JP2004241979A

JP2004241979A - Authentication server, frame transfer network, program for realizing authentication server, and recording medium for recording program

Info

Publication number: JP2004241979A
Application number: JP2003028224A
Authority: JP
Inventors: Masahiro Maruyoshi; 政博丸吉; Yoshitake Tajima; 佳武田島; Junichi Murayama; 純一村山
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-02-05
Filing date: 2003-02-05
Publication date: 2004-08-26

Abstract

<P>PROBLEM TO BE SOLVED: To eliminate the restriction in the number of contract user terminal groups in a frame transfer network for providing a virtual network connection to user terminals through the cooperation between a frame transfer apparatus and an authentication server. <P>SOLUTION: The authentication server 5 dynamically sets a virtual network identifier assigned to groups so that a plurality of user terminal groups can share the identifier. The authentication server 5 is provided with: a VLAN number table 15 for managing the cross-reference between the virtual network identifier (VLAN-ID) and the number of connected user terminals by each group identifier (VLAN number); and a VLAN-ID stack 16 for pooling unused virtual network identifiers. The authentication server 5 assigns the unused virtual network identifier to a group identifier to which no virtual network identifier is assigned and releases the virtual network identifier corresponding to a group from which all user terminals are retired as the unused virtual network identifier. <P>COPYRIGHT: (C)2004,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、ＶＬＡＮ（仮想ローカルエリアネットワーク；ｖｉｒｔｕａｌｌｏｃａｌａｒｅａｎｅｔｗｏｒｋ）などのフレーム転送網で代表される仮想網と、仮想網においてユーザ認証に用いられる認証サーバとに関する。
【０００２】
【従来の技術】
仮想網は、実在の物理網を複数のユーザグループで物理的には共用するとともに、各ユーザグループに対しては他のユーザグループの存在を隠蔽してあたかも１つの網をそのユーザグループが独占して使用しているかのようにするものである。このような仮想網では、物理網にフレーム転送装置が接続しており、フレーム転送装置には、複数台のユーザ端末が接続される。そして、ユーザ端末を介してユーザがフレーム転送装置に接続要求を行った場合には、ユーザ認証を行ったのち、フレーム転送装置は、そのユーザ端末に仮想網識別子を割り当て、さらに、ユーザ端末からユーザフレームが送られてきたときにそのユーザフレームに、該当する仮想網識別子を付加し、フレーム転送装置間でフレーム転送を行う。このようにして、異なる仮想網識別子が割り当てられたユーザ端末間相互では通信できないようにし、１つの物理網を互いに通信不可能な複数のユーザグループに論理的に分割することができる。
【０００３】
さらに、上述したような仮想網には、ユーザ端末から接続要求を行ったユーザに対するユーザ認証を行うために、認証サーバが設けられる。ユーザ認証は、フレーム転送装置と認証サーバとの間で行なわれる。認証サーバは、認証したユーザの情報に基いた仮想網識別子をフレーム転送装置に通知し、フレーム転送装置は、認証サーバから通知されたユーザの仮想網識別子と、ユーザが使用しているユーザ端末の識別子とをマッピングする。このように仮想網を構成することにより、フレーム転送装置に接続されているユーザ端末を異なったグループに所属する複数のユーザで共有することや、フレーム転送装置に対し、さまざまなユーザグループのユーザがアドホックにユーザ端末を接続することが可能になる。
【０００４】
ところで、仮想網に用いられる従来の認証サーバでは、その認証サーバが保持するユーザ情報テーブルにユーザが所属するユーザグループの仮想網識別子をあらかじめ静的に設定しておき、接続要求があったユーザへの認証成功応答をフレーム転送装置に送信する際に、その認証成功応答内に仮想網識別子を埋め込むことによって、仮想網識別子をフレーム転送装置へ通知するようになっていた。そのため、あるユーザグループに所属している全てのユーザがフレーム転送網から離脱した場合であっても、そのユーザグループの仮想網識別子は占有されたままとなる。
【０００５】
一般的な仮想網、特にフレーム転送網では、ユーザフレーム内に格納できる仮想網識別子の長さは１２ビットであるから、仮想網識別子は最大で４０９４個となる（いわゆる４０９４ＶＬＡＮ制限問題）。このように仮想網内で使用できる仮想網識別子数には一般に上限があるため、仮想網識別子を静的に設定している場合には、たとえユーザグループに所属しているユーザがフレーム転送網に接続していなくてもその仮想網識別子を占有してしまうことになるので、設定することができる仮想網識別子数に上限があることになる。したがって、従来の仮想網では、契約ユーザグループ数のスケーラビリティの向上が困難である。
【０００６】
【特許文献１】
特開平１１−２１５１５２
【特許文献２】
特開２００２−２２３２２８
【特許文献３】
特開２００２−３１４５７３
【０００７】
【発明が解決しようとする課題】
上述したように従来の仮想網には、４０９４ＶＬＡＮ制限問題のようにフレーム転送装置が設定することのできる仮想網識別子数に上限があるにも関わらず、ユーザが所属するユーザグループの仮想網識別子を認証サーバがそのユーザ情報テーブルに静的に設定しているため、契約することができるユーザグループ数に上限が存在し、仮想網のスケーラビリティを向上させることが困難である、という問題点がある。
【０００８】
そこで本発明の目的は、仮想網における契約ユーザグループ数などのスケーラビリティ向上を向上させることにある、具体的には本発明の目的は、契約ユーザグループが仮想網識別子を占有することを回避し、契約ユーザグループ数の無制限化を実現することができる認証サーバと、そのような認証サーバを用いることによってスケーラビリティが向上したフレーム転送網とを提供することを目的とする。
【０００９】
【課題を解決するための手段】
本発明では、上記の課題を解決するために、各ユーザに割り当てられたユーザ識別子とユーザ端末グループごとに設定されるグループ識別子との対応関係を管理するユーザ情報テーブルを備える認証サーバに、グループ識別子に対して対応する仮想網識別子と接続ユーザ端末数とを管理するグループ識別子テーブルと、未使用である仮想網識別子を蓄積する蓄積部と、を設けるとともに、認証サーバに、接続要求を受けたときに認証処理を行う機能と、認証が許可された場合に、ユーザ情報テーブルを用いて当該ユーザ端末のグループ識別子を抽出し、抽出したグループ識別子に仮想網識別子が割り当てられているかをグループ識別子テーブルを用いて判断し、割り当てられている場合には、該当する仮想網識別子を通知するとともに該当する接続ユーザ端末数を更新し、割り当てられていない場合には、蓄積部に蓄積された未使用の仮想網識別子を抽出したグループ識別子に対応付けてグループ識別子テーブルに設定して当該仮想網識別子を通知するとともに対応する接続ユーザ端末数を更新する機能と、全てのユーザ端末が離脱したユーザ端末グループに該当する仮想網識別子を未使用として解放し蓄積部に蓄積する機能と、を持たせるようにしている。
【００１０】
すなわち本発明では、ユーザ端末グループごとに固定的に割り当てられるグループ識別子について、そのグループ識別子に対する仮想網識別子と接続ユーザ端末数との対応関係をグループ識別子テーブルにおいて管理している。これにより、既に仮想網識別子が割り当てられているグループ識別子の情報を保持しておくことができるとともに、フレーム転送網に接続しているユーザ端末数をグループ識別子ごとに管理することが可能となる。さらに、典型的にはスタックとして実現される蓄積部によって、未使用である仮想網識別子をプールすることにより、特定のグループ識別子に占有されていない仮想網識別子情報を管理することが可能となる。すなわち、認証時に抽出したユーザ端末のグループ識別子と、グループ識別子テーブルを用いると、当該ユーザ端末のグループ識別子に該当する仮想網識別子を特定することが可能となる。
【００１１】
ここで、グループ識別子に該当する仮想網識別子が存在しない場合には、プールしてある未使用の仮想網識別子をグループ識別子テーブルに割り当てることによって、仮想網識別子が割り当てられていなかったグループ識別子に対し、どのグループ識別子にも占有されていない仮想網識別子を割り当てることが可能となる。また、全てのユーザ端末が離脱したユーザ端末グループに該当する仮想網識別子を未使用として解放し、プールに蓄えることで、仮想網識別子の再利用が可能となる。
【００１２】
結局、数的に限られた仮想網識別子を契約ユーザグループ間で共有することが可能となるとともに、契約グループによるＶＬＡＮ−ＩＤの占有を回避することができ、仮想網識別子の上限個数に制限されることなく、契約グループ数を増やすことができるようになる。
【００１３】
【発明の実施の形態】
次に、本発明の好ましい実施形態について、図面を参照して説明する。
【００１４】
図１は、本発明の実施の一形態の認証サーバを有する仮想網の構成の一例を示している。仮想網は、フレーム転送網として構成されており、タグ付きフレームを伝送するフレーム伝送路６と、フレーム伝送路６に接続する複数のフレーム転送装置４と、各フレーム転送装置４に接続してユーザ認証を行う認証サーバ５とを備えている。各フレーム転送装置４には、それぞれ、複数のユーザ端末１〜３が接続している。以下の説明では、フレーム転送装置４はＶＬＡＮスイッチとして構成されており、また、認証サーバ５はＲａｄｉｕｓ（ｒｅｍｏｔｅａｕｔｈｅｎｔｉｃａｔｉｏｎｄｉａｌ−ｉｎｕｓｅｒｓｅｒｖｉｃｅ）サーバであるとする。各ユーザ端末１〜３は、対応するフレーム転送装置４のユーザ端末用のインタフェースに接続している。認証サーバ５は、フレーム転送装置４の認証サーバ用のインタフェースに接続している。
【００１５】
ここでフレーム転送装置４は、ユーザ端末用のインタフェースに接続されたユーザ端末から接続要求を受信し、認証サーバ５に対してユーザ認証要求を行う機能と、認証サーバ５からのユーザ認証応答に含まれる仮想網識別子（以下、ＶＬＡＮ−ＩＤとする）を、接続要求を行ったユーザ端末に対応するユーザ端末識別子にマッピングする機能と、ユーザ端末からユーザフレームが転送されてきたときに、ユーザ端末に対して割り当てられたユーザ端末グループ（以下、ＶＬＡＮともいう）へのＶＬＡＮ−ＩＤを転送フレームにタグ付けし、タグ付けされたフレームをフレーム転送路６を介して相手側のフレーム転送装置に転送する機能と、を有する。ここで述べた機能は、仮想網を構成するフレーム転送装置４として一般的に備わっているものであり、本実施形態で用いるフレーム転送装置４の構成は、当業者には自明のものである。フレーム転送装置４は、上記のようにして、相互にフレーム転送を行う。
【００１６】
認証サーバ５は、フレーム転送装置４からのユーザ認証要求に応じてユーザ認証を行い、ユーザ認証が成功した場合に、そのユーザの所属するグループのＶＬＡＮ−ＩＤを動的に設定し、フレーム転送装置４に対して認証応答を返信する機能を有する。図２は、このような認証サーバ５の内部構成を示している。認証サーバ５は、大別すると、フレーム転送装置４に対するインタフェースとなるＶＬＡＮスイッチ接続部１０と、実際にユーザ認証を行うユーザ認証応答部１１と、ＶＬＡＮ−ＩＤの動的な設定を行うＶＬＡＮ−ＩＤ設定部１２と、を備えている。ここでＶＬＡＮスイッチ接続部１０は、具体的には、フレーム転送装置４からのユーザ認証要求をユーザ認証応答部１１に転送し、ユーザ認証応答部１１からのユーザ認証応答もしくはユーザ認証拒否応答をフレーム転送装置４に送信する機能を有するとともに、フレーム転送装置４からのユーザ切断要求をユーザ認証応答部１１に転送し、ユーザ認証応答部１１からのユーザ切断応答をフレーム転送装置４に送信する機能を有する。
【００１７】
ユーザ認証応答部１１には、仮想網における従来の認証サーバと同様に、ｄｉｃｔｉｏｎａｒｙＤＢ（ディクショナリデータベース）１３とｕｓｅｒｓＤＢ（ユーザズデータベース）１４の２つのデータベースを保持する。これらのデータベースについての詳細は、例えば、インターネット技術におけるデファクト標準を記述するＲＦＣ（Ｒｅｑｕｅｓｔｆｏｒｃｏｍｍｅｎｔｓ）文書のうち、ＲＦＣ２１３８に記載されているが、ｄｉｃｔｉｏｎａｒｙＤＢ１３は、属性として、「ＶＬＡＮ番号」を保持する。ここで属性「ＶＬＡＮ番号」の属性値形式は整数型である。また、ｕｓｅｒｓＤＢ１４は、ユーザ情報テーブルに該当するものであって、ＶＬＡＮへのアクセス権限を持つユーザ識別子（以下、ユーザＩＤとする）のユーザ情報を保持し、各ユーザ情報は当該ユーザが所属するグループのグループ識別子（以下、ＶＬＡＮ番号と呼ぶ）を属性「ＶＬＡＮ番号」の属性値として保持する。
【００１８】
ユーザ認証応答部１１は、ＶＬＡＮスイッチ接続部１０から受け取ったユーザ認証要求に含まれるユーザＩＤやパスワードに基づいてｕｓｅｒｓＤＢ１４を参照し、認証可否を決定する機能と、認証結果が許可であった場合、当該ユーザＩＤのＶＬＡＮ番号を後述のＶＬＡＮ−ＩＤ動的設定要求２３としてＶＬＡＮ−ＩＤ設定部１２に送信する機能と、認証結果が拒否であった場合、ユーザ認証拒否応答をＶＬＡＮスイッチ接続部１０へと送信する機能と、ＶＬＡＮ−ＩＤ設定部１２から受信した後述のＶＬＡＮ−ＩＤ動的設定応答２６のＶＬＡＮ−ＩＤと、ｄｉｃｔｉｏｎａｒｙＤＢ１３、ｕｓｅｒｓＤＢ１４とからユーザ認証応答を生成する機能と、生成したユーザ認証応答をＶＬＡＮスイッチ接続部１０へと送信する機能と、ユーザＩＤごとのセッション情報を保持する機能と、を有する。なお、ｕｓｅｒｓＤＢ１４の検索方法やユーザ認証応答を生成する機能に関する詳細は、上述したＲＦＣ２１３８に記載されている。また、セッション情報の保持に関しては、ＲＦＣ２１３９に記載されている。さらに、ユーザ認証応答部１１は、ＶＬＡＮスイッチ接続部１０から受け取ったユーザ切断要求のセッション情報から、当該ユーザＩＤを得る機能と、そのユーザＩＤとｕｓｅｒｓＤＢ１４とから該当するＶＬＡＮ番号を抽出し、ＶＬＡＮ−ＩＤ削除要求としてＶＬＡＮ−ＩＤ設定部１２に送信する機能も備えている。こうしたユーザ認証応答部１１の各機能は、例えば、ここには図示していないが、ユーザ認証応答部１１内に設けられる認証応答制御部が実行する。
【００１９】
ＶＬＡＮ−ＩＤ設定部１２は、グループ識別子（ＶＬＡＮ番号）を保持するテーブルであるＶＬＡＮ番号テーブル１５と、未使用であるＶＬＡＮ−ＩＤをプールしておく未使用ＶＬＡＮ−ＩＤ（仮想網識別子）蓄積部として機能するＶＬＡＮ−ＩＤスタック１６を有する。未使用であるＶＬＡＮ−ＩＤをプールするための機構としては、各種の記憶機構を用いることができるが、本実施形態では、スタック構成（後入れ先出し構成）の記憶機構を用い、演算処理量の削減などを図っている。
【００２０】
ＶＬＡＮ番号テーブル１５は、図３に示すように、ＶＬＡＮ番号を格納するＶＬＡＮ番号フィールド２０と、ＶＬＡＮ−ＩＤを格納するＶＬＡＮ−ＩＤフィールド２１と、カウンタフィールド２２とから構成されている。このＶＬＡＮ番号テーブル１５では、既にＶＬＡＮ−ＩＤが割り当てられているＶＬＡＮ番号ごとにエントリが設けられ、そのＶＬＡＮ番号と、そのＶＬＡＮ番号に対応してＶＬＡＮのＶＬＡＮ−ＩＤと、そのＶＬＡＮに接続している接続ユーザ端末数とが組となって、それぞれ、ＶＬＡＮ番号フィールド２０、ＶＬＡＮ−ＩＤフィールド２１およびカウンタフィールド２２に保持されるようになっている。
【００２１】
ＶＬＡＮ−ＩＤスタック１６は、図４に示すように、データ長が１２ビットであるデータブロックを４０９４個保持するものである。この４０９４という数字は、一般的な仮想網における仮想網識別子数の上限の数である。初期状態においてＶＬＡＮ−ＩＤスタック１６は、１から４０９４までの各整数値をスタック内で昇順に保持している。
【００２２】
ＶＬＡＮ−ＩＤ設定部１２は、ユーザ認証応答部１１から受信したＶＬＡＮ−ＩＤ動的設定要求２３の要求種別が「１」である場合、その設定要求中のＶＬＡＮ番号をキーとしてＶＬＡＮ番号テーブル１５内を検索し、設定要求中のＶＬＡＮ番号と同じＶＬＡＮ番号が格納されているＶＬＡＮ番号フィールド２０を有するエントリがあるかどうかを調べる。そして、ヒットするエントリが存在した場合には、そのユーザがアクセス権を持つＶＬＡＮに対して既にＶＬＡＮ−ＩＤが割り当てられているとして、ＶＬＡＮ−ＩＤ設定部１２は、そのエントリのＶＬＡＮ−ＩＤフィールド２１に格納されているＶＬＡＮ−ＩＤの値をＶＬＡＮ−ＩＤ動的設定応答２６としてユーザ認証応答部１１に返答し、さらに、そのエントリのカウンタフィールド２２の値に１を加算する。
【００２３】
これに対してヒットするエントリが存在しない場合には、そのユーザがアクセス権を持つＶＬＡＮに対しては未だＶＬＡＮ−ＩＤは割り当てられていないとして、ＶＬＡＮ−ＩＤ設定部１２は、そのＶＬＡＮ番号のエントリをＶＬＡＮ番号テーブル１５に作成するとともに、ＶＬＡＮ−ＩＤスタック１６からデータ（ＶＬＡＮ−ＩＤ）を１つポップアップし、ＶＬＡＮ−ＩＤテーブル１５のその作成したエントリにおいて、そのＶＬＡＮ番号をＶＬＡＮ番号フィールド２０に格納し、ＶＬＡＮ−ＩＤスタック１６から取り出した値をＶＬＡＮ−ＩＤフィールド２１に格納し、カウンタフィールド２２に「１」をセットする。さらに、ＶＬＡＮ−ＩＤ設定部１２は、その作成したエントリのＶＬＡＮ−ＩＤフィールド２１に格納した値を新たに割り当てるＶＬＡＮ−ＩＤとして後述のＶＬＡＮ−ＩＤ動的設定応答２６を作成し、ユーザ認証応答部１１に送信する機能を有する。
【００２４】
さらに、ＶＬＡＮ−ＩＤ設定部１２は、ユーザ認証応答部１１から受信したＶＬＡＮ−ＩＤ動的設定要求の要求種別が「０」である場合、その要求はユーザ切断要求によるＶＬＡＮ−ＩＤ解放要求であると判断し、その設定要求中のＶＬＡＮ番号をキーとしてＶＬＡＮ番号テーブル１５内を検索してそのＶＬＡＮ番号と同じＶＬＡＮ番号が格納されているＶＬＡＮ番号フィールド２０を有するエントリを探し出す。この場合、ユーザ切断要求は既にＶＬＡＮ−ＩＤを割り当てたＶＬＡＮ番号に関してしか起こらないので、ヒットするエントリは必ず存在する。そして、ＶＬＡＮ−ＩＤ設定部１２は、ヒットしたエントリのカウンタフィールド２２の値から１を減算するとともに、その減算後のカウンタフィールド２２の値が「０」になったかどうかを判断する。カウンタフィールド２２の値が「０」になった場合は、そのＶＬＡＮ番号のＶＬＡＮからは全てのユーザ端末が離脱したとして、そのヒットしたエントリのＶＬＡＮ−ＩＤフィールド２１の値をＶＬＡＮ−ＩＤスタック１６へとプッシュダウンし、そのエントリを削除する。これによって、該当するＶＬＡＮ−ＩＤは未使用のものとされて、別のＶＬＡＮに使用することが可能になる。なお、カウンタフィールド２２の値が１以上の場合は、まだそのＶＬＡＮに接続しているユーザ端末が存在する場合なので、ＶＬＡＮ−ＩＤスタック１６でのプッシュ処理は行われない。
【００２５】
以上説明したようなＶＬＡＮ−ＩＤ設定部１２の各機能は、例えば、ここには図示していないが、ＶＬＡＮ−ＩＤ設定部１２内に設けられる設定制御部が実行する。
【００２６】
図５は、ユーザ認証応答部１１がＶＬＡＮ−ＩＤ設定部１２に対して送信するＶＬＡＮ−ＩＤ動的設定要求２３の構成の一例を示している。ＶＬＡＮ−ＩＤ動的設定要求２３は、要求種別を格納する要求種別フィールド２４と、ＶＬＡＮ番号を格納するＶＬＡＮ番号フィールド２５とから構成されている。要求種別フィールド２４は、ユーザ認証応答部１１がユーザ認証要求を受けた際にＶＬＡＮ−ＩＤの割り当てを要求する場合には、値として「１」を保持し、ユーザ認証応答部１１がユーザ切断要求を受けた際にＶＬＡＮ−ＩＤの割り当て解除を要求する場合には、値として「０」を保持する。ＶＬＡＮ番号フィールド２５に格納されるＶＲＡＮ番号は、ＶＬＡＮ−ＩＤの動的設定を要求するＶＬＡＮのＶＬＡＮ番号である。
【００２７】
図６は、ＶＬＡＮ−ＩＤ設定部１２がユーザ認証応答部１１に対して送信するＶＬＡＮ−ＩＤ動的設定応答２６の構成の一例を示している。ＶＬＡＮ−ＩＤ動的設定応答２６にはＶＬＡＮ−ＩＤを格納するＶＬＡＮ−ＩＤフィールド２７が設けられる。
【００２８】
図５および図６にそれぞれ示したＶＬＡＮ−ＩＤ動的設定要求２３およびＶＬＡＮ−ＩＤ動的設定応答２６により、上述したようにＶＬＡＮ−ＩＤ設定部１２は、ユーザ認証応答部１１から受信したＶＬＡＮ−ＩＤ動的設定要求２３の要求種別フィールド２４の値が「１」であった場合に、その設定要求２３のＶＬＡＮ番号フィールド２５に格納されているＶＬＡＮ番号と同じものをＶＬＡＮ番号テーブル１５において検索し、ヒットしたエントリのＶＬＡＮ−ＩＤフィールド２１に格納されている値をＶＬＡＮ−ＩＤ動的設定応答２６のＶＬＡＮ−ＩＤフィールド２７に格納してユーザ認証応答部１１に送信する。なお、ユーザ認証応答部１１から受信したＶＬＡＮ−ＩＤ動的設定要求２３の要求種別フィールド２４が「０」であった場合には、ＶＬＡＮ−ＩＤ設定部１２は、ＶＬＡＮ−ＩＤ動的設定応答２６をユーザ認証応答部１１に送信しない。
【００２９】
次に、本実施形態の認証サーバの動作について説明する。ここでは、図１に示した仮想網において、２台あるフレーム転送装置４のうちの図示右側のフレーム転送装置のユーザ端末１〜３をそれぞれユーザ＃１〜ユーザ＃３が使用するものとする。ユーザ端末１を使用するユーザ＃１のユーザＩＤが「ｕｓｅｒ１」、そのユーザ＃１のパスワードが「ｐａｓｓ１」、ユーザ１＃がアクセス権限を持っているＶＬＡＮのＶＬＡＮ番号が「５０００」であるとし、ユーザ端末２を使用するユーザ＃２のユーザＩＤが「ｕｓｅｒ２」、そのユーザ＃２のパスワードが「ｐａｓｓ２」、ユーザ＃２がアクセス権限を持っているＶＬＡＮのＶＬＡＮ番号が「５０００」であり、ユーザ端末３を使用するユーザ＃３のユーザＩＤが「ｕｓｅｒ３」、ユーザ＃３のパスワードが「ｐａｓｓ３」、ユーザ３＃がアクセス権限を持っているＶＬＡＮのＶＬＡＮ番号が「１０」であるとする。
【００３０】
ここで、ＶＬＡＮ番号は、この仮想網に対するユーザグループの契約ごとに昇順に割り振るものとする。したがって、図においては明示的には示されていないが、この仮想網に対しては、潜在的にＶＬＡＮグループの数が５０００以上存在することになる。このＶＬＡＮグループの数は、ＶＬＡＮ−ＩＤの個数である４０９４よりも大きい。また、ユーザ端末３を使用するユーザ＃３は既に認証サーバ５により認証され、仮想網（フレーム転送網）へと接続しているものとする。
【００３１】
ユーザ＃１、ユーザ＃２およびユーザ＃３は、それぞれがアクセス権限を持っているＶＬＡＮへアクセスするとき、それぞれのユーザＩＤとパスワードをユーザ情報としてフレーム転送装置４（この場合、対応するユーザ端末１〜３が直接収容されている図示右側のフレーム転送装置）に通知する。通知を受けたフレーム転送装置４は、ユーザ端末１〜３から通知されたユーザ情報に基づいて、ユーザ端末１〜３のユーザ認証要求を認証サーバ５に対し行う。
【００３２】
図８は、ユーザ端末１を使用するユーザ＃１からのユーザ認証要求を認証サーバ５が処理する動作を示している。
【００３３】
この仮想網はフレーム転送網であるので、ユーザ認証要求、ユーザ認証応答なども全てフレームとして転送されるようになっている。ユーザ端末１からのユーザ認証要求フレーム３０は、ユーザＩＤとして「ｕｓｅｒ１」を、パスワードとして「ｐａｓｓ１」を格納している。ＶＬＡＮスイッチ接続部１０は、フレーム転送装置４から受信したこのユーザ認証要求フレーム３０をユーザ認証応答部１１に転送する。
【００３４】
ユーザ認証要求フレーム３０を受信したユーザ認証応答部１１では、ユーザＩＤ「ｕｓｅｒ１」とパスワード「ｐａｓｓ１」とをキーとしてｕｓｅｒｓＤＢ１４が検索される。ｕｓｅｒｓＤＢ１４においてユーザ＃１に対応付けられているＶＬＡＮ番号は、ユーザ＃１がアクセス権限を持っているＶＬＡＮのＶＬＡＮ番号の「５０００」である。そして、パスワードなどによるユーザ認証が成功すると、ユーザ認証応答部１１は、ＶＬＡＮ番号フィールド２５をそのユーザ＃１のＶＬＡＮ番号である「５０００」とし、要求種別フィールド２４を「１」としたＶＬＡＮ−ＩＤ動的設定要求２３をＶＬＡＮ−ＩＤ設定部１２へと送信する。
【００３５】
ＶＬＡＮ−ＩＤ設定部１２は、ユーザ認証応答部１１から受信したＶＬＡＮ−ＩＤ動的設定要求２３の要求種別フィールド２４の値が「１」であるため、ＶＬＡＮ−ＩＤの割り当てを要求するものだと判断し、ＶＬＡＮ−ＩＤ動的設定要求２３のＶＬＡＮ番号フィールド２５に格納された「５０００」をキーにして、ＶＬＡＮ番号テーブル１５においてＶＬＡＮ番号フィールド２０に「５０００」が格納されたエントリがあるかどうかを検索する。この時点では、ユーザ端末３のみが認証されて仮想網に接続しているから、ＶＬＡＮ番号テーブル１５では、図９の（ａ）に示すように、ＶＬＡＮ番号が「１０」であるエントリのみが存在する。したがって、ＶＬＡＮ番号を「５０００」とした検索ではエントリがヒットしないこととなり、ＶＬＡＮ−ＩＤ設定部１２は、ＶＬＡＮ−ＩＤ動的設定要求２３によって通知されたＶＬＡＮ番号が「５０００」であるＶＬＡＮに対しては未だにＶＬＡＮ−ＩＤが割り当てられていないと判断する。そしてＶＬＡＮ−ＩＤ設定部１２は、ＶＬＡＮ番号テーブル１５に新たにエントリを生成してそのエントリのＶＬＡＮ番号フィールド２０に「５０００」を格納し、ＶＬＡＮ−ＩＤスタック１６から値を１個ポップアップする。ポップアップする直前の時点においては、ＶＬＡＮ番号が「１０」であるＶＬＡＮのみにＶＬＡＮ−ＩＤが割り当てられおり、その割り当てられたＶＬＡＮ−ＩＤは「１」であるから、ＶＬＡＮ−ＩＤスタック１６には、図１０の（ａ）に示すように、２から４０９４までの４０９３個の値が格納されている。これにより、ポップアップによって、ＶＬＡＮ−ＩＤスタック１６からその先頭の値「２」が取り出される。ＶＬＡＮ−ＩＤ設定部１２は、その生成したエントリのＶＬＡＮ−ＩＤフィールド２１に、ポップアップした値「２」を格納し、さらに、カウンタフィールド２２の値を「１」にする。
【００３６】
以上の処理により、ＶＬＡＮ番号テーブル１５の内容は図９の（ｂ）に示すようになり、ＶＬＡＮ−ＩＤスタック１６の内容は図１０の（ｂ）に示すようになる。さらにＶＬＡＮ−ＩＤ設定部１２は、ＶＬＡＮ番号テーブル１５のＶＬＡＮ番号が「５０００」であるエントリのＶＬＡＮ−ＩＤフィールド２１の値「２」をＶＬＡＮ−ＩＤ動的設定応答２６のＶＬＡＮ−ＩＤフィールド２７に格納し、そのＶＬＡＮ−ＩＤ動的設定応答２６をユーザ認証応答部１１へと送信する。
【００３７】
このＶＬＡＮ−ＩＤ動的設定応答２６を受信したユーザ認証応答部１１は、ＶＬＡＮ−ＩＤ動的設定応答２６のＶＬＡＮ−ＩＤフィールド２７の値「２」を、ユーザ＃１のユーザ端末１に割り当てられるＶＬＡＮ−ＩＤとしてユーザ認証応答パケット３１を作成し、ＶＬＡＮスイッチ接続部１０へと送信し、またユーザ＃１に関するセッション情報を更新する。ユーザ認証応答パケット３１を受信したＶＬＡＮスイッチ接続部１０は、フレーム転送装置４にユーザ認証応答パケット３１を転送する。これによって、ユーザ＃１はユーザ端末１を使用して、ＶＬＡＮ−ＩＤを「２」として仮想網を用いた通信を行えるようになる。
【００３８】
次に、上述したユーザ＃１のユーザ認証に引き続いてユーザ端末２を使用するユーザ＃２からのユーザ認証要求を受け付けた場合の処理を説明する。
【００３９】
ユーザ＃２に関するユーザ認証要求フレーム３０は、ユーザＩＤとして「ｕｓｅｒ２」を、パスワードとして「ｐａｓｓ２」を格納しており、フレーム転送装置４から認証サーバ５に送られる。認証サーバ５のＶＬＡＮスイッチ接続部１０は、フレーム転送装置４から受信したユーザ認証要求フレーム３０をユーザ認証応答部１１に転送する。ユーザ認証要求フレーム３０を受信したユーザ認証応答部１１では、ユーザＩＤ「ｕｓｅｒ２」とパスワード「ｐａｓｓ２」とをキーとしてｕｓｅｒｓＤＢ１４を検索する。ｕｓｅｒｓＤＢ１４においては、ユーザ＃２に対して、ユーザ＃２がアクセス権限を持っているＶＬＡＮのＶＬＡＮ番号である「５０００」が対応付けられており、ユーザ認証応答部１１は、ユーザ認証の成功後、ＶＬＡＮ番号フィールド２５をそのユーザ＃２のＶＬＡＮ番号である「５０００」とし、要求種別フィールド２４を「１」として、ＶＬＡＮ−ＩＤ動的設定要求２３をＶＬＡＮ−ＩＤ設定部１２へと送信する。
【００４０】
ＶＬＡＮ−ＩＤ設定部１２は、ユーザ認証応答部１１から受信したＶＬＡＮ−ＩＤ動的設定要求２３の要求種別フィールド２４が「１」であるため、ＶＬＡＮ−ＩＤの割り当てを要求するものだと判断し、ＶＬＡＮ−ＩＤ動的設定要求２３のＶＬＡＮ番号フィールド２５の値に基づいてＶＬＡＮ番号テーブル１５を検索する。この時点では、ＶＬＡＮ番号「５０００」がＶＬＡＮ番号テーブル１５のＶＬＡＮ番号フィールド２０に格納されているのでそのエントリがヒットする。ＶＬＡＮ−ＩＤ設定部１２は、ＶＬＡＮ番号「５０００」に対しては既にＶＬＡＮ−ＩＤが割り当てられていると判断して、そのヒットしたエントリのカウンタフィールド２２の値に１を加算する。その結果、カウンタフィールド２２の値は「２」となる。この時点でのＶＬＡＮ番号テーブル４１の内容が図９の（ｃ）に示されている。さらにＶＬＡＮ−ＩＤ設定部１２は、そのエントリのＶＬＡＮ−ＩＤフィールド２１の値「２」をＶＬＡＮ−ＩＤ動的設定応答２６のＶＬＡＮ−ＩＤフィールド２７に格納し、そのＶＬＡＮーＩＤ動的設定応答２６をユーザ認証応答部１１へと送信する。
【００４１】
ＶＬＡＮ−ＩＤ動的設定応答２６を受信したユーザ認証応答部１１は、ユーザ＃２のセッション情報を更新するとともに、ＶＬＡＮ−ＩＤ動的設定応答２６のＶＬＡＮ−ＩＤフィールド２７の値「２」をユーザ＃２のユーザ端末２のＶＬＡＮ−ＩＤとするユーザ認証応答フレーム３１を作成し、そのユーザ認証応答フレーム３１をＶＬＡＮスイッチ接続部１０へと送信する。ユーザ認証応答フレーム３１を受信したＶＬＡＮスイッチ接続部１０は、フレーム転送装置４にユーザ認証応答フレーム３１を転送する。
【００４２】
次に、ユーザ＃１、ユーザ＃２が仮想網に接続した後、ユーザ＃３が仮想網から離脱する際の処理を説明する。図１１は、ユーザ端末３を使用するユーザ＃３からのユーザ切断要求を認証サーバ５が処理する動作を示している。
【００４３】
仮想網からの切断を要求する場合には、ユーザ認証要求に用いられるフレームの１つであるユーザ切断要求フレーム３２において、切断要求を示す「ｓｔｏｐ」フラグが格納される。ＶＬＡＮスイッチ接続部１０は、フレーム転送装置４から受信したユーザ切断要求フレーム３２をユーザ認証応答部１１に転送する。
【００４４】
ユーザ切断要求フレーム３２を受信したユーザ認証応答部１１は、切断要求を示す「ｓｔｏｐ」フラグの存在により切断要求であると判断し、ユーザごとに保持するセッション情報からのユーザＩＤを参照し「ｕｓｅｒ３」を得る。さらにユーザＩＤ「ｕｓｅｒ３」とパスワード「ｐａｓｓ３」とをキーとしてｕｓｅｒｓＤＢ１４を検索する。ｕｓｅｒｓＤＢ１４においてはユーザ＃３に対し、ユーザ＃３がアクセス権限を持っているＶＬＡＮのＶＬＡＮ番号「１０」が対応付けられており、ユーザ認証応答部１１は、ＶＬＡＮ番号フィールド２５をユーザ＃３のＶＬＡＮ番号である「１０」とし、要求種別フィールド１４を「０」としてＶＬＡＮ−ＩＤ動的設定要求２３を生成してＶＬＡＮ−ＩＤ設定部１２へと送信する。また、ユーザ認証応答部１１は、ユーザ切断応答フレーム３３を生成しＶＬＡＮスイッチ接続部１０へと送信する。ユーザ切断応答フレーム３３を受信したＶＬＡＮスイッチ接続部１０は、フレーム転送装置４にユーザ切断応答フレーム３３を転送する。
【００４５】
ＶＬＡＮ−ＩＤ設定部１２は、ユーザ認証応答部１１から受信したＶＬＡＮ−ＩＤ動的設定要求２３の要求種別フィールド２４が「０」であるため、ＶＬＡＮ−ＩＤの解放を要求するものだと判断する。そしてＶＬＡＮ−ＩＤ動的設定要求２３のＶＬＡＮ番号フィールド２５に格納された「１０」をキーにして、ＶＬＡＮ番号テーブル１５におけるＶＬＡＮ番号フィールド２０に「１０」が格納されたエントリを検索する。そして、検索されたエントリにおけるカウンタフィールドの値から１を減算する。この場合、ＶＬＡＮ番号「１０」に対応するエントリにおけるカウンタフィールド２２の値は「１」であったから、このカウンタフィールド２２の値は「０」に変化する。カウンタフィールド２２の値が「０」となったことにより、ＶＬＡＮ−ＩＤ設定部１２は、そのエントリのＶＬＡＮ−ＩＤフィールド２１の値（この場合「１」）をＶＬＡＮ−ＩＤスタック１６へとプッシュし、そのエントリを削除する。
【００４６】
その結果、ＶＬＡＮ番号テーブル１５の内容は図９の（ｄ）に示すようになり、ＶＬＡＮ−ＩＤスタック１６の内容は図１０の（ｃ）に示すようになる。
【００４７】
以上説明したように、この実施の形態では、各ユーザ端末グループに対してはＶＬＡＮ番号（グループ識別子）を予め割り当てておき、実際に仮想網を使用する際に必要となるＶＬＡＮ−ＩＤ（仮想網識別子）については、接続要求があった時点で動的に割り当てるので、同時接続可能なユーザ端末グループ数が制約されるだけであって、仮想網として利用可能な仮想網識別子の数の上限を超えたユーザ端末グループと契約してＶＬＡＮ接続を提供することができる。上述した例では、ＶＬＡＮ番号が「５０００」であって４０９４を超える場合であっても、ＶＬＡＮ接続が提供されている。また、全てのユーザ端末が離脱したユーザ端末グループのＶＬＡＮ番号に割り当てられていたＶＬＡＮ−ＩＤは解放され、未使用のＶＬＡＮ−ＩＤとしてプールされるので、複数のグループでのＶＬＡＮ−ＩＤの共有が可能である。
【００４８】
さらに、上記の説明においては、ＶＬＡＮ−ＩＤが割り当てられていないＶＬＡＮのＶＬＡＮ番号のエントリはＶＬＡＮ番号テーブル１５には存在しないようになっているが、すなわち、ＶＬＡＮ番号テーブル１５のエントリ自体も動的に生成するようになっているが、本発明はこれに限られるものではない。全ての契約ユーザ端末グループのＶＬＡＮ番号をＶＬＡＮ番号テーブル１５に静的に登録しておき、そのＶＬＡＮ番号のエントリのＶＬＡＮ−ＩＤフィールドにＶＬＡＮ−ＩＤの値が格納されているか否かでＶＬＡＮ−ＩＤが割り当てられているか否かを判別するようにしてもよい。
【００４９】
上述した認証サーバは、それを実現するための計算機プログラムをサーバ用コンピュータに読み込ませ、そのプログラムを実行させることによっても実現できる。そのプログラムは、磁気テープやＣＤ−ＲＯＭなどの記録媒体によって、コンピュータに読み込まれる。サーバ用コンピュータは、一般に、中央処理装置（ＣＰＵ）と、プログラムやデータを格納するためのハードディスク装置と、主メモリと、キーボードやマウスなどの入力装置と、ＣＲＴなどの表示装置と、磁気テープやＣＤ−ＲＯＭ等の記録媒体を読み取る読み取り装置と、フレーム転送装置との接続に用いる通信インタフェースとから構成されている。ハードディスク装置、主メモリ、入力装置、表示装置、読み取り装置及び通信インタフェースは、いずれも中央処理装置に接続している。このコンピュータは、上述した認証サーバの各機能を実現するためのプログラムを格納した記録媒体を読み取り装置に装着し、記録媒体からプログラムを読み出してハードディスク装置に格納し、ハードディスク装置に格納されたプログラムを中央処理装置が実行することにより、認証サーバとして機能する。さらに、プログラムは、記録媒体からではなくネットワークを介してサーバ用コンピュータに読込まれるようにしてもよい。
【００５０】
以上説明した実施の形態では、各フレーム転送装置に接続するユーザ端末の数はそれぞれ３であり、またユーザ数も３であったが、当業者には容易に理解できるように、本発明ではそれらの数には制限はない。認証サーバがＲａｄｉｕｓサーバであるとしたが、本発明はそれに限るものではない。フレーム転送装置をＶＬＡＮスイッチとしたが、本発明はそれに限るものではなく、またフレーム転送装置の個数にも制限されるものではない。
【００５１】
【発明の効果】
以上説明したように本発明は、仮想網識別子（ＶＬＡＮ−ＩＤ）を動的に割り当てることにより、契約グループによる仮想網識別子の占有を回避でき、契約グループ数における制約をなくすことができるとともに、数的に限られた仮想網識別子を契約グループ間で共有することができるようになる、という効果がある。
【図面の簡単な説明】
【図１】仮想網の構成の一例を示す説明図である。
【図２】本発明の実施の一形態の認証サーバの内部構成を示すブロック図である。
【図３】ＶＬＡＮ番号テーブルの構成を示す図である。
【図４】ＶＬＡＮ−ＩＤスタックの構成を示す図である。
【図５】ＶＬＡＮ−ＩＤ動的設定要求の構成の一例を示す図である。
【図６】ＶＬＡＮ−ＩＤ動的設定応答の構成の一例を示す図である。
【図７】仮想網でのユーザ認証の適用場面を示した説明図である。
【図８】ユーザ認証要求を認証サーバが処理する際の動作を説明する図である。
【図９】ＶＬＡＮ番号テーブルの内容の変化の一例を示す図である。
【図１０】ＶＬＡＮ−ＩＤスタックの内容の変化の一例を示す図である。
【図１１】ユーザ切断要求を認証サーバが処理する際の動作を説明する図である。
【符号の説明】
１〜３ユーザ端末
４フレーム転送装置
５認証サーバ
６フレーム伝送路
１０ＶＬＡＮスイッチ接続部
１１ユーザ認証応答部
１２ＶＬＡＮ−ＩＤ設定部
１３ディクショナリデータベース（ｄｉｃｔｉｏｎａｒｙＤＢ）
１４ユーザズデータベース（ｕｓｅｒｓＤＢ）
１５ＶＬＡＮ番号テーブル
１６ＶＬＡＮ−ＩＤスタック
２０，２５ＶＬＡＮ番号フィールド
２１，２７ＶＬＡＮ−ＩＤフィールド
２２カウンタフィールド
２３ＶＬＡＮ−ＩＤ動的設定要求
２４要求種別フィールド
２６ＶＬＡＮ−ＩＤ動的設定応答
３０ユーザ認証要求フレーム
３１ユーザ認証応答フレーム
３２ユーザ切断要求フレーム
３３ユーザ切断応答フレーム[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a virtual network represented by a frame transfer network such as a VLAN (virtual local area network) and an authentication server used for user authentication in the virtual network.
[0002]
[Prior art]
A virtual network physically shares an actual physical network with a plurality of user groups, and conceals the existence of other user groups for each user group, as if one user group monopolizes one network. As if you were using it. In such a virtual network, a frame transfer device is connected to a physical network, and a plurality of user terminals are connected to the frame transfer device. Then, when the user makes a connection request to the frame transfer device via the user terminal, after performing user authentication, the frame transfer device assigns a virtual network identifier to the user terminal, and further, the user terminal When a frame is sent, a corresponding virtual network identifier is added to the user frame, and frame transfer is performed between frame transfer devices. In this way, communication cannot be performed between user terminals to which different virtual network identifiers are assigned, and one physical network can be logically divided into a plurality of user groups that cannot communicate with each other.
[0003]
Further, in the above-described virtual network, an authentication server is provided for performing user authentication for a user who has made a connection request from a user terminal. User authentication is performed between the frame transfer device and the authentication server. The authentication server notifies the frame transfer device of the virtual network identifier based on the information of the authenticated user, and the frame transfer device notifies the virtual network identifier of the user notified from the authentication server and the user terminal of the user used by the user. Map with an identifier. By configuring the virtual network in this way, the user terminals connected to the frame transfer device can be shared by a plurality of users belonging to different groups, and users of various user groups can be connected to the frame transfer device. It becomes possible to connect a user terminal to ad hoc.
[0004]
By the way, in the conventional authentication server used for the virtual network, the virtual network identifier of the user group to which the user belongs is statically set in advance in the user information table held by the authentication server, and the user who has made the connection request is When the authentication success response is transmitted to the frame transfer device, the virtual network identifier is notified to the frame transfer device by embedding the virtual network identifier in the authentication success response. Therefore, even when all users belonging to a certain user group have left the frame transfer network, the virtual network identifier of the user group remains occupied.
[0005]
In a general virtual network, particularly a frame transfer network, since the length of a virtual network identifier that can be stored in a user frame is 12 bits, the maximum number of virtual network identifiers is 4094 (so-called 4094 VLAN restriction problem). As described above, there is generally an upper limit to the number of virtual network identifiers that can be used in a virtual network. Therefore, when virtual network identifiers are statically set, even if a user belonging to a user group is assigned to the frame transfer network, Even if the virtual network identifier is not connected, the virtual network identifier is occupied, so that there is an upper limit to the number of virtual network identifiers that can be set. Therefore, in the conventional virtual network, it is difficult to improve the scalability of the number of contract user groups.
[0006]
[Patent Document 1]
JP-A-11-215152
[Patent Document 2]
JP-A-2002-223228
[Patent Document 3]
JP-A-2002-314573
[0007]
[Problems to be solved by the invention]
As described above, although the conventional virtual network has an upper limit on the number of virtual network identifiers that can be set by the frame transfer device as in the case of the 4094 VLAN restriction problem, the virtual network identifier of the user group to which the user belongs is Since the authentication server statically sets in the user information table, there is an upper limit on the number of user groups that can subscribe, and there is a problem that it is difficult to improve the scalability of the virtual network.
[0008]
Therefore, an object of the present invention is to improve scalability improvement such as the number of contract user groups in a virtual network. Specifically, an object of the present invention is to prevent a contract user group from occupying a virtual network identifier, An object of the present invention is to provide an authentication server capable of realizing an unlimited number of contracted user groups, and a frame transfer network with improved scalability by using such an authentication server.
[0009]
[Means for Solving the Problems]
In the present invention, in order to solve the above-described problem, an authentication server including a user information table for managing a correspondence between a user identifier assigned to each user and a group identifier set for each user terminal group is provided with a group identifier. A group identifier table for managing the corresponding virtual network identifier and the number of connected user terminals, and a storage unit for storing unused virtual network identifiers, and when the authentication server receives a connection request. A function for performing an authentication process, and when authentication is permitted, extracts a group identifier of the user terminal using the user information table, and determines whether a virtual network identifier is assigned to the extracted group identifier in the group identifier table. If it is assigned, the corresponding virtual network identifier is notified and the corresponding The number of connected user terminals is updated, and if not assigned, unused virtual network identifiers stored in the storage unit are set in the group identifier table in association with the extracted group identifiers and the virtual network identifiers are notified. And a function to release the virtual network identifier corresponding to the user terminal group from which all the user terminals have left as unused and to store the virtual network identifier in the storage unit. I have.
[0010]
That is, in the present invention, for a group identifier fixedly assigned to each user terminal group, the correspondence between the virtual network identifier and the number of connected user terminals for the group identifier is managed in the group identifier table. As a result, it is possible to hold information on the group identifier to which the virtual network identifier is already assigned, and to manage the number of user terminals connected to the frame transfer network for each group identifier. Furthermore, by pooling unused virtual network identifiers by a storage unit, typically implemented as a stack, it becomes possible to manage virtual network identifier information that is not occupied by a specific group identifier. That is, by using the group identifier of the user terminal extracted at the time of authentication and the group identifier table, it is possible to specify the virtual network identifier corresponding to the group identifier of the user terminal.
[0011]
Here, when there is no virtual network identifier corresponding to the group identifier, the unused virtual network identifiers pooled are assigned to the group identifier table, so that the group identifiers to which no virtual network identifiers have been assigned are assigned. , It is possible to assign a virtual network identifier that is not occupied by any group identifier. Further, the virtual network identifier corresponding to the user terminal group from which all the user terminals have left is released as unused and stored in the pool, so that the virtual network identifier can be reused.
[0012]
As a result, a limited number of virtual network identifiers can be shared between the contracted user groups, and the occupation of the VLAN-ID by the contracted group can be avoided. Without increasing the number of contract groups.
[0013]
BEST MODE FOR CARRYING OUT THE INVENTION
Next, a preferred embodiment of the present invention will be described with reference to the drawings.
[0014]
FIG. 1 shows an example of a configuration of a virtual network having an authentication server according to an embodiment of the present invention. The virtual network is configured as a frame transfer network, and includes a frame transmission line 6 for transmitting tagged frames, a plurality of frame transfer devices 4 connected to the frame transmission line 6, and a user connected to each frame transfer device 4 An authentication server 5 for performing authentication is provided. A plurality of user terminals 1 to 3 are connected to each frame transfer device 4, respectively. In the following description, it is assumed that the frame transfer device 4 is configured as a VLAN switch, and that the authentication server 5 is a Radius (remote authentication dial-in user service) server. Each of the user terminals 1 to 3 is connected to a user terminal interface of the corresponding frame transfer device 4. The authentication server 5 is connected to an interface for the authentication server of the frame transfer device 4.
[0015]
Here, the frame transfer device 4 receives the connection request from the user terminal connected to the user terminal interface, makes a user authentication request to the authentication server 5, and includes the function in the user authentication response from the authentication server 5. A function of mapping a virtual network identifier (hereinafter, referred to as VLAN-ID) to a user terminal identifier corresponding to the user terminal that has made the connection request, and a function of mapping the user frame when the user frame is transferred from the user terminal. The transfer frame is tagged with a VLAN-ID for a user terminal group (hereinafter, also referred to as a VLAN) assigned to the transfer terminal, and the tagged frame is transferred to the partner frame transfer device via the frame transfer path 6. And a function. The functions described here are generally provided as the frame transfer device 4 configuring the virtual network, and the configuration of the frame transfer device 4 used in the present embodiment is obvious to those skilled in the art. The frame transfer devices 4 mutually transfer frames as described above.
[0016]
The authentication server 5 performs user authentication in response to a user authentication request from the frame transfer device 4, and when the user authentication is successful, dynamically sets the VLAN-ID of the group to which the user belongs, 4 has a function of returning an authentication response to the server 4. FIG. 2 shows the internal configuration of such an authentication server 5. The authentication server 5 can be roughly classified into a VLAN switch connection unit 10 serving as an interface to the frame transfer device 4, a user authentication response unit 11 for actually performing user authentication, and a VLAN-ID for dynamically setting a VLAN-ID. A setting unit 12. Here, the VLAN switch connection unit 10 specifically transfers the user authentication request from the frame transfer device 4 to the user authentication response unit 11 and sends the user authentication response or the user authentication rejection response from the user authentication response unit 11 to the frame. A function of transmitting a user disconnection request from the frame transfer device 4 to the user authentication response unit 11 and a function of transmitting a user disconnection response from the user authentication response unit 11 to the frame transfer device 4. Have.
[0017]
The user authentication response unit 11 holds two databases, a dictionaryDB (dictionary database) 13 and a usersDB (users database) 14, similarly to the conventional authentication server in the virtual network. The details of these databases are described in, for example, RFC2138 among RFC (Request for Comments) documents that describe de facto standards in the Internet technology. The dictionary DB 13 holds “VLAN number” as an attribute. Here, the attribute value format of the attribute “VLAN number” is an integer type. Further, the usersDB 14 corresponds to a user information table, and holds user information of a user identifier (hereinafter, referred to as a user ID) having a VLAN access right, and each user information is a group to which the user belongs. Is stored as an attribute value of the attribute “VLAN number”.
[0018]
The user authentication response unit 11 refers to the usersDB 14 based on the user ID and the password included in the user authentication request received from the VLAN switch connection unit 10 and determines whether or not authentication is possible. A function of transmitting the VLAN number of the user ID to the VLAN-ID setting unit 12 as a later-described VLAN-ID dynamic setting request 23, and, if the authentication result is rejected, a user authentication rejection response to the VLAN switch connection unit 10; , A function to generate a user authentication response from the VLAN-ID of a later-described VLAN-ID dynamic setting response 26 received from the VLAN-ID setting unit 12, the dictionaryDB 13, and the usersDB 14, and a generated user authentication response To the VLAN switch connection unit 10 and the user I Having a function of holding the session information each time. The details of the search method of the usersDB 14 and the function of generating a user authentication response are described in the above-mentioned RFC2138. The retention of session information is described in RFC2139. Further, the user authentication response unit 11 extracts a function of obtaining the user ID from the session information of the user disconnection request received from the VLAN switch connection unit 10 and a corresponding VLAN number from the user ID and the usersDB 14, and It also has a function of transmitting to the VLAN-ID setting unit 12 as an ID deletion request. Each function of the user authentication response unit 11 is executed by, for example, an authentication response control unit (not shown) provided in the user authentication response unit 11.
[0019]
The VLAN-ID setting unit 12 includes a VLAN number table 15 that holds a group identifier (VLAN number), and an unused VLAN-ID (virtual network identifier) storage unit that pools unused VLAN-IDs. And a VLAN-ID stack 16 functioning as a VLAN-ID stack. As a mechanism for pooling unused VLAN-IDs, various storage mechanisms can be used. In the present embodiment, a stack configuration (last-in first-out configuration) storage mechanism is used to reduce the amount of arithmetic processing. Reductions are being made.
[0020]
As shown in FIG. 3, the VLAN number table 15 includes a VLAN number field 20 for storing a VLAN number, a VLAN-ID field 21 for storing a VLAN-ID, and a counter field 22. In the VLAN number table 15, an entry is provided for each VLAN number to which a VLAN-ID has already been assigned, and the VLAN number, the VLAN-ID of the VLAN corresponding to the VLAN number, and the connection to the VLAN. The number of connected user terminals is set as a set and stored in the VLAN number field 20, VLAN-ID field 21, and counter field 22, respectively.
[0021]
As shown in FIG. 4, the VLAN-ID stack 16 holds 4094 data blocks having a data length of 12 bits. The numeral 4094 is the upper limit of the number of virtual network identifiers in a general virtual network. In the initial state, the VLAN-ID stack 16 holds integer values from 1 to 4094 in ascending order in the stack.
[0022]
When the request type of the VLAN-ID dynamic setting request 23 received from the user authentication response unit 11 is “1”, the VLAN-ID setting unit 12 uses the VLAN number in the setting request as a key in the VLAN number table 15. To check if there is an entry having a VLAN number field 20 in which the same VLAN number as the VLAN number in the setting request is stored. If there is a hit entry, the VLAN-ID setting unit 12 determines that a VLAN-ID has already been assigned to a VLAN to which the user has access right, and the VLAN-ID field 21 of the entry. Is returned to the user authentication response unit 11 as a VLAN-ID dynamic setting response 26, and 1 is added to the value of the counter field 22 of the entry.
[0023]
On the other hand, if there is no hit entry, the VLAN-ID setting unit 12 determines that the VLAN-ID has not been assigned to the VLAN to which the user has access right, and the VLAN-ID setting unit 12 Is created in the VLAN number table 15, one data (VLAN-ID) is popped up from the VLAN-ID stack 16, and the VLAN number is stored in the VLAN number field 20 in the created entry of the VLAN-ID table 15. Then, the value extracted from the VLAN-ID stack 16 is stored in the VLAN-ID field 21 and "1" is set in the counter field 22. Further, the VLAN-ID setting unit 12 creates a later-described VLAN-ID dynamic setting response 26 as a VLAN-ID to newly assign a value stored in the VLAN-ID field 21 of the created entry, and a user authentication response unit. 11 is provided.
[0024]
Further, when the request type of the VLAN-ID dynamic setting request received from the user authentication response unit 11 is “0”, the VLAN-ID setting unit 12 requests that the VLAN-ID be released by a user disconnection request. Then, the VLAN number table 15 is searched using the VLAN number in the setting request as a key, and an entry having the VLAN number field 20 in which the same VLAN number as the VLAN number is stored is found. In this case, since the user disconnection request occurs only for the VLAN number to which the VLAN-ID has already been assigned, there is always a hit entry. Then, the VLAN-ID setting unit 12 subtracts 1 from the value of the counter field 22 of the hit entry, and determines whether the value of the counter field 22 after the subtraction has become “0”. If the value of the counter field 22 becomes “0”, it is determined that all user terminals have left the VLAN of the VLAN number, and the value of the VLAN-ID field 21 of the hit entry is transferred to the VLAN-ID stack 16. And push down and delete that entry. As a result, the corresponding VLAN-ID is made unused and can be used for another VLAN. If the value of the counter field 22 is 1 or more, there is still a user terminal connected to the VLAN, and the push processing in the VLAN-ID stack 16 is not performed.
[0025]
Each of the functions of the VLAN-ID setting unit 12 described above is executed by, for example, a setting control unit provided in the VLAN-ID setting unit 12, although not shown here.
[0026]
FIG. 5 shows an example of the configuration of the VLAN-ID dynamic setting request 23 transmitted from the user authentication response unit 11 to the VLAN-ID setting unit 12. The VLAN-ID dynamic setting request 23 includes a request type field 24 storing a request type and a VLAN number field 25 storing a VLAN number. The request type field 24 holds “1” as a value when the user authentication response unit 11 requests VLAN-ID assignment when the user authentication response unit 11 receives the user authentication request. When requesting the release of the VLAN-ID assignment upon receipt of this, “0” is held as the value. The VRAN number stored in the VLAN number field 25 is the VLAN number of the VLAN requesting the VLAN-ID dynamic setting.
[0027]
FIG. 6 shows an example of a configuration of the VLAN-ID dynamic setting response 26 transmitted from the VLAN-ID setting unit 12 to the user authentication response unit 11. The VLAN-ID dynamic setting response 26 is provided with a VLAN-ID field 27 for storing the VLAN-ID.
[0028]
According to the VLAN-ID dynamic setting request 23 and the VLAN-ID dynamic setting response 26 shown in FIGS. 5 and 6, respectively, the VLAN-ID setting unit 12 as described above receives the VLAN-ID received from the user authentication response unit 11. When the value of the request type field 24 of the ID dynamic setting request 23 is “1”, the same VLAN number stored in the VLAN number field 25 of the setting request 23 is searched in the VLAN number table 15. Then, the value stored in the VLAN-ID field 21 of the hit entry is stored in the VLAN-ID field 27 of the VLAN-ID dynamic setting response 26 and transmitted to the user authentication response unit 11. If the request type field 24 of the VLAN-ID dynamic setting request 23 received from the user authentication response unit 11 is “0”, the VLAN-ID setting unit 12 sets the VLAN-ID dynamic setting response 26 Is not transmitted to the user authentication response unit 11.
[0029]
Next, the operation of the authentication server of the present embodiment will be described. Here, in the virtual network shown in FIG. 1, it is assumed that the user terminals # 1 to # 3 use the user terminals 1 to 3 of the frame transfer device on the right side of the two frame transfer devices 4 in the figure. Assume that the user ID of the user # 1 using the user terminal 1 is “user1”, the password of the user # 1 is “pass1”, and the VLAN number of the VLAN to which the user 1 # has access authority is “5000”. The user ID of the user # 2 using the user terminal 2 is “user2”, the password of the user # 2 is “pass2”, the VLAN number of the VLAN to which the user # 2 has the access right is “5000”, and the user It is assumed that the user ID of the user # 3 using the terminal 3 is “user3”, the password of the user # 3 is “pass3”, and the VLAN number of the VLAN to which the user 3 # has access authority is “10”.
[0030]
Here, the VLAN numbers are assigned in ascending order for each contract of the user group with this virtual network. Therefore, although not explicitly shown in the figure, there are potentially 5000 or more VLAN groups for this virtual network. The number of VLAN groups is larger than 4094, which is the number of VLAN-IDs. It is also assumed that the user # 3 using the user terminal 3 has already been authenticated by the authentication server 5 and has connected to a virtual network (frame transfer network).
[0031]
When the user # 1, the user # 2, and the user # 3 access the VLAN to which each of them has the access authority, the user # 1, the user ID and the password are used as the user information as the frame transfer device 4 (in this case, the corresponding user terminal 1). To the right-hand frame transfer device shown in FIG. The frame transfer device 4 having received the notification makes a user authentication request of the user terminals 1 to 3 to the authentication server 5 based on the user information notified from the user terminals 1 to 3.
[0032]
FIG. 8 shows an operation in which the authentication server 5 processes a user authentication request from the user # 1 using the user terminal 1.
[0033]
Since this virtual network is a frame transfer network, user authentication requests and user authentication responses are all transferred as frames. The user authentication request frame 30 from the user terminal 1 stores “user1” as the user ID and “pass1” as the password. The VLAN switch connection unit 10 transfers the user authentication request frame 30 received from the frame transfer device 4 to the user authentication response unit 11.
[0034]
In the user authentication response unit 11 that has received the user authentication request frame 30, the user DB 14 is searched using the user ID “user1” and the password “pass1” as keys. The VLAN number associated with the user # 1 in the users DB 14 is “5000” of the VLAN number of the VLAN to which the user # 1 has access authority. Then, when the user authentication using the password or the like succeeds, the user authentication response unit 11 sets the VLAN number field 25 to “5000”, which is the VLAN number of the user # 1, and sets the request type field 24 to “1”. The dynamic setting request 23 is transmitted to the VLAN-ID setting unit 12.
[0035]
The VLAN-ID setting unit 12 requests the VLAN-ID assignment because the value of the request type field 24 of the VLAN-ID dynamic setting request 23 received from the user authentication response unit 11 is “1”. It is determined whether there is an entry in which “5000” is stored in the VLAN number field 20 in the VLAN number table 15 by using “5000” stored in the VLAN number field 25 of the VLAN-ID dynamic setting request 23 as a key. Search for. At this point, only the user terminal 3 has been authenticated and connected to the virtual network. Therefore, in the VLAN number table 15, only the entry with the VLAN number “10” exists as shown in FIG. I do. Therefore, no entry is found in the search with the VLAN number “5000”, and the VLAN-ID setting unit 12 determines whether the VLAN number notified by the VLAN-ID dynamic setting request 23 is “5000”. It is determined that the VLAN-ID has not been assigned yet. Then, the VLAN-ID setting unit 12 generates a new entry in the VLAN number table 15, stores “5000” in the VLAN number field 20 of the entry, and pops up one value from the VLAN-ID stack 16. At the time immediately before the pop-up, the VLAN-ID is assigned only to the VLAN whose VLAN number is “10”, and the assigned VLAN-ID is “1”. As shown in FIG. 10A, 4093 values from 2 to 4094 are stored. As a result, the leading value “2” is extracted from the VLAN-ID stack 16 by a pop-up. The VLAN-ID setting unit 12 stores the pop-up value “2” in the VLAN-ID field 21 of the generated entry, and sets the value of the counter field 22 to “1”.
[0036]
With the above processing, the contents of the VLAN number table 15 become as shown in FIG. 9B, and the contents of the VLAN-ID stack 16 become as shown in FIG. 10B. Further, the VLAN-ID setting unit 12 sets the value “2” of the VLAN-ID field 21 of the entry having the VLAN number “5000” in the VLAN number table 15 in the VLAN-ID field 27 of the VLAN-ID dynamic setting response 26. It stores the VLAN-ID dynamic setting response 26 to the user authentication response unit 11.
[0037]
Upon receiving the VLAN-ID dynamic setting response 26, the user authentication response unit 11 allocates the value “2” of the VLAN-ID field 27 of the VLAN-ID dynamic setting response 26 to the user terminal 1 of the user # 1. A user authentication response packet 31 is created as a VLAN-ID, transmitted to the VLAN switch connection unit 10, and the session information relating to the user # 1 is updated. The VLAN switch connection unit 10 that has received the user authentication response packet 31 transfers the user authentication response packet 31 to the frame transfer device 4. As a result, the user # 1 can perform communication using the virtual network with the VLAN-ID set to “2” using the user terminal 1.
[0038]
Next, a process when a user authentication request from the user # 2 using the user terminal 2 is received following the above-described user authentication of the user # 1 will be described.
[0039]
The user authentication request frame 30 for the user # 2 stores “user2” as the user ID and “pass2” as the password, and is sent from the frame transfer device 4 to the authentication server 5. The VLAN switch connection unit 10 of the authentication server 5 transfers the user authentication request frame 30 received from the frame transfer device 4 to the user authentication response unit 11. The user authentication response unit 11 that has received the user authentication request frame 30 searches the usersDB 14 using the user ID “user2” and the password “pass2” as keys. In the usersDB 14, the user # 2 is associated with the VLAN number "5000" of the VLAN to which the user # 2 has the access right, and the user authentication response unit 11 The VLAN number field 25 is set to “5000” which is the VLAN number of the user # 2, the request type field 24 is set to “1”, and the VLAN-ID dynamic setting request 23 is transmitted to the VLAN-ID setting unit 12.
[0040]
Since the request type field 24 of the VLAN-ID dynamic setting request 23 received from the user authentication response unit 11 is “1”, the VLAN-ID setting unit 12 determines that the request is for a VLAN-ID assignment. , The VLAN number table 15 is searched based on the value of the VLAN number field 25 of the VLAN-ID dynamic setting request 23. At this point, since the VLAN number “5000” is stored in the VLAN number field 20 of the VLAN number table 15, the entry hits. The VLAN-ID setting unit 12 determines that the VLAN-ID has already been assigned to the VLAN number “5000”, and adds 1 to the value of the counter field 22 of the hit entry. As a result, the value of the counter field 22 becomes “2”. The contents of the VLAN number table 41 at this point are shown in FIG. Further, the VLAN-ID setting unit 12 stores the value “2” of the VLAN-ID field 21 of the entry in the VLAN-ID field 27 of the VLAN-ID dynamic setting response 26, and the VLAN-ID dynamic setting response 26 Is transmitted to the user authentication response unit 11.
[0041]
Upon receiving the VLAN-ID dynamic setting response 26, the user authentication responding unit 11 updates the session information of the user # 2 and sets the value of the VLAN-ID field 27 of the VLAN-ID dynamic setting response 26 to "2". A user authentication response frame 31 is created as the VLAN-ID of the user terminal 2 of # 2, and the user authentication response frame 31 is transmitted to the VLAN switch connection unit 10. The VLAN switch connection unit 10 that has received the user authentication response frame 31 transfers the user authentication response frame 31 to the frame transfer device 4.
[0042]
Next, processing when user # 3 leaves the virtual network after user # 1 and user # 2 connect to the virtual network will be described. FIG. 11 shows an operation in which the authentication server 5 processes a user disconnection request from the user # 3 using the user terminal 3.
[0043]
When requesting disconnection from the virtual network, a “stop” flag indicating a disconnection request is stored in a user disconnection request frame 32 which is one of frames used for a user authentication request. The VLAN switch connection unit 10 transfers the user disconnection request frame 32 received from the frame transfer device 4 to the user authentication response unit 11.
[0044]
Upon receiving the user disconnection request frame 32, the user authentication response unit 11 determines that the request is a disconnection request due to the presence of the “stop” flag indicating the disconnection request, and refers to the user ID from the session information held for each user, and refers to “user3 To get. Further, the user DB 14 is searched using the user ID “user3” and the password “pass3” as keys. In the usersDB 14, the user # 3 is associated with the VLAN number "10" of the VLAN to which the user # 3 has the access right, and the user authentication response unit 11 sets the VLAN number field 25 to the VLAN of the user # 3. The VLAN-ID dynamic setting request 23 is generated with the number “10” and the request type field 14 set to “0” and transmitted to the VLAN-ID setting unit 12. Further, the user authentication response unit 11 generates a user disconnection response frame 33 and transmits it to the VLAN switch connection unit 10. The VLAN switch connection unit 10 that has received the user disconnection response frame 33 transfers the user disconnection response frame 33 to the frame transfer device 4.
[0045]
Since the request type field 24 of the VLAN-ID dynamic setting request 23 received from the user authentication response unit 11 is “0”, the VLAN-ID setting unit 12 determines that the request is to release the VLAN-ID. . Then, by using “10” stored in the VLAN number field 25 of the VLAN-ID dynamic setting request 23 as a key, an entry in which “10” is stored in the VLAN number field 20 in the VLAN number table 15 is searched. Then, 1 is subtracted from the value of the counter field in the searched entry. In this case, since the value of the counter field 22 in the entry corresponding to the VLAN number “10” is “1”, the value of the counter field 22 changes to “0”. When the value of the counter field 22 becomes “0”, the VLAN-ID setting unit 12 pushes the value of the VLAN-ID field 21 of the entry (in this case, “1”) to the VLAN-ID stack 16. , Delete that entry.
[0046]
As a result, the contents of the VLAN number table 15 are as shown in FIG. 9D, and the contents of the VLAN-ID stack 16 are as shown in FIG. 10C.
[0047]
As described above, in this embodiment, a VLAN number (group identifier) is assigned to each user terminal group in advance, and a VLAN-ID (virtual network) required when actually using the virtual network is used. Identifier) is dynamically allocated at the time of the connection request, so that only the number of user terminal groups that can be simultaneously connected is limited, and the number exceeds the upper limit of the number of virtual network identifiers that can be used as a virtual network. And provide a VLAN connection by contracting with a user terminal group. In the example described above, the VLAN connection is provided even when the VLAN number is “5000” and exceeds 4094. Also, the VLAN-ID assigned to the VLAN number of the user terminal group from which all user terminals have left is released and pooled as unused VLAN-IDs, so that sharing of VLAN-IDs among a plurality of groups is not possible. It is possible.
[0048]
Further, in the above description, the entry of the VLAN number of the VLAN to which the VLAN-ID is not assigned does not exist in the VLAN number table 15, that is, the entry itself of the VLAN number table 15 is also dynamic. , But the present invention is not limited to this. The VLAN numbers of all the contract user terminal groups are statically registered in the VLAN number table 15, and the VLAN-ID is determined based on whether the VLAN-ID value is stored in the VLAN-ID field of the entry of the VLAN number. It may be determined whether or not is assigned.
[0049]
The above-described authentication server can also be realized by causing a computer for a server to read a computer program for realizing the authentication server and executing the program. The program is read into a computer by a recording medium such as a magnetic tape or a CD-ROM. The server computer generally includes a central processing unit (CPU), a hard disk device for storing programs and data, a main memory, an input device such as a keyboard and a mouse, a display device such as a CRT, a magnetic tape, It comprises a reading device for reading a recording medium such as a CD-ROM, and a communication interface used for connection with a frame transfer device. The hard disk device, main memory, input device, display device, reading device, and communication interface are all connected to the central processing unit. This computer attaches a recording medium storing a program for realizing the functions of the above-described authentication server to a reading device, reads the program from the recording medium, stores the program in a hard disk device, and executes the program stored in the hard disk device. When executed by the central processing unit, it functions as an authentication server. Further, the program may be read into the server computer via a network instead of from a recording medium.
[0050]
In the above-described embodiment, the number of user terminals connected to each frame transfer device is 3 and the number of users is 3. However, as will be easily understood by those skilled in the art, the present invention employs these. There is no limit on the number of. Although the authentication server is a Radius server, the present invention is not limited to this. Although the frame transfer device is a VLAN switch, the present invention is not limited thereto, and is not limited to the number of frame transfer devices.
[0051]
【The invention's effect】
As described above, according to the present invention, by allocating a virtual network identifier (VLAN-ID) dynamically, the occupation of the virtual network identifier by the contract group can be avoided, and the restriction on the number of contract groups can be eliminated. There is an effect that a limited virtual network identifier can be shared between contract groups.
[Brief description of the drawings]
FIG. 1 is an explanatory diagram illustrating an example of a configuration of a virtual network.
FIG. 2 is a block diagram showing an internal configuration of the authentication server according to the embodiment of the present invention.
FIG. 3 is a diagram showing a configuration of a VLAN number table.
FIG. 4 is a diagram showing a configuration of a VLAN-ID stack.
FIG. 5 is a diagram illustrating an example of a configuration of a VLAN-ID dynamic setting request.
FIG. 6 is a diagram illustrating an example of a configuration of a VLAN-ID dynamic setting response.
FIG. 7 is an explanatory diagram showing an application scene of user authentication in a virtual network.
FIG. 8 is a diagram illustrating an operation when an authentication server processes a user authentication request.
FIG. 9 is a diagram illustrating an example of a change in the contents of a VLAN number table.
FIG. 10 is a diagram illustrating an example of a change in the content of a VLAN-ID stack.
FIG. 11 is a diagram illustrating an operation when an authentication server processes a user disconnection request.
[Explanation of symbols]
1-3 user terminal
4 Frame transfer device
5 Authentication server
6 Frame transmission path
10 VLAN switch connection
11 User authentication response section
12 VLAN-ID setting unit
13 dictionary database (dictionaryDB)
14 Users database (usersDB)
15 VLAN number table
16 VLAN-ID stack
20, 25 VLAN number field
21,27 VLAN-ID field
22 Counter field
23 VLAN-ID dynamic setting request
24 Request type field
26 VLAN-ID dynamic setting response
30 User authentication request frame
31 User authentication response frame
32 User disconnection request frame
33 User disconnection response frame

Claims

ユーザ端末に仮想網識別子を割り当て該ユーザ端末からのユーザフレームにその割り当てられた仮想網識別子を付加することによって各ユーザ端末グループごとに論理的に分割した網接続を提供する仮想網において用いられ、各ユーザに割り当てられたユーザ識別子とユーザ端末グループごとに設定されるグループ識別子との対応関係を管理するユーザ情報テーブルを有してユーザ認証を行う認証サーバであって、
前記グループ識別子に対して対応する仮想網識別子と接続ユーザ端末数とを管理するグループ識別子テーブルと、
未使用である仮想網識別子を蓄積する蓄積部と、
を有し、
前記ユーザ端末から接続要求を受けると認証処理を行い、認証が許可された場合に、前記ユーザ情報テーブルを用いて当該ユーザ端末のグループ識別子を抽出し、前記抽出したグループ識別子に仮想網識別子が割り当てられているかを前記グループ識別子テーブルを用いて判断し、割り当てられている場合には、該当する仮想網識別子を接続応答によって通知するとともに該当する接続ユーザ端末数を更新し、割り当てられていない場合には、前記蓄積部に蓄積された未使用の仮想網識別子を前記抽出したグループ識別子に対応付けて前記グループ識別子テーブルに設定し当該仮想網識別子を接続応答によって通知するとともに対応する接続ユーザ端末数を更新し、
全てのユーザ端末が離脱したユーザ端末グループに該当する仮想網識別子を未使用として解放し前記蓄積部に蓄積する、認証サーバ。Used in a virtual network which provides a logically divided network connection for each user terminal group by assigning a virtual network identifier to a user terminal and adding the allocated virtual network identifier to a user frame from the user terminal; An authentication server that performs user authentication by having a user information table that manages a correspondence relationship between a user identifier assigned to each user and a group identifier set for each user terminal group,
A group identifier table for managing a virtual network identifier and the number of connected user terminals corresponding to the group identifier,
A storage unit for storing unused virtual network identifiers;
Has,
When a connection request is received from the user terminal, an authentication process is performed. When the authentication is permitted, a group identifier of the user terminal is extracted using the user information table, and a virtual network identifier is assigned to the extracted group identifier. Is determined using the group identifier table, if assigned, the corresponding virtual network identifier is notified by a connection response and the number of connected user terminals is updated, and if not assigned, Sets the unused virtual network identifier stored in the storage unit to the group identifier table in association with the extracted group identifier, notifies the virtual network identifier by a connection response, and sets the corresponding number of connected user terminals. Updated,
An authentication server that releases a virtual network identifier corresponding to a user terminal group from which all user terminals have left as unused and stores the virtual network identifier in the storage unit.

前記蓄積部はスタックである請求項１に記載の認証サーバ。The authentication server according to claim 1, wherein the storage unit is a stack.

前記認証サーバは、前記ユーザ端末から切断要求を受けると、前記ユーザ情報テーブルを用いて当該ユーザ端末のグループ識別子を抽出し、前記抽出したグループ識別子に該当する仮想網識別子を前記グループ識別子テーブルを用いて特定するとともに前記抽出したグループ識別子に対応する接続ユーザ端末数を更新し、当該接続ユーザ端末数が０になった場合には、前記該当する仮想網識別子は未使用になったものとして割り当てを解除し前記蓄積部に蓄積する、請求項１または２に記載の認証サーバ。Upon receiving the disconnection request from the user terminal, the authentication server extracts a group identifier of the user terminal using the user information table, and uses the group identifier table to assign a virtual network identifier corresponding to the extracted group identifier. And updates the number of connected user terminals corresponding to the extracted group identifier, and when the number of connected user terminals becomes 0, assigns the corresponding virtual network identifier to the unused virtual network identifier as unused. The authentication server according to claim 1, wherein the authentication server is released and stored in the storage unit.

前記グループ識別子テーブルにおいて、仮想網識別子が割り当てられるグループ識別子のエントリが動的に生成され、仮想網識別子の割り当てが解除されたグループ識別子のエントリが消去される、請求項３に記載の認証サーバ。4. The authentication server according to claim 3, wherein in the group identifier table, an entry of a group identifier to which a virtual network identifier is assigned is dynamically generated, and an entry of a group identifier to which the virtual network identifier is released is deleted. 5.

前記仮想網がフレーム転送網である請求項１乃至４のいずれか１項に記載の認証サーバ。The authentication server according to claim 1, wherein the virtual network is a frame transfer network.

各ユーザに割り当てられたユーザ識別子とユーザ端末グループごとに設定されるグループ識別子との対応関係を管理するユーザ情報テーブルを有してユーザ認証を行う認証サーバと、ユーザ端末が接続されるフレーム転送装置とを有し、前記ユーザ端末に仮想網識別子を割り当て前記ユーザ端末からのユーザフレームに前記フレーム転送装置が当該割り当てられた仮想網識別子を付加することによって各ユーザ端末グループごとに論理的に分割した網接続を提供するフレーム転送網であって、
前記認証サーバは、
前記グループ識別子に対して対応する仮想網識別子と接続ユーザ端末数とを管理するグループ識別子テーブルと、
未使用である仮想網識別子を蓄積する蓄積部と、
を有し、
前記認証サーバは、前記フレーム転送装置を介して前記ユーザ端末からの接続要求を受けると認証処理を行い、認証が許可された場合に、前記ユーザ情報テーブルを用いて当該ユーザ端末のグループ識別子を抽出し、前記抽出したグループ識別子に該当する仮想網識別子が割り当てられているかを前記グループ識別子テーブルを用いて判断し、割り当てられている場合には、該当する仮想網識別子を前記フレーム転送装置に通知するとともに対応する接続ユーザ端末数を更新し、割り当てられていない場合には、前記蓄積部に蓄積された未使用の仮想網識別子を前記抽出したグループ識別子に対応付けて前記グループ識別子テーブルに設定して当該仮想網識別子を前記フレーム転送装置に通知するとともに対応する接続ユーザ端末数を更新し、
さらに前記認証サーバは、全てのユーザ端末が離脱したユーザ端末グループに該当する仮想網識別子を未使用として解放し前記蓄積部に蓄積する、フレーム転送網。An authentication server having a user information table for managing a correspondence between a user identifier assigned to each user and a group identifier set for each user terminal group and performing user authentication, and a frame transfer device to which the user terminal is connected Having a virtual network identifier assigned to the user terminal, and the frame transfer device logically dividing each user terminal group by adding the assigned virtual network identifier to a user frame from the user terminal. A frame transfer network for providing a network connection,
The authentication server,
A group identifier table for managing a virtual network identifier and the number of connected user terminals corresponding to the group identifier,
A storage unit for storing unused virtual network identifiers;
Has,
The authentication server performs an authentication process upon receiving a connection request from the user terminal via the frame transfer device, and extracts a group identifier of the user terminal using the user information table when authentication is permitted. Then, it is determined whether or not a virtual network identifier corresponding to the extracted group identifier is allocated by using the group identifier table. If the virtual network identifier is allocated, the corresponding virtual network identifier is notified to the frame transfer device. And update the number of connected user terminals corresponding thereto, and when not assigned, set the unused virtual network identifier stored in the storage unit in the group identifier table in association with the extracted group identifier. Notify the virtual network identifier to the frame transfer device and update the corresponding number of connected user terminals.
Further, the authentication server releases the virtual network identifier corresponding to the user terminal group from which all user terminals have left as unused and stores the virtual network identifier in the storage unit.

前記蓄積部はスタックである請求項６に記載のフレーム転送網。7. The frame transfer network according to claim 6, wherein said storage unit is a stack.

前記認証サーバは、前記ユーザ端末から切断要求を受けると、前記ユーザ情報テーブルを用いて当該ユーザ端末のグループ識別子を抽出し、前記抽出したグループ識別子に該当する仮想網識別子を前記グループ識別子テーブルを用いて特定するとともに前記抽出したグループ識別子に対応する接続ユーザ端末数を更新し、当該接続ユーザ端末数が０になった場合には、前記該当する仮想網識別子は未使用になったものとして割り当てを解除し前記蓄積部に蓄積する、請求項６または７に記載のフレーム転送網。When receiving the disconnection request from the user terminal, the authentication server extracts a group identifier of the user terminal using the user information table, and uses the group identifier table to assign a virtual network identifier corresponding to the extracted group identifier. And updates the number of connected user terminals corresponding to the extracted group identifier. When the number of connected user terminals becomes 0, the corresponding virtual network identifier is assigned as unused. The frame transfer network according to claim 6, wherein the frame transfer network is released and stored in the storage unit.

前記グループ識別子テーブルにおいて、仮想網識別子が割り当てられるグループ識別子のエントリが動的に生成され、仮想網識別子の割り当てが解除されたグループ識別子のエントリが消去される、請求項８に記載のフレーム転送網。9. The frame transfer network according to claim 8, wherein, in the group identifier table, an entry of a group identifier to which a virtual network identifier is assigned is dynamically generated, and an entry of the group identifier to which the virtual network identifier is unassigned is deleted. .

コンピュータに、
ユーザ端末からの接続要求に応じて認証処理を行う機能と、
認証が許可された場合に、各ユーザに割り当てられたユーザ識別子とユーザ端末グループごとに設定されるグループ識別子との対応関係を管理するユーザ情報テーブルを用いて、当該ユーザ端末のグループ識別子を抽出する機能と、
前記抽出したグループ識別子に該当する仮想網識別子が割り当てられているかを、前記グループ識別子に対して対応する仮想網識別子と接続ユーザ端末数とを管理するグループ識別子テーブルを用いて判断し、割り当てられている場合には、該当する仮想網識別子を接続応答によって通知するとともに対応する接続ユーザ端末数を更新し、割り当てられていない場合には、未使用である仮想網識別子を蓄積する蓄積部に蓄積された未使用の仮想網識別子を前記抽出したグループ識別子に対応付けて前記グループ識別子テーブルに設定して当該仮想網識別子を前記接続応答によって通知するとともに対応する接続ユーザ端末数を更新する機能と、
全てのユーザ端末が離脱したユーザ端末グループに該当する仮想網識別子を未使用として解放し前記蓄積部に蓄積する機能と、
を実現させるためのプログラム。On the computer,
A function of performing an authentication process in response to a connection request from a user terminal;
When the authentication is permitted, a group identifier of the user terminal is extracted by using a user information table that manages a correspondence relationship between a user identifier assigned to each user and a group identifier set for each user terminal group. Features and
Whether a virtual network identifier corresponding to the extracted group identifier is assigned is determined using a group identifier table that manages a virtual network identifier corresponding to the group identifier and the number of connected user terminals, and is assigned. If not, the corresponding virtual network identifier is notified by a connection response and the number of corresponding connected user terminals is updated. If not assigned, the virtual network identifier is stored in a storage unit that stores unused virtual network identifiers. A function of setting the unused virtual network identifier in the group identifier table in association with the extracted group identifier, notifying the virtual network identifier by the connection response, and updating the corresponding number of connected user terminals,
A function of releasing the virtual network identifier corresponding to the user terminal group from which all user terminals have left as unused and storing the virtual network identifier in the storage unit;
The program to realize.

前記コンピュータに、さらに、
前記ユーザ端末から切断要求を受けると、前記ユーザ情報テーブルを用いて当該ユーザ端末のグループ識別子を抽出し、前記抽出したグループ識別子に該当する仮想網識別子を前記グループ識別子テーブルを用いて特定するとともに前記抽出したグループ識別子に対応する接続ユーザ端末数を更新し、当該接続ユーザ端末数が０になった場合には、前記該当する仮想網識別子は未使用になったものとして割り当てを解除し前記蓄積部に蓄積する機能を実現させる、
請求項１０に記載のプログラム。The computer further comprises:
When a disconnection request is received from the user terminal, a group identifier of the user terminal is extracted using the user information table, and a virtual network identifier corresponding to the extracted group identifier is specified using the group identifier table, and The number of connected user terminals corresponding to the extracted group identifier is updated, and when the number of connected user terminals becomes 0, the corresponding virtual network identifier is deemed to be unused, the allocation is released, and the storage unit is deleted. Realizing the function to accumulate in
The program according to claim 10.

コンピュータが読み取り可能な記録媒体であって、請求項１０または１１に記載のプログラムを記録した記録媒体。A recording medium readable by a computer, wherein the program according to claim 10 or 11 is recorded.