JP2013168036A - 認証方法、エッジノード、及び認証サーバ - Google Patents

Abstract

【課題】MACアドレスの通知／申請を行うことなく、信頼性の高い認証を実現する。
【解決手段】ユーザが契約しているアクセス回線を収容する第１のエッジノードが、情報端末機器からサービス要求を受信した際に、収容情報と前記情報端末機器のMACアドレスとを取得し、これらを含む認証要求を認証サーバに送信し、前記認証サーバが、予め記憶手段に格納してある収容情報と前記認証要求に含まれる収容情報とを比較することにより第１の認証を行い、第１の認証に成功した場合に、前記MACアドレスを接続実績情報として記憶手段に格納し、前記アクセス回線以外のアクセス回線を収容する第２のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該情報端末機器のMACアドレスを含む認証要求を前記認証サーバに送信し、前記認証サーバが、記憶手段に格納されたMACアドレスと、認証要求に含まれるMACアドレスとを比較することにより第２の認証を行う。
【選択図】図４

Description

本発明は、ユーザが情報端末機器等をネットワークに接続させる際の認証処理に関するものである。

従来、外出先にてISP(Internet Service Provider)やVPN(Virtual Private Network) 接続等を実施する際の認証処理では、ユーザにて投入された「ユーザID」、「パスワード」及び該当ユーザが使用している情報端末機器等の「MACアドレス」を認証キーとして使用し、網側で保持している情報を用いた認証を実施することで、セッション接続を確立させる『認証接続モデル』を採用するケースが多数ある（例えば、非特許文献１参照）。

Jonathan Hassell "RADIUSユーザ認証セキュリティプロトコル"株式会社オーム社（2003年）．

MACアドレスも認証キーとする従来の認証接続モデルでは、ユーザがネットワークに接続する際に使用する情報端末機器等のMACアドレス情報を網側へ書面等にて通知/申請する必要があり、情報端末機器が変更になる都度、通知/申請する必要がある。一方、認証キーを「ユーザID」、「パスワード」のみとすれば上記通知/申請を行う必要はなくなるものの、セキュリティリスクが高くなり信頼性の高い認証が実現できないという問題がある。

本発明は上記の点に鑑みてなされたものであり、MACアドレスの通知／申請を行うことなく、情報端末機器がネットワークに接続する際における信頼性の高い認証を実現することを目的とする。

上記の課題を解決するため、本発明は、ユーザの情報端末機器に通信サービスを提供するネットワークにおいて、エッジノードと認証サーバとを有するシステムにより実行される認証方法であって、
前記ユーザが契約しているアクセス回線を収容する第１のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該第１のエッジノードにおける当該アクセス回線の収容情報と前記情報端末機器のMACアドレスとを取得するステップと、
前記第１のエッジノードが、前記収容情報と前記MACアドレスとを含む認証要求を前記認証サーバに送信するステップと、
前記認証サーバが、予め記憶手段に格納してある収容情報と前記認証要求に含まれる収容情報とを比較することにより第１の認証を行い、第１の認証に成功した場合に、前記MACアドレスを接続実績情報として記憶手段に格納するステップと、
前記ユーザが契約しているアクセス回線以外のアクセス回線を収容する第２のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該情報端末機器のMACアドレスを取得し、当該MACアドレスを含む認証要求を前記認証サーバ又は別の認証サーバに送信するステップと、
前記認証サーバ又は別の認証サーバが、前記接続実績情報として記憶手段に格納されたMACアドレスと、前記認証要求に含まれるMACアドレスとを比較することにより第２の認証を行うステップとを有することを特徴とする認証方法として構成される。

また、本発明は、ユーザの情報端末機器に通信サービスを提供し、認証サーバを備えるネットワークにおけるエッジノードであって、
前記ユーザが契約しているアクセス回線を経由して前記情報端末機器からサービス要求を受信した際に、当該エッジノードにおける当該アクセス回線の収容情報と前記情報端末機器のMACアドレスとを取得し、前記収容情報と前記MACアドレスとを含む認証要求を前記認証サーバに送信する手段と、
前記認証サーバから、予め記憶手段に格納してある収容情報と前記認証要求に含まれる収容情報とを比較することにより実施された第１の認証の認証結果を受信する手段と、
前記ユーザが契約しているアクセス回線以外のアクセス回線を経由して前記情報端末機器からサービス要求を受信した際に、当該情報端末機器のMACアドレスを取得し、当該MACアドレスを含む認証要求を前記認証サーバ又は別の認証サーバに送信する手段と、
前記認証サーバ又は別の認証サーバから、前記第１の認証において接続実績情報として記憶手段に格納されたMACアドレスと、前記認証要求に含まれるMACアドレスとを比較することにより実施された第２の認証の認証結果を受信する手段とを有することを特徴とするエッジノードとして構成することもできる。

また、本発明は、ユーザの情報端末機器に通信サービスを提供し、エッジノードを備えるネットワークにおける認証サーバであって、
前記ユーザが契約しているアクセス回線を収容する第１のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該第１のエッジノードから、当該第１のエッジノードにおける当該アクセス回線の収容情報と前記情報端末機器のMACアドレスとを含む認証要求を受信する手段と、
予め記憶手段に格納してある収容情報と前記認証要求に含まれる収容情報とを比較することにより第１の認証を行い、第１の認証に成功した場合に、前記MACアドレスを接続実績情報として記憶手段に格納する手段と、
前記ユーザが契約しているアクセス回線以外のアクセス回線を収容する第２のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該第２のエッジノードから、前記情報端末機器のMACアドレスを含む認証要求を受信する手段と、
前記接続実績情報として記憶手段に格納されたMACアドレスと、前記認証要求に含まれるMACアドレスとを比較することにより第２の認証を行う手段とを有することを特徴とする認証サーバとして構成してもよい。

本発明によれば、MACアドレスの通知／申請を行うことなく、情報端末機器がネットワークに接続する際における信頼性の高い認証を実現することができる。

本発明の実施の形態におけるシステムの全体構成図である。 エッジノード１の機能構成図である。 認証サーバ３の機能構成図である。 システムの動作を説明するためのシーケンス図である。 MACアドレスを取得するための方法の例を説明するための図である。 システムの全体動作例を示す図である。

以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

（システム構成）
図１に、本発明の実施の形態におけるシステムの全体構成例を示す。図１に示すように、本実施の形態に係るシステムは、エッジノード１、２、認証サーバ３を備えるネットワーク４に、ユーザ側の端末であるＰＣ５と情報端末機器６を収容するHGW（ホームゲートウェイ）７が、アクセス回線８により接続された構成を有する。また、本例では、エッジノード２にはＡＰ９（公衆無線アクセスポイント）が接続されている。

ネットワーク４は、アクセス回線を通じてユーザの装置に対して通信サービスを提供するＩＰネットワークである。エッジノード１、２は、アクセス回線に接続されるとともに、ネットワーク４側の回線に接続される通信装置（例：ルータ、スイッチなど）であり、ユーザ側の装置とネットワーク４とを接続する役割を果たす装置である。通信サービスとは、例えば、インターネット接続、VPN通信等である。

認証サーバ３は、ユーザ側の装置がネットワーク４に接続し、サービスを利用する際に、当該装置が正当な装置かどうかを判定し、接続の許可／不可を決定する認証処理を行う装置である。HGW７は、ユーザの家の通信機器とアクセス回線８との間のゲートウェイ装置である。

本実施の形態では、最初、HGW７にユーザのＰＣ５と情報端末機器６が接続されている。ＰＣ５はユーザの家の中で固定的に使用することを想定した機器であり、情報端末機器６は、例えばスマートフォンやタブレッドであり、必要に応じて外出先でも使用する機器である。本例では、外出時に、情報端末機器６はＡＰ９に無線でアクセスして無線経由でネットワーク４に接続される。

本実施の形態において、エッジノード１とHGW７間を結ぶアクセス回線８は固定であり、エッジノード１におけるアクセス回線８の収容情報（カードのスロット番号、ポート番号、VLAN-ID（論理インターフェース番号）等）は、ユーザの契約により固定的に設定されている。よって、当該収容位置とこのユーザとは一意に対応している。事業者側で収容替え等の収容変更があった場合は、当該ユーザの収容情報は変更されることになるが、その場合でも、認証サーバ３に予め格納されるユーザ収容情報を収容替え後の収容情報に変更すれば、本発明の認証処理を実施できる。

（エッジノードの構成）
図２に、エッジノード１の機能構成例を示す。図２に示すように、エッジノードは、通信機能部１１、ユーザ情報取得部１２、認証処理部１３を有する。なお、図２は、エッジノード１における本発明の実施に関わる機能のみを示すものであり、エッジノード１は、エッジノードとしての機能を実現するために、図示しない他の既存機能を持つことはもちろんである。また、エッジノード２も同様の構成を有するので、以下の説明でエッジノード２内の機能部を記述する場合は、エッジノード１の機能部と同じ参照符号を付するものとする。

通信機能部１１は、パケット（"フレーム"の意味も含む）の送受信を行うための機能部であり、物理インターフェースモジュール（カード等）、方路決定機能等を含む。

ユーザ情報取得部１２は、通信機能部１１が、ユーザに接続された固定アクセス回線（固定網と呼んでもよい）からサービス要求のパケットを受信したときに、当該サービス要求に係るユーザ収容情報とMACアドレスを取得し、ユーザ収容情報とMACアドレスを認証処理部１３に渡す機能部である。

ユーザ収容情報は、例えば、当該サービス要求のパケットを受信したカード及びポートの情報、及びサービス要求のパケットに含まれるVLAN-IDを通信機能部１１から取得することにより得られる。なお、ユーザ収容情報を取得する手法は、特定の手法に限定されるわけではなく、他の手法で取得することとしてもよい。MACアドレスは、サービス要求パケットから取得できる。

また、「ユーザに接続された固定アクセス回線からパケットを受け取ったこと」は、例えば、ユーザ収容情報を取得する対象とする固定アクセス回線の通信インターフェース上の収容位置を予め記憶手段に保持しておき、当該収容位置からパケットを受け取ったときに、「ユーザに接続された固定アクセス回線からパケットを受け取った」と判断できる。

また、ユーザ情報取得部１２は、ユーザに接続された固定アクセス回線以外のアクセス回線（公衆無線ＡＰに接続されたアクセス回線等）からのサービス要求については、ユーザ収容情報の取得は行わず、サービス要求のパケットからMACアドレスの取得を行う。

認証処理部１３は、ユーザに接続された固定アクセス回線からのサービス要求の場合に、ユーザ情報取得部１２から受け取ったユーザ収容情報及びMACアドレスを認証要求に含め、当該認証要求を認証サーバ３に送信し、認証サーバ３から認証結果を受け取って、認証結果に応じて、当該ユーザに対してサービス提供可／不可を判断し、結果を通知する機能を有する。また、ユーザに接続された固定アクセス回線以外のアクセス回線からのサービス要求については、認証処理部１３は、MACアドレスを認証要求に含め、当該認証要求を認証サーバ３に送信する。

本実施の形態に係る処理を実行するエッジノード１は、例えば、CPU及びメモリを備えるコンピュータの構成を含むエッジノード（通信装置）に、本実施の形態に係る処理に対応するプログラムを実行させることにより実現できる。また、本実施の形態に係る処理は、ハードウェア回路を用いて実現してもよい。

（認証サーバの構成）
図３に、認証サーバ３の機能構成例を示す。なお、図３についても、図２の場合と同様に、認証サーバ３における本発明の実施に関わる機能のみを示すものであり、認証サーバ３は、認証サーバとしての機能を実現するために、図示しない他の既存機能を持つことはもちろんである。

図３に示すように、本実施の形態の認証サーバ３は、認証処理部３１、接続実績情報格納処理部３２、ユーザ認証情報格納部３３を備える。ユーザ認証情報格納部３３には、ユーザのサービス契約時等に、当該ユーザの固定アクセス回線の収容情報が予め格納されている。

認証処理部３１は、エッジノードからユーザ収容情報とMACアドレスを含む認証要求を受信したときに、当該認証要求に含まれるユーザ収容情報を、ユーザ認証情報格納部３３に格納されているユーザ収容情報と比較して、一致するものがある場合に、認証に成功したと判定し、応答を要求元に返すとともに、その旨を接続実績情報格納処理部３２に通知する機能を有する。このとき、接続実績情報格納処理部３２は、認証要求に含まれるMACアドレスをユーザ認証情報格納部３３に格納する。

また、認証処理部３１は、エッジノードからユーザ収容情報を含まずにMACアドレスを含む認証要求を受信したときに、当該MACアドレスを、ユーザ認証情報格納部３３に格納されているMACアドレスと比較して、一致するものがある場合に、認証に成功したと判定し、応答を要求元に返す。

なお、上記の例では、ユーザＩＤ，パスワードを使用していないが、ユーザＩＤ，パスワードも加えて認証キーとしてもよい。この場合、ユーザ認証情報格納部３３には、ユーザ収容情報に対応付けてユーザＩＤとパスワードが予め格納されるとともに、MACアドレスが格納されるときには、ユーザＩＤとパスワードに対応付けて格納される。そして、認証においては、ユーザの装置からユーザＩＤとパスワードが投入されることにより、認証サーバ３では、ユーザＩＤとパスワードによる認証に加えて、ユーザ収容情報による認証、もしくはMACアドレスによる認証が行われることになる。なお、本実施の形態においてユーザＩＤとパスワードを用いることは必須ではなく、オプショナルである。

本実施の形態に係る処理を実行する認証サーバ３は、例えば、CPU及びメモリを備えるコンピュータに、本実施の形態に係る処理に対応するプログラムを実行させることにより実現できる。また、本実施の形態に係る処理は、ハードウェア回路を用いて実現してもよい。

（システムの動作）
次に、図４のシーケンス図に示す手順に沿って、システムの動作について説明する。図５はMACアドレスの取得方法を説明するための図であり、図５も適宜参照する。図６は、図４と同様にシステムの動作を表すが、図６には、認証サーバ３等に格納されるデータ例が示されており、動作の説明において、図６も適宜参照する。図６に示されるステップ番号は図４に示したステップ番号に対応する。

以下で説明する動作例では、情報端末機器６のユーザ（ユーザＡとする）が、家から固定アクセス回線（固定網）経由で最初にサービスを利用し、その後に、外出先からサービスを利用する場合の例について説明している。

まず、ユーザＡは、情報端末機器６により固定網経由で事業者のネットワーク２へのサービス要求を送信する（図４のステップ１）。このとき、ユーザが契約した際に確定するユーザＩＤ及びパスワードからなる認証情報を投入することは必須ではないが、図６では、ユーザＩＤ及びパスワードを投入する例を示している。サービス要求を受信したエッジノード１におけるユーザ情報取得部１２は、情報端末機器６のMACアドレスを取得する。

図５を参照して、MACアドレスを取得するための方式例を説明する。図５の「方式１」では、情報端末機器６からPPPoE接続を実施する。この場合、図示するようにPPPoEヘッダの外側に付されるEtherヘッダの送信元（Src）アドレスとして情報端末機器６のMACアドレスが含まれているので、エッジノード１におけるユーザ情報取得部１２は、Etherヘッダ内のSrcアドレスを取得することにより、情報端末機器６のMACアドレスを把握する。

図５の「方式２」の例では、HGW７が事前に自動で情報端末機器６のMACアドレスを取得する。そして、サービス要求時においてHGW７からPPPoE接続がなされる。その際、HGW７は情報端末機器６のMACアドレスをPPPoEペイロード内へ格納して送信することで、エッジノード１は情報端末機器６のMACアドレスを把握する。
更に、ユーザを収容するエッジノード１のユーザ情報取得部１２は、MACアドレスに加えて、ユーザにて改ざん不可能であるユーザ収容情報を取得し、これらを含む認証要求を事業者の認証サーバ３へ送信する（ステップ２）。

本実施の形態では、エッジノード１より認証サーバ３へ認証情報等を送信する際は既存プロトコルであるRadiusを使用する。Radiusの認証要求であるAccess-Requestには、以下の情報をAttributeへ格納して送信可能である。

Calling-Station-Id(31) ：MACアドレス
NAS-Port(5) ：ユーザ収容情報
図４、図６に示すように、本例でのユーザ収容情報は、スロット／ポート／VLAN-IDであるが、ユーザ収容情報はこれらに限定されるわけではない。

上記認証要求を受信した認証サーバ３の認証処理部３１は、当該認証要求に含まれるユーザ収容情報を、ユーザ認証情報格納部３３に予め格納されているユーザ収容情報と比較して一致するかどうかで認証を行う（ステップ３）。例えば、ユーザIDとパスワードを投入する場合においては、当該ユーザIDとパスワードに対応して格納されているユーザ収容情報と、認証要求に含まれるユーザ収容情報とを比較して、これらが一致するかどうかで認証を行うことができる。

図４に示すとおり、認証OKであれば、接続実績情報格納処理部３２が、認証要求に含まれていたMACアドレスを接続実績情報としてユーザ認証情報格納部３３に格納する。

図６には、認証サーバ３において、ユーザID、パスワード、及びユーザ収容情報が予め格納されており、MACアドレスが格納された状態が示されている。また、図６には、ユーザAに対して２つのMACアドレスが格納された例が示されている。これは、例えば、以前にPC、もしくは他の情報端末機器についてユーザ収容情報に基づく認証が行われ、そのMACアドレスが格納されていたことを示す。このように、１ユーザに対して複数の異なるMACアドレスを格納することができる。

図４に戻り、認証に成功すると、認証OKを示す情報が認証サーバ３からエッジノード１に送られるとともに、エッジノード１から情報端末機器６に送られる（ステップ４）。これにより、情報端末機器６はネットワーク４による通信サービスを利用できるようになる。

その後、ユーザAが外出し、外出先で情報端末機器６を用いてネットワーク４に対するサービス要求を行う（ステップ５）。エッジノード２は、公衆無線LANを提供するAP９を収容するアクセス回線からサービス要求を受信する。エッジノード２のユーザ情報取得部１２は、サービス要求のパケットから情報端末機器６のMACアドレスを取得する。そして、認証処理部１３が、当該MACアドレスを含む認証要求を認証サーバ３に送信する（ステップ６）。外出先においても、ユーザＩＤ及びパスワードからなる認証情報を投入することは必須ではないが、図６では、ユーザＩＤ及びパスワードを投入する例を示している。

図４に示すように、認証サーバ３の認証処理部１３は、認証要求に含まれるMACアドレスと、ユーザ認証情報格納部３３に接続実績情報として格納されているMACアドレスとを比較することで認証を行う（ステップ７）。例えば、ユーザＩＤ及びパスワードを用いる場合、ユーザ認証情報格納部３３においてユーザＩＤ及びパスワードに対応付けて格納されたMACアドレスと、認証要求に含まれるMACアドレスとが一致するかどうかで認証OKかどうかを判定できる。ユーザＩＤ及びパスワードを用いない場合は、認証要求に含まれるMACアドレスと一致するMACアドレスがユーザ認証情報格納部３３の中に格納されているかどうかで認証を行うことができる。

また、図６に示しているように、外出先からのアクセスの際に利用する認証サーバは、認証サーバ３と異なる認証サーバであってもよく、その場合、当該認証サーバは、認証サーバ３のユーザ認証情報格納部３３に格納された情報を参照、もしくは、当該情報を認証サーバ３と共有することにより、認証サーバ３での認証処理と同様の認証処理を行うことができる。

図４に戻り、認証に成功すると、認証OKを示す情報が認証サーバ３（もしくは他の認証サーバ）からエッジノード２に送られるとともに、エッジノード２から情報端末機器６に送られる（ステップ８）。これにより、情報端末機器６はネットワーク２による通信サービスを利用できるようになる。

上述した方式に加えて、更に信頼性を向上させる例として、固定網からの接続時に認証に成功した場合に、認証サーバ３より、別途有効期限付き「認証キー」をユーザの情報端末機器６へ払い出し（通知し）、当該認証キーを外出先での接続認証に使用することとしてもよい。つまり、外出先からの接続要求に認証キーを含め、認証サーバ３において、この認証キーが、当該ユーザに払い出した認証キーであることを確認することで認証を行う。この場合、MACアドレスのなりすましへも対応することが可能となる。

（実施の形態のまとめ）
本実施の形態では、ユーザが契約しているアクセス回線を用いて、セッション接続要求（サービス要求）を実施し、セッション接続要求時に、該当ユーザを収容しているエッジノードでのユーザ収容情報を把握し、予め設定した認証情報とユーザ収容情報を用いて、網内で認証を行う。そして、正常性が確認取れた際に、情報端末機器のMACアドレスを網内で保持しておく。外出先より、該当ユーザが契約しているアクセス回線以外のアクセス回線を用いて、セッション接続要求がなされた場合、セッション接続を実施している該当ユーザの情報端末機器等のMACアドレスを把握し、保持しておいたMACアドレスを用いて、網内で認証を行う。前記ユーザ収容情報としては、該当ユーザが収容されているエッジノードにおける物理的なインターフェースモジュールの収容位置と収容ポート番号と該当ユーザの論理インターフェース番号を含む情報を使用する。

すなわち、本実施の形態では、ユーザが契約しているアクセス回線を使用したISP接続やVPN接続等で、ユーザにて改ざん不可能であるエッジノード上のユーザ収容情報を用いた認証を経てセッション接続を確立した実績のある情報端末機器のMACアドレスを網側にて保持し、外出先で当該ユーザがISP接続やVPN接続等を実施する際、当該MACアドレスを認証キーとして使用することで、信頼性かつ利便性の高い認証によるセッション接続が可能となる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１、２ エッジノード
３ 認証サーバ
４ ネットワーク
５ ＰＣ
６ 情報端末機器
７ ＨＧＷ
８ アクセス回線
９ ＡＰ
１１ 通信機能部
１２ ユーザ情報取得部
１３ 認証処理部
３１ 認証処理部
３２ 接続実績情報格納処理部
３３ ユーザ認証情報格納部

Claims (7)

1. ユーザの情報端末機器に通信サービスを提供するネットワークにおいて、エッジノードと認証サーバとを有するシステムにより実行される認証方法であって、
   前記ユーザが契約しているアクセス回線を収容する第１のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該第１のエッジノードにおける当該アクセス回線の収容情報と前記情報端末機器のMACアドレスとを取得するステップと、
   前記第１のエッジノードが、前記収容情報と前記MACアドレスとを含む認証要求を前記認証サーバに送信するステップと、
   前記認証サーバが、予め記憶手段に格納してある収容情報と前記認証要求に含まれる収容情報とを比較することにより第１の認証を行い、第１の認証に成功した場合に、前記MACアドレスを接続実績情報として記憶手段に格納するステップと、
   前記ユーザが契約しているアクセス回線以外のアクセス回線を収容する第２のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該情報端末機器のMACアドレスを取得し、当該MACアドレスを含む認証要求を前記認証サーバ又は別の認証サーバに送信するステップと、
   前記認証サーバ又は別の認証サーバが、前記接続実績情報として記憶手段に格納されたMACアドレスと、前記認証要求に含まれるMACアドレスとを比較することにより第２の認証を行うステップと
   を有することを特徴とする認証方法。
2. 前記収容情報は、前記第１のエッジノードにおける物理的なインターフェースモジュールの収容位置と収容ポート番号と論理インターフェース番号を含む請求項1に記載の認証方法。
3. 前記ユーザが契約しているアクセス回線として固定アクセス回線を使用し、前記ユーザが契約しているアクセス回線以外のアクセス回線として無線アクセス回線を使用する請求項１又は２に記載の認証方法。
4. 前記第１の認証に成功した場合に、前記認証サーバが、前記情報端末機器に有効期限付き認証キーを払い出し、前記第２の認証において、当該認証キーを更に用いることにより認証を行う請求項１ないし３のうちいずれか１項に記載の認証方法。
5. 前記第１の認証及び前記第２の認証において、前記ユーザのユーザID及びパスワードを更に用いて認証を行う請求項１ないし４のうちいずれか１項に記載の認証方法。
6. ユーザの情報端末機器に通信サービスを提供し、認証サーバを備えるネットワークにおけるエッジノードであって、
   前記ユーザが契約しているアクセス回線を経由して前記情報端末機器からサービス要求を受信した際に、当該エッジノードにおける当該アクセス回線の収容情報と前記情報端末機器のMACアドレスとを取得し、前記収容情報と前記MACアドレスとを含む認証要求を前記認証サーバに送信する手段と、
   前記認証サーバから、予め記憶手段に格納してある収容情報と前記認証要求に含まれる収容情報とを比較することにより実施された第１の認証の認証結果を受信する手段と、
   前記ユーザが契約しているアクセス回線以外のアクセス回線を経由して前記情報端末機器からサービス要求を受信した際に、当該情報端末機器のMACアドレスを取得し、当該MACアドレスを含む認証要求を前記認証サーバ又は別の認証サーバに送信する手段と、
   前記認証サーバ又は別の認証サーバから、前記第１の認証において接続実績情報として記憶手段に格納されたMACアドレスと、前記認証要求に含まれるMACアドレスとを比較することにより実施された第２の認証の認証結果を受信する手段と
   を有することを特徴とするエッジノード。
7. ユーザの情報端末機器に通信サービスを提供し、エッジノードを備えるネットワークにおける認証サーバであって、
   前記ユーザが契約しているアクセス回線を収容する第１のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該第１のエッジノードから、当該第１のエッジノードにおける当該アクセス回線の収容情報と前記情報端末機器のMACアドレスとを含む認証要求を受信する手段と、
   予め記憶手段に格納してある収容情報と前記認証要求に含まれる収容情報とを比較することにより第１の認証を行い、第１の認証に成功した場合に、前記MACアドレスを接続実績情報として記憶手段に格納する手段と、
   前記ユーザが契約しているアクセス回線以外のアクセス回線を収容する第２のエッジノードが、前記情報端末機器からサービス要求を受信した際に、当該第２のエッジノードから、前記情報端末機器のMACアドレスを含む認証要求を受信する手段と、
   前記接続実績情報として記憶手段に格納されたMACアドレスと、前記認証要求に含まれるMACアドレスとを比較することにより第２の認証を行う手段と
   を有することを特徴とする認証サーバ。

Images