JP2009218926A - ネットワーク接続制御システム、ネットワーク接続制御プログラムおよびネットワーク接続制御方法 - Google Patents

Abstract

【課題】パケットフィルタに登録する転送ポリシーの数を抑えた上で、悪意ユーザによる不正トラヒックへの対処を適切に実現することを課題とする。
【解決手段】ネットワーク接続制御装置は、利用者が属するグループを示すグループ情報と、当該グループに属する利用者が利用する利用者装置に割り当てられるＩＰアドレスが満足すべき条件との対応関係に基づいて、利用者装置にＩＰアドレスを割り当て、転送装置は、他のネットワーク宛のパケットを利用者装置から受信すると、当該パケットの送信元を示すＩＰアドレスが満足する条件と転送ポリシーとの対応関係に基づいて、当該パケットに対する転送制御を行う。
【選択図】 図１

Description

この発明は、ネットワーク接続制御システム、ネットワーク接続制御プログラムおよびネットワーク接続制御方法に関する。

日本では、電話サービスを提供する通信キャリアが、ＡＤＳＬ（Asymmetric Digital Subscriber Line）、光ファイバなどの高速なアクセス回線を設置するとともに、これらのアクセス回線を集約するアクセスＩＰ（Internet Protocol）網を運営することで、加入者（以下、ユーザと呼ぶ）とＩＳＰ（Internet Service Provider）事業者とのネットワーク接続や、ユーザとＡＳＰ（Application Service Provider）事業者とのネットワーク接続などを実現している。

このようなアクセスＩＰ網の実現手法としては、例えば、非特許文献１に示されているように、ＰＰＰ（Point to Point Protocol）接続方式がある。図１５を用いて簡単に説明すると、ＰＰＰ接続方式では、アクセスＩＰ網事業者が運営するアクセスＩＰ網において、ＬＡＣ（L2TP Access Concentrator）が、アクセス回線を集約してユーザ装置（例えば、ＨＧＷ（Home GateWay）などのＴＥ（Terminal Equipment））を収容し、ＬＮＳ（L2TP Network Server）が、アクセスＩＰ網を終端してＩＳＰ網などの他のネットワークにパケットを転送する。また、ＰＰＰ接続方式では、ユーザ装置（ＨＧＷ）とＬＮＳとの間でＰＰＰセッションが確立される。すなわち、図１５に示すように、アクセスＩＰ網において、ＬＡＣとＬＮＳとの間の区間は、ＰＰＰフレームの転送に利用されることとなり、ユーザ装置は、アクセスＩＰ網に直接的に接続しない。このため、ユーザ装置は、ＬＮＳやＩＳＰ事業者の装置にＩＰパケットを送信するような攻撃をすることができず、また、アクセスＩＰ網のみを経由した攻撃を受けることもない。

一方、アクセスＩＰ網の実現手法としては、例えば、非特許文献２に示されているように、ＩＰ接続方式がある。ＩＰ接続方式では、ユーザ装置は、アクセスＩＰ網に直接的に接続する。

日経コミュニケーションズ、「１８０°異なるネット構成に注意 拠点間通信ならＹａｈｏｏに軍配」、２００２年５月２０日号、ｐ．１０７ 日経コミュニケーションズ、「１８０°異なるネット構成に注意 拠点間通信ならＹａｈｏｏに軍配」、２００２年５月２０日号、ｐ．１０８〜１０９

ところで、上記した従来の技術では、以下の課題があった。

まず、ＰＰＰ接続方式には、以下の課題がある。第一の課題は、ＰＰＰ接続方式では、アクセスＩＰ網内に設置された装置が、トンネル通信パケット（Ｌ２ＴＰ（Layer 2 Tunneling Protocol）パケット）の処理を行う必要があるので、アクセスＩＰ網内の装置コストが膨らむという課題である。第二の課題は、ユーザ装置は、アクセスＩＰ網に直接的に接続しないので、アクセスＩＰ網のＩＰルーチング機能を用いたＩＰマルチキャストなどを利用することができないという課題である。

一方、ＩＰ接続方式には、以下の課題がある。上記したように、ＩＰ接続方式では、ユーザ装置は、アクセスＩＰ網に直接的に接続する。このため、ＩＰ接続方式では、悪意ユーザによる不正トラヒックへの対処が必要となる。かかる不正トラヒックへの対処は、ユーザ装置を収容するルータにパケットフィルタを設定することで実現することになるが、複数のＩＳＰ事業者やＡＳＰ事業者などの共用インフラとしてアクセスＩＰ網が運用される形態では、パケットフィルタに登録される転送ポリシーは、ユーザが契約しているＩＳＰ事業者やＡＳＰ事業者ごとに異なるものとなる。

ここで、ＬＡＮ（Local Area Network）における適用を想定した手法として、ＬＡＮ内に設置された装置が、ＤＨＣＰ（Dynamic Host Configuration Protocol）で端末にＩＰアドレスを割り当てる際に、端末のＭＡＣ（Media Access Control）アドレスを用いて当該端末を利用するユーザが契約するＩＳＰ事業者などを識別し、当該ＩＳＰ事業者に応じた転送ポリシーと当該端末に割り当てるＩＰアドレスとの対応関係を、パケットフィルタに登録する手法がある。すなわち、ユーザごとの転送ポリシーをパケットフィルタに登録する手法である。

このような手法をアクセスＩＰ網において適用することを考えるとしても、スケーラビリティの点から新たな弊害が発生する。すなわち、ＬＡＮとは異なり、アクセスＩＰ網は、多数のユーザ装置を収容するネットワークであるので、パケットフィルタに登録する転送ポリシーの数も、多数となる。すると、アクセスＩＰ網内において、転送スループットの低下や管理稼動の増大といった新たな弊害が発生してしまう。

そこで、この発明は、上記した従来技術の課題を解決するためになされたものであり、パケットフィルタに登録する転送ポリシーの数を抑えた上で、悪意ユーザによる不正トラヒックへの対処を適切に実現することが可能なネットワーク接続制御システム、ネットワーク接続制御プログラムおよびネットワーク接続制御方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、利用者装置が接続するアクセス回線を収容するとともに、当該利用者装置から送信されたパケットをＩＰレイヤで転送するアクセスＩＰ網において、ネットワーク接続制御装置が、前記利用者装置に対してＩＰアドレスを割り当て、転送装置が、当該利用者装置から当該ＩＰアドレスを用いて送信されたパケットを、当該アクセスＩＰ網に接続する他のネットワークに転送するネットワーク接続制御システムであって、前記ネットワーク接続制御装置は、利用者装置を利用する利用者が属するグループを示すグループ情報と、当該グループに属する利用者が利用する利用者装置に割り当てられるＩＰアドレスが満足すべき条件との対応関係を記憶するアドレス条件記憶手段と、利用者装置からＩＰアドレスを割り当てることを要求する割当要求を受け付けると、当該利用者装置を利用する利用者が属するグループを示すグループ情報を識別するグループ識別手段と、前記グループ識別手段によってグループ情報が識別されると、当該グループ情報を用いて前記アドレス条件記憶手段を参照し、当該グループ情報に対応づけて記憶されている前記条件を取得して、当該条件に基づいて前記利用者装置に割り当てるＩＰアドレスを決定し、当該ＩＰアドレスを当該利用者装置に送信するＩＰアドレス割当手段とを備え、前記転送装置は、前記条件と、当該条件を満足するＩＰアドレスを用いて利用者装置から送信されたパケットを転送する際の転送ポリシーとの対応関係を記憶する転送ポリシー記憶手段と、前記他のネットワーク宛のパケットを前記利用者装置から受信すると、当該パケットの送信元を示すＩＰアドレスを用いて前記転送ポリシー記憶手段を参照し、当該ＩＰアドレスが満足する前記条件に対応づけて記憶されている前記転送ポリシーを取得して、当該転送ポリシーに基づいて当該パケットに対する転送制御を行う転送手段と、を備えたことを特徴とする。

また、請求項２に係る発明は、上記の発明において、前記アドレス条件記憶手段および前記転送ポリシー記憶手段は、ＩＰアドレスが満足すべき前記条件として、ＩＰアドレスを構成するビット列の内の中間部に位置するビット列の値を設定し、前記ＩＰアドレス割当手段は、利用者装置に割り当てるＩＰアドレスを決定する際に、前記条件として設定されている値を、ＩＰアドレスを構成するビット列の内の中間部に位置するビット列に設定し、前記転送手段は、パケットを利用者装置から受信すると、当該パケットの送信元を示すＩＰアドレスを構成するビット列の中間部に位置するビット列を取得し、当該ビット列が示す値を用いて前記転送ポリシー記憶手段を参照し、当該値に対応づけて記憶されている前記転送ポリシーを取得して、前記転送制御を行うことを特徴とする。

また、請求項３に係る発明は、上記の発明において、前記グループ識別手段は、前記割当要求を受け付けると、当該割当要求が送信された前記アクセス回線を識別する回線情報に基づいて、前記グループ情報を識別することを特徴とする。

また、請求項４に係る発明は、上記の発明において、前記グループ識別手段は、前記割当要求を、前記利用者装置を利用する利用者を認証する際に用いられる認証情報とともに受け付けると、当該認証情報に基づいて、前記グループ情報を識別することを特徴とする。

また、請求項５に係る発明は、上記の発明において、前記利用者装置から送信された他のネットワーク宛のパケットは、複数の前記転送装置を経由して当該他のネットワークに転送されるものであり、少なくとも一つの転送装置の前記転送ポリシー記憶手段は、前記転送ポリシーとして、次段の転送装置を記憶し、当該転送装置の前記転送手段は、利用者装置から送信された他のネットワーク宛のパケットもしくは他の転送装置から転送された他のネットワーク宛のパケットを受信すると、当該パケットの送信元のＩＰアドレスを用いて前記転送ポリシー記憶手段を参照し、当該ＩＰアドレスが満足する前記条件に対応づけて記憶されている前記次段の転送装置を取得して、当該パケットを当該次段の転送装置に転送することを特徴とする。

また、請求項６に係る発明は、上記の発明において、前記利用者装置は、前記他のネットワークに設置されているトンネル通信装置との間でトンネル通信を行うものであり、当該他のネットワーク内部において通信を行う際に必要なＩＰアドレスとして割り当てられた内部ＩＰアドレスを含む情報をカプセル化したパケットを、前記ネットワーク接続制御装置によって割り当てられたＩＰアドレスを用いて当該トンネル通信装置宛に送信するものであって、前記トンネル通信装置は、前記ＩＰアドレス割当手段によって割り当てられたＩＰアドレスと、前記内部ＩＰアドレスとの対応関係を記憶するＩＰアドレス対応関係記憶手段と、前記利用者装置から送信された当該トンネル通信装置宛のパケットを受信すると、当該パケットに含まれるＩＰアドレスおよび内部ＩＰアドレスを用いて前記ＩＰアドレス対応関係記憶手段を参照し、当該ＩＰアドレスおよび内部ＩＰアドレスの対応関係が、転送を許可する対応関係を示すものとして記憶されている場合に、当該パケットの転送を許可する転送許可手段と、を備えたことを特徴とする。

また、請求項７に係る発明は、請求項１〜６のいずれか一つに記載のネットワーク接続制御システムを、ネットワーク接続制御装置としてのコンピュータおよび転送装置としてのコンピュータに実現させる。

また、請求項８に係る発明は、請求項１〜６のいずれか一つに記載のネットワーク接続制御システムをコンピュータに実現させる。

請求項１、７または８の発明によれば、ネットワーク接続制御装置は、利用者が属するグループを示すグループ情報と、当該グループに属する利用者が利用する利用者装置に割り当てられるＩＰアドレスが満足すべき条件との対応関係に基づいて、利用者装置にＩＰアドレスを割り当て、転送装置は、他のネットワーク宛のパケットを利用者装置から受信すると、当該パケットの送信元を示すＩＰアドレスが満足する条件と転送ポリシーとの対応関係に基づいて、当該パケットに対する転送制御を行うので、転送ポリシーの数は、利用者ごとではなく、グループごとになる結果、パケットフィルタに登録する転送ポリシーの数を抑えた上で、悪意ユーザによる不正トラヒックへの対処を適切に実現することが可能になる。

また、請求項２の発明によれば、ＩＰアドレスが満足すべき条件として、ＩＰアドレスを構成するビット列の内の中間部に位置するビット列の値を設定するので、パケットフィルタに登録する転送ポリシーの数を少なくすることが可能になる。すなわち、広域なＩＰｖ６網では、経路集約を目的としてＩＰｖ６アドレスの上位ビットをネットワーク上の位置によって決定することが多いので、一つのグループでも位置ごとに複数の上位ビットを持つことになる。このような場合でも、グループ情報と中間部に位置するビット列の値との対応関係を一意に定めておき、中間部のビット列と転送ポリシーとの対応関係をパケットフィルタに登録するようにすれば、パケットフィルタに登録する転送ポリシーの数を少なくすることが可能になる。

また、請求項３の発明によれば、ネットワーク接続制御装置は、アクセス回線を識別する回線情報に基づいてグループ情報を識別するので、利用者装置は、ネットワーク接続制御装置にグループ情報を識別させるための特別な情報を送信する必要がなく、利用者装置に特別な機能を備えさせる必要もない。

また、請求項４の発明によれば、ネットワーク接続制御装置は、利用者装置から送信された認証情報に基づいてグループ情報を識別するので、回線情報とグループ情報との対応関係といったユーザ管理情報をアクセスＩＰ網側で保持する必要がなくなる。この結果、ユーザがグループへ加入する契約をするたびにアクセスＩＰ網事業者側でユーザ管理情報を更新することも不要となる。

また、請求項５の発明によれば、転送ポリシーとして、次段の転送装置を設定することもできるので、アクセス回線を収容する転送装置には、単純な転送のみを実行させ、次段の転送装置（あるいは、次段の転送装置によって転送された転送装置）に、アドレス条件に基づく転送制御を実行させることが可能になる。

例えば、アドレス条件として、ＩＰアドレスの中間部の値を設定する手法を採用した場合、転送装置は、アドレス条件に基づく転送制御として、ＩＰアドレスの中間部に基づくフィルタリング機能を有する必要がある。しかしながら、汎用的なルータにはそのような機能が具備されていない。このため、転送装置（ＥＲ：Edge Router）は、汎用的なルータとし、このような機能を具備する転送装置（ＰＲ：Policy Router）を別途設置する。そして、利用者装置から受信したパケットは、一旦転送装置（ＰＲ）を経由するように、他のルートテーブルを設定する。

また、請求項６の発明によれば、トンネル通信装置は、アクセスＩＰ網によって割り当てられたＩＰアドレスと、内部ＩＰアドレス（ＡＳＰ事業者やＩＳＰ事業者など、他のネットワークを運営する事業者や企業によって割り当てられるＩＰアドレス、例えば、グローバルＩＰｖ４アドレスなど）との対応関係を記憶し、当該対応関係に基づいてパケットの転送を許可するので、内部ＩＰアドレスの詐称を防止することが可能になる。

以下に添付図面を参照して、本発明に係るネットワーク接続制御システム、ネットワーク接続制御プログラムおよびネットワーク接続制御方法の実施例を詳細に説明する。なお、実施例を説明する前に、まず、本発明の基本概念を説明する。

［基本概念］
図１〜図３を用いて、本発明の基本概念を説明する。図１は、基本概念レベルの構成を示すブロック図であり、図２は、アドレス条件テーブルおよびポリシーテーブルを説明するための図であり、図３は、基本概念レベルの処理の手順を示すシーケンス図である。なお、以下に説明する基本概念は、本発明に係るネットワーク接続制御システムを、説明のし易さの観点から簡略化ないし一部特定して述べるものに過ぎず、本発明に係るネットワーク接続制御システムが、以下に説明する基本概念レベルの構成や処理の手順に限定されるものではない。

ネットワーク接続制御システムは、図１に示すように、ＨＧＷ（特許請求の範囲に記載の「利用者装置」に対応する）が接続するアクセス回線を集約するとともに、当該ＨＧＷから送信されたパケットをＩＰレイヤで転送するアクセスＩＰ網において実現される。なお、アクセスＩＰ網は、図１の点線に示すように、アクセスＩＰ網事業者によって運営される。

また、ネットワーク接続制御システムにおいて、ＮＷ接続制御装置（特許請求の範囲に記載の「ネットワーク接続制御装置」に対応する）が、ＨＧＷに対してＩＰアドレスを割り当て、転送装置が、ＨＧＷから送信されたパケットを、アクセスＩＰ網に接続する他のネットワークに転送する。なお、図１において、他のネットワークとは、例えば、アクセスＩＰ網とＧＷ（GateWay）２で接続する『ＸＹＺ』（ＡＳＰ事業者を示すグループ情報）のサービス設備や、アクセスＩＰ網とＧＷ３で接続する『ＡＢＣ』（ＩＳＰ事業者を示すグループ情報）のサービス設備のことである。

また、ＮＷ接続制御装置は、図１に示すように、アドレス条件テーブル（特許請求の範囲に記載の「アドレス条件記憶手段」に対応する）と、グループ識別部（特許請求の範囲に記載の「グループ識別手段」に対応する）と、アドレス割当部（特許請求の範囲に記載の「ＩＰアドレス割当手段」に対応する）とを含んで構成される。

アドレス条件テーブルは、例えば、図２の（Ａ）に示すような情報を記憶する。具体的には、アドレス条件テーブルは、ＨＧＷを利用するユーザが属するグループを示すグループ情報と、当該ＨＧＷに割り当てられるＩＰアドレスが満足すべきアドレス条件（特許請求の範囲に記載の「条件」に対応する）との対応関係を記憶する。ここで、アクセスＩＰ網は、ユーザとＩＳＰ事業者とのネットワーク接続や、ユーザとＡＳＰ事業者とのネットワーク接続のみならず、企業のグループ通信にも利用される。このため、以下では、ＩＳＰ会員の集合、ＡＳＰ会員の集合、ＣＵＧ（Closed Users Group）通信の拠点の集合を総称して、「グループ」と呼ぶ。

例えば、ユーザがあるＩＳＰ事業者と契約しているとき、これを、当該ユーザが当該ＩＳＰのグループに属しているとみなす。図２の（Ａ）において、アドレス条件テーブルは、グループ情報『ＡＢＣ』とアドレス条件『アドレス条件２』との対応関係を記憶している。これは、ＩＳＰ事業者『ＡＢＣ』と契約しているユーザが、当該『ＡＢＣ』のグループに属しているとみなされ、当該『ＡＢＣ』に属するユーザが利用するＨＧＷに割り当てられるＩＰアドレスが、アドレス条件２を満足しなければならないことを意味している。

また、転送装置は、図１に示すように、ポリシーテーブル（特許請求の範囲に記載の「転送ポリシー記憶手段」に対応する）と、転送部（特許請求の範囲に記載の「転送手段」に対応する）とを含んで構成される。なお、基本概念レベルにおいて、転送装置は、アクセスＩＰ網に設置されるＥＲ（Edge Router）が実現する。

ポリシーテーブルは、例えば、図２の（Ｂ）に示すような情報を記憶する。具体的には、ポリシーテーブルは、ＨＧＷに割り当てられるＩＰアドレスが満足すべきアドレス条件と、当該条件を満足するＩＰアドレスを用いてＨＧＷから送信されたパケットを転送する際の転送ポリシーとの対応関係を記憶する。

図２の（Ｂ）において、ポリシーテーブルは、アドレス条件『アドレス条件２』と転送ポリシー『ポリシー２』との対応関係を記憶している。これは、『アドレス条件２』を満足するＩＰアドレスを用いて送信されたパケットは、転送ポリシー『ポリシー２』に基づいて転送制御（転送、廃棄など）されることを意味している。例えば、『ポリシー２』には、「『ＸＹＺ』のサービス設備との間の対向通信は許可する」といった転送ポリシーが設定される。

このような構成の下、ネットワーク接続制御システムは、基本概念レベルにおいて、図３に示す処理の手順で、ＨＧＷから送信されたパケットを、転送制御する。具体的に説明すると、まず、ＩＰアドレスを割り当てられる前のＨＧＷが、ネットワークに接続することを要求するＮＷ接続要求を送信する（ステップＳ１０１）。このＮＷ接続要求は、より具体的には、ＩＰアドレスを割り当てることを要求する割当要求であり、ブロードキャストアドレス宛に送信される。そして、ＮＷ接続要求は、転送装置（ＥＲ）を経由してＮＷ接続制御装置に転送される。

すると、ＮＷ接続制御装置は、ＨＧＷを利用するユーザが属するグループを示すグループ情報を識別する（ステップＳ１０２）。例えば、ＮＷ接続制御装置は、グループ情報が『ＸＹＺ』であると識別する。ここで、グループ情報を識別する手法としては、アクセス回線を識別する回線情報に基づいて識別する手法や、ユーザを認証する際に用いられる認証情報に基づいて識別する手法などが考えられるが、これらの手法については、以下、実施例を説明する際に詳述することとする。

続いて、ＮＷ接続制御装置は、ステップＳ１０２において識別したグループ情報を用いてアドレス条件テーブルを参照し、当該グループ情報に対応づけて記憶されているアドレス条件を取得して、当該アドレス条件に基づいてＨＧＷに割り当てるＩＰアドレスを決定する（ステップＳ１０３）。例えば、ＮＷ接続制御装置は、グループ情報『ＸＹＺ』を用いてアドレス条件テーブルを参照し、当該グループ情報『ＸＹＺ』に対応づけて記憶されているアドレス条件『アドレス条件２』を取得して、当該アドレス条件『アドレス条件２』に基づいてＨＧＷに割り当てるＩＰアドレスを決定する。

そして、ＮＷ接続制御装置は、決定したＩＰアドレスを、ステップＳ１０１において受信した接続要求に対するＮＷ接続応答として送信することで、ＨＧＷに送信する（ステップＳ１０４）。こうして、グループ情報『ＸＹＺ』が示すグループに属するユーザが利用するＨＧＷには、アドレス条件『アドレス条件２』を満足するＩＰアドレスが割り当てられたことになる。

次に、ＨＧＷは、他のネットワーク宛のパケットを送信する（ステップＳ１０５）。例えば、ＨＧＷは、ＡＳＰ事業者『ＸＹＺ』のサービス設備宛のパケットを送信する。

すると、転送装置（ＥＲ）の転送部は、他のネットワーク宛のパケットをＨＧＷから受信すると、当該パケットの送信元を示すＩＰアドレスを用いてポリシーテーブルを参照し、当該ＩＰアドレスが満足するアドレス条件に対応づけて記憶されている転送ポリシーを取得して、当該転送ポリシーに基づいて、当該パケットに対する転送制御を行う（ステップＳ１０６およびＳ１０７）。

例えば、転送装置（ＥＲ）の転送部は、ＡＳＰ事業者『ＸＹＺ』のサービス設備宛のパケットをＨＧＷから受信すると、当該パケットの送信元を示すＩＰアドレスを用いてポリシーテーブルを参照する。そして、転送部は、当該ＩＰアドレスが満足するアドレス条件『アドレス条件２』に対応づけて記憶されている転送ポリシー『ポリシー２』を取得して、当該転送ポリシー『ポリシー２』に基づいて、当該パケットに対する転送制御を行う。『ポリシー２』が、「『ＸＹＺ』のサービス設備との間の対向通信は許可する」といった転送ポリシーである場合には、転送装置（ＥＲ）の転送部は、『ＸＹＺ』のサービス設備宛のパケットを、『ＸＹＺ』のサービス設備に向けて転送する。

このように、ＮＷ接続制御装置は、ユーザが属するグループを示すグループ情報と、当該グループに属するユーザが利用するＨＧＷに割り当てられるＩＰアドレスが満足すべき条件との対応関係に基づいて、ＨＧＷにＩＰアドレスを割り当て、転送装置は、他のネットワーク宛のパケットをＨＧＷから受信すると、当該パケットの送信元を示すＩＰアドレスが満足する条件と転送ポリシーとの対応関係に基づいて、当該パケットに対する転送制御を行うので、転送ポリシーの数は、ユーザごとではなく、グループごとになる結果、パケットフィルタに登録する転送ポリシーの数を抑え、悪意ユーザによる不正トラヒックへの対処を適切に実現することが可能になる。

言い換えると、図２をみるとわかるように、ネットワーク接続制御システムにおいて、ＮＷ接続制御装置が記憶するアドレス条件テーブルと、転送装置が記憶するポリシーテーブルとは、いずれもアドレス条件との対応関係を記憶するものであり、アドレス条件を介して、グループ情報と転送ポリシーとが紐付けされている。すなわち、ネットワーク接続制御システムは、ＩＰアドレスの割当要求を送信してきたＨＧＷに対して、単にＩＰアドレスを割り当てるのではなく、当該ＨＧＷを利用するユーザが属するグループを識別した上で、当該グループのアドレス条件として所定の条件を満足するＩＰアドレスを割り当てるのである。所定の条件を満足するＩＰアドレスは、通常のＩＰアドレスと変わりなく機能する一方で、所定の条件を満足しているという意味で、付加的な情報を保持することとなる。それが、ＮＷ接続制御装置にとっては、グループ情報を特定する情報となっており、転送装置にとっては、転送ポリシーを特定する情報となっている。

以上が、本発明の基本概念である。なお、上記では説明を割愛したが、例えば、グループ情報識別の手法や、アドレス条件の手法、あるいは転送装置配備の手法などには、各種バリエーションが考えられる。以下、各実施例を順に説明していくが、簡単に説明しておくと、実施例１は、グループ情報識別の手法として、アクセス回線の回線情報に基づく手法を採用し、アドレス条件の手法として、ＩＰアドレスの中間部の値を定める手法を採用し、転送装置配備の手法として、ＥＲに配備する手法を採用する。また、実施例２は、グループ情報識別の手法として、認証情報に基づく手法を採用し、アドレス条件の手法として、ＩＰアドレスの中間部の値を定める手法を採用し、転送装置配備の手法として、ＥＲおよびＰＲ（Policy Router）に配備する手法を採用する。また、実施例３は、グループ情報識別の手法として、アクセス回線の回線情報に基づく手法を採用し、アドレス条件の手法として、ＩＰアドレスの中間部の値を定める手法を採用し、転送装置配備の手法として、ＥＲ、ＣＲ（Core Router）およびＰＲに配備する手法を採用する。

さらに、実施例２は、グループとして、ＩＳＰ会員の集合を想定し、ＩＳＰ事業者のネットワークにトンネル通信装置が設置され、ＨＧＷが当該トンネル通信装置との間でトンネル通信を行うことを想定するものである。また、実施例３は、グループとして、ＣＵＧ通信の拠点の集合を想定し、小さいグループが多数ある状況を想定するものである。

次に、図４〜図７を用いて、実施例１に係るネットワーク接続制御システムを説明する。図４は、実施例１に係るネットワーク接続制御システムの構成を示すブロック図であり、図５は、各種テーブルを説明するための図であり、図６は、ＩＰｖ６アドレスの割り当て設計例を説明するための図であり、図７は、実施例１に係るネットワーク接続制御システムによる処理の手順を示すシーケンス図である。

［実施例１に係るネットワーク接続制御システムの構成］
実施例１に係るネットワーク接続制御システムは、図４に示すように、ＨＧＷ３００が接続するアクセス回線を集約するとともに、当該ＨＧＷ３００から送信されたパケットをＩＰレイヤで転送するアクセスＩＰ網において実現される。また、実施例１に係るネットワーク接続制御システムは、本発明に密接に関連するものとして、ＮＷ接続制御装置１００と、転送装置（ＥＲ）２００とを備える。各装置は、いずれもＩＰインタフェースを備え、プログラムを動作させることが可能なサーバもしくはルータであり、以下に説明する各機能は、ソフトウェアプログラムにより実現可能である。

［ＨＧＷ３００］
まず、ＨＧＷ３００について簡単に説明しておくと、ＨＧＷ３００は、一般的なブロードバンドルータであり、ＷＡＮ（Wide Area Network）側およびＬＡＮ側に二つのポートを備え、ポート間のパケット転送を提供するものである。また、ＨＧＷ３００は、ＬＡＮ側のポートに接続された機器に対しては、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ機能を提供し、ＷＡＮ側から割り当てられたＩＰｖ６アドレス空間の中から、ＩＰｖ６アドレスを付与する。なお、ＬＡＮ側のポートに接続された機器に対するＩＰｖ６アドレスの付与は、ＲＡ（Router Advertisement）機能によってもよい。

また、ＨＧＷ３００は、本発明に密接に関連するものとして、ＤＨＣＰクライアント部３２１を備える。ＤＨＣＰクライアント部３２１は、割当要求（ＩＰアドレスを割り当てることを要求する割当要求）を、ブロードキャスト宛に送信する。また、ＤＨＣＰクライアント部３２１は、ＮＷ接続制御装置１００から送信されたＩＰアドレスを受信すると、当該ＩＰアドレスを用いて、ＡＳＰ事業者『ＸＹＺ』のサービス設備宛のパケットを送信する。

［ＮＷ接続制御装置１００］
ＮＷ接続制御装置１００は、Ｌｉｎｕｘなどの汎用サーバであり、ＩＰｖ６通信機能を備えている。また、ＮＷ接続制御装置１００は、図４に示すように、本発明に密接に関連するものとして、グループテーブル１１１と、アドレス条件テーブル１１２と、グループ識別部１２１と、アドレス割当部１２２とを備える。

グループテーブル１１１は、アクセス回線を識別する回線ＩＤと、グループを示すグループ情報との対応関係を記憶する。すなわち、グループテーブル１１１は、回線ＩＤによって識別されるアクセス回線に接続するＨＧＷ３００を利用するユーザと、当該ユーザが属するグループとの対応関係を、アクセスＩＰ網事業者などによって設定されることで、記憶する。グループテーブル１１１は、ＲＤＢＭＳ（Relational DataBase Management System）機能を備え、他のプログラムからの参照・登録が可能となっている。

例えば、グループテーブル１１１は、図５の（Ａ）に示すような情報を記憶する。例えば、回線ＩＤ『123456-012』によって識別されるアクセス回線に接続するＨＧＷ３００を利用するユーザは、グループ情報『ＸＹＺ』によって示されるグループに属することを示す。また、例えば、回線ＩＤ『345612-023』によって識別されるアクセス回線に接続するＨＧＷ３００を利用するユーザは、グループ情報『ＸＹＺ』によって示されるグループに属すると同時に、グループ情報『ＡＢＣ』によって示されるグループにも属することを示す。

アドレス条件テーブル１１２は、グループを示すグループ情報と、ＩＰアドレスが満足すべき条件との対応関係を記憶する。すなわち、アドレス条件テーブル１１２は、グループ情報によって示されるグループと、当該グループに属するユーザが利用するＨＧＷ３００に割り当てられるＩＰアドレスが満足すべき条件との対応関係を、アクセスＩＰ網事業者などによって設定されることで、記憶する。アドレス条件テーブル１１２は、ＲＤＢＭＳ機能を備え、他のプログラムからの参照・登録が可能となっている。

例えば、アドレス条件テーブル１１２は、図５の（Ｂ）に示すような情報を記憶する。例えば、グループ情報『ＸＹＺ』によって示されるグループに属するユーザが利用するＨＧＷ３００に割り当てられるＩＰアドレスは、『Ｐ＝0x0088』の条件を満足すべきことを示す。ここで、図６を用いて、ＩＰｖ６の場合におけるＩＰアドレスの割当設計例を説明する。

図６に示すように、ＩＰｖ６は、１２８ビットで構成される。また、ＩＰｖ６アドレスは、例えば、上位から順に、２０ビット、２０ビット、８ビット、１６ビット、６４ビットのように区分けされ、区分けされたビット列が、所定の情報を示す役割を果たす。図６の例では、『Ｃ（Carrier）』と表示された区分けの２０ビットが、通信キャリアを識別するビットとしての役割を果たす（ＩＰアドレス管理機関によって割り当てられる）。また、『Ｎ（Node）』と表示された区分けの２０ビットが、通信キャリア内の収容ノード（ルータ）を識別するビットとしての役割を果たす。また、『ＬＬ（Logical Line）』と表示された区分けの８ビットが、収容ノード内でアクセス回線（論理回線）を識別するビットとしての役割を果たす。また、『Ｐ（Policy）』と表示された区分けの１６ビットが、転送ポリシーを識別するビットとしての役割を果たす。また、『ＩＦ（Interface）』と表示された区分けの６４ビットが、ユーザの個別機器を識別するビットとしての役割を果たす（ユーザが独自に付与する）。

すなわち、例えば、アドレス条件『Ｐ＝0x0088』とは、ＩＰｖ６アドレスの１２８ビットの内、『Ｐ（Policy）』と表示された区分けの１６ビットが、『００８８（１６進数表記）』の値となるように設定すべきことを定めるものである。

グループ識別部１２１は、グループ情報を識別する。具体的には、グループ識別部１２１は、ＨＧＷ３００から割当要求をアドレス割当部１２２を介して受け付けると、当該割当要求に付加された回線ＩＤ（アクセス回線を識別する回線情報、転送装置（ＥＲ）２００によって付加されたもの）を用いてグループテーブル１１１を参照し、当該回線ＩＤに対応づけて記憶されているグループ情報を取得することで、当該ＨＧＷ３００を利用するユーザが属するグループを示すグループ情報を識別する。続いて、グループ識別部１２１は、当該ユーザの当該グループにおけるメンバシップの有効性を、ＡＳＰ事業者の認証サーバ４００に対して回線ＩＤを送信し、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）で確認する。そして、グループ識別部１２１は、識別したグループ情報を、アドレス割当部１２２に伝達する。

例えば、グループ識別部１２１は、割当要求に付加された回線ＩＤ『123456-012』を用いてグループテーブル１１１を参照し、当該回線ＩＤ『123456-012』に対応づけて記憶されているグループ情報『ＸＹＺ』を取得することで、ＨＧＷ３００を利用するユーザが属するグループを示すグループ情報を、『ＸＹＺ』であると識別する。

アドレス割当部１２２は、ＤＨＣＰによってＩＰアドレスを割り当てる。具体的には、アドレス割当部１２２は、ＨＧＷ３００から割当要求を受信すると、当該割当要求をグループ識別部１２１に伝達する。また、アドレス割当部１２２は、グループ識別部１２１からグループ情報を伝達されると、当該グループ情報を用いてアドレス条件テーブル１１２を参照し、当該グループ情報に対応づけて記憶されているアドレス条件を取得する。続いて、アドレス割当部１２２は、当該アドレス条件に基づいてＨＧＷ３００に割り当てるＩＰアドレスを決定し、当該ＩＰアドレスを当該ＨＧＷ３００に送信する。

例えば、アドレス割当部１２２は、グループ情報『ＸＹＺ』を用いてアドレス条件テーブル１１２を参照し、当該グループ情報『ＸＹＺ』に対応づけて記憶されているアドレス条件『P=0x0088』を取得する。続いて、アドレス割当部１２２は、当該アドレス条件『P=0x0088』に基づいて、ＨＧＷ３００に割り当てるＩＰアドレスを決定する。すなわち、アドレス割当部１２２は、ＩＰアドレスの１２８ビットの内、『Ｐ（Policy）』と表示された区分けの１６ビットが、『００８８（１６進数表記）』の値となるように設定し、その他のビットについても適宜設定する。そして、アドレス割当部１２２は、決定したＩＰアドレスを当該ＨＧＷ３００に送信する。

［転送装置（ＥＲ）２００］
転送装置（ＥＲ）２００は、ＩＰｖ６対応のルータであり、図４に示すように、本発明に密接に関連するものとして、ポリシーテーブル２１１と、ＤＨＣＰリレー部２２１と、転送部２２２とを備える。

ポリシーテーブル２１１は、ＩＰアドレスが満足すべきアドレス条件と、転送ポリシーとの対応関係を記憶する。すなわち、ポリシーテーブル２１１は、当該アドレス条件を満足するＩＰアドレスを用いてＨＧＷ３００から送信されたパケットを転送する際の転送ポリシー（転送、廃棄など）を、アクセスＩＰ網事業者などによって設定されることで、記憶する。ポリシーテーブル２１１は、ハードディスク上に記憶されているファイルであり、転送装置（ＥＲ）２００起動時や、当該ファイル更新時に、転送部２２２が、当該ファイルの内容をメモリにロードする。

例えば、ポリシーテーブル２１１は、図５の（Ｃ）に示すような情報を記憶する。例えば、アドレス条件『P=0x0088』を満足するＩＰアドレスを用いて送信されたパケットは、アドレス空間『Ｓ１』とアドレス空間『Ｓ２』との対向通信であれば、転送が許可されることを示す。

ＤＨＣＰリレー部２２１は、ＨＧＷ３００から送信された割当要求（ＤＨＣＰによる割当要求）を受信し、当該割当要求をＮＷ接続制御装置１００に転送する。また、ＤＨＣＰリレー部２２１は、割当要求をＮＷ接続制御装置１００に転送する際に、当該割当要求が送信されたアクセス回線を識別する回線ＩＤを当該割当要求に付加して転送する。

転送部２２２は、ＨＧＷ３００から送信されたパケットに対する転送制御を行う。具体的には、転送部２２２は、標準的なＩＰｖ６のフォワーディング機能に加え、以下の転送制御を行う。すなわち、転送部２２２は、他のネットワーク宛のパケットをＨＧＷ３００から受信すると、当該パケットの送信元を示すＩＰアドレスを用いてポリシーテーブル２１１を参照し、当該ＩＰアドレスが満足するアドレス条件に対応づけて記憶されている転送ポリシーを取得し、当該転送ポリシーに基づいて当該パケットに対する転送制御を行う。なお、転送部２２２は、各アクセス回線からのパケットについて、送信元を示すＩＰアドレスが当該回線に割り当てられていないＩＰアドレスである場合には、廃棄する。

例えば、転送部２２２は、アドレス空間Ｓ２宛てのパケットをＨＧＷ３００から受信すると、当該パケットの送信元を示すＩＰアドレスを用いてポリシーテーブル２１１を参照する。当該ＩＰアドレスの１２８ビットの内、『Ｐ（Policy）』と表示された区分けの１６ビットが、『００８８（１６進数表記）』の値であった場合、転送部２２２は、アドレス条件『P=0088』に対応づけて記憶されている転送ポリシー『S1、S2対向通信許可』を取得し、当該転送ポリシーに基づいて、当該パケットの転送を許可する。

［その他］
ＡＳＰ事業者のサービス設備についても簡単に説明しておくと、例えば、当該サービス設備は、認証サーバ４００と、ユーザテーブル４１０と、ＡＰサーバ４５０と、ＧＷ２とを備える。認証サーバ４００は、Ｌｉｎｕｘなどの汎用サーバ上にプログラムを起動させたものである。具体的には、認証サーバ４００は、ＲＡＤＩＵＳに基づいて、ＮＷ接続制御装置１００のグループ識別部１２１から送信された有効性確認（回線ＩＤ）を受信し、当該回線ＩＤを用いてユーザテーブル４１０を参照し、当該回線ＩＤに対応づけてユーザＩＤが記憶されているか否かを確認することで、メンバシップの有効性確認を行う。そして、認証サーバ４００は、有効性確認の応答を、ＮＷ接続制御装置１００のグループ識別部１２１に送信する。

ユーザテーブル４１０は、ユーザを示すユーザＩＤと、アクセス回線を識別する回線ＩＤとの対応関係を記憶する。すなわち、ユーザテーブル４１０は、例えば、図５の（Ｄ）に示すように、ユーザＩＤと回線ＩＤとの対応関係を記憶することで、回線ＩＤ『123456-012』に接続するＨＧＷ３００のユーザについて、当該ユーザのメンバシップが有効であることを記憶する。ユーザテーブル４１０は、ＲＤＢＭＳ機能を備え、他のプログラムからの参照・登録が可能となっている。

ＡＰサーバ４５０は、Ｌｉｎｕｘなどの汎用サーバ上にプログラムを起動させたものであり、アプリケーションサービスを提供する。ＧＷ２は、パケットフィルタリング機能を備えるＩＰｖ６対応のルータである。ユーザ宅から送信されたパケットについて、当該パケットの送信元を示すＩＰアドレスを用いてパケットに対する転送制御を行う。Ｒは、ＩＰｖ６対応の汎用的なルータである。

［実施例１に係るネットワーク接続制御システムによる処理の手順］
次に、図７を用いて、実施例１に係るネットワーク接続制御システムによる処理の手順を説明する。

ここで、転送装置（ＥＲ）２００は、パケットフィルタの初期設定として、アクセス回線（以下、物理回線とは異なるという意味で、論理回線と呼ぶ）を介して受信したパケットであって、ＩＰアドレスが付与されていないＤＨＣＰ以外のパケットについては、廃棄するように設定しているものとする。

このような設定の下、まず、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）は、割当要求（ＩＰアドレスを割り当てることを要求する割当要求）を、ブロードキャストアドレス宛に送信する（ステップＳ２０１）。例えば、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）は、『ＤＨＣＰ ＤＩＳＣＯＶＥＲ』を送信する。

次に、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）が、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）によって送信された割当要求を受信し、当該割当要求を、ＮＷ接続制御装置１００（グループ識別部１２１）に転送する（ステップＳ２０１）。例えば、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）は、『ＤＨＣＰ ＤＩＳＣＯＶＥＲ』を受信すると、当該『ＤＨＣＰ ＤＩＳＣＯＶＥＲ』が送信された論理回線を特定し、『ＤＨＣＰ ＤＩＳＣＯＶＥＲ』に当該論理回線を識別する回線ＩＤを付与した上で、ＮＷ接続制御装置１００（グループ識別部１２１）にＤＨＣＰリレーする。回線ＩＤは、例えば、当該転送装置（ＥＲ）２００を識別するノードＩＤ『123456』と当該転送装置（ＥＲ）２００内の論理回線ＩＤ『012』とで構成される。

すると、ＮＷ接続制御装置１００（グループ識別部１２１）は、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）によって送信された割当要求を受信すると、当該割当要求に付与された回線ＩＤを用いてグループテーブル１１１を参照し、当該回線ＩＤに対応づけて記憶されているグループ情報を取得する（ステップＳ２０２）。例えば、ＮＷ接続制御装置１００（グループ識別部１２１）は、割当要求に付与された回線ＩＤ『123456-012』を用いてグループテーブル１１１を参照し、当該回線ＩＤ『123456-012』に対応づけて記憶されているグループ情報『ＸＹＺ』を取得する（図５の（Ａ）を参照）。

続いて、ＮＷ接続制御装置１００（グループ識別部１２１）は、ＨＧＷ３００を利用するユーザの当該グループにおけるメンバシップの有効性を確認する有効性確認を、ＡＳＰ事業者の認証サーバ４００に送信する（ステップＳ２０３）。例えば、ＮＷ接続制御装置１００（グループ識別部１２１）は、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＲＥＱＵＥＳＴ』を送信し、この時、ＡＶＰ（Attribute Value Pairs）の一つとして回線ＩＤ『123456-012』を含める。

すると、認証サーバ４００は、有効性確認を受信すると、当該有効性確認に含まれる回線ＩＤを用いてユーザテーブル４１０を参照し、当該回線ＩＤに対応づけて記憶されているユーザが存在するか否かを確認する（ステップＳ２０４）。例えば、認証サーバ４００は、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＲＥＱＵＥＳＴ』に含まれる回線ＩＤ『123456-012』を用いてユーザテーブル４１０を参照し、当該回線ＩＤ『123456-012』に対応づけて記憶されているユーザＩＤ『c1098554』を確認することで、当該ユーザのメンバシップの有効性を確認する。

そして、認証サーバ４００は、有効性確認の応答をＮＷ接続制御装置１００（グループ識別部１２１）に送信する（ステップＳ２０５）。例えば、認証サーバ４００は、ユーザのメンバシップが有効であることが確認されれば、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＡＣＣＥＰＴ』を送信する。一方、ユーザのメンバシップが有効であることを確認できなければ、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＲＥＪＥＣＴ』を送信する。実施例１においては、ユーザのメンバシップが有効であることが確認されたと想定するので、認証サーバ４００は、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＡＣＣＥＰＴ』を送信する。

すると、ＮＷ接続制御装置１００（アドレス割当部１２２）は、グループ識別部１２１からグループ情報を伝達されるので、当該グループ情報を用いてアドレス条件テーブル１１２を参照し、当該グループ情報に対応づけて記憶されているアドレス条件を取得する。そして、アドレス割当部１２２は、当該アドレス条件に基づいてＨＧＷ３００に割り当てるＩＰアドレスを決定する（ステップＳ２０６）。

例えば、ＮＷ接続制御装置１００（アドレス割当部１２２）は、グループ情報『ＸＹＺ』を用いてアドレス条件テーブル１１２を参照し、『P=0x0088』を取得する。そして、アドレス割当部１２２は、ＩＰｖ６アドレスの設計（図６を参照）に従って、ＩＰアドレスを決定する。まず、ＩＰアドレスの１２８ビットの内、『Ｃ』と表示された区分けの２０ビットについては、ＩＰアドレス管理機関よりアクセスＩＰ網事業者に対して割り当てられた値を設定する。また、『Ｎ』と表示された区分けの２０ビットについては、ステップＳ２０１において送信された『ＤＨＣＰ ＤＩＳＣＯＶＥＲ』に付与されているノードＩＤ『123456』に対応づけてＮＷ接続制御装置１００が定めている値を設定する。また、『ＬＬ』と表示された区分けの８ビットについては、同じく『ＤＨＣＰ ＤＩＳＣＯＶＥＲ』に付与されている論理回線ＩＤ『012』に対応づけてＮＷ接続制御装置１００が定めている値を設定する。なお、ＮＷ接続制御装置１００は、ノードＩＤと論理回線ＩＤとに対応づけて定めている値を、設定情報として予め記憶していてもよいし、論理回線ＩＤに対応づける値については、動的に割り当ててもよい。また、『Ｐ』と表示された区分けの１６ビットについては、取得したアドレス条件『P=0x0088』に基づいて、『００８８（１６進数表記）』の値となるように設定する。なお、以下では、このように設定されたＩＰアドレスを『Ｅ．ｅ１』と表現する。

そして、ＮＷ接続制御装置１００（アドレス割当部１２２）は、決定したＩＰアドレスをＨＧＷ３００に送信する（ステップＳ２０７）。例えば、ＮＷ接続制御装置１００（アドレス割当部１２２）は、『ＤＨＣＰ ＯＦＦＥＲ』に決定したＩＰアドレス『Ｅ．ｅ１』を付与し、当該ＩＰアドレス『Ｅ．ｅ１』をオファー値として送信する。すると、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）が、ステップＳ２０１で受信した割当要求に対する応答として、当該ＩＰアドレスをＨＧＷ３００（ＤＨＣＰクライアント部３２１）に転送する。

一方、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）は、ステップＳ２０７において通知されたＩＰアドレスの割当要求を送信すると、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）が、当該割当要求をＮＷ接続制御装置１００（アドレス割当部１２２）に転送する（ステップＳ２０８）。例えば、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）は、『ＤＨＣＰ ＲＥＱＵＥＳＴ』を送信し、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）は、当該『ＤＨＣＰ ＲＥＱＵＥＳＴ』をＤＨＣＰリレーする。

続いて、ＮＷ接続制御装置１００（アドレス割当部１２２）が、ステップＳ２０８において送信された割当要求を受信し、当該割当要求に対する正常応答を、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）に送信する（ステップＳ２０９）。例えば、ＮＷ接続制御装置１００（アドレス割当部１２２）は、正常応答『ＤＨＣＰ ＡＣＫ』を送信する。

すると、転送装置（ＥＲ）２００（転送部２２２）は、パケットフィルタの設定を更新し、当該論理回線を介して受信したパケットであって、当該ＩＰアドレスが付与されているパケットについては、転送するように設定する（ステップＳ２１０）。例えば、転送装置（ＥＲ）２００（転送部２２２）は、論理回線ＩＤ『012』を介して受信したパケットであって、ＩＰアドレス『Ｅ．ｅ１』が付与されているパケットについては、転送するように設定する。

続いて、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）は、ＮＷ接続制御装置１００（アドレス割当部１２２）から送信された正常応答を、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）に転送する（ステップＳ２１１）。例えば、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）は、正常応答『ＤＨＣＰ ＡＣＫ』をＤＨＣＰリレーする。

その後、ＨＧＷ３００が、ＡＳＰ事業者のＡＰサーバ４５０宛てのパケットを送信したとする（ステップＳ２１２）。例えば、ＡＰサーバ４５０が、ＷＥＢサーバであれば、ＨＧＷ３００は、ＨＴＴＰ（HyperText Transfer Protocol）コネクションを接続するための要求として、送信先を示すＩＰアドレスが『Ｓ２．Server』であり、送信元を示すＩＰアドレスが『Ｅ．ｅ１』であるパケットを送信したとする。

すると、転送装置（ＥＲ）２００（転送部２２２）は、ＡＳＰ事業者のＡＰサーバ４５０宛てのパケットを受信すると、当該パケットの送信元を示すＩＰアドレスを用いてポリシーテーブル２１１を参照し、当該ＩＰアドレスが満足するアドレス条件に対応づけて記憶されている転送ポリシーを取得して、当該転送ポリシーに基づいて当該パケットに対する転送制御を行う（ステップＳ２１３）。例えば、転送装置（ＥＲ）２００（転送部２２２）は、パケットの送信元を示すＩＰアドレス『Ｅ．ｅ１』を用いてポリシーテーブル２１１を参照し、当該ＩＰアドレス『Ｅ．ｅ１』が満足するアドレス条件『P=0x0088』に対応づけて記憶されている転送ポリシー『Ｓ１、Ｓ２対向通信の許可』を取得して、当該転送ポリシーに基づいて、『Ｓ２．Server』を送信先とする当該パケットの転送を許可する。

そして、転送装置（ＥＲ）２００（転送部２２２）は、当該パケットを転送する（ステップＳ２１４）。例えば、転送装置（ＥＲ）２００（転送部２２２）は、送信先を示すＩＰアドレスが『Ｓ２．Server』であり、送信元を示すＩＰアドレスが『Ｅ．ｅ１』であるパケットを、ＡＰサーバ４５０に転送する。

［実施例１の効果］
上記してきたように、実施例１によれば、ＮＷ接続制御装置は、ユーザが属するグループを示すグループ情報と、当該グループに属するユーザが利用する利用者装置に割り当てられるＩＰアドレスが満足すべきアドレス条件との対応関係に基づいて、利用者装置にＩＰアドレスを割り当て、転送装置は、他のネットワーク宛のパケットを利用者装置から受信すると、当該パケットの送信元を示すＩＰアドレスが満足するアドレス条件と転送ポリシーとの対応関係に基づいて、当該パケットに対する転送制御を行うので、転送ポリシーの数は、ユーザごとではなく、グループごとになる結果、パケットフィルタに登録する転送ポリシーの数を抑えた上で、悪意ユーザによる不正トラヒックへの対処を適切に実現することが可能になる。

また、実施例１によれば、ＩＰアドレスが満足すべきアドレス条件として、ＩＰアドレスを構成するビット列の内の中間部に位置するビット列の値を設定するので、パケットフィルタに登録する転送ポリシーの数を少なくすることが可能になる。すなわち、広域なＩＰｖ６網では、経路集約を目的としてＩＰｖ６アドレスの上位ビットをネットワーク上の位置によって決定することが多いので、一つのグループでも位置ごとに複数の上位ビットを持つことになる。このような場合でも、グループ情報と中間部に位置するビット列の値との対応関係を一意に定めておき、中間部のビット列と転送ポリシーとの対応関係をパケットフィルタに登録するようにすれば、パケットフィルタに登録する転送ポリシーの数を少なくすることが可能になる。

また、実施例１によれば、ＮＷ接続制御装置は、アクセス回線を識別する回線情報に基づいてグループ情報を識別するので、ＨＧＷは、ＮＷ接続制御装置にグループ情報を識別させるための特別な情報を送信する必要がなく、ＨＧＷに特別な機能を備えさせる必要もない。

次に、図８〜図１１を用いて、実施例２に係るネットワーク接続制御システムについて説明する。図８は、実施例２に係るネットワーク接続制御システムの構成を示すブロック図であり、図９は、各種テーブルを説明するための図であり、図１０および図１１は、実施例２に係るネットワーク接続制御システムによる処理の手順を示すシーケンス図である。

なお、実施例２は、まず、グループ識別情報の手法として、認証情報に基づく手法を採用する点、転送装置配備の手法として、ＥＲおよびＰＲに配備する手法を採用する点が、実施例１とは異なる。また、実施例２は、実施例１とは異なり、ＨＧＷが、ＩＳＰ事業者のサービス設備に設置されているトンネル通信装置との間でトンネル通信を行うことを想定している。さらに、実施例２は、ＩＳＰ事業者の認証サーバによって、ユーザのメンバシップが有効であることが確認されなかった場合についても言及している。以下では、実施例１と異なる点を中心に説明する。

［実施例２に係るネットワーク接続制御システムの構成］
実施例２に係るネットワーク接続制御システムは、図８に示すように、まず、転送装置（ＥＲ）２００において、ポリシーテーブル２１１の替わりにルートテーブル２１２を備える。また、転送装置（ＥＲ）２００の上位ルータとしてＣＲ（Core Router）が明示されているが、実施例２に係るネットワーク接続制御システムは、このＣＲの下位に位置するルータとして、転送装置（ＰＲ）２３０を備える。さらに、カスタマサービス用データセンタにおいては、カスタマサービスサーバ６００を備える。

［ＨＧＷ３００］
ＨＧＷ３００のＤＨＣＰクライアント部３２１は、実施例１で説明した機能に加え、当該ＨＧＷ３００を利用するユーザを認証する際に用いられる認証情報を、割当要求に含める機能を有する。例えば、ＤＨＣＰクライアント部３２１は、ユーザが属するグループから払い出されたＩＤおよびパスワードを、ベンダ依存オブションとして『ＤＨＣＰ ＤＩＳＣＯＶＥＲ』に付加する機能を有する。なお、パスワードの値としては、パスワードに回線ＩＤを付与した文字列をハッシュ演算した結果を付加することとしてもよい。例えば、ＩＳＰ事業者の認証サーバ５００が、予めユーザと回線ＩＤとの対応関係を知っている（ユーザ管理テーブルに対応関係を記憶しているなど）場合に、このような手法を採用することが有効である。すなわち、認証サーバ５００は、パスワードに回線ＩＤを付与した文字列をハッシュ演算し、送信されたハッシュ演算結果と比較することで、当該パスワードが送信された回線まで検証することができ、より強固にユーザを認証することができる。

［ＮＷ接続制御装置１００］
ＮＷ接続制御装置１００のグループ識別部１２１は、実施例１と同様、グループ情報を識別するが、認証情報に基づいてグループ情報を識別する点で、実施例１と異なる。具体的には、実施例２におけるグループ識別部１２１は、ＨＧＷ３００から割当要求を受け付けると、当該割当要求に付加されたＩＤおよびパスワードを抽出し、グループ情報を識別する。例えば、グループ識別部１２１は、割当要求に付加されたＩＤおよびパスワードを抽出し、当該ＩＤの＠以降の部分を当該ユーザのグループ情報として識別する。

続いて、グループ識別部１２１は、当該ユーザの当該グループにおけるメンバシップの有効性を確認する有効性確認としてＩＤおよびパスワードを、ＩＳＰ事業者の認証サーバ５００に対して送信し、ＲＡＤＩＵＳで確認する。なお、実施例２においては、処理の手順を説明する際に詳述するように、グループ識別部１２１による有効性確認が行われる前に、アドレス割当部１２２によってＩＰアドレスが決定しており、グループ識別部１２１は、ＩＤおよびパスワードの他に、決定したＩＰアドレスをも認証サーバ５００に対して送信する。

アドレス割当部１２２は、実施例１と同様、割当要求を受信するが、割当要求とともに認証情報を受信する点で、実施例１と異なる。例えば、実施例２におけるアドレス割当部１２２は、ＤＨＣＰのベンダ拡張オプションとして、ＩＤおよびパスワードを受信する機能を有する。また、実施例２におけるアドレス割当部１２２は、グループ識別部１２１による有効性確認が行われる前に、ＩＰアドレスを決定し、有効性確認の結果を受けてから、決定したＩＰアドレスをＨＧＷ３００に送信する。

なお、実施例２におけるアドレス条件テーブル１１２は、実施例１と同様、例えば、図９の（Ａ）に示すような情報を記憶する。

［転送装置（ＥＲ）２００］
転送装置（ＥＲ）２００のルートテーブル２１２は、送信先を示すＩＰアドレス（宛先アドレス）が満足すべき条件と、転送ポリシーとの対応関係を記憶する。また、転送ポリシーとして、次段の転送装置を記憶する。具体的には、ルートテーブル２１２は、次段の転送装置（ＰＲ）２３０を、アクセスＩＰ網事業者などによって設定されることで、記憶する。ルートテーブル２１２は、ハードディスク上に記憶されているファイルであり、転送装置（ＥＲ）２００起動時や、当該ファイル更新時に、転送部２２２が、当該ファイルの内容をメモリにロードする。

例えば、ルートテーブル２１２は、図９の（Ｂ）に示すような情報を記憶する。例えば、転送装置（ＥＲ）２００のＩＮポートが受信したパケットが、当該転送装置（ＥＲ）２００の下流から送信されたパケットである場合であって、他のネットワーク宛のパケットである場合には、転送装置（ＰＲ）２３０を次段として転送するとの転送ポリシーが適用されることを示す。

転送部２２２は、実施例１と同様、ＨＧＷ３００から送信されたパケットに対する転送制御を行うが、ポリシーテーブル２１１を参照して転送制御を行うのではなく、ルートテーブル２１２を参照して転送制御を行う点が、実施例１と異なる。

［転送装置（ＰＲ）２３０］
転送装置（ＰＲ）２３０は、ＩＰｖ６対応のルータであり、図８に示すように、本発明に密接に関連するものとして、ポリシーテーブル２４１と、転送部２５１とを備える。

ポリシーテーブル２４１は、実施例１において転送装置（ＥＲ）２００が備えていたポリシーテーブル２１１と同様のテーブルである。また、転送部２５１は、実施例１において転送装置（ＥＲ）２００が備えていた転送部２２２と同様の機能を有する。例えば、ポリシーテーブル２４１は、実施例１と同様、図９の（Ｃ）に示すような情報を記憶する。

［その他］
ＩＳＰ事業者のサービス設備についても簡単に説明しておくと、例えば、当該サービス設備は、認証サーバ５００と、ユーザテーブル５１０と、トンネル通信ＧＷ５５０とを備える。

認証サーバ５００は、Ｌｉｎｕｘなどの汎用サーバ上にプログラムを起動させたものである。具体的には、認証サーバ５００は、ＲＡＤＩＵＳに基づいて、ＮＷ接続制御装置１００のグループ識別部１２１から送信された有効性確認（ＩＤおよびパスワード）を受信し、当該ＩＤおよびパスワードを用いてユーザテーブル５１０を参照し、当該ＩＤおよびパスワードの対応関係が記憶されているか否かを確認することで、メンバシップの有効性確認を行う。

また、認証サーバ５００は、ＩＳＰ網内において通信を行う際に必要なＩＰアドレスである内部ＩＰアドレスを、ＨＧＷ３００に対して割り当てる。具体的には、認証サーバ５００は、メンバシップの有効性を確認した結果、有効である場合に、内部ＩＰアドレスをＨＧＷ３００に対して割り当て、ＮＷ接続制御装置１００のグループ識別部１２１から有効性確認とともに送信されたＩＰアドレスと対応づけて、トンネル通信ＧＷ５５０に送信する。すなわち、認証サーバ５００は、当該内部ＩＰアドレスと当該ＩＰアドレスとの対応関係をトンネル通信ＧＷ５５０に設定することで、当該内部ＩＰアドレスを含む情報をカプセル化したパケットであって当該ＩＰアドレスを用いて送信されたパケットについては、転送を許可するように設定する。そして、認証サーバ５００は、有効性確認の応答を、ＮＷ接続制御装置１００のグループ識別部１２１に送信する。

ユーザテーブル５１０は、ユーザを示すＩＤと、パスワードとの対応関係を記憶する。すなわち、ユーザテーブル５１０は、図９の（Ｄ）に示すように、ユーザＩＤとパスワードとの対応関係を記憶することで、ユーザＩＤが『c1098554』のユーザのパスワードが『opensesami』であることを記憶する。ユーザテーブル５１０は、ＲＤＢＭＳ機能を備え、他のプログラムからの参照・登録が可能となっている。

トンネル通信ＧＷ５５０は、Ｌｉｎｕｘなどの汎用サーバ上にプログラムを起動させたものであり、ＨＧＷ３００との間でトンネル通信を実現する。具体的には、トンネル通信ＧＷ５５０は、ＮＷ接続制御装置１００によってＨＧＷ３００に対して割り当てられたＩＰアドレスと内部ＩＰアドレスとの対応関係を、認証サーバ５００から送信されることで記憶部に記憶する。また、トンネル通信ＧＷ５５０は、ＨＧＷ３００から送信されたトンネル通信ＧＷ５５０宛のパケットを受信すると、当該パケットに含まれるＩＰアドレスおよび内部ＩＰアドレスを用いて記憶部を参照し、当該対応関係が、転送を許可する対応関係を示すものとして記憶されている場合に、当該パケットの転送を許可する。

カスタマサービスサーバ６００は、Ｌｉｎｕｘなどの汎用サーバ上にプログラムを起動させたものであり、ユーザの登録情報とユーザの認証結果情報とを管理する。具体的には、カスタマサービスサーバ６００は、ＮＷ接続制御装置１００のグループ識別部１２１から送信されたユーザの認証エラー発生情報を受信すると、当該認証エラー発生情報を、当該ユーザの登録情報と対応づけて記憶部に登録する。また、カスタマサービスサーバ６００は、認証エラーが発生したユーザが利用するＨＧＷ３００からのページ要求に応じてページを生成し、当該ページをＨＧＷ３００に送信する。

例えば、カスタマサービスサーバ６００は、ＮＷ接続制御装置１００のグループ識別部１２１から、回線ＩＤ、ＩＰアドレス『Ｅ．ｅ１』、および認証エラー発生情報（理由など）を受信すると、認証エラー発生情報を、当該ユーザの登録情報（回線ＩＤなど）に対応づけて記憶部に登録する。また、カスタマサービスサーバ６００は、ＨＧＷ３００からページ要求として『ＨＴＴＰ ＧＥＴ』要求を受け付けると、当該ページ要求の送信元を示すＩＰアドレス『Ｅ．ｅ１』を用いて記憶部を参照し、当該ＩＰアドレス『Ｅ．ｅ１』に対応づけて記憶されている登録情報を取得し、当該登録情報に応じたページを生成して、ＨＴＴＰ応答する。

［実施例２に係るネットワーク接続制御システムによる処理の手順］
次に、図１０および図１１を用いて、実施例２に係るネットワーク接続制御システムによる処理の手順を説明する。

まず、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）は、実施例１と同様、割当要求をブロードキャストアドレス宛に送信するが、実施例１と異なり、割当要求に認証情報（ＨＧＷ３００を利用するユーザを認証する際に用いられる認証情報）を付加して送信する（ステップＳ３０１）。例えば、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）は、『ＤＨＣＰ ＤＩＳＣＯＶＥＲ』に、認証情報として、ユーザが属するグループから払い出された『ID OPTION＝c1098554@abc』および『Password OPTION＝opensesami』を、ベンダ依存オプションに付加して送信する。なお、パスワードの値としては、パスワードに回線ＩＤを付与した文字列をハッシュ演算した結果を付加することとしてもよい。

次に、実施例１と同様、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）が、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）によって送信された割当要求を受信し、当該割当要求を、ＮＷ接続制御装置１００（グループ識別部１２１）に転送する（ステップＳ３０１）。なお、実施例１と異なり、転送装置（ＥＲ）２００（ＤＨＣＰリレー部２２１）は、当該割当要求に回線ＩＤを付与しない。

すると、ＮＷ接続制御装置１００（グループ識別部１２１）は、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）によって送信された割当要求を受信すると、当該割当要求に付加された認証情報に基づいてグループ情報を識別する（ステップＳ３０２）。例えば、ＮＷ接続制御装置１００（グループ識別部１２１）は、当該割当要求に付加された『ID OPTION＝c1098554@abc』および『Password OPTION＝opensesami』を抽出し、当該ＩＤオプションの＠以降の部分『abc』を当該ユーザのグループ情報として取得する。

続いて、実施例１と異なり、実施例２におけるＮＷ接続制御装置１００（アドレス割当部１２２）は、グループ識別部１２１による有効性確認が行われる前に、ＩＰアドレスを決定する（ステップＳ３０３）。なお、アドレス割当部１２２によるＩＰアドレスの決定手法は、実施例１と同様である。

すると、実施例２におけるＮＷ接続制御装置１００（グループ識別部１２１）は、実施例１と同様、有効性確認を認証サーバ５００に送信する（ステップＳ３０４）。もっとも、実施例２におけるグループ識別部１２１は、ＩＤおよびパスワードの他に、ステップＳ３０３においてアドレス割当部１２２が決定したＩＰアドレスをも認証サーバ５００に送信する。

すると、認証サーバ５００は、有効性確認を受信すると、当該有効性確認に含まれるＩＤおよびパスワードを用いてユーザテーブル５１０を参照し、当該ＩＤおよびパスワードの対応関係が記憶されているか否かを確認することで、メンバシップの有効性確認を行う（ステップＳ３０５）。認証サーバ５００は、ユーザテーブル５１０を参照した結果、ＩＤおよびパスワードが一致する行が存在すれば、応答として、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＡＣＣＥＰＴ』を送信する。一方、存在しなければ、応答として、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＲＥＪＥＣＴ』を送信する。

ユーザのメンバシップが有効であることが確認されると、続いて、認証サーバ５００は、ＩＳＰ網内において通信を行う際に必要なＩＰアドレスとしてＨＧＷ３００に対して割り当てる内部ＩＰアドレス（ＩＳＰ ＩＰアドレス）を、決定する（ステップＳ３０６）。例えば、認証サーバ５００は、ＩＳＰ ＩＰアドレス『Ｐ．ｅ１』を決定する。このＩＳＰ ＩＰアドレスは、カプセル化パケットの内部ＩＰヘッダに設定されるものである。

そして、認証サーバ５００は、決定したＩＳＰ ＩＰアドレスを、ＮＷ接続制御装置１００（グループ識別部１２１）から有効性確認とともに送信されたＩＰアドレスと対応づけて、トンネル通信ＧＷ５５０に送信する（ステップＳ３０７）。例えば、認証サーバ５００は、外部ＩＰヘッダの送信元を示すＩＰアドレスが『Ｅ．ｅ１』で、内部ＩＰヘッダの送信元を示すＩＰアドレスが『Ｐ．ｅ１』であるカプセル化パケットを転送するように、トンネル通信ＧＷ５５０の設定を更新する。

次に、認証サーバ５００は、有効性確認の応答をＮＷ接続制御装置１００（グループ識別部１２１）に送信する（ステップＳＳ３０８）。例えば、認証サーバ５００は、ユーザのメンバシップが有効であることが確認されれば、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＡＣＣＥＰＴ』を送信するが、この時、オプションパラメータとして、ステップＳ３０６において決定したＩＳＰ ＩＰアドレスを含める。なお、さらに、トンネル通信ＧＷ５５０のＩＰアドレス『Ｓ３．ｇｗ』をこの時に併せて通知することも考えられる。

すると、ＮＷ接続制御装置１００（アドレス割当部１２２）は、ステップＳ３０３において決定したＩＰアドレスと、ステップＳ３０８において認証サーバ５００から送信されたＩＳＰ ＩＰアドレスとを、ＨＧＷ３００に送信する（ステップＳ３０９）。例えば、ＮＷ接続制御装置１００（アドレス割当部１２２）は、ＩＰアドレス『Ｅ．ｅ１』と、ＩＳＰ ＩＰアドレス『Ｐ．ｅ１』とを、ＨＧＷ３００に送信する。なお、ステップＳ３０８において、トンネル通信ＧＷ５５０のＩＰアドレス『Ｓ３．ｇｗ』を通知されている場合には、ＮＷ接続制御装置１００（アドレス割当部１２２）は、さらに、トンネル通信ＧＷ５５０のＩＰアドレス『Ｓ３．ｇｗ』を、ＨＧＷ３００に送信する。

そして、実施例１と同様、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）は、ステップＳ３０９において通知されたＩＰアドレスの割当要求を送信すると（ステップＳ３１０）、ＮＷ接続制御装置１００（アドレス割当部１２２）が、当該割当要求に対する正常応答を、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）に送信する（ステップＳ３１１）。

その後、ＨＧＷ３００が、ＩＳＰ事業者のトンネル通信ＧＷ５５０宛のパケットを送信したとする（ステップＳ３１２）。この時、当該トンネル通信パケットの外部ＩＰヘッダの送信元を示すＩＰアドレスには、ＮＷ接続制御装置１００によって割り当てられたＩＰアドレスが設定され、内部ＩＰヘッダの送信元を示すＩＰアドレスには、ＩＳＰ事業者の認証サーバ５００によって割り当てられたＩＰアドレスが設定されている。例えば、外部ＩＰヘッダの送信元を示すＩＰアドレスには、『Ｅ．ｅ１』が設定され、内部ＩＰヘッダの送信元を示すＩＰアドレスには、『Ｐ．ｅ１』が設定されている。

すると、まず、転送装置（ＥＲ）２００（転送部２２２）が、当該トンネル通信パケットを受信し、当該トンネル通信パケットの送信先を示すＩＰアドレスを用いてルートテーブル２１２を参照し、当該ＩＰアドレスに対応づけて記憶されている転送ポリシーを取得して、次段の転送装置に当該トンネル通信パケットを転送する（ステップＳ３１３）。例えば、転送装置（ＥＲ）２００（転送部２２２）は、ＩＰアドレス『Ｓ３．ｇｗ』を用いてルートテーブル２１２を参照し、転送ポリシー『ＰＲを次段として転送』を取得し、転送装置（ＰＲ）２３０に当該トンネル通信パケットを転送する。

続いて、転送装置（ＰＲ）２３０（転送部２５１）が、当該トンネル通信パケットを受信し、当該トンネル通信パケットの送信元を示すＩＰアドレスを用いてポリシーテーブル２４１を参照し、当該ＩＰアドレスが満足するアドレス条件に対応づけて記憶されている転送ポリシーを取得して、当該転送ポリシーに基づいて当該パケットに対する転送制御を行う（ステップＳ３１４）。例えば、転送装置（ＰＲ）２３０（転送部２５１）は、トンネル通信パケットの外部ヘッダの送信元を示すＩＰアドレス『Ｅ．ｅ１』を用いてポリシーテーブル２４１を参照し、当該ＩＰアドレス『Ｅ．ｅ１』が満足するアドレス条件『P=0x0033』に対応づけて記憶されている転送ポリシー『Ｓ１、Ｓ３対向通信の許可』を取得して、当該転送ポリシーに基づいて、『Ｓ３．ｇｗ』を送信先とする当該パケットの転送を許可する。

また、ＩＳＰ事業者のＧＷ３（ファイアウォール）も、当該トンネル通信パケットを受信し、当該トンネル通信パケットの送信元を示すＩＰアドレスを用いて記憶部を参照し、当該ＩＰアドレスが満足するアドレス条件（『P=0033』）に対応づけて記憶されている転送ポリシー（『Ｓ３対向通信許可』）を取得して、当該転送ポリシーに基づいて当該パケットに対する転送制御を行う（ステップＳ３１５）。なお、ここでは、ＩＳＰ事業者のＧＷ３（ファイアウォール）が、「アドレス条件『P=0x0033』を満足するＩＰアドレスを用いて送信されたパケットは、アドレス空間『Ｓ３』との対向通信であれば、転送を許可する」という設定を予め登録していることを想定している。

そして、トンネル通信ＧＷ５５０は、ＨＧＷ３００から送信されたトンネル通信ＧＷ５５０宛のトンネル通信パケットを受信すると、当該トンネル通信パケットに含まれるＩＰアドレスおよび内部ＩＰアドレスを用いて記憶部を参照して当該対応関係を検証し、当該対応関係が、転送を許可する対応関係を示すものとして記憶されている場合に、当該パケットの転送を許可する（ステップＳ３１６）。例えば、トンネル通信ＧＷ５５０は、当該トンネル通信パケットの外部ＩＰヘッダの送信元を示すＩＰアドレス『Ｅ．ｅ１』と、内部ＩＰヘッダの送信元を示すＩＰアドレス『Ｐ．ｅ１』との対応関係が、転送を許可する対応関係を示すものとして記憶されている場合に、当該パケットの転送を許可する。

続いて、図１１を用いて、認証サーバ５００による有効性確認の結果、ユーザのメンバシップの有効性が確認されなかった場合について説明する。なお、図１１のステップＳ４０１〜Ｓ４０５までの処理については、図１０と同様であるので、説明を割愛する。

認証サーバ５００は、ユーザテーブル５１０を参照した結果、ＩＰおよびパスワードが一致する行が存在しなければ、応答として、『ＲＡＤＩＵＳ ＡＣＣＥＳＳ−ＲＥＪＥＣＴ』を送信する（ステップＳ４０６）。

すると、ＮＷ接続制御装置１００（アドレス割当部１２２）が、ステップＳ４０３において決定したＩＰアドレスを変更する（ステップＳ４０７）。例えば、ＮＷ接続制御装置１００（アドレス割当部１２２）は、アドレス条件テーブル１１２を参照し、グループ情報『所属なし』に対応づけて記憶されているアドレス条件『P=0x0000』を満足するＩＰアドレスに変更する。

次に、ＮＷ接続制御装置１００（グループ識別部１２１）は、ユーザの認証エラー発生情報を、カスタマサービスサーバ６００に送信する（ステップＳ４０８）。例えば、ＮＷ接続制御装置１００（グループ識別部１２１）は、回線ＩＤ、ＩＰアドレス『Ｅ．ｅ１』、および認証エラー発生情報（理由など）を、カスタマサービスサーバ６００に送信する。すると、カスタマサービスサーバ６００は、認証エラー発生情報（理由など）を、ユーザの登録情報（回線ＩＤなど）に対応づけて、記憶部に登録する。

そして、ＮＷ接続制御装置１００（アドレス割当部１２２）は、ステップＳ４０７において変更したＩＰアドレスを、ＨＧＷ３００に送信する（ステップＳ４０９）。例えば、ＮＷ接続制御装置１００（アドレス割当部１２２）は、ＩＰアドレス『Ｅ．ｅ１』を、ＨＧＷ３００に送信する。

そして、実施例１と同様、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）は、ステップＳ４０９において通知されたＩＰアドレスの割当要求を送信すると（ステップＳ４１０）、ＮＷ接続制御装置１００（アドレス割当部１２２）が、当該割当要求に対する正常応答を、ＨＧＷ３００（ＤＨＣＰクライアント部３２１）に送信する（ステップＳ４１１）。

その後、ＨＧＷ３００配下のＷＥＢブラウザは、カスタマサービスサーバ６００に対してページ要求を送信する（ステップＳ４１２）。例えば、ＷＥＢブラウザは、『ＨＴＴＰ ＧＥＴ』要求を送信する。

すると、カスタマサービスサーバ６００は、当該ページ要求の送信元を示すＩＰアドレスを用いて記憶部を参照し、当該ＩＰアドレスに対応づけて記憶されている登録情報を取得し、当該登録情報に応じたページを生成する（ステップＳ４１３）。例えば、カスタマサービスサーバ６００は、ＩＰアドレス『Ｅ．ｅ１』を用いて記憶部を参照し、登録情報として回線ＩＤを取得して、当該回線ＩＤに対応するエラー発生情報を含むページを生成する。

そして、カスタマサービスサーバ６００は、ステップＳ４１３において生成したページを、ＷＥＢブラウザにＨＴＴＰ応答する（ステップＳ４１４）。

［実施例２の効果］
上記してきたように、実施例２によれば、ＮＷ接続制御装置は、ＨＧＷから送信された認証情報に基づいてグループ情報を識別するので、回線情報とグループ情報との対応関係といったユーザ管理情報をアクセスＩＰ網側で保持する必要がなくなる。この結果、ユーザがグループへ加入する契約をするたびにアクセスＩＰ網事業者側でユーザ管理情報を更新することも不要となる。

また、実施例２によれば、転送ポリシーとして、次段の転送装置を設定することもできるので、アクセス回線を収容する転送装置には、単純な転送のみを実行させ、次段の転送装置（あるいは、次段の転送装置によって転送された転送装置）に、アドレス条件に基づく転送制御を実行させることが可能になる。

例えば、転送装置は、アドレス条件に基づく転送制御として、ＩＰアドレスの中間部に基づくフィルタリング機能を有する必要がある。しかしながら、汎用的なルータにはそのような機能が具備されていない。このため、転送装置（ＥＲ）は、汎用的なルータとし、このような機能を具備する転送装置（ＰＲ）を別途設置する。そして、ＨＧＷから受信したパケットは、一旦転送装置（ＰＲ）を経由するように、他のルートテーブルを設定する。

また、実施例２によれば、トンネル通信装置は、アクセスＩＰ網によって割り当てられたＩＰアドレスと、内部ＩＰアドレス（ＡＳＰ事業者やＩＳＰ事業者など、他のネットワークを運営する事業者や企業によって割り当てられるＩＰアドレス、例えば、グローバルＩＰｖ４アドレスなど）との対応関係を記憶し、当該対応関係に基づいてパケットの転送を許可するので、内部ＩＰアドレスの詐称を防止することが可能になる。

次に、図１２〜図１４を用いて、実施例３に係るネットワーク接続制御システムについて説明する。図１２は、実施例３に係るネットワーク接続制御システムの構成を示すブロック図であり、図１３は、各種テーブルを説明するための図であり、図１４は、実施例３に係るネットワーク接続制御システムによる処理の手順を示すシーケンス図である。

なお、実施例３は、実施例１や実施例２と異なり、企業のグループ通信に適用されることを想定している。また、当該企業のグループが、多数の小さいグループの集合であることを想定している。すなわち、以下の実施例３においては、まず、小グループを束ねたグループについて、アドレス条件（上位アドレス条件）を定め、転送装置（ＥＲ）や転送装置（ＣＲ）には、当該上位アドレス条件と転送ポリシーとの対応関係を設定する。この転送ポリシーは、次段の転送装置（転送装置（ＣＲ）や転送装置（ＰＲ）など）への転送（ルーチング）を指定するものである。ここで、実施例３における転送装置（ＰＲ）は、ＣＵＧルータを意味しており、ＣＵＧルータが、小グループごとの転送ポリシーに基づくパケットフィルタリングを行う。以下では、実施例１や実施例２と異なる点を中心に説明する。

［実施例３に係るネットワーク接続制御システムの構成］
実施例３に係るネットワーク接続制御システムは、図１２に示すように、転送装置が、転送装置（ＥＲ）２００、転送装置（ＣＲ）２６０、および転送装置（ＰＲ１）２３０のように、多段構成となっている点が、これまでの実施例と異なる。ここで、転送装置（ＥＲ）２００および転送装置（ＣＲ）２６０各々は、ルートテーブルを備え、転送装置（ＰＲ１）２３０は、ポリシーテーブルを備える。すなわち、ＨＧＷ３００からグループＣＤＥのサービス設備宛に送信されたパケットは、転送装置（ＥＲ）２００および転送装置（ＣＲ）２６０を経由し、最終的には、転送装置（ＰＲ１）２３０によって転送制御されることになる。また、グループＣＤＥのサービス設備においては、認証サーバ７００と、ユーザテーブル７１０とを備える。

［ＮＷ接続制御装置１００］
ＮＷ接続制御装置１００のアドレス条件テーブル１１２は、実施例１や実施例２と同様、例えば、図１３の（Ａ）に示すような情報を記憶する。なお、図１３の（Ａ）の例示において、『ＣＤＥ』、『ＥＧＨ』および『ＩＪＫ』は、企業のグループの小グループ各々に該当する。

［転送装置（ＥＲ）２００］
転送装置（ＥＲ）２００のルートテーブル２１２は、ＩＰアドレスが満足すべき条件と、次段の転送装置との対応関係を記憶する。具体的には、ルートテーブル２１２は、転送ポリシーとして、次段の転送装置（ＣＲ）２６０を、アクセスＩＰ網事業者などによって設定されることで、記憶する。

例えば、ルートテーブル２１２は、図１３の（Ｂ）に示すような情報を記憶する。例えば、転送装置（ＥＲ）２００のＩＮポートが受信したパケットが、当該転送装置（ＥＲ）２００の下流から送信されたパケットである場合であって、当該パケットの送信元を示すＩＰアドレスが満足するアドレス条件（上位アドレス条件）が、「『Ｐ』の最上位ビットが『１』であること」というものである場合には、転送装置（ＣＲ）２６０を次段として転送する、との転送ポリシーが適用されることを示す。

言い換えると、ルートテーブル２１２は、小グループ『ＣＤＥ』、『ＥＧＨ』および『ＩＪＫ』を束ねたグループについて、アドレス条件（上位アドレス条件）を定め、当該上位アドレス条件と転送ポリシー（次段の転送装置へのルーチング）との対応関係を設定するものである。

［転送装置（ＣＲ）２６０］
転送装置（ＣＲ）２６０のルートテーブル２７１は、ＩＰアドレスが満足すべき条件と、次段の転送装置との対応関係を記憶する。具体的には、ルートテーブル２７１は、次段の転送装置（ＰＲ１）２３０や転送装置（ＰＲ２）を、アクセスＩＰ網事業者などによって設定されることで、記憶する。

例えば、ルートテーブル２７１は、図１３の（Ｃ）に示すような情報を記憶する。例えば、転送装置（ＣＲ）２６０のＩＮポートが受信したパケットが、当該転送装置（ＣＲ）２６０の下流から送信されたパケットである場合であって、当該パケットの送信元を示すＩＰアドレスが満足するアドレス条件（上位アドレス条件）が、「『Ｐ』の上位２ビットが『１０』であること」というものである場合には、転送装置（ＰＲ１）２３０を次段として転送する、との転送ポリシーが適用されることを示す。一方、「『Ｐ』の上位２ビットが『１１』であること」というものである場合には、転送装置（ＰＲ２）を次段として転送する、との転送ポリシーが適用されることを示す。

言い換えると、ルートテーブル２７１は、小グループ『ＣＤＥ』および『ＥＧＨ』を束ねたグループと、小グループ『ＩＪＫ』のグループとに分け、各々について、アドレス条件（上位アドレス条件）を定め、当該上位アドレス条件各々と転送ポリシー（次段の転送装置へのルーチング）各々との対応関係を設定するものである。

［転送装置（ＰＲ１）２３０］
転送装置（ＰＲ１）２３０のポリシーテーブル２４１は、許可通信テーブルと、グループメンバテーブルとを、企業のシステム管理者などによって設定されることで、記憶する。ポリシーテーブル２４１は、ハードディスク上に記憶されているファイルであり、転送装置（ＰＲ１）２３０起動時や、当該ファイル構成時に、転送部２５１が、当該ファイルの内容をメモリにロードする。

例えば、ポリシーテーブル２４１は、許可通信テーブルとして、図１３の（Ｄ）に示すような情報を記憶し、グループメンバテーブルとして、図１３の（Ｅ）に示すような情報を記憶する。許可通信テーブルは、グループ情報と、許可通信との対応関係を記憶する。例えば、グループ情報『ＣＤＥ』に属するユーザが利用するＨＧＷ３００によって送信されたパケットについては、グループ内拠点間通信を許可することを設定する。また、例えば、グループ情報『ＥＧＨ』に属するユーザが利用するＨＧＷ３００によって送信されたパケットについては、グループ内拠点間通信を許可するが、ポート番号『２５』を送信先とするパケットについてはブロックすること、並びに、『Ｓ２』を送信先とするパケットについては許可することを設定する。なお、ポート番号『２５』を送信先とするパケットについてブロックすることの意義であるが、例えば、迷惑メールを防止することを目的として、このような転送ポリシーを設定することが考えられる。

一方、グループメンバテーブルは、グループ情報と、アドレスリストとの対応関係を記憶する。例えば、グループ情報『ＣＤＥ』に属するユーザが利用するＨＧＷ３００に割り当てられるＩＰアドレスが、『Ｅ１．ｅ１１』、『Ｅ２．ｅ１２』および『Ｅ３．ｅ１３』であることを記憶する。なお、ここでは、ＮＷ接続制御装置１００によってＨＧＷ３００にＩＰアドレスが割り当てられた際に、転送装置（ＰＲ１）２３０は、ＮＷ接続制御装置１００もしくはＨＧＷ３００によって通知されることで、ＨＧＷ３００に割り当てられたＩＰアドレスを取得することを想定している。転送装置（ＰＲ１）２３０は、このように収集したＩＰアドレスを、グループメンバテーブルに登録しているのである。

転送部２５１は、転送装置（ＣＲ）２６０から転送されたパケットに対する転送制御を行う。具体的には、転送部２５１は、転送装置（ＣＲ）２６０から転送されたパケットを受信すると、当該パケットの送信元を示すＩＰアドレスを用いてグループメンバテーブルを参照し、当該ＩＰアドレスに対応づけて記憶されているグループ情報を取得する。また、当該グループ情報を用いて許可通信テーブルを参照し、当該グループ情報に対応づけて記憶されている許可通信を取得する。そして、転送部２５１は、取得した許可通信に基づいて、当該パケットの転送制御を行う。

例えば、転送部２５１は、パケットの送信元を示すＩＰアドレス『Ｅ１．ｅ１１』を用いてグループメンバテーブルを参照し、当該ＩＰアドレス『Ｅ１．ｅ１１』に対応づけて記憶されているグループ情報『ＣＤＥ』を取得する。また、当該グループ情報『ＣＤＥ』を用いて許可通信テーブルを参照し、当該グループ情報『ＣＤＥ』に対応づけて記憶されている許可通信『グループ内拠点間通信』を取得する。そして、転送部２５１は、取得した許可通信『グループ内拠点間通信』に基づいて、当該パケットについて、グループ内拠点間通信は許可するものとして、転送する。

［その他］
企業グループＣＤＥのサービス設備についても簡単に説明しておくと、例えば、当該サービス設備は、認証サーバ７００と、ユーザテーブル７１０とを備える。

認証サーバ７００は、Ｌｉｎｕｘなどの汎用サーバ上にプログラムを起動させたものである。具体的には、認証サーバ７００は、ＲＡＤＩＵＳに基づいて、ＮＷ接続制御装置１００のグループ識別部１２１から送信された有効性確認（ＩＤおよびパスワード）を受信し、当該ＩＤおよびパスワードを用いてユーザテーブル７１０を参照し、当該ＩＤおよびパスワードの対応関係が記憶されているか否かを確認することで、メンバシップの有効性確認を行う。

ユーザテーブル７１０は、ユーザを示すＩＤと、パスワードとの対応関係を記憶する。すなわち、ユーザテーブル７１０は、図１３の（Ｆ）に示すように、ユーザＩＤとパスワードとの対応関係を記憶することで、ユーザＩＤが『c1098554』のユーザのパスワードが『opensesami』であることを記憶する。ユーザテーブル７１０は、ＲＤＢＭＳ機能を備え、他のプログラムからの参照・登録が可能となっている。

［実施例３に係るネットワーク接続制御システムによる処理の手順］
次に、図１４を用いて、実施例３に係るネットワーク接続制御システムによる処理の手順を説明する。なお、図１４のステップＳ５０１〜Ｓ５０９までの処理については、実施例１や実施例２と同様であるので、説明を割愛する。

ステップＳ５１０において、ＨＧＷ３００が、企業グループＣＤＥ宛のパケットを送信したとする（ステップＳ５１０）。この時、当該パケットの送信元を示すＩＰアドレスには、ＮＷ接続制御装置１００によって割り当てられたＩＰアドレスが設定される。例えば、ＩＰアドレス『Ｅ１．ｅ１１』が設定される。

すると、まず、転送装置（ＥＲ）２００（転送部２２２）が、当該パケットを受信し、当該パケットの送信元を示すＩＰアドレスを用いてルートテーブル２１２を参照し、当該ＩＰアドレスが満足するアドレス条件に対応づけて記憶されている転送ポリシーを取得して、次段の転送装置に当該パケットを転送する（ステップＳ５１０〜Ｓ５１１）。例えば、転送装置（ＥＲ）２００（転送部２２２）は、パケットの送信元を示すＩＰアドレス『Ｅ１．ｅ１１』に基づいてルートテーブル２１２を参照し、当該ＩＰアドレス『Ｅ１．ｅ１１』が満足するアドレス条件「『Ｐ』の最上位ビットが『１』」に対応づけて記憶されている次段の転送装置『ＣＲ』を取得して、転送装置（ＣＲ）２６０に当該パケットを転送する。

次に、転送装置（ＣＲ）２６０（転送部２８１）が、当該パケットを受信し、当該パケットの送信元を示すＩＰアドレスを用いてルートテーブル２７１を参照し、当該ＩＰアドレスが満足するアドレス条件に対応づけて記憶されている転送ポリシーを取得して、次段の転送装置に当該パケットを転送する（ステップＳ５１１〜Ｓ５１２）。例えば、転送装置（ＣＲ）２６０（転送部２８１）は、パケットの送信元を示すＩＰアドレス『Ｅ１．ｅ１１』に基づいてルートテーブル２７１を参照し、当該ＩＰアドレス『Ｅ１．ｅ１１』が満足するアドレス条件「『Ｐ』の上位２ビットが『１０』」に対応づけて記憶されている次段の転送装置『ＰＲ１』を取得して、転送装置（ＰＲ１）２３０に当該パケットを転送する。

続いて、転送装置（ＰＲ１）２３０（転送部２５１）が、当該パケットを受信し、当該パケットの送信元を示すＩＰアドレスを用いてグループメンバテーブルを参照し、当該ＩＰアドレスに対応づけて記憶されているグループ情報を取得する。そして、取得したグループ情報を用いて許可通信テーブルを参照し、当該グループ情報に対応づけて記憶されている許可通信を取得する。そして、転送装置（ＰＲ１）２３０（転送部２５１）は、取得した許可通信に基づいて、当該パケットの転送制御を行う（ステップＳ５１３）。

例えば、転送装置（ＰＲ１）２３０（転送部２５１）が、ＩＰアドレス『Ｅ１．ｅ１１』を用いてグループメンバテーブルを参照し、当該ＩＰアドレス『Ｅ１．ｅ１１』に対応づけて記憶されているグループ情報『ＣＤＥ』を取得する。そして、取得したグループ情報を用いて許可通信テーブルを参照し、当該グループ情報『ＣＤＥ』に対応づけて記憶されている許可通信『グループ内拠点間通信』を取得する。そして、転送装置（ＰＲ１）２３０（転送部２５１）は、取得した許可通信『グループ内拠点間通信』に基づいて、当該パケットは、グループ内拠点間通信のパケットであるとして、転送する。

［実施例３の効果］
上記してきたように、実施例３によれば、グループが、多数の小さいグループの集合である場合にも、悪意ユーザによる不正トラヒックへの対処を適切に実現することが可能になる。すなわち、実施例３によれば、小グループを束ねたグループについてアドレス条件（上位アドレス条件）が定められるので、ＨＧＷから送信されたパケットは、複数の転送装置を、上位アドレス条件に基づいて適宜振り分けられながら多段的に経由することができる。そして、ＣＵＧルータなどの転送装置に、小グループごとの転送ポリシーが設定されているので、当該パケットは、最終的には、小グループごとの転送ポリシーに基づいて適切に転送制御されることができる。

［他の実施例］
さて、これまで本発明の実施例について説明してきたが、本発明は、上記の実施例以外にも、種々の異なる形態にて実施されてよいものである。

［アドレス条件］
上記の実施例においては、アドレス条件として、ＩＰアドレスの中間部に位置するビット列の値を設定する手法を説明してきた。すなわち、上記の実施例においては、ＩＰｖ６の場合におけるＩＰアドレスについて、４９ビット目から６４ビット目までの１６ビットに所定の値を埋め込むことで、アドレス条件とする手法であった。アドレス条件テーブルが、当該値とグループ情報との対応関係を記憶することで、ＩＰｖ６アドレスからグループ情報を識別することが可能となる。しかしながら、本発明はこれに限られるものではない。

例えば、ＩＰｖ６アドレスの１２８ビットの内、上位２０ビットが、通信キャリアを識別するビットとしての役割を果たし、２１ビット目から３６ビット目までが、通信キャリア内の収容エリアを識別する役割を果たし、３７ビット目から４８ビット目までが、収容エリア内でアクセス回線を識別するビットとしての役割を果たしているとする。このような場合に、３７ビット目から４８ビット目までの部分の上位Ｎビットの値を定めることで、アドレス条件とする手法でもよい。アドレス条件テーブルは、収容エリアを識別する２１ビット目から３６ビット目までの値と、上位Ｎビットの値と、グループ情報との対応関係を記憶することで、ＩＰｖ６アドレスからグループ情報を識別することが可能となる。つまり、アドレス条件を収容エリアごとに分割することで、少ないビット数であっても、グループ情報を識別することが可能となる。もっとも、この手法による場合には、エリア内のグループ数やユーザ数を想定しながらＮの長さを調整するなどする必要がある。

［システム構成等］
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順（図３、図７、図１０、図１１、図１４など）、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示（図１、図４、図８、図１２など）の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、本実施例で説明したネットワーク接続制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係るネットワーク接続制御システム、ネットワーク接続制御プログラムおよびネットワーク接続制御方法は、利用者装置が接続するアクセス回線を収容するとともに、当該利用者装置から送信されたパケットをＩＰレイヤで転送するアクセスＩＰ網において有用であり、特に、パケットフィルタに登録する転送ポリシーの数を抑えた上で、悪意ユーザによる不正トラヒックへの対処を適切に実現することに適する。

基本概念レベルの構成を示すブロック図である。 アドレス条件テーブルおよびポリシーテーブルを説明するための図である。 基本概念レベルの処理の手順を示すシーケンス図である。 実施例１に係るネットワーク接続制御システムの構成を示すブロック図である。 各種テーブルを説明するための図である。 ＩＰｖ６アドレスの割り当て設計例を説明するための図である。 実施例１に係るネットワーク接続制御システムによる処理の手順を示すシーケンス図である。 実施例２に係るネットワーク接続制御システムの構成を示すブロック図である。 各種テーブルを説明するための図である。 実施例２に係るネットワーク接続制御システムによる処理の手順を示すシーケンス図である。 実施例２に係るネットワーク接続制御システムによる処理の手順を示すシーケンス図である。 実施例３に係るネットワーク接続制御システムの構成を示すブロック図である。 各種テーブルを説明するための図である。 実施例３に係るネットワーク接続制御システムによる処理の手順を示すシーケンス図である。 従来技術を説明するための図である。

符号の説明

１００ ＮＷ接続制御装置
１１１ グループテーブル
１１２ アドレス条件テーブル
１２１ グループ識別部
１２２ アドレス割当部
２００ 転送装置（ＥＲ）
２１１ ポリシーテーブル
２２１ ＤＨＣＰリレー部
２２２ 転送部
３００ ＨＧＷ
３２１ ＤＨＣＰクライアント部
４００ 認証サーバ
４１０ ユーザテーブル
４５０ ＡＰサーバ

Claims (8)

1. 利用者装置が接続するアクセス回線を収容するとともに、当該利用者装置から送信されたパケットをＩＰレイヤで転送するアクセスＩＰ網において、ネットワーク接続制御装置が、前記利用者装置に対してＩＰアドレスを割り当て、転送装置が、当該利用者装置から当該ＩＰアドレスを用いて送信されたパケットを、当該アクセスＩＰ網に接続する他のネットワークに転送するネットワーク接続制御システムであって、
   前記ネットワーク接続制御装置は、
   利用者装置を利用する利用者が属するグループを示すグループ情報と、当該グループに属する利用者が利用する利用者装置に割り当てられるＩＰアドレスが満足すべき条件との対応関係を記憶するアドレス条件記憶手段と、
   利用者装置からＩＰアドレスを割り当てることを要求する割当要求を受け付けると、当該利用者装置を利用する利用者が属するグループを示すグループ情報を識別するグループ識別手段と、
   前記グループ識別手段によってグループ情報が識別されると、当該グループ情報を用いて前記アドレス条件記憶手段を参照し、当該グループ情報に対応づけて記憶されている前記条件を取得して、当該条件に基づいて前記利用者装置に割り当てるＩＰアドレスを決定し、当該ＩＰアドレスを当該利用者装置に送信するＩＰアドレス割当手段とを備え、
   前記転送装置は、
   前記条件と、当該条件を満足するＩＰアドレスを用いて利用者装置から送信されたパケットを転送する際の転送ポリシーとの対応関係を記憶する転送ポリシー記憶手段と、
   前記他のネットワーク宛のパケットを前記利用者装置から受信すると、当該パケットの送信元を示すＩＰアドレスを用いて前記転送ポリシー記憶手段を参照し、当該ＩＰアドレスが満足する前記条件に対応づけて記憶されている前記転送ポリシーを取得して、当該転送ポリシーに基づいて当該パケットに対する転送制御を行う転送手段と、
   を備えたことを特徴とするネットワーク接続制御システム。
2. 前記アドレス条件記憶手段および前記転送ポリシー記憶手段は、ＩＰアドレスが満足すべき前記条件として、ＩＰアドレスを構成するビット列の内の中間部に位置するビット列の値を設定し、
   前記ＩＰアドレス割当手段は、利用者装置に割り当てるＩＰアドレスを決定する際に、前記条件として設定されている値を、ＩＰアドレスを構成するビット列の内の中間部に位置するビット列に設定し、
   前記転送手段は、パケットを利用者装置から受信すると、当該パケットの送信元を示すＩＰアドレスを構成するビット列の中間部に位置するビット列を取得し、当該ビット列が示す値を用いて前記転送ポリシー記憶手段を参照し、当該値に対応づけて記憶されている前記転送ポリシーを取得して、前記転送制御を行うことを特徴とする請求項１に記載のネットワーク接続制御システム。
3. 前記グループ識別手段は、前記割当要求を受け付けると、当該割当要求が送信された前記アクセス回線を識別する回線情報に基づいて、前記グループ情報を識別することを特徴とする請求項１または２に記載のネットワーク接続制御システム。
4. 前記グループ識別手段は、前記割当要求を、前記利用者装置を利用する利用者を認証する際に用いられる認証情報とともに受け付けると、当該認証情報に基づいて、前記グループ情報を識別することを特徴とする請求項１または２に記載のネットワーク接続制御システム。
5. 前記利用者装置から送信された他のネットワーク宛のパケットは、複数の前記転送装置を経由して当該他のネットワークに転送されるものであり、
   少なくとも一つの転送装置の前記転送ポリシー記憶手段は、
   前記転送ポリシーとして、次段の転送装置を記憶し、
   当該転送装置の前記転送手段は、
   利用者装置から送信された他のネットワーク宛のパケットもしくは他の転送装置から転送された他のネットワーク宛のパケットを受信すると、当該パケットの送信元のＩＰアドレスを用いて前記転送ポリシー記憶手段を参照し、当該ＩＰアドレスが満足する前記条件に対応づけて記憶されている前記次段の転送装置を取得して、当該パケットを当該次段の転送装置に転送することを特徴とする請求項１〜４のいずれか一つに記載のネットワーク接続制御システム。
6. 前記利用者装置は、前記他のネットワークに設置されているトンネル通信装置との間でトンネル通信を行うものであり、当該他のネットワーク内部において通信を行う際に必要なＩＰアドレスとして割り当てられた内部ＩＰアドレスを含む情報をカプセル化したパケットを、前記ネットワーク接続制御装置によって割り当てられたＩＰアドレスを用いて当該トンネル通信装置宛に送信するものであって、
   前記トンネル通信装置は、
   前記ＩＰアドレス割当手段によって割り当てられたＩＰアドレスと、前記内部ＩＰアドレスとの対応関係を記憶するＩＰアドレス対応関係記憶手段と、
   前記利用者装置から送信された当該トンネル通信装置宛のパケットを受信すると、当該パケットに含まれるＩＰアドレスおよび内部ＩＰアドレスを用いて前記ＩＰアドレス対応関係記憶手段を参照し、当該ＩＰアドレスおよび内部ＩＰアドレスの対応関係が、転送を許可する対応関係を示すものとして記憶されている場合に、当該パケットの転送を許可する転送許可手段と、
   を備えたことを特徴とする請求項１〜５のいずれか一つに記載のネットワーク接続制御システム。
7. 請求項１〜６のいずれか一つに記載のネットワーク接続制御システムを、ネットワーク接続制御装置としてのコンピュータおよび転送装置としてのコンピュータに実現させるネットワーク接続制御プログラム。
8. 請求項１〜６のいずれか一つに記載のネットワーク接続制御システムをコンピュータに実現させるネットワーク接続制御方法。

Images