JP4173866B2

JP4173866B2 - 通信装置

Info

Publication number: JP4173866B2
Application number: JP2005043898A
Authority: JP
Inventors: 直子川上; 基宏内山; 直樹和田; 俊英原
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2005-02-21
Filing date: 2005-02-21
Publication date: 2008-10-29
Anticipated expiration: 2025-02-21
Also published as: US8024789B2; US20060190721A1; JP2006229836A

Description

本発明は、認証時にネットワークの選択を可能にする通信装置に関する。

現在、ユーザによるネットワークへの通信を制限する機能として、８０２．１Ｘ認証が利用されている。８０２．１Ｘでは、認証サーバ（Authentication Server）と組み合わ
せて認証スイッチ等（Authenticator）がユーザ端末（Supplicant）を認証する。「Authenticator」および「Supplicant」は、８０２．１Ｘで使用される用語であるが、以下の説明において、それぞれ「認証スイッチ」および「ユーザ端末」という。

図２２は、８０２．１Ｘ認証における従来のユーザ認証処理手順を示すフローチャートである。まず、コンピュータ等のユーザ端末１０２は、識別番号（ＩＤ）やパスワード等を用い認証スイッチ１０４へ接続要求を送信する。接続要求を受信すると、認証スイッチ１０４は接続要求を送信したユーザ端末１０２の認証を認証サーバ１０６へ依頼する。認証スイッチ１０４から認証依頼があると、認証サーバ１０６はユーザ端末１０２の認証を行う。認証サーバ１０６は認証結果を認証スイッチ１０４を経由してユーザ端末１０２へ通知する。そして、ユーザ端末１０２はネットワークへの接続が可能となる。

また、８０２．１Ｘ認証のオプション機能として、ユーザ認証の際にユーザ端末毎にバーチャルＬＡＮ（ＶＬＡＮ）を動的に割り当てる機能（Dynamic VLAN）がある。このダイナミックＶＬＡＮ機能は、認証サーバ１０６に登録したユーザ名とＶＬＡＮの対応表を参照することで、認証サーバ１０６が認証スイッチ１０４に対してＶＬＡＮを割り当てる機能である（図２２の「EAP Success」、「Radius Access Accept」）。

また、認証サーバがユーザの指定した条件で認証データを選択する既知の技術として、以下のようなものがある。
特許文献１は、複数の認証方式を備え、ユーザが入力するユーザ名とパスワード以外の属性情報に従いその認証方式を選択実行する認証システムを開示する。
特許文献２は、異なる利用サービスのユーザ認証システムを統合し、ユーザが１つのＩＤとパスワードで様々なサービスを享受できるユーザ認証システムを開示する。
特許文献３は、ネットワークＡとネットワークＢで認証サーバ１０６、および秘密情報を共有化し、ネットワークＢに対する認証を、ＩＥＥＥ８０２．１ｘを使用しセキュリティ性の高いネットワークＡで送信するユーザ認証システムを開示する。
特開平１１‐１７５４７６号公報特開２００３‐１３２０２２号公報特開２００４‐７２６３１号公報

上記従来技術では、認証時にネットワーク（ＶＬＡＮ）の割り当てを行う際、広範囲にわたりユーザが物理的に移動する場合に、以下の問題点があった。
（１）ユーザは複数のネットワークにアクセスする権限があっても、使用するユーザ端末ごとに予め決められたネットワークに接続されていた。即ち、ユーザは移動先で任意の１つのネットワークを選択しアクセスできなかった。また、認証スイッチに登録されているネットワークと異なるネットワークにアクセスしたい場合は、異なるネットワーク毎に別のユーザ名を用意する必要があり、利便性に問題があった。

ネットワークの通知は認証サーバから認証スイッチに対し認証プロトコル（RADIUS protocol）の属性（Attribute）を用いて行うため、ユーザ端末まで伝達されない。そのため、ユーザ端末が任意のネットワークを選択できなかった。

本発明はこのような問題を解決するためになされたもので、複数のネットワークにアクセスする権限を有するユーザが任意のネットワークへのアクセスを可能にする通信装置を提供することを目的とする。

本発明は上記目的を達成するため、複数のネットワークを示す第１のネットワークリストを記憶する記憶部、第１の認証プロトコルを使用して複数のネットワークを示す第２のネットワークリストを受信する受信部、送信用ネットワークリストを生成するために第１のネットワークリストと第２のネットワークリストでＡＮＤ演算を実行する演算部、送信用ネットワークリストを外部へ送信する送信手段を含む通信装置。

通信装置が認証時に第１のネットワークリストと第２のネットワークリストでＡＮＤ演算を実行し、送信用ネットワークリストを生成するので、通信装置で利用可能なネットワークのみを含む送信用ネットワークリストを外部へ送信することができる。

本発明によれば、複数のネットワークにアクセスする権限を有するユーザが任意のネットワークへのアクセスを可能とする。

以下、図面を参照して本発明の実施形態に係る通信装置について説明する。実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。尚、本発明は、ハードウェア及びソフトウェアにより実施可能である。プログラムからなるソフトウェアにより実行させる場合には、そのソフトウェアを構成するプログラムをコンピュータ等のハードウェアにインストールすることで、各種の機能を実現できる。また、プログラムは、通信回線を通じてまたはコンピュータ読み取り可能な記憶媒体を使用してコンピュータ等へインストールされる。

ここで、コンピュータ読み取り可能な記憶媒体とは、データやプログラム等の情報を
電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータから読み取ることができる記憶媒体をいう。このような記憶媒体のうちコンピュータから取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、ＤＡＴ、８ｍｍテープ、メモリカード等がある。また、コンピュータに固定された記憶媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。

図１及び図２はユーザ認証及びＶＬＡＮ選択機能を実現するユーザ認証の手順を示すフローチャートである。本実施形態において実現できる機能を、図２に示すようにＥＡＰ‐ＭＤ５認証方式を例として、以下説明する。

ここで、「ＥＡＰ」とは、「extensible Authentication Protocol」の略で、従来よりダイアルアップ接続等に利用されている認証プロトコルＰＰＰを拡張したプロトコルである。ＩＥＥＥ８０２．１Ｘにおいて、標準で用いられ、ユーザ名・パスワード以外に電子証明書やスマートカード等、様々な認証方式をサポートする。「ＩＥＥＥ８０２．１Ｘ」は、ネットワーク機器に接続する端末に対し認証を行い、アクセス制御を行う規格である。ＩＥＥＥ８０２．１Ｘ／ＥＡＰを無線ＬＡＮで利用する場合、無線ＬＡＮクライントに
は８０２．１Ｘ端末機能（supplicant）が必要である。

図１及び図２は、ユーザ端末２（Supplicant）が認証スイッチ４（Authenticator）を
介して認証サーバ６（ＲＡＤＩＵＳサーバ）にユーザ認証を要求し、ユーザ端末２へＶＬＡＮが割り当てられるまでの手順を示す。なお、これらの手順は認証方法に依存するため、異なる認証方法では異なる手順となる。ユーザ端末２は、８０２．１Ｘのサプリカント機能を実装した端末である。

本実施例において提供される主な３つの機能を次に示す。
＜機能１＞
第１の機能はユーザ端末２が選択できるＶＬＡＮを制限する機能（フィルタリング機能）である（認証サーバ６、スイッチ等：図３〜図１３）。第１の機能の実現方法は以下の２通りである。

（機能１（Ａ）：認証サーバ６へのＶＬＡＮリスト送信）
認証スイッチ４が、認証スイッチ４に登録されているＶＬＡＮリスト（本発明の「第２のネットワークリスト」に相当：VLAN IDのみ又はユーザ名とVLAN IDからなるリスト）を認証サーバ６に送信する（図１、Ｓ４）。そして、認証サーバ６は、認証サーバ６に登録されているＶＬＡＮリスト（本発明の「第１のネットワークリスト」に相当：VLAN IDの
み又ユーザ名とVLAN IDからなるリスト）と認証スイッチ４から送信されたＶＬＡＮリス
トを比較する（ＡＮＤ演算）。認証サーバ６は、演算により一致するＶＬＡＮＩＤのみを含むＶＬＡＮリスト（本発明の「送信用ＶＬＡＮリスト」に相当）を生成し、ユーザ端末２に通知する（Ｓ９、Ｓ１０）。ＶＬＡＮＩＤのみを含むＶＬＡＮリストとは一致しないＶＬＡＮＩＤは含まないリストである。本実施形態では、ユーザ端末２に送信するＶＬＡＮリストはＶＬＡＮＩＤとＶＬＡＮ名を含んでいる。

（機能１（Ｂ）：認証サーバ６へのＶＬＡＮリスト要求）
認証スイッチ４は、認証サーバ６へＶＬＡＮリストの送信を要求する（図２、Ｓ２１）。認証サーバ６は、ＶＬＡＮリスト（本発明の「第２のネットワークリスト」に相当：ユーザ名とVLAN IDからなるリスト）を認証スイッチ４へ送信する（Ｓ２２）。認証スイッ
チ４は、認証スイッチ４に登録されているＶＬＡＮリスト（本発明の「第１のネットワークリスト」に相当：VLAN IDのみ又はユーザ名とVLAN IDからなるリスト）と認証サーバ６から送信されたＶＬＡＮリストを比較する（ＡＮＤ演算）。認証スイッチ４は、演算により一致するＶＬＡＮＩＤのみを含むＶＬＡＮリスト（本発明の「送信用ＶＬＡＮリスト」に相当）を生成し、ユーザ端末２に通知する（Ｓ２３）。

第１のネットワークリストとは、ＡＮＤ演算を実行する装置側の認証スイッチ４又は認証サーバ６に記憶されたＶＬＡＮリストである。第１のネットワークリストは、ネットワーク識別情報（VLAN ID）又は、ユーザ識別情報（ユーザ名）及びネットワーク識別情報
（VLAN ID）を含む。

第２のネットワークリストとは、ＡＮＤ演算を実行するためのデータとして認証スイッチ４又は認証サーバ６から送信されるＶＬＡＮリストである。第２のネットワークリストは、ネットワーク識別情報（VLAN ID）からなるリスト又は、ユーザ識別情報（ユーザ名
）及びネットワーク識別情報（VLAN ID）からなるリストがある。認証スイッチ４はネッ
トワーク識別情報（VLAN ID）からなるリストを認証サーバ６へ送信する。また、認証サ
ーバ６はネットワーク識別情報（ユーザ名及びVLAN ID）及びネットワーク特定情報（VLAN ID及びVLAN Name）を認証スイッチ４へ送信する。しかし、ネットワーク特定情報はユ
ーザが文字情報を表示することにより視覚的に任意のネットワークを特定するために利用される情報である。そのため、本発明の目的はネットワーク識別情報を使用することで達
成可能である。即ち、認証スイッチ４がユーザ端末２へ利用可能なＶＬＡＮＩＤを送信すれば、ユーザは任意のＶＬＡＮを選択可能になる。

＜機能２＞
第２の機能は、ＶＬＡＮＩＤとＶＬＡＮ名（VLAN Name）を対応付け（マッピング）
して生成したメッセージをユーザ端末２で表示させるために送信する機能である（認証サーバ６：図１５）。

＜機能３＞
第３の機能は、ユーザが任意にＶＬＡＮを選択できる機能である（ユーザ端末２：図１７、図１８）。

以下、図１を参照して、上記機能を実現する手順を説明する。
ステップＳ１において、ユーザ端末２は、ネットワーク（認証スイッチ４）へ接続要求（通信リクエスト）を送信する。
ステップＳ２において、認証スイッチ４は、ユーザ端末２よりＥＡＰパケットのみを受信し、ユーザ端末２にユーザＩＤの送信を要求する。
ステップＳ３において、ユーザ端末２はユーザＩＤ（ユーザ識別情報）を認証スイッチ４へ送信する。
ステップＳ４において、認証スイッチ４はユーザ端末２からの通信リクエストを認証サーバ６へ送信する（機能１（Ａ））。このとき、認証スイッチ４は、認証スイッチ４に登録されているＶＬＡＮリストも認証サーバ６へ送信する。

ステップＳ５、Ｓ６において、認証サーバ６は認証スイッチ４を経由してユーザ端末２に対してパスワードの送信を要求する。
ステップＳ７、Ｓ８において、ユーザ端末２は認証スイッチ４を経由して認証サーバ６に対してパスワードを送信する。
ステップＳ９において、ユーザ認証後、認証サーバ６は（ｉ）ステップＳ４で生成したＶＬＡＮリストと（ｉｉ）認証サーバ６のＶＬＡＮＩＤとＶＬＡＮＮａｍｅの対応マップ（本発明の「ネットワーク特定情報」に相当）とを参照及び比較する。認証サーバ６は、新しく生成したＶＬＡＮリスト（送信用ＶＬＡＮリスト）を認証スイッチ４に通知する（機能１及び機能２）。

ステップＳ１０において、認証スイッチ４は、ユーザ端末２からのアクセスを希望するＶＬＡＮＩＤ（VLAN Name）をユーザ端末２へ問い合わせる。即ち、認証スイッチ４は
、ステップＳ９で認証サーバ６から受信したＶＬＡＮリストをユーザ端末２に通知する(
機能１（Ａ）)。

ステップＳ１１において、ユーザ端末２は認証スイッチ４からの問い合わせに対する応答として、ユーザにより選択（指定）されたＶＬＡＮＩＤを送信する（機能３）。
ステップＳ１２において、認証スイッチ４は、ユーザ端末２からのアクセス許可を求めるために、受信したＶＬＡＮＩＤを認証サーバ６へ送信する。
ステップＳ１３において、認証サーバ６は、ＶＬＡＮリストとの照合結果により指定されたＶＬＡＮＩＤへのアクセス許可を認証スイッチ４へ送信する。
ステップＳ１４において、認証スイッチ４は、ＶＬＡＮへのアクセスが許可されたことを通知するために、アクセス許可をユーザ端末２へ送信する。ユーザ端末２はアクセス許可を受信すると選択したＶＬＡＮへアクセスできる。

図１のユーザ認証においては、ＶＬＡＮリストを認証サーバ６で生成する例を説明した。図２においては、認証スイッチ４が認証サーバ６から送信されたＶＬＡＮリストを用い
て新しいＶＬＡＮリストを生成する。以下、図２において、図１と特に異なるステップＳ２１〜Ｓ２３について説明する。

ステップＳ２１において、認証スイッチ４は、ユーザ端末２からの通信リクエストを受信するとＶＬＡＮリスト要求（VLAN list Request）を認証サーバ６へ送信する（機能１
（Ｂ））。

ステップＳ２２において、ユーザ認証後、認証サーバ６に登録されたＶＬＡＮリストを認証スイッチ４へ送信する。
ステップＳ２３において、認証スイッチ４は、ステップＳ２１で要求したＶＬＡＮリスト（ＶＬＡＮＩＤとＶＬＡＮＮａｍｅ）と認証スイッチ４のＶＬＡＮリストの対応マップを参照及び比較する（図１５）。認証スイッチ４は、新しく生成したＶＬＡＮリストをユーザ端末２へ通知する（機能１及び機能２）。

図１及び図２のシーケンスは基本的に従来のＥＡＰ‐ＭＤ５によるユーザ認証と同様である。本発明の実施形態における技術的特徴（ＶＬＡＮ選択機能）は、図１のステップＳ４、Ｓ９〜１２と、図２のステップＳ２１〜２３、Ｓ１１〜Ｓ１３に示される。

上記技術的特徴は、図２０に示されるＲＦＣ２８６５５．２６項にて規定されているＶＳＡ(Vender Specific Attribute)[26]と、図２１に示されるＲＦＣ３７４８５．８.項にて規定されているＥＡＰタイプ（Experimental types(255)）を用いて実現できる。
“Experimental types”は、内容、フォーマットに規定がなく、実験的に試験等を行う場合に用いられている。

図３は、認証スイッチ４の内部構造を示す図である。処理Ａ〜処理Ｇは、図１及び図２のステップＳ１〜Ｓ１４、Ｓ２１〜Ｓ２３と対応する。
「処理Ａ」においては、受信したメッセージがスイッチングエンジン８（制御部）のパケット判別／処理部１０でＥＡＰＯＬメッセージと判別された場合、パケットバッファメモリ１２及びメモリキュー１４を介してＥＡＰＯＬメッセージをＥＡＰパケット処理部１６へ転送する（ステップＳ１）。ＥＡＰパケット処理部１６はＥＡＰＯＬメッセージのときユーザＩＤ要求メッセージを生成する。その後、「処理Ｄ」へ移行し、ユーザＩＤ要求（EAP Request, Identify）をユーザ端末２へ送信する（ステップＳ２）。

「処理Ｂ」においては、スイッチングエンジン８（制御部）のパケット判別／処理部１０がＥＡＰパケットと判別した場合、ＥＡＰパケット処理部１６は、認証サーバ６へ送信するためにＥＡＰパケットをＲＡＤＩＵＳパケットに変換する（ステップＳ３、Ｓ７、Ｓ１１）。そして、「処理Ｄ」へ移行する。

「処理Ｃ」においては、スイッチングエンジン８（制御部）のパケット判別／処理部１０がＲＡＤＩＵＳパケットと判別した場合、ＲＡＤＩＵＳパケット処理部１８がユーザ端末２へ送信するためにＲＡＤＩＵＳパケットをＥＡＰパケットに変換する（ステップＳ５、Ｓ９、Ｓ１３）。そして「処理Ｅ」へ移行する。

「処理Ｄ」においては、ＥＡＰパケット処理部１６は、各フェーズ毎のパケットを生成する命令をパケット生成部２０に対して行う。その後、ポート番号‐ＶＬＡＮ対応メモリ２２、ポート番号‐ＭＡＣアドレス対応メモリ２４を参照して出力ポートを決定し、対応する出力ポートのパケットバッファメモリ１２に転送し、各ポートより出力する（ステップＳ２、Ｓ４、Ｓ８、Ｓ１２、Ｓ２１）。

「処理Ｅ」においては、ＲＡＤＩＵＳパケット処理部１８より各フェーズ毎のパケット
を生成する命令をパケット生成部２０に対して行う。その後、ポート番号‐ＶＬＡＮ対応メモリ２２、ポート番号‐ＭＡＣアドレス対応メモリ２４を参照して出力ポートを決定し、対応する出力ポートのパケットバッファメモリ１２に転送し、各ポートより出力する（ステップＳ６、Ｓ１０、Ｓ１４）。尚、認証スイッチと認証サーバ間の認証処理はレイヤー３のみでなくレイヤー２で閉じて行うこともできる。

「処理Ｆ（機能１（Ｂ）のみ）」においては、ＲＡＤＩＵＳパケット処理部１８が"Radius Access Challenge"と判断し、なおかつＶＬＡＮリストを認証サーバ６から受信した
場合、ＶＬＡＮリスト生成部２６においてユーザ端末２への送信用ＶＬＡＮリストを生成する（Ｓ２２）。

ＶＬＡＮリスト生成部２６は、認証サーバ６から受信したＶＬＡＮリストと認証スイッチ４自身の保持するＶＬＡＮリストをＶＬＡＮリスト保持メモリ２８（本発明の「記憶部」に相当）から読み込み、ＡＮＤ演算部３０（本発明の「演算部」に相当）において一致するＶＬＡＮＩＤで構成されるＶＬＡＮリストを生成する。ＲＡＤＩＵＳパケット処理部１８はメッセージをＥＡＰパケットに変換して、ＥＡＰパケットを送信用ＶＬＡＮリストとしてパケット生成部２０へ渡す。そして、「処理Ｅ」へ移行する。

「処理Ｇ」において、スイッチングエンジン８（制御部）のパケット判別／処理部１０が“RADIUS Accept”と判別した場合、ＲＡＤＩＵＳパケット処理部１８は“Attribute”に記述されているＶＬＡＮＩＤを当該ポートの情報へ書き換えるようにＶＬＡＮアサイン処理部３２に命令を出す。ＶＬＡＮアサイン処理部３２は、ポート番号‐ＶＬＡＮ対応メモリ２２内のテーブルを書き換える。

図４は、認証スイッチ４において認証サーバ６へＶＬＡＮリストを送信する（機能１（Ａ））際の動作を示すフローチャートである。図５は、認証スイッチ４において認証サーバ６へＶＬＡＮリスト要求を送信する（機能１（Ｂ））際の動作を示すフローチャートである。図５については、機能１（Ａ）と異なるステップＳ６０〜Ｓ６４について説明する。

認証スイッチ４は、ユーザ端末２又は認証サーバ６からパケットを受け取ると、スイッチングエンジン８（制御部）へ転送する（Ｓ４１、Ｓ４２）。パケット判別／処理部１０は受信したパケットがＥＡＰパケットであるかどうかを判断する（Ｓ４３）。受信したパケットがＥＡＰパケットでないと判断されたとき、ステップＳ５１へ移行する。

受信したパケットがＥＡＰパケットであると判断されたとき、受信したパケットはＥＡＰパケット処理部１６へ渡される。次に、ＥＡＰパケット処理部１６はＥＡＰＯＬメッセージかどうかを判断する（Ｓ４４）。ＥＡＰＯＬメッセージでないとき、ＥＡＰパケット処理部１６のメッセージ変換処理部はＥＡＰパケットをＲＡＤＩＵＳパケットに変換する（Ｓ４５）。

ＥＡＰＯＬメッセージであるとき、ＥＡＰパケット処理部１６はＥＡＰパケットをパケット生成部２０へ渡し、パケット生成部２０はＶＬＡＮ設定情報とポート番号‐ＭＡＣアドレス対応メモリ２４を参照して出力ポートを決定する（Ｓ４６、Ｓ４７）。

パケット判別／処理部１０がＥＡＰパケットでないと判断したとき、パケット判別／処理部１０はＲＡＤＩＵＳパケットかどうかを判断する（Ｓ５１）。ＲＡＤＩＵＳパケットでないとき、パケット判別／処理部１０は受信したパケットをパケット生成部２０へ渡し、パケット生成部２０はＶＬＡＮ設定情報とポート番号‐ＭＡＣアドレス対応メモリ２４を参照して出力ポートを決定する（Ｓ５２、Ｓ５３）。

ＲＡＤＩＵＳパケットであるとき、パケット生成部２０はＲＡＤＩＵＳパケットをＲＡＤＩＵＳパケット処理部１８へ渡す。ＲＡＤＩＵＳパケット処理部１８は、“RADIUS Access Accept"メッセージであるかどうかを判断する（Ｓ５４）。“RADIUS Access Accept"メッセージでないとき、ＲＡＤＩＵＳパケット処理部１８のメッセージ変換処理部はＲＡＤＩＵＳパケットをＥＡＰパケットに変換する（Ｓ５５）。

“RADIUS Access Accept"メッセージであるとき、ＲＡＤＩＵＳパケット処理部１８は
、“Attribute”に記述されているＶＬＡＮＩＤを当該ポートの情報へ書き換えるよう
にＶＬＡＮアサイン処理部３２に命令を出す。ＶＬＡＮアサイン処理部３２は、ポート番号‐ＶＬＡＮ対応メモリ２２内のテーブルを書き換える。ＲＡＤＩＵＳパケット処理部１８のメッセージ変換処理部はＲＡＤＩＵＳパケットをＥＡＰパケットに変換する。（Ｓ５６）
ＲＡＤＩＵＳパケット処理部１８はＥＡＰパケットをパケット生成部２０へ渡し、パケット生成部２０はＶＬＡＮ設定情報とポート番号‐ＭＡＣアドレス対応メモリ２４を参照して出力ポートを決定する（Ｓ５７、Ｓ５８）。以上のように処理されたパケットはポートからユーザ端末２又は認証サーバ６へ出力される（Ｓ５９）。

次に、図５のステップＳ６０〜Ｓ６４について説明する。
ＲＡＤＩＵＳパケット処理部１８が（ｉ）受信したＲＡＤＩＵＳパケットが“RADIUS Access Challenge"であり、且つ、（ｉｉ）認証サーバ６からＶＬＡＮリストを受信したと判断したとき、ＶＬＡＮリストをＶＬＡＮリスト生成部２６へ渡す（Ｓ６０）。

ＶＬＡＮリスト生成部２６は、ポート番号‐ＶＬＡＮ対応メモリ２２に登録されているＶＬＡＮリストと認証サーバ６から送信したＶＬＡＮリストを比較し、新しいＶＬＡＮリストを生成する（Ｓ６１）。ＶＬＡＮリスト生成部２６は、演算により一致するＶＬＡＮ
ＩＤのみを含むＶＬＡＮリストを生成後、ポート番号‐ＶＬＡＮ対応メモリ２２に書き
込む（Ｓ６２）。

ＶＬＡＮリスト生成部２６は、ＥＡＰパケットをパケット生成部２０へ渡し、パケット生成部２０はＶＬＡＮ設定情報とポート番号‐ＭＡＣアドレス対応メモリ２４を参照して出力ポートを決定する（Ｓ５７、Ｓ５８）。以上のように処理されたパケットはポートからユーザ端末又は認証サーバ６へ出力される（Ｓ５９）。

図６は、認証サーバ６へ送信するＲＡＤＩＵＳメッセージフォーマットの一例を示す図である（機能１（Ａ））。認証スイッチ４は、通常の“RADIUS Access Request”の属性
（Attribute）に加えて、自身に定義されているＶＬＡＮＩＤ（Attribute-Specific:"1-10"）をＶＳＡ(Vender Specific Attribute)（26）を用いて認証サーバ６へ送信する。
認証サーバ６は、新しいＶＬＡＮリストを生成するために図６に示すようにＶＬＡＮＩＤ（Attribute-Specific:"1-10"）を使用する。

図７は、認証サーバ６の内部で送信用ＶＬＡＮリスト（新しいＶＬＡＮリスト）を生成する手順を示す図である。図８は、認証サーバ６の内部構造を示す図である。
認証サーバ６は受信したＶＬＡＮＩＤと保持しているＶＬＡＮリストを照合し、一致するＶＬＡＮＩＤのみで構成されるＶＬＡＮリストを新たに生成する。認証サーバ６は、図８に示すように、ＣＰＵ３４とユーザ情報記憶部３６（本発明の「記憶部」に相当）から構成されている。ＣＰＵ３４はＶＬＡＮ処理部３８とＲＡＤＩＵＳ処理部４０を含んでいる。

ユーザ情報記憶部３６は図７のＶＬＡＮリスト（２）を予め記憶している。ＶＬＡＮリ
スト（２）は、ユーザ名（ＴＥＳＴ、ＴＥＳＴ２）、アトリビュート、ＶＬＡＮＩＤを含んでいる。ユーザ情報記憶部３６は図７に示すＶＬＡＮリストの他に図１５で示すＶＬＡＮ名リスト（VLAN Name list）を記憶している。ＶＬＡＮリストとＶＬＡＮ名リストとの関係については後述する。

図１のステップＳ４で受信した認証スイッチ４のＶＬＡＮリスト（１）と認証サーバ６のＶＬＡＮリスト（２）とをＶＬＡＮ処理部３８で照合する。ここで、ＶＬＡＮＩＤ（Attribute-Specific:"1-10"）は、認証スイッチ４がユーザ端末２と通信可能であるＶＬ
ＡＮＩＤを示している。

認証サーバ６のユーザ名「ＴＥＳＴ」は「１−１０、１００」のＶＬＡＮＩＤが利用可能であることを示す。しかし、ＶＬＡＮリストを送信した認証スイッチ４がユーザ端末２と通信可能であるＶＬＡＮＩＤが「１−１０」であるため、ＶＬＡＮ処理部３８は「１００」を削除して「ＴＥＳＴ１−１０」を含む送信用ＶＬＡＮリストを生成する（本発明の「演算部」に相当）。そして、ＲＡＤＩＵＳ処理部４０は生成したＶＬＡＮリストを処理し認証スイッチ４へ送信する。

ここで、認証スイッチ４から送信されるデータはＶＬＡＮＩＤのみである。認証スイッチ４は、送信用ＶＬＡＮリストを受信すると図１のステップＳ３で受信したユーザＩＤと送信用ＶＬＡＮリストを照合してユーザＩＤ（「ＴＥＳＴ」または「ＴＥＳＴ２」）に対するＶＬＡＮＩＤ（「１−１０」または「１、２」）をユーザ端末２へ送信する。

また、認証スイッチ４が受信した送信用ＶＬＡＮリストを単にユーザ端末２へ送信するようにしてもよい。このとき、ユーザ端末２は送信用ＶＬＡＮリストとステップＳ３で入力されたユーザＩＤとを照合して表示用ＶＬＡＮリストを生成し、選択可能にＶＬＡＮリストをユーザ端末２の表示部へ表示する。

図９は認証サーバ６が送信用ＶＬＡＮリストを生成する処理を示すフローチャートである。図１のステップＳ４〜Ｓ９の処理に相当する。認証スイッチ４からパケットを受信すると、認証サーバ６は“RADIUS Access Request”パケットであるかどうかを判断する（
Ｓ７１）。

“RADIUS Access Request”パケットでないとき、ＲＡＤＩＵＳ処理部４０がパスワード
の認証処理等を実行する（Ｓ７５）。ここで、ユーザ端末２から送信されるユーザＩＤはパスワードと共に認証処理に使用される。

“RADIUS Access Request”パケットであるとき、ＶＬＡＮ処理部３８は認証スイッチ
４から受信したＶＬＡＮリストを送信用ＶＬＡＮリスト生成部へ一時的に保存する（Ｓ７２）。ＶＬＡＮ処理部３８はユーザ情報記憶部３６のユーザ名などのＶＬＡＮ情報を参照し送信用ＶＬＡＮリスト生成部に一時的に保存する（Ｓ７３）。

送信用ＶＬＡＮリスト生成部は一時的に記憶したＶＬＡＮリスト（１）及びＶＬＡＮリスト（２）を使用して送信用ＶＬＡＮリストを生成する（ＡＮＤ演算、Ｓ７４）。パスワード認証後、ＲＡＤＩＵＳ処理部４０は生成した送信用ＶＬＡＮリストを “Access Challenge Request”パケットとして認証スイッチ４へ送信する（S７５）。

次に、図１０〜図１３を参照して、認証スイッチ４が認証サーバ６へＶＬＡＮリスト要求を送信し、受信したＶＬＡＮリストを使用してＡＮＤ演算を実行する動作について説明する。

図１０は、認証サーバ６へ送信するＲＡＤＩＵＳメッセージフォーマットの一例を示す図である（機能１（Ｂ））。認証スイッチ４は、通常の“RADIUS Access Request”の属
性（Attribute）に加えて、認証サーバ６に登録されているＶＬＡＮリストを要求するた
めにＶＬＡＮリスト要求（Vender type=2）を送信する。

認証スイッチ４は、ＶＳＡ(Vender Specific Attribute)（26）を用いてＬＡＮリスト
要求を送信する。ＶＬＡＮリスト要求を受信すると認証サーバ６は保持しているＶＬＡＮリストを用いて、送信用ＶＬＡＮリストを生成する（図１１及び図１２）。

図１１は、認証サーバ６の内部で送信用ＶＬＡＮリスト（保持しているＶＬＡＮリスト）を生成する手順を示す図である。図１２は、認証サーバ６の内部構造を示す図である。

認証サーバ６は認証スイッチ４からＶＬＡＮリスト要求（１）を受信すると、ユーザ情報記憶部３６からＶＬＡＮリスト（２）を読み出す。ＶＬＡＮ処理部３８は読み出したＶＬＡＮリスト（２）から送信用ＶＬＡＮリスト（３）を生成する。そして、ＲＡＤＩＵＳ処理部４０は生成したＶＬＡＮリスト（３）を処理し認証スイッチ４へ送信する。

図１１において、認証サーバ６は認証スイッチ４からＶＬＡＮリストが送信されないため、新しいＶＬＡＮリストを生成することなく、読み出したＶＬＡＮリストを認証サーバ６へ送信する。

図１３は、認証サーバ６が送信用ＶＬＡＮリストを生成する処理を示すフローチャートである。図２のステップＳ２１〜Ｓ２２の処理に相当する。認証スイッチ４からパケットを受信すると、認証サーバ６は“RADIUS Access Request”パケットであるかどうかを判
断する（Ｓ８１）。

“RADIUS Access Request”パケットでないとき、ＲＡＤＩＵＳ処理部４０がパスワード
の認証処理等を実行する（Ｓ８３）。ユーザ端末２から送信されるユーザＩＤはパスワードと共に認証処理に使用される。

“RADIUS Access Request”パケットであるとき、送信用ＶＬＡＮリスト生成部はＶＬ
ＡＮリスト（２）を使用して送信用ＶＬＡＮリスト（３）を生成する（Ｓ８２）。パスワード認証後、ＲＡＤＩＵＳ処理部４０は生成した送信用ＶＬＡＮリストを “Access Challenge Request”パケットとして認証スイッチ４へ送信する（Ｓ８３）。

図１４は認証スイッチ４へ送信するＲＡＤＩＵＳメッセージフォーマットの一例を示す図である。図１４において、ＲＡＤＩＵＳメッセージフォーマットは、ＶＬＡＮＩＤ「１」から「１０」とＶＬＡＮ名「Default」から「Ｒ＆Ｄ」のＶＬＡＮ情報を含む。“Sub-type:1”が“VLAN ID”であり、“Sub-type:2”が“VLAN Name”である。

認証サーバ６は、ユーザ認証を要求したユーザ「ＴＥＳＴ」が通信可能なＶＬＡＮＩＤ「１」から「１０」を通知するために、図１４のＲＡＤＩＵＳメッセージフォーマットを生成及び送信する。図７に示すように、認証サーバはユーザ「ＴＥＳＴ」がＶＬＡＮＩＤ「１」から「１０」及び「１００」が利用可能であることを示している。しかし、認証スイッチ４が通信可能なＶＬＡＮＩＤに「１００」が含まれていないため、ユーザ「ＴＥＳＴ」が実際に利用可能なＶＬＡＮＩＤは「１」から「１０」となる。

図１５は、認証サーバ６の内部で送信用ＶＬＡＮリストを生成するために使用される２つのＶＬＡＮリストを示す図である。認証サーバは、図１のステップＳ４でＡＮＤ演算を実行して作成したＶＬＡＮリストとＶＬＡＮ名リストを参照して図１４に示すＲＡＤＩＵ
Ｓメッセージフォーマットを作成する。ＶＬＡＮ名リストは認証サーバ６に登録された複数の通信グループ（本発明の「ネットワーク」に相当）とＶＬＡＮＩＤの対応表である。

ユーザ認証を実行したユーザが「ＴＥＳＴ２」のとき、認証サーバ６は、ＶＬＡＮＩＤ「１」、「２」とＶＬＡＮ名「Ｄｅｆａｕｌｔ」と「Ｓｏｕｍｕ」のＶＬＡＮ情報を含むＲＡＤＩＵＳメッセージフォーマットを生成する。

また、認証スイッチ４が、ユーザ「ＴＥＳＴ２」へ送信するＶＬＡＮリストを生成するためのＡＮＤ演算を実行するようにしてもよい。例えば、認証サーバ６が認証スイッチ４で通信可能なＶＬＡＮＩＤ「１」から「１０」のみを認証スイッチ４へ送信した後、認証スイッチ４が認証サーバ６から受信したＶＬＡＮリストと認証スイッチ４に保存されたＶＬＡＮリストを比較して送信用ＶＬＡＮリストを生成してもよい。このとき、認証スイッチ４はＶＬＡＮＩＤ「１」と「２」とＶＬＡＮ名「Ｄｅｆａｕｌｔ」と「Ｓｏｕｍｕ」のＶＬＡＮ情報を含むＥＡＰパケットを生成し、ユーザ端末２へ送信する。

また、図１１の送信用ＶＬＡＮリスト（３）を通知するとき、図１４のＲＡＤＩＵＳメッセージフォーマットはＶＬＡＮＩＤ「１００」とＶＬＡＮ名「ｘｘｘｘ」のＶＬＡＮ情報を含む。認証スイッチ４でのみＡＮＤ演算を実行するときは、認証スイッチ６は認証サーバに登録されたＶＬＡＮ名リスト及びＶＬＡＮリストの全てを受信する。

このように、ユーザ認証後、認証サーバ６（認証スイッチ４）は、ステップＳ４（Ｓ２１）で生成した（ｉ）ＶＬＡＮリストと（ｉｉ）ＶＬＡＮＩＤとＶＬＡＮ名の対応マップを参照し、ユーザ端末２へ通知する。認証スイッチ４は受信したＲＡＤＩＵＳメッセージをＥＡＰメッセージに変換して、利用可能なＶＬＡＮＩＤ（ネットワーク）をユーザ端末２に通知する。

認証スイッチ４は、ユーザ端末２に対しアクセスを希望するＶＬＡＮＩＤ（VLAN Name）の問い合わせを行う。ユーザ端末２は、ＶＬＡＮリストを選択可能にディスプレイな
どの表示部に表示しする。ユーザがマウスやキーボードなどの入力装置を用いて、アクセスを希望するＶＬＡＮＩＤを選択し、表示部に表示された「送信」ボタンなど操作する。

ユーザ端末２は、認証スイッチ４からの問い合わせに対して、アクセスを希望するＶＬＡＮＩＤを送信する。図１６に示す例において、ユーザ端末２は、ＶＬＡＮＩＤ「２」を認証スイッチ４へ送信する。

次に、図１７及び図１８を参照して、ユーザ端末２の内部構造と動作について説明する。図１７はユーザ端末２（Supplicant）の内部構造を示す機能ブロック図である。図１８はユーザ端末２の動作を説明するためのフローチャートである。

ユーザ端末２は外部とのデータを送受信するためのインターフェース４２、受信したパケットの種類を判別するパケット判別部４４、受信したＥＡＰパケットを処理するＥＡＰ処理部４６、処理したデータをパケット化するパケット生成部４８、ＣＰＵで処理されたデータを表示するためのモニタなどの表示部５０、キーボードやマウス等のデータを入力及び選択するための入力機器５２を含む。

ユーザ端末２は認証スイッチ４から“EAP Experimental, vlan Request”パケットを受信すると、インターフェース４２を経由してパケット判別部４４へ受信パケットを渡す。パケット判別部４４は受信パケットの種別を判別する（Ｓ９１）。ＥＡＰパケットでない
とき、受信パケットに対して通常の処理を実行する（Ｓ９６）。ＥＡＰパケットであるとき、パケット判別部４４はＥＡＰ処理部４６へＥＡＰパケットを渡す。“EAP Experimental, vlan Request”パケットであると判別したとき、ＥＡＰ処理部４６はＶＬＡＮ選択を促すメッセージを表示させるために、表示部５０へ選択可能なＶＬＡＮリストを渡す。ＥＡＰ処理部４６からデータを受信すると、表示部５０は選択可能なＶＬＡＮリストを表示する（Ｓ９２）。

ユーザが希望するＶＬＡＮＩＤ（VLAN Name）を選択すると、ＥＡＰ処理部は、ユー
ザによって入力されたＶＬＡＮＩＤを含んだフォーマット（図１６）のメッセージを生成する命令をパケット生成部４８に出し、ＥＡＰパケットを送信する（Ｓ９４、Ｓ９５）。

認証スイッチ４は受信したＥＡＰメッセージを図１９に示すＲＡＤＩＵＳメッセージに変換して、認証サーバ６に対してアクセス許可を求める（図１、図２、Ｓ１２）。
＜その他＞
（付記１）
複数のネットワークを示す第１のネットワークリストを記憶する記憶部、
第１の認証プロトコルを使用して複数のネットワークを示す第２のネットワークリストを外部から受信する受信部、
送信用ネットワークリストを生成するために第１のネットワークリストと第２のネットワークリストでＡＮＤ演算を実行する演算部、
前記送信用ネットワークリストを外部へ送信する送信部
を含む通信装置。
（付記２）
前記送信部は前記第１の認証プロトコルと異なる第２の認証プロトコルを使用して前記送信用ネットワークリストを送信する付記１記載の通信装置。
（付記３）
前記演算部は第１のネットワークリストと第２のネットワークリスト間で一致するネットワークのみを含む前記送信用ネットワークリストを生成する付記１記載の通信装置。
（付記４）
前記第１の認証プロトコルはＲＡＤＩＵＳプロトコルである付記１記載の通信装置。
（付記５）
前記第２の認証プロトコルはＥＡＰ（Extensible Authentication Protocol）である付記２記載の通信装置。
（付記６）
前記第２のネットワークリストの送信を要求する送信要求部を更に含む付記１記載の通信装置。
（付記７）
前記通信装置は認証スイッチ又は認証サーバである付記１記載の通信装置。
（付記８）
前記第１のネットワークリストは認証スイッチが使用可能なネットワークを識別するためのネットワーク識別情報であり、前記第２のネットワークリストは、認証サーバに登録されたユーザが利用可能なネットワークを識別するためのネットワーク識別情報である付記７記載の通信装置。
（付記９）
前記第１のネットワークリストは認証サーバに登録されたユーザが利用可能なネットワークを識別するためのネットワーク識別情報であり、前記第２のネットワークリストは認証スイッチが使用可能なネットワークを識別するためのネットワーク識別情報である付記７記載の通信装置。
（付記１０）
コンピュータに、
複数のネットワークを示す第１のネットワークリストを記憶する記憶ステップ、
第１の認証プロトコルを使用して複数のネットワークを示す第２のネットワークリストを外部から受信する受信ステップ、
送信用ネットワークリストを生成するために第１のネットワークリストと第２のネットワークリストでＡＮＤ演算を実行する演算ステップ、
前記送信用ネットワークリストを外部へ送信する送信ステップ
を実行させる通信プログラム。
（付記１１）
前記送信ステップは前記第１の認証プロトコルと異なる第２の認証プロトコルを使用して前記送信用ネットワークリストを送信する付記１０記載の通信プログラム。
（付記１２）
前記演算ステップは第１のネットワークリストと第２のネットワークリスト間で一致するネットワークのみを含む前記送信用ネットワークリストを生成する付記１０記載の通信プログラム。
（付記１３）
前記第１の認証プロトコルはＲＡＤＩＵＳプロトコルである付記１０記載の通信プログラム。
（付記１４）
前記第２の認証プロトコルはＥＡＰ（Extensible Authentication Protocol）である付記１１記載の通信プログラム。
（付記１５）
前記第２のネットワークリストの送信を要求する送信要求ステップを更に含む付記１０記載の通信プログラム。
（付記１６）
コンピュータに、
複数のネットワークを示す第１のネットワークリストを記憶する記憶ステップ、
第１の認証プロトコルを使用して複数のネットワークを示す第２のネットワークリストを外部から受信する受信ステップ、
送信用ネットワークリストを生成するために第１のネットワークリストと第２のネットワークリストでＡＮＤ演算を実行する演算ステップ、
前記送信用ネットワークリストを外部へ送信する送信ステップ
を含む通信方法。
（付記１７）
前記送信ステップは前記第１の認証プロトコルと異なる第２の認証プロトコルを使用して前記送信用ネットワークリストを送信する付記１６記載の通信方法。
（付記１８）
前記演算ステップは第１のネットワークリストと第２のネットワークリスト間で一致するネットワークのみを含む前記送信用ネットワークリストを生成する付記１６記載の通信方法。
（付記１９）
前記第１の認証プロトコルはＲＡＤＩＵＳプロトコルである付記１６記載の通信方法。（付記２０）
前記第２の認証プロトコルはＥＡＰ（Extensible Authentication Protocol）である付記１７記載の通信方法。
（付記２１）
前記第２のネットワークリストの送信を要求する送信要求ステップを更に含む付記１６記載の通信方法。

ユーザ認証及びＶＬＡＮ選択機能を実現するユーザ認証の手順を示すフローチャートである。ユーザ認証及びＶＬＡＮ選択機能を実現するユーザ認証の手順を示すフローチャートである。認証スイッチの内部構造を示す図である。認証スイッチにおいて認証サーバへＶＬＡＮリストを送信する（機能１（Ａ））際の動作を示すフローチャートである。認証スイッチにおいて認証サーバへＶＬＡＮリスト要求を送信する（機能１（Ｂ））際の動作を示すフローチャートである。認証サーバへ送信するＲＡＤＩＵＳメッセージフォーマットの一例を示す図である。認証サーバの内部で送信用ＶＬＡＮリスト（新しいＶＬＡＮリスト）を生成する手順を示す図である。認証サーバの内部構造を示す図である。認証サーバが送信用ＶＬＡＮリストを生成する処理を示すフローチャートである。認証サーバへ送信するＲＡＤＩＵＳメッセージフォーマットの一例を示す図である。認証サーバの内部で送信用ＶＬＡＮリスト（保持しているＶＬＡＮリスト）を生成する手順を示す図である。認証サーバの内部構造を示す図である。認証サーバが送信用ＶＬＡＮリストを生成する処理を示すフローチャートである。認証スイッチへ送信するＲＡＤＩＵＳメッセージフォーマットの一例を示す図である。認証サーバの内部で送信用ＶＬＡＮリストを生成するために使用されるＶＬＡＮリストを示す図である。認証スイッチへ送信するＥＡＰメッセージフォーマットの一例を示す図である。ユーザ端末（Supplicant）の内部構造を示す機能ブロック図である。ユーザ端末（Supplicant）の動作を説明するためのフローチャートである。認証サーバへ送信するＲＡＤＩＵＳメッセージフォーマットの一例を示す図である。ＲＡＤＩＵＳプロトコルにおけるＶｅｎｄｅｒＳｐｅｃｉｆｉｃのデータフォーマットである。ＥＡＰにおけるＥｘｐｅｒｉｍｅｎｔａｌのデータフォーマットである。８０２．１Ｘ認証における従来のユーザ認証処理手順を示すフローチャートである。

符号の説明

２ユーザ端末
４認証スイッチ
６認証サーバ
８スイッチングエンジン
１０パケット判別／処理部
１２パケットバッファメモリ
１４メモリキュー
１６ＥＡＰパケット処理部
１８ＲＡＤＩＵＳパケット処理部
２０パケット生成部
２２ポート番号‐ＶＬＡＮ対応メモリ
２４ポート番号‐ＭＡＣアドレス対応メモリ
２６ＶＬＡＮリスト生成部
２８ＶＬＡＮリスト保持メモリ
３０ＡＮＤ演算部
３２ＶＬＡＮアサイン処理部
３４ＣＰＵ
３６ユーザ情報記憶部
３８ＶＬＡＮ処理部
４０ＲＡＤＩＵＳ処理部
４２インターフェース
４４パケット判別部
４６ＥＡＰ処理部
４８パケット生成部
５０表示部
５２入力機器
１０２ユーザ端末
１０４認証スイッチ
１０６認証サーバ

Claims

ユーザ端末及び他の通信装置と通信可能な通信装置であって、
前記通信装置が前記ユーザ端末と通信可能な複数のネットワークを示す第１のネットワークリストを記憶する記憶部、
第１の認証プロトコルを使用して前記他の通信装置が前記ユーザ端末と通信可能な複数のネットワークを示す第２のネットワークリストを前記他の通信装置から受信する受信部、
前記第１のネットワークリストと前記第２のネットワークリストとの両方に含まれるネットワークを含む送信用ネットワークリストを生成する演算部、
前記送信用ネットワークリストを前記ユーザ端末へ送信する送信部、
を含む通信装置。
前記送信部は前記第１の認証プロトコルと異なる第２の認証プロトコルを使用して前記送信用ネットワークリストを送信する請求項１記載の通信装置。
前記第１の認証プロトコルはＲＡＤＩＵＳプロトコルである請求項１記載の通信装置。
前記第２の認証プロトコルはＥＡＰ（Extensible Authentication Protocol）である請求項２記載の通信装置。
前記第２のネットワークリストの送信を要求する送信要求部を更に含む請求項１記載の通信装置。
前記通信装置は認証スイッチ又は認証サーバである請求項１記載の通信装置。
前記通信装置は認証スイッチであり、前記第１のネットワークリストは認証スイッチが使用可能なネットワークを識別するためのネットワーク識別情報であり、前記第２のネットワークリストは、認証サーバに登録されたユーザが利用可能なネットワークを識別するためのネットワーク識別情報である請求項１記載の通信装置。
前記通信装置は認証サーバであり、前記第１のネットワークリストは認証サーバに登録されたユーザが利用可能なネットワークを識別するためのネットワーク識別情報であり、前記第２のネットワークリストは認証スイッチが使用可能なネットワークを識別するためのネットワーク識別情報である請求項１記載の通信装置。
ユーザ端末及び他の通信装置と通信可能なコンピュータに、
前記コンピュータが前記ユーザ端末と通信可能な複数のネットワークを示す第１のネットワークリストを記憶する記憶ステップ、
第１の認証プロトコルを使用して前記他の通信装置が前記ユーザ端末と通信可能な複数のネットワークを示す第２のネットワークリストを前記他の通信装置から受信する受信ステップ、
前記第１のネットワークリストと前記第２のネットワークリストとの両方に含まれるネットワークを含む送信用ネットワークリストを生成する演算ステップ、
前記送信用ネットワークリストを前記ユーザ端末へ送信する送信ステップ
を実行させる通信プログラム。