JP2009033557A

JP2009033557A - ネットワークアクセスシステムおよびネットワークアクセス方法

Info

Publication number: JP2009033557A
Application number: JP2007196305A
Authority: JP
Inventors: Mariko Kuroda; 麻里子黒田
Original assignee: Fujitsu Telecom Networks Ltd
Current assignee: Fujitsu Telecom Networks Ltd
Priority date: 2007-07-27
Filing date: 2007-07-27
Publication date: 2009-02-12

Abstract

【課題】
従来、正式な宅内ゲートウェイ装置のＭＡＣアドレスが許可された後で、許可されたＭＡＣアドレスを詐称した不正な端末に置き換えられた場合、不正な端末で網側にアクセスすることが可能になるという問題があった。
【解決手段】
本発明は、配下のネットワークアクセスシステムのリンク状態を監視し、リンクダウン制御を行う監視制御サーバと、下位装置に接続されるポートのリンクダウンを検出して、前記監視制御サーバにリンクダウン通知を行う回線終端装置と、前記回線終端装置に直接またはハブを介して接続される宅内ゲートウェイ装置とを備えるアクセスシステムにおいて、前記監視制御サーバは、前記宅内ゲートウェイ装置に所定時間毎にリンクダウン指示を与えることを特徴とする。
【選択図】図４

Description

本発明は、ネットワークアクセス技術に関し、特に回線終端装置の下位に取り付けられる端末機器を認証し、認証した端末以外の機器による不正アクセスを防止するネットワークアクセスシステムおよびネットワークアクセス方法に関する。

ブロードバンドインターネットサービスにおいて、最近はＩＰ電話が普及してきている。ＩＰ電話は、音質向上のために、ＩＰ電話の音声を送るＶｏＩＰ（ＶｏｉｃｅｏｖｅｒＩＰ）データに高い優先度を付与して網側でＱｏＳ（ＱｕａｌｉｔｙｏｆＳｅｒｖｉｃｅ）を提供し、音声の遅延やロスを抑えるような仕組みになっている。ところが、このような仕組みを悪用すると、優先すべきでない通常のインターネットデータなどに高い優先度を付与して送り、回線を優先的に使用することが可能になってしまう。その結果、本来、優先されるべきＩＰ電話の音声データなどが圧迫されてしまうという問題が生じる。そこで、ＩＰ電話サービスの不正利用を防止する技術として、ＩＰ電話アダプタのＭＡＣアドレスをユーザＩＤから特定される接続装置から取得して確認することにより不正利用を防止する技術が検討されている（例えば、特許文献１参照）。

また、ネットワークのアクセス認証方法として、回線終端装置に宅内ゲートウェイ装置のみを接続可能とするための方法として、最初に機器固有の証明書を用いて上位側のスイッチでＩＥＥＥ８０２．１ｘ認証などにより機器認証を行い、認証された宅内ゲートウェイ装置のＭＡＣアドレスだけを透過するように設定する方法が知られている（例えば、非特許文献１参照）。
特開２００６−２１７１９４号公報「FUJITSU ACCESS REVIEW Vol.13 No.1」（p45-51）

従来の不正アクセス防止方法は、回線事業者がユーザ認証やアドレスフィルタリングなどを用いるもので、これらは主にユーザ（契約者）を認証したり、通信するユーザを特定するものである。従って、接続する機器をユーザが自由に選択して使用できる場合、これらの端末機器でユーザが優先すべきでない通常のインターネットデータなどに高い優先度を付与してデータを送信することが可能になってしまう。

また、認証された端末のＭＡＣアドレスだけを透過するようにした不正アクセス防止方法では、一旦、正式な宅内ゲートウェイ装置のＭＡＣアドレスが許可された後で、許可されたＭＡＣアドレスを詐称した不正な端末に置き換えられた場合、不正な端末で網側にアクセスすることが可能になるという問題がある。

上記課題に鑑み、本発明の目的は、ＭＡＣアドレスが詐称された場合でも、不正アクセスを防止できるネットワークアクセスシステムおよびネットワークアクセス方法を提供することである。

請求項１に係るネットワークアクセスシステムは、配下のネットワークアクセスシステムのリンク状態を監視し、リンクダウン制御を行う監視制御サーバと、下位装置に接続されるポートのリンクダウンを検出して、前記監視制御サーバにリンクダウン通知を行う回線終端装置と、前記回線終端装置に直接またはハブを介して接続される宅内ゲートウェイ装置とを備えるアクセスシステムにおいて、前記監視制御サーバは、前記宅内ゲートウェイ装置に所定時間毎にリンクダウン指示を与えることを特徴とする。

請求項２に係るネットワークアクセスシステムは、請求項１に記載のネットワークアクセスシステムにおいて、前記宅内ゲートウェイ装置は、通信中に前記監視制御サーバからのリンクダウン指示を受けた場合は通信中を示す通信中通知を前記監視制御サーバに行い、非通信中に前記監視制御サーバからのリンクダウン指示を受けた場合は上位装置に接続されるポートを切断することを特徴とする。

請求項３に係るネットワークアクセスシステムは、請求項１または２に記載のネットワークアクセスシステムにおいて、前記監視制御サーバは、前記宅内ゲートウェイ装置への前記リンクダウン指示後、所定時間内に前記リンクダウン通知または前記通信中通知を受信しない場合は、前記宅内ゲートウェイ装置を配下に接続するポートを閉塞するよう前記回線終端装置に指示を与えることを特徴とする。

請求項４に係るネットワークアクセスシステムは、請求項１から３のいずれか一項に記載のネットワークアクセスシステムにおいて、機器固有の証明書を用いて前記宅内ゲートウェイ装置の機器認証を行う認証サーバを設け、前記宅内ゲートウェイ装置は、前記監視制御サーバからのリンクダウン指示により上位装置に接続されるポートを切断した場合は、所定時間経過後に前記認証サーバと再認証を行うことを特徴とする。

請求項５に係るネットワークアクセス方法は、監視制御サーバと、回線終端装置と、宅内ゲートウェイ装置とを備えるネットワークアクセスシステムのネットワークアクセス方法において、前記監視制御サーバから前記宅内ゲートウェイ装置に所定時間毎にリンクダウン指示を与え、前記回線終端装置の下位装置に接続されるポートのリンクダウンを検出して、前記回線終端装置から前記監視制御サーバにリンクダウン通知を行い、前記宅内ゲートウェイ装置が通信中に前記監視制御サーバからのリンクダウン指示を受けた場合は通信中を示す通信中通知を前記監視制御サーバに行い、前記宅内ゲートウェイ装置が非通信中に前記監視制御サーバからのリンクダウン指示を受けた場合は上位装置に接続されるポートを切断することを特徴とする。

請求項６に係るネットワークアクセス方法は、請求項５に記載のネットワークアクセス方法において、前記監視制御サーバから前記宅内ゲートウェイ装置にリンクダウン指示後、所定時間内に前記リンクダウン通知または通信中通知を前記監視制御サーバが受信しない場合は、前記宅内ゲートウェイ装置を接続する前記回線終端装置のポートを閉塞するよう前記監視制御サーバから前記回線終端装置に指示を与えることを特徴とする。

請求項７に係るネットワークアクセス方法は、請求項５または６に記載のネットワークアクセス方法において、前記宅内ゲートウェイ装置が前記監視制御サーバからのリンクダウン指示により上位装置に接続されるポートを切断した場合は、所定時間経過後に、機器固有の証明書を用いて前記宅内ゲートウェイ装置の機器認証を行う認証サーバと再認証を行うことを特徴とする。

本発明では、監視制御サーバは宅内ゲートウェイ装置に所定時間毎にリンクダウン指示を与えるので、不正な装置が連続して接続されることを防止することができる。特に、宅内ゲートウェイ装置が通信中の場合は通信中通知を監視制御サーバに返すことにより、通信が途切れることを防止することができる。また、回線終端装置と宅内ゲートウェイ装置との間にハブなどのネットワーク機器が接続された場合でも、リンクダウン通知や通信中通知の有無により、不正に接続された装置のリンクを確実に閉塞することができる。さらに、監視制御サーバからのリンクダウン指示により上位装置に接続されるポートを切断した場合でも、所定時間経過後に認証サーバと再認証を行うことにより、不正な端末を排除し、正常な端末だけを継続して接続することが可能になる。

（第１の実施形態）
図１は、本発明に係る「ネットワークアクセスシステムおよびネットワークアクセス方法」のネットワークシステム全体の構成を示している。図１は、ＩＰ網（インターネット網）１０１に接続するＬ３ＳＷ（レイヤ３スイッチ）１０２を中心に描いてある。Ｌ３ＳＷ１０２には、ＤＨＣＰサーバ１０３，ＳＮＭＰ（Ｓimple Ｎetwork Ｍanagement Ｐrotocol）による監視制御サーバ１０４，アカウンティング管理を行うＲＡＤＩＵＳ（Ｒemote Ａuthentication Ｄial-Ｉn Ｕser Ｓervice）サーバ１０５などが接続されている。尚、本実施形態では、ユーザ宅内にアカウンティング機能を有する宅内ゲートウェイ装置を設置することでネットワークシステムのアカウンティング管理を実現する。

Ｌ３ＳＷ１０２の配下には、レイヤ２のスイッチやＶＬＡＮ制御，ＱｏＳ制御などを行う認証ＳＷ１０６〜１０８が接続され、認証ＳＷ１０６〜１０８の下には、集線装置１０９〜１１１が接続されている。これらの集線装置１０９〜１１１は、光ファイバー網の場合はＯＬＴ（Ｏptical Ｌine Ｔerminal）が接続され、ＡＤＳＬ（Ａsymmetric Ｄigital Ｓubscriber Ｌine）の場合はＤＳＬＡＭ（Ｄigital Ｓubscriber Ｌine Ａccess Ｍultiplexer）が接続され、あるいはＣＡＴＶやその他の通信網の集線装置が接続される。

さらに、集線装置１０９の下には、加入者宅側の回線終端装置１１２〜１１４が接続される。また、集線装置１１０の下には回線終端装置１１５、集線装置１１１の下には回線終端装置１１６がそれぞれ接続される。これらの回線終端装置１１２〜１１６は、対応する集線装置がＯＬＴの場合はＯＮＵ（Ｏptical Ｎetwork Ｕnit）、対応する集線装置がＤＳＬＡＭの場合はＡＤＳＬモデム、対応する集線装置がＣＡＴＶなどの場合はそれに対応する回線終端装置がそれぞれ接続される。

加入者宅側の各回線終端装置には、宅内ゲートウェイ装置１１７〜１１９が接続される。宅内ゲートウェイ装置１１７〜１１９は、複数のパソコンを接続するためのブロードバンドルータ機能，ＩＰ電話機を接続するためのＶｏＩＰアダプタ機能を持ち、加入者宅内で使用されるＰＣ１２０および１２２や、ＩＰ電話機１２１および１２３などの通信は、この宅内ゲートウェイ装置１１７〜１１９を介して行われる。また、宅内ゲートウェイ装置１１７〜１１９は、ブロードバンドルータ機能，ＶｏＩＰアダプタ機能を持ち、宅内のＬＡＮ側はプライベートアドレスで管理し、宅外のＷＡＮ側はＤＨＣＰサーバ１０３からグローバルアドレスを取得して接続する。

認証ＳＷ１０６〜１０８は、ＩＥＥＥ８０２．１ｘに準拠した認証を行って、配下の宅内ゲートウェイ装置１１７〜１１９を認証する。例えば、認証ＳＷ１０６は、宅内ゲートウェイ装置１１７から送られてくるＩＤやパスワードおよび機器固有の証明書などをＲＡＤＩＵＳサーバ１０５に問い合わせる。ＲＡＤＩＵＳサーバ１０５は、予めエントリーされているＩＤやパスワードおよび機器固有の証明書と一致した場合は正式に登録された装置であることを認証ＳＷ１０６に返す。認証ＳＷ１０６が宅内ゲートウェイ装置１１７を認証すると、宅内ゲートウェイ装置１１７のＭＡＣアドレスを許可し、当該ＭＡＣアドレスが付加されたパケットを透過する。尚、認証されなかった場合は、当該ＭＡＣアドレスが付加されたパケットは透過されず、通信を行うことができない。以降、認証ＳＷ１０６は、宅内ゲートウェイ装置１１７から送られてくるパケットのＭＡＣアドレスを見て、パケットを通すか否かを判断する。従って、回線終端装置１１２に接続されている宅内ゲートウェイ装置１１７をＭＡＣアドレスが異なる別の装置に置き換えて不正に通信しようとしても、ＭＡＣアドレスが異なるため通信することができない。

次に、不正端末がＭＡＣアドレスを詐称した場合について説明する。例えば、図２（ａ）に示すように、宅内ゲートウェイ装置１１７のＭＡＣアドレスがｍａｃ＿ａの時、認証ＳＷ１０６は集線装置１０９を介して送られてくるパケットのＭＡＣアドレスがｍａｃ＿ａの場合は、当該パケットを上位のネットワークに通す。ところが、宅内ゲートウェイ装置１１７がＩＥＥＥ８０２．１ｘに基づいて認証された後、図２（ｂ）に示すように、ＭＡＣアドレスをｍａｃ＿ａに書き換えた不正端末１１７ｂを宅内ゲートウェイ装置１１７に置き換えて回線終端装置１１２に接続すると、不正端末１１７ｂから集線装置１０９を介して認証ＳＷ１０６に送られてくるパケットのＭＡＣアドレスは認証済みのｍａｃ＿ａなので、ＭＡＣアドレスしかチェックしない認証ＳＷ１０６は当該パケットを上位のネットワークに通してしまう。

或いは、図３（ａ）に示すように、回線終端装置１１２の下にＨＵＢ（ネットワーク集線装置）１２４を介して、宅内ゲートウェイ装置１１７を接続している場合、同じＨＵＢ１２４に宅内ゲートウェイ装置１１７と同じＭＡＣアドレスを詐称した不正端末１１７ｂを接続すると、回線終端装置１１２および集線装置１０９を介して認証ＳＷ１０６に不正端末１１７ｂからのパケットが送られ、ＭＡＣアドレスのｍａｃ＿ａは認証済みなので、認証ＳＷ１０６は当該パケットを上位のネットワークに通してしまう。例えば、図３（ｂ）に示すように、宅内ゲートウェイ装置１１７を外した後でも不正端末１１７ｂは通信を継続することができる。

そこで、本実施形態では、監視制御サーバ１０４を設けて、宅内ゲートウェイ装置１１７のリンク制御を行うことにより、図２や図３で説明したような不正端末１１７ｂがＭＡＣアドレスを詐称して認証ＳＷ１０６を介して上位のネットワークに接続されることを防止する。

次に、不正アクセスを防止するための本実施形態に係るネットワークアクセス方法について詳しく説明する。図４は、図１のネットワークアクセスシステムで行われるシーケンスを示した図である。既に認証ＳＷ１０６は、配下の宅内ゲートウェイ装置１１７〜１１９をＩＥＥＥ８０２．１ｘに基づいて認証済みで、宅内ゲートウェイ装置１１７〜１１９のＭＡＣアドレスｍａｃ＿ａ，ｍａｃ＿ｂ，ｍａｃ＿ｃが付加されたパケットは上位のネットワークに送られる。一方、既にＤＨＣＰサーバ１０３からＩＰアドレスの払い出しも行われ、宅内ゲートウェイ装置１１７〜１１９のＭＡＣアドレスｍａｃ＿ａ，ｍａｃ＿ｂ，ｍａｃ＿ｃに対応するＩＰアドレスｉｐ＿ａ，ｉｐ＿ｂ，ｉｐ＿ｃを記したＩＰ払出テーブルＴ１がＤＨＣＰサーバ１０３で作成されている。また、集線装置１０９は、配下の回線終端装置１１２〜１１４に接続される回線（ＬＩＮＥ）と、回線終端装置１１２〜１１４に接続される宅内ゲートウェイ装置１１７〜１１９のＭＡＣアドレスとを対応させたＭＡＣ学習情報テーブルＴ２を作成している。尚、図４の各テーブルでは、集線装置１０９をｉｐ＿ＯＬＴ０１と称している。また、回線終端装置１１２をｌｉｎｅ＿１−１，回線終端装置１１３をｌｉｎｅ＿１−２，回線終端装置１１４をｌｉｎｅ＿１−３と称し、ＭＡＣ学習情報テーブルＴ２において、それぞれの配下の宅内ゲートウェイ装置１１７〜１１９のＭＡＣアドレスｍａｃ＿ａ，ｍａｃ＿ｂ，ｍａｃ＿ｃに対応付けられている。

次に、監視制御サーバ１０４の動作について説明する。先ず、監視制御サーバ１０４は、ＤＨＣＰサーバ１０３にＩＰ払出テーブルＴ１を要求し、ＩＰ払出テーブルＴ１を取得する。一方、監視制御サーバ１０４は、集線装置１０９にＭＡＣ学習情報テーブルＴ２を要求し、ＭＡＣ学習情報テーブルＴ２を取得する。さらに、監視制御サーバ１０４は、取得したＩＰ払出テーブルＴ１とＭＡＣ学習情報テーブルＴ２とを統合して、各集線装置を構成するＯＬＴやＭＣ（ＭｅｄｉａＣｏｎｖｅｒｔｏｒ）毎にＬＩＮＥ・ＭＡＣ・ＩＰ対応テーブルＴ３を作成する。例えば、対応テーブルＴ３において、集線装置１０９を示すｉｐ＿ＯＬＴ０１の欄には、回線終端装置１１２〜１１４を示す回線（ＬＩＮＥ）名：ｌｉｎｅ＿１−１，ｌｉｎｅ＿１−２，ｌｉｎｅ＿１−３に対応させて、ＭＡＣアドレス：ｍａｃ＿ａ，ｍａｃ＿ｂ，ｍａｃ＿ｃ、およびＩＰアドレスｉｐ＿ａ，ｉｐ＿ｂ，ｉｐ＿ｃが対応付けられている。

このようにして、監視制御サーバ１０４は、集線装置１０９の配下の回線終端装置１１２〜１１４のそれぞれに接続されている宅内ゲートウェイ装置１１７〜１１９のＭＡＣアドレスとＩＰアドレスを把握することができる。尚、監視制御サーバ１０４は、定期的にＤＨＣＰサーバ１０５のＩＰ払出テーブルＴ１と各アクセス機器のＭＡＣ学習テーブルＴ２を取得し、回線とＭＡＣアドレスとＩＰアドレスとを対応付けるテーブルＴ３を更新する。

次に、回線終端装置１１２と宅内ゲートウェイ装置１１７との間にＨＵＢ１２４が接続されていない場合且つ宅内ゲートウェイ装置１１７が非通信中の場合の動作について、図４を用いて説明する。図４において、監視制御サーバ１０４が宅内ゲートウェイ装置１１７にリンクダウン指示を送出すると、リンクダウン指示を受け取った宅内ゲートウェイ装置１１７は回線終端装置１１２とのリンクを切断する。回線終端装置１１２は宅内ゲートウェイ装置１１７が接続されているポートのリンクダウンを検出し、リンクダウンしたことを監視制御サーバ１０４にＴｒａｐ通知（ＳＮＭＰの通信プロトコル）する（リンクダウン通知）。

尚、リンクダウン後、所定時間を経てからＩＥＥＥ８０２．１ｘ認証を行って、リンクを自動復旧させても構わない。また、Ｔｒａｐ通知を用いず、独自のプロトコルでリンクダウン通知を行っても構わない。

次に、回線終端装置１１２と宅内ゲートウェイ装置１１７との間にＨＵＢ１２４が接続されていない場合且つ宅内ゲートウェイ装置１１７が通信中の場合の動作について、図５を用いて説明する。尚、監視制御サーバ１０４が宅内ゲートウェイ装置１１７にリンクダウン指示を送出するところまでは、図４と同じなので重複する説明は省略する。もし宅内ゲートウェイ装置１１７が通信中に、監視制御サーバ１０４からリンクダウン指示を受け取った場合、通信中であることを示す応答メッセージを監視制御サーバ１０４に返答する（通信中通知）。これを受けた監視制御サーバ１０４は、所定時間経過後に再び宅内ゲートウェイ装置１１７にリンクダウン指示を送出する。宅内ゲートウェイ装置１１７の通信が終了した時に、監視制御サーバ１０４からリンクダウン指示を受け取ると、図４と同様にリンクを切断し、回線終端装置１１２がリンクダウンを検出して監視制御サーバ１０４にリンクダウン通知を送出する。

このように、通信中の宅内ゲートウェイ装置１１７は、通信の途中で切断されることを防止できる。尚、不正端末が通信し続けることを防止するために、監視制御サーバ１０４は、所定回数のリンクダウン指示を送出しても、通信中の応答メッセージを受け取った場合は、回線終端装置１１２に強制的にリンクを閉塞する指示を与えるようにしても構わない。

また、リンクダウンした宅内ゲートウェイ装置１１７は、リンクダウン後に所定時間が経過した後で、ＩＥＥＥ８０２．１ｘ認証を行って、リンクを自動復旧するようにしても構わない。尚、不正端末１１７ｂの場合は再認証できないので通信を再開することができない。

次に、回線終端装置１１２と宅内ゲートウェイ装置１１７との間にＨＵＢ１２４が設置されている場合且つ宅内ゲートウェイ装置１１７が非通信中の場合の動作について、図６を用いて説明する。尚、監視制御サーバ１０４が宅内ゲートウェイ装置１１７にリンクダウン指示を送出するところまでは、図４と同じなので重複する説明は省略する。監視制御サーバ１０４が宅内ゲートウェイ装置１１７にリンクダウン指示を送出すると、リンクダウン指示を受け取った宅内ゲートウェイ装置１１７はＨＵＢ１２４とのリンクを切断する。ところが、回線終端装置１１２と宅内ゲートウェイ装置１１７との間にＨＵＢ１２４が配置されているので、回線終端装置１１２は宅内ゲートウェイ装置１１７のリンクダウンを検知することができない。この結果、監視制御サーバ１０４は、回線終端装置１１２からのリンクダウン通知も宅内ゲートウェイ装置１１７からの通信中を示す応答メッセージも受け取ることができない。そこで、監視制御サーバ１０４は、所定時間待機しても何ら応答がない場合は、ＩＰアドレスと回線とを対応付けたテーブルＴ３から宅内ゲートウェイ装置１１７が収容されている回線終端装置１１２に対して、当該の回線の宅内ゲートウェイ装置１１７側、つまりＨＵＢ１２４側のインタフェースに強制的にリンクを閉塞する指示を与える。これを受けた回線終端装置１１２は、ＨＵＢ１２４側のポートを切断する。このようにして、不正通信を防止することができる。

例えば、図３（ａ）の場合は、監視制御サーバ１０４からリンクダウン指示によって宅内ゲートウェイ装置１１７がリンクを切断しても、宅内ゲートウェイ装置１１７とＨＵＢ１２４とのリンクが切断されるだけなので、回線終端装置１１２は宅内ゲートウェイ装置１１７のリンクダウンを検知することができない。この結果、宅内ゲートウェイ装置１１７がリンクダウン後に不正端末１１７ｂが宅内ゲートウェイ装置１１７に成り済まして不正な通信を継続することが可能になる。ところが、本実施形態の監視制御サーバ１０４は、回線終端装置１１２からのリンクダウン通知も宅内ゲートウェイ装置１１７からの通信中を示す応答メッセージも無い場合は、回線終端装置１１２に強制的なリンク閉塞指示を与えるので、回線終端装置１１２とＨＵＢ１２４とのリンクが切断され、宅内ゲートウェイ装置１１７に成り済ましていた不正端末１１７ｂの通信が切断される。

次に、回線終端装置１１２と宅内ゲートウェイ装置１１７との間にＨＵＢ１２４が設置されている場合且つ宅内ゲートウェイ装置１１７が通信中の場合の動作について、図７を用いて説明する。尚、監視制御サーバ１０４が宅内ゲートウェイ装置１１７にリンクダウン指示を送出するところまでは、図４と同じなので重複する説明は省略する。もし宅内ゲートウェイ装置１１７が通信中に、監視制御サーバ１０４からリンクダウン指示を受け取った場合、通信中であることを示す応答メッセージを監視制御サーバ１０４に返答する。これを受けた監視制御サーバ１０４は、所定時間経過後に再び宅内ゲートウェイ装置１１７にリンクダウン指示を送出する。ここまでは図５の場合と同様である。宅内ゲートウェイ装置１１７の通信が終了した時に、監視制御サーバ１０４からリンクダウン指示を受け取ると、宅内ゲートウェイ装置１１７はＨＵＢ１２４とのリンクを切断するが、回線終端装置１１２はＨＵＢ１２４と接続された状態なので、宅内ゲートウェイ装置１１７のリンクダウンを検出することができない。この場合は、図６と同様に、監視制御サーバ１０４は、所定時間待機後に、強制的に回線終端装置１１２にリンク閉塞指示を与え、回線終端装置１１２は、ＨＵＢ１２４側のポートを切断する。

このように、通信中の宅内ゲートウェイ装置１１７は、通信の途中で切断されることを防止できる。さらに、回線終端装置１１２からのリンクダウン通知も宅内ゲートウェイ装置１１７からの通信中を示す応答メッセージも無い場合は、回線終端装置１１２に強制的なリンク閉塞指示を与えるので、回線終端装置１１２とＨＵＢ１２４とのリンクが切断され、宅内ゲートウェイ装置１１７に成り済ましていた不正端末１１７ｂの通信が切断される。尚、図５の場合と同様に、不正端末が通信し続けることを防止するために、監視制御サーバ１０４は、所定回数のリンクダウン指示を送出しても、通信中の応答メッセージを受け取った場合は、回線終端装置１１２に強制的にリンクを閉塞する指示を与えるようにしても構わない。

上記の説明では、認証ＳＷ１０６と回線終端装置１１２と宅内ゲートウェイ装置１１７の場合について説明したが、認証ＳＷ１０７，１０８、回線終端装置１１３，１１６、宅内ゲートウェイ装置１１８，１１９についても同様に動作する。この時、監視制御サーバ１０４は、ＩＰ払出テーブルＴ１上のＩＰアドレスに向けて順にリンクダウン指示を送る。例えば、当該の回線のリンクダウン通知（Ｔｒａｐ通知）を受信すれば実施済みとしてＩＰ払出テーブルＴ１上の次の装置に進み、同様にリンクダウン指示を行う。もし通信中の応答があった場合は、未実施のまま次の装置に進んで一巡後に再度試みる。もしリンクダウン通知や通信中の応答メッセージがない場合は、ＩＰアドレスと回線とを対応付けたテーブルＴ１から当該の宅内ゲートウェイ装置が収容されている回線終端装置に対して、当該回線の宅内ゲートウェイ装置側のインタフェースを強制的に閉塞させる指示を出し、ＩＰアドレスと回線とを対応付けたテーブルＴ１から当該回線を削除する。尚、応答がない場合に、直ぐに閉塞するのではなく、オペレータの画面に通知し、オペレータがユーザに状況を確認できるようにしても構わない。

このように、第１の実施形態に係る「ネットワークアクセスシステムおよびネットワークアクセス方法」は、監視制御サーバ１０４は、例えば宅内ゲートウェイ装置１１７に所定時間毎にリンクダウン指示を与えるので、宅内ゲートウェイ装置１１７のＭＡＣアドレスを詐称した不正端末１１７ｂが接続されることを防止できる。特に、宅内ゲートウェイ装置１１７が通信中の場合は通信中通知を監視制御サーバ１０４に返すことにより、通信が途切れることを防止できる。また、回線終端装置１１２と宅内ゲートウェイ装置１１７との間にＨＵＢ１２４などのネットワーク機器が接続された場合でも、監視制御サーバ１０４はリンクダウン通知や通信中通知の有無により、不正端末１１７ｂのリンクを確実に閉塞することができる。さらに、監視制御サーバ１０４からのリンクダウン指示により宅内ゲートウェイ装置１１７がＨＵＢ１２４など上位装置に接続されるポートを切断した場合でも、所定時間経過後に認証ＳＷ１０６と再認証を行うことにより、不正な端末を排除し、正常な端末だけを継続して接続することが可能になる。

特に、本実施形態のネットワークアクセスシステムを実現するために、アクセス網を構成する装置に要求される機能は、回線終端装置１１２の宅内側のリンクダウンを監視制御サーバ１０４に通知することと、監視制御サーバ１０４からのリンクダウン指示に従って回線終端装置１１２の宅内側インタフェースを閉塞することだけであり、回線終端装置１１２を構成するＡＤＳＬやメディアコンバータ、ＦＥＰＯＮ、ＧＥＰＯＮ、ＶＤＳＬなど多種類のアクセス機器が混在する近年のアクセスインフラでも容易に対応することができる。また、定期的にリンクダウン指示を行う局側の監視制御サーバ１０４の機能も複雑なものではなく、通信中応答を行う宅内ゲートウェイ装置１１７の機能も、これらの機器に組み込まれているインターネット接続のための自動設定やファームの自動更新などのアプリケーションに組み入れることで容易に実現することができる。

第１の実施形態に係るネットワークアクセスシステムの構成図である。不正アクセスの様子を示す説明図である。ＨＵＢがある場合の不正アクセスの様子を示す説明図である。第１の実施形態に係るネットワークアクセスシステムの動作シーケンスを示す説明図である。第１の実施形態に係るネットワークアクセスシステムの動作シーケンスを示す説明図である。第１の実施形態に係るネットワークアクセスシステムの動作シーケンスを示す説明図である。第１の実施形態に係るネットワークアクセスシステムの動作シーケンスを示す説明図である。

符号の説明

１０１・・・ＩＰ網
１０２・・・Ｌ３ＳＷ
１０３・・・ＤＨＣＰサーバ
１０４・・・監視制御サーバ
１０５・・・ＲＡＤＩＵＳサーバ
１０６〜１０８・・・認証ＳＷ
１０９〜１１１・・・集線装置
１１２〜１１６・・・回線終端装置
１１７〜１１９・・・宅内ゲートウェイ装置
１２０，１２２・・・ＰＣ
１２１，１２３・・・ＩＰ電話機
１２４・・・ＨＵＢ

Claims

配下のネットワークアクセスシステムのリンク状態を監視し、リンクダウン制御を行う監視制御サーバと、
下位装置に接続されるポートのリンクダウンを検出して、前記監視制御サーバにリンクダウン通知を行う回線終端装置と、
前記回線終端装置に直接またはハブを介して接続される宅内ゲートウェイ装置と
を備えるアクセスシステムにおいて、
前記監視制御サーバは、前記宅内ゲートウェイ装置に所定時間毎にリンクダウン指示を与えることを特徴とするネットワークアクセスシステム。
請求項１に記載のネットワークアクセスシステムにおいて、
前記宅内ゲートウェイ装置は、通信中に前記監視制御サーバからのリンクダウン指示を受けた場合は通信中を示す通信中通知を前記監視制御サーバに行い、非通信中に前記監視制御サーバからのリンクダウン指示を受けた場合は上位装置に接続されるポートを切断する
ことを特徴とするネットワークアクセスシステム。
請求項１または２に記載のネットワークアクセスシステムにおいて、
前記監視制御サーバは、前記宅内ゲートウェイ装置への前記リンクダウン指示後、所定時間内に前記リンクダウン通知または前記通信中通知を受信しない場合は、前記宅内ゲートウェイ装置を配下に接続するポートを閉塞するよう前記回線終端装置に指示を与えることを特徴とするネットワークアクセスシステム。
請求項１から３のいずれか一項に記載のネットワークアクセスシステムにおいて、
機器固有の証明書を用いて前記宅内ゲートウェイ装置の機器認証を行う認証サーバを設け、
前記宅内ゲートウェイ装置は、前記監視制御サーバからのリンクダウン指示により上位装置に接続されるポートを切断した場合は、所定時間経過後に前記認証サーバと再認証を行う
ことを特徴とするネットワークアクセスシステム。
監視制御サーバと、回線終端装置と、宅内ゲートウェイ装置とを備えるネットワークアクセスシステムのネットワークアクセス方法において、
前記監視制御サーバから前記宅内ゲートウェイ装置に所定時間毎にリンクダウン指示を与え、
前記回線終端装置の下位装置に接続されるポートのリンクダウンを検出して、前記回線終端装置から前記監視制御サーバにリンクダウン通知を行い、
前記宅内ゲートウェイ装置が通信中に前記監視制御サーバからのリンクダウン指示を受けた場合は通信中を示す通信中通知を前記監視制御サーバに行い、前記宅内ゲートウェイ装置が非通信中に前記監視制御サーバからのリンクダウン指示を受けた場合は上位装置に接続されるポートを切断する
ことを特徴とするネットワークアクセス方法。
請求項５に記載のネットワークアクセス方法において、
前記監視制御サーバから前記宅内ゲートウェイ装置にリンクダウン指示後、所定時間内に前記リンクダウン通知または通信中通知を前記監視制御サーバが受信しない場合は、前記宅内ゲートウェイ装置を接続する前記回線終端装置のポートを閉塞するよう前記監視制御サーバから前記回線終端装置に指示を与える
ことを特徴とするネットワークアクセス方法。
請求項５または６に記載のネットワークアクセス方法において、
前記宅内ゲートウェイ装置が前記監視制御サーバからのリンクダウン指示により上位装置に接続されるポートを切断した場合は、所定時間経過後に、機器固有の証明書を用いて前記宅内ゲートウェイ装置の機器認証を行う認証サーバと再認証を行う
ことを特徴とするネットワークアクセス方法。