JP4714111B2 - 管理計算機、計算機システム及びスイッチ - Google Patents

Description

本発明は、ネットワークを管理する管理計算機に関し、特にネットワークを構築するスイッチにクライアント認証技術を設定する管理計算機に関する。

今日、ネットワークのセキュリティを確保することが、特に企業のネットワークを構築する場合に重要である。従って、多くの企業では、利用者端末がネットワークに接続する権限があるか否かを認証するクライアント認証機能を備えるルータ又はスイッチ（以下、ルータ又はスイッチを総称して、スイッチという）が導入されている。クライアント認証機能を備えるスイッチは、ネットワークへのアクセスが許可されない利用者端末をネットワークに接続させず、当該利用者端末を個別のネットワークに隔離できる。

クライアント認証機能を備えるスイッチは、そのスイッチに予め登録された利用者端末の識別子を用いて、スイッチに接続された利用者端末がネットワークに接続する権限を有するか否かを認証する。なお、クライアント認証を備えるスイッチは、利用者端末から送信される電子証明書の一部が、スイッチに予め記憶される電子辞書の一部と該当するか否かを判定する。これによって、クライアント認証機能を備えるスイッチが、利用者端末がネットワークに接続する権限を有するか否かを認証するようにしてもよい。

クライアント認証は、認証プロセス及び認可プロセスから構成される。認証プロセスは、スイッチに接続された利用者端末を特定し、特定された利用者端末がネットワークに接続する権限を有するか否かを認証するプロセスである。認可プロセスは、認証された利用者端末をネットワーク内の他の端末と通信可能にするプロセスである。

クライアント認証システムの代表的な例として、ＩＥＥＥ８０２．１Ｘで定められたシステムが知られている。このクライアント認証システムは、利用者端末がネットワークに接続する接続点となるスイッチ及びその利用者端末を認証する認証サーバを備える。

ＩＥＥＥ８０２．１Ｘのクライアント認証では、スイッチは、利用者端末からの接続要求を受信すると、その接続要求を認証サーバであるＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｌ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバに転送する。ＲＡＤＩＵＳサーバは、接続要求を受信すると、その利用者端末がネットワークに接続する権限を有するか否かを認証し、認証結果をスイッチに送信する。そして、スイッチは、認証結果を受信すると、受信した認証結果に基づいて、利用者端末から送信されたフレームを中継するか否かを決定する。

また、ＩＥＥＥ８０２．１Ｘのクライアント認証を用いて、利用者端末を認証する処理と、利用者端末を該当するＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に収容する処理を同時に実行する技術（例えば、ダイナミックＶＬＡＮ）が知られている。

具体的には、スイッチは、利用者端末からの接続要求を認証サーバであるＲＡＤＩＵＳサーバに転送する。ＲＡＤＩＵＳサーバは、接続要求を受信すると、利用者端末がネットワークに接続する権限を有するか否かを認証するとともに、利用者端末が属するＶＬＡＮを決定する。そして、ＲＡＤＩＵＳサーバは、利用者端末が属するＶＬＡＮの識別子を認証結果に含めて、認証結果をスイッチに送信する。スイッチは、認証結果を受信すると、認証結果に含まれるＶＬＡＮ識別子に基づいて、利用者端末が接続されたポートに、利用者端末が属するＶＬＡＮを割り当てる。

また、スイッチに備わる同一のポートに接続された複数の利用者端末のＭＡＣアドレスに基づいて、予め指定されたＶＬＡＮに利用者端末を収容するＭＡＣ‐ＶＬＡＮ機能とＩＥＥＥ８０２．１Ｘによるクライアント認証機能を組み合わせた技術も知られている。

従来のクライアント認証技術では、ネットワーク運用管理担当者が、スイッチごとにクライアント認証をするか否かを設定する必要があるので、二つの課題がある。

第一の課題は、ネットワーク運用管理担当者の作業負荷が増大することである。第二の課題は、ネットワーク運用管理担当者が誤って設定すると、ネットワークのセキュリティが低下することである。

まず、第一の課題について説明する。

運用中のネットワークに新たにクライアント認証機能が導入される場合、又は新たに構築されたネットワークにクライアント認証機能が導入される場合、ネットワーク運用管理担当者は、ネットワークを構築するスイッチごとにそのスイッチの動作を制御する構成定義を更新又は生成しなければならない。

なお、ネットワーク運用管理担当者は、更新又は生成された構成定義と更新又は生成される前の構成定義とが矛盾しないか、及び複数のスイッチ間の構成定義が矛盾しないかを確認しなければならない。

また、ネットワークを介した業務が拡大するにつれて、ネットワークは、大規模化及び複雑化している。ネットワークの大規模化及び複雑化に伴って、ネットワーク内のスイッチの数も増加している。

このため、ネットワーク運用管理担当者が複数のスイッチ間の構成定義が矛盾しないかを確認する作業が増え、ネットワーク運用管理担当者の作業負荷が増大している。

次に、第二の課題について説明する。

クライアント認証技術は、ネットワークに接続する権限のある利用者端末のみをネットワークにアクセスさせる技術である。これによって、ネットワークのセキュリティが確保される。従って、ネットワーク運用管理担当者がスイッチの構成定義を誤って設定すると、ネットワークのセキュリティが低下する場合がある。

例えば、ネットワーク運用管理担当者が、クライアント認証を実行するように設定すべきポートでクライアント認証が実行されないように構成定義を誤って設定した場合、ネットワークのセキュリティが低下する。

また、ネットワーク運用管理担当者が、いずれかのスイッチ又はいずれかのポートのクライアント認証を実行することを構成定義に設定し忘れた場合、ネットワークのセキュリティが低下する場合がある。具体的には、ネットワーク運用管理担当者が、スイッチの構成定義をそのスイッチに反映することを忘れた場合等がある。

従来のクライアント認証技術では、人間が、スイッチに備わるポートでクライアント認証が実行されるか否かを設定するので、人的要因による設定の誤り及び設定の漏れを避けることはできない。よって、従来のクライアント認証技術では、ネットワークのセキュリティが低下する可能性がある。また、そのネットワークのセキュリティが低下する可能性を低減させるためには、ネットワーク運用管理担当者のチェック作業が増加せざるを得ない。

本発明は、上記二つの課題を解決し、企業のネットワークを運用管理するためのコストを削減するとともに、人的要因によって設定の誤り及び設定の漏れを低減し、ネットワークのセキュリティを向上させることを目的とする。

本発明の代表的な一形態によると、演算処理をするプロセッサと、前記プロセッサに接続される記憶部と、前記プロセッサに接続され、ネットワークに接続されるインタフェースと、を備え、前記ネットワークを構築するスイッチを管理する管理計算機であって、前記記憶部は、前記スイッチの動作を制御する構成定義情報、前記スイッチ間の接続関係を示すネットワーク構成情報及び前記スイッチに備わるポートに接続される利用者端末が前記ネットワークに接続する権限があるか否かを認証するクライアント認証を前記各ポートで実行するか否かを示すポート設定情報を格納し、前記プロセッサは、前記ネットワーク構成情報に基づいて、前記スイッチに備わる各ポートで前記クライアント認証が実行されるか否かを判定し、前記判定結果に基づいて、前記各ポートで前記クライアント認証が実行されるか否かを前記ポート設定情報に設定することを特徴とする。

本発明の一形態によると、ネットワーク運用管理担当者の作業負荷を低減することによって、ネットワークの運用管理コストを削減する。そして、人的要因による設定の誤り及び設定漏れによって、ネットワークのセキュリティが低下することを抑制する。

（第一実施形態）
本発明の第一実施形態のネットワーク運用管理システムについて図１〜図９を用いて説明する。

図１は、本発明の第一実施形態のネットワーク運用管理システムの構成を示す図である。

本発明の第一実施形態のネットワーク運用管理システムは、管理サーバ１００、認証サーバ２００、複数のスイッチ３００Ａ〜３００Ｚ及び利用者端末４００を備える。なお、スイッチ３００Ａ〜３００Ｚを総称してスイッチ３００という。また、本実施の形態では、スイッチとしたが、ルータであってもよい。

管理サーバ１００、認証サーバ２００及び利用者端末４００は、スイッチ３００によって構築されるネットワークに接続される。

管理サーバ１００は、ネットワークを管理する計算機である。具体的には、管理サーバ１００は、ネットワークの構成情報を収集する。そして、管理サーバ１００は、管理者からの指示及び収集されたネットワークの構成情報の少なくとも一方に基づいて、ネットワーク内の各スイッチ３００の設定情報である構成定義１１５０を生成する。そして、管理サーバ１００は、生成された構成定義１１５０を対応する各スイッチ３００に送信し、各スイッチ３００に記憶される構成定義３１１０に反映する。なお、管理サーバ１００については、図２で詳細を説明する。

認証サーバ２００は、利用者端末４００がネットワークに接続する権限を有するか否かを認証する計算機であって、図示しないＣＰＵ、記憶部及びネットワークインタフェースを備える。

スイッチ３００は、ネットワーク内で通信される情報をその情報の宛先に転送する装置である。スイッチ３００は、複数のポートを備える。例えば、スイッチ３００Ｂは、ポート１〜４を備える。スイッチ３００Ｂに備わるポート１には、スイッチ３００Ｚが接続され、スイッチ３００Ｂに備わるポート４には、スイッチ３００Ａが接続される。スイッチ３００Ｂに備わるポート２及びポート３は、利用者端末４００を接続可能なポートである。

また、スイッチ３００は、管理サーバ１００によって反映された構成定義３１１０において指定されたポートでクライアント認証機能を有効化する。スイッチ３００に備わるポートでクライアント認証機能が有効化された場合、スイッチ３００は、そのポートに接続された利用者端末４００がネットワークに接続することを制御する。

具体的には、クライアント認証機能が有効化されたポートに接続された利用者端末４００は、スイッチ３００を介して認証サーバ２００に接続要求を送信する。そして、認証サーバ２００は、接続要求を受信すると、利用者端末４００がネットワークに接続する権限を有するか否かを認証する。そして、認証サーバ２００は、ネットワークに接続する権限を有する利用者端末４００であると認証すると、その利用者端末４００に接続されたスイッチ４００に接続を許可する認証結果を送信する。一方、認証サーバ２００は、ネットワークに接続する権限を有さない利用者端末４００であると認証すると、その利用者端末４００に接続された利用者端末４００に接続を許可できない認証結果を送信する。

そして、スイッチ３００は、接続を許可する認証結果を受信すると、利用者端末４００のネットワークへの接続を許可し、一方、スイッチ３００は、接続を許可できない認証結果を受信すると、利用者端末４００のネットワークへの接続を許可しない。

利用者端末４００は、図示しないＣＰＵ、記憶部及びネットワークインタフェースを備える計算機であって、例えば、パーソナルコンピュータ及び携帯電話機である。

図２は、本発明の第一実施形態の管理サーバ１００のブロック図である。

管理サーバ１００は、ＣＰＵ１０１０、メモリ１０２０、外部記憶装置１０３０、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）インタフェース１０４０、及びネットワークインタフェース（ＮＷＩ／Ｆ）１０７０を備える。なお、ＣＰＵ１０１０、メモリ１０２０、外部記憶装置１０３０、Ｉ／Ｏインタフェース１０４０及びネットワークインタフェース１０７０は、各々内部バスによって接続される。

また、外部記憶装置１０３０は、例えばＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。Ｉ／Ｏインタフェースには、入出力装置が接続可能である。Ｉ／Ｏインタフェース１０４０には、キーボード１０５０及びマウス１０６０等が接続される。管理計算機１００は、ネットワーク内のスイッチ３００とパケットをＮＷＩ／Ｆ１０７０を介して送受信する。

メモリ１０２０には、ネットワーク構成情報収集・管理プログラム１０８０、ポート設定情報生成プログラム１０９０、構成定義生成・反映プログラム１１００、ネットワーク構成情報１１１０、スイッチ情報１１２０、設定ポリシー１１３０、ポート設定情報１１４０及び構成定義１１５０が格納される。

なお、ＣＰＵ１０１０は、メモリ１０２０に格納されたネットワーク構成情報収集・管理プログラム１０８０、ポート設定情報生成プログラム１０９０及び構成定義生成・反映プログラム１１００を読み出し、実行する。

ネットワーク構成情報収集・管理プログラム１０８０は、ネットワーク構成情報１１１０を収集し、収集したネットワーク構成情報１１１０を管理する。ポート設定情報生成プログラム１０９０は、ポート設定情報１１４０を編集する。構成定義生成・反映プログラム１１００は、構成定義１１５０をスイッチ３００ごとに生成し、生成された構成定義１１５０を各スイッチ３００に送信し、各スイッチ３００に記憶される構成定義３１１０に反映する。

ネットワーク構成情報１１１０は、ネットワーク内の各スイッチ３００の接続関係を示す。なお、ネットワーク構成情報１１１０については、図７で詳細を説明する。スイッチ情報１１２０は、各スイッチ３００がクライアント認証機能を有するか否かを示す。なお、スイッチ情報１１２０については、図６で詳細を説明する。

設定ポリシー１１３０は、管理者によって設定される。設定ポリシーには、例えば、例外となる条件が設定される。具体的には、設定ポリシー１１３０には、クライアント認証実行をするか否かを自動で設定しないスイッチ及びポート等が設定される。

ポート設定情報１１４０には、スイッチ３００に備わる各ポートがクライアント認証機能を実行するか否かの情報がスイッチ３００ごとに登録される。なお、ポート設定情報１１４０については、図８で詳細を説明する。構成定義１１５０は、各スイッチ３００の設定を示す。

図３は、本発明の第一実施形態のスイッチ３００のブロック図である。

スイッチ３００は、ＣＰＵ３０１０、メモリ３０２０、外部記憶装置３０３０、Ｉ／Ｏインタフェース３０４０及びパケット・フレーム転送機能部３０５０を備える、なお、ＣＰＵ３０１０、メモリ３０２０、外部記憶装置３０３０、Ｉ／Ｏインタフェース３０４０及びパケット・フレーム転送機能部３０５０は、各々内部バスによって接続される。また、外部記憶装置３０３０は、例えばフラッシュメモリ等である。

パケット・フレーム転送機能部３０５０は、クライアント認証を実行するよう指定されたポートでパケット又はフレーム（以下、総称してフレームという）を受信した場合、受信したフレームが認証された利用者端末４００から送信されたフレームかを判定する。

そして、パケット・フレーム転送機能部３０５０は、認証された利用者端末４００から送信されたフレームであると判定すると、その利用者端末４００から送信されたフレームを中継する。

一方、パケット・フレーム転送機能部３０５０は、認証が許可されない利用者端末４００から送信されたフレームであると判定すると、その利用者端末４００から送信されたフレームを中継しない。

メモリ３０２０には、隣接機器情報処理プログラム３０６０、クライアント認証処理プログラム３０７０、構成定義処理プログラム３０８０、隣接機器情報３０９０、認証機能設定情報３１００及び構成定義３１１０が格納される。

隣接機器情報処理プログラム３０６０は、隣接機器情報３０９０を生成する。また、隣接機器情報処理プログラム３０６０は、隣接機器情報３０９０を周期的に管理サーバ１００に送信する。なお、隣接機器情報処理プログラム３０６０は、周期的に管理サーバ１００に送信するのではなく、隣接機器情報３０９０が変更された場合に、管理サーバ１００に送信するようにしてもよい。

クライアント認証処理プログラム３０７０は、利用者端末４００から受信した接続要求を認証サーバ２００とスイッチ３００との間のプロトコルのメッセージに変換し、変換した接続要求を認証サーバ２００に送信する。そして、クライアント認証処理プログラム３０７０は、認証サーバ２００から受信した認証結果に基づいて、認証機能設定情報３１００を生成又は更新する。

構成定義処理プログラム３０８０は、管理サーバ１００から受信した構成定義１１５０を構成定義３１１０としてメモリ３０２０に格納する。そして、構成定義処理プログラム３０８０は、構成定義３１１０の設定情報をパケット・フレーム転送機能部３０５０に設定する。

隣接機器情報３０９０は、スイッチ３００に備わるポートに直接接続された対向スイッチに対してクライアント認証を実行するか否かを示す。具体的には、隣接機器情報３０９０には、対向スイッチの一意な識別子、対向スイッチを接続するポート番号及びその対向スイッチがクライアント認証機能を有するか否かの情報が登録される。

認証機能設定情報３１００は、スイッチ３００に備わるどのポートでクライアント認証が実行されるか否かが登録される。具体的には、スイッチ３００に備わるポートの識別子であるポート番号及び各ポートでクライアント認証が実行されるか否かの情報が登録される。構成定義３１１０は、スイッチ３００の設定情報である。

図４は、本発明の第一実施形態の管理サーバ１００及びスイッチ３００のシーケンス図である。

クライアント認証機能を備えるネットワークを新たに構築する場合又は既存のネットワークにクライアント認証を新たに導入する場合について説明する。

スイッチ３００は起動されると、スイッチ情報及びリンク状態情報５００を管理サーバ１００に送信する（４００１及び４００２）。スイッチ情報は、スイッチ３００がクライアント認証を実行できるか否かを示す。具体的には、スイッチ情報には、スイッチ３００の一意な識別子及びクライアント認証を実行できるか否かの情報が含まれる。リンク状態情報５００は、スイッチ３００間の接続関係を示す。リンク状態情報５００については、図５で詳細を説明する。

管理サーバ１００は、スイッチ情報及びリンク状態情報５００を受信すると、リンク状態情報５００に基づいて、ネットワーク構成情報１１１０を生成する（４００３）。

具体的には、リンク状態情報５００に含まれるスイッチ３００の一意な識別子は、ネットワーク構成情報１１１０に含まれるスイッチ１１１０１に登録され、リンク状態情報５００に含まれるポートの識別子は、ネットワーク構成情報１１１０に含まれるポート１１１０２に登録され、リンク状態情報５００に含まれる対向スイッチの一意な識別子は、ネットワーク構成情報１１１０に含まれる対向スイッチ１１１０３に登録される。

なお、管理サーバ１００は、受信したスイッチ情報をスイッチ情報１１２０としてメモリ１０２０に格納する。

ネットワーク構成情報１１１０が生成された後、管理者は、設定ポリシー１１３０を管理サーバ１００に入力し（４００４）、管理サーバ１００にポート設定情報１１４０の設定を開始するよう指示する（４００５）。管理サーバ１００は、ネットワーク構成情報１１１０及び設定ポリシー１１３０に基づいて、ポート設定情報１１４０を生成する（４００６）。

そして、管理サーバ１００は、ポート設定情報１１４０に基づいて、管理サーバ１００に記憶される構成定義１１５０を生成する（４００７）。そして、管理サーバ１００は、生成された構成定義１１５０を構成定義３１１０を変更する必要があるスイッチ３００に送信し、生成された構成定義１１５０をスイッチ３００に記憶される構成定義３１１０に反映する（４００８）。

図５は、本発明の第一実施形態のリンク状態情報５００を示す図である。

リンク状態情報５００は、送信元スイッチ５００１、対象ポート５００２、接続先スイッチ５００３及び接続先ポート５００４を含む。

送信元スイッチ５００１には、リンク状態情報５００を管理サーバ１００に送信するスイッチ３００の識別子が登録される。対象ポート５００２には、リンク状態情報５００を管理サーバ１００に送信するスイッチ３００に備わるポートの識別子が登録される。接続先スイッチ５００３には、リンク状態情報５００を管理サーバ１００に送信するスイッチ３００に備わるポートのうち、対象ポート５００２に登録されるポートに直接接続される対向スイッチの識別子が登録される。

接続先スイッチ５００３には、対象ポート５００２に登録されるポートに直接接続される対向スイッチの識別子が登録される。接続先ポート５００４には、接続先スイッチ５００３に登録されるスイッチ３００に備わるポートのうち、対象ポート５００２に登録されるポートに直接接続されるポートの識別子が登録される。

図６は、本発明の第一実施形態のスイッチ情報１１２０を示す図である。

スイッチ情報１１２０は、スイッチ１１２０１及び認証機能１１２０２を含む。スイッチ１１２０１には、ネットワーク内のスイッチ３００の一意な識別子が登録される。

認証機能１１２０２には、各スイッチ３００がクライアント認証を実行できるか否かが登録される。具体的には、認証機能１１２０２に「可」が登録されているスイッチ３００は、クライアント認証を実行できる。一方、認証機能１１２０２に「否」が登録されているスイッチ３００は、クライアント認証を実行できない。

図７は、本発明の第一実施形態のネットワーク構成情報１１１０を示す図である。

ネットワーク構成情報１１１０は、リンク状態情報５００に基づいて生成される。ネットワーク構成情報１１１０は、スイッチ１１１０１、ポート１１１０２及び対向スイッチ１１１０３を含む。

スイッチ１１１０１には、ネットワーク内のスイッチ３００の一意な識別子が登録される。ポート１１１０２には、対向スイッチに直接接続されるポートの識別子が登録される。対向スイッチ１１１０３には、ポートに直接接続される対向スイッチの一意な識別子が登録される。

なお、図７に示すネットワーク構成情報１１１０は、対向スイッチに直接接続されるポートの識別子のみが、ポート１１１０２に登録されるが、各スイッチ３００に備わる全てのポートの識別子がポート１１１０２に登録されてもよい。この場合、対向スイッチに直接接続されないポートの対向スイッチ１１１０３には、対向スイッチが存在しないことを示す識別子が登録される。

具体的には、対向スイッチに直接接続されないポートを備えるスイッチ３００は、対向スイッチが存在しないことを示すリンク状態情報５００を管理サーバ１００に送信する。例えば、対向スイッチが存在しないことを示すリンク状態情報５００は、そのリンク状態情報５００に含まれる接続先スイッチ５００３及び接続先ポート５００４に、ＮＵＬＬが登録されている。

そして、管理サーバ１００は、リンク状態情報５００を受信すると、ネットワーク構成情報１１１０の該当するエントリの対向スイッチ１１１０３に対向スイッチが存在しないことを示す識別子（例えば、ＮＵＬＬ）を登録する。

なお、対向スイッチに直接接続されないポートとは、例えば、無効化されているポート及び利用者端末４００に接続されているポートである。

図８は、本発明の第一実施形態のスイッチ３００Ｄに対応するポート設定情報１１４０を示す図である。

ポート設定情報１１４０は、各スイッチ３００に備わるポートにおいて、クライアント認証を実行するか否かを示す。ポート設定情報１１４０は、ポート番号１１４０１及び認証有無１１４０２を含む。ポート番号１１４０１には、スイッチ３００に備わるポートの識別子である。認証有無１１４０２には、ポートでクライアント認証を実行するか否かが登録される。

図１及び図７を参照すると、スイッチ３００Ｄに備わるポート１及びポート２には利用者端末４００が接続され、スイッチ３００Ｄに備わるポート３には何も接続されない。そして、スイッチ３００Ｄに備わるポート４にポート３００Ｃが直接接続される。

従って、スイッチ３００Ｄに備わるポート１〜４のうち、対向スイッチが直接接続されず、利用者端末４００が接続可能なポート１、ポート２及びポート３でクライアント認証が実行されるようにポート設定情報１１４０が設定される。

なお、スイッチ３００ごとにポート設定情報１１４０が登録されている場合について説明したが、スイッチごとのポート設定情報１１４０を単一のポート設定情報１１４０にしてもよい。また、単一のポート設定情報１１４０の場合、ポート設定情報１１４０は、ネットワーク内のスイッチ３００の一意な識別子を含む。

図９は、本発明の第一実施形態のポート設定情報生成処理のフローチャートである。

まず、管理サーバ１００は、ネットワーク構成情報１１１０を参照し、ネットワーク構成情報１１１０に含まれるスイッチ１１１０１に登録されるスイッチ識別子Ｓを一つ選択する（８０１）。そして、管理サーバ１００は、ネットワーク構成情報１１１０に含まれるポート１１１０２に含まれるポート１１００２に登録されるポート識別子から、ステップ８０１の処理で選択されたスイッチ識別子Ｓのスイッチ３００に備わるポートのポート識別子Ｐを一つ選択する（８０２）。

管理サーバ１００は、ステップ８０１及びステップ８０２の処理で選択されたスイッチ識別子Ｓ及びポート識別子Ｐに基づいて、ネットワーク構成情報１１１０を検索し、選択されたポート識別子Ｐのポートに対向スイッチが接続されているか否かを判定する（８０３）。

ステップ８０３の処理で、選択されたポート識別子Ｐのポートに対向スイッチが接続されていると判定された場合、管理サーバ１００は、ステップ８０５の処理に進む。

一方、ステップ８０３の処理で、選択されたポート識別子Ｐのポートに対向スイッチが接続されていないと判定された場合、管理サーバ１００は、ステップ８０１の処理で選択されたスイッチ識別子Ｓのスイッチ３００に対応するポート設定情報１１４０に含まれるポート番号１１４０１のうち、ステップ８０２の処理で選択されたポート識別子Ｐに該当するエントリの認証有無１１４０２に「有り」を登録し（８０４）、ステップ８０８の処理に進む。

ステップ８０３の処理で、選択されたポート識別子Ｐのポートに対向スイッチが接続されていると判定された場合、管理サーバ１００は、ネットワーク構成情報１１１０に含まれるスイッチ１１１０１及びポート１１１０２のうち、選択されたスイッチ識別子Ｓ及び選択されたポート識別子Ｐに該当するエントリの対向スイッチ１１１０３に登録される対向スイッチの識別子を取得する。そして管理サーバ１００は、取得した対向スイッチの識別子の対向スイッチがクライアント認証機能を実行できるか否かを判定する（８０５）。

具体的には、管理サーバ１００は、スイッチ情報１１２０に含まれるスイッチ１１２０１のうち、取得した対向スイッチの識別子に該当するエントリの認証機能１１２０２に「可」が登録されているか否かを判定する。

ステップ８０５の処理で、対向スイッチがクライアント認証機能を実行できないと判定された場合、管理サーバ１００は、選択されたスイッチ識別子Ｐのスイッチ３００に対応するポート設定情報１１４０に含まれるポート番号１１４０１のうち、ポート識別子Ｐに一意するエントリの認証有無１１４０２に「有り」を登録し（８０６）、ステップ８０８の処理に進む。

一方、ステップ８０５の処理で、対向スイッチがクライアント認証機能を実行できると判定された場合、管理サーバ１００は、選択されたスイッチ識別子Ｓのスイッチ３００に対応するポート設定情報１１４０に含まれるポート番号１１４０１のうち、選択されたポート識別子Ｐに該当するエントリの認証有無１１４０２に「無し」を登録し（８０７）、ステップ８０８の処理に進む。

そして、管理サーバ１００は、選択されたスイッチ３００に備わるポートのうち、ステップ８０３〜ステップ８０７の処理が実行されてないポートがあるか否かを判定する（８０８）。

選択されたスイッチ識別子Ｓのスイッチ３００に備わる全てのポートにステップ８０３〜ステップ８０７の処理が実行されたと判定された場合、管理サーバ１００は、ステップ８０９の処理に進む。

一方、選択されたスイッチ識別子Ｓのスイッチ３００に備わるポートのうち、ステップ８０３〜ステップ８０７の処理が実行されていないポートがあると判定された場合、管理サーバ１００は、ステップ８０２の処理に戻る。

管理サーバ１００は、ステップ８０２〜ステップ８０８の処理が実行されてないスイッチ３００があるか否かを判定する（８０９）。

全てのスイッチ３００にステップ８０２〜ステップ８０８の処理が実行されたと判定された場合、管理サーバ１００は、ポート設定情報１１４０を生成する処理を終了する。

一方、ステップ８０２〜ステップ８０８の処理が実行されていないスイッチ３００があると判定された場合、管理サーバ１００は、ステップ８０１の処理に戻る。

これによって、管理サーバ１００は、クライアント認証を実行できる複数のスイッチ３００によって構築されるネットワークで、ネットワークの末端のスイッチのポートでクライアント認証を実行するようにポート設定情報１１４０を自動的に設定できる。

従って、ネットワークを運用する管理者は、クライアント認証を有効化するために必要な作業量を削減でき、また人的要因による設定の誤り及び漏れを防ぐことできる。

（第二実施形態）
次に、ネットワーク内のスイッチに新たにスイッチが追加された場合に、管理サーバ１００がポート設定情報１１４０を自動的に設定する処理について、図１０〜図１７を用いて説明する。

図１０は、本発明の第二実施形態のネットワーク運用管理システムの構成を示す図である。なお、第一実施形態と同じ構成は、同じ符号を付し、説明を省略する。

図１０に示すネットワーク運用管理システムは、図１のネットワーク運用管理システムに備わるスイッチに新たにスイッチ３００Ｅを追加したものである。具体的には、スイッチ３００Ｃのポート３にスイッチ３００Ｅのポート４が新たに接続される。なお、スイッチ３００Ｃを既設スイッチ３００Ｃといい、スイッチ３００Ｅを新規スイッチ３００Ｅという。

管理サーバ１００は、新規スイッチ３００Ｅがネットワークに追加されたことを検出すると、新規スイッチ３００Ｅに対応するポート設定情報１１４０を新たに編集する。また、管理サーバ１００は、新規スイッチ３００Ｅが接続された既設スイッチ３００Ｃに対応するポート設定情報１１４０の設定を編集する。

なお、新規スイッチ３００Ｅは、管理サーバ１００によって設定されたポート設定情報１１４０に基づいて、新規スイッチ３００Ｅに備わるポートのうち、既設スイッチ３００Ｃに接続されるポート４を除く利用者端末４００が接続可能なポート１〜３において、クライアント認証を実行する。なお、利用者端末４００が接続可能なポートとは、対向スイッチが接続されていないポートである。

図１１は、本発明の第二実施形態の管理サーバ１００、既設スイッチ３００Ｃ及び新規スイッチ３００Ｅのシーケンス図である。

新規スイッチ３００Ｅが起動されると、新規スイッチ３００Ｅに備わるポートのうち既設スイッチ３００Ｃに接続されたポートと、既設スイッチ３００Ｃに備わるポートのうち新規スイッチ３００Ｅに接続されたポートとの間で、データリンクを確立する（１０００１）。例えば、新規スイッチ３００Ｅは、ＩＥＥＥ８０２．３で規定される各種データリンクを確立する手段を用いて、データリンクを確立する。

新規スイッチ３００Ｅは、既設スイッチ３００Ｃとデータリンクを確立すると、スイッチ情報を管理サーバ１００に送信する（１０００２）。スイッチ情報には、新規スイッチ３００Ｅの一意な識別子及び新規スイッチ３００Ｅがクライアント認証を実行できるか否かを示す識別子が含まれる。また、この場合のスイッチ情報には、新規スイッチ３００Ｅに備わる全てのポートの識別子が含まれる。

既設スイッチ３００Ｃは、新規スイッチ３００Ｅとデータリンクを確立すると、リンク状態情報５００を管理サーバ１００に送信する（１０００３）。

リンク状態情報５００に含まれる送信元スイッチ５００１には、既設スイッチ３００Ｃの一意な識別子が登録される。リンク状態情報５００に含まれる対象ポート５００２には、既設スイッチ３００Ｃに備わるポートのうち、新規スイッチ３００Ｅに直接接続されるポートの識別子が登録される。

接続先スイッチ５００３には、対象ポート５００２に登録されるポートに新たに直接接続される新規スイッチ３００Ｅの一意な識別子が登録される。接続先ポート５００４には、接続先スイッチ５００４に登録される新規スイッチ３００Ｅに備わるポートのうち、対象ポート５００２に登録されるポートに直接接続されるポートの識別子が登録される。

管理サーバ１００は、既設スイッチ３００Ｃから送信されたリンク状態情報５００及び新規スイッチ３００Ｅから送信されたスイッチ情報を受信し、受信したリンク状態情報５００に基づいて、ネットワーク構成情報１１１０を更新する（１０００４）。

管理サーバ１００は、既設スイッチ３００Ｃから送信されたリンク状態情報５００に基づいて、既設スイッチ３００Ｃに対応するポート設定情報１１４０及び新規スイッチ３００Ｅに対応するポート設定情報１１４０を更新する（１０００５）。

管理サーバ１００は、更新されたポート設定情報１１４０に基づいて、既設スイッチ３００Ｃ及び新規スイッチ３００Ｅの構成定義１１５０を生成する（１０００６）。管理サーバ１００は、生成された構成定義１１５０を既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに記憶される構成定義３１１０に反映する（１０００７）。

管理サーバ１００によって生成された構成定義１１５０に基づいて、既設スイッチ３００Ｃは、新規スイッチ３００Ｅに接続されたポートでクライアント認証を実行しないように設定する。新規スイッチ３００Ｅは、管理サーバ１００によって生成された構成定義１１５０に基づいて、既設スイッチ３００Ｃに接続されたポート以外の利用者端末４００を接続可能なポートでクライアント認証を実行するように設定する。

管理サーバ１００は、既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに対応するポート設定情報１１４０等の設定を変更したことを管理者に通知できる（１０００８）。

具体的には、管理サーバ１００は、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）で、新規ウィンドウを生成し、管理者にポート設定情報１１４０等の設定の変更を通知する。また、管理サーバ１００は、ログファイルにポート設定情報１１４０等の設定の変更を書き込むことによって、管理者に通知するようにしてもよい。

なお、管理サーバ１００は、ネットワーク内に配備されたＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）マネージャにＳＮＭＰトラップを送信することによっても、ポート設定情報１１４０等の設定の変更を管理者に通知できる。また、管理サーバ１００は、Ｓｙｓｌｏｇサーバにメッセージを送信し、ポート設定情報１１４０等の設定の変更を管理者に通知できる。

図１２は、本発明の第二実施形態の新規スイッチ３００Ｅが追加された場合のスイッチ３００Ｃに対応するポート設定情報１１４０の変化を示す図である。

既設スイッチ３００Ｃに新規スイッチ３００Ｅが接続される前、既設スイッチ３００Ｃに対応するポート設定情報１１４０に含まれるポート番号１１４０１のうち、対向スイッチが接続されないポート２及びポート３の識別子に該当するエントリの認証有無１１４０２に「有り」が登録される。

すなわち、既設スイッチ３００Ｃに新規スイッチ３００Ｅが接続される前、既設スイッチ３００Ｃに備わるポート２及びポート３では、クライアント認証が実行される。また、既設スイッチ３００Ｃに新規スイッチ３００Ｅが接続される前、既設スイッチ３００Ｃに対応するポート設定情報１１４０に含まれるポート番号１１４０１のうち、利用者端末４００に接続可能なポートであるポート１及びポート４の識別子に該当するエントリの認証有無１１４０２に「無し」が登録される。

すなわち、既設スイッチ３００Ｃに新規スイッチ３００Ｅが接続される前、既設スイッチ３００Ｃに備わるポート２及びポート３では、クライアント認証が実行されない。

新規スイッチ３００Ｅは、既設スイッチ３００Ｃに備わるポート３に接続される。よって、既設スイッチ３００Ｃに新規スイッチ３００Ｅが接続された後、既設スイッチ３００Ｃに対応するポート設定情報１１４０に含まれるポート番号１１４０１のうち、ポート３の識別子に該当するエントリの認証有無１１４０２は、「有り」から「無し」に変更される。

図１３は、本発明の第二実施形態の新規スイッチ３００Ｅに対応するポート設定情報１１４０を示す図である。

管理サーバ１００は、新規スイッチ３００Ｅから送信されたスイッチ情報を受信すると、新規スイッチ３００Ｅに対応するポート設定情報１１４０を生成する。なお、この場合、新規スイッチ３００Ｅに対応するポート設定情報１１４０の各エントリには、何も登録されない。

管理サーバ１００は、既設スイッチ３００Ｃからリンク状態情報５００を受信すると、管理サーバ１００は、既設スイッチ３００Ｃに接続されたポート４の認証有無１１４０２を「無し」を登録し、利用者端末４００に接続可能なポートであるポート１、ポート２及びポート３の認証有無１１４０２に「有り」を登録する。すなわち、新規スイッチ３００Ｅに備わるポート１、ポート２及びポート３では、クライアント認証が実行され、一方、新規スイッチ３００Ｅに備わるポート４では、クライアント認証が実行されない。

これによって、管理サーバ１００は、既設スイッチ３００Ｃに新規スイッチ３００Ｅが接続されることによって新たに構成されたネットワークにおいて、利用者端末４００に接続可能なポートでクライアント認証が実行できるよう、既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに対応するポート設定情報１１４０を更新する。

図１４は、本発明の第二実施形態のポート設定情報生成処理のフローチャートである。

管理サーバ１００は、新規スイッチ３００Ｅに接続されたことを示すリンク状態情報５００を既設スイッチ３００Ｃから受信すると、ポート設定情報生成プログラム１０９０を実行し、ポート設定情報１１４０を生成する処理を開始する（１３００）。

ポート設定情報生成プログラム１０９０は、受信したリンク状態情報５００に含まれる送信元スイッチ５００１に登録されたスイッチ識別子ｓ及び受信したリンク状態情報５００に含まれる対象ポート５００２に登録されたポート識別子ｐを抽出する（１３０１）。

ポート設定情報生成プログラム１０９０は、ステップ１３０１の処理で抽出されたスイッチの識別子ｓ及びポートの識別子ｐの組み合わせ(ｓ、ｐ)に基づいて、スイッチ識別子ｓに対応するポート設定情報１１４０を検索する（１３０２）。

そして、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓに対応するポート設定情報１１４０に抽出されたポート識別子ｐに該当するエントリが存在するか否かを判定する（１３０３）。

ステップ１３０３の処理で、抽出されたポート識別子ｐに該当するエントリが、抽出されたスイッチ識別子ｓの既設スイッチ３００Ｃに対応するポート設定情報１１４０に存在しないと判定された場合、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓの既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０２に、ポート識別子ｐを新規エントリとして登録する。

そして、ポート設定情報生成プログラム１０９０は、登録した新規エントリのポインタeを抽出する（１３０４）。次に、ポート設定情報生成プログラム１０９０は、ステップ１３０６の処理に進む。

一方、ステップ１３０３の処理で、抽出されたポート識別子ｐに該当するエントリが、既設スイッチ３００Ｃに対応するポート設定情報１１４０に存在すると判定された場合、ポート設定情報生成プログラム１０９０は、該当するエントリのポインタeを抽出する（１３０５）。そして、ポート設定情報生成プログラム１０９０は、ステップ１３０６の処理に進む。

次に、ポート設定情報生成プログラム１０９０は、既設スイッチ３００Ｃから受信したリンク状態情報５００に含まれる接続先スイッチ５００３に登録されるスイッチ識別子ｓ'を抽出する（１３０６）。

ポート設定情報生成プログラム１１００は、ステップ１３０６の処理で抽出されたスイッチ識別子ｓ'の値がＮＵＬＬか否かを判定する（１３０７）。つまり、ステップ１３０７の処理では、ポート設定情報生成プログラム１０９０は、リンク状態情報５００を送信したスイッチ３００に備わるポートからスイッチ３００が取り外されたか否かを判定する。

なお、既設スイッチ３００Ｃに新規スイッチ３００Ｅが新たに接続された場合、接続先スイッチ５００３には、新規スイッチ３００Ｅの一意な識別子が登録される。よって、ステップ１３０６の処理では、接続先スイッチ５００３から新規スイッチ３００Ｅの一意な識別子が抽出されるので、抽出されたスイッチ識別子ｓ’の値がＮＵＬＬでないと判定される。

一方、既設スイッチ３００Ｃからスイッチ３００が取り外された場合、図１６に示すように、接続先スイッチ５００３には、ＮＵＬＬが登録される。よって、ステップ１３０６の処理では、接続先スイッチ５００３からＮＵＬＬが抽出されるので、抽出されたスイッチ識別子ｓ’の値がＮＵＬＬであると判定される。

ステップ１３０７の処理で、抽出されたスイッチ識別子ｓ'の値がＮＵＬＬと判定された場合、ポート設定情報生成プログラム１０９０は、ステップ１３０４の処理又はステップ１３０５の処理で抽出されたポインタeで示されるポート設定情報１１４０のエントリの認証有無１１４０２に「有り」を登録し（１３０８）、ポート設定情報生成処理を終了する。

すなわち、ポート設定情報生成プログラム１０９０は、あるスイッチ３００に備わるポートからスイッチ３００が取り外されたと判定すると、スイッチ３００が取り外されたポートでクライアント認証が実行されるように、ポート設定情報１１４０を設定する。なお、ステップ１３０８の処理については、図１５で詳細を説明する。

一方、ステップ１３０７の処理で、抽出されたスイッチ識別子s'の値がＮＵＬＬでないと判定された場合、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子s'に基づいて、スイッチ情報１１２０を検索する（１３０９）。

そして、ポート設定情報生成プログラム１０９０は、スイッチ情報１１２０を参照し、識別子s'である新規スイッチ３００がクライアント認証を実行できるスイッチか否かを判定する（１３１０）。

具体的には、ポート設定情報生成プログラム１０９０は、スイッチ情報１１２０に含まれるスイッチ１１２０１に登録されたスイッチ識別子のうち、スイッチ識別子ｓ'に該当するエントリの認証機能１１２０２が「可」であるか否かを判定する。

ステップ１３０７の処理で、新規スイッチ３００がクライアント認証を実行できないと判定された場合、ポート設定情報生成プログラム１０９０は、ステップ１３０４の処理又はステップ１３０５の処理で抽出されたポート設定情報１１４０のポインタｅに対応する認証有無１１４０２に「有り」を登録する（１３１１）。

これによって、既設スイッチ３００Ｃのポートのうち、新規スイッチ３００Ｅに接続されるポートでクライアント認証で実行されるようにポート設定情報１１４０が設定される。

一方、ステップ１３０７の処理で、新規スイッチ３００がクライアント認証を実行できると判定された場合、ステップ１３０４の処理又はステップ１３０５の処理で抽出されたポート設定情報１１４０のポインタに対応する認証有無１１４０２に「無し」を登録する（１３１２）。

これによって、ポート設定情報生成プログラム１０９０は、既設スイッチ３００に備わるポートのうち、新規スイッチ３００Ｅに接続されるポートでクライアント認証が実行されないようにポート設定情報１１４０が設定される。

そして、ポート設定情報生成プログラム１０９０は、既設スイッチ３００から受信したリンク状態情報５００に含まれる接続先ポート５００４に登録されるポート識別子ｐ'を抽出する（１３１３）。

次に、ポート設定情報生成プログラム１０９０は、抽出された識別子ｐ'のポートでクライアント認証が実行されないようにポート設定情報１１４０を設定する（１３１４）。

具体的には、ポート設定情報生成プログラム１０９０は、スイッチ識別子ｓ'に対応するポート設定情報１１４０に含まれるポート番号１１４０１に登録されたポート識別子のうち、ポート識別子ｐ'に該当するエントリの認証有無１１４０２に「無し」を登録する。

これによって、新規スイッチ３００Ｅに備わるポートのうち、既設スイッチ３００Ｃに接続されるポートでクライアント認証が実行されないようにポート設定情報１１４０が設定される。

また、ポート設定情報生成プログラム１０９０は、識別子ｓ'のスイッチ３００に備わるポートのうち、ポート識別子ｐ'以外のポートでクライアント認証が実行されるようにポート設定情報を設定し（１３１５）、ポート設定情報生成処理を終了する。

具体的には、ポート設定情報生成プログラム１０９０は、スイッチ識別子ｓ'に対応するポート設定情報１１４０に含まれるポート番号１１４０１に登録されたポート識別子のうち、ポート識別子ｐ'以外のポート識別子のエントリの認証有無１１４０２に「有り」を登録する。

これによって、新規スイッチ３００Ｅに備わるポートのうち、利用者端末４００に接続可能なポートでクライアント認証を実行するようにポート設定情報１１４０が設定される。

ポート設定情報生成処理が終了すると、管理サーバ１００は、設定されたポート設定情報１１４０に基づいて、構成定義１１５０を生成する。

管理サーバ１００に記憶される構成定義生成・反映プログラム１１００は、既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに対応するポート設定情報１１４０に含まれる認証有無１１４０２に登録された値に従って、既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに備わる各ポートのクライアント認証の実行有無を既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに対応する構成定義１１５０に書き込む。

また、構成定義生成・反映プログラム１１００は、認証サーバ２００の一意な識別子を既設スイッチ３００Ｃ及び新規スイッチ３００Ｅの構成定義１１５０に書き込む。そして、構成定義生成・反映プログラム１１００は、既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに対応する構成定義１１５０をそれぞれ既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに送信し、既設スイッチ３００Ｃ及び新規スイッチ３００Ｅの構成定義３１１０に反映する。

なお、管理サーバ１００は、構成定義１１５０を、ＴＥＬＮＥＴプロトコルによって、スイッチ３００に備わるコマンドラインインタフェースを用いて、各スイッチ３００に記憶される構成定義３１１０に反映する。

また、管理サーバ１００は、構成定義１１５０を、ＴＥＬＮＥＴプロトコルによって、スイッチ３００に備わるコマンドラインインタフェースを用いる方法、構成定義ＳＮＭＰによって、ＭＩＢ（Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ）の設定を操作する方法、及びＮＥＴＣＯＮＦプロトコルによって、構成定義１１５０のデータモデルを各スイッチ３００に送信する方法によって、管理サーバ１００が構成定義１１５０を各スイッチ３００に記憶される構成定義３１１０に反映してもよい。

次に、ネットワーク運用管理システムのネットワークからスイッチ３００が取り外される場合について説明する。なお、以下の説明では、取り外されるスイッチ３００を削除スイッチ３００Ｄであり、削除スイッチ３００Ｄと接続していたスイッチ３００を既設スイッチ３００Ｃであるとする。

削除スイッチ３００Ｄが既設スイッチ３００Ｃから取り外される前に、削除スイッチ３００Ｄに備わるポートのうち既設スイッチ３００Ｃに接続されているポート１〜３で、クライアント認証が実行されていたとする。この場合、削除スイッチ３００Ｄが既設スイッチ３００Ｃから取り外されると、既設スイッチ３００Ｃに備わるポートのうち削除スイッチ３００Ｄに接続されていたポート１で、クライアント認証が実行されなければ、ネットワークのセキュリティが低下する、よって、既設スイッチ３００Ｃに備わるポートのうち削除スイッチ３００Ｄに接続されていたポート１でクライアント認証が実行されるように、ポート設定情報１１４０が変更されなければならない。

図１５は、本発明の第二の実施の形態のスイッチを取り外した場合の管理サーバ１００及びスイッチ３００のシーケンス図である。

削除スイッチ３００Ｄが既設スイッチ３００Ｃから取り外されると、削除スイッチ３００Ｄに接続されていた既設スイッチ３００Ｃは、削除スイッチ３００Ｄと既設スイッチ３００Ｃとの間のリンクが切断されたことを検出する（１４００１）。

そして、既設スイッチ３００Ｃは、削除スイッチ３００Ｄが取り外されたことを示すリンク状態情報５００を管理サーバ１００に送信する（１４００２）。このリンク状態情報５００は、図１６に示すように、送信元スイッチ５００１、対象ポート５００２、接続先スイッチ５００３及び接続先ポート５００４を含む。

なお、接続先スイッチ５００３には、既設スイッチ３００Ｃに備わるポート１に接続されるスイッチ３００は存在しないので、ＮＵＬＬが登録される。接続先ポート５００４には、削除スイッチ３００Ｄに備わるポートうち、既設スイッチ３００Ｃに接続されるポートは存在しないので、ＮＵＬＬが登録される。

管理サーバ１００は、既設スイッチ３００Ｃから送信されたリンク状態情報５００を受信すると、受信したリンク状態情報５００に基づいて、ネットワーク構成情報１１１０を更新する（１４００３）。

また、管理サーバ１００は、図１４に示すポート設定情報生成処理を実行することによって、ポート設定情報１１４０を更新する（１４００４）。次に、管理サーバ１００は、更新されたポート設定情報１１４０に基づいて、既設スイッチ３００Ｃに対応する構成定義１１５０を生成する（１４００５）。

そして、管理サーバ１００は、生成された構成定義１１５０を既設スイッチ３００Ｃに送信し、既設スイッチ３００Ｃに記憶される構成定義３１１０に反映する（１４００６）。なお、管理サーバ１００は、生成された構成定義１１５０に変更がある場合、構成定義１１５０が変更されたことを管理者に通知してもよい（１４００７）。

次に、スイッチが取り外された場合のポート設定情報生成処理について、図１４を用いて説明する。

ステップ１３０７の処理で、管理サーバ１００が既設スイッチ３００Ｃから受信したリンク状態情報５００に含まれる接続先スイッチ１５００３にはＮＵＬＬが登録されているので、ポート設定情報生成プログラム１０９０は、ステップ１３０６の処理で抽出されたスイッチ識別子ｓ’の値はＮＵＬＬであると判定し、ステップ１３０８の処理に進む。

そして、ステップ１３０８の処理で、ポート設定情報生成プログラム１０９０は、ステップ１３０４又はステップ１３０５の処理で抽出されたポインタｅで示されるポート設定情報のエントリの認証有無１１４０２に「有り」を登録する。

これによって、リンク状態情報５００を送信した既設スイッチ３００Ｃに備わるポートうち、削除スイッチが接続されていたポート１でクライアント認証が実行されるように、ポート設定情報１１４０が設定される。

管理サーバ１００は、設定されたポート設定情報１１４０に基づいて既設スイッチ３００Ｃに対応する構成定義１１５０を更新する。そして、管理サーバ１００は、更新された構成定義１１５０を既設スイッチ３００Ｃに送信し、既設スイッチ３００Ｃに記憶される構成定義３１１０に反映する。

既設スイッチ３００Ｃは、管理サーバ１００から送信された構成定義１１５０が反映された構成定義３１１０に基づいて、既設スイッチ３００Ｃに備わるポート１でクライアント認証を実行する。

以上より、稼動中のネットワークからスイッチが取り外された後も、利用者端末４００を接続できる全てのポートでクライアント認証が実行されるように設定できる。これによって、ネットワークに接続する権限を有さない利用者端末４００がネットワークに接続することを防止でき、ネットワークのセキュリティを確保できる。

なお、新たにスイッチ３００が追加される場合及びスイッチ３００が削除される場合等、ネットワークにイベントが発生した場合に、既設スイッチ３００は、図１７Ａ及び図１７Ｂに示すように、ネットワークに発生したイベントを示すイベント種別を含むリンク状態情報１７００Ａ又は１７００Ｂを管理サーバ１００に送信するようにしてもよい。

図１７Ａは、本発明の第二実施形態のリンク状態情報１７００Ａを示す図である。

既設スイッチ３００Ｃに新規スイッチ３００Ｅが接続された場合、リンク状態情報１７００Ａは、既設スイッチ３００Ｃによって管理サーバ１００に送信される。

リンク状態情報１７００Ａは、イベント種別１７０１、発行元スイッチ１７０２、対象ポート１７０３、接続先スイッチ１７０４及び接続先ポート１７０５を含む。なお、発行元スイッチ１７０２、対象ポート１７０３、接続先スイッチ１７０４及び接続先ポート１７０５は、それぞれ発行元スイッチ５０１、対象ポート５０２、接続先スイッチ５０３及び接続先ポート５０４に対応する。

イベント種別１７０１は、既設スイッチ３００Ｃの対象ポート１７０２に登録されたポートに発生したイベントが登録される。具体的には、イベント種別１７０１には、「追加」又は「削除」が登録される。新たにスイッチが追加された場合、イベント種別１７０１には、「追加」が登録され、スイッチが取り外された場合、イベント種別１７０１には、「削除」が登録される。なお、リンク状態情報１７００Ａに含まれるイベント種別１７０１には、「追加」が登録される。

図１７Ｂは、本発明の第二実施形態のリンク状態情報１７００Ｂを示す図である。

既設スイッチ３００Ｃから新規スイッチ３００Ｅが取り外された場合、リンク状態情報１７００Ｂは、既設スイッチ３００Ｃによって管理サーバ１００に送信される。

リンク状態情報１７００Ｂは、イベント種別１７０１、送信元スイッチ１７０２及び対象ポート１７０３を含む。なお、既設スイッチ３００Ｃから新規スイッチ３００Ｅが取り外されるので、イベント種別１７０１には、「削除」が登録される。

なお、リンク状態情報１７００Ａ又は１７００Ｂが既設スイッチ３００Ｃによって送信された場合のポート設定情報生成処理について、図１４に示すポート設定情報生成処理と異なるステップのみ説明する。

ステップ１３０６の処理で、ポート設定情報生成プログラム１０９０は、リンク状態情報１７００Ａ又は１７００Ｂに含まれるイベント種別１７０１に登録された値を抽出する。

そして、ステップ１３０７の処理で、ポート設定情報生成プログラム１０９０は、ステップ１３０６の処理で抽出された値が「追加」であるか「削除」であるかを判定する。

ステップ１３０７の処理で、ポート設定情報生成プログラム１０９０は、イベント種別１７０１に「追加」が登録されていると判定された場合、ステップ１３０９の処理に進み、イベント種別１７０１に「削除」が登録されていると判定された場合、ステップ１３０８の処理に進む。

（第三実施形態）
企業内のネットワークを構築する各スイッチ３００にＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）が複数定義される。これによって、企業内のネットワークに、複数の仮想的なネットワークが構築される。

一般に、定義された複数のＶＬＡＮが同一であるスイッチ３００同士が接続される場合、各スイッチ３００に備わるポートのうち、各スイッチ３００を相互に接続するポートでは、ＴＡＧ ＶＬＡＮ機能が有効化される。

なお、ＴＡＧ ＶＬＡＮ機能が有効化されたポートでは、そのポートに割り当てられるＶＬＡＮの識別子がフレームに付与される。また、ＴＡＧ ＶＬＡＮ機能が有効化されたポートでは、ＶＬＡＮの識別子が付与されたフレームのみが送受信される。これによって、スイッチ３００間の単一な接続において、仮想的な複数のデータリンクが構成される。

図１８は、本発明の第三実施形態のネットワーク運用管理システムの構成を示す図である。

スイッチ３００Ａ及びスイッチ３００Ｃには、ＶＬＡＮ１０、ＶＬＡＮ２０及びＶＬＡＮ９９が定義される。スイッチ３００Ｂ及びスイッチ３００Ｄには、ＶＬＡＮ１０及びＶＬＡＮ９９が定義される。なお、ＶＬＡＮ９９は、管理サーバ１００及び認証サーバ２００が利用者端末４００及びスイッチ３００と通信するためのＶＬＡＮである。

そして、各スイッチ３００Ａ〜３００Ｄに備わるポートのうち、各スイッチ３００Ａ〜３００Ｄが接続されるポートにおいて、ＴＡＧ ＶＬＡＮ機能が有効化されている。

なお、スイッチ３００Ｚは、ＴＡＧ ＶＬＡＮ機能を備えないスイッチである。従って、スイッチ３００Ｂとスイッチ３００Ｚとの間において、ＴＡＧ ＶＬＡＮ機能は利用されない。

また、スイッチ３００Ｚ及びスイッチ３００Ｄに備わるポート１〜３には、ＶＬＡＮ１０に属する利用者端末４００が接続される。スイッチ３００Ｃは、ポート３には、ＶＬＡＮ２０に属する利用者端末４００が接続される。

なお、本実施形態の管理サーバ１００に備わるメモリ１０２０には、全ＶＬＡＮ定義引継フラグ及びＶＬＡＮ定義情報が格納される。

管理サーバ１００に記憶されるＶＬＡＮ定義情報には、各スイッチ３００に定義されているＶＬＡＮ識別子が登録される。

また、全ＶＬＡＮ定義フラグには、既設スイッチ３００に新たに接続されたスイッチ３００が既設スイッチ３００に定義されている全てのＶＬＡＮの識別子を引き継ぐか否かの情報が登録される。なお、全ＶＬＡＮ定義フラグを有効にするか否かは、管理者によって設定されてもよい。

また、スイッチ３００に備わるメモリ３０２０には、ＶＬＡＮ定義情報が格納される。スイッチ３００に記憶されるＶＬＡＮ定義情報には、当該スイッチ３００に定義されるＶＬＡＮ識別子が登録される。

図１９は、本発明の第三実施形態の図１８に示すネットワーク運用管理システムに、新規スイッチ３００Ｅが追加された場合のネットワーク運用管理システムの構成を示す図である。

新規スイッチ３００Ｅには、予めＶＬＡＮ２０及びＶＬＡＮ９９が定義される。具体的には、新規スイッチ３００Ｅに記憶されるＶＬＡＮ定義情報にＶＬＡＮ２０の識別子及びＶＬＡＮ９９の識別子が登録される。

新規スイッチ３００Ｅには、ＶＬＡＮ２０に属する利用者端末が接続可能であるので、新規スイッチ３００Ｅが追加される前のＶＬＡＮ２０に属する利用者端末４００の数よりも、新規スイッチ３００Ｅが追加された後のＶＬＡＮ２０に属する利用者端末４００の数が増加する。

図１９に示すように、新規スイッチ３００Ｅに備わるポート４は、スイッチ３００Ｃに備わるポート３に接続される。そして、新規スイッチ３００Ｅに備わるポート１〜ポート３には、ＶＬＡＮ２０に属する利用者端末４００が接続される。

スイッチ３００Ｃと新規スイッチ３００Ｅとの間は、ＴＡＧ ＶＬＡＮ機能によって接続される。スイッチ３００Ｃに備わるポート３及び新規スイッチ３００Ｅに備わるポート４では、ＶＬＡＮ２０又はＶＬＡＮ９９が付与されたフレームが送受信される。

なお、本実施形態のクライアント認証機能を実行するポートを選択する処理は、第二実施形態の管理サーバ１００が実行するポート設定情報生成処理と同一の構成であるので省略する。従って、本実施形態では、第一実施形態及び第二実施形態と相違する箇所について説明する。

本実施形態では、新規スイッチ３００Ｅがネットワークに追加されると、管理サーバ１００が既設スイッチ３００Ｃ及び新規スイッチ３００Ｅに対応するポート設定情報１１４０を設定する。管理サーバ１００は、既設スイッチ３００Ｃに備わるポート３でＴＡＧ ＶＬＡＮ機能を有効化し、ＶＬＡＮ２０又はＶＬＡＮ９９が付与されたフレームを送受信できるように、ポート設定情報１１４０を設定する。

また、管理サーバ１００は、新規スイッチ３００Ｅに対応するＶＬＡＮ定義情報３１２０にＶＬＡＮ２０及びＶＬＡＮ９９の識別子を登録する。

そして、管理サーバ１００は、新規スイッチ３００Ｅに備わるポート４でＴＡＧ ＶＬＡＮ機能を有効化し、ＶＬＡＮ２０又はＶＬＡＮ９９が付与されたフレームを送受信するように、ポート設定情報１１４０を設定する。

図２０は、本発明の第三実施形態の新規スイッチ３００Ｅが追加された場合のスイッチ３００Ｃに対応するポート設定情報１１４０の変化を示す図である。

ＴＡＧ ＶＬＡＮ機能を備えるスイッチ３００に対応するポート設定情報１１４０は、ポート番号１１４０１、認証有無１１４０２、ポート種別１１４０３及び収容ＶＬＡＮ１１４０４を含む。ポート番号１１４０１及び認証有無１１４０２は、図８及び図１２に示す設定情報１１４０に含まれるポート番号１１４０１及び認証有無１１４０２と同じであるので、説明を省略する。

ポート種別１１４０３は、スイッチ３００に備わるポートの動作状態を示す。具体的には、ポート種別１１４０３には、「アクセス」又は「トランク」が登録される。「アクセス」は、該当するポートにおいてＴＡＧ ＶＬＡＮ機能が無効化されていることを示す。すなわち、該当するポートが単一のＶＬＡＮに収容されることを示す。また、「トランク」は、該当するポートでＴＡＧ ＶＬＡＮ機能が有効化されていることを示す。すなわち、該当するポートで送受信されるフレームは、ＶＬＡＮ識別子が付与される。そして、該当するポートで送受信されるフレームは、付与されたＶＬＡＮ識別子に該当するＶＬＡＮに収容される。

新規スイッチ３００Ｅが追加された後の既設スイッチ３００Ｃに備わるポートのうち、新規スイッチ３００Ｅが直接接続されるポート３でクライアント認証が実行されないように、既設スイッチ３００Ｃに対応するポート設定情報１１４０の認証有無１１４０２が設定される。また、既設スイッチ３００Ｃに備わるポートのうち、新規スイッチ３００Ｅが直接接続されるポート３でＴＡＧ ＶＬＡＮ機能が有効化されるように既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート種別１１４０３が設定される。

具体的には、既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート３の識別子に該当するエントリの認証有無１１４０２が「有り」から「無し」に変更される。また、既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート３の識別子に該当するエントリのポート種別１１４０３が「アクセス」から「トランス」に変更される。

なお、既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート１及びポート４の識別子に該当するエントリの認証有無１１４０２には「無し」が登録され、ポート種別１１４０３には「トランク」が登録される。ポート２の認証有無１４０２には「有り」が登録され、ポート種１１４０３には「アクセス」が登録される。

図２１は、本発明の第三実施形態の新規スイッチ３００Ｅに対応するポート設定情報１１４０を示す図である。

新規スイッチ３００Ｅがスイッチ３００Ｃに接続されると、新規スイッチ３００Ｅに備わるポートのうち、スイッチ３００Ｃに直接接続されるポート４でクライアント認証が実行されないように新規スイッチ３００Ｅに対応するポート設定情報１１４が設定される。

また、新規スイッチ３００Ｅに備わるポートのうち、スイッチ３００Ｃに直接接続されるポート４でＴＡＧ ＶＬＡＮ機能が有効化されるように新規スイッチ３００Ｅに対応するポート設定情報１１４が設定される。

また、新規スイッチ３００Ｅに備わるポートのうち、利用者端末４００に接続可能なポート１〜３でクライアント認証が実行されるように新規スイッチ３００Ｅに対応するポート設定情報１１４が設定される。新規スイッチ３００Ｅに備わるポートのうち、利用者端末４００に接続可能なポート１〜３でＴＡＧ ＶＬＡＮ機能が無効化されるように新規スイッチ３００Ｅに対応するポート設定情報１１４が設定される。

具体的には、新規スイッチ３００Ｅに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート４の識別子に該当するエントリの認証有無１１４０２に「無し」が登録され、ポート種別１１４０３に「トランク」が登録される。

また、新規スイッチ３００Ｅに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート１〜３の識別子に該当するエントリの認証有無１１４０２に「有り」が登録され、ポート種別１１４０３に「アクセス」が登録される。

図２２は、本発明の第三実施形態のポート設定情報生成処理のフローチャートである。

管理サーバ１００は、既設スイッチ３００Ｃが新規スイッチ３００Ｅに接続されたことを示すリンク状態情報５００を既設スイッチ３００Ｃから受信すると、ポート設定情報生成プログラム１０９０を実行し、図１４に示すポート設定情報生成処理のステップ１３０１からステップ１３０７の処理を実行する（１９０１）。

ポート設定情報生成プログラム１０９０は、既設スイッチ３００Ｃに対応するポート設定情報１１４０の新規スイッチ３００Ｅに直接接続されたポート識別子ｐに該当するポインタｅを抽出する。

また、ポート設定情報生成プログラム１０９０は、受信したリンク状態情報５００に含まれる接続先スイッチ５００３に登録されるスイッチ識別子ｓ’を抽出する。また、ポート設定情報生成プログラム１０９０は、受信したリンク状態情報５００に含まれる接続先ポート５００４に登録されるポート識別子ｐ’を抽出する。

そして、ポート設定情報生成プログラム１０９０は、ステップ１３０７の処理と同じく、ステップ１９０１の処理で抽出されたスイッチ識別子ｓ’の値がＮＵＬＬか否かを判定する（１９０２）。

ステップ１９０２の処理で、抽出されたスイッチ識別子ｓ’の値がＮＵＬＬでないと判定された場合、ポート設定情報生成プログラム１０９０は、スイッチ情報１１２０を参照し、抽出されたスイッチ識別子ｓ’のスイッチ３００がクライアント認証機能を実行できるか否かを判定する（１９０３）。図１９に示すネットワーク運用管理システムでは、管理サーバ１００は、新規スイッチ３００Ｅがクライアント認証を実行できるか否かを判定する。

ステップ１９０３の処理で、抽出されたスイッチ識別子ｓ’のスイッチ３００がクライアント認証機能を実行できないと判定された場合、抽出されたポートｐ’でＴＡＧ ＶＬＡＮ機能を無効化するようにポート設定情報１１４０を設定し（１９１６）、ポート設定情報生成処理を終了する。

具体的には、抽出されたスイッチ識別子ｓ’のスイッチ３００に対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐ’に該当するエントリのポート種別１４０３に「アクセス」を登録する。

一方、ステップ１９０３の処理で、抽出されたスイッチ識別子ｓ’のスイッチ３００がクライアント認証機能を実行できると判定された場合、ポート設定情報生成プログラム１０９０は、抽出されたポート識別子ｐ’のポートでクライアント認証が実行されないように、ポート設定情報１１４０を設定する（１９０４）。

具体的には、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓ’のスイッチ３００に対応するポート設定情報１１４０において、抽出されたポート識別子ｐ’に該当するエントリの認証有無１１４２に「無し」を登録する。

なお、ステップ１９０４の処理で、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓ’のスイッチ３００に対応するポート設定情報１１４０において、抽出されたポート識別子ｐ’以外に該当するエントリの認証有無１１４２に「無し」を登録する。

そして、ポート設定情報生成プログラム１０９０は、抽出されたポート識別子ｐ’のポート及び抽出されたポート識別子ｐのポートでＴＡＧ ＶＬＡＮ機能を有効化するようにポート設定情報１１４０を設定する（１９０５）。

抽出されたスイッチ識別子ｓ’のスイッチ３００に対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐ’に該当するエントリのポート種別１４０３に「トランク」を登録する。同じように、抽出されたスイッチ識別子ｓのスイッチ３００に対応するポート設定情報１１４０のポート識別子ｐのエントリのポート種別１４０３に「トランク」を登録する。

なお、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓ’のスイッチ３００に対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐ’以外のポート識別子に該当するエントリのポート種別１４０３に「アクセス」を登録する。

図１９に示すネットワーク運用管理システムでは、新規スイッチ３００Ｅに備わるポートのうち、既設スイッチ３００Ｃに接続されるポート４がトランクポートに設定される。また、既設スイッチ３００Ｃに備わるポートのうち、新規スイッチ３００Ｅに接続されるポート１がトランクポートに設定される。

次に、ポート設定情報生成プログラム１０９０は、管理サーバ１００に記憶される全ＶＬＡＮ定義フラグが有効か否かを判定する（１９０６）。

ステップ１９０６の処理で、全ＶＬＡＮ定義フラグが有効であると判定された場合、ポート設定情報生成プログラム１０９０は、既設スイッチ３００Ｃに定義されるＶＬＡＮを新規スイッチ３００Ｅに定義し（１９０７）、ステップ１９１１の処理に進む。

具体的には、ポート設定情報生成プログラム１０９０は、管理サーバ１００に記憶されるＶＬＡＮ定義情報のうち、既設スイッチ３００Ｃに対応するＶＬＡＮ定義情報に登録された全てのＶＬＡＮ識別子を新規スイッチ３００Ｅに対応するＶＬＡＮ定義情報に登録する。

ステップ１９０６の処理で、全ＶＬＡＮ定義フラグが有効でないと判定された場合、ポート設定情報生成プログラム１０９０は、既設スイッチ３００Ｃに備わるポートのうち、新規スイッチ３００Ｅに接続されるポートに割り当てられているＶＬＡＮを新規スイッチ３００Ｅに定義する（１９０８）。

具体的には、ポート設定情報生成プログラム１０９０は、既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐに該当するエントリの収容ＶＬＡＮ１１４０４に登録される全てのＶＬＡＮ識別子を取得する。そして、ポート設定情報生成プログラム１０９０は、新規スイッチ３００Ｅに対応するＶＬＡＮ定義情報１１６０に、取得したＶＬＡＮ識別子を登録する。

そして、ポート設定情報生成プログラム１０９０は、管理サーバ１００に記憶されるＶＬＡＮ定義情報のうち、既設スイッチ３００Ｃに対応するＶＬＡＮ定義情報に管理用ＶＬＡＮ（ＶＬＡＮ９９）識別子が登録されているか否かを判定する（１９０９）。

ステップ１９０９の処理で、管理サーバ１００に記憶されるＶＬＡＮ定義情報のうち、既設スイッチ３００Ｃに対応するＶＬＡＮ定義情報に管理用ＶＬＡＮ（ＶＬＡＮ９９）識別子が登録されていないと判定された場合、ポート設定情報生成プログラム１０９０は、ステップ１９１１の処理に進む。

一方、管理サーバ１００に記憶されるＶＬＡＮ定義情報のうち、既設スイッチ３００Ｃに対応するＶＬＡＮ定義情報に管理用ＶＬＡＮ（ＶＬＡＮ９９）識別子が登録されていると判定された場合、ポート設定情報生成プログラム１０９０は、新規スイッチ３００Ｅに管理用ＶＬＡＮ（ＶＬＡＮ９９）を定義し（１９１０）、ステップ１９１１の処理に進む。

具体的には、ポート設定情報生成プログラム１０９０は、管理サーバ１００に記憶されるＶＬＡＮ定義情報のうち、新規スイッチ３００Ｅに対応するＶＬＡＮ定義情報に管理用ＶＬＡＮ（ＶＬＡＮ９９）識別子を登録する。

ポート設定情報生成プログラム１０９０は、新規スイッチ３００Ｅに新たに定義されたＶＬＡＮを、抽出されたポートｐ’及び抽出されたポートｐに割り当て（１９１１）、ポート設定情報生成処理を終了する。

具体的には、ポート設定情報生成プログラム１０９０は、管理サーバ１００に記憶されるＶＬＡＮ定義情報のうち抽出されたスイッチ識別子ｓ’のスイッチ３００に対応するＶＬＡＮ定義情報に登録されたＶＬＡＮ識別子を取得する。そして、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓ’のスイッチ３００に対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐ’に該当するエントリの収容ＶＬＡＮ１１４０４に取得したＶＬＡＮ識別子を登録する。

また、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓのスイッチ３００に対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐに該当するエントリの収容ＶＬＡＮ１１４０４に、取得したＶＬＡＮ識別子を登録する。

次に、ネットワークからスイッチが削除された場合のポート設定情報生成処理について説明する。なお、図１９に示すネットワーク運用管理システムで、スイッチ３００Ｃからスイッチ３００Ｄが取り外された場合について説明する。スイッチ３００Ｃを既設スイッチ３００Ｃといい、スイッチ３００Ｄを削除スイッチ３００Ｄという。

ステップ１９０２の処理で、抽出されたスイッチ識別子ｓ’の値がＮＵＬＬと判定された場合、つまり、削除スイッチ３００Ｄが削除されたと判定された場合、ポート設定情報生成プログラム１０９０は、抽出されたポート識別子ｐのポートでクライアント認証機能が無効化されているか否かを判定する（１９１２）。この場合、ポート識別子ｐのポートは、既設スイッチ３００Ｃに備わるポートのうち、取り外されたスイッチが接続されていたポートである。

具体的には、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓのスイッチ３００に対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐに該当するエントリの認証有無１１４０２に「無し」が登録されているか否かを判定する。

ステップ１９０４の処理で、抽出されたポート識別子ｐのポートでクライアント認証機能が有効化されていると判定された場合、ポート設定情報生成プログラム１０９０は、ポート情報生成処理を終了する。

ステップ１９０４の処理で、抽出されたポート識別子ｐのポートでクライアント認証機能が無効化されていると判定された場合、ポート設定情報生成プログラム１０９０は、抽出されたポート識別子ｐのポートでクライアント認証が実行されるように、ポート設定情報１１４０を設定する（１９１３）。

具体的には、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｐのスイッチ３００に対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐに該当するエントリの認証有無１１４０２を「無し」から「有り」に変更する。

これによって、既設スイッチ３００Ｃに備わるポートのうち、削除スイッチ３００Ｄに接続されていたポートで、クライアント認証が実行される。

そして、ポート設定情報生成プログラム１０９０は、抽出されたポート識別子ｐのポートに割り当てられていたＶＬＡＮから管理用ＶＬＡＮ（ＶＬＡＮ９９）を削除する（１９１４）。

具体的には、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓのスイッチ３００に対応するポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐに該当するエントリの収容ＶＬＡＮ１１４０４に管理用ＶＬＡＮ（ＶＬＡＮ９９）識別子を当該エントリの収容ＶＬＡＮ１１４０４から削除する。

既設スイッチ３００Ｃに備わるポートのうち取り外された削除スイッチ３００Ｄが接続されていたポートは、利用者端末４００が接続可能なポートである。従って、ステップ１９１４の処理によって、利用者端末４００に接続され得るポートに管理用ＶＬＡＮが割り当てられないので、当該ポートに利用者端末４００が接続されても、接続された利用者端末４００は、管理用ＶＬＡＮにアクセスできない。従って、ネットワークのセキュリティを向上できる。

次に、ポート設定情報生成プログラム１０９０は、抽出されたポート識別子ｐのポートをアクセスポートに変更し（１９１５）、ポート設定情報生成処理を終了する。

具体的には、ポート設定情報生成プログラム１０９０は、抽出されたスイッチ識別子ｓのスイッチ３００のポート設定情報１１４０のポート番号１１４０１のうち、抽出されたポート識別子ｐに該当するエントリのポート種別１１４０３をアクセスからトランクに変更する。

（第四実施形態）
第四実施形態では、ＭＡＣ ＶＬＡＮ方式を利用したネットワーク運用管理システムに本発明を適用する。

以下にＭＡＣ ＶＬＡＮ方式を利用したネットワーク運用管理システムについて説明する。

ＭＡＣ ＶＬＡＮ機能を備えるスイッチ３００は、スイッチ３００に備わる各ポートで受信したフレームを、フレームに含まれる送信元のＭＡＣアドレスに基づいて、受信したフレームを収容するＶＬＡＮを決定する。

なお、ＭＡＣ ＶＬＡＮ機能を備えるスイッチ３００は、ポート毎にＭＡＣ ＶＬＡＮ機能を有効化又は無効化できる。

ＭＡＣ ＶＬＡＮ機能が有効化されたポートにＴＡＧ ＶＬＡＮ機能を備えないスイッチ３００が接続される。そして、ＴＡＧ ＶＬＡＮ機能を備えないスイッチ３００に備わる複数のポートに複数の利用者端末４００が接続される。これによって、ＭＡＣ ＶＬＡＮ機能が有効化された一つのポートに、ＴＡＧ ＶＬＡＮ機能を備えないスイッチ３００を介して、複数の利用者端末４００が接続される。

ＭＡＣ ＶＬＡＮ機能を備えるスイッチ３００に備わるメモリ３０２０には、ＭＡＣ ＶＬＡＮ振分情報２３００が格納される。

図２３は、本発明の第四実施形態のＭＡＣ ＶＬＡＮ振分情報２３００の構成を示す図である。

ＭＡＣ ＶＬＡＮ振分情報２３００は、送信元ＭＡＣアドレス２３０１及びＶＬＡＮ識別子２３０２を含む。送信元ＭＡＣアドレス２３０１には、フレームを送信する利用者端末４００のＭＡＣアドレスが登録される。ＶＬＡＮ識別子２３０２には、送信元ＭＡＣアドレス２４０１に登録されたＭＡＣアドレスの利用者端末４００が収容されるＶＬＡＮの識別子が登録される。

次に、ＭＡＣ ＶＬＡＮ機能を備えるスイッチ３００が受信したフレームを収容するＶＬＡＮを決定する処理について説明する。

ＭＡＶ ＶＬＡＮ機能を備えるスイッチ３００は、フレームを受信すると、フレームを受信したポートで、ＭＡＣ ＶＬＡＮが有効化されているか否かを判定する。

フレームを受信したポートで、ＭＡＣ ＶＬＡＮ機能が有効化されていると判定された場合、スイッチ３００は、受信したフレームに含まれる送信元のＭＡＣアドレスを取得する。

そして、スイッチ３００は、取得した送信元のＭＡＣアドレスに基づいて、ＭＡＣ ＶＬＡＮ振分情報２３００を検索し、送信元のＭＡＣアドレスに対応するＶＬＡＮ識別子を取得する。スイッチ３００は、取得したＶＬＡＮ識別子を受信したフレームに付与し、ＶＬＡＮ識別子が付与されたフレームを送信元ＭＡＣアドレスに対応するＶＬＡＮに転送する。

なお、管理者は、各スイッチ３００に備わる設定インタフェースを介して、各スイッチ３００に記憶されるＭＡＣ ＶＬＡＮ振分情報２３００を、個別に設定できる。

また、ネットワークを構築する各スイッチ３００に記憶されるＭＡＣ ＶＬＡＮ振分情報２３００が、認証サーバ２００に記憶されてもよい。この場合、認証サーバ２００に記憶されるＭＡＣ ＶＬＡＮ振分情報２３００に設定された内容が各スイッチ３００に記憶されるＭＡＣ ＶＬＡＮ振分情報２３００に反映される。これによって、管理者は、各スイッチ３００に記憶されるＭＡＣ ＶＬＡＮ振分情報２３００を認証サーバ２００を介して、一元的に管理できる。

認証サーバ２００にＭＡＣ ＶＬＡＮ振分情報２３００が記憶される場合のスイッチ３００が受信したフレームを収容するＶＬＡＮを決定する処理について説明する。

なお、利用者端末４００と、ＭＡＣ ＶＬＡＮ機能を備えるスイッチ３００と、認証サーバ２００との間のＥＡＰ（Ｅｘｔｅｎｓｉｖｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を介した通信によって、認証サーバ２００に記憶されるＭＡＣ ＶＬＡＮ振分情報２３００は生成される。また、ＥＡＰについては、ＩＥＴＦ ＲＦＣ２２８４で定義されている。

利用者端末４００がスイッチ３００に接続されると、認証サーバ２００は、利用者端末４００をクライアント認証する。この場合、認証サーバ２００は、認証サーバ２００に記憶されるＭＡＶ ＶＬＡＮ振分情報２３００を参照し、利用者端末４００のＭＡＣアドレスに基づいて、その利用者端末４００を収容するＶＬＡＮ識別子を検索する。そして、認証サーバ２００は、利用者端末４００のＭＡＣアドレス及び利用者端末４００を収容するＶＬＡＮ識別子を含む検索結果をスイッチ３００に送信する。

スイッチ３００は、検索結果を受信すると、検索結果に含まれる利用者端末４００のＭＡＣアドレス及び利用者端末４００を収容するＶＬＡＮ識別子をスイッチ３００に記憶されるＭＡＣ ＶＬＡＮ振分情報２３００に登録する。

図２４は、本発明の第四実施形態のＭＡＣ ＶＬＡＮを利用したネットワーク運用管理システムの構成を示す図である。

図２４に示すネットワーク運用管理システムでは、スイッチ３００Ｃに備わるポート３に新規スイッチ３００Ｅが新たに接続される。そして、スイッチ３００Ｃに備わるポート２及びポート３でＭＡＣ ＶＬＡＮ機能が有効化されている。

図２５は、本発明の第四実施形態のスイッチ３００Ｅが追加された場合のスイッチ３００Ｃに対応するポート設定情報１１４０の変化を示す図である。なお、スイッチ３００Ｃを既設スイッチ３００Ｃといい、スイッチ３００Ｅを新規スイッチ３００Ｅという。

第四実施形態のＭＡＣ ＶＬＡＮ機能を備えるスイッチ３００に対応するポート設定情報１１４０は、ポート番号１１４０１、認証有無１１４０２、ポート種別１１４０３及び収容ＶＬＡＮ１１４０４を含む。ポート番号１１４０１、認証有無１１４０２及び収容ＶＬＡＮ１１４０４は、図２０に示すポート設定情報１１４０と同じであるので、説明を省略する。

ポート種別１１４０３には、「アクセス」、「トランク」、又は「ＭＡＣ」が登録される。「ＭＡＣ」は、該当するポートにおいてＭＡＣ ＶＬＡＮ機能が有効化されていることを示す。

既設スイッチ３００Ｃに備わるポート３に新規スイッチ３００Ｅが接続されると、既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート３の識別子に該当するエントリの認証有無１１４０２が「有り」から「無し」に変更され、ポート種別１１４０３が「ＭＡＣ」から「トランス」に変更される。

また、既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート３の識別子に該当するエントリの収容ＶＬＡＮ１１４０４に登録されるＶＬＡＮ識別子は、ＶＬＡＮ１０及びＶＬＡＮ２０からＶＬＡＮ１０、ＶＬＡＮ２０及びＶＬＡＮ９９に変更される。

なお、既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート１及びポート４の識別子に該当するエントリの認証有無１１４０２には「無し」が登録され、ポート種別１１４０３には「トランク」が登録される。

また、既設スイッチ３００Ｃに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート２の識別子に該当するエントリのポート番号２に該当するエントリの認証有無１４０２には「有り」が登録され、ポート種別１１４０３には「ＭＡＣ」が登録される。

図２６は、本発明の第四実施形態の新規スイッチ３００Ｅに対応するポート設定情報１１４０を示す図である。

新規スイッチ３００Ｅに備わるポート４に既設スイッチ３００Ｃが接続されると、新規スイッチ３００Ｅに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート４の識別子に該当するエントリの認証有無１１４０２に「無し」が登録され、ポート種別１１４０３に「トランク」が登録される。

また、新規スイッチ３００Ｅに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート４の識別子に該当するエントリの収容ＶＬＡＮ１１４０４にＶＬＡＮ１０、ＶＬＡＮ２０及びＶＬＡＮ９９の識別子が登録される。

新規スイッチ３００Ｅに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート１〜３の識別子に該当するエントリの認証有無１１４０２に「有り」が登録され、ポート種別１１４０３に「ＭＡＣ」が登録される。

また、新規スイッチ３００Ｅに対応するポート設定情報１１４０のポート番号１１４０１に登録されたポート識別子のうち、ポート１〜３の識別子に該当するエントリの収容ＶＬＡＮ１１４０４にＶＬＡＮ１０及びＶＬＡＮ２０の識別子が登録される。なお、新規スイッチ３００Ｅに備わるポート１〜３は、利用者端末４００が接続可能なポートである。

また、管理サーバ１００は、図２２のステップ１９０８の処理と同じように、スイッチ３００Ｃに備わるポートのうち新規スイッチ３００Ｅに接続されるポート３に割り当てられたＶＬＡＮを新規スイッチ３００Ｅに定義する。

ステップ１９０９の処理で、管理サーバ１００は、新規スイッチ３００Ｅに定義されたＶＬＡＮの識別子を新規スイッチ３００Ｅに備わるポート４及び既設スイッチ３００Ｃに備わるポート３に割り当てる。

次に、管理サーバ１００が備えるネットワーク事前設計機能について説明する。なお、ネットワーク事前設計機能とは、管理者がネットワークを実際に構築する前に、管理サーバ１００を介して、ネットワークを設計できる機能である。なお、ネットワーク事前設計機能は、第一実施形態から第四実施形態の管理サーバ１００に実装できる。

管理サーバ１００は、仮想的なネットワークをメモリ１０２０に格納する。管理サーバ１００は、仮想的なネットワーク上で、新たにネットワークが構築された場合及びネットワークが更新された場合に、スイッチ３００毎に構成定義３１１０を生成する。そして、管理サーバ１００は、生成された構成定義３１１０の内容を管理者に通知する。

図２７は、本発明のネットワークが事前に設計される場合の管理サーバ１００のシーケンス図である。

管理者は、ネットワークの設計情報を管理サーバ１００に入力する（２７０１）。なお、ネットワークの設計情報には、リンク状態情報５００及びスイッチ情報を含む。すなわち、ネットワークの設計情報には、送信元スイッチ５００１、対象ポート５００２、接続先スイッチ５００３、接続先ポート５００４及び追加されたスイッチ３００がクライアント認証を実行できるか否かの情報が含まれる。

管理サーバ１００は、ネットワークの設計情報が入力されると、入力されたネットワークの設計情報を解析する。そして、管理サーバ１００は、ネットワークの設計情報が解析された結果に基づいて、ネットワーク構成情報１１１０及びポート設定情報１１４０を更新する（２７０２）。

そして、管理サーバ１００は、更新されたポート設定情報１１４０に基づいて、スイッチ３００毎の構成定義１１５０を生成する（２７０３）。

管理サーバ１００は、構成定義１１５０を生成すると、ネットワークの構成を表示する内容を更新し（２７０４）、管理者にネットワークの構成が変更された結果を通知する（２７０５）。管理者にネットワークの構成が変更された結果を通知する方法としては、例えば、表示装置の画面上に通知ウィンドウを表示する方法及びログファイルにメッセージを追記する方法等がある。

これによって、管理サーバ１００が管理者から入力されたネットワークの設計情報に基づいて、ネットワーク構成情報１１１０、ポート設定除法１１４０及びスイッチ３００毎の構成定義１１５０を更新するので、管理者は、スイッチ３００をネットワークに追加する前、又はスイッチ３００をネットワークから取り外す前に、予め管理サーバ１００がスイッチ３００の構成を変更する作業の内容を確認できる。

本発明の第一実施形態のネットワーク運用管理システムの構成を示す図である。 本発明の第一実施形態の管理サーバのブロック図である。 本発明の第一実施形態のスイッチのブロック図である。 本発明の第一実施形態の管理サーバ及びスイッチのシーケンス図である。 本発明の第一実施形態のリンク状態情報を示す図である。 本発明の第一実施形態のスイッチ情報を示す図である。 本発明の第一実施形態のネットワーク構成情報を示す図である。 本発明の第一実施形態のスイッチに対応するポート設定情報を示す図である。 本発明の第一実施形態のポート設定情報生成処理のフローチャートである。 本発明の第二実施形態のネットワーク運用管理システムの構成を示す図である。 本発明の第二実施形態の管理サーバ、既設スイッチ及び新規スイッチのシーケンス図である。 本発明の第二実施形態の規スイッチが追加された場合のスイッチに対応するポート設定情報の変化を示す図である。 本発明の第二実施形態の新規スイッチに対応するポート設定情報を示す図である。 本発明の第二実施形態のポート設定情報生成処理のフローチャートである。 本発明の第二の実施の形態のスイッチを取り外した場合の管理サーバ及びスイッチのシーケンス図である。 本発明の第二実施形態のリンク状態情報の構成を示す図である。 本発明の第二実施形態のリンク状態情報の変形例の構成を示す図である。 本発明の第二実施形態のリンク状態情報の変形例の構成を示す図である。 本発明の第三実施形態のネットワーク運用管理システムの構成を示す図である。 本発明の第三実施形態のネットワーク運用管理システムに、新規スイッチが追加された場合のネットワーク運用管理システムの構成を示す図である。 本発明の第三実施形態の新規スイッチが追加された場合のスイッチに対応するポート設定情報の変化を示す図である。 本発明の第三実施形態の新規スイッチに対応するポート設定情報を示す図である。 本発明の第三実施形態のポート設定情報生成処理のフローチャートである。 本発明の第四実施形態のＭＡＣ ＶＬＡＮ振分情報の構成を示す図である。 本発明の第四実施形態のＭＡＣ ＶＬＡＮを利用したネットワーク運用管理システムの構成を示す図である。 本発明の第四実施形態の新規スイッチが追加された場合のスイッチに対応するポート設定情報の変化を示す図である。 本発明の第四実施形態の新規スイッチに対応するポート設定情報を示す図である。 本発明のネットワークが事前に設計される場合の管理サーバのシーケンス図である。

Claims (18)

1. 演算処理をするプロセッサと、前記プロセッサに接続される記憶部と、前記プロセッサに接続され、ネットワークに接続されるインタフェースと、を備え、前記ネットワークを構築するスイッチを管理する管理計算機であって、
   前記記憶部は、前記スイッチの動作を制御する構成定義情報、前記スイッチ間の接続関係を示すネットワーク構成情報及び前記スイッチに備わるポートに接続される利用者端末が前記ネットワークに接続する権限があるか否かを認証するクライアント認証を前記各ポートで実行するか否かを示すポート設定情報を格納し、
   前記プロセッサは、
   前記ネットワーク構成情報に基づいて、前記スイッチに備わる各ポートで前記クライアント認証が実行されるか否かを判定し、
   前記判定結果に基づいて、前記各ポートで前記クライアント認証が実行されるか否かを前記ポート設定情報に設定することを特徴とする管理計算機。
2. 前記記憶部は、前記スイッチが前記クライアント認証を実行できるか否かを示すスイッチ情報が格納し、
   前記プロセッサは、
   前記スイッチ情報に基づいて、前記クライアント認証を実行できるスイッチか否かを判定し、
   前記クライアント認証を実行できるスイッチであると判定された場合に、前記ネットワーク構成情報に基づいて、前記クライアント認証を実行できるスイッチに備わる各ポートで前記クライアント認証が実行されるか否かを判定し、
   前記判定結果に基づいて、前記各ポートで前記クライアント認証が実行されるか否かを前記ポート設定情報に設定することを特徴とする請求項１に記載の管理計算機。
3. 前記プロセッサは、
   前記ネットワーク内に備わるスイッチから、リンク状態情報を送信する送信元スイッチの識別子、前記送信元スイッチに接続される対向スイッチの識別子、前記スイッチに備わるポートのうち前記対向スイッチに接続されるポートの識別子及び前記対向スイッチに備わるポートのうち前記送信元スイッチに接続される対向ポートの識別子を含むリンク状態情報を受信し、
   前記受信したリンク状態情報に基づいて、前記ネットワーク構成情報を設定し、
   前記設定されたネットワーク構成情報に基づいて、前記スイッチに備わる各ポートで前記クライアント認証が実行されるか否かを判定し、
   前記判定結果に基づいて、前記各ポートで前記クライアント認証が実行されるか否かを前記ポート設定情報に設定することを特徴とする請求項１に記載の管理計算機。
4. 前記管理計算機は、
   前記スイッチ情報及び前記リンク状態情報を受け付ける入力部を備えることを特徴とする請求項３に記載の管理計算機。
5. 新規スイッチが前記ネットワークに追加されると、
   前記プロセッサは、
   前記新規スイッチが接続された既設スイッチから、前記既設スイッチの識別子、前記既設スイッチに備わるポートのうち前記新規スイッチに接続される既設ポートの識別子、前記新規スイッチの識別子及び前記新規スイッチに備わるポートのうち前記既設スイッチに接続される新規ポートの識別子を含むリンク状態情報を受信し、
   前記受信したリンク状態情報に基づいて、前記新規スイッチ及び前記既設スイッチに備わる各ポートで前記クライアント認証が実行されるか否かを判定し、
   前記判定結果に基づいて、前記各ポートで前記クライアント認証が実行されるか否かを前記新規スイッチ及び前記既設スイッチに対応する前記ポート設定情報に設定することを特徴とする請求項１に記載の管理計算機。
6. 新規スイッチがネットワークに追加されると、
   前記プロセッサは、
   前記新規スイッチが接続された既設スイッチの接続関係を示すリンク状態情報を、前記既設スイッチから受信すると、
   前記受信したリンク状態情報に基づいて、前記新規スイッチに備わるポートのうち、前記利用者端末に接続可能なポートで前記クライアント認証が実行されるように、前記新規スイッチ及び前記既設スイッチに対応する前記ポート設定情報を設定することを特徴とする請求項１に記載の管理計算機。
7. 削除スイッチがネットワークから取り外されると、
   前記プロセッサは、
   前記削除スイッチが取り外された既設スイッチから、前記削除スイッチが前記既設スイッチから取り外されたことを示し、前記既設スイッチの識別子及び前記既設スイッチに備わるポートのうち前記削除スイッチが取り外されたポートの識別子を含むリンク状態情報を受信し、
   前記受信したリンク状態情報に基づいて、前記既設スイッチに備わる各ポートで前記クライアント認証が実行されるか否かを判定し、
   前記判定結果に基づいて、前記各ポートで前記クライアント認証が実行されるか否かを前記既設スイッチに対応する前記ポート設定情報に設定することを特徴とする請求項１に記載の管理計算機。
8. 削除スイッチがネットワークから取り外されると、
   前記プロセッサは、
   前記削除スイッチが取り外された既設スイッチの接続関係を示すリンク状態情報を、前記既設スイッチから受信すると、
   前記受信したリンク状態情報に基づいて、前記既設スイッチに備わるポートのうち、前記削除スイッチが取り外されたポートで前記クライアント認証が実行されるように、前記既設スイッチに対応する前記ポート設定情報を設定することを特徴とする請求項１に記載の管理計算機。
9. 前記ネットワークは、前記ネットワークを構成する各スイッチがＶＬＡＮ識別子によって一意に識別される一つ又は複数のＶＬＡＮを収容するネットワークであり、
   前記ポート設定情報は、前記ポートに割り当てられたＶＬＡＮ識別子を含み、
   新規スイッチが前記ネットワークに追加されると、
   前記プロセッサは、
   前記新規スイッチが接続された既設スイッチから、前記既設スイッチの識別子、前記既設スイッチに備わるポートのうち新規スイッチに接続される既設ポートの識別子、前記新規スイッチの識別子及び前記新規スイッチに備わるポートのうち前記既設スイッチに接続される新規ポートの識別子を含むリンク状態情報を受信し、
   前記既設スイッチに対応する前記ポート設定情報を参照し、前記既設ポートに割り当てられたＶＬＡＮ識別子を取得し、
   前記取得されたＶＬＡＮ識別子を前記新規ポートに割り当てるように、前記新規スイッチに対応する前記ポート設定情報を設定することを特徴とする請求項１に記載の管理計算機。
10. 前記ＶＬＡＮ識別子は、前記管理計算機が前記スイッチにアクセスするための管理用ＶＬＡＮ識別子を含み、
    前記プロセッサは、
    前記既設スイッチに対応するポート設定情報を参照し、
    前記既設スイッチのいずれかのポートに前記管理ＶＬＡＮ識別子が割り当てられていた場合、
    前記管理ＶＬＡＮ識別子及び前記取得された前記既設ポートに割り当てられたＶＬＡＮ識別子が前記新規ポートに割り当てられるように、前記新規スイッチに対応するポート設定情報を設定し、
    前記既設ポートに前記管理ＶＬＡＮ識別子が割り当てられるように、前記既設スイッチに対応するポート設定情報を設定することを特徴とする請求項９に記載の管理計算機。
11. 前記ネットワークは、前記ネットワークを構成する各スイッチがＶＬＡＮ識別子によって一意に識別される一つ又は複数のＶＬＡＮを収容するネットワークであり、
    前記ポート設定情報は、前記ポートに割り当てられたＶＬＡＮ識別子を含み、
    新規スイッチが前記ネットワークに追加されると、
    前記プロセッサは、
    前記新規スイッチに接続された既設スイッチから、前記既設スイッチの識別子、前記既設スイッチに備わるポートのうち新規スイッチに接続される既設ポートの識別子、前記新規スイッチの識別子及び前記新規スイッチに備わるポートのうち前記既設スイッチに接続される新規ポートの識別子を含むリンク状態情報を受信し、
    前記既設スイッチに対応する前記ポート設定情報を参照し、
    前記既設スイッチに備わる全てのポートに割り当てられた全てのＶＬＡＮ識別子を取得し、
    前記取得されたＶＬＡＮ識別子を前記新規ポートに割り当てるように、前記新規スイッチに対応する前記ポート設定情報を設定することを特徴とする請求項１に記載の管理計算機。
12. 前記ネットワークは、前記ネットワークを構成する各スイッチがＶＬＡＮ識別子によって一意に識別される一つ又は複数のＶＬＡＮを収容するネットワークであり、
    前記ポート設定情報は、前記ポートに割り当てられたＶＬＡＮ識別子及び前記ポートでＶＬＡＮ機能が有効化されているか否かを示すポート種別を含み、
    新規スイッチが前記ネットワークに追加されると、
    前記プロセッサは、
    前記新規スイッチが接続された既設スイッチから、前記既設スイッチの識別子、前記既設スイッチに備わるポートのうち新規スイッチに接続される既設ポートの識別子、前記新規スイッチの識別子及び前記新規スイッチに備わるポートのうち前記既設スイッチに接続される新規ポートの識別子を含むリンク状態情報を受信し、
    前記既設ポートのポート種別をＶＬＡＮ機能が無効化されるアクセスに設定されるように、前記既設スイッチに対応する前記ポート設定情報を設定し、
    前記新規ポートのポート種別をＶＬＡＮ機能が有効化されるトランクに設定され、かつ前記新規スイッチに備わるポートのうち前記新規スイッチ以外のポートのポート種別を前記アクセスに設定されるように、前記新規スイッチに対応する前記ポート設定情報を設定することを特徴とする請求項１に記載の管理計算機。
13. 前記ネットワークは、前記ネットワークを構成する各スイッチがＶＬＡＮ識別子によって一意に識別される一つ又は複数のＶＬＡＮを収容するネットワークであり、
    前記ポート設定情報は、前記ポートに割り当てられたＶＬＡＮ識別子及び前記ポートでＶＬＡＮ機能が有効化されているか否かを示すポート種別を含み、
    前記ネットワークから削除スイッチが削除されると、
    前記プロセッサは、
    前記削除スイッチが取り外された既設スイッチから、前記削除スイッチが前記既設スイッチから取り外されたことを示し、前記既設スイッチの識別子及び前記既設スイッチに備わるポートのうち前記削除スイッチが取り外された既設ポートの識別子を含むリンク状態情報を受信し、
    前記既設ポートのポート種別をＶＬＡＮ機能が有効化されるトランクに設定されるように、前記既設スイッチに対応するポート設定情報を設定することを特徴とする請求項１に記載の管理計算機。
14. 前記ポート設定情報は、前記ポートに割り当てられているＶＬＡＮ識別子を示す情報を含み、
    前記ネットワークから削除スイッチが削除されると、
    前記プロセッサは、
    前記削除スイッチが取り外された既設スイッチから、前記削除スイッチが前記既設スイッチから取り外されたことを示し、前記既設スイッチの一意な識別子及び前記既設スイッチに備わるポートのうち前記削除スイッチが取り外された既設ポートの識別子を含むリンク状態情報を受信し、
    前記既設スイッチに対応するポート設定情報を参照し、
    前記既設ポートに前記管理計算機が前記スイッチにアクセスするための管理ＶＬＡＮ識別子が割り当てられていた場合、
    前記既設ポートに割り当てられた前記管理ＶＬＡＮ識別子を、前記既設スイッチに対応するポート設定情報から削除するように、前記既設スイッチに対応する前記ポート設定情報を設定することを特徴とする請求項１３に記載の管理計算機。
15. 前記管理計算機は、前記ネットワークを介して認証サーバに接続され、
    前記認証サーバは、前記スイッチによって送信される認証要求メッセージに基づいて、前記利用者端末が前記ネットワークに接続する権限があるか否かを認証し、
    新規スイッチが前記ネットワークに追加されると、
    前記プロセッサは、前記新規スイッチによって送信される認証要求メッセージの送信先に前記認証サーバの識別子が含まれるように、前記新規スイッチに対応する構成定義情報を設定することを特徴とする請求項１に記載の管理計算機。
16. ネットワークを構築するスイッチと、前記ネットワークに接続され、前記ネットワークを管理する管理計算機と、前記スイッチに接続される利用者端末と、を備える計算機システムであって、
    前記スイッチは、演算処理をする第一プロセッサと、前記第一プロセッサに接続される第一記憶部と、前記ネットワークに接続される機器を接続するポートと、を備え、
    前記管理計算機は、演算処理をする第二プロセッサと、前記第二プロセッサに接続される第二記憶部と、前記ネットワークに接続される第二インタフェースと、を備え、
    前記第二記憶部は、前記スイッチ間の接続関係を示すネットワーク構成情報を格納し、
    前記第二プロセッサは、
    前記ネットワーク構成情報に基づいて、前記スイッチに備わる各ポートで、前記ネットワークに接続する権限があるか否かを認証するクライアント認証が実行されるか否かを判定し、
    前記判定結果に基づいて、前記各ポートで前記クライアント認証が実行されるか否かを前記スイッチに設定することを特徴とする計算機システム。
17. 新規スイッチが前記ネットワークに追加されると、
    前記新規スイッチが接続された既設スイッチに備わる前記第一プロセッサは、前記既設スイッチの接続関係を示すリンク状態を送信し、
    前記第二プロセッサは、
    前記リンク状態情報を受信すると、
    前記受信したリンク状態情報に基づいて、前記新規スイッチに備わるポートのうち、前記利用者端末に接続可能なポートで前記クライアント認証が実行されるように、前記スイッチを設定することを特徴とする請求項１６に記載の計算機システム。
18. 削除スイッチが前記ネットワークから取り外されると、
    前記削除スイッチが取り外された既設スイッチに備わる前記第一プロセッサは、前記既設スイッチの接続関係を示すリンク状態を送信し、
    前記第二プロセッサは、
    前記リンク状態情報を受信すると、
    前記受信したリンク状態情報に基づいて、前記既設スイッチに備わるポートのうち、前記削除スイッチが取り外されたポートで前記クライアント認証が実行されるように前記スイッチを設定することを特徴とする請求項１６に記載の計算機システム。

Images