JP5084086B2 - 動的なネットワークの認可、認証、及びアカウントを提供するシステムおよび方法 - Google Patents

Description

【０００１】
（関連出願に対するクロス・リファレンス）
この出願は１９９９年１２月８日に提出された「Systems And Methods For Redirecting Users Having Transparent Computer Access To A Network Using A Gateway Device Having Redirection Capability」と題する同時係属米国特許出願第０９／４５８，５６９号の一部係属出願である。また、本出願は１９９９年１２月８日提出の「Systems and Methods For Authorizing, Authenticating and Accounting Users Having Transparent Computer Access To A Network Using A Gateway Device」と題する米国出願第０９／４５８，６０２号と、１９９９年１０月２２日提出の「Systems and Methods for Dynamic Bandwidth Management on A Per Subscriber Basis in A Computer Network」と題する米国仮出願第６０／１６１，１８２号と、１９９９年１０月２２日提出の「Systems and Methods for Creating Subscriber Tunnels by A Gateway Device in A Computer Network」と題する米国仮出願第６０／１６０，８９０号と、１９９９年１０月２２日提出の「Information And Control Console For Use With A Network Gateway Interface」と題する米国仮出願第６０／１６１，１３９号と、１９９９年１０月２２日提出の「Systems and Methods for Transparent Computer Access and Communication with A Service Provider Network Using A Network Gateway Device」と題する米国仮出願第６０／１６１，１８９号と、１９９９年１０月２２日提出の「Systems and Methods for Enabling Network Gateway Devices to Communicate with Management Systems to Facilitate Subscriber Management」と題する米国仮出願第６０／１６０，９７３号と、１９９９年１０月２２日提出の「Gateway Device Having an XML Interface and Associated Method」と題する米国仮出願第６０／１６１，１８１号と、１９９９年１０月２２日提出の「Location-Based Identification and Authorization for use With A Gateway Device」と題する米国仮特許第６０／１６１，０９３号とによる優先権を主張する。前述の出願は、引用することによって本明細書の一部をなすものとする。
【０００２】
【発明の属する技術分野】
本発明は一般にネットワークアクセスを制御するシステム及び方法に関し、より詳細には、動的ユーザネットワークアクセスを確立するシステムおよび方法に関する。
【０００３】
【従来の技術】
コンピュータネットワークへのユーザアクセスは、伝統的に２つの段階的な確認プロセスに基づいており、いずれの段階においても、ユーザトータルネットワークアクセスを提供するか、又は、ユーザのあらゆるアクセスを拒否するかのどちらかである。当該プロセスの第１段階において、ユーザは、電話線、つまり専用ネットワーク接続（例えば、ブロードバンド、デジタル信号回線（ＤＳＬ））等を介してネットワークとの通信リンクを確立する。認可プロセスの第２段階において、ユーザはネットワークへのアクセスを得るために識別情報を入力しなければならない。一般に、入力識別情報はユーザ名およびパスワードを含む。この情報を用いて、ネットワークまたはサービスプロバイダは、当該ネットワークにアクセスする権限を与えられている全てのユーザに関する識別情報を記憶している識別情報がサブスクリプションテーブル（subscription table）（またはデータベース）に含まれるサブスクライバ情報に一致するかどうかを決定することにより当該ユーザがネットワークへアクセスする資格を与えられていることを確認する。ユーザ入力情報がサブスクリプションテーブル内のサブスクライバデータと一致する場合には、当該ユーザには当該ネットワーク上の全てのサービスにアクセスする権限が与えられる。一方、ユーザ入力識別情報がテーブル内のサブスクライバデータに一致しない場合には、当該ユーザはネットワークへのアクセスが拒否されるであろう。従って、ユーザの識別がサブスクリプションテーブル内に記憶されているデータと比較されると、当該ユーザはネットワークアクセスの資格を得るか、又は、一切のアクセスが拒否されるかどちらかである。さらに、ユーザの当該ネットワークへのアクセスが認可された場合には、当該ユーザには、一般に当該ネットワークを介してアクセス可能なあらゆる宛先にアクセスする権限を与えられる。従って、ユーザに関する従来型の認証は、ネットワークアクセスに関するオールオアナッシング（all-or-nothing）に基づく。
【０００４】
【発明が解決しようとする課題】
例えば、従来型インターネットアクセスアプリケーションの場合のように、多くの従来型ネットワークアクセスアプリケーションにおいては、サブスクライバデータベース（または、テーブル）は、当該ネットワークにアクセスする権限を与えられたサブスクライバの識別に対応するデータだけでなく、特定のサブスクライバ毎に変化可能な情報も記憶する。例えば、サブスクライバデータベースは、サブスクライバが受け取るべきであるアクセスのタイプと、例えばネットワークアクセスのためにサブスクライバが支払うべき料金のような他の関連情報を示すサブスクライバプロファイルとを含みうる。サブスクライバデータベース内の情報はユーザ毎に変えることができ、当該データベースにとって一意的な情報は一般に請求書作成またはネットワークの保守整備目的に使用される。例えば、従来型のサブスクライバデータベースは、一般に、サブスクライバがネットワークアクセスに支払っているコストと、サブスクライバが当該ネットワークにアクセスに要した時間とのデータを含む。従って、インターネットサービスプロバイダ（以下、「ＩＳＰ」とよぶ。）に対してサブスクライバがインターネットアクセスを獲得した場合には、ユーザが認証されることを可能にし、例えばユーザが当該ネットワーク上に居る時間の記録のようなアカウント目的でユーザを追跡することができる情報をソースプロファイルデータベースが含みうる。
【０００５】
加えて、従来型ネットワークアクセスシステムにおいては、ユーザがオンラインサービス（例えば、インターネット）へ接続するためには、ユーザはユーザのコンピュータ上へとクライアント側ソフトウェアをインストールしなければならない。クライアント側ソフトウェアは、一般に、ネットワークアドミニストレータ又は例えばユーザがインターネットアクセスを申し込んだＩＳＰネットワークアクセスプロバイダによって提供され、クライアント自身のコンピュータが当該ネットワークのアクセスプロバイダと通信できるようにクライアントをコンフィギュレーション可能にする。ＩＳＰを介してインターネットにアクセスするユーザの例を継続して示すこととし、ユーザはクライアントコンピュータにＩＳＰソフトウェアをインストールしなければならず、それ以降はインターネットアクセスに対してＩＳＰとのアカウントを確立しなければならない。一般に、ユーザは、インターネットアクセスのために、例えば、America Online（登録商標）、Earthlink（登録商標）、Compuserve（登録商標）のようなＩＳＰと直接に契約することによってＩＳＰのサブスクライバとなる。通常、ユーザは、月決め料金に基づいてこのようなインターネットアクセスの支払いをする。ユーザの所在地とは無関係に、ユーザは、ＩＳＰによって提供されたアクセス番号をダイヤルし、インターネットアクセスを獲得する。接続は、しばしば、従来型電話モデム、ケーブルモデム、ＤＳＬ接続等を介して達成される。
【０００６】
ＩＳＰのような従来型の方法によってネットワークにアクセスするユーザは、オールオアナッシングの方法によってネットワークへのアクセスが許容されるか否定されるかのどちらかであるため、特定のネットワークまたはサイトへのユーザのアクセスおよび認可がカスタマイズできるように、ネットワークへのアクセスを動的にユーザを認可することはできない。動的にカスタマイズされたアクセスをユーザに可能とするために必要な方法およびシステムは、例えばユーザの所在地、ユーザ名またはパスワード、ユーザコンピュータ、または他の属性などのようなユーザに関連した任意の個数の変数に基づいて変えることができるシステムおよび方法である。例えば、あるユーザにとって、全てのインターネットサイトへのアクセスが認可され、他のユーザは特定のサイトへのアクセスが否定されることは有利でありうる。ユーザがネットワークにアクセスするのを認可することに加えて、ユーザのアクセスがオールオアナッシングの方法に基づかないように認可の範囲をユーザに選択させることは、ＩＳＰまたは企業ネットワークのようなネットワークにとても有利になるであろう。
【０００７】
【課題を解決するための手段】
本発明は、ゲートウェイ装置を介してネットワークにアクセスするユーザの認証、認可、及び、アカウント（authentication, authority and accounting：以下、「ＡＡＡ」とよぶ。）を選択的に実施および施行する方法およびシステムを含む。本発明によれば、まず、ユーザが当該ユーザの識別を決定するように認証される。本発明のシステム及び方法の認証能力は、ユーザＩＤ、コンピュータ、ロケーション、又は、ネットワークアクセスをリクエストするソース（例えば、特定のユーザ、コンピュータ、または、ロケーション）を識別する１つ以上の追加の属性に基づくことができる。認証されると、ソースの識別および内容、及び／又は、リクエストされる宛先に基づいてソースが異なるアクセス権を有するように、本発明のシステム及び方法の認可能力が当該ソースの識別に基づいてカスタマイズされる。例えば、アクセス権は、第１ソースが特定のインターネット宛先アドレスにアクセスすることを許可し、その間に第２ソースが前述の同位置アドレスにアクセスすることを拒否する。さらに、本発明のシステム及び方法の認可能力は、例えば宛先ポート、インターネットアドレス、ＴＣＰポート、ネットワーク、又は、同様の宛先アドレスなどのようなデータ伝送に含まれるその他の情報に基づくことがあり得る。さらに、本発明のＡＡＡは、内容のタイプ又は伝送中のプロトコルに基づくことがあり得る。この様式でユーザを認証することにより、各パケットは選択的なＡＡＡプロセスを経て伝送されることができるため、ユーザが識別でき、特定の宛先へのアクセスを認可することができる。従って、ユーザが異なる宛先へのアクセスしようとする度に、当該ユーザがＡＡＡに関して検査され、結果的に、当該ユーザの認可に基づいて当該ユーザによってアクセスできないＡＡＡシステム及び方法とみなされた特定のサイトに当該ユーザがアクセスすることが防止され、もう一方では、ＡＡＡ方法およびシステムによってアクセス可能とみなされた他のサイトへのアクセスを許可することとなる。加えて、本発明の一実施形態によれば、ネットワークへのソースアクセスは、アカウントおよび履歴を目的として、追跡されログ（tracked and logged）されうる。
【０００８】
本発明の一つの実施形態によれば、ネットワークへのソースアクセスを選択的に制御してカスタマイズする方法が開示される。この場合には、ソースはソースコンピュータと関連し、ソースコンピュータはゲートウェイ装置を介してネットワークにトランスペアレントなアクセスを有し、ネットワークにアクセスするためにソースコンピュータにコンフィギュレーションソフトウェアをインストールする必要がない。本方法は、ゲートウェイ装置においてネットワークへのアクセスのためのソースコンピュータからのリクエストを受け取るステップと、ソースコンピュータから送信され、ゲートウェイ装置によって受信されたパケットに基づいてソースに関連する属性を識別するステップと、ソースに対応し、ソースプロファイルデータベースに記憶されているソースプロファイルにアクセスするステップとを含む。ここで、ソースプロファイルは属性に基づいてアクセスされ、ソースプロファイルデータベースは、ゲートウェイ装置の外部に設置され、ゲートウェイ装置と通信する。また、本方法は、ソースプロファイルに基づいてソースのアクセス権を決定するステップを含み、アクセス権はネットワークにアクセスするソースの権利を定義する。
【０００９】
本発明の一態様によれば、ソースプロファイルに基づいてソースのアクセス権を決定するステップはソースプロファイルに基づいてソースのアクセス権を決定するステップを含んでおり、アクセス権は要求されたネットワーク宛先にアクセスするためのソースの権利を定義する。本発明の別の一態様によれば、本方法は、ネットワークへのアクセスを要求するロケーションへロケーション識別子を割り当てるステップを含んでおり、ロケーション識別子はソースと関連する属性である。さらに、本発明によれば、ソースに対応するソースプロファイルにアクセスするステップはソースプロファイルデータベース内に記憶されているソースプロファイルにアクセスするステップを含むことができ、ソースプロファイルデータベースは遠隔認証ダイアルインユーザサービス（remote authentication dial-in user service：以下、「ＲＡＤＩＵＳ」とよぶ。）、又は、軽量ディレクトリアクセスプロトコル（lightweight directory access protocol：以下、「ＬＤＡＰ」とよぶ。）データベースを含む。
【００１０】
さらに本発明の別の一態様によれば、本方法は、新規ソースがネットワークにアクセスするときに、ソースプロファイルデータベースを更新するステップを含む。加えて、本方法は、ネットワークへのソースアクセスの履歴ログをソースプロファイルデータベース内に保持するステップを含む。さらに、ソースに関連する属性は、ネットワークへのアクセス要求が伝送されたソースコンピュータに関連するＭＡＣアドレス、ユーザＩＤ、または、ＷＡＮ ＩＤに基づくことがありうる。さらに本発明の別の一態様によれば、ゲートウェイ装置においてソースからのアクセスリクエストを受け取るステップはソースからの宛先アドレスを受け取るステップを含みうる。
【００１１】
本発明のさらに別の一実施形態によれば、ソースによるネットワークへのアクセスを選択的に制御および個別化するシステムが開示される。この場合のソースはソースコンピュータと関連し、ソースコンピュータはゲートウェイ装置を介してネットワークへのトランスペアレントなアクセスを有し、ネットワークへアクセスするために、ソースコンピュータはコンフィギュレーションソフトウェアをインストールする必要がない。本システムは、ネットワークへアクセスを要求するソースからのリクエストを受信するためのゲートウェイ装置と、ゲートウェイ装置と通信状態にあり、ゲートウェイ装置の外部に設置されたソースプロファイルデータベースとを含む。ソースプロファイルデータベースはソースと関連した属性によって識別可能なアクセス情報を記憶し、属性は、ソースコンピュータから送信され、ゲートウェイ装置によって受信されるデータパケットに基づいて識別される。また、本システムはゲートウェイ装置およびソースプロファイルデータベースと通信状態にあるＡＡＡサーバを含んでおり、ＡＡＡサーバは、ソースがソースプロファイルデータベース内に記憶されているアクセス情報に基づいてネットワークにアクセスする資格を与えられているかどうかを決定し、ＡＡＡサーバは、ネットワークを介して宛先サイトにアクセスするソースの権利を定義するアクセス権を有するソースのアクセス権を決定する。
【００１２】
本発明の一態様によれば、ゲートウェイ装置によって受け取られたパケットは少なくとも１つのＶＬＡＮ ＩＤと、回線ＩＤと、ＭＡＣアドレスとを含む。加えて、本発明の別の一態様によれば、ソースプロファイルデータベースはＲＡＤＩＵＳ、又はＬＤＡＰデータベースを含む。さらに、ソースプロファイルデータベースは複数のソースプロファイルを含むことができ、複数のソースプロファイルの各ソースプロファイルはアクセス情報を含む。本発明によれば、各ソースプロファイルはネットワークアクセス料金決定に用いられるネットワークアクセスの持続時間に対する履歴データを含みうる。さらに本発明の別の一態様によれば、ソースプロファイルデータベースはＡＡＡサーバ内に配置することができる。
【００１３】
本発明のさらに別の一実施形態によれば、ゲートウェイ装置を介して宛先へのアクセスを試行するソースをリダイレクトする方法が開示され、ソースはソースコンピュータと関連し、ゲートウェイ装置は、ネットワークのためにコンフィギュレーションされるネットワークソフトウェアを含むようにソースコンピュータに要求することなく、ソースがネットワークと通信することができる。本方法は、ゲートウェイ装置においてネットワークにアクセスするためのソースからのリクエストを受け取るステップと、ソースと関連する属性に基づいてソースを識別するステップと、ゲートウェイ装置にとって外部に配置されたソースプロファイルデータベースへアクセスするステップとを含んでおり、ソースプロファイルデータベースはソースのアクセス権を記憶する。さらに、本方法は、ソースの識別に基づいてソースのアクセス権を決定するステップを含んでおり、アクセス権はネットワークを介して宛先サイトにアクセスするソースの権利を定義する。
【００１４】
本発明の一態様によれば、ソースプロファイルデータベースにアクセスするステップは、ＲＡＤＩＵＳ、又は、ＬＤＡＰデータベースを含むソースプロファイルデータベースにアクセスするステップを含む。本発明の別の一態様によれば、本方法は、ネットワークへのアクセスを要求するリクエストを発信したロケーションにロケーション識別子を割り当てるステップを含んでおり、ロケーション識別子はソースと関連する属性である。また、本方法は、新規ソースがネットワークにアクセスするときに、ソースプロファイルデータベースを更新するステップと、ネットワークへのソースのアクセスの履歴ログをアカウントデータベース内に保存するステップとを含んでおり、アカウントデータベースはソースプロファイルデータベースと通信している。
【００１５】
さらに、本発明の別の一態様によれば、ゲートウェイ装置においてアクセスに対するソースからのリクエストを受け取るステップはソースからの宛先アドレスを受け取るステップを含みうる。さらに、ソースコンピュータが宛先アドレスにアクセスする資格を有するどうかを決定するステップは、ソースコンピュータのアクセスを拒否するステップをさらに含むことができ、ソースプロファイルはソースコンピュータのアクセスが拒否されたことを示す。ソースがネットワークにアクセスする資格を与えられるかどうかを決定するステップは、ソースプロファイルがソースプロファイルデータベース内に配置されていないときに、ソースをログインページへリダイレクトするステップをさらに含みうる。
【００１６】
さらに、本発明のさらに別の一実施形態によれば、コンピュータとサービスプロバイダネットワークとの間のトランスペアレントな通信を可能にするシステムが開示される。本システムは、コンピュータと、コンピュータネットワークにコンピュータを接続するためにコンピュータと通信するネットワークゲートウェイ装置とを含んでおり、ネットワークゲートウェイ装置は上述のコンピュータネットワークにユーザがアクセスしようとすることを示すソースデータを受け取る。また、本システムはネットワークゲートウェイ装置と通信するサービスプロバイダネットワークを含んでおり、サービスプロバイダネットワークは、ネットワークゲートウェイ装置の外部に位置し、ネットワークゲートウェイ装置と通信する認証サーバを含む。認証サーバは、前述のコンピュータネットワークへのアクセスがユーザに認可されたことを表明するソースプロファイルを含むソースプロファイルデータベースを有し、コンピュータネットワークにアクセスするユーザの試行がコンピュータネットワークにアクセス可能であるかどうかを決定するために前述ソースプロファイルとソースデータを比較する。
【００１７】
本発明の一態様によれば、本システムはサービスプロバイダネットワークの使用に関する履歴データを保持するためのアカウントシステムを含みうる。本発明の別の一態様によれば、認証サーバは、ＲＡＤＩＵＳ、又は、ＬＤＡＰデータベースを含む。さらに、ソースプロファイルデータベースは複数のソースプロファイルを含むことができ、複数の各ソースプロファイルのソースプロファイルはアクセス情報を含む。さらに、本発明の別の一態様によれば、ソースデータは、コンピュータと関連し、コンピュータからゲートウェイ装置に伝送される属性を含む。本発明の別の一態様によれば、ソースデータは、それぞれのユーザと関連したログイン情報を含む。
【００１８】
本発明に従う認証、認可、及び、アカウントの方法とシステムは、ゲートウェイ装置を使用するコンピュータネットワークにトランスペアレントなアクセスをユーザが実現できるようにする。従って、各ユーザは、ネットワークを介してサービス、サイト、または、宛先へアクセスするそれぞれ異なった権利を有しうる。従って、本発明は、従来型のＡＡＡの方法およびシステムとは異なり、ユーザを認証し、これらのユーザにアクセスしたネットワークを利用するための種々異なる程度の認可を提供する動的なＡＡＡサービスを提供する。さらに、本発明のソースプロファイルデータベースは、アクセスを要求するネットワークに対して非局所的な（non-local）ネットワーク上に、ゲートウェイ装置の外部に配置されうる。有限個のユーザがネットワークにアクセスするのを各ゲートウェイ装置は可能にするように、複数のゲートウェイ装置が必要となりうるため、外部ソースプロファイルデータベースであることが望ましい。加えて、１つの認証データ統合データベースを管理および保持することは、複数の小さいデータベースの場合よりも容易である。さらに、ローカルネットワークにとって外部にデータベースを設置することは、ＩＳＰまたは第三者プロバイダがデータベース内に記憶された情報の秘密を保持し、第三者プロバイダが望む任意の仕方においてデータベースを保持および制御することを可能にする。
【００１９】
【発明の実施の形態】
（好ましい実施形態の詳細な説明）
次に、添付図面を参照して本発明についてさらに十分に説明することとする。図面には本発明の好ましい実施形態が示される。ただし、本発明は多数の種々異なる形式に具体化することができるので、ここに示す実施形態は限定的な意味をもつものでなく、本開示を完全に徹底的にするために、これらの実施形態が図示されていることを理解されたい。これらの実施形態は、本発明の範囲を当該技術分野における当業者に十分に示すことができるべきものである。図面全体を通じて同等の要素には同等の参照番号が用いられている。
【００２０】
図１はコンピュータシステム１０のコンフィギュレーション図である。コンピュータシステム１０は、複数のコンピュータ１４を含む。コンピュータ１４は、コンピュータ１４と種々のネットワーク２０またはオンラインサービス２２の間のインタフェースを提供するゲートウェイ装置１２を介して１つ以上のオンラインサービス２２又はネットワークと通信することができる。この種ゲートウェイ装置の一実施形態については米国特許出願第０８／８１６，１７４号（ここでは、Ｇａｔｅｗａｙ Ｄｅｖｉｃｅ Ａｐｐｌｉｃａｔｉｏｎ：ゲートウェイ装置出願と称する）に記述されており、引用することによって本明細書の一部をなすものとする。簡潔に言えば、ゲートウェイ装置１２は、オンラインサービス２２またはネットワーク２２へのトランスペアレントなコンピュータ１４アクセスを容易にするので、コンピュータ１４は、ネットワークコンフィギュレーションには関係なく、デバイス１２を介してあらゆるネットワークにアクセス可能である。加えて、ゲートウェイ装置１２は、本発明の動的ＡＡＡ方法およびシステムについて以下に検討するように、ネットワーク１２にアクセスしようとするコンピュータと、ネットワークへのアクセスを試行中のコンピュータのロケーションと、ネットワークアクセスを得ようとするユーザの識別と、追加の属性とを認識することができる。
【００２１】
図１に示すように、コンピュータシステム１０は、複数のコンピュータから受け取る信号をゲートウェイ装置１２へのリンク上で多重通信化するために、コンピュータ１４とゲートウェイ装置１２との間に配置されたアクセス集信装置１６を含む。コンピュータ１４がアクセスコンセントレータへ接続される媒体に応じて、アクセスコンセントレータ１６は異なる様式にコンフィギュレーション可能である。例えば、アクセスコンセントレータは、標準電話線を介して伝送された信号用のデジタルサブスクライバ回線アクセスマルチプレクサ（digital subscriber line access multiplexer：以下、「ＤＳＬＡＭ」とよぶ。）や、同軸ケーブル介して伝送された信号用のケーブルヘッドエンド（ケーブルモデムターミナルシェルフ（cable modem termination shelf：ＣＭＴＳ））や、無線ネットワークを介して伝送された信号用の無線アクセスポイント（wireless access point：以下、「ＷＡＰ」とよぶ。）や、スイッチのようなものでありうる。
【００２２】
コンピュータシステム１０は、以下に詳細に説明するように、ユーザアクセスを動的に認証および認可するＡＡＡサーバ３０をさらに含む。即ち、ユーザがゲートウェイ装置１２を介してネットワークへアクセスしようとする場合には、ＡＡＡプロセスが適用される。図１に示すように、コンピュータシステム１０は、複数のコンピュータネットワーク２０又は他のオンラインサービス２２に対してトラヒックを制御または直接に指示するために、通常、１つ以上のルータ１８、及び／又は、サーバ（図１には図示せず）を含む。コンピュータシステム１０は単一ルータを有するものとして図示されているが、コンピュータシステム１０は、多様なネットワーク２０或いはオンラインサービス２２に対してトラヒックを適切に経路指定するために幾らか階層様式に配置コンフィギュレーションされた複数のルータ、スイッチ、ブリッジ等を含みうる。この点に関して、ゲートウェイ装置１２は、一般に、１つ以上のルータを備えたリンクを確立する。ルータは、ユーザの選択に基づき、ネットワーク２０のサーバ又はオンラインサービス２２を備えたリンクを順々に確立する。当該技術分野における当業者であれば、図１に示す１つ以上のデバイスが組み合わせ可能であることを理解できるであろう。例えば、図示されてはいないが、ルータ１８は、ゲートウェイ装置１２内に完全に配置することができる。
【００２３】
ゲートウェイ装置１２を介してネットワーク２０またはオンラインサービス２２にアクセスしようとするユーザ及びコンピュータは以後ソースと称することとする。本発明のＡＡＡ方法およびシステムによれば、ゲートウェイ装置１２を介してネットワークにアクセスしようとするソースは関連属性に基づいて認証される。これらの属性は、特定のユーザまたはコンピュータの識別や、そこを介してアクセスが要求されるロケーションや、要求されたネットワークまたは宛先等を含みうる。Gateway Device Application（ゲートウェイ装置出願）に詳細に説明されているように、これらの属性は、そこを通ってアクセスが要求されるコンピュータからゲートウェイ装置１２へ伝送されるデータパケットによって識別される。本発明の一実施形態による方法およびシステムはこれらの属性に基づいて動的な認証、認可、及び、アカウントを提供する。一般に、ここで使用されるように、認証はソースの識別を意味し、認可は許容可能なソースアクセスの決定を意味し、アカウントはネットワークへのソースアクセスの追跡を意味する。
【００２４】
次に、本発明のシステムおよび方法の認証機能について検討することとし、ネットワークアクセスおよびサービスは識別または支払いに関係なく一般に全てのユーザに開かれているので、ネットワークへのアクセスを試みるソースを認証することはネットワーク管理にとってしばしば重要であることを理解されたい。既に述べたように、ソースは、ネットワークまたはサービスにアクセスしようとするソースに関連するコンピュータからデバイスへ伝送されるデータパケット内に含まれる１つ以上の属性によりゲートウェイ装置１２によって識別される。前述のコンピュータは、今後、ソースコンピュータと呼ぶこととする。たとえば、ソースがユーザである場合には、ソースコンピュータは、そのコンピュータによってユーザがネットワーク又はネットワーク宛先へとアクセスしようとしているコンピュータを意味する。一方、ソースが、１つ以上のユーザがネットワークへのアクセスに使用する１台のコンピュータである場合には、ソースコンピュータはそれを介してアクセスが要求されるコンピュータである。
【００２５】
本発明の一態様によれば、ゲートウェイ装置１２を介してネットワークへのアクセスしようとするソースコンピュータは１つ以上の属性によって識別される。上記の属性には、ソースコンピュータによって生成されたデータパケットを介してゲートウェイ装置１２に伝送される回線ＩＤ、ＭＡＣアドレス、ユーザ名、ＩＤ、及び／又は、パスワード、または、特定のロケーション（例えば、ホテルの部屋における通信ポート）等を含みうる。これについては、「Location-Based Identification and Authorization for use With A Gateway Device」と題する米国仮出願第６０／１６１，０９３号に記述されている。本発明においては、１つ以上のこれらの属性は、ネットワークへアクセスするソースを識別するために使われることを理解されたい。複数のソースが類似しない認証および認可権利をもつ種々異なるユーザである場合について図解例によって説明することとする。例えば同一コンピュータのような同一設備を使用するにもかかわらず各ユーザが独立して識別できるように、ユーザは各ユーザそれぞれのログイン情報（例えば、ユーザ名およびパスワード）によってユーザ自身を識別することができる。一方、ソースが１台のコンピュータである場合には、各ユーザの個別権利に関係なく権利はそれぞれのユーザでなくてコンピュータに関連するので（例えば、ＭＡＣアドレスによって識別される）。同一コンピュータを使用する多様なユーザは、同等の認証および認可権利を持つであろう。
【００２６】
複数のソースの認証はソースに関連する属性を介して図１に示すＡＡＡサーバ３０により実施される。ＡＡＡサーバ３０はＡＡＡサーバ３０によって識別されるソースに対応するソースプロファイルを記憶する。本発明の一態様によれば、ＡＡＡサーバ３０は完全にゲートウェイ装置１２内に配置されている。本発明の別の一態様によれば、ＡＡＡサーバ３０は複数のコンポーネントを含みうる。これらコンポーネントの少なくとも幾つかはゲートウェイ装置１２にとって外部に所在するか、又はその代りに、ＡＡＡサーバ３０はゲートウェイ装置１２にとって完全に外部に配置されることもありうる。例えば、ＡＡＡサーバ３０のロケーションは、ゲートウェイ装置１２がインターネットプロトコルを介してＡＡＡサーバ３０と更新するようなロケーションでありうる。本発明の一実施形態によれば、ＡＡＡサーバ３０は、ＩＳＰを介してネットワークと通信することが認可されているソースを識別するＩＳＰによって保持されうる。従って、ＡＡＡサーバ３０は、任意のインターネットアドレスに所在し、インターネットプロトコルを介してアクセス可能なあらゆるコンピュータに記憶されることができることを理解されたい。
【００２７】
本発明の一態様によれば、システムにアクセスしている各ソースに関して個別のソースプロファイルが存在する。ソースプロファイルは、ＡＡＡサーバ３０の内部コンポーネントでありうるソースプロファイルデータベース内、ＡＡＡサーバ３０の外部のコンポーネント内、又は、ＡＡＡサーバ３０と通信する個別コンポーネント内に保持される。ソースプロファイルデータベースは、ゲートウェイ装置及びネットワークにとって外部に位置し、ネットワークへの管理的負担を軽減し、その結果として、ネットワークは各ネットワークまたはゲートウェイ装置に個別認証データベースを設定および保持する必要が無くなるようにすることが好ましい。これは、各ゲートウェイ装置１２が有限個のユーザがネットワークにアクセスすることを可能にし、ひいては、複数のゲートウェイデバイが多数のソースを収容することを必要とする観点からも好ましい。次に、認証データの１つの統合データベースを管理して保持することは、複数のより小さいデータベースの場合よりも容易である。最後に、ソースプロファイルデータベースをローカルネットワークにとって外部に設置することは、ＩＳＰまたは第三者プロバイダがデータベース内に記憶されている情報の機密を保持することを可能にし、第三者プロバイダ（third party provider）が希望する任意の方法でデータベースを保持および制御することができる。
【００２８】
ソースプロファイルは、１つ以上の名前と、パスワードと、アドレスと、ＶＬＡＮタグと、ＭＡＣアドレスおよび識別と、必要に応じて、請求書と、ソースに関係のある他の情報とを含む。ソースがゲートウェイ装置１２を介してネットワークへのアクセスしようとする際には、ＡＡＡサーバ３０は、ソース識別を決定するためにソースプロファイルデータベース内に記憶されているソースプロファイルとゲートウェイ装置１２またはソースから受け取った属性とを比較して、当該ソースを認証しようと試みる。図に示すように、ユーザがユーザＩＤおよびパスワードを入力することにより、ネットワークへのアクセスを試みる場合には、当該ユーザの識別を決定するために、ユーザＩＤ及びパスワードはソースプロファイルデータベースに記憶されている全てのＩＤおよびパスワードに対して比較される。ソースプロファイルデータベースは、一般に、ＡＡＡサーバ３０内又はゲートウェイ装置１２内に位置する処理手段と通信するデータベースまたはデータ記憶手段を含む。この場合には、ソースプロファイルデータベースおよびプロセッサは、当該技術分野においてよく知られているように、受信した属性を記憶されているソースプロファイル情報と比較するために共同で作動する。
【００２９】
ソースプロファイルデータベースはプログラム可能な記憶ハードウェアまたは従来型パーソナルコンピュータに設置されているような手段、メインフレームコンピュータ、または、当該技術分野において知られている他の適当な記憶デバイスを含む。加えて、受信したデータをデータベース内データと比較する手段は、例えば、データを比較することができる実行可能なソフトウェアプログラムなどの任意のソフトウェアを含みうる。例えば、ＡＡＡサーバ３０は、パーソナルコンピュータのハードドライブにソースプロファイルを記憶し、受信したソースデータをコンピュータに常駐するソースプロファイルと比較する手段は、例えば、Microsoft Excel (Microsoft Excelは、Microsoft Corporation, Redmond、Washingtonの登録商標)のようなコンピュータソフトウェアを含みうる。本発明の別の一実施形態によれば、ＡＡＡサーバ３０またはソースプロファイルデータベースは、当該技術分野における当業者に良く知られているＲＡＤＩＵＳ、または、ＬＤＡＰデータベースを含みうる。
【００３０】
認証の際に、ソースがＡＡＡサーバ３０内のソースプロファイルに合致しなかった場合には、当該ソースはネットワークへのアクセスを許可されない。これが発生すると、ユーザまたは非ユーザソース関連ユーザはＡＡＡサーバ３０にソースプロファイル情報を入力するように要求され、その結果、ＡＡＡサーバ３０は、当該ユーザのプロファイルをＡＡＡサーバ３０に加えること、より詳細には、ソースプロファイルデータベースに加えることができる。例えば、このことは、ゲートウェイ装置１２へのユーザによる最初のアクセスを試みさせる。本発明の別の一態様によれば、ソースが識別できない場合には、当該ソースは当該ユーザを識別する追加情報を集めるためにログインページへリダイレクトされうる。例えば、情報は、ウェブページ、ポップアップ制御パネル、または、ユーザインタフェースの助力によって入力することができる。上記は、ゲートウェイ装置１２にソースが１２が最初に接続された時に開かれる。これに関する出願を次に示す。即ち、「Systems And Methods For Redirecting Users Having Transparent Computer Access To A Network Using A Gateway Device Having Redirection Capability」（以下、「リダイレクト出願」とよぶ。）と題する１９９９年１２月８日提出の米国特許出願第０９／４５８，５６９号と、「Systems And Methods For Redirecting Users Having Transparent Computer Access To A Network Using A Gateway Device Having Redirection Capability」と題する１９９９年１２月８日提出の米国特許出願第０９／４５８，５７９号と、「Systems and Methods for Redirecting Users Attempting to Access A Network Site」と題する同時提出の米国特許出願であり、発明者はJoel Shortおよび Florence Paganである。これらを引用することにより本明細書の一部をなすものとする。
【００３１】
本発明の一態様によれば、ＡＡＡサーバ３０は、ゲートウェイ装置と通信状態にあるソースをコンピュータユーザにトランスペアレントである方法で識別することができる。すなわち、本発明の一態様によれば、ユーザは識別情報の入力を要求されることなく、ソースコンピュータの再コンフィギュレーションを要求され、又は、ソースコンピュータの一次ネットワーク設定の変更を要求される。さらに、追加コンフィギュレーションソフトウェアはソースコンピュータに追加される必要はない。パケットがゲートウェイ装置によって受信された後で、当該データパケットによって識別された属性はソースプロファイルデータベース内に含まれるデータと比較される。従って、ネットワークへアクセスするコンピュータの再コンフィギュレーションを必要としないことに加えて、本発明のＡＡＡサーバは、例えば、ユーザＩＤの入力などのコンピュータユーザによる対話型段階を必要とすることなく、ソースを認証する能力を有する。例えば、ＡＡＡサーバ３０はＭＡＣアドレスに基づいて当該ソースを自動的に識別し、結果的に、当該ソースの認可が容易に決定されうる。従って、ＡＡＡサーバ３０は、受信したデータパケットと関連する属性（例えば、データパケットのヘッダにおいて）を当該ソースプロファイルデータベースから引き出されたデータと比較することによって、当該アクセスを要求したユーザ、コンピュータ、または、ロケーションを決定することができることを理解されたい。以下に述べるように、ソースと関連したアクセス権もソースプロファイルデータベース内に記憶され得るので、本発明のシステム及び方法は、特定のサービスまたは宛先へのアクセスを動的に認可することができる。
【００３２】
ソースが上述の認証プロセスを介してネットワークサービス接続を確立すると、ソースコンピュータとネットワークとの間で通信回線を容易にするためにトンネルが開かれ、ゲートウェイ装置１２は、ソースプロファイル情報またはソース指向データ（source-specific data）をアセンブルするためにＡＡＡサーバ３０と通信する。ゲートウェイ装置がアセンブルするソースプロファイル情報は、ＭＡＣアドレスと、名前またはＩＤと、回線ＩＤと、データ関連スキームの設定と、サービスレベルデータと、ユーザプロファイルデータと、遠隔関連データと、当該ソースに関連したこの種データとを含む。従って、ＡＡＡサーバ３０は、ユーザの認可権利と、次に詳細にのべるようなネットワークの使用とに関係するあらゆる要求情報をゲートウェイ装置１２へ伝送することができる。
【００３３】
ユーザの認証に加えて、本発明のＡＡＡサーバ３０は、これによってソースアクセス権が決定される認可機能を提供する。本発明はソースの動的認可を可能にし、それによって、各ソースがそれぞれ異なるネットワーク使用またはアクセス権を持つようになる。認証の後で、ＡＡＡサーバ３０は、ユーザ、コンピュータ、ロケーション、または、属性と関連するソースのアクセス権とソースの属性とを比較する。アクセス権は、ソースプロファイルデータベース内またはゲートウェイ装置１２にとって内部または外部に位置する個別加入データベース内に記憶されうる。従って、認証のためのソースに関する識別情報が記憶される場合には、個別データベースが利用され、他のデータベースは認証済みのこれらソースのアクセス権を記憶する。ただし、属性または属性の組み合わせによって識別される全てのソースのプロファイルはソースプロファイルデータベースに記憶されるため、アクセス権に関する情報は上述したように認証された各ソースに関する情報を既に含むソースプロファイルデータベース内に配置されることが有利となりうる。
【００３４】
本発明の一態様によれば、ソースプロファイルデータベースはソースのアクセス権を定義する情報を記憶する。例えば、ソースプロファイルデータベースは、特定のＭＡＣアドレスを有するソースがプリペイドアクセスを取得したこと、又は、所与の回線ＩＤがフリーアクセス又は無制限アクセスを有することを表示する情報を含みうる。ホテルの１つ以上の特別室、例えば、スイートルーム及び高級アパートは自由な無制限インターネットアクセスを得られることもありうる。従って、アクセス権はソースロケーション（例えば部屋）、または、ロケーションの状態（例えばスイートルーム）に付随して利用可能である。このような状況においては、そこからソースがアクセスを請求しているロケーションはゲートウェイ装置にとっては既知であり、ソースプロファイルデータベースに記憶されているのでそれ以上の識別は必要とされない。
【００３５】
認可されているアクセスの対象に関する情報を記憶することに加えて、ソースプロファイルデータベースは、例えば、ソースのアクセス帯域幅、またはソースが方向付けされるべきホームページなどのような特定のソースに関連した特殊化されたアクセス情報も含みうる。例えば、高級アパートからネットワークにアクセスするユーザは、一般的なホテルの部屋からネットワークへアクセスする者よりもさらに高いアクセスボーレートを利用可能な場合もありうる。例えば、ユーザがホテルの部屋からゲートウェイ装置にトランスペアレントにアクセス中である場合には、ホテルネットワークアドミニストレータは、当該ホテルの部屋に関連したアクセス権に基づいて、ユーザアクセス情報をソースプロファイルデータベースに入れることもできる。また、これは、ユーザが自身の部屋をチェックするときには、ゲートウェイ装置または例えばホテル資産管理システムなどのようなローカル管理システムによって自動的に実行することができる。加えて、ユーザは、ゲートウェイ装置へ最初にアクセスする際にソースプロファイルデータベース内に当該情報を含むように確立することもできる。例えば、新規ユーザは、クレジットカード番号、電子札入口座勘定情報、プリペイド電話カード番号またはシステムへのアクセスを獲得するためのこのような請求書情報を入力するように指示される。また、ソースプロファイルはネットワークへのソースアクセスに関する履歴データを含みうる。この履歴データは、ソースが当該ネットワークにアクセスした時間量も含む。ソースプロファイルデータベース内に含まれる特殊化されたアクセスまたはアカウント情報は、システムアドミニストレータにより、または、当該ネットワークへのアクセスを取得または確立したソースによって確立されることもありうる。
【００３６】
本発明の一態様によれば、ＡＡＡサーバ３０の認可能力は当該ソースがアクセスを試行しつつあるサービスのタイプに基づくことがあり得る。例えば、ソースコンピュータから受信したデータに基づいて識別される宛先アドレスがこの例である。宛先は、宛先ポートや、インターネットアドレスや、ＴＣＰポートや、ネットワーク等でありうる。さらに、ＡＡＡサーバ３０の認可能力は、伝送されつつある内容のタイプ又はプロトコルに基づくことがありうる。本発明のシステム及び方法によれば、各パケットは、選択的なＡＡＡプロセスを経て伝送され、結果的に、あらゆる又は全てのソースにとって、それぞれのソースに関連するアクセス権に基づいて特定の宛先へのアクセスが認可されることがありうる。従って、本発明によれば、ソースが異なる宛先へのアクセスを試みる度に、当該ソースはＡＡＡに関して検査され、その結果、当該ソースはＡＡＡサーバ３０が当該ソースの認可に基づいて当該ソースにはアクセスできないとみなされた特定のサイトへのアクセスが阻止されることがありうる。その代りに、本発明に従ったＡＡＡ方法は、幾らか又は全てのソースが特定サイトに直接接続することを許可し、例えば、クレジットカードまたは料金情報収集のための料金サーバ等の場合のように、支払い又は料金情報を収集することができ、その結果としてソースプロファイルが更新されることができ、その後に当該ソースのネットワークへのアクセスが認可される。本発明のシステム及び方法によれば、ソースの認可も、例えば、特定時間を対象とする場合のように目的指向の判断基準に依存することができ、その結果、特定の時間が経過した後に、又は、ネットワークプロバイダによって決定された他の動的情報によって、セッションが特定時刻に終結させられる。さらに、認可は属性の組み合わせと関連することがありうる。例えば、ユーザがユーザの識別を入力し、特定の部屋からネットワークへアクセスした場合には、ユーザはネットワークへのアクセスが認可される。このような必要条件は特定の部屋に滞在中の認可されていないユーザがネットワークアクセスを取得することを防止する。従って、ＡＡＡは、発信元、宛先、及び、トラヒックのタイプに基づくことがありうる。
【００３７】
更なる説明のために、本発明の一態様によるＡＡＡサーバ３０の操作のフローチャートを図２に示す。作動に際して、ソースコンピュータは、ネットワーク、宛先、サービス等へのアクセスをリクエストする（ブロック２００）。ＡＡＡサーバ３０へ伝送されたパケットを受け取ると、ＡＡＡサーバ３０はパケットを調査して当該ソースの識別を決定する（ブロック２１０）。パケットを介して伝送された属性はソースプロファイルデータベースへ一時的に記憶され、このため、当該データは当該ソースの認可権利決定に使用するために調査される。パケットに含まれている属性は、ネットワーク情報や、ソースＩＰアドレスや、ソースポートや、リンク層情報や、ソースＭＡＣアドレスや、ＶＬＡＮタグや、回線ＩＤや、宛先ＩＰアドレスや、宛先ポートや、プロトコルタイプや、パケットタイプ等を含みうる。この情報が識別されて記憶された後に、ソースから要求されたアクセスは当該ソースの認可に対して一致させられる（ブロック２３０）。
【００３８】
ソースプロファイルデータベースに記憶されている認可権利にアクセスすることによって、ソースプロファイルが決定されると、３つの可能性のあるアクションに帰着する。詳細には、ソースの認可権利が読み出されると、ＡＡＡサーバ３０は、アクセス２２２によって保留或いは処理中２２４になるか、又はアクセスしない（２２６）かのいずれかである。第１の場合は、ソースは有効である（即ち、アクセスする）と見なされ、ソースプロファイルデータベースはそのように表明する。ソースが有効であると決定されると、ソースのトラヒックはゲートウェイ装置から出てネットワーク或いはオンラインサービスへ進行可能になり、当該ソースと関連するユーザはアクセスすることを望む（ブロック２３０）。その代りに、ソースは、要求されたネットワークへのアクセスが可能になる以前に、リダイレクト出願（Redirecting Application）に記述されているように、当該ソースはポータルページにリダイレクトされる。例えば、ユーザがユーザのホテルの部屋と関連したフリーアクセスが可能な場合には、インターネットアドレスのように、ユーザが、ユーザ入力宛先アドレスへ自動的に転送されるようにすることができる。その代りに、ユーザが既にアクセスを取得していて、利用可能なアクセス時間を使い果たしていない場合には、この状態が発生する。さらに、ユーザがゲートウェイ装置を利用しつつある時間量を記録するようにアカウントメッセージが開始され２３０、結果的に、ユーザまたはロケーションはアクセスに対して課金される。
【００３９】
第２シナリオ（scenario）が発生すると、当該ソースは未決定２２４または進行中と見なされ、ソースは認証済みになる段階に達し（ブロック２４０）、結果として、ソース情報はソースプロファイルデータベースに記録される。例えば、ユーザは取得合意に入らなければならず、ユーザはクレジットカード番号の入力を要求されることがありうる。ユーザがアクセスを取得する必要があるか、または、システムがユーザに関する追加情報を必要とするならば、ユーザは、Ｈｏｍｅ Ｐａｇｅ Ｒｅｄｉｒｅｃｔ（ＨＰＲ）と、Ｓｔａｃｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ（ＳＡＴ）とを介して、ポータルページから、例えば新規ユーザを有効化するために確立されたログインページのようなロケーションへリダイレクトされうる。ＳＡＴ及びＨＰＲは、ユーザをウェーブサーバ（外部または内部）へ導くために介在しうる。ここで、ユーザはログインおよび自身の識別を実施しなければならない。このプロセスはRedirecting Application（リダイレクト出願）に詳細に記述されている。そして、必要で十分な情報を入力した後に、ユーザに宛先アドレスへのアクセスが許可される（ブロック２３０、２５０）。提供された情報が不十分である場合には、ユーザのアクセスは認可されない（ブロック２６０）。最終的に、第３シナリオが発生し、当該ソースはアクセスできないものと見なされ（２２６）、結果的に、ユーザはネットワークを介して宛先にアクセスすることが許可されない。
【００４０】
次に、本発明のシステムおよび方法のアカウント機能について参照することとし、ソースネットワークアクセスの認可に際して、ＡＡＡサーバ３０は、当該ソースがネットワークへアクセスしつつあることを識別するためにアカウント開始を格納（レジスタ）することができる。同様に、ソースがネットワークセッションをログオフ又は終結させる時には、アカウント停止がＡＡＡサーバ３０によって格納可能である。アカウントの開始または停止は、所要宛先へのアクセスのソースへの認証または認可に際してゲートウェイ装置１２またはＡＡＡサーバ３０により識別される。さらに、アカウント開始または停止はソースプロファイルに格納可能であるか、又は、ＡＡＡサーバ３０から分離し、ネットワークにとって外部に位置するデータベースに記憶される。一般に、アカウント開始および停止はソースがネットワークにアクセスしていた時間量を示すタイムスタンプを含む。このデータを用いて、アカウント開始と停止の間の時間を算定することが可能であり、結果的に、ソースの全接続時間が算定可能である。ソースが時間のインクリメント、例えば増し分１時間単位で課金される場合には、この種の情報は価値がある。当該技術分野においてよく知られているように、ビリング・パッケージは、設定期間、例えば１ケ月に亙ってネットワークにアクセスしたユーザの全時間を合計し、ソースに関する請求書が作成される。ネットワークおよびＩＳＰは、ネットワークへのアクセスに費やされた時間には無関係に、特定期間、例えば１ヶ月に亙って設定されたレート（すなわち、均一レート価格付け）に課金することがありうるので、アカウント停止および開始は課金目的には必要とされないこともありうる。それでもなお、アカウント開始および停止は、一般に、ネットワークプロバイダまたはＩＳＰによって記録されることがある。
【００４１】
ＩＳＰまたは類似のアクセスプロバイダは、請求書、履歴レポート、および、他の関連情報を確立するためにサブスクライバのＩＳＰ使用を追跡することが可能であることから追加的な利益を得ることができるであろう。ソースに課金可能なあらゆる料金を決定するために、または、ネットワークアクセスまたはサービスに関するソースからの料金を算定するために、ＡＡＡサーバ３０は１つ以上のプロセッサと通信状態にあることが好ましい。ＡＡＡサーバ３０は、実時間ベースにおいて、又は、特定期間が経過した後に、履歴アカウントデータを検索する。ＡＡＡサーバ３０は、アクセスプロバイダ（例えばＩＳＰ）があらゆる必要な履歴データを表すレポートの作成を可能にするために、容易にアクセス可能であって、取り扱い易いフォーマットにおけるこのようなデータを保持することが好ましい。例えば、アクセスプロバイダが将来使用することを企画するために、ＡＡＡサーバ３０は、特定の現場から、ある時限でインターネットにアクセスするユーザの個数を計算するレポートを生成する。さらに、アクセスプロバイダが代替アクセスをユーザに提供する場合には、追加料金に関して、さらに迅速な接続（即ち、さらに高いボーレート）への課金のために、アクセスプロバイダは、将来の顧客需要に最もよく適合させるようにＡＡＡサーバ３０を用いて履歴データを分析することを望むはずである。このようなデータは、現在進行中のネットワークセッションと、現在使われつつある帯域幅と、伝達されているバイト数と、他のあらゆる関係情報とに関係するであろう。ＡＡＡサーバ３０は、例えば、Eclipse Internet Billing System、Kenan Broadband Internet Billing Software（Lucent Technologies製）、または、ＴＲＵ ＲＡＤＩＵＳ Ａｃｃｏｕｎｔａｎｔなどの周知のプログラムを用いて実現することができる。
【００４２】
ＡＡＡサーバ３０は、アクセスがソースベースにおいてソースに対してカスタマイズされるような方法により、ネットワークへのソースアクセスを動的に取り扱うことができる。即ち、ＡＡＡサーバ３０は、ソースの識別、ソースロケーション、ソースが要求する宛先等に応じて変化するアカウント記録を保持することができる。アクセスまたは認可権利と同様に、この情報はソースプロファイルデータベースまたは類似のアカウントデータベースに保持することができる。例えば、ＡＡＡサーバ３０は、特定のソースが特定のサイトへのアクセスにのみ課金されることと、これらの特定サイトがアクセスされた時に、１つのアカウントサイトのみを格納することとを決定することができる。従って、ＡＡＡサーバ３０は、アカウント開始やアカウント停止や課金レート等を決定するためにサブスクライバソースプロファイルに記憶されているアカウント情報を識別する。
【００４３】
当該技術分野における当業者には、前述の記述および添付図面において呈示された教示の利益を本発明が保持した状態で本発明の多くの改変および別の実施形態が構想できるはずである。従って、本発明は開示された特定の実施形態に限定されるものでなく、改変された、および別の実施形態は添付の特許請求の範囲内に含まれることを意図したものであることを理解されたい。ここでは特定の用語使用されているが、これらは総称的で記述的な意味のみに使用されるものであって、制限を目的とするものではない。
【図面の簡単な説明】
【図１】 本発明の一実施形態によるネットワーク、及び／又は、オンラインサービスにアクセスする認証、認可、及び、アカウントソース用ＡＡＡサーバを含むコンピュータシステムのブロック図である。
【図２】 本発明の一実施態様によるＡＡＡサーバが認証、認可、及び、アカウントを実施する方法を示すフローチャートである。
【符号の説明】
１２ ゲートウェイ装置
１４ コンピュータ
１６ アクセスコントローラ
１８ ルータ
２０ ネットワーク
２２ オンラインサービス
２４ ＤＨＣＰサーバ
３０ ＡＡＡサーバ

Claims (32)

1. ユーザのコンピュータによって、ネットワークへのアクセスを選択的に制御してカスタマイズする方法であって、該コンピュータがゲートウェイ装置に接続されており、
   前記ネットワークにアクセスするために前記コンピュータからのリクエストを前記ゲートウェイ装置で受け取るステップと、
   前記ユーザに識別情報を入力させることなく、前記コンピュータから伝送され、前記ゲートウェイ装置によって受信されたパケットに基づいて前記コンピュータと関連する属性を識別するステップと、
   前記ユーザに対応し、ユーザプロファイルデータベースに記憶されているユーザプロファイルにアクセスするステップであって、該ユーザプロファイルが前記属性に基づいてアクセスされ、前記ユーザプロファイルデータベースが、前記ゲートウェイ装置の外部に配置され、前記ゲートウェイ装置と通信しているステップと、
   前記ユーザプロファイルに基づいて前記ユーザのアクセス権を決定するステップであって、アクセス権が前記ネットワークにアクセスするための前記ユーザの権利を定義するステップと、
   前記ユーザに識別情報を入力させることなく、前記コンピュータを識別する情報をもつ前記ユーザプロファイルデータベースを更新するステップと
   を含んでなり、
   前記ソースコンピュータは、前記ソースコンピュータから伝送される前記パケットが前記ゲートウェイ装置によって変更されないように、前記ゲートウェイ装置を介して前記ネットワークへのトランスペアレントなアクセスを有しており、前記ネットワークへアクセスするために前記ソースコンピュータにコンフィギュレーションソフトウェアをインストールする必要がないものであることを特徴とする方法。
2. 前記ユーザプロファイルに基づいて前記ユーザの前記アクセス権を決定するステップが、前記ユーザプロファイルに基づいて前記ユーザの前記アクセス権を決定することを含み、前記アクセス権が、要求されたネットワーク宛先にアクセスする前記ユーザの権利を定義する請求項１に記載の方法。
3. 前記ネットワークへのアクセスに関するリクエストからの前記ロケーションにロケーション識別子を割り当てるステップをさらに含んでおり、該ロケーション識別子が前記ユーザに関連する前記属性である請求項１に記載の方法。
4. 前記ユーザに対応するソースプロファイルにアクセスするステップが、ユーザプロファイルデータベースに記憶されているユーザプロファイルにアクセスすることを含み、該ユーザプロファイルデータベースが、遠隔認証ダイアルインユーザサービスを含んでいる請求項１に記載の方法。
5. 前記ユーザに対応するユーザプロファイルへアクセスするステップが、ユーザプロファイルデータベースに記憶されているユーザプロファイルにアクセスするステップを含み、前記ユーザプロファイルデータベースがＬＤＡＰデータベースを含んでいる請求項１に記載の方法。
6. 前記ネットワークにアクセスするときに、新規ユーザが前記ユーザプロファイルデータベースを更新するステップを含んでいる請求項１に記載の方法。
7. 前記ネットワークへの前記ユーザのアクセスの履歴ログを前記ユーザプロファイルデータベース内に保持するステップをさらに含んでいる請求項１に記載の方法。
8. 前記コンピュータに関連する前記属性が、前記ネットワークへのアクセスに対するリクエストからの前記コンピュータに関連するＭＡＣアドレス、ユーザＩＤ、または、ＶＬＡＮ ＩＤの１つに基づいている請求項１に記載の方法。
9. アクセスに対する前記ユーザからのリクエストを前記ゲートウェイ装置において受け取るステップが、前記コンピュータからの宛先アドレスを受け取る前記ステップを含んでいる請求項１に記載の方法。
10. ユーザのコンピュータによるネットワークへのアクセスを選択的に制御してカスタマイズするシステムであって、
    前記ネットワークへのアクセスに対する前記コンピュータからのリクエストを伝送する通信リンクと、
    前記システムと通信し、前記システムに対して外部に配置されたプロファイルデータベースであって、該プロファイルデータベースが前記コンピュータと関連する属性によって識別可能なアクセス情報を記憶し、前記コンピュータから伝送されて前記システムによって受信されるデータパケットに基づいて前記属性が識別されるようなプロファイルデータベースと、
    前記システム及びプロファイルデータベースと通信する認証、認可、及びアカウントサーバであって、前記プロファイルデータベース内に記憶されている前記アクセス情報に基づいて、前記ユーザが前記ネットワークへアクセスする資格を与えられているかどうかを前記認証、認可、及びアカウントサーバが決定し、前記認証、認可、及びアカウントサーバが、前記ユーザのアクセス権を決定し、アクセス権が、前記ネットワークを介して宛先サイトにアクセスする前記ユーザの権利を定義するような認証、認可、及びアカウントサーバと
    を含んでなり、
    前記システムは、前記ユーザに識別情報を入力させることなく、前記コンピュータを識別する情報をもつ前記プロファイルデータベースを更新することを特徴とするシステム。
11. 前記システムによって受信される前記パケットが、ＶＬＡＮ ＩＤと、回線ＩＤと、ＭＡＣアドレスとの中の少なくとも１つを含んでいる請求項１０に記載のシステム。
12. 前記プロファイルデータベースが、遠隔認証ダイアルインユーザサービスを含む請求項１０に記載のシステム。
13. 前記ソースプロファイルデータベースが、ＬＤＡＰデータベースを含んでいる請求項１０に記載のシステム。
14. 前記プロファイルデータベースが複数のプロファイルを含み、前記複数のプロファイルの各々がアクセス情報を含んでいる請求項１０に記載のシステム。
15. プロファイルの各々が、前記ネットワークアクセス料金の決定に用いられる前記ネットワークアクセスの持続時間に関する履歴データを含んでいる請求項１４に記載のシステム。
16. 前記プロファイルデータベースが、前記認証、認可、及びアカウントサーバ内に配置されている請求項１０に記載のシステム。
17. ネットワークシステムを介して宛先にアクセスしようとするユーザのコンピュータをリダイレクトする方法であって、
    前記ネットワークへアクセスするための前記ソースからのリクエストを前記ネットワークシステムで受け取るステップと、
    前記ユーザに識別情報を入力させることなく、前記コンピュータと関連する属性に基づいて前記ユーザを識別するステップと、
    前記ネットワークコンピュータの外部に配置されたプロファイルデータベースにアクセスするステップであって、前記プロファイルデータベースが前記ユーザのアクセス権を記憶するステップと、
    前記ユーザの識別に基づいて前記ユーザの前記アクセス権を決定するステップであって、前記アクセス権が、前記ネットワークを介して宛先サイトにアクセスするように前記ユーザの前記権利を定義するステップと、
    前記ユーザに識別情報を入力させることなく、前記ユーザを識別する情報をもつ前記ユーザプロファイルを更新するステップと
    を含んでなる方法。
18. プロファイルデータベースにアクセスするステップが、遠隔認証ダイアルインユーザサービスを含むプロファイルデータベースにアクセスするステップを含んでいる請求項１７に記載の方法。
19. プロファイルデータベースにアクセスするステップが、ＬＤＡＰデータベースを含むプロファイルデータベースにアクセスするステップを含んでいる請求項１７に記載の方法。
20. 前記ネットワークへのアクセスに対するリクエストからのロケーションにロケーション識別子を割り当てるステップをさらに含んでおり、前記ロケーション識別子が前記コンピュータに関連する前記属性である請求項１７に記載の方法。
21. 前記ネットワークにアクセスするときに、新規ユーザが前記プロファイルデータベースを更新するステップをさらに含んでいる請求項１７に記載の方法。
22. アカウントデータベース内に前記ネットワークへの前記ユーザのアクセスの履歴ログを保持するステップをさらに含んでおり、前記アカウントデータベースが前記プロファイルデータベースと通信している請求項１７に記載の方法。
23. 前記ユーザからのリクエストを前記ネットワークシステムで受け取るステップが、前記ユーザから宛先アドレスを受け取ることを含んでいる請求項１７に記載の方法。
24. 前記ユーザの前記アクセス権を決定するステップが、前記コンピュータのアクセスを拒否することをさらに含んでおり、前記コンピュータのアクセスが拒否されたことを前記プロファイルが示す請求項１７に記載の方法。
25. 前記ユーザの前記アクセス権を決定するステップは、前記ユーザに一致するプロファイルが前記プロファイルデータベース内に見出せないときには、前記ユーザをログインページにリダイレクトするステップをさらに含んでいる請求項１７に記載の方法。
26. コンピュータとサービスプロバイダネットワークとの間のトランスペアレントな通信を可能にするシステムであって、
    コンピュータと、
    コンピュータネットワークに該コンピュータを接続するために該コンピュータと通信しているネットワークゲートウェイ装置であって、該ネットワークゲートウェイ装置によって前記コンピュータネットワークへのユーザがアクセスしようとすることを示すソースデータを、前記ユーザに識別情報を入力させることなく、受け取るようなネットワークゲートウェイ装置と、
    該ネットワークゲートウェイ装置と通信しているサービスプロバイダネットワークであって、前記ネットワークゲートウェイ装置の外部に配置され、前記ネットワークゲートウェイ装置と通信状態にあり、さらに前記コンピュータネットワークにユーザがアクセスする認可を得ていることを表すソースプロファイルを含むソースプロファイルデータベースをその中に有する認証サーバを含んでおり、前記ユーザがアクセスしようとする前記コンピュータネットワークにアクセスできるかどうかを決定するために、前記認証サーバが前記ソースデータと前記ソースプロファイルとを比較するようなサービスプロバイダネットワークと
    を含んでなり、
    前記システムは、前記ユーザに識別情報を入力させることなく、前記コンピュータを識別する情報をもつ前記ソースプロファイルデータベースを更新するものであることを特徴とするシステム。
27. 前記サービスプロバイダネットワークの使用に関する履歴データを保持するアカウントシステムをさらに含んでいる請求項２６に記載のシステム。
28. 前記認証サーバが、遠隔認証ダイアルインユーザサービスを含んでいる請求項２６に記載のシステム。
29. 前記認証サーバが、ＬＤＡＰデータベースを含んでいる請求項２６に記載のシステム。
30. 前記ソースプロファイルデータベースが複数のソースプロファイルを含み、該複数のソースプロファイルの各々のソースプロファイルがアクセス情報を含んでいる請求項２６に記載のシステム。
31. 前記ソースデータが、前記コンピュータと関連し、前記コンピュータから前記ゲートウェイ装置に伝送される属性を含んでいる請求項２６に記載のシステム。
32. 前記ソースデータがそれぞれのユーザと関連するログイン情報を含んでいる請求項２６に記載のシステム。

Images