JP2008199497A - ゲートウェイ装置および認証処理方法 - Google Patents

Abstract

【課題】１台の認証サーバで複数のＶＰＮにアクセスするユーザを認証可能にすること。
【解決手段】ゲートウェイ装置２は、端末装置１ａ，１ｂとの間に接続された公衆網４を介して暗号化通信を行うための論理的な回線を確立し、また各ＶＰＮａ，ＶＰＮｂへアクセスする端末装置１ａ，１ｂを認証する認証サーバと公衆網４を介して接続され、端末装置１ａ，１ｂと認証サーバ３との間で通信データの中継を行い、さらに端末装置１ａ，１ｂからの認証応答をもとに、端末装置１ａ，１ｂがアクセスするＶＰＮの識別情報を含む認証要求を認証サーバ３に行い、認証サーバ３はこの識別情報から端末装置１ａ，１ｂがアクセスするＶＰＮを識別して、このＶＰＮのユーザ情報から端末装置を認証する。
【選択図】 図１

Description

本発明は、暗号化通信を行うための論理的な回線が確立された端末装置とＶＰＮ事業者に代わり公衆網事業者がユーザの認証を行う際に利用する認証サーバとの間で通信データの中継を行うゲートウェイ装置および認証処理方法に関するものである。

従来では、ユーザが端末装置を用いて公衆網を介してＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）内の事業者の認証サーバにアクセスする場合、公衆網とＶＰＮとの間に介在するゲートウェイ装置と端末装置間で、ＩＫＥプロトコルを用いて論理的な回線を確立させてＩＰｓｅｃ通信を行い、ユーザと通信相手の事業者との間での暗号化通信を可能にしていた（たとえば特許文献１）。さらに、このＩＰｓｅｃ通信では、事業者側の認証サーバと連携することで事業者が直接ゲートウェイを介して端末装置を認証する方法がある。この場合、ＶＰＮ内に設けた認証サーバで認証処理を行うと、ＶＰＮ内でのトラフィックの増大やＶＰＮの事業者側で全ての認証処理を行う煩雑さなどの問題から公衆網側の事業者がＶＰＮ事業者に代わりにユーザの認証を行う場合がある。この公衆網側の事業者がユーザの認証を行う場合には、ＶＰＮ毎に認証サーバを複数設け、各認証サーバでアクセスを要求するユーザの認証を行っていた。

特開２００３−３２２８６号公報

しかしながら、従来の代行の認証サーバによる認証処理方法では、ＶＰＮ毎に認証サーバを設けているので、ゲートウェイ装置に接続するＶＰＮが多くなると、代行用の認証サーバもそれに合わせて多くなってシステム構成が大規模になってメンテナンスやシステム管理が複雑になるとともに、公衆網内でのデータトラフィックが多くなってデータ通信に支障をきたすことがある。一方、各ＶＰＮへアクセスする端末装置を１台の認証サーバで認証させる場合には、複数のユーザのユーザ名が重複する場合があり、いずれのＶＰＮにアクセスするユーザであるか認証できないことがあった。

本発明は、上記に鑑みてなされたものであって、１台の認証サーバで複数のＶＰＮにアクセスするユーザを認証可能にできるゲートウェイ装置および認証処理方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明にかかるゲートウェイ装置は、端末装置と当該ゲートウェイ装置との間に接続された公衆網を介して暗号化通信を行うための論理的な回線を確立するとともに、当該ゲートウェイ装置が接続する各ＶＰＮへアクセスする端末装置を認証する認証サーバに前記公衆網を介して接続され、前記端末装置と前記認証サーバとの間で通信データの中継を行うゲートウェイ装置において、前記ゲートウェイ装置を示すアドレス情報と、該ゲートウェイ装置を示すアドレス情報に対応して前記端末装置がアクセスする各ＶＰＮの識別情報を記憶する記憶手段と、前記記憶手段に記憶された記憶内容から前記論理的な回線が確立された端末装置がアクセスするＶＰＮを認識し、前記端末装置への認証要求に対する前記端末装置からの認証応答がある場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行う認証処理手段と、を備えたことを特徴とする。

また、本発明にかかるゲートウェイ装置は、上記発明において、前記認証処理手段は、前記端末装置への認証要求に対する前記端末装置からの認証応答に含まれる送信先アドレスが当該ゲートウェイ装置を示すアドレス情報の場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行うことを特徴とする。

また、本発明にかかる認証処理方法は、端末装置と当該ゲートウェイ装置との間に接続された公衆網を介して暗号化通信を行うための論理的な回線を確立するとともに、当該ゲートウェイ装置が接続する各ＶＰＮへアクセスする端末装置を認証する認証サーバに前記公衆網を介して接続され、前記端末装置と前記認証サーバとの間で通信データの中継を行う認証処理方法において、前記ゲートウェイ装置を示すアドレス情報と、該ゲートウェイ装置を示すアドレス情報に対応して前記端末装置がアクセスする各ＶＰＮの識別情報を記憶手段に記憶する記憶ステップと、前記記憶ステップで記憶手段に記憶された記憶内容から前記論理的な回線が確立された端末装置がアクセスするＶＰＮを認識し、前記端末装置への認証要求に対する前記端末装置からの認証応答がある場合、前記記憶手段に記憶されたＶＰＮの識別情報の中から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行う認証処理ステップと、を含むことを特徴とする。

また、本発明にかかる認証処理方法は、上記発明において、前記認証処理ステップは、前記端末装置への認証要求に対する前記端末装置からの認証応答に含まれる送信先アドレスが当該ゲートウェイ装置を示すアドレス情報の場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行うことを特徴とする。

本発明にかかるゲートウェイ装置および認証処理方法は、前記ゲートウェイ装置を示すアドレス情報と、該ゲートウェイ装置を示すアドレス情報に対応して前記端末装置がアクセスする各ＶＰＮの識別情報を記憶手段に記憶し、前記記憶手段に記憶された内容から論理的な回線を確立した端末装置がアクセスするＶＰＮを認識し、端末装置からの認証応答がある場合、記憶手段から抽出したＶＰＮの識別情報を含む認証要求を認証サーバに行い、認証サーバはこの識別情報から端末装置がアクセスするＶＰＮを識別して、このＶＰＮのユーザ情報から端末装置を認証するので、１台の認証サーバで複数のＶＰＮにアクセスするユーザを認証可能にできるという効果を奏する。

以下に、本発明にかかるゲートウェイ装置および認証処理方法の実施の形態を図１〜図４の図面に基づいて詳細に説明する。なお、本発明は、これら実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲で種々の変更実施の形態が可能である。

（実施の形態）
図１は、本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。図１において、認証処理システムは、ユーザの端末装置１ａ，１ｂと、ゲートウェイ装置２と、代行用の認証サーバ３と、端末装置７，８とを備える。端末装置１ａ，１ｂとゲートウェイ装置２と認証サーバ３とは、公衆網４を介して接続され、ゲートウェイ装置２と端末装置７とは、特定事業者の専用網であるＶＰＮａを介して接続され、ゲートウェイ装置２と端末装置８とは、特定事業者の専用網であるＶＰＮｂを介して接続される。

端末装置１ａは、ＶＰＮａにアクセスを行う装置で、端末装置１ｂは、ＶＰＮｂにアクセスを行う装置である。これら端末装置１ａ，１ｂは、ゲートウェイ装置２と認証処理を行う認証処理部１１ａ，１１ｂと、データの暗号化または復号化の処理を行う暗号化／復号化処理部１２ａ，１２ｂと、公衆網４を介してゲートウェイ装置２、認証サーバ３を含む他の通信装置と暗号化されたデータの送受信を行う送受信部１３ａ，１３ｂとを備える。認証処理部１１ａ，１１ｂは、ゲートウェイ装置２と所定の認証処理用のプロトコル、たとえばＣＨＡＰ（Ｃｈａｌｌｅｎｇｅ Ｈａｎｄｓｈａｋｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＰＡＰ（Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いて、自装置を認証させる認証処理を行い、ＶＰＮａ，ＶＰＮｂへのアクセスを可能にする。暗号化／復号化処理部１２ａ，１２ｂは、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ） ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）で作成した鍵とを用いて暗号化して送受信部１３ａ，１３ｂに出力し、また暗号化されたデータを送受信部１３ａ，１３ｂが受信すると、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。

ゲートウェイ装置２は、設定処理部２１と、認証処理手段としての認証処理部２２と、フェーズ情報を記憶するフェーズ用データベース２３と、ＩＰｓｅｃを適用するための方針を示すＳＰＤ情報を記憶する記憶手段としてのＳＰＤ用データベース２４と、データの暗号化または復号化の処理を行う暗号化／復号化処理部２５と、データの中継処理を行う中継処理部２６と、端末装置１ａ，１ｂに対してデータの送受信を行う端末用送受信部２７と、認証サーバ３に対してデータの送受信を行うサーバ用送受信部２８と、ＶＰＮａに接続された端末装置７に対してデータの送受信を行うＶＰＮａ用送受信部２９と、ＶＰＮｂに接続された端末装置８に対してデータの送受信を行うＶＰＮｂ用送受信部３０とを備える。設定処理部２１は、認証サーバ３が認証処理に用いるすべての認証処理の方針を示すポリシーを設定する。設定処理部２１は、たとえば認証サーバ３が用いるＣＨＡＰおよびＰＡＰの認証処理の方針を示すポリシーを設定する。ＳＰＤ用データベース２４は、設定処理部２１で設定されたＣＨＡＰおよびＰＡＰのポリシーと、ＶＰＮＩＤ情報と、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）の終端アドレスとを記録している。なお、このＶＰＮＩＤ情報は、たとえば端末装置１ａ，１ｂのアドレス情報と、端末装置１ａ，１ｂのアドレス情報に対応して端末装置１ａ，１ｂからアクセスするＶＰＮａ，ＶＰＮｂの認証対象である特定事業者を識別するアドレス情報とからなる。ＩＫＥの終端アドレスは、ＶＰＮａ，ＶＰＮｂ毎に予め設定されるゲートウェイ装置２のアドレスである。

ＳＰＤ情報は、設定により予め作成されるデータであり、端末装置１ａ，１ｂに対してのたとえばＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）の処理の方針を示すポリシーやＩＳＡＫＭＰに基づいてＩＰｓｅｃで用いるインターネット標準の鍵交換プロトコルであるＩＫＥの処理の方針を示すポリシーである。

認証処理部１１ａ，１１ｂ，２２は、公衆網４を介して端末装置１ａ，１ｂとゲートウェイ装置２との間に、ＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）によるデータ通信を可能にするためトンネリング技術を利用してＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）と呼ばれる論理的なコネクション（回線）を確立させる処理を行う。なお、たとえばユーザ側に別の専用網があり、端末装置１ａ，１ｂがこの専用網に接続されている場合には、この専用網と公衆網との間にはデータの中継を行う中継装置（たとえばルータ）が接続されることとなり、ゲートウェイ装置２の認証処理部２２は、この中継装置に対してＳＡを確立させる処理を行うこととなる。また、認証処理部２２，３１は、ゲートウェイ装置２および認証サーバ３に対しても、認証処理部２２，３１によってＳＡを確立させることが可能である。

また、認証処理部１１ａ，１１ｂ，２２は、ＣＨＡＰあるいはＰＡＰで認証処理を行う。認証処理部２２は、ＳＡ確立要求開始時にＩＳＡＫＭＰのＩＰｓｅｃ Ｐｈａｓｅ１−１パケットを受信後に、それに対応するＳＰＤ情報を抽出し、Ｐｈａｓｅ１情報を作成して参照可能とする。認証処理部２２は、このＰｈａｓｅ１情報からＳＰＤ用データベース２４内に記憶される認証方式情報をチェックし、ＣＨＡＰ方式であれば、ＣＨＡＰ認証要求を送信し、また認証方式情報がＰＡＰ方式であれば、ＰＡＰ認証要求を送信する。

フェーズ用データベース２３は、Ｐｈａｓｅ１情報を記憶する。このＰｈａｓｅ１情報は、Ｐｈａｓｅ１において装置間でのパケットの通信を調整するためのネゴシエーション情報からなる。

暗号化／復号化処理部２５は、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃ ＳＡで作成した鍵とを用いて暗号化して中継処理部２６に出力して各送受信部２７〜３０からの送信を可能にし、また暗号化されたデータを中継処理部２６から取り込むと、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。

認証サーバ３は、公衆網の事業者がＶＰＮａ，ＶＰＮｂの特定事業者に代わって、ＶＰＮａ，ＶＰＮｂにアクセスする端末装置の認証を行う。この認証サーバ３は、認証処理部３１と、ＶＰＮａ認証用データベース３２と、ＶＰＮｂ認証用データベース３３と、データの暗号化または復号化の処理を行う暗号化／復号化処理部３４と、データの送受信を行う送受信部３５とを備える。認証処理部３１は、ゲートウェイ装置２との間で認証応答があった端末装置の認証処理を行うものである。ＶＰＮａ認証用データベース３２は、ＶＰＮａにアクセス可能な端末装置１ａを含む端末装置を識別するための識別情報や取り扱うすべての認証処理のポリシーなどを記憶する。ＶＰＮｂ認証用データベース３３は、ＶＰＮｂにアクセス可能な端末装置１ｂを含む端末装置を識別するための識別情報や取り扱うすべての認証処理のポリシーなどを記憶する。暗号化／復号化処理部３４は、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃ ＳＡで作成した鍵とを用いて暗号化して送受信部３５に出力し、また暗号化されたデータを送受信部３５が受信すると、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。

端末装置７，８は、接続されたＶＰＮａ，ＶＰＮｂを介してゲートウェイ装置２とデータ通信を行うための図示しない送受信部と、暗号化／復号化処理部とを備える。

次に、図２のシーケンス図を用いて図１に示した認証処理システムの認証処理の動作を説明する。なお、この実施の形態では、認証処理がＣＨＡＰによって行われるものとする。図２において、まず端末装置１ａの認証処理部１１ａは、ＩＰｓｅｃ Ｐｈａｓｅ１−１において、ＩＫＥプロトコルを用いて自己の保持するキー情報をゲートウェイ装置２に送信する（ステップＳ１０１）。次に、ゲートウェイ装置２の認証処理部２２は、認証処理部１１ａからキー情報を受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−２において、端末装置１ａを認証して、端末装置１ａに自己の保持するキー情報と、ＶＰＮａに設定されたＩＫＥの終端アドレスとを送信してキー情報の交換を行う（ステップＳ１０２）。次に、認証処理部１１ａは、認証処理部２２からキー情報を受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−３において、ゲートウェイ装置２を認証した後に、端末装置１ａは、通信相手（ＩＫＥピア）であるゲートウェイ装置２との間でＰｈａｓｅ１を完了して、セキュアなデータ通信を可能にする（ステップＳ１０３）。なお、ＩＰｓｅｃ Ｐｈａｓｅ１−１、ＩＰｓｅｃ Ｐｈａｓｅ１−２およびＩＰｓｅｃ Ｐｈａｓｅ１−３は、ＩＰｓｅｃ通信での１回目、２回目および３回目のＰｈａｓｅ１パケットをそれぞれ示す。

次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定されたＣＨＡＰによる認証要求のパケットを端末装置１ａに送信する（ステップＳ１０４）。端末装置１ａの認証処理部１１ａは、ＣＨＡＰによる認証処理が可能なプロトコルを有しており、ＣＨＡＰによる認証要求のパケットを受信すると、この要求に対するＣＨＡＰによる認証応答のパケットをゲートウェイ装置２に送信する（ステップＳ１０５）。この認証応答のパケットには、ユーザ名とパスワードとがペイロード内に含まれている。なお、この時認証処理部２２は、ＶＰＮＩＤ情報から端末装置１ａがＶＰＮａにアクセスする端末装置であることを認識している。認証処理部２２は、ＣＨＡＰによる認証応答のパケットを受信すると、このパケットから送信先アドレスを抽出し、この送信先アドレスがゲートウェイ装置２のアドレスの場合には、そのアドレスに対応するＳＰＤ用データベース２４からＶＰＮａの識別情報であるＶＰＮＩＤ情報を抽出し、このＶＰＮＩＤ情報を含む認証要求を作成して認証サーバ３に送信する（ステップＳ１０６）。これにより、実施の形態では、ゲートウェイ装置２を送信先アドレスとする認証応答のパケットを受信した場合にのみ、ＶＰＮＩＤ情報を含む認証要求を作成して認証サーバ３に送信するので、保持するＶＰＮＩＤ情報を的確に抽出して認証要求に付与して認証サーバ３に送信できる。

次に、認証サーバ３の認証処理部３１は、ゲートウェイ装置２からＣＨＡＰ認証要求のパケットが受信されると、このパケットのＶＰＮＩＤ情報を抽出し、このＶＰＮＩＤの値によって参照するデータベースを切り替えて、ＶＰＮａ認証用データベース３２のユーザ情報をもとに端末装置１ａを認証するための認証処理を行い、この端末装置１ａを認証した場合、ＣＨＡＰによる認証成功のパケットをゲートウェイ装置２に送信する（ステップＳ１０７）。次に、ゲートウェイ装置２の認証処理部２２は、ＣＨＡＰ認証成功のパケットが受信されると、このＣＨＡＰ認証成功のパケットを端末装置１ａに送信して（ステップＳ１０８）、その後のフェーズを完了した後に、ＩＰｓｅｃによる暗号化通信を可能にする。

次に、ＩＰｓｅｃ Ｐｈａｓｅ１−１において、端末装置１ｂの認証処理部１１ｂがＩＫＥプロトコルを用いて自己の保持するキー情報をゲートウェイ装置２に送信すると（ステップＳ１０９）、ゲートウェイ装置２の認証処理部２２は、認証処理部１１ｂからキー情報を受信して、ＩＰｓｅｃ Ｐｈａｓｅ１−２において、端末装置１ｂにＶＰＮｂに設定されたＩＫＥの終端アドレスを使用して、自己の保持するキー情報を送信してキー情報の交換を行う（ステップＳ１１０）。次に、認証処理部１１ｂは、認証処理部２２からキー情報を受信すると、ゲートウェイ装置２を認証した後に、ＩＰｓｅｃ Ｐｈａｓｅ１−３において、端末装置１ｂは、通信相手（ＩＫＥピア）であるゲートウェイ装置２との間でＳＡを確立して、その後のフェーズを完了した後に、データ通信を可能にする（ステップ１１１）。

次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定されたＣＨＡＰによる認証要求のパケットを端末装置１ｂに送信する（ステップＳ１１２）。端末装置１ｂの認証処理部１１ｂは、上記ＣＨＡＰによる認証処理が可能なプロトコルを有しており、ＣＨＡＰによる認証要求のパケットが受信されると、この要求に対するＣＨＡＰによる認証応答のパケットをゲートウェイ装置２に送信する（ステップＳ１１３）。この認証応答のパケットには、ユーザ名とパスワードとがペイロード内に含まれている。なお、この時認証処理部２２は、ＶＰＮＩＤ情報から端末装置１ｂがＶＰＮｂにアクセスする端末装置であることを認識している。認証処理部２２は、ＣＨＡＰによる認証応答のパケットが受信されると、このパケットから送信先アドレスを抽出し、この送信先アドレスがゲートウェイ装置２のアドレスの場合には、ＳＰＤ用データベース２４から送信先アドレスに対応したＶＰＮｂの識別情報であるＶＰＮＩＤ情報を抽出し、このＶＰＮＩＤ情報を含む認証要求を作成して認証サーバ３に送信する（ステップＳ１１４）。

次に、認証サーバ３の認証処理部３１は、ゲートウェイ装置２からＣＨＡＰ認証要求のパケットが受信されると、このパケットのＶＰＮＩＤ情報を抽出し、このＶＰＮＩＤの値によって参照するデータベースを切り替えて、ＶＰＮｂ認証用データベース３３のユーザ情報をもとに端末装置１ｂを認証するための認証処理を行い、この端末装置１ｂを認証した場合、ＣＨＡＰによる認証成功のパケットをゲートウェイ装置２に送信する（ステップＳ１１５）。次に、ゲートウェイ装置２の認証処理部２２は、ＣＨＡＰ認証成功のパケットが受信されると、このＣＨＡＰ認証成功のパケットを端末装置１ｂに送信して（ステップＳ１１６）、ＩＰｓｅｃによる暗号化通信を可能にする。

ここで、図３のフローチャートを用いてゲートウェイ装置２による認証処理の詳細な動作を説明する。なお、フローチャートは、端末装置１ａまたは１ｂとゲートウェイ装置２との間でＳＡを確立した後の動作を示す。図３において、ゲートウェイ装置２の認証処理部２２は、端末装置１ａまたは１ｂから認証応答パケットを受信すると（ステップＳ３０１）、このパケットから送信先アドレスを抽出し、この送信先アドレスがゲートウェイ装置２のアドレスの場合には、この送信先アドレスに対応したＶＰＮａまたはＶＰＮｂの識別情報であるＶＰＮＩＤ情報が存在するか否か判断する（ステップＳ３０２）。ここで、認証処理部２２は、このパケットにＶＰＮＩＤ情報が存在する場合には（ステップＳ３０２：Ｙｅｓ）、Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤにＶＰＮＩＤ情報を格納して認証要求のパケットを作成して、この認証要求のパケットを認証サーバ３に送信して（ステップＳ３０３）、上記認証処理の動作を終了する。また、認証処理部２２は、ＶＰＮＩＤ情報が存在しない場合には（ステップＳ３０２：Ｎｏ）、Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤを付けずに認証要求のパケットを作成して、認証サーバ３に送信して（ステップＳ３０４）、上記認証処理の動作を終了する。

なお、図４は、Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤのフレーム構成を示すフレームフォーマットである。図４において、Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤは、このフレームの種類を示すタイプと、このフレームの長さを示すレングスと、「０」に設定されるタグと、ストリングとからなり、本実施の形態のＶＰＮＩＤ情報は、ストリング内に格納される。

このように、本実施の形態では、ゲートウェイ装置２が端末装置１ａ，１ｂからの認証応答をもとに、この端末装置１ａ，１ｂがアクセスするＶＰＮの識別情報（ＶＰＮＩＤ情報）を含む認証要求を作成して認証サーバ３に送信し、認証サーバ３は認証要求を受信すると、この認証要求内のＶＰＮＩＤ情報から端末装置１ａ，１ｂがアクセスするＶＰＮを識別して、このＶＰＮのユーザ情報から端末装置１ａ，１ｂを認証するので、１台の認証サーバ３で複数のＶＰＮにアクセスするユーザを容易に認証できる。

本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。 図１に示した認証処理システムの認証処理の動作を説明するためのシーケンス図である。 ゲートウェイ装置による認証処理の詳細な動作を説明するためのフローチャートである。 Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤのフレーム構成を示すフレームフォーマットである。

符号の説明

１ａ，１ｂ，７，８ 端末装置
２ ゲートウェイ装置
３ 認証サーバ
４ 公衆網
１１ａ，１１ｂ，２２，３１ 認証処理部
１２ａ，１２ｂ，３４ 復号化処理部
１３ａ，１３ｂ，２７〜３０，３５ 送受信部
２１ 設定処理部
２２ 認証処理部
２３ フェーズ用データベース
２４ ＳＰＤ用データベース
２６ 中継処理部
３２ ＶＰＮａ認証用データベース
３３ ＶＰＮｂ認証用データベース
ａ，ｂ ＶＰＮ

Claims (4)

1. 端末装置と当該ゲートウェイ装置との間に接続された公衆網を介して暗号化通信を行うための論理的な回線を確立するとともに、当該ゲートウェイ装置が接続する各ＶＰＮへアクセスする端末装置を認証する認証サーバに前記公衆網を介して接続され、前記端末装置と前記認証サーバとの間で通信データの中継を行うゲートウェイ装置において、
   前記ゲートウェイ装置を示すアドレス情報と、該ゲートウェイ装置を示すアドレス情報に対応して前記端末装置がアクセスする各ＶＰＮの識別情報を記憶する記憶手段と、
   前記記憶手段に記憶された記憶内容から前記論理的な回線が確立された端末装置がアクセスするＶＰＮを認識し、前記端末装置への認証要求に対する前記端末装置からの認証応答がある場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行う認証処理手段と、
   を備えたことを特徴とするゲートウェイ装置。
2. 前記認証処理手段は、前記端末装置への認証要求に対する前記端末装置からの認証応答に含まれる送信先アドレスが当該ゲートウェイ装置を示すアドレス情報の場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行うことを特徴とする請求項１に記載のゲートウェイ装置。
3. 端末装置と当該ゲートウェイ装置との間に接続された公衆網を介して暗号化通信を行うための論理的な回線を確立するとともに、当該ゲートウェイ装置が接続する各ＶＰＮへアクセスする端末装置を認証する認証サーバに前記公衆網を介して接続され、前記端末装置と前記認証サーバとの間で通信データの中継を行う認証処理方法において、
   前記ゲートウェイ装置を示すアドレス情報と、該ゲートウェイ装置を示すアドレス情報に対応して前記端末装置がアクセスする各ＶＰＮの識別情報を記憶手段に記憶する記憶ステップと、
   前記記憶ステップで記憶手段に記憶された記憶内容から前記論理的な回線が確立された端末装置がアクセスするＶＰＮを認識し、前記端末装置への認証要求に対する前記端末装置からの認証応答がある場合、前記記憶手段に記憶されたＶＰＮの識別情報の中から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行う認証処理ステップと、
   を含むことを特徴とする認証処理方法。
4. 前記認証処理ステップは、前記端末装置への認証要求に対する前記端末装置からの認証応答に含まれる送信先アドレスが当該ゲートウェイ装置を示すアドレス情報の場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行うことを特徴とする請求項３に記載の認証処理方法。

Images