(57)【要約】【課題】  コンピュータ・ネットワークの構成に変更を加えずに、ネットワークに接続された任意の機器から送出されるパケットを、所定の認証サーバに導く。【解決手段】  ネットワークに新たに接続されたパーソナル・コンピュータから送信されるパケットを、通信制御装置を介して、認証サーバに誘導する。通信制御装置は、当該パーソナル・コンピュータのＡＰＲキャッシュに含まれている他のサーバの宛先アドレスのうち、ＭＡＣアドレスを当該通信制御装置のＭＡＣアドレスに置き換えて、パーソナル・コンピュータからのパケットを、通信制御装置に誘導する。通信制御装置は更に、受信したパケットを、所定の認証サーバに送信する。【選択図】  図６
2011029749.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも第１の機器及び第２の機器に接続された通信ネットワークにおいて、当該通信ネットワークには更に第3の機器を接続可能であり、前記第3の機器は、対応する記憶装置内に少なくとも前記第1の機器のアドレスを格納し、前記格納されたアドレスに基づいて前記第1の機器とのデータ送受信を行う、前記通信ネットワークに接続可能な、通信コントローラにあって、
前記通信コントローラは、アドレス置換ユニットと、データ転送ユニットを含み、
前記第3の機器が前記通信ネットワークに接続された場合に、前記第3の機器に対応する記憶装置内に格納された前記第1の機器のアドレスを、前記データ転送ユニットのアドレスで置換するための命令を、前記第３の機器に送信し、かつ、前記第3の機器は、置換後のアドレスに基づいて、前記第1の機器と送受するデータを前記データ転送ユニットに送信する、前記アドレス置換ユニットと、
前記第3の機器から受信するデータを前記第2の機器に転送する、前記データ転送ユニットと、
を含むことを特徴とする、前記通信コントローラ。
【請求項２】
請求項１に記載の前記通信コントローラにおいて、更に、
機器検出ユニットであって、前記通信ネットワークに伝送されるデータを監視し、少なくとも前記第3の機器及び前記データ転送ユニットのアドレスを検出し、前記機器検出ユニットに対応する記憶装置内に記憶する、前記機器検出ユニットを含み、前記アドレス置換ユニットは、前記機器検出ユニットに対応する記憶装置内の前記第3の機器及び前記データ転送ユニットのアドレスに基づいて置換を行うことを特徴とする、前記通信コントローラ。
【請求項３】
請求項１に記載の通信コントローラにおいて、前記第3の機器が前記通信ネットワークに接続された場合に、前記第2の機器が、対応する記憶装置内に、前記第3の機器のアドレスを記憶し、前記アドレス置換ユニットは、前記第２の機器に対応する記憶装置内の前記第3の機器のアドレスを、前記データ転送ユニットのアドレスで置換するための命令を前記第2の機器に送信し、前記第2の機器は、前記第3の機器に送信するデータを、前記置換後のアドレスに基づいて、前記データ転送ユニットに送信することを特徴とする、前記通信コントローラ。
【請求項４】
請求項１に記載の通信コントローラにおいて、前記ネットワークは更にルータを含み、前記通信コントローラは、前記第2の機器とルータを介して接続されており、かつ前記第3の機器は、前記第2の機器と前記ルータを介して接続可能で、前期通信コントローラにおいて、前記第3の機器が前記通信ネットワークに接続された場合に、前記ルータが対応する記憶装置内に、前記第3の機器のアドレスを記憶し、前記アドレス置換ユニットは、前記ルータに対応する記憶装置内の前記第3の機器のアドレスを、前記データ転送ユニットのアドレスで置換するための命令を前記ルータに送信し、前記ルータは、前記第3の機器に送信されるデータを、前記データ転送ユニットに送信することを特徴とする、前記通信コントローラ。
【請求項５】
請求項１に記載の通信コントローラにおいて、
前記第1乃至第3の機器及び前記通信コントローラは、ＴＣＰ／ＩＰプロトコルに従いデータの送受信をし、
前記第1の機器のアドレス及び前記データ転送ユニットのアドレスは各々ＩＰアドレスとMedia Access Control（MAC）アドレスを含み、
前記アドレス置換ユニットは、前記第1の機器のアドレスのうちＭＡＣアドレスを、前記データ転送ユニットのＭＡＣアドレスで置換する、
ことを特徴とする、前記通信コントローラ。
【請求項６】
請求項５に記載の通信コントローラにおいて、
前記アドレス置換ユニットは、AddressResolution Protocol (ARP)に従い、前記ＭＡＣアドレスの置換を行うことを特徴とする、前記通信コントローラ。
【請求項７】
請求項１に記載の通信コントローラにおいて、
前記第2の機器は、予め定められた機器認証基準を保持し、前記第1の機器が前記機器認証基準を満たすか否かを判断する機能を有することを特徴とする、前記通信コントローラ。
【請求項８】
請求項１に記載の通信コントローラにおいて、
前記第２の機器は、ソーリーサーバであることを特徴とする、前記通信コントローラ。
【請求項９】
少なくとも第１の機器及び第２の機器に接続された通信ネットワークであって、当該通信ネットワークには更に第3の機器を接続可能で、前記第3の機器は、対応する記憶装置内に少なくとも前記第1の機器のアドレスを格納し、前記格納されたアドレスに基づいて前記第1の機器とのデータ送受信を行う、前記通信ネットワークにおける通信コントロール方法において、
アドレス置換ユニットが、前記第3の機器が前記通信ネットワークに接続された場合に、前記第3の機器に対応する記憶装置内に格納された前記第1の機器のアドレスを前記データ転送ユニットのアドレスで置換するための命令を、前記第３の機器に送信するステップと、  
前記第3の機器が、置換後のアドレスに基づいて、前記第1の機器と送受するデータをデータ転送ユニットに送信するステップと、
前記データ転送ユニットが、前記第3の機器から受信するデータを前記第2の機器に転送するステップ、
を含むことを特徴とする、前記通信コントローラ。
【請求項１０】
請求項９に記載の前記通信コントロール方法において、更に、
機器検出ユニットが、前記通信ネットワークに伝送されるデータを監視し、少なくとも前記第3の機器及び前記データ転送ユニットのアドレスを検出するステップと、
前記機器検出ユニットが前記機器検出ユニットに対応する記憶装置内に少なくとも前記第3の機器及び前記データ転送ユニットのアドレスを記憶するステップと
前記アドレス置換ユニットが、前記機器検出ユニットに対応する記憶装置内の前記第3の機器及び前記データ転送ユニットのアドレスに基づいて置換を行うステップ、
を含むことを特徴とする、前記通信コントロール方法。
【請求項１１】
請求項９に記載の通信コントロール方法において、
前記第3の機器が前記通信ネットワークに接続された場合に、前記第2の機器が、対応する記憶装置内に、前記第3の機器のアドレスを記憶するステップと、
前記アドレス置換ユニットが、前記第２の機器に対応する記憶装置内の前記第3の機器のアドレスを、前記データ転送ユニットのアドレスで置換するための命令を前記第2の機器に送信するステップと、
前記第2の機器が、前記第3の機器に送信するデータを、前記置換後のアドレスに基づいて、前記データ転送ユニットに送信するステップ、
を含むことを特徴とする、前記通信コントローラ。
【請求項１２】
請求項９に記載の通信コントロール方法において、前記ネットワークは更にルータを含み、前記通信コントローラは、前記第2の機器とルータを介して接続されており、かつ前記第3の機器は、前記第2の機器と前記ルータを介して接続可能な、前記通信コントロール方法において、
前記第3の機器が前記通信ネットワークに接続された場合に、前記ルータが、対応する記憶装置内に、前記第3の機器のアドレスを記憶するステップと、
前記アドレス置換ユニットが、前記ルータに対応する記憶装置内の前記第3の機器のアドレスを、前記データ転送ユニットのアドレスで置換するための命令を前記ルータに送信するステップと、
前記ルータが、前記第3の機器に送信されるデータを、前記データ転送ユニットに送信するステップ、を含むことを特徴とする、前記通信コントロール方法。
【請求項１３】
請求項９に記載の通信コントロール方法において、
前記第1乃至第3の機器及び前記通信コントローラは、ＴＣＰ／ＩＰプロトコルに従いデータの送受信をし、
前記第1の機器のアドレス及び前記データ転送ユニットのアドレスは各々ＩＰアドレスとＭＡＣアドレスを含み、
前記アドレス置換ユニットは、前記第1の機器のアドレスのうちＭＡＣアドレスを、前記データ転送ユニットのＭＡＣアドレスで置換する、
ことを特徴とする、前記通信コントロール方法。
【請求項１４】
請求項１３に記載の通信コントロール方法において、
前記アドレス置換ユニットは、AddressResolution Protocol (ARP)に従い、前記ＭＡＣアドレスの置換を行うことを特徴とする、前記通信コントロール方法。
【請求項１５】
請求項９に記載の通信コントロール方法において、
前記第2の機器が、予め定められた機器認証基準を保持し、前記第1の機器との通信に応答し、前記第1の機器が前記機器認証基準を満たすか否かを判断するステップ、
を有することを特徴とする、前記通信コントロール方法。
【請求項１６】
請求項９に記載の通信コントロール方法において、
前記第２の機器が、ソーリーサーバであることを特徴とする、前記通信コントロール方法。
【請求項１７】
少なくとも第１の機器及び第２の機器に接続された通信ネットワークであって、当該通信ネットワークには更に第3の機器を接続可能で、前記第3の機器は、対応する記憶装置内に少なくとも前記第1の機器のアドレスを格納し、前記格納されたアドレスに基づいて前記第1の機器とのデータ送受信を行う、前記通信ネットワークと接続可能な、通信コントロール用コンピュータ・プログラムにおいて、前記コンピュータ・プログラムはコンピュータを、
アドレス置換ユニットと、データ転送ユニットとして動作させ、
前記アドレス置換ユニットは、前記第3の機器が前記通信ネットワークに接続された場合に、前記第3の機器に対応する記憶装置内に格納された前記第1の機器のアドレスを前記データ転送ユニットのアドレスで置換するための命令を、前記第３の機器に送信し、かつ、前記第3の機器は、置換後のアドレスに基づいて、前記第1の機器と送受するデータを前記データ転送ユニットに送信する、前記アドレス置換ユニットと、
前記データ転送ユニットは、前記第3の機器から受信するデータを前記第2の機器に転送する、前記データ転送ユニットと、
として動作させる、前記通信コントロール用コンピュータ・プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク通信において送信データの宛先を動的に制御する方法若しくは機器に関し、特に、送信元の機器が保有する宛先アドレスを、外部から指令を与えて変更し、送信元の機器から送信宛先に伝送されるべきデータを、例えばリダイレクタと呼ばれる転送装置を介して、当初の送信宛先とは別の宛先を持つユーザ所望の機器に転送する方法及び機器に関する。
【背景技術】
【０００２】
コンピュータ・ネットワークは、接続される機器の種類や数を柔軟に変更し得るよう構成されており、そのことが個々のユーザにおける情報処理の利便性を高めている。
例えば、ユーザはポータブル・コンピュータ等の携帯端末を所持し、これを適宜ネットワークに着脱することにより柔軟に自己の業務を遂行することができる。
しかし一方で、このような柔軟な運用が、ネットワークの運用効率や安全性に悪影響を及ぼさないよう考慮されなければならない。例えば、不適切な機器がネットワークに接続されることにより、ネットワークの安定稼動が損われたり、情報の破壊や漏洩が発生してはならない。
【０００３】
昨今では、各企業や団体は、包括的セキュリティポリシーを定め、組織内のあらゆる活動にこれを適用し、それぞれの活動に対してより具体化したポリシーをそれぞれ規定し運用している。
ネットワークのセキュリティポリシーもその一つであり、ネットワークにおいて上に例示した如くの問題の未然防止を図る目的で制定・運用されている。
セキュリティポリシーには、例えば、ネットワーク管理者により定められ、当該ネットワークに接続可能な端末が満たすべき条件が含まれる。セキュリティポリシーの下、ネットワークには当該ポリシーに準拠した機器のみがネットワークへの接続を許される。
【０００４】
この目的を実現するために、セキュリティポリシーを満たしていない機器を、組織内ネットワークから排除するための、検疫・認証システムが提案されており、関心が近年急速に高まっている。
検疫・認証システムは、二つの機能から構成される。
一つは、検査機能であり、各端末のセキュリティポリシーを検査するためのものである。
例えば以下の製品・サービスが提供されている。
（１）  IBMクライアント・セキュリティ・ソリューションhttp://www-935.ibm.com/services/jp/index.wss/offering/its/a1009288
「このソリューションは、管理サーバー・プログラムと、PCに導入され常駐するエージェント・プログラムのペアで構成」される。
（２） Cisco NAC (Network Access Control)   http://www.cisco.com/web/JP/product/hs/security/cca/index.html
「ノート PC、IP フォン、ゲーム機のコンソールなどネットワーク接続されたデバイスがセキュリティ ポリシーに適合しているかどうかを識別し、ネットワークへのアクセスを許可する前に、脆弱性の検査と修正」を行うものである。
（３）  Microsoft NAP (Network Access Protection)
http://www.microsoft.com/japan/windowsserver2008/technologies/network-access-protection.mspx
「社内リソースの保護を強化するためのポリシーベースのセキュリティプラットフォーム」であり、「クライアントがネットワークにアクセスすると自動的に検疫が行われ、一定のセキュリティ要件を満たさない場合には接続が制限される仕組み」である。
（４）  Supplicant
IEEE.802.1Xに準拠した認証システムの一部を成し、接続しようとするパソコン上に導入される認証・クライアントソフトウェアである。
【０００５】
検疫・検証システムを担うもう一つの機能は、ネットワークコントロール機能である。
この機能を提供する製品・サービスには例えば以下のようなものがある。
（５）  NEC CapsSuite  
http://www.nec.co.jp/cced/capssuite/images/capssuite.pdf
「基幹ネットワーク接続時にセキュリティ状態のチェックを行い、セキュリティレベルの低いＰＣからのアクセス制限や隔離をする機能」を提供するものである。
（６）  Trend Micro Network VirusWall Enforcer
http://jp.trendmicro.com/imperia/md/content/jp/products/enterprisebusinesssolutions/nvw-tm-d002.pdf
「IT管理者は、きめ細かいセキュリティポリシーを定義することで、ネットワークトラフィックをフィルタリングし、特定のファイル転送、ファイル拡張子、インスタントメッセージチャネル、一連のアドレスまたは個々のIP/MACアドレス、およびTCP/UDPポートとプロトコルをブロック」することができる。
（７）  Solution Net’Attest Security Filter
http://www.soliton.co.jp/support/hardware/netattest_sfps/public/sf_v20x/Net%27AttestSecurityFilterV20_UsersGuide_Rev5.pdf
本製品は、「ネットワークアクセス制御を目的としたセキュリティ製品」である。「ユーザー認証に成功した端末のみをネットワーク利用させるというしくみにより、未認証端末の基幹ネットワークやサーバー群へのアクセスを制御する」ことができる。「センタースイッチとフロアスイッチの間などにブリッジとして設置するため、ネットワーク環境を大きく変えることなく導入」できる。「無断で設置された無線アクセスポイントや、情報コンセントに第三者などが接続した場合でも、ユーザー認証を行わない限り基幹ネットワークにアクセスできないため、セキュアなネットワークインフラを構築する」ことができる。
【０００６】
また、ネットワークに接続されたコンピュータの通信サービスを制限する別の装置または方法として、特許第4,082,613号公報には、通信サービスの制限開始命令に応答して、第１のコンピュータに記録された第２のコンピュータのアドレスを、対策機器のアドレスに変更し、第２のコンピュータに記録された第１のコンピュータのアドレスを、対策機器のアドレスに変更することにより、第１のコンピュータから第２のコンピュータへのパケットを取得し、この取得したパケットを第２のコンピュータに送信するかを判断する対策機器により、コンピュータの通信サービスを制限することが記載されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特許第4,082,613号公報
【非特許文献】
【０００８】
【非特許文献１】「IBMクライアント・セキュリティ・ソリューション, http://www-935.ibm.com/services/jp/index.wss/offering/its/a1009288」、2009年6月10日検索。
【非特許文献２】「Cisco NAC (Network Access Control),   http://www.cisco.com/web/JP/product/hs/security/cca/index.html」、2009年6月10日検索。
【非特許文献３】「Microsoft NAP (Network Access Protection),http://www.microsoft.com/japan/windowsserver2008/technologies/network-access-protection.mspx」、2009年6月10日検索。
【非特許文献４】「NEC CapsSuite,http://www.nec.co.jp/cced/capssuite/images/capssuite.pdf」、2009年6月10日検索。
【非特許文献５】「Trend Micro Network VirusWall Enforcer,http://jp.trendmicro.com/imperia/md/content/jp/products/enterprisebusinesssolutions/nvw-tm-d002.pdf」、2009年6月10日検索。
【非特許文献６】「Solution Net’Attest Security Filter,http://www.soliton.co.jp/support/hardware/netattest_sfps/public/sf_v20x/Net%27AttestSecurityFilterV20_UsersGuide_Rev5.pdf」、2009年6月10日検索。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかし、上記諸文献の何れにも、既存のネットワークに例えばパケット誘導用ユニット及びパケット・リダイレクトユニットを付加して、例えばネットワークの管理者が、所望の時期に、所望の端末から送信されるデータを所望の宛先、例えば認証サーバその他所定のサーバの宛先、にリダイレクトする技術は開示も示唆もされていない。
【課題を解決するための手段】
【００１０】
本発明は、少なくとも第１の機器（例えば第1のサーバ）及び第２の機器（例えば認証サーバその他所定のサーバ）に接続された通信ネットワークにおいて用いられ得る。
典型的には、当該通信ネットワークには更に第3の機器（例えばポータブル・コンピュータ）を接続可能であり、この第3の機器は、対応する記憶装置内に少なくとも第1の機器のアドレスを格納し、格納されたアドレスに基づいて第1の機器とのデータ送受信を行う。
【００１１】
本発明は、このような通信ネットワークと接続可能な、通信コントローラを提供する。
当該通信コントローラは、アドレス置換ユニットと、データ転送ユニットを含む。
アドレス置換ユニットは、第3の機器が前記通信ネットワークに接続された場合に、第3の機器に対応する記憶装置内に格納された第1の機器のアドレスをデータ転送ユニットのアドレスで置換するための命令を、第３の機器に送信する。
第3の機器は、置換後のアドレスに基づいて、第1の機器と送受するデータをデータ転送ユニットに送信する。
データ転送ユニットは、第3の機器から受信するデータを前記第2の機器に転送する。
【００１２】
上記通信コントローラは、更に、機器検出ユニットを備えていても良い。
当該機器検出ユニットは、通信ネットワークに伝送されるデータを監視し、少なくとも第3の機器及び前記データ転送ユニットのアドレスを検出して、機器検出ユニットに対応する記憶装置内に記憶する。そして、アドレス置換ユニットは、機器検出ユニットに対応する記憶装置内の、第3の機器及びデータ転送ユニットのアドレス、に基づいて置換を行う。
【００１３】
また、上記通信コントローラにおいて、第3の機器が通信ネットワークに接続された場合に、第2の機器が、対応する記憶装置内に第3の機器のアドレスを記憶した後に、アドレス置換ユニットが、第２の機器に対応する記憶装置内の第3の機器のアドレスを、データ転送ユニットのアドレスで置換するための命令を前記第2の機器に送信しても良い。
そして、第2の機器が、第3の機器に送信するデータを、置換後のアドレスに基づいて、データ転送ユニットに送信するようにしても良い。
【００１４】
また、上記ネットワークがルータを含んでいても良く、上記通信コントローラが、第2の機器ルータを介して接続されるようにしても良い。
第3の機器は第2の機器と、ルータを介して接続され得る。
第3の機器が通信ネットワークに接続された場合に、ルータが、対応する記憶装置内に、第3の機器のアドレスを記憶し、アドレス置換ユニットが、ルータに対応する記憶装置内の第3の機器のアドレスを、データ転送ユニットのアドレスで置換するための命令をルータに送信し、ルータが、第3の機器に送信されるデータを、データ転送ユニットに送信するようにしても良い。
【００１５】
更に、第1乃至第3の機器及び通信コントローラは、ＴＣＰ／ＩＰプロトコルに従いデータの送受信をしても良く、第1の機器のアドレス及びデータ転送ユニットのアドレスは、各々ＩＰアドレスとＭＡＣアドレスを含み、アドレス置換ユニットは、第1の機器のアドレスのうちＭＡＣアドレスを、データ転送ユニットのＭＡＣアドレスで置換するようにしても良い。
また、アドレス置換ユニットは、Address Resolution Protocol (ARP)に従い、前記ＭＡＣアドレスの置換を行っても良い。
【００１６】
更にまた、上記、第2の機器は、予め定められた機器認証基準を保持し、第1の機器が前記機器認証基準を満たすか否かを判断する機能を有しても良い。或いは、当該第２の機器は、ソーリーサーバ（Sorry Server）であっても良い。
【００１７】
更に本発明は、少なくとも第１の機器及び第２の機器に接続された通信ネットワークであって、当該通信ネットワークには更に第3の機器を接続可能であり、第3の機器は、対応する記憶装置内に少なくとも第1の機器のアドレスを格納し、格納されたアドレスに基づいて第1の機器とのデータ送受信を行う、通信ネットワークにおける通信コントロール方法も提供する。
当該通信コントロール方法は、（１）アドレス置換ユニットが、第3の機器が通信ネットワークに接続された場合に、第3の機器に対応する記憶装置内に格納された第1の機器のアドレスをデータ転送ユニットのアドレスで置換するための命令を、第３の機器に送信するステップと、（２）第3の機器が、置換後のアドレスに基づいて、第1の機器と送受するデータをデータ転送ユニットに送信するステップと、（３）データ転送ユニットが、第3の機器から受信するデータを第2の機器に転送するステップ、を含む。
本発明のその他の特徴は、以下の発明を実施するための最良の形態の記載により明らかにされる。
【図面の簡単な説明】
【００１８】
【図１】本発明の通信コントローラ１００を実施するためのハードウエア構成の概観図である。
【図２】本発明の通信コントローラ１００の機能ブロックダイヤグラムである。
【図３】アドレス管理ユニット２１０が保持するアドレス・テーブル３００の概念図である。
【図４】データ転送ユニット２０６による処理の流れ図である。
【図５】機器検出ユニット２０８による処理の流れ図である。
【図６】通信コントローラ１００が接続され得るコンピュータ・ネットワーク６００の構成ダイヤグラムである。
【図７】通信コントローラ１００が接続され得る別のコンピュータ・ネットワーク７００の構成ダイヤグラムである。
【図８】通信コントローラ１００の動作の手順を含めた、コンピュータ・ネットワーク内での各機器の動作手順を示す流れ図である。
【図９】別の実施例に従う、データ転送ユニット２０６による処理の流れ図である。
【図１０】当該別の実施例に従う、通信コントローラ１００の動作の手順を含めた、コンピュータ・ネットワーク内での各機器の動作手順を示す流れ図である。
【発明を実施するための形態】
【００１９】
A  用語の説明
まず始めに、本明細書及び請求の範囲を通じて使用される用語の説明を行う。
（１）機器：  ネットワークに接続され得るあらゆるデバイスを含む。例えば、サーバ・コンピュータ、ポータブル・コンピュータ、ディスプレイ、記憶装置、ファクシミリや複写機等の事務機、プリンタ等を含む。また、機器は、コンピュータ・ソフトウェアによって実現された仮想的な機器であっても良く、機器はコンピュータ・メモリ上に存在する、プログラムコード或いはその群を指す場合もあり得る。
（２）接続：  機器がネットワークを介して情報通信することが可能になった状態を、「接続された」と表記し、未接続の状態も接続された状態も含む「接続可能な」と区別して用いる。また、「接続された場合」とは、「接続された状態で」との意味で、時系列上の特定の時刻、或いは特定の時間幅をも含み得るが、それらのみを指すわけではない。
（３）通信コントローラ：  少なくともアドレス置換ユニットと、データ転送ユニットを含んでおれば良く、これらユニットが物理的に分散してネットワーク上に配置されても良い。或いは、これらユニットは一つの筐体内に実装されていても良い。オプショナルな機器検出ユニットの配置についても同様である。
（４）アドレス：  ネットワークに接続されている機器の識別番号をいい、単一の識別番号も、複数のプロトコルに各々対応する複数の識別番号のセットも含む。例えば、ＩＰアドレスとＭＡＣアドレスのセットである。
（５）対応する記憶装置：  機器に対応する記憶装置とは、機器が情報記録・取り出しのためにアクセス可能な記憶装置であり、その種類、実装場所を問わない。
（６）データ：  当業界で用いられる一般的な意味で用いられる。言うまでもなく、ネットワーク上を伝送されるデータパケットをも含む。
（７）置換：  当業界で用いられる一般的な意味で用いる。元のアドレスを消去し、新しいアドレスを新たに書き込む、或いは元のアドレスに新しいアドレスを上書きする等、実現方法は各種考え得る。
尚、以下の説明ではネットワーク及びそれに接続された各種機器はTCP/IPプロトコルに従いデータ通信を行うものとするが、各動作が実現される限り、通信プロトコルはこれに限られるものではない。
【００２０】
B  ハードウエア構成
図１は、本発明の通信コントローラ１００を実施するためのハードウエア構成の概観図である。
【００２１】
通信コントローラ１００は、ＣＰＵ１０２、メモリ１０４、記憶装置１０６、入出力制御装置１１０、ユーザ・インターフェース１１４及びこれらを連結するバス１０８、並びに通信ポート１１２から構成される。
通信コントロール・プログラムのコードは、記憶装置１０６に格納されていても良いし、外部装置から通信ポート１１２、入出力制御装置１１０を経由してメモリ１０４内に導入されても良い。
当該通信コントロール・プログラムのコードは、メモリ１０４にロードされることにより、ＣＰＵ１０２により実行されても良いし、記憶装置１０６に格納されたまま、ＣＰＵ１０２により実行されても良い。
何れの場合にもメモリ１０４は一時記憶メモリとしても用いられ得る。
ユーザ・インターフェース１１４は、通信コントローラ１００の動作状態の表示、動作モードの入力などに用いられる。
【００２２】
通信コントロール・プログラムのコードは、複数に分割して、複数の記憶媒体にまたがって記録することもできる。或いは、その複数に分割されたコードの一部は、通信アダプタ１１２及びそれに連なる通信ネットワーク（不図示）を介して、通信コントローラ１００に接続された、他の情報処理装置内の記憶媒体に記録し、分割されたコードをＣＰＵ１０２が協働実行させることもできる。複数の装置に分割されたコードを分散し、そのコードを協働させることは、例えばクライアント・サーバーシステムとして具現化されており、それぞれの装置にどのコードを実行させ、それぞれの機能を実現させるかはシステムの設計に際し適宜選択できる事項であり、本発明はそのいずれの形態をも包含する。
【００２３】
また、通信コントローラは、以下で述べる機能ブロック単位に物理的に分離され、それぞれの機能ブロック毎に、図１に示されるのと同様のハードウェアが用意され、それぞれの機能ブロックが、それぞれの通信ポート１１２を介して協働するようにも構成できる。
【００２４】
尚、上記の各構成要素は例示であり、全ての構成要素が本発明の必須構成要素となるわけではない。
通信コントローラ上で動作するオペレーティングシステムは必須ではないが、Windows XP(R)、AIX(R)、Linux(R)など、標準でグラフィック・ユーザーインターフェース・マルチウインドウ環境をサポートするもの或いは、μITRONのような他のオペレーティングシステムでも良い。
本発明は特定のオペレーティングシステム環境には限定されない。
【００２５】
C システム構成
次に、図２を参照して、通信コントローラ１００の機能ブロック構成を説明する。
図２に示される機能ブロックは、図１に例示されるハードウェアにより実現されるが、それぞれ論理的機能ブロックであって、各々一つのまとまりを持ったハードウエアやソフトウエアによって実現されることを必ずしも意味するのではない。
個々の機能ブロックは、別個の独立したハードウエア若しくはハードウエアの協働、或いは共通のハードウエア若しくはソフトウエアにより具現化可能である。
尚、アドレスに関し、それぞれのユニットが別個のハードウェアにて実現され、ネットワークを介して協働する場合には、それぞれのユニットが固有のアドレスを有するし、全てのユニットが同一の装置内に組み込まれて協働する場合には、それぞれのユニットのアドレスとは当該装置のアドレスを指すものとする。
【００２６】
本発明の好適な実施例においては、通信コントローラ１００は、入出力制御ユニット２０２、アドレス置換ユニット２０４（パケット誘導ユニットとも呼ぶ）、データ転送ユニット２０６（リダイレクタとも呼ぶ）、機器検出ユニット２０８（センサとも呼ぶ）及びアドレス管理ユニット２１０を含む。
入出力制御ユニット２０２は、外部ネットワークから入来したデータを、アドレス置換ユニット２０４、データ転送ユニット２０６、機器検出ユニット２０８に適宜送信し、また、これらユニットから送出されるデータを外部ネットワークに送出する。
入出力制御ユニット２０２は、例えばネットワーク・インターフェースカード（ＮＩＣ）として実装され得る。
典型的には、入出力制御ユニット２０２は、スイッチの通常ポートやミラーポート、或いはネットワークタップ（ネットワーク上に流れる通信データを各種装置に送り込むための、データ・タッピング・デバイス）に接続されることが好ましいが、これには限られない。
【００２７】
アドレス置換ユニット２０４は、好ましくはアドレス解決プロトコル（ARP: Address Resolution Protocol）を用いて、ネットワークを介して他の機器のＡＲＰキャッシュの記憶内容の一部を書き換える。
ARPとは、TCP/IPネットワークにおいて、IPアドレスからEthernetの物理アドレス（MACアドレス）を求めるのに使われるプロトコルであり、ARP要求とARP応答から成り立っている。
ネットワークに接続されたある機器が、他の機器のMACアドレスを取得する必要がある場合、当該他の機器のIPアドレスを含むARP要求を、ネットワーク内にブロードキャストする。
当該ＩＰアドレスを持つ当該他の機器は、自己のMACアドレスを、ARP応答に含めて、ARP要求元にユニキャスト送信する。
このようにして、ネットワーク内の機器は、当該他の機器のMACアドレスを取得することができる。
【００２８】
アドレス置換ユニット２０４は、ARP応答に任意のMACアドレスを含ませて、入出力制御ユニット２０２を介して要求元に送信する機能を有する。任意のMACアドレスは、通信コントローラのユーザがユーザインターフェース１１４を介して入力したものでも良い。
【００２９】
次にアドレス管理ユニット２１０の機能を説明する。
図３は、アドレス管理ユニット２１０が保持するアドレス・テーブル３００の概念図である。
この概念図は、アドレス管理ユニット２１０がアドレス・テーブル３００の形式でこれらアドレスを一箇所にまとめて管理することを必ずしも意味しない。アドレス管理ユニット２１０がアクセス可能な限りにおいて、これらデータの格納場所や格納形式は問わない。
アドレス管理ユニット２１０は、ネットワークに接続された他の機器及び自己のアドレスを含むアドレス・テーブル３００を保持する。
アドレス・テーブル３００は、アドレス置換ユニット２０４、データ転送ユニット２０６、機器検出ユニット２１４から参照され得る。
アドレス管理ユニット２１０は、機器検出ユニット２１４と協働して、これらの情報を取得するが、その詳細は後述する。
【００３０】
次に、図４を参照し、データ転送ユニット２０６の機能を説明する。
データ転送ユニット２０６は、入出力制御ユニット２０２を介してパケットを受信する（ステップ４０２）。
受信したパケットの送信元アドレスが、予め登録された機器のアドレスである場合には（ステップ４０４）、パケットの宛先アドレス照会を行う（ステップ４０６）。
ここで予め登録された機器とは、例えば、認証サーバであっても良い。認証サーバには、ネットワークシステムの利用形態を監視し、その利用形態が当該ネットワークの運用ポリシーに合致することを判断する機能を有するコンピュータ或いはコンピュータ・プログラムが広く含まれる。認証サーバは、ネットワークに新たに接続される機器が、ネットワーク運用ポリシーに合致していることを検査し、合致している場合にのみその機器のネットワークへの接続を許可するものであっても良い。  
或いは、予め登録された機器とは、例えば、ソーリー・サーバ（Sorry Server）であっても良い。ソーリー・サーバとは、アプリケーション・サーバの障害、オーバーロード、またはメンテナンスなど、なんらかの事情でアプリケーション・サーバのサービスが提供されない場合に、その旨をユーザに知らせるための臨時のコンテンツ、例えば、「ただ今アプリケーション・サーバのメンテナンス実施中です」とのメッセージ、をレスポンスとしてアプリケーション・サーバに対し要求を送出した要求元に返すサーバである。
以下では予め登録された機器が認証サーバであるものとして説明するが、認証サーバに限定されるものではない。
【００３１】
登録は、ユーザがユーザ・インターフェース１１４を使用して入力する、或いは、データ転送ユニット２０６が外部機器から入出力制御ユニット２０２を介して受信することで行われ得る。
さて、ステップ４０６において、データ転送ユニット２０６は、パケットの宛先ＩＰアドレスに基づいて、アドレス管理ユニット２１０が管理する、データテーブルを参照し、宛先アドレスのMACアドレスを取得する。
データ転送ユニット２０６は更に、データテーブルから取得したMACアドレスを、受信したIPアドレスとともに、パケットの新しい宛先アドレスとして、もとの宛先アドレスを書き換える（ステップ４０８）。
そして、データ転送ユニット２０６は、新しい宛先アドレスを含むパケットを、入出力制御ユニット２０２を介して、ネットワークへ送信する。
【００３２】
一方、ステップ４０４において、パケットの送信元が、予め登録された機器ではない場合には、データ転送ユニット２０６は、パケットの宛先アドレスを、予め登録された機器の宛先アドレスに置換する（ステップ４１０）。
例えば、データ転送ユニット２０６は、パケットの宛先ＩＰアドレス並びにＭＡＣアドレスを、予め登録された認証サーバの宛先ＩＰアドレス並びにＭＡＣアドレスに置換する。尚、これらアドレスに加えて、必要に応じ、宛先ポート番号（ＴＣＰ／ＵＤＰの場合）或いはアプリケーション・データ内の宛先アドレスを置換しても良い。
ここでアプリケーション・データは、パケットに含まれるデータであって、その中に、宛先アドレスが含まれており、サーバ側でその宛先アドレスが利用されてサービス提供が行われるような場合には、アプリケーション・データ内の宛先アドレスも同時に変更されることが好ましい。
アドレス置換が終了すると、データ転送ユニット２０６はパケットを、入出力制御ユニット２０２を介して、ネットワークへ送信する。
【００３３】
次に、図５を参照し、機器検出ユニット２０８（センサ）の機能を説明する。
機器検出ユニット２０２は、入出力制御ユニット２０２の動作モードをプロミスキャスモード（promiscuous mode）に設定する（ステップ５０２）。
プロミスキャスモードとは、ＮＩＣの動作モードの一つとして当業界では広く知られており、ネットワークを流れるすべてのパケットを受信して読み込むモードである。
入出力制御ユニット２０２は、受信した全てのパケットを機器検出ユニット２０８に送信する（ステップ５０４）。
次に、機器検出ユニット２０８は、受信したパケットに含まれるアドレスを取得する（ステップ５０６）。
そして、当該アドレスを、アドレス管理ユニット２１０が管理する、アドレス・テーブル３００に格納する。前述の通り、典型的にはIPアドレスとMACアドレスの組がアドレス・テーブル３００に格納されるが、これらには限られない。
以上の動作は、機器検出ユニット２０８の機能が解除されるまで（ステップ５１０）続けられる。
以上の動作が続行され、通信コントローラ１００とネットワーク上で同一セグメントに存在する、全ての機器のアドレスがアドレス・テーブル３００内に格納されることが好ましいが、以後で説明する動作に支障のない限り、一部の機器のアドレスが格納されれば足り、全ての機器のアドレスが格納される必要はない。
【００３４】
機器検出ユニット２０８の機能が解除されると、機器検出ユニット２０８のプロミスキャスモードが解除される（５１２）。
解除は、一定時刻の経過、ユーザからの入力等、他の機器からの指令等、どのような契機に基づいても良い。
【００３５】
D  動作のアウトライン
通信コントローラ１００の動作の詳細は以上の通りであるが、ここで、図６、及び図８を用いてその動作の全容を俯瞰しておく。
【００３６】
図６は、通信コントローラ１００が接続され得るネットワーク６００の一例を示す。
図８は、ネットワーク内での各機器の動作手順を示す。
ネットワーク６００には、サーバ５０２、ポータブル・コンピュータ５０４、認証サーバ５１６が含まれる。これらの機器は、レイヤ２スイッチ（L2スイッチ）５０８、５１８を介して相互に接続されている。
コンピュータ・ネットワーク６００に含まれる全ての機器は同一セグメント（ネットワーク上で一度にアクセスできる連続した領域）に属する。
通信コントローラ１００は、このようなネットワーク６００に接続され得るが、これには限定されない。
本実施例では、通信コントローラ１００は、L2スイッチ５０８を介して、他の機器とデータ通信を行えるよう、ネットワーク６００に接続されている。
【００３７】
今、このネットワークにポータブル・コンピュータ５０６が新たに接続され、サーバ５０２との通信を開始するものとする（ステップ８０２）。
この時点で、ポータブル・コンピュータ５０６は、サーバ５０２のIPアドレスを既に、公知の適切な方法で取得しているものとする。
ポータブル・コンピュータ５０６が、サーバ５０２と通信を行うには、サーバ５０２のMACアドレスをも取得することが好ましい。
ポータブル・コンピュータ５０６は、セグメント内の全ての機器に対して、ARPに従い、サーバ５０２のIPアドレス1.1.1.1をブロードキャストし、MACアドレス送信を要求する。
サーバ５０２は、この要求に応答し、MACアドレスa:a:a:a:a:aを、ARP応答の形で、ポータブル・コンピュータ５０６に返信する。
ポータブル・コンピュータ５０６の記憶領域であるARPキャッシュには、サーバ５０２のIPアドレス1.1.1.1と、MACアドレスa:a:a:a:a:aの組が記憶され、これらがサーバ５０２のアドレスとして、以後ポータブル・コンピュータ５０６に使用される（ステップ８０４）。
【００３８】
ここで、通信コントローラ１００のアドレス置換ユニット２０４は、予め定められたデータ転送ユニット２０６のMACアドレスで（本例では、通信コントローラ１００のMACアドレスd:d:d:d:d:d）、ポータブル・コンピュータ５０６のAPRキャッシュ内の、サーバ５０２のMACアドレス（a:a:a:a:a:a）を置換する。
置換のタイミングは適宜調整され得るが、ポータブル・コンピュータ５０６がサーバ５０２からのARP応答を受信した後行われ、ポータブル・コンピュータ５０６が次回サーバ５０２に対してデータ送信を行う前までに行われることが好ましい。
或いは、機器検出ユニット２０８が常時一定時間隔で、アドレス・テーブル３００の更新を行うようにして、未知の機器（本例ではポータブル・コンピュータ５０６）が検出された後、一定時間内、あるいは当該未知の機器を宛先アドレスとするARP返信が行われた直後に、アドレス置換ユニット２０４が、ポータブル・コンピュータ５０６のAPRキャッシュ内のアドレスを置換するようにしても良い。
【００３９】
以上の処理の結果、ポータブル・コンピュータ５０６が保持するサーバ５０２のアドレスは、(IP:1.1.1.1, MAC:d:d:d:d:d:d)に置換される（ステップ８０６）。
TCP/IPプロトコルに従い、次回、ポータブル・コンピュータ５０６がサーバ５０２に対してパケットを送信すると（ステップ８０８）、パケットは、通信コントローラ１００に送信される。
データ転送ユニットは、パケットを受信し（ステップ８１０）、図４を用いて説明した手順で、パケットの宛先アドレスを、予め登録されている認証サーバのアドレス(IP:5.5.5.5, MAC:e:e:e:e:e:e)に書き換えて（ステップ８１２）、当該パケットを再びネットワークに送出する（ステップ８１４）。
【００４０】
ネットワークに送出されたパケットは、公知の手順で、L2スイッチ５０８、５１８を経由して、認証サーバ５１６に届けられる（ステップ８１６）。
パケットを受信した認証サーバ５１６は、自己のARPキャッシュに、パケットの送信元アドレス（IP:3.3.3.3, MAC c:c:c:c:c:c）を格納する（ステップ８１８）。
その後、上記した、ポータブル・コンピュータ５０６のARPキャッシュを書き換える方法と同様にして、アドレス置換ユニット２０４は、認証サーバ５１６のARPキャッシュ内の、ポータブル・コンピュータ５０６のMACアドレス（c:c:c:c:c:c）を、通信コントローラのMACアドレス（d:d:d:d:d:d）に書き換える（ステップ８２０）。
このようにして、認証サーバ５１６から、ポータブル・コンピュータ５０６に送信されるパケットは（ステップ  ８２２）、一旦通信コントローラ１００内のデータ転送ユニット２０６に送信される。
【００４１】
データ転送ユニット２０６は、図４を用いて説明したように、認証サーバ５１６から入来するパケットの宛先を、ポータブル・コンピュータ５０６のアドレスに書き換えて（ステップ４０８）、パケットをポータブル・コンピュータ５０６に送信する（ステップ４１２）。
【００４２】
以上の動作により、ポータブル・コンピュータ５０６からサーバ５０２宛に送信されるパケットは、通信コントローラ１００を経て、予め通信コントローラ１００のデータ転送ユニット２０６に登録されている、認証サーバ５１６に送信される（ステップ  ８２４）。
認証サーバ５１６からパーソナル・コンピュータ５０６送信されるパケットも、通信コントローラ１００のデータ転送ユニット２０６を経由する。
【００４３】
以後、認証サーバ５１６は、例えばポータブル・コンピュータが予め定められたネットワーク運用ポリシー（ネットワークセキュリティポリシーを含む）に合致するか否かを判断する。
ネットワーク運用ポリシーは例えば、ポータブル・コンピュータ５０４、５０６が、(1)それらのスクリーンセーバにパスワードを設定していること、(2)ハードディスクドライブの起動に際しパスワードの入力を要求すること、(3)所定のファイヤウォールが導入され、かつ有効になっていること、(4)所定のウイルス検出ソフトウェアが指定時刻に作動すること、等を含む。
【００４４】
以上のようにして、ネットワーク６００に新たに接続されたポータブル・コンピュータ５０６は、通信コントローラ１００により、強制的に認証サーバ５１６に接続され、所定の検疫・認証プロセスを受ける（ステップ８２６）。
サーバ５１６による認証が完了した場合、データ転送ユニット２０６によるパケットのリダイレクト動作は終了させられることが好ましい。
例えば、認証サーバ５１６が認証終了の旨を、アドレス置換ユニット２０４に通知し、アドレス置換ユニット２０４が、ポータブル・コンピュータ５０６のARPキャッシュ内の、サーバ５０２のアドレスを本来のアドレス即ち、(IP:1.1.1.1, MAC:a:a:a:a:a:a)で置換するようにしても良い。
或いは、パケットのリダイレクト開始後、一定時間後に置換が行われるようにしても良い。
また或いは、認証サーバが、パーソナル・コンピュータ５０６のAPRキャッシュに直接アクセスするようにしても良いだろう（ステップ８２８）。
【００４５】
E  別の実施例
図７は、別のコンピュータ・ネットワーク７００の例を示す。
図６に示されるコンピュータ・ネットワーク６００との相違点は、ルータ５１０、５１２が加えられている点である。即ち、コンピュータ・ネットワーク７００は、サーバ１、パーソナル・コンピュータ５０４、通信コントローラ１００と、L2スイッチを介して、接続され、一つのセグメントを成している。
一方、認証サーバ５１６は、L2スイッチ５１４に接続され、別のセグメントに属している。
これら異なるセグメントは、ルータ５１０、５１２を介して相互接続されている。
このような場合、図８のステップ８２０に代えて、アドレス置換ユニット２０４は、ルータ５１０のARPキャッシュ内の、ポータブル・コンピュータ５０６のMACアドレス（c:c:c:c:c:c）を、通信コントローラのMACアドレス（d:d:d:d:d:d）に書き換える。
そうすることで、認証サーバ５１６から、ポータブル・コンピュータ５０６宛に送られたパケットは、一旦通信コントローラ５０６を経由して、ポータブル・コンピュータ５０６に送信されるようになる。
【００４６】
Ｆ  更に別の実施例
上記実施例では、アドレス置換ユニット２０４が、認証サーバ５１６若しくはルータ５１０のＡＲＰキャッシュを書き換えることにより、認証サーバ５１６からポータブル・コンピュータ５０６への返信パケットが、通信コントローラ１００を経由するようにされている。
別法として、通信コントローラ１００内のデータ転送ユニット２０６が、ポータブル・コンピュータ５０６から受信したパケットを、認証サーバ５１６に転送する際に、パケット内の送信元アドレスを、自己のアドレスに変換することもできる。そうすることで、認証サーバ５１６若しくはルータ５１０のＡＲＰキャッシュを書き換える動作を省略することができる。
図９は、この別法に従う、データ転送ユニット２０４の動作概要を示す。
図１０は、当該別法に従う、通信コントローラ１００の動作の手順を含めた、コンピュータ・ネットワーク内での各機器の動作手順を示す流れ図である。
【００４７】
まず、図９を参照し、当該別法に従う、データ転送ユニット２０６の機能を説明する。
データ転送ユニット２０６は、入出力制御ユニット２０２を介してパケットを受信する（ステップ  ９０２）。
受信したパケットの送信元アドレスが、予め登録された機器のアドレスである場合には（ステップ９０４）、パケットに含まれるポート番号をキーにパケットの宛先アドレスを、アドレス管理ユニット２１０が管理する拡張されたアドレス・テーブル３００内で検索する（ステップ９０６）。当該拡張されたアドレス・テーブル３００の詳細は後述する。
ここで予め登録された機器及びその登録方法は、図４を用いて説明した通りである。
さて、ステップ９０６において、データ転送ユニット２０６は、検索された宛先アドレスを、パケットの新しい宛先アドレスとして、もとの宛先アドレスを書き換える（ステップ９０８）。
そして、データ転送ユニット２０６は、新しい宛先アドレスを含むパケットを、入出力制御ユニット２０２を介して、ネットワークへ送信する（ステップ９１２）。
【００４８】
一方、ステップ９０４において、パケットの送信元が、予め登録された機器ではない場合には、データ転送ユニット２０６は、パケットに含まれるポート番号を、アドレス管理ユニット２１０に送信する。
アドレス管理ユニット２１０は、アドレス・テーブル３００内に、パケットの送信元アドレスと、当該ポート番号を対応付けて格納する（ステップ９０９）。このようにして、アドレス・テーブル３００は、パケット内のポート番号と、そのパケットの送信元との関連を含むよう拡張される。
また、データ転送ユニット２１０は、パケットの宛先アドレスを、予め登録された機器の宛先アドレスに書き換える（ステップ９１０）。アドレス書換えの詳細は、図４を用いて説明した通りである。
更に、データ転送ユニット２１０は、パケットの送信元アドレスを、自己のアドレスに書き換える（ステップ９１０）。
アドレス書換えが終了すると、データ転送ユニット２０６はパケットを、入出力制御ユニット２０２を介して、ネットワークへ送信する（ステップ９１２）。
【００４９】
ここで、図１０を用いて当該別法に従う、各機器の動作の全容を俯瞰しておく。
当該別法は、例えば図６に示されるネットワーク６００にも、図７に示されるネットワーク７００にも適用され得るが、適用範囲はこれらに限られるものではない。
今、このネットワーク６００にポータブル・コンピュータ５０６が新たに接続され、サーバ５０２との通信を開始するものとする（ステップ１００２）。
以後、データ転送ユニットが、ポータブル・コンピュータ５０６からのパケットを受信するまでの処理は、図８を用いて説明した場合と同じである。
データ転送ユニット２０６は、パケットを受信（ステップ１０１０）すると、図９を用いて説明したように、パケットに含まれるポート番号を、アドレス管理ユニット２１０に送信する。アドレス管理ユニット２１０は、データテーブル３００内に、当該ポート番号と、パケットの送信元アドレス（IP:3.3.3.3, MAC:c:c:c:c:c:c）とを関連付けて記憶する（ステップ１０１１）。
そして、データ転送ユニット２０６は、パケットの宛先アドレスを、予め登録されている認証サーバのアドレス(IP:5.5.5.5, MAC:e:e:e:e:e:e)に書き換える（ステップ１０１２）。
また、データ転送ユニット２０６は、パケットの送信元アドレスを、自己のアドレス(IP:4.4.4.4, MAC:d:d:d:d:d:d)に書き換える（ステップ１０１２）。
【００５０】
パケットの宛先アドレス、送信元アドレスの書換えが終了すると、データ転送ユニット２０６は、パケットをネットワーク６００に送出する（ステップ１０１４）。
ネットワークに送出されたパケットは、公知の手順で、L2スイッチ５０８、５１８を経由して、認証サーバ５１６に届けられる（ステップ１０１６）。
パケットを受信した認証サーバ５１６は、自己のARPキャッシュに、パケットの送信元アドレス、即ちデータ転送ユニット２０６のアドレス（IP:4.4.4.4, MAC:d:d:d:d:d:d）を格納する（ステップ１０１８）。
したがって、ポータブル・コンピュータ５０６から、データ転送ユニット２０６を経由して、認証サーバ５１６が受信したパケットに対する、返信パケットは、一旦通信コントローラ１００内のデータ転送ユニット２０６に送信される（ステップ１０２２）。
【００５１】
データ転送ユニット２０６は、図９を用いて説明したように、認証サーバ５１６から入来するパケットに含まれるポート番号をキーにパケットの宛先アドレスを、アドレス管理ユニット２１０が管理するデータテーブル内で検索する（ステップ９０６）。そして、データ転送ユニット２０６は、検索された宛先アドレス（IP:3.3.3.3, MAC:c:c:c:c:c:c）を、パケットの新しい宛先アドレスとして、もとの宛先アドレスを書き換え（ステップ９０８）、パケットをポータブル・コンピュータ５０６に送信する（ステップ９１２）。
【００５２】
以上の動作により、ポータブル・コンピュータ５０６からサーバ５０２宛に送信されるパケットは、通信コントローラ１００を経て、予め通信コントローラ１００のデータ転送ユニット２０６に登録されている、認証サーバ５１６に送信される。
認証サーバ５１６からパーソナル・コンピュータ５０６送信されるパケットも、通信コントローラ１００のデータ転送ユニット２０６を経由する。
【００５３】
以後、認証サーバ５１６は、例えばポータブル・コンピュータ５０６が予め定められたネットワーク運用ポリシー（ネットワークセキュリティポリシーを含む）に合致するか否かを判断する。
ネットワーク運用ポリシーの詳細は前述の通りである。
【００５４】
以上のようにして、ネットワーク６００に新たに接続されたポータブル・コンピュータ５０６は、通信コントローラ１００により、強制的に認証サーバ５１６に接続され、所定の検疫・認証プロセスを受ける（ステップ  １０２６）。
サーバ５１６による認証が完了した後の動作は、前述の通りである。
【符号の説明】
【００５５】
１００  通信コントローラ
２０４  アドレス置換ユニット
２０６  データ転送ユニット
２０８  機器検出ユニット
２１０  アドレス管理ユニット
３００  アドレス・テーブル
５０２  サーバ
５０６  ポータブル・コンピュータ
５０８  Ｌ２スイッチ
５１０  ルータ
５１２  ルータ
５１６  認証サーバ
５１８  Ｌ２スイッチ
【図１】
2011029749.tif 000003
【図２】
2011029749.tif 000004
【図３】
2011029749.tif 000005
【図４】
2011029749.tif 000006
【図５】
2011029749.tif 000007
【図６】
2011029749.tif 000008
【図７】
2011029749.tif 000009
【図８】
2011029749.tif 000010
【図９】
2011029749.tif 000011
【図１０】
2011029749.tif 000012