JP2001016198A

JP2001016198A - ネットワーク装置、アクセスサーバおよび認証サーバ

Info

Publication number: JP2001016198A
Application number: JP11181277A
Authority: JP
Inventors: Takatsugu Itou; 貴紹伊藤
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1999-06-28
Filing date: 1999-06-28
Publication date: 2001-01-19

Abstract

(57)【要約】【課題】アクセスサーバ・認証サーバ間の事前設定が
より簡略で一元的に管理を行うことができるネットワー
ク装置を提供することを目的とする。【解決手段】ネットワーク１０７外部の電話機等のユ
ーザ装置１０５、１０６をネットワークへ接続するため
のアクセスサーバ１０２、１０３の複数台からなるグル
ープ構成のアクセスサーバグループ１００と、ネットワ
ークの登録ユーザ情報を保持し、アクセスサーバとの間
で共有鍵方式を用いた認証処理を行う認証サーバ１０１
とから構成されるネットワーク装置であって、アクセス
サーバグループ１００を構成するアクセスサーバは、認
証サーバ１０１との間で認証処理を行う際に、グループ
識別のための認証クライアント識別情報を認証サーバ１
０１へ通知し、認証サーバ１０１は、アクセスサーバか
ら通知された認証クライアント識別情報を基に使用する
共有鍵を決定して認証判定を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワーク外部
の電話機等のユーザ装置をネットワークへ接続するため
のアクセスサーバ、および、各アクセスサーバとの間で
共有鍵方式を用いた認証処理を行う認証サーバ、ならび
に、上記アクセスサーバの複数台からなるアクセスサー
バグループと上記認証サーバとから構成されるネットワ
ーク装置に関するものである。

【０００２】

【従来の技術】近年、インターネット等の情報通信ネッ
トワークの利用者は増加の一途をたどっている。

【０００３】インターネットへのアクセスはオフィス等
ではＬＡＮ（ローカルエリアネットワーク）に接続され
たパーソナルコンピュータ等を通じて常時行うことが出
来るが、家庭では、電話線を通じてネットワーク接続業
者であるプロバイダへ接続するダイヤルアップ接続が一
般的である。以下に、従来のダイヤルアップ接続手順の
一例を示す。

【０００４】図１は、一般的なネットワーク装置を示す
ブロック図であり、ダイヤルアップを行う電話機等のユ
ーザ装置とネットワーク上のダイヤルアップアクセスサ
ーバとユーザ認証を行う認証サーバとを示す。図１で
は、ネットワークとしてはルータを通じてインターネッ
ト（ＩＰネットワーク）に接続されたＬＡＮを用い、ア
クセスサーバ・ユーザ装置間のインタフェースとしては
電話路、認証プロトコルとしてＲＡＤＩＵＳ（Ｒｅｍｏ
ｔｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＤｉａｌＩｎ
ＵｓｅｒＳｅｒｖｉｃｅ）等の共有鍵認証方式に対応
した認証サーバを用いている。

【０００５】図１において、１００はアクセスサーバグ
ループ、１０１は認証サーバ、１０２は第１のアクセス
サーバ（認証クライアント）、１０３は第２のアクセス
サーバ（認証クライアント）、１０４は他アクセスサー
バ（認証クライアント）、１０５はネットワークへアク
セスを行う電話機等の第１のユーザ装置、１０６は電話
機等の第２のユーザ装置、１０７はＬＡＮである。アク
セスサーバ１０２、１０３はユーザにとっての同時接続
数をより多く確保するため複数台設置され、それらは自
立的にあるいは管理者の指令によって能動的に相互間で
の運用設定情報等を交換するグループ構成をとってい
る。複数台のアクセスサーバの中で１台はマスタサーバ
として他のスレーブサーバを管理する役割を持ってい
る。図１ではアクセスサーバ１０２とアクセスサーバ１
０３はユーザからみればマスタ−スレーブ関係のひとつ
のグループ１００として動作し、アクセスサーバ１０２
がマスタサーバであり、アクセスサーバ１０３がスレー
ブサーバである。また、他アクセスサーバ１０４は、ア
クセスサーバ１０２、１０３のグループ１００には属し
ておらず、アクセスサーバグループ１００とは独立した
動作を行う。アクセスサーバ１０２は、認証クライアン
ト識別情報等の設定情報の保持を行い装置全体の管理的
処理を行う管理部１１０と、アクセスユーザの認証関連
処理を行う認証処理部１１１と、プロトコル処理などの
主たるデータ通信処理を行う通信制御部１１２と、ネッ
トワークとのインタフェースとなるネットワークインタ
フェース部１１３と、ネットワークへアクセスを行うユ
ーザ装置とのインタフェースとなるユーザインタフェー
ス部１１４とを有する。アクセスサーバ１０３、他アク
セスサーバ１０４も同様であるので、その説明は省略す
る。また、認証サーバ１０１は、ユーザ情報や設定情報
の保持を行い装置全体の管理的処理を行う管理部１２０
と、アクセスユーザの認証関連処理を行う認証処理部１
２１と、プロトコル処理などの主たるデータ通信処理を
行う通信制御部１２２と、ネットワークとのインタフェ
ースとなるネットワークインタフェース部１２３とを有
する。アクセスサーバと認証サーバとの間で行われる認
証処理の観点からは、アクセスサーバはクライアント
側、認証サーバはサーバ側として動作するため、本明細
書では、アクセスサーバを認証クライアントと称する場
合もある。

【０００６】このように構成されたネットワーク装置に
ついて、その従来動作を図２、図４を用いて説明する。
図２は、図１のネットワーク装置の動作を示すシーケン
ス図であり、ユーザ装置１０５、１０６とアクセスサー
バ１０２、アクセスサーバ１０３と認証サーバ１０１と
の間の接続時の動作シーケンスを示す。図４は、従来の
ネットワーク装置の動作を説明するための動作説明図で
あり、アクセスサーバ１０２、１０３および認証サーバ
１０１の事前設定の様子を表わすものである。なお、図
２は、後述の発明の実施の形態においても使用されるも
のである。

【０００７】図４に示すように、アクセスサーバ１０２
と認証サーバ１０１に対し、認証処理に使用する共有鍵
（シークレットキー）として両者で同じ物を設定する。
ここで、アクセスサーバ１０２のネットワーク上の識別
子であるＩＰアドレスをＩＰアドレスＡとすると、認証
サーバ１０１では、ＩＰアドレスＡにはシークレットキ
ーａというように対応づけておく。アクセスサーバ１０
３についても同様に、シークレットキーｂを設定し、Ｉ
ＰアドレスＢとシークレットキーｂを対応づけておく。
また、アクセスサーバ１０２とアクセスサーバ１０３と
から構成されるアクセスサーバグループ１００に属さな
い独立した他アクセスサーバ１０４もネットワーク１０
７上に存在し、認証サーバ１０１との間でＩＰアドレス
Ｃに対応する共有シークレットキーｃを設定している。
このように事前設定がなされている状況において、ユー
ザがユーザ装置１０５、１０６を介してネットワーク１
０７に接続を行う際の動作シーケンスを図２を用いて説
明する。

【０００８】図２において、ユーザ装置１０５がネット
ワーク１０７へのダイヤルアップ接続を行うには、まず
アクセスサーバとの間で電話呼を確立する（Ｓ０１）。
アクセスサーバがグループ構成である場合、電話呼がア
クセスサーバ１０２へ接続されるか、またはアクセスサ
ーバ１０３へ接続されるかはユーザ装置１０５の知ると
ころではなく呼毎に変化するが、この場合はアクセスサ
ーバ１０２へ接続されたとする。その後、ユーザ装置１
０５・アクセスサーバ１０２間でデータリンクの確立を
行う（Ｓ０２）。続いて、電話線を通じてＩＰネットワ
ークへアクセスする場合に一般的に用いられるＰＰＰ
（ポイントツーポイントプロトコル）リンクの接続を行
う。ＰＰＰリンクの接続は、ＰＰＰ自体のパラメータ設
定などを行うＬＣＰ（ＬｉｎｋＣｏｎｔｒｏｌＰｒ
ｏｔｏｃｏｌ）ネゴシエーションフェーズと、ユーザ認
証を行う認証フェーズと、ネットワーク層プロトコルに
関する設定を行うＮＣＰ（ＮｅｔｗｏｒｋＣｏｎｔｒ
ｏｌＰｒｏｔｏｃｏｌ）ネゴシエーションフェーズと
の大きく３つのフェーズに分けられる。

【０００９】まずＬＣＰネゴシエーションを行う（Ｓ０
３）。両者間でＬＣＰネゴシエーションが終了すると認
証フェーズへ移行する。ＰＰＰ認証方式がＰＡＰ（Ｐａ
−ｓｓｗｏｒｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒ
ｏｔｏｃｏｌ）の場合はユーザ装置１０５側から自らの
ＩＤ、パスワード情報を含めた認証要求をアクセスサー
バ１０２へ送出する（Ｓ０４）。アクセスサーバ１０２
の認証処理部１１１は、管理部１１０に保持されたシー
クレットキーａを用いて、ユーザより通知されたＩＤ、
パスワードを暗号化し、認証サーバ１０１（ＲＡＤＩＵ
Ｓサーバ）へのアクセスリクエストとして送出する（Ｓ
０５）。アクセスリクエストを受信した認証サーバ１０
１は、アクセスリクエストの送信元のＩＰアドレスをチ
ェックし、そのアドレスと事前設定されたシークレット
キーの対応から、受信したアクセスリクエストの暗号解
読のために使用するシークレットキーが認証サーバの管
理部１２０に登録されているシークレットキーａ、ｂ、
ｃのなかでシークレットキーａであると決定する。そし
て、シークレットキーａを用いて暗号解読したユーザＩ
Ｄ、パスワードが管理部１２０に登録されていれば認証
成功、登録されていなければ認証失敗として、アクセス
リプライメッセージにより、アクセスリクエストメッセ
ージの送信元であるアクセスサーバ１０２へ通知する
（Ｓ０６）。

【００１０】アクセスサーバ１０２は認証サーバ１０１
より通知された認証結果を認証応答としてユーザ装置１
０５に通知する（Ｓ０７）。ユーザ装置１０５は、認証
が成功であれば次のＮＣＰネゴシエーションフェーズへ
と移行するが（Ｓ０８）、認証が失敗であれば通信終了
となる。

【００１１】別のユーザ装置１０６がネットワーク１０
７への接続を行う場合、ステップ１（Ｓ０１）と同様に
電話呼の接続を行うが、今回はグループ構成のアクセス
サーバ群のスレーブサーバ（アクセスサーバ）１０３と
接続されたとする（Ｓ１１）。その後、ステップ２（Ｓ
０２）、ステップ３（Ｓ０３）と同様に、データリンク
の確立（Ｓ１２）、ＬＣＰネゴシエーションを行う（Ｓ
１３）。次に、ＰＰＰ認証フェーズにおいて、ユーザ装
置１０６は自らのＩＤ、パスワード情報を含めた認証要
求をアクセスサーバ１０３へ送出する（Ｓ１４）。アク
セスサーバ１０３は、管理部１１０に保持されたシーク
レットキーｂを用いて、ユーザ装置１０６より通知され
たＩＤ、パスワードを暗号化し、認証サーバ１０１（Ｒ
ＡＤＩＵＳサーバ）へのアクセスリクエストとして送出
する（Ｓ１５）。アクセスリクエストを受信した認証サ
ーバ１０１は、アクセスリクエストの送信元のＩＰアド
レスをチェックし、そのアドレスとシークレットキーの
対応から、受信したアクセスリクエストの暗号解読のた
めに使用するシークレットキーが認証サーバの管理部１
２０に登録されているシークレットキーａ、ｂ、ｃのな
かでシークレットキーｂであると決定する。そして、シ
ークレットキーｂをもちいて暗号解読したユーザＩＤ、
パスワードが管理部１２０に登録されていれば認証成
功、登録されていなければ認証失敗としてアクセスリプ
ライメッセージによりアクセスリクエストメッセージの
送信元であるアクセスサーバ１０３へ通知する（Ｓ１
６）。アクセスサーバ１０３は認証サーバ１０１より通
知された認証結果を認証応答としてユーザ装置１０６に
通知する（Ｓ１７）。ユーザ装置１０６は、認証が成功
であれば次のＮＣＰネゴシエーションフェーズへと移行
するが（Ｓ１８）、認証が失敗であれば通信終了とな
る。

【００１２】なお、ユーザ装置１０５、１０６の動作一
般について説明すると、認証要求はユーザ指示に基づい
て行うが、その後の一連の動作は通常自動的に行われ
る。

【００１３】

【発明が解決しようとする課題】しかしながら、従来の
ネットワーク装置では、アクセスサーバ１０２とアクセ
スサーバ１０３から成るグループ構成のアクセスサーバ
群において、従来のＲＡＤＩＵＳ方式のような共有鍵方
式による外部認証サーバ１０１での認証処理を行う場
合、ユーザは全てのアクセスサーバ・認証サーバ間にお
いて共有シークレットキーを事前に設定する必要があ
り、その手続きが煩雑であるだけでなく、アクセスサー
バ側はグループ構成を意識することができるが、認証サ
ーバ側は個々のアクセスサーバをそれぞれ独立した別々
のアクセスサーバとしか意識することができず、両者で
意識のずれを生み出してしまうという問題点を有してい
た。

【００１４】このネットワーク装置、アクセスサーバお
よび認証サーバは、より手続きが簡略で一元的に管理を
行うことが可能であることが求められる。

【００１５】本発明は、アクセスサーバ・認証サーバ間
の事前設定がより簡略で一元的に管理を行うことができ
るネットワーク装置、および、認証サーバとの間の事前
設定がより簡略で一元的に管理を行うことができるアク
セスサーバ、ならびに、アクセスサーバとの間の事前設
定がより簡略で一元的に管理を行うことができる認証サ
ーバを提供することを目的とする。

【００１６】

【課題を解決するための手段】この課題を解決するため
に本発明のネットワーク装置は、ネットワーク外部の電
話機等のユーザ装置をネットワークへ接続するためのア
クセスサーバの複数台からなるグループ構成のアクセス
サーバグループと、ネットワークの登録ユーザ情報を保
持し、アクセスサーバとの間で共有鍵方式を用いた認証
処理を行う認証サーバとから構成されるネットワーク装
置であって、アクセスサーバグループを構成するアクセ
スサーバは、認証サーバとの間で認証処理を行う際に、
グループ識別のための認証クライアント識別情報を認証
サーバへ通知し、認証サーバは、アクセスサーバから通
知された認証クライアント識別情報を基に使用する共有
鍵を決定して認証判定を行う構成を備えている。

【００１７】これにより、アクセスサーバ・認証サーバ
間の事前設定がより簡略で一元的に管理を行うことがで
きるネットワーク装置が得られる。

【００１８】この課題を解決するために本発明のアクセ
スサーバは、ネットワークへアクセスを行う電話機等の
ユーザ装置とのインタフェースとなるユーザインタフェ
ース部と、ネットワークとのインタフェースとなるネッ
トワークインタフェース部と、プロトコル処理などの主
たるデータ通信処理を行う通信制御部と、アクセスユー
ザの認証関連処理を行う認証処理部と、認証クライアン
ト識別情報等の設定情報の保持を行い装置全体の管理的
処理を行う管理部とを有するアクセスサーバであって、
認証処理部は、ユーザ装置の認証処理をネットワーク上
の認証サーバで行う際に、管理部に登録された認証クラ
イアント識別情報をネットワーク上の認証サーバへ通知
する構成を備えている。

【００１９】これにより、認証サーバとの間の事前設定
がより簡略で一元的に管理を行うことができるアクセス
サーバが得られる。

【００２０】この課題を解決するために本発明の認証サ
ーバは、ネットワークとのインタフェースとなるネット
ワークインタフェース部と、プロトコル処理などの主た
るデータ通信処理を行う通信制御部と、認証クライアン
トからの認証要求に対する認証処理を行う認証処理部
と、ユーザ情報や設定情報の保持を行い、装置全体の管
理的処理を行う管理部とを有する認証サーバであって、
認証処理部は、認証クライアントより通知された認証ク
ライアント識別情報を基に使用する共有鍵を決定し、管
理部に保持されたユーザ情報を参照して認証判定を行う
構成を備えている。

【００２１】これにより、アクセスサーバとの間の事前
設定がより簡略で一元的に管理を行うことができる認証
サーバが得られる。

【００２２】

【発明の実施の形態】本発明の請求項１に記載のネット
ワークシステムは、ネットワーク外部の電話機等のユー
ザ装置をネットワークへ接続するためのアクセスサーバ
の複数台からなるグループ構成のアクセスサーバグルー
プと、ネットワークの登録ユーザ情報を保持し、アクセ
スサーバとの間で共有鍵方式を用いた認証処理を行う認
証サーバとから構成されるネットワーク装置であって、
アクセスサーバグループを構成するアクセスサーバは、
認証サーバとの間で認証処理を行う際に、グループ識別
のための認証クライアント識別情報を認証サーバへ通知
し、認証サーバは、アクセスサーバから通知された認証
クライアント識別情報を基に使用する共有鍵を決定して
認証判定を行うこととしたものである。

【００２３】この構成により、アクセスサーバ・認証サ
ーバ間の事前設定をグループ毎に行うことができるの
で、上記事前設定をより簡略に一元的意識のもとで行う
ことができるという作用を有する。

【００２４】請求項２に記載のアクセスサーバは、ネッ
トワークへアクセスを行う電話機等のユーザ装置とのイ
ンタフェースとなるユーザインタフェース部と、ネット
ワークとのインタフェースとなるネットワークインタフ
ェース部と、プロトコル処理などの主たるデータ通信処
理を行う通信制御部と、アクセスユーザの認証関連処理
を行う認証処理部と、認証クライアント識別情報等の設
定情報の保持を行い装置全体の管理的処理を行う管理部
とを有するアクセスサーバであって、認証処理部は、ユ
ーザ装置の認証処理をネットワーク上の認証サーバで行
う際に、管理部に登録された認証クライアント識別情報
をネットワーク上の認証サーバへ通知することとしたも
のである。

【００２５】この構成により、アクセスサーバの管理部
に登録された認証クライアント識別情報をグループ毎の
ものとすれば、認証サーバは、使用する共有鍵をグルー
プ毎の認証クライアント識別情報から決定することがで
きるので、アクセスサーバ・認証サーバ間の事前設定を
より簡略に一元的意識のもとで行うことができるという
作用を有する。

【００２６】請求項３に記載の認証サーバは、ネットワ
ークとのインタフェースとなるネットワークインタフェ
ース部と、プロトコル処理などの主たるデータ通信処理
を行う通信制御部と、認証クライアントからの認証要求
に対する認証処理を行う認証処理部と、ユーザ情報や設
定情報の保持を行い、装置全体の管理的処理を行う管理
部とを有する認証サーバであって、認証処理部は、認証
クライアントより通知された認証クライアント識別情報
を基に使用する共有鍵を決定し、管理部に保持されたユ
ーザ情報を参照して認証判定を行うこととしたものであ
る。

【００２７】この構成により、認証クライアント識別情
報をグループ毎のものとすれば、認証サーバは、使用す
る共有鍵をグループ毎の認証クライアント識別情報から
決定することができるので、アクセスサーバ・認証サー
バ間の事前設定をより簡略に一元的意識のもとで行うこ
とができるという作用を有する。

【００２８】以下、本発明の実施の形態について、図１
〜図３を用いて説明する。

【００２９】（実施の形態１）本発明の実施の形態１に
よるネットワーク装置の構成は図１と同様の構成であ
り、その説明は省略する。このように構成されたネット
ワーク装置において、ユーザ装置１０５、ユーザ装置１
０６からの接続要求を受けたマスタスレーブ構成のアク
セスサーバグループ（アクセスサーバ１０２と１０３か
ら成るグループ）１００が認証サーバ１０１との間で行
う認証処理の動作シーケンス例および認証処理を行うた
めの事前設定例を図２、図３を用いて説明する。図３
は、本実施の形態によるネットワーク装置の動作を説明
するための動作説明図であり、アクセスサーバ１０２、
１０３及び認証サーバ１０１の事前設定の様子を表わ
す。

【００３０】このように、本実施の形態によるネットワ
ーク装置の動作説明のために図１、図２を用いるが、本
実施の形態が従来と異なるところは、図２のシーケンス
動作における動作内容である。

【００３１】図３に示すように、アクセスサーバ１０２
には、グループ１００内の各アクセスサーバが認証サー
バ１０１との間で認証処理に使用する共有鍵（以下、
「シークレットキー」と称す）として認証サーバ１０１
と同じ物を設定する。すなわちシークレットＡを設定す
る。アクセスサーバ１０３には手動でシークレットキー
は設定せず、アクセスサーバ１０３のアクセスサーバ１
０２への登録時に、アクセスサーバ１０２のＩＰアドレ
スなど他の基本情報と同時にアクセスサーバ１０２から
アクセスサーバ１０３に通知される。この状態で、アク
セスサーバ１０２、アクセスサーバ１０３、認証サーバ
１０１は同じシークレットキーＡを共有していることと
なる。また、認証サーバ１０１においては、アクセスサ
ーバ１０２のＩＰアドレスＡを認証クライアント識別情
報として、シークレットキーＡと対応づけておく。さら
に、アクセスサーバ１０２とアクセスサーバ１０３とか
ら成るアクセスサーバグループ１００に属さない独立し
た他アクセスサーバ１０４もネットワーク１０７上に存
在し、認証サーバ１０１との間で共有シークレットキー
Ｃを設定しているとする。このように事前設定がなされ
ている状況において、ユーザ装置がネットワーク１０７
に接続を行う際の動作シーケンスを図２を用いて説明す
る。

【００３２】図２において、ユーザ装置１０５がネット
ワーク１００へのダイヤルアップ接続を行うには、まず
アクセスサーバとの間で電話呼を確立する（Ｓ０１）。
アクセスサーバがグループ構成である場合、電話呼がア
クセスサーバ１０２へ接続されるか、またはアクセスサ
ーバ１０３へ接続されるかはユーザ装置１０５の知ると
ころではなく呼毎に変化するが、この場合はアクセスサ
ーバ１０２（マスタアクセスサーバ）へ接続されたとす
る。その後、ユーザ装置１０５・アクセスサーバ１０２
間でデータリンクの確立を行う（Ｓ０２）。続いて、Ｐ
ＰＰリンクの接続を行う。まずＬＣＰネゴシエーション
を行う（Ｓ０３）。両者間でＬＣＰネゴシエーションが
終了すると認証フェーズへ移行する。ＰＰＰ認証方式が
ＰＡＰの場合はユーザ装置１０５側から自らのＩＤ、パ
スワード情報を含めた認証要求をアクセスサーバ１０２
へ送出する（Ｓ０４）。あるいはＰＰＰ認証方式がＣＨ
ＡＰ（ＣｈａｌｌｅｎｇｅＡｕｔｈｅｎｔｉｃａｔｉ
ｏｎＰｒｏｔｏｃｏｌ）の場合は先にアクセスサーバ
１０２側よりチャレンジメッセージをユーザ装置１０５
に送出し、それに対してユーザ装置１０５は、自らのＩ
Ｄ、パスワード情報を含めたレスポンスメッセージをア
クセスサーバ１０２に返信するという順序でＩＤ、パス
ワードをアクセスサーバ１０２へ通知する。アクセスサ
ーバ１０２は、事前設定により管理部１１０に保持され
たシークレットキーＡを用いて、ユーザ装置１０５より
通知されたＩＤ，パスワードを暗号化し、認証サーバ１
０１（ＲＡＤＩＵＳサーバ）へのアクセスリクエストと
して送出する（Ｓ０５）。このときアクセスリクエスト
には、認証サーバ１０１にとっての認証クライアント識
別情報となるＩＰアドレスＡの情報も含めておく。アク
セスリクエストを受信した認証サーバ１０１は、従来は
アクセスリクエストの送信元ＩＰアドレスから使用する
シークレットキーを決定していたが、本実施の形態では
アクセスリクエストにデータとして含まれるＩＰアドレ
ス情報を取り出し、そのアドレス情報から使用するシー
クレットキーを決定する。例ではアドレスとシークレッ
トキーの対応から、受信したアクセスリクエストの暗号
解読のために使用するシークレットキーが認証サーバの
管理部１２０に登録されているシークレットキーＡ，Ｃ
のなかでシークレットキーＡであると決定する。そし
て、シークレットキーＡを用いて暗号解読したユーザＩ
Ｄ、パスワードが管理部１２０に登録されていれば認証
成功、登録されていなければ認証失敗としてアクセスリ
プライメッセージによりアクセスリクエストメッセージ
の送信元であるアクセスサーバ１０２へ通知する（Ｓ０
６）。アクセスサーバ１０２は、認証サーバ１０１より
通知された認証結果を認証応答としてユーザ装置１０５
に通知する（Ｓ０７）。ユーザ装置１０５は、認証が成
功であれば次のＮＣＰネゴシエーションフェーズへと移
行するが（Ｓ０８）、認証が失敗であれば通信終了とな
る。

【００３３】別のユーザ装置１０６がネットワーク１０
０への接続を行う場合（Ｓ０１）、同様に電話呼の接続
を行うが、今回はグループ構成のアクセスサーバ群のア
クセスサーバ１０３と接続されたとする（Ｓ１１）。そ
の後、ステップ２（Ｓ０２）、ステップ３（Ｓ０３）と
同様に、データリンクの確立（Ｓ１２）、ＬＣＰネゴシ
エーションを行う（Ｓ１３）。次に、ＰＰＰ認証フェー
ズにおいて、ユーザ装置１０６は、自らのＩＤ、パスワ
ード情報を含めた認証要求をアクセスサーバ１０３へ送
出する（Ｓ１４）。アクセスサーバ１０３は、管理部１
１０に保持されたシークレットキーＡ（アクセスサーバ
１０２より通知されたもの）を用いて、ユーザ装置１０
６より通知されたＩＤ、パスワードを暗号化し、認証サ
ーバ１０１（ＲＡＤＩＵＳサーバ）へのアクセスリクエ
ストとして送出する（Ｓ１５）。このときアクセスリク
エストには、認証サーバ１０１にとっての認証クライア
ント識別情報となるマスタサーバＩＰアドレスＡの情報
も含めておく。アクセスリクエストを受信した認証サー
バ１０１は、アクセスリクエストに含まれるＩＰアドレ
ス情報を取り出し、そのアドレスとシークレットキーの
対応から、受信したアクセスリクエストの暗号解読のた
めに使用するシークレットキーが認証サーバの管理部１
２０に登録されているシークレットキーＡ、Ｃのなかで
シークレットキーＡであると決定する。そして、シーク
レットキーＡを用いて暗号解読したユーザＩＤ、パスワ
ードが管理部１２０に登録されていれば認証成功、登録
されていなければ認証失敗としてアクセスリプライメッ
セージによりアクセスリクエストの送信元であるアクセ
スサーバ１０３へ通知する（Ｓ１６）。アクセスサーバ
１０３は、認証サーバ１０１より通知された認証結果を
認証応答としてユーザ装置１０６に通知する（Ｓ１
７）。ユーザ装置１０６は、認証が成功であれば次のＮ
ＣＰネゴシエーションフェーズへと移行するが（Ｓ１
８）、認証が失敗であれば通信終了となる。

【００３４】以上のように本実施の形態では、アクセス
サーバグループ１００を構成するアクセスサーバ１０
５、１０６は、認証サーバ１０１との間で認証処理を行
う際に、グループ識別のための認証クライアント識別情
報を認証サーバ１０１へ通知し、認証サーバ１０１は、
アクセスサーバ１０５、１０６から通知された認証クラ
イアント識別情報を基に使用する共有鍵を決定して認証
判定を行うようにしたことにより、アクセスサーバ・認
証サーバ間の事前設定をグループ毎に行うことができる
ので、上記事前設定をより簡略に一元的意識のもとで行
うことができる。

【００３５】（実施の形態２）本発明の実施の形態２に
よるネットワーク装置を構成するアクセスサーバの構成
は図１と同様のものなので、その説明は省略する。ま
た、本実施の形態によるネットワーク装置の事前設定は
図３の通りである。

【００３６】このようなアクセスサーバを中心とする動
作を図１〜図３を用いて説明する。

【００３７】図２において、ユーザ装置１０５からの発
呼を受けたアクセスサーバ１０２はまず電話呼を確立す
る（Ｓ０１）。その後ユーザとの間でデータリンクの確
立を行う（Ｓ０２）。続いて、ＰＰＰリンクの接続を行
う。まずＬＣＰネゴシエーションを行う（Ｓ０３）。両
者間でＬＣＰネゴシエーションが終了すると認証フェー
ズへ移行する。認証方式がＰＡＰの場合は、ユーザ装置
１０５側から、自らのＩＤ、パスワード情報を含めた認
証要求がアクセスサーバ１０２へ送出されてくる（Ｓ０
４）。アクセスサーバ１０２の認証処理部１１１は、管
理部１１０に保持されたシークレットキーＡを用いて、
ユーザ装置１０５より通知されたＩＤ、パスワードを暗
号化し、通信制御部１１２、ネットワークインタフェー
ス部１１３を通じて、認証サーバ１０１（ＲＡＤＩＵＳ
サーバ）へのアクセスリクエストとして送出する（Ｓ０
５）。このとき、本実施の形態では、使用するシークレ
ットキーを認証サーバ１０１側において認証クライアン
ト識別情報から決定することを可能とするため、認証サ
ーバ１０１にとっての認証クライアント識別情報となる
アクセスサーバ１０２のＩＰアドレスＡの情報をアクセ
スリクエストに含めておく。その後、認証サーバ１０１
において認証処理がなされ、その結果がアクセスリプラ
イメッセージによりアクセスサーバ１０２へ通知される
（Ｓ０６）。アクセスサーバ１０２の認証処理部１１１
は、認証サーバ１０１より通知された認証結果を認証応
答メッセージとして通信制御部１１２、ユーザインタフ
ェース部１１４を通じてユーザ装置１０５に通知する
（Ｓ０７）。ユーザ装置１０５は、認証が成功であれば
次のＮＣＰネゴシエーションフェーズへと移行するが
（Ｓ０８）、認証が失敗であれば通信終了となる。

【００３８】別のユーザ装置１０６がネットワーク１０
０への接続を行う場合（Ｓ０１）、同様に電話呼の接続
を行うが、今回はグループ構成のアクセスサーバ群のア
クセスサーバ１０３が呼を受付けたとする（Ｓ１１）。
その後、ステップ２（Ｓ０２）、ステップ３（Ｓ０３）
と同様に、データリンクの確立（Ｓ１２）、ＬＣＰネゴ
シエーションを行う（Ｓ１３）。次に、ＰＰＰ認証フェ
ーズにおいてユーザ装置１０６は、自らのＩＤ、パスワ
ード情報を含めた認証要求をアクセスサーバ１０３へ送
出する（Ｓ１４）。アクセスサーバ１０３の管理部１１
０にはアクセスサーバ１０２より通知されたシークレッ
トキーＡ（アクセスサーバグループ１００共通のシーク
レットキー）やアクセスサーバ１０２のＩＰアドレスＡ
が保持されており、認証処理部１１１はこのシークレッ
トキーＡを用いて、ユーザより通知されたＩＤ、パスワ
ードを暗号化し、通信制御部１１２、ネットワークイン
タフェース部１１３を通じて認証サーバ１０１（ＲＡＤ
ＩＵＳサーバ）へのアクセスリクエストとして送出する
（Ｓ１５）。このとき、本実施の形態では、認証サーバ
１０１にとっての認証クライアント識別情報となるマス
タサーバＩＰアドレスＡの情報をアクセスリクエストに
含めておく。その後、認証サーバ１０１において認証処
理がなされ、その結果がアクセスリプライメッセージに
よりアクセスサーバ１０３へ通知される（Ｓ１６）。ア
クセスサーバ１０３は、認証サーバ１０１より通知され
た認証結果を認証応答メッセージとしてユーザ装置１０
６に通知する（Ｓ１７）。ユーザ装置１０６は、認証が
成功であれば次のＮＣＰネゴシエーションフェーズへと
移行するが（Ｓ１８）、認証が失敗であれば通信終了と
なる。

【００３９】以上のように本実施の形態では、アクセス
サーバグループ１００のアクセスサーバ１０２、１０３
が認証サーバ１０１との間で認証処理を行う際、アクセ
スサーバ１０２と同一の共有鍵を用いて暗号化を行い、
認証クライアント識別情報としてマスタアクセスサーバ
ＩＰアドレスを認証サーバ１０１へ通知するようにした
ことにより、認証サーバ１０１側は通知されたＩＰアド
レスを基に使用する共有鍵を決定し暗号解読を行って認
証判定を行うことが可能になり、アクセスサーバ１０２
に対してのみ共有鍵の設定を行えば、他のアクセスサー
バグループ１００中の各アクセスサーバに対して個別に
共有鍵を設定する必要がなくなるので、アクセスサーバ
・認証サーバ間の事前設定をより簡略に一元的意識のも
とで行うことができる。

【００４０】（実施の形態３）本発明の実施の形態３に
よるネットワーク装置を構成する認証サーバの構成は図
１と同様のものなので、その説明は省略する。また、本
実施の形態によるネットワーク装置の事前設定は図３の
通りである。

【００４１】このような認証サーバを中心とする動作を
図１〜図３を用いて説明する。

【００４２】図１の構成において、アクセスサーバ１０
２、１０３は、認証サーバ１０１を用いた外部認証とい
う観点からは認証クライアントとして動作する。

【００４３】図２において、Ｓ０１〜Ｓ０４は実施の形
態１と同じであり、その説明は概略なものとする。

【００４４】まずユーザ装置１０５とアクセスサーバ１
０２との間で電話呼が確立され（Ｓ０１）、続いてデー
タリンクの確立が行われる（Ｓ０２）。続いて、ＰＰＰ
リンクの接続が行われる。まず両者間でＬＣＰネゴシエ
ーションが行われる（Ｓ０３）。両者間でＬＣＰネゴシ
エーションが終了すると認証フェーズへ移行する。認証
方式がＰＡＰの場合はユーザ装置１０５側から自らのＩ
Ｄ、パスワード情報を含めた認証要求がアクセスサーバ
１０２へ送出される（Ｓ０４）。アクセスサーバ１０２
は、その管理部１１０に保持されたシークレットキーＡ
を用いて、ユーザ装置１０５より通知されたＩＤ、パス
ワードを暗号化し、認証サーバ１０１（ＲＡＤＩＵＳサ
ーバ）へのアクセスリクエストとして送出する（Ｓ０
５）。このアクセスリクエストには、使用するシークレ
ットキーを認証サーバ１０１側において認証クライアン
ト識別情報から決定することを可能とするため、認証サ
ーバ１０１にとっての認証クライアント識別情報となる
ＩＰアドレスＡの情報が含まれている。ネットワークイ
ンタフェース部１２３、通信制御部１２２を通じてアク
セスリクエストを受け取った認証サーバ１０１の認証処
理部１２１は、認証クライアント識別情報であるＩＰア
ドレス情報を読み出し、その情報が管理部１２０に登録
されているＩＰアドレスＡであることから、暗号の解読
に用いるシークレットキーが同じく管理部１２０に登録
されているシークレットキーＡであると決定する。その
後、シークレットキーＡを用いてアクセスリクエスト中
のユーザＩＤ、パスワード情報を解読し、管理部１２０
に登録されたユーザ情報を参照して、このユーザ装置１
０５のネットワーク１０７へのアクセスを許可するかど
うかを決定する。その結果はアクセスリプライメッセー
ジとして再び、通信制御部１２２、ネットワークインタ
フェース部１２３を通じてアクセスリクエストメッセー
ジの送信元であるアクセスサーバ１０２へ通知される
（Ｓ０６）。アクセスサーバ１０２は、認証サーバ１０
１より通知された認証結果を認証応答メッセージとして
ユーザ装置１０５に通知する（Ｓ０７）。ユーザ装置１
０５は、認証が成功であれば次のＮＣＰネゴシエーショ
ンフェーズへと移行するが（Ｓ０８）、認証が失敗であ
れば通信終了となる。

【００４５】別のユーザ装置１０６がネットワーク１０
０への接続を行う場合（Ｓ０１）、同様に電話呼の接続
を行うが、今回はグループ構成のアクセスサーバ群のア
クセスサーバ１０３が呼を受け付けたとする（Ｓ１
１）。その後、ステップ２（Ｓ０２）、ステップ３（Ｓ
０３）と同様に、データリンクの確立（Ｓ１２）、ＬＣ
Ｐネゴシエーションを行う（Ｓ１３）。次に、ＰＰＰ認
証フェーズにおいてユーザ装置１０６は、自らのＩＤ、
パスワード情報を含めた認証要求をアクセスサーバ１０
３へ送出する（Ｓ１４）。アクセスサーバ１０３の管理
部１１０にはアクセスサーバ１０２より通知されたシー
クレットキーＡやアクセスサーバ１０２のＩＰアドレス
Ａが保持されており、このシークレットキーＡを用い
て、ユーザ装置１０６より通知されたＩＤ、パスワード
を暗号化し、認証サーバ１０１（ＲＡＤＩＵＳサーバ）
へのアクセスリクエストとして送出する（Ｓ１５）。こ
のアクセスリクエストには、認証サーバ１０１にとって
の認証クライアント識別情報となるマスタサーバＩＰア
ドレスＡの情報が含まれている。アクセスリクエストを
受け取った認証サーバ１０１の認証処理部１２１は、従
来であればアクセスリクエストの送信元アドレスＢ（Ｉ
ＰＢ）から使用するシークレットキーを決定するが、本
実施の形態では、アクセスリクエストデータから認証ク
ライアント識別情報であるＩＰアドレス情報を読み出
し、その情報が管理部１２０に登録されているＩＰアド
レスＡであることから、暗号の解読に用いるシークレッ
トキーが同じく管理部１２０に登録されているシークレ
ットキーＡであると決定する。その後、シークレットキ
ーＡを用いてアクセスリクエスト中のユーザＩＤ、パス
ワード情報を解読し、管理部１２０に登録されたユーザ
情報を参照して、このユーザ装置１０６のネットワーク
１０７へのアクセスを許可するかどうかを決定する。そ
の結果はアクセスリプライメッセージとして、アクセス
リクエストメッセージの送信元であるアクセスサーバ１
０３へ通知される（Ｓ１６）。アクセスサーバ１０３
は、認証サーバ１０１より通知された認証結果を認証応
答メッセージとしてユーザ装置１０６に通知する（Ｓ１
７）。ユーザ装置１０６は、認証が成功であれば次のＮ
ＣＰネゴシエーションフェーズへと移行するが（Ｓ１
８）、認証が失敗であれば通信終了となる。

【００４６】以上のように本実施の形態では、アクセス
サーバグループ１００中のアクセスサーバ１０２、１０
３が認証サーバ１０１との間で認証処理を行う際、認証
サーバ１０１は認証クライアント識別のための情報の一
例としてマスタアクセスサーバのＩＰアドレスの通知を
受け、その情報を元に暗号解読に使用する共有鍵を決定
して暗号解読を行うようにしたことにより、複数のアク
セスサーバをひとつのグループとみなすことが可能とな
り、マスタアクセスサーバに対してのみ共有鍵の設定を
行えば、他のアクセスサーバグループ中の各アクセスサ
ーバに対して個別に共有鍵を設定する必要がなく、アク
セスサーバ・認証サーバ間の事前設定がより簡略で、一
元的に管理を行うことが可能であるネットワーク装置が
得られる。

【００４７】

【発明の効果】以上のように本発明の請求項１に記載の
ネットワーク装置によれば、ネットワーク外部の電話機
等のユーザ装置をネットワークへ接続するためのアクセ
スサーバの複数台からなるグループ構成のアクセスサー
バグループと、ネットワークの登録ユーザ情報を保持
し、アクセスサーバとの間で共有鍵方式を用いた認証処
理を行う認証サーバとから構成されるネットワーク装置
であって、アクセスサーバグループを構成するアクセス
サーバは、認証サーバとの間で認証処理を行う際に、グ
ループ識別のための認証クライアント識別情報を認証サ
ーバへ通知し、認証サーバは、アクセスサーバから通知
された認証クライアント識別情報を基に使用する共有鍵
を決定して認証判定を行うことにより、複数のアクセス
サーバをひとつのグループとみなして認証処理またはそ
のための事前設定を行うことができるので、アクセスサ
ーバ・認証サーバ間の事前設定がより簡略で、一元的に
管理を行うことができるという有利な効果が得られる。

【００４８】請求項２に記載のアクセスサーバによれ
ば、ネットワークへアクセスを行う電話機等のユーザ装
置とのインタフェースとなるユーザインタフェース部
と、ネットワークとのインタフェースとなるネットワー
クインタフェース部と、プロトコル処理などの主たるデ
ータ通信処理を行う通信制御部と、アクセスユーザの認
証関連処理を行う認証処理部と、認証クライアント識別
情報等の設定情報の保持を行い装置全体の管理的処理を
行う管理部とを有するアクセスサーバであって、認証処
理部は、ユーザ装置の認証処理をネットワーク上の認証
サーバで行う際に、管理部に登録された認証クライアン
ト識別情報をネットワーク上の認証サーバへ通知するこ
とにより、認証サーバがどの共有鍵を用いて暗号解読を
行うかをアクセスサーバのグループ単位で決定すること
ができるので、アクセスサーバ・認証サーバ間の事前設
定がより簡略で、一元的に管理を行うことができるとい
う有利な効果が得られる。

【００４９】請求項３に記載の認証サーバによれば、ネ
ットワークとのインタフェースとなるネットワークイン
タフェース部と、プロトコル処理などの主たるデータ通
信処理を行う通信制御部と、認証クライアントからの認
証要求に対する認証処理を行う認証処理部と、ユーザ情
報や設定情報の保持を行い、装置全体の管理的処理を行
う管理部とを有する認証サーバであって、認証処理部
は、認証クライアントより通知された認証クライアント
識別情報を基に使用する共有鍵を決定し、管理部に保持
されたユーザ情報を参照して認証判定を行うことによ
り、複数のアクセスサーバをひとつのグループとみなし
て認証処理を行うことができるので、アクセスサーバ・
認証サーバ間の事前設定がより簡略で、一元的に管理を
行うことができるという有利な効果が得られる。

【図面の簡単な説明】

【図１】一般的なネットワーク装置を示すブロック図

【図２】図１のネットワーク装置の動作を示すシーケン
ス図

【図３】本発明の実施の形態１、２、３によるネットワ
ーク装置の動作を説明するための動作説明図

【図４】従来のネットワーク装置の動作を説明するため
の動作説明図

【符号の説明】

１００アクセスサーバグループ１０１認証サーバ１０２、１０３アクセスサーバ１０４他アクセスサーバ１０５、１０６ユーザ装置１０７ネットワーク１１０、１２０管理部１１１、１２１認証処理部１１２、１２２通信制御部１１３、１２３ネットワークインタフェース部１１４ユーザインタフェース部

Claims

【特許請求の範囲】

【請求項１】ネットワーク外部の電話機等のユーザ装置
をネットワークへ接続するためのアクセスサーバの複数
台からなるグループ構成のアクセスサーバグループと、
ネットワークの登録ユーザ情報を保持し、アクセスサー
バとの間で共有鍵方式を用いた認証処理を行う認証サー
バとから構成されるネットワーク装置であって、前記ア
クセスサーバグループを構成するアクセスサーバは、前
記認証サーバとの間で認証処理を行う際に、グループ識
別のための認証クライアント識別情報を認証サーバへ通
知し、認証サーバは、前記アクセスサーバから通知され
た前記認証クライアント識別情報を基に使用する共有鍵
を決定して認証判定を行うことを特徴とするネットワー
ク装置。
【請求項２】ネットワークへアクセスを行う電話機等の
ユーザ装置とのインタフェースとなるユーザインタフェ
ース部と、ネットワークとのインタフェースとなるネッ
トワークインタフェース部と、プロトコル処理などの主
たるデータ通信処理を行う通信制御部と、アクセスユー
ザの認証関連処理を行う認証処理部と、認証クライアン
ト識別情報等の設定情報の保持を行い装置全体の管理的
処理を行う管理部とを有するアクセスサーバであって、
前記認証処理部は、ユーザ装置の認証処理をネットワー
ク上の認証サーバで行う際に、前記管理部に登録された
認証クライアント識別情報を前記ネットワーク上の認証
サーバへ通知することを特徴とするアクセスサーバ。
【請求項３】ネットワークとのインタフェースとなるネ
ットワークインタフェース部と、プロトコル処理などの
主たるデータ通信処理を行う通信制御部と、認証クライ
アントからの認証要求に対する認証処理を行う認証処理
部と、ユーザ情報や設定情報の保持を行い、装置全体の
管理的処理を行う管理部とを有する認証サーバであっ
て、前記認証処理部は、認証クライアントより通知され
た認証クライアント識別情報を基に使用する共有鍵を決
定し、前記管理部に保持されたユーザ情報を参照して認
証判定を行うことを特徴とする認証サーバ。