JP2004207788A - Access control method, access controller, and access control system using the same - Google Patents

Access control method, access controller, and access control system using the same Download PDF

Info

Publication number
JP2004207788A
JP2004207788A JP2002371089A JP2002371089A JP2004207788A JP 2004207788 A JP2004207788 A JP 2004207788A JP 2002371089 A JP2002371089 A JP 2002371089A JP 2002371089 A JP2002371089 A JP 2002371089A JP 2004207788 A JP2004207788 A JP 2004207788A
Authority
JP
Japan
Prior art keywords
message
access control
terminal device
request
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2002371089A
Other languages
Japanese (ja)
Inventor
Masashi Fukutomi
昌司 福富
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Furukawa Electric Co Ltd
Original Assignee
Furukawa Electric Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Furukawa Electric Co Ltd filed Critical Furukawa Electric Co Ltd
Priority to JP2002371089A priority Critical patent/JP2004207788A/en
Publication of JP2004207788A publication Critical patent/JP2004207788A/en
Pending legal-status Critical Current

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

<P>PROBLEM TO BE SOLVED: To permit only one address to be assigned to a regular client to efficiently and exactly assign pooled addresses. <P>SOLUTION: An authentication server 60 authenticates a PC (personal computer) 50, based on a circuit ID given to a RADIUS (remote authentication dial-in user service) access request by a PE router 20, and then a DHCP (dinamic host configuration pritocol) server 10 assigns user set information, based on a user class ID given to a message of a DHCP request from the PC 50 and the circuit ID given by the PE router 20. <P>COPYRIGHT: (C)2004,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
この発明は、クライアントの端末装置（パーソナルコンピュータ、以下、「ＰＣ」という）を異種ネットワークに接続するために、ＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ：ＲＦＣ２１３１）を用いてネットワーク、サーバへのアクセスを制御するアクセス制御方法、アクセス制御装置およびその装置を用いたアクセス制御システムに関するものである。
【０００２】
【従来の技術】
従来のアクセス制御方法は、たとえば特許文献１に示すように、ＰＣがネットワークに接続する際に、同一ネットワーク内に接続されたＤＨＣＰサーバとの間で、接続要求情報およびこの要求に対する割り当て設定情報の提案をブロードキャストするとともに、認証の要求およびこの要求に対する認証を行うものがあった。
【０００３】
ところが、近年では、通信事業者などが提供する通信サービス（たとえば、動画の配信など）を受けるために、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのバックボーンネットワークとＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、またはＬＡＮ同士の異種ネットワーク間で認証を行う必要性が生じてきており、この従来例のように、ＰＣとＤＨＣＰサーバが同じユーザのＬＡＮ内に接続させて認証を行う方法では、通信事業者が運用上ユーザに対して通信サービスの管理を正しく行うことが困難であった。また、この方法では、ＤＨＣＰサーバがユーザのネットワーク内に設けられているので、このサーバの運用や管理の面でも問題があった。
【０００４】
そこで、従来では、図４５のアクセス制御システムの構成図に示すように、コアネットワークＡ上にＤＨＣＰサーバ１０を接続させ、リレーエージェントであるＰＥルータ２０や集線装置３０または集線装置３０および４０を介して、接続要求を行うクライアントの各ＰＣ５０の認証およびＩＰアドレスの割り当てを行うものがあった。
【０００５】
このシステムでは、図４６のＤＨＣＰのシーケンス図に示すように、接続要求を行うＰＣ５０は、ＩＰアドレスを持っていないので、送信元アドレスが「０」番で、宛先が「ブロードキャスト」のディスカバー（Ｄｉｓｃｏｖｅｒ）メッセージを送信する。集線装置３０は、ｔａｇＶＬＡＮによる多重伝送によって、このディスカバーメッセージをＰＥルータ２０に転送している。ＰＥルータ２０は、このディスカバーメッセージを取り込むと、送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ＤＨＣＰサーバ１０のＩＰアドレス」に書き換えて、このディスカバーメッセージをコアネットワークＡに転送する。
【０００６】
ＤＨＣＰサーバ１０は、このディスカバーメッセージを受信すると、送信元アドレスが「ＤＨＣＰサーバ１０のＩＰアドレス」で、宛先アドレスが「ＰＥルータ２０のＩＰアドレス」のオファー（Ｏｆｆｅｒ）メッセージをコアネットワークＡに送信して応答する。ＰＥルータ２０は、このオファーメッセージを取り込むと、送信元アドレスを「自装置２０のＩＰアドレス」に、宛先を「ブロードキャスト」に書き換えて、先程ディスカバーメッセージを受信したポートに、このオファーメッセージを転送する。
【０００７】
次に、ＰＣ５０が送信元アドレスが「０」番で、宛先が「ブロードキャスト」のリクエスト（Ｒｅｑｕｅｓｔ）メッセージを送信すると、ＰＥルータ２０は、送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ＤＨＣＰサーバ１０のＩＰアドレス」に書き換えて、このリクエストメッセージをコアネットワークＡに転送する。ＤＨＣＰサーバ１０は、このリクエストメッセージを受信すると、プールしてあるアドレスの中から特定のＩＰアドレスを割り当て、このアドレスを付与したＡｃｋメッセージを作成してＰＣ５０に応答していた。
【０００８】
【特許文献１】
特開２００１−３２６６９６号公報（第２，４，５頁、図１−図３）
【０００９】
【発明が解決しようとする課題】
しかしながら、上記従来例では、クライアントのＰＣからの複数のアドレス要求に答えて、プールしてあるアドレスを割り当ててしまうので、１台のＰＣが複数のＩＰアドレスを取得することが可能となり、アドレスの枯渇化を招くことがあるという問題点があった。
【００１０】
また、この従来例では、不正ユーザが正規クライアントのＩＤやＭＡＣアドレスなどの識別情報を入手し、この情報を用いてＩＰアドレスを取得してデータの配信を受ける場合にも、的確に対応ができないという問題点があった。
【００１１】
この発明は、上記問題点に鑑みなされたもので、正規のクライアントに対して一つのアドレスのアサインのみを許可し、プールされているアドレスを効率良く的確に割り当てることができるアクセス制御方法、アクセス制御装置およびその装置を用いたアクセス制御システムを提供することを目的とする。
【００１２】
【課題を解決するための手段】
上記目的を達成するため、請求項１にかかるアクセス制御方法では、ネットワークへの接続要求を端末装置から、該ネットワークに接続されるＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、前記ネットワークに認証サーバを接続させ、前記端末装置で、前記要求メッセージにユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、前記要求メッセージに対応して、前記アクセス制御装置で、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記認証サーバに送信する識別情報送信工程と、前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、少なくとも前記ユーザクラスＩＤの識別情報を付与した前記要求メッセージを、前記ＤＨＣＰサーバに送信する要求転送工程と、前記要求メッセージに付与された識別情報に応じて、前記ＤＨＣＰサーバで、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、前記アクセス制御装置を介して該端末装置に応答するデータ転送工程とを含むことを特徴とするアクセス制御方法が提供される。
【００１３】
この発明によれば、ユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみの許可とプールされているアドレスの割り当てを行う。
【００１４】
また、請求項２にかかるアクセス制御方法では、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程とをさらに含むことを特徴とする。
【００１５】
この発明によれば、端末装置の接続要求に必要な情報をアクセス制御装置のテーブルに記憶させ、このテーブル内の情報によって、ネットワーク側から受信したパケットの中継の有無を判断し、データ中継のフィルタリングを行う。
【００１６】
また、請求項３にかかるアクセス制御方法では、前記端末装置で、ＤＨＣＰサーバを検知するためのディスカバーメッセージを送信する検知工程と、前記アクセス制御装置で、受信した前記ディスカバーメッセージに、該受信したポートを識別するためのサーキットＩＤを付与して、前記ＤＨＣＰサーバに送信するディスカバー転送工程と、前記ディスカバーメッセージに対応して、前記ＤＨＣＰサーバで、前記サーキットＩＤを付与したオファーメッセージを応答する提供工程とをさらに含むことを特徴とする。
【００１７】
この発明によれば、受信したディスカバーメッセージにサーキットＩＤを付与することで、ＤＨＣＰサーバからのオファーメッセージにこのサーキットＩＤを付与することを可能にし、アクセス制御装置におけるオファーメッセージの転送先ポートの識別を可能にする。
【００１８】
また、請求項４にかかるアクセス制御方法では、前記アクセス制御装置は、前記端末装置から前記ＤＨＣＰサーバへ転送するメッセージに前記サーキットＩＤを付与して、該ＤＨＣＰサーバへ転送し、前記ＤＨＣＰサーバから前記端末装置へ転送するメッセージから前記サーキットＩＤを削除して、該端末装置へ転送し、前記ＤＨＣＰサーバは、前記アクセス制御装置から受信したメッセージに対応して、前記応答用のメッセージを送信する際に、当該受信メッセージに付与されていたサーキットＩＤを、当該応答用のメッセージに付与して前記アクセス制御装置へ送信することを特徴とする。
【００１９】
この発明によれば、端末装置からＤＨＣＰサーバへ転送するメッセージの全てにサーキットＩＤを付与することで、ＤＨＣＰサーバから応答されるメッセージにこのサーキットＩＤを付与することを可能にし、アクセス制御装置におけるメッセージの転送先ポートの識別を可能にし、かつ転送時には不要なサーキットＩＤを削除して転送する。
【００２０】
また、請求項５にかかるアクセス制御方法では、前記認証サーバは、前記アクセス制御装置からのメッセージに応答する際、該応答用のメッセージに該アクセス制御装置からのメッセージに付与されていたサーキットＩＤを、当該応答用のメッセージに付与して前記アクセス制御装置へ送信することを特徴とする。
【００２１】
この発明によれば、認証サーバでも、アクセス制御装置からのメッセージに付与されていたサーキットＩＤを、応答用のメッセージに付与して送信することで、どのポートから接続要求があった端末装置の認証であるかを認識可能にする。
【００２２】
また、請求項６にかかるアクセス制御方法において、前記データ転送工程では、前記アクセス制御装置は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置に転送することを特徴とする。
【００２３】
この発明によれば、端末装置の接続要求に必要な情報に付与された送信元アドレスであるＤＨＣＰサーバのアドレスを、アクセス制御装置のアドレスに書き換えて端末装置に転送することで、端末装置からＤＨＣＰサーバへの更新要求に対して認証サーバでの再認証を可能にする。
【００２４】
また、請求項７にかかるアクセス制御方法では、ネットワークへの接続要求を端末装置から、該ネットワークに接続されるＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、前記端末装置で、前記要求メッセージにユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、前記要求メッセージに対応して、前記アクセス制御装置で、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記認証サーバに送信する識別情報送信工程と、前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、該端末装置に応答するデータ送信工程とを含むことを特徴とする。
【００２５】
この発明によれば、アクセス制御装置にＤＨＣＰサーバの機能を持たせ、ユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のアクセス制御装置による端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００２６】
また、請求項８にかかるアクセス制御方法では、前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程をさらに含むことを特徴とする。
【００２７】
この発明によれば、接続に必要な情報を割り当てる時にテーブルに記憶した情報を利用して、ネットワーク側から受信したパケットの中継の有無を判断し、データ中継のフィルタリングを行う。
【００２８】
また、請求項９にかかるアクセス制御方法では、少なくとも一つの特定ネットワークへの接続要求を端末装置から、前記ネットワークに接続されたＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、前記端末装置と前記ＤＨＣＰサーバが接続された少なくとも一つの特定ネットワークとの間には、当該特定ネットワークと異なる少なくとも一つの異種ネットワークが介在しており、かつ前記各特定ネットワークには、前記ＤＨＣＰサーバとともに認証サーバをそれぞれ接続させ、前記端末装置で、前記要求メッセージに、前記特定ネットワークのうち、ある特定ネットワークに対応するユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記ある特定ネットワークに接続された認証サーバに送信する識別情報送信工程と、前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、前記ユーザクラスＩＤの識別情報を付与した前記要求メッセージを、前記ある特定ネットワークに接続されたＤＨＣＰサーバに送信する要求転送工程と、前記要求メッセージに付与された識別情報に応じて、前記ＤＨＣＰサーバで、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、前記アクセス制御装置を介して該端末装置に応答するデータ転送工程とを含むことを特徴とする。
【００２９】
この発明によれば、たとえば端末装置による接続要求が可能なネットワークが複数ある場合に、端末装置は、ある特定ネットワークに対応するユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して複数のネットワークに一つずつのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００３０】
また、請求項１０にかかるアクセス制御方法では、前記ＤＨＣＰサーバから前記ネットワーク毎に転送される前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程とをさらに含むことを特徴とする。
【００３１】
この発明によれば、複数の接続可能なネットワークがある場合は、ネットワーク毎にアサインされる端末装置の接続要求に必要な情報が変わり、この情報をアクセス制御装置のテーブルに記憶させ、このテーブル内の情報によって、ネットワーク側から受信したパケットの中継の有無を判断することで、データ中継のフィルタリングを行う。
【００３２】
また、請求項１１にかかるアクセス制御方法において、前記データ転送工程では、前記アクセス制御装置は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置に転送することを特徴とする。
【００３３】
この発明によれば、端末装置の接続要求に必要な情報に付与された送信元アドレスであるＤＨＣＰサーバのアドレスを、アクセス制御装置のアドレスに書き換えて端末装置に転送することで、端末装置からＤＨＣＰサーバへの更新要求に対して認証サーバでの再認証を可能にする。
【００３４】
また、請求項１２にかかるアクセス制御装置では、端末装置とネットワーク間に接続され、該端末装置から送信される該ネットワークへの接続要求のための要求メッセージを、該ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、前記端末装置から送信されたユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、前記アクセス要求メッセージを前記認証サーバへ送信させる送信制御手段と、前記識別情報が付与された要求メッセージを保持する保持手段と、前記認証サーバからの認証応答に応じて、前記保持された要求メッセージを前記ＤＨＣＰサーバへ転送させるとともに、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、該端末装置へ転送させる転送制御手段とを備えたことを特徴とする。
【００３５】
この発明によれば、アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、認証サーバでの認証を可能にし、さらに認証の応答後にアクセス制御装置から送信される要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、ＤＨＣＰサーバで端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００３６】
また、請求項１３にかかるアクセス制御装置は、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を記憶する記憶手段と、前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段とをさらに備えたことを特徴とする。
【００３７】
この発明によれば、端末装置の接続要求に必要な情報をアクセス制御装置の記憶手段に記憶させ、この記憶手段内の情報によって、ネットワーク側から受信したパケットの中継の有無を判断手段で判断し、データ中継のフィルタリングを行う。
【００３８】
また、請求項１４にかかるアクセス制御装置は、メッセージの受信ポートに対応したサーキットＩＤを記憶するサーキットＩＤ記憶手段と、前記メッセージに付与されたサーキットＩＤに基づいて、サーキットＩＤ記憶手段を検索して、該メッセージを受信したポートを識別する識別手段をさらに備え、前記転送制御手段は、前記端末装置から送信される前記ＤＨＣＰサーバを検知するためのディスカバーメッセージに、該ディスカバーメッセージを受信したポートを識別するためのサーキットＩＤを付与して、前記ＤＨＣＰサーバに転送するとともに、該ＤＨＣＰサーバから送信されるオファーメッセージに付与されたサーキットＩＤを削除するとともに、該削除したサーキットＩＤに基づいて、前記識別手段で識別されたポートに、前記オファーメッセージを転送することを特徴とする。
【００３９】
この発明によれば、受信したディスカバーメッセージにサーキットＩＤを付与して転送し、受信したオファーメッセージに付与されたサーキットＩＤからサーキットＩＤ記憶手段を検索して、ポートを識別し、このポートにオファーメッセージを転送することで、ディスカバーメッセージを受信したポートにオファーメッセージを転送することが可能となる。
【００４０】
また、請求項１５にかかるアクセス制御装置では、前記転送制御手段は、前記ＤＨＣＰサーバから送信されるメッセージに付与されたサーキットＩＤを削除した後に、転送することを特徴とする。
【００４１】
この発明によれば、端末装置では不要のサーキットＩＤを削除した後に、ＤＨＣＰからのメッセージを転送することで、不要なデータ転送を削減する。
【００４２】
また、請求項１６にかかるアクセス制御装置では、前記転送制御手段は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置へ転送させることを特徴とする。
【００４３】
この発明によれば、端末装置の接続要求に必要な情報に付与された送信元アドレスであるＤＨＣＰサーバのアドレスを、転送制御手段が自装置のアドレスに書き換えて端末装置に転送することで、端末装置からＤＨＣＰサーバへの更新要求に対して認証サーバでの再認証を可能にする。
【００４４】
また、請求項１７にかかるアクセス制御装置は、端末装置とネットワーク間に接続され、該端末装置から送信される該ネットワークへの接続要求のための要求メッセージを、該ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、前記端末装置の接続要求に必要な情報を記憶する記憶手段と、前記端末装置から送信されたユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、前記アクセス要求メッセージを前記認証サーバへ送信させるメッセージ送信制御手段と、前記認証サーバからの認証応答に応じて、予めプールされている情報から、前記端末装置の接続要求に必要な情報を割り当て、前記記憶手段に記憶させる情報割当手段と、前記割り当てられた情報を前記端末装置に送信させる情報送信制御手段とを備えたことを特徴とする。
【００４５】
この発明によれば、アクセス制御装置に情報割当手段を設けて、ユーザクラスＩＤの識別情報に基づき、接続要求に必要な情報をプールされている情報から割り当てることで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００４６】
また、請求項１８にかかるアクセス制御装置は、前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段をさらに備えたことを特徴とする
【００４７】
この発明によれば、割り当て時にアサインされる接続に必要な情報をテーブルに記憶させておき、ネットワーク側から受信したパケットの中継の有無をこのテーブルを用いて判断し、データ中継のフィルタリングを行う。
【００４８】
また、請求項１９にかかるアクセス制御装置では、端末装置と少なくとも一つの特定ネットワーク間に接続され、該端末装置から送信される該特定ネットワークへの接続要求のための要求メッセージを、該特定ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記特定ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、端末装置からの前記特定ネットワークのうちのある特定ネットワークに対するユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、前記アクセス要求メッセージを前記ある特定ネットワークに接続された認証サーバへ送信させる送信制御手段と、前記識別情報が付与された要求メッセージを保持する保持手段と、前記認証サーバからの認証応答に応じて、前記保持された要求メッセージを前記ある特定ネットワークに接続されたＤＨＣＰサーバへ転送させるとともに、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、該端末装置へ転送させる転送制御手段とを備えたことを特徴とする。
【００４９】
この発明によれば、アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、各ネットワークの認証サーバでの認証を可能にし、さらに認証の応答後にアクセス制御装置から送信される要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、各ネットワークのＤＨＣＰサーバで端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して複数のネットワークに一つずつのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを可能にする。
【００５０】
また、請求項２０にかかるアクセス制御装置は、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を記憶する記憶手段と、前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段とをさらに備えたことを特徴とする。
【００５１】
この発明によれば、複数の接続可能なネットワークがある場合も、ネットワーク毎にアサインされる情報を記憶手段に記憶させ、受信したパケットの中継の有無を、この記憶手段内の情報によって判断手段が判断することで、データ中継のフィルタリングを行う。
【００５２】
また、請求項２１にかかるアクセス制御装置では、前記転送制御手段は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置へ転送させることを特徴とする。
【００５３】
この発明によれば、端末装置の接続要求に必要な情報に付与された送信元アドレスであるＤＨＣＰサーバのアドレスを、転送制御手段が自装置のアドレスに書き換えて端末装置に転送することで、端末装置からＤＨＣＰサーバへの更新要求に対して認証サーバでの再認証を可能にする。
【００５４】
また、請求項２２にかかるアクセス制御システムでは、ネットワークへの接続要求に対し、該接続要求に必要な情報の応答を行うアクセス制御システムにおいて、前記接続要求のための要求メッセージにユーザクラスＩＤの識別情報を付与して送信する端末装置と、前記ネットワークと端末装置間に接続される請求項１２〜１６のいずれか一つに記載のアクセス制御装置と、前記ネットワークに接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、前記ネットワークに接続され、前記要求メッセージに付与された識別情報に応じて、前記端末装置の接続要求に必要な情報を応答するＤＨＣＰサーバとを備えたことを特徴とする。
【００５５】
この発明によれば、アクセス制御装置によって送信される要求メッセージおよびアクセス要求メッセージに付与されるユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００５６】
また、請求項２３にかかるアクセス制御システムでは、ネットワークへの接続要求に対し、該接続要求に必要な情報の応答を行うアクセス制御システムにおいて、前記接続要求のための要求メッセージにユーザクラスＩＤの識別情報を付与して送信する端末装置と、前記ネットワークと端末装置間に接続される請求項１７または１８に記載のアクセス制御装置と、前記ネットワークに接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバとを備え、前記認証サーバからの認証応答に応じて、前記アクセス制御装置が、前記端末装置の接続要求に必要な情報を、該端末装置に応答することを特徴とする。
【００５７】
この発明によれば、アクセス制御装置にＤＨＣＰサーバの機能を持たせ、アクセス制御装置によって送信されるアクセス要求メッセージに付与されるユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および端末装置で接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００５８】
また、請求項２４にかかるアクセス制御システムでは、少なくとも一つの特定ネットワークへの接続要求に対し、該特定ネットワーク毎に接続要求に必要な情報の応答を行うアクセス制御システムにおいて、前記特定ネットワークのうち、ある特定ネットワークに対応するユーザクラスＩＤの識別情報を付与した前記接続要求のための要求メッセージを送信する端末装置と、前記各特定ネットワークと端末装置間に接続される請求項１９〜２１のいずれか一つに記載のアクセス制御装置と、前記特定ネットワーク毎にそれぞれ接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、前記特定ネットワーク毎にそれぞれ接続され、前記要求メッセージに付与された識別情報に応じて、前記端末装置の接続要求に必要な情報を応答するＤＨＣＰサーバとを備え、前記特定ネットワーク毎に端末装置の認証および該端末装置の接続要求に必要な情報の応答を行うことを特徴とする。
【００５９】
この発明によれば、たとえば端末装置による接続要求が可能なネットワークが複数ある場合に、ある特定ネットワークに対応するユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して複数のネットワークに一つずつのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００６０】
【発明の実施の形態】
以下に図１〜図４４の添付図面を参照して、この発明にかかるアクセス制御方法、アクセス制御装置およびその装置を用いたアクセス制御システムの好適な実施の形態を説明する。なお、以下の図において、図４５と同様の構成部分に関しては、説明の都合上、同一符号を付記するものとする。
【００６１】
（実施の形態１）
図１は、この発明にかかるアクセス制御システムの実施の形態１の構成を示す構成図である。図１において、図４５と異なる点は、コアネットワークＡ上に認証サーバを接続させて、ＲＡＤＩＵＳのプロトコルを用いて、接続要求を行うＰＣの認証を行う点と、これに伴いＤＨＣＰサーバ１０、ＰＥルータ２０およびＰＣ５０の構成と動作が異なる点である。
【００６２】
まず、ＤＨＣＰサーバ１０は、図２に示すように、コアネットワークＡと接続されてメッセージなどのパケットの入出力を行うＬＡＮインターフェース１１と、ＬＡＮインターフェース１１と接続されてパケットの送受信を行うパケット送信部１２およびパケット受信部１３と、ＤＨＣＰを用いてメッセージの処理制御を行うＤＨＣＰ制御部１４と、ユーザの設定情報がエントリされるユーザ設定情報テーブル１５とから構成されている。
【００６３】
ＤＨＣＰ制御部１４は、ＤＨＣＰパケットのタイプに応じたパケット処理を行っており、たとえばプールされているＩＰアドレスを、リクエストメッセージにより要求を行ったクライアントのＰＣに割り当てるなどの処理制御を行っている。なお、この処理は後述する。
【００６４】
ユーザ設定情報テーブル１５は、図３に示すように、接続要求を行う各クライアントのＰＣ５０のユーザＩＤと、割り当てられたＩＰアドレスと、サブネットマスクと、中継を行うＰＥルータのＩＰアドレスと、図示しないＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバのＩＰアドレスと、割り当てられたアドレスの利用可能時間とからなるデータによって構成されている。
【００６５】
なお、このシステムにおいて、ＤＨＣＰサーバ１０とＰＣ５０間で伝送されるＤＨＣＰメッセージパケットは、図４のフォーマットに示すように、ＭＡＣヘッダ、ＩＰヘッダおよびＵＤＰヘッダが付与されたＤＨＣＰのメッセージで構成されている。なお、このＤＨＣＰメッセージが、クライアントからＤＨＣＰサーバに送信される場合には、ＵＤＰヘッダ内のＵＤＰポート番号のうち、ｄポートが「６７」の値で、ｓポートが「６８」の値となり、またＤＨＣＰサーバからクライアントに送信される場合には、ｄポートが「６８」の値で、ｓポートが「６７」の値となる。
【００６６】
このＤＨＣＰメッセージは、図５のフォーマットに示すように、ｏｐ、ｈｔｙｐｅ、ｈｌｅｎ、ｈｏｐｓ、ｘｉｄ、ｓｅｃｓ、ｆｌａｇｓ、ｃｉａｄｄｒ、ｙｉａｄｄｒ、ｓｉａｄｄｒ、ｇｉａｄｄｒ、ｃｈａｄｄｒ、ｓｎａｍｅ、ｆｉｌｅおよびｏｐｔｉｏｎｓの各フィールドからなっており、このメッセージのフィールドのうち、この実施の形態で特に関わってくるのは、ｙｉａｄｄｒおよびｏｐｔｉｏｎｓの各フィールドである。
【００６７】
このｙｉａｄｄｒは、ＤＨＣＰサーバから接続アクセス要求を行ったクライアントＰＣに割り当てられるＩＰアドレスであり、ｏｐｔｉｏｎｓフィールドは、オペレーションのパラメータを設定するフィールドからなる。このｏｐｔｉｏｎｓフィールドのうち、この実施の形態で特に関わってくるのは、図６〜図１３のフォーマットに示すように、ＤＨＣＰメッセージタイプ、ユーザクラスＩＤ、リレーエージェント情報、エージェントサーキットＩＤ、サブネットマスク、ルータ、ドメインネームサーバおよびＩＰアドレスリースタイムの各オプションである。
【００６８】
このＤＨＣＰサーバ１０では、図１４のデータ処理動作を説明するためのフローチャートに示すように、パケット受信部１３がＬＡＮインターフェース１１からパケットを受信している（ステップ１０１）。ＤＨＣＰ制御部１４は、この受信パケットがＤＨＣＰパケットの場合には（ステップ１０２）、まずこの受信されたＤＨＣＰパケットがディスカバーメッセージか判断し（ステップ１０３）、ディスカバーメッセージの場合には、オファーメッセージをクライアントへ送信する（ステップ１０４）。このメッセージの判断は、図６に示したコード「５３」で規定されるＤＨＣＰメッセージタイプオプションのタイプ「１−８」によって判断されている。ここで、タイプ「１」はディスカバーメッセージを、タイプ「２」はオファーメッセージを、タイプ「３」はリクエストメッセージを、タイプ「４」はディクライン（ＤＥＣＬＩＮＥ）メッセージを、タイプ「５」はＡＣＫメッセージを、タイプ「６」はＮＡＫメッセージを、タイプ「７」はリリース（ＲＥＬＥＡＳＥ）メッセージを、またタイプ「８」はインフォーム（ＩＮＦＯＲＭ）メッセージをそれぞれ示している。
【００６９】
また、この受信されたＤＨＣＰメッセージがオファーメッセージの場合には（ステップ１０５）、このパケットを廃棄し（ステップ１０６）、リクエストメッセージの場合には（ステップ１０７）、メッセージ中のユーザクラスＩＤオプション（図７参照）を取り出し、そのユーザクラスデータ中のユーザＩＤを抽出してユーザ設定情報テーブル１５で検索し、このユーザＩＤが検索されると、このテーブル１５にエントリされている各情報をＤＨＣＰオプションのフィールドに付加してＡＣＫメッセージを作成し、パケット送信部１２からクライアントに送信する（ステップ１０８）。
【００７０】
また、この受信されたＤＨＣＰメッセージがＡＣＫメッセージの場合には（ステップ１０９）、このパケットを廃棄し（ステップ１１０）、ディクラインメッセージの場合には（ステップ１１１）、ＡＣＫメッセージで割り当てたＩＰアドレスを異常と判断し（ステップ１１２）、ＮＡＫメッセージの場合には（ステップ１１３）、このパケットを廃棄し（ステップ１１４）、リリースメッセージの場合には（ステップ１１５）、クライアントに割り当てていたＩＰアドレスをプールへ返し（ステップ１１６）、インフォームメッセージの場合には（ステップ１１７）、このメッセージを記録する（ステップ１１８）。また、受信されたパケットがこれらのいずれのタイプのメッセージでない場合には、このパケットを廃棄して（ステップ１１９）、上記フローチャートの動作を終了する。
【００７１】
図１５は、図１に示したＰＥルータ２０の構成を示す構成図である。図において、ＰＥルータ２０は、コアネットワークＡまたは集線装置３０と接続されて、パケットの送受信を行うパケット送信部２１およびパケット受信部２２と、パケットのフィルタリング処理や中継処理を行うＩＰ中継制御部２３と、ＤＨＣＰを用いてＤＨＣＰメッセージの処理制御を行うＤＨＣＰ制御部２４と、ＲＡＤＩＵＳを用いてＲＡＤＩＵＳメッセージの処理制御を行う認証制御部２５と、ＩＰ中継制御部２３に接続されるフィルタリング用テーブル２６と、ＤＨＣＰ制御部２４に接続されるサーキットＩＤテーブル２７とから構成されている。
【００７２】
パケット受信部２２は、パケットをコアネットワークＡまたは集線装置３０から受信すると、受信処理を行っている。すなわち、ＰＥルータ２０では、図１６のフローチャートに示すように、パケット受信部２２がパケットを受信すると（ステップ２０１）、パケット受信部２２でのデータ処理に移行し（ステップ２０２）、この受信パケットがＩＰパケットとＡＲＰパケットのいずれかのパケットかどうか判断する（ステップ２０３）。ここで、受信パケットがＩＰ／ＡＲＰのいずれかのパケットの場合には、ＩＰ中継処理部に受信パケットを出力してＩＰ中継制御部２３でのデータ処理に移行し（ステップ２０４）、またこの受信パケットがＩＰ／ＡＲＰのいずれのパケットでもない場合には、パケットを廃棄している（ステップ２０５）。
【００７３】
ＩＰ中継制御部２３は、パケット受信部２２で受信されたパケットの種類判別およびフィルタリング用テーブル２６にエントリされている内容に基づいて、パケットの中継または遮断処理を行う。また、フィルタリング用テーブル２６は、図１７の構成図に示すように、宛先アドレスおよびサブネットマスクの情報と、送信元アドレスおよびサブネットマスクの情報と、パケットの入力ポートと、出力ポートと、パケットの中継／遮断を示す情報とが対応付けられてエントリされている。
【００７４】
ＩＰ中継制御部２３は、図１６に示すように、ＰＥルータ２０での処理動作がＩＰ中継処理部での制御に移行すると（ステップ２０４）、まず受信パケットがＤＨＣＰメッセージパケットかどうか判断し（ステップ２０６）、ＤＨＣＰメッセージパケットの場合には、ＤＨＣＰ制御部２４のデータ処理に移行する（ステップ２０７）。また、この受信パケットがＤＨＣＰメッセージパケットでない場合には、ＲＡＤＩＵＳメッセージパケットかどうか判断し（ステップ２０８）、ＲＡＤＩＵＳメッセージパケットの場合には、認証制御部２５のデータ処理に移行する（ステップ２０９）。
【００７５】
また、この受信パケットがＲＡＤＩＵＳメッセージパケットでない場合には、ＩＰ中継制御部２３は、受信パケット内の宛先アドレス、送信元アドレスを抽出し、この宛先アドレス、送信元アドレスに基づいてフィルタリング用テーブルを検索し（ステップ２１０）、この受信パケットが中継パケットかどうかを、該当するエントリの中継／遮断の情報から判断する（ステップ２１１）。ここで、この受信パケットが中継パケットでない場合には、この受信パケットを廃棄し（ステップ２０５）、また受信パケットが中継パケットの場合には、この受信パケットをパケット送信部２１から送信する（ステップ２１２）。
【００７６】
ＤＨＣＰ制御部２４は、ＤＨＣＰのプロトコルを用いて受信されたＤＨＣＰメッセージを、そのタイプに応じたデータ処理の制御を行うとともに、ディスカバーメッセージを受信した際に、サーキットＩＤテーブル２７を参照してリレーエージェント情報の追加処理を行って、ＤＨＣＰサーバ１０へ転送し、またリクエストメッセージを受信した際に、ユーザクラスＩＤを取り出してＲＡＤＩＵＳメッセージを、認証サーバ６０へ転送している。また、サーキットＩＤテーブル２７は、図１８の構成図に示すように、メッセージが入力する物理ポートと、この物理ポートが所属するＶＬＡＮの番号と、サーキットＩＤの情報とが対応付けられてエントリされている。
【００７７】
なお、このシステムにおいて、ＰＥルータ２０と認証サーバ６０間で伝送されるＲＡＤＩＵＳパケットは、図２１のフォーマットに示すように、ＭＡＣヘッダ、ＩＰヘッダおよびＵＤＰヘッダが付与されたＲＡＤＩＵＳメッセージで構成されている。このＲＡＤＩＵＳメッセージは、図２２のフォーマットに示すように、メッセージのコードと、識別子と、メッセージ長と、メッセージを認証する認証データと、属性値とから構成されており、この属性値は、図２３のフォーマットに示すように、タイプと、メッセージ長と、値などから構成されており、この実施の形態で特に関わってくるのは、タイプを示すユーザネイムとユーザパスワードのフィールドに、ユーザＩＤとパスワードの情報を付与する点である。
【００７８】
このＤＨＣＰ制御部２４では、図１９のデータ処理動作を説明するためのフローチャートに示すように、パケット受信部２２がＤＨＣＰメッセージパケットを受信すると（ステップ３０１）、ＤＨＣＰ制御部２４は、まずこの受信されたＤＨＣＰパケットがディスカバーメッセージか判断し（ステップ３０２）、ディスカバーメッセージの場合には、図２０に示すリレーエージェント情報の追加処理を行う（ステップ３０３）。このメッセージの判断でも、上述したごとく、図６に示したコード「５３」で規定されるＤＨＣＰメッセージタイプオプションのタイプ「１−８」によって判断されている。
【００７９】
図２０では、ＤＨＣＰ制御部２４は、受信したディスカバーメッセージの物理ポートとＶＬＡＮ ＩＤを取得し（ステップ４０１）、この取得した物理ポートとＶＬＡＮ ＩＤとからサーキットＩＤテーブル２７を検索し、該当するサーキットＩＤの情報を検出する（ステップ４０２）。そして、サーキットＩＤがあるかどうか判断する（ステップ４０３）。ここで、サーキットＩＤがサーキットＩＤテーブル２７にない場合は、受信されたディスカバーメッセージを廃棄し、以降のデータ処理を行わない（ステップ４０４）。また、サーキットＩＤがある場合には、図８に示したリレーエージェント情報オプション内のエージェント情報に付与されたサーキットＩＤをディスカバーメッセージに追加する（ステップ４０５）。
【００８０】
そして、ＤＨＣＰ制御部２４は、図１９のステップ３０３において、ディスカバーメッセージの宛先アドレスを「ＤＨＣＰサーバ１０のアドレス」に、送信元アドレスを「自装置（ＰＥルータ２０）のＩＰアドレス」に書き換えてＤＨＣＰサーバ１０に送信する。また、受信パケットがオファーメッセージの場合には（ステップ３０４）、オファーメッセージの宛先アドレスを「ブロードキャスト」、送信元アドレスを「自装置２０のＩＰアドレス」に書き換えて、クライアントであるＰＣ５０に送信する（ステップ３０５）。
【００８１】
また、この受信されたＤＨＣＰメッセージがリクエストメッセージの場合には（ステップ３０６）、メッセージ中のユーザクラスＩＤオプション内のユーザクラスデータ（図７参照）に付与されたユーザＩＤと、パスワードとを取り出し、これらを属性値のフィールドに付与してＲＡＤＩＵＳメッセージの中のアクセス−リクエストのメッセージを作成して、認証サーバ６０に送信するとともに、このＤＨＣＰのリクエストメッセージを保存して、ＲＡＤＩＵＳメッセージの中のアクセス−アクセプトのメッセージが受信されるのを待つ（ステップ３０７）。
【００８２】
また、この受信されたＤＨＣＰメッセージがＡＣＫメッセージの場合には（ステップ３０８）、宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置２０のＩＰアドレス」に書き換えてクライアントのＰＣに送信する。同時に、ＰＥルータ２０のフィルタリング用テーブル２６にＤＨＣＰで配布するＩＰアドレスを登録し、中継を許可する。またＡＣＫメッセージ内の利用時間の情報を取得し、装置内の図示しないクライアント監視タイマを再スタートする（ステップ３０９）。この監視タイマには、データ中継を許可する利用時間がクライアント毎に設定されており、ＤＨＣＰ制御部２４は、図２４のフローチャートに示すように、タイマが満了すると（ステップ４１１）、フィルタリング用テーブル２６の中継の許可を遮断する「遮断」に変更し、これ以降、そのクライアントのデータ中継を停止する（ステップ４１２）。
【００８３】
また、図１９において、この受信されたＤＨＣＰメッセージがディクラインメッセージの場合には（ステップ３１０）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバ１０のアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバ１０に送信する（ステップ３１１）。また、ＮＡＫメッセージの場合には（ステップ３１２）、メッセージの宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置２０のＩＰアドレス」に書き換えてクライアントに送信する（ステップ３１３）。
【００８４】
また、この受信されたＤＨＣＰメッセージがリリースメッセージの場合には（ステップ３１４）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスをＤＨＣＰサーバ１０のアドレスに、送信元アドレスを自装置のアドレスに書き換えて、ＤＨＣＰサーバ１０に送信するとともに、該当するフィルタリング用テーブル２６のエントリを削除し、クライアント監視タイマを停止する（ステップ３１５）。
【００８５】
さらに、この受信されたＤＨＣＰメッセージがインフォームメッセージの場合には（ステップ３１６）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバ１０のアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバ１０に送信する（ステップ３１７）。また、受信されたパケットがこれらのいずれのタイプのメッセージでない場合には、このパケットを廃棄して（ステップ３１８）、上記フローチャートの動作を終了する。
【００８６】
次に、認証制御部２５は、ＲＡＤＩＵＳのプロトコルを用いて受信されたＲＡＤＩＵＳメッセージのコードに応じた処理制御を行う。すなわち、認証制御部２５は、図２５のフローチャートに示すように、認証サーバ６０からのＲＡＤＩＵＳパケットが受信されると（ステップ４２１）、この受信パケットのコードから判断して、アクセス−アクセプト（Ａｃｃｅｓｓ−Ａｃｃｅｐｔ）メッセージの場合には（ステップ４２２）、認証が許可されたと判断し、ＤＨＣＰのリクエストメッセージをＤＨＣＰサーバ１０に送信する（ステップ４２３）。
【００８７】
また、受信されたＲＡＤＩＵＳパケットがアクセス−リジェクト（Ａｃｃｅｓｓ−Ｒｅｊｅｃｔ）メッセージの場合には（ステップ４２４）、認証が許可されなかったと判断し、保持しているＤＨＣＰのリクエストメッセージを廃棄して（ステップ４２５）、上記動作を終了する。
【００８８】
図２６は、図１に示したＰＣ５０の構成を示す構成図である。図において、ＰＣ５０は、集線装置３０やレイヤ２のスイッチ４０を介してＰＥルータ２０と接続されて、ＤＨＣＰパケットの入出力を行うＬＡＮインターフェース５１と、パケットの送受信を行うパケット送信部５２およびパケット受信部５３と、ＤＨＣＰのプロトコルを用いてＤＨＣＰメッセージの処理制御を行うＤＨＣＰ処理部５４とから構成されている。
【００８９】
このＰＣ５０では、図２７のフローチャートに示すように、ＰＣ５０の初期化処理またはコマンドによりＤＨＣＰの再起動が行われると（ステップ４３１）、ＤＨＣＰ処理部５４は、ネットワークへの接続アクセス要求を行うために、ディスカバーメッセージを作成して、このディスカバーメッセージをパケット送信部５２からＬＡＮインターフェース５１を介してＰＥルータ２０に送信し（ステップ４３２）、内部に設けた監視タイマを起動させてオファーメッセージの受信待ち状態になる（ステップ４３３）。
【００９０】
そして、このタイマがタイムアウトになるまで（ステップ４３４）、オファーメッセージの受信があったかどうか判断しており（ステップ４３５）、タイマがタイムアウトになると、通信不可能状態に遷移し、コマンドによりＰＣ５０がＤＨＣＰ再起動待ちの状態なる（ステップ４３６）。次に、オファーメッセージの受信がなされると、ユーザクラスＩＤを付加したリクエストメッセージを作成して、このリクエストメッセージをＰＥルータ２０に送信して（ステップ４３７）、監視タイマを起動させてＡＣＫメッセージの受信待ち状態に遷移する（ステップ４３８）。
【００９１】
そして、このタイマがタイムアウトになるまで、ＡＣＫメッセージの受信があったかどうか判断しており（ステップ４４０）、タイマがタイムアウトになると（ステップ４３９）、通信不可能状態に遷移し、コマンドによりＰＣ５０がＤＨＣＰ再起動待ちの状態なる（ステップ４３６）。次に、ＡＣＫメッセージの受信がなされると（ステップ４４０）、このメッセージから得られたＩＰアドレス、ルータアドレス、ＤＮＳサーバアドレスなどの情報を、図示しない内部テーブルに設定し、アドレス利用タイマをスタートさせる（ステップ４４１）。次に、このアドレス利用タイマが満了すると（ステップ４４２）、ユーザクラスＩＤを付加して、リクエストメッセージをＰＥルータに送信する。
【００９２】
図２８は、認証サーバ６０の構成を示す構成図である。図において、認証サーバ６０は、コアネットワークＡと接続されてメッセージなどのパケットの入出力を行うＬＡＮインターフェース６１と、ＬＡＮインターフェース６１と接続されてパケットの送受信を行うパケット送信部６２およびパケット受信部６３と、ＲＡＤＩＵＳのプロトコルを用いて認証の処理制御を行う認証制御部６４と、アクセスネットワークユーザ認証テーブル６５とから構成されている。
【００９３】
認証制御部６４は、アクセスネットワークユーザ認証テーブル６５にエントリされているユーザ認証情報に基づいて、受信されたＲＡＤＩＵＳメッセージの認証を行っている。アクセスネットワークユーザ認証テーブル６５は、図２９の構成図に示すように、クライアントのユーザＩＤとパスワードが予め対応付けられてエントリされている。
【００９４】
このような構成において、認証サーバ６０は、図３０のフローチャートに示すように、パケット受信部６３がＬＡＮインターフェース６１を介してパケットを受信すると（ステップ４５１）、このパケットがＲＡＤＩＵＳメッセージかどうか判断される（ステップ４５２）。ここで、このパケットがＲＡＤＩＵＳメッセージでない場合には、受信パケットが廃棄され（ステップ４５３）、またＲＡＤＩＵＳメッセージの場合には、このメッセージ内のユーザ認証情報からアクセスネットワークユーザ認証テーブル６５を検索して認証制御部６４の認証処理動作によるユーザの認証がなされる（ステップ４５４）。
【００９５】
そして、認証制御部６４は、受信したアクセス−リクエストのメッセージ中のユーザＩＤとパスワードが、アクセスネットワークユーザ認証テーブル６５にエントリされている内容と一致すると、認証の許可を与えており、認証が許可された場合には（ステップ４５５）、認証制御部６４は、ＲＡＤＩＵＳメッセージのアクセス−アクセプトのメッセージを作成し（ステップ４５６）、また認証が許可されなかった場合には（ステップ４５５）、アクセス−リジェクトのメッセージを作成して（ステップ４５７）、パケット送信部６２からＬＡＮインターフェース６１を介してコアネットワークＡに送信する（ステップ４５８）。
【００９６】
次に、図３１の認証対応のＤＨＣＰのプロトコルシーケンスを示すシーケンス図と、図３２のシステム全体における実施の形態１のメッセージの流れを示すフローチャートに基づいて、アクセス制御システムでのアクセス制御の動作を説明する。
【００９７】
図３１、図３２において、まず、初期化処理などでネットワークへの接続アクセス要求を行うＰＣ５０は、送信元アドレスが「０」で、宛先アドレスが「ブロードキャスト」のＤＨＣＰのディスカバーメッセージを作成し、集線装置３０または集線装置３０および４０を介して、ＰＥルータ２０に送信する。
【００９８】
このディスカバーメッセージを受信したＰＥルータ２０は、このメッセージを受信した物理ポートとＶＬＡＮ ＩＤを取得し、この物理ポートとＶＬＡＮ ＩＤの情報からサーキットＩＤテーブル２７を検索して、該当するサーキットＩＤを抽出する。そして、このディスカバーメッセージに、この抽出したサーキットＩＤが付与されたリレーエージェント情報オプションを追加し、かつ送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ＤＨＣＰサーバ１０のＩＰアドレス」に書き換えて、コアネットワークＡを介して、ＤＨＣＰサーバ１０に転送する。
【００９９】
自装置宛のディスカバーメッセージを受信したＤＨＣＰサーバ１０は、ＤＨＣＰメッセージのタイプオプションのタイプ情報から、メッセージがディスカバリーであることを認識し、かつサーキットＩＤを認識する。次に、ＤＨＣＰサーバ１０は、応答用のオファーメッセージに、サーキットＩＤが付与されたリレーエージェント情報オプション（受信したディスカバーメッセージに追加されていたリレーエージェント情報オプション）を追加し、かつ送信元アドレスを「自装置１０のＩＰアドレス」に、宛先アドレスを「ＰＥルータ２０のＩＰアドレス」に設定し、コアネットワークＡを介して、ＰＥルータ２０に送信する。
【０１００】
ＰＥルータ２０は、このオファーメッセージを受信すると、このオファーメッセージの送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ブロードキャスト」に書き換える。さらにＰＥルータは、この受信したオファーメッセージに付与されたサーキットＩＤを抽出し、このサーキットＩＤからサーキットＩＤテーブル２７を検索して、該当する物理ポートを抽出し、作成したこのオファーメッセージを、この抽出した物理ポート（以前にディスカバーメッセージを受信した物理ポート）を介してＰＣ５０に送信する。
【０１０１】
ＰＣ５０は、このオファーメッセージを受信すると、ユーザＩＤとパスワードが付与されたユーザクラスＩＤオプションを追加し、かつ送信元アドレスが「０」で、宛先アドレスが「ブロードキャスト」のＤＨＣＰのリクエストメッセージを作成し、このリクエストメッセージをＰＥルータ２０に送信する。
【０１０２】
このリクエストメッセージを受信したＰＥルータ２０は、メッセージ中のユーザクラスＩＤに付与されたユーザＩＤとパスワード（図７参照）を抽出し、これらを属性値のフィールド（図２１、図２２参照）に付与して、ＲＡＤＩＵＳのアクセス−リクエストのメッセージを作成し、このアクセス−リクエストのメッセージを認証サーバ６０に送信する。さらに、ＰＥルータ２０は、このリクエストメッセージを受信した物理ポートとＶＬＡＮを取得し、この物理ポートとＶＬＡＮの情報からサーキットＩＤテーブル２７を検索して、該当するサーキットＩＤを抽出する。次に、ＰＥルータ２０は、このリクエストメッセージに、この抽出したサーキットＩＤが付与されたリレーエージェント情報オプションを追加して、たとえば内部のバッファなどに保持する。
【０１０３】
認証サーバ６０は、このアクセス−リクエストのメッセージを受信すると、このメッセージ中のユーザクラスＩＤを抽出し、このユーザクラスＩＤの内容がアクセスネットワークユーザ認証テーブル６５にエントリされている内容と一致すると、この抽出したユーザクラスＩＤを属性値のフィールド（図２１、図２２参照）に付与して、アクセス−アクセプトのメッセージを作成し、このメッセージをＰＥルータ２０に送信する。
【０１０４】
このアクセス−アクセプトのメッセージを受信すると、ＰＥルータ２０は、アクセス−アクセプトのメッセージに付与されたユーザクラスＩＤ（図２１〜図２３参照）を抽出する。次に、ＰＥルータ２０は、内部に保持していたＤＨＣＰのリクエストメッセージの送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ＤＨＣＰサーバ１０のＩＰアドレス」に設定し、コアネットワークＡを介して、リレーエージェント情報オプションとユーザクラスＩＤとが付与されたリクエストメッセージをＤＨＣＰサーバ１０に送信する。
【０１０５】
ＤＨＣＰサーバ１０は、このリクエストメッセージを受信すると、ユーザクラスＩＤオプション中のユーザＩＤを抽出し、このユーザＩＤからユーザ設定情報テーブル１５を検索し、割り当てられたＩＰアドレスを含む該当エントリの各情報が付与されたＤＨＣＰオプションのフィールドに追加して、ＡＣＫメッセージを作成し、このＤＨＣＰオプションと、サーキットＩＤが付与されたリレーエージェント情報オプション（受信したリクエストメッセージに追加されていたリレーエージェント情報オプション）が追加されたＡＣＫメッセージをＰＥルータ２０に送信する。
【０１０６】
ＰＥルータ２０は、このＡＣＫメッセージを受信すると、このＡＣＫメッセージからリレーエージェント情報オプションを削除し、このＡＣＫメッセージを集線装置３０または集線装置３０および４０を介してＰＣ５０に送信する。また、課金サーバなどがネットワーク上に接続されている場合には、ＰＥルータと課金サーバ間で、ＲＡＤＩＵＳのアカウンティングリクエストとアカウンティングアクセプトを送受信して課金に関する情報をやり取りすることも可能である。
【０１０７】
また、ＰＣ５０が、一旦ＩＰアドレスを取得した後で、リースタイムが満了する前にＩＰアドレスの再取得を行う場合も考えられるが、この場合には、図３２の▲５▼に示したユーザクラスＩＤが付与されたＤＨＣＰリクエストを、ＰＣ５０からＤＨＣＰサーバ１０宛に送信することになる。そして、図３２の▲５▼以降の動作を繰り返すシーケンスを行うことで、継続した通信サービスの提供を受けることが可能となる。
【０１０８】
このように、この実施の形態では、クライアントからのクラスＩＤと、ＰＥルータのサーキットＩＤとの組み合わせによって、ＤＨＣＰサーバからアサインするアドレスを決定するので、一つのクラスＩＤに対して一つのアドレスのみをアサインすることが可能となり、プールされているアドレスを的確に割り当てることができる。このため、たとえば異なるアクセスポイントからネットワークに接続しても、このクラスＩＤとサーキットＩＤとの組み合わせで一意的にクライアントを特定することができるので、異なるアクセスポイントからの接続アクセス要求に対しても、正規のクライアントを特定して、容易にアドレスをアサインすることができる。
【０１０９】
また、この実施の形態では、クライアントへのアドレスの配布と同時に、ＰＥルータでアサインするアドレス宛のパケットのみ通過させるフィルタを自動設定するので、正規のクライアントにのみにコンテンツ配信などの通信サービスを提供することができ、クライアントがアドレス詐称などを行って、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）アタック（サービス不能攻撃）を行うことを排除することができる。
【０１１０】
また、この実施の形態では、タグＶＬＡＮを用いて多重化しているので、どのＶＬＡＮかによって、接続されている回線がわかる。そこで、この発明では、たとえば図９に示したエージェントサーキットＩＤサブオプションの値（Ｖａｌｕｅ）のフィールドに、ＶＬＡＮの識別子であるＶＬＡＮ ＩＤを付与して、サーキットＩＤとの組み合わせによって、ＤＨＣＰサーバからアサインするアドレスを決定するように構成することも可能である。この場合には、アクセスポイント固定で使用することで、上記の効果を得ることができる。
【０１１１】
なお、この実施の形態では、クライアントのＰＣ５０からはＤＨＣＰディスカバーメッセージのみを送信するようにしたが、この発明はこれに限らず、このディスカバーメッセージにユーザクラスＩＤを付与して送ることも可能である。この場合には、このディスカバーメッセージをＤＨＣＰサーバ１０に転送する前に、ＰＥルータ２０からアクセス−リクエストのメッセージを認証サーバ６０へ送信することが可能となり、この結果、認証サーバ６０での認証の問い合わせを行うことが可能となる。従って、この場合において、認証が不可のときには、ＤＨＣＰサーバ１０へのアクセスが不要となり、不必要なメッセージ転送を削減することができる。
【０１１２】
また、この発明では、ＡＣＫメッセージの転送時に、ＰＥルータ２０のＩＰ中継制御部２３が、このＡＣＫメッセージの送信元アドレスを、ＤＨＣＰサーバ１０のＩＰアドレスから自ルータ２０のＩＰアドレスに変更して、クライアントであるＰＣ５０に転送することも可能である。この場合には、次にＰＣ５０からＤＨＣＰサーバ１０への更新要求がなされた際に、認証制御部２５の認証制御によってアクセス−リクエストのメッセージを認証サーバ６０に送信できるようにして、この認証サーバ６０で、このＰＣ５０に対する再認証を可能にすることができ、クライアント認証の信頼性を高めることができる。
【０１１３】
また、ユーザクラスＩＤとサーキットＩＤは、上述したＤＨＣＰメッセージのｏｐｔｉｏｎｓの他に、たとえばＤＨＣＰメッセージのｏｐｔｉｏｎｓの一つであるベンダー拡張インフォメーションに定義することも可能である。この場合には、ユーザクラスＩＤオプションとサーキットＩＤオプションを、このベンダー拡張インフォメーションの値（Ｖａｌｕｅ）に、それぞれ定義されたコードで連続して付与することが可能となる。
【０１１４】
（実施の形態２）
図３３は、実施の形態２にかかるＰＥルータの構成を示す構成図である。なお、以下の図において、図１５および図３２と同様な構成部分に関しては、説明の都合上、同一符号を付記するものとする。
【０１１５】
図３３において、実施の形態１に示したＰＥルータと異なる点は、ルータにＤＨＣＰサーバの機能を内蔵させた点で、すなわち、ＤＨＣＰ制御部２４にこのサーバの機能を組み込むとともに、図３のユーザ設定情報テーブルと同一構成のユーザ設定情報テーブル２８をＤＨＣＰ制御部２４に接続させるものである。
【０１１６】
このＤＨＣＰ制御部２４では、図３４のデータ処理動作を説明するためのフローチャートに示すように、パケット受信部２２がＤＨＣＰメッセージパケットを受信すると（ステップ５０１）、ＤＨＣＰ制御部２４は、まずこの受信されたＤＨＣＰパケットがディスカバーメッセージかどうか判断し（ステップ５０２）、ディスカバーメッセージの場合には、オファーメッセージをクライアントのＰＣ５０に送信する（ステップ５０３）。
【０１１７】
また、受信パケットがオファーメッセージの場合には（ステップ５０４）、オファーメッセージを廃棄し（ステップ５０５）、またリクエストメッセージの場合には（ステップ５０６）、メッセージ中のユーザクラスＩＤオプションのユーザクラスＩＤ（図７参照）に付与されたユーザＩＤと、パスワードとを取り出し、これらを属性値のフィールドに付与してＲＡＤＩＵＳメッセージの中のアクセス−リクエストのメッセージを作成して、認証サーバ６０に送信するとともに、このＤＨＣＰのリクエストメッセージを保存して、ＲＡＤＩＵＳアクセス−アクセプトが受信されるのを待つ（ステップ５０７）。
【０１１８】
また、この受信されたＤＨＣＰメッセージがＡＣＫメッセージの場合には（ステップ５０８）、ＡＣＫメッセージを廃棄し（ステップ５０９）、ディクラインメッセージの場合には（ステップ５１０）、割り当てたアドレスを異常と判断する（ステップ５１１）。また、ＮＡＫメッセージの場合には（ステップ５１２）、ＮＡＫメッセージを廃棄し（ステップ５１３）、またリリースメッセージの場合には（ステップ５１４）、割り当てたアドレスをプールに返す（ステップ５１５）。さらに、この受信されたＤＨＣＰメッセージがインフォームメッセージの場合には（ステップ５１６）、このメッセージを記録する（ステップ５１７）。また、受信されたパケットがこれらのいずれのタイプのメッセージでない場合には、このパケットを廃棄して（ステップ５１８）、上記フローチャートの動作を終了する。
【０１１９】
次に、認証制御部２５は、ＲＡＤＩＵＳのプロトコルを用いて受信されたＲＡＤＩＵＳメッセージのコードに応じた処理制御を行う。すなわち、認証制御部２５は、図３５のフローチャートに示すように、認証サーバ６０からのＲＡＤＩＵＳパケットが受信されると（ステップ５５１）、この受信パケットのコードから判断して、アクセス−アクセプトメッセージの場合には（ステップ５５２）、認証が許可されたと判断し、ＤＨＣＰのＡＣＫメッセージをクライアントのＰＣ５０に送信する（ステップ５５３）。
【０１２０】
また、受信されたＲＡＤＩＵＳパケットがアクセス−リジェクトメッセージの場合には（ステップ５５４）、認証が許可されなかったと判断し、保持しているＤＨＣＰのリクエストメッセージを廃棄して（ステップ５５５）、上記動作を終了する。
【０１２１】
次に、図３６のシステム全体における実施の形態２のメッセージの流れを示すフローチャートに基づいて、アクセス制御システムでのアクセス制御の動作を説明する。
【０１２２】
ＰＣ５０からディスカバーメッセージを受信すると、ＰＥルータ２０は、ディスカバーメッセージを受信したポートを介してＰＣ５０にオファーメッセージを送信する。
【０１２３】
ＰＣ５０は、このオファーメッセージを受信すると、ユーザＩＤとパスワードが付与されたユーザクラスＩＤオプションを追加したリクエストメッセージを作成し、このリクエストメッセージをＰＥルータ２０に送信する。
【０１２４】
このリクエストメッセージを受信したＰＥルータ２０は、メッセージ中のユーザクラスＩＤに付与されたユーザＩＤとパスワードを抽出し、これらを属性値のフィールドに付与して、ＲＡＤＩＵＳのアクセス−リクエストのメッセージを作成し、このアクセス−リクエストのメッセージを認証サーバ６０に送信する。
【０１２５】
認証サーバ６０は、このアクセス−リクエストのメッセージを受信すると、このメッセージ中のユーザクラスＩＤを抽出し、このユーザクラスＩＤの内容がアクセスネットワークユーザ認証テーブル６５にエントリされている内容と一致すると、この抽出したユーザクラスＩＤを属性値のフィールドに付与して、アクセス−アクセプトのメッセージを作成し、このメッセージをＰＥルータ２０に送信する。
【０１２６】
ＰＥルータ２０は、アクセス−アクセプトのメッセージを受信すると、認証が許可されたと判断し、リクエストメッセージの中のユーザクラスＩＤオプションのユーザＩＤを抽出し、このユーザＩＤからユーザ設定情報テーブル２８を検索し、割り当てられたＩＰアドレスを含む該当エントリの各情報が付与されたＤＨＣＰオプションのフィールドを追加したＡＣＫメッセージを作成し、このＡＣＫメッセージをＰＣ５０に送信する。
【０１２７】
このように、この実施の形態では、ＰＥルータにＤＨＣＰサーバを内蔵し、クライアントからのクラスＩＤのみによって、ＰＥルータがアサインするアドレスを決定するので、サーキットＩＤの設定やこれを記憶するテーブルが不要となり、処理手順がほぼ半分となり、ＰＥルータから迅速に、かつ容易にアドレスをアサインすることができ、プールされているアドレスを的確に割り当てることができる。
【０１２８】
また、この実施の形態では、ＤＨＣＰサーバやサーキットＩＤに関わるテーブルなどの構成要件がなくなるので、アクセス制御システムの部品点数が削減されるとともに、製作コストが削減されたアクセス制御システムを提供することができる。
【０１２９】
（実施の形態３）
図３７は、この発明にかかるアクセス制御システムの実施の形態３の構成を示す構成図である。図３７では、コアネットワークＡに接続されたＰＥルータ７０に、たとえば通信事業者である各ＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）１〜３のバックボーンネットワークが接続されており、さらにこのバックボーンネットワークに認証サーバ８０，８２，８４と、ＤＨＣＰサーバ８１，８３，８５がそれぞれ対をなして接続されている。これら認証サーバおよびＤＨＣＰサーバは、実施の形態１で示した認証サーバ６０およびＤＨＣＰサーバ１０と同様の構成になっており、これら認証サーバ８０，８２，８４およびＤＨＣＰサーバ８１，８３，８５は、各ＩＳＰのバックボーンネットワークに接続アクセス要求を行うクライアントの認証およびＩＰアドレスの割り当てを行っている。
【０１３０】
また、ＰＥルータ２０，７０間は、ＭＰＬＳ（Ｍｕｌｔｉ ＰｒｏｔｏｃｏｌＬａｂｅｌ Ｓｗｉｔｃｈｉｎｇ）を用いてネットワーク上にトンネリングを張ってデータ中継を行う透過接続サービスを提供している。
【０１３１】
このようなシステム構成において、ＰＥルータ２０は、実施の形態１に示したＰＥルータに、ＭＰＬＳ中継制御部３１と、ＭＰＬＳラベルテーブル３２を加え、かつサーキットＩＤテーブルを削除した構成になっている。このＭＰＬＳ中継制御部３１は、コアネットワークＡ上にトンネリングを張ってデータ中継の制御を行っており、このＭＰＬＳラベルテーブル３２には、ラベルと、対応するＶＰＮのグループ番号と、所属ポートの情報がエントリされている。
【０１３２】
ＰＥルータ２０では、図４０のフローチャートに示すように、パケット受信部２２がパケットを受信すると（ステップ６０１）、パケット受信部２２でのデータ処理に移行し（ステップ６０２）、この受信パケットがＩＰパケットとＡＲＰパケットのいずれかのパケットかどうか判断する（ステップ６０３）。ここで、受信パケットがＩＰ／ＡＲＰのいずれのパケットでもない場合、ＭＰＬＳのパケットかどうか判断し（ステップ６０４）、ＭＰＬＳのパケットの場合には、ＭＰＬＳ中継制御部３１による中継処理に移行し（ステップ６０５）、またＭＰＬＳのパケットでない場合には、パケットを廃棄している（ステップ６０６）。
【０１３３】
このＭＰＬＳ中継制御部３１では、図４１のＭＰＬＳの中継処理に示すように、受信パケットのラベル値をＭＰＬＳラベルテーブルで検索し（ステップ６５１）、ヒットするエントリがある場合には（ステップ６５２）、ラベルをはずして、所属しているポートにデータを中継する（ステップ６５３）。また、ヒットするエントリがない場合には、パケットを廃棄する（ステップ６５４）。
【０１３４】
図４０において、ＩＰ中継制御部２３は、ＰＥルータ２０での処理動作がＩＰ中継処理部での制御に移行すると（ステップ６０７）、まず受信パケットがＤＨＣＰメッセージパケットかどうか判断し（ステップ６０８）、ＤＨＣＰメッセージパケットの場合には、ＤＨＣＰ制御部２４のデータ処理に移行する（ステップ６０９）。また、この受信パケットがＤＨＣＰメッセージパケットでない場合には、ＲＡＤＩＵＳメッセージパケットかどうか判断し（ステップ６１０）、ＲＡＤＩＵＳメッセージパケットの場合には、認証制御部２５のデータ処理に移行する（ステップ６１１）。
【０１３５】
また、この受信パケットがＲＡＤＩＵＳメッセージパケットでない場合には、ＩＰ中継制御部２３は、受信パケット内の宛先アドレスを抽出し、この宛先アドレスに基づいてフィルタリング用テーブルを検索し（ステップ６１２）、この受信パケットが中継パケットかどうかを、該当するエントリの中継／遮断の情報から判断する（ステップ６１３）。ここで、この受信パケットが中継パケットでない場合には、この受信パケットを廃棄し（ステップ６０６）、また受信パケットが中継パケットの場合には、この受信パケットにラベルを付加し、パケット送信部２１から送信する（ステップ６１４）。
【０１３６】
ＤＨＣＰ制御部２４では、図４２のデータ処理動作を説明するためのフローチャートに示すように、パケット受信部２２がＤＨＣＰメッセージパケットを受信すると（ステップ７０１）、ＤＨＣＰ制御部２４は、まずこの受信されたＤＨＣＰパケットがディスカバーメッセージか判断し（ステップ７０２）、ディスカバーメッセージの場合には、リレーエージェント情報の追加処理を行う。そして、ＤＨＣＰ制御部２４は、ディスカバーメッセージの宛先アドレスをＤＨＣＰサーバのアドレスに、送信元アドレスを自装置（ＰＥルータ２０）のＩＰアドレスに書き換えてＤＨＣＰサーバに送信する（ステップ７０３）。なお、認証サーバやＤＨＣＰサーバにメッセージを送信する場合には、ユーザクラスＩＤの値に応じて、ＩＳＰ毎に管理しているサーバに送信する。これによって、ユーザ管理、アドレス管理を各ＩＳＰが行うことが可能になる。
【０１３７】
また、受信パケットがオファーメッセージの場合には（ステップ７０４）、オファーメッセージの宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置のＩＰアドレス」に書き換えて、ＰＣ５０に送信する（ステップ７０５）。また、この受信されたＤＨＣＰメッセージがリクエストメッセージの場合には（ステップ７０６）、メッセージ中のユーザクラスＩＤオプションに付与されたユーザＩＤと、パスワードとを取り出し、これらを属性値のフィールドに付与してＲＡＤＩＵＳメッセージの中のアクセス−リクエストのメッセージを作成して、認証サーバ６０に送信するとともに、このＤＨＣＰのリクエストメッセージを保存して、ＲＡＤＩＵＳアクセス−アクセプトが受信されるのを待つ（ステップ７０７）。
【０１３８】
また、この受信されたＤＨＣＰメッセージがＡＣＫメッセージの場合には（ステップ７０８）、宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置のＩＰアドレス」に書き換えてクライアントのＰＣに送信する。（ステップ７０９）。また、この受信されたＤＨＣＰメッセージがディクラインメッセージの場合には（ステップ７１０）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバのアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバに送信する（ステップ７１１）。また、ＮＡＫメッセージの場合には（ステップ７１２）、メッセージの宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置のＩＰアドレス」に書き換えてクライアントに送信する（ステップ７１３）。
【０１３９】
また、この受信されたＤＨＣＰメッセージがリリースメッセージの場合には（ステップ７１４）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバのアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバに送信する（ステップ７１５）。
【０１４０】
さらに、この受信されたＤＨＣＰメッセージがインフォームメッセージの場合には（ステップ７１６）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバのアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバに送信する（ステップ７１７）。また、受信されたパケットがこれらのいずれのタイプのメッセージでない場合には、このパケットを廃棄して（ステップ７１８）、上記フローチャートの動作を終了する。
【０１４１】
次に、認証制御部２５は、ＲＡＤＩＵＳのプロトコルを用いて受信されたＲＡＤＩＵＳメッセージのコードに応じた処理制御を行う。すなわち、認証制御部２５は、図４３のフローチャートに示すように、認証サーバ６０からのＲＡＤＩＵＳパケットが受信されると（ステップ８０１）、この受信パケットのコードから判断して、アクセス−アクセプトメッセージの場合には（ステップ８０２）、認証が許可されたと判断し、ＤＨＣＰのリクエストメッセージをＤＨＣＰサーバに送信する（ステップ８０３）。
【０１４２】
また、受信されたＲＡＤＩＵＳパケットがアクセス−リジェクトメッセージの場合には（ステップ８０４）、認証が許可されなかったと判断し、保持しているＤＨＣＰのリクエストメッセージを廃棄して（ステップ８０５）、上記動作を終了する。
【０１４３】
次に、図４４ののシステム全体における実施の形態３のメッセージの流れを示すフローチャートに基づいて、アクセス制御システムでのアクセス制御の動作を説明する。なお、図４４では、ＩＳＰ１の認証サーバ８０とＤＨＣＰサーバ８１に接続アクセス要求を行う場合を説明する。
【０１４４】
まず、接続アクセス要求を行うＰＣ５０は、ユーザＩＤとパスワードが付与されたユーザクラスＩＤオプションを追加したディスカバーメッセージを作成し、集線装置３０、または集線装置３０および４０を介して、ＰＥルータ２０に送信する。この場合、ＰＣ５０は、アクセス要求を行うＩＳＰ毎に異なるユーザクラスＩＤを予め設定しているので、この場合には、たとえばＩＳＰ１に対応したユーザクラスＩＤをディスカバーメッセージに付与して送信する。
【０１４５】
このディスカバーメッセージを受信したＰＥルータ２０は、このメッセージに付与されたユーザクラスＩＤからＩＳＰ１のＤＨＣＰサーバ８１宛のディスカバーメッセージと判断して、このメッセージをＤＨＣＰサーバ８１に転送する。
【０１４６】
自装置宛のディスカバーメッセージを受信したＤＨＣＰサーバ８１は、このディスカバーメッセージからユーザクラスＩＤを抽出し、この抽出したユーザクラスＩＤを付与して、応答用のオファーメッセージを作成し、ＰＥルータ２０に送信する。ＰＥルータ２０は、このオファーメッセージを受信すると、ディスカバーメッセージを受信したポートを介してＰＣ５０にこのオファーメッセージを転送する。
【０１４７】
ＰＣ５０はこのオファーメッセージを受信すると、ユーザクラスＩＤオプション（図７参照）を追加したリクエストメッセージをＰＥルータに送信し、ＰＥルータ２０は、メッセージ中のユーザクラスＩＤに付与されたユーザＩＤとパスワードを抽出し、これらを属性値のフィールドに付与して、ＲＡＤＩＵＳのアクセス−リクエストのメッセージを作成し、このアクセス−リクエストのメッセージを認証サーバ８０に送信する。
【０１４８】
認証サーバ８０は、このアクセス−リクエストのメッセージを受信すると、このメッセージ中のユーザクラスＩＤを抽出し、このユーザクラスＩＤの内容がアクセスネットワークユーザ認証テーブルにエントリされている内容と一致すると、アクセス−アクセプトのメッセージを作成し、このメッセージをＰＥルータ２０に送信する。このアクセス−アクセプトのメッセージを受信すると、ＰＥルータ２０は、保持していたＤＨＣＰのリクエストメッセージ（ユーザクラスＩＤオプションが追加されたメッセージ）をＤＨＣＰサーバ８１に送信する。
【０１４９】
ＤＨＣＰサーバ８１は、このリクエストメッセージを受信すると、ユーザクラスＩＤオプション中のユーザＩＤを抽出し、このユーザＩＤからユーザ設定情報テーブルを検索し、割り当てられたＩＰアドレスを含む該当エントリの各情報が付与されたＤＨＣＰオプションのフィールドを追加したＡＣＫメッセージを作成し、このＤＨＣＰオプションが追加されたＡＣＫメッセージをＰＥルータ２０に送信する。ＰＥルータ２０は、受信したこのＡＣＫメッセージを、集線装置３０または集線装置３０および４０を介してＰＣ５０に送信する。
【０１５０】
このように、この実施の形態では、クライアントからのＩＳＰ毎に設定されたクラスＩＤによって、ＤＨＣＰサーバからアサインするアドレスを決定するので、ＩＳＰ毎に一つのアドレスのみをアサインすることが可能となり、プールされているアドレスをＩＳＰが的確に割り当てることができる。これによって、ユーザ管理、アドレス管理を各ＩＳＰが行うことが可能になる。
【０１５１】
また、この実施の形態の場合も、上述した実施の形態と同様に、クライアントへのアドレスの配布と同時に、ＰＥルータでアサインするアドレス宛のパケットのみ通過させるフィルタを自動設定するので、正規のクライアントにのみにコンテンツ配信などの通信サービスを提供することができる。
【０１５２】
なお、この実施の形態では、ＰＥルータ２０，７０間は、ＭＰＬＳを用いてネットワーク上にトンネリングを張ってデータ中継を行う透過接続サービスを提供しているが、この発明はこれに限らず、他の方式、例えばＩＰ ｉｎ ＩＰ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ（ＲＦＣ１８５３）や、ＩＰ ｉｎ ＩＰｖ６（Ｇｅｎｅｒｉｃ Ｐａｃｋｅｔ Ｔｕｎｎｅｌｉｎｇ ｉｎ ＩＰｖ６：ＲＦＣ２４７３）や、ＧＲＥ（Ｇｅｎｅｒａｌ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ：ＲＦＣ１７０１）を用いてネットワーク上にトンネリングを張ってデータ中継を行う透過接続サービスを提供している場合においても、同様の通信サービスを提供することができる。
【０１５３】
この発明は、これら実施形態に限定されるものではなく、この発明の要旨を逸脱しない範囲で種々の変形実施が可能である。たとえば、認証サーバへの問い合わせは、オプションにより、問い合わせをする／しないの選択が可能なように構成することも可能である。また、認証サーバの機能とＤＨＣＰサーバの機能を１台のサーバに併用して設けることも可能である。
【０１５４】
また、この発明では、コアネットワークに、たとえばコンテンツの配信を行う配信サーバを接続させ、ＤＨＣＰサーバから得たＩＰアドレスなどの接続情報に基づいて、配信サーバとＰＥルータ間をＩＰ接続させるように構成することも可能であり、これによりマルチキャストで配信サーバからクライアントまでコンテンツ配信を行うことができる。
【０１５５】
また、この発明では、たとえば実施の形態１または２のシステムと、実施の形態３のシステムを組み合わせることも可能であり、この場合にもネットワーク毎にユーザクラスＩＤの識別情報が異なる値に設定されているので、同一ＰＣでもネットワーク毎に異なるＩＰアドレスを取得することが可能になる。
【０１５６】
【発明の効果】
以上説明したように、この発明では、端末装置から送信される要求メッセージおよびアクセス制御装置によってアクセス要求メッセージにそれぞれ付与されるユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うので、正規のクライアントに対して一つのアドレスのアサインのみを許可し、プールされているアドレスを効率良く的確に割り当てることができる。
【０１５７】
また、この発明では、ＤＨＣＰサーバによって割り当てられる端末装置の接続要求に必要な情報をアクセス制御装置の記憶手段に記憶させ、この記憶手段内の情報によって、アクセス制御装置が受信したパケットの中継の有無を判断するので、適切にデータ中継のフィルタリングを行うことができ、クライアントがアドレス詐称などを行って、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）アタック（サービス不能攻撃）を行うことを排除することができる。
【０１５８】
また、この発明では、アクセス制御装置が受信したディスカバーメッセージにサーキットＩＤを付与してＤＨＣＰサーバに転送することで、ＤＨＣＰサーバからのオファーメッセージにこのサーキットＩＤを付与することを可能にするので、このオファーメッセージの転送先ポートの識別が容易になる。
【０１５９】
また、この発明では、アクセス制御装置にＤＨＣＰの情報割当機能を持たせ、ユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のアクセス制御装置による端末装置の接続要求に必要な情報の割り当てを行うので、正規のクライアントに対して一つのアドレスのアサインのみを許可し、プールされているアドレスを効率良く的確に割り当てることができる。
【０１６０】
また、この発明では、端末装置による接続要求が可能なネットワークが複数ある場合に、端末装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、各ネットワークの認証サーバでの認証を可能にし、さらに認証の応答後にアクセス制御装置から送信される要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、各ネットワークのＤＨＣＰサーバで端末装置の接続要求に必要な情報の割り当てを可能とするので、正規のクライアントに対して複数のネットワークに一つずつのアドレスのアサインを許可し、プールされているアドレスを効率良く的確に割り当てることができる。
【図面の簡単な説明】
【図１】この発明にかかるアクセス制御システムの実施の形態１の構成を示す構成図である。
【図２】図１に示したＤＨＣＰサーバの構成を示す構成図である。
【図３】図２に示したユーザ設定情報テーブルの構成の一例を示す構成図である。
【図４】ＤＨＣＰパケットの構成を示すフォーマットの図である。
【図５】図４に示したＤＨＣＰメッセージの構成を示すフォーマットの図である。
【図６】ＤＨＣＰメッセージタイプオプションの構成を示すフォーマットの図である。
【図７】ユーザクラスＩＤオプションの構成を示すフォーマットの図である。
【図８】リレーエージェント情報オプションの構成を示すフォーマットの図である。
【図９】エージェントサーキットＩＤサブオプションの構成を示すフォーマットの図である。
【図１０】サブネットマスクオプションの構成を示すフォーマットの図である。
【図１１】ルータオプションの構成を示すフォーマットの図である。
【図１２】ドメインネームサーバオプションの構成を示すフォーマットの図である。
【図１３】ＩＰアドレスリースタイムオプションの構成を示すフォーマットの図である。
【図１４】図２に示したＤＨＣＰサーバのデータ処理動作を説明するためのフローチャートである。
【図１５】図１に示したＰＥルータの構成を示す構成図である。
【図１６】図１５に示したＰＥルータのデータ処理動作を説明するためのフローチャートである。
【図１７】図１５に示したフィルタリング用テーブルの構成を示す構成図である。
【図１８】同じく、図１５に示したサーキットＩＤテーブルの構成を示す構成図である。
【図１９】同じく、図１５に示したＤＨＣＰ制御部のデータ処理動作を説明するためのフローチャートである。
【図２０】図１９に示したリレーエージェント情報の追加処理動作を説明するためのフローチャートである。
【図２１】ＲＡＤＩＵＳパケットの構成を示すフォーマットの図である。
【図２２】図２１に示したＲＡＤＩＵＳメッセージの構成を示すフォーマットの図である。
【図２３】図２２に示した属性値の構成を示すフォーマットの図である。
【図２４】図１５に示したＤＨＣＰ制御部のクライアント監視タイマの動作を説明するためのフローチャートの図である。
【図２５】図１５に示した認証制御部のデータ処理動作を説明するためのフローチャートである。
【図２６】図１に示したＰＣの構成を示す構成図である。
【図２７】図２６に示したＰＣの初期化またはＤＨＣＰ再起動時の動作を説明するためのフローチャートの図である。
【図２８】図１に示した認証サーバの構成を示す構成図である。
【図２９】図２８に示したアクセスネットワークユーザ認証テーブルの構成を示す構成図である。
【図３０】図２８に示した認証サーバの認証動作を説明するためのフローチャートである。
【図３１】認証対応のＤＨＣＰのプロトコルシーケンスを示すシーケンス図である。
【図３２】アクセス制御システム全体における実施の形態１のメッセージの流れを示すフローチャートの図である。
【図３３】実施の形態２にかかるＰＥルータの構成を示す構成図である。
【図３４】図３３に示したＤＨＣＰ制御部のデータ処理動作を説明するためのフローチャートである。
【図３５】図３３に示した認証制御部のデータ処理動作を説明するためのフローチャートである。
【図３６】アクセス制御システム全体における実施の形態２のメッセージの流れを示すフローチャートである。
【図３７】この発明にかかるアクセス制御システムの実施の形態３の構成を示す構成図である。
【図３８】図３７に示したＰＥルータの構成を示す構成図である。
【図３９】図３８に示したＭＰＬＳラベルテーブルの構成を示す構成図である。
【図４０】図３８に示したＰＥルータのデータ処理動作を説明するためのフローチャートである。
【図４１】同じく、図３８に示したＭＰＬＳ中継制御部のＭＰＬＳ中継処理動作を説明するためのフローチャートである。
【図４２】同じく、図３８に示したＤＨＣＰ制御部のデータ処理動作を説明するためのフローチャートである。
【図４３】図３８に示した認証制御部のデータ処理動作を説明するためのフローチャートである。
【図４４】アクセス制御システム全体における実施の形態３のメッセージの流れを示すフローチャートである。
【図４５】従来のアクセス制御システムの構成に示す構成図である。
【図４６】図４５に示したアクセス制御システムにおけるＤＨＣＰのプロトコルシーケンスを示すシーケンス図である。
【符号の説明】
１〜３ ＩＳＰ
１０，８１，８３，８５ ＤＨＣＰサーバ
１１，５１，６１ ＬＡＮインターフェース
１２，２１，５２，６２ パケット送信部
１３，２２、５３，６３ パケット受信部
１４，２４ ＤＨＣＰ制御部
１５ ユーザ設定情報テーブル
２０，７０ ルータ
２３ ＩＰ中継制御部
２５，４６，６４ 認証制御部
２６ フィルタリング用テーブル
２７ サーキットＩＤテーブル
２８ ユーザ設定情報テーブル
３０ 集線装置
３１ ＭＰＬＳ中継制御部
３２ ＭＰＬＳラベルテーブル
５０ ＰＣ
５４ ＤＨＣＰ処理部
６０，８０，８２，８４ 認証サーバ
６５ アクセスネットワークユーザ認証テーブル
７０ ＰＥルータ
Ａ コアネットワーク[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention provides access control for controlling access to a network and a server using a DHCP (DynamicHost Configuration Protocol: RFC2131) in order to connect a client terminal device (personal computer, hereinafter, referred to as “PC”) to a heterogeneous network. The present invention relates to a method, an access control device, and an access control system using the device.
[0002]
[Prior art]
A conventional access control method, for example, as disclosed in Patent Document 1, when a PC connects to a network, establishes connection request information and assignment setting information for this request between a PC and a DHCP server connected within the same network. Some broadcast proposals, as well as request authentication and authenticate this request.
[0003]
However, in recent years, in order to receive a communication service (for example, moving image distribution, etc.) provided by a communication carrier or the like, a backbone network such as a WAN (Wide Area Network) and a LAN (Local Area Network) or different types of LANs are used. The need to perform authentication between networks has arisen. As in this conventional example, in a method in which a PC and a DHCP server are connected to the same user's LAN to perform authentication, a communication carrier is required to operate the user in operation. It was difficult to manage communication services correctly. Further, in this method, since the DHCP server is provided in the user's network, there is a problem in operation and management of the server.
[0004]
Therefore, conventionally, as shown in the configuration diagram of the access control system in FIG. 45, the DHCP server 10 is connected on the core network A, and is connected via the PE router 20 or the concentrator 30 or the concentrators 30 and 40 which are relay agents. In some cases, the client making a connection request authenticates each PC 50 and assigns an IP address.
[0005]
In this system, as shown in the DHCP sequence diagram of FIG. 46, since the PC 50 making the connection request does not have an IP address, the discovery (Discover) in which the source address is “0” and the destination is “broadcast” is performed. ) Send the message. The concentrator 30 transfers the discover message to the PE router 20 by multiplex transmission by tag VLAN. When the PE router 20 captures the discover message, the PE router 20 rewrites the source address to the “IP address of the own device 20” and the destination address to the “IP address of the DHCP server 10”, and transfers the discover message to the core network A. I do.
[0006]
Upon receiving the discover message, the DHCP server 10 transmits an offer message with the source address “IP address of the DHCP server 10” and the destination address “IP address of the PE router 20” to the core network A. To respond. When the PE router 20 captures the offer message, the PE router 20 rewrites the source address to “the IP address of the own device 20” and the destination to “broadcast”, and transfers the offer message to the port that has just received the discover message. .
[0007]
Next, when the PC 50 transmits a request (Request) message whose source address is “0” and the destination is “broadcast”, the PE router 20 sets the source address to “the IP address of the own device 20” and the destination The address is rewritten to the “IP address of the DHCP server 10”, and the request message is transferred to the core network A. Upon receiving this request message, the DHCP server 10 assigned a specific IP address from among the pooled addresses, created an Ack message with this address, and responded to the PC 50.
[0008]
[Patent Document 1]
JP 2001-326696 A (pages 2, 4, and 5; FIGS. 1 to 3)
[0009]
[Problems to be solved by the invention]
However, in the above conventional example, a pooled address is assigned in response to a plurality of address requests from a client PC, so that one PC can acquire a plurality of IP addresses, and the There has been a problem that exhaustion may be caused.
[0010]
Further, in this conventional example, it is not possible to properly cope with a case where an unauthorized user obtains identification information such as an ID and a MAC address of a legitimate client, obtains an IP address using this information, and receives data distribution. There was a problem.
[0011]
The present invention has been made in view of the above problems, and has an access control method and an access control method in which only one address can be assigned to a legitimate client, and a pooled address can be efficiently and accurately assigned. An object is to provide an apparatus and an access control system using the apparatus.
[0012]
[Means for Solving the Problems]
In order to achieve the above object, in the access control method according to the first aspect, when transmitting a connection request to a network from a terminal device to a DHCP server connected to the network, a request message for the connection request is transmitted. In an access control method for transferring to a DHCP server via an access control device, a request transmitting step in which an authentication server is connected to the network, and the terminal device adds identification information of a user class ID to the request message and transmits the request message. In response to the request message, the access control device assigns identification information of the user class ID to an access request message for an access request, and transmits the identification information to the authentication server. Based on the identification information given to the access request message, the authentication server, An authentication step of performing authentication of the terminal device and responding to the authentication, and the request message in which the access control device assigns at least identification information of the user class ID in response to an authentication response from the authentication server. A request transfer step of transmitting the request information to the DHCP server, and in accordance with the identification information given to the request message, the DHCP server extracts information necessary for a connection request of the terminal device from information pooled in advance in the DHCP server. A data transfer step of allocating and responding to the terminal device via the access control device.
[0013]
According to the present invention, based on the identification information of the user class ID, the authentication required by the authentication server and the information necessary for the connection request of the terminal device by the DHCP server after the response of the authentication are performed, so that the legitimate client is assigned to the authorized client. Only one address is assigned and the pooled address is assigned.
[0014]
Further, in the access control method according to claim 2, according to the storage step of storing information required for a connection request of the terminal device transmitted from the DHCP server in the access control device, And determining whether the received packet is relayed by the access control device.
[0015]
According to the present invention, information necessary for a connection request of a terminal device is stored in a table of an access control device, and based on the information in the table, it is determined whether or not a packet received from a network is relayed, and filtering of data relay is performed. I do.
[0016]
In the access control method according to claim 3, the terminal device transmits a discover message for detecting a DHCP server, and the access control device transmits the received port to the discover message. Providing a circuit ID for identifying and transmitting the DHCP server to the DHCP server, and providing the DHCP server in response to the offer message provided with the circuit ID in response to the discover message. Is further included.
[0017]
According to the present invention, by providing a circuit ID to a received discover message, it is possible to provide this circuit ID to an offer message from a DHCP server, and the access control apparatus can identify the transfer destination port of the offer message. enable.
[0018]
In the access control method according to claim 4, the access control device attaches the circuit ID to a message transferred from the terminal device to the DHCP server, transfers the message to the DHCP server, and transfers the message to the DHCP server. When the circuit ID is deleted from the message to be transferred to the terminal device and transferred to the terminal device, the DHCP server transmits the response message in response to the message received from the access control device. And transmitting the circuit ID assigned to the received message to the access control device by attaching the circuit ID to the response message.
[0019]
According to the present invention, by assigning a circuit ID to all messages transferred from the terminal device to the DHCP server, it is possible to assign the circuit ID to a message responded from the DHCP server, The transfer destination port can be identified, and at the time of transfer, an unnecessary circuit ID is deleted and transferred.
[0020]
In the access control method according to claim 5, when the authentication server responds to a message from the access control device, the authentication server adds a circuit ID assigned to the message from the access control device to the response message. The message is added to the response message and transmitted to the access control device.
[0021]
According to the present invention, even in the authentication server, the circuit ID assigned to the message from the access control device is assigned to the response message and transmitted, so that the authentication of the terminal device which has requested the connection from any port can be performed. Is recognizable.
[0022]
In the access control method according to claim 6, in the data transfer step, the access control device sets a source address of information necessary for a connection request of the terminal device from the DHCP server to an address of the own device. The data is changed and transferred to the terminal device.
[0023]
According to the present invention, by rewriting the address of the DHCP server, which is the source address added to the information necessary for the connection request of the terminal device, to the address of the access control device and transferring the address to the terminal device, Enables re-authentication by the authentication server in response to an update request to the server.
[0024]
In the access control method according to the seventh aspect, when transmitting a connection request to a network from a terminal device to a DHCP server connected to the network, a request message for the connection request is transmitted via the access control device. In the access control method of transferring to the DHCP server, the access control device stores information required for the connection request of the terminal device, and the terminal device stores user class ID identification information in the request message. A request transmitting step of transmitting a request to the authentication server, in response to the request message, the access control device assigns identification information of the user class ID to an access request message for an access request, and Transmitting the identification information to be transmitted, based on the identification information given to the access request message. The authentication server performs authentication of the terminal device, and performs an authentication step of responding to the authentication; and in response to an authentication response from the authentication server, the access control device selects one of information pooled in advance. A data transmission step of allocating necessary information to the connection request of the terminal device and responding to the terminal device.
[0025]
According to the present invention, the access control device is provided with the function of a DHCP server, and based on the identification information of the user class ID, the access control device is required to perform authentication at the authentication server and a connection request of the terminal device after the response of the authentication. By allocating the information, only the assignment of one address to a legitimate client is permitted, and the pooled address is allocated.
[0026]
The access control method according to claim 8, further comprising a determining step of determining whether or not the received packet is relayed by the access control device according to the stored information.
[0027]
According to the present invention, when information necessary for connection is allocated, it is determined whether or not a packet received from the network is relayed by using information stored in the table, and data relay filtering is performed.
[0028]
In the access control method according to the ninth aspect, when a request for connection to at least one specific network is transmitted from a terminal device to a DHCP server connected to the network, a request message for the connection request is accessed. In the access control method of transferring to a DHCP server via a control device, at least one heterogeneous network different from the specific network is interposed between the terminal device and at least one specific network to which the DHCP server is connected. And each of the specific networks is connected to an authentication server together with the DHCP server. The terminal device includes, in the request message, identification of a user class ID corresponding to a specific network among the specific networks. Add information and send A request transmitting step, an identification information transmitting step of adding identification information of the user class ID to an access request message for an access request, and transmitting the identification information to an authentication server connected to the specific network; Based on the provided identification information, the authentication server authenticates the terminal device, and performs an authentication step of responding to the authentication, and, in response to an authentication response from the authentication server, the access control device includes: A request transfer step of transmitting the request message added with the identification information of the user class ID to a DHCP server connected to the certain network, and the DHCP server according to the identification information given to the request message, Allocate necessary information to the connection request of the terminal device from among the pooled information in advance, and Characterized in that it comprises a data transfer step of responding to the terminal device via the access control device.
[0029]
According to the present invention, for example, when there are a plurality of networks to which a connection request can be made by the terminal device, the terminal device performs authentication in the authentication server and a response to the authentication based on the identification information of the user class ID corresponding to the specific network. By allocating information necessary for a terminal device connection request by the DHCP server later, only a single address can be assigned to a plurality of networks for a legitimate client, and a pooled address can be assigned. Make an assignment.
[0030]
The access control method according to claim 10, wherein the access control device stores information necessary for a connection request of the terminal device transferred from the DHCP server for each of the networks, A determining step of determining whether or not the received packet is relayed by the access control device according to the information.
[0031]
According to the present invention, when there are a plurality of connectable networks, information necessary for a connection request of a terminal device assigned to each network changes, and this information is stored in a table of the access control device. Based on this information, it is determined whether or not the packet received from the network is relayed, thereby filtering the data relay.
[0032]
In the access control method according to claim 11, in the data transfer step, the access control device sets a source address of information necessary for a connection request of the terminal device from the DHCP server to an address of the own device. The data is changed and transferred to the terminal device.
[0033]
According to the present invention, by rewriting the address of the DHCP server, which is the source address added to the information necessary for the connection request of the terminal device, to the address of the access control device and transferring the address to the terminal device, Enables re-authentication by the authentication server in response to an update request to the server.
[0034]
In the access control apparatus according to the twelfth aspect, a request message for connection request to the network, which is connected between the terminal apparatus and the network and transmitted from the terminal apparatus, is transmitted to a DHCP server connected to the network. An access control device for transferring and transmitting an access request message for an access request to an authentication server connected to the network, wherein the access control device responds to the request message to which the identification information of the user class ID transmitted from the terminal device is added. And information control means for providing identification information of the user class ID to an access request message for an access request, transmission control means for transmitting the access request message to the authentication server, and the identification information is provided. Holding means for holding a request message; Transfer the held request message to the DHCP server in response to the authentication response from the server, and transfer the information required for the connection request of the terminal device transmitted from the DHCP server to the terminal device. And control means.
[0035]
According to the present invention, based on the identification information of the user class ID given to the access request message from the access control device, the authentication at the authentication server is enabled, and further, the request message transmitted from the access control device after the response of the authentication. By assigning information necessary for a connection request of a terminal device by the DHCP server based on the identification information of the user class ID given to the client, only one address can be assigned to a legitimate client and the pool can be assigned. The assigned address.
[0036]
The access control device according to claim 13 stores the information required for the connection request of the terminal device transmitted from the DHCP server, and receives the information in accordance with the information stored in the storage device. Determining means for determining whether or not to relay the packet.
[0037]
According to the present invention, information necessary for a connection request of the terminal device is stored in the storage device of the access control device, and the presence / absence of the relay of the packet received from the network is determined by the determination device based on the information in the storage device. , Perform data relay filtering.
[0038]
Further, the access control device according to claim 14 searches circuit ID storage means for storing a circuit ID corresponding to a reception port of a message, and circuit ID storage means based on the circuit ID given to the message. Further comprising identification means for identifying a port that has received the message, wherein the transfer control means identifies a port that has received the discover message in a discover message for detecting the DHCP server transmitted from the terminal device. To the DHCP server, and deletes the circuit ID assigned to the offer message transmitted from the DHCP server, and based on the deleted circuit ID, identifies the identification means. To the port identified by And wherein the transfer of fur message.
[0039]
According to the present invention, a circuit ID is assigned to a received discover message and transferred, a circuit ID storage unit is searched from a circuit ID assigned to a received offer message, a port is identified, and an offer message is assigned to this port. By transferring the offer message, the offer message can be transferred to the port that has received the discover message.
[0040]
Further, in the access control apparatus according to claim 15, the transfer control means transfers the message after deleting a circuit ID given to a message transmitted from the DHCP server.
[0041]
According to the present invention, unnecessary data transfer is reduced by transferring a message from the DHCP after deleting an unnecessary circuit ID in the terminal device.
[0042]
17. The access control device according to claim 16, wherein the transfer control unit changes a source address of information necessary for a connection request of the terminal device from the DHCP server to an address of the own device, and Characterized by being transferred to
[0043]
According to the present invention, the transfer control means rewrites the address of the DHCP server, which is the source address added to the information required for the connection request of the terminal device, to the address of the own device and transfers the address to the terminal device. Re-authentication by the authentication server is enabled in response to an update request from the device to the DHCP server.
[0044]
An access control device according to claim 17 is connected between a terminal device and a network, and transmits a request message for a connection request to the network transmitted from the terminal device to a DHCP server connected to the network. In an access control device for transferring and transmitting an access request message for an access request to an authentication server connected to the network, a storage unit for storing information necessary for a connection request of the terminal device; and Information control means for providing the identification information of the user class ID to an access request message for an access request in response to the transmitted request message to which the identification information of the user class ID has been added; Message transmission control means for transmitting the message to an authentication server; Information allocating means for allocating information necessary for a connection request of the terminal device from information pooled in advance in accordance with an authentication response from a server, and storing the allocated information in the storage device; And information transmission control means for transmitting the information.
[0045]
According to the present invention, the access control device is provided with the information allocating means, and the information necessary for the connection request is allocated from the pooled information based on the identification information of the user class ID. Allows assignment of only one address and assigns pooled addresses.
[0046]
Further, the access control device according to claim 18 further comprises a judging means for judging whether or not the received packet is relayed according to the information stored in the storage means.
[0047]
According to the present invention, information necessary for a connection assigned at the time of assignment is stored in a table, the presence or absence of relay of a packet received from the network side is determined using this table, and data relay filtering is performed.
[0048]
In the access control apparatus according to claim 19, a request message for connection request to the specific network, which is connected between the terminal apparatus and at least one specific network, is transmitted from the terminal apparatus to the specific network. An access control device for transferring to a connected DHCP server and transmitting an access request message for an access request to an authentication server connected to the specific network, comprising: Information control means for giving the identification information of the user class ID to an access request message for an access request in response to the request message to which the identification information of the user class ID is given; Connected to Transmission control means for transmitting the request message to the authentication server, holding means for holding the request message to which the identification information is added, and connecting the held request message to the certain network in response to an authentication response from the authentication server. Transfer control means for transferring the information required for the connection request of the terminal device transmitted from the DHCP server to the terminal device while transferring the information to the designated DHCP server.
[0049]
According to the present invention, based on the identification information of the user class ID given to the access request message from the access control device, it is possible to perform authentication at the authentication server of each network, and further transmitted from the access control device after the response of the authentication. The DHCP server of each network allocates information necessary for a connection request of a terminal device based on the identification information of the user class ID given to the request message to be transmitted to a plurality of networks for a legitimate client. Only assignment of addresses is allowed, and pooled addresses can be assigned.
[0050]
Further, the access control device according to claim 20 stores the information required for the connection request of the terminal device transmitted from the DHCP server, and receives the information in accordance with the information stored in the storage device. Determining means for determining whether or not to relay the packet.
[0051]
According to the present invention, even when there are a plurality of connectable networks, information assigned to each network is stored in the storage unit, and the presence / absence of relay of the received packet is determined by the information in the storage unit based on the information in the storage unit. By judging, data relay filtering is performed.
[0052]
22. The access control device according to claim 21, wherein the transfer control unit changes a transmission source address of information necessary for a connection request of the terminal device from the DHCP server to an address of the own device, and Characterized by being transferred to
[0053]
According to the present invention, the transfer control means rewrites the address of the DHCP server, which is the source address added to the information required for the connection request of the terminal device, to the address of the own device and transfers the address to the terminal device. Re-authentication by the authentication server is enabled in response to an update request from the device to the DHCP server.
[0054]
The access control system according to claim 22, wherein in response to a connection request to a network, the access control system responds with information necessary for the connection request. A terminal device that adds and transmits information, and the access control device according to any one of claims 12 to 16, which is connected between the network and the terminal device, and which is connected to the network and is connected to the access control device. Based on the identification information of the user class ID assigned to the access request message of the above, the terminal device is authenticated, and an authentication server for responding to the authentication, and an identification server connected to the network and assigned to the request message A DHCP server for responding to the information necessary for the terminal device connection request in accordance with the information. Characterized in that was.
[0055]
According to the present invention, based on the request message transmitted by the access control device and the identification information of the user class ID given to the access request message, the authentication by the authentication server and the connection of the terminal device by the DHCP server after the response of the authentication are performed. By allocating information necessary for the request, only one address can be assigned to a legitimate client, and a pooled address is allocated.
[0056]
The access control system according to claim 23, wherein in response to a connection request to a network, the access control system responds with information necessary for the connection request. 19. A terminal device for adding and transmitting information, the access control device according to claim 17 connected between the network and the terminal device, and an access request message from the access control device connected to the network. Based on the identification information of the assigned user class ID, performs authentication of the terminal device, and comprises an authentication server for responding to the authentication, according to the authentication response from the authentication server, the access control device, Information necessary for a connection request of the terminal device is returned to the terminal device.
[0057]
According to the present invention, the access control device is provided with a function of a DHCP server, and based on the identification information of the user class ID given to the access request message transmitted by the access control device, the authentication by the authentication server and the terminal device By allocating information necessary for a connection request, only one address can be assigned to a legitimate client and a pooled address is allocated.
[0058]
Further, in the access control system according to claim 24, in the access control system for responding to information required for a connection request for each specific network in response to a connection request to at least one specific network, 22. A terminal device for transmitting a request message for the connection request to which identification information of a user class ID corresponding to a specific network is added, and the terminal device is connected between each of the specific networks and the terminal device. The access control device according to one and connected to each of the specific networks, based on the identification information of the user class ID given to the access request message from the access control device, and performs authentication of the terminal device, An authentication server for responding to the authentication, and A DHCP server that is connected to each other and responds to the information required for the connection request of the terminal device according to the identification information given to the request message, and authenticates the terminal device for each specific network and It is characterized by responding to information required for a connection request.
[0059]
According to the present invention, for example, when there are a plurality of networks to which a connection request can be made by a terminal device, based on identification information of a user class ID corresponding to a certain specific network, authentication at an authentication server and a DHCP server after an authentication response are performed. In this case, the information necessary for the connection request of the terminal device is assigned, and only the assignment of one address to each of a plurality of networks is permitted to the authorized client, and the pooled addresses are assigned.
[0060]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, preferred embodiments of an access control method, an access control device, and an access control system using the device according to the present invention will be described with reference to the accompanying drawings of FIGS. In the following drawings, the same components as those in FIG. 45 are denoted by the same reference numerals for convenience of explanation.
[0061]
(Embodiment 1)
FIG. 1 is a configuration diagram showing a configuration of an access control system according to a first embodiment of the present invention. FIG. 1 differs from FIG. 45 in that an authentication server is connected to the core network A and the PC requesting the connection is authenticated using the RADIUS protocol, and the DHCP server 10 and the PE The difference is that the configurations and operations of the router 20 and the PC 50 are different.
[0062]
First, as shown in FIG. 2, the DHCP server 10 is connected to the core network A to perform input / output of a packet such as a message, and a packet transmitting unit which is connected to the LAN interface 11 and transmits and receives a packet. 12, a packet receiving unit 13, a DHCP control unit 14 for controlling the processing of messages using DHCP, and a user setting information table 15 in which user setting information is entered.
[0063]
The DHCP control unit 14 performs packet processing according to the type of the DHCP packet, and performs processing control such as allocating a pooled IP address to the PC of the client that made the request using a request message. This processing will be described later.
[0064]
As shown in FIG. 3, the user setting information table 15 includes a user ID of the PC 50 of each client making a connection request, an assigned IP address, a subnet mask, an IP address of a PE router that relays, and a not shown. It consists of data consisting of the IP address of a DNS (Domain Name System) server and the available time of the assigned address.
[0065]
In this system, a DHCP message packet transmitted between the DHCP server 10 and the PC 50 is configured by a DHCP message to which a MAC header, an IP header, and a UDP header are added as shown in the format of FIG. . When this DHCP message is transmitted from the client to the DHCP server, among the UDP port numbers in the UDP header, d port has a value of “67”, s port has a value of “68”, and When transmitted from the DHCP server to the client, the d port has a value of “68” and the s port has a value of “67”.
[0066]
As shown in the format of FIG. 5, the DHCP message includes fields of op, htype, hlen, hops, xid, secs, flags, ciaddr, yiaddr, siaddr, giaddr, chaddr, sname, file, and options. Of the fields of this message, those of particular interest in this embodiment are the fields iaddr and options.
[0067]
The yaaddr is an IP address assigned to the client PC that has made a connection access request from the DHCP server, and the options field is a field for setting operation parameters. Among the options fields, those particularly relevant in this embodiment are, as shown in the format of FIGS. 6 to 13, a DHCP message type, a user class ID, relay agent information, an agent circuit ID, a subnet mask, a router, and the like. , Domain name server and IP address lease time.
[0068]
In the DHCP server 10, as shown in the flowchart for explaining the data processing operation in FIG. 14, the packet receiving unit 13 receives a packet from the LAN interface 11 (step 101). If the received packet is a DHCP packet (step 102), the DHCP control unit 14 first determines whether the received DHCP packet is a discover message (step 103). (Step 104). This message is determined by the DHCP message type option type "1-8" defined by the code "53" shown in FIG. Here, type “1” is a discover message, type “2” is an offer message, type “3” is a request message, type “4” is a DECLINE message, and type “5” is an ACK message. , Type “6” indicates a NAK message, type “7” indicates a release (RELEASE) message, and type “8” indicates an inform (INFORM) message.
[0069]
If the received DHCP message is an offer message (step 105), the packet is discarded (step 106). If the received DHCP message is a request message (step 107), a user class ID option (FIG. 7) is extracted, and the user ID in the user class data is extracted and searched for in the user setting information table 15. When this user ID is searched, each information entered in this table 15 is retrieved from the DHCP option. An ACK message is created by adding it to the field, and transmitted from the packet transmission unit 12 to the client (step 108).
[0070]
If the received DHCP message is an ACK message (Step 109), the packet is discarded (Step 110). If the received DHCP message is a discline message (Step 111), the IP address assigned in the ACK message is changed. It is determined that the packet is abnormal (step 112). In the case of a NAK message (step 113), this packet is discarded (step 114). In the case of a release message (step 115), the IP address assigned to the client is pooled. (Step 116), and in the case of an inform message (step 117), this message is recorded (step 118). If the received packet is not a message of any of these types, the packet is discarded (step 119), and the operation of the flowchart is terminated.
[0071]
FIG. 15 is a configuration diagram showing the configuration of the PE router 20 shown in FIG. In the figure, a PE router 20 is connected to a core network A or a line concentrator 30, and transmits and receives a packet. A packet transmitting unit 21 and a packet receiving unit 22, and an IP relay control unit 23 that performs a packet filtering process and a relay process. A DHCP control unit 24 that controls processing of a DHCP message using DHCP, an authentication control unit 25 that controls processing of a RADIUS message using RADIUS, and a filtering table 26 connected to the IP relay control unit 23. , And a circuit ID table 27 connected to the DHCP control unit 24.
[0072]
When receiving the packet from the core network A or the concentrator 30, the packet receiving unit 22 performs a receiving process. That is, in the PE router 20, as shown in the flowchart of FIG. 16, when the packet receiving unit 22 receives a packet (Step 201), the processing shifts to data processing in the packet receiving unit 22 (Step 202). It is determined whether the packet is either an IP packet or an ARP packet (step 203). Here, if the received packet is one of the IP / ARP packets, the received packet is output to the IP relay processing unit, and the processing shifts to data processing in the IP relay control unit 23 (step 204). If the packet is not any of the IP / ARP packets, the packet is discarded (step 205).
[0073]
The IP relay control unit 23 relays or blocks the packet based on the type of the packet received by the packet receiving unit 22 and the contents entered in the filtering table 26. 17, the filtering table 26 includes destination address and subnet mask information, source address and subnet mask information, packet input port, output port, and packet relaying information. / Entry information is associated with the entry.
[0074]
As shown in FIG. 16, when the processing operation of the PE router 20 shifts to the control of the IP relay processing unit (step 204), the IP relay control unit 23 first determines whether the received packet is a DHCP message packet (step 204). 206), in the case of a DHCP message packet, shift to the data processing of the DHCP control unit 24 (step 207). If the received packet is not a DHCP message packet, it is determined whether the received packet is a RADIUS message packet (step 208). If the received packet is a RADIUS message packet, the process proceeds to the data processing of the authentication control unit 25 (step 209).
[0075]
If the received packet is not a RADIUS message packet, the IP relay control unit 23 extracts the destination address and the source address in the received packet, and searches the filtering table based on the destination address and the source address. Then, it is determined whether the received packet is a relay packet from the relay / block information of the corresponding entry (step 211). If the received packet is not a relay packet, the received packet is discarded (step 205). If the received packet is a relay packet, the received packet is transmitted from the packet transmitting unit 21 (step 212). ).
[0076]
The DHCP control unit 24 controls the data processing according to the type of the DHCP message received using the DHCP protocol and, when receiving the discover message, refers to the circuit ID table 27 and sets the relay agent. Information is added and transferred to the DHCP server 10, and upon receiving the request message, the user class ID is taken out and the RADIUS message is transferred to the authentication server 60. In the circuit ID table 27, as shown in the configuration diagram of FIG. 18, the physical port to which the message is input, the VLAN number to which the physical port belongs, and the circuit ID information are entered in association with each other. I have.
[0077]
In this system, a RADIUS packet transmitted between the PE router 20 and the authentication server 60 is composed of a RADIUS message to which a MAC header, an IP header, and a UDP header are added, as shown in the format of FIG. . As shown in the format of FIG. 22, this RADIUS message is composed of a message code, an identifier, a message length, authentication data for authenticating the message, and an attribute value. The format includes a type, a message length, a value, and the like. In this embodiment, the fields of user name and user password indicating the type include a user ID and a password. This is the point that information is given.
[0078]
In the DHCP control unit 24, as shown in the flowchart for explaining the data processing operation of FIG. 19, when the packet receiving unit 22 receives a DHCP message packet (step 301), the DHCP control unit 24 first receives the received DHCP message packet. It is determined whether the received DHCP packet is a discover message (step 302), and if it is a discover message, the relay agent information adding process shown in FIG. 20 is performed (step 303). As described above, this message is also determined based on the DHCP message type option type "1-8" defined by the code "53" shown in FIG.
[0079]
In FIG. 20, the DHCP control unit 24 acquires the physical port and VLAN ID of the received discover message (step 401), searches the circuit ID table 27 from the acquired physical port and VLAN ID, and finds the corresponding circuit ID. Is detected (step 402). Then, it is determined whether there is a circuit ID (step 403). If the circuit ID is not in the circuit ID table 27, the received discover message is discarded, and the subsequent data processing is not performed (step 404). If there is a circuit ID, the circuit ID added to the agent information in the relay agent information option shown in FIG. 8 is added to the discover message (step 405).
[0080]
In step 303 of FIG. 19, the DHCP control unit 24 rewrites the destination address of the discover message to “the address of the DHCP server 10” and rewrites the source address to “the IP address of the own device (PE router 20)”. Send it to server 10. If the received packet is an offer message (step 304), the destination address of the offer message is rewritten to “broadcast” and the source address is rewritten to “the IP address of the own device 20” and transmitted to the PC 50 as a client (step 304). Step 305).
[0081]
If the received DHCP message is a request message (step 306), the user ID and password given to the user class data (see FIG. 7) in the user class ID option in the message are extracted. By adding these to the attribute value fields, an access-request message in the RADIUS message is created and transmitted to the authentication server 60, and the DHCP request message is stored and the access-request message in the RADIUS message is stored. Wait for an accept message to be received (step 307).
[0082]
If the received DHCP message is an ACK message (step 308), the destination address is rewritten to “broadcast” and the source address is rewritten to “IP address of own device 20” and transmitted to the client PC. At the same time, the IP address to be distributed by DHCP is registered in the filtering table 26 of the PE router 20, and the relay is permitted. Further, information on the use time in the ACK message is obtained, and a client monitoring timer (not shown) in the apparatus is restarted (step 309). The use time for permitting data relay is set for each client in this monitoring timer, and when the timer expires (step 411) as shown in the flowchart of FIG. Is changed to “blocking” to block the relay of the client, and thereafter, the data relay of the client is stopped (step 412).
[0083]
In FIG. 19, if the received DHCP message is a discline message (step 310), similar to the Discover message, an additional process of adding relay agent information to the option field is performed, and the destination address is changed to “DHCP”. The source address is rewritten to the “address of the server 10” to the “address of the own device” and transmitted to the DHCP server 10 (step 311). In the case of a NAK message (step 312), the destination address of the message is rewritten to “broadcast” and the source address is rewritten to “the IP address of the own device 20” and transmitted to the client (step 313).
[0084]
If the received DHCP message is a release message (step 314), an additional process of adding relay agent information to an option field is performed as in the case of the discover message, and the destination address is set to the address of the DHCP server 10, It rewrites the source address to its own address and sends it to the DHCP server 10, deletes the corresponding entry in the filtering table 26, and stops the client monitoring timer (step 315).
[0085]
Further, if the received DHCP message is an inform message (step 316), an additional process of adding relay agent information to an option field is performed as in the case of the discover message, and the destination address is changed to the "address of the DHCP server 10". ”And rewrite the source address to“ the address of the own device ”and transmit it to the DHCP server 10 (step 317). If the received packet is not any of these types of messages, the packet is discarded (step 318), and the operation of the flowchart is terminated.
[0086]
Next, the authentication control unit 25 performs processing control according to the code of the received RADIUS message using the RADIUS protocol. That is, as shown in the flowchart of FIG. 25, when the RADIUS packet is received from the authentication server 60 (step 421), the authentication control unit 25 determines from the code of the received packet, and determines the access-accept (Access-Accept-Access). In the case of an (Accept) message (step 422), it is determined that the authentication has been permitted, and a DHCP request message is transmitted to the DHCP server 10 (step 423).
[0087]
If the received RADIUS packet is an access-reject message (Step 424), it is determined that the authentication is not permitted, and the stored DHCP request message is discarded (Step 425). ), End the above operation.
[0088]
FIG. 26 is a configuration diagram showing a configuration of the PC 50 shown in FIG. In the figure, a PC 50 is connected to a PE router 20 via a concentrator 30 and a layer 2 switch 40, and a LAN interface 51 for inputting / outputting a DHCP packet, a packet transmitting unit 52 for transmitting / receiving a packet, and a packet receiving unit It comprises a unit 53 and a DHCP processing unit 54 for controlling the processing of the DHCP message using the DHCP protocol.
[0089]
In the PC 50, as shown in the flowchart of FIG. 27, when the DHCP is restarted by the initialization process or the command of the PC 50 (step 431), the DHCP processing unit 54 performs a request for connection access to the network. , Creates a discover message, transmits the discover message from the packet transmitting unit 52 to the PE router 20 via the LAN interface 51 (step 432), activates a monitoring timer provided therein, and waits for an offer message to be received. (Step 433).
[0090]
Until the timer times out (step 434), it is determined whether or not the offer message has been received (step 435). When the timer times out, the state transits to the communication disabled state, and the PC 50 is reset by the command to make the DHCP restart. It is in a state of waiting for activation (step 436). Next, when the offer message is received, a request message to which the user class ID is added is created, and the request message is transmitted to the PE router 20 (step 437), and the monitoring timer is started to activate the ACK message. The state transits to the reception waiting state (step 438).
[0091]
Until the timer times out, it is determined whether or not an ACK message has been received (step 440). When the timer times out (step 439), a transition is made to a communication disabled state, and the command causes the PC 50 to restart the DHCP. It is in a state of waiting for activation (step 436). Next, when an ACK message is received (step 440), information such as an IP address, a router address, and a DNS server address obtained from the message is set in an internal table (not shown), and an address use timer is started. (Step 441). Next, when this address use timer expires (step 442), a request message is transmitted to the PE router with the user class ID added.
[0092]
FIG. 28 is a configuration diagram showing the configuration of the authentication server 60. In the figure, an authentication server 60 includes a LAN interface 61 connected to the core network A for inputting / outputting a packet such as a message, and a packet transmitting unit 62 and a packet receiving unit 63 connected to the LAN interface 61 for transmitting / receiving packets. , An authentication control unit 64 that performs authentication process control using the RADIUS protocol, and an access network user authentication table 65.
[0093]
The authentication control unit 64 authenticates the received RADIUS message based on the user authentication information entered in the access network user authentication table 65. In the access network user authentication table 65, as shown in the configuration diagram of FIG. 29, a user ID and a password of a client are previously associated with each other and entered.
[0094]
In such a configuration, when the packet receiving unit 63 receives a packet via the LAN interface 61 (step 451) as shown in the flowchart of FIG. 30, the authentication server 60 determines whether the packet is a RADIUS message. (Step 452). If the packet is not a RADIUS message, the received packet is discarded (step 453). If the packet is a RADIUS message, the access network user authentication table 65 is searched from the user authentication information in the message to perform authentication. User authentication is performed by the authentication processing operation of the control unit 64 (step 454).
[0095]
When the user ID and the password in the received access-request message match the contents entered in the access network user authentication table 65, the authentication control unit 64 gives authentication permission. If the authentication has been performed (step 455), the authentication control unit 64 creates an access-accept message for the RADIUS message (step 456). If the authentication has not been permitted (step 455), the access-rejection has been performed. Is generated (step 457), and transmitted from the packet transmitting unit 62 to the core network A via the LAN interface 61 (step 458).
[0096]
Next, the operation of access control in the access control system will be described based on a sequence diagram showing a DHCP protocol sequence corresponding to authentication in FIG. 31 and a flow chart showing a message flow of the first embodiment in the entire system in FIG. explain.
[0097]
In FIG. 31 and FIG. 32, first, the PC 50 that issues a connection access request to the network in initialization processing or the like creates a DHCP discover message with a source address of “0” and a destination address of “broadcast”. The data is transmitted to the PE router 20 via the device 30 or the line concentrators 30 and 40.
[0098]
The PE router 20 that has received the discover message acquires the physical port and the VLAN ID that have received the message, searches the circuit ID table 27 from the information of the physical port and the VLAN ID, and extracts the corresponding circuit ID. . Then, a relay agent information option to which the extracted circuit ID is added is added to the discover message, the source address is “IP address of own device 20”, and the destination address is “IP address of DHCP server 10”. And transfers it to the DHCP server 10 via the core network A.
[0099]
The DHCP server 10 that has received the discover message addressed to the own device recognizes that the message is discovery and recognizes the circuit ID from the type information of the type option of the DHCP message. Next, the DHCP server 10 adds a relay agent information option (a relay agent information option added to the received discover message) to which the circuit ID has been added to the response offer message, and sets the source address to “ The destination address is set to the “IP address of the own device 10” and the “IP address of the PE router 20”, and is transmitted to the PE router 20 via the core network A.
[0100]
When receiving the offer message, the PE router 20 rewrites the source address of the offer message to “the IP address of the own device 20” and the destination address to “broadcast”. Further, the PE router extracts the circuit ID given to the received offer message, searches the circuit ID table 27 from the circuit ID, extracts a corresponding physical port, and extracts the created offer message from the extracted offer message. Via the physical port (the physical port that has previously received the discover message).
[0101]
When receiving this offer message, the PC 50 adds a user class ID option to which a user ID and a password are added, and creates a DHCP request message with a source address of “0” and a destination address of “broadcast”. This request message is transmitted to the PE router 20.
[0102]
Upon receiving this request message, the PE router 20 extracts the user ID and password (see FIG. 7) assigned to the user class ID in the message, and attaches them to the attribute value fields (see FIGS. 21 and 22). Then, a RADIUS access-request message is created, and the access-request message is transmitted to the authentication server 60. Further, the PE router 20 acquires the physical port and the VLAN that have received the request message, searches the circuit ID table 27 from the information on the physical port and the VLAN, and extracts the corresponding circuit ID. Next, the PE router 20 adds, to the request message, a relay agent information option to which the extracted circuit ID is added, and holds the request message in, for example, an internal buffer.
[0103]
Upon receiving the access-request message, the authentication server 60 extracts the user class ID from the message, and if the content of the user class ID matches the content entered in the access network user authentication table 65, The extracted user class ID is assigned to an attribute value field (see FIGS. 21 and 22), an access-accept message is created, and this message is transmitted to the PE router 20.
[0104]
Upon receiving the access-accept message, the PE router 20 extracts the user class ID (see FIGS. 21 to 23) assigned to the access-accept message. Next, the PE router 20 sets the source address of the DHCP request message held therein to “the IP address of its own device 20” and the destination address to “the IP address of the DHCP server 10”, Via A, a request message to which the relay agent information option and the user class ID are assigned is transmitted to the DHCP server 10.
[0105]
Upon receiving this request message, the DHCP server 10 extracts the user ID in the user class ID option, searches the user setting information table 15 from this user ID, and finds out the information of the corresponding entry including the assigned IP address. An ACK message is created by adding it to the field of the provided DHCP option, and the DHCP option and the relay agent information option (relay agent information option added to the received request message) to which the circuit ID is added are added. The transmitted ACK message is transmitted to the PE router 20.
[0106]
When receiving the ACK message, the PE router 20 deletes the relay agent information option from the ACK message and transmits the ACK message to the PC 50 via the concentrator 30 or the concentrators 30 and 40. When a charging server or the like is connected on the network, it is also possible to exchange a RADIUS accounting request and an accounting accept between the PE router and the charging server to exchange information regarding charging.
[0107]
Further, it is conceivable that the PC 50 acquires the IP address once, and then reacquires the IP address before the lease time expires. In this case, the user class shown in (5) of FIG. The DHCP request with the ID is transmitted from the PC 50 to the DHCP server 10. Then, by performing a sequence of repeating the operations from (5) onward in FIG. 32, it is possible to receive a continuous communication service.
[0108]
As described above, in this embodiment, the address to be assigned from the DHCP server is determined based on the combination of the class ID from the client and the circuit ID of the PE router. Therefore, only one address is assigned to one class ID. Assignment is possible, and pooled addresses can be assigned accurately. For this reason, for example, even when connecting to the network from different access points, the client can be uniquely specified by the combination of the class ID and the circuit ID. An authorized client can be specified and an address can be easily assigned.
[0109]
In addition, in this embodiment, a communication service such as content distribution is provided only to authorized clients because the filter that allows only packets addressed to the address assigned by the PE router is automatically set at the same time when the address is distributed to the client. It is possible to eliminate the client from performing a DoS (Denial of Service) attack (denial of service attack) by performing address spoofing or the like.
[0110]
Also, in this embodiment, since the multiplexing is performed using the tag VLAN, the connected line can be known depending on which VLAN. Therefore, in the present invention, for example, a VLAN ID, which is a VLAN identifier, is assigned to the value (Value) field of the agent circuit ID suboption shown in FIG. 9 and assigned from the DHCP server in combination with the circuit ID. It is also possible to configure to determine the address. In this case, the above effect can be obtained by using the access point fixedly.
[0111]
In this embodiment, only the DHCP discover message is transmitted from the client PC 50. However, the present invention is not limited to this, and a user class ID can be added to this discover message and transmitted. . In this case, it is possible to transmit an access-request message from the PE router 20 to the authentication server 60 before transferring the discover message to the DHCP server 10. As a result, an inquiry about authentication in the authentication server 60 is made. Can be performed. Therefore, in this case, when authentication is not possible, access to the DHCP server 10 becomes unnecessary, and unnecessary message transfer can be reduced.
[0112]
According to the present invention, at the time of transferring the ACK message, the IP relay control unit 23 of the PE router 20 changes the source address of the ACK message from the IP address of the DHCP server 10 to the IP address of the router 20 itself, It is also possible to transfer to the PC 50 which is a client. In this case, the next time an update request is sent from the PC 50 to the DHCP server 10, an access-request message can be transmitted to the authentication server 60 by the authentication control of the authentication control unit 25. Thus, re-authentication of the PC 50 can be enabled, and the reliability of client authentication can be improved.
[0113]
The user class ID and the circuit ID can be defined in vendor extension information which is one of the options of the DHCP message, for example, in addition to the options of the DHCP message described above. In this case, the user class ID option and the circuit ID option can be continuously added to the value (Value) of the vendor extension information using the respectively defined codes.
[0114]
(Embodiment 2)
FIG. 33 is a configuration diagram illustrating a configuration of the PE router according to the second embodiment. In the following drawings, the same components as those in FIGS. 15 and 32 are denoted by the same reference numerals for convenience of description.
[0115]
33 differs from the PE router shown in the first embodiment in that the router has a built-in function of a DHCP server, that is, the function of this server is incorporated in the DHCP control unit 24 and the user of FIG. A user setting information table 28 having the same configuration as the setting information table is connected to the DHCP control unit 24.
[0116]
In the DHCP control unit 24, as shown in the flowchart for explaining the data processing operation in FIG. 34, when the packet receiving unit 22 receives a DHCP message packet (step 501), the DHCP control unit 24 first receives the received DHCP message packet. It is determined whether the received DHCP packet is a discover message (step 502), and if it is a discover message, an offer message is transmitted to the client PC 50 (step 503).
[0117]
If the received packet is an offer message (step 504), the offer message is discarded (step 505), and if the received packet is a request message (step 506), the user class ID of the user class ID option in the message (step 506) The user ID and the password assigned to the authentication server 60 are taken out, the access-request message in the RADIUS message is created by adding the user ID and the password to the attribute value fields, and the message is transmitted to the authentication server 60. This DHCP request message is saved, and the system waits for the RADIUS access-accept to be received (step 507).
[0118]
If the received DHCP message is an ACK message (step 508), the ACK message is discarded (step 509). If the received DHCP message is a discline message (step 510), the assigned address is determined to be abnormal. (Step 511). If the message is a NAK message (step 512), the NAK message is discarded (step 513). If the message is a release message (step 514), the assigned address is returned to the pool (step 515). Further, when the received DHCP message is an inform message (step 516), the message is recorded (step 517). If the received packet is not any of these types of messages, the packet is discarded (step 518), and the operation of the flowchart is terminated.
[0119]
Next, the authentication control unit 25 performs processing control according to the code of the received RADIUS message using the RADIUS protocol. That is, as shown in the flowchart of FIG. 35, when the RADIUS packet is received from the authentication server 60 (step 551), the authentication control unit 25 determines from the code of the received packet, (Step 552), it is determined that the authentication is permitted, and the DHCP ACK message is transmitted to the client PC 50 (step 553).
[0120]
If the received RADIUS packet is an access-reject message (step 554), it is determined that the authentication has not been permitted, and the DHCP request message being held is discarded (step 555). finish.
[0121]
Next, an operation of access control in the access control system will be described based on a flowchart showing a message flow of the second embodiment in the entire system of FIG.
[0122]
Upon receiving the discover message from the PC 50, the PE router 20 transmits an offer message to the PC 50 via the port that has received the discover message.
[0123]
When receiving the offer message, the PC 50 creates a request message to which a user class ID option with a user ID and a password has been added, and transmits the request message to the PE router 20.
[0124]
The PE router 20 that has received the request message extracts the user ID and the password assigned to the user class ID in the message, assigns them to the attribute value fields, and creates a RADIUS access-request message. , Sends the access-request message to the authentication server 60.
[0125]
Upon receiving the access-request message, the authentication server 60 extracts the user class ID from the message, and if the content of the user class ID matches the content entered in the access network user authentication table 65, The extracted user class ID is assigned to the attribute value field to create an access-accept message, and this message is transmitted to the PE router 20.
[0126]
When receiving the access-accept message, the PE router 20 determines that the authentication is permitted, extracts the user ID of the user class ID option from the request message, and searches the user setting information table 28 from the user ID. An ACK message is created by adding a DHCP option field to which information of the corresponding entry including the assigned IP address is added, and the ACK message is transmitted to the PC 50.
[0127]
As described above, in this embodiment, the DHCP server is built in the PE router, and the address to be assigned by the PE router is determined only by the class ID from the client. Therefore, there is no need to set the circuit ID and a table for storing the circuit ID. Thus, the processing procedure is almost halved, the addresses can be quickly and easily assigned from the PE router, and the pooled addresses can be accurately assigned.
[0128]
Further, in this embodiment, since there are no components such as a table relating to the DHCP server and the circuit ID, it is possible to provide an access control system in which the number of parts of the access control system is reduced and the production cost is reduced. it can.
[0129]
(Embodiment 3)
FIG. 37 is a configuration diagram showing a configuration of the third embodiment of the access control system according to the present invention. In FIG. 37, the backbone networks of, for example, ISPs (Internet Service Providers) 1 to 3 that are communication carriers are connected to the PE router 70 connected to the core network A, and the authentication server 80, 82, 84 and DHCP servers 81, 83, 85 are connected in pairs. The authentication server and the DHCP server have the same configuration as the authentication server 60 and the DHCP server 10 described in the first embodiment, and the authentication servers 80, 82, 84 and the DHCP servers 81, 83, 85 It performs authentication and IP address assignment of clients that make connection access requests to the backbone network of the ISP.
[0130]
In addition, a transparent connection service is provided between the PE routers 20 and 70, in which data is relayed by tunneling over a network by using MPLS (Multi Protocol Label Switching).
[0131]
In such a system configuration, the PE router 20 is configured such that the MPLS relay control unit 31 and the MPLS label table 32 are added to the PE router described in the first embodiment, and the circuit ID table is deleted. The MPLS relay control unit 31 controls the data relay by tunneling over the core network A. The MPLS label table 32 stores the label, the corresponding VPN group number, and the information on the port to which the MPLS belongs. Has been entered.
[0132]
In the PE router 20, as shown in the flowchart of FIG. 40, when the packet receiving unit 22 receives a packet (step 601), the processing shifts to data processing in the packet receiving unit 22 (step 602). It is determined whether the packet is any of the ARP packet and the ARP packet (step 603). If the received packet is not an IP / ARP packet, it is determined whether the received packet is an MPLS packet (step 604). If the received packet is an MPLS packet, the flow shifts to a relay process by the MPLS relay control unit 31 (step 604). 605) If the packet is not an MPLS packet, the packet is discarded (step 606).
[0133]
As shown in the MPLS relay processing of FIG. 41, the MPLS relay control unit 31 searches the MPLS label table for the label value of the received packet (step 651), and if there is an entry that hits (step 652), The label is removed and the data is relayed to the port to which it belongs (step 653). If there is no entry to be hit, the packet is discarded (step 654).
[0134]
In FIG. 40, when the processing operation of the PE router 20 shifts to the control of the IP relay processing unit (step 607), the IP relay control unit 23 first determines whether the received packet is a DHCP message packet (step 608). In the case of a DHCP message packet, the flow shifts to data processing of the DHCP control unit 24 (step 609). If the received packet is not a DHCP message packet, it is determined whether the received packet is a RADIUS message packet (step 610). If the received packet is a RADIUS message packet, the process proceeds to the data processing of the authentication control unit 25 (step 611).
[0135]
If the received packet is not a RADIUS message packet, the IP relay control unit 23 extracts a destination address in the received packet, searches a filtering table based on the destination address (step 612), and receives the received packet. It is determined whether the packet is a relay packet from the relay / block information of the corresponding entry (step 613). If the received packet is not a relay packet, the received packet is discarded (step 606). If the received packet is a relay packet, a label is added to the received packet. Transmit (step 614).
[0136]
In the DHCP control unit 24, as shown in the flowchart for explaining the data processing operation of FIG. 42, when the packet receiving unit 22 receives the DHCP message packet (step 701), the DHCP control unit 24 first receives the received DHCP message packet. It is determined whether the DHCP packet is a discover message (step 702). If it is a discover message, a process of adding relay agent information is performed. Then, the DHCP control unit 24 rewrites the destination address of the discover message to the address of the DHCP server and rewrites the source address to the IP address of the own device (PE router 20), and transmits the rewritten address to the DHCP server (step 703). When transmitting a message to an authentication server or a DHCP server, the message is transmitted to a server managed for each ISP according to the value of the user class ID. This enables each ISP to perform user management and address management.
[0137]
If the received packet is an offer message (Step 704), the destination address of the offer message is rewritten to “broadcast” and the source address is rewritten to “IP address of own apparatus” and transmitted to the PC 50 (Step 705). . If the received DHCP message is a request message (step 706), the user ID and the password assigned to the user class ID option in the message are extracted, and these are assigned to the attribute value fields. An access-request message in the RADIUS message is created and transmitted to the authentication server 60, and the DHCP request message is stored to wait for the RADIUS access-accept to be received (step 707).
[0138]
If the received DHCP message is an ACK message (step 708), the destination address is rewritten to “broadcast” and the source address is rewritten to “IP address of own device” and transmitted to the client PC. (Step 709). If the received DHCP message is a discline message (step 710), as in the case of the discover message, an additional process of adding relay agent information to the option field is performed, and the destination address is changed to "DHCP server address". Then, the source address is rewritten to “the address of the own device” and transmitted to the DHCP server (step 711). In the case of a NAK message (step 712), the destination address of the message is rewritten to “broadcast” and the source address is rewritten to “IP address of own device” and transmitted to the client (step 713).
[0139]
If the received DHCP message is a release message (step 714), an additional process of adding relay agent information to the option field is performed as in the case of the discover message, and the destination address is set to the “DHCP server address”. The source address is rewritten to the "address of the own device" and transmitted to the DHCP server (step 715).
[0140]
Further, if the received DHCP message is an inform message (step 716), an additional process of adding relay agent information to the option field is performed as in the case of the discover message, and the destination address is set to the “DHCP server address”. Next, the source address is rewritten to “the address of the own device” and transmitted to the DHCP server (step 717). If the received packet is not a message of any of these types, the packet is discarded (step 718), and the operation of the flowchart is terminated.
[0141]
Next, the authentication control unit 25 performs processing control according to the code of the received RADIUS message using the RADIUS protocol. That is, as shown in the flowchart of FIG. 43, when the RADIUS packet is received from the authentication server 60 (step 801), the authentication control unit 25 determines from the code of the received packet, (Step 802), it is determined that the authentication is permitted, and a DHCP request message is transmitted to the DHCP server (step 803).
[0142]
If the received RADIUS packet is an access-reject message (step 804), it is determined that the authentication has not been permitted, the DHCP request message being held is discarded (step 805), and the above operation is performed. finish.
[0143]
Next, an access control operation in the access control system will be described based on a flowchart showing a message flow of the third embodiment in the entire system of FIG. FIG. 44 illustrates a case where a connection access request is made to the authentication server 80 and the DHCP server 81 of the ISP 1.
[0144]
First, the PC 50 making a connection access request creates a discover message to which a user class ID option with a user ID and a password is added, and transmits the message to the PE router 20 via the concentrator 30 or the concentrators 30 and 40. I do. In this case, the PC 50 previously sets a different user class ID for each ISP that issues an access request. In this case, for example, the PC 50 assigns a user class ID corresponding to ISP1 to the discover message and transmits the message.
[0145]
The PE router 20 that has received the discover message determines that the message is a discover message addressed to the DHCP server 81 of the ISP 1 based on the user class ID assigned to the message, and transfers the message to the DHCP server 81.
[0146]
The DHCP server 81 that has received the discover message addressed to the own device extracts a user class ID from the discover message, assigns the extracted user class ID, creates an offer message for response, and transmits the message to the PE router 20. I do. When receiving the offer message, the PE router 20 transfers the offer message to the PC 50 via the port that has received the discover message.
[0147]
When receiving the offer message, the PC 50 transmits a request message to which the user class ID option (see FIG. 7) is added to the PE router, and the PE router 20 transmits the user ID and the password assigned to the user class ID in the message. The access-request message is extracted and added to the attribute value field to create a RADIUS access-request message, and the access-request message is transmitted to the authentication server 80.
[0148]
Upon receiving the access-request message, the authentication server 80 extracts the user class ID from the message, and if the content of the user class ID matches the content entered in the access network user authentication table, the access-request. It creates an accept message and sends this message to the PE router 20. Upon receiving the access-accept message, the PE router 20 transmits the DHCP request message (the message to which the user class ID option is added) held to the DHCP server 81.
[0149]
Upon receiving the request message, the DHCP server 81 extracts the user ID in the user class ID option, searches the user setting information table from the user ID, and adds each information of the corresponding entry including the assigned IP address. An ACK message to which the field of the added DHCP option is added is created, and the ACK message to which the DHCP option is added is transmitted to the PE router 20. The PE router 20 transmits the received ACK message to the PC 50 via the concentrator 30 or the concentrators 30 and 40.
[0150]
As described above, in this embodiment, the address to be assigned from the DHCP server is determined by the class ID set for each ISP from the client, so that only one address can be assigned for each ISP, The ISP can appropriately assign the assigned address. This enables each ISP to perform user management and address management.
[0151]
Also, in the case of this embodiment, similarly to the above-described embodiment, at the same time as distributing the address to the client, a filter that allows only the packet addressed to the address assigned by the PE router is automatically set. Communication services such as content distribution can be provided only to users.
[0152]
In this embodiment, a transparent connection service is provided between the PE routers 20 and 70 for performing data relay by tunneling over the network using MPLS. However, the present invention is not limited to this, and the present invention is not limited to this. For example, using IP in IP Tunneling Protocol (RFC1853), IP in IPv6 (Generic Packet Tunneling in IPv6: RFC2473), or GRE (General Routing Encapsulation: RFC1701), data is transmitted over a ring using a network. Even when a transparent connection service is provided, a similar communication service can be provided.
[0153]
The present invention is not limited to these embodiments, and various modifications can be made without departing from the spirit of the present invention. For example, the inquiry to the authentication server can be optionally configured so that the user can select whether or not to inquire. In addition, the function of the authentication server and the function of the DHCP server can be provided together in one server.
[0154]
Further, according to the present invention, a distribution server for distributing contents is connected to the core network, and an IP connection is made between the distribution server and the PE router based on connection information such as an IP address obtained from a DHCP server. It is also possible to perform content distribution from the distribution server to the client by multicast.
[0155]
Further, in the present invention, for example, the system of the first or second embodiment and the system of the third embodiment can be combined. In this case, too, the identification information of the user class ID is set to a different value for each network. Therefore, it becomes possible to acquire a different IP address for each network even with the same PC.
[0156]
【The invention's effect】
As described above, according to the present invention, based on the request message transmitted from the terminal device and the identification information of the user class ID assigned to the access request message by the access control device, the authentication at the authentication server and the response of the authentication are performed. Since the information necessary for the terminal device connection request by the DHCP server is assigned, only one address can be assigned to a legitimate client, and the pooled addresses can be efficiently and accurately assigned.
[0157]
According to the present invention, information necessary for a connection request of a terminal device assigned by the DHCP server is stored in a storage unit of the access control device, and the information in the storage unit is used to determine whether a packet received by the access control device is relayed. Therefore, it is possible to appropriately perform filtering of data relay, and it is possible to prevent a client from performing a DoS (Denial of Service) attack (denial of service attack) by performing address spoofing or the like.
[0158]
Further, in the present invention, by providing a circuit ID to the discover message received by the access control apparatus and transferring the circuit ID to the DHCP server, it is possible to provide the offer message from the DHCP server with the circuit ID. It is easy to identify the destination port of the offer message.
[0159]
Further, in the present invention, the access control device is provided with a DHCP information allocation function, and based on the identification information of the user class ID, it is necessary to perform authentication at the authentication server and a connection request of the terminal device by the access control device after the response of the authentication. Since assignment of information is performed, only one address can be assigned to a legitimate client, and pooled addresses can be efficiently and accurately assigned.
[0160]
Further, in the present invention, when there are a plurality of networks to which a connection request can be made by the terminal device, the authentication by the authentication server of each network is performed based on the identification information of the user class ID given to the access request message from the terminal device. In addition, based on the identification information of the user class ID given to the request message transmitted from the access control device after the response of the authentication, the DHCP server of each network can allocate the information required for the connection request of the terminal device. Therefore, an authorized client can be assigned one address to each of a plurality of networks, and pooled addresses can be efficiently and accurately assigned.
[Brief description of the drawings]
FIG. 1 is a configuration diagram illustrating a configuration of an access control system according to a first embodiment of the present invention;
FIG. 2 is a configuration diagram illustrating a configuration of a DHCP server illustrated in FIG. 1;
FIG. 3 is a configuration diagram illustrating an example of a configuration of a user setting information table illustrated in FIG. 2;
FIG. 4 is a format diagram illustrating a configuration of a DHCP packet.
FIG. 5 is a format diagram showing a configuration of a DHCP message shown in FIG. 4;
FIG. 6 is a format diagram showing a configuration of a DHCP message type option.
FIG. 7 is a format diagram showing a configuration of a user class ID option.
FIG. 8 is a format diagram showing a configuration of a relay agent information option.
FIG. 9 is a diagram of a format showing a configuration of an agent circuit ID suboption.
FIG. 10 is a format diagram showing a configuration of a subnet mask option.
FIG. 11 is a format diagram showing a configuration of a router option.
FIG. 12 is a format diagram showing a configuration of a domain name server option.
FIG. 13 is a format diagram showing a configuration of an IP address lease time option.
FIG. 14 is a flowchart illustrating a data processing operation of the DHCP server shown in FIG. 2;
FIG. 15 is a configuration diagram illustrating a configuration of a PE router illustrated in FIG. 1;
FIG. 16 is a flowchart illustrating a data processing operation of the PE router illustrated in FIG. 15;
17 is a configuration diagram illustrating a configuration of a filtering table illustrated in FIG. 15;
18 is a configuration diagram showing the configuration of the circuit ID table shown in FIG. 15;
19 is a flowchart for explaining a data processing operation of the DHCP control unit shown in FIG.
FIG. 20 is a flowchart for explaining an operation of adding relay agent information shown in FIG. 19;
FIG. 21 is a diagram of a format showing a configuration of a RADIUS packet.
FIG. 22 is a format diagram illustrating a configuration of the RADIUS message illustrated in FIG. 21;
FIG. 23 is a diagram of a format showing a configuration of an attribute value shown in FIG. 22;
FIG. 24 is a flowchart illustrating the operation of a client monitoring timer of the DHCP control unit shown in FIG. 15;
25 is a flowchart illustrating a data processing operation of the authentication control unit illustrated in FIG.
FIG. 26 is a configuration diagram illustrating a configuration of the PC illustrated in FIG. 1;
FIG. 27 is a flowchart for explaining the operation at the time of initialization of the PC shown in FIG. 26 or restart of DHCP.
FIG. 28 is a configuration diagram illustrating a configuration of the authentication server illustrated in FIG. 1;
FIG. 29 is a configuration diagram illustrating a configuration of an access network user authentication table illustrated in FIG. 28;
FIG. 30 is a flowchart illustrating an authentication operation of the authentication server shown in FIG. 28;
FIG. 31 is a sequence diagram showing an authentication-compatible DHCP protocol sequence.
FIG. 32 is a flowchart showing a flow of a message according to the first embodiment in the entire access control system.
FIG. 33 is a configuration diagram illustrating a configuration of a PE router according to the second embodiment;
FIG. 34 is a flowchart illustrating a data processing operation of the DHCP control unit illustrated in FIG. 33;
FIG. 35 is a flowchart for explaining a data processing operation of the authentication control unit shown in FIG. 33;
FIG. 36 is a flowchart showing a message flow according to the second embodiment in the entire access control system.
FIG. 37 is a configuration diagram showing a configuration of an access control system according to a third embodiment of the present invention;
38 is a configuration diagram showing a configuration of a PE router shown in FIG. 37.
FIG. 39 is a configuration diagram showing a configuration of an MPLS label table shown in FIG. 38;
FIG. 40 is a flowchart illustrating a data processing operation of the PE router illustrated in FIG. 38;
FIG. 41 is a flowchart for explaining an MPLS relay processing operation of the MPLS relay control unit shown in FIG. 38;
FIG. 42 is a flowchart for explaining a data processing operation of the DHCP control unit shown in FIG. 38;
FIG. 43 is a flowchart illustrating a data processing operation of the authentication control unit illustrated in FIG. 38;
FIG. 44 is a flowchart showing a message flow according to the third embodiment in the entire access control system.
FIG. 45 is a configuration diagram showing a configuration of a conventional access control system.
FIG. 46 is a sequence diagram showing a DHCP protocol sequence in the access control system shown in FIG. 45;
[Explanation of symbols]
1-3 ISP
10,81,83,85 DHCP server
11, 51, 61 LAN interface
12,21,52,62 Packet transmission unit
13,22,53,63 Packet receiving unit
14,24 DHCP control unit
15 User setting information table
20,70 router
23 IP relay control unit
25, 46, 64 Authentication control unit
26 Filtering table
27 Circuit ID table
28 User setting information table
30 Concentrator
31 MPLS relay control unit
32 MPLS label table
50 PC
54 DHCP processing unit
60,80,82,84 Authentication server
65 Access Network User Authentication Table
70 PE router
A Core Network

Claims (24)

ネットワークへの接続要求を端末装置から、該ネットワークに接続されるＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、
前記ネットワークに認証サーバを接続させ、
前記端末装置で、前記要求メッセージにユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、
前記要求メッセージに対応して、前記アクセス制御装置で、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記認証サーバに送信する識別情報送信工程と、
前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、
前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、少なくとも前記ユーザクラスＩＤの識別情報を付与した前記要求メッセージを、前記ＤＨＣＰサーバに送信する要求転送工程と、
前記要求メッセージに付与された識別情報に応じて、前記ＤＨＣＰサーバで、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、前記アクセス制御装置を介して該端末装置に応答するデータ転送工程と、
を含むことを特徴とするアクセス制御方法。An access control method for transmitting a request message for the connection request to the DHCP server via an access control device when transmitting a connection request to the network from a terminal device to a DHCP server connected to the network,
Connecting an authentication server to the network,
A request transmission step of, in the terminal device, adding identification information of a user class ID to the request message and transmitting the request message;
In response to the request message, the access control device, in the access request message for the access request to give the identification information of the user class ID, identification information transmission step of transmitting to the authentication server,
Based on the identification information given to the access request message, in the authentication server, while authenticating the terminal device, an authentication step of responding to the authentication,
A request transfer step of transmitting, to the DHCP server, the request message to which at least the identification information of the user class ID has been added, in the access control device according to an authentication response from the authentication server;
According to the identification information given to the request message, the DHCP server allocates information necessary for a connection request of the terminal device from among pooled information in advance, and allocates the terminal device via the access control device. A data transfer process responding to the
An access control method comprising: 前記アクセス制御方法では、
前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、
前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程と、
をさらに含むことを特徴とする請求項１に記載のアクセス制御方法。In the access control method,
A storage step of storing, in the access control device, information necessary for a connection request of the terminal device transmitted from the DHCP server,
A determination step of determining whether the received packet is relayed according to the stored information by the access control device;
The access control method according to claim 1, further comprising: 前記アクセス制御方法では、前記端末装置で、ＤＨＣＰサーバを検知するためのディスカバーメッセージを送信する検知工程と、
前記アクセス制御装置で、受信した前記ディスカバーメッセージに、該受信したポートを識別するためのサーキットＩＤを付与して、前記ＤＨＣＰサーバに送信するディスカバー転送工程と、
前記ディスカバーメッセージに対応して、前記ＤＨＣＰサーバで、前記サーキットＩＤを付与したオファーメッセージを応答する提供工程と、
をさらに含むことを特徴とする請求項１または２に記載のアクセス制御方法。In the access control method, a detection step of transmitting a discover message for detecting a DHCP server in the terminal device;
A discovery transfer step of, in the access control device, adding a circuit ID for identifying the received port to the received discover message and transmitting the circuit ID to the DHCP server;
Providing, at the DHCP server, responding to the offer message with the circuit ID in response to the discover message;
The access control method according to claim 1, further comprising: 前記アクセス制御方法では、前記アクセス制御装置は、前記端末装置から前記ＤＨＣＰサーバへ転送するメッセージに前記サーキットＩＤを付与して、該ＤＨＣＰサーバへ転送し、前記ＤＨＣＰサーバから前記端末装置へ転送するメッセージから前記サーキットＩＤを削除して、該端末装置へ転送し、
前記ＤＨＣＰサーバは、前記アクセス制御装置から受信したメッセージに対応して、前記応答用のメッセージを送信する際に、当該受信メッセージに付与されていたサーキットＩＤを、当該応答用のメッセージに付与して前記アクセス制御装置へ送信することを特徴とする請求項１〜３のいずれか一つに記載のアクセス制御方法。In the access control method, the access control device assigns the circuit ID to a message transferred from the terminal device to the DHCP server, transfers the message to the DHCP server, and transfers a message transferred from the DHCP server to the terminal device. And deletes the circuit ID from the terminal device and transfers it to the terminal device.
When transmitting the response message in response to the message received from the access control device, the DHCP server appends the circuit ID assigned to the received message to the response message. The access control method according to any one of claims 1 to 3, wherein the access control method is transmitted to the access control device. 前記認証サーバは、前記アクセス制御装置からのメッセージに応答する際、該応答用のメッセージに該アクセス制御装置からのメッセージに付与されていたサーキットＩＤを、当該応答用のメッセージに付与して前記アクセス制御装置へ送信することを特徴とする請求項１〜４のいずれか一つに記載のアクセス制御方法。The authentication server, when responding to the message from the access control device, assigns the circuit ID assigned to the message from the access control device to the response message to the response message, and The access control method according to any one of claims 1 to 4, wherein the access control method is transmitted to a control device. 前記データ転送工程では、前記アクセス制御装置は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置に転送することを特徴とする請求項１〜３のいずれか一つに記載のアクセス制御方法。In the data transfer step, the access control device changes a source address of information necessary for a connection request of the terminal device from the DHCP server to an address of the own device and transfers the address to the terminal device. The access control method according to claim 1, wherein ネットワークへの接続要求を端末装置から、該ネットワークに接続されるＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、
前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、
前記端末装置で、前記要求メッセージにユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、
前記要求メッセージに対応して、前記アクセス制御装置で、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記認証サーバに送信する識別情報送信工程と、
前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、
前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、該端末装置に応答するデータ送信工程と、
を含むことを特徴とするアクセス制御方法。An access control method for transmitting a request message for the connection request to the DHCP server via an access control device when transmitting a connection request to the network from a terminal device to a DHCP server connected to the network,
A storage step of storing information necessary for a connection request of the terminal device in the access control device,
A request transmission step of, in the terminal device, adding identification information of a user class ID to the request message and transmitting the request message;
In response to the request message, the access control device, in the access request message for the access request to give the identification information of the user class ID, identification information transmission step of transmitting to the authentication server,
Based on the identification information given to the access request message, in the authentication server, while authenticating the terminal device, an authentication step of responding to the authentication,
In response to an authentication response from the authentication server, the access control device assigns information necessary for a connection request of the terminal device from among information pooled in advance, and a data transmission step of responding to the terminal device,
An access control method comprising: 前記アクセス制御方法では、前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程をさらに含むことを特徴とする請求項７に記載のアクセス制御方法。The access control method according to claim 7, wherein the access control method further includes a determining step of determining whether or not the received packet is relayed by the access control device according to the stored information. . 少なくとも一つの特定ネットワークへの接続要求を端末装置から、前記ネットワークに接続されたＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、
前記端末装置と前記ＤＨＣＰサーバが接続された少なくとも一つの特定ネットワークとの間には、当該特定ネットワークと異なる少なくとも一つの異種ネットワークが介在しており、かつ前記各特定ネットワークには、前記ＤＨＣＰサーバとともに認証サーバをそれぞれ接続させ、
前記端末装置で、前記要求メッセージに、前記特定ネットワークのうち、ある特定ネットワークに対応するユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、
アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記ある特定ネットワークに接続された認証サーバに送信する識別情報送信工程と、
前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、
前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、前記ユーザクラスＩＤの識別情報を付与した前記要求メッセージを、前記ある特定ネットワークに接続されたＤＨＣＰサーバに送信する要求転送工程と、
前記要求メッセージに付与された識別情報に応じて、前記ＤＨＣＰサーバで、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、前記アクセス制御装置を介して該端末装置に応答するデータ転送工程と、
を含むことを特徴とするアクセス制御方法。Access for transferring a request message for the connection request to the DHCP server via an access control device when transmitting a connection request to at least one specific network from a terminal device to a DHCP server connected to the network; In the control method,
At least one heterogeneous network different from the specific network is interposed between the terminal device and at least one specific network to which the DHCP server is connected, and each of the specific networks is provided together with the DHCP server. Connect each authentication server,
A request transmitting step of, in the terminal device, transmitting the request message with identification information of a user class ID corresponding to a specific network among the specific networks;
An identification information transmitting step of adding identification information of the user class ID to an access request message for an access request and transmitting the identification information to an authentication server connected to the specific network;
Based on the identification information given to the access request message, in the authentication server, while authenticating the terminal device, an authentication step of responding to the authentication,
A request transfer step of, in response to an authentication response from the authentication server, transmitting, by the access control device, the request message to which the identification information of the user class ID has been added, to a DHCP server connected to the specific network;
According to the identification information given to the request message, the DHCP server allocates information necessary for a connection request of the terminal device from among pooled information in advance, and allocates the terminal device via the access control device. A data transfer process responding to the
An access control method comprising: 前記アクセス制御方法では、
前記ＤＨＣＰサーバから前記ネットワーク毎に転送される前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、
前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程と、
をさらに含むことを特徴とする請求項９に記載のアクセス制御方法。In the access control method,
A storage step of storing, in the access control device, information necessary for a connection request of the terminal device transferred from the DHCP server for each network,
A determination step of determining whether the received packet is relayed according to the stored information by the access control device;
The access control method according to claim 9, further comprising: 前記データ転送工程では、前記アクセス制御装置は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置に転送することを特徴とする請求項９または１０に記載のアクセス制御方法。In the data transfer step, the access control device changes a source address of information necessary for a connection request of the terminal device from the DHCP server to an address of the own device and transfers the address to the terminal device. The access control method according to claim 9 or 10, wherein 端末装置とネットワーク間に接続され、該端末装置から送信される該ネットワークへの接続要求のための要求メッセージを、該ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、
前記端末装置から送信されたユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、
前記アクセス要求メッセージを前記認証サーバへ送信させる送信制御手段と、
前記識別情報が付与された要求メッセージを保持する保持手段と、
前記認証サーバからの認証応答に応じて、前記保持された要求メッセージを前記ＤＨＣＰサーバへ転送させるとともに、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、該端末装置へ転送させる転送制御手段と、
を備えたことを特徴とするアクセス制御装置。An authentication server connected between a terminal device and a network, for transferring a request message for connection request to the network transmitted from the terminal device to a DHCP server connected to the network, An access control device for transmitting an access request message for an access request to
Information control means for providing the identification information of the user class ID to an access request message for an access request in response to the request message to which the identification information of the user class ID transmitted from the terminal device is provided;
Transmission control means for transmitting the access request message to the authentication server,
Holding means for holding a request message to which the identification information is added,
In accordance with an authentication response from the authentication server, the held request message is transferred to the DHCP server, and information necessary for the connection request of the terminal device transmitted from the DHCP server is transferred to the terminal device. Transfer control means for causing
An access control device comprising: 前記アクセス制御装置は、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を記憶する記憶手段と、
前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段と、
をさらに備えたことを特徴とする請求項１２に記載のアクセス制御装置。A storage unit configured to store information necessary for a connection request of the terminal device transmitted from the DHCP server,
Judging means for judging the presence or absence of the relay of the received packet according to the information stored in the storage means,
The access control device according to claim 12, further comprising: 前記アクセス制御装置は、
メッセージの受信ポートに対応したサーキットＩＤを記憶するサーキットＩＤ記憶手段と、
前記メッセージに付与されたサーキットＩＤに基づいて、サーキットＩＤ記憶手段を検索して、該メッセージを受信したポートを識別する識別手段をさらに備え、
前記転送制御手段は、前記端末装置から送信される前記ＤＨＣＰサーバを検知するためのディスカバーメッセージに、該ディスカバーメッセージを受信したポートを識別するためのサーキットＩＤを付与して、前記ＤＨＣＰサーバに転送するとともに、該ＤＨＣＰサーバから送信されるオファーメッセージに付与されたサーキットＩＤを削除するとともに、該削除したサーキットＩＤに基づいて、前記識別手段で識別されたポートに、前記オファーメッセージを転送することを特徴とする請求項１２または１３に記載のアクセス制御装置。The access control device,
Circuit ID storage means for storing a circuit ID corresponding to a message receiving port;
Based on the circuit ID given to the message, further comprising: an identification unit that searches a circuit ID storage unit and identifies a port that has received the message.
The transfer control unit adds a circuit ID for identifying a port that has received the discover message to a discover message for detecting the DHCP server transmitted from the terminal device, and transfers the message to the DHCP server. And deleting the circuit ID given to the offer message transmitted from the DHCP server, and transferring the offer message to the port identified by the identification means based on the deleted circuit ID. 14. The access control device according to claim 12, wherein: 前記転送制御手段は、前記ＤＨＣＰサーバから送信されるメッセージに付与されたサーキットＩＤを削除した後に、転送することを特徴とする請求項１２〜１４のいずれか一つに記載のアクセス制御装置。The access control device according to any one of claims 12 to 14, wherein the transfer control unit transfers the message after deleting a circuit ID given to a message transmitted from the DHCP server. 前記転送制御手段は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置へ転送させることを特徴とする請求項１２〜１５のいずれか一つに記載のアクセス制御装置。13. The transfer control unit according to claim 12, wherein a source address of information necessary for a connection request of the terminal device from the DHCP server is changed to an address of the own device and transferred to the terminal device. 16. The access control device according to any one of 15. 端末装置とネットワーク間に接続され、該端末装置から送信される該ネットワークへの接続要求のための要求メッセージを、該ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、
前記端末装置の接続要求に必要な情報を記憶する記憶手段と、
前記端末装置から送信されたユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、
前記アクセス要求メッセージを前記認証サーバへ送信させるメッセージ送信制御手段と、
前記認証サーバからの認証応答に応じて、予めプールされている情報から、前記端末装置の接続要求に必要な情報を割り当て、前記記憶手段に記憶させる情報割当手段と、
前記割り当てられた情報を前記端末装置に送信させる情報送信制御手段と、
を備えたことを特徴とするアクセス制御装置。An authentication server connected between a terminal device and a network, for transferring a request message for connection request to the network transmitted from the terminal device to a DHCP server connected to the network, An access control device for transmitting an access request message for an access request to
Storage means for storing information necessary for a connection request of the terminal device,
Information control means for providing the identification information of the user class ID to an access request message for an access request in response to the request message to which the identification information of the user class ID transmitted from the terminal device is provided;
Message transmission control means for transmitting the access request message to the authentication server,
In accordance with an authentication response from the authentication server, from the information pooled in advance, information necessary for the connection request of the terminal device is allocated, and information allocating means for storing in the storage means,
Information transmission control means for transmitting the assigned information to the terminal device,
An access control device comprising: 前記アクセス制御装置は、前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段をさらに備えたことを特徴とする請求項１７に記載のアクセス制御装置。18. The access control device according to claim 17, wherein the access control device further includes a determination unit that determines whether or not the received packet is relayed according to the information stored in the storage unit. 端末装置と少なくとも一つの特定ネットワーク間に接続され、該端末装置から送信される該特定ネットワークへの接続要求のための要求メッセージを、該特定ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記特定ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、
端末装置からの前記特定ネットワークのうちのある特定ネットワークに対するユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、
前記アクセス要求メッセージを前記ある特定ネットワークに接続された認証サーバへ送信させる送信制御手段と、
前記識別情報が付与された要求メッセージを保持する保持手段と、
前記認証サーバからの認証応答に応じて、前記保持された要求メッセージを前記ある特定ネットワークに接続されたＤＨＣＰサーバへ転送させるとともに、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、該端末装置へ転送させる転送制御手段と、
を備えたことを特徴とするアクセス制御装置。A request message for connection request to the specific network, which is connected between the terminal device and at least one specific network, and transmitted from the terminal device to a DHCP server connected to the specific network; An access control device for transmitting an access request message for an access request to an authentication server connected to a network,
In response to a request message from a terminal device to which identification information of a user class ID for a certain specific network among the specific networks has been added, the identification information of the user class ID is added to an access request message for an access request. Information control means;
Transmission control means for transmitting the access request message to an authentication server connected to the certain network,
Holding means for holding a request message to which the identification information is added,
In response to an authentication response from the authentication server, the request message stored is transferred to a DHCP server connected to the specific network, and information necessary for a connection request of the terminal device transmitted from the DHCP server is transmitted. Transfer control means for transferring to the terminal device,
An access control device comprising: 前記アクセス制御装置は、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を記憶する記憶手段と、
前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段と、
をさらに備えたことを特徴とする請求項１９に記載のアクセス制御装置。A storage unit configured to store information necessary for a connection request of the terminal device transmitted from the DHCP server,
Judging means for judging the presence or absence of the relay of the received packet according to the information stored in the storage means,
20. The access control device according to claim 19, further comprising: 前記転送制御手段は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置へ転送させることを特徴とする請求項１９または２０に記載のアクセス制御装置。20. The transfer control unit according to claim 19, wherein a source address of information necessary for a connection request of the terminal device from the DHCP server is changed to an address of the own device and transferred to the terminal device. 21. The access control device according to 20. ネットワークへの接続要求に対し、該接続要求に必要な情報の応答を行うアクセス制御システムにおいて、
前記接続要求のための要求メッセージにユーザクラスＩＤの識別情報を付与して送信する端末装置と、
前記ネットワークと端末装置間に接続される請求項１２〜１６のいずれか一つに記載のアクセス制御装置と、
前記ネットワークに接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、
前記ネットワークに接続され、前記要求メッセージに付与された識別情報に応じて、前記端末装置の接続要求に必要な情報を応答するＤＨＣＰサーバと、
を備えたことを特徴とするアクセス制御システム。In an access control system that responds to a connection request to a network with information necessary for the connection request,
A terminal device for adding identification information of a user class ID to a request message for the connection request and transmitting the request message;
The access control device according to any one of claims 12 to 16, which is connected between the network and a terminal device;
An authentication server that is connected to the network and authenticates the terminal device based on identification information of a user class ID given to an access request message from the access control device, and performs a response to the authentication;
A DHCP server connected to the network and responding to the information required for the connection request of the terminal device according to the identification information given to the request message;
An access control system comprising: ネットワークへの接続要求に対し、該接続要求に必要な情報の応答を行うアクセス制御システムにおいて、
前記接続要求のための要求メッセージにユーザクラスＩＤの識別情報を付与して送信する端末装置と、
前記ネットワークと端末装置間に接続される請求項１７または１８に記載のアクセス制御装置と、
前記ネットワークに接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、
を備え、前記認証サーバからの認証応答に応じて、前記アクセス制御装置が、前記端末装置の接続要求に必要な情報を、該端末装置に応答することを特徴とするアクセス制御システム。In an access control system that responds to a connection request to a network with information necessary for the connection request,
A terminal device for adding identification information of a user class ID to a request message for the connection request and transmitting the request message;
The access control device according to claim 17 or 18, wherein the access control device is connected between the network and a terminal device.
An authentication server that is connected to the network and authenticates the terminal device based on identification information of a user class ID given to an access request message from the access control device, and performs a response to the authentication;
An access control system, wherein the access control device responds to the terminal device with information necessary for a connection request of the terminal device in response to an authentication response from the authentication server. 少なくとも一つの特定ネットワークへの接続要求に対し、該特定ネットワーク毎に接続要求に必要な情報の応答を行うアクセス制御システムにおいて、
前記特定ネットワークのうち、ある特定ネットワークに対応するユーザクラスＩＤの識別情報を付与した前記接続要求のための要求メッセージを送信する端末装置と、
前記各特定ネットワークと端末装置間に接続される請求項１９〜２１のいずれか一つに記載のアクセス制御装置と、
前記特定ネットワーク毎にそれぞれ接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、
前記特定ネットワーク毎にそれぞれ接続され、前記要求メッセージに付与された識別情報に応じて、前記端末装置の接続要求に必要な情報を応答するＤＨＣＰサーバと、
を備え、前記特定ネットワーク毎に端末装置の認証および該端末装置の接続要求に必要な情報の応答を行うことを特徴とするアクセス制御システム。An access control system for responding to information required for a connection request for each specific network in response to a connection request to at least one specific network,
A terminal device that transmits a request message for the connection request to which identification information of a user class ID corresponding to a certain specific network is assigned,
The access control device according to any one of claims 19 to 21, wherein the access control device is connected between each of the specific networks and a terminal device.
An authentication server that is connected to each of the specific networks and performs authentication of the terminal device based on identification information of a user class ID given to an access request message from the access control device, and performs a response to the authentication;
A DHCP server connected to each of the specific networks, and responding to the information required for the connection request of the terminal device according to the identification information given to the request message;
And an access control system for performing authentication of a terminal device and response of information necessary for a connection request of the terminal device for each of the specific networks.
JP2002371089A 2002-12-20 2002-12-20 Access control method, access controller, and access control system using the same Pending JP2004207788A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2002371089A JP2004207788A (en) 2002-12-20 2002-12-20 Access control method, access controller, and access control system using the same

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2002371089A JP2004207788A (en) 2002-12-20 2002-12-20 Access control method, access controller, and access control system using the same

Publications (1)

Publication Number Publication Date
JP2004207788A true JP2004207788A (en) 2004-07-22

Family

ID=32810068

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2002371089A Pending JP2004207788A (en) 2002-12-20 2002-12-20 Access control method, access controller, and access control system using the same

Country Status (1)

Country Link
JP (1) JP2004207788A (en)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008244765A (en) * 2007-03-27 2008-10-09 Toshiba Corp Dynamic host configuration protocol server, and ip address assignment method
WO2009008076A1 (en) * 2007-07-11 2009-01-15 Fujitsu Limited Authentication system, terminal authentication apparatus, and authentication process program
JP2010193051A (en) * 2009-02-17 2010-09-02 Fujitsu Telecom Networks Ltd Network management method, dhcp relay agent, and dhcp server
KR101046332B1 (en) 2009-02-02 2011-07-05 한남대학교 산학협력단 IP address allocation system and its method according to security level of internal network
JP2014533054A (en) * 2011-11-08 2014-12-08 ▲ホア▼▲ウェイ▼技術有限公司 Method for transferring authentication information, relay device, and server

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008244765A (en) * 2007-03-27 2008-10-09 Toshiba Corp Dynamic host configuration protocol server, and ip address assignment method
WO2009008076A1 (en) * 2007-07-11 2009-01-15 Fujitsu Limited Authentication system, terminal authentication apparatus, and authentication process program
JP5018883B2 (en) * 2007-07-11 2012-09-05 富士通株式会社 Authentication system, terminal authentication device, and authentication processing program
US8312513B2 (en) 2007-07-11 2012-11-13 Fujitsu Limited Authentication system and terminal authentication apparatus
KR101046332B1 (en) 2009-02-02 2011-07-05 한남대학교 산학협력단 IP address allocation system and its method according to security level of internal network
JP2010193051A (en) * 2009-02-17 2010-09-02 Fujitsu Telecom Networks Ltd Network management method, dhcp relay agent, and dhcp server
JP2014533054A (en) * 2011-11-08 2014-12-08 ▲ホア▼▲ウェイ▼技術有限公司 Method for transferring authentication information, relay device, and server
US10075441B2 (en) 2011-11-08 2018-09-11 Huawei Technologies Co., Ltd. Method for transferring authorization information, relay device, and server
US10320788B2 (en) 2011-11-08 2019-06-11 Huawei Technologies Co., Ltd. Method for transferring authorization information, relay device, and server

Similar Documents

Publication Publication Date Title
US20100223655A1 (en) Method, System, and Apparatus for DHCP Authentication
US9756052B2 (en) Method and apparatus for dual stack access
US7152117B1 (en) Techniques for dynamic host configuration using overlapping network
US8605582B2 (en) IP network system and its access control method, IP address distributing device, and IP address distributing method
EP2346217B1 (en) Method, device and system for identifying an IPv6 session
JP4975190B2 (en) Search method for hosts in IPv6 network
CN110958272B (en) Identity authentication method, identity authentication system and related equipment
JP2007166082A (en) Packet transfer device
WO2013159641A1 (en) Address allocation method, device, and system
WO2012088911A1 (en) Method and device for ip terminal to access network
EP2615788A1 (en) Method for dual stack user management and broadband access server
JP4852110B2 (en) IPv6 address acquisition apparatus, method, and system
CN104601743A (en) IP (internet protocol) forwarding IPoE (IP over Ethernet) dual-stack user access control method and equipment based on Ethernet
JP2008066907A (en) Packet communication device
JP2001326696A (en) Method for controlling access
US20060193330A1 (en) Communication apparatus, router apparatus, communication method and computer program product
CN106131177B (en) Message processing method and device
JP3994412B2 (en) Network system, network identifier setting method, network connection point, network identifier setting program, and recording medium
JP3823674B2 (en) COMMUNICATION METHOD AND COMMUNICATION CONTROL DEVICE WITH PROTOCOL CONVERSION
WO2011140954A1 (en) Method and device for obtaining remote ip address
JP2004207788A (en) Access control method, access controller, and access control system using the same
JP5261432B2 (en) Communication system, packet transfer method, network switching apparatus, access control apparatus, and program
JP2008160868A (en) Packet transfer device
JP2004072633A (en) IPv6 NODE ACCOMMODATING METHOD AND IPv6 NODE ACCOMMODATING SYSTEM
JP2004104355A (en) Method and apparatus for managing network address and network address management system