JP2009272771A

JP2009272771A - ネットワーク接続制御装置、ネットワークシステム、ネットワーク接続制御方法及びネットワーク接続制御プログラム

Info

Publication number: JP2009272771A
Application number: JP2008119959A
Authority: JP
Inventors: Fumihiko Sugiyama; 文彦杉山
Original assignee: SPRING SOFT KK
Current assignee: SPRING SOFT KK
Priority date: 2008-05-01
Filing date: 2008-05-01
Publication date: 2009-11-19
Anticipated expiration: 2028-05-01
Also published as: JP4858484B2

Abstract

【課題】極めて簡素な導入作業で、企業のネットワークに強力なセキュリティを実現する、新規なネットワーク接続制御装置、及びこれを用いるネットワークシステムを提供する。
【解決手段】端末と社内ＬＡＮとの間にネットワーク接続制御装置を挟み込み、端末を社内ＬＡＮから分離する。ネットワーク接続制御装置は、個人認証情報を生成する装置から個人認証情報を受け取ると、これを認証サーバに送信して認証を受ける。認証を受けたら、内部のファイアウォールの機能を起動する。
【選択図】図４

Description

本発明は、ネットワーク接続制御装置、そしてこのネットワーク接続制御装置を用いたネットワークシステム、ネットワーク接続制御方法及びネットワーク接続制御プログラムに適用して好適な技術に関する。
より詳細には、既存の企業の社内ネットワークに対し、容易にセキュリティ対策を導入できる、ネットワーク接続制御装置と、これを用いるネットワークシステムに関する。

今日、情報を迅速且つ有効に活用するために、社内のコンピュータ及び外部のコンピュータを結ぶネットワークは、企業活動に必要不可欠な存在になっている。その一方で、企業活動を脅かすネットワーク上の脅威が多く台頭している。すなわち、コンピュータウイルス、ＤｏＳ攻撃、情報漏えい等、企業のネットワークは様々な脅威に晒されている。このため、企業のネットワークには様々なセキュリティ対策が施されてきている。そのセキュリティ対策は、ソフトウェア或はハードウェアの製品として導入され、その数は徐々に増えてきている。例えば、端末利用者の個人認証を行う装置、ネットワーク上の通信を監視する装置、端末の挙動を監視する装置等、様々である。

なお、本発明に類似すると思われる先行技術文献を特許文献１に示す。
特開２００７−２９３７１９号公報 Rusty Russell, mailing list netfilter@lists.samba.org, 訳：山森浩幸"Linux 2.4 Packet Filtering HOWTO"、［２００８年４月１４日検索］、インターネット＜URL:http://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO.html＞

ネットワーク及びこれに接続される端末のセキュリティを確保するために導入される製品が増えれば増えるほど、製品の導入作業やメンテナンス作業等により、ネットワーク管理者の負担は増大する。また、端末の動作速度も低下し、一部ではこれらセキュリティ製品の導入によって、迅速な企業活動を却って阻害する状況も生じている。

本発明はかかる点に鑑みてなされたものであり、極めて簡素な導入作業で、企業の社内ネットワークに強力なセキュリティを実現することができる、新規なネットワーク接続制御装置、そしてこれを用いるネットワークシステム、ネットワーク接続制御方法及びネットワーク接続制御プログラムを提供することを目的とする。

上記課題を解決するために、本発明のネットワーク接続制御装置は、認証サーバと接続される第一ネットワークインターフェースと、第一ネットワークインターフェースと認証サーバとの通信を確立するＤＨＣＰクライアントと、第一ネットワークインターフェースとは異なるサブネットを構成して端末と接続される第二ネットワークインターフェースと、ネットワーク構成情報を生成して第二ネットワークインターフェースと端末との通信を確立するＤＨＣＰサーバと、第一ネットワークインターフェースと第二ネットワークインターフェースとの通信のオン・オフを制御する接続制御部と、外部から得られる個人認証情報を認証サーバに送信し、認証サーバから正常な個人認証情報である旨の認証結果を受信すると接続制御部をオン制御する個人認証部とを備えるものである。

端末と社内ＬＡＮとの間にネットワーク接続制御装置を挟み込み、端末を社内ＬＡＮから分離する。ネットワーク接続制御装置は、個人認証情報を生成する装置から個人認証情報を受け取ると、これを認証サーバに送信して認証を受ける。認証を受けたら、内部のファイアウォールの機能を起動する。

本発明により、極めて簡素な導入作業で、企業のネットワークに強力なセキュリティを実現する、新規なネットワーク接続制御装置、及びこれを用いるネットワークシステムを提供できる。

以下、本発明の実施の形態を、図１〜図７を参照して説明する。

図１は、本発明の実施形態の例であるネットワークシステムの概略図である。
本発明のネットワークシステム１０１には、従来の端末及び社内サーバの他に、端末側ネットワーク接続制御装置と上流側ネットワーク接続制御サーバが追加されている。
周知のパソコンよりなる端末１０２には、端末側ネットワーク接続制御装置（以下「ローカルマスタ」）１０３が、ＵＳＢインターフェースを介して接続されている。
ローカルマスタ１０３には個人認証情報生成装置１０４がＵＳＢインターフェースを介して接続されている。
ローカルマスタ１０３はＬＡＮ１０５を通じて上流側ネットワーク接続制御サーバ（以下「ネットワークセンタ」）１０６に接続されている。
ネットワークセンタ１０６には複数の社内サーバ１０７とインターネット１０８が接続されている。

個人認証情報生成装置１０４は任意のものが利用可能である。一例としては、指紋読取装置、虹彩読取装置、静脈読取装置等の生体認証技術を用いた装置の他、暗証番号或はパスワードを入力するテンキー或はＡＳＣＩＩ配列キーボードでもよい。
この実施形態では、指紋読取装置であるものとして説明する。

ローカルマスタ１０３は個人認証情報生成装置１０４である指紋読取装置から指紋特徴データを受信すると、これをネットワークセンタ１０６に送信し、個人認証を試みる。
ネットワークセンタ１０６は受信した指紋特徴データを内部の個人認証マスタ（図５にて後述）と照合して、一定割合以上の特徴量の一致を確認すると、ユーザ認証を許可する旨のメッセージをローカルマスタ１０３に返信する。
ローカルマスタ１０３はこのメッセージを受け取ると、端末１０２とネットワークセンタ１０６側とのＬＡＮ１０５の接続を行う。

図２（ａ）及び（ｂ）はローカルマスタ１０３の外観斜視図である。
図２（ａ）はローカルマスタ１０３を斜め正面から見た外観斜視図である。前面にはＵＳＢ−Ａコネクタ２０２が二つ設けられている。このＵＳＢ−Ａコネクタ２０２には、個人認証情報生成装置１０４が接続される。
図２（ｂ）はローカルマスタ１０３を斜め裏面から見た外観斜視図である。前面にはＵＳＢ−Ｂコネクタ２０３が一つと、ネットワークコネクタ２０４が一つ設けられている。ＵＳＢ−Ｂコネクタ２０３は、図示しないＵＳＢ−Ｂケーブルを通じて端末１０２が接続される。ネットワークコネクタ２０４はＬＡＮ１０５ケーブルが接続され、その先にはネットワークセンタ１０６が接続される。

図３はローカルマスタ１０３のハードウェア構成を示すブロック図である。
マイクロコンピュータよりなるローカルマスタ１０３は、ＣＰＵ３０２、ＲＯＭ３０３、ＲＡＭ３０４、不揮発性ストレージとしてのフラッシュメモリ３０５、第一ＵＳＢインターフェース３０６、第二ＵＳＢインターフェース３０７、そしてＮＩＣ（Network Interface Card）３０８が、バス３０９に接続されている。
ＲＯＭ３０３にはＢＩＯＳの他に、ＯＳのカーネルやライブラリ、そして管理用コマンド等の主要部分が格納されている。ＯＳは例えばＬｉｎｕｘ（登録商標）である。
ローカルマスタ１０３はパソコンである端末１０２からＵＳＢケーブルを介して、電源供給を受ける。つまり、ローカルマスタ１０３はバスパワードデバイスである。

図４はローカルマスタ１０３の機能ブロック図である。ＯＳが起動して定常状態に落ち着くと、図４に示す機能ブロックが構成される。
ローカルマスタ１０３の内部は、二つのネットワークインターフェースが設定される。第一ネットワークインターフェースともいえる第一ＮＩＣ４０２は、図３のＮＩＣ３０８である。
第一ＮＩＣ４０２には、ＤＨＣＰ（Dynamic Host Configuration Protocol）クライアント４０３、個体認証部４０４と個人認証部４０５が稼動状態で接続されている。
ＤＨＣＰクライアント４０３は、ネットワークセンタ１０６に備わっているＤＨＣＰサーバから、ＩＰアドレス、ネットマスク、デフォルトゲートウェイ、ネームリゾルバ等のネットワーク構成情報を受けて、第一ＮＩＣ４０２がネットワークに接続できるようにする。
個体認証部４０４はローカルマスタ１０３自身のＩＤとパスワードを用いて、ネットワークセンタ１０６に認証を行うと共に、ＮＦＳ（Network File System）マウントを要求する。個体認証部４０４の実体はＮＦＳクライアントである。
個体認証部４０４が認証に成功すると、ネットワークセンタ１０６の所定のディスク資源にＮＦＳマウントを行う。これは後述するパケットモニタ４１０の、第一ＮＩＣ４０２側のパケットをログ記録するためである。

個人認証部４０５は、個人認証情報生成装置１０４から出力される個人認証情報をネットワークセンタ１０６に送信し、認証結果を受信する。個人認証部４０５の実体はＬＤＡＰ（Lightweight Directory Access Protocol）クライアントとＮＦＳクライアントである。
個人認証部４０５が認証に成功すると、ネットワークセンタ１０６の所定のディスク資源にＮＦＳマウントを行う。これは後述するパケットモニタ４１０の、第二ネットワークインターフェースともいえる第二ＮＩＣ４０６側のパケットをログ記録するためである。そして、後述する接続制御部４０７を制御し、第一ＮＩＣ４０２と第二ＮＩＣ４０６との間の通信を許可する。

ホスト情報４０８は、ネットワークセンタ１０６の名前（ＦＱＤＮ：Fully Qualified Domain Name：完全修飾ドメイン名）或はＩＰアドレスが記述された定義ファイルである。個人認証部４０５及び個体認証部４０４はこれを頼りにネットワークセンタ１０６へ接続する。なお、第一ＮＩＣ４０２側のネットワーク上にＤＮＳ（Domain Name System）サーバが存在すれば、定義ファイルにＩＰアドレスを記述せずとも、ＦＱＤＮから名前解決（name resolution：ＤＮＳサーバ或はｈｏｓｔｓファイルに問い合わせを行い、ネットワーク上の機器に付されているホスト名或はＦＱＤＮからＩＰアドレスに変換すること。）ができる。そうでない場合、或はＤＮＳサーバにネットワークセンタ１０６のＩＰアドレスを登録していない場合は、ネットワークセンタ１０６のホスト名とＩＰアドレスを／ｅｔｃ／ｈｏｓｔｓに記述することで、ＤＮＳサーバの機能を代用できる。

第二ＮＩＣ４０６には、ＤＨＣＰサーバ４０９が稼動状態で接続されている。ＤＨＣＰサーバ４０９は、端末１０２で稼動するＤＨＣＰクライアント４０３から発されるネットワーク構成情報の要求を受けて、ネットワーク構成情報を送信し、端末１０２が第二ＮＩＣ４０６とネットワーク接続ができるようにする。

ここで、第一ＮＩＣ４０２が接続されるネットワークと、第二ＮＩＣ４０６が接続されるネットワークとは、全く異なるサブネットで構成されている。このため、接続制御部４０７で経路制御を行わない限り、第一ＮＩＣ４０２側に存在するネットワーク機器からは、端末１０２のＩＰアドレスの存在はわからない。

第二ＮＩＣ４０６は端末１０２のＮＩＣとして端末１０２側から認識される、ソフトウェアによって仮想的に構成されるＮＩＣである。Ｌｉｎｕｘ（登録商標）カーネルにはＵＳＢ−ｅｔｈｅｒドライバという名称で存在する。つまり、第二ＮＩＣ４０６は端末１０２のＮＩＣである。端末１０２から見ると、ローカルマスタ１０３はＵＳＢインターフェースで接続されるＮＩＣとして認識される。
このため、第二ＮＩＣ４０６にＩＰアドレスを付与し、ＴＣＰ／ＩＰネットワークを構成する作業は端末１０２の役目である。
したがって、端末１０２のＯＳが内包するＤＨＣＰクライアントを稼動させる必要がある。このため、ローカルマスタ１０３にはＤＨＣＰサーバ４０９が存在する。

接続制御部４０７は、第一ＮＩＣ４０２と第二ＮＩＣ４０６との間に介在し、通過するパケットのヘッダに付されているＩＰアドレスを付け替える機能を備える。これは、Ｌｉｎｕｘ（登録商標）のカーネルに備わっている、ｎｅｔｆｉｌｔｅｒというモジュールによって実現する、パケットフィルタリングの機能であり、ＩＰマスカレード或はＮＡＰＴ（Network Address Port Translation）等と呼ばれる。
実体がｎｅｔｆｉｌｔｅｒである接続制御部４０７を制御する手段が、ｉｐｔａｂｌｅｓというコマンドである。ｉｐｔａｂｌｅｓは、ＲＡＭ３０４内に読み込まれているカーネルの所定の領域に、ネットワークインターフェースを出入りするパケットをどう取り扱うかを記す「ルール」を列挙するためのコマンドである。
また、ｉｐｔａｂｌｅｓによって記述されるルールによって、異常な挙動と思しきパケットをログ記録することができる。
接続制御部４０７とパケットモニタ４１０は、その実体はｎｅｔｆｉｌｔｅｒであり、ｉｐｔａｂｌｅｓによって設定されるものである。

個人認証部４０５は、ネットワークセンタ１０６から認証が正常である旨のメッセージを受けると、接続制御部４０７に対して制御を実行する。具体的には、一例として以下のようなシェルスクリプトを実行することにより、ｉｐｔａｂｌｅｓを実行し、第一ＮＩＣ４０２と第二ＮＩＣ４０６との間においてパケットを通過可能にする。なお、行頭に「＃」が付されている行は説明のためのコメントであり、シェルによって実行されない。

# filterターゲットに対するルール：
# ＩＮＰＵＴ／ＦＯＲＷＡＲＤチェインのポリシーの設定を「ＤＲＯＰ」（破棄）に設定する。
/sbin/iptables -t filter -P INPUT DROP
/sbin/iptables -t filter -P FORWARD DROP
# 第一ＮＩＣ４０２に来る、ＴＣＰポート２２番のパケットだけは入来を許可する。
/sbin/iptables -t filter -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
# 第一ＮＩＣ４０２に来る、内部から発された接続要求に由来するパケットは入来を許可する。
/sbin/iptables -t filter -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
# 第一ＮＩＣ４０２に来る、それ以外のパケットの一部をログ記録する。
/sbin/iptables -t filter -A INPUT -i eth0 -m limit -j LOG
# 第一ＮＩＣ４０２に来る、それ以外のパケットを破棄する。
/sbin/iptables -t filter -A INPUT -i eth0 -j DROP
# 第一ＮＩＣ４０２に来る、端末１０２から発された接続要求に由来するパケットは入来を許可する。
/sbin/iptables -t filter -A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
# 第一ＮＩＣ４０２に来る、それ以外のパケットをログ記録する。
/sbin/iptables -t filter -A FORWARD -i eth0 -m limit -j LOG
# 第一ＮＩＣ４０２に来る、それ以外のパケットを破棄する。
/sbin/iptables -t filter -A FORWARD -i eth0 -j DROP
# 第二ＮＩＣ４０６から来たパケットの一部をログ記録する。
/sbin/iptables -t filter -A FORWARD -i eth1 -m limit -j LOG
# 第二ＮＩＣ４０６から来たパケットの一部を解析用にネットワークセンタ１０６に送る。
/sbin/iptables -t filter -A FORWARD -i eth1 -m limit -j QUEUE
# 第二ＮＩＣ４０６から来たパケットの全ての転送を許容する。
/sbin/iptables -t filter -A FORWARD -i eth1 -j ACCEPT
# natターゲットに対するルール：
# 第二ＮＩＣ４０６から来たパケットのＩＰアドレスを書き換える（ＩＰマスカレード）。
/sbin/iptables -t nat -A POSTROUTING -i eth1 -o eth0 -j MASQUERADE

上述のシェルスクリプト中、「ｅｔｈ０」はカーネルが認識する第一ＮＩＣ４０２であり、「ｅｔｈ１」はカーネルが認識する第二ＮＩＣ４０６である。
ｉｐｔａｂｌｅｓによってもたらされるこれらルールは、典型的なパケットフィルタリングファイアウォールを実現する。
なお、ＴＣＰポート２２番だけを開けているのは、ネットワークセンタ１０６からＳＳＨ（Secure SHell）による接続を許容するためである。

上述のシェルスクリプトに記述される、ｉｐｔａｂｌｅｓのルールを工夫するだけで、ＤｏＳ（Denial of Services）攻撃を始めとする様々な外部からの不正アクセス等から端末１０２を防御することができる。

上述のシェルスクリプト中、ｉｐｔａｂｌｅｓの「ＱＵＥＵＥ」ターゲットが指定されているコマンド行では、端末１０２から発され第二ＮＩＣ４０６から来たパケットの一部が取り出され、ｉｐ＿ｑｕｅｕｅモジュールに渡される。パケットモニタ４１０には、その内部にｉｐ＿ｑｕｅｕｅモジュールからパケットを取り出して、解析用にネットワークセンタ１０６に送るプログラムが組み込まれている。ネットワークセンタ１０６は、図５で後述するアクセス解析部５１１にてパケットの解析を行い、不正なアクセスであると判断した時には、アクセス制御部５１２からパケットモニタ４１０を介して、接続制御部４０７をオフ制御する。
以上より、ネットワークセンタ１０６は、端末１０２に対する通信を監視するモニタ装置でもある。

また、パケットモニタ４１０が異常なパケットを検出した時に接続を遮断する際には、一例として以下のようなシェルスクリプトを実行する。

# ＩＰマスカレードの設定を消去する。
/sbin/iptables -t nat -F POSTROUTING
# フィルタリングの設定を消去する。
/sbin/iptables -t filter -F INPUT
/sbin/iptables -t filter -F FORWARD
# 第一ＮＩＣ４０２に来る、ＴＣＰポート２２番のパケットだけは入来を許可する。
/sbin/iptables -t filter -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT

以上のようなフィルタリングのルールは、非特許文献１にルールを作成するための技術内容が開示されている。

ログ記録は、パケットモニタ４１０が構成する、ごく小容量の記憶領域に書き出された後、第一ＮＩＣ４０２のＮＦＳマウントされているネットワークディスク資源に、第一ＮＩＣ４０２と第二ＮＩＣ４０６の記録に分けて書き出される。

図５はネットワークセンタ１０６の機能ブロック図である。ネットワークセンタ１０６のハードウェア構成も、周知のパソコン等と同じ、サーバ機器であるので、ハードウェア構成の図示は省略する。
ネットワークセンタ１０６も、Ｌｉｎｕｘ（登録商標）が稼動する。勿論、ＢＳＤ系等、他のＰＯＳＩＸ系ＯＳでもよい。
ＮＩＣ５０２には、ＤＨＣＰサーバ５０３が接続され、稼動する。ＤＨＣＰサーバ５０３は複数のローカルマスタ１０３にネットワーク構成情報を提供する。
個体ログ記録部５０４はＮＦＳサーバである。個体認証マスタ５０５の実体は「／ｅｔｃ／ｐａｓｓｗｄ」である。つまり、ローカルマスタ１０３の個体認証部４０４に格納されているユーザＩＤは、ネットワークセンタ１０６に登録されているユーザアカウントと等しい。個体ログ領域５０６は各ユーザアカウントのホームディレクトリ配下に設けられた、ＮＦＳマウントポイントである。
ここに、ローカルマスタ１０３の第一ＮＩＣ４０２にて採取される異常パケットがパケットモニタ４１０によって検出され、ログ記録が行われる。

個人認証部５０７の実体は、ＬＤＡＰサーバである。個人認証マスタ５０８は、個人認証情報生成装置１０４が発する個人認証情報に対応するデータが格納されている。
個人ログ記録部５０９はＮＦＳサーバである。個人ログ領域５１０は個人認証マスタ５０８に登録されている各ユーザアカウントに向けて設けられた、ＮＦＳマウントポイントである。ここに、ローカルマスタ１０３の第二ＮＩＣ４０６にて採取される異常パケットがパケットモニタ４１０によって検出され、ログ記録が行われる。
また、パケットモニタ４１０によって採取される、端末１０２から発され第二ＮＩＣ４０６から来たパケットの一部も個人ログ記録部５０９を通じて個人ログ領域５１０に記録される。そして、これら記録されたパケットの中身がアクセス解析部５１１によって解析される。

ここで、パケットモニタ４１０によって採取される、端末１０２から発され第二ＮＩＣ４０６から来たパケットの一部を「異常パケット」と記さないのには理由がある。第二ＮＩＣ４０６から発されるパケットのどれが異常或は悪意あるアクセスなのかを特定することは、ローカルマスタ１０３内のｉｐｔａｂｌｅｓのルールだけでは判別が困難である。そこで、先のシェルスクリプトでは、端末１０２から発される、外部へ発されるパケットの一部に限定して記録する。これがｉｐｔａｂｌｅｓの「-m limit」オプションである。このオプションが指定されると、最初のアクセス要求から５パケット分だけを指定することとなる。アクセス解析部５１１は、このパケットを解析して、異常或は悪意あるアクセスであるのかを判別する。

アクセス制御部５１２は、アクセス解析部５１１が異常或は悪意あるアクセスであると判別した結果を受けて、対象となるローカルマスタ１０３のパケットモニタ４１０に、接続を遮断する命令を発する。具体的には、ＳＳＨクライアントであり、対象となるローカルマスタ１０３にＳＳＨログインして、ｉｐｔａｂｌｅｓを実行する。

図６と図７は、ネットワーク内の各機器の動作を記したシーケンス図である。
端末１０２の電源を投入すると（Ｓ６０１）、端末１０２はＯＳを読み込み、ブートを開始する（Ｓ６０２）。程なくして、端末１０２のＵＳＢインターフェース３０６が活性化され、ＵＳＢインターフェース３０６からバスパワーが供給されるようになる（Ｓ６０３）。すると、ＵＳＢケーブルを通じて端末１０２に接続されているローカルマスタ１０３に、ＵＳＢケーブルのバスパワーが供給され、電源が投入される（Ｓ６０４）。すると、ローカルマスタ１０３も端末１０２と同様にＯＳを読み込み、ブートを開始する（Ｓ６０５）。

ローカルマスタ１０３のＯＳがブートを開始すると、図示しない不揮発性ストレージに構成されているファイルシステムの／ｅｔｃ／ｉｎｉｔ．ｄ／ディレクトリ以下に格納されている、種々のシェルスクリプトを所定の順番に起動する。それらシェルスクリプト群の中には、ＤＨＣＰサーバ４０９とＤＨＣＰクライアント４０３を起動するシェルスクリプトも存在しており、それぞれ他のプログラムと共に起動される（Ｓ６０６、Ｓ６０７）。なお、ｉｐｔａｂｌｅｓによる接続制御部４０７のルーティング機能は、これらには含まれていないので、初期状態の時点ではルーティングオフとなっている（Ｓ６０８）。

一方、端末１０２ではＯＳのブート（Ｓ６０２）の後、ＤＨＣＰクライアント４０３が起動する（Ｓ６０９）。端末１０２の図示しないＤＨＣＰクライアントはブロードキャストパケットを発して、ネットワーク上に存在するであろうＤＨＣＰサーバに対してネットワーク構成情報を要求する（Ｓ６１０）。ローカルマスタ１０３のＤＨＣＰサーバ４０９が起動していないうちは、構成情報の取得に失敗する（Ｓ６１１）。しかし、ＤＨＣＰサーバ４０９が起動した後では（Ｓ６１２）、ＤＨＣＰサーバ４０９は端末１０２のＤＨＣＰクライアントが発したブロードキャストパケットを受信すると、ネットワーク構成情報を端末１０２のＤＨＣＰクライアントへ送信する（Ｓ６１３）。ＤＨＣＰクライアント４０３がネットワーク構成情報を受信すると、ネットワークの構成が完了する（Ｓ６１４）。これ以降は端末１０２とローカルマスタ１０３間の通信が可能になる。しかし、この時点ではルーティングがオフになっている（Ｓ６０８）ので、ローカルマスタ１０３を経由して社内サーバ１０７へ接続を試みようとしても（Ｓ６１５）失敗する（Ｓ６１６）。

ステップＳ６０５にて、ローカルマスタ１０３のＯＳがブートし、初期動作のための／ｅｔｃ／ｉｎｉｔ．ｄ／ディレクトリ配下にあるシェルスクリプトが起動されると、ＤＨＣＰクライアント４０３も起動する（Ｓ６０７）。すると、ＤＨＣＰクライアント４０３はブロードキャストパケットを発して、ネットワーク上に存在するであろうＤＨＣＰサーバに対してネットワーク構成情報を要求する（Ｓ６１７）。ネットワークセンタ１０６のＤＨＣＰサーバ５０３はこのブロードキャストパケットを受信すると、ＤＨＣＰクライアント４０３に対してネットワーク構成情報を送信する（Ｓ６１８）。ＤＨＣＰクライアント４０３がネットワーク構成情報を受信すると、第一ＮＩＣ４０２にＩＰアドレスが付与され、ネットワークの構成が完了する（Ｓ６１９）。これ以降、ローカルマスタ１０３はネットワークセンタ１０６や社内サーバ１０７、或はインターネット１０８等との通信が可能になる。

ローカルマスタ１０３の第一ＮＩＣ４０２側のネットワークの構成が完了すると（Ｓ６１９）、個体認証部４０４が起動し、ネットワークセンタ１０６へ個体認証とＮＦＳマウントを要求する（Ｓ６２０）。ネットワークセンタ１０６の個体ログ記録部５０４はその要求を受け取り、個体認証の後ＮＦＳマウントを許可する（Ｓ６２１）。ローカルマスタ１０３はこれを受けて、ネットワークセンタ１０６の個体ログ領域５０６をＮＦＳマウントする（Ｓ６２２）。これ以降、個体ログ領域５０６へログ記録が可能になる（図７のＳ７２３）。

ローカルマスタ１０３に接続されている、個人認証情報生成装置１０４である指紋読取装置に指紋を読み取らせると、指紋読取装置は指紋特徴データを生成する。そして、指紋特徴データは個人認証部４０５に送られる。個人認証部４０５はこの指紋特徴データをＬＤＡＰプロトコルを用いてネットワークセンタ１０６に送信し、個人認証を要求すると共に、ＮＦＳマウントも要求する（Ｓ７２４）。
ネットワークセンタ１０６の個人認証部５０７は指紋特徴データを受信すると、その認証を行う。そして、個人ログ記録部５０９を制御してＮＦＳマウントを許可する（Ｓ７２５）。
個人認証が正常に行われた旨のメッセージはローカルマスタ１０３の個人認証部４０５に返信され、ＮＦＳマウントも実行される（Ｓ７２６）。

その後、個人認証部４０５は接続制御部４０７に対し、ルーティングを有効にするべく命ずる。実際は、先に示したシェルスクリプトにてｉｐｔａｂｌｅｓを実行し、ｎｅｔｆｉｌｔｅｒのＩＰマスカレード機能を有効にする（Ｓ７２７）。

これ以降は、端末１０２がローカルマスタ１０３を経由して社内サーバ１０７へ接続を試みると（Ｓ７２８）、接続制御部４０７内でパケットに付されている送信元ＩＰアドレスの書き換えが行われ（Ｓ７２９）、社内サーバ１０７に接続要求が送信できる。社内サーバ１０７は、接続要求を受信すると、当該端末１０２を使用しているユーザは個人認証済みであるか否かを、ネットワークセンタ１０６の個人認証部５０７に問い合わせる（Ｓ７３０）。ネットワークセンタ１０６の個人認証部５０７は個人認証結果の情報を社内サーバ１０７へ返信する（Ｓ７３１）。社内サーバ１０７は当該ユーザが正常に個人認証を済ませていることを確認すると、アクセスを許可し、端末１０２から要求された内容（コンテンツ）を返信する（Ｓ７３２）。コンテンツが格納されているパケットの送信先ＩＰアドレスはローカルマスタ１０３の接続制御部４０７で再び変換されて（Ｓ７３３）、端末１０２に届く（Ｓ７３４）。

本実施形態には、以下のような応用例が考えられる。
（１）上述の実施形態では、ネットワークセンタ１０６は一種の認証サーバの機能を提供しているが、更にルータとしての機能を持たせることもできる。つまり、端末１０２が社内サーバ１０７やインターネット１０８へアクセスする際には、必ずルータであるネットワークセンタ１０６を通過しなければならない、という実装にすることもできる。

（２）ネットワークセンタ１０６にはＬＤＡＰサーバである個人認証部５０７と共にＤＨＣＰサーバ５０３も内包しているが、ＤＨＣＰサーバ５０３は外部に存在していてもよい。特に、既にＤＨＣＰサーバが存在する既存の社内ＬＡＮにネットワークセンタ１０６を設置する場合、ＤＨＣＰサーバ５０３の機能は無効にすることが必要になる。

（３）端末とローカルマスタをＵＳＢケーブルで接続する代わりに、ＬＡＮケーブルで接続することもできる。
前述の実施形態では、端末１０２とローカルマスタ１０３の間はＵＳＢケーブルで接続されていた。このため、第二ＮＩＣ４０６はソフトウェアＮＩＣで構成されていた。これが、ＬＡＮケーブルで接続する場合には、第二ＮＩＣをハードウェアＮＩＣで構成することとなる。
図８（ａ）及び（ｂ）は、端末とローカルマスタとの間の接続形態の違いを説明するためのブロック図である。
図８（ａ）は、前述のローカルマスタ１０３の接続形態を示す図である。但し、ローカルマスタ１０３内のネットワーク構成に直接関係しない部分の図示は省略している。
図８（ａ）において、ローカルマスタ１０３は端末１０２とＵＳＢケーブル８０８で接続されている。このローカルマスタ１０３内のＤＨＣＰサーバ４０９は、端末１０２内のＤＨＣＰクライアント８０２から発されるネットワーク構成情報の要求を受けると、ＤＨＣＰクライアント８０２にネットワーク構成情報を提供する。すると、ＤＨＣＰクライアント８０２はローカルマスタ１０３内の第二ＮＩＣ４０６に、ＤＨＣＰサーバ４０９から貸与されたＩＰアドレスを割り当てる。

図８（ｂ）は、端末１０２とＬＡＮケーブルで接続される別のローカルマスタ８０３の接続形態を示す図である。ローカルマスタ８０３はローカルマスタ１０３と実質的に殆ど同じ構成である。唯一、第二ＮＩＣがハードウェアＮＩＣで構成されており、端末１０２に装備されているＮＩＣ８０４とＬＡＮケーブル８０９を介して接続されている点が異なる。
ローカルマスタ８０３内のＤＨＣＰサーバ４０９は、端末１０２のＤＨＣＰクライアント８０２から発されるネットワーク構成情報の要求を受けると、ＤＨＣＰクライアント８０２にネットワーク構成情報を提供する。すると、ＤＨＣＰクライアント８０２は端末１０２内部のＮＩＣ８０４にＤＨＣＰサーバ４０９から貸与されたＩＰアドレスを割り当てる。
ここで、図８（ａ）のローカルマスタ１０３と図８（ｂ）のローカルマスタ８０３とでは、第二ＮＩＣの役割が異なる。
図８（ａ）のローカルマスタ１０３の第二ＮＩＣ４０６は、端末１０２のＮＩＣとして用いられる。
図８（ｂ）のローカルマスタ８０３の第二ＮＩＣ８０５は、端末１０２のＮＩＣとしてではなく、端末１０２に装備されているＮＩＣと通信するためのものである。このため、第二ＮＩＣ８０５は、予め固定のプライベートＩＰアドレス８０６が設定されている。
以上のように、図８（ａ）と（ｂ）とでは、ネットワークの構成は若干変わる。しかし、いずれの場合でも、ＤＨＣＰサーバ４０９が必要であることに変わりはない。

（４）ローカルマスタをパソコン用拡張ボードとして形成することができる。
図９は端末とパソコン用拡張ボードとして形成したローカルマスタを示す概略図である。
パソコンである端末１０２を開けると、内部のマザーボード９０４にはＰＣＩスロット９０２が設けられている。ローカルマスタ９０３は、このＰＣＩスロット９０２に装着できるＰＣＩ拡張ボードとして形成されている。
図１０はローカルマスタ９０３のネットワーク構成を示す概略ブロック図である。
図１０に示す機能ブロックの構成は、図８（ａ）で示した構成と殆ど変わらない。図８（ａ）のローカルマスタ１０３は、端末１０２とはＵＳＢインターフェース３０６を用いて接続されていた。一方、図１０では、図８（ａ）のＵＳＢインターフェース３０６の代わりに、ＰＣＩインターフェース１００２が置き換わっている。つまり、ローカルマスタ９０３と端末１０２は、ＰＣＩスロット９０２及び１００４を通じて、図示しない端末１０２のＰＣＩバスとＰＣＩインターフェース１００２が接続されることによって相互通信を確立する。
図９に示すローカルマスタ９０３は、図２に示すローカルマスタ１０３と異なり、ケース等を用いないので製造コストの面で有利である。

（５）ネットワークはＩＰｖ４であってもＩＰｖ６であってもよい。

本実施形態では、ネットワークシステム、及びこれに用いられる端末側ネットワーク接続制御装置と上流側ネットワーク接続制御サーバを開示した。
従来、端末であるパソコンは社内ＬＡＮに直接接続されていた。このため、ネットワーク及び端末自身のセキュリティを確保するためのソフトウェアを、端末に導入しなければならなかった。
本実施形態のネットワークシステムは、端末側ネットワーク接続制御装置を用いて、端末を社内ＬＡＮから分離した。そして、上流側ネットワーク接続制御サーバと協調動作することで、端末側ネットワーク接続制御装置に個人認証の仕組みと、これによって起動されるファイアウォールの機能を導入した。
この、個人認証機能を導入することにより、第三者による端末の不正使用を防止できる。仮に端末を不正利用できたとしても、個人認証が完遂されない限り、端末は社内ＬＡＮへ接続できないので、社内サーバ等を含む社内ＬＡＮ全体の安全を確保できる。
また、パケットフィルタリングファイアウォール機能により、端末に対する不正アクセスに対して端末を防御できる。
更に、端末と社内ＬＡＮとの間を通過するパケットの監視ができるので、端末から不用意なサイトへのアクセスを遮断することもできる。

以上に列挙した機能は、従来では端末にソフトウェアを沢山インストールする必要があった。本実施形態では、端末側ネットワーク接続制御装置がそれを肩代わりする形態となる。つまり、端末側にセキュリティのためのソフトウェアをインストールする手間が省けるので、ネットワーク管理が極めて容易になる。

以上、本発明の実施形態例について説明したが、本発明は上記実施形態例に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、他の変形例、応用例を含むことは言うまでもない。

本発明の実施形態の例であるネットワークシステムの概略図である。ローカルマスタの外観斜視図である。ローカルマスタのハードウェア構成を示すブロック図である。ローカルマスタの機能ブロック図である。ネットワークセンタの機能ブロック図である。ネットワーク内の各機器の動作を記したシーケンス図である。ネットワーク内の各機器の動作を記したシーケンス図である。端末とローカルマスタとの間の接続形態の違いを説明するブロック図である。端末とパソコン用拡張ボードとして形成したローカルマスタを示す概略図である。ローカルマスタのネットワーク構成を示す概略ブロック図である。

符号の説明

１０１…ネットワークシステム、１０２…端末、１０３…ローカルマスタ、１０４…個人認証情報生成装置、１０５…ＬＡＮ、１０６…ネットワークセンタ、１０７…社内サーバ、１０８…インターネット、２０２…ＵＳＢ−Ａコネクタ、２０３…ＵＳＢ−Ｂコネクタ、２０４…ネットワークコネクタ、３０２…ＣＰＵ、３０３…ＲＯＭ、３０４…ＲＡＭ、３０５…フラッシュメモリ、３０６…第一ＵＳＢインターフェース、３０７…第二ＵＳＢインターフェース、３０８…ＮＩＣ、３０９…バス、４０２…第一ＮＩＣ、４０３…ＤＨＣＰクライアント、４０４…個体認証部、４０５…個人認証部、４０６…第二ＮＩＣ、４０７…接続制御部、４０８…ホスト情報、４０９…ＤＨＣＰサーバ、４１０…パケットモニタ、５０２…ＮＩＣ、５０３…ＤＨＣＰサーバ、５０４…個体ログ記録部、５０５…個体認証マスタ、５０６…個体ログ領域、５０７…個人認証部、５０８…個人認証マスタ、５０９…個人ログ記録部、５１０…個人ログ領域、５１１…アクセス解析部、５１２…アクセス制御部、８０２…ＤＨＣＰクライアント、８０３…ローカルマスタ、８０４…ＮＩＣ、８０５…第二ＮＩＣ、８０６…プライベートＩＰアドレス、８０８…ＵＳＢケーブル、８０９…ＬＡＮケーブル、９０２…ＰＣＩスロット、９０３…ローカルマスタ、９０４…マザーボード、１００２…ＰＣＩインターフェース、１００４…ＰＣＩスロット

Claims

認証サーバと接続される第一ネットワークインターフェースと、
前記第一ネットワークインターフェースと前記認証サーバとの通信を確立するＤＨＣＰクライアントと、
前記第一ネットワークインターフェースとは異なるサブネットを構成して端末と接続される第二ネットワークインターフェースと、
ネットワーク構成情報を生成して前記第二ネットワークインターフェースと前記端末との通信を確立するＤＨＣＰサーバと、
前記第一ネットワークインターフェースと前記第二ネットワークインターフェースとの通信のオン・オフを制御する接続制御部と、
外部から得られる個人認証情報を前記認証サーバに送信し、前記認証サーバから正常な個人認証情報である旨の認証結果を受信すると前記接続制御部をオン制御する個人認証部と
を備えるネットワーク接続制御装置。
前記接続制御部は、前記個人認証部にてオン制御されると、前記第一ネットワークインターフェースと前記第二ネットワークインターフェースとの間を通過するパケットに付されているＩＰアドレスを書き換える請求項１記載のネットワーク接続制御装置。
更に、
前記端末から発されて前記第一ネットワークインターフェースを介して前記第二ネットワークインターフェースを通過するパケットの一部を前記第二ネットワークインターフェースに接続されている所定のモニタ装置に送信するパケットモニタを備える請求項２記載のネットワーク接続制御装置。
任意の個人認証情報送信元から前記個人認証情報を受信すると前記個人認証情報送信元に認証結果を送信する認証サーバと、
端末と、
前記個人認証情報を生成する個人認証情報生成装置と、
ネットワーク構成情報を生成する第一のＤＨＣＰサーバと、
前記認証サーバ及び前記第一のＤＨＣＰサーバと接続される第一ネットワークインターフェースと、前記第一のＤＨＣＰサーバからネットワーク構成情報を受信して前記第一ネットワークインターフェースと前記認証サーバとの通信を確立するＤＨＣＰクライアントと、前記第一ネットワークインターフェースとは異なるサブネットを構成して前記端末と接続される第二ネットワークインターフェースと、ネットワーク構成情報を生成して前記第二ネットワークインターフェースと前記端末との通信を確立する第二のＤＨＣＰサーバと、前記第一ネットワークインターフェースと前記第二ネットワークインターフェースとの通信のオン・オフを制御する接続制御部と、前記個人認証情報生成装置から得られる前記個人認証情報を前記認証サーバに送信し、前記認証サーバから正常な個人認証情報である旨の認証結果を受け取ると前記接続制御部をオン制御する個人認証部とを備えるネットワーク接続制御装置と
を具備するネットワークシステム。
前記第一のＤＨＣＰサーバは前記認証サーバと一体的に設けられている、請求項４記載のネットワークシステム。
個人認証情報生成装置によって個人認証情報を生成する個人認証情報生成ステップと、
前記個人認証情報生成装置に接続されている個人認証部が前記個人認証情報を認証サーバに送信する個人認証情報送信ステップと、
前記認証サーバが受信した前記個人認証情報に基づいて認証結果を前記個人認証部に返信する認証結果返信ステップと、
前記認証サーバから前記個人認証部に返信された前記認証結果が正常である場合に前記個人認証部が接続制御部をオン制御して、端末が属するネットワークと前記認証サーバが属するネットワークとを接続するネットワーク接続ステップと
を含むネットワーク接続制御方法。
認証サーバとネットワーク接続する第一インターフェース機能と、
ネットワーク構成情報を受信して前記第一インターフェース機能と前記認証サーバとの通信を確立するＤＨＣＰクライアント機能と、
端末とネットワーク接続する第二インターフェース機能と、
前記端末にネットワーク構成情報を送信して前記第二インターフェース機能と前記端末との通信を確立するＤＨＣＰサーバ機能と、
前記第一ネットワークインターフェース機能と前記第二ネットワークインターフェース機能との通信のオン・オフを制御する接続制御機能と、
個人認証情報生成装置が生成した個人認証情報を前記第二インターフェース機能を通じて前記認証サーバに送信し、前記認証サーバから返信された認証結果が正常である場合に前記接続制御機能をオン制御する個人認証機能と
をコンピュータに実行させるネットワーク接続制御プログラム。