特許 7540991 ネットワークシステムおよびネットワーク認証方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-08-19

(45)【発行日】2024-08-27

(54)【発明の名称】ネットワークシステムおよびネットワーク認証方法

(51)【国際特許分類】

   G06F 21/45 20130101AFI20240820BHJP

   G06F 21/31 20130101ALI20240820BHJP

   H04W 12/06 20210101ALI20240820BHJP

   H04W 12/72 20210101ALI20240820BHJP

【ＦＩ】

G06F21/45

G06F21/31

H04W12/06

H04W12/72

【請求項の数】 5

(21)【出願番号】P 2021211079

(22)【出願日】2021-12-24

(65)【公開番号】P2023095282

(43)【公開日】2023-07-06

【審査請求日】2023-07-21

(73)【特許権者】

【識別番号】300059979

【氏名又は名称】エイチ・シー・ネットワークス株式会社

(74)【代理人】

【識別番号】110002066

【氏名又は名称】弁理士法人筒井国際特許事務所

(72)【発明者】

【氏名】古橋 涼

(72)【発明者】

【氏名】益子 秀隆

(72)【発明者】

【氏名】江藤 馨

【審査官】吉田 歩

(56)【参考文献】

【文献】特開２００６－０９２０１８（ＪＰ，Ａ）

【文献】特開２０１２－２１６１３０（ＪＰ，Ａ）

【文献】特開２０１４－０２６３８３（ＪＰ，Ａ）

【文献】特開２００７－１０２５２０（ＪＰ，Ａ）

【文献】特開２０１０－０６２６６２（ＪＰ，Ａ）

【文献】特開２０１５－０５０４９６（ＪＰ，Ａ）

【文献】特開２０１６－１１０３００（ＪＰ，Ａ）

【文献】特開２００３－３２４４５７（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／４５

Ｇ０６Ｆ ２１／３１

Ｈ０４Ｗ １２／０６

Ｈ０４Ｗ １２／７２

(57)【特許請求の範囲】

【請求項1】

第１の認証用装置と、
ユーザ端末と前記第１の認証用装置との間に介在する第２の認証用装置と、を備え、
前記第２の認証用装置は、
第２の記憶装置を有し、
前記ユーザ端末から、ＩＤ、パスワード、およびＭＡＣアドレスを含むユーザ情報を受信する処理と、
前記第１の認証用装置と通信することにより前記受信したユーザ情報に含まれるＩＤおよびパスワードに基づく認証成否の結果を得る処理と、
認証成功済みのユーザ情報としてのＩＤおよびＭＡＣアドレスを前記第２の記憶装置に記録する記録処理と、
前記第１の認証用装置との通信の異常を検知する検知処理と、
前記通信の異常を検知している場合に、前記ユーザ端末から受信したユーザ情報としてのＩＤおよびＭＡＣアドレスを、前記第２の記憶装置に記憶されている認証成功済みのユーザ情報と照合することにより、前記ユーザ端末の認証成否を判定する判定処理と、を実行し、
前記判定処理において、前記ユーザ端末からのＩＤおよびＭＡＣアドレスが前記第２の記憶装置に記憶されている場合に、認証成功と判定し、
前記第１の認証用装置は、
認証を成功させるユーザ情報としてのＩＤおよびパスワードが記憶されている第１の記憶装置を有し、
前記第２の認証用装置から受信されたユーザ情報としてのＩＤおよびパスワードを前記第１の記憶装置に記憶されているユーザ情報と照合する照合処理を実行する、
ネットワークシステム。

【請求項2】

請求項１に記載のネットワークシステムにおいて、
前記第１の認証用装置は、
前記照合処理による照合結果に基づいて、前記認証成否を判定する処理と、
前記認証成否の結果を前記第２の認証用装置に送信する処理と、を実行する、
ネットワークシステム。

【請求項3】

請求項１に記載のネットワークシステムにおいて、
前記第１の認証用装置は、
前記照合処理による照合結果を前記第２の認証用装置に送信する処理を実行し、
前記第２の認証用装置は、
前記第１の認証用装置から受信した照合結果に基づいて前記認証成否を判定する処理、を実行する、
ネットワークシステム。

【請求項4】

請求項１から請求項３のいずれか一項に記載のネットワークシステムにおいて、
前記第２の認証用装置は、中継装置を介して前記ユーザ端末と接続される、
ネットワークシステム。

【請求項5】

ユーザ端末と第１の認証用装置との間に介在する第２の認証用装置に、
前記ユーザ端末から、ＩＤ、パスワード、およびＭＡＣアドレスを含むユーザ情報を受信する処理と、
前記第１の認証用装置と通信することにより前記受信したユーザ情報に含まれるＩＤおよびパスワードに基づく認証成否の結果を得る処理と、
認証成功済みのユーザ情報としてのＩＤおよびＭＡＣアドレスを、前記第２の認証用装置が有する第２の記憶装置に記録する記録処理と、
前記第１の認証用装置との通信の異常を検知する処理と、
前記通信の異常を検知している場合に、前記ユーザ端末から受信したユーザ情報としてのＩＤおよびＭＡＣアドレスを、前記第２の記憶装置に記憶されている認証成功済みのユーザ情報と照合することにより、前記ユーザ端末の認証成否を判定する判定処理と、を実行させ、
前記判定処理において、前記ユーザ端末からのＩＤおよびＭＡＣアドレスが前記第２の記憶装置に記憶されている場合に、認証成功と判定し、
前記第１の認証用装置に、
前記第２の認証用装置から受信されたユーザ情報としてのＩＤおよびパスワードを、前記第１の認証用装置が有する第１の記憶装置に記憶されている、認証を成功させるユーザ情報としてのＩＤおよびパスワードと照合する照合処理を実行させる、
ネットワーク認証方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワークシステムおよびネットワーク認証方法に関する。

【背景技術】

【0002】

ユーザの認証が行われるネットワークシステムの一例として、ユーザ端末と、認証スイッチ等の中継装置と、認証用装置とを含むネットワークシステムが知られている。当該ネットワークシステムでは、正規ユーザのユーザ情報（認証情報）が記録されている登録リストを認証用装置に記憶させておく。ユーザ端末は、認証を得るためにユーザ情報を中継装置経由で認証用装置に送信する。認証用装置は、受信したユーザ情報を、記憶しているリスト内のユーザ情報と照合し、合致すれば認証成功を表す情報を中継装置に送信する。

【0003】

ところで、このようなネットワークシステムにおいて、認証用装置との通信に異常が発生すると、ユーザ端末の認証ができなくなる。このような背景の下、認証用装置との通信に異常が発生した場合であっても認証を可能にする技術が検討されている。

【0004】

例えば、特許文献１は、複合機が認証サーバと接続できないときに、複合機に設けた代替認証機能によって認証を行う複合機制御システムを開示している。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２０１１－０９５７９３号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、特許文献１により開示された技術によれば、代替認証機能を有する機器に、認証に必要なユーザ情報を予め記憶させる作業が必要になる。また、認証に必要なユーザ情報に変更が生じた場合には、認証サーバが記憶するユーザ情報だけでなく、代替認証機能を有する機器が記憶するユーザ情報も更新する作業が必要になる。このように、代替認証機能を有する機器にユーザ情報を記憶させたり、記憶するユーザ情報を更新したりする作業は非常に煩雑であり、管理コストも増大する。

【0007】

上記事情により、煩雑な作業を不要としつつ、認証用装置との通信に異常が発生した場合であっても、ネットワークに接続するユーザ端末の認証処理を行うことができる技術が望まれている。

【課題を解決するための手段】

【0008】

一実施形態によるネットワークシステムは、
第１の認証用装置と、ユーザ端末と前記第１の認証用装置との間に介在する第２の認証用装置と、を備え、前記第２の認証用装置は、第２の記憶装置を有し、前記ユーザ端末からユーザ情報を受信する処理と、前記第１の認証用装置と通信することにより前記ユーザ情報に基づく認証成否の結果を得る処理と、認証成功済みのユーザ情報を前記第２の記憶装置に記録する記録処理と、前記第１の認証用装置との通信の異常を検知する検知処理と、前記通信の異常を検知している場合に、前記ユーザ端末からのユーザ情報を前記第２の記憶装置に記憶されているユーザ情報と照合することにより、前記ユーザ端末の認証成否を判定する判定処理と、を実行する、ネットワークシステムである。

【発明の効果】

【0009】

一実施形態によれば、煩雑な作業を不要としつつ、認証用装置との通信に異常が発生した場合であっても、ネットワークに接続するユーザ端末の認証処理を行うことができる。

【図面の簡単な説明】

【0010】

【図1】実施形態１に係るネットワークシステムの構成を模式的に示す図である。

【図2】実施形態１における通信異常なしの場合の処理フローを示す図である。

【図3】実施形態１における通信異常ありの場合の処理フローを示す図である。

【図4】実施形態２に係るネットワークシステムの構成を模式的に示す図である。

【図5】実施形態２における通信異常なしの場合の処理フローを示す図である。

【図6】実施形態２における通信異常ありの場合の処理フローを示す図である。

【発明を実施するための形態】

【0011】

これより、実施形態について説明する。なお、以下で説明する各実施形態は、本願発明を実現するための一例であり、本願発明の技術範囲を限定するものではない。また、以下の各実施形態において、同一の機能を有する構成要素には同一の符号を付し、その繰り返しの説明は、特に必要な場合を除き省略する。

【0012】

以下に説明する各実施形態に係るネットワークシステムの特徴は、第１の認証用装置とユーザ端末との間に接続される第２の認証用装置を有しており、第２の認証用装置が次に掲げる処理を実行する点にある。第２の認証用装置は、ユーザ端末からユーザ情報を受信する処理と、第１の認証用装置と通信することによりユーザ情報に基づく認証成否の結果を得る処理と、を実行する。また、第２の認証用装置は、第２の記憶装置を有し、認証成功済みのユーザ情報を第２の記憶装置に記録する記録処理と、第１の認証用装置との通信の異常を検知する検知処理と、通信の異常を検知している場合に、ユーザ端末からのユーザ情報を第２の記憶装置に記憶されているユーザ情報と照合することにより、ユーザ端末の認証成否を判定する判定処理と、を実行する。

【0013】

なお、上記した、第１の認証用装置と通信することにより前記ユーザ情報に基づく認証成否の結果を得る処理は、例えば次の２つの実施形態を考えることができる。

【0014】

実施形態１では、第１の認証用装置が、認証を成功させるべきユーザ情報を記憶している。第１の認証用装置は、第２の認証用装置から受信したユーザ端末からのユーザ情報を、自身が記憶しているユーザ情報と照合し、その照合結果に基づいて認証成否を判定し、認証成否の結果を第２の認証用装置に送信する。第２の認証用装置は、第１の認証用装置から認証成否の結果を受信して得る。

【0015】

実施形態２では、第１の認証用装置が、認証を成功させるべきユーザ情報を記憶している。第１の認証用装置は、第２の認証用装置から受信したユーザ端末からのユーザ情報を、自身が記憶しているユーザ情報と照合し、その照合結果を第２の認証用装置に送信する。第２の認証用装置は、第１の認証用装置から受信した照合結果に基づいて認証成否を判定し、認証成否の結果を得る。

【0016】

（実施形態１）
〈実施形態１に係るネットワークシステムの概要〉
実施形態１に係るネットワークシステムの概要について説明する。実施形態１に係るネットワークシステムは、ユーザ端末と第１の認証用装置との間に第２の認証用装置を介在させた構成を有している。第１の認証用装置は、認証を成功させるべき正規ユーザのユーザ情報が記録された登録リストを記憶している。通常時、第２の認証用装置は、ユーザ端末からのユーザ情報を第１の認証用装置に送信する。第１の認証用装置は、受信されたユーザ情報を登録リスト内のユーザ情報と照合し認証成否の判定を行う。一方、第２の認証用装置は、認証成否に係る履歴情報を記録する機能と、第１の認証用装置との通信の異常を検知する機能とを有している。第２の認証用装置は、通信の異常を検知すると、第１の認証用装置に代わって、履歴情報に基づく認証成否の判定を行う。

【0017】

〈実施形態１に係るネットワークシステムの構成〉
図１は、実施形態１に係るネットワークシステムの構成を模式的に示す図である。図１に示すように、実施形態１に係るネットワークシステム１は、第１の認証用装置１０と、第２の認証用装置２０と、中継装置３０と、ユーザ端末４０と、管理者端末５０とを備えている。なお、ネットワークは、例えば、企業内または組織内のＬＡＮ（Local Area Network）である。

【0018】

第１の認証用装置１０と第２の認証用装置２０とは、相互に通信が可能となるように接続されている。また、第２の認証用装置２０と中継装置３０とは、相互に通信が可能となるように接続されている。また、中継装置３０とユーザ端末４０とは、相互に通信が可能となるように接続されている。同様に、中継装置３０と管理者端末５０とは、相互に通信が可能となるように接続されている。通信が可能となる接続は、有線接続であってもよいし、無線接続であってもよい。

【0019】

ユーザ端末４０は、ユーザがネットワークへの接続に用いる端末である。ユーザ端末４０は、ネットワークへの接続（アクセス）要求を表す情報（以下、単に「接続要求」と記載する場合がある）と認証に必要なユーザ情報とを、中継装置３０に送信する。また、ユーザ端末４０は、第２の認証用装置２０から、中継装置３０を介して、第１の認証用装置１０によって判定された認証成否の結果を表す情報（以下、単に「認証成否の結果」と記載する場合がある）を受信する。

【0020】

ユーザ情報は、例えば、アイディー（以下、「ＩＤ」と記載する場合がある）、パスワード（以下、「ＰＷ」と記載する場合がある）、およびＭＡＣ（Media Access Control）アドレス（以下、「ＭＡＣ」と記載する場合がある）などを含む。ユーザ端末４０は、例えば、パソコン、スマートフォン、タブレット端末などである。なお、ユーザ端末４０は、クライアント端末、認証クライアント、サプリカントなどと呼ばれることがある。

【0021】

管理者端末５０は、第１および第２の認証用装置１０，２０の設定を管理する管理者がネットワークへの接続に用いる端末である。管理者端末５０は、特別な認証を経て第１および第２の認証用装置１０，２０にアクセスし、必要に応じて、データを記憶させたり、データを変更したり、プログラムをインストールしたり、プログラムを変更したりする。管理者端末５０は、例えば、パソコン、スマートフォン、タブレット端末などである。

【0022】

中継装置３０は、ユーザ端末４０と第２の認証用装置２０との間で情報の送受信を中継する装置である。中継装置３０は、ユーザ端末４０から接続要求を受信すると、認証に必要なユーザ情報の送信要求を表す情報（以下、単に「ユーザ情報送信要求」と記載する場合がある）をユーザ端末４０に送信する。中継装置３０は、ユーザ端末４０からユーザ情報を受信すると、受信されたユーザ情報を第２の認証用装置２０に送信する。また、中継装置３０は、第２の認証用装置２０から認証成功を表す情報（以下、単に「認証成功」と記載する場合がある）を受信すると、ユーザ端末４０のポートを開いて、ネットワークへのアクセスを許可するとともに、ユーザ端末４０に認証成功を送信する。

【0023】

なお、本実施形態において、ネットワーク上の他の各種サーバ等は、本願が提案する技術との関連が薄いため、図示していない。中継装置３０は、例えば、認証スイッチ、ルータ、アクセスポイント、仮想プライベートネットワークサーバ、ダイアルアップサーバ、またはＲＡＤＩＵＳプロキシサーバなどである。中継装置３０は、ＲＡＤＩＵＳクライアント、オーセンティケータ（authenticator）などと呼ばれることがある。

【0024】

第１の認証用装置１０は、ユーザ端末４０から認証に必要なユーザ情報を受信し、認証成否を判定して応答する。

【0025】

より具体的には、第１の認証用装置１０は、第１の記憶装置１１を有している。第１の認証用装置１０は、認証を成功させるべき１つまたは複数の正規ユーザのユーザ情報が予め登録されている登録リストＬ１を自身の第１の記憶装置１１に記憶している。第１の認証用装置１０は、ユーザ端末４０から中継装置３０、第２の認証用装置２０を介して、ユーザ情報を受信する。第１の認証用装置１０は、受信したユーザ情報を登録リストＬ１内のユーザ情報と照合することにより、認証成否を判定する。第１の認証用装置１０は、その認証成否の結果を、第２の認証用装置２０に送信する。

【0026】

第１の認証用装置１０は、例えば、サーバである。第１の認証用装置１０が有する第１の記憶装置１１は、例えば、半導体メモリ、磁気ディスク、光ディスクなどで構成される。なお、第１の認証用装置１０は、認証サーバ、ＲＡＤＩＵＳサーバなどと呼ばれることがある。

【0027】

第２の認証用装置２０は、ユーザ端末４０と第１の認証用装置１０との間に介在し、ユーザ端末４０と第１の認証用装置１０との間でやり取りされるユーザ情報、認証成否の結果などの送受信を行う。より具体的には、第２の認証用装置２０は、ユーザ端末４０から中継装置３０を介して、ユーザ情報を受信し、第１の認証用装置１０に受信したユーザ情報を送信する。また、第２の認証用装置２０は、第１の認証用装置１０から認証成否の結果を受信し、中継装置３０に送信する。第２の認証用装置２０は、例えば、サーバである。

【0028】

第２の認証用装置２０は、第２の記憶装置２１を有している。第２の認証用装置２０は、この第２の記憶装置２１に、特定ＩＤリスト（本願における履歴リストの一例）Ｌ２を記憶している。第２の認証用装置２０は、第１の認証用装置１０から認証成功を受信した場合に、その都度、認証が成功したユーザ情報をこの特定ＩＤリストＬ２に記録する処理を実行する。具体的には、第２の認証用装置２０は、認証が成功したユーザ情報のうち少なくともＩＤおよびＭＡＣアドレスの組合せを、特定ＩＤリストＬ２に記録する。なお、第２の認証用装置２０が有する第２の記憶装置２１は、例えば、半導体メモリ、磁気ディスク、光ディスクなどで構成される。

【0029】

また、第２の認証用装置２０は、第１の認証用装置１０との通信の異常を検知する処理を実行する。第２の認証用装置２０は、例えば、認証のためにユーザ情報を第１の認証用装置１０に送信してから予め定められた一定時間内に、第１の認証用装置１０から認証成否の結果の応答がなかった場合に、第１の認証用装置１０との通信に異常が発生したと判定し、通信の異常を検知する。

【0030】

第２の認証用装置２０は、第１の認証用装置１０との通信の異常を検知すると、第１の認証用装置１０の代わりに、認証成否を判定する処理を実行する。具体的には、第２の認証用装置２０は、ユーザ端末４０からユーザ情報を受信した場合に、ユーザ情報に含まれるＩＤおよびＭＡＣアドレスを、特定ＩＤリストＬ２の中のＩＤおよびＭＡＣアドレスの組合せと照合する。そして、第２の認証用装置２０は、その照合の結果、合致する組合せがある場合には、認証成功を中継装置３０に送信する。

【0031】

第２の認証用装置２０は、第１の認証用装置１０との通信の異常が解消されたことを検知すると、認証成否を判定する処理を止めて通常の処理を再開する。すなわち、第２の認証用装置２０は、第１の認証用装置１０との通信の異常を検知していない場合には、上述したようなユーザ端末４０と第１の認証用装置１０との仲介役としての処理を行う。

【0032】

〈実施形態１に係るネットワークシステムにおける処理フロー〉
実施形態１に係るネットワークシステムにおける処理フローについて説明する。初めに、第１の認証用装置１０との通信に異常が発生していない場合、すなわち、第２の認証用装置２０が通信の異常を検知していない場合における処理フローについて説明する。続いて、第１の認証用装置１０との通信に異常が発生している場合、すなわち、第２の認証用装置２０が通信の異常を検知している場合における処理フローについて説明する。なお、実際の処理フローは、適用する認証プロトコルに従って複雑な情報の送受信が行われることが想定されるが、ここでは、本願が提案する技術の理解を容易にするため、簡略化して記載していることに留意されたい。

【0033】

《第１の認証用装置との通信異常なしの場合の処理フロー》
第１の認証用装置１０との通信に異常が発生していない場合の処理フローについて説明する。

【0034】

図２は、実施形態１における通信異常なしの場合の処理フローを示す図である。図２に示すように、まず、ユーザ端末４０が、中継装置３０に接続要求ＡＲを送信する（Ｓ１）中継装置３０は、ユーザ端末４０から接続要求ＡＲを受信すると、ユーザ端末４０にユーザ情報送信要求ＳＲを返信する（Ｓ２）。ユーザ端末４０は、中継装置３０からユーザ情報送信要求ＳＲを受信すると、ユーザの入力操作を受けて、ＩＤおよびＰＷを含むユーザ情報を中継装置３０に送信する（Ｓ３）。

【0035】

なお、接続要求ＡＲ、ユーザ情報など、ユーザ端末４０から送信されるデータには、送信元であるユーザ端末４０のＭＡＣアドレスが含まれている。

【0036】

中継装置３０は、ユーザ端末４０から受信したＩＤおよびＰＷをユーザ端末４０のＭＡＣアドレスとともに第２の認証用装置２０に送信する（Ｓ４）。第２の認証用装置２０は、中継装置３０からＩＤおよびＰＷとＭＡＣアドレスとを受信すると、受信されたＩＤおよびＰＷを第１の認証用装置１０に送信する（Ｓ５）。

【0037】

第１の認証用装置１０は、第２の認証用装置２０からＩＤおよびＰＷを受信すると、受信されたＩＤおよびＰＷを登録リストＬ１内のＩＤおよびＰＷと照合する（Ｓ６）。すなわち、第１の認証用装置１０は、受信されたＩＤおよびＰＷが登録リストＬ１内にあるか否かを判定し、接続を要求しているユーザが正規ユーザであるか否かを識別する。

【0038】

第１の認証用装置１０は、受信されたＩＤおよびＰＷが登録リストＬ１内にあると判定した場合には、認証成功（許可）を表す情報（以下、単に「認証成功」と記載する場合がある）Ａ１を第２の認証用装置２０に送信する（Ｓ７）。

【0039】

第２の認証用装置２０は、第１の認証用装置１０から認証成功Ａ１を受信すると、ユーザ端末４０からのＩＤおよびＭＡＣアドレスを、特定ＩＤリストＬ２に記録する（Ｓ８）。また、第２の認証用装置２０は、認証成功Ａ１を受信すると、受信された認証成功Ａ１を中継装置３０に送信する（Ｓ９）。

【0040】

中継装置３０は、第２の認証用装置２０から認証成功Ａ１を受信すると、受信された認証成功Ａ１をユーザ端末４０に送信する（Ｓ１０）。また、中継装置３０は、ユーザ端末４０のネットワークへのアクセスを許可する。すなわち、ユーザ端末４０のポートを解放する。

【0041】

一方、第１の認証用装置１０は、受信されたＩＤおよびＰＷが登録リストＬ１内にないと判定した場合には、認証失敗（拒絶）を表す情報（以下、単に「認証失敗」と記載する場合がある）Ａ２を第２の認証用装置２０に送信する（Ｓ１１）。

【0042】

第２の認証用装置２０は、第１の認証用装置１０から認証失敗Ａ２を受信すると、受信された認証失敗Ａ２を中継装置３０に送信する（Ｓ１２）。

【0043】

中継装置３０は、第２の認証用装置２０から認証失敗Ａ２を受信すると、受信された認証失敗Ａ２をユーザ端末４０に送信する（Ｓ１３）。また、中継装置３０は、ユーザ端末４０のポートを閉じたままの状態にし、ユーザ端末４０のネットワークへのアクセスを拒絶する。

【0044】

以上が、通信異常のない通常時の認証処理フローである。このような認証処理フローが多数のユーザに対して繰り返し行われることにより、認証成功済みのユーザ情報であるＩＤとＭＡＣアドレスとの組合せが、特定ＩＤリストＬ２に記録され蓄積されていくことになる。

【0045】

《第１の認証用装置との通信異常ありの場合の処理フロー》
第１の認証用装置１０との通信に異常が発生している場合の処理フローについて説明する。

【0046】

図３は、実施形態１における通信異常ありの場合の処理フローを示す図である。図３に示すように、まず、ユーザ端末４０が、中継装置３０に接続要求ＡＲを送信する（Ｓ２１）。中継装置３０は、ユーザ端末４０から接続要求を受信すると、ユーザ端末４０にユーザ情報送信要求ＳＲを返信する（Ｓ２２）。ユーザ端末４０は、中継装置３０からユーザ情報送信要求ＳＲを受信すると、ユーザの入力操作を受けて、ＩＤおよびＰＷを含むユーザ情報を中継装置３０に送信する（Ｓ２３）。なお、上述したように、接続要求ＡＲ、ユーザ情報など、ユーザ端末４０から送信される情報には、送信元であるユーザ端末４０のＭＡＣアドレスが含まれている。

【0047】

中継装置３０は、ユーザ端末４０から受信されたＩＤおよびＰＷをユーザ端末４０のＭＡＣアドレスとともに第２の認証用装置２０に送信する（Ｓ２４）。第２の認証用装置２０は、中継装置３０からＩＤおよびＰＷとＭＡＣアドレスとを受信すると、受信されたＩＤおよびＰＷを第１の認証用装置１０に送信する（Ｓ２５）。

【0048】

ここで、本来であれば、第１の認証用装置１０は、第２の認証用装置２０からＩＤおよびＰＷを受信し、受信されたＩＤおよびＰＷに基づいて認証成否の判定を行う。しかしながら、第１の認証用装置１０との通信に異常が発生している場合には、第１の認証用装置１０は、第２の認証用装置２０からＩＤおよびＰＷを受信できないか、または、認証成否の結果を第２の認証用装置２０に送信することができない。

【0049】

第２の認証用装置２０は、第１の認証用装置１０にＩＤおよびＰＷを送信してから予め定められた一定時間内に、第１の認証用装置１０から応答があるか否かを検出している。第２の認証用装置２０は、第１の認証用装置１０から一定時間内に応答がないことを検出して、第１の認証用装置１０との通信に異常が発生したことを検知する（Ｓ２６）。

【0050】

第２の認証用装置２０は、第１の認証用装置１０との通信に異常が発生したことを検知すると、第１の認証用装置１０に代わって、認証履歴に基づき認証成否を判定する。具体的には、第２の認証用装置２０は、ユーザ端末４０から受信されたＩＤおよびＭＡＣアドレスの組合せを、特定ＩＤリストＬ２に記録されているＩＤおよびＭＡＣアドレスの組合せと照合する（Ｓ２７）。第２の認証用装置２０は、照合した結果、合致する組合せがある場合、すなわち照合に成功した場合には、認証成功と判定する。一方、第２の認証用装置２０は、合致する組合せがない場合、すなわち照合に失敗した場合には、認証失敗と判定する。

【0051】

第２の認証用装置２０は、認証成功と判定した場合、認証成功Ａ１を中継装置３０に送信する（Ｓ２８）。

【0052】

中継装置３０は、第２の認証用装置２０から認証成功Ａ１を受信すると、受信された認証成功Ａ１をユーザ端末４０に送信する（Ｓ２９）。また、中継装置３０は、ユーザ端末４０のネットワークへのアクセスを許可する。すなわち、ユーザ端末４０のポートを解放する。

【0053】

一方、第２の認証用装置２０は、認証失敗と判定した場合、認証失敗Ａ２を中継装置３０に送信する（Ｓ３０）。

【0054】

中継装置３０は、第２の認証用装置２０から認証失敗Ａ２を受信すると、受信された認証失敗Ａ２をユーザ端末４０に送信する（Ｓ３１）。また、中継装置３０は、ユーザ端末４０のネットワークへのアクセスを拒絶する。すなわち、ユーザ端末４０のポートを閉じたままの状態にする。

【0055】

以上、実施形態１に係るネットワークシステム１によれば、第２の認証用装置２０が、第１の認証用装置１０との通信の異常が発生していない場合において、認証成功済みのユーザ情報を記録蓄積する。第１の認証用装置１０との通信の異常が発生した場合に、第２の認証用装置２０が、第１の認証用装置１０に代わり、その蓄積されたユーザ情報に基づき認証成否を判定する。そのため、第１の認証用装置１０との通信の異常が発生して第１の認証用装置１０による認証成否の判定ができない状況であっても、既に認証成功の履歴があるユーザ端末からの接続要求には応答することができる。すなわち、ユーザ情報を記憶させたり更新したりする煩雑な作業を不要としつつ、認証用装置との通信の異常が発生した場合であっても、ネットワークに接続するユーザ端末の認証処理を行うことができる。

【0056】

（実施形態２）
〈実施形態２に係るネットワークシステムの概要〉
実施形態２に係るネットワークシステムの概要について説明する。実施形態２に係るネットワークシステムは、実施形態１と同様に、ユーザ端末と第１の認証用装置との間に第２の認証用装置を介在させた構成を有している。第１の認証用装置は、認証を成功させるべき正規ユーザのユーザ情報が記録された登録リストを記憶している。通常時、第２の認証用装置は、第１の認証用装置に接続要求元からのユーザ情報が登録リスト内にあるかを問い合わせる。第１の認証用装置は、受信されたユーザ情報を登録リストと照合しその問合せに応答する。第２の認証用装置は、その応答結果すなわち照合結果を基に認証成否を判定する。一方、第２の認証用装置は、第１の認証用装置との通信に異常が発生したことを検知すると、認証成否の判定方法を切り換え、過去の認証処理の履歴情報を利用して認証成否を判定する。

【0057】

〈実施形態２に係るネットワークシステムの構成〉
図４は、実施形態２に係るネットワークシステムの構成を模式的に示す図である。図４に示すように、実施形態２に係るネットワークシステム２は、基本的に実施形態１と同様の構成を有する。ただし、第１の認証用装置１０および第２の認証用装置２０の機能（役割）が、実施形態１とは一部異なる。実施形態１では、第１の認証用装置１０は登録リストＬ１を記憶し、認証成否を判定しており、第２の認証用装置２０は情報の送受信の仲介役である。一方、実施形態２では、第１の認証用装置１０は登録リストＬ１を記憶しているが、認証成否は判定せず、第２の認証用装置２０が認証成否を判定する。

【0058】

第２の認証用装置２０は、第１の認証用装置１０に対して、ユーザ端末４０からのユーザ情報とともに当該ユーザ情報の照合要求を表す情報（以下、単に「照合要求」と記載する場合がる）を送信する。照合要求は、当該ユーザ情報を登録リストＬ１と照合するよう要求することである。第２の認証用装置２０は、第１の認証用装置１０から受信された照合結果を表す情報（以下、単に「照合結果」と記載する場合がる）を基に認証成否を判定する。なお、第２の認証用装置２０は、認証サーバ、ＲＡＤＩＵＳサーバなどと呼ばれることがある。

【0059】

第１の認証用装置１０は、登録リストＬ１を記憶している。第１の認証用装置１０は、第２の認証用装置２０からユーザ情報と照合要求とを受信すると、当該ユーザ情報を登録リストと照合し、照合の結果を第２の認証用装置２０に送信する。なお、第１の認証用装置１０は、例えば、アクティブディレクトリサーバ、アクティブディレクトリデータベースなどと呼ばれることがある。

【0060】

なお、中継装置３０、ユーザ端末４０、および管理者端末５０の機能は、実施形態１と同様であるため、ここでは説明を省略する。

【0061】

〈実施形態２に係るネットワークシステムにおける処理フロー〉
実施形態２に係るネットワークシステムにおける処理フローについて説明する。初めに、第１の認証用装置１０との通信に異常が発生していない場合、すなわち、第２の認証用装置２０が通信の異常を検知していない場合における処理フローについて説明する。続いて、第１の認証用装置１０との通信に異常が発生している場合、すなわち、第２の認証用装置２０が通信の異常を検知している場合における処理フローについて説明する。なお、実際の処理フローは、適用する認証プロトコルに従ってより複雑な情報の送受信が行われるが、ここでは、本願が提案する方法の理解を容易にするため、簡略化して記載していることに留意されたい。

【0062】

《第１の認証用装置との通信異常なしの場合の処理フロー》
第１の認証用装置１０との通信に異常が発生していない場合の処理フローについて説明する。

【0063】

図５は、実施形態２における通信異常なしの場合の処理フローを示す図である。図５に示すように、まず、ユーザ端末４０が、中継装置３０に接続要求ＡＲを送信する（Ｓ４１）。中継装置３０は、ユーザ端末４０から接続要求ＡＲを受信すると、ユーザ端末４０にユーザ情報送信要求ＳＲを返信する（Ｓ４２）。ユーザ端末４０は、中継装置３０からユーザ情報送信要求ＳＲを受信すると、ユーザの入力操作を受けて、ＩＤおよびＰＷを中継装置３０に送信する（Ｓ４３）。なお、上述したように、接続要求ＡＲ、ユーザ情報など、ユーザ端末４０から送信される情報には、送信元であるユーザ端末４０のＭＡＣアドレスが含まれている。

【0064】

中継装置３０は、ユーザ端末４０から受信されたＩＤおよびＰＷをユーザ端末４０のＭＡＣアドレスとともに第２の認証用装置２０に送信する（Ｓ４４）。第２の認証用装置２０は、中継装置３０からＩＤおよびＰＷとＭＡＣアドレスとを受信すると、受信されたＩＤおよびＰＷと照合要求ＶＲとを第１の認証用装置１０に送信する（Ｓ４５）。

【0065】

第１の認証用装置１０は、第２の認証用装置２０からＩＤおよびＰＷと照合要求ＶＲとを受信すると、受信されたＩＤおよびＰＷと登録リストＬ１内のＩＤおよびＰＷとを照合し、接続を要求しているユーザが正規ユーザであるか否かを識別する。すなわち、第１の認証用装置１０は、受信されたＩＤおよびＰＷが登録リストＬ１内にあるか否かを判定する（Ｓ４６）。

【0066】

第１の認証用装置１０は、受信されたＩＤおよびＰＷが登録リストＬ１内にあると判定した場合には、照合成功を表す情報（以下、単に「照合成功」と記載する場合がる）Ｖ１を第２の認証用装置２０に送信する（Ｓ４７）。

【0067】

第２の認証用装置２０は、第１の認証用装置１０から照合成功Ｖ１を受信すると、ユーザ端末４０からのＩＤおよびＭＡＣアドレスを、特定ＩＤリストＬ２に記録する（Ｓ４８）。また、第２の認証用装置２０は、第１の認証用装置１０から照合成功Ｖ１を受信すると、認証成功Ａ１を中継装置３０に送信する（Ｓ４９）。

【0068】

中継装置３０は、第２の認証用装置２０から認証成功Ａ１を受信すると、受信された認証成功Ａ１をユーザ端末４０に送信する（Ｓ５０）。また、中継装置３０は、ユーザ端末４０のネットワークへのアクセスを許可する。すなわち、ユーザ端末４０のポートを解放する。

【0069】

一方、第１の認証用装置１０は、受信されたＩＤおよびＰＷが登録リストＬ１内にないと判定した場合には、照合失敗を表す情報（以下、単に「照合失敗」と記載する場合がある）Ｖ２を第２の認証用装置２０に送信する（Ｓ５１）。

【0070】

第２の認証用装置２０は、第１の認証用装置１０から照合失敗Ｖ２を受信すると、認証失敗Ａ２を中継装置３０に送信する（Ｓ５２）。

【0071】

中継装置３０は、第２の認証用装置２０から認証失敗Ａ２を受信すると、受信された認証失敗Ａ２をユーザ端末４０に送信する（Ｓ５３）。また、中継装置３０は、ユーザ端末４０のネットワークへのアクセスを拒絶する。すなわち、ユーザ端末４０のポートを閉じたままの状態にする。

【0072】

以上が、通信異常のない通常時の認証処理フローである。このような認証処理フローが繰り返し行われることにより、認証が成功した（許可された）ユーザのＩＤと、そのユーザ端末のＭＡＣアドレスとの組合せが、特定ＩＤリストに記録され蓄積されていくことになる。

【0073】

《第１の認証用装置との通信異常ありの場合の処理フロー》
第１の認証用装置１０との通信に異常が発生している場合の処理フローについて説明する。

【0074】

図６は、実施形態２における通信異常ありの場合の処理フローを示す図である。図６に示すように、まず、ユーザ端末４０が、中継装置３０に接続要求ＡＲを送信する（Ｓ６１）。中継装置３０は、ユーザ端末４０から接続要求ＡＲを受信すると、ユーザ端末４０にユーザ情報送信要求ＳＲを返信する（Ｓ６２）。ユーザ端末４０は、中継装置３０からユーザ情報送信要求ＳＲを受信すると、ユーザの入力操作を受けて、ＩＤおよびＰＷを含むユーザ情報を中継装置３０に送信する（Ｓ６３）。なお、上述したように、接続要求ＡＲ、ユーザ情報など、ユーザ端末４０から送信される情報には、送信元であるユーザ端末４０のＭＡＣアドレスが含まれている。

【0075】

中継装置３０は、ユーザ端末４０から受信されたＩＤおよびＰＷをユーザ端末４０のＭＡＣアドレスとともに第２の認証用装置２０に送信する（Ｓ６４）。第２の認証用装置２０は、中継装置３０からＩＤおよびＰＷとＭＡＣアドレスとを受信すると、受信されたＩＤおよびＰＷとともに照合要求ＶＲを第１の認証用装置１０に送信する（Ｓ６５）。

【0076】

ここで、本来であれば、第１の認証用装置１０は、第２の認証用装置２０からＩＤおよびＰＷを受信し、受信されたＩＤおよびＰＷと登録リストＬ１との照合を行う。しかしながら、第１の認証用装置１０との通信に異常が発生している場合には、第１の認証用装置１０は、第２の認証用装置２０からＩＤおよびＰＷあるいは照合要求ＶＲを受信できないか、または、照合結果を第２の認証用装置２０に送信することができない。

【0077】

第２の認証用装置２０は、第１の認証用装置１０にＩＤおよびＰＷを送信してから予め定められた一定時間内に、第１の認証用装置１０から応答があるか否かを検出している。第２の認証用装置２０は、第１の認証用装置１０から応答がないことを検出して、第１の認証用装置１０との通信に異常が発生したことを検知する（Ｓ６６）。

【0078】

第２の認証用装置２０は、第１の認証用装置１０との通信に異常が発生したことを検知すると、第１の認証用装置１０による照合結果に基づく認証成否の判定を止めて、認証履歴に基づく認証成否の判定を行う。具体的には、第２の認証用装置２０は、ユーザ端末４０から受信されたＩＤおよびＭＡＣアドレスの組合せを、特定ＩＤリストＬ２に記録されているＩＤおよびＭＡＣアドレスの組合せと照合する（Ｓ６７）。

【0079】

第２の認証用装置２０は、特定ＩＤリストＬ２との照合の結果、合致する組合せがある場合には認証成功と判定し、認証成功Ａ１を中継装置３０に送信する（Ｓ６８）。

【0080】

中継装置３０は、第２の認証用装置２０から認証成功Ａ１を受信すると、受信された認証成功Ａ１をユーザ端末４０に送信する（Ｓ６９）。また、中継装置３０は、ユーザ端末４０のネットワークへのアクセスを許可する。すなわち、ユーザ端末４０のポートを解放する。

【0081】

一方、第２の認証用装置２０は、特定ＩＤリストＬ２との照合の結果、合致する組合せがない場合には認証失敗と判定し、認証失敗Ａ２を中継装置３０に送信する（Ｓ７０）。

【0082】

中継装置３０は、第２の認証用装置２０から認証失敗Ａ２を受信すると、受信された認証失敗Ａ２をユーザ端末４０に送信する（Ｓ７１）。また、中継装置３０は、ユーザ端末４０のネットワークへのアクセスを拒絶する。すなわち、ユーザ端末４０のポートを閉じたままの状態にする。

【0083】

以上、実施形態２に係るネットワークシステム２によれば、第２の認証用装置２０が、認証成功済みのユーザ情報を記録蓄積しておき、第１の認証用装置１０との通信の異常を検知している場合には、その記録蓄積されたユーザ情報に基づき認証成否を判定する。そのため、第１の認証用装置１０との通信の異常が発生して第１の認証用装置１０によるユーザ情報の照合結果が得られなくなっても、第２の認証用装置２０は、既に認証成功の履歴があるユーザ端末からの接続要求には応答することができる。すなわち、ユーザ情報を記憶させたり更新したりする煩雑な作業を不要としつつ、認証用装置との通信の異常が発生した場合であっても、ネットワークに接続するユーザ端末の認証処理を行うことができる。

【0084】

（実施形態３）
本願の実施形態３は、上記ネットワークシステムを実現させるためのネットワーク認証方法である。実施形態３に係るネットワーク認証方法は、ユーザ端末と第１の認証用装置との間に介在する第２の認証用装置に、上記ユーザ端末からユーザ情報を受信する処理と、上記第１の認証用装置と通信することにより上記ユーザ情報に基づく認証成否の結果を得る処理と、認証成功済みのユーザ情報を、自身が有する第２の記憶装置に記憶させる処理と、上記第１の認証用装置との通信の異常を検知する処理と、上記通信の異常を検知している場合に、上記ユーザ端末からのユーザ情報を上記第２の記憶装置に記憶されているユーザ情報と照合することにより、上記ユーザ端末の認証成否を判定する処理と、を実行させる、ネットワーク認証方法である。

【0085】

なお、当該ネットワーク認証方法は、上記実施形態１，２におけるネットワークシステムの処理フローの説明からも理解されるであろう。

【0086】

このようなネットワーク認証方法によれば、上記実施形態１，２と同様に、ユーザ情報を記憶させたり更新したりする煩雑な作業を不要としつつ、認証用装置との通信異常が発生した場合であっても、ネットワークに接続する端末の認証処理が可能となる。

【0087】

なお、上記実施形態では、第２の認証用装置２０は、第１の認証用装置１０との通信の異常を検知する方法として、第１の認証用装置１０にＩＤおよびＰＷを送信してから一定時間内に応答があるか否かを検出する方法を用いている。しかしながら、通信の異常を検知する方法は、上記方法に限定されない。例えば、第２の認証用装置２０は、第１の認証用装置１０にＩＤおよびＰＷ以外の情報を送信し第１の認証用装置１０から何らかの応答を得る処理において、送信から一定時間内に応答があるか否かにより通信の異常を検知するようにしてもよい。また例えば、第１の認証用装置１０との通信状態を監視する他の装置を設け、他の装置が通信の異常を検知し、第２の認証用装置２０がその旨を示す情報を当該他の装置から受信することにより通信の異常を検知するようにしてもよい。

【0088】

また、上記実施形態では、第２の認証用装置２０が特定ＩＤリストに記録し、通信異常時の認証成否の判定に用いるユーザ情報として、ＩＤおよびＭＡＣアドレスの組合せを用いている。しかしながら、特定ＩＤリストに記録するユーザ情報は、ＩＤおよびＭＡＣアドレスの組合せに限定されない。例えば、第２の認証用装置２０は、ＩＤおよびＰＷの組合せ、ＭＡＣアドレスおよびＰＷの組合せ、あるいは、ＩＤ、ＰＷおよびＭＡＣアドレスの組合せを特定ＩＤリストに記録し、認証成否の判定に用いるようにしてもよい。

【0089】

以上、本発明の各種実施形態について説明したが、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。また、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。これらは全て本発明の範疇に属するものである。さらに文中や図中に含まれる数値等もあくまで一例であり、異なるものを用いても本発明の効果を損なうものではない。

【符号の説明】

【0090】

１，２…ネットワークシステム
１０…第１の認証用装置
１１…第１の記憶装置
２０…第２の認証用装置
２１…第２の記憶装置
３０…中継装置
４０…ユーザ端末
５０…管理者端末
Ｌ１…登録リスト
Ｌ２…特定ＩＤリスト
ＡＲ…接続要求
Ａ１…認証成功
Ａ２…認証失敗
ＳＲ…送信要求
ＶＲ…照合要求
Ｖ１…照合成功
Ｖ２…照合失敗

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】