(57)【要約】【課題】ネットワーク機器の負荷を軽減して各種性能の低下を防止するとともに、ネットワーク機器制御システムの耐障害性を向上でき、かつ、アクセス制御装置と特定の端末との間でのみ通信を可能にする。【解決手段】端末３０ａ〜３０ｎから送信されてきた認証用通信が、ネットワーク機器２０を通過してアドレス制御装置１０のＤＨＣＰサーバ１１へ到達する。許可手段１２において、ＤＨＣＰサーバ１１でのＩＰアドレスの払い出しが確認されると、このＤＨＣＰサーバ１１から端末情報が取り出され、許可情報データベース１３に記憶されている許可情報との比較判断が実行される。判断の結果、許可情報に端末情報が含まれているときは、この端末情報が設定手段１４へ送られる。そして、設定手段１４が、ネットワーク機器２０の制御手段２１に対し、ポート使用可否の設定を行う。【選択図】　　　図１
2004064204.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを利用して、ネットワーク機器のポートに接続された一又は二以上の端末とアクセス制御装置との間で通信を実行するネットワーク機器アクセス制御方法であって、
前記端末が、前記ネットワーク機器を介して前記アクセス制御装置へ、認証用通信を送信する認証用通信送信段階と、
前記アクセス制御装置が、前記端末との間の前記通信を許可するか否かを判断する通信許可判断段階と、
この通信許可判断段階で通信許可と判断されると、前記アクセス制御装置が、前記ネットワーク機器に対して、ポート使用許可の設定を行う通知・設定段階とを有した
ことを特徴とするネットワーク機器アクセス制御方法。
【請求項２】
前記アクセス制御装置の有する識別情報割当サーバを対象識別情報割当サーバとして予め設定しておく処理と、前記認証用通信を通過させる処理とを前記ネットワーク機器が行う識別情報割当サーバ設定段階を有した
ことを特徴とする請求項１記載のネットワーク機器アクセス制御方法。
【請求項３】
前記ネットワーク機器が、前記認証用通信を通過させる際に、端末識別情報及び／又はネットワーク識別情報などの識別情報を付加する
ことを特徴とする請求項１又は２記載のネットワーク機器アクセス制御方法。
【請求項４】
前記通信許可判断段階が、
前記通信を許可する前記端末の情報を、許可情報として、前記アクセス制御装置が予め記憶する処理と、
前記認証用通信を送信してきた前記端末に関する端末情報の一部又は全部と一致する情報を、前記許可情報の中から検索し、この検索の結果にもとづいて、前記端末との間の前記通信を許可するか否かを判断する処理とを有した
ことを特徴とする請求項１，２又は３記載のネットワーク機器アクセス制御方法。
【請求項５】
前記通知・設定段階が、
前記アクセス制御装置において、前記ネットワーク機器から設定情報を収集する処理と、
前記識別情報と前記ポートとの対応情報を生成する処理と、
前記設定情報、前記対応情報及び／又は前記端末情報にもとづいてポート登録情報を生成し、この生成したポート登録情報を前記ネットワーク機器へ送出することにより前記ポート使用可否の設定を行う処理とを含む
ことを特徴とする請求項１，２，３又は４記載のネットワーク機器アクセス制御方法。
【請求項６】
ネットワークに接続されるとともに、複数のポートを有したネットワーク機器と、
このネットワーク機器の前記ポートに接続された一又は二以上の端末と、
前記ネットワークを利用して、特定の前記端末との間でのみ通信を実行するアクセス制御装置とを備えたネットワーク機器制御システムであって、
前記端末は、前記ネットワーク機器を介して前記アクセス制御装置へ、認証用通信を送信し、
前記アクセス制御装置は、前記認証用通信を送信してきた前記端末との間の前記通信を許可するか否かを判断するとともに、この判断の結果にもとづいて、前記ネットワーク機器に対し、ポート使用許可の設定を行う
ことを特徴とするネットワーク機器制御システム。
【請求項７】
前記ネットワーク機器が、
前記端末からの認証用通信を通過させる制御手段を有し、
前記アクセス制御装置が、
前記認証用通信を送信してきた前記端末へ、端末識別情報及び／又はネットワーク識別情報を払い出す識別情報割当サーバと、
前記通信を許可する前記端末の情報を、許可情報として、予め記憶する許可情報データベースと、
前記認証用通信を送信してきた前記端末に関する端末情報を前記識別情報割当サーバから取り出し、この取り出した端末情報の一部又は全部と一致する情報を前記許可情報データベースに記憶されている前記許可情報の中から検索する許可手段と、
この許可手段での検索結果にもとづいて、前記ネットワーク機器の前記制御手段に対し、ポート使用可否の設定を行う設定手段とを有した
ことを特徴とする請求項６記載のネットワーク機器制御システム。
【請求項８】
前記ネットワーク機器の前記制御手段が、
前記アクセス制御装置の前記識別情報割当サーバを対象識別情報割当サーバとして設定する
ことを特徴とする請求項６又は７記載のネットワーク機器制御システム。
【請求項９】
ネットワークを利用して、ネットワーク機器のポートに接続された一又は二以上の端末との間で通信を実行するアクセス制御装置であって、
認証用通信を送信してきた前記端末へ、端末識別情報及び／又はネットワーク識別情報などの識別情報を払い出す識別情報割当サーバと、
前記通信を許可する前記端末の情報を、許可情報として、予め記憶する許可情報データベースと、
前記認証用通信を送信してきた前記端末に関する端末情報を前記識別情報割当サーバから取り出すとともに、この取り出した端末情報の一部又は全部と一致する情報を前記許可情報データベースに記憶された前記許可情報の中から検索する許可手段と、
この許可手段での前記検索の結果にもとづいて、前記ネットワーク機器に対し、ポート使用可否の設定を行う設定手段とを有した
ことを特徴とするアクセス制御装置。
【請求項１０】
前記設定手段が、
前記ネットワーク機器から設定情報を収集するとともに、前記識別情報と前記ポートとの対応情報を生成し、かつ、前記設定情報、前記対応情報及び／又は前記端末情報にもとづきポート登録情報を生成して、前記ネットワーク機器へ送出する
ことを特徴とする請求項９記載のアクセス制御装置。
【請求項１１】
ネットワークを利用して、ネットワーク機器のポートに接続された一又は二以上の端末との間で通信を行う処理をアクセス制御装置に実行させるネットワーク機器アクセス制御プログラムであって、
前記端末との間の前記通信を許可するか否かを判断する処理と、
この処理で通信許可と判断されると、前記ネットワーク機器に対して、ポート使用許可の設定を行う処理とを前記アクセス制御装置に実行させる
ことを特徴とするネットワーク機器アクセス制御プログラム。
【請求項１２】
前記通信を許可する前記端末の情報を許可情報として予め記憶しておく処理と、
認証用通信を送信してきた前記端末に関する端末情報の一部又は全部と一致する情報を、前記許可情報の中から検索する処理と、
この処理における前記検索の結果にもとづいて、前記端末との間の前記通信を許可するか否かを判断する処理と、
この処理における前記判断の結果にもとづいて、前記ネットワーク機器に対し、ポート使用可否の設定を行う処理とを前記アクセス制御装置に実行させる
ことを特徴とする請求項１１記載のネットワーク機器アクセス制御プログラム。
【請求項１３】
前記アクセス制御装置の有する識別情報割当サーバを対象識別情報割当サーバとして設定する処理と、前記認証用通信を通過させる処理とを前記ネットワーク機器に実行させる
ことを特徴とする請求項１１又は１２記載のネットワーク機器アクセス制御プログラム。
【請求項１４】
前記ネットワーク機器から設定情報を収集する処理と、
端末識別情報及び／又はネットワーク識別情報などの識別情報と前記ポートとの対応情報を生成する処理と、
前記設定情報、前記対応情報及び／又は前記端末情報にもとづいてポート登録情報を生成し、この生成したポート登録情報を前記ネットワーク機器へ送出する処理とを前記アクセス制御装置に実行させる
ことを特徴とする請求項１１，１２又は１３記載のネットワーク機器アクセス制御プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク機器アクセス制御方法、ネットワーク機器制御システム、アクセス制御装置及びそのプログラムに関し、特に、ネットワーク機器のポートに接続された一又は二以上の端末のうち特定の端末に対してのみ、アクセス制御装置が通信を実行するネットワーク機器アクセス制御方法、ネットワーク機器制御システム、アクセス制御装置及びそのプログラムに関する。
【０００２】
【従来の技術】
従来、ネットワーク機器においては、通信可能な端末を制御する仕組みとして、端末のＭＡＣアドレスを利用したＭＡＣ−Ｂａｓｅｄ−ＶＬＡＮ方式が知られている。
このＭＡＣ−Ｂａｓｅｄ−ＶＬＡＮ方式は、スイッチングハブなどのネットワーク中継機器において、ポートごとに端末のＭＡＣアドレスを登録し、非登録端末の通信を拒否するようなアクセス制御を実現している。
【０００３】
このＭＡＣ−Ｂａｓｅｄ−ＶＬＡＮ方式を用いて、ネットワーク中継機器の各ポートごとに使用可能／使用不可を設定する従来技術の一例が、特開２００２−１４１９１６号公報に、ネットワーク管理システム並びにそれに用いるネットワーク中継機器及びネットワーク管理装置として開示されている。
【０００４】
この公報に開示のネットワーク管理システム並びにそれに用いるネットワーク中継機器及びネットワーク管理装置によれば、ホスト名（識別キー），ユーザＩＤ，ＩＰアドレス，ＭＡＣアドレス等の端末情報によって認証されている端末のみが、ネットワークにアクセスできるようになり、ネットワークのセキュリティを確保できる。
【０００５】
【発明が解決しようとする課題】
しかしながら、従来のネットワーク管理システム並びにそれに用いるネットワーク中継機器及びネットワーク管理装置においては、ネットワーク中継機器がすべての端末情報を収集管理していたため、このネットワーク機器に負荷がかかりすぎて、パケット転送処理などの性能が落ちるという問題があった。
【０００６】
さらに、ネットワーク機器は、ポート使用可否の設定を行うために端末情報を管理することになるが、このネットワーク機器がダウンした場合には、その端末情報が失われてしまい修復が困難になるという耐障害性の問題があった。
【０００７】
本発明は、上記の問題を解決すべくなされたものであり、アクセス制御装置と特定の端末との間でのみ通信を可能とするとともに、ネットワーク機器の負荷を軽減して各種性能の低下を防止でき、かつ、ネットワーク機器制御システム全体の耐障害性の向上を可能とするネットワーク機器アクセス制御方法、ネットワーク機器制御システム、アクセス制御装置及びそのプログラムの提供を目的とする。
【０００８】
【課題を解決するための手段】
この目的を達成するため、本発明の請求項１記載のネットワーク機器アクセス制御方法は、ネットワークを利用して、ネットワーク機器のポートに接続された一又は二以上の端末とアクセス制御装置との間で通信を実行するネットワーク機器アクセス制御方法であって、端末が、ネットワーク機器を介してアクセス制御装置へ、認証用通信を送信する認証用通信送信段階と、アクセス制御装置が、端末との間の通信を許可するか否かを判断する通信許可判断段階と、この通信許可判断段階で通信許可と判断されると、アクセス制御装置が、ネットワーク機器に対して、ポート使用許可の設定を行う通知・設定段階とを有した方法としてある。
【０００９】
ネットワーク機器アクセス制御方法をこのような方法とすると、アクセス制御装置がネットワーク機器に対してポート使用可否の設定を行うため、アクセス制御装置は、特定の端末との間でのみ通信を行うことができる。
そして、そのポート使用可否の設定が、アクセス制御装置からネットワーク機器に対して行われるものであって、ネットワーク機器自身が行うものではないため、ネットワーク機器の負荷が軽減される。
したがって、このネットワーク機器においては、パケット転送処理などに代表される各種性能の低下を防止できる。
【００１０】
加えて、ポート使用可否の設定がアクセス制御装置で行われることから、端末情報がそのアクセス制御装置においても管理される。このため、バックアップなどを含め情報の管理が効率的に行えるとともに、ネットワーク機器がダウンした場合であっても、アクセス制御装置から情報を再設定するだけで対応できる。
したがって、ネットワーク機器制御システムにおける耐障害性の向上を図ることができる。
【００１１】
また、請求項２記載のネットワーク機器アクセス制御方法は、アクセス制御装置の有する識別情報割当サーバを対象識別情報割当サーバとして予め設定しておく処理と、認証用通信を通過させる処理とをネットワーク機器が行う識別情報割当サーバ設定段階を有した方法としてある。
【００１２】
ネットワーク機器アクセス制御方法をこのような方法とすれば、ネットワーク機器は、アクセス制御装置の識別情報割当サーバ（たとえば、ＤＨＣＰサーバ等）を対象識別情報割当サーバとして設定することで、端末からの認証用通信（たとえば、ＤＨＣＰ−ＤＩＳＣＯＶＥＲパケット送信）を通過させることができる。
このため、ネットワーク機器は、自らがアクセス制御装置へ認証用通信を送信するといった処理の負担を軽減できる。したがって、このネットワーク機器における各種性能の低下を防止できる。
【００１３】
また、請求項３記載のネットワーク機器アクセス制御方法は、ネットワーク機器が、認証用通信を通過させる際に、端末識別情報及び／又はネットワーク識別情報などの識別情報を付加する方法としてある。
ネットワーク機器アクセス制御方法をこのような方法とすると、アクセス制御装置における端末情報と許可情報との比較判断の対象として、端末識別情報やネットワーク識別情報（たとえば、ＩＰアドレス，ＭＡＣアドレス、ＩＰサブネット等）を用いることができる。
【００１４】
また、請求項４記載のネットワーク機器アクセス制御方法は、通信許可判断段階が、通信を許可する端末の情報を、許可情報として、アクセス制御装置が予め記憶する処理と、認証用通信を送信してきた端末に関する端末情報の一部又は全部と一致する情報を、許可情報の中から検索し、この検索の結果にもとづいて、端末との間の通信を許可するか否かを判断する処理とを有した方法としてある。
【００１５】
ネットワーク機器アクセス制御方法をこのような方法とすれば、アクセス制御装置は、認証用通信を送信してきた端末との通信を行うか否かを、その検索の結果にもとづいて判断できる。
そして、その判断がネットワーク機器ではなく、アクセス制御装置で実行可能なことから、ネットワーク機器においては、その判断処理の負担を軽減できる。従って、そのネットワーク機器における各種性能の低下を防止できる。
【００１６】
また、請求項５記載のネットワーク機器アクセス制御方法は、通知・設定段階が、アクセス制御装置において、ネットワーク機器から設定情報を収集する処理と、識別情報とポートとの対応情報を生成する処理と、設定情報、対応情報及び／又は端末情報にもとづいてポート登録情報を生成し、この生成したポート登録情報をネットワーク機器へ送出することによりポート使用可否の設定を行う処理とを含む方法としてある。
【００１７】
ネットワーク機器アクセス制御方法をこのような方法とすると、アクセス制御装置は、ネットワーク機器に対して、ポート使用可否の設定を行うができる。このため、ネットワーク機器は、従来、自身でポート使用可否を設定していたことに比べて、その処理負担を軽減できる。
したがって、ネットワーク機器は、パケット転送処理などの性能の低下を防止できる。
【００１８】
また、請求項６記載のネットワーク機器制御システムは、ネットワークに接続されるとともに、複数のポートを有したネットワーク機器と、このネットワーク機器のポートに接続された一又は二以上の端末と、ネットワークを利用して、特定の端末との間でのみ通信を実行するアクセス制御装置とを備えたネットワーク機器制御システムであって、端末は、ネットワーク機器を介してアクセス制御装置へ、認証用通信を送信し、アクセス制御装置は、認証用通信を送信してきた端末との間の通信を許可するか否かを判断するとともに、この判断の結果にもとづいて、ネットワーク機器に対し、ポート使用許可の設定を行う構成としてある。
【００１９】
ネットワーク機器制御システムをこのような構成とすれば、アクセス制御装置が、端末との間の通信を許可する場合に、ネットワーク機器に対してポート使用許可の設定を行うため、ネットワーク機器は、その設定処理を行う必要がなくなる。
したがって、ネットワーク機器の負担が軽減されることから、このネットワーク機器における各種性能の低下を防ぐことができる。
【００２０】
また、請求項７記載のネットワーク機器制御システムは、ネットワーク機器が、端末からの認証用通信を通過させる制御手段を有し、アクセス制御装置が、認証用通信を送信してきた端末へ、端末識別情報及び／又はネットワーク識別情報を払い出す識別情報割当サーバと、通信を許可する端末の情報を、許可情報として、予め記憶する許可情報データベースと、認証用通信を送信してきた端末に関する端末情報を識別情報割当サーバから取り出し、この取り出した端末情報の一部又は全部と一致する情報を許可情報データベースに記憶されている許可情報の中から検索する許可手段と、この許可手段での検索結果にもとづいて、ネットワーク機器の制御手段に対し、ポート使用可否の設定を行う設定手段とを有した構成としてある。
【００２１】
ネットワーク機器制御システムをこのような構成とすると、ネットワーク機器は、制御手段において、端末からの認証用通信を通過させることができる。このため、ネットワーク機器は、その認証用通信をアクセス制御装置へ送信する処理の負担を軽減できる。
さらに、ネットワーク機器は、自身がポート使用可否を設定するのではなく、アクセス制御装置からその設定を受けるため、そのポート使用可否の設定処理の負荷を軽減できる。
このため、ネットワーク機器は、これら処理の負荷を軽減できることから、パケット転送処理などの性能の低下を防止できる。
【００２２】
そして、アクセス制御装置においては、ネットワーク機器に対して、ポート使用可否の設定が行われることから、端末情報や許可情報が記憶管理されている。
このため、アクセス制御装置において、バックアップなどを含め情報の管理を効率的に行うことができ、かつ、ネットワーク機器がダウンした場合においても、アクセス制御装置から情報を再設定するだけで対応できる。したがって、ネットワーク機器制御システムにおける耐障害性を向上できる。
【００２３】
また、請求項８記載のネットワーク機器制御システムは、ネットワーク機器の制御手段が、アクセス制御装置の識別情報割当サーバを対象識別情報割当サーバとして設定する構成としてある。
ネットワーク機器制御システムをこのような構成とすれば、ネットワーク機器は、端末からの認証用通信（たとえば、ＤＨＣＰ−ＤＩＳＣＯＶＥＲパケット送信等）を通過させることができる。このため、ネットワーク機器は、認証用通信の送信負荷を軽減できる。
したがって、ネットワーク機器における各種性能の低下を防止できる。
【００２４】
また、請求項９記載のアクセス制御装置は、ネットワークを利用して、ネットワーク機器のポートに接続された一又は二以上の端末との間で通信を実行するアクセス制御装置であって、認証用通信を送信してきた端末へ、端末識別情報及び／又はネットワーク識別情報などの識別情報を払い出す識別情報割当サーバと、通信を許可する端末の情報を、許可情報として、予め記憶する許可情報データベースと、認証用通信を送信してきた端末に関する端末情報を識別情報割当サーバから取り出すとともに、この取り出した端末情報の一部又は全部と一致する情報を許可情報データベースに記憶された許可情報の中から検索する許可手段と、この許可手段での検索の結果にもとづいて、ネットワーク機器に対し、ポート使用可否の設定を行う設定手段とを有した構成としてある。
【００２５】
アクセス制御装置をこのような構成とすると、ネットワーク機器に対して、ポート使用可否の設定を行うことができる。
このため、ネットワーク機器は、自らポート使用可否を設定する必要がなくなることから、この設定負荷を軽減できる。したがって、ネットワーク機器における各種性能の低下を防止できる。
【００２６】
また、請求項１０記載のアクセス制御装置は、設定手段が、ネットワーク機器から設定情報を収集するとともに、識別情報とポートとの対応情報を生成し、かつ、設定情報、対応情報及び／又は
端末情報にもとづきポート登録情報を生成して、ネットワーク機器へ送出する構成としてある。
【００２７】
アクセス制御装置をこのような構成とすれば、設定手段は、ネットワーク機器に対して、ポート使用可否の設定を行うことができる。
このため、ネットワーク機器は、自らポート使用可否を設定する必要がなくなることから、この設定負荷を軽減できる。したがって、ネットワーク機器における各種性能の低下を防ぐことができる。
【００２８】
また、請求項１１記載のネットワーク機器アクセス制御プログラムは、ネットワークを利用して、ネットワーク機器のポートに接続された一又は二以上の端末との間で通信を行う処理をアクセス制御装置に実行させるネットワーク機器アクセス制御プログラムであって、端末との間の通信を許可するか否かを判断する処理と、この処理で通信許可と判断されると、ネットワーク機器に対して、ポート使用許可の設定を行う処理とをアクセス制御装置に実行させる構成としてある。
【００２９】
このようなプログラムをアクセス制御装置に読み込ませて実行させることにより、アクセス制御装置は、ネットワーク機器に対して、ポート使用可否を設定しにいくことができる。
このため、ネットワーク機器においては、ポート使用可否の設定を処理する必要がなくなることから、それら処理の軽減により、パケット転送処理などの性能の低下を防止できる。
【００３０】
さらに、本請求項のネットワーク機器アクセス制御プログラムを記録媒体に記録させることにより、プログラムの保存管理，バックアップ保存，プログラムメンテナンス，バージョンアップ時の再インストールなどが容易となる。
【００３１】
また、請求項１２記載のネットワーク機器アクセス制御プログラムは、通信を許可する端末の情報を許可情報として予め記憶しておく処理と、認証用通信を送信してきた端末に関する端末情報の一部又は全部と一致する情報を、許可情報の中から検索する処理と、この処理における検索の結果にもとづいて、端末との間の通信を許可するか否かを判断する処理と、この処理における判断の結果にもとづいて、ネットワーク機器に対し、ポート使用可否の設定を行う処理とをアクセス制御装置に実行させる構成としてある。
【００３２】
このようなネットワーク機器アクセス制御プログラムをアクセス制御装置に読み込ませて実行させることにより、アクセス制御装置は、ネットワーク機器に対して、ポート使用可否を設定しにいくことができる。
これにより、ネットワーク機器は、自らポート使用可否の設定処理を実行しなくてもよいことから、この処理負担を軽減でき、各種性能の低下を防止できる。
【００３３】
また、請求項１３記載のネットワーク機器アクセス制御プログラムは、アクセス制御装置の有する識別情報割当サーバを対象識別情報割当サーバとして設定する処理と、認証用通信を通過させる処理とをネットワーク機器に実行させる構成としてある。
【００３４】
このようなネットワーク機器アクセス制御プログラムをネットワーク機器に読み込ませて実行させることにより、ネットワーク機器は、端末からの認証用通信を通過させることができる。
このため、ネットワーク機器は、認証用通信をアクセス制御装置へ送信する処理を実行しなくてもよいことから、この処理負担を軽減できる。したがって、この処理の軽減により、パケット転送処理などの性能の低下を防止できる。
【００３５】
また、請求項１４記載のネットワーク機器アクセス制御プログラムは、ネットワーク機器から設定情報を収集する処理と、端末識別情報及び／又はネットワーク識別情報などの識別情報とポートとの対応情報を生成する処理と、設定情報、対応情報及び／又は端末情報にもとづいてポート登録情報を生成し、この生成したポート登録情報をネットワーク機器へ送出する処理とをアクセス制御装置に実行させる構成としてある。
【００３６】
このようなネットワーク機器アクセス制御プログラムをアクセス制御装置に読み込ませて実行させることにより、アクセス制御装置は、ネットワーク機器に対して、ポート使用可否を設定しにいくことができる。
このため、ネットワーク機器は、自らがポート使用可否の設定処理を実行しなくてもよくなることから、この処理負担を軽減でき、各種性能の低下を防止できる。
【００３７】
【発明の実施の形態】
以下、本発明の実施の形態について、図面を参照して説明する。
まず、本発明のネットワーク機器制御システム及びアクセス制御装置の実施形態について、図１を参照して説明する。
同図は、本実施形態のネットワーク機器制御システム（ネットワーク機器アクセス制御システム）の構成を示すブロック図である。
【００３８】
同図に示すように、ネットワーク機器アクセス制御システム１は、クライアント／サーバ方式を採用しており、アクセス制御装置１０と、ネットワーク機器２０と、端末３０（３０ａ〜３０ｎ）と、中継装置４０と、ネットワーク５０とを有している。
ここで、アクセス制御装置１０は、プログラム制御により動作するコンピュータであって、ＤＨＣＰサーバ１１と、許可手段１２と、許可情報データベース１３と、設定手段１４とを有している。
【００３９】
ＤＨＣＰサーバ１１は、ＤＨＣＰ（Ｄｙｎａｍｉｃ　Ｈｏｓｔ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）により、ネットワーク機器アクセス制御システム１におけるＩＰアドレスを一元管理する。
通常、ＤＨＣＰサーバ１１は、同一サブネットごとに設置され、クライアント（端末３０ａ〜３０ｎ）の要求に応じてＩＰアドレスの動的割り当てを行う。これにより、クライアント（端末３０ａ〜３０ｎ）は、個別にＩＰアドレスの設定を行うことなく、ＴＣＰ／ＩＰ通信を行うことができる。
【００４０】
なお、ＤＨＣＰサーバ１１は、端末３０ａ〜３０ｎやネットワーク５０等を識別するための情報（端末識別情報やネットワーク識別情報などの識別情報）を端末３０ａ〜３０ｎ等に割り当てるためのサーバ（識別情報割当サーバ）の代表例として設けられている。
このため、ＤＨＣＰサーバ１１は、ネットワーク機器アクセス制御システム１で用いられている通信プロトコルに対応した識別情報割当サーバに代えることができる。
【００４１】
端末識別情報の具体例としては、ＩＰアドレス，ＭＡＣアドレスなどがあり、またネットワーク識別情報の具体例としては、ＩＰサブネットなどがある。
ただし、端末識別情報やネットワーク識別情報は、それら具体例に限るものではなく、ネットワーク機器アクセス制御システム１で用いられている通信プロトコルに対応するアドレス等を含む。
【００４２】
許可手段１２は、ＤＨＣＰサーバ１１におけるＩＰアドレス払い出しを監視する。そして、ＤＨＣＰサーバ１１が端末３０に対してＩＰアドレスの払い出しを行うと、許可手段１２は、ＤＨＣＰサーバ１１のログファイル（図示せず）等から、その端末３０に関する情報（端末情報、たとえば、その端末３０のＭＡＣアドレス，ＩＰアドレス，ＩＰサブネットなど）を取り出す。
【００４３】
さらに、許可手段１２は、ＤＨＣＰサーバ１１から取り出した端末情報と、許可情報データベース１３に登録されている許可情報とを比較判断する。
この比較判断の具体例としては、たとえば、ＤＨＣＰサーバ１１から取り出された端末情報に含まれているＭＡＣアドレスが、許可情報データベース１３に記憶されているＭＡＣアドレスのリストの中にあるか否かを検索するものがある。
【００４４】
そして、この検索の結果、許可情報データベース１３にその端末情報のＭＡＣアドレスが含まれているときは、許可手段１２は、その端末情報を設定手段１４へ送る。このとき、許可手段１２は、そのＭＡＣアドレスの含まれている許可情報を、許可情報データベース１３から取り出して設定手段１４へ送ることもできる。
一方、含まれていないときは、その端末情報は、設定手段１４へは送られない。
【００４５】
許可情報データベース１３には、通信を許可する端末３０に関する情報（たとえば、ＭＡＣアドレスのリストなど）が、許可情報として設定・登録されている。
設定手段１４は、ネットワーク機器２０の制御手段２１（後述）から、ネットワーク設定情報を収集し、ＩＰサブネットとネットワーク機器２０のポート２２ａ〜２２ｎとの対応情報を生成する。
【００４６】
さらに、設定手段１４は、許可手段１２から端末情報を受け取り、この端末情報にもとづいて、端末３０のＭＡＣアドレスをネットワーク機器２０におけるいずれのポート２２ａ〜２２ｎに登録するかを示す情報（ポート登録情報）を生成する。
そして、この生成したポート登録情報を、ネットワーク機器２０の制御手段２１へ送る。これにより、その端末３０の通信がネットワーク機器２０を通過できるように、ネットワーク機器２０の制御手段２１（後述）に対して、その端末情報を設定する（ポート使用可否の設定）。
【００４７】
なお、図１においては、ＤＨＣＰサーバ１１，許可手段１２，許可情報データベース１３及び設定手段１４が、一つのアクセス制御装置１０内に設けられているが、一つのアクセス制御装置１０内に限るものではなく、それらのうち一又は二以上を他の装置に設けることもできる。
また、ポート使用可否の設定には、ポート使用可能の設定と、ポート使用不可の設定とを含む。
【００４８】
ネットワーク機器２０は、プログラム制御により動作するコンピュータであって、制御手段２１と、複数のポート２２（ポート２２ａ〜２２ｎ）とを有している。
制御手段２１は、アクセス制御装置１０の設定手段１４からポート登録情報と対応する端末情報を受け取り、各ポート２２ａ〜２２ｎに設定する。
【００４９】
さらに、制御手段２１は、端末情報やポート登録情報等を記憶する記憶部（図示せず）を有している。これにより、制御手段２１は、端末３０からのその後の通信について、記憶部から取り出したポート登録情報等にもとづいて、通信を実行するか否かを判断する。
【００５０】
端末３０は、プログラム制御により動作するコンピュータであって、ＤＨＣＰの設定がなされており、起動時にはアクセス制御装置１０へ認証用通信（ＤＨＣＰ−ＤＩＳＣＯＶＥＲパケット）を送信する。
この端末３０は、同図に示すように、ネットワーク機器２０との間で、直接接続することも、また、中継装置４０を介して接続することもできる。
【００５１】
中継装置４０は、複数の端末３０とネットワーク機器２０とを接続する集線機器であって、たとえば、ＨＵＢなどを用いることができる。
ネットワーク５０は、従来公知の任意好適な公衆回線、商業回線又は専用回線等を用いることができる。
【００５２】
次に、本実施形態のネットワーク機器アクセス制御システムの動作（ネットワーク機器アクセス制御方法）について、図２を参照して説明する。
同図は、本実施形態のネットワーク機器アクセス制御方法の処理手順を示す動作手順図である。
なお、本実施形態においては、認証用通信を送信する端末を端末３０ｘとする。
また、図１に示す端末３０ａ〜３０ｎには、それぞれＤＨＣＰの設定がなされているものとする。
【００５３】
図２に示すように、端末３０ｘにおいてもＤＨＣＰの設定がなされており（ステップ１０）、その起動時に、ＤＨＣＰ−ＤＩＳＣＯＶＥＲパケットが、端末３０ｘからネットワーク機器２０を介してネットワーク機器２０へ送信される（ステップ１１、認証用通信送信段階）。
このＤＨＣＰ−ＤＩＳＣＯＶＥＲパケットは、ブロードキャストとして送信され、ネットワーク機器２０に到達する。
【００５４】
そのＤＨＣＰ−ＤＩＳＣＯＶＥＲパケットの通過点となるネットワーク機器２０においては、予め、ＤＨＣＰリレーエージェントが動作されていて、アクセス制御装置１０のＤＨＣＰサーバ１１が対象ＤＨＣＰサーバとして設定されている（ステップ１２、識別情報割当サーバ設定段階）。
このため、端末３０ｘから送られてきたＤＨＣＰ−ＤＩＳＣＯＶＥＲパケットは、ネットワーク機器２０を通過してアクセス制御装置１０に到達できる（ステップ１３）。
【００５５】
ただし、ネットワーク機器２０を通過する際、ＤＨＣＰ−ＤＩＳＣＯＶＥＲパケットは、ネットワーク機器２０により端末３０ｘのＩＰサブネット情報が付加されてから、アクセス制御装置１０のＤＨＣＰサーバ１１へ転送される。
そして、ＤＨＣＰ−ＤＩＳＣＯＶＥＲパケットの到達したＤＨＣＰサーバ１１において、端末３０ｘへＩＰアドレスが払い出される（ステップ１４）。
【００５６】
アクセス制御装置１０の許可手段１２において、ＤＨＣＰサーバ１１におけるＩＰアドレスの払い出しが、常時あるいは逐次監視されている。
そして、ＤＨＣＰサーバ１１から端末３０ｘへＩＰアドレスが払い出されると、許可手段１２において、その端末３０ｘのＭＡＣアドレス，ＩＰアドレス，ＩＰサブネットなど端末３０ｘに関する情報（端末情報）が、ＤＨＣＰサーバ１１のログファイル（図示せず）等から取り出される（ステップ１５）。
【００５７】
さらに、許可手段１２において、ＤＨＣＰサーバ１１から取得された端末３０ｘに関する端末情報が、許可情報データベース１３に記憶されている許可情報と比較判断される（ステップ１６、通信許可判断段階）。
この比較判断の具体例として、たとえば、ＭＡＣアドレスを用いることができる。この場合、許可手段１２は、ＤＨＣＰサーバ１１から取得した端末３０ｘのＭＡＣアドレスが、許可情報データベース１３で記憶されている端末３０ｘのＭＡＣアドレスのリストの中に含まれているか否かを検索する。
【００５８】
この検索の結果、許可情報データベース１３に端末３０ｘのＭＡＣアドレスが含まれていれば、その端末３０ｘの端末情報が、許可手段１２から設定手段１４へ送出される（ステップ１７）。
一方、ＭＡＣアドレスが含まれていなければ、端末３０ｘの端末情報は送出されない。
【００５９】
設定手段１４において、ネットワーク機器２０の設定情報が、制御手段２１から収集される（ステップ１８）。そして、ＩＰサブネットとネットワーク機器２０のポート２２ａ〜２２ｎとの対応情報が生成される（ステップ１９）。
さらに、許可手段１２で許可された端末３０ｘの端末情報（たとえば、ＭＡＣアドレス，ＩＰアドレス，ＩＰサブネットなどの情報）が、設定手段１４において受け取られる。
【００６０】
その後、設定手段１４において、それら設定情報、対応情報、端末情報にもとづき、端末３０ｘのＭＡＣアドレスをネットワーク機器２０のどのポート２２ａ〜２２ｎに登録するかの情報（ポート登録情報）が生成され、制御手段２１へ送出される（ステップ２０、通知・設定段階）。
設定手段１４から制御手段２１へポート登録情報が送られることにより、ポート使用可否の設定が行われることになる。
【００６１】
ネットワーク機器２０の制御手段２１において、設定手段１４から渡されたポート２２ａ〜２２ｎとＭＡＣアドレスの情報が、ネットワーク機器２０に適用される（ステップ２１）。
これにより、ネットワーク機器２０においては、実際に、特定のポート２２ａ〜２２ｎで特定のＭＡＣアドレスの通信が行えるようになる。
【００６２】
なお、許可手段１２で通信が許可されなかった端末３０については、ネットワーク機器２０の制御手段２１でＭＡＣアドレスの設定が行われていないため、その通信がネットワーク機器２０を通過することができない。
また、識別情報割当サーバ設定段階には、ステップ１２とステップ１３とが含まれ、通信許可判断段階には、ステップ１５からステップ１７までが含まれ、通知・設定段階には、ステップ１８からステップ２０までが含まれるものとする。
【００６３】
次に、ネットワーク機器アクセス制御プログラムについて説明する。
上記の実施形態における各コンピュータ（ネットワーク機器，アクセス制御装置，端末）の認証用通信通過機能，ポート使用可否設定機能，認証用通信送信機能等は、各コンピュータの記憶部に記憶されたネットワーク機器アクセス制御プログラムにより実現される。
【００６４】
ネットワーク機器アクセス制御プログラムは、各コンピュータに読み込まれることにより、コンピュータの各構成要素に指令を送り、所定の処理、たとえば、ネットワーク機器における認証用通信通過処理、アクセス制御装置におけるポート使用可否設定処理、端末における認証用通信送信処理などを行わせる。
これによって、認証用通信通過機能、ポート使用可否設定機能、認証用通信送信機能等は、ネットワーク機器アクセス制御プログラムとコンピュータとが協働したネットワーク機器，アクセス制御装置，端末により実現される。
【００６５】
なお、認証用通信通過機能、ポート使用可否設定機能、認証用通信送信機能等を実現するためのネットワーク機器アクセス制御プログラムは、各コンピュータのＲＯＭ等に記憶される他、コンピュータ読み取り可能な記録媒体、たとえば、外部記憶装置及び可搬記録媒体等に格納することができる。
外部記憶装置とは、ＣＤ−ＲＯＭ等の記憶媒体を内蔵し、ネットワーク機器，アクセス制御装置あるいは端末に外部接続されるメモリ増設装置をいう。一方、可搬記録媒体とは、記録媒体駆動装置（ドライブ装置）に装着でき、かつ、持ち運び可能な記録媒体であって、たとえば、フレキシブルディスク、メモリカード、光磁気ディスク等をいう。
【００６６】
そして、記録媒体に記録されたプログラムは、コンピュータのＲＡＭにロードされて、ＣＰＵにより実行される。この実行により、上述した本実施形態のネットワーク機器，アクセス制御装置，端末の機能が実現される。
さらに、コンピュータでネットワーク機器アクセス制御プログラムをロードする場合、他のコンピュータで保有されたネットワーク機器アクセス制御プログラムを、通信回線を利用して自己の有するＲＡＭや外部記憶装置にダウンロードすることもできる。このダウンロードされたネットワーク機器アクセス制御プログラムも、ＣＰＵにより実行され、本実施形態のネットワーク機器，アクセス制御装置，端末の認証用通信通過機能やポート使用可否設定機能等を実現する。
【００６７】
【発明の効果】
以上のように、本発明によれば、端末から送信された認証用通信が、ネットワーク機器を通過してアクセス制御装置へ送られ、さらに、アクセス制御装置がネットワーク機器に対してポート使用可否を設定しにいくことから、ネットワーク機器の負荷を軽減して各種性能の低下を防止するとともに、ネットワーク機器制御システム全体の耐障害性を向上でき、かつ、アクセス制御装置と特定の端末との間でのみ通信を可能とする。
【００６８】
また、ネットワーク機器アクセス制御プログラムは、コンピュータ（アクセス制御装置やネットワーク機器）の各構成要素へ所定の指令を送ることにより、このコンピュータに認証用通信通過機能やポート使用可否設定機能等を実現させることができる。
これによって、認証用通信通過機能やポート使用可否設定機能等は、ネットワーク機器アクセス制御プログラムとコンピュータとが協働したアクセス制御装置やネットワーク機器により実現される。
【図面の簡単な説明】
【図１】本発明のネットワーク機器アクセス制御システムの構成を示すブロック図である。
【図２】本発明のネットワーク機器アクセス制御システムにおける動作を示す動作手順図である。
【符号の説明】
１　ネットワーク機器アクセス制御システム
１０　アクセス制御装置
１１　ＤＨＣＰサーバ
１２　許可手段
１３　許可情報データベース
１４　設定手段
２０　ネットワーク機器
２１　制御手段
２２（２２ａ〜２２ｎ）　ポート
３０（３０ａ〜３０ｎ）　端末
４０　中継装置（ＨＵＢ）
５０　ネットワーク
【図１】
2004064204.tif 000003
【図２】
2004064204.tif 000004