JP2006005445A

JP2006005445A - ネットワーク接続システムおよびネットワーク接続方法

Info

Publication number: JP2006005445A
Application number: JP2004176976A
Authority: JP
Inventors: Shozo Fujino; 庄三藤野
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2004-06-15
Filing date: 2004-06-15
Publication date: 2006-01-05
Anticipated expiration: 2024-06-15
Also published as: CN100438516C; US7853990B2; CN1713623A; JP4796754B2; US20060010484A1

Abstract

【課題】移動端末装置が無線ＬＡＮを介して認証を必要とするコンテンツサーバに接続する際に必要となる認証を少なくできるネットワーク接続システムを提供する。
【解決手段】無線ＬＡＮアクセスポイント２は、移動端末装置１から提供された接続先ＵＲＬを認証ＳＷ装置３に提供する。認証ＳＷ装置３は、接続先ＵＲＬに応じた認証ＧＷと接続し、その認証ＧＷに接続先ＵＲＬを提供する。認証ＳＷ装置３と接続した認証ＧＷは、接続先ＵＲＬに対応する認証サーバに移動端末装置１を認証させ、その認証サーバが移動端末装置１を認証すると、移動端末装置１にＩＰアドレスを提供して移動端末装置１を接続先ＵＲＬによって特定されるコンテンツサーバに接続する。
【選択図】図１

Description

本発明は、ネットワーク接続システムおよびネットワーク接続方法に関し、特には、移動端末装置を、無線アクセスポイントを介して、認証を必要とするコンテンツサーバに接続するネットワーク接続システムおよびネットワーク接続方法に関する。

従来、ホットスポットを提供するサービスが知られている。ホットスポットは、無線ＬＡＮのアクセスポイントを介して端末装置をインターネットに接続するサービスを不特定多数の利用者に提供する空間である。昨今では、ＰＤＣ（Personal Digital Cellular）および３ＧＰＰ（3rd Generation Partnership Project）のセルラー端末装置にWLAN I/F（無線ＬＡＮインタフェース）を搭載したデュアル端末装置の開発例が報告されており、ホットスポットの利用シーンはこれまで以上に拡大すると思われる。

無線ＬＡＮのアクセスポイントは、ホットスポット事業者と契約しているＩＳＰ（Internet Services Provider）のイントラネットと接続している。なお、ホットスポット事業者がＩＳＰを兼ねる場合がある。

移動端末装置などのユーザ端末装置が、ホットスポットを介して、インターネット上の認証を必要とするコンテンツサーバに接続するには、まず、ユーザ端末装置は、ホットスポットを介してインターネット（具体的には、ＩＳＰのイントラネット）に接続する際にＩＳＰ認証を受け、続いて、認証を必要とするコンテンツサーバのＵＲＬ（Uniform Resource Locator）を指定し、その後、認証を必要とするコンテンツサーバからコンテンツ利用認証を受けることになる（特許文献１（特開２００３−３１８９２２号公報）、特許文献２（特開２００２−１５２２７６号公報）参照。）。

なお、ユーザ端末装置がホットスポットからホットスポット事業者（ＩＳＰ）のイントラネットに接続する際、ホットスポット事業者の認証サーバは、Ｌ２ＴＰなどのトンネリングプロトコルを用いて、ユーザ端末装置（ユーザ）を認証することが多い。

図７は、移動端末装置２０が、ホットスポット２５を介してＩＳＰを兼ねるホットスポット事業者のイントラネット２６にアクセスする例、換言すると、移動端末装置２０がホットスポット２５を介してインターネットに接続する例を説明するためのブロック回路図である。

図７において、ホットスポット２５は、無線ＬＡＮアクセスポイント２１を有し、インターネット２７と接続可能である。イントラネット２６は、インターネット２７と接続可能な認証ゲートウェイ２２と、クレジット番号入力等を伴うセキュアなコンテンツサーバ２３と、認証サーバ２４とを含む。

移動端末装置２０がホットスポット２５を介してイントラネット２６にアクセスする場合、移動端末装置２０は、無線ＬＡＮアクセスポイント２１およびインターネット２７とを介して、認証ゲートウェイ装置２２にアクセスする。この場合、移動端末装置２０と認証ゲートウェイ装置２２とがＶＰＮ（Virtual Private Network）終端となる。

認証サーバ２４は、Ｌ２ＴＰなどのトンネリングプロトコルにて双方のトンネル端点の認証を行う。認証サーバ２４は、例えば、移動端末装置２０からユーザＩＤとパスワードを取得して、自己のデータベースを参照し、移動端末装置２０を認証する。認証サーバ２４は移動端末装置２０を認証すると、移動端末装置２０にＩＰアドレスを付与する。認証ゲートウェイ装置２２は、認証サーバ２４が付与したＩＰアドレスを移動端末装置２０に提供し、移動端末装置２０をイントラネット２６に接続する。図８は、Ｌ２ＴＰヘッダ２０１を含むデータフォーマット２００の一例を示した説明図である。

イントラネット２６と接続した移動端末装置２０が、イントラネット２６上にある、コンテンツサーバ２３にアクセスするときは、移動端末装置２０は、ＳＳＬ（Secure Socket Layer）等の手段でコンテンツ事業者の認証を受ける。

なお、このとき、ホットスポットサービスの料金は、一定額か無料のものがほとんどである。
特開２００３−３１８９２２号公報特開２００２−１５２２７６号公報

ユーザが、ユーザ端末装置（移動端末装置）を、ホットスポットを介して、認証が必要なコンテンツサーバに接続しようとすると、ユーザは、まず、ＩＳＰ認証を受け、続いて、認証を必要とするコンテンツサーバのＵＲＬを指定し、その後、コンテンツサーバの認証を受けなければならなかった。また、認証を接続したいコンテンツサーバの指定はＩＳＰ認証を受けた後に行わなければならないという時間的な制限があった。

本発明の目的は、移動端末装置が、無線ＬＡＮ（ホットスポット）を介して、インターネット上の認証を必要とするコンテンツサーバに接続する際に必要となる認証を少なくすることが可能で、かつ、接続したいコンテンツサーバを指定するタイミングの制限を緩和することが可能なネットワーク接続システムおよびネットワーク接続方法を提供することである。

上記の目的を達成するため、本発明のネットワーク接続システムは、移動端末装置が接続する複数のコンテンツサーバおよび各コンテンツサーバに対応する複数の認証サーバを備え、移動端末装置が接続を希望するコンテンツサーバの指定を行うと、該移動端末装置を、該移動端末装置が接続を希望したコンテンツサーバに対応する認証サーバに無線ＬＡＮを介して接続させ、該認証サーバが該移動端末装置を認証すると、該移動端末装置を該コンテンツサーバに接続させるネットワーク接続システムであって、前記移動端末装置が送信する、前記接続予定のコンテンツサーバを示す旨のコンテンツサーバ情報を受信する無線ＬＡＮアクセスポイントと、前記複数の接続先候補に対応する複数の認証ゲートウェイと、前記無線ＬＡＮアクセスポイントが受信したコンテンツサーバ情報に応じた接続先候補を選定し、その選定した接続先候補に対応する認証ゲートウェイと接続する認証スイッチ装置とを含み、前記認証ゲートウェイは、前記認証スイッチ装置と接続すると、前記移動端末装置を前記選定した接続先候補に対応する認証サーバに接続し、該認証サーバが該移動端末装置を認証すると、該移動端末装置にＩＰアドレスを提供して該移動端末装置と前記コンテンツサーバとの接続を許容する。

また、本発明のネットワーク接続方法は、無線ＬＡＮアクセスポイントと、移動端末装置の複数の接続先候補と、前記複数の接続先候補に対応する複数の認証サーバと、前記複数の接続先候補に対応する複数の認証ゲートウェイと、前記複数の認証ゲートウェイを選択する認証スイッチ装置とを含み、移動端末装置が接続を希望するコンテンツサーバの指定を行うと、該移動端末装置を、該移動端末装置が接続を希望したコンテンツサーバに対応する認証サーバに無線ＬＡＮを介して接続させ、該認証サーバが該移動端末装置を認証すると、該移動端末装置を該コンテンツサーバに接続させるネットワーク接続システムが行うネットワーク接続方法であって、前記無線ＬＡＮアクセスポイントが前記移動端末装置が送信する前記接続予定のコンテンツサーバを示す旨のコンテンツサーバ情報を受信する受信ステップと、前記認証スイッチ装置が前記無線ＬＡＮアクセスポイントが受信したコンテンツサーバ情報に応じた接続先候補を選定し、その選定した接続先候補に対応する認証ゲートウェイと接続する認証ゲートウェイ接続ステップと、前記認証ゲートウェイが前記認証スイッチ装置と接続すると前記移動端末装置を前記選定した接続先候補に対応する認証サーバに接続し、該認証サーバが該移動端末装置を認証すると、該移動端末装置にＩＰアドレスを提供して該移動端末装置と前記コンテンツサーバとの接続を許容する接続ステップとを含む。

上記の発明によれば、移動体端末装置がコンテンツサーバ情報を送信すると、そのコンテンツサーバ情報に応じた認証ゲートウェイが選択され、その選択された認証ゲートウェイが、移動端末装置を、コンテンツサーバ情報に応じた認証サーバに接続する。認証サーバが移動端末装置を認証すると、移動端末装置にＩＰアドレスが提供され、移動端末装置とコンテンツサーバとの接続が許容される。

このため、コンテンツサーバに対応する認証サーバの認証がＩＳＰ認証を兼ねることが可能となり、認証の回数を少なくすることが可能となる。このため、ＩＳＰ認証を受けていない状態で、移動端末装置がコンテンツサーバ情報を送信しても、移動端末装置は、コンテンツサーバと接続することが可能となる。

また、移動端末装置が、無線ＬＡＮ（ホットスポット）を介して、インターネット上の認証を必要とするコンテンツサーバに接続する際に、接続したいコンテンツサーバを指定するタイミングの制限を緩和することが可能となる。

また、上記ネットワーク接続システムにおいて、前記認証スイッチ装置は、前記複数の接続先候補と前記複数の接続先候補に対応する複数の認証ゲートウェイとを関連づけて格納するメモリと、前記無線アクセスポイントが前記コンテンツサーバ情報を受け付けると、前記メモリに格納されている接続先候補の中から該コンテンツサーバ情報に応じた接続先候補を選択し、その選択した接続先候補と関連づけて前記メモリに格納してある認証ゲートウェイと接続する接続部とを含むことが望ましい。

また、上記ネットワーク接続方法において、前記認証スイッチ装置は、前記複数の接続先候補と前記複数の接続先候補に対応する複数の認証ゲートウェイとを関連づけて格納するメモリを含み、前記認証ゲートウェイ接続ステップは、前記無線アクセスポイントが前記コンテンツサーバ情報を受け付けると、前記メモリに格納されている接続先候補の中から該コンテンツサーバ情報に応じた接続先候補を選択し、その選択した接続先候補と関連づけて前記メモリに格納してある認証ゲートウェイと接続することが望ましい。

また、前記コンテンツサーバ情報は、前記コンテンツサーバのＵＲＬまたは前記コンテンツサーバに応じた文字列であることが望ましい。

また、上記ネットワーク接続システムにおいて、前記認証ゲートウェイは、無線ＬＡＮアクセスゲートウェイであることが望ましい。

本発明によれば、移動体端末装置がコンテンツサーバ情報を送信すると、そのコンテンツサーバ情報に応じた認証ゲートウェイが選択され、その選択された認証ゲートウェイが、移動端末装置を、コンテンツサーバ情報に応じた認証サーバに接続する。認証サーバが移動端末装置を認証すると、移動端末装置にＩＰアドレスが提供され、移動端末装置とコンテンツサーバとの接続が許容される。

以下、本発明の実施例を図面を参照して説明する。

図１は、本発明の一実施例のネットワーク接続システムを示したブロック図である。

図１において、ネットワーク接続システムは、移動端末装置１と無線通信する無線ＬＡＮアクセスポイント２と、認証ＳＷ（スイッチ）装置３と、認証ＧＷ（ゲートウェイ）４と、認証ＧＷ（ゲートウェイ）５と、認証ＧＷ（ゲートウェイ）６と、コンテンツサーバ７と、コンテンツサーバ８と、コンテンツサーバ９と、コンテンツサーバ１０と、認証サーバ１１と、認証サーバ１２と、認証サーバ１３と、ホットスポット１４と、携帯電話ＩＳＰ網１５と、固定系ＩＳＰ網１６と、オンラインショップ網１７と、インターネット１８と、コンテンツサーバ１９とを含む。なお、コンテンツサーバ７、８、９および１９は、移動端末装置１の接続先候補である。
A．実施例の構成
各構成要素の詳細を以下に示す。
A-1．移動端末装置１
移動端末装置１は、携帯電話機、ＰＤＡ（Personal Digital Assistance）などの移動端末装置である。

さらに言えば、移動端末装置１は、ＰＤＣまたは３ＧＰＰといったインターネット接続可能なセルラー系無線と、WLAN無線と、の両方のインタフェース（Ｉ／Ｆ）を持つ携帯デュアル端末装置である。なお、移動端末装置１は、WLAN I/Fを備えたノート型パーソナルコンピュータ（ＰＣ）またはＰＤＡでもよい。

移動端末装置１には、ＶＰＮ（Virtual Private Network）クライアントソフトがインストールされており、このＶＰＮクライアントソフトの中には、接続可能なコンテンツサーバのＵＲＬのリストが含まれている。接続可能なコンテンツサーバは、認証が必要なコンテンツサーバである。例えば、このＵＲＬリストは、コンテンツサーバ７のＵＲＬと、コンテンツサーバ８のＵＲＬと、コンテンツサーバ９のＵＲＬと、コンテンツサーバ１９のＵＲＬを含む。

移動端末装置１は、ユーザがＵＲＬリストから選択した接続先ＵＲＬを無線ＬＡＮアクセスポイント２に送信する。その後、移動端末装置１は、認証ＳＷ装置３および認証ＧＷ４、５または６との間でＶＰＮセッションを構築する。
A-2．無線ＬＡＮアクセスポイント（WLAN AP）２およびホットスポット１４
ホットスポット１４は、無線ＬＡＮ事業者が運営する802.11a/b/g等に対応したホットスポットであり、無線ＬＡＮアクセスポイント２を含む。

無線ＬＡＮアクセスポイント２は、ホットスポット１４内の移動端末装置１と無線通信を行う。

無線ＬＡＮアクセスポイント２は、移動端末装置１が送信したコンテンツサーバのＵＲＬ（コンテンツサーバ情報）を認証ＳＷ装置３に供給する。
A-3．認証ＳＷ装置３
図２は、認証ＳＷ装置３の一例を示したブロック図である。なお、図２において、図１に示したものと同一のものには同一符号を付してある。

図２において、認証ＳＷ装置３は、メモリ３１と、接続部３２とを含む。

メモリ３１は、各コンテンツサーバのＵＲＬと、そのＵＲＬが示すコンテンツサーバに対応し、かつ、そのＵＲＬが示すコンテンツサーバおよびそのコンテンツサーバに対応する認証サーバと接続可能な認証ＧＷ（例えば、認証ＧＷのＩＰアドレス）とを関連づけて格納するメモリ３１を備える。なお、メモリ３１に格納されている各コンテンツサーバのＵＲＬは、移動端末装置１の複数の接続先候補である。

図３は、メモリ３１に格納された情報の一例を示した説明図である。

図３において、メモリ３１は、各コンテンツサーバのＵＲＬ３１ａと、そのＵＲＬが示すコンテンツサーバに対応する認証ＧＷのＩＰアドレス３１ｂとを関連づけて格納している。

なお、本実施例では、コンテンツサーバ８のＵＲＬを「pc1.sub2.org.ne.jp」とし、コンテンツサーバ１９のＵＲＬを「pc3.sub1.org.ne.jp」とし、コンテンツサーバ８および１９に対応する認証ＧＷ５のＩＰアドレスを「200.0.0.1」とし、コンテンツサーバ７のＵＲＬを「www.wg1.soshiki.ne.jp」とし、コンテンツサーバ７に対応する認証ＧＷ４のＩＰアドレスを「60.0.0.3」とする。

接続部３２は、無線ＬＡＮアクセスポイント２からコンテンツサーバのＵＲＬを受け付けると、メモリ３１に格納されている各コンテンツサーバのＵＲＬ３１ａの中で、無線ＬＡＮアクセスポイント２から受け付けたＵＲＬと一致している割合が最も高いコンテンツサーバのＵＲＬ、つまり、受け付けたＵＲＬに応じたコンテンツサーバのＵＲＬを選択し、その選択したＵＲＬと関連づけてメモリ３１に格納してある認証ＧＷと接続する。接続部３２は、接続した認証ＧＷに、移動端末装置１から提供されたコンテンツサーバのＵＲＬを提供する。
A-4. 認証ＧＷ（ゲートウェイ）４、５および６
認証ＧＷ４は、認証サーバ１１およびコンテンツサーバ７用のプロキシであり、移動端末装置１と認証サーバ１１およびコンテンツサーバ７との接続を管理する。認証ＧＷ４は、携帯電話ＩＳＰ網１５用のプロキシでもある。なお、携帯電話ＩＳＰ網１５は、認証サーバ１１およびコンテンツサーバ７を含むイントラネットである。また、携帯電話ＩＳＰ網１５は、認証サーバ１１が認証した端末装置のみと接続してもよい。

認証ＧＷ５は、認証サーバ１２とコンテンツサーバ８およびコンテンツサーバ１９用のプロキシであり、移動端末装置１と、認証サーバ１２、コンテンツサーバ８およびコンテンツサーバ１９との接続を管理する。認証ＧＷ５は、固定系ＩＳＰ網１６用のプロキシでもある。固定系ＩＳＰ網１６は、認証サーバ１２、コンテンツサーバ８およびコンテンツサーバ１９とを含むイントラネットである。固定系ＩＳＰ網１６は、認証サーバ１２が認証した端末装置のみと接続してもよい。

認証ＧＷ６は、認証サーバ１３とコンテンツサーバ９用のプロキシであり、移動端末装置１と、認証サーバ１３およびコンテンツサーバ９との接続を管理する。認証ＧＷ６は、オンラインショップ網１７用のプロキシでもある。オンラインショップ網１７は、認証サーバ１３とコンテンツサーバ９とを含むイントラネットである。オンラインショップ網１７は、認証サーバ１３が認証した端末装置のみと接続してもよい。

認証ＧＷ４、５および６は、認証ＳＷ装置３と接続して移動端末装置１からＵＲＬ受け付けると、移動端末装置１に対して、Auth（認証）GW IDと、各ユーザを識別するSession ＩＤとを割り振る。なお、Auth GW IDは、接続先認証ＧＷの識別子であり、Session IDは各認証ＧＷを利用するユーザ（移動端末装置１）の識別子（認証ＧＷ内でユニーク）である。

また、認証ＧＷ４、５および６は、ユーザデータフローのＧＷとしても動作し、Auth GW ID + Session IDのセッション識別子に対応したパケットカウンタを持つことで、パケット従量課金を実行することが可能となる。
A-5. 携帯電話ＩＳＰ網１５、認証サーバ１１およびコンテンツサーバ７
携帯電話ＩＳＰ網１５は、携帯通話サービスを提供しているキャリア（通信サービスを提供する企業）がインターネット接続および独自コンテンツサービスを提供するために敷設したネットワークとそのネットワークに含まれるサーバ群とを含むイントラネットである。

認証サーバ１１は、コンテンツサーバ７に対応し、コンテンツサーバ７に接続しようとするクライアント（例えば、移動端末装置１）を認証する。なお、認証サーバ１１は、携帯電話ＩＳＰ網１５に接続しようとするクライアント（例えば、移動端末装置１）を認証してもよい。

コンテンツサーバ７は、認証サーバ１１が認証したクライアント（移動端末装置１）に対してのみコンテンツを提供する。
A-6. 固定系ＩＳＰ網１６、認証サーバ１２、コンテンツサーバ８および１９
固定系ＩＳＰ網１６は、インターネット接続サービスを提供しているプロバイダが、独自コンテンツサービスを提供するために敷設したネットワークとそのネットワークに含まれるサーバ群とを含むイントラネットである。

認証サーバ１２は、コンテンツサーバ８および１９と対応し、コンテンツサーバ８または１９に接続しようとするクライアント（例えば、移動端末装置１）を認証する。なお、認証サーバ１２は、固定系ＩＳＰ網１６に接続しようとするクライアント（例えば、移動端末装置１）を認証してもよい。

コンテンツサーバ８および１９は、認証サーバ１２が認証したクライアント（移動端末装置１）に対してのみコンテンツを提供する。
A-7. オンラインショップ網１７、認証サーバ１３およびコンテンツサーバ９
オンラインショップ網１７は、オンラインで音楽・映像・ゲーム等のソフトウェアファイルダウンロードサービスを提供している業者が独自コンテンツサービスを提供するために敷設したネットワークとそのネットワークに含まれるサーバ群とを含むイントラネットである。

認証サーバ１３は、コンテンツサーバ９と対応し、コンテンツサーバ９に接続しようとするクライアント（例えば、移動端末装置１）を認証する。なお、認証サーバ１３は、オンラインショップ網１７に接続しようとするクライアント（例えば、移動端末装置１）を認証してもよい。

コンテンツサーバ９は、認証サーバ１３が認証したクライアント（移動端末装置１）に対してのみコンテンツを提供する。
A-8. インターネット１８およびコンテンツサーバ１０
コンテンツサーバ１０は、インターネット１８上に設けられている。
B. 実施例の動作
まず、動作の概要を説明する。

モバイル通信利用者（携帯電話ＩＳＰ網１５のコンテンツ利用者またはデータ通信カードでの屋外ネットワーク利用者等）が、移動端末装置１を利用して、ホットスポット１４から、所定のイントラネットまたはプロバイダ独自コンテンツなどの認証サーバの認証を必要とする通信網またはサーバにアクセスするとき、モバイル通信利用者は、移動端末装置１に、所定のイントラネットに対応するコンテンツサーバのＵＲＬまたはプロバイダ独自コンテンツを管理するコンテンツサーバのＵＲＬを入力する。

移動端末装置１は、ユーザが入力したＵＲＬを無線ＬＡＮアクセスポイント２に無線信号で提供する。無線ＬＡＮアクセスポイント２は、移動端末装置１から提供されたＵＲＬを認証ＳＷ装置３に提供する。

認証ＳＷ装置３は、メモリ３１に格納されている各コンテンツサーバのＵＲＬ３１ａの中から、無線ＬＡＮアクセスポイント２から受け付けたＵＲＬと一致している割合が最も高いコンテンツサーバのＵＲＬを選択し、その選択したＵＲＬと関連づけてメモリ３１に格納してある認証ＧＷと接続する。

認証ＳＷ装置３は、接続した認証ＧＷに、移動端末装置１から提供されたコンテンツサーバのＵＲＬを提供する。

認証ＳＷ装置３と接続した認証ＧＷは、認証ＳＷ装置３から提供されたコンテンツサーバのＵＲＬに対応する認証サーバに、移動端末装置１を認証させ、その認証サーバが移動端末装置１を認証すると、移動端末装置１にＩＰアドレスを提供して移動端末装置１が認証ＳＷ装置３から提供されたＵＲＬによって特定されるコンテンツサーバと接続することを許可する。

本実施例では、コンテンツサーバに対応する認証サーバの認証がＩＳＰ認証を兼ねるため、移動端末装置１を、無線ＬＡＮを介して、認証が必要なコンテンツサーバに接続する際に必要となる認証の回数を少なくすることが可能となる。

また、無線ＬＡＮ事業者が、ホットスポット内でローカルサービス情報等を認証無しに素早く移動端末装置に配信したり、救急施設内のホットスポットにて緊急時の通信を移動端末装置に対して高速で行ったりでき、また、メンテナンスの視点で言えば、無線ＬＡＮアクセスポイント等通信機器の故障通知を移動端末装置に高速に知らせることも可能となる。

次に、動作を具体的に説明する。
B-1. ＩＳＰへの直通認証
移動端末装置１が無線ＬＡＮアクセスポイント２との間で送受信する制御データおよびユーザデータには、ＶＰＮクライアントソフトの働きにより、ＶＰＮヘッダが付与される。

図４は、制御データとユーザデータ（以下、「送受信データ」と称する。）の一例を示した説明図である。

図４において、送受信データ１００は、Ethernetヘッダ１０１と、ＩＰヘッダ１０２と、ＵＤＰヘッダ１０３と、ＶＰＮヘッダ１０４と、ＩＰヘッダ１０５と、Data（データ）１０６とを含む。

ＶＰＮヘッダ１０４は、ＫＳＣ１０４ａと、ＭＣ１０４ｂと、Auth GW ID１０４ｃと、Session ID１０４ｄとを含む。ＫＳＣ１０４ａは、シーケンスナンバーであり、１パケットごとにインクリメントされる。ＫＳＣ１０４ａは、不正アクセス者によるリプレイパケットを防ぐためのものである。また、ＭＣ１０４ｂはチェックサムであり、パケット改ざんを防ぐためのものである。データ１０６は、送受信データ１００が制御データの場合、接続先ＵＲＬ情報を含む。

図５は、本システムの動作を説明するためのシーケンス図である。以下、図５を参照して本システムの動作を説明する。

移動端末装置１のユーザは、移動端末装置１が搭載しているＶＰＮクライアントソフト中のＵＲＬリストから接続先ＵＲＬを選択する。

この情報（ＵＲＬ）は移動端末装置１内にキャッシュとして保存され、今後の通信では、移動端末装置１は、毎回同じ認証ＧＷに自動接続することになる（なお、移動端末装置１の起動時に「接続先変更」が行えるようにしてもよい。）。

ステップ５１では、移動端末装置１は、接続先ＵＲＬが選択されると、その選択された接続先ＵＲＬを載せた認証開始パケットを無線ＬＡＮアクセスポイント２に送信する。無線ＬＡＮアクセスポイント２は、認証開始パケットを認証ＳＷ装置３に供給する。

認証ＳＷ装置３と認証ＧＷ４、５または６は、認証開始パケットに基づいて、移動端末装置１と認証サーバ１１、１２または１３との間の認証手続きを仲介する。

具体的には、ステップＳ５２では、認証ＳＷ装置３の接続部３２は、メモリ３１に格納されている各コンテンツサーバのＵＲＬを検索対象として、認証開始パケットに載っている接続先ＵＲＬ中のサーバアドレスの下位からlongest match検索を行って、メモリ３１に格納されている各コンテンツサーバのＵＲＬの中で認証開始パケットに載っているＵＲＬに最長一致のＵＲＬを選択し、その選択したＵＲＬに関連づけてある認証ゲートウェイのＩＰアドレスを決定する。

続いて、認証ＳＷ装置３は、その決定したＩＰアドレスが割り当てられている認証ＧＷに接続し、その接続した認証ＧＷに、認証開始パケットを転送する。

ステップＳ５３では、認証ＳＷ３装置と接続した認証ＧＷは、Auth GW IDおよびSession ＩＤを移動端末装置１に対して割り振り、その割り振ったAuth GW IDおよびSession ＩＤを、認証ＳＷ装置３および無線ＬＡＮアクセスポイント２を介して、移動端末装置１に提供する。

その後、移動端末装置１と、認証ＳＷ装置３と接続した認証ＧＷに対応する認証サーバとの間で、ユーザＩＤとパスワードとを用いて認証を行う認証手続きが行われる。

例えば、ステップＳ５４では、移動端末装置１がユーザＩＤとパスワードとを認証サーバに送信する。

ステップＳ５５では、認証サーバが、自己のデータベースを参照して移動端末装置１（ユーザ）の認証を行い、認証した移動端末装置１に対してＩＰアドレスを割り当てる。

認証ＳＷ装置３と接続した認証ＧＷは、移動端末装置１に対して割り当てられたＩＰアドレスを移動端末装置１に提供し、認証サーバが認証した移動端末装置１（移動端末装置１のユーザ）が、接続先ＵＲＬで特定されるコンテンツサーバに接続することを許可する。

なお、移動端末装置１と認証サーバとの間で行われる認証手続きは、ステップＳ５４とＳ５５に限るものではなく適宜変更可能である。

例えば、ステップＳ５６で、移動端末装置１は、Auth GW IDおよびSession ＩＤを受け取ると、ユーザＩＤを認証ＧＷに送信する。ステップＳ５７で、認証ＧＷは乱数を作成し、ステップＳ５８で、認証ＧＷはその乱数を移動端末装置１に送信する。

ステップＳ５９で、移動端末装置１は、認証ＧＷから受け付けた乱数とユーザＩＤとパスワードとに基づいてハッシュ値を計算し、そのハッシュ値を認証ＧＷに送信する。ステップＳ６０で、認証ＧＷは、移動端末装置１から送信されたハッシュ値とステップＳ５７で作成した乱数とを認証サーバに送信する。

ステップＳ６１で、認証サーバは、移動端末装置１から送信されたハッシュ値と認証ＧＷから送信された乱数と自己のデータベースとを参照して移動体端末装置１（ユーザ）の認証を行い、認証した移動端末装置１に対してＩＰアドレスを割り当てる。認証ＳＷ装置３と接続した認証ＧＷは、移動端末装置１に対して割り当てられたＩＰアドレスを移動端末装置１に提供し、認証サーバが認証した移動端末装置１（移動端末装置１のユーザ）が、接続先ＵＲＬで特定されるコンテンツサーバに接続することを許可する。

例えば、移動端末装置１において、接続先ＵＲＬとして「http://pc3.sub1.org.ne.jp/index.html」（コンテンツサーバ１９のＵＲＬ）が設定された場合、認証ＳＷ３はlongest match検索を実施してＩＰアドレスが200.0.0.1の認証ＧＷ５と接続し、認証サーバ１２は認証ＧＷ５経由で移動端末装置１の認証を行う。

また、移動端末装置１が接続先ＵＲＬとして「pc1.sub2.org.ne.jp」を指定した場合にも、認証ＳＷ装置３は、同じくＩＰアドレスが200.0.0.1の認証ＧＷ５と接続する。

なお、上記の例は、接続先ＵＲＬ内の組織名が“org" の場合は、認証ＳＷ装置３が認証ＧＷ５を使うようにした運用例であるが、「sub1」、「sub2」などのサブアドレスごとに異なる認証ＧＷを使うように認証ＳＷ装置３中のメモリ３１を設定することも可能である。

図５に示したシーケンスは、移動端末装置１が認証ＳＷ装置３と接続するために、特別な認証手続きが不要であることを示している。

この特性を利用し、無線ＬＡＮ事業者が、認証ＳＷ装置３から移動端末装置１へ、ホットスポットエリア１４中の店舗およびホットスポット１４のネットワーク内のコンテンツに関する割引等のサービス情報（ローカルサービス情報）を配信することができる。例えば、図５中の「X」と「Y」に示した各段階で、認証ＳＷ装置３はローカルサービス情報を移動端末装置１に配信することができる。
1) Xの段階
Xの段階は、移動端末装置１が認証ＳＷ装置３のＭＡＣアドレスを認識している段階であり、移動端末装置１と認証ＳＷ装置３とは、通信可能である。したがって、認証ＳＷ装置３は、ホットスポット１４に在圏するＶＰＮクライアントを実装した全移動端末装置１に対し、ローカルサービス情報を配信できる。
2) Yの段階
この段階では、移動端末装置１にAuth GW IDおよびSession IDが割り振られており、認証ＳＷ装置３は、Session IDを指定することで、特定の移動端末装置１のみに情報を配信することが可能である。

また、認証ＳＷ装置３は、ローカルサービス情報以外に、救急施設内のホットスポット内の移動端末装置１に緊急時の情報を高速に提供したり、無線ＬＡＮアクセスポイント等の通信機器の故障通知を移動端末装置１に高速に知らせたりすることもできる。

なお、移動端末装置１がユーザデータを送信する時には、認証ＳＷ装置３は、ユーザデータのヘッダのAuth GW ID + Session IDの組み合わせをもとに、そのユーザデータをヘッダによって示された接続先の認証ＧＷへルーティングする。

また、Auth GW ID と Session IDとは、移動端末装置１と認証ＧＷ間では、図４に示したVPNヘッダにてカプセリングされるが、それ以外はデカプセリングされる。
B-1-1．移動端末装置１のユーザが携帯電話ＩＳＰ利用者の場合
ユーザが携帯電話ＩＳＰ網１５を管理する携帯電話ＩＳＰに契約している場合、ユーザは、移動端末装置１に、接続先ＵＲＬとして、携帯電話ＩＳＰ網１５内のコンテンツサーバ７のＵＲＬを設定すると、ホットスポット１４を利用しながら既に契約している携帯電話ＩＳＰを利用することが可能となる。

携帯電話ＩＳＰ網１５内の認証ＧＷ４は、認証サーバ１１が認証したユーザ（移動端末装置１）に対して、携帯電話ＩＳＰ網１５の独自のコンテンツサーバ７への接続を許可し、各サービスに応じたコンテンツ定額課金を行う。

例えば、コンテンツサーバ７は、携帯電話サービスと連携し、かつホットスポット１４で配信可能な大容量のコンテンツを備える。例えば、コンテンツサーバ７が備えるコンテンツは、大容量の携帯アプリケーションまたはロケーションサービス等のコンテンツとなる。

認証ＧＷ４は、内部にパケットカウンタを具備すれば、ユーザごとのプロバイダ独自コンテンツサーバ７の利用分に対する従量課金も実施可能である。

一方、移動端末装置１は、認証ＧＷ４を介して、インターネット１８上のコンテンツ１０にアクセスすることも可能である。このコンテンツ１０の利用について認証ＧＷ４が従量課金を実施するか否かは、携帯電話ＩＳＰの方針で決定できる。
B-1-2．移動端末装置１のユーザが固定系ＩＳＰ利用者の場合
ユーザが固定系ＩＳＰ網１６を管理する固定系ＩＳＰに契約している場合、ユーザは、移動端末装置１に、接続先ＵＲＬとして、固定系ＩＳＰ網１６内のコンテンツサーバ８または１９のＵＲＬを設定すると、ホットスポット１４を利用しながら既に契約している固定系ＩＳＰを利用することが可能となる。

固定系ＩＳＰ網１６内の認証ＧＷ５は、認証サーバ１２が認証したユーザ（移動端末装置１）に対して、固定系ＩＳＰ網１６の独自のコンテンツサーバ８または１９への接続を許可し、各サービスに応じたコンテンツ定額課金を行う。

例えば、コンテンツサーバ８および１９は、ユーザが既に家庭用に契約しているサービスプラン、速度サービスおよびＩＰ電話サービス等を、移動端末装置１が屋外のホットスポット１４在圏しているときにも、移動端末装置１にユーザに提供することになる。

認証ＧＷ５は、内部にパケットカウンタを具備すれば、ユーザごとのプロバイダ独自コンテンツサーバ８および１９の利用分に対する従量課金も実施可能である。

一方、移動端末装置１は、認証ＧＷ５を介して、インターネット１８上のコンテンツ１０にアクセスすることも可能である。このコンテンツ１０の利用について認証ＧＷ５が従量課金を実施するか否かは、固定系ＩＳＰの方針で決定できる。
B-2. オンラインショップへの直通認証
例えば、ユーザがいずれのＩＳＰにも契約しておらず、ユーザが移動端末装置１をオンラインショップ網１７内のコンテンツサーバ９に接続したい場合、ユーザは、移動端末装置１に、接続先ＵＲＬとして、オンラインショップ網１７内のコンテンツサーバ９のＵＲＬを設定すると、移動端末装置１はオンラインショップ網１７に接続することができる。

この場合は、認証ＳＷ装置３と認証ＧＷ６間は、インターネット１８を越えたレイヤー２パスとなる。この場合、現在、インターネット１８と接続完了後に行われているオンラインショップ等での認証手続きを、最初からダイレクトに行うようになる。

オンラインショップ網１７内の認証ＧＷ６は、認証サーバ１３が認証したユーザ（移動端末装置１）に対して、オンラインショップ網１５の独自のコンテンツサーバ９への接続を許可し、コンテンツ定額課金を行う。例えば、コンテンツサーバ９は、音楽・映像・ゲーム等のソフトウェアファイル（コンテンツ）を備える。

認証ＧＷ６は、内部にパケットカウンタを具備すれば、ユーザごとのコンテンツサーバ９の利用分に対し、従量課金も実施可能である。その際、認証ＧＷ６が、ダウンロードデータ量に応じてソフトの定価を設定するようにすれば、ユーザ個別のオーダー構成に柔軟に対応でき、かつ、ファイル価格を自動計算することも可能である。例えば、映像ソフトの収録時間が長く、容量が大きいものほど価格が高くなるように、ファイル価格が自動設定されることになる。
C．本実施例の効果の説明
認証ＳＷ装置３が、メモリ３１に格納しているサーバアドレスを検索対象として、ユーザが指定したＵＲＬの下位からlongest match検索を行って、そのＵＲＬに対応した接続先認証ＧＷを自動的に決定するため、ユーザは、接続先サービス（ＵＲＬ）の指定以外に特に意識することなく、コンテンツの直接認証を受けることができる。

無線ＬＡＮ事業者は、ホットスポット内のユーザ宛てに、ホットスポットエリア中の店舗およびホットスポットネットワーク内のコンテンツに関する割引等のサービス情報（ローカルサービス情報）を、認証を行わずに素早く配信可能となる。

また、無線ＬＡＮ事業者は、Session IDを指定することで、特定のユーザのみに情報を配信することが可能になる。

また、無線ＬＡＮ事業者は、救急施設内のホットスポットに存在する移動端末装置１に対して、緊急時の通信を高速に行うことが可能となり、メンテナンスの視点で言えば、無線ＬＡＮアクセスポイント等の通信機器の故障通知をホットスポットに存在する移動端末装置１に高速で知らせることも可能となる。

従来、個別に行う必要のあったインターネット接続とコンテンツ利用のそれぞれの認証を、コンテンツ利用の認証を行うプロバイダ（例えば、携帯電話ＩＳＰ、固定系ＩＳＰ、オンラインショップ）での１回の認証で済ませることができる。

従来、ホットスポットにてインターネットに接続する場合は、そのホットスポットを運営する事業者のＩＳＰ認証を受ける必要があったのに対し、本実施例ではホットスポット中でもユーザが家庭向けに契約しているＩＳＰに対し認証、課金を受けることができる。

全てのユーザパケットを認証ＧＷ経由で受けるため、パケット従量課金を容易に実現でき、また、認証クリア後に、インターネット経由では接続できないようなプロバイダ独自のコンテンツを利用可能にしたり、ホットスポット独自の容量の大きなデータのダウンロードサービスを提供したりすることも可能である。その際、ダウンロードデータ量に応じてソフトの定価を設定するようにすれば、ファイル価格を自動計算することも可能である。

なお、上記の実施例を以下のように変形してもよい。

移動端末装置１に入力する接続先ＵＲＬを、プロバイダ名等の文字列に置き換え、認証ＳＷ装置３にて、文字列と認証ＧＷのＩＰアドレス間の対応をメモリ３１に格納する方法も可能である。ただし、この場合は、longest matchは行わない。

移動端末装置１が、キャリアの第３世代サービスであるＩＭＳ（IP Multimedia Subsystem）網にキャリア保有の無線ＬＡＮホットスポットから接続する際、そのネットワーク構成が本実施例のネットワーク構成にそのまま当てはまることから、図６に示した3GPP TS23.234にて規定の3GPP-WLAN構成図内のWAG（WLAN Access Gateway：無線ＬＡＮアクセスゲートウェイ）に、本実施例の認証ＧＷを導入することが可能である。

以上説明した実施例において、図示した構成は単なる一例であって、本発明はその構成に限定されるものではない。

本発明の一実施例のネットワーク接続システムを示したブロック図である。認証ＳＷ装置３の一例を示したブロック図である。メモリ３１に格納された情報の一例を示した説明図である。移動端末装置１の送受信データの一例を示した説明図である。ネットワーク接続システムの動作を説明するためのシーケンス図である。 3GPP TS23.234にて規定の3GPP-WLANの構成を示したブロック図である。従来のネットワーク接続システムを示したブロック図である。Ｌ２ＴＰヘッダを含むデータフォーマット一例を示した説明図である。

符号の説明

１移動端末装置
２無線ＬＡＮアクセスポイント
３認証ＳＷ装置
３１メモリ
３２接続部
４認証ＧＷ
５認証ＧＷ
６認証ＧＷ
７コンテンツサーバ
８コンテンツサーバ
９コンテンツサーバ
１０コンテンツサーバ
１１認証サーバ
１２認証サーバ
１３認証サーバ
１４ホットスポット
１５携帯電話ＩＳＰ網
１６固定系ＩＳＰ網
１７オンラインショップ網
１８インターネット
１９コンテンツサーバ

Claims

移動端末装置が接続する複数のコンテンツサーバおよび各コンテンツサーバに対応する複数の認証サーバを備え、移動端末装置が接続を希望するコンテンツサーバの指定を行うと、該移動端末装置を、該移動端末装置が接続を希望したコンテンツサーバに対応する認証サーバに無線ＬＡＮを介して接続させ、該認証サーバが該移動端末装置を認証すると、該移動端末装置を該コンテンツサーバに接続させるネットワーク接続システムであって、
前記移動端末装置が送信する、前記接続予定のコンテンツサーバを示す旨のコンテンツサーバ情報を受信する無線ＬＡＮアクセスポイントと、
前記複数の接続先候補に対応する複数の認証ゲートウェイと、
前記無線ＬＡＮアクセスポイントが受信したコンテンツサーバ情報に応じた接続先候補を選定し、その選定した接続先候補に対応する認証ゲートウェイと接続する認証スイッチ装置とを含み、
前記認証ゲートウェイは、前記認証スイッチ装置と接続すると、前記移動端末装置を前記選定した接続先候補に対応する認証サーバに接続し、該認証サーバが該移動端末装置を認証すると、該移動端末装置にＩＰアドレスを提供して該移動端末装置と前記コンテンツサーバとの接続を許容する、ネットワーク接続システム。
請求項１に記載のネットワーク接続システムにおいて、
前記認証スイッチ装置は、
前記複数の接続先候補と前記複数の接続先候補に対応する複数の認証ゲートウェイとを関連づけて格納するメモリと、
前記無線アクセスポイントが前記コンテンツサーバ情報を受け付けると、前記メモリに格納されている接続先候補の中から該コンテンツサーバ情報に応じた接続先候補を選択し、その選択した接続先候補と関連づけて前記メモリに格納してある認証ゲートウェイと接続する接続部とを含む、ネットワーク接続システム。
請求項１または２に記載のネットワーク接続システムにおいて、
前記コンテンツサーバ情報は、前記コンテンツサーバのＵＲＬである、ネットワーク接続システム。
請求項１または２に記載のネットワーク接続システムにおいて、
前記コンテンツサーバ情報は、前記コンテンツサーバに応じた文字列である、ネットワーク接続システム。
請求項１ないし４のいずれか１項に記載のネットワーク接続システムにおいて、
前記認証ゲートウェイは、無線ＬＡＮアクセスゲートウェイである、ネットワーク接続システム。
無線ＬＡＮアクセスポイントと、移動端末装置の複数の接続先候補と、前記複数の接続先候補に対応する複数の認証サーバと、前記複数の接続先候補に対応する複数の認証ゲートウェイと、前記複数の認証ゲートウェイを選択する認証スイッチ装置とを含み、移動端末装置が接続を希望するコンテンツサーバの指定を行うと、該移動端末装置を、該移動端末装置が接続を希望したコンテンツサーバに対応する認証サーバに無線ＬＡＮを介して接続させ、該認証サーバが該移動端末装置を認証すると、該移動端末装置を該コンテンツサーバに接続させるネットワーク接続システムが行うネットワーク接続方法であって、
前記無線ＬＡＮアクセスポイントが前記移動端末装置が送信する前記接続予定のコンテンツサーバを示す旨のコンテンツサーバ情報を受信する受信ステップと、
前記認証スイッチ装置が前記無線ＬＡＮアクセスポイントが受信したコンテンツサーバ情報に応じた接続先候補を選定し、その選定した接続先候補に対応する認証ゲートウェイと接続する認証ゲートウェイ接続ステップと、
前記認証ゲートウェイが前記認証スイッチ装置と接続すると前記移動端末装置を前記選定した接続先候補に対応する認証サーバに接続し、該認証サーバが該移動端末装置を認証すると、該移動端末装置にＩＰアドレスを提供して該移動端末装置と前記コンテンツサーバとの接続を許容する接続ステップと、を含むネットワーク接続方法。
請求項６に記載のネットワーク接続方法において、
前記認証スイッチ装置は、前記複数の接続先候補と前記複数の接続先候補に対応する複数の認証ゲートウェイとを関連づけて格納するメモリを含み、
前記認証ゲートウェイ接続ステップは、前記無線アクセスポイントが前記コンテンツサーバ情報を受け付けると、前記メモリに格納されている接続先候補の中から該コンテンツサーバ情報に応じた接続先候補を選択し、その選択した接続先候補と関連づけて前記メモリに格納してある認証ゲートウェイと接続する、ネットワーク接続方法。
請求項６または７に記載のネットワーク接続方法において、
前記コンテンツサーバ情報は、前記コンテンツサーバのＵＲＬである、ネットワーク接続方法。
請求項６または７に記載のネットワーク接続方法において、
前記コンテンツサーバ情報は、前記コンテンツサーバに応じた文字列である、ネットワーク接続方法。