JP2004048234A - ユーザ認証システムおよびユーザ認証方法 - Google Patents
ユーザ認証システムおよびユーザ認証方法 Download PDFInfo
- Publication number
- JP2004048234A JP2004048234A JP2002200920A JP2002200920A JP2004048234A JP 2004048234 A JP2004048234 A JP 2004048234A JP 2002200920 A JP2002200920 A JP 2002200920A JP 2002200920 A JP2002200920 A JP 2002200920A JP 2004048234 A JP2004048234 A JP 2004048234A
- Authority
- JP
- Japan
- Prior art keywords
- address
- authentication
- packet signal
- communication terminal
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/2854—Wide area networks, e.g. public data networks
- H04L12/2856—Access arrangements, e.g. Internet access
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/2854—Wide area networks, e.g. public data networks
- H04L12/2856—Access arrangements, e.g. Internet access
- H04L12/2869—Operational details of access network equipments
- H04L12/2878—Access multiplexer, e.g. DSLAM
- H04L12/2887—Access multiplexer, e.g. DSLAM characterised by the offered subscriber services
- H04L12/289—Single service
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/35—Network arrangements, protocols or services for addressing or naming involving non-standard use of addresses for implementing network functionalities, e.g. coding subscription information within the address or functional addressing, i.e. assigning an address to a function
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
【課題】通信端末がローカルエリアネットワーク（ＬＡＮ）を介して自在に通信ネットや所望のＬＡＮに数の制約なく接続することのできるユーザ認証システムおよびユーザ認証方法を得る。
【解決手段】加入者端末２０１はＬＡＮ２０２およびネットワークサービスプロバイダ２０３内のＩＰサブネット振分スイッチ２０９を介してインターネットサービスプロバイダ２０８に接続される構成となっている。物理ポート切替スイッチ２０４は未認証のパケット信号を入力すると臨時のＩＰアドレスを加入者端末２０１に与え、これを用いて認証処理を行わせる。認証が成功したら正規のＩＰアドレスが付与され、これを使用したパケット信号はＩＰサブネット振分スイッチ２０９によって目的のネットワークに振り分けられる。
【選択図】 図１
【解決手段】加入者端末２０１はＬＡＮ２０２およびネットワークサービスプロバイダ２０３内のＩＰサブネット振分スイッチ２０９を介してインターネットサービスプロバイダ２０８に接続される構成となっている。物理ポート切替スイッチ２０４は未認証のパケット信号を入力すると臨時のＩＰアドレスを加入者端末２０１に与え、これを用いて認証処理を行わせる。認証が成功したら正規のＩＰアドレスが付与され、これを使用したパケット信号はＩＰサブネット振分スイッチ２０９によって目的のネットワークに振り分けられる。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、たとえば複数のローカルエリアネットワークのいずれかを選択的に使用するユーザや、ＡＤＳＬ通信技術を使用してパケット信号を特定のインターネットサービスプロバイダを経由してインターネットに送出するユーザが、これらのネットワークに認証を行って接続するのに好適なユーザ認証システムおよびユーザ認証方法に関する。
【０００２】
【従来の技術】
通信設備の整備拡張に伴って、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）等のｘＤＳＬ（ｘ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）通信技術を使用して常時接続の環境でインターネットにアクセスすることが多くなっている。
【０００３】
図６は、ＡＤＳＬを使用してネットワークサービスプロバイダに接続する従来の通信システムの概要を表わしたものである。この通信システム１００で、パーソナルコンピュータからなる通信端末１０１はモデム（変復調装置）１０２を介してブロードバンドアクセスサーバ（ＢＡＳ：Ｂｒｏａｄｂａｎｄ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ）１０３と接続されている。ブロードバンドアクセスサーバ１０３は、ＡＤＳＬ等のｘＤＳＬあるいはＦＴＴＨ（Ｆｉｂｅｒ Ｔｏ Ｔｈｅ Ｈｏｍｅ）等の高速なインターネット常時接続サービスを提供するために、図示しない通信局舎内に設置されるサーバをいう。ブロードバンドアクセスサーバ１０３は、通常の場合、複数のインターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）１０４１、１０４２、……を介して図示しないインターネット網に接続されている。
【０００４】
このような通信システム１００では、ポイントツーポイントプロトコル・オーバ・イーサネット（登録商標）（ＰＰＰｏＥ：Ｐｏｉｎｔ Ｔｏ Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（登録商標））セッション１０５を使用して、通信端末１０１からブロードバンドアクセスサーバ１０３までポイントツーポイントデータを転送するようにしている。ここでこのポイントツーポイント・オーバ・イーサネット（登録商標）プロトコルは２点間を接続してデータ通信を行うためのプロトコルである。このプロトコルを使用することでＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を始めとする多くのプロトコルを中継することができる。ここでは、イーサネット（登録商標）等のローカルエリアネットワークで、ＩＰアドレスを組み込んだパケット信号をカプセル化してブロードバンドアクセスサーバ１０３に転送するためにポイントツーポイントプロトコルセッション１０５が使用される。たとえば特開平１０−１７３６９１号公報にこの種の技術が開示されている。
【０００５】
ブロードバンドアクセスサーバ１０３はローカルエリアネットワーク上を通信端末１０１から送られてきた信号をデカプセル化してパケット信号を取り出し、通信端末１０１が契約したインターネットサービスプロバイダ１０４Ｘにこれを転送する。インターネットサービスプロバイダ１０４Ｘは通信端末１０１に対してパスワードを要求する等の手法で本人確認としての認証を行い、これが成功したら通信端末１０１から送られてきたパケット信号をそのＩＰアドレスの示す相手先に送出することになる。
【０００６】
このように、この図６に示した通信システム１００では、通信端末１０１がインターネットサービスプロバイダ１０４Ｘに直接接続されていれば本来必要としないポイントツーポイントプロトコルを使用してパケット信号をカプセル化して転送している。このためブロードバンドアクセスサーバ１０３はポイントツーポイントプロトコルによるヘッダの取り付けや取り外しといったパケット信号のカプセル化やデカプセル化の作業を必要とする。現在、インターネットへの常時接続の環境が急速に整ってきており、これに伴って加入者端末１０１がその契約した特定のインターネットサービスプロバイダ１０４Ｘを通して通信するパケット信号の量が増加している。また、常時接続に適したアプリケーションソフトウェアの登場やウェブサイトの増加によって、今後、ますます加入者端末１０１とインターネットサービスプロバイダ１０４Ｘの間の通信量が増加することは確実である。このような状況の下では、ポイントツーポイントプロトコルを使用したパケット信号のカプセル化あるいはカプセルを取り除くデカプセル化の作業を撤廃あるいは軽減する必要がある。
【０００７】
図７は、以上説明したポイントツーポイントプロトコルを使用しないで済む従来提案された通信システムの概要を表わしたものである。この図７で図６と同一部分には同一の符号を付しており、これらの説明を適宜省略する。この通信システム１２０では、通信端末１０１がＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）スイッチ１２１に接続されている。ＶＬＡＮスイッチ１２１は、バーチャル・ローカルエリアネットワーク１２２１、１２２２、……によって複数のインターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）１０４１、１０４２、……を介して図示しないインターネット網に接続されている。したがって、通信端末１０１がインターネットサービスプロバイダ１０４Ｘとインターネットの接続について契約を行っているものとすると、ＶＬＡＮスイッチ１２１は通信端末１０１がログインすると認証を行い、認証が成功すれば契約先のインターネットサービスプロバイダ１０４Ｘと接続する。なお、ＶＬＡＮについては特開平０９−１３０４２１号公報等に開示がある。
【０００８】
【発明が解決しようとする課題】
この図７に示した通信システム１２０では、図６で説明したようなポイントツーポイントプロトコルを使用する必要がない。したがって、プロトコルスタック数が多すぎるためにブロードバンド化という観点から、既存の設備としてのブロードバンドアクセスサーバ１０３やルータがボトルネックとなるという問題から開放される。また、認証が終わった後にはバーチャルなローカルエリアネットワークとしてのバーチャル・ローカルエリアネットワーク１２２１、１２２２、……に接続されるので、スループットの点で大幅な改善が期待される。
【０００９】
しかしながら、この通信システム１２０ではバーチャル・ローカルエリアネットワークを採用している。このため、ＶＬＡＮスイッチ１２１が分岐できるバーチャル・ローカルエリアネットワークの数は、バーチャル・ローカルエリアネットワークを転送されるフレームのＶＬＡＮフィールドが１２ビット構成となっていることから、２の１２乗個、すなわち４０９６個が最大となっている。ローカルエリアネットワークはたとえば１つの企業内でも部署や物理的な位置に応じて多数組まれる場合があり、これらを集合して更に大きなネットワークを構成していったとき、この制限は通信システムの構築に大きな制約となる。
【００１０】
そこで本発明の目的は、通信端末がローカルエリアネットワークを介して自在に通信ネットワークや所望のローカルエリアネットワークに数の制約なく接続することのできるユーザ認証システムおよびユーザ認証方法を提供することにある。
【００１１】
【課題を解決するための手段】
請求項１記載の発明では、（イ）通信端末と、（ロ）この通信端末から認証を要する所定の通信ネットワークに対して送り出されたパケット信号をその手前で入力するパケット信号入力手段と、このパケット信号入力手段が入力したパケット信号が前記した所定の通信ネットワークに認証を受けたものであるか否かを判別する認証有無判別手段と、この認証有無判別手段が未認証と判別したときこれを出力する未認証ポートと、認証有無判別手段が認証済と判別したときこれを出力する認証済ポートとを備えた物理ポート切替手段と、（ハ）この物理ポート切替手段の未認証ポートからパケット信号が出力されたとき、そのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与える一時使用アドレス提供手段と、（ニ）この一時使用アドレス提供手段の提供した一時使用ＩＰアドレスと通信端末の対応関係を記憶する一時使用ＩＰアドレス通信端末対応記憶手段と、（ホ）一時使用アドレス提供手段によって一時使用ＩＰアドレスの提供を受けた通信端末が前記した所定の通信ネットワークに対して認証を受けるためにログインしそのパケット信号が未認証ポートから出力されたときこれを入力してログイン画面を表示するログイン画面表示手段と、（ヘ）このログイン画面表示手段を使用して通信端末からログインが行われたときこれに対して認証を行うか否かを判別する認証可否判別手段と、（ト）この認証可否判別手段が認証を行うと判別したとき一時使用ＩＰアドレス通信端末対応記憶手段に記憶された通信端末に対応させる形でこれに対して一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するためのネットワークアドレスを与えるネットワークアドレス付与手段とをユーザ認証システムに具備させる。
【００１２】
すなわち請求項１記載の発明では、通信端末が送出したパケット信号を、認証を要する所定の通信ネットワークの手前に配置された物理ポート切替手段が入力するようになっている。そして、これが認証済であるかどうかを判別し、認証済でない場合にはそのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与えるようにしている。一時使用ＩＰアドレスを受け取った通信端末は、これを用いてパケット信号を送出し物理ポート切替手段の未認証ポートを経てログイン画面表示手段に入力され、ログイン画面の表示が行われる。通信端末はログイン画面で認証のためのログインを行い、認証可否判別手段が認証を行うか否かを判別する。認証が成功した場合には一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するためのネットワークアドレスが与えられる。したがって、それ以後は物理ポート切替手段の認証済ポートを介して所望の通信ネットワークとの通信が可能になる。ネットワークアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ネットワークアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００１３】
請求項２記載の発明では、請求項１記載のユーザ認証システムは、ネットワークアドレス付与手段によってネットワークアドレスを付与された通信端末がパケット信号を送出したときこれを認証済ポートを経て受信し、これを該当する通信ネットワークに振り分けるネットワーク振り分け手段を具備することを特徴としている。
【００１４】
すなわち請求項２記載の発明では、ネットワーク振り分け手段がネットワークアドレスによって通信端末が送出したパケット信号の振り分けを行うことにしている。
【００１５】
請求項３記載の発明では、（イ）通信端末と、（ロ）この通信端末から認証を要する所定の通信ネットワークに対して送り出されたパケット信号をその手前で入力するパケット信号入力手段と、このパケット信号入力手段が入力したパケット信号が前記した所定の通信ネットワークに認証を受けたものであるか否かを判別する認証有無判別手段と、この認証有無判別手段が未認証と判別したときこれを出力する未認証ポートと、認証有無判別手段が認証済と判別したときこれを出力する認証済ポートとを備えた物理ポート切替手段と、（ハ）この物理ポート切替手段の未認証ポートからパケット信号が出力されたとき、そのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与える一時使用アドレス提供手段と、（ニ）この一時使用アドレス提供手段の提供した一時使用ＩＰアドレスと通信端末の対応関係を記憶する一時使用ＩＰアドレス通信端末対応記憶手段と、（ホ）一時使用アドレス提供手段によって一時使用ＩＰアドレスの提供を受けた通信端末が前記した所定の通信ネットワークに対して認証を受けるためにログインしそのパケット信号が未認証ポートから出力されたときこれを入力してログイン画面を表示するログイン画面表示手段と、（ヘ）このログイン画面表示手段を使用して通信端末からログインが行われたときこれに対して認証を行うか否かを判別する認証可否判別手段と、（ト）この認証可否判別手段が認証を行うと判別したとき一時使用ＩＰアドレス通信端末対応記憶手段に記憶された通信端末に対応させる形でこれに対して一時使用ＩＰアドレスに代えて正規のＩＰアドレスを与える正規ＩＰアドレス付与手段とをユーザ認証システムに具備させる。
【００１６】
すなわち請求項３記載の発明では、通信端末が送出したパケット信号を、認証を要する所定の通信ネットワークの手前に配置された物理ポート切替手段が入力するようになっている。そして、これが認証済であるかどうかを判別し、認証済でない場合にはそのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与えるようにしている。一時使用ＩＰアドレスを受け取った通信端末は、これを用いてパケット信号を送出し物理ポート切替手段の未認証ポートを経てログイン画面表示手段に入力され、ログイン画面の表示が行われる。通信端末はログイン画面で認証のためのログインを行い、認証可否判別手段が認証を行うか否かを判別する。認証が成功した場合には一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するための正規のＩＰアドレスが与えられる。したがって、それ以後は物理ポート切替手段の認証済ポートを介して所望の通信ネットワークとの通信が可能になる。ＩＰアドレスによって特定される宛先の数は無制限に近い数まで可能であり、前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ＩＰアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００１７】
請求項４記載の発明では、請求項３記載のユーザ認証システムは、正規ＩＰアドレス付与手段によってＩＰアドレスを付与された通信端末がパケット信号を送出したときこれを認証済ポートを経て受信し、これを該当するＩＰネットワークに振り分けるＩＰサブネット振り分け手段を具備することを特徴としている。
【００１８】
すなわち請求項４記載の発明では、ＩＰサブネット振り分け手段がＩＰパケットのサブネットアドレスによって通信端末が送出したパケット信号の振り分けを行うことにしている。
【００１９】
請求項５記載の発明では、請求項３記載のユーザ認証システムで、認証有無判別手段は認証を受けているユーザを登録したユーザ登録部を備え、このユーザ登録部に登録されているか否かによってユーザごとに認証が行われているか否かを判別することを特徴としている。
【００２０】
すなわち請求項５記載の発明では、認証前のパケット信号について認証を行う必要があるので認証有無判別手段でユーザ登録部を用いてその判別を行うようにしている。ユーザ登録部は認証されているユーザを登録しておりこれを検索することで認証の有無を判別することができる。ユーザの特定は、たとえばＭＡＣアドレスを用いて行うことができる。
【００２１】
請求項６記載の発明では、請求項４記載のユーザ認証システムで、ＩＰサブネット振り分け手段は、ＩＰアドレスと通信端末のＭＡＣアドレスのいずれかを用いて通信端末から送られてきたパケット信号の振り分けを行うことを特徴としている。
【００２２】
すなわち請求項６記載の発明では、ＩＰサブネット振り分け手段の振り分けの態様を規定している。ＩＰアドレスを振り分け先の通信ネットワークにそれぞれ対応付けて用意しておけば、ＩＰアドレスを調べるだけでどの通信ネットワークに振り分けるかを判別することができる。これ以外に通信端末のＭＡＣアドレスを用いて振り分けを行うことも可能である。このように振り分けについて２種類の情報を使い分けることで、パケット信号の振り分けを、個々のユーザに与えるＩＰアドレスによってあるいはハードウェア自体によって異なった観点から行うことができる。
【００２３】
請求項７記載の発明では、（イ）通信端末と、（ロ）この通信端末からアクセスがあったときこれに対してインターネットでアクセス可能なアドレスを与えるアドレス付与手段と、（ハ）このアドレス付与手段によって付与されたアドレスを使用して通信端末が認証を要求したとき、インターネットアクセス時に表示されるウェブ表示画面を認証用画面として認証のための入力操作および表示を行わせる認証時ウェブアクセス手段とをユーザ認証システムに具備させる。
【００２４】
すなわち請求項７記載の発明では、アドレス付与手段が通信端末からアクセスがあったときこれに対してインターネットでアクセス可能なアドレスを、とりあえず与えることにしている。そして、この通信端末が与えられたアドレスを用いて認証を要求してきたときには、認証時ウェブアクセス手段がインターネットアクセス時に表示されるウェブ表示画面を認証用画面として認証のための入力操作および表示を行わせることにしている。このようにウェブ表示画面を用いて認証の手続きを行うので、通信端末に特別な認証用のアプリケーションソフトウェアをインストールすることなく、通常備わっているブラウザを使用して認証のための操作が可能である。
【００２５】
請求項８記載の発明では、請求項４記載のユーザ認証システムで、ＩＰサブネット振り分け手段は、ＩＰアドレスとＭＡＣアドレスの双方が一致した宛先の通信ネットワークにパケット信号を振り分けることを特徴としている。
【００２６】
すなわち請求項８記載の発明では、請求項４記載のユーザ認証システムで、ＩＰサブネット振り分け手段は、ＩＰアドレスとＭＡＣアドレスの双方が一致した場合を扱っている。このように両者が一致する場合で振り分け先を決めることでセキュリティを高めることが可能になる。
【００２７】
請求項９記載の発明では、（イ）インターネットへのアクセスを行うに際してローカルエリアネットワークに接続されたネットワークサービスプロバイダに対して所定の通信端末からパケット信号を送出しインターネットへのアクセス要求を行うインターネットアクセス要求ステップと、（ロ）このインターネットアクセス要求ステップでインターネットへのアクセス要求があったときこの通信端末に対してログイン用の一時使用ＩＰアドレスを返送する一時使用ＩＰアドレス返送ステップと、（ハ）この一時使用ＩＰアドレス返送ステップで返送されてきた一時使用ＩＰアドレスを使用して通信端末から特定のインターネットサービスプロバイダに対する認証要求のパケット信号を送出する認証要求ステップと、（ニ）この認証要求ステップで送られてきたパケット信号に記された情報を基にして前記した特定のインターネットサービスプロバイダの認証が得られるか否かをネットワークサービスプロバイダ側で判別する認証可否判別ステップと、（ホ）この認証可否判別ステップで認証が得られると判別したときその通信端末に対して前記した特定のインターネットサービスプロバイダ用に割り当てられたＩＰアドレスを返送する正規ＩＰアドレス返送ステップと、（ヘ）この正規ＩＰアドレス返送ステップで返送されてきた正規ＩＰアドレスを使用して通信端末からインターネットアクセス用のパケット信号を送出するインターネットアクセス用パケット信号送出ステップと、（ト）このインターネットアクセス用パケット信号送出ステップで送出されたパケット信号を受信しその正規ＩＰアドレスを見てこれを前記した特定のインターネットサービスプロバイダに振り分けるパケット信号振り分けステップとをユーザ認証方法に具備させる。
【００２８】
すなわち請求項９記載の発明では、インターネットへのアクセスを行うのに際してローカルエリアネットワークに接続されたネットワークサービスプロバイダに対して所定の通信端末からパケット信号を送出し、インターネットへのアクセス要求を行い、ネットワークサービスプロバイダ側からログイン用の一時使用ＩＰアドレスを返送してもらう。そして、この一時使用ＩＰアドレスを使用して通信端末から特定のインターネットサービスプロバイダに対する認証要求のパケット信号を送出して（認証要求ステップ）、このパケット信号に記された情報を基にして前記した特定のインターネットサービスプロバイダの認証が得られるか否かをネットワークサービスプロバイダ側で判別させる（認証可否判別ステップ）。この認証可否判別ステップで認証が得られると判別されたときには、その通信端末に対してネットワークサービスプロバイダ側から前記した特定のインターネットサービスプロバイダ用に割り当てられたＩＰアドレスが正規アドレスとして返送される（正規ＩＰアドレス返送ステップ）。この場合には、この正規ＩＰアドレスを使用して通信端末からインターネットアクセス用のパケット信号がネットワークサービスプロバイダ側に送出されると（インターネットアクセス用パケット信号送出ステップ）、ネットワークサービスプロバイダ側ではこのパケット信号の正規ＩＰアドレスを見てこれを前記した特定のインターネットサービスプロバイダ側に振り分けることができる（パケット信号振り分けステップ）。したがって、それ以後は所望の通信ネットワークとの通信が可能になる。ＩＰアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ＩＰアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００２９】
【発明の実施の形態】
【００３０】
【実施例】
以下実施例につき本発明を詳細に説明する。
【００３１】
＜第１の実施例＞
【００３２】
図１は本発明の第１の実施例におけるユーザ認証システムを表わしたものである。このユーザ認証システム２００で、加入者端末２０１はイーサネット（登録商標）（Ｅｔｈｅｒｎｅｔ（登録商標））等のネットワーク（以下、ローカルエリアネットワークと称する。）２０２と接続されている。このローカルエリアネットワーク２０２は、ネットワークサービスプロバイダ（ＮＳＰ：Ｎｅｔｗｏｒｋ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）２０３内に位置する物理ポートの切り替えを行う物理ポート切替スイッチ２０４の入力側と接続されている。物理ポート切替スイッチ２０４は認証済の物理ポートに対応する認証ポート２０５と、認証が行われていない物理ポートに対応する未認証ポート２０６の２つのポートの切り替えを行うスイッチである。認証ポート２０５は、ユーザの認証が行われた後のＩＰパケットを転送する認証ＩＰネットワーク２０７に接続されている。
【００３３】
認証ＩＰネットワーク２０７は、本実施例の場合、ＩＰパケットをサブネットによって第１のインターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ ＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ）２０８１あるいは第２のインターネットサービスプロバイダ２０８２のうちの一方の経路に振り分けて送信するＩＰサブネット振分スイッチ２０９に接続されている。ＩＰアドレスはネットワークアドレスとホストアドレスの２つに分けられるが、そのうち、ネットワークアドレスをさらに分割したものがサブネットワークアドレスである。ＩＰサブネット振分スイッチ２０９は、ＩＰアドレスにおけるサブネットワークアドレスを見て、第１のターゲットＩＰネットワーク２１４１のネットワークアドレスと一致していれば、加入者端末２０１から送出されたフレーム信号を、第１のターゲットＩＰネットワーク２１４１にフォワード（転送）する。これに対して、第２のターゲットＩＰネットワーク２１４２のネットワークアドレスと一致していれば、このフレーム信号を第２のターゲットＩＰネットワーク２１４２にフォワードすることになる。
【００３４】
また、認証ＩＰネットワーク２０７は、加入者端末２０１の認証を行うための認証ＩＰネットワークＤＨＣＰサーバ２１１の一端と接続されている。ここで、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）とは、各ユーザに、起動時に動的にＩＰアドレスを割り当て、終了時にこのＩＰアドレスを回収するためのプロトコルである。認証ＩＰネットワークＤＨＣＰサーバ２１１は、物理ポート切替スイッチ２０４から送られてきた送信元のＭＡＣアドレスを第１および第２のＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバ２１３１、２１３２のうちの該当するもの、すなわち認証の対象となるインターネットサービスプロバイダ２０８を担当する者に渡してＩＰアドレスを受け取り、これを加入者端末２０１に割り当てる役割をもっている。第１および第２のＲＡＤＩＵＳサーバ２１３１、２１３２のうち該当するものは、クライアントからのダイアルアップ接続認証要求を受けて、認証の可否をクライアントに返すようになっている。認証ＩＰネットワークＤＨＣＰサーバ２１１の他端は、このユーザ認証システム２００でユーザの認証のための管理に使用される管理用ＩＰネットワーク２１２と接続されている。
【００３５】
一方、物理ポート切替スイッチ２０４の未認証ポート２０６側には、未認証のパケット信号を入力して認証のための処理を行うためのデフォルトＩＰネットワーク２１７が接続されている。このデフォルトＩＰネットワーク２１７には、未認証のパケット信号をログインさせるためのログイン用ウェブサーバ２１５とデフォルトＩＰネットワーク用ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ２１６のそれぞれ一端が接続されている。ここで、ログイン用ウェブサーバ２１５は、特別なソフトウェアをインストール必要なく、一般にパーソナルコンピュータの購入時等に付属している使用料が不要あるいは安価なウェブページ閲覧用のソフトウェアを使用してログインさせるためのものである。デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６は、再利用可能なＩＰアドレスの動的割り当てを行うためのサーバであり、具体的にはログイン用ウェブサーバ２１５でログインを行わせるために臨時にＩＰアドレスを与えるサーバである。これらログイン用ウェブサーバ２１５およびデフォルトＤＨＣＰサーバ２１６は管理用ＩＰネットワーク２１２とも接続されている。
【００３６】
管理用ＩＰネットワーク２１２は、前記した認証ＩＰネットワークＤＨＣＰサーバ２１１と接続している他に、第１および第２のＲＡＤＩＵＳサーバ２１３１、２１３２とも接続している。これらＲＡＤＩＵＳサーバ２１３１、２１３２は、加入者端末２０１からのダイアルアップ接続認証要求を受けて、認証の可否をクライアントに返す役割を持っている。また、第１のＲＡＤＩＵＳサーバ２１３１は、加入者端末２０１が第１のターゲットＩＰネットワーク２１４１および第１のインターネットサービスプロバイダ２０８１を経てインターネット網に接続するものであれば、このような振分けを可能とするＩＰアドレスをこれに与えるようになっている。これに対して、加入者端末２０１が第２のターゲットＩＰネットワーク２１４２および第２のインターネットサービスプロバイダ２０８２を経てインターネット網に接続するものである場合には、このような振分けを可能とするＩＰアドレスをこれに与えることになる。
【００３７】
ところで本実施例のユーザ認証システム２００で物理ポート切替スイッチ２０４はローカルエリアネットワーク２０２を経てネットワークサービスプロバイダ２０３に加入者端末２０１側から送られてきたパケット信号を受信する。そしてそのパケット信号の送信元のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを調べ、これに応じてポートの切替制御を行うようになっている。
【００３８】
図２は、この物理ポート切替スイッチの制御の様子を表わしたものである。図１に示した物理ポート切替スイッチ２０４は、図示しないがＣＰＵ（中央処理装置）、制御プログラムを格納する記憶媒体、出力ポートを切り替える切替手段ならびにＭＡＣアドレスを登録するＭＡＣアドレス登録テーブルを備えている。物理ポート切替スイッチ２０４はパケット信号が到来すると（ステップＳ３０１：Ｙ）、そのＭＡＣアドレスを判別する（ステップＳ３０２）。ＭＡＣアドレスは、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）ごとに割り当てられる番号であり、６オクテットで表わされている。そしてこのＭＡＣアドレスと同一のアドレスがＭＡＣアドレス登録テーブルに登録されているか検索する（ステップＳ３０３）。
【００３９】
本実施例のＭＡＣアドレス登録テーブルには、ユーザ認証を受けたＭＡＣアドレスを登録するようにしている。ただし、一度登録を行ったＭＡＣアドレスであってもログアウトした時点でその登録内容は消去されるようになっている。物理ポート切替スイッチ２０４内の前記したＣＰＵは受信したパケット信号のＭＡＣアドレスがＭＡＣアドレス登録テーブルに登録されているものであれば（ステップＳ３０４：Ｙ）、物理ポートを認証ポート２０５側に切り替えて（ステップＳ３０５）、そのパケット信号を図１に示す認証ＩＰネットワーク２０７へ送り出す。
【００４０】
これに対して、受信したパケット信号のＭＡＣアドレスがＭＡＣアドレス登録テーブルに登録されていない場合には（ステップＳ３０４：Ｎ）、物理ポートを未認証ポート２０６側に切り替えて（ステップＳ３０６）、そのパケット信号を図１に示すデフォルトＩＰネットワーク２１７へ送り出すことになる。
【００４１】
今、図１に示した加入者端末２０１のユーザが第１のインターネットサービスプロバイダ２０８１とインターネット網の接続について契約を行っているものとする。このユーザが、インターネットにアクセスするために所定の時点で加入者端末２０１のブラウザを立ち上げて第１のインターネットサービスプロバイダ２０８１に対する認証要求のための処理を開始したものとする。これにより加入者端末２０１から送出されたパケット信号は、第１のインターネットサービスプロバイダ２０８１の手前に配置されたネットワークサービスプロバイダ２０３の物理ポート切替スイッチ２０４に入力される。物理ポート切替スイッチ２０４はこの認証がまだ行われていない時点で加入者端末２０１のＭＡＣアドレスをＭＡＣアドレス登録テーブルに登録していない。そこで、ユーザ認証を行うためのユーザのログインを可能とする仮のＩＰアドレスを与える手続きに入ることになる。
【００４２】
図３は、本実施例のユーザ認証システムの原理的な構成を示したものである。ユーザ認証システム２００の主要部を構成するネットワークサービスプロバイダ２０３は、ローカルエリアネットワーク２０２を通じてパケット信号４０１を物理ポート切替スイッチ２０４に入力する。このとき、まだ所定のインターネットサービスプロバイダ２０８との間でインターネットの接続を行うための認証が行われていないので、物理ポート切替スイッチ２０４はユーザ認証手段４０２と接続し、ユーザ認証の手続きを開始する。この手続きでユーザ認証が成功すると、ネットワークサービスプロバイダ２０３はその加入者端末２０１にＩＰアドレスを与える。このときＩＰサブネットアドレス払出手段４０３はネットワークサービスプロバイダ２０３側が予め貯蔵しておいたＩＰアドレスの中から１つをその加入者端末２０１用に払い出す。これについては後に具体的に説明する。
【００４３】
この後、加入者端末２０１が送出したパケット信号には、ネットワークサービスプロバイダ２０３側でその払い出されたＩＰアドレスが使用される。これにより、物理ポート切替スイッチ２０４から認証ＩＰネットワーク２０７へ送り出されたパケット信号は、後に詳細を説明するＩＰアドレスＭＡＣアドレスフィルタ手段４０４に入力されてフィルタリングされ、振分手段４０５でＩＰサブネットワークを見て特定のインターネットサービスプロバイダ２０８あるいは図示しない通信ネットワークに振り分けられることになる。ユーザの振分けとしてのフィルタリングはＩＰアドレスによって行うこともＭＡＣアドレスによって行うことも可能である。両者の組み合わせによってもよい。
【００４４】
さて、以上の概略の説明の後に、再びユーザ認証手段４０２の処理の箇所から具体的な説明を行う。ユーザがインターネットに接続するために加入者端末２０１を操作すると、加入者端末２０１からＩＰアドレスを取得するためにＤＨＣＰリクエストパケットが送出される。
【００４５】
図４は、ＤＨＣＰリクエストパケットが送出された時点以降の本実施例のユーザ認証システムにおける加入者端末側の処理の概要を表わしたものである。図１と共にこれを説明する。加入者端末２０１はＤＨＣＰリクエストパケットをブロードキャストフレームで送信する（ステップＳ５０１）。物理ポート切替スイッチ２０４はこれを受信すると未認証ポート２０６に接続されたデフォルトＩＰネットワーク２１７にフォワードする。
【００４６】
デフォルトＩＰネットワーク２１７に収容されているデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６は、加入者端末２０１から送られてきたＤＨＣＰリクエストパケットを受け取る。そして、受け取ったことを示す“ａｃｋ”信号を返送する。したがって、加入者端末２０１はこの“ａｃｋ”信号を受信するまで（ステップＳ５０２：Ｎ）、ＤＨＣＰリクエストパケットの送出を繰り返すことになる。
【００４７】
デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６はこの“ａｃｋ”信号を返送するが、このとき加入者端末２０１に対して予め用意した未使用のＩＰアドレスを付加して送信する。この結果として、加入者端末２０１はＤＨＣＰリクエストパケットの受信を意味する“ａｃｋ”信号を受信したら（ステップＳ５０２：Ｙ）、次に臨時に割り当てられたこのＩＰアドレスを取得することになる（ステップＳ５０３）。この臨時のＩＰアドレスを割り当てたとき、デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６は、加入者端末２０１のＭＡＣアドレスと、このＭＡＣアドレスに割り当てたＩＰアドレスをその図示しない記憶領域に記憶しておく。また、このとき割り当てるＩＰアドレスは有限な時間でリースされるものであるため、リース時間ｔを設定する。一例としては、リース時間ｔを５秒程度に設定する。もちろん、リース時間ｔは１時間といったように、これより長い時間であってもよい。
【００４８】
このようにしてＩＰアドレスが一時的に割り当てられると、加入者端末２０１はそのウェブ（ＷＥＢ）ブラウザを用いてログイン用ウェブサーバ２１５にアクセスする。ログイン用ウェブサーバ２１５は、“ｈｔｔｐ”（ｈｙｐｅｒｔｅｘｔ ｔｒａｎｓｆｅｒ ｐｒｏｔｏｃｏｌ）手順でユーザＩＤとパワーを入力するために必要とされる画面情報を加入者端末２０１に送信する。ここで“ｈｔｔｐ”手順とは、ＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）転送のためのハイパーテキスト転送プロトコルとして規定された要求と返答を組み合わせた手順をいう。画面情報の送信によって、加入者端末２０１は認証のためのユーザＩＤとパワーを入力する画面を表示することができる。
【００４９】
この画面の表示状態で加入者は加入者端末２０１を操作して、ユーザＩＤとパスワードを“ｈｔｔｐ”手順で入力する。ログイン用ウェブサーバ２１５は“ｈｔｔｐ”手順でアクセスしてきた加入者端末２０１のＩＰアドレスを管理用ＩＰネットワーク２１２を経由してデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６に渡す。デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６は加入者端末２０１のＩＰアドレスを受け取ると、そのＩＰアドレスに対応する加入者端末２０１のＭＡＣアドレスをログイン用ウェブサーバ２１５に通知する。ログイン用ウェブサーバ２１５は加入者端末２０１のＭＡＣアドレスの通知を受けると、これと先に受け取ったユーザＩＤおよびパスワードを、管理用ＩＰネットワーク２１２を経由して第１および第２のＲＡＤＩＵＳサーバ２１３１、２１３２のうち該当するものへ渡して認証の依頼を行う。
【００５０】
今、加入者端末２０１がインターネットの接続について契約を行っている第１のインターネットサービスプロバイダ２０８１に関しては、第１のＲＡＤＩＵＳサーバ２１３１がこれを担当することになる。なお、第２のＲＡＤＩＵＳサーバ２１３２は第１のＲＡＤＩＵＳサーバ２１３１と基本的に同一の構成となっているため、その動作についての説明は省略する。
【００５１】
この例の場合、第１のＲＡＤＩＵＳサーバ２１３１は、ログイン用ウェブサーバ２１５から受け取ったユーザＩＤとパスワードを認証する。そしてその結果をログイン用ウェブサーバ２１５に通知する。このとき、第１のＲＡＤＩＵＳサーバ２１３１はユーザＩＤとＭＡＣアドレスとを図示しない記憶領域に記憶しておく。
【００５２】
ログイン用ウェブサーバ２１５は、第１のＲＡＤＩＵＳサーバ２１３１から認証結果を受け取る。パスワードが一致しない等の理由で認証が失敗であれば、ログイン用ウェブサーバ２１５はその旨を示す画面を“ｈｔｔｐ”手順で加入者端末２０１に送り込む。認証が成功であれば、成功であることを示す画面を同様に“ｈｔｔｐ”手順で加入者端末２０１に送り込む。また、認証が成功の場合、ログイン用ウェブサーバ２１５は物理ポート切替スイッチ２０４に対して、今後この加入者端末２０１のＭＡＣアドレスを有するパケット信号を受け取った場合にはこれを認証ポート２０５と接続された認証ＩＰネットワーク２０７にフォワードするように指示を送出する。
【００５３】
この指示を受けた物理ポート切替スイッチ２０４は、前記したＭＡＣアドレス登録テーブルにそのＭＡＣアドレスを登録する。そして、加入者端末２０１がログアウトしない限り、同一のＭＡＣアドレスを持ったパケット信号が到来したとき、認証ポート２０５に接続された認証ＩＰネットワーク２０７にフォワードするように動作することになる。
【００５４】
このようにして加入者端末２０１がこれ以後、ローカルエリアネットワーク２０２に送出するパケット信号は物理ポート切替スイッチ２０４を介して認証ＩＰネットワーク２０７にフォワードされるが、ＩＰアドレスのリース時間は有限である。そこで、加入者端末２０１はリース時間ｔの２分の１の時間が経過すると（ステップＳ５０４）、リースの延長を求めるＤＨＣＰリクエストパケットを送出する（ステップＳ５０５）。このＤＨＣＰリクエストパケットはユニキャストフレームとして送信される。臨時のＩＰアドレスが発行されたこの時点ではデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６を宛先として送出される。
【００５５】
このＤＨＣＰリクエストに対して、該当するデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６から“ａｃｋ”信号が返却されてきたときには（ステップＳ５０６：Ｙ）、そのデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６はその時点でリース時間ｔを再延長している。したがって、加入者端末２０１はリース時間ｔの２分の１の時間が経過するたびに同じ動作を繰り返すようにすることでリース時間ｔを何回でも延長することができる。このようなリース時間ｔが設けられている主旨は、加入者端末２０１がログアウトをしても同一のＩＰアドレスを保持する事態を避けて、予め用意したＩＰアドレスが枯渇することを防止するためである。
【００５６】
ところで、加入者端末２０１がステップＳ５０５でリースの延長を求めるＤＨＣＰリクエストパケットを送出したにも係わらず該当するデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６が何らかの原因で“ａｃｋ”信号を返送しない場合がある（ステップＳ５０６：Ｎ）。このような場合には、リース時間ｔの８分の７の時間が経過する前までは（ステップＳ５０７：Ｙ）、ステップＳ５０５に戻ってユニキャストフレームでＤＨＣＰリクエストパケットを繰り返し送出する。
【００５７】
このようにＤＨＣＰリクエストパケットを繰り返し送出しても、該当するデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６から“ａｃｋ”信号が送り返されない場合には（ステップＳ５０７：Ｎ）、リース時間ｔの８分の７の時間に到達した時点で（ステップＳ５０７：Ｎ）、今度はブロードキャストフレームでＤＨＣＰリクエストパケットを送出する（ステップＳ５０８）。これにより、このＤＨＣＰリクエストはデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６だけでなく認証ＩＰネットワークＤＨＣＰサーバ２１１にも伝達されることになる。
【００５８】
このＤＨＣＰリクエストに対して認証ＩＰネットワークＤＨＣＰサーバ２１１から“ａｃｋ”信号が送り返された場合には（ステップＳ５０９：Ｙ）、リース時間ｔが更新される。これにより処理はステップＳ５０４に戻ることになる。これに対して“ａｃｋ”信号が送り返されてこなかったような場合には（ステップＳ５０９：Ｎ）、リース時間ｔが切れるまで（ステップＳ５１０：Ｎ）、ブロードキャストフレームでＤＨＣＰリクエストパケットを繰り返し送出する（ステップＳ５０８）。そして、リース時間ｔが切れた時点で（ステップＳ５１０：Ｙ）、そのＩＰアドレスを開放することになる（ステップＳ５１１）。
【００５９】
ところで、認証ＩＰネットワークＤＨＣＰサーバ２１１はＤＨＣＰ手順によって加入者端末２０１のＭＡＣアドレスを知ることができる。そこで認証ＩＰネットワークＤＨＣＰサーバ２１１は管理用ＩＰネットワーク２１２を経由して担当の第１のＲＡＤＩＵＳサーバ２１３１に加入者端末２０１のＭＡＣアドレスを渡して、これに対して割り当てるべき適切なＩＰアドレスを通知するように依頼する。
【００６０】
第１のＲＡＤＩＵＳサーバ２１３１はこの依頼を受けると、認証ＩＰネットワークＤＨＣＰサーバ２１１から加入者端末２０１のＭＡＣアドレスを受け取り、先に記憶しておいたユーザＩＤとＭＡＣアドレスの組み合わせから対応するユーザＩＤを取り出す。そしてこのユーザＩＤに割り当てるべきＩＰアドレスを決定し、認証ＩＰネットワークＤＨＣＰサーバ２１１に対してこの決定したＩＰアドレスを通知する。なお、このＩＰアドレスは第１のＲＡＤＩＵＳサーバ２１３１が事前にストックしておいたアドレスの中から払い出すものであるが、これに限るものではない。たとえはデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６が臨時で与えたＩＰアドレスをそのまま与えても差し支えない。ただし、デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６が臨時で与えるＩＰアドレスは、ネットワークサービスプロバイダ２０３内で他のＩＰアドレスと競合するものでなければどのようなものでもよいが、第１のＲＡＤＩＵＳサーバ２１３１や第２のＲＡＤＩＵＳサーバ２１３２が払い出すＩＰアドレスはネットワークサービスプロバイダ２０３の外でも同一のものが無いことが条件となる。
【００６１】
認証ＩＰネットワークＤＨＣＰサーバ２１１は、割り当てるべきＩＰアドレスを、この例の場合、第１のＲＡＤＩＵＳサーバ２１３１から通知されると、加入者端末２０１からのＤＨＣＰリクエストパケットに対してＩＰアドレスを割り当てたことを通知する割当通知パケットを返送する。
【００６２】
ところでＩＰサブネット振分スイッチ２０９は、認証ＩＰネットワーク２０７からＩＰパケットが送られてくると、レイヤ３のＩＰサブネットワークアドレスをチェックして、それぞれ該当するＩＰネットワークへフォワードするようにこれらの対応関係をスタティックに設定している。その結果、たとえば第１のターゲットＩＰネットワーク２１４１のサブネットワークに一致したサブネットワークアドレスのＩＰパケットが到来すればこれを第１のターゲットＩＰネットワーク２１４１へフォワードする。また、第２のターゲットＩＰネットワーク２１４２のサブネットワークに一致したサブネットワークアドレスのＩＰパケットが到来すればこれを第２のターゲットＩＰネットワーク２１４２へフォワードすることになる。
【００６３】
先の例では、加入者端末２０１がインターネット網へのアクセスについて第１のインターネットサービスプロバイダ２０８１と契約している。したがって、第１のＲＡＤＩＵＳサーバ２１３１が加入者端末２０１用のＩＰアドレスを与えることになる。このＩＰアドレスのパケット信号はＩＰサブネット振分スイッチ２０９で第１のターゲットＩＰネットワーク２１４１の第１のインターネットサービスプロバイダ２０８１に送られ、これを経由して図示しないインターネット網に転送されることになる。
【００６４】
＜第２の実施例＞
【００６５】
図５は、本発明の第２の実施例におけるユーザ認証システムを表わしたものである。このユーザ認証システム６００は、ある会社が社員や協力会社のスタッフのそれぞれにアクセスできるローカルエリアネットワークを振り分けるようにした認証システムである。ユーザ認証システム６００は、パーソナルコンピュータからなる第１〜第Ｎの入出力端末６０１１〜６０１Ｎと、これらに共通して接続された社内一般向けローカルエリアネットワーク（ＬＡＮ）６０２と、特殊目的あるいは用途の第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍと、これら第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍに対する認証と振分けを行う認証・振分け装置６０４とから構成されている。
【００６６】
ここで、認証・振分け装置６０４は社内一般向けローカルエリアネットワーク６０２と接続された物理ポート切替スイッチ６１１を備えている。物理ポート切替スイッチ６１１は認証の行われたユーザの一覧を登録するユーザ登録テーブル６１２を備えている。ユーザ登録テーブル６１２はユーザが第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍのうちの特定のものにログインする要求を行って認証が成功したときに登録され、その専門別ローカルエリアネットワーク６０３からログアウトしたときに登録を消去されるようになっている。
【００６７】
物理ポート切替スイッチ６１１はこのユーザ登録テーブル６１２の他に先の実施例と同様の未認証ポート６１３と認証ポート６１４を備えている。ユーザ登録テーブル６１２に登録されていないユーザからアクセスがあったときには未認証ポート６１３が選択され、送られてきたブロードキャストアドレスのパケットはこの未認証ポート６１３に接続された未認証用ネットワーク６１６に転送される。未認証用ネットワーク６１６には、ログイン用ウェブサーバ６１７とデフォルトアドレスサーバ６１８が接続されている。これらログイン用ウェブサーバ６１７とデフォルトアドレスサーバ６１８は管理用ネットワーク６１９にも接続されている。
【００６８】
一方、認証ポート６１４には認証用ネットワーク６２１が接続されている。認証用ネットワーク６２１にはユーザが第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍのうちのいずれか希望するものにログインするための認証を行う認証サーバ６２２と、アドレス振分スイッチ６２３が接続されている。アドレス振分スイッチ６２３はユーザから送られてきたパケット信号のサブアドレスに応じて第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍのいずれかにこのパケット信号を振り分けて送出するようになっている。認証サーバ６２２は管理用ネットワーク６１９にも接続されている。また、管理用ネットワーク６１９にはこれ以外にサブアドレス付与サーバ６２４が接続されている。サブアドレス付与サーバ６２４は認証されたパケット信号のユーザに対して希望する専門別ローカルエリアネットワーク６０３に対応したサブアドレスを付与するようになっている。
【００６９】
このようなユーザ認証システム６００で、たとえば光ファイバの研究者であるユーザＡが社内の光ファイバに関する技術情報を集めた第１の専門別ローカルエリアネットワーク６０３１にアクセスする場合を例にとって説明する。ユーザＡは自己の社員証の磁気情報を第１〜第Ｎの入出力端末６０１１〜６０１Ｎのいずれかに接続された図示しない磁気情報読取装置から読み取らせる。この情報を組み込んだパケット信号は、認証・振分け装置６０４の物理ポート切替スイッチ６１１に入力される。
【００７０】
物理ポート切替スイッチ６１１ではこのパケット信号に組み込まれた磁気カードの読取情報をキーとしてユーザ登録テーブル６１２を検索し、未認証であることを知る。そこで、このパケット信号は未認証ポート６１３から未認証用ネットワーク６１６に転送される。デフォルトアドレスサーバ６１８はこのパケット信号を受信するとこのユーザＡに臨時で対応するＩＰアドレスを発行する。このＩＰアドレスはパケット信号の送信元のユーザＡに返送される。ユーザＡはこのＩＰアドレスを使用したパケット信号を認証要求のために送信し、ログイン用ウェブサーバ１７によって一般的なブラウザによって認証用の画面が表示される。ユーザＡはこの状態で、ログインする希望の第１の専門別ローカルエリアネットワーク６０３１の名称と自己のパスワードを入力することになる。
【００７１】
この入力情報は先の磁気情報と共に認証サーバ６２２に与えられる。認証サーバ６２２は第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍのそれぞれに対する社員ごとのアクセス権限を記したテーブルを参照し、認証の可否を決定する。認証が成功したときにはサブアドレス付与サーバ６２４がユーザＡの希望した第１の専門別ローカルエリアネットワーク６０３１に対応したサブアドレスをユーザＡ用に設定する。このサブアドレスは認証成功の通知と共に社内一般向けローカルエリアネットワーク６０２を経てユーザＡに返送される。また、認証が成功した時点でユーザ登録テーブル６１２にユーザＡが登録される。
【００７２】
この後、ユーザＡが第１の専門別ローカルエリアネットワーク６０３１に向けたパケット信号を送出すると、物理ポート切替スイッチ６１１はこれを認証ポート６１４から認証用ネットワーク６２１に向けて送り出す。このパケット信号はアドレス振分スイッチ６２３に入力される。アドレス振分スイッチ６２３はパケット信号のサブアドレスを見て、このパケット信号を第１の専門別ローカルエリアネットワーク６０３１に転送することになる。
【００７３】
なお、以上説明した第１の実施例では付与されたＩＰアドレスのサブアドレスを用いてターゲットＩＰネットワークを振り分ける処理を行ったが、そのパケット信号のＭＡＣアドレスを併せて使用して、たとえば両者が一致する通信ネットワークに対してパケット信号の振り分けを行うことも可能である。これにより、ＩＰアドレスを使用しただけの場合と比べて第三者が不用意にＩＰネットワークに侵入する事態を回避し、セキュリティを向上させることができる。
【００７４】
また、第１の実施例では付与されたＩＰアドレスのサブアドレスを用いてパケット信号の振り分けを行ったが、ＭＡＣアドレスのみで振り分けを行うことも可能である。
【００７５】
【発明の効果】
以上説明したように請求項１記載の発明によれば、通信端末が送出したパケット信号を、認証を要する所定の通信ネットワークの手前に配置された物理ポート切替手段が入力し、これが認証済でない場合にはそのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与えると共にログイン画面表示手段でログインの際の画面表示を行うようにした。これにより、通信端末にインターネット上の情報を表示するために一般的に備えられているブラウザを使用してログイン操作が可能になる。すなわち、ログインのために特別のソフトウェアを通信端末にインストールする必要がない。また、認証が成功した場合には一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するためのネットワークアドレスが与えられるので、それ以後は物理ポート切替手段の認証済ポートを介して所望の通信ネットワークとの通信が可能になる。ネットワークアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ネットワークアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００７６】
また、請求項２記載の発明によれば、ネットワーク振り分け手段を備えているので、通信端末が与えられたネットワークアドレスを使用することで単純にパケット信号の振り分けを行うことができる。
【００７７】
更に請求項３記載の発明によれば、通信端末が送出したパケット信号を、認証を要する所定の通信ネットワークの手前に配置された物理ポート切替手段が入力し、これが認証済でない場合にはそのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与えると共にログイン画面表示手段でログインの際の画面表示を行うようにした。これにより、通信端末にインターネット上の情報を表示するために一般的に備えられているブラウザを使用してログイン操作が可能になる。すなわち、ログインのために特別のソフトウェアを通信端末にインストールする必要がない。また、認証が成功した場合には一時使用ＩＰアドレスに代えて正規のＩＰアドレスを与えるので、それ以後は物理ポート切替手段の認証済ポートを介して所望の通信ネットワークとの通信が可能になる。ＩＰアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ネットワークアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００７８】
また請求項４記載の発明によれば、ＩＰサブネット振り分け手段を備えているので、通信端末が与えられたＩＰアドレスを使用することで単純にパケット信号の振り分けを行うことができる。
【００７９】
更に請求項６記載の発明によれば、ＩＰサブネット振り分け手段は、ＩＰアドレスと通信端末のＭＡＣアドレスのいずれかを用いて通信端末から送られてきたパケット信号の振り分けを行うので、異なった観点からパケット信号の振り分けを行うことができる。
【００８０】
また請求項７記載の発明によれば、通信端末からアクセスがあったときこれに対してインターネットでアクセス可能なアドレスを与えてウェブ表示画面を用いて認証の手続きを行うので、通信端末に特別な認証用のアプリケーションソフトウェアをインストールすることなく、通常備わっているブラウザを使用して認証のための操作が可能である。
【００８１】
更に請求項８記載の発明によれば、ＩＰサブネット振り分け手段は、ＩＰアドレスとＭＡＣアドレスの双方が一致したことをもってパケット信号の振り分け先を決めることにしたので、アクセスに対するセキュリティを高めることが可能になる。
【００８２】
また請求項９記載の発明によれば、一時使用ＩＰアドレス返送ステップで一時使用ＩＰアドレスを通信端末に返送し、これを使用させて認証要求を行わせることにしたので、この一時使用ＩＰアドレスを使用して認証のための手続きをインターネットサービスプロバイダの手前側で簡易に処理することができる。また、個々のインターネットサービスプロバイダ用にＩＰアドレスを振り分けておくことで、通信端末側から送られてきたパケット信号のＩＰアドレスを判読することでどのインターネットサービスプロバイダに振り分けるかを簡易に判別することができ、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。しかもＩＰアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。
【図面の簡単な説明】
【図１】本発明の第１の実施例におけるユーザ認証システムを表わしたシステム構成図である。
【図２】本実施例の物理ポート切替スイッチの制御の様子を表わした流れ図である。
【図３】本実施例のユーザ認証システムにおける認証およびパケット信号の振り分けの原理を示した説明図である。
【図４】ＤＨＣＰリクエストパケットが送出された時点以降の本実施例のユーザ認証システムにおける加入者端末側の処理の概要を表わした流れ図である。
【図５】本発明の第２の実施例におけるユーザ認証システムを表わしたシステム構成図である。
【図６】ＡＤＳＬを使用してネットワークサービスプロバイダに接続する従来の通信システムの概要を表わしたシステム構成図である。
【図７】ポイントツーポイントプロトコルを使用しないで済む従来提案された通信システムの概要を表わしたシステム構成図である。
【符号の説明】
２００、６００ ユーザ認証システム
２０１ 加入者端末
２０２ ローカルエリアネットワーク
２０４、６１１ 物理ポート切替スイッチ
２０５ 認証ポート
２０６ 未認証ポート
２０７ 認証ＩＰネットワーク
２０９ ＩＰサブネット振分スイッチ
２１１ 認証ＩＰネットワークＤＨＣＰサーバ
２１２ 管理用ＩＰネットワーク
２１３ ＲＡＤＩＵＳサーバ
２１４ ターゲットＩＰネットワーク
２１５、６１７ ログイン用ウェブサーバ
２１６ デフォルトＩＰネットワーク用ＤＨＣＰサーバ
２１７ デフォルトＩＰネットワーク
４０１ パケット信号
４０２ ユーザ認証手段
４０３ ＩＰサブネットアドレス払出手段
４０４ ＩＰアドレスＭＡＣアドレスフィルタ手段
４０５ 振分手段
６０１ 入出力端末
６０２ 社内一般向けローカルエリアネットワーク
６０３ 専門別ローカルエリアネットワーク
６０４ 認証・振分け装置
６１８ デフォルトアドレスサーバ
６２２ 認証サーバ
６２３ アドレス振分スイッチ
６２４ サブアドレス付与サーバ
【発明の属する技術分野】
本発明は、たとえば複数のローカルエリアネットワークのいずれかを選択的に使用するユーザや、ＡＤＳＬ通信技術を使用してパケット信号を特定のインターネットサービスプロバイダを経由してインターネットに送出するユーザが、これらのネットワークに認証を行って接続するのに好適なユーザ認証システムおよびユーザ認証方法に関する。
【０００２】
【従来の技術】
通信設備の整備拡張に伴って、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）等のｘＤＳＬ（ｘ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）通信技術を使用して常時接続の環境でインターネットにアクセスすることが多くなっている。
【０００３】
図６は、ＡＤＳＬを使用してネットワークサービスプロバイダに接続する従来の通信システムの概要を表わしたものである。この通信システム１００で、パーソナルコンピュータからなる通信端末１０１はモデム（変復調装置）１０２を介してブロードバンドアクセスサーバ（ＢＡＳ：Ｂｒｏａｄｂａｎｄ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ）１０３と接続されている。ブロードバンドアクセスサーバ１０３は、ＡＤＳＬ等のｘＤＳＬあるいはＦＴＴＨ（Ｆｉｂｅｒ Ｔｏ Ｔｈｅ Ｈｏｍｅ）等の高速なインターネット常時接続サービスを提供するために、図示しない通信局舎内に設置されるサーバをいう。ブロードバンドアクセスサーバ１０３は、通常の場合、複数のインターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）１０４１、１０４２、……を介して図示しないインターネット網に接続されている。
【０００４】
このような通信システム１００では、ポイントツーポイントプロトコル・オーバ・イーサネット（登録商標）（ＰＰＰｏＥ：Ｐｏｉｎｔ Ｔｏ Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（登録商標））セッション１０５を使用して、通信端末１０１からブロードバンドアクセスサーバ１０３までポイントツーポイントデータを転送するようにしている。ここでこのポイントツーポイント・オーバ・イーサネット（登録商標）プロトコルは２点間を接続してデータ通信を行うためのプロトコルである。このプロトコルを使用することでＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を始めとする多くのプロトコルを中継することができる。ここでは、イーサネット（登録商標）等のローカルエリアネットワークで、ＩＰアドレスを組み込んだパケット信号をカプセル化してブロードバンドアクセスサーバ１０３に転送するためにポイントツーポイントプロトコルセッション１０５が使用される。たとえば特開平１０−１７３６９１号公報にこの種の技術が開示されている。
【０００５】
ブロードバンドアクセスサーバ１０３はローカルエリアネットワーク上を通信端末１０１から送られてきた信号をデカプセル化してパケット信号を取り出し、通信端末１０１が契約したインターネットサービスプロバイダ１０４Ｘにこれを転送する。インターネットサービスプロバイダ１０４Ｘは通信端末１０１に対してパスワードを要求する等の手法で本人確認としての認証を行い、これが成功したら通信端末１０１から送られてきたパケット信号をそのＩＰアドレスの示す相手先に送出することになる。
【０００６】
このように、この図６に示した通信システム１００では、通信端末１０１がインターネットサービスプロバイダ１０４Ｘに直接接続されていれば本来必要としないポイントツーポイントプロトコルを使用してパケット信号をカプセル化して転送している。このためブロードバンドアクセスサーバ１０３はポイントツーポイントプロトコルによるヘッダの取り付けや取り外しといったパケット信号のカプセル化やデカプセル化の作業を必要とする。現在、インターネットへの常時接続の環境が急速に整ってきており、これに伴って加入者端末１０１がその契約した特定のインターネットサービスプロバイダ１０４Ｘを通して通信するパケット信号の量が増加している。また、常時接続に適したアプリケーションソフトウェアの登場やウェブサイトの増加によって、今後、ますます加入者端末１０１とインターネットサービスプロバイダ１０４Ｘの間の通信量が増加することは確実である。このような状況の下では、ポイントツーポイントプロトコルを使用したパケット信号のカプセル化あるいはカプセルを取り除くデカプセル化の作業を撤廃あるいは軽減する必要がある。
【０００７】
図７は、以上説明したポイントツーポイントプロトコルを使用しないで済む従来提案された通信システムの概要を表わしたものである。この図７で図６と同一部分には同一の符号を付しており、これらの説明を適宜省略する。この通信システム１２０では、通信端末１０１がＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）スイッチ１２１に接続されている。ＶＬＡＮスイッチ１２１は、バーチャル・ローカルエリアネットワーク１２２１、１２２２、……によって複数のインターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）１０４１、１０４２、……を介して図示しないインターネット網に接続されている。したがって、通信端末１０１がインターネットサービスプロバイダ１０４Ｘとインターネットの接続について契約を行っているものとすると、ＶＬＡＮスイッチ１２１は通信端末１０１がログインすると認証を行い、認証が成功すれば契約先のインターネットサービスプロバイダ１０４Ｘと接続する。なお、ＶＬＡＮについては特開平０９−１３０４２１号公報等に開示がある。
【０００８】
【発明が解決しようとする課題】
この図７に示した通信システム１２０では、図６で説明したようなポイントツーポイントプロトコルを使用する必要がない。したがって、プロトコルスタック数が多すぎるためにブロードバンド化という観点から、既存の設備としてのブロードバンドアクセスサーバ１０３やルータがボトルネックとなるという問題から開放される。また、認証が終わった後にはバーチャルなローカルエリアネットワークとしてのバーチャル・ローカルエリアネットワーク１２２１、１２２２、……に接続されるので、スループットの点で大幅な改善が期待される。
【０００９】
しかしながら、この通信システム１２０ではバーチャル・ローカルエリアネットワークを採用している。このため、ＶＬＡＮスイッチ１２１が分岐できるバーチャル・ローカルエリアネットワークの数は、バーチャル・ローカルエリアネットワークを転送されるフレームのＶＬＡＮフィールドが１２ビット構成となっていることから、２の１２乗個、すなわち４０９６個が最大となっている。ローカルエリアネットワークはたとえば１つの企業内でも部署や物理的な位置に応じて多数組まれる場合があり、これらを集合して更に大きなネットワークを構成していったとき、この制限は通信システムの構築に大きな制約となる。
【００１０】
そこで本発明の目的は、通信端末がローカルエリアネットワークを介して自在に通信ネットワークや所望のローカルエリアネットワークに数の制約なく接続することのできるユーザ認証システムおよびユーザ認証方法を提供することにある。
【００１１】
【課題を解決するための手段】
請求項１記載の発明では、（イ）通信端末と、（ロ）この通信端末から認証を要する所定の通信ネットワークに対して送り出されたパケット信号をその手前で入力するパケット信号入力手段と、このパケット信号入力手段が入力したパケット信号が前記した所定の通信ネットワークに認証を受けたものであるか否かを判別する認証有無判別手段と、この認証有無判別手段が未認証と判別したときこれを出力する未認証ポートと、認証有無判別手段が認証済と判別したときこれを出力する認証済ポートとを備えた物理ポート切替手段と、（ハ）この物理ポート切替手段の未認証ポートからパケット信号が出力されたとき、そのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与える一時使用アドレス提供手段と、（ニ）この一時使用アドレス提供手段の提供した一時使用ＩＰアドレスと通信端末の対応関係を記憶する一時使用ＩＰアドレス通信端末対応記憶手段と、（ホ）一時使用アドレス提供手段によって一時使用ＩＰアドレスの提供を受けた通信端末が前記した所定の通信ネットワークに対して認証を受けるためにログインしそのパケット信号が未認証ポートから出力されたときこれを入力してログイン画面を表示するログイン画面表示手段と、（ヘ）このログイン画面表示手段を使用して通信端末からログインが行われたときこれに対して認証を行うか否かを判別する認証可否判別手段と、（ト）この認証可否判別手段が認証を行うと判別したとき一時使用ＩＰアドレス通信端末対応記憶手段に記憶された通信端末に対応させる形でこれに対して一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するためのネットワークアドレスを与えるネットワークアドレス付与手段とをユーザ認証システムに具備させる。
【００１２】
すなわち請求項１記載の発明では、通信端末が送出したパケット信号を、認証を要する所定の通信ネットワークの手前に配置された物理ポート切替手段が入力するようになっている。そして、これが認証済であるかどうかを判別し、認証済でない場合にはそのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与えるようにしている。一時使用ＩＰアドレスを受け取った通信端末は、これを用いてパケット信号を送出し物理ポート切替手段の未認証ポートを経てログイン画面表示手段に入力され、ログイン画面の表示が行われる。通信端末はログイン画面で認証のためのログインを行い、認証可否判別手段が認証を行うか否かを判別する。認証が成功した場合には一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するためのネットワークアドレスが与えられる。したがって、それ以後は物理ポート切替手段の認証済ポートを介して所望の通信ネットワークとの通信が可能になる。ネットワークアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ネットワークアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００１３】
請求項２記載の発明では、請求項１記載のユーザ認証システムは、ネットワークアドレス付与手段によってネットワークアドレスを付与された通信端末がパケット信号を送出したときこれを認証済ポートを経て受信し、これを該当する通信ネットワークに振り分けるネットワーク振り分け手段を具備することを特徴としている。
【００１４】
すなわち請求項２記載の発明では、ネットワーク振り分け手段がネットワークアドレスによって通信端末が送出したパケット信号の振り分けを行うことにしている。
【００１５】
請求項３記載の発明では、（イ）通信端末と、（ロ）この通信端末から認証を要する所定の通信ネットワークに対して送り出されたパケット信号をその手前で入力するパケット信号入力手段と、このパケット信号入力手段が入力したパケット信号が前記した所定の通信ネットワークに認証を受けたものであるか否かを判別する認証有無判別手段と、この認証有無判別手段が未認証と判別したときこれを出力する未認証ポートと、認証有無判別手段が認証済と判別したときこれを出力する認証済ポートとを備えた物理ポート切替手段と、（ハ）この物理ポート切替手段の未認証ポートからパケット信号が出力されたとき、そのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与える一時使用アドレス提供手段と、（ニ）この一時使用アドレス提供手段の提供した一時使用ＩＰアドレスと通信端末の対応関係を記憶する一時使用ＩＰアドレス通信端末対応記憶手段と、（ホ）一時使用アドレス提供手段によって一時使用ＩＰアドレスの提供を受けた通信端末が前記した所定の通信ネットワークに対して認証を受けるためにログインしそのパケット信号が未認証ポートから出力されたときこれを入力してログイン画面を表示するログイン画面表示手段と、（ヘ）このログイン画面表示手段を使用して通信端末からログインが行われたときこれに対して認証を行うか否かを判別する認証可否判別手段と、（ト）この認証可否判別手段が認証を行うと判別したとき一時使用ＩＰアドレス通信端末対応記憶手段に記憶された通信端末に対応させる形でこれに対して一時使用ＩＰアドレスに代えて正規のＩＰアドレスを与える正規ＩＰアドレス付与手段とをユーザ認証システムに具備させる。
【００１６】
すなわち請求項３記載の発明では、通信端末が送出したパケット信号を、認証を要する所定の通信ネットワークの手前に配置された物理ポート切替手段が入力するようになっている。そして、これが認証済であるかどうかを判別し、認証済でない場合にはそのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与えるようにしている。一時使用ＩＰアドレスを受け取った通信端末は、これを用いてパケット信号を送出し物理ポート切替手段の未認証ポートを経てログイン画面表示手段に入力され、ログイン画面の表示が行われる。通信端末はログイン画面で認証のためのログインを行い、認証可否判別手段が認証を行うか否かを判別する。認証が成功した場合には一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するための正規のＩＰアドレスが与えられる。したがって、それ以後は物理ポート切替手段の認証済ポートを介して所望の通信ネットワークとの通信が可能になる。ＩＰアドレスによって特定される宛先の数は無制限に近い数まで可能であり、前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ＩＰアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００１７】
請求項４記載の発明では、請求項３記載のユーザ認証システムは、正規ＩＰアドレス付与手段によってＩＰアドレスを付与された通信端末がパケット信号を送出したときこれを認証済ポートを経て受信し、これを該当するＩＰネットワークに振り分けるＩＰサブネット振り分け手段を具備することを特徴としている。
【００１８】
すなわち請求項４記載の発明では、ＩＰサブネット振り分け手段がＩＰパケットのサブネットアドレスによって通信端末が送出したパケット信号の振り分けを行うことにしている。
【００１９】
請求項５記載の発明では、請求項３記載のユーザ認証システムで、認証有無判別手段は認証を受けているユーザを登録したユーザ登録部を備え、このユーザ登録部に登録されているか否かによってユーザごとに認証が行われているか否かを判別することを特徴としている。
【００２０】
すなわち請求項５記載の発明では、認証前のパケット信号について認証を行う必要があるので認証有無判別手段でユーザ登録部を用いてその判別を行うようにしている。ユーザ登録部は認証されているユーザを登録しておりこれを検索することで認証の有無を判別することができる。ユーザの特定は、たとえばＭＡＣアドレスを用いて行うことができる。
【００２１】
請求項６記載の発明では、請求項４記載のユーザ認証システムで、ＩＰサブネット振り分け手段は、ＩＰアドレスと通信端末のＭＡＣアドレスのいずれかを用いて通信端末から送られてきたパケット信号の振り分けを行うことを特徴としている。
【００２２】
すなわち請求項６記載の発明では、ＩＰサブネット振り分け手段の振り分けの態様を規定している。ＩＰアドレスを振り分け先の通信ネットワークにそれぞれ対応付けて用意しておけば、ＩＰアドレスを調べるだけでどの通信ネットワークに振り分けるかを判別することができる。これ以外に通信端末のＭＡＣアドレスを用いて振り分けを行うことも可能である。このように振り分けについて２種類の情報を使い分けることで、パケット信号の振り分けを、個々のユーザに与えるＩＰアドレスによってあるいはハードウェア自体によって異なった観点から行うことができる。
【００２３】
請求項７記載の発明では、（イ）通信端末と、（ロ）この通信端末からアクセスがあったときこれに対してインターネットでアクセス可能なアドレスを与えるアドレス付与手段と、（ハ）このアドレス付与手段によって付与されたアドレスを使用して通信端末が認証を要求したとき、インターネットアクセス時に表示されるウェブ表示画面を認証用画面として認証のための入力操作および表示を行わせる認証時ウェブアクセス手段とをユーザ認証システムに具備させる。
【００２４】
すなわち請求項７記載の発明では、アドレス付与手段が通信端末からアクセスがあったときこれに対してインターネットでアクセス可能なアドレスを、とりあえず与えることにしている。そして、この通信端末が与えられたアドレスを用いて認証を要求してきたときには、認証時ウェブアクセス手段がインターネットアクセス時に表示されるウェブ表示画面を認証用画面として認証のための入力操作および表示を行わせることにしている。このようにウェブ表示画面を用いて認証の手続きを行うので、通信端末に特別な認証用のアプリケーションソフトウェアをインストールすることなく、通常備わっているブラウザを使用して認証のための操作が可能である。
【００２５】
請求項８記載の発明では、請求項４記載のユーザ認証システムで、ＩＰサブネット振り分け手段は、ＩＰアドレスとＭＡＣアドレスの双方が一致した宛先の通信ネットワークにパケット信号を振り分けることを特徴としている。
【００２６】
すなわち請求項８記載の発明では、請求項４記載のユーザ認証システムで、ＩＰサブネット振り分け手段は、ＩＰアドレスとＭＡＣアドレスの双方が一致した場合を扱っている。このように両者が一致する場合で振り分け先を決めることでセキュリティを高めることが可能になる。
【００２７】
請求項９記載の発明では、（イ）インターネットへのアクセスを行うに際してローカルエリアネットワークに接続されたネットワークサービスプロバイダに対して所定の通信端末からパケット信号を送出しインターネットへのアクセス要求を行うインターネットアクセス要求ステップと、（ロ）このインターネットアクセス要求ステップでインターネットへのアクセス要求があったときこの通信端末に対してログイン用の一時使用ＩＰアドレスを返送する一時使用ＩＰアドレス返送ステップと、（ハ）この一時使用ＩＰアドレス返送ステップで返送されてきた一時使用ＩＰアドレスを使用して通信端末から特定のインターネットサービスプロバイダに対する認証要求のパケット信号を送出する認証要求ステップと、（ニ）この認証要求ステップで送られてきたパケット信号に記された情報を基にして前記した特定のインターネットサービスプロバイダの認証が得られるか否かをネットワークサービスプロバイダ側で判別する認証可否判別ステップと、（ホ）この認証可否判別ステップで認証が得られると判別したときその通信端末に対して前記した特定のインターネットサービスプロバイダ用に割り当てられたＩＰアドレスを返送する正規ＩＰアドレス返送ステップと、（ヘ）この正規ＩＰアドレス返送ステップで返送されてきた正規ＩＰアドレスを使用して通信端末からインターネットアクセス用のパケット信号を送出するインターネットアクセス用パケット信号送出ステップと、（ト）このインターネットアクセス用パケット信号送出ステップで送出されたパケット信号を受信しその正規ＩＰアドレスを見てこれを前記した特定のインターネットサービスプロバイダに振り分けるパケット信号振り分けステップとをユーザ認証方法に具備させる。
【００２８】
すなわち請求項９記載の発明では、インターネットへのアクセスを行うのに際してローカルエリアネットワークに接続されたネットワークサービスプロバイダに対して所定の通信端末からパケット信号を送出し、インターネットへのアクセス要求を行い、ネットワークサービスプロバイダ側からログイン用の一時使用ＩＰアドレスを返送してもらう。そして、この一時使用ＩＰアドレスを使用して通信端末から特定のインターネットサービスプロバイダに対する認証要求のパケット信号を送出して（認証要求ステップ）、このパケット信号に記された情報を基にして前記した特定のインターネットサービスプロバイダの認証が得られるか否かをネットワークサービスプロバイダ側で判別させる（認証可否判別ステップ）。この認証可否判別ステップで認証が得られると判別されたときには、その通信端末に対してネットワークサービスプロバイダ側から前記した特定のインターネットサービスプロバイダ用に割り当てられたＩＰアドレスが正規アドレスとして返送される（正規ＩＰアドレス返送ステップ）。この場合には、この正規ＩＰアドレスを使用して通信端末からインターネットアクセス用のパケット信号がネットワークサービスプロバイダ側に送出されると（インターネットアクセス用パケット信号送出ステップ）、ネットワークサービスプロバイダ側ではこのパケット信号の正規ＩＰアドレスを見てこれを前記した特定のインターネットサービスプロバイダ側に振り分けることができる（パケット信号振り分けステップ）。したがって、それ以後は所望の通信ネットワークとの通信が可能になる。ＩＰアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ＩＰアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００２９】
【発明の実施の形態】
【００３０】
【実施例】
以下実施例につき本発明を詳細に説明する。
【００３１】
＜第１の実施例＞
【００３２】
図１は本発明の第１の実施例におけるユーザ認証システムを表わしたものである。このユーザ認証システム２００で、加入者端末２０１はイーサネット（登録商標）（Ｅｔｈｅｒｎｅｔ（登録商標））等のネットワーク（以下、ローカルエリアネットワークと称する。）２０２と接続されている。このローカルエリアネットワーク２０２は、ネットワークサービスプロバイダ（ＮＳＰ：Ｎｅｔｗｏｒｋ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）２０３内に位置する物理ポートの切り替えを行う物理ポート切替スイッチ２０４の入力側と接続されている。物理ポート切替スイッチ２０４は認証済の物理ポートに対応する認証ポート２０５と、認証が行われていない物理ポートに対応する未認証ポート２０６の２つのポートの切り替えを行うスイッチである。認証ポート２０５は、ユーザの認証が行われた後のＩＰパケットを転送する認証ＩＰネットワーク２０７に接続されている。
【００３３】
認証ＩＰネットワーク２０７は、本実施例の場合、ＩＰパケットをサブネットによって第１のインターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ ＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ）２０８１あるいは第２のインターネットサービスプロバイダ２０８２のうちの一方の経路に振り分けて送信するＩＰサブネット振分スイッチ２０９に接続されている。ＩＰアドレスはネットワークアドレスとホストアドレスの２つに分けられるが、そのうち、ネットワークアドレスをさらに分割したものがサブネットワークアドレスである。ＩＰサブネット振分スイッチ２０９は、ＩＰアドレスにおけるサブネットワークアドレスを見て、第１のターゲットＩＰネットワーク２１４１のネットワークアドレスと一致していれば、加入者端末２０１から送出されたフレーム信号を、第１のターゲットＩＰネットワーク２１４１にフォワード（転送）する。これに対して、第２のターゲットＩＰネットワーク２１４２のネットワークアドレスと一致していれば、このフレーム信号を第２のターゲットＩＰネットワーク２１４２にフォワードすることになる。
【００３４】
また、認証ＩＰネットワーク２０７は、加入者端末２０１の認証を行うための認証ＩＰネットワークＤＨＣＰサーバ２１１の一端と接続されている。ここで、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）とは、各ユーザに、起動時に動的にＩＰアドレスを割り当て、終了時にこのＩＰアドレスを回収するためのプロトコルである。認証ＩＰネットワークＤＨＣＰサーバ２１１は、物理ポート切替スイッチ２０４から送られてきた送信元のＭＡＣアドレスを第１および第２のＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバ２１３１、２１３２のうちの該当するもの、すなわち認証の対象となるインターネットサービスプロバイダ２０８を担当する者に渡してＩＰアドレスを受け取り、これを加入者端末２０１に割り当てる役割をもっている。第１および第２のＲＡＤＩＵＳサーバ２１３１、２１３２のうち該当するものは、クライアントからのダイアルアップ接続認証要求を受けて、認証の可否をクライアントに返すようになっている。認証ＩＰネットワークＤＨＣＰサーバ２１１の他端は、このユーザ認証システム２００でユーザの認証のための管理に使用される管理用ＩＰネットワーク２１２と接続されている。
【００３５】
一方、物理ポート切替スイッチ２０４の未認証ポート２０６側には、未認証のパケット信号を入力して認証のための処理を行うためのデフォルトＩＰネットワーク２１７が接続されている。このデフォルトＩＰネットワーク２１７には、未認証のパケット信号をログインさせるためのログイン用ウェブサーバ２１５とデフォルトＩＰネットワーク用ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ２１６のそれぞれ一端が接続されている。ここで、ログイン用ウェブサーバ２１５は、特別なソフトウェアをインストール必要なく、一般にパーソナルコンピュータの購入時等に付属している使用料が不要あるいは安価なウェブページ閲覧用のソフトウェアを使用してログインさせるためのものである。デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６は、再利用可能なＩＰアドレスの動的割り当てを行うためのサーバであり、具体的にはログイン用ウェブサーバ２１５でログインを行わせるために臨時にＩＰアドレスを与えるサーバである。これらログイン用ウェブサーバ２１５およびデフォルトＤＨＣＰサーバ２１６は管理用ＩＰネットワーク２１２とも接続されている。
【００３６】
管理用ＩＰネットワーク２１２は、前記した認証ＩＰネットワークＤＨＣＰサーバ２１１と接続している他に、第１および第２のＲＡＤＩＵＳサーバ２１３１、２１３２とも接続している。これらＲＡＤＩＵＳサーバ２１３１、２１３２は、加入者端末２０１からのダイアルアップ接続認証要求を受けて、認証の可否をクライアントに返す役割を持っている。また、第１のＲＡＤＩＵＳサーバ２１３１は、加入者端末２０１が第１のターゲットＩＰネットワーク２１４１および第１のインターネットサービスプロバイダ２０８１を経てインターネット網に接続するものであれば、このような振分けを可能とするＩＰアドレスをこれに与えるようになっている。これに対して、加入者端末２０１が第２のターゲットＩＰネットワーク２１４２および第２のインターネットサービスプロバイダ２０８２を経てインターネット網に接続するものである場合には、このような振分けを可能とするＩＰアドレスをこれに与えることになる。
【００３７】
ところで本実施例のユーザ認証システム２００で物理ポート切替スイッチ２０４はローカルエリアネットワーク２０２を経てネットワークサービスプロバイダ２０３に加入者端末２０１側から送られてきたパケット信号を受信する。そしてそのパケット信号の送信元のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを調べ、これに応じてポートの切替制御を行うようになっている。
【００３８】
図２は、この物理ポート切替スイッチの制御の様子を表わしたものである。図１に示した物理ポート切替スイッチ２０４は、図示しないがＣＰＵ（中央処理装置）、制御プログラムを格納する記憶媒体、出力ポートを切り替える切替手段ならびにＭＡＣアドレスを登録するＭＡＣアドレス登録テーブルを備えている。物理ポート切替スイッチ２０４はパケット信号が到来すると（ステップＳ３０１：Ｙ）、そのＭＡＣアドレスを判別する（ステップＳ３０２）。ＭＡＣアドレスは、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）ごとに割り当てられる番号であり、６オクテットで表わされている。そしてこのＭＡＣアドレスと同一のアドレスがＭＡＣアドレス登録テーブルに登録されているか検索する（ステップＳ３０３）。
【００３９】
本実施例のＭＡＣアドレス登録テーブルには、ユーザ認証を受けたＭＡＣアドレスを登録するようにしている。ただし、一度登録を行ったＭＡＣアドレスであってもログアウトした時点でその登録内容は消去されるようになっている。物理ポート切替スイッチ２０４内の前記したＣＰＵは受信したパケット信号のＭＡＣアドレスがＭＡＣアドレス登録テーブルに登録されているものであれば（ステップＳ３０４：Ｙ）、物理ポートを認証ポート２０５側に切り替えて（ステップＳ３０５）、そのパケット信号を図１に示す認証ＩＰネットワーク２０７へ送り出す。
【００４０】
これに対して、受信したパケット信号のＭＡＣアドレスがＭＡＣアドレス登録テーブルに登録されていない場合には（ステップＳ３０４：Ｎ）、物理ポートを未認証ポート２０６側に切り替えて（ステップＳ３０６）、そのパケット信号を図１に示すデフォルトＩＰネットワーク２１７へ送り出すことになる。
【００４１】
今、図１に示した加入者端末２０１のユーザが第１のインターネットサービスプロバイダ２０８１とインターネット網の接続について契約を行っているものとする。このユーザが、インターネットにアクセスするために所定の時点で加入者端末２０１のブラウザを立ち上げて第１のインターネットサービスプロバイダ２０８１に対する認証要求のための処理を開始したものとする。これにより加入者端末２０１から送出されたパケット信号は、第１のインターネットサービスプロバイダ２０８１の手前に配置されたネットワークサービスプロバイダ２０３の物理ポート切替スイッチ２０４に入力される。物理ポート切替スイッチ２０４はこの認証がまだ行われていない時点で加入者端末２０１のＭＡＣアドレスをＭＡＣアドレス登録テーブルに登録していない。そこで、ユーザ認証を行うためのユーザのログインを可能とする仮のＩＰアドレスを与える手続きに入ることになる。
【００４２】
図３は、本実施例のユーザ認証システムの原理的な構成を示したものである。ユーザ認証システム２００の主要部を構成するネットワークサービスプロバイダ２０３は、ローカルエリアネットワーク２０２を通じてパケット信号４０１を物理ポート切替スイッチ２０４に入力する。このとき、まだ所定のインターネットサービスプロバイダ２０８との間でインターネットの接続を行うための認証が行われていないので、物理ポート切替スイッチ２０４はユーザ認証手段４０２と接続し、ユーザ認証の手続きを開始する。この手続きでユーザ認証が成功すると、ネットワークサービスプロバイダ２０３はその加入者端末２０１にＩＰアドレスを与える。このときＩＰサブネットアドレス払出手段４０３はネットワークサービスプロバイダ２０３側が予め貯蔵しておいたＩＰアドレスの中から１つをその加入者端末２０１用に払い出す。これについては後に具体的に説明する。
【００４３】
この後、加入者端末２０１が送出したパケット信号には、ネットワークサービスプロバイダ２０３側でその払い出されたＩＰアドレスが使用される。これにより、物理ポート切替スイッチ２０４から認証ＩＰネットワーク２０７へ送り出されたパケット信号は、後に詳細を説明するＩＰアドレスＭＡＣアドレスフィルタ手段４０４に入力されてフィルタリングされ、振分手段４０５でＩＰサブネットワークを見て特定のインターネットサービスプロバイダ２０８あるいは図示しない通信ネットワークに振り分けられることになる。ユーザの振分けとしてのフィルタリングはＩＰアドレスによって行うこともＭＡＣアドレスによって行うことも可能である。両者の組み合わせによってもよい。
【００４４】
さて、以上の概略の説明の後に、再びユーザ認証手段４０２の処理の箇所から具体的な説明を行う。ユーザがインターネットに接続するために加入者端末２０１を操作すると、加入者端末２０１からＩＰアドレスを取得するためにＤＨＣＰリクエストパケットが送出される。
【００４５】
図４は、ＤＨＣＰリクエストパケットが送出された時点以降の本実施例のユーザ認証システムにおける加入者端末側の処理の概要を表わしたものである。図１と共にこれを説明する。加入者端末２０１はＤＨＣＰリクエストパケットをブロードキャストフレームで送信する（ステップＳ５０１）。物理ポート切替スイッチ２０４はこれを受信すると未認証ポート２０６に接続されたデフォルトＩＰネットワーク２１７にフォワードする。
【００４６】
デフォルトＩＰネットワーク２１７に収容されているデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６は、加入者端末２０１から送られてきたＤＨＣＰリクエストパケットを受け取る。そして、受け取ったことを示す“ａｃｋ”信号を返送する。したがって、加入者端末２０１はこの“ａｃｋ”信号を受信するまで（ステップＳ５０２：Ｎ）、ＤＨＣＰリクエストパケットの送出を繰り返すことになる。
【００４７】
デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６はこの“ａｃｋ”信号を返送するが、このとき加入者端末２０１に対して予め用意した未使用のＩＰアドレスを付加して送信する。この結果として、加入者端末２０１はＤＨＣＰリクエストパケットの受信を意味する“ａｃｋ”信号を受信したら（ステップＳ５０２：Ｙ）、次に臨時に割り当てられたこのＩＰアドレスを取得することになる（ステップＳ５０３）。この臨時のＩＰアドレスを割り当てたとき、デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６は、加入者端末２０１のＭＡＣアドレスと、このＭＡＣアドレスに割り当てたＩＰアドレスをその図示しない記憶領域に記憶しておく。また、このとき割り当てるＩＰアドレスは有限な時間でリースされるものであるため、リース時間ｔを設定する。一例としては、リース時間ｔを５秒程度に設定する。もちろん、リース時間ｔは１時間といったように、これより長い時間であってもよい。
【００４８】
このようにしてＩＰアドレスが一時的に割り当てられると、加入者端末２０１はそのウェブ（ＷＥＢ）ブラウザを用いてログイン用ウェブサーバ２１５にアクセスする。ログイン用ウェブサーバ２１５は、“ｈｔｔｐ”（ｈｙｐｅｒｔｅｘｔ ｔｒａｎｓｆｅｒ ｐｒｏｔｏｃｏｌ）手順でユーザＩＤとパワーを入力するために必要とされる画面情報を加入者端末２０１に送信する。ここで“ｈｔｔｐ”手順とは、ＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）転送のためのハイパーテキスト転送プロトコルとして規定された要求と返答を組み合わせた手順をいう。画面情報の送信によって、加入者端末２０１は認証のためのユーザＩＤとパワーを入力する画面を表示することができる。
【００４９】
この画面の表示状態で加入者は加入者端末２０１を操作して、ユーザＩＤとパスワードを“ｈｔｔｐ”手順で入力する。ログイン用ウェブサーバ２１５は“ｈｔｔｐ”手順でアクセスしてきた加入者端末２０１のＩＰアドレスを管理用ＩＰネットワーク２１２を経由してデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６に渡す。デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６は加入者端末２０１のＩＰアドレスを受け取ると、そのＩＰアドレスに対応する加入者端末２０１のＭＡＣアドレスをログイン用ウェブサーバ２１５に通知する。ログイン用ウェブサーバ２１５は加入者端末２０１のＭＡＣアドレスの通知を受けると、これと先に受け取ったユーザＩＤおよびパスワードを、管理用ＩＰネットワーク２１２を経由して第１および第２のＲＡＤＩＵＳサーバ２１３１、２１３２のうち該当するものへ渡して認証の依頼を行う。
【００５０】
今、加入者端末２０１がインターネットの接続について契約を行っている第１のインターネットサービスプロバイダ２０８１に関しては、第１のＲＡＤＩＵＳサーバ２１３１がこれを担当することになる。なお、第２のＲＡＤＩＵＳサーバ２１３２は第１のＲＡＤＩＵＳサーバ２１３１と基本的に同一の構成となっているため、その動作についての説明は省略する。
【００５１】
この例の場合、第１のＲＡＤＩＵＳサーバ２１３１は、ログイン用ウェブサーバ２１５から受け取ったユーザＩＤとパスワードを認証する。そしてその結果をログイン用ウェブサーバ２１５に通知する。このとき、第１のＲＡＤＩＵＳサーバ２１３１はユーザＩＤとＭＡＣアドレスとを図示しない記憶領域に記憶しておく。
【００５２】
ログイン用ウェブサーバ２１５は、第１のＲＡＤＩＵＳサーバ２１３１から認証結果を受け取る。パスワードが一致しない等の理由で認証が失敗であれば、ログイン用ウェブサーバ２１５はその旨を示す画面を“ｈｔｔｐ”手順で加入者端末２０１に送り込む。認証が成功であれば、成功であることを示す画面を同様に“ｈｔｔｐ”手順で加入者端末２０１に送り込む。また、認証が成功の場合、ログイン用ウェブサーバ２１５は物理ポート切替スイッチ２０４に対して、今後この加入者端末２０１のＭＡＣアドレスを有するパケット信号を受け取った場合にはこれを認証ポート２０５と接続された認証ＩＰネットワーク２０７にフォワードするように指示を送出する。
【００５３】
この指示を受けた物理ポート切替スイッチ２０４は、前記したＭＡＣアドレス登録テーブルにそのＭＡＣアドレスを登録する。そして、加入者端末２０１がログアウトしない限り、同一のＭＡＣアドレスを持ったパケット信号が到来したとき、認証ポート２０５に接続された認証ＩＰネットワーク２０７にフォワードするように動作することになる。
【００５４】
このようにして加入者端末２０１がこれ以後、ローカルエリアネットワーク２０２に送出するパケット信号は物理ポート切替スイッチ２０４を介して認証ＩＰネットワーク２０７にフォワードされるが、ＩＰアドレスのリース時間は有限である。そこで、加入者端末２０１はリース時間ｔの２分の１の時間が経過すると（ステップＳ５０４）、リースの延長を求めるＤＨＣＰリクエストパケットを送出する（ステップＳ５０５）。このＤＨＣＰリクエストパケットはユニキャストフレームとして送信される。臨時のＩＰアドレスが発行されたこの時点ではデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６を宛先として送出される。
【００５５】
このＤＨＣＰリクエストに対して、該当するデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６から“ａｃｋ”信号が返却されてきたときには（ステップＳ５０６：Ｙ）、そのデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６はその時点でリース時間ｔを再延長している。したがって、加入者端末２０１はリース時間ｔの２分の１の時間が経過するたびに同じ動作を繰り返すようにすることでリース時間ｔを何回でも延長することができる。このようなリース時間ｔが設けられている主旨は、加入者端末２０１がログアウトをしても同一のＩＰアドレスを保持する事態を避けて、予め用意したＩＰアドレスが枯渇することを防止するためである。
【００５６】
ところで、加入者端末２０１がステップＳ５０５でリースの延長を求めるＤＨＣＰリクエストパケットを送出したにも係わらず該当するデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６が何らかの原因で“ａｃｋ”信号を返送しない場合がある（ステップＳ５０６：Ｎ）。このような場合には、リース時間ｔの８分の７の時間が経過する前までは（ステップＳ５０７：Ｙ）、ステップＳ５０５に戻ってユニキャストフレームでＤＨＣＰリクエストパケットを繰り返し送出する。
【００５７】
このようにＤＨＣＰリクエストパケットを繰り返し送出しても、該当するデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６から“ａｃｋ”信号が送り返されない場合には（ステップＳ５０７：Ｎ）、リース時間ｔの８分の７の時間に到達した時点で（ステップＳ５０７：Ｎ）、今度はブロードキャストフレームでＤＨＣＰリクエストパケットを送出する（ステップＳ５０８）。これにより、このＤＨＣＰリクエストはデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６だけでなく認証ＩＰネットワークＤＨＣＰサーバ２１１にも伝達されることになる。
【００５８】
このＤＨＣＰリクエストに対して認証ＩＰネットワークＤＨＣＰサーバ２１１から“ａｃｋ”信号が送り返された場合には（ステップＳ５０９：Ｙ）、リース時間ｔが更新される。これにより処理はステップＳ５０４に戻ることになる。これに対して“ａｃｋ”信号が送り返されてこなかったような場合には（ステップＳ５０９：Ｎ）、リース時間ｔが切れるまで（ステップＳ５１０：Ｎ）、ブロードキャストフレームでＤＨＣＰリクエストパケットを繰り返し送出する（ステップＳ５０８）。そして、リース時間ｔが切れた時点で（ステップＳ５１０：Ｙ）、そのＩＰアドレスを開放することになる（ステップＳ５１１）。
【００５９】
ところで、認証ＩＰネットワークＤＨＣＰサーバ２１１はＤＨＣＰ手順によって加入者端末２０１のＭＡＣアドレスを知ることができる。そこで認証ＩＰネットワークＤＨＣＰサーバ２１１は管理用ＩＰネットワーク２１２を経由して担当の第１のＲＡＤＩＵＳサーバ２１３１に加入者端末２０１のＭＡＣアドレスを渡して、これに対して割り当てるべき適切なＩＰアドレスを通知するように依頼する。
【００６０】
第１のＲＡＤＩＵＳサーバ２１３１はこの依頼を受けると、認証ＩＰネットワークＤＨＣＰサーバ２１１から加入者端末２０１のＭＡＣアドレスを受け取り、先に記憶しておいたユーザＩＤとＭＡＣアドレスの組み合わせから対応するユーザＩＤを取り出す。そしてこのユーザＩＤに割り当てるべきＩＰアドレスを決定し、認証ＩＰネットワークＤＨＣＰサーバ２１１に対してこの決定したＩＰアドレスを通知する。なお、このＩＰアドレスは第１のＲＡＤＩＵＳサーバ２１３１が事前にストックしておいたアドレスの中から払い出すものであるが、これに限るものではない。たとえはデフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６が臨時で与えたＩＰアドレスをそのまま与えても差し支えない。ただし、デフォルトＩＰネットワーク用ＤＨＣＰサーバ２１６が臨時で与えるＩＰアドレスは、ネットワークサービスプロバイダ２０３内で他のＩＰアドレスと競合するものでなければどのようなものでもよいが、第１のＲＡＤＩＵＳサーバ２１３１や第２のＲＡＤＩＵＳサーバ２１３２が払い出すＩＰアドレスはネットワークサービスプロバイダ２０３の外でも同一のものが無いことが条件となる。
【００６１】
認証ＩＰネットワークＤＨＣＰサーバ２１１は、割り当てるべきＩＰアドレスを、この例の場合、第１のＲＡＤＩＵＳサーバ２１３１から通知されると、加入者端末２０１からのＤＨＣＰリクエストパケットに対してＩＰアドレスを割り当てたことを通知する割当通知パケットを返送する。
【００６２】
ところでＩＰサブネット振分スイッチ２０９は、認証ＩＰネットワーク２０７からＩＰパケットが送られてくると、レイヤ３のＩＰサブネットワークアドレスをチェックして、それぞれ該当するＩＰネットワークへフォワードするようにこれらの対応関係をスタティックに設定している。その結果、たとえば第１のターゲットＩＰネットワーク２１４１のサブネットワークに一致したサブネットワークアドレスのＩＰパケットが到来すればこれを第１のターゲットＩＰネットワーク２１４１へフォワードする。また、第２のターゲットＩＰネットワーク２１４２のサブネットワークに一致したサブネットワークアドレスのＩＰパケットが到来すればこれを第２のターゲットＩＰネットワーク２１４２へフォワードすることになる。
【００６３】
先の例では、加入者端末２０１がインターネット網へのアクセスについて第１のインターネットサービスプロバイダ２０８１と契約している。したがって、第１のＲＡＤＩＵＳサーバ２１３１が加入者端末２０１用のＩＰアドレスを与えることになる。このＩＰアドレスのパケット信号はＩＰサブネット振分スイッチ２０９で第１のターゲットＩＰネットワーク２１４１の第１のインターネットサービスプロバイダ２０８１に送られ、これを経由して図示しないインターネット網に転送されることになる。
【００６４】
＜第２の実施例＞
【００６５】
図５は、本発明の第２の実施例におけるユーザ認証システムを表わしたものである。このユーザ認証システム６００は、ある会社が社員や協力会社のスタッフのそれぞれにアクセスできるローカルエリアネットワークを振り分けるようにした認証システムである。ユーザ認証システム６００は、パーソナルコンピュータからなる第１〜第Ｎの入出力端末６０１１〜６０１Ｎと、これらに共通して接続された社内一般向けローカルエリアネットワーク（ＬＡＮ）６０２と、特殊目的あるいは用途の第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍと、これら第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍに対する認証と振分けを行う認証・振分け装置６０４とから構成されている。
【００６６】
ここで、認証・振分け装置６０４は社内一般向けローカルエリアネットワーク６０２と接続された物理ポート切替スイッチ６１１を備えている。物理ポート切替スイッチ６１１は認証の行われたユーザの一覧を登録するユーザ登録テーブル６１２を備えている。ユーザ登録テーブル６１２はユーザが第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍのうちの特定のものにログインする要求を行って認証が成功したときに登録され、その専門別ローカルエリアネットワーク６０３からログアウトしたときに登録を消去されるようになっている。
【００６７】
物理ポート切替スイッチ６１１はこのユーザ登録テーブル６１２の他に先の実施例と同様の未認証ポート６１３と認証ポート６１４を備えている。ユーザ登録テーブル６１２に登録されていないユーザからアクセスがあったときには未認証ポート６１３が選択され、送られてきたブロードキャストアドレスのパケットはこの未認証ポート６１３に接続された未認証用ネットワーク６１６に転送される。未認証用ネットワーク６１６には、ログイン用ウェブサーバ６１７とデフォルトアドレスサーバ６１８が接続されている。これらログイン用ウェブサーバ６１７とデフォルトアドレスサーバ６１８は管理用ネットワーク６１９にも接続されている。
【００６８】
一方、認証ポート６１４には認証用ネットワーク６２１が接続されている。認証用ネットワーク６２１にはユーザが第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍのうちのいずれか希望するものにログインするための認証を行う認証サーバ６２２と、アドレス振分スイッチ６２３が接続されている。アドレス振分スイッチ６２３はユーザから送られてきたパケット信号のサブアドレスに応じて第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍのいずれかにこのパケット信号を振り分けて送出するようになっている。認証サーバ６２２は管理用ネットワーク６１９にも接続されている。また、管理用ネットワーク６１９にはこれ以外にサブアドレス付与サーバ６２４が接続されている。サブアドレス付与サーバ６２４は認証されたパケット信号のユーザに対して希望する専門別ローカルエリアネットワーク６０３に対応したサブアドレスを付与するようになっている。
【００６９】
このようなユーザ認証システム６００で、たとえば光ファイバの研究者であるユーザＡが社内の光ファイバに関する技術情報を集めた第１の専門別ローカルエリアネットワーク６０３１にアクセスする場合を例にとって説明する。ユーザＡは自己の社員証の磁気情報を第１〜第Ｎの入出力端末６０１１〜６０１Ｎのいずれかに接続された図示しない磁気情報読取装置から読み取らせる。この情報を組み込んだパケット信号は、認証・振分け装置６０４の物理ポート切替スイッチ６１１に入力される。
【００７０】
物理ポート切替スイッチ６１１ではこのパケット信号に組み込まれた磁気カードの読取情報をキーとしてユーザ登録テーブル６１２を検索し、未認証であることを知る。そこで、このパケット信号は未認証ポート６１３から未認証用ネットワーク６１６に転送される。デフォルトアドレスサーバ６１８はこのパケット信号を受信するとこのユーザＡに臨時で対応するＩＰアドレスを発行する。このＩＰアドレスはパケット信号の送信元のユーザＡに返送される。ユーザＡはこのＩＰアドレスを使用したパケット信号を認証要求のために送信し、ログイン用ウェブサーバ１７によって一般的なブラウザによって認証用の画面が表示される。ユーザＡはこの状態で、ログインする希望の第１の専門別ローカルエリアネットワーク６０３１の名称と自己のパスワードを入力することになる。
【００７１】
この入力情報は先の磁気情報と共に認証サーバ６２２に与えられる。認証サーバ６２２は第１〜第Ｍの専門別ローカルエリアネットワーク６０３１〜６０３Ｍのそれぞれに対する社員ごとのアクセス権限を記したテーブルを参照し、認証の可否を決定する。認証が成功したときにはサブアドレス付与サーバ６２４がユーザＡの希望した第１の専門別ローカルエリアネットワーク６０３１に対応したサブアドレスをユーザＡ用に設定する。このサブアドレスは認証成功の通知と共に社内一般向けローカルエリアネットワーク６０２を経てユーザＡに返送される。また、認証が成功した時点でユーザ登録テーブル６１２にユーザＡが登録される。
【００７２】
この後、ユーザＡが第１の専門別ローカルエリアネットワーク６０３１に向けたパケット信号を送出すると、物理ポート切替スイッチ６１１はこれを認証ポート６１４から認証用ネットワーク６２１に向けて送り出す。このパケット信号はアドレス振分スイッチ６２３に入力される。アドレス振分スイッチ６２３はパケット信号のサブアドレスを見て、このパケット信号を第１の専門別ローカルエリアネットワーク６０３１に転送することになる。
【００７３】
なお、以上説明した第１の実施例では付与されたＩＰアドレスのサブアドレスを用いてターゲットＩＰネットワークを振り分ける処理を行ったが、そのパケット信号のＭＡＣアドレスを併せて使用して、たとえば両者が一致する通信ネットワークに対してパケット信号の振り分けを行うことも可能である。これにより、ＩＰアドレスを使用しただけの場合と比べて第三者が不用意にＩＰネットワークに侵入する事態を回避し、セキュリティを向上させることができる。
【００７４】
また、第１の実施例では付与されたＩＰアドレスのサブアドレスを用いてパケット信号の振り分けを行ったが、ＭＡＣアドレスのみで振り分けを行うことも可能である。
【００７５】
【発明の効果】
以上説明したように請求項１記載の発明によれば、通信端末が送出したパケット信号を、認証を要する所定の通信ネットワークの手前に配置された物理ポート切替手段が入力し、これが認証済でない場合にはそのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与えると共にログイン画面表示手段でログインの際の画面表示を行うようにした。これにより、通信端末にインターネット上の情報を表示するために一般的に備えられているブラウザを使用してログイン操作が可能になる。すなわち、ログインのために特別のソフトウェアを通信端末にインストールする必要がない。また、認証が成功した場合には一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するためのネットワークアドレスが与えられるので、それ以後は物理ポート切替手段の認証済ポートを介して所望の通信ネットワークとの通信が可能になる。ネットワークアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ネットワークアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００７６】
また、請求項２記載の発明によれば、ネットワーク振り分け手段を備えているので、通信端末が与えられたネットワークアドレスを使用することで単純にパケット信号の振り分けを行うことができる。
【００７７】
更に請求項３記載の発明によれば、通信端末が送出したパケット信号を、認証を要する所定の通信ネットワークの手前に配置された物理ポート切替手段が入力し、これが認証済でない場合にはそのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与えると共にログイン画面表示手段でログインの際の画面表示を行うようにした。これにより、通信端末にインターネット上の情報を表示するために一般的に備えられているブラウザを使用してログイン操作が可能になる。すなわち、ログインのために特別のソフトウェアを通信端末にインストールする必要がない。また、認証が成功した場合には一時使用ＩＰアドレスに代えて正規のＩＰアドレスを与えるので、それ以後は物理ポート切替手段の認証済ポートを介して所望の通信ネットワークとの通信が可能になる。ＩＰアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。また、ネットワークアドレスによってパケット信号の宛先を処理するので、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。
【００７８】
また請求項４記載の発明によれば、ＩＰサブネット振り分け手段を備えているので、通信端末が与えられたＩＰアドレスを使用することで単純にパケット信号の振り分けを行うことができる。
【００７９】
更に請求項６記載の発明によれば、ＩＰサブネット振り分け手段は、ＩＰアドレスと通信端末のＭＡＣアドレスのいずれかを用いて通信端末から送られてきたパケット信号の振り分けを行うので、異なった観点からパケット信号の振り分けを行うことができる。
【００８０】
また請求項７記載の発明によれば、通信端末からアクセスがあったときこれに対してインターネットでアクセス可能なアドレスを与えてウェブ表示画面を用いて認証の手続きを行うので、通信端末に特別な認証用のアプリケーションソフトウェアをインストールすることなく、通常備わっているブラウザを使用して認証のための操作が可能である。
【００８１】
更に請求項８記載の発明によれば、ＩＰサブネット振り分け手段は、ＩＰアドレスとＭＡＣアドレスの双方が一致したことをもってパケット信号の振り分け先を決めることにしたので、アクセスに対するセキュリティを高めることが可能になる。
【００８２】
また請求項９記載の発明によれば、一時使用ＩＰアドレス返送ステップで一時使用ＩＰアドレスを通信端末に返送し、これを使用させて認証要求を行わせることにしたので、この一時使用ＩＰアドレスを使用して認証のための手続きをインターネットサービスプロバイダの手前側で簡易に処理することができる。また、個々のインターネットサービスプロバイダ用にＩＰアドレスを振り分けておくことで、通信端末側から送られてきたパケット信号のＩＰアドレスを判読することでどのインターネットサービスプロバイダに振り分けるかを簡易に判別することができ、ポイントツーポイントプロトコルを使用した技術と比較して処理が単純化し、スループットが低下することはない。しかもＩＰアドレスの数は前記したＶＬＡＮフィールドのビット数による制限がないので、通信システムの構築の自由度が拡大する。
【図面の簡単な説明】
【図１】本発明の第１の実施例におけるユーザ認証システムを表わしたシステム構成図である。
【図２】本実施例の物理ポート切替スイッチの制御の様子を表わした流れ図である。
【図３】本実施例のユーザ認証システムにおける認証およびパケット信号の振り分けの原理を示した説明図である。
【図４】ＤＨＣＰリクエストパケットが送出された時点以降の本実施例のユーザ認証システムにおける加入者端末側の処理の概要を表わした流れ図である。
【図５】本発明の第２の実施例におけるユーザ認証システムを表わしたシステム構成図である。
【図６】ＡＤＳＬを使用してネットワークサービスプロバイダに接続する従来の通信システムの概要を表わしたシステム構成図である。
【図７】ポイントツーポイントプロトコルを使用しないで済む従来提案された通信システムの概要を表わしたシステム構成図である。
【符号の説明】
２００、６００ ユーザ認証システム
２０１ 加入者端末
２０２ ローカルエリアネットワーク
２０４、６１１ 物理ポート切替スイッチ
２０５ 認証ポート
２０６ 未認証ポート
２０７ 認証ＩＰネットワーク
２０９ ＩＰサブネット振分スイッチ
２１１ 認証ＩＰネットワークＤＨＣＰサーバ
２１２ 管理用ＩＰネットワーク
２１３ ＲＡＤＩＵＳサーバ
２１４ ターゲットＩＰネットワーク
２１５、６１７ ログイン用ウェブサーバ
２１６ デフォルトＩＰネットワーク用ＤＨＣＰサーバ
２１７ デフォルトＩＰネットワーク
４０１ パケット信号
４０２ ユーザ認証手段
４０３ ＩＰサブネットアドレス払出手段
４０４ ＩＰアドレスＭＡＣアドレスフィルタ手段
４０５ 振分手段
６０１ 入出力端末
６０２ 社内一般向けローカルエリアネットワーク
６０３ 専門別ローカルエリアネットワーク
６０４ 認証・振分け装置
６１８ デフォルトアドレスサーバ
６２２ 認証サーバ
６２３ アドレス振分スイッチ
６２４ サブアドレス付与サーバ
Claims (9)
- 通信端末と、
この通信端末から認証を要する所定の通信ネットワークに対して送り出されたパケット信号をその手前で入力するパケット信号入力手段と、このパケット信号入力手段が入力したパケット信号が前記所定の通信ネットワークに認証を受けたものであるか否かを判別する認証有無判別手段と、この認証有無判別手段が未認証と判別したときこれを出力する未認証ポートと、前記認証有無判別手段が認証済と判別したときこれを出力する認証済ポートとを備えた物理ポート切替手段と、
この物理ポート切替手段の未認証ポートから前記パケット信号が出力されたとき、そのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与える一時使用アドレス提供手段と、
この一時使用アドレス提供手段の提供した一時使用ＩＰアドレスと通信端末の対応関係を記憶する一時使用ＩＰアドレス通信端末対応記憶手段と、
前記一時使用アドレス提供手段によって一時使用ＩＰアドレスの提供を受けた通信端末が前記所定の通信ネットワークに対して認証を受けるためにログインしそのパケット信号が前記未認証ポートから出力されたときこれを入力してログイン画面を表示するログイン画面表示手段と、
このログイン画面表示手段を使用して前記通信端末からログインが行われたときこれに対して認証を行うか否かを判別する認証可否判別手段と、
この認証可否判別手段が認証を行うと判別したとき前記一時使用ＩＰアドレス通信端末対応記憶手段に記憶された通信端末に対応させる形でこれに対して一時使用ＩＰアドレスに代えて認証の対象となった所望の通信ネットワークに転送するためのネットワークアドレスを与えるネットワークアドレス付与手段
とを具備することを特徴とするユーザ認証システム。 - 前記ネットワークアドレス付与手段によってネットワークアドレスを付与された前記通信端末がパケット信号を送出したときこれを前記認証済ポートを経て受信し、これを該当する通信ネットワークに振り分けるネットワーク振り分け手段を具備することを特徴とする請求項１記載のユーザ認証システム。
- 通信端末と、
この通信端末から認証を要する所定の通信ネットワークに対して送り出されたパケット信号をその手前で入力するパケット信号入力手段と、このパケット信号入力手段が入力したパケット信号が前記所定の通信ネットワークに認証を受けたものであるか否かを判別する認証有無判別手段と、この認証有無判別手段が未認証と判別したときこれを出力する未認証ポートと、前記認証有無判別手段が認証済と判別したときこれを出力する認証済ポートとを備えた物理ポート切替手段と、
この物理ポート切替手段の未認証ポートから前記パケット信号が出力されたとき、そのパケット信号を送出した通信端末に対してログイン用の一時使用ＩＰアドレスを一時的に与える一時使用アドレス提供手段と、
この一時使用アドレス提供手段の提供した一時使用ＩＰアドレスと通信端末の対応関係を記憶する一時使用ＩＰアドレス通信端末対応記憶手段と、
前記一時使用アドレス提供手段によって一時使用ＩＰアドレスの提供を受けた通信端末が前記所定の通信ネットワークに対して認証を受けるためにログインしそのパケット信号が前記未認証ポートから出力されたときこれを入力してログイン画面を表示するログイン画面表示手段と、
このログイン画面表示手段を使用して前記通信端末からログインが行われたときこれに対して認証を行うか否かを判別する認証可否判別手段と、
この認証可否判別手段が認証を行うと判別したとき前記一時使用ＩＰアドレス通信端末対応記憶手段に記憶された通信端末に対応させる形でこれに対して一時使用ＩＰアドレスに代えて正規のＩＰアドレスを与える正規ＩＰアドレス付与手段
とを具備することを特徴とするユーザ認証システム。 - 前記正規ＩＰアドレス付与手段によってＩＰアドレスを付与された前記通信端末がパケット信号を送出したときこれを前記認証済ポートを経て受信し、これを該当するＩＰネットワークに振り分けるＩＰサブネット振り分け手段を具備することを特徴とする請求項３記載のユーザ認証システム。
- 前記認証有無判別手段は認証を受けているユーザを登録したユーザ登録部を備え、このユーザ登録部に登録されているか否かによってユーザごとに認証が行われているか否かを判別することを特徴とする請求項１または請求項３記載のユーザ認証システム。
- 前記ＩＰサブネット振り分け手段は、ＩＰアドレスと前記通信端末のＭＡＣアドレスのいずれかを用いて通信端末から送られてきたパケット信号の振り分けを行うことを特徴とする請求項４記載のユーザ認証システム。
- 通信端末と、
この通信端末からアクセスがあったときこれに対してインターネットでアクセス可能なアドレスを与えるアドレス付与手段と、
このアドレス付与手段によって付与されたアドレスを使用して前記通信端末が認証を要求したとき、インターネットアクセス時に表示されるウェブ表示画面を認証用画面として認証のための入力操作および表示を行わせる認証時ウェブアクセス手段
とを具備することを特徴とするユーザ認証システム。 - 前記ＩＰサブネット振り分け手段は、前記ＩＰアドレスとＭＡＣアドレスの双方が一致した宛先の通信ネットワークにパケット信号を振り分けることを特徴とする請求項４記載のユーザ認証システム。
- インターネットへのアクセスを行うに際してローカルエリアネットワークに接続されたネットワークサービスプロバイダに対して所定の通信端末からパケット信号を送出しインターネットへのアクセス要求を行うインターネットアクセス要求ステップと、
このインターネットアクセス要求ステップでインターネットへのアクセス要求があったときこの通信端末に対してログイン用の一時使用ＩＰアドレスを返送する一時使用ＩＰアドレス返送ステップと、
この一時使用ＩＰアドレス返送ステップで返送されてきた一時使用ＩＰアドレスを使用して前記通信端末から特定のインターネットサービスプロバイダに対する認証要求のパケット信号を送出する認証要求ステップと、
この認証要求ステップで送られてきたパケット信号に記された情報を基にして前記特定のインターネットサービスプロバイダの認証が得られるか否かをネットワークサービスプロバイダ側で判別する認証可否判別ステップと、
この認証可否判別ステップで認証が得られると判別したときその通信端末に対して前記特定のインターネットサービスプロバイダ用に割り当てられたＩＰアドレスを返送する正規ＩＰアドレス返送ステップと、
この正規ＩＰアドレス返送ステップで返送されてきた正規ＩＰアドレスを使用して前記通信端末からインターネットアクセス用のパケット信号を送出するインターネットアクセス用パケット信号送出ステップと、
このインターネットアクセス用パケット信号送出ステップで送出されたパケット信号を受信しその前記正規ＩＰアドレスを見てこれを前記特定のインターネットサービスプロバイダに振り分けるパケット信号振り分けステップ
とを具備することを特徴とするユーザ認証方法。
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002200920A JP4023240B2 (ja) | 2002-07-10 | 2002-07-10 | ユーザ認証システム |
| US10/614,800 US7437552B2 (en) | 2002-07-10 | 2003-07-09 | User authentication system and user authentication method |
| CNA031474314A CN1471259A (zh) | 2002-07-10 | 2003-07-10 | 用户认证系统和用户认证方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002200920A JP4023240B2 (ja) | 2002-07-10 | 2002-07-10 | ユーザ認証システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004048234A true JP2004048234A (ja) | 2004-02-12 |
| JP4023240B2 JP4023240B2 (ja) | 2007-12-19 |
Family
ID=30437270
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002200920A Expired - Fee Related JP4023240B2 (ja) | 2002-07-10 | 2002-07-10 | ユーザ認証システム |
Country Status (3)
| Country | Link |
|---|---|
| US (1) | US7437552B2 (ja) |
| JP (1) | JP4023240B2 (ja) |
| CN (1) | CN1471259A (ja) |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005318615A (ja) * | 2004-04-27 | 2005-11-10 | Microsoft Corp | ネットワーク検疫を提供するためのシステムおよび方法 |
| KR100684324B1 (ko) | 2005-11-15 | 2007-02-16 | 한국전자통신연구원 | 휴대인터넷 시스템에서 무인증을 제공하는 인증 방법 |
| JP2007049411A (ja) * | 2005-08-10 | 2007-02-22 | Fujitsu Ltd | サブネット設定方法，ローカルエリアネットワークシステム，管理装置およびｌａｎスイッチ |
| JP2009200980A (ja) * | 2008-02-23 | 2009-09-03 | Nec Corp | Ｄｈｃｐクライアントへ最新認証キーを配布するネットワークシステム及び方法 |
| JP2011107796A (ja) * | 2009-11-13 | 2011-06-02 | Alaxala Networks Corp | 複数認証サーバを有効利用する装置、システム |
| US9225684B2 (en) | 2007-10-29 | 2015-12-29 | Microsoft Technology Licensing, Llc | Controlling network access |
| JP2017011516A (ja) * | 2015-06-23 | 2017-01-12 | Ｎｅｃプラットフォームズ株式会社 | ネットワーク装置、認証システムおよび認証方法 |
Families Citing this family (32)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7237257B1 (en) * | 2001-04-11 | 2007-06-26 | Aol Llc | Leveraging a persistent connection to access a secured service |
| JP2003333096A (ja) * | 2002-05-08 | 2003-11-21 | Nec Corp | メール着信拒否システム，メール着信拒否方法およびメール着信拒否プログラム |
| JP4110890B2 (ja) * | 2002-09-03 | 2008-07-02 | 株式会社日立製作所 | パケット通信システム |
| US9614772B1 (en) | 2003-10-20 | 2017-04-04 | F5 Networks, Inc. | System and method for directing network traffic in tunneling applications |
| JP2005204189A (ja) * | 2004-01-19 | 2005-07-28 | Hitachi Communication Technologies Ltd | アクセスユーザ管理システム、アクセスユーザ管理装置 |
| US7558866B2 (en) * | 2004-12-08 | 2009-07-07 | Microsoft Corporation | Method and system for securely provisioning a client device |
| US20060250966A1 (en) * | 2005-05-03 | 2006-11-09 | Yuan-Chi Su | Method for local area network security |
| US7542468B1 (en) * | 2005-10-18 | 2009-06-02 | Intuit Inc. | Dynamic host configuration protocol with security |
| CN101317369B (zh) * | 2005-11-29 | 2015-11-25 | 艾利森电话股份有限公司 | 接入系统中的方法和装置 |
| US20080120706A1 (en) * | 2006-11-20 | 2008-05-22 | Inventec Multimedia & Telecom Corporation | Network audio / video communication system and method |
| US20080177868A1 (en) * | 2007-01-23 | 2008-07-24 | Itai Ephraim Zilbershtein | Address Provisioning |
| US8272039B2 (en) * | 2008-05-02 | 2012-09-18 | International Business Machines Corporation | Pass-through hijack avoidance technique for cascaded authentication |
| CN101287017B (zh) * | 2008-05-19 | 2013-12-25 | 郑宽永 | 主动式ip地址分配方法及系统 |
| US9832069B1 (en) | 2008-05-30 | 2017-11-28 | F5 Networks, Inc. | Persistence based on server response in an IP multimedia subsystem (IMS) |
| CN101286887B (zh) * | 2008-06-12 | 2012-08-08 | 杭州华三通信技术有限公司 | 实现终端注册的方法、装置及系统 |
| US8086633B2 (en) * | 2009-08-27 | 2011-12-27 | International Business Machines Corporation | Unified user identification with automatic mapping and database absence handling |
| CN102026160A (zh) * | 2009-09-21 | 2011-04-20 | 中兴通讯股份有限公司 | 一种移动回程网安全接入的方法和系统 |
| CN101888389B (zh) * | 2010-07-19 | 2013-04-17 | 中国电信股份有限公司 | 一种实现icp联盟统一认证的方法和系统 |
| US9544387B2 (en) * | 2011-06-01 | 2017-01-10 | Hewlett Packard Enterprise Development Lp | Indication of URL prerequisite to network communication |
| US8806043B1 (en) * | 2011-06-24 | 2014-08-12 | Juniper Networks, Inc. | Server selection during retransmit of a request |
| EP2763351A4 (en) * | 2011-09-26 | 2015-02-18 | Mitsubishi Electric Corp | IP ADDRESS DISTRIBUTION SYSTEM AND IP ADDRESS DISTRIBUTION METHOD |
| CN102932792B (zh) * | 2012-11-14 | 2016-06-15 | 邦讯技术股份有限公司 | 一种实现无线网络云的方法及控制器 |
| CN103841219B (zh) * | 2012-11-21 | 2017-11-24 | 华为技术有限公司 | 释放ip地址的方法、装置及接入设备 |
| US10776838B2 (en) * | 2016-03-01 | 2020-09-15 | Mx Technologies, Inc. | Item level data aggregation |
| US20180013798A1 (en) * | 2016-07-07 | 2018-01-11 | Cisco Technology, Inc. | Automatic link security |
| CN106713362A (zh) * | 2017-02-27 | 2017-05-24 | 深圳市携网科技有限公司 | 一种对wifi接入上网实现安全审查的方法 |
| US11068581B1 (en) * | 2018-01-26 | 2021-07-20 | EMC IP Holding Company LLC | Techniques for establishing host connectivity |
| US11165821B2 (en) * | 2018-01-27 | 2021-11-02 | Systems & Technology Research, Llc | System and method of authenticating the source of a communication signal transmitted along a network bus |
| US11700282B2 (en) | 2020-10-26 | 2023-07-11 | Netskope, Inc. | Dynamic hyper context-driven microsegmentation |
| US11539731B2 (en) | 2020-10-26 | 2022-12-27 | Netskope, Inc. | Dynamic hyper context-driven microsegmentation |
| CN114244695B (zh) * | 2021-12-31 | 2024-03-19 | 普联技术有限公司 | 隔离网络的终端上线配置方法、装置及网络管理系统 |
| CN115297090B (zh) * | 2022-08-03 | 2024-03-15 | 明阳产业技术研究院(沈阳)有限公司 | 一种地址分配方法、装置、设备和介质 |
Family Cites Families (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP0812086B1 (en) * | 1996-06-07 | 2007-09-05 | Nippon Telegraph And Telephone Corporation | Vlan control system and method |
| JPH10173691A (ja) | 1996-12-13 | 1998-06-26 | Mitsubishi Electric Corp | Ｌａｎ連接装置 |
| US6009103A (en) * | 1997-12-23 | 1999-12-28 | Mediaone Group, Inc. | Method and system for automatic allocation of resources in a network |
| US6748439B1 (en) * | 1999-08-06 | 2004-06-08 | Accelerated Networks | System and method for selecting internet service providers from a workstation that is connected to a local area network |
| US6907470B2 (en) * | 2000-06-29 | 2005-06-14 | Hitachi, Ltd. | Communication apparatus for routing or discarding a packet sent from a user terminal |
| JP2002026954A (ja) | 2000-07-03 | 2002-01-25 | Nec Soft Ltd | ネットワークアドレス管理システム及び方法 |
| JP4567173B2 (ja) | 2000-11-07 | 2010-10-20 | エヌ・ティ・ティ・コミュニケーションズ株式会社 | 集線・接続システム、集線・接続方法及び集線・接続装置 |
| JP4446368B2 (ja) * | 2001-09-14 | 2010-04-07 | 富士通株式会社 | コラボレーション方法、システム、プログラム及び記録媒体 |
-
2002
- 2002-07-10 JP JP2002200920A patent/JP4023240B2/ja not_active Expired - Fee Related
-
2003
- 2003-07-09 US US10/614,800 patent/US7437552B2/en not_active Expired - Fee Related
- 2003-07-10 CN CNA031474314A patent/CN1471259A/zh active Pending
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005318615A (ja) * | 2004-04-27 | 2005-11-10 | Microsoft Corp | ネットワーク検疫を提供するためのシステムおよび方法 |
| JP2007049411A (ja) * | 2005-08-10 | 2007-02-22 | Fujitsu Ltd | サブネット設定方法，ローカルエリアネットワークシステム，管理装置およびｌａｎスイッチ |
| JP4763377B2 (ja) * | 2005-08-10 | 2011-08-31 | 富士通株式会社 | サブネット設定方法，ローカルエリアネットワークシステムおよび管理装置 |
| KR100684324B1 (ko) | 2005-11-15 | 2007-02-16 | 한국전자통신연구원 | 휴대인터넷 시스템에서 무인증을 제공하는 인증 방법 |
| US9225684B2 (en) | 2007-10-29 | 2015-12-29 | Microsoft Technology Licensing, Llc | Controlling network access |
| JP2009200980A (ja) * | 2008-02-23 | 2009-09-03 | Nec Corp | Ｄｈｃｐクライアントへ最新認証キーを配布するネットワークシステム及び方法 |
| JP2011107796A (ja) * | 2009-11-13 | 2011-06-02 | Alaxala Networks Corp | 複数認証サーバを有効利用する装置、システム |
| JP2017011516A (ja) * | 2015-06-23 | 2017-01-12 | Ｎｅｃプラットフォームズ株式会社 | ネットワーク装置、認証システムおよび認証方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN1471259A (zh) | 2004-01-28 |
| US20040107364A1 (en) | 2004-06-03 |
| JP4023240B2 (ja) | 2007-12-19 |
| US7437552B2 (en) | 2008-10-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4023240B2 (ja) | ユーザ認証システム | |
| US6603758B1 (en) | System for supporting multiple internet service providers on a single network | |
| JP4541848B2 (ja) | ユーザ端末接続制御方法および装置 | |
| JP3920305B1 (ja) | パケット転送装置 | |
| JP4260116B2 (ja) | 安全な仮想プライベート・ネットワーク | |
| US20060146837A1 (en) | Server for routing connection to client device | |
| JP5239341B2 (ja) | ゲートウェイ、中継方法及びプログラム | |
| JP3419391B2 (ja) | 認証拒否端末に対し特定条件でアクセスを許容するｌａｎ | |
| JP2007221533A (ja) | Ｐｐｐゲートウェイ装置 | |
| JP2002123491A (ja) | 認証代行方法、認証代行装置、及び認証代行システム | |
| JP3616570B2 (ja) | インターネット中継接続方式 | |
| JP5261432B2 (ja) | 通信システム、パケット転送方法、ネットワーク交換装置、アクセス制御装置、及びプログラム | |
| JP2002084306A (ja) | パケット通信装置及びネットワークシステム | |
| JP4495049B2 (ja) | パケット通信サービスシステム、パケット通信サービス方法、エッジ側ゲートウェイ装置、およびセンタ側ゲートウェイ装置 | |
| JP2012070225A (ja) | ネットワーク中継装置及び転送制御システム | |
| JP2005064936A (ja) | 複数ＢＲＡＳ装置におけるＰＰＰｏＥセッション分散方法及びシステム | |
| JP2008160868A (ja) | パケット転送装置 | |
| JP2008010934A (ja) | ゲートウェイ装置、通信制御方法、プログラム、およびプログラムを記録した記憶媒体 | |
| JP4143663B2 (ja) | ネットワークシステム | |
| JP3953963B2 (ja) | 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム | |
| Cisco | Command Reference | |
| Cisco | Command Reference | |
| JP4608466B2 (ja) | 通信システムおよび通信方法 | |
| JP2003224577A (ja) | インターネット中継装置 | |
| KR20050000024A (ko) | 이더넷 기반의 인터넷 접속 서비스에서 ｉｄ 기반의가입자 접속 인증 시스템 및 그 방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050615 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20070406 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070626 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070824 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070911 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070924 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101012 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111012 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121012 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131012 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |