JP2004318582A - ネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラム - Google Patents
ネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラム Download PDFInfo
- Publication number
- JP2004318582A JP2004318582A JP2003112871A JP2003112871A JP2004318582A JP 2004318582 A JP2004318582 A JP 2004318582A JP 2003112871 A JP2003112871 A JP 2003112871A JP 2003112871 A JP2003112871 A JP 2003112871A JP 2004318582 A JP2004318582 A JP 2004318582A
- Authority
- JP
- Japan
- Prior art keywords
- communication
- communication terminal
- authentication
- edge router
- packet
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Small-Scale Networks (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
【課題】簡易な認証により、通信の自由度及び接続環境のモビリティーを確保しながら、ユーザあるいは端末を特定したセキュアな閉域網接続を提供する。
【解決手段】ＰＣ２０−１は、エッジルータ４０から受信したＩＰアドレスの上位ビットと、ＭＡＣアドレスを基に生成した下位ビットとからＩＰアドレスを生成する。続いて、自身に装着されたハードウェアキー１０内のデジタル証明書を用いて認証サーバ５１との間で認証を行う。認証が成功した場合、認証サーバ５１は、ＤＤＮＳサーバ５２へＰＣ２０−１のＩＰアドレスをホスト名に対応させて登録するとともに、エッジルータ４０へこのＩＰアドレスからの通信パケットを転送するように指示する。ＰＣ２０−１は、着信先との通信中も定期的に認証サーバ５１との間で認証を行う。
【選択図】 図１
【解決手段】ＰＣ２０−１は、エッジルータ４０から受信したＩＰアドレスの上位ビットと、ＭＡＣアドレスを基に生成した下位ビットとからＩＰアドレスを生成する。続いて、自身に装着されたハードウェアキー１０内のデジタル証明書を用いて認証サーバ５１との間で認証を行う。認証が成功した場合、認証サーバ５１は、ＤＤＮＳサーバ５２へＰＣ２０−１のＩＰアドレスをホスト名に対応させて登録するとともに、エッジルータ４０へこのＩＰアドレスからの通信パケットを転送するように指示する。ＰＣ２０−１は、着信先との通信中も定期的に認証サーバ５１との間で認証を行う。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
この発明は、ネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラムに関する。
【０００２】
【従来の技術】
近年、いつでもどこでも簡単にコンピュータを利用できる環境を整備したユビキタス社会への移行が進みつつある。そして、このユビキタス社会に対して、閉域網サービスで提供されるような高セキュアな通信が求められている。
一方、非特許文献１には、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を用い、公衆の無線アクセスポイントを介してインターネットなどにアクセスする公衆型無線アクセスサービスについて記載されている。しかし、この公衆型無線アクセスサービスでは、利用者の端末と無線アクセスポイント間の無線部分の認証だけを行い、最終的な接続先までを含めた認証を行うことはできない。
また、非特許文献２には、ＩＰｖ６を用いた閉域網サービスの実験について記載されている。これは、エッジルータのアクセスコントロール機能により、ＩＰｖ６アドレスの上位６４ビットのフィルタによりアクセス回線を特定する仕組みを用いている。しかし、この方法では、端末やユーザの割り出しは不可能であり、アクセス回線を公衆に解放した場合、サービス未加入者の接続を排除できない。
また、非特許文献３には、ウェブサイトに対して共通のインターネット認証を提供するオンラインサービスであるシングルサインオン方式について記載されている。このシングルサインオン方式は、ユーザの認証後にセッションキーを払い出す方法であり、セッションキーを理解できるプロトコルやサーバに通信が限定され、広範囲で自由度の高い通信ができない。
【０００３】
【非特許文献１】
「ＮＴＴ東日本ＢＵＳＩＮＥＳＳ」、２００２年７月、Ｎｏ．６２８、Ｐ．２１−２３
【非特許文献２】
「ＮＴＴ東日本ＢＵＳＩＮＥＳＳ」、２００３年２月、Ｎｏ．６３５、ｐ．１９−２０
【非特許文献３】
「Ｍｉｃｒｏｓｏｆｔ ．ＮＥＴ Ｐａｓｓｐｏｒｔ 技術概要」、２００１年９月、ｐ．１−２４
【０００４】
【発明が解決しようとする課題】
本発明は、上記事情を考慮してなされたものであり、その目的は、簡易な認証により、通信の自由度及び接続環境のモビリティーを確保しながら、ユーザあるいは端末を特定したセキュアな閉域網接続を実現することのできるネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラムを提供することにある。
【０００５】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、通信端末を認証する認証装置と、通信パケットの転送を制御するエッジルータを含んで構成されるネットワークとからなるネットワークアクセスシステムであって、前記認証装置は、ホスト毎の認証情報を記憶する記憶手段と、通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行う認証手段と、認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示する転送指示手段と、認証が成功した時に起動するタイマと、前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示する転送制限指示手段とを備え、前記エッジルータは、通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段と、前記認証装置からの指示に応じて、前記通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除する登録制御手段と、新たに接続された通信端末に対して、アドレスを生成するための情報を通知する通知手段と、前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送する通信制御手段とを備える、ことを特徴とするネットワークアクセスシステムである。
【０００６】
請求項２に記載の発明は、請求項１に記載のネットワークアクセスシステムであって、さらに、ホストの識別情報とアドレス情報とを相互に変換するドメインネームシステム装置とからなり、前記認証装置は、前記通信端末のアドレス情報及びホストの識別情報を前記ドメインネームシステム装置へ送信し、登録を要求する登録要求手段をさらに備え、前記ドメインネームシステム装置は、ホストの識別情報に対応させて通信端末のアドレス情報を記憶する記憶手段と、前記認証装置から通信端末のアドレス情報及びホストの識別情報を受信し、受信したホストの識別情報に対応させて前記記憶手段に受信したアドレス情報を書き込む書込手段とを備える、ことを特徴とする。
【０００７】
請求項３に記載の発明は、請求項１または請求項２に記載のネットワークアクセスシステムであって、さらに、通信装置が通信可能な接続先のリストであるポリシーリストを管理するアクセス制御装置とからなり、前記転送指示手段は、前記アクセス制御装置へ認証された前記通信端末からの通信パケットの転送を指示し、前記アクセス制御装置は、ポリシーリストを記憶する記憶手段と、前記認証装置から通信パケットの転送の指示を受信し、認証された前記通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示する指示手段とを備える、ことを特徴とする。
【０００８】
請求項４に記載の発明は、請求項３に記載のネットワークアクセスシステムであって、前記アクセス制御装置は、前記通信端末からの指示を受け、前記ポリシーリストを書き替える更新手段をさらに備える、ことを特徴とする。
【０００９】
請求項５に記載の発明は、ホスト毎の認証情報を記憶する記憶手段と、通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行う認証手段と、認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示する転送指示手段と、認証が成功した時に起動するタイマと、前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示する転送制限指示手段と、を備えることを特徴とする認証装置である。
【００１０】
請求項６に記載の発明は、請求項５に記載の認証装置であって、さらに、前記通信端末のアドレス情報及びホストの識別情報を前記ドメインネームシステム装置へ送信し、登録を要求する登録要求手段、を備えることを特徴とする。
【００１１】
請求項７に記載の発明は、通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段と、認証装置からの指示に応じて、通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除する登録制御手段と、新たに接続された通信端末に対して、アドレスを生成するための情報を通知する通知手段と、前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送する通信制御手段と、を備えることを特徴とするエッジルータである。
【００１２】
請求項８に記載の発明は、請求項７に記載のエッジルータであって、前記アクセスコントロールリスト内の通信端末の識別情報は、該通信端末のＩＰアドレス情報であることを特徴とする。
【００１３】
請求項９に記載の発明は、通信装置が通信可能な接続先のリストであるポリシーリストを記憶する記憶手段と、認証装置から通信パケットの転送の指示を受信し、前記認証装置が認証した通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示する指示手段と、を備えることを特徴とするアクセス制御装置である。
【００１４】
請求項１０に記載の発明は、通信端末を認証する認証装置と、通信パケットの転送を制御するエッジルータを含んで構成されるネットワークとからなるネットワークアクセスシステムに用いられるネットワークアクセス方法であって、前記エッジルータが、通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段を用意し、前記アクセスコントロールリスト内に登録されていない通信端末から通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末から通信パケットを受信したときには、当該通信パケットを転送しながら、新たに接続された通信端末に対して、アドレスを生成するための情報を通知し、前記認証装置が、ホスト毎の認証情報を記憶する記憶手段を用意し、前記エッジルータが送信したアドレスを生成するための情報を用いてアドレスを生成した通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行い、認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示するとともにタイマを起動し、前記エッジルータが、前記認証装置からの指示に応じて、認証された前記通信端末の識別情報を前記アクセスコントロールリストに登録し、前記認証装置が、前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示し、前記エッジルータが、前記認証装置からの指示に応じて、前記通信端末の識別情報を前記アクセスコントロールリストから削除する、ことを特徴とするネットワークアクセス方法である。
【００１５】
請求項１１に記載の発明は、通信端末を認証する認証装置に用いられるコンピュータプログラムであって、ホスト毎の認証情報を記憶手段に記憶するステップと、通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行うステップと、認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示するステップと、認証が成功した時にタイマを起動するステップと、前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示するステップと、をコンピュータに実行させることを特徴とするコンピュータプログラムである。
【００１６】
請求項１２に記載の発明は、通信パケットの転送を制御するエッジルータに用いられるコンピュータプログラムであって、通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶手段に記憶するステップと、認証装置からの指示に応じて、通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除するステップと、新たに接続された通信端末に対して、アドレスを生成するための情報を通知するステップと、前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送するステップと、をコンピュータに実行させることを特徴とするコンピュータプログラムである。
【００１７】
請求項１３に記載の発明は、通信装置が通信可能な接続先のリストであるポリシーリストを管理するアクセス制御装置に用いられるコンピュータプログラムであって、ポリシーリストを記憶手段に記憶するステップと、認証装置から通信パケットの転送の指示を受信し、前記認証装置が認証した通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示するステップと、をコンピュータに実行させることを特徴とするコンピュータプログラムである。
【００１８】
【発明の実施の形態】
以下、図面を参照し、この発明の実施の形態について説明する。図１は、この発明の一実施の形態によるネットワークアクセスシステムを用いた閉域網接続システムの構成を示すブロック図である。
【００１９】
通信事業者は、ＩＰｖ６を用いたセキュアな閉域網であるネットワークＮを構築し、自身の提供する閉域網接続サービスに加入したユーザにハードウェアキー（以下、「ＨＷキー」）１０を配布する。そして、ＨＷキー１０を装着したユーザの通信端末２０から接続の要求を受けると、このＨＷキー１０内の認証情報を用いてユーザ（ホスト）の認証を行う。認証後、あらかじめネットワークＮ側に設定された接続制御に係る情報に従って、ネットワークＮを介した他の通信端末２０や、インターネットなどの公衆ネットワークであるネットワークＭとの接続を提供する。
また、アクセスポイント設置者は、通信事業者の提供する閉域網接続のホストサービスに加入しており、ユーザの可搬の通信端末２０へ閉域網接続サービスのアクセスポイントを提供する。
【００２０】
サービス共通ＣＡ（Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ：認証局）７０は、通信事業者や第三者機関などが設置する認証局であり、閉域網接続サービスに加入したユーザ（ホスト）の公開鍵及び秘密鍵を生成するとともに、デジタル証明書を発行する。この、デジタル証明書と秘密鍵は、通信事業者が取り出し不可能かつ書き換えや複製が不可能な形式によりＨＷキー１０に格納され、ユーザに配布される。また、ネットワークＮや他の通信ネットワークなどを介してＰＫＩ（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：公開鍵暗号基盤）認証のために必要な情報を提供する機能を有する。
【００２１】
ユーザは、ＨＷキー１０、通信端末２０、スイッチ（以下、「ＳＷ」）３０、回線終端装置３１を保有する。
ＨＷキー１０は、例えば、ＬＡＮカードやＵＳＢポートに装着可能なハードウェアなどであり、内部に備えるメモリ内にユーザ（ホスト）のデジタル証明書及び秘密鍵を記憶している。
【００２２】
通信端末２０は、例えば、パーソナルコンピュータ（以下、「ＰＣ」）２０−１、冷蔵庫２０−２、オーディオ２０−３や、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ：情報携帯端末）、携帯電話、各種家電製品などであり、可搬でありうる。通信端末２０は、ＴＣＰ／ＩＰを実装し、１０ＢＡＳＥ−Ｔ／１００ＢＡＳＥ−Ｔや無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などによりハブやＬＡＮスイッチ、ルータなどのＳＷ３０と接続される。そして、エッジルータ４０から広告されたネットワーク（回線）を識別するための上位６４ビット（プレフィクス）と、自身の備えるＬＡＮカードなどに割り当てられたＭＡＣアドレスから生成した下位６４ビット（インタフェースＩＤ）とから１２８ビットのＩＰｖ６アドレス（以下、単に「ＩＰアドレス」と記載）を生成する機能を有する。また、自身に装着したＨＷキー１０が備えるメモリ内のデジタル証明書及び秘密鍵を用いて、通信開始時及び通信中定期的に認証サーバ５１との間でＰＫＩ認証を行う機能を有する。さらに、自身が内部に記憶するホストＩＤ（ＨＯＳＴ−ＩＤ）及び生成したＩＰアドレスを認証サーバ５１へ通知し、認証および接続を要求する機能を有する。ここでは、ＩＰアドレスを生成する機能、ＰＫＩ認証を行う機能、ならびに、認証および接続を要求する機能は、認証用ソフトウェアにより実行されるとする。
なお、通信端末２０は、ＨＷキー１０を装着する代わりに、ユーザのデジタル証明書及び秘密鍵を書き換えができないように記憶しているメモリを備えたイン・キー（ＩｎＫｅｙ）１１を予め内部に具備することでもよい。
【００２３】
回線終端装置３１は、ＦＴＴＨ（Ｆｉｂｅｒ ｔｏ ｔｈｅ ｈｏｍｅ）やｘＤＳＬ（Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）などのエッジルータ４０とのアクセスインタフェースと、ＳＷ３０とのインタフェースを相互に変換する機能を有する。具体的には、例えば、１００ＢＡＳＥ−ＦＸと１００ＢＡＳＥ−ＴＸの相互変換を行う機能を有するメディアコンバータ（Ｍ／Ｃ）や、電話信号とｘＤＳＬ信号を分離する周波数フィルタであるスプリッタなどである。
【００２４】
アクセスポイント設置者は、無線アクセスポイント装置３２、ルータ３３、回線終端装置３４を保有する。
無線アクセスポイント装置３２は、無線ＬＡＮなど通信端末２０と通信するための無線通信インタフェースと、１０ＢＡＳＥ−Ｔ／１００ＢＡＳＥ−Ｔなどのルータ３３とのインタフェースを相互変換する。
回線終端装置３４は、回線終端装置３１と同様の機能を有し、エッジルータ４０とのアクセスインタフェースとルータ３３とのインタフェースを相互に変換する機能を有する。
【００２５】
通信事業者は、エッジルータ４０、４１、４２と、認証サーバ５１、ＤＤＮＳ（Ｄｙｎａｍｉｃ Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ５２及びゲートウェイ（ＧＷ）５３を備えるポータルサイト５０と、アクセス制御サーバ６１及びサービスサーバ６２を備えるセグメント６０とを保有する。
エッジルータ４０は、ネットワークＮを構成し、ユーザのネットワークに近接するルータである。エッジルータ４０は、ブロードバンド回線などにより回線終端装置３１、３４と接続され、ＩＰアドレスの上位６４ビットを通信端末２０へ広告（ａｄｖｅｒｔｉｓｅ）する。また、ネットワークＮへの接続を許可するホスト（通信端末２０）のＩＰアドレスのリストであるアクセスコントロールリスト（以下、「ＡＣＬ」と記述）を記憶する。そして、このＡＣＬを参照し、通信端末２０から受信した通信パケットの発ＩＰアドレスが、自身が配布した以外の上位６４ビット（プレフィクス）を持つ場合や、ＡＣＬに登録されていないＩＰアドレスである場合には、当該通信パケットを破棄する機能を有する。ＡＣＬは、認証サーバ５１またはアクセス制御サーバ６１の指示により書き替えられる。
エッジルータ４１は、ポータルサイト５０に近接するルータであり、専用線やブロードバンド回線によりポータルサイト５０と接続される。
エッジルータ４２は、セグメント６０に近接するルータであり、専用線やブロードバンド回線によりセグメント６０と接続される。
【００２６】
認証サーバ５１は、ネットワークＮを介して接続される通信端末２０との間で、通信開始時及び通信中定期的にＰＫＩ認証を行う。そして、認証したホスト（通信端末２０）のＩＰアドレスの変更をＤＤＮＳサーバ５２へ指示するとともに、エッジルータ４０のＡＣＬに認証した通信端末２０のＩＰアドレスを接続可能なアドレス（通信パケットの転送を行う対象のＩＰアドレス）として登録するよう指示する機能を有する。さらに、ＰＫＩ認証が成功する度にリセットされるタイマを保有し、このタイマが満了した場合には、エッジルータ４０のＡＣＬに、対応する通信端末２０のＩＰアドレスを接続不可アドレス（通信パケットの制限を行う対象のＩＰアドレス）として通知する機能を有する。なお、認証サーバ５１は、予めデジタル証明書の発行者（ｉｓｕｕｒｅ）と、ホストＩＤとの対応を記憶している。
【００２７】
ＤＤＮＳサーバ５２は、ホストＩＤ（ドメイン名）とＩＰアドレスの対応を示すＤＮＳ登録データを記憶している。そして、問い合わせを受け、ホストＩＤとＩＰアドレスとを相互に変換した結果を返送する機能を有する。また、認証サーバ５１からの指示を受け、ＤＮＳ登録データ内のＩＰアドレスを書き替える機能を有する。
ＧＷ５３は、ネットワークＮを終端し、ネットワークＭとの相互接続を行う機能を備える。
【００２８】
アクセス制御サーバ６１は、通信端末２０（ホスト）が認証後にアクセス可能となる回線や端末などの接続先のリストであるポリシーリストを記憶している。そして、認証サーバ５１からの指示を受け、認証された通信端末２０が収容されているエッジルータ４０と、ポリシーリストを参照して得られる通信端末２０（ホスト）が通信可能な接続先の回線や他の通信端末２０などが収容されているエッジルータ４０へ、当該通信端末２０のＩＰアドレスを接続可能なＩＰアドレスとしてＡＣＬに登録するよう指示する機能を有する。
サービスサーバ６２は、アクセス制御サーバ６１内のポリシーリストを操作するためのＧＵＩなどの登録インタフェースを通信端末２０へ提供する機能を持つ。
【００２９】
図２は、未認証の通信端末のアクセス可能範囲を示す図である。
認証サーバ５１により認証されていない通信端末２０（「未認証の通信端末２０」と記載）は、ポータルサイト５０とのみ通信が可能である。他の接続先との通信を行おうとした場合、この未認証の通信端末２０に最も近いエッジルータ４０のＡＣＬにより接続が拒否され、通信パケットは破棄される（「破棄」状態）。
同図においてエッジルータ４０は、未認証の通信端末２０と通信事業者のポータルサイト５０内の認証サーバ５１、あるいは、ＤＤＮＳサーバ５２との間の通信パケットを転送し、通信可能としている。一方、未認証の通信端末２０とアクセス制御サーバ６１、あるいは、認証済みの通信端末２０との間の通信パケットを破棄し、通信を不可としている。
【００３０】
図３を用いて、着信先を制限しない場合の接続手順を説明する。ここでは、ユーザの自宅や移動先からの最初のネットワークＮへのアクセスを想定する。
まず、ユーザＡは、ホストＩＤ「Ａ１．ｎｅｔ」を持つ自身のＰＣ２０−１（以下、「ＰＣ２０−１ａ」）にＨＷキー１０を装着する。そして、ＰＣ２０−１ａにインストールされた認証用ソフトウェアを起動し、接続ボタンを押す（ステップ１００）。すると、ＰＣ２０−１ａは、ＩＰｖ６が一般的に備えるプラグ・アンド・プレイ機能に用いられるＲＡ（ＩＰｖ６ ｒｏｕｔｅｒ ａｄｖｅｒｔｉｓｅｍｅｎｔ）により、エッジルータ４０からＩＰアドレスの上位６４ビット（プレフィクス）を取得し、ＭＡＣアドレスから自身が生成したＩＰアドレスの下位６４ビット（インタフェースＩＤ）と組み合わせてＩＰアドレスを生成する（ステップＳ１０５）。
【００３１】
続いて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などのプロトコルを用い、ＰＣ２０−１ａと認証サーバ５１との間でＨＷキー１０内に記憶されているデジタル証明書及び秘密鍵に基づくＰＫＩ認証を行う（ステップＳ１１０）。ＰＫＩ認証が完了すると、ＰＣ２０−１ａは、認証サーバ５１に対して、自身のホストＩＤとＩＰアドレスの情報を含む「認証および接続要求メッセージ」を送出する（ステップＳ１１５）。
【００３２】
次に、ＰＣ２０−１ａのロケーション変更が行われる。すなわち、認証サーバ５１は、ステップＳ１１０で認証したデジタル証明書のｉｓｓｕｒｅに対応したホストＩＤを内部から読出し、受信したホストＩＤと一致していれば、ＤＤＮＳサーバ５２へこのホストＩＤ及びＩＰアドレスを転送し、ＤＤＮＳ登録を行う（ステップＳ１２０）。ＤＤＮＳサーバ５２は、認証サーバ５１から受信したＰＣ２０−１ａのＩＰアドレスと、ＤＤＮＳサーバ５２内のＤＮＳ登録データに登録されている受信したホストＩＤに対応したＩＰアドレスを比較する。両ＩＰアドレスが同じであれば何もせずに、異なる場合にはＤＮＳ登録データ内のＩＰアドレスを受信したＩＰアドレスへと書き換えて、処理結果を認証サーバ５１に返す。
【００３３】
ＤＤＮＳサーバ５２からＯＫを示す処理結果を受信した認証サーバ５１は、全てのエッジルータ４０に対してＰＣ２０−１ａのＩＰアドレスを通知し、ＰＣ２０−１ａが発信元のＩＰパケットの扱いを「破棄」から「転送」にするためのＡＣＬの変更を指示する（ステップＳ１２５）。エッジルータ４０は、受信したＩＰアドレスをＡＣＬに登録し、認証サーバ５１に処理結果を返送する。全てのＡＣＬの変更の処理が正常に完了していれば、認証サーバ５１はＰＣ２０−１ａへ「認証および接続完了メッセージ」を送出するのと同時に（ステップＳ１３０）、このＰＣ２０−１ａのタイマをスタートする（ステップＳ１３５）。
【００３４】
「認証および接続完了メッセージ」を受信したＰＣ２０−１ａは、ホストＩＤ「Ｂ１．ｎｅｔ」を接続先として指定し、このホストＩＤ「Ｂ１．ｎｅｔ」で識別される認証済みのＰＣ２０−１（これを、「ＰＣ２０−１ｂ」とする）との通信を開始する（ステップＳ１４０）。なお、この通信において、ホストＩＤとＩＰアドレスとの変換はＤＤＮＳサーバ５２により行われる。
また、ＰＣ２０−１ａとＰＣ２０−１ｂ間の通信と並行して、ＰＣ２０−１ａと認証サーバ５１は、タイマが満了する前に、ステップＳ１１０及びステップＳ１１５と同じ手順により認証を行う（ステップＳ１４５、ステップＳ１５０）。認証サーバ５１がＰＣ２０−１ａを認証した場合には、認証完了メッセージを返送すると同時に（ステップＳ１５５）、このＰＣ２０−１ａの認証タイマをリスタートする（ステップＳ１６０）。これは、ＰＣ２０−１ａが回線から離脱した際に、別の通信端末２０がＩＰアドレスを詐称してなりすましの通信を行うことを防止するためであり、ステップＳ１４５〜ステップＳ１６０の手順は切断まで定期的に繰り返される。
【００３５】
なお、認証タイマが満了した場合、あるいは、ＰＣ２０−１ａが能動的に「切断メッセージ」を送出した場合は接続が切断され、認証サーバ５１は、エッジルータ４０に対して、ＰＣ２０−１ａのＩＰアドレスを通知し、このＩＰアドレス発の通信パケットの扱いを認証前の「破棄」状態に戻すようにＡＣＬの変更を指示する。
【００３６】
また、図３の手順において、移動する可能性のない通信端末２０からネットワークＮへの接続を行う場合には、予めホストＩＤ及びＩＰアドレスの組をＤＤＮＳサーバ５２へ登録しておくことにより、ステップＳ１２０のＤＤＮＳサーバ５２へのＩＰアドレスの登録の手順は不要となる。
【００３７】
次に、図４を用いて、着信先を制限する場合の接続手順を説明する。ここでは、ユーザの自宅や移動先におけるＰＣ２０−１ａからの最初のネットワークＮへのアクセスを想定する。
ステップＳ２００〜ステップＳ２２０は、図３におけるステップＳ１００〜ステップＳ１２０の手順と同様である。
【００３８】
ＯＫを示すＤＤＮＳ登録の処理結果をＤＤＮＳサーバ５２から受信した認証サーバ５１は、ＰＣ２０−１ａの接続条件、すなわち、ポリシーリストを保持しているアクセス制御サーバ６１に対して網参加情報を送信し、エッジルータ４０のＡＣＬの変更を指示する（ステップＳ２２５）。この網参加情報には、ＰＣ２０−１ａのホストＩＤ、ＩＰアドレス、「接続」を指示する指示コードが含まれる。
【００３９】
アクセス制御サーバ６１は、「接続」を示す指示コードを受信すると、内部に登録されているポリシーリストを参照し、接続を許可している他の通信端末２０や回線が収容されているエッジルータ４０に対してＡＣＬの変更を指示するとともに（ステップＳ２３０）、ＰＣ２０−１ａが収容されているエッジルータ４０へＡＣＬの変更を指示する（ステップＳ２３５）。これらのＡＣＬの変更の指示は、ＰＣ２０−１ａが発信元のＩＰパケットの扱いを「破棄」から「転送」状態へ変更する指示であり、ＰＣ２０−１ａのＩＰアドレスが通知される。
【００４０】
アクセス制御サーバ６１は、ＡＣＬの変更を指示したエッジルータ４０から処理結果を受信すると、認証サーバ５１へ処理結果を返送する（ステップＳ２４０）。この処理結果がＯＫであった場合の手順であるステップＳ２４５〜ステップＳ２７５の処理は、図３のステップＳ１３０〜ステップＳ１６０の処理と同様である。
【００４１】
図５は、詳細な認証手順を示す。同図は、図４のＲＡによるアドレス配布（ステップＳ２０５）からＰＣ２０−１ａへの「認証および接続完了メッセージ」の送出（ステップＳ２４５）までの手順に相当し、ＴＬＳが用いられる例である。＜ステップＳ４００＞
ＰＣ２０−１ａは、ＲＡによりＩＰアドレスを生成する。
＜ステップＳ４０５＞
続いて、ＰＣ２０−１ａ及び認証サーバ５１間で、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）の３ｗａｙ ｈａｎｄｓｈａｋｅにより、コネクションのセットアップを行う。
【００４２】
＜ステップＳ４１０＞
（１）Ｃｌｉｅｎｔ Ｈｅｌｌｏ
認証サーバ５１とのコネクションが確立されると、ＰＣ２０−１ａは、通信の開始を認証サーバ５１へ通知する。このとき、自身が利用可能な、暗号化と圧縮のアルゴリズムの一覧を送信する。
【００４３】
＜ステップＳ４１５＞
（２） Ｓｅｒｖｅｒ Ｈｅｌｌｏ
認証サーバ５１は、ＰＣ２０−１ａから受信した暗号化と圧縮のアルゴリズムの一覧の中から、使用する暗号化と圧縮のアルゴリズムを決定して、ＰＣ２０−１ａに通知する。
（３） Ｃｅｒｔｉｆｉｃａｔｅ
続いて、認証サーバ５１は、自身のデジタル証明書を、ルートＣＡ（サービス共通ＣＡ７０）までのデジタル証明書のリスト（証明書チェーン）を含めて送信する。なお、証明書チェーンとは、信頼されるデジタル証明書の階層であって、「チェーン」の究極的な信頼レベルまで遡って「連鎖」されるか認証されることができるものである。
（４） Ｓｅｒｖｅｒ Ｋｅｙ Ｅｘｃｈａｎｇｅ
認証サーバ５１は、一時的なＲＳＡ（Ｒｉｖｅｓｔ−Ｓｈａｍｉｒ−Ａｄｌｅｍａｎ）鍵かＤＨ（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵を生成し、認証サーバ５１の署名をつけて送信する。このメッセージは、認証サーバ５１がデジタル証明書を持たないか、（３）のＣｅｒｔｉｆｉｃａｔｅで送信した認証サーバ５１のデジタル証明書に、鍵交換可能な公開鍵（ＲＳＡおよびＤＨ）が含まれない場合の代替として使用する。
（５） Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔ
認証サーバ５１が信頼するルートＣＡの一覧を付与し、ＰＣ２０−１ａへデジタル証明書の提示を要求する。これは、ＰＣ２０−１ａの認証を行う場合に使用する。
（６） Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅ
ＰＣ２０−１ａに対して、（２）から（５）までの一連のメッセージが完了したことを通知する。
【００４４】
＜ステップＳ４２０＞
（７） Ｃｅｒｔｉｆｉｃａｔｅ
ＰＣ２０−１ａは、ユーザＡ（ホスト）のデジタル証明書を認証サーバ５１へ送付する。このとき、（３）と同様に証明書チェーンも送信する。
（８） Ｃｌｉｅｎｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ
ＰＣ２０−１ａは、暗号化に使用するセッション鍵を生成するための情報（プリマスタシークレット）を生成し、暗号化して認証サーバ５１に送信する。このプリマスタシークレットの暗号化には、認証サーバ５１のデジタル証明書に含まれる公開鍵を使用する。
（９） Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙ
ＰＣ２０−１ａは、今までに受信したＨｅｌｌｏメッセージから署名（Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙ）を生成し、認証サーバ５１へ送信する。署名（Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙ）を受信した認証サーバ５１は、ＰＣ２０−１ａから受け取ったデジタル証明書（Ｃｅｒｔｉｆｉｃａｔｅ）を用いて、署名の検証を行う。検証が成功すると、そのデジタル証明書が間違いなくユーザＡのものであることが確認できる。
【００４５】
＜ステップＳ４２５＞
（１０） Ｃｈａｎｇｅ Ｃｉｐｈｅｒ Ｓｐｅｃ
続いてＰＣ２０−１ａは、プリマスタシークレットからマスタシークレットを生成し、さらにマスタシークレットからセッション鍵（共通鍵）を生成する。次に、使用する暗号アルゴリズムの準備が整ったことを認証サーバ５１に通知する。
（１１） Ｆｉｎｉｓｈｅｄ
ＰＣ２０−１ａは、鍵交換と認証処理が成功したことを認証サーバ５１に通知する。このとき、交換したセッション鍵を用いてメッセージを暗号化し、送信する。
【００４６】
＜ステップＳ４３０＞
（１２） Ｃｈａｎｇｅ Ｃｉｐｈｅｒ Ｓｐｅｃ
認証サーバ５１は、ＰＣ２０−１ａから受信した暗号化されたプリマスタシークレットを、自身の秘密鍵を使い復号する。次に復号したプリマスタシークレットからマスタシークレットを生成し、さらにマスタシークレットからセッション鍵（共通鍵）を生成する。このセッション健は、ＰＣ２０−１ａが生成したセッション鍵と同じ鍵になる。次に、使用する暗号アルゴリズムの準備が整ったことをＰＣ２０−１ａに通知する。
（１３） Ｆｉｎｉｓｈｅｄ
認証サーバ５１は、鍵交換と認証処理が成功したことをＰＣ２０−１ａに通知する。そして、交換したセッション鍵を使い、メッセージを暗号化して送信する。
以降は、暗号化された状態でデータの送受信を行う。
【００４７】
＜ステップＳ４３５＞
ＰＣ２０−１ａは、認証サーバ５１へＨＴＴＰなどにより、ホストＩＤ及びＩＰアドレスを通知し、接続を要求する。
＜ステップＳ４４０＞
認証サーバ５１は、ＰＣ２０−１ａから受信したホストＩＤ及びＩＰアドレスをＤＤＮＳサーバ５２へ通知し、ＤＮＳ登録データの変更を指示する。
【００４８】
＜ステップＳ４４５、ステップＳ４５０＞
認証サーバ５１は、ＤＤＮＳサーバ５２からＤＮＳ登録データ変更の応答を受信すると、アクセス制御サーバ６１へＰＣ２０−１ａのホストＩＤ及びＩＰアドレスを通知し、ＡＣＬの変更を指示する。
＜ステップＳ４５５＞
アクセス制御サーバ６１は、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）を用いて、ＡＣＬの変更をエッジルータ４０へ指示する。
＜ステップＳ４６０、ステップＳ４６５、ステップＳ４７０＞
アクセス制御サーバ６１は、エッジルータ４０からＡＣＬの変更の応答（Ａｃｋ．）を受信すると、認証サーバ５１へ応答（Ａｃｋ．）を返送する。認証サーバ５１は、ＰＣ２０−１ａへ応答（Ａｃｋ．）を返送する。
【００４９】
続いて、アクセス制御サーバ６１内のポリシーリストの具体的な設定の例について以下に説明する。
ユーザがポリシーリストの表示や変更を行う際には、通信端末２０からサービスサーバ６２へアクセスする。サービスサーバ６２は、通信端末２０から受信した回線や通信端末、ＣＵＧ（詳細は後述）の識別情報などに対応するポリシーリストをアクセス制御サーバ６１から読み出す。そして、読み出したポリシーリストを表示するとともに、このポリシーリストを変更するためのフィールドやボタンなどを備えた画面情報を生成して返送する。サービスサーバ６２は、通信端末２０からユーザが入力したポリシーリストの変更の情報を受信した場合、この情報に従ってアクセス制御サーバ６１内のポリシーリストを更新する。なお、ポリシーリストを操作可能なユーザは、このポリシーリストに対応したセキュアＩＤの通過ポリシーにより規定される。
【００５０】
図６は、アクセス制御サーバ６１内に登録されるポリシーリストの表示例を示す。このポリシーリストは、エッジルータ４０−回線終端装置３１あるいは回線終端装置３４間などの回線単位、ホストＩＤ単位、ＩＰアドレス単位、さらに、ＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ）やＨＴＭＬ（ｈｙｐｅｒｔｅｘｔ ｍａｒｋｕｐ ｌａｎｇｕａｇｅ）などのプロトコル単位で、ユーザが設定することが可能である。
【００５１】
同図においては、「ＣＯＰ０００７８３２０」で識別され、ニックネームが「○×自宅」である回線のポリシーリストが示されている。このポリシーリストの管理者はホストＩＤ「ｙｏｓｈｉ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」で識別され、設定可能なリスト数は１０、かつ、予め登録されたユーザ（管理者）のみにこのポリシーリストを操作する権限があることを示すセキュアＩＤの通過ポリシーが設定されている。
そして、ニックネーム「ポータルサイト」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：１／４８」である接続先、及び、ニックネーム「開発部１９Ｆの回線」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８０：１２３４／６４」である接続先には無期限に、ニックネーム「設備部のホスト回線」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８０：８００１／６４」である接続先には、２００３年１２月３１日０時００分まで接続可能であることを示している。また、ニックネーム「○×セキュア」で識別され、ホストＩＤ「ｙｏｓｈｉ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」である接続先、ニックネーム「△□セキュア」で識別され、ホストＩＤ「ｔｏｍｏ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」である接続先、及び、ニックネーム「ＩＰｓｅｃ通信」で識別され、ＩＰＳｅｃプロトコルを用いた通信は、無期限に接続可能であることを示している。
なお、デフォルトでは、認証された通信端末２０であればポリシーリストの操作が可能である旨のセキュアＩＤの通過ポリシーと、ポータルサイト５０への接続が無期限である旨が設定される。
【００５２】
図７は、ＣＵＧ（Ｃｌｏｓｅｄ Ｕｓｅｒ Ｇｒｏｕｐ）の登録の手順を示す図である。ＣＵＧとは、同一のポリシーリストを使用するホスト、通信端末２０、あるいは、回線などをグループ化したものであり、それぞれのポリシーリストに対して操作を行う煩雑さを解消するものである。
【００５３】
図において、ユーザＡが管理しているＣＵＧにユーザＢが管理する回線を加える場合（▲１▼）、ユーザＢは通信端末２０からサービスサーバ６２へアクセスし、ユーザＡの管理しているＣＵＧへの参加を申請（登録）する（▲２▼）。この申請は、サービスサーバ６２により、アクセス制御サーバ６１へ登録される。
また、ユーザＡは、通信端末２０からサービスサーバ６２へアクセスし、ユーザＢの管理している回線を自身の管理するＣＵＧへ新規に登録する（▲３▼）。サービスサーバ６２は、アクセス制御サーバ６１内に、ユーザＡの管理するＣＵＧへユーザＢの管理している回線を登録する。そして、サービスサーバ６２は、ユーザＡ及びユーザＢからのこれらの申請（登録）の有無をアクセス制御サーバ６１から参照し、登録があればＣＵＧが「利用中」であると認識する（▲４▼）。これにより、ユーザＡの管理するＣＵＧのポリシーリストの登録内容を、ユーザＢの管理する回線のポリシーリストへ反映させる。
【００５４】
図８は、アクセス制御サーバ６１内に登録されるＣＵＧのポリシーリストの表示例を示す。このポリシーリストは、「０００００１」で識別され、ニックネームが「ＩＰ−ＳＥＣな仲間」であるＣＵＧのポリシーリストであり、管理者はホストＩＤ「ｙｏｓｈｉ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」で識別され、設定可能なリスト数は５であることが示されている。そして、ニックネーム「開発部１９Ｆの回線」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８０：１２３４／６４」である接続先、及び、ニックネーム「研開センタ８ＦのＢ」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８０：５５５５／６４」である接続先には無期限に接続可能であることを示している。また、ニックネーム「○×セキュア」で識別され、ホストＩＤ「ｙｏｓｈｉ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」である接続先には２００３年１２月３１日０時００分まで、ニックネーム「△□セキュア」で識別され、ホストＩＤ「ｔｏｍｏ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」である接続先には無期限に接続可能であり、ニックネーム「○×自宅」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８１：５９６３／６４」である接続先は、参加回線登録待ちであることを示している。
【００５５】
上記実施の形態によれば、ＰＫＩ認証の結果と、エッジルータのＡＣＬ制御をリアルタイムに連携させて、ユーザの身元特定性を担保することができる。また、ＩＰｖ６を用いることによりアドレスを端末個々に割り振ることができるため、エッジルータでＩＰアドレスベースのＡＣＬ制御が可能になる。これにより、セッションを使わない方式で、通信対地やプロトコルを限定せずに、通信事業者が身元を把握したユーザ間での通信が可能となる。また、レイヤ３以上で認証制御を行っているため、ユーザのネットワーク環境を限定せずに、閉域網サービスを提供することができる。
また、認証時にＤＤＮＳサーバへホストＩＤに対応するＩＰアドレスの変更を行うことにより、ユーザはＨＷキーを携帯していれば、移動した先で移動前と同じホストＩＤを用いて閉域網に接続することが可能となり、自宅あるいはアクセスポイントなどの接続場所に依存せずに、どこらからでも同じサービスを享受することができる。
また、アクセス制御サーバに接続可能な接続先を登録し、この接続先に基づきエッジルータに接続制限を指示することができる。これにより、ユーザが自宅にファイアウォールなどの特別なセキュリティー製品を置かなくても、簡易にセキュアな通信が可能となる。
また、ＣＵＧによる複数の対地の接続制限を行うことができるため、多対地の接続制限の管理を容易に行うことが可能となる。
【００５６】
なお、上述の通信端末２０、エッジルータ４０、４１、４２、認証サーバ５１、ＤＤＮＳサーバ５２、アクセス制御サーバ６１、及び、サービスサーバ６２は、内部にコンピュータシステムを有している。そして、上述した動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウアを含むものである。
【００５７】
また、「コンピュータ読み取り可能な記録媒体」とは、ＲＯＭの他に、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のシステムやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００５８】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００５９】
【発明の効果】
この発明によれば、認証の結果と、エッジルータの接続制御をリアルタイムに連携させて、ユーザの身元特定性を担保することができる。また、ＩＰアドレスを端末個々に割り振ることができるため、エッジルータでＩＰアドレスベースの接続制御を行うことが可能になる。これにより、セッションを使わない方式により、通信対地やプロトコルを限定せずに、通信事業者が身元を把握したユーザ間での通信が可能となるとともに、ユーザのネットワーク環境を限定せずに、閉域網サービスを提供することができる。
また、認証時にドメインネームシステムサーバへホストに対応したアドレスの変更を行うことにより、ユーザはＨＷキーを携帯していれば、移動した先で移動前と同じホストとして閉域網に接続することが可能となり、自宅あるいはアクセスポイントなどの接続場所に依存せずに、どこらからでも同じサービスを享受することができる。
また、アクセス制御サーバに接続可能な接続先を登録し、この接続先に基づきエッジルータに接続制限を指示することができる。これにより、ユーザが自宅にファイアウォールなどの特別なセキュリティー製品を置かなくても、簡易にセキュアな通信が可能となる。
【図面の簡単な説明】
【図１】この発明の一実施の形態によるネットワークアクセスシステムを用いた閉域網接続システムの構成を示す図である。
【図２】同実施の形態による未認証の通信端末のアクセス可能範囲を示す図である
【図３】同実施の形態による着信先を制限しない場合の接続手順を示す図である。
【図４】同実施の形態による着信先を制限する場合の接続手順を示す図である。
【図５】同実施の形態による詳細な認証手順を示す図である。
【図６】同実施の形態によるポリシーリストの表示例を示す図である。
【図７】同実施の形態によるＣＵＧの登録手順を示す図である。
【図８】同実施の形態によるＣＵＧのポリシーリストの表示例を示す図である。
【符号の説明】
１０…ハードウェア（ＨＷ）キー
２０…通信端末
２０−１、２０−１ａ、２０−１ｂ…パーソナルコンピュータ（ＰＣ）
３０…スイッチ（ＳＷ）
３１、３４…回線終端装置
３２…無線アクセスポイント装置
３３…ルータ
４０、４１、４２…エッジルータ
５０…ポータルサイト
５１…認証サーバ
５２…ＤＤＮＳ（Ｄｙｎａｍｉｃ Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ
６０…セグメント
６１…アクセス制御サーバ
６２…サービスサーバ
７０…サービス共通ＣＡ（認証局）
【発明の属する技術分野】
この発明は、ネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラムに関する。
【０００２】
【従来の技術】
近年、いつでもどこでも簡単にコンピュータを利用できる環境を整備したユビキタス社会への移行が進みつつある。そして、このユビキタス社会に対して、閉域網サービスで提供されるような高セキュアな通信が求められている。
一方、非特許文献１には、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を用い、公衆の無線アクセスポイントを介してインターネットなどにアクセスする公衆型無線アクセスサービスについて記載されている。しかし、この公衆型無線アクセスサービスでは、利用者の端末と無線アクセスポイント間の無線部分の認証だけを行い、最終的な接続先までを含めた認証を行うことはできない。
また、非特許文献２には、ＩＰｖ６を用いた閉域網サービスの実験について記載されている。これは、エッジルータのアクセスコントロール機能により、ＩＰｖ６アドレスの上位６４ビットのフィルタによりアクセス回線を特定する仕組みを用いている。しかし、この方法では、端末やユーザの割り出しは不可能であり、アクセス回線を公衆に解放した場合、サービス未加入者の接続を排除できない。
また、非特許文献３には、ウェブサイトに対して共通のインターネット認証を提供するオンラインサービスであるシングルサインオン方式について記載されている。このシングルサインオン方式は、ユーザの認証後にセッションキーを払い出す方法であり、セッションキーを理解できるプロトコルやサーバに通信が限定され、広範囲で自由度の高い通信ができない。
【０００３】
【非特許文献１】
「ＮＴＴ東日本ＢＵＳＩＮＥＳＳ」、２００２年７月、Ｎｏ．６２８、Ｐ．２１−２３
【非特許文献２】
「ＮＴＴ東日本ＢＵＳＩＮＥＳＳ」、２００３年２月、Ｎｏ．６３５、ｐ．１９−２０
【非特許文献３】
「Ｍｉｃｒｏｓｏｆｔ ．ＮＥＴ Ｐａｓｓｐｏｒｔ 技術概要」、２００１年９月、ｐ．１−２４
【０００４】
【発明が解決しようとする課題】
本発明は、上記事情を考慮してなされたものであり、その目的は、簡易な認証により、通信の自由度及び接続環境のモビリティーを確保しながら、ユーザあるいは端末を特定したセキュアな閉域網接続を実現することのできるネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラムを提供することにある。
【０００５】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、通信端末を認証する認証装置と、通信パケットの転送を制御するエッジルータを含んで構成されるネットワークとからなるネットワークアクセスシステムであって、前記認証装置は、ホスト毎の認証情報を記憶する記憶手段と、通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行う認証手段と、認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示する転送指示手段と、認証が成功した時に起動するタイマと、前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示する転送制限指示手段とを備え、前記エッジルータは、通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段と、前記認証装置からの指示に応じて、前記通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除する登録制御手段と、新たに接続された通信端末に対して、アドレスを生成するための情報を通知する通知手段と、前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送する通信制御手段とを備える、ことを特徴とするネットワークアクセスシステムである。
【０００６】
請求項２に記載の発明は、請求項１に記載のネットワークアクセスシステムであって、さらに、ホストの識別情報とアドレス情報とを相互に変換するドメインネームシステム装置とからなり、前記認証装置は、前記通信端末のアドレス情報及びホストの識別情報を前記ドメインネームシステム装置へ送信し、登録を要求する登録要求手段をさらに備え、前記ドメインネームシステム装置は、ホストの識別情報に対応させて通信端末のアドレス情報を記憶する記憶手段と、前記認証装置から通信端末のアドレス情報及びホストの識別情報を受信し、受信したホストの識別情報に対応させて前記記憶手段に受信したアドレス情報を書き込む書込手段とを備える、ことを特徴とする。
【０００７】
請求項３に記載の発明は、請求項１または請求項２に記載のネットワークアクセスシステムであって、さらに、通信装置が通信可能な接続先のリストであるポリシーリストを管理するアクセス制御装置とからなり、前記転送指示手段は、前記アクセス制御装置へ認証された前記通信端末からの通信パケットの転送を指示し、前記アクセス制御装置は、ポリシーリストを記憶する記憶手段と、前記認証装置から通信パケットの転送の指示を受信し、認証された前記通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示する指示手段とを備える、ことを特徴とする。
【０００８】
請求項４に記載の発明は、請求項３に記載のネットワークアクセスシステムであって、前記アクセス制御装置は、前記通信端末からの指示を受け、前記ポリシーリストを書き替える更新手段をさらに備える、ことを特徴とする。
【０００９】
請求項５に記載の発明は、ホスト毎の認証情報を記憶する記憶手段と、通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行う認証手段と、認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示する転送指示手段と、認証が成功した時に起動するタイマと、前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示する転送制限指示手段と、を備えることを特徴とする認証装置である。
【００１０】
請求項６に記載の発明は、請求項５に記載の認証装置であって、さらに、前記通信端末のアドレス情報及びホストの識別情報を前記ドメインネームシステム装置へ送信し、登録を要求する登録要求手段、を備えることを特徴とする。
【００１１】
請求項７に記載の発明は、通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段と、認証装置からの指示に応じて、通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除する登録制御手段と、新たに接続された通信端末に対して、アドレスを生成するための情報を通知する通知手段と、前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送する通信制御手段と、を備えることを特徴とするエッジルータである。
【００１２】
請求項８に記載の発明は、請求項７に記載のエッジルータであって、前記アクセスコントロールリスト内の通信端末の識別情報は、該通信端末のＩＰアドレス情報であることを特徴とする。
【００１３】
請求項９に記載の発明は、通信装置が通信可能な接続先のリストであるポリシーリストを記憶する記憶手段と、認証装置から通信パケットの転送の指示を受信し、前記認証装置が認証した通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示する指示手段と、を備えることを特徴とするアクセス制御装置である。
【００１４】
請求項１０に記載の発明は、通信端末を認証する認証装置と、通信パケットの転送を制御するエッジルータを含んで構成されるネットワークとからなるネットワークアクセスシステムに用いられるネットワークアクセス方法であって、前記エッジルータが、通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段を用意し、前記アクセスコントロールリスト内に登録されていない通信端末から通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末から通信パケットを受信したときには、当該通信パケットを転送しながら、新たに接続された通信端末に対して、アドレスを生成するための情報を通知し、前記認証装置が、ホスト毎の認証情報を記憶する記憶手段を用意し、前記エッジルータが送信したアドレスを生成するための情報を用いてアドレスを生成した通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行い、認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示するとともにタイマを起動し、前記エッジルータが、前記認証装置からの指示に応じて、認証された前記通信端末の識別情報を前記アクセスコントロールリストに登録し、前記認証装置が、前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示し、前記エッジルータが、前記認証装置からの指示に応じて、前記通信端末の識別情報を前記アクセスコントロールリストから削除する、ことを特徴とするネットワークアクセス方法である。
【００１５】
請求項１１に記載の発明は、通信端末を認証する認証装置に用いられるコンピュータプログラムであって、ホスト毎の認証情報を記憶手段に記憶するステップと、通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行うステップと、認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示するステップと、認証が成功した時にタイマを起動するステップと、前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示するステップと、をコンピュータに実行させることを特徴とするコンピュータプログラムである。
【００１６】
請求項１２に記載の発明は、通信パケットの転送を制御するエッジルータに用いられるコンピュータプログラムであって、通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶手段に記憶するステップと、認証装置からの指示に応じて、通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除するステップと、新たに接続された通信端末に対して、アドレスを生成するための情報を通知するステップと、前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送するステップと、をコンピュータに実行させることを特徴とするコンピュータプログラムである。
【００１７】
請求項１３に記載の発明は、通信装置が通信可能な接続先のリストであるポリシーリストを管理するアクセス制御装置に用いられるコンピュータプログラムであって、ポリシーリストを記憶手段に記憶するステップと、認証装置から通信パケットの転送の指示を受信し、前記認証装置が認証した通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示するステップと、をコンピュータに実行させることを特徴とするコンピュータプログラムである。
【００１８】
【発明の実施の形態】
以下、図面を参照し、この発明の実施の形態について説明する。図１は、この発明の一実施の形態によるネットワークアクセスシステムを用いた閉域網接続システムの構成を示すブロック図である。
【００１９】
通信事業者は、ＩＰｖ６を用いたセキュアな閉域網であるネットワークＮを構築し、自身の提供する閉域網接続サービスに加入したユーザにハードウェアキー（以下、「ＨＷキー」）１０を配布する。そして、ＨＷキー１０を装着したユーザの通信端末２０から接続の要求を受けると、このＨＷキー１０内の認証情報を用いてユーザ（ホスト）の認証を行う。認証後、あらかじめネットワークＮ側に設定された接続制御に係る情報に従って、ネットワークＮを介した他の通信端末２０や、インターネットなどの公衆ネットワークであるネットワークＭとの接続を提供する。
また、アクセスポイント設置者は、通信事業者の提供する閉域網接続のホストサービスに加入しており、ユーザの可搬の通信端末２０へ閉域網接続サービスのアクセスポイントを提供する。
【００２０】
サービス共通ＣＡ（Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ：認証局）７０は、通信事業者や第三者機関などが設置する認証局であり、閉域網接続サービスに加入したユーザ（ホスト）の公開鍵及び秘密鍵を生成するとともに、デジタル証明書を発行する。この、デジタル証明書と秘密鍵は、通信事業者が取り出し不可能かつ書き換えや複製が不可能な形式によりＨＷキー１０に格納され、ユーザに配布される。また、ネットワークＮや他の通信ネットワークなどを介してＰＫＩ（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：公開鍵暗号基盤）認証のために必要な情報を提供する機能を有する。
【００２１】
ユーザは、ＨＷキー１０、通信端末２０、スイッチ（以下、「ＳＷ」）３０、回線終端装置３１を保有する。
ＨＷキー１０は、例えば、ＬＡＮカードやＵＳＢポートに装着可能なハードウェアなどであり、内部に備えるメモリ内にユーザ（ホスト）のデジタル証明書及び秘密鍵を記憶している。
【００２２】
通信端末２０は、例えば、パーソナルコンピュータ（以下、「ＰＣ」）２０−１、冷蔵庫２０−２、オーディオ２０−３や、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ：情報携帯端末）、携帯電話、各種家電製品などであり、可搬でありうる。通信端末２０は、ＴＣＰ／ＩＰを実装し、１０ＢＡＳＥ−Ｔ／１００ＢＡＳＥ−Ｔや無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などによりハブやＬＡＮスイッチ、ルータなどのＳＷ３０と接続される。そして、エッジルータ４０から広告されたネットワーク（回線）を識別するための上位６４ビット（プレフィクス）と、自身の備えるＬＡＮカードなどに割り当てられたＭＡＣアドレスから生成した下位６４ビット（インタフェースＩＤ）とから１２８ビットのＩＰｖ６アドレス（以下、単に「ＩＰアドレス」と記載）を生成する機能を有する。また、自身に装着したＨＷキー１０が備えるメモリ内のデジタル証明書及び秘密鍵を用いて、通信開始時及び通信中定期的に認証サーバ５１との間でＰＫＩ認証を行う機能を有する。さらに、自身が内部に記憶するホストＩＤ（ＨＯＳＴ−ＩＤ）及び生成したＩＰアドレスを認証サーバ５１へ通知し、認証および接続を要求する機能を有する。ここでは、ＩＰアドレスを生成する機能、ＰＫＩ認証を行う機能、ならびに、認証および接続を要求する機能は、認証用ソフトウェアにより実行されるとする。
なお、通信端末２０は、ＨＷキー１０を装着する代わりに、ユーザのデジタル証明書及び秘密鍵を書き換えができないように記憶しているメモリを備えたイン・キー（ＩｎＫｅｙ）１１を予め内部に具備することでもよい。
【００２３】
回線終端装置３１は、ＦＴＴＨ（Ｆｉｂｅｒ ｔｏ ｔｈｅ ｈｏｍｅ）やｘＤＳＬ（Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）などのエッジルータ４０とのアクセスインタフェースと、ＳＷ３０とのインタフェースを相互に変換する機能を有する。具体的には、例えば、１００ＢＡＳＥ−ＦＸと１００ＢＡＳＥ−ＴＸの相互変換を行う機能を有するメディアコンバータ（Ｍ／Ｃ）や、電話信号とｘＤＳＬ信号を分離する周波数フィルタであるスプリッタなどである。
【００２４】
アクセスポイント設置者は、無線アクセスポイント装置３２、ルータ３３、回線終端装置３４を保有する。
無線アクセスポイント装置３２は、無線ＬＡＮなど通信端末２０と通信するための無線通信インタフェースと、１０ＢＡＳＥ−Ｔ／１００ＢＡＳＥ−Ｔなどのルータ３３とのインタフェースを相互変換する。
回線終端装置３４は、回線終端装置３１と同様の機能を有し、エッジルータ４０とのアクセスインタフェースとルータ３３とのインタフェースを相互に変換する機能を有する。
【００２５】
通信事業者は、エッジルータ４０、４１、４２と、認証サーバ５１、ＤＤＮＳ（Ｄｙｎａｍｉｃ Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ５２及びゲートウェイ（ＧＷ）５３を備えるポータルサイト５０と、アクセス制御サーバ６１及びサービスサーバ６２を備えるセグメント６０とを保有する。
エッジルータ４０は、ネットワークＮを構成し、ユーザのネットワークに近接するルータである。エッジルータ４０は、ブロードバンド回線などにより回線終端装置３１、３４と接続され、ＩＰアドレスの上位６４ビットを通信端末２０へ広告（ａｄｖｅｒｔｉｓｅ）する。また、ネットワークＮへの接続を許可するホスト（通信端末２０）のＩＰアドレスのリストであるアクセスコントロールリスト（以下、「ＡＣＬ」と記述）を記憶する。そして、このＡＣＬを参照し、通信端末２０から受信した通信パケットの発ＩＰアドレスが、自身が配布した以外の上位６４ビット（プレフィクス）を持つ場合や、ＡＣＬに登録されていないＩＰアドレスである場合には、当該通信パケットを破棄する機能を有する。ＡＣＬは、認証サーバ５１またはアクセス制御サーバ６１の指示により書き替えられる。
エッジルータ４１は、ポータルサイト５０に近接するルータであり、専用線やブロードバンド回線によりポータルサイト５０と接続される。
エッジルータ４２は、セグメント６０に近接するルータであり、専用線やブロードバンド回線によりセグメント６０と接続される。
【００２６】
認証サーバ５１は、ネットワークＮを介して接続される通信端末２０との間で、通信開始時及び通信中定期的にＰＫＩ認証を行う。そして、認証したホスト（通信端末２０）のＩＰアドレスの変更をＤＤＮＳサーバ５２へ指示するとともに、エッジルータ４０のＡＣＬに認証した通信端末２０のＩＰアドレスを接続可能なアドレス（通信パケットの転送を行う対象のＩＰアドレス）として登録するよう指示する機能を有する。さらに、ＰＫＩ認証が成功する度にリセットされるタイマを保有し、このタイマが満了した場合には、エッジルータ４０のＡＣＬに、対応する通信端末２０のＩＰアドレスを接続不可アドレス（通信パケットの制限を行う対象のＩＰアドレス）として通知する機能を有する。なお、認証サーバ５１は、予めデジタル証明書の発行者（ｉｓｕｕｒｅ）と、ホストＩＤとの対応を記憶している。
【００２７】
ＤＤＮＳサーバ５２は、ホストＩＤ（ドメイン名）とＩＰアドレスの対応を示すＤＮＳ登録データを記憶している。そして、問い合わせを受け、ホストＩＤとＩＰアドレスとを相互に変換した結果を返送する機能を有する。また、認証サーバ５１からの指示を受け、ＤＮＳ登録データ内のＩＰアドレスを書き替える機能を有する。
ＧＷ５３は、ネットワークＮを終端し、ネットワークＭとの相互接続を行う機能を備える。
【００２８】
アクセス制御サーバ６１は、通信端末２０（ホスト）が認証後にアクセス可能となる回線や端末などの接続先のリストであるポリシーリストを記憶している。そして、認証サーバ５１からの指示を受け、認証された通信端末２０が収容されているエッジルータ４０と、ポリシーリストを参照して得られる通信端末２０（ホスト）が通信可能な接続先の回線や他の通信端末２０などが収容されているエッジルータ４０へ、当該通信端末２０のＩＰアドレスを接続可能なＩＰアドレスとしてＡＣＬに登録するよう指示する機能を有する。
サービスサーバ６２は、アクセス制御サーバ６１内のポリシーリストを操作するためのＧＵＩなどの登録インタフェースを通信端末２０へ提供する機能を持つ。
【００２９】
図２は、未認証の通信端末のアクセス可能範囲を示す図である。
認証サーバ５１により認証されていない通信端末２０（「未認証の通信端末２０」と記載）は、ポータルサイト５０とのみ通信が可能である。他の接続先との通信を行おうとした場合、この未認証の通信端末２０に最も近いエッジルータ４０のＡＣＬにより接続が拒否され、通信パケットは破棄される（「破棄」状態）。
同図においてエッジルータ４０は、未認証の通信端末２０と通信事業者のポータルサイト５０内の認証サーバ５１、あるいは、ＤＤＮＳサーバ５２との間の通信パケットを転送し、通信可能としている。一方、未認証の通信端末２０とアクセス制御サーバ６１、あるいは、認証済みの通信端末２０との間の通信パケットを破棄し、通信を不可としている。
【００３０】
図３を用いて、着信先を制限しない場合の接続手順を説明する。ここでは、ユーザの自宅や移動先からの最初のネットワークＮへのアクセスを想定する。
まず、ユーザＡは、ホストＩＤ「Ａ１．ｎｅｔ」を持つ自身のＰＣ２０−１（以下、「ＰＣ２０−１ａ」）にＨＷキー１０を装着する。そして、ＰＣ２０−１ａにインストールされた認証用ソフトウェアを起動し、接続ボタンを押す（ステップ１００）。すると、ＰＣ２０−１ａは、ＩＰｖ６が一般的に備えるプラグ・アンド・プレイ機能に用いられるＲＡ（ＩＰｖ６ ｒｏｕｔｅｒ ａｄｖｅｒｔｉｓｅｍｅｎｔ）により、エッジルータ４０からＩＰアドレスの上位６４ビット（プレフィクス）を取得し、ＭＡＣアドレスから自身が生成したＩＰアドレスの下位６４ビット（インタフェースＩＤ）と組み合わせてＩＰアドレスを生成する（ステップＳ１０５）。
【００３１】
続いて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などのプロトコルを用い、ＰＣ２０−１ａと認証サーバ５１との間でＨＷキー１０内に記憶されているデジタル証明書及び秘密鍵に基づくＰＫＩ認証を行う（ステップＳ１１０）。ＰＫＩ認証が完了すると、ＰＣ２０−１ａは、認証サーバ５１に対して、自身のホストＩＤとＩＰアドレスの情報を含む「認証および接続要求メッセージ」を送出する（ステップＳ１１５）。
【００３２】
次に、ＰＣ２０−１ａのロケーション変更が行われる。すなわち、認証サーバ５１は、ステップＳ１１０で認証したデジタル証明書のｉｓｓｕｒｅに対応したホストＩＤを内部から読出し、受信したホストＩＤと一致していれば、ＤＤＮＳサーバ５２へこのホストＩＤ及びＩＰアドレスを転送し、ＤＤＮＳ登録を行う（ステップＳ１２０）。ＤＤＮＳサーバ５２は、認証サーバ５１から受信したＰＣ２０−１ａのＩＰアドレスと、ＤＤＮＳサーバ５２内のＤＮＳ登録データに登録されている受信したホストＩＤに対応したＩＰアドレスを比較する。両ＩＰアドレスが同じであれば何もせずに、異なる場合にはＤＮＳ登録データ内のＩＰアドレスを受信したＩＰアドレスへと書き換えて、処理結果を認証サーバ５１に返す。
【００３３】
ＤＤＮＳサーバ５２からＯＫを示す処理結果を受信した認証サーバ５１は、全てのエッジルータ４０に対してＰＣ２０−１ａのＩＰアドレスを通知し、ＰＣ２０−１ａが発信元のＩＰパケットの扱いを「破棄」から「転送」にするためのＡＣＬの変更を指示する（ステップＳ１２５）。エッジルータ４０は、受信したＩＰアドレスをＡＣＬに登録し、認証サーバ５１に処理結果を返送する。全てのＡＣＬの変更の処理が正常に完了していれば、認証サーバ５１はＰＣ２０−１ａへ「認証および接続完了メッセージ」を送出するのと同時に（ステップＳ１３０）、このＰＣ２０−１ａのタイマをスタートする（ステップＳ１３５）。
【００３４】
「認証および接続完了メッセージ」を受信したＰＣ２０−１ａは、ホストＩＤ「Ｂ１．ｎｅｔ」を接続先として指定し、このホストＩＤ「Ｂ１．ｎｅｔ」で識別される認証済みのＰＣ２０−１（これを、「ＰＣ２０−１ｂ」とする）との通信を開始する（ステップＳ１４０）。なお、この通信において、ホストＩＤとＩＰアドレスとの変換はＤＤＮＳサーバ５２により行われる。
また、ＰＣ２０−１ａとＰＣ２０−１ｂ間の通信と並行して、ＰＣ２０−１ａと認証サーバ５１は、タイマが満了する前に、ステップＳ１１０及びステップＳ１１５と同じ手順により認証を行う（ステップＳ１４５、ステップＳ１５０）。認証サーバ５１がＰＣ２０−１ａを認証した場合には、認証完了メッセージを返送すると同時に（ステップＳ１５５）、このＰＣ２０−１ａの認証タイマをリスタートする（ステップＳ１６０）。これは、ＰＣ２０−１ａが回線から離脱した際に、別の通信端末２０がＩＰアドレスを詐称してなりすましの通信を行うことを防止するためであり、ステップＳ１４５〜ステップＳ１６０の手順は切断まで定期的に繰り返される。
【００３５】
なお、認証タイマが満了した場合、あるいは、ＰＣ２０−１ａが能動的に「切断メッセージ」を送出した場合は接続が切断され、認証サーバ５１は、エッジルータ４０に対して、ＰＣ２０−１ａのＩＰアドレスを通知し、このＩＰアドレス発の通信パケットの扱いを認証前の「破棄」状態に戻すようにＡＣＬの変更を指示する。
【００３６】
また、図３の手順において、移動する可能性のない通信端末２０からネットワークＮへの接続を行う場合には、予めホストＩＤ及びＩＰアドレスの組をＤＤＮＳサーバ５２へ登録しておくことにより、ステップＳ１２０のＤＤＮＳサーバ５２へのＩＰアドレスの登録の手順は不要となる。
【００３７】
次に、図４を用いて、着信先を制限する場合の接続手順を説明する。ここでは、ユーザの自宅や移動先におけるＰＣ２０−１ａからの最初のネットワークＮへのアクセスを想定する。
ステップＳ２００〜ステップＳ２２０は、図３におけるステップＳ１００〜ステップＳ１２０の手順と同様である。
【００３８】
ＯＫを示すＤＤＮＳ登録の処理結果をＤＤＮＳサーバ５２から受信した認証サーバ５１は、ＰＣ２０−１ａの接続条件、すなわち、ポリシーリストを保持しているアクセス制御サーバ６１に対して網参加情報を送信し、エッジルータ４０のＡＣＬの変更を指示する（ステップＳ２２５）。この網参加情報には、ＰＣ２０−１ａのホストＩＤ、ＩＰアドレス、「接続」を指示する指示コードが含まれる。
【００３９】
アクセス制御サーバ６１は、「接続」を示す指示コードを受信すると、内部に登録されているポリシーリストを参照し、接続を許可している他の通信端末２０や回線が収容されているエッジルータ４０に対してＡＣＬの変更を指示するとともに（ステップＳ２３０）、ＰＣ２０−１ａが収容されているエッジルータ４０へＡＣＬの変更を指示する（ステップＳ２３５）。これらのＡＣＬの変更の指示は、ＰＣ２０−１ａが発信元のＩＰパケットの扱いを「破棄」から「転送」状態へ変更する指示であり、ＰＣ２０−１ａのＩＰアドレスが通知される。
【００４０】
アクセス制御サーバ６１は、ＡＣＬの変更を指示したエッジルータ４０から処理結果を受信すると、認証サーバ５１へ処理結果を返送する（ステップＳ２４０）。この処理結果がＯＫであった場合の手順であるステップＳ２４５〜ステップＳ２７５の処理は、図３のステップＳ１３０〜ステップＳ１６０の処理と同様である。
【００４１】
図５は、詳細な認証手順を示す。同図は、図４のＲＡによるアドレス配布（ステップＳ２０５）からＰＣ２０−１ａへの「認証および接続完了メッセージ」の送出（ステップＳ２４５）までの手順に相当し、ＴＬＳが用いられる例である。＜ステップＳ４００＞
ＰＣ２０−１ａは、ＲＡによりＩＰアドレスを生成する。
＜ステップＳ４０５＞
続いて、ＰＣ２０−１ａ及び認証サーバ５１間で、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）の３ｗａｙ ｈａｎｄｓｈａｋｅにより、コネクションのセットアップを行う。
【００４２】
＜ステップＳ４１０＞
（１）Ｃｌｉｅｎｔ Ｈｅｌｌｏ
認証サーバ５１とのコネクションが確立されると、ＰＣ２０−１ａは、通信の開始を認証サーバ５１へ通知する。このとき、自身が利用可能な、暗号化と圧縮のアルゴリズムの一覧を送信する。
【００４３】
＜ステップＳ４１５＞
（２） Ｓｅｒｖｅｒ Ｈｅｌｌｏ
認証サーバ５１は、ＰＣ２０−１ａから受信した暗号化と圧縮のアルゴリズムの一覧の中から、使用する暗号化と圧縮のアルゴリズムを決定して、ＰＣ２０−１ａに通知する。
（３） Ｃｅｒｔｉｆｉｃａｔｅ
続いて、認証サーバ５１は、自身のデジタル証明書を、ルートＣＡ（サービス共通ＣＡ７０）までのデジタル証明書のリスト（証明書チェーン）を含めて送信する。なお、証明書チェーンとは、信頼されるデジタル証明書の階層であって、「チェーン」の究極的な信頼レベルまで遡って「連鎖」されるか認証されることができるものである。
（４） Ｓｅｒｖｅｒ Ｋｅｙ Ｅｘｃｈａｎｇｅ
認証サーバ５１は、一時的なＲＳＡ（Ｒｉｖｅｓｔ−Ｓｈａｍｉｒ−Ａｄｌｅｍａｎ）鍵かＤＨ（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵を生成し、認証サーバ５１の署名をつけて送信する。このメッセージは、認証サーバ５１がデジタル証明書を持たないか、（３）のＣｅｒｔｉｆｉｃａｔｅで送信した認証サーバ５１のデジタル証明書に、鍵交換可能な公開鍵（ＲＳＡおよびＤＨ）が含まれない場合の代替として使用する。
（５） Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔ
認証サーバ５１が信頼するルートＣＡの一覧を付与し、ＰＣ２０−１ａへデジタル証明書の提示を要求する。これは、ＰＣ２０−１ａの認証を行う場合に使用する。
（６） Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅ
ＰＣ２０−１ａに対して、（２）から（５）までの一連のメッセージが完了したことを通知する。
【００４４】
＜ステップＳ４２０＞
（７） Ｃｅｒｔｉｆｉｃａｔｅ
ＰＣ２０−１ａは、ユーザＡ（ホスト）のデジタル証明書を認証サーバ５１へ送付する。このとき、（３）と同様に証明書チェーンも送信する。
（８） Ｃｌｉｅｎｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ
ＰＣ２０−１ａは、暗号化に使用するセッション鍵を生成するための情報（プリマスタシークレット）を生成し、暗号化して認証サーバ５１に送信する。このプリマスタシークレットの暗号化には、認証サーバ５１のデジタル証明書に含まれる公開鍵を使用する。
（９） Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙ
ＰＣ２０−１ａは、今までに受信したＨｅｌｌｏメッセージから署名（Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙ）を生成し、認証サーバ５１へ送信する。署名（Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙ）を受信した認証サーバ５１は、ＰＣ２０−１ａから受け取ったデジタル証明書（Ｃｅｒｔｉｆｉｃａｔｅ）を用いて、署名の検証を行う。検証が成功すると、そのデジタル証明書が間違いなくユーザＡのものであることが確認できる。
【００４５】
＜ステップＳ４２５＞
（１０） Ｃｈａｎｇｅ Ｃｉｐｈｅｒ Ｓｐｅｃ
続いてＰＣ２０−１ａは、プリマスタシークレットからマスタシークレットを生成し、さらにマスタシークレットからセッション鍵（共通鍵）を生成する。次に、使用する暗号アルゴリズムの準備が整ったことを認証サーバ５１に通知する。
（１１） Ｆｉｎｉｓｈｅｄ
ＰＣ２０−１ａは、鍵交換と認証処理が成功したことを認証サーバ５１に通知する。このとき、交換したセッション鍵を用いてメッセージを暗号化し、送信する。
【００４６】
＜ステップＳ４３０＞
（１２） Ｃｈａｎｇｅ Ｃｉｐｈｅｒ Ｓｐｅｃ
認証サーバ５１は、ＰＣ２０−１ａから受信した暗号化されたプリマスタシークレットを、自身の秘密鍵を使い復号する。次に復号したプリマスタシークレットからマスタシークレットを生成し、さらにマスタシークレットからセッション鍵（共通鍵）を生成する。このセッション健は、ＰＣ２０−１ａが生成したセッション鍵と同じ鍵になる。次に、使用する暗号アルゴリズムの準備が整ったことをＰＣ２０−１ａに通知する。
（１３） Ｆｉｎｉｓｈｅｄ
認証サーバ５１は、鍵交換と認証処理が成功したことをＰＣ２０−１ａに通知する。そして、交換したセッション鍵を使い、メッセージを暗号化して送信する。
以降は、暗号化された状態でデータの送受信を行う。
【００４７】
＜ステップＳ４３５＞
ＰＣ２０−１ａは、認証サーバ５１へＨＴＴＰなどにより、ホストＩＤ及びＩＰアドレスを通知し、接続を要求する。
＜ステップＳ４４０＞
認証サーバ５１は、ＰＣ２０−１ａから受信したホストＩＤ及びＩＰアドレスをＤＤＮＳサーバ５２へ通知し、ＤＮＳ登録データの変更を指示する。
【００４８】
＜ステップＳ４４５、ステップＳ４５０＞
認証サーバ５１は、ＤＤＮＳサーバ５２からＤＮＳ登録データ変更の応答を受信すると、アクセス制御サーバ６１へＰＣ２０−１ａのホストＩＤ及びＩＰアドレスを通知し、ＡＣＬの変更を指示する。
＜ステップＳ４５５＞
アクセス制御サーバ６１は、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）を用いて、ＡＣＬの変更をエッジルータ４０へ指示する。
＜ステップＳ４６０、ステップＳ４６５、ステップＳ４７０＞
アクセス制御サーバ６１は、エッジルータ４０からＡＣＬの変更の応答（Ａｃｋ．）を受信すると、認証サーバ５１へ応答（Ａｃｋ．）を返送する。認証サーバ５１は、ＰＣ２０−１ａへ応答（Ａｃｋ．）を返送する。
【００４９】
続いて、アクセス制御サーバ６１内のポリシーリストの具体的な設定の例について以下に説明する。
ユーザがポリシーリストの表示や変更を行う際には、通信端末２０からサービスサーバ６２へアクセスする。サービスサーバ６２は、通信端末２０から受信した回線や通信端末、ＣＵＧ（詳細は後述）の識別情報などに対応するポリシーリストをアクセス制御サーバ６１から読み出す。そして、読み出したポリシーリストを表示するとともに、このポリシーリストを変更するためのフィールドやボタンなどを備えた画面情報を生成して返送する。サービスサーバ６２は、通信端末２０からユーザが入力したポリシーリストの変更の情報を受信した場合、この情報に従ってアクセス制御サーバ６１内のポリシーリストを更新する。なお、ポリシーリストを操作可能なユーザは、このポリシーリストに対応したセキュアＩＤの通過ポリシーにより規定される。
【００５０】
図６は、アクセス制御サーバ６１内に登録されるポリシーリストの表示例を示す。このポリシーリストは、エッジルータ４０−回線終端装置３１あるいは回線終端装置３４間などの回線単位、ホストＩＤ単位、ＩＰアドレス単位、さらに、ＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ）やＨＴＭＬ（ｈｙｐｅｒｔｅｘｔ ｍａｒｋｕｐ ｌａｎｇｕａｇｅ）などのプロトコル単位で、ユーザが設定することが可能である。
【００５１】
同図においては、「ＣＯＰ０００７８３２０」で識別され、ニックネームが「○×自宅」である回線のポリシーリストが示されている。このポリシーリストの管理者はホストＩＤ「ｙｏｓｈｉ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」で識別され、設定可能なリスト数は１０、かつ、予め登録されたユーザ（管理者）のみにこのポリシーリストを操作する権限があることを示すセキュアＩＤの通過ポリシーが設定されている。
そして、ニックネーム「ポータルサイト」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：１／４８」である接続先、及び、ニックネーム「開発部１９Ｆの回線」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８０：１２３４／６４」である接続先には無期限に、ニックネーム「設備部のホスト回線」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８０：８００１／６４」である接続先には、２００３年１２月３１日０時００分まで接続可能であることを示している。また、ニックネーム「○×セキュア」で識別され、ホストＩＤ「ｙｏｓｈｉ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」である接続先、ニックネーム「△□セキュア」で識別され、ホストＩＤ「ｔｏｍｏ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」である接続先、及び、ニックネーム「ＩＰｓｅｃ通信」で識別され、ＩＰＳｅｃプロトコルを用いた通信は、無期限に接続可能であることを示している。
なお、デフォルトでは、認証された通信端末２０であればポリシーリストの操作が可能である旨のセキュアＩＤの通過ポリシーと、ポータルサイト５０への接続が無期限である旨が設定される。
【００５２】
図７は、ＣＵＧ（Ｃｌｏｓｅｄ Ｕｓｅｒ Ｇｒｏｕｐ）の登録の手順を示す図である。ＣＵＧとは、同一のポリシーリストを使用するホスト、通信端末２０、あるいは、回線などをグループ化したものであり、それぞれのポリシーリストに対して操作を行う煩雑さを解消するものである。
【００５３】
図において、ユーザＡが管理しているＣＵＧにユーザＢが管理する回線を加える場合（▲１▼）、ユーザＢは通信端末２０からサービスサーバ６２へアクセスし、ユーザＡの管理しているＣＵＧへの参加を申請（登録）する（▲２▼）。この申請は、サービスサーバ６２により、アクセス制御サーバ６１へ登録される。
また、ユーザＡは、通信端末２０からサービスサーバ６２へアクセスし、ユーザＢの管理している回線を自身の管理するＣＵＧへ新規に登録する（▲３▼）。サービスサーバ６２は、アクセス制御サーバ６１内に、ユーザＡの管理するＣＵＧへユーザＢの管理している回線を登録する。そして、サービスサーバ６２は、ユーザＡ及びユーザＢからのこれらの申請（登録）の有無をアクセス制御サーバ６１から参照し、登録があればＣＵＧが「利用中」であると認識する（▲４▼）。これにより、ユーザＡの管理するＣＵＧのポリシーリストの登録内容を、ユーザＢの管理する回線のポリシーリストへ反映させる。
【００５４】
図８は、アクセス制御サーバ６１内に登録されるＣＵＧのポリシーリストの表示例を示す。このポリシーリストは、「０００００１」で識別され、ニックネームが「ＩＰ−ＳＥＣな仲間」であるＣＵＧのポリシーリストであり、管理者はホストＩＤ「ｙｏｓｈｉ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」で識別され、設定可能なリスト数は５であることが示されている。そして、ニックネーム「開発部１９Ｆの回線」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８０：１２３４／６４」である接続先、及び、ニックネーム「研開センタ８ＦのＢ」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８０：５５５５／６４」である接続先には無期限に接続可能であることを示している。また、ニックネーム「○×セキュア」で識別され、ホストＩＤ「ｙｏｓｈｉ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」である接続先には２００３年１２月３１日０時００分まで、ニックネーム「△□セキュア」で識別され、ホストＩＤ「ｔｏｍｏ．ｓｅｃ．ｆｌｅｔ．ｎｅｔ」である接続先には無期限に接続可能であり、ニックネーム「○×自宅」で識別され、ＩＰアドレスが「２００１：０Ｃ９０：８１：５９６３／６４」である接続先は、参加回線登録待ちであることを示している。
【００５５】
上記実施の形態によれば、ＰＫＩ認証の結果と、エッジルータのＡＣＬ制御をリアルタイムに連携させて、ユーザの身元特定性を担保することができる。また、ＩＰｖ６を用いることによりアドレスを端末個々に割り振ることができるため、エッジルータでＩＰアドレスベースのＡＣＬ制御が可能になる。これにより、セッションを使わない方式で、通信対地やプロトコルを限定せずに、通信事業者が身元を把握したユーザ間での通信が可能となる。また、レイヤ３以上で認証制御を行っているため、ユーザのネットワーク環境を限定せずに、閉域網サービスを提供することができる。
また、認証時にＤＤＮＳサーバへホストＩＤに対応するＩＰアドレスの変更を行うことにより、ユーザはＨＷキーを携帯していれば、移動した先で移動前と同じホストＩＤを用いて閉域網に接続することが可能となり、自宅あるいはアクセスポイントなどの接続場所に依存せずに、どこらからでも同じサービスを享受することができる。
また、アクセス制御サーバに接続可能な接続先を登録し、この接続先に基づきエッジルータに接続制限を指示することができる。これにより、ユーザが自宅にファイアウォールなどの特別なセキュリティー製品を置かなくても、簡易にセキュアな通信が可能となる。
また、ＣＵＧによる複数の対地の接続制限を行うことができるため、多対地の接続制限の管理を容易に行うことが可能となる。
【００５６】
なお、上述の通信端末２０、エッジルータ４０、４１、４２、認証サーバ５１、ＤＤＮＳサーバ５２、アクセス制御サーバ６１、及び、サービスサーバ６２は、内部にコンピュータシステムを有している。そして、上述した動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウアを含むものである。
【００５７】
また、「コンピュータ読み取り可能な記録媒体」とは、ＲＯＭの他に、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のシステムやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００５８】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００５９】
【発明の効果】
この発明によれば、認証の結果と、エッジルータの接続制御をリアルタイムに連携させて、ユーザの身元特定性を担保することができる。また、ＩＰアドレスを端末個々に割り振ることができるため、エッジルータでＩＰアドレスベースの接続制御を行うことが可能になる。これにより、セッションを使わない方式により、通信対地やプロトコルを限定せずに、通信事業者が身元を把握したユーザ間での通信が可能となるとともに、ユーザのネットワーク環境を限定せずに、閉域網サービスを提供することができる。
また、認証時にドメインネームシステムサーバへホストに対応したアドレスの変更を行うことにより、ユーザはＨＷキーを携帯していれば、移動した先で移動前と同じホストとして閉域網に接続することが可能となり、自宅あるいはアクセスポイントなどの接続場所に依存せずに、どこらからでも同じサービスを享受することができる。
また、アクセス制御サーバに接続可能な接続先を登録し、この接続先に基づきエッジルータに接続制限を指示することができる。これにより、ユーザが自宅にファイアウォールなどの特別なセキュリティー製品を置かなくても、簡易にセキュアな通信が可能となる。
【図面の簡単な説明】
【図１】この発明の一実施の形態によるネットワークアクセスシステムを用いた閉域網接続システムの構成を示す図である。
【図２】同実施の形態による未認証の通信端末のアクセス可能範囲を示す図である
【図３】同実施の形態による着信先を制限しない場合の接続手順を示す図である。
【図４】同実施の形態による着信先を制限する場合の接続手順を示す図である。
【図５】同実施の形態による詳細な認証手順を示す図である。
【図６】同実施の形態によるポリシーリストの表示例を示す図である。
【図７】同実施の形態によるＣＵＧの登録手順を示す図である。
【図８】同実施の形態によるＣＵＧのポリシーリストの表示例を示す図である。
【符号の説明】
１０…ハードウェア（ＨＷ）キー
２０…通信端末
２０−１、２０−１ａ、２０−１ｂ…パーソナルコンピュータ（ＰＣ）
３０…スイッチ（ＳＷ）
３１、３４…回線終端装置
３２…無線アクセスポイント装置
３３…ルータ
４０、４１、４２…エッジルータ
５０…ポータルサイト
５１…認証サーバ
５２…ＤＤＮＳ（Ｄｙｎａｍｉｃ Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ
６０…セグメント
６１…アクセス制御サーバ
６２…サービスサーバ
７０…サービス共通ＣＡ（認証局）
Claims (13)
- 通信端末を認証する認証装置と、通信パケットの転送を制御するエッジルータを含んで構成されるネットワークとからなるネットワークアクセスシステムであって、
前記認証装置は、
ホスト毎の認証情報を記憶する記憶手段と、
通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行う認証手段と、
認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示する転送指示手段と、
認証が成功した時に起動するタイマと、
前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示する転送制限指示手段とを備え、
前記エッジルータは、
通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段と、
前記認証装置からの指示に応じて、前記通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除する登録制御手段と、
新たに接続された通信端末に対して、アドレスを生成するための情報を通知する通知手段と、
前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送する通信制御手段とを備える、
ことを特徴とするネットワークアクセスシステム。 - さらに、ホストの識別情報とアドレス情報とを相互に変換するドメインネームシステム装置とからなり、
前記認証装置は、
前記通信端末のアドレス情報及びホストの識別情報を前記ドメインネームシステム装置へ送信し、登録を要求する登録要求手段をさらに備え、
前記ドメインネームシステム装置は、
ホストの識別情報に対応させて通信端末のアドレス情報を記憶する記憶手段と、
前記認証装置から通信端末のアドレス情報及びホストの識別情報を受信し、受信したホストの識別情報に対応させて前記記憶手段に受信したアドレス情報を書き込む書込手段とを備える、
ことを特徴とする請求項１に記載のネットワークアクセスシステム。 - さらに、通信装置が通信可能な接続先のリストであるポリシーリストを管理するアクセス制御装置とからなり、
前記転送指示手段は、前記アクセス制御装置へ認証された前記通信端末からの通信パケットの転送を指示し、
前記アクセス制御装置は、
ポリシーリストを記憶する記憶手段と、
前記認証装置から通信パケットの転送の指示を受信し、認証された前記通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示する指示手段とを備える、
ことを特徴とする請求項１または請求項２に記載のネットワークアクセスシステム。 - 前記アクセス制御装置は、前記通信端末からの指示を受け、前記ポリシーリストを書き替える更新手段をさらに備える、
ことを特徴とする請求項３に記載のネットワークアクセスシステム。 - ホスト毎の認証情報を記憶する記憶手段と、
通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行う認証手段と、
認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示する転送指示手段と、
認証が成功した時に起動するタイマと、
前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示する転送制限指示手段と、
を備えることを特徴とする認証装置。 - さらに、前記通信端末のアドレス情報及びホストの識別情報を前記ドメインネームシステム装置へ送信し、登録を要求する登録要求手段、
を備えることを特徴とする請求項５に記載の認証装置。 - 通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段と、
認証装置からの指示に応じて、通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除する登録制御手段と、
新たに接続された通信端末に対して、アドレスを生成するための情報を通知する通知手段と、
前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送する通信制御手段と、
を備えることを特徴とするエッジルータ。 - 前記アクセスコントロールリスト内の通信端末の識別情報は、該通信端末のＩＰアドレス情報であることを特徴とする請求項７に記載のエッジルータ。
- 通信装置が通信可能な接続先のリストであるポリシーリストを記憶する記憶手段と、
認証装置から通信パケットの転送の指示を受信し、前記認証装置が認証した通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示する指示手段と、
を備えることを特徴とするアクセス制御装置。 - 通信端末を認証する認証装置と、通信パケットの転送を制御するエッジルータを含んで構成されるネットワークとからなるネットワークアクセスシステムに用いられるネットワークアクセス方法であって、
前記エッジルータが、
通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶する記憶手段を用意し、
前記アクセスコントロールリスト内に登録されていない通信端末から通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末から通信パケットを受信したときには、当該通信パケットを転送しながら、
新たに接続された通信端末に対して、アドレスを生成するための情報を通知し、
前記認証装置が、
ホスト毎の認証情報を記憶する記憶手段を用意し、
前記エッジルータが送信したアドレスを生成するための情報を用いてアドレスを生成した通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行い、
認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示するとともにタイマを起動し、
前記エッジルータが、
前記認証装置からの指示に応じて、認証された前記通信端末の識別情報を前記アクセスコントロールリストに登録し、
前記認証装置が、
前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示し、
前記エッジルータが、
前記認証装置からの指示に応じて、前記通信端末の識別情報を前記アクセスコントロールリストから削除する、
ことを特徴とするネットワークアクセス方法。 - 通信端末を認証する認証装置に用いられるコンピュータプログラムであって、
ホスト毎の認証情報を記憶手段に記憶するステップと、
通信端末から認証情報及びホストの識別情報を受信し、前記記憶手段内の認証情報により認証を行うステップと、
認証が成功した場合に、前記通信端末を収容するエッジルータへこの通信端末からの通信パケットの転送を指示するステップと、
認証が成功した時にタイマを起動するステップと、
前記タイマが満了した場合、あるいは、前記通信端末が切断を行った場合に、前記エッジルータへ前記通信端末からの通信パケットの転送を制限するよう指示するステップと、
をコンピュータに実行させることを特徴とするコンピュータプログラム。 - 通信パケットの転送を制御するエッジルータに用いられるコンピュータプログラムであって、
通信を許可する通信端末の識別情報のリストであるアクセスコントロールリストを記憶手段に記憶するステップと、
認証装置からの指示に応じて、通信端末の識別情報を前記アクセスコントロールリストに登録あるいは削除するステップと、
新たに接続された通信端末に対して、アドレスを生成するための情報を通知するステップと、
前記アクセスコントロールリスト内に登録されていない通信端末からの通信パケットを受信したときには、前記認証装置宛である場合にこの通信パケットを転送し、その他宛の場合にはこの通信パケットを破棄するとともに、前記アクセスコントロールリスト内に登録されている通信端末からの通信パケットを受信したときには、当該通信パケットを転送するステップと、
をコンピュータに実行させることを特徴とするコンピュータプログラム。 - 通信装置が通信可能な接続先のリストであるポリシーリストを管理するアクセス制御装置に用いられるコンピュータプログラムであって、
ポリシーリストを記憶手段に記憶するステップと、
認証装置から通信パケットの転送の指示を受信し、前記認証装置が認証した通信端末を収容するエッジルータ、及び、この通信装置が通信可能な接続先を収容するエッジルータへ、この通信端末からの通信パケットの転送を指示するステップと、
をコンピュータに実行させることを特徴とするコンピュータプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003112871A JP2004318582A (ja) | 2003-04-17 | 2003-04-17 | ネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003112871A JP2004318582A (ja) | 2003-04-17 | 2003-04-17 | ネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004318582A true JP2004318582A (ja) | 2004-11-11 |
Family
ID=33472962
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003112871A Pending JP2004318582A (ja) | 2003-04-17 | 2003-04-17 | ネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004318582A (ja) |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2006064764A1 (ja) * | 2004-12-16 | 2006-06-22 | Sega Corporation | ペナルティ機能を有するゲーム機器管理装置、ゲーム装置およびその動作プログラム、並びにペナルティ設定サーバ |
| CN101883106A (zh) * | 2010-06-30 | 2010-11-10 | 赛尔网络有限公司 | 基于数字证书的网络接入认证方法和网络接入认证服务器 |
| WO2011081104A1 (ja) * | 2010-01-04 | 2011-07-07 | 日本電気株式会社 | 通信システム、認証装置、制御サーバ、通信方法およびプログラム |
| WO2012086816A1 (ja) * | 2010-12-24 | 2012-06-28 | 日本電気株式会社 | 通信システム、制御装置、ポリシ管理装置、通信方法およびプログラム |
| CN103329489A (zh) * | 2011-01-20 | 2013-09-25 | 日本电气株式会社 | 通信系统、控制设备、策略管理设备、通信方法和程序 |
| JP2016532984A (ja) * | 2013-09-17 | 2016-10-20 | アマゾン テクノロジーズ インコーポレイテッド | ネットワーク接続自動化 |
| US9491036B2 (en) | 2010-03-18 | 2016-11-08 | Qualcomm Incorporated | Method and apparatus for facilitating prefix allocation and advertisement or delegation |
| US11140150B2 (en) | 2016-06-24 | 2021-10-05 | AO Kaspersky Lab | System and method for secure online authentication |
-
2003
- 2003-04-17 JP JP2003112871A patent/JP2004318582A/ja active Pending
Cited By (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2006064764A1 (ja) * | 2004-12-16 | 2006-06-22 | Sega Corporation | ペナルティ機能を有するゲーム機器管理装置、ゲーム装置およびその動作プログラム、並びにペナルティ設定サーバ |
| US8713087B2 (en) | 2010-01-04 | 2014-04-29 | Nec Corporation | Communication system, authentication device, control server, communication method, and program |
| WO2011081104A1 (ja) * | 2010-01-04 | 2011-07-07 | 日本電気株式会社 | 通信システム、認証装置、制御サーバ、通信方法およびプログラム |
| JPWO2011081104A1 (ja) * | 2010-01-04 | 2013-05-09 | 日本電気株式会社 | 通信システム、認証装置、制御サーバ、通信方法およびプログラム |
| US9491036B2 (en) | 2010-03-18 | 2016-11-08 | Qualcomm Incorporated | Method and apparatus for facilitating prefix allocation and advertisement or delegation |
| CN101883106A (zh) * | 2010-06-30 | 2010-11-10 | 赛尔网络有限公司 | 基于数字证书的网络接入认证方法和网络接入认证服务器 |
| US9178910B2 (en) | 2010-12-24 | 2015-11-03 | Nec Corporation | Communication system, control apparatus, policy management apparatus, communication method, and program |
| CN103283190A (zh) * | 2010-12-24 | 2013-09-04 | 日本电气株式会社 | 通信系统、控制装置、策略管理装置、通信方法和程序 |
| JP5862577B2 (ja) * | 2010-12-24 | 2016-02-16 | 日本電気株式会社 | 通信システム、制御装置、ポリシ管理装置、通信方法およびプログラム |
| WO2012086816A1 (ja) * | 2010-12-24 | 2012-06-28 | 日本電気株式会社 | 通信システム、制御装置、ポリシ管理装置、通信方法およびプログラム |
| CN103329489A (zh) * | 2011-01-20 | 2013-09-25 | 日本电气株式会社 | 通信系统、控制设备、策略管理设备、通信方法和程序 |
| CN103329489B (zh) * | 2011-01-20 | 2016-04-27 | 日本电气株式会社 | 通信系统、控制设备、策略管理设备、通信方法和程序 |
| US9363182B2 (en) | 2011-01-20 | 2016-06-07 | Nec Corporation | Communication system, control device, policy management device, communication method, and program |
| US9692732B2 (en) | 2011-11-29 | 2017-06-27 | Amazon Technologies, Inc. | Network connection automation |
| JP2016532984A (ja) * | 2013-09-17 | 2016-10-20 | アマゾン テクノロジーズ インコーポレイテッド | ネットワーク接続自動化 |
| JP2018116708A (ja) * | 2013-09-17 | 2018-07-26 | アマゾン テクノロジーズ インコーポレイテッド | ネットワーク接続自動化 |
| US11122022B2 (en) | 2013-09-17 | 2021-09-14 | Amazon Technologies, Inc. | Network connection automation |
| US11843589B2 (en) | 2013-09-17 | 2023-12-12 | Amazon Technologies, Inc. | Network connection automation |
| US11140150B2 (en) | 2016-06-24 | 2021-10-05 | AO Kaspersky Lab | System and method for secure online authentication |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7234058B1 (en) | Method and apparatus for generating pairwise cryptographic transforms based on group keys | |
| JP4823717B2 (ja) | 暗号通信システム、端末状態管理サーバ、暗号通信方法、および端末状態管理方法 | |
| KR101076848B1 (ko) | 사설망 자원으로의 연결을 설정하는 방법 및 컴퓨터 판독가능 기록 매체 | |
| Housley et al. | Guidance for authentication, authorization, and accounting (AAA) key management | |
| JP3863852B2 (ja) | 無線環境におけるネットワークへのアクセス制御方法及びこれを記録した記録媒体 | |
| US20070192842A1 (en) | Secure extended authentication bypass | |
| US20060155984A1 (en) | Apparatus, method and computer software products for controlling a home terminal | |
| JP5239341B2 (ja) | ゲートウェイ、中継方法及びプログラム | |
| JP4962117B2 (ja) | 暗号通信処理方法及び暗号通信処理装置 | |
| JP2004254027A (ja) | サーバ装置、鍵管理装置、暗号通信方法及びプログラム | |
| US7055170B1 (en) | Security mechanism and architecture for collaborative software systems using tuple space | |
| JP5536628B2 (ja) | 無線ｌａｎ接続方法、無線ｌａｎクライアント、および無線ｌａｎアクセスポイント | |
| US20180115520A1 (en) | Dark virtual private networks and secure services | |
| CN110191052B (zh) | 一种跨协议网络传输方法及系统 | |
| US7965701B1 (en) | Method and system for secure communications with IP telephony appliance | |
| WO2020020007A1 (zh) | 网络接入方法、装置、终端、基站和可读存储介质 | |
| US20080267395A1 (en) | Apparatus and method for encrypted communication processing | |
| JP2014510480A (ja) | ネットワーク通信システムおよび方法 | |
| WO2009082950A1 (fr) | Procédé, dispositif et système de distribution de clés | |
| JP2001251297A (ja) | 情報処理装置、該情報処理装置を具備する暗号通信システム及び暗号通信方法 | |
| JP2004318582A (ja) | ネットワークアクセスシステム及び方法、認証装置、エッジルータ、アクセス制御装置、ならびに、コンピュータプログラム | |
| CN107135226B (zh) | 基于socks5的传输层代理通信方法 | |
| JP2011054182A (ja) | ディジタルバトンを使用するシステムおよび方法、メッセージを認証するためのファイアウォール、装置、および、コンピュータ読み取り可能な媒体 | |
| JP2006019824A (ja) | セキュア通信システム、管理装置および通信端末 | |
| Faisal et al. | Graphene: a secure cloud communication architecture |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20061002 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20061024 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20061225 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20070724 |