JP4881672B2 - 通信装置及び通信制御プログラム - Google Patents

Description

本発明は、ネットワーク接続時に端末にユーザ認証を行い、認証サーバによって認証された端末によって送受信される通信データを中継する通信装置及び通信制御プログラムに関する。

従来より、正当な権限を有するユーザのみがネットワークにアクセスすることを管理する技術としては、下記の特許文献１や特許文献２に記載された技術が知られている。

下記の特許文献１には、ＰＨＳ（Personal Handyphone System）通信システムにおけるＰＨＳ子機をＰＨＳ親機で管理するために、ＰＨＳ子機の発信時に、ＰＨＳ子機からＰＨＳ親機にＩＤを送信して、当該ＰＨＳ親機によってＩＤが、事前に登録されているＩＤであるか否かを認証することが記載されている。

また、下記の特許文献２には、無線接続制御装置に無線端末のＭＡＣ（Media Access Control）アドレスを登録しておき、無線端末からパケットを無線接続制御装置で受信すると、受信したパケットに含まれるＭＡＣアドレスと予め登録されたＭＡＣアドレスとを比較して、接続の可否を判断することが記載されている。

更に、近年においては、認証サーバで端末をユーザ認証させるためのＩＥＥＥ（The Institute of Electrical and Electronics Engineers）８０２．１ｘサプリカント（認証クライアントソフトウェア）を汎用のＯＳ（Operation System）に付属させ、当該ＩＥＥＥ８０２．１ｘサプリカントと、同じくＩＥＥＥ８０２．１ｘに対応したＬＡＮ（Local Area Network）スイッチ等のアクセスポイント（認証装置）と、ＲＡＤＩＵＳ（Remote Authentication Dial-In-User-Service）サーバ等の認証サーバとによって、端末のユーザ認証ができるようになっている。

具体的には、ＩＥＥＥ８０２．１ｘに準拠したＬＡＮスイッチに端末が接続された場合に、ＬＡＮスイッチから端末に認証情報の返信を要求するリクエストパケットを送信し、当該端末のＩＥＥＥ８０２．１ｘサプリカントからＬＡＮスイッチに認証情報を送信して、当該認証情報をＬＡＮスイッチからＲＡＤＩＵＳサーバに送信する。そして、ＲＡＤＩＵＳサーバによって、認証が許可された場合にはＬＡＮスイッチを介した端末の通信を許可し、認証が失敗した場合にはＬＡＮスイッチを介した端末の通信を禁止している。このように、ＩＥＥＥ８０２．１ｘサプリカントとＬＡＮスイッチとＲＡＤＩＵＳサーバとによる認証プロセスは、ＬＡＮスイッチによって端末が接続されたことを検知した場合に、ＬＡＮスイッチがリクエストパケットを送信することによって開始されていた。
特開２００１−１６６４６号公報 特開２００６−７４６８０号公報

しかしながら、上述の認証プロセスにおいて、ＩＥＥＥ８０２．１ｘサプリカントは、自ら認証スタートパケットを送信しないために、ＬＡＮスイッチの配下にハブやスイッチ等の中継装置を介して端末が接続された場合には、ＬＡＮスイッチによる認証プロセスが開始されない。

これに対し、ＬＡＮスイッチを、定期的にＩＥＥＥ８０２．１ｘに準拠したリクエストパケットをマルチキャストで送信するように構成したり、端末からのＩＰパケットをＬＡＮスイッチで受信する度に、当該ＩＰパケットに含まれるＭＡＣアドレスを宛先としてＩＥＥＥ８０２．１ｘのリクエストパケットを送信していた。

しかしながら、定期的にリクエストパケットを送信するようにＬＡＮスイッチを構成した場合には、リクエストパケットの送信間隔を長くすると、端末がリクエストパケットを受信するまでの待ち時間がながくなって、端末がＬＡＮスイッチに接続されたにも拘わらずＲＡＤＩＵＳサーバによる認証が行われないという問題がある。また、マルチキャストするリクエストパケットの送信間隔を短くすると、一度認証された端末に対してもリクエストパケットを送信してしまうことによって常に認証プロセスを行い続けるために、ＬＡＮスイッチにおけるＣＰＵの処理負荷が大きく、且つＲＡＤＩＵＳサーバへも大量の認証結果ログが蓄積されてしまう問題がある。

また、端末からＩＰパケットを受信する度にＬＡＮスイッチからリクエストパケットを送信する場合には、端末の通信が発生する度に認証プロセスを行い続けるために、ＬＡＮスイッチの処理負荷の増大する問題、ＲＡＤＩＵＳサーバへ大量の認証結果ログが蓄積される問題があった。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、所定の認証プロセスによって端末を認証できない場合であっても、処理負荷の増大等を招くことなく当該端末を認証することができる通信装置及び通信制御プログラムを提供することを目的とする。

本発明は、一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置において、前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、前記アドレステーブルは、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有し、端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末に認証情報を返送するリクエストを供給することによって当該端末の認証情報を取得して、当該認証情報に基づく認証処理を前記認証サーバに行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する。

更に、本発明を適用した他の通信装置は、一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置において、前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、前記アドレステーブルは、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有し、端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成し、この認証情報を前記認証サーバに供給して認証処理を行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する。

本発明を適用した通信制御プログラムは、一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置のコンピュータに記憶される通信制御プログラムであって、前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルであって、前記認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有する前記アドレステーブルを作成する機能と、端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末に認証情報を返送するリクエストを供給することによって当該端末の認証情報を取得して、当該認証情報に基づく認証処理を前記認証サーバに行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する機能とを前記通信装置のコンピュータに実現させる。

また、本発明を適用した他の通信制御プログラムは、一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置のコンピュータに記憶される通信制御プログラムであって、前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルであって、前記認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有する前記アドレステーブルを作成する機能と、端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成し、この認証情報を前記認証サーバに供給して認証処理を行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する機能とを前記通信装置のコンピュータに実現させる。

本発明に係る通信装置によれば、端末の認証情報に基づいて認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、端末から受信した通信データに含まれるアドレスがアドレステーブルに登録されていない場合に、当該アドレスを有する端末から認証情報を取得し、当該認証情報に基づく認証処理を認証サーバに行わせることができるので、端末が自ら認証情報を送信しなく所定の認証プロセスによって端末を認証できない場合であっても、処理負荷の増大等を招くことなく当該端末を認証することができる。

また、この通信装置によれば、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、認証サーバによって認証処理がされていない端末のアドレスを登録する第２のアドレステーブルを備え、端末から送信された通信データに第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末の認証情報を取得し、当該認証情報に基づく認証処理を認証サーバに行わせることができるので、端末が自ら認証情報を送信しなく所定の認証プロセスによって端末を認証できない場合であっても、処理負荷の増大等を招くことなく当該端末を認証することができる。

更に、本発明を適用した他の通信装置によれば、認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、端末から通信データを受信した場合に、当該通信データに含まれるアドレスがアドレステーブルに登録されていない場合には、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成して認証サーバに認証処理を行わせることができるので、所定の認証プロセスを行うことができない端末であっても、当該端末を認証させることができる。

また、この通信装置によれば、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、認証サーバによって認証処理がされていない端末のアドレスを登録する第２のアドレステーブルを備え、端末から送信された通信データに第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成するので、所定の認証プロセスを行うことができない端末であっても、当該端末を認証させることができる。

本発明を適用した通信制御プログラムによれば、通信装置のコンピュータに、端末の認証情報に基づいて認証サーバによって認証された端末のアドレスを登録するアドレステーブルを作成する機能を実現し、更に、端末から送信された通信データに含まれるアドレスがアドレステーブルに登録されていない場合に、当該アドレスを有する端末の認証情報を取得して認証サーバに認証処理を行わせることができるので、端末が自ら認証情報を送信しなく所定の認証プロセスによって端末を認証できない場合であっても、処理負荷の増大等を招くことなく当該端末を認証することができる。

また、本発明を適用した他の通信制御プログラムによれば、通信装置のコンピュータに、認証サーバによって認証された端末のアドレスを登録するアドレステーブルを作成する機能を実現し、端末から通信データを受信した場合に、当該通信データに含まれるアドレスがアドレステーブルに登録されていない場合には、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成して認証サーバに認証処理を行わせることができるので、所定の認証プロセスを行うことができない端末であっても、当該端末を認証させることができる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明は、例えば図１に示すような通信システムにおけるＬＡＮスイッチ１（通信装置）に適用される。この通信システムは、ＬＡＮスイッチ１を介して端末３Ａ，３Ｂ，３Ｃ（以下、総称する場合には単に「端末３」と呼ぶ。）がネットワークＮＷに通信を行う場合に、ＬＡＮスイッチ１及びＲＡＤＩＵＳサーバ２によって端末３を認証するものである。この通信システムは、例えばＩＥＥＥ８０２．１ｘ規格に準拠した認証プロセスを行うものであり、端末３Ａ，３Ｂ，３Ｃが認証クライアント(認証処理対象）となり、ＬＡＮスイッチ１が認証装置となり、ＲＡＤＩＵＳサーバ２が認証サーバとなる。

ＬＡＮスイッチ１は、ネットワークＮＷを介してＲＡＤＩＵＳサーバ２と接続されると共に、端末３と接続されている。端末３Ａは、ＬＡＮスイッチ１に直接接続され、端末３Ｂは、スイッチングハブ４Ａを介して間接的にＬＡＮスイッチ１に接続され、端末３Ｃは、スイッチングハブ４Ｂを介して間接的にＬＡＮスイッチ１に接続されている。

ＩＥＥＥ８０２．１ｘに準拠した認証プロセスを行うために、端末３Ａ，３ＢはＩＥＥＥ８０２．１ｘサプリカントがインストールされ、ＬＡＮスイッチ１と、ＲＡＤＩＵＳサーバ２とは、それぞれ、ＩＥＥＥ８０２．１ｘに準拠したプログラムがインストールされている。また、端末３Ｃは、ＩＥＥＥ８０２．１ｘサプリカントがインストールされていないものとする。

このＩＥＥＥ８０２．１ｘに準拠した認証プロセスについて説明する。通常、ＩＥＥＥ８０２．１ｘの認証プロセスは、ＬＡＮスイッチ１に直接的に端末３Ａが接続されたことをＬＡＮスイッチ１で検知すると、ＬＡＮスイッチ１から端末３Ａに認証情報の返信を要求する認証リクエストパケットを送信することによって開始される。

端末３Ａは、ＬＡＮスイッチ１から認証リクエストパケットを受信すると、当該認証リクエストパケットに応答して、ユーザＩＤ、パスワード、電子証明書等の認証情報を含む認証スタートパケットをＬＡＮスイッチ１に返信する。ＬＡＮスイッチ１は、端末３Ａから認証情報を取得すると、当該認証情報をＲＡＤＩＵＳサーバ２に送信して、ＲＡＤＩＵＳサーバ２で認証を行わせる。このとき、ＲＡＤＩＵＳサーバ２は、予め登録されている端末３Ａの認証情報と、ＬＡＮスイッチ１から送信された認証情報とが合致するか否かを判定して、合致する場合には端末３Ａの通信を許可する認証結果をＬＡＮスイッチ１に返信する。この認証結果によって端末３Ａの通信が許可された場合には、ＬＡＮスイッチ１は、以降において端末３Ａから送信されたパケット（通信データ）の中継を行い、認証結果によって端末３Ａの通信が許可されなかった場合には、以降において端末３Ａから送信されたパケットを破棄する。これによって、ＬＡＮスイッチ１は、ＲＡＤＩＵＳサーバ２によってユーザ認証された端末３のみをネットワークＮＷに対してアクセス可能とする。

スイッチングハブ４Ａ，４Ｂは、所謂ノンインテリジェントハブであり、ＳＮＭＰ（Simple Network Management Protocol）エージェントの機能を有しておらず、遠隔からのネットワーク管理に対応していないものである。すなわち、スイッチングハブ４Ａ，４Ｂは、当該ハブを流れるデータに関する情報をＳＮＭＰマネージャに送信したり、ＳＮＭＰマネージャの要求に従ってデータを制御することができない。したがって、スイッチングハブ４Ａ，４Ｂは、喩えＬＡＮスイッチ１がＳＮＭＰマネージャの機能を有していても、自己に接続されている端末３Ｂ，３Ｃの情報をＬＡＮスイッチ１に通知することはできない。

このようなスイッチングハブ４Ａに接続された端末３Ｂは、ＩＥＥＥ８０２．１ｘサプリカントがインストールされていても、既にスイッチングハブ４ＡがＬＡＮスイッチ１に接続された状態で、スイッチングハブ４Ａに接続された場合には、ＬＡＮスイッチ１によって新たな端末３Ｂが接続されたことが検知されないために、ＬＡＮスイッチ１から認証リクエストパケットを送信することはできない。

また、ＬＡＮスイッチ１には、ＩＥＥＥ８０２．１ｘサプリカントがインストールされていない端末３Ｃが接続された場合には、当該端末３Ｃに認証リクエストパケットを送信しても、当該端末３Ｃからは認証情報を含む認証スタートパケットを受信することができない。

これに対し、ＬＡＮスイッチ１は、スイッチングハブ４Ａを介して接続された端末３Ｂ、及び、ＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃの認証を行う構成を備えている。

ＬＡＮスイッチ１は、図２に示すように、通信制御部１１と、ＲＡＤＩＵＳサーバ２によって認証済の端末３のＭＡＣアドレスを登録した認証済端末アドレステーブル（第１のアドレステーブル）１２と、ＲＡＤＩＵＳサーバ２によって未認証の端末３のＭＡＣアドレスを登録した未認証端末アドレステーブル（第２のアドレステーブル）１３とを備える。また、ＬＡＮスイッチ１は、端末３が直接的又は端末３がスイッチングハブ４を介して間接的に接続されるポート番号が「１」〜「６」の複数のポートＰ１〜Ｐ６と、ネットワークＮＷ側のポート番号が「７」〜「１２」の複数のポートＰ７〜Ｐ１２とを有する。ＬＡＮスイッチ１は、認証済端末アドレステーブル１２を参照して、端末３で送受信されるパケットがポートＰ１〜Ｐ６とポートＰ７〜Ｐ１２との間で通信されることの可否を制御する。

認証済端末アドレステーブル１２は、図３に示すように、ＲＡＤＩＵＳサーバ２によって認証済であって通信が許可された端末３のＭＡＣアドレスと、当該ＭＡＣアドレスを有する端末３が接続された図２に示すＬＡＮスイッチ１のポート番号とを対応付けしている。認証済端末アドレステーブル１２は、認証プロセスによって作成され、端末３で送受信されるパケットをＬＡＮスイッチ１で受信した場合に、通信制御部１１によって参照される。

未認証端末アドレステーブル１３は、ＬＡＮスイッチ１及びＲＡＤＩＵＳサーバ２によって認証プロセスが未だ行われていない未認証の端末３のＭＡＣアドレスと、当該ＭＡＣアドレスを有する端末３が接続された図２に示すＬＡＮスイッチ１のポート番号とを対応付けしている。未認証端末アドレステーブル１３は、端末３からのパケット受信時に作成され、予め設定した所定期間ごとに通信制御部１１によって参照される。

通信制御部１１は、プログラムを記憶したプログラム用メモリ及び当該プログラムを読み込んで実行するＣＰＵ（Central Processing Unit）等からなる。通信制御部１１が記憶・実行するプログラムは、認証プロセスによって認証済端末アドレステーブル１２を作成する認証プログラム２１と、端末３で送受信されるパケットを認証済端末アドレステーブル１２を参照して中継すると共に未認証端末アドレステーブル１３及び端末３の認証情報を作成する中継／テーブル作成プログラム２２とからなる。これら認証プログラム２１及び中継／テーブル作成プログラム２２は、通信制御部１１のＣＰＵ（コンピュータ）に、端末３をＲＡＤＩＵＳサーバ２でユーザ認証させる機能、認証済端末アドレステーブル１２と未認証端末アドレステーブル１３と認証情報とを作成させる機能、端末３で送受信されるパケットを中継又は破棄する機能を実現させる。

中継／テーブル作成プログラム２２は、端末３からパケットを受信した場合に、認証済端末アドレステーブル１２を参照して、当該受信したパケットに認証済端末アドレステーブル１２に登録されたＭＡＣアドレスが含まれている場合には当該パケットの中継を行い、認証済端末アドレステーブル１２に登録されたＭＡＣアドレスが含まれていない場合には、当該ＭＡＣアドレスを未認証端末アドレステーブル１３に登録する。

認証プログラム２１は、認証プロセスによってＲＡＤＩＵＳサーバ２によって認証された端末３のアドレスを登録する認証済端末アドレステーブル１２を作成する。認証プログラム２１は、端末３から送信されたパケットに含まれるＭＡＣアドレスが認証済端末アドレステーブル１２に登録されていない場合に、当該ＭＡＣアドレスを有する端末３に認証情報を返送する認証リクエストパケットを供給して、端末３の認証情報を取得し、当該認証情報に基づく認証処理をＲＡＤＩＵＳサーバ２に行わせ、当該ＲＡＤＩＵＳサーバ２による認証処理の結果、当該端末３の通信を許可する場合には、当該端末３のアドレスを認証済端末アドレステーブル１２に登録する。これにより、ＬＡＮスイッチ１は、スイッチングハブ４を介して端末３Ｂが接続されていて、端末３Ｂが自ら認証情報を送信しない場合であっても、当該端末３Ｂからパケットを受信した時に、当該パケットに含まれるＭＡＣアドレス宛に認証リクエストパケットを送信して、端末３Ｂから認証スタートパケットに含まれる認証情報を取得することができる。

また、認証プログラム２１は、端末３から送信されたパケットに未認証端末アドレステーブル１３に登録されたＭＡＣアドレスが含まれている場合に、当該ＭＡＣアドレスを有する端末３に認証情報を返送する認証リクエストパケットを供給することによって当該端末３の認証情報を取得して、当該認証情報に基づく認証処理をＲＡＤＩＵＳサーバ２に行わせ、当該ＲＡＤＩＵＳサーバ２による認証処理の結果、当該端末３の通信を許可する場合には、当該端末３のＭＡＣアドレスを認証済端末アドレステーブル１２に登録すると共に未認証端末アドレステーブル１３から削除する。これによって、認証プログラム２１は、スイッチングハブ４Ａを介して接続された端末３Ｂに対して認証リクエストパケットを送信することによって当該端末３Ｂから認証スタートパケットを取得できる。

更に、認証プログラム２１は、ＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃから送信されたパケットを受信した場合であって、当該パケットに含まれるＭＡＣアドレスが認証済端末アドレステーブル１２に登録されていない場合に、中継／テーブル作成プログラム２２で生成した認証情報をＲＡＤＩＵＳサーバ２に送信する。そして、ＲＡＤＩＵＳサーバ２による認証処理の結果、当該端末３Ｃの通信を許可する場合には、当該端末３ＣのＭＡＣアドレスを認証済端末アドレステーブル１２に登録する。これにより、ＬＡＮスイッチ１は、ＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃが接続されている場合であっても、当該端末３Ｃから送信されたパケットから端末３Ｃの認証情報を作成して、端末３Ｃに代理して認証プロセスを行うことができる。

更にまた、認証プログラム２１は、ＭＡＣアドレスを含むパケットを解析して、端末３の認証情報を自ら作成する。例えば、端末３Ｃから取得したパケットを解析した結果としてのＭＡＣアドレスやＩＰアドレスを、端末３Ｃを特定する情報として取得しておく。

つぎに、上述したように構成されたＬＡＮスイッチ１の通信制御部１１によって中継／テーブル作成プログラム２２を実行することによって行われる処理について図４を参照して説明する。

通信制御部１１は、先ずステップＳ１において、端末側のポートＰ１〜Ｐ１２からパケットを受信したか否かを判定し、パケットを受信していない場合にはアイドル状態に戻り（ステップＳ２）、パケットを受信した場合にはステップＳ３に処理を進める。

ステップＳ３において通信制御部１１は、ステップＳ１で受信したパケットに含まれるＭＡＣアドレスを取り出し、当該ＭＡＣアドレスが認証済端末アドレステーブル１２に登録されたＭＡＣアドレスか否かを判定する。そして、通信制御部１１は、ステップＳ１で受信したパケットに含まれるＭＡＣアドレスが認証済端末アドレステーブル１２に登録されている場合には当該パケットを中継し（ステップＳ４）、ステップＳ１で受信したパケットに含まれるＭＡＣアドレスが認証済端末アドレステーブル１２に登録されていない場合にはステップＳ５に処理を進める。

ステップＳ５において通信制御部１１は、認証済端末アドレステーブル１２にＭＡＣアドレスが登録されていない端末３からのパケットを破棄する。

次のステップＳ６において通信制御部１１は、ステップＳ１で受信したパケットに含まれるＭＡＣアドレスを未認証端末アドレステーブル１３に登録する。このとき、通信制御部１１は、ステップＳ１でパケットを受信したポート番号と共にＭＡＣアドレスを未認証端末アドレステーブル１３に登録する。

このように、ＬＡＮスイッチ１は、ＲＡＤＩＵＳサーバ２によって認証されて通信が許可された端末３のＭＡＣアドレスを認証済端末アドレステーブル１２に登録しておき、当該認証済端末アドレステーブル１２に登録されていないＭＡＣアドレスを含むパケットを受信した場合に、当該ＭＡＣアドレスを未認証端末アドレステーブル１３に登録する。これにより、図１に示したように、端末３ＡのようにＬＡＮスイッチ１に対して直接的に接続されておらず、端末３Ｂのようにスイッチングハブ４Ａを介して接続されている場合に、認証プロセスによって端末３Ｂが認証されない場合であっても、スイッチングハブ４Ａを介してＬＡＮスイッチ１に接続されている端末３ＢのＭＡＣアドレスを未認証端末アドレステーブル１３に登録することができる。

つぎに、ＬＡＮスイッチ１の通信制御部１１により、認証プログラム２１を実行することによって行われる認証プロセスについて図５を参照して説明する。なお、この認証プロセスには、（１）ＬＡＮスイッチ１に対する端末３の切断時の処理、（２）ＬＡＮスイッチ１に対するＩＥＥＥ８０２．１ｘサプリカントを実装した端末３がスイッチングハブ４を介さずに直接接続された時の認証プロセス、（３）ＬＡＮスイッチ１に対するＩＥＥＥ８０２．１ｘサプリカントを実装した端末３がスイッチングハブ４を介して接続されているときの認証プロセス、（４）ＬＡＮスイッチ１に対してＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３を認証する認証プロセスを含んでいる。

通信制御部１１は、先ず、ポートＰ１〜Ｐ６に対する端末３の接続の切断を検出した場合（ステップＳ１１）、端末３Ａのように直接的にＬＡＮスイッチ１に接続されたことを検出した場合（ステップＳ１２）、未認証端末アドレステーブル１３にＭＡＣアドレスが登録されているか否かを検出する所定時間が経過したことを検出した場合（ステップＳ１３）に、ステップＳ１０のアイドル状態から遷移する。

ステップＳ１１において端末３の接続の切断を検出した場合、通信制御部１１は、ステップＳ１４において、当該切断された端末３のＭＡＣアドレス及びポート番号を認証済端末アドレステーブル１２から削除して、ステップＳ１０のアイドル状態に戻る。

このように、ＬＡＮスイッチ１は、上記（１）のＬＡＮスイッチ１に対する端末３の切断時の処理を行って、切断された端末３が認証済端末アドレステーブル１２に登録され続けることを回避する。

ステップＳ１２において端末３が直接的にＬＡＮスイッチ１のポートＰ１〜Ｐ６の何れかに接続されたことを検出した場合、通信制御部１１は、ステップＳ１５において、認証情報の返信を要求する認証リクエストパケットを送信する。そして、通信制御部１１は、送信した認証リクエストパケットに対する応答の認証スタートパケットを端末３から受信したか否かを判定し、受信していない場合にはステップＳ１０のアイドル状態に戻り、端末３から認証スタートパケットを受信した場合にはステップＳ１７に処理を進める。

ステップＳ１７において通信制御部１１は、ステップＳ１６において受信した認証スタートパケットの送信元の端末３のＭＡＣアドレスが、当該パケットを受信したポートのポート番号に対応付けられて認証済端末アドレステーブル１２に登録されているか否かを判定する。認証済端末アドレステーブル１２に登録されている場合には、通信制御部１１は、ステップＳ１８において、ステップＳ１６で受信した認証スタートパケットに含まれる認証情報をＲＡＤＩＵＳサーバ２に送信する。

一方、認証済端末アドレステーブル１２に登録されていない場合には、ステップＳ１９に処理を進め、通信制御部１１は、ステップＳ１６で認証スタートパケットを受信したポートのポート番号以外のポート番号に対応付けられて、ステップＳ１６で受信した認証スタートパケットの送信元の端末３のＭＡＣアドレスが登録されているか否かを判定し、そうである場合には、ステップＳ２０において当該ＭＡＣアドレスを認証済端末アドレステーブル１２から削除し、そうではない場合には、ステップＳ２１において、認証済端末アドレステーブル１２に登録されたＭＡＣアドレス数が所定数未満か否かを判定する。

ステップＳ２１において認証済端末アドレステーブル１２に登録されたＭＡＣアドレス数が所定数未満であると判定した場合には、ステップＳ１８に処理を進めて認証情報をＲＡＤＩＵＳサーバ２に送信し、所定数未満ではない場合にはステップＳ１０のアイドル状態に戻る。

ステップＳ１８において端末３から送信された認証情報を送信した後のステップＳ２２において、通信制御部１１は、ＲＡＤＩＵＳサーバ２の認証結果を受信して、ＲＡＤＩＵＳサーバ２によるユーザ認証によって端末３の通信が許可されたか否かを判定する。端末３の通信が許可されたと判定した場合、通信制御部１１は、ステップＳ２３に処理を進め、端末３の通信が許可されていないと判定した場合には、ステップＳ２５に処理を進める。

ステップＳ２３において、通信制御部１１は、端末３のＭＡＣアドレス及び端末３が接続されているポートのポート番号を認証済端末アドレステーブル１２に登録する。次に通信制御部１１は、ステップＳ２４において、認証済端末アドレステーブル１２に登録したＭＡＣアドレスが未認証端末アドレステーブル１３に登録されているかを判定して、登録されている場合には未認証端末アドレステーブル１３から削除して、ステップＳ１０のアイドル状態に戻る。

一方、ステップＳ２２において、ＲＡＤＩＵＳサーバ２によって端末３の通信が許可されなかった場合には、ステップＳ２５において、通信制御部１１は、当該端末３のＭＡＣアドレスが認証済端末アドレステーブル１２に登録されているか否かを判定する。認証済端末アドレステーブル１２に登録されている場合、ステップＳ２６において、通信制御部１１は、認証済端末アドレステーブル１２から当該端末３のＭＡＣアドレスを削除して、ステップＳ１０のアイドル状態に戻る。

このように、ＬＡＮスイッチ１は、ステップＳ１２において、ＩＥＥＥ８０２．１ｘに準拠した端末３Ａが新たにＬＡＮスイッチ１に接続された場合には、認証リクエストパケットを送信することによって端末３からの認証情報を得てＲＡＤＩＵＳサーバ２で認証を行わせて、認証済端末アドレステーブル１２に登録することができる。

通信制御部１１は、ステップＳ１３において未認証端末アドレステーブル１３にＭＡＣアドレスが登録されているか否かを参照する所定時間が経過したことを検出した場合には、ステップＳ２７において、図４に示す処理によって未認証端末アドレステーブル１３にＭＡＣアドレスが登録されているか否かを判定する。なお、ステップＳ１３で検出する所定時間は、例えば５秒といったように、任意の時間を設定しておくことができる。

ステップＳ２７において未認証端末アドレステーブル１３にＭＡＣアドレスが登録されていると判定した場合には、ステップＳ２８に処理を進め、ＭＡＣアドレスが登録されていないと判定した場合には再度ステップＳ１０のアイドル状態に戻る。

ステップＳ２８において通信制御部１１は、未認証端末アドレステーブル１３に登録されているＭＡＣアドレスを宛先とした認証リクエストパケットを送信し、ステップＳ２９において通信制御部１１は、送信した認証リクエストパケットに対して端末３から認証スタートパケットを受信したか否かを判定する。ここで、未認証端末アドレステーブル１３に登録されているＭＡＣアドレスを有する端末３がスイッチングハブ４を介して間接接続されている場合には、当該端末３から認証スタートパケットを受信することができ、ステップＳ１７以降に処理を進める。

このように、ＬＡＮスイッチ１は、スイッチングハブ４を介して間接接続されている端末３ＢのＭＡＣアドレスを未認証端末アドレステーブル１３に登録することによって、当該端末３Ｂに認証リクエストパケットを送信して端末３Ｂの認証情報を得て、ＲＡＤＩＵＳサーバ２でユーザ認証を行わせることができる。

また、ステップＳ２８において未認証端末アドレステーブル１３に登録されている端末３に認証リクエストパケットを送信したにも拘わらず、ステップＳ２９において認証スタートパケットを受信できない場合には、ステップＳ３０において、通信制御部１１は、端末３の認証情報を含む要求を、端末３に代理してＲＡＤＩＵＳサーバ２に送信して、ステップＳ２２に処理を進める。このとき、通信制御部１１は、当該端末３からのパケットに含まれる情報を解析して、端末３の認証情報を自ら作成する。

また、ＬＡＮスイッチ１は、認証済端末アドレステーブル１２に登録されていないＭＡＣアドレスを含むパケットを受信した場合に、当該パケットに含まれる情報から、端末３の認証情報を自ら作成することができる。これにより、端末３ＣのようにＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃに代理してＲＡＤＩＵＳサーバ２に送信する認証情報を自ら作成できる。

そして、ＲＡＤＩＵＳサーバ２は、ＬＡＮスイッチ１によって作成された認証情報と、予め記憶しておいた認証情報とを用いて認証を行って認証結果をＬＡＮスイッチ１に返信する。ここで、ＲＡＤＩＵＳサーバ２は、ＬＡＮスイッチ１で作成された認証情報で認証を行うために、予め正当な端末３Ｃの認証情報（ＩＰアドレス、ＭＡＣアドレス、その他ユーザを特定する情報、その組み合わせ）を登録しておく必要がある。

このように、ＬＡＮスイッチ１は、ＩＥＥＥ８０２．１ｘサプリカントを実装していない端末３Ｃの認証情報を自ら作成し、当該端末３Ｃから認証スタートパケットを受信していない場合であっても、端末３Ｃに代理して認証情報をＲＡＤＩＵＳサーバ２に送信して、端末３Ｃのユーザ認証を行わせることができる。

以上詳細に説明したように、本発明を適用したＬＡＮスイッチ１によれば、ＩＥＥＥ８０２．１ｘに準拠した認証プロセスによって端末３を認証できない場合であっても、認証されていない端末３からのパケットを受信する度又は定期的に認証リクエストパケットを送信する必要ないので、処理負荷の増大を招くことがなく、正当なユーザが使用している端末３の認証を行うことができる。また、ＬＡＮスイッチ１によれば、認証されていない端末３を複数回に亘ってＲＡＤＩＵＳサーバ２でユーザ認証をさせることも無いので、ＲＡＤＩＵＳサーバ２に認証結果のログが大量に蓄積されることを回避できる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明を適用したＬＡＮスイッチを含む通信システムの構成を示すブロック図である。 本発明を適用したＬＡＮスイッチの機能的な構成を示すブロック図である。 認証済端末アドレステーブル及び未認証端末アドレステーブルを説明する図である。 本発明を適用したＬＡＮスイッチによって、端末からパケットを受信した場合の処理手順を示すフローチャートである。 本発明を適用したＬＡＮスイッチによる認証プロセスの処理手順を示すフローチャートである。

符号の説明

１ ＬＡＮスイッチ（通信装置）
２ ＲＡＤＩＵＳサーバ（認証サーバ）
３Ａ，３Ｂ，３Ｃ 端末
４Ａ，４Ｂ スイッチングハブ
１１ 通信制御部
１２ 認証済端末アドレステーブル（第１のアドレステーブル）
１３ 未認証端末アドレステーブル（第２のアドレステーブル）
２１ 認証プログラム
２２ 中継／テーブル作成プログラム

Claims (4)

1. 一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置において、
   前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、
   前記アドレステーブルは、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有し、
   端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末に認証情報を返送するリクエストを供給することによって当該端末の認証情報を取得して、当該認証情報に基づく認証処理を前記認証サーバに行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する
   ことを特徴とする通信装置。
2. 一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置において、
   前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルを備え、
   前記アドレステーブルは、認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有し、
   端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成し、この認証情報を前記認証サーバに供給して認証処理を行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する
   ことを特徴とする通信装置。
3. 一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置のコンピュータに記憶される通信制御プログラムであって、
   前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルであって、前記認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有する前記アドレステーブルを作成する機能と、
   端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末に認証情報を返送するリクエストを供給することによって当該端末の認証情報を取得して、当該認証情報に基づく認証処理を前記認証サーバに行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する機能と
   を前記通信装置のコンピュータに実現させることを特徴とする通信制御プログラム。
4. 一又は複数の認証処理対象となる端末が接続されるとともに当該端末の認証処理を行う認証サーバが接続されたネットワークに接続される通信装置のコンピュータに記憶される通信制御プログラムであって、
   前記端末から送信された通信データに含まれるアドレスを登録するアドレステーブルであって、前記端末の認証情報に基づいて前記認証サーバによって認証された端末のアドレスを登録するアドレステーブルであって、前記認証サーバによって認証された端末のアドレスを登録する第１のアドレステーブルと、通信データに含まれるアドレスが前記第１のアドレステーブルに登録されていない場合に、当該アドレスを前記認証サーバによって認証処理がされていない端末のアドレスとして登録する第２のアドレステーブルを有する前記アドレステーブルを作成する機能と、
   端末から送信された通信データに前記第２のアドレステーブルに登録されたアドレスが含まれている場合に、当該アドレスを有する端末を代理して当該端末の認証情報を自ら生成し、この認証情報を前記認証サーバに供給して認証処理を行わせ、当該認証サーバによる認証処理の結果、当該端末の通信を許可する場合には、当該端末のアドレスを前記第１のアドレステーブルに登録すると共に前記第２のアドレステーブルから削除する機能と
   を前記通信装置のコンピュータに実現させることを特徴とする通信制御プログラム。

Images