(57)【要約】【課題】認証データベースに未登録の新規収容の端末を認証処理できる。【解決手段】ネットワーク１００上の端末１０１のネットワーク情報を格納する認証データベース１０４ｂと、認証データベース１０４ｂに格納されたネットワーク情報に基づいて、端末１０１を認証処理する認証処理部３２１と、認証データベース１０４ｂに未格納の端末１０１からの通信要求時に、認証に必要な端末１０１のネットワーク情報をＬ２スイッチ１１２とＬ３スイッチ１１３から収集するテーブル参照処理部３２２と、テーブル参照処理部３２２により収集された端末１０１のネットワーク情報を、予め設定したネットワーク１００上における端末の収容情報テーブル３２３を用いて精査するテーブル精査処理部３２４とを有する。認証処理部３２１は、テーブル精査処理部３２４による精査の結果に基づいて正当な端末１０１に関するネットワーク情報を認証データベース１０４ｂに登録する。【選択図】図３
2014186703.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上の端末のネットワーク情報を格納する認証データベースと、
前記認証データベースに格納されたネットワーク情報に基づいて、前記端末を認証処理する認証処理部と、
前記認証データベースに未格納の前記端末からの通信要求時に、当該端末の認証に必要な前記端末のネットワーク情報をネットワーク機器から収集する収集部と、
前記収集部により収集された前記端末のネットワーク情報を、予め設定した前記ネットワーク上における前記端末の収容情報を用いて精査する精査部とを有し、
前記認証処理部は、前記精査部による精査の結果に基づいて正当な前記端末に関するネットワーク情報を前記認証データベースに登録することを特徴とする認証装置。
【請求項２】
前記認証処理部は、前記端末の認証に必要な前記端末のネットワーク情報が前記認証データベースに未格納の場合、前記精査部による精査後に認証結果を前記端末に返答することを特徴とする請求項１に記載の認証装置。
【請求項３】
前記収集部は、前記ネットワーク機器であるレイヤ２スイッチと、レイヤ３スイッチのテーブルを参照して前記端末のネットワーク情報を収集することを特徴とする請求項１または２に記載の認証装置。
【請求項４】
前記収集部は、前記レイヤ２スイッチの機器ＩＰアドレスのセグメント内先頭ホストアドレスを前記レイヤ３スイッチの機器アドレスとして求め、当該レイヤ３スイッチのテーブルを参照することを特徴とする請求項３に記載の認証装置。
【請求項５】
前記認証処理部は、前記端末のＭＡＣアドレス認証を行うものであり、
予め設定した前記ネットワーク上における前記端末の収容情報として、ＭＡＣアドレスと、ＩＰアドレスと、収容ポートとを対応づけて保有するテーブルを有し、
前記収集部は、レイヤ２スイッチから前記端末のＭＡＣアドレスに対応する収容ポートを収集し、レイヤ３スイッチから前記端末のＭＡＣアドレスに対応するＩＰアドレスを収集し、
前記精査部は、前記収集部により収集した前記端末のネットワーク情報を、前記テーブルに保有された予め設定した前記ネットワーク上における前記端末の収容情報との一致判別に基づいて精査し、
前記精査部による精査の結果に基づいて、正当な前記端末のＭＡＣアドレスを前記認証データベースに登録することを特徴とする請求項１〜４のいずれか一つに記載の認証装置。
【請求項６】
前記認証処理部は、前記端末の認証に必要な前記ネットワーク上における前記端末のネットワーク情報が前記認証データベースに未格納の場合、前記端末の認証処理に時間帯制限を設けたことを特徴とする請求項１〜５のいずれか一つに記載の認証装置。
【請求項７】
前記認証処理部は、前記ネットワーク上の複数の前記端末に対して一斉に認証要求を行わせる所定のコマンドを送出し、複数の端末からの認証要求に基づく認証処理を開始することを特徴とする請求項１〜６のいずれか一つに記載の認証装置。
【請求項８】
前記認証処理部は、前記端末に対して一斉に認証要求を行わせる所定のコマンドとしてＰｉｎｇコマンドを用い、ディレクティッド・ブロードキャスト・アドレス指定により前記ネットワーク内の前記レイヤ３スイッチ配下のサブネットに対して送信することを特徴とする請求項７に記載の認証装置。
【請求項９】
ネットワーク上の端末を認証する認証方法において、
認証データベースに格納された前記ネットワーク上の端末のネットワーク情報に基づいて、前記端末を認証処理する認証処理工程と、
前記認証データベースに未格納の前記端末からの通信要求時に、当該端末の認証に必要な前記端末のネットワーク情報をネットワーク機器から収集する収集工程と、
前記収集工程により収集された前記端末のネットワーク情報を、予め設定した前記ネットワーク上における前記端末の収容情報を用いて精査する精査工程とを含み、
前記認証処理工程は、前記精査工程による精査の結果に基づいて正当な前記端末に関するネットワーク情報を前記認証データベースに登録することを特徴とする認証方法。
【請求項１０】
前記認証処理工程は、前記端末の認証に必要な前記端末のネットワーク情報が前記認証データベースに未格納の場合、前記精査工程による精査後に認証結果を前記端末に返答することを特徴とする請求項９に記載の認証方法。
【請求項１１】
前記収集工程は、前記ネットワーク機器であるレイヤ２スイッチと、レイヤ３スイッチのテーブルを参照して前記端末のネットワーク情報を収集することを特徴とする付記９または１０に記載の認証方法。
【請求項１２】
前記認証処理工程は、前記端末のＭＡＣアドレス認証を行うものであり、
予め設定した前記ネットワーク上における前記端末の収容情報として、ＭＡＣアドレスと、ＩＰアドレスと、収容ポートとを対応づけて保有し、
前記収集工程は、レイヤ２スイッチから前記端末のＭＡＣアドレスに対応する収容ポートを収集し、レイヤ３スイッチから前記端末のＭＡＣアドレスに対応するＩＰアドレスを収集し、
前記精査工程は、前記収集工程により収集した前記端末のネットワーク情報を、前記テーブルに保有された予め設定した前記ネットワーク上における前記端末の収容情報との一致判別に基づいて精査し、
前記精査工程による精査の結果に基づいて、正当な前記端末のＭＡＣアドレスを前記認証データベースに登録することを特徴とする付記９〜１１のいずれか一つに記載の認証方法。
【請求項１３】
前記認証処理工程は、前記ネットワーク上の複数の前記端末に対して一斉に認証要求を行わせる所定のコマンドを送出し、複数の端末からの認証要求に基づく認証処理を開始することを特徴とする請求項９〜１２のいずれか一つに記載の認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上の端末を認証する認証装置および認証方法に関する。
【背景技術】
【０００２】
ネットワークに接続した端末等のネットワーク利用の正当性を確認する認証方式として、ＭＡＣアドレス認証、ＩＥＥＥ８０２．１ｘ認証、Ｗｅｂ認証等がある。
【０００３】
ＭＡＣアドレス認証は、端末側に特別なソフト等を必要とせず、最も簡単に認証サービスを提供することができる認証方式である。ＭＡＣアドレス認証は、通常、認証サーバ内にネットワーク利用を許可するＭＡＣアドレスを事前に登録しておき、端末の電源ＯＮ後の最初の通信パケット受信時に、Ｌ２スイッチは認証サーバとの間で認証シーケンスを開始する。認証サーバでは認証要求した端末のＭＡＣアドレスと、認証サーバ内に登録されているＭＡＣアドレスを比較する。この端末のＭＡＣアドレスが認証サーバ内に登録されていれば、認証成功（ＯＫ）をＬ２スイッチに返送し、認証シーケンスのトリガとなったパケットを含め、以後の端末からの通信を許可することになる。
【０００４】
一方、認証要求した端末のＭＡＣアドレスが認証サーバ内に未登録の場合は、認証否許可（ＮＧ）がＬ２スイッチに返送され、認証シーケンスのトリガとなったパケットを含め、以後の該当ＭＡＣアドレスを持つ通信は全てＬ２スイッチにて遮断され、端末はネットワークを利用した通信サービスができない状態となる。
【０００５】
そして、認証サーバ内にＭＡＣアドレスを事前登録するには、ＭＡＣアドレスをネットワーク内より収集し、収集したＭＡＣアドレスが正しいか否かを検証する。検証結果が正しければ（ＯＫ）、認証サーバ内に登録されることになる。
【０００６】
ＭＡＣアドレスの収集方法にはいくつかの手段がある。例えば、認証サーバがネットワーク上の端末宛てに接続診断コマンド（例えば、Ｐｉｎｇ：Ｐａｃｋｅｔ  ＩｎｔｅｒＮｅｔ  Ｇｒｏｐｅｒ）を送る。これにより、端末が応答するためにゲートウェイとなるルータ／スイッチは、ＭＡＣアドレスを知るためのＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）シーケンスを実施する。そして、ＡＲＰシーケンスの実施の結果、Ｌ３スイッチ／ルータに保持されたＡＲＰテーブル内の該当端末のＭＡＣアドレスとＩＰアドレス情報を認証サーバが入手し、登録する。
【０００７】
そして、認証サーバがＡＲＰリクエストをネットワークのＬ３スイッチ配下の端末に送信し、認証否許可（ＮＧ）となった場合に、所定時間ＡＲＰリプライを待ち、認証サーバに端末のＭＡＣアドレスを登録する技術がある（例えば、下記特許文献１等参照。）。また、無線基地局制御装置が認証サーバとなり、ＡＲＰリクエストまたはコマンド（Ｐｉｎｇ）を無線基地局装置に送信し、認証否許可（ＮＧ）となった場合に、所定時間ＡＲＰリプライを繰り返し、無線ネットワークの認証を行いＭＡＣアドレスを登録する技術がある（例えば、下記特許文献２参照。）。
【０００８】
入手したＭＡＣアドレスが正しいかを検証するには、一般的には事前にネットワーク内のＩＰ設計を行い、この結果にしたがって該当する端末に払い出したＩＰアドレス情報と比較する。上記手段等により入手したＩＰアドレスと、このＩＰ設計したＩＰアドレスが合致すれば、検証結果が正しいと判断し、ＭＡＣアドレスを認証サーバに登録する。
【０００９】
そして、ネットワークに端末を新規収容する際、事前に端末申請が利用者から行われる。端末申請時には、ＭＡＣアドレスを含めて申請することになる。申請を受けたネットワークの運用管理者は、空いているＩＰアドレスを払い出し、その後、端末がこのＩＰアドレスを端末に登録し、ネットワークに接続することになる。この払い出したＩＰアドレスを申請時のＭＡＣアドレスと共に設計情報として管理しておく。認証サーバ登録のためにネットワークから入手したＭＡＣアドレスとＩＰアドレスの関係が、この管理されたＭＡＣアドレスとＩＰアドレスに合致するか否かを検証することが一般的に行われる。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２０１０−１３６０１４号公報
【特許文献２】特開２０１０−１２４２６５号公報
【発明の概要】
【発明が解決しようとする課題】
【００１１】
しかしながら、端末のＭＡＣアドレスを収集するには、対象端末の電源が予め入っている必要がある。電源が入っていないことでＭＡＣアドレスを入手できない端末があると、運用管理者は、一定時間経過後に再度収集を行い、入手できるまで上記操作を繰り返すことになる。このような場合、認証サーバへのＭＡＣアドレスの登録に手間がかかることになる。
【００１２】
また、運用管理者によるＭＡＣアドレス収集、認証サ−バへの登録のタイミングと、端末利用者が通信開始を希望するタイミングは一致しない。このため、利用者が通信を開始する時点で認証サーバに端末のＭＡＣアドレスが登録されていない場合、ネットワークを使用できないことになる。即ち、認証サーバへの登録が遅れると、利用者が正規の端末を使用したいときに、ネットワークを使用できないという問題が生じる。
【００１３】
また、一般的に認証サーバへ収集したＭＡＣアドレスが正規の端末のものか否かを精査するために、ＭＡＣアドレスとＩＰアドレスを収集し、設計時のＭＡＣアドレスが払い出したＩＰアドレスと一致するか比較する。しかしながら、このＩＰアドレスについてもＭＡＣアドレスと同様に偽装された場合には、正規ではない端末の登録（不正なＭＡＣアドレスとＩＰアドレス）によりネットワークが不正使用される恐れがある。
【００１４】
一つの側面では、認証データベースに未登録の新規収容の端末を認証処理できることを目的とする。
【課題を解決するための手段】
【００１５】
一つの案では、ネットワーク上の端末のネットワーク情報を格納する認証データベースと、前記認証データベースに格納されたネットワーク情報に基づいて、前記端末を認証処理する認証処理部と、前記認証データベースに未格納の前記端末からの通信要求時に、当該端末の認証に必要な前記端末のネットワーク情報をネットワーク機器から収集する収集部と、前記収集部により収集された前記端末のネットワーク情報を、予め設定した前記ネットワーク上における前記端末の収容情報を用いて精査する精査部とを有し、前記認証処理部は、前記精査部による精査の結果に基づいて正当な前記端末に関するネットワーク情報を前記認証データベースに登録する認証装置を用いる。
【発明の効果】
【００１６】
一つの実施形態によれば、認証データベースに未登録の新規収容の端末を認証処理できる。
【図面の簡単な説明】
【００１７】
【図１】図１は、本発明が適用されるネットワーク構成例を示す図である。
【図２】図２は、ネットワークセンター内の認証サーバと認証ＤＢの構成例を示すブロック図である。
【図３】図３は、実施の形態の端末認証にかかる機器の構成例を示すブロック図である。
【図４】図４は、実施の形態にかかる端末認証の全体処理を示すシーケンス図である。
【図５】図５は、ＡＲＰデータのフレーム構成を示す図である。
【図６】図６は、認証サーバが行う認証処理の詳細を示すフローチャートである。
【図７】図７は、ＡＲＰ要求前後のＭＡＣテーブルの変化を示す図表である。
【図８】図８は、ＡＲＰ要求前後のＡＲＰテーブルの変化を示す図表である。
【図９】図９は、認証サーバが行うテーブル参照処理の詳細を示すフローチャートである。
【図１０】図１０は、テーブル参照処理により参照される各テーブルを示す図表である。
【図１１】図１１は、Ｌ３スイッチの機器ＩＰアドレスの求め方を説明する図である。
【図１２】図１２は、認証要求パケットの構成例を示す図表である。
【図１３】図１３は、認証サーバが行うテーブル精査処理の詳細を示すフローチャートである。
【図１４】図１４は、認証ＤＢへの端末情報の登録状態を示す説明図である。
【図１５】図１５は、他の実施の形態にかかる端末認証の全体処理を示すシーケンス図である。
【図１６】図１６は、他の実施の形態にかかる認証サーバが行う一括認証用コマンドの生成処理を示すフローチャートである。
【発明を実施するための形態】
【００１８】
（実施の形態）
（ネットワークの全体構成例）
以下に添付図面を参照して、開示技術の好適な実施の形態を詳細に説明する。図１は、本発明が適用されるネットワーク構成例を示す図である。このネットワーク１００では、複数の端末１０１がネットワーク網１０２を介して、集中的に配置された利用センター１０３のサービスを受けるため、利用センター１０３との間でデータを送受信する。
【００１９】
端末１０１とネットワーク網１０２との間には、ネットワーク機器として、所定の拠点毎にＬ２（レイヤ２）スイッチ１１２とＬ３（レイヤ３）スイッチ１１３が設けられ、Ｌ２スイッチ配下に複数の端末１０１を収容する。
【００２０】
端末１０１は、利用センター１０３との通信開始前に、認証サーバ１０４ａが配置されたネットワークセンター１０４に対し、Ｌ２スイッチ１１２経由で接続されて認証される。利用センター１０３、およびネットワークセンター１０４と、ネットワーク網１０２の間には、センタールータ１１４が配置される。そして、認証サーバ１０４ａによる認証後に利用センター１０３との通信が可能になり、サービスを受けることができる。このような認証は、端末１０１の電源がＯＦＦされると、ＯＮになった都度、再度実施され、セキュリティが維持されるようになっている。
【００２１】
そして、上記一連の動作前に、初めてネットワーク１００に端末１０１を収容する際、通常（既存の方法）は、ユーザが端末１０１の新規接続申し込みをネットワーク１００の運用管理者に対して行う。運用管理者は、新規の端末１０１のＭＡＣアドレスを認証サーバ１０４ａの認証データベース（認証ＤＢ）１０４ｂに登録し、認証サーバ１０４ａとＬ２スイッチ間１１２との間で実施される認証に利用する。
【００２２】
そして、以下の実施の形態では、端末１０１のＭＡＣアドレスの事前登録を不要とし、端末１０１のネットワークへの新規収容（通信開始）のときに認証処理および認証ＤＢへ登録する構成例について説明する。
【００２３】
（ネットワークセンター：認証サーバおよび認証ＤＢの構成例）
図２は、ネットワークセンター内の認証サーバと認証ＤＢの構成例を示すブロック図である。ネットワークセンター１０４の認証サーバ１０４ａは、ＣＰＵモジュール２０１、メモリ２０２、Ｉ／Ｏ装置２０３、ＬＡＮポート２０４、ファイバーチャネルカード２０５とを含む。ＣＰＵモジュール２０１は、複数のＣＰＵ２０１ａ〜２０１ｎを含み、これら複数のＣＰＵ２０１ａ〜２０１ｎによるデータの並列処理を行う。メモリ２０２はＲＡＭ、ＲＯＭ等のメモリを含む。Ｉ／Ｏ装置２０３は、ＨＤＤ等の複数のディスク装置２０３ａ〜２０３ｎを含む。ＬＡＮポート２０４は、ネットワーク網１０２側のセンタールータ１１４との接続Ｉ／Ｆである。ファイバーチャネルカード２０５は、認証ＤＢ１０４ｂとの接続Ｉ／Ｆである。
【００２４】
認証サーバ１０４ａは、ＣＰＵモジュール２０１がメモリ２０２のＲＯＭ等に格納された認証プログラムの実行により認証処理を行う。この認証処理の際、ＣＰＵモジュール２０１は、メモリ２０２のＲＡＭやＩ／Ｏ装置２０３を作業領域として使用する。また、ＣＰＵモジュール２０１は、認証ＤＢ１０４ｂのディスクドライブ２１１に格納される認証情報の参照および更新処理を行う。
【００２５】
認証ＤＢ１０４ｂは、ディスクドライブ２１１と、ＬＡＮポート２１２と、ファイバーチャネルコントローラ２１３等を含む。ディスクドライブ２１１は、複数のディスク装置２１１ａ〜２１１ｎを含み、端末１０１の認証のための認証情報をデータベースとして保持する。ＬＡＮポート２１２と、ファイバーチャネルコントローラ２１３は、それぞれ認証ＤＢ１０４ｂに対する入出力Ｉ／Ｆであり、図示の例では、ファイバーチャネルコントローラ２１３がファイバーチャネルカード２０５を介して認証サーバ１０４ａに接続されている。
【００２６】
（端末認証にかかる論理構成例）
図３は、実施の形態の端末認証にかかる機器の構成例を示すブロック図である。端末１０１は、Ｌ２スイッチ１１２と、Ｌ３スイッチ１１３を介して、ネットワークセンター１０４の認証サーバ１０４ａに接続される。例えば、Ｌ２スイッチ１１２はネットワーク１００上のハブとして用いられ、Ｌ３スイッチ１１３はルータとして用いられる。
【００２７】
Ｌ２スイッチ１１２は、レイヤ２のスイッチングを行うスイッチ部３０１と、端末１０１の認証確認を行うオーセンティケータ機能部（認証確認部）３０２と、ＭＩＢ（Ｍａｎａｇｅｍｅｎｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ）３０３とを含む。端末１０１から最初のフレームを受信したスイッチ部３０１は、認証サーバ１０４ａによる認証を実施するために、オーセンティケータ機能部３０２に受信したフレームを渡す。
【００２８】
オーセンティケータ機能部３０２は、端末１０１のＭＡＣアドレスを認証サーバ１０４ａに送信し、認証サーバ１０４ａから端末１０１の認証結果を受信する。ＭＩＢ３０３には、端末１０１の情報（ＭＡＣアドレス、収容ポート等）がテーブル化して格納される。このＭＩＢ３０３は、認証サーバ１０４ａによって参照される。
【００２９】
Ｌ３スイッチ１１３は、ルータ部３１１と、ＭＩＢ３１２とを含む。ルータ部３１１は、ネットワーク間におけるレイヤ３のルーティングを行う。ＭＩＢ３１２には、端末１０１の情報（ＭＡＣアドレス、ＩＰアドレス等）がＡＲＰテーブルとして格納される。このＭＩＢ３１２は、認証サーバ１０４ａによって参照される。
【００３０】
認証サーバ１０４ａは、認証処理部３２１と、テーブル参照処理部（収集部）３２２と、収容情報テーブル３２３と、テーブル精査処理部（精査部）３２４とを含む。認証処理部３２１は、Ｌ２スイッチ１１２のオーセンティケータ機能部３０２から端末１０１の認証要求を受けて端末１０１のＭＡＣアドレスを受信する。そして、認証処理部３２１は、オーセンティケータ機能部３０２が認証要求した端末１０１のＭＡＣアドレスを使用して、認証ＤＢ１０４ｂ上のＭＡＣアドレスを検索し、端末１０１を認証処理する。同じＭＡＣアドレスが認証ＤＢ１０４ｂ上に登録されていれば、認証成功（ＯＫ）とする。そして、認証処理部３２１は、認証結果（ＯＫ／ＮＧ）をＬ２スイッチ１１２のオーセンティケータ機能部３０２に送る。
【００３１】
端末１０１のＭＡＣアドレスが認証ＤＢ１０４ｂに登録されておらず、認証否許可（ＮＧ）となった場合には、テーブル参照処理部３２２、テーブル精査処理部３２４の機能を用いて端末１０１の認証処理を行う。収容情報テーブル３２３には、端末１０１のＭＡＣアドレスとＩＰアドレス、およびこの端末１０１を収容するＬ２スイッチ１１２の機器ＩＰアドレスとポート番号など、端末１０１のネットワーク上での情報が相互に関連付けて格納される。この収容情報テーブル３２３は、ネットワーク設計時に事前に作成しておく。なお、ネットワーク設計時に作成するため、端末１０１の状態、例えば電源状態や通信状態に関与しない情報である。
【００３２】
この収容情報テーブル３２３は、認証サーバ１０４ａ内部に設けるに限らず、認証サーバ１０４ａが外部から収容情報テーブル３２３に相当する端末１０１の情報を収集してもよい。
【００３３】
テーブル参照処理部３２２は、認証処理部３２１の認証結果が認証否許可（ＮＧ）となった端末１０１の認証に必要な情報を参照する。このテーブル参照処理部３２２は、対象の端末１０１のＭＡＣアドレスに基づき、収容情報テーブル３２３を参照して、端末１０１を収容するＬ２スイッチ１１２，Ｌ３スイッチ１１３のＭＩＢ３０３，３１２を参照する。
【００３４】
テーブル精査処理部３２４は、テーブル参照処理部３２２が参照した情報を収容情報テーブル３２３の情報と比較する。該当する端末１０１の情報（ＭＡＣアドレス）が収容情報テーブル３２３の情報（ＭＡＣアドレス）に一致するか否かの参照結果（ＯＫ／ＮＧ）を認証処理部３２１に出力する。
【００３５】
認証処理部３２１は、テーブル参照処理部３２２の参照結果が正しければ（ＯＫ）、該当する（認証否許可であった）端末１０１のＭＡＣアドレスを認証ＤＢ１０４ｂに登録する。
【００３６】
これら認証サーバ１０４ａの認証処理部３２１と、テーブル参照処理部３２２と、テーブル精査処理部３２４の機能は、図２に記載のＣＰＵモジュール２０１がメモリ２０２等に格納された認証プログラムの実行により得られる。収容情報テーブル３２３は、図２に記載のメモリ２０２やＩ／Ｏ装置２０３を用いて構成できる。認証ＤＢ１０４ｂは、図２に記載のディスクドライブ２１１を用いて構成できる。
【００３７】
実施の形態では、運用管理者の運用作業により、実際の端末１０１の利用者の通信開始前にＭＡＣアドレスを収集し、認証ＤＢ１０４ｂに事前登録する方式を採らない。実施の形態では、利用者が端末１０１の通信を開始した時点でシステム側（認証サーバ１０４ａ）がＭＡＣアドレスを収集し、認証ＤＢ１０４ｂを構築する。このため、システム側（認証サーバ１０４ａ）は、はじめに端末１０１からのパケット受信で開始される認証シーケンス中において、通信を開始した端末１０１の情報をＬ２スイッチ１１２およびＬ３スイッチ１１３から収集し、収集した情報を用いて認証を行う。
【００３８】
通常の認証シーケンスでは、認証サーバ１０４ａは認証サーバ１０４ａ内に該当パケットの送信元の端末１０１のＭＡＣアドレスが登録されているか否かを判断し、未登録であれば認証ＮＧとしている。したがって、事前に認証サーバ１０４ａに端末１０１のＭＡＣアドレスが登録されていない状態では、通常の認証シーケンスでは端末１０１は認証否許可（ＮＧ）となる。
【００３９】
これに対応するため、実施の形態では、認証サーバ１０４ａ内にＭＡＣアドレス未登録状態の場合でも、その場で直ちに認証ＮＧとはせず、ＭＡＣアドレスをネットワーク（Ｌ２スイッチ１１２等）から収集する。そして、検証後にＭＡＣアドレスを認証サーバ１０４ａに登録できた場合は、認証成功（ＯＫ）の扱いとする。但し、検証結果が認証否許可（ＮＧ）等の理由により認証サーバ１０４ａに対して、入手したＭＡＣアドレスが登録不可となった場合には、端末１０１を認証否許可（ＮＧ）の扱いとする。
【００４０】
また、収集した端末１０１のＭＡＣアドレスを精査してから認証サーバ１０４ａ（認証ＤＢ１０４ｂ）内に登録する。このために、端末１０１のＩＰアドレスとＭＡＣアドレス、端末１０１を収容している位置情報（Ｌ２スイッチ１１２のポート情報）を精査の比較条件として扱う。このために、端末１０１を収容しているＬ２スイッチ１１２のＭＩＢ３０３のＭＡＣテーブルを参照して端末１０１のポート情報を収集する。また、Ｌ３スイッチ１１３のＭＩＢ３１２のＡＲＰテーブルから端末１０１のＩＰアドレスを収集する。
【００４１】
そして、先に収集したＭＡＣアドレスに対応したＩＰアドレスがネットワーク設計時（収容情報テーブル３２３）のＩＰアドレス、ポート情報と一致した場合に、認証サーバ１０４ａ（認証ＤＢ１０４ｂ）へ端末１０１のＭＡＣアドレスを登録する。このような複数の情報により精査をおこなった正規の端末１０１の情報を認証ＤＢ１０４ｂに登録することにより、不正な端末１０１を用いた偽装によるネットワークの不正使用を防止できるようになる。
【００４２】
さらに、認証サーバ１０４ａ内に端末１０１のＭＡＣアドレスが未登録のとき、この端末１０１の認証処理（ＭＡＣアドレス収集および精査検証処理）について、所定の時間帯制限を設けてもよい。例えば、端末１０１の通信を許容する時間帯は、業務開始時間から業務終了時間までの業務時間帯とする。この業務時間帯を外れ、認証サーバ１０４ａ内に登録されていない新規の端末１０１は、本来業務に使用する正規の端末１０１とみなさず認証否許可（ＮＧ）を返送して通信サービスを遮断することができる。
【００４３】
（端末認証の全体処理）
図４は、実施の形態にかかる端末認証の全体処理を示すシーケンス図である。上述したように、実施の形態では、実際の端末１０１の利用者の通信開始前にＭＡＣアドレスを収集する方式を採らない。
【００４４】
はじめに、利用者が認証サーバ１０４ａに未登録の端末（端末Ａ）１０１により、利用センター１０３向けの通信サービスを受けるための通信要求（操作）を行ったとする（ステップＳ４０１）。端末１０１は、Ｌ３スイッチ１１３にＡＲＰ要求を送信し（ステップＳ４０２）、Ｌ３スイッチ１１３は、端末１０１にＡＲＰ応答を行う（ステップＳ４０３）。
【００４５】
このＬ２スイッチ１１２は、上述したように、スイッチ動作を行うスイッチ部３０１と、標準の認証サーバ１０４ａに対する中継処理を行うオーセンティケータ機能部３０２の機能を有している。利用センター１０３のサービス利用のために、端末１０１をＬ２スイッチ１１２に接続して利用センター１０３に接続要求を行う場合、デフォルトゲートウェイであるＬ３スイッチ１１３のＭＡＣアドレスが必要なため、端末１０１は、ＡＲＰ要求を送信する。
【００４６】
この後、端末１０１は、Ｌ３スイッチ１１３からのＡＲＰ応答により、利用センター向けの最初のデータ（フレーム）をＬ２スイッチ１１２に送信する（ステップＳ４０４）。Ｌ２スイッチ１１２は、端末１０１が認証成功（ＯＫ）されるまでデータ保持し、認証サーバ１０４ａに対して端末１０１のＭＡＣアドレスを送信して認証要求を行う（ステップＳ４０５）。
【００４７】
認証サーバ１０４ａは、認証要求により、認証ＤＢ１０４ｂ内の端末１０１のＭＡＣアドレスを検索する（ステップＳ４０６）。認証できれば（ステップＳ４０７：Ｎｏ）、Ｌ２スイッチ１１２に認証成功（ＯＫ）を送信し（ステップＳ４０７ａ）、以降、端末１０１からのデータを利用センター１０３に送信し、端末１０１が利用センター１０３の通信サービスを受けることができる。なお、認証できなければ（ステップＳ４０７：Ｙｅｓ）、通常の認証処理では、認証サーバ１０４ａは、Ｌ２スイッチ１１２に認証否許可（ＮＧ）を送信し、端末１０１によるデータ利用センター１０３の通信サービスを受けることはできない。
【００４８】
実施の形態では、通常の認証処理に加えて、ステップＳ４０８以降の処理を行うことにより、認証サーバ１０４ａに登録されていない端末１０１であっても、この端末１０１に対する認証を行えるようにし、認証結果を端末１０１に返答する。これにより、利用者が新規の端末１０１の利用（通信）を開始した時点で認証サーバ１０４ａはこの新規の端末１０１に対する認証を行い、認証サーバ１０４ａ（認証ＤＢ１０４ｂ）を自動構築する。
【００４９】
そして、ステップＳ４０７において、認証サーバ１０４ａに未登録の端末１０１であれば、この端末１０１は認証否許可となる（ステップＳ４０７：Ｙｅｓ）。この場合、ステップＳ４０８以降の処理を実行して、テーブル参照処理部３２２、およびテーブル精査処理部３２４による端末１０１の情報収集および検証を行う。
【００５０】
テーブル参照処理部３２２は、ステップＳ４０８〜ステップＳ４１２までの処理を行う。はじめに、端末１０１からの通信要求の時期が、予め定めた業務時間内であるか判断する（ステップＳ４０８）。業務時間外であれば（ステップＳ４０８：Ｎｏ）、Ｌ２スイッチ１１２に認証否許可（ＮＧ）を送信し（ステップＳ４０８ａ）、端末１０１の通信を許可しない。一方、業務時間内であれば（ステップＳ４０８：Ｙｅｓ）、Ｌ２スイッチ１１２のＭＩＢ３０３内のＭＡＣテーブルの情報を収集する（ステップＳ４０９，ステップＳ４１０）。また、Ｌ３スイッチ１１３のＭＩＢ３１２内のＡＲＰテーブルの情報を収集する（ステップＳ４１１，ステップＳ４１２）。
【００５１】
テーブル参照処理部３２２は、Ｌ２スイッチ１１２については、収容情報テーブル３２３を参照し、対象となる端末１０１を収容しているＬ２スイッチ１１２の機器ＩＰアドレスを求める。そして、求めた機器ＩＰアドレスのＬ２スイッチ１１２のＭＩＢ（ＭＡＣテーブル）３０３を参照して対象の端末１０１のＭＡＣアドレスのレコードを取得し、端末１０１のＭＡＣアドレスに対応するポート番号を取得する（ステップＳ４１０）。
【００５２】
また、テーブル参照処理部３２２は、Ｌ２スイッチの機器ＩＰアドレスの取得により、Ｌ３スイッチ１１３の機器ＩＰアドレスを求める。このＬ３スイッチ１１３の機器ＩＰアドレスは、Ｌ２スイッチ１１２の機器ＩＰアドレスに対応するセグメント内先頭ホストアドレスとする。そして、求めた機器ＩＰアドレスのＬ３スイッチ１１３のＭＩＢ（ＡＲＰテーブル）３１２を参照して対象の端末１０１のＭＡＣアドレスのレコードを取得し、端末１０１のＭＡＣアドレスに対応するＩＰアドレスを取得する（ステップＳ４１２）。
【００５３】
この後、テーブル精査処理部３２４は、テーブル参照処理部３２２が取得した端末１０１の情報が収容情報テーブル３２３の情報と一致するか精査する（ステップＳ４１３）。精査の結果、一致していなければ（ステップＳ４１４：Ｎｏ）、Ｌ２スイッチ１１２に認証否許可（ＮＧ）を送信し（ステップＳ４１４ａ）、端末１０１の通信を許可しない。
【００５４】
一方、精査の結果、一致していれば（ステップＳ４１４：Ｙｅｓ）、認証成功（ＯＫ）となり、認証サーバ１０４ａは、端末１０１のＭＡＣアドレスを認証ＤＢ１０４ｂに登録する（ステップＳ４１５）。そして、認証結果として認証成功（ＯＫ）を設定し（ステップＳ４１６）、Ｌ２スイッチ１１２に認証成功（ＯＫ）を送信し（ステップＳ４１７）、以降、端末１０１からのデータを利用センター１０３に送信し、端末１０１が利用センター１０３の通信サービスを受けることができる。
【００５５】
上記の構成によれば、事前に認証サーバ１０４ａの認証ＤＢ１０４ｂに対し、新規の端末１０１のＭＡＣアドレスの登録を実施しないため、端末１０１からの最初のフレームによる認証要求は認証失敗となるが、認証結果を直ぐに端末１０１の返信するのではなく、認証処理部３２１（テーブル精査処理部３２４）によるＭＡＣアドレスの精査処理を実施後に、精査結果を認証結果として端末１０１に返信する。これにより、事前に認証サーバ１０４ａの認証ＤＢ１０４ｂに登録されていない新規の端末１０１であっても、認証サーバ１０４ａは、端末１０１の認証に必要な情報を収集し、認証することができるようになる。また、端末１０１からの接続時期が業務時間外となり、認証サーバ１０４ａに登録されていない端末１０１に対しては、本来業務に使用する正規端末とみなさない、もしくは正規の端末１０１であるが不正使用と判断し、いずれも認証否許可（ＮＧ）を端末１０１に返信する。これにより、端末１０１の不正使用を防止できる。
【００５６】
図５は、ＡＲＰデータのフレーム構成を示す図である。図５の（ａ）は、端末１０１が送信するＡＲＰ要求フォーマット５００である。ＡＲＰ要求フォーマット５００は、ＭＡＣヘッダ部５０１と、データ部５０２と、ＣＲＣ５０３とからなる。先頭のＭＡＣヘッダ部５０１には、ブロードキャストアドレスと、送信先ＭＡＣアドレス、タイプの各項目がある。タイプは、上位プロトコル識別子を表し、ＡＲＰ要求時には、例えば図示のように０ｘ０８０６が設定される。
【００５７】
データ部５０２には、ＡＲＰフレーム構成の各項目が設けられる。ＡＲＰフレーム構成は、ハードタイプと５１１と、プロトコルタイプ５１２と、ハード／プロトコルサイズ５１３と、オペレーション５１４と、パケットボディ５１５の各項目が設定される。オペレーション５１４には、ＡＲＰ要求であれば０００１が設定され、ＡＲＰ応答であれば０００２が設定される。
【００５８】
パケットボディ５１５には、ＡＲＰ要求データの各項目が設けられる。ＡＲＰ要求データは、発信元ＭＡＣアドレス５２１と、発信元ＩＰアドレス５２２と、宛先ＭＡＣアドレス５２３と、宛先ＩＰアドレス５２４の各項目が設定される。発信元ＭＡＣアドレス５２１と、発信元ＩＰアドレス５２２は、端末１０１のアドレスであり、宛先ＭＡＣアドレス５２３と、宛先ＩＰアドレス５２４は、Ｌ３スイッチ１１３のアドレスである。
【００５９】
また、図５の（ｂ）は、Ｌ３が返答するＡＲＰ応答データ５３０である。ＡＲＰ応答データ５３０は、ＡＲＰ要求データに対する応答内容であり、受信側ＭＡＣアドレス５３１と、受信側ＩＰアドレス５３２と、発信元ＭＡＣアドレス５３３と、発信元ＩＰアドレス５３４の各項目が設けられる。
【００６０】
発信元ＭＡＣアドレス５３３は、ＡＲＰ要求データの発信元ＭＡＣアドレス５２１であり、発信元ＩＰアドレス５３４は、ＡＲＰ要求データの発信元ＩＰアドレス５２２である。これら発信元ＭＡＣアドレス５３３と、発信元ＩＰアドレス５３４は、端末１０１のアドレスである。また、受信側ＩＰアドレス５３２は、ＡＲＰ要求データの宛先ＩＰアドレス５２４であり、Ｌ３スイッチ１１３のアドレスである。そして、受信側ＭＡＣアドレス５３１には、求めるＭＡＣアドレス（Ｌ３スイッチ１１３のＭＡＣアドレス）が設定され、送信される。
【００６１】
（認証サーバの認証処理）
図６は、認証サーバが行う認証処理の詳細を示すフローチャートである。認証サーバ１０４ａの認証処理部３２１が行う認証処理を処理順に説明する。認証処理部３２１は、端末１０１の通信開始に基づく、Ｌ２スイッチ１１２からの認証要求を待ち（ステップＳ６０１、ステップＳ６０２：Ｎｏのループ）、認証要求を受信すると（ステップＳ６０２：Ｙｅｓ）、認証要求パケット上の端末１０１のＭＡＣアドレスにより認証ＤＢ１０４ｂ上のＭＡＣアドレスを検索する（ステップＳ６０３）。
【００６２】
そして、認証サーバ１０４ａは、認証ＤＢ１０４ｂ上の端末１０１に該当するＭＡＣアドレスの有無を判断する（ステップＳ６０４）。認証ＤＢ１０４ｂ上に端末１０１に該当するＭＡＣアドレスがあれば（ステップＳ６０４：Ｎｏ）、認証結果として認証成功（ＯＫ）を設定し（ステップＳ６０４ａ）、ステップＳ６１２に移行する。
【００６３】
一方、認証ＤＢ１０４ｂ上に端末１０１に該当するＭＡＣアドレスがなければ（ステップＳ６０４：Ｙｅｓ）、現在の時刻が業務時間内であるか判断する（ステップＳ６０５）。予め端末１０１毎に業務時間を収容情報テーブル３２３に設定可能であり、例えば、９時〜１７時の業務時間を設定できる。そして、端末１０１の通信開始がこの業務時間内でなければ（ステップＳ６０５：Ｎｏ）、認証結果として認証否許可（ＮＧ）を設定し（ステップＳ６０５ａ）、ステップＳ６１２に移行する。
【００６４】
一方、端末１０１の通信開始が業務時間内であれば（ステップＳ６０５：Ｙｅｓ）、テーブル参照処理部３２２によるテーブル参照処理を行わせる（ステップＳ６０６、詳細は後述する）。このテーブル参照処理部３２２によるテーブル参照処理の結果、参照結果が一致しなければ（ステップＳ６０７：Ｎｏ）、認証結果として認証否許可（ＮＧ）を設定し（ステップＳ６０７ａ）、ステップＳ６１２に移行する。
【００６５】
一方、テーブル参照処理部３２２によるテーブル参照処理の結果、参照結果が一致すれば（ステップＳ６０７：Ｙｅｓ）、次に、認証処理部３２１は、テーブル精査処理部３２４によるテーブル精査処理を行わせる（ステップＳ６０８、詳細は後述する）。テーブル精査処理では、テーブル参照処理により得られた端末１０１の情報を収容情報テーブル３２３の情報と一致比較する。このテーブル精査処理部３２４によるテーブル精査処理の結果、精査結果が一致しなければ（ステップＳ６０９：Ｎｏ）、認証結果として認証否許可（ＮＧ）を設定し（ステップＳ６０９ａ）、ステップＳ６１２に移行する。
【００６６】
一方、テーブル精査処理部３２４によるテーブル精査処理の結果、精査結果が一致すれば（ステップＳ６０９：Ｙｅｓ）、認証結果として認証成功（ＯＫ）を設定する（ステップＳ６１０）。そして、認証ＤＢ１０４ｂに対象の端末１０１のＭＡＣアドレスを書き込み、登録する（ステップＳ６１１）。
【００６７】
ステップＳ６１２では、認証処理部３２１は、上記認証結果（ＯＫ／ＮＧ）をＬ２スイッチ１１２に返答し（ステップＳ６１２）、以上の端末１０１の接続毎の認証処理を終了する。以後、端末１０１は、認証成功（ＯＫ）されれば、利用センター１０３に接続して通信サービスを受けることができ、認証否許可（ＮＧ）となれば、利用センター１０３へ接続できず、通信サービスを受けることはできない。
【００６８】
上記のように、認証処理部３２１は、認証ＤＢ１０４ｂの登録に必要な端末１０１の精査情報をネットワーク機器（Ｌ２スイッチ１１２、Ｌ３スイッチ１１３）から参照するテーブル参照処理部３２２を呼び出し処理させる。また、参照した端末１０１の精査情報が認証ＤＢ１０４ｂの登録に正しいか否かを精査するテーブル精査処理部３２４を呼び出して処理させる。そして、精査の結果、登録可能となった端末１０１のＭＡＣアドレスを認証ＤＢ１０４ｂに登録し、精査結果を認証結果（ＯＫ／ＮＧ）として端末１０１に返信する。
【００６９】
（ＡＲＰ要求前後のテーブル情報）
上記処理によるＡＲＰ要求前後のＭＡＣテーブル、およびＡＲＰテーブルに対する端末情報の追加状態を説明する。図７は、ＡＲＰ要求前後のＭＡＣテーブルの変化を示す図表である。Ｌ２スイッチ１１２のＭＩＢ３０３のＭＡＣテーブルの変化の一例を示している。図７の（ａ）に示すように、Ｌ２スイッチ１１２がＡＲＰ要求を受信する前のＭＩＢ（ＭＡＣテーブル）３０３には一つの端末１０１の情報（Ｌ２スイッチ１１２のポート番号と端末１０１のＭＡＣアドレス、その他エージングタイム等）が格納されていたとする。そして、上記処理により、図７の（ｂ）に示すようにＡＲＰ要求受信後には、新規の端末１０１について、新たなエントリ３０３ａが追加（書き込み）される。このエントリ３０３ａとしては、端末１０１が接続されたＬ２スイッチ１１２のポート番号と、ＭＡＣアドレスと、エージングタイム、の情報がそれぞれ追加される。
【００７０】
図８は、ＡＲＰ要求前後のＡＲＰテーブルの変化を示す図表である。Ｌ３スイッチ１１３のＭＩＢ３１２のＡＲＰテーブルの変化の一例を示している。図８の（ａ）に示すように、Ｌ３スイッチ１１３がＡＲＰ要求を受信する前のＭＩＢ（ＡＲＰテーブル）３１２がある一つの端末１０１の情報だけであったとする。そして、上記処理により、Ｌ３スイッチ１１３に端末１０１からのＡＲＰ要求が送信されると、図８の（ｂ）に示すようにＡＲＰ要求受信後には、新規の端末１０１について、新たなエントリ３１２ａが追加（書き込み）される。このエントリ３１２ａとしては、端末１０１のＩＰアドレスと、ＭＡＣアドレスと、残り生存時間と、論理インタフェース、の情報がそれぞれ追加される。
【００７１】
（テーブル参照処理）
図９は、認証サーバが行うテーブル参照処理の詳細を示すフローチャートである。この図９は、図６のステップＳ６０６の処理内容の詳細である。認証サーバ１０４ａのテーブル参照処理部３２２が行うテーブル参照処理を処理順に説明する。
【００７２】
はじめに、テーブル参照処理部３２２は、対象端末１０１のＭＡＣアドレスに基づき、収容情報テーブル３２３を検索し、対象端末１０１のＭＡＣアドレスを収容しているＬ２スイッチ１１２の機器ＩＰアドレスを求める（ステップＳ９０１）。
【００７３】
次に、求められたＬ２スイッチ１１２の機器ＩＰアドレスに対応するセグメント内先頭ホストアドレスをＬ３スイッチ１１３の機器ＩＰアドレスとする（ステップＳ９０２）。      
【００７４】
次に、Ｌ２スイッチ１１２に収容されている端末１０１が接続されたポート番号を得る処理を行う。対象とする端末１０１のＭＡＣアドレスがＭＩＢ（ＭＡＣテーブル）３０３のどの位置に格納されているか不明であるため、はじめにＬ２スイッチ１１２のポート数分のＭＡＣテーブル検索を行う（ステップＳ９０３）。ポート数分の検索中は（ステップＳ９０３：Ｙｅｓ）、ステップＳ９０４に移行し、全ポート分の検索が終了すれば（ステップＳ９０３：Ｎｏ）、ステップＳ９１０に移行する。
【００７５】
ステップＳ９０４では、Ｌ２スイッチ１１２の機器ＩＰアドレスを指定して、端末１０１を収容するＬ２スイッチ１１２のＭＩＢ（ＭＡＣテーブル）３０３から対象の端末１０１のＭＡＣアドレスのレコード（接続された端末１０１のポート番号を含む）を取得する。テーブル参照処理部３２２は、Ｌ２スイッチ１１２に対して、所定のコマンド、例えば、ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）メッセージのＭＩＢゲットのコマンドを送出する。これにより、テーブル参照処理部３２２は、Ｌ２スイッチ１１２のＭＩＢ（ＭＡＣテーブル）３０３から対象の端末１０１のＭＡＣアドレスのレコードを取得する（ステップＳ９０４）。
【００７６】
そして、テーブル参照処理部３２２は、取得したＭＩＢ（ＭＡＣテーブル）３０３のＭＡＣアドレスが対象端末（図４にて通信要求した新規の端末）１０１のＭＡＣアドレスと等しいか判断する（ステップＳ９０５）。両者が一致すれば（ステップＳ９０５：Ｙｅｓ）、ステップＳ９０６に移行し、両者が一致しなければ（ステップＳ９０５：Ｎｏ）、ステップＳ９０３に戻る。
【００７７】
次に、Ｌ３スイッチ１１３に接続されている端末１０１のＩＰアドレスを得る処理を行う。ステップＳ９０６では、対象とする端末１０１のＭＡＣアドレスがＭＩＢ（ＡＲＰテーブル）３１２のどの位置に格納されているか不明であるため、はじめにＬ３スイッチ１１２のインターフェース数分のＡＲＰテーブル検索を行う（ステップＳ９０６）。ポート数分の検索中は（ステップＳ９０６：Ｙｅｓ）、ステップＳ９０７に移行し、全ポート分の検索が終了すれば（ステップＳ９０６：Ｎｏ）、ステップＳ９１０に移行する。
【００７８】
ステップＳ９０７では、Ｌ３スイッチ１１３の機器ＩＰアドレスを指定して、端末１０１に接続されたＬ３スイッチ１１３のＭＩＢ（ＡＲＰテーブル）３１２から対象の端末１０１のＭＡＣアドレスのレコード（接続された端末１０１のＩＰアドレスを含む）を取得する。例えば、テーブル参照処理部３２２は、Ｌ３スイッチ１１３に対して、ＳＮＭＰメッセージのＭＩＢゲットのコマンドを送出する。これにより、テーブル参照処理部３２２は、Ｌ３スイッチ１１３のＭＩＢ（ＡＲＰテーブル）３１２から対象の端末１０１のＭＡＣアドレスのレコードを取得する（ステップＳ９０７）。
【００７９】
そして、テーブル参照処理部３２２は、取得したＭＩＢ（ＡＲＰテーブル）３１２のＭＡＣアドレスが対象端末（図４にて通信要求した新規の端末）１０１のＭＡＣアドレスと等しいか判断する（ステップＳ９０８）。両者が一致すれば（ステップＳ９０８：Ｙｅｓ）、ステップＳ９０９に移行し、両者が一致しなければ（ステップＳ９０８：Ｎｏ）、ステップＳ９０６に戻る。
【００８０】
ステップＳ９０９では、Ｌ２スイッチ１１２およびＬ３スイッチ１１３からそれぞれ端末１０１のＭＡＣアドレスに対応するＭＩＢ（ＭＡＣテーブル３０３，ＡＲＰテーブル３１２）を取得できたため、参照処理が完了したこと（参照ＯＫ）を設定する（ステップＳ９０９）。また、ステップＳ９１０では、Ｌ２スイッチ１１２あるいはＬ３スイッチ１１３から取得した端末１０１のＭＡＣアドレスに対応するＭＩＢ（ＭＡＣテーブル３０３，ＡＲＰテーブル３１２）が取得できなかったことに相当するため、参照処理ができなかったこと（参照ＮＧ）を設定する（ステップＳ９１０）。
【００８１】
これらステップＳ９０９およびステップＳ９１０の実行後、テーブル参照処理部３２２は、認証処理（図４のステップＳ４１３）へ処理を移行させる（ステップＳ９１１）。
【００８２】
図１０は、テーブル参照処理により参照される各テーブルを示す図表である。図９のテーブル参照処理によって参照される各テーブルを示している。図１０の（ａ）は、認証サーバ１０４ａ内の収容情報テーブル３２３であり、図９のステップＳ９０１において参照される。この収容情報テーブル３２３は、ネットワーク設計時等に予め作成され、端末１０１のＭＡＣアドレスとＩＰアドレス（およびこの端末１０１を収容するＬ２スイッチ１１２の機器ＩＰアドレス）との対応が格納されている。例えば、対象端末１０１のＭＡＣアドレス１００１が「５０−２６−９０−ｃｃ−ｄ２−１２」であるとする。テーブル参照処理部３２２は、このＭＡＣアドレスの端末１０１を収容する項目「２」のＬ２スイッチ１１２の機器ＩＰアドレス１００２として「１９２．１６８．１．２５４」を得る。
【００８３】
図１０の（ｂ）は、Ｌ２スイッチ１１２内のＭＩＢ（ＭＡＣテーブル）３０３であり、図９のステップＳ９０４により参照し取得される。対象端末１０１のＭＡＣアドレス１００１は「５０−２６−９０−ｃｃ−ｄ２−１２」であり、テーブル参照処理部３２２は、このＭＡＣアドレス１００１が「５０−２６−９０−ｃｃ−ｄ２−１２」のレコードを取得する。このレコードには、端末１０１を収容するＬ２スイッチ１１２のポート番号１０１２として「２」が含まれる。
【００８４】
図１０の（ｃ）は、Ｌ３スイッチ１１３内のＭＩＢ（ＡＲＰテーブル）３１２であり、図９のステップＳ９０７において参照し取得される。対象端末１０１のＭＡＣアドレス１００１は「５０−２６−９０−ｃｃ−ｄ２−１２」であり、テーブル参照処理部３２２は、このＭＡＣアドレス１００１が「５０−２６−９０−ｃｃ−ｄ２−１２」のレコードを取得する。このレコードには、端末１０１のＩＰアドレス１０２２として「１９２．１６８．１．３２」が含まれる。
【００８５】
図１１は、Ｌ３スイッチの機器ＩＰアドレスの求め方を説明する図である。図９のステップＳ９０２におけるＬ３スイッチ１１３の機器ＩＰアドレスの求め方について説明する。Ｌ３スイッチ１１３の機器ＩＰアドレスは、接続されたＬ２スイッチ１１２の機器ＩＰアドレスに対応するセグメント内先頭ホストアドレスを求めることにより得る。図１１に示す例では、対象端末１０１を収容するＬ２スイッチ１１２の機器アドレス１００２が「１９２．１６８．１．２５４」である。Ｌ２スイッチ１１２の機器ＩＰアドレスに対応するセグメント内先頭ホストアドレスは、末尾が「１」であるため、「１９２．１６８．１．１」となり、この値をＬ３スイッチ１１３の機器ＩＰアドレス１１０２とする。
【００８６】
図１２は、認証要求パケットの構成例を示す図表である。図４のステップＳ４０５においてＬ２スイッチ１１２が認証サーバ１０４ａに送信するＩＰパケットの例を示す。ＩＰパケット１２００は、ＭＡＣヘッダ部１２０１と、ＩＰヘッダ部１２０２と、ＵＤＰヘッダ部１２０３と、ＲＡＤＩＵＳパケット１２０４とを含む。
【００８７】
ＲＡＤＩＵＳパケット１２０４は、コード１２１１と、識別子１２１２と、パケット長１２１３と、認証符号１２１４と、属性データ１２１５とを含む。コード１２１１は、「１」がＡｃｃｅｓｓ−Ｒｅｑｕｅｓｔ、「２」がＡｃｃｅｓｓ−Ａｃｃｅｐｔ、「３」がＡｃｃｅｓｓ−Ｒｅｊｅｃｔを示す。認証要求時には、「１」を設定する。また識別子１２１２は認証要求と認証応答とを対応づけるために設定される番号である。
【００８８】
属性データ１２１５は、タイプ１２２１と、データ長１２２２と、データ（ＥＡＰパケット）１２２３とを含む。認証において、例えば、ＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）のメッセージを伝送するために、ＥＡＰＯＬ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ  ｏｖｅｒ  ＬＡＮ）を用いる。ＥＡＰパケット（ＥＡＰＯＬフレーム）１２２３は、プロトコルバージョン１２３１、パケットタイプ１２３２、パケットボディ長１２３３、パケットボディ１２３４を含む。パケットタイプ１２３２は、「００」がＥＡＰメッセージ、「０１」がＥＡＰＯＬ開始フレーム、「０２」がＥＡＰＯＬログオフフレーム、「０３」がＥＡＰＯＬキーフレーム、「０４」がＡＳＦ形式のアラート情報をカプセル化したフレームを示す。認証要求時には、「００」を設定する。
【００８９】
パケットボディ１２３４には、ＥＡＰメッセージが格納される。ＥＡＰメッセージは、コード１２４１と、ＩＤ１２４２と、長さ１２４３と、タイプ１２４４と、データ１２４５とを含む。データ１２４５はデータタイプと、データ長と、データとを含む。コード１２４１は、「１」がＲｅｑｕｅｓｔ（要求）、「２」がＲｅｓｐｏｎｓｅ（応答）、「３」がＳｕｃｃｅｓｓ（成功）、「４」がＦａｉｌｕｒｅ（失敗）を示す。認証要求時には、「１」を設定する。ＩＤ１２４２は、ＲｅｑｕｅｓｔとＲｅｓｐｏｎｓｅを対応づけるために設定される番号である。タイプ１２４４は、ＥＡＰの認証方式の種別であり、ＥＡＰ−ＭＤ５、ＥＡＰ−ＴＬＳ、ＥＡＰ−ＰＥＡＰ、ＰＡＰ等が設定される。実施の形態では、例えば、ＰＡＰ（Ｐａｓｓｗｏｒｄ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）を設定する。データ１２４５にはデータタイプとして、「１」ＵｓｅｒＮａｍｅ、「４」Ａｕｔｈｅｎｔｉｃａｔｏｒ  ＩＰ  Ａｄｄｒｅｓｓ、「８１」ＶＬＡＮ等が設定される。実施の形態では、データタイプに「１」と、所定のサイズと、端末１０１のＭＡＣアドレスが設定される。
【００９０】
（テーブル精査処理）
図１３は、認証サーバが行うテーブル精査処理の詳細を示すフローチャートである。この図１３は、図６のステップＳ６０８の処理内容の詳細である。認証サーバ１０４ａのテーブル精査処理部３２４が行うテーブル精査処理を処理順に説明する。
【００９１】
はじめに、テーブル精査処理部３２４は、収容情報テーブル３２３を順に検索し、データ数をカウントするためのカウンタに１を設定する（ステップＳ１３０１）。次に、カウンタの値が収容情報テーブル３２３のデータ数以内であるか判断する（ステップＳ１３０２）。カウンタの値が収容情報テーブル３２３のデータ数以内であれば（ステップＳ１３０２：Ｙｅｓ）、ステップＳ１３０３に移行する。カウンタの値が収容情報テーブル３２３のデータ数を超えれば（ステップＳ１３０２：Ｎｏ）、テーブル精査処理部３２４は、端末１０１がＭＡＣアドレス、ＩＰアドレス両方の成りすましと判断する。そして、精査結果として認証否許可（ＮＧ）を設定する（ステップＳ１３０８）。この後、ステップＳ１３０７の処理に移行する。
【００９２】
ステップＳ１３０３では、テーブル参照処理部３２２により取得した端末１０１に関するＬ２スイッチ１１２のＭＩＢ（ＭＡＣテーブル）３０３のデータ内容を精査する。具体的には、取得したＭＩＢ（ＭＡＣテーブル）３０３のレコード上の端末１０１が接続されるポート番号に基づき、収容情報テーブル３２３を検索する。そして、端末１０１について、ＭＩＢ（ＭＡＣテーブル）３０３のデータ（ポート番号とＭＡＣアドレス）と、収容情報テーブル３２３のデータ（ポート番号とＭＡＣアドレス）とが異なるか否かを判断する（ステップＳ１３０３）。データが異なれば（ステップＳ１３０３：Ｙｅｓ）、カウンタに１をプラスし（ステップＳ１３０４）、ステップＳ１３０２に戻る。データが一致すれば（ステップＳ１３０３：Ｎｏ）、ステップＳ１３０５に移行する。
【００９３】
ステップＳ１３０５では、テーブル参照処理部３２２により取得した端末１０１に関するＬ３スイッチ１１３のＭＩＢ（ＡＲＰテーブル）３１２のデータ内容を精査する。具体的には、取得したＭＩＢ（ＡＲＰテーブル）３１２のレコード上の端末１０１のＩＰアドレスに基づき、収容情報テーブル３２３を検索する。そして、端末１０１について、ＭＩＢ（ＡＲＰテーブル）３１２の端末１０１のデータ（ＭＡＣアドレスとＩＰアドレス）の一致を判断する（ステップＳ１３０５）。これらＭＡＣアドレスとＩＰアドレスが一致すれば（ステップＳ１３０５：Ｙｅｓ）、テーブル精査処理部３２４は、精査結果として認証成功（ＯＫ）を設定する（ステップＳ１３０６）。この後、ステップＳ１３０７の処理に移行する。
【００９４】
一方、これらＭＡＣアドレスまたはＩＰアドレスが一致しなければ（ステップＳ１３０５：Ｎｏ）、テーブル精査処理部３２４は、端末１０１がＭＡＣアドレスまたはＩＰアドレスの成りすましと判断する。そして、精査結果として認証否許可（ＮＧ）を設定する（ステップＳ１３０９）。この後、ステップＳ１３０７の処理に移行する。
【００９５】
そして、テーブル精査処理部３２４は、ステップＳ１３０６、ステップＳ１３０８、ステップＳ１３０９の各処理後、認証処理（図６のステップＳ６０９）に戻る（ステップＳ１３０７）。
【００９６】
また、テーブル精査処理部３２４は、ステップＳ１３０８の処理において、認証処理部３２１に対して、端末１０１がＭＡＣアドレス、ＩＰアドレス両方の成りすまし（偽装）の可能性がある旨の情報を、例えば運用管理サーバ等に出力してもよい。同様に、ステップＳ１３０９の処理において、認証処理部３２１に対して、端末１０１がＭＡＣアドレスまたはＩＰアドレスの成りすまし（偽装）の可能性がある旨の情報を運用管理サーバ等に出力してもよい。
【００９７】
（認証ＤＢへの端末情報の登録）
図１４は、認証ＤＢへの端末情報の登録状態を示す説明図である。図１３に示したテーブル精査処理部３２４のテーブル精査処理に対応する図を示している。図１３のステップＳ１３０３による処理により、（１）収容情報テーブル３２３を順にポート番号とＭＡＣアドレスを用いて一致検索する。この後、（２）収容情報テーブル３２３を順にＩＰアドレスとＭＡＣアドレスを用いて一致検索する。これらにより、端末１０１に関して、ポート番号と、ＭＡＣアドレスと、ＩＰアドレスの一致を判断することができ、全てが一致することにより、正当な端末１０１であることを認証できる。
【００９８】
これにより、認証処理部３２１は、（３）精査結果が一致した端末１０１のＭＡＣアドレス「５０−２６−９０−ｃｃ−ｄ２−１２」を認証対象の端末として認証ＤＢ１０４ｂに追加登録する。この後、認証処理部３２１は、テーブル精査処理部３２４からの精査処理の完了に基づき、精査結果を認証結果として端末１０１に返信する。
【００９９】
上記実施の形態によれば、端末の通信開始日前に端末のＭＡＣアドレスを認証サーバに事前に登録しておく必要がない。認証サーバにＭＡＣアドレスを登録しておかなくても、端末が通信を開始した都度、認証サーバが端末の認証を行う。そして、認証サーバは端末の認証成功により認証ＤＢに端末のＭＡＣアドレスを自動登録する。これにより、運用管理者の都合に関係なく、正規な端末の利用者は、端末を使用したいときに確実に使えるようになる。同時に、運用者が事前に行う認証サ−バ登録作業自体を不要にできるため、事前の認証サーバへのＭＡＣアドレスの登録作業を不要にできる。
【０１００】
また、ＭＡＣアドレスを認証サーバに登録する際には、端末の情報を精査する。この精査では、端末の情報であるＭＡＣアドレスとＩＰアドレスの関係以外に、ＭＡＣアドレスとＬ２スイッチに接続されているポート情報の関係も含めて検証する。これにより、正式な接続収容位置からの通信でなければ認証成功しないため、端末そのものが偽った不正端末を排除することができ、認証精度を高めることができる。
【０１０１】
（他の実施の形態）
上述した実施の形態では、端末のＭＡＣアドレスが認証ＤＢ１０４ｂに未登録の状態において、新規の端末１０１からの通信の都度、認証ＤＢ１０４ｂの構築を行うため、複数の新規の端末１０１に対して異なるタイミングでそれぞれ認証することになる。このため、認証ＤＢ１０４ｂの構築は、新規の端末１０１からの通信開始に依存し、所定の時間がかかる。
【０１０２】
以下に説明する他の実施の形態では、システム（認証サーバ１０４ａ）側から複数の新規の端末１０１に対して一斉に認証要求を行わせ、複数の新規の端末１０１を含む認証ＤＢ１０４ｂを一括構築する構成例について説明する。
【０１０３】
具体的には、システム（認証サーバ１０４ａ）側から全ての端末１０１に対して一斉に認証要求を行わせる一括認証用コマンドを送信する。例えば、ディレクティッド・ブロードキャスト・アドレス指定のＰｉｎｇコマンドを該当拠点ネットワーク内のＬ３スイッチ１１３配下のサブネットに対して送信する。これにより、各端末１０１が一斉応答し、全ての新規の端末１０１に対する認証処理を一括して行うことができる。
【０１０４】
図１５は、他の実施の形態にかかる端末認証の全体処理を示すシーケンス図である。図１５には、端末１０１として２台の端末Ａ１０１ａと端末Ｂ１０１ｂとを記載してある。また、図４と同様の処理には同一の符号を付してある。はじめに、認証サーバ１０４ａの初期立ち上がり時（運用開始時）等に、端末１０１に認証要求を行わせるＰｉｎｇコマンドを生成する（ステップＳ１５０１）。そして、認証サーバ１０４ａは、この認証サーバ１０４ａが管理する全ての端末Ａ，Ｂ（１０１ａ，１０１ｂ）に対してディレクティッド・ブロードキャスト・アドレス指定により、Ｐｉｎｇ要求を送信する（ステップＳ１５０２）。
【０１０５】
Ｐｉｎｇ要求を受信した全ての端末Ａ，Ｂ（１０１ａ，１０１ｂ）は、認証サーバ１０４ａにＰｉｎｇ応答を返す。これに先立ち全ての端末Ａ，Ｂ（１０１ａ，１０１ｂ）は、認証サーバ１０４ａ宛ての送信先ゲートウェイのＭＡＣアドレスを求めるために、ＡＲＰ処理を開始する。
【０１０６】
一つの端末Ａ（１０１ａ）について説明すると、この端末Ａ（１０１ａ）のＡＲＰ要求（ステップＳ４０２）は、Ｌ２スイッチ１１２を経由してＬ３スイッチ１１３に到達する。このとき、Ｌ２スイッチ１１２上のＭＩＢ（ＭＡＣテーブル）３０３と、Ｌ３スイッチ１１３上のＭＩＢ（ＡＲＰテーブル）３１２には、それぞれ端末Ａ（１０１ａ）の情報（ＭＡＣアドレス、ポート番号、ＩＰアドレス等）が書き込まれる。Ｌ３スイッチ１１３は、端末Ａ（１０１ａ）にＡＲＰ応答を返す（ステップＳ４０３）。
【０１０７】
以後、端末Ａ（１０１ａ）についての認証処理が行われる。この認証処理（ステップＳ１５０４）は、上記実施の形態と同じである。開始時に、端末Ａ（１０１ａ）は、認証サーバ１０４ａ側に対してＰｉｎｇ応答を返す点だけが異なる（ステップＳ１５０５）。以降、端末Ａ（１０１ａ）は、図４のステップＳ４０５〜ステップＳ４１７により認証処理される。
【０１０８】
また、端末Ｂ（１０１ｂ）の認証処理（ステップＳ１５０４）についても、端末Ｂ（１０１ｂ）がＰｉｎｇ要求（ステップＳ１５０２）を受けて、ＡＲＰ要求を行い（ステップＳ４０２）、端末Ａ（１０１ａ）の認証処理と並行して行うことができる。
【０１０９】
図１６は、他の実施の形態にかかる認証サーバが行う一括認証用コマンドの生成処理を示すフローチャートである。認証サーバ１０４ａは、ネットワーク設計時に設計された収容情報テーブル３２３（図１４等参照）を参照してＰｉｎｇを送信する機器ＩＰアドレスを設定する。
【０１１０】
認証サーバ１０４ａは、はじめに、収容情報テーブル３２３を順に検索し、データ数をカウントするためのカウンタに０を設定する（ステップＳ１６０１）。次に、カウンタの値が収容情報テーブル３２３のデータ数以内であるか判断する（ステップＳ１６０２）。カウンタの値が収容情報テーブル３２３のデータ数以内であれば（ステップＳ１６０２：Ｙｅｓ）、ステップＳ１６０３に移行する。カウンタの値が収容情報テーブル３２３のデータ数を超えれば（ステップＳ１６０２：Ｎｏ）、Ｐｉｎｇ送信する機器のＩＰアドレスを全て設定済みと判断し、通常の認証処理に戻る（ステップＳ１６０９）。
【０１１１】
ステップＳ１６０３では、カウンタに１をプラスし（ステップＳ１６０３）、収容情報テーブル３２３のカウンタに対応する項（レコード）の機器ＩＰアドレスと、検索済みＩＰアドレスが異なるか否かを判断する（ステップＳ１６０３）。この異同判断時に、収容情報テーブル３２３には、各機器毎に検索実行の有無を示すフラグを設定しておく。ステップＳ１６０３では、収容情報テーブル３２３の各機器ＩＰアドレスを読み込む際にフラグに基づいて検索の有無を判断し、未検索の項（レコード）を読み込む。そして、検索済みＩＰアドレスが一致すれば（ステップＳ１６０４：Ｎｏ）ステップＳ１６０２に戻り、異なれば（ステップＳ１６０４：Ｙｅｓ）、ステップＳ１６０５に移行する。
【０１１２】
ステップＳ１６０５では、機器ＩＰアドレスからディレクティッド・ブロードキャスト・アドレスを作成する（ステップＳ１６０５）。次に、作成したディレクティッド・ブロードキャスト・アドレス指定でＰｉｎｇコマンドを生成し、端末１０１に向けてＰｉｎｇコマンドを送信する（ステップＳ１６０６）。この後、検索済みＩＰアドレスに送信した端末の機器ＩＰアドレスを設定（フラグ設定）する（ステップＳ１６０７）。この後、カウンタの値が収容情報テーブル３２３のデータ数以内であれば（ステップＳ１６０８：Ｙｅｓ）、ステップＳ１６０２に戻る。カウンタの値が収容情報テーブル３２３のデータ数を超えれば（ステップＳ１６０８：Ｎｏ）、Ｐｉｎｇ送信する機器のＩＰアドレスを全て設定済みと判断し、通常の認証処理に戻る（ステップＳ１６０９）。
【０１１３】
上記処理によれば、認証サーバ１０４ａは、ディレクティッド・ブロードキャスト・アドレス指定のＰｉｎｇをネットワーク１００内のＬ３スイッチ１１３配下のサブネットに対して送信を行う。これに対し、ネットワーク１００内に存在する応答可能な全ての端末１０１が応答を返送する。認証サーバ１０４ａは、この応答を契機に各端末１０１からの認証要求を強制的に開始させることができる。
【０１１４】
そして、認証サーバは、運用開始前に拠点ネットワーク（Ｌ３スイッチ１１３）単位にディレクティッド・ブロードキャスト・アドレス指定のＰｉｎｇを送信することで、拠点ネットワーク内の電源が入った全ての端末１０１を認証サーバ１０４ａへ登録することが可能となる。このように、運用開始前の初期状態時点で全端末１０１を一括認証できるようになる。特に、この実施の形態によれば、端末１０１から利用センター１０３向けの通信開始を待つことなく、ネットワークセンター１０４（認証サーバ１０４ａ）の初期立ち上がり時に、認証サーバ１０４ａの認証ＤＢ１０４ｂの一括構築が可能となる。
【０１１５】
さらに、上記一括認証後の時期においては、認証サーバ１０４ａは、事前に電源が入っていなかった新規の端末１０１に対してのみ、通信開始時に認証を行い、認証ＤＢ１０４ｂへ登録処理することになる。これにより、認証サーバ１０４ａにおける認証ＤＢ１０４ｂ構築のための処理負荷を大幅に軽減でき、また、端末１０１に対する応答レスポンスも改善できる。
【０１１６】
以上説明した各実施の形態によれば、認証サーバの認証ＤＢが構築されていない状態であっても、新規に収容した端末の通信接続開始時にこの端末の認証処理を行うことができるようになる。これにより、新規の端末の通信開始前に認証ＤＢを作成しておかなくても、認証サーバが新規の端末の認証処理を行い、認証成功した端末の情報を認証ＤＢに登録でき、認証ＤＢを自動構築できるようになる。
【０１１７】
なお、本実施の形態で説明した認証方法は、予め用意されたプログラムをコンピュータで実行することにより実現することができる。また、このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、このプログラムは、インターネット等のネットワークを介して配布してもよい。
【０１１８】
上述した各実施の形態に関し、さらに以下の付記を開示する。
【０１１９】
（付記１）ネットワーク上の端末のネットワーク情報を格納する認証データベースと、
前記認証データベースに格納されたネットワーク情報に基づいて、前記端末を認証処理する認証処理部と、
前記認証データベースに未格納の前記端末からの通信要求時に、当該端末の認証に必要な前記端末のネットワーク情報をネットワーク機器から収集する収集部と、
前記収集部により収集された前記端末のネットワーク情報を、予め設定した前記ネットワーク上における前記端末の収容情報を用いて精査する精査部とを有し、
前記認証処理部は、前記精査部による精査の結果に基づいて正当な前記端末に関するネットワーク情報を前記認証データベースに登録することを特徴とする認証装置。
【０１２０】
（付記２）前記認証処理部は、前記端末の認証に必要な前記端末のネットワーク情報が前記認証データベースに未格納の場合、前記精査部による精査後に認証結果を前記端末に返答することを特徴とする付記１に記載の認証装置。
【０１２１】
（付記３）前記収集部は、前記ネットワーク機器であるレイヤ２スイッチと、レイヤ３スイッチのテーブルを参照して前記端末のネットワーク情報を収集することを特徴とする付記１または２に記載の認証装置。
【０１２２】
（付記４）前記収集部は、前記レイヤ２スイッチの機器ＩＰアドレスのセグメント内先頭ホストアドレスを前記レイヤ３スイッチの機器アドレスとして求め、当該レイヤ３スイッチのテーブルを参照することを特徴とする付記３に記載の認証装置。
【０１２３】
（付記５）前記認証処理部は、前記端末のＭＡＣアドレス認証を行うものであり、
予め設定した前記ネットワーク上における前記端末の収容情報として、ＭＡＣアドレスと、ＩＰアドレスと、収容ポートとを対応づけて保有するテーブルを有し、
前記収集部は、レイヤ２スイッチから前記端末のＭＡＣアドレスに対応する収容ポートを収集し、レイヤ３スイッチから前記端末のＭＡＣアドレスに対応するＩＰアドレスを収集し、
前記精査部は、前記収集部により収集した前記端末のネットワーク情報を、前記テーブルに保有された予め設定した前記ネットワーク上における前記端末の収容情報との一致判別に基づいて精査し、
前記精査部による精査の結果に基づいて、正当な前記端末のＭＡＣアドレスを前記認証データベースに登録することを特徴とする付記１〜４のいずれか一つに記載の認証装置。
【０１２４】
（付記６）前記認証処理部は、前記端末の認証に必要な前記ネットワーク上における前記端末のネットワーク情報が前記認証データベースに未格納の場合、前記端末の認証処理に時間帯制限を設けたことを特徴とする付記１〜５のいずれか一つに記載の認証装置。
【０１２５】
（付記７）前記認証処理部は、前記時間帯制限として所定の業務時間内における前記端末からの通信要求に対して、前記認証処理を行うことを特徴とする付記６に記載の認証装置。
【０１２６】
（付記８）前記認証処理部は、前記ネットワーク上の複数の前記端末に対して一斉に認証要求を行わせる所定のコマンドを送出し、複数の端末からの認証要求に基づく認証処理を開始することを特徴とする付記１〜７のいずれか一つに記載の認証装置。
【０１２７】
（付記９）前記認証処理部は、前記端末に対して一斉に認証要求を行わせる所定のコマンドとしてＰｉｎｇコマンドを用い、ディレクティッド・ブロードキャスト・アドレス指定により前記ネットワーク内の前記レイヤ３スイッチ配下のサブネットに対して送信することを特徴とする付記８に記載の認証装置。
【０１２８】
（付記１０）ネットワーク上の端末を認証する認証方法において、
認証データベースに格納された前記ネットワーク上の端末のネットワーク情報に基づいて、前記端末を認証処理する認証処理工程と、
前記認証データベースに未格納の前記端末からの通信要求時に、当該端末の認証に必要な前記端末のネットワーク情報をネットワーク機器から収集する収集工程と、
前記収集工程により収集された前記端末のネットワーク情報を、予め設定した前記ネットワーク上における前記端末の収容情報を用いて精査する精査工程とを含み、
前記認証処理工程は、前記精査工程による精査の結果に基づいて正当な前記端末に関するネットワーク情報を前記認証データベースに登録することを特徴とする認証方法。
【０１２９】
（付記１１）前記認証処理工程は、前記端末の認証に必要な前記端末のネットワーク情報が前記認証データベースに未格納の場合、前記精査工程による精査後に認証結果を前記端末に返答することを特徴とする付記１０に記載の認証方法。
【０１３０】
（付記１２）前記収集工程は、前記ネットワーク機器であるレイヤ２スイッチと、レイヤ３スイッチのテーブルを参照して前記端末のネットワーク情報を収集することを特徴とする付記１０または１１に記載の認証方法。
【０１３１】
（付記１３）前記収集工程は、前記レイヤ２スイッチの機器ＩＰアドレスのセグメント内先頭ホストアドレスを前記レイヤ３スイッチの機器アドレスとして求め、当該レイヤ３スイッチのテーブルを参照することを特徴とする付記１２に記載の認証方法。
【０１３２】
（付記１４）前記認証処理工程は、前記端末のＭＡＣアドレス認証を行うものであり、
予め設定した前記ネットワーク上における前記端末の収容情報として、ＭＡＣアドレスと、ＩＰアドレスと、収容ポートとを対応づけて保有し、
前記収集工程は、レイヤ２スイッチから前記端末のＭＡＣアドレスに対応する収容ポートを収集し、レイヤ３スイッチから前記端末のＭＡＣアドレスに対応するＩＰアドレスを収集し、
前記精査工程は、前記収集工程により収集した前記端末のネットワーク情報を、前記テーブルに保有された予め設定した前記ネットワーク上における前記端末の収容情報との一致判別に基づいて精査し、
前記精査工程による精査の結果に基づいて、正当な前記端末のＭＡＣアドレスを前記認証データベースに登録することを特徴とする付記１０〜１３のいずれか一つに記載の認証方法。
【０１３３】
（付記１５）前記認証処理工程は、前記ネットワーク上の複数の前記端末に対して一斉に認証要求を行わせる所定のコマンドを送出し、複数の端末からの認証要求に基づく認証処理を開始することを特徴とする付記１０〜１４のいずれか一つに記載の認証方法。
【符号の説明】
【０１３４】
１００  ネットワーク
１０１  端末
１０２  ネットワーク網
１０３  利用センター
１０４  ネットワークセンター
１０４ａ  認証サーバ
１１２  レイヤ２スイッチ
１１３  レイヤ３スイッチ
３０１  スイッチ部
３０２  オーセンティケータ機能部
３０３  ＭＩＢ（ＭＡＣテーブル）
３１２  ＭＩＢ（ＡＲＰテーブル）
３２１  認証処理部
３２２  テーブル参照処理部
３２３  収容情報テーブル
３２４  テーブル精査処理部
【図１】
2014186703.tif 000003
【図２】
2014186703.tif 000004
【図３】
2014186703.tif 000005
【図４】
2014186703.tif 000006
【図５】
2014186703.tif 000007
【図６】
2014186703.tif 000008
【図７】
2014186703.tif 000009
【図８】
2014186703.tif 000010
【図９】
2014186703.tif 000011
【図１０】
2014186703.tif 000012
【図１１】
2014186703.tif 000013
【図１２】
2014186703.tif 000014
【図１３】
2014186703.tif 000015
【図１４】
2014186703.tif 000016
【図１５】
2014186703.tif 000017
【図１６】
2014186703.tif 000018