより、特別な機器を用意することなくネットワーク接続装置のセキュリティを向上させることが可能となる。また、本発明は実施例に記載された形態に限られるものではなく、発明の要旨を逸脱しない範囲で実施可能である。例えば各実施例で利用しないテーブルの属性がある場合はそれを取り除いても良いし、あっても良い。
【００６３】
また、各実施例でのテーブルの設定例として実施例に記載したレイアウト以外のものを用いても良い。リレーショナルデータベース形式でなくとも、ＸＭＬやテキスト、バイナリなどいかなる形式で保有しても良い。
【００６４】
また、コンソールＰＣ等に表示する認証対象設定テーブルや接続先機器情報テーブルの設定を行う画面上の設定の一部または全ての情報を伏字や別の文字への置き換えをしてもよい。これにより、例えば設定したＭＡＣアドレスなどの一部を伏字にして画面に表示することにより画面の盗み見にも対応することができる。
【符号の説明】
【００６５】
３００：ネットワーク接続装置
３０１：ＣＰＵ
３０２：ＳＷ制御部
３０３：メモリ
３０４：不揮発メモリ
３０５（３０５１，３０５２，３０５３，３０５４）：入出力ポート
３０６：シリアルポート
３０７：認証対象設定テーブル
３０８：接続先機器情報テーブル
３０９：コンソールＰＣ
３１０：ＳＷ−ＨＵＢ
３１１：ＰＣ
３１２：ＰＣ
【技術分野】
【０００１】
本発明は、ネットワークシステムを構成するスイッチングハブ、ルータなどのネットワーク接続装置に係わり、特にネットワーク接続装置へのログイン制御に関する。
【背景技術】
【０００２】
スイッチングハブやルータなどのネットワーク接続装置の各種設定や障害情報の調査は、
ネットワーク接続装置のシリアルポートに接続したコンソールＰＣからネットワーク接続装置にログインして行われる。ログインの際はログインＩＤとパスワードを入力するが、
複数のネットワーク接続装置を管理する場合には、各ネットワーク接続装置毎にログインＩＤとパスワードを変えることは困難であり同一のＩＤ、パスワードになりやすい。また、ネットワーク接続装置の障害時には保守先に機器を送付するため、セキュリティの観点からはその都度ＩＤとパスワードを変更する必要があるが行われない場合がある。
【０００３】
特に、ネットワーク接続機器に当初から設定されているＩＤとパスワードのままの場合には、盗難にあった場合にネットワーク接続装置内の情報を読み取られる恐れがある。また、ネットワーク接続装置を廃棄する場合にも設定内容の消去を行わないとネットワーク接続装置内の情報を読み取られる恐れがある。
【０００４】
特許文献１にはネットワーク接続装置の保守作業におけるセキュリティ対策としては、保守対象のネットワーク接続装置から設定情報を保守ツールにより吸い上げてその後ネットワーク接続装置から消去する方法が提案されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開2009-265715号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、保守ツールを利用した場合など管理者の作業量が増加し、負担となる可能性がある。また、保守専用のツールの開発により製品自体のコストが増大する恐れがある。また、仮に保守ツールなどによりデータを吸い出したとしてもそのデータそのものを紛失、盗難される恐れがある。
【０００７】
本発明の目的は、ネットワーク接続装置のＩＤ、パスワードのセキュリティ上の管理を容易にし、保守時の盗難や機器廃棄の場合でも装置の情報を読み取られないネットワーク接続装置を提供することにある。
【課題を解決するための手段】
【０００８】
前記の課題の少なくとも一部を達成するために、本発明に係わる装置は、複数のポートと、前記ポートを介して通信を行う通信制御部と、前記ポートを介して接続される機器の識別情報、接続状態を記憶する記憶部と、他の機器からのログイン要求を受け付けた場合、前記記憶部を参照し、特定の識別情報が示す機器の接続状態により前記ネットワーク装置へのログイン可否を判断するプロセッサを有することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、ネットワーク接続装置に接続されたネットワーク機器の情報によりネットワーク接続装置へのログインの許可／不許可を判断することにより、ネットワーク接続装置へのログインを制限することができ、機器内の情報を読み取られることを防止できる。
【図面の簡単な説明】
【００１０】
【図１】ＬＡＮ上の装置の接続関係の一例
【図２】ＬＡＮ上の装置を取り外したイメージの一例
【図３】本発明に係るネットワーク接続装置の構成図の一例
【図４】本発明に係る認証対象設定テーブルの設定の一例
【図５】本発明に係る接続先機器情報テーブルの構成の一例
【図６】本発明に係るネットワーク接続装置の構成図の一例
【図７】本発明に係る接続先機器情報テーブルの構成の一例
【図８】本発明に係る認証対象設定テーブルの設定変更の一例
【図９】本発明に係るネットワーク接続装置の構成図の一例
【図１０】本発明に係る接続先機器情報テーブルの構成の一例
【図１１】本発明に係るログイン制御のフローチャートの一例
【図１２】本発明に係る認証対象設定テーブルの設定変更の一例
【図１３ａ】本発明に係る認証対象設定テーブルの構成の一例
【図１３ｂ】本発明に係る接続先機器情報テーブルの構成の一例
【図１４ａ】本発明に係る認証対象設定テーブルの構成の一例
【図１４ｂ】本発明に係る接続先機器情報テーブルの構成の一例
【図１５ａ】本発明に係る認証対象設定テーブルの構成の一例
【図１５ｂ】本発明に係る接続先機器情報テーブルの構成の一例
【図１６ａ】本発明に係る認証対象設定テーブルの構成の一例
【図１６ｂ】本発明に係る接続先機器情報テーブルの構成の一例
【発明を実施するための形態】
【００１１】
以下、図面を参照して本発明の実施例について説明する。
【実施例１】
【００１２】
図１に企業などのネットワークシステムの一例を示す。ＧＷ１００の上流はＷＡＮなどの他のネットワークに接続されている。ＧＷ１００の下流にはスイッチであるＳＷ１ １０１、ＳＷ２ １０２が接続されている。さらにＳＷ１ １０１の下流にはＳＷ３ １０３〜ＳＷ１０ １１０までのスイッチが接続されている。ＳＷ２ １０２の下流にはＳＷ１１ １１１〜ＳＷ２０ １２０までのスイッチが接続されている。
【００１３】
ネットワーク管理者はこれらのＳＷ１ １０１〜ＳＷ２０ １２０の個別の設定等をする場合ＰＣなどを使ってＳＷにログインして設定を行う。各ＳＷにはログイン用のＩＤとパスワードが設定されていることが前提であるが、大量のＳＷを管理している場合等に、ネットワーク管理者がＳＷのＩＤとパスワードを出荷時のままにしておいたり、全て同じパスワードにしてしまう恐れがある。
【００１４】
仮に図１のＳＷ２０ １２０を出荷時のＩＤとパスワードで管理していた場合、図２に示すようにＳＷ２０ １２０が廃棄や盗難されてネットワークから外れた場合に本来アクセス権のないはずの第三者がＳＷ２０ １２０のＩＤとパスワードを推測してログインできる可能性がある。もし運用時の設定等がＳＷ２０ １２０に残っていると企業内のネットワークの構成が外部に漏れるなど、セキュリティ上好ましくない。
【００１５】
そこで、本実施例では運用しているネットワーク上の隣接装置との接続関係を認証に利用することにより、ネットワークから取り外した装置から情報が漏れることを防止する。
【００１６】
図３は、本発明に係るネットワーク接続装置の構成の一例である。同図において、３００はネットワーク接続装置を示し、ＣＰＵ３０１、ＳＷ制御部３０２、メモリ３０３、不揮発メモリ３０４、入出力ポート３０５１、入出力ポート３０５２、入出力ポート３０５３、入出力ポート３０５４、シリアルポート３０６から構成される。また、不揮発性メモリ３０４内には後述する認証対象設定テーブル３０７、接続先機器情報テーブル３０８が格納されている。尚、入出力ポートの数は本実施例では説明のため４つのみであるが、実際は何個でもよい。
【００１７】
ＳＷ−ＨＵＢ３１０はネットワーク接続装置３００に接続された上位のネットワークへの接続を行うネットワーク機器である。ＰＣ３１１、ＰＣ３１２はネットワーク接続装置３００に接続されたネットワーク機器である。説明のための例としてＰＣにしているがＰＣに限られない。ＳＷ制御部３０２はＣＰＵ３０１からの制御で入出力ポート３０５１〜３０５４の入出力を行う。コンソールＰＣ３０９は、シリアルポート３０６に接続されネットワーク接続装置３００へログインしてネットワーク接続装置３００の各種設定を行う。
【００１８】
図４は、図３にも出てきた認証対象設定テーブル３０７の一例である。認証対象設定テーブル３０７はどの隣接装置を用いて認証を行うかを設定するテーブルである。以下図４のテーブルを認証対象設定テーブル４００という。認証対象設定テーブル４００は、グループ番号４００ａ、ＭＡＣアドレス４００ｂ、接続ポート４００ｃを有する。グループ番号４００ａは認証に利用する機器をグループに纏めるために利用する。ＭＡＣアドレス４００ｂは認証に利用する機器のＭＡＣアドレスである。接続ポート４００ｃは認証に利用する機器が接続される接続ポートを設定するが、接続ポートを認証の条件にしない場合は利用しなくてもよい。また接続ポート４００ｃ自体なくてもよい。
【００１９】
図４の例だと、レコード４０１とレコード４０２は同じグループ番号４００ａ「１」なので同じ認証グループである。よって、ＭＡＣアドレス４００ｂが「ＡＡＡ」のものと「ＢＢＢ」のものが両方接続されている場合ログイン可能という意味である。接続ポート４００ｃは「ａｎｙ」となっており今回の設定では特に利用していない。すなわちどの接続ポートに接続されていてもよいということである。接続ポート４００ｃを利用する設定は後述する。
【００２０】
次に、図５に接続先機器情報テーブル３０８の一例を示す。接続先機器情報テーブル３０８はネットワーク接続装置が３００の接続状態を表すテーブルである。認証対象設定テーブル３０７と併せて利用することにより隣接機器を用いた認証処理を行うことができる。以下図５のテーブルを接続先機器情報テーブル５００という。接続先機器情報テーブル５００は図３のネットワーク接続装置３００の接続状態を表したものである。また、設定として図４の認証対象設定テーブル４００を利用しているものとする。
【００２１】
接続先機器情報テーブル５００は、グループ番号５００ａ、ＭＡＣアドレス５００ｂ、接続ポート５００ｃ、接続時間５００ｄ、接続状況５００ｅ、比較対象５００ｆ、判定値５００ｇから構成される。
【００２２】
グループ番号５００ａは当該レコードのＭＡＣアドレスが認証対象設定テーブル３０７におけるいずれの認証グループに属しているかを示す。比較対象５００ｆが「対象」の場合そのレコードのＭＡＣアドレスは認証の比較対象であることを示す。「非対象」の場合はそのレコードのＭＡＣアドレスは認証の比較対象ではないことを示す。認証対象設定テーブル３０７に登録されていないともいいかえられる。判定値５００ｇは認証に必要な接続機器の数である。図４のグループ番号４００ａが「１」のＭＡＣアドレスは２つある。よって図５のグループ番号５００ａが「１」のレコードの判定値５００ｇは「２」となる。
【００２３】
ネットワーク接続装置３００の接続ポート３０５１〜接続ポート１０５４間の通信は、ＳＷ制御部３０２によりポートに接続されたネットワーク機器のＭＡＣアドレスに基づいて行われる。
【００２４】
本実施例では、ＳＷ制御部３０２が持つ接続されたネットワーク機の情報をＣＰＵ３０１により収集し、不揮発メモリ４０４内に接続先機器情報テーブル３０８を作成する。ここで、ＳＷ−ＨＵＢ３１０のＭＡＣアドレスを「ＡＡＡ」とし接続ポートが３０５１、ＰＣ３１１のＭＡＣアドレスを「ＢＢＢ」とし接続ポートが３０５２、ＰＣ３１２のＭＡＣアドレスを「ＣＣＣ」とし接続ポートが３０５３とする。
【００２５】
接続先機器情報テーブル５００の５００ｂにはＳＷ−ＨＵＢ３１０およびＰＣ３１１、ＰＣ３１２のＭＡＣアドレスが記録され、５００ｃには接続ポートが記録される。また、５００ｄには接続されてからの時間が、５００ｅには現在の接続状況が記録される。これらの情報はＣＰＵ５０１により定期的に収集記録される。例えば、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）などにより取得したＭＡＣアドレスを記録する。グループ番号５００ａ、比較対象５００ｆ、判定値５００ｇはレコードの登録時に図４の認証対象設定テーブル４００を参照して格納される。
【００２６】
図４，５の例では、認証対象設定テーブル４００グループ番号「１」にＭＡＣアドレス「ＡＡＡ」「ＢＢＢ」が設定されている。また、接続先機器情報テーブル５００では認証に用いられるグループ番号「１」に含まれるＭＡＣアドレス「ＡＡＡ」「ＢＢＢ」を持つ機器が両方とも接続されているため、ネットワーク接続装置３００はログイン処理が可能となっている。
【００２７】
尚、接続先機器情報テーブル５００のグループ番号５００ａ、比較対象５００ｆ、判定値５００ｇは認証対象設定テーブル４００を参照すればよいため無くても良い。含めておくと認証の判断の際に毎回認証対象設定テーブル４００を参照しなくてすむ。
【００２８】
また、図４の認証対象設定テーブル４００用いることなく図５の接続先機器情報テーブル５００のみで設定情報と状態情報を管理してもよい。
【００２９】
その場合、ネットワーク管理者は認証に必要な機器の接続が完了した時点でコンソールＰＣ３０９から接続先機器情報テーブル５００のグループ番号５００ａおよび比較対象５００ｆ、判定値５００ｇの情報を設定し、ネットワーク接続装置３００のログイン動作をログイン制御状態に設定する。例えばＳＷ−ＨＵＢ１０７のみを認証に利用する場合、ＳＷ−ＨＵＢ１０７のＭＡＣアドレス「ＡＡＡ」が比較対象となり、グループ番号５００ａを例えば「１」に設定し、比較対象５００ｆに「対象」と設定し、ＳＷ−ＨＵＢ１０７の１台のみなので判定値を１に設定する。ＭＡＣアドレス５００ｂ、接続ポート５００ｃ、接続時間５００ｄ、接続状況５００ｅはＡＲＰなどにより自動的に設定される。
【００３０】
図４の認証対象設定テーブル４００への設定はネットワークへ接続前でも後でも可能である。図５の接続先機器情報テーブル５００のみで設定情報と状態情報を管理する場合は、ネットワークに接続して認証に必要な機器が接続されて接続先機器情報テーブル５００に接続された機器のＭＡＣアドレスが設定された後に可能となる。
【００３１】
次に、図６に本発明に係るネットワーク接続装置の他の接続状態を示す。図６によると、ＳＷ−ＨＵＢ３１０のみがネットワーク接続装置３００に接続されている。認証対象設定テーブル４００は図４のままである。
【００３２】
この場合接続先機器情報テーブルは図７のようになる。以下図７のテーブルを接続先機器情報テーブル７００とよぶ。接続先機器情報テーブル７００を参照すると、レコード７０１をみると比較対象であるＭＡＣアドレス「ＡＡＡ」のＳＷ−ＨＵＢ３１０は接続されているがそれ以外の機器は一切接続されていない。よって判定値「２」個分の認証対象の接続が無いためログイン処理できないことになる。
【００３３】
次に認証グループを複数作った場合の説明をする。図８のテーブルは認証対象設定テーブルの一例であり、以下認証対象設定テーブル８００と呼ぶ。認証対象設定テーブル８００ではグループ番号が「１」「２」の二つ存在する。この場合、いずれかのグループの条件が満たされていればネットワーク接続装置３００にログイン処理できる。すなわち、グループ番号「１」の条件であるＭＡＣアドレス「ＡＡＡ」「ＢＢＢ」の機器がネットワーク接続装置３００に接続されているか、又は、グループ番号「２」の条件であるＭＡＣアドレス「ＣＣＣ」の機器が接続されていればログイン処理が可能となる。
【００３４】
このように複数のグループを設定することにより柔軟なログイン認証が可能となる。例えば、一つのグループで特定の隣接するネットワーク機器との接続関係を設定しておき、もう一つのグループでネットワーク管理者の管理用のＰＣのＭＡＣアドレスを設定する等が可能である。図８のレコード８０１のＭＡＣアドレス「ＣＣＣ」が管理用のＰＣのＭＡＣアドレスとした場合、例えネットワーク接続装置３００やその隣接機器が修理等の理由でネットワークから外された場合でも管理者だけは管理用のＰＣでログインすることができる。
【００３５】
図９を用いて上記例を説明する。ネットワーク接続装置３００にはＳＷ−ＨＵＢ３１０が接続ポート３０５１に接続され、管理者のコンソールＰＣ３０９が接続ポート３０５３に接続されている。
【００３６】
尚、Ｗ−ＨＵＢ３１０のＭＡＣアドレスは「ＡＡＡ」で、コンソールＰＣ３０９のＭＡＣアドレスは「ＣＣＣ」とする。
【００３７】
図１０に図９の接続状態を表す接続先機器情報テーブルを示す。以下接続先機器情報テーブル９００という。接続先機器情報テーブル９００を参照すると、グループ番号「１」のＭＡＣアドレス「ＡＡＡ」が接続されているが判定値「２」を満たさないので認証条件を満たさない。
【００３８】
一方で、グループ番号「２」のＭＡＣアドレス「ＣＣＣ」が接続されており判定値「１」を満たすので認証条件を満たす。結果としてネットワーク接続装置３００にログイン処理が可能となる。
【００３９】
図９、図１０からわかるようにコンソールＰＣ３０９が接続ポートで接続されていれば認証処理の条件を満たすためネットワーク管理者はコンソールＰＣ３０９を持ち歩けば常にネットワーク接続装置３００にログイン処理が可能となる。しかし、第三者がネットワーク接続装置３００をネットワークからはずした状態で利用しようとしてもコンソールＰＣ３０９自体を入手しない限りはログインできない。
【００４０】
以上のように、認証グループを複数設定することによりセキュリティと運用時の柔軟性を両立させることが可能となる。
【００４１】
次に図１１を用いてネットワーク接続装置３００の認証フローを説明する。ネットワーク接続装置３００の初期出荷状態ではログイン制御は通常状態であり、コンソールからのIDとパスワードの入力でログインできる。隣接接続機器との接続状態を用いた認証を行う場合はログインした状態で「ログイン制御モード」に設定する必要がある。「ログイン制御モード」に対して従来どおり隣接接続機器に関係なくコンソールからのIDとパスワードの入力でログインできる場合を「通常モード」という。
【００４２】
以下、図１１のフローチャートの処理を説明する。ネットワーク接続装置３００にログインする場合に、Ｓ１１００にて機器がログイン制御状態か判断し、ログイン制御状態でなければＳ１１０３でＬｏｇｉｎ処理を実行する。Ｌｏｇｉｎ処理とは通常のコンソールからのIDとパスワードの入力でログインする処理である。代わりにハードウェア認証やＩＤとパスワードの入力をなくしても良い。
【００４３】
ログイン制御状態であれば、Ｓ１１０１で比較対象として設定されているＭＡＣアドレスが接続状態にあるか接続先機器情報テーブル３０８により比較する。Ｓ１１０２において比較したＭＡＣアドレス数が判定値以上か判断する。判定は同一グループ番号のＭＡＣアドレス数とグループ番号の判定値により、どれか一つのグループ番号のＭＡＣアドレス数がそのグループ番号の判定値より多い場合には、一定数以上一致と判断する。一定数以上一致した場合には、Ｓ１１０３のＬｏｇｉｎ処理が実行される。Ｓ１１０４でログインが成功すればネットワーク接続装置３００を操作することができる。接続されているＭＡＣアドレス数が判定値以下の場合や、ＩＤ、パスワードが一致せずＬｏｇｉｎ処理に失敗した場合にはＳ１１００の処理にもどる。
【００４４】
Ｓ１１０２またはＳ１１０４の処理でＬｏｇｉｎ処理に失敗した場合にはＳ１１０５のようにＬｏｇｉｎに失敗した旨をユーザの操作する装置の画面に表示する。必要なければ表示しなくてもよい。
【００４５】
以上のように、本発明では、Ｓ１１０２のログイン制御処理の条件を満たさない限り、通常のＳ１１０３の通常のログイン処理をさせないことにより情報流出の危険を減らすことができる。Ｓ１１０２のステップがあることにより仮に盗難にあって、ＩＤとパスワードを推測されてもログインされる恐れがなくなる。
【００４６】
次に、ネットワーク接続装置３００を異なるネットワークに移す場合の処理について説明する。機器の移動や、保守のためにネットワーク管理装置を通常のネットワーク環境と異なる状況で動作させる場合には、異なる環境の接続機器のＭＡＣアドレスを登録することで通常のログイン処理が実行できる。図１２に認証対象設定テーブルの変更例を示す。
【実施例２】
【００４７】
別の実施例として、認証条件のＭＡＣアドレスを隣接接続機器の接続時間によって決定する方式について説明する。
【００４８】
図１３ａに認証対象設定テーブルの例を示す。以下認証対象設定テーブル１３００という。認証対象設定テーブル１３００では、グループ番号「１」ではＭＡＣアドレスが「ａｎｙ」で、接続時間「１」となっている。これは接続時間が最も長い機器のＭＡＣアドレスを設定するという意味である。同様にグループ番号「２」ではＭＡＣアドレスが「ａｎｙ」で、接続時間「２」となっている。これは接続時間が２番目に長い機器のＭＡＣアドレスを設定するという意味である。
【００４９】
図１３ｂの接続先機器情報テーブル１３０１の例で説明すると、接続時間１３０２を参照し、接続時間が最も長い機器のＭＡＣアドレス「ＡＡＡ」がグループ「１」に属し、接続時間が２番目に長い機器のＭＡＣアドレス「ＢＢＢ」がグループ「２」に属している。この場合だとＭＡＣアドレス「ＡＡＡ」か「ＢＢＢ」のどちらかの機器が接続されている限りはネットワーク接続装置３００にログイン処理可能である。
【００５０】
本実施例の方式により長時間繋がれる可能性の高い上流装置などを自動的に認証対象とすることができる。
【実施例３】
【００５１】
別の実施例として、認証条件をＭＡＣアドレスと接続ポートの組み合わせで決定する方式を説明する。
【００５２】
図１４ａに認証対象設定テーブルの例を示す。以下認証対象設定テーブル１４００という。に認証対象設定テーブル１４００では各グループごとにＭＡＣアドレスと接続ポートの組み合わせを設定できる。
【００５３】
図１４ｂの接続先機器情報テーブル１４０１の例で説明すると、ＭＡＣアドレスと接続ポートの組み合わせ１４０２を参照し、各グループに設定された認証条件を満たすかを確認する。
【実施例４】
【００５４】
別の実施例として、認証条件をＭＡＣアドレスとＩＰアドレスの組み合わせで決定する方式を説明する。
【００５５】
図１５ａに認証対象設定テーブルの例を示す。以下認証対象設定テーブル１５００という。に認証対象設定テーブル１５００では各グループごとにＭＡＣアドレスとＩＰアドレスの組み合わせを設定できる。
【００５６】
図１５ｂの接続先機器情報テーブル１５０１の例で説明すると、ＭＡＣアドレス１５０２とＩＰアドレス１５０３の組み合わせを参照し、各グループに設定された認証条件を満たすかを確認する。
【実施例５】
【００５７】
別の実施例として、認証条件をＭＡＣアドレスと接続ポートとＩＰアドレスの組み合わせで決定する方式を説明する。
【００５８】
図１６ａに認証対象設定テーブルの例を示す。以下認証対象設定テーブル１６００という。に認証対象設定テーブル１６００では各グループごとにＭＡＣアドレスと接続ポートとＩＰアドレスの組み合わせを設定できる。
【００５９】
図１６ｂの接続先機器情報テーブル１６０１の例で説明すると、ＭＡＣアドレスと接続ポートとＩＰアドレスの組み合わせ１６０２を参照し、各グループに設定された認証条件を満たすかを確認する。
【実施例６】
【００６０】
別の実施例として、認証対象設定テーブルと接続先機器情報テーブルを外部の認証用のサーバに保有させても良い。この場合ネットワーク接続装置３００はログイン要求があると認証用のサーバに認証してよいか問合せ、認証用のサーバは認証対象設定テーブルと接続先機器情報テーブルを参照して認証可否を返信する。
【００６１】
また、認証用のサーバに認証対象設定テーブルのみを持たせ、接続先機器情報テーブルはネットワーク接続装置３００に持たしても良い。この場合ネットワーク接続装置３００はログイン要求があると認証用のサーバに認証対象設定テーブルの内容を問合せ、認証用のサーバは認証対象設定テーブルの内容を返信する。
【００６２】
以上、本願発明を用いることにより、特別な機器を用意することなくネットワーク接続装置のセキュリティを向上させることが可能となる。また、本発明は実施例に記載された形態に限られるものではなく、発明の要旨を逸脱しない範囲で実施可能である。例えば各実施例で利用しないテーブルの属性がある場合はそれを取り除いても良いし、あっても良い。
【００６３】
また、各実施例でのテーブルの設定例として実施例に記載したレイアウト以外のものを用いても良い。リレーショナルデータベース形式でなくとも、ＸＭＬやテキスト、バイナリなどいかなる形式で保有しても良い。
【００６４】
また、コンソールＰＣ等に表示する認証対象設定テーブルや接続先機器情報テーブルの設定を行う画面上の設定の一部または全ての情報を伏字や別の文字への置き換えをしてもよい。これにより、例えば設定したＭＡＣアドレスなどの一部を伏字にして画面に表示することにより画面の盗み見にも対応することができる。
【符号の説明】
【００６５】
３００：ネットワーク接続装置
３０１：ＣＰＵ
３０２：ＳＷ制御部
３０３：メモリ
３０４：不揮発メモリ
３０５（３０５１，３０５２，３０５３，３０５４）：入出力ポート
３０６：シリアルポート
３０７：認証対象設定テーブル
３０８：接続先機器情報テーブル
３０９：コンソールＰＣ
３１０：ＳＷ−ＨＵＢ
３１１：ＰＣ
３１２：ＰＣ
【特許請求の範囲】
【請求項１】
ネットワーク装置であって、
複数のポートと、
前記ポートを介して通信を行う通信制御部と、
前記ポートを介して接続される機器の識別情報、接続状態を記憶する記憶部と、
第１の機器からのログイン要求を受け付けた場合、前記記憶部を参照し、特定の識別情報が示す第２の機器が前記ネットワーク装置に接続されてるかに基づき、前記ネットワーク装置へのログイン可否を判断するプロセッサを有することを特徴とするネットワーク装置。
【請求項２】
請求項１記載のネットワーク装置であって、
前記ネットワーク装置へのログイン可否の判断に利用する前記識別情報を複数設定できることを特徴とするネットワーク装置。
【請求項３】
請求項２記載のネットワーク装置であって、
前記ネットワーク装置へのログイン可否の判断に利用する前記識別情報の組み合わせにグループを設定し、複数のグループが設定されていた場合いずれかのグループが含む全ての前記識別情報が示す機器が接続されていれば前記ネットワーク装置へのログインを許可することを特徴とするネットワーク装置。
【請求項４】
請求項２記載のネットワーク装置であって、
前記記憶部は、前記接続される機器ごとに接続時間を記憶し、
前記プロセッサは、前記接続時間の長さに基づいて前記ネットワーク装置へのログイン可否を判断に利用する前記識別情報を選択することを特徴とするネットワーク装置。
【請求項５】
請求項１記載のネットワーク装置であって、
前記特定の識別情報が示す機器の接続状態により前記ネットワーク装置へのログイン可否を判断するログイン制御モードと、ＩＤとパスワードのみでログイン可否を判断する通常モードとを切り替えられることを特徴とするネットワーク装置。
【請求項６】
請求項２記載のネットワーク装置であって、
前記プロセッサは、前記ネットワーク装置へのログイン可否の判断に利用する前記識別情報を設定する画面であって、前記ネットワーク装置へログインした機器に表示させる画面を生成し、前記識別情報の一部又は全てを他の文字に置き換えるまたは表示させないことを特徴とするネットワーク装置。
【請求項７】
請求項１記載のネットワーク装置であって、
前記識別情報はＭＡＣアドレスであり、
前記記憶部は、さらに前記ポートを介して接続される前記機器のＩＰアドレスを記憶し、
前記プロセッサは、前記ＭＡＣアドレスと前記ＩＰアドレスとの組み合わせにより特定される機器の接続状態により前記ネットワーク装置へのログイン可否を判断することを特徴とするネットワーク装置。
【請求項８】
請求項１記載のネットワーク装置であって、
前記識別情報はＭＡＣアドレスであり、
前記記憶部は、さらに前記機器が接続されるポートのポート識別子を記憶し、
前記プロセッサは、前記ＭＡＣアドレスと前記ポート識別子との組み合わせにより特定される機器の接続状態により前記ネットワーク装置へのログイン可否を判断することを特徴とするネットワーク装置。
【請求項９】
請求項１記載のネットワーク装置であって、
前記識別情報はＭＡＣアドレスであり、
前記記憶部は、さらに前記ポートを介して接続される前記機器のＩＰアドレス、前記機器が接続されるポートのポート識別子を記憶し、
前記プロセッサは、前記ＭＡＣアドレスと前記ＩＰアドレスと前記ポート識別子との組み合わせにより特定される機器の接続状態により前記ネットワーク装置へのログイン可否を判断することを特徴とするネットワーク装置。
【請求項１０】
請求項５記載のネットワーク装置であって、
前記ログイン制御モードでは、さらにＩＤとパスワードによるログイン認証を行うことを特徴とするネットワーク装置。
【請求項１１】
ネットワーク装置であって、
ＩＤとパスワードによる認証を行う第１の認証モードと、
隣接機器の接続状態による認証を行う第２の認証モードを有し、
第２の認証モードを設定された場合、他の機器からのログイン要求を受け付けると、前記隣接機器の接続状態を確認し、当該接続状態の結果に応じて前記ログイン要求を拒否するかを判断することを特徴とするネットワーク装置。
【請求項１２】
請求項１１記載のネットワーク装置であって、
前記接続状態の結果、前記ログイン要求を受け付ける判断をした場合、さらに、ＩＤとパスワードの入力を受け付けることを特徴とするネットワーク装置。
【請求項１３】
請求項１１記載のネットワーク装置であって、
前記第２の認証モードでは、ログイン要求を受け付ける隣接機器の接続条件を複数設定できることを特徴とするネットワーク装置。
【請求項１】
ネットワーク装置であって、
複数のポートと、
前記ポートを介して通信を行う通信制御部と、
前記ポートを介して接続される機器の識別情報、接続状態を記憶する記憶部と、
第１の機器からのログイン要求を受け付けた場合、前記記憶部を参照し、特定の識別情報が示す第２の機器が前記ネットワーク装置に接続されてるかに基づき、前記ネットワーク装置へのログイン可否を判断するプロセッサを有することを特徴とするネットワーク装置。
【請求項２】
請求項１記載のネットワーク装置であって、
前記ネットワーク装置へのログイン可否の判断に利用する前記識別情報を複数設定できることを特徴とするネットワーク装置。
【請求項３】
請求項２記載のネットワーク装置であって、
前記ネットワーク装置へのログイン可否の判断に利用する前記識別情報の組み合わせにグループを設定し、複数のグループが設定されていた場合いずれかのグループが含む全ての前記識別情報が示す機器が接続されていれば前記ネットワーク装置へのログインを許可することを特徴とするネットワーク装置。
【請求項４】
請求項２記載のネットワーク装置であって、
前記記憶部は、前記接続される機器ごとに接続時間を記憶し、
前記プロセッサは、前記接続時間の長さに基づいて前記ネットワーク装置へのログイン可否を判断に利用する前記識別情報を選択することを特徴とするネットワーク装置。
【請求項５】
請求項１記載のネットワーク装置であって、
前記特定の識別情報が示す機器の接続状態により前記ネットワーク装置へのログイン可否を判断するログイン制御モードと、ＩＤとパスワードのみでログイン可否を判断する通常モードとを切り替えられることを特徴とするネットワーク装置。
【請求項６】
請求項２記載のネットワーク装置であって、
前記プロセッサは、前記ネットワーク装置へのログイン可否の判断に利用する前記識別情報を設定する画面であって、前記ネットワーク装置へログインした機器に表示させる画面を生成し、前記識別情報の一部又は全てを他の文字に置き換えるまたは表示させないことを特徴とするネットワーク装置。
【請求項７】
請求項１記載のネットワーク装置であって、
前記識別情報はＭＡＣアドレスであり、
前記記憶部は、さらに前記ポートを介して接続される前記機器のＩＰアドレスを記憶し、
前記プロセッサは、前記ＭＡＣアドレスと前記ＩＰアドレスとの組み合わせにより特定される機器の接続状態により前記ネットワーク装置へのログイン可否を判断することを特徴とするネットワーク装置。
【請求項８】
請求項１記載のネットワーク装置であって、
前記識別情報はＭＡＣアドレスであり、
前記記憶部は、さらに前記機器が接続されるポートのポート識別子を記憶し、
前記プロセッサは、前記ＭＡＣアドレスと前記ポート識別子との組み合わせにより特定される機器の接続状態により前記ネットワーク装置へのログイン可否を判断することを特徴とするネットワーク装置。
【請求項９】
請求項１記載のネットワーク装置であって、
前記識別情報はＭＡＣアドレスであり、
前記記憶部は、さらに前記ポートを介して接続される前記機器のＩＰアドレス、前記機器が接続されるポートのポート識別子を記憶し、
前記プロセッサは、前記ＭＡＣアドレスと前記ＩＰアドレスと前記ポート識別子との組み合わせにより特定される機器の接続状態により前記ネットワーク装置へのログイン可否を判断することを特徴とするネットワーク装置。
【請求項１０】
請求項５記載のネットワーク装置であって、
前記ログイン制御モードでは、さらにＩＤとパスワードによるログイン認証を行うことを特徴とするネットワーク装置。
【請求項１１】
ネットワーク装置であって、
ＩＤとパスワードによる認証を行う第１の認証モードと、
隣接機器の接続状態による認証を行う第２の認証モードを有し、
第２の認証モードを設定された場合、他の機器からのログイン要求を受け付けると、前記隣接機器の接続状態を確認し、当該接続状態の結果に応じて前記ログイン要求を拒否するかを判断することを特徴とするネットワーク装置。
【請求項１２】
請求項１１記載のネットワーク装置であって、
前記接続状態の結果、前記ログイン要求を受け付ける判断をした場合、さらに、ＩＤとパスワードの入力を受け付けることを特徴とするネットワーク装置。
【請求項１３】
請求項１１記載のネットワーク装置であって、
前記第２の認証モードでは、ログイン要求を受け付ける隣接機器の接続条件を複数設定できることを特徴とするネットワーク装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３ａ】
【図１３ｂ】
【図１４ａ】
【図１４ｂ】
【図１５ａ】
【図１５ｂ】
【図１６ａ】
【図１６ｂ】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３ａ】
【図１３ｂ】
【図１４ａ】
【図１４ｂ】
【図１５ａ】
【図１５ｂ】
【図１６ａ】
【図１６ｂ】
【公開番号】特開２０１２−１０８６８６（Ｐ２０１２−１０８６８６Ａ）
【公開日】平成２４年６月７日（２０１２．６．７）
【国際特許分類】
【出願番号】特願２０１０−２５６３８９（Ｐ２０１０−２５６３８９）
【出願日】平成２２年１１月１７日（２０１０．１１．１７）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２４年６月７日（２０１２．６．７）
【国際特許分類】
【出願日】平成２２年１１月１７日（２０１０．１１．１７）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]