JP5350333B2 - パケット中継装置及びネットワークシステム - Google Patents

Description

本発明は、パケット中継装置及びネットワークシステムに関する。

ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークにおいて、送信端末から送信されるＩＰパケットを、送信端末の状態や送信パケットに含まれる情報（宛先ＩＰアドレスなど）を基に、中継先ネットワークを選択する技術が存在する。中継先ネットワークを選択する技術の例としては、認証ネットワークシステムを実現するダイナミックＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）が挙げられる。

認証ネットワークシステムとは、端末が認証や検疫（以下、単に「認証」）を行うネットワーク（以下、単に「認証ネットワーク」）と、端末が認証を行った後（以下、単に「認証後」）に接続するネットワーク（以下、単に「業務ネットワーク」）を有し、認証が済んだ端末（以下、単に「認証済み端末」）のみが業務ネットワークへのアクセスを許可され、認証が済んでいない端末（以下、単に「未認証端末」）による不正アクセスを防止するネットワークシステムである。

ダイナミックＶＬＡＮは、認証ネットワークと業務ネットワークそれぞれを異なるＶＬＡＮで構成し、端末の認証状態に応じて、端末の所属ＶＬＡＮを変更し、端末の送信パケットの中継先ネットワークを切り替える技術である。ダイナミックＶＬＡＮでは、認証前後で端末の所属ＶＬＡＮが変更されるため、認証前後で端末に対して異なるサブネットのＩＰアドレスを付与する必要がある。そのため、認証前後でサブネットを分けるため、ＩＰアドレスの利用効率が低くなる。

ダイナミックＶＬＡＮに対し、認証前後で同じＩＰアドレスを付与する方法が、特許文献１に記されている。それは、認証ネットワークと業務ネットワークをそれぞれＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）として構成し、各ＶＰＮ内で端末が所属するＶＬＡＮのＩＰサブネットを同一にすることで実現する。端末に付与するＩＰアドレスは、各ＶＰＮに設置されたＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバがＶＰＮ間で同期することで、端末が認証前後で付与されるＩＰアドレスが同一のものとなるようにしている。

特開２００８−１９３２３１号公報

特許文献１の技術では、ダイナミックＶＬＡＮでは可能であった認証済み端末による認証ネットワークへのアクセスができなくなるという課題がある。そのため、例えば、認証ネットワークに存在する検疫システム（例えば、ウィルス対策ソフトやオペレーティングシステムのアップデートを行うシステム）を、業務ネットワーク側から利用することができず、業務ネットワーク側にも同等のシステムを用意する必要が生じる。また、特許文献１では、互いに同期する特殊な機能を備えたＤＨＣＰサーバを複数台設置する必要がある。

本発明は、以上の点に鑑み、ダイナミックＶＬＡＮにおける認証前後でのＩＰサブネットの変更を不要とし、認証後でも検疫ネットワークへのアクセスを可能とすることを目的とする。
また、本発明は、端末が所属するネットワークを変更せずに、認証前後でパケットが中継されるネットワークを切り替えることが可能とし、認証前後でＩＰアドレスの変更を不要とし、ＩＰアドレスの利用効率を向上させ、認証後であっても認証ネットワークへのアクセスが可能とすることを目的のひとつとする。

Ｌ３（Ｌａｙｅｒ３）スイッチのゲートウェイのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスの取得のために端末が送信するＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求に対し、Ｌ２（Ｌａｙｅｒ２）スイッチが、Ｌ２スイッチのＭＡＣアドレスをＡＲＰ応答として端末に送信する。これにより、端末が所属サブネット外に通信するためにゲートウェイ経由となるパケットの、宛先ＭＡＣアドレスがＬ２スイッチのＭＡＣアドレスとなり、Ｌ２スイッチは受信したパケットの宛先ＭＡＣアドレスのみで、ゲートウェイ宛かを判定可能となる。Ｌ２スイッチは、宛先ＭＡＣアドレスがＬ２スイッチとなるパケットを受信した場合に、端末の認証状態に応じて、中継先のネットワークを変更する。未認証端末のパケットは、認証ネットワークのＬ３スイッチのゲートウェイ宛に中継し、認証済み端末のパケットは、業務ネットワークのＬ３スイッチのゲートウェイ宛に中継する。ここでのＬ３スイッチは、ネットワーク単位に独立したルーティングテーブルを持つことが可能な装置で、端末からの送信パケットを受信したＬ３スイッチは、受信したゲートウェイのネットワークのルーティングテーブルに従いパケットを中継する。認証ネットワークのルーティングテーブルには、業務ネットワーク宛の経路を持たせないことで、未認証端末からの業務ネットワーク宛のパケットはＬ３スイッチ上で宛先不明として廃棄し、業務ネットワークのルーティングテーブルには、認証ネットワーク宛および業務ネットワーク宛の経路を持たせ、認証済み端末から認証ネットワーク宛または業務ネットワーク宛どちらのパケットが送信されても、それぞれのネットワークへＬ３スイッチが中継することを可能とする。Ｌ２スイッチがゲートウェイの代理として、中継先を切り替えることで、端末は認証前後で、属するＩＰサブネットを変更せずに済む。

認証ネットワークおよび業務ネットワークから端末ネットワーク宛のパケットに関しては、認証ネットワークおよび業務ネットワークのＬ３スイッチのルーティングテーブルに端末ネットワーク宛の経路を持たせることで、Ｌ３スイッチが端末ネットワークに中継し、Ｌ２スイッチを経由して端末へと送らせる。

本発明の第１の解決手段によると、
端末が所属する第１のネットワークと、認証サーバが所属する第２のネットワークと、認証後の前記端末がアクセス可能なサーバが所属するひとつ以上の第３のネットワークとを備えたネットワークシステムにおいて、前記第１乃至第３のネットワークのそれぞれに所属するパケット中継装置であって、
前記第１乃至第３のネットワークに対応する複数のインタフェースと、
前記第１乃至第３のネットワークの識別情報と、対応するネットワークのゲートウェイのアドレス情報と、該ゲートウェイにパケットを送信するための出力インタフェース情報及び／又は出力先アドレス情報を含む出力情報とが保存されるゲートウェイ管理テーブルと、
認証後の前記端末のアドレス情報に対応して、該認証により通信が許可された前記第３のネットワークの識別情報と出力情報とが少なくとも保存される中継テーブルと、
前記中継テーブルに従い、前記第３のネットワークへの通信が許可されていない前記第１のネットワークに所属する前記端末からのパケットを受信した場合は前記第２のネットワークのゲートウェイへ中継し、前記第３のネットワークへの通信が許可されている前記端末からのパケットを受信した場合は前記第３のネットワークのゲートウェイへ中継するパケット処理部と
を備え、
前記ゲートウェイ管理テーブルに保存された前記第３のネットワークに対応する出力情報が、前記中継テーブルの前記第３のネットワークに対応する出力情報に保存されるパケット中継装置が提供される。

本発明の第２の解決手段によると、
上述のパケット中継装置である第１のパケット中継装置と、
前記第１のパケット中継装置と前記第１乃至第３のネットワークでそれぞれ接続される第２のパケット中継装置と、
を備え、
前記第２のパケット中継装置が、
前記第１及び第２及び第３のネットワークにおけるゲートウェイとして機能し、
前記第１のネットワークへの転送経路を持つ第１の転送経路テーブルを有し、前記第１の転送経路テーブルを前記第１のネットワークで受信したパケットの転送処理に使用し、
前記第１のネットワーク及び前記第２のネットワークへの転送経路を持つ第２の転送経路テーブルを有し、前記第２の転送経路テーブルを前記第２のネットワークで受信したパケットの転送処理に使用し、
前記第１のネットワーク及び前記第２のネットワーク及びひとつ以上の前記第３のネットワークへの転送経路を持つひとつ以上の第３の転送経路テーブルを有し、前記第３の転送経路テーブルを前記第３のネットワークで受信したパケットの転送処理に使用し、
前記第１のパケット中継装置が、前記第１のネットワークに所属する前記端末からの前記第１のネットワーク以外に所属する機器への送信パケットを受信すると、前記中継テーブルに従いパケットを前記第２又は第３のネットワークへ中継し、
前記第２のパケット中継装置が、前記第２又は第３のネットワークに所属する機器からの前記第１のネットワークに所属する前記端末への送信パケットを受信すると、前記第２の転送経路テーブル及び第３の転送経路テーブルのいずれかに従って、前記パケットを前記第１のネットワークへ中継するネットワークシステムが提供される。

本発明によると、ダイナミックＶＬＡＮにおける認証前後でのＩＰサブネットの変更を不要とし、認証後でも検疫ネットワークへのアクセスを可能とすることができる。
また、本発明によると、端末が所属するネットワークを変更せずに、認証前後でパケットが中継されるネットワークを切り替えることが可能となり、認証前後でＩＰアドレスの変更を不要とし、ＩＰアドレスの利用効率を向上させ、認証後であっても認証ネットワークへのアクセスが可能となる。

第１の実施の形態におけるネットワーク構成図。 第１の実施の形態で使用するパケットフォーマット。 第１の実施の形態におけるＬ２スイッチ内部構造の説明図。 第１の実施の形態におけるＬ２スイッチ内で保持されるデータの説明図。 第１の実施の形態におけるＬ２スイッチのパケット受信フロー。 第１の実施の形態におけるＬ３スイッチのルーティングテーブルの説明図。 第２の実施の形態におけるネットワーク構成図。 第２の実施の形態におけるＬ２スイッチ内で保持されるデータの説明図。 第２の実施の形態における追加のルーティングテーブルの説明図。

１．第１の実施の形態
本実施例では、認証ネットワークシステムを実現する場合の動作例を示す。
図１は、本実施例を説明するためのネットワーク構成図を示している。
図１のネットワークは、端末１１１とＤＨＣＰサーバ（アドレス割当サーバ、ネットワーク情報設定サーバ）１４１が所属する端末ネットワーク１０１と、認証サーバ１４２が所属する認証ネットワーク１０２と、業務サーバ１４３が所属する業務ネットワーク１０３の３つのネットワークを含む。Ｌ２スイッチ１２１とＬ３スイッチ１３１は、前記３つのネットワークにまたがって所属する。

端末ネットワーク１０１は、例えば、ＩＰサブネット１０．０．０．０／８のＶＬＡＮ「１０」で構成され、端末１１１とＬ２スイッチ１２１のインタフェース１２１−１が接続され、Ｌ２スイッチ１２１のインタフェース１２１−２とＬ３スイッチ１３１のインタフェース１３１−１が接続され、Ｌ３スイッチ１３１のインタフェース１３１−４とＤＨＣＰサーバ１４１が接続される。

認証ネットワーク１０２は、例えば、ＩＰサブネット２０．０．０．０／８のＶＬＡＮ「２０」で構成され、Ｌ２スイッチ１２１のインタフェース１２１−３とＬ３スイッチ１３１のインタフェース１３１−２が接続され、Ｌ３スイッチ１３１のインタフェース１３１−５と認証サーバ１４２が接続される。

業務ネットワーク１０３は、例えば、ＩＰサブネット３０．０．０．０／８のＶＬＡＮ「３０」で構成され、Ｌ２スイッチ１２１のインタフェース１２１−４とＬ３スイッチ１３１のインタフェース１３１−３が接続され、Ｌ３スイッチ１３１のインタフェース１３１−６と業務サーバ１４３が接続される。

各機器のＭＡＣアドレス（以下、単にＭＡＣと記すこともある）については、例えば、端末１１１はＭＡＣ１１１、Ｌ２スイッチ１２１はＭＡＣ１２１、Ｌ３スイッチ１３１はＭＡＣ１３１、ＤＨＣＰサーバ１４１はＭＡＣ１４１、認証サーバ１４２はＭＡＣ１４２、業務サーバ１４３はＭＡＣ１４３と表記する。また、ＩＰアドレス（以下、単にＩＰと記すこともある）は、端末１１１は、動的に割り当てられ、例えばＤＨＣＰサーバは「１０．０．０．４」、認証サーバは「２０．０．０．４」、業務サーバは「３０．０．０．４」が割り当てられている。Ｌ２スイッチ１２１およびＬ３スイッチ１３１は、ＶＬＡＮ単位にＩＰアドレスを割り当てられ、例えばＬ２スイッチ１２１は、ＶＬＡＮ「２０」で「２０．０．０．２」、Ｌ３スイッチ１３１は、ＶＬＡＮ「１０」で「１０．０．０．３」、ＶＬＡＮ「２０」で「２０．０．０．３」、ＶＬＡＮ「３０」で「３０．０．０．３」が割り当てられている。

図１における点線矢印は、認証前の端末１１１が通信可能な、端末ネットワーク１０１以外のネットワークの機器との通信の通信経路を表している。実線矢印は、認証後の端末１１１が通信可能な、端末ネットワーク１０１以外のネットワークの機器との通信の通信経路を現している。

図１のＬ３スイッチ１３１は、端末ネットワーク１０１、認証ネットワーク１０２、業務ネットワーク１０３のそれぞれで独立したルーティング空間を持つ機能を持っている。この機能はＶＲＦ（Ｖｉｒｔｕａｌ Ｒｏｕｔｉｎｇ ａｎｄ Ｆｏｒｗａｒｄｉｎｇ）と呼ばれる機能で、既知の技術として、一般の機器に実装されている。

図２は、本実施例で通信に利用するパケットの主要なフィールドのみを記載したフォーマットである。
各パケットに共通するフィールドは同じ符号を付している。宛先ＭＡＣ２１１はＬ２通信における送信先装置のＭＡＣアドレス、送信元ＭＡＣ２１２はＬ２通信における送信元装置のＭＡＣアドレス、ソースＭＡＣ２２１はＡＲＰ要求元装置のＭＡＣアドレス、ソースＩＰ２２２はＡＲＰ要求元装置のＩＰアドレス、ターゲットＩＰ２２３はＭＡＣアドレスを調べる対象装置のＩＰアドレス、ターゲットＭＡＣ２２４はターゲットＩＰ２２３に対するＭＡＣアドレスを格納するフィールドである。また、クライアントＭＡＣ２３１はＤＨＣＰ要求を出す装置のＭＡＣアドレス、クライアントＩＰ２３２はＤＨＣＰによって割り当てられるＩＰアドレス、ゲートウェイＩＰ２３３はＤＨＣＰによって配布されるゲートウェイのＩＰアドレスを格納するフィールドである。送信元ＩＰ２１３はＬ３通信における送信元装置のＩＰアドレス、宛先ＩＰ２１４はＬ３通信における送信先装置のＩＰアドレス、Ｌ２認証データ２５１は端末１１１がＬ２スイッチ１２１に送る認証に必要なアカウント情報、Ｌ２認証結果２５２はＬ２スイッチ１２１が端末１１１に返す認証結果、サーバ認証データ２６１はＬ２スイッチ１２１が認証サーバ１４２に送る認証に必要なアカウント情報、サーバ認証結果２６２は認証サーバ１４２がＬ２スイッチ１２１に送る認証結果、を格納するフィールドとなっている。

以上を前提として、以下認証ネットワークシステムについて述べる。
図３は、Ｌ２スイッチ１２１の内部構造を示している。
Ｌ２スイッチ１２１は、インタフェース３１１−ｉ（ｉ：１〜ｎの整数）と、パケット送受信部３１２と、ＦＤＢ学習部３１３と、パケット種別判定部３１４と、パケット処理部と、主記憶（主記憶部）３３１とを有する。パケット処理部は、フォワーディング部３２１と、ＣＰＵ部３２２と、ネットワーク間中継部３２３と、ゲートウェイ処理部３２４とを有する。主記憶３３１は、ＭＡＣテーブル３３２と、ＧＷ管理テーブル３３３と、中継テーブル３３４とを有する。

各インタフェース３１１−ｉで受信したパケットは、パケット送受信部３１２を介し、ＦＤＢ学習部３１３に送られる。ＦＤＢ学習部３１３は、受信パケットの情報でＭＡＣテーブル３３２を更新し、パケット種別判定部３１４に受信パケットを送る。パケット種別判定部３１４は、受信したパケットの情報に応じて、フォワーディング部３２１、ＣＰＵ部３２３、ネットワーク間中継部３２３、ゲートウェイ処理部３２４のいずれかへ受信パケットを送る。

フォワーディング部３２１は主記憶３３１上に記憶されるＭＡＣテーブル３３２の内容を参照・更新しながらパケット送受信部３１２を介してパケットを送信する。ＣＰＵ部３２２は主記憶３３１上に記憶されるＧＷ（ＧａｔｅＷａｙ、ゲートウェイ）管理テーブル３３３や中継テーブル３３４の内容を参照・更新し、パケット送受信部３１２を介してパケットを送信する。ネットワーク間中継部３２３は、主記憶３３１上に記憶される中継テーブル３３４の内容を参照し、パケット送受信部３１２を介してパケットを送信する。ゲートウェイ処理部３２４は、受信したＤＨＣＰパケットまたはＡＲＰパケットの内容をもとに、ＧＷ管理テーブル３３３を参照・更新し、フォワーディング部３２１経由もしくは直接、パケット送受信部３１２を介してパケットを送信する。図３における実線矢印はパケットの流れを示し、点線矢印は主記憶３３１の参照・更新を示している。

図４は、Ｌ２スイッチ１２１が主記憶３３１に持つ各種テーブルの内容である。
図４（ａ）に示すＭＡＣテーブル４１０は、ＭＡＣテーブル３３２の内容に相当し、パケットを受信したインタフェースのＶＬＡＮと受信したパケットの宛先ＭＡＣ２１１に応じて、送信先のインタフェースを決定するテーブルである。初期状態ではＭＡＣテーブル４１０には登録エントリはない。例えば、ＭＡＣテーブル４１０は、ＶＬＡＮの識別子４１１と宛先ＭＡＣアドレス４１２と、出力インタフェースの識別子４１３とが対応して記憶される。

図４（ｂ）に示すＧＷ管理テーブル４２０は、ＧＷ管理テーブル３３３の内容に相当し、各ネットワークにおけるＬ２スイッチ１２１が属するＶＬＡＮを表すゲートウェイＶＬＡＮの識別子４２１と、ゲートウェイＶＬＡＮ４２１でのゲートウェイのＩＰアドレスを表すゲートウェイＩＰ４２２と、ゲートウェイＶＬＡＮ４２１のゲートウェイと接続するインタフェースを表す出力インタフェースの識別子４２３と、ゲートウェイＶＬＡＮ４２１のゲートウェイのＭＡＣアドレスを表す出力ＭＡＣ４２４を含むエントリ配列で構成される。

初期状態は、ＶＬＡＮ「１０」、「２０」、「３０」の各ネットワークにおけるゲートウェイのＩＰアドレスとして、Ｌ３スイッチ１３１の各ＶＬＡＮのＩＰアドレスが設定される。それは、図４（ｂ）に表記した値になり、第２エントリは、ＶＬＡＮ「２０」のＬ３スイッチ１３１のＩＰアドレスが２０．０．０．３であるため、ゲートウェイＶＬＡＮ４２１を「２０」、ゲートウェイＩＰ４２２が「２０．０．０．３」と設定される。同様に第３エントリも設定される。ここで、「不定」となっているものは、動的に解決されることを示している。括弧内の値は、以降の処理の中で更新された後の値を表している。第１エントリは、ＶＬＡＮ「１０」についてのエントリなので、ゲートウェイＶＬＡＮ４２１を「１０」、ゲートウェイＩＰ４２２を「１０．０．０．３」と設定してもよいが、本実施例では、ＤＨＣＰによって動的にゲートウェイのＩＰアドレスを決定するため、「不定」としている。

図４（ｃ）に示す中継テーブル４３０は、中継テーブル３３４の内容に相当し、端末を識別するＭＡＣアドレスを示す送信元ＭＡＣ４３１と、端末がゲートウェイ宛に送信したパケットの中継先ＶＬＡＮを表す出力ＶＬＡＮの識別子４３２と、送信するインタフェースを表す出力インタフェースの識別子４３３と、宛先ゲートウェイのＭＡＣアドレスを表す出力ＭＡＣ４３４を含むテーブルである。初期状態としては、登録エントリはない。

次にＬ３スイッチについて説明する。
Ｌ３スイッチ１３１は、既知技術によって実現されている装置を用いることができる。そのため、詳細な動作の説明は省くものとする。Ｌ３スイッチ１３１は、ＶＲＦ機能を有する装置で、端末ネットワーク１０１、認証ネットワーク１０２、業務ネットワーク１０３それぞれで独立したルーティング空間を持っているものとする。また、各ルーティング空間において、パケットの中継先として他のルーティング空間を指定することができる。

図６に、各ルーティング空間におけるルーティングテーブルを示している。
各ルーティングテーブル（転送経路テーブル）は、宛先ＩＰアドレス、マスク長、出力ＶＬＡＮの識別子を含むエントリを有する。
ルーティングテーブル６１０は、端末ネットワーク１０１におけるルーティングテーブルを示しており、初期状態で端末１１１が所属するネットワーク宛の経路として第１エントリのみが存在する。

ルーティングテーブル６２０は、認証ネットワーク１０２におけるルーティングテーブルを示しており、初期状態で第２エントリまでが存在する。第１エントリは、端末ネットワーク１０１宛、第２エントリは、認証ネットワーク１０２宛の経路を示す。
ルーティングテーブル６３０は、業務ネットワーク１０３におけるルーティングテーブルを示しており、初期状態で第３エントリまでが存在する。第１エントリは、端末ネットワーク１０１宛、第２エントリは、認証ネットワーク１０２宛、第３エントリは、業務ネットワーク１０３宛の経路を示す。

各ルーティングテーブルは、１０．０．０．０／８宛の出力先が同じになるように設定されている。Ｌ３スイッチ１３１は、受信したパケットを受信したネットワークのルーティングテーブルに従い、パケットを中継するものとする。なお、中継に際しては、ＡＲＰによって隣接装置のＭＡＣアドレスの解決を行い、隣接装置へと中継を行うものとする。

（ＩＰアドレスの取得）
まず、端末１１１がＩＰアドレスを取得するため、宛先ＭＡＣ２１１を「ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ」、送信元ＭＡＣ２１２を「ＭＡＣ１１１」（端末１１１のＭＡＣアドレス）、クライアントＭＡＣ２３１をＭＡＣ１１１のＤＨＣＰ要求パケットを送信する。Ｌ２スイッチ１２１は、前記ＤＨＣＰ要求パケットをインタフェース１２１−１で受信する。

図５は、Ｌ２スイッチ１２１におけるパケット受信時の処理フローである。
図５のフローにおいて、二重線の項目はネットワーク間中継部３２３、点線の項目はゲートウェイ処理部３２４で処理されることを示す。
ＤＨＣＰ要求パケットを受信したＬ２スイッチ１２１は、まずＦＤＢ（ＦｏｒｗａｒｄｉｎｇＤａｔａＢａｓｅ）学習５１１の処理で、ＭＡＣテーブル４１０に、受信したインタフェース１２１−１の識別子を出力インタフェース４１３のフィールドに、そのインタフェースが所属するＶＬＡＮの識別子「１０」を入力ＶＬＡＮ４１１のフィールドに、受信パケットの送信元ＭＡＣ２１２を宛先ＭＡＣ４１２のフィールドとしたエントリを登録する。ＦＤＢ学習５１１の処理は、ＦＤＢ学習部３１３で行われる。なお、パケットを受信したインタフェースの所属するＶＬＡＮを、以降、受信ＶＬＡＮと表現する。登録した結果が図４（ａ）ＭＡＣテーブル４１０の第１エントリの内容となる。続いて、パケット種別判定５１２へ進む。

パケット種別判定５１２は、パケット種別判定部３１４で行われる。パケット種別判定５１２では、個別の処理を要するパケットに応じて処理を分岐する。個別の処理を要するパケットは予め定められ、例えば、パケット内の適宜の識別子により判別できる。ＤＨＣＰ要求パケットの場合、個別の処理は必要ではないので、「その他」として、フォワーディング部３２１で処理されるＦＤＢ検索送信５１３へ進む。ＦＤＢ検索送信５１３では、受信ＶＬＡＮとパケットの宛先ＭＡＣ２１１をキーに、入力ＶＬＡＮ４１１と宛先ＭＡＣ４１２が一致するエントリをＭＡＣテーブル４１０から検索する。この時点では、第１エントリのみなので、ＤＨＣＰ要求パケットの宛先ＭＡＣ２１１が「ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ」に一致するエントリはないので、受信したインタフェース以外の受信ＶＬＡＮに属するインタフェース全てから受信パケットを送信する処理（以降、フラッディング）を行う。本実施例では、インタフェース１２１−２からＤＨＣＰ要求パケットを送信する。インタフェース１２１−２から送信されたＤＨＣＰ要求パケットは、Ｌ３スイッチ１３１がインタフェース１３１−１で受信する。

インタフェース１３１−１でＤＨＣＰ要求パケットを受信したＬ３スイッチ１３１は、パケットの宛先ＭＡＣ２１１がＭＡＣ１３１（Ｌ３スイッチ１３１のＭＡＣアドレス）でないため、ルーティングテーブルを参照せず、受信ＶＬＡＮ内で中継する。本例では、インタフェース１３１−４に中継し、ＤＨＣＰサーバ１４１がＤＨＣＰ要求パケットを受信する。

ＤＨＣＰ要求パケットを受信したＤＨＣＰサーバ１４１は、宛先ＭＡＣ２１１を「ＭＡＣ１１１」、送信元ＭＡＣ２１２を「ＭＡＣ１４１」（ＤＨＣＰサーバ１４１のＭＡＣアドレス）、クライアントＩＰ２３２を「１０．０．０．１」（端末１１１に割り当てるＩＰアドレス）、ゲートウェイＩＰ２３３を「１０．０．０．３」（ゲートウェイのＩＰアドレス）のＤＨＣＰ応答パケットを送信する。ＤＨＣＰ応答パケットは、インタフェース１３１−４でＬ３スイッチ１３１が受信する。

ＤＨＣＰ応答パケットを受信したＬ３スイッチ１３１は、ＤＨＣＰ要求パケット受信と同じく受信ＶＬＡＮ内でパケット中継を行う。結果、インタフェース１３１−１からＤＨＣＰ応答パケットを送信する。ＤＨＣＰ応答パケットは、インタフェース１２１−２でＬ２スイッチ１２１が受信する。

ＤＨＣＰ応答パケットを受信したＬ２スイッチ１２１は、ＦＤＢ学習５１１にてＭＡＣテーブル４１０を更新する（図４、５１１）。更新した結果、図４（ａ）の第２のエントリが作成される。続いて、パケット種別判定５１２にて、受信パケットがＤＨＣＰ応答パケットであるため「ＤＨＣＰ応答」へと進み、ゲートウェイ取得５２１を行う。ゲートウェイ取得５２１では、ゲートウェイ処理部３２４が、ＤＨＣＰ応答パケットに含まれるゲートウェイＩＰ２３３の値で、ＧＷ管理テーブル４２０のゲートウェイＶＬＡＮ４２１が受信ＶＬＡＮ「１０」に一致する第１エントリの「不定」となっているゲートウェイＩＰ４２２を更新する。

ゲートウェイ取得５２１後、ＦＤＢ検索送信５１３に進み、ＭＡＣテーブル４１０の入力ＶＬＡＮ４１１が受信パケットの受信ＶＬＡＮ「１０」であるエントリの中で、パケットの宛先ＭＡＣ２１１と一致する宛先ＭＡＣ４１２を持つエントリがあるか検索する。この時点で、第１のエントリが一致するので、一致したエントリの出力インタフェース４１３が示すインタフェースより、受信パケットを送信する。この場合、ＭＡＣテーブル４１０の第１エントリとなるので、インタフェース１２１−１からＤＨＣＰ応答パケットを送信する。インタフェース１２１−１から送信されたＤＨＣＰ応答パケットは、端末１１１が受信する。

ＤＨＣＰ応答パケットを受信した端末１１１は、ＤＨＣＰ応答パケットのクライアントＩＰ２３２から端末１１１のＩＰアドレスを１０．０．０．１に設定する。また、ゲートウェイのＩＰアドレスとしてゲートウェイＩＰ２３３（１０．０．０．３）を記憶する。

（Ｌ２スイッチのテーブル更新）
以上で、ＤＨＣＰによる端末１１１のＩＰアドレス割り当てが完了するまでを記述したが、Ｌ２スイッチ１２１は、端末１１１のＤＨＣＰによるＩＰアドレス割当と並行して、または先行して、ＧＷ管理テーブル４２０の出力インタフェース４２３および出力ＭＡＣ４２４と、中継テーブル４３０を更新する。その更新処理について、以下述べる。

Ｌ２スイッチ１２１は、ＧＷ管理テーブル４２０の第２エントリのゲートウェイＶＬＡＮ４２１「２０」のＶＬＡＮネットワークにおいて、宛先ＭＡＣ２１１を「ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ」（ブロードキャストアドレス）、送信元ＭＡＣ２１２を「ＭＡＣ１２１」（自装置のＭＡＣアドレス）、ソースＭＡＣ２２１を「ＭＡＣ１２１」、ソースＩＰ２２２を「２０．０．０．２」、ターゲットＩＰ２２３を「２０．０．０．３」（ゲートウェイＩＰ４２２に記憶されたＩＰアドレス）となるＡＲＰ要求パケット（ＭＡＣアドレス情報取得要求）を送信する。この場合、ＶＬＡＮ「２０」に所属するインタフェース１２１−３よりＡＲＰ要求パケットが送信される。ＡＲＰ要求パケットは、インタフェース１３１−２でＬ３スイッチ１３１が受信し、応答として、宛先ＭＡＣ２１１を「ＭＡＣ１２１」、送信元ＭＡＣ２１２を「ＭＡＣ１３１」、ソースＩＰ２２２を「２０．０．０．３」、ターゲットＩＰ２２３を「２０．０．０．３」、ターゲットＭＡＣ２２４を「ＭＡＣ１３１」（自装置のＭＡＣアドレス）とするＡＲＰ応答パケット（ＭＡＣアドレス情報取得応答）をインタフェース１３１−２から送信する。

Ｌ２スイッチ１２１は、パケット種別判定５１２で自宛ＡＲＰ応答と判断し、ゲートウェイＡＲＰ受信５４１の処理を行う。ゲートウェイＡＲＰ受信５４１では、ＧＷ管理テーブル４２０の中で、ゲートウェイＶＬＡＮ４２１が受信ＶＬＡＮ「２０」で、ゲートウェイＩＰ４２２が受信パケットのターゲットＩＰ２２３またはソースＩＰ２２２に一致するエントリを探し出す。ターゲットＩＰ２２３、ソースＩＰ２２２のどちらに一致するかで異なる処理を行う。この場合、第２エントリがターゲットＩＰ２２３と一致するので、第２エントリに対し、ＡＲＰ応答パケットを受信したインタフェース１２１−３を出力インタフェース４２３に、ＡＲＰ応答パケットのターゲットＭＡＣ２２４の値を出力ＭＡＣ４２４に設定する。

同様に、第３エントリに対しては、インタフェース１２１−４よりＡＲＰ要求パケットを送信し、受信したＡＲＰ応答パケットの受信インタフェースとターゲットＭＡＣ２２４を第３エントリに反映させる。以上の処理でＧＷ管理テーブル４２０をＬ２スイッチ１２１は更新する。また、これらの２つのＡＲＰ応答パケット受信時に、ＦＤＢ学習５１２で、ＭＡＣテーブル４１０の第３および第４のエントリが作成される。第１エントリについても、ゲートウェイＩＰ４２２の値がＤＨＣＰ応答パケット受信により確定した後、第２および第３エントリと同様に更新される。ゲートウェイＡＲＰ受信５４１で、受信パケットのソースＩＰ２２２がゲートウェイＩＰ４２２と一致する場合についての処理は、後述する。

続いて、未認証の端末が通信を許可されるネットワークである認証ネットワーク１０２のＶＬＡＮ「２０」に対応するＧＷ管理テーブル４２０の第２エントリの値が確定されることで、中継テーブル４３０の第１エントリに認証ネットワーク１０２宛のエントリを作成する。この場合、任意の端末を表す値として「００：００：００：００：００：００」を送信元ＭＡＣ４３１に設定し、出力ＶＬＡＮ４３２と出力インタフェース４３３と出力ＭＡＣ４３４に、ＧＷ管理テーブル４２０の第２エントリのゲートウェイＶＬＡＮ４２１、出力インタフェース４２３、出力ＭＡＣ４２４を設定する。

（未認証端末からのアクセス）
次に、端末１１１による業務ネットワーク１０３へのアクセスを説明する。この時点では端末１１１は、認証が済んでいないので、未認証状態である。未認証状態では、業務ネットワーク１０３にはアクセスできず、認証ネットワーク１０２のみにアクセス可能である。

端末１１１は、異なるサブネットワークである業務ネットワーク１０３へデータパケットを送るために、ゲートウェイのＭＡＣアドレスの取得を行う。そのために、端末１１１は、宛先ＭＡＣ２１１を「ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ」、送信元ＭＡＣ２１２を「ＭＡＣ１１１」（端末１１１のＭＡＣアドレス）、ソースＭＡＣ２２１を「ＭＡＣ１１１」、ソースＩＰ２２２を「１０．０．０．１」、ターゲットＩＰ２２３を「１０．０．０．３」（ＤＨＣＰによって配布されたゲートウェイＩＰアドレス）であるＡＲＰ要求パケットを送信する。ＡＲＰ要求パケットは、インタフェース１２１−１で、Ｌ２スイッチ１２１が受信する。

ＡＲＰ要求パケットを受信したＬ２スイッチ１２１は、ＦＤＢ学習５１１を行うが、ＭＡＣテーブル４１０に既にＭＡＣ１１１のエントリがあるので、ここではテーブルの更新は行わない。続くパケット種別判定５１２で、受信パケットがＡＲＰ要求パケットであるので「ＡＲＰ要求」に進み、ゲートウェイ判定５５１を行う。ゲートウェイ判定５５１では、ゲートウェイ処理部３２４が、ＡＲＰ要求パケットのソースＩＰ２２２またはターゲットＩＰ２２３が、ＧＷ管理テーブル４２０のゲートウェイＶＬＡＮ４２１が受信ＶＬＡＮ「１０」に一致する第１エントリのゲートウェイＩＰ４２２と一致するか調べる。この場合、ターゲットＩＰ２２３がＩＰアドレス「１０．０．０．３」で一致するので「ターゲットＩＰ一致」に進み、ゲートウェイＡＲＰ応答５５２を行う。ゲートウェイＡＲＰ応答５５２では、ターゲットＭＡＣ２２４をＭＡＣ１２１（Ｌ２スイッチ１２１のＭＡＣアドレス）とするＡＲＰ応答パケットを、ＡＲＰ要求パケットを受信したインタフェースから送信する。この場合、宛先ＭＡＣ２１１を「ＭＡＣ１１１」、送信元ＭＡＣ２１２を「ＭＡＣ１２１」、ソースＩＰ２２２を「１０．０．０．３」、ターゲットＩＰ２２３を「１０．０．０．３」、ターゲットＭＡＣ２２４を「ＭＡＣ１２１」であるＡＲＰ応答パケットを、インタフェース１２１−１から送信する。ＡＲＰ応答パケットは、端末１１１が受信する。もし、ゲートウェイ判定５５１で「不一致」となった場合は、ＦＤＢ検索送信５１３に進み、ＡＲＰ要求パケットの宛先ＭＡＣ２１１に一致するエントリがないとして、受信ＶＬＡＮ「１０」でフラッディングが行われる。

ＡＲＰ応答パケットを受信した端末１１１は、ゲートウェイのＭＡＣアドレスを受信パケットのターゲットＭＡＣ２２４から「ＭＡＣ１２１」と記憶する。端末１１１は、業務サーバ１４３宛の通信として、宛先ＭＡＣ２１１を記憶した「ＭＡＣ１２１」とし、送信元ＭＡＣ２１２を「ＭＡＣ１１１」、送信元ＩＰ２１３を「１０．０．０．１」、宛先ＩＰ２１４を「３０．０．０．４」（業務サーバ１４３のＩＰアドレス）であるデータパケットを送信する。業務サーバ１４３のＩＰアドレスは、端末１１１に予め記憶されることができる。データパケットは、インタフェース１２１−１で、Ｌ２スイッチ１２１が受信する。

データパケットを受信したＬ２スイッチ１２１は、パケット種別判定５１２で、データパケットの宛先ＭＡＣ２１１がＬ２スイッチのＭＡＣアドレス「ＭＡＣ１２１」であるため、「自宛ＭＡＣ」へと進み、ネットワーク間中継５６１を行う。ネットワーク間中継５６１では、ネットワーク間中継部３２３が、データパケットの送信元ＭＡＣ２１２と一致する送信元ＭＡＣ４３１のエントリを中継テーブル４３０より検索する。送信元ＭＡＣ４３１が一致するエントリがない場合は、送信元ＭＡＣ４３１が「００：００：００：００：００：００」のエントリが一致したとみなす。ここでのデータパケットの場合、第１エントリに一致したとみなす。そして、Ｌ２スイッチ１２１は、データパケットの宛先ＭＡＣ２１１を、一致エントリの出力ＭＡＣ４３４の値「ＭＡＣ１３１」に更新して、一致エントリの出力インタフェース４３３のインタフェース１２１−３から送信する。宛先ＭＡＣ２１１をＭＡＣ１３１となったデータパケットは、インタフェース１３１−２でＬ３スイッチ１３１が受信する。本実施例では、第１エントリの中継先を認証ネットワーク１０２に対応するＶＬＡＮ「２０」としたが、中継せずに廃棄する実装でもよい。その場合、例えば、出力インタフェース４３３が「不定」であれば廃棄することとして、第１エントリの出力インタフェース４３３を「不定」にしておく。

データパケットを受信したＬ３スイッチ１３１は、データパケットの宛先ＭＡＣ２１１がＬ３スイッチ１３１のＭＡＣアドレス「ＭＡＣ１３１」であるため、受信すべきパケットであると判定する。そして、パケットの宛先ＩＰ２１４をキーとして、ルーティングテーブル６２０を検索する。データパケットの宛先ＩＰ２１４「３０．０．０．４」に一致する経路がルーティングテーブル６２０に存在しないので、Ｌ３スイッチ１３１は、受信したパケットを、宛先不明として廃棄する。
以上のように、未認証状態では、端末１１１から業務サーバ１４３宛の通信は、Ｌ３スイッチ１３１で廃棄されるため、端末１１１と業務ネットワーク１０３の間での通信は成り立たない。

（端末の認証）
次に、未認証状態である端末１１１が、認証サーバ１４２へアクセスする場合の動作を記述する。
まず、端末１１１は、宛先ＭＡＣ２１１を「ＭＡＣ１２１」、送信元ＭＡＣ２１２を「ＭＡＣ１１１」、送信元ＩＰ２１３を「１０．０．０．１」、宛先ＩＰ２１４を「２０．０．０．４」（認証サーバのＩＰアドレス）であるデータパケットを送信する。認証サーバのＩＰアドレスは、端末１１１に予め記憶されることができる。認証サーバ１４２宛のデータパケットは、前述の業務サーバ１４３宛のデータパケットと同じ手順で、Ｌ２スイッチ１２１が中継し、Ｌ３スイッチ１３１が受信する。

Ｌ３スイッチ１３１において、ルーティングテーブル６２０には、宛先ＩＰ２１４「２０．０．０．４」に一致する経路として、第２エントリが存在するので、Ｌ３スイッチ１３１は、認証ネットワーク１０２にてＡＲＰによって、認証サーバ１４２のＭＡＣアドレスを取得し、インタフェース１３１−５から認証サーバ１４２へデータパケットを送信し、認証サーバ１４２がデータパケットを受信する。
以上より、端末１１１から認証サーバ１４２への通信が成立する。

反対に、認証サーバ１４２から端末１１１宛のデータパケットは、宛先ＭＡＣ２１１を「ＭＡＣ１３１」、送信元ＭＡＣ２１２を「ＭＡＣ１４２」、送信元ＩＰ２１３を「２０．０．０．４」、宛先ＩＰ２１４を「１０．０．０．１」となり、Ｌ３スイッチ１３１がインタフェース１３１−５で受信する。Ｌ３スイッチ１３１は、ルーティングテーブル６２０に従い、「１０．０．０．１」宛の経路として第１エントリの出力ＶＬＡＮ６２３「１０」にてＡＲＰによって、端末１１１のＭＡＣアドレスを取得する。この時のＡＲＰは、Ｌ２スイッチ１２１を中継して、行われる。このＬ３スイッチ１３１が送信するＡＲＰ要求パケットは、ソースＭＡＣ２２１が「ＭＡＣ１３１」、ソースＩＰ２２２が「１０．０．０．３」となるため、そのまま端末１１１に中継した場合、受信した端末１１１が、ＩＰアドレスが「１０．０．０．３」であるゲートウェイのＭＡＣアドレスを「ＭＡＣ１３１」として記憶し直してしまい、端末１１１がゲートウェイ宛に送るパケットをＬ２スイッチ１２１が正しく他ネットワークへ中継することができなくなる。そのため、Ｌ２スイッチ１２１は、Ｌ３スイッチ１３１のＡＲＰパケット中継において、次のような処理を行う。

まず、Ｌ３スイッチ１３１は、ＶＬＡＮ「１０」でＡＲＰを行うため、ＶＬＡＮ「１０」に属するインタフェースからＡＲＰ要求パケットを送信する。この場合、インタフェース１３１−４が含まれるが、応答端末がないので省略する。インタフェース１３１−１から送信されるＡＲＰ要求パケットは、宛先ＭＡＣ２１１が「ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ」、送信元ＭＡＣ２１２が「ＭＡＣ１３１」（Ｌ３スイッチ１３１のＭＡＣアドレス）、ソースＭＡＣ２２１が「ＭＡＣ１３１」、ソースＩＰ２２２が「１０．０．０．３」、ターゲットＩＰ２２３が「１０．０．０．１」となり、Ｌ２スイッチ１２１がインタフェース１２１−２にて、受信する。Ｌ２スイッチ１２１では、ゲートウェイ判定５５１にて、ソースＩＰ２２２「１０．０．０．３」がＧＷ管理テーブル４２０で、受信ＶＬＡＮ「１０」である第１エントリのゲートウェイＩＰ４２２「１０．０．０．３」と一致するため、ソースＩＰ一致へと進み、ゲートウェイＡＲＰ送信５５３の処理を行う。

ゲートウェイＡＲＰ送信５５３では、受信したＡＲＰ要求パケットのうち、送信元ＭＡＣ２１２を「ＭＡＣ１２１」、ソースＭＡＣ２２１を「ＭＡＣ１２１」のようにＬ２スイッチ１２１の情報に書き換え、受信ＶＬＡＮ「１０」でフラッディングする。フラッディングによって、インタフェース１２１−１から書き換えられたＡＲＰ要求パケットは送信され、端末１１１が受信する。

ＡＲＰ要求パケットを受信した端末１１１は、宛先ＭＡＣ２１１を「ＭＡＣ１２１」、送信元ＭＡＣ２１２を「ＭＡＣ１１１」、ソースＩＰ２２２を「１０．０．０．３」、ターゲットＩＰ２２３を「１０．０．０．１」、ターゲットＭＡＣ２２４を「ＭＡＣ１１１」とするＡＲＰ応答パケットを送信する。ＡＲＰ応答パケットを受信したＬ２スイッチ１２１は、自宛ＡＲＰ応答と判断し、ゲートウェイＡＲＰ受信５４１の処理を行う。ゲートウェイＡＲＰ受信５４１では、前述のようにＧＷ管理テーブル４２０で、受信ＶＬＡＮ「１０」のエントリで、受信パケットのターゲットＩＰ２２３「１０．０．０．１」に対応するエントリを探すが、存在しないため、ソースＩＰ２２２「１０．０．０．３」に一致するゲートウェイＩＰ４２２のエントリを探す。この場合、第１エントリが該当するため、ゲートウェイＡＲＰ受信５４１の処理で「後述」としていた処理を行う。ソースＩＰ２２２と一致した場合、ゲートウェイＡＲＰ受信５４１では、受信したＡＲＰ応答パケットのうち、宛先ＭＡＣ２１１を一致エントリの出力ＭＡＣ４２４「ＭＡＣ１３１」に書き換え、一致エントリの出力インタフェース４２３「インタフェース１２１−２」から、書き換えたＡＲＰ応答パケットを送信する。インタフェース１２１−２から送信されたＡＲＰ応答パケットは、Ｌ３スイッチ１３１がインタフェース１３１−１で受信し、Ｌ３スイッチ１３１はＡＲＰ応答パケットのターゲットＩＰ２２３「１０．０．０．１」とターゲットＭＡＣ２２４「ＭＡＣ１１１」から、ＩＰアドレス「１０．０．０．１」の装置のＭＡＣアドレスを「ＭＡＣ１１１」と記憶する。

以上のように、Ｌ２スイッチ１２１が、Ｌ３スイッチ１３１の端末１１１に対するＡＲＰパケットの中継処理に手を加えることで、Ｌ３スイッチ１３１が端末１１１のＭＡＣアドレスを正しく記憶し、端末１１１のゲートウェイのＭＡＣアドレスが意図しない値に更新されないようにできる。

ＡＲＰによって端末１１１のＭＡＣアドレスを取得したＬ３スイッチ１３１は、データパケットを宛先ＭＡＣ２１１を「ＭＡＣ１１１」に書き換えインタフェース１３１−１より送信する。前記データパケットはＬ２スイッチ１２１がインタフェース１２１−２で受信する。Ｌ２スイッチ１２１は、パケット種別判定５１２で「その他」と判定し、ＦＤＢ検索送信５１３を行い、検索で一致した第１エントリの内容から、インタフェース１２１−１からデータパケットを送信する。前記データパケットは、端末１１１が受信する。以上のように、認証サーバ１４２から端末１１１宛への通信が成立し、未認証状態である端末と認証ネットワーク１０２との間での通信が成立する。

次に認証処理における動作を示す。
未認証状態である端末１１１は、業務ネットワーク１０３へのアクセスを行うために、宛先ＭＡＣ２１１を「ＭＡＣＬ２」（Ｌ２認証要求および応答を示す）、送信元ＭＡＣ２１２を「ＭＡＣ１１１」、Ｌ２認証データ２５１にユーザ名やパスワードなどのアカウント情報を入れたＬ２認証要求パケットを送信する。前記Ｌ２認証要求パケットを受信したＬ２スイッチ１２１は、パケット種別判定５１２で「Ｌ２認証要求」へ進み、認証要求５７１の処理を行う。認証要求５７１では、例えばＣＰＵ部３２２が宛先ＭＡＣ２１１を「ＭＡＣ１４２」（認証サーバ１４２のＭＡＣアドレス）、送信元ＭＡＣ２１２を「ＭＡＣ１２１」、送信元ＩＰ２１３を「２０．０．０．２」（Ｌ２スイッチのＶＬＡＮ「２０」でのＩＰアドレス）、宛先ＩＰ２１４を「２０．０．０．４」（認証サーバ１４２のＩＰアドレス）、サーバ認証データ２６１に端末１１１のＭＡＣアドレス「ＭＡＣ１１１」とユーザ名やパスワードなどのアカウント情報を入れたサーバ認証要求パケットをインタフェース１２１−３より送信する。

サーバ認証要求パケットを受信したＬ３スイッチ１３１は、ネットワーク外への通信でないため、受信ＶＬＡＮ内でサーバ認証要求パケットを、認証サーバ１４２に中継する。認証サーバ１４２は受信したサーバ認証要求パケットに対し、宛先ＭＡＣ２１１を「ＭＡＣ１２１」、送信元ＭＡＣ２１２を「ＭＡＣ１４２」、送信元ＩＰ２１３を「２０．０．０．４」、宛先ＩＰ２１４を「２０．０．０．２」、サーバ認証結果に「認証許可」を示すデータと、許可した端末を示す端末１１１のＭＡＣアドレス「ＭＡＣ１１１」と、認証後のアクセス先ＶＬＡＮ「３０」を入れたサーバ認証応答パケットを送信する。Ｌ３スイッチ１３１は、ルーティングテーブルを参照せずにインタフェース１３１−２に前記サーバ認証応答パケットを中継する。

Ｌ２スイッチ１２１は、パケット種別判定５１２にて、「サーバ認証応答」へと進み、認証処理５７２を行う。認証処理５７２では、サーバ認証応答パケット内のサーバ認証結果２６２の内容が「認証許可」であるため、サーバ認証結果２６２に含まれる端末のＭＡＣアドレス「ＭＡＣ１１１」、認証後のアクセス先ＶＬＡＮ「３０」を、中継テーブルの第２エントリの送信元ＭＡＣ４３１と、出力ＶＬＡＮ４３２に設定する。また、第２エントリの出力ＶＬＡＮ４３２に一致するゲートウェイＶＬＡＮ４２１のＧＷ管理テーブル４２０のエントリの、出力インタフェース４２３「１２１−４」を出力インタフェース４３３に、出力ＭＡＣ４２４「ＭＡＣ１３１」を出力ＭＡＣ４３４に設定する。そして、宛先ＭＡＣ２１１を「ＭＡＣＬ２」（Ｌ２認証要求および応答を示す）、送信元ＭＡＣ２１２を「ＭＡＣ１２１」、Ｌ２認証結果２５２に「認証許可」を示すデータを入れたＬ２認証応答パケットをインタフェース１２１−１より送信する。送信したＬ２認証応答パケットは、端末１１１が受信し、端末１１１は、業務ネットワーク１０３へのアクセスが可能となったと判断する。
以上で述べた認証処理によって、Ｌ２スイッチ１２１の中継テーブル４３０に新たなエントリが作成され、端末１１１から業務ネットワーク１０３宛のアクセスが可能となる。

（認証済端末のアクセス）
次に、認証済みとなった端末１１１による業務サーバ１４３へのアクセスについて記述する。
端末１１１は、業務サーバ１４３へアクセスするためにゲートウェイのＭＡＣアドレスを取得する必要があるが、すでに取得済みであるので、宛先ＭＡＣ２１１を「ＭＡＣ１２１」、送信元ＭＡＣ２１２を「ＭＡＣ１１１」、送信元ＩＰ２１３を「１０．０．０．１」、宛先ＩＰ２１４を３０．０．０．４（業務サーバ１４３のＩＰアドレス）となるデータパケットを送信する。前記データパケットは、インタフェース１２１−１で、Ｌ２スイッチ１２１が受信する。

前記データパケットを受信したＬ２スイッチ１２１は、ネットワーク間中継５６１にて、中継テーブル４３０に第２エントリとして送信元ＭＡＣ４３１を「ＭＡＣ１１１」とするエントリがあるため、データパケットの宛先ＭＡＣ２１１を、中継テーブル４３０の第２エントリの出力ＭＡＣ４３４「ＭＡＣ１３１」に書き換え、出力インタフェース４３３のインタフェース「１２１−４」より、データパケットを送信する。宛先ＭＡＣ２１１を「ＭＡＣ１３１」のデータパケットは、インタフェース１３１−３で、Ｌ３スイッチ１３１が受信する。

宛先ＭＡＣ２１１をＭＡＣ１３１のデータパケットを受信したＬ３スイッチ１３１は、ルーティングテーブル６３０に従い、中継する。ルーティングテーブル６３０には、ルーティングテーブル６２０と異なり、業務サーバ１４３宛の経路があるため、廃棄せずに中継する。結果、端末１１１からの業務サーバ１４３宛の通信が成立する。業務サーバ１４３が端末１１１に対し、データパケットを送信した場合は、宛先ＩＰ２１４を「１０．０．０．１」のデータパケットをＬ３スイッチ１３１がルーティングテーブル６３０に従い、ＶＬＡＮ「１０」にてＡＲＰによって、端末１１１のＭＡＣアドレスを取得し、端末１１１へデータパケットを中継する。
以上のように、認証済みとなった端末１１１と業務サーバ１４３との間の通信が成立する。

一方、認証済み端末１１１が認証サーバ１４２へのアクセスを行う場合、業務サーバ１４３へのアクセスと同じように、Ｌ３スイッチ１３１のルーティングテーブル６３０に、認証ネットワーク１０２宛の経路があるため、正しく中継される。また、認証サーバ１４２から端末１１１へは、未認証状態の時と同様に処理され、端末１１１に正しく中継される。

以上に示したとおり、未認証状態であった端末１１１は、認証ネットワーク１０２のみにアクセスが許され、業務ネットワーク１０３へはアクセスできないが、認証済み状態となった端末１１１は、業務ネットワーク１０３へアクセスが可能となり、かつ認証ネットワーク１０２へのアクセスも継続して行うことができる。また、認証状態が変更される際において、ダイナミックＶＬＡＮのようにＩＰアドレスの変更を必要としないため、認証前後で端末を収容するサブネットを分ける必要がなく、ＩＰアドレスの利用効率を向上させることが可能となる。

２．第２の実施の形態
第１の実施の形態は、業務ネットワークを１つとした場合であるが、端末によって認証後にアクセス可能なネットワークを分離する構成が考えられる。
本実施例では、第１の実施の形態の構成に、認証後にアクセス可能なネットワークとして、例えば開発ネットワーク１０４が追加された構成について、端末１１１が認証後にアクセス可能となるネットワークを、業務ネットワーク１０３のみにする場合と、開発ネットワーク１０４のみにする場合と、業務ネットワーク１０３および開発ネットワーク１０４にする場合について記述する。なお、業務ネットワーク１０３、開発ネットワーク１０４以外にも適宜のネットワークであってもよいし、２つに限らず適宜の複数のネットワークがあってもよい。

本実施例の説明においては、第１の実施の形態との差分のみを記述する。
図７は、図１のネットワーク構成に開発ネットワーク１０４と統合ネットワーク１０５を追加したネットワーク構成図である。
開発ネットワーク１０４は、ＩＰサブネット４０．０．０．０／８のＶＬＡＮ「４０」で構成され、Ｌ２スイッチ１２１のインタフェース１２１−５とＬ３スイッチ１３１のインタフェース１３１−７が接続され、Ｌ３スイッチ１３１のインタフェース１３１−８と開発サーバ１４４が接続される。

統合ネットワーク１０５は、ＩＰサブネット５０．０．０．０／８のＶＬＡＮ「５０」で構成され、Ｌ２スイッチ１２１のインタフェース１２１−６とＬ３スイッチ１３１のインタフェース１３１−９が接続される。

図８は、第１の実施の形態のＧＷ管理テーブル４２０に、第２の実施の形態用のエントリを追加したものである。図８のＧＷ管理テーブル８２０のゲートウェイＶＬＡＮ４２１とゲートウェイＩＰ４２２には、第４エントリには、開発ネットワーク１０４のＶＬＡＮとゲートウェイのＩＰアドレスが、第５エントリは、統合ネットワーク１０５のＶＬＡＮとゲートウェイのＩＰアドレスがそれぞれ設定される。第１の実施の形態の第２および第３エントリの出力インタフェース４２３と出力ＭＡＣ４２４の解決時に、第４および第５エントリの出力インタフェース４２３と出力ＭＡＣ４２４も解決される。

図９は、第２の実施の形態におけるＬ３スイッチ１３１の開発ネットワーク１０４におけるルーティングテーブル９１０と、統合ネットワーク１０５におけるルーティングテーブル９２０を表している。

ルーティングテーブル９１０の第１エントリは、端末１１１が属するネットワーク宛、第２エントリは、認証サーバ１４２が属するネットワーク宛、第３エントリは、開発サーバ１４４が属するネットワーク宛の経路を示す。

ルーティングテーブル９２０の第１エントリは、端末１１１が属するネットワーク宛、第２エントリは、認証サーバ１４２が属するネットワーク宛、第３エントリは、業務サーバ１４３が属するネットワーク宛、第４エントリは、開発サーバ１４４が属するネットワーク宛の経路を示す。

まず、端末１１１が認証後に業務ネットワーク１０３だけアクセス可能とする場合は、第１の実施の形態と同じため、省略する。
次に、端末１１１が認証後に開発ネットワーク１０４だけアクセス可能とする場合について記述する。

第１の実施の形態における認証サーバ１４２が返すサーバ認証応答パケット内のサーバ認証結果２６２において、認証後アクセス先ＶＬＡＮを「４０」として返すようにする。結果、Ｌ２スイッチ１２１の中継先ＶＬＡＮが「４０」となり、Ｌ３スイッチ１３１のＶＬＡＮ「４０」でのルーティングにて、ルーティングテーブル９１０に応じた中継がなされる。ルーティングテーブル９１０に登録された経路のみに中継されるため、開発ネットワーク１０４のみが認証後にアクセス可能なネットワークとして追加される。

最後に、端末１１１が認証後に業務ネットワーク１０３および開発ネットワーク１０４の複数のネットワークへアクセス可能とする場合。
第１の実施の形態における認証サーバ１４２が返すサーバ認証応答パケット内のサーバ認証結果２６２において、認証後アクセス先ＶＬＡＮを「５０」として返すようにする。結果、Ｌ２スイッチ１２１の中継先ＶＬＡＮが「５０」となり、Ｌ３スイッチ１３１のＶＬＡＮ「５０」でのルーティングにて、ルーティングテーブル９２０に応じた中継がなされる。ルーティングテーブル９２０に登録された経路のみに中継されるため、業務ネットワーク１０３および開発ネットワーク１０４が認証後にアクセス可能なネットワークとして追加される。

以上のように、Ｌ３スイッチ１３１が個別のルーティングテーブルを作成し、Ｌ２スイッチ１２１が適切なルーティング空間に中継することで、端末によって、認証後にアクセス可能なネットワークを変更することが可能である。

本発明は、例えば、認証ネットワークに利用可能である。

１０１ 端末ネットワーク
１０２ 認証ネットワーク
１０３ 業務ネットワーク
１０４ 開発ネットワーク
１０５ 統合ネットワーク
１１１ 端末
１２１ Ｌ２スイッチ
１２１−１、１２１−２、１２１−３、１２１−４、１２１−５、１２１−６ Ｌ２スイッチのインタフェース
１３１ Ｌ３スイッチ
１３１−１、１３１−２、１３１−３、１３１−４、１３１−５、１３１−６、１３１−７、１３１−８、１３１−９ Ｌ３スイッチのインタフェース
１４１ ＤＨＣＰサーバ
１４２ 認証サーバ
１４３ 業務サーバ
１４４ 開発サーバ
２１１ 宛先ＭＡＣ
２１２ 送信元ＭＡＣ
２１３ 送信元ＩＰ
２１４ 宛先ＩＰ
２２１ ソースＭＡＣ
２２２ ソースＩＰ
２２３ ターゲットＩＰ
２２４ ターゲットＭＡＣ
２３１ クライアントＭＡＣ
２３２ クライアントＩＰ
２３３ ゲートウェイＩＰ
２４１ ＩＰデータ
２５１ Ｌ２認証データ
２５２ Ｌ２認証結果
２６１ サーバ認証データ
２６２ サーバ認証結果
３１１−ｉ インタフェース
３１２ パケット送受信部
３１３ ＦＤＢ学習部
３１４ パケット種別判定部
３２１ フォワーディング部
３２２ ＣＰＵ部
３２３ ネットワーク間中継部
３２４ ゲートウェイ処理部
３３１ 主記憶
３３２， ４１０ ＭＡＣテーブル
４１１ 入力ＶＬＡＮ
４１２ 宛先ＭＡＣ
４１３ 出力インタフェース
３３３、４２０、９１０ ＧＷ管理テーブル
４２１ ゲートウェイＶＬＡＮ
４２２ ゲートウェイＩＰ
４２３ 出力インタフェース
４２４ 出力ＭＡＣ
３３４、４３０ 中継テーブル
４３１ 送信元ＭＡＣ
４３２ 出力ＶＬＡＮ
４３３ 出力インタフェース
４３４ 出力ＭＡＣ
５１１ ＦＤＢ学習
５１２ パケット種別判定
５１３ ＦＤＢ検索送信
５２１ ゲートウェイ取得
５４１ ゲートウェイＡＲＰ受信
５５１ ゲートウェイ判定
５５２ ゲートウェイＡＲＰ応答
５６１ ネットワーク間中継
５７１ 認証要求
５７２ 認証処理
７１０、７２０、７３０、１０１０、１０２０ ルーティングテーブル
７１１、７２１、７３１、１０１１、１０２１ 宛先ＩＰ
７１２、７２２、７３２、１０１２、１０２２ マスク長
７１３、７２３、７３３、１０１３、１０２３ 出力ＶＬＡＮ

Claims (9)

1. 端末が所属する第１のネットワークと、認証サーバが所属する第２のネットワークと、認証後の前記端末がアクセス可能なサーバが所属するひとつ以上の第３のネットワークとを備えたネットワークシステムにおいて、前記第１乃至第３のネットワークのそれぞれに所属するパケット中継装置であって、
   前記第１乃至第３のネットワークに対応する複数のインタフェースと、
   前記第１乃至第３のネットワークの識別情報と、対応するネットワークのゲートウェイのアドレス情報と、該ゲートウェイにパケットを送信するための出力インタフェース情報及び／又は出力先アドレス情報を含む出力情報とが保存されるゲートウェイ管理テーブルと、
   認証後の前記端末のアドレス情報に対応して、該認証により通信が許可された前記第３のネットワークの識別情報と出力情報とが少なくとも保存される中継テーブルと、
   前記中継テーブルに従い、前記第３のネットワークへの通信が許可されていない前記第１のネットワークに所属する前記端末からのパケットを受信した場合は前記第２のネットワークのゲートウェイへ中継し、前記第３のネットワークへの通信が許可されている前記端末からのパケットを受信した場合は前記第３のネットワークのゲートウェイへ中継するパケット処理部と
   を備え、
   前記ゲートウェイ管理テーブルに保存された前記第３のネットワークに対応する出力情報が、前記中継テーブルの前記第３のネットワークに対応する出力情報に保存され、
   前記パケット処理部は、
   前記第１のネットワークに所属する機器から、該第１のネットワークに所属する前記端末に向けて送信される前記第１のネットワークのゲートウェイのアドレス情報を受信した場合に、第１のネットワークの識別子に対応して、該第１のネットワークのゲートウェイのアドレス情報を前記ゲートウェイ管理テーブルに登録するパケット中継装置。
2. 前記パケット処理部は、
   ゲートウェイのアドレス情報に対するＭＡＣアドレス情報取得要求を、前記端末から受信し、該ゲートウェイのアドレス情報が前記ゲートウェイ管理テーブルに保存されている場合、自パケット中継装置のＭＡＣアドレスを前記端末に応答として送信し、
   前記端末が該応答に含まれるパケット中継装置のＭＡＣアドレスを宛先として送信した前記第１のネットワーク以外のネットワークへ送信するためのパケットを受信し、
   該パケットの宛先ＭＡＣアドレスが、自パケット中継装置のＭＡＣアドレスである場合に、前記第２または第３のネットワークへ送信するパケットと判別し、前記中継テーブルに従いパケットを中継する請求項１に記載のパケット中継装置。
3. 端末が所属する第１のネットワークと、認証サーバが所属する第２のネットワークと、認証後の前記端末がアクセス可能なサーバが所属するひとつ以上の第３のネットワークとを備えたネットワークシステムにおいて、前記第１乃至第３のネットワークのそれぞれに所属するパケット中継装置であって、
   前記第１乃至第３のネットワークに対応する複数のインタフェースと、
   前記第１乃至第３のネットワークの識別情報と、対応するネットワークのゲートウェイのアドレス情報と、該ゲートウェイにパケットを送信するための出力インタフェース情報及び／又は出力先アドレス情報を含む出力情報とが保存されるゲートウェイ管理テーブルと、
   認証後の前記端末のアドレス情報に対応して、該認証により通信が許可された前記第３のネットワークの識別情報と出力情報とが少なくとも保存される中継テーブルと、
   前記中継テーブルに従い、前記第３のネットワークへの通信が許可されていない前記第１のネットワークに所属する前記端末からのパケットを受信した場合は前記第２のネットワークのゲートウェイへ中継し、前記第３のネットワークへの通信が許可されている前記端末からのパケットを受信した場合は前記第３のネットワークのゲートウェイへ中継するパケット処理部と
   を備え、
   前記ゲートウェイ管理テーブルに保存された前記第３のネットワークに対応する出力情報が、前記中継テーブルの前記第３のネットワークに対応する出力情報に保存され、
   前記パケット処理部は、
   前記ゲートウェイ管理テーブルに保存される前記第１乃至第３のネットワークの各ゲートウェイのアドレス情報に対するＭＡＣアドレス情報取得要求を前記第１乃至第３のネットワークでそれぞれ送信し、ゲートウェイのＭＡＣアドレス情報を含む、前記ＭＡＣアドレス情報取得要求の応答をそれぞれ受信し、受信した前記インタフェースの識別子と、受信した応答に含まれるゲートウェイのＭＡＣアドレス情報とを出力情報として、前記ゲートウェイ管理テーブルを更新するパケット中継装置。
4. 前記パケット処理部は、
   前記第２のネットワークに所属する前記認証サーバから、前記第１のネットワークに所属する前記端末のアドレス情報と通信を許可するネットワークの識別情報を含み、認証結果を該端末に送信するパケットを受信した場合は、前記端末のアドレス情報と通信を許可するネットワークの識別情報を取り出して前記中継テーブルに登録する請求項１に記載のパケット中継装置。
5. 端末が所属する第１のネットワークと、認証サーバが所属する第２のネットワークと、認証後の前記端末がアクセス可能なサーバが所属するひとつ以上の第３のネットワークとを備えたネットワークシステムにおいて、前記第１乃至第３のネットワークのそれぞれに所属するパケット中継装置であって、
   前記第１乃至第３のネットワークに対応する複数のインタフェースと、
   前記第１乃至第３のネットワークの識別情報と、対応するネットワークのゲートウェイのアドレス情報と、該ゲートウェイにパケットを送信するための出力インタフェース情報及び／又は出力先アドレス情報を含む出力情報とが保存されるゲートウェイ管理テーブルと、
   認証後の前記端末のアドレス情報に対応して、該認証により通信が許可された前記第３のネットワークの識別情報と出力情報とが少なくとも保存される中継テーブルと、
   前記中継テーブルに従い、前記第３のネットワークへの通信が許可されていない前記第１のネットワークに所属する前記端末からのパケットを受信した場合は前記第２のネットワークのゲートウェイへ中継し、前記第３のネットワークへの通信が許可されている前記端末からのパケットを受信した場合は前記第３のネットワークのゲートウェイへ中継するパケット処理部と
   を備え、
   前記ゲートウェイ管理テーブルに保存された前記第３のネットワークに対応する出力情報が、前記中継テーブルの前記第３のネットワークに対応する出力情報に保存され、
   前記パケット処理部は、
   前記第１のネットワークのゲートウェイから、要求元ＭＡＣアドレス情報として該ゲートウェイの装置のＭＡＣアドレスを含む、前記端末のアドレス情報に対するＭＡＣアドレス情報取得要求を受信した場合に、該ＭＡＣ情報取得要求に含まれる要求元ＭＡＣアドレス情報を自パケット中継装置のＭＡＣアドレス情報へと書き換え、前記端末に送信するパケット中継装置。
6. 前記パケット処理部は、
   ＭＡＣアドレス情報取得要求を受信した前記端末から応答として送信されるＭＡＣアドレス情報取得応答を受信した場合に、該ＭＡＣアドレス情報取得応答に含まれる宛先ＭＡＣアドレス情報を前記ゲートウェイの装置のＭＡＣアドレス情報に書き換え、前記ゲートウェイに送信する請求項５に記載のパケット中継装置。
7. 端末が所属する第１のネットワークと、認証サーバが所属する第２のネットワークと、認証後の前記端末がアクセス可能なサーバが所属するひとつ以上の第３のネットワークとを備えたネットワークシステムにおいて、前記第１乃至第３のネットワークのそれぞれに所属する第１のパケット中継装置と、
   前記第１のパケット中継装置と前記第１乃至第３のネットワークでそれぞれ接続される第２のパケット中継装置と、
   を備え、
   第１のパケット中継装置が、
   前記第１乃至第３のネットワークに対応する複数のインタフェースと、
   前記第１乃至第３のネットワークの識別情報と、対応するネットワークのゲートウェイのアドレス情報と、該ゲートウェイにパケットを送信するための出力インタフェース情報及び／又は出力先アドレス情報を含む出力情報とが保存されるゲートウェイ管理テーブルと、
   認証後の前記端末のアドレス情報に対応して、該認証により通信が許可された前記第３のネットワークの識別情報と出力情報とが少なくとも保存される中継テーブルと、
   前記中継テーブルに従い、前記第３のネットワークへの通信が許可されていない前記第１のネットワークに所属する前記端末からのパケットを受信した場合は前記第２のネットワークのゲートウェイへ中継し、前記第３のネットワークへの通信が許可されている前記端末からのパケットを受信した場合は前記第３のネットワークのゲートウェイへ中継するパケット処理部と
   を備え、
   前記ゲートウェイ管理テーブルに保存された前記第３のネットワークに対応する出力情報が、前記中継テーブルの前記第３のネットワークに対応する出力情報に保存され、
   前記第２のパケット中継装置が、
   前記第１及び第２及び第３のネットワークにおけるゲートウェイとして機能し、
   前記第１のネットワークへの転送経路を持つ第１の転送経路テーブルを有し、前記第１の転送経路テーブルを前記第１のネットワークで受信したパケットの転送処理に使用し、
   前記第１のネットワーク及び前記第２のネットワークへの転送経路を持つ第２の転送経路テーブルを有し、前記第２の転送経路テーブルを前記第２のネットワークで受信したパケットの転送処理に使用し、
   前記第１のネットワーク及び前記第２のネットワーク及びひとつ以上の前記第３のネットワークへの転送経路を持つひとつ以上の第３の転送経路テーブルを有し、前記第３の転送経路テーブルを前記第３のネットワークで受信したパケットの転送処理に使用し、
   前記第１のパケット中継装置が、前記第１のネットワークに所属する前記端末からの前記第１のネットワーク以外に所属する機器への送信パケットを受信すると、前記中継テーブルに従いパケットを前記第２又は第３のネットワークへ中継し、
   前記第２のパケット中継装置が、前記第２又は第３のネットワークに所属する機器からの前記第１のネットワークに所属する前記端末への送信パケットを受信すると、前記第２の転送経路テーブル及び第３の転送経路テーブルのいずれかに従って、前記パケットを前記第１のネットワークへ中継するネットワークシステム。
8. 前記第１のネットワークに所属する認証されていない未認証端末からの前記第１のネットワーク以外のネットワーク宛の第１パケットを受信した前記第１のパケット中継装置が、前記第２のネットワークで第１パケットを前記第２のパケット中継装置へ送信し、
   第１パケットを受信した第２のパケット中継装置は、
   第１パケットの宛先アドレスへの転送経路が、前記第２の転送経路テーブルに存在する場合は、前記転送経路に従って第１パケットを送信し、存在しない場合は、第１パケットを廃棄し、
   前記第１のネットワークに所属する認証された認証済み端末からの前記第１のネットワーク以外のネットワーク宛の第２パケットを受信した前記第１のパケット中継装置が、前記第３のネットワークで第２パケットを前記第２のパケット中継装置へ送信し、
   第２パケットを受信した第２のパケット中継装置は、
   第２パケットの宛先アドレスへの転送経路が、前記第３の転送経路テーブルに存在する場合は、該転送経路に従って第２パケットを送信し、存在しない場合は、第２パケットを廃棄する請求項７に記載のネットワークシステム。
9. 前記第３のネットワークは、第１サーバが所属するネットワークであり、
   前記ネットワークシステムは、
   第２サーバが所属する第４のネットワークと、
   第１サーバ及び第２サーバの双方にアクセスするための第５ネットワークと
   をさらに有し、
   前記端末は、前記第３及び第４のネットワークのいずれか又は双方にアクセス可能か認証され、
   前記第２のパケット中継装置は、
   前記第４のネットワークへの転送経路を持つ第４の転送経路テーブルを有し、前記第４の転送経路テーブルを前記第４のネットワークで受信したパケットの転送処理に使用し、
   前記第３及び４のネットワークの双方への転送経路を持つ第５の転送経路テーブルを有し、前記第５の転送経路テーブルを前記第５のネットワークで受信したパケットの転送処理に使用し、
   前記第１のパケット中継装置は、
   前記第３及び第４のネットワークへの通信の一方が許可されている前記端末からのパケットを受信した場合は、対応する前記第３及び第４のネットワークへ中継し、
   前記第３及び第４のネットワークへの通信の双方が許可されている前記端末からのパケットを受信した場合は、前記第５のネットワークへ中継する請求項７に記載のネットワークシステム。
   

Images