JP3757547B2 - 認証機能を有する交換機 - Google Patents
認証機能を有する交換機 Download PDFInfo
- Publication number
- JP3757547B2 JP3757547B2 JP15865497A JP15865497A JP3757547B2 JP 3757547 B2 JP3757547 B2 JP 3757547B2 JP 15865497 A JP15865497 A JP 15865497A JP 15865497 A JP15865497 A JP 15865497A JP 3757547 B2 JP3757547 B2 JP 3757547B2
- Authority
- JP
- Japan
- Prior art keywords
- address
- terminal
- source
- nhc
- atm
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、端末間に直通パスが設定できる通信網に設置する交換機に関する。企業、官公庁、大学などの組織（以下、企業を例に記す）では、企業内部のワークグループごとにＬＡＮ（Local Area Network）を構成し、ファイル等の資源の共有、メールやニュースのグローバルな規模での授受などを主な目的として各ＬＡＮ間を相互に接続して企業内ネットワークを構成することが多い。しかし、近年、インターネットの急速な普及と、ＷＷＷ（World Wide Web）サービスへのアクセスの急増などの動向を反映し、企業内ネットワークから外部リソースにアクセスするトラヒックが急激に増加する傾向にある。
【０００２】
一方、ＬＡＮ間を接続するネットワークとしてＡＴＭ（Ansynchronous Transfer Mode ）網により代表される非放送型多元接続網（Non Broadcast Multi-Access Network、以下、ＮＢＭＡ網と記す）が使用される傾向が高まっている。ＬＡＮをＮＢＭＡ網に組み込んだ場合、各ＬＡＮはＮＢＭＡ網内において論理的なサブネットワーク（以下、論理サブネットと記す）を構成する形になるが、データリンク層で接続するＮＢＭＡ網には基本的にサブネットワーク（以下、サブネットと記す）の概念がなく、ＮＢＭＡ網に接続されている端末類は相手端末のＮＢＭＡ網上のアドレスを知ればどの端末に対しても直接接続できるようになっている。企業内ネットワークや、加入している会員などを対象に情報提供などを行う特定のネットワークではこれまで外部端末からのアクセスを拒否することが比較的容易にできたが、上記のような特質をもつＮＢＭＡ網を利用する場合には企業外または会員外の端末からアクセスされ、不正に情報を引き出されたり、通信の妨害などを受ける可能性が生ずる。
【０００３】
このため、ＮＢＭＡ網において端末相互間の接続の可否を認証することができる機構が重要になっている。
【０００４】
【従来の技術】
図14乃至図17は従来技術において端末間の接続の可否を認証する機構を説明する図である。
【０００５】
図14はルータが認証を行う認証機構を説明する図であるが、図は複数の論理サブネット（或いはＬＡＮ）からなり、端末間の接続がネットワーク層レベルのプロトコルを用いて行われるネットワークを図示している。このネットワークにおいては各論理サブネット間はルータを介して接続するように構成されているが、論理サブネットがルータにより物理的に分離されるため、ルータに接続の可否を認定する機構を付与しておくことにより不正な端末からのアクセスを排除することができる。
【０００６】
図14において特定の複数の論理サブネット120 （個々の論理サブネットを論理サブネットＡ，Ｂ，Ｃと記す）によりひとつの企業内ネットワーク150 が構成されているものとし、この企業内ネットワーク150 内において論理サブネットＢに収容されている端末130 （端末Ｂと記す）から論理サブネットＡに収容されている端末130 （端末Ａと記す）に接続する場合を例に認証機構を説明する。
【０００７】
この場合、端末Ｂがネットワーク層プロトコルのアドレス（以下、ネットワーク層のアドレスと記し、ＴＣＰ／ＩＰプロトコルにおけるＩＰアドレスを例として記す）を用いて端末Ａに対して発信することにより端末Ｂは論理サブネットＢ，Ｃ，Ａを介して端末Ａに接続されるが、論理サブネットを跨ぐ場合には必ずルータを介することになっているため、論理サブネットＢ〜Ｃ間と論理サブネットＣ〜Ａ間において２つのルータ140 （個々のルータをルータＢ，ルータＡと記す）を介することになる。
【０００８】
そこで、ルータＢ及びルータＡにネットワーク層レベル以上のプロトコル（以下、上位レイヤとも記す）に接続の可否を認証する機能を付与しておけば、企業内ネットワーク150 の論理サブネット（例えば論理サブネットＢ）に不正に接続した端末170 （端末Ｘ）から端末Ａにアクセスしようとしたり、企業内ネットワーク150 外の論理サブネット160 （論理サブネットＹ）に収容されている端末170 （端末Ｙ）が企業内ネットワーク150 内の論理サブネットからの発信であるかのように装って端末ＡにアクセスしようとしてもルータＢまたはルータＡの上位レイヤ142 において認証を行う。端末Ｘや端末Ｙが不正なアクセスを試みる端末であればその上位レイヤ172 はルータ140 の上位レイヤ142 と正規の通信を行うことができないのでルータ140 は不正なアクセスを排除することができる。
【０００９】
図15は端末内の上位レイヤに通信を行うことの可否を認証する機構を設け、端末間で認証を行う構成を図示したものである。図の端末Ａはネットワーク210 を介して端末Ｂより接続されたとき、通信の開始に先立って上位レイヤ232 のプロトコル或いはアプリケーション・プログラムにより端末Ｂの上位レイヤ232 と通信を行うことによって端末Ｂが正規の通信相手であるか否かを認証し、相手が予め規定してある条件に適合しない場合は通信を行わないようにする。端末Ｂ側でも同様な認証を行えば意図しない相手に接続された場合に重要な情報を送信してしまうような事態を防ぐことができる。
【００１０】
図16は論理サブネットの入口に位置するルータなどに特定のパケットをフィルタリングするファイア・ウォール機能をもたせて認証を行うネットワークを図示している。近年、企業内ネットワーク内からインターネットなどにより外部のネットワークにアクセスすることが多くなっているが、このような企業内ネットワークでは外部のネットワークから逆にアクセスされる可能性も高いため、不法な侵入者に内部情報を読み出される恐れがある。
【００１１】
ファイア・ウォールは企業内ネットワークなどに不法な侵入が起きないように保護する機能で、図の例では企業内ネットワーク内の論理サブネット351 に入出力する通信を特定のルータ340 を経由させるように構成し、このルータ340 がファイア・ウォールとして特定のアプリケーションや特定のアドレスをもつパケットのみ通過させるように構成している。このため、例えば端末330 （端末Ｘ）が外部ネットワーク352 から企業内ネットワーク351 内の端末330 （端末Ａ）に不正なアクセスを試みようとしてもファイア・ウォールのルータ340 において排除され、不法な侵入者に内部情報を読み出されるような事態を防ぐことができる。
【００１２】
図17はＮＢＭＡ網における従来技術による認証方法を説明するための図であるが、図の説明に入る前にＮＢＭＡ網におけるパケット通信の特徴についてＡＴＭ網を例に簡単に説明する。ＡＴＭ網では端末はネットワーク層よりも下位に当たるデータリンク層のアドレス（ＡＴＭ網の場合はＡＴＭアドレス）を用い、ＡＴＭスイッチを介して相手端末に直接接続することができる。しかし、ＡＴＭ網にはサブネットの概念が基本的にないため、サブネットを単位に端末（ホスト）へのアクセスを制限することはできない。
【００１３】
ＩＰＯＡ（IP over ATM ）は上記のようにデータリンク層のみで接続される平面的なＡＴＭ網にネットワーク層レベルの管理ポリシーを適用することを可能とする仕組みで、ＩＰＯＡで管理される端末をグループにまとめて論理的なサブネットを構成し、ルータ等を介してＡＴＭ網上でネットワーク層のプロトコルであるＴＣＰ／ＩＰプロトコルのＩＰアドレスを使用してパケットを中継することを可能としている。この論理的なサブネットをＬＩＳ（Logical IP Subnetwork ）と呼んでいる。
【００１４】
ＩＰＯＡでは同一ＬＩＳ内の端末間にダイレクトにＡＴＭコネクション（このコネクションをＶＣ：Virtual Connectionとも記す）を張ってＩＰにより通信ができるが、他のＬＩＳに含まれるホストと通信を行う場合にはＬＩＳ間にルータを設け、発信元の端末とルータの間及びルータと接続先の端末間にＶＣを張り、必ずこのルータ経由で通信を行わなければならないようになっている。
【００１５】
上記のような方法は、発信元のホストが接続先ホストのＩＰアドレスは知っていてもＡＴＭアドレスを知らないために接続先のホストに直接ＶＣを張ることができないということに対処してとられたものである。各ホストに自分が属するＬＩＳに接続されているルータのＡＴＭアドレスを予め知らせておき、各ルータに自分に接続されているＬＩＳ内のホストのＡＴＭアドレスを記憶させておくことは容易であるため、上記のようにルータ経由の接続となったものであるが、この方法ではルータはネットワーク層プロトコルにより中継処理を行う。
【００１６】
しかしながら、適当な中継線を選んでホスト間に直接ＶＣを張ることができるＡＴＭ網を使用しながら、パケットがＬＩＳを跨ぐ都度ルータを経由し、かつ、ルータがネットワーク層レベルで中継するという上記の通信形態はルータの中継処理に時間を要するうえ、ＬＩＳを跨ぐ場合のルータが物理的に固定されるという問題を有している。このため、上記の形態は、ＬＩＳを跨がる通信が増加するとルータの処理能力がトラヒック上のボトルネックとなり易く、網構成上で負荷分散が図り難いという欠点を有していると言える。
【００１７】
この欠点を防ぐため、ルータを介して通信を開始したのちに端末間に直通パスを設定して通信を行うことができる方法が検討されている。この方法ではＬＩＳ間に跨がる通信の場合でも、接続先のＩＰアドレスからＡＴＭアドレスを知ることができるようにし、ＡＴＭアドレスを用いて発信元の端末と接続先の端末の間に直通のＶＣを張ってルータを経由せずに通信ができることが必要である。この条件を満たすものとしてＮＨＲＰ（Next Hop Resolution Protocol）と呼ばれるプロトコルが国際的な組織において具体化されつつある。ＩＰＯＡが同一ＬＩＳに含まれる端末のＩＰアドレスからＡＴＭアドレスを解決するのに対し、ＮＨＲＰは異なるＬＩＳに含まれる端末に対してもＡＴＭアドレスを解決できるようにしたプロトコルであると言える。
【００１８】
図17はＮＨＲＰを採用したＮＢＭＡ網の構成と通信情報の送受信経路を図示したもので、ＮＢＭＡ網としてＡＴＭ網の例を記載している。図示のＡＴＭ網410 内には３つの論理サブネット451 （以下、論理サブネットをＬＩＳと記し、個々のＬＩＳ451 を図示された符号を用いてＬＩＳ−Ａなどと記す）が設けられ、各ＬＩＳ451 間にルータ機能を有するサーバ440 が配備されている。ＮＨＲＰではこのようなサーバはＮＨＳ（Next Hop Server ）と呼ばれているが、以下、サーバ440 を総称してＮＨＳ、個々のサーバを指す場合にＮＨＳ−Ａなどと記す。
【００１９】
図17にはＬＩＳ−ＡとＬＩＳ−Ｂに属する２つの端末430 が記されているが、ＮＨＲＰにおいてはこのような端末類はＮＨＣ（Next Hop Cliemt ）と呼ばれている（以下、個々の端末430 をＮＨＣ−Ａなどと記す）。以上における３つのＬＩＳ451 、２つのＮＨＳ440 及び２つのＮＨＣ430 はＮＨＲＰによって管理されてひとつの企業内ネットワーク450 を構成しているものとする。
【００２０】
図17には以上の他に端末460 （ＨＯＳＴ−Ｘと記す）が図示されているが、このＨＯＳＴ−ＸはＮＨＣ430 と同様、ＡＴＭ網410 に接続されているが、企業内ネットワーク450 内のどのＬＩＳにも属さない端末であるとする。なお、ＮＨＳ440 、ＮＨＣ430 及び端末460 はＡＴＭ網410 の一部を構成すると考えることもできるが、図17ではこれらはＡＴＭ網410 に直接接続されているサーバ及び端末として図示している。
【００２１】
ＮＨＲＰでは各ＮＨＣ430 はそれぞれ自ＬＩＳの端末を管理するサーバとして定められているＮＨＳ440 に自身のＩＰアドレスとＡＴＭアドレスを登録しておく。図の例ではＮＨＣ−Ａ，ＢはそれぞれＮＨＳ−Ａ，Ｂに登録を行う。ＮＨＳ440 は原則としてルータを兼ねるため、２つのＬＩＳに跨がって設けられることが多く、１つのＮＨＳ440 が２つのＬＩＳを管理したり、ひとつのＬＩＳが２つのＮＨＳ440 に分割管理されることもある。
【００２２】
そこで例えばＬＩＳ−Ｂに属するＮＨＣ−ＢがＬＩＳ−Ａに属するＮＨＣ−Ａと通信を行う場合、ＮＨＣ−ＢはＮＨＣ−ＡのＩＰアドレスを使用し、デフォルトルート452 などを介してＮＨＣ−Ａにパケットを送信する。２つのサーバＮＨＳ−ＢとＮＨＳ−Ａは内部のルータ機能によりパケットの中継処理を行う。
【００２３】
パケットの送信前または送信を開始した段階でＮＨＣ−Ｂがそのパケットを直通パスを介して送信するのが適切であると判断した場合は、ＮＨＣ−ＢはＮＨＳ−Ｂに対してＮＨＣ−ＡのＩＰアドレスを送ってＮＨＣ−ＡのＡＴＭアドレスを問い合わせる。この問い合わせはＮＨＲＰ解決要求（NHRP Resolution Request ）と呼ばれるが、ＮＨＳ−ＢはＬＩＳ−ＢまたはＬＩＳ−Ｃに属さないＮＨＣ−ＡのＡＴＭアドレスを知らないため、ルーチングプロトコルに従って次のＮＨＳ（この場合はＮＨＳ−Ａ）にＮＨＲＰ解決要求を転送（フォーワード）する。
【００２４】
ＮＨＳ−ＡがＬＩＳ−Ａ内の端末を管理しているサーバであればＮＨＣ−ＡのＡＴＭアドレスが判るので、このＡＴＭアドレスをＮＨＲＰ解決応答（NHRP Resolution Reply ）の形でＮＨＳ−Ｂに回答する。このＮＨＲＰ解決応答はＮＨＲＰ解決要求が送られてきたデフォルトルート452 を逆に辿って送られるが、この例ではＮＨＳ−Ｂより更にＮＨＣ−Ｂに送られる。
【００２５】
ＮＨＣ−ＢはＮＨＲＰ解決応答を受信するとその中に含まれているＮＨＣ−ＡのＡＴＭアドレスを用いてＡＴＭ網410 に発信する。ＡＴＭ網410 （実際にはＡＴＭ網410 内の図示省略されたＡＴＭ交換機）が本来の機能である接続処理を行ってＮＨＣ−ＢとＮＨＣ−Ａ間を直接接続するパス411 を設定すると、以後、ＮＨＣ−Ｂは直通パス411 を介してＮＨＣ−Ａと直接パケットを送受信する。直通パスによりパケットを送受信することによりパケットの転送速度は２つのＮＨＳ440 を中継してパケットを送受信する場合に比してが著しく向上する。
【００２６】
上記のようにＡＴＭアドレス（データリンク層アドレス）を知れば直通パスが設定できるということは、一旦相手のＡＴＭアドレスを知ってしまえば誰でも論理的なサブネットを無視して目的とする相手に直接接続ができるということである。図17において、ＨＯＳＴ−Ｘは企業内ネットワーク（または特定会員用のネットワーク）450 のいずれのＬＩＳ451 にも属さないため、ＮＨＣ−ＡのＩＰアドレスを知っていてもＩＰアドレスからＡＴＭアドレスを解決することはできず、ＮＨＣ−Ａに対してパス412 のような直通パスを張ることは基本的にはできない。しかし、何らかの方法で企業内ネットワーク450 に属するＮＨＣ−ＡのＡＴＭアドレスを知った場合にはＮＨＲＰの手段を使わずにＡＴＭ網を介して直接ＮＨＣ−Ａとの間にパス412 を設定することができるため、ＮＨＣ−Ａ或いはＮＨＣ−Ａが属する企業内ネットワーク450 に被害を及ぼす可能性がある。
【００２７】
例えば、ＬＩＳ−Ｂに含まれるＮＨＣ−ＢがＮＨＲＰを利用できるとともにＬＡＮエミュレーション（以下、ＬＡＮＥ：LAN Emulation と記す）方式のクライアント（以下、ＬＥＣ：LAN Emulation Clientと記す）でもあるとし、不正なアクセスを試みるＨＯＳＴ−ＸもＬＥＣであるとする。ＩＰＯＡがＡＴＭ上にＩＰプロトコルを載せていたのに対してＬＡＮＥはイーサネット（Ethernet）フレームを載せ、ＭＡＣ（Media Access Control) アドレスからＡＴＭアドレス解決を行う方式であるが、上記の場合、ＨＯＳＴ−ＸとＮＨＣ−ＢはＬＡＮＥプロトコルを用いて互いに通信することができる。
【００２８】
ＮＨＣ−Ｂは内部情報として以前に通信を行った相手（例えばＮＨＣ−Ａ）のＩＰアドレスとＡＴＭアドレスを対応させて一定時間内キャッシュ（保存）していることが多いが、そのとき、ＨＯＳＴ−ＸがＮＨＣ−ＢにログインしてＮＨＣ−ＡのＡＴＭアドレスを知ることは不可能ではない。ＨＯＳＴ−Ｘが悪意のあるホストであれば、以上のようにして入手したＮＨＣ−ＡのＡＴＭアドレスを用いて直接ＮＨＣ−Ａに対して直通パス412 を設定したのち、大量のデータを送信したり、接続したまま放置するなどしてＮＨＣ−ＡまたはＮＨＣ−Ａに接続しようとする他のユーザの通信を妨害することができる。
【００２９】
また、そのほかに次のような形で被害を及ぼす場合もあり得る。図17のＮＨＣ−ＡがＮＨＲＰで管理される特定会員用のネットワーク内の論理サブネットＬＩＳ−Ａに設けられたビデオサーバであるとする。このビデオサーバは多くの会員（例えばＮＨＣ−Ｂのようなクライアント）からのアクセスに耐えられるように複数のマシンから構成されていることが多いが、ネットワーク層のアドレス（ここではＩＰアドレス）はひとつしか持たず、ＮＢＭＡ網上のアドレス（ここではＡＴＭアドレス）のみ複数もっているものとする。そして、負荷分散やマシンの管理のためにＮＨＳ−Ａに対して示すＡＴＭアドレスを状況に応じて変えるようにしているとする。このような構成においてはＡＴＭアドレスが変わっても、ＮＨＳ−ＢはＮＨＣ−ＢなどからＮＨＲＰ解決要求を受けた時点で新しいＡＴＭアドレスによりアドレス解決してＮＨＲＰ解決応答を返送するのでＮＨＣ−Ｂなどのホストからの接続はその時点で指定されているマシンに接続される。
【００３０】
ところが、ビデオサーバ（ＮＨＣ−Ａ）のＡＴＭアドレスを不正に入手したホスト（例えばＨＯＳＴ−Ｘ）はＡＴＭアドレスの変更を知らされることがないため、いつまでも最初に入手したＡＴＭアドレスのみを用いて接続してくることになる。そのため、その時点で使用したいマシン以外のマシンが使用されるなど、ビデオサーバ提供者が意図した管理ポリシー（例えば、マシンの負荷分散）に反する事態が発生し、この特定ネットワークに被害を与えることになる。
【００３１】
以上のような点から、ＮＨＲＰ方式においてはＮＨＲＰ管理下のＬＩＳ（またはホスト）以外からのアクセスを排除する機構が必要である。そこで、図17のようなネットワークに適用できる従来技術の認証機構について記す。先ず、直通パス411 が設定される前にデフォルトルート452 を介して行われる通信に対する認証機構であるが、この場合の通信はＬＩＳを跨がる際に必ずルータ機能をもつＮＨＳ440 を介するので、各ＮＨＳ440 の上位レイヤのプロトコルやアプリケーション・プログラムにより接続相手の認証などを行うことができる。
【００３２】
これは図14に示した認証機構の原理をＮＨＲＰを適用したＡＴＭ（ＮＢＭＡ）網に用いたものに外ならない。しかし、この方法はプロトコルやアプリケーションごとに異なる認証機構をもつ必要があるほか、このような認証機構をもたないプロトコルやアプリケーション・プログラムのプロセスでは認証ができず、不正なアクセスを防止できない可能性がある。また、不正な端末が目的とする端末のＡＴＭアドレスを知ってしまった場合にはルータを経由しない直通パスを張ることができるため、そのような不正なアクセスに対して役立たない。
【００３３】
他の認証方法として、直通パスを設定するのに先立って認証する方法がある。例えば、同一のＬＩＳ451 （ＬＩＳ−Ｂとする）に属する端末（この場合はＮＨＣ−Ｂ）とサーバ（ＮＨＳ−Ｂ）との間で予め共通のパスワードを決めておき、ＮＨＣ−ＢはＮＨＳ−Ｂに対してＮＨＲＰ解決要求パケットを送出する際にそのパケットの内部に決められたパスワードを書き込むようにする。パケットを受信したＮＨＳ−ＢではパスワードがこのＬＩＳ−Ｂに定められている共通のパスワードであるか否かを調べ、異なる場合にはそのパケットを廃棄する。その際、パスワードをそのまま書き込まずに暗号化技術を用いて書き込むことにより更に精度を高めることができる。この方法は、ＬＩＳ−Ａ〜Ｃのいずれにも登録されていない端末（例えばＨＯＳＴ−Ｘ）がＮＨＲＰ解決要求パケットにより目的とする端末（例えばＮＨＣ−Ａ）のＩＰアドレスからその端末のＡＴＭアドレスを知ろうとするのを排除するのに有効である。しかし、ＨＯＳＴ−ＸがＮＨＣ−ＡのＡＴＭアドレスを何らかの方法で知ってしまった場合には効果がない。
【００３４】
また、不正なアクセスを防止するために図16に図示したようなファイア・ウォールを設ける方法が考えられる。この方法は、例えば図17のＮＨＣ−Ａがビデオサーバである場合に、そのビデオサーバが接続されているＬＩＳ−Ａにファイア・ウォールを設ける方法であり、図17の場合はＮＨＳ−Ａにファイア・ウォール機能を付与することになる。しかし、ファイア・ウォールの基本は、サブネットにおいて自分のサブネットに他のサブネットからアクセスされないようにするものであり、入力されるパケットをアドレス情報やアプリケーションの種類によりフィルタリングするために上位レイヤプロトコルの内部（パケットヘッダ部分など）を確認する処理が必要になる。データリンク層のセル流を取り扱うＡＴＭ網（具体的には図示省略されているＡＴＭ交換機）において上位レイヤのパケットヘッダの内容を確認できるようにすることは基本原理の変更になるため、実現は不可能である。また、仮に上位レイヤの確認が可能であっても、ファイア・ウォールはトラヒックが高い場合にボトルネックとなる可能性が高いため、ＡＴＭ網内に直通パスを張らせてトラヒックの集中を解消できるＮＨＲＰの効果を失わせることにもなる。
【００３５】
また、図15に図示した端末間において認証する方法を適用することは勿論可能であるが、この方法は通信を開始する段階となって始めて効果を発揮するものであるため、例えば図17のＮＨＣ−Ａに対して接続するだけで通信を妨害しようとする悪意のアクセスを防ぐことには役立たない。
【００３６】
【発明が解決しようとする課題】
以上のように、ＮＢＭＡ網内に複数の論理サブネットを構成し、論理サブネット内の端末間に直通パスを設定して論理サブネットを跨がる通信を効率的に行わせるＮＨＲＰを適用したネットワークにおいては、論理サブネット内の端末のＮＢＭＡ網上のアドレスを知ったネットワーク外の端末が論理サブネット内の端末に対して直通パスを設定して通信を妨害したり、不正に情報を引き出すことが可能になるという問題がある。
【００３７】
これに対してＮＨＲＰにより管理される端末のＮＢＭＡ網上のアドレスを不正な端末に知らせないようにする技術はあっても、不正な端末がなんらかの方法で一旦目的とする端末のＮＢＭＡ網上のアドレスを知ってしまった場合には、従来の論理サブネット（またはＬＡＮ）間の通信に採用されている通信の可否を認証する機構が適用できず、このような不正なアクセスを完全に防止することができない。また、従来技術の認証機構を適用して不正なアクセスを防止しようとするとＮＨＲＰの利点が失われるという問題も生ずる。
【００３８】
このため、ＮＨＲＰを採用したＮＢＭＡ網において、ＮＨＲＰの利点を失わずに、ＮＨＲＰにより構成された論理サブネットに登録された端末以外から論理サブネットに登録された端末に対するアクセスを制限することができる認証機構が必要となっている。
【００３９】
本発明は、端末間に直通パスを設定する際に介在して接続の可否を認証する交換機を提供することを目的とする。
【００４０】
【課題を解決するための手段】
図１乃至図５は本発明の基本構成図で、図１は第１の発明の基本構成図、図２は第２の発明の基本構成図、図３は第３の発明の基本構成図、図４は第４の発明の基本構成図、図５は第５の発明の基本構成図である。
【００４１】
図中、１は通信網上のアドレスを用いて端末間に直通パスを設定することができる通信網、２-1，２-2は通信網１内に構成された複数の論理サブネットワーク（以下、論理サブネットと記し、論理サブネット２-1，２-2を総称するときには論理サブネット２と記す）、３-1，３-2は通信網１に接続された端末（以下、端末３-1，３-2を総称するときには端末３と記す）、４-1，４-2はそれぞれ論理サブネット２-1，２-2に属する端末のネットワーク層プロトコルのアドレス（以下、ネットワーク層のアドレスと略記する）から通信網上のアドレスを解決する機能を備えたサーバである。また、10a 〜10e は認証機能を有する交換機（以下、単に交換機とも記し、交換機10a 〜10e を総称する場合には交換機10と記す）、21は交換機10a 〜10e に収容される回線、22は交換機10a 〜10e のスイッチである。
【００４２】
11は交換機10a 〜10e に収容される端末３-1が、通信網１から接続される際に使用される第１の通信網上のアドレスに加えて、端末３-1への着呼を代理に受け付けるために定められた交換機収容回線21の通信網上のアドレスを第２の通信網上のアドレスとして有し、かつ、端末３-1が属する論理サブネット２-1に設けられているサーバ４-1に第２の通信網上のアドレスを登録している場合に、端末３-1の第１の通信網上のアドレスと第２の通信網上のアドレスまたは端末３-1への着呼を代理に受け付ける回線21を識別する情報を対応して記憶する収容端末アドレス記憶手段である。
【００４３】
12は交換機10a 〜10e に収容された第１の端末（以下、接続先端末とも記す）３-1への着呼を代理に受け付ける回線21に第２の端末（以下、発信元端末とも記す）３-2から着信があったとき、発信元端末３-2に対して所定のメッセージを送信し、返送される情報により第２の端末３-2のネットワーク層のアドレス情報を確認する発信元アドレス確認手段である。
【００４４】
13a は交換機10a 〜10d に設けられ、発信元アドレス確認手段12に返送された発信元端末３-2のネットワーク層のアドレス情報を発信元アドレス確認手段12より受信したときにそのアドレス情報を所定のサーバ４-1に送信し、サーバ４-1より発信元端末３-2の通信網上のアドレス情報を受信して出力する発信元アドレス解決依頼手段である。
【００４５】
14a は交換機10a または10e 内に設けられ、発信元アドレス解決依頼手段13a または13b から送られる発信元端末３-2の通信網上のアドレス情報を着信の際に受信した発信元端末３-2の通信網上のアドレス情報（発信元アドレス確認手段12から送られるものとする) と比較し、両者が一致したときは収容端末アドレス記憶手段11を用いて着信の際に受信した接続先端末３-1の第２の通信網上のアドレス情報または着信があった回線21を識別する情報から接続先端末３-1の第１の通信網上のアドレスを検索して接続先端末３-1に接続を行ったのち、着信回線21を介して発信元端末３-2と接続させ、両者が一致しない場合及び発信元アドレス確認手段12よりのメッセージに対して発信元端末３-2よりアドレス情報が返送されなかった場合は発信元端末３-2が接続先端末３-1に対して接続を許容されている論理サブネット２に属していない端末であると認定して着信回線21を切断する処理を行う接続可否認証手段である。
【００４６】
14b 及び15は交換機10b 内に設けられ、15は交換機10b に収容される端末３-1に対する接続を許容する論理サブネット２のネットワーク層のアドレス情報を記憶する発信元指定手段、14b は接続可否認証手段14a の機能と構成をもつほか、発信元アドレス解決依頼手段13a から送られる発信元端末３-2の通信網上のアドレス情報と着信の際に受信した発信元端末３-2の通信網上のアドレス情報を比較し、両者が一致し、かつ、発信元端末３-2の通信網上のアドレス情報またはネットワーク層のアドレス情報が接続を許容するアドレス情報として発信元指定手段15に記憶されている場合は接続先端末３-1に接続を行って発信元端末３-2と接続させ、両者が一致しても発信元端末３-2のアドレス情報が発信元指定手段15に記憶されていない場合、両者が一致しない場合及び発信元アドレス確認手段12よりのメッセージに対して発信元端末３-2よりアドレス情報が返送されなかった場合は着信回線21を切断する処理を行うように構成された接続可否認証手段である。
【００４７】
14c 及び16は交換機10c 内に設けられ、16は発信元に対する通信許可条件として交換機10c 収容の端末対応に通信品質を指定する通信品質指定手段、14c は接続可否認証手段10a の機能と構成をもつほか、発信元アドレス解決依頼手段13a から送られる発信元端末３-2の通信網上のアドレス情報と着信の際に受信した発信元端末３-2の通信網上のアドレス情報を比較したときに、両者が一致し、かつ、発信元端末３-2から送られた通信品質条件が通信品質指定手段16に指定された通信品質条件に適合した場合は接続先端末３-1に接続を行って発信元端末３-2と接続させ、両者が一致しても発信元端末３-2から送られた通信品質条件が通信品質指定手段16に指定された通信品質条件に適合しない場合、両者が一致しない場合及び発信元アドレス確認手段12よりのメッセージに対して発信元端末３-2よりアドレス情報が返送されなかった場合は着信回線21を切断する処理を行うように構成された接続可否認証手段である。
【００４８】
14d 及び17は交換機10d 内に設けられ、17は交換機10d に収容された端末３-1への着呼を代理に受け付ける回線21に発信元端末３-2から着信があり、かつ、接続先端末３-1と接続する以前に発信元端末３-2から通信情報が送られた場合にその通信情報を蓄積する通信情報蓄積手段、14d は接続可否認証手段10a の機能と構成をもつほか、接続先端末３-1に接続を行ったのちに通信情報蓄積手段17に蓄積された通信情報を接続先端末３-1に送信するように構成された接続可否認証手段である。
【００４９】
13b 、18及び19は交換機10e 内に設けられ、18は発信元アドレス解決依頼手段13b （後述）より発信元端末３-2の通信網上のアドレス情報とネットワーク層のアドレス情報が送られたときに、両アドレス情報を対応させて記憶する発信元解決アドレス記憶手段、19は発信元解決アドレス記憶手段18を監視し、記憶されてから所定の時間を経過した発信元端末の通信網上のアドレス情報とネットワーク層のアドレス情報を消去する処理を行う発信元解決アドレス管理手段である。
【００５０】
13b は発信元アドレス解決依頼手段13a の機能と構成をもつほか、発信元アドレス確認手段12より発信元端末３-2のネットワーク層のアドレス情報を受信したときに発信元解決アドレス記憶手段18内にそのネットワーク層のアドレス情報が記憶されているか否かを確認し、記憶されていた場合には記憶されている発信元端末のネットワーク層のアドレス情報と通信網上のアドレス情報を読み出して接続可否認証手段14a に転送し、記憶されていない場合は発信元端末３のネットワーク層のアドレス情報を所定のサーバ４-1に送信し、サーバ４-1より発信元端末３-2の通信網上のアドレス情報を受信したときにその通信網上のアドレス情報を発信元端末３-2のネットワーク層のアドレス情報と対応して発信元解決アドレス記憶手段18に記憶させるとともに発信元端末３-2の通信網上のアドレス情報を接続可否認証手段14e に出力する処理を行うように構成された発信元アドレス解決依頼手段である。
【００５１】
以下、各交換機10a 〜10e の作用について説明するが、最初に交換機10a 〜10e に共通する事項を説明する。本発明の交換機10a 〜10e に収容される端末３-1は通信網１から接続される際に使用される第１の通信網上のアドレスに加えて、端末３-1への着呼を代理に受け付けるために定められた交換機収容回線21の通信網上のアドレスを第２の通信網上のアドレスとして有し、端末３-1が属する論理サブネット２-1に設けられているサーバ４-1に第２の通信網上のアドレスを登録しておく。このため、端末３-2が端末３-1に直通パスを設定するために端末３-1のネットワーク層のアドレスを用いてサーバ４-2に対して端末３-1の通信網上のアドレス解決を要求するとサーバ４-2より接続先端末３-1の第２の通信網上のアドレスが回答される（その際、サーバ４-2はサーバ４-1に問い合わせる）。従って、端末３-2がその第２の通信網上のアドレスを用いて端末３-1に接続すると端末３-1でなく交換機10a 〜10e に収容された回線21に接続される。
【００５２】
呼の着信があると交換機10a 〜10e の発信元アドレス確認手段12は発信元端末３-2に対して所定のメッセージを送信する。このメッセージに対して発信元端末３-2は自端末のネットワーク層のアドレス情報を含む情報を返送する。発信元アドレス確認手段12がこの発信元端末３-2のネットワーク層のアドレス情報を発信元アドレス解決依頼手段13a または13b に送ると、発信元アドレス解決依頼手段13a または13b はそのアドレス情報を所定のサーバ４-1に送信し、サーバ４-1より発信元端末３-2の通信網上のアドレス情報を受信する（その際、サーバ４-1はサーバ４-2に問い合わせを行ってアドレスを解決する）。なお、発信元アドレス解決依頼手段13b は以上のほかの動作も行うが、それについては後述する。
【００５３】
発信元アドレス解決依頼手段13a または13b が受信した発信元端末３-2の通信網上のアドレス情報を接続可否認証手段14a 〜14d に送ると、接続可否認証手段14a 〜14d はこの通信網上のアドレス情報を着信の際に受信した発信元端末３の通信網上のアドレス情報（発信元アドレス確認手段12から送られるものとする）と比較する。両者が一致したときは収容端末アドレス記憶手段11を用いて着信の際に受信した接続先端末３-1の第２の通信網上のアドレス情報または着信があった回線21を識別する情報から接続先端末３-1の第１の通信網上のアドレスを検索する。接続先端末３-1の第１の通信網上のアドレスが検索されると接続可否認証手段14a 〜14d はこの第１の通信網上のアドレスを用いて接続先端末３-1に接続したのち、接続先端末３-1と発信元端末３-2を着信回線21を介して接続させる。
【００５４】
しかし、両者が一致しない場合及び発信元アドレス確認手段12よりのメッセージに対して発信元端末よりアドレス情報が返送されなかった場合は、この発信元端末は接続先端末３-1に対して接続を許容されている論理サブネット２に属していない端末であると認定して着信回線21を切断する処理を行う。
【００５５】
以上のように、本発明の認証機能を有する交換機10a 〜10e は、自交換機に収容された端末に対して不正な端末より直通パスが張られようとした場合に、端末に代わって自交換機に収容された他の回線に着信させたのち、発信元端末が自交換機収容の端末への接続を許容されている論理サブネットに属している端末であるか否かを確認したのち接続するようにしているので、不正な端末が本発明の認証機能を有する交換機に収容された端末に対して直通パスを設定してアクセスすることはできない。
【００５６】
本発明の認証機能を有する交換機10b は以上に記載した本発明共通の作用に加えて、自交換機収容の端末３-1への接続を許容されている論理サブネット２に属している端末であっても発信元端末の通信網上のアドレス情報またはネットワーク層のアドレス情報が発信元指定手段15に指定されていない場合には接続しないようにすることができるので、発信元端末をより厳密に限定することができる。
【００５７】
本発明の認証機能を有する交換機10c は本発明共通の作用に加えて、発信元端末３-2の通信品質を指定することができるので、不正な端末からの通信のみならず、論理サブネットの通信に支障を与えるような通信品質をもつ通信をも制約することができる。
【００５８】
本発明の認証機能を有する交換機10d は本発明共通の作用に加えて、接続先端末３-1と接続する以前に発信元端末３-2から通信情報が送られた場合にその通信情報を蓄積し、接続先端末３-1に接続を行ったのちに蓄積していた通信情報を接続先端末３-1に送信するように構成されているので、発信元端末が接続を許容される端末であった場合に通信情報が失われることがない。
【００５９】
本発明の認証機能を有する交換機10e は本発明共通の作用に加えて、発信元アドレス解決依頼手段13d がサーバによって解決された発信元端末の通信網上のアドレス情報を一時記憶する機能を有しており、着信があった場合に発信元端末の通信網上のアドレス情報が記憶されていた場合にはサーバに対するアドレス解決の依頼を省略することができる。従って、交換機及びサーバの処理負担が少なくなるという作用がある。
【００６０】
【発明の実施の形態】
図６は本発明の交換機が設置される通信網のモデル構成図、図７は本発明の交換機の実施例構成図、図８は本発明の交換機に収容される端末のアドレス付与方法説明図、図９乃至図13は本発明の実施例の動作シーケンス図で、図９は第１の発明の実施例動作シーケンス図、図10は第２の発明の実施例動作シーケンス図、図11は第３の発明の実施例動作シーケンス図、図12は第４の発明の実施例動作シーケンス図、図13は第５の実施例動作シーケンス図である。
【００６１】
全図を通じ、同一符号は同一対象物を示し、１はＡＴＭ網（本発明の交換機が設置される通信網の実施例）、２は論理サブネット（ＬＩＳとも記す）、３-1，３-2はＮＨＲＰにより管理されるネットワークに属する端末（クライアントまたはＮＨＣとも記し、総称する場合は端末３またはクライアント３のように記す）、４-1，４-2はＮＨＲＰにより管理されるネットワークに設けられるサーバ（ＮＨＳとも記し、総称する場合はサーバ４のように記す）、５はＮＨＲＰにより管理されるネットワーク、６はＮＨＲＰにより管理されるネットワークに属さない端末（ホストとも記す）、10はＡＴＭ交換機（ＡＴＭ−ＳＷとも記す）である。また、11乃至23はＡＴＭ交換機10内に設けられ、11は収容端末アドレスファイル、12は発信元アドレス確認処理部、13は発信元アドレス解決依頼処理部、14は接続可否認証処理部、15はアクセス制限リスト、16は通信品質指定リスト、17は受信パケット蓄積部、18は解決アドレスキャッシュメモリ、20は制御部、21は回線インタフェース部、22はスイッチ、23はポートである。
【００６２】
なお、図７のＡＴＭ交換機10は図１〜図５に図示された認証機能を有する交換機10a 〜10e の機能をすべて備えた実施例、収容端末アドレスファイル11は図１〜図５に図示された収容端末アドレス記憶手段11の実施例、発信元アドレス確認処理部12は図１〜図５に図示された発信元アドレス確認手段12の実施例、発信元アドレス解決依頼処理部13は図１〜図５に図示された発信元アドレス解決依頼処理手段13a 及び13b の両機能を備えた実施例、接続可否認証処理部14は図１〜図５に図示された接続可否認証処理手段14a 〜14d の機能をすべて備えた実施例、アクセス制限リスト15は図２に図示された発信元指定手段15の実施例、通信品質指定リスト16は図３に図示された通信品質指定手段16の実施例、受信パケット蓄積部17は図４に図示された通信情報蓄積手段17の実施例、解決アドレスキャッシュメモリ18は図５に図示された発信元解決アドレス記憶手段18の実施例である。
【００６３】
本発明の認証機能を有する交換機の実施例の説明に先立ち、本発明の交換機が設置される通信網と交換機に収容される端末（クライアント）のアドレスの付与方法と登録方法について説明する。図６は本発明の交換機が設置される通信網がＡＴＭ網である場合のモデル構成を図示したものであるが、図６の構成は図17において説明したＮＨＲＰが適用された通信網の構成とほぼ同じである。なお、図６にはＬＩＳ−ＡとＬＩＳ−ＢにＡＴＭ交換機10が図示されているのに対して図17にはＡＴＭ交換機が図示されていないが、実際にはＡＴＭ網に接続されるサーバ、端末などはすべてＡＴＭ交換機に接続されているので、図17ではそれが図示省略されているに過ぎない。ただし、図６に図示されたＡＴＭ交換機10は本発明による認証機能を有する交換機であって図17で使用される従来技術のＡＴＭ交換機（図示省略）とは機能が異なる（詳細後述）。また、実施例では上位（ネットワーク層）のプロトコルとしてＴＣＰ／ＩＰが使用される場合を例に説明する。
【００６４】
ＮＨＲＰでは各クライアントは所定のサーバに自身のＩＰアドレスとＡＴＭアドレスを登録する。本発明の交換機を使用する場合の登録動作そのものは従来技術と変わらないが、登録するアドレスの内容が異なるので図６のクライアント３-1（ＮＨＣ−Ａ）を例にアドレスの内容を図６〜図８を併用して説明する。
【００６５】
ＡＴＭ交換機には多くの回線が収容されるが、実際に回線が収容されるのは図７に図示されているようにスイッチ22のポート23（個々のポートをＰ-1〜Ｐ-3と記す）である。いま、図６に図示されているＮＨＣ−Ａが図７に図示されているＡＴＭ交換機10のポートＰ-3に収容されているものとする。ＮＨＣ−Ａ内にはＡＴＭインタフェース部（図示省略）が設けられているが、このＡＴＭインタフェース部に対してＡＴＭアドレスが付与されている。一方、ポートＰ-3にもＡＴＭアドレスが付与されており、ＡＴＭ交換機10はポートＰ-3を経由してＮＨＣ−Ａに直接パスを設定する。クライアントのＡＴＭインタフェース部が持つＡＴＭアドレスをそのクライアントの第１のＡＴＭアドレスと呼ぶこととする。
【００６６】
ＮＨＣ−Ａは第１のＡＴＭアドレスのほかにＮＨＣ−Ａ用として予め定められている別の回線のＡＴＭアドレスを第２のＡＴＭアドレスとしてもつ。この別の回線（具体的には回線インタフェース部）が収容されているポートが図７のポートＰ-2であるとすれば、ポートＰ-2に付与されているＡＴＭアドレスがＮＨＣ−Ａの第２のＡＴＭアドレスになる。
【００６７】
以上のように、本発明ではひとつのクライアントが２つのＡＴＭアドレスを使用するが、第２のＡＴＭアドレスに使用される回線は第２のＡＴＭアドレスごとに設ける必要はなく、ひとつの回線（ポートに対応）に対して複数のＡＴＭアドレスを付与することも可能である。この場合は、本発明を適用してもトラヒックに見合う以上の回線を実際に設備する必要はない。
【００６８】
図８の(a) にはＮＨＣ−Ａの第１のＡＴＭアドレスを「atmadd-nhc-a」、第２のＡＴＭアドレスを「atmadd-swa-nhc-a」のように付与した例を記している。実際のアドレスはこれらと異なるが、ここでは識別が容易なアドレス名称を付与しており、例えば、「atmadd」はＡＴＭアドレスであることを示し、第２のＡＴＭアドレスの「swa-nhc-a 」はＮＨＣ−Ａ用の代わりにＡＴＭ−ＳＷ−Ａに接続されるアドレスであることを示している。ＮＨＲＰのクライアントはＡＴＭアドレスのほかにＩＰアドレスを有しているが、図８の(a) の例ではＮＨＣ−ＡのＩＰアドレスを「ipadd-nhc-a 」としている。ＮＨＣ−Ａは予め自身のＩＰアドレスとＡＴＭアドレスを所定のサーバ４-1（図６及び図７のＮＨＳ−Ａ）に登録するが、本発明ではＡＴＭアドレスとして第２のＡＴＭアドレス「atmadd-swa-nhc-a」のみを登録する。
〔本発明の第１の実施形態〕
以下、第１の発明の実施例（以下、第１の実施例と記す）を図６〜図９を参照して詳細に説明するが、図９は本発明の第１の実施例について、交換機を中心として情報（制御信号、パケット、メッセージなど）の送受信シーケンスと交換機における動作フローを併せて記載した図である。図９中のＮＨＣ−Ｂ、ＮＨＳ−Ｂ、ＡＴＭ−ＳＷ−Ａなどの符号は図６中の符号を使用しているが、図９内においてはＮＨＣ−ＢをＣＢ、ＮＨＣ−ＡをＣＡと略記している。なお、以下の説明中、括弧内のＳ１〜Ｓ22は図９中の送受信情報や処理ステップに付してある符号を参照のために記載したものである。
【００６９】
図６の各ＬＩＳ２に属するクライアント３はそれぞれ所定のサーバ４に対して自身のＩＰアドレスとＡＴＭアドレスを登録するが、ＮＨＣ−Ａの場合は図８の（ａ）に記載されているＩＰアドレスと第２のＡＴＭアドレスをＮＨＳ−Ａに登録する（図９のＳ１参照）。この登録は図９のステップＳ１ではＮＨＣ−Ａから直接ＮＨＳ−Ａに対して行われるように記載されているが、実際にはＡＴＭ交換機10を介して行われる。その場合、ＮＨＣ−ＡがサーバＮＨＳ−ＡのＡＴＭアドレス（予め知らされているものとする）を接続先として発信すると、図７のＡＴＭ交換機10ではポートＰ-1とＮＨＳ−Ａ間に短点線で図示されているようなパスを設定してポートＰ-3とポートＰ-1をスイッチ22で接続する（ＮＨＳ−Ａに接続されたパスをＶＣ＃１とする）。接続が行われるとＮＨＣ−ＡはこのパスＶＣ＃１を介してＩＰアドレスと第２のＡＴＭアドレスを送信し、ＮＨＳ−Ａはこれを内部に記憶する。
【００７０】
以上の状態でＬＩＳ−Ｂに収容されているクライアント３-2（ＮＨＣ−Ｂ）がＮＨＣ−Ａに対してパケットを送信するものとする。ＮＨＣ−Ｂが予め知っているＮＨＣ−ＡのＩＰアドレスを用いて発信すると、パケットは２つのサーバＮＨＳ−Ｂ及びＮＨＳ−Ａを中継してＮＨＣ−Ａに送信される（従来技術により行われるので図９には図示を省略）。最初のパケットを送信した後（送信に先立ってでもよい）、ＮＨＣ−Ｂは送信するパケットの内容（具体的にはプロトコルまたはアプリケーション・プログラムの種類）を確認し、接続先との間に直通パスを設定して送信するのが適当と判断したものとする。直通パスを設定するためにはＮＨＣ−ＡのＡＴＭアドレスが必要であるが、ＮＨＣ−ＢはＮＨＣ−ＡのＡＴＭアドレスを知らないため、ＮＨＳ−ＢにＮＨＣ−ＡのＩＰアドレスを送ってＡＴＭアドレスの解決要求（ＮＨＲＰ解決要求）を行う（図９のＳ２参照）。
【００７１】
ＮＨＳ−Ｂは自身が管理するＬＩＳ内のクライアントでないＮＨＣ−ＡのＡＴＭアドレス情報は有していないため、ＮＨＲＰ解決要求を次のサーバとして定められているサーバ（この例ではＮＨＳ−Ａ）に転送する（図９のＳ３）。ＮＨＳ−ＡにはＮＨＣ−Ａのアドレスが登録されているのでＮＨＣ−ＡのＩＰアドレス情報とＡＴＭアドレス（第２のＡＴＭアドレス）情報の組をＮＨＲＰ解決応答としてＮＨＳ−Ｂに回答する（図９のＳ４）。ＮＨＳ−ＢはこのＮＨＲＰ解決応答をＮＨＣ−Ｂに送る（図９のＳ５）。なお、ＮＨＳ−ＡはＮＨＲＰ解決要求によりＮＨＣ−ＢのＡＴＭアドレス情報を受信しているので、そのＡＴＭアドレスを用いてＮＨＣ−Ｂに直通パスを設定し、ＮＨＲＰ解決応答を送ってもよい。ただし、ここでは図６のＬＩＳ−Ｂに図示されているＡＴＭ交換機（ＡＴＭ−ＳＷ−Ｂ）は本発明の認証機能を有する交換機ではないものとし、ＮＨＣ−Ｂは図８の（ｂ）に記載されている第１のＡＴＭアドレスのみを使用する（ＮＨＳ−Ｂへの登録を含む）ものとする。
【００７２】
ＮＨＣ−ＢはＮＨＣ−Ａとの間に直通パスを設定するため、受信したＡＴＭアドレスを用いてＮＨＣ−Ａに対して発信し、接続要求メッセージを送出する（図９のＳ６）。ところが、このときＮＨＣ−Ｂが送出する接続先のＡＴＭアドレスはＮＨＣ−Ａの第２のＡＴＭアドレスであるため、ＮＨＣ−ＢはＮＨＣ−Ａではなく図６のＬＩＳ−Ａ内のＡＴＭ交換機10（ＡＴＭ−ＳＷ−Ａ）の該当回線に接続される。図７で説明すると、ＮＨＣ−Ｂは図７のＡＴＭ交換機10の回線インタフェース部21を介してスイッチ22のポートＰ-2に接続された形になるが、これによってＮＨＣ−ＢとＡＴＭ−ＳＷ−Ａ（ポートＰ-2）との間にパス（ＶＣ＃３とする）が設定されたことになる。
【００７３】
なお、上記におけるＮＨＣ−Ｂの接続要求は実際には図６のＬＩＳ−Ｂ内のＡＴＭ交換機10（ＡＴＭ−ＳＷ−Ｂと記す）が受信したのちＡＴＭ網１内の中継交換機（図示省略）を介してＬＩＳ−Ａ内のＡＴＭ−ＳＷ−Ａに送られるが、図９ではＡＴＭ網１内の交換機として図６のＬＩＳ−Ａ内のＡＴＭ−ＳＷ−Ａのみを図示しているため、ＮＨＣ−ＢはＡＴＭ−ＳＷ−Ａに直接発信するように図示されている。
【００７４】
以下、図７のＡＴＭ交換機を図６におけるＡＴＭ−ＳＷ−Ａであるとして説明する。ＮＨＣ−Ｂよりの接続要求のメッセージは図７の発信元アドレス確認処理部12に送られる。接続要求のメッセージの内部には発信元と接続先のＡＴＭアドレスが含まれている（公知のものであるため詳細説明は省略）ため、交換機の制御部20は通常の接続処理の中で接続先のＡＴＭアドレスを識別することができるが、このとき、その接続先のＡＴＭアドレスがクライアントの第２のＡＴＭアドレスであるであることを識別することは容易である。接続先がいずれかのクライアントの第２のＡＴＭアドレスであると識別すると制御部20は接続要求のメッセージの内容を発信元アドレス確認処理部12に送る。
【００７５】
発信元アドレス確認処理部12はこの情報を受信すると、接続してきたホストがＮＨＲＰ配下のＬＩＳに登録されているクライアントであるか否かを確認するために、発信元のＮＨＣ−Ａに対して特殊メッセージを送信する（図９のＳ７）。特殊メッセージとしてはダミーの解決応答メッセージのようなものをＮＨＲＰに定められた形式のパケット（以下、ＮＨＲＰパケットと記す）で送信するが、その中に、例えば、他のサーバなどが送り得ないようなＩＰアドレスとＡＴＭアドレスの組み合わせを書き込んで送る。
【００７６】
このダミーの解決応答を受信したＮＨＣ−Ｂは、自分が解決要求を送出していないため受信する筈がなく、かつ、不明確なＩＰアドレス情報などが書き込まれた解決応答を受信したため、処理できないことを知らせるエラー検出メッセージ（例えば、NHRP Error Indication ）を特殊メッセージに対する応答メッセージとして送信元のＡＴＭ−ＳＷ−Ａに返送する（図９のＳ８）。
【００７７】
この応答メッセージの中にはＮＨＣ−ＢのＩＰアドレス（「ipadd-nhc-b 」とする）とＡＴＭアドレスを記述する。なお、ここではＮＨＣ−Ｂは前述のようにサーバＮＨＳ−Ｂに対して従来方式のアドレス登録、即ち、ＡＴＭアドレスとして第１のＡＴＭアドレスに相当するＡＴＭアドレス（「atmadd-nhc-b」とする）を登録しているものとし、このＡＴＭアドレスをＩＰアドレスとともに書き込んで返送する。
【００７８】
ＡＴＭ−ＳＷ−Ａの発信元アドレス確認処理部12は返送されたメモリ（図示省略）の中からＮＨＣ−ＢのＩＰアドレスとＡＴＭアドレスを取り出して適当なメッセージに記憶させたのち、制御部20を介して発信元アドレス解決依頼処理部13に処理を移す（図９のＳ９，Ｓ10）。
【００７９】
ここで、発信ホストがＮＨＲＰの管理下にない不正なホスト（例えば、図６のＨＯＳＴ−Ｘ）であると、ＮＨＲＰパケットを解読できないので何も返送することができない。この場合は、ＡＴＭ−ＳＷ−Ａの発信元アドレス確認処理部12はＮＨＣ−ＢのＩＰアドレスを取り出すことができないので発信元が不正なホストであると判定し、制御部20を介してパスを切断させる（Ｓ10→Ｓ19）。
【００８０】
ＮＨＣ−ＢのＩＰアドレスを受信した場合、処理を引き継いだ発信元アドレス解決依頼処理部13は所定のサーバ（ＮＨＳ−Ａ）に発信し、このＩＰアドレスからＮＨＣ−ＢのＡＴＭアドレスを解決するよう依頼する（図９のＳ11）。このアドレス解決要求はＡＴＭ交換機とサーバ間に予め固定パスが張られているような場合はそのパスを用いてもよいが、図７ではＮＨＳ−Ａとの間にＶＣを設定する場合を図示している。図７中に一点鎖線の矢印で図示したＶＣ＃２はこの依頼ルートを示している。
【００８１】
ＮＨＳ−Ａは自分の管理下にないＮＨＣ−Ｂのアドレス解決はできないため、これをルーチングプロトコルに従い、次のサーバ（この例ではＮＨＳ−Ｂ）に転送（フォワード）する（図９のＳ12）。ＮＨＳ−ＢはＮＨＣ−Ｂのアドレスを登録しているのでアドレス解決応答をＮＨＳ−Ａに対して返送し（図９のＳ13）、ＮＨＳ−Ａはこのアドレス解決応答をＡＴＭ−ＳＷ−Ａに送る（図９のＳ14）。
【００８２】
ＡＴＭ−ＳＷ−Ａの発信元アドレス解決依頼処理部13は上記のアドレス解決応答を受信すると受信したＮＨＣ−ＢのＡＴＭアドレス（「atmadd-rep-nhc-b」とする）を適当なメモリに記憶したのち、処理を接続可否認証処理部14に移す（図９のＳ15, Ｓ16）。
【００８３】
接続可否認証処理部14はＮＨＳ−Ａより受信したＮＨＣ−ＢのＡＴＭアドレス（「atmadd-rep-nhc-b」）を先に図９のステップＳ９で記憶させたＮＨＣ−ＢのＡＴＭアドレス（「atmadd-nhc-b」）と比較する（図９のＳ17）が、ＮＨＣ−ＢがＮＨＳ−Ｂに登録したＡＴＭアドレスは前述のように「atmadd-nhc-b」であるのでＮＨＳ−Ａから受信するＡＴＭアドレス「atmadd-rep-nhc-b」の実質は「atmadd-nhc-b」であり、両者は一致する。もし、一致しない場合はこの発信元はサーバに登録を行っている正規のクライアントでない可能性があるので、接続可否認証処理部14は制御部20を介して発信元との下位に設定されているＶＣを切断する（図９のＳ18→Ｓ19）。
【００８４】
また、発信元のホストがどのＬＩＳにも属さない不正なホストである場合にはＡＴＭ−ＳＷ−ＡがＮＨＳ−Ａにアドレス解決要求を送出してもどのサーバもアドレス解決ができないため、ルーチングプロトコルにおける最後のサーバ（この例ではＮＨＳ−Ｂ）から解決要求されたＩＰアドレスに対してエントリがない旨の解決応答が送られる。この場合は、接続可否認証処理部14は発信元が不正なホストであると判定して接続を切断する（図９のＳ16→Ｓ19）。
【００８５】
着信の際に発信元から送られたＡＴＭアドレスとサーバからアドレス解決応答として送られたＡＴＭアドレスが一致した場合、接続可否認証処理部14は発信元が正規のクライアントであると判定し, 発信元のＮＨＣ−Ｂと接続先であるＮＨＣ−Ａの接続を開始する。しかし、この時点までＡＴＭ−ＳＷ−ＡはＮＨＣ−Ａに接続するために必要なＡＴＭアドレス、即ち、ＮＨＣ−Ａの第１のＡＴＭアドレスをどこからも受信していないので、ＮＨＣ−ＡのＡＴＭアドレスを検索する処理を開始する。
【００８６】
そのために、接続可否認証処理部14は収容端末アドレスファイル11にアクセスする。収容端末アドレスファイル11はＡＴＭ交換機10に収容されている端末の第２のＡＴＭアドレスと第１のＡＴＭアドレスを対応して記憶しているので、第２のＡＴＭアドレスを入力すれば第１のＡＴＭアドレスを索引することができるように構成されている。一方、ＮＨＣ−Ａからの着信の際に受信する接続要求の中には接続先のＡＴＭアドレスが含まれているが、制御部20は交換機の基本機能としてこの接続先のＡＴＭアドレスを識別することができる。
【００８７】
この接続先のＡＴＭアドレスは接続先クライアント（ＮＨＣ−Ａ）の第１のＡＴＭアドレスではなく、交換機が代理に受け付ける回線のアドレスであるが、このアドレスは各クライアントに固有のアドレス、即ち、各クライアントの第２のＡＴＭアドレスになっているので、これを収容端末アドレスファイル11に入力すれば、そのクライアントの第１のＡＴＭアドレスを検索することができる。
【００８８】
接続可否認証処理部14は収容端末アドレスファイル11を介して接続先クライアントのＮＨＣ−Ａの第１のＡＴＭアドレスを検索する（図９のＳ20）と、このＡＴＭアドレスを制御部20に送り、接続を依頼する。制御部20は第１のＡＴＭアドレスを用いてＮＨＣ−Ａに接続（このとき接続されるパスをＶＣ＃４とする）したのち、着信回線（回線インタフェース部21）が収容されているポートＰ-3とＮＨＣ−Ａが接続されているポートＰ-3をスイッチ22により接続する（図９のＳ21，Ｓ22）。これによってパスＶＣ＃３とＶＣ＃４は接続され、発信元のホストＮＨＣ−Ｂと接続先のホストＮＨＣ−Ａ間でこの直通パスを介して通信が可能となる。
【００８９】
以上のように、図６のＮＨＲＰで管理されているネットワーク５に属するクライアント３（例えばＮＨＣ−Ｂ）が同じネットワーク５に属するクライアントＮＨＣ−Ａに直通パスを設定するためにサーバ（ＮＨＳ−Ｂ）にＡＴＭアドレスの解決を要求した場合、本発明の方法ではＮＨＣ−Ａに直接接続できるＡＴＭアドレスではなく、ＡＴＭ交換機収容の別回線のＡＴＭアドレス（クライアントの第２のＡＴＭアドレス）が回答されるが、このＡＴＭアドレスに対して発信するとＡＴＭ−ＳＷ−Ａが代理で受信してＮＨＣ−Ａに接続してくれるのでＮＨＣ−ＢとＮＨＣ−ＡはＡＴＭパスを介してパケットを送受信できる。
【００９０】
これに対して図６のネットワーク５に属するＬＩＳ２に参加を許可されていないホスト６（ＨＯＳＴ−Ｘ）がネットワーク５に属しているクライアントＮＨＣ−Ａに不正にアクセスするため、例えば前述したＬＡＮＥのＬＥＣとしての機能などを利用してＮＨＣ−Ｂにアクセスし、ＮＨＣ−Ｂ内にキャッシュされているＮＨＣ−ＡのＩＰアドレスとＡＴＭアドレスのテーブルを覗き見るなどしてＮＨＣ−ＡのＡＴＭアドレスを知ることができたとする。しかし、このとき入手できたＡＴＭアドレスはＮＨＣ−Ａの第２のＡＴＭアドレスである（正規のクライアントＮＨＣ−Ｂも最後までＮＨＣ−Ａの第１のＡＴＭアドレスは知らされない）ため、このＮＨＣ−Ａの第２のＡＴＭアドレスに対して発呼しても、目的とするＮＨＣ−Ａには接続されずにＡＴＭ交換機10（ＡＴＭ−ＳＷ−Ａ）に接続される（図６に２点鎖線の矢印で図示された直通パスの設定を意図したにも拘らず、点線の矢印で図示された直通パスが設定される）。
【００９１】
そこで、ＡＴＭ交換機10（ＡＴＭ−ＳＷ−Ａ）から図９のステップＳ７に図示されているような特殊メッセージが送出されるとＨＯＳＴ−Ｘはそれが解読できないため、ステップＳ10→Ｓ19において発信元は不正ホストと判断される。また、ＨＯＳＴ−ＸがＮＨＲＰ機能を有していてステップＳ７のメッセージを解読でき、自身のＩＰアドレスを付してステップＳ８のエラーメッセージを送出した場合も、ＨＯＳＴ−Ｘはネットワーク５に属するどのサーバ４にも登録されていないためにＡＴＭ−ＳＷ−ＡがＨＯＳＴ−ＸのＩＰアドレスにより行うＡＴＭアドレス解決要求（図９のステップＳ11）に対してどのサーバ４も応答することができず、ステップＳ16→Ｓ19において発信元ホストは不正と判断される。
【００９２】
更に、エラーメッセージで回答してきたＨＯＳＴ−ＸのＩＰアドレスが偶然いずれかのサーバ４に登録されていたとしてもそれによって解決したＡＴＭアドレスはステップＳ８においてＨＯＳＴ−Ｘが送出したＡＴＭアドレスと一致することは殆どあり得ないので、ステップＳ18→Ｓ19において発信元ホストは不正と判断される。即ち、本発明においてはクライアントへの接続は３重に行われる認証処理を通過しなければならないため、不正なホストがＮＨＲＰで管理されているＬＩＳ２に属するクライアント３に直通パスを設定して不正にアクセスすることは不可能である。
【００９３】
以上のように、図６のＬＩＳ−Ａに属するＮＨＣ−Ａに対する接続はＡＴＭ−ＳＷ−Ａが代理で受け付けたのちに接続されていたが、以下、ＡＴＭ−ＳＷ−Ａのような役割を担う交換機をランデブーポイントと呼ぶ。以上の説明では、ＮＨＣ−Ａにアクセスしようとする正規のクライアントＮＨＣ−Ｂはランデブーポイントを介さずに自身の第１のＡＴＭアドレスを用いて接続を行うものとして説明したが、以下、ＮＨＣ−Ｂもランデブーポイントを介する例について説明する。図６においては、ＮＨＣ−Ｂのランデブーポイントになる交換機はＬＩＳ−Ｂ内に設置されているＡＴＭ交換機10（以下、ＡＴＭ−ＳＷ−Ｂと記す）であるが、ＡＴＭ交換機内部の動作は先に図７を用いて説明した内容と重複するので説明は省略する。
【００９４】
ランデブーポイントをもつ場合のＮＨＣ−Ｂのアドレスの例を図８の(b) に記すが、ＮＨＣ−Ｂの第２のＡＴＭアドレス「atmadd-swb-nhc-b」は、ＮＨＣ−Ｂ用として定められたＡＴＭ−ＳＷ−Ｂ内の回線のＡＴＭアドレスである。ＮＨＣ−Ｂはこの第２のＡＴＭアドレスをＩＰアドレス「ipadd-nhc-b 」と組み合わせて予め自身の属するＬＩＳ−Ｂを管理するサーバＮＨＳ−Ｂに登録しておく。
【００９５】
ＮＨＣ−ＢはＮＨＣ−Ａへ直通パスを設定する必要が生じたが、ＮＨＣ−ＡのＩＰアドレスは知っていてもＡＴＭアドレスを知らないため、ＮＨＳ−Ｂに対してＮＨＣ−ＡのＩＰアドレスからＡＴＭアドレスへの解決要求を行う。ＮＨＳ−ＢはＮＨＣ−ＡのＡＴＭアドレス情報を有していないので次のサーバ４（この例ではＮＨＳ−Ａ）にこの要求を送る。ＮＨＳ−ＡにはＮＨＣ−Ａのアドレスが登録されているのでＮＨＣ−ＡのＡＴＭアドレスをＮＨＲＰ解決応答としてＮＨＳ−Ｂに回答し、ＮＨＳ−ＡはこれをＮＨＣ−Ｂに送る（以上、図９のＳ２〜Ｓ５参照）。
【００９６】
ＮＨＣ−Ｂは受信したＡＴＭアドレスを用いてＮＨＣ−Ａに直通パスを設定するためＡＴＭ網１（具体的にはＡＴＭ−ＳＷ−Ｂ）に対して発信するが、ＮＨＲＰ解決応答で回答されたＮＨＣ−ＡのＡＴＭアドレスは第２のＡＴＭアドレス、即ち、ＮＨＣ−Ａ用として定められたＡＴＭ−ＳＷ−Ａ内の回線のＡＴＭアドレスであるため、ＮＨＣ−ＢはＡＴＭ−ＳＷ−Ｂ及び図示省略されたＡＴＭ網１内の中継交換機を経てＡＴＭ−ＳＷ−Ａの前記第２のＡＴＭアドレスに該当する回線に接続される（図９のＳ６参照）。
【００９７】
ＡＴＭ−ＳＷ−Ａは発信元のホストがＮＨＲＰ配下のＬＩＳ２に登録されているホストであるか否かを調べるため、特殊メッセージを送出する。ＮＨＣ−Ｂはこのメッセージに対して前述のようにエラーメッセージを返送するが、その中に自身のＩＰアドレスとＡＴＭアドレスを書き込んで送出する（図９のＳ７〜Ｓ８参照）。ただし、ＮＨＣ−Ｂはランデブーポイントをもち、ＮＨＳ−Ｂに対して第２のＡＴＭアドレスを登録しているので、エラーメッセージに書き込むＡＴＭアドレスは第２のＡＴＭアドレス「atmadd-swb-nhc-b」とする。
【００９８】
ＡＴＭ−ＳＷ−Ａはエラーメッセージの中からＮＨＣ−ＢのＩＰアドレスを抽出し、このＩＰアドレスを用いてＮＨＳ−ＡにＡＴＭアドレスの解決を要求する（図９のＳ11参照）。ＮＨＳ−Ａはこのアドレス解決ができないのでＮＨＳ−Ｂに転送する（図９のＳ12参照）。ＮＨＳ−ＢにはＮＨＣ−ＢのＡＴＭアドレスが登録されているのでそのＡＴＭアドレスをＮＨＳ−Ａに回答する（図９のＳ13参照）が、前述のようにこのＡＴＭアドレスはＮＨＣ−Ｂの第２のＡＴＭアドレス、即ち、ＡＴＭ−ＳＷ−Ｂ内の回線のＡＴＭアドレス「atmadd-swb-nhc-b」である。ＮＨＳ−ＡはこのＡＴＭアドレスをＡＴＭ−ＳＷ−Ａに送る（図９のＳ14参照）。
【００９９】
ＡＴＭ−ＳＷ−ＡはＮＨＳ−Ａより受信したＡＴＭアドレスをエラーメッセージに書き込まれていたＡＴＭアドレスと比較するが、以上から明らかなように両ＡＴＭアドレスはいずれも「atmadd-swb-nhc-b」であるので一致する（図９のＳ15〜Ｓ18参照）。以後、ＡＴＭ−ＳＷ−ＡにおいてＮＨＣ−Ａに対する接続が行われ、次いでＮＨＣ−ＢとＮＨＣ−Ａが接続されるので、両ホストは直接パケットを送受信することが可能となる（図９のＳ20〜Ｓ22参照）。
【０１００】
以上のように、通信を行う２つのクライアントがいずれもランデブーポイントを持つ場合には両クライアントとも自身の第１のＡＴＭアドレスを使用することがないが、一方のクライアントがランデブーポイントを持っていない場合と全く同様に正しく認証が行われ、発信元が不正なホストでない限り、両クライアント間に直通パスが設定される。
〔本発明の第２の実施形態〕
図10は第２の発明における情報の送受信シーケンスと交換機の動作フローの実施例を併せて記載した図である。以下、第２の発明の実施例（以下、第２の実施例と記す）を図６、図７及び図10を参照して説明するが、図９で説明した第１の実施例の内容と重複する部分については説明を省略する。なお、図10中のＮＨＣ−Ｂ、ＮＨＳ−Ｂ、ＡＴＭ−ＳＷ−Ａなどの符号の意味は第１の実施例におけると同様である。また、Ｓ31などの符号は図10中の送受信情報やステップに付した符号である。
【０１０１】
企業内システムなどにおいては特定の端末について、発信元が同じ企業内システムの端末であっても特に指定された端末以外はアクセスを禁止すると言う手段をとることがある。本発明の交換機が使用される通信網においても、着信端末によっては発信元がたとえＮＨＲＰにおいて管理されるネットワークに属する端末であっても無条件で接続を許可できない場合があり得る。第２の発明は第１の発明の認証機能を有する交換機に発信元指定手段が付加されたもので、図７のアクセス制限リスト15は図２の発信元指定手段15の実施形態である。
【０１０２】
アクセス制限リスト15には着信端末ごとにアクセスを許可する発信元端末のＡＴＭアドレスまたはネットワーク層アドレス（例えば、ＩＰアドレス）を指定するが、接続を許可する発信元として端末を単位とせずに複数の端末のグループを単位とすることもできる。その場合、例えばＩＰアドレスで接続を許可する発信元のアドレスを指定するのであれば、ＩＰアドレスの全桁を指定せずに、ネットワークアドレスと呼ばれる上位桁のみを指定する。
【０１０３】
以下、図６のＮＨＣ−ＢからＮＨＣ−Ａに対して接続を行う場合を例に図10を主体に説明するが、第２の実施例におけるＮＨＣ−ＡのＮＨＳ−Ａに対するアドレス登録方法及びＮＨＣ−ＢがＡＴＭ網１に対して発信したのち、ＡＴＭ−ＳＷ−Ａから特殊メッセージを受信し、これに対してエラーメッセージを送出するまでの動作は図９のステップＳ１〜ステップＳ16に図示したものと同一である。このため、図10にはこの部分の記載を省略し、ＡＴＭ−ＳＷ−Ａがエラーメッセージに含まれていたＮＨＣ−ＢのＡＴＭアドレスとＮＨＳ−Ａを介して解決したＮＨＣ−ＢのＡＴＭアドレスを比較するステップＳ31から図示してあるが、図10のＳ31は図９のステップＳ17と同一部分である。以下、図10のステップＳ31以降の動作を説明する。
【０１０４】
第１の実施例において説明したように、この場合は発信元ホストのＮＨＣ−Ｂの２つのＡＴＭアドレスは同一であるので比較結果は一致し、接続先のクライアントＮＨＣ−Ａの第１のＡＴＭアドレスの検索に移る（図10のＳ31, Ｓ32→Ｓ34）。この検索方法は第１の実施例におけると同じく、図７の接続可否認証処理部14が収容端末アドレスファイル11を用いて行うが、接続先のホストＮＨＣ−Ａの第１のＡＴＭアドレスが確認されると、接続可否認証処理部14はアクセス制限リスト15を用いて発信元のＮＨＣ−ＢのＡＴＭアドレスがＮＨＣ−Ａに対してアクセスを許可されているアドレスであるか否かを確認する（図10のＳ35）。もし、許可されていない端末であれば接続されたパスを切断する（図10のＳ36→Ｓ33）。なお、この場合、ステップＳ33においては発信元を不正ホストではなく、アクセス不許可のホストと判定することになる。
【０１０５】
発信元がアクセス制限リスト15にアクセスを許可する端末として登録されている場合は接続可否認証処理部14は制御部20を介してＮＨＣ−Ａに接続したのち、ＮＨＣ−ＢとＮＨＣ−Ｂを接続するが、この処理（図10のＳ37〜Ｓ38）は図９における処理（図９のＳ21〜Ｓ22）と同様である。また、発信元が図６のＮＨＣ−Ｂではなく不正ホストのＨＯＳＴ−Ｘであった場合は、図９により説明した第１の実施例におけると全く同様に、不正ホストＨＯＳＴ−Ｘが目的とするホストＮＨＣ−Ａに接続されないよう排除される。
〔本発明の第３の実施形態〕
図11は第３の発明における情報の送受信シーケンスと交換機の動作フローの実施例を併せて記載した図である。以下、第３の発明の実施例（以下、第３の実施例と記す）を図６、図７及び図11を参照して説明するが、図９で説明した内容と重複する部分については説明を省略する。なお、図11中のＮＨＣ−Ｂなどの符号の意味やＳ41などの符号はこれまでの説明におけると同様である。
【０１０６】
ＡＴＭ網においては通信を許可する場合に通信品質について条件を付すことが行われている。本発明の交換機が使用される通信網においても、発信元がたとえＮＨＲＰにおいて管理されるＬＩＳに属する端末であっても通信品質について条件を付さずに接続することはできないという場合があり得る。第３の発明は第１の発明の認証機能を有する交換機に通信品質指定手段が付加されたもので、図７の通信品質指定リスト16は図３の通信品質指定手段16の実施形態である。通信品質指定リスト16には発信元の端末に対して許可できる通信品質の条件が記憶されている。
【０１０７】
以下、図６のＮＨＣ−ＢからＮＨＣ−Ａに対して接続を行う場合を例に図11を主体に説明するが、図11においても第１の実施例のシーケンス（図９のＳ１〜ステップＳ16）と同一の部分は図示を省略し、ＮＨＣ−Ｂの２つのＡＴＭアドレスを比較するステップから図示してある。比較を行うステップＳ41は図９のステップＳ17と同一部分であるが、以下、図11のステップＳ41から説明を行う。
【０１０８】
ステップＳ41においては第１の実施例におけると同様、発信元クライアントＮＨＣ−Ｂの２つのＡＴＭアドレスの比較結果が一致するので、接続先クライアントＮＨＣ−Ａの第１のＡＴＭアドレスの検索に移る（図11のＳ41, Ｓ42→Ｓ44）が、検索方法は第１の実施例におけると同一である。ＮＨＣ−Ａの第１のＡＴＭアドレスの検索が終わると図７の接続可否認証処理部14はＮＨＣ−Ｂが接続を行ってきたときに送信してきた通信品質の情報を制御部20より受け、通信品質指定リスト16に指定されている条件と適合するか否かを確認する（図11のＳ45）。
【０１０９】
ここで通信品質とは例えばパケットの使用帯域、廃棄率、遅延などの通信品質を指すが、接続可否認証処理部14はＮＨＣ−Ｂから送られてきた通信品質条件が通信品質指定リスト16に指定されている条件に適合することを確認した場合は制御部20を介してＮＨＣ−Ａに接続し、ＮＨＣ−ＢとＮＨＣ−Ａを接続する（図11のＳ45, Ｓ46→Ｓ48〜Ｓ49）が、適合しない場合は通信品質不適合としてパスを切断する（図11のＳ46→Ｓ47）。
【０１１０】
通信品質条件が接続条件に付加される以外は第３の実施例の処理は第１の実施例と同様であり、発信元が不正ホストＨＯＳＴ−Ｘである場合には目的とするホストＮＨＣ−Ａに接続されないよう排除される。
〔本発明の第４の実施形態〕
図12は第４の発明における情報の送受信シーケンスと交換機の動作フローの実施例を併せて記載した図である。以下、第４の発明の実施例（以下、第４の実施例と記す）を図６、図７及び図12を参照して詳細に説明するが、図９で説明した内容と重複する部分については説明を省略する。なお、図12中の符号の意味や以下の説明におけるＳ51などの符号はこれまでの説明と同様である。
【０１１１】
本発明を適用する場合、発信元のクライアントは直通パス設定の要求を行って接続先のクライアントの代りに交換機に接続される（交換機に対してパスが開設される）と、その時点で接続先のクライアントに直接パスが設定されたと解釈してパケットの送出を開始する可能性がある。そのため、交換機は接続先のクライアントに接続するまでの間に発信元から送られるパケットを受信して一時的に蓄積しておくことが望ましい。
【０１１２】
第４の実施例は第１の発明の認証機能を有する交換機に通信情報を受信して蓄積する通信情報蓄積手段が付加されたもので、図７の受信パケット蓄積部17は図４の通信情報蓄積手段17の実施形態である。以下、図６のＮＨＣ−ＢからＮＨＣ−Ａに対して接続を行う場合を例に図12を主体に説明するが、第１の実施例と同一内容の箇所については説明を省略する。
【０１１３】
ＮＨＣ−Ａがアドレスを登録する処理は図９における処理（図９のＳ１）と同一であり、また、ＮＨＣ−ＢがＮＨＳ−ＢにＮＨＣ−ＡのＡＴＭアドレスの解決を要求するまでの動作は図９における動作（図９のＳ２〜Ｓ５）と同一であるので、図12ではステップＳ51〜Ｓ55の記載を省略し、ステップＳ56より記載している。ステップＳ56においてＮＨＣ−Ｂは解決されたＡＴＭアドレスを用いてＮＨＣ−Ａに対して発信するが、この動作は図９のステップＳ６と同じである。
【０１１４】
前述のように、このとき解決されたＡＴＭアドレスはＮＨＣ−Ａの第１のＡＴＭアドレスではなく第２のＡＴＭアドレス、即ち、ＡＴＭ−ＳＷ−Ａの回線のＡＴＭアドレスであるため、ＮＨＣ−ＢはＮＨＣ−Ａには接続されず、ＡＴＭ−ＳＷ−Ａに接続される。
【０１１５】
ところが、ＮＨＣ−Ｂが直通パス設定を開始する以前にサーバ（図６のＮＨＳ−Ａなど）を介してパケットの送信を開始していて、その後に直通パスを介して送信するようにする場合はＮＨＣ−Ａに接続されるまで後続のパケットをＮＨＣ−Ｂ内に蓄積しておかなければならなくなる。しかし、蓄積が困難な場合には後続のパケットをいま設定された直通パス（図７のＶＣ＃３）を介してＡＴＭ−ＳＷ−Ａに送信してくることになる。そこで、図７のＡＴＭ交換機10では制御部20の制御によりこのパケットをスイッチ22を介して受信パケット蓄積部17に蓄積させる（図12のＳ57〜Ｓ58参照）。
【０１１６】
次いで、ＡＴＭ−ＳＷ−ＡはＮＨＣ−Ｂに対して特殊メッセージを送出するが、以後、ＮＨＣ−Ｂの２つのＡＴＭアドレスの一致を確認し、一致した場合にＮＨＣ−Ａに接続し、ＮＨＣ−ＢとＮＨＣ−Ａを接続するまでの処理（図12のＳ59〜Ｓ74）は図９における動作（図９のＳ７〜Ｓ22）と同一である。図12ではＮＨＣ−ＢとＮＨＣ−Ａを接続すると先ずステップＳ58で受信蓄積したパケットをＮＨＣ−Ａに対して送信し、蓄積したパケットの送信を終わるとＮＨＣ−ＢからのパケットをそのままＮＨＣ−Ａに送信するようにする（図９のＳ75〜Ｓ76）。
【０１１７】
以上のように、第４の実施例では送信元のクライアントから通信情報のパケットが送られてきた場合、本発明の交換機がそのパケットを受信して蓄積するが、発信元が不正のホストであるか否かを確認してから蓄積したパケットを接続先のホスト（ＮＨＣ−Ａ）に送るため、正規のクライアントから送られたパケットは消滅することがなく、かつ、不正なホスト（例えば図６のＨＯＳＴ−Ｘ）から送られた情報を接続先のホスト（ＮＨＣ−Ａ）に対して送信することがない。このため、有害な情報により正規のホストが被害を受けることがない。
〔本発明の第５の実施形態〕
図13は第５の発明における情報の送受信シーケンスと交換機の動作フローの実施例を併せて記載した図であるが、図９の動作（図９のＳ１〜Ｓ５）と同一内容のステップＳ81〜Ｓ85は図示を省略し、ステップＳ86（図９のＳ６と同じ）から記載している。以下、第５の発明の実施例（以下、第５の実施例と記す）を図６、図７及び図13を参照して詳細に説明するが、図９で説明した内容と重複する部分については説明を省略する。なお、図13中の符号やＳ86などの符号はこれまでと同様である。
【０１１８】
これまで説明した本発明の交換機は発信元のクライアント（例えば、図６のＮＨＣ−Ｂ）やホスト（図６のＨＯＳＴ−Ｘ）から接続されるとその都度サーバにアドレス解決の要求を行うが、同一クライアントから短時間に何回も接続が行われる場合に毎回アドレス解決処理を行うことは交換機にとってもサーバにとっても負担になる。そこで、アドレス解決を行ったときに解決されたアドレスを一定時間記憶しておき、記憶されているクライアントから接続されたときにサーバに対するアドレス解決要求を省略する方法が考えられる。
【０１１９】
第５の実施例は第１の発明の認証機能を有する交換機に発信元解決アドレス記憶手段と発信元解決アドレス管理手段が付加されたもので、図７の解決アドレスキャッシュメモリ18は図５の発信元解決アドレス記憶手段18の実施形態である。なお、図５の発信元解決アドレス管理手段19の実施形態である解決アドレスキャッシュメモリ管理部は図７では図示省略されているが、この部分は図７のＡＴＭ交換機10においては制御部20内に設けられているものとする。
【０１２０】
図13のステップＳ81〜Ｓ88（Ｓ81〜Ｓ85は図示省略）の動作は図９のステップＳ１〜Ｓ８の動作と同一であるので説明を省略する。第１の実施例において説明したように、図７のＡＴＭ交換機10の発信元アドレス確認処理部12はＮＨＣ−Ｂから送られてきたエラーメッセージからＮＨＣ−ＢのＩＰアドレスを抽出（図13のＳ88〜Ｓ90）するが、第１乃至第４の実施例では抽出したＩＰアドレスを制御部20を介して発信元アドレス解決依頼処理部13に送り、発信元アドレス解決依頼処理部13がアドレス解決処理を行っていた。しかし、本実施例では発信元アドレス解決依頼処理部13はサーバにアドレス解決を依頼するのに先立ってこのＩＰアドレスが解決アドレスキャッシュメモリ18に記憶されている否かを確認する（図13のＳ91）。
【０１２１】
詳細は後述するが、解決アドレスキャッシュメモリ18には発信元アドレス解決依頼処理部13が以前に解決した発信元クライアントのＡＴＭアドレスがＩＰアドレスと対応して記憶されている。そこで、発信元アドレス解決依頼処理部13はエラーメッセージから抽出したＮＨＣ−ＢのＩＰアドレスが解決アドレスキャッシュメモリ18に記憶されていた場合にはそこに記憶されているＮＨＣ−ＢのＡＴＭアドレスを読み出し、接続可否認証処理部14に転送する。接続可否認証処理部14は転送されたＡＴＭアドレスをエラーメッセージとともに送られてきたＡＴＭアドレス（図13のＳ89参照）と比較する（図13のＳ92→Ｓ93→Ｓ99）。これは、ＮＨＣ−Ｂがエラーメッセージとともに送ってきたＡＴＭアドレスがサーバ（この例では図６のＮＨＳ−Ｂ）に登録されているものであるか否かを確認することと同じ効果をもつ。
【０１２２】
ステップＳ92において解決アドレスキャッシュメモリ18に該当のＩＰアドレスが記憶されていない場合は、発信元アドレス解決依頼処理部13はサーバＮＨＳ−Ａにアドレス解決を依頼するが、以後の動作（図13のＳ94〜Ｓ97）は図９における動作（図９のＳ11〜Ｓ14）と同一である。ただし、図13においてはサーバよりＮＨＣ−ＢのＡＴＭアドレスを受信すると、発信元アドレス解決依頼処理部13は解決されたＡＴＭアドレス情報をアドレス解決に使用したＮＨＣ−ＢのＩＰアドレス情報と対応させて解決アドレスキャッシュメモリ18に記憶させる（図13のＳ98）。図13のステップＳ91において索引する解決アドレスキャッシュメモリ18に記憶されている情報はこのようにして記憶されたものである。発信元アドレス解決依頼処理部13はアドレス情報を解決アドレスキャッシュメモリ18に記憶させるとともに、解決されたＮＨＣ−ＢのＡＴＭアドレスをステップＳ89において記憶されたＡＴＭアドレスと比較する（図13のＳ99）。
【０１２３】
以上のいずれかによりＡＴＭアドレスの比較が行われたあとの動作（図13のＳ100 〜Ｓ104 ）は第１の実施例における動作（図９のＳ18〜Ｓ22）と同一であるので説明を省略する。以上のように、第５の実施例においてはＡＴＭ交換機10はホストより着信がある都度サーバ４にアドレス解決を要求しなくて済むので、交換機10やサーバ４の負荷が減少し、処理も速かに行われるようになる。
【０１２４】
なお、解決アドレスキャッシュメモリ18に記憶されたアドレス情報は一定の時間を経過すると消去し、古いアドレス情報が使用されないようにするが、この処理は図７の制御部20内に設けられた解決アドレスキャッシュメモリ管理部（図示省略）によって行われる。即ち、解決アドレスキャッシュメモリ管理部は解決アドレスキャッシュメモリ18に定期的にアクセスし、記憶されているアドレス情報の中に所定の時間を経過したものがあればそれを消去する。
〔実施形態説明の補足〕
以上、図６乃至図13を用いて本発明の認証機能を有する交換機の実施形態を説明したが、本発明が図示された内容のみに限定されるものでないことは言うまでもない。例えば、実施形態の説明では通信網としてＡＴＭ網、ネットワークプロトコル（上位レイヤ）としてＴＣＰ／ＩＰプロトコルを用いる場合について説明したが、本発明を適用する通信網はＡＴＭ網のみに限られず、パケット網、フレームリレー網など、非放送型多元接続網（ＮＢＭＡ網）或いはコネクション型通信網と呼ばれる通信網全般が含まれ、また、上位プロトコルもＴＣＰ／ＩＰに限定されるものではない。また、上記の説明では発信元のクライアントやホストを物理的には端末として説明したが、これらはルータを兼ねる端末や、他の名称が付された装置であってもよい。
【０１２５】
また、図７に図示された本発明の認証機能を有する交換機の実施例構成図は、第１の発明乃至第５の発明のすべての機能を備えた構成例となっているが、本発明の交換機がこれらの機能すべてを備えたものに限定されるものでないことは勿論である。また、交換機の構成方法には図７に図示された構成以外にも各種の構成方法があり得ることは当然であり、例えば、図７の発信元アドレス確認処理部12、発信元アドレス解決依頼処理部13、接続可否認証処理部14などを制御部20の内部に設けても発明の効果は変わらない。また、図７の構成では、収容端末アドレスファイル11、アクセス制限リスト15通信品質指定リスト16は接続可否認証処理部14に接続されているが、これらを制御部20に接続し、制御部20を介してこれらの機器にアクセスするようにしてもよい。また、図７では上記のファイルやリストはディスク装置に記憶されているように図示されているが、これらはディスク装置以外の記憶装置に記憶されていてもよく、また、複数のリストなどが物理的に同一の記憶装置内に記憶されても効果に代わりがないことは勿論である。
【０１２６】
また、本発明の交換機では発信元から送られたＡＴＭアドレスとサーバにより解決された発信元のＡＴＭアドレスを比較しているが、実施例のシーケンス図では発信元から送られるＡＴＭアドレスをエラーメッセージから抽出している（例えば、図９のＳ９）。一方、発信元のクライアントから接続があったとき（例えば図９のＳ６）、接続要求の中には発信元と接続先のＡＴＭアドレスが含まれているが、この発信元のＡＴＭアドレスを識別することは交換機が本来もつ機能で可能である。そのため、接続要求に含まれている発信元のＡＴＭアドレスを比較に用いることも可能であり、それによって本発明の効果は変わらない。なお、これまでの説明では発信元のＩＰアドレスもエラーメッセージから抽出するとしたが、他の方法により発信元のＩＰアドレスを確認しても勿論問題はない。
【０１２７】
また、以上においては図７のＡＴＭ交換機10が接続先のＮＨＣ−ＡのＡＴＭアドレスを確認する場合に、着信時に発信元のＮＨＣ−Ｂから送られる接続先のＡＴＭアドレス（実施例ではＮＨＣ−Ａの第２のＡＴＭアドレス）をもとに収容端末アドレスファイル11を索引すると説明したが、例えば図７のポートＰ-2（または回線インタフェース部21）がＮＨＣ−Ａに対して１対１に設定されている場合にはＡＴＭ交換機10が交換機が本来有している機能により着信回線（ポートＰ-2または回線インタフェース部21）の収容位置情報を識別し、収容位置情報からその第１のＡＴＭアドレスを識別するようにしてもよい。
【０１２８】
また、図７にはＡＴＭ交換機10はサーバＮＨＳ−Ａにアドレス解決の要求を行う場合にスイッチ22を介してパス（図７の例ではＶＣ＃２）を設定する例を図示しているが、ＡＴＭ交換機10とサーバＮＨＳ−Ａ間に予め固定的なパスを設けてもよいことは勿論である。
【０１２９】
また、図７のアクセス制限リスト15には着信端末ごとにアクセスを許可する発信元端末または端末グループのアドレスを指定するとしたが、逆にアクセスを許可しない端末または端末グループのアドレスを指定してもよい。本発明では不正な端末からのアクセスは基本機能として排除されるので、排除されない端末の中で接続を許可しない端末をアクセス制限リスト15に指定することは容易であり、接続を許可する端末を指定するのと同じ効果を得ることができる。
【０１３０】
また、図12においては接続先のＮＨＣ−Ａと接続する以前に送信されたパケットを交換機が受信して蓄積し（図12のＳ58）、蓄積したパケットを発信元のＮＨＣ−Ｂと接続先のＮＨＣ−Ａを接続したのちに接続先のＮＨＣ−Ａに送信している（図12のＳ75) 。しかし、蓄積したパケットはＮＨＣ−Ａに接続した時点（図12のＳ73) 以後、直ちに行ってもよい。この時点ではＮＨＣ−ＢとＮＨＣ−Ａはスイッチ22で分離されているが、ＮＨＣ−Ｂからのパケットを受信するパス（ＶＣ＃３）はできているので、ＮＨＣ−Ａに蓄積したパケットを送出しながら新たなパケットをＮＨＣ−Ｂから受信することは可能であり、パケットが失われることはない。
【０１３１】
【発明の効果】
以上説明したように、本発明による認証機能を有する交換機は、ＮＨＲＰにより管理されるＬＩＳに属するクライアント（ホスト）に対して通信網（ＮＢＭＡ網）内に直通パスを設定してアクセスを試みるホストがあっても、接続先のクライアントの通信網上のアドレスを知らせずにそのクライアントが収容されている本発明の交換機の回線のアドレスを知らせるように構成され、発信元のホストはすべて本発明の交換機に接続されてＮＨＲＰにより管理されるＬＩＳに属するクライアントであるか否か認証されるようになっている。このため、不正なホストがなんらかの方法で目的とするクライアント（ホスト）の通信網上のアドレスを知ろうとしても交換機の回線のアドレスしか知ることができず、ＮＨＲＰにより管理されるＬＩＳに属するクライアントを装ってクライアントにアクセスを試みても交換機に接続され、交換機の認証機能によって接続を拒否されるようになっている。従って、不正なホストがＮＨＲＰにより管理されるＬＩＳに属するクライアントに直通パスを設定することによって通信を妨害したり、悪意の通信を行ってＮＨＲＰにより管理されるネットワークに支障を与えるようなことができない。かつ、本発明の認証機能を有する交換機は通信網内に認証専用機として特別に設置するものではなく、本来通信網に設置する必要がある交換機として使用できるものであるため、経済的に設置することが可能である。
【０１３２】
以上のような特徴から、本発明は今後ますます複雑化する通信網において不正なアクセスを排除するのに大きな効果を発揮する。
【図面の簡単な説明】
【図１】 本発明の交換機の基本構成図（１）
【図２】 本発明の交換機の基本構成図（２）
【図３】 本発明の交換機の基本構成図（３）
【図４】 本発明の交換機の基本構成図（４）
【図５】 本発明の交換機の基本構成図（５）
【図６】 本発明の交換機が設置される通信網のモデル構成図
【図７】 本発明の交換機の実施例構成図
【図８】 本発明の交換機に収容される端末のアドレス付与方法説明図
【図９】 本発明の実施例動作シーケンス図（１）
【図１０】 本発明の実施例動作シーケンス図（２）
【図１１】 本発明の実施例動作シーケンス図（３）
【図１２】 本発明の実施例動作シーケンス図（４）
【図１３】 本発明の実施例動作シーケンス図（５）
【図１４】 従来技術における認証機構説明図（１）
【図１５】 従来技術における認証機構説明図（２）
【図１６】 従来技術における認証機構説明図（３）
【図１７】 従来技術における認証機構説明図（４）
【符号の説明】
１ 通信網
２-1、２-2 論理サブネットワーク
３-1 端末（接続先端末）
３-2 端末（発信元端末）
４-1、４-2 サーバ
10a 〜10e 認証機能を有する交換機
11 収容端末アドレス記憶手段
12 発信元アドレス確認手段
13a 、13b 発信元アドレス解決依頼手段
14a 〜14e 接続可否認証手段
15 発信元指定手段
16 通信品質指定手段
17 通信情報蓄積手段
18 発信元解決アドレス記憶手段
19 発信元解決アドレス管理手段
21 回線（着信回線）
22 スイッチ
【発明の属する技術分野】
本発明は、端末間に直通パスが設定できる通信網に設置する交換機に関する。企業、官公庁、大学などの組織（以下、企業を例に記す）では、企業内部のワークグループごとにＬＡＮ（Local Area Network）を構成し、ファイル等の資源の共有、メールやニュースのグローバルな規模での授受などを主な目的として各ＬＡＮ間を相互に接続して企業内ネットワークを構成することが多い。しかし、近年、インターネットの急速な普及と、ＷＷＷ（World Wide Web）サービスへのアクセスの急増などの動向を反映し、企業内ネットワークから外部リソースにアクセスするトラヒックが急激に増加する傾向にある。
【０００２】
一方、ＬＡＮ間を接続するネットワークとしてＡＴＭ（Ansynchronous Transfer Mode ）網により代表される非放送型多元接続網（Non Broadcast Multi-Access Network、以下、ＮＢＭＡ網と記す）が使用される傾向が高まっている。ＬＡＮをＮＢＭＡ網に組み込んだ場合、各ＬＡＮはＮＢＭＡ網内において論理的なサブネットワーク（以下、論理サブネットと記す）を構成する形になるが、データリンク層で接続するＮＢＭＡ網には基本的にサブネットワーク（以下、サブネットと記す）の概念がなく、ＮＢＭＡ網に接続されている端末類は相手端末のＮＢＭＡ網上のアドレスを知ればどの端末に対しても直接接続できるようになっている。企業内ネットワークや、加入している会員などを対象に情報提供などを行う特定のネットワークではこれまで外部端末からのアクセスを拒否することが比較的容易にできたが、上記のような特質をもつＮＢＭＡ網を利用する場合には企業外または会員外の端末からアクセスされ、不正に情報を引き出されたり、通信の妨害などを受ける可能性が生ずる。
【０００３】
このため、ＮＢＭＡ網において端末相互間の接続の可否を認証することができる機構が重要になっている。
【０００４】
【従来の技術】
図14乃至図17は従来技術において端末間の接続の可否を認証する機構を説明する図である。
【０００５】
図14はルータが認証を行う認証機構を説明する図であるが、図は複数の論理サブネット（或いはＬＡＮ）からなり、端末間の接続がネットワーク層レベルのプロトコルを用いて行われるネットワークを図示している。このネットワークにおいては各論理サブネット間はルータを介して接続するように構成されているが、論理サブネットがルータにより物理的に分離されるため、ルータに接続の可否を認定する機構を付与しておくことにより不正な端末からのアクセスを排除することができる。
【０００６】
図14において特定の複数の論理サブネット120 （個々の論理サブネットを論理サブネットＡ，Ｂ，Ｃと記す）によりひとつの企業内ネットワーク150 が構成されているものとし、この企業内ネットワーク150 内において論理サブネットＢに収容されている端末130 （端末Ｂと記す）から論理サブネットＡに収容されている端末130 （端末Ａと記す）に接続する場合を例に認証機構を説明する。
【０００７】
この場合、端末Ｂがネットワーク層プロトコルのアドレス（以下、ネットワーク層のアドレスと記し、ＴＣＰ／ＩＰプロトコルにおけるＩＰアドレスを例として記す）を用いて端末Ａに対して発信することにより端末Ｂは論理サブネットＢ，Ｃ，Ａを介して端末Ａに接続されるが、論理サブネットを跨ぐ場合には必ずルータを介することになっているため、論理サブネットＢ〜Ｃ間と論理サブネットＣ〜Ａ間において２つのルータ140 （個々のルータをルータＢ，ルータＡと記す）を介することになる。
【０００８】
そこで、ルータＢ及びルータＡにネットワーク層レベル以上のプロトコル（以下、上位レイヤとも記す）に接続の可否を認証する機能を付与しておけば、企業内ネットワーク150 の論理サブネット（例えば論理サブネットＢ）に不正に接続した端末170 （端末Ｘ）から端末Ａにアクセスしようとしたり、企業内ネットワーク150 外の論理サブネット160 （論理サブネットＹ）に収容されている端末170 （端末Ｙ）が企業内ネットワーク150 内の論理サブネットからの発信であるかのように装って端末ＡにアクセスしようとしてもルータＢまたはルータＡの上位レイヤ142 において認証を行う。端末Ｘや端末Ｙが不正なアクセスを試みる端末であればその上位レイヤ172 はルータ140 の上位レイヤ142 と正規の通信を行うことができないのでルータ140 は不正なアクセスを排除することができる。
【０００９】
図15は端末内の上位レイヤに通信を行うことの可否を認証する機構を設け、端末間で認証を行う構成を図示したものである。図の端末Ａはネットワーク210 を介して端末Ｂより接続されたとき、通信の開始に先立って上位レイヤ232 のプロトコル或いはアプリケーション・プログラムにより端末Ｂの上位レイヤ232 と通信を行うことによって端末Ｂが正規の通信相手であるか否かを認証し、相手が予め規定してある条件に適合しない場合は通信を行わないようにする。端末Ｂ側でも同様な認証を行えば意図しない相手に接続された場合に重要な情報を送信してしまうような事態を防ぐことができる。
【００１０】
図16は論理サブネットの入口に位置するルータなどに特定のパケットをフィルタリングするファイア・ウォール機能をもたせて認証を行うネットワークを図示している。近年、企業内ネットワーク内からインターネットなどにより外部のネットワークにアクセスすることが多くなっているが、このような企業内ネットワークでは外部のネットワークから逆にアクセスされる可能性も高いため、不法な侵入者に内部情報を読み出される恐れがある。
【００１１】
ファイア・ウォールは企業内ネットワークなどに不法な侵入が起きないように保護する機能で、図の例では企業内ネットワーク内の論理サブネット351 に入出力する通信を特定のルータ340 を経由させるように構成し、このルータ340 がファイア・ウォールとして特定のアプリケーションや特定のアドレスをもつパケットのみ通過させるように構成している。このため、例えば端末330 （端末Ｘ）が外部ネットワーク352 から企業内ネットワーク351 内の端末330 （端末Ａ）に不正なアクセスを試みようとしてもファイア・ウォールのルータ340 において排除され、不法な侵入者に内部情報を読み出されるような事態を防ぐことができる。
【００１２】
図17はＮＢＭＡ網における従来技術による認証方法を説明するための図であるが、図の説明に入る前にＮＢＭＡ網におけるパケット通信の特徴についてＡＴＭ網を例に簡単に説明する。ＡＴＭ網では端末はネットワーク層よりも下位に当たるデータリンク層のアドレス（ＡＴＭ網の場合はＡＴＭアドレス）を用い、ＡＴＭスイッチを介して相手端末に直接接続することができる。しかし、ＡＴＭ網にはサブネットの概念が基本的にないため、サブネットを単位に端末（ホスト）へのアクセスを制限することはできない。
【００１３】
ＩＰＯＡ（IP over ATM ）は上記のようにデータリンク層のみで接続される平面的なＡＴＭ網にネットワーク層レベルの管理ポリシーを適用することを可能とする仕組みで、ＩＰＯＡで管理される端末をグループにまとめて論理的なサブネットを構成し、ルータ等を介してＡＴＭ網上でネットワーク層のプロトコルであるＴＣＰ／ＩＰプロトコルのＩＰアドレスを使用してパケットを中継することを可能としている。この論理的なサブネットをＬＩＳ（Logical IP Subnetwork ）と呼んでいる。
【００１４】
ＩＰＯＡでは同一ＬＩＳ内の端末間にダイレクトにＡＴＭコネクション（このコネクションをＶＣ：Virtual Connectionとも記す）を張ってＩＰにより通信ができるが、他のＬＩＳに含まれるホストと通信を行う場合にはＬＩＳ間にルータを設け、発信元の端末とルータの間及びルータと接続先の端末間にＶＣを張り、必ずこのルータ経由で通信を行わなければならないようになっている。
【００１５】
上記のような方法は、発信元のホストが接続先ホストのＩＰアドレスは知っていてもＡＴＭアドレスを知らないために接続先のホストに直接ＶＣを張ることができないということに対処してとられたものである。各ホストに自分が属するＬＩＳに接続されているルータのＡＴＭアドレスを予め知らせておき、各ルータに自分に接続されているＬＩＳ内のホストのＡＴＭアドレスを記憶させておくことは容易であるため、上記のようにルータ経由の接続となったものであるが、この方法ではルータはネットワーク層プロトコルにより中継処理を行う。
【００１６】
しかしながら、適当な中継線を選んでホスト間に直接ＶＣを張ることができるＡＴＭ網を使用しながら、パケットがＬＩＳを跨ぐ都度ルータを経由し、かつ、ルータがネットワーク層レベルで中継するという上記の通信形態はルータの中継処理に時間を要するうえ、ＬＩＳを跨ぐ場合のルータが物理的に固定されるという問題を有している。このため、上記の形態は、ＬＩＳを跨がる通信が増加するとルータの処理能力がトラヒック上のボトルネックとなり易く、網構成上で負荷分散が図り難いという欠点を有していると言える。
【００１７】
この欠点を防ぐため、ルータを介して通信を開始したのちに端末間に直通パスを設定して通信を行うことができる方法が検討されている。この方法ではＬＩＳ間に跨がる通信の場合でも、接続先のＩＰアドレスからＡＴＭアドレスを知ることができるようにし、ＡＴＭアドレスを用いて発信元の端末と接続先の端末の間に直通のＶＣを張ってルータを経由せずに通信ができることが必要である。この条件を満たすものとしてＮＨＲＰ（Next Hop Resolution Protocol）と呼ばれるプロトコルが国際的な組織において具体化されつつある。ＩＰＯＡが同一ＬＩＳに含まれる端末のＩＰアドレスからＡＴＭアドレスを解決するのに対し、ＮＨＲＰは異なるＬＩＳに含まれる端末に対してもＡＴＭアドレスを解決できるようにしたプロトコルであると言える。
【００１８】
図17はＮＨＲＰを採用したＮＢＭＡ網の構成と通信情報の送受信経路を図示したもので、ＮＢＭＡ網としてＡＴＭ網の例を記載している。図示のＡＴＭ網410 内には３つの論理サブネット451 （以下、論理サブネットをＬＩＳと記し、個々のＬＩＳ451 を図示された符号を用いてＬＩＳ−Ａなどと記す）が設けられ、各ＬＩＳ451 間にルータ機能を有するサーバ440 が配備されている。ＮＨＲＰではこのようなサーバはＮＨＳ（Next Hop Server ）と呼ばれているが、以下、サーバ440 を総称してＮＨＳ、個々のサーバを指す場合にＮＨＳ−Ａなどと記す。
【００１９】
図17にはＬＩＳ−ＡとＬＩＳ−Ｂに属する２つの端末430 が記されているが、ＮＨＲＰにおいてはこのような端末類はＮＨＣ（Next Hop Cliemt ）と呼ばれている（以下、個々の端末430 をＮＨＣ−Ａなどと記す）。以上における３つのＬＩＳ451 、２つのＮＨＳ440 及び２つのＮＨＣ430 はＮＨＲＰによって管理されてひとつの企業内ネットワーク450 を構成しているものとする。
【００２０】
図17には以上の他に端末460 （ＨＯＳＴ−Ｘと記す）が図示されているが、このＨＯＳＴ−ＸはＮＨＣ430 と同様、ＡＴＭ網410 に接続されているが、企業内ネットワーク450 内のどのＬＩＳにも属さない端末であるとする。なお、ＮＨＳ440 、ＮＨＣ430 及び端末460 はＡＴＭ網410 の一部を構成すると考えることもできるが、図17ではこれらはＡＴＭ網410 に直接接続されているサーバ及び端末として図示している。
【００２１】
ＮＨＲＰでは各ＮＨＣ430 はそれぞれ自ＬＩＳの端末を管理するサーバとして定められているＮＨＳ440 に自身のＩＰアドレスとＡＴＭアドレスを登録しておく。図の例ではＮＨＣ−Ａ，ＢはそれぞれＮＨＳ−Ａ，Ｂに登録を行う。ＮＨＳ440 は原則としてルータを兼ねるため、２つのＬＩＳに跨がって設けられることが多く、１つのＮＨＳ440 が２つのＬＩＳを管理したり、ひとつのＬＩＳが２つのＮＨＳ440 に分割管理されることもある。
【００２２】
そこで例えばＬＩＳ−Ｂに属するＮＨＣ−ＢがＬＩＳ−Ａに属するＮＨＣ−Ａと通信を行う場合、ＮＨＣ−ＢはＮＨＣ−ＡのＩＰアドレスを使用し、デフォルトルート452 などを介してＮＨＣ−Ａにパケットを送信する。２つのサーバＮＨＳ−ＢとＮＨＳ−Ａは内部のルータ機能によりパケットの中継処理を行う。
【００２３】
パケットの送信前または送信を開始した段階でＮＨＣ−Ｂがそのパケットを直通パスを介して送信するのが適切であると判断した場合は、ＮＨＣ−ＢはＮＨＳ−Ｂに対してＮＨＣ−ＡのＩＰアドレスを送ってＮＨＣ−ＡのＡＴＭアドレスを問い合わせる。この問い合わせはＮＨＲＰ解決要求（NHRP Resolution Request ）と呼ばれるが、ＮＨＳ−ＢはＬＩＳ−ＢまたはＬＩＳ−Ｃに属さないＮＨＣ−ＡのＡＴＭアドレスを知らないため、ルーチングプロトコルに従って次のＮＨＳ（この場合はＮＨＳ−Ａ）にＮＨＲＰ解決要求を転送（フォーワード）する。
【００２４】
ＮＨＳ−ＡがＬＩＳ−Ａ内の端末を管理しているサーバであればＮＨＣ−ＡのＡＴＭアドレスが判るので、このＡＴＭアドレスをＮＨＲＰ解決応答（NHRP Resolution Reply ）の形でＮＨＳ−Ｂに回答する。このＮＨＲＰ解決応答はＮＨＲＰ解決要求が送られてきたデフォルトルート452 を逆に辿って送られるが、この例ではＮＨＳ−Ｂより更にＮＨＣ−Ｂに送られる。
【００２５】
ＮＨＣ−ＢはＮＨＲＰ解決応答を受信するとその中に含まれているＮＨＣ−ＡのＡＴＭアドレスを用いてＡＴＭ網410 に発信する。ＡＴＭ網410 （実際にはＡＴＭ網410 内の図示省略されたＡＴＭ交換機）が本来の機能である接続処理を行ってＮＨＣ−ＢとＮＨＣ−Ａ間を直接接続するパス411 を設定すると、以後、ＮＨＣ−Ｂは直通パス411 を介してＮＨＣ−Ａと直接パケットを送受信する。直通パスによりパケットを送受信することによりパケットの転送速度は２つのＮＨＳ440 を中継してパケットを送受信する場合に比してが著しく向上する。
【００２６】
上記のようにＡＴＭアドレス（データリンク層アドレス）を知れば直通パスが設定できるということは、一旦相手のＡＴＭアドレスを知ってしまえば誰でも論理的なサブネットを無視して目的とする相手に直接接続ができるということである。図17において、ＨＯＳＴ−Ｘは企業内ネットワーク（または特定会員用のネットワーク）450 のいずれのＬＩＳ451 にも属さないため、ＮＨＣ−ＡのＩＰアドレスを知っていてもＩＰアドレスからＡＴＭアドレスを解決することはできず、ＮＨＣ−Ａに対してパス412 のような直通パスを張ることは基本的にはできない。しかし、何らかの方法で企業内ネットワーク450 に属するＮＨＣ−ＡのＡＴＭアドレスを知った場合にはＮＨＲＰの手段を使わずにＡＴＭ網を介して直接ＮＨＣ−Ａとの間にパス412 を設定することができるため、ＮＨＣ−Ａ或いはＮＨＣ−Ａが属する企業内ネットワーク450 に被害を及ぼす可能性がある。
【００２７】
例えば、ＬＩＳ−Ｂに含まれるＮＨＣ−ＢがＮＨＲＰを利用できるとともにＬＡＮエミュレーション（以下、ＬＡＮＥ：LAN Emulation と記す）方式のクライアント（以下、ＬＥＣ：LAN Emulation Clientと記す）でもあるとし、不正なアクセスを試みるＨＯＳＴ−ＸもＬＥＣであるとする。ＩＰＯＡがＡＴＭ上にＩＰプロトコルを載せていたのに対してＬＡＮＥはイーサネット（Ethernet）フレームを載せ、ＭＡＣ（Media Access Control) アドレスからＡＴＭアドレス解決を行う方式であるが、上記の場合、ＨＯＳＴ−ＸとＮＨＣ−ＢはＬＡＮＥプロトコルを用いて互いに通信することができる。
【００２８】
ＮＨＣ−Ｂは内部情報として以前に通信を行った相手（例えばＮＨＣ−Ａ）のＩＰアドレスとＡＴＭアドレスを対応させて一定時間内キャッシュ（保存）していることが多いが、そのとき、ＨＯＳＴ−ＸがＮＨＣ−ＢにログインしてＮＨＣ−ＡのＡＴＭアドレスを知ることは不可能ではない。ＨＯＳＴ−Ｘが悪意のあるホストであれば、以上のようにして入手したＮＨＣ−ＡのＡＴＭアドレスを用いて直接ＮＨＣ−Ａに対して直通パス412 を設定したのち、大量のデータを送信したり、接続したまま放置するなどしてＮＨＣ−ＡまたはＮＨＣ−Ａに接続しようとする他のユーザの通信を妨害することができる。
【００２９】
また、そのほかに次のような形で被害を及ぼす場合もあり得る。図17のＮＨＣ−ＡがＮＨＲＰで管理される特定会員用のネットワーク内の論理サブネットＬＩＳ−Ａに設けられたビデオサーバであるとする。このビデオサーバは多くの会員（例えばＮＨＣ−Ｂのようなクライアント）からのアクセスに耐えられるように複数のマシンから構成されていることが多いが、ネットワーク層のアドレス（ここではＩＰアドレス）はひとつしか持たず、ＮＢＭＡ網上のアドレス（ここではＡＴＭアドレス）のみ複数もっているものとする。そして、負荷分散やマシンの管理のためにＮＨＳ−Ａに対して示すＡＴＭアドレスを状況に応じて変えるようにしているとする。このような構成においてはＡＴＭアドレスが変わっても、ＮＨＳ−ＢはＮＨＣ−ＢなどからＮＨＲＰ解決要求を受けた時点で新しいＡＴＭアドレスによりアドレス解決してＮＨＲＰ解決応答を返送するのでＮＨＣ−Ｂなどのホストからの接続はその時点で指定されているマシンに接続される。
【００３０】
ところが、ビデオサーバ（ＮＨＣ−Ａ）のＡＴＭアドレスを不正に入手したホスト（例えばＨＯＳＴ−Ｘ）はＡＴＭアドレスの変更を知らされることがないため、いつまでも最初に入手したＡＴＭアドレスのみを用いて接続してくることになる。そのため、その時点で使用したいマシン以外のマシンが使用されるなど、ビデオサーバ提供者が意図した管理ポリシー（例えば、マシンの負荷分散）に反する事態が発生し、この特定ネットワークに被害を与えることになる。
【００３１】
以上のような点から、ＮＨＲＰ方式においてはＮＨＲＰ管理下のＬＩＳ（またはホスト）以外からのアクセスを排除する機構が必要である。そこで、図17のようなネットワークに適用できる従来技術の認証機構について記す。先ず、直通パス411 が設定される前にデフォルトルート452 を介して行われる通信に対する認証機構であるが、この場合の通信はＬＩＳを跨がる際に必ずルータ機能をもつＮＨＳ440 を介するので、各ＮＨＳ440 の上位レイヤのプロトコルやアプリケーション・プログラムにより接続相手の認証などを行うことができる。
【００３２】
これは図14に示した認証機構の原理をＮＨＲＰを適用したＡＴＭ（ＮＢＭＡ）網に用いたものに外ならない。しかし、この方法はプロトコルやアプリケーションごとに異なる認証機構をもつ必要があるほか、このような認証機構をもたないプロトコルやアプリケーション・プログラムのプロセスでは認証ができず、不正なアクセスを防止できない可能性がある。また、不正な端末が目的とする端末のＡＴＭアドレスを知ってしまった場合にはルータを経由しない直通パスを張ることができるため、そのような不正なアクセスに対して役立たない。
【００３３】
他の認証方法として、直通パスを設定するのに先立って認証する方法がある。例えば、同一のＬＩＳ451 （ＬＩＳ−Ｂとする）に属する端末（この場合はＮＨＣ−Ｂ）とサーバ（ＮＨＳ−Ｂ）との間で予め共通のパスワードを決めておき、ＮＨＣ−ＢはＮＨＳ−Ｂに対してＮＨＲＰ解決要求パケットを送出する際にそのパケットの内部に決められたパスワードを書き込むようにする。パケットを受信したＮＨＳ−ＢではパスワードがこのＬＩＳ−Ｂに定められている共通のパスワードであるか否かを調べ、異なる場合にはそのパケットを廃棄する。その際、パスワードをそのまま書き込まずに暗号化技術を用いて書き込むことにより更に精度を高めることができる。この方法は、ＬＩＳ−Ａ〜Ｃのいずれにも登録されていない端末（例えばＨＯＳＴ−Ｘ）がＮＨＲＰ解決要求パケットにより目的とする端末（例えばＮＨＣ−Ａ）のＩＰアドレスからその端末のＡＴＭアドレスを知ろうとするのを排除するのに有効である。しかし、ＨＯＳＴ−ＸがＮＨＣ−ＡのＡＴＭアドレスを何らかの方法で知ってしまった場合には効果がない。
【００３４】
また、不正なアクセスを防止するために図16に図示したようなファイア・ウォールを設ける方法が考えられる。この方法は、例えば図17のＮＨＣ−Ａがビデオサーバである場合に、そのビデオサーバが接続されているＬＩＳ−Ａにファイア・ウォールを設ける方法であり、図17の場合はＮＨＳ−Ａにファイア・ウォール機能を付与することになる。しかし、ファイア・ウォールの基本は、サブネットにおいて自分のサブネットに他のサブネットからアクセスされないようにするものであり、入力されるパケットをアドレス情報やアプリケーションの種類によりフィルタリングするために上位レイヤプロトコルの内部（パケットヘッダ部分など）を確認する処理が必要になる。データリンク層のセル流を取り扱うＡＴＭ網（具体的には図示省略されているＡＴＭ交換機）において上位レイヤのパケットヘッダの内容を確認できるようにすることは基本原理の変更になるため、実現は不可能である。また、仮に上位レイヤの確認が可能であっても、ファイア・ウォールはトラヒックが高い場合にボトルネックとなる可能性が高いため、ＡＴＭ網内に直通パスを張らせてトラヒックの集中を解消できるＮＨＲＰの効果を失わせることにもなる。
【００３５】
また、図15に図示した端末間において認証する方法を適用することは勿論可能であるが、この方法は通信を開始する段階となって始めて効果を発揮するものであるため、例えば図17のＮＨＣ−Ａに対して接続するだけで通信を妨害しようとする悪意のアクセスを防ぐことには役立たない。
【００３６】
【発明が解決しようとする課題】
以上のように、ＮＢＭＡ網内に複数の論理サブネットを構成し、論理サブネット内の端末間に直通パスを設定して論理サブネットを跨がる通信を効率的に行わせるＮＨＲＰを適用したネットワークにおいては、論理サブネット内の端末のＮＢＭＡ網上のアドレスを知ったネットワーク外の端末が論理サブネット内の端末に対して直通パスを設定して通信を妨害したり、不正に情報を引き出すことが可能になるという問題がある。
【００３７】
これに対してＮＨＲＰにより管理される端末のＮＢＭＡ網上のアドレスを不正な端末に知らせないようにする技術はあっても、不正な端末がなんらかの方法で一旦目的とする端末のＮＢＭＡ網上のアドレスを知ってしまった場合には、従来の論理サブネット（またはＬＡＮ）間の通信に採用されている通信の可否を認証する機構が適用できず、このような不正なアクセスを完全に防止することができない。また、従来技術の認証機構を適用して不正なアクセスを防止しようとするとＮＨＲＰの利点が失われるという問題も生ずる。
【００３８】
このため、ＮＨＲＰを採用したＮＢＭＡ網において、ＮＨＲＰの利点を失わずに、ＮＨＲＰにより構成された論理サブネットに登録された端末以外から論理サブネットに登録された端末に対するアクセスを制限することができる認証機構が必要となっている。
【００３９】
本発明は、端末間に直通パスを設定する際に介在して接続の可否を認証する交換機を提供することを目的とする。
【００４０】
【課題を解決するための手段】
図１乃至図５は本発明の基本構成図で、図１は第１の発明の基本構成図、図２は第２の発明の基本構成図、図３は第３の発明の基本構成図、図４は第４の発明の基本構成図、図５は第５の発明の基本構成図である。
【００４１】
図中、１は通信網上のアドレスを用いて端末間に直通パスを設定することができる通信網、２-1，２-2は通信網１内に構成された複数の論理サブネットワーク（以下、論理サブネットと記し、論理サブネット２-1，２-2を総称するときには論理サブネット２と記す）、３-1，３-2は通信網１に接続された端末（以下、端末３-1，３-2を総称するときには端末３と記す）、４-1，４-2はそれぞれ論理サブネット２-1，２-2に属する端末のネットワーク層プロトコルのアドレス（以下、ネットワーク層のアドレスと略記する）から通信網上のアドレスを解決する機能を備えたサーバである。また、10a 〜10e は認証機能を有する交換機（以下、単に交換機とも記し、交換機10a 〜10e を総称する場合には交換機10と記す）、21は交換機10a 〜10e に収容される回線、22は交換機10a 〜10e のスイッチである。
【００４２】
11は交換機10a 〜10e に収容される端末３-1が、通信網１から接続される際に使用される第１の通信網上のアドレスに加えて、端末３-1への着呼を代理に受け付けるために定められた交換機収容回線21の通信網上のアドレスを第２の通信網上のアドレスとして有し、かつ、端末３-1が属する論理サブネット２-1に設けられているサーバ４-1に第２の通信網上のアドレスを登録している場合に、端末３-1の第１の通信網上のアドレスと第２の通信網上のアドレスまたは端末３-1への着呼を代理に受け付ける回線21を識別する情報を対応して記憶する収容端末アドレス記憶手段である。
【００４３】
12は交換機10a 〜10e に収容された第１の端末（以下、接続先端末とも記す）３-1への着呼を代理に受け付ける回線21に第２の端末（以下、発信元端末とも記す）３-2から着信があったとき、発信元端末３-2に対して所定のメッセージを送信し、返送される情報により第２の端末３-2のネットワーク層のアドレス情報を確認する発信元アドレス確認手段である。
【００４４】
13a は交換機10a 〜10d に設けられ、発信元アドレス確認手段12に返送された発信元端末３-2のネットワーク層のアドレス情報を発信元アドレス確認手段12より受信したときにそのアドレス情報を所定のサーバ４-1に送信し、サーバ４-1より発信元端末３-2の通信網上のアドレス情報を受信して出力する発信元アドレス解決依頼手段である。
【００４５】
14a は交換機10a または10e 内に設けられ、発信元アドレス解決依頼手段13a または13b から送られる発信元端末３-2の通信網上のアドレス情報を着信の際に受信した発信元端末３-2の通信網上のアドレス情報（発信元アドレス確認手段12から送られるものとする) と比較し、両者が一致したときは収容端末アドレス記憶手段11を用いて着信の際に受信した接続先端末３-1の第２の通信網上のアドレス情報または着信があった回線21を識別する情報から接続先端末３-1の第１の通信網上のアドレスを検索して接続先端末３-1に接続を行ったのち、着信回線21を介して発信元端末３-2と接続させ、両者が一致しない場合及び発信元アドレス確認手段12よりのメッセージに対して発信元端末３-2よりアドレス情報が返送されなかった場合は発信元端末３-2が接続先端末３-1に対して接続を許容されている論理サブネット２に属していない端末であると認定して着信回線21を切断する処理を行う接続可否認証手段である。
【００４６】
14b 及び15は交換機10b 内に設けられ、15は交換機10b に収容される端末３-1に対する接続を許容する論理サブネット２のネットワーク層のアドレス情報を記憶する発信元指定手段、14b は接続可否認証手段14a の機能と構成をもつほか、発信元アドレス解決依頼手段13a から送られる発信元端末３-2の通信網上のアドレス情報と着信の際に受信した発信元端末３-2の通信網上のアドレス情報を比較し、両者が一致し、かつ、発信元端末３-2の通信網上のアドレス情報またはネットワーク層のアドレス情報が接続を許容するアドレス情報として発信元指定手段15に記憶されている場合は接続先端末３-1に接続を行って発信元端末３-2と接続させ、両者が一致しても発信元端末３-2のアドレス情報が発信元指定手段15に記憶されていない場合、両者が一致しない場合及び発信元アドレス確認手段12よりのメッセージに対して発信元端末３-2よりアドレス情報が返送されなかった場合は着信回線21を切断する処理を行うように構成された接続可否認証手段である。
【００４７】
14c 及び16は交換機10c 内に設けられ、16は発信元に対する通信許可条件として交換機10c 収容の端末対応に通信品質を指定する通信品質指定手段、14c は接続可否認証手段10a の機能と構成をもつほか、発信元アドレス解決依頼手段13a から送られる発信元端末３-2の通信網上のアドレス情報と着信の際に受信した発信元端末３-2の通信網上のアドレス情報を比較したときに、両者が一致し、かつ、発信元端末３-2から送られた通信品質条件が通信品質指定手段16に指定された通信品質条件に適合した場合は接続先端末３-1に接続を行って発信元端末３-2と接続させ、両者が一致しても発信元端末３-2から送られた通信品質条件が通信品質指定手段16に指定された通信品質条件に適合しない場合、両者が一致しない場合及び発信元アドレス確認手段12よりのメッセージに対して発信元端末３-2よりアドレス情報が返送されなかった場合は着信回線21を切断する処理を行うように構成された接続可否認証手段である。
【００４８】
14d 及び17は交換機10d 内に設けられ、17は交換機10d に収容された端末３-1への着呼を代理に受け付ける回線21に発信元端末３-2から着信があり、かつ、接続先端末３-1と接続する以前に発信元端末３-2から通信情報が送られた場合にその通信情報を蓄積する通信情報蓄積手段、14d は接続可否認証手段10a の機能と構成をもつほか、接続先端末３-1に接続を行ったのちに通信情報蓄積手段17に蓄積された通信情報を接続先端末３-1に送信するように構成された接続可否認証手段である。
【００４９】
13b 、18及び19は交換機10e 内に設けられ、18は発信元アドレス解決依頼手段13b （後述）より発信元端末３-2の通信網上のアドレス情報とネットワーク層のアドレス情報が送られたときに、両アドレス情報を対応させて記憶する発信元解決アドレス記憶手段、19は発信元解決アドレス記憶手段18を監視し、記憶されてから所定の時間を経過した発信元端末の通信網上のアドレス情報とネットワーク層のアドレス情報を消去する処理を行う発信元解決アドレス管理手段である。
【００５０】
13b は発信元アドレス解決依頼手段13a の機能と構成をもつほか、発信元アドレス確認手段12より発信元端末３-2のネットワーク層のアドレス情報を受信したときに発信元解決アドレス記憶手段18内にそのネットワーク層のアドレス情報が記憶されているか否かを確認し、記憶されていた場合には記憶されている発信元端末のネットワーク層のアドレス情報と通信網上のアドレス情報を読み出して接続可否認証手段14a に転送し、記憶されていない場合は発信元端末３のネットワーク層のアドレス情報を所定のサーバ４-1に送信し、サーバ４-1より発信元端末３-2の通信網上のアドレス情報を受信したときにその通信網上のアドレス情報を発信元端末３-2のネットワーク層のアドレス情報と対応して発信元解決アドレス記憶手段18に記憶させるとともに発信元端末３-2の通信網上のアドレス情報を接続可否認証手段14e に出力する処理を行うように構成された発信元アドレス解決依頼手段である。
【００５１】
以下、各交換機10a 〜10e の作用について説明するが、最初に交換機10a 〜10e に共通する事項を説明する。本発明の交換機10a 〜10e に収容される端末３-1は通信網１から接続される際に使用される第１の通信網上のアドレスに加えて、端末３-1への着呼を代理に受け付けるために定められた交換機収容回線21の通信網上のアドレスを第２の通信網上のアドレスとして有し、端末３-1が属する論理サブネット２-1に設けられているサーバ４-1に第２の通信網上のアドレスを登録しておく。このため、端末３-2が端末３-1に直通パスを設定するために端末３-1のネットワーク層のアドレスを用いてサーバ４-2に対して端末３-1の通信網上のアドレス解決を要求するとサーバ４-2より接続先端末３-1の第２の通信網上のアドレスが回答される（その際、サーバ４-2はサーバ４-1に問い合わせる）。従って、端末３-2がその第２の通信網上のアドレスを用いて端末３-1に接続すると端末３-1でなく交換機10a 〜10e に収容された回線21に接続される。
【００５２】
呼の着信があると交換機10a 〜10e の発信元アドレス確認手段12は発信元端末３-2に対して所定のメッセージを送信する。このメッセージに対して発信元端末３-2は自端末のネットワーク層のアドレス情報を含む情報を返送する。発信元アドレス確認手段12がこの発信元端末３-2のネットワーク層のアドレス情報を発信元アドレス解決依頼手段13a または13b に送ると、発信元アドレス解決依頼手段13a または13b はそのアドレス情報を所定のサーバ４-1に送信し、サーバ４-1より発信元端末３-2の通信網上のアドレス情報を受信する（その際、サーバ４-1はサーバ４-2に問い合わせを行ってアドレスを解決する）。なお、発信元アドレス解決依頼手段13b は以上のほかの動作も行うが、それについては後述する。
【００５３】
発信元アドレス解決依頼手段13a または13b が受信した発信元端末３-2の通信網上のアドレス情報を接続可否認証手段14a 〜14d に送ると、接続可否認証手段14a 〜14d はこの通信網上のアドレス情報を着信の際に受信した発信元端末３の通信網上のアドレス情報（発信元アドレス確認手段12から送られるものとする）と比較する。両者が一致したときは収容端末アドレス記憶手段11を用いて着信の際に受信した接続先端末３-1の第２の通信網上のアドレス情報または着信があった回線21を識別する情報から接続先端末３-1の第１の通信網上のアドレスを検索する。接続先端末３-1の第１の通信網上のアドレスが検索されると接続可否認証手段14a 〜14d はこの第１の通信網上のアドレスを用いて接続先端末３-1に接続したのち、接続先端末３-1と発信元端末３-2を着信回線21を介して接続させる。
【００５４】
しかし、両者が一致しない場合及び発信元アドレス確認手段12よりのメッセージに対して発信元端末よりアドレス情報が返送されなかった場合は、この発信元端末は接続先端末３-1に対して接続を許容されている論理サブネット２に属していない端末であると認定して着信回線21を切断する処理を行う。
【００５５】
以上のように、本発明の認証機能を有する交換機10a 〜10e は、自交換機に収容された端末に対して不正な端末より直通パスが張られようとした場合に、端末に代わって自交換機に収容された他の回線に着信させたのち、発信元端末が自交換機収容の端末への接続を許容されている論理サブネットに属している端末であるか否かを確認したのち接続するようにしているので、不正な端末が本発明の認証機能を有する交換機に収容された端末に対して直通パスを設定してアクセスすることはできない。
【００５６】
本発明の認証機能を有する交換機10b は以上に記載した本発明共通の作用に加えて、自交換機収容の端末３-1への接続を許容されている論理サブネット２に属している端末であっても発信元端末の通信網上のアドレス情報またはネットワーク層のアドレス情報が発信元指定手段15に指定されていない場合には接続しないようにすることができるので、発信元端末をより厳密に限定することができる。
【００５７】
本発明の認証機能を有する交換機10c は本発明共通の作用に加えて、発信元端末３-2の通信品質を指定することができるので、不正な端末からの通信のみならず、論理サブネットの通信に支障を与えるような通信品質をもつ通信をも制約することができる。
【００５８】
本発明の認証機能を有する交換機10d は本発明共通の作用に加えて、接続先端末３-1と接続する以前に発信元端末３-2から通信情報が送られた場合にその通信情報を蓄積し、接続先端末３-1に接続を行ったのちに蓄積していた通信情報を接続先端末３-1に送信するように構成されているので、発信元端末が接続を許容される端末であった場合に通信情報が失われることがない。
【００５９】
本発明の認証機能を有する交換機10e は本発明共通の作用に加えて、発信元アドレス解決依頼手段13d がサーバによって解決された発信元端末の通信網上のアドレス情報を一時記憶する機能を有しており、着信があった場合に発信元端末の通信網上のアドレス情報が記憶されていた場合にはサーバに対するアドレス解決の依頼を省略することができる。従って、交換機及びサーバの処理負担が少なくなるという作用がある。
【００６０】
【発明の実施の形態】
図６は本発明の交換機が設置される通信網のモデル構成図、図７は本発明の交換機の実施例構成図、図８は本発明の交換機に収容される端末のアドレス付与方法説明図、図９乃至図13は本発明の実施例の動作シーケンス図で、図９は第１の発明の実施例動作シーケンス図、図10は第２の発明の実施例動作シーケンス図、図11は第３の発明の実施例動作シーケンス図、図12は第４の発明の実施例動作シーケンス図、図13は第５の実施例動作シーケンス図である。
【００６１】
全図を通じ、同一符号は同一対象物を示し、１はＡＴＭ網（本発明の交換機が設置される通信網の実施例）、２は論理サブネット（ＬＩＳとも記す）、３-1，３-2はＮＨＲＰにより管理されるネットワークに属する端末（クライアントまたはＮＨＣとも記し、総称する場合は端末３またはクライアント３のように記す）、４-1，４-2はＮＨＲＰにより管理されるネットワークに設けられるサーバ（ＮＨＳとも記し、総称する場合はサーバ４のように記す）、５はＮＨＲＰにより管理されるネットワーク、６はＮＨＲＰにより管理されるネットワークに属さない端末（ホストとも記す）、10はＡＴＭ交換機（ＡＴＭ−ＳＷとも記す）である。また、11乃至23はＡＴＭ交換機10内に設けられ、11は収容端末アドレスファイル、12は発信元アドレス確認処理部、13は発信元アドレス解決依頼処理部、14は接続可否認証処理部、15はアクセス制限リスト、16は通信品質指定リスト、17は受信パケット蓄積部、18は解決アドレスキャッシュメモリ、20は制御部、21は回線インタフェース部、22はスイッチ、23はポートである。
【００６２】
なお、図７のＡＴＭ交換機10は図１〜図５に図示された認証機能を有する交換機10a 〜10e の機能をすべて備えた実施例、収容端末アドレスファイル11は図１〜図５に図示された収容端末アドレス記憶手段11の実施例、発信元アドレス確認処理部12は図１〜図５に図示された発信元アドレス確認手段12の実施例、発信元アドレス解決依頼処理部13は図１〜図５に図示された発信元アドレス解決依頼処理手段13a 及び13b の両機能を備えた実施例、接続可否認証処理部14は図１〜図５に図示された接続可否認証処理手段14a 〜14d の機能をすべて備えた実施例、アクセス制限リスト15は図２に図示された発信元指定手段15の実施例、通信品質指定リスト16は図３に図示された通信品質指定手段16の実施例、受信パケット蓄積部17は図４に図示された通信情報蓄積手段17の実施例、解決アドレスキャッシュメモリ18は図５に図示された発信元解決アドレス記憶手段18の実施例である。
【００６３】
本発明の認証機能を有する交換機の実施例の説明に先立ち、本発明の交換機が設置される通信網と交換機に収容される端末（クライアント）のアドレスの付与方法と登録方法について説明する。図６は本発明の交換機が設置される通信網がＡＴＭ網である場合のモデル構成を図示したものであるが、図６の構成は図17において説明したＮＨＲＰが適用された通信網の構成とほぼ同じである。なお、図６にはＬＩＳ−ＡとＬＩＳ−ＢにＡＴＭ交換機10が図示されているのに対して図17にはＡＴＭ交換機が図示されていないが、実際にはＡＴＭ網に接続されるサーバ、端末などはすべてＡＴＭ交換機に接続されているので、図17ではそれが図示省略されているに過ぎない。ただし、図６に図示されたＡＴＭ交換機10は本発明による認証機能を有する交換機であって図17で使用される従来技術のＡＴＭ交換機（図示省略）とは機能が異なる（詳細後述）。また、実施例では上位（ネットワーク層）のプロトコルとしてＴＣＰ／ＩＰが使用される場合を例に説明する。
【００６４】
ＮＨＲＰでは各クライアントは所定のサーバに自身のＩＰアドレスとＡＴＭアドレスを登録する。本発明の交換機を使用する場合の登録動作そのものは従来技術と変わらないが、登録するアドレスの内容が異なるので図６のクライアント３-1（ＮＨＣ−Ａ）を例にアドレスの内容を図６〜図８を併用して説明する。
【００６５】
ＡＴＭ交換機には多くの回線が収容されるが、実際に回線が収容されるのは図７に図示されているようにスイッチ22のポート23（個々のポートをＰ-1〜Ｐ-3と記す）である。いま、図６に図示されているＮＨＣ−Ａが図７に図示されているＡＴＭ交換機10のポートＰ-3に収容されているものとする。ＮＨＣ−Ａ内にはＡＴＭインタフェース部（図示省略）が設けられているが、このＡＴＭインタフェース部に対してＡＴＭアドレスが付与されている。一方、ポートＰ-3にもＡＴＭアドレスが付与されており、ＡＴＭ交換機10はポートＰ-3を経由してＮＨＣ−Ａに直接パスを設定する。クライアントのＡＴＭインタフェース部が持つＡＴＭアドレスをそのクライアントの第１のＡＴＭアドレスと呼ぶこととする。
【００６６】
ＮＨＣ−Ａは第１のＡＴＭアドレスのほかにＮＨＣ−Ａ用として予め定められている別の回線のＡＴＭアドレスを第２のＡＴＭアドレスとしてもつ。この別の回線（具体的には回線インタフェース部）が収容されているポートが図７のポートＰ-2であるとすれば、ポートＰ-2に付与されているＡＴＭアドレスがＮＨＣ−Ａの第２のＡＴＭアドレスになる。
【００６７】
以上のように、本発明ではひとつのクライアントが２つのＡＴＭアドレスを使用するが、第２のＡＴＭアドレスに使用される回線は第２のＡＴＭアドレスごとに設ける必要はなく、ひとつの回線（ポートに対応）に対して複数のＡＴＭアドレスを付与することも可能である。この場合は、本発明を適用してもトラヒックに見合う以上の回線を実際に設備する必要はない。
【００６８】
図８の(a) にはＮＨＣ−Ａの第１のＡＴＭアドレスを「atmadd-nhc-a」、第２のＡＴＭアドレスを「atmadd-swa-nhc-a」のように付与した例を記している。実際のアドレスはこれらと異なるが、ここでは識別が容易なアドレス名称を付与しており、例えば、「atmadd」はＡＴＭアドレスであることを示し、第２のＡＴＭアドレスの「swa-nhc-a 」はＮＨＣ−Ａ用の代わりにＡＴＭ−ＳＷ−Ａに接続されるアドレスであることを示している。ＮＨＲＰのクライアントはＡＴＭアドレスのほかにＩＰアドレスを有しているが、図８の(a) の例ではＮＨＣ−ＡのＩＰアドレスを「ipadd-nhc-a 」としている。ＮＨＣ−Ａは予め自身のＩＰアドレスとＡＴＭアドレスを所定のサーバ４-1（図６及び図７のＮＨＳ−Ａ）に登録するが、本発明ではＡＴＭアドレスとして第２のＡＴＭアドレス「atmadd-swa-nhc-a」のみを登録する。
〔本発明の第１の実施形態〕
以下、第１の発明の実施例（以下、第１の実施例と記す）を図６〜図９を参照して詳細に説明するが、図９は本発明の第１の実施例について、交換機を中心として情報（制御信号、パケット、メッセージなど）の送受信シーケンスと交換機における動作フローを併せて記載した図である。図９中のＮＨＣ−Ｂ、ＮＨＳ−Ｂ、ＡＴＭ−ＳＷ−Ａなどの符号は図６中の符号を使用しているが、図９内においてはＮＨＣ−ＢをＣＢ、ＮＨＣ−ＡをＣＡと略記している。なお、以下の説明中、括弧内のＳ１〜Ｓ22は図９中の送受信情報や処理ステップに付してある符号を参照のために記載したものである。
【００６９】
図６の各ＬＩＳ２に属するクライアント３はそれぞれ所定のサーバ４に対して自身のＩＰアドレスとＡＴＭアドレスを登録するが、ＮＨＣ−Ａの場合は図８の（ａ）に記載されているＩＰアドレスと第２のＡＴＭアドレスをＮＨＳ−Ａに登録する（図９のＳ１参照）。この登録は図９のステップＳ１ではＮＨＣ−Ａから直接ＮＨＳ−Ａに対して行われるように記載されているが、実際にはＡＴＭ交換機10を介して行われる。その場合、ＮＨＣ−ＡがサーバＮＨＳ−ＡのＡＴＭアドレス（予め知らされているものとする）を接続先として発信すると、図７のＡＴＭ交換機10ではポートＰ-1とＮＨＳ−Ａ間に短点線で図示されているようなパスを設定してポートＰ-3とポートＰ-1をスイッチ22で接続する（ＮＨＳ−Ａに接続されたパスをＶＣ＃１とする）。接続が行われるとＮＨＣ−ＡはこのパスＶＣ＃１を介してＩＰアドレスと第２のＡＴＭアドレスを送信し、ＮＨＳ−Ａはこれを内部に記憶する。
【００７０】
以上の状態でＬＩＳ−Ｂに収容されているクライアント３-2（ＮＨＣ−Ｂ）がＮＨＣ−Ａに対してパケットを送信するものとする。ＮＨＣ−Ｂが予め知っているＮＨＣ−ＡのＩＰアドレスを用いて発信すると、パケットは２つのサーバＮＨＳ−Ｂ及びＮＨＳ−Ａを中継してＮＨＣ−Ａに送信される（従来技術により行われるので図９には図示を省略）。最初のパケットを送信した後（送信に先立ってでもよい）、ＮＨＣ−Ｂは送信するパケットの内容（具体的にはプロトコルまたはアプリケーション・プログラムの種類）を確認し、接続先との間に直通パスを設定して送信するのが適当と判断したものとする。直通パスを設定するためにはＮＨＣ−ＡのＡＴＭアドレスが必要であるが、ＮＨＣ−ＢはＮＨＣ−ＡのＡＴＭアドレスを知らないため、ＮＨＳ−ＢにＮＨＣ−ＡのＩＰアドレスを送ってＡＴＭアドレスの解決要求（ＮＨＲＰ解決要求）を行う（図９のＳ２参照）。
【００７１】
ＮＨＳ−Ｂは自身が管理するＬＩＳ内のクライアントでないＮＨＣ−ＡのＡＴＭアドレス情報は有していないため、ＮＨＲＰ解決要求を次のサーバとして定められているサーバ（この例ではＮＨＳ−Ａ）に転送する（図９のＳ３）。ＮＨＳ−ＡにはＮＨＣ−Ａのアドレスが登録されているのでＮＨＣ−ＡのＩＰアドレス情報とＡＴＭアドレス（第２のＡＴＭアドレス）情報の組をＮＨＲＰ解決応答としてＮＨＳ−Ｂに回答する（図９のＳ４）。ＮＨＳ−ＢはこのＮＨＲＰ解決応答をＮＨＣ−Ｂに送る（図９のＳ５）。なお、ＮＨＳ−ＡはＮＨＲＰ解決要求によりＮＨＣ−ＢのＡＴＭアドレス情報を受信しているので、そのＡＴＭアドレスを用いてＮＨＣ−Ｂに直通パスを設定し、ＮＨＲＰ解決応答を送ってもよい。ただし、ここでは図６のＬＩＳ−Ｂに図示されているＡＴＭ交換機（ＡＴＭ−ＳＷ−Ｂ）は本発明の認証機能を有する交換機ではないものとし、ＮＨＣ−Ｂは図８の（ｂ）に記載されている第１のＡＴＭアドレスのみを使用する（ＮＨＳ−Ｂへの登録を含む）ものとする。
【００７２】
ＮＨＣ−ＢはＮＨＣ−Ａとの間に直通パスを設定するため、受信したＡＴＭアドレスを用いてＮＨＣ−Ａに対して発信し、接続要求メッセージを送出する（図９のＳ６）。ところが、このときＮＨＣ−Ｂが送出する接続先のＡＴＭアドレスはＮＨＣ−Ａの第２のＡＴＭアドレスであるため、ＮＨＣ−ＢはＮＨＣ−Ａではなく図６のＬＩＳ−Ａ内のＡＴＭ交換機10（ＡＴＭ−ＳＷ−Ａ）の該当回線に接続される。図７で説明すると、ＮＨＣ−Ｂは図７のＡＴＭ交換機10の回線インタフェース部21を介してスイッチ22のポートＰ-2に接続された形になるが、これによってＮＨＣ−ＢとＡＴＭ−ＳＷ−Ａ（ポートＰ-2）との間にパス（ＶＣ＃３とする）が設定されたことになる。
【００７３】
なお、上記におけるＮＨＣ−Ｂの接続要求は実際には図６のＬＩＳ−Ｂ内のＡＴＭ交換機10（ＡＴＭ−ＳＷ−Ｂと記す）が受信したのちＡＴＭ網１内の中継交換機（図示省略）を介してＬＩＳ−Ａ内のＡＴＭ−ＳＷ−Ａに送られるが、図９ではＡＴＭ網１内の交換機として図６のＬＩＳ−Ａ内のＡＴＭ−ＳＷ−Ａのみを図示しているため、ＮＨＣ−ＢはＡＴＭ−ＳＷ−Ａに直接発信するように図示されている。
【００７４】
以下、図７のＡＴＭ交換機を図６におけるＡＴＭ−ＳＷ−Ａであるとして説明する。ＮＨＣ−Ｂよりの接続要求のメッセージは図７の発信元アドレス確認処理部12に送られる。接続要求のメッセージの内部には発信元と接続先のＡＴＭアドレスが含まれている（公知のものであるため詳細説明は省略）ため、交換機の制御部20は通常の接続処理の中で接続先のＡＴＭアドレスを識別することができるが、このとき、その接続先のＡＴＭアドレスがクライアントの第２のＡＴＭアドレスであるであることを識別することは容易である。接続先がいずれかのクライアントの第２のＡＴＭアドレスであると識別すると制御部20は接続要求のメッセージの内容を発信元アドレス確認処理部12に送る。
【００７５】
発信元アドレス確認処理部12はこの情報を受信すると、接続してきたホストがＮＨＲＰ配下のＬＩＳに登録されているクライアントであるか否かを確認するために、発信元のＮＨＣ−Ａに対して特殊メッセージを送信する（図９のＳ７）。特殊メッセージとしてはダミーの解決応答メッセージのようなものをＮＨＲＰに定められた形式のパケット（以下、ＮＨＲＰパケットと記す）で送信するが、その中に、例えば、他のサーバなどが送り得ないようなＩＰアドレスとＡＴＭアドレスの組み合わせを書き込んで送る。
【００７６】
このダミーの解決応答を受信したＮＨＣ−Ｂは、自分が解決要求を送出していないため受信する筈がなく、かつ、不明確なＩＰアドレス情報などが書き込まれた解決応答を受信したため、処理できないことを知らせるエラー検出メッセージ（例えば、NHRP Error Indication ）を特殊メッセージに対する応答メッセージとして送信元のＡＴＭ−ＳＷ−Ａに返送する（図９のＳ８）。
【００７７】
この応答メッセージの中にはＮＨＣ−ＢのＩＰアドレス（「ipadd-nhc-b 」とする）とＡＴＭアドレスを記述する。なお、ここではＮＨＣ−Ｂは前述のようにサーバＮＨＳ−Ｂに対して従来方式のアドレス登録、即ち、ＡＴＭアドレスとして第１のＡＴＭアドレスに相当するＡＴＭアドレス（「atmadd-nhc-b」とする）を登録しているものとし、このＡＴＭアドレスをＩＰアドレスとともに書き込んで返送する。
【００７８】
ＡＴＭ−ＳＷ−Ａの発信元アドレス確認処理部12は返送されたメモリ（図示省略）の中からＮＨＣ−ＢのＩＰアドレスとＡＴＭアドレスを取り出して適当なメッセージに記憶させたのち、制御部20を介して発信元アドレス解決依頼処理部13に処理を移す（図９のＳ９，Ｓ10）。
【００７９】
ここで、発信ホストがＮＨＲＰの管理下にない不正なホスト（例えば、図６のＨＯＳＴ−Ｘ）であると、ＮＨＲＰパケットを解読できないので何も返送することができない。この場合は、ＡＴＭ−ＳＷ−Ａの発信元アドレス確認処理部12はＮＨＣ−ＢのＩＰアドレスを取り出すことができないので発信元が不正なホストであると判定し、制御部20を介してパスを切断させる（Ｓ10→Ｓ19）。
【００８０】
ＮＨＣ−ＢのＩＰアドレスを受信した場合、処理を引き継いだ発信元アドレス解決依頼処理部13は所定のサーバ（ＮＨＳ−Ａ）に発信し、このＩＰアドレスからＮＨＣ−ＢのＡＴＭアドレスを解決するよう依頼する（図９のＳ11）。このアドレス解決要求はＡＴＭ交換機とサーバ間に予め固定パスが張られているような場合はそのパスを用いてもよいが、図７ではＮＨＳ−Ａとの間にＶＣを設定する場合を図示している。図７中に一点鎖線の矢印で図示したＶＣ＃２はこの依頼ルートを示している。
【００８１】
ＮＨＳ−Ａは自分の管理下にないＮＨＣ−Ｂのアドレス解決はできないため、これをルーチングプロトコルに従い、次のサーバ（この例ではＮＨＳ−Ｂ）に転送（フォワード）する（図９のＳ12）。ＮＨＳ−ＢはＮＨＣ−Ｂのアドレスを登録しているのでアドレス解決応答をＮＨＳ−Ａに対して返送し（図９のＳ13）、ＮＨＳ−Ａはこのアドレス解決応答をＡＴＭ−ＳＷ−Ａに送る（図９のＳ14）。
【００８２】
ＡＴＭ−ＳＷ−Ａの発信元アドレス解決依頼処理部13は上記のアドレス解決応答を受信すると受信したＮＨＣ−ＢのＡＴＭアドレス（「atmadd-rep-nhc-b」とする）を適当なメモリに記憶したのち、処理を接続可否認証処理部14に移す（図９のＳ15, Ｓ16）。
【００８３】
接続可否認証処理部14はＮＨＳ−Ａより受信したＮＨＣ−ＢのＡＴＭアドレス（「atmadd-rep-nhc-b」）を先に図９のステップＳ９で記憶させたＮＨＣ−ＢのＡＴＭアドレス（「atmadd-nhc-b」）と比較する（図９のＳ17）が、ＮＨＣ−ＢがＮＨＳ−Ｂに登録したＡＴＭアドレスは前述のように「atmadd-nhc-b」であるのでＮＨＳ−Ａから受信するＡＴＭアドレス「atmadd-rep-nhc-b」の実質は「atmadd-nhc-b」であり、両者は一致する。もし、一致しない場合はこの発信元はサーバに登録を行っている正規のクライアントでない可能性があるので、接続可否認証処理部14は制御部20を介して発信元との下位に設定されているＶＣを切断する（図９のＳ18→Ｓ19）。
【００８４】
また、発信元のホストがどのＬＩＳにも属さない不正なホストである場合にはＡＴＭ−ＳＷ−ＡがＮＨＳ−Ａにアドレス解決要求を送出してもどのサーバもアドレス解決ができないため、ルーチングプロトコルにおける最後のサーバ（この例ではＮＨＳ−Ｂ）から解決要求されたＩＰアドレスに対してエントリがない旨の解決応答が送られる。この場合は、接続可否認証処理部14は発信元が不正なホストであると判定して接続を切断する（図９のＳ16→Ｓ19）。
【００８５】
着信の際に発信元から送られたＡＴＭアドレスとサーバからアドレス解決応答として送られたＡＴＭアドレスが一致した場合、接続可否認証処理部14は発信元が正規のクライアントであると判定し, 発信元のＮＨＣ−Ｂと接続先であるＮＨＣ−Ａの接続を開始する。しかし、この時点までＡＴＭ−ＳＷ−ＡはＮＨＣ−Ａに接続するために必要なＡＴＭアドレス、即ち、ＮＨＣ−Ａの第１のＡＴＭアドレスをどこからも受信していないので、ＮＨＣ−ＡのＡＴＭアドレスを検索する処理を開始する。
【００８６】
そのために、接続可否認証処理部14は収容端末アドレスファイル11にアクセスする。収容端末アドレスファイル11はＡＴＭ交換機10に収容されている端末の第２のＡＴＭアドレスと第１のＡＴＭアドレスを対応して記憶しているので、第２のＡＴＭアドレスを入力すれば第１のＡＴＭアドレスを索引することができるように構成されている。一方、ＮＨＣ−Ａからの着信の際に受信する接続要求の中には接続先のＡＴＭアドレスが含まれているが、制御部20は交換機の基本機能としてこの接続先のＡＴＭアドレスを識別することができる。
【００８７】
この接続先のＡＴＭアドレスは接続先クライアント（ＮＨＣ−Ａ）の第１のＡＴＭアドレスではなく、交換機が代理に受け付ける回線のアドレスであるが、このアドレスは各クライアントに固有のアドレス、即ち、各クライアントの第２のＡＴＭアドレスになっているので、これを収容端末アドレスファイル11に入力すれば、そのクライアントの第１のＡＴＭアドレスを検索することができる。
【００８８】
接続可否認証処理部14は収容端末アドレスファイル11を介して接続先クライアントのＮＨＣ−Ａの第１のＡＴＭアドレスを検索する（図９のＳ20）と、このＡＴＭアドレスを制御部20に送り、接続を依頼する。制御部20は第１のＡＴＭアドレスを用いてＮＨＣ−Ａに接続（このとき接続されるパスをＶＣ＃４とする）したのち、着信回線（回線インタフェース部21）が収容されているポートＰ-3とＮＨＣ−Ａが接続されているポートＰ-3をスイッチ22により接続する（図９のＳ21，Ｓ22）。これによってパスＶＣ＃３とＶＣ＃４は接続され、発信元のホストＮＨＣ−Ｂと接続先のホストＮＨＣ−Ａ間でこの直通パスを介して通信が可能となる。
【００８９】
以上のように、図６のＮＨＲＰで管理されているネットワーク５に属するクライアント３（例えばＮＨＣ−Ｂ）が同じネットワーク５に属するクライアントＮＨＣ−Ａに直通パスを設定するためにサーバ（ＮＨＳ−Ｂ）にＡＴＭアドレスの解決を要求した場合、本発明の方法ではＮＨＣ−Ａに直接接続できるＡＴＭアドレスではなく、ＡＴＭ交換機収容の別回線のＡＴＭアドレス（クライアントの第２のＡＴＭアドレス）が回答されるが、このＡＴＭアドレスに対して発信するとＡＴＭ−ＳＷ−Ａが代理で受信してＮＨＣ−Ａに接続してくれるのでＮＨＣ−ＢとＮＨＣ−ＡはＡＴＭパスを介してパケットを送受信できる。
【００９０】
これに対して図６のネットワーク５に属するＬＩＳ２に参加を許可されていないホスト６（ＨＯＳＴ−Ｘ）がネットワーク５に属しているクライアントＮＨＣ−Ａに不正にアクセスするため、例えば前述したＬＡＮＥのＬＥＣとしての機能などを利用してＮＨＣ−Ｂにアクセスし、ＮＨＣ−Ｂ内にキャッシュされているＮＨＣ−ＡのＩＰアドレスとＡＴＭアドレスのテーブルを覗き見るなどしてＮＨＣ−ＡのＡＴＭアドレスを知ることができたとする。しかし、このとき入手できたＡＴＭアドレスはＮＨＣ−Ａの第２のＡＴＭアドレスである（正規のクライアントＮＨＣ−Ｂも最後までＮＨＣ−Ａの第１のＡＴＭアドレスは知らされない）ため、このＮＨＣ−Ａの第２のＡＴＭアドレスに対して発呼しても、目的とするＮＨＣ−Ａには接続されずにＡＴＭ交換機10（ＡＴＭ−ＳＷ−Ａ）に接続される（図６に２点鎖線の矢印で図示された直通パスの設定を意図したにも拘らず、点線の矢印で図示された直通パスが設定される）。
【００９１】
そこで、ＡＴＭ交換機10（ＡＴＭ−ＳＷ−Ａ）から図９のステップＳ７に図示されているような特殊メッセージが送出されるとＨＯＳＴ−Ｘはそれが解読できないため、ステップＳ10→Ｓ19において発信元は不正ホストと判断される。また、ＨＯＳＴ−ＸがＮＨＲＰ機能を有していてステップＳ７のメッセージを解読でき、自身のＩＰアドレスを付してステップＳ８のエラーメッセージを送出した場合も、ＨＯＳＴ−Ｘはネットワーク５に属するどのサーバ４にも登録されていないためにＡＴＭ−ＳＷ−ＡがＨＯＳＴ−ＸのＩＰアドレスにより行うＡＴＭアドレス解決要求（図９のステップＳ11）に対してどのサーバ４も応答することができず、ステップＳ16→Ｓ19において発信元ホストは不正と判断される。
【００９２】
更に、エラーメッセージで回答してきたＨＯＳＴ−ＸのＩＰアドレスが偶然いずれかのサーバ４に登録されていたとしてもそれによって解決したＡＴＭアドレスはステップＳ８においてＨＯＳＴ−Ｘが送出したＡＴＭアドレスと一致することは殆どあり得ないので、ステップＳ18→Ｓ19において発信元ホストは不正と判断される。即ち、本発明においてはクライアントへの接続は３重に行われる認証処理を通過しなければならないため、不正なホストがＮＨＲＰで管理されているＬＩＳ２に属するクライアント３に直通パスを設定して不正にアクセスすることは不可能である。
【００９３】
以上のように、図６のＬＩＳ−Ａに属するＮＨＣ−Ａに対する接続はＡＴＭ−ＳＷ−Ａが代理で受け付けたのちに接続されていたが、以下、ＡＴＭ−ＳＷ−Ａのような役割を担う交換機をランデブーポイントと呼ぶ。以上の説明では、ＮＨＣ−Ａにアクセスしようとする正規のクライアントＮＨＣ−Ｂはランデブーポイントを介さずに自身の第１のＡＴＭアドレスを用いて接続を行うものとして説明したが、以下、ＮＨＣ−Ｂもランデブーポイントを介する例について説明する。図６においては、ＮＨＣ−Ｂのランデブーポイントになる交換機はＬＩＳ−Ｂ内に設置されているＡＴＭ交換機10（以下、ＡＴＭ−ＳＷ−Ｂと記す）であるが、ＡＴＭ交換機内部の動作は先に図７を用いて説明した内容と重複するので説明は省略する。
【００９４】
ランデブーポイントをもつ場合のＮＨＣ−Ｂのアドレスの例を図８の(b) に記すが、ＮＨＣ−Ｂの第２のＡＴＭアドレス「atmadd-swb-nhc-b」は、ＮＨＣ−Ｂ用として定められたＡＴＭ−ＳＷ−Ｂ内の回線のＡＴＭアドレスである。ＮＨＣ−Ｂはこの第２のＡＴＭアドレスをＩＰアドレス「ipadd-nhc-b 」と組み合わせて予め自身の属するＬＩＳ−Ｂを管理するサーバＮＨＳ−Ｂに登録しておく。
【００９５】
ＮＨＣ−ＢはＮＨＣ−Ａへ直通パスを設定する必要が生じたが、ＮＨＣ−ＡのＩＰアドレスは知っていてもＡＴＭアドレスを知らないため、ＮＨＳ−Ｂに対してＮＨＣ−ＡのＩＰアドレスからＡＴＭアドレスへの解決要求を行う。ＮＨＳ−ＢはＮＨＣ−ＡのＡＴＭアドレス情報を有していないので次のサーバ４（この例ではＮＨＳ−Ａ）にこの要求を送る。ＮＨＳ−ＡにはＮＨＣ−Ａのアドレスが登録されているのでＮＨＣ−ＡのＡＴＭアドレスをＮＨＲＰ解決応答としてＮＨＳ−Ｂに回答し、ＮＨＳ−ＡはこれをＮＨＣ−Ｂに送る（以上、図９のＳ２〜Ｓ５参照）。
【００９６】
ＮＨＣ−Ｂは受信したＡＴＭアドレスを用いてＮＨＣ−Ａに直通パスを設定するためＡＴＭ網１（具体的にはＡＴＭ−ＳＷ−Ｂ）に対して発信するが、ＮＨＲＰ解決応答で回答されたＮＨＣ−ＡのＡＴＭアドレスは第２のＡＴＭアドレス、即ち、ＮＨＣ−Ａ用として定められたＡＴＭ−ＳＷ−Ａ内の回線のＡＴＭアドレスであるため、ＮＨＣ−ＢはＡＴＭ−ＳＷ−Ｂ及び図示省略されたＡＴＭ網１内の中継交換機を経てＡＴＭ−ＳＷ−Ａの前記第２のＡＴＭアドレスに該当する回線に接続される（図９のＳ６参照）。
【００９７】
ＡＴＭ−ＳＷ−Ａは発信元のホストがＮＨＲＰ配下のＬＩＳ２に登録されているホストであるか否かを調べるため、特殊メッセージを送出する。ＮＨＣ−Ｂはこのメッセージに対して前述のようにエラーメッセージを返送するが、その中に自身のＩＰアドレスとＡＴＭアドレスを書き込んで送出する（図９のＳ７〜Ｓ８参照）。ただし、ＮＨＣ−Ｂはランデブーポイントをもち、ＮＨＳ−Ｂに対して第２のＡＴＭアドレスを登録しているので、エラーメッセージに書き込むＡＴＭアドレスは第２のＡＴＭアドレス「atmadd-swb-nhc-b」とする。
【００９８】
ＡＴＭ−ＳＷ−Ａはエラーメッセージの中からＮＨＣ−ＢのＩＰアドレスを抽出し、このＩＰアドレスを用いてＮＨＳ−ＡにＡＴＭアドレスの解決を要求する（図９のＳ11参照）。ＮＨＳ−Ａはこのアドレス解決ができないのでＮＨＳ−Ｂに転送する（図９のＳ12参照）。ＮＨＳ−ＢにはＮＨＣ−ＢのＡＴＭアドレスが登録されているのでそのＡＴＭアドレスをＮＨＳ−Ａに回答する（図９のＳ13参照）が、前述のようにこのＡＴＭアドレスはＮＨＣ−Ｂの第２のＡＴＭアドレス、即ち、ＡＴＭ−ＳＷ−Ｂ内の回線のＡＴＭアドレス「atmadd-swb-nhc-b」である。ＮＨＳ−ＡはこのＡＴＭアドレスをＡＴＭ−ＳＷ−Ａに送る（図９のＳ14参照）。
【００９９】
ＡＴＭ−ＳＷ−ＡはＮＨＳ−Ａより受信したＡＴＭアドレスをエラーメッセージに書き込まれていたＡＴＭアドレスと比較するが、以上から明らかなように両ＡＴＭアドレスはいずれも「atmadd-swb-nhc-b」であるので一致する（図９のＳ15〜Ｓ18参照）。以後、ＡＴＭ−ＳＷ−ＡにおいてＮＨＣ−Ａに対する接続が行われ、次いでＮＨＣ−ＢとＮＨＣ−Ａが接続されるので、両ホストは直接パケットを送受信することが可能となる（図９のＳ20〜Ｓ22参照）。
【０１００】
以上のように、通信を行う２つのクライアントがいずれもランデブーポイントを持つ場合には両クライアントとも自身の第１のＡＴＭアドレスを使用することがないが、一方のクライアントがランデブーポイントを持っていない場合と全く同様に正しく認証が行われ、発信元が不正なホストでない限り、両クライアント間に直通パスが設定される。
〔本発明の第２の実施形態〕
図10は第２の発明における情報の送受信シーケンスと交換機の動作フローの実施例を併せて記載した図である。以下、第２の発明の実施例（以下、第２の実施例と記す）を図６、図７及び図10を参照して説明するが、図９で説明した第１の実施例の内容と重複する部分については説明を省略する。なお、図10中のＮＨＣ−Ｂ、ＮＨＳ−Ｂ、ＡＴＭ−ＳＷ−Ａなどの符号の意味は第１の実施例におけると同様である。また、Ｓ31などの符号は図10中の送受信情報やステップに付した符号である。
【０１０１】
企業内システムなどにおいては特定の端末について、発信元が同じ企業内システムの端末であっても特に指定された端末以外はアクセスを禁止すると言う手段をとることがある。本発明の交換機が使用される通信網においても、着信端末によっては発信元がたとえＮＨＲＰにおいて管理されるネットワークに属する端末であっても無条件で接続を許可できない場合があり得る。第２の発明は第１の発明の認証機能を有する交換機に発信元指定手段が付加されたもので、図７のアクセス制限リスト15は図２の発信元指定手段15の実施形態である。
【０１０２】
アクセス制限リスト15には着信端末ごとにアクセスを許可する発信元端末のＡＴＭアドレスまたはネットワーク層アドレス（例えば、ＩＰアドレス）を指定するが、接続を許可する発信元として端末を単位とせずに複数の端末のグループを単位とすることもできる。その場合、例えばＩＰアドレスで接続を許可する発信元のアドレスを指定するのであれば、ＩＰアドレスの全桁を指定せずに、ネットワークアドレスと呼ばれる上位桁のみを指定する。
【０１０３】
以下、図６のＮＨＣ−ＢからＮＨＣ−Ａに対して接続を行う場合を例に図10を主体に説明するが、第２の実施例におけるＮＨＣ−ＡのＮＨＳ−Ａに対するアドレス登録方法及びＮＨＣ−ＢがＡＴＭ網１に対して発信したのち、ＡＴＭ−ＳＷ−Ａから特殊メッセージを受信し、これに対してエラーメッセージを送出するまでの動作は図９のステップＳ１〜ステップＳ16に図示したものと同一である。このため、図10にはこの部分の記載を省略し、ＡＴＭ−ＳＷ−Ａがエラーメッセージに含まれていたＮＨＣ−ＢのＡＴＭアドレスとＮＨＳ−Ａを介して解決したＮＨＣ−ＢのＡＴＭアドレスを比較するステップＳ31から図示してあるが、図10のＳ31は図９のステップＳ17と同一部分である。以下、図10のステップＳ31以降の動作を説明する。
【０１０４】
第１の実施例において説明したように、この場合は発信元ホストのＮＨＣ−Ｂの２つのＡＴＭアドレスは同一であるので比較結果は一致し、接続先のクライアントＮＨＣ−Ａの第１のＡＴＭアドレスの検索に移る（図10のＳ31, Ｓ32→Ｓ34）。この検索方法は第１の実施例におけると同じく、図７の接続可否認証処理部14が収容端末アドレスファイル11を用いて行うが、接続先のホストＮＨＣ−Ａの第１のＡＴＭアドレスが確認されると、接続可否認証処理部14はアクセス制限リスト15を用いて発信元のＮＨＣ−ＢのＡＴＭアドレスがＮＨＣ−Ａに対してアクセスを許可されているアドレスであるか否かを確認する（図10のＳ35）。もし、許可されていない端末であれば接続されたパスを切断する（図10のＳ36→Ｓ33）。なお、この場合、ステップＳ33においては発信元を不正ホストではなく、アクセス不許可のホストと判定することになる。
【０１０５】
発信元がアクセス制限リスト15にアクセスを許可する端末として登録されている場合は接続可否認証処理部14は制御部20を介してＮＨＣ−Ａに接続したのち、ＮＨＣ−ＢとＮＨＣ−Ｂを接続するが、この処理（図10のＳ37〜Ｓ38）は図９における処理（図９のＳ21〜Ｓ22）と同様である。また、発信元が図６のＮＨＣ−Ｂではなく不正ホストのＨＯＳＴ−Ｘであった場合は、図９により説明した第１の実施例におけると全く同様に、不正ホストＨＯＳＴ−Ｘが目的とするホストＮＨＣ−Ａに接続されないよう排除される。
〔本発明の第３の実施形態〕
図11は第３の発明における情報の送受信シーケンスと交換機の動作フローの実施例を併せて記載した図である。以下、第３の発明の実施例（以下、第３の実施例と記す）を図６、図７及び図11を参照して説明するが、図９で説明した内容と重複する部分については説明を省略する。なお、図11中のＮＨＣ−Ｂなどの符号の意味やＳ41などの符号はこれまでの説明におけると同様である。
【０１０６】
ＡＴＭ網においては通信を許可する場合に通信品質について条件を付すことが行われている。本発明の交換機が使用される通信網においても、発信元がたとえＮＨＲＰにおいて管理されるＬＩＳに属する端末であっても通信品質について条件を付さずに接続することはできないという場合があり得る。第３の発明は第１の発明の認証機能を有する交換機に通信品質指定手段が付加されたもので、図７の通信品質指定リスト16は図３の通信品質指定手段16の実施形態である。通信品質指定リスト16には発信元の端末に対して許可できる通信品質の条件が記憶されている。
【０１０７】
以下、図６のＮＨＣ−ＢからＮＨＣ−Ａに対して接続を行う場合を例に図11を主体に説明するが、図11においても第１の実施例のシーケンス（図９のＳ１〜ステップＳ16）と同一の部分は図示を省略し、ＮＨＣ−Ｂの２つのＡＴＭアドレスを比較するステップから図示してある。比較を行うステップＳ41は図９のステップＳ17と同一部分であるが、以下、図11のステップＳ41から説明を行う。
【０１０８】
ステップＳ41においては第１の実施例におけると同様、発信元クライアントＮＨＣ−Ｂの２つのＡＴＭアドレスの比較結果が一致するので、接続先クライアントＮＨＣ−Ａの第１のＡＴＭアドレスの検索に移る（図11のＳ41, Ｓ42→Ｓ44）が、検索方法は第１の実施例におけると同一である。ＮＨＣ−Ａの第１のＡＴＭアドレスの検索が終わると図７の接続可否認証処理部14はＮＨＣ−Ｂが接続を行ってきたときに送信してきた通信品質の情報を制御部20より受け、通信品質指定リスト16に指定されている条件と適合するか否かを確認する（図11のＳ45）。
【０１０９】
ここで通信品質とは例えばパケットの使用帯域、廃棄率、遅延などの通信品質を指すが、接続可否認証処理部14はＮＨＣ−Ｂから送られてきた通信品質条件が通信品質指定リスト16に指定されている条件に適合することを確認した場合は制御部20を介してＮＨＣ−Ａに接続し、ＮＨＣ−ＢとＮＨＣ−Ａを接続する（図11のＳ45, Ｓ46→Ｓ48〜Ｓ49）が、適合しない場合は通信品質不適合としてパスを切断する（図11のＳ46→Ｓ47）。
【０１１０】
通信品質条件が接続条件に付加される以外は第３の実施例の処理は第１の実施例と同様であり、発信元が不正ホストＨＯＳＴ−Ｘである場合には目的とするホストＮＨＣ−Ａに接続されないよう排除される。
〔本発明の第４の実施形態〕
図12は第４の発明における情報の送受信シーケンスと交換機の動作フローの実施例を併せて記載した図である。以下、第４の発明の実施例（以下、第４の実施例と記す）を図６、図７及び図12を参照して詳細に説明するが、図９で説明した内容と重複する部分については説明を省略する。なお、図12中の符号の意味や以下の説明におけるＳ51などの符号はこれまでの説明と同様である。
【０１１１】
本発明を適用する場合、発信元のクライアントは直通パス設定の要求を行って接続先のクライアントの代りに交換機に接続される（交換機に対してパスが開設される）と、その時点で接続先のクライアントに直接パスが設定されたと解釈してパケットの送出を開始する可能性がある。そのため、交換機は接続先のクライアントに接続するまでの間に発信元から送られるパケットを受信して一時的に蓄積しておくことが望ましい。
【０１１２】
第４の実施例は第１の発明の認証機能を有する交換機に通信情報を受信して蓄積する通信情報蓄積手段が付加されたもので、図７の受信パケット蓄積部17は図４の通信情報蓄積手段17の実施形態である。以下、図６のＮＨＣ−ＢからＮＨＣ−Ａに対して接続を行う場合を例に図12を主体に説明するが、第１の実施例と同一内容の箇所については説明を省略する。
【０１１３】
ＮＨＣ−Ａがアドレスを登録する処理は図９における処理（図９のＳ１）と同一であり、また、ＮＨＣ−ＢがＮＨＳ−ＢにＮＨＣ−ＡのＡＴＭアドレスの解決を要求するまでの動作は図９における動作（図９のＳ２〜Ｓ５）と同一であるので、図12ではステップＳ51〜Ｓ55の記載を省略し、ステップＳ56より記載している。ステップＳ56においてＮＨＣ−Ｂは解決されたＡＴＭアドレスを用いてＮＨＣ−Ａに対して発信するが、この動作は図９のステップＳ６と同じである。
【０１１４】
前述のように、このとき解決されたＡＴＭアドレスはＮＨＣ−Ａの第１のＡＴＭアドレスではなく第２のＡＴＭアドレス、即ち、ＡＴＭ−ＳＷ−Ａの回線のＡＴＭアドレスであるため、ＮＨＣ−ＢはＮＨＣ−Ａには接続されず、ＡＴＭ−ＳＷ−Ａに接続される。
【０１１５】
ところが、ＮＨＣ−Ｂが直通パス設定を開始する以前にサーバ（図６のＮＨＳ−Ａなど）を介してパケットの送信を開始していて、その後に直通パスを介して送信するようにする場合はＮＨＣ−Ａに接続されるまで後続のパケットをＮＨＣ−Ｂ内に蓄積しておかなければならなくなる。しかし、蓄積が困難な場合には後続のパケットをいま設定された直通パス（図７のＶＣ＃３）を介してＡＴＭ−ＳＷ−Ａに送信してくることになる。そこで、図７のＡＴＭ交換機10では制御部20の制御によりこのパケットをスイッチ22を介して受信パケット蓄積部17に蓄積させる（図12のＳ57〜Ｓ58参照）。
【０１１６】
次いで、ＡＴＭ−ＳＷ−ＡはＮＨＣ−Ｂに対して特殊メッセージを送出するが、以後、ＮＨＣ−Ｂの２つのＡＴＭアドレスの一致を確認し、一致した場合にＮＨＣ−Ａに接続し、ＮＨＣ−ＢとＮＨＣ−Ａを接続するまでの処理（図12のＳ59〜Ｓ74）は図９における動作（図９のＳ７〜Ｓ22）と同一である。図12ではＮＨＣ−ＢとＮＨＣ−Ａを接続すると先ずステップＳ58で受信蓄積したパケットをＮＨＣ−Ａに対して送信し、蓄積したパケットの送信を終わるとＮＨＣ−ＢからのパケットをそのままＮＨＣ−Ａに送信するようにする（図９のＳ75〜Ｓ76）。
【０１１７】
以上のように、第４の実施例では送信元のクライアントから通信情報のパケットが送られてきた場合、本発明の交換機がそのパケットを受信して蓄積するが、発信元が不正のホストであるか否かを確認してから蓄積したパケットを接続先のホスト（ＮＨＣ−Ａ）に送るため、正規のクライアントから送られたパケットは消滅することがなく、かつ、不正なホスト（例えば図６のＨＯＳＴ−Ｘ）から送られた情報を接続先のホスト（ＮＨＣ−Ａ）に対して送信することがない。このため、有害な情報により正規のホストが被害を受けることがない。
〔本発明の第５の実施形態〕
図13は第５の発明における情報の送受信シーケンスと交換機の動作フローの実施例を併せて記載した図であるが、図９の動作（図９のＳ１〜Ｓ５）と同一内容のステップＳ81〜Ｓ85は図示を省略し、ステップＳ86（図９のＳ６と同じ）から記載している。以下、第５の発明の実施例（以下、第５の実施例と記す）を図６、図７及び図13を参照して詳細に説明するが、図９で説明した内容と重複する部分については説明を省略する。なお、図13中の符号やＳ86などの符号はこれまでと同様である。
【０１１８】
これまで説明した本発明の交換機は発信元のクライアント（例えば、図６のＮＨＣ−Ｂ）やホスト（図６のＨＯＳＴ−Ｘ）から接続されるとその都度サーバにアドレス解決の要求を行うが、同一クライアントから短時間に何回も接続が行われる場合に毎回アドレス解決処理を行うことは交換機にとってもサーバにとっても負担になる。そこで、アドレス解決を行ったときに解決されたアドレスを一定時間記憶しておき、記憶されているクライアントから接続されたときにサーバに対するアドレス解決要求を省略する方法が考えられる。
【０１１９】
第５の実施例は第１の発明の認証機能を有する交換機に発信元解決アドレス記憶手段と発信元解決アドレス管理手段が付加されたもので、図７の解決アドレスキャッシュメモリ18は図５の発信元解決アドレス記憶手段18の実施形態である。なお、図５の発信元解決アドレス管理手段19の実施形態である解決アドレスキャッシュメモリ管理部は図７では図示省略されているが、この部分は図７のＡＴＭ交換機10においては制御部20内に設けられているものとする。
【０１２０】
図13のステップＳ81〜Ｓ88（Ｓ81〜Ｓ85は図示省略）の動作は図９のステップＳ１〜Ｓ８の動作と同一であるので説明を省略する。第１の実施例において説明したように、図７のＡＴＭ交換機10の発信元アドレス確認処理部12はＮＨＣ−Ｂから送られてきたエラーメッセージからＮＨＣ−ＢのＩＰアドレスを抽出（図13のＳ88〜Ｓ90）するが、第１乃至第４の実施例では抽出したＩＰアドレスを制御部20を介して発信元アドレス解決依頼処理部13に送り、発信元アドレス解決依頼処理部13がアドレス解決処理を行っていた。しかし、本実施例では発信元アドレス解決依頼処理部13はサーバにアドレス解決を依頼するのに先立ってこのＩＰアドレスが解決アドレスキャッシュメモリ18に記憶されている否かを確認する（図13のＳ91）。
【０１２１】
詳細は後述するが、解決アドレスキャッシュメモリ18には発信元アドレス解決依頼処理部13が以前に解決した発信元クライアントのＡＴＭアドレスがＩＰアドレスと対応して記憶されている。そこで、発信元アドレス解決依頼処理部13はエラーメッセージから抽出したＮＨＣ−ＢのＩＰアドレスが解決アドレスキャッシュメモリ18に記憶されていた場合にはそこに記憶されているＮＨＣ−ＢのＡＴＭアドレスを読み出し、接続可否認証処理部14に転送する。接続可否認証処理部14は転送されたＡＴＭアドレスをエラーメッセージとともに送られてきたＡＴＭアドレス（図13のＳ89参照）と比較する（図13のＳ92→Ｓ93→Ｓ99）。これは、ＮＨＣ−Ｂがエラーメッセージとともに送ってきたＡＴＭアドレスがサーバ（この例では図６のＮＨＳ−Ｂ）に登録されているものであるか否かを確認することと同じ効果をもつ。
【０１２２】
ステップＳ92において解決アドレスキャッシュメモリ18に該当のＩＰアドレスが記憶されていない場合は、発信元アドレス解決依頼処理部13はサーバＮＨＳ−Ａにアドレス解決を依頼するが、以後の動作（図13のＳ94〜Ｓ97）は図９における動作（図９のＳ11〜Ｓ14）と同一である。ただし、図13においてはサーバよりＮＨＣ−ＢのＡＴＭアドレスを受信すると、発信元アドレス解決依頼処理部13は解決されたＡＴＭアドレス情報をアドレス解決に使用したＮＨＣ−ＢのＩＰアドレス情報と対応させて解決アドレスキャッシュメモリ18に記憶させる（図13のＳ98）。図13のステップＳ91において索引する解決アドレスキャッシュメモリ18に記憶されている情報はこのようにして記憶されたものである。発信元アドレス解決依頼処理部13はアドレス情報を解決アドレスキャッシュメモリ18に記憶させるとともに、解決されたＮＨＣ−ＢのＡＴＭアドレスをステップＳ89において記憶されたＡＴＭアドレスと比較する（図13のＳ99）。
【０１２３】
以上のいずれかによりＡＴＭアドレスの比較が行われたあとの動作（図13のＳ100 〜Ｓ104 ）は第１の実施例における動作（図９のＳ18〜Ｓ22）と同一であるので説明を省略する。以上のように、第５の実施例においてはＡＴＭ交換機10はホストより着信がある都度サーバ４にアドレス解決を要求しなくて済むので、交換機10やサーバ４の負荷が減少し、処理も速かに行われるようになる。
【０１２４】
なお、解決アドレスキャッシュメモリ18に記憶されたアドレス情報は一定の時間を経過すると消去し、古いアドレス情報が使用されないようにするが、この処理は図７の制御部20内に設けられた解決アドレスキャッシュメモリ管理部（図示省略）によって行われる。即ち、解決アドレスキャッシュメモリ管理部は解決アドレスキャッシュメモリ18に定期的にアクセスし、記憶されているアドレス情報の中に所定の時間を経過したものがあればそれを消去する。
〔実施形態説明の補足〕
以上、図６乃至図13を用いて本発明の認証機能を有する交換機の実施形態を説明したが、本発明が図示された内容のみに限定されるものでないことは言うまでもない。例えば、実施形態の説明では通信網としてＡＴＭ網、ネットワークプロトコル（上位レイヤ）としてＴＣＰ／ＩＰプロトコルを用いる場合について説明したが、本発明を適用する通信網はＡＴＭ網のみに限られず、パケット網、フレームリレー網など、非放送型多元接続網（ＮＢＭＡ網）或いはコネクション型通信網と呼ばれる通信網全般が含まれ、また、上位プロトコルもＴＣＰ／ＩＰに限定されるものではない。また、上記の説明では発信元のクライアントやホストを物理的には端末として説明したが、これらはルータを兼ねる端末や、他の名称が付された装置であってもよい。
【０１２５】
また、図７に図示された本発明の認証機能を有する交換機の実施例構成図は、第１の発明乃至第５の発明のすべての機能を備えた構成例となっているが、本発明の交換機がこれらの機能すべてを備えたものに限定されるものでないことは勿論である。また、交換機の構成方法には図７に図示された構成以外にも各種の構成方法があり得ることは当然であり、例えば、図７の発信元アドレス確認処理部12、発信元アドレス解決依頼処理部13、接続可否認証処理部14などを制御部20の内部に設けても発明の効果は変わらない。また、図７の構成では、収容端末アドレスファイル11、アクセス制限リスト15通信品質指定リスト16は接続可否認証処理部14に接続されているが、これらを制御部20に接続し、制御部20を介してこれらの機器にアクセスするようにしてもよい。また、図７では上記のファイルやリストはディスク装置に記憶されているように図示されているが、これらはディスク装置以外の記憶装置に記憶されていてもよく、また、複数のリストなどが物理的に同一の記憶装置内に記憶されても効果に代わりがないことは勿論である。
【０１２６】
また、本発明の交換機では発信元から送られたＡＴＭアドレスとサーバにより解決された発信元のＡＴＭアドレスを比較しているが、実施例のシーケンス図では発信元から送られるＡＴＭアドレスをエラーメッセージから抽出している（例えば、図９のＳ９）。一方、発信元のクライアントから接続があったとき（例えば図９のＳ６）、接続要求の中には発信元と接続先のＡＴＭアドレスが含まれているが、この発信元のＡＴＭアドレスを識別することは交換機が本来もつ機能で可能である。そのため、接続要求に含まれている発信元のＡＴＭアドレスを比較に用いることも可能であり、それによって本発明の効果は変わらない。なお、これまでの説明では発信元のＩＰアドレスもエラーメッセージから抽出するとしたが、他の方法により発信元のＩＰアドレスを確認しても勿論問題はない。
【０１２７】
また、以上においては図７のＡＴＭ交換機10が接続先のＮＨＣ−ＡのＡＴＭアドレスを確認する場合に、着信時に発信元のＮＨＣ−Ｂから送られる接続先のＡＴＭアドレス（実施例ではＮＨＣ−Ａの第２のＡＴＭアドレス）をもとに収容端末アドレスファイル11を索引すると説明したが、例えば図７のポートＰ-2（または回線インタフェース部21）がＮＨＣ−Ａに対して１対１に設定されている場合にはＡＴＭ交換機10が交換機が本来有している機能により着信回線（ポートＰ-2または回線インタフェース部21）の収容位置情報を識別し、収容位置情報からその第１のＡＴＭアドレスを識別するようにしてもよい。
【０１２８】
また、図７にはＡＴＭ交換機10はサーバＮＨＳ−Ａにアドレス解決の要求を行う場合にスイッチ22を介してパス（図７の例ではＶＣ＃２）を設定する例を図示しているが、ＡＴＭ交換機10とサーバＮＨＳ−Ａ間に予め固定的なパスを設けてもよいことは勿論である。
【０１２９】
また、図７のアクセス制限リスト15には着信端末ごとにアクセスを許可する発信元端末または端末グループのアドレスを指定するとしたが、逆にアクセスを許可しない端末または端末グループのアドレスを指定してもよい。本発明では不正な端末からのアクセスは基本機能として排除されるので、排除されない端末の中で接続を許可しない端末をアクセス制限リスト15に指定することは容易であり、接続を許可する端末を指定するのと同じ効果を得ることができる。
【０１３０】
また、図12においては接続先のＮＨＣ−Ａと接続する以前に送信されたパケットを交換機が受信して蓄積し（図12のＳ58）、蓄積したパケットを発信元のＮＨＣ−Ｂと接続先のＮＨＣ−Ａを接続したのちに接続先のＮＨＣ−Ａに送信している（図12のＳ75) 。しかし、蓄積したパケットはＮＨＣ−Ａに接続した時点（図12のＳ73) 以後、直ちに行ってもよい。この時点ではＮＨＣ−ＢとＮＨＣ−Ａはスイッチ22で分離されているが、ＮＨＣ−Ｂからのパケットを受信するパス（ＶＣ＃３）はできているので、ＮＨＣ−Ａに蓄積したパケットを送出しながら新たなパケットをＮＨＣ−Ｂから受信することは可能であり、パケットが失われることはない。
【０１３１】
【発明の効果】
以上説明したように、本発明による認証機能を有する交換機は、ＮＨＲＰにより管理されるＬＩＳに属するクライアント（ホスト）に対して通信網（ＮＢＭＡ網）内に直通パスを設定してアクセスを試みるホストがあっても、接続先のクライアントの通信網上のアドレスを知らせずにそのクライアントが収容されている本発明の交換機の回線のアドレスを知らせるように構成され、発信元のホストはすべて本発明の交換機に接続されてＮＨＲＰにより管理されるＬＩＳに属するクライアントであるか否か認証されるようになっている。このため、不正なホストがなんらかの方法で目的とするクライアント（ホスト）の通信網上のアドレスを知ろうとしても交換機の回線のアドレスしか知ることができず、ＮＨＲＰにより管理されるＬＩＳに属するクライアントを装ってクライアントにアクセスを試みても交換機に接続され、交換機の認証機能によって接続を拒否されるようになっている。従って、不正なホストがＮＨＲＰにより管理されるＬＩＳに属するクライアントに直通パスを設定することによって通信を妨害したり、悪意の通信を行ってＮＨＲＰにより管理されるネットワークに支障を与えるようなことができない。かつ、本発明の認証機能を有する交換機は通信網内に認証専用機として特別に設置するものではなく、本来通信網に設置する必要がある交換機として使用できるものであるため、経済的に設置することが可能である。
【０１３２】
以上のような特徴から、本発明は今後ますます複雑化する通信網において不正なアクセスを排除するのに大きな効果を発揮する。
【図面の簡単な説明】
【図１】 本発明の交換機の基本構成図（１）
【図２】 本発明の交換機の基本構成図（２）
【図３】 本発明の交換機の基本構成図（３）
【図４】 本発明の交換機の基本構成図（４）
【図５】 本発明の交換機の基本構成図（５）
【図６】 本発明の交換機が設置される通信網のモデル構成図
【図７】 本発明の交換機の実施例構成図
【図８】 本発明の交換機に収容される端末のアドレス付与方法説明図
【図９】 本発明の実施例動作シーケンス図（１）
【図１０】 本発明の実施例動作シーケンス図（２）
【図１１】 本発明の実施例動作シーケンス図（３）
【図１２】 本発明の実施例動作シーケンス図（４）
【図１３】 本発明の実施例動作シーケンス図（５）
【図１４】 従来技術における認証機構説明図（１）
【図１５】 従来技術における認証機構説明図（２）
【図１６】 従来技術における認証機構説明図（３）
【図１７】 従来技術における認証機構説明図（４）
【符号の説明】
１ 通信網
２-1、２-2 論理サブネットワーク
３-1 端末（接続先端末）
３-2 端末（発信元端末）
４-1、４-2 サーバ
10a 〜10e 認証機能を有する交換機
11 収容端末アドレス記憶手段
12 発信元アドレス確認手段
13a 、13b 発信元アドレス解決依頼手段
14a 〜14e 接続可否認証手段
15 発信元指定手段
16 通信品質指定手段
17 通信情報蓄積手段
18 発信元解決アドレス記憶手段
19 発信元解決アドレス管理手段
21 回線（着信回線）
22 スイッチ
Claims (5)
- 網内に複数の論理サブネットワークが構成され、各論理サブネットワークに属する端末のネットワーク層のアドレスから通信網上のアドレスを解決する機能を備えた１または複数のサーバが１または複数の論理サブネットワークごとに設けられ、かつ、網に接続された端末が通信網上のアドレスを用いて相手端末との間に直通パスを設定することができる通信網に設置される交換機であって、
自交換機に収容される端末が、通信網から接続される際に使用される第１の通信網上のアドレスに加えて、該端末への着呼を代理に受け付けるために定められた自交換機収容回線の通信網上のアドレスを第２の通信網上のアドレスとして有し、かつ、端末が属する論理サブネットワークに設けられているサーバに第２の通信網上のアドレスを登録している場合に、各端末の第１の通信網上のアドレスと第２の通信網上のアドレスまたは各端末への着呼を代理に受け付ける回線を識別する情報を対応して記憶する収容端末アドレス記憶手段と、
自交換機に収容された第１の端末への着呼を代理に受け付ける回線に第２の端末から着信があったとき、該第２の端末に対して所定のメッセージを送信し、返送される情報により第２の端末のネットワーク層のアドレス情報を確認する発信元アドレス確認手段と、
第２の端末より返送された第２の端末のネットワーク層のアドレス情報を発信元アドレス確認手段より受信したときに該ネットワーク層のアドレス情報を所定のサーバに送信し、該サーバより前記第２の端末の通信網上のアドレス情報を受信して出力する発信元アドレス解決依頼手段と、
発信元アドレス解決依頼手段から送られる第２の端末の通信網上のアドレス情報を着信の際に受信した第２の端末の通信網上のアドレス情報と比較し、両者が一致したときは収容端末アドレス記憶手段を用いて着信の際に受信した第１の端末の第２の通信網上のアドレス情報または着信があった回線を識別する情報から第１の端末の第１の通信網上のアドレスを検索して該第１の端末に接続を行ったのち前記着信回線を介して第２の端末と接続させ、両者が一致しない場合及び発信元アドレス確認手段よりのメッセージに対して第２の端末よりアドレス情報が返送されなかった場合は第２の端末が第１の端末に対して接続を許容されている論理サブネットワークに属していない端末であると認定して着信回線を切断する処理を行う接続可否認証手段とを備えたことを特徴とする認証機能を有する交換機。 - 請求項１記載の収容端末アドレス記憶手段と、発信元アドレス確認手段と、発信元アドレス解決依頼手段に加えて、
自交換機に収容される端末に対する接続を許容する論理サブネットワークのネットワーク層のアドレス情報を記憶する発信元指定手段を備え、
前記接続可否認証手段は、発信元アドレス解決依頼手段から送られる第２の端末の通信網上のアドレス情報と着信の際に受信した第２の端末の通信網上のアドレス情報を比較したときに、両者が一致し、かつ、第２の端末の通信網上のアドレス情報またはネットワーク層のアドレス情報が接続を許容するアドレス情報として発信元指定手段に記憶されている場合は第１の端末に接続を行って第２の端末と接続させ、両者が一致しても第２の端末のアドレス情報が発信元指定手段に記憶されていない場合、両者が一致しない場合及び発信元アドレス確認手段よりのメッセージに対して第２の端末よりアドレス情報が返送されなかった場合は着信回線を切断する処理を行うように構成されたことを特徴とする請求項１記載の認証機能を有する交換機。 - 請求項１記載の収容端末アドレス記憶手段と、発信元アドレス確認手段と、発信元アドレス解決依頼手段に加えて、
発信元に対する通信許可条件として自交換機収容の端末対応に通信品質を指定する通信品質指定手段を備え、かつ、
前記接続可否認証手段は、発信元アドレス解決依頼手段から送られる第２の端末の通信網上のアドレス情報と着信の際に受信した第２の端末の通信網上のアドレス情報を比較したときに、両者が一致し、かつ、第２の端末から送信された通信品質条件が通信品質指定手段に指定された通信品質条件に適合した場合は第１の端末に接続を行って第２の端末と接続させ、両者が一致しても第２の端末から送られた通信品質条件が通信品質指定手段に指定された通信品質条件に適合しない場合、両者が一致しない場合及び発信元アドレス確認手段よりのメッセージに対して第２の端末よりアドレス情報が返送されなかった場合は着信回線を切断する処理を行うように構成されたことを特徴とする請求項１記載の認証機能を有する交換機。 - 請求項１記載の収容端末アドレス記憶手段と、発信元アドレス確認手段と、発信元アドレス解決依頼手段に加えて、
自交換機に収容された第１の端末への着呼を代理に受け付ける回線に第２の端末から着信があり、かつ、第１の端末と接続する以前に第２の端末から通信情報が送られた場合に該通信情報を蓄積する通信情報蓄積手段を備え、
前記接続可否認証手段は、第１の端末に接続を行ったのちに通信情報蓄積手段に蓄積された通信情報を第１の端末に送信するように構成されたことを特徴とする請求項１記載の認証機能を有する交換機。 - 請求項１記載の収容端末アドレス記憶手段と、発信元アドレス確認手段と、接続可否認証手段に加えて、
発信元アドレス解決依頼手段より発信元端末の通信網上のアドレス情報とネットワーク層のアドレス情報が送られたときに、両アドレス情報を対応させて記憶する発信元解決アドレス記憶手段と、
発信元解決アドレス記憶手段を監視し、記憶されてから所定の時間を経過した発信元端末の通信網上のアドレス情報とネットワーク層のアドレス情報を消去する処理を行う発信元解決アドレス管理手段を備え、
前記発信元アドレス解決依頼手段は、発信元アドレス確認手段より発信元端末のネットワーク層のアドレス情報を受信したときに発信元解決アドレス記憶手段内に該ネットワーク層のアドレス情報が記憶されているか否かを確認し、記憶されていた場合には記憶されている発信元端末のネットワーク層のアドレス情報と通信網上のアドレス情報を読み出して接続可否認証手段に転送し、記憶されていない場合は発信元端末のネットワーク層のアドレス情報を所定のサーバに送信し、該サーバより該発信元端末の通信網上のアドレス情報を受信したときに該通信網上のアドレス情報を該発信元端末のネットワーク層のアドレス情報と対応して発信元解決アドレス記憶手段に記憶させるとともに発信元端末の通信網上のアドレス情報を接続可否認証手段に出力する処理を行うように構成されたことを特徴とする請求項１記載の認証機能を有する交換機。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP15865497A JP3757547B2 (ja) | 1997-06-16 | 1997-06-16 | 認証機能を有する交換機 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP15865497A JP3757547B2 (ja) | 1997-06-16 | 1997-06-16 | 認証機能を有する交換機 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH118627A JPH118627A (ja) | 1999-01-12 |
| JP3757547B2 true JP3757547B2 (ja) | 2006-03-22 |
Family
ID=15676441
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP15865497A Expired - Fee Related JP3757547B2 (ja) | 1997-06-16 | 1997-06-16 | 認証機能を有する交換機 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3757547B2 (ja) |
-
1997
- 1997-06-16 JP JP15865497A patent/JP3757547B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JPH118627A (ja) | 1999-01-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5497901B2 (ja) | 匿名通信の方法、登録方法、メッセージ受発信方法及びシステム | |
| US8689316B2 (en) | Routing a packet by a device | |
| US7386876B2 (en) | MAC address-based communication restricting method | |
| KR100437169B1 (ko) | 네트워크 트래픽 흐름 제어 시스템 | |
| JP4020576B2 (ja) | パケット転送方法、移動端末装置及びルータ装置 | |
| US7167922B2 (en) | Method and apparatus for providing automatic ingress filtering | |
| US8265250B2 (en) | Registration of multiple VoIP devices | |
| CN101313534B (zh) | 一种实现vpn配置服务的方法、装置和系统 | |
| US20040213237A1 (en) | Network authentication apparatus and network authentication system | |
| AU2002327757A1 (en) | Method and apparatus for implementing a layer 3/layer 7 firewall in an L2 device | |
| EP1756705A2 (en) | A system, method, and computer program product for updating the states of a firewall | |
| EP1699247B1 (en) | Multiple isp local area network egress selecting method | |
| WO2010086503A1 (en) | Multipath data communication | |
| US8085752B2 (en) | Handling connections moving between firewalls | |
| JP2982727B2 (ja) | 認証方法 | |
| US20040030765A1 (en) | Local network natification | |
| CN102045307B (zh) | 一种网络设备管理的方法及相应的网络系统 | |
| US6347338B1 (en) | Precomputed and distributed security system for a communication network | |
| US8819790B2 (en) | Cooperation method and system between send mechanism and IPSec protocol in IPV6 environment | |
| JP4253520B2 (ja) | ネットワーク認証装置及びネットワーク認証システム | |
| US7869451B2 (en) | Method for operating a local computer network connected to a remote private network by an IPsec tunnel, software module and IPsec gateway | |
| JP3757547B2 (ja) | 認証機能を有する交換機 | |
| JP4750750B2 (ja) | パケット転送システムおよびパケット転送方法 | |
| JP4302004B2 (ja) | パケットフィルタ設定方法およびパケットフィルタ設定システム | |
| JP2008010934A (ja) | ゲートウェイ装置、通信制御方法、プログラム、およびプログラムを記録した記憶媒体 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040525 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20051124 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20051206 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20051219 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100113 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110113 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110113 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120113 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |