(57)【特許請求の範囲】
【請求項１】
ＩＰアドレスのノード識別子の特定の領域を、ＩＰネットワークシステム中のネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域に、パケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成するように構成され、
前記ＩＰアドレスを生成する際に、ＩＰアドレス配布先の端末装置のユーザ情報に基づいて前記通信ポリシーを決定し、前記端末装置からの依頼に基づいてＩＰアドレスを生成することを特徴とするＩＰアドレス生成装置。
【請求項２】
ＩＰアドレス配布先の端末装置のユーザ情報と、ユーザ認証機能を持つ認証サーバが管理するユーザＩＤとを対応させ、該端末装置が該認証サーバとのユーザ認証に成功した際に、該認証サーバから該ユーザＩＤが通知されることで、ユーザ認証に成功した該端末装置のみに対応して、該ユーザ情報に基づいた前記通信ポリシーを決定することを特徴とする請求項１に記載のＩＰアドレス生成装置。
【請求項３】
前記通信ポリシーを参照することにより、前記ＩＰアドレス生成時に最新の通信ポリシーを反映させることを特徴とする請求項１に記載のＩＰアドレス生成装置。
【請求項４】
前記認証サーバによって認証に成功した前記端末装置に対応するユーザＩＤとレイヤ２識別子を取得することで、該レイヤ２識別子が同一の場合でもユーザＩＤに合わせたＩＰアドレスを生成することを特徴とする請求項２に記載のＩＰアドレス生成装置。
【請求項５】
前記生成したＩＰアドレスを前記端末装置にＤＨＣＰを使って配布することを特徴とする請求項１に記載のＩＰアドレス生成装置。
【請求項６】
前記ＩＰアドレスを生成する際に、前記端末装置に対応する利用可能時間情報に基づいて前記通信ポリシーを定めることを特徴とする請求項１または２に記載のＩＰアドレス生成装置。
【請求項７】
前記ＩＰアドレスを生成する際に、前記端末装置に対応するユーザ属性情報に基づいて通信ポリシーを定めることを特徴とする請求項１または２に記載のＩＰアドレス生成装置。
【請求項８】
ＩＰアドレスのノード識別子の特定の領域を、ネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域に、パケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成するＩＰアドレス生成装置と、
前記アクセス制御領域に対してフィルタリング可能なネットワークレイヤー制御機器と、
を含み、
前記ネットワークレイヤー制御機器は、前記通信ポリシーに従ってフィルタリングの設定を行ってアクセス制御を行うことを特徴とするＩＰネットワークシステム。
【請求項９】
前記ＩＰアドレス生成装置がＩＰアドレスを生成する際に、ＩＰアドレスのアクセス制御領域のデータを動的に変化させることで、前記ネットワークレイヤー制御機器におけるアクセス制御が動的に行われることを特徴とする請求項８記載のＩＰネットワークシステム。
【請求項１０】
端末装置をさらに備え、
前記ＩＰアドレス生成装置がＩＰアドレスを生成する際に、ＩＰアドレス配布先となる前記端末装置のユーザの属性情報に基づいて前記通信ポリシーを決定し、決定したポリシーに従って前記アクセス制御領域のデータを生成することで、前記ネットワークレイヤー制御機器は、該ユーザの属性情報に基づいたＩＰアドレスのフィルタリング制御が可能となることを特徴とする請求項８記載のＩＰネットワークシステム。
【請求項１１】
認証装置をさらに備え、
前記端末装置は、ＩＰアドレスの取得に際して前記認証装置に対し認証を依頼して前記認証装置における認証が成功した場合に、ＩＰネットワークシステムにアクセスするためのＩＰアドレスの生成を前記ＩＰアドレス生成装置に依頼し、
前記ＩＰアドレス生成装置は、ＩＰアドレスを生成する際に、前記端末装置からの依頼に基づいてＩＰアドレスを生成することを特徴とする請求項１０記載のＩＰネットワークシステム。
【請求項１２】
前記ＩＰアドレス生成装置は、前記ＩＰアドレスを生成する際に、前記端末装置に対応する利用可能時間情報に基づいて前記通信ポリシーを定めることを特徴とする請求項１０または１１に記載のＩＰネットワークシステム。
【請求項１３】
前記ＩＰアドレス生成装置は、前記ＩＰアドレスを生成する際に、前記端末装置に対応するユーザ属性情報に基づいて前記通信ポリシーを定めることを特徴とする請求項１０または１１に記載のＩＰネットワークシステム。
【請求項１４】
ＩＰアドレス生成装置が端末装置用のＩＰアドレスを生成する方法であって、
ＩＰアドレスのノード識別子の特定の領域を、ＩＰネットワークシステム中のネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域に、パケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成し、
前記ＩＰアドレスを生成する際に、ＩＰアドレス配布先の端末装置のユーザ情報に基づいて前記通信ポリシーを決定し、前記端末装置からの依頼に基づいてＩＰアドレスを生成することを特徴とするＩＰアドレス生成方法。
【請求項１５】
ＩＰアドレス配布先の端末装置のユーザ情報と、ユーザ認証機能を持つ認証サーバが管理するユーザＩＤとを対応させ、端末装置が認証サーバとのユーザ認証に成功した際に、認証サーバからユーザＩＤをＩＰアドレス生成装置に通知することで、ユーザ認証に成功した端末装置のみに対応して、ユーザ情報に基づいた前記通信ポリシーを決定することを特徴とする請求項１４に記載のＩＰアドレス生成方法。
【請求項１６】
前記通信ポリシーを参照することにより、前記ＩＰアドレス生成時に最新の通信ポリシーを反映させることを特徴とする請求項１４に記載のＩＰアドレス生成方法。
【請求項１７】
前記認証サーバによって認証に成功した前記端末装置に対応するユーザＩＤとレイヤ２識別子を取得することで、該レイヤ２識別子が同一の場合でも該ユーザＩＤに合わせたＩＰアドレスを生成することを特徴とする請求項１５に記載のＩＰアドレス生成方法。
【請求項１８】
前記ＩＰアドレスを生成する際に、前記端末装置に対応する利用可能時間情報に基づいて前記通信ポリシーを定めることを特徴とする請求項１４または１５に記載のＩＰアドレス生成方法。
【請求項１９】
前記ＩＰアドレスを生成する際に、前記端末装置に対応するユーザ属性情報に基づいて前記通信ポリシーを定めることを特徴とする請求項１４または１５に記載のＩＰアドレス生成方法。
【請求項２０】
端末装置とネットワークレイヤー制御機器とＩＰアドレス生成装置とを含むＩＰネットワークシステムにおけるアクセス制御方法であって、
前記ＩＰアドレス生成装置が、ＩＰアドレスのノード識別子の特定の領域を、前記ネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域にパケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成するステップと、
前記端末装置が、前記ＩＰアドレス生成装置によって生成されたＩＰアドレスを受け取り、受け取ったＩＰアドレスを伴ってＩＰネットワークシステムにアクセスするステップと、
前記通信ポリシーに従って設定したフィルタリング設定を有するネットワークレイヤー制御機器が、前記端末装置が発したＩＰアドレスを元に、前記通信ポリシーに従ったアクセス制御を行うステップと、
を含むことを特徴とするアクセス制御方法。
【請求項２１】
ＩＰネットワークシステムは、認証装置をさらに備え、
前記端末装置は、ＩＰアドレスの取得に際して前記認証装置に対し認証を依頼するステップと、
前記端末装置は、前記認証装置における認証が成功した場合に、ＩＰネットワークシステムにアクセスするためのＩＰアドレスの生成を前記ＩＰアドレス生成装置に依頼するステップと、
を含み、
前記ＩＰアドレス生成装置がＩＰアドレスを生成するステップにおいて、前記端末装置からの依頼に基づいてＩＰアドレスを生成することを特徴とする請求項２０記載のアクセス制御方法。
【請求項２２】
前記ＩＰアドレス生成装置がＩＰアドレスを生成するステップにおいて、前記端末装置に対応する利用可能時間情報に基づいて前記通信ポリシーを定めることを特徴とする請求項２０記載のアクセス制御方法。
【請求項２３】
前記ＩＰアドレス生成装置がＩＰアドレスを生成するステップにおいて、前記端末装置に対応するユーザ属性情報に基づいて前記通信ポリシーを定めることを特徴とする請求項２０記載のアクセス制御方法。
【請求項２４】
端末装置用のＩＰアドレスを生成するＩＰアドレス生成装置を構成するコンピュータに、
ＩＰアドレスのノード識別子の特定の領域を、ＩＰネットワークシステム中のネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域にパケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成する処理を実行させ、
前記ＩＰアドレスを生成する際に、ＩＰアドレス配布先の端末装置のユーザ情報に基づいて前記通信ポリシーを決定し、前記端末装置からの依頼に基づいてＩＰアドレスを生成するプログラム。
【請求項２５】
ＩＰアドレス配布先の端末装置のユーザ情報と、ユーザ認証機能を持つ認証サーバが管理するユーザＩＤとを対応させ、端末装置が認証サーバとのユーザ認証に成功した際に、認証サーバからユーザＩＤをＩＰアドレス生成装置に通知することで、ユーザ認証に成功した端末装置のみに対応して、ユーザ情報に基づいた前記通信ポリシーを決定する請求項２４に記載のプログラム。
【請求項２６】
前記通信ポリシーを参照することにより、前記ＩＰアドレス生成時に最新の通信ポリシーを反映させる請求項２４に記載のプログラム。
【請求項２７】
前記認証サーバによって認証に成功した前記端末装置に対応するユーザＩＤとレイヤ２識別子を取得することで、該レイヤ２識別子が同一の場合でも該ユーザＩＤに合わせたＩＰアドレスを生成する請求項２５に記載のプログラム。
【請求項２８】
前記ＩＰアドレスを生成する際に、前記端末装置に対応する利用可能時間情報に基づいて前記通信ポリシーを定める請求項２４または２５に記載のプログラム。
【請求項２９】
前記ＩＰアドレスを生成する際に、前記端末装置に対応するユーザ属性情報に基づいて前記通信ポリシーを定める請求項２４または２５に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークシステム、そのアクセス制御方法、ＩＰアドレス配布装置、及びＩＰアドレス配布方法に関し、特にＩＰアドレスによるアクセス制御技術に関する。
【背景技術】
【０００２】
従来、ルータなどのネットワークレイヤーを制御する機器において、ＩＰアドレスによるアクセス制御を行う場合、ネットワークレイヤー制御機器にＩＰアドレスに基づくパケットの転送の許可／非許可を設定する必要がある。ここで、ルータなどのネットワークレイヤー制御機器を用いて、ユーザに対応してネットワークレイヤーでのアクセス制御を行う場合、まずユーザに対応した通信の許可／非許可の通信ポリシーを決定する。そして、ユーザが利用する端末のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスとユーザが利用するＩＰアドレスとを対応させて管理する。さらに、ルータにユーザの通信ポリシーに合わせてＩＰアドレスの通信許可／非許可の設定することで実現する。この場合、ユーザが利用するＩＰアドレスを変更した場合、変更に合わせてネットワークレイヤー制御機器の設定を変更する必要がある。また、ユーザが利用する端末を変更した際には、アドレスを変更する必要がある。
【０００３】
なお、関連する技術として、特許文献１には、割り当て期限付きのＩＰアドレスを動的に割り当てられた端末からのインターネットへのアクセスを端末のＭＡＣアドレス単位に制御し、割り当て期限切れのＩＰアドレスを使用した端末からのインターネットへのアクセスを防止する動的ＩＰアドレス割り当てに対応したファイアウォールシステムが記載されている。
【０００４】
また、特許文献２には、１つのＭＡＣアドレスに対して複数のＩＰアドレスを割り当て、同じＭＡＣアドレス、同じポート番号であっても、ＩＰアドレスが異なれば、同じポート番号で着信を待っている複数のサーバアプリケーションのうちの異なるサーバアプリケーションを起動できるようにする技術が記載されている。
【０００５】
【特許文献１】特開２００４−１７２９３１号公報
【特許文献２】特開平１０−１３５９８２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
以下の分析は本発明において与えられる。
【０００７】
しかしながら、上述したようなルータなどのネットワークレイヤー制御機器を用いたＩＰネットワークシステムに対して、ユーザに対応したＩＰアドレスでのアクセス制御を行う場合、次のような問題がある。
【０００８】
ルータで、ユーザの利用するＩＰアドレスをベースにユーザ個別のフィルタリングを行うと、ユーザの利用するＩＰアドレスやユーザに対する通信ポリシーを変更する度に、ＩＰネットワークシステム全体のルータの設定変更をする必要がある。このため、ルータの設定変更処理の負荷が増大する。そこで、ルータの設定変更処理の負荷を上げないように、ユーザが利用するＩＰアドレスやユーザ毎の通信ポリシーを固定したとしても、様々な問題が発生する。
【０００９】
ユーザが利用するＩＰアドレスを固定アドレスとした場合、ユーザとユーザが利用するＩＰアドレスの関連付けをＩＰネットワークシステムの管理者が手動で管理しないといけないため、管理者の作業負荷が高くなる。また、ユーザに対する通信ポリシーを固定にすると、ＩＰネットワークシステムの柔軟性が無くなり、利便性が悪くなる。
【００１０】
本発明の目的は、ユーザが利用するＩＰアドレスやユーザのアクセス権限などの、ユーザのネットワークの利用環境の変更に対して、ネットワークレイヤー制御機器のフィルタリングの設定を変更すること無く、ＩＰアドレスでのユーザ個別のフィルタリングを実現するＩＰネットワークシステム、そのアクセス制御方法、ＩＰアドレス配布装置、及びＩＰアドレス配布方法を提供することにある。
【課題を解決するための手段】
【００１１】
本発明の１つのアスペクト（側面）に係るＩＰアドレス生成装置は、ＩＰアドレスのノード識別子の特定の領域を、ＩＰネットワークシステム中のネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域に、パケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成するように構成される。ＩＰアドレスを生成する際に、ＩＰアドレス配布先の端末装置のユーザ情報に基づいて通信ポリシーを決定し、端末装置からの依頼に基づいてＩＰアドレスを生成する。
【００１３】
本発明のＩＰアドレス生成装置において、ＩＰアドレス配布先の端末装置のユーザ情報と、ユーザ認証機能を持つ認証サーバが管理するユーザＩＤとを対応させ、該端末装置が該認証サーバとのユーザ認証に成功した際に、該認証サーバから該ユーザＩＤが通知されることで、ユーザ認証に成功した該端末装置のみに対応して、該ユーザ情報に基づいた通信ポリシーを決定するようにしてもよい。
【００１４】
本発明のＩＰアドレス生成装置において、通信ポリシーを参照することにより、ＩＰアドレス生成時に最新の通信ポリシーを反映させるようにしてもよい。
【００１５】
本発明のＩＰアドレス生成装置において、認証サーバによって認証に成功した端末装置に対応するユーザＩＤとレイヤ２識別子を取得することで、該レイヤ２識別子が同一の場合でもユーザＩＤに合わせたＩＰアドレスを生成するようにしてもよい。
【００１６】
本発明のＩＰアドレス生成装置において、生成したＩＰアドレスを端末装置にＤＨＣＰを使って配布するようにしてもよい。
【００１８】
本発明のＩＰアドレス生成装置において、ＩＰアドレスを生成する際に、端末装置に対応する利用可能時間情報に基づいて通信ポリシーを定めるようにしてもよい。
【００１９】
本発明のＩＰアドレス生成装置において、ＩＰアドレスを生成する際に、端末装置に対応するユーザ属性情報に基づいて通信ポリシーを定めるようにしてもよい。
【００２０】
本発明の他のアスペクト（側面）に係るＩＰネットワークシステムは、ＩＰアドレスのノード識別子の特定の領域を、ネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域に、パケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成するＩＰアドレス生成装置と、アクセス制御領域に対してフィルタリング可能なネットワークレイヤー制御機器と、を含み、ネットワークレイヤー制御機器は、通信ポリシーに従ってフィルタリングの設定を行ってアクセス制御を行う。
【００２１】
本発明のＩＰネットワークシステムにおいて、ＩＰアドレス生成装置がＩＰアドレスを生成する際に、ＩＰアドレスのアクセス制御領域のデータを動的に変化させることで、ネットワークレイヤー制御機器におけるアクセス制御が動的に行われるようにしてもよい。
【００２２】
本発明のＩＰネットワークシステムにおいて、端末装置をさらに備え、ＩＰアドレス生成装置がＩＰアドレスを生成する際に、ＩＰアドレス配布先となる端末装置のユーザの属性情報に基づいて通信ポリシーを決定し、決定したポリシーに従ってアクセス制御領域のデータを生成することで、ネットワークレイヤー制御機器は、該ユーザの属性情報に基づいたＩＰアドレスのフィルタリング制御が可能となるようにしてもよい。
【００２３】
本発明のＩＰネットワークシステムにおいて、認証装置をさらに備え、端末装置は、ＩＰアドレスの取得に際して認証装置に対し認証を依頼して認証装置における認証が成功した場合に、ＩＰネットワークシステムにアクセスするためのＩＰアドレスの生成をＩＰアドレス生成装置に依頼し、ＩＰアドレス生成装置は、ＩＰアドレスを生成する際に、端末装置からの依頼に基づいてＩＰアドレスを生成するようにしてもよい。
【００２４】
本発明のＩＰネットワークシステムにおいて、ＩＰアドレス生成装置は、ＩＰアドレスを生成する際に、端末装置に対応する利用可能時間情報に基づいて通信ポリシーを定めるようにしてもよい。
【００２５】
本発明のＩＰネットワークシステムにおいて、ＩＰアドレス生成装置は、ＩＰアドレスを生成する際に、端末装置に対応するユーザ属性情報に基づいて通信ポリシーを定めるようにしてもよい。
【００２６】
本発明のさらに他のアスペクト（側面）に係るＩＰアドレス生成方法は、ＩＰアドレス生成装置が端末装置用のＩＰアドレスを生成する方法であって、ＩＰアドレスのノード識別子の特定の領域を、ＩＰネットワークシステム中のネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域に、パケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成する。ＩＰアドレスを生成する際に、ＩＰアドレス配布先の端末装置のユーザ情報に基づいて通信ポリシーを決定し、端末装置からの依頼に基づいてＩＰアドレスを生成する。
【００２８】
本発明のＩＰアドレス生成方法において、ＩＰアドレス配布先の端末装置のユーザ情報と、ユーザ認証機能を持つ認証サーバが管理するユーザＩＤとを対応させ、端末装置が認証サーバとのユーザ認証に成功した際に、認証サーバからユーザＩＤをＩＰアドレス生成装置に通知することで、ユーザ認証に成功した端末装置のみに対応して、ユーザ情報に基づいた通信ポリシーを決定するようにしてもよい。
【００２９】
本発明のＩＰアドレス生成方法において、通信ポリシーを参照することにより、ＩＰアドレス生成時に最新の通信ポリシーを反映させるようにしてもよい。
【００３０】
本発明のＩＰアドレス生成方法において、認証サーバによって認証に成功した端末装置に対応するユーザＩＤとレイヤ２識別子を取得することで、該レイヤ２識別子が同一の場合でも該ユーザＩＤに合わせたＩＰアドレスを生成するようにしてもよい。
【００３２】
本発明のＩＰアドレス生成方法において、ＩＰアドレスを生成する際に、端末装置に対応する利用可能時間情報に基づいて通信ポリシーを定めるようにしてもよい。
【００３３】
本発明のＩＰアドレス生成方法において、ＩＰアドレスを生成する際に、端末装置に対応するユーザ属性情報に基づいて通信ポリシーを定めるようにしてもよい。
【００３４】
本発明のさらに別のアスペクト（側面）に係るアクセス制御方法は、端末装置とネットワークレイヤー制御機器とＩＰアドレス生成装置とを含むＩＰネットワークシステムにおけるアクセス制御方法であって、ＩＰアドレス生成装置が、ＩＰアドレスのノード識別子の特定の領域を、ネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域にパケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成するステップと、端末装置が、ＩＰアドレス生成装置によって生成されたＩＰアドレスを受け取り、受け取ったＩＰアドレスを伴ってＩＰネットワークシステムにアクセスするステップと、通信ポリシーに従って設定したフィルタリング設定を有するネットワークレイヤー制御機器が、端末装置が発したＩＰアドレスを元に、通信ポリシーに従ったアクセス制御を行うステップと、を含む。
【００３５】
本発明のアクセス制御方法において、ＩＰネットワークシステムは、認証装置をさらに備え、端末装置は、ＩＰアドレスの取得に際して認証装置に対し認証を依頼するステップと、端末装置は、認証装置における認証が成功した場合に、ＩＰネットワークシステムにアクセスするためのＩＰアドレスの生成をＩＰアドレス生成装置に依頼するステップと、を含み、ＩＰアドレス生成装置がＩＰアドレスを生成するステップにおいて、端末装置からの依頼に基づいてＩＰアドレスを生成するようにしてもよい。
【００３６】
本発明のアクセス制御方法において、ＩＰアドレス生成装置がＩＰアドレスを生成するステップにおいて、端末装置に対応する利用可能時間情報に基づいて通信ポリシーを定めるようにしてもよい。
【００３７】
本発明のアクセス制御方法において、ＩＰアドレス生成装置がＩＰアドレスを生成するステップにおいて、端末装置に対応するユーザ属性情報に基づいて通信ポリシーを定めるようにしてもよい。
【００３８】
本発明のまたさらに別のアスペクト（側面）に係るプログラムは、端末装置用のＩＰアドレスを生成するＩＰアドレス生成装置を構成するコンピュータに、ＩＰアドレスのノード識別子の特定の領域を、ＩＰネットワークシステム中のネットワークレイヤー制御機器がフィルタリング可能なアクセス制御領域とし、該アクセス制御領域に、パケットの転送を許可するか否かを示すＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成する処理を実行させる。ＩＰアドレスを生成する際に、ＩＰアドレス配布先の端末装置のユーザ情報に基づいて通信ポリシーを決定し、端末装置からの依頼に基づいてＩＰアドレスを生成する。
【００４０】
本発明のプログラムにおいて、ＩＰアドレス配布先の端末装置のユーザ情報と、ユーザ認証機能を持つ認証サーバが管理するユーザＩＤとを対応させ、端末装置が認証サーバとのユーザ認証に成功した際に、認証サーバからユーザＩＤをＩＰアドレス生成装置に通知することで、ユーザ認証に成功した端末装置のみに対応して、ユーザ情報に基づいた通信ポリシーを決定するようにしてもよい。
【００４１】
本発明のプログラムにおいて、通信ポリシーを参照することにより、ＩＰアドレス生成時に最新の通信ポリシーを反映させるようにしてもよい。
【００４２】
本発明のプログラムにおいて、認証サーバによって認証に成功した端末装置に対応するユーザＩＤとレイヤ２識別子を取得することで、該レイヤ２識別子が同一の場合でも該ユーザＩＤに合わせたＩＰアドレスを生成するようにしてもよい。
【００４４】
本発明のプログラムにおいて、ＩＰアドレスを生成する際に、端末装置に対応する利用可能時間情報に基づいて通信ポリシーを定めるようにしてもよい。
【００４５】
本発明のプログラムにおいて、ＩＰアドレスを生成する際に、端末装置に対応するユーザ属性情報に基づいて通信ポリシーを定めるようにしてもよい。
【発明の効果】
【００４６】
本発明によれば、ネットワークレイヤー制御機器の設定変更が不要なため、ＩＰネットワークシステム全体のルータ設定の負荷を減少させることができる。また、ユーザ個別のアクセス権限を柔軟に変更可能なため、柔軟なユーザ個別のアクセス制御が可能である。
【発明を実施するための最良の形態】
【００４７】
本発明のＩＰネットワークシステムの概要構成において、クライアント（図１の１０）は、ＩＰアドレスの取得に際して認証サーバ（図１の３０）に対し認証を依頼して認証が成功した場合に、コアネットワーク（図１の１１０）にアクセスするためのＩＰアドレスの生成をアドレス生成・管理サーバ（図１の１０００）に依頼する。アドレス生成・管理サーバ（図１の１０００）は、ＩＰアドレスのノード識別子の特定の領域を、範囲指定フィルタリング機能付ルータ（図１の７０）がフィルタリング可能なアクセス制御領域とし、アクセス制御領域に、ＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成する。範囲指定フィルタリング機能付ルータ（図１の７０）は、アクセス制御領域に対してフィルタリング可能な機器であり、通信ポリシーに従ってフィルタリングの設定を行ってクライアント（図１の１０）のアクセス制御を行う。
【００４８】
本発明の実施形態に係るＩＰアドレス生成装置は、ＩＰアドレスのノード識別子の特定の領域を、ＩＰネットワークシステムのネットワーク機器がフィルタリング可能なアクセス制御領域とする。そのアクセス制御領域にＩＰネットワークシステムの通信ポリシーを埋め込んだＩＰアドレスを生成する。
【００４９】
ＩＰアドレス生成装置において、ＩＰアドレスを生成する際に、ＩＰアドレス配布先の端末のユーザに基づいて、ＩＰネットワークシステムの通信ポリシーを決定し、決定した通信ポリシーをＩＰアドレスのアクセス制御領域に埋め込んだＩＰアドアドレスを生成するようにしてもよい。
【００５０】
また、ＩＰアドレス生成装置において、ＩＰアドレスを配布する端末のユーザ情報と、ユーザ認証機能を持つ認証サーバが管理するユーザＩＤを対応させ、ＩＰアドレスを配布する端末が認証サーバとのユーザ認証に成功した際に、認証サーバからユーザＩＤをＩＰアドレス生成装置に通知するようにしてもよい。これにより、ユーザ認証に成功した端末のみに、ユーザ情報に基づいたＩＰネットワークシステムの通信ポリシーをアクセス制御領域に埋め込んだＩＰアドレスの生成が可能になる。
【００５１】
さらに、ＩＰアドレス生成装置において、ＩＰアドレス生成時にＩＰネットワークシステムの通信ポリシーを参照することにより、ＩＰアドレス生成時に最新の通信ポリシーを反映させるようにしてもよい。
【００５２】
また、ＩＰアドレス生成装置において、ＩＰアドレス生成時に認証サーバから認証に成功したユーザＩＤとレイヤ２識別子を取得することで、レイヤ２識別子が同一の場合でもユーザＩＤに合わせたＩＰアドレスを生成するようにしてもよい。
【００５３】
ここで、レイヤ２識別子とは、ＯＳＩ参照モデルの第２層のデータリンク層での通信機器を識別するための識別子（アドレス）である。レイヤ２識別子は、プロトコルによって利用される識別子が異なる。例を挙げると、イーサネット（登録商標）（Ｅｔｈｅｒｎｅｔ（登録商標））ではＭＡＣアドレスを識別子とし、ダイヤルアップ接続（PPP）では接続に利用している回線番号を識別子とする。なお、以下では、レイヤ２識別子としてＭＡＣアドレスを取り上げて説明するが、これに限定されるものではない。
【００５４】
さらに、ＩＰアドレス生成装置において、ＤＨＣＰ(Dynamic Host Configuration Protocol)を使って端末に生成したＩＰアドレスを配布するようにしてもよい。
【００５５】
また、ＩＰアドレス生成装置において、通信ポリシーにしたがって生成したＩＰアドレスに有効期間を設定し、ＤＨＣＰを使ってリース期間を端末に通知するようにしてもよい。
【００５６】
本発明の実施形態に係るＩＰネットワークシステムは、上記のＩＰアドレス生成装置と、ＩＰアドレスのアクセス制御領域に対してフィルタリング可能なネットワーク機器から構成される。そして、ネットワーク機器のフィルタリング設定を、ＩＰネットワークシステムの通信ポリシーに従って設定する。さらに、ＩＰアドレス生成装置が、ＩＰネットワークシステムの通信ポリシーをアクセス制御領域に埋め込んだＩＰアドレスを生成する。以上により、ＩＰアドレスによって、ＩＰネットワークシステムの通信ポリシーに従ってアクセス制御が可能となる。
【００５７】
上記のＩＰアドレス生成装置とネットワーク通信機器で構成されるＩＰネットワークシステムにおいて、ＩＰアドレス生成装置がＩＰアドレスを生成する際にＩＰアドレスのアクセス制御領域のデータを動的に変化させることで、ＩＰネットワークシステムのアクセス制御を動的に行うことが可能となる。
【００５８】
上記のＩＰネットワークシステムにおいて、ＩＰアドレスを生成する際に、ＩＰアドレスのアクセス制御領域のデータを、ＩＰアドレス配布先の端末のユーザの属性情報に基づいてＩＰネットワークシステムの通信ポリシーを決定する。そして、決定した通信ポリシーに従ってアクセス制御領域のデータを生成することで、ユーザの属性情報に基づいたＩＰアドレスのフィルタリング制御が可能となる。
【００５９】
また、ＩＰネットワークシステムにおいて、ＩＰアドレスの特定の領域にフィルタリング可能なルータを用いて、ＩＰネットワークシステムを構築し、ＩＰネットワークシステムの通信ポリシーに従ってルータに固定の設定を行う。そして、ユーザ毎にＩＰアドレスの特定の領域に情報を埋め込んだＩＰアドレスを生成するサーバを、ＩＰネットワークシステムのＩＰアドレス配布機構として導入し、ユーザ認証に成功したユーザ毎にＩＰネットワークシステムの通信ポリシーと対応したＩＰアドレスを生成し、配布する。これにより、ユーザが利用するＩＰアドレスには、ユーザに対応したＩＰネットワークシステムの通信ポリシーが埋め込んであるため、ルータの設定を固定したまま、ユーザ毎のアクセス制御が可能になる。
【００６０】
ここで、ＩＰアドレスのフィルタリング範囲を自由に指定してフィルタリングが可能なルータを用いて、ＩＰネットワークシステムを構築する。その際、ルータには、ＩＰネットワークシステム全体の通信ポリシーとして、ＩＰアドレスの特定の領域に共通的なフィルタリングの設定を行う。一例を挙げると、ルータはＩＰｖ６アドレスの６５ビット目に対して、通信許可の場合は１、通信拒否の場合は０というフィルタリングの設定を行う。
【００６１】
次に、ユーザ毎にＩＰネットワークシステム全体の通信ポリシーに対応したＩＰアドレスを生成して管理するアドレス生成・管理サーバを、ＩＰネットワークシステムのＩＰアドレス配布機構として導入する。そして、ユーザの端末がＩＰネットワークシステムを利用する際には、ユーザ認証を行い、認証に成功した端末に対してユーザの通信ポリシーに対応したＩＰアドレスが配布される。このＩＰアドレスを利用することで、ＩＰネットワークシステムのユーザの通信ポリシーに対応したアクセス制御が可能になる。
【００６２】
一例を挙げると、ユーザの通信ポリシーがＩＰネットワークの利用が許可されている場合、ユーザ認証後に、アドレス生成・管理サーバからＩＰｖ６アドレスの６５ビット目が１であるＩＰアドレスが配布される。また、ユーザの通信ポリシーが通信拒否の場合は、ＩＰｖ６アドレスの６５ビット目が０であるＩＰアドレスが配布される。ＩＰｖ６アドレスの６５ビット目が１であるＩＰアドレスを利用する場合は、ＩＰネットワークシステム内のルータを通過できるようになり、ＩＰｖ６アドレスの６５ビット目が０であるＩＰアドレスを利用する場合は、ＩＰネットワークシステム内のルータが通過できなくなる。
【００６３】
なお、本発明で述べているノード識別子とは、ＩＰｖ４アドレスではホスト部、ＩＰｖ６アドレスではＩＦＩＤ（インタフェースＩＤ）のことであり、本発明はＩＰｖ４アドレスにも対応し、ＩＰｖ４アドレスのホスト部のフィールドをフィルタリングすることによって実現可能である。基本動作は、ＩＰｖ４もＩＰｖ６も変わらない。そこで、本明細書では説明を簡単にするために、ＩＰｖ６アドレスを用いて説明を行う。
【００６４】
本発明によれば、ルータの設定変更が不要なため、ＩＰネットワークシステム全体のルータ設定負荷を減少させることができる。また、ユーザ個別のアクセス権限を柔軟に変更可能なため、柔軟なユーザ個別のアクセス制御が可能である。さらに、ＩＰアドレスを動的に配布するため、ネットワーク管理者の負荷も下がる。
【００６５】
以下、実施例に即し、図面を参照して、詳細に説明する。
【実施例１】
【００６６】
図１は、本発明の第１の実施例に係るＩＰネットワークシステムの構成を示す図である。図１において、ＩＰネットワークシステムは、基幹ネットワークのコアネットワーク１１０と、サブネットワーク１２０とに分かれる。コアネットワーク１１０は、認証サーバ３０、ユーザ情報ＤＢ５０、認証成功ユーザ管理サーバ６０、範囲指定フィルタリング機能付ルータ７０、フィルタリング設定ＤＢ８０、通信ポリシーＤＢ９０、アドレス生成・管理サーバ１０００を接続する。また、サブネットワーク１２０は、ＡＰ（アクセスポイント）２０を介しクライアント１０と接続し、アドレス配布サーバ４０を接続し、範囲指定フィルタリング機能付ルータ７０を介してコアネットワーク１１０と接続する。図１のＩＰネットワークシステムにおいて、サブネットワーク１２０は、説明を容易にするために、ひとつとしているが、本来であれば、サブネットワークは複数あるものである。
【００６７】
クライアント１０は、ユーザが使用する端末装置であって、ユーザに対して通信機能を提供する。また、ＩＰｖ６アドレスに対応し、ＤＨＣＰｖ６クライアント機能も含む。
【００６８】
ＡＰ２０は、クライアント１０とＭＡＣレイヤー以下での接続を提供する。本実施例では無線のＡＰとして説明しているが、有線スイッチでも同様に対応可能である。ＡＰ２０は、ＬＡＮ内のユーザ認証の方式を定めた規格である８０２．１ｘに対応しており、認証サーバ３０と成功した端末のみＭＡＣレイヤーでの通信を可能とする機能を持つ。
【００６９】
認証サーバ３０は、８０２．１ｘ認証に対応したサーバであって、クライアント１０を利用するユーザに対してユーザ認証を行う。また、ユーザ認証に成功した場合、ユーザＩＤとその端末のＭＡＣアドレスを、ログに残す機能を持つ。
【００７０】
アドレス配布サーバ４０は、クライアント１０に対してアドレスを配布する機能を持つ。本実施例ではＤＨＣＰｖ６のプロトコルを活用する。
【００７１】
図２は、アドレス配布サーバ４０の機能構成を示しており、アドレス配布サーバ４０は、アドレス配布依頼受付手段４１、ＩＰアドレス取得手段４２、ＩＰアドレス配布手段４３を備える。アドレス配布依頼受付手段４１は、クライアント１０からのアドレス配布依頼を受け付ける機能を持つ。ＩＰアドレス取得手段４２は、依頼を受け付けた端末に配布するＩＰアドレスの生成をアドレス生成・管理サーバ１０００に依頼して取得する機能を持つ。ＩＰアドレス配布手段４３は、依頼している端末に対して、ＩＰアドレス取得手段４２で取得したＩＰアドレスを配布する機能を持つ。
【００７２】
ユーザ情報ＤＢ５０は、ユーザを特定するユーザＩＤに対応して、ユーザの属性情報を管理するＤＢ（データベース）である。ユーザ情報ＤＢ５０のデータ構造の例は、図３で示され、例えば、「ユーザＩＤ」、「ユーザ名」、「所属部署」、「役職」からなる組で構成される。
【００７３】
認証成功ユーザ管理サーバ６０は、認証サーバ３０への認証に成功したユーザのユーザＩＤと端末のＭＡＣアドレスとを監視し、アドレス生成・管理サーバ１０００から検索したい端末のユーザ認証が成功しているかの問い合わせがあった場合に、検索して結果を通知する機能を持つ。
【００７４】
図４は、認証成功ユーザ管理サーバ６０の機能構成を示す図である。認証成功ユーザ管理サーバ６０は、認証成功ユーザ監視手段６１、認証成功ユーザＤＢ６２、ユーザＩＤ検索依頼受付手段６３、認証成功ユーザ検索手段６４、検索結果通知手段６５を備える。
【００７５】
認証成功ユーザ監視手段６１は、認証サーバ３０のクライアントとの認証結果を常時監視し、認証に成功したユーザのユーザＩＤと端末のＭＡＣアドレスとを認証成功ユーザＤＢ６２に保存する機能を持つ。認証成功ユーザ監視手段６１における認証サーバ３０の認証結果の監視方法は複数考えられ、認証サーバのログから認証結果を監視、または認証サーバ３０の認証成功端末通知機能の活用などが考えられる。ここでは、認証成功ユーザ監視手段６１における認証サーバ３０の認証結果の監視方法は、認証成功ユーザ監視手段６１が認証サーバ３０の認証結果のログを常時監視する方法とする。
【００７６】
認証成功ユーザＤＢ６２は、図５に示す様に、認証に成功したユーザのユーザＩＤと端末のＭＡＣアドレスとを対応させて管理するためのＤＢである。
【００７７】
ユーザＩＤ検索依頼受付手段６３は、アドレス生成・管理サーバ１０００からの認証成功ユーザの検索リクエストを受け付ける機能を持ち、アドレス生成・管理サーバ１０００から検索したい端末のＭＡＣアドレスを取得する。
【００７８】
認証成功ユーザ検索手段６４は、ユーザＩＤ検索依頼受付手段６３で取得したＭＡＣアドレスが認証成功ユーザＤＢ６２に存在するか検索し、該当した場合にユーザＩＤを取得する機能を持つ。
【００７９】
検索結果通知手段６５は、認証成功ユーザ検索手段６４からの検索結果を受けてアドレス生成・管理サーバ１０００に通知する機能を持ち、検索が成功した場合は、認証に成功したユーザＩＤを通知する。
【００８０】
範囲指定フィルタリング機能付ルータ７０は、ネットワークレイヤー制御機器に相当し、ＩＰアドレスのフィルタリングする範囲を指定してフィルタリングが可能なルータである。範囲指定フィルタリングが可能になると、リンク上のノード識別子つまりＩＰｖ６アドレスではＩＦＩＤの範囲のみに対してフィルタリングが可能になる。
【００８１】
図６は、範囲指定フィルタリング機能付ルータ７０の機能構成を示す図である。範囲指定フィルタリング機能付ルータ７０は、範囲指定フィルタリング設定手段７１、フィルタリング設定ＤＢ通信ＩＦ７２、パケット受信手段７３、範囲指定フィルタリング手段７４、パケット転送手段７５を備える。
【００８２】
範囲指定フィルタリング設定手段７１は、範囲指定フィルタリング機能付ルータ７０のフィルタリングを設定する機能を持つ。
【００８３】
フィルタリング設定ＤＢ通信ＩＦ７２は、フィルタリング設定ＤＢ８０と通信してフィルタリング設定情報を取得する機能を持ち、範囲指定フィルタリング設定手段７１がフィルタリング設定変更する際に参照される。
【００８４】
パケット受信手段７３は、ＩＰパケットの送信先のＩＰアドレスを見てパケットを受信する機能を持つ。
【００８５】
範囲指定フィルタリング手段７４は、事前に設定したフィルタリング設定によってパケットの転送を許可／破棄を決定する機能を持つ。
【００８６】
パケット転送手段７５は、ＩＰパケットの送信先ＩＰアドレスを見てパケットを転送する機能を持つ。
【００８７】
フィルタリング設定ＤＢ８０は、ＩＰネットワークシステムにある全ての範囲指定フィルタリング機能付ルータ７０のフィルタリング設定を管理する。図１では範囲指定フィルタリング機能付ルータ７０は１台のみが示されるが、本来では複数のサブネットワーク１２０が存在し、範囲指定フィルタリング機能付ルータ７０も複数存在するため、フィルタリング設置を統一して管理する必要がある。
【００８８】
フィルタリング設定ＤＢ８０の項目は、図７に示すように、種類、範囲、設定値、フィルタリングポリシーから構成され、チェック範囲はネットマスクで表示される。
【００８９】
範囲指定フィルタリング機能付ルータ７０のフィルタリングポリシーは１種類であって、図８で示すように、ＩＰｖ６アドレスの６５ビット目、つまりＩＦＩＤの先頭ビットが１ならば通過許可とし、０ならば通過拒否とする。
【００９０】
通信ポリシーＤＢ９０は、ＩＰネットワークシステム全体の通信ポリシーを管理する。通信ポリシーＤＢ９０は、サブネットワーク１２０に接続しているユーザの端末のコアネットワーク１１０への接続の許可／非許可をユーザ単位で管理している。通信ポリシーＤＢ９０のデータ構造は、図９に示すように、「ユーザ名」と許可／非許可を示す「コアネットワーク接続ポリシー」とから構成される。
【００９１】
アドレス生成・管理サーバ１０００は、認証に成功したクライアント１０が利用するＩＰアドレスに関して、ＩＰネットワークシステムの通信ポリシーに対応したＩＰアドレスを生成して管理する機能を持つ。
【００９２】
図１０は、アドレス生成・管理サーバ１０００の機能構成を示す図である。アドレス生成・管理サーバ１０００は、アドレス生成依頼受付手段１００１、ＩＰアドレス生成手段１００２、ＩＰアドレス生成ポリシー１００３、ランダムデータ生成手段１００４、アクセス制御データ生成手段１００５、ユーザＩＤ検索手段１００６、ユーザ名検索手段１００７、通信ポリシー検索手段１００８、フィルタリング設定値検索手段１００９、ＩＰアドレス検索・登録手段１０１０、ＩＰアドレスＤＢ１０１１、ＩＰアドレス配布手段１０１２を備える。
【００９３】
アドレス生成依頼受付手段１００１は、アドレス配布サーバ４０からのＩＰアドレスの生成リクエストを受け付ける機能を持つ。ＩＰアドレスの生成リクエスト情報の中には、配布先のネットワーク情報のＰｒｅｆｉｘＩＤと配布する端末のＭＡＣアドレスが含まれる。
【００９４】
ＩＰアドレス生成手段１００２は、アドレス生成依頼受付手段１００１が取得した配布する端末のＰｒｅｆｉｘＩＤとＭＡＣアドレスを元に、ＩＰアドレスを生成する機能を持つ。ＩＰアドレス生成手段１００２は、ＩＰアドレス生成ポリシー１００３、ランダムデータ生成手段１００４、アクセス制御データ生成手段１００５の３つから構成される。
【００９５】
ＩＰアドレス生成ポリシー１００３は、ＩＰアドレスの生成方法を管理するファイルもしくはＤＢである。本実施例のＩＰアドレス生成ポリシー１００３は、図１１に示すように、先頭６４ビットはリクエストから取得したＰｒｅｆｉｘＩＤを使用し、６５ビット目はアクセス制御データ生成手段１００５から取得し、残りの６３ビットは、ランダムデータ生成手段１００４から取得する。
【００９６】
ランダムデータ生成手段１００４は、指定されたビット数のランダム数を生成する機能を持つ。
【００９７】
アクセス制御データ生成手段１００５は、リクエストから取得したＭＡＣアドレスからアクセス制御用データを生成する機能を持つ。アクセス制御データ生成手段１００５は、ユーザＩＤ検索手段１００６、ユーザ名検索手段１００７、通信ポリシー検索手段１００８、フィルタリング設定値検索手段１００９を用いて、アクセス制御領域を生成する。
【００９８】
ユーザＩＤ検索手段１００６は、ＭＡＣアドレスを元に、認証成功ユーザ管理サーバ６０と通信し、ユーザＩＤを検索する機能を持つ。
【００９９】
ユーザ名検索手段１００７は、ユーザＩＤから、ユーザ情報ＤＢ５０を参照しユーザ名を取得する機能を持つ。
【０１００】
通信ポリシー検索手段１００８は、ユーザ名から、通信ポリシーＤＢ９０を参照し、通信ポリシーを取得する機能を持つ。
【０１０１】
フィルタリング設定値検索手段１００９は、通信ポリシーから、フィルタリング設定ＤＢ８０を参照し、フィルタリング設定値を取得する機能を持つ。そしてアクセス制御データ生成手段１００５は、フィルタリング設定値から、アクセス制御データを生成する。
【０１０２】
ＩＰアドレス検索・登録手段１０１０は、ＩＰアドレス生成手段１００２が生成したＩＰアドレスを、ＩＰアドレスを管理するＩＰアドレスＤＢ１０１１に対して、重複するアドレスがないか検索し、無ければ登録する機能を持つ。
【０１０３】
ＩＰアドレス配布手段１０１２は、ＩＰアドレス検索・登録手段１０１０でＩＰアドレスの重複が無いことを確認したＩＰアドレスを、リクエストしてきた端末に配布する機能を持つ。
【０１０４】
なお、アドレス生成・管理サーバ１０００は、内蔵するコンピュータにプログラムを実行させて上記各機能を実現するようにしてもよい。
【０１０５】
次に、本実施例の動作について説明する。本実施例の特徴的な動作として、クライアント１０がＩＰアドレスを取得する動作を説明する。
【０１０６】
クライアント１０は、ＩＰアドレスが付与されていない状態から始まり、ユーザ認証を行い、ユーザ情報に基づいてＩＰアドレスを生成し、それを取得することで、ユーザ情報に基づいたＩＰアドレスでのフィルタリングが可能となる。
【０１０７】
クライアント１０がＩＰアドレスを取得する動作を図１２に示し、順を追って説明する。
【０１０８】
最初に、クライアント１０が認証依頼を認証サーバ３０へＡＰ２０を経由して通知する（ステップＳ１１）。
【０１０９】
認証依頼を取得した認証サーバ３０は、認証情報を入力する取得依頼をクライアント１０へＡＰ２０を経由して通知する（ステップＳ１２）。
【０１１０】
認証情報入力依頼を取得したクライアント１０は、認証情報を認証サーバ３０へＡＰ２０経由して通知する（ステップＳ１３）。ここで、認証情報として、端末のＭＡＣアドレス、ユーザＩＤ、パスワードを通知する。
【０１１１】
認証情報を取得した認証サーバ３０は、認証情報を検証し、認証成功の場合、認証成功をクライアント１０へＡＰ２０を経由して通知する（ステップＳ１４）。
【０１１２】
認証成功を取得したクライアント１０は、ＩＰアドレスを取得するために、アドレス配布依頼をマルチキャストでＡＰ２０を経由してアドレス配布サーバ４０に通知する（ステップＳ１５）。アドレス配布依頼を送る通信プロトコルは、ＤＨＣＰｖ６とし、アドレス配布依頼には、端末のＭＡＣアドレスが含まれる。
【０１１３】
アドレス配布依頼を取得したアドレス配布サーバ４０は、アドレス生成依頼をアドレス生成・管理サーバ１０００へ通知する（ステップＳ１６）。ここで、アドレス生成依頼には、アドレス配布依頼をしてきたクライアント１０のＭＡＣアドレスと、アドレス配布サーバ４０が配布するネットワークのＰｒｅｆｉｘＩＤとが含まれる。
【０１１４】
アドレス生成依頼を取得したアドレス生成・管理サーバ１０００は、ＩＰアドレスを生成するために、ＭＡＣアドレスを含むユーザＩＤ検索依頼を、認証成功ユーザ管理サーバ６０へ通知する（ステップＳ１７）。
【０１１５】
ユーザＩＤ検索依頼を取得した認証成功ユーザ管理サーバ６０は、ユーザＩＤ検索依頼に含まれているＭＡＣアドレスからユーザＩＤを、認証成功ユーザＤＢ６２を参照して検索する。該当するユーザＩＤを発見した場合、認証成功ユーザ管理サーバ６０は、ユーザＩＤをアドレス生成・管理サーバ１０００へ通知する（ステップＳ１８）。
【０１１６】
ユーザＩＤを取得したアドレス生成・管理サーバ１０００は、ユーザ名を取得するために、ユーザＩＤを用いてユーザ情報ＤＢ５０を参照し（ステップＳ１９）、ユーザ名を取得する（ステップＳ２０）。
【０１１７】
ユーザ名を取得したアドレス生成・管理サーバ１０００は、通信ポリシーを取得するために、ユーザ名を用いて通信ポリシーＤＢ９０を参照し（ステップＳ２１）、通信ポリシーを取得する（ステップＳ２２）。
【０１１８】
ユーザ名に該当する通信ポリシーを取得したアドレス生成・管理サーバ１０００は、通信ポリシーに該当するフィルタリング設定を取得するために、通信ポリシーを用いてフィルタリング設定ＤＢ８０を参照し（ステップＳ２３）、フィルタリング設定を取得する（ステップＳ２４）。
【０１１９】
フィルタリング設定を取得したアドレス生成・管理サーバ１０００は、取得したフィルタリング設定からＩＰアドレスを生成する。そして、生成したＩＰアドレスをアドレス配布サーバ４０へ通知する（ステップＳ２５）。
【０１２０】
ＩＰアドレスを取得したアドレス配布サーバ４０は、ＩＰアドレスをアドレス配布依頼しているクライアント１０へＤＨＣＰｖ６プロトコルで配布する（ステップＳ２６）。
【０１２１】
ここで、アドレス生成・管理サーバ１０００の詳細な動作を、図１３を用いて説明する。
【０１２２】
アドレス生成・管理サーバ１０００は、アドレス生成依頼を取得すると（ステップＳ１００１）、生成するＩＰアドレスのデータ構造を決定するためにＩＰアドレス生成ポリシー１００３を参照する（ステップＳ１００２）。ＩＰアドレス生成ポリシー１００３は、図１１に示すように、先頭６４ビットは、アドレス生成依頼から取得したＰｒｅｆｉｘＩＤ使用し、６５ビット目は、アクセス制御データとし、残りは、ランダムデータとする。次に、ＩＰアドレスの先頭６４ビットのＰｒｅｆｉｘＩＤを、アドレス生成依頼から取得する（ステップＳ１００３）。
【０１２３】
そして、次の６５ビット目のアクセス制御データは、アクセス制御データ生成手段１００５から生成する（ステップＳ１００４）。アクセス制御データは、図１２で説明したように、アドレス生成依頼に含まれるＭＡＣアドレスからユーザＩＤを取得し、ユーザＩＤからユーザ名を取得し、ユーザ名から通信ポリシーを取得し、通信ポリシーからフィルタリング設定を取得する。本実施例において、フィルタリング設定ＤＢ８０の内容は、図７に示すように、許可の場合は１、拒否の場合は０を設定する。アクセス制御データはフィルタリング設定と対応していないといけないため、通信ポリシーに該当するフィルタリング設定値をＩＰアドレスに設定する。
【０１２４】
最後に、残り６３ビットにランダムなデータを生成してＩＰアドレスが完成する（ステップＳ１００５）。
【０１２５】
生成したＩＰアドレスを、ＩＰアドレスを管理するＩＰアドレスＤＢ１０１１に対して、重複するアドレスがないか検索し（ステップＳ１００６）、無ければ登録する（ステップＳ１００７）。重複している場合（ステップＳ１００６のある）は、下位６３ビットのランダムデータを再生成し（ステップＳ１００５）、再検索を行う。そして、ＩＰアドレスの重複が無いことを確認したＩＰアドレスを、リクエストしてきた端末に通知する（ステップＳ１００８）。
【実施例２】
【０１２６】
第２の実施例に係るＩＰネットワークシステムの構成は、図１と以下の２点を除いて同じである。異なる点は、図１のアドレス生成・管理サーバ１０００と通信ポリシーＤＢ９０の構成である。
【０１２７】
本実施例のアドレス生成・管理サーバ１０００ａの機能構成を図１４に示す。図１４において、図１０と同一の符号は、同一物を表し、その説明を省略する。図１４のアドレス生成・管理サーバ１０００ａが図１０と異なる点は、現在時刻取得手段２００１が追加されたことである。
【０１２８】
現在時刻取得手段２００１は、アクセス制御データ生成手段１００５がアクセス制御データを生成する際に、現在時刻を通知する機能を持つ。現在時刻を取得する方法は、アドレス生成・管理サーバ内にある時刻機能から取得する場合と、時間を管理するＮＴＰサーバから取得する場合とがある。
【０１２９】
本実施例の通信ポリシーＤＢ９０の構成を図１５に示す。図１５の通信ポリシーＤＢ９０が図９と異なる点は、通信ポリシーＤＢ９０の項目に「利用時間」が追加されたことである。これにより、第１の実施例ではユーザ名に対してのみコアネットワーク接続ポリシーの設定を行っていたが、「ユーザ名」と「利用時間」とを組み合わせて通信ポリシーとなる「コアネットワーク接続ポリシー」を決定することができる。
【０１３０】
次に、本実施例の動作について説明する。本実施例で第１の実施例と動作が異なる点は、図１４で示されるアドレス生成・管理サーバ１０００ａのアクセス制御データを生成する手順である。本実施例では、ユーザ名をユーザ名検索手段１００７から取得した後、現在時刻取得手段２００１から現在の時刻を取得する。そしてユーザ名と現在の時刻から図１５の通信ポリシーＤＢ９０を参照し、コアネットワーク接続ポリシーが決定される。
【０１３１】
本実施例によれば、利用時間によって通信ポリシーを動的に変化させて、動的にユーザのアクセス制御を実現することができる。
【実施例３】
【０１３２】
第３の実施例に係るＩＰネットワークアクセス制御システムの構成は、図１と以下の２点を除き同じである。異なる点は、図１のアドレス生成・管理サーバ１０００と通信ポリシーＤＢ９０の構成である。
【０１３３】
本実施例のアドレス生成・管理サーバ１０００ｂの機能構成を図１６に示す。図１６において、図１０と同一の符号は、同一物を表し、その説明を省略する。図１６のアドレス生成・管理サーバ１０００ｂが図１０と異なる点は、ユーザ名検索手段１００７の代わりに、ユーザ属性情報検索手段３００１が追加されたことである。
【０１３４】
ユーザ属性情報検索手段３００１は、ユーザＩＤ検索手段１００６が取得したユーザＩＤから、ユーザ情報ＤＢ５０を参照して、ユーザ属性情報を検索・取得する機能を持つ。本実施例では、ユーザ情報ＤＢ５０の設定例の図３に示すように、ユーザＩＤから「所属部署」と「役職」を取得するようにする。
【０１３５】
本実施例の通信ポリシーＤＢ９０の構成を図１７に示す。図１７の通信ポリシーＤＢ９０が図９と異なる点は、通信ポリシーＤＢ９０の項目に「ユーザ名」が無くなり、「所属部署」、「役職」が追加されたことである。これにより、第１の実施例では、ユーザ名に依存したアクセス制限を行っていたが、本実施例ではユーザ名に依存せず、「所属部署」、「役職」などのユーザの属性情報、またはユーザ属性情報の組み合わせで、通信ポリシーとなるコアネットワーク接続ポリシーを決定することができる。
【０１３６】
次に、本実施例の動作について説明する。本実施例で動作が異なる点は、図１６で示されるアドレス生成・管理サーバ１０００ｂのアクセス制御データを生成する手順である。本実施例では、ユーザＩＤをユーザＩＤ検索手段１００６から取得した後、ユーザ属性情報検索手段３００１でユーザＩＤ検索手段１００６が取得したユーザＩＤから、ユーザ情報ＤＢ５０を参照して、ユーザ属性情報を検索し、取得する。そして、取得したユーザ属性情報から、図１７の通信ポリシーＤＢ９０を参照し、コアネットワーク接続ポリシーが決定される。
【０１３７】
本実施例によれば、ユーザの固有名に依存せず、ユーザの属性情報によるアクセス制御を実現することができる。
【産業上の利用可能性】
【０１３８】
本発明によれば、ルータの設定変更が必要なく、ルータ設定負荷を減らせるため、設定が大量に必要となる大規模ネットワークシステムに用いることができる。また、柔軟なユーザ個別のアクセス制御が可能なため、ユーザの追加・削除を頻繁に行うような企業ネットワークシステムにも有用である。
【０１３９】
なお、前述の特許文献等の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【図面の簡単な説明】
【０１４０】
【図１】本発明の第１の実施例に係るＩＰネットワークシステムの構成を示す図である。
【図２】アドレス配布サーバの構成を示す図である。
【図３】本発明の第１の実施例に係るユーザ情報ＤＢにおける設定の例を示す図である。
【図４】認証成功ユーザ管理サーバの構成を示す図である。
【図５】認証成功ユーザＤＢにおける設定の例を示す図である。
【図６】範囲指定フィルタリング機能付ルータの構成を示す図である。
【図７】フィルタリング設定ＤＢにおける設定の例を示す図である。
【図８】ＩＰｖ６アドレスの構成を示す図である。
【図９】本発明の第１の実施例に係る通信ポリシーＤＢにおける設定の例を示す図である。
【図１０】本発明の第１の実施例に係るアドレス生成・管理サーバの構成を示す図である。
【図１１】ＩＰアドレス生成ポリシーの設定例である。
【図１２】クライアントがＩＰアドレスを取得するまでの動作を表すフロー図である。
【図１３】アドレス生成・管理サーバの動作を表すフロー図である。
【図１４】本発明の第２の実施例に係るアドレス生成・管理サーバの構成を示す図である。
【図１５】本発明の第２の実施例に係る通信ポリシーＤＢにおける設定の例を示す図である。
【図１６】本発明の第３の実施例に係るアドレス生成・管理サーバの構成を示す図である。
【図１７】本発明の第３の実施例に係る通信ポリシーＤＢにおける設定の例を示す図である。
【符号の説明】
【０１４１】
１０  クライアント
２０  ＡＰ
３０  認証サーバ
４０  アドレス配布サーバ
４１  アドレス配布依頼受付手段
４２  ＩＰアドレス取得手段
４３  ＩＰアドレス配布手段
５０  ユーザ情報ＤＢ
６０  認証成功ユーザ管理サーバ
６１  認証成功ユーザ監視手段
６２  認証成功ユーザＤＢ
６３  ユーザＩＤ検索依頼受付手段
６４  認証成功ユーザ検索手段
６５  検索結果通知手段
７０  範囲指定フィルタリング機能付ルータ
７１  範囲指定フィルタリング設定手段
７２  フィルタリング設定ＤＢ通信ＩＦ
７３  パケット受信手段
７４  範囲指定フィルタリング手段
７５  パケット転送手段
８０  フィルタリング設定ＤＢ
９０  通信ポリシーＤＢ
１１０  コアネットワーク
１２０  サブネットワーク
１０００、１０００ａ、１０００ｂ  アドレス生成・管理サーバ
１００１  アドレス生成依頼受付手段
１００２  ＩＰアドレス生成手段
１００３  ＩＰアドレス生成ポリシー
１００４  ランダムデータ生成手段
１００５  アクセス制御データ生成手段
１００６  ユーザＩＤ検索手段
１００７  ユーザ名検索手段
１００８  通信ポリシー検索手段
１００９  フィルタリング設定値検索手段
１０１０  ＩＰアドレス検索・登録手段
１０１１  ＩＰアドレスＤＢ
１０１２  ＩＰアドレス配布手段
２００１  現在時刻取得手段
３００１  ユーザ属性情報検索手段
【図１】
0005088100.tif 000002
【図２】
0005088100.tif 000003
【図３】
0005088100.tif 000004
【図４】
0005088100.tif 000005
【図５】
0005088100.tif 000006
【図６】
0005088100.tif 000007
【図７】
0005088100.tif 000008
【図８】
0005088100.tif 000009
【図９】
0005088100.tif 000010
【図１０】
0005088100.tif 000011
【図１１】
0005088100.tif 000012
【図１２】
0005088100.tif 000013
【図１３】
0005088100.tif 000014
【図１４】
0005088100.tif 000015
【図１５】
0005088100.tif 000016
【図１６】
0005088100.tif 000017
【図１７】
0005088100.tif 000018