(57)【要約】【課題】ネットワーク構成に依存せずにネットワークに接続している通信装置の認証を行う認証装置を提供する。【解決手段】認証装置は、第１のレイヤのアドレスと、第１のレイヤの上位レイヤである第２のレイヤのアドレスとの対応関係を示す対応情報を保持し、受信パケットの第１のレイヤのアドレスが対応情報に含まれていない場合、受信パケットの第１のレイヤのアドレスを使用する通信装置に、当該通信装置の第２のレイヤのアドレスを問い合わせて対応情報を更新し、対応情報に、受信パケットの第１のレイヤに対応する第２のレイヤのアドレスとして、受信パケットの第２のレイヤのアドレスが含まれている場合、受信パケットの送信元の通信装置と第１のレイヤのパケットを送受信して行う第１の認証処理を実行し、そうでないと、第１の認証処理とは異なる第２の認証処理を実行する。【選択図】図２
2014192611.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続する１つ以上の通信装置の認証装置であって、
第１のレイヤのアドレスと、前記第１のレイヤの上位レイヤである第２のレイヤのアドレスとの対応関係を示す対応情報を保持し、受信パケットの第１のレイヤのアドレスが前記対応情報に含まれていない場合、前記受信パケットの第１のレイヤのアドレスを使用する通信装置に、当該通信装置の第２のレイヤのアドレスを問い合わせて前記対応情報を更新する更新手段と、
前記対応情報に、前記受信パケットの第１のレイヤに対応する第２のレイヤのアドレスとして、前記受信パケットの第２のレイヤのアドレスが含まれている場合、前記受信パケットの送信元の通信装置と第１のレイヤのパケットを送受信して行う第１の認証処理を実行し、前記対応情報に、前記受信パケットの第１のレイヤに対応する第２のレイヤのアドレスとして、前記受信パケットの第２のレイヤのアドレスが含まれていない場合、前記第１の認証処理とは異なる第２の認証処理を実行する制御手段と、
を備えていることを特徴とする認証装置。
【請求項２】
認証済の通信装置の第１のレイヤのアドレス又は第２のレイヤのアドレスを示す認証済情報を管理する管理手段をさらに備えており、
前記制御手段は、前記第１の認証処理で認証が成功すると前記受信パケットの送信元の通信装置の第１のレイヤのアドレスを前記認証済情報に追加し、前記第２の認証処理で認証が成功すると前記受信パケットの送信元の通信装置の第２のレイヤのアドレスを前記認証済情報に追加し、前記受信パケットの第１のレイヤのアドレス又は第２のレイヤのアドレスが前記認証済情報に含まれている場合、前記第１の認証処理及び前記第２の認証処理を実行することなく認証成功と判断することを特徴とする請求項１に記載の認証装置。
【請求項３】
前記制御手段は、前記第１の認証処理での認証が不成功である場合、前記受信パケットの送信元の通信装置と前記第２の認証処理を実行し、前記第１の認証処理が不成功となった後の前記第２の認証処理で認証が成功となった場合には、認証が成功した通信装置の第１のレイヤのアドレスを前記認証済情報に追加することを特徴とする請求項２に記載の認証装置。
【請求項４】
前記第２の認証処理は、受信パケットが所定のプロトコルに従うメッセージを含む場合に実行することを特徴とする請求項１から３のいずれか１項に記載の認証装置。
【請求項５】
前記第１の認証処理は、ＩＥＥＥ８０２.１Ｘによる認証処理と、通信装置に第２のレイヤのアドレスを割り当てる際に行う認証処理を含む、ことを特徴とする請求項１から４のいずれか１項に記載の認証装置。
【請求項６】
前記第２の認証処理は、前記受信パケットの送信元の通信装置に認証画面を表示して、当該通信装置のユーザに認証情報を入力させる処理を含む、ことを特徴とする請求項１から５のいずれか１項に記載の認証装置。
【請求項７】
前記受信パケットが、前記認証装置以外の通信装置宛のものである場合、前記制御手段は、当該通信装置の認証が終了するまで前記受信パケットを保持する、ことを特徴とする請求項１から６のいずれか１項に記載の認証装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置の認証技術に関する。
【背景技術】
【０００２】
例えば、ある企業の企業内ネットワークと、他の企業の企業内ネットワークとを仮想プライベート・ネットワーク（ＶＰＮ）で接続して、企業間で情報の交換を行う場合を考える。この場合、異なる企業内ネットワークに接続する任意の通信装置間での通信を許可するのではなく、特定の通信装置間でのみＶＰＮを経由した通信を許可する様に制御する必要がある。このため、ある通信装置がＶＰＮ経由での通信を要求した場合、当該通信装置がＶＰＮ経由での通信を許可されているかについて認証を行う必要がある。
【０００３】
ここで、例えば、特許文献１は、通信装置がインターネット・プロトコル（ＩＰ）アドレスを要求した際に、暫定的なＩＰアドレスを付与し、その後、通信装置からの通信が発生した際、認証画面を通信装置に表示して、通信装置のユーザからの入力に基づき認証を行う構成を開示している。また、非特許文献１は、認証装置が、新たに接続された通信装置からイーサネット（登録商標）フレームを受信した際に、事前に通信装置に保存しておく認証情報等に基づき認証処理を行う構成を開示している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−２８６５５８公報
【非特許文献】
【０００５】
【非特許文献１】ＩＥＥＥ８０２.１Ｘ
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１に記載の構成は、ＩＰアドレス付与後に認証処理を進めるため、広域イーサネット（登録商標）サービスのようなイーサネット（登録商標）網を利用して企業内ネットワーク間をＶＰＮ経由で接続している場合には利用できない。また、非特許文献１に記載の構成は、認証対象の通信装置と認証装置とが、直接、イーサネット（登録商標）フレームといったレイヤ２フレームを送受信できる状態を前提としており、認証対象の通信装置と認証装置間にレイヤ２フレームを終端するルータが存在する場合には適用できない。
【０００７】
本発明は、上記問題に鑑み、ネットワーク構成に依存せずにネットワークに接続している通信装置の認証を行う認証装置を提供するものである。
【課題を解決するための手段】
【０００８】
本発明の一態様によると、ネットワークに接続する１つ以上の通信装置の認証装置であって、第１のレイヤのアドレスと、前記第１のレイヤの上位レイヤである第２のレイヤのアドレスとの対応関係を示す対応情報を保持し、受信パケットの第１のレイヤのアドレスが前記対応情報に含まれていない場合、前記受信パケットの第１のレイヤのアドレスを使用する通信装置に、当該通信装置の第２のレイヤのアドレスを問い合わせて前記対応情報を更新する更新手段と、前記対応情報に、前記受信パケットの第１のレイヤに対応する第２のレイヤのアドレスとして、前記受信パケットの第２のレイヤのアドレスが含まれている場合、前記受信パケットの送信元の通信装置と第１のレイヤのパケットを送受信して行う第１の認証処理を実行し、前記対応情報に、前記受信パケットの第１のレイヤに対応する第２のレイヤのアドレスとして、前記受信パケットの第２のレイヤのアドレスが含まれていない場合、前記第１の認証処理とは異なる第２の認証処理を実行する制御手段と、を備えていることを特徴とする。
【発明の効果】
【０００９】
ネットワーク構成に依存せずにネットワークに接続している通信装置の認証を行うことができる。
【図面の簡単な説明】
【００１０】
【図１】一実施形態による認証装置の概略的な構成図。
【図２】一実施形態による認証装置での処理を示すフローチャート。
【図３】一実施形態によるシステム構成図。
【発明を実施するための形態】
【００１１】
以下、本発明の例示的な実施形態について図面を参照して説明する。なお、以下の各図においては、実施形態の説明に必要ではない構成要素については図から省略する。
【００１２】
図３は、本実施形態による認証装置１を含む例示的なシステム構成図である。なお、図３において、ネットワーク５は、例えば、ＶＰＮであり、認証装置１は、端末４１、４２が、ＶＰＮであるネットワーク５経由で他の企業内ネットワークと通信が可能であるか否かを認証して、他の企業内ネットワークと通信が可能な端末のみの通信を許可する。より具体的には、他の企業内ネットワークと通信が可能な端末からのパケットのみをネットワーク５側に転送する。またＬ２ＳＷは、レイヤ２フレームの転送装置であり、ルータ３はＩＰパケットの転送装置である。なお、例えば、ＶＰＮがインターネット上に構成されている場合、認証装置１は、端末４１及び４２がインターネットにアクセスする際の転送装置としても機能する。この場合、例えば、端末４１がＶＰＮ経由で通信できないものであっても、認証装置１は、インターネットのアクセスは許可する。
【００１３】
図３の構成においては、端末４１からのレイヤ２フレームは、認証装置１に届くが、端末４２からのレイヤ２フレームは、ルータ３で終端されるため認証装置１には届かない。なお、端末４２からのＩＰパケットは、認証装置１には届く。本実施形態は、端末４１及び４２の両方を認証可能とする。なお、図３の構成は、一例であり、認証装置１の設置位置は、図３に示す様な、ネットワーク５と企業内ネットワークとの境界に限定されない。また、本実施形態では、異なる企業内ネットワークに接続されている端末間の通信を例にしているが、本発明は、同じ企業内の異なるネットワークに接続されている端末間の通信にも適用できる。
【００１４】
図１は、本実施形態による認証装置１の概略的な構成図である。送受信部１１は、パケットの送受信を行い、アドレス解決プロトコル（ＡＲＰ）情報保持部１４は、ＭＡＣアドレスとＩＰアドレスの対応関係を示すＡＲＰテーブルを保持する。制御部１２は、認証装置１における処理の全体の制御を行い、認証情報管理部１３は、認証済情報を管理し、保持する。なお、認証済情報とは、既に認証された通信装置のＭＡＣアドレス又はＩＰアドレスを含む情報である。
【００１５】
以下、図２を用いて認証装置１が実行する認証処理について説明する。認証装置１の制御部１２は、Ｓ１１でパケットを受信すると、受信パケットの送信元ＭＡＣアドレスか、送信元ＩＰアドレスのいずれかが認証情報管理部１３が保持する認証済情報に含まれているかを判定する。受信パケットの送信元ＭＡＣアドレス又は送信元ＩＰアドレスが認証済情報に含まれていると、受信パケットの送信元の端末は既に認証済みであるため、Ｓ１３で、受信パケットを転送する。一方、受信パケットの送信元ＭＡＣアドレスと送信元ＩＰアドレスの両方が認証済情報に含まれていない場合、制御部１２は、Ｓ１４において、ＡＲＰテーブルに送信元ＭＡＣアドレスが存在するかを判定する。存在しない場合には、Ｓ１５で、送信元ＭＡＣアドレスを使用している装置に対して、当該装置のＩＰアドレスを問い合わせるＡＲＰ解決処理を実行し、ＡＲＰテーブルに、送信元ＭＡＣアドレスを使用している装置と、当該装置のＩＰアドレスをＡＲＰテーブルに追加してＳ１６に進む。一方、Ｓ１４において存在する場合には、そのままＳ１６に進む。
【００１６】
Ｓ１６において、制御部１２は、受信パケットの送信元ＭＡＣアドレスと送信元ＩＰアドレスの組が、ＡＲＰテーブルのＭＡＣアドレスとＩＰアドレスの組と一致するかを判定する。Ｓ１６において一致することは、受信パケットの送信元の端末と認証装置１とがレイヤ２のレベルで接続していること、つまり、受信パケットの送信元の端末と認証装置１とが直接レイヤ２フレームの送受信を行えることを示している。一方、Ｓ１６において一致しないことは、受信パケットの送信元の端末と認証装置１とが、ルータ３を介してレイヤ３のレベルで接続していることを示している。このため、制御部１２は、Ｓ１６において一致する場合、Ｓ１７で、非特許文献１に記載の認証処理を受信パケットの送信元の端末との間で行い、Ｓ１８で認証が成功か不成功かを判断する。なお、非特許文献１に記載の認証に必要な情報は、予め、認証装置１に保存しておくものとする。しかしながら、認証に必要な情報を、外部の装置に保存しておき、制御部１２は、受信パケットの送信元の端末から受け取った認証情報を、当該外部の装置に転送して、当該外部の装置から認証結果を受け取る構成であっても良い。
【００１７】
Ｓ１８で認証が成功すると、制御部１２は、Ｓ２７で、受信パケットのＭＡＣアドレスを認証済情報に追加して受信パケットの転送を行う。一方、Ｓ１８で認証が成功しないことは、受信パケットの送信元の端末が認証されていない端末である場合と、非特許文献１に記載の認証処理を実装していない場合の２通りの可能性がある。したがって、制御部１２は、Ｓ１８での認証が不成功であると、Ｓ１９で受信パケットが動的ホスト構成プロトコル（ＤＨＣＰ）によるＩＰアドレスの割り当て要求であるかを判定する。ＩＰアドレス要求の場合、制御部１２は、Ｓ２０で、ＤＨＣＰで規定する認証処理を受信パケットの送信元の端末との間で行い、Ｓ２１で認証が成功か不成功かを判断する。なお、送信元の端末の認証のための情報の保存と、受信パケットの送信元の端末から受信する認証情報との比較については、Ｓ１７と同様に、認証装置１が行っても、外部の装置が行っても良い。
【００１８】
Ｓ２１で認証が成功すると、制御部１２は、Ｓ２７で、受信パケットのＭＡＣアドレスを認証済情報に追加する。なお、この場合、受信パケットは、ＩＰアドレスの割り当て要求であったため、受信パケットの転送の必要はない。一方、Ｓ２１で認証が成功しないと、制御部１２は、Ｓ２５で処理を終了する。
【００１９】
また、Ｓ１６で、受信パケットの送信元ＭＡＣアドレスと送信元ＩＰアドレスの組が、ＡＲＰテーブルのＭＡＣアドレスとＩＰアドレスの組と一致しないことは、上述したように、受信パケットの送信元の端末と認証装置１とが、ルータ３を介してレイヤ３のレベルで接続していることを示している。したがって、Ｓ１６で一致しない場合、制御部１２は、Ｓ２２で受信パケットがＨＴＴＰに従うメッセージを含むパケット（以下、ＨＴＴＰパケットと呼ぶ。）であるかを判定し、ＨＴＴＰパケットである場合、制御部１２は、Ｓ２３で受信パケットの送信元の端末に、ログイン画面を表示してログイン処理による認証を行わせてＳ２４で認証が成功か不成功かを判定する。具体的には、例えば、Ｓ２３で受信パケットの送信元の端末に表示するログイン画面により当該端末のユーザに、アカウント名とパスワードの組を入力させて送信元の端末から認証情報を取得して認証を行う。なお、送信元の端末の認証のための情報の保存と、受信パケットの送信元の端末から受信する認証情報との比較については、Ｓ１７と同様に、認証装置１が行っても、外部の装置が行っても良い。
【００２０】
Ｓ２４での認証が成功すると、制御部１２は、Ｓ２７で、受信パケットのＩＰアドレスを認証済情報に追加して、受信パケットの転送を行う。一方、Ｓ２４での認証が不成功であると、制御部１２は、Ｓ２６で受信パケットを廃棄して処理を終了する。
【００２１】
また、Ｓ１９で、受信パケットがＩＰアドレスの割り当て要求ではないことは、これは、例えば、受信パケットの送信元端末が静的ＩＰアドレスを使用している可能性がある。この場合、制御部１２は、既に説明した様に、Ｓ２２からＳ２４の処理を実行し、ログイン画面を使用しての認証を行う。なお、Ｓ１９での処理が"Ｎо"の場合において、Ｓ２４で認証が成功すると、Ｓ２７では、受信パケットのＭＡＣアドレスを認証済情報に追加して、受信パケットの転送を行う。これは、Ｓ１９での処理を行ったことは、認証装置１と受信パケットの送信元の端末は、ルータ３を介することなく接続しているからである。なお、認証装置１は、認証が終了するまで、受信パケットをバッファしておき、認証成功後には、バッファした受信パケットを転送する。このことで無駄なパケットの再送を防ぐことができる。
【００２２】
以上の構成により、ネットワーク内の認証装置１と、認証対象の通信装置である端末との間の構成に拘わらず認証を行うことができる。
【図１】
2014192611.tif 000003
【図２】
2014192611.tif 000004
【図３】
2014192611.tif 000005