JP2009130838A

JP2009130838A - パケット中継装置

Info

Publication number: JP2009130838A
Application number: JP2007306238A
Authority: JP
Inventors: Motohide Nomi; 元英能見
Original assignee: Alaxala Networks Corp
Current assignee: Alaxala Networks Corp
Priority date: 2007-11-27
Filing date: 2007-11-27
Publication date: 2009-06-11
Anticipated expiration: 2027-11-27
Also published as: US8646033B2; JP4909875B2; US20090183252A1

Abstract

【課題】ネットワーク認証システムにおいて、パケット中継装置でＭＡＣアドレス認証を動作させる場合、パケット中継装置に余計な負荷を掛けないことと、アプリケーション毎に認証可能にする。
【解決手段】パケット中継装置では、ＭＡＣアドレス認証の認証対象パケットを指定したパケットのみにして、Ｈ／ＷからＣＰＵに転送するパケット数を削減する。また、ＭＡＣアドレス認証の認証対象パケットは送信元ＭＡＣアドレスの他に、イーサタイプ、宛先ＩＰアドレス、プロトコル、ＴＣＰ／ＵＤＰの送信元ポート番号、宛先ポート番号等を指定することで、ＭＡＣアドレス認証の認証対象パケットを送信しない端末については、Ｗｅｂ認証、ＩＥＥＥ８０２.１Ｘ認証等のその他の認証方式を選択可能にし、認証対象から外すことも可能になる。
【選択図】図１

Description

本発明は、パケット中継装置に係り、特に演算処理部の負荷を低減するパケット中継装置に関する。

ネットワーク認証システムにおけるＭＡＣアドレス認証では、端末から送信されたパケットの送信元ＭＡＣアドレスを認証用の情報として、認証サーバで通信許可もしくは拒否するかを判定する。

ネットワーク認証システムでは、パケット中継装置は、認証前の端末もしくは認証サーバに通信拒否された端末からの基幹ネットワークへ通信しようとするパケットについて廃棄する。パケット中継装置は、認証サーバに通信許可された端末からのパケットについて基幹ネットワークへの通信を中継する。

パケット中継装置でＭＡＣ認証を行う場合、端末から送信される全てのパケットが認証対象のパケットになる。このため、認証サーバの判定結果が通信許可され、パケット中継装置に通信許可の設定がされるまでは、認証前の端末から送信される全パケットがパケット中継装置のＣＰＵに転送される。

認証するつもりの無い端末のパケットもパケット中継装置が受信すると、パケット中継装置は、常に認証処理を行う。また、１台の端末で動作するＯＳ、アプリケーションによって、ＩＥＥＥ８０２.１Ｘ認証、Ｗｅｂ認証等の他の認証方式にする場合がある。しかし、これらの認証方式を採用する場合も、パケット中継装置は、まず全てＭＡＣアドレス認証で認証を試みる。

特許文献１は、代理認証手段が、認証履歴保持手段の認証履歴情報を利用して通信相手を代理認証するとともに代理認証拡張手段内のディジタル署名判定証明書情報取得に関する機能を利用して代理認証するマルチ認証機能スイッチ装置を開示している。

特開２００７−２６７３１５号公報

背景技術では端末が認証成功するまで、端末から送信されるパケットは、全て認証対象パケットとしてパケット中継装置のハードウェア部（Ｈ／Ｗ）から、ソフトウェア部（Ｓ／Ｗ）に転送される。このため、Ｓ／ＷのＣＰＵに負荷がかかる。また、１台の端末で動作するＯＳ、アプリケーションによって、ＩＥＥＥ８０２.１Ｘ認証、Ｗｅｂ認証等の他の認証方式にする場合がある。しかし、パケット中継装置は、全てＭＡＣアドレス認証で認証を試みる。そのため、不要なＭＡＣアドレス認証を行うことによるＳ／ＷのＣＰＵ負荷がかかる。

また、ＭＡＣ認証方式で端末に対する生存有無を確認するためにポーリングを行う場合を考える。ポーリングには端末のＩＰアドレスが必要になる。しかし、ＭＡＣ認証の場合には全てのパケットが認証対象のため、宛先ＩＰアドレスについて、ＩＰｖ４アドレスによるポーリングを行いたいにも関わらず、ＩＰアドレス配布前のＤＨＣＰ（Dynamic Host Configuration Protocol）パケット、ＩＰｖ６パケットも認証対象パケットとなることもある。このとき認証を行ったパケットから端末のＩＰｖ４アドレスを取得できないという問題が発生する。これも、不要なＭＡＣアドレス認証を行うことによる弊害である。

本発明の目的は、前述の問題点を解決するために、不要なＭＡＣアドレス認証を行わず、更に、１台の端末でＯＳ、アプリケーション毎にＭＡＣアドレス認証、Ｗｅｂ認証、ＩＥＥＥ８０２.１Ｘ認証等の認証方法を選択可能にするパケット中継装置を提供することにある。

パケット中継装置では、ネットワーク認証システムでＭＡＣアドレス認証を行う場合、端末から送信されたパケットの送信元ＭＡＣアドレスを認証用情報として、認証サーバに送信する。認証サーバでは予め登録された認証用情報データベースでパケット中継装置から受信した認証用情報を照合し、判定結果をパケット中継装置に送信する。パケット中継装置では判定結果に基づき、通信許可の場合には、Ｈ／Ｗに該当の送信元ＭＡＣアドレスを中継可能にするように設定する。

パケット中継装置では、ＭＡＣアドレス認証の認証対象パケットを指定したパケットのみにして、Ｈ／ＷからＣＰＵに転送するパケット数を削減する。また、ＭＡＣアドレス認証の認証対象パケットは送信元ＭＡＣアドレスの他に、Ｅｔｈｅｒｎｅｔ（登録商標）タイプ、宛先ＩＰアドレス、プロトコル、ＴＣＰ／ＵＤＰの送信元ポート番号、宛先ポート番号等を指定することで、ＭＡＣアドレス認証の認証対象パケットを送信しない端末については、Ｗｅｂ認証、ＩＥＥＥ８０２.１Ｘ認証等のその他の認証方式を選択可能にし、ＭＡＣアドレス認証対象から外す。

すなわち、上述した課題は、端末装置を収容し、この端末装置と認証装置を含む情報処理装置とのパケットの送受信を中継し、認証装置に認証要求を送信し、かつ認証判定を受信する複数の認証処理部と、データベースを参照して、未認証端末からのパケットを前記認証処理部の一つに転送する認証前パケット処理部と、からなり、認証前パケット処理部は、未認証端末からのパケットの種別と前記データベースとを対比して、該当するエントリがある場合に、複数の認証処理部のいずれかにパケットを転送するパケット中継装置により、解決することができる。

本発明では、ネットワーク認証システムにおいてＭＡＣアドレス認証を行う場合に、ＭＡＣアドレス認証を行うパケット中継装置のＣＰＵに余計な負荷を軽減する効果がある。

以下本発明の実施の形態について、実施例を用い図面を参照しながら説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。

まず、図１を参照して、ネットワーク認証システムを説明する。ここで、図１はネットワーク認証システムのハードウェアブロック図およびパケット中継装置の機能ブロック図である。

図１において、ネットワーク認証システム１０００は、パケットを中継するパケット中継装置３００に対して、４台の端末１０と、２台の認証サーバ７００と、２式の基幹ネットワーク４００を接続して構成されている。基幹ネットワーク４００は、ネットワーク認証システム１０００を利用して、基幹ネットワーク４００への接続を認証された端末のみが接続できる。認証サーバ７００は、端末１０のネットワークへの接続可否を判定するための認証データベースを保持している。認証サーバ７００の図示しない認証データベースは、ＭＡＣアドレス認証用には通信を許可するＭＡＣアドレス、ＩＥＥＥ８０２.１Ｘ認証およびＷｅｂ認証用にはユーザ名、パスワード情報を保持する。認証サーバ７００は、端末１０が認証要求した場合に、認証データベースに登録している情報と一致するか判定を行う。

パケット中継装置３００は、端末１０−１〜１０−４のいずれかがネットワーク接続しようとしたとき、認証サーバ７００−１または７００−２に通信許可された端末のみを基幹ネットワーク４００に接続する。

端末１０−１は、メインフレーム端末として起動時にはＭＡＣアドレス認証対象端末、ＴＣＰ／ＩＰ端末として起動時にはＷｅｂ認証対象端末として動作する。端末１０−２は、ＭＡＣ認証対象の端末として動作する。端末１０−３は、ＩＥＥＥ８０２.１Ｘ認証対象の端末として動作する。端末１０−４は、Ｗｅｂ認証対象の端末として動作する。

パケット中継装置３００は、ハードウェア部１００とソフトウェア部２００で構成される。ハードウェア部１００は、認証前の端末から送信されたパケットを廃棄またはソフトウェア部１００に転送を行う認証前パケット処理部１１０と、認証サーバに通信許可された端末から送信されるパケットを処理する認証成功パケット処理部１２０で構成される。

認証成功パケット処理部１２０は、認証サーバに通信許可された端末から送信されるパケット種別を登録した認証成功パケット動作ＤＢを保持している。認証成功パケット処理部１２０は、受信したパケットが通信許可されたパケットであるかを受信したパケットと認証成功パケット動作ＤＢ１２１を照合して、一致した場合、基幹ネットワーク４００−１や４００−２に中継する。認証成功パケット処理部１２０は、受信したパケットが通信許可されたパケットであるかを受信したパケットと認証成功パケット動作ＤＢ１２１を照合して、一致しない場合、認証前パケット処理部１１０に転送する。

認証前パケット処理部１１０は、認証前の端末から受信したパケットをソフトウェア部に転送するパケット種別を登録した認証前パケット動作ＤＢ１１１を保持している。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１を照合して、一致した場合、ソフトウェア部２００に転送する。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１を照合して、一致しない場合、パケットを廃棄する。

ソフトウェア部２００は、認証前パケット処理部１１０から転送されたパケットを各認証処理部に振り分ける認証前振り分け部２４０、ＭＡＣアドレス認証の処理を行うＭＡＣアドレス認証処理部２１０、Ｗｅｂ認証の処理を行うＷｅｂ認証処理部２２０、ＩＥＥＥ８０２.１Ｘ認証を行うＩＥＥＥ８０２.１Ｘ認証処理部２３０から構成される。

認証前パケット振り分け部２４０は、認証前パケット処理部１１０から受けたパケットがＭＡＣアドレス認証、Ｗｅｂ認証、ＩＥＥＥ８０２.１Ｘ認証のどの処理を行う対象のパケットであるかを判定し、ＭＡＣアドレス認証処理部２１０、Ｗｅｂ認証処理部２２０、ＩＥＥＥ８０２.１Ｘ認証処理部２３０のいずれかにパケットを転送する。

ＭＡＣアドレス認証処理部２１０は、パケット種別毎に選択する認証サーバ７００を登録する認証サーバ選択ＤＢ２１１を保持する。ＭＡＣアドレス認証処理部２１０は、パケットを受けるとパケットと認証サーバ選択ＤＢ２１１を照合して、認証を行う認証サーバ７００を選択する。

基幹ネットワーク４００−１にはＴＣＰ／ＩＰ通信が可能な２台のアプリケーションサーバ５００が接続されている。基幹ネットワーク４００−２にはメインフレーム６００が接続されている。

図２を参照して、認証前のパケットの動作を規定した認証前パケット動作ＤＢを説明する。ここで、図２は認証前パケット動作ＤＢを説明する図である。図２において、認証前パケット動作ＤＢ１１１は、パケット中継装置３００で認証処理を行うためのパケットの種別と動作を設定している。エントリはＴ１Ｅ１〜Ｔ１Ｅ５である。エントリには認証対象パケット条件１１１１および対象パケットの動作１１１２を設定している。一部を説明すれば、Ｔ１Ｅ１には認証対象パケット条件としてはイーサタイプが０ｘ８０Ｄ５で、動作としてはＭＡＣ認証対象パケットとしてＳ／Ｗ２００行きと設定している。Ｔ１Ｅ５には認証対象パケット条件としてはＴＣＰ宛先ポート番号が８０（ｈｔｔｐ）および４４３（ｈｔｔｐｓ）で、動作としてはＷｅｂ認証対象パケットとしてＳ／Ｗ２００行きと設定している。なお、Ｔ１Ｅ４のＥＡＰ（Extensible Authentication Protocol）は、ＩＥＥＥ８０２.１Ｘ認証処理のパケットである。図２は一例であり、認証対象パケット条件１１１１としては、認証対象パケットの任意のフィールドを設定可能である。例えば、レイヤ２ヘッダのフィールドであるイーサタイプ、ＭＡＣアドレス等や、レイヤ３ヘッダのフィールドである送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル番号等や、レイヤ４ヘッダのフィールドであるＴＣＰ／ＵＤＰの宛先ポート番号、送信元ポート番号等の各種フィールドのいずれか、もしくは、その組合せを認証対象パケット条件１１１１として設定することができる。認証前パケット処理部１１０は、これら認証対象パケット条件１１１１に合致するパケットを対応する動作１１１２に基づいて処理する。このため、パケットの種別に基づいて、どの種類の認証をすべきパケットであるかを判定可能となる。また、認証対象パケット条件１１１１に合致しないパケットをソフトウェア部２００に転送しないことで不要な認証処理を行うことを回避することができる。

図３を参照して、ＭＡＣアドレス認証対象パケットの種別毎に認証要求先の認証サーバを選択する認証サーバ選択ＤＢを説明する。ここで、図３は認証サーバ選択ＤＢを説明する図である。図３において、認証サーバ選択ＤＢ２１１には、パケット中継装置３００でＭＡＣアドレス認証処理を行うときに認証要求を行う認証サーバ７００を選択するための設定をしている。エントリはＴ２Ｅ１〜Ｔ２Ｅ３である。エントリには認証対象パケット条件２１１１および対象パケットの動作２１１２を設定している。一部を説明すれば、Ｔ２Ｅ１には認証対象パケット条件としてはイーサネットタイプが０ｘ８０Ｄ５で、動作としては認証サーバ７００−１に認証要求をする。また、認証対象パケット条件２１１１には、図２の認証対象パケット条件１１１１と同様に認証対象パケットの任意のフィールドを設定可能である。

図４を参照して、認証が成功した端末から送信される全パケット、もしくは、認証が成功した端末から送信されるパケットのうち特定アプリケーションのパケットに対して通信許可する場合の認証成功パケット動作ＤＢを説明する。ここで、図４は認証成功パケット動作ＤＢを説明する図である。図４において、認証成功パケット動作ＤＢ１２１には、パケット中継装置３００で認証が成功して中継許可をするパケットの種別が登録されている。未登録のパケットについては、認証前パケットとして、認証前パケット処理部１１０で処理される。エントリはＴ３Ｅ１〜Ｔ３Ｅ４である。エントリにはパケット条件１２１１および対象パケットの動作１２２２を設定している。一部を説明すれば、Ｔ３Ｅ１にはパケット条件は送信元ＭＡＣアドレスがＡで、動作には中継すると設定している。ここで、送信元ＭＡＣアドレスＡは、認証成功した端末のＭＡＣアドレスである。この場合、認証が成功した端末から送信される全パケットが中継される。また、Ｔ３Ｅ３にはパケット条件は送信元ＭＡＣアドレスがＣでＵＤＰポート宛先ポート番号５００１〜５３００、動作には中継すると設定している。この場合は、認証が成功した端末から送信されるパケットのうち、特定のアプリケーションのパケットのみが中継される。

図５を参照して、パケット中継装置の処理動作を説明する。ここで、図５はパケット中継装置のフローチャートである。図５に従って、ＭＡＣアドレス認証を中心として認証対象パケット選択の動作について説明する。図５において、まずパケット中継装置３００は、端末１０からパケットを受信する（Ｓ１０１）。パケット中継装置３００の認証成功パケット処理部１２０は、認証成功パケットパケット動作ＤＢ１２１に登録されているか判定する（Ｓ１０２）。ＹＥＳのとき、認証成功パケット処理部１２０は、中継処理を実行し（Ｓ１１１）、終了する。

ステップ１０２でＮＯのとき、認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１の認証対象パケット条件に一致するエントリがあるか照合する（Ｓ１０３）。一致するエントリが無い場合（ＮＯ）、パケットを廃棄し（Ｓ１１２）、終了する。一致するエントリがある場合（Ｓ１０３：ＹＥＳ）、認証前パケット処理部１１０は、そのエントリの動作１１１２に基づいてどの種類の認証対象パケットであるかを判定し、ソフトウェア部２００の認証前パケット振り分け部２４０にパケットを転送する。パケット振り分け部２４０は、認証前パケット処理部１１０の判定結果に基づいて、受信した認証対象パケットをＭＡＣアドレス認証処理部２１０またはＷｅｂ認証処理部２２０またはＩＥＥＥ８０２.１Ｘ認証処理部２３０へ転送する（Ｓ１０４）。Ｗｅｂ認証対象パケットであるとき、パケット振り分け部２４０は、Ｗｅｂ認証処理部２２０に認証処理を実行させる（Ｓ１１３）。ステップ１０４でＩＥＥＥ８０２.１Ｘ認証対象パケットであるとき、パケット振り分け部２４０は、ＩＥＥＥ８０２.１Ｘ認証処理部２３０に認証処理を実行させる（Ｓ１１４）。

ステップ１０４でＭＡＣアドレス認証対象パケットであるとき、パケット振り分け部２４０は、ＭＡＣアドレス認証処理部２１０に転送し、ＭＡＣアドレス認証処理部２１０は、認証サーバ選択ＤＢ２１１に従って該当の認証サーバを選択し、受信したパケットの送信元ＭＡＣアドレスおよび必要であればイーサネットタイプ、ＩＰアドレス、ＴＣＰ／ＵＤＰポート番号等を認証情報として、認証サーバ７００に認証要求する（Ｓ１０６）。認証サーバ７００は、認証処理を行い、認証結果をパケット中継装置３００に送信する。認証結果には認証成功または認証失敗の情報を含む。ＭＡＣアドレス認証処理部２１０は、認証サーバ７００から受けた認証結果が認証成功であるか認証失敗であるかを確認する（Ｓ１０７）。認証失敗になったとき（ＮＯ）、ＭＡＣアドレス認証処理部２１０は、パケットを廃棄し（Ｓ１１６）、終了する。ステップ１０７で認証成功になった場合（ＹＥＳ）、ＭＡＣアドレス認証処理部２１０は、認証成功パケット動作ＤＢ１２１のパケット条件１２１１に認証端末の送信元ＭＡＣアドレスおよび認証サーバから指示があればイーサネットタイプ、ＩＰアドレス、ＴＣＰ／ＵＤＰポート番号等のアプリケーション条件を登録し、動作１２２２に中継と登録する（Ｓ１０８）。ＭＡＣアドレス認証処理部２１０は、認証対象パケットの送信元ＭＡＣアドレスと送信元ＩＰアドレスでＡＲＰポーリングを開始し（Ｓ１０９）、終了する。

図６を参照して、ネットワーク認証システムでメインフレーム端末のみをＭＡＣアドレス認証を行う処理を説明する。ここで、図６は認証処理の流れを説明するブロック図である。なお、図６および後述する図７、図８において、認証成功パケット動作ＤＢ１２１は、初期値として空であるとして説明する。

図６において、端末１０−４は、ＴＣＰ／ＩＰ端末であり、プロトコルＴＣＰ、宛先ポート番号２３のｔｅｌｎｅｔのパケットをパケット中継装置３００に送信する。

パケット中継装置３００の認証成功パケット処理部１２０は、認証成功パケット動作ＤＢ１２１に端末１０−４のＭＡＣアドレスの登録が無いので、認証前端末と判定する。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１と照合し、認証対象パケットでは無いと判定してパケットを廃棄する（図中「１」）。

一方端末１０−１は、メインフレーム端末でもあり、イーサタイプ０ｘ８０Ｄ５のＳＮＡ（System Network Architecture）フレームをパケット中継装置３００に送信する。ここでＳＮＡフレームは、メインフレームのパケットを意味する。パケット中継装置３００の認証成功パケット処理部１２０は、認証成功パケット動作ＤＢ１２１に端末１０−１のＭＡＣアドレスの登録が無いので、認証前端末と判定する。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１と照合し、ＭＡＣ認証対象パケットであると判定する（「２」）。認証前パケット処理部１１０は、認証前パケット振り分け部２４０にパケットを転送する（「３」）。認証前パケット振り分け部２４０は、パケットがＭＡＣアドレス認証対象と判定し、ＭＡＣアドレス認証処理部２１０にパケットを転送する。ＭＡＣアドレス認証処理部２１０は、認証サーバ選択ＤＢ２１１とパケットを照合し、認証要求する認証サーバ７００−１を選択する。ＭＡＣアドレス認証処理部２１０は、パケットの送信元ＭＡＣアドレスを認証情報として認証サーバ７００−１に送信する。認証サーバ７００−１は、認証判定結果をパケット中継装置３００に送信する（「５」）。ＭＡＣアドレス認証処理部２１０は、認証判定結果が認証成功であったため、認証成功パケット動作ＤＢ１２１にパケットの送信元ＭＡＣアドレスを登録する（「６」）。以後、端末１０−１から送信されたパケットは認証成功パケット処理部１２０で中継と判定して基幹ネットワーク４００−２のメインフレーム６００と通信可能になる（「７」）。

図７を参照して、ネットワーク認証システムでＩＰｖ４パケットのみをＭＡＣアドレス認証対象パケットを行う処理を説明する。ここで、図７は認証処理の流れを説明するブロック図である。図７において、端末１０−２は、ＴＣＰ／ＩＰ端末である。端末１０−２はＩＰｖ６パケットをパケット中継装置３００に送信する。パケット中継装置３００の認証成功パケット処理部１２０は、認証成功パケット動作ＤＢ１２１に端末１０−２のＭＡＣアドレスの登録が無いので、認証前端末と判定する。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１と照合し、認証対象パケットでは無いと判定してパケットを廃棄する（「１」）。

次に、端末１０−２は、プロトコルＵＤＰ、宛先ポート番号５００１のパケットをパケット中継装置３００に送信する。パケット中継装置３００の認証成功パケット処理部１２０は、認証成功パケット動作ＤＢ１２１に端末１０−１のＭＡＣアドレスの登録が無いので、認証前端末と判定する。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１と照合し、ＭＡＣ認証対象パケットであると判定する（「２」）。認証前パケット処理部１１０は、認証前パケット振り分け部２４０にパケットを転送する（「３」）。認証前パケット振り分け部２４０は、パケットがＭＡＣアドレス認証対象と判定し、ＭＡＣアドレス認証処理部２１０にパケットを転送する。ＭＡＣアドレス認証処理部２１０は、認証サーバ選択ＤＢ２１１とパケットを照合し、認証要求する認証サーバ７００−１を選択する。ＭＡＣアドレス認証処理部２１０は、パケットの送信元ＭＡＣアドレスを認証情報として認証サーバ７００−１に送信する。

認証サーバ７００−１は、認証判定結果をパケット中継装置３００に送信する（「５」）。ＭＡＣアドレス認証処理部２１０は、認証判定結果が認証成功であったため、認証成功パケット動作ＤＢ１２１にパケットの送信元ＭＡＣアドレスを登録する（「６」）。ソフトウェア部２００は、端末１０−２のＩＰアドレスとＭＡＣアドレスの情報を記憶しているので、端末１０−２宛にＡＲＰポーリングを実施し、端末の有無を確認し続ける（「７」）。以後、端末１０−２から送信されたパケットは、認証成功パケット処理部１２０で中継と判定して基幹ネットワーク４００−１のアプリケーション用サーバ５００−１と通信可能になる（「８」）。

図８を参照して、ネットワーク認証システムでＩＰｖ４ｈｔｔｐパケットをＷｅｂ認証対象パケットにする処理を説明する。ここで、図８は認証処理の流れを説明するブロック図である。図８において、端末１０−４は、ＴＣＰ／ＩＰ端末である。端末１０−４は、プロトコルＴＣＰ、宛先ポート番号２３（ｔｅｌｎｅｔ）のパケットをパケット中継装置３００に送信する。パケット中継装置３００の認証成功パケット処理部１２０は、認証成功パケット動作ＤＢ１２１に端末１０−４のＭＡＣアドレスの登録が無いので、認証前端末と判定する。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１と照合し、認証対象パケットでは無いと判定してパケットを廃棄する（「１」）。

端末１０−４は、プロトコルＴＣＰ、宛先ポート番号８０のパケットをパケット中継装置３００に送信する。パケット中継装置３００の認証成功パケット処理部１２０は、認証成功パケット動作ＤＢ１２１に端末１０−４のＭＡＣアドレスの登録が無いので、認証前端末と判定する。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１と照合し、認証対象パケットをＷｅｂ認証パケットと判定する（「２」）。認証前パケット処理部１１０は、認証前パケット振り分け部２４０にパケットを転送する（「３」）。

認証前パケット振り分け部２４０は、パケットがＷｅｂ認証対象と判定し、Ｗｅｂ認証処理部２２０にパケットを転送する（「４」）。Ｗｅｂ認証処理部２２０は、図示しない認証サーバ選択ＤＢとパケットを照合し、認証要求する認証サーバ７００−１を選択する。Ｗｅｂ認証処理部２２０は、端末１０−４に対応するユーザ名とパスワードを認証情報として認証サーバ７００−１に送信する。認証サーバ７００−１は、認証判定結果をパケット中継装置３００に送信する（「５」）。Ｗｅｂ認証処理部２２０は、認証判定結果が認証成功であったため、認証成功パケット動作ＤＢ１２１にパケットの送信元ＭＡＣアドレス「Ｄ」を登録する（「６」）。以後、端末１０−４から送信されたパケットは、認証成功パケット処理部１２０で中継と判定して基幹ネットワーク４００−１のアプリケーション用サーバ５００−１と通信可能になる（「７」）。

なお、ＩＥＥＥ８０２.１Ｘ認証も図８と同様に処理される。また、パケット中継装置３００のソフトウェア部２００に認証前パケット振り分け部２４０を設けたが、ハードウェア部１００の認証前パケット処理部１１０が各認証処理部２１０〜２３０に振り分けても良い。

本実施例に拠れば、ネットワーク認証システムにおいてＭＡＣアドレス認証を行う場合に、ＭＡＣアドレス認証を行うパケット中継装置のＣＰＵに余計な負荷を軽減できる。また１台の端末でアプリケーションや起動するＯＳ毎に複数の認証方式を選択することを可能にする。

図９を参照して、ネットワーク認証システムでIPv4 httpパケットをMAC認証対象パケットにする実施例を説明する。ここで、図９は認証処理の流れを説明するブロック図である。図９において、端末１０−２は、ＴＣＰ／ＩＰ端末である。端末１０−２は、プロトコルＴＣＰ、宛先ポート番号８０のパケットをパケット中継装置３００に送信する。パケット中継装置３００の認証成功パケット処理部１２０は認証成功パケット動作ＤＢ１２１に端末１０−２のＭＡＣアドレスの登録が無いので、認証前端末と判定する。認証前パケット処理部１１０は、受信したパケットと認証前パケット動作ＤＢ１１１と照合し、MAC認証対象パケットであると判定する（「１」）。認証前パケット処理部１１０は、認証前パケット振り分け部２４０にパケットを転送する（「２」）。

認証前パケット振り分け部２４０は、パケットがMACアドレス認証対象と判定し、MACアドレス認証処理部２１０にパケットを転送する。MACアドレス認証処理部２１０は、認証サーバ選択ＤＢ２１１とパケットを照合し、認証要求する認証サーバ７００−１を選択する。MACアドレス認証処理部２１０は、パケットの送信元MACアドレスを認証情報として認証サーバ７００−１に送信する。認証サーバ７００−１は、認証判定結果をパケット中継装置３００に送信する（「４」）。MACアドレス認証処理部２１０は、認証判定結果が認証失敗であったため、端末１０−２にMACアドレス登録申請サーバにジャンプするようにｈｔｔｐパケットを送信する（「５」）。端末１０−２は、MACアドレス登録申請サーバ８００にアクセスする（「６」）。

ネットワーク認証システムのハードウェアブロック図およびパケット中継装置の機能ブロック図である。認証前パケット動作ＤＢを説明する図である。認証サーバ選択ＤＢを説明する図である。認証成功パケット動作ＤＢを説明する図である。パケット中継装置のフローチャートである。認証処理の流れを説明するブロック図である（その１）。認証処理の流れを説明するブロック図である（その２）。認証処理の流れを説明するブロック図である（その３）。認証処理の流れを説明するブロック図である（その４）。

符号の説明

１０…端末、１００…ハードウェア部、１１０…認証前パケット処理部、１１１…認証前パケット動作ＤＢ、１２０…認証成功パケット処理部、１２１…認証成功パケット動作ＤＢ、２００…ソフトウェア部、２１０…ＭＡＣアドレス認証処理部、２１１…認証サーバ選択ＤＢ、２２０…Ｗｅｂ認証処理部、２３０…ＩＥＥＥ８０２.１Ｘ認証部、２４０…認証前パケット振り分け部、３００…パケット中継装置、４００…基幹ネットワーク、５００…アプリケーション用サーバ、６００…メインフレーム、７００…認証サーバ、８００…ＭＡＣアドレス登録申請サーバ、１０００…ネットワーク認証システム。

Claims

端末装置を収容し、この端末装置と認証装置を含む情報処理装置とのパケットの送受信を中継するパケット中継装置において、
前記認証装置に認証要求を送信し、かつ認証判定を受信する複数の認証処理部と、データベースを参照して、未認証端末からのパケットを前記認証処理部の一つに転送する認証前パケット処理部と、からなり、
前記認証前パケット処理部は、未認証端末からのパケットの種別と前記データベースとを対比して、該当するエントリがある場合に、前記複数の認証処理部のいずれかに前記パケットを転送することを特徴とするパケット中継装置。
請求項１に記載のパケット中継装置であって、
前記パケットの種別は、レイヤ２ヘッダもしくはレイヤ３ヘッダもしくはレイヤ４ヘッダのいずれかのフィールド、または、前記フィールドの組合せにより特定されることを特徴とするパケット中継装置。
請求項１に記載のパケット中継装置であって、
前記認証前パケット処理部は、前記該当するエントリがない場合に、前記パケットを廃棄することを特徴とするパケット中継装置。
請求項１に記載のパケット中継装置であって、
さらに、第２のデータベースを参照して、この第２のデータベースに記録された送信元アドレスに記載のないパケットを前記認証前パケット処理部に転送する認証成功パケット処理部を含むことを特徴とするパケット中継装置。
請求項１または請求項４に記載のパケット中継装置であって、
前記複数の認証処理部に、ＭＡＣアドレス認証処理部を含むパケット中継装置。
請求項１、請求項２または請求項３のいずれか一つに記載の中継装置であって、
前記認証処理部は、ソフトウェアで実現し、前記認証前パケット処理部は、ハードウェアで実現することを特徴とするパケット中継装置。
請求項１に記載のパケット中継装置であって、
認証対象の端末から送信されるパケットの中で、端末のＭＡＣアドレスとＩＰアドレスが識別可能なパケットのみを認証対象パケットにすることを特徴とするパケット中継装置。
請求項１に記載のパケット中継装置であって、
受信した認証対象パケット毎に別々の認証サーバへ問い合わせることを特徴とするパケット中継装置。
請求項１に記載のパケット中継装置であって、
認証サーバの判定結果が通信許可になった場合に、端末から送信される全てのパケットを通信許可するのではなく、予め定めた特定のパケットのみを通信許可することを特徴とするパケット中継装置。
請求項１に記載のパケット中継装置であって、
認証サーバの判定結果が通信拒否になった場合に、パケット中継装置から端末に対して動作を指示するパケットを送信することを特徴とするパケット中継装置。