(57)【要約】 【課題】多数のサブネットの中から、ユーザを適切なサブネットに帰属させることができるようにする。【解決手段】ネットワークシステムは、複数のサブネットに接続するノードと、前記ノードを介した端末からの接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定する認証装置と、を含む。【選択図】図１
2015531173.tif 000002
【特許請求の範囲】
【請求項１】
複数のサブネットに接続するノードと、
前記ノードを介した端末からの接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定する認証装置と、
を含むネットワークシステム。
【請求項２】
前記認証装置は、前記端末との認証処理を行って、前記端末が接続権を有するサブネットを決定する請求項１のネットワークシステム。
【請求項３】
前記端末には、接続優先度が設定されており、
前記認証装置は、
前記端末の接続優先度に基づいて、前記端末に接続させるサブネットを決定する請求項１又は２のネットワークシステム。
【請求項４】
前記サブネットには、それぞれ接続順位が設定されており、
前記認証装置は、前記接続優先度が高い端末が、接続順位の高いサブネットに接続するようサブネットを決定する請求項３のネットワークシステム。
【請求項５】
前記認証装置は、前記接続優先度が所定のレベル以下である端末の接続候補から、接続順位が所定のレベル以上のサブネットを除外する請求項３又は４のネットワークシステム。
【請求項６】
前記各サブネットには、接続端末数の上限が設定されており、
前記認証装置は、あるサブネットの接続端末数が上限に達している状態において、接続優先度の高い端末から接続要求を受けた場合、接続優先度の低い端末を当該サブネットから接続解除し、前記接続優先度の高い端末を接続させる請求項３から５いずれか一のネットワークシステム。
【請求項７】
前記認証装置は、
通信先とのネットワークコストが低いサブネットを用いて通信を行うよう前記端末に接続させるサブネットを決定する請求項１から６いずれか一のネットワークシステム。
【請求項８】
さらに、前記各サブネットの負荷状態を計測する負荷計測部を含み、
前記認証装置は、
負荷状態が所定の高負荷状態にあるサブネットを接続対象から除外する請求項１から７いずれか一のネットワークシステム。
【請求項９】
前記接続優先度が、アカウント毎に設定されており、
前記認証装置は、
前記端末の認証時のアカウントに対応する接続優先度に基づいて、前記端末に接続させるサブネットを決定する請求項１から８いずれか一のネットワークシステム。
【請求項１０】
前記各サブネットがグループ化されており、
前記認証装置は、
前記端末が接続権を有するサブネットのグループと、前記ノードが接続するサブネットのグループとに基づいて、
前記端末に接続させるサブネットを決定する請求項１から９いずれか一のネットワークシステム。
【請求項１１】
前記ノードに認証機能が備えられており、前記ノードによる認証結果に基づいて、前記端末が接続権を有するサブネットが決定される請求項１から１０いずれか一のネットワークシステム。
【請求項１２】
複数のサブネットに接続するノードと接続され、
前記ノードを介した端末からの接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定する認証装置。
【請求項１３】
複数のサブネットに接続されたノードと接続された認証装置が、
前記ノードを介した端末から前記端末が接続権を有するサブネットへの接続要求を受け付けるステップと、
前記接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定するステップとを含む、サブネット決定方法。
【請求項１４】
複数のサブネットに接続されたノードと接続された認証装置を構成するコンピュータに、
前記ノードを介した端末から前記端末が接続権を有するサブネットへの接続要求を受け付ける処理と、
前記接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定する処理とを実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、日本国特許出願：特願２０１２−１７５１２０号（２０１２年８月７日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、ネットワークシステム、認証装置、サブネット決定方法およびプログラムに関し、特に、複数のサブネットワーク（以下、「サブネット」と記す。）を含むネットワークシステム、認証装置、サブネット決定方法およびプログラムに関する。
【背景技術】
【０００２】
会社や教育機関などでは、組織の形態に併せていくつかの階層を持つサブネットを構築したネットワーク形態が採用されている。こうしたネットワークでは、例えば、ＩＥＥＥ８０２．１ｘとＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ  Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ）を用いた端末認証を用いて、端末が属すべきサブネットを決定する方法が知られている。
【０００３】
非特許文献１、２にオープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献１のＥｘａｍｐｌｅ２には、オープンフロースイッチと、オープンフロースイッチを集中制御するオープンフローコントローラ（以下、「コントローラ」という。）との組合せにて、ＶＬＡＮ（Ｖｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）のような仮想的なネットワークを構築できることが記載されている。
【０００４】
また、特許文献１には、ネットワークに関し複数の管理対象装置に対して管理内容を異ならせることで管理負担を低減させるという管理システム及び方法が開示されている。
【０００５】
また、特許文献２には、同時接続可能なセッション数を制限し、且つ、強制的なセッションの切断を低減できるユーザ端末接続制御方法および装置が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００３−１６２５１０号公報
【特許文献２】特開２００６−１４８６４８号公報
【非特許文献】
【０００７】
【非特許文献１】Ｎｉｃｋ  ＭｃＫｅｏｗｎほか７名、“ＯｐｅｎＦｌｏｗ：  Ｅｎａｂｌｉｎｇ  Ｉｎｎｏｖａｔｉｏｎ  ｉｎ  Ｃａｍｐｕｓ  Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成２４（２０１２）年７月１３日検索］、インターネット〈URL:http://www.openflow.org/documents/openflow-wp-latest.pdf〉
【非特許文献２】“ＯｐｅｎＦｌｏｗ  Ｓｗｉｔｃｈ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ”  Ｖｅｒｓｉｏｎ  １．１．０  Ｉｍｐｌｅｍｅｎｔｅｄ  （Ｗｉｒｅ  Ｐｒｏｔｏｃｏｌ  ０ｘ０２）、［ｏｎｌｉｎｅ］、［平成２４（２０１２）年７月１３日検索］、インターネット〈URL:http://www.openflow.org/documents/openflow-spec-v1.1.0.pdf〉
【発明の概要】
【発明が解決しようとする課題】
【０００８】
以下の分析は、本発明によって与えられたものである。会社や教育機関等では、あるユーザが２以上の組織やグループに属することが一般的である。例えば、ある会社の社員は、その会社の従業員であるとともに、事業部や所属部課にも属している。また、ある学校の学生は、在校生であるとともに、クラスや学科に属し、場合によっては研究室、ゼミ、クラブ、サークルにも属していることがある。この場合、ユーザが目的とするサブネットに接続する方法としては、常用しているサブネットや最下層のサブネット経由で目的とするサブネットにアクセスする方法が採られている。
【０００９】
しかしながら、上記したアクセス方法では、ユーザから目的とするサブネットまで介在するサブネットを経由する必要があり、ネットワークコストが掛かってしまうという問題点がある。
【００１０】
また、ユーザがその都度目的とするサブネットに直接アクセスする方法も考えられるが、その場合には、目的とするサブネットにて認証を受ける必要があり、また、多くの場合、その状態では、その他のサブネットに接続できないという問題点がある。
【００１１】
要するに、ＩＥＥＥ８０２．１ｘとＲＡＤＩＵＳを用いた方式では、ユーザを１つのサブネットに所属させ、その範囲でアクセスを認めることとしており、複数のサブネット中からユーザを適切なサブネットに接続させられる構成とはなっていない。
【００１２】
この点、非特許文献１のＥｘａｍｐｌｅ２も同様であり、コントローラがユーザ認証を管理すること、トラフィックにタグ付けを行なうために、ユーザの位置情報を用いることが記載されるに止まっている。
【００１３】
同様に、特許文献１、２においても、複数のサブネット中からユーザを適切なサブネットに接続させることについては記載も示唆もなされていない。
【００１４】
本発明は、多数のサブネットの中から、ユーザを適切なサブネットに接続させることのできるネットワークシステム、認証装置、サブネット決定方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
本発明の第１の視点によれば、複数のサブネットに接続するノードと、前記ノードを介した端末からの接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定する認証装置と、を含むネットワークシステムが提供される。
【００１６】
本発明の第２の視点によれば、複数のサブネットに接続するノードと接続され、前記ノードを介した端末からの接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定する認証装置が提供される。
【００１７】
本発明の第３の視点によれば、複数のサブネットに接続されたノードと接続された認証装置が、前記ノードを介した端末から前記端末が接続権を有するサブネットへの接続要求を受け付けるステップと、前記接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定するステップとを含む、サブネット決定方法が提供される。本方法は、端末からの接続要求に応じて端末の帰属を決定する認証装置という、特定の機械に結びつけられている。
【００１８】
本発明の第４の視点によれば、複数のサブネットに接続されたノードと接続された認証装置を構成するコンピュータに、前記ノードを介した端末から前記端末が接続権を有するサブネットへの接続要求を受け付ける処理と、前記接続要求に対して、前記端末が接続権を有するサブネットと、前記ノードが接続するサブネットとに基づいて、前記端末に接続させるサブネットを決定する処理とを実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な（非トランジエントな）記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１９】
本発明によれば、多数のサブネットの中から、ユーザを適切なサブネットに帰属させることが可能となる。
【図面の簡単な説明】
【００２０】
【図１】本発明の第１の実施形態の構成を示す図である。
【図２】本発明の第１の実施形態の認証サーバの構成を示すブロック図である。
【図３】本発明の第１の実施形態の認証サーバのノードデータベース（ノードＤＢ）のエントリの例を示す図である。
【図４】本発明の第１の実施形態の認証サーバの認証データベース（認証ＤＢ）のエントリの例を示す図である。
【図５】本発明の第１の実施形態の認証処理の流れを表したシーケンス図である。
【図６】本発明の第１の実施形態の認証サーバの動作を表した流れ図である。
【図７】本発明の第１の実施形態の認証サーバの変形形態１−２を示すブロック図である。
【図８】図７の認証サーバの接続数テーブルのエントリの例を示す図である。
【図９】本発明の第１の実施形態の変形構成を示す図である。
【図１０】本発明の第１の実施形態の認証サーバの変形構成２を示すブロック図である。
【図１１】図１０の認証サーバのグループデータベース（グループＤＢ）のエントリの例を示す図である。
【図１２】図１０の認証サーバの認証データベース（認証ＤＢ）のエントリの例を示す図である。
【図１３】図１０の認証サーバのノードデータベース（ノードＤＢ）のエントリの例を示す図である。
【図１４】本発明の第２の実施形態の構成を示す図である。
【図１５】本発明の第２の実施形態の認証サーバの構成を示すブロック図である。
【図１６】本発明の第２の実施形態の認証サーバの認証データベース（認証ＤＢ）のエントリの例を示す図である。
【図１７】本発明の第２の実施形態の認証処理の流れを表したシーケンス図である。
【図１８】本発明の第２の実施形態の認証処理の流れを表した別のシーケンス図である。
【図１９】本発明の第２の実施形態の認証サーバの接続端末テーブルのエントリの例を示す図である。
【図２０】本発明の第２の実施形態の認証サーバの動作を表した流れ図である。
【図２１】本発明の第２の実施形態の認証サーバの変形構成１を示すブロック図である。
【図２２】図２１の認証サーバの認証データベース（認証ＤＢ）のエントリの例を示す図である。
【図２３】本発明の第２の実施形態の認証サーバの変形構成２を示すブロック図である。
【図２４】図２３の認証サーバのアカウントグループデータベース（アカウントグループＤＢ）のエントリの例を示す図である。
【図２５】本発明の第２の実施形態の認証サーバの変形構成３を示すブロック図である。
【図２６】本発明の第３の実施形態の構成を示す図である。
【図２７】本発明の第３の実施形態の認証サーバの構成を示すブロック図である。
【図２８】本発明の第３の実施形態の認証サーバの認証データベース（認証ＤＢ）のエントリの例を示す図である。
【図２９】本発明の第３の実施形態の認証サーバのノードデータベース（ノードＤＢ）のエントリの例を示す図である。
【図３０】本発明の第３の実施形態の認証サーバの接続端末テーブルのエントリの例を示す図である。
【図３１】本発明の第３の実施形態の認証サーバの接続端末テーブルのエントリの別の例を示す図である。
【図３２】本発明の第３の実施形態の認証処理の流れを表したシーケンス図である。
【図３３】本発明の第３の実施形態の認証処理の流れを表した別のシーケンス図である。
【図３４】本発明の第３の実施形態の認証サーバの動作を表した流れ図である。
【図３５】本発明の第３の実施形態の認証サーバの所属サブネットの決定処理の詳細を表した流れ図である。
【図３６】本発明の第３の実施形態の認証サーバの変形構成１を示すブロック図である。
【図３７】図３６の認証サーバの認証データベース（認証ＤＢ）のエントリの例を示す図である。
【図３８】本発明の第４の実施形態の構成を示す図である。
【図３９】本発明の第４の実施形態のオープンフロースイッチ（ＯＦＳ）の構成を示すブロック図である。
【図４０】本発明の第４の実施形態のオープンフロースイッチ（ＯＦＳ）に保持されるフローエントリの構成を示す図である。
【図４１】図４０のフローエントリのインストラクションフィールドに設定可能な処理内容（アクション）の例を示す図である。
【図４２】本発明の第４の実施形態の認証サーバの構成を示すブロック図である。
【図４３】本発明の第４の実施形態の認証サーバの認証データベース（認証ＤＢ）のエントリの例を示す図である。
【図４４】本発明の第４の実施形態のオープンフローコントローラ（ＯＦＣ）の構成を示すブロック図である。
【図４５】本発明の第４の実施形態のオープンフローコントローラ（ＯＦＣ）のトポロジデータベース（トポロジＤＢ）のエントリの例を示す図である。
【図４６】本発明の第４の実施形態のオープンフローコントローラ（ＯＦＣ）の接続端末記憶部のエントリの例を示す図である。
【図４７】本発明の第４の実施形態のオープンフローコントローラ（ＯＦＣ）のサブネットデータベース（サブネットＤＢ）のエントリの例を示す図である。
【図４８】図４７のサブネットデータベース（サブネットＤＢ）のエントリの要素情報の例を示す図である。
【図４９】本発明の第４の実施形態の認証処理の流れを表したシーケンス図である。
【図５０】本発明の第４の実施形態のパケット転送処理の流れを表したシーケンス図である。
【図５１】本発明の第４の実施形態のオープンフロースイッチ（ＯＦＳ）の動作を表した流れ図である。
【図５２】本発明の第４の実施形態のオープンフローコントローラ（ＯＦＣ）の動作を表した流れ図である。
【図５３】本発明の第４の実施形態のオープンフローコントローラ（ＯＦＣ）の変形構成を示すブロック図である。
【図５４】図５３のオープンフローコントローラ（ＯＦＣ）のグループデータベース（グループＤＢ）のエントリの例を示す図である。
【図５５】図５３のオープンフローコントローラ（ＯＦＣ）の接続端末記憶部のエントリの例を示す図である。
【図５６】本発明の第４の実施形態の認証サーバの認証データベース（認証ＤＢ）のエントリの別の例を示す図である。
【図５７】本発明の第１の具体的態様を示す図である。
【図５８】本発明の第２の具体的態様を示す図である。
【図５９】本発明の第２の具体的態様のオープンフローコントローラ（ＯＦＣ）の構成を示すブロック図である。
【発明を実施するための形態】
【００２１】
はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。
【００２２】
本発明は、その一実施形態において、複数のサブネットに接続するノード（図１の２０に相当）と、ノード（図１の２０）を介した端末（図１の１０）からの接続要求に応じて認証処理を行う認証装置（図１の認証サーバ３０に相当）と、を含む構成にて実現できる。より具体的には、この認証装置は、端末（図１の１０）が接続権を有するサブネットと、ノード（図１の２０）が接続するサブネットとに基づいて、端末（図１の１０）に接続させるサブネットを決定する。なお、端末（図１の１０）が接続権を有するサブネットは、端末（図１の１０）との認証処理の結果により取得することができる。
【００２３】
以上により、端末をその接続権に応じて適切なサブネットに接続させることが可能となる。
【００２４】
［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図１は、本発明の第１の実施形態の構成を示す図である。図１を参照すると、端末１０と、端末１０が接続するノード２０と、認証サーバ３０と、ノード２０が接続する２つ以上のサブネット４０Ａ〜４０Ｎとを含む構成が示されている。なお、図１において、端末１０及びノード２０の数は、それぞれ１台としているが、複数台接続されていてもよい。
【００２５】
端末１０は、コンピュータ、携帯機器、ゲーム機、携帯電話等ユーザが使用する機器である。
【００２６】
ノード２０は、ネットワークスイッチ、ルータ、無線アクセスポイント等のネットワーク機器である。ノード２０は、各ポートの接続先（端末１０やサブネット４０Ａ〜４０Ｎ）を記憶するテーブル等を参照して端末１０とサブネット４０Ａ〜４０Ｎの通信を実現する。なお、前記テーブル等において、端末１０はＭＡＣアドレスで識別することができる。また、各ポートにどのようなサブネットが接続されているかの情報は、事前にノード２０に設定しておいてもよいし、ネットワークシステムの起動や構成変更時に管理サーバ（図示省略）等からノード２０に通知させるようにしてもよい。
【００２７】
認証サーバ３０は、ＲＡＤＩＵＳサーバ、ＤＩＡＭＥＴＥＲプロトコルにて動作するＤＩＡＭＥＴＥＲサーバ、Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌにて動作するＬＤＡＰサーバ等の、端末あるいはユーザ認証用の装置である。
【００２８】
サブネット４０Ａ〜４０Ｎは、イーサネット（登録商標）、ＶＬＡＮ（Ｖｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）の様なネットワークでもよいし、光ネットワーク、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ  Ｄｉｇｉｔａｌ  Ｓｕｂｓｃｒｉｂｅｒ  Ｌｉｎｅ）、ＩＳＤＮ（Ｉｎｔｅｇｒａｔｅｄ  Ｓｅｒｖｉｃｅｓ  Ｄｉｇｉｔａｌ  Ｎｅｔｗｏｒｋ）、３Ｇ網、ＬＴＥ（ＵＭＴＳ Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ）、ＰＨＳ（Ｐｅｒｓｏｎａｌ  Ｈａｎｄｙ−ｐｈｏｎｅ  Ｓｙｓｔｅｍ）網、無線ＬＡＮ、ＷｉＭＡＸ（Ｗｏｒｌｄｗｉｄｅ  Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ  ｆｏｒ  Ｍｉｃｒｏｗａｖｅ  Ａｃｃｅｓｓ）等の回線でもよい。
【００２９】
なお、ノード２０と認証サーバ３０とは、直接接続していてもよいし、サブネットあるいは専用のネットワークを介して接続していてもよい。
【００３０】
図２は、本発明の第１の実施形態の認証サーバの構成を示すブロック図である。図２を参照すると、本実施形態の認証サーバ３０は、ノードデータベース（以下データベースを「ＤＢ」と記す。）３１と、認証ＤＢ３２と、所属決定部３３と、認証処理部３４と、認証結果通知部３５とを備えている。
【００３１】
ノードＤＢ３１は、ノード２０それぞれが接続されたサブネットを記録したエントリを格納するデータベースである。図３は、ノードＤＢ３１のエントリの例を示す図である。ノードＩＤは、ノードを一意に識別するための識別子である。サブネットＩＤは、サブネットを一意に識別するための識別子である。例えば、ノード２０がサブネット４０Ａ〜４０Ｎのうちの複数のサブネットに接続されている場合、ノード２０のエントリは、これらノード２０に接続されたサブネットのサブネットＩＤが記録される。
【００３２】
認証ＤＢ３２は、端末を認証するための情報（ＩＤ／ユーザ名／アカウント名／端末ＩＤ／ＭＡＣアドレス、パスワード／パスフレーズ、証明書）と、認証した端末が接続可能なサブネットのリストとを対応付けたエントリを格納するデータベースである。図４は、認証ＤＢ３２のエントリの例（Ａ）〜（Ｄ）を示す図である。図４の（Ａ）のユーザＩＤは、ユーザを識別するための識別子であり、ユーザ名である場合もある。図４の（Ａ）のパスワードはユーザ認証に使用する文字列である。図４の（Ｂ）の端末ＩＤは端末１０を一意に識別する識別子である。図４の（Ｃ）のＭＡＣアドレスは、端末１０のＭＡＣアドレスである。図４の（Ｄ）の証明書は、端末に登録されたＰＫＩ（Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）等の証明書である。サブネットＩＤは、ノードＤＢ３１のサブネットＩＤと同様であり、各エントリは一つ以上のサブネットＩＤを持つ。
【００３３】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図５は、本発明の第１の実施形態の認証処理の流れを表したシーケンス図である。図５を参照すると、まず、端末１０は、ノード２０に対して認証要求（接続要求）を送信する（Ｓ０１）。
【００３４】
ノード２０は、認証サーバ３０に対して認証要求（接続要求）を転送する（Ｓ０２）。認証サーバ３０は、認証処理を行い、認証が成功した場合、端末の所属するサブネットの決定処理を行い、端末１０に対してノード２０経由で認証応答を送信する（Ｓ０３、Ｓ０４）。
【００３５】
なお、ノード２０は、認証サーバ３０からの認証応答に基づき、サブネットと端末１０（又は端末１０が接続されたポート）との対応関係を内部のテーブル等に記憶し、以後、端末１０からのパケットを該当するサブネットに転送する。
【００３６】
また図５の例では、認証の際、一往復のメッセージの授受で認証が完了しているが、採用する認証方式に応じて複数回のメッセージの授受を行うこととしてもよい。
【００３７】
ここで、図５の認証サーバ３０によるサブネットの決定手順について説明する。図６は、本発明の第１の実施形態の認証サーバの動作を表した流れ図である。図６を参照すると、まず、端末１０からの認証要求（接続要求）を受け取ると、認証サーバ３０の認証処理部３４が、認証ＤＢ３２を参照して認証処理を行う（ステップＳ１０１）。
【００３８】
認証処理の結果、認証に成功すると（ステップＳ１０２のＹｅｓ）、所属決定部３３が、ノードＤＢ３１から、認証要求（接続要求）の送信元のノード２０が接続されているサブネットの一覧を入手する（ステップＳ１０３）。
【００３９】
次いで、所属決定部３３は、ステップＳ１０３で入手したサブネットの一覧と、認証処理部３４が認証ＤＢ３２から取得した端末が接続権を有するサブネットの情報とを照合し、一致するものの中から端末１０を所属させるべきサブネットを決定する（ステップＳ１０４）。
【００４０】
認証結果通知部３５が、端末１０に対し、ノード２０経由で、ステップＳ１０４で決定したサブネットの情報を付加した認証成功の応答を送信する（ステップＳ１０５）。
【００４１】
なお、ステップＳ１０１の認証処理の結果、認証に失敗した場合（ステップＳ１０２のＮｏ）、認証結果通知部３５が、端末１０に対し、ノード２０経由で、認証失敗の応答を送信する（ステップＳ１０６）。
【００４２】
また、ステップＳ１０４で、端末１０を所属させるべきサブネットが多数ある場合、これらの中から、乱数等により決定する方法を採用してもよい。
【００４３】
以上のように本実施形態によれば、認証手続を経るだけで、端末１０を複数のサブネットに所属させることが可能となる。
【００４４】
［第１の実施形態の変形形態］
続いて、上記第１の実施形態の変形形態をいくつか紹介する。
［変形形態１−１（優先度を利用）］
認証サーバ３０の認証ＤＢ３２の端末１０毎のサブネットＩＤに優先度を付加しておく変形形態が考えられる。これにより、図６のステップＳ１０４のサブネット決定処理において、認証サーバ３０が、ノード２０に接続されているサブネットの中から優先度の高いサブネットを選択することができるようになる。なお、サブネットＩＤに対する優先度の付与方法としては、個々のフィールドに優先度情報フィールドを付加するほか、各エントリのサブネットＩＤを優先度順に配置する方法がある。このようにすることにより、個々の端末に設定された優先度を考慮して、端末をサブネットに接続させることが可能となる。
【００４５】
［変形形態１−２（接続端末数を考慮）］
図７は、本発明の第１の実施形態の認証サーバのさらなる変形形態を示すブロック図である。図２に示した認証サーバの構成との相違点は、接続数テーブル３６が追加され、所属決定部が、接続数テーブル３６も参照して端末１０の所属サブネットを決定する点である。
【００４６】
図８は、図７の認証サーバ３０Ａの接続数テーブル３６のエントリの例を示す図である。図８に示すように、接続数テーブル３６は、サブネット毎に、接続している端末の数を管理するテーブルである。
【００４７】
図７の認証サーバ３０Ａは、図６のステップＳ１０４において、ステップＳ１０３で入手したサブネットと、認証処理部３４が認証ＤＢ３２から取得した端末が接続しうるサブネットの情報と一致するものについて、接続数テーブル３６から接続されている端末数を入手する。そして、認証サーバ３０Ａは、両者が一致するサブネットの中から、接続している端末数を考慮して端末１０を所属させるべきサブネットを決定する。また、認証サーバ３０Ａは、端末１０が所属すべきサブネットを決定すると、接続数テーブル３６の該当サブネットの接続端末数を１増加させる。また、端末１０がノード２０から離脱した際、認証サーバ３０Ａは、接続数テーブル３６から該当端末が接続していたサブネットの接続端末数を１減少させる。
【００４８】
接続している端末数を考慮したサブネットの選択ルールとしては、例えば、接続端末数が最も少ないサブネットを選択する方法を挙げることができる。このようにすると、サブネット４０Ａ〜４０Ｎ間の接続端末数を平準化することが可能となる。
【００４９】
［変形形態１−３（サブネットの負荷を考慮）］
図９は、本発明の第１の実施形態のさらなる変形形態を示すブロック図である。図１に示した全体構成との相違点は、認証サーバ３０Ｂに負荷計測部５０が接続されている点である。
【００５０】
図９の負荷計測部（負荷計測装置でも良い）５０は、サブネット４０Ａ〜４０Ｎについてそれぞれ単位時間当たりのパケット量あるいはパケット利用率を計測する。
【００５１】
そして、図９の認証サーバ３０Ｂは、図６のステップＳ１０４において、負荷計測部５０の計測結果をもとに、ノード２０に接続しているサブネット４０Ａ〜４０Ｎのうち、パケット数あるいはパケット利用率が最も低くかつ端末１０が接続可能なものを選択する。このようにすることでサブネット４０Ａ〜４０Ｎ間の負荷均衡を図ることが可能となる。
【００５２】
［変形形態１−４（サブネットグループの導入）］
図１０は、本発明の第１の実施形態の認証サーバのさらなる変形形態を示すブロック図である。図２に示した認証サーバの構成との相違点は、サブネットをグループ単位で管理するためのグループＤＢ３７が追加され、認証処理や所属サブネットの決定時に参照される点である。
【００５３】
図１１は、図１０のグループＤＢ３７のエントリの例を示す図である。図１１を参照すると、グループを一意に示す識別子であるグループＩＤと、そのグループに属するサブネットのサブネットＩＤとを対応付けた構成となっている。
【００５４】
このようなグループＤＢ３７が設けられている場合、図２の認証ＤＢ３２やノードＤＢ３１はそれぞれ次のように簡略化できる。図１２は、認証ＤＢ３２のエントリの例であり、１以上のサブネットＩＤの代わりに、端末１０やユーザが接続権を有するグループＩＤを対応付けた構成となっている。図１３は、ノードＤＢ３１のエントリの例であり、１以上のサブネットＩＤの代わりに、当該ノードが接続されているサブネットのグループＩＤを対応付けた構成となっている。
【００５５】
本構成における認証サーバ３０Ｃは、上記のような認証ＤＢ３２、ノードＤＢ３１及びグループＤＢ３７とを用いて、ノード２０に接続しているサブネット４０Ａ〜４０Ｎのグループのうち、端末１０が接続可能なサブネットのグループを選択する。このようにすることで、ノード及び端末とサブネットとの関連付けに関する管理者の手間を低減することが可能となる。なお、図１０の例では、ノードＤＢ３１と認証ＤＢ３２とで、グループＤＢ３７を共用する構成としたが、一方のみに使用してもよい。また、それぞれ異なるグループＤＢを設けてそれぞれ使用するようにしてもよい。
【００５６】
以上の本発明の第１の実施形態とその変形形態を説明したが、それぞれの変形形態を組み合わせることも可能である。例えば、変形形態１−２又は変形形態１−３と変形形態１−４とを組み合わせて、サブネットグループ単位での端末数や負荷を考慮した所属サブネットの決定を行うことも可能である。
【００５７】
［第２の実施形態］
続いて、端末間にサブネットへの接続に関する優先度が設定されていることを想定した本発明の第２の実施形態について説明する。図１４は本発明の第２の実施形態の構成を示す図である。図１４を参照すると、本発明の第２の実施形態は、２つ以上の端末１０Ａ〜１０Ｍと、端末１０Ａ〜１０Ｍが接続するノード２０と、認証サーバ６０と、ノード２０が接続する２つ以上のサブネット４０Ａ〜４０Ｎとが示されている。ノード２０、サブネット４０Ａ〜４０Ｎは、第１の実施形態と同様であるので説明を省略する。また、端末１０Ａ〜１０Ｍも、複数台ある点を除いて第１の実施形態と同様である。以下、第１の実施形態との相違点を中心に説明する。
【００５８】
図１５は、本発明の第２の実施形態の認証サーバの構成を示すブロック図である。図１５を参照すると、ノードＤＢ３１と、認証ＤＢ３２と、所属決定部３３と、認証処理部３４と、認証結果通知部３５と、接続端末テーブル３８と、接続解除通知部３５−２とを備えた構成が示されている。
【００５９】
ノードＤＢ３１は、第１の実施形態の認証サーバ３０のノードＤＢ３１と同様である。
【００６０】
認証ＤＢ３２は、第１の実施形態の認証サーバ３０の認証ＤＢ３２と略同様であるが、各エントリに、各端末や各ユーザが持つ接続優先度が追加された構成となっている。図１６は、本実施形態の認証サーバ６０の認証ＤＢ３２のエントリの例（Ａ）〜（Ｄ）を示す図である。それぞれ図４に示した第１の実施形態の認証サーバ３０の認証ＤＢ３２のエントリに、「接続優先度」フィールドを追加した構成となっている。
【００６１】
ここで、「接続優先度」について説明する。接続優先度は、認証ＤＢ３２の各エントリによって認証される主体（端末／ユーザ）がサブネット４０Ａ〜４０Ｎを使用する際の優先度を示す値である。そして、本実施形態の認証サーバ６０は、一定数のユーザがサブネットに接続しているときに、後から接続優先度の高いユーザが接続を要求してきたとき、既存のユーザの中から接続優先度の低いユーザを選び出し、接続解除を行う。
【００６２】
接続端末テーブル３８は、各サブネット４０Ａ〜４０Ｎに接続している端末１０Ａ〜１０Ｍを記録するテーブルである。図１７は、接続端末テーブル３８のエントリの例を示す図である。図１７の例では、サブネットＩＤと、当該サブネットに接続されている全端末の接続端末情報とを対応付けた構成となっている。また、個々の接続端末情報には、当該端末が接続しているノードを示すノードＩＤと、当該端末の端末情報（ＭＡＣアドレス、証明書、ユーザ名、接続ポート等）と、接続優先度とを含んでいる。
【００６３】
このように、接続端末情報にノードＩＤ、端末情報および接続優先度を記録することにより、サブネット決定処理の際に端末の接続優先度および端末情報、ノードＩＤを検索する処理を省略することが可能となり、処理の高速化が期待できる。
【００６４】
また、本実施形態においては、各サブネット４０Ａ〜４０Ｎには、同時に接続できる端末数の上限が設定されているものとする。認証サーバ６０は、例えば、上記接続端末テーブル３８に接続端末数上限フィールドを設ける等してこの端末数の上限を把握しているものとする。
【００６５】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図１８、図１９は、本発明の第２の実施形態の認証処理の流れを表したシーケンス図である。図１８は、接続端末数が接続端末数上限未満である場合のシーケンス図であり、基本的な流れは、図５に示した第１の実施形態と同様であるので、説明を省略する。
【００６６】
図１９は、端末１０Ａの認証要求（接続要求）を受理した結果、接続先として決定されたサブネットの端末接続数が上限に達してしまった際のシーケンス図である。具体的には、認証サーバ６０は、ノード２０を介して端末１０Ａからの認証要求（接続要求）を受け付けると（Ｓ１１〜Ｓ１２）、接続解除する端末（ここでは端末１０Ｂとする。）を決定し、ノード２０を介して、端末１０Ｂの接続解除を行う（Ｓ１３〜Ｓ１４）。一方、認証サーバ６０は、ノード２０を介して、端末１０Ａに対して認証応答を送信する（Ｓ１５〜Ｓ１６）。
【００６７】
そして、前記接続解除された端末１０からの認証要求（接続要求）が送られてくると（Ｓ１７〜Ｓ１８）、認証サーバ６０は、先のサブネットは接続端末数が上限に達したままなので、別のサブネットに所属させることを決定し、認証応答を送信する（Ｓ１９〜Ｓ２０）。
【００６８】
また、上記認証応答転送時のノード２０の動作及び認証後のパケット転送動作は第１の実施形態のノード２０と同様である。認証サーバ６０から接続解除を受信すると、ノード２０は、その記憶装置等から、該当端末に関する情報を消去し、認証されていない端末として扱う。
【００６９】
また、図１９のＳ１４の認証サーバ６０から端末１０Ｂに対する、接続解除通知の送信を省略することもできる。この場合、ノード２０が端末１０Ｂに対するパケット転送を中止する。反対に、図１９に示すように、ノード２０から端末１０Ｂへ接続解除を通知すると、接続解除された端末１０Ｂは、速やかに認証要求（接続要求）を行うことができるため、通信再開までの時間を短縮することが可能となる。
【００７０】
続いて、図１８、図１９の認証サーバ６０によるサブネットの決定手順について説明する。図２０は、本発明の第２の実施形態の認証サーバ６０の動作を表した流れ図である。図２０を参照すると、まず、端末１０（以下、端末１０Ａ〜端末１０Ｍを特に区別しない場合、「端末１０」と記す。）からの認証要求（接続要求）を受け取ると、認証サーバ６０の認証処理部３４が、認証ＤＢ３２を参照して認証処理を行う（ステップＳ２０１）。
【００７１】
ステップＳ２０１の認証処理の結果、認証に失敗した場合（ステップＳ２０２のＮｏ）、認証結果通知部３５が、端末１０に対し、ノード２０経由で、認証失敗の応答を送信する（ステップＳ２０３）。
【００７２】
一方、認証処理の結果、認証に成功すると（ステップＳ２０２のＹｅｓ）、所属決定部３３が、ノードＤＢ３１から、認証要求（接続要求）の送信元のノード２０が接続されているサブネットの一覧と接続優先度を入手する（ステップＳ２０４）。
【００７３】
次いで、所属決定部３３は、ステップＳ２０４で入手したサブネットの一覧と、認証処理部３４が認証ＤＢ３２から取得した端末が接続権を有するサブネットの情報とを照合し、一致するものの中から端末１０を所属させるべきサブネットを決定する（ステップＳ２０５）。
【００７４】
次いで、所属決定部３３は、接続端末テーブル３８から前記決定したサブネットの接続端末情報群を取得し（ステップＳ２０６）、前記決定したサブネットの接続端末数が上限未満であるか否かを確認する（ステップＳ２０７）。
【００７５】
前記確認の結果、前記決定したサブネットの接続端末数が上限未満である場合（ステップＳ２０７のＹｅｓ）、所属決定部３３が、接続端末テーブル３８の該当サブネットの接続端末に、今回認証に成功した端末の情報を追加する（ステップＳ２１１）。そして、認証結果通知部３５が、端末１０に対し、ノード２０経由で、ステップＳ２０５で決定したサブネットの情報を付加した認証成功の応答を送信する（ステップＳ２１２）。
【００７６】
一方、前記確認の結果、前記決定したサブネットの接続端末数が上限に達している場合（ステップＳ２０７のＮｏ）、所属決定部３３は、ステップＳ２０６で取得した接続端末の中で、今回認証に成功した端末の接続優先度よりも、接続優先度が低い端末が存在するか否かを確認する（ステップＳ２０８）。ここで該当する端末が存在しない場合、ステップＳ２０５に戻って、別のサブネットを選択する（ステップＳ２０８のＮｏ）。
【００７７】
一方、該当サブネットに接続中の端末の中に、今回認証に成功した端末の接続優先度よりも、接続優先度が低い端末が存在する場合、所属決定部３３は、これらの中から接続解除の対象とする端末を選択し（ステップＳ２０９）、ノード２０に対して当該端末の接続解除を通知する（ステップＳ２１０）。その後の動作は、決定したサブネットの接続端末数が上限未満である場合と同様である（ステップＳ２１１、Ｓ２１２）。なお、ステップＳ２１１では接続解除した端末と、新たに接続することになった端末との入替が行われる。
【００７８】
なお、第１の実施形態と同様に、ステップＳ２０５で、端末１０を所属させるべきサブネットが多数ある場合、これらの中から、乱数等により決定する方法を採用してもよい。
【００７９】
以上のように本実施形態によれば、第１の実施形態の効果に加えて、端末毎の接続優先度を考慮して所属サブネットを決定することが可能となる。なお、本実施形態では、各サブネットへの接続可能な端末数に上限があるため、認証に成功してもサブネットに接続できないケースも発生しうる。
【００８０】
［第２の実施形態の変形形態］
続いて、上記第２の実施形態の変形形態をいくつか紹介する。
［変形形態２−１（サブネットグループの導入）］
図２１は、本発明の第２の実施形態の認証サーバの変形形態を示すブロック図である。図１５に示した認証サーバ６０の構成との相違点は、サブネットをグループ単位で管理するためのグループＤＢ３７が追加され、認証処理や所属サブネットの決定時に参照される点である。
【００８１】
グループＤＢ３７及びノードＤＢ３１は、先の第１の実施形態の変形形態１−４のグループＤＢ３７及びノードＤＢ３１と同様である（図１１、図１３参照）。
【００８２】
図２２は、認証ＤＢ３２のエントリの例であり、１以上のサブネットＩＤの代わりに、端末１０やユーザが接続権を有するグループＩＤを対応付けた構成となっている。
【００８３】
本構成における認証サーバ６０Ａは、先の第１の実施形態の変形形態１−４と同様に、上記のような認証ＤＢ３２、ノードＤＢ３１及びグループＤＢ３７とを用いて、ノード２０に接続しているサブネット４０Ａ〜４０Ｎのグループのうち、端末１０が接続可能なサブネットのグループを選択する。このようにすることで、ノード及び端末とサブネットとの関連付けに関する管理者の手間を低減することが可能となる。なお、図２１の例では、ノードＤＢ３１と認証ＤＢ３２とで、グループＤＢ３７を共用する構成としたが、一方のみがグループＤＢを使用してもよい。また、それぞれ異なるグループＤＢを設けてそれぞれ使用するようにしてもよい。
【００８４】
［変形形態２−２（接続優先度のグループによる管理）］
図２３は、本発明の第２の実施形態の認証サーバのさらなる変形形態を示すブロック図である。図２３の認証サーバ６０Ｂは、認証ＤＢ３２に「接続優先度」フィールドを設けず、端末１０のグループ単位での接続優先度を管理するアカウントグループＤＢ３９を備えた構成となっている。
【００８５】
図２４は、アカウントグループＤＢ３９のエントリの例である。図２４の例では、アカウントグループ毎に、接続優先度と、そのアカウントグループに属するアカウントとを対応付けたエントリが示されている。アカウントとしては、認証ＤＢ３２のユーザ名、端末名、ＭＡＣアドレス、エントリの主キー情報等を使用することができる。
【００８６】
本構成における認証サーバ６０Ｂは、アカウントグループＤＢ３９から認証に成功した端末１０の接続優先度を取得する。このようにすることで、接続優先度をアカウント単位に設定する必要がなく管理の簡易化が実現される。
【００８７】
［変形形態２−３（変形形態２−１、２−２の組み合わせ）］
図２５は、本発明の第２の実施形態の認証サーバのさらなる変形形態を示すブロック図である。図２５の認証サーバ６０Ｃは、グループＤＢ３７と、アカウントグループＤＢ３９との双方を備えた構成となっている。
【００８８】
このようにすることで、上記した変形形態２−１、２−２と同様に、サブネットの管理及び接続優先度の管理の双方の簡略化が可能となる。
【００８９】
［第３の実施形態］
続いて、サブネットに優先度を付け、ユーザの接続優先度と合わせて所属サブネットを決定するようにした本発明の第３の実施形態について説明する。図２６は本発明の第３の実施形態の構成を示す図である。図２６を参照すると、本発明の第３の実施形態は、２つ以上の端末１０Ａ〜１０Ｍと、端末１０Ａ〜１０Ｍが接続するノード２０と、認証サーバ７０と、ノード２０が接続する２つ以上のサブネット４０Ａ〜４０Ｎとが示されている。端末１０Ａ〜１０Ｍ、ノード２０、サブネット４０Ａ〜４０Ｎは、第２の実施形態と同様であるので説明を省略する。以下、第２の実施形態との相違点を中心に説明する。
【００９０】
図２７は、本発明の第３の実施形態の認証サーバの構成を示すブロック図である。図２７を参照すると、ノードＤＢ３１と、認証ＤＢ３２と、所属決定部３３と、認証処理部３４と、認証結果通知部３５と、接続端末テーブル３８と、接続解除通知部３５−２とを備えた構成が示されている。基本的な構成は、図１５に示した第２の実施形態の認証サーバ６０と同様であるが、本実施形態では、ノードＤＢ３１、認証ＤＢ３２及び接続端末テーブル３８のエントリ構成と、所属決定部３３の動作が異なっている。以下、これらについて詳説する。
【００９１】
図２８は、本実施形態の認証サーバ７０の認証ＤＢ３２のエントリの例（Ａ）〜（Ｄ）を示す図である。それぞれ図１５に示した第２の実施形態の認証サーバ６０の認証ＤＢ３２のエントリからサブネットＩＤ群を省略した構成となっている。
【００９２】
図２９は、本実施形態の認証サーバ７０のノードＤＢ３１のエントリの例を示す図である。図３に示した第１、第２の実施形態のノードＤＢ３１のエントリと異なり、サブネットＩＤだけでなく、各ノードから各サブネットへの接続順位と許可優先度とを格納可能となっている。
【００９３】
ここで、「接続順位」は、各ノードからサブネットを使用する際の優先度を表す値であり、サブネットのスループット、応答時間、安定性等から決定される。接続順位が高いものほど、ネットワークとしての品質が高いことになる。また、「許可優先度」は、認証ＤＢ３２の各エントリの接続優先度と比較するための値であり、許可優先度よりも接続優先度が低い端末はそのサブネットに接続できないよう制御される。
【００９４】
上記接続順位及び許可優先度は、ノードの設定時、起動時、構成変更時等に設定される。もちろん、ネットワーク管理者がサブネットの負荷状況等に応じて変更できるようにしてもよい。
【００９５】
接続端末テーブル３８は、各サブネット４０Ａ〜４０Ｎに接続している端末１０Ａ〜１０Ｍを記録するテーブルである。図３０に示すように、基本的な構成は図１７に示した第２の実施形態の接続端末テーブル３８と同様である。
【００９６】
また、本実施形態において、端末接続テーブル３８をノード単位のエントリで構成する方法もある。図３１は、この場合のエントリの例を示している。このようにすることで、ノード単位での接続状況の検索性が向上する。
【００９７】
また、本実施形態においても、各サブネット４０Ａ〜４０Ｎには、同時に接続できる端末数の上限が設定されているものとする。認証サーバ７０は、例えば、上記接続端末テーブル３８に接続端末数上限フィールドを設ける等してこの端末数の上限を把握しているものとする。
【００９８】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図３２、図３３は、本発明の第３の実施形態の認証処理の流れを表したシーケンス図である。図３２は、接続端末数が接続端末数上限未満である場合のシーケンス図であり、基本的な流れは、図５に示した第１の実施形態と同様であるので、説明を省略する。
【００９９】
図３３は、端末１０Ａの認証要求（接続要求）を受理した結果、接続先として決定されたサブネットの端末接続数が上限に達してしまった際のシーケンス図である。具体的には、認証サーバ７０は、ノード２０を介して端末１０Ａからの認証要求（接続要求）を受け付けると（Ｓ１１〜Ｓ１２）、接続解除する端末（ここでは端末１０Ｂとする。）を決定し、ノード２０を介して、端末１０Ｂの接続解除を行う（Ｓ１３〜Ｓ１４）。一方、認証サーバ６０は、ノード２０を介して、端末１０Ａに対して認証応答を送信する（Ｓ１５〜Ｓ１６）。
【０１００】
そして、前記接続解除された端末１０Ｂからの認証要求（接続要求）が送られてくると（Ｓ１７〜Ｓ１８）、認証サーバ７０は、先のサブネットは接続端末数が上限に達したままなので、別のサブネットに所属させることを決定し、認証応答を送信する（Ｓ１９〜Ｓ２０）。
【０１０１】
また、上記認証応答転送時のノード２０の動作及び認証後のパケット転送動作は第１、第２の実施形態のノード２０と同様である。認証サーバ７０から接続解除を受信すると、ノード２０は、その記憶装置等から、該当端末に関する情報を消去し、認証されていない端末として扱う。
【０１０２】
また、図３３のＳ１４の認証サーバ７０から端末１０Ｂに対する、接続解除通知の送信を省略することもできる点も第２の実施形態と同様である。
【０１０３】
続いて、図３２、図３３の認証サーバ７０によるサブネットの決定手順について説明する。図３４は、本発明の第３の実施形態の認証サーバ７０の動作を表した流れ図である。図３４を参照すると、まず、端末１０からの認証要求（接続要求）を受け取ると、認証サーバ７０の認証処理部３４が、認証ＤＢ３２を参照して認証処理を行う（ステップＳ３０１）。
【０１０４】
ステップＳ３０１の認証処理の結果、認証に失敗した場合（ステップＳ３０２のＮｏ）、認証結果通知部３５が、端末１０に対し、ノード２０経由で、認証失敗の応答を送信する（ステップＳ３０３）。
【０１０５】
一方、認証処理の結果、認証に成功すると（ステップＳ３０２のＹｅｓ）、所属決定部３３が、ノードＤＢ３１から、認証要求（接続要求）の送信元のノード２０が接続されているサブネット情報のリスト（接続優先度を含む）を入手する（ステップＳ３０４）。
【０１０６】
次いで、所属決定部３３は、ステップＳ３０４で入手したサブネット情報のリストと、認証処理部３４が認証ＤＢ３２から取得した端末の接続優先度と、接続端末テーブル３８から取得した各サブネットの状態から端末１０を所属させるべきサブネットを決定する（ステップＳ３０５）。
【０１０７】
次いで、所属決定部３３は、前記決定したサブネットの接続端末数が上限未満であるか否かを確認する（ステップＳ３０６）。
【０１０８】
前記確認の結果、前記決定したサブネットの接続端末数が上限未満である場合（ステップＳ３０６のＮｏ）、所属決定部３３が、接続端末テーブル３８の該当サブネットの接続端末に、今回認証に成功した端末の情報を追加する（ステップＳ３０９）。そして、認証結果通知部３５が、端末１０に対し、ノード２０経由で、ステップＳ３０５で決定したサブネットの情報を付加した認証成功の応答を送信する（ステップＳ３１０）。
【０１０９】
一方、前記確認の結果、前記決定したサブネットの接続端末数が上限に達している場合（ステップＳ３０６のＹｅｓ）、所属決定部３３は、ステップＳ３０４で取得した接続端末の中から、接続解除の対象とする端末を選択し（ステップＳ３０７）、ノード２０に対して当該端末の接続解除を通知する（ステップＳ３０８）。その後の動作は、決定したサブネットの接続端末数が上限未満である場合と同様である（ステップＳ３０９、Ｓ３１０）。なお、ステップＳ３０９では接続解除した端末と、新たに接続することになった端末との入替が行われる。
【０１１０】
ここで、図３４のステップＳ３０５における端末１０を所属させるべきサブネットを決定する方法をより詳細に説明する。図３５は、本発明の第３の実施形態の認証サーバの所属サブネットの決定処理の詳細を表した流れ図である。図３５を参照すると、まず、所属決定部３３は、ノード２０に接続されているサブネットから、許可優先度が端末１０の接続優先度以下であるサブネットを選択する（ステップＳ４０１）。
【０１１１】
次いで、所属決定部３３は、ステップＳ４０１で選択したサブネットを接続順位の順でソートし（ステップＳ４０２）、最も接続順位が高いものを対象として選択する（ステップＳ４０３）。
【０１１２】
ここで、対象として選択したサブネットが接続端末数の上限に達していなければ（ステップＳ４０４のＹｅｓ）、所属決定部３３は、対象サブネットを接続サブネットとして決定する（ステップＳ４０５）。
【０１１３】
一方、対象として選択したサブネットが接続端末数の上限に達している場合（ステップＳ４０４のＮｏ）、所属決定部３３は、対象として選択したサブネットに端末１０の接続優先度未満の端末があるか否か、即ち、端末の入替が可能であるか否かを確認する（ステップＳ４０６）。ここで、対象として選択したサブネットに端末１０の接続優先度未満の端末がない場合（ステップＳ４０６のＮｏ）、所属決定部３３は、ステップＳ４０２でソートしたサブネットの中から次順位のサブネットを選択し（ステップＳ４０７）、ステップＳ４０４以降の処理を実行する。
【０１１４】
一方、対象として選択したサブネットに端末１０の接続優先度未満の端末がある場合（ステップＳ４０６のＹｅｓ）、所属決定部３３は、接続優先度未満の端末を接続解除の対象に決定するとともに、ステップＳ４０３又はＳ４０７で選択したサブネットを接続サブネットとして決定する（ステップＳ４０８）。
【０１１５】
以上のように本実施形態によれば、第１の実施形態の効果に加えて、サブネットの接続順位と、端末の接続優先度とを考慮して所属サブネットを決定することが可能となる。なお、本実施形態においても、各サブネットへの接続可能な端末数に上限があるため、認証に成功してもサブネットに接続できないケースが発生しうる。
【０１１６】
［第３の実施形態の変形形態］
続いて、上記第３の実施形態の変形形態を紹介する。
【０１１７】
［変形形態３−１（接続優先度のグループによる管理）］
図３６は、本発明の第３の実施形態の認証サーバの変形形態を示すブロック図である。図３６の認証サーバ７０Ａは、先の第２の実施形態の変形形態２−２と同様に、認証ＤＢ３２に「接続優先度」フィールドを設けず、端末１０のグループ単位での接続優先度を管理するアカウントグループＤＢ３９を備えた構成となっている。
【０１１８】
図３７は、本変形形態における認証ＤＢ３２のエントリの例である。図３７の例では、認証ＤＢ３２には、認証のための情報のみが格納されることになる。そして、その他のアカウント毎の情報は、図２４に例示したアカウントグループＤＢ３９から取得されることになる。
【０１１９】
本構成における認証サーバ７０Ａは、アカウントグループＤＢ３９から認証に成功した端末１０の接続優先度を取得する。このようにすることで、先の第２の実施形態の変形形態２−２と同様に、接続優先度をアカウント単位に設定する必要がなく管理の簡易化が実現される。
【０１２０】
［第４の実施形態］
続いて、非特許文献１、２に記載されているオープンフローを利用して最適なサブネットを選択するようにした本発明の第４の実施形態について説明する。図３８は本発明の第４の実施形態の構成を示す図である。図３８を参照すると、本発明の第４の実施形態は、端末１０と、端末１０が接続するオープンフロースイッチ（ＯＦＳ）２０Ａと、認証サーバ８１と、オープンフローコントローラ（ＯＦＣ）８２と、ＯＦＳ２０Ａに接続する２つ以上のサブネット４０Ａ〜４０Ｎとが示されている。また、図３８の例では、サブネット４０Ａ〜４０Ｎのうちのサブネット４０Ａに、端末１０の通信相手となるホスト装置８３が接続されている。
【０１２１】
端末１０は、第１の実施形態の端末１０と同様である。
【０１２２】
ＯＦＳ２０Ａは、非特許文献１に記載されているオープンフロースイッチである。図３９は、ＯＦＳ２０Ａの構成を表したブロック図である。図３９を参照すると、ＯＦＳ２０Ａは、ＯＦＣ８２から設定されたフローエントリを保持するフローエントリ記憶部２２と、フローエントリを参照して受信パケットの処理を行うパケット処理部２１と、を備えて構成される。
【０１２３】
図４０は、フローエントリの例を示す図である。フローエントリは、パケットヘッダと照合するルール（マッチ条件）フィールドと、ルール（マッチ条件）に適合するパケットを受信時に更新されるフロー統計情報フィールド（Ｃｏｕｎｔｅｒｓ）と、ルール（マッチ条件）に適合するパケットに適用する処理内容（Ａｃｔｉｏｎ）を格納するインストラクションフィールド（Ｉｎｓｔｒｕｃｔｉｏｎｓ）と、を対応付けて構成されている。
【０１２４】
図４１は、非特許文献２に定義されているアクション名とアクションの内容を一例として示す表である。ＯＵＴＰＵＴは、指定ポート（インタフェース）から受信パケットを出力するアクションである。ＳＥＴ＿ＶＬＡＮ＿ＶＩＤからＳＥＴ＿ＴＰ＿ＤＳＴは、パケットヘッダの該当フィールドを修正するアクションである。
【０１２５】
認証サーバ８１は、端末１０を認証する装置である。図４２は、認証サーバ８１の構成を示すブロック図である。認証サーバ８１は、第１〜第３の実施形態の認証サーバの認証ＤＢ３２、認証処理部３４、認証結果通知部３５に相当する、認証ＤＢ８１１、認証処理部８１２、認証結果通知部８１３とを備えている。第１〜第３の実施形態の認証サーバと比べて構成が簡略化されているのは、認証結果通知部８１３から認証結果を受け取ったＯＦＣ８２が以降の処理を実行するためである。
【０１２６】
図４３は、認証ＤＢ８１１のエントリの例（Ａ）〜（Ｄ）を示す図である。それぞれ図４に示した第１の実施形態の認証サーバ３０の認証ＤＢ３２のエントリと同等の構成となっている。
【０１２７】
ＯＦＣ８２は、非特許文献２のオープンフローコントローラに、所属サブネットの決定機能を追加したものである。また、本実施形態では、サブネット４０Ａ〜４０Ｎは、ＯＦＳ２０Ａと同等のＯＦＳを含んで構成されているものとする。これにより、ＯＦＣ８２により、ネットワーク全体の経路制御が可能となっている。もちろん、サブネット４０Ａ〜４０ＮにＯＦＳが含まれていなくともよい。この場合は、該当するサブネットがＯＦＣ８２からの経路制御の対象外となるだけである。
【０１２８】
図４４は、本実施形態のＯＦＣ８２の構成を表したブロック図である。図４４を参照すると、本実施形態のＯＦＣ８２は、第１〜第３の実施形態の認証サーバの所属決定部３３に相当する端末所属決定部８２１と、接続端末記憶部８２２と、トポロジＤＢ８２３と、サブネットＤＢ８２４と、パケット処理部８２５と、経路計算部８２６と、フロー設定部８２７とを備えている。
【０１２９】
トポロジＤＢ８２３は、全サブネットの接続情報を記録したデータベースである。図４５は、トポロジＤＢ８２３のエントリの構成例を示す図である。図４５の上段（Ａ）は、ＯＦＳ２０Ａ同士を接続したリンクを記録する形式であり、ＯＦＳ２０Ａの識別子であるＤＰＩＤ（ＤａｔａＰａｔｈＩＤ）と、ポートの番号の対で構成される。図４５の下段（Ｂ）は、ポートの先に、端末やホスト装置等の装置が接続されている場合の形式であり、ＯＦＳ２０Ａの識別子であるＤＰＩＤと、ポートと、接続された装置のＭＡＣアドレスで構成される。これらのエントリの組み合わせで全サブネットの接続関係を記述することができる。
【０１３０】
接続端末記憶部８２２は、第１〜第３の実施形態の認証サーバのノードＤＢ３１に相当し、いずれかのＯＦＳ２０Ａに接続している端末１０が接続可能なサブネットを記憶する。
【０１３１】
図４６は、接続端末記憶部８２２のエントリの例を示す図である。図４６の例では、
端末１０が接続されたＯＦＳ２０ＡのＤＰＩＤと、ポート番号と、端末情報と、選択されたサブネットのサブネットＩＤ（主サブネットＩＤ）、端末が接続しうるサブネットのサブネットＩＤとを対応付けて構成される。なお、図４６の端末情報としては、ＭＡＣアドレス等を使用することができる。
【０１３２】
サブネットＤＢ８２４は、サブネット４０Ａ〜４０Ｎに属する要素を記録したデータベースである。図４７は、サブネットＤＢ８２４のエントリの例を示す図である。図４７の例では、各エントリはサブネットを識別するサブネットＩＤと、要素情報から構成される。
【０１３３】
図４８は、要素情報の例を示す図である。図４８の（Ａ）〜（Ｃ）に示すように、要素情報としては、サブネットに接続されるＯＦＳのＤＰＩＤとポート番号の組や、サブネットに属する装置のＭＡＣアドレス、サブネット（ＶＬＡＮ）に接続されるＯＦＳのＤＰＩＤとポート番号とＶＬＡＮ  Ｔａｇの組等によって記述される。
【０１３４】
パケット処理部８２５は、ＯＦＳ２０Ａからフローエントリの設定を求めるパケットを受信すると、端末所属決定部８２１に出力する。端末所属決定部８２１から応答が返されると、パケット処理部８２５は、経路計算部８２６にパケットと、端末所属決定部８２１からの応答（所属サブネット）を出力する。
【０１３５】
端末所属決定部８２１は、トポロジＤＢ８２３と、接続端末記憶部８２２と、サブネットＤＢとを参照して、入力されたパケットの送信元の端末１０が所属するサブネットを決定し、パケット処理部に応答する。
【０１３６】
経路計算部８２６は、トポロジＤＢ８２３と、接続端末記憶部８２２とを参照して、フローエントリの設定を求めるパケットと端末所属決定部８２１にて決定された所属サブネットを元に、当該パケットに後続するパケット（フロー）の転送経路を計算する。経路計算部８２６での経路計算の方法としては、ダイクストラ法を用いることができる。
【０１３７】
フロー設定部８２７は、経路計算部８２６で計算された経路上のＯＦＳに、経路に従ったパケット転送を行わせるためのフローエントリを生成し、各ＯＦＳに設定する。各ＯＦＳへのフローエントリの設定は、非特許文献２のＦＬＯＷ  ＭＯＤメッセージを用いることができる。
【０１３８】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図４９は、本発明の第４の実施形態の認証処理の流れを表したシーケンス図である。図４９を参照すると、まず、端末１０から認証要求（接続要求）に係るパケットが送信されると（Ｓ２１）、ＯＦＳ２０Ａが、認証要求（接続要求）に係るパケットをＯＦＣ８２に転送する（Ｓ２２）。ＯＦＣ８２は、認証要求（接続要求）に係るパケットを認証サーバ８１に転送する（Ｓ２３）。
【０１３９】
認証サーバ８１は、認証処理が完了すると、その結果を認証応答パケットとしてＯＦＣ８２に送信する（Ｓ２４）。ＯＦＣ８２は、認証応答パケットをＯＦＳ２０Ａに転送し、端末１０に送信させる（Ｓ２５、Ｓ２６）。
【０１４０】
その他基本的な流れは、図５に示した第１の実施形態と認証サーバ３０がＯＦＣ８２、認証サーバ８１に置き換わっただけである。
【０１４１】
図５０は、上記認証処理後の端末１０とホスト装置８３間の通信処理の流れを表したシーケンス図である。図５０を参照すると、端末１０がホスト装置宛ての通信パケットが送信されると（Ｓ３１）、ＯＦＳ２０Ａが、ＯＦＣ８２に対して通信パケットを転送する（Ｓ３２）。ＯＦＣ８２は、認証処理の結果に基づき、サブネット４０Ａ経由でホスト装置８３に通信パケットを送信する経路を計算し、ＯＦＳ２０Ａ及びサブネット４０Ａの経路上のＯＦＳにフローエントリを設定する（Ｓ３３、Ｓ３４）。そして、サブネットの４０ＡのＯＦＳにホスト装置宛ての最初の通信パケットを送信し、ホスト装置８３に転送させる（Ｓ３５、Ｓ３６）。
【０１４２】
その後、端末１０からホスト装置宛てに送信されたパケットは、Ｓ３３、Ｓ３４で設定されたフローエントリにより、ＯＦＳ２０Ａ、サブネット４０Ａの経路上のＯＦＳを介してホスト装置８３に転送される（Ｓ３１−２、Ｓ３２−２、Ｓ３６−２）。
【０１４３】
続いて、図４９、図５０におけるＯＦＳ２０Ａの動作について図面を参照して詳細に説明する。図５１は、本発明の第４の実施形態のパケット受信時のＯＦＳ２０Ａの動作を表した流れ図である。図５１を参照すると、まず、パケットを受信すると、ＯＦＳ２０Ａは、フローエントリ記憶部２２から、受信パケットに適合するルール（マッチ条件）を持つフローエントリを検索する（ステップＳ５０１）。
【０１４４】
前記検索の結果、受信パケットに適合するルール（マッチ条件）を持つフローエントリが見つからなかった場合（ステップＳ５０２のＮｏ）、ＯＦＳ２０Ａは、ＯＦＳ８２に対し、受信パケットを転送し、フローエントリの生成（設定）を要求する（ステップＳ５０３）。この動作が、図４９のＳ２２、図５０のＳ３２のＯＦＳ２０ＡからＯＦＣ８２へのパケット転送に相当する。
【０１４５】
前記検索の結果、受信パケットに適合するルール（マッチ条件）を持つフローエントリが見つかった場合（ステップＳ５０２のＹｅｓ）、ＯＦＳ２０Ａは、そのフローエントリのインストラクションフィールドに記述された処理内容（アクション）を実行する（ステップＳ５０４）。この動作が、図４９のＳ２２、図５０のＳ３２のＯＦＳ２０ＡからＯＦＣ８２へのパケット転送に相当する。この動作が、図５０のＳ３２−２のＯＦＳ２０Ａからサブネット４０Ａへのパケット転送に相当する。
【０１４６】
続いて、図４９のＳ２３にて、ＯＦＣ８２から認証要求（接続要求）に係るパケットを受信した認証サーバ８１の動作について説明する。認証サーバ８１は、認証要求（接続要求）に係るパケットを受信すると、認証処理部８１２にて認証ＤＢ８１１を検索し、認証処理を実施する。具体的には、認証要求（接続要求）に係るパケットの送信元に適合する図４３に例示したエントリから検索する。
【０１４７】
前記認証処理の結果、認証要求（接続要求）に係るパケットの送信元に適合するエントリが見つからず、認証に失敗すると、認証サーバ８１は、ＯＦＣ８２に対し、認証結果通知部８１３から認証失敗の認証応答を送信する。一方、認証に成功した場合、認証サーバ８１は、ＯＦＣ８２に対し、認証結果通知部８１３から、検索されたエントリに含まれる該当アカウントのサブネットＩＤリストを付加して認証応答を送信する。
【０１４８】
続いて、図４９、図５０におけるＯＦＣ８２の動作について図面を参照して詳細に説明する。図５２は、本発明の第４の実施形態のＯＦＣ８２の動作を表した流れ図である。図５２を参照すると、まず、パケットを受信すると、ＯＦＣ８２は、受信パケットが認証要求（接続要求）に係るパケットであるか否かを確認する（ステップＳ６０１）。ここで、受信パケットが認証要求（接続要求）に係るパケットである場合（ステップＳ６０１のＹｅｓ）、ＯＦＣ８２は、認証サーバ８１に、受信パケットを転送する。この動作が、図４９のＳ２３のＯＦＣ８２から認証サーバ８１へのパケット転送に相当する。
【０１４９】
一方、受信パケットが認証要求（接続要求）に係るパケットでない場合（ステップＳ６０１のＮｏ）、ＯＦＣ８２は、受信パケットが認証サーバ８１からの認証応答に係るパケットであるか否かを確認する（ステップＳ６０３）。受信パケットが認証サーバ８１からの認証応答に係るパケットであった場合、ＯＦＣ８２は、さらに、認証応答の内容が認証成功であるか否かを確認する（ステップＳ６０４）。ここで、認証応答の内容が認証失敗であった場合、ステップＳ６０５〜Ｓ６０７の処理は省略される。
【０１５０】
認証応答の内容が認証成功であった場合、ＯＦＣ８２は、トポロジＤＢ８２３と、サブネットＤＢ８２４とを参照して、端末１０が接続したＯＦＳ２０Ａから接続可能なサブネットを割り出し、認証応答に添付された端末１０が接続可能なサブネットＩＤリストと、突き合わせ、端末１０が接続可能なサブネット群を割り出す（ステップＳ６０５）。
【０１５１】
また、各ＯＦＳから接続可能なサブネットとしては、サブネットＤＢ８２４のエントリの要素情報のＤＰＩＤが一致するもの、トポロジＤＢ８２３からリンクをたどって、接続可能なＯＦＳのＤＰＩＤがサブネットＤＢ８２４のエントリの要素情報として記録されているものを選択することができる。
【０１５２】
次に、ＯＦＣ８２は、割り出したサブネット群から端末１０を所属させるサブネットを決定する（ステップＳ６０６）。次いで、ＯＦＣ８２は、端末１０の接続されたＯＦＳ２０ＡのＤＰＩＤ、ポート番号、端末情報（ＭＡＣアドレス）、主サブネットＩＤ（前記決定した所属サブネットのサブネットＩＤ)、当該端末が接続可能なサブネットのリストを接続端末記憶部８２２に記憶する（ステップＳ６０７）。
【０１５３】
上記のように、認証処理の結果が得られると、ＯＦＣ８２は、端末１０に対し、ＯＦＳ２０Ａ経由で、認証応答を転送する（ステップＳ６０８）。
【０１５４】
一方、受信パケットが認証要求（接続要求）に係るパケットでも、認証サーバ８１からの認証応答に係るパケットでもない場合（ステップＳ６０３のＮｏ）、ＯＦＣ８２は、接続端末記憶部８２２から送信元の端末のエントリ、即ち、受信パケットの送信元のＯＦＳ２０ＡのＤＰＩＤと、パケットヘッダのＩｎ  Ｐｏｒｔ、送信元ＭＡＣアドレスを持つエントリを検索する（ステップＳ６０９）。
【０１５５】
前記検索の結果、一致するエントリがある、即ち、所属サブネットが決まっている場合、ＯＦＣ８２は、トポロジＤＢ８２３と、受信パケットのパケットヘッダの送信元ＭＡＣアドレス、宛先ＭＡＣアドレス、送信元ＩＰアドレス、宛先ＩＰアドレス等を用いて経路計算を行う（ステップＳ６１１）。
【０１５６】
前記検索の結果、一致するエントリがない場合、ＯＦＣ８２は、ＯＦＳ２０Ａのポートのうち、端末１０が接続し得るサブネットに属するポート（複数あれば複数のポート）をそれぞれ始点として、トポロジＤＢ８２３と、受信パケットのパケットヘッダの宛先ＭＡＣアドレス、宛先ＩＰアドレス等を用いて経路計算を行う（ステップＳ６１２）。
【０１５７】
ついで、ＯＦＣ８２は、各ポートを始点とした経路計算結果のうち最もネットワークコストが小さいものを経路として選択する（ステップＳ６１３）。ここで、最もネットワークコストが小さいものとしては、ホップ数や応答時間の多寡を用いて計算することができる。もちろん、各サブネットの負荷状況を考慮に入れることも可能である。 
【０１５８】
上記経路の計算が完了すると、ＯＦＣ８２は、フロー設定部８２７にて、計算された経路上のＯＦＳに設定すべきフローエントリを算出する（ステップＳ６１４）。
【０１５９】
次いで、ＯＦＣ８２は、各ＯＦＳのフローエントリ記憶部２２に、前記算出したフローエントリを設定する（ステップＳ６１５）。この動作が、図５０のＳ３３、Ｓ３４のフローエントリの設定処理に相当する。
【０１６０】
最後に、ＯＦＣ８２は、前記計算した経路の末端のＯＦＳに対し、受信パケットを送信し、受信パケットの宛先への接続されたポートから、宛先ホスト装置８３に受信パケットを送信するように指示する（ステップＳ６１５）。この動作が、図５０のＳ３５のパケット出力指示に相当する。
【０１６１】
なお、上記ステップＳ６０５において、端末１０を所属させるべきサブネットが複数ある場合、これらの中から、乱数等により決定する方法を採用してもよい。また、サブネットのリストの並び順が接続優先度であった場合、より優先度の高いサブネットに接続させてもよい。
【０１６２】
なお、図５２の流れ図では、ステップＳ６０５で、各ＯＦＳが接続可能なサブネットを算出を行っているが、事前に各ＯＦＳについて、リンクを検索し、接続可能なサブネットを算出しておいてもよい。このようにすることで、処理の高速化が図れる。
【０１６３】
以上のように本実施形態によれば、単に所属サブネットを決定するだけでなく、エンドツーエンドの経路制御も実施することが可能となる。
【０１６４】
［第４の実施形態の変形形態］
続いて、上記第４の実施形態の変形形態を紹介する。
【０１６５】
［変形形態４−１（サブネットグループの導入）］
図５３は、本発明の第４の実施形態のＯＦＣの変形形態を示すブロック図である。図５３のＯＦＣ８２Ａは、第１の実施形態の変形形態１−４と同様に、サブネットをグループ単位で管理するためのグループＤＢ８２８が追加され、所属サブネットの決定時に参照される点である。
【０１６６】
図５４は、図５３のグループＤＢ８２８のエントリの例を示す図である。図５４を参照すると、グループを一意に示す識別子であるグループＩＤと、そのグループに属するサブネットのサブネットＩＤとを対応付けた構成となっている。
【０１６７】
また、この変形形態では、接続端末記録部８２２のエントリも次のように簡略化される。図５５は、図５３の接続端末記録部８２２のエントリの例を示す図である。図５５の例では、端末が接続しうるサブネットのサブネットＩＤ群に代えて、グループＩＤが対応付けられている。
【０１６８】
また、この変形形態では、認証サーバ８１の認証ＤＢ８１１のエントリも次のように簡略化される。図５６は、ＯＦＣ８２ＡにグループＤＢ８２８が追加されている場合における認証サーバ８１の認証ＤＢ８１１のエントリの例を示す図である。図５６の例では、端末が接続しうるサブネットのサブネットＩＤ群に代えて、グループＩＤが対応付けられている。
【０１６９】
本構成におけるＯＦＣ８２Ａは、グループＤＢ８２８を用いて、ＯＦＳ２０Ａに接続しているサブネット４０Ａ〜４０Ｎのグループのうち、端末１０が接続可能なサブネットのグループを選択する。このようにすることで、ノード及び端末とサブネットとの関連付けに関する管理者の手間を低減することが可能となる。
【０１７０】
［変形形態４−２（認証サーバとＯＦＣの統合）］
上記した第４の実施形態では、認証サーバ８１とＯＦＣ８２にはそれぞれ独立して設けられているものとして説明したが、ＯＦＣ８２に認証機能を持たせてもよい。このようにすれば、認証に通信を要さないため処理の高速化が期待できる。もちろん、上記第４の実施形態の発明の効果が損なわれることもない。
【０１７１】
最後に、本発明の変形実施形態をいくつか補足する。
［変形形態５−１（ノードに認証機能を持たせる）］
第１〜第３の実施形態では、認証サーバ３０、６０、７０にて認証を行うこととしたが、例えば、図５７に示すように、認証サーバ３０と同等の認証機能（認証部２０１）を持ったノード２０Ｃを用いる構成も採用可能である。この構成によれば、各ＤＢの値を設置時、構成変更時、起動時、値が変わった時、一定時間毎等に認証情報サーバ９０から更新された情報を取得あるいは、設定する構成が考えられる。
【０１７２】
このようにすれば、認証に通信を要さないため処理の高速化が期待でき、かつ、認証サーバがボトルネックとならないという利点がある。さらに、認証サーバとの通信が途絶した際にも認証が可能となる。もちろん、第１〜第３の実施形態の発明の効果が損なわれることもない。
【０１７３】
［変形形態５−２（変形形態５−１と第１〜第３の実施形態の中間形態）］
認証サーバ３０、６０、７０と通信可能な場合には、認証サーバ３０、６０、７０により認証を行い、途絶した場合にノードで認証を行う形態も採用可能である。この構成によれば、認証サーバと通信できる場合には最新かつ多くの情報をもとに接続先を決定できる。そして、認証サーバと通信できない状態に陥ったとしても、接続先を決定することが可能である。
【０１７４】
［変形形態５−３（ＯＦＳとＯＦＣを用いて認証機能を実現する）］
上記した第１〜第３の実施形態のノード（認証機能付のものを含む）に代えて、ＯＦＳとＯＦＣを使用する構成も採用可能である。図５８は、第１〜第３の実施形態のノード（認証機能付のものを含む）に代えて、ＯＦＳとＯＦＣとを配置した構成を示す図である。
【０１７５】
図５９は、図５８の構成におけるＯＦＣの詳細構成を示す図である。図５９の例では、ＯＦＣ８２Ｂは、認証を許可した端末のＭＡＣアドレスを記録する接続端末記憶部８２２と、パケット処理部８２５を備える。図５９のパケット処理部８２５は、ＯＦＳからパケットが来た際に、認証関連のパケットでなく、通信パケットについても、そのパケットヘッダの送信元ＭＡＣアドレス又は宛先ＭＡＣアドレスが認証済みのＭＡＣアドレスの場合以外は、パケットの処理を行わない。このようにすることで、変形形態５−１に示した認証機能付ノード２０Ｃと同等の機能を実現することが可能となる。
【０１７６】
［その他具体的形態６−１（第２の実施形態の具体的形態）］
企業、大学等階層型の組織に第２の実施形態の構成を適用した場合、サブネットとして、全社／全学で使えるネットワーク、上位部門のネットワーク、部門のネットワークがある場合がある。この様な環境において、部門ネットワークは部門のある地域にしか敷設されておらず、上位部門のネットワークも下位の部門がある地域にしか敷設されていない場合がある。
【０１７７】
ユーザは、所属する部門、上位部門、全社のネットワークの順に接続する権限を持つが、記述した順で接続の利便性が高い。
【０１７８】
より望ましくは、ユーザが接続する際、接続するスイッチあるいはアクセスポイントの地域／位置に基づいてより接続可能なネットワークに、ユーザの優先度に基づいて接続できることが、ユーザの利便性を向上させる。
【０１７９】
さらに、ゲストあるいはローミング用のネットワークがある場合には、このネットワークは他のネットワークと分離されている必要があるため、ユーザによりノードでサブネットを選択できることが望ましい。
【０１８０】
［その他具体的形態６−２（第３の実施形態の具体的形態）］
第３の実施形態において、アクセスポイントあるいはスイッチとなるノード２０が、３Ｇ、ＷｉＭＡＸ、ＰＨＳ、光等と異なる性質を持つ複数のサブネットと接続されている場合がある。これらサブネットのスループット、応答時間、安定性から、サブネットの接続順位を決定し、ユーザには接続優先度を決定する。
【０１８１】
ユーザの接続優先度とサブネットの接続優先順位から、ユーザにどのサブネットを使用させるかを自動的に決定させる。
【０１８２】
例えば、ユーザを、役場の職員・消防署員・一般ユーザ等とグループ化し、一般ユーザの優先順位を最低順位に設定したとする。
【０１８３】
このように設定すると、緊急的な通信が行われていないときにのみ一般ユーザに通信を許可するといった制御が可能となる。そして、緊急通信が行われた際には、接続している一般ユーザは、接続解除され、もっと接続優先順位の低い回線から接続することになる。あるいは、接続が禁止される。
【０１８４】
［その他具体的形態６−３（第４の実施形態の具体的形態）］
企業、大学等階層型の組織に第４の実施形態の構成を適用した場合、サブネットとして、全社／全学で使えるネットワーク、上位部門のネットワーク、部門のネットワークがある場合がある。このような環境で、ＯＦＳ２０Ａが部門、全社のネットワークに接続できかつユーザが部門を優先で接続する場合、ユーザは部門のネットワークに接続される。
【０１８５】
ユーザが全社のサービスにアクセスする場合、部門ネットワークからではいくつかのルータを通過するが、全社ネットワークも使用可能であるので、すべてのケースで経路計算を行い、ネットワークコストが少なければ、全社ネットワークを直接使用させることもできる。
【０１８６】
なお、上記した各実施形態に示した認証サーバやＯＦＣの各部（処理手段）は、これらの装置を構成するコンピュータに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。
【０１８７】
以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態で用いたネットワーク構成や、ノード（ＯＦＳ）、端末及びサブネットの数はあくまで一例であり、その数に制約は無い。
【０１８８】
また、上記した各実施形態では、認証サーバの認証ＤＢ３２等から、端末が接続権を有するサブネット群を取得するものとして説明したが、例えば、端末との認証処理の結果、端末やそのユーザが有するロール情報を取得し、このロール情報を元に、他の装置（アクセス制御装置）等から、端末が接続権を有するサブネット群を取得する構成も採用可能である。
【０１８９】
最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点によるネットワークシステム参照）
［第２の形態］
第１の形態において、
前記認証装置は、前記端末との認証処理を行って、前記端末が接続権を有するサブネットを決定するネットワークシステム。
［第３の形態］
第１又は第２の形態において、
前記端末には、接続優先度が設定されており、
前記認証装置は、
前記端末の接続優先度に基づいて、前記端末に接続させるサブネットを決定するネットワークシステム。
［第４の形態］
第３の形態において、
前記サブネットには、それぞれ接続順位が設定されており、
前記認証装置は、前記接続優先度が高い端末が、接続順位の高いサブネットに接続するようサブネットを決定するネットワークシステム。
［第５の形態］
第３又は第４の形態において、
前記認証装置は、前記接続優先度が所定のレベル以下である端末の接続候補から、接続順位が所定のレベル以上のサブネットを除外するネットワークシステム。
［第６の形態］
第３から第５いずれか一の形態において、
前記各サブネットには、接続端末数の上限が設定されており、
前記認証装置は、あるサブネットの接続端末数が上限に達している状態において、接続優先度の高い端末から接続要求を受けた場合、接続優先度の低い端末を当該サブネットから接続解除し、前記接続優先度の高い端末を接続させるネットワークシステム。
［第７の形態］
第１から第６いずれか一の形態において、
前記認証装置は、
通信先とのネットワークコストが低いサブネットを用いて通信を行うよう前記サブネットを決定するネットワークシステム。
［第８の形態］
第１から第７いずれか一の形態において、
さらに、前記各サブネットの負荷状態を計測する負荷計測部を含み、
前記認証装置は、
負荷状態が所定の高負荷状態にあるサブネットを接続対象から除外するネットワークシステム。
［第９の形態］
第１から第８いずれか一の形態において、
前記接続優先度が、アカウント毎に設定されており、
前記認証装置は、
前記端末の認証時のアカウントに対応する接続優先度に基づいて、前記端末に接続させるサブネットを決定するネットワークシステム。
［第１０の形態］
第１から第９いずれか一の形態において、
前記各サブネットがグループ化されており、
前記認証装置は、
前記端末が接続権を有するサブネットのグループと、前記ノードが接続するサブネットのグループとに基づいて、
前記端末に接続させるサブネットを決定するネットワークシステム。
［第１１の形態］
第１から第１０いずれか一の形態において、
前記ノードに認証機能が備えられており、前記ノードによる認証結果に基づいて、前記端末が接続権を有するサブネットが決定されるネットワークシステム。
［第１２の形態］
（上記第２の視点による認証装置参照）
［第１３の形態］
（上記第３の視点によるサブネット決定方法参照）
［第１４の形態］
（上記第４の視点によるプログラム参照）
【０１９０】
なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【符号の説明】
【０１９１】
１０、１０Ａ〜１０Ｍ  端末
２０  ノード
２１  パケット処理部
２２  フローエントリ記憶部
２０Ａ  ＯＦＳ
２０Ｃ  認証機能付きノード
３０、３０Ａ、３０Ｂ、６０、６０Ａ、６０Ｂ、６０Ｃ、７０、７０Ａ、８１  認証サーバ
３１  ノードデータベース（ノードＤＢ）
３２、８１１  認証データベース（認証ＤＢ）
３３  所属決定部
３４、８１２  認証処理部
３５、８１３  認証結果通知部
３５−２  接続解除通知部
３６  接続数テーブル
３７、８２８  グループデータベース（グループＤＢ）
３８  接続端末テーブル
３９  アカウントグループデータベース（アカウントグループＤＢ）
４０Ａ〜４０Ｎ  サブネット
５０  負荷計測部
８１  認証サーバ
８２、８２Ａ、８２Ｂ  ＯＦＣ
８３  ホスト装置
９０  認証情報サーバ
２０１  認証部
８２１  端末所属決定部
８２２  接続端末記憶部
８２３  トポロジデータベース（トポロジＤＢ）
８２４  サブネットデータベース（サブネットＤＢ）
８２５  パケット処理部
８２６  経路計算部
８２７  フロー設定部
【図１】
2015531173.tif 000003
【図２】
2015531173.tif 000004
【図３】
2015531173.tif 000005
【図４】
2015531173.tif 000006
【図５】
2015531173.tif 000007
【図６】
2015531173.tif 000008
【図７】
2015531173.tif 000009
【図８】
2015531173.tif 000010
【図９】
2015531173.tif 000011
【図１０】
2015531173.tif 000012
【図１１】
2015531173.tif 000013
【図１２】
2015531173.tif 000014
【図１３】
2015531173.tif 000015
【図１４】
2015531173.tif 000016
【図１５】
2015531173.tif 000017
【図１６】
2015531173.tif 000018
【図１７】
2015531173.tif 000019
【図１８】
2015531173.tif 000020
【図１９】
2015531173.tif 000021
【図２０】
2015531173.tif 000022
【図２１】
2015531173.tif 000023
【図２２】
2015531173.tif 000024
【図２３】
2015531173.tif 000025
【図２４】
2015531173.tif 000026
【図２５】
2015531173.tif 000027
【図２６】
2015531173.tif 000028
【図２７】
2015531173.tif 000029
【図２８】
2015531173.tif 000030
【図２９】
2015531173.tif 000031
【図３０】
2015531173.tif 000032
【図３１】
2015531173.tif 000033
【図３２】
2015531173.tif 000034
【図３３】
2015531173.tif 000035
【図３４】
2015531173.tif 000036
【図３５】
2015531173.tif 000037
【図３６】
2015531173.tif 000038
【図３７】
2015531173.tif 000039
【図３８】
2015531173.tif 000040
【図３９】
2015531173.tif 000041
【図４０】
2015531173.tif 000042
【図４１】
2015531173.tif 000043
【図４２】
2015531173.tif 000044
【図４３】
2015531173.tif 000045
【図４４】
2015531173.tif 000046
【図４５】
2015531173.tif 000047
【図４６】
2015531173.tif 000048
【図４７】
2015531173.tif 000049
【図４８】
2015531173.tif 000050
【図４９】
2015531173.tif 000051
【図５０】
2015531173.tif 000052
【図５１】
2015531173.tif 000053
【図５２】
2015531173.tif 000054
【図５３】
2015531173.tif 000055
【図５４】
2015531173.tif 000056
【図５５】
2015531173.tif 000057
【図５６】
2015531173.tif 000058
【図５７】
2015531173.tif 000059
【図５８】
2015531173.tif 000060
【図５９】
2015531173.tif 000061
【国際調査報告】
2015531173.tif 000062
2015531173.tif 000063