JP4541848B2

JP4541848B2 - ユーザ端末接続制御方法および装置

Info

Publication number: JP4541848B2
Application number: JP2004337273A
Authority: JP
Inventors: 雅透日野; 裕章宮田
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2004-11-22
Filing date: 2004-11-22
Publication date: 2010-09-08
Anticipated expiration: 2024-11-22
Also published as: JP2006148648A; US8125980B2; US20060109839A1

Description

本発明は、ユーザ端末のインターネットへの接続を制御するユーザ端末接続制御方法および装置に関し、更に詳しくは、ユーザ端末との間にＰＰＰ（Point to Point Protocol）に従ってセッションを確立した後、該ユーザ端末のＩＰ網への接続を制御するパケット転送装置、およびユーザ端末のインターネットへのアクセスを制限する認証サーバに関する。

ユーザ端末をインターネット接続事業者が管理するＩＳＰ（Internet Service Provider）網を介してインターネットに接続する場合、インターネット通信で必要となるＩＰ（Internet Protocol）アドレスは、ＩＳＰから配布される。ＩＳＰが介在するネットワーク構成では、ユーザ端末とＩＳＰ網との間にアクセスネットワークが存在する。

アクセスネットワークには、各ユーザ端末とインターネットとの接続／切断を制御するためのアクセスサーバ、またはＢＡＳ（Broadband Access Server）と呼ばれるパケット転送装置（以下、ＢＡＳと言う）が設定されている。ユーザ端末は、多くの場合、Ｅｔｈｅｒｎｅｔ（登録商標名）上でのＰＰＰ（Point to Point Protocol）接続技術であるＰＰＰｏＥ（PPP over Ethernet）によって、ＢＡＳに接続される。

標準的なインターネット接続サービスでは、ユーザ毎に1つのＩＰアドレスが配布される。この場合、各ユーザがインターネットに同時接続可能な端末台数は1台だけである。
配布された１つのＩＰアドレスで複数台のユーザ端末をインターネットに接続するためには、例えば、ブロードバンドルータ等の装置を使用し、ＮＡＴ（Network Address Translation）やＩＰマスカレード等のアドレス変換技術により、1つのＩＰアドレスを複数のユーザ端末で共有する必要がある。但し、ＮＡＴやＩＰマスカレードを用いると、通信に特別な手順を必要としたり、使用可能なアプリケーション種類が制約される場合がある。ＩＳＰによっては、複数の端末を同時にインターネット接続できるように、同一ユーザに複数のＩＰアドレスを配布する付加的なサービスを提供している。

アクセスネットワークは、一般に、ブロードキャスト型ネットワークであるＥｔｈｅｒｎｅｔで構築されているため、ネットワークへのユーザ端末の追加は比較的容易に行われる。そのため、ＩＳＰは、ユーザによる不正アクセスを防止し、ＩＰアドレスや通信帯域等のネットワークリソースを有効利用するために、ユーザ毎にインターネットへの接続数を制限している。

ＰＰＰｏＥを用いたインターネット接続環境における接続数制限は、従来は、アクセスネットワーク内、具体的には、ユーザ端末とＢＡＳとの間に設置されているＬ２スイッチによって行われている。Ｌ２スイッチは、例えば、特開２０００−１１２８５２号公報（特許文献１）に記載されているように、通信パケットのＭＡＣ（Media Access Control）アドレスを参照して、ユーザ端末毎の接続数の制限できる。

特許文献１に記載されたＬ２スイッチは、受信した全てのパケットについて、送信元ＭＡＣアドレスと受信ポートとの対応関係を示すエントリ情報をＭＡＣアドレステーブルに登録しておき、このテーブルを参照することによって、その後に受信されるパケットの転送先ポートを決定している。特許文献１では、予め指定されたエージングタイム以内に新たなパケットが受信されないエントリ情報をＭＡＣアドレステーブルから削除すると共に、ポート毎にテーブル登録可能なエントリ数（ＭＡＣアドレス数）を制限しておくことによって、同時に接続可能なユーザ端末の数を制限している。

すなわち、上記Ｌ２スイッチは、特定の受信ポートに関して、ＭＡＣアドレステーブルの登録エントリ数が予め指定された上限値に達すると、上記特定ポートからその後に受信される新たな送信元ＭＡＣアドレスをもつ受信パケットについては、ＭＡＣアドレステーブルへのエントリ登録（学習機能）を停止し、ＭＡＣアドレステーブルに該当エントリを持たない未学習のＭＡＣアドレスを持つ受信パケットは全て破棄することによって、ポート毎に、同時通信可能な接続数（ＭＡＣアドレス数）を制限している。

尚、接続端末台数を制限する従来技術として、例えば、特開２００３−１６０３１号公報（特許文献２）には、ＴＣＰ／ＩＰプロトコルを利用したクライアント・サーバシステムにおいて、サーバに同時接続されるクライアント数を制限する接続制御方式が提案されている。特許文献２では、クライアントとの通信相手となるサーバ側に、各クライアントのＩＰアドレスと接続優先度との関係を示す優先度テーブルを設けておき、接続クライアント数が上限値に達した状態で、新たなクライアントから接続要求が発生した時、要求元クライアントの接続優先度を上記優先度テーブルが示す既に接続中のクライアントの中で最低の優先度と比較し、要求元クライアントの接続優先度の方が高ければ、最低優先度をもつクライアントのセッションを切断した上で、新たな接続要求を受付け、そうでない場合は接続要求を拒否するようにしている。

特開２０００−１１２８５２号公報特開２００３−１６０３１号公報

然るに、Ｌ２スイッチによるＭＡＣアドレスに基づく接続数制限では、同一ユーザ端末から複数のＰＰＰセッションを接続した場合でも、１つの接続と見做されるため、ＰＰＰセッション数を制限できない。また、ユーザが場所を移動して、端末を別のＬ２スイッチ経由でインターネットに接続するような利用形態を制限することができない。特に、特許文献１のように、エージングタイムによって登録エントリを削除する方式では、ＭＡＣアドレステーブルに空きエントリがない時、緊急を要するユーザ端末が、直ちにインターネットをアクセスできないという問題もある。

一方、特許文献２のように、全てのＩＰアドレスに接続優先度を与えておき、接続数が上限値の達した状態で新たな接続要求が発生した時、通信中の低優先度のセッションを切断する方式では、優先度判定に時間を要し、且つ、低優先度セッションに強制的な切断が多発するため、ユーザに安定した通信サービスを提供できないという問題がある。

本発明の目的は、同時接続可能なセッション数を制限し、且つ、強制的なセッションの切断頻度を低減できるユーザ端末接続制御方法および装置を提供することにある。

上記目的を達成するため、本発明では、複数のユーザ識別子からなるグループ毎に、最大接続数と優先的にインターネット接続を許容するユーザ端末識別子とを示すユーザ管理テーブルを使用し、ユーザ認証のための通信手順の実行過程で、ユーザが所属するグループの現在の接続数が最大接続数に達しているか否かを判定し、既に最大接続数に達していた場合は、ユーザ端末が優先接続すべきユーザ端末か否かによって、インターネットへの接続可否を決定するようにしたことを特徴とする。

ユーザ認証に成功したユーザであっても、ユーザ端末が、優先接続すべきユーザ端末として登録されていなければ、インターネットへのアクセスは拒否される。ユーザ端末が、グループ内で優先接続すべきユーザ端末として登録されていた場合は、同一グループで既にアクセス許可済みのユーザ端末のうちの１つについてセッション切断処理を実行した後、インターネットへのアクセスが許可される。上記ユーザ管理テーブルは、アクセスサーバとして動作するパケット転送装置、またはＩＳＰ網に接続された認証サーバの何れに設けてもよい。

ユーザ管理テーブルを認証サーバに設けた場合、認証サーバからアクセスサーバに送信される応答メッセージには、パスワードに基づく通常のユーザ認証結果以外に、ユーザ所属グループにおける現在の接続数と最大接続数との比較結果と、ユーザ端末が優先接続すべきユーザ端末か否かの判定結果が反映される。また、認証サーバが、ユーザ端末のインターネットアクセスを許可した場合、上記応答メッセージによって、ユーザ端末が使用すべきＩＰアドレスが指定される。

ユーザ管理テーブルをアクセスサーバ（パケット転送装置）に設けた場合、パケット転送装置は、認証サーバから認証成功を示す応答メッセージを受信した時点で、ユーザ所属グループにおける現在の接続数と最大接続数との比較と、ユーザ端末が優先接続すべきユーザ端末か否かの判定を行って、ユーザ端末への応答内容を決定する。

本発明によれば、アクセスサーバまたは認証サーバにおいて、複数のユーザ識別子からなるグループ別にインターネットへの接続数を制限するようにしているため、ユーザが移動先で別のＬ２スイッチ経由でインターネットをアクセスする場合でも、平常時と一貫した接続数制限を実現することが可能となる。また、グループ毎に、優先的にインターネット接続を許容するユーザ端末識別子を予め登録することによって、グループ内での現在の接続数が最大接続数に達していた場合でも、登録ユーザ端末には、即座にインターネット接続を許可できる。この場合、接続中の何れかのセッションが切断されるが、セッションの切断は、優先権をもつユーザ端末と同一グループに所属する端末で発生するため、他のグループに所属するユーザ端末への影響は回避できる。

以下、図面を参照して、本発明の実施例について説明する。

図１は、本発明が適用される通信ネットワークシステムの構成例を示す。
ここに示した通信ネットワークシステムは、パケット転送装置（以下、ブロードバンドアクセスサーバ：ＢＡＳと言う）１０と複数のＬ２スイッチ６０（６０−１、６０−２）とを含むアクセスネットワークＮＷ１と、ＩＳＰが管理するＩＳＰネットワークＮＷ２と、インターネットＮＷ３とから構成される。

各Ｌ２スイッチは、それぞれ少なくとも１台のユーザ端末Ｈ（Ｈ１−１〜Ｈ１−Ｌ、Ｈ２−１、…、Ｈ３−１〜Ｈ３−Ｍ、Ｈ４−１〜Ｈ４−Ｎ）が接続された複数のＬＡＮ（ＬＡＮ−１〜ＬＡＮ−４）を収容している。これらのユーザ端末Ｈは、Ｌ２スイッチ６０を介して、ＰＰＰｏＥ（PPP over Ethernet）によってブロードバンドアクセスサーバ（ＢＡＳ）１０に接続され、ＢＡＳ１０とＩＳＰネットワーク２を介して、インターネットＮＷ３上の何れかのサーバ９０（９０−１〜９０−ｍ）をアクセスする。

ＩＳＰネットワークＮＷ２には、予め登録されたユーザについて、ユーザＩＤ、パスワード、住所、氏名、口座番号などのユーザ情報を管理する加入者認証サーバ（以下、単に認証サーバと言う）４０が接続されている。本実施例では、ユーザ端末ＨをＬＡＮ毎にグループ化し、各グループに所属する複数のユーザ端末が、共通のパスワードを使用してユーザ認証を受けるものとする。

ユーザ端末Ｈが、Ｌ２スイッチ６０を介して、ＢＡＳ１０との間にＰＰＰセッションを確立すると、ＢＡＳ１０は、ユーザ端末に認証データの送信を要求する。ＢＡＳ１０は、ユーザ端末からユーザＩＤとパスワードとを含む認証データを受信すると、認証サーバ４０に対して、ユーザＩＤとパスワードとを含む認証要求メッセージを送信する。

認証サーバ４０は、ＢＡＳ１０から認証要求を受信すると、受信したユーザＩＤに該当するユーザ情報を参照し、ユーザが提示したパスワードの正当性をチェックし（ユーザ認証）、認証結果をＢＡＳ１０に返送する。ＢＡＳ１０は、認証サーバ４０からの応答結果によって、ユーザ端末のインターネットへの接続可否を決定する。

ＢＡＳ１０と認証サーバ４０との通信には、例えば、Ｒａｄｉｕｓ（Remote Authentication Dial In User Service）プロトコルが適用される。Ｒａｄｉｕｓプロトコルで動作する認証サーバは、一般にＲａｄｉｕｓサーバと呼ばれている。以下に説明する実施例では、認証サーバ４０は、インターネットユーザ毎の課金情報の管理機能も備えている。

図２は、ブロードバンドアクセスサーバ（ＢＡＳ）１０の１実施例を示すブロック構成図である。
ＢＡＳ１０は、Ｌ２スイッチ６０またはＩＳＰネットワークＮＷ２と通信するための入出力回線ＬＩ−ｉ、ＬＯ−ｉ（ｉ＝１〜ｎ、ｎは自然数）に接続された複数の回線インタフェース１１（１１−１〜１１−ｎ）と、これらの入出力インタフェースに接続されたプロトコル処理部１２および制御部１５からなる。

プロトコル処理部１２は、各回線インタフェース１１−ｉが入力回線ＬＩ−ｉから受信したパケット（またはフレーム）を受け取り、受信パケットのヘッダに含まれる宛先アドレスに基づいてルーティングテーブル１３を参照し、宛先アドレス該当する回線インタフェースまたは制御部１５に受信パケットを転送する。また、プロトコル処理部１２は、インターネットをアクセスするＰＰＰコネクション毎に、課金に必要な統計情報を収集し、統計テーブル１４に蓄積する。統計テーブル１４に蓄積された課金情報は、定期的およびＰＰＰコネクションの切断時に認証サーバ４０に通知される。

制御部１５は、プロセッサ２０と、該プロセッサ２０が利用する各種のプログラムを記憶するためのメモリ２１と、データおよび各種のテーブルを記憶するためのメモリ２２と、制御端末１００と接続するための端末インタフェース２３とから構成されている。
メモリ２１には、プロセッサ２０が実行する本発明に関係するプログラムとして、接続制御ルーチン３０と、ＰＰＰＬＣＰ／ＮＣＰ通信制御ルーチン３１と、認証サーバ４０と通信するためＲａｄｉｕｓ通信制御ルーチン３２とが格納されている。接続制御ルーチン３０は、図６で後述するユーザ端末および認証サーバとの通信シーケンスの全体的な制御、プロトコル処理部１２への統計情報収集の開始／停止の指示、認証サーバへの統計情報の定期的な通知、その他の制御動作を行う。尚、メモリ２２に破線のブロックで示したユーザ管理テーブル３３と、メモリ２１に破線のブロックで示した接続数管理ルーチン３４は、後述する本発明の第２実施例にのみに関係するため、ここでの説明は省略する。

図３は、制御部１５によって更新され、プロトコル処理部１２が参照するルーティングテーブル１３の１実施例を示す。
ルーティングテーブル１３は、宛先ＩＰアドレス１４１と出力ポート番号１４２との関係を示す複数のエントリが登録されている。認証に成功したユーザ端末に対して認証サーバ４０が割り当てたＩＰアドレスを宛先ＩＰアドレス１４１とするエントリには、更に、出力リンク情報１４３と宛先ＭＡＣアドレス１４４とが含まれる。これらのエントリは、ＢＡＳ１０が、認証に成功したユーザ端末にＩＰアドレスを配布する時点で、ルーティングテーブル１３に登録され、ＰＰＰセッションの解放時点で、ルーティングテーブル１３から削除される。

図４は、認証サーバ４０の１実施例を示すブロック構成図である。
認証サーバ４０は、プロセッサ４１と、ＩＳＰネットワークＮＷ２に接続するための回線インタフェース４２と、プロセッサ４１が利用する各種のプログラムを格納するためのメモリ４３と、プロセッサ４１が利用する各種のテーブルおよびデータを記憶するためのメモリ４４と、認証サーバ４０と管理者とのインタフェースとなる入力装置４５および表示装置４６とから構成されている。

メモリ４３には、プロセッサ４１が実行する本発明に関係するプログラムとして、Ｒａｄｉｕｓプロトコルに従ってＢＡＳ１０と通信するためのＲａｄｉｕｓ通信制御ルーチン５０と、ユーザを認証するための認証処理ルーチン５２と、アドレスプールからユーザ端末に割り当てるべきＩＰアドレスを検索すると共に、解放されたＩＰアドレスを空きアドレスとしてアドレスプールに戻すためのＩＰアドレス管理ルーチン５２と、課金処理ルーチン５３と、接続数管理ルーチン５４とを備える。また、メモリ４４には、ＩＰアドレスプール５５と、ユーザ管理テーブル５６と、課金情報ファイル５７とが形成されている。

図５は、認証サーバ４０が備えるユーザ管理テーブル５６の１実施例を示す。
ユーザ管理テーブル５６は、グループ番号５６１をもつ複数のサブテーブル５６０（５６０−１、５６０−２、…）からなる。各サブテーブル５６０は、ユーザ情報として、ユーザＩＤ５６２と、パスワード５６３と、ＩＰアドレス５６４と、その他の個人情報（図示せず）を含み、この他に、優先ＭＡＣアドレス５６５と、最大接続数５６７と、現在の接続数５６８を含む。

ここで、ユーザＩＤ５６２は、各グループに所属するメンバーのユーザ識別子を示し、パスワード５６３は、ユーザ認証に際してグループ内の複数のユーザが共通に使用するパスワードを示している。ＩＰアドレス５６４は、認証サーバ４０が各ユーザに割当てたＩＰアドレスを示し、ＰＰＰセッションを接続中のユーザエントリに登録される。優先ＭＡＣアドレス５６５は、インターネットＮＷ３に優先的に接続すべきユーザ端末のＭＡＣアドレス、最大接続数５６７は、グループ毎に予め契約されたインターネットＮＷ３に同時接続可能なセッション数の値を示し、現在の接続数５６８は、各グループでインターネットＮＷ３に接続中のセッション数を示している。

優先ＭＡＣアドレス５６５として登録可能なアドレス数の上限値は、最大接続数５６７となるが、実際の応用においては、少数に限定される。その他の個人情報としては、例えば、ＰＰＰセッション接続中のユーザ端末とサーバ９０との最後の交信時刻情報、サーバ９０との送受信パケットの総数などの情報が含まれる。これらの情報は、認証サーバ４０がＢＡＳ１０から定期的に受信する統計情報から判明する。

次に、図１に示したユーザ端末Ｈ、例えば、ユーザＩＤ「user1-2＠isp1」、ＭＡＣアドレス「00:11:22:33:44: 55」をもつユーザ端末Ｈ１−２が、ＰＰＰ（Point to Point Protocol）を使用して、ＢＡＳ１０にインターネットへの接続を要求した場合の通信シーケンスについて、図６を参照して説明する。

ユーザ端末Ｈ１−２は、ＰＰＰの通常の接続シーケンスに従って、ＢＡＳ１０との間にＰＰＰＬＣＰセッションを確立する（ＳＱ１）。ＰＰＰＬＣＰセッションは、ユーザ端末Ｈ１−２からＢＡＳ１０に、PPP LCP Configure-Requestを送信し、これに応答して、ＢＡＳ１０からユーザ端末Ｈ１−２に、PPP LCP Configure-Responseを返送することによって確立される。

ＰＰＰＬＣＰセッションを確立したＢＡＳ１０は、ユーザ端末Ｈ１−２がインターネットへの接続資格をもっているか否かを判断するために、ユーザ端末Ｈ１に、認証データとなるユーザＩＤとパスワードの送信を要求する（ＳＱ２）。上記要求に応答して、ユーザ端末Ｈ１−２が、ユーザＩＤとパスワードを含む認証応答メッセージを送信すると（ＳＱ３）、ＢＡＳ１０は、ＩＳＰが管理する認証サーバ４０に対して、ユーザ端末Ｈ１−２から受信したユーザＩＤ（「user1-2＠isp1」）とパスワードＰＷ(user1)を含むアクセス要求メッセージ（Access-Request）を送信する（ＳＱ４）。本実施例では、上記アクセス要求メッセージに、ユーザ端末Ｈ１−２のＭＡＣアドレス「00:11:22:33:44:55」が付加的な情報として含まれている。

認証サーバ４０は、アクセス要求メッセージ（Access-Request）を受信すると、ユーザ管理テーブル５６から、受信メッセージが示すユーザＩＤ（「user1-2＠isp1」）と対応するテーブルエントリを検索し、受信メッセージが示すパスワードと予め該テーブルエントリ登録されたパスワード５６３とを照合する（ユーザ認証ＪＢ１）。本実施例の特徴は、ユーザ端末Ｈ１−２の正当性が確認された場合、認証サーバ４０が、上記ユーザＩＤが所属するグループの最大接続数と現在の接続数とを比較し、接続数に余裕があるか否かを判定する接続数確認処理（ＪＢ２）を実行するようにしたことにある。

接続数確認処理（ＪＢ２）では、プロセッサ４１は、図７に示すように、アクセス要求メッセージ（Access-Request）が示すユーザＩＤをキーとしてユーザ管理テーブル５６を検索し、ユーザＩＤが所属するサブテーブル（この例では、サブテーブル５６０−１）を特定する（ステップ５４１）。プロセッサ４１は、上記サブテーブルが示す現在の接続数５６８の値と最大接続数５６７の値「Ｍａｘ(1)」とを比較する（ステップ５４２）。

現在の接続数の値が最大接続数Ｍａｘ(1)よりも少なければ、プロセッサ４１は、現在の接続数５６８に１を加算（インクリメント）し（ステップ５４３）、ＩＰアドレスプール５５からユーザ端末Ｈ１−２に割り当てるべき空きＩＰアドレスを検索し（ステップ５４４）、該ＩＰアドレスを含むアクセス要求応答メッセージ（Access-Response）をＢＡＳ１０に送信する（ステップ５４５、図６のＳＱ５）。

もし、現在の接続数が最大接続数に達していた場合、プロセッサ４１は、アクセス要求メッセージ（Access-Request）が示すユーザ端末のＭＡＣアドレスが、上記サブテーブルに登録された優先ＭＡＣアドレス５６５に一致するか否かをチェックする（ステップ５４６）。ユーザ端末のＭＡＣアドレスが優先ＭＡＣアドレスとして登録されていなければ、プロセッサ４１は、認証失敗を示す応答メッセージ（Access-Reject）を生成し、これをＢＡＳ１０に送信する（ステップ５４９、図６のＳＱ５）。

ユーザ端末のＭＡＣアドレスが優先ＭＡＣアドレスとして登録されていた場合、プロセッサ４１は、同一グループに所属するＰＰＰセッション接続中のユーザＩＤの中から、セッションを強制的に切断すべきユーザＩＤを選択し（ステップ５４７）、ＢＡＳ１０に対して、上記選択されたユーザＩＤのセッション（選択セッション）の切断を要求（ステップ５４８）した後、ステップ５４４、５４５を実行する。切断対象となるＰＰＰセッションは、例えば、その時点でサーバ９０との交信中断時間が最も長いセッション、送受信パケットの総数の最も少ないセッション等、その選択方法は特に限定されない。

認証サーバ４０が、ユーザ認証成功時にＢＡＳ１０に送信する応答メッセージ（Access-Accept）は、例えば、図８に示すように、ＩＰヘッダ１０１とＵＤＰヘッダ１０２とを付加したＩＰパケット形式で送信される。上記応答メッセージは、メッセージ種類「Access-Accept」を示すRadius Code１０３に続くRadius アトリビュートとして、Framed-IP-Addressアトリビュート１０４と、Vendor-Specificアトリビュート１０５と、その他のアトリビュート１０６とを含む。Framed-IP-Addressアトリビュート１０４によって、認証サーバ４０がユーザ端末Ｈ１−２に割り当てたＩＰアドレスの値（この例では、「192.168.1.2」）が指定される。

図６に戻って、ＢＡＳ１０は、認証サーバ４０から応答メッセージ（Access-Accept）を受信すると、ユーザ端末Ｈ１−２に、認証完了を示す通知メッセージを送信する（ＳＱ６）。ＢＡＳ１０が、認証サーバ４０から認証失敗を示す応答メッセージ（Access-Reject）を受信した場合、ユーザ端末Ｈ１−２には、認証失敗を示す通知メッセージが送信され、ＰＰＰセッションが切断される。

ユーザ端末Ｈ１−２は、ＢＡＳ１０からアクセス要求許可を示す認証完了通知メッセージを受信すると、ＩＰＣＰ（Internet Protocol Control Protocol）に従って、ＢＡＳ１０にＩＰアドレスの割り当て要求（IPCP Configure-Request）を送信する（ＳＱ７）。ＢＡＳ１０は、上記ＩＰアドレスの割り当て要求に応答して、既に認証サーバ４０から受信済みとなっているＩＰアドレスを含むＩＰアドレス配布メッセージ（IPCP Configure-Acknowledgment）を生成し、これをユーザ端末Ｈ１−２に返送する（ＳＱ８）。

ＢＡＳ１０は、この後、認証サーバ４０に課金開始要求メッセージ（Accounting-Request (start)）を送信し（ＳＱ９）、認証サーバ４０から課金開始応答メッセージ（Accounting-Response (Start)）を受信すると（ＳＱ1０）、ルーティングテーブル１３に宛先ＩＰアドレス「192.168.1.2」用のテーブルエントリを追加し（ＪＢ１１）、送信元ＩＰアドレスが「192.168.1.2」のパケットについて、プロトコル処理部１２による課金用統計データの収集動作を開始する。これによって、ユーザ端末ＨによるインターネットＮＷ３のアクセスパケット（IP over PPP）の転送動作が開始される（ＳＱ１１）。

図９は、ＰＰＰセッションの切断シーケンスを示す。
ユーザがインターネット接続の切断操作を行うと、ユーザ端末Ｈ１−２は、ＢＡＳ１０に対してＰＰＰＬＣＰセッションの切断要求メッセージ（PPP LCP Terminate-Request）を送信する（ＳＱ２１）。ＢＡＳ１０は、上記切断要求メッセージを受信すると、ユーザ端末Ｈ１−２に応答メッセージ（PPP LCP Terminate-Response）を返信し（ＳＱ２２）、認証サーバ４０に対して、ユーザＩＤ（「user1-2＠isp1」）に関する課金処理の停止要求メッセージ（Accounting-Request(stop)）を送信する（ＳＱ２３）。上記課金停止要求メッセージには、プロトコル処理部１２で収集したユーザ端末Ｈ１−２の統計データが含まれている。

上記課金停止要求メッセージを受信した認証サーバ４０は、ユーザ管理テーブル５６を参照し、指定ユーザＩＤ（「user1-2＠isp1」）が所属するサブテーブル５６０−１における現在の接続数５６８の値を１だけ減算し（ＪＢ３）、無用となったＩＰアドレスをアドレスプール４４に解放する（ＪＢ４）。この後、認証サーバ４０は、ＢＡＳ１０に、課金停止応答メッセージ（Accounting-Response(stop)）を送信する（ＳＱ２４）。ＢＡＳ１０は、認証サーバ４０からの課金停止応答メッセージを受信すると、ルーティングテーブルから該当するＰＰＰセッション情報を削除する（ＪＢ１２）。

実施例１では、グループ別の接続数制限を認証サーバで行ったが、グループ別の接続数制限は、ブロードバンドアクセスサーバサーバ（ＢＡＳ）１０側で行うこともできる。実施例２は、図２に破線で示したように、ＢＡＳ１０のメモリ２２にユーザ管理テーブル３３を設け、プロセッサ２０が、メモリ２１に用意された接続数管理ルーチン３４を実行するようにしたことを特徴としている。

ＢＡＳ１０が備えるユーザ管理テーブル３３は、図５に示したユーザ管理テーブル５６から、パスワード５６３とＩＰアドレス５６４を除外した内容となっている。また、実施例２の場合、認証サーバ４０が備えるユーザ管理テーブル５６では、ＩＰアドレス５６４、優先ＭＡＣアドレス５６５、最大接続数５６７、現在の接続数５６８は不要となる。

図１０は、実施例２の接続シーケンスを示す。
ユーザ端末Ｈ１−２とＢＡＳ１０、ＢＡＳ１０と認証サーバ４０の間で実行される通信手順ＳＱ１〜ＳＱ１０は、図６に示した実施例１と同一のため、説明は省略する。

認証サーバ４０は、ＢＡＳ１０から、例えば、ユーザＩＤ（「user1-2＠isp1」）とパスワードＰＷ(user1)を含むアクセス要求メッセージ（Access-Request）を受信すると、ユーザ管理テーブル５６から、受信メッセージが示すユーザＩＤ（「user1-2＠isp1」）と対応するテーブルエントリを検索し、受信メッセージが示すパスワードと予め該テーブルエントリ登録されたパスワード５６３とを照合する（ユーザ認証ＪＢ１）。パスワードが一致すると、認証サーバ４０は、ＩＰアドレスプール５５からユーザ端末Ｈ１−２に割り当てるべき空きＩＰアドレスを検索し、該ＩＰアドレスを含むアクセス要求応答メッセージ（Access-Response）をＢＡＳ１０に送信する（ＳＱ５）。

実施例２では、認証サーバ４０からアクセス要求応答メッセージ（Access-Response）を受信したＢＡＳ１０が、ユーザ情報管理テーブル３３を参照して、接続数確認処理（ＪＢ１０）を実行する。ＢＡＳ１０は、ユーザＩＤの所属グループで現在の接続数が最大接続数に達していない場合、またはユーザ端末が優先端末として登録されていた場合は、要求元のユーザ端末Ｈ１−２に対して、認証完了メッセージを送信し、そうでなければ、認証失敗メッセージを送信する（ＳＱ６）。

図１１は、ＢＡＳ１０のプロセッサ２０が実行する接続数確認処理（ＪＢ１０）のフローチャートを示す。
プロセッサ２０は、実施例１と同様、アクセス要求元のユーザＩＤをキーとしてユーザ管理テーブル３３を検索し、ユーザＩＤが所属するサブテーブル（この例では、サブテーブル５６０−１）を特定する（ステップ３４１）。プロセッサ２０は、上記サブテーブルが示す現在の接続数５６８の値と最大接続数５６７の値「Ｍａｘ(1)」とを比較する（ステップ３４２）。

現在の接続数の値が最大接続数Ｍａｘ(1)よりも少なければ、プロセッサ２０は、現在の接続数５６８に１を加算（インクリメント）し（ステップ３４３）、認証完了メッセージをユーザ端末Ｈ１−２に送信する（ステップ３４５、図１１のＳＱ６）。
もし、現在の接続数が最大接続数に達していた場合、プロセッサ２０は、ユーザ端末のＭＡＣアドレスが、上記サブテーブルに登録された優先ＭＡＣアドレス５６５に一致するか否かをチェックする（ステップ３４６）。ユーザ端末のＭＡＣアドレスが優先ＭＡＣアドレスとして登録されていなければ、プロセッサ２０は、認証失敗を示す応答メッセージ（Access-Reject）を生成し、これをユーザ端末Ｈ１−２に送信する（ステップ３４９、図１１のＳＱ６）。

ユーザ端末のＭＡＣアドレスが優先ＭＡＣアドレスとして登録されていた場合、プロセッサ２０は、同一グループに所属するＰＰＰセッション接続中のユーザＩＤの中から、セッションを強制的に切断すべきユーザＩＤを選択し（ステップ３４７）、選択されたユーザＩＤのセッション（選択セッション）を切断（ステップ３４８）した後、ステップ３４５を実行する。切断対象となるＰＰＰセッションは、実施例１と同様、例えば、その時点でサーバ９０との交信中断時間が最も長いセッション、送受信パケットの総数の最も少ないセッション等、その選択方法は特に限定されない。

図１２は、実施例２におけるＰＰＰセッションの切断処理を示す。
ユーザ端末Ｈ１−２とＢＡＳ１０、ＢＡＳ１０と認証サーバ４０の間で実行される通信手順ＳＱ２１〜ＳＱ２４は、図９に示した実施例１と同一のため、説明は省略する。

認証サーバ４０は、ＢＡＳ１０から課金処理の停止要求メッセージ（Accounting-Request(stop)）を受信すると（ＳＱ２３）、ユーザ管理テーブル５６に指定ユーザＩＤと対応して登録されているＩＰアドレスをアドレスプール４４に解放（ＪＢ４）した後、ＢＡＳ１０に、課金停止応答メッセージ（Accounting-Response(stop)）を送信する（ＳＱ２４）。

ＢＡＳ１０は、認証サーバ４０からの課金停止応答メッセージを受信すると、ルーティングテーブルから該当するＰＰＰセッション情報を削除する（ＪＢ１２）。また、ユーザ管理テーブル３３を参照して、上記指定ユーザＩＤが所属するサブテーブルにおける現在の接続数５６８の値を１だけ減算する（ＪＢ１３）。

本発明が適用される通信ネットワークシステムの構成例を示す図。本発明のパケット転送装置（図１のＢＡＳ１０）の構成例を示す図。本発明のパケット転送装置が備えるルーティングテーブルの１例を示す図。認証サーバ４０の１実施例を示す構成図。認証サーバが備えるユーザ管理テーブルの１例を示す図。ユーザ端末からＢＡＳにインターネットへの接続を要求した場合の通信シーケンスの第１実施例を示す図。認証サーバが実行する接続数確認処理５４の１実施例を示すフローチャート。認証サーバからＢＡＳに送信されるAccess-Acceptメッセージのフォーマット図。ユーザ端末からＢＡＳに切断を要求した場合の通信シーケンスの第１実施例を示す図。ユーザ端末からＢＡＳにインターネットへの接続を要求した場合の通信シーケンスの第２実施例を示す図。ＢＡＳが実行する接続数確認処理３４の１実施例を示すフローチャート。ユーザ端末からＢＡＳに切断を要求した場合の通信シーケンスの第２実施例を示す図。

符号の説明

Ｈ１−１〜Ｈ４−Ｎ：ユーザ端末、１０：パケット転送装置（ＢＡＳ）、
ＮＷ１：アクセス網、ＮＷ２：ＩＳＰ網、ＮＷ３：インターネット、４０：認証サーバ、６０：Ｌ２スィッチ、９０：Ｗｅｂサーバ、
１１、４２：回線インタフェース、１２：プロトコル処理部、
１３：ルーティングテーブル、１４：統計テーブル、１５：制御部、
２０、４１：プロセッサ、３０：接続制御ルーチン、
３１：ＰＰＰＬＣＰ／ＮＣＰ通信制御ルーチン、
３２、５０：Ｒａｄｉｕｓ通信制御ルーチン、３３、５６：ユーザ管理テーブル、
３４、５４：接続数管理ルーチン、５１：認証処理ルーチン、
５２：ＩＰアドレス管理ルーチン、５３：課金処理ルーチン。

Claims

複数グループのユーザ端末を収容し、各ユーザ端末との間にＰＰＰ（Point to Point Protocol）に従ってセッションを確立し、複数のユーザ端末をＩＰ網に接続するパケット転送装置と、上記パケット転送装置が発行する認証要求に応じて、ユーザ端末の認証を行う認証サーバとを有するネットワークにおけるユーザ端末接続制御方法であって、
上記認証サーバが、ユーザグループ毎に用意された複数のサブテーブルからなり、各サブテーブルが、ユーザグループ所属メンバーのユーザ識別子と、ＩＰ網に同時接続可能な最大接続数と、現在の接続数と、ＩＰ網に優先接続すべきユーザ端末を示す優先端末識別情報とを記憶したユーザ管理テーブルを備えており、
上記パケット転送装置が、各ユーザ端末とＩＰ網との接続に先立って、接続要求元のユーザ端末から通知されたユーザ識別子とパスワードとユーザ端末識別情報とを含む認証要求メッセージを上記認証サーバに送信し、
上記認証サーバが、上記認証要求メッセージが示すユーザ識別子とパスワードとに基づいてユーザ認証を行い、ユーザ認証に成功した時、上記ユーザ管理テーブルを参照して、上記ユーザ識別子が所属するユーザグループの現在の接続数が最大接続数よりも少ないことを確認し、上記接続要求元のユーザ端末への割り当てＩＰアドレスを指定したアクセス許可メッセージを上記パケット転送装置に送信し、
上記パケット転送装置が、上記接続要求元のユーザ端末からのＩＰアドレス要求に応答して、上記アクセス許可メッセージで指定されたＩＰアドレスを上記ユーザ端末に通知することを特徴とするユーザ端末接続制御方法。
前記認証サーバが、前記ユーザグループの現在の接続数が最大接続数に達していた時、前記ユーザ管理テーブル内の上記ユーザグループと対応するサブテーブルにおいて、前記認証要求メッセージが示すユーザ端末識別情報が優先端末識別情報として登録されているか否かをチェックし、上記ユーザ端末識別情報が優先端末識別情報となっていた場合、前記パケット転送装置に、上記ユーザグループで既にアクセス許可済みのユーザ端末のうちの１つについてセッションの切断を要求した後、前記アクセス許可メッセージを送信し、上記ユーザ端末識別情報が優先端末識別情報として登録されていなければ、前記パケット転送装置にアクセス拒否メッセージを送信することを特徴とする請求項１に記載のユーザ端末接続制御方法。
複数グループのユーザ端末を収容し、各ユーザ端末との間にＰＰＰ（Point to Point Protocol）に従ってセッションを確立し、複数のユーザ端末をＩＰ網に接続するパケット転送装置と、上記パケット転送装置が発行する認証要求に応じて、ユーザ端末の認証を行う認証サーバとを有するネットワークにおけるユーザ端末接続制御方法であって、
上記パケット転送装置が、ユーザグループ毎に用意された複数のサブテーブルからなり、各サブテーブルが、ユーザグループ所属メンバーのユーザ識別子と、ＩＰ網に同時接続可能な最大接続数と、現在の接続数と、ＩＰ網に優先接続すべきユーザ端末を示す優先端末識別情報とを記憶したユーザ管理テーブルを備えており、
上記パケット転送装置が、各ユーザ端末とＩＰ網との接続に先立って、接続要求元のユーザ端末から通知されたユーザ識別子とパスワードとを含む認証要求メッセージを上記認証サーバに送信し、
上記認証サーバが、上記認証要求メッセージが示すユーザ識別子とパスワードとに基づいてユーザ認証を行い、認証に成功した場合は、上記接続要求元のユーザ端末への割り当てＩＰアドレスを指定したアクセス許可メッセージを上記パケット転送装置に送信し、
上記アクセス許可メッセージを受信したパケット転送装置が、上記ユーザ管理テーブルを参照して、上記認証されたユーザ識別子が所属するユーザグループの現在の接続数が最大接続数よりも少ないことを確認して、上記接続要求元のユーザ端末に認証完了メッセージを送信し、該ユーザ端末からのＩＰアドレス要求に応答して、上記アクセス許可メッセージで指定されたＩＰアドレスを上記ユーザ端末に通知することを特徴とするユーザ端末接続制御方法。
前記パケット転送装置が、前記認証されたユーザ識別子が所属するユーザグループの現在の接続数が最大接続数に達していた時、前記ユーザ管理テーブル内の上記ユーザグループと対応するサブテーブルにおいて、上記ユーザ識別子と対応するユーザ端末識別情報が優先端末識別情報として登録されているか否かをチェックし、上記ユーザ端末識別情報が優先端末識別情報となっていた場合、上記ユーザグループで既にアクセス許可済みのユーザ端末のうちの１つについてセッションを切断した後、前記ユーザ端末に認証完了メッセージを送信し、上記ユーザ端末識別情報が優先端末識別情報として登録されていなければ、前記ユーザ端末にアクセス拒否メッセージを送信することを特徴とする請求項３に記載のユーザ端末接続制御方法。
ＩＰ網への接続を要求するユーザ端末について認証処理を行う認証サーバであって、
ネットワークを介して、パケット転送装置から、ユーザ識別子とパスワードとユーザ端末識別情報とを含む認証要求メッセージを受信し、認証結果に応じて生成されたアクセス許可メッセージまたはアクセス拒否メッセージを上記パケット転送装置に送信するための回線インタフェースと、
ユーザグループ毎に用意された複数のサブテーブルからなり、各サブテーブルが、ユーザグループ所属メンバーのユーザ識別子と、ＩＰ網に同時接続可能な最大接続数と、現在の接続数と、ＩＰ網に優先接続すべきユーザ端末を示す優先端末識別情報とを記憶したユーザ管理テーブルと、
上記認証要求メッセージが示すユーザ識別子とパスワードとに基づいてユーザ認証を行うプロセッサとを有し、
上記プロセッサが、ユーザ認証に成功した時、上記ユーザ管理テーブルを参照して、上記ユーザ識別子が所属するユーザグループの現在の接続数と最大接続数とを比較し、現在の接続数が最大接続数に達していなければ、上記パケット転送装置にアクセス許可メッセージを送信し、現在の接続数が最大接続数に達していた場合は、上記ユーザ管理テーブル内の上記ユーザグループと対応するサブテーブルにおいて、上記認証要求メッセージが示すユーザ端末識別情報が優先接続すべきユーザ端末識別情報として登録されているか否かをチェックし、上記ユーザ端末識別情報が優先端末識別情報でなければ、上記パケット転送装置にアクセス拒否メッセージを送信し、上記ユーザ端末識別情報が優先端末識別情報として登録されていた場合は、上記パケット転送装置に、上記ユーザグループで既にアクセス許可済みのユーザ端末のうちの１つについてセッションの切断を要求した後、アクセス許可メッセージを送信することを特徴とする認証サーバ。
複数グループのユーザ端末を収容し、各ユーザ端末との間にＰＰＰ（Point to Point Protocol）に従ってセッションを確立し、複数のユーザ端末をＩＰ網に接続するためのパケット転送装置であって、
それぞれ通信回線に接続された複数の回線インタフェース部と、制御部と、上記回線インタフェースおよび制御部の間で受信パケットをルーティングするためのプロトコル処理部とからなり、上記制御部が、
ユーザグループ毎に用意された複数のサブテーブルからなり、各サブテーブルが、ユーザグループ所属メンバーのユーザ識別子と、ＩＰ網に同時接続可能な最大接続数と、現在の接続数と、ＩＰ網に優先接続すべきユーザ端末を示す優先端末識別情報とを記憶したユーザ管理テーブルと、
各ユーザ端末とＩＰ網との接続に先立って、接続要求元のユーザ端末から通知されたユーザ識別子とパスワードとを含む認証要求メッセージを認証サーバに送信し、認証サーバからアクセス許可を示す応答メッセージを受信した時、上記ユーザ管理テーブルを参照して、認証されたユーザ識別子が所属するユーザグループの現在の接続数と最大接続数とを比較し、現在の接続数が最大接続数よりも少ない場合は、上記接続要求元のユーザ端末に認証完了メッセージを送信し、現在の接続数が最大接続数に達していた場合は、上記ユーザ管理テーブル内の上記ユーザグループと対応するサブテーブルにおいて、上記ユーザ識別子と対応するユーザ端末識別情報が優先端末識別情報として登録されているか否かをチェックし、上記ユーザ端末識別情報が優先端末識別情報となっていた場合は、上記ユーザグループで既にアクセス許可済みのユーザ端末のうちの１つについてセッションを切断した後、前記ユーザ端末に認証完了メッセージを送信し、上記ユーザ端末識別情報が優先端末識別情報として登録されていなければ、前記ユーザ端末にアクセス拒否メッセージを送信するＩＰ網接続制御手段と、
ユーザ端末からのＩＰアドレス要求に応答して、上記アクセス許可メッセージで指定されたＩＰアドレスを上記ユーザ端末に通知する手段を備えたことを特徴とするパケット転送装置。