ＭＡＣアドレス自動認証システム
【課題】自立的にパケット送信を行わない端末であっても認証することのできる自動認証システムを提供する。
【解決手段】イーサネットスイッチにおけるＭＡＣ（Media Access Control）アドレス自動認証システムにおいて、端末のＩＰアドレスおよびＭＡＣアドレス毎に端末の認証状態および端末の属するＶＬＡＮの情報を格納した認証状態管理テーブル、該テーブルを参照して未認証の端末のアドレスに対してＡＲＰリクエストを送信し、ＡＲＰリクエストに対するリプライの有無を検出する認証制御部を備え、前記リプライの有りを検出したとき、検出したリプライに含まれるＭＡＣアドレスにしたがって、前記認証状態管理テーブルの端末認証状態を「認証済み」に変更して、前記端末を前記ＶＬＡＮの情報にしたがって所定のＶＬＡＮに収容する。
【解決手段】イーサネットスイッチにおけるＭＡＣ（Media Access Control）アドレス自動認証システムにおいて、端末のＩＰアドレスおよびＭＡＣアドレス毎に端末の認証状態および端末の属するＶＬＡＮの情報を格納した認証状態管理テーブル、該テーブルを参照して未認証の端末のアドレスに対してＡＲＰリクエストを送信し、ＡＲＰリクエストに対するリプライの有無を検出する認証制御部を備え、前記リプライの有りを検出したとき、検出したリプライに含まれるＭＡＣアドレスにしたがって、前記認証状態管理テーブルの端末認証状態を「認証済み」に変更して、前記端末を前記ＶＬＡＮの情報にしたがって所定のＶＬＡＮに収容する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＭＡＣアドレス自動認証システムにかかり、特に、要求パケットに対する応答パケットを契機にしてイーサネット（登録商標）スイッチがＭＡＣアドレスによる認証を行う自動認証システムネットワークに関する。
【背景技術】
【０００２】
クライアントに対する端末認証方式として、クライアント端末からログイン等の認証を必要とする要求があった場合に、クライアント端末からユーザ情報をサーバに送信したのち認証処理が行われる方式が知られている（特許文献１参照）。ここでは、認証されていないネットワーク機器は、ネットワークを経由して他のネットワーク機器にアクセスすることができず、また他のネットワーク機器からのアクセスもできない。
【０００３】
イーサネットスイッチにおけるＭＡＣアドレス認証システムは主として２種類ある。一つはＷｅｂブラウザなどを用いユーザ名を入力させる等のユーザ介入を契機として認証対象端末のＭＡＣアドレスを取得し認証する方式であり、もう一つは認証対象端末が自立的に送信するパケットをモニタし、パケット中のＭＡＣアドレスを取得し認証するパケット認証方式である。
【特許文献１】特開平１０−３３６３４５公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
前記いずれの方式でもユーザ介入による契機、あるいは端末が自立的にパケット送信を行う等、認証対象端末側で認証契機を発生させる必要がある。しかし、端末が前記認証契機を発生しないネットワーク機器である場合は認証契機が存在しないため、ネットワーク上で認証されることがない。
【０００５】
このようなネットワーク機器は、現状では認証されることなくネットワークに接続されることになる。このような機器としては出力専用ネットワークプリンタがある。このような場合には、たとえ前記ネットワークプリンタがセキュリティ機能を持つプリンタであっても認証されていない。このため、セキュリティ機能を持たないネットワークプリンタに接続変更されるとセキュリティ面で問題が発生することがある。
【０００６】
本発明はこれらの問題点に鑑みてなされたもので、自立的にパケット送信を行わない端末であっても認証することのできる自動認証システムを提供するものである。
【課題を解決するための手段】
【０００７】
本発明は上記課題を解決するため、次のような手段を採用した。
【０００８】
認証サーバ、ファイルサーバおよび複数の端末、並びに前記認証サーバ、ファイルサーバおよび複数の端末を接続する入出力端子を備えたイーサネットスイッチを備え、前記認証サーバ、ファイルサーバおよび複数の端末の接続を切り換えて複数のＶＬＡＮ（Virtual LAN）を形成するイーサネットスイッチにおけるＭＡＣ（Media Access Control）アドレス自動認証システムにおいて、端末のＩＰアドレスおよびＭＡＣアドレス毎に端末の認証状態および端末の属するＶＬＡＮの情報を格納した認証状態管理テーブル、該テーブルを参照して未認証の端末のアドレスに対してＡＲＰリクエストを送信し、ＡＲＰリクエストに対するリプライの有無を検出する認証制御部を備え、前記リプライの有りを検出したとき、検出したリプライに含まれるＭＡＣアドレスにしたがって、前記認証状態管理テーブルの端末認証状態を「認証済み」に変更して、前記端末を前記ＶＬＡＮの情報にしたがって所定のＶＬＡＮに収容する。
【発明の効果】
【０００９】
本発明は、以上の構成を備えるため、自立的にパケット送信を行わない端末であっても認証することができる。
【発明を実施するための最良の形態】
【００１０】
以下、最良の実施形態を添付図面を参照しながら説明する。図１、２、３は、本実施形態にかかる認証システムを説明する図であり、図１は認証前の状態、図２は認証時の状態、図３は認証後の状態を示す図である。
【００１１】
このシステムは、認証を管理するイーサネットスイッチＳＷ１、ＳＷ１に接続する端末Ｔ１、プリンタ端末Ｐ１、認証用ＤＢ（ＲＡＤＩＵＳ(Remote Authentication Dial In User Service）等がある）を有するサーバ（認証用サーバと略す）Ｓ１、ファイルサーバＳ２を備える。
【００１２】
認証前の端末Ｔ１は、未認証ＶＬＡＮ（Ｖ１００１）に収容する。ネットワークへの接続は認証された端末のみであるため、この時点で端末Ｔ１はファイルサーバＳ２にアクセスできない。
【００１３】
プリンタは、不正出力防止等のためセキュリティ機能を有するプリンタのみネットワークに接続可能としている。未認証のプリンタ端末Ｐ１は端末Ｔ１と異なる未認証ＶＬＡＮ（Ｖ１００２）に収容する。プリンタ端末Ｐ１は端末Ｔ１からアクセスできないため、プリンタ端末Ｐ１からの不正出力を防止できる。認証用サーバＳ１は、認証時のみ使用するため認証サーバＶＬＡＮ（Ｖ１０１０）に収容する。このため認証用サーバＳ１は端末Ｔ１、ファイルサーバＳ２及びプリンタ端末Ｐ１からはアクセスできない。ファイルサーバＳ２は、運用ＶＬＡＮ（Ｖ１０２０）に収容する。
【００１４】
図２は認証時状態を示す図である。本実施形態においては、イーサネットスイッチＳＷ１は一定周期で図６に示すＡＲＰ（Address Resolve Protocol）リクエストＡ３００を送信する機能を備えている。プリンタ端末Ｐ１はＡＲＰリクエストＡ３００を受信し、受信したプリンタ端末Ｐ１はＡＲＰレスポンスを返信する。
【００１５】
イーサネットスイッチＳＷ１は返信されたＡＲＰレスポンスに格納されているプリンタ端末Ｐ１のＭＡＣアドレスを、認証制御部１０３および認証ＤＢアクセス制御部１０２を介して認証サーバＳ１へ問い合せて認証を実施する。なお、その詳細は後述する。
【００１６】
なお、端末Ｔ１にユーザが存在するときは、端末Ｔ１はユーザの介入を契機にファイルサーバＳ２にパケットを送信する。イーサネットスイッチＳＷ１は端末Ｔ１からのパケットを監視し、パケット内のＭＡＣアドレスを用いて認証用サーバＳ１または内蔵されたＤＢへ認証の可否の問い合わせを行い、認証処理を実施する。
【００１７】
端末Ｔ１にユーザの介入がない場合においても、端末Ｔ１がＡＲＰリクエストＡ３００を受信し、ＡＲＰレスポンスで応答する。このため、返信されたＡＲＰレスポンスに格納されている端末Ｔ１のＭＡＣアドレスを、認証制御部１０３および認証ＤＢアクセス制御部１０２経由で認証サーバＳ１を問合せすることで認証処理が実施できる。
【００１８】
図３は、認証後の状態を示す図である。
【００１９】
認証サーバの認証により、イーサネットスイッチＳＷ１は端末Ｔ１およびプリンタ端末Ｐ１を認証する。これによって、端末Ｔ１およびプリンタ端末Ｐ１はファイルサーバＳ２と同じ運用ＶＬＡＮ（Ｖ１０２０）に属するようなＶＬＡＮが構成される。構成された新しいＶＬＡＮ状態をイーサネットスイッチＳＷ１のハードウェアに指示することで、端末Ｔ１とプリンタＰ１、ファイルサーバＳ２間の相互アクセスが可能になる。
【００２０】
このため、認証済みの端末Ｔ１およびプリンタ端末Ｐ１のみを運用ＶＬＡＮ（Ｖ１０２０）に接続することができる。この例の場合、ファイルサーバＳ２にアクセスできる未認証の端末が運用ＶＬＡＮ（Ｖ１０２０）に接続されないため、セキュリティを維持することができる。
【００２１】
図４は、イーサネットスイッチＳＷ１の詳細を説明する図である。イーサネットスイッチＳＷ１は、パラメータ制御部１０１、認証ＤＢアクセス制御部１０２、認証制御部１０３、ネットワーク管理制御部１０４、リクエスト送信処理部１０５、リプライ受信待ち処理部１０６、認証用ＤＢ２０１を備える。認証用サーバＳ１は通常のＰＣと同様に制御部、記憶部、通信部、メモリなどを備える。認証用サーバＳ１の記憶部には認証用ＤＢ２００を設ける。
【００２２】
パラメータ制御部１０１は、イーサネットスイッチＳＷ１が動作するため必要な各種パラメータを取得し内部テーブルに保存する。また内部テーブルには、認証すべき端末のＩＰアドレス範囲を決定するための検索開始端末ＩＰアドレス値、検索完了端末ＩＰアドレス値を保存する。またイーサネットスイッチＳＷ１は、認証するＩＰアドレス範囲を取得する際に各種パラメータをテーブルＴ１００から取り出す。
【００２３】
認証ＤＢアクセス制御部１０２は、認証制御部１０３が認証用サーバＳ１内蔵の認証用ＤＢ２００あるいはイーサネットスイッチＳＷ１内蔵の認証用ＤＢ２０１にアクセスすることを可能にする。なお、認証ＤＢアクセス制御部１０２は前記パラメータの状態により問い合わせるＤＢをＤＢ２００あるいはＤＢ２０１に切り替えることもできる。
【００２４】
認証制御部１０３は、イーサネットスイッチＳＷ１の認証機能全般を制御する。例えば認証の開始、認証成功後の処理、認証ＤＢへのユーザ名、パスワードの照合依頼、ネットワークヘの送信依頼等を制御する。
【００２５】
ネットワーク管理制御部１０４は、認証制御部１０３からの送信指示に従って、送信データを作成しリクエスト送信処理部１０５へ通知する。またリプライ受信待ち処理部１０６から受信したデータを解析し必要なデータの情報を認証制御部１０３へ通知する。
【００２６】
リクエスト送信処理部１０５は、ネットワーク管理制御部１０４からの指示に従ってＡＲＰリクエストＡ３００をネットワークヘ送り出す。
【００２７】
リプライ受信待ち処理部１０６は、ネットワークからのＡＲＰレスポンスを受信する機能であり、ＡＲＰリクエストＡ３００送信後、一定時間、受信データの到着を待つ。
【００２８】
認証用サーバＳ１内蔵の認証用ＤＢ２００は、ＭＡＣアドレス認証に使用するユーザ名、パスワードおよび認証に必要な各情報を格納している。
【００２９】
イーサネットスイッチＳＷ１内蔵の認証用ＤＢ２０１は、認証用サーバＳ１内蔵の認証用ＤＢ２００と同様の情報を有するＤＢである。
【００３０】
図５は、イーサネットスイッチＳＷ１が動作をするための各種のパラメータを保存するテーブルＴ１００を示す図である。このテーブルは認証制御部１０３に備える。
【００３１】
各種パラメータテーブルＴ１００は、認証対象端末を限定するのに必要な各種のパラメータを格納したテーブルであり、検索開始端末ＩＰアドレスＴ１０１、検索完了端末ＩＰアドレスＴ１０２、端末検索間隔Ｔ１０３を備える。
【００３２】
検索開始端末ＩＰアドレスＴ１０１は、検索対象が複数ある場合、検索対象ＩＰアドレス範囲の最初のアドレスとなる。このＩＰアドレス以降のＩＰアドレスがＡＲＰリクエストＡ３００の送信対象となる。検索完了端末ＩＰアドレスＴ１０２は、検索対象が複数ある場合の検索対象ＩＰアドレス範囲の最後のアドレスとなる。検索開始端末ＩＰアドレスＴ１０１からこのＩＰアドレスまでの範囲がＡＲＰリクエストＡ３００の送信対象となる。 端末検索間隔Ｔ１０３は、検索して発見できなかった端末を再度認証対象とするために、ＡＲＰリクエストＡ３００を送信する間隔を指定するパラメータである。
【００３３】
図６は、認証パケット（ＡＲＰリクエスト）のフォーマットを示す図である。認証パケット（ＡＲＰリクエスト）Ａ３００は、イーサネットネットヘッダＡ３０１、ＡＲＰフレームデータＡ３０２を備える。イーサネットヘッダＡ３０１は、イーサネットパケットで必要とする情報を格納したヘッダ部分である。ＡＲＰフレームデータＡ３０２は、イーサネットパケットのリクエストデータ部分である。
【００３４】
ＡＲＰフレームデータＡ３０２に認証したい端末のＩＰアドレスを入れてブロードキャスト送信すると、同じＩＰアドレスを持つ端末は、ＡＲＰリプライを返信する。返信されたＡＲＰリプライには返信した端末のＭＡＣアドレスが記載されているので、このＭＡＣアドレスを元にイーサネットスイッチＳＷ１は前記端末を認証することができる。
【００３５】
図７は、認証の状態を管理する認証管理テーブルを示す図である。認証管理テーブルＴ２００は認証制御部１０３で管理する。認証管理テーブルＴ２００には、認証完了した端末ＩＰアドレスＴ２０１、端末ＭＡＣアドレスＴ２０２、端末認証状態Ｔ２０３、端末が認証成功後に属することになるＶＬＡＮ番号Ｔ２０４の情報が記録される。
【００３６】
ここで、端末ＩＰアドレスＴ２０１は、認証対象端末Ｔ１またはプリンタ端末Ｐ１のＩＰアドレスである。端末ＭＡＣアドレスＴ２０２は、認証対象端末Ｔ１またはプリンタ端末Ｐ１のＭＡＣアドレスである。端末認証状態Ｔ２０３は、認証対象端末Ｔ１またはプリンタ端末Ｐ１の認証状態である。また、端末が属するＶＬＡＮ情報Ｔ２０４は、認証対象端末Ｔ１またはプリンタ端末Ｐ１が認証成功した後に属することとなる運用ＶＬＡＮの番号情報である。
【００３７】
認証管理テーブルＴ２００に端末ＩＰアドレスＴ２０１、端末ＭＡＣアドレスＴ２０２、端末認証状態Ｔ２０３、端末が認証成功後に属するＶＬＡＮ番号Ｔ２０４の情報を一括して記録し管理することにより、認証完了状態の端末に対して、ＡＲＰリクエストＡ３００を再度送信しないための制御に使用できる。
【００３８】
図８は、イーサネットスイッチによるＭＡＣアドレス認証処理を説明する図である。
【００３９】
まず、ステップＳ１００１において、認証する端末を特定するためのパラメータテーブル（図５）を取得する。
【００４０】
ステップＳ１０２において、取得した前記パラメータテーブル（図５）から、認証対象端末のＩＰアドレスを確定する。ここでは、検索開始端末ＩＰアドレスＴ１０１と検索完了端末ＩＰアドレスＴ１０２の間のＩＰアドレスを認証対象とする。認証対象を限定することで、認証対象外の端末ＩＰアドレスに対するＡＲＰリクエストＡ３００の送信を抑止できる。
【００４１】
ステップＳ１０３において、認証対象端末に関する情報を図７の認証管理テーブルＴ２００から取得する。なお、イーサネットスイッチＳＷ１が認証対象とする端末のＩＰアドレスは、全てこの認証管理テーブルＴ２００に格納されている。
【００４２】
ステップＳ１００４において、取得した認証管理テーブルＴ２００の端末認証状態Ｔ２０３を参照し、その端末が未認証状態か否かを判定する。未認証状態の場合、さらに図５の各種パラメータテーブルＴ１００の検索開始端末ＩＰアドレスと検索終了端末ＩＰアドレスの範囲にあるか否かを判定する。
【００４３】
ここで、端末が未認証状態で、かつ検索開始端末ＩＰアドレスと検索終了端末ＩＰアドレスの範囲にある場合はステップＳ１００５に進み、そうでない場合は次の端末処理のためのステップＳ１０１１に進む。
【００４４】
ステップＳ１００５において、リクエスト送信処理部１０５は、認証処理対象端末のＩＰアドレスに対してのＡＲＰリクエストＡ３００を送信する。
【００４５】
ＡＲＰリクエストＡ３００はイーサネットヘッダＡ３０１とＡＲＰフレームデータＡ３０２で構成され、ＡＲＰフレームデータＡ３０２には、認証処理対象端末のＩＰアドレスＴ２０１（図７）のＩＰアドレスを使用する。
【００４６】
ここでは、送信されたＡＲＰリクエストＡ３００の受信先ＩＰアドレスと同じＩＰアドレスを持つ認証処理対象端末が受信した場合、その端末がＡＲＰリプライを返信することを期待している。返信されてくるＡＲＰリプライの中には、ＡＲＰリプライを返送した端末自身のＩＰアドレスとＭＡＣアドレスが含まれている。
【００４７】
ステップＳ１００６において、所定時間、認証処理対象端末から返送されたＡＲＰリプライを待つ。
【００４８】
ステップＳ１００７において、ＡＲＰリプライを受信したか否かを判定する。
【００４９】
一定時間経過してもリプライがない場合、当該端末は非動作と認識し認証処理は行わない。ＡＲＰリクエストＡ３００の送信から所定時間内にパケットを受信した場合、受信したパケットデータのプロトコルのタイプ情報を取り出し、取り出したプロトコルのタイプ情報を元に、認証対象端末のＡＲＰリプライパケットか否かを判断する。認証対象端末のＡＲＰリプライパケットではない場合、そのパケットを破棄し、次の端末処理のためのステップＳ１０１１に進む。認証対象端末のＡＲＰリプライパケットの場合、ステップＳ１００８に進む。
【００５０】
ステップＳ１００８において、受信したＡＲＰリプライを用いて認証を実施する。認証に際しては、受信したＡＲＰリプライのデータからＡＲＰリプライを返送した端末のＭＡＣアドレスを取り出す。認証ＤＢアクセス制御部１０２は、受信したＡＰＲリプライに格納されているＭＡＣアドレスを元に、認証用サーバＳ１に内蔵された認証用ＤＢ２００あるいはイーサネットスイッチＳＷ１に内蔵された認証用ＤＢ２０１に認証の可否を問合せる。いずれのＤＢに問い合わせした場合でも、ＤＢは認証を許可する条件の場合、認証許可を認証ＤＢアクセス制御部１０２へ返信する。認証を許可しない条件の場合、認証拒否を認証ＤＢアクセス制御部１０２に返信する。
【００５１】
ステップＳ１００９において、認証制御部１０３は、認証ＤＢアクセス制御部１０２に返信された認証許可／認証拒否結果にしたがって認証の可否を判定する。ここで判定結果が認証許可であれば認証成功後のステップＳ１０１０へ進む。認証拒否であれば、次の端末処理のためのステップＳ１０１１に進む。
【００５２】
このように認証されなかった端末は、ネットワークに接続することができない。このことは端末がセキュリティ機能を持たないプリンタであっても同様である。このことにより、ネットワークのセキュリティを維持することができる。
【００５３】
ステップＳ１０１０において、認証管理テーブルＴ２００の端末認証状態を「認証済」にし、運用ＶＬＡＮ（Ｖ１０２０）のＶＬＡＮ番号の値を属するＶＬＡＮ情報Ｔ２０４に設定する。設定されたＶＬＡＮ番号の値を最後にハードウェアに指示することで、同じＶＩＡＮに属する端末が通信できるようになる。
【００５４】
この結果、端末Ｔ１、プリンタ端末Ｐ１はファイルサーバＳ２と同じ運用ＶＬＡＮに属することになり互いに通信可能となる。このようにして、許可された端末、プリンタのみが通信可能となるため、ネットワークのセキュリティを維持することができる。
【００５５】
また、認証制御部１０３が認証許可したＭＡＣアドレスを認証管理テーブルＴ２００に反映しておくことにより、認証済み端末として、次回からＡＲＰリクエストを送信しないようにすることが可能である。
【００５６】
ステップＳ１０１１において、次の未認証端末に対して認証開始の時間待ちを行う。すなわち、一つの端末のＩＰアドレスの認証処理を完了した後、各種パラメータテーブルＴ１００に示した検索間隔の間は次の認証処理を行わない。これによりイーサネットスイッチＳＷ１の負荷を低減することができる。
【００５７】
以上説明したように、本実施形態によれば、自立的にパケット送信を行わない端末であってもイーサネットスイッチで認証可能とすることができる。その際、認証する端末には特別なプロトコルを必要としない。また、ユーザの介入を必要としない。その結果ネットワーク全体のセキュリティを高めることができる。また、セキュリティ機能を持つネットワーク機器がセキュリティ機能持たないネットワーク機器に変更された場合、変更されたネットワーク機器の認証を行うことができるため、セキュリティを維持することができる。
【００５８】
このように、自立的にパケットを送信しないネットワーク機器であっても認証処理を行うことができるため、認証許可されたネットワーク機器のみがネットワークヘの接続を許可されることになり、ネットワークのセキュリティを向上することができる。
【図面の簡単な説明】
【００５９】
【図１】実施形態にかかる認証システム（認証前の状態）を説明する図である。
【図２】実施形態にかかる認証システム（認証時の状態）を説明する図である。
【図３】実施形態にかかる認証システム（認証後の状態）を説明する図である。
【図４】イーサネットスイッチＳＷ１の詳細を説明する図である。
【図５】各種のパラメータを保存するテーブルを示す図である。
【図６】認証パケット（ＡＲＰリクエスト）のフォーマットを示す図である。
【図７】認証の状態を管理する認証管理テーブルを示す図である。
【図８】イーサネットスイッチによるＭＡＣアドレス認証処理を説明する図である。
【符号の説明】
【００６０】
ＳＷ１ イーサネットスイッチ
Ｔ１ 端末
Ｐ１ プリンタ端末
Ｓ１ 認証用ＤＢを有する認証用サーバ
Ｓ２ ファイルサーバ
Ｖ１００１ 端末Ｔｌが収容されている未認証ＶＬＡＮ
Ｖ１００２ プリンタ端末Ｐ１が収容されている未認証ＶＬＡＮ
Ｖ１０１０ 認証用サーバＳ１が収容されている認証サーバＶＬＡＮ
Ｖ１０２０ ファイルサーバＳ２が収容されている運用ＶＬＡＮ
１０１ パラメータ制御部
１０２ 認証ＤＢアクセス制御部
１０３ 認証制御部
１０４ ネットワーク管理制御部
１０５ リクエスト送信処理部
１０６ リプライ受信待ち処理部
２００ 認証用サーバＳ１に内蔵する認証用ＤＢ
２０１ イーサネットスイッチＳＷｌに内蔵する認証用ＤＢ
Ａ３００ 認証用ＡＲＰリクエストのパケットデータ構造
Ａ３０１ イーサネットヘッダ部分
Ａ３０２ リクエストデータ部分
【技術分野】
【０００１】
本発明は、ＭＡＣアドレス自動認証システムにかかり、特に、要求パケットに対する応答パケットを契機にしてイーサネット（登録商標）スイッチがＭＡＣアドレスによる認証を行う自動認証システムネットワークに関する。
【背景技術】
【０００２】
クライアントに対する端末認証方式として、クライアント端末からログイン等の認証を必要とする要求があった場合に、クライアント端末からユーザ情報をサーバに送信したのち認証処理が行われる方式が知られている（特許文献１参照）。ここでは、認証されていないネットワーク機器は、ネットワークを経由して他のネットワーク機器にアクセスすることができず、また他のネットワーク機器からのアクセスもできない。
【０００３】
イーサネットスイッチにおけるＭＡＣアドレス認証システムは主として２種類ある。一つはＷｅｂブラウザなどを用いユーザ名を入力させる等のユーザ介入を契機として認証対象端末のＭＡＣアドレスを取得し認証する方式であり、もう一つは認証対象端末が自立的に送信するパケットをモニタし、パケット中のＭＡＣアドレスを取得し認証するパケット認証方式である。
【特許文献１】特開平１０−３３６３４５公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
前記いずれの方式でもユーザ介入による契機、あるいは端末が自立的にパケット送信を行う等、認証対象端末側で認証契機を発生させる必要がある。しかし、端末が前記認証契機を発生しないネットワーク機器である場合は認証契機が存在しないため、ネットワーク上で認証されることがない。
【０００５】
このようなネットワーク機器は、現状では認証されることなくネットワークに接続されることになる。このような機器としては出力専用ネットワークプリンタがある。このような場合には、たとえ前記ネットワークプリンタがセキュリティ機能を持つプリンタであっても認証されていない。このため、セキュリティ機能を持たないネットワークプリンタに接続変更されるとセキュリティ面で問題が発生することがある。
【０００６】
本発明はこれらの問題点に鑑みてなされたもので、自立的にパケット送信を行わない端末であっても認証することのできる自動認証システムを提供するものである。
【課題を解決するための手段】
【０００７】
本発明は上記課題を解決するため、次のような手段を採用した。
【０００８】
認証サーバ、ファイルサーバおよび複数の端末、並びに前記認証サーバ、ファイルサーバおよび複数の端末を接続する入出力端子を備えたイーサネットスイッチを備え、前記認証サーバ、ファイルサーバおよび複数の端末の接続を切り換えて複数のＶＬＡＮ（Virtual LAN）を形成するイーサネットスイッチにおけるＭＡＣ（Media Access Control）アドレス自動認証システムにおいて、端末のＩＰアドレスおよびＭＡＣアドレス毎に端末の認証状態および端末の属するＶＬＡＮの情報を格納した認証状態管理テーブル、該テーブルを参照して未認証の端末のアドレスに対してＡＲＰリクエストを送信し、ＡＲＰリクエストに対するリプライの有無を検出する認証制御部を備え、前記リプライの有りを検出したとき、検出したリプライに含まれるＭＡＣアドレスにしたがって、前記認証状態管理テーブルの端末認証状態を「認証済み」に変更して、前記端末を前記ＶＬＡＮの情報にしたがって所定のＶＬＡＮに収容する。
【発明の効果】
【０００９】
本発明は、以上の構成を備えるため、自立的にパケット送信を行わない端末であっても認証することができる。
【発明を実施するための最良の形態】
【００１０】
以下、最良の実施形態を添付図面を参照しながら説明する。図１、２、３は、本実施形態にかかる認証システムを説明する図であり、図１は認証前の状態、図２は認証時の状態、図３は認証後の状態を示す図である。
【００１１】
このシステムは、認証を管理するイーサネットスイッチＳＷ１、ＳＷ１に接続する端末Ｔ１、プリンタ端末Ｐ１、認証用ＤＢ（ＲＡＤＩＵＳ(Remote Authentication Dial In User Service）等がある）を有するサーバ（認証用サーバと略す）Ｓ１、ファイルサーバＳ２を備える。
【００１２】
認証前の端末Ｔ１は、未認証ＶＬＡＮ（Ｖ１００１）に収容する。ネットワークへの接続は認証された端末のみであるため、この時点で端末Ｔ１はファイルサーバＳ２にアクセスできない。
【００１３】
プリンタは、不正出力防止等のためセキュリティ機能を有するプリンタのみネットワークに接続可能としている。未認証のプリンタ端末Ｐ１は端末Ｔ１と異なる未認証ＶＬＡＮ（Ｖ１００２）に収容する。プリンタ端末Ｐ１は端末Ｔ１からアクセスできないため、プリンタ端末Ｐ１からの不正出力を防止できる。認証用サーバＳ１は、認証時のみ使用するため認証サーバＶＬＡＮ（Ｖ１０１０）に収容する。このため認証用サーバＳ１は端末Ｔ１、ファイルサーバＳ２及びプリンタ端末Ｐ１からはアクセスできない。ファイルサーバＳ２は、運用ＶＬＡＮ（Ｖ１０２０）に収容する。
【００１４】
図２は認証時状態を示す図である。本実施形態においては、イーサネットスイッチＳＷ１は一定周期で図６に示すＡＲＰ（Address Resolve Protocol）リクエストＡ３００を送信する機能を備えている。プリンタ端末Ｐ１はＡＲＰリクエストＡ３００を受信し、受信したプリンタ端末Ｐ１はＡＲＰレスポンスを返信する。
【００１５】
イーサネットスイッチＳＷ１は返信されたＡＲＰレスポンスに格納されているプリンタ端末Ｐ１のＭＡＣアドレスを、認証制御部１０３および認証ＤＢアクセス制御部１０２を介して認証サーバＳ１へ問い合せて認証を実施する。なお、その詳細は後述する。
【００１６】
なお、端末Ｔ１にユーザが存在するときは、端末Ｔ１はユーザの介入を契機にファイルサーバＳ２にパケットを送信する。イーサネットスイッチＳＷ１は端末Ｔ１からのパケットを監視し、パケット内のＭＡＣアドレスを用いて認証用サーバＳ１または内蔵されたＤＢへ認証の可否の問い合わせを行い、認証処理を実施する。
【００１７】
端末Ｔ１にユーザの介入がない場合においても、端末Ｔ１がＡＲＰリクエストＡ３００を受信し、ＡＲＰレスポンスで応答する。このため、返信されたＡＲＰレスポンスに格納されている端末Ｔ１のＭＡＣアドレスを、認証制御部１０３および認証ＤＢアクセス制御部１０２経由で認証サーバＳ１を問合せすることで認証処理が実施できる。
【００１８】
図３は、認証後の状態を示す図である。
【００１９】
認証サーバの認証により、イーサネットスイッチＳＷ１は端末Ｔ１およびプリンタ端末Ｐ１を認証する。これによって、端末Ｔ１およびプリンタ端末Ｐ１はファイルサーバＳ２と同じ運用ＶＬＡＮ（Ｖ１０２０）に属するようなＶＬＡＮが構成される。構成された新しいＶＬＡＮ状態をイーサネットスイッチＳＷ１のハードウェアに指示することで、端末Ｔ１とプリンタＰ１、ファイルサーバＳ２間の相互アクセスが可能になる。
【００２０】
このため、認証済みの端末Ｔ１およびプリンタ端末Ｐ１のみを運用ＶＬＡＮ（Ｖ１０２０）に接続することができる。この例の場合、ファイルサーバＳ２にアクセスできる未認証の端末が運用ＶＬＡＮ（Ｖ１０２０）に接続されないため、セキュリティを維持することができる。
【００２１】
図４は、イーサネットスイッチＳＷ１の詳細を説明する図である。イーサネットスイッチＳＷ１は、パラメータ制御部１０１、認証ＤＢアクセス制御部１０２、認証制御部１０３、ネットワーク管理制御部１０４、リクエスト送信処理部１０５、リプライ受信待ち処理部１０６、認証用ＤＢ２０１を備える。認証用サーバＳ１は通常のＰＣと同様に制御部、記憶部、通信部、メモリなどを備える。認証用サーバＳ１の記憶部には認証用ＤＢ２００を設ける。
【００２２】
パラメータ制御部１０１は、イーサネットスイッチＳＷ１が動作するため必要な各種パラメータを取得し内部テーブルに保存する。また内部テーブルには、認証すべき端末のＩＰアドレス範囲を決定するための検索開始端末ＩＰアドレス値、検索完了端末ＩＰアドレス値を保存する。またイーサネットスイッチＳＷ１は、認証するＩＰアドレス範囲を取得する際に各種パラメータをテーブルＴ１００から取り出す。
【００２３】
認証ＤＢアクセス制御部１０２は、認証制御部１０３が認証用サーバＳ１内蔵の認証用ＤＢ２００あるいはイーサネットスイッチＳＷ１内蔵の認証用ＤＢ２０１にアクセスすることを可能にする。なお、認証ＤＢアクセス制御部１０２は前記パラメータの状態により問い合わせるＤＢをＤＢ２００あるいはＤＢ２０１に切り替えることもできる。
【００２４】
認証制御部１０３は、イーサネットスイッチＳＷ１の認証機能全般を制御する。例えば認証の開始、認証成功後の処理、認証ＤＢへのユーザ名、パスワードの照合依頼、ネットワークヘの送信依頼等を制御する。
【００２５】
ネットワーク管理制御部１０４は、認証制御部１０３からの送信指示に従って、送信データを作成しリクエスト送信処理部１０５へ通知する。またリプライ受信待ち処理部１０６から受信したデータを解析し必要なデータの情報を認証制御部１０３へ通知する。
【００２６】
リクエスト送信処理部１０５は、ネットワーク管理制御部１０４からの指示に従ってＡＲＰリクエストＡ３００をネットワークヘ送り出す。
【００２７】
リプライ受信待ち処理部１０６は、ネットワークからのＡＲＰレスポンスを受信する機能であり、ＡＲＰリクエストＡ３００送信後、一定時間、受信データの到着を待つ。
【００２８】
認証用サーバＳ１内蔵の認証用ＤＢ２００は、ＭＡＣアドレス認証に使用するユーザ名、パスワードおよび認証に必要な各情報を格納している。
【００２９】
イーサネットスイッチＳＷ１内蔵の認証用ＤＢ２０１は、認証用サーバＳ１内蔵の認証用ＤＢ２００と同様の情報を有するＤＢである。
【００３０】
図５は、イーサネットスイッチＳＷ１が動作をするための各種のパラメータを保存するテーブルＴ１００を示す図である。このテーブルは認証制御部１０３に備える。
【００３１】
各種パラメータテーブルＴ１００は、認証対象端末を限定するのに必要な各種のパラメータを格納したテーブルであり、検索開始端末ＩＰアドレスＴ１０１、検索完了端末ＩＰアドレスＴ１０２、端末検索間隔Ｔ１０３を備える。
【００３２】
検索開始端末ＩＰアドレスＴ１０１は、検索対象が複数ある場合、検索対象ＩＰアドレス範囲の最初のアドレスとなる。このＩＰアドレス以降のＩＰアドレスがＡＲＰリクエストＡ３００の送信対象となる。検索完了端末ＩＰアドレスＴ１０２は、検索対象が複数ある場合の検索対象ＩＰアドレス範囲の最後のアドレスとなる。検索開始端末ＩＰアドレスＴ１０１からこのＩＰアドレスまでの範囲がＡＲＰリクエストＡ３００の送信対象となる。 端末検索間隔Ｔ１０３は、検索して発見できなかった端末を再度認証対象とするために、ＡＲＰリクエストＡ３００を送信する間隔を指定するパラメータである。
【００３３】
図６は、認証パケット（ＡＲＰリクエスト）のフォーマットを示す図である。認証パケット（ＡＲＰリクエスト）Ａ３００は、イーサネットネットヘッダＡ３０１、ＡＲＰフレームデータＡ３０２を備える。イーサネットヘッダＡ３０１は、イーサネットパケットで必要とする情報を格納したヘッダ部分である。ＡＲＰフレームデータＡ３０２は、イーサネットパケットのリクエストデータ部分である。
【００３４】
ＡＲＰフレームデータＡ３０２に認証したい端末のＩＰアドレスを入れてブロードキャスト送信すると、同じＩＰアドレスを持つ端末は、ＡＲＰリプライを返信する。返信されたＡＲＰリプライには返信した端末のＭＡＣアドレスが記載されているので、このＭＡＣアドレスを元にイーサネットスイッチＳＷ１は前記端末を認証することができる。
【００３５】
図７は、認証の状態を管理する認証管理テーブルを示す図である。認証管理テーブルＴ２００は認証制御部１０３で管理する。認証管理テーブルＴ２００には、認証完了した端末ＩＰアドレスＴ２０１、端末ＭＡＣアドレスＴ２０２、端末認証状態Ｔ２０３、端末が認証成功後に属することになるＶＬＡＮ番号Ｔ２０４の情報が記録される。
【００３６】
ここで、端末ＩＰアドレスＴ２０１は、認証対象端末Ｔ１またはプリンタ端末Ｐ１のＩＰアドレスである。端末ＭＡＣアドレスＴ２０２は、認証対象端末Ｔ１またはプリンタ端末Ｐ１のＭＡＣアドレスである。端末認証状態Ｔ２０３は、認証対象端末Ｔ１またはプリンタ端末Ｐ１の認証状態である。また、端末が属するＶＬＡＮ情報Ｔ２０４は、認証対象端末Ｔ１またはプリンタ端末Ｐ１が認証成功した後に属することとなる運用ＶＬＡＮの番号情報である。
【００３７】
認証管理テーブルＴ２００に端末ＩＰアドレスＴ２０１、端末ＭＡＣアドレスＴ２０２、端末認証状態Ｔ２０３、端末が認証成功後に属するＶＬＡＮ番号Ｔ２０４の情報を一括して記録し管理することにより、認証完了状態の端末に対して、ＡＲＰリクエストＡ３００を再度送信しないための制御に使用できる。
【００３８】
図８は、イーサネットスイッチによるＭＡＣアドレス認証処理を説明する図である。
【００３９】
まず、ステップＳ１００１において、認証する端末を特定するためのパラメータテーブル（図５）を取得する。
【００４０】
ステップＳ１０２において、取得した前記パラメータテーブル（図５）から、認証対象端末のＩＰアドレスを確定する。ここでは、検索開始端末ＩＰアドレスＴ１０１と検索完了端末ＩＰアドレスＴ１０２の間のＩＰアドレスを認証対象とする。認証対象を限定することで、認証対象外の端末ＩＰアドレスに対するＡＲＰリクエストＡ３００の送信を抑止できる。
【００４１】
ステップＳ１０３において、認証対象端末に関する情報を図７の認証管理テーブルＴ２００から取得する。なお、イーサネットスイッチＳＷ１が認証対象とする端末のＩＰアドレスは、全てこの認証管理テーブルＴ２００に格納されている。
【００４２】
ステップＳ１００４において、取得した認証管理テーブルＴ２００の端末認証状態Ｔ２０３を参照し、その端末が未認証状態か否かを判定する。未認証状態の場合、さらに図５の各種パラメータテーブルＴ１００の検索開始端末ＩＰアドレスと検索終了端末ＩＰアドレスの範囲にあるか否かを判定する。
【００４３】
ここで、端末が未認証状態で、かつ検索開始端末ＩＰアドレスと検索終了端末ＩＰアドレスの範囲にある場合はステップＳ１００５に進み、そうでない場合は次の端末処理のためのステップＳ１０１１に進む。
【００４４】
ステップＳ１００５において、リクエスト送信処理部１０５は、認証処理対象端末のＩＰアドレスに対してのＡＲＰリクエストＡ３００を送信する。
【００４５】
ＡＲＰリクエストＡ３００はイーサネットヘッダＡ３０１とＡＲＰフレームデータＡ３０２で構成され、ＡＲＰフレームデータＡ３０２には、認証処理対象端末のＩＰアドレスＴ２０１（図７）のＩＰアドレスを使用する。
【００４６】
ここでは、送信されたＡＲＰリクエストＡ３００の受信先ＩＰアドレスと同じＩＰアドレスを持つ認証処理対象端末が受信した場合、その端末がＡＲＰリプライを返信することを期待している。返信されてくるＡＲＰリプライの中には、ＡＲＰリプライを返送した端末自身のＩＰアドレスとＭＡＣアドレスが含まれている。
【００４７】
ステップＳ１００６において、所定時間、認証処理対象端末から返送されたＡＲＰリプライを待つ。
【００４８】
ステップＳ１００７において、ＡＲＰリプライを受信したか否かを判定する。
【００４９】
一定時間経過してもリプライがない場合、当該端末は非動作と認識し認証処理は行わない。ＡＲＰリクエストＡ３００の送信から所定時間内にパケットを受信した場合、受信したパケットデータのプロトコルのタイプ情報を取り出し、取り出したプロトコルのタイプ情報を元に、認証対象端末のＡＲＰリプライパケットか否かを判断する。認証対象端末のＡＲＰリプライパケットではない場合、そのパケットを破棄し、次の端末処理のためのステップＳ１０１１に進む。認証対象端末のＡＲＰリプライパケットの場合、ステップＳ１００８に進む。
【００５０】
ステップＳ１００８において、受信したＡＲＰリプライを用いて認証を実施する。認証に際しては、受信したＡＲＰリプライのデータからＡＲＰリプライを返送した端末のＭＡＣアドレスを取り出す。認証ＤＢアクセス制御部１０２は、受信したＡＰＲリプライに格納されているＭＡＣアドレスを元に、認証用サーバＳ１に内蔵された認証用ＤＢ２００あるいはイーサネットスイッチＳＷ１に内蔵された認証用ＤＢ２０１に認証の可否を問合せる。いずれのＤＢに問い合わせした場合でも、ＤＢは認証を許可する条件の場合、認証許可を認証ＤＢアクセス制御部１０２へ返信する。認証を許可しない条件の場合、認証拒否を認証ＤＢアクセス制御部１０２に返信する。
【００５１】
ステップＳ１００９において、認証制御部１０３は、認証ＤＢアクセス制御部１０２に返信された認証許可／認証拒否結果にしたがって認証の可否を判定する。ここで判定結果が認証許可であれば認証成功後のステップＳ１０１０へ進む。認証拒否であれば、次の端末処理のためのステップＳ１０１１に進む。
【００５２】
このように認証されなかった端末は、ネットワークに接続することができない。このことは端末がセキュリティ機能を持たないプリンタであっても同様である。このことにより、ネットワークのセキュリティを維持することができる。
【００５３】
ステップＳ１０１０において、認証管理テーブルＴ２００の端末認証状態を「認証済」にし、運用ＶＬＡＮ（Ｖ１０２０）のＶＬＡＮ番号の値を属するＶＬＡＮ情報Ｔ２０４に設定する。設定されたＶＬＡＮ番号の値を最後にハードウェアに指示することで、同じＶＩＡＮに属する端末が通信できるようになる。
【００５４】
この結果、端末Ｔ１、プリンタ端末Ｐ１はファイルサーバＳ２と同じ運用ＶＬＡＮに属することになり互いに通信可能となる。このようにして、許可された端末、プリンタのみが通信可能となるため、ネットワークのセキュリティを維持することができる。
【００５５】
また、認証制御部１０３が認証許可したＭＡＣアドレスを認証管理テーブルＴ２００に反映しておくことにより、認証済み端末として、次回からＡＲＰリクエストを送信しないようにすることが可能である。
【００５６】
ステップＳ１０１１において、次の未認証端末に対して認証開始の時間待ちを行う。すなわち、一つの端末のＩＰアドレスの認証処理を完了した後、各種パラメータテーブルＴ１００に示した検索間隔の間は次の認証処理を行わない。これによりイーサネットスイッチＳＷ１の負荷を低減することができる。
【００５７】
以上説明したように、本実施形態によれば、自立的にパケット送信を行わない端末であってもイーサネットスイッチで認証可能とすることができる。その際、認証する端末には特別なプロトコルを必要としない。また、ユーザの介入を必要としない。その結果ネットワーク全体のセキュリティを高めることができる。また、セキュリティ機能を持つネットワーク機器がセキュリティ機能持たないネットワーク機器に変更された場合、変更されたネットワーク機器の認証を行うことができるため、セキュリティを維持することができる。
【００５８】
このように、自立的にパケットを送信しないネットワーク機器であっても認証処理を行うことができるため、認証許可されたネットワーク機器のみがネットワークヘの接続を許可されることになり、ネットワークのセキュリティを向上することができる。
【図面の簡単な説明】
【００５９】
【図１】実施形態にかかる認証システム（認証前の状態）を説明する図である。
【図２】実施形態にかかる認証システム（認証時の状態）を説明する図である。
【図３】実施形態にかかる認証システム（認証後の状態）を説明する図である。
【図４】イーサネットスイッチＳＷ１の詳細を説明する図である。
【図５】各種のパラメータを保存するテーブルを示す図である。
【図６】認証パケット（ＡＲＰリクエスト）のフォーマットを示す図である。
【図７】認証の状態を管理する認証管理テーブルを示す図である。
【図８】イーサネットスイッチによるＭＡＣアドレス認証処理を説明する図である。
【符号の説明】
【００６０】
ＳＷ１ イーサネットスイッチ
Ｔ１ 端末
Ｐ１ プリンタ端末
Ｓ１ 認証用ＤＢを有する認証用サーバ
Ｓ２ ファイルサーバ
Ｖ１００１ 端末Ｔｌが収容されている未認証ＶＬＡＮ
Ｖ１００２ プリンタ端末Ｐ１が収容されている未認証ＶＬＡＮ
Ｖ１０１０ 認証用サーバＳ１が収容されている認証サーバＶＬＡＮ
Ｖ１０２０ ファイルサーバＳ２が収容されている運用ＶＬＡＮ
１０１ パラメータ制御部
１０２ 認証ＤＢアクセス制御部
１０３ 認証制御部
１０４ ネットワーク管理制御部
１０５ リクエスト送信処理部
１０６ リプライ受信待ち処理部
２００ 認証用サーバＳ１に内蔵する認証用ＤＢ
２０１ イーサネットスイッチＳＷｌに内蔵する認証用ＤＢ
Ａ３００ 認証用ＡＲＰリクエストのパケットデータ構造
Ａ３０１ イーサネットヘッダ部分
Ａ３０２ リクエストデータ部分
【特許請求の範囲】
【請求項１】
認証サーバ、ファイルサーバおよび複数の端末、並びに前記認証サーバ、ファイルサーバおよび複数の端末を接続する入出力端子を備えたイーサネットスイッチを備え、前記認証サーバ、ファイルサーバおよび複数の端末の接続を切り換えて複数のＶＬＡＮ（Virtual LAN）を形成するイーサネットスイッチにおけるＭＡＣ（Media Access Control）アドレス自動認証システムにおいて、
端末のＩＰアドレスおよびＭＡＣアドレス毎に端末の認証状態および端末の属するＶＬＡＮの情報を格納した認証状態管理テーブル、該テーブルを参照して未認証の端末のアドレスに対してＡＲＰリクエストを送信し、ＡＲＰリクエストに対するリプライの有無を検出する認証制御部を備え、前記リプライの有りを検出したとき、検出したリプライに含まれるＭＡＣアドレスにしたがって、前記認証状態管理テーブルの端末認証状態を「認証済み」に変更して、前記端末を前記ＶＬＡＮの情報にしたがって所定のＶＬＡＮに収容することを特徴とするイーサネットスイッチにおけるＭＡＣアドレス自動認証システム。
【請求項２】
認証サーバ、ファイルサーバおよび複数の端末、並びに前記認証サーバ、ファイルサーバおよび複数の端末を接続する入出力端子を備えたイーサネットスイッチを備え、前記認証サーバ、ファイルサーバおよび複数の端末の接続を切り換えて複数のＶＬＡＮ（Virtual LAN）を形成するイーサネットスイッチにおけるＭＡＣ（Media Access Control）アドレス自動認証装置において、
端末のＩＰアドレスおよびＭＡＣアドレス毎に端末の認証状態および端末の属するＶＬＡＮの情報を格納した認証状態管理テーブル、および前記テーブルを参照して未認証の端末のアドレスに対してＡＲＰリクエストを送信し、ＡＲＰリクエストに対するリプライの有無を検出する認証制御部を備え、
前記認証制御部は検出したリプライに含まれるＭＡＣアドレスにしたがって、前記認証状態管理テーブルの端末認証状態を「認証済み」に変更するとともに前記端末を前記ＶＬＡＮの情報にしたがった所定のＶＬＡＮに収容することを特徴とするイーサネットスイッチにおけるＭＡＣアドレス自動認証装置。
【請求項１】
認証サーバ、ファイルサーバおよび複数の端末、並びに前記認証サーバ、ファイルサーバおよび複数の端末を接続する入出力端子を備えたイーサネットスイッチを備え、前記認証サーバ、ファイルサーバおよび複数の端末の接続を切り換えて複数のＶＬＡＮ（Virtual LAN）を形成するイーサネットスイッチにおけるＭＡＣ（Media Access Control）アドレス自動認証システムにおいて、
端末のＩＰアドレスおよびＭＡＣアドレス毎に端末の認証状態および端末の属するＶＬＡＮの情報を格納した認証状態管理テーブル、該テーブルを参照して未認証の端末のアドレスに対してＡＲＰリクエストを送信し、ＡＲＰリクエストに対するリプライの有無を検出する認証制御部を備え、前記リプライの有りを検出したとき、検出したリプライに含まれるＭＡＣアドレスにしたがって、前記認証状態管理テーブルの端末認証状態を「認証済み」に変更して、前記端末を前記ＶＬＡＮの情報にしたがって所定のＶＬＡＮに収容することを特徴とするイーサネットスイッチにおけるＭＡＣアドレス自動認証システム。
【請求項２】
認証サーバ、ファイルサーバおよび複数の端末、並びに前記認証サーバ、ファイルサーバおよび複数の端末を接続する入出力端子を備えたイーサネットスイッチを備え、前記認証サーバ、ファイルサーバおよび複数の端末の接続を切り換えて複数のＶＬＡＮ（Virtual LAN）を形成するイーサネットスイッチにおけるＭＡＣ（Media Access Control）アドレス自動認証装置において、
端末のＩＰアドレスおよびＭＡＣアドレス毎に端末の認証状態および端末の属するＶＬＡＮの情報を格納した認証状態管理テーブル、および前記テーブルを参照して未認証の端末のアドレスに対してＡＲＰリクエストを送信し、ＡＲＰリクエストに対するリプライの有無を検出する認証制御部を備え、
前記認証制御部は検出したリプライに含まれるＭＡＣアドレスにしたがって、前記認証状態管理テーブルの端末認証状態を「認証済み」に変更するとともに前記端末を前記ＶＬＡＮの情報にしたがった所定のＶＬＡＮに収容することを特徴とするイーサネットスイッチにおけるＭＡＣアドレス自動認証装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１０−１３６０１４（Ｐ２０１０−１３６０１４Ａ）
【公開日】平成２２年６月１７日（２０１０．６．１７）
【国際特許分類】
【出願番号】特願２００８−３０８９１５（Ｐ２００８−３０８９１５）
【出願日】平成２０年１２月３日（２００８．１２．３）
【出願人】（０００２３３２９５）日立情報通信エンジニアリング株式会社 (195)
【Ｆターム（参考）】
【公開日】平成２２年６月１７日（２０１０．６．１７）
【国際特許分類】
【出願日】平成２０年１２月３日（２００８．１２．３）
【出願人】（０００２３３２９５）日立情報通信エンジニアリング株式会社 (195)
【Ｆターム（参考）】
[ Back to top ]