JP2004240819A - 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および分散型認証アクセス制御システム - Google Patents
認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および分散型認証アクセス制御システム Download PDFInfo
- Publication number
- JP2004240819A JP2004240819A JP2003030674A JP2003030674A JP2004240819A JP 2004240819 A JP2004240819 A JP 2004240819A JP 2003030674 A JP2003030674 A JP 2003030674A JP 2003030674 A JP2003030674 A JP 2003030674A JP 2004240819 A JP2004240819 A JP 2004240819A
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- terminal
- network
- access control
- control server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】私設網内の端末から一度の認証手続きのみで仮想閉域網内のアプリケーションサーバへのアクセスを可能にする。
【解決手段】認証機能付きパケット通信装置２は、私設網９に新たに端末が接続されると、端末の利用者に対して認証を要求し、認証に成功すると、その端末に対してアドレスを付与する。その後、アドレスを付与された端末が仮想閉域網７宛ての通信を要求すると、認証機能付きパケット通信装置２はそれを受けて、ネットワーク認証アクセス制御サーバ３に対して接続要求を行なう。ネットワーク認証アクセス制御サーバ３は、利用者端末から仮想閉域網７へのアクセスに必要となる認証情報を取得して、仮想閉域網７へのアクセスの認証を行なう。この認証が得られると、ネットワーク認証アクセス制御サーバ３は、利用者端末が仮想閉域網７に接続されるように、転送ノード５とリモートアクセスサーバ６に対して接続パスの設定を行なう。
【選択図】 図１
【解決手段】認証機能付きパケット通信装置２は、私設網９に新たに端末が接続されると、端末の利用者に対して認証を要求し、認証に成功すると、その端末に対してアドレスを付与する。その後、アドレスを付与された端末が仮想閉域網７宛ての通信を要求すると、認証機能付きパケット通信装置２はそれを受けて、ネットワーク認証アクセス制御サーバ３に対して接続要求を行なう。ネットワーク認証アクセス制御サーバ３は、利用者端末から仮想閉域網７へのアクセスに必要となる認証情報を取得して、仮想閉域網７へのアクセスの認証を行なう。この認証が得られると、ネットワーク認証アクセス制御サーバ３は、利用者端末が仮想閉域網７に接続されるように、転送ノード５とリモートアクセスサーバ６に対して接続パスの設定を行なう。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、分散型認証アクセス制御システムに関し、特にコネクションレス型通信網上に構築された仮想閉域網に対して、遠隔の私設網からアクセス（以下、リモートアクセス）するための認証を行ない、その私設網内の端末の仮想閉域網への接続の認証を行なう分散型認証アクセス制御システムに関する。
【０００２】
【従来の技術】
従来、企業通信網など特定の対地のみを接続する閉域網を構築するために、仮想閉域網が導入されている。コネクションレス型通信網における仮想閉域網は、伝送路、転送ノードを共有するのみならず、論理パス、論理回線も共有して、セキュリティを確保した転送制御がなされている。
【０００３】
また、仮想閉域網は特定の対地のみを接続するのではなく、特定の端末、またはルータ等の通信装置からのリモートアクセスを受け付けることができるようになっている。例えば、社員の自宅の端末や、事務所のルータから公衆の電話網あるいはＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）網等を経由して企業の仮想閉域網にアクセスし、会社のホストコンピュータに接続することができる。電話網等と仮想閉域網との間にリモートアクセスサーバが設置されており、端末やルータは、ダイアルアップ等でリモートアクセスサーバに接続し、仮想閉域網にアクセスすることが行なわれている。
【０００４】
リモートアクセスサーバと仮想閉域網とを接続する転送ノードと、リモートアクセスサーバと転送ノードとを制御する閉域網群制御サーバを備え、複数の仮想閉域網の利用者が共用している。リモートアクセスサーバと転送ノードとの間の物理回線を複数の仮想閉域網で利用して、設備の利用効率を向上させることが提案されている（特許文献１）。この特許文献１では、利用者からの接続要求に基づいて、リモートアクセスサーバは、仮想閉域網毎に仮想ルータ（以下、ＶＲ：Ｖｉｒｔｕａｌ Ｒｏｕｔｅｒと表記）を割り当て、ＶＲを１本の物理回線に接続する。利用者からの切断を契機に、リモートアクセスサーバは、ＶＲを開放し、他の仮想閉域網の利用者に割り当てる。
【０００５】
一方、仮想閉域網に代表される通信網への接続環境が整っていることを前提として、通信網上に接続されている複数のサーバ上のコンテンツへのアクセスを一度の認証で可能にする（以下、シングルサインオンと表記）方法として、網内に認証アクセス制御サーバを設置する方法が知られており、この方法はその処理形態によって、「リバース・プロキシ型」と「エージェント・モジュール型」とに分類される。
【０００６】
リバース・プロキシ型のシングルサインオンでは、サーバへのアクセス要求は全て認証アクセス制御サーバを中継して送信され、認証アクセス制御サーバは、中継時に、内部に持つ利用者毎のアクセスリストを参照してアクセス制御を行なう。
【０００７】
一方、エージェント・モジュール型のシングルサインオンでは、利用者は、まず認証アクセス制御サーバにログインする。認証に成功すると、認証アクセス制御サーバは、当該利用者がアクセス可能なアプリケーションサーバのリストをクッキーに埋め込んで利用者端末に送信する。その後、利用者がアプリケーションサーバにアクセスした時、コンテンツサーバ内のエージェント・モジュールがクッキー内の情報をもとにアクセスの可否を決定する。アプリケーションサーバに対して、認証アクセス制御サーバで認証されていない利用者からのアクセスがあった場合は、当該アプリケーションサーバ内のエージェント・モジュールがアクセス要求を認証アクセス制御サーバに転送して、認証を行なわせる。
【０００８】
なお、現在、企業連合であるＬｉｂｅｒｔｙ Ａｌｌｉａｎｃｅにおいて、エージェント・モジュール型をベースにしたシングルサインオンの方式の標準化が進められている。
【０００９】
【特許文献１】
特開２００２−１８５５３８号公報
【特許文献２】
特願２００３−００３１０８号
【００１０】
【発明が解決しようとする課題】
仮想閉域網に遠隔からアクセスする場合は、通常、仮想閉域網に接続した後、何らかの業務を行なうために、その仮想閉域網内のサーバにアクセスすることが考えられる。このため、本出願人は、遠隔の端末から仮想閉域網に対する接続認証をもって、当該仮想閉域網内の特定のアプリケーションサーバ群に対するアクセス時の認証を兼ねられるようにし、利用者が仮想閉域網への接続時に一度のみ認証手続きを行なうことで仮想閉域網内のアプリケーションサーバへのアクセスを可能とする技術を提案している（特許文献２）。
【００１１】
しかし、端末から直接仮想閉域網に接続するのではなく、既設の私設網からルータを介して仮想閉域網に接続する場合は、仮想閉域網への接続時に行なわれる認証は、当該私設網内で共通のルータとしての認証であり、私設網内の個々の端末の利用者の認証とはなっていないため、ルータの仮想閉域網への接続時の認証のみで私設網内の個々の端末から仮想閉域網内のアプリケーションサーバへのアクセスの認証を兼ねることはセキュリティ上問題がある。
【００１２】
本発明の目的は、遠隔の私設網からルータを介して仮想閉域網に接続する場合に、私設網内の各端末の利用者のセキュリティを損なうことなく、私設網内の端末から一度の認証手続きのみで仮想閉域網内のアプリケーションサーバへのアクセスを可能にする認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および分散型認証アクセス制御システムを提供することにある。
【００１３】
【課題を解決するための手段】
本発明の分散型認証アクセス制御システムは認証機能付きパケット通信装置とネットワーク認証アクセス制御サーバと転送ノードとリモートアクセスサーバとアプリケーション認証アクセス制御サーバとで構成され、遠隔の私設網内の端末が、認証機能付きパケット通信装置とリモートアクセスサーバおよび転送ノードを介して仮想閉域網に接続した上で、私設網内の端末から発行される仮想閉域網内のアプリケーションサーバへのアクセス要求を認証する。
【００１４】
本発明の認証機能付きパケット通信装置は、（１）端末が私設網に接続された時にその端末からの接続要求を受けて端末利用者の認証を行なう手段と、（２）（１）の認証に成功した場合にその端末にアドレスを付与する手段と、（３）（２）で付与したアドレスを管理する手段と、（４）私設網内の端末に付与したアドレスとして既に記録されているアドレスを持つ端末からの接続要求に対しては、その端末の利用者に対して改めて認証を求めないようにする手段と、（５）アドレスを付与済みの端末から仮想閉域網宛ての通信要求を受けて、リモートアクセスサーバに対して接続要求を送信する手段と、（６）リモートアクセスサーバへの接続要求時に、その時点までに認証機能付きパケット通信装置から私設網内の端末に付与済みのアドレスの情報をネットワーク認証アクセス制御サーバに通知する手段と、（７）仮想閉域網との間の接続パスが存在している間に新たに私設網内の端末の認証に成功した場合に、その端末に付与したアドレスをネットワーク認証アクセス制御サーバに通知する手段とを有する。
【００１５】
認証機能付きパケット通信装置は、（８）私設網内の利用者からの切断要求、もしくは自装置から自律的に発する切断要求を契機として、リモートアクセスサーバに対して、該認証機能付きパケット通信装置から私設網内の端末に付与した全アドレスの情報を含んだ切断要求を送信する手段と、（９）アドレスを付与した端末が私設網から切り離された場合に、当該端末用に付与したアドレスを無効にするとともに、ネットワーク認証アクセス制御サーバに対して当該アドレスを持つ端末の認証を無効にするように通知する手段とを任意に有する。
【００１６】
また、ネットワーク認証アクセス制御サーバは、（１）私設網内の認証機能付きパケット通信装置の、仮想閉域網への接続認証の認証状態と、認証機能付きパケット通信装置に払い出したアドレスを管理する手段と、（２）私設網内の端末の、認証機能付きパケット通信装置への接続の認証状態を、認証機能付きパケット通信装置から通知された、認証成功時にその端末に付与されたアドレスの情報をもって管理する手段と、（３）私設網内の端末に付与されたアドレス宛ての経路を転送ノードに設定する手段と、（４）仮想閉域網内のアプリケーションサーバにアクセス要求を行なった端末の送信元アドレスの情報をアプリケーション認証アクセス制御サーバ経由で受信し、認証機能付きパケット通信装置から通知されているアドレスと一致するかどうかで当該利用者の認証状態を判断し、アプリケーション認証アクセス制御サーバに認証状態を応答する手段とを有する。
【００１７】
また、ネットワーク認証アクセス制御サーバは、（５）端末が私設網から切断された場合に、認証機能付きパケット通信装置から切断された端末に付与されていたアドレスの情報を受信し、その端末の認証機能付きパケット通信装置への接続の認証を無効にする手段と、（６）同じ契機で、アプリケーション認証アクセス制御サーバに対して、当該端末に付与されていたアドレスの情報を通知する手段と、（７）同じ契機で、転送ノードに設定済みであった、当該端末に付与されていたアドレス宛ての経路を削除する手段と、（８）私設網内の認証機能付きパケット通信装置とリモートアクセスサーバとの間の接続が切断されたことをリモートアクセスサーバから通知を受けたことを契機に、その認証機能付きパケット通信装置とそれが接続していた仮想閉域網との間の接続パスを削除する手段と、（９）（８）と同じ契機で、ネットワーク認証アクセス制御サーバ内で管理している、該認証機能付きパケット通信装置の認証を無効にする手段と、（１０）（８）と同じ契機で、該認証機能付きパケット通信装置に接続されている全ての端末に対する認証を無効にする手段と、（１１）（８）と同じ契機で、アプリケーション認証アクセス制御サーバに対して、該認証機能付きパケット通信装置に接続されている端末の利用者の認証を無効にするために該認証機能付きパケット通信装置が付与した全てのアドレスの情報を通知する手段と、（１２）（８）と同じ契機で、転送ノードに設定済みであった、私設網内の端末に払い出し済みのアドレス宛ての経路を削除する手段とを任意に有する。
【００１８】
さらに、アプリケーション認証アクセス制御サーバは、（１）端末の利用者からのアプリケーションサーバ群へのアクセス要求を受信した際に、アクセス要求を送信してきた端末からのパケットの送信元アドレスを抽出し、該送信元アドレスをネットワーク認証アクセス制御サーバに送ることで該利用者の認証状態を問い合わせる手段と、（２）ネットワーク認証アクセス制御サーバから認証済みの応答を受けた場合に、該利用者端末に対して利用者の認証に必要な情報を要求することなく、アプリケーションサーバ群へのアクセスを許可する手段と、（３）ネットワーク認証アクセス制御サーバから未認証の応答を受けた場合に、当該利用者端末に対して利用者の認証に必要な情報を要求し、認証に成功した場合に限りアプリケーションサーバ群へのアクセスを許可する手段とを有し、さらに（４）ネットワーク認証アクセス制御サーバからの指示に従って特定の利用者に対する認証を無効にする手段を任意に有する。
【００１９】
次に、このように構成された本発明の分散型認証アクセス制御システムにおける認証処理の流れについて説明する。
【００２０】
認証機能付きパケット通信装置は、私設網に新たに端末が接続されると、端末の利用者に対して認証を要求し、認証に成功すると、その端末に対してアドレスを付与する。その後、アドレスを付与された端末が仮想閉域網宛ての通信を要求すると、認証機能付きパケット通信装置はそれを受けて、公衆網とリモートアクセスサーバを介してネットワーク認証アクセス制御サーバに対して接続要求を行なう。ネットワーク認証アクセス制御サーバは、利用者端末からその仮想閉域網へのアクセスに必要となる認証情報を取得して、それに基づいて、仮想閉域網へのアクセスの認証を行なう。
【００２１】
この認証が得られると、ネットワーク認証アクセス制御サーバは、利用者端末が当該仮想閉域網に接続されるよう、転送ノードとリモートアクセスサーバに対して接続パスの設定を行なう。
【００２２】
また、認証機能付きパケット通信装置からネットワーク認証アクセス制御サーバに接続要求を行なった後に私設網内の端末の新規接続があった場合は、その端末に付与したアドレスを認証機能付きパケット通信装置からネットワーク認証アクセス制御サーバに通知する。端末の切断があった場合には、その端末に付与されていたアドレスの情報をネットワーク認証アクセス制御サーバに通知する。ネットワーク認証アクセス制御サーバは、新規接続の通知を受けると、当該アドレスを持つ端末の認証は完了しているものとして新たに管理し、切断の通知を受けると、当該アドレスを持つ端末の認証を無効にする。
【００２３】
この後、私設網内の端末から仮想閉域網内のアプリケーションサーバに対してアクセス要求を行なうと、そのアクセス要求にはそのアプリケーションサーバにアクセスする権限を有することを示す証明書が含まれていないため、エージェント・モジュール型のシングルサインオンの方式に従い、アクセス要求はアプリケーション認証アクセス制御サーバに転送される。
【００２４】
アプリケーション認証アクセス制御サーバは、受信したアプリケーションサーバへのアクセス要求のパケットから送信元アドレスを抽出し、アクセス要求元の端末の利用者の認証状態を確認するために、ネットワーク認証アクセス制御サーバに対して先に抽出した送信元アドレスの情報を送信する。
【００２５】
ネットワーク認証アクセス制御サーバは、受信した送信元アドレス情報が自サーバ内に保持する認証状態を管理するリスト内で認証済みであるアドレスとして登録されているかを検索する。該送信元アドレスがリスト内に存在した場合は、ネットワーク認証アクセス制御サーバで認証済みである旨をアプリケーション認証アクセス制御サーバに応答し、リスト内にない場合は、ネットワーク認証アクセス制御サーバで未認証であることを応答する。
【００２６】
アプリケーション認証アクセス制御サーバは、認証済みとの応答を受信した場合は、元々利用者端末から送られてきたアクセス要求に対して、パスワード等認証に必要な情報を改めて要求することなく、アプリケーションサーバ群へのアクセス権限を有していることを証明する証明書を付与して利用者端末に送信する。ネットワーク認証アクセス制御サーバから未認証との応答を受信した場合は、元々のアクセス要求に対して、パスワード等認証に必要な情報を利用者に要求し、認証が成功した場合に限り、アプリケーションサーバ群へのアクセス権限を有していることを証明する証明書を付与して利用者端末に送信する。
【００２７】
これ以降に当該利用者端末が仮想閉域網内のアプリケーションサーバ群に対してアクセスを試みた場合は、アプリケーション認証アクセス制御サーバが発行した証明書がアクセス要求に付与されていることをアプリケーションサーバが確認することで認証手続きが完了していることを判別し、自アプリケーションサーバへのアクセスを許可する。
【００２８】
このようにして、私設網内の端末の利用者はただ一度の認証手続きを実行するだけで、仮想閉域網へのリモートアクセスのみならず、仮想閉域網内の複数のアプリケーションサーバに対するセキュアなアクセスが可能になる。
【００２９】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００３０】
図１は本発明の一実施形態の分散型認証アクセス制御システムの構成図である。
【００３１】
分散型認証アクセス制御システム１は認証機能付きパケット通信装置２とネットワーク認証アクセス制御サーバ３とアプリケーション認証アクセス制御サーバ４と転送ノード５とリモートアクセスサーバ６から構成されている。
【００３２】
アプリケーション認証アクセス制御サーバ４はアプリケーションサーバ８ａ，８ｂとともに仮想閉域網７を構成している。また、認証機能付きパケット通信装置２は端末１０ａ，１０ｂ，１０ｃとともに私設網９を構成している。私設網９内の端末１０ａ，１０ｂ，１０ｃからそれぞれ利用者１１ａ，１１ｂ，１１ｃが仮想閉域網７内のアプリケーションサーバ８ａ，８ｂへの試みるものとする。ここで、利用者１１ａ，１１ｂ，１１ｃは、アプリケーションサーバ８ａ，８ｂのいずれにもアクセス権限を有しているものとする。
【００３３】
図２（１）、図２（２）、図２（３）はそれぞれ認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４の構成図である。
【００３４】
認証機能付きパケット通信装置２は接続要求受付／応答部２１と認証部２２と接続／切断要求部２３とアドレス割当テーブル２４とアドレス検索／払い出し／回収部２５から構成されている。
【００３５】
接続要求受付／応答部２１は端末１０ａ〜１０ｃが私設網９に接続された時にその端末からの接続要求を、また切断要求を受け取り、端末１０ａ〜１０ｃに認証結果等を返す。アドレス割当テーブル２４は表１に示すように、認証機能付きパケット通信装置２の配下にこれに接続されている端末１０ａ，１０ｂ，１０ｃの物理識別子（本例ではＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとする）と、それぞれの端末１０ａ，１０ｂ，１０ｃに付与されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスを管理している。
【００３６】
【表１】
【００３７】
認証部２２は端末からの接続要求を受け端末利用者の認証を行ない、認証に成功すると、その端末にアドレスを付与し、アドレス割当テーブル２４に登録する。接続要求受付／応答部２１はアドレス割当テーブル２４で既にアドレスが付与されている端末からの接続要求に対しては、その端末の利用者に対して改め認証を認証部２２に求めない。接続／切断要求部２３は、接続要求受付／応答部２１を介して、私設網９内の端末から仮想閉域網７宛ての通信要求を受けて、リモートアクセスサーバ６に対して接続要求を送信するとともに、その時点までに端末に付与済みのアドレスの情報をリモートアクセスサーバ６を介してネットワーク認証アクセス制御サーバ３に通知する。また、接続／切断要求部２３は仮想閉域網７との間の接続パスが存在している間に新たに私設網９内の端末の認証に成功した場合に、アドレス割当テーブル２４で管理されている、その端末に付与されたアドレスをネットワーク認証アクセス制御サーバ３にリモートアクセスサーバ６を介して通知する。また、接続／切断要求部２３は、接続要求受付／応答部２１を介した、私設網９内の利用者からの切断要求、もしくは自装置から自律的に発する切断要求を契機として、リモートアクセスサーバ６に対して、認証機能付きパケット通信装置２から私設網９内の端末に付与した全アドレスの情報を含んだ切断要求を送信する。さらに、接続／切断要求部２３は、アドレスが付与されている端末が私設網９から切り離された場合に、ネットワーク認証アクセス制御サーバ３に対して該アドレスを持つ端末の認証を無効にするようにリモートアクセスサーバ６を介して通知する。アドレス検索／払い出し／回収部２５はアドレス割当テーブル２４の検索、認証部２２での利用者の認証が成功した場合、アドレス割当テーブル２４への、端末に付与したアドレスの登録、アドレスが付与された端末が私設網９から切り離された場合の、その端末に付与されたアドレスのアドレス割当テーブル２４からの回収（抹消）を行なう。
【００３８】
ネットワーク認証アクセス制御サーバ３は認証要求受付／応答部３１と認証部３２と接続パス設定／削除部３３とネットワーク認証状態テーブル３４とアドレス払い出し／回収部３５と認証状態応答部３６で構成されている。
【００３９】
ネットワーク認証状態テーブル３４は、表２に示すように、仮想閉域網毎に用意され、リモートアクセスサーバ６経由でネットワーク認証アクセス制御サーバ３に接続要求する端末あるいは認証機能付きパケット通信装置（ここでは認証機能付きパケット通信装置２）が仮想閉域網７に接続しているか接続していないかを示す認証状態と、接続されている場合に当該端末あるいは認証機能付きパケット通信装置２に対して払い出されたＩＰアドレスの情報と、接続要求したのが認証機能付きパケット通信装置であった場合にその認証機能付きパケット通信装置が配下の端末に対して付与したＩＰアドレスの情報を管理する。
【００４０】
【表２】
【００４１】
接続要求受付／応答部３１はリモートアクセスサーバ６を介して認証機能付きパケット通信装置２から仮想閉域網７の接続要求を認証に必要な情報とともに受け取り、またリモートアクセスサーバ６を介して認証機能付きパケット通信装置２に認証結果とＩＰアドレスを返す。また、接続要求受付／応答部３１は、リモートアクセスサーバ６から切断要求を受信する。認証部３２は接続要求受付／応答部３１で接続要求が受信されると、受け取った認証に必要な情報を用いて利用者を認証する。接続パス設定／削除部３３は認証部３２における認証が成功した場合、私設網９内の端末に付与されたアドレス宛ての経路を転送ノード５に設定する。認証状態応答部３６は仮想閉域網７内のアプリケーションサーバにアクセス要求を行なった端末の送信元アドレスの情報をアプリケーション認証アクセス制御サーバ４経由で受信し、認証機能付きパケット通信装置２から通知されている、ネットワーク認証状態テーブル３４内のアドレスと一致するかどうかで当該利用者の認証状態を判断し、アプリケーション認証アクセス制御サーバ４に認証状態を応答する。アドレス払い出し／回収部３５は端末が私設網９から切断された場合に、認証機能付きパケット通信装置２から、切断された端末に付与されていたアドレスを認証要求受付／応答部３１を介して受信し、ネットワーク認証状態テーブル３４における、その端末の認証機能付きパケット通信装置２への接続の認証を無効にする。このとき、認証状態応答部３６はアプリケーション認証アクセス制御サーバ４に対して、当該端末に付与されていたアドレスの情報を通知し、接続パス設定／削除部３３は、転送ノード５に設定済みであった、当該端末に付与されていたアドレス宛ての経路を削除する。認証要求受付／応答部３１が私設網９内の認証機能付きパケット通信装置２とリモートアクセスサーバ６との間の接続が切断されたことをリモートアクセスサーバ６から通知を受けたことを契機に、接続パス設定／削除部３３はその認証機能付きパケット通信装置２とそれが接続していた仮想閉域網７との間の接続パスを削除し、アドレス払い出し／回収部３５は、ネットワーク認証状態テーブル３４で管理している、当該認証機能付きパケット通信装置の認証を回収（無効）にするとともに、当該認証機能付きパケット通信装置に接続されている全ての端末に対する認証を無効にし、認証状態応答部３６はアプリケーション認証アクセス制御サーバ４に対して、当該認証機能付きパケット通信装置に接続されている端末の利用者の認証を無効にするために当該認証機能付きパケット通信装置２が付与した全てのアドレスの情報を通知し、接続パス設定／削除部３３は転送ノード５に設定済みであった、私設網９内の端末に払い出し済みのアドレス宛ての経路を削除する。
【００４２】
アプリケーション認証アクセス制御サーバ４はアクセス要求受付／応答部４１と送信元アドレス抽出部４２と認証状態問合せ部４３とアクセス許可判断部４４から構成される。
【００４３】
アクセス要求受付／応答部４１は、端末の利用者からのアプリケーションサーバ群へのアクセス要求を転送ノード５を介して受信し、また未認証の端末に対してパスワード等の利用者の認証に必要な情報を要求する。送信元アドレス抽出部４２は、アクセス要求受付／応答部４１でアクセス要求が受信されると、アクセス要求を送信してきた端末からのパケットの送信元アドレスを抽出する。認証状態問合せ部４３は抽出された送信元アドレスをネットワーク認証アクセス制御サーバ３に送ることで当該利用者の認証状態を問合わせ、ネットワーク認証アクセス制御サーバ３から認証状態を示す応答を受信する。アクセス許可判断部４４はネットワーク認証アクセス制御サーバ３から認証済みの応答を受けた場合、当該利用者端末に対してパスワード等利用者の認証に必要な情報を要求することなく、アクセス要求受付／応答部４１を介してアプリケーションサーバ群へのアクセスを許可し、ネットワーク認証アクセス制御サーバ３から未認証の応答を受けた場合、アクセス要求受付／応答部４１を介して当該利用者端末に対してパスワード等利用者の認証に必要な情報を要求し、認証に成功した場合に限りアプリケーションサーバ群へのアクセスを許可する。また、アクセス許可判断部４４はネットワーク認証アクセス制御サーバ３からの指示に従って特定の利用者に対する認証を無効にする。
【００４４】
次に、図３、図４、および図５に示すシーケンス図に従って、認証機能付きパケット通信装置２とネットワーク認証アクセス制御サーバ３とアプリケーション認証アクセス制御サーバ４によって、私設網９内の端末１０ａ，１０ｂ，１０ｃを使用する利用者１１ａ，１１ｂ，１１ｃからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ、仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理について説明する。
【００４５】
端末１０ａが私設網９への接続要求を試みると（ステップ１０１）、まず端末１０ａと認証機能付きパケット通信装置２の認証部２２の間で利用者認証が行なわれる（ステップ１０２）。この認証に成功した場合、認証機能付きパケット通信装置２のアドレス検索／払い出し／回収部２５は、端末１０ａに対して、私設網９内での通信を行なうためのＩＰアドレスを付与し、端末１０ａのＭＡＣアドレスとここで付与したＩＰアドレスの組をアドレス割当テーブル２４に格納する（ステップ１０３）。この後、別の端末１０ｂからも私設網９への接続要求があった場合は、端末１０ａの時と同様に認証手続きを行なってＩＰアドレスを付与し、端末１０ｂのＭＡＣアドレスと端末１０ｂに付与したＩＰアドレスの組をアドレス割当テーブル２４に追加する（ステップ１０４〜１０６）。
【００４６】
この状態で端末１０ａが仮想閉域網７内のアプリケーションサーバ（例えばアプリケーションサーバ８ａ）に対してアクセス要求を行なうと（ステップ１０７）、それを受けて認証機能付きパケット通信装置２の接続／切断要求部２３は電話網経由でリモートアクセスサーバ６に対して仮想閉域網７への接続要求を行ない、仮想閉域網７への接続認証に必要な情報（ここではＩＤとパスワードとする）を送信する（ステップ１０８）。リモートアクセスサーバ６は、受信したＩＤとパスワードをネットワーク認証アクセス制御サーバ３に転送し、認証を依頼する（ステップ１０９）。ネットワーク認証アクセス制御サーバ３の認証部３２は、受信したＩＤとパスワードの情報をもとに認証機能付きパケット通信装置２の認証を行ない、認証成功であれば、アドレス払い出し／回収部３５は認証機能付きパケット通信装置２に対して、仮想閉域網７との通信用のＩＰアドレスを払い出し、ネットワーク認証状態テーブル３４に記録する。そして、認証要求受付／応答部３１と接続パス設定／削除部３３はリモートアクセスサーバ６と転送ノード５に対して、仮想閉域網７への接続パスを設定する（ステップ１１０）。そして、認証要求受付／応答部３１は認証結果と、払い出したＩＰアドレスを認証機能付きパケット通信装置２に送信する（ステップ１１１，１１２）。これを受けて認証機能付きパケット通信装置２の接続要求受付／応答部２１は、アドレス割当テーブル２４に登録済みの私設網内端末（ここでは端末１０ａと１０ｂ）のＩＰアドレスをネットワーク認証アクセス制御サーバ３に送信する（ステップ１１３）。ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、受信した端末１０ａと１０ｂのＩＰアドレスをネットワーク認証状態テーブル３４に登録し、接続パス設定／削除部３３は転送ノード５に対して端末１０ａおよび１０ｂ宛ての経路を設定し（ステップ１１４）、認証要求受付／応答部３１は認証機能付きパケット通信装置２に対して登録完了を通知する（ステップ１１５）。
【００４７】
ここまでの処理で認証機能付きパケット通信装置２と、その配下に接続されている端末１０ａおよび１０ｂは仮想閉域網７に接続されたため、利用者１１ａおよび１１ｂは何らかの業務を行なうため、アプリケーションサーバ（ここではアプリケーションサーバ８ａ）に対してアクセス要求を送信するとする（ステップ１１６）。ここでは端末１０ａを例にとって説明する。ステップ１１６の時点では、端末１０ａはアプリケーションサーバ８ａに対するアクセス権限を持っていることを示す証明書を持っていないため、アプリケーションサーバ８ａはアクセス要求に証明書が付いていないことを確認し（ステップ１１７）、アクセス要求をアプリケーション認証アクセス制御サーバ４にリダイレクトするよう、端末１０ａに指示を送信する（ステップ１１８）。
【００４８】
これに基づいて端末１０ａからアプリケーション認証アクセス制御サーバ４にアクセス要求が転送されると（ステップ１１９）、アプリケーション認証アクセス制御サーバ４の送信元アドレス抽出部４２は、受信したアクセス要求のパケットの送信元アドレスを抽出し、認証状態問合せ部４３よりそのアドレス情報をネットワーク認証アクセス制御サーバ３に送信することで、そのアクセス要求を送信してきた利用者（利用者１１ａ）がネットワーク認証アクセス制御サーバ３で認証済みであるかを問い合わせる（ステップ１２０）。
【００４９】
ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、仮想閉域網７のネットワーク認証状態テーブル３４を検索し、アプリケーション認証アクセス制御サーバ４から受信したアドレスが認証済みとして登録されているか否かを判別し、その結果を認証要求受付／応答部３１からアプリケーション認証アクセス制御サーバ４に送信する（ステップ１２１）。認証済みであった場合は、アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、端末１０ａに対して、認証が成功していることを示す証明書を発行し、端末１０ａに対するアクセス応答としてアクセス要求受付／応答部４１から返信する（ステップ１２２）。
【００５０】
これにより端末１０ａから再度アプリケーションサーバ８ａに対してアクセス要求を行なうと（ステップ１２３）、アプリケーションサーバ８ａはアクセス要求に証明書が付いていることを検知して、アクセス要求に応答する（ステップ１２４）。
【００５１】
これ以降は、利用者１１ａがアクセス権限を有する他のアプリケーションサーバ（本実施形態ではアプリケーションサーバ８ｂ）に対しても、改めて認証手続きを求められることなく、アクセスが可能になる。
【００５２】
また、端末１０ｂの利用者１１ｂに対しても、ステップ１１３〜１２１に相当する手順を実施することにより、仮想閉域網７内で利用者１１ｂがアクセス権限を持つアプリケーションサーバ群に対して、改めて認証手続きを求められることなくアクセスが可能になる。
【００５３】
次に、図５により、認証機能付きパケット通信装置２が仮想閉域網７に接続された後に私設網９内に新たに端末（ここでは端末１０ｃ）が接続された場合の処理の流れについて説明する。端末１０ｃが新たに私設網９に接続を試みる（ステップ１２５）と、端末１０ａ，１０ｂの時と同様に利用者認証が実施され（ステップ１２６）、認証成功の場合ＩＰアドレスが付与される（ステップ１２７）。認証機能付きパケット通信装置２は、既に仮想閉域網７への接続は完了していることから、この時点でネットワーク認証アクセス制御サーバ３に対して、端末１０ｃの接続を通知し、付与したＩＰアドレスを送信する（ステップ１２８）。ネットワーク認証アクセス制御サーバ３では、認証機能付きパケット通信装置２が端末１０ｃに付与したＩＰアドレスを、ネットワーク認証状態テーブル３４に登録し、転送ノード５に対して端末１０ｃ宛ての経路を設定する（ステップ１２９）。そして、端末１０ｃの登録完了を認証機能付きパケット通信装置２に通知する（ステップ１３０）。これにより、後は端末１０ｃについてステップ１１３〜１２１に相当する手順を踏むことにより、端末１０ｃの利用者１１ｃは、仮想閉域網７内のアプリケーションサーバ群に対して、改めて認証手続きを求められることなくアクセスが可能になる。
【００５４】
次に、図６、７に示すシーケンス図に従って、認証を無効化する一連の処理について説明する。
【００５５】
まず、認証機能付きパケット通信装置２と仮想閉域網７との間の接続が保たれたまま、端末１０ｃが私設網９から切断された場合について説明する。端末１０ｃからのアドレス解放通知の受信またはアドレス使用期間更新要求の断絶により認証機能付きパケット通信装置２が端末１０ｃの私設網９からの切断を検知すると（ステップ１３１）、アドレス検索／払い出し／回収部２５はアドレス割当テーブル２４から端末１０ｃに付与していたＩＰアドレスを回収し、アドレス割当テーブル２４内のそのエントリを無効化する（ステップ１３２）。次いで、接続／切断要求部２３はネットワーク認証アクセス制御サーバ３に対して、端末１０ｃに付与していたＩＰアドレスを送信し、切断を通知する（ステップ１３３）。これを受けてネットワーク認証アクセス制御サーバ３の認証状態応答部３６は、アプリケーション認証アクセス制御サーバ４に対して、利用者１１ｃのログアウト要求を送信する（ステップ１３４）。アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、アプリケーションサーバ群（本実施形態では、アプリケーションサーバ８ａと８ｂ）に対する利用者１１ｃの認証を無効にし（ステップ１３５）、ログアウト完了通知を認証状態問合せ部４３よりネットワーク認証アクセス制御サーバ３に送信する（ステップ１３６）。ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、これを受けて、ネットワーク認証状態テーブル３４から端末１０ｃのＩＰアドレスの登録を抹消し、転送ノード５に対して端末１０ｃ宛ての経路の削除を行ない（ステップ１３７）、認証要求受付／応答部３１より認証機能付きパケット通信装置２に対して端末１０ｃの切断完了通知を送信する（ステップ１３８）。
【００５６】
さらに、図７によって、認証機能付きパケット通信装置２とリモートアクセスサーバ６との接続回線が切断された場合の処理について説明する。リモートアクセスサーバ６は、認証機能付きパケット通信装置２との間の回線の切断を検知すると（ステップ１３９）、ネットワーク認証アクセス制御サーバ３に対して、認証機能付きパケット通信装置２の切断を通知する（ステップ１４０）。これを受けて、ネットワーク認証アクセス制御サーバ３の認証状態応答部３６は、アプリケーション認証アクセス制御サーバ４に対して、利用者１１ａのログアウト要求を送信する（ステップ１４１）。アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、アプリケーションサーバ群（本実施形態では、アプリケーションサーバ８ａと８ｂ）に対する利用者１１ａの認証を無効にし（ステップ１４２）、ログアウト完了通知をアクセス要求受付／応答部４１よりネットワーク認証アクセス制御サーバ３に送信する（ステップ１４３）。また、端末１０ｂの利用者１１ｂに対しても同様にログアウト処理をアプリケーション認証アクセス制御サーバ４に依頼する（ステップ１４４〜１４６）。
【００５７】
そして、ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、認証機能付きパケット通信装置２に払い出していたＩＰアドレスを回収してネットワーク認証状態テーブル３４から認証機能付きパケット通信装置２に関わるエントリを削除し、接続パス設定／削除部３３によってリモートアクセスサーバ６と転送ノード５に対して、認証機能付きパケット通信装置２およびその配下の端末（この例では端末１０ａと１０ｂ）宛ての経路を削除し（ステップ１４７）、認証要求受付／応答部３１よりリモートアクセスサーバ６に対して切断完了通知を送信する（ステップ１４８）。
【００５８】
なお、認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００５９】
【発明の効果】
以上説明したように、本発明によれば、私設網から仮想閉域網へのリモートアクセスを実現する分散型認証アクセス制御システムにおいて、私設網内の端末の認証機能付きパケット通信装置へのアクセスのための認証で仮想閉域網内のアプリケーションサーバへのアクセスの認証を実現することで、私設網内の端末の利用者に対して一度のみの認証手続きを行なうだけで、セキュリティを保ちつつ効率的に業務を遂行できるという効果がある。
【図面の簡単な説明】
【図１】本発明の一実施形態の分散型認証アクセス制御システムの構成図である。
【図２】図１中の認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４の構成図である。
【図３】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図４】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図５】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図６】認証を無効化する一連の処理を示すシーケンス図である。
【図７】認証を無効化する一連の処理を示すシーケンス図である。
【符号の説明】
１ 分散型認証アクセス制御システム
２ 認証機能付きパケット通信装置
３ ネットワーク認証アクセス制御サーバ
４ アプリケーション認証アクセス制御サーバ
５ 転送ノード
６ リモートアクセスサーバ
７ 仮想閉域網
８ａ，８ｂ アプリケーションサーバ
９ 私設網
１０ａ，１０ｂ，１０ｃ 端末
１１ａ，１１ｂ，１１ｃ 利用者
２１ 接続要求受付／応答部
２２ 認証部
２３ 接続／切断要求部
２４ アドレス割当テーブル
２５ アドレス検索／払い出し／回収部
３１ 認証要求受付／応答部
３２ 認証部
３３ 接続パス設定／削除部
３４ ネットワーク認証状態テーブル
３５ アドレス払い出し／回収部
３６ 認証状態応答部
４１ アクセス要求受付／応答部
４２ 送信元アドレス抽出部
４３ 認証状態問合せ部
４４ アクセス許可判断部
１０１〜１４８ ステップ
【発明の属する技術分野】
本発明は、分散型認証アクセス制御システムに関し、特にコネクションレス型通信網上に構築された仮想閉域網に対して、遠隔の私設網からアクセス（以下、リモートアクセス）するための認証を行ない、その私設網内の端末の仮想閉域網への接続の認証を行なう分散型認証アクセス制御システムに関する。
【０００２】
【従来の技術】
従来、企業通信網など特定の対地のみを接続する閉域網を構築するために、仮想閉域網が導入されている。コネクションレス型通信網における仮想閉域網は、伝送路、転送ノードを共有するのみならず、論理パス、論理回線も共有して、セキュリティを確保した転送制御がなされている。
【０００３】
また、仮想閉域網は特定の対地のみを接続するのではなく、特定の端末、またはルータ等の通信装置からのリモートアクセスを受け付けることができるようになっている。例えば、社員の自宅の端末や、事務所のルータから公衆の電話網あるいはＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）網等を経由して企業の仮想閉域網にアクセスし、会社のホストコンピュータに接続することができる。電話網等と仮想閉域網との間にリモートアクセスサーバが設置されており、端末やルータは、ダイアルアップ等でリモートアクセスサーバに接続し、仮想閉域網にアクセスすることが行なわれている。
【０００４】
リモートアクセスサーバと仮想閉域網とを接続する転送ノードと、リモートアクセスサーバと転送ノードとを制御する閉域網群制御サーバを備え、複数の仮想閉域網の利用者が共用している。リモートアクセスサーバと転送ノードとの間の物理回線を複数の仮想閉域網で利用して、設備の利用効率を向上させることが提案されている（特許文献１）。この特許文献１では、利用者からの接続要求に基づいて、リモートアクセスサーバは、仮想閉域網毎に仮想ルータ（以下、ＶＲ：Ｖｉｒｔｕａｌ Ｒｏｕｔｅｒと表記）を割り当て、ＶＲを１本の物理回線に接続する。利用者からの切断を契機に、リモートアクセスサーバは、ＶＲを開放し、他の仮想閉域網の利用者に割り当てる。
【０００５】
一方、仮想閉域網に代表される通信網への接続環境が整っていることを前提として、通信網上に接続されている複数のサーバ上のコンテンツへのアクセスを一度の認証で可能にする（以下、シングルサインオンと表記）方法として、網内に認証アクセス制御サーバを設置する方法が知られており、この方法はその処理形態によって、「リバース・プロキシ型」と「エージェント・モジュール型」とに分類される。
【０００６】
リバース・プロキシ型のシングルサインオンでは、サーバへのアクセス要求は全て認証アクセス制御サーバを中継して送信され、認証アクセス制御サーバは、中継時に、内部に持つ利用者毎のアクセスリストを参照してアクセス制御を行なう。
【０００７】
一方、エージェント・モジュール型のシングルサインオンでは、利用者は、まず認証アクセス制御サーバにログインする。認証に成功すると、認証アクセス制御サーバは、当該利用者がアクセス可能なアプリケーションサーバのリストをクッキーに埋め込んで利用者端末に送信する。その後、利用者がアプリケーションサーバにアクセスした時、コンテンツサーバ内のエージェント・モジュールがクッキー内の情報をもとにアクセスの可否を決定する。アプリケーションサーバに対して、認証アクセス制御サーバで認証されていない利用者からのアクセスがあった場合は、当該アプリケーションサーバ内のエージェント・モジュールがアクセス要求を認証アクセス制御サーバに転送して、認証を行なわせる。
【０００８】
なお、現在、企業連合であるＬｉｂｅｒｔｙ Ａｌｌｉａｎｃｅにおいて、エージェント・モジュール型をベースにしたシングルサインオンの方式の標準化が進められている。
【０００９】
【特許文献１】
特開２００２−１８５５３８号公報
【特許文献２】
特願２００３−００３１０８号
【００１０】
【発明が解決しようとする課題】
仮想閉域網に遠隔からアクセスする場合は、通常、仮想閉域網に接続した後、何らかの業務を行なうために、その仮想閉域網内のサーバにアクセスすることが考えられる。このため、本出願人は、遠隔の端末から仮想閉域網に対する接続認証をもって、当該仮想閉域網内の特定のアプリケーションサーバ群に対するアクセス時の認証を兼ねられるようにし、利用者が仮想閉域網への接続時に一度のみ認証手続きを行なうことで仮想閉域網内のアプリケーションサーバへのアクセスを可能とする技術を提案している（特許文献２）。
【００１１】
しかし、端末から直接仮想閉域網に接続するのではなく、既設の私設網からルータを介して仮想閉域網に接続する場合は、仮想閉域網への接続時に行なわれる認証は、当該私設網内で共通のルータとしての認証であり、私設網内の個々の端末の利用者の認証とはなっていないため、ルータの仮想閉域網への接続時の認証のみで私設網内の個々の端末から仮想閉域網内のアプリケーションサーバへのアクセスの認証を兼ねることはセキュリティ上問題がある。
【００１２】
本発明の目的は、遠隔の私設網からルータを介して仮想閉域網に接続する場合に、私設網内の各端末の利用者のセキュリティを損なうことなく、私設網内の端末から一度の認証手続きのみで仮想閉域網内のアプリケーションサーバへのアクセスを可能にする認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および分散型認証アクセス制御システムを提供することにある。
【００１３】
【課題を解決するための手段】
本発明の分散型認証アクセス制御システムは認証機能付きパケット通信装置とネットワーク認証アクセス制御サーバと転送ノードとリモートアクセスサーバとアプリケーション認証アクセス制御サーバとで構成され、遠隔の私設網内の端末が、認証機能付きパケット通信装置とリモートアクセスサーバおよび転送ノードを介して仮想閉域網に接続した上で、私設網内の端末から発行される仮想閉域網内のアプリケーションサーバへのアクセス要求を認証する。
【００１４】
本発明の認証機能付きパケット通信装置は、（１）端末が私設網に接続された時にその端末からの接続要求を受けて端末利用者の認証を行なう手段と、（２）（１）の認証に成功した場合にその端末にアドレスを付与する手段と、（３）（２）で付与したアドレスを管理する手段と、（４）私設網内の端末に付与したアドレスとして既に記録されているアドレスを持つ端末からの接続要求に対しては、その端末の利用者に対して改めて認証を求めないようにする手段と、（５）アドレスを付与済みの端末から仮想閉域網宛ての通信要求を受けて、リモートアクセスサーバに対して接続要求を送信する手段と、（６）リモートアクセスサーバへの接続要求時に、その時点までに認証機能付きパケット通信装置から私設網内の端末に付与済みのアドレスの情報をネットワーク認証アクセス制御サーバに通知する手段と、（７）仮想閉域網との間の接続パスが存在している間に新たに私設網内の端末の認証に成功した場合に、その端末に付与したアドレスをネットワーク認証アクセス制御サーバに通知する手段とを有する。
【００１５】
認証機能付きパケット通信装置は、（８）私設網内の利用者からの切断要求、もしくは自装置から自律的に発する切断要求を契機として、リモートアクセスサーバに対して、該認証機能付きパケット通信装置から私設網内の端末に付与した全アドレスの情報を含んだ切断要求を送信する手段と、（９）アドレスを付与した端末が私設網から切り離された場合に、当該端末用に付与したアドレスを無効にするとともに、ネットワーク認証アクセス制御サーバに対して当該アドレスを持つ端末の認証を無効にするように通知する手段とを任意に有する。
【００１６】
また、ネットワーク認証アクセス制御サーバは、（１）私設網内の認証機能付きパケット通信装置の、仮想閉域網への接続認証の認証状態と、認証機能付きパケット通信装置に払い出したアドレスを管理する手段と、（２）私設網内の端末の、認証機能付きパケット通信装置への接続の認証状態を、認証機能付きパケット通信装置から通知された、認証成功時にその端末に付与されたアドレスの情報をもって管理する手段と、（３）私設網内の端末に付与されたアドレス宛ての経路を転送ノードに設定する手段と、（４）仮想閉域網内のアプリケーションサーバにアクセス要求を行なった端末の送信元アドレスの情報をアプリケーション認証アクセス制御サーバ経由で受信し、認証機能付きパケット通信装置から通知されているアドレスと一致するかどうかで当該利用者の認証状態を判断し、アプリケーション認証アクセス制御サーバに認証状態を応答する手段とを有する。
【００１７】
また、ネットワーク認証アクセス制御サーバは、（５）端末が私設網から切断された場合に、認証機能付きパケット通信装置から切断された端末に付与されていたアドレスの情報を受信し、その端末の認証機能付きパケット通信装置への接続の認証を無効にする手段と、（６）同じ契機で、アプリケーション認証アクセス制御サーバに対して、当該端末に付与されていたアドレスの情報を通知する手段と、（７）同じ契機で、転送ノードに設定済みであった、当該端末に付与されていたアドレス宛ての経路を削除する手段と、（８）私設網内の認証機能付きパケット通信装置とリモートアクセスサーバとの間の接続が切断されたことをリモートアクセスサーバから通知を受けたことを契機に、その認証機能付きパケット通信装置とそれが接続していた仮想閉域網との間の接続パスを削除する手段と、（９）（８）と同じ契機で、ネットワーク認証アクセス制御サーバ内で管理している、該認証機能付きパケット通信装置の認証を無効にする手段と、（１０）（８）と同じ契機で、該認証機能付きパケット通信装置に接続されている全ての端末に対する認証を無効にする手段と、（１１）（８）と同じ契機で、アプリケーション認証アクセス制御サーバに対して、該認証機能付きパケット通信装置に接続されている端末の利用者の認証を無効にするために該認証機能付きパケット通信装置が付与した全てのアドレスの情報を通知する手段と、（１２）（８）と同じ契機で、転送ノードに設定済みであった、私設網内の端末に払い出し済みのアドレス宛ての経路を削除する手段とを任意に有する。
【００１８】
さらに、アプリケーション認証アクセス制御サーバは、（１）端末の利用者からのアプリケーションサーバ群へのアクセス要求を受信した際に、アクセス要求を送信してきた端末からのパケットの送信元アドレスを抽出し、該送信元アドレスをネットワーク認証アクセス制御サーバに送ることで該利用者の認証状態を問い合わせる手段と、（２）ネットワーク認証アクセス制御サーバから認証済みの応答を受けた場合に、該利用者端末に対して利用者の認証に必要な情報を要求することなく、アプリケーションサーバ群へのアクセスを許可する手段と、（３）ネットワーク認証アクセス制御サーバから未認証の応答を受けた場合に、当該利用者端末に対して利用者の認証に必要な情報を要求し、認証に成功した場合に限りアプリケーションサーバ群へのアクセスを許可する手段とを有し、さらに（４）ネットワーク認証アクセス制御サーバからの指示に従って特定の利用者に対する認証を無効にする手段を任意に有する。
【００１９】
次に、このように構成された本発明の分散型認証アクセス制御システムにおける認証処理の流れについて説明する。
【００２０】
認証機能付きパケット通信装置は、私設網に新たに端末が接続されると、端末の利用者に対して認証を要求し、認証に成功すると、その端末に対してアドレスを付与する。その後、アドレスを付与された端末が仮想閉域網宛ての通信を要求すると、認証機能付きパケット通信装置はそれを受けて、公衆網とリモートアクセスサーバを介してネットワーク認証アクセス制御サーバに対して接続要求を行なう。ネットワーク認証アクセス制御サーバは、利用者端末からその仮想閉域網へのアクセスに必要となる認証情報を取得して、それに基づいて、仮想閉域網へのアクセスの認証を行なう。
【００２１】
この認証が得られると、ネットワーク認証アクセス制御サーバは、利用者端末が当該仮想閉域網に接続されるよう、転送ノードとリモートアクセスサーバに対して接続パスの設定を行なう。
【００２２】
また、認証機能付きパケット通信装置からネットワーク認証アクセス制御サーバに接続要求を行なった後に私設網内の端末の新規接続があった場合は、その端末に付与したアドレスを認証機能付きパケット通信装置からネットワーク認証アクセス制御サーバに通知する。端末の切断があった場合には、その端末に付与されていたアドレスの情報をネットワーク認証アクセス制御サーバに通知する。ネットワーク認証アクセス制御サーバは、新規接続の通知を受けると、当該アドレスを持つ端末の認証は完了しているものとして新たに管理し、切断の通知を受けると、当該アドレスを持つ端末の認証を無効にする。
【００２３】
この後、私設網内の端末から仮想閉域網内のアプリケーションサーバに対してアクセス要求を行なうと、そのアクセス要求にはそのアプリケーションサーバにアクセスする権限を有することを示す証明書が含まれていないため、エージェント・モジュール型のシングルサインオンの方式に従い、アクセス要求はアプリケーション認証アクセス制御サーバに転送される。
【００２４】
アプリケーション認証アクセス制御サーバは、受信したアプリケーションサーバへのアクセス要求のパケットから送信元アドレスを抽出し、アクセス要求元の端末の利用者の認証状態を確認するために、ネットワーク認証アクセス制御サーバに対して先に抽出した送信元アドレスの情報を送信する。
【００２５】
ネットワーク認証アクセス制御サーバは、受信した送信元アドレス情報が自サーバ内に保持する認証状態を管理するリスト内で認証済みであるアドレスとして登録されているかを検索する。該送信元アドレスがリスト内に存在した場合は、ネットワーク認証アクセス制御サーバで認証済みである旨をアプリケーション認証アクセス制御サーバに応答し、リスト内にない場合は、ネットワーク認証アクセス制御サーバで未認証であることを応答する。
【００２６】
アプリケーション認証アクセス制御サーバは、認証済みとの応答を受信した場合は、元々利用者端末から送られてきたアクセス要求に対して、パスワード等認証に必要な情報を改めて要求することなく、アプリケーションサーバ群へのアクセス権限を有していることを証明する証明書を付与して利用者端末に送信する。ネットワーク認証アクセス制御サーバから未認証との応答を受信した場合は、元々のアクセス要求に対して、パスワード等認証に必要な情報を利用者に要求し、認証が成功した場合に限り、アプリケーションサーバ群へのアクセス権限を有していることを証明する証明書を付与して利用者端末に送信する。
【００２７】
これ以降に当該利用者端末が仮想閉域網内のアプリケーションサーバ群に対してアクセスを試みた場合は、アプリケーション認証アクセス制御サーバが発行した証明書がアクセス要求に付与されていることをアプリケーションサーバが確認することで認証手続きが完了していることを判別し、自アプリケーションサーバへのアクセスを許可する。
【００２８】
このようにして、私設網内の端末の利用者はただ一度の認証手続きを実行するだけで、仮想閉域網へのリモートアクセスのみならず、仮想閉域網内の複数のアプリケーションサーバに対するセキュアなアクセスが可能になる。
【００２９】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００３０】
図１は本発明の一実施形態の分散型認証アクセス制御システムの構成図である。
【００３１】
分散型認証アクセス制御システム１は認証機能付きパケット通信装置２とネットワーク認証アクセス制御サーバ３とアプリケーション認証アクセス制御サーバ４と転送ノード５とリモートアクセスサーバ６から構成されている。
【００３２】
アプリケーション認証アクセス制御サーバ４はアプリケーションサーバ８ａ，８ｂとともに仮想閉域網７を構成している。また、認証機能付きパケット通信装置２は端末１０ａ，１０ｂ，１０ｃとともに私設網９を構成している。私設網９内の端末１０ａ，１０ｂ，１０ｃからそれぞれ利用者１１ａ，１１ｂ，１１ｃが仮想閉域網７内のアプリケーションサーバ８ａ，８ｂへの試みるものとする。ここで、利用者１１ａ，１１ｂ，１１ｃは、アプリケーションサーバ８ａ，８ｂのいずれにもアクセス権限を有しているものとする。
【００３３】
図２（１）、図２（２）、図２（３）はそれぞれ認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４の構成図である。
【００３４】
認証機能付きパケット通信装置２は接続要求受付／応答部２１と認証部２２と接続／切断要求部２３とアドレス割当テーブル２４とアドレス検索／払い出し／回収部２５から構成されている。
【００３５】
接続要求受付／応答部２１は端末１０ａ〜１０ｃが私設網９に接続された時にその端末からの接続要求を、また切断要求を受け取り、端末１０ａ〜１０ｃに認証結果等を返す。アドレス割当テーブル２４は表１に示すように、認証機能付きパケット通信装置２の配下にこれに接続されている端末１０ａ，１０ｂ，１０ｃの物理識別子（本例ではＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとする）と、それぞれの端末１０ａ，１０ｂ，１０ｃに付与されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスを管理している。
【００３６】
【表１】
認証部２２は端末からの接続要求を受け端末利用者の認証を行ない、認証に成功すると、その端末にアドレスを付与し、アドレス割当テーブル２４に登録する。接続要求受付／応答部２１はアドレス割当テーブル２４で既にアドレスが付与されている端末からの接続要求に対しては、その端末の利用者に対して改め認証を認証部２２に求めない。接続／切断要求部２３は、接続要求受付／応答部２１を介して、私設網９内の端末から仮想閉域網７宛ての通信要求を受けて、リモートアクセスサーバ６に対して接続要求を送信するとともに、その時点までに端末に付与済みのアドレスの情報をリモートアクセスサーバ６を介してネットワーク認証アクセス制御サーバ３に通知する。また、接続／切断要求部２３は仮想閉域網７との間の接続パスが存在している間に新たに私設網９内の端末の認証に成功した場合に、アドレス割当テーブル２４で管理されている、その端末に付与されたアドレスをネットワーク認証アクセス制御サーバ３にリモートアクセスサーバ６を介して通知する。また、接続／切断要求部２３は、接続要求受付／応答部２１を介した、私設網９内の利用者からの切断要求、もしくは自装置から自律的に発する切断要求を契機として、リモートアクセスサーバ６に対して、認証機能付きパケット通信装置２から私設網９内の端末に付与した全アドレスの情報を含んだ切断要求を送信する。さらに、接続／切断要求部２３は、アドレスが付与されている端末が私設網９から切り離された場合に、ネットワーク認証アクセス制御サーバ３に対して該アドレスを持つ端末の認証を無効にするようにリモートアクセスサーバ６を介して通知する。アドレス検索／払い出し／回収部２５はアドレス割当テーブル２４の検索、認証部２２での利用者の認証が成功した場合、アドレス割当テーブル２４への、端末に付与したアドレスの登録、アドレスが付与された端末が私設網９から切り離された場合の、その端末に付与されたアドレスのアドレス割当テーブル２４からの回収（抹消）を行なう。
【００３８】
ネットワーク認証アクセス制御サーバ３は認証要求受付／応答部３１と認証部３２と接続パス設定／削除部３３とネットワーク認証状態テーブル３４とアドレス払い出し／回収部３５と認証状態応答部３６で構成されている。
【００３９】
ネットワーク認証状態テーブル３４は、表２に示すように、仮想閉域網毎に用意され、リモートアクセスサーバ６経由でネットワーク認証アクセス制御サーバ３に接続要求する端末あるいは認証機能付きパケット通信装置（ここでは認証機能付きパケット通信装置２）が仮想閉域網７に接続しているか接続していないかを示す認証状態と、接続されている場合に当該端末あるいは認証機能付きパケット通信装置２に対して払い出されたＩＰアドレスの情報と、接続要求したのが認証機能付きパケット通信装置であった場合にその認証機能付きパケット通信装置が配下の端末に対して付与したＩＰアドレスの情報を管理する。
【００４０】
【表２】
接続要求受付／応答部３１はリモートアクセスサーバ６を介して認証機能付きパケット通信装置２から仮想閉域網７の接続要求を認証に必要な情報とともに受け取り、またリモートアクセスサーバ６を介して認証機能付きパケット通信装置２に認証結果とＩＰアドレスを返す。また、接続要求受付／応答部３１は、リモートアクセスサーバ６から切断要求を受信する。認証部３２は接続要求受付／応答部３１で接続要求が受信されると、受け取った認証に必要な情報を用いて利用者を認証する。接続パス設定／削除部３３は認証部３２における認証が成功した場合、私設網９内の端末に付与されたアドレス宛ての経路を転送ノード５に設定する。認証状態応答部３６は仮想閉域網７内のアプリケーションサーバにアクセス要求を行なった端末の送信元アドレスの情報をアプリケーション認証アクセス制御サーバ４経由で受信し、認証機能付きパケット通信装置２から通知されている、ネットワーク認証状態テーブル３４内のアドレスと一致するかどうかで当該利用者の認証状態を判断し、アプリケーション認証アクセス制御サーバ４に認証状態を応答する。アドレス払い出し／回収部３５は端末が私設網９から切断された場合に、認証機能付きパケット通信装置２から、切断された端末に付与されていたアドレスを認証要求受付／応答部３１を介して受信し、ネットワーク認証状態テーブル３４における、その端末の認証機能付きパケット通信装置２への接続の認証を無効にする。このとき、認証状態応答部３６はアプリケーション認証アクセス制御サーバ４に対して、当該端末に付与されていたアドレスの情報を通知し、接続パス設定／削除部３３は、転送ノード５に設定済みであった、当該端末に付与されていたアドレス宛ての経路を削除する。認証要求受付／応答部３１が私設網９内の認証機能付きパケット通信装置２とリモートアクセスサーバ６との間の接続が切断されたことをリモートアクセスサーバ６から通知を受けたことを契機に、接続パス設定／削除部３３はその認証機能付きパケット通信装置２とそれが接続していた仮想閉域網７との間の接続パスを削除し、アドレス払い出し／回収部３５は、ネットワーク認証状態テーブル３４で管理している、当該認証機能付きパケット通信装置の認証を回収（無効）にするとともに、当該認証機能付きパケット通信装置に接続されている全ての端末に対する認証を無効にし、認証状態応答部３６はアプリケーション認証アクセス制御サーバ４に対して、当該認証機能付きパケット通信装置に接続されている端末の利用者の認証を無効にするために当該認証機能付きパケット通信装置２が付与した全てのアドレスの情報を通知し、接続パス設定／削除部３３は転送ノード５に設定済みであった、私設網９内の端末に払い出し済みのアドレス宛ての経路を削除する。
【００４２】
アプリケーション認証アクセス制御サーバ４はアクセス要求受付／応答部４１と送信元アドレス抽出部４２と認証状態問合せ部４３とアクセス許可判断部４４から構成される。
【００４３】
アクセス要求受付／応答部４１は、端末の利用者からのアプリケーションサーバ群へのアクセス要求を転送ノード５を介して受信し、また未認証の端末に対してパスワード等の利用者の認証に必要な情報を要求する。送信元アドレス抽出部４２は、アクセス要求受付／応答部４１でアクセス要求が受信されると、アクセス要求を送信してきた端末からのパケットの送信元アドレスを抽出する。認証状態問合せ部４３は抽出された送信元アドレスをネットワーク認証アクセス制御サーバ３に送ることで当該利用者の認証状態を問合わせ、ネットワーク認証アクセス制御サーバ３から認証状態を示す応答を受信する。アクセス許可判断部４４はネットワーク認証アクセス制御サーバ３から認証済みの応答を受けた場合、当該利用者端末に対してパスワード等利用者の認証に必要な情報を要求することなく、アクセス要求受付／応答部４１を介してアプリケーションサーバ群へのアクセスを許可し、ネットワーク認証アクセス制御サーバ３から未認証の応答を受けた場合、アクセス要求受付／応答部４１を介して当該利用者端末に対してパスワード等利用者の認証に必要な情報を要求し、認証に成功した場合に限りアプリケーションサーバ群へのアクセスを許可する。また、アクセス許可判断部４４はネットワーク認証アクセス制御サーバ３からの指示に従って特定の利用者に対する認証を無効にする。
【００４４】
次に、図３、図４、および図５に示すシーケンス図に従って、認証機能付きパケット通信装置２とネットワーク認証アクセス制御サーバ３とアプリケーション認証アクセス制御サーバ４によって、私設網９内の端末１０ａ，１０ｂ，１０ｃを使用する利用者１１ａ，１１ｂ，１１ｃからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ、仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理について説明する。
【００４５】
端末１０ａが私設網９への接続要求を試みると（ステップ１０１）、まず端末１０ａと認証機能付きパケット通信装置２の認証部２２の間で利用者認証が行なわれる（ステップ１０２）。この認証に成功した場合、認証機能付きパケット通信装置２のアドレス検索／払い出し／回収部２５は、端末１０ａに対して、私設網９内での通信を行なうためのＩＰアドレスを付与し、端末１０ａのＭＡＣアドレスとここで付与したＩＰアドレスの組をアドレス割当テーブル２４に格納する（ステップ１０３）。この後、別の端末１０ｂからも私設網９への接続要求があった場合は、端末１０ａの時と同様に認証手続きを行なってＩＰアドレスを付与し、端末１０ｂのＭＡＣアドレスと端末１０ｂに付与したＩＰアドレスの組をアドレス割当テーブル２４に追加する（ステップ１０４〜１０６）。
【００４６】
この状態で端末１０ａが仮想閉域網７内のアプリケーションサーバ（例えばアプリケーションサーバ８ａ）に対してアクセス要求を行なうと（ステップ１０７）、それを受けて認証機能付きパケット通信装置２の接続／切断要求部２３は電話網経由でリモートアクセスサーバ６に対して仮想閉域網７への接続要求を行ない、仮想閉域網７への接続認証に必要な情報（ここではＩＤとパスワードとする）を送信する（ステップ１０８）。リモートアクセスサーバ６は、受信したＩＤとパスワードをネットワーク認証アクセス制御サーバ３に転送し、認証を依頼する（ステップ１０９）。ネットワーク認証アクセス制御サーバ３の認証部３２は、受信したＩＤとパスワードの情報をもとに認証機能付きパケット通信装置２の認証を行ない、認証成功であれば、アドレス払い出し／回収部３５は認証機能付きパケット通信装置２に対して、仮想閉域網７との通信用のＩＰアドレスを払い出し、ネットワーク認証状態テーブル３４に記録する。そして、認証要求受付／応答部３１と接続パス設定／削除部３３はリモートアクセスサーバ６と転送ノード５に対して、仮想閉域網７への接続パスを設定する（ステップ１１０）。そして、認証要求受付／応答部３１は認証結果と、払い出したＩＰアドレスを認証機能付きパケット通信装置２に送信する（ステップ１１１，１１２）。これを受けて認証機能付きパケット通信装置２の接続要求受付／応答部２１は、アドレス割当テーブル２４に登録済みの私設網内端末（ここでは端末１０ａと１０ｂ）のＩＰアドレスをネットワーク認証アクセス制御サーバ３に送信する（ステップ１１３）。ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、受信した端末１０ａと１０ｂのＩＰアドレスをネットワーク認証状態テーブル３４に登録し、接続パス設定／削除部３３は転送ノード５に対して端末１０ａおよび１０ｂ宛ての経路を設定し（ステップ１１４）、認証要求受付／応答部３１は認証機能付きパケット通信装置２に対して登録完了を通知する（ステップ１１５）。
【００４７】
ここまでの処理で認証機能付きパケット通信装置２と、その配下に接続されている端末１０ａおよび１０ｂは仮想閉域網７に接続されたため、利用者１１ａおよび１１ｂは何らかの業務を行なうため、アプリケーションサーバ（ここではアプリケーションサーバ８ａ）に対してアクセス要求を送信するとする（ステップ１１６）。ここでは端末１０ａを例にとって説明する。ステップ１１６の時点では、端末１０ａはアプリケーションサーバ８ａに対するアクセス権限を持っていることを示す証明書を持っていないため、アプリケーションサーバ８ａはアクセス要求に証明書が付いていないことを確認し（ステップ１１７）、アクセス要求をアプリケーション認証アクセス制御サーバ４にリダイレクトするよう、端末１０ａに指示を送信する（ステップ１１８）。
【００４８】
これに基づいて端末１０ａからアプリケーション認証アクセス制御サーバ４にアクセス要求が転送されると（ステップ１１９）、アプリケーション認証アクセス制御サーバ４の送信元アドレス抽出部４２は、受信したアクセス要求のパケットの送信元アドレスを抽出し、認証状態問合せ部４３よりそのアドレス情報をネットワーク認証アクセス制御サーバ３に送信することで、そのアクセス要求を送信してきた利用者（利用者１１ａ）がネットワーク認証アクセス制御サーバ３で認証済みであるかを問い合わせる（ステップ１２０）。
【００４９】
ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、仮想閉域網７のネットワーク認証状態テーブル３４を検索し、アプリケーション認証アクセス制御サーバ４から受信したアドレスが認証済みとして登録されているか否かを判別し、その結果を認証要求受付／応答部３１からアプリケーション認証アクセス制御サーバ４に送信する（ステップ１２１）。認証済みであった場合は、アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、端末１０ａに対して、認証が成功していることを示す証明書を発行し、端末１０ａに対するアクセス応答としてアクセス要求受付／応答部４１から返信する（ステップ１２２）。
【００５０】
これにより端末１０ａから再度アプリケーションサーバ８ａに対してアクセス要求を行なうと（ステップ１２３）、アプリケーションサーバ８ａはアクセス要求に証明書が付いていることを検知して、アクセス要求に応答する（ステップ１２４）。
【００５１】
これ以降は、利用者１１ａがアクセス権限を有する他のアプリケーションサーバ（本実施形態ではアプリケーションサーバ８ｂ）に対しても、改めて認証手続きを求められることなく、アクセスが可能になる。
【００５２】
また、端末１０ｂの利用者１１ｂに対しても、ステップ１１３〜１２１に相当する手順を実施することにより、仮想閉域網７内で利用者１１ｂがアクセス権限を持つアプリケーションサーバ群に対して、改めて認証手続きを求められることなくアクセスが可能になる。
【００５３】
次に、図５により、認証機能付きパケット通信装置２が仮想閉域網７に接続された後に私設網９内に新たに端末（ここでは端末１０ｃ）が接続された場合の処理の流れについて説明する。端末１０ｃが新たに私設網９に接続を試みる（ステップ１２５）と、端末１０ａ，１０ｂの時と同様に利用者認証が実施され（ステップ１２６）、認証成功の場合ＩＰアドレスが付与される（ステップ１２７）。認証機能付きパケット通信装置２は、既に仮想閉域網７への接続は完了していることから、この時点でネットワーク認証アクセス制御サーバ３に対して、端末１０ｃの接続を通知し、付与したＩＰアドレスを送信する（ステップ１２８）。ネットワーク認証アクセス制御サーバ３では、認証機能付きパケット通信装置２が端末１０ｃに付与したＩＰアドレスを、ネットワーク認証状態テーブル３４に登録し、転送ノード５に対して端末１０ｃ宛ての経路を設定する（ステップ１２９）。そして、端末１０ｃの登録完了を認証機能付きパケット通信装置２に通知する（ステップ１３０）。これにより、後は端末１０ｃについてステップ１１３〜１２１に相当する手順を踏むことにより、端末１０ｃの利用者１１ｃは、仮想閉域網７内のアプリケーションサーバ群に対して、改めて認証手続きを求められることなくアクセスが可能になる。
【００５４】
次に、図６、７に示すシーケンス図に従って、認証を無効化する一連の処理について説明する。
【００５５】
まず、認証機能付きパケット通信装置２と仮想閉域網７との間の接続が保たれたまま、端末１０ｃが私設網９から切断された場合について説明する。端末１０ｃからのアドレス解放通知の受信またはアドレス使用期間更新要求の断絶により認証機能付きパケット通信装置２が端末１０ｃの私設網９からの切断を検知すると（ステップ１３１）、アドレス検索／払い出し／回収部２５はアドレス割当テーブル２４から端末１０ｃに付与していたＩＰアドレスを回収し、アドレス割当テーブル２４内のそのエントリを無効化する（ステップ１３２）。次いで、接続／切断要求部２３はネットワーク認証アクセス制御サーバ３に対して、端末１０ｃに付与していたＩＰアドレスを送信し、切断を通知する（ステップ１３３）。これを受けてネットワーク認証アクセス制御サーバ３の認証状態応答部３６は、アプリケーション認証アクセス制御サーバ４に対して、利用者１１ｃのログアウト要求を送信する（ステップ１３４）。アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、アプリケーションサーバ群（本実施形態では、アプリケーションサーバ８ａと８ｂ）に対する利用者１１ｃの認証を無効にし（ステップ１３５）、ログアウト完了通知を認証状態問合せ部４３よりネットワーク認証アクセス制御サーバ３に送信する（ステップ１３６）。ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、これを受けて、ネットワーク認証状態テーブル３４から端末１０ｃのＩＰアドレスの登録を抹消し、転送ノード５に対して端末１０ｃ宛ての経路の削除を行ない（ステップ１３７）、認証要求受付／応答部３１より認証機能付きパケット通信装置２に対して端末１０ｃの切断完了通知を送信する（ステップ１３８）。
【００５６】
さらに、図７によって、認証機能付きパケット通信装置２とリモートアクセスサーバ６との接続回線が切断された場合の処理について説明する。リモートアクセスサーバ６は、認証機能付きパケット通信装置２との間の回線の切断を検知すると（ステップ１３９）、ネットワーク認証アクセス制御サーバ３に対して、認証機能付きパケット通信装置２の切断を通知する（ステップ１４０）。これを受けて、ネットワーク認証アクセス制御サーバ３の認証状態応答部３６は、アプリケーション認証アクセス制御サーバ４に対して、利用者１１ａのログアウト要求を送信する（ステップ１４１）。アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、アプリケーションサーバ群（本実施形態では、アプリケーションサーバ８ａと８ｂ）に対する利用者１１ａの認証を無効にし（ステップ１４２）、ログアウト完了通知をアクセス要求受付／応答部４１よりネットワーク認証アクセス制御サーバ３に送信する（ステップ１４３）。また、端末１０ｂの利用者１１ｂに対しても同様にログアウト処理をアプリケーション認証アクセス制御サーバ４に依頼する（ステップ１４４〜１４６）。
【００５７】
そして、ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、認証機能付きパケット通信装置２に払い出していたＩＰアドレスを回収してネットワーク認証状態テーブル３４から認証機能付きパケット通信装置２に関わるエントリを削除し、接続パス設定／削除部３３によってリモートアクセスサーバ６と転送ノード５に対して、認証機能付きパケット通信装置２およびその配下の端末（この例では端末１０ａと１０ｂ）宛ての経路を削除し（ステップ１４７）、認証要求受付／応答部３１よりリモートアクセスサーバ６に対して切断完了通知を送信する（ステップ１４８）。
【００５８】
なお、認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００５９】
【発明の効果】
以上説明したように、本発明によれば、私設網から仮想閉域網へのリモートアクセスを実現する分散型認証アクセス制御システムにおいて、私設網内の端末の認証機能付きパケット通信装置へのアクセスのための認証で仮想閉域網内のアプリケーションサーバへのアクセスの認証を実現することで、私設網内の端末の利用者に対して一度のみの認証手続きを行なうだけで、セキュリティを保ちつつ効率的に業務を遂行できるという効果がある。
【図面の簡単な説明】
【図１】本発明の一実施形態の分散型認証アクセス制御システムの構成図である。
【図２】図１中の認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４の構成図である。
【図３】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図４】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図５】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図６】認証を無効化する一連の処理を示すシーケンス図である。
【図７】認証を無効化する一連の処理を示すシーケンス図である。
【符号の説明】
１ 分散型認証アクセス制御システム
２ 認証機能付きパケット通信装置
３ ネットワーク認証アクセス制御サーバ
４ アプリケーション認証アクセス制御サーバ
５ 転送ノード
６ リモートアクセスサーバ
７ 仮想閉域網
８ａ，８ｂ アプリケーションサーバ
９ 私設網
１０ａ，１０ｂ，１０ｃ 端末
１１ａ，１１ｂ，１１ｃ 利用者
２１ 接続要求受付／応答部
２２ 認証部
２３ 接続／切断要求部
２４ アドレス割当テーブル
２５ アドレス検索／払い出し／回収部
３１ 認証要求受付／応答部
３２ 認証部
３３ 接続パス設定／削除部
３４ ネットワーク認証状態テーブル
３５ アドレス払い出し／回収部
３６ 認証状態応答部
４１ アクセス要求受付／応答部
４２ 送信元アドレス抽出部
４３ 認証状態問合せ部
４４ アクセス許可判断部
１０１〜１４８ ステップ
Claims (7)
- 私設網内における公衆網への出口に設置され、該私設網内の利用者からの要求に基づき、前記公衆網を経由してリモートアクセスサーバに対して接続要求を送信することで、前記私設網と遠隔にある仮想閉域網とを接続し、前記私設網内にある端末から前記仮想閉域網内に設置されるアプリケーションサーバとの間の通信を実現する認証機能付きパケット通信装置であって、
前記私設網内の端末からの接続要求を受けて、端末利用者の認証を行なう手段と、
認証に成功した場合にその端末にアドレスを付与する手段と、
前記私設網内の端末に付与したアドレスを管理する手段と、
前記私設網内の端末に付与したアドレスとして既に記録されているアドレスを持つ端末からの接続要求に対しては、その端末の利用者に対して改めて認証を求めないようにする手段と、
前記私設網内の端末から前記仮想閉域網宛ての通信要求を受けて、前記リモートアクセスサーバに対して接続要求を送信する手段と、
前記リモートアクセスサーバへの接続要求時に、その時点までに該認証機能付きパケット通信装置から前記私設網内の端末に付与済みのアドレスの情報をネットワーク認証アクセス制御サーバに通知する手段と、
前記仮想閉域網との間の接続パスが存在している間に新たに前記私設網内の端末の認証が成功した場合に、当該端末に付与したアドレスを前記ネットワーク認証アクセス制御サーバに通知する手段と
を有する認証機能付きパケット通信装置。 - 前記私設網内の利用者からの切断要求、もしくは自装置から自律的に発する切断要求を契機として、前記リモートアクセスサーバに対して、該認証機能付きパケット通信装置から前記私設網内の端末に付与した全アドレスの情報を含んだ切断要求を送信する手段と、
アドレスを付与した端末が私設網から切り離された場合に、当該端末用に付与したアドレスを無効にするとともに、前記ネットワーク認証アクセス制御サーバに対して当該アドレスを持つ端末の認証を無効にするように通知する手段と
をさらに有する、請求項１に記載の認証機能付きパケット通信装置。 - 私設網内に設置された認証機能付きパケット通信装置から仮想閉域網への接続要求を、リモートアクセスサーバを介して受信し、該リモートアクセスサーバと転送ノードを制御して該私設網と該仮想閉域網との間の接続パスを設定し、前記私設網内の端末と前記仮想閉域網内のアプリケーションサーバとの間の通信を実現するネットワーク認証アクセス制御サーバであって、
前記私設網内の認証機能付きパケット通信装置の、前記仮想閉域網への接続認証の認証状態と、前記認証機能付きパケット通信装置に払い出したアドレスを管理する手段と、
前記私設網内の端末の、前記認証機能付きパケット通信装置への接続の認証状態を、前記認証機能付きパケット通信装置から通知された、認証成功時に当該端末に付与されたアドレスの情報をもって管理する手段と、
前記私設網内の端末に付与されたアドレス宛ての経路を転送ノードに設定する手段と、
前記仮想閉域網内のアプリケーションサーバにアクセス要求を行なった端末の送信元アドレスの情報をアプリケーション認証アクセス制御サーバ経由で受信し、前記認証機能付きパケット通信装置から通知されているアドレスと一致するかどうかで当該利用者の認証状態を判断し、前記アプリケーション認証アクセス制御サーバに認証状態を応答する手段と、
を有するネットワーク認証アクセス制御サーバ。 - 端末が前記私設網から切断された場合に、前記認証機能付きパケット通信装置から切断された端末に付与されていたアドレスの情報を受信し、その端末の前記認証機能付きパケット通信装置への接続の認証を無効にする手段と、
同じ契機で、前記アプリケーション認証アクセス制御サーバに対して、当該端末に付与されていたアドレスの情報を通知する手段と、
同じ契機で、転送ノードに設定済みであった、当該端末に付与されていたアドレス宛ての経路を削除する手段と、
前記私設網内の認証機能付きパケット通信装置と前記リモートアクセスサーバとの間の接続が切断されたことを前記リモートアクセスサーバから通知を受けたことを契機に、該認証機能付きパケット通信装置とそれが接続していた仮想閉域網との間の接続パスを削除する手段と、
同じ契機で、前記ネットワーク認証アクセス制御サーバ内で管理している、該認証機能付きパケット通信装置の認証を無効にする手段と、
同じ契機で、該認証機能付きパケット通信装置に接続されている全ての端末に対する認証を無効にする手段と、
同じ契機で、前記アプリケーション認証アクセス制御サーバに対して、該認証機能付きパケット通信装置が付与した全てのアドレスの情報を通知する手段と、
同じ契機で、前記転送ノードに設定済みであった、前記私設網内の端末に払い出し済みのアドレス宛ての経路を削除する手段と、
をさらに有する、請求項３に記載のネットワーク認証アクセス制御サーバ。 - 仮想閉域網内に設置されて、利用者からの一度の認証によって、仮想閉域網内にある複数のアプリケーションサーバに対するアクセス時の認証を実現するアプリケーション認証アクセス制御サーバであって、
端末の利用者からのアプリケーションサーバ群へのアクセス要求を受信した際に、アクセス要求を送信してきた利用者端末からのパケットの送信元アドレスを抽出し、該送信元アドレスをネットワーク認証アクセス制御サーバに送ることで該利用者の認証状態を問い合わせる手段と、
前記ネットワーク認証アクセス制御サーバから認証済みの応答を受けた場合に、該利用者端末に対して利用者の認証に必要な情報を要求することなく、アプリケーションサーバ群へのアクセスを許可する手段と、
前記ネットワーク認証アクセス制御サーバから未認証の応答を受けた場合に、該利用者端末に対して利用者の認証に必要な情報を要求し、認証に成功した場合に限りアプリケーションサーバ群へのアクセスを許可する手段と、
を有するアプリケーション認証アクセス制御サーバ。 - 前記ネットワーク認証アクセス制御サーバからの指示に従って特定の利用者に対する認証を無効にする手段をさらに有する、請求項５記載のアプリケーション認証アクセス制御サーバ。
- 請求項１または２に記載の認証機能付きパケット通信装置と、請求項３または４に記載のネットワーク認証アクセス制御サーバと、請求項５または６に記載のアプリケーション認証アクセス制御サーバと、転送ノード、および、リモートアクセスサーバとから構成される分散型認証アクセス制御システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003030674A JP3953963B2 (ja) | 2003-02-07 | 2003-02-07 | 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003030674A JP3953963B2 (ja) | 2003-02-07 | 2003-02-07 | 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004240819A true JP2004240819A (ja) | 2004-08-26 |
| JP3953963B2 JP3953963B2 (ja) | 2007-08-08 |
Family
ID=32957495
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003030674A Expired - Fee Related JP3953963B2 (ja) | 2003-02-07 | 2003-02-07 | 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3953963B2 (ja) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006319905A (ja) * | 2005-05-16 | 2006-11-24 | Nakayo Telecommun Inc | リモートアクセス中継サーバ |
| EP2154861A2 (en) | 2008-08-13 | 2010-02-17 | Hitachi Ltd. | Authentication coordination system, terminal apparatus, storage medium, authentication coordination method, and authentication coordination program |
| WO2011089712A1 (ja) * | 2010-01-22 | 2011-07-28 | 富士通株式会社 | 認証方法、認証システムおよび認証プログラム |
| CN101160839B (zh) * | 2005-03-11 | 2013-01-16 | 富士通株式会社 | 接入控制方法、接入控制系统以及分组通信装置 |
| JP2016063417A (ja) * | 2014-09-18 | 2016-04-25 | 富士フイルム株式会社 | Ｖｐｎアクセス制御システム、その作動方法及びプログラム、並びにｖｐｎルータ及びサーバ |
| JP2020004434A (ja) * | 2019-09-02 | 2020-01-09 | ビッグローブ株式会社 | 認証システム、認証方法およびプログラム |
-
2003
- 2003-02-07 JP JP2003030674A patent/JP3953963B2/ja not_active Expired - Fee Related
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101160839B (zh) * | 2005-03-11 | 2013-01-16 | 富士通株式会社 | 接入控制方法、接入控制系统以及分组通信装置 |
| JP2006319905A (ja) * | 2005-05-16 | 2006-11-24 | Nakayo Telecommun Inc | リモートアクセス中継サーバ |
| JP4575836B2 (ja) * | 2005-05-16 | 2010-11-04 | 株式会社ナカヨ通信機 | 中継サーバ |
| EP2154861A2 (en) | 2008-08-13 | 2010-02-17 | Hitachi Ltd. | Authentication coordination system, terminal apparatus, storage medium, authentication coordination method, and authentication coordination program |
| US8341703B2 (en) | 2008-08-13 | 2012-12-25 | Hitachi, Ltd. | Authentication coordination system, terminal apparatus, storage medium, authentication coordination method, and authentication coordination program |
| WO2011089712A1 (ja) * | 2010-01-22 | 2011-07-28 | 富士通株式会社 | 認証方法、認証システムおよび認証プログラム |
| JP5375976B2 (ja) * | 2010-01-22 | 2013-12-25 | 富士通株式会社 | 認証方法、認証システムおよび認証プログラム |
| JP2016063417A (ja) * | 2014-09-18 | 2016-04-25 | 富士フイルム株式会社 | Ｖｐｎアクセス制御システム、その作動方法及びプログラム、並びにｖｐｎルータ及びサーバ |
| JP2020004434A (ja) * | 2019-09-02 | 2020-01-09 | ビッグローブ株式会社 | 認証システム、認証方法およびプログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3953963B2 (ja) | 2007-08-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4023240B2 (ja) | ユーザ認証システム | |
| JP3869392B2 (ja) | 公衆無線ｌａｎサービスシステムにおけるユーザ認証方法および該方法をコンピュータで実行させるためのプログラムを記録した記録媒体 | |
| US7735129B2 (en) | Firewall device | |
| CN100388739C (zh) | 实现dhcp地址安全分配的方法及系统 | |
| CN111107171B (zh) | Dns服务器的安全防御方法及装置、通信设备及介质 | |
| JPWO2004105333A1 (ja) | 安全な仮想プライベート・ネットワーク | |
| EP2512087B1 (en) | Method and system for accessing network through public device | |
| JP2011154622A (ja) | アクセス制御システム及びアクセス制御方法 | |
| CN101141492A (zh) | 实现dhcp地址安全分配的方法及系统 | |
| JP2009163546A (ja) | ゲートウェイ、中継方法及びプログラム | |
| JP3973961B2 (ja) | 無線ネットワーク接続システム、端末装置、リモートアクセスサーバ及び認証機能装置 | |
| JP2002118562A (ja) | 認証拒否端末に対し特定条件でアクセスを許容するｌａｎ | |
| WO2010000157A1 (zh) | 接入设备的配置方法、装置及系统 | |
| JP2002123491A (ja) | 認証代行方法、認証代行装置、及び認証代行システム | |
| JP2004062417A (ja) | 認証サーバ装置、サーバ装置、およびゲートウェイ装置 | |
| KR20030053280A (ko) | 공중 무선랜 서비스를 위한 망접속 및 서비스 등록 방법 | |
| JP5451903B2 (ja) | 公共設備においてネットワークにアクセスする方法及びシステム | |
| JP3953963B2 (ja) | 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム | |
| JP4152753B2 (ja) | ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および統合型認証アクセス制御システム | |
| JP4149745B2 (ja) | 認証アクセス制御サーバ装置、認証アクセス制御方法、認証アクセス制御プログラム及びそのプログラムを記録したコンピュータ読み取り可能な記録媒体 | |
| JP2003324457A (ja) | アクセス制御装置、方法、プログラムおよび記録媒体 | |
| JP4878043B2 (ja) | アクセス制御システム、接続制御装置および接続制御方法 | |
| JP3645844B2 (ja) | 中継接続方式およびネットワークレベル認証サーバおよびゲートウェイ装置および情報サーバおよびプログラム | |
| CN116074125B (zh) | 一种端到端的密码中台零信任安全网关系统 | |
| JP6920614B2 (ja) | 本人認証装置、本人認証システム、本人認証プログラム、および、本人認証方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050125 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20050617 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070131 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070323 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070418 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070425 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100511 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110511 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120511 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |