(57)【要約】【課題】ネットワークトラフィックを軽減し、認証処理をより高速化する。【解決手段】ルーティング装置３は、論理アドレスおよび物理アドレスを登録した認証テーブルと、端末装置４からデータを受信する受信手段と、送信元端末装置４の送信元論理アドレスおよび送信元物理アドレスが認証テーブルに存在するか否かを判別するとともに、宛先となる装置の宛先論理アドレスおよび宛先物理アドレスが認証テーブルに存在するか否かを判別する認証手段と、を有する。【選択図】図１
2006013732.tif 000002
【特許請求の範囲】
【請求項１】
ルーティング装置であって、
少なくとも１つの情報処理装置の論理アドレスおよび物理アドレスを登録した認証テーブルを記憶する第１の記憶手段と、
情報処理装置からデータを受信する受信手段と、
前記データに含まれる送信元情報処理装置の送信元論理アドレスおよび送信元物理アドレスが前記認証テーブルに存在するか否かを判別するとともに、前記データに含まれる宛先情報処理装置の宛先論理アドレスおよび宛先物理アドレスが前記認証テーブルに存在するか否かを判別する認証手段と、を有し、
前記認証手段は、
前記送信元論理アドレスおよび前記送信元物理アドレスが前記認証テーブルに存在しない場合、または、前記宛先論理アドレスおよび前記宛先物理アドレスが前記認証テーブルに存在しない場合、前記受信手段が受信したデータを破棄し、
前記送信元論理アドレスおよび前記送信元物理アドレスが前記認証テーブルに存在する場合、または、前記宛先論理アドレスおよび前記宛先物理アドレスが前記認証テーブルに存在する場合、前記受信手段が受信したデータを送出すること
を特徴とするルーティング装置。
【請求項２】
請求項１記載のルーティング装置であって、
ネットワークと接続するための少なくとも１つのポートと、
前記各ポートのなかで、認証対象となるポートのポート識別情報が記憶された構成定義テーブルを記憶する第２の記憶手段と、をさらに有し、
前記認証手段は、
前記データを受信した受信ポートのポート識別情報が、前記構成定義テーブルに存在するか否かを判別し、前記受信ポートのポート識別情報が前記構成定義テーブルに存在する場合、前記送信元論理アドレスおよび前記送信元物理アドレスが前記認証テーブルに存在か否かを判別し、    
前記データを転送する送信ポートのポート識別情報が、前記構成定義テーブルに存在するか否かを判別し、前記送信ポートのポート識別情報が前記構成定義テーブルに存在する場合、前記宛先論理アドレスおよび前記宛先物理アドレスが前記認証テーブルに存在か否かを判別すること
を特徴とするルーティング装置。
【請求項３】
請求項１記載のルーティング装置であって、
外部システムから当該ルーティング装置に接続された少なくとも１つの情報処理装置の論理アドレスおよび物理アドレスを含む登録データを受信し、当該登録データにもとづいて、前記認証テーブルを作成するテーブル管理手段を、さらに有すること
を特徴とするルーティング装置。
【請求項４】
請求項１記載のルーティング装置であって、
前記論理アドレスはＩＰアドレスであって、前記物理アドレスはＭＡＣアドレスであること
を特徴とするルーティング装置。
【請求項５】
ルーティング装置が行う、ネットワークに接続された情報処理装置の認証方法であって、
前記ルーティング装置は、少なくとも１つの情報処理装置の論理アドレスおよび物理アドレスが登録された認証テーブルを記憶する記憶部と、演算処理部とを有し、
前記演算処理部は、
情報処理装置から送信されたデータを受信する受信ステップと、
前記データに含まれる送信元情報処理装置の送信元論理アドレスおよび送信元物理アドレスが、前記認証テーブルに存在するか否かを判別するとともに、前記データに含まれる宛先情報処理装置の宛先論理アドレスおよび宛先物理アドレスが、前記認証テーブルに存在するか否かを判別する認証ステップとを実行し、
前記認証ステップにおいて、
前記送信元論理アドレスおよび前記送信元物理アドレスが前記認証テーブルに存在しない場合、または、前記宛先論理アドレスおよび前記宛先物理アドレスが前記認証テーブルに存在しない場合、前記受信ステップにおいて受信したデータを破棄し、
前記送信元論理アドレスおよび前記送信元物理アドレスが前記認証テーブルに存在する場合、または、前記宛先論理アドレスおよび前記宛先物理アドレスが前記認証テーブルに存在する場合、前記受信ステップにおいて受信したデータを送出すること、
を特徴とする情報処理装置の認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続された情報処理装置の認証技術に関する。
【背景技術】
【０００２】
特許文献１には、管理サーバが、端末装置およびルーティング装置にアドレス情報を要求し、端末装置の正当性を判別する端末装置の認証方法が開示されている。
【０００３】
【特許文献１】特開２００３−３０３１７４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１に記載の認証方法では、第一段階として、管理サーバは、端末装置に当該端末装置のアドレス情報を要求し、要求したアドレス情報が正当か否かを判別する。そして、第２段階として、管理サーバは、端末装置が接続しているルーティング装置に当該ルーティング装置のアドレス情報を要求し、要求したアドレス情報が正当か否かを判別する。このように、特許文献１の認証方法では、１台の端末装置に対し、管理サーバと端末装置間、および、管理サーバとルーティング装置間の２段階のネットワークを介した認証処理を行っている。このため、端末装置の台数が増えるに従って、認証処理のためのネットワークトラフィックが増大し、ネットワークの論理帯域速度を圧迫するといった問題が発生する。また、端末装置の台数が増えるに従って、管理サーバの性能上（処理能力）の問題が発生する。
【０００５】
本発明は上記事情を鑑みてなされたものであり、本発明の目的は、ネットワークトラフィックを軽減し、端末装置などの情報処理装置の認証処理をより高速化する認証技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明では、ルーティング装置が認証テーブルを用いて情報処理装置の認証を行う。
【０００７】
例えば、本発明では、少なくとも１つの情報処理装置の論理アドレスおよび物理アドレスを登録した認証テーブルを記憶する第１の記憶手段と、情報処理装置からデータを受信する受信手段と、前記データに含まれる送信元情報処理装置の送信元論理アドレスおよび送信元物理アドレスが認証テーブルに存在するか否かを判別するとともに、前記データに含まれる宛先情報処理装置の宛先論理アドレスおよび宛先物理アドレスが認証テーブルに存在するか否かを判別する認証手段と、を有する。そして、認証手段は、送信元論理アドレスおよび送信元物理アドレスが認証テーブルに存在しない場合、または、宛先論理アドレスおよび宛先物理アドレスが認証テーブルに存在しない場合、受信手段が受信したデータを破棄する。また、認証手段は、送信元論理アドレスおよび送信元物理アドレスが認証テーブルに存在する場合、または、宛先論理アドレスおよび宛先物理アドレスが認証テーブルに存在する場合、受信手段が受信したデータを送出する。
【発明の効果】
【０００８】
本発明では、ネットワークトラフィックを軽減し、情報処理装置の認証処理をより高速化することができる。
【発明を実施するための最良の形態】
【０００９】
以下に、本発明の実施の形態を説明する。
【００１０】
図１は、本発明の一実施形態が適用された端末認証システムの概略図である。図示するように、本システムは、情報サーバ１と、管理装置２と、少なくとも１つのルーティング装置３と、少なくとも１つの端末装置４とを有する。そして、情報サーバ１とルーティング装置３とは、インターネットまたはＬＡＮなどの基幹ネットワーク５により接続されている。管理装置２とルーティング装置３とは、インターネットまたはＬＡＮなどの管理ネットワーク６により接続されている。ルーティング装置３と、当該ルーティング装置３に収容されている各端末装置４とは、端末サブネット７により接続されている。
【００１１】
情報サーバ１は、端末装置４（クライアント）に対して、各種のサービス（データ、機能など）を提供する情報処理装置である。管理装置２は、後述する管理用認証テーブル２３を作成し、各ルーティング装置３に配布する情報処理装置である。図示するように、管理装置２は、更新処理部２１と、通信処理部２２と、管理用認証テーブル２３と、を有する。更新処理部２１は、管理用認証テーブル２３を作成または更新する。通信処理部２２は、管理ネットワーク６を介して、ルーティング装置３とデータを送受信する。
【００１２】
ルーティング装置３は、ネットワーク上を流れるデータを他のネットワークに中継する情報処理装置である。なお、ルーティング装置３の詳細については、後述する。端末装置４は、情報サーバ１のクライアントであって、情報サーバ１が提供する各種のサービスを要求する情報処理装置である。
【００１３】
なお、本実施形態の端末認証システムでは、１台の情報サーバ１が基幹ネットワーク５に接続されているが、情報サーバ１は複数であってもよい。また、情報サーバ１が設置されている場所は、当該情報サーバ１を管理する企業または組織内であっても、その他の場所であってもよい。また、図示するように、ルーティング装置３の数、および、当該ルーティング装置３に接続される端末装置４の数は、少なくとも１台であって、その数は限定されない。また、本実施形態では、基幹ネットワーク５と、管理ネットワーク６とを有する。しかしながら、基幹ネットワーク５と管理ネットワーク６とを統合してもよい。この場合、情報サーバ１と管理装置２は、同じネットワークに接続されるものとする。
【００１４】
次に、ルーティング装置３について説明する。
【００１５】
図２は、ルーティング装置３の構成を示したものである。ルーティング装置３は、図示するようにルーティング処理部３１と、物理アドレス検索部３２と、送受信認証部３３と、回線制御部３４と、テーブル管理部３５と、構成定義テーブル３６と、ルーティングテーブル３７と、物理アドレステーブル３８と、ルータ用認証テーブル３９と、を有する。
【００１６】
ルーティング処理部３１は、ルーティングテーブル３７を参照し、ＯＳＩ参照モデルのネットワーク層での転送処理（経路選択）を行う。物理アドレス検索部３２は、物理アドレステーブル３８を参照し、データリンク層の物理アドレスを検索する。送受信認証部３３は、ルータ用認証テーブル３９を参照し、端末装置４の認証処理を行う。回線制御部３４は、データの伝送単位であるフレームまたはパケット（以下、「フレーム」）の送受信を行う。テーブル管理部３５は、管理装置２から配信された認証データを受信し、ルータ用認証テーブル３９を作成または更新する。
【００１７】
なお、本実施形態において、上述したルーティング処理部３１、物理アドレス検索部３２、送受信認証部３３、回線制御部３４、および、テーブル管理部３５は、ソフトウェアにより実現される。しかしながら、これらの処理部３１〜３５は、ハードウェアにより実現される場合であってもよい。
【００１８】
構成定義テーブル３６は、フレームを送受信するルーティング装置３のポート（回線）が、認証対象のポートであるか否かを判別するためのテーブルである。構成定義テーブルには、図示しないが、認証対象である少なくとも１つのポート番号が記憶されている。なお、本実施形態においては、端末装置４の認証処理を行うため、端末サブネット７に接続する少なくとも１つのポートのポート番号が、構成定義テーブル３６に記憶されているものとする。
【００１９】
ルーティングテーブル３７は、フレームの転送先（中継先）に関する経路情報が記憶されたテーブルである。すなわち、ルーティングテーブル３７は、宛先論理アドレスと、当該宛先論理アドレスに対応づけられた転送先論理アドレスおよび転送先ポート番号と、を有する。なお、論理アドレスは、ネットワーク層のアドレスであって、本実施形態ではＩＰ（Internet Protocol）アドレスを論理アドレスとして用いることとする。
【００２０】
物理アドレスデーブル３８は、ネットワーク層の下位層に位置するデータリンク層において、ネットワーク層で設定されたＩＰアドレス（論理アドレス）をもとに、次の転送先の機器（例えば、ルーティング装置３、端末装置４、情報サーバ１など）の物理的な宛先である物理アドレスを管理するためのテーブルである。なお、物理アドレスは、データリンク層のアドレスであって、本実施形態ではＭＡＣ（Media Access Control）アドレスを用いることとする。ＭＡＣアドレスは、機器自体の物理アドレスであって、ネットワークインタフェースカード固有のＩＤ番号である。物理アドレスデーブル３８は、図示しないが、ＩＰアドレス（論理アドレス）と、当該ＩＰアドレスに対応するＭＡＣアドレス（物理アドレス）とを有する。物理アドレス検索部３２は、ＡＲＰ（Address Resolution Protocol：アドレス解決プロトコル）などにより、各ＩＰアドレスに対応するＭＡＣアドレスを取得し、一定時間、物理アドレスデーブル３８に記憶する。
【００２１】
ルータ用認証テーブル３９は、ネットワークへの接続を許可する正当な端末装置４のＩＰアドレスと、ＭＡＣアドレスとが記憶されたテーブルである。すなわち、ルータ用認証テーブル３９に登録されている端末装置４は、正当な端末装置４であると判別され、ルータ用認証テーブルに登録されていない端末装置４は、不正な端末装置であると判別される。なお、ルータ用認証テーブル３９については後述する。
【００２２】
以上説明した、情報サーバ１、管理装置２、ルーティング装置３、および、端末装置４は、いずれも例えば図３に示すようなＣＰＵ９０１と、ＲＡＭ等のメモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、キーボードやマウスなどの入力装置９０４と、ディスプレイやプリンタなどの出力装置９０５と、ネットワーク接続するための通信制御装置９０６と、これらの各装置を接続するバス９０７と、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。
【００２３】
例えば、情報サーバ１、管理装置２、ルーティング装置３、および、端末装置４の各機能は、情報サーバ１用のプログラムの場合は情報サーバ１のＣＰＵ９０１が、管理装置２用のプログラムの場合は管理装置２のＣＰＵ９０１が、ルーティング装置３用のプログラムの場合はルーティング装置３のＣＰＵ９０１が、そして、端末装置４用のプログラムの場合は端末装置４のＣＰＵ９０１が、それぞれ実行することにより実現される。また、管理装置２の管理用認証テーブル２３には、管理装置２のメモリ９０２または外部記憶装置９０３が用いられる。また、ルーティング装置３の構成定義テーブル３６、ルーティングテーブル３７、物理アドレスデーブル３８、および、ルータ用認証テーブル３９には、ルーティング装置３のメモリ９０２または外部記憶装置９０３が用いられる。
【００２４】
次に、管理装置２の管理用認証テーブル２３について説明する。
【００２５】
図４は、管理用認証テーブル２３の一例を示した図である。管理用認証テーブル２３は、正当な（ネットワークに接続を許可する）端末装置４の端末ＩＤ２３１、端末ＩＰアドレス２３２および端末ＭＡＣアドレス２３３と、ルータＩＰアドレス２３４と、を有する。端末ＩＤ２３１は、端末装置４を識別するための識別情報である。端末ＩＰアドレス２３２は、端末装置４のＩＰアドレスである。端末ＭＡＣアドレス２３３は、端末装置４のＭＡＣアドレスである。ルータＩＰアドレス２３４は、当該端末装置４を収容するルーティング装置３（デフォルトルータ）のＩＰアドレスである。図４に示す例では、端末ＩＤ２３１が「TERM61」４０１の端末装置４については、端末ＩＰアドレス２３２が「192.168.1.21」で、端末ＭＡＣアドレス２３３が「00:00:01:ff:ff:61」で、ルータＩＰアドレス２３４が「10.150.10.31」である。
【００２６】
次に、ルーティング装置３のルータ用認証テーブル３９について説明する。
【００２７】
図５は、ルータ用認証テーブル３９の一例を示した図である。ルータ用認証テーブル３９には、当該ルーティング装置３に収容（デフォルトルータとして接続）された端末装置４であって、かつ、正当な（ネットワークに接続を許可する）端末装置４の端末ＩＰアドレス３９１と、端末ＭＡＣアドレス３９２と、が記憶されている。図５に示すルータ用認証テーブル３９においては、例えば、端末ＩＰアドレス３９１が「192.168.1.21」で、端末ＭＡＣアドレス３９２が「00:00:01:ff:ff:61」５０１の端末装置４が、正当な端末装置４として設定されている。
【００２８】
次に、管理用認証テーブル２３およびルータ用認証テーブル３９の作成処理について説明する。なお、この処理は、後述する端末認証処理の前に、あらかじめ行うものとする。
【００２９】
図６は、認証テーブル作成処理の処理フロー図である。まず、管理装置２の更新処理部２１は、入力手段９０４から入力された登録データを受け付ける（Ｓ６１）。登録データは、管理用認証テーブル２３に登録するためのデータである。ネットワーク管理者は、ネットワークへの接続を許可する正当な各端末装置４の各種情報（図４：２３１〜２３４）を、入力手段９０４を用いて入力する。
【００３０】
そして、更新処理部２１は、受け付けた各端末装置４の登録データを、管理用認証テーブル２３に記憶し、管理用認証テーブル２３を作成する（Ｓ６２）。そして、更新処理部２１は、ルータＩＰアドレス２３４毎に、ルータＩＰアドレス２３４が同一のレコード（端末装置４）を、管理用認証テーブル２３から抽出し、グルーピングする（Ｓ６３）。そして、更新処理部２１は、ルータＩＰアドレス２３４毎にグルーピングした各レコードを認証データとして、各ルーティング装置３に送信（配信）する（Ｓ６４）。すなわち、更新処理部２１は、ルータＩＰアドレス２３４を宛先として、通信処理部２２を介して、各ルーティング装置３に各認証データを送信する。なお、認証データには、グルーピングした各レコードの端末ＩＰアドレス２３２および端末ＭＡＣアドレス２３３が含まれているものとする。
【００３１】
ルーティング装置３のテーブル管理部３５は、管理装置２から送信された認証データを受信する（Ｓ６５）。そして、テーブル管理部３５は、受信した認証データをルータ用認証テーブル３９に記憶し、ルータ用認証テーブル３９を作成する（Ｓ６６）。
【００３２】
なお、上記の認証テーブル作成処理において、管理用認証テーブル２３およびルータ用認証テーブル３９を作成した後に、これらのテーブル２３、３９を更新する場合は、更新データのみをルーティング装置３に配布する。すなわち、管理装置２の更新処理部２１は、新規に登録または変更する端末装置４の登録データを受け付け（Ｓ６１）、管理用認証テーブル２３を更新する（Ｓ６２）。そして、更新処理部２１は、更新したレコードのみ認証データとして、当該するルーティング装置３に送信する（Ｓ６４）。ルーティング装置３のテーブル管理部３５は、認証データを受信し、当該認証データに基づいてルータ用認証テーブル３９を更新する。
【００３３】
次に、ルーティング装置３が行う端末認証処理について説明する。ルーティング装置３は、端末装置４が情報サーバ１に対して各種サービスを要求する際に、または、情報サーバ１が端末装置４に各種サービスを提供する際に、この端末認証処理を行う。
【００３４】
図７は端末認証処理の処理フロー図である。まず、ルーティング装置３の回線制御部３４は、端末装置４、情報サーバ１など他の装置から送信されたフレームを受信する（Ｓ７１）。そして、送受信認証部３３は、構成定義テーブル３６を参照し、フレームを受信した受信ポート（回線）が構成定義テーブル３６に設定されているか否か（すなわち、認証対象のポートであるか否か）を判別する（Ｓ７２）。なお、本実施形態では、端末装置４の認証処理を行うため、端末サブネット７に接続するポートが構成定義テーブル３６に記憶されている。すなわち、端末装置４から情報サーバ１への通信（以下、「上り通信」）の場合の受信ポートは、構成定義テーブル３６に設定され、認証対象である。一方、情報サーバ１から端末装置４への通信（以下、「下り通信」）の場合の受信ポートは、構成定義テーブルに設定されておらず、認証対象外である。
【００３５】
受信ポートが構成定義テーブル３６に設定されていない場合、すなわち、認証対象でない場合（Ｓ７２：ＮＯ）、後述するＳ７４の処理へ進む。一方、受信ポートが構成定義テーブル３６に設定されている場合、すなわち、認証対象の場合（Ｓ７２：ＹＥＳ）、送受信認証部３３は、受信フレームのヘッダに含まれる送信元ＩＰアドレスおよび送信元ＭＡＣアドレスが、ルータ用認証テーブル３９に存在するか否かを判別する（Ｓ７３）。
【００３６】
例えば、図５に示すルータ用認証テーブル３９の場合であって、かつ、送信元である端末装置４のＩＰアドレスおよびＭＡＣアドレスが、「192.168.1.21」および「00:00:01:ff:ff:61」であるとする。この場合、送受信認証部３３は、端末装置４の送信元ＩＰアドレスおよび送信元ＭＡＣアドレスが、ルータ用認証テーブル３９の先頭レコード５０１に存在するため、当該端末装置４を正当な端末装置であると判別する（Ｓ７３：ＹＥＳ）。
【００３７】
ルータ用認証テーブル３９に存在する場合、すなわち、正当な端末装置４の場合（Ｓ７３：ＹＥＳ）、ルーティング処理部３１は、ルーティングテーブル３７を参照して、転送先（送信先）の装置を決定する（Ｓ７４）。すなわち、ルーティング処理部３１は、受信フレームのヘッダに含まれる宛先ＩＰアドレスに対応する、次の転送先装置のＩＰアドレスおよび転送先ポート番号を特定する。
【００３８】
そして、物理アドレス検索部３２は、特定した転送先装置のＩＰアドレスにもとづいて、当該転送先装置のＭＡＣアドレスを取得する（Ｓ７５）。すなわち、物理アドレス検索部３２は、物理アドレステーブル３８を読み出し、転送先装置のＩＰアドレスに対応するＭＡＣアドレスが登録されているか否かを検索する。転送先装置のＩＰアドレスに対応するＭＡＣアドレスが物理アドレステーブル３８に登録されている場合、物理アドレス検索部３２は、当該ＭＡＣアドレスを取得する。一方、転送先装置のＩＰアドレスに対応するＭＡＣアドレスが物理アドレステーブル３８に登録されていない場合、物理アドレス検索部３２は、ＡＲＰ（Address Resolution Protocol：アドレス解決プロトコル）などにより、転送先端末のＩＰアドレスに対応するＭＡＣアドレスを取得する。
【００３９】
そして、送受信認証部３３は、構成定義テーブル３６を参照し、Ｓ７４において特定した転送先ポートが構成定義テーブル３６に設定されているか否か（すなわち、認証対象のポートである否か）を判別する（Ｓ７６）。転送先ポートが構成定義テーブル３６に登録されていない場合、すなわち、認証対象でない場合（Ｓ７６：ＮＯ）、回線制御部３４は、Ｓ７１において受信した受信フレームを転送先装置に送信（送出）する（Ｓ７８）。
【００４０】
一方、転送先ポートが構成定義テーブル３６に設定されている場合、すなわち、認証対象の場合（Ｓ７６：ＹＥＳ）、送受信認証部３３は、受信フレームのヘッダに含まれる宛先ＩＰアドレス、および、宛先ＭＡＣアドレスが、ルータ用認証テーブル３９に存在するか否かを判別する（Ｓ７７）。ルータ用認証テーブル３９に存在する場合、すなわち、正当な端末装置４の場合（Ｓ７７：ＹＥＳ）、回線制御部３４は、Ｓ７１において受信した受信フレームを転送先装置に送信（送出）する（Ｓ７８）。例えば、端末装置４から情報サーバ１への上り通信の場合、ルーティング装置３は、情報サーバ１（または、他のルーティング装置３）に端末装置４から受信したフレームを送信する。そして、情報サーバ１は、端末装置４から要求された各種サービスを提供するための処理を行う。また、情報サーバ１から端末装置４への下り通信の場合、ルーティング装置３は、端末装置４（または、他のルーティング装置３）に情報サーバ１から受信したフレームを送信する。そして、端末装置４は、情報サーバ１が提供する各種サービスを取得することができる。
【００４１】
また、送信元ＩＰアドレスおよび送信元ＭＡＣアドレスがルータ用認証テーブル３９に存在しない場合（Ｓ７３：ＮＯ）、あるいは、宛先ＩＰアドレスおよび宛先ＭＡＣアドレスがルータ用認証テーブル３９に存在しない場合（Ｓ７７：ＮＯ）、送受信認証部３３は、Ｓ７１において受信した受信フレームを廃棄する（Ｓ７９）。すなわち、送受信認証部３３は、ルータ用認証テーブル３９に登録されていない不正な端末装置４に送受信されるフレームを破棄する。なお、送受信認証部３３は、フレームを廃棄するだけでなく、管理装置２に警告を促す警告メッセージを送信するようにしてもよい。これにより、管理装置２の出力装置９０５に警告メッセージが出力され、ネットワーク管理者は、不正な端末装置４のネットワークへのアクセスを検知することができる。
【００４２】
以上、本発明の一実施形態を説明した。
【００４３】
本実施形態では、ルーティング装置３内で、端末装置４の認証処理を行っている。すなわち、本実施形態では、ネットワークを介することなく端末装置４の認証処理を実現している。これにより、ネットワークトラフィックが軽減し、認証処理をより高速化することができる。
【００４４】
また、ルーティング装置３内で認証処理を行うため、各端末装置４および情報サーバ１には、認証処理に必要な機能を組み込む必要がない。すなわち、端末装置４および情報サーバ１は、現在稼動しているプログラムを変更することなく、本実施形態の端末認証システムの装置として適用することができる。また、端末装置４においては、認証処理の度にＩＰアドレスおよびＭＡＣアドレスを通知する必要がないため、セキュリティを確保することができる。
【００４５】
また、前述のように、端末装置４および情報サーバ１には、認証処理に必要な機能を組み込む必要がないため、システムの拡張が容易である。すなわち、情報サーバ１、端末装置４など本端末認証システム構成する各装置が、異なる企業によって管理されている場合であっても、本実施形態を適用することができる。具体的には、インターネットの普及により、社外サーバなど異なる管理ポリシー（プラットフォームなど）の複数の情報サーバ１であっても、本実施形態の認証処理を行うことができる。
【００４６】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【００４７】
例えば、本実施形態では、論理アドレスとしてＩＰアドレスを、物理アドレスとしてＭＡＣアドレスを用いている。しかしながら、本発明はこれに限定されず、他のアドレスを用いることとしてもよい。
【００４８】
また、本実施形態では、端末装置４の認証処理を行っている。しかしながら、端末装置４だけでなく、情報サーバ１またはルーティング装置３の認証処理を行うこととしてもよい。その場合、管理用認証テーブル２３およびルータ用認証テーブル３９には、認証対象となる情報サーバ１またはルーティング装置３のＩＰアドレス、ＭＡＣアドレスが登録される。また、構成定義テーブルには、端末サブネット７以外の他の認証対象のポートのポート番号が記憶される。
【図面の簡単な説明】
【００４９】
【図１】図１は、本発明の一実施形態が適用された端末認証システムの概略図である。
【図２】図２は、ルーティング装置の機能構成を示す図である。
【図３】図３は、各装置のハードウェア構成例を示す図である。
【図４】図４は、管理用認証テーブルのデータ構造の一例を示す図である。
【図５】図５は、ルータ用認証テーブルのデータ構造の一例を示す図である。
【図６】図６は、認証テーブル作成処理の処理フロー図である。
【図７】図７は、端末認証処理の処理フロー図である。
【符号の説明】
【００５０】
１：情報サーバ、２：管理装置、２１：更新処理部、２２：通信処理部、２３：管理用認証テーブル、３：ルーティング装置、３１：ルーティング処理部、３２：物理アドレス検索部、３３：送受信認証部、３４：回線制御部、３５：テーブル管理部、４：端末装置、５：基幹ネットワーク、６：管理ネットワーク、７：端末サブネット
【図１】
2006013732.tif 000003
【図２】
2006013732.tif 000004
【図３】
2006013732.tif 000005
【図４】
2006013732.tif 000006
【図５】
2006013732.tif 000007
【図６】
2006013732.tif 000008
【図７】
2006013732.tif 000009