JP2006262141A - Ｉｐアドレス適用方法、ｖｌａｎ変更装置、ｖｌａｎ変更システム、および検疫処理システム - Google Patents

Abstract

【課題】ＩＰアドレスが固定的に与えられているコンピュータに対して他のＩＰアドレスを適用する。
【解決手段】
固定ＩＰアドレスが予め与えられている端末装置ＴＲに対して仮ＩＰアドレスを適用する場合に、１つの仮ＩＰアドレスと端末装置ＴＲの固定ＩＰアドレスとを対応付けて記憶し（＃１５３）、端末装置ＴＲがレイヤ３による通信を開始するまでに、その仮ＩＰアドレスを端末装置ＴＲに通知して与えることによって、その仮ＩＰアドレスが端末装置ＴＲ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始するように端末装置ＴＲを制御する（＃１５４）。
【選択図】図１７

Description

本発明は、コンピュータの所属するＶＬＡＮを変更するためのシステムおよび方法などに関する。

近年、コンピュータウィルス（以下、「ウィルス」と記載する。）の問題が深刻化している。多くのコンピュータがネットワークを介して簡単に他のコンピュータからデータを取得できるようになりウィルスの感染経路が拡大したことが、係る問題の大きな原因である。そのほか、「セキュリティホール」と呼ばれるオペレーティングシステムやＷｅｂブラウザなどのセキュリティ上の欠陥が原因となることもある。

そこで、ウィルス対策用のソフトウェアが広く用いられている。このソフトウェアによると、ウィルスをコンピュータにダウンロードしてしまった場合にそれを駆除し、感染を防止することができる。また、ソフトウェア会社は、新たに発見されたウィルスに対処するためのウィルス定義ファイルを、ソフトウェアの購入者に配布している。

オペレーティングシステムやＷｅｂブラウザなどの提供会社は、セキュリティホールが見つかり次第、速やかにこれを修正するためのパッチファイルをユーザに配布するように努めている。

ところで、役所や企業などのオフィスで使用されるコンピュータの場合は、市民や顧客などに対する信頼を損なわないようにするために、より十分なセキュリティ対策を講じる必要がある。オフィスで使用されるコンピュータの台数は多いので、そのうちの１台にでもセキュリティ上の問題があると、他のコンピュータに悪影響を及ぼしかねない。

そこで、非特許文献１に記載されるような「検疫ネットワーク」というネットワークシステムが提案されている。この検疫ネットワークによると、例えばオフィス内の各コンピュータに最新版のウィルス定義ファイルやパッチファイルなどが正しく適用されているか否かの検査を行う。そして、適用されていないコンピュータに必要なファイルなどを配付するなどしてセキュリティ上の問題を除去する。

問題のあるコンピュータが見つかった場合は、上に述べたように他のコンピュータに悪影響を及ぼすおそれがあるので、速やかに隔離するのが望ましい。

そこで、非特許文献２に記載されるように、ＤＨＣＰ方式による隔離方法が提案されている。この方式によると、既存のネットワーク環境をそのまま利用して、問題のあるコンピュータを、通常の業務用のＶＬＡＮから隔離用のＶＬＡＮに隔離することができる。そして、隔離用のＶＬＡＮにおいて、そのコンピュータに最新版のウィルス定義ファイルを適用するなどして問題を除去することができる。
"検疫ネットワークとは何か"，Ｎ＋Ｉ ＮＥＴＷＯＲＫ Ｇｕｉｄｅ ２００４年９月号第２６頁〜第３５頁，ソフトバンクパブリッシング株式会社 ２００４年９月１日 発行，正木淳雄 著 "検疫ネットワークの４方式と形態"，Ｎ＋Ｉ ＮＥＴＷＯＲＫ Ｇｕｉｄｅ ２００４年９月号第３６頁〜第４５頁"，ソフトバンクパブリッシング株式会社 ２００４年９月１日 発行，佐藤隆哉 高橋謙 西村耕二 黒田由次 著

非特許文献２に記載されるＤＨＣＰ方式を用いる場合はもとより、認証スイッチ方式あるいはＩＥＥＥ８０２．１Ｘ方式を用いる場合であっても、コンピュータを通常のＶＬＡＮから他のＶＬＡＮへ隔離する方式を採用する限りにおいては、ＤＨＣＰから貸与されたＩＰアドレスを受け入れるための設定をコンピュータに対して行っておく必要がある。したがって、ＤＨＣＰ方式では、ＩＰアドレスが固定的に与えられているコンピュータを隔離することはできない。

しかし、ＩＰアドレスを固定的に与えて各コンピュータを運用管理する方法は、非常によく用いられている。また、ホストおよびサーバなどのように他のコンピュータに対して情報またはサービスを提供するコンピュータの場合は、ＩＰアドレスが固定されていなければならないので、ＤＨＣＰ方式は通常用いられない。

本発明は、このような問題点に鑑み、ＩＰアドレスが固定的に与えられているコンピュータを通常のＶＬＡＮから他のＶＬＡＮに隔離できるようにすることを目的とする。

本発明に係るＩＰアドレス適用方法は、第一のＩＰアドレスが予め固定的に与えられているコンピュータに対して当該第一のＩＰアドレスの代わりに第二のＩＰアドレスを適用するＩＰアドレス適用方法であって、前記コンピュータに前記第二のＩＰアドレスを適用する場合は、当該コンピュータがレイヤ３による通信を開始するまでに、当該第二のＩＰアドレスを当該コンピュータに通知することによって与え、当該第二のＩＰアドレスと当該コンピュータの前記第一のＩＰアドレスとを対応付けて記憶手段に記憶させ、当該コンピュータを、当該第二のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始するように制御し、前記コンピュータのＩＰアドレスを元に戻す場合は、ネットワーク接続をリセットするように当該コンピュータを制御し、当該コンピュータがレイヤ３による通信を開始するまでに、当該コンピュータに与えた前記第二のＩＰアドレスに対応する前記第一のＩＰアドレスを当該コンピュータに通知し、当該コンピュータを、通知した前記第一のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始するように制御する、ことを特徴とする。

前記ＩＰアドレス適用方法によると、ＩＰアドレスが予め固定的に与えられているコンピュータに別のＩＰアドレスを適用することができるので、当該コンピュータが所属しているＶＬＡＮを変更するのに好適に用いられる。

または、ＶＬＡＮを変更するために、次のような装置を用いてもよい。第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータが所属するＶＬＡＮを前記第一のＶＬＡＮから第二のＶＬＡＮに変更するための処理を行うＶＬＡＮ変更装置であって、前記コンピュータが他のコンピュータに宛てて送信した第一のデータを受信する第一の受信手段と、受信された前記第一のデータに付加されている送信元情報を、前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスが当該第一のデータの送信元のＩＰアドレスである旨を示すように書き換える、送信元書換手段と、書き換えられた前記送信元情報が付加された前記第一のデータを宛先のコンピュータに届くように転送する第一の転送手段と、前記送信元情報の書換え前のＩＰアドレスと書換え後のＩＰアドレスとを対応付けて記憶するＩＰアドレス対応記憶手段と、他のコンピュータが送信した第二のデータを受信する第二の受信手段と、受信された前記第二のデータに付加されている宛先情報に前記第二のＩＰアドレスが示される場合は、当該宛先情報を、当該第二のＩＰアドレスに対応する前記第一のＩＰアドレスが当該第二のデータの宛先である旨を示すように書き換える、宛先書換手段と、書き換えられた前記宛先情報が付加された前記第二のデータを宛先の装置に届くように転送する第二の転送手段と、を有することを特徴とするＶＬＡＮ変更装置。

本発明によると、ＩＰアドレスが固定的に与えられているコンピュータを通常のＶＬＡＮから他のＶＬＡＮに隔離することができる。

請求項５に記載する発明によると、ＩＰアドレスが固定的に与えられていたとしても、問題のあるコンピュータを隔離用のＶＬＡＮに隔離し、安全にそのコンピュータをセキュリティポリシーに適合させることができる。

〔第一の実施形態〕
図１は検疫ネットワークシステムＫＮＳの全体的な構成の例を示す図、図２は認証機能付スイッチ２の機能的構成の例を示す図、図３はルーティング許容情報ＲＴＪの例を示す図、図４はポリシー管理サーバ１０の機能的構成の例を示す図である。

図１に示すように、検疫ネットワークシステムＫＮＳは、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）ベースのネットワークシステムであって、ポリシー管理サーバ１０、ウィルス管理サーバ１１、パッチ管理サーバ１２、資産管理サーバ１３、業務サーバ１５、ＲＡＤＩＵＳ（Remote Authentication Dial-in User Service）サーバ１７、ＬＤＡＰ（Lightweight Directory Access Protocol）サーバ１８、およびＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１９などのサーバ、端末装置ＴＲ、およびこれらの装置を互いに接続するための無線ＬＡＮアクセスポイント２１、スイッチ２２、２３、およびルータ３０などによって構成される。

無線ＬＡＮアクセスポイント２１およびスイッチ２２は、レイヤ２（データリンク層）のＭＡＣアドレスによるスイッチングを行うＬＡＮスイッチである。ただし、無線ＬＡＮアクセスポイント２１は、無線ＬＡＮカードを備えた端末装置ＴＲと無線により通信を行い、スイッチ２２は、ケーブルを介して端末装置ＴＲと通信を行う。

無線ＬＡＮアクセスポイント２１およびスイッチ２２には、公知のネットワークアクセス認証機能が備えられている。係る機能によると、検疫ネットワークシステムＫＮＳの中に複数の仮想的なＬＡＮ（以下、「バーチャルＬＡＮ」または「ＶＬＡＮ」と記載する。）を形成し、各サーバおよび端末装置ＴＲをいずれかのＶＬＡＮに所属させることができる。以下、このような機能を持った無線ＬＡＮアクセスポイント２１およびスイッチ２２を「認証機能付スイッチ２」と総称する。

スイッチ２３は、スイッチ２２と同様に、レイヤ２のＭＡＣアドレスによるスイッチングを行うＬＡＮスイッチであるが、ネットワークアクセス認証機能は備わっていなくてもよい。

本実施形態では、検疫に関する処理を実行する装置が主に所属するＶＬＡＮ−Ａ、端末装置ＴＲのアクセス開始時における認証処理などを実行する装置が主に所属するＶＬＡＮ−Ｂ、業務用のサーバなどの装置が主に所属するＶＬＡＮ−Ｃ、業務用の端末装置などが主に所属するＶＬＡＮ−Ｄ、および後に説明するポリシーに適合していない装置を隔離するためのＶＬＡＮ−Ｅの５つのＶＬＡＮが形成されているものとする。

ポリシー管理サーバ１０、ウィルス管理サーバ１１、パッチ管理サーバ１２、および資産管理サーバ１３はＶＬＡＮ−Ａに所属し、ＲＡＤＩＵＳサーバ１７、ＬＤＡＰサーバ１８、およびＤＨＣＰサーバ１９はＶＬＡＮ−Ｂに所属し、業務サーバ１５はＶＬＡＮ−Ｃに所属し、端末装置ＴＲはＶＬＡＮ−Ｄに所属する。各無線ＬＡＮアクセスポイント２１、スイッチ２２、２３、サーバ、および端末装置ＴＲには、そのような所属になるために必要な設定がなされている。例えば、端末装置ＴＲには、ＶＬＡＮ−Ｄに割り当てられたＩＰアドレスのうちのいずれか１つ、サブネットマスク、およびデフォルトゲートウェイなどが設定されている。本実施形態では、端末装置ＴＲには、ＤＨＣＰ方式のように空いているＩＰアドレスのうちのいずれか１つが毎回貸与されるのではなく、決められたＩＰアドレスが固定的に付与されているものとする。以下、端末装置ＴＲに固定的に付与されているＩＰアドレスを「固定ＩＰアドレス」と記載する。

そのほか、認証機能付スイッチ２には、図２に示すようなテーブル管理部２０１、ＩＰアドレス変換処理部２０２、ＡＲＰ処理部２０３、およびＩＰ変換テーブルＴＬ１などが備えられている。これらの一部または全部を、回路によってハード的に実現してもよいし、プログラムをＣＰＵで実行することによってソフト的に実現してもよい。

ルータ３０は、レイヤ３（ネットワーク層）のＩＰアドレスによるルーティングを行う装置（ルータ、スイッチ）である。本実施形態のルータ３０には、図３に示すような、接続可能なバーチャルＬＡＮの関係を示すルーティング許容情報ＲＴＪが設定されている。これに基づいて複数のＬＡＮまたはＷＡＮ同士が接続される。このルーティング許容情報ＲＴＪから分かるように、ＶＬＡＮ−Ｅに所属する装置は、ＶＬＡＮ−Ａに所属する装置とＩＰ通信を行うことはできるが、それ以外のバーチャルＬＡＮに所属する装置とＩＰ通信を行うことは禁止されている。

ポリシー管理サーバ１０ないし資産管理サーバ１３は、検疫ネットワークシステムＫＮＳに設けられている各端末装置ＴＲおよびサーバなどの装置の検疫のための処理を実行する。以下、検疫の対象が端末装置ＴＲである場合を例に説明する。

すなわち、ポリシー管理サーバ１０は、端末装置ＴＲにおけるコンピュータウィルス（以下、単に「ウィルス」と記載する。）対策用のアプリケーションのウィルス定義ファイルなどの適用状況、オペレーティングシステム（ＯＳ）のバグの修正、セキュリティホールの除去、または機能の向上のためのパッチファイルなどの適用状況、および業務用のアプリケーションなどの適用状況に関する管理のための処理を行う。つまり、端末装置ＴＲが本検疫ネットワークシステムＫＮＳで規定されるセキュリティの要件（セキュリティポリシー）を満たしているか否かおよび業務に必要なアプリケーションがインストールされているか否かなどのチェックを行う。そして、これらの要件（以下、「ポリシー」と記載する。）を満たしていない場合は、その端末装置ＴＲに対して、必要なファイルまたはアプリケーションを適用するように指令する。そのほか、ポリシー管理サーバ１０は、端末装置ＴＲをＶＬＡＮ−Ｅに隔離するための処理も実行する。

ウィルス管理サーバ１１は、ウィルス対策に関するポリシーを満たすために必要なウィルス定義ファイルなどを有し、要求に応じて端末装置ＴＲに配付する。パッチ管理サーバ１２は、ＯＳに関するポリシーを満たすために必要なパッチファイルなどを有し、要求に応じて端末装置ＴＲに配付する。資産管理サーバ１３は、業務に関するポリシーを満たすために必要なアプリケーションなどを有し、要求に応じて端末装置ＴＲに配付する。

業務サーバ１５は、端末装置ＴＲのユーザが通常の業務を行うために使用するサーバである。例えば、ファイルサーバ、ＷＷＷサーバ、メールサーバ、およびデータベースサーバなどが業務サーバ１５に該当する。

ＲＡＤＩＵＳサーバ１７は、ＲＡＤＩＵＳプロトコルによるユーザ認証用のサーバである。ＬＤＡＰサーバ１８は、ＬＤＡＰプロトコルによるアクセス管理用のサーバである。ＤＨＣＰサーバ１９は、ＤＨＣＰプロトコルによって、端末装置ＴＲに対してＩＰアドレスなどを自動設定するサーバである。本実施形態では、前に述べたように、各端末装置ＴＲにはそれぞれ固有のＩＰアドレス（固定ＩＰアドレス）が与えられている。したがって、ＤＨＣＰサーバ１９は、これらの端末装置ＴＲのためには使用されない。

端末装置ＴＲは、ＴＣＰ／ＩＰによるネットワーク機能を有するパーソナルコンピュータまたはワークステーションなどであって、オペレーティングシステム、業務用のアプリケーション、およびウィルス対策用のアプリケーションなどがインストールされている。また、上述の通り、ＶＬＡＮ−Ｄに所属するための固定的なＩＰアドレスが割り振られている。

ポリシー管理サーバ１０のハードディスクには、図４に示すようなポリシー情報取得部１０１、端末検査処理部１０２、ＩＰ情報取得部１０３、仮ＩＰアドレス管理部１０４、アドレス貸与情報送信部１０５、ＶＬＡＮ設定指示部１０６、ポリシー管理テーブルＴＬ２、およびＩＰ管理テーブルＴＬ３などの機能を実現するためのプログラムおよびデータがインストールされている。これらのプログラムおよびデータは必要に応じてＲＡＭにロードされ、ＣＰＵによってプログラムが実行される。ポリシー管理サーバ１０以外のサーバは、既存のものを用いればよい。

図５はＩＰ管理テーブルＴＬ３の例を示す図、図６はＩＰ変換テーブルＴＬ１の例を示す図、図７はテーブル管理部２０１の構成の例を示す図、図８はＩＰアドレス変換処理部２０２の構成の例を示す図、図９はＡＲＰ処理部２０３の構成の例を示す図である。

次に、図４のポリシー管理サーバ１０および図２の認証機能付スイッチ２の各部の処理内容などについて説明する。

図４において、ポリシー管理サーバ１０のポリシー管理テーブルＴＬ２には、どのような種類およびバージョンのウィルス定義ファイル、パッチファイル、および業務用のアプリケーションなどを端末装置ＴＲに適用しておかなければならないのかを示す情報が格納されている。つまり、検疫ネットワークシステムＫＮＳにおける端末装置ＴＲのポリシーに関する情報が格納されている。係る情報は、新しいウィルス定義ファイル、パッチファイル、またはアプリケーションなどが提供されるごとに、必要に応じて更新される。

ＩＰ管理テーブルＴＬ３には、図５に示すように、仮ＩＰ情報、固定ＩＰ情報、およびＮＡＳ情報を含むレコードが複数格納されている。仮ＩＰ情報は、仮ＩＰアドレスおよびその使用状況を示している。

「仮ＩＰアドレス」とは、端末装置ＴＲをＶＬＡＮ−Ｅに隔離する際にその端末装置ＴＲに対して一時的に貸与するためのＩＰアドレスであって、予め用意されている。「使用状況」は、その仮ＩＰアドレスが現在いずれかの端末装置ＴＲに貸与されているか否かを示す。貸与されている場合（つまり、使用中である場合）には「塞」という値が格納され、貸与されていない場合（つまり、未使用の場合）は、「空」という値が格納される。ＤＨＣＰ方式の場合と同様に、１つの仮ＩＰアドレスを複数台の端末装置ＴＲに対して同時に貸与することはできない。

固定ＩＰ情報は、その仮ＩＰアドレスが現在貸与されている端末装置ＴＲの固定ＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイを示している。ＮＡＳ情報は、その端末装置ＴＲが接続されている認証機能付スイッチ２に関する情報である。「ポート番号」は、その端末装置ＴＲが認証機能付スイッチ２のいずれのポート（コネクタまたは無線のチャンネル）に接続されているかを示している。「ＮＡＳ−ＩＰアドレス」は、その認証機能付スイッチ２に与えられているＩＰアドレスである。

図４に戻って、ポリシー情報取得部１０１は、認証機能付スイッチ２などの装置を介して端末装置ＴＲからポリシー情報７１を取得する。ポリシー情報７１は、その端末装置ＴＲに現在適用されているウィルス定義ファイル、パッチファイル、および業務用のアプリケーションなどの種類およびバージョンを示している。

端末検査処理部１０２は、端末装置ＴＲから取得されたポリシー情報７１をポリシー管理テーブルＴＬ２と照合することによって、その端末装置ＴＲが検疫ネットワークシステムＫＮＳのポリシーに適合しているか否かを検査する。この際に、適合していない個所を判別する。例えば、ポリシー情報７１に示されるウィルス定義ファイルのバージョンとポリシー管理テーブルＴＬ２に示されるそれとが一致しない場合は、ウィルス定義ファイルがポリシーに適合していないと判別する。

ＩＰ情報取得部１０３は、認証機能付スイッチ２などの装置を介して端末装置ＴＲからＩＰ情報７２を取得する。ＩＰ情報７２は、その端末装置ＴＲに現在設定されているＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイなどを示している。

仮ＩＰアドレス管理部１０４は、ＩＰ管理テーブルＴＬ３に登録されている仮ＩＰアドレスを端末装置ＴＲに貸与する処理および貸与する必要がなくなった仮ＩＰアドレスを開放する処理など、仮ＩＰアドレスの管理のための処理を行う。

アドレス貸与情報送信部１０５は、仮ＩＰアドレスの貸与に関する情報を認証機能付スイッチ２に送信する。ＶＬＡＮ設定指示部１０６は、端末装置ＴＲのＶＬＡＮの所属を設定する旨の指示を認証機能付スイッチ２に対して与える。

図２において、認証機能付スイッチ２のＩＰ変換テーブルＴＬ１には、図６に示すように、その認証機能付スイッチ２のポートに接続されている端末装置ＴＲのうち仮ＩＰアドレスが適用されている端末装置ＴＲに関する情報が格納されている。つまり、端末装置ＴＲが接続されているポートのポート番号、その端末装置ＴＲに現在貸与されている仮ＩＰアドレス、その端末装置ＴＲの固定ＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイに関する情報が格納されている。

テーブル管理部２０１は、図７に示すように、アドレス貸与情報受信部２４１、レコード追加処理部２４２、およびレコード削除処理部２４３などによって構成されており、ＩＰ変換テーブルＴＬ１の管理のための処理を行う。

ＩＰアドレス変換処理部２０２は、図８に示すように、上りデータ受信部２５１、発側ＩＰ変換処理部２５２、上りデータ転送部２５３、下りデータ受信部２５４、宛先ＩＰ変換処理部２５５、および下りデータ転送部２５６などによって構成されており、仮ＩＰアドレスが貸与されている端末装置ＴＲから発信されたパケットの発側ＩＰアドレスを変更する処理および仮ＩＰアドレスに宛てて発信されたパケットの宛先ＩＰアドレスを変更する処理を行う。

ＡＲＰ処理部２０３は、図９に示すように、ＡＲＰ要求受信部２６１、ＡＲＰ応答設定部２６２、およびＡＲＰ応答送信部２６３などによって構成されており、デフォルトゲートウェイのＭＡＣアドレスに関する問合せに回答するための処理を行う。テーブル管理部２０１、ＩＰアドレス変換処理部２０２、およびＡＲＰ処理部２０３を構成する各部の処理内容については、後に順次説明する。

図１０は端末装置ＴＲのネットワーク機能が起動してから検査処理を実行するまでの間における検疫ネットワークシステムＫＮＳの各装置の処理の流れの例を説明するフローチャート、図１１は治療のための処理を実行する際の検疫ネットワークシステムＫＮＳの各装置の処理の流れの例を説明するフローチャート、図１２はＡＲＰ応答情報の例を示す図、図１３はＩＰアドレスの変換処理の例を示す図、図１４は仮ＩＰアドレスを開放する際の検疫ネットワークシステムＫＮＳの各装置の処理の流れの例を説明するフローチャートである。

次に、端末装置ＴＲの検疫を行う際の検疫ネットワークシステムＫＮＳの各装置の処理の手順を、フローチャートを参照して説明する。

端末装置ＴＲに電源が投入され、端末装置ＴＲが認証機能付スイッチ２に接続されると（図１０の＃１０１）、従来と同様にステップ＃１０２〜＃１０５の処理を実行する。すなわち、リンク確立の処理（有線ＬＡＮの場合はＩＥＥＥ８０２．３で規定されるリンク確立シーケンス、無線ＬＡＮの場合はＩＥＥＥ８０２．１１で規定されるリンク確立シーケンス）を実行することによって、レイヤ２レベルでの端末装置ＴＲと認証機能付スイッチ２との通信を確立する（＃１０２）。

ＲＡＤＩＵＳサーバ１７は、例えばＩＥＥＥ８０２．１ＸのＥＡＰ（Extensible Authentication Protocol）認証におけるＴＬＳ（Transport Layer Security）によるトンネル確立シーケンスを実行する（＃１０３）。これにより、後に端末装置ＴＲにＥＡＰサクセスが送信されるまで、端末装置ＴＲ、認証機能付スイッチ２、ポリシー管理サーバ１０、およびＲＡＤＩＵＳサーバ１７の各装置の間の通信は、暗号化通信となる。

ユーザＩＤおよびパスワードなどの認証用の情報が、端末装置ＴＲから認証機能付スイッチ２を経由してポリシー管理サーバ１０に送信され、さらにＲＡＤＩＵＳサーバ１７およびＬＤＡＰサーバ１８などに転送される（＃１０４）。認証用の情報は、上に述べたように、暗号化通信によってＲＡＤＩＵＳサーバ１７およびＬＤＡＰサーバ１８に届けられる。

認証用の情報を受信した各サーバは、端末装置ＴＲの認証処理を行い、認証結果およびユーザＩＤに対応する端末装置ＴＲのＶＬＡＮの識別情報をポリシー管理サーバ１０に回答する（＃１０５）。

認証がＯＫである旨の結果が得られた場合は、ポリシー管理サーバ１０のポリシー情報取得部１０１（図４参照）は、端末装置ＴＲからポリシー情報７１を取得する。つまり、認証機能付スイッチ２を介して端末装置ＴＲに対してポリシー情報７１を要求する（＃１０６）。すると、端末装置ＴＲは、この要求に従って、現在の端末装置ＴＲ自身のポリシーの適用状況を示すポリシー情報７１をポリシー管理サーバ１０に送信する（＃１０７）。

これと並行してまたは前後して、ポリシー管理サーバ１０のＩＰ情報取得部１０３は、端末装置ＴＲからＩＰ情報７２を取得する。つまり、認証機能付スイッチ２を介して端末装置ＴＲに対してＩＰ情報７２を要求する（＃１０８）。すると、端末装置ＴＲは、端末装置ＴＲ自身の固定ＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイなどを示すＩＰ情報７２をポリシー管理サーバ１０に送信する（＃１０９）。

端末検査処理部１０２は、最新のポリシー管理テーブルＴＬ２および端末装置ＴＲから取得したポリシー情報７１に基づいて、端末装置ＴＲにおけるポリシーの適合状況を検査する（＃１１０）。

検査の結果に応じて、検疫ネットワークシステムＫＮＳの各装置は、次のような処理を行う。端末装置ＴＲがポリシーに適合している旨の検査結果が得られた場合は、ポリシー管理サーバ１０のＶＬＡＮ設定指示部１０６は、その端末装置ＴＲを通常通りにＶＬＡＮ−Ｄのメンバーに加えることを許可し、そのための設定を行うように認証機能付スイッチ２に対して指示する。すると、認証機能付スイッチ２は、その端末装置ＴＲが接続されているポートにＶＬＡＮ−Ｄの設定を行い、ＥＡＰサクセスを送信する。そして、従来と同様に種々の必要な処理が実行された後、端末装置ＴＲは、レイヤ３レベルでの通信が可能となり、ＶＬＡＮ−Ｄに所属する装置となる。これにより、ユーザは、端末装置ＴＲを通常通りに業務などのために使用することができるようになる。

なお、ステップ＃１０１〜＃１０５の処理の結果、認証が得られなかった場合は、端末装置ＴＲのユーザに対して警告を行い、ユーザＩＤおよびパスワードの再入力を求め、再認証のための処理を行う。認証がＯＫである旨の結果が得られるまで、ＶＬＡＮ−Ｄへの接続は認められない。

一方、端末装置ＴＲがポリシーに適合していない旨の検査結果が得られた場合は、ユーザにその旨を警告した後、検疫ネットワークシステムＫＮＳの各装置は、図１１に示すような手順で、その端末装置ＴＲをポリシーに適合させるための処理を行う。

図１１において、ポリシー管理サーバ１０は、ＩＰ管理テーブルＴＬ３（図５参照）の中から現在使用されていない（使用状況が「空」である）仮ＩＰアドレスを検索し（＃１２１）、そのうちのいずれか１つの仮ＩＰアドレスをその端末装置ＴＲに貸与する。貸与の処理は、次のようにして行われる。

仮ＩＰアドレス管理部１０４は、その使用されていない仮ＩＰアドレスのレコードの固定ＩＰアドレス、サブネットマスク、デフォルトゲートウェイの項目に、図１０のステップ＃１０９で取得したその端末装置ＴＲのＩＰ情報７２を書き込んで登録する（＃１２２）。この際に、その端末装置ＴＲが接続されている認証機能付スイッチ２に対して、その端末装置ＴＲのポート番号およびその認証機能付スイッチ２自身のＩＰアドレスを問い合わせ、そのレコードのＮＡＳ情報に書き込んでおく。さらに、使用状況を「空」から「塞」に更新しておく。登録の処理と並行してまたは前後して、アドレス貸与情報送信部１０５は、その端末装置ＴＲに仮ＩＰアドレスが貸与された旨を、その仮ＩＰアドレス、その端末装置ＴＲの固定ＩＰアドレス、サブネットマスク、デフォルトゲートウェイ、およびポート番号を示す仮ＩＰ貸与情報７３を送信することによって、認証機能付スイッチ２に通知する。このとき、その端末装置ＴＲに対してその仮ＩＰアドレスを登録するように要求する（＃１２３）。

認証機能付スイッチ２において、テーブル管理部２０１のアドレス貸与情報受信部２４１（図７参照）が仮ＩＰ貸与情報７３を受信すると、レコード追加処理部２４２は、ＩＰ変換テーブルＴＬ１（図６参照）に新たなレコードを生成し、受信した仮ＩＰ貸与情報７３の内容をそのレコードに書き込むことによって、端末装置ＴＲに貸与された仮ＩＰアドレスを登録する（＃１２４）。そして、登録が完了した旨をポリシー管理サーバ１０に通知する（＃１２５）。

ポリシー管理サーバ１０のＶＬＡＮ設定指示部１０６は、認証機能付スイッチ２に対して指示を与え、その端末装置ＴＲがＶＬＡＮ−Ｅに所属するようにポートの設定を行わせる（＃１２６、＃１２７）。設定後、認証機能付スイッチ２は、その端末装置ＴＲに対してＥＡＰサクセスを送信する（＃１２８）。

ところで、端末装置ＴＲは、必要なファイルおよびアプリケーションをダウンロードしてポリシーに適合させるために、ウィルス管理サーバ１１、パッチ管理サーバ１２、および資産管理サーバ１３とＩＰ通信を行う必要がある。よって、これらのサーバが所属するバーチャルＬＡＮへ抜けるためのデフォルトゲートウェイのＭＡＣアドレスを知る必要がある。しかし、端末装置ＴＲが通常時に認識しているデフォルトゲートウェイのＩＰアドレスは業務用のネットワークすなわちＶＬＡＮ−ＤにおけるＩＰアドレスである。したがって、このままでは、端末装置ＴＲは、これらのサーバとＩＰ通信を行うことができない。そこで、認証機能付スイッチ２は、次のように、デフォルトゲートウェイを代理するための処理を行う。

端末装置ＴＲは、デフォルトゲートウェイのＭＡＣアドレスの情報を得るために、認証機能付スイッチ２に対してＡＲＰ（Address Resolution Protocol）要求を行う（＃１２９）。認証機能付スイッチ２において、ＡＲＰ処理部２０３のＡＲＰ要求受信部２６１（図９参照）が係るＡＲＰ要求を受信すると（＃１２９）、ＡＲＰ応答設定部２６２は、図６のＩＰ変換テーブルＴＬ１を参照し、要求元の端末装置ＴＲに対して仮ＩＰアドレスが貸与されているか否かをチェックする。そして、今回の端末装置ＴＲのように仮ＩＰアドレスが貸与されている場合は、図１２（ａ）に示すような、デフォルトゲートウェイのＩＰアドレスには認証機能付スイッチ２のＭＡＣアドレスが対応している旨を示すＡＲＰ応答情報を設定する（＃１３０）。ＡＲＰ応答送信部２６３は、そのＡＲＰ応答情報を端末装置ＴＲに送信する（＃１３１）。

端末装置ＴＲは、受信したＡＲＰ応答情報に基づいて、デフォルトゲートウェイのＭＡＣアドレスが認証機能付スイッチ２のＭＡＣアドレスであると認識する。そして、端末装置ＴＲは、レイヤ３の通信を開始する。

なお、端末装置ＴＲに仮ＩＰアドレスが貸与されていない場合は、図１２（ｂ）に示すように、本来のデフォルトゲートウェイのＭＡＣアドレスがＡＲＰ応答情報に設定され、端末装置ＴＲに送信される。

端末装置ＴＲは、ポリシーを適用するための処理（以下、「治療」と記載することがある。）を開始する（＃１３２）。治療は、例えば、次のようにして実行される。

端末装置ＴＲは、ウィルス管理サーバ１１、パッチ管理サーバ１２、および資産管理サーバ１３に対して、最新のウィルス定義ファイル、バッチファイル、および業務用のアプリケーションなどを要求する。すると、これらのサーバは、端末装置ＴＲに不足しているファイルおよびアプリケーションなどを送信する。

ただし、このとき、端末装置ＴＲと各サーバとの間でやり取りされるパケットに対して、認証機能付スイッチ２のＩＰアドレス変換処理部２０２によって次のような処理が施される。

図８において、上りデータ受信部２５１が端末装置ＴＲからのパケット（例えば、ウィルス定義ファイルの要求情報のパケット）を受信すると、発側ＩＰ変換処理部２５２は、図６のＩＰ変換テーブルＴＬ１に基づいて発信側のＩＰアドレス（発側ＩＰアドレス）を端末装置ＴＲの固定ＩＰアドレスから仮ＩＰアドレスに書き換える。例えば、ポート番号が「０１」のポートに接続されている端末装置ＴＲからのパケットの場合は、図１３（ａ）のように書き換える。

上りデータ転送部２５３は、発側ＩＰアドレスが変換されたパケットを、そのパケット上の宛先ＩＰアドレスに基づいて認証機能付スイッチ２自身のデフォルトゲートウェイ（Ｌ３−ＳＷ／Ｒｏｕｔｅｒ）に向けて転送する。そして、そのパケットは、そのデフォルトゲートウェイおよびその他のノードを経由して宛先のサーバに届けられる。

パケットを受信したサーバは、そのパケットがＶＬＡＮ−Ｅに所属する装置から送信されてきたと認識する。そして、従来と同様に、治療のために必要なファイルおよびアプリケーションなどを、受信したパケットの発側ＩＰアドレスに向けて送信する。ここでは、受信したパケットの発側ＩＰアドレスとして仮ＩＰアドレスが用いられているため、ファイルおよびアプリケーションは、認証機能付スイッチ２を中継することになる。

下りデータ受信部２５４がサーバから送信されたファイルまたはアプリケーションのパケットを受信すると、宛先ＩＰ変換処理部２５５は、ＩＰ変換テーブルＴＬ１に基づいて宛先のＩＰアドレス（宛先ＩＰアドレス）を端末装置ＴＲの仮ＩＰアドレスから固定ＩＰアドレスに書き換える。例えば、サーバから送信されてきた宛先ＩＰアドレスが「１９２．１６８．１１．１１」である場合は、図１３（ｂ）に示すように、「１９２．１６８．１０．２１」に書き換える。そして、下りデータ転送部２５６は、宛先ＩＰアドレスが変換されたパケットを端末装置ＴＲに転送する。

このように、ＩＰアドレス変換処理部２０２のＩＰアドレスの変換処理によると、ウィルス管理サーバ１１、パッチ管理サーバ１２、および資産管理サーバ１３などの装置は、端末装置ＴＲのＩＰアドレスとして仮ＩＰアドレスが設定されているように見える。

図１１に戻って、端末装置ＴＲは、ウィルス管理サーバ１１、パッチ管理サーバ１２、および資産管理サーバ１３から必要なファイルおよびアプリケーションなどを受信し、これを適用する（＃１３３）。また、端末装置ＴＲの中からウィルスが発見された場合は、これを駆除する。これにより、治療の処理が完了する。

治療の処理の完了後、端末装置ＴＲを必要に応じて再起動し、ウィルス定義ファイルなどが正しく適用されているか否かをもう一度検査する。検査の処理の流れは、前に図１０で説明した通りである。

再検査の結果、端末装置ＴＲにポリシーが正しく適用されたと判別された場合は、ポリシー管理サーバ１０および認証機能付スイッチ２は、図１４に示すような手順で端末装置ＴＲを通常所属するバーチャルＬＡＮすなわちＶＬＡＮ−Ｄに再び所属させるための処理を実行する。

ポリシー管理サーバ１０は、端末装置ＴＲにポリシーが正しく適用されている旨の通知を受けると、ＩＰ管理テーブルＴＬ３（図５参照）に基づいて、その端末装置ＴＲに貸与されている仮ＩＰアドレスを検索する（図１４の＃１４１）。検索された仮ＩＰアドレスを認証機能付スイッチ２に通知することによって、その仮ＩＰアドレスを削除するように要求する（＃１４２）。

認証機能付スイッチ２において、レコード削除処理部２４３（図７参照）は、ポリシー管理サーバ１０から通知された仮ＩＰアドレスのレコードをＩＰ変換テーブルＴＬ１（図６参照）の中から検索し、そのレコードを削除する（＃１４３）。削除が完了した後、その旨をポリシー管理サーバ１０に通知する（＃１４４）。

ポリシー管理サーバ１０は、認証機能付スイッチ２からの通知を受けると、ＩＰ管理テーブルＴＬ３に格納されている、その仮ＩＰアドレスに対応付けられている固定ＩＰ情報およびＮＡＳ情報を削除するとともに、使用状況を「塞」から「空」に更新する（＃１４５）。

ポリシー管理サーバ１０は、認証機能付スイッチ２に対して指示を与え、その端末装置ＴＲがＶＬＡＮ−Ｄに所属するようにポートの設定を行わせる（＃１４６、＃１４７）。設定後、認証機能付スイッチ２は、その端末装置ＴＲに対してＥＡＰサクセスを送信する（＃１４８）。

そして、端末装置ＴＲは、ＥＡＰサクセスを受信し、従来と同様に種々の必要な処理を実行した後、レイヤ３レベルでの通信を開始する。これにより、端末装置ＴＲはＶＬＡＮ−Ｄに所属する装置となり、ユーザは、その端末装置ＴＲを業務サーバ１５などと接続させて業務のために使用することができる（＃１４９）。

なお、ステップ＃１４３、＃１４７の処理後、その端末装置ＴＲは仮ＩＰアドレスが貸与されていない状態になる。よって、認証機能付スイッチ２は、ここでは、図９および図１２で説明したＭＡＣアドレスの変更処理および図８および図１３で説明したパケット上のＩＰアドレスの変換処理を実行しない。

本実施形態によると、端末装置ＴＲにおいてＩＰアドレスなどに関する設定を変更することなく、ポリシーに適合しない端末装置ＴＲをＶＬＡＮ−Ｅに隔離し、治療を行うことができる。

〔第二の実施形態〕
図１５はポリシー管理サーバ１０Ｂの機能的構成の例を示す図、図１６はＩＰ管理テーブルＴＬ４の例を示す図である。

第一の実施形態では、図８および図１３で説明したように、認証機能付スイッチ２においてパケット上のＩＰアドレスの変換処理を行うことによって、仮ＩＰアドレスを間接的に端末装置ＴＲに適用した。第二の実施形態では、仮ＩＰアドレスを端末装置ＴＲに直接設定することによって適用する。

第一の実施形態における検疫ネットワークシステムＫＮＳの全体的な構成は、基本的に図１に示す第一の実施形態の場合と同じである。ただし、ポリシー管理サーバ１０、認証機能付スイッチ２、および端末装置ＴＲの機能的構成および処理内容に相違点がある。以下、係る相違点を中心に説明する。第一の実施形態と重複する個所の説明は省略する。なお、第二の実施形態のポリシー管理サーバ、認証機能付スイッチ、および端末装置を、第一の実施形態のそれらと区別するために、それぞれ、「ポリシー管理サーバ１０Ｂ」、「認証機能付スイッチ２Ｂ」、および「端末装置ＴＲＢ」と記載する。

認証機能付スイッチ２Ｂには、ポリシー管理サーバ１０Ｂからの指令に従って、端末装置ＴＲＢがＶＬＡＮ−ＡないしＶＬＡＮ−Ｅのいずれかに所属するようにポートの設定を行う機能が設けられている。第一の実施形態のテーブル管理部２０１、ＩＰアドレス変換処理部２０２、ＡＲＰ処理部２０３、およびＩＰ変換テーブルＴＬ１のような機能は不要である。

ポリシー管理サーバ１０Ｂのハードディスクには、図１５に示すようなポリシー情報取得部１Ｂ１、端末検査処理部１Ｂ２、ＩＰ情報取得部１Ｂ３、仮ＩＰアドレス管理部１Ｂ４、仮ＩＰアドレス貸与部１Ｂ５、ＶＬＡＮ設定指示部１Ｂ６、ポリシー管理テーブルＴＬ２’、およびＩＰ管理テーブルＴＬ４をなどの機能を実現するためのプログラムおよびデータがインストールされている。

ポリシー情報取得部１Ｂ１、端末検査処理部１Ｂ２、ＩＰ情報取得部１Ｂ３、仮ＩＰアドレス管理部１Ｂ４、ＶＬＡＮ設定指示部１Ｂ６、およびポリシー管理テーブルＴＬ２’は、それぞれ、第一の実施形態のポリシー情報取得部１０１、端末検査処理部１０２、ＩＰ情報取得部１０３、仮ＩＰアドレス管理部１０４、ＶＬＡＮ設定指示部１０６、およびポリシー管理テーブルＴＬ２（図４参照）と同様の処理を行う。

仮ＩＰアドレス貸与部１Ｂ５は、検査によってポリシーに適合していないと判別された端末装置ＴＲＢに対して、ＶＬＡＮ−Ｅに隔離するための仮ＩＰアドレスを貸与する処理を実行する。

ＩＰ管理テーブルＴＬ４は、図１６に示すように、ＶＬＡＮ−Ｅに隔離するために端末装置ＴＲＢに対して貸与する仮ＩＰアドレスなどに関する情報が格納されている。「仮ＩＰ情報」は、貸与対象の仮ＩＰアドレスのほか、その仮ＩＰアドレスとともに端末装置ＴＲＢに設定するサブネットマスクおよびデフォルトゲートウェイを示している。「使用状況」は、その仮ＩＰアドレスが現在使用（貸与）されているか否かを示す。「固定ＩＰ情報」は、現在その仮ＩＰアドレスが貸与されている端末装置ＴＲＢの固定ＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイを示す。

図１７は治療のための処理を実行する際の検疫ネットワークシステムＫＮＳの各装置の処理の流れの例を説明するフローチャート、図１８は仮ＩＰアドレスを開放する際の検疫ネットワークシステムＫＮＳの各装置の処理の流れの例を説明するフローチャートである。

次に、第二の実施形態における、端末装置ＴＲＢの検疫を行う際の検疫ネットワークシステムＫＮＳの各装置の処理の手順を、フローチャートを参照して説明する。

端末装置ＴＲＢの検査までの処理の流れは、第一の実施形態の場合と同様であり、図１０で説明した通りである。

なお、図１０の処理において、ポリシー管理サーバ１０Ｂは、端末装置ＴＲＢのウィルス定義ファイルなどの適用状況を示すポリシー情報７１およびＩＰアドレスなどを示すＩＰ情報７２を取得する。また、端末装置ＴＲＢと認証機能付スイッチ２Ｂとの間の通信は、図１０の処理が終わった時点では、未だレイヤ２レベルである。

検査の結果、ポリシーに適合していないと判別された場合は、端末装置ＴＲＢをＶＬＡＮ−Ｅに隔離して治療を行う。第二の実施形態では、検疫ネットワークシステムＫＮＳの各装置は、図１７に示すような手順でこれらの処理を行う。

ポリシー管理サーバ１０Ｂは、端末装置ＴＲＢのＩＰ情報７２に基づいて、端末装置ＴＲＢに現在設定されているＩＰアドレスが固定ＩＰアドレスであるか仮ＩＰアドレスであるかをチェックする（図１７の＃１５１）。固定ＩＰアドレスが設定されている場合は、端末装置ＴＲＢは、ＶＬＡＮ−Ｅに所属してＩＰ通信を行うことができない。

そこで、ポリシー管理サーバ１０Ｂは、図１６のＩＰ管理テーブルＴＬ４の中から現在貸与されていない（つまり、使用状況が「空」である）仮ＩＰアドレスを１つ検索し（＃１５２）、その仮ＩＰアドレスをその端末装置ＴＲＢに貸与する（＃１５３）。このとき、ＩＰ管理テーブルＴＬ４において、その仮ＩＰアドレスにその端末装置ＴＲＢの固定ＩＰアドレスなどを対応付けるとともに、使用状況を「空」から「塞」に更新する。

ステップ＃１５３の処理と並行してまたは前後して、ポリシー管理サーバ１０Ｂは、貸与した仮ＩＰアドレスとともにそれに対応するサブネットマスクおよびデフォルトゲートウェイを、認証機能付スイッチ２Ｂを介して通知することによって、その仮ＩＰアドレスなどを適用するようにその端末装置ＴＲＢに対して要求する（＃１５４）。

端末装置ＴＲＢは、ポリシー管理サーバ１０Ｂから通知された仮ＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイを、端末装置ＴＲＢ自身のネットワークの設定として適用する（＃１５５）。すなわち、例えば端末装置ＴＲＢのＯＳがＷｉｎｄｏｗｓ（登録商標）である場合は、レジストリ上のＩＰアドレス情報に、これらの仮ＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイを書き込む。これにより、その端末装置ＴＲＢのＩＰアドレスが固定ＩＰアドレスから仮ＩＰアドレスに変更される。そして、端末装置ＴＲＢは、仮ＩＰアドレスの適用を完了した旨を、認証機能付スイッチ２Ｂを介してポリシー管理サーバ１０Ｂに通知する（＃１５６）。

ポリシー管理サーバ１０Ｂは、認証機能付スイッチ２Ｂに対して指示を与え、その端末装置ＴＲＢがＶＬＡＮ−Ｅに所属するようにポートの設定を行わせる（＃１５７、＃１５８）。認証機能付スイッチ２Ｂは、その端末装置ＴＲＢに対してＥＡＰサクセスを送信する（＃１５９）。

端末装置ＴＲＢは、ＥＡＰサクセスを受信し、従来と同様に種々の必要な処理を実行した後、レイヤ３レベルでの通信を開始する。これにより、端末装置ＴＲＢは、ＶＬＡＮ−Ｅに所属する装置となる。そして、必要に応じてウィルス管理サーバ１１、パッチ管理サーバ１２、および資産管理サーバ１３からファイルおよびアプリケーションなどをダウンロードし、これを適用することによって治療を行う（＃１６０）。治療後、現在の通信のリセットなどを行うために端末装置ＴＲを再起動させる（＃１６１）。

端末装置ＴＲＢの再起動後、第一の実施形態の場合と同様に、図１０で説明したような手順で、ウィルス定義ファイルなどがその端末装置ＴＲＢに正しく適用されているか否かをもう一度検査する。

再検査の結果、ポリシーが正しく適用されたと判別された場合は、ポリシー管理サーバ１０Ｂおよび認証機能付スイッチ２Ｂは、図１８に示すような手順で、端末装置ＴＲＢの所属を通常のバーチャルＬＡＮすなわちＶＬＡＮ−Ｄに戻すための処理を実行する。

ポリシー管理サーバ１０Ｂは、端末装置ＴＲＢのＩＰ情報７２に基づいて、端末装置ＴＲＢに現在設定されているＩＰアドレスが固定ＩＰアドレスであるか仮ＩＰアドレスであるかをチェックする（図１８の＃１７１）。ここでは、仮ＩＰアドレスが設定されたままであることが分かる。そこで、ポリシー管理サーバ１０Ｂは、端末装置ＴＲＢのＩＰアドレスを固定ＩＰアドレスに戻すための処理を開始する。

その端末装置ＴＲＢに現在設定されている仮ＩＰアドレスを図１６のＩＰ管理テーブルＴＬ４の中から検索する（＃１７２）。その仮ＩＰアドレスに対応付けられている固定ＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイを、認証機能付スイッチ２Ｂを介して端末装置ＴＲＢに通知することによって、その固定ＩＰアドレスなどを適用するようにその端末装置ＴＲＢに対して要求する（＃１７３）。

端末装置ＴＲＢは、ポリシー管理サーバ１０Ｂから通知された固定ＩＰアドレス、サブネットマスク、およびデフォルトゲートウェイを、端末装置ＴＲＢ自身のネットワークの設定として適用する（＃１７４）。すなわち、例えば端末装置ＴＲＢのＯＳがＷｉｎｄｏｗｓである場合は、前に述べたように、レジストリ上のＩＰアドレス情報に、これらの仮ＩＰアドレスなどを書き込む。これにより、その端末装置ＴＲＢのＩＰアドレスが固定ＩＰアドレスに変更される。そして、端末装置ＴＲＢは、固定ＩＰアドレスの適用を完了した旨を、認証機能付スイッチ２Ｂを介してポリシー管理サーバ１０Ｂに通知する（＃１７５）。

ポリシー管理サーバ１０Ｂは、係る通知を受信すると、その端末装置ＴＲＢに貸与していた仮ＩＰアドレスのレコード（図１６参照）から固定ＩＰ情報を削除するとともに、その使用状況を「塞」から「空」に更新する（＃１７６）。これにより、その仮ＩＰアドレスが開放される。認証機能付スイッチ２Ｂに対して指示を与え、その端末装置ＴＲＢがＶＬＡＮ−Ｄに所属するようにポートの設定を行わせる（＃１７７、＃１７８）。認証機能付スイッチ２Ｂは、その端末装置ＴＲＢに対してＥＡＰサクセスを送信する（＃１７９）。

そして、端末装置ＴＲＢは、ＥＡＰサクセスを受信し、従来と同様に種々の必要な処理を実行した後、レイヤ３レベルでの通信を開始する。これにより、端末装置ＴＲＢは、ＶＬＡＮ−Ｄに所属する装置となる。ユーザは、端末装置ＴＲＢを業務サーバ１５などと接続させ、業務のために使用することができる（＃１８０）。

第二の実施形態によると、ＶＬＡＮ−ＤのＩＰアドレスが固定的に与えられている端末装置ＴＲに対して、ＶＬＡＮ−ＥのＩＰアドレスを適用することができる。

第一および第二の実施形態では、端末装置ＴＲを検疫する場合を例に説明したが、本発明を業務サーバ１５などのサーバおよびその他の通信機器の検疫のために適用することも可能である。

その他、検疫ネットワークシステムＫＮＳ、ポリシー管理サーバ１０、認証機能付スイッチ２の全体または各部の構成、処理内容、処理順序、テーブルの内容などは、本発明の趣旨に沿って適宜変更することができる。

以上説明した実施形態に関し、さらに以下の付記を開示する。
（付記１）
第一のＩＰアドレスが予め固定的に与えられているコンピュータに対して当該第一のＩＰアドレスの代わりに第二のＩＰアドレスを適用するＩＰアドレス適用方法であって、
前記コンピュータに前記第二のＩＰアドレスを適用する場合は、
当該コンピュータがレイヤ３による通信を開始するまでに、当該第二のＩＰアドレスを当該コンピュータに通知することによって与え、
当該第二のＩＰアドレスと当該コンピュータの前記第一のＩＰアドレスとを対応付けて記憶手段に記憶させ、
当該コンピュータを、当該第二のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始するように制御し、
前記コンピュータのＩＰアドレスを元に戻す場合は、
ネットワーク接続をリセットするように当該コンピュータを制御し、
当該コンピュータがレイヤ３による通信を開始するまでに、当該コンピュータに与えた前記第二のＩＰアドレスに対応する前記第一のＩＰアドレスを当該コンピュータに通知し、
当該コンピュータを、通知した前記第一のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始するように制御する、
ことを特徴とするＩＰアドレス適用方法。
（付記２）
第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータが所属するＶＬＡＮを前記第一のＶＬＡＮから第二のＶＬＡＮに変更するための処理を行うＶＬＡＮ変更装置であって、
前記コンピュータが他のコンピュータに宛てて送信した第一のデータを受信する第一の受信手段と、
受信された前記第一のデータに付加されている送信元情報を、前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスが当該第一のデータの送信元のＩＰアドレスである旨を示すように書き換える、送信元書換手段と、
書き換えられた前記送信元情報が付加された前記第一のデータを宛先のコンピュータに届くように転送する第一の転送手段と、
前記送信元情報の書換え前のＩＰアドレスと書換え後のＩＰアドレスとを対応付けて記憶するＩＰアドレス対応記憶手段と、
他のコンピュータが送信した第二のデータを受信する第二の受信手段と、
受信された前記第二のデータに付加されている宛先情報に前記第二のＩＰアドレスが示される場合は、当該宛先情報を、当該第二のＩＰアドレスに対応する前記第一のＩＰアドレスが当該第二のデータの宛先である旨を示すように書き換える、宛先書換手段と、
書き換えられた前記宛先情報が付加された前記第二のデータを宛先の装置に届くように転送する第二の転送手段と、
を有することを特徴とするＶＬＡＮ変更装置。
（付記３）
第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータが所属するＶＬＡＮを前記第一のＶＬＡＮから第二のＶＬＡＮに変更するＶＬＡＮ変更システムであって、
前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスを管理するサーバが設けられており、前記コンピュータと当該コンピュータの通信相手の装置との間に両者間でやり取りされるデータを中継する中継装置が設けられており、
前記サーバは、
１つまたは複数の前記第二のＩＰアドレスを、当該第二のＩＰアドレスの貸与先の前記コンピュータの前記第一のＩＰアドレスと対応付けて記憶する、貸与ＩＰアドレス記憶手段と、
現在貸与されていない前記第二のＩＰアドレスのうちのいずれか１つを前記中継装置に通知することによって、所属を前記第二のＶＬＡＮに変更する前記コンピュータに対して当該第二のＩＰアドレスを貸与する、ＩＰアドレス貸与手段と、を有し、
前記中継装置は、
前記サーバから前記コンピュータに対して前記第二のＩＰアドレスが貸与された場合に、当該コンピュータから前記通信相手の装置に宛てて送信された中継対象のデータに付加されている送信元情報を、当該データの送信元のＩＰアドレスが当該第二のＩＰアドレスである旨を示すように書き換える、送信元書換手段と、
前記送信元情報の書換え前のＩＰアドレスと書換え後のＩＰアドレスとを対応付けて記憶するＩＰアドレス対応記憶手段と、
前記通信相手の装置から送信された中継対象のデータに付加されている宛先情報に前記第二のＩＰアドレスが示されている場合に、当該宛先情報を、当該データの宛先のＩＰアドレスが当該第二のＩＰアドレスに対応する前記第一のＩＰアドレスである旨を示すように書き換える、宛先書換手段と、を有する、
ことを特徴とするＶＬＡＮ変更システム。
（付記４）
前記コンピュータが所属するＶＬＡＮを前記第二のＶＬＡＮから前記第一のＶＬＡＮに戻す場合は、
前記送信元書換手段は、当該コンピュータが送信した中継対象のデータに付加されている前記宛先情報を書き換える処理を中止し、
当該コンピュータに貸与した前記第二のＩＰアドレスに対応付けていた前記第一のＩＰアドレスを前記貸与ＩＰアドレス記憶手段および前記ＩＰアドレス対応記憶手段から削除する、
付記３記載のＶＬＡＮ変更システム。
（付記５）
第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータが所属するＶＬＡＮを前記第一のＶＬＡＮから第二のＶＬＡＮに変更するＶＬＡＮ変更システムであって、
前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスを、当該第二のＩＰアドレスの貸与先の前記コンピュータの前記第一のＩＰアドレスと対応付けて記憶する、貸与ＩＰアドレス記憶手段と、
所属を前記第二のＶＬＡＮに変更する前記コンピュータに対して、現在貸与されていない前記第二のＩＰアドレスのうちのいずれか１つを、当該コンピュータがレイヤ３による通信を開始するまでに通知することによって貸与する、ＩＰアドレス貸与手段と、
前記コンピュータに、貸与した前記第二のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始させる、制御手段と、
を有することを特徴とするＶＬＡＮ変更システム。
（付記６）
前記コンピュータが所属するＶＬＡＮを前記第二のＶＬＡＮから前記第一のＶＬＡＮに戻す場合は、
前記貸与ＩＰアドレス記憶手段は、当該コンピュータに貸与した前記第二のＩＰアドレスに対応付けていた前記第一のＩＰアドレスを削除し、
前記制御手段は、当該コンピュータに、通信をリセットさせ、当該コンピュータの前記第一のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始させる、
付記５記載のＶＬＡＮ変更システム。
（付記７）
第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータの検疫処理を実行する検疫処理システムであって、
前記コンピュータがセキュリティポリシーに適合しているか否かの検査を行う検査手段と、前記セキュリティポリシーに適合させるために必要なデータであるポリシー用データを第二のＶＬＡＮに所属する装置に対して送信するポリシー用データ配付サーバと、が設けられており、前記コンピュータと前記ポリシー用データ配付サーバとの間に中継装置が設けられており、
前記中継装置は、
前記コンピュータが前記ポリシー用データ配付サーバに対して送信した、必要な前記ポリシー用データを要求する要求情報を受信する、要求情報受信手段と、
受信された前記要求情報に付加されている送信元情報を、前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスが当該要求情報の送信元のＩＰアドレスである旨を示すように書き換える、送信元書換手段と、
書き換えられた前記送信元情報が付加された前記要求情報を前記ポリシー用データ配付サーバに転送する要求情報転送手段と、
前記送信元情報の書換え前のＩＰアドレスと書換え後のＩＰアドレスとを対応付けて記憶するＩＰアドレス対応記憶手段と、
前記ポリシー用データ配付サーバが送信した前記ポリシー用データを受信するポリシー用データ受信手段と、
受信された前記ポリシー用データに付加されている宛先情報に前記第二のＩＰアドレスが示される場合は、当該宛先情報を、当該ポリシー用データの宛先が当該第二のＩＰアドレスに対応する前記第一のＩＰアドレスである旨を示すように書き換える、宛先書換手段と、
書き換えられた前記宛先情報が付加された前記ポリシー用データを宛先の装置に転送するポリシー用データ転送手段と、を有する、
ことを特徴とする検疫処理システム。
（付記８）
第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータの検疫処理を実行する検疫処理システムであって、
前記コンピュータがセキュリティポリシーに適合しているか否かの検査を行う検査手段と、前記セキュリティポリシーに適合させるために必要なデータであるポリシー用データを第二のＶＬＡＮに所属する装置に対して送信するポリシー用データ配付サーバと、前記コンピュータが所属するＶＬＡＮを前記第一のＶＬＡＮから前記第二のＶＬＡＮに変更するＶＬＡＮ変更システムと、が設けられており、
前記第一のＶＬＡＮに所属する装置と前記ポリシー用データ配付サーバとの間の通信を禁止するように設定されたネットワーク接続装置が前記コンピュータと前記ポリシー用データ配付サーバとの間に設けられており、
前記ＶＬＡＮ変更システムは、
前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスを、当該第二のＩＰアドレスの貸与先の前記コンピュータの前記第一のＩＰアドレスと対応付けて記憶する、ＩＰアドレス記憶手段と、
前記セキュリティポリシーに適合していないと前記検査手段によって判別された前記コンピュータに対して、現在貸与されていない前記第二のＩＰアドレスのうちのいずれか１つを、当該コンピュータがレイヤ３による通信を開始するまでに通知することによって貸与する、ＩＰアドレス貸与手段と、
前記コンピュータに、貸与した前記第二のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始させる、制御手段と、を有し、
前記ポリシー用データ配付サーバは、要求された前記ポリシー用データを要求元の装置に送信する、
ことを特徴とする検疫処理システム。

本発明は、特に、ＤＨＣＰが使用できないネットワークシステム内の端末装置およびサーバを隔離するために好適に用いられる。

検疫ネットワークシステムの全体的な構成の例を示す図である。 認証機能付スイッチの機能的構成の例を示す図である。 ルーティング許容情報の例を示す図である。 ポリシー管理サーバの機能的構成の例を示す図である。 ＩＰ管理テーブルの例を示す図である。 ＩＰ変換テーブルの例を示す図である。 テーブル管理部の構成の例を示す図である。 ＩＰアドレス変換処理部の構成の例を示す図である。 ＡＲＰ処理部の構成の例を示す図である。 端末装置のネットワーク機能が起動してから検査処理を実行するまでの間における検疫ネットワークシステムの各装置の処理の流れの例を説明するフローチャートである。 治療のための処理を実行する際の検疫ネットワークシステムの各装置の処理の流れの例を説明するフローチャートである。 ＡＲＰ応答情報の例を示す図である。 ＩＰアドレスの変換処理の例を示す図である。 仮ＩＰアドレスを開放する際の検疫ネットワークシステムの各装置の処理の流れの例を説明するフローチャートである。 ポリシー管理サーバの機能的構成の例を示す図である。 ＩＰ管理テーブルの例を示す図である。 治療のための処理を実行する際の検疫ネットワークシステムの各装置の処理の流れの例を説明するフローチャートである。 仮ＩＰアドレスを開放する際の検疫ネットワークシステムの各装置の処理の流れの例を説明するフローチャートである。

符号の説明

ＫＮＳ 検疫ネットワークシステム（検疫処理システム）
２ 認証機能付スイッチ（ＶＬＡＮ変更装置、中継装置）
１０ ポリシー管理サーバ（検査手段）
１１ ウィルス管理サーバ（ポリシー用データ配付サーバ）
１２ パッチ管理サーバ（ポリシー用データ配付サーバ）
１３ 資産管理サーバ（ポリシー用データ配付サーバ）
１０４ 仮ＩＰアドレス管理部（ＩＰアドレス貸与手段）
１０５ アドレス貸与情報送信部（ＩＰアドレス貸与手段）
１Ｂ４ 仮ＩＰアドレス管理部（ＩＰアドレス貸与手段）
１Ｂ５ 仮ＩＰアドレス貸与部（ＩＰアドレス貸与手段）
２５１ 上りデータ受信部（第一の受信手段、要求情報受信手段）
２５２ 発側ＩＰ変換処理部（送信元書換手段）
２５３ 上りデータ転送部（第一の転送手段、要求情報転送手段）
２５４ 下りデータ受信部（第二の受信手段、ポリシー用データ受信手段）
２５５ 宛先ＩＰ変換処理部（宛先書換手段）
２５６ 下りデータ転送部（第二の転送手段、ポリシー用データ転送手段）
ＴＬ１ ＩＰ変換テーブル（ＩＰアドレス対応記憶手段）
ＴＬ３ ＩＰ管理テーブル（貸与ＩＰアドレス記憶手段）
ＴＬ４ ＩＰ管理テーブル（貸与ＩＰアドレス記憶手段）
ＴＲ 端末装置（コンピュータ）

Claims (5)

1. 第一のＩＰアドレスが予め固定的に与えられているコンピュータに対して当該第一のＩＰアドレスの代わりに第二のＩＰアドレスを適用するＩＰアドレス適用方法であって、
   前記コンピュータに前記第二のＩＰアドレスを適用する場合は、
   当該コンピュータがレイヤ３による通信を開始するまでに、当該第二のＩＰアドレスを当該コンピュータに通知することによって与え、
   当該第二のＩＰアドレスと当該コンピュータの前記第一のＩＰアドレスとを対応付けて記憶手段に記憶させ、
   当該コンピュータを、当該第二のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始するように制御し、
   前記コンピュータのＩＰアドレスを元に戻す場合は、
   ネットワーク接続をリセットするように当該コンピュータを制御し、
   当該コンピュータがレイヤ３による通信を開始するまでに、当該コンピュータに与えた前記第二のＩＰアドレスに対応する前記第一のＩＰアドレスを当該コンピュータに通知し、
   当該コンピュータを、通知した前記第一のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始するように制御する、
   ことを特徴とするＩＰアドレス適用方法。
2. 第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータが所属するＶＬＡＮを前記第一のＶＬＡＮから第二のＶＬＡＮに変更するための処理を行うＶＬＡＮ変更装置であって、
   前記コンピュータが他のコンピュータに宛てて送信した第一のデータを受信する第一の受信手段と、
   受信された前記第一のデータに付加されている送信元情報を、前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスが当該第一のデータの送信元のＩＰアドレスである旨を示すように書き換える、送信元書換手段と、
   書き換えられた前記送信元情報が付加された前記第一のデータを宛先のコンピュータに届くように転送する第一の転送手段と、
   前記送信元情報の書換え前のＩＰアドレスと書換え後のＩＰアドレスとを対応付けて記憶するＩＰアドレス対応記憶手段と、
   他のコンピュータが送信した第二のデータを受信する第二の受信手段と、
   受信された前記第二のデータに付加されている宛先情報に前記第二のＩＰアドレスが示される場合は、当該宛先情報を、当該第二のＩＰアドレスに対応する前記第一のＩＰアドレスが当該第二のデータの宛先である旨を示すように書き換える、宛先書換手段と、
   書き換えられた前記宛先情報が付加された前記第二のデータを宛先の装置に届くように転送する第二の転送手段と、
   を有することを特徴とするＶＬＡＮ変更装置。
3. 第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータが所属するＶＬＡＮを前記第一のＶＬＡＮから第二のＶＬＡＮに変更するＶＬＡＮ変更システムであって、
   前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスを管理するサーバが設けられており、前記コンピュータと当該コンピュータの通信相手の装置との間に両者間でやり取りされるデータを中継する中継装置が設けられており、
   前記サーバは、
   １つまたは複数の前記第二のＩＰアドレスを、当該第二のＩＰアドレスの貸与先の前記コンピュータの前記第一のＩＰアドレスと対応付けて記憶する、貸与ＩＰアドレス記憶手段と、
   現在貸与されていない前記第二のＩＰアドレスのうちのいずれか１つを前記中継装置に通知することによって、所属を前記第二のＶＬＡＮに変更する前記コンピュータに対して当該第二のＩＰアドレスを貸与する、ＩＰアドレス貸与手段と、を有し、
   前記中継装置は、
   前記サーバから前記コンピュータに対して前記第二のＩＰアドレスが貸与された場合に、当該コンピュータから前記通信相手の装置に宛てて送信された中継対象のデータに付加されている送信元情報を、当該データの送信元のＩＰアドレスが当該第二のＩＰアドレスである旨を示すように書き換える、送信元書換手段と、
   前記送信元情報の書換え前のＩＰアドレスと書換え後のＩＰアドレスとを対応付けて記憶するＩＰアドレス対応記憶手段と、
   前記通信相手の装置から送信された中継対象のデータに付加されている宛先情報に前記第二のＩＰアドレスが示されている場合に、当該宛先情報を、当該データの宛先のＩＰアドレスが当該第二のＩＰアドレスに対応する前記第一のＩＰアドレスである旨を示すように書き換える、宛先書換手段と、を有する、
   ことを特徴とするＶＬＡＮ変更システム。
4. 第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータが所属するＶＬＡＮを前記第一のＶＬＡＮから第二のＶＬＡＮに変更するＶＬＡＮ変更システムであって、
   前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスを、当該第二のＩＰアドレスの貸与先の前記コンピュータの前記第一のＩＰアドレスと対応付けて記憶する、貸与ＩＰアドレス記憶手段と、
   所属を前記第二のＶＬＡＮに変更する前記コンピュータに対して、現在貸与されていない前記第二のＩＰアドレスのうちのいずれか１つを、当該コンピュータがレイヤ３による通信を開始するまでに通知することによって貸与する、ＩＰアドレス貸与手段と、
   前記コンピュータに、貸与した前記第二のＩＰアドレスが当該コンピュータ自身のＩＰアドレスであるものとしてレイヤ３による通信を開始させる、制御手段と、
   を有することを特徴とするＶＬＡＮ変更システム。
5. 第一のＶＬＡＮのＩＰアドレスである第一のＩＰアドレスが予め固定的に与えられているコンピュータの検疫処理を実行する検疫処理システムであって、
   前記コンピュータがセキュリティポリシーに適合しているか否かの検査を行う検査手段と、前記セキュリティポリシーに適合させるために必要なデータであるポリシー用データを第二のＶＬＡＮに所属する装置に対して送信するポリシー用データ配付サーバと、が設けられており、前記コンピュータと前記ポリシー用データ配付サーバとの間に中継装置が設けられており、
   前記中継装置は、
   前記コンピュータが前記ポリシー用データ配付サーバに対して送信した、必要な前記ポリシー用データを要求する要求情報を受信する、要求情報受信手段と、
   受信された前記要求情報に付加されている送信元情報を、前記第二のＶＬＡＮのＩＰアドレスである第二のＩＰアドレスが当該要求情報の送信元のＩＰアドレスである旨を示すように書き換える、送信元書換手段と、
   書き換えられた前記送信元情報が付加された前記要求情報を前記ポリシー用データ配付サーバに転送する要求情報転送手段と、
   前記送信元情報の書換え前のＩＰアドレスと書換え後のＩＰアドレスとを対応付けて記憶するＩＰアドレス対応記憶手段と、
   前記ポリシー用データ配付サーバが送信した前記ポリシー用データを受信するポリシー用データ受信手段と、
   受信された前記ポリシー用データに付加されている宛先情報に前記第二のＩＰアドレスが示される場合は、当該宛先情報を、当該ポリシー用データの宛先が当該第二のＩＰアドレスに対応する前記第一のＩＰアドレスである旨を示すように書き換える、宛先書換手段と、
   書き換えられた前記宛先情報が付加された前記ポリシー用データを宛先の装置に転送するポリシー用データ転送手段と、を有する、
   ことを特徴とする検疫処理システム。