JP2018029233A - クライアント端末認証システム及びクライアント端末認証方法 - Google Patents

Abstract

【課題】無線回線を利用した情報通信において、ユーザ利便性を確保しながら、高いセキュリティを実現することができる。【解決手段】クライアント端末認証システム１では、クライアント端末１０が、トンネルＴ１確立後に、第２ＡＰ８Ｂ間との無線通信を介して、ネットワークにアクセスする場合、認証サーバ３によって付与されたＩＤをアウターヘッダに含めた通信経路確立要求を、アクセス制御装置５Ｂに送信し、アクセス制御装置５Ｂが、通信経路確立要求を受信した場合、該受信した通信経路確立要求のアウターヘッダに含まれるＩＤを、アクセス制御管理装置４に問い合わせ、アクセス制御管理装置４が、アクセス制御リストのＩＤと問い合わせがあったＩＤとが一致した場合、アクセス制御装置５Ｂに対し、クライアント端末１０とｖＶＰＮ−ＧＷ７との間に第２ＡＰ８Ｂを含む新たなトンネルＴ２を流れるパケットの通過を許可する。【選択図】図１

Description

本発明は、無線通信におけるクライアント端末認証システム及びクライアント端末認証方法に関する。

スマートフォンやタブレット端末等、ユーザが携帯可能な情報通信機器が一般化するとともに、無線通信が利用される場面が拡大している。これに伴い、ユーザが携帯情報端末を用いてＷｉ−Ｆｉ（登録商標）等の無線通信ネットワークから固定通信回線に接続し、多様なサービスを利用することも増えている。

ユーザが情報通信端末を用いて固定通信回線にアクセスする場合は、高いセキュリティを実現するために例えば回線認証等の技術が利用される。回線認証とは、ユーザの情報通信端末を一意に識別する発信者ＩＤ（Identifier）と、ホームゲートウェイ（ＨＧＷ）等に接続される通信回線を一意に識別する回線認証ＩＤと、を用いた認証技術である。回線認証により、ユーザが、契約している回線以外からネットワークにアクセスすることを防止することができる。

小宮 博美、"［上級］無線ＬＡＮの正しい構築法 第８回 ユーザー認証の機能が不可欠 企業では802.1xが主流に（後編）"、[online]、2006年9月21日、[2016年8月4日検索]、インターネット<URL:http://itpro.nikkeibp.co.jp/article/COLUMN/20060914/248050/>

しかしながら、ユーザがＷｉ−Ｆｉ等の無線ネットワークを利用する場合は、ユーザがネットワークに接続しようとする場所を予め特定できず、任意の回線が共用されるため、回線認証の技術を用いて高いセキュリティを実現することはできない。

そこで、ネットワークの末端にアドレス割当サーバを設け、このアドレス割当サーバにおいて簡易認証を実行した後に、上流の認証サーバにおいて、クライアント端末の証明書に基づく認証をさらに行うことで、無線回線を利用した情報通信におけるセキュリティを確保した端末認証システムが提案されている。例えば、クライアント端末を二段階にわたって認証した上で、仮想ｖＶＰＮ−ＧＷでＶＰＮ（Virtual Private Network）を構成する手法である。また、例えば、ホームゲートウェイを仮想化してネットワーク側へ配置する構成や、公衆Ｗｉ−ＦｉからｖＣＰＥ（virtual Customer Premises Equipment）に接続する構成にも、このクライアント端末認証システムを適用可能であり、図１９及び図２０は、従来のクライアント端末認証システム１Ｐの構成及び処理の流れを示す図である。

図１９に示すように、従来では、クライアント端末１０Ｐが、Ｗｉ−Ｆｉ−ＡＰ（アクセスポイント）（１）を介して、付加価値装置群または外部ネットワーク（ＮＷ）１００Ｐに接続する場合、まず、ネットワークの末端のサービスポータルサーバ２Ｐが、クライアント端末１０Ｐに対し簡易認証を行ってＩＰアドレスを割り当てる。クライアント端末１０Ｐは、このＩＰアドレスを用いて、上流の認証サーバ３Ｐにクライアント証明書を送付する（図１９の（１）参照）。認証サーバ３Ｐでは、クライアント端末１０Ｐの認証を行い（図１９の（２）参照）、認証に成功した場合には、通信フローの送信先のｖＶＰＮ−ＧＷ７Ｐと認証情報の同期を行う（図１９の（３）参照）とともに、サービスポータルサーバ２２Ｐを介して、クライアント端末１０Ｐに、ＩＤ及びパスワード（ＰＷ）を返却する（図１９の（４）参照）。

続いて、サービスポータルサーバ２Ｐは、通信フローを制御するアクセス制御管理装置４Ｐに、このクライアント端末１０Ｐが接続するＷｉ−Ｆｉ−ＡＰ（１）の送信元アドレス（ＳＡ１）と、クライアント端末１０Ｐに割り当てられた、接続先のｖＶＰＮ−ＧＷ７Ｐの送信先アドレス（ＤＡ１）との、アクセス制御リスト（Access Control List：ＡＣＬ）への設定依頼を行う（図１９の（５）参照）。

これに従い、アクセス制御管理装置４Ｐは、ＡＣＬの設定を行う。具体的には、枠Ｃ１に示すように、アクセス制御管理装置４Ｐは、Ｗｉ−Ｆｉ−ＡＰ（１）の送信元アドレス（ＳＡ１）と、接続先のｖＶＰＮ−ＧＷ７Ｐの送信先アドレス（ＤＡ１）とを、ＡＰ（１）と、ｖＶＰＮ−ＧＷ７Ｐとの間のアクセス制御装置（Ａ）のアクセス許可対象として、ＡＣＬ（例えば、テーブルＴＰ）に設定する。

そして、アクセス制御管理装置４Ｐは、ＡＣＬの設定内容にしたがって、アクセス制御装置（Ａ）に、アクセス許可を通知する（図１９の（６）参照）。すなわち、アクセス制御管理装置４Ｐは、アクセス制御装置（Ａ）が、アクセス制御管理装置４Ｐから許可されたクライアント端末１０Ｐに関するパケットを通過させる（図１９の（７）参照）ようアクセス制御を行う。これにともない、クライアント端末１０ＰとｖＶＰＮ−ＧＷ７Ｐとの間でトンネルが確立される（図１９の（８）参照）。なお、振分装置６Ｐは、アクセス制御装置（Ａ）から送信されたパケットを、このパケットの送信先となるｖＶＰＮ−ＧＷ７Ｐに振り分ける機能を有する。

ここで、図２０に示すように、クライアント端末１０Ｐが、ＡＰ（１）近辺から、移動し、アクセス制御装置（Ｂ）に接続するＡＰ（２）（送信元アドレス：ＳＡ２）近辺に移動した場合（図２０の（１）参照）について説明する。

この場合、クライアント端末１０Ｐが、移動後のトンネル確立の要求を、ＡＰ（２）を介してアクセス制御装置（Ｂ）に行う（図２０の（２）参照）。この場合、移動後トンネル確立要求のアウターヘッダには、ＡＰ（２）の送信元アドレス（ＳＡ２）と、送信先のｖＶＰＮ−ＧＷ７のアドレス（ＤＡ１）が含まれる。しかしながら、アクセス制御装置（Ｂ）では、移動後トンネル確立要求のアウターヘッダの組み合わせが、アクセスを許可するアウターヘッダのアドレスの組み合わせ（例えば、図２０の枠Ｃ２参照）に含まれていないため、アクセス許可対象にないと判断し（図２０の（３）参照）、トンネル確立を拒否する（図２０の（４）参照）。

このように、クライアント端末１０Ｐが接続するＡＰが変更した場合、クライアント端末１０の送信パケットのアウターヘッダでは、送信元アドレスが変更してしまうことから、変更したＡＰが接続するアクセス制御装置でアクセスが拒否される。したがって、クライアント端末１０Ｐが再度ｖＶＰＮ−ＧＷ７と接続する場合には、サービスポータルサーバ２Ｐへアクセスして、改めて簡易認証から認証を受ける必要があった（図２０の（５）参照）。

したがって、従来のシステムでは、公衆Ｗｉ−Ｆｉにおいて、クライアント端末１０Ｐの移動によってＡＰ変更があった場合に、クライアント端末１０Ｐが接続先に再アクセスするためには、ユーザは、再度、サービスポータルサーバ２Ｐへアクセスして改めて簡易認証から認証を受ける必要があり、ユーザの利便性に欠けるという問題があった。

本発明は、上記に鑑みてなされたものであって、無線回線を利用した情報通信において、ユーザ利便性を確保しながら、高いセキュリティを実現することができるクライアント端末認証システム及びクライアント端末認証方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係るクライアント端末認証システムは、アクセスポイント間との無線通信によりネットワークに接続するクライアント端末を認証し、クライアント端末によるネットワークへのアクセスを許可するクライアント端末認証システムであって、第１のアクセスポイント間との無線通信を介したクライアント端末からのアドレス割当要求を受信してアドレス認証を実行してアドレス認証に成功した場合にはクライアント端末にアドレスを送信するアドレス割当サーバと、アドレスを割り当てられたクライアント端末が送信する証明書を受信して当該証明書の認証を実行し、証明書の認証に成功した場合にクライアント端末によるネットワークへのアクセスを許可し、アドレス割当サーバを介して、クライアント端末に対応するＩＤ及びパスワードをクライアント端末に返却する認証サーバと、認証サーバによってアクセスが許可されたクライアント端末に割り当てられたゲートウェイと、第１のアクセスポイントとの間のアクセスを制御し、クライアント端末と該ゲートウェイとの間の第１のアクセスポイントを含む第１の通信経路を流れるパケットを通過させる第１のアクセス制御装置と、第１のアクセスポイントとは異なる第２のアクセスポイントとゲートウェイとの間のアクセスを制御し、第１の通信経路の確立後に、クライアント端末から、第２のアクセスポイント間との無線通信を介して、クライアント端末のＩＤをアウターヘッダに含めた通信経路確立要求を受信した場合、該受信した通信経路確立要求のアウターヘッダに含まれるＩＤを問い合わせ先に問い合わせる第２のアクセス制御装置と、第１のアクセス制御装置に第１の通信経路を流れるパケットの通過を許可するとともに、認証サーバによってアクセスが許可されたクライアント端末のＩＤと該クライアント端末が接続するアクセスポイントのアドレスとクライアント端末の送信先として割り当てられたゲートウェイの送信先アドレスとをアクセス制御装置の識別情報に対応付けたアクセス制御リストを記憶し、第２のアクセス制御装置からＩＤの問い合わせがあった場合であって問い合わせがあったＩＤをアクセス制御リストから検索した場合には、第２のアクセス制御装置に対し、クライアント端末と該クライアント端末に割り当てられたゲートウェイとの間の第２のアクセスポイントを含む第２の通信経路を流れるパケットの通過を許可するアクセス制御管理装置と、を有することを特徴とする。

本発明によれば、無線回線を利用した情報通信において、ユーザ利便性を確保しながら、高いセキュリティを実現することができる。

図１は、実施の形態に係るクライアント端末認証システムの構成の一例を説明する図である。 図２は、図１に示すサービスポータルサーバの構成の一例を示すブロック図である。 図３は、図１に示す認証サーバの構成の一例を示すブロック図である。 図４は、図１に示すアクセス制御管理装置の構成の一例を示すブロック図である。 図５は、図４に示すアクセス制御リストのデータ構成の一例を示す図である。 図６は、図１に示すアクセス制御装置の構成の一例を示すブロック図である。 図７は、図６に示すアクセス許可リストのデータ構成の一例を示す図である。 図８は、図１にｖＶＰＮ−ＧＷの構成の一例を示すブロック図である。 図９は、実施の形態にかかるクライアント端末認証システムにおけるクライアント端末に対する認証処理の流れを示す図である。 図１０は、実施の形態に係るクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立の流れを示す図である。 図１１は、図４に示すアクセス制御リストの更新を説明する図である。 図１２は、実施の形態に係るクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立の流れを示す図である。 図１３は、実施の形態に係るクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立の流れを示す図である。 図１４は、図４に示すアクセス制御リストの更新を説明する図である。 図１５は、図１に示すクライアント端末認証システムにおけるクライアント端末に対する認証処理の流れを説明するシーケンス図である。 図１６は、図１に示すクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立処理の流れを説明するシーケンス図である。 図１７は、図１に示すクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立処理の流れを説明するシーケンス図である。 図１８は、プログラムが実行されることにより、クライアント端末認証システムの各装置が実現されるコンピュータの一例を示す図である。 図１９は、従来のクライアント端末認証システムの構成及び処理の流れを示す図である。 図２０は、従来のクライアント端末認証システムの構成及び処理の流れを示す図である。

以下、図面を参照して、本発明の一実施の形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［実施の形態］
実施の形態に係るクライアント端末認証システムについて、クライアント端末認証システム全体の概略構成、クライアント端末認証システムを構成する各装置の概略構成、クライアント端末認証システムにおける処理の流れ及び具体例を説明する。なお、以降で説明するアクセス制御装置、ＡＰ等の台数は、あくまで例示であり、これに限定されるものではない。

［クライアント端末認証システムの構成］
まず、図１を参照して、実施の形態に係るクライアント端末認証システムの構成について説明する。図１は、実施の形態に係るクライアント端末認証システムの構成の一例を説明する図である。

図１に示すように、実施の形態に係るクライアント端末認証システム１は、サービスポータルサーバ２（アドレス割当サーバ）、サービスポータルサーバ２よりもネットワークの上流に位置する認証サーバ３、アクセス制御管理装置４、アクセス制御装置５Ａ，５Ｂ、振分装置６、ｖＶＰＮ−ＧＷ７、及び、クライアント端末１０が無線通信を行う第１アクセスポイント（ＡＰ）８Ａ，第２ＡＰ８Ｂを有する。クライアント端末１０は、第１ＡＰ８Ａ，第２ＡＰ８Ｂ間との無線通信によりネットワークに接続して、該クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７を介して、付加価値装置群または外部ネットワーク１００に接続する。付加価値装置群は、例えば、ｖＶＰＮ−ＧＷ７に接続したクライアント端末１０限定のコンテンツ配信や翻訳等の付加価値を提供する映像配信サーバや翻訳サーバを含む。

クライアント端末１０は、第１ＡＰ８Ａ或いは第２ＡＰ８Ｂとの間で無線通信を行う端末であって、スマートフォンやタブレット端末等、例えば、ユーザが携帯可能な情報通信機器である。クライアント端末１０は、予め、サービスを受けるためのクライアント証明書を保持している。クライアント端末１０は、サービスポータルサーバ２にアドレス認証割当要求を行い、サービスポータルサーバ２から割り当てられたＩＰアドレスを用いて、認証サーバ３にクライアント証明書を送信する。或いは、クライアント端末１０は、ログインＩＤ、パスワードを用いて、認証サーバ３への認証を要求することも可能である。

そして、クライアント端末１０は、認証サーバ３からＩＤ（Identifier）及びパスワード（ＰＷ）を返却された場合、第１ＡＰ８Ａ或いは第２ＡＰ８Ｂに対し、電子証明書を含み、例えばＳＳＬ（Secure Sockets Layer）により暗号化されたパケットを、無線通信を介して送信する。このＳＳＬは、ＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）ネットワークでデータを暗号化して送受信するプロトコルの一つである。この場合、クライアント端末１０は、第１ＡＰ８Ａ或いは第２ＡＰ８Ｂに対し、パケット中継時に該クライアント端末１０のＩＤをアウターヘッダに含ませて送信させる機能を有する。

そして、クライアント端末１０は、移動やＡＰ故障等によって接続するＡＰを変更した場合には、変更後の第２ＡＰ８Ｂが接続するアクセス制御装置５Ｂに移動後トンネル確立要求を行う。この場合も、クライアント端末１０は、第２ＡＰ８Ｂに対し、パケット中継時に該クライアント端末１０のＩＤを移動後トンネル確立要求のアウターヘッダに含ませて送信させる。

サービスポータルサーバ２は、ネットワークの末端に位置し、各種サービスを受け付ける。このサービスの中には、クライアント端末１０に対する簡易認証、簡易認証後の認証サーバ３への認証要求及び認証後のＩＤ、パスワード（ＰＷ）のクライアント端末１０への返却を含む。そして、サービスポータルサーバ２は、認証結果に基づくアクセス管理を実行するよう、アクセスが許可されたクライアント端末１０をアクセス許可対象として設定する依頼を、アクセス制御管理装置４に行う。

認証サーバ３は、簡易認証後のクライアント端末１０が送信する証明書を受信して該クライアント証明書を用いた認証を実行する。認証サーバ３は、このクライアント証明書を用いて認証に成功した場合、クライアント端末１０のネットワークへのアクセスを許可し、サービスポータルサーバ２を介して、ＩＤ及びパスワードをクライアント端末１０に返却する。また、認証サーバ３は、ｖＶＰＮ−ＧＷ７（後述）との間で、認証情報の同期を行う。なお、認証サーバ３は、クライアント端末１０から送信されたログインＩＤ、パスワードを用いて認証処理を行ってもよい。

アクセス制御管理装置４は、アクセス制御装置５Ａ，５Ｂに対してアクセス制御指示を行うことによって、クライアント端末１０ごとに異なるアクセス制御を行う。アクセス制御に関するアクセス制御リスト（ＡＣＬ）を保持する。このＡＣＬは、認証サーバ３によってアクセスが許可されたクライアント端末１０のＩＤと、該クライアント端末１０と無線通信を行うＡＰのアドレス（ＳＡ）と、クライアント端末１０からの通信フローの送信先アドレス（ＤＡ）とを対応付けたリストである。このＡＣＬに設定する情報は、サービスポータルサーバ２から依頼される。

また、アクセス制御管理装置４は、アクセス制御装置５Ａ，５ＢからＩＤの問い合わせがあった場合、ＡＣＬに、このＩＤと合致するＩＤがあった場合に、問い合わせ元のアクセス制御装置５Ａ，５Ｂに、問い合わせ対象のパケットのアクセスを許可する。

アクセス制御装置５Ａ（第１のアクセス制御装置）は、ｖＶＰＮ−ＧＷ７と第１ＡＰ８Ａとの間のアクセスを制御し、アクセスが許可されたパケットを通過させる。例えば、アクセス制御装置５Ａは、第１ＡＰ８Ａを経路に含み、クライアント端末１０と、該クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７との間のトンネルＴ１を流れるパケットを通過させる。

また、アクセス制御装置５Ｂ（第２のアクセス制御装置）は、ｖＶＰＮ−ＧＷ７と第２ＡＰ８Ｂとの間のアクセスを制御し、アクセスが許可されたパケットを通過させる。例えば、アクセス制御装置５Ｂは、第２ＡＰ８Ｂを経路に含み、クライアント端末１０と、該クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７との間のトンネルＴ２を流れるパケットを通過させる。

そして、アクセス制御装置５Ａは，５Ｂは、該アクセス制御装置５Ａ，５Ｂについてアクセスが許可されていないパケットを受信した場合、該パケットのアウターヘッダ内のＩＤを、アクセス制御管理装置４に問い合わせる。そして、アクセス制御装置５Ａ，５Ｂは、アクセス制御管理装置４から、問い合わせたＩＤに対してアクセス許可を指示された場合には、このパケットを通過させる。

振分装置６は、アクセス制御装置５Ａ，５Ｂから送信されたパケットを、該パケットのアウターヘッダ（後述）に含まれたＤＡを参照し、このパケットの送信先となるｖＶＰＮ−ＧＷ７に振り分ける。

ｖＶＰＮ−ＧＷ７は、ネットワーク側に配置され、クライアント端末１０との間に確立されるトンネルの終端点が設定されている。ｖＶＰＮ−ＧＷ７は、物理サーバの仮想環境下において動作する仮想マシンであり、クライアント端末１０が使用するサービスに応じて付加価値装置群または外部ＮＷ１００に接続する。すなわち、ｖＶＰＮ−ＧＷ７は、付加価値装置群または外部ＮＷ１００にアクセスする際の出入口として機能する。そして、ｖＶＰＮ−ＧＷ７は、複数のクライアント端末１０をグループ化し、グループ単位でカスタマイズされた付加価値を提供する。

ｖＶＰＮ−ＧＷ７は、電子証明書を含みＳＳＬにより暗号化されたパケットを、クライアント端末１０から受信する。そして、ｖＶＰＮ−ＧＷ７は、認証サーバ３との間で同期した認証情報を基に、受信したパケットを復号化する。続いて、ｖＶＰＮ−ＧＷ７は、パケット内の電子証明書を用いて通信相手のクライアント端末１０が真正であることを認証した場合には、このクライアント端末１０との間にトンネル（具体的には、暗号化ＩＰトンネルである。）を確立する。その後、ｖＶＰＮ−ＧＷ７は、このトンネルを介して、クライアント端末１０との間でデータを暗号化して通信を行う。

なお、ｖＶＰＮ−ＧＷ７は、通信相手のクライアント端末１０の認証が不可能であった場合には、認証不可能であったクライアント端末１０のＩＤ，ＳＡを認証サーバ３（後述）に通知する。また、ｖＶＰＮ−ＧＷ７は、物理サーバであってもよい。本実施の形態では、ｖＶＰＮ−ＧＷ７でＶＰＮを構成する方式であるが、ＣＰＥ（Customer Premises Equipment）を仮想化したｖＣＰＥを構成してもよい。

第１ＡＰ８Ａ及び第２ＡＰ８Ｂは、無線通信にてクライアント端末１０と接続する中継装置であり、例えば、有線ＬＡＮとの接続機能も有する。第１ＡＰ８Ａは、アクセス制御装置５Ａと接続する。第２ＡＰ８Ｂは、アクセス制御装置５Ｂと接続する。

第１ＡＰ８Ａ及び第２ＡＰ８Ｂは、クライアント端末１０から送信されたパケットについて、ＮＡＰＴ（Network Address Port Translation）によりＩＰアドレスおよびポート番号を変換し、第１ＡＰ８Ａ或いは第２ＡＰ８Ｂのアドレス（送信元アドレス：ＳＡ）、送信先のｖＶＰＮ−ＧＷ７のアドレス（宛先アドレス：ＤＡ）及びクライアント端末１０に付与されたＩＤを含めたアウターヘッダを付して、送信先のｖＶＰＮ−ＧＷ７に送信する。この場合、第１ＡＰ８Ａ及び第２ＡＰ８Ｂが送信するパケットのインナーヘッダのアドレスは、ＡＰでＮＡＰＴされた値であり、同じＡＰに接続しているクライアント群については、同じ値となる。このため、アクセス制御管理装置４及びアクセス制御装置５Ａ，５Ｂは、アウターヘッダの情報を認識することによってアクセス制御を行う。

このクライアント端末認証システム１では、認証サーバ３による認証後、クライアント端末１０について、第１ＡＰ８Ａを含むトンネルＴ１を確立した後に、クライアント端末１０の移動によって（図１の矢印参照）、中継するＡＰが、第２ＡＰ８Ｂに変更した場合、サービスポータルサーバ２及び認証サーバ３よりも下位のアクセス制御管理装置４の制御によって、新たなトンネルＴ２をクライアント端末１０について確立している。

具体的には、アクセス制御装置５Ｂは、ＡＰ移動後のクライアント端末１０から、ＩＤを含む移動後通信確立要求を受けた場合、このＩＤを、アクセス制御管理装置４に問い合わせる。アクセス制御管理装置４は、ＡＣＬのＩＤと、問い合わせがあったＩＤとが一致した場合、このアクセス制御装置５Ｂに対し、クライアント端末１０とｖＶＰＮ−ＧＷ７との間に、移動後のクライアント端末１０が無線通信を行う第２ＡＰ８Ｂを含むトンネルＴ２を流れるパケットの通過を許可する。

したがって、本実施の形態では、クライアント端末１０の移動によって中継するＡＰが変更した場合、再度、サービスポータルサーバ２による簡易認証及び認証サーバ３による認証を受けずとも、変更したＡＰを経路に含むトンネルの確立を可能にしている。そこで、本クライアント端末認証システム１の要部装置について詳細に説明する。

［サービスポータルサーバの構成］
まず、サービスポータルサーバ２の構成について説明する。図２は、図１に示すサービスポータルサーバ２の構成の一例を示すブロック図である。図２に示すように、サービスポータルサーバ２は、通信部２１、記憶部２２及び制御部２３を有する。

通信部２１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースである。

記憶部２２は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、サービスポータルサーバ２を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部２２は、アドレス割当を行ったクライアント端末１０のＩＰアドレス、認証サーバ３による認証が成功したクライアント端末１０のＩＤ，ＳＡ，ＤＡを記憶する。

制御部２３は、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部２３は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路である。制御部２３は、認証受付部２３１、アクセス制御リスト設定依頼部２３２及びＩＤ管理部２３３を有する。

認証受付部２３１は、ＡＰとの間の無線通信を介したクライアント端末１０からのアドレス認証割当要求を受け付けて簡易認証を行い、認証に成功すると、クライアント端末１０にＩＰアドレスを割り当てる。なお、この簡易認証については、特に限定せず、ネットワークに要求されるセキュリティのレベルに応じて認証レベルを設定すればよい。たとえば、認証受付部２３１は、回線認証と同様に、発信者ＩＤと回線認証ＩＤを取得し、登録されたユーザの発信者ＩＤが取得された場合のみＩＰアドレスを発行するように設定してもよい。また、発信者ＩＤのほかに、５ｔｕｐｌｅ、ＳＩＭ、トンネルＩＤ等を用いて簡易認証を実現してもよい。

また、認証受付部２３１は、ＩＰアドレスを用いてネットワークにアクセスしたクライアント端末１０による認証要求を受け付けて、認証サーバ３にクライアント証明書を送信する。また、サービスポータルサーバ２は、認証サーバ３による認証結果（ＩＤ，ＰＷ）をクライアント端末１０に返却する。

アクセス制御リスト設定依頼部２３２は、認証サーバ３による認証結果に基づくアクセス管理を実行するよう、アクセスが許可されたクライアント端末１０をアクセス許可対象として設定する依頼を、アクセス制御管理装置４に行う。

例えば、アクセス制御リスト設定依頼部２３２は、アクセスが許可されたクライアント端末１０のＩＤ、該クライアント端末１０と無線送信を行うＡＰの送信元アドレス（ＳＡ）、クライアント端末１０からの通信フローの送信先アドレス（ＤＡ）とを対応付けた情報の設定をアクセス制御管理装置４に依頼する。この場合、送信元アドレス（ＳＡ）は、クライアント端末１０が無線通信を行うＡＰのアドレスとなり、送信先アドレス（ＤＡ）は、クライアント端末１０が接続するｖＶＰＮ−ＧＷ７のアドレスとなる。また、アクセス制御リスト設定依頼部２３２は、認証サーバ３から、ｖＶＰＮ−ＧＷ７による認証不可能であったクライアント端末１０のＩＤ，ＳＡの削除を指示された場合には、アクセス制御管理装置４に対し、アクセス対象から、このクライアント端末１０のＩＤ，ＳＡの削除を依頼する。

ＩＤ管理部２３３は、認証サーバ３によってネットワークへのアクセスが許可されたクライアント端末１０や認証サーバ３によってアクセス許可対象から削除を指示されたクライアント端末１０のＩＤ等を管理し、クライアント端末１０のＩＤ，ＳＡ，ＤＡを対応付けて記憶部２２に記憶させる。

［認証サーバの構成］
次に、認証サーバ３の構成について説明する。図３は、図１に示す認証サーバ３の構成の一例を示すブロック図である。図３に示すように、認証サーバ３は、通信部３１、認証データベース（ＤＢ）３２及び制御部３３を有する。

通信部３１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースである。

認証ＤＢ３２は、認証サーバ３内部のＤＢ、認証サーバ３と専用回線で接続するＤＢ等である。認証ＤＢ３２は、認証サーバ３に認証局から発行されたサーバ証明書、認証用の鍵等を記憶する。また、認証ＤＢ３２は、認証サーバ３によって認証されたクライアント端末１０に関する認証情報をクライアント端末１０ごとに記憶する。例えば、認証情報とは、クライアント端末のＩＤ，ＳＡ，ＤＡ及び認証の成功の可否である。

制御部３３は、制御部２３と同様に、ＣＰＵやＭＰＵなどの電子回路であり、各種の処理手順などを規定したプログラムに従って種々の処理を実行する。制御部３３は、認証部３３１を有する。

認証部３３１は、通信部３１を介して、ＩＰアドレスを割り当てられたクライアント端末１０が送信する証明書を受信し、該クライアント証明書を用いた認証を実行する。例えば、認証サーバ３は、クライアント端末１０からクライアント証明書を受信すると、クライアント証明書に含まれる電子署名を、公開鍵を用いて復号する。これによって、認証部３３１は、クライアント証明書の真正か否かを判定する。認証部３３１は、クライアント証明書の真正を認証し、認証に成功した場合、このクライアント証明書を送信したクライアント端末１０によるネットワークへのアクセスを許可する。

そして、認証部３３１は、サービスポータルサーバ２を介して、アクセス許可を行ったクライアント端末１０に対応するＩＤ及びパスワードをクライアント端末１０に返却する。また、認証部３３１は、ｖＶＰＮ−ＧＷ７（後述）との間で、認証情報の同期を行う。そして、認証部３３１は、ｖＶＰＮ−ＧＷ７から、認証不可能であったクライアント端末１０のＩＤ，ＳＡの通知があった場合には、認証不可能であったクライアント端末のＩＤ及びＳＡをサービスポータルサーバ２に通知し、アクセス許可が設定されているもののうち、認証不可能であったクライアント端末１０のＩＤ及びＳＡの削除を実行させる。

［アクセス制御管理装置の構成］
次に、アクセス制御管理装置４の構成について説明する。アクセス制御管理装置４は、例えば、ＰＣＲＦ（Policy and Charging Rules Function）である管理装置である。図４は、図１に示すアクセス制御管理装置４の構成の一例を示すブロック図である。図４に示すように、アクセス制御管理装置４は、通信部４１、記憶部４２及び制御部４３を有する。

通信部４１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースである。

記憶部４２は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、アクセス制御管理装置４を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部４２は、アクセス制御リスト４２１を記憶する。

図５は、図４に示すアクセス制御リスト４２１のデータ構成の一例を示す図である。図５に示すように、アクセス制御リスト４２１は、管理対象のアクセス制御装置５Ａ，５Ｂの識別情報に、各アクセス制御装置５Ａ，５Ｂに対してアクセスを許可するパケットのアウターヘッダのアドレス（ＳＡ，ＤＡ）及びアウターヘッダ内に含まれるクライアント端末１０のＩＤを対応づけたものである。

例えば、アクセス制御リスト４２１の１行目には、アクセス制御装置５Ａに対して、アウターヘッダのアドレス「ＳＡ１」，「ＤＡ１」と、クライアント端末１０のＩＤ「１」，「２」，「３」，「４」とが示されている。したがって、アクセス制御管理装置４は、アクセス制御装置５Ａに対し、アウターヘッダに「ＳＡ１」，「ＤＡ１」，「ＩＤ「１」〜「４」」が含まれるパケットの通過を許可している。

また、アクセス制御リスト４２１の２行目には、アクセス制御装置５Ｂに対して、アウターヘッダのアドレス「ＳＡ２」，「ＤＡ１」と、クライアント端末１０のＩＤ「５」，「６」，「７」，「８」とが示されている。したがって、アクセス制御管理装置４は、アクセス制御装置５Ｂに対し、アウターヘッダに「ＳＡ２」，「ＤＡ１」，「ＩＤ「５」〜「８」」が含まれるパケットの通過を許可している。

制御部４３は、制御部２３と同様に、ＣＰＵやＭＰＵなどの電子回路であり、各種の処理手順などを規定したプログラムに従って種々の処理を実行する。制御部４３は、アクセス制御リスト設定部４３１及びアクセス制御部４３２を有する。

アクセス制御リスト設定部４３１は、サービスポータルサーバ２からアクセス制御リスト４２１への設定依頼を受けて、設定を依頼された情報をアクセス制御リスト４２１に設定する。アクセス制御リスト設定部４３１は、サービスポータルサーバ２による依頼に応じて、アクセス制御リスト４２１に新たにアクセスを許可されたクライアント端末１０のＩＤ，ＳＡ，ＤＡの追加、或いは、削除を行う。或いは、アクセス制御リスト設定部４３１は、アクセス制御部４３２の制御内容に応じて、アクセス制御リスト４２１を更新する。

アクセス制御部４３２は、アクセス制御リスト４２１の設定内容に従い、アクセス制御装置５Ａ，５Ｂへのアクセス制御指示を行うことによって、クライアント端末１０ごとにフローを識別して、クライアント端末１０ごとに異なるアクセス制御を行う。

また、アクセス制御部４３２は、アクセス制御装置５Ａ，５ＢからＩＤの問い合わせがあった場合には、アクセス制御リスト４２１を参照し、問い合わせがあったＩＤと合致するＩＤを検索する。

そして、アクセス制御部４３２は、問い合わせがあったＩＤと合致するＩＤをアクセス制御リスト４２１から検索できた場合には、問い合わせ元のアクセス制御装置５Ａ，５Ｂに、問い合わせ対象のＩＤを有するパケットの通過を許可する。これに伴い、アクセス制御リスト設定部４３１は、アクセス制御リスト４２１を、問い合わせ対象のＩＤを、新たに通過を許可したアクセス制御装置５Ａ，５Ｂに対応させる内容に更新する。なお、アクセス制御部４３２は、問い合わせがあったＩＤと合致するＩＤをアクセス制御リスト４２１から検索できない場合には、問い合わせ元のアクセス制御装置５Ａ，５Ｂに、問い合わせ対象のパケットの通過を許可しない。

［アクセス制御装置の構成］
次に、アクセス制御装置５Ａの構成について説明する。図６は、図１に示すアクセス制御装置５Ａの構成の一例を示すブロック図である。なお、アクセス制御装置５Ｂもアクセス制御装置５Ａと同様の構成を有する。図６に示すように、アクセス制御装置５Ａは、通信部５１、記憶部５２及び制御部５３を有する。

通信部５１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースである。

記憶部５２は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、アクセス制御装置５Ａを動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部５２は、アクセス許可リスト５２１を記憶する。

図７は、図６に示すアクセス許可リスト５２１のデータ構成の一例を示す図である。図７に示すように、アクセス許可リスト５２１は、当該アクセス制御装置５Ａが、アクセス制御管理装置４からアクセスを許可されたパケットの、アウターヘッダのアドレス（ＳＡ１，ＤＡ１）及びアウターヘッダ内に含まれるクライアント端末１０のＩＤ「１」，「２」，「３」，「４」を対応づけたものである。

制御部５３は、制御部２３と同様に、ＣＰＵやＭＰＵなどの電子回路であり、各種の処理手順などを規定したプログラムに従って種々の処理を実行する。制御部５３は、アクセス許可リスト設定部５３１、アクセス処理部５３２及びＩＤ問い合わせ部５３３を有する。

アクセス許可リスト設定部５３１は、アクセス制御管理装置４からのアクセス制御を受けて、アクセス許可リスト５２１に対し、当該アクセス制御装置５Ａがアクセスを許可されたクライアント端末１０のＩＤ，ＳＡ，ＤＡの追加、或いは、削除を行う。

アクセス処理部５３２は、アクセス制御装置５Ａが受信したパケットのアウターヘッダを判別し、アクセス許可リスト５２１に参照して、該パケットの通過の可否を判断する。当該アクセス制御装置５Ａは、第１ＡＰ８Ａと接続するため、アクセス処理部５３２は、クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７と第１ＡＰ８Ａとの間のアクセスを制御し、アクセス制御管理装置４の指示に基づいて、アクセスが許可されたパケットを通過させる。具体的には、アクセス処理部５３２は、アクセス許可リスト５２１に設定されている、「ＳＡ１」，「ＤＡ１」，「ＩＤ１」がアウターヘッダに含まれるパケットの通過を許可する。したがって、アクセス制御装置５Ａは、第１ＡＰ８Ａを経路に含み、クライアント端末１０と、該クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７との間のトンネルＴ１を通過させる。

ＩＤ問い合わせ部５３３は、このアクセス制御装置５Ａについて通過が許可されていないパケットを受信した場合、該パケットのアウターヘッダ内のＩＤを、アクセス制御管理装置４に問い合わせる。そして、アクセス処理部５３２は、アクセス制御管理装置４から、問い合わせたＩＤに対してアクセス許可を指示された場合には、このパケットを通過させる。また、アクセス許可リスト設定部５３１は、アクセス制御管理装置４から、問い合わせたＩＤに対してアクセス許可を指示された場合には、アクセス許可リスト５２１に対し、アクセスを許可されたＩＤに基づく他の情報を更新する。なお、アクセス処理部５３２は、アクセス制御管理装置４から、問い合わせたＩＤに対してアクセスを許可されなかった場合には、このパケットを遮断する。

［ｖＶＰＮ−ＧＷの構成］
次に、図１に示すｖＶＰＮ−ＧＷ７の構成について説明する。図８は、図１にｖＶＰＮ−ＧＷの構成の一例を示すブロック図である。図８に示すように、ｖＶＰＮ−ＧＷ７は、通信部７１、記憶部７２及び制御部７３を有する。

通信部７１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースであり、実際には、該ｖＶＰＮ−ＧＷ７を稼働させる物理サーバに設けられている。

記憶部７２は、ｖＶＰＮ−ＧＷ７を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどを記憶する。記憶部７２は、クライアント端末１０のグループ化があった場合に、グループごとに、グループに属するクライアント端末１０の識別情報を対応付けて記憶する。そして、記憶部７２は、グループごとに、提供する付加価値機能を示す内容、提供先の付加価値装置の情報等を対応付けて記憶する。記憶部７２は、該ｖＶＰＮ−ＧＷ７を稼働させる物理サーバに設けられたＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現される。

制御部７３は、各種の処理手順などを規定したプログラムに従って種々の処理を実行する。制御部７３は、ｖＶＰＮ−ＧＷ７を稼働させる物理サーバに設けられたＣＰＵやＭＰＵなどの電子回路である。制御部７３は、クライアントグループ管理部７３１、付加価値機能提供部７３２及び認証実行部７３３を有する。

クライアントグループ管理部７３１は、複数の任意のクライアント端末１０をグループ化する。クライアントグループ管理部７３１は、例えば、イベント対応等で一時的にクライアントグループを設定する。クライアントグループ管理部７３１は、グループごとに、グループに属するクライアント端末１０の識別情報を対応付けて記憶部７２に記憶させる。

付加価値機能提供部７３２は、クライアント端末１０が使用するサービスに応じて付加価値装置群に接続し、限定コンテンツや翻訳等の付加価値機能をクライアント端末１０に提供する。付加価値機能提供部７３２は、トラヒックを適切な事業者網や付加価値装置群への振り分けを行う、付加価値機能提供部７３２は、クライアントグループ管理部７３１によってグループ化が行なわれた場合には、グループ単位にカスタマイズした付加価値機能を提供する。

認証実行部７３３は、クライアント端末１０との間で、ＳＳＬ認証を実行し、クライアント端末１０との間にトンネルを確立させる。本実施の形態では、ＳＳＬ認証を使用した暗号化トンネル技術、ＳＳＬ−ＶＰＮ（例えば、Ｏｐｅｎ ＶＰＮ）が用いられている。例えば、ｖＶＰＮ−ＧＷ７と、クライアント端末１０とが、Ｏｐｅｎ ＶＰＮ実現のために使用されるＳＳＬ／ＴＬＳ認証を用いた暗号化通信を行う場合には、ｖＶＰＮ−ＧＷ７及びクライアントの双方の認証手続きを行う。そして、この認証技術では、ＴＬＳ−ＡＵＴＨ ＨＭＡＣ共通鍵（以降、共通鍵とする。）を用いて、全てのＳＳＬ／ＴＬＳハンドシェイクパケットについて、ＨＭＡＣ署名によるパケットの整合性チェックを行う。

［クライアント端末に対する認証処理の流れ］
次に、クライアント端末認証システム１におけるクライアント端末１０に対する認証処理の流れについて説明する。図９は、クライアント端末認証システム１におけるクライアント端末１０に対する認証処理の流れを示す図である。

まず、クライアント端末１０は、第１ＡＰ８Ａ（送信元アドレス：ＳＡ１）との無線通信を介して、サービスポータルサーバ２に対して、ＩＰアドレス割当要求を行い、サービスポータルサーバ２が簡易認証に成功すると、ＩＰアドレスが割り当てられる。クライアント端末１０は、割り当てられたＩＰアドレスを用いてネットワークに接続し、クライアント証明書を認証サーバ３に送付する（図９の（１）参照）。

認証サーバ３は、このクライアント証明書を用いた認証に成功した場合（図９の（２）参照）、クライアント端末１０のネットワークへのアクセスを許可し、サービスポータルサーバ２を介して、ＩＤ「１」及びパスワードをクライアント端末１０に返却する（図９の（３）参照）。また、認証サーバ３は、このクライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７（送信先アドレス：ＤＡ１）との間で、認証情報の同期を行う（図９の（４）参照）。

ここで、サービスポータルサーバ２は、認証サーバ３によってアクセスが許可されたクライアント端末１０に対応する「ＳＡ１」，「ＤＡ１」，「ＩＤ１」のアクセス制御リスト（ＡＣＬ）４２１の設定を、アクセス制御管理装置４に依頼する（図９の（５）参照）。この依頼に応じて、アクセス制御管理装置４は、アクセス制御リスト４２１に、依頼されたクライアント端末１０に対応する「ＳＡ１」，「ＤＡ１」，「ＩＤ１」を設定する（図９の（６）参照）。そして、アクセス制御管理装置４は、送信元アドレス「ＳＡ１」である第１ＡＰ８Ａと接続するアクセス制御装置５Ａに対して、クライアント端末１０とｖＶＰＮ−ＧＷ７との間のアクセスを許可する（図９の（７）参照）。

これによって、アクセス制御装置５Ａは、アウターヘッダに「ＳＡ１」，「ＤＡ１」，「ＩＤ１」を含むパケットの通過を許可する。そして、ｖＶＰＮ−ＧＷ７は、クライアント端末１０から受信したパケットを復号化し、パケット内の電子証明書を用いて通信相手のクライアント端末１０を認証した場合には、このクライアント端末１０との間に第１ＡＰ８Ａを経路に含むトンネルＴ１を確立する（図９の（８）参照）。アクセス制御装置５Ａは、アウターヘッダに「ＳＡ１」，「ＤＡ１」，「ＩＤ１」を含むパケットの通過が許可されているため、このトンネルＴ１を通過させることとなる。その後、ｖＶＰＮ−ＧＷ７とクライアント端末１０とは、このトンネルＴ１を介して、データを暗号化して通信を行う。

このように、クライアント端末認証システム１では、サービスポータルサーバ２がアドレス認証を実行することで、不正なクライアント端末１０がネットワークに通信フローを送ることを防止することができる。また、クライアント端末認証システム１では、アドレス認証に成功したクライアント端末１０の証明書に基づく認証をさらに実行することで、アドレス認証だけ実行する場合と比較してネットワークのセキュリティを向上させることができる。このため、クライアント端末認証システム１は、無線回線を利用した情報通信において高いセキュリティを実現することができる。さらに、クライアント端末認証システム１では、認証サーバ３をサービスポータルサーバ２よりも上流に配置しているため、サービスポータルサーバ２と認証サーバ３とをネットワーク上の同じ位置に配置する場合と比較して、認証サーバを集約的に配置することができる。

［クライアント端末移動後のトンネル再確立の流れ］
次に、クライアント端末認証システム１におけるクライアント端末１０移動後のトンネル再確立の流れについて説明する。図１０，図１２，図１３は、クライアント端末認証システム１におけるクライアント端末１０移動後のトンネル再確立の流れを示す図である。図１１、図１４は、アクセス制御管理装置４が有するアクセス制御リスト４２１の更新を説明する図である。

例えば、クライアント端末１０が、第１ＡＰ８Ａ近辺の位置Ｐ１から移動し、アクセス制御装置５Ｂに接続する第２ＡＰ８Ｂ（送信元アドレス：ＳＡ２）近辺の位置Ｐ２に移動した場合（図１０の（１）参照）について説明する。

この場合、クライアント端末１０は、第２ＡＰ８Ｂへの接続変更に伴い、第２ＡＰ８Ｂを経路に含むトンネルをｖＶＰＮ−ＧＷ７との間で改めて確立できるよう、第２ＡＰ８Ｂが接続するアクセス制御装置５Ｂに移動後トンネル確立要求を行う（図１０の（２）参照）。このとき、クライアント端末１０は、第２ＡＰ８Ｂに対し、パケット中継時に該クライアント端末１０のＩＤ「１」を移動後トンネル確立要求のアウターヘッダに含ませて送信させる。この結果、移動後トンネル確立要求のアウターヘッダには、第２ＡＰ８Ｂの送信元アドレス「ＳＡ２」、送信先のｖＶＰＮ−ＧＷ７のアドレス「ＤＡ１」及びクライアント端末１０のＩＤである「ＩＤ１」が含まれる。

ここで、アクセス制御装置５Ｂには、アウターヘッダに「ＳＡ２」，「ＤＡ１」，「ＩＤ「５」〜「８」」が含まれるパケットの通過を許可している。このため、アクセス制御装置５Ｂは、アウターヘッダに「ＳＡ２」，「ＤＡ１」，「ＩＤ１」を含む移動後トンネル確立要求のパケットは、通過が許可されていないパケットであると判断し、この移動後トンネル確立要求のアウターヘッダ内の「ＩＤ１」，「ＳＡ２」，「ＤＡ１」を、アクセス制御管理装置４に問い合わせる（図１０の（３）参照）。

アクセス制御管理装置４は、アクセス制御リスト４２１を参照し、問い合わせがあった「ＩＤ１」と合致するＩＤを検索する（図１０の（４）参照）。ここで、アクセス制御リスト４２１が、図１１に示すテーブルＴａである場合、問い合わせがあった「ＩＤ１」と合致するＩＤが、アクセス制御装置５Ａに対応する１行目から検索できる。

このように、アクセス制御部４３２は、問い合わせがあったＩＤと合致するＩＤをアクセス制御リスト４２１から検索できた場合（図１０の（５）参照）、問い合わせ元のアクセス制御装置５Ｂに、問い合わせ対象である「ＩＤ１」，「ＳＡ２」，「ＤＡ１」をアウターヘッダに含むパケットのアクセスを許可する（図１０の（６）参照）。

なお、この場合には、アクセス制御管理装置４は、アクセス制御リスト４２１を、問い合わせ対象の「ＩＤ１」を、新たに通過を許可したアクセス制御装置５Ｂに対応させる内容に更新する（図１０の（５）参照）。具体的には、アクセス制御管理装置４は、アクセス制御リスト４２１を、図１１に示すテーブルＴａの１行目から、ＩＤ「１」を削除し、アクセス制御装置５Ｂに対応する２行目のＩＤ欄に「１」を新たに追加したテーブルＴｂに更新する。

そして、アクセス制御装置５Ｂによって、アウターヘッダに「ＳＡ２」，「ＤＡ１」，「ＩＤ１」を含む移動後トンネル確立要求の通過が許可されるため、ｖＶＰＮ−ＧＷ７に、該移動後トンネル確立要求が到達する。ｖＶＰＮ−ＧＷ７は、このクライアント端末１０から受信した移動後トンネル確立要求を復号化し、パケット内の電子証明書を用いて通信相手のクライアント端末１０の認証の可否を判断する（図１２の（８）参照）。そして、ｖＶＰＮ−ＧＷ７は、認証可能と判断した場合には（図１２の（８’）参照）、新たな認証情報の同期を認証サーバ３との間で実行するとともに（図１２の（９）参照）、このクライアント端末１０との間に、アクセス制御装置５Ｂ及び第２ＡＰ８Ｂを経路に含むトンネルＴ２を確立する（図１２の（１０）参照）。

このように、クライアント端末認証システム１では、クライアント端末１０の移動によって中継するＡＰが変更した場合、アクセス制御管理装置４の制御によって、新たなトンネルＴ２をクライアント端末１０について確立している。したがって、クライアント端末認証システム１では、再度、サービスポータルサーバ２による簡易認証及び認証サーバ３による認証を受けずとも、変更したＡＰを経路に含むトンネルを確立することができる。

続いて、悪意あるクライアント端末からの移動後トンネル確立要求を受けた場合について説明する。クライアント端末認証システム１では、図１３に示す流れの処理を行うことによって、悪意あるクライアント端末のアクセスを排除している。

例えば、トンネルＴ１をｖＶＰＮ−ＧＷ７との間に確立したクライアント端末１０−１からＩＤを盗み見した（図１３の（１）参照）クライアント端末１０−２から、第２ＡＰ８Ｂを介して、移動後トンネル確立要求があった場合（図１３の（２）参照）を例に説明する。この場合、悪意あるクライアント端末１０−２が送信する移動後トンネル確立要求には、ネットワークへのアクセスが許可されているクライアント端末１０−１のＩＤ「１」、第２ＡＰ８Ｂの送信元アドレスである「ＳＡ２」及び送信先のｖＶＰＮ−ＧＷ７のアドレス（送信先アドレス）である「ＤＡ１」が、アウターヘッダに含まれている。このため、この移動後トンネル確立要求を受信したアクセス制御装置５Ｂは、図１０の（３）の場合と同様に、この移動後トンネル確立要求のアウターヘッダ内の「ＩＤ１」，「ＳＡ２」，「ＤＡ１」を、アクセス制御管理装置４に問い合わせる（図１３の（３）参照）。

この場合も、アクセス制御管理装置４は、アクセス制御リスト４２１を参照し、問い合わせがあったＩＤと合致するＩＤを検索する（図１３の（４）参照）。ここで、認証が成功し既にアクセス制御リスト４２１にＩＤが設定されているクライアント端末１０−１のＩＤ「１」が、問い合わせ対象であるため、問い合わせ対象のＩＤと合致するＩＤがアクセス制御リスト４２１から検索できる。このため、アクセス制御管理装置４は、問い合わせ元のアクセス制御装置５Ｂに、問い合わせ対象である「ＩＤ１」，「ＳＡ２」，「ＤＡ１」をアウターヘッダに有するパケットのアクセスを許可する（図１３の（５）参照）。これによって、悪意あるクライアント端末１０−２による移動後トンネル確立要求は、アクセス制御装置５Ｂを通過し、ｖＶＰＮ−ＧＷ７に到達する。

ただし、この悪意あるクライアント端末１０−２から受信した移動後トンネル確立要求内に、真正であるクライアント端末１０−１に対応する電子証明書が含まれていない。このため、ｖＶＰＮ−ＧＷ７は、このクライアント端末１０−２の認証が不可能であると判断する（図１３の（６）参照）。そして、ｖＶＰＮ−ＧＷ７は、自身のアドレス（ＤＡ）を付し、この認証不可能であったクライアント端末１０−２のＩＤ，ＳＡを認証サーバ３に通知する（図１３の（７）参照）。

この通知を受けて、認証サーバ３は、このＩＤ，ＳＡ，ＤＡについて、ｖＶＰＮ−ＧＷ７にて所定回数認証不可能であったか否かを判断し、所定回数認証が不可能であった場合には、このＩＤは、悪意あるクライアント端末に使用されていると判定する。そして、認証サーバ３は、この所定回数認証が不可能であったＩＤを用いたアクセスを排除するため、このＩＤ，ＳＡ，ＤＡをサービスポータルサーバ２に通知する（図１３の（８）参照）。

サービスポータルサーバ２は、この所定回数認証が不可能であったＩＤ，ＳＡ，ＤＡのアクセス制御リスト４２１からの削除を依頼する（図１３の（９）参照）。これに応じて、アクセス制御管理装置４は、アクセス制御リスト４２１から、このＩＤ，ＳＡ，ＤＡを削除する（図１３の（１０）参照）。具体的には、アクセス制御管理装置４は、アクセス制御リスト４２１を、図１４に示すテーブルＴｂの２行目から、「ＩＤ１」を削除したテーブルＴｃに更新する。

そして、アクセス制御管理装置４は、アクセス制御装置５Ｂに対しても、このＩＤ，ＳＡを、アクセス許可対象から削除するよう指示する（図１３の（１１）参照）。言い換えると、アクセス制御管理装置４は、該ＩＤに対応するクライアント端末１０−２のアクセス拒否をアクセス制御装置５Ｂに指示する。この結果、クライアント端末認証システム１においては、悪意あるクライアント端末１０−２のネットワークへのアクセスを排除することができる。

［クライアント端末に対する認証処理］
次に、図１５を参照して、クライアント端末認証システム１におけるクライアント端末に対する認証処理の処理手順について説明する。図１５は、図１に示すクライアント端末認証システム１におけるクライアント端末に対する認証処理の流れを説明するシーケンス図である。

まず、クライアント端末１０は、第１ＡＰ８Ａを中継して、サービスポータルサーバ２に対して、ＩＰ割当要求を行う（ステップＳ１及びステップＳ２）。サービスポータルサーバ２は、簡易認証に成功すると、ＩＰアドレスをクライアント端末１０に割り当て、割り当てたＩＰアドレスを、第１ＡＰ８Ａを中継して、クライアント端末１０に送信する（ステップＳ３及びステップＳ４）。

そして、クライアント端末１０は、割り当てられたＩＰアドレスを用いてネットワークに接続し、第１ＡＰ８Ａを中継して、クライアント証明書を認証サーバ３に送付する（ステップＳ５及びステップＳ６）。認証サーバ３は、このクライアント証明書を用いて認証に成功した場合、クライアント端末１０のネットワークへのアクセスを許可し、サービスポータルサーバ２及び第１ＡＰ８Ａを介して、ＩＤ「１」及びパスワードをクライアント端末１０に返却する（ステップＳ７〜ステップＳ９）。また、認証サーバ３は、このクライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７との間で、認証情報の同期を行う（ステップＳ１０）。

ここで、サービスポータルサーバ２は、認証サーバ３によってアクセスが許可されたクライアント端末１０に対応するＳＡ，ＤＡ，ＩＤのアクセス制御リスト４２１の設定を、アクセス制御管理装置４に依頼する（ステップＳ１１）。この依頼に応じて、アクセス制御管理装置４は、アクセス制御リスト４２１に、依頼されたＳＡ，ＤＡ，ＩＤを設定する（ステップＳ１２）。そして、アクセス制御管理装置４は、第１ＡＰ８Ａと接続するアクセス制御装置５Ａに対して、クライアント端末１０とｖＶＰＮ−ＧＷ７との間のアクセスを許可する（ステップＳ１３）。そして、ｖＶＰＮ−ＧＷ７がクライアント端末１０を認証した場合には、ｖＶＰＮ−ＧＷ７と、クライアント端末１０との間に第１ＡＰ８Ａを経路に含むトンネルが確立される（ステップＳ１４）。その後、ｖＶＰＮ−ＧＷ７とクライアント端末１０とは、このトンネルを介して、データを暗号化して通信を行う。

［クライアント端末移動後のトンネル再確立処理］
次に、図１６及び図１７を参照して、クライアント端末認証システム１におけるクライアント端末１０移動後のトンネル再確立処理の処理手順について説明する。図１６及び図１７は、図１に示すクライアント端末認証システム１におけるクライアント端末１０移動後のトンネル再確立処理の流れを説明するシーケンス図である。

図１６に示すように、クライアント端末１０が、移動等によって、第２ＡＰ８Ｂに接続を変更する場合、第２ＡＰ８Ｂを経路に含むトンネルをｖＶＰＮ−ＧＷ７との間で改めて確立できるよう、第２ＡＰ８Ｂを介して、アクセス制御装置５Ｂに移動後トンネル確立要求を行う（ステップＳ２１及びステップＳ２２）。このとき、クライアント端末１０は、第２ＡＰ８Ｂに対し、パケット中継時に該クライアント端末１０のＩＤを移動後トンネル確立要求のアウターヘッダに含ませて送信させる。

アクセス制御装置５Ｂは、受信した移動後トンネル確立要求が、通過が許可されていないパケットであると判断し、この移動後トンネル確立要求のアウターヘッダ内のＩＤ，ＳＡ，ＤＡを、アクセス制御管理装置４に問い合わせる（ステップＳ２３）。

アクセス制御管理装置４は、アクセス制御リスト４２１を参照し、問い合わせがあったＩＤと合致するＩＤを検索する（ステップＳ２４）。そして、アクセス制御部４３２は、問い合わせがあったＩＤと合致するＩＤをアクセス制御リスト４２１から検索できた場合（ステップＳ２５）、アクセス制御リスト４２１を、問い合わせ対象のＩＤ，ＳＡ，ＤＡがアクセス制御装置５Ｂに対応する内容に更新する（ステップＳ２６）。そして、アクセス制御管理装置４は、問い合わせ元のアクセス制御装置５Ｂに、問い合わせ対象であるＩＤ，ＳＡ，ＤＡをアウターヘッダに含むパケットのアクセスを許可する（ステップＳ２７）。

この結果、アクセス制御装置５Ｂによって、移動後トンネル確立要求の通過が許可されるため、ｖＶＰＮ−ＧＷ７に、該移動後トンネル確立要求が到達する（ステップＳ２８）。ｖＶＰＮ−ＧＷ７は、受信した移動後トンネル確立要求を復号化し、パケット内の電子証明書を用いて通信相手のクライアント端末１０の認証が可能であるか否かを判断する（ステップＳ２９）。

そして、ｖＶＰＮ−ＧＷ７は、認証可能と判断した場合には（ステップＳ２９：Ｙｅｓ）新たな認証情報の同期を認証サーバ３との間で実行するとともに、このクライアント端末１０との間に、アクセス制御装置５Ｂ及び第２ＡＰ８Ｂを経路に含むトンネルを確立する（ステップＳ３０）。

一方、ｖＶＰＮ−ＧＷ７は、認証不可能と判断した場合には（ステップＳ２９：Ｎｏ）、この認証不可能であったクライアント端末１０のＩＤ，ＳＡを認証サーバ３に通知する（ステップＳ３１）。この通知を受けて、認証サーバ３は、このＩＤについて、ｖＶＰＮ−ＧＷ７にて所定回数認証不可能であったか否かを判断する（ステップＳ３２）。認証サーバ３は、このＩＤについて、ｖＶＰＮ−ＧＷ７にて所定回数認証不可能でないと判断した場合（ステップＳ３２：Ｎｏ）、認証不可能ＩＤの通知を待つ。

これに対し、認証サーバ３は、このＩＤについて、ｖＶＰＮ−ＧＷ７にて所定回数認証不可能であったと判断した場合（ステップＳ３２：Ｙｅｓ）、この所定回数認証が不可能であったＩＤ，ＳＡ，ＤＡをサービスポータルサーバ２に通知する（ステップＳ３３）。これに応じて、サービスポータルサーバ２は、アクセス制御管理装置４に、アクセス制御リスト４２１から、通知されたＩＤ，ＳＡ，ＤＡの削除を依頼する（ステップＳ３４）。

続いて、アクセス制御管理装置４は、アクセス制御リスト４２１から、このＩＤ，ＳＡ，ＤＡを削除する（ステップＳ３５）。そして、アクセス制御管理装置４は、アクセス制御装置５Ｂに対しても、このＩＤ，ＤＡを、アクセス許可対象から削除するよう指示する（ステップＳ３６）によって、悪意あるクライアント端末１０のネットワークへのアクセスを不可とすることができる。

［実施の形態の効果］
このように、実施の形態に係るクライアント端末認証システム１では、クライアント端末１０の移動によって中継するＡＰが変更した場合、アクセス制御管理装置４の制御によって、新たなトンネルをクライアント端末１０について確立している。したがって、クライアント端末認証システム１では、再度、サービスポータルサーバ２による簡易認証及び認証サーバ３による認証を受けずとも、変更したＡＰを経路に含むトンネルを確立することができ、ユーザ利便性を確保することができる。

また、実施の形態に係るクライアント端末認証システム１では、ｖＶＰＮ−ＧＷ７において所定回数認証が不可能だったＩＤ及びＳＡをアクセス制御リスト４２１及び該当するアクセス制御装置５Ａ，５Ｂのアクセス許可リスト５２１から削除するよう、サービスポータルサーバ２が依頼する。したがって、クライアント端末認証システム１によれば、悪意あるクライアント端末１０をネットワークから排除することができ、ネットワークのセキュリティを確保することができる。

もちろん、クライアント端末認証システム１では、サービスポータルサーバ２がアドレス認証を実行することで、不正なクライアント端末がネットワークに通信フローを送ることを防止することができる。また、クライアント端末認証システム１では、アドレス認証に成功したクライアント端末の証明書に基づく認証をさらに実行することで、アドレス認証だけ実行する場合と比較してネットワークのセキュリティを向上させることができる。このため、クライアント端末認証システム１は、無線回線を利用した情報通信において高いセキュリティを実現することができる。

さらに、クライアント端末認証システム１では、認証サーバ３をサービスポータルサーバ２よりも上流に配置しているため、サービスポータルサーバ２と認証サーバ３とをネットワーク上の同じ位置に配置する場合と比較して、認証サーバを集約的に配置することができる。

なお、本実施の形態では、アクセス制御管理装置４は、ＡＣＬとして、アクセス制御装置５Ａ，５Ｂの識別情報に、パケットのアウトヘッダーに含まれるクライアント端末１０のＩＤ、ＳＡ、ＤＡを対応付けて設定する例を説明したが、もちろんこれに限らない。アクセス制御管理装置４は、ＡＣＬとして、アクセス制御装置５Ａ，５Ｂの識別情報に、パケットのアウトヘッダーに含まれる５ｔｕｐｌｅ（Source IP，Destination IP，Src Port，Dst Post，Protocol）を対応付けて設定し、該ＡＣＬに設定された５ｔｕｐｌｅをアウトヘッダーに含むパケットの通過を許可するようにアクセス制御装置５Ａ，５Ｂを制御してもよい。

［実施の形態のシステム構成について］
図１に示したクライアント端末認証システム１の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、クライアント端末認証システム１の機能の分散および統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散または統合して構成することができる。

また、クライアント端末認証システム１の各装置において行われる各処理は、全部または任意の一部が、ＣＰＵおよびＣＰＵにより解析実行されるプログラムにて実現されてもよい。また、クライアント端末認証システム１の各装置において行われる各処理は、ワイヤードロジックによるハードウェアとして実現されてもよい。

また、実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともできる。もしくは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上述および図示の処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて適宜変更することができる。

［プログラム］
図１８は、プログラムが実行されることにより、クライアント端末認証システム１の各装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、クライアント端末認証システム１の各装置の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、クライアント端末認証システム１の各装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施の形態について説明したが、本実施の形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施の形態に基づいて当業者等によりなされる他の実施の形態、実施例及び運用技術等は全て本発明の範疇に含まれる。

１ クライアント端末認証システム
２，２Ｐ サービスポータルサーバ
３，３Ｐ 認証サーバ
４，４Ｐ アクセス制御管理装置
５Ａ，５Ｂ アクセス制御装置
６，６Ｐ 振分装置
７，７Ｐ ｖＶＰＮ−ＧＷ
８Ａ，８Ｂ アクセスポイント（ＡＰ）
１０，１０−１，１０−２，１０Ｐ クライアント端末
２１，３１，４１，５１ 通信部
２２，４２，５２ 記憶部
２３，３３，４３ 制御部
３２ 認証データベース（ＤＢ）
１００ 付加価値装置群または外部ネットワーク（ＮＷ）
２３１ 認証受付部
２３２ アクセス制御リスト設定依頼部
２３３ ＩＤ管理部
３３１ 認証部
４２１ アクセス制御リスト（ＡＣＬ）
４３１ アクセス制御リスト設定部
４３２ アクセス制御部
５２１ アクセス許可リスト
５３１ アクセス許可リスト設定部
５３２ アクセス処理部
５３３ ＩＤ問い合わせ部
Ｔ１，Ｔ２ トンネル

Claims (5)

1. アクセスポイント間との無線通信によりネットワークに接続するクライアント端末を認証し、前記クライアント端末による前記ネットワークへのアクセスを許可するクライアント端末認証システムであって、
   第１のアクセスポイント間との無線通信を介した前記クライアント端末からのアドレス割当要求を受信してアドレス認証を実行してアドレス認証に成功した場合には前記クライアント端末にアドレスを送信するアドレス割当サーバと、
   前記アドレスを割り当てられた前記クライアント端末が送信する証明書を受信して当該証明書の認証を実行し、前記証明書の認証に成功した場合に前記クライアント端末による前記ネットワークへのアクセスを許可し、前記アドレス割当サーバを介して、前記クライアント端末に対応するＩＤ及びパスワードを前記クライアント端末に返却する認証サーバと、
   前記認証サーバによってアクセスが許可されたクライアント端末に割り当てられたゲートウェイと、前記第１のアクセスポイントとの間のアクセスを制御し、前記クライアント端末と該ゲートウェイとの間の前記第１のアクセスポイントを含む第１の通信経路を流れるパケットを通過させる第１のアクセス制御装置と、
   前記第１のアクセスポイントとは異なる第２のアクセスポイントと前記ゲートウェイとの間のアクセスを制御し、前記第１の通信経路の確立後に、前記クライアント端末から、前記第２のアクセスポイント間との無線通信を介して、前記クライアント端末のＩＤをアウターヘッダに含めた通信経路確立要求を受信した場合、該受信した通信経路確立要求のアウターヘッダに含まれるＩＤを問い合わせ先に問い合わせる第２のアクセス制御装置と、
   前記第１のアクセス制御装置に前記第１の通信経路を流れるパケットの通過を許可するとともに、前記認証サーバによってアクセスが許可されたクライアント端末のＩＤと該クライアント端末が接続するアクセスポイントのアドレスと前記クライアント端末の送信先として割り当てられたゲートウェイの送信先アドレスとをアクセス制御装置の識別情報に対応付けたアクセス制御リストを記憶し、前記第２のアクセス制御装置からＩＤの問い合わせがあった場合であって問い合わせがあったＩＤを前記アクセス制御リストから検索した場合には、前記第２のアクセス制御装置に対し、前記クライアント端末と該クライアント端末に割り当てられたゲートウェイとの間の前記第２のアクセスポイントを含む第２の通信経路を流れるパケットの通過を許可するアクセス制御管理装置と、
   を有することを特徴とするクライアント端末認証システム。
2. 前記アドレス割当サーバは、前記アクセス制御管理装置に対し、前記認証サーバによってアクセスが許可されたクライアント端末のＩＤと、該クライアントと無線通信を行う前記第１のアクセスポイントのアドレスと、該クライアント端末に割り当てられた送信先のゲートウェイのアドレスとを、前記第１のアクセス制御装置の識別情報に対応付けて前記アクセス制御リストに設定する依頼を送信することを特徴とする請求項１に記載のクライアント端末認証システム。
3. 前記アクセス制御管理装置は、前記第２のアクセス制御装置から前記問い合わせがあったＩＤを検索した場合、問い合わせ内容に応じて前記アクセス制御リストを更新し、前記第２のアクセス制御装置に、前記通信経路確立要求の前記ゲートウェイへの通過を許可することを特徴とする請求項１または２に記載のクライアント端末認証システム。
4. 前記ゲートウェイは、前記通信経路確立要求を送信したクライアント端末を認証できた場合には該クライアント端末との間において前記第２の通信経路を確立し、前記通信経路確立要求を送信したクライアント端末を認証できない場合には認証不可能であった該クライアント端末のＩＤを前記認証サーバに送信し、
   前記認証サーバは、前記ゲートウェイから送信されたクライアント端末のＩＤが前記ゲートウェイにおいて所定回数認証が不可能であった場合には、該所定回数認証が不可能であったクライアント端末のＩＤを前記アドレス割当サーバに通知し、
   前記アドレス割当サーバは、前記アクセス制御管理装置に対して、前記所定回数認証が不可能であったクライアント端末のＩＤの前記アクセス制御リストからの削除を依頼し、
   前記アクセス制御管理装置は、前記アクセス制御リストから前記所定回数認証が不可能であったクライアント端末のＩＤを削除するとともに、該ＩＤに対応するクライアント端末のアクセス拒否を前記第２のアクセス制御装置に指示することを特徴とする請求項３に記載のクライアント端末認証システム。
5. ネットワークに配置されるアドレス割当サーバが、第１のアクセスポイント間との無線通信を介したクライアント端末からのアドレス割当要求に応じてアドレス認証を実行し、アドレス認証に成功した場合には前記クライアント端末にアドレスを送信するアドレス割当工程と、
   前記ネットワークに配置される認証サーバが、前記アドレスを割り当てられた前記クライアント端末が送信する証明書を受信して当該証明書の認証を実行し、前記証明書の認証に成功した場合に前記クライアント端末による前記ネットワークへのアクセスを許可し、前記アドレス割当サーバを介して、前記クライアント端末に対応するＩＤ及びパスワードを前記クライアント端末に返却する認証工程と、
   前記ネットワークに配置されるアクセス制御管理装置が、前記認証サーバによってアクセスが許可されたクライアント端末と該クライアント端末に割り当てられたゲートウェイとの間の前記第１のアクセスポイントを含む第１の通信経路の確立を制御する工程と、
   前記アクセス制御管理装置が、前記認証サーバによってアクセスが許可されたクライアント端末のＩＤと該クライアント端末が接続するアクセスポイントのアドレスと前記クライアント端末の送信先として割り当てられたゲートウェイのアドレスとをアクセス制御装置の識別情報に対応付けたアクセス制御リストを記憶する工程と、
   前記ネットワークに配置される第１のアクセス制御装置が、前記クライアント端末に割り当てられたゲートウェイと前記第１のアクセスポイントとの間のアクセスを制御し、前記アクセス制御管理装置の指示に基づいて前記第１の通信経路を流れるパケットを通過させる工程と、
   前記クライアント端末が、前記第１の通信経路の確立後に、前記第１のアクセスポイントとは異なる第２のアクセスポイント間との無線通信を介して前記ネットワークにアクセスする場合、前記認証サーバによって付与されたＩＤをアウターヘッダに含めた通信経路確立要求を、前記第２のアクセスポイントを介して、該第２のアクセスポイントと該クライアント端末に割り当てられたゲートウェイとの間のアクセスを制御する第２のアクセス制御装置に送信する工程と、
   前記第２のアクセス制御装置が、前記通信経路確立要求を受信した場合、該受信した通信経路確立要求のアウターヘッダに含まれるＩＤを、前記アクセス制御管理装置に問い合わせる工程と、
   前記アクセス制御管理装置が、前記アクセス制御リストのＩＤと、問い合わせがあったＩＤとが一致した場合、前記第２のアクセス制御装置に対し、前記クライアント端末と該クライアント端末に割り当てられたゲートウェイとの間に前記第２のアクセスポイントを含む第２の通信経路を流れるパケットの通過を許可する工程と、
   を含んだことを特徴とするクライアント端末認証方法。

Images