認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法
【課題】Ｌ３機器を介して接続された未認証の端末の通信が許可されることを防止する認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法を提供する。
【解決手段】認証の対象となる端末のアドレスが登録される認証対象管理テーブル１１１と、該認証対象管理テーブル１１１にアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備える。
【解決手段】認証の対象となる端末のアドレスが登録される認証対象管理テーブル１１１と、該認証対象管理テーブル１１１にアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、Ｌ３機器を介して接続された未認証の端末の通信が許可されることを防止する認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法に関する。
【背景技術】
【０００２】
不正なユーザや端末がネットワークへアクセスするのを防止するために、スイッチングハブ等のＬ（Layer；レイヤー）２に属するネットワーク中継機器（Ｌ２機器）に端末の認証機能を設ける方法がある。この認証機能付きネットワーク中継機器をネットワークと端末との間に配置する構成とする。認証機能付きネットワーク中継機器は、新たに接続されたユーザや端末の認証を行い、認証に成功したユーザや端末のみネットワークへの通信を許可する。
【０００３】
図９に、認証機能付きスイッチングハブ（以下、認証ＳＷ）を用いたシステム構成を示す。端末９０１は、認証ＳＷ９０２を介してネットワーク９０３に接続するようになっている。認証ＳＷ９０２は、認証に成功した端末からのパケットはネットワーク９０３に中継し、認証に成功していない端末からのパケットは中継せずに廃棄する。
【０００４】
認証ＳＷ９０２は、以下のように認証処理を行う。
【０００５】
あるユーザが端末９０１を立ち上げて新たにネットワーク９０３に接続しようとしたとする。
【０００６】
（１）端末９０１は、ＩＰアドレスを取得するためにＤＨＣＰ（Dynamic Host Configration Protocol）により、ネットワーク９０３に存在するＤＨＣＰサーバ９０４とＤＨＣＰのパケットのやりとりを行う。認証ＳＷ９０２は、ＤＨＣＰのパケットの中継を許可するように設定されており、端末９０１とＤＨＣＰサーバ９０４との間でやりとりされるＤＨＣＰのパケットを中継する。端末９０１は、ＤＨＣＰサーバ９０４から割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。
【０００７】
（２）ユーザは、ネットワーク９０３にアクセスするために、ブラウザを立ち上げる。端末９０１は、これに伴い、所定のサーバ（図示せず）に宛ててＨＴＴＰパケットを送信する。認証ＳＷ９０２は、このＨＴＴＰパケットを受信し、そのＨＴＴＰパケットの内容を参照する。認証ＳＷ９０２は、このＨＴＴＰパケットが（その送信元ＭＡＣアドレスが認証成功として登録されたものでないことから、）未認証の端末からのものであることを判定する。認証ＳＷ９０２は、ユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより端末９０１に送信する。ユーザは、端末９０１に表示された認証ＷＥＢ画面にユーザ名とパスワードを入力し、端末９０１は入力されたユーザ名とパスワードをパケットにより認証ＳＷ９０２に送信する。
【０００８】
（３）認証ＳＷ９０２は、ユーザ名とパスワードをパケットによりＲＡＤＩＵＳ（Remote Authentication Dial in User Service）サーバ９０５に送信する。ＲＡＤＩＵＳサーバ９０５は、正当なユーザがユーザ名とパスワードで登録されたデータベースを有し、受信したパケットのユーザ名とパスワードをデータベースに照会する。ユーザが正当なユーザであるとすると、ＲＡＤＩＵＳサーバ９０５は、認証成功の返信のパケットを認証ＳＷ９０２に送信する。認証ＳＷ９０２は、認証成功の返信のパケットを受信したことにより、端末９０１を認証成功とし、端末９０１のＭＡＣアドレスを登録し、端末９０１のＭＡＣアドレスを有するパケットはネットワーク９０３への中継を許可する。
【０００９】
（４）以後、端末９０１は、認証ＳＷ９０２を介してネットワーク９０３への通信が可能となる。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００５−２８６５５８号公報
【特許文献２】特開２００５−２５２７１７号公報
【発明の概要】
【発明が解決しようとする課題】
【００１１】
図１０に示されるように、認証ＳＷ９０２の配下にルータ等のＬ３機器９０６が接続されており、Ｌ３機器９０６に端末９０１と端末９０７が接続されたネットワーク構成を考える。
【００１２】
端末９０１は、ネットワーク９０３へアクセスしようとするとき、認証ＳＷ９０２との間で前述した認証の通信を行う。Ｌ３機器９０６は、端末９０１からのパケットを受信したとき、そのパケットのＭＡＣアドレスを自分のＭＡＣアドレスに置き換えて中継する。端末９０１が認証ＳＷ９０２との認証に成功したとき、端末９０１からのパケットはそのＭＡＣアドレスがＬ３機器９０６のＭＡＣアドレスに置き換えられて送信されてくるので、認証ＳＷ９０２にはＬ３機器９０６のＭＡＣアドレスが認証成功として登録される。
【００１３】
次に、端末９０７がＬ３機器９０６に接続されたとする。このとき、端末９０７が送信したパケットは、Ｌ３機器９０６においてＭＡＣアドレスがＬ３機器９０６のＭＡＣアドレスに置き換えられて認証ＳＷ９０２に中継される。Ｌ３機器９０６のＭＡＣアドレスは認証成功として登録されているので、未認証であるはずの端末９０７からのパケットは認証済みとしてネットワーク９０３へ中継されてしまう。
【００１４】
このように、認証ＳＷ９０２に対して複数の端末がＬ３機器９０６を介して接続されているシステム構成においては、未認証の端末の通信が許可されてしまうことがある。
【００１５】
そこで、本発明の目的は、上記課題を解決し、Ｌ３機器を介して接続された未認証の端末の通信が許可されることを防止する認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法を提供することにある。
【課題を解決するための手段】
【００１６】
上記目的を達成するために本発明の認証機能付きネットワーク中継機器は、認証の対象となる端末のアドレスが登録される認証対象管理テーブルと、該認証対象管理テーブルにアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備えるものである。
【００１７】
データ領域にパケットを送信した端末のアドレスを格納しているパケットの上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブルに登録する認証対象登録手段を備えてもよい。
【００１８】
上記認証処理実行手段は、端末からのネットワークへのアクセス要求のパケットのヘッダ領域に格納されている送信元アドレスが上記認証対象管理テーブルに登録されている場合に、上記アクセス要求をしてきた端末の認証処理を実行してもよい。
【００１９】
また、本発明の端末の認証方法は、認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行するものである。
【００２０】
上記認証機能付きネットワーク中継機器は、データ領域にパケットを送信した端末のアドレスを格納しているパケットの該データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを認証の対象となる端末のアドレスとして登録しておいてもよい。
【００２１】
上記認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、そのパケットのヘッダ領域に格納されている送信元アドレスが登録されている認証の対象となる端末のアドレスかどうか判定し、認証の対象となる端末のアドレスであれば認証処理を実行し、認証の対象となる端末のアドレスでなければ認証処理を実行しなくてもよい。
【発明の効果】
【００２２】
本発明は次の如き優れた効果を発揮する。
【００２３】
（１）Ｌ３機器を介して接続された未認証の端末の通信が許可されることが防止できる。
【図面の簡単な説明】
【００２４】
【図１】本発明の一実施形態を示す認証機能付きネットワーク中継機器の内部構成図である。
【図２】本発明に用いるＤＨＣＰパケットの構成図である。
【図３】認証管理テーブルの構成図である。
【図４】認証対象管理テーブルの構成図である。
【図５】本発明の認証機能付きネットワーク中継機器を使用したシステムの構成図である。
【図６】認証対象管理テーブルの構成図である。
【図７】認証管理テーブルの構成図である。
【図８】認証管理テーブルの構成図である。
【図９】従来の認証機能付きネットワーク中継機器を使用したシステムの構成図である。
【図１０】従来の認証機能付きネットワーク中継機器を使用したシステムの構成図である。
【発明を実施するための形態】
【００２５】
以下、本発明の一実施形態を添付図面に基づいて詳述する。
【００２６】
本発明の端末の認証方法は、従来より知られている認証機能付きネットワーク中継機器による端末の認証方法に加えて、該認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行するようにしたものである。
【００２７】
具体的には、認証機能付きネットワーク中継機器は、認証の対象となる端末のアドレスが登録される認証対象管理テーブルを備え、受信されたパケットがＤＨＣＰ Ｄｉｓｃｏｖｅｒ、ＤＨＣＰ Ｒｅｑｕｅｓｔのようにデータ領域に当該パケットを送信した端末のアドレスを格納しているパケットであるとき、このパケットを参照し、データ領域、例えば、ＤＨＣＰメッセージのクライアントハードアドレスに格納されているＭＡＣアドレスと、ヘッダ領域に格納されている送信元ＭＡＣアドレスとを比較し、これら両ＭＡＣアドレスが一致するときにそのＭＡＣアドレスを認証の対象となる端末のアドレスとして認証対象管理テーブルに登録する。
【００２８】
さらに、認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、端末からネットワークへのアクセス要求があったと判定し、そのパケットのヘッダ領域に格納されている送信元ＭＡＣアドレスで認証対象管理テーブルを照会することにより、その送信元ＭＡＣアドレスが認証の対象となる端末のＭＡＣアドレスかどうか判定し、認証対象管理テーブルに登録されていれば、認証の対象となる端末のＭＡＣアドレスであるので、認証処理を続行し、認証対象管理テーブルに登録されていなければ、認証処理を止め、認証失敗とする。
【００２９】
図１に示されるように、本発明に係る認証機能付きネットワーク中継機器（以下、認証ＳＷ）１０１は、パケットを送受信する送受信部１０２と、パケットのポート間の転送を制御する転送制御部１０３と、転送制御部１０３を制御する中央制御部１０４とを備える。
【００３０】
送受信部１０２は、複数のポート１０５を備える。ポート１０５には、ケーブルなどの伝送路１０６が接続される。送受信部１０２は、ポート１０５で受信したパケットを転送制御部１０３に送ると共に、転送制御部１０３から送られてきたパケットを所定のポート１０５から送信するようになっている。
【００３１】
転送制御部１０３は、パケット解析部１０７とＦＤＢ（Forwarding Data Base）１０８とフィルタリングテーブル１０９とを備える。パケット解析部１０７は、送受信部１０２から送られてきたパケットの内容を解析し、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、パケットの種類などを調べるようになっている。ＦＤＢ１０８は、ポートとＭＡＣアドレス、ＶＬＡＮとの対応を記憶するテーブルである。ＦＤＢ１０８には、パケットが受信されたとき、受信されたポート１０５と送信元ＭＡＣアドレス、ＶＬＡＮとの対応が記憶される。また、受信したパケットの宛先ＭＡＣアドレスによりＦＤＢ１０８が検索され、そのパケットの転送先のポートが決められる。フィルタリングテーブル１０９には、パケットのフィルタリング内容が設定されている。フィルタリング内容は、特定のパケットを転送不可としたり、特定のパケットを中央制御部１０４へ送ったりするものである。
【００３２】
この実施形態では、フィルタリングテーブル１０９には、認証に成功したＭＡＣアドレスが記憶され、記憶されたＭＡＣアドレスのパケットのみ転送を許可するように設定されると共に、ＤＨＣＰパケットは転送が許可され、ＤＨＣＰ ＤｉｓｃｏｖｅｒまたはＤＨＣＰ Ｒｅｑｕｅｓｔは中央制御部１０４へ送るように設定される。
【００３３】
これにより、転送制御部１０３は、受信したパケットをパケット解析部１０７が解析し、フィルタリングテーブル１０９に記憶されているＭＡＣアドレスのパケットは転送を許可し、ＦＤＢ１０８を参照して所定のポート１０５に転送する。また、転送制御部１０３は、ＤＨＣＰパケットは転送を許可し、ＤＨＣＰ ＤｉｓｃｏｖｅｒまたはＤＨＣＰ Ｒｅｑｕｅｓｔは中央制御部１０４へ送る。
【００３４】
図２に示されるように、ＤＨＣＰ Ｄｉｓｃｏｖｅｒ、ＤＨＣＰ ＲｅｑｕｅｓｔなどのＤＨＣＰパケットは、ヘッダ領域として、イーサネット（登録商標）ヘッダ領域、ＩＰヘッダ領域、ＵＤＰヘッダ領域を有する。イーサネットヘッダ領域は、宛先ＭＡＣアドレスの領域と送信元ＭＡＣアドレスの領域とを含んでいる。データ領域には、ＤＨＣＰメッセージを格納するが、そのＤＨＣＰメッセージにはクライアントハードアドレスの領域が含まれる。クライアントハードアドレスの領域には、当該パケットを送信した端末のＭＡＣアドレスが格納される。図２中、各領域の数値はバイト長である。
【００３５】
図１に示されるように、本発明に係る認証ＳＷ１０１の中央制御部１０４は、ソフトウェアが格納され、そのソフトウェアを実行することで、各種のプロトコル動作を行うよう転送制御部１０３を制御するようになっている。中央制御部１０４は、認証管理テーブル１１０と、認証対象管理テーブル１１１とを備える。中央制御部１０４は、認証対象管理テーブル１１１にアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段１１２と、受信されたパケットがデータ領域にこのパケットを送信した端末のアドレスを格納しているパケットであるとき、上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブル１１１に登録する認証対象登録手段１１３とを備える。これらの手段は、中央制御部１０４にソフトウェアとして格納され、そのソフトウェアが実行されることで実現される。
【００３６】
図３に示されるように、認証管理テーブル１１０は、認証ＳＷ１０１に接続された端末のＭＡＣアドレスとその認証状態が記憶されるテーブルである。
【００３７】
図４に示されるように、認証対象管理テーブル１１１は、認証の対象となる端末のＭＡＣアドレスを記憶するテーブルである。
【００３８】
これにより、中央制御部１０４は、転送制御部１０３から送られてきたＤＨＣＰ ＤｉｓｃｏｖｅｒまたはＤＨＣＰ Ｒｅｑｕｅｓｔを参照し、ヘッダ領域の送信元ＭＡＣアドレスとＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較し、一致する場合にそのＭＡＣアドレスを認証対象管理テーブル１１１に登録する。また、中央制御部１０４は、未認証の端末について背景技術で述べた手順で認証処理を行う際、端末からのパケットのＭＡＣアドレスが認証対象管理テーブル１１１に登録されているときは認証処理を続け、端末からのパケットのＭＡＣアドレスが認証対象管理テーブル１１１に登録されていないときは認証処理を止めて認証失敗とする。
【００３９】
さらに、中央制御部１０４は、上記ＭＡＣアドレスが認証対象管理テーブル１１１に登録されているとき、当該端末にユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより送信するよう動作し、背景技術で述べた認証処理を続ける。中央制御部１０４は、認証に成功したとき、認証管理テーブル１１０に端末のＭＡＣアドレスを登録する。中央制御部１０４は、認証に成功した端末のＭＡＣアドレスを転送制御部１０３のフィルタリングテーブル１０９に登録することにより、フィルタリングテーブル１０９にて転送が許可されるように設定する。
【００４０】
図５に、本発明の認証ＳＷ１０１を使用したシステムを示す。認証ＳＷ１０１の配下にルータ等のＬ３機器５０１が接続されており、Ｌ３機器５０１に端末５０２，５０３が接続されている。端末５０４は直接、認証ＳＷ１０１に接続されている。端末５０２，５０３，５０4は、認証ＳＷ１０１を介してネットワーク５０５と通信する。ネットワーク５０５には、ＤＨＣＰサーバ５０６とＲＡＤＩＵＳサーバ５０７が配置されている。
【００４１】
以下、図５のシステムにおける本発明の認証ＳＷ１０１を用いた端末の認証方法を説明する。なお、ＤＨＣＰは公知であるので、詳しい動作の説明は省略する。また、Ｌ３機器５０１は、端末とＤＨＣＰサーバ間のＤＨＣＰのパケットをリレーするＤＨＣＰリレーの機能を備えるものとする。また、ここでは、認証ＳＷ１０１は、端末からのパケットのＤＨＣＰ Ｄｉｓｃｏｖｅｒを参照して認証対象を管理するが、ＤＨＣＰ Ｒｅｑｕｅｓｔを参照して認証対象を管理する場合でも、類似の手順となる。
【００４２】
まず、端末５０２に対する認証処理は次のようになる。
【００４３】
あるユーザが端末５０２を立ち上げて、または、端末５０２をＬ３機器５０１に接続して、新たにネットワーク５０５に接続しようとしたとする。
【００４４】
端末５０２は、ＩＰアドレスを取得するために、ブロードキャストにてＤＨＣＰ Ｄｉｓｃｏｖｅｒを送信する。この際、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０２のＭＡＣアドレスを格納する。
【００４５】
Ｌ３機器５０１は、端末５０２からのＤＨＣＰ Ｄｉｓｃｏｖｅｒを認証ＳＷ１０１へ中継する。この際、Ｌ３機器５０１は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスをＬ３機器５０１のＭＡＣアドレスに書き換える。
【００４６】
認証ＳＷ１０１は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰ Ｄｉｓｃｏｖｅｒをネットワーク５０５へ中継する。また、フィルタリングテーブル１０９には、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを中央制御部１０４に送るよう設定されているので、転送制御部１０３はＤＨＣＰ Ｄｉｓｃｏｖｅｒを中央制御部１０４に送る。
【００４７】
中央制御部１０４は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域に格納されたＭＡＣアドレスと、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較する。送信元ＭＡＣアドレスはＬ３機器５０１のＭＡＣアドレスであり、クライアントハードアドレスは端末５０２のＭＡＣアドレスであるから、これらは一致しない。よって、中央制御部１０４は、ＭＡＣアドレスを認証対象管理テーブル１１１に登録しない。
【００４８】
ＤＨＣＰサーバ５０６は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、ＤＨＣＰ Ｏｆｆｅｒを送信する。ＤＨＣＰ Ｏｆｆｅｒには、割り当て可能なＩＰアドレスが格納される。
【００４９】
認証ＳＷ１０１は、ＤＨＣＰ ＯｆｆｅｒをＬ３機器５０１へ中継する。
【００５０】
Ｌ３機器５０１は、ＤＨＣＰ Ｏｆｆｅｒを端末５０２へ中継する。
【００５１】
端末５０２は、ＤＨＣＰ Ｏｆｆｅｒを受信すると、ＤＨＣＰ Ｒｅｑｕｅｓｔを送信する。この際、端末５０２は、ＤＨＣＰ Ｒｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレス領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０２のＭＡＣアドレスを格納する。
【００５２】
Ｌ３機器５０１は、端末５０２からのＤＨＣＰ Ｒｅｑｕｅｓｔを認証ＳＷ１０１へ中継する。この際、Ｌ３機器５０１は、ＤＨＣＰ Ｒｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレスをＬ３機器５０１のＭＡＣアドレスに書き換える。
【００５３】
認証ＳＷ１０１は、ＤＨＣＰ Ｒｅｑｕｅｓｔを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰ Ｒｅｑｕｅｓｔをネットワーク５０５へ中継する。
【００５４】
ＤＨＣＰサーバ５０６は、ＤＨＣＰ Ｒｅｑｕｅｓｔを受信すると、端末５０２宛てにＤＨＣＰ ＡＣＫを送信する。
【００５５】
認証ＳＷ１０１は、ＤＨＣＰ ＡＣＫをＬ３機器５０１へ中継する。
【００５６】
Ｌ３機器５０１は、ＤＨＣＰ ＡＣＫを端末５０２へ中継する。
【００５７】
端末５０２は、ＤＨＣＰ ＡＣＫを受信すると、割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。
【００５８】
ユーザは、ネットワーク５０５にアクセスするために、ブラウザを立ち上げる。端末５０２は、これに伴い、所定のサーバに宛ててＨＴＴＰパケットを送信する。ＨＴＴＰパケットの送信元ＭＡＣアドレスには、端末５０２のＭＡＣアドレスが格納される。
【００５９】
Ｌ３機器５０１は、ＨＴＴＰパケットを認証ＳＷ１０１へ転送する。この際、ＨＴＴＰパケットの送信元ＭＡＣアドレスは、Ｌ３機器５０１のＭＡＣアドレスに書き換えられる。
【００６０】
認証ＳＷ１０１は、ＨＴＴＰパケットを受信し、転送制御部１０３においてそのＨＴＴＰパケットの内容を参照する。転送制御部１０３は、ＨＴＴＰパケットの送信元ＭＡＣアドレスがフィルタリングテーブル１０９に設定されていないことから、このＨＴＴＰパケットが未認証の端末からのパケットであることを判定し、このＨＴＴＰパケットを中央制御部１０４に転送する。
【００６１】
中央制御部１０４は、ＨＴＴＰパケットの送信元ＭＡＣアドレスを認証対象管理テーブル１１１と照会する。Ｌ３機器５０１のＭＡＣアドレスは認証対象管理テーブル１１１に登録されていないので、認証失敗と判定する。中央制御部１０４は、認証失敗を端末５０２に対してパケットにより通知する。
【００６２】
端末５０２のユーザは、認証ＳＷ１０１において認証失敗となり、ネットワーク５０５との通信は不可となる。
【００６３】
端末５０３に対する認証処理は、端末５０２に対する認証処理と同じになる。
【００６４】
端末５０４に対する認証処理は、次のようになる。
【００６５】
あるユーザが端末５０４を立ち上げて、または、端末５０４を認証ＳＷ１０１に接続して、新たにネットワーク５０５に接続しようとしたとする。
【００６６】
端末５０２は、ＩＰアドレスを取得するために、ブロードキャストにてＤＨＣＰ Ｄｉｓｃｏｖｅｒを送信する。この際、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０４のＭＡＣアドレスを格納する。
【００６７】
認証ＳＷ１０１は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰ Ｄｉｓｃｏｖｅｒをネットワーク５０５へ中継する。また、フィルタリングテーブル１０９には、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを中央制御部１０４に転送するよう設定されているので、転送制御部１０３はＤＨＣＰ Ｄｉｓｃｏｖｅｒを中央制御部１０４に送る。
【００６８】
中央制御部１０４は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域に格納されたＭＡＣアドレスと、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較する。送信元ＭＡＣアドレスもクライアントハードアドレスも共に端末５０４のＭＡＣアドレスであるから、これらは一致する。よって、中央制御部１０４は、この端末５０４のＭＡＣアドレスを認証対象管理テーブル１１１に登録する。この結果、認証対象管理テーブル１１１の内容は、図６のようになる。
【００６９】
ＤＨＣＰサーバ５０６は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、ブロードキャストにてＤＨＣＰ Ｏｆｆｅｒを送信する。ＤＨＣＰ Ｏｆｆｅｒには、割り当て可能なＩＰアドレスが格納される。
【００７０】
認証ＳＷ１０１は、ＤＨＣＰ Ｏｆｆｅｒを端末５０４へ中継する。
【００７１】
端末５０４は、ＤＨＣＰ Ｏｆｆｅｒを受信すると、ＤＨＣＰ Ｒｅｑｕｅｓｔを送信する。この際、端末５０４は、ＤＨＣＰ Ｒｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレス領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０４のＭＡＣアドレスを格納する。
【００７２】
認証ＳＷ１０１は、ＤＨＣＰ Ｒｅｑｕｅｓｔを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰ Ｒｅｑｕｅｓｔをネットワーク５０５へ中継する。
【００７３】
ＤＨＣＰサーバ５０６は、ＤＨＣＰ Ｒｅｑｕｅｓｔを受信すると、端末５０４宛てにＤＨＣＰ ＡＣＫを送信する。
【００７４】
認証ＳＷ１０１は、ＤＨＣＰ ＡＣＫを端末５０４へ中継する。
【００７５】
端末５０４は、ＤＨＣＰ ＡＣＫを受信すると、割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。
【００７６】
ユーザは、ネットワーク５０５にアクセスするために、ブラウザを立ち上げる。端末５０４は、これに伴い、所定のサーバに宛ててＨＴＴＰパケットを送信する。ＨＴＴＰパケットの送信元ＭＡＣアドレスには、端末５０４のＭＡＣアドレスが格納される。
【００７７】
認証ＳＷ１０１は、ＨＴＴＰパケットを受信し、転送制御部１０３においてそのＨＴＴＰパケットの内容を参照する。転送制御部１０３は、ＨＴＴＰパケットの送信元ＭＡＣアドレスがフィルタリングテーブル１０９に設定されていないことから、このＨＴＴＰパケットが未認証の端末からのパケットであることを判定し、このＨＴＴＰパケットを中央制御部１０４に転送する。
【００７８】
中央制御部１０４は、ＨＴＴＰパケットの送信元ＭＡＣアドレスを認証対象管理テーブル１１１と照会する。端末５０４のＭＡＣアドレスは認証対象管理テーブル１１１に登録されているので、認証処理は続行される。中央制御部１０４は、端末５０４に対してユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより送信する。また、中央制御部１０４は、認証管理テーブル１１０に端末５０４のＭＡＣアドレスを登録する。この結果、認証管理テーブル１１０の内容は、図７のようになる。
【００７９】
ユーザは、端末５０４に表示された認証ＷＥＢ画面にユーザ名とパスワードを入力し、端末５０４は入力されたユーザ名とパスワードをパケットにより認証ＳＷ１０１へ送信する。
【００８０】
認証ＳＷ１０１は、端末５０４からのユーザ名とパスワードが格納されたパケットを受信し、このユーザ名とパスワードが格納されたパケットをＲＡＤＩＵＳサーバ５０７へ送信する。
【００８１】
ＲＡＤＩＵＳサーバ５０７は、正当なユーザが登録されたデータベースを有し、受信したパケット中のユーザ名とパスワードをデータベースに照会する。端末５０４のユーザが正当なユーザであるとすると、ＲＡＤＩＵＳサーバ５０７は、認証成功の返信のパケットを認証ＳＷ１０１へ送信する。
【００８２】
認証ＳＷ１０１は、認証成功の返信のパケットを受信し、中央制御部１０４は、端末５０４を認証成功として認証管理テーブル１１０に端末５０４のＭＡＣアドレスを登録する。この結果、認証管理テーブル１１０の内容は、図８のようになる。また、中央制御部１０４は、転送制御部１０３のフィルタリングテーブル１０９に端末５０４のＭＡＣアドレスを設定し、これにより、端末５０４のＭＡＣアドレスを有するパケットはネットワーク５０５への中継が許可されるようになる。中央制御部１０４は、端末５０４へ認証成功を通知するパケットを送信する。
【００８３】
端末５０４のユーザは、認証ＳＷ１０１において認証成功となり、以後、ネットワーク５０５との通信が可能となる。
【００８４】
以上説明したように、本発明の端末の認証方法によれば、Ｌ３機器５０１を介して認証ＳＷ１０１に接続されている端末５０２，５０３は、認証ＳＷ１０１において認証処理が実行されることなく、認証失敗となる。一方、認証ＳＷ１０１に直接接続されている端末５０４は、認証ＳＷ１０１においてＷＥＢ認証の認証処理が実行される。
【００８５】
これにより、Ｌ３機器５０１を介して認証ＳＷ１０１に接続されている端末は、全て認証失敗となり、認証ＳＷ１０１に直接接続されている端末は、認証処理により正当なユーザのみ認証成功となる。
【符号の説明】
【００８６】
１０１ 認証機能付きネットワーク中継機器（認証ＳＷ）
１０２ 送受信部
１０３ 転送制御部
１０４ 中央制御部
１０５ ポート
１０６ 伝送路
１０７ パケット解析部
１０８ ＦＤＢ
１０９ フィルタリングテーブル
１１０ 認証管理テーブル
１１１ 認証対象管理テーブル
【技術分野】
【０００１】
本発明は、Ｌ３機器を介して接続された未認証の端末の通信が許可されることを防止する認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法に関する。
【背景技術】
【０００２】
不正なユーザや端末がネットワークへアクセスするのを防止するために、スイッチングハブ等のＬ（Layer；レイヤー）２に属するネットワーク中継機器（Ｌ２機器）に端末の認証機能を設ける方法がある。この認証機能付きネットワーク中継機器をネットワークと端末との間に配置する構成とする。認証機能付きネットワーク中継機器は、新たに接続されたユーザや端末の認証を行い、認証に成功したユーザや端末のみネットワークへの通信を許可する。
【０００３】
図９に、認証機能付きスイッチングハブ（以下、認証ＳＷ）を用いたシステム構成を示す。端末９０１は、認証ＳＷ９０２を介してネットワーク９０３に接続するようになっている。認証ＳＷ９０２は、認証に成功した端末からのパケットはネットワーク９０３に中継し、認証に成功していない端末からのパケットは中継せずに廃棄する。
【０００４】
認証ＳＷ９０２は、以下のように認証処理を行う。
【０００５】
あるユーザが端末９０１を立ち上げて新たにネットワーク９０３に接続しようとしたとする。
【０００６】
（１）端末９０１は、ＩＰアドレスを取得するためにＤＨＣＰ（Dynamic Host Configration Protocol）により、ネットワーク９０３に存在するＤＨＣＰサーバ９０４とＤＨＣＰのパケットのやりとりを行う。認証ＳＷ９０２は、ＤＨＣＰのパケットの中継を許可するように設定されており、端末９０１とＤＨＣＰサーバ９０４との間でやりとりされるＤＨＣＰのパケットを中継する。端末９０１は、ＤＨＣＰサーバ９０４から割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。
【０００７】
（２）ユーザは、ネットワーク９０３にアクセスするために、ブラウザを立ち上げる。端末９０１は、これに伴い、所定のサーバ（図示せず）に宛ててＨＴＴＰパケットを送信する。認証ＳＷ９０２は、このＨＴＴＰパケットを受信し、そのＨＴＴＰパケットの内容を参照する。認証ＳＷ９０２は、このＨＴＴＰパケットが（その送信元ＭＡＣアドレスが認証成功として登録されたものでないことから、）未認証の端末からのものであることを判定する。認証ＳＷ９０２は、ユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより端末９０１に送信する。ユーザは、端末９０１に表示された認証ＷＥＢ画面にユーザ名とパスワードを入力し、端末９０１は入力されたユーザ名とパスワードをパケットにより認証ＳＷ９０２に送信する。
【０００８】
（３）認証ＳＷ９０２は、ユーザ名とパスワードをパケットによりＲＡＤＩＵＳ（Remote Authentication Dial in User Service）サーバ９０５に送信する。ＲＡＤＩＵＳサーバ９０５は、正当なユーザがユーザ名とパスワードで登録されたデータベースを有し、受信したパケットのユーザ名とパスワードをデータベースに照会する。ユーザが正当なユーザであるとすると、ＲＡＤＩＵＳサーバ９０５は、認証成功の返信のパケットを認証ＳＷ９０２に送信する。認証ＳＷ９０２は、認証成功の返信のパケットを受信したことにより、端末９０１を認証成功とし、端末９０１のＭＡＣアドレスを登録し、端末９０１のＭＡＣアドレスを有するパケットはネットワーク９０３への中継を許可する。
【０００９】
（４）以後、端末９０１は、認証ＳＷ９０２を介してネットワーク９０３への通信が可能となる。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００５−２８６５５８号公報
【特許文献２】特開２００５−２５２７１７号公報
【発明の概要】
【発明が解決しようとする課題】
【００１１】
図１０に示されるように、認証ＳＷ９０２の配下にルータ等のＬ３機器９０６が接続されており、Ｌ３機器９０６に端末９０１と端末９０７が接続されたネットワーク構成を考える。
【００１２】
端末９０１は、ネットワーク９０３へアクセスしようとするとき、認証ＳＷ９０２との間で前述した認証の通信を行う。Ｌ３機器９０６は、端末９０１からのパケットを受信したとき、そのパケットのＭＡＣアドレスを自分のＭＡＣアドレスに置き換えて中継する。端末９０１が認証ＳＷ９０２との認証に成功したとき、端末９０１からのパケットはそのＭＡＣアドレスがＬ３機器９０６のＭＡＣアドレスに置き換えられて送信されてくるので、認証ＳＷ９０２にはＬ３機器９０６のＭＡＣアドレスが認証成功として登録される。
【００１３】
次に、端末９０７がＬ３機器９０６に接続されたとする。このとき、端末９０７が送信したパケットは、Ｌ３機器９０６においてＭＡＣアドレスがＬ３機器９０６のＭＡＣアドレスに置き換えられて認証ＳＷ９０２に中継される。Ｌ３機器９０６のＭＡＣアドレスは認証成功として登録されているので、未認証であるはずの端末９０７からのパケットは認証済みとしてネットワーク９０３へ中継されてしまう。
【００１４】
このように、認証ＳＷ９０２に対して複数の端末がＬ３機器９０６を介して接続されているシステム構成においては、未認証の端末の通信が許可されてしまうことがある。
【００１５】
そこで、本発明の目的は、上記課題を解決し、Ｌ３機器を介して接続された未認証の端末の通信が許可されることを防止する認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法を提供することにある。
【課題を解決するための手段】
【００１６】
上記目的を達成するために本発明の認証機能付きネットワーク中継機器は、認証の対象となる端末のアドレスが登録される認証対象管理テーブルと、該認証対象管理テーブルにアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備えるものである。
【００１７】
データ領域にパケットを送信した端末のアドレスを格納しているパケットの上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブルに登録する認証対象登録手段を備えてもよい。
【００１８】
上記認証処理実行手段は、端末からのネットワークへのアクセス要求のパケットのヘッダ領域に格納されている送信元アドレスが上記認証対象管理テーブルに登録されている場合に、上記アクセス要求をしてきた端末の認証処理を実行してもよい。
【００１９】
また、本発明の端末の認証方法は、認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行するものである。
【００２０】
上記認証機能付きネットワーク中継機器は、データ領域にパケットを送信した端末のアドレスを格納しているパケットの該データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを認証の対象となる端末のアドレスとして登録しておいてもよい。
【００２１】
上記認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、そのパケットのヘッダ領域に格納されている送信元アドレスが登録されている認証の対象となる端末のアドレスかどうか判定し、認証の対象となる端末のアドレスであれば認証処理を実行し、認証の対象となる端末のアドレスでなければ認証処理を実行しなくてもよい。
【発明の効果】
【００２２】
本発明は次の如き優れた効果を発揮する。
【００２３】
（１）Ｌ３機器を介して接続された未認証の端末の通信が許可されることが防止できる。
【図面の簡単な説明】
【００２４】
【図１】本発明の一実施形態を示す認証機能付きネットワーク中継機器の内部構成図である。
【図２】本発明に用いるＤＨＣＰパケットの構成図である。
【図３】認証管理テーブルの構成図である。
【図４】認証対象管理テーブルの構成図である。
【図５】本発明の認証機能付きネットワーク中継機器を使用したシステムの構成図である。
【図６】認証対象管理テーブルの構成図である。
【図７】認証管理テーブルの構成図である。
【図８】認証管理テーブルの構成図である。
【図９】従来の認証機能付きネットワーク中継機器を使用したシステムの構成図である。
【図１０】従来の認証機能付きネットワーク中継機器を使用したシステムの構成図である。
【発明を実施するための形態】
【００２５】
以下、本発明の一実施形態を添付図面に基づいて詳述する。
【００２６】
本発明の端末の認証方法は、従来より知られている認証機能付きネットワーク中継機器による端末の認証方法に加えて、該認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行するようにしたものである。
【００２７】
具体的には、認証機能付きネットワーク中継機器は、認証の対象となる端末のアドレスが登録される認証対象管理テーブルを備え、受信されたパケットがＤＨＣＰ Ｄｉｓｃｏｖｅｒ、ＤＨＣＰ Ｒｅｑｕｅｓｔのようにデータ領域に当該パケットを送信した端末のアドレスを格納しているパケットであるとき、このパケットを参照し、データ領域、例えば、ＤＨＣＰメッセージのクライアントハードアドレスに格納されているＭＡＣアドレスと、ヘッダ領域に格納されている送信元ＭＡＣアドレスとを比較し、これら両ＭＡＣアドレスが一致するときにそのＭＡＣアドレスを認証の対象となる端末のアドレスとして認証対象管理テーブルに登録する。
【００２８】
さらに、認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、端末からネットワークへのアクセス要求があったと判定し、そのパケットのヘッダ領域に格納されている送信元ＭＡＣアドレスで認証対象管理テーブルを照会することにより、その送信元ＭＡＣアドレスが認証の対象となる端末のＭＡＣアドレスかどうか判定し、認証対象管理テーブルに登録されていれば、認証の対象となる端末のＭＡＣアドレスであるので、認証処理を続行し、認証対象管理テーブルに登録されていなければ、認証処理を止め、認証失敗とする。
【００２９】
図１に示されるように、本発明に係る認証機能付きネットワーク中継機器（以下、認証ＳＷ）１０１は、パケットを送受信する送受信部１０２と、パケットのポート間の転送を制御する転送制御部１０３と、転送制御部１０３を制御する中央制御部１０４とを備える。
【００３０】
送受信部１０２は、複数のポート１０５を備える。ポート１０５には、ケーブルなどの伝送路１０６が接続される。送受信部１０２は、ポート１０５で受信したパケットを転送制御部１０３に送ると共に、転送制御部１０３から送られてきたパケットを所定のポート１０５から送信するようになっている。
【００３１】
転送制御部１０３は、パケット解析部１０７とＦＤＢ（Forwarding Data Base）１０８とフィルタリングテーブル１０９とを備える。パケット解析部１０７は、送受信部１０２から送られてきたパケットの内容を解析し、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、パケットの種類などを調べるようになっている。ＦＤＢ１０８は、ポートとＭＡＣアドレス、ＶＬＡＮとの対応を記憶するテーブルである。ＦＤＢ１０８には、パケットが受信されたとき、受信されたポート１０５と送信元ＭＡＣアドレス、ＶＬＡＮとの対応が記憶される。また、受信したパケットの宛先ＭＡＣアドレスによりＦＤＢ１０８が検索され、そのパケットの転送先のポートが決められる。フィルタリングテーブル１０９には、パケットのフィルタリング内容が設定されている。フィルタリング内容は、特定のパケットを転送不可としたり、特定のパケットを中央制御部１０４へ送ったりするものである。
【００３２】
この実施形態では、フィルタリングテーブル１０９には、認証に成功したＭＡＣアドレスが記憶され、記憶されたＭＡＣアドレスのパケットのみ転送を許可するように設定されると共に、ＤＨＣＰパケットは転送が許可され、ＤＨＣＰ ＤｉｓｃｏｖｅｒまたはＤＨＣＰ Ｒｅｑｕｅｓｔは中央制御部１０４へ送るように設定される。
【００３３】
これにより、転送制御部１０３は、受信したパケットをパケット解析部１０７が解析し、フィルタリングテーブル１０９に記憶されているＭＡＣアドレスのパケットは転送を許可し、ＦＤＢ１０８を参照して所定のポート１０５に転送する。また、転送制御部１０３は、ＤＨＣＰパケットは転送を許可し、ＤＨＣＰ ＤｉｓｃｏｖｅｒまたはＤＨＣＰ Ｒｅｑｕｅｓｔは中央制御部１０４へ送る。
【００３４】
図２に示されるように、ＤＨＣＰ Ｄｉｓｃｏｖｅｒ、ＤＨＣＰ ＲｅｑｕｅｓｔなどのＤＨＣＰパケットは、ヘッダ領域として、イーサネット（登録商標）ヘッダ領域、ＩＰヘッダ領域、ＵＤＰヘッダ領域を有する。イーサネットヘッダ領域は、宛先ＭＡＣアドレスの領域と送信元ＭＡＣアドレスの領域とを含んでいる。データ領域には、ＤＨＣＰメッセージを格納するが、そのＤＨＣＰメッセージにはクライアントハードアドレスの領域が含まれる。クライアントハードアドレスの領域には、当該パケットを送信した端末のＭＡＣアドレスが格納される。図２中、各領域の数値はバイト長である。
【００３５】
図１に示されるように、本発明に係る認証ＳＷ１０１の中央制御部１０４は、ソフトウェアが格納され、そのソフトウェアを実行することで、各種のプロトコル動作を行うよう転送制御部１０３を制御するようになっている。中央制御部１０４は、認証管理テーブル１１０と、認証対象管理テーブル１１１とを備える。中央制御部１０４は、認証対象管理テーブル１１１にアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段１１２と、受信されたパケットがデータ領域にこのパケットを送信した端末のアドレスを格納しているパケットであるとき、上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブル１１１に登録する認証対象登録手段１１３とを備える。これらの手段は、中央制御部１０４にソフトウェアとして格納され、そのソフトウェアが実行されることで実現される。
【００３６】
図３に示されるように、認証管理テーブル１１０は、認証ＳＷ１０１に接続された端末のＭＡＣアドレスとその認証状態が記憶されるテーブルである。
【００３７】
図４に示されるように、認証対象管理テーブル１１１は、認証の対象となる端末のＭＡＣアドレスを記憶するテーブルである。
【００３８】
これにより、中央制御部１０４は、転送制御部１０３から送られてきたＤＨＣＰ ＤｉｓｃｏｖｅｒまたはＤＨＣＰ Ｒｅｑｕｅｓｔを参照し、ヘッダ領域の送信元ＭＡＣアドレスとＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較し、一致する場合にそのＭＡＣアドレスを認証対象管理テーブル１１１に登録する。また、中央制御部１０４は、未認証の端末について背景技術で述べた手順で認証処理を行う際、端末からのパケットのＭＡＣアドレスが認証対象管理テーブル１１１に登録されているときは認証処理を続け、端末からのパケットのＭＡＣアドレスが認証対象管理テーブル１１１に登録されていないときは認証処理を止めて認証失敗とする。
【００３９】
さらに、中央制御部１０４は、上記ＭＡＣアドレスが認証対象管理テーブル１１１に登録されているとき、当該端末にユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより送信するよう動作し、背景技術で述べた認証処理を続ける。中央制御部１０４は、認証に成功したとき、認証管理テーブル１１０に端末のＭＡＣアドレスを登録する。中央制御部１０４は、認証に成功した端末のＭＡＣアドレスを転送制御部１０３のフィルタリングテーブル１０９に登録することにより、フィルタリングテーブル１０９にて転送が許可されるように設定する。
【００４０】
図５に、本発明の認証ＳＷ１０１を使用したシステムを示す。認証ＳＷ１０１の配下にルータ等のＬ３機器５０１が接続されており、Ｌ３機器５０１に端末５０２，５０３が接続されている。端末５０４は直接、認証ＳＷ１０１に接続されている。端末５０２，５０３，５０4は、認証ＳＷ１０１を介してネットワーク５０５と通信する。ネットワーク５０５には、ＤＨＣＰサーバ５０６とＲＡＤＩＵＳサーバ５０７が配置されている。
【００４１】
以下、図５のシステムにおける本発明の認証ＳＷ１０１を用いた端末の認証方法を説明する。なお、ＤＨＣＰは公知であるので、詳しい動作の説明は省略する。また、Ｌ３機器５０１は、端末とＤＨＣＰサーバ間のＤＨＣＰのパケットをリレーするＤＨＣＰリレーの機能を備えるものとする。また、ここでは、認証ＳＷ１０１は、端末からのパケットのＤＨＣＰ Ｄｉｓｃｏｖｅｒを参照して認証対象を管理するが、ＤＨＣＰ Ｒｅｑｕｅｓｔを参照して認証対象を管理する場合でも、類似の手順となる。
【００４２】
まず、端末５０２に対する認証処理は次のようになる。
【００４３】
あるユーザが端末５０２を立ち上げて、または、端末５０２をＬ３機器５０１に接続して、新たにネットワーク５０５に接続しようとしたとする。
【００４４】
端末５０２は、ＩＰアドレスを取得するために、ブロードキャストにてＤＨＣＰ Ｄｉｓｃｏｖｅｒを送信する。この際、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０２のＭＡＣアドレスを格納する。
【００４５】
Ｌ３機器５０１は、端末５０２からのＤＨＣＰ Ｄｉｓｃｏｖｅｒを認証ＳＷ１０１へ中継する。この際、Ｌ３機器５０１は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスをＬ３機器５０１のＭＡＣアドレスに書き換える。
【００４６】
認証ＳＷ１０１は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰ Ｄｉｓｃｏｖｅｒをネットワーク５０５へ中継する。また、フィルタリングテーブル１０９には、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを中央制御部１０４に送るよう設定されているので、転送制御部１０３はＤＨＣＰ Ｄｉｓｃｏｖｅｒを中央制御部１０４に送る。
【００４７】
中央制御部１０４は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域に格納されたＭＡＣアドレスと、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較する。送信元ＭＡＣアドレスはＬ３機器５０１のＭＡＣアドレスであり、クライアントハードアドレスは端末５０２のＭＡＣアドレスであるから、これらは一致しない。よって、中央制御部１０４は、ＭＡＣアドレスを認証対象管理テーブル１１１に登録しない。
【００４８】
ＤＨＣＰサーバ５０６は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、ＤＨＣＰ Ｏｆｆｅｒを送信する。ＤＨＣＰ Ｏｆｆｅｒには、割り当て可能なＩＰアドレスが格納される。
【００４９】
認証ＳＷ１０１は、ＤＨＣＰ ＯｆｆｅｒをＬ３機器５０１へ中継する。
【００５０】
Ｌ３機器５０１は、ＤＨＣＰ Ｏｆｆｅｒを端末５０２へ中継する。
【００５１】
端末５０２は、ＤＨＣＰ Ｏｆｆｅｒを受信すると、ＤＨＣＰ Ｒｅｑｕｅｓｔを送信する。この際、端末５０２は、ＤＨＣＰ Ｒｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレス領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０２のＭＡＣアドレスを格納する。
【００５２】
Ｌ３機器５０１は、端末５０２からのＤＨＣＰ Ｒｅｑｕｅｓｔを認証ＳＷ１０１へ中継する。この際、Ｌ３機器５０１は、ＤＨＣＰ Ｒｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレスをＬ３機器５０１のＭＡＣアドレスに書き換える。
【００５３】
認証ＳＷ１０１は、ＤＨＣＰ Ｒｅｑｕｅｓｔを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰ Ｒｅｑｕｅｓｔをネットワーク５０５へ中継する。
【００５４】
ＤＨＣＰサーバ５０６は、ＤＨＣＰ Ｒｅｑｕｅｓｔを受信すると、端末５０２宛てにＤＨＣＰ ＡＣＫを送信する。
【００５５】
認証ＳＷ１０１は、ＤＨＣＰ ＡＣＫをＬ３機器５０１へ中継する。
【００５６】
Ｌ３機器５０１は、ＤＨＣＰ ＡＣＫを端末５０２へ中継する。
【００５７】
端末５０２は、ＤＨＣＰ ＡＣＫを受信すると、割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。
【００５８】
ユーザは、ネットワーク５０５にアクセスするために、ブラウザを立ち上げる。端末５０２は、これに伴い、所定のサーバに宛ててＨＴＴＰパケットを送信する。ＨＴＴＰパケットの送信元ＭＡＣアドレスには、端末５０２のＭＡＣアドレスが格納される。
【００５９】
Ｌ３機器５０１は、ＨＴＴＰパケットを認証ＳＷ１０１へ転送する。この際、ＨＴＴＰパケットの送信元ＭＡＣアドレスは、Ｌ３機器５０１のＭＡＣアドレスに書き換えられる。
【００６０】
認証ＳＷ１０１は、ＨＴＴＰパケットを受信し、転送制御部１０３においてそのＨＴＴＰパケットの内容を参照する。転送制御部１０３は、ＨＴＴＰパケットの送信元ＭＡＣアドレスがフィルタリングテーブル１０９に設定されていないことから、このＨＴＴＰパケットが未認証の端末からのパケットであることを判定し、このＨＴＴＰパケットを中央制御部１０４に転送する。
【００６１】
中央制御部１０４は、ＨＴＴＰパケットの送信元ＭＡＣアドレスを認証対象管理テーブル１１１と照会する。Ｌ３機器５０１のＭＡＣアドレスは認証対象管理テーブル１１１に登録されていないので、認証失敗と判定する。中央制御部１０４は、認証失敗を端末５０２に対してパケットにより通知する。
【００６２】
端末５０２のユーザは、認証ＳＷ１０１において認証失敗となり、ネットワーク５０５との通信は不可となる。
【００６３】
端末５０３に対する認証処理は、端末５０２に対する認証処理と同じになる。
【００６４】
端末５０４に対する認証処理は、次のようになる。
【００６５】
あるユーザが端末５０４を立ち上げて、または、端末５０４を認証ＳＷ１０１に接続して、新たにネットワーク５０５に接続しようとしたとする。
【００６６】
端末５０２は、ＩＰアドレスを取得するために、ブロードキャストにてＤＨＣＰ Ｄｉｓｃｏｖｅｒを送信する。この際、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０４のＭＡＣアドレスを格納する。
【００６７】
認証ＳＷ１０１は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰ Ｄｉｓｃｏｖｅｒをネットワーク５０５へ中継する。また、フィルタリングテーブル１０９には、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを中央制御部１０４に転送するよう設定されているので、転送制御部１０３はＤＨＣＰ Ｄｉｓｃｏｖｅｒを中央制御部１０４に送る。
【００６８】
中央制御部１０４は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒのイーサネットヘッダ領域の送信元ＭＡＣアドレスの領域に格納されたＭＡＣアドレスと、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域に格納されたＭＡＣアドレスとを比較する。送信元ＭＡＣアドレスもクライアントハードアドレスも共に端末５０４のＭＡＣアドレスであるから、これらは一致する。よって、中央制御部１０４は、この端末５０４のＭＡＣアドレスを認証対象管理テーブル１１１に登録する。この結果、認証対象管理テーブル１１１の内容は、図６のようになる。
【００６９】
ＤＨＣＰサーバ５０６は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、ブロードキャストにてＤＨＣＰ Ｏｆｆｅｒを送信する。ＤＨＣＰ Ｏｆｆｅｒには、割り当て可能なＩＰアドレスが格納される。
【００７０】
認証ＳＷ１０１は、ＤＨＣＰ Ｏｆｆｅｒを端末５０４へ中継する。
【００７１】
端末５０４は、ＤＨＣＰ Ｏｆｆｅｒを受信すると、ＤＨＣＰ Ｒｅｑｕｅｓｔを送信する。この際、端末５０４は、ＤＨＣＰ Ｒｅｑｕｅｓｔのイーサネットヘッダ領域の送信元ＭＡＣアドレス領域と、データ領域のＤＨＣＰメッセージのクライアントハードアドレスの領域とに、端末５０４のＭＡＣアドレスを格納する。
【００７２】
認証ＳＷ１０１は、ＤＨＣＰ Ｒｅｑｕｅｓｔを受信すると、ＤＨＣＰパケットは中継を許可するようフィルタリングテーブル１０９に設定されていることから、このＤＨＣＰ Ｒｅｑｕｅｓｔをネットワーク５０５へ中継する。
【００７３】
ＤＨＣＰサーバ５０６は、ＤＨＣＰ Ｒｅｑｕｅｓｔを受信すると、端末５０４宛てにＤＨＣＰ ＡＣＫを送信する。
【００７４】
認証ＳＷ１０１は、ＤＨＣＰ ＡＣＫを端末５０４へ中継する。
【００７５】
端末５０４は、ＤＨＣＰ ＡＣＫを受信すると、割り当てられたＩＰアドレスを自身に設定し、以後、このＩＰアドレスにより通信を行う。
【００７６】
ユーザは、ネットワーク５０５にアクセスするために、ブラウザを立ち上げる。端末５０４は、これに伴い、所定のサーバに宛ててＨＴＴＰパケットを送信する。ＨＴＴＰパケットの送信元ＭＡＣアドレスには、端末５０４のＭＡＣアドレスが格納される。
【００７７】
認証ＳＷ１０１は、ＨＴＴＰパケットを受信し、転送制御部１０３においてそのＨＴＴＰパケットの内容を参照する。転送制御部１０３は、ＨＴＴＰパケットの送信元ＭＡＣアドレスがフィルタリングテーブル１０９に設定されていないことから、このＨＴＴＰパケットが未認証の端末からのパケットであることを判定し、このＨＴＴＰパケットを中央制御部１０４に転送する。
【００７８】
中央制御部１０４は、ＨＴＴＰパケットの送信元ＭＡＣアドレスを認証対象管理テーブル１１１と照会する。端末５０４のＭＡＣアドレスは認証対象管理テーブル１１１に登録されているので、認証処理は続行される。中央制御部１０４は、端末５０４に対してユーザ名とパスワードの入力を要求する認証ＷＥＢ画面をパケットにより送信する。また、中央制御部１０４は、認証管理テーブル１１０に端末５０４のＭＡＣアドレスを登録する。この結果、認証管理テーブル１１０の内容は、図７のようになる。
【００７９】
ユーザは、端末５０４に表示された認証ＷＥＢ画面にユーザ名とパスワードを入力し、端末５０４は入力されたユーザ名とパスワードをパケットにより認証ＳＷ１０１へ送信する。
【００８０】
認証ＳＷ１０１は、端末５０４からのユーザ名とパスワードが格納されたパケットを受信し、このユーザ名とパスワードが格納されたパケットをＲＡＤＩＵＳサーバ５０７へ送信する。
【００８１】
ＲＡＤＩＵＳサーバ５０７は、正当なユーザが登録されたデータベースを有し、受信したパケット中のユーザ名とパスワードをデータベースに照会する。端末５０４のユーザが正当なユーザであるとすると、ＲＡＤＩＵＳサーバ５０７は、認証成功の返信のパケットを認証ＳＷ１０１へ送信する。
【００８２】
認証ＳＷ１０１は、認証成功の返信のパケットを受信し、中央制御部１０４は、端末５０４を認証成功として認証管理テーブル１１０に端末５０４のＭＡＣアドレスを登録する。この結果、認証管理テーブル１１０の内容は、図８のようになる。また、中央制御部１０４は、転送制御部１０３のフィルタリングテーブル１０９に端末５０４のＭＡＣアドレスを設定し、これにより、端末５０４のＭＡＣアドレスを有するパケットはネットワーク５０５への中継が許可されるようになる。中央制御部１０４は、端末５０４へ認証成功を通知するパケットを送信する。
【００８３】
端末５０４のユーザは、認証ＳＷ１０１において認証成功となり、以後、ネットワーク５０５との通信が可能となる。
【００８４】
以上説明したように、本発明の端末の認証方法によれば、Ｌ３機器５０１を介して認証ＳＷ１０１に接続されている端末５０２，５０３は、認証ＳＷ１０１において認証処理が実行されることなく、認証失敗となる。一方、認証ＳＷ１０１に直接接続されている端末５０４は、認証ＳＷ１０１においてＷＥＢ認証の認証処理が実行される。
【００８５】
これにより、Ｌ３機器５０１を介して認証ＳＷ１０１に接続されている端末は、全て認証失敗となり、認証ＳＷ１０１に直接接続されている端末は、認証処理により正当なユーザのみ認証成功となる。
【符号の説明】
【００８６】
１０１ 認証機能付きネットワーク中継機器（認証ＳＷ）
１０２ 送受信部
１０３ 転送制御部
１０４ 中央制御部
１０５ ポート
１０６ 伝送路
１０７ パケット解析部
１０８ ＦＤＢ
１０９ フィルタリングテーブル
１１０ 認証管理テーブル
１１１ 認証対象管理テーブル
【特許請求の範囲】
【請求項１】
認証の対象となる端末のアドレスが登録される認証対象管理テーブルと、
該認証対象管理テーブルにアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備えることを特徴とする認証機能付きネットワーク中継機器。
【請求項２】
データ領域にパケットを送信した端末のアドレスを格納しているパケットの上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブルに登録する認証対象登録手段とを備えたことを特徴とする請求項１記載の認証機能付きネットワーク中継機器。
【請求項３】
上記認証処理実行手段は、端末からのネットワークへのアクセス要求のパケットのヘッダ領域に格納されている送信元アドレスが上記認証対象管理テーブルに登録されている場合に、上記アクセス要求をしてきた端末の認証処理を実行することを特徴とする請求項１又は２記載の認証機能付きネットワーク中継機器。
【請求項４】
認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、
該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行することを特徴とする端末の認証方法。
【請求項５】
上記認証機能付きネットワーク中継機器は、データ領域にパケットを送信した端末のアドレスを格納しているパケットの該データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを認証の対象となる端末のアドレスとして登録しておくことを特徴とする請求項４記載の端末の認証方法。
【請求項６】
上記認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、そのパケットのヘッダ領域に格納されている送信元アドレスが登録されている認証の対象となる端末のアドレスかどうか判定し、認証の対象となる端末のアドレスであれば認証処理を実行し、認証の対象となる端末のアドレスでなければ認証処理を実行しないことを特徴とする請求項４又は５記載の端末の認証方法。
【請求項１】
認証の対象となる端末のアドレスが登録される認証対象管理テーブルと、
該認証対象管理テーブルにアドレスが登録されている端末に対して認証処理を実行する認証処理実行手段とを備えることを特徴とする認証機能付きネットワーク中継機器。
【請求項２】
データ領域にパケットを送信した端末のアドレスを格納しているパケットの上記データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを上記認証対象管理テーブルに登録する認証対象登録手段とを備えたことを特徴とする請求項１記載の認証機能付きネットワーク中継機器。
【請求項３】
上記認証処理実行手段は、端末からのネットワークへのアクセス要求のパケットのヘッダ領域に格納されている送信元アドレスが上記認証対象管理テーブルに登録されている場合に、上記アクセス要求をしてきた端末の認証処理を実行することを特徴とする請求項１又は２記載の認証機能付きネットワーク中継機器。
【請求項４】
認証機能付きネットワーク中継機器に認証の対象となる端末のアドレスを登録させておき、
該認証機能付きネットワーク中継機器が認証の対象としてアドレスが登録されている端末に対して認証処理を実行することを特徴とする端末の認証方法。
【請求項５】
上記認証機能付きネットワーク中継機器は、データ領域にパケットを送信した端末のアドレスを格納しているパケットの該データ領域に格納されているアドレスとヘッダ領域に格納されている送信元アドレスとを比較し、一致するときにそのアドレスを認証の対象となる端末のアドレスとして登録しておくことを特徴とする請求項４記載の端末の認証方法。
【請求項６】
上記認証機能付きネットワーク中継機器は、受信されたパケットが端末からのネットワークへのアクセス要求のパケットであるとき、そのパケットのヘッダ領域に格納されている送信元アドレスが登録されている認証の対象となる端末のアドレスかどうか判定し、認証の対象となる端末のアドレスであれば認証処理を実行し、認証の対象となる端末のアドレスでなければ認証処理を実行しないことを特徴とする請求項４又は５記載の端末の認証方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１０−１８７３１４（Ｐ２０１０−１８７３１４Ａ）
【公開日】平成２２年８月２６日（２０１０．８．２６）
【国際特許分類】
【出願番号】特願２００９−３１４６８（Ｐ２００９−３１４６８）
【出願日】平成２１年２月１３日（２００９．２．１３）
【出願人】（０００００５１２０）日立電線株式会社 (3,358)
【Ｆターム（参考）】
【公開日】平成２２年８月２６日（２０１０．８．２６）
【国際特許分類】
【出願日】平成２１年２月１３日（２００９．２．１３）
【出願人】（０００００５１２０）日立電線株式会社 (3,358)
【Ｆターム（参考）】
[ Back to top ]