(57)【要約】      （修正有）【課題】認証ネットワークにおいて、認証パケットを透過する認証スイッチを柔軟に変更する。【解決手段】認証スイッチ２００が、認証サーバ１００との間でヘルス・チェックのための通信を定期的に行う認証サーバ処理手段２２０と、クライアント端末３００からの認証パケットを通過するか否かを定義する受信ポートフィルタ２５０と、クライアント端末３００の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタ２７０を備え、認証サーバ１００が、認証スイッチ２００との間でヘルス・チェックのための通信を定期的に行うスイッチ監視手段１３２と、ヘルス・チェックの結果に基づいて、クライアント端末３００の認証パケットを透過する認証スイッチ２００を決定し、該決定に基づき受信ポートフィルタ２５０を生成して各認証スイッチ２００に送信するフィルタ生成・通知手段１３１とを備える。【選択図】図１
2014171078.tif 000002
【特許請求の範囲】
【請求項１】
１つ以上のクライアント端末と、
前記クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、
前記クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備え、
前記認証スイッチが、
前記認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理手段と、
前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタと、
前記クライアント端末の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタを備え、
前記認証サーバが、
前記認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視手段と、
前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチを決定し、該決定に基づき前記受信ポートフィルタを生成して各前記認証スイッチに送信するフィルタ生成・通知手段とを備える
ことを特徴とするネットワーク認証システム。
【請求項２】
前記認証スイッチが、
前記受信ポートフィルタを通過した前記認証パケットを受信するパケット受信手段と、
前記認証パケット受信を契機に前記認証サーバとの間で前記クライアント端末の認証処理を実行する端末認証手段とを備え、
前記端末認証手段は、
前記認証サーバにより前記クライアント端末の認証が許可された場合に、当該クライアント端末の通信を透過するフィルタを前記パケット入力フィルタに設定するとともに、当該クライアント端末に認証許可を通知する
ことを特徴とする請求項１に記載のネットワーク認証システム。
【請求項３】
認証ネットワークに前記認証スイッチが新たに追加された場合、
前記スイッチ監視手段が、
追加された前記認証スイッチとの間でヘルス・チェック通信を行い、
前記フィルタ生成・通知手段が、
新たな前記認証スイッチのヘルス・チェックの結果と、他の前記認証スイッチのヘルス・チェックの結果とに基づいて、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする請求項１又は請求項２にネットワーク認証システム。
【請求項４】
前記認証スイッチが、
前記クライアント端末の外部ネットワークへの通信を破棄したときに、当該クライアント端末に対し、端末認証を受けるべき旨及び認証を担当する前記認証スイッチを通知するパケットを送信する通知手段を備える
ことを特徴とする請求項１から請求項３の何れか１項に記載のネットワーク認証システム。
【請求項５】
すくなくとも１つの前記クライアント端末の前記認証パケットを透過する前記認証スイッチに障害が発生した場合に、
前記フィルタ生成・通知手段が、
他の各前記認証スイッチのヘルス・チェックの結果に基づいて、当該障害が発生した前記認証スイッチを除いた上で前記クライアント端末の認証処理を行う前記認証スイッチを決定し、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする請求項１から請求項４の何れか１つに記載のネットワーク認証システム。
【請求項６】
前記認証サーバ処理手段は、
前記認証サーバとのヘルス・チェック通信が途絶した場合、前記受信ポートフィルタを全パケット破棄の状態に設定する
ことを特徴とする請求項１から請求項５の何れか１項に記載のネットワーク認証システム。
【請求項７】
クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバであって、
前記クライアント端末の外部ネットワークへの通信を制御する認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視手段と、
前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチを決定し、該決定に基づき、前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各前記認証スイッチに送信するフィルタ生成・通知手段とを備える
ことを特徴とする認証サーバ。
【請求項８】
クライアント端末の外部ネットワークへの通信を制御する認証スイッチであって、
前記クライアント端末の外部ネットワークへの接続を認証する認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理手段と、
前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタと、
前記クライアント端末の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタと、
前記認証サーバにより生成された受信ポートフィルタを受信し、自スイッチが備える受信ポートフィルタを当該受信した受信ポートフィルタに更新するフィルタ制御手段とを備え、
前記受信ポートフィルタは、前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチが決定され、該決定に基づき生成される
ことを特徴とする認証スイッチ。
【請求項９】
１つ以上のクライアント端末と、前記クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、前記クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムにおけるネットワーク認証方法であって、
前記認証スイッチが備える認証サーバ処理手段が、前記認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理ステップと、
前記認証サーバが備えるスイッチ監視手段が、前記認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視ステップと、
前記認証サーバが備えるフィルタ生成・通知手段が、前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチを決定し、該決定に基づき、前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各前記認証スイッチに送信するフィルタ生成・通知ステップと
を有することを特徴とするネットワーク認証方法。
【請求項１０】
１つ以上のクライアント端末と、前記クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、前記クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムにおけるネットワーク認証プログラムであって、
前記認証スイッチが備える認証サーバ処理手段に、前記認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理を実行させ、
前記認証サーバが備えるスイッチ監視手段に、前記認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視処理を実行させ、
前記認証サーバが備えるフィルタ生成・通知手段に、前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチを決定し、該決定に基づき、前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各前記認証スイッチに送信するフィルタ生成・通知処理を実行させる
ことを特徴とするネットワーク認証プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク認証システムに関し、特に、収容ユーザ数の拡大に伴ってネットワーク構成を容易に拡大するための技術に関する。
【背景技術】
【０００２】
近年、企業ネットワークや公共ネットワークなどの共用ネットワーク環境では、ネットワークセキュリティの確保は必須のものとなっている。無線ＬＡＮを利用したネットワークでは、当初から認証技術が標準規格に組み入れられており、一定のセキュリティ水準を満たしているが、有線ＬＡＮ（ＩＥＥＥ  ８０２．３イーサネット）を利用したネットワークでは、認証技術を用いることが前提となっておらず、セキュリティの確保が課題となっていた。
【０００３】
この問題を解決するため、近年では、有線ＬＡＮ環境に、ＩＥＥＥ  ８０２．１Ｘ規格を適用して、その認証技術を用いたクライアント認証が用いられるようになってきている。ＩＥＥＥ  ８０２．１Ｘを用いたネットワーク認証システムは、利用者のクライアント端末（Ｓｕｐｐｌｉｃａｎｔ）と、その利用者認証情報を保持し認証を行うサーバ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｅｒｖｅｒ）と、クライアント端末と認証サーバとの認証情報の交換を中継し、クライアント端末のネットワーク接続を制御する認証スイッチ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）とで構成される。
【０００４】
ＩＥＥＥ８０２．１Ｘ認証などに代表されるユーザ認証は、共有ネットワーク環境におけるセキュリティを確保するために広く利用されているところである。無線ＬＡＮ（ＩＥＥＥ８０２．１１）環境においては、認証を行うアクセスポイントとユーザ端末間の通信が個別の仮想ポートとして保護される機構となっているが、有線ＬＡＮ（イーサネット）環境においては、スイッチの物理的なポート数やスイッチ内に格納できる転送テーブル数の制限により、収容可能な認証端末数が著しく制約される。
【０００５】
この問題を解決する手段として、特許文献１では、ＩＥＥＥ８０２．１Ｘ認証機能とＭＡＣアドレスＶＬＡＮ機能を組み合わせた端末認証機能を持つスイッチ群をネットワーク管理サーバで一元的に管理して、各スイッチの設定を変更する方法を提供している。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−０６０６９２号公報
【特許文献２】特開２００９−２９６５１０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１に開示の技術は、物理的なネットワーク構成と論理的なネットワーク構成が複雑化し、運用者が全体構造を把握することは難しいものとなっているという課題がある。
【０００８】
（発明の目的）
本発明の目的は、上述の課題を解決し、認証ネットワークにおいて、認証パケットを透過する認証スイッチを柔軟に変更することが可能なネットワーク認証システム、ネットワーク認証装置、ネットワーク認証方法、及びネットワーク認証プログラムを提供することである。
【課題を解決するための手段】
【０００９】
本発明の第1のネットワーク認証システムは、１つ以上のクライアント端末と、クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備え、認証スイッチが、認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理手段と、クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタと、クライアント端末の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタを備え、認証サーバが、認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視手段と、ヘルス・チェックの結果に基づいて、クライアント端末の認証パケットを透過する認証スイッチを決定し、該決定に基づき受信ポートフィルタを生成して各認証スイッチに送信するフィルタ生成・通知手段とを備える。
【００１０】
本発明の第1の認証サーバは、クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバであって、クライアント端末の外部ネットワークへの通信を制御する認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視手段と、ヘルス・チェックの結果に基づいて、クライアント端末の認証パケットを透過する認証スイッチを決定し、該決定に基づき、クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各認証スイッチに送信するフィルタ生成・通知手段とを備える。
【００１１】
本発明の第1の認証スイッチは、クライアント端末の外部ネットワークへの通信を制御する認証スイッチであって、クライアント端末の外部ネットワークへの接続を認証する認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理手段と、クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタと、クライアント端末の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタと、認証サーバにより生成された受信ポートフィルタを受信し、自スイッチが備える受信ポートフィルタを当該受信した受信ポートフィルタに更新するフィルタ制御手段とを備え、受信ポートフィルタは、ヘルス・チェックの結果に基づいて、クライアント端末の認証パケットを透過する認証スイッチが決定され、該決定に基づき生成される。
【００１２】
本発明の第1のネットワーク認証方法は、１つ以上のクライアント端末と、クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムにおけるネットワーク認証方法であって、認証スイッチが備える認証サーバ処理手段が、認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理ステップと、認証サーバが備えるスイッチ監視手段が、認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視ステップと、認証サーバが備えるフィルタ生成・通知手段が、ヘルス・チェックの結果に基づいて、クライアント端末の認証パケットを透過する認証スイッチを決定し、該決定に基づき、クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各認証スイッチに送信するフィルタ生成・通知ステップとを有する。
【００１３】
本発明の第1のネットワーク認証プログラムは、１つ以上のクライアント端末と、クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムにおけるネットワーク認証プログラムであって、認証スイッチが備える認証サーバ処理手段に、認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理を実行させ、認証サーバが備えるスイッチ監視手段に、認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視処理を実行させ、認証サーバが備えるフィルタ生成・通知手段に、ヘルス・チェックの結果に基づいて、クライアント端末の認証パケットを透過する認証スイッチを決定し、該決定に基づき、クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各認証スイッチに送信するフィルタ生成・通知処理を実行させる。
【発明の効果】
【００１４】
本発明によれば、認証ネットワークにおいて、認証パケットを透過する認証スイッチを柔軟に変更することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の第１の実施の形態に係るネットワーク認証システムの構成を示すブロック図である。
【図２】本発明の第１の実施例に係るネットワーク構成図である。
【図３】本発明の第１の実施例において端末の認証が開始されるまでの動作を表すシーケンス図である。
【図４】図３に示すシーケンスを、ネットワーク構成図を用いて説明した図である。
【図５】図３に示すシーケンスを、ネットワーク構成図を用いて説明した図である。
【図６】図３に示すシーケンスを、ネットワーク構成図を用いて説明した図である。
【図７】本発明の第１の実施例における認証開始から通信許可までの動作を表すシーケンス図である。
【図８】図７のシーケンスを、ネットワーク構成図を用いて説明した図である。
【図９】図７のシーケンスを、ネットワーク構成図を用いて説明した図である。
【図１０】本発明の第１の実施例において稼働中のネットワークに認証スイッチを追加した場合のシーケンス図である。
【図１１】図１０のシーケンスを、ネットワーク構成図を用いて説明した図である。
【図１２】図１０のシーケンスを、ネットワーク構成図を用いて説明した図である。
【図１３】図１０のシーケンスを、ネットワーク構成図を用いて説明した図である。
【図１４】図１０のシーケンスを、ネットワーク構成図を用いて説明した図である。
【図１５】本発明の第１の実施例において認証スイッチに障害が発生した場合の動作を表すシーケンス図である。
【図１６】図１５のシーケンスを、ネットワーク構成図を用いて説明した図である。
【図１７】本発明のネットワーク認証システムの最小限の構成を示すブロック図である。
【図１８】本発明の認証サーバのハードウェア構成例を示すブロック図である。
【発明を実施するための形態】
【００１６】
本発明の上記及び他の目的、特徴及び利点を明確にすべく、添付した図面を参照しながら、本発明の実施形態を以下に詳述する。なお、上述の本願発明の目的のほか、他の技術的課題、その技術的課題を解決する手段及びその作用効果についても、以下の実施形態による開示によって明らかとなるものである。なお、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。
【００１７】
（第１の実施の形態）
本発明の第１の実施の形態について図面を参照して詳細に説明する。
【００１８】
図１は、本発明の第１の実施の形態によるネットワーク認証システム１０の構成を示すブロック図である。なお、図１は例示であって、システム構成を制限するものではない。すなわち、認証スイッチ２００及びクライアント端末３００は任意の台数として構成可能である。
【００１９】
図１を参照すると、本実施の形態によるネットワーク認証システム１０は、認証サーバ１０と、認証スイッチ２００と、クライアント端末３００とを備える。
【００２０】
認証サーバ１００は、認証スイッチ管理テーブル１１０と、クライアント端末３００の認証に用いる認証アカウント情報を格納する認証情報データベース１２０と、認証スイッチ管理手段１３０と、クライアント端末３００の認証処理を行うユーザ認証処理手段（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｅｒｖｅｒ）１４０とを備える。
【００２１】
認証スイッチ管理テーブル１１０は、認証スイッチ２００がどのグループに属するかを管理するテーブルである。認証スイッチ管理テーブル１１０は、グループ名と認証スイッチ２００の識別情報とを組にして登録する。
【００２２】
また、認証スイッチ管理テーブル１１０は、フィルタ管理テーブル１１１を内部に持つ。フィルタ管理テーブル１１１は、認証スイッチ２００の受信ポートフィルタを管理するテーブルである。フィルタ管理テーブル１１１は、認証スイッチ２００の識別情報とその受信ポートフィルタとを組にして登録する。
【００２３】
認証スイッチ管理手段１３０は、認証スイッチ２００からの認証スイッチ登録要求パケットを受信し、該要求に含まれるグループ情報と登録要求パケットを送信した認証スイッチ２００とを組にして、認証スイッチ管理テーブルに登録する。
【００２４】
また、認証スイッチ管理手段１３０は、フィルタ生成・通知手段１３１と、スイッチ監視手段１３２とを含む。
【００２５】
スイッチ監視手段１３２は、認証スイッチ管理テーブル１１０に格納された認証スイッチ２００の認証サーバ処理手段２２０との間で、定期的にヘルス・チェックのための通信を行う。ここで、ヘルス・チェックとは、認証スイッチ２００の稼働状況をチェックすることを言う。
【００２６】
フィルタ生成・通知手段１３１は、認証スイッチグループ内のいずれかのスイッチでクライアント端末認証が行われるように、各認証スイッチの受信ポートフィルタを生成してフィルタ管理テーブル１１１に格納し、各認証スイッチ２００Ａ、２００Ｂに通知する。
【００２７】
認証スイッチ２００は、設定記憶領域２１０と、認証サーバ処理手段２２０と、端末認証手段（Ａｕｔｈｅｎｔｉｃａｔｏｒ）２３０と、フィルタ制御手段２４０と、受信ポートフィルタ２５０と、パケット受信手段２６０と、パケット入力フィルタ２７０と、パケット転送手段２８０とを備える。
【００２８】
設定記憶領域２１０は、認証サーバ情報２１１を保持し、認証サーバ情報２１１は、認証スイッチグループ情報２１２を含む。
【００２９】
認証サーバ処理手段２２０は、認証サーバ１００のスイッチ監視手段１３２との間で、定期的にヘルス・チェックのための通信を行う。
【００３０】
また、認証サーバ処理手段２２０は、フィルタ制御手段２４０に指示して、受信ポートフィルタ２５０の設定を行う。
【００３１】
また、認証サーバ処理手段２２０は、認証スイッチ登録要求パケットを、認証サーバ１００に送信する。認証スイッチ登録要求パケットについては、後述する。
【００３２】
端末認証手段２３０は、クライアント端末３００の認証処理を行う。また、端末認証手段２３０は、端末管理テーブル２３１を保持する。
【００３３】
フィルタ制御手段２４０は、認証サーバ処理手段２２０からの指示に基づいて、受信ポートフィルタ２５０の更新処理を行う。
【００３４】
受信ポートフィルタ２５０は、特定のパケットの受信の許可・拒否を定義するフィルタである。例えば、受信ポートフィルタ２５０を全パケット破棄の状態に設定した場合は、クライアント端末３００が認証要求パケットを送信しても、一切の要求パケットは破棄され、認証は開始されない。
【００３５】
パケット受信手段２６０は、受信ポートフィルタ２５０を透過した認証要求パケットを受け取る。
【００３６】
また、パケット受信手段２６０は、該認証要求パケットを端末認証手段２３０に通知する。
【００３７】
パケット入力フィルタ２７０は、クライアント端末３００の外部ネットワーク４００への通信を制御するフィルタである。
【００３８】
パケット転送手段２８０は、クライアント端末３０からの通信トラヒックを外部ネットワーク４００に転送する。
【００３９】
クライアント端末３００は、ユーザ認証情報３１０と、認証手段（Ｓｕｐｐｌｉｃａｎｔ）３２０とを備える。
【００４０】
本発明は、上述の構成を有することにより、図２に示すような、ユーザ認証を行う共有ネットワーク環境において、収容ユーザ数の拡大に伴ってネットワーク構成を容易に拡大するための方法を提供する。また、認証スイッチ２００の前段に受信ポートフィルタ機能をおくとともに、認証スイッチ２００と認証サーバ１００とをより積極的に連動させることにより、セキュリティの確保とネットワーク構成の簡易化を両立する手段を提供する。
【００４１】
（第１の実施の形態の動作の説明）
次に、本実施の形態によるネットワーク認証システム１００の動作について、図面を参照して詳細に説明する。
【実施例１】
【００４２】
具体的な実施例を用いて、本実施の形態の動作を説明する。
【００４３】
（構成の説明）
図２は、本実施例によるネットワーク認証システム１０の構成を示すブロック図である。図２を参照すると、本実施例によるネットワーク認証システム１０は、認証サーバ１００と、認証スイッチ２００Ａ及び２００Ｂと、クライアント端末３００Ａ及び３００Ｂとを備える。
【００４４】
認証スイッチ２００Ａ、２００Ｂ、及びクライアント端末３００Ａ、３００Ｂは、共有ＬＡＮを介して接続され、クライアント端末３００Ａ、３００Ｂの外部ネットワーク４００への通信を認証スイッチ２００Ａ、２００Ｂが制御する。
【００４５】
認証スイッチ２００Ａ、２００Ｂは、ネットワークを介して認証サーバ１００と通信を行う。認証スイッチ２００Ａ、２００Ｂと認証サーバ１００間のネットワークは外部ネットワーク４００を介していてもよいし、同一ＬＡＮなど外部ネットワーク４００を介さない環境でもよい。
【００４６】
また、認証サーバ１００は、認証スイッチ２００Ａ、２００Ｂからみてネットワーク的に一意であればよく、実態として単一サーバであってもよいし、複数サーバからなる高可用サーバであってもよい。
【００４７】
認証サーバ１００は、認証スイッチ管理テーブル１１０と、認証情報データベース１２０とを備える。
【００４８】
認証スイッチ２００Ａは、クライアント認証情報テーブル２３１Ａを備える。また、図示は省略するが、認証スイッチ２００Ｂも、同様にクライアント認証情報テーブル２３１Ｂを備える。
【００４９】
その他の構成については図示を省略するが、各装置の構成は、図１に示す構成と同様であるものとする。
【００５０】
（動作の説明）
図３〜図６を参照して、クライアント端末３００Ａが、認証スイッチ２００Ａ、２００Ｂのうちの一つと認証を開始するまでの流れを説明する。
【００５１】
認証サーバ１００は、クライアント端末３００の認証のための認証アカウント情報を認証情報データベース１２０にあらかじめ格納している。
【００５２】
認証スイッチ２００Ａ、２００Ｂは、初期状態で、設定記憶領域２１０Ａ、２１０Ｂに認証サーバ情報２１１Ａ、２１１Ｂおよび認証スイッチグループ情報２１２Ａ、２１２Ｂをあらかじめ格納している。
【００５３】
また、認証サーバ処理手段２２０Ａ、２２０Ｂは、フィルタ制御手段２４０Ａ、２４０Ｂに指示して、受信ポートフィルタ２５０Ａ、２５０Ｂを全パケット破棄の状態にあらかじめ設定する。これにより、この状態においてクライアント端末３００Ａが認証要求パケットを送信しても、認証スイッチ２００Ａ、２００Ｂいずれでもパケットは破棄され、認証は開始されない。
【００５４】
認証スイッチ２００Ａ、２００Ｂの認証サーバ処理手段２２０Ａ、２２０Ｂは、認証サーバ情報２１１Ａ、２１１Ｂをもとに、認証スイッチグループ情報２１２Ａ、２１２Ｂを含む認証スイッチ登録要求パケットを、認証サーバ１００に送信する。
【００５５】
認証サーバ１００は、認証スイッチ管理手段１３０で登録要求を受信し、認証スイッチ２００Ａ、２００Ｂの情報を、要求に含まれるグループ情報（図の例では２００Ａ、２００Ｂともに“Ｇｒｏｕｐ１”）をもとに、認証スイッチ管理テーブル１１０に登録する。
【００５６】
スイッチ監視手段１３２は、認証スイッチ管理テーブル１１０に格納された認証スイッチ２００Ａ、２００Ｂの情報をもとに、各認証スイッチ２００Ａ、２００Ｂの認証サーバ処理手段２２０Ａ、２２０Ｂに対するヘルス・チェックのため、認証サーバ処理手段２２０Ａ、２２０Ｂと定期的に通信を行う。
【００５７】
フィルタ生成・通知手段１３１は、スイッチ監視手段１３２のヘルス・チェックの結果に基づき、認証スイッチグループ内のいずれかのスイッチでクライアント端末認証が行われるように、各認証スイッチの受信ポートフィルタを生成してフィルタ管理テーブル１１１に格納し、各認証スイッチ２００Ａ、２００Ｂに通知する。一般には、負荷がより低いスイッチでクライアント端末認証が行われるように負荷分散の観点からクライアント端末認証を行うスイッチを決定するが、これに限定はされない。
【００５８】
フィルタ情報の通知を受けた認証スイッチ２００Ａ、２００Ｂの認証サーバ処理手段２２０Ａ、２２０Ｂは、フィルタ情報をフィルタ制御手段２４０Ａ、２４０Ｂに通知し、フィルタ制御手段２４０Ａ、２４０Ｂは、受信ポートフィルタ２５０Ａ、２５０Ｂをそれぞれ更新する。
【００５９】
図６の例において、クライアント端末３００ＡがＭＡＣアドレスｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘ１であるとすると、クライアント端末３００Ａからの認証パケットは、認証スイッチ２００Ａの受信ポートフィルタ２５０Ａでは透過し、認証スイッチ２００Ｂの受信ポートフィルタ２５０Ｂでは破棄される。また、クライアント端末３００Ａからの（認証パケットではない）通常のパケット（外部ネットワーク４００へのパケット）は、認証スイッチ２００Ａにおいてクライアント端末３００Ａは未認証であるため、入力パケットフィルタ２７０Ａで破棄される。クライアント端末３００Ａからの認証パケットは、認証スイッチ２００Ａの受信ポートフィルタ２５０Ａを通過し、パケット受信手段２６０Ａに渡される。
【００６０】
パケット受信手段２６０Ａは、認証要求パケットを端末認証手段２３０Ａに通知する。これにより、クライアント端末認証処理が開始される。
【００６１】
図７、図８を参照して、クライアント端末認証処理の流れを説明する。
【００６２】
クライアント端末認証としては、ＩＥＥＥ８０２．１Ｘ認証などが代表的であるが、図７に示すような、認証スイッチ２００を中継して、クライアント端末３００と認証サーバ１００が認証情報を交換できる方式であれば、別の認証方式を用いることもできる。
【００６３】
認証サーバ１００がクライアント端末３００Ａの認証を許可した場合、認証サーバ１００からの許可応答を受信した認証スイッチ２００Ａは、クライアント端末３００Ａの通信を透過するフィルタをパケット入力フィルタ２７０に設定し、クライアント端末３００Ａに認証許可を通知する。
【００６４】
図９は、認証成功時におけるクライアント端末３００Ａからの通信トラヒックの流れを示す。
【００６５】
認証に成功したクライアント端末３００Ａからの通信トラヒックは、認証スイッチ２００Ａで受信され、受信ポートフィルタ２５０Ａ、パケット入力フィルタ２７０Ａを介してパケット転送手段２８０Ａに渡され、外部ネットワーク４００に転送される。
【００６６】
次に、図１０〜図１４を参照して、運用中の認証ネットワークに認証スイッチ２００を追加する時の動作を説明する。
【００６７】
認証サーバ１００には、認証スイッチ２００Ａ、２００Ｂが登録されており、認証サーバ１００のスイッチ監視手段１３２は、各認証スイッチの認証サーバ処理手段２２０Ａ、２２０Ｂと、定期的にヘルス・チェック通信を行っている。
【００６８】
認証スイッチ２００Ａ、２００Ｂには、それぞれ受信ポートフィルタ２５０Ａ、２５０Ｂが認証サーバ１００からの通知にもとづいて設定されており、ここでは図６の例を引き継いで、認証スイッチ２００Ａにクライアント端末３００Ａの認証を透過するフィルタが設定されているものと仮定する。
【００６９】
この時、認証スイッチ２００Ｃを、共有ＬＡＮと外部ネットワーク４００の中継ポイントとして新たに設置する。
【００７０】
認証スイッチ２００Ｃは初期状態として、設定記憶領域２１０Ｃに認証サーバ情報２１１Ｃおよび認証スイッチグループ情報２１２Ｃをあらかじめ格納している。また、認証サーバ処理手段２２０Ｃは、フィルタ制御手段２４０Ｃに指示して、受信ポートフィルタ２５０Ｃを全パケット破棄の状態に設定する。
【００７１】
次いで、認証スイッチ２００Ｃの認証サーバ処理手段２２０Ｃは、認証サーバ情報２１１Ｃをもとに、認証スイッチグループ情報２１２Ｃを含む認証スイッチ登録要求パケットを、認証サーバ１００に送信する。
【００７２】
認証サーバ１００は、認証スイッチ管理手段１３０で登録要求を受信し、認証スイッチ２００Ｃの情報を、認証スイッチ管理テーブル１１０に登録する。
【００７３】
次いで、スイッチ監視手段１３２が、認証スイッチ管理テーブル１１０に追加された認証スイッチ２００Ｃへのヘルス・チェック通信を開始する。
【００７４】
フィルタ生成・通知手段１３１は、当該認証スイッチグループのフィルタを再生成して、フィルタ管理テーブル１１１に格納し、認証スイッチ２００Ａ、２００Ｂ、２００Ｃに通知する。
【００７５】
フィルタ情報の通知を受けた認証スイッチ２００Ａ、２００Ｂ、２００Ｃの認証サーバ処理手段２２０Ａ、２２０Ｂ、２２０Ｃは、フィルタ情報をフィルタ制御手段２４０Ａ、２４０Ｂ、２４０Ｃに通知し、フィルタ制御手段２４０Ａ、２４０Ｂ、２４０Ｃは、受信ポートフィルタ２５０Ａ、２５０Ｂ、２５０Ｃをそれぞれ更新する。
【００７６】
図１３の例において、クライアント端末３００ＡがＭＡＣアドレスｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘ１であるとすると、クライアント端末３００Ａからの認証パケットは、スイッチ２００Ｂの受信ポートフィルタ２５０Ｂでは透過し、認証スイッチ２００Ａ、２００Ｃの受信ポートフィルタ２５０Ａ、２５０Ｃでは破棄される。
【００７７】
一方、認証スイッチ２００Ｂにおいてクライアント端末３００Ａは未認証であるため、クライアント端末３００Ａからの（認証パケットではない）通常のパケットは、入力パケットフィルタ２７０Ｂで破棄される。
【００７８】
この時、クライアント端末３００Ａに、通信経路の変更を知らせて再認証を促すために、入力パケットフィルタ２７０Ｂでのパケット破棄時に、クライアント端末３００Ａに認証要求パケットを送信することもできる。
【００７９】
クライアント端末３００Ａからの認証パケットは、認証スイッチ２００Ｂの受信ポートフィルタ２５０Ｂを通過し、パケット受信手段２６０Ｂに渡される。そして、パケット受信手段２６０Ｂが、認証要求パケットを端末認証手段２３０Ｂに通知することで、クライアント端末認証処理が開始される。
【００８０】
図１５、図１６を参照して、運用中の認証ネットワークで認証スイッチに障害が発生した時の動作を説明する。
【００８１】
認証サーバ１００には、認証スイッチ２００Ａ、２００Ｂ、２００Ｃが登録されており、認証サーバ１００のスイッチ監視手段１３２は、各認証スイッチの認証サーバ処理手段２２０Ａ、２２０Ｂ、２２０Ｃと、定期的にヘルス・チェック通信を行っている。
【００８２】
認証スイッチ２００Ａ、２００Ｂ、２００Ｃには、それぞれ受信ポートフィルタ２５０Ａ、２５０Ｂ、２５０Ｃが認証サーバ１００からの通知にもとづいて設定されている。ここでは図１３の例を引き継いで、認証スイッチ２００Ｂにクライアント端末３００Ａの認証を透過するフィルタ２７０Ｂが設定されているものと仮定する。
【００８３】
この時、認証スイッチ２００Ｂに障害が発生したとする。
【００８４】
スイッチ監視手段１３２は、認証スイッチ２００Ｂとの通信が途絶したことを検出し、認証スイッチ管理手段１３０に認証スイッチ停止処理を発行する。
【００８５】
該認証スイッチ停止処理の発行を受け、認証スイッチ管理手段１３０は、認証スイッチ管理テーブル１１０を更新し、認証スイッチ２００Ｂを停止状態として記録する。あるいは、認証スイッチ２００Ｂの情報を削除してもよい。
【００８６】
また、フィルタ生成・通知手段１３１は、当該認証スイッチグループのフィルタを再生成して、フィルタ管理テーブル１１１に格納し、認証スイッチ２００Ａ、２００Ｃに通知する。
【００８７】
図１６の例において、クライアント端末３００ＡがＭＡＣアドレスｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘ１であるとすると、クライアント端末３００Ａからの認証パケットは、スイッチ２００Ａの受信ポートフィルタ２５０Ａでは透過し、認証スイッチ２００Ｃの受信ポートフィルタ２５０Ｃでは破棄される。
【００８８】
また、この時、認証サーバ１００と認証スイッチ２００Ｂのヘルス・チェックが通信回線の問題により途絶した場合、認証スイッチ２００Ｂは稼働中であるが、認証サーバ処理手段２２０Ｂは、認証サーバ１００との通信の途絶を検出すると、フィルタ制御手段２４０Ｂにフィルタの初期化を指示し、受信ポートフィルタ２５０Ｂを全パケット破棄の状態に設定することにより、複数の認証スイッチで認証処理が行われることを防ぐ。
【００８９】
（第１の実施の形態による効果）
認証サーバで全ての認証を一元化することにより、ネットワーク構成変更時の煩雑な作業や検討を軽減し、柔軟なネットワーク設計を可能とする。
また、本実施の形態によれば、認証サーバから認証スイッチを定期監視することで、回線や認証スイッチに障害が発生した場合の可用性を高めることも可能である。
【００９０】
ここで、本発明の課題を解決できる最小限の構成を図１７に示す。ネットワーク認証システム１０が、１つ以上のクライアント端末３００と、クライアント端末３００の外部ネットワーク４００への接続を認証する１つ以上の認証サーバ１００と、クライアント端末３００の外部ネットワークへの通信を制御する複数の認証スイッチ２００とを備え、認証スイッチ２００が、認証サーバ１００との間でヘルス・チェックのための通信を定期的に行う認証サーバ処理手段２２０と、クライアント端末３００からの認証パケットを通過するか否かを定義する受信ポートフィルタ２５０と、クライアント端末３００の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタ２７０を備え、認証サーバ１００が、認証スイッチ２００との間でヘルス・チェックのための通信を定期的に行うスイッチ監視手段１３２と、ヘルス・チェックの結果に基づいて、クライアント端末３００の認証パケットを透過する認証スイッチ２００を決定し、該決定に基づき受信ポートフィルタ２５０を生成して各認証スイッチ２００に送信するフィルタ生成・通知手段１３１とを備えることで、上述した本発明の課題を解決することができる。
【００９１】
次に、本発明の認証サーバ１００のハードウェア構成例について、図１８      を参照して説明する。
【００９２】
図１８を参照すると、本発明の認証サーバ１００は、一般的なコンピュータ装置と同様のハードウェア構成であり、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１８０１、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等のメモリからなる、データの作業領域やデータの一時退避領域に用いられる主記憶部１８０２、ネットワークを介してデータの送受信を行う通信部１８０３、入力装置１８０５や出力装置１８０６及び記憶装置１８０７と接続してデータの送受信を行う入出力インタフェース部１８０４、上記各構成要素を相互に接続するシステムバス１８０８を備えている。記憶装置１８０７は、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、磁気ディスク、半導体メモリ等の不揮発性メモリから構成されるハードディスク装置等で実現される。
【００９３】
本発明の  の各機能は、プログラムを組み込んだ、ＬＳＩ（Ｌａｒｇｅ  Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ）等のハードウェア部品である回路部品を実装することにより、その動作をハードウェア的に実現することは勿論として、その機能を提供するプログラムを、記憶装置１８０７に格納し、そのプログラムを主記憶部１８０２にロードしてＣＰＵ１８０１で実行することにより、ソフトウェア的に実現することも可能である。
【００９４】
また、本発明のクライアント端末３００も、上記のようなハードウェア構成を有し、クライアント端末３００が有する各機能をハードウェア的又はソフトウェア的に実現する。
【００９５】
以上、好ましい実施の形態をあげて本発明を説明したが、本発明は必ずしも、上記実施の形態に限定されるものでなく、その技術的思想の範囲内において様々に変形して実施することができる。
【００９６】
なお、以上の構成要素の任意の組み合わせ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。
【００９７】
また、本発明の各種の構成要素は、必ずしも個々に独立した存在である必要はなく、複数の構成要素が一個の部材として形成されていること、一つの構成要素が複数の部材で形成されていること、ある構成要素が他の構成要素の一部であること、ある構成要素の一部と他の構成要素の一部とが重複していること、等でもよい。
【００９８】
また、本発明の方法およびコンピュータプログラムには複数の手順を順番に記載してあるが、その記載の順番は複数の手順を実行する順番を限定するものではない。このため、本発明の方法およびコンピュータプログラムを実施する時には、その複数の手順の順番は内容的に支障しない範囲で変更することができる。
【００９９】
また、本発明の方法およびコンピュータプログラムの複数の手順は個々に相違するタイミングで実行されることに限定されない。このため、ある手順の実行中に他の手順が発生すること、ある手順の実行タイミングと他の手順の実行タイミングとの一部ないし全部が重複していること、等でもよい。
【０１００】
さらに、上記実施形態の一部又は全部は、以下の付記のようにも記載されうるが、これに限定されない。
【０１０１】
（付記１）
１つ以上のクライアント端末と、
前記クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、
前記クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備え、
前記認証スイッチが、
前記認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理手段と、
前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタと、
前記クライアント端末の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタを備え、
前記認証サーバが、
前記認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視手段と、
前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチを決定し、該決定に基づき前記受信ポートフィルタを生成して各前記認証スイッチに送信するフィルタ生成・通知手段とを備える
ことを特徴とするネットワーク認証システム。
【０１０２】
（付記２）
前記認証スイッチが、
前記受信ポートフィルタを通過した前記認証パケットを受信するパケット受信手段と、
前記認証パケット受信を契機に前記認証サーバとの間で前記クライアント端末の認証処理を実行する端末認証手段とを備え、
前記端末認証手段は、
前記認証サーバにより前記クライアント端末の認証が許可された場合に、当該クライアント端末の通信を透過するフィルタを前記パケット入力フィルタに設定するとともに、当該クライアント端末に認証許可を通知する
ことを特徴とする付記１に記載のネットワーク認証システム。
【０１０３】
（付記３）
認証ネットワークに前記認証スイッチが新たに追加された場合、
前記スイッチ監視手段が、
追加された前記認証スイッチとの間でヘルス・チェック通信を行い、
前記フィルタ生成・通知手段が、
新たな前記認証スイッチのヘルス・チェックの結果と、他の前記認証スイッチのヘルス・チェックの結果とに基づいて、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする付記１又は付記２にネットワーク認証システム。
【０１０４】
（付記４）
前記フィルタ生成・通知手段は、
各前記認証スイッチの負荷が分散するように、前記受信ポートフィルタを生成する
ことを特徴とする付記１から付記３の何れか１項に記載のネットワーク認証システム。
【０１０５】
（付記５）
前記認証スイッチが、
前記クライアント端末の外部ネットワークへの通信を破棄したときに、当該クライアント端末に対し、端末認証を受けるべき旨及び認証を担当する前記認証スイッチを通知するパケットを送信する通知手段を備える
ことを特徴とする付記１から付記４の何れか１項に記載のネットワーク認証システム。
【０１０６】
（付記６）
すくなくとも１つの前記クライアント端末の前記認証パケットを透過する前記認証スイッチに障害が発生した場合に、
前記フィルタ生成・通知手段が、
他の各前記認証スイッチのヘルス・チェックの結果に基づいて、当該障害が発生した前記認証スイッチを除いた上で前記クライアント端末の認証処理を行う前記認証スイッチを決定し、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする付記１から付記５の何れか１つに記載のネットワーク認証システム。
【０１０７】
（付記７）
前記認証サーバ処理手段は、
前記認証サーバとのヘルス・チェック通信が途絶した場合、前記受信ポートフィルタを全パケット破棄の状態に設定する
ことを特徴とする付記１から付記６の何れか１項に記載のネットワーク認証システム。
【０１０８】
（付記８）
クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバであって、
前記クライアント端末の外部ネットワークへの通信を制御する認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視手段と、
前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチを決定し、該決定に基づき、前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各前記認証スイッチに送信するフィルタ生成・通知手段とを備える
ことを特徴とする認証サーバ。
【０１０９】
（付記９）
認証ネットワークに前記認証スイッチが新たに追加された場合、
前記スイッチ監視手段が、
追加された前記認証スイッチとの間でヘルス・チェック通信を行い、
前記フィルタ生成・通知手段が、
新たな前記認証スイッチのヘルス・チェックの結果と、他の前記認証スイッチのヘルス・チェックの結果とに基づいて、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする付記８に記載の認証サーバ。
【０１１０】
（付記１０）
前記フィルタ生成・通知手段は、
各前記認証スイッチの負荷が分散するように、前記受信ポートフィルタを生成する
ことを特徴とする付記８又は付記９に記載の認証サーバ。
【０１１１】
（付記１１）
すくなくとも１つの前記クライアント端末の前記認証パケットを透過する前記認証スイッチに障害が発生した場合に、
前記フィルタ生成・通知手段が、
他の各前記認証スイッチのヘルス・チェックの結果に基づいて、当該障害が発生した前記認証スイッチを除いた上で前記クライアント端末の認証処理を行う前記認証スイッチを決定し、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする付記８から付記１０の何れか１つに記載の認証サーバ。
【０１１２】
（付記１２）
クライアント端末の外部ネットワークへの通信を制御する認証スイッチであって、
前記クライアント端末の外部ネットワークへの接続を認証する認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理手段と、
前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタと、
前記クライアント端末の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタと、
前記認証サーバにより生成された受信ポートフィルタを受信し、自スイッチが備える受信ポートフィルタを当該受信した受信ポートフィルタに更新するフィルタ制御手段とを備え、
前記受信ポートフィルタは、前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチが決定され、該決定に基づき生成される
ことを特徴とする認証スイッチ。
【０１１３】
（付記１３）
前記認証スイッチが、
前記受信ポートフィルタを通過した前記認証パケットを受信するパケット受信手段と、
前記認証パケット受信を契機に前記認証サーバとの間で前記クライアント端末の認証処理を実行する端末認証手段とを備え、
前記端末認証手段は、
前記認証サーバにより前記クライアント端末の認証が許可された場合に、当該クライアント端末の通信を透過するフィルタを前記パケット入力フィルタに設定するとともに、当該クライアント端末に認証許可を通知する
ことを特徴とする付記１２に記載の認証スイッチ。
【０１１４】
（付記１４）
前記クライアント端末の外部ネットワークへの通信を破棄したときに、当該クライアント端末に対し、端末認証を受けるべき旨及び認証を担当する前記認証スイッチを通知するパケットを送信する通知手段を備える
ことを特徴とする付記１２又は付記１３に記載の認証スイッチ。
【０１１５】
（付記１５）
前記認証サーバ処理手段は、
前記認証サーバとのヘルス・チェック通信が途絶した場合、前記受信ポートフィルタを全パケット破棄の状態に設定する
ことを特徴とする付記１２から付記１４の何れか１項に記載の認証スイッチ。
【０１１６】
（付記１６）
１つ以上のクライアント端末と、前記クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、前記クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムにおけるネットワーク認証方法であって、
前記認証スイッチが備える認証サーバ処理手段が、前記認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理ステップと、
前記認証サーバが備えるスイッチ監視手段が、前記認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視ステップと、
前記認証サーバが備えるフィルタ生成・通知手段が、前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチを決定し、該決定に基づき、前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各前記認証スイッチに送信するフィルタ生成・通知ステップと
を有することを特徴とするネットワーク認証方法。
【０１１７】
（付記１７）
前記認証スイッチが備えるパケット受信手段が、前記受信ポートフィルタを通過した前記認証パケットを受信するパケット受信ステップと、
前記認証スイッチが備える端末認証手段が、前記認証パケット受信を契機に前記認証サーバとの間で前記クライアント端末の認証処理を実行する端末認証ステップとを有し、
前記端末認証ステップで、
前記認証サーバにより前記クライアント端末の認証が許可された場合に、当該クライアント端末の通信を透過するフィルタを、前記クライアント端末の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタに設定するとともに、当該クライアント端末に認証許可を通知する
ことを特徴とする付記１６に記載のネットワーク認証方法。
【０１１８】
（付記１８）
認証ネットワークに前記認証スイッチが新たに追加された場合、
前記スイッチ監視ステップで、
追加された前記認証スイッチとの間でヘルス・チェック通信を行い、
前記フィルタ生成・通知ステップで、
新たな前記認証スイッチのヘルス・チェックの結果と、他の前記認証スイッチのヘルス・チェックの結果とに基づいて、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする付記１６又は付記１７にネットワーク認証方法。
【０１１９】
（付記１９）
前記フィルタ生成・通知ステップで、
各前記認証スイッチの負荷が分散するように、前記受信ポートフィルタを生成する
ことを特徴とする付記１６から付記１８の何れか１項に記載のネットワーク認証方法。
【０１２０】
（付記２０）
前記認証スイッチが備える通知手段が、前記クライアント端末の外部ネットワークへの通信を破棄したときに、当該クライアント端末に対し、端末認証を受けるべき旨及び認証を担当する前記認証スイッチを通知するパケットを送信する通知ステップを有する
ことを特徴とする付記１６から付記１９の何れか１項に記載のネットワーク認証方法。
【０１２１】
（付記２１）
すくなくとも１つの前記クライアント端末の前記認証パケットを透過する前記認証スイッチに障害が発生した場合に、
前記フィルタ生成・通知ステップで、
他の各前記認証スイッチのヘルス・チェックの結果に基づいて、当該障害が発生した前記認証スイッチを除いた上で前記クライアント端末の認証処理を行う前記認証スイッチを決定し、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする付記１６から付記２０の何れか１つに記載のネットワーク認証方法。
【０１２２】
（付記２２）
前記認証サーバ処理ステップで、
前記認証サーバとのヘルス・チェック通信が途絶した場合、前記受信ポートフィルタを全パケット破棄の状態に設定する
ことを特徴とする付記１６から付記２１の何れか１項に記載のネットワーク認証方法。
【０１２３】
（付記２３）
１つ以上のクライアント端末と、前記クライアント端末の外部ネットワークへの接続を認証する１つ以上の認証サーバと、前記クライアント端末の外部ネットワークへの通信を制御する複数の認証スイッチとを備えるネットワーク認証システムにおけるネットワーク認証プログラムであって、
前記認証スイッチが備える認証サーバ処理手段に、前記認証サーバとの間でヘルス・チェックのための通信を定期的に行う認証サーバ処理を実行させ、
前記認証サーバが備えるスイッチ監視手段に、前記認証スイッチとの間でヘルス・チェックのための通信を定期的に行うスイッチ監視処理を実行させ、
前記認証サーバが備えるフィルタ生成・通知手段に、前記ヘルス・チェックの結果に基づいて、前記クライアント端末の認証パケットを透過する前記認証スイッチを決定し、該決定に基づき、前記クライアント端末からの認証パケットを通過するか否かを定義する受信ポートフィルタを生成して各前記認証スイッチに送信するフィルタ生成・通知処理を実行させる
ことを特徴とするネットワーク認証プログラム。
【０１２４】
（付記２４）
前記認証スイッチが備えるパケット受信手段に、前記受信ポートフィルタを通過した前記認証パケットを受信するパケット受信処理を実行させ、
前記認証スイッチが備える端末認証手段に、前記認証パケット受信を契機に前記認証サーバとの間で前記クライアント端末の認証処理を実行する端末認証処理を実行させ、
前記端末認証処理で、
前記認証サーバにより前記クライアント端末の認証が許可された場合に、当該クライアント端末の通信を透過するフィルタを、前記クライアント端末の外部ネットワークへの通信を通過するか否かを定義するパケット入力フィルタに設定するとともに、当該クライアント端末に認証許可を通知する
ことを特徴とする付記２３に記載のネットワーク認証プログラム。
【０１２５】
（付記２５）
認証ネットワークに前記認証スイッチが新たに追加された場合、
前記スイッチ監視処理で、
追加された前記認証スイッチとの間でヘルス・チェック通信を行い、
前記フィルタ生成・通知処理で、
新たな前記認証スイッチのヘルス・チェックの結果と、他の前記認証スイッチのヘルス・チェックの結果とに基づいて、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする付記２３又は付記２４にネットワーク認証プログラム。
【０１２６】
（付記２６）
前記フィルタ生成・通知処理で、
各前記認証スイッチの負荷が分散するように、前記受信ポートフィルタを生成する
ことを特徴とする付記２３から付記２５の何れか１項に記載のネットワーク認証プログラム。
【０１２７】
（付記２７）
前記認証スイッチが備える通知手段に、前記クライアント端末の外部ネットワークへの通信を破棄したときに、当該クライアント端末に対し、端末認証を受けるべき旨及び認証を担当する前記認証スイッチを通知するパケットを送信する通知処理を実行させる
ことを特徴とする付記２３から付記２６の何れか１項に記載のネットワーク認証プログラム。
【０１２８】
（付記２８）
すくなくとも１つの前記クライアント端末の前記認証パケットを透過する前記認証スイッチに障害が発生した場合に、
前記フィルタ生成・通知処理で、
他の各前記認証スイッチのヘルス・チェックの結果に基づいて、当該障害が発生した前記認証スイッチを除いた上で前記クライアント端末の認証処理を行う前記認証スイッチを決定し、前記受信ポートフィルタを再生成して各前記認証スイッチに送信する
ことを特徴とする付記２３から付記２７の何れか１つに記載のネットワーク認証プログラム。
【０１２９】
（付記２９）
前記認証サーバ処理で、
前記認証サーバとのヘルス・チェック通信が途絶した場合、前記受信ポートフィルタを全パケット破棄の状態に設定する
ことを特徴とする付記２３から付記２８の何れか１項に記載のネットワーク認証プログラム。
【符号の説明】
【０１３０】
１０：ネットワーク認証システム１０
１００：認証サーバ
１１０：認証スイッチ管理テーブル
１１１；フィルタ管理テーブル
１２０：認証情報データベース
１３０：認証スイッチ管理手段
１３１：フィルタ生成・通知手段
１３２：スイッチ監視手段
１４０：ユーザ認証手段
２００：認証スイッチ
２１０：設定記憶領域
２１１：認証サーバ情報
２１２：認証スイッチグループ情報
２２０：認証サーバ処理手段
２３０：端末認証手段
２３１：端末管理テーブル
２４０：フィルタ制御手段
２５０：受信ポートフィルタ
２６０：パケット受信手段
２７０：パケット入力フィルタ
２８０：パケット転送手段
３００：クライアント端末
３１０：ユーザ認証情報
３２０：認証手段
４００：外部ネットワーク
１８０１：ＣＰＵ
１８０２：主記憶部
１８０３：通信部
１８０４：入出力インタフェース部
１８０５：入力装置
１８０６：出力装置
１８０７：記憶装置
１８０８：システムバス
【図１】
2014171078.tif 000003
【図２】
2014171078.tif 000004
【図３】
2014171078.tif 000005
【図４】
2014171078.tif 000006
【図５】
2014171078.tif 000007
【図６】
2014171078.tif 000008
【図７】
2014171078.tif 000009
【図８】
2014171078.tif 000010
【図９】
2014171078.tif 000011
【図１０】
2014171078.tif 000012
【図１１】
2014171078.tif 000013
【図１２】
2014171078.tif 000014
【図１３】
2014171078.tif 000015
【図１４】
2014171078.tif 000016
【図１５】
2014171078.tif 000017
【図１６】
2014171078.tif 000018
【図１７】
2014171078.tif 000019
【図１８】
2014171078.tif 000020