JP5577976B2 - Network relay device - Google Patents
Network relay device Download PDFInfo
- Publication number
- JP5577976B2 JP5577976B2 JP2010207724A JP2010207724A JP5577976B2 JP 5577976 B2 JP5577976 B2 JP 5577976B2 JP 2010207724 A JP2010207724 A JP 2010207724A JP 2010207724 A JP2010207724 A JP 2010207724A JP 5577976 B2 JP5577976 B2 JP 5577976B2
- Authority
- JP
- Japan
- Prior art keywords
- authentication information
- relay device
- network relay
- switch
- user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 claims description 73
- 230000008569 process Effects 0.000 claims description 56
- 238000012545 processing Methods 0.000 claims description 43
- 230000004044 response Effects 0.000 claims description 11
- 230000005540 biological transmission Effects 0.000 description 84
- 230000006870 function Effects 0.000 description 33
- 238000010586 diagram Methods 0.000 description 11
- 238000004891 communication Methods 0.000 description 10
- 230000004048 modification Effects 0.000 description 7
- 238000012986 modification Methods 0.000 description 7
- 238000004590 computer program Methods 0.000 description 4
- 230000000644 propagated effect Effects 0.000 description 4
- 230000008859 change Effects 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 230000001960 triggered effect Effects 0.000 description 2
- 230000008901 benefit Effects 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 230000009466 transformation Effects 0.000 description 1
Images
Landscapes
- Small-Scale Networks (AREA)
Description
本発明は、ネットワーク中継装置に関する。 The present invention relates to a network relay device.
ＩＣＴ（Information and Communication Technology）技術の進展に伴い、インテリジェントスイッチと呼ばれるスイッチ製品が登場している。このようなインテリジェントスイッチは、一般的なスイッチと比較して高機能なスイッチのことを意味する。インテリジェントスイッチは様々な機能、例えば、ＶＬＡＮ（Virtual Local Area Network）機能や、セキュリティ機能や、ＱｏＳサービス品質機能等を備えている（例えば、特許文献１）。このような機能の中でも、近年では、ネットワーク内部における脅威を重要視したセキュリティ機能の向上が求められている。 With the development of ICT (Information and Communication Technology) technology, switch products called intelligent switches have appeared. Such an intelligent switch means a switch having a higher function than a general switch. The intelligent switch has various functions such as a VLAN (Virtual Local Area Network) function, a security function, a QoS service quality function, and the like (for example, Patent Document 1). Among these functions, in recent years, there has been a demand for improvements in security functions that place importance on threats inside the network.
このような背景から、従来、接続される利用者の認証を行うことが可能なＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を内蔵したインテリジェントスイッチが知られている。ＲＡＤＩＵＳ機能を内蔵したインテリジェントスイッチは、独立したＲＡＤＩＵＳサーバを設ける必要がない点において手軽である。しかし、例えば、あるインテリジェントスイッチに接続され、ＲＡＤＩＵＳ機能を使用していた特定の利用者の端末が、他のインテリジェントスイッチに接続されるような場合（すなわち、ネットワークの構成に変化が生じた場合）、当該端末が新たに接続されたインテリジェントスイッチにおいて、ＲＡＤＩＵＳ機能を有効にするための設定が再び必要となり、煩雑であるという問題があった。 From such a background, an intelligent switch having a built-in RADIUS (Remote Authentication Dial-In User Service) function capable of authenticating a connected user is conventionally known. An intelligent switch with a built-in RADIUS function is convenient in that it is not necessary to provide an independent RADIUS server. However, for example, when a specific user's terminal connected to a certain intelligent switch and using the RADIUS function is connected to another intelligent switch (that is, when a change occurs in the network configuration). In the intelligent switch to which the terminal is newly connected, setting for enabling the RADIUS function is required again, which is complicated.
また、このような問題は、インテリジェントスイッチに限らず、セキュリティ機能を備えるネットワーク中継装置全般に共通する問題であった。 Such a problem is not limited to the intelligent switch, but is a problem common to all network relay apparatuses having a security function.
本発明は、セキュリティの向上と利便性を両立させたネットワーク中継装置を提供することを目的とする。 An object of the present invention is to provide a network relay device that achieves both improved security and convenience.
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、例えば、以下の形態として実現可能である。ネットワーク中継装置であって、利用者が前記ネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、前記認証処理において、前記利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、前記認証処理において前記利用者が前記ネットワーク中継装置へ接続する権限を保持すると判定された場合に、前記利用者の端末との間のフレームを中継する中継処理部と、予め定められたトリガの発生に応じて、前記認証情報記憶部に格納された前記認証情報を、前記ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、前記利用者から前記認証情報を受け付けると共に、受け付けた前記認証情報を前記認証情報記憶部へ格納する認証情報登録部と、前記他のネットワーク中継装置から前記認証情報を受信した際に、受信した前記認証情報を前記認証情報記憶部へ格納する認証情報更新部と、を備え、前記認証情報登録部は、受け付けた前記認証情報を前記認証情報記憶部へ格納する際に、前記ネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、前記認証情報送信部は、前記認証情報と、前記登録日時とを併せて前記他のネットワーク中継装置へ送信し、前記認証情報更新部は、前記認証情報と併せて受信した前記登録日時を用いることによって、前記認証情報記憶部内の一貫性を保持するように、前記認証情報を前記認証情報記憶部へ格納する、ネットワーク中継装置。本発明は、そのほか、以下の形態又は適用例として実現することが可能である。 SUMMARY An advantage of some aspects of the invention is to solve at least a part of the problems described above, and the invention can be implemented as , for example, the following forms. An authentication processing unit that executes an authentication process for determining whether or not a user holds an authority to connect to the network relay apparatus, and in the authentication process, the authority of the user An authentication information storage unit that stores authentication information, which is information used for verifying, and the user when it is determined in the authentication process that the user has authority to connect to the network relay device A relay processing unit that relays a frame between the terminal and the authentication information stored in the authentication information storage unit in response to the occurrence of a predetermined trigger; An authentication information transmitting unit for transmitting to the network relay device; and receiving the authentication information from the user and storing the received authentication information in the authentication information storage An authentication information registration unit that stores the authentication information, and an authentication information update unit that stores the received authentication information in the authentication information storage unit when the authentication information is received from the other network relay device. When storing the received authentication information in the authentication information storage unit, the information registration unit also stores the registration date and time based on the date and time acquired from the outside of the network relay device, and the authentication information transmission unit includes: The authentication information and the registration date and time are transmitted together to the other network relay device, and the authentication information update unit uses the registration date and time received together with the authentication information in the authentication information storage unit. A network relay device that stores the authentication information in the authentication information storage unit so as to maintain consistency. In addition, the present invention can be realized as the following forms or application examples.
［適用例１］
ネットワーク中継装置であって、
利用者が前記ネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、
前記認証処理において、前記利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、
前記認証処理において前記利用者が前記ネットワーク中継装置へ接続する権限を保持すると判定された場合に、前記利用者の端末との間のフレームを中継する中継処理部と、
予め定められたトリガの発生に応じて、前記認証情報記憶部に格納された前記認証情報を、前記ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、
を備える、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、予め定められたトリガの発生に応じて、利用者の権限を照合するために使用される情報である認証情報を他のネットワーク中継装置へ送信するため、他のネットワーク中継装置においても、この認証情報を用いて認証処理を実行することができる。この結果、セキュリティの向上と利便性を両立させたネットワーク中継装置を提供することができる。
[Application Example 1]
A network relay device,
An authentication processing unit that executes an authentication process for determining whether or not the user has authority to connect to the network relay device;
In the authentication process, an authentication information storage unit that stores authentication information that is information used for checking the authority of the user;
A relay processing unit that relays a frame between the user terminal and the user when it is determined in the authentication process that the user has authority to connect to the network relay device;
An authentication information transmitting unit that transmits the authentication information stored in the authentication information storage unit to another network relay device connected to the network relay device in response to occurrence of a predetermined trigger;
A network relay device comprising:
With this configuration, the authentication information transmission unit transmits authentication information, which is information used to check the authority of the user, to another network relay device in response to the occurrence of a predetermined trigger. Therefore, also in other network relay apparatuses, authentication processing can be executed using this authentication information. As a result, it is possible to provide a network relay device that achieves both improved security and convenience.
［適用例２］
適用例１記載のネットワーク中継装置であって、さらに、
前記他のネットワーク中継装置から前記認証情報を受信した際に、受信した前記認証情報を前記認証情報記憶部へ格納する認証情報更新部を備える、ネットワーク中継装置。
このような構成にすれば、認証情報更新部は、他のネットワーク中継装置から認証情報を受信した際に、受信した認証情報を認証情報記憶部へ格納するため、この認証情報を用いて認証処理を実行することができる。
[Application Example 2]
A network relay device described in Application Example 1,
A network relay device comprising: an authentication information update unit that stores the received authentication information in the authentication information storage unit when the authentication information is received from the other network relay device.
With this configuration, when the authentication information update unit receives the authentication information from another network relay device, the authentication information update unit stores the received authentication information in the authentication information storage unit. Can be executed.
［適用例３］
適用例２記載のネットワーク中継装置であって、さらに、
前記利用者から前記認証情報を受け付けると共に、受け付けた前記認証情報を前記認証情報記憶部へ格納する認証情報登録部を備え、
前記認証情報登録部は、受け付けた前記認証情報を前記認証情報記憶部へ格納する際に、前記ネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、
前記認証情報送信部は、前記認証情報と、前記登録日時とを併せて前記他のネットワーク中継装置へ送信し、
前記認証情報更新部は、前記認証情報と併せて受信した前記登録日時を用いることによって、前記認証情報記憶部内の一貫性を保持するように、前記認証情報を前記認証情報記憶部へ格納する、ネットワーク中継装置。
このような構成にすれば、認証情報登録部は、受け付けた認証情報を格納する際にネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、認証情報送信部は、認証情報と登録日時とを併せて送信し、認証情報更新部は、認証情報と併せて受信した登録日時を用いることによって、認証情報記憶部内の一貫性を保持するように認証情報を認証情報記憶部へ格納するため、認証情報記憶部に格納された認証情報の一貫性を向上させることができる。
[Application Example 3]
A network relay device according to Application Example 2, further comprising:
An authentication information registration unit that receives the authentication information from the user and stores the received authentication information in the authentication information storage unit,
The authentication information registration unit, when storing the received authentication information in the authentication information storage unit, also stores the registration date and time based on the date and time acquired from the outside of the network relay device,
The authentication information transmitting unit transmits the authentication information and the registration date and time to the other network relay device,
The authentication information update unit stores the authentication information in the authentication information storage unit so as to maintain consistency in the authentication information storage unit by using the registration date and time received together with the authentication information. Network relay device.
With such a configuration, the authentication information registration unit stores the registration date and time depending on the date and time acquired from the outside of the network relay device when storing the received authentication information, and the authentication information transmission unit The authentication information update unit transmits the authentication information to the authentication information storage unit so as to maintain consistency in the authentication information storage unit by using the registration date and time received together with the authentication information. Therefore, the consistency of the authentication information stored in the authentication information storage unit can be improved.
［適用例４］
適用例１ないし３のいずれか一項記載のネットワーク中継装置であって、
前記認証情報送信部は、
前記ネットワーク中継装置に接続された他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して前記認証情報を送信する、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して認証情報を送信することができる。この結果、利便性を向上させることができる。
[Application Example 4]
The network relay device according to any one of Application Examples 1 to 3,
The authentication information transmitting unit
A network relay device that transmits the authentication information to a predetermined specific relay device among other network relay devices connected to the network relay device.
With this configuration, the authentication information transmission unit can transmit the authentication information to a predetermined specific relay device among other network relay devices. As a result, convenience can be improved.
［適用例５］
適用例１ないし４のいずれか一項記載のネットワーク中継装置であって、
前記予め定められたトリガは、前記認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかである、ネットワーク中継装置。
このような構成にすれば、認証情報送信部は、認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかのトリガの発生に応じて、認証情報を送信することができる。この結果、利便性を向上させることができる。
[Application Example 5]
The network relay device according to any one of Application Examples 1 to 4,
The network relay device, wherein the predetermined trigger is either update of the authentication information storage unit or arrival of a date and time according to a predetermined schedule.
According to such a configuration, the authentication information transmission unit transmits the authentication information in response to the occurrence of any of the trigger of the update of the authentication information storage unit and the arrival of the date and time according to a predetermined schedule. Can do. As a result, convenience can be improved.
［適用例６］
適用例１ないし５のいずれか一項記載のネットワーク中継装置であって、
前記認証情報は、前記利用者を識別するためのユーザＩＤと、前記利用者によって設定されるパスワードとの組、もしくは、前記利用者の電子証明書の信頼性を判断するための電子証明書の少なくともいずれか一方を含む、ネットワーク中継装置。
このような構成にすれば、認証情報は、利用者を識別するためのユーザＩＤと、利用者によって設定されるパスワードとの組、もしくは、利用者の電子証明書の信頼性を判断するための電子証明書の少なくともいずれか一方を含むことができるため、認証処理部の認証処理において幅広い認証方式を用いることが可能となる。
[Application Example 6]
The network relay device according to any one of Application Examples 1 to 5,
The authentication information is a set of a user ID for identifying the user and a password set by the user, or an electronic certificate for judging the reliability of the electronic certificate of the user. A network relay device including at least one of them.
With this configuration, the authentication information is used to determine the reliability of the user ID for identifying the user and the password set by the user or the electronic certificate of the user. Since at least one of the electronic certificates can be included, a wide range of authentication methods can be used in the authentication processing of the authentication processing unit.
［適用例７］
適用例１ないし６のいずれか一項記載のネットワーク中継装置であって、
前記認証情報記憶部は、ハードディスクドライブ内に設けられる、ネットワーク中継装置。
このような構成にすれば、認証情報記憶部はハードディスクドライブ内に設けられるため、認証情報記憶部の記憶容量を大きくすることができる。
[Application Example 7]
The network relay device according to any one of Application Examples 1 to 6,
The authentication information storage unit is a network relay device provided in a hard disk drive.
With this configuration, since the authentication information storage unit is provided in the hard disk drive, the storage capacity of the authentication information storage unit can be increased.
なお、本発明は、種々の態様で実現することが可能である。例えば、本発明は、ネットワーク中継装置、ネットワーク中継装置の制御方法、ネットワーク中継装置を用いたネットワークシステム、および、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記憶した記憶媒体等の形態で実現することができる。 Note that the present invention can be realized in various modes. For example, the present invention relates to a network relay device, a control method of the network relay device, a network system using the network relay device, a computer program for realizing the functions of the method or device, and a storage storing the computer program It can be realized in the form of a medium or the like.
次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。 Next, embodiments of the present invention will be described in the following order based on examples.
Ａ．第１実施例：
（Ａ−１）装置構成：
図１は、本発明の一実施例としてのネットワーク中継装置および端末の機能の概略構成を示す説明図である。ネットワーク中継装置（以降、単に「スイッチ」とも呼ぶ。）１０、２０、２０Ｘは、いわゆるレイヤ２スイッチである。スイッチ１０は、ＭＡＣアドレスがＭＡＣ＿ＳＷ１０であり、回線を通じてパーソナルコンピュータ（以降、「端末」、「ＰＣ」とも呼ぶ。）５０と接続されている。スイッチ２０は、ＭＡＣアドレスがＭＡＣ＿ＳＷ２０であり、回線を通じてＰＣ６０と接続されている。スイッチ２０Ｘは、ＭＡＣアドレスがＭＡＣ＿ＳＷ２０Ｘである。スイッチ１０と、スイッチ２０と、スイッチ２０Ｘとは、ローカルエリアネットワーク（ＬＡＮ）等のネットワークを通じて互いに接続されている。なお、図１では便宜上、説明上必要としない、他のネットワーク中継装置、回線、端末、およびネットワーク中継装置内の構成部については図示を省略している。このことは、後述する図においても同様である。
A. First embodiment:
(A-1) Device configuration:
FIG. 1 is an explanatory diagram showing a schematic configuration of functions of a network relay device and a terminal as an embodiment of the present invention. Network relay devices (hereinafter also simply referred to as “switches”) 10, 20, and 20X are so-called layer 2 switches. The
スイッチ１０、２０、２０Ｘは、ＭＡＣアドレスによるフレームの中継を行う中継機能を備えている。さらに、スイッチ１０、２０、２０Ｘは、スイッチに接続される端末の利用者が、スイッチへ接続する権限を保持するか否かを判定する（認証を行う）ことが可能なＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）機能を備えている。
The
ＲＡＤＩＵＳ機能とは、具体的には、８０２．１Ｘ認証や、ＭＡＣアドレス認証、Ｗｅｂ認証等に基づいた認証処理を実現する機能である。８０２．１Ｘ認証、ＭＡＣアドレス認証、Ｗｅｂ認証に基づいた認証処理では、例えば、ＰＡＰ（Password Authentication Protocol）、ＣＨＡＰ（Challenge Handshake Authentication Protocol）、ＥＡＰ−ＭＤ５（Extensible Authentication Protocol-Message Digest version 5）、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）、ＰＥＡＰ（Protected Extensible Authentication Protocol）等の種々の認証方式を使用することができる。 Specifically, the RADIUS function is a function that realizes authentication processing based on 802.1X authentication, MAC address authentication, Web authentication, or the like. In the authentication process based on 802.1X authentication, MAC address authentication, and Web authentication, for example, PAP (Password Authentication Protocol), CHAP (Challenge Handshake Authentication Protocol), EAP-MD5 (Extensible Authentication Protocol-Message Digest version 5), EAP -Various authentication methods such as TLS (Extensible Authentication Protocol-Transport Layer Security) and PEAP (Protected Extensible Authentication Protocol) can be used.
上述の認証処理においては、利用者の権限を照合するために、予め各スイッチ内に格納されている認証情報が使用される。本実施例では、認証情報は、スイッチ１０に接続されたＰＣ５０を介して、スイッチ１０の記憶部内に登録される。また、スイッチ２０、２０Ｘ内の認証情報は、スイッチ１０から送信される。すなわち、本実施例では、スイッチ１０がマスタとなり、スイッチ２０、２０Ｘをスレーブとして、認証情報を伝播させる。
In the above-described authentication process, authentication information stored in advance in each switch is used in order to check the authority of the user. In this embodiment, the authentication information is registered in the storage unit of the
上述のように、スイッチ１０、２０、２０Ｘは、それぞれＲＡＤＩＵＳ機能を内蔵している。このため、独立したＲＡＤＩＵＳサーバを設ける必要がなく手軽である。さらに、独立したＲＡＤＩＵＳサーバを設けた場合は、ＲＡＤＩＵＳサーバが、例えば、サーバのダウンやサーバまでの経路障害の発生等により認証処理のサービスが不能となった場合、当該ＲＡＤＩＵＳサーバを利用する全ての端末における利用者の認証処理が不可能となる問題がある。これに対し、本実施例におけるスイッチ１０、２０、２０Ｘは、仮に１つのスイッチのＲＡＤＩＵＳ機能が、例えば、スイッチのダウン等により認証処理のサービスが不能となった場合であっても、他のスイッチでは認証処理のサービスを継続することができる。このため、影響範囲を小さくすることができる。
As described above, the
図２は、スイッチ１０の構成を概略的に示す説明図である。スイッチ１０は、ＣＰＵ２００と、ＲＯＭ３００と、ＲＡＭ４００と、有線通信部５００とを備えている。スイッチ１０の各構成要素は、バスを介して互いに接続されている。
FIG. 2 is an explanatory diagram schematically showing the configuration of the
ＣＰＵ２００は、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００に展開して実行することにより、スイッチ１０の各部を制御する。また、ＣＰＵ２００は、認証処理部２２０、認証情報送信部２３０、認証情報登録部２４０としても機能する。
The
認証処理部２２０は、ＲＡＤＩＵＳ機能（８０２．１Ｘ認証、ＭＡＣアドレス認証、Ｗｅｂ認証）に基づいた認証処理を実行する。認証情報送信部２３０は、認証処理において使用される認証情報を、他のスイッチ（スイッチ２０、２０Ｘ：図１）へ送信する認証情報送信処理（図６、ステップＳ２０、図７）を実行する機能を有する。認証情報登録部２４０は、認証処理に先立って、利用者から認証情報を受け付け、認証情報を登録する認証情報登録処理（図６）を実行する機能を有する。これら各機能の詳細は後述する。
The
ＲＡＭ４００には、認証情報記憶部４１０と、送信先記憶部４２０とが含まれている。これら各記憶部の内容についての詳細は後述する。有線通信部５００は、中継処理部５１０と、図示しない有線通信インタフェースとを含む物理チップ（ＡＳＩＣ：Application Specific Integrated Circuit）である。中継処理部５１０は、有線通信インタフェースを介して受信したフレームであって、認証処理部２２０の認証処理において許可された利用者から受信したフレームを中継する機能を有する。
The
（Ａ−２）記憶部内の構成：
図３は、認証情報記憶部４１０に格納されているデータの一例を示す説明図である。認証情報記憶部４１０には、ユーザＩＤと、パスワードと、登録日時とが関連付けて記憶されている。ユーザＩＤは、スイッチ１０に接続される端末の利用者を識別するために付与される一意な識別子である。パスワードは、ユーザＩＤと関連付けて任意に設定される文字列である。登録日時は、認証情報（ユーザＩＤとパスワードの組）が認証情報記憶部４１０内に登録された日時である。なお、ユーザＩＤと関連付けられて記憶される情報には、図示以外のものも含むことができる。例えば、スイッチ１０に接続される端末の利用者を証明するために提示される電子証明書（以降、「ユーザ証明書」とも呼ぶ。）を含んでもよい。
(A-2) Configuration in storage unit:
FIG. 3 is an explanatory diagram illustrating an example of data stored in the authentication
認証情報記憶部４１０には、さらに、スイッチ１０が信頼する認証局から発行されているルート証明書が格納されている。このルート証明書は、認証処理において、ユーザ証明書の信頼性を判断するために用いられる。ルート証明書は、スイッチ１０の管理者により予め格納される。なお、ユーザＩＤとパスワードとの組と、ルート証明書とを総称して「認証情報」とも呼ぶ。
The authentication
図３の例では、ユーザＩＤ「ｕｓｅｒ０１」によって識別される利用者のパスワードは「ａｂｃ１２３４５６」であり、ユーザＩＤ「ｕｓｅｒ０１」の利用者の認証情報が認証情報記憶部４１０に登録されたのは「２０１０年８月２３日 １７時５４分０秒」である。また、ユーザＩＤ「ｕｓｅｒ０２」の利用者のパスワードは「ａｂｃｄｅｆｇｈｉ」であり、認証情報が登録されたのは「２０１０年８月２５日 １０時１５分２秒」である。また、スイッチ１０には、スイッチ１０が信頼する２つの認証局から発行されたルート証明書ＲＣ１が格納されている。
In the example of FIG. 3, the password of the user identified by the user ID “user01” is “abc123456”, and the authentication information of the user with the user ID “user01” is registered in the authentication
図４は、送信先記憶部４２０に格納されているデータの一例を示す説明図である。送信先記憶部４２０には、予め、送信先と、認証情報の種類とが関連付けて記憶されている。送信先は、後述の認証情報送信処理において、認証情報送信部２３０が認証情報を送信する際の宛先となるスイッチを識別するための情報が格納されている。本実施例では、送信先スイッチを識別するための情報として、送信先スイッチのＭＡＣアドレスを格納するものとしているが、他の情報（例えば、スイッチ１０内の出力ポートの識別子）等を採用してもよい。認証情報の種類は、後述の認証情報送信処理において、認証情報送信部２３０が送信する認証情報の種類が格納されている。
FIG. 4 is an explanatory diagram illustrating an example of data stored in the transmission
図５は、スイッチ２０の構成を概略的に示す説明図である。図２に示したスイッチ１０との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ａを備える点と、ＲＡＭ４００の代わりにＲＡＭ４００ａを備える点のみであり、他の構成や動作はスイッチ１０と同じである。なお、図１に示したスイッチ２０Ｘの構成は、スイッチ２０と同じである。
FIG. 5 is an explanatory diagram schematically showing the configuration of the
ＣＰＵ２００ａは、ＲＯＭ３００に格納されているコンピュータプログラムをＲＡＭ４００ａに展開して実行することにより、スイッチ２０の各部を制御する。また、ＣＰＵ２００ａは、認証処理部２２０、認証情報更新部２５０としても機能する。認証処理部２２０については、図２で説明した通りである。認証情報更新部２５０は、他のスイッチ（例えば、スイッチ１０）から認証情報を受信した際に、受信した認証情報をＲＡＭ４００ａ内の認証情報記憶部４１０へ格納する認証情報更新処理を行う。詳細は後述する。また、ＲＡＭ４００ａは、送信先記憶部４２０を備えない点を除いては、ＲＡＭ４００と同じである。
The CPU 200a controls each part of the
（Ａ−３）認証情報登録処理：
図６は、認証情報登録処理の手順を示すフローチャートである。認証情報登録処理は、利用者から受け付けた認証情報（ユーザＩＤ、パスワード）を、認証情報記憶部４１０へ登録する処理である。まず、認証情報登録部２４０（図２）は、利用者からの登録要求を受け付ける（ステップＳ１０）。具体的には、例えば、スイッチ１０の設定画面（ブラウザ等を用いて提供されるスイッチ１０の一般的な設定を行うための画面）に設けたリンクの押下により、登録要求がされたものと扱うことができる。
(A-3) Authentication information registration process:
FIG. 6 is a flowchart showing a procedure of authentication information registration processing. The authentication information registration process is a process of registering authentication information (user ID, password) received from the user in the authentication
登録要求受け付け後、認証情報登録部２４０は、スイッチ１０の設定画面上に、認証情報登録画面を表示させる（ステップＳ１２）。認証情報登録画面には、例えば、ユーザＩＤ入力フィールドと、パスワード入力フィールドと、登録ボタンとを含むことができる。利用者は、これら各フィールドに、任意のユーザＩＤ、任意のパスワードを入力し、登録ボタンを押下する。登録ボタン押下により、認証情報登録部２４０は、設定画面上の各フィールドで指定されたユーザＩＤ、パスワードを取得する（ステップＳ１４）。
After accepting the registration request, the authentication
その後、認証情報登録部２４０は、スイッチ１０の外部から時刻を取得する（ステップＳ１６）。具体的には、例えば、認証情報登録部２４０は、インターネットを介してネットワーク上に存在する時刻管理サーバにアクセスし、時刻管理サーバが提供している時刻の情報を取得する。なお、時刻管理サーバとは、ＮＴＰ（Network Time Protocol）プロトコルに準拠し、協定世界時（ＵＴＣ：Universal Time, Coordinated）に基づいた時刻の情報を提供するためのサーバである。時刻管理サーバとしては、例えば、大学や研究機関、大手ＩＳＰ（Internet Services Provider）により提供されるサーバを利用することができる。
Thereafter, the authentication
時刻取得後、認証情報登録部２４０は、ステップＳ１４で取得したユーザＩＤ、パスワードと、ステップＳ１６で取得した時刻の情報とを関連付けて認証情報記憶部４１０に格納する（ステップＳ１８）。認証情報記憶部４１０の更新後、認証情報送信部２３０は、認証情報を他のスイッチへ送信する認証情報送信処理を行う（ステップＳ２０）。
After the time acquisition, the authentication
このようにすれば、認証情報登録部２４０は、利用者から受け付けた認証情報と、スイッチ１０の外部から取得した時刻とを関連付けて認証情報記憶部４１０に格納するため、認証情報記憶部４１０内に格納されている認証情報がいつ登録されたものであるかを正確な時刻を用いて管理することが可能となる。
In this way, the authentication
さらに、認証情報登録部２４０が認証情報を更新した後、認証情報送信部２３０は認証情報送信処理を行うため、複数のスイッチが存在するネットワークシステムにおいて、最新の認証情報を共有することが可能となる。
Furthermore, after the authentication
（Ａ−４）認証情報送信処理：
図７は、認証情報送信処理の流れを示すシーケンス図である。認証情報送信部２３０（図２）は、送信先記憶部４２０を検索し、送信先（すなわち、宛先スイッチのＭＡＣアドレス）と、送信すべき認証情報の種類との１つの組を検索し、検索内容に応じた更新要求を生成する（ステップＳ１００）。具体的には、ステップＳ１００において認証情報送信部２３０は、図４のエントリＥ０１（送信先：ＭＡＣ＿ＳＷ２０、認証情報の種類：ＩＤ／パスワード）を検索する。認証情報送信部２３０は、宛先ＭＡＣアドレスをＭＡＣ＿ＳＷ２０として、ペイロード内にスイッチ２０の認証情報記憶部４１０の更新を要求する旨のコマンドと、スイッチ１０の認証情報記憶部４１０に格納されている各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組を格納したフレーム（更新要求フレーム）を生成する。なお、セキュリティの観点から、更新要求フレームは暗号化されることが好ましい。また、なりすまし防止のための技術を適用してもよい。
(A-4) Authentication information transmission process:
FIG. 7 is a sequence diagram showing a flow of authentication information transmission processing. The authentication information transmission unit 230 (FIG. 2) searches the transmission
そして、認証情報送信部２３０は、生成した更新要求フレームをスイッチ２０へ送信する（ステップＳ１０２）。更新要求フレームを受信したスイッチ２０の認証情報更新部２５０（図５）は、スイッチ２０内の認証情報記憶部４１０に格納された認証情報を更新するための認証情報更新処理を行う（ステップＳ１０４）。認証情報更新処理の詳細は後述する。認証情報更新処理の終了後、スイッチ２０の認証情報更新部２５０は、認証情報更新処理の結果を含んだ応答フレームをスイッチ１０へ送信する（ステップＳ１０６）。
Then, the authentication
また、スイッチ１０の認証情報送信部２３０（図２）は、認証情報登録部２４０を検索し、送信先と、送信すべき認証情報の種類との他の組を検索し、検索内容に応じた更新要求を生成する（ステップＳ１０８）。具体的には、ステップＳ１０８において認証情報送信部２３０は、図４のエントリＥ０２（送信先：ＭＡＣ＿ＳＷ２０Ｘ、認証情報の種類：ＩＤ／パスワード／ルート証明書）を検索する。認証情報送信部２３０は、宛先ＭＡＣアドレスをＭＡＣ＿ＳＷ２０Ｘとして、ペイロード内にスイッチ２０Ｘの認証情報記憶部４１０の更新を要求する旨のコマンドと、スイッチ１０の認証情報記憶部４１０に格納されている各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組と、スイッチ１０の認証情報記憶部４１０に格納されているルート証明書とを格納したフレーム（更新要求フレーム）を生成する。
Further, the authentication information transmission unit 230 (FIG. 2) of the
そして、認証情報送信部２３０は、生成した更新要求フレームをスイッチ２０Ｘへ送信する（ステップＳ１１０）。更新要求フレームを受信したスイッチ２０Ｘの認証情報更新部２５０（図５）は、認証情報更新処理を行う（ステップＳ１１２）。詳細は、ステップＳ１０４と同様である。認証情報更新処理の終了後、スイッチ２０Ｘの認証情報更新部２５０は、認証情報更新処理の結果を含んだ応答フレームをスイッチ１０へ送信する（ステップＳ１１４）。
Then, the authentication
認証情報送信部２３０は、送信先記憶部４２０に格納されている全ての送信先について、上述のような更新要求フレームを送信した後、各送信先からの応答フレームの受信を待機する。各送信先からの応答フレーム受信後、認証情報送信部２３０は、応答フレームの内容を用いて送信結果のログを生成し、処理を終了する（ステップＳ１１８）。
The authentication
このようにすれば、認証情報送信部２３０は、スイッチ１０に接続されている他のスイッチのうち、送信先記憶部４２０によって予め定められた特定のスイッチに対してのみ認証情報を送信することができるため、利便性を向上させることができる。
In this way, the authentication
さらに、認証情報送信部２３０は、送信先記憶部４２０に定められている送信先と、送信すべき認証情報の種類とに応じた更新要求フレームを送信する。従って、例えば、電子証明書を使用する認証方式をサポートしていないスイッチ２０に対してはユーザＩＤとパスワードのみ送信し、全ての認証方式をサポートしているスイッチ２０Ｘに対してはユーザＩＤ、パスワード、ルート証明書を送信するといった処理を行うことができる。すなわち、送信先スイッチがサポートしている認証方式に応じた認証情報の送信が可能となり、利便性を向上させることができるほか、通信トラフィックの軽減と、不要な認証情報の送信しないことに伴うセキュリティの向上をも図ることができる。
Further, the authentication
（Ａ−５）認証情報更新処理：
図８は、認証情報更新処理の手順を示すフローチャートである。認証情報更新処理は、更新要求フレームを受信したスイッチの認証情報更新部が、受信フレームの内容に応じて自装置内の認証情報記憶部を更新する処理である。まず、認証情報更新部２５０（図５）は、自装置内の認証情報記憶部４１０を検索する（ステップＳ５０）。具体的には、認証情報更新部２５０は、受信したフレームのペイロードに含まれる各ユーザ（ｕｓｅｒ０１〜０３）のユーザＩＤ、パスワード、登録日時の組を取り出し、取り出した各組について、ユーザＩＤをキーとして認証情報記憶部４１０を検索する。
(A-5) Authentication information update processing:
FIG. 8 is a flowchart showing the procedure of the authentication information update process. The authentication information update process is a process in which the authentication information update unit of the switch that has received the update request frame updates the authentication information storage unit in its own apparatus according to the contents of the received frame. First, the authentication information update unit 250 (FIG. 5) searches the authentication
次に、認証情報更新部２５０は、認証情報記憶部４１０の検索の結果、受信したデータのユーザＩＤと同じＩＤを有する認証情報があるか否かを判定する（ステップＳ５２）。同じＩＤを有する認証情報がない場合（ステップＳ５２：ＮＯ）処理はステップＳ５８へ遷移する。一方、同じＩＤを有する認証情報がある場合（ステップＳ５２：ＹＥＳ）、認証情報更新部２５０は、受信したデータのユーザＩＤに関連付けられた登録日時と、認証情報記憶部４１０の検索の結果一致したデータの登録日時とを比較する（ステップＳ５４、Ｓ５５）。
Next, the authentication
比較の結果、受信したデータのユーザＩＤに関連付けられた登録日時の方が新しい場合（ステップＳ５５：ＹＥＳ）、認証情報更新部２５０は、認証情報記憶部４１０の検索の結果一致したデータを、受信したデータの組（ユーザＩＤ、パスワード、登録日時）を用いて更新する。また、認証情報更新部２５０は、認証情報記憶部４１０に格納されたルート証明書を、受信したフレームのペイロードに含まれるルート証明書を用いて更新する。認証情報記憶部４１０の更新後、処理を終了する（ステップＳ５８）。一方、比較の結果、受信したデータのユーザＩＤに関連付けられた登録日時と認証情報記憶部４１０の検索の結果一致したデータの登録日時とが同じ、または、認証情報記憶部４１０の検索の結果一致したデータの登録日時の方が新しい場合（ステップＳ５５：ＮＯ）、処理を終了する。
As a result of the comparison, if the registration date and time associated with the user ID of the received data is newer (step S55: YES), the authentication
なお、ステップＳ５４、Ｓ５６の処理では、ルート証明書の発行日時の比較を併せて行い、更新要求フレームに含まれるルート証明書の発行日時が新しい場合にのみ、ルート証明書の更新（ステップＳ５８）を行うものとしてもよい。この場合、認証情報送信処理（図７）において生成する更新要求フレームには、ルート証明書の発行日時を含める。 In the processes of steps S54 and S56, the issuance date / time of the root certificate is also compared, and the root certificate is updated only when the issuance date / time of the root certificate included in the update request frame is new (step S58). It is good also as what performs. In this case, the update request frame generated in the authentication information transmission process (FIG. 7) includes the date and time of issue of the root certificate.
このようにすれば、スイッチ１０の認証情報送信部２３０は、認証情報と、スイッチ１０の外部から取得した日時に依拠した登録日時とを含む更新要求フレームを送信し、スイッチ２０（スイッチ２０Ｘ）の認証情報更新部２５０は、受信した更新要求フレームに含まれるデータのユーザＩＤに関連付けられた登録日時が新しい場合のみ（換言すれば、登録日時を用いて）、自装置内の認証情報記憶部を更新するため、認証情報記憶部に格納された認証情報の一貫性を向上させることができる。
In this way, the authentication
図９は、認証情報の伝播が行われる様子を示す説明図である。スイッチ１０に対して、ＰＣ５０を介してユーザＡの認証情報登録処理が行われる場合について考える。認証情報登録処理（図６）のステップＳ１０〜Ｓ１８が実行されることにより、ユーザＡの認証情報は、スイッチ１０の認証情報記憶部４１０に格納される。また、認証情報登録処理のステップＳ２０（認証情報送信処理：図７）が実行されることにより、ユーザＡの認証情報と、スイッチ１０に予め登録されているルート証明書ＲＣ１とを含む更新要求フレームがスイッチ２０に、ユーザＡの認証情報を含む更新要求フレームがスイッチ２０Ｘに、それぞれ送信される。更新要求フレームを受信したスイッチ２０と、スイッチ２０Ｘとにおいて、認証情報更新処理（図８）が実行されることにより、スイッチ２０の認証情報記憶部４１０と、スイッチ２０Ｘの認証情報記憶部４１０とには、認証情報がそれぞれ格納される。
FIG. 9 is an explanatory diagram showing how authentication information is propagated. Consider a case where authentication information registration processing of user A is performed on the
なお、スイッチ２０およびスイッチ２０Ｘは、認証情報登録部２４０を含まないため（図５）、スイッチ２０およびスイッチ２０Ｘに対して認証情報を登録することはできない。すなわち、第１実施例においては、スイッチ１０がマスタとなり、スイッチ２０、２０Ｘをスレーブとして、認証情報を伝播させる構成である。
Since the
以上のように、第１実施例によれば、スイッチ１０の認証情報送信部２３０は、予め定められたトリガ（本実施例においては、認証情報登録処理による認証情報記憶部の更新）の発生に応じて、スイッチ１０への接続を要求する利用者の権限を照合するために使用される情報である認証情報（ユーザＩＤとパスワードとの組、ルート証明書）を、他のスイッチへ送信する。認証情報を受信したスイッチの認証情報更新部２５０は、受信した認証情報を自装置内の認証情報記憶部４１０へ格納する。従って、他のスイッチの認証処理部２２０は、認証情報記憶部４１０に格納された認証情報を用いて認証処理を実行することができる。この結果、セキュリティの向上と利便性とを両立させたスイッチを提供することができる。
As described above, according to the first embodiment, the authentication
さらに、認証情報には、利用者を識別するためのユーザＩＤと、利用者によって設定されるパスワードとの組、もしくは、利用者の電子証明書の信頼性を判断するための電子証明書（ルート証明書）の少なくともいずれか一方を含むことができるため、各スイッチの認証処理部２２０において、幅広い認証方式を用いることが可能となる。
Further, the authentication information includes a combination of a user ID for identifying the user and a password set by the user, or an electronic certificate (root) for determining the reliability of the user's electronic certificate. Can be included in the
Ｂ．第２実施例：
本発明の第２実施例では、複数のスイッチが接続された場合であっても、マスタ−スレーブ関係を持たずに、相互に認証情報の伝播が可能な構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
B. Second embodiment:
In the second embodiment of the present invention, a configuration in which authentication information can be propagated to each other without having a master-slave relationship even when a plurality of switches are connected will be described. Below, only the part which has a different structure and operation | movement from 1st Example is demonstrated. In the figure, the same components as those of the first embodiment are denoted by the same reference numerals as those of the first embodiment described above, and detailed description thereof is omitted.
（Ｂ−１）装置構成：
図１０は、第２実施例におけるスイッチ３０の構成を概略的に示す説明図である。図２示した第１実施例との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ｂを備える点のみであり、他の構成や動作は第１実施例と同じである。
(B-1) Device configuration:
FIG. 10 is an explanatory diagram schematically showing the configuration of the
ＣＰＵ２００ｂは、図２で説明した認証処理部２２０と、認証情報送信部２３０と、認証情報登録部２４０に加えて、さらに、図５で説明した認証情報更新部２５０を備えている。なお、認証情報登録部２４０の動作は（Ａ−３）認証情報登録処理、認証情報送信部２３０の動作は（Ａ−４）認証情報送信処理、認証情報更新部２５０の動作は（Ａ−５）認証情報更新処理、においてそれぞれ説明したものと同様である。
In addition to the
図１１は、第２実施例において、認証情報の伝播が行われる様子を示す説明図である。第２実施例では、スイッチ３０（図１０）が回線を通じてＰＣ５０と接続され、スイッチ３０Ｘ（図１０）が回線を通じてＰＣ６０と接続されている。また、スイッチ３０と、スイッチ３０Ｘと、スイッチ３０Ｙ（図１０）とは、ＬＡＮ等のネットワークを通じて互いに接続されている。
FIG. 11 is an explanatory diagram showing how authentication information is propagated in the second embodiment. In the second embodiment, the switch 30 (FIG. 10) is connected to the PC 50 through a line, and the
スイッチ３０に対してＰＣ５０を介して登録されたユーザＡの認証情報、および、スイッチ３０に予め登録されているルート証明書ＲＣ１は、スイッチ３０Ｘ、スイッチ３０Ｙへ送信される。このことは、図９で説明した通りである。さらに、第２実施例において、図示のように、スイッチ３０Ｘに対してＰＣ６０を介してユーザＢの認証情報登録処理が行われる場合について考える。
The authentication information of the user A registered with the
スイッチ３０Ｘの認証情報登録部２４０（図１０）において認証情報登録処理（図６）のステップＳ１０〜Ｓ１８が実行されることにより、ユーザＢの認証情報は、スイッチ３０Ｘの認証情報記憶部４１０に格納される。また、認証情報登録処理のステップＳ２０（認証情報送信処理：図７）が実行されることにより、ユーザＢの認証情報と、スイッチ３０Ｘに予め登録されているルート証明書ＲＣ２とを含む更新要求フレームがスイッチ３０に、ユーザＢの認証情報を含む更新要求フレームがスイッチ３０Ｙに、それぞれ送信される。更新要求フレームを受信したスイッチ３０と、スイッチ３０Ｙとにおいて、認証情報更新処理（図８）が実行されることにより、スイッチ３０の認証情報記憶部４１０と、スイッチ３０Ｙの認証情報記憶部４１０とには、認証情報がそれぞれ格納される。すなわち、第２実施例においては、各スイッチは、マスタ、スレーブの区別なく、動作することが可能である。
By executing steps S10 to S18 of the authentication information registration process (FIG. 6) in the authentication information registration unit 240 (FIG. 10) of the
以上のように、第２実施例によれば、各スイッチは、認証情報送信部２３０と、認証情報登録部２４０と、認証情報更新部２５０とを備えるため、利用者は、全てのスイッチに対して認証情報の登録を行うことが可能となる。また、登録された認証情報は、他のスイッチへ送信され、当該スイッチにおける認証処理に使用されるため、セキュリティの向上と利便性とを両立させたスイッチを提供することができる。
As described above, according to the second embodiment, each switch includes the authentication
Ｃ．第３実施例：
本発明の第３実施例では、認証情報記憶部４１０と、送信先記憶部４２０とを、スイッチ内に備えるハードディスクに格納する構成について説明する。以下では、第１実施例と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施例と同様の構成部分については先に説明した第１実施例と同様の符号を付し、その詳細な説明を省略する。
C. Third embodiment:
In the third embodiment of the present invention, a configuration will be described in which the authentication
（Ｃ−１）装置構成：
図１２は、第３実施例におけるスイッチ４０の構成を概略的に示す説明図である。図２に示した第１実施例との違いは、ＣＰＵ２００の代わりにＣＰＵ２００ｃを備える点と、ＲＡＭ４００の代わりにＲＡＭ４００ｃを備える点と、さらに、ハードディスク６００と、ＵＳＢインタフェース（ＵＳＢ Ｉ／Ｆ）７００とを備える点のみであり、他の構成や動作は第１実施例と同じである。
(C-1) Device configuration:
FIG. 12 is an explanatory diagram schematically showing the configuration of the
ＲＡＭ４００ｃは、認証情報記憶部（図３）と、送信先記憶部（図４）とを含まない。これらの記憶部は、ハードディスク６００内に認証情報記憶部６１０、送信先記憶部６２０として格納されている。認証情報記憶部６１０と、送信先記憶部６２０との内容は、図３、図４で説明した通りである。ＵＳＢインタフェース７００は、スイッチ４０に対して種々の周辺機器を接続するためのインタフェースである。本実施例では、ＵＳＢインタフェース７００を介して、ＵＳＢインタフェースを用いた記憶装置（例えば、ＵＳＢフラッシュメモリや、ＵＳＢ接続されるハードディスク等）が接続される。
The RAM 400c does not include an authentication information storage unit (FIG. 3) and a transmission destination storage unit (FIG. 4). These storage units are stored in the
ＣＰＵ２００ｃは、図２で説明した認証処理部２２０と、認証情報送信部２３０と、認証情報登録部２４０に加えて、さらに、認証情報出力部２６０を備えている。認証情報登録部２４０の動作は（Ａ−３）認証情報登録処理、認証情報送信部２３０の動作は（Ａ−４）認証情報送信処理、認証情報更新部２５０の動作は（Ａ−５）認証情報更新処理、においてそれぞれ説明したものと同様である。認証情報出力部２６０は、利用者からの要求（例えば、スイッチ４０の設定画面に設けたリンクの押下）をトリガとして、ハードディスク６００に格納されている認証情報記憶部６１０の内容を、ＵＳＢインタフェース７００を介して接続される記憶装置に出力する機能を有する。
The
以上のように、第３実施例によっても、第１実施例と同様の効果を得ることができる。また、第３実施例によれば、認証情報記憶部６１０はハードディスクドライブ内に設けられるため、認証情報記憶部の記憶容量を大きくすることができる。
As described above, according to the third embodiment, the same effect as that of the first embodiment can be obtained. According to the third embodiment, since the authentication
さらに、スイッチ４０は、認証情報記憶部６１０の内容を、ＵＳＢインタフェース７００を介して接続される記憶装置に出力する認証情報出力部２６０を備えるため、利用者が登録した認証情報を容易にエクスポートすることができる。この結果、利便性をさらに向上させることができる。
Further, since the
Ｄ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲で種々の構成を採ることができる。例えば、ソフトウェアによって実現した機能は、ハードウェアによって実現するものとしてもよい。そのほか、以下のような変形が可能である。
D. Variations:
In addition, this invention is not restricted to said Example and embodiment, A various structure can be taken in the range which does not deviate from the summary. For example, a function realized by software may be realized by hardware. In addition, the following modifications are possible.
Ｄ１．変形例１：
上記実施例では、ネットワーク中継装置の構成について説明した。しかし、上記実施例で示したネットワーク中継装置の構成はあくまで一例であり、任意の構成を採用することができる。例えば、その構成要素の一部を省略したり、更なる構成要素を付加したりする変形が可能である。
D1. Modification 1:
In the above embodiment, the configuration of the network relay device has been described. However, the configuration of the network relay device shown in the above embodiment is merely an example, and any configuration can be adopted. For example, the deformation | transformation which abbreviate | omits a part of the component or adds a further component is possible.
例えば、上記実施例におけるスイッチは、ＭＡＣアドレスによるフレームの中継を行うレイヤ２スイッチであるものとした。しかし、ＭＡＣアドレスによるフレームの中継に加えてＩＰアドレスによるパケットの中継を行うことも可能な、いわゆるレイヤ３スイッチであるものとしてもよい。また、無線通信インタフェースを備え、無線通信におけるパケットの中継が可能な、いわゆるアクセスポイントであるものとしてもよい。 For example, the switch in the above embodiment is a layer 2 switch that relays frames based on MAC addresses. However, it may be a so-called layer 3 switch capable of relaying a packet by an IP address in addition to relaying a frame by a MAC address. Further, it may be a so-called access point that includes a wireless communication interface and can relay packets in wireless communication.
上記実施例におけるスイッチでは、ＣＰＵは、認証処理部と、認証情報送信部と、認証情報登録部と、認証情報更新部と、認証情報出力部とを含むものとして記載した。また、各処理部において実行される機能について説明した。しかし、これら各処理部の配置および各処理部が果たす機能の内容についてはあくまで例示であり、スイッチの構成に応じて任意に変更することが可能である。 In the switch in the above embodiment, the CPU is described as including an authentication processing unit, an authentication information transmission unit, an authentication information registration unit, an authentication information update unit, and an authentication information output unit. Moreover, the function performed in each process part was demonstrated. However, the arrangement of the processing units and the contents of the functions performed by the processing units are merely examples, and can be arbitrarily changed according to the configuration of the switch.
例えば、有線通信部を構成する物理チップの内部に、認証処理部と、認証情報送信部と、認証情報登録部と、認証情報更新部と、認証情報出力部との全ての機能を備えるものとしてもよい。 For example, the physical chip constituting the wired communication unit includes all functions of an authentication processing unit, an authentication information transmission unit, an authentication information registration unit, an authentication information update unit, and an authentication information output unit. Also good.
Ｄ２．変形例２：
上記実施例では、認証情報登録処理（図６）の手順の中で、外部のＮＴＰサーバから時刻を取得した上で、認証情報と関連付けて認証情報記憶部に格納するものとした（ステップＳ１６、Ｓ１７）。しかし、上記実施例における態様はあくまで一例であり、任意の方法を採用することができる。
D2. Modification 2:
In the above embodiment, in the procedure of the authentication information registration process (FIG. 6), the time is acquired from an external NTP server and stored in the authentication information storage unit in association with the authentication information (step S16, S17). However, the aspect in the said Example is an example to the last, and arbitrary methods are employable.
例えば、時刻の情報は、スイッチの外部から取得すれば足り、ＮＴＰサーバに限らない。具体的には、スイッチが接続されるＰＣから時刻を取得するものとしてもよい。 For example, the time information only needs to be acquired from the outside of the switch, and is not limited to the NTP server. Specifically, the time may be acquired from a PC to which the switch is connected.
例えば、スイッチは、タイマ処理等を行うことによって定期的に外部から時刻を取得し、取得した時刻をスイッチの内部時計に反映させた上で、認証情報登録処理のステップＳ１６においては、当該内部時計の時刻を取得することとしてもよい。 For example, the switch periodically acquires the time from the outside by performing a timer process or the like, reflects the acquired time on the internal clock of the switch, and then in step S16 of the authentication information registration process, the internal clock It is good also as acquiring this time.
Ｄ３．変形例３：
上記実施例では、認証情報登録処理（図６）において、認証情報登録部が認証情報記憶部の更新を行った後、認証情報送信処理（図７）を行うものとした。しかし、認証情報送信処理を行うトリガは、任意に定めることができ、上記の態様に限られない。
D3. Modification 3:
In the above embodiment, in the authentication information registration process (FIG. 6), the authentication information registration unit updates the authentication information storage unit, and then performs the authentication information transmission process (FIG. 7). However, the trigger for performing the authentication information transmission process can be arbitrarily determined and is not limited to the above aspect.
例えば、スイッチ内部に予めスケジュールを指定しておき、このスケジュールに従った日時が到来した際に認証情報送信処理を行ってもよい。そうすれば、例えば、スイッチの負荷の少ない時間帯（深夜等）に認証情報送信処理を実行するように設定しておくことで、煩雑時間帯におけるスイッチのＣＰＵへの負荷を抑制しつつ、認証情報の伝播を行うことが可能となる。また、認証情報送信処理を実行するスケジュールを、送信先記憶部内に指定可能な構成とすれば、送信先スイッチごとに、更新要求フレームを送信する時間を可変とすることができるため、利便性が向上する。 For example, a schedule may be designated in advance in the switch, and the authentication information transmission process may be performed when the date and time according to this schedule arrives. Then, for example, by setting the authentication information transmission process to be executed in a time zone where the load on the switch is low (such as midnight), the authentication is performed while suppressing the load on the switch CPU in a complicated time zone. Information can be propagated. In addition, if the schedule for executing the authentication information transmission process is configured to be specified in the transmission destination storage unit, the time for transmitting the update request frame can be made variable for each transmission destination switch. improves.
例えば、マスタとなるスイッチが定期的に認証情報記憶部の更新時刻をスレーブとなるスイッチへ通知（マルチキャスト）する。スレーブとなるスイッチは、自身の認証情報記憶部の更新時刻と通知された更新時刻を比較し、通知された更新時刻が新しいと判断した場合に、マスタとなるスイッチへ認証情報含んだフレームの送信を要求することとしてもよい。 For example, the master switch periodically notifies (multicasts) the update time of the authentication information storage unit to the slave switch. The slave switch compares the update time of its own authentication information storage unit with the notified update time, and when it is determined that the notified update time is new, transmits the frame including the authentication information to the master switch. May be requested.
Ｄ４．変形例４：
上記実施例では、認証情報送信処理（図７）において、送信先記憶部（図４）に指定された内容に従って更新要求フレームを生成し、送信先記憶部に指定された送信先へ送信するものとした。しかし、送信先記憶部は省略可能である。例えば、送信先記憶部を省略した場合、認証情報送信部は、認証情報記憶部の更新を要求する旨のコマンドと、認証情報（ユーザＩＤとパスワードと登録日時の組、および、ルート証明書）を格納したフレームを、自装置が接続されている全てのスイッチに対してマルチキャストすることができる。
D4. Modification 4:
In the above embodiment, in the authentication information transmission process (FIG. 7), an update request frame is generated according to the content specified in the transmission destination storage unit (FIG. 4) and transmitted to the transmission destination specified in the transmission destination storage unit It was. However, the transmission destination storage unit can be omitted. For example, when the transmission destination storage unit is omitted, the authentication information transmission unit requests the update of the authentication information storage unit, authentication information (a set of user ID, password, registration date and time, and root certificate). Can be multicast to all the switches to which the device is connected.
Ｄ５．変形例５：
上記実施例では、認証情報更新処理（図８）において、認証情報更新部は、受信した更新要求フレームに含まれるデータのユーザＩＤに関連付けられた登録日時が新しい場合のみ、自装置内の認証情報記憶部を更新することとした。しかし、上記処理はあくまで一例であり、認証情報更新部は、更新要求フレームに含まれる登録日時を用いて、データベースの一貫性保持のために一般的に知られた種々の方法を採用することによる種々の更新方法を採用することができる。
D5. Modification 5:
In the above embodiment, in the authentication information update process (FIG. 8), the authentication information update unit authenticates the authentication information in its own device only when the registration date and time associated with the user ID of the data included in the received update request frame is new. The storage unit was updated. However, the above process is merely an example, and the authentication information update unit uses various methods generally known for maintaining the consistency of the database using the registration date and time included in the update request frame. Various update methods can be employed.
Ｄ６．変形例６：
上記第１実施例では、スレーブとなるスイッチに対しては、利用者は認証情報を登録することはできないものとして記載した。しかし、スイッチの管理者による認証情報の登録／変更／削除等の処理を別途設けることも可能である。
D6. Modification 6:
In the first embodiment, it is described that the user cannot register the authentication information for the slave switch. However, it is also possible to separately provide processing such as registration / change / deletion of authentication information by the switch administrator.
上記第２実施例では、各スイッチは、マスタ−スレーブの区別なく動作することが可能であるものとした。しかし、第２実施例の構成において、スイッチ間にマスタ−スレーブ関係を持たせても良い。具体的には、例えば、スイッチの管理者が手動でマスタ−スレーブの設定を行ってもよいし、ＬＬＤＰ等を用いて行ってもよい。 In the second embodiment, each switch can operate without distinction between master and slave. However, in the configuration of the second embodiment, a master-slave relationship may be provided between the switches. Specifically, for example, the administrator of the switch may set the master-slave manually or may use LLDP or the like.
１０…スイッチ
２０,２０Ｘ…スイッチ
３０,３０Ｘ,３０Ｙ…スイッチ
４０…スイッチ
２００,２００ａ,２００ｂ,２００ｃ…ＣＰＵ
２２０…認証処理部
２３０…認証情報送信部
２４０…認証情報登録部
２５０…認証情報更新部
２６０…認証情報出力部
４１０…認証情報記憶部
４２０…送信先記憶部
５００…有線通信部
５１０…中継処理部
６００…ハードディスク
６１０…認証情報記憶部
６２０…送信先記憶部
７００…ＵＳＢインタフェース
DESCRIPTION OF
DESCRIPTION OF
Claims (5)
利用者が前記ネットワーク中継装置へ接続する権限を保持しているか否かを判定するための認証処理を実行する認証処理部と、
前記認証処理において、前記利用者の権限を照合するために使用される情報である認証情報を記憶する認証情報記憶部と、
前記認証処理において前記利用者が前記ネットワーク中継装置へ接続する権限を保持すると判定された場合に、前記利用者の端末との間のフレームを中継する中継処理部と、
予め定められたトリガの発生に応じて、前記認証情報記憶部に格納された前記認証情報を、前記ネットワーク中継装置に接続された他のネットワーク中継装置へ送信する認証情報送信部と、
前記利用者から前記認証情報を受け付けると共に、受け付けた前記認証情報を前記認証情報記憶部へ格納する認証情報登録部と、
前記他のネットワーク中継装置から前記認証情報を受信した際に、受信した前記認証情報を前記認証情報記憶部へ格納する認証情報更新部と、
を備え、
前記認証情報登録部は、受け付けた前記認証情報を前記認証情報記憶部へ格納する際に、前記ネットワーク中継装置の外部から取得した日時に依拠した登録日時を併せて格納し、
前記認証情報送信部は、前記認証情報と、前記登録日時とを併せて前記他のネットワーク中継装置へ送信し、
前記認証情報更新部は、前記認証情報と併せて受信した前記登録日時を用いることによって、前記認証情報記憶部内の一貫性を保持するように、前記認証情報を前記認証情報記憶部へ格納する、ネットワーク中継装置。 A network relay device,
An authentication processing unit that executes an authentication process for determining whether or not the user has authority to connect to the network relay device;
In the authentication process, an authentication information storage unit that stores authentication information that is information used for checking the authority of the user;
A relay processing unit that relays a frame between the user terminal and the user when it is determined in the authentication process that the user has authority to connect to the network relay device;
An authentication information transmitting unit that transmits the authentication information stored in the authentication information storage unit to another network relay device connected to the network relay device in response to occurrence of a predetermined trigger;
An authentication information registration unit that receives the authentication information from the user and stores the received authentication information in the authentication information storage unit;
An authentication information update unit that stores the received authentication information in the authentication information storage unit when the authentication information is received from the other network relay device;
Bei to give a,
The authentication information registration unit, when storing the received authentication information in the authentication information storage unit, also stores the registration date and time based on the date and time acquired from the outside of the network relay device,
The authentication information transmitting unit transmits the authentication information and the registration date and time to the other network relay device,
The authentication information update unit stores the authentication information in the authentication information storage unit so as to maintain consistency in the authentication information storage unit by using the registration date and time received together with the authentication information. Network relay device.
前記認証情報送信部は、
前記ネットワーク中継装置に接続された他のネットワーク中継装置のうち、予め定められた特定の中継装置に対して前記認証情報を送信する、ネットワーク中継装置。 The network relay apparatus according to claim 1 Symbol placement,
The authentication information transmitting unit
A network relay device that transmits the authentication information to a predetermined specific relay device among other network relay devices connected to the network relay device.
前記予め定められたトリガは、前記認証情報記憶部の更新と、所定のスケジュールに従った日時の到来と、のいずれかである、ネットワーク中継装置。 The network relay device according to claim 1 or 2 ,
The network relay device, wherein the predetermined trigger is either update of the authentication information storage unit or arrival of a date and time according to a predetermined schedule.
前記認証情報は、前記利用者を識別するためのユーザＩＤと前記利用者によって設定されるパスワードとの組と、前記利用者の電子証明書の信頼性を判断するための電子証明書と、を含む、ネットワーク中継装置。 The network relay device according to any one of claims 1 to 3 ,
The authentication information includes a set of the password that is set by the user ID and the prior SL user for identifying the user, a front SL user digital certificate to determine the reliability of the electronic certificate , Including a network relay device.
前記認証情報記憶部は、ハードディスクドライブ内に設けられる、ネットワーク中継装置。 The network relay device according to any one of claims 1 to 4 ,
The authentication information storage unit is a network relay device provided in a hard disk drive.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010207724A JP5577976B2 (en) | 2010-09-16 | 2010-09-16 | Network relay device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010207724A JP5577976B2 (en) | 2010-09-16 | 2010-09-16 | Network relay device |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2012065142A JP2012065142A (en) | 2012-03-29 |
| JP5577976B2 true JP5577976B2 (en) | 2014-08-27 |
Family
ID=46060404
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010207724A Active JP5577976B2 (en) | 2010-09-16 | 2010-09-16 | Network relay device |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5577976B2 (en) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP6287401B2 (en) * | 2014-03-18 | 2018-03-07 | 富士ゼロックス株式会社 | Relay device, system and program |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002281010A (en) * | 2001-03-19 | 2002-09-27 | Nec Corp | Key distributing system for protecting path update notification in micro mobility network |
| JP5470145B2 (en) * | 2009-04-22 | 2014-04-16 | アラクサラネットワークス株式会社 | Authentication switch and terminal authentication method |
-
2010
- 2010-09-16 JP JP2010207724A patent/JP5577976B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2012065142A (en) | 2012-03-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8224988B2 (en) | Network relay method, network relay apparatus, and network relay program | |
| JP5364671B2 (en) | Terminal connection status management in network authentication | |
| US7827252B2 (en) | Network device management | |
| US7860963B2 (en) | Service communication control method, service relaying apparatus, management server, portal server, and service communication control system | |
| JP7096736B2 (en) | System and data processing method | |
| WO2018010146A1 (en) | Response method, apparatus and system in virtual network computing authentication, and proxy server | |
| JP2008060692A (en) | Management computer, computer system, and switch | |
| JP5239341B2 (en) | Gateway, relay method and program | |
| JP5143199B2 (en) | Network relay device | |
| US20090122798A1 (en) | Ip network system and its access control method, ip address distributing device, and ip address distributing method | |
| US20060061803A1 (en) | Image forming system and communication method | |
| JP5106599B2 (en) | Network relay device | |
| US8196192B2 (en) | Setting a preliminary time on a network appliance using a digital certificate | |
| EP3457657B1 (en) | Access control method and system, and switch | |
| JP5143198B2 (en) | Network relay device | |
| CN114845355A (en) | Network access method and device, terminal equipment, network equipment and storage medium | |
| JP5577976B2 (en) | Network relay device | |
| JP4881672B2 (en) | Communication device and communication control program | |
| JP2020005023A (en) | Information processing unit and control method and program thereof | |
| JP5622088B2 (en) | Authentication system, authentication method | |
| WO2016127583A1 (en) | Authentication processing method and apparatus | |
| US20240039910A1 (en) | Authenticating a communication partner on a device | |
| JP2014154112A (en) | Communication data relay device and program | |
| JP5749222B2 (en) | Access permission control system and access permission control method | |
| US20230422025A1 (en) | Network system, communication control device, and communication control method |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20130723 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20140131 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20140212 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20140408 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20140610 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20140623 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5577976 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |