JP2004266516A - Network management server, communication terminal, edge switch device, program for communication, and network system - Google Patents

Network management server, communication terminal, edge switch device, program for communication, and network system Download PDF

Info

Publication number
JP2004266516A
JP2004266516A JP2003053902A JP2003053902A JP2004266516A JP 2004266516 A JP2004266516 A JP 2004266516A JP 2003053902 A JP2003053902 A JP 2003053902A JP 2003053902 A JP2003053902 A JP 2003053902A JP 2004266516 A JP2004266516 A JP 2004266516A
Authority
JP
Japan
Prior art keywords
network
communication terminal
communication
management server
edge switch
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
JP2003053902A
Other languages
Japanese (ja)
Inventor
Satoshi Iino
聡 飯野
Mikito Sugiura
幹人 杉浦
Hiroshi Ishida
寛史 石田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Holdings Corp
Original Assignee
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co Ltd filed Critical Matsushita Electric Industrial Co Ltd
Priority to JP2003053902A priority Critical patent/JP2004266516A/en
Publication of JP2004266516A publication Critical patent/JP2004266516A/en
Withdrawn legal-status Critical Current

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To secure security in a radio section between a communication terminal and an access point without adding any special functions, such as an authentication function, to the access point. <P>SOLUTION: An area network management server 25 shares a pre-shared key using the MAC address of each communication terminal as a key with the communication terminals 10A, 10B for connecting group networks 30A, 30B to which its own terminal belongs via an area network 20. When the communication terminal starts communication with the group networks via the area network 20, the connection with the area network management server where the security is secured by the pre-shared key is relayed for communicating between the communication terminal and authentication servers 70A, 70B. When the authentication is successful, the area network server sets a new main communication key to the communication terminal and a house-side edge switch. After that, communication where security is secured by a main signal key is made between the communication terminal and the group networks. <P>COPYRIGHT: (C)2004,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、アクセスネットワークでの暗号化及びユーザの認証が必要な公衆ネットワークシステム、特に、モバイルネットワークシステムにおけるネットワーク管理サーバ、通信端末、エッジスイッチ装置、通信用プログラム並びにネットワークシステムに関する。
【０００２】
【従来の技術】
従来、公衆インターネット接続網や企業用ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）接続への認証方式としては、ＰＰＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ）プロトコルを用いた方式が一般的である。ＰＰＰには、ユーザの認証機能やＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ：インターネット・サービス・プロバイダ）による加入者のＩＰアドレス付与などの機能がある。これらの機能をＥｔｈｅｒｎｅｔ（Ｒ）（イーサネット（Ｒ））上に実現するため、アクセス網側はＰＰＰｏＥ（ＰＰＰ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（Ｒ））と呼ばれるプロトコルでＰＰＰパケットを運んでいる。局側はＰＰＰｏＥを終端する。
【０００３】
また、その他の従来の無線インターネットサービスの移動認証方式の例として、下記の非特許文献１に記載されている技術が挙げられる。図１５は、従来の技術に係るネットワークシステムの一構成例を示す図であり、図１６は、従来の技術に係るネットワークシステムの一構成例におけるシーケンス図である。なお、図１６に示すシーケンスは、基本的に、非特許文献１の内容と同一である。
【０００４】
図１５に示す従来のネットワークでは、アクセスポイント（ベースルータ）に認証機能を保持させ、１往復のメッセージのみで、通信端末１１０の認証を行うことによって、迅速な認証を可能としている。まず、アクセスポイント１１５は、通信端末１１０に対して時刻情報をブロードキャストする。その時刻情報を受信した通信端末１１０は、認証サーバ１７０との間で交換している秘密鍵を用いて、時刻を種とするハッシュ値を生成し、アクセスポイントに認証要求として、時刻情報及びハッシュ値を送信する。認証サーバ１７０は、受け取った時刻情報から秘密鍵を用いてハッシュ値を計算する。そして、計算結果が受信したハッシュ値と同一か否かを確かめ、同一ならば認証応答として認証成功であることをアクセスポイント１１５に送信し、アクセスポイント１１５は、認証応答を通信端末１１０に転送する。
【０００５】
【非特許文献１】
「無線インターネットサービスに必要なセキュリティを提供する高速認証システム」，情報処理学会研究報告 ２００１−ＤＰＳ−１０７，２００２年 ３月
【０００６】
【発明が解決しようとする課題】
しかしながら、ＰＰＰｏＥによるアクセスでは、ＰＰＰｏＥセッションが、通信端末とＢＡＳ（Ｂｒｏａｄｂａｎｄ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ）と呼ばれる網側の終端装置との間で張られる。そのため、通信端末の移動時に無線リンクが切れた際、ＰＰＰｏＥセッションから張りなおす必要があり、ＰＰＰによる認証を再び行う必要がある。したがって、迅速に無線の切替移動を行うことが困難である。
【０００７】
また、非特許文献１に記載の技術には、次のような問題点が存在する。まず、基地局と通信端末を独自仕様で構築しているため、現在、非常に安価になっている汎用のアクセスポイントを利用することができず、安価なネットワークの利用というインターネットの利点が損なわれてしまうおそれがあるという問題がある。また、認証サーバ側と通信端末も独自の仕様にする必要があるため、コストが高くなってしまうという問題がある。
【０００８】
そこで、上記問題点に鑑み、本発明では、アクセスポイントに認証機能などの特別な機能を付加することなく、セキュリティの確保されたネットワークシステムを提供し、特に、通信端末とアクセスポイントとの間の無線区間におけるセキュリティを確保することが可能なモバイルネットワークシステムにおけるネットワーク管理サーバ、通信端末、エッジスイッチ装置、通信用プログラム並びにネットワークシステムを提供することを目的とする。
【０００９】
【課題を解決するための手段】
上記目的を達成するため、本発明は、複数の通信端末と複数の通信端末のそれぞれが属するネットワークとを接続する網間ネットワーク内に配置され、複数の通信端末と複数の通信端末のそれぞれが属するネットワークとの接続を管理するネットワーク管理サーバであって、複数の通信端末のそれぞれに固有の共有鍵を事前に保持し、複数の通信端末のそれぞれとの間で、共有鍵による暗号／復号化による通信を行うよう構成する。
この構成により、アクセスポイントに認証機能などの特別な機能を付加することなく、セキュリティの確保されたネットワークシステムを提供することが可能となり、特に、通信端末とアクセスポイントとの間の無線区間におけるセキュリティを確保することが可能となる。
【００１０】
また、本発明は、複数の通信端末と複数の通信端末のそれぞれが属するネットワークとを接続する網間ネットワーク内に配置され、複数の通信端末と複数の通信端末のそれぞれが属するネットワークとの接続を管理するネットワーク管理サーバであって、複数の通信端末のそれぞれに固有の共有鍵を事前に保持し、複数の通信端末のそれぞれから、暗号化されたネットワークでの認証に必要な情報を受信し、受信した情報を共有鍵によって復号し、通信端末の属するネットワーク内の認証サーバに対して、通信端末に係るネットワークでの認証に必要な情報を送信するよう構成する。
この構成により、アクセスポイントに認証機能などの特別な機能を付加することなく、セキュリティの確保されたネットワークシステムを提供することが可能となり、特に、通信端末が、所望のネットワークに接続する際に送信すべき認証に必要な情報に関して、所望の通信端末とアクセスポイントとの間の無線区間におけるセキュリティを確保することが可能となる。
【００１１】
さらに、本発明は、上記構成に加えて、通信端末の属するネットワーク内の認証サーバにおける認証結果を認証サーバから受信し、認証結果を共有鍵によって暗号化して、通信端末に送信するよう構成する。
この構成により、アクセスポイントに認証機能などの特別な機能を付加することなく、セキュリティの確保されたネットワークシステムを提供することが可能となり、特に、認証サーバから通信端末に対して中継を行う認証結果に関して、所望の通信端末とアクセスポイントとの間の無線区間におけるセキュリティを確保することが可能となる。
【００１２】
さらに、本発明は、上記構成に加えて、網間ネットワークのエッジを構成し複数の通信端末側との接続を行うエッジスイッチ装置から、通信端末の位置情報を受信した場合、網間ネットワークにおける通信端末とネットワークとの経路を設定し、網間ネットワークのエッジを構成し複数の通信端末側との接続を行うエッジスイッチ装置と、網間ネットワークのエッジを構成しネットワーク側との接続を行うエッジスイッチ装置とに対して、経路による通信を可能とする経路情報を送信するよう構成する。
この構成により、通信端末が所望のネットワークに接続する際の中継ネットワークとなる宅側エッジスイッチ装置と網側エッジスイッチ装置との間のネットワークにおける経路を管理することが可能となる。
【００１３】
さらに、本発明は、上記構成に加えて、通信端末の属するネットワーク内の認証サーバにおける認証結果が認証成功の場合、通信端末の識別情報に対応して、暗号用の主信号鍵を生成し、通信端末と、網間ネットワークのエッジを構成し複数の通信端末側との接続を行うエッジスイッチ装置とに対して、主信号鍵を送信するよう構成する。
この構成により、通信端末及び宅側エッジスイッチ装置に、新たに共通の主信号通信用の主信号鍵を設定することが可能となる。
【００１４】
さらに、本発明は、上記構成に加えて、通信端末に対して、主信号鍵を共有鍵によって暗号化して送信するよう構成する。
この構成により、通信端末に送る主信号鍵を暗号化し、外部から主信号鍵を盗取されないようにすることが可能となる。
【００１５】
さらに、本発明は、上記構成に加えて、通信端末の識別情報として、通信端末に固有のＭＡＣアドレスが用いられるよう構成する。
この構成により、主信号鍵と通信端末とを１対１に関係付けることが可能となる。
【００１６】
さらに、本発明は、上記構成に加えて、複数の通信端末のそれぞれから、共有鍵によって暗号化されたエッジスイッチ装置の接続を切り替えたことを通知する移動通知情報を受信した場合、受信した情報を共有鍵によって復号し、通信端末が移動後に接続するエッジスイッチ装置に対して主信号鍵を送信するとともに、通信端末が移動前に接続していたエッジスイッチ装置に対して、移動した通信端末に係る主信号鍵の削除を要求するよう構成する。
この構成により、通信端末が宅側エッジスイッチ装置の接続を変更した場合、この接続変更に従って、エッジスイッチ装置の主信号鍵を移動することが可能となり、認証処理を再び行うことなく、通信端末の移動をサポートすることが可能となる。
【００１７】
さらに、本発明は、上記構成に加えて、一定時間ごとに、通信端末に対して、共有鍵の送信を要求し、通信端末の正当性を確認するよう構成する。
この構成により、一定時間ごとに、通信端末の正当性を確認することが可能となる。
【００１８】
さらに、本発明は、上記構成に加えて、通信端末の正当性が確認できなかった場合には、網間ネットワークのエッジを構成し複数の通信端末側との接続を行うエッジスイッチ装置と、網間ネットワークのエッジを構成しネットワーク側との接続を行うエッジスイッチ装置とに対して、通信端末に係る経路情報の削除を要求するよう構成する。
この構成により、偽のユーザ又は通信端末に対して、通信を行うことができないようにすることが可能となる。
【００１９】
また、本発明によれば、上記のネットワーク管理サーバを実現するため、ネットワーク管理サーバによって実行可能な通信用プログラムが提供される。
これにより、一般的なコンピュータによってネットワーク管理サーバを実現することが可能となる。
【００２０】
また、本発明は、網間ネットワークを介して、自端末が属するネットワークとの接続を行う通信端末であって、通信端末に固有の共有鍵を事前に保持する網間ネットワーク内のネットワーク管理サーバとの間で、共有鍵による暗号／復号化による通信を行うよう構成する。
この構成により、アクセスポイントに認証機能などの特別な機能を付加することなく、セキュリティの確保されたネットワークシステムを提供することが可能となり、特に、通信端末とアクセスポイントとの間の無線区間におけるセキュリティを確保することが可能となる。
【００２１】
また、本発明は、網間ネットワークを介して、自端末が属するネットワークとの接続を行う通信端末であって、通信端末に固有の共有鍵を事前に保持する網間ネットワーク内のネットワーク管理サーバに対して、自端末が属するネットワークでの認証に必要な情報を共有鍵によって暗号化して送信するよう構成する。
この構成により、アクセスポイントに認証機能などの特別な機能を付加することなく、セキュリティの確保されたネットワークシステムを提供することが可能となり、特に、通信端末が、所望のネットワークに接続する際に送信すべき認証に必要な情報に関して、所望の通信端末とアクセスポイントとの間の無線区間におけるセキュリティを確保することが可能となる。
【００２２】
さらに、本発明は、上記構成に加えて、通信端末の属するネットワーク内の認証サーバにおける認証結果が共有鍵によって暗号化された情報を、ネットワーク管理サーバから受信し、受信した情報を共有鍵によって復号するよう構成する。
この構成により、アクセスポイントに認証機能などの特別な機能を付加することなく、セキュリティの確保されたネットワークシステムを提供することが可能となり、特に、通信端末が認証サーバから受信する認証結果に関して、所望の通信端末とアクセスポイントとの間の無線区間におけるセキュリティを確保することが可能となる。
【００２３】
さらに、本発明は、上記構成に加えて、ネットワーク管理サーバから、通信端末の識別情報に対応した暗号用の主信号鍵を受信するよう構成する。
この構成により、新たに主信号通信用の主信号鍵を取得することが可能となる。
【００２４】
さらに、本発明は、上記構成に加えて、網間ネットワークのエッジを構成し、通信端末側との接続を行うエッジスイッチ装置との間で、主信号鍵による暗号／復号化による通信を行うよう構成する。
この構成により、宅側エッジスイッチ装置との間の通信を、主信号鍵によって暗号化することが可能となる。
【００２５】
また、本発明は、網間ネットワークを介して、自端末が属するネットワークとの接続を行う通信端末であって、網間ネットワークのエッジを構成し、通信端末側との接続を行うエッジスイッチ装置の接続を切り替えた場合、通信端末に固有の共有鍵を事前に保持する網間ネットワーク内のネットワーク管理サーバに対して、エッジスイッチ装置の接続を切り替えたことを通知する移動通知情報を共有鍵によって暗号化して送信するよう構成する。
この構成により、通信端末が移動して宅側エッジスイッチ装置の接続を切り替えた場合、その移動をネットワーク管理サーバに通知することが可能となる。
【００２６】
さらに、本発明は、上記構成に加えて、ネットワーク管理サーバから共有鍵の送信を要求された場合には、ネットワーク管理サーバに対して共有鍵を送信するよう構成する。
この構成により、一定時間ごとにネットワーク管理サーバに対して、自端末の正当性を通知することが可能となる。
【００２７】
また、本発明によれば、上記の通信端末を実現するため、通信端末によって実行可能な通信用プログラムが提供される。
これにより、一般的なコンピュータによってネットワーク管理サーバを実現することが可能となる。
【００２８】
また、本発明は、複数の通信端末と複数の通信端末のそれぞれが属するネットワークとを接続する網間ネットワークのエッジを構成し、複数の通信端末側との接続を行うエッジスイッチ装置であって、複数の通信端末のそれぞれからのネットワークでの認証の要求を、複数の通信端末と複数の通信端末のそれぞれが属するネットワークとの接続を管理するネットワーク管理サーバに対して中継する場合、ネットワーク管理サーバに対して通信端末の位置情報を通知するよう構成する。
この構成により、通信端末の認証時に、同時に、ネットワーク管理サーバが経路の設定を行えるようにすることが可能となる。
【００２９】
さらに、本発明は、上記構成に加えて、ネットワーク管理サーバから、網間ネットワークにおける通信端末とネットワークとの間で設定された経路による通信を可能とする経路情報を受信するよう構成する。
この構成により、ネットワーク管理サーバによって設定された経路に従って、通信端末からの情報、又は、通信端末への情報を中継することが可能となる。
【００３０】
さらに、本発明は、上記構成に加えて、ネットワーク管理サーバから、通信端末の識別情報に対応した暗号用の主信号鍵を受信するよう構成する。
この構成により、新たに主信号通信用の主信号鍵を取得することが可能となる。
【００３１】
さらに、本発明は、上記構成に加えて、通信端末との間で、主信号鍵による暗号／復号化による通信を行うよう構成する。
この構成により、通信端末との間の通信を、主信号鍵によって暗号化することが可能となる。
【００３２】
さらに、本発明は、上記構成に加えて、ネットワーク管理サーバから、通信端末に係る主信号鍵の削除を要求された場合、主信号鍵の削除を行うよう構成する。
この構成により、通信端末が移動し、当該エッジスイッチ装置との接続が切れて、通信端末との当該エッジスイッチ装置との通信が行われなくなった時点で、ネットワーク管理サーバからの要求に従って、主信号鍵を削除することが可能となる。
【００３３】
また、本発明は、網間ネットワークを介して、自端末が属するネットワークとの接続を行う通信端末と、網間ネットワークのエッジを構成し複数の通信端末側との接続を行う宅側エッジスイッチ装置と、網間ネットワークのエッジを構成しネットワーク側との接続を行う網側エッジスイッチ装置と、網側ネットワーク内に配置されて通信端末とネットワークとの接続を管理するネットワーク管理サーバとにより構成されるネットワークシステムであって、ネットワーク管理サーバが網側エッジスイッチ装置に接続されており、宅側エッジスイッチ装置と網側エッジスイッチ装置との間が、通信端末とネットワーク管理サーバとの間の第１の通信用トンネルと、通信端末とネットワークとの間の第２の通信用トンネルとに分けて設定されるよう構成する。
この構成により、宅側エッジスイッチ装置と網側エッジスイッチ装置との間で、異なる論理パスを設定し、所望の通信装置同士が確実に通信を行えるようにすることが可能となる。
【００３４】
さらに、本発明は、上記構成に加えて、通信端末とネットワーク管理サーバとの間の通信に、ＩＥＥＥ８０２．１ｘを適用するよう構成する。
この構成により、通信端末とネットワーク管理サーバとの間の通信に関して、既存のＩＥＥＥ８０２．１ｘ及びその拡張を利用することが可能となる。
【００３５】
さらに、本発明は、上記構成に加えて、ネットワーク管理サーバと宅側エッジスイッチ装置又は網側エッジスイッチ装置との間の通信に、既存のＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）を適用するよう構成する。この構成により、ネットワーク管理サーバと宅側エッジスイッチ装置又は網側エッジスイッチ装置との間の通信に関して、ＳＮＭＰ又はその拡張を利用することが可能となる。
【００３６】
さらに、本発明は、上記構成に加えて、網側エッジスイッチ装置と宅側エッジスイッチ装置との間の通信に、ラベルスイッチングを適用するよう構成する。
この構成により、網側エッジスイッチ装置と宅側エッジスイッチ装置との間の網間ネットワークの通信に関して、既存のＭＰＬＳ（Ｍｕｌｔｉ Ｐｒｏｔｏｃｏｌ Ｌａｂｅｌ Ｓｗｉｔｃｈｉｎｇ）プロトコルなどを利用することが可能となる。
【００３７】
さらに、本発明は、上記構成に加えて、網側エッジスイッチ装置と宅側エッジスイッチ装置との間の通信に、ＶＬＡＮスイッチングを適用するよう構成する。
この構成により、網側エッジスイッチ装置と宅側エッジスイッチ装置との間の網間ネットワークの通信に関して、既存のＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルなどを利用することが可能となる。
【００３８】
【発明の実施の形態】
以下、図面を参照しながら、本発明のネットワーク管理サーバ、通信端末、エッジスイッチ装置、通信用プログラム並びにネットワークシステムの実施の形態について説明する。
【００３９】
＜第１の実施の形態：初期認証＞
まず、図１を参照しながら、本発明の第１の実施の形態について説明する。なお、第１の実施の形態では、主に、初期認証時の動作について説明する。図１は、本発明に係るネットワークシステムの基本的な構成の一例を示す図である。
【００４０】
通信端末１０ＡはグループＡに所属し、端末１０ＢはグループＢに所属している。それぞれの通信端末１０Ａ、１０Ｂは、地域ネットワーク（地域網）２０を通して、所属しているグループネットワーク３０Ａ、３０Ｂとの通信を行う。なお、グループＡのネットワークをグループネットワーク３０Ａと呼び、グループＢのネットワークをグループネットワーク３０Ｂと呼ぶことにする。
【００４１】
地域ネットワーク２０には、宅側エッジ側に宅側エッジスイッチ（宅側エッジスイッチ装置、単にエッジスイッチ装置と呼ぶこともある）４０、網側エッジ側に網側エッジスイッチ（網側エッジスイッチ装置）５０が配置されている。また、地域ネットワーク２０には、通信端末１０Ａ、１０Ｂとグループネットワーク３０Ａ、３０Ｂとの通信の管理を行う地域網管理サーバ（ネットワーク管理サーバ）２５が配置されている。なお、宅側は、通信端末１０Ａ、１０Ｂとの接続を行う側を指し、網側は、グループネットワーク３０Ａ、３０Ｂとの接続を行う側を指す。また、エッジとは、ネットワークの端部であり、そのネットワークに属さない通信装置との接続を行うことが可能な通信装置を指す。
【００４２】
地域ネットワーク２０の宅側ポートと通信端末１０Ａ、１０Ｂとの間は、アクセスネットワークを通して接続可能であり、通信端末１０Ａ、１０Ｂは、アクセスポイント１５などとの無線通信によって、このアクセスネットワークと接続可能である。また地域ネットワーク２０の網側は、各グループのエッジルータ６０Ａ、６０Ｂを通して、グループネットワーク３０Ａ、３０Ｂと接続可能である。
【００４３】
また、それぞれのグループネットワーク３０Ａ、３０Ｂには、それぞれのグループの認証を行う認証サーバ７０Ａ、７０Ｂが設置される。各々のグループの認証サーバ７０Ａ、７０Ｂは、各通信端末１０Ａ、１０Ｂの認証情報（ユーザ認証情報）を保持するＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバを用いることが可能である。通信端末１０Ａ、１０Ｂが、自分の所属するグループネットワーク３０Ａ、３０Ｂとの通信を行う場合、認証サーバ７０Ａ、７０Ｂによる通信端末１０Ａ、１０Ｂの認証が行われる。
【００４４】
上記の各構成要素はそれぞれ、以下の情報を事前に保持している必要がある。通信端末１０Ａ、１０Ｂは、ユーザＩＤ及びパスワードと、事前共有鍵（例えば、各通信端末１０Ａ、１０Ｂに固有のＭＡＣアドレス）を保持している。また、地域網管理サーバ２５は、ユーザＩＤとグループ識別子との関係が記述された情報（ユーザ／グループ管理情報）と、各通信端末１０Ａ、１０Ｂの事前共有鍵とを保持している。また、宅側エッジスイッチ４０は、地域網管理サーバ２５と通信端末１０Ａ、１０Ｂとの経路情報を保持している。認証サーバ７０Ａ、７０Ｂは、ユーザＩＤとパスワードとの関係が記述された情報（ユーザ認証情報）を保持している。
【００４５】
ユーザＩＤ及びパスワードは、グループネットワーク３０Ａ、３０Ｂにおいて管理されるものであり、このユーザ情報を用いて、各通信端末１０Ａ、１０Ｂが各グループに属していることが認証される。例えば、ユーザＩＤ及びパスワードは、企業や学校などの組織内のネットワークにおいて管理されている。また、事前共有鍵は、通信端末１０Ａ、１０Ｂと地域網管理サーバ２５との間で共有して保持しておく鍵であり、この鍵は、他人に知られないように、通信端末１０Ａ、１０Ｂ及び地域網管理サーバ２５において管理される。
【００４６】
次に、図１に示すネットワークシステムにおける初期認証シーケンスについて説明する。図２は、本発明の第１の実施の形態における初期認証の前半部を示す初期認証シーケンス図である。初期認証シーケンスを行う際には、通信端末１０Ａ、１０Ｂと地域網管理サーバ２５との間で、すべての情報に関して事前共有鍵による暗号化通信が行われ、ユーザＩＤ及びパスワードに対するセキュリティが確保される。なお、通信端末１０Ａ、１０Ｂと地域網管理サーバ２５との間の通信には、ＩＥＥＥ８０２．１ｘが用いられる。また、初期認証に関しては、ＩＥＥＥ８０２．１ｘ＋ＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）のフローがそのまま用いられる。ただし、ＩＥＥＥ８０２．１ｘ（以降、単に８０２．１ｘと呼ぶこともある）の特徴であるポート認証ではなく、通信端末のＭＡＣアドレスごとにパケットの転送の可否を設定できるようにする。
【００４７】
まず、通信端末１０Ａ、１０Ｂは、事前共有鍵により暗号化して、ＥＡＰ−Ｓｔａｒｔを地域網管理サーバ２５に送信し、通信を開始する（ステップＳ２０１）。なお、ＥＡＰ−Ｓｔａｒｔは、宅側エッジスイッチ４０によってＭＡＣブリッジ転送される。地域網管理サーバ２５はこの情報を受信し、送信元の通信端末１０Ａ、１０Ｂの事前共有鍵を用いて復号（復号化とも言う）する（ステップＳ２０２）。
【００４８】
地域管理網サーバ２５は、事前共有鍵により暗号化して、ＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙを通信端末１０Ａ、１０Ｂに送信し、ユーザＩＤを要求する（ステップＳ２０３）。通信端末１０Ａ、１０Ｂはこの情報を受信し、事前共有鍵を用いて復号する（ステップＳ２０４）。そして、通信端末１０Ａ、１０Ｂは、事前共有鍵により暗号化して、ユーザＩＤを含むＥＡＰ−Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙを地域網管理サーバ２５に送信する（ステップＳ２０５）。地域網管理サーバ２５はこの情報を受信し、送信元の通信端末１０Ａ、１０Ｂの事前共有鍵を用いて復号する（ステップＳ２０６）。また、地域網管理サーバ２５は、ユーザＩＤを含むＲａｄｉｕｓ−Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔを各通信端末１０Ａ、１０Ｂに属するグループ内の認証サーバ７０Ａ、７０Ｂに送信する。なお、地域網管理サーバ２５と認証サーバ７０Ａ、７０Ｂとの間の通信には、ＲＡＤＩＵＳプロトコルが用いられる。
【００４９】
認証サーバ７０Ａ、７０Ｂはこの情報を受信し、Ｒａｄｉｕｓ−Ａｃｃｅｓｓ−Ｃｈａｌｌｅｎｇｅを地域網管理サーバ２５に返し、地域管理網サーバ２５は、事前共有鍵により暗号化して、ＥＡＰ−Ｒｅｑｕｅｓｔを通信端末１０Ａ、１０Ｂに送信する（ステップＳ２０７）。通信端末１０Ａ、１０Ｂはこの情報を受信し、事前共有鍵を用いて復号する（ステップＳ２０８）。そして、通信端末１０Ａ、１０Ｂは、事前共有鍵により暗号化して、パスワードを含むＥＡＰ−Ｒｅｓｐｏｎｓｅを地域網管理サーバ２５に送信する（ステップＳ２０９）。地域網管理サーバ２５はこの情報を受信し、送信元の通信端末１０Ａ、１０Ｂの事前共有鍵を用いて復号し（ステップＳ２１０）、ユーザＩＤのときと同様に、パスワードを含むＲａｄｉｕｓ−Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔを認証サーバ７０Ａ、７０Ｂに送信する。
【００５０】
認証サーバ７０Ａ、７０Ｂは、事前に保持しているユーザ認証情報と、通信端末１０Ａ、１０Ｂから送られてきたユーザＩＤ及びパスワードとを比較し、認証に成功した場合には、Ｒａｄｉｕｓ−Ａｃｃｅｓｓ−Ｓｕｃｃｅｓｓを地域網管理サーバ２５に返す。この情報を受けて、地域管理網サーバ２５は、事前共有鍵により暗号化して、ＥＡＰ−Ｓｕｃｃｅｓｓを通信端末１０Ａ、１０Ｂに送信し、認証成功を通知する（ステップＳ２１１）。通信端末１０Ａ、１０Ｂはこの情報を受信し、事前共有鍵を用いて復号する（ステップＳ２１２）。
【００５１】
また、図３は、本発明の第１の実施の形態における初期認証の後半部を示す初期認証シーケンス図である。ステップＳ２１１で地域網管理サーバ２５がＥＡＰ−Ｓｕｃｃｅｓｓを通信端末１０Ａ、１０Ｂに対して通知する際、地域網管理サーバ２５は、通信端末１０Ａ、１０ＢのＭＡＣアドレスを格納し、そのＭＡＣアドレスに対応する主信号鍵を設定する（ステップＳ３０１）。地域網管理サーバ２５は、そのＭＡＣアドレスを有するパケットの転送可否情報として、ＭＡＣアドレス及びそのＭＡＣアドレスに対応する主信号鍵を宅側エッジスイッチ４０に送信する。なお、図２に示すシーケンスを行う間に、宅側エッジスイッチ４０が通信端末１０Ａ、１０ＢのＭＡＣアドレスを格納することも可能であり、この場合には、主信号鍵と、その主信号鍵が設定された通信端末１０Ａ、１０Ｂを識別する情報とを送信すればよい。
【００５２】
宅側エッジスイッチ４０は主信号鍵を受信して、ＭＡＣアドレスと主信号鍵との対応を登録する（ステップＳ３０２）。なお、主信号鍵は、事前共有鍵とは異なるものであり、事前共有鍵は、通信端末１０Ａ、１０Ｂと地域網管理サーバ２５との間で事前に共有されている鍵、主信号鍵は、認証に成功して実際に通信を行う場合の主信号の暗号化を行うための鍵である。
【００５３】
具体的には、例えば、『００−８０−４５−２３−２１−ｆｅ』 というＭＡＣアドレスを有する通信端末１０Ａ、１０Ｂが、それぞれのグループネットワーク３０Ａ、３０Ｂに対する認証に成功した場合、『００−８０−４５−２３−２１−ｆｅ』というＭＡＣアドレスと主信号鍵との対応が設定される。宅側エッジスイッチ４０は、主信号鍵のキーとして登録されていないＭＡＣアドレスのパケットを転送することはできない。
【００５４】
なお、地域網管理サーバ２５から宅側エッジスイッチ４０に対して、通信端末１０Ａ、１０Ｂの主信号鍵の設定が行われる場合には、ＳＮＭＰなどのネットワークオペレーションプロトコルを用いることも可能である。
【００５５】
また、地域管理網サーバ２５は、事前共有鍵により暗号化して、主信号鍵を通信端末１０Ａ、１０Ｂに送信する（ステップＳ３０３）。通信端末１０Ａ、１０Ｂはこの情報を受信し、事前共有鍵を用いて復号する（ステップＳ３０４）。そして、通信端末１０Ａ、１０Ｂは、地域網管理サーバ２５から取得した主信号鍵を格納する。以降の主信号通信の際には、この主信号鍵を用いて、データの暗号／復号化（暗復号化とも言う）の処理が行われて、通信端末１０Ａ、１０Ｂと宅側エッジスイッチ４０との通信が行われる（ステップＳ３０５、Ｓ３０６）。これにより、通信端末１０Ａ、１０Ｂと宅側エッジスイッチ４０との間の無線区間が、主信号鍵により暗号化される暗号化区間となる。
【００５６】
また、通信端末１０Ａ、１０Ｂと宅側エッジスイッチ４０との間に、アクセスポイント１５を設置する場合は、通信端末１０Ａ、１０Ｂの位置情報を経路情報として管理する必要がある。この場合、通信端末の認証要求時に、どの宅側エッジスイッチ４０のどのアクセスポイントに通信端末１０Ａ、１０Ｂが接続されているかを、地域網管理サーバ２５が宅側エッジスイッチ４０に対して送信する。これにより、地域網管理サーバ２５が、経路情報の管理を担うことが可能となる。
【００５７】
図４は、本発明の第１の実施の形態における初期認証及び経路設定シーケンス図である。なお、図４のシーケンスも、図２のシーケンスと同様に、図１に続くシーケンスである。宅側エッジスイッチ４０は、ＥＡＰ−Ｓｕｃｃｅｓｓの転送を契機に、通信端末１０Ａ、１０Ｂの位置情報を地域網管理サーバ２５に対して通知する（ステップＳ４０１）。このとき、通信端末１０Ａ、１０Ｂから地域網管理サーバ２５に送られる任意のパケットに、通信端末１０Ａ、１０Ｂの位置情報を付加して送信することも可能である。地域網管理サーバ２５は、通知された位置情報を基に、宅側エッジスイッチ４０及び網側エッジスイッチ５０に対して、該当する通信端末１０Ａ、１０Ｂに関する経路情報の設定を要求する（ステップＳ４０２）。
【００５８】
なお、その後のステップＳ４０３〜Ｓ４０７は、図３に示すステップＳ３０２〜Ｓ３０６と同一である。また、主信号通信が行われている際にも、地域網管理サーバ２５が、通信端末１０Ａ、１０Ｂの位置情報を基に、経路設定の要求を行うことも可能である（ステップＳ４０８）。また、地域網管理サーバ２５から宅側エッジスイッチ４０に対して、通信端末１０Ａ、１０Ｂの経路設定が行われる場合には、ＳＮＭＰなどのネットワークオペレーションプロトコルを用いることも可能である。
【００５９】
＜第２の実施の形態：移動認証＞
次に、本発明の第２の実施の形態について説明する。なお、第２の実施の形態では、主に、移動認証時の動作について説明し、特に、通信端末が宅側エッジスイッチを切り替える場合の動作について説明する。図５は、本発明の第２の実施の形態における移動認証の概要を説明するための図である。なお、図５では、グループＢに属する通信端末１０Ｂが、宅側エッジスイッチ４０の接続を切り替えた場合の通信の流れの変化を図示しており、移動前に接続していた宅側エッジスイッチ（移動前の宅側エッジスイッチ）４０を宅側エッジスイッチ４０Ｘ、新しく接続した宅側エッジスイッチ（移動後の宅側エッジスイッチ）を宅側エッジスイッチ４０Ｙとしている。
【００６０】
通信端末１０Ｂが宅側エッジスイッチ４０の接続を切り替えた場合、移動後の宅側エッジスイッチ４０Ｙを通じて、通信端末１０Ｂから地域網管理サーバ２５にその移動が通知され（図５の▲１▼移動通知）、地域網管理サーバ２５から移動後の宅側エッジスイッチ４０Ｙに主信号鍵が配布され（図５の▲２▼主信号鍵配布）、移動前の宅側エッジスイッチ４０Ｘの主信号鍵が削除される（図５の▲３▼主信号鍵削除）。
【００６１】
図６は、本発明の第２の実施の形態における移動認証シーケンス図である。通信端末１０Ｂは、移動前の宅側エッジスイッチ４０Ｘに接続するアクセスポイント１５を通じて、ホスト（通信相手）との間で主信号通信を行いながら移動し、別の宅側エッジスイッチ４０に接続するアクセスポイント１５に接続を切り替える。このとき、通信端末１０Ｂは、無線リンク上で移動を検知し（ステップＳ６０１）、その後、新しいアクセスポイント１５とのリンクを確立する（ステップＳ６０２）。
【００６２】
そして、通信端末１０Ｂは、移動後の宅側エッジスイッチ４０Ｙとの間におけるセキュリティを確保するため、地域網管理サーバ２５に対して、事前共有鍵により暗号化して、移動通知を行う（ステップＳ６０３）。ここでは、通信端末１０Ｂは、例えば、イーサパケットのペイロード部分を事前共有鍵で暗号化して、移動通知に係る情報を地域網管理サーバ２５に送信する。地域網管理サーバ２５はこの情報を受信し、送信元の通信端末１０Ｂの事前共有鍵を用いて復号する（ステップＳ６０４）。
【００６３】
地域網管理サーバ２５は、この移動通知を受けて、通信端末１０ＢのＭＡＣアドレスからその通信端末１０Ｂに対応して設定されている主信号鍵を読み出す（ステップＳ６０５）。そして、通信端末１０ＢのＭＡＣアドレス及びそのＭＡＣアドレスに対応する主信号鍵を移動後の宅側エッジスイッチ４０Ｙに送信して、移動後の宅側エッジスイッチ４０Ｙに通信端末１０Ｂの主信号鍵が設定されるようにする。また、移動前の宅側エッジスイッチ４０Ｘに通信端末１０Ｂの主信号鍵の削除要求を行い、移動前の宅側エッジスイッチ４０Ｘに格納されている通信端末１０Ｂの主信号鍵の削除を行う。
【００６４】
また、移動後も通信端末１０Ｂが通信を行えるように、宅側エッジスイッチ４０Ｙ及び網側エッジスイッチ５０の経路情報の書き替えが行われる必要がある。移動後の宅側エッジスイッチ４０Ｙは、通信端末１０Ｂからの移動通知を契機に、通信端末１０Ｂの位置情報を地域網管理サーバ２５に対して通知する。地域網管理サーバ２５は、通知された位置情報を基に、宅側エッジスイッチ４０Ｙ及び網側エッジスイッチ５０に対して、該当する通信端末１０Ａ、１０Ｂに関する経路情報の設定を開始し（ステップＳ６０６）、経路情報を要求する。
【００６５】
これにより、通信端末が移動した場合でも、認証サーバによる認証を行わずに、通信端末の移動をサポートすることが可能となり、通信端末１０Ｂと移動後の宅側エッジスイッチ４０Ｙとの間の無線区間で、主信号鍵による暗号化通信が可能となる。また、移動前の宅側エッジスイッチ４０Ｘ内に存在する通信端末１０Ｂに係る情報を削除することで、不必要となった情報を削除し、通信システムのセキュリティを高めることが可能となり、さらに、宅側エッジスイッチ４０は、常に、配下の通信端末１０Ｂのみの主信号鍵を保持すればよく、スケーラビリティの点から、すべての端末のそれを保持する必要がなくなり効率的である。なお、地域網管理サーバ２５から宅側エッジスイッチ４０Ｘ、４０Ｙに対して、通信端末１０Ｂの経路設定が行われる場合には、ＳＮＭＰなどのネットワークオペレーションプロトコルを用いることも可能である。
【００６６】
また、通信端末１０Ｂからの移動通知に関しては、ＩＥＥＥ８０２．１ｘに規定されているＥＡＰＯＬ（ＥＡＰ ｏｖｅｒ ＬＡＮ）−Ｋｅｙパケットを用いることが可能である。ＥＡＰＯＬ−Ｋｅｙパケットは、暗号用の鍵を交換するためのパケットフレームである。通信端末１０Ｂから地域網管理サーバ２５に対しては、実際に自分が管理している主信号鍵を送ることも可能であり、また、鍵の部分を空にして送ることも可能である。地域網管理サーバ２５によるＥＡＰＯＬ−Ｋｅｙパケットの受信は、地域網管理サーバ２５が、移動後の宅側エッジスイッチ４０Ｙに対して主信号鍵の設定を開始する契機となる。なお、地域網管理サーバ２５から宅側エッジスイッチ４０に対して、通信端末１０Ｂの主信号鍵の設定が行われる場合には、ＳＮＭＰなどのネットワークオペレーションプロトコルを用いることも可能である。
【００６７】
＜第３の実施の形態：定期認証＞
次に、本発明の第３の実施の形態について説明する。なお、第３の実施の形態では、主に、地域網管理サーバが一定時間ごとに通信端末の認証を行う定期認証時の動作について説明する。図７は、本発明の第３の実施の形態における定期認証の概要を説明するための図である。なお、図７では、地域網管理サーバ２５がグループＢに属する通信端末１０Ｂに対して定期認証を行う様子を図示している。また、図７では、グループＢに属する通信端末１０Ｂを１台のみ図示し、これに基づいて説明を行う。
【００６８】
例えば、所定のユーザの初期認証時のパケットをそのまま盗んで、他のユーザが、不正にログインして通信を行うことを防止する必要がある。本発明によれば、事前共有鍵を手に入れない限りは、偽のユーザは、正規のユーザになりすまして通信を行うことはできない。しかしながら、多重ログインを防止する意味でも、１つのユーザＩＤに対しては１つの通信端末１０Ｂでしか通信させないようにするのが普通であり、偽のユーザが先にログインをしてしまった場合には、その後で正規のユーザがログインすることは不可能である。
【００６９】
そのため、地域網管理サーバ２５は、通信端末１０Ｂが事前共有鍵を保持しているかを確認するために、端末認証要求を定期的に送信する。正規の通信端末１０Ｂであれば、事前共有鍵を保持しているはずなので、事前共有鍵を送信することが可能である。その際、暗号化により外部から事前共有鍵を見えないようにする。（この過程を定期認証と呼ぶ）。すなわち、一定時間ごとに、地域網管理サーバ２５から通信端末１０Ｂに対して認証要求を行い（図７の▲１▼認証要求）、通信端末１０Ｂが地域網管理サーバ２５に対してその応答を行うようにする（図７の▲２▼認証応答）。
【００７０】
図８は、本発明の第３の実施の形態における定期認証シーケンス図である。地域管理網サーバ２５は、事前共有鍵により暗号化して、端末認証要求（ＥＡＰ−Ｒｅｑｕｅｓｔ＋）を通信端末１０Ｂに送信する（ステップＳ８０１）。これは、通信端末１０Ｂに対して、事前共有鍵を要求し、その通信端末１０Ｂが事前共有鍵を有しているかを確認するためのステップである。通信端末１０Ｂはこの情報を受信し、事前共有鍵を用いて復号する（ステップＳ８０２）。このとき、ＩＥＥＥ８０２．１ｘのＥＡＰ−Ｒｅｑｕｅｓｔのフレームをそのまま用いることが可能であり、ここでは、パスワードではなく事前共有鍵を要求する。
【００７１】
正規の通信端末１０Ｂならば、通信端末１０Ｂは、事前共有鍵により暗号化して、端末認証応答（ＥＡＰ−Ｒｅｓｐｏｎｓｅ＋）を地域網管理サーバ２５に送信する（ステップＳ８０３）。このとき、通信端末１０Ｂは、ＥＡＰ−Ｒｅｓｐｏｎｓｅに事前共有鍵を乗せて、地域網管理サーバ２５に送信することが可能である。地域網管理サーバ２５は、この情報を受信し、事前共有鍵を用いて復号する（ステップＳ８０４）。そして、地域網管理サーバ２５は、通信端末１０Ｂから受信した事前共有鍵と自ら保持する事前共有鍵とを比べて、同一であることを確認し、正規の通信端末１０Ｂであることを確認し、そのまま、通信端末１０Ｂの主信号通信を継続させる。なお、地域網管理サーバ２５は、ＭＡＣアドレスを要求することによって正規の通信端末１０Ｂか否かを判別することも可能であり、また、事前共有鍵とＭＡＣアドレスの両方を要求して、より確実に、通信端末１０Ｂの正当性を判別することも可能である。
【００７２】
一方、端末認証応答が返ってこない場合、又は、通信端末１０Ｂから受信した事前共有鍵と自ら保持する事前共有鍵とが一致しない場合（端末認証応答が不正である場合）には（ステップＳ８０５）、偽の通信端末であると判断する。そして、地域網管理サーバ２５は、認証サーバ７０Ｂに対して通信端末１０Ｂの切断要求を送信し、通信端末１０Ｂとグループネットワーク３０Ｂとの通信を切断する。また、地域網管理サーバ２５は、宅側エッジスイッチ４０及び網側エッジスイッチ５０に対して、経路情報の削除要求を送信し、転送情報の削除を行う。これにより、偽と判断された通信端末は、グループネットワーク３０Ｂとの通信及びパケット転送の経路が絶たれ、通信を行うことができなくなる。このように、定期認証を行うことによって、偽のユーザがログインをしていた場合でも、偽のユーザは、少なくとも一定時間（定期認証の時間間隔）以上はログインすることが不可能となる。
【００７３】
＜第４の実施の形態：プロトコル＞
次に、本発明の第４の実施の形態について説明する。なお、第４の実施の形態では、主に、地域ネットワーク２０内で用いられるプロトコルについて説明し、特に、地域ネットワーク２０内に論理パスを張ることが可能なＭＰＬＳプロトコルやＶＬＡＮプロトコルを用いた場合について説明する。
【００７４】
図９は、本発明に係るネットワークシステムの構成の一例であり、地域網管理サーバが網側エッジスイッチに接続する構成を示す図である。上記までの説明では、地域網管理サーバ２５が、宅側エッジスイッチ４０に直接接続する構成としたが、図９に示すように、地域網管理サーバ２５が、網側エッジスイッチ５０に接続する構成とすることも可能である。この場合、通信端末１０Ａ、１０Ｂと各通信端末１０Ａ、１０Ｂの属するグループネットワーク３０Ａ、３０Ｂとの通信に用いられるリンク、及び、通信端末１０Ａ、１０Ｂと地域網管理サーバ２５との間で用いられるリンクは、地域ネットワーク２０の中では同一のリンクとなる。
【００７５】
図１０は、本発明に係るネットワークシステムにおける地域網管理サーバが網側エッジスイッチに接続する構成での論理パスの概要を示す図である。図９に示す構成では、地域ネットワーク２０の中では物理的に同一なリンクとなるが、この場合には、図１０に示すように、論理的には異なるパスで通信を行う。すなわち、宅側エッジスイッチ４０と網側エッジスイッチ５０との間で、メッシュ状のネットワークに、主信号用パス（通信端末１０Ａとグループネットワーク３０Ａ、３０Ｂとの主信号通信のためのパス）と地域網管理用パス（通信端末１０Ａと地域網管理サーバ２５との通信のためのパス）とをあらかじめ分けて設定する。
【００７６】
宅側エッジスイッチ４０は、地域網管理サーバ２５へのパケットは地域網管理用パスに、グループネットワーク３０Ａ、３０Ｂへのパケットは主信号用パスにそれぞれ振り分ける。このとき、地域網管理サーバ２５へのパケットか否かは、イーサパケットのヘッダを参照して判別する。例えば、イーサタイプがＩＥＥＥ８０２．１ｘを示す０ｘ８８０ｅであるか、又は、宛先ＭＡＣアドレスが地域網管理サーバ２５である場合には、宅側エッジスイッチ４０は、当該パケットを地域網管理用パスに振り分ける。地域管理サーバ２５は、認証時に通信端末１０Ａ、１０ＢのＭＡＣアドレスをキーにして主信号鍵の設定・登録を行うので、通信端末１０Ａ、１０ＢのＭＡＣアドレスは、そのまま地域管理サーバ２５まで届く必要があり、これを実現するためには、例えば、ＭＰＬＳプロトコルやＶＬＡＮプロトコルの適用が可能である。
【００７７】
図１１は、本発明の第４の実施の形態におけるＭＰＬＳプロトコルを用いた場合の主信号プロトコルスタック図であり、図１２は、本発明の第４の実施の形態におけるＭＰＬＳプロトコルを用いた場合の認証及び経路設定プロトコルスタック図である。例えば、地域ネットワーク２０内に論理パスを張るためのプロトコルとしては、ラベルスイッチングを行うＭＰＬＳが適用可能である。ＭＰＬＳラベルは２０ｂｉｔ（ビット）割り当てられているため、約１００万のパスを割り当てることが可能である。
【００７８】
宅側エッジスイッチ４０及び網側エッジスイッチ５０は、ＭＰＬＳラベルの付加及び削除を行うことが可能なよう構成される。また、地域内ネットワーク２０内に配置されているスイッチルータ（不図示）は、パケットに付加されているＭＰＬＳラベルを参照して、定められた経路にパケットを転送するよう構成される。なお、スイッチルータは、ラベルの付加・削除や交換を行うことも可能である。また、地域網管理サーバ２５は、通信端末１０Ａ、１０Ｂとの通信の際にイーサヘッダ（図中のＥｔｈｅｒ）のやりとりが必要となるため、イーサパケットをカプセル化してラベルで運ぶことができるＥｏＭＰＬＳ（Ｅｔｈｅｒｎｅｔ（Ｒ） ｏｖｅｒ ＭＰＬＳ）にする必要がある。
【００７９】
図１３は、本発明の第４の実施の形態におけるＶＬＡＮプロトコルを用いた場合の主信号プロトコルスタック図であり、図１４は、本発明の第４の実施の形態におけるＶＬＡＮプロトコルを用いた場合の認証及び経路設定プロトコルスタック図である。例えば、地域ネットワーク２０内に論理パスを張るためのプロトコルとしては、ＭＰＬＳのほかに、ＶＬＡＮプロトコルも適用可能である。
【００８０】
ＶＬＡＮプロトコルは、イーサヘッダにＶＬＡＮタグを付加して、ＶＬＡＮタグによって転送を行う。また、地域ネットワーク内のスイッチルータ（不図示）のポートにＶＬＡＮタグを割り当てて、論理パスを構成する。これによって、ＭＰＬＳプロトコルと同様に、ＶＬＡＮプロトコルにおいても、地域ネットワーク内ではパケットにＶＬＡＮタグを付加して、転送を行えるようになる。なお、ＶＬＡＮタグは、１スタックで最大４０００のタグを割り当てることが可能である。
【００８１】
また、上記の各実施の形態で説明した各装置のうち、特に、通信端末１０Ａ、１０Ｂや地域網管理サーバ２５に関しては、本発明の動作を行う通信用プログラムを既存のコンピュータなどに実行させることにより実現可能である。
【００８２】
【発明の効果】
以上、説明したように、本発明によれば、地域網管理サーバが複数の通信端末のそれぞれに固有の共有鍵を事前に保持し、初期認証時には、地域網管理サーバと通信端末との間の通信に、この共有鍵が用いられてセキュリティが確保され、一方、通信端末が所望のネットワークとの通信を行う際には、地域管理網サーバによって設定された主信号鍵が用いられて、地域網管理サーバと通信端末との間の通信のセキュリティが確保されるので、アクセスポイントに認証機能などの特別な機能を付加することなく、セキュリティの確保されたネットワークシステムを提供し、特に、通信端末とアクセスポイントとの間の無線区間におけるセキュリティを確保することが可能となる。
【図面の簡単な説明】
【図１】本発明に係るネットワークシステムの基本的な構成の一例を示す図
【図２】本発明の第１の実施の形態における初期認証の前半部を示す初期認証シーケンス図
【図３】本発明の第１の実施の形態における初期認証の後半部を示す初期認証シーケンス図
【図４】本発明の第１の実施の形態における初期認証及び経路設定シーケンス図
【図５】本発明の第２の実施の形態における移動認証の概要を説明するための図
【図６】本発明の第２の実施の形態における移動認証シーケンス図
【図７】本発明の第３の実施の形態における定期認証の概要を説明するための図
【図８】本発明の第３の実施の形態における定期認証シーケンス図
【図９】本発明に係るネットワークシステムの構成の一例であり、地域網管理サーバが網側エッジスイッチに接続する構成を示す図
【図１０】本発明に係るネットワークシステムにおける地域網管理サーバが網側エッジスイッチに接続する構成での論理パスの概要を示す図
【図１１】本発明の第４の実施の形態におけるＭＰＬＳプロトコルを用いた場合の主信号プロトコルスタック図
【図１２】本発明の第４の実施の形態におけるＭＰＬＳプロトコルを用いた場合の認証及び経路設定プロトコルスタック図
【図１３】本発明の第４の実施の形態におけるＶＬＡＮプロトコルを用いた場合の主信号プロトコルスタック図
【図１４】本発明の第４の実施の形態におけるＶＬＡＮプロトコルを用いた場合の認証及び経路設定プロトコルスタック図
【図１５】従来の技術に係るネットワークシステムの一構成例を示す図
【図１６】従来の技術に係るネットワークシステムの一構成例におけるシーケンス図
【符号の説明】
１０Ａ、１０Ｂ、１１０ 通信端末
１５、１１５ アクセスポイント
２０ 地域ネットワーク（地域網、網間ネットワーク）
２５ 地域網管理サーバ（ネットワーク管理サーバ）
３０Ａ、３０Ｂ グループネットワーク
４０、４０Ｘ、４０Ｙ 宅側エッジスイッチ（宅側エッジスイッチ装置）
５０ 網側エッジスイッチ（網側エッジスイッチ装置）
６０Ａ、６０Ｂ エッジルータ
７０Ａ、７０Ｂ、１７０ 認証サーバ[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a public network system that requires encryption in an access network and user authentication, and more particularly to a network management server, a communication terminal, an edge switch device, a communication program, and a network system in a mobile network system.
[0002]
[Prior art]
2. Description of the Related Art Conventionally, as a method of authentication to a public Internet connection network or a corporate VPN (Virtual Private Network) connection, a method using a PPP (Point-to-Point Protocol) protocol is generally used. PPP has functions such as a user authentication function and a function of assigning a subscriber IP address by an ISP (Internet Service Provider). To realize these functions on Ethernet (R) (Ethernet (R)), the access network carries PPP packets by a protocol called PPP over Ethernet (R). The station terminates PPPoE.
[0003]
In addition, as another example of a mobile authentication system of a conventional wireless Internet service, there is a technology described in Non-Patent Document 1 below. FIG. 15 is a diagram showing an example of a configuration of a network system according to the related art, and FIG. 16 is a sequence diagram of an example of a configuration of a network system according to the related art. The sequence shown in FIG. 16 is basically the same as the content of Non-Patent Document 1.
[0004]
In the conventional network shown in FIG. 15, the access point (base router) has an authentication function, and the communication terminal 110 is authenticated only by one round trip message, thereby enabling quick authentication. First, the access point 115 broadcasts time information to the communication terminal 110. The communication terminal 110 that has received the time information generates a hash value using the time as a seed by using the secret key exchanged with the authentication server 170, and sends the time information and the hash value to the access point as an authentication request. Submit the value. The authentication server 170 calculates a hash value from the received time information using a secret key. Then, it is checked whether or not the calculation result is the same as the received hash value. If the hash value is the same, the authentication response is transmitted to the access point 115 as an authentication response, and the access point 115 transfers the authentication response to the communication terminal 110 .
[0005]
[Non-patent document 1]
"High-speed Authentication System Providing Security Required for Wireless Internet Services", IPSJ Research Report 2001-DPS-107, March 2002
[0006]
[Problems to be solved by the invention]
However, in access by PPPoE, a PPPoE session is established between a communication terminal and a network-side terminating device called a BAS (Broadband Access Server). Therefore, when the wireless link is broken when the communication terminal moves, it is necessary to reestablish the PPPoE session, and it is necessary to perform authentication by PPP again. Therefore, it is difficult to quickly perform wireless switching movement.
[0007]
The technique described in Non-Patent Document 1 has the following problems. First, because base stations and communication terminals are built with proprietary specifications, it is not possible to use general-purpose access points, which are currently very inexpensive, and the advantage of the Internet of using inexpensive networks is impaired. There is a problem that there is a possibility that it will be. In addition, since the authentication server and the communication terminal need to have their own specifications, there is a problem that the cost increases.
[0008]
In view of the above problems, the present invention provides a network system that ensures security without adding a special function such as an authentication function to an access point, and particularly provides a network system between a communication terminal and an access point. An object is to provide a network management server, a communication terminal, an edge switch device, a communication program, and a network system in a mobile network system capable of ensuring security in a wireless section.
[0009]
[Means for Solving the Problems]
In order to achieve the above object, the present invention is arranged in an inter-network that connects a plurality of communication terminals and a network to which each of the plurality of communication terminals belongs, and to which the plurality of communication terminals and each of the plurality of communication terminals belong. A network management server for managing a connection with a network, wherein a shared key unique to each of a plurality of communication terminals is held in advance, and encryption / decryption using a shared key is performed between each of the plurality of communication terminals. It is configured to perform communication.
With this configuration, it is possible to provide a secure network system without adding a special function such as an authentication function to the access point, and in particular, it is possible to provide security in a wireless section between the communication terminal and the access point. Can be secured.
[0010]
Further, the present invention is arranged in an inter-network connecting a plurality of communication terminals and a network to which each of the plurality of communication terminals belongs, and establishes a connection between the plurality of communication terminals and a network to which each of the plurality of communication terminals belongs. A network management server that manages, holds in advance a shared key unique to each of the plurality of communication terminals, receives information necessary for authentication in an encrypted network from each of the plurality of communication terminals, The received information is decrypted with the shared key, and information necessary for authentication in the network related to the communication terminal is transmitted to an authentication server in the network to which the communication terminal belongs.
With this configuration, it is possible to provide a secure network system without adding a special function such as an authentication function to the access point, and in particular, the communication terminal transmits when connecting to a desired network. With respect to information necessary for authentication to be performed, security in a wireless section between a desired communication terminal and an access point can be ensured.
[0011]
Further, in addition to the above configuration, the present invention is configured such that an authentication result in an authentication server in a network to which the communication terminal belongs is received from the authentication server, the authentication result is encrypted with a shared key, and transmitted to the communication terminal.
With this configuration, it is possible to provide a secure network system without adding a special function such as an authentication function to the access point. In particular, the authentication result relaying from the authentication server to the communication terminal With regard to the above, security in a wireless section between a desired communication terminal and an access point can be ensured.
[0012]
Furthermore, in addition to the above-described configuration, the present invention provides a method for communicating in an inter-network when receiving position information of a communication terminal from an edge switch device that forms an edge of the inter-network and connects to a plurality of communication terminals. An edge switch device that sets a path between a terminal and a network, forms an edge of an inter-network, and connects to a plurality of communication terminals, and an edge switch that forms an edge of an inter-network, and connects to the network side The apparatus is configured to transmit, to the apparatus, path information enabling communication by path.
With this configuration, it is possible to manage a route in the network between the home-side edge switch device and the network-side edge switch device, which are relay networks when the communication terminal connects to a desired network.
[0013]
Furthermore, the present invention, in addition to the above configuration, when the authentication result in the authentication server in the network to which the communication terminal belongs is successful, generates a main signal key for encryption corresponding to the identification information of the communication terminal, A main signal key is transmitted to a communication terminal and an edge switch device that forms an edge of an inter-network and connects to a plurality of communication terminals.
With this configuration, it is possible to newly set a common main signal key for main signal communication in the communication terminal and the home-side edge switch device.
[0014]
Further, in addition to the above configuration, the present invention is configured so that the main signal key is encrypted with the shared key and transmitted to the communication terminal.
With this configuration, it is possible to encrypt the main signal key sent to the communication terminal and prevent the main signal key from being stolen from outside.
[0015]
Further, in addition to the above configuration, the present invention is configured such that a MAC address unique to the communication terminal is used as identification information of the communication terminal.
With this configuration, the main signal key and the communication terminal can be related one-to-one.
[0016]
Furthermore, the present invention, in addition to the above configuration, when receiving, from each of the plurality of communication terminals, movement notification information that notifies that the connection of the edge switch device encrypted by the shared key has been switched, the received information Is decrypted with the shared key, and the communication terminal transmits the main signal key to the edge switch device connected after the movement, and the communication terminal transmits the main signal key to the edge switch device connected before the movement to the moved communication terminal. The main signal key is requested to be deleted.
With this configuration, when the communication terminal changes the connection of the home-side edge switch device, it becomes possible to move the main signal key of the edge switch device according to this connection change, and without performing authentication processing again, It is possible to support movement.
[0017]
Further, in addition to the above configuration, the present invention is configured to request the communication terminal to transmit a shared key at regular time intervals, and to confirm the legitimacy of the communication terminal.
With this configuration, it is possible to confirm the validity of the communication terminal at regular intervals.
[0018]
Further, in addition to the above-described configuration, the present invention provides an edge switch device that configures an edge of an inter-network and connects to a plurality of communication terminals when the validity of the communication terminal cannot be confirmed. An edge switch device that configures an edge of the inter-network and connects to the network side is configured to request deletion of path information related to the communication terminal.
With this configuration, it is possible to prevent communication with a fake user or communication terminal.
[0019]
According to the present invention, there is provided a communication program executable by the network management server in order to realize the above-described network management server.
This makes it possible to realize a network management server using a general computer.
[0020]
The present invention also provides a communication terminal for connecting to a network to which the terminal belongs via an inter-network, and a network management server in the inter-network that previously holds a shared key unique to the communication terminal. , Communication is performed by encryption / decryption using a shared key.
With this configuration, it is possible to provide a secure network system without adding a special function such as an authentication function to the access point, and in particular, it is possible to provide security in a wireless section between the communication terminal and the access point. Can be secured.
[0021]
The present invention also relates to a communication terminal for connecting to a network to which the terminal belongs via an inter-network, and a network management server in the inter-network that holds a shared key unique to the communication terminal in advance. On the other hand, information necessary for authentication on the network to which the terminal belongs is encrypted with a shared key and transmitted.
With this configuration, it is possible to provide a secure network system without adding a special function such as an authentication function to the access point, and in particular, the communication terminal transmits when connecting to a desired network. With respect to information necessary for authentication to be performed, security in a wireless section between a desired communication terminal and an access point can be ensured.
[0022]
Further, in addition to the above configuration, the present invention receives from the network management server information obtained by encrypting the authentication result in the authentication server in the network to which the communication terminal belongs with the shared key, and decrypts the received information with the shared key. It is configured to do.
With this configuration, it is possible to provide a secure network system without adding a special function such as an authentication function to the access point. In particular, it is possible to provide a communication terminal with a desired authentication result received from the authentication server. Security in a wireless section between the communication terminal and the access point.
[0023]
Further, in addition to the above configuration, the present invention is configured to receive, from the network management server, a main signal key for encryption corresponding to the identification information of the communication terminal.
With this configuration, it is possible to newly obtain a main signal key for main signal communication.
[0024]
Further, in addition to the above configuration, the present invention configures an edge of an inter-network and performs communication by encryption / decryption using a main signal key with an edge switch device that connects to a communication terminal. Constitute.
With this configuration, communication with the home edge switch device can be encrypted with the main signal key.
[0025]
Further, the present invention provides a communication terminal for connecting to a network to which the terminal belongs via an inter-network, the edge switch device forming an edge of the inter-network and connecting to the communication terminal side. When the connection is switched, the movement notification information for notifying that the connection of the edge switch device has been switched is encrypted with the shared key to the network management server in the inter-network that holds the shared key unique to the communication terminal in advance. And send it.
With this configuration, when the communication terminal moves and switches the connection of the home-side edge switch device, the movement can be notified to the network management server.
[0026]
Further, in addition to the above configuration, the present invention is configured to transmit the shared key to the network management server when transmission of the shared key is requested from the network management server.
With this configuration, it is possible to notify the network management server of the validity of the terminal at regular intervals.
[0027]
According to the present invention, there is provided a communication program executable by the communication terminal to realize the above communication terminal.
This makes it possible to realize a network management server using a general computer.
[0028]
Further, the present invention is an edge switch device that configures an edge of an inter-network connecting a plurality of communication terminals and a network to which each of the plurality of communication terminals belongs, and performs connection with a plurality of communication terminals. When relaying a request for authentication in a network from each of the plurality of communication terminals to a network management server that manages a connection between the plurality of communication terminals and a network to which each of the plurality of communication terminals belongs, the network management server It is configured to notify the location information of the communication terminal.
With this configuration, it is possible to allow the network management server to set the route at the same time as the authentication of the communication terminal.
[0029]
Further, in addition to the above configuration, the present invention is configured to receive, from the network management server, route information enabling communication via a route set between the communication terminal and the network in the inter-network.
According to this configuration, information from the communication terminal or information to the communication terminal can be relayed according to the route set by the network management server.
[0030]
Further, in addition to the above configuration, the present invention is configured to receive, from the network management server, a main signal key for encryption corresponding to the identification information of the communication terminal.
With this configuration, it is possible to newly obtain a main signal key for main signal communication.
[0031]
Further, in addition to the above configuration, the present invention is configured to perform communication with a communication terminal by encryption / decryption using a main signal key.
With this configuration, communication with the communication terminal can be encrypted with the main signal key.
[0032]
Further, in addition to the above-described configuration, the present invention is configured to delete the main signal key when requested to delete the main signal key related to the communication terminal from the network management server.
According to this configuration, when the communication terminal moves, the connection with the edge switch device is cut off, and communication with the edge switch device with the communication terminal is stopped, the main signal is sent according to a request from the network management server. The key can be deleted.
[0033]
Further, the present invention provides a communication terminal for connecting to a network to which the terminal belongs via a network between homes, and a home edge switch device which forms an edge of the network between networks and connects to a plurality of communication terminals. And a network-side edge switch device that configures an edge of the inter-network and connects to the network side, and a network management server that is arranged in the network-side network and manages the connection between the communication terminal and the network. In a network system, a network management server is connected to a network-side edge switch device, and a first connection between a communication terminal and a network management server is provided between a home-side edge switch device and a network-side edge switch device. The communication tunnel and the second communication tunnel between the communication terminal and the network are set separately. It is formed.
With this configuration, different logical paths can be set between the home-side edge switch device and the network-side edge switch device, so that desired communication devices can reliably communicate with each other.
[0034]
Further, in addition to the above configuration, the present invention is configured to apply IEEE 802.1x to communication between the communication terminal and the network management server.
With this configuration, the existing IEEE 802.1x and its extension can be used for communication between the communication terminal and the network management server.
[0035]
Further, in addition to the above-described configuration, the present invention is configured to apply an existing Simple Network Management Protocol (SNMP) to communication between the network management server and the home-side edge switch device or the network-side edge switch device. With this configuration, SNMP or its extension can be used for communication between the network management server and the home-side edge switch device or the network-side edge switch device.
[0036]
Further, in addition to the above configuration, the present invention is configured to apply label switching to communication between the network side edge switch device and the home side edge switch device.
With this configuration, it is possible to use an existing MPLS (Multi Protocol Label Switching) protocol or the like for communication between networks between the network side edge switch device and the home side edge switch device.
[0037]
Further, in addition to the above configuration, the present invention is configured to apply VLAN switching to communication between the network side edge switch device and the home side edge switch device.
With this configuration, it is possible to use an existing VLAN (Virtual Local Area Network) protocol or the like for communication between networks between the network-side edge switch device and the home-side edge switch device.
[0038]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of a network management server, a communication terminal, an edge switch device, a communication program, and a network system of the present invention will be described with reference to the drawings.
[0039]
<First Embodiment: Initial Authentication>
First, a first embodiment of the present invention will be described with reference to FIG. In the first embodiment, an operation at the time of initial authentication will be mainly described. FIG. 1 is a diagram showing an example of a basic configuration of a network system according to the present invention.
[0040]
The communication terminal 10A belongs to the group A, and the terminal 10B belongs to the group B. Each of the communication terminals 10A and 10B communicates with the group networks 30A and 30B to which they belong via a regional network (regional network) 20. The group A network is called a group network 30A, and the group B network is called a group network 30B.
[0041]
The local network 20 includes a home edge switch (home edge switch device, sometimes simply referred to as an edge switch device) 40 on the home edge side, and a network edge switch (network edge switch device) on the network edge side. 50 are arranged. In the regional network 20, a regional network management server (network management server) 25 that manages communication between the communication terminals 10A and 10B and the group networks 30A and 30B is arranged. The home side refers to a side that connects to the communication terminals 10A and 10B, and the network side refers to a side that connects to the group networks 30A and 30B. The edge is an end of a network and refers to a communication device that can connect to a communication device that does not belong to the network.
[0042]
The home side port of the local network 20 and the communication terminals 10A and 10B can be connected through an access network, and the communication terminals 10A and 10B can be connected to the access network by wireless communication with the access point 15 or the like. is there. The network side of the regional network 20 can be connected to the group networks 30A and 30B through the edge routers 60A and 60B of each group.
[0043]
In addition, authentication servers 70A and 70B that authenticate each group are installed in each of the group networks 30A and 30B. The authentication servers 70A and 70B of each group can use a RADIUS (Remote Authentication Dial In User Service) server that holds authentication information (user authentication information) of each of the communication terminals 10A and 10B. When the communication terminals 10A and 10B communicate with the group networks 30A and 30B to which they belong, authentication of the communication terminals 10A and 10B by the authentication servers 70A and 70B is performed.
[0044]
Each of the above components needs to hold the following information in advance. The communication terminals 10A and 10B hold a user ID and a password, and a pre-shared key (for example, a MAC address unique to each of the communication terminals 10A and 10B). Further, the regional network management server 25 holds information (user / group management information) in which a relationship between a user ID and a group identifier is described, and a pre-shared key of each of the communication terminals 10A and 10B. In addition, the home-side edge switch 40 holds path information between the regional network management server 25 and the communication terminals 10A and 10B. The authentication servers 70A and 70B hold information (user authentication information) describing the relationship between the user ID and the password.
[0045]
The user ID and the password are managed in the group networks 30A and 30B, and using this user information, it is authenticated that each of the communication terminals 10A and 10B belongs to each group. For example, the user ID and the password are managed in a network in an organization such as a company or a school. The pre-shared key is a key that is shared and held between the communication terminals 10A and 10B and the local network management server 25. The key is used to prevent the communication terminals 10A and 10B from being known to others. And the local network management server 25.
[0046]
Next, an initial authentication sequence in the network system shown in FIG. 1 will be described. FIG. 2 is an initial authentication sequence diagram showing the first half of the initial authentication according to the first embodiment of the present invention. When performing the initial authentication sequence, encrypted communication using a pre-shared key is performed for all information between the communication terminals 10A and 10B and the local network management server 25, and security for the user ID and the password is ensured. . Note that IEEE 802.1x is used for communication between the communication terminals 10A and 10B and the regional network management server 25. For the initial authentication, the flow of IEEE 802.1x + EAP (Extensible Authentication Protocol) is used as it is. However, it is possible to set whether or not to transfer a packet for each MAC address of a communication terminal instead of the port authentication which is a feature of IEEE 802.1x (hereinafter sometimes simply referred to as 802.1x).
[0047]
First, the communication terminals 10A and 10B encrypt with the pre-shared key, transmit the EAP-Start to the regional network management server 25, and start communication (step S201). The EAP-Start is MAC bridge-transferred by the home-side edge switch 40. The regional network management server 25 receives this information and decrypts (also referred to as decryption) using the pre-shared key of the communication terminals 10A and 10B of the transmission source (step S202).
[0048]
The regional management network server 25 encrypts the data with the pre-shared key, transmits EAP-Request / Identity to the communication terminals 10A and 10B, and requests a user ID (step S203). The communication terminals 10A and 10B receive this information and decrypt it using the pre-shared key (step S204). Then, the communication terminals 10A and 10B encrypt the data with the pre-shared key and transmit the EAP-Response / Identity including the user ID to the regional network management server 25 (step S205). The regional network management server 25 receives this information and decrypts it using the pre-shared key of the communication terminals 10A and 10B of the transmission source (step S206). Further, the regional network management server 25 transmits a Radius-Access-Request including the user ID to the authentication servers 70A and 70B in the group belonging to each of the communication terminals 10A and 10B. The RADIUS protocol is used for communication between the regional network management server 25 and the authentication servers 70A and 70B.
[0049]
The authentication servers 70A and 70B receive this information, return a Radius-Access-Challenge to the regional network management server 25, and the regional management network server 25 encrypts the EAP-Request with the pre-shared key and EAP-Request the communication terminals 10A and 10B (Step S207). The communication terminals 10A and 10B receive this information and decrypt it using the pre-shared key (step S208). Then, the communication terminals 10A and 10B encrypt the data with the pre-shared key and transmit an EAP-Response including the password to the regional network management server 25 (step S209). The local network management server 25 receives this information, decrypts the information using the pre-shared key of the communication terminals 10A and 10B of the transmission source (step S210), and, like the user ID, Radius-Access-Request including the password. To the authentication servers 70A and 70B.
[0050]
The authentication servers 70A and 70B compare the user authentication information stored in advance with the user ID and the password sent from the communication terminals 10A and 10B, and when the authentication is successful, Radius-Access-Success. Is returned to the regional network management server 25. Receiving this information, the regional management network server 25 encrypts the information with the pre-shared key, transmits EAP-Success to the communication terminals 10A and 10B, and notifies the authentication success (step S211). The communication terminals 10A and 10B receive this information and decrypt using the pre-shared key (step S212).
[0051]
FIG. 3 is an initial authentication sequence diagram showing the latter half of the initial authentication according to the first embodiment of the present invention. When the regional network management server 25 notifies EAP-Success to the communication terminals 10A and 10B in step S211, the regional network management server 25 stores the MAC addresses of the communication terminals 10A and 10B and corresponds to the MAC addresses. A main signal key is set (step S301). The regional network management server 25 transmits the MAC address and the main signal key corresponding to the MAC address to the residential side edge switch 40 as the transferability information of the packet having the MAC address. In addition, while performing the sequence shown in FIG. 2, it is also possible for the home edge switch 40 to store the MAC addresses of the communication terminals 10A and 10B. In this case, the main signal key and the main signal key What is necessary is just to transmit the set information for identifying the communication terminals 10A and 10B.
[0052]
The home side edge switch 40 receives the main signal key and registers the correspondence between the MAC address and the main signal key (step S302). Note that the main signal key is different from the pre-shared key, and the pre-shared key is a key previously shared between the communication terminals 10A and 10B and the regional network management server 25, and the main signal key is This is a key for encrypting the main signal when the authentication is successful and the actual communication is performed.
[0053]
Specifically, for example, when the communication terminals 10A and 10B having the MAC address “00-80-45-23-21-fe” successfully authenticate to the respective group networks 30A and 30B, “00-80 -45-23-21-fe "and the main signal key are set. The home-side edge switch 40 cannot transfer a packet having a MAC address that is not registered as a key of the main signal key.
[0054]
When the main signal keys of the communication terminals 10A and 10B are set from the regional network management server 25 to the home-side edge switch 40, a network operation protocol such as SNMP can be used.
[0055]
Further, the regional management network server 25 encrypts with the pre-shared key and transmits the main signal key to the communication terminals 10A and 10B (step S303). The communication terminals 10A and 10B receive this information and decrypt it using the pre-shared key (step S304). Then, the communication terminals 10A and 10B store the main signal key obtained from the regional network management server 25. In the subsequent main signal communication, data encryption / decryption (also referred to as encryption / decryption) is performed using the main signal key, and the communication terminals 10A and 10B and the home edge switch 40 communicate with each other. Is performed (steps S305 and S306). As a result, the wireless section between the communication terminals 10A and 10B and the home-side edge switch 40 becomes an encrypted section that is encrypted with the main signal key.
[0056]
When the access point 15 is installed between the communication terminals 10A and 10B and the home-side edge switch 40, it is necessary to manage the position information of the communication terminals 10A and 10B as path information. In this case, at the time of the authentication request of the communication terminal, the regional network management server 25 transmits to the home side edge switch 40 which access point of which home side edge switch 40 the communication terminals 10A and 10B are connected to. As a result, the regional network management server 25 can manage the route information.
[0057]
FIG. 4 is an initial authentication and route setting sequence diagram in the first embodiment of the present invention. Note that the sequence of FIG. 4 is also a sequence following FIG. 1, similarly to the sequence of FIG. 2. The home-side edge switch 40 notifies the location information of the communication terminals 10A and 10B to the regional network management server 25 upon the transfer of the EAP-Success (step S401). At this time, it is also possible to add position information of the communication terminals 10A and 10B to an arbitrary packet sent from the communication terminals 10A and 10B to the regional network management server 25 and transmit the packet. The regional network management server 25 requests the home-side edge switch 40 and the network-side edge switch 50 to set the path information on the corresponding communication terminals 10A and 10B based on the notified position information (step S402). .
[0058]
The subsequent steps S403 to S407 are the same as steps S302 to S306 shown in FIG. Also, even when the main signal communication is being performed, the regional network management server 25 can make a route setting request based on the position information of the communication terminals 10A and 10B (step S408). In the case where the route setting of the communication terminals 10A and 10B is performed from the regional network management server 25 to the home edge switch 40, a network operation protocol such as SNMP can be used.
[0059]
<Second Embodiment: Mobile Authentication>
Next, a second embodiment of the present invention will be described. In the second embodiment, mainly the operation at the time of mobile authentication will be described, and in particular, the operation when the communication terminal switches the home edge switch will be described. FIG. 5 is a diagram for explaining an outline of the mobile authentication according to the second embodiment of the present invention. Note that FIG. 5 illustrates a change in the communication flow when the communication terminal 10B belonging to the group B switches the connection of the home-side edge switch 40, and illustrates the change of the home-side edge switch ( The home side edge switch 40X before the movement is the home side edge switch 40X, and the newly connected home side edge switch (the home side edge switch after the movement) is the home side edge switch 40Y.
[0060]
When the communication terminal 10B switches the connection of the home-side edge switch 40, the movement is notified from the communication terminal 10B to the regional network management server 25 through the moved home-side edge switch 40Y ((1) movement notification in FIG. 5). ), The main signal key is distributed from the regional network management server 25 to the home side edge switch 40Y after the movement ((2) main signal key distribution in FIG. 5), and the main signal key of the home side edge switch 40X before the movement is deleted. ((3) main signal key deletion in FIG. 5).
[0061]
FIG. 6 is a mobile authentication sequence diagram according to the second embodiment of the present invention. The communication terminal 10B moves while performing main signal communication with the host (communication partner) through the access point 15 connected to the home-side edge switch 40X before moving, and accesses to connect to another home-side edge switch 40. Switch connection to point 15. At this time, the communication terminal 10B detects movement on the wireless link (step S601), and then establishes a link with the new access point 15 (step S602).
[0062]
Then, the communication terminal 10B encrypts the area network management server 25 with the pre-shared key and notifies the movement to the local network management server 25 in order to secure security with the home side edge switch 40Y after the movement (step S603). . Here, for example, the communication terminal 10B encrypts the payload portion of the Ethernet packet with the pre-shared key, and transmits information related to the movement notification to the regional network management server 25. The regional network management server 25 receives this information and decrypts it using the pre-shared key of the communication terminal 10B of the transmission source (step S604).
[0063]
In response to the movement notification, the regional network management server 25 reads the main signal key set corresponding to the communication terminal 10B from the MAC address of the communication terminal 10B (step S605). Then, the MAC address of the communication terminal 10B and the main signal key corresponding to the MAC address are transmitted to the moved home-side edge switch 40Y, and the main signal key of the communication terminal 10B is set in the moved home-side edge switch 40Y. To be done. Further, a request for deleting the main signal key of the communication terminal 10B is issued to the home side edge switch 40X before the movement, and the main signal key of the communication terminal 10B stored in the home side edge switch 40X before the movement is deleted.
[0064]
In addition, it is necessary to rewrite the route information of the home-side edge switch 40Y and the network-side edge switch 50 so that the communication terminal 10B can communicate even after moving. The moved home-side edge switch 40Y notifies the regional network management server 25 of the location information of the communication terminal 10B, triggered by the movement notification from the communication terminal 10B. The regional network management server 25 starts setting the path information on the corresponding communication terminals 10A and 10B in the home edge switch 40Y and the network edge switch 50 based on the notified position information (step S606). Request routing information.
[0065]
As a result, even if the communication terminal moves, it is possible to support the movement of the communication terminal without performing authentication by the authentication server, and the wireless section between the communication terminal 10B and the moved home-side edge switch 40Y is moved. Thus, encrypted communication using the main signal key can be performed. In addition, by deleting information related to the communication terminal 10B existing in the home-side edge switch 40X before moving, unnecessary information can be deleted and security of the communication system can be increased. The side edge switch 40 only needs to hold the main signal key of only the subordinate communication terminal 10B at all times, and from the point of scalability, it is not necessary to hold that of all the terminals, and it is efficient. When the route setting of the communication terminal 10B is performed from the regional network management server 25 to the home edge switches 40X and 40Y, a network operation protocol such as SNMP can be used.
[0066]
In addition, for the movement notification from the communication terminal 10B, it is possible to use an EAPOL (EAP over LAN) -Key packet defined in IEEE 802.1x. The EAPOL-Key packet is a packet frame for exchanging an encryption key. The communication terminal 10B can send the main signal key actually managed by the communication terminal 10B to the regional network management server 25, or the key portion can be emptied and sent. The reception of the EAPOL-Key packet by the regional network management server 25 triggers the regional network management server 25 to start setting the main signal key for the moved home-side edge switch 40Y. Note that when the main signal key of the communication terminal 10B is set from the regional network management server 25 to the home-side edge switch 40, a network operation protocol such as SNMP can be used.
[0067]
<Third Embodiment: Periodic Authentication>
Next, a third embodiment of the present invention will be described. In the third embodiment, an operation at the time of periodic authentication in which the regional network management server authenticates a communication terminal at regular intervals will be mainly described. FIG. 7 is a diagram for explaining an outline of the periodic authentication according to the third embodiment of the present invention. FIG. 7 illustrates a state in which the regional network management server 25 performs periodic authentication on the communication terminal 10B belonging to the group B. FIG. 7 shows only one communication terminal 10B belonging to the group B, and the description will be made based on this.
[0068]
For example, it is necessary to prevent a user from illegally logging in and performing communication by stealing a packet at the time of initial authentication of a predetermined user as it is. According to the present invention, unless a pre-shared key is obtained, a fake user cannot communicate by impersonating a legitimate user. However, in order to prevent multiple logins, it is usual that only one communication terminal 10B communicates with one user ID, and when a fake user logs in first. It is not possible for a legitimate user to log in after that.
[0069]
Therefore, the regional network management server 25 periodically transmits a terminal authentication request to confirm whether the communication terminal 10B holds the pre-shared key. Since the authorized communication terminal 10B must hold the pre-shared key, it is possible to transmit the pre-shared key. At this time, the pre-shared key is made invisible from outside by encryption. (This process is called periodic authentication). That is, the authentication request is made from the regional network management server 25 to the communication terminal 10B at regular intervals ((1) authentication request in FIG. 7), and the communication terminal 10B makes a response to the regional network management server 25. (2) authentication response in FIG.
[0070]
FIG. 8 is a periodic authentication sequence diagram according to the third embodiment of the present invention. The regional management network server 25 transmits the terminal authentication request (EAP-Request +) to the communication terminal 10B after encrypting it with the pre-shared key (step S801). This is a step for requesting the communication terminal 10B for a pre-shared key and confirming whether the communication terminal 10B has the pre-shared key. The communication terminal 10B receives this information and decrypts it using the pre-shared key (step S802). At this time, the IEEE 802.1x EAP-Request frame can be used as it is, and here, a pre-shared key is required instead of a password.
[0071]
If the communication terminal 10B is a legitimate communication terminal, the communication terminal 10B encrypts it with the pre-shared key and transmits a terminal authentication response (EAP-Response +) to the regional network management server 25 (step S803). At this time, the communication terminal 10B can put the pre-shared key on the EAP-Response and transmit the EAP-Response to the regional network management server 25. The regional network management server 25 receives this information and decrypts it using the pre-shared key (step S804). Then, the regional network management server 25 compares the pre-shared key received from the communication terminal 10B with the pre-shared key held by itself, confirms that they are the same, confirms that the communication terminal 10B is a legitimate communication terminal, The main signal communication of the communication terminal 10B is continued as it is. Note that the local network management server 25 can determine whether or not the communication terminal 10B is the legitimate communication terminal by requesting the MAC address, and request both the pre-shared key and the MAC address to obtain more reliable information. Alternatively, the validity of the communication terminal 10B can be determined.
[0072]
On the other hand, when the terminal authentication response is not returned, or when the pre-shared key received from the communication terminal 10B does not match the pre-shared key held by the terminal itself (when the terminal authentication response is invalid) (step S805). Is determined to be a fake communication terminal. Then, the regional network management server 25 transmits a disconnection request for the communication terminal 10B to the authentication server 70B, and disconnects communication between the communication terminal 10B and the group network 30B. Further, the regional network management server 25 transmits a route information deletion request to the home side edge switch 40 and the network side edge switch 50, and deletes the transfer information. As a result, the communication terminal determined to be false loses the communication and packet transfer paths with the group network 30B and cannot perform communication. In this way, by performing the periodic authentication, even if a fake user logs in, the fake user cannot log in for at least a certain time (time interval of the periodic authentication).
[0073]
<Fourth Embodiment: Protocol>
Next, a fourth embodiment of the present invention will be described. In the fourth embodiment, a protocol mainly used in the local network 20 will be described. In particular, a case where an MPLS protocol or a VLAN protocol that can establish a logical path in the local network 20 is used. explain.
[0074]
FIG. 9 is an example of a configuration of a network system according to the present invention, and is a diagram illustrating a configuration in which a regional network management server is connected to a network side edge switch. In the above description, the local network management server 25 is directly connected to the home edge switch 40. However, as shown in FIG. 9, the local network management server 25 is connected to the network edge switch 50. It is also possible. In this case, a link used for communication between the communication terminals 10A and 10B and the group networks 30A and 30B to which the communication terminals 10A and 10B belong, and a link used between the communication terminals 10A and 10B and the regional network management server 25. Are the same links in the regional network 20.
[0075]
FIG. 10 is a diagram showing an outline of a logical path in a configuration in which the regional network management server in the network system according to the present invention connects to the network side edge switch. In the configuration shown in FIG. 9, the links are physically the same in the regional network 20, but in this case, communication is performed through logically different paths as shown in FIG. That is, a main signal path (a path for main signal communication between the communication terminal 10A and the group networks 30A and 30B) and a local area are connected to the mesh network between the home-side edge switch 40 and the network-side edge switch 50. A network management path (a path for communication between the communication terminal 10A and the local network management server 25) is set separately in advance.
[0076]
The residential side edge switch 40 distributes a packet to the regional network management server 25 to a regional network management path and a packet to the group networks 30A and 30B to a main signal path. At this time, whether or not the packet is to be sent to the local network management server 25 is determined by referring to the header of the Ethernet packet. For example, if the Ethernet type is 0x880e indicating IEEE 802.1x, or the destination MAC address is the local network management server 25, the home edge switch 40 distributes the packet to a local network management path. Since the area management server 25 sets and registers the main signal key using the MAC addresses of the communication terminals 10A and 10B as keys at the time of authentication, the MAC addresses of the communication terminals 10A and 10B need to reach the area management server 25 as they are. In order to realize this, it is possible to apply, for example, the MPLS protocol or the VLAN protocol.
[0077]
FIG. 11 is a main signal protocol stack diagram when the MPLS protocol according to the fourth embodiment of the present invention is used, and FIG. 12 is a diagram when the MPLS protocol according to the fourth embodiment of the present invention is used. FIG. 4 is an authentication and route setting protocol stack diagram. For example, as a protocol for establishing a logical path in the regional network 20, MPLS for performing label switching is applicable. Since the MPLS label is assigned 20 bits (bits), about 1 million paths can be assigned.
[0078]
The home-side edge switch 40 and the network-side edge switch 50 are configured to be able to add and delete MPLS labels. Further, a switch router (not shown) arranged in the intra-area network 20 is configured to transfer the packet to a predetermined route with reference to the MPLS label added to the packet. It should be noted that the switch router can also add, delete, and exchange labels. In addition, since the regional network management server 25 needs to exchange an Ethernet header (Ether in the drawing) when communicating with the communication terminals 10A and 10B, the EoMPLS (EoMPLS (capable of encapsulating an Ethernet packet and carrying it by a label). Ethernet (R) over MPLS).
[0079]
FIG. 13 is a main signal protocol stack diagram when the VLAN protocol according to the fourth embodiment of the present invention is used, and FIG. 14 is a diagram when the VLAN protocol according to the fourth embodiment of the present invention is used. FIG. 4 is an authentication and route setting protocol stack diagram. For example, as a protocol for establishing a logical path in the regional network 20, besides MPLS, a VLAN protocol is also applicable.
[0080]
In the VLAN protocol, a VLAN tag is added to an Ethernet header, and transfer is performed using the VLAN tag. In addition, a VLAN tag is assigned to a port of a switch router (not shown) in the regional network to configure a logical path. As a result, similarly to the MPLS protocol, in the VLAN protocol, a VLAN tag can be added to a packet in a regional network to transfer the packet. Note that a maximum of 4000 tags can be assigned to one VLAN in one stack.
[0081]
In addition, among the devices described in each of the above-described embodiments, particularly, regarding the communication terminals 10A and 10B and the local network management server 25, an existing computer or the like executes a communication program for performing the operation of the present invention. It can be realized by:
[0082]
【The invention's effect】
As described above, according to the present invention, according to the present invention, the regional network management server previously holds a shared key unique to each of the plurality of communication terminals, and performs an initial authentication between the regional network management server and the communication terminal. The shared key is used for communication to ensure security. On the other hand, when the communication terminal performs communication with a desired network, the main signal key set by the regional management network server is used to communicate with the local network. Since the security of communication between the management server and the communication terminal is ensured, a network system with security is provided without adding a special function such as an authentication function to the access point. It is possible to secure security in a wireless section between the access point and the access point.
[Brief description of the drawings]
FIG. 1 is a diagram showing an example of a basic configuration of a network system according to the present invention.
FIG. 2 is an initial authentication sequence diagram showing a first half of the initial authentication according to the first embodiment of the present invention;
FIG. 3 is an initial authentication sequence diagram showing the latter half of the initial authentication according to the first embodiment of the present invention.
FIG. 4 is an initial authentication and route setting sequence diagram according to the first embodiment of the present invention.
FIG. 5 is a diagram for explaining an outline of mobile authentication according to the second embodiment of the present invention;
FIG. 6 is a mobile authentication sequence diagram according to the second embodiment of the present invention.
FIG. 7 is a diagram for explaining an outline of periodic authentication according to the third embodiment of the present invention;
FIG. 8 is a diagram illustrating a periodic authentication sequence according to the third embodiment of the present invention.
FIG. 9 is an example of a configuration of a network system according to the present invention, showing a configuration in which a regional network management server is connected to a network side edge switch.
FIG. 10 is a diagram showing an outline of a logical path in a configuration in which a regional network management server is connected to a network side edge switch in the network system according to the present invention;
FIG. 11 is a main signal protocol stack diagram when the MPLS protocol is used according to the fourth embodiment of the present invention.
FIG. 12 is an authentication and route setting protocol stack diagram when the MPLS protocol is used according to the fourth embodiment of the present invention.
FIG. 13 is a main signal protocol stack diagram when the VLAN protocol is used according to the fourth embodiment of the present invention.
FIG. 14 is an authentication and route setting protocol stack diagram when a VLAN protocol is used according to the fourth embodiment of the present invention.
FIG. 15 is a diagram showing a configuration example of a network system according to a conventional technique.
FIG. 16 is a sequence diagram in a configuration example of a network system according to a conventional technique.
[Explanation of symbols]
10A, 10B, 110 Communication terminal
15, 115 access point
20 Regional networks (regional networks, networks between networks)
25 Regional Network Management Server (Network Management Server)
30A, 30B Group network
40, 40X, 40Y Home side edge switch (Home side edge switch device)
50 Network-side edge switch (network-side edge switch device)
60A, 60B edge router
70A, 70B, 170 authentication server

Claims (29)

複数の通信端末と前記複数の通信端末のそれぞれが属するネットワークとを接続する網間ネットワーク内に配置され、複数の通信端末と前記複数の通信端末のそれぞれが属するネットワークとの接続を管理するネットワーク管理サーバであって、
前記複数の通信端末のそれぞれに固有の共有鍵を事前に保持し、前記複数の通信端末のそれぞれとの間で、前記共有鍵による暗号／復号化による通信を行うネットワーク管理サーバ。Network management arranged in an inter-network connecting a plurality of communication terminals and a network to which each of the plurality of communication terminals belongs, and managing connection between the plurality of communication terminals and a network to which each of the plurality of communication terminals belongs A server,
A network management server that holds a shared key unique to each of the plurality of communication terminals in advance and performs communication by encryption / decryption with the shared key with each of the plurality of communication terminals. 複数の通信端末と前記複数の通信端末のそれぞれが属するネットワークとを接続する網間ネットワーク内に配置され、複数の通信端末と前記複数の通信端末のそれぞれが属するネットワークとの接続を管理するネットワーク管理サーバであって、
前記複数の通信端末のそれぞれに固有の共有鍵を事前に保持し、前記複数の通信端末のそれぞれから、暗号化された前記ネットワークでの認証に必要な情報を受信し、受信した情報を前記共有鍵によって復号し、前記通信端末の属するネットワーク内の認証サーバに対して、前記通信端末に係る前記ネットワークでの認証に必要な情報を送信するネットワーク管理サーバ。Network management arranged in an inter-network connecting a plurality of communication terminals and a network to which each of the plurality of communication terminals belongs, and managing connection between the plurality of communication terminals and a network to which each of the plurality of communication terminals belongs A server,
Holding a shared key unique to each of the plurality of communication terminals in advance, receiving encrypted information required for authentication in the network from each of the plurality of communication terminals, and sharing the received information with the shared terminal. A network management server that decrypts with a key and transmits information required for authentication of the communication terminal in the network to an authentication server in the network to which the communication terminal belongs. 前記通信端末の属するネットワーク内の認証サーバにおける認証結果を前記認証サーバから受信し、前記認証結果を前記共有鍵によって暗号化して、前記通信端末に送信する請求項２に記載のネットワーク管理サーバ。The network management server according to claim 2, wherein an authentication result from an authentication server in a network to which the communication terminal belongs is received from the authentication server, the authentication result is encrypted with the shared key, and transmitted to the communication terminal. 前記網間ネットワークのエッジを構成し前記複数の通信端末側との接続を行うエッジスイッチ装置から、前記通信端末の位置情報を受信した場合、前記網間ネットワークにおける前記通信端末と前記ネットワークとの経路を設定し、前記網間ネットワークのエッジを構成し前記複数の通信端末側との接続を行う前記エッジスイッチ装置と、前記網間ネットワークのエッジを構成し前記ネットワーク側との接続を行うエッジスイッチ装置とに対して、前記経路による通信を可能とする経路情報を送信する請求項３に記載のネットワーク管理サーバ。When the position information of the communication terminal is received from an edge switch device that configures an edge of the inter-network and connects to the plurality of communication terminals, a path between the communication terminal and the network in the inter-network. And an edge switch device that configures an edge of the inter-network and connects to the plurality of communication terminals, and an edge switch device that configures an edge of the inter-network and connects to the network 4. The network management server according to claim 3, wherein path information that enables communication by the path is transmitted to the network management server. 前記通信端末の属するネットワーク内の認証サーバにおける認証結果が認証成功の場合、前記通信端末の識別情報に対応して、暗号用の主信号鍵を生成し、前記通信端末と、前記網間ネットワークのエッジを構成し前記複数の通信端末側との接続を行う前記エッジスイッチ装置とに対して、前記主信号鍵を送信する請求項３又は４に記載のネットワーク管理サーバ。When the authentication result in the authentication server in the network to which the communication terminal belongs is authentication success, a main signal key for encryption is generated corresponding to the identification information of the communication terminal, and the communication terminal and the inter-network 5. The network management server according to claim 3, wherein the main signal key is transmitted to the edge switch device that forms an edge and connects to the plurality of communication terminals. 前記通信端末に対して、前記主信号鍵を前記共有鍵によって暗号化して送信する請求項５に記載のネットワーク管理サーバ。The network management server according to claim 5, wherein the main signal key is encrypted with the shared key and transmitted to the communication terminal. 前記通信端末の識別情報として、前記通信端末に固有のＭＡＣアドレスが用いられる請求項５又は６に記載のネットワーク管理サーバ。The network management server according to claim 5, wherein a MAC address unique to the communication terminal is used as the identification information of the communication terminal. 前記複数の通信端末のそれぞれから、前記共有鍵によって暗号化された前記エッジスイッチ装置の接続を切り替えたことを通知する移動通知情報を受信した場合、受信した情報を前記共有鍵によって復号し、前記通信端末が移動後に接続するエッジスイッチ装置に対して前記主信号鍵を送信するとともに、前記通信端末が移動前に接続していたエッジスイッチ装置に対して、前記移動した通信端末に係る前記主信号鍵の削除を要求する請求項５から７のいずれか１つに記載のネットワーク管理サーバ。When receiving, from each of the plurality of communication terminals, movement notification information that notifies that the connection of the edge switch device encrypted by the shared key has been switched, the received information is decrypted by the shared key, The communication terminal transmits the main signal key to an edge switch device connected after the movement, and the main signal related to the moved communication terminal to an edge switch device connected before the communication terminal moves. The network management server according to any one of claims 5 to 7, which requests deletion of a key. 一定時間ごとに、前記通信端末に対して、前記共有鍵の送信を要求し、前記通信端末の正当性を確認する請求項５から８のいずれか１つに記載のネットワーク管理サーバ。The network management server according to any one of claims 5 to 8, wherein the network management server requests the communication terminal to transmit the shared key at regular time intervals and checks the legitimacy of the communication terminal. 前記通信端末の正当性が確認できなかった場合には、前記網間ネットワークのエッジを構成し前記複数の通信端末側との接続を行う前記エッジスイッチ装置と、前記網間ネットワークのエッジを構成し前記ネットワーク側との接続を行う前記エッジスイッチ装置とに対して、前記通信端末に係る経路情報の削除を要求する請求項９に記載のネットワーク管理サーバ。If the legitimacy of the communication terminal cannot be confirmed, the edge switch device that configures an edge of the inter-network and connects to the plurality of communication terminals and configures an edge of the inter-network. 10. The network management server according to claim 9, wherein the network management server requests the edge switch device that connects to the network side to delete the path information related to the communication terminal. 前記請求項１から請求項１０のいずれか１つに記載のネットワーク管理サーバを実現するため、前記ネットワーク管理サーバによって実行可能な通信用プログラム。A communication program executable by the network management server to realize the network management server according to any one of claims 1 to 10. 網間ネットワークを介して、自端末が属するネットワークとの接続を行う通信端末であって、
前記通信端末に固有の共有鍵を事前に保持する前記網間ネットワーク内のネットワーク管理サーバとの間で、前記共有鍵による暗号／復号化による通信を行う通信端末。A communication terminal for connecting to a network to which the terminal belongs via an inter-network,
A communication terminal that performs communication by encryption / decryption using the shared key with a network management server in the inter-network that previously holds a shared key unique to the communication terminal. 網間ネットワークを介して、自端末が属するネットワークとの接続を行う通信端末であって、
前記通信端末に固有の共有鍵を事前に保持する前記網間ネットワーク内のネットワーク管理サーバに対して、前記自端末が属するネットワークでの認証に必要な情報を前記共有鍵によって暗号化して送信する通信端末。A communication terminal for connecting to a network to which the terminal belongs via an inter-network,
Communication in which information necessary for authentication in the network to which the terminal belongs is encrypted with the shared key and transmitted to a network management server in the inter-network that holds a shared key unique to the communication terminal in advance. Terminal. 前記通信端末の属するネットワーク内の認証サーバにおける認証結果が共有鍵によって暗号化された情報を、前記ネットワーク管理サーバから受信し、受信した情報を前記共有鍵によって復号する請求項１３に記載の通信端末。14. The communication terminal according to claim 13, wherein information obtained by encrypting an authentication result in an authentication server in a network to which the communication terminal belongs with a shared key is received from the network management server, and the received information is decrypted with the shared key. . 前記ネットワーク管理サーバから、前記通信端末の識別情報に対応した暗号用の主信号鍵を受信する請求項１３又は１４に記載の通信端末。15. The communication terminal according to claim 13, wherein a main signal key for encryption corresponding to identification information of the communication terminal is received from the network management server. 前記網間ネットワークのエッジを構成し、前記通信端末側との接続を行うエッジスイッチ装置との間で、前記主信号鍵による暗号／復号化による通信を行う請求項１５に記載の通信端末。16. The communication terminal according to claim 15, wherein communication is performed by encryption / decryption using the main signal key with an edge switch device that forms an edge of the inter-network and connects to the communication terminal. 網間ネットワークを介して、自端末が属するネットワークとの接続を行う通信端末であって、
前記網間ネットワークのエッジを構成し、前記通信端末側との接続を行うエッジスイッチ装置の接続を切り替えた場合、前記通信端末に固有の共有鍵を事前に保持する前記網間ネットワーク内のネットワーク管理サーバに対して、前記エッジスイッチ装置の接続を切り替えたことを通知する移動通知情報を前記共有鍵によって暗号化して送信する通信端末。A communication terminal for connecting to a network to which the terminal belongs via an inter-network,
The network management in the inter-network, which constitutes an edge of the inter-network and switches a connection of an edge switch device for connection with the communication terminal side in advance and holds a shared key unique to the communication terminal. A communication terminal that encrypts, using the shared key, movement notification information that notifies a server that the connection of the edge switch device has been switched, and transmits the information. 前記ネットワーク管理サーバから前記共有鍵の送信を要求された場合には、前記ネットワーク管理サーバに対して前記共有鍵を送信する請求項１７に記載の通信端末。18. The communication terminal according to claim 17, wherein when the network management server requests transmission of the shared key, the communication terminal transmits the shared key to the network management server. 前記請求項１２から請求項１８のいずれか１つに記載の通信端末を実現するため、前記通信端末によって実行可能な通信用プログラム。A communication program executable by the communication terminal to implement the communication terminal according to any one of claims 12 to 18. 複数の通信端末と前記複数の通信端末のそれぞれが属するネットワークとを接続する網間ネットワークのエッジを構成し、前記複数の通信端末側との接続を行うエッジスイッチ装置であって、
前記複数の通信端末のそれぞれからの前記ネットワークでの認証の要求を、前記複数の通信端末と前記複数の通信端末のそれぞれが属するネットワークとの接続を管理するネットワーク管理サーバに対して中継する場合、前記ネットワーク管理サーバに対して前記通信端末の位置情報を通知するエッジスイッチ装置。An edge switch device that configures an edge of an inter-network connecting a plurality of communication terminals and a network to which each of the plurality of communication terminals belongs, and performs connection with the plurality of communication terminals.
When relaying a request for authentication in the network from each of the plurality of communication terminals to a network management server that manages a connection between the plurality of communication terminals and a network to which each of the plurality of communication terminals belongs, An edge switch device for notifying the network management server of position information of the communication terminal. 前記ネットワーク管理サーバから、前記網間ネットワークにおける前記通信端末と前記ネットワークとの間で設定された経路による通信を可能とする経路情報を受信する請求項２０に記載のエッジスイッチ装置。21. The edge switch device according to claim 20, wherein the edge switch device receives, from the network management server, route information enabling communication via the route set between the communication terminal and the network in the inter-network. 前記ネットワーク管理サーバから、前記通信端末の識別情報に対応した暗号用の主信号鍵を受信する請求項２０又は２１に記載のエッジスイッチ装置。22. The edge switch device according to claim 20, wherein a main signal key for encryption corresponding to identification information of the communication terminal is received from the network management server. 前記通信端末との間で、前記主信号鍵による暗号／復号化による通信を行う請求項２２に記載のエッジスイッチ装置。23. The edge switch device according to claim 22, wherein communication with the communication terminal is performed by encryption / decryption using the main signal key. 前記ネットワーク管理サーバから、前記通信端末に係る前記主信号鍵の削除を要求された場合、前記主信号鍵の削除を行う請求項２２又は２３に記載のエッジスイッチ装置。The edge switch device according to claim 22 or 23, wherein when the network management server requests deletion of the main signal key related to the communication terminal, the main signal key is deleted. 網間ネットワークを介して、自端末が属するネットワークとの接続を行う通信端末と、前記網間ネットワークのエッジを構成し前記複数の通信端末側との接続を行う宅側エッジスイッチ装置と、前記網間ネットワークのエッジを構成し前記ネットワーク側との接続を行う網側エッジスイッチ装置と、網側ネットワーク内に配置されて前記通信端末と前記ネットワークとの接続を管理するネットワーク管理サーバとにより構成されるネットワークシステムであって、
前記ネットワーク管理サーバが前記網側エッジスイッチ装置に接続されており、
前記宅側エッジスイッチ装置と前記網側エッジスイッチ装置との間が、前記通信端末と前記ネットワーク管理サーバとの間の第１の通信用トンネルと、前記通信端末と前記ネットワークとの間の第２の通信用トンネルとに分けて設定されるネットワークシステム。A communication terminal that connects to a network to which the terminal belongs via an inter-network, a home-side edge switch device that forms an edge of the inter-network, and that connects to the plurality of communication terminals; A network-side edge switch device that forms an edge of the inter-network and connects to the network side, and a network management server that is arranged in the network-side network and manages a connection between the communication terminal and the network. A network system,
The network management server is connected to the network-side edge switch device,
A first communication tunnel between the communication terminal and the network management server, and a second communication tunnel between the communication terminal and the network, between the home-side edge switch device and the network-side edge switch device. A network system that is set up separately for communication tunnels. 前記通信端末と前記ネットワーク管理サーバとの間の通信に、ＩＥＥＥ８０２．１ｘを適用する請求項２５に記載のネットワークシステム。The network system according to claim 25, wherein IEEE 802.1x is applied to communication between the communication terminal and the network management server. 前記ネットワーク管理サーバと前記宅側エッジスイッチ装置又は前記網側エッジスイッチ装置との間の通信に、ＳＮＭＰを適用する請求項２５又は２６に記載のネットワークシステム。27. The network system according to claim 25, wherein SNMP is applied to communication between the network management server and the home-side edge switch device or the network-side edge switch device. 前記網側エッジスイッチ装置と前記宅側エッジスイッチ装置との間の通信に、ラベルスイッチングを適用する請求項２５から２７のいずれか１つに記載のネットワークシステム。The network system according to any one of claims 25 to 27, wherein label switching is applied to communication between the network-side edge switch device and the home-side edge switch device. 前記網側エッジスイッチ装置と前記宅側エッジスイッチ装置との間の通信に、ＶＬＡＮスイッチングを適用する請求項２５から２７のいずれか１つに記載のネットワークシステム。The network system according to any one of claims 25 to 27, wherein VLAN switching is applied to communication between the network-side edge switch device and the home-side edge switch device.
JP2003053902A 2003-02-28 2003-02-28 Network management server, communication terminal, edge switch device, program for communication, and network system Withdrawn JP2004266516A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2003053902A JP2004266516A (en) 2003-02-28 2003-02-28 Network management server, communication terminal, edge switch device, program for communication, and network system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2003053902A JP2004266516A (en) 2003-02-28 2003-02-28 Network management server, communication terminal, edge switch device, program for communication, and network system

Publications (1)

Publication Number Publication Date
JP2004266516A true JP2004266516A (en) 2004-09-24

Family

ID=33118384

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003053902A Withdrawn JP2004266516A (en) 2003-02-28 2003-02-28 Network management server, communication terminal, edge switch device, program for communication, and network system

Country Status (1)

Country Link
JP (1) JP2004266516A (en)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006115344A (en) * 2004-10-15 2006-04-27 Matsushita Electric Ind Co Ltd Radio network system, radio terminal housing device and communication equipment
EP1924025A1 (en) * 2006-01-19 2008-05-21 Huawei Technologies Co., Ltd. Connection establishment method for multi part communication service
JP2009505569A (en) * 2005-08-19 2009-02-05 インテル・コーポレーション Wireless communication apparatus and method for protecting administrative control messages broadcast within a wireless network
JP2009517781A (en) * 2005-12-01 2009-04-30 アドバンスト・マイクロ・ディバイシズ・インコーポレイテッド Simple multipurpose communication device and information client
JP2010524356A (en) * 2007-04-04 2010-07-15 クゥアルコム・インコーポレイテッド Signaling in the cluster
US8638668B2 (en) 2007-04-03 2014-01-28 Qualcomm Incorporated Signaling in a cluster

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006115344A (en) * 2004-10-15 2006-04-27 Matsushita Electric Ind Co Ltd Radio network system, radio terminal housing device and communication equipment
JP4689225B2 (en) * 2004-10-15 2011-05-25 パナソニック株式会社 Wireless network system, wireless terminal accommodating device, and communication device
JP2009505569A (en) * 2005-08-19 2009-02-05 インテル・コーポレーション Wireless communication apparatus and method for protecting administrative control messages broadcast within a wireless network
JP4724751B2 (en) * 2005-08-19 2011-07-13 インテル・コーポレーション Wireless communication apparatus and method for protecting administrative control messages broadcast within a wireless network
JP2009517781A (en) * 2005-12-01 2009-04-30 アドバンスト・マイクロ・ディバイシズ・インコーポレイテッド Simple multipurpose communication device and information client
EP1924025A1 (en) * 2006-01-19 2008-05-21 Huawei Technologies Co., Ltd. Connection establishment method for multi part communication service
EP1924025A4 (en) * 2006-01-19 2010-04-07 Huawei Tech Co Ltd Connection establishment method for multi part communication service
US8638668B2 (en) 2007-04-03 2014-01-28 Qualcomm Incorporated Signaling in a cluster
JP2010524356A (en) * 2007-04-04 2010-07-15 クゥアルコム・インコーポレイテッド Signaling in the cluster

Similar Documents

Publication Publication Date Title
US7509491B1 (en) System and method for dynamic secured group communication
US9544282B2 (en) Changing group member reachability information
CA2413944C (en) A zero-configuration secure mobility networking technique with web-base authentication method for large wlan networks
JP3951757B2 (en) Method of communication via untrusted access station
CN101416176B (en) DynamicHost configuration and network access authentication
US7373508B1 (en) Wireless security system and method
US7561549B2 (en) Wireless local area network context control protocol
RU2407181C1 (en) Authentication of safety and control of keys in infrastructural wireless multilink network
EP1422875B1 (en) Wireless network handoff key
US7286671B2 (en) Secure network access method
US7634230B2 (en) Methods and apparatus for secure, portable, wireless and multi-hop data networking
JP3955025B2 (en) Mobile radio terminal device, virtual private network relay device, and connection authentication server
US20050152305A1 (en) Apparatus, method, and medium for self-organizing multi-hop wireless access networks
US20030031151A1 (en) System and method for secure roaming in wireless local area networks
KR101253352B1 (en) Authentication method for wireless distributed system
US20090019539A1 (en) Method and system for wireless communications characterized by ieee 802.11w and related protocols
IL154719A (en) Providing secure network access for short range wireless computing devices
JP2007532043A (en) Secure standard-based communication across wide area networks
JP3822555B2 (en) Secure network access method
EP1914960B1 (en) Method for transmission of DHCP messages
CN100415034C (en) Method for realizing self surrogate function for mobile node
JP4305087B2 (en) Communication network system and security automatic setting method thereof
JP2004266516A (en) Network management server, communication terminal, edge switch device, program for communication, and network system
JP2004312257A (en) Base station, repeating device and communication system
WO2003003664A1 (en) System and method for address and key distribution in virtual networks

Legal Events

Date Code Title Description
A300 Application deemed to be withdrawn because no request for examination was validly filed

Free format text: JAPANESE INTERMEDIATE CODE: A300

Effective date: 20060509