(57)【要約】【課題】  ネットワークの入り口にて、ユーザの接続先／接続権を決定でき、無線等の不特定多数の人物が接続する環境化でセキュリティを確保すると共に、ユーザごとの優先度設定や帯域設定が可能なタグ付加機能付き通信装置を提供する。【解決手段】  ユーザ機器(5)からイーサネット網(6)へのアクセスポイント(4)に配置され、転送されるフレームにタグの付加及び削除を実行するタグ付加機能付き通信装置(1)において、前記タグ付加機能付き通信装置には、ICカードリーダ／ライタ(2)と、前記ICカードリーダ／ライタによって、ユーザの保有するICカード(3)に記録された記録データの正当性を認証する認証部(10)とを備えるタグ付加機能付き通信装置。【選択図】  図１
2005051581.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ機器からイーサネット網へのアクセスポイントに配置され、転送されるフレームにタグの付加及び削除を実行するタグ付加機能付き通信装置において、
前記タグ付加機能付き通信装置には、
ICカードリーダ／ライタと、
前記ICカードリーダ／ライタによって、ユーザの保有するICカードに記録された記録データの正当性を認証する認証部と、
を備えることを特徴とするタグ付加機能付き通信装置。
【請求項２】
前記記録データには、ユーザ毎の、転送MACアドレス、優先度、帯域幅、付加タグの少な
くとも１つのデータが含まれ、
前記タグ付加機能付き通信装置には、前記転送MACアドレス、優先度、帯域幅、付加タ
グの少なくとも１つのデータの設定部を備えることを特徴とする請求項１に記載のタグ付加機能付き通信装置。
【請求項３】
前記ICカードには、通信の開始及び終了日時等の通信ログが記録されることを特徴とする請求項１又は２に記載のタグ付加機能付き通信装置。
【請求項４】
サテライトオフィス端末及びイーサネット網を介して接続されたサテライトオフィスサーバとで構成されるサテライトオフィスサービスシステムであって、
前記サテライトオフィス端末の前記イーサネット網のアクセスポイントに、請求項１〜３のいずれか１項に記載のタグ付加機能付き通信装置が接続されていることを特徴とするサテライトオフィスサービスシステム。
【請求項５】
前記サテライト端末は、駅又は空港等に複数設置されていることを特徴とする請求項４に記載のサテライトオフィスサービスシステム。
【請求項６】
社員用ネットワークと基幹データ用サーバとを接続した社内ネットワークのセキュリティシステムであって、
社員用ネットワークから基幹データ用サーバへのアクセスポイントに請求項１〜３のいずれか１項に記載のタグ付加機能付き通信装置が接続されていることを特徴とする社内ネットワークセキュリティシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信機器のフレーム転送（イーサネット（登録商標）フレームを入力し、任意のインタフェースから出力する）機能を実現する装置に適用されるセキュリティー対策技術に関する。
【背景技術】
【０００２】
図４を用いて従来のTAG（ラベル）の付加により網内での優先処理やユーザ分け（TAGIDによる通信網を論理的に分ける）機能を備えたタグ付加装置の説明をする。
図４において、タグ付加装置１は、イーサネット網側と任意のインタフェースのユーザ側間に接続されて、フレーム転送（イーサネットフレームを入力し、任意のインタフェースから出力する又、その逆に、任意のインタフェースから入されたフレームをイーサネットフレームとして出力する）機能を備えた通信機器に適用される。
タグ付加装置の構成としては、バッファ＆検出部1-1、TAG付加部1-2、TAG設定部1-3、
及びTAG削除部1-4で構成されている。
【０００３】
図４のタグ付加装置の動作は以下のとおりである。
ユーザ側から入力されたフレームは、バッファ＆検出部1-1に一時的に蓄積されて、検
出部においてフレーム内容を検出して、フレーム内容に対応するTAGをTAG設定部1-3に設
定された中から選択して、TAG付加部1-2で付加して網側に出力される。
TAGは、フレームのL2ヘッダとデータの間に「VLAN-TAG」として付加される。
網側から入力されたフレームのL2ヘッダとデータの間に「VLAN-TAG」が付加されたフレームは、TAG削除部1-4でTAG「VLAN-TAG」が削除されてユーザ側に出力される。
【０００４】
「VLAN-TAG」を付加してフレーム転送を実行するものとしては、以下のものが知られている。（例えば、特許文献１参照）
【０００５】
【特許文献１】特開２００１−１５２７５５号公報（００７３）〜（００７６）
【０００６】
上記特許文献１には、以下の記載がなされている。
「仮想ローカルエリア・ネットワークで構成されたバックボーンネットワークを介して、プロバイダとユーザ端末との間で通信を行なう場合において、ユーザ端末からプロバイダへ向けて送信された送信情報に、そのプロバイダのＩＰアドレスに対応した情報を含むＶＬＡＮタグを端末装置が付与し、そのＶＬＡＮタグを用いて当該送信情報を当該バックボーンネットワークにおいて配送するので、端末装置が管理ホストと通信してＶＬＡＮタグを自動的に変更することが可能となり、ユーザの希望によりあるプロバイダとの接続から他のプロバイダとの接続に、容易に且つ動的に切り換えることが可能となる。
また、端末装置がＭＡＣアドレスを用いたフィルタリング処理をすることにより、不正なアクセスであるユーザ端末間の通信を防止することが可能となる。
また、端末装置がバックボーンネットワークのオペレーションシステムをなす管理ホストと必要に応じて通信することにより、プロバイダのＭＡＣアドレスの変更など通信環境の変化に応じた通信機能の遠隔管理をすることが可能となる。
したがって、本発明は、今後、通信事業者などがギガビット・イーサネットなどにより広帯域なネットワークを仮想ローカルエリア・ネットワーク技術で構築し、プロバイダとユーザ間の通信サービスを提供する際に、極めて有用な技術となる。」
【発明の開示】
【発明が解決しようとする課題】
【０００７】
図４に示す如き、従来のタグ付加装置内に、フレームにタグを付加を行うためのルールが必要である。
また、従来のタグ付加装置では、なりすまし（あるユーザが別のユーザであるかのようにふるまう行為）による、不正接続に対して保護策がないという問題があった。
また、同一ネットワークにつながるすべての該当装置に（タグ付加ルールの）設定および更新が必要となるという問題もあった。
【０００８】
本発明の課題(目的)は、ネットワークの入り口にて、ユーザの接続先／接続権を決定でき、無線等の不特定多数の人物が接続する環境化でセキュリティを確保すると共に、ユーザごとの優先度設定や帯域設定が可能なタグ付加機能付き通信装置を提供することにある。
【課題を解決するための手段】
【０００９】
前記課題を解決するために、ユーザ機器からイーサネット網へのアクセスポイントに配置され、転送されるフレームにタグの付加及び削除を実行するタグ付加機能付き通信装置において、
前記タグ付加機能付き通信装置には、ICカードリーダ／ライタと、前記ICカードリーダ／ライタによって、ユーザの保有するICカードに記録された記録データの正当性を認証する認証部とを備える構成とする。（請求項１）
また、前記記録データには、ユーザ毎の、転送MACアドレス、優先度、帯域幅、付加タ
グの少なくとも１つのデータが含まれ、前記タグ付加機能付き通信装置には、前記転送MACアドレス、優先度、帯域幅、付加タグの少なくとも１つのデータの設定部を備える構成
とする。（請求項２）
また、前記ICカードには、通信の開始及び終了日時等の通信ログが記録される構成とする。（請求項３）
また、サテライトオフィス端末及びイーサネット網を介して接続されたサテライトオ
フィスサーバとで構成されるサテライトオフィスサービスシステムであって、
前記サテライトオフィス端末の前記イーサネット網のアクセスポイントに、請求項１〜３のいずれか１項に記載のタグ付加機能付き通信装置が接続されている構成とする。
（請求項４）
また、前記サテライト端末は、駅又は空港等に複数設置する。（請求項５）
また、社員用ネットワークと基幹データ用サーバとを接続した社内ネットワークのセキュリティシステムであって、
社員用ネットワークから基幹データ用サーバへのアクセスポイントに請求項１〜３のいずれか１項に記載のタグ付加機能付き通信装置が接続されている構成とする。（請求項６）
【発明の効果】
【００１０】
上記本発明の構成によって、ネットワークの入り口にて、ユーザの接続先／接続権を決定できるタグ付加機能付き通信装置を実現でき、具体的には、以下の効果を奏することができる。
・セキュリティーとして、
ICカード（ICタグ）による認証を行うことで初めて網との接続が可能となるため、不正接続や情報漏えいの防止となる。
ユーザグループ固有のタグ（ラベル）をフレームに付加するため、他のグループとの接続を防ぐことをできる。
通信ログをICカードに残すため、接続記録をあとで確認することができる。
・優先処理として、
各ユーザごとにＩＣカード（ＩＣタグ）により優先度を設定し、優先処理をおこなうことで、重要なユーザのデータ保護を行うことができる。
・帯域制御として、
各ユーザごとにＩＣカード（ＩＣタグ）により最大/最小帯域幅を設定し、帯域制御を
おこなうことで、ユーザごとのサービスクラスを分けることができる。
・タグ付加機能として、
各ユーザごとにICカード（ICタグ）により付加するタグ（ラベル）の内容を設定し、付加することで、同一グループネットワークとの接続および他グループネットワークとの切り離しを行うことができる。
【発明を実施するための最良の形態】
【００１１】
図１を用いて、本発明のタグ付加機能を備えたネットワーク伝送装置の説明をする。
図１(a)において、
１はタグ付加機能を備えたネットワーク伝送装置（本発明装置）であった、ユーザとネットワークを接続するための無線インタフェースである無線アクセスポイント４とユーザフレームを伝送するイーサネット網（L2網）６の間に接続されている。
前記無線アクセスポイント４には、不特定多数の複数のユーザＡ，ユーザＢが無線でアクセスできる。
また、２はICカード（ICタグ）リーダ／ライタであって、ICチップを内蔵したカード，タグ又は小型携帯端末で構成されるICカード（ICタグ）３の記録内容を読込み又は書込む装置である。
【００１２】
次に、図１(b)に図１(a)の本発明装置１の詳細なブロック図を示す。
図１(b)において、
１０は認証部であって、前記ICカード（ICタグ）との通信でユーザ認証を行い、対応ICチップであることを確認してデータを読み取るブロックである。
１１は付加タグ設定部であって、前記ICカード（ICタグ）からのデータを元に、各ユーザフレーム個別に付加するタグ/ラベル内容を設定するブロックである。
１２はタグ付加部であって、ユーザフレームに対し、タグ/ラベルを付加するブロック
である。
１３は優先度／帯域設定部であって、前記ICカード（ICタグ）からのデータをもとに後述の１４へ優先度/帯域を設定するブロックである。
１４は優先処理／帯域制御部であって、フレームの優先処理および転送帯域を制御するブロックである。
１５はフィルタ設定部であって、前記ICカード（ICタグ）からのデータを元に、各ユーザフレームの転送許可するMAC（Media-Access-Control）アドレスを設定するブロックで
ある。
１６はフィルタ部であって、フレームのMACアドレスを参照し、転送／破棄を行うブロ
ックブロックである。
１７はＴＡＧ削除部であって、通過フレームに付加されているのタグ/ラベルを削除す
るブロックである。
【００１３】
（セキュリティ動作）
図１において、ユーザＡが無線アクセスポイント４からイーサネット網（Ｌ２網）へ接続を試みると、ユーザＡからのフレームが無線アクセスポイント４を通り、装置１内のフィルタ部１６へ入力される。
フィルタ部１６では、フレームの送信元MACアドレスを参照し、転送許可されていない
ことを確認するとそのフレームは破棄される。
結果としてユーザＡは、この状態ではイーサネット網（Ｌ２網）への接続ができず、セキュリティが確保できる。
【００１４】
次に正常な転送動作の説明をする。
・転送動作の開始前にユーザＢは、ICカード（ICタグ）リーダ／ライタ２に自己のICカード（ICタグ）をかざす。
認証部１０は、そのICカード（ICタグ）が正当なICカード（ICタグ）であるか否かの認証をする。
正当なICカード（ICタグ）であると確認されると、ICカード（ICタグ）内に記録されている転送MACアドレス／優先度／帯域幅／付加タグを読み取る。
読みとった値を、付加タグ設定部１１、優先度／帯域設置部１３及びフィルタ設定部１５に転送する。
付加タグ設定部１１、優先度／帯域設定部１３及びフィルタ設定部１５は、タグ付加部１２、優先処理/帯域制御部１４及びフィルタ部１６に転送された値の設定をおこなう。
【００１５】
この状態で、ユーザＢが無線アクセスポイント４からイーサネット網（L2網）へ接続を試みると、
・本発明装置１内部のフィルタ部１６にユーザＢからのフレームが入力されると、フィルタ部１６は、MACアドレス（ユーザ側→網側：送信元、  網側→ユーザ側：宛先）を参照
し、転送許可されていることを確認して優先処理／帯域制御部１４へ転送する。
優先処理／帯域制御部１４では、NACアドレス（ユーザ側→網側：送信元、網側→ユー
ザ側：宛先）を参照し、そのMACアドレスに対応した優先処理／帯域制御を実行する。
タグ付加部１２ではMACアドレス（ユーザ側→網側：送信元、網側→ユーザ側：宛先）
を参照し、そのMACアドレスに対応したタグ(ラベル)を付加して、装置１外へ転送する。
タグ削除部１１では、網側からのフレームに付加されているタグ（ラベル）を削除して、ユーザ側へ転送する。
【００１６】
・フレーム転送の終了後の動作
フレーム転送の終了ユーザＢは、再びICカード（ICタグ）３を、ICカード（ICタグ）リーダ／ライタ２にかざす。
認証部１０は、そのカードが正当なカードであるか否かを認証する。
正当なICカード（ICタグ）であると確認されると、ICカード（ICタグ）内に記録されてている転送MACアドレス／優先度／帯域幅／付加タグを読み取る。
読みとった値を、付加タグ設定部１１、優先度／帯域設置部１３及びフィルタ設定部１５に転送する。
付加タグ設定部１１、優先度／帯域設定部１３及びフィルタ設定部１５は、タグ付加部１２、優先処理/帯域制御部１４及びフィルタ部１６に設定されている該当する設定を削
除する。
その後、認証部１０は、今回の転送開始および終了時間をICカードに書き込むことで通信ログをICカード（ICタグ）に残す。
一定時間経過後に自動的に転送開始状態から転送終了状態にもどす。
【００１７】
本発明のタグ付加機能を備えたネットワーク伝送装置の第１の適用例として「サテライトオフィスサービスの提供」を図２を用いて説明する。
図２において、イーサネット網６を介して、サテライトオフィス７とＡ社及びＢ社の通信装置8-1,8-2に接続されている。
前記サテライトオフィス７は、主要駅や、主要空港に設置されていて、図１における本発明装置１が含まれ、該本発明システム（装置）１を介して、Ａ社ユーザＩ、Ｂ社ユーザII、及びＣ社ユーザIIIからアクセスできる構成とされている。
【００１８】
Ａ社ユーザＩ、Ｂ社ユーザII、及びＣ社ユーザIIIに対して、Ａ社及びＢ社おユーザに
特
有の転送MACアドレス／優先度／帯域幅／付加タグ等が記録されたICカード（ICタグ）を
貸与することによって、セキュリティを確保したサテライトオフィスサービスが実現でき
る。
本発明装置１では、上述の如く動作をするので、Ｂ社ユーザ（Ａ社ユーザ）がＡ社（Ｂ社）の通信装置にアクセスすることを防止することができる。
当然、サービス契約をしていない（ICカード（ICタグ）を保有していない）ユーザからのアクセスも防止できる。
【００１９】
図２に示す如く、契約によりＡ社では、（１０Ｍbps、高価、(VLANID 10)）、Ｂ社では、（１Ｍbps、廉価、(VLANID 20)）の如く設定して、多様なサービスを提供することが可能である。
【００２０】
次に、本発明のタグ付加機能を備えたネットワーク伝送装置の第２の適用例として「社内ネットワークのセキュリティ対策システム」を図３を用いて説明する。
図３において、基幹データ用サーバ9-2を含むイーサネット網６に、社員用ネットワー
ク9-1が本発明システム（装置）を介して接続されている。
前記社員用ネットワーク9-1には、ユーザＡ（一般社員）、ユーザＢ（幹部社員）が含
まれる。
図３のセキュリティ対策システムでは、社員に貸与される社員証をICカード（ICタグ）として、出社時に社員証を本発明システムのICカード（ICタグ）リーダ／ライタにかざすことによって、基幹データ用サーバに対するアクセスが可能になる。
また、退社時に、再度ICカード（ICタグ）をICカード（ICタグ）リーダ／ライタにかざすことによって、その社員の基幹データサーバへのアクセスができななるので、その社員以外のなりすましを防止できる。
また、ICカード（ICタグ）を保有しない不正侵入者であるユーザCのアクセスは、本発
明システムによって拒絶される。
また、図３に示すように、一般社員と幹部社員とを、「１０Mbps、通常処理」と「５０Mbps、優先処理」のように差別化することも可能である。
【産業上の利用可能性】
【００２１】
請求項１〜６の構成によって、セキュリティー対策として、ICカード（ICタグ）による認証を行うことで初めて網との接続が可能となるため、不正接続や情報漏えいの防止となる。また、ユーザグループ固有のタグ（ラベル）をフレームに付加するため、他のグループとの接続を防ぐことをできる。また、通信ログをICカードに残すため、接続記録をあとで確認することができる。
優先処理として、各ユーザごとにＩＣカード（ＩＣタグ）により優先度を設定し、優先処理をおこなうことで、重要なユーザのデータ保護を行うことができる。
帯域制御として、各ユーザごとにＩＣカード（ＩＣタグ）により最大/最小帯域幅を設
定し、帯域制御をおこなうことで、ユーザごとのサービスクラスを分けることができる。
タグ付加機能として、各ユーザごとにICカード（ICタグ）により付加するタグ（ラベル）の内容を設定し、付加することで、同一グループネットワークとの接続および他グループネットワークとの切り離しを行うことができる。
という特有の作用・効果を奏するので、産業上の利用性は極めて大きい。
【図面の簡単な説明】
【００２２】
【図１】本発明のタグ付加機能を備えたネットワーク伝送装置の構成を示す図である。
【図２】本発明のタグ付加機能を備えたネットワーク伝送装置の第１の適用例としての「サテライトオフィスサービス」の構成を示す図である。
【図３】本発明のタグ付加機能を備えたネットワーク伝送装置の第２の適用例としての「社内ネットワークのセキュリティ」の構成を示す図である。
【図４】従来のタグ付加機能を備えたネットワーク伝送装置の構成を示す図である。
【符号の説明】
【００２３】
１          タグ付加機能付き通信機器
２          ICカード（ICタグ）リーダ／ライタ
３          ICカード（ICタグ）
４          無線アクセスポイント
５          ユーザ機器
６          イーサネット網（L2網）
７          サテライトオフィス端末
8-1,8-2      サテライトオフィスサーバ
9-1          社員用ネットワーク
9-2          基幹データ用サーバ（ネットワーク）
１０        認証部
１１        付加タグ設定部
１２        タグ付加部
１３        優先度／帯域設定部
１４        優先処理／帯域制御部
１５        フィルタ設定部
１６        フィルタ部
１７        タグ削除部
【図１】
2005051581.tif 000003
【図２】
2005051581.tif 000004
【図３】
2005051581.tif 000005
【図４】
2005051581.tif 000006