(57)【特許請求の範囲】
【請求項１】
ユーザ端末のＭＡＣアドレスを用いて端末認証を行う認証サーバと、
前記端末認証のための前記ＭＡＣアドレスが登録される認証ＤＢと、
を備え、
前記認証サーバは、
前記ユーザ端末から端末認証要求及び前記ＭＡＣアドレスを受信した場合、当該ＭＡＣアドレスと前記認証ＤＢに登録されている前記ＭＡＣアドレスとを比較し、一致の場合、前記端末認証の結果を成功とし、不一致の場合、前記端末認証の結果を失敗とし、当該端末認証の結果を表す端末認証応答を前記ユーザ端末へ送信する端末認証サーバ部と、
前記端末認証が失敗となった前記ユーザ端末の前記ＭＡＣアドレスを収集する収集部と、
前記収集された前記ＭＡＣアドレスを前記認証ＤＢに登録する登録部と、
を有し、
前記ユーザ端末がネットワークへ接続する際にアクセスする認証機器を備え、
前記認証機器は、前記端末認証要求及び前記ＭＡＣアドレスを前記認証サーバへ送信し、前記認証サーバからの前記端末認証応答を前記ユーザ端末へ送信し、前記端末認証の結果が、成功の場合には、前記ユーザ端末が前記ネットワークへ接続することを許可し、失敗の場合には、前記ユーザ端末が前記ネットワークへ接続することを不許可にする端末認証クライアント部を有し、
前記認証機器として、第１の認証機器と第２の認証機器とを有し、
前記認証サーバは、
前記第１の認証機器との通信に基づいて前記端末認証を行った場合には、前記収集部の収集動作及び前記登録部の登録動作を実行し、
前記第２の認証機器との通信に基づいて前記端末認証を行った場合には、前記収集部の収集動作及び前記登録部の登録動作を実行しない、
認証システム。
【請求項２】
請求項１記載の認証システムにおいて、
前記認証サーバは、
第１のモードと第２のモードとを備え、
前記第１のモードの時には、前記収集部の収集動作、及び前記登録部の登録動作を実行せず、
前記第２のモードの時には、前記収集部の収集動作、及び前記登録部の登録動作を実行する、
認証システム。
【請求項３】
請求項１記載の認証システムにおいて、
前記認証サーバは、管理画面を提供する管理インタフェース部を有し、
前記収集部は、前記収集した前記ＭＡＣアドレスを、リストに格納し、
前記登録部は、前記管理画面での設定操作に基づいて、前記リストに格納される全ての前記ＭＡＣアドレスを自動的に前記認証ＤＢに登録する、
認証システム。
【請求項４】
請求項１記載の認証システムにおいて、
前記認証サーバは、管理画面を提供する管理インタフェース部を有し、
前記収集部は、前記収集した前記ＭＡＣアドレスを、リストに格納し、
前記管理インタフェース部は、前記管理画面での設定操作に基づいて、前記管理画面に前記リストの内容である前記ＭＡＣアドレスを表示させ、当該ＭＡＣアドレスのうち登録ＭＡＣアドレスを選択させ、
前記登録部は、前記管理画面での設定操作に基づいて、前記リストのうちの前記登録ＭＡＣアドレスを前記認証ＤＢに登録する、
認証システム。
【請求項５】
請求項１記載の認証システムにおいて、
前記認証サーバは、管理画面を提供する管理インタフェース部を有し、
前記管理インタフェース部は、前記管理画面での設定操作に基づいて、前記登録の対象外とする除外ＭＡＣアドレスを含む除外リストを登録し、
前記登録部は、前記収集された前記ＭＡＣアドレスのうち、前記除外リストの前記除外ＭＡＣアドレスに該当するＭＡＣアドレスについては、前記認証ＤＢに登録しない、
認証システム。
【請求項６】
請求項１記載の認証システムにおいて、
前記認証サーバは、管理画面を提供する管理インタフェース部を有し、
前記管理インタフェース部は、前記管理画面での設定操作に基づいて、前記第１の認証機器、及び前記第２の認証機器を設定し、
前記収集部は、前記端末認証要求の送信元が前記第１の認証機器である場合には、前記収集動作を実行する、
認証システム。
【請求項７】
請求項１記載の認証システムにおいて、
前記認証サーバは、前記認証ＤＢを保持する、
認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証システムの技術に関し、特に、認証に用いる認証情報を管理する技術に関する。
【背景技術】
【０００２】
ＬＡＮやインターネット等のネットワークを含む通信システムにおいて、ユーザ端末がネットワークやサービスを利用する際に、認証を行う場合がある。認証の方式として、端末認証が挙げられる。端末認証は、認証情報としてＭＡＣアドレスを用いた認証である。ＭＡＣアドレスは、ユーザ端末の識別情報及び通信アドレス情報である。
【０００３】
端末認証の機能を持つ認証システムにおいて、ユーザ端末は、ネットワークへ接続する際、認証機器へアクセスする。認証機器は、ユーザ端末のＭＡＣアドレス及び端末認証要求を認証サーバへ送信する。認証サーバは、受信した端末認証要求及びＭＡＣアドレスに対し、認証ＤＢに登録されているＭＡＣアドレスを参照して端末認証を行い、結果を表す端末認証応答を認証機器へ送信する。認証機器は、端末認証が成功の場合、ユーザ端末がネットワークへ接続することを許可する。
【０００４】
端末認証に係わる先行技術例として、特開２０１４−１８６７０３号公報（特許文献１）が挙げられる。特許文献１には、以下の旨の技術が記載されている。端末認証を行う認証サーバは、認証ＤＢにＭＡＣアドレスが格納されていない端末から認証要求及びＭＡＣアドレスを受信した場合、ＭＡＣアドレス及びＩＰアドレス等のネットワーク情報をネットワーク機器から収集する。認証サーバは、収集した情報を、予め設定された収容情報を用いて精査し、精査の結果、正当な端末のＭＡＣアドレスを認証ＤＢに登録し、認証の結果を成功の扱いとする。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１４−１８６７０３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従来、端末認証の機能を持つ認証システムにおいて、ネットワークの管理者は、予め、認証ＤＢに、正規のユーザ端末のＭＡＣアドレスを端末認証用のＭＡＣアドレスとして登録する作業を行う。正規のユーザ端末は、ネットワークへの接続等が許可されるユーザ端末であり、例えば、社内ＬＡＮ及び部署フロア等に対して新規に設置される複数台のユーザ端末や、部署間で移設される複数台のユーザ端末が挙げられる。
【０００７】
管理者の作業は、詳しくは以下のように、ＭＡＣアドレス情報の収集、調査、作成、確認及び検証等の作業を含む。管理者は、事前申請に基づいて、ユーザ端末のＭＡＣアドレス等の情報を得る。
【０００８】
管理者は、追加登録する正規のＭＡＣアドレス値を含むＭＡＣアドレス情報を例えばＣＳＶファイル等の形式で作成し、その情報を認証サーバから認証ＤＢに登録する。管理者は、ＭＡＣアドレス値の正誤を確認し、誤りの場合には修正する。管理者は、登録したＭＡＣアドレスによって当該ユーザ端末がネットワークに接続可能になったかを確認及び検証する。
【０００９】
しかし、管理者は、多数のユーザ端末を登録する場合には、多数のＭＡＣアドレスを認証ＤＢに登録する必要があるので、ＭＡＣアドレス情報の収集、調査、作成、確認及び検証等を含む作業に、膨大な工数を要する。登録するユーザ端末の台数及びＭＡＣアドレスの数に応じて、管理者の作業の手間及び時間が増大する。
【００１０】
本発明の目的は、端末認証の機能を持つ認証システムに関して、ユーザ端末のＭＡＣアドレスを認証ＤＢに登録する際の管理者の作業の手間及び時間を低減できる技術を提供することである。
【課題を解決するための手段】
【００１１】
本発明のうち代表的な実施の形態は、認証システムであって、以下に示す構成を有することを特徴とする。
【００１２】
一実施の形態の認証システムは、ユーザ端末のＭＡＣアドレスを用いて端末認証を行う認証サーバと、端末認証のためのＭＡＣアドレスが登録される認証ＤＢと、を備え、認証サーバは、ユーザ端末から端末認証要求及びＭＡＣアドレスを受信した場合、当該ＭＡＣアドレスと認証ＤＢに登録されているＭＡＣアドレスとを比較し、一致の場合、端末認証の結果を成功とし、不一致の場合、端末認証の結果を失敗とし、当該端末認証の結果を表す端末認証応答をユーザ端末へ送信する端末認証サーバ部と、端末認証が失敗となったユーザ端末のＭＡＣアドレスを収集する収集部と、収集されたＭＡＣアドレスを認証ＤＢに登録する登録部と、を有する。
【発明の効果】
【００１３】
本発明のうち代表的な実施の形態によれば、端末認証の機能を持つ認証システムに関して、ユーザ端末のＭＡＣアドレスを認証ＤＢに登録する際の管理者の作業の手間及び時間を低減できる。
【図面の簡単な説明】
【００１４】
【図１】本発明の実施の形態の認証システムの構成を示す図である。
【図２】実施の形態における、認証スイッチ及び認証サーバの構成を示す図である。
【図３】実施の形態における、リスト及び認証ＤＢの構成例を示す図である。
【図４】実施の形態における、認証スイッチでの制御処理フローを示す図である。
【図５】実施の形態における、認証サーバでの制御処理フローを示す図である。
【図６】実施の形態における、「自動登録」の場合の一連の処理及び作業を含むシーケンスを示す図である。
【図７】実施の形態における、「選択登録」の場合の一連の処理及び作業を含むシーケンスを示す図である。
【図８】実施の形態における、管理画面の例を示す図である。
【発明を実施するための形態】
【００１５】
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において同一部には原則として同一符号を付し、その繰り返しの説明は省略する。
【００１６】
図１〜図８を用いて、本発明の一実施の形態の認証システムについて説明する。
【００１７】
［認証システム］
図１は、実施の形態の認証システムの構成を示す。実施の形態の認証システムは、ネットワーク４に接続される、複数のユーザ端末１、複数の認証スイッチ２、及び認証サーバ３を有する。また、認証サーバ３に対しては、管理者が使用する端末９０が直接またはネットワーク４を介して接続される。管理者は、例えばネットワーク４の管理者である。
【００１８】
ネットワーク４は、ＬＡＮやインターネット等の通信網である。ネットワーク４では、ＴＣＰ／ＩＰ、ＵＤＰ、ＨＴＴＰ等のプロトコルを用いて通信が行われる。本例では、ネットワーク４は、１つの社内ＬＡＮである。
【００１９】
なお、ネットワーク４は、複数のネットワークの接続により構成されてもよい。例えば、ネットワーク４は、認証スイッチ２を含む第１のＬＡＮ、認証スイッチ２を含む第２のＬＡＮ、及び認証サーバ３を含む第３のＬＡＮ、等の接続により構成されてもよい。
【００２０】
複数のユーザ端末１として、複数のユーザ端末１Ａ、及び複数のユーザ端末１Ｂを有する。ユーザ端末１は、ユーザが使用するＰＣやスマートフォン等の各種の端末装置である。ユーザは、ネットワーク４を利用する社員等である。ユーザ端末１は、図示しないプロセッサ、メモリ、通信インタフェース装置、入力装置、表示装置、等のハードウェア、及び、ＯＳ、Ｗｅｂブラウザ等のソフトウェアを備える。
【００２１】
ユーザ端末１は、ネットワーク４へ接続する際、認証スイッチ２へアクセスし、認証スイッチ２と通信し、認証スイッチ２との接続を通じてネットワーク４へ接続する。ユーザ端末１の通信インタフェース装置には、予めＭＡＣアドレスが設定されている。
【００２２】
複数のユーザ端末１Ｂは、認証ＤＢ６にＭＡＣアドレスが登録済みであるユーザ端末１である。複数のユーザ端末１Ｂとして、ユーザ端末１ａからユーザ端末１ｍまでの複数台がある。なお、この台数をｍとする。ユーザ端末１ａのＭＡＣアドレスをＭ１、ユーザ端末１ｍのＭＡＣアドレスをＭｍ、等とする。
【００２３】
複数のユーザ端末１Ａは、認証ＤＢ６にＭＡＣアドレスが未登録である、登録対象のユーザ端末１である。複数のユーザ端末１Ａとして、ユーザ端末１ｘからユーザ端末１ｚまでの複数台がある。なお、この台数をｎとする。ユーザ端末１ｘのＭＡＣアドレスをＭｘ、ユーザ端末１ｙのＭＡＣアドレスをＭｙ、ユーザ端末１ｚのＭＡＣアドレスをＭｚ、等とする。
【００２４】
認証スイッチ２は、レイヤ２及びレイヤ３のスイッチ機能を備えると共に、認証サーバ３との連係での通信に基づいて端末認証を行う機能を備える認証機器である。認証スイッチ２は、端末認証クライアントであり、認証サーバ３は、端末認証サーバである。認証スイッチ２は、ネットワーク４のエッジに接続されるノードであり、ユーザ端末１がネットワーク４へ接続する際にアクセスされる。
【００２５】
ユーザ端末１と認証スイッチ２は、イーサネット（登録商標）等の所定の通信インタフェースで接続される。この接続は、有線接続でも無線接続でもよい。無線接続の場合は以下のように接続される。ネットワーク４は無線ＬＡＮを含み、認証スイッチ２には無線ＬＡＮアクセスポイント装置が接続される。ユーザ端末１は、無線通信機能を持つ携帯端末であり、無線ＬＡＮアクセスポイント装置との無線接続を通じて認証スイッチ２と接続する。認証スイッチ２は、無線ＬＡＮアクセスポイント機能を備える装置でもよい。
【００２６】
ユーザ端末１がネットワーク４へ接続する際、ユーザ端末１と認証スイッチ２と認証サーバ３との間では、認証として、端末認証が行われる。認証スイッチ２は、ユーザ端末１からアクセスを受けた場合、認証サーバ３との間で、RADIUSプロトコルに基づいたクライアントサーバ通信により、端末認証の処理を行う。端末認証では、認証情報として、ユーザ端末１のＭＡＣアドレスが用いられる。なお、端末認証の際には、ユーザがＭＡＣアドレスを入力する必要は無い。
【００２７】
複数の認証スイッチ２として、認証スイッチ２ａ，２ｂ，２ｃ等を有する。複数の認証スイッチ２は、役割が異なる認証機器として、第１の認証機器２Ａ、及び第２の認証機器２Ｂを有する。第１の認証機器２Ａは、認証サーバ３が持つ登録機能に対応して、ＭＡＣアドレスを収集及び登録する際に使用される認証機器であり、第２の認証機器２Ｂは、ＭＡＣアドレスを収集及び登録する際に使用されない認証機器である。図１では、１台の認証スイッチ２ａは、第１の認証機器２Ａとして設定されている。認証スイッチ２ａ以外の、認証スイッチ２ｂ，２ｃ等の複数の認証スイッチ２は、第２の認証機器２Ｂとして設定されている。
【００２８】
認証スイッチ２には、通信のための所定のＩＰアドレスが設定されている。ユーザ端末１は、所定のＩＰアドレスを宛先として認証スイッチ２へアクセスする。認証スイッチ２ａのＩＰアドレスをＩＰ１、認証スイッチ２ｂのＩＰアドレスをＩＰ２、等とする。
【００２９】
また、認証スイッチ２は、ユーザ端末１のＭＡＣアドレスを用いた接続制限を行う機能を有する。接続制限は、ユーザ端末１がネットワーク４へ接続することに関する制限及び制御である。認証スイッチ２は、端末認証の結果に応じて接続制限を行う。認証スイッチ２は、接続制限の管理のための表７を保持する。表７は、接続許可ＭＡＣアドレス表である。例えば、認証スイッチ２ａは表７ａを保持し、認証スイッチ２ｂは表７ｂを保持する。端末認証及び接続制限の機能により、ネットワーク４のセキュリティが確保される。
【００３０】
図１の例では、第１の認証機器２Ａである認証スイッチ２ａには、登録対象の複数のユーザ端末１Ａが接続される。第２の認証機器２Ｂである認証スイッチ２ｂには、例えばユーザ端末１ａが接続されており、認証スイッチ２ｃには、例えばユーザ端末１ｍが接続されている。
【００３１】
認証サーバ３は、端末認証サーバとしての機能、及び管理機能、等を持つサーバ装置である。認証サーバ３は、リスト５、及び認証ＤＢ６を保持する。認証ＤＢ６は、端末認証用のＭＡＣアドレス６０が登録及び管理されるデータベースである。認証サーバ３は、認証スイッチ２からのアクセスを受けた場合、認証ＤＢ６のＭＡＣアドレス６０を参照して端末認証を行う。認証サーバ３には、所定のＩＰアドレスが設定されている。各認証スイッチ２は、所定のＩＰアドレスを宛先として認証サーバ３へアクセスする。
【００３２】
管理機能は、認証サーバ３における端末認証及び認証ＤＢ６を管理する機能であり、管理者を含む外部に対して管理のためのインタフェースとして管理画面等を提供する。管理者は、端末９０から管理サーバ３にアクセスする。認証サーバ３は、管理機能により、管理画面を構成するためのＷｅｂページを送信する。端末９０は、受信したＷｅｂページにより管理画面を表示する。管理者は、管理画面で、認証サーバ３の端末認証に係わる設定や、認証ＤＢ６のＭＡＣアドレス６０の設定等の作業が可能である。
【００３３】
認証サーバ３は、管理機能の一部として、登録機能を持つ。登録機能は、端末認証が失敗となったユーザ端末１のＭＡＣアドレスを自動的にリスト５に収集し、端末認証用のＭＡＣアドレスとして認証ＤＢ６に登録する機能である。
【００３４】
リスト５は、端末認証失敗ＭＡＣアドレスリストである。認証サーバ３は、登録機能により、リスト５に、端末認証が失敗となったＭＡＣアドレスを収集及び格納する。認証サーバ３は、登録機能により、リスト５のＭＡＣアドレスを、端末認証用のＭＡＣアドレスとして認証ＤＢ６に登録する。
【００３５】
管理者は、管理機能を用いて、予め、認証ＤＢ６に、正規の複数のユーザ端末１に関するＭＡＣアドレスを登録することができる。正規のユーザ端末１は、ネットワーク４への接続等が許可されるユーザ端末１である。本例では、予め、認証ＤＢ６には、複数のユーザ端末１ＢのＭＡＣアドレス｛Ｍ１〜Ｍｍ｝が登録済みである。
【００３６】
管理者は、複数のユーザ端末１ＡのＭＡＣアドレスを認証ＤＢ６に新規に追加登録する作業を行う。その際、管理者は、複数のユーザ端末１Ａにおける各々のユーザ端末１ｘ〜１ｚを、第１の認証機器２Ａである認証スイッチ２ａに接続する。これにより、認証スイッチ２ａと認証サーバ３との間で、複数のユーザ端末１Ａに関する端末認証が行われ、それらの端末認証の結果が失敗になる。認証サーバ３は、端末認証が失敗となったユーザ端末１ＡのＭＡＣアドレスを、端末認証失敗ＭＡＣアドレスとして収集し、リスト５に格納する。そして、認証サーバ３は、リスト５に収集されたＭＡＣアドレスを、端末認証用のＭＡＣアドレスとして、認証ＤＢ６に追加登録する。
【００３７】
［認証スイッチ及び認証サーバ］
図２は、図１の認証スイッチ２及び認証サーバ３の構成を示す。
【００３８】
認証スイッチ２は、図示しないプロセッサ、メモリ、通信インタフェース装置、等のハードウェア、及び、ＯＳやサーバプログラム等のソフトウェアを備える。認証スイッチ２は、プロセッサ等によるソフトウェア処理またはハードウェア処理により、端末認証クライアント部２１、及び接続制限部２２を実現する。認証スイッチ２は、メモリに表７を含む情報を格納する。通信インタフェース装置は、複数のポートを含む。複数のポートは、ユーザ端末１と接続されるポート、及びネットワーク４と接続されるポートを含み、ポート毎に所定の通信インタフェースによる通信処理を行う。
【００３９】
端末認証クライアント部２１は、端末認証クライアントとしての処理を行う。端末認証クライアント部２１は、ユーザ端末１から端末認証に係わるアクセスを受けた場合、接続制限部２２による接続制限の処理後に、認証サーバ３の端末認証サーバ部３１と通信し、端末認証の処理を行う。端末認証クライアント部２１は、端末認証要求、及び当該アクセスしてきたユーザ端末１のＭＡＣアドレスを、端末認証サーバ部３１へ送信する。端末認証クライアント部２１は、端末認証要求のパケットの中に、ＭＡＣアドレスを含む情報を格納する。端末認証クライアント部２１は、端末認証サーバ部３１から、端末認証応答を受信し、端末認証の結果が成功である場合には、当該ユーザ端末１がネットワーク４へ接続することを許可し、失敗である場合には、不許可にする。
【００４０】
接続制限部２２は、端末認証クライアント部２１と連係し、表７を読み書きしながら、接続制限の処理を行う。接続制限部２２は、アクセスしてきたユーザ端末１からポートで受信したフレームの送信元ＭＡＣアドレスと、表７とを参照する。接続制限部２２は、当該ユーザ端末１のＭＡＣアドレスが、表７に接続許可ＭＡＣアドレスとして登録されている場合には、当該ユーザ端末１がネットワーク４へ接続することを許可し、登録されていない場合には、不許可にする。接続制限部２２は、許可の場合、ポートでフレームを通過させ、不許可の場合、ポートでフレームを破棄する。
【００４１】
接続制限部２２は、ユーザ端末１の端末認証の結果が成功である場合、そのユーザ端末１のＭＡＣアドレスを、接続許可ＭＡＣアドレスとして、表７に登録する。表７において接続許可ＭＡＣアドレスが登録された状態は、接続許可状態及び認証済み状態に相当し、登録されていない状態は、接続不許可状態及び未認証状態に相当する。接続制限部２２は、ユーザ端末１がネットワーク４から切断した場合や、ユーザ端末１がネットワーク４へ接続してから無通信状態で所定時間が経過した場合には、そのユーザ端末１の接続許可ＭＡＣアドレスを表７から削除する。
【００４２】
認証サーバ３は、図示しないプロセッサ、メモリ、通信インタフェース装置、等のハードウェア、及び、ＯＳやサーバプログラム等のソフトウェアを備える。認証サーバ３は、プロセッサ等によるソフトウェア処理またはハードウェア処理により、端末認証サーバ部３１、収集部３２、登録部３３、及び管理インタフェース部３４等を実現する。認証サーバ３は、メモリ等に、認証ＤＢ６、リスト５、及び除外リスト８等を格納する。通信インタフェース装置は、ネットワーク４と接続されるポートを含み、ポートで所定の通信インタフェースによる通信処理を行う。
【００４３】
リスト５には、収集部３２により収集された端末認証失敗ＭＡアドレスが格納される。除外リスト８には、認証ＤＢ６への登録対象から除外する除外ＭＡＣアドレスが登録されている。
【００４４】
端末認証サーバ部３１は、端末認証サーバとしての処理を行う。端末認証サーバ部３１は、端末認証クライアント部２１からのアクセスに対し、メモリの認証ＤＢ６のＭＡＣアドレス６０を参照しながら、端末認証の処理を行う。端末認証サーバ部３１は、端末認証の結果である成功または失敗を表す端末認証応答を、端末認証クライアント部２１へ送信する。
【００４５】
端末認証サーバ部３１は、端末認証クライアント部２１からの端末認証要求及びＭＡＣアドレスを受信する。端末認証サーバ部３１は、受信した端末認証要求のパケットの中のＭＡＣアドレスと、認証ＤＢ６に登録されているＭＡＣアドレス６０とを比較する。端末認証サーバ部３１は、受信したＭＡＣアドレスと、認証ＤＢ６に登録されているＭＡＣアドレスとが一致する場合、言い換えると、当該ＭＡＣアドレスが認証ＤＢ６に登録済みである場合、端末認証の結果を成功とする。端末認証サーバ部３１は、受信したＭＡＣアドレスと、認証ＤＢ６に登録されているＭＡＣアドレスとが不一致である場合、言い換えると当該ＭＡＣアドレスが未登録である場合、端末認証の結果を失敗とする。
【００４６】
収集部３２、登録部３３、及び管理インタフェース部３４は、登録機能を構成する要素である。収集部３２は、端末認証サーバ部３１との連係により、端末認証失敗ＭＡＣアドレスを収集し、リスト５に格納する。登録部３３は、収集部３２によりリスト５に収集及び格納された端末認証失敗ＭＡＣアドレスを、認証ＤＢ６のＭＡＣアドレス６０に、端末認証用のＭＡＣアドレスとして登録する。
【００４７】
管理インタフェース部３４は、管理機能に対応した処理を行う。管理インタフェース部３４は、管理者の端末９０を含む外部からのアクセス及び指示を受け付ける。管理インタフェース部３４は、認証サーバ３及び認証ＤＢ６の管理や設定を行うための管理画面を提供する。管理画面では、認証ＤＢ６にＭＡＣアドレスを登録する際の設定、指示入力、確認等が可能である。
【００４８】
管理インタフェース部３４は、モード切り替え部３５、スイッチ設定部３６、リスト表示部３７、除外リスト登録部３８、及び手動設定部３９を有する。
【００４９】
モード切り替え部３５は、外部からの指示入力に従い、制御上のモードを、第１のモードと第２のモードとで切り替える。第１のモードは、通常モードであり、第２のモードは、登録モードである。第１のモードは、通常の端末認証を行わせるモードであり、収集部３２による端末認証失敗ＭＡＣアドレスの収集動作、及び登録部３３による認証ＤＢ６への登録動作を実行しないモードである。第２のモードは、ＭＡＣアドレスの登録のための端末認証を行わせるモードであり、収集部３２による端末認証失敗ＭＡＣアドレスの収集動作、及び登録部３３による認証ＤＢ６への登録動作を実行するモードである。
【００５０】
管理者は、管理画面で、モードの切り替えの指示入力が可能である。管理者は、登録作業を開始する際には、管理画面で第１のモードから第２のモードへ切り替える。管理者は、登録作業を終了する際には、管理画面で第２のモードから第１のモードへ切り替える。
【００５１】
モード切り替え部３５は、第２のモードへの切り替えの指示が入力された場合、収集部３２へ収集動作を実行するように指示を与え、登録部３３へ登録動作を実行するように指示を与える。モード切り替え部３５は、第１のモードへの切り替えの指示が入力された場合、収集部３２へ収集動作を実行しないように指示を与え、登録部３３へ登録動作を実行しないように指示を与える。
【００５２】
スイッチ設定部３６は、管理者の端末９０からの操作に基づいて、管理画面で、ネットワーク４に接続される複数の認証スイッチ２のうち、認証サーバ３の登録機能に対応した特定の認証スイッチ２を設定する処理を行う。スイッチ設定部３６は、管理者の操作に基づいて、特定の認証スイッチ２を、登録を有効とする第１の認証機器２Ａとして設定し、他の認証スイッチ２を、登録を無効とする第２の認証機器２Ｂとして設定する。
【００５３】
管理者は、管理画面で、表示された複数の認証スイッチ２の情報を見て、第１の認証機器２Ａとして設定したい所望の認証スイッチ２を指定する。指定は、例えばＩＰアドレス等のスイッチＩＤの選択により可能である。スイッチ設定部３６は、管理者により指定された認証スイッチ２を、登録が有効である第１の認証機器２Ａとして設定する。登録が有効とは、その認証スイッチ２を通じた端末認証の場合に、端末認証失敗ＭＡＣアドレスの収集及び認証ＤＢ６への登録を有効とすることである。
【００５４】
スイッチ設定部３６は、第１の認証機器２Ａとして設定された認証スイッチ２のＩＰアドレスを特定のＩＰアドレスとして保持し、その特定のＩＰアドレスを収集部３２に通知する。収集部３２は、そのＩＰアドレスを持つ認証スイッチ２を通じた端末認証の場合に、収集動作を実行する。収集部３２は、端末認証サーバ部３１で受信した端末認証要求の送信元ＩＰアドレスが、その特定のＩＰアドレスである場合には、その認証スイッチ２が第１の認証機器２Ａであるとわかる。収集部３２は、その端末認証の結果が失敗である場合には、その端末認証要求のＭＡＣアドレスを、端末認証失敗ＭＡＣアドレスとして収集する。
【００５５】
リスト表示部３７は、管理者の端末９０からの操作に基づいて、管理画面に、リスト５の内容である端末認証失敗ＭＡＣアドレスの一覧を含む情報を表示し、管理者による確認、及び登録ＭＡＣアドレスの選択を可能とする。リスト表示部３７は、管理者の端末９０からリスト表示の指示入力を受けた場合、あるいは予めリスト表示を行う設定状態である場合、リスト５の情報を含むＷｅｂページを端末９０に送信する。端末９０は、そのＷｅｂページによるリスト５の情報を管理画面に表示する。管理者は、管理画面で、リスト５の内容である、収集された端末認証失敗ＭＡＣアドレスを一覧で確認することができる。管理者は、管理画面の一覧の中で、必要に応じて、登録ＭＡＣアドレスや除外ＭＡＣアドレスを選択することができる。そして、管理者は、管理画面で、登録実行ボタンによりＭＡＣアドレスの登録を実行することができる。
【００５６】
リスト表示部３７は、管理者の操作に従い、リスト５で選択された登録ＭＡＣアドレスを対象として登録動作を実行するように、登録部３３へ指示を与える。登録部３３は、指示に従い、リスト５の登録ＭＡＣアドレスを、認証ＤＢ６に端末認証用のＭＡＣアドレスとして登録する。
【００５７】
管理者は、管理画面で、リスト５の表示を行うか否かを選択して設定することができる。リスト表示部３７は、リスト５の表示を行う設定状態の場合、管理画面にリスト５の内容を表示し、リスト５の表示を行わない設定状態の場合、管理画面にリスト５の内容を表示しない。
【００５８】
管理者は、管理画面で、「自動登録」と「選択登録」とのいずれの機能を利用するかを選択して設定することができる。「自動登録」機能は、第２のモードで収集された端末認証失敗ＭＡＣアドレスを管理画面で確認する作業を省略して、全ての端末認証失敗ＭＡＣアドレスを自動的に認証ＤＢ６へ登録する機能である。「選択登録」機能は、第２のモードで収集された端末認証失敗ＭＡＣアドレスを管理画面で確認し、必要に応じて登録ＭＡＣアドレスを選択する作業を介在してから、認証ＤＢ６へ登録する機能である。
【００５９】
「自動登録」の設定状態の場合には、リスト表示部３７は、管理画面にリスト５の内容を表示しない。「自動登録」の設定状態の場合には、登録部３３は、管理者による操作を介在せずに、リスト５の端末認証失敗ＭＡＣアドレスを自動的に認証ＤＢ６に登録する。
【００６０】
「選択登録」の設定状態の場合には、リスト表示部３７は、管理画面にリスト５の内容を表示し、管理者による確認、選択、及び登録実行の操作を受け付ける。「選択登録」の設定状態の場合には、登録部３３は、管理者による登録実行の操作を受けてから、リスト５の端末認証失敗ＭＡＣアドレスを認証ＤＢ６に登録する。
【００６１】
除外リスト登録部３８は、認証サーバ３の内部に除外リスト８を登録する処理を行う。除外リスト登録部３８は、管理者からの操作に基づいて、除外ＭＡＣアドレスを除外リスト８に登録し、また、除外リスト８に登録されている除外ＭＡＣアドレスの修正や削除を行う。管理者は、管理画面で、新規に除外リスト８を設定することができ、除外リスト８の内容を表示して確認し、個別のＭＡＣアドレスを除外ＭＡＣアドレスとして登録することができる。
【００６２】
除外リスト８は、認証サーバ３の外部の情報を利用して登録されてもよい。除外リスト登録部３８は、ネットワーク４上の装置から、除外リストまたは除外ＭＡＣアドレスに相当する情報を収集及び取得し、その情報を、認証サーバ３の内部に除外リスト８として登録する。管理者は、管理画面で、登録された除外リスト８の内容を表示して確認し、必要に応じて除外ＭＡＣアドレスの選択や修正ができる。
【００６３】
管理者は、除外リスト８を、不正ＭＡＣアドレスを含むブラックリストとして使用することができる。また、管理者は、除外リスト８を、不正ＭＡＣアドレス以外でも、作業の都度に登録対象外にしたいＭＡＣアドレスを指定するリストとして使用することもできる。
【００６４】
登録部３３は、登録動作の際、除外リスト８を参照し、リスト５の端末認証失敗ＭＡＣアドレスが、除外リスト８に除外ＭＡＣアドレスとして登録されている場合には、自動的に、そのＭＡＣアドレスを認証ＤＢ６へ登録しないようにする。
【００６５】
手動設定部３９は、管理画面に認証ＤＢ６の内容であるＭＡＣアドレスを表示し、管理者の手動操作に基づいて、認証ＤＢ６に個別にＭＡＣアドレスを登録及び削除する機能を実現する。
【００６６】
［リスト］
図３の（ａ）は、リスト５の構成例である表を示す。このリスト５の表は、列として、「ＭＡＣアドレス」、「ＩＰアドレス」を有する。「ＭＡＣアドレス」列には、収集部３２により収集された端末認証失敗ＭＡＣアドレスが格納される。「ＩＰアドレス」列には、スイッチＩＤとしてＩＰアドレスが格納される。このＩＰアドレスは、第１の認証機器２ＡのＩＰアドレスであり、当該行の端末認証失敗ＭＡＣアドレスに対応した端末認証要求の送信元ＩＰアドレスである。
【００６７】
本例では、図３の（ａ）のリスト５は、収集後の状態の例を示し、第１行から第ｎ行までのｎ行において、図１の登録対象の複数のユーザ端末１ＡのＭＡＣアドレスが登録されている。第１行には、ユーザ端末１ｘのＭＡＣアドレス「Ｍｘ」と、そのユーザ端末１ｘが接続された認証スイッチ２ａのＩＰアドレス「ＩＰ１」とが関係付けて格納されている。同様に、第２行には、ユーザ端末１ｙのＭＡＣアドレス「Ｍｙ」とＩＰアドレス「ＩＰ１」とが格納されている。第ｎ行には、ユーザ端末１ｚのＭＡＣアドレス「Ｍｚ」とＩＰアドレス「ＩＰ１」とが格納されている。
【００６８】
［認証ＤＢ］
図３の（ｂ）及び（ｃ）は、認証ＤＢ６の構成例である表を示す。この認証ＤＢ６の表は、図１のＭＡＣアドレス６０に対応し、「ＭＡＣアドレス」列を有する。「ＭＡＣアドレス」列は、端末認証用ＭＡＣアドレスが格納される。
【００６９】
図３の（ｂ）の認証ＤＢ６は、初期設定状態の例を示し、第１行から第ｍ行までのｍ行において、図１の登録済みの複数のユーザ端末１ＢのＭＡＣアドレス｛Ｍ１〜Ｍｍ｝が登録されている。
【００７０】
図３の（ｃ）の認証ＤＢ６の表は、図１の登録対象の複数のユーザ端末１ＡのＭＡＣアドレスが追加登録された後の状態の例を示す。図３の（ｃ）の認証ＤＢ６の表は、図３の（ｂ）のｍ行の次のｎ行において、図１の登録対象の複数のユーザ端末１ＡのＭＡＣアドレス｛Ｍｘ，Ｍｙ，……，Ｍｚ｝が登録されている。
【００７１】
［認証スイッチの制御処理］
図４は、認証スイッチ２の内部における制御処理の概要のフローを示す。S101等はステップを表す。認証スイッチ２は、内部での基本的な制御の順序として、接続制限、端末認証の順に制御を行う。以下、図４のステップS101〜S109の処理を説明する。
【００７２】
（S101）  認証スイッチ２は、ユーザ端末１からのアクセスを受ける。認証スイッチ２は、ユーザ端末１からポートで受信したフレームの送信元ＭＡＣアドレスを参照する。
【００７３】
（S102）  認証スイッチ２は、S101のユーザ端末１からのアクセスに対し、まず、接続制限部２２を用いて、接続制限の処理を行う。認証スイッチ２は、アクセスしてきたユーザ端末１の送信元ＭＡＣアドレスが、表７に接続許可ＭＡＣアドレスとして登録されているかどうかを確認する。
【００７４】
（S103）  表７に登録されている場合（S102−Y）、接続許可状態を示すので、認証スイッチ２は、当該ユーザ端末１によるネットワーク４への接続を許可し、処理を終了する。
【００７５】
（S104）  表７に登録されていない場合（S102−N）、接続不許可状態を示すので、認証スイッチ２は、当該ユーザ端末１によるネットワーク４への接続を不許可とする。
【００７６】
（S105）  認証スイッチ２は、接続制限の処理の結果が、S104で接続不許可となった場合、次にS105で、端末認証クライアント部２１を用いて、端末認証の処理を開始する。認証スイッチ２は、S101でアクセスしてきたユーザ端末１のＭＡＣアドレスを含む、端末認証要求のパケットを、認証サーバ３へ送信する。認証サーバ３は、後述の図５のように、受信した端末認証要求のＭＡＣアドレスに対し、認証ＤＢ６のＭＡＣアドレス６０を参照して端末認証を行い、端末認証応答を認証スイッチ２へ送信する。
【００７７】
（S106〜S108）  認証スイッチ２は、S105の端末認証応答から、端末認証の結果が成功である場合（S106-Y）、S107で、当該ユーザ端末１のＭＡＣアドレスを、接続許可ＭＡＣアドレスとして表７に登録する。そして、S108で、認証スイッチ２は、当該ユーザ端末１によるネットワーク４への接続を許可し、処理を終了する。
【００７８】
（S109）  認証スイッチ２は、S105の端末認証応答から、端末認証の結果が失敗である場合（S106-N）、S109で、当該ユーザ端末１によるネットワーク４への接続を不許可とし、処理を終了する。
【００７９】
［認証サーバの制御処理］
図５は、認証サーバ３の内部における制御処理の概要のフローを示す。S201等はステップを表す。以下、図５のステップS201〜S208の処理を説明する。
【００８０】
（S201）  認証サーバ３は、認証スイッチ２からのアクセスを受けて、ＭＡＣアドレスを含む端末認証要求のパケットを受信する。認証サーバ３は、端末認証要求のパケットの送信元ＩＰアドレス、及び当該パケットの中のＭＡＣアドレスを参照する。
【００８１】
（S202）  認証サーバ３は、S201で受信した端末認証要求のＭＡＣアドレスと、認証ＤＢ６のＭＡＣアドレス６０として登録されているＭＡＣアドレスとを比較し、一致の場合、すなわち受信したＭＡＣアドレスが登録済みである場合、端末認証の結果を成功とし、不一致の場合、すなわち受信したＭＡＣアドレスが未登録である場合、端末認証の結果を失敗とする。
【００８２】
（S203〜S205）  認証サーバ３は、端末認証の結果が成功である場合（S203−Ｙ）、S204で、成功を表す端末認証応答のパケットを、S201の端末認証要求の送信元ＩＰアドレスを宛先として送信する。認証サーバ３は、端末認証の結果が失敗である場合（S203−Ｎ）、S205で、失敗を表す端末認証応答のパケットを、S201の端末認証要求の送信元ＩＰアドレスを宛先として送信する。
【００８３】
（S206）  認証サーバ３は、第１のモードである場合（S206−Ｎ）には、処理を終了し、第２のモードである場合（S206−Ｙ）には、S207へ移る。
【００８４】
（S207）  認証サーバ３は、第２のモードである場合には、収集部３２により、端末認証の失敗を認識し、端末認証が失敗となったＭＡＣアドレスを、端末認証失敗ＭＡＣアドレスとして収集し、リスト５に格納する。この際、収集部３２は、端末認証サーバ部３１にアクセスし、端末認証サーバ部３１から、端末認証が失敗となったＭＡＣアドレス、すなわちS201の端末認証要求の中に含まれているＭＡＣアドレスを取得する。
【００８５】
（S208）  次に、認証サーバ３は、第２のモードである場合、かつ「自動登録」の設定状態である場合には、登録部３３により、リスト５に格納されている全ての端末認証失敗ＭＡＣアドレスを、認証ＤＢ６に端末認証用のＭＡＣアドレスとして登録する。
【００８６】
また、認証サーバ３は、第２のモードである場合、かつ「選択登録」の設定状態である場合には、管理者による登録実行の指示入力に従い、登録部３３により、リスト５のうちの登録ＭＡＣアドレスとして選択された端末認証失敗ＭＡＣアドレスを、認証ＤＢ６に端末認証用のＭＡＣアドレスとして登録する。
【００８７】
なお、変形例として、S207の際、端末認証サーバ部３１は、端末認証が失敗になった場合に収集部３２へ通知して連係し、端末認証サーバ部３１から収集部３２へ端末認証失敗ＭＡＣアドレスを渡してもよい。
【００８８】
［シーケンス（１）］
図６は、実施の形態の認証システムにおいて、「自動登録」機能を用いて、図１の複数のユーザ端末１ＡのＭＡＣアドレスを登録する場合における、一連の処理及び作業を含むシーケンスを示す。Ｓ１等はステップを表す。以下、図６のステップＳ１〜Ｓ１２について、例を用いながら順に説明する。
【００８９】
前提状態として、認証ＤＢ６は、図３の（ｂ）のように、複数のユーザ端末１ＢのＭＡＣアドレス｛Ｍ１〜Ｍｍ｝が登録済みである。リスト５にはＭＡＣアドレスが未格納である。認証スイッチ２の表７には接続許可ＭＡＣアドレスが登録されていない。管理者は、登録対象である複数のユーザ端末１ＡのＭＡＣアドレス｛Ｍｘ，Ｍｙ，……，Ｍｚ｝を認証ＤＢ６に端末認証用のＭＡＣアドレスとして登録する登録作業を、以下のように行う。
【００９０】
（Ｓ１）  管理者は、端末９０から認証サーバ３にアクセスし、管理インタフェース部３４が提供する管理画面で、予め、以下の設定を行う。管理者は、登録作業のために、ネットワーク４の複数の認証スイッチ２のうち特定の認証スイッチ２を、第１の認証機器２Ａとして設定する。本例では、認証スイッチ２ａが第１の認証機器２Ａとして設定される。他の認証スイッチ２である認証スイッチ２ｂ，２ｃ等は、第２の認証機器２Ｂとして設定される。スイッチ設定部３６は、ＩＰアドレス「ＩＰ１」を持つ認証スイッチ２ａを、登録が有効の状態である第１の認証機器２Ａとして設定する。スイッチ設定部３６は、収集部３２へＩＰアドレス「ＩＰ１」を通知する。収集部３２は、ＩＰアドレス「ＩＰ１」を対象として収集動作を行う。
【００９１】
（Ｓ２）  管理者は、管理画面で、「自動登録」の利用を選択して設定する。また、管理者は、管理画面で、第１のモードから第２のモードへ切り替える指示を入力する。モード切り替え部３５は、指示に従い、第１のモードから第２のモードへ切り替える。モード切り替え部３５は、収集部３２及び登録部３３へ、第２のモードへ切り替える指示を与える。収集部３２は、指示に従い、収集動作を開始する。登録部３３は、指示に従い、登録動作を開始する。
【００９２】
（Ｓ３）  管理者は、登録対象の複数のユーザ端末１Ａにおけるユーザ端末１ｘ〜ユーザ端末１ｚを、順に、認証スイッチ２ａへ接続する作業を行う。例えば、まずユーザ端末１ｘが認証スイッチ２ａへ接続される。この接続作業では、例えばユーザ端末１ｘの通信インタフェース装置と認証スイッチ２ａの通信インタフェース装置との間で通信ケーブルが接続され、ユーザ端末１ｘの電源がオンされる。
【００９３】
（Ｓ４）  管理者は、Ｓ３の接続作業により、ユーザ端末１ｘと認証スイッチ２ａとが通信可能な状態になると、ユーザ端末１ｘを認証スイッチ２ａへアクセスさせる。当該アクセスで、ユーザ端末１ｘは、自身のＭＡＣアドレス「Ｍｘ」を送信元ＭＡＣアドレスとして含む最初のフレームを認証スイッチ２ａへ送信する。認証スイッチ２ａは、ユーザ端末１ｘからのアクセスを受け、ポートで受信したフレームの送信元ＭＡＣアドレス「Ｍｘ」を参照する。
【００９４】
（Ｓ５）  認証スイッチ２ａは、受信したＭＡＣアドレス「Ｍｘ」について、まず接続制限の処理を行う。認証スイッチ２ａの表７ａには、ＭＡＣアドレス「Ｍｘ」が登録されていないので、この結果は接続不許可になる。
【００９５】
（Ｓ６）  次に、認証スイッチ２ａは、そのＭＡＣアドレス「Ｍｘ」について、端末認証を開始する。認証スイッチ２ａは、ＭＡＣアドレス「Ｍｘ」の情報を含む端末認証要求のパケットを、認証サーバ３へ送信する。この端末認証要求のパケットは、ヘッダにおいて、送信元ＩＰアドレスとして、認証スイッチ２ａのＩＰアドレス「ＩＰ１」が記載される。
【００９６】
（Ｓ７）  認証サーバ３は、Ｓ６の端末認証要求のパケットを受信し、当該パケットの中に含まれているＭＡＣアドレス「Ｍｘ」を参照し、認証ＤＢ６のＭＡＣアドレス６０を参照して、端末認証を行う。認証サーバ３は、受信したＭＡＣアドレスと、認証ＤＢ６のＭＡＣアドレス６０に登録されているＭＡＣアドレスとを比較し、一致する場合には、端末認証の結果を成功とし、不一致の場合には、失敗とする。本例では、受信したＭＡＣアドレス「Ｍｘ」が認証ＤＢ６には未登録であるため、端末認証の結果が必然的に失敗になる。端末認証サーバ部３１は、端末認証の際に受信したＭＡＣアドレスを一時的に保持する。
【００９７】
（Ｓ８）  認証サーバ３は、端末認証の結果として失敗を表す端末認証応答のパケットを、認証スイッチ２ａへ送信する。この端末認証応答のパケットは、ヘッダにおいて、宛先ＩＰアドレスとして、Ｓ６の端末認証要求の送信元ＩＰアドレス「ＩＰ１」が記載される。認証スイッチ２ａは、その端末認証応答のパケットを受信し、その内容から、端末認証の失敗を認識し、ユーザ端末１ｘがネットワーク４へ接続することを不許可にする。
【００９８】
（Ｓ９）  一方、認証サーバ３の収集部３２は、端末認証サーバ部３１との連係により、Ｓ７で端末認証の結果が失敗になったことを認識する。収集部３２は、端末認証サーバ部３１から、Ｓ７の端末認証が失敗となったＭＡＣアドレス「Ｍｘ」を収集する。端末認証サーバ部３１は、一時的に保持していたＭＡＣアドレス「Ｍｘ」を収集部３２へ渡す。収集部３２は、端末認証サーバ部３１から取得したＭＡＣアドレス「Ｍｘ」を、リスト５に追加格納する。
【００９９】
また、この際、収集部３２は、ＭＡＣアドレスだけでなく、端末認証の際に取得可能である、ＩＰアドレスや他の情報を、リスト５に格納してもよい。本実施の形態では、収集部３２は、端末認証失敗ＭＡＣアドレスと共に、その端末認証のアクセスを受け付けた認証スイッチ２のＩＰアドレスを、リスト５に格納する。本例では、図３の（ａ）の第１行のように、ＭＡＣアドレス「Ｍｘ」と認証スイッチ２ａのＩＰアドレス「ＩＰ１」とが関係付けてリスト５に格納される。
【０１００】
（Ｓ１０）  「自動登録」の場合、登録部３３は、リスト５に格納された端末認証失敗ＭＡＣアドレスを、自動的に認証ＤＢ６に端末認証用のＭＡＣアドレスとして登録する。これにより、本例では、認証ＤＢ６のＭＡＣアドレス６０に、ＭＡＣアドレス「Ｍｘ」が追加登録される。
【０１０１】
（Ｓ１１）  Ｓ４〜Ｓ１０は、１台のユーザ端末１ｘについての１回の端末認証及びＭＡＣアドレスの登録までの手順である。ユーザ端末１ｙからユーザ端末１ｚまでの他のユーザ端末１についても、これと同様の手順が行われる。これにより、本例では、図３の（ｃ）のように、認証ＤＢ６のＭＡＣアドレス６０に、ＭＡＣアドレス「Ｍｘ」〜「Ｍｚ」が追加登録された状態となる。管理者は、Ｓ１１までの手順で、複数のユーザ端末１ＡのＭＡＣアドレス｛Ｍｘ，Ｍｙ，……，Ｍｚ｝を認証ＤＢ６に登録した後、管理画面で、認証ＤＢ６の内容を表示して登録済みの状態を確認することもできる。
【０１０２】
（Ｓ１２）  Ｓ１１までの作業の後、管理者は、管理画面で、第１のモードへの切り替えを指示入力する。モード切り替え部３５は、指示入力に従い、第２のモードから第１のモードへ切り替える。モード切り替え部３５は、収集部３２及び登録部３３へ第１のモードの指示を与える。収集部３２は、指示に従い、収集動作を停止する。登録部３３は、指示に従い、登録動作を停止する。これにより、認証サーバ３は、通常の端末認証を行う状態に戻る。
【０１０３】
以上のように、管理者は、「自動登録」機能を用いて、複数のユーザ端末１ＡのＭＡＣアドレスを認証ＤＢ６に登録する作業ができる。管理者は、登録対象の個々のＭＡＣアドレス値を入力して確認する手順が省略でき、複数のユーザ端末１ＡのＭＡＣアドレスを一括で登録することができ、登録作業の手間が少ない。なお、「自動登録」の場合に、管理者の操作に基づいて、リスト表示部３７により管理画面にリスト５の内容を表示することも可能である。
【０１０４】
なお、登録されたユーザ端末１がその後にネットワーク４へ接続する場合、以下のような動作となる。例えば、ユーザは、ユーザ端末１ｘをネットワーク４へ接続する際、ユーザ端末１ｘから認証スイッチ２ａへアクセスする。認証スイッチ２ａは、接続制限の処理後、ＭＡＣアドレス「Ｍｘ」を含む端末認証要求を認証サーバ３へ送信する。第１のモードの状態である認証サーバ３は、受信した端末認証要求に対し、認証ＤＢ６を参照して端末認証を行う。受信したＭＡＣアドレス「Ｍｘ」が認証ＤＢ６に登録済みであるため、端末認証の結果が成功になる。認証サーバ３は、成功を表す端末認証応答を認証スイッチ２ａへ送信する。認証スイッチ２ａは、端末認証が成功となったＭＡＣアドレス「Ｍｘ」を、表７ａに接続許可ＭＡＣアドレスとして登録する。これにより、ユーザ端末１ｘは、ネットワーク４への接続が許可される。
【０１０５】
また、認証サーバ３は、複数の端末認証要求を受け付けて並行処理で端末認証を行うことができる。認証サーバ３は、ほぼ同時に行われた複数の端末認証の結果が失敗になった場合、収集部３２により、複数の端末認証失敗ＭＡＣアドレスをリスト５に収集し格納する。登録部３３は、それら複数の端末認証失敗ＭＡＣアドレスを認証ＤＢ６に登録する。
【０１０６】
また、第１の認証機器２Ａを通じて登録作業が行われている間、第２の認証機器２Ｂを通じて、通常の端末認証を受け付けることができる。例えば、図１の登録済みの複数のユーザ端末１Ｂであるユーザ端末１ａ等は、第２の認証機器２Ｂである認証スイッチ２ｂ等にアクセスする。ユーザ端末１ａ等は、認証スイッチ２ｂ等を通じて、認証サーバ３で端末認証が行われ、これによりネットワーク４へ接続される。
【０１０７】
［シーケンス（２）］
図７は、実施の形態の認証システムにおいて、「選択登録」機能を用いて、図１の複数のユーザ端末１ＡのＭＡＣアドレスを登録する場合における、一連の処理及び作業を含むシーケンスを示す。Ｓ２１等はステップを表す。以下、図７のステップＳ２１〜Ｓ３４について、例を用いながら順に説明する。
【０１０８】
前提状態として、認証ＤＢ６は、図３の（ｂ）のように、複数のユーザ端末１ＢのＭＡＣアドレス｛Ｍ１〜Ｍｍ｝が登録済みである。リスト５にはＭＡＣアドレスが未格納である。認証スイッチ２の表７には接続許可ＭＡＣアドレスが登録されていない。管理者は、登録対象である複数のユーザ端末１ＡのＭＡＣアドレス｛Ｍｘ，Ｍｙ，……，Ｍｚ｝を認証ＤＢ６に端末認証用のＭＡＣアドレスとして登録する登録作業を、以下のように行う。
【０１０９】
（Ｓ２１）  Ｓ２１は、図６のＳ１と同様である。管理者は、管理画面で、例えば認証スイッチ２ａを第１の認証機器２Ａとして設定する。
【０１１０】
（Ｓ２２）  管理者は、管理画面で、「選択登録」の利用を選択して設定する。また、管理者は、管理画面で、第１のモードから第２のモードへ切り替える指示を入力する。モード切り替え部３５は、指示に従い、第１のモードから第２のモードへ切り替える。モード切り替え部３５は、収集部３２及び登録部３３へ、第２のモードへ切り替える指示を与える。収集部３２は、指示に従い、収集動作を開始する。登録部３３は、指示に従い、登録動作を開始する。
【０１１１】
（Ｓ２３〜Ｓ２８）  Ｓ２３〜Ｓ２８は、図６のＳ３〜Ｓ８と同様である。管理者は、例えばユーザ端末１ｘを認証スイッチ２ａへ接続する作業を行う。ユーザ端末１ｘは、認証スイッチ２ａへアクセスする。認証スイッチ２ａは、ユーザ端末１ｘからのアクセスを受け、ユーザ端末１ｘから受信したフレームのＭＡＣアドレス「Ｍｘ」について、まず接続制限の処理を行い、その結果が接続不許可になる。次に、認証スイッチ２ａは、そのＭＡＣアドレス「Ｍｘ」について、端末認証を開始する。認証スイッチ２ａは、ＭＡＣアドレス「Ｍｘ」の情報を含む端末認証要求のパケットを、認証サーバ３へ送信する。認証サーバ３は、受信した端末認証要求のＭＡＣアドレス「Ｍｘ」、及び認証ＤＢ６を参照して端末認証を行う。認証サーバ３は、ＭＡＣアドレス「Ｍｘ」が認証ＤＢ６に未登録であるため、端末認証の結果を失敗とする。認証サーバ３は、端末認証の結果として失敗を表す端末認証応答のパケットを、認証スイッチ２ａへ送信する。認証スイッチ２ａは、端末認証応答に従い、ユーザ端末１ｘの接続を不許可にする。
【０１１２】
（Ｓ２９）  一方、認証サーバ３の収集部３２は、端末認証サーバ部３１との連係により、Ｓ２７で端末認証の結果が失敗になったことを認識する。収集部３２は、端末認証サーバ部３１から、端末認証が失敗となったＭＡＣアドレス「Ｍｘ」、及びそれに対応する認証スイッチ２ａのＩＰアドレス「ＩＰ１」を収集し、リスト５に追加格納する。Ｓ２９までで、リスト５には、一旦、端末認証失敗ＭＡＣアドレスが保持される。
【０１１３】
Ｓ２４〜Ｓ２９の手順は、１台のユーザ端末１ｘについての１回の端末認証及びＭＡＣアドレスの収集までの手順である。これにより、本例では、リスト５に、ＭＡＣアドレス「Ｍｘ」とＩＰアドレス「ＩＰ１」とが関係付けて格納された状態となる。
【０１１４】
（Ｓ３０）  「選択登録」の場合、次に、認証サーバ３は、Ｓ２９でリスト５に収集された端末認証失敗ＭＡＣアドレスを、管理画面に表示する。リスト表示部３７は、管理画面に、リスト５の内容である端末認証失敗ＭＡＣアドレスを含む情報を一覧として表示させる。この時点では、収集済みのＭＡＣアドレス「Ｍｘ」が表示されることになる。
【０１１５】
（Ｓ３１）  管理者は、登録対象である他のユーザ端末１であるユーザ端末１ｙからユーザ端末１ｚまでについても、Ｓ２３〜Ｓ２９の手順を、同様に繰り返す。これにより、リスト５には、図３の（ａ）のように、複数のユーザ端末１ＡのＭＡＣアドレス｛Ｍｘ，Ｍｙ，……，Ｍｚ｝が端末認証失敗ＭＡＣアドレスとして収集及び格納された状態となる。
【０１１６】
（Ｓ３２）  認証サーバ３は、リスト表示部３７により、Ｓ３０と同様に、リスト５の内容である複数の端末認証失敗ＭＡＣアドレスを含む情報を管理画面に表示する。管理者は、登録対象の複数のユーザ端末１Ａについての接続等の作業を終えると、管理画面を見て、リスト５の内容である複数の端末認証失敗ＭＡＣアドレスを確認する。管理者は、管理画面に表示されるリストで、必要に応じて、登録ＭＡＣアドレスや除外ＭＡＣアドレスを選択することができる。管理者は、管理画面で、登録ＭＡＣアドレスを確認した後、登録実行ボタンを押す。
【０１１７】
本例では、管理画面に、リスト５の内容として端末認証失敗ＭＡＣアドレス｛Ｍｘ，Ｍｙ，……，Ｍｚ｝が表示される。管理者は、それら全てのＭＡＣアドレスをそのまま登録ＭＡＣアドレスとし、登録実行ボタンを押す。
【０１１８】
（Ｓ３３）  認証サーバ３の登録部３３は、Ｓ３２の登録実行の操作に従い、リスト５の端末認証失敗ＭＡＣアドレスのうちの全ての登録ＭＡＣアドレスを、端末認証用のＭＡＣアドレスとして、認証ＤＢ６のＭＡＣアドレス６０に追加登録する。これにより、本例では、図３の（ｃ）のように、認証ＤＢ６に、ＭＡＣアドレス｛Ｍｘ，Ｍｙ，……，Ｍｚ｝が追加された状態となる。
【０１１９】
（Ｓ３４）  管理者は、登録対象の複数のユーザ端末１ＡについてのＭＡＣアドレスの登録を終えると、管理画面で、第１のモードへの切り替えを指示入力する。モード切り替え部３５は、指示入力に従い、第２のモードから第１のモードへ切り替える。モード切り替え部３５は、収集部３２及び登録部３３へ第１のモードの指示を与える。収集部３２は、指示に従い、収集動作を停止する。登録部３３は、指示に従い、登録動作を停止する。これにより、認証サーバ３は、通常の端末認証を行う状態に戻る。
【０１２０】
以上のように、管理者は、「選択登録」機能を利用する場合、管理画面で端末認証失敗ＭＡＣアドレスを表示して確認してから登録する手順を介在する。この場合、管理者が選択した複数の登録ＭＡＣアドレスを一括で認証ＤＢ６に登録でき、また、「自動登録」の場合よりも手間が少し増える代わりに、より確実に正規のＭＡＣアドレスを登録できる。
【０１２１】
［管理画面］
図８は、管理インタフェース部３４により提供する管理画面の例を示す。図８の管理画面は、欄８０１〜欄８０５を含む。
【０１２２】
欄８０１は、登録機能に係わる現在のモードの状態を表示し、モードを切り替えるボタンを有する。管理者は、このボタンにより、第１のモードと第２のモードとの間で切り替えができる。本例では、第２のモードである登録モードの状態であり、ボタンにより、第１のモードへ切り替えができる。
【０１２３】
欄８０２は、設定欄であり、「自動登録」と「選択登録」とから１つを選択して設定できる項目と、除外リストを適用するか否かを設定可能な項目と、を有する。前者の項目で「自動登録」が設定された場合、図６のような動作が行われ、「選択登録」が設定された場合、図７のような動作が行われる。本例では、前者の項目で「選択登録」が設定されている。後者の項目では、「除外リストを適用する」が設定された場合、登録部３３による登録動作の際に除外リスト８が適用される。本例では、後者の項目で「除外リストを適用する」が設定されている。
【０１２４】
欄８０３は、「認証スイッチ設定情報」を表示する欄であり、管理者により第１の認証機器２Ａ及び第２の認証機器２Ｂを設定可能である。欄８０３の「認証スイッチ設定情報」の表では、「スイッチＩＤ」列、「登録有効／無効」列、その他の情報列を有する。「スイッチＩＤ」列は、ネットワーク４に接続されている複数の認証スイッチ２について、スイッチＩＤであるＩＰアドレスを表示する。「登録有効／無効」列は、認証スイッチ２毎に、登録機能に対応したＭＡＣアドレスの登録の有効／無効の状態が設定される。例えば、管理者は、この「登録有効／無効」列のチェックボタンをオン／オフする操作により、有効／無効を設定可能である。「有効」状態は、第１の認証機器２Ａの設定に相当し、「無効」状態は、第２の認証機器２Ｂの設定に相当する。その他の情報列には、認証スイッチ２毎に設定されている他の情報が表示される。
【０１２５】
欄８０４は、除外リスト８の内容を表示する。管理者は、欄８０４で除外リスト８の内容である除外ＭＡＣアドレスを確認し、個別に除外ＭＡＣアドレスの登録や削除も可能である。本例では、欄８０４に除外ＭＡＣアドレス「Ｍｅ」「Ｍｆ」等が登録されている。
【０１２６】
欄８０５は、リスト５の内容である端末認証失敗ＭＡＣアドレスの一覧を含む情報を表示する。欄８０５の表は、列として、「登録対象選択」、「番号」、「ＭＡＣアドレス」、「スイッチＩＤ」、「除外」、「収集日時」等を有する。なお、リスト５に多数のＭＡＣアドレスが格納されている場合、その情報を管理画面内に一度に表示しきれない場合には、スクロールバー等の手段を用いて表示される。
【０１２７】
「登録対象選択」列は、チェックボタンを有し、管理者は、チェックボタンのオン／オフにより、認証ＤＢ６への登録対象とする登録ＭＡＣアドレスを選択することができる。最初の状態では、収集された全ての端末認証失敗ＭＡＣアドレスについて、「登録対象選択」列のチェックボタンが自動的にオン状態で表示される。また、欄８０５の下側に表示されている「登録ＭＡＣアドレス数」は、欄８０５で選択された登録ＭＡＣアドレスの数を表示する。「番号」列には、収集時にリスト５に格納された順序に対応した番号が表示される。
【０１２８】
「ＭＡＣアドレス」列は、収集された端末認証失敗ＭＡＣアドレスの値を表示する。「スイッチＩＤ」列は、当該行のＭＡＣアドレスに関係付けられた、スイッチＩＤであるＩＰアドレスの値を表示する。このＩＰアドレスは、端末認証失敗ＭＡＣアドレスがどの認証スイッチ２を通じて収集されたかを示す。
【０１２９】
「除外」列は、当該行のＭＡＣアドレスが、欄８０４の除外リスト８の除外ＭＡＣアドレスに該当する場合に、そのことを示す情報、例えば「×」等の情報、を表示する。また、当該行のＭＡＣアドレスが、除外ＭＡＣアドレスに該当する場合、「登録対象選択」列では、最初、自動的にチェックボタンがオフ状態で表示される。「収集日時」列は、当該行のＭＡＣアドレスが収集された日時の情報を表示する。「収集日時」は、言い換えると、端末認証が失敗となった日時である。
【０１３０】
管理者は、「選択登録」の場合の作業時、管理画面で、欄８０５を見て、リスト５に収集された端末認証失敗ＭＡＣアドレスを確認する。欄８０５では、最初の状態では、除外ＭＡＣアドレスを除く全ての端末認証失敗ＭＡＣアドレスが登録ＭＡＣアドレスとして選択された状態である。管理者は、それらのＭＡＣアドレスを全て登録する場合には、そのまま、管理画面の下側に示す登録実行ボタンを押す。これにより、登録部３３は、欄８０５で選択された全ての登録ＭＡＣアドレスを認証ＤＢ６へ登録する。
【０１３１】
また、管理者は、欄８０５の複数の端末認証失敗ＭＡＣアドレスについて、ＩＰアドレスやその他の情報をみながら、登録ＭＡＣアドレス及び除外ＭＡＣアドレスを選択する操作が可能である。管理者は、欄８０５の複数のＭＡＣアドレスのうち、例えば一部のＭＡＣアドレスを、除外ＭＡＣアドレスとして選択する場合、そのＭＡＣアドレスの「登録対象選択」列のチェックボタンをオフにする。また、管理者は、除外ＭＡＣアドレスを登録ＭＡＣアドレスに変更する場合、そのＭＡＣアドレスの「登録対象選択」列のチェックボタンをオンにする。管理者は、登録ＭＡＣアドレス及び除外ＭＡＣアドレスを選択した後、登録実行ボタンを押す。これにより、登録部３３は、欄８０５で選択された全ての登録ＭＡＣアドレスを認証ＤＢ６へ登録する。
【０１３２】
なお、認証サーバ３は、既存の機能に対応した手動設定部３９により、認証ＤＢ６の内容であるＭＡＣアドレスを管理画面に表示することができる。管理者は、その管理画面で、個別にＭＡＣアドレスの確認、登録、削除、修正等を行うことも可能である。
【０１３３】
［効果等］
以上説明したように、実施の形態の認証システムによれば、ユーザ端末１のＭＡＣアドレスを認証ＤＢ６に登録する際の管理者の作業の手間及び時間を低減できる。実施の形態によれば、登録作業におけるＭＡＣアドレス情報の収集、調査、作成、確認及び検証等を含む作業の工数を削減できる。実施の形態によれば、登録するユーザ端末の台数及びＭＡＣアドレスの数に応じて管理者の作業の手間及び時間が増大することを防止できる。
【０１３４】
管理者は、多数のユーザ端末１ＡのＭＡＣアドレスの登録作業を行う場合に、認証サーバ３の登録機能を用いて、それらのユーザ端末１Ａを認証スイッチ２へ接続し、端末認証を行わせる。これにより、認証サーバ３は、端末認証失敗ＭＡＣアドレスを収集し、一括して認証ＤＢ６に登録することができる。よって、管理者は、端末認証用の認証情報を管理するための手間が軽減される。
【０１３５】
管理者は、ＭＡＣアドレス値を手動入力する手順等、従来のＭＡＣアドレス情報の作成の手順が不要である。そのため、管理者は、手動入力の場合のＭＡＣアドレス値の誤りを無くすことができ、ＭＡＣアドレス値の確認や修正等の手間が軽減される。また、管理者は、管理画面をみながら、登録作業を容易に行うことができる。管理者は、管理画面で、端末認証失敗ＭＡＣアドレスや、認証ＤＢ６に登録されたＭＡＣアドレスを確認でき、従来の確認及び検証等の手間が軽減される。
【０１３６】
また、本実施の形態では、スイッチ設定部３６を用いて第１の認証機器２Ａを可変に設定可能とした。これにより、管理者は、目的の登録作業に応じて、複数の認証スイッチ２のうち所望の認証スイッチ２を第１の認証機器２Ａとして設定して、登録作業を効率的に行うことができる。例えば、管理者は、登録対象のユーザ端末１が置いてある場所に対して近い場所にある認証スイッチ２を第１の認証機器２Ａとして設定可能である。管理者は、必要に応じて、他の認証スイッチ２や、複数の認証スイッチ２を、第１の認証機器２Ａとして設定して登録作業を行うこともできる。
【０１３７】
実施の形態の認証システムの運用例として、管理者は、自分の管理配下にある特定の認証スイッチ２を第１の認証機器２Ａとして設定し、その第１の認証機器２Ａの場所で、登録対象の複数のユーザ端末１Ａについての登録作業を行う。これにより、登録対象の複数のユーザ端末１Ａの中に、登録対象ではないユーザ端末１が紛れ込むこと等を防止できる。また、管理者は、管理画面で端末認証失敗ＭＡＣアドレス等を確認できるので、仮に誤って登録対象ではないユーザ端末が認証スイッチに接続された場合にも、そのユーザ端末のＭＡＣアドレスを除外することは容易である。
【０１３８】
実施の形態の認証システムの変形例として、以下が挙げられる。変形例として、認証ＤＢ６は、認証サーバ３の内部ではなく、認証サーバ３の外部の装置に保持されていてもよい。外部の装置は、例えば、アカウント管理機能を持つアカウント管理サーバ等がある。この構成の場合、認証サーバ３は、端末認証の際には、ネットワーク４を通じてその装置にアクセスし、その装置の認証ＤＢ６を参照して端末認証を行う。また、認証サーバ３は、端末認証失敗ＭＡＣアドレスを端末認証用のＭＡＣアドレスとして登録する際には、同様に、その装置にアクセスし、その装置の認証ＤＢ６に登録する。
【０１３９】
変形例として、第１の認証機器２Ａ及び第２の認証機器２Ｂの役割が固定された構成でもよい。この認証システムでは、予め、認証サーバ３において、ネットワーク４に接続された複数の認証スイッチ２のうち特定の認証スイッチ２が固定的に第１の認証機器２Ａとして設定される。この構成の場合、運用として、必ずその第１の認証機器２Ａの場所で登録作業が行われる。
【０１４０】
変形例として、認証サーバ３は、収集部３２により端末認証失敗アドレスを収集する際に、認証スイッチ２から収集するようにしてもよい。例えば、第１の認証機器２Ａである認証スイッチ２ａは、端末認証応答に基づいて、端末認証が失敗となったＭＡＣアドレスを、内部のメモリに保持しておく。認証サーバ３の収集部３２は、端末認証失敗ＭＡＣアドレスを収集する時、第１の認証機器２Ａである認証スイッチ２ａにアクセスし、その認証スイッチ２ａから、端末認証失敗ＭＡＣアドレス、及びＩＰアドレスや他の情報を取得し、リスト５に格納する。
【０１４１】
以上、本発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されず、その要旨を逸脱しない範囲で種々変更可能である。
【符号の説明】
【０１４２】
１，１Ａ，１Ｂ，１ｘ，１ｙ，１ｚ，１ａ，１ｍ…ユーザ端末、２，２ａ，２ｂ，２ｃ…認証スイッチ、２Ａ…第１の認証機器、２Ｂ…第２の認証機器、３…認証サーバ、４…ネットワーク、５…リスト、６…認証ＤＢ、７…表、６０…ＭＡＣアドレス、９０…端末
【図１】
0006395629.tif 000002
【図２】
0006395629.tif 000003
【図３】
0006395629.tif 000004
【図４】
0006395629.tif 000005
【図５】
0006395629.tif 000006
【図６】
0006395629.tif 000007
【図７】
0006395629.tif 000008
【図８】
0006395629.tif 000009