JP2006287704A - スイッチングハブ - Google Patents

Abstract

【課題】 ユーザ端末に専用のアプリケーションソフトウェアを搭載することなく、端末の認証情報ではなくユーザの認証情報による認証が可能なスイッチングハブを提供する。
【解決手段】 ユーザの認証を行う認証サーバの認証結果に応じて、ユーザ端末からのパケットを転送するスイッチングハブ１であって、端末２に認証画面を提供するＷＥＢサーバ５からユーザＩＤとパスワード情報を取得し、取得した情報を基に認証サーバ５から認証結果を取得し、その認証結果に応じてパケットの転送可否を設定する。
【選択図】 図１

Description

本発明は、ユーザの認証を行う認証サーバの認証結果に応じて、ユーザ端末からのパケットを転送するスイッチングハブに関する。

従来、ハブ（リピータ）やスイッチングハブ（ブリッジ）などは、装置本体にケーブルを挿し込むだけで通信が可能となっているが、近年、接続するユーザを制限するために、ユーザ認証機能が搭載されつつある。無線ＬＡＮアクセスポイントもスイッチングハブの一種とみなすことができるが、この無線ＬＡＮアクセスポイントにおける認証機能として、ユーザのＭＡＣアドレス情報を用いる「ＭＡＣアドレス認証」や、ユーザＩＤとパスワードの組もしくは電子証明書を用いる「ＩＥＥＥ８０２．１ｘ認証」などが知られている。また、ＭＡＣアドレス認証には、アクセスポイント自体が認証動作を行う場合（ＭＡＣアドレスフィルタリング）と、アクセスポイントが認証サーバ（ＲＡＤＩＵＳサーバなど）と連携して認証動作を行う場合がある。

また、公衆無線ＬＡＮサービスにおいても「ＭＡＣアドレス認証」や「ＩＥＥＥ８０２．１ｘ認証」が利用されているが、この公衆無線ＬＡＮサービスでは「ＷＥＢ認証」も利用されている。この「ＷＥＢ認証」は、ユーザがＷＥＢブラウザを起動して、ｈｔｔｐプロトコルを用いて認証情報（ＩＤやパスワード）の伝達を行うことにより接続許可を得る方式である。

上記のＭＡＣアドレス認証やＩＥＥＥ８０２．１ｘ認証は、イーサネット（Ｅｔｈｅｒｎｅｔ）などのデータリンク通信を用いて行う認証技術であり、ＷＥＢ認証は、ネットワーク通信（ＩＰ）を用いて行う認証技術である。

図１０に一般的な無線ＬＡＮアクセスポイントやスイッチングハブで使用されるユーザ認証方法を示す。ここでは、ＭＡＣアドレス認証とＩＥＥＥ８０２．１ｘ認証を挙げている。

公衆無線ＬＡＮサービスでは、ユーザの端末は無線ＬＡＮアクセスポイントやスイッチングハブとの間でＩＥＥＥ８０２．１ｘ認証を行ってデータリンクを越える許可をもらい、その後ルータ（ゲートウェイ）との間でＷＥＢ認証を行ってインターネットを越える許可をもらう、という手順でインターネットに接続する。ここで、ＭＡＣアドレスはユーザの端末の通信ポートに対して設定されているアドレスであり、同じユーザであっても、使用する端末が異なればＭＡＣアドレスの値も異なる。このため、ＭＡＣアドレス認証では、認証情報を端末ごとに認証サーバに登録する必要がある。つまり、ユーザが端末を買い換えた場合には、認証情報を再登録しなければならない。

一方、ＩＥＥＥ８０２．１ｘ認証では、（例えばＥＡＰ−ＴＴＬＳを用いた場合）ユーザＩＤとパスワードを用いた認証が可能であるため、ＭＡＣアドレス認証のような再登録の必要はない、しかし、このＩＥＥＥ８０２．１ｘ認証を利用するためには、端末に、専用のアプリケーションソフトウェアを搭載する必要がある。

そこで、専用のアプリケーションソフトウェアを搭載することなく、ＭＡＣアドレス認証を行うパケット転送システムが提案されている（例えば特許文献１参照）。図１１はその概要を示す図である。また、図１２にその処理シーケンスを示す。ここでは、ユーザの端末による認証開始から認証サーバの端末認証処理を経て認証完了となるまでの処理を示す。

端末１０２からパケットが送信されると、そのパケットを受け取ったＭＡＣアドレス認証機能付きのスイッチングハブ１０１は、そのパケットの送信元ＭＡＣアドレスを取得し、そのＭＡＣアドレスの値をキー（ユーザＩＤ）として、認証フレーム（ＲＡＤＩＵＳ問い合わせフレーム）を作成し、認証サーバ（ＲＡＤＩＵＳサーバ）１０４に送信する。

認証フレームを受け取った認証サーバ１０４は、その中からＭＡＣアドレス情報を抽出し、それをキーとして認証を行う。そして、その認証結果をＲＡＤＩＵＳ応答パケットとしてスイッチングハブ１０１に通知する。

ＲＡＤＩＵＳ応答パケットを受け取ったスイッチングハブ１０１は、ユーザのパケットに対する転送可否の設定を行う。このとき、認証結果がＯＫの場合は転送可に設定し、認証結果がＮＧの場合は転送否に設定してそのパケットを廃棄する。転送可に設定されたユーザのパケットはインターネットに転送されるが、ユーザの端末１０２は必要に応じてＤＨＣＰサーバ１０３などでＩＰアドレスを取得する。このとき、静的にＩＰアドレスを設定しても構わない。

しかしながら、上記のような従来のパケット転送装置においては、認証のキーであるＭＡＣアドレスがユーザの端末の通信ポートに対して固定的に設定されているため、一般的にユーザが変更することはできない。また、同じユーザであっても端末が異なればＭＡＣアドレスが異なるため認証可にならず、接続する端末のＭＡＣアドレスを事前に申請し、その認証情報を端末ごとに認証サーバに登録しなければならない。

特開２００１−１１１５４４号公報

本発明は、上記従来の事情に鑑みてなされたものであって、ユーザ端末に専用のアプリケーションソフトウェアを搭載することなく、端末の認証情報ではなくユーザの認証情報による認証が可能なスイッチングハブを提供することを目的とする。

本発明のスイッチングハブは、ユーザ端末のＭＡＣアドレスとＩＰアドレスとを関連付けた対応表を記憶する手段と、前記ユーザ端末に対して第1のサーバから提供される認証画面をＩＰアドレスに基づいて転送する手段と、前記認証画面に基づいて入力されたユーザの認証情報を前記第１のサーバを経由して第２のサーバへＩＰアドレスに基づいて転送する手段と、前記第２のサーバで認証された認証結果を前記ユーザ端末のＩＰアドレスに関連付けて取得する手段と、前記対応表を参照して前記ユーザ端末のＭＡＣアドレスを特定し、認証結果が可のユーザ端末のＭＡＣアドレスを含むパケットの前記サーバ以外へのＭＡＣアドレスに基づく転送と、認証結果が否のユーザ端末のＭＡＣアドレスを含むパケットの破棄を行う手段と、を備える。上記構成によれば、ユーザ端末に専用のアプリケーションソフトウェアを搭載することなく、端末の認証情報ではなくユーザの認証情報による認証が可能なスイッチングハブを提供できる。

また、本発明のスイッチングハブは、前記認証結果を取得する前であっても、認証を行うのに必要なパケットを転送する転送手段を備える。また、本発明のスイッチングハブは、前記転送手段が、ＭＡＣアドレスを解決するためのパケット、ＩＰアドレスの設定を行うためのパケット又は指定したＩＰアドレスのホストとの通信パケットを転送するものである。さらに、本発明のスイッチングハブは、前記指定したＩＰアドレスのホストが、認証画面を提供するＷＥＢサーバ、ＤＨＣＰサーバ又はＤＮＳサーバであるものである。

本発明によれば、ユーザ端末に専用のアプリケーションソフトウェアを搭載することなく、端末の認証情報ではなくユーザの認証情報による認証が可能なスイッチングハブを提供できる。

図１は、本発明の一実施形態を説明するためのパケット転送システムの概要を示す図である。本システムは、ユーザの認証を行う認証サーバの認証結果に応じて、ユーザ端末からのパケットを転送するスイッチングハブ１、ユーザの端末（ユーザ端末）２、ＷＥＢサーバ３、ＤＨＣＰサーバ４、及び認証サーバ（ＲＡＤＩＵＳサーバ）５から構成され、端末２からのパケットをインターネットに送信するものである。

スイッチングハブ１は、端末２からのパケットを受け取ると、その内容を解析し、必要に応じてＤＨＣＰサーバ４に対し、端末にＩＰアドレスの割当てを行うよう要求するパケットを転送する。尚、ＤＨＣＰサーバを使用せず、端末に対してＩＰアドレスを手動で設定してもよい。また、ユーザの端末２は、ＷＥＢブラウザを用いてＷＥＢサーバ３からログイン画面（認証画面）を取得し、ユーザの認証情報であるユーザＩＤ及びパスワードを送信する。

スイッチングハブ１は、端末２にログイン画面を提供するＷＥＢサーバ３に対して、端末２からのユーザＩＤやパスワードの情報を転送する。また、スイッチングハブ１は、ＷＥＢサーバ３からユーザの認証情報を取得し、取得した認証情報を基に、認証サーバ５にＲＡＤＩＵＳ問い合わせ（認証結果の問い合わせ）を行う。認証サーバ５は、端末２のユーザＩＤとパスワードを基に認証を行い、その認証結果をスイッチングハブ１に応答する。

認証サーバ５から認証結果を取得したスイッチングハブ１は、認証ＯＫの場合は端末２からのパケットをその宛先情報に従ってインターネットに転送し、認証ＮＧの場合は端末２からのパケットを転送することなく廃棄する。

図２は、図１に示すパケット転送システムの処理シーケンスを示す図であり、ユーザの端末２による認証開始から認証サーバ５の端末認証処理を経て認証完了となるまでの処理を示している。

ここで、上記のスイッチングハブ１は、認証画面（ログイン画面）を提供するＷＥＢサーバ５からユーザＩＤとパスワードを取得し、その情報を元に認証処理を行っている。したがって、ＷＥＢ認証処理を行うために必要なデータ（パケット）はＷＥＢ認証完了前であってもスイッチングハブ１を通過させることもある。ＷＥＢ認証前に通過させるパケットは、ＡＲＰパケット、ＤＨＣＰパケット、指定したＩＰアドレスのホストとの通信パケットなどがある。指定したＩＰアドレスのホストとして、認証画面を提供するＷＥＢサーバ、ＤＮＳサーバ、ＤＨＣＰサーバなどを登録することができる。

また、認証画面を提供するＷＥＢサーバ５からユーザＩＤとパスワードの情報を取得する際にｈｔｔｐプロトコルを用いているが、別の方法（例えばＲＡＤＩＵＳやＳＮＭＰ）でも良い。取得したユーザＩＤとパスワードの情報を基に認証サーバ（例えばＲＡＤＩＵＳサーバ）に問い合わせる際にＲＡＤＩＵＳプロトコルを用いているが、これも別の方法（例えばＬＤＡＰ）でも良い。

また、スイッチングハブ１は、ユーザの端末２から送信されたＩＰパケットを解析して記憶するが、解析するパケットは認証画面を提供するＷＥＢサーバ宛のパケットである。

以上説明したパケット転送システムでは、スイッチングハブ１が、ユーザの端末に認証画面を提供するＷＥＢサーバからユーザＩＤとパスワード情報を取得し、取得した情報を基に認証サーバから認証結果を取得し、その認証結果から認証処理を行ってパケットの転送可否を設定する。この構成によれば、ユーザの端末に専用のアプリケーションソフトウェアを搭載することなく、また、端末の認証情報を事前に認証サーバに登録することなく、ＭＡＣアドレス情報を元に、端末の認証情報ではなくユーザの認証情報によるＷＥＢ認証が可能になる。

図３は、本実施形態におけるスイッチングハブ１の構成を示すブロック図である。スイッチングハブ１には、端末２が接続される端末側ポート１１と、インターネット側のルータ（ゲートウェイ装置）に接続される通信ポートである網側ポート１２が設けられている。

図３に示すスイッチングハブ１は、端末側ポート受信部２１と、端末側ポート送信部２２と、端末側パケットフィルタ部２３と、認証端末情報学習部２４と、網側ポート送信部２５と、網側ポート受信部２６と、網側パケットフィルタ部２７と、認証パケット抽出部２８と、認証フレーム作成部２９と、認証結果判定部３０と、転送許可ホスト管理テーブル３１と、認証状態管理テーブル３２と、ブリッジ処理部３３とを備える。

端末側ポート受信部２１は、端末側ポート１１からパケットデータを受信する。端末側ポート送信部２２は、端末側ポート１１へパケットデータを出力する。端末側パケットフィルタ部２３は、受信したパケットデータを解析し、パケットの種類に応じた処理を行うものであり、転送許可ホスト管理テーブル３１を検索する。

認証端末情報学習部２４は、パケットデータからユーザのＩＰアドレス情報とＭＡＣアドレス情報を抽出して、認証状態管理テーブル３２にその抽出情報を書き込む。網側ポート送信部２５は、網側ポート１２へパケットデータを送信する。網側ポート受信部２６は、網側ポート１２からパケットデータを取得する。網側パケットフィルタ部２７は、受信したパケットデータを解析し、パケットの種類に応じた処理を行うものであり、転送許可ホスト管理テーブル３１を検索する。

認証パケット抽出部２８は、認証処理を行うパケットを抽出して分類するものであり、ＷＥＢサーバからのパケットを認証フレーム作成部２９に転送し、認証サーバからのパケットを認証結果判定部３０に転送する。また、認証フレーム作成部２９は、ＷＥＢサーバからのパケット内のユーザＩＤとパスワードを解析し、認証フレーム（ＲＡＤＩＵＳパケット）を作成する。認証結果判定部３０は、認証サーバからのパケットを解析して、認証結果を判断し、その認証結果を認証状態管理テーブル３２に設定する。

また、転送許可ホスト管理テーブル３１は、ＷＥＢ認証が完了していない状態であっても転送を許可するホスト情報を格納する。認証状態管理テーブル３２は、ユーザの端末のＩＰアドレスとＭＡＣアドレス情報、及び認証状態を格納する。ブリッジ処理部３３は、通常のスイッチングハブで行われているブリッジ処理を行うものであり、認証結果がＯＫのユーザ端末からのパケットを転送し、認証結果がＮＧのユーザ端末からのパケットを廃棄する。

図４は認証状態管理テーブルを示す図である。同図に示すユーザの端末のＩＰアドレスとＭＡＣアドレス情報、及び認証状態は、認証端末情報学習部２４が設定するものである。図５は転送許可ホスト管理テーブルを示す図である。学習対象の欄には、認証端末情報学習部２４が学習処理を行うパケットの宛先ホストには○、それ以外には×が登録され、認証画面を提供するＷＥＢサーバのＩＰアドレスを学習対象とする。

図６はｈｔｔｐのパケットフォーマットを示す図である。同図において、（Ａ）は端末情報（ユーザＩＤ、パスワード、ＩＰアドレス）通知パケットを示し、（Ｂ）は認証結果通知パケットを示している。また、図７はＲＡＤＩＵＳのパケットフォーマットを示す図である。同図において、（Ａ）はユーザＩＤとパスワードの通知パケットを示し、（Ｂ）は認証結果通知パケットを示している。

本実施形態では、網側ポート受信部２６が、ユーザの端末２に認証画面を提供するＷＥＢサーバ３からユーザの認証情報（ユーザＩＤとパスワード情報）を取得する。網側ポート送信部２５は、取得した認証情報を基に、認証サーバ５に認証結果を問い合わせる。また、網側ポート受信部２６は、認証サーバ５から認証結果を取得する。ブリッジ処理部３３は、認証結果に応じてパケットの転送可否を設定する。

次に、本実施形態におけるパケット転送動作について、図８及び図９のフローチャートを用いて説明する。

図８は端末側ポート１１からパケットを受信する際の処理を示す。パケットを受信すると（Ｓ１）、送信元のＭＡＣアドレスが認証状態管理テーブル３２に登録済みかを判断する（Ｓ２）。登録済みで、そのＭＡＣアドレスに対するＷＥＢ認証状態が「ＯＫ」であれば（Ｓ３）、そのＭＡＣアドレスをキーにしてブリッジ処理を行い（Ｓ４）、該当するポートにパケットを送信する（Ｓ５）。一方、送信元のＭＡＣアドレスが登録されていないか、あるいはＷＥＢ認証状態が「ＮＧ」であれば、イーサネットタイプがＡＲＰかを判断し（Ｓ６）、ＡＲＰであればステップＳ４に移行し、そうでなければＩＰであるかを判断する（Ｓ７）。ＩＰであれば、そのＩＰアドレスが転送許可ホスト管理テーブル３１に登録済みかを判断し（Ｓ８）、登録済みで、そのＩＰアドレスに対する学習対象が「○」であれば（Ｓ９）、送信元のＩＰアドレスとＭＡＣアドレスを認証状態管理テーブル３２に登録するとともに、ＷＥＢ認証状態を「ＮＧ」に設定し（Ｓ１０）、ステップＳ４に移行する。

上記イーサネットタイプがＩＰでなければ、そのパケットを廃棄し（Ｓ１１）、またＩＰアドレスが転送許可ホスト管理テーブル３１に登録されていなければ、そのＩＰアドレスがブロードキャストであるかを判断し（Ｓ１２）、ブロードキャストで、ＵＤＰパケットであれば（Ｓ１３）、そのＵＤＰポート番号がＤＨＣＰのものであるかを判断し（Ｓ１４）、そうであればステップＳ４に移行する。それ以外のパケットについては、ステップＳ１１でパケット廃棄処理を行う。

図９は網側ポート１２からパケット受信する際の処理を示す。

パケットを受信すると（Ｓ２１）、宛先のＭＡＣアドレスがスイッチングハブ宛かを判断し（Ｓ２２）、スイッチングハブ宛で、そのＭＡＣアドレスがブロードキャストでなければ（Ｓ２３）、送信元のＭＡＣアドレスが認証状態管理テーブル３２に登録済みかを判断する（Ｓ２４）。登録済みでなければ、イーサネットタイプがＡＲＰかを判断し（Ｓ２５）、ＡＲＰでなければ、転送許可ホスト管理テーブル３１に登録済みかを判断し（Ｓ２６）、そうでなければ、宛先のＭＡＣアドレスをキーにしてブリッジ処理を行い（Ｓ２７）、該当ポートにパケットを送信する（ｓ２８）。宛先のＭＡＣアドレスがブロードキャストか、認証状態管理テーブル３２もしくは転送許可ホスト管理テーブル３１に登録済みか、イーサネットタイプがＡＲＰであれば、パケット廃棄処理を行う（Ｓ２９）。

宛先のＭＡＣアドレスがスイッチングハブ宛であれば、受信パケットがＲＡＤＩＵＳサーバからのＲＡＤＩＵＳ応答パケットであるかを判断する（Ｓ３０）。受信パケットがＲＡＤＩＵＳ応答パケットでなければＷＥＢサーバからの端末情報通知パケットであるかを判断し（Ｓ３１）、そうであれば、端末のユーザＩＤとパスワードの情報を設定したＲＡＤＩＵＳパケットを作成し（Ｓ３２）、ステップ２７に移行する。受信パケットがＷＥＢサーバからの端末情報通知パケットでなければ、パケット廃棄処理を行う（Ｓ３３）。

また、受信パケットがＲＡＤＩＵＳサーバからのＲＡＤＩＵＳ応答パケットであれば、認証結果が「ＯＫ」であるかを判断する（Ｓ３４）。「ＯＫ」であれば、認証状態管理テーブル３２のＷＥＢ認証状態を「ＯＫ」に設定する（Ｓ３５）。一方、認証結果が「ＯＫ」でなければ、認証状態管理テーブル３２のＷＥＢ認証状態を「ＮＧ」に設定する（Ｓ３６）。そして、ＷＥＢ認証状態を設定した端末情報通知パケットを作成し（Ｓ３７）、ステップＳ２７に移行する。

以上説明したように、本実施形態のパケット転送システムによれば、ユーザの端末に専用のアプリケーションソフトウェアを搭載することなく、また、端末の認証情報を事前に認証サーバに登録することなく、ＭＡＣアドレス情報を元に、端末の認証情報ではなくユーザの認証情報によるＷＥＢ認証が可能になる。

本発明は、ユーザ端末に専用のアプリケーションソフトウェアを搭載することなく、端末の認証情報ではなくユーザの認証情報による認証が可能となる効果を有し、ユーザの認証を行う認証サーバの認証結果に応じて、ユーザ端末からのパケットを転送するスイッチングハブ等に有用である。

本発明の一実施形態におけるパケット転送システムの概要を示す図 本発明の一実施形態におけるパケット転送システムの処理シーケンスを示す図 本発明の一実施形態におけるスイッチングハブの構成を示すブロック図 本発明の一実施形態における認証状態管理テーブルを示す図 本発明の一実施形態における転送許可ホスト管理テーブルを示す図 本発明の一実施形態におけるパケットフォーマットを示す図 本発明の一実施形態におけるパケットフォーマットを示す図 本発明の一実施形態におけるパケット転送動作を示すフローチャート 本発明の一実施形態におけるパケット転送動作を示すフローチャート 一般的なユーザ認証方法を示す図 従来のパケット転送システムの概要を示す図 従来のパケット転送システムの処理シーケンスを示す図

符号の説明

１ スイッチングハブ
２ 端末
３ ＷＥＢサーバ
４ ＤＨＣＰサーバ
５ 認証サーバ
２１ 端末側ポート受信部
２２ 端末側ポート送信部
２３ 端末側パケットフィルタ部
２４ 認証端末情報学習部
２５ 網側ポート送信部
２６ 網側ポート受信部
２７ 網側パケットフィルタ部
２８ 認証パケット抽出部
２９ 認証フレーム作成部
３０ 認証結果判定部
３１ 転送許可ホスト管理テーブル
３２ 認証状態管理テーブル
３３ ブリッジ処理部

Claims (4)

1. ユーザ端末のＭＡＣアドレスとＩＰアドレスとを関連付けた対応表を記憶する手段と、
   前記ユーザ端末に対して第1のサーバから提供される認証画面をＩＰアドレスに基づいて転送する手段と、
   前記認証画面に基づいて入力されたユーザの認証情報を前記第１のサーバを経由して第２のサーバへＩＰアドレスに基づいて転送する手段と、
   前記第２のサーバで認証された認証結果を前記ユーザ端末のＩＰアドレスに関連付けて取得する手段と、
   前記対応表を参照して前記ユーザ端末のＭＡＣアドレスを特定し、認証結果が可のユーザ端末のＭＡＣアドレスを含むパケットの前記サーバ以外へのＭＡＣアドレスに基づく転送と、認証結果が否のユーザ端末のＭＡＣアドレスを含むパケットの破棄を行う手段と、
   を備えるスイッチングハブ。
2. 前記認証結果を取得する前であっても、認証を行うのに必要なパケットを転送する転送手段を備える請求項１記載のスイッチングハブ。
3. 前記転送手段は、ＭＡＣアドレスを解決するためのパケット、ＩＰアドレスの設定を行うためのパケット又は指定したＩＰアドレスのホストとの通信パケットを転送する請求項２記載のスイッチングハブ。
4. 前記指定したＩＰアドレスのホストは、認証画面を提供するＷＥＢサーバ、ＤＨＣＰサーバ又はＤＮＳサーバである請求項３記載のスイッチングハブ。

Images