JP2008199498A

JP2008199498A - ゲートウェイ装置およびセッション管理方法

Info

Publication number: JP2008199498A
Application number: JP2007035049A
Authority: JP
Inventors: Koji Takagi; 康志高木; Juichi Bessho; 寿一別所; Shiro Mizuno; 志郎水野; Yasuyuki Ichikawa; 恭之市川; Kenji Numazaki; 健司沼崎; Masamitsu Yoshida; 真光吉田; Ryoichi Inoue; 亮一井上; Tomoyuki Fukunaga; 智之福永
Original assignee: FURUKAWA NETWORK SOLUTION KK; Furukawa Electric Co Ltd; Nippon Telegraph and Telephone Corp
Current assignee: FURUKAWA NETWORK SOLUTION KK; Furukawa Electric Co Ltd; Nippon Telegraph and Telephone Corp
Priority date: 2007-02-15
Filing date: 2007-02-15
Publication date: 2008-08-28
Anticipated expiration: 2027-02-15
Also published as: JP4805185B2

Abstract

【課題】端末装置とゲートウェイ装置との間の論理的なコネクションとしてのセッションの確立を迅速に行うこと。
【解決手段】認証サーバ３と通信ネットワーク５を介して接続されるとともに、ゲートウェイ装置２と端末装置１との間に介在する通信ネットワーク４に暗号化通信を行うためのセッションの確立を行い、端末装置１と認証サーバ３との間で通信の中継を行うゲートウェイ装置２において、認証処理部２２は同一の端末装置１から複数のセッションの確立が開始された場合、最新にセッションを確立するための要求を行ったＰｈａｓｅ１−３のパケットの１つのセッションを選択し、この選択したセッションを確立させる。
【選択図】図１

Description

本発明は、暗号化通信を行うためのセッションが確立された端末装置と認証サーバとの間で認証処理のための認証データの中継を行うゲートウェイ装置およびセッション管理方法に関するものである。

従来では、ユーザが端末装置を用いて公衆網を介して専用網内の事業者の認証サーバにアクセスする場合、公衆網と専用網との間に介在するゲートウェイ装置と端末装置間で、ＩＫＥプロトコルを用いて論理的な回線としてのセッションを確立させてＩＰｓｅｃ通信を行い、ユーザと通信相手の事業者との間での暗号化通信を可能にしていた（たとえば特許文献１）。さらに、このＩＰｓｅｃ通信では、事業者側の認証サーバと連携することで事業者が直接ゲートウェイを介して端末装置を認証する方法がある。この場合、セッションは、１つのユーザの端末装置に１つしか確立できないように設定されている。このように１つの端末装置に１つのセッションを設定するのは、たとえば１つの端末装置に複数のセッションの確立を可能にすると、網間での認証処理に伴うデータトラフィックが多くなり、認証サーバの負荷が大きくなるためである。また、この場合には、無駄な認証処理が増えることもある。

特開２００３−３２２８６号公報

しかしながら、従来のセッション管理方法では、１つの端末装置に複数のセッションの確立要求があると、いずれのセッションが有効なセッションであるか判断できない場合があるので、ゲートウェイ装置は、全てのセッションを切断して、この端末装置との間に新たに１つのセッションを確立させる必要があり、このためセッションを確立させる動作が煩雑になってセッションの確立に時間がかかり、端末装置の認証が遅延することがあった。

本発明は、上記に鑑みてなされたものであって、セッションの確立を迅速に行うことができるゲートウェイ装置およびセッション管理方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明にかかるゲートウェイ装置は、通信ネットワークを介して認証サーバに接続されるとともに、端末装置との間に接続された通信ネットワークを介して暗号化通信を行うための論理的な回線として、前記端末装置からセッションの確立を行い、前記端末装置と前記認証サーバとの間で認証データの中継を行うゲートウェイ装置において、前記端末装置からのセッション確立要求メッセージの受信毎に受信時刻を記憶する記憶手段と、前記認証サーバへの前記端末装置に関する認証要求メッセージの送信中に同一の端末装置から新たなセッション確立要求を受信する場合、前記認証サーバからの認証応答メッセージの受信時に、前記記憶手段に記憶された前記受信時刻をもとに最新のセッション確立要求を識別し、該最新のセッションのみを確立させる認証処理手段と、を備えたことを特徴とする。

また、本発明にかかるゲートウェイ装置は、上記発明において、前記記憶手段は、前記端末装置からのＩＫＥＰｈａｓｅ１−３パケットのセッション確立要求メッセージの受信タイミングで前記受信時刻を記憶し、前記認証処理手段は、当該ゲートウェイ装置が最新のセッション要求より先に要求した旧セッションに対する前記認証サーバからの該旧セッション応答を受信した場合には、該旧セッションのセッション確立要求を中断し、前記最新のセッション確立要求を継続し、当該ゲートウェイ装置が前記認証サーバからの前記最新のセッション応答を前記旧セッション応答より先に受信した場合には、前記最新のセッションのセッション確立要求を継続し、前記旧セッション確立要求を該旧セッションの応答受信時に中断することを特徴とする。

また、本発明にかかるセッション管理方法は、ゲートウェイ装置が通信ネットワークを介して認証サーバに接続されるとともに、端末装置との間に接続された通信ネットワークを介して暗号化通信を行うための論理的な回線として、前記端末装置からセッションの確立を行い、前記端末装置と前記認証サーバとの間で認証データの中継を行うセッション管理方法において、前記ゲートウェイ装置が前記端末装置からのセッション確立要求メッセージの受信毎に受信時刻を記憶手段に記憶する記憶ステップと、前記ゲートウェイ装置が前記認証サーバへの前記端末装置に関する認証要求メッセージの送信中に同一の端末装置から新たなセッション確立要求を受信する場合、前記認証サーバからの認証応答メッセージの受信時に、前記記憶手段に記憶された前記受信時刻をもとに最新のセッション確立要求を識別し、該最新のセッションのみを確立させる認証処理ステップと、を含むことを特徴とする。

また、本発明にかかるセッション管理方法は、上記発明において、前記記憶ステップは、前記端末装置からのＩＫＥＰｈａｓｅ１−３パケットのセッション確立要求メッセージの受信タイミングで前記受信時刻を記憶し、前記認証処理ステップは、前記ゲートウェイ装置が最新のセッション要求より先に要求した旧セッションに対する前記認証サーバからの該旧セッション応答を受信した場合には、該旧セッションのセッション確立要求を中断し、前記最新のセッション確立要求を継続し、前記ゲートウェイ装置が前記認証サーバからの前記最新のセッション応答を前記旧セッション応答より先に受信した場合には、前記最新のセッションのセッション確立要求を継続し、前記旧セッション確立要求を該旧セッションの応答受信時に中断することを特徴とする。

本発明にかかるゲートウェイ装置およびセッション管理方法は、同一の端末装置から複数のセッションの確立が開始された場合、所定の１つのセッションを選択して端末装置と認証サーバ間での認証処理をサポートして、選択したセッションの確立を行うので、従来のように全てのセッションを切断して、新たに１つのセッションを確立させる煩雑な手間が省け、セッションの確立を迅速に行うことができるという効果を奏する。

以下に、本発明にかかるゲートウェイ装置およびセッション管理方法の実施の形態を図１〜図４の図面を用いて詳細に説明する。なお、本発明は、これら実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲で種々の変更実施の形態が可能である。

（実施の形態）
図１は、本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。図１において、認証処理システムは、ユーザの端末装置１と、ゲートウェイ装置２と、認証サーバ３とを備える。端末装置１とゲートウェイ装置２とは、通信ネットワーク（たとえば公衆網）４を介して接続され、ゲートウェイ装置２と認証サーバ３とは、特定事業者の通信ネットワーク（たとえば専用網）５を介して接続される。

端末装置１は、認証処理を行う認証処理部１１と、データの暗号化または復号化の処理を行う暗号化／復号化処理部１２と、通信ネットワーク４を介してゲートウェイ装置２および認証サーバ３を含む他の通信装置と暗号化されたデータの送受信を行う送受信部１３とを備える。認証処理部１１は、ゲートウェイ装置２とＩＫＥ（ＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ）プロトコルを拡張するＸａｕｔｈ（ＥｘｔｅｎｄｅｄＡｕｔｈｅｎｔｉｃａｔｉｏｎｗｉｔｈｉｎＩＳＡＫＭＰ／Ｏａｋｌｅｙ）を用いて、所定の認証処理用のプロトコル、たとえばＣＨＡＰ（ＣｈａｌｌｅｎｇｅＨａｎｄｓｈａｋｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ）をサポートして、自装置を認識させる認証処理を行い、通信ネットワーク５へのアクセスを可能にする。暗号化／復号化処理部１２は、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃ（ＩＰｓｅｃｕｒｉｔｙＰｒｏｔｏｃｏｌ）ＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）で作成した鍵とを用いて暗号化して送受信部１３に出力し、また暗号化されたデータを送受信部１３が受信すると、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。

ゲートウェイ装置２は、設定処理部２１と、認証処理手段としての認証処理部２２と、フェーズ情報を記憶するフェーズ用データベース２３と、ＩＰｓｅｃを適用するための手順や方針を示すＳＰＤ情報を記憶する記憶手段としてのＳＰＤ用データベース２４と、データの暗号化または復号化の処理を行う暗号化／復号化処理部２５と、データの中継処理を行う中継処理部２６と、端末装置１に対してデータの中継を行う端末用送受信部２７と、認証サーバ３に対してデータの中継を行うサーバ用送受信部２８とを備える。設定処理部２１は、認証サーバ３が認証処理に用いるすべての認証処理の手順や方針を示すポリシーを設定する。設定処理部２１は、たとえば認証サーバ３が用いるＣＨＡＰおよびＰＡＰ（ＰａｓｓｗｏｒｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ）の認証処理の手順や方針を示すポリシーを設定する。ＳＰＤ用データベース２４は、設定処理部２１で設定されたＣＨＡＰとＰＡＰの認証処理のポリシーを記録している。

ＳＰＤ情報は、設定により予め作成されるデータであり、端末装置１に対してのたとえばＩＳＡＫＭＰ（ＩｎｔｅｒｎｅｔＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎａｎｄＫｅｙＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ）の処理の手順や方針を示すポリシーやＩＳＡＫＭＰに基づいてＩＰｓｅｃで用いるインターネット標準の鍵交換プロトコルであるＩＫＥ（ＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ）の処理の手順や方針を示すポリシーやＩＫＥを拡張して従来システム内で利用してきたワンタイムパスワードやＲＡＤＩＵＳなどを使用した認証サービスを利用できるようにしたＸａｕｔｈの処理の手順や方針を示すポリシーである。

認証処理部１１，２２は、通信ネットワーク４を介して端末装置１とゲートウェイ装置２との間に、ＩＰｓｅｃ（ＩＰｓｅｃｕｒｉｔｙＰｒｏｔｏｃｏｌ）によるデータ通信を可能にするためトンネリング技術を利用してＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）と呼ばれる論理的な回線（コネクション）としてのセッションを確立させる処理を行う。この実施の形態での認証処理部２２は、最新にセッションを確立するための接続要求を行った１つのセッションを選択して端末装置１と認証サーバ３との間での認証処理をサポートして、セッションを確立させる。すなわち、認証処理部２２は、接続要求としてたとえばＰｈａｓｅ１−３が端末装置１から受信された場合に、最新にセッションを確立するための接続要求と判断して、このセッションを選択して、セッションを確立させる。なお、たとえばユーザ側に別の通信ネットワークがあり、端末装置１がこの別の通信ネットワークに接続されている場合には、この別の通信ネットワークと通信ネットワーク４との間にはデータの中継を行う中継装置（たとえばルータ）が接続されることとなり、ゲートウェイ装置２の認証処理部２２は、この中継装置との間でセッションを確立させる処理を行うこととなる。また、認証処理部２２，３１は、ゲートウェイ装置２と認証サーバ３との間でセッションを確立させることも可能である。

また、認証処理部１１，２２は、Ｘａｕｔｈをサポートし、ＣＨＡＰあるいはＰＡＰで認証処理を行う。認証処理部２２は、認証要求開始時にＩＳＡＫＭＰのＩＰｓｅｃＰｈａｓｅ−１１ｓｔパケットを受信後に、それに対応するＳＰＤ情報を抽出し、Ｐｈａｓｅ１情報を作成して参照可能とする。認証処理部２２は、このＰｈａｓｅ１情報からＳＰＤ用データベース２４内に記憶される認証方式情報をチェックし、ＣＨＡＰ方式であれば、ＣＨＡＰ認証要求を送信し、また認証方式情報がＰＡＰ方式であれば、ＰＡＰ認証要求を送信する。

フェーズ用データベース２３は、Ｐｈａｓｅ１情報を記憶する。このＰｈａｓｅ１情報は、ＩＳＡＫＭＰパケットの通信を行うためのネゴシエーション情報からなる。

暗号化／復号化処理部２５は、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃＳＡで作成した鍵とを用いて暗号化して中継処理部２６に出力して送受信部２７からの送信を可能にし、また暗号化されたデータを中継処理部２６から取り込むと、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。

認証サーバ３は、認証処理部３１と、認証用データベース３２と、データの暗号化または復号化の処理を行う暗号化／復号化処理部３３と、データの送受信を行う送受信部３４とを備える。認証処理部３１は、ゲートウェイ装置２との間で認証応答があった端末装置の認証処理を行うものである。認証用データベース３２は、端末装置を認証するための識別情報や取り扱うすべての認証処理の手順や方針を示すポリシーなどを記憶する。暗号化／復号化処理部３３は、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃＳＡで作成した鍵とを用いて暗号化して送受信部３４に出力し、また暗号化されたデータを送受信部３４が受信すると、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。

次に、図２のシーケンス図を用いて、図１に示した認証処理システムの端末装置１とゲートウェイ装置２との間でセッションを確立する認証処理の動作を説明する。なお、図２中において、ＩＰｓｅｃＰｈａｓｅ１−１、ＩＰｓｅｃＰｈａｓｅ１−２およびＩＰｓｅｃＰｈａｓｅ１−３は、ＩＰｓｅｃ通信での１回目、２回目および３回目のＰｈａｓｅ１パケットをそれぞれ示し、Ｐｈａｓｅ１−ｄｅｌｅｔｅは、セッションの削除を示すパケットである。また、Ｘａｕｔｈ要求、Ｘａｕｔｈ応答、ＸａｕｔｈＳｅｔおよびＸａｕｔｈＡＣＫは、ＣＨＡＰやＰＡＰを利用したＸａｕｔｈで作成される認証要求、認証応答、認証確認Ｓｅｔおよび認証応答ＡＣＫのパケットをそれぞれ示す。

図２において、端末装置１の認証処理部１１は、１回目のセッション１の確立を開始し（ステップＳ１０１）、ＩＫＥプロトコルを用いて自己の保持するキー情報を含むＩＰｓｅｃＰｈａｓｅ１−１パケットを作成してゲートウェイ装置２に送信する（ステップＳ１０２）。次に、ゲートウェイ装置２の認証処理部２２は、認証処理部１１からキー情報を受信すると、端末装置１を認識して、自己の保持するキー情報を含むＩＰｓｅｃＰｈａｓｅ１−２を作成して端末装置１に送信してキー情報の交換を行う（ステップＳ１０３）。次に、認証処理部１１は、認証処理部２２からキー情報を受信すると、ゲートウェイ装置２を認識した後に、ＩＰｓｅｃＰｈａｓｅ１−３のパケットを作成して、通信相手（ＩＫＥピア）であるゲートウェイ装置２に送信する（ステップ１０４）。認証処理部２２は、このＩＰｓｅｃＰｈａｓｅ１−３のパケットを受信すると、最新のセッションかどうかの判断を行うためにＰｈａｓｅ１情報にＰｈａｓｅ１−３を受信した時刻を記憶するとともに、この情報の受信時刻から最新のセッションがセッション１であることを認識する。

次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定された認証用プロトコルによるＸａｕｔｈ要求のパケットを端末装置１に送信する（ステップＳ１０５）。端末装置１の認証処理部１１は、上記Ｘａｕｔｈによる認証処理が可能な認証用プロトコルを有しており、Ｘａｕｔｈ要求のパケットを受信すると、この要求に対するＸａｕｔｈ応答のパケットをゲートウェイ装置２に送信する（ステップＳ１０６）。このＸａｕｔｈ応答のパケットには、認証サーバ３に記憶されているユーザ名とパスワードとがペイロード内に含まれている。認証処理部２２は、Ｘａｕｔｈ応答のパケットを受信すると、このパケットから上記ユーザ名とパスワードを抽出し、このユーザ名とパスワードを含んだ認証要求のパケットを作成して認証サーバ３に送信し（ステップＳ１０７）、認証サーバ３の認証処理部３１による認証処理を可能にする。

ここで、たとえば端末装置１のユーザがセッション１の削除を希望する場合には、端末装置１の認証処理部１１からセッション１の削除を通知する旨のＰｈａｓｅ１−ｄｅｌｅｔｅのパケットをゲートウェイ装置２に送信する（ステップＳ１０８）。認証処理部１１は、このパケットを送信すると、セッション１を切断して図示しない記憶部に記憶されているセッション１の情報を削除する。

ゲートウェイ装置２の認証処理部２２は、このＰｈａｓｅ１−ｄｅｌｅｔｅのパケットを受信すると、セッション１を切断するが、ＳＰＤ用データベース２４に記憶されているセッション１の情報は認証サーバ３への認証要求のパケットの再送を続けるために保持する。また、たとえばトラフィック上の問題で、このパケットが消失してゲートウェイ装置２に届かない場合には、認証処理部２２は、セッション１の切断を行わずに、認証要求のパケットの送信から所定時間後に、認証要求のパケットの再送を認証サーバ３に順次行う（ステップＳ１０９，Ｓ１１４）。

次に、端末装置１の認証処理部１１は、２回目のセッション２の確立を開始し（ステップＳ１１０）、ＩＫＥプロトコルを用いて自己の保持するキー情報を含むＩＰｓｅｃＰｈａｓｅ１−１パケットを作成してゲートウェイ装置２に送信する（ステップＳ１１１）。このパケットを受信すると、ゲートウェイ装置２の認証処理部２２は、自己の保持するキー情報を含むＩＰｓｅｃＰｈａｓｅ１−２を作成して端末装置１に送信してキー情報の交換を行う（ステップＳ１１２）。次に、認証処理部１１は、認証処理部２２からキー情報を受信すると、ＩＰｓｅｃＰｈａｓｅ１−３のパケットを作成して、ゲートウェイ装置２に送信する（ステップ１１３）。認証処理部２２は、このＩＰｓｅｃＰｈａｓｅ１−３のパケットを受信すると、受信時刻を記憶するとともに、この情報の受信時刻から最新のセッションがセッション２であり、セッション１が旧セッションであることを認識する。

次に、ゲートウェイ装置２の認証処理部２２は、認証要求のパケットを再送した後に（ステップＳ１１４）、Ｘａｕｔｈ要求のパケットを端末装置１に送信する（ステップＳ１１５）。端末装置１の認証処理部１１は、このＸａｕｔｈ要求のパケットを受信すると、この要求に対するＸａｕｔｈ応答のパケットをゲートウェイ装置２に送信する（ステップＳ１１６）。認証処理部２２は、Ｘａｕｔｈ応答のパケットを受信すると、このパケットからユーザ名とパスワードとを抽出し、このユーザ名およびパスワードを含んだ認証要求のパケットを作成して認証サーバ３に送信し（ステップＳ１１７）、認証サーバ３の認証処理部３１による認証処理を可能にする。

次に、認証サーバ３の認証処理部３１は、ゲートウェイ装置２から認証要求のパケットを受信すると、このパケットをもとに端末装置１を認証するための認証処理を行い、この端末装置１の認証終了後に認証応答である２回目のセッション２での認証応答であることを示すＡＣＫのパケットをゲートウェイ装置２に送信する（ステップＳ１１８）。ここで、認証処理部３１は、この端末装置１に対する認証が成功した場合には、認証成功を示す認証応答を行い、また認証が失敗した場合には、認証不可を示す認証応答を行う。

次に、ゲートウェイ装置２の認証処理部２２は、ＡＣＫのパケットを受信すると、このＡＣＫが最新のセッション２での認証応答であるか否かのチェックを行う（ステップＳ１１９）。認証処理部２２は、このパケットが最新のセッションでの認証応答なので、そのままネゴシエーションを続行して、ＸａｕｔｈＳｅｔのパケットを端末装置１に送信する（ステップＳ１２０）。端末装置１の認証処理部１１は、このＸａｕｔｈＳｅｔが受信されると、ＸａｕｔｈＡＣＫのパケットを作成してゲートウェイ装置２に送信する（ステップＳ１２１）。次に、認証処理部２２は、このＸａｕｔｈＡＣＫのパケットが受信されると、２回目のセッション２が確立されたことを確認する（ステップＳ１２２）。

次に、ゲートウェイ装置２の認証処理部２２は、このセッション２が確立された後で、たとえば認証サーバ３から１回目のセッション１でのＡＣＫのパケットを受信した場合には、最新のセッション２でのＡＣＫではないので、１回目のセッション１のみを切断し、さらにＳＰＤ用データベース２４に保持された１回目のセッション１の情報を削除し（ステップＳ１２４）、確立された２回目のセッション２でのＩＰｓｅｃによる暗号化通信を行う（ステップＳ１２５）。

ここで、図３のフローチャートを用いてゲートウェイ装置２による認証処理の詳細な動作を説明する。なお、このフローチャートは、端末装置１とゲートウェイ装置２との間でＳＡを確立した後の動作を示す。図３において、ゲートウェイ装置２の認証処理部２２は、パケットを受信すると、Ｐｈａｓｅ１−ｄｅｌｅｔｅのパケット（図２のステップＳ１０８参照）の受信か否か判断する（ステップＳ２０１）。ここで、認証処理部２２は、この受信がＰｈａｓｅ１−ｄｅｌｅｔｅのパケットの受信の場合には（ステップＳ２０１：Ｙｅｓ）、該当するセッション１を切断する処理を行う（ステップＳ２０２）。また、認証処理部２２は、この受信がＰｈａｓｅ１−ｄｅｌｅｔｅのパケットの受信でない場合には（ステップＳ２０１：Ｎｏ）、この受信が認証サーバ３からのＡＣＫのパケットの受信か否か判断する（ステップＳ２０３）。

ここで、認証処理部２２は、この受信がＡＣＫのパケットの受信でない場合（ステップＳ２０３：Ｎｏ）、次のパケットの受信を待つ（ステップＳ２０１）。また、認証処理部２２は、この受信がＡＣＫのパケット（図２のステップＳ１１８，Ｓ１２３参照）の受信の場合（ステップＳ２０３：Ｙｅｓ）、このＡＣＫが最新のセッションのＡＣＫか否か判断する（ステップＳ２０４）。ここで、認証処理部２２は、このＡＣＫが最新のＡＣＫでない場合（ステップＳ２０４：Ｎｏ）、旧セッション（セッション１）でのＡＣＫと判断し、この旧セッションを切断する処理（図２のステップＳ１２４参照）を行う（ステップＳ２０５）。また、認証処理部２２は、このＡＣＫが最新のセッション２でのＡＣＫ（図２のステップＳ１１８参照）の場合（ステップＳ２０４：Ｙｅｓ）、ＸａｕｔｈＳｅｔのパケット（図２のステップＳ１２０参照）を端末装置１に送信し（ステップＳ２０６）、この認証確認に対する端末装置１から認証応答のＸａｕｔｈＡＣＫのパケット（図２のステップＳ１２１参照）を受信すると（ステップＳ２０７）、セッションの確立されたことを確認して（ステップＳ２０８）、ＩＰｓｅｃによる暗号化通信を行い（図２のステップＳ１２５参照）、次のパケットの受信を待つ（ステップＳ２０１）。

図４は、Ｐｈａｓｅ１−３のＩＳＡＫＭＰヘッダの構成を説明するための図である。このＩＳＡＫＭＰヘッダは、セッションの識別子として用いる８バイトのＩｎｉｔｉａｔｏｒＣｏｏｋｉｅおよびＲｅｓｐｏｎｄｅｒＣｏｏｋｉｅと、次のペイロードを示す１バイトのＮｅｘｔＰａｙｌｏａｄと、ＩＫＥの２つのバージョンを示す１バイトのＶｅｒと、Ａｇｇｒｅｓｓｉｖｅ交換を示す１バイトのＥｘｃｈａｎｇｅＴｙｐｅと、「０」に設定される５ビットのＲｅｓｅｒｖｅｄと、３つのフラグを示す３ビットのＦｌａｇと、「０」に設定されるＭｅｓｓａｇｅＩＤを示す４バイトのＭｅｓｓａｇｅＩＤと、ＩＳＡＫＭＰデータの長さを示す４バイトのＬｅｎｇｔｈとからなる。

このＰｈａｓｅ１−３のデータを受信すると、Ｐｈａｓｅ１情報に受信した時刻を書き込み、各セッションでのＰｈａｓｅ１−３を受信した受信時刻を比較することでどちらのセッションが最新のものであるか判断することができる（図２のステップＳ１１９参照）。なお、この実施の形態では、セッション２の確立後にセッション１の切断を行ったが、本発明はこれに限らず、最新のＩＰｓｅｃＰｈａｓｅ１−３を受信した時に、あるいはこれ以降にセッション１を切断することも可能である。

このように、この実施の形態では、認証処理部２２は同一の端末装置１から複数のセッションの確立が開始された場合、最新にセッションの確立要求を行ったＰｈａｓｅ１−３のパケットに含まれる１つのセッションを選択し、この選択したセッションを確立するので、新たにセッションを確立し直す手間が省け、端末装置１とゲートウェイ装置２との間の論理的な回線としてのセッションの確立を迅速に行うことができる。

本発明にかかる認証処理システムの一例の構成を示すシステム構成図である。図１に示した認証処理システムの端末装置とゲートウェイ装置との間でセッションを確立する認証処理の動作を説明するための実施の形態のシーケンス図である。ゲートウェイ装置による認証処理の詳細な動作を説明するための実施の形態のフローチャートである。Ｐｈａｓｅ１−３のＩＳＡＫＭＰヘッダの構成を説明するための図である。

符号の説明

１端末装置
２ゲートウェイ装置
３認証サーバ
４，５通信ネットワーク
１１，２２，３１認証処理部
１２，２５，３３暗号化／復号化処理部
１３，３４送受信部
２１設定処理部
２３フェーズ用データベース
２４ＳＰＤ用データベース
２６中継処理部
２７端末用送受信部
２８サーバ用送受信部
３２認証用データベース

Claims

通信ネットワークを介して認証サーバに接続されるとともに、端末装置との間に接続された通信ネットワークを介して暗号化通信を行うための論理的な回線として、前記端末装置からセッションの確立を行い、前記端末装置と前記認証サーバとの間で認証データの中継を行うゲートウェイ装置において、
前記端末装置からのセッション確立要求メッセージの受信毎に受信時刻を記憶する記憶手段と、
前記認証サーバへの前記端末装置に関する認証要求メッセージの送信中に同一の端末装置から新たなセッション確立要求を受信する場合、前記認証サーバからの認証応答メッセージの受信時に、前記記憶手段に記憶された前記受信時刻をもとに最新のセッション確立要求を識別し、該最新のセッションのみを確立させる認証処理手段と、
を備えたことを特徴とするゲートウェイ装置。
前記記憶手段は、前記端末装置からのＩＫＥＰｈａｓｅ１−３パケットのセッション確立要求メッセージの受信タイミングで前記受信時刻を記憶し、
前記認証処理手段は、当該ゲートウェイ装置が最新のセッション要求より先に要求した旧セッションに対する前記認証サーバからの該旧セッション応答を受信した場合には、該旧セッションのセッション確立要求を中断し、前記最新のセッション確立要求を継続し、当該ゲートウェイ装置が前記認証サーバからの前記最新のセッション応答を前記旧セッション応答より先に受信した場合には、前記最新のセッションのセッション確立要求を継続し、前記旧セッション確立要求を該旧セッションの応答受信時に中断することを特徴とする請求項１に記載のゲートウェイ装置。
ゲートウェイ装置が通信ネットワークを介して認証サーバに接続されるとともに、端末装置との間に接続された通信ネットワークを介して暗号化通信を行うための論理的な回線として、前記端末装置からセッションの確立を行い、前記端末装置と前記認証サーバとの間で認証データの中継を行うセッション管理方法において、
前記ゲートウェイ装置が前記端末装置からのセッション確立要求メッセージの受信毎に受信時刻を記憶手段に記憶する記憶ステップと、
前記ゲートウェイ装置が前記認証サーバへの前記端末装置に関する認証要求メッセージの送信中に同一の端末装置から新たなセッション確立要求を受信する場合、前記認証サーバからの認証応答メッセージの受信時に、前記記憶手段に記憶された前記受信時刻をもとに最新のセッション確立要求を識別し、該最新のセッションのみを確立させる認証処理ステップと、
を含むことを特徴とするセッション管理方法。
前記記憶ステップは、前記端末装置からのＩＫＥＰｈａｓｅ１−３パケットのセッション確立要求メッセージの受信タイミングで前記受信時刻を記憶し、
前記認証処理ステップは、前記ゲートウェイ装置が最新のセッション要求より先に要求した旧セッションに対する前記認証サーバからの該旧セッション応答を受信した場合には、該旧セッションのセッション確立要求を中断し、前記最新のセッション確立要求を継続し、前記ゲートウェイ装置が前記認証サーバからの前記最新のセッション応答を前記旧セッション応答より先に受信した場合には、前記最新のセッションのセッション確立要求を継続し、前記旧セッション確立要求を該旧セッションの応答受信時に中断することを特徴とする請求項３に記載のセッション管理方法。