JP5614770B2 - ネットワーク認証方法及びサービス提供システム - Google Patents

Description

この発明は、事業者が管理するネットワークを介してアクセス網からプライベート網に接続する際に、シングルサインオンを実現する方法に関し、それにより、処理負荷を軽減させたネットワークサービス提供システムに関する。

端末が、自身の属するアクセス網から、別の通信事業者が管理する中間通信網を介して、他者の別の管理者が管理するプライベート網へ繋がるＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ（ＶＰＮ）を構築する場合、中間通信網及びプライベート網のそれぞれにおいて、別個独立にアクセスを認証するためのＩＤ及びパスワードを用いて認証を行っている。

図９は、端末が複数の事業者を介してＶＰＮを利用するネットワークの構成例を示す。端末１１１ａが直接に接続するアクセス網（例えば、プロバイダのネットワーク）１０１ａ，１０１ｂと、プライベート網（例えば、企業内ＬＡＮ）１０３とが、通信事業者に管理された中間通信網１０２を介して繋がっている。それぞれのネットワーク１０１ａ，１０１ｂ，１０２，１０３の端部には網終端装置（１１３，１１６等）が設けられ、個々のネットワークでは独立したプライベートＩＰアドレスが使用されている。

まず、端末１１１ａの利用者は、前提としてアクセス網１０１ａを提供する事業者と契約してアクセス網１０１ａに接続する。そして、ＶＰＮサービスを利用する前に、中間通信網１０２を管理する事業者と、プライベート網１０３を管理する管理者とは、それぞれ別個に利用者ＩＤとパスワードをそれぞれの認証サーバ（１１４，１１７）が備えるデータベース（図示せず。）に登録し、端末１１１ａの利用者に発行する。その上で、端末１１１ａは、アクセス網１０１ａから中間通信網１０２を介して、プライベート網１０３に接続し、ＶＰＮを構築する。

図１０は、そのＶＰＮを構築する際のシーケンスセッション確立までの手順例を示す。まず、端末１１１ａは、所謂ＲＡＤＩＵＳクライアントとなり、中間通信網１０２に繋がるアクセス網１０１ａの第一網終端装置１１３ａに、ＩＤ及びパスワード（図中では「ＵｓｅｒＢ＠ＶＰＮ」と記載する）を送信して、Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ（ＰＰＰ）の確立要求をする（１）。このとき送信するＩＤ及びパスワードは、中間通信網１０２の第一認証サーバ１１４に登録されたＩＤ及びパスワードである。第一網終端装置１１３ａは、所謂ＲＡＤＩＵＳクライアントとなり、中間通信網１０２の第一認証サーバ１１４ａへ、送信されたＩＤとパスワードを送って、認証要求をする（２）。第一認証サーバ１１４は、所謂ＲＡＤＩＵＳサーバとなり、認証要求されたＩＤとパスワードが、予めデータベースに記録されたデータと一致するか認証し、サービスを提供できるか否かの承認を行う。サービスを提供できると承認できれば、第一認証サーバ１１４は、第一網終端装置１１３ａへ、端末１１１ａが中間通信網１０２を利用するためのプライベートＩＰアドレスを払い出す（３）。プライベートＩＰアドレスを受信した第一網終端装置１１３ａは、端末１１１ａにＰＰＰのトンネルを確立した旨の応答をする。これにより、端末１１１と第一網終端装置１１３ａとの間でＰＰＰ−ａが確立する。なお、ＲＡＤＩＵＳプロトコルの規格上、ＰＰＰ−ａが確立したら、第一網終端装置１１３ａと第一認証サーバ１１４との間でリクエストとレスポンスがされる。

次に、端末１１１ａは、ＰＰＰ−ａを通じて、中間通信網１０２にアクセスし、発呼装置１１５ａを通じて、プライベート網１０３に繋がる中間通信網１０２の第二網終端装置１１６に対してＰＰＰの確立要求をする（５）。このとき、予めプライベート網１０３の第二認証サーバ１１７のデータベースに登録されたＩＤとパスワードを送信する。図中では「ＵｓｅｒＡ＠Ｃｏｍ」と記載する。第二網終端装置１１６は、プライベート網１０３の第二認証サーバ１１７にそのＩＤ及びパスワードを送信して認証要求をする（６）。第二認証サーバ１１７は、認証要求されたＩＤとパスワードが、予めデータベースに記録されたデータと一致するか認証し、プライベート網への接続を許可できるか否かの承認を行う接続を許可できると承認できれば、第二認証サーバ１１７は、第二網終端装置１１６へ、端末１１１ａがプライベート網に接続するためのＩＰアドレスを払い出す（７）。第二網終端装置１１６は発呼装置１１５ａを通じて端末１１１ａにＰＰＰのトンネルを確立した旨の応答をする。これにより、端末１１１ａと第二網終端装置１１６との間でＰＰＰ−Ａが確立する。

これにより、端末１１１ａはプライベート網１０３に接続できるが、二回の認証行為を経て、アクセス網１０１ａではＰＰＰトンネルが多重化している。これは、中間通信網１０２とプライベート網１０３とで使うプライベートＩＰアドレスが重複する場合があり、その場合でもエラーを起こさずに通信を行うようにするためである。実際に通信されるフレームでは、この多重トンネル部分ではヘッダが二重に付与されていることになる。このような二重の認証及びトンネル化は処理の負荷が増えるため、出来るだけ一回の認証で済ますことが求められる。

上記の事例のように本来は二重に認証を必要とする状況で、一回のみの認証によりサービスを提供するシングルサインオンを実現する方式としては、例えば、特許文献１の方式が挙げられる。これは、端末がインターネットに接続しようとする際にゲートウェイで認証しておき、その認証結果を、インターネット上の認証確認サーバに転送しておけば、当該端末がインターネット上で他のサービスを利用しようとする際に、そのサービス提供サーバは、前記認証確認サーバに認証確認するだけで、認証を済ますことができ、端末の利用者はサービス提供サーバごとに認証することなく、サービスの提供を受けることができるというものである。

特開２００４−１３３８２３号公報

しかしながら、特許文献１に記載の方式は、グローバルＩＰアドレスを使用していることが前提である。このため、網終端装置で区切られたそれぞれのネットワークを別の事業者や管理者が管理して、個々にプライベートＩＰアドレスが発行されており、網間の直接到達性が無い場合には特許文献１の方式を適用することができない。

また上記の通り、実際の通信では、ＰＰＰのトンネルが確立されている間の通信は、ヘッダを付与してカプセル化するので、ＰＰＰ−ａとＰＰＰ−Ａが重なる多段トンネル区間ではヘッダが二重に付与される。これにより、ルータである第一網終端装置や端末での処理負荷が増大し、スループットが大きく低下してしまう。

さらに、一つのサービスの提供を受けるにあたり、ＩＤとパスワードを二つ管理するのは、端末１１１ａの利用者にとっても、プライベート網の管理者にとっても、不便を生じる。しかし、従来の方式でＩＤとパスワードを一つにするには、事業者が異なるネットワークを管理する第一認証サーバと第二認証サーバとの間で登録されているＩＤ及びパスワードを同期しなければならず、処理負荷が大きかった。

そこでこの発明は、網間の到達性が無い環境で、アクセス網の利用者の端末にＶＰＮサービスを提供するにあたり、一つのＩＤ及びパスワードによって効率よく認証できるようにしてＩＤ管理の手間を省いたシングルサインオンを実現し、多重トンネルを回避して端末及び網終端装置の負荷を低下させることを目的とする。

この発明は、中間通信網を管理する事業者が、自らＩＤ及びパスワードを管理するのではなく、ＶＰＮを利用することになるプライベート網の管理者にＩＤ及びパスワードの管理を委ね、かつ、端末から二度に亘って多段トンネルを構築するのではなく、端末が発した一度の認証要求で、端末及び第一網終端装置の間のトンネルと、発呼装置及び第二網終端装置の間のトンネルを構築することで、上記の課題を解決したのである。

まず、中間通信網を管理する事業者にとって、プライベート網を使用する管理者は予め契約したものであり、社会的に信頼できる中間通信網の利用者である。そして、中間通信網の中で発呼装置と第二網終端装置との間でカプセル化して信号を通信すれば、端末に中間通信網のプライベートＩＰアドレスを付与する必要はなくなる。そうすると、中間通信網を管理する事業者は、信頼できるプライベート網の管理者がＶＰＮの使用を承認し、アドレスを払い出した端末に対しては、事業者自らが個別に認証、承認を行わなくても、サービスの利用を承認できる。また、発呼装置と第二網終端装置との間でカプセル化して信号を通信すれば、中間通信網のプライベートＩＰアドレスがなくても、端末とプライベート網間のフレームを転送できる。さらに、中間通信網のサービス利用に対する課金は、プライベート網を使用する管理者若しくはアクセス網の管理者に、又はこれらの管理者を通じて行うことができる。

そこで、中間通信網を管理する事業者はＶＰＮサービスの提供にあたり、それぞれのプライベート網を管理する第二認証サーバ（ＲＡＤＩＵＳサーバ）に、パスワード及びＩＤの管理とＩＰアドレスの発行を委ねる。一方で、中間通信網の第一認証サーバは自身でＩＤ及びパスワードの固定したデータベースを持たず、中間通信網のＩＰアドレスを払い出すこともせず、送信されてきたＩＤ及びパスワードとプライベート網への接続のために付与されるＩＰアドレスとを一時的に記録し中継することで、仮想的な認証サーバとして振る舞い、端末のアクセスを第一網終端装置に対して承諾する。具体的には、第一認証サーバは、ＩＤ及びパスワードを受信すると、一時データベースにＩＤ及びパスワードを記録するレコードを作成した上で、発呼装置に対して、第二網終端装置宛に発呼するように要求し、発呼装置からＩＰアドレスを受け取ったら、それを承認したものとして第一網終端装置に送信することで、仮想的なＲＡＤＩＵＳサーバとして動作する。一方で、第二認証サーバはＶＰＮ接続する端末の利用者に付与するＩＤとパスワードを自ら備えたデータベースに登録し、払い出すＩＰアドレスも管理するＲＡＤＩＵＳサーバである。これにより、端末は、中間通信網の発呼装置と第二網終端装置との間で構築したトンネルを通じて、中間通信網のＩＰアドレスを付与されることなく、プライベート網のＩＰアドレスだけでＶＰＮサービスを利用できるようになる。

中間通信網に繋がるプライベート網が複数ある場合は、中間通信網を管理する事業者は、予めそれらのプライベート網を判別するための網識別情報を登録したデータベースを用意する。そして、端末がＶＰＮの確立を要求する際に、ＶＰＮの構築先であるプライベート網を判別する網識別情報をＩＤ及びパスワードとともに送信させることで、発呼装置がその網識別情報により宛先を判別し、その網識別情報に対応するプライベート網に繋がる第二網終端装置へ発呼する。なお、トンネル確立後は、第一認証サーバを経由することなく、第一網終端装置と発呼装置との間で信号がやりとりされる。

また一方で、アクセス網が複数ある場合は、特に上記と変更することなく、中間通信網では要求がされた第一網終端装置のアドレスを記録することで処理できる。

また、ヘッダを二重に付与する多段トンネルではなく、端末及び第一網終端装置の間のトンネルと、発呼装置及び第二網終端装置の間のトンネルとに分かれることで、端末が処理しなければならないヘッダは多重にならずに済む。端末自体は、中間通信網でトンネル化がされていることを意識することなく、アクセス網でのトンネル化についてのみ処理すればよいため、端末の処理負荷は多重トンネルの場合より小さくなる。

端末がＶＰＮから切断され、第一認証サーバが切断通知を受け取ると、第一認証サーバはＩＤ及びパスワードとＩＰアドレスとを記録した一時データベースから、その端末に関するレコードを削除する。これにより、一時データベースには、その時点でＶＰＮサービスを提供している端末についての情報だけが残り、次に同じ端末がアクセスしてきた場合でも、履歴に関係なく処理することができ、データベースを定期的に同期させるといった処理を行う必要がなく、ＩＤ等をプライベート網で一元管理できる。

この発明により、複数の通信事業者のネットワークを介して、ＶＰＮを利用する際に、端末の利用者は一つのＩＤ及びパスワードでシングルサインオンをすることができ、従来と比べて利便性が向上する。また、ＶＰＮ接続させるプライベート網の管理者も、ＩＤ、パスワードの管理が利用者当たりに一つで済み、管理の手間を省くことができる。さらに、多段トンネルではなく、一段のトンネルで済むため、カプセル化及びデカプセル化を行う端末や第二網終端装置の負荷を下げ、スループットを向上させることができる。

この発明を実施した認証後の接続形態についての概念図 この発明の一の実施形態における接続要求のフロー図 この発明の一の実施形態における接続要求のシーケンス図 この発明の一の実施形態における切断要求のフロー図 この発明の一の実施形態における切断要求のシーケンス図 この発明を実施する第一認証サーバの信号処理の形態例を示す概念図 一時データベースの例を示すテーブル 中間通信網及びプライベート網が複数接続された場合の信号処理の概念図 従来の多重トンネルによる接続形態についての概念図 従来の多重トンネルによる接続要求のシーケンス図

以下、この発明について具体的な実施形態を挙げて説明する。この発明は、複数の通信網からなる複合ネットワークにおけるネットワーク認証方法と、それを用いたサービス提供システムである。
図１は、この発明を実施した認証後の接続形態についての概念図である。
この発明にかかるサービス提供システムを実行するネットワーク環境は、それぞれがプライベートアドレスにより管理されるアクセス網１０１、中間通信網１０２、プライベート網１０３とからなり、アクセス網１０１とプライベート網１０３とは直接に接続されておらず、中間通信網１０２を間に介している。この発明にかかるシステムは、アクセス網１０１に接続した端末１１１が、中間通信網１０２を通じてプライベート網に接続してＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ（ＶＰＮ）の構築を提供する。

アクセス網１０１には、中間通信網１０２に通じる第一網終端装置１１３が備えられている。第一網終端装置１１３は、アクセス網１０１を構成するネットワークの論理的な端部に位置する。第一網終端装置１１３は、アクセス網１０１のプライベートアドレス（図中、例として示す１００．０．０．０／２４内のアドレス）だけでなく、中間通信網１０２のプライベートアドレス（図中、例として示す１２２．０．０．０／１６内のアドレス）も有している。このアクセス網１０１の具体例としては、いわゆるインターネットプロバイダなどの通信事業者の管理するネットワークが挙げられる。

中間通信網１０２は、プライベート網１０３に繋がる第二網終端装置１１６と、アクセス網１０１に繋がる網終端装置を兼ねる発呼装置１１５と、中間通信網１０２へ接続する端末から送信されたＩＤ及びパスワードの認証、承諾、アカウンティングを行うＲｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ（ＲＡＤＩＵＳ）サーバである第一認証サーバ１１４を備える。ただし、後述するように、この第一認証サーバ１１４は通常のＲＡＤＩＵＳサーバとは異なり、独自で管理するユーザーデータベースを持たない。また、発呼装置１１５と、アクセス網１０１の第一網終端装置１１３との間のＩＰ接続部分１２１は、中間通信網１０２のＩＰアドレスで管理される。ただしこのＩＰ接続部分１２１は通常のＩＰルーティングを行わず、発呼装置１１５と第一網終端装置１１３とはいずれも、相手から受け取ったパケットを除く全てのパケットを相手に転送する。この中間通信網１０２の具体例としては、拠点間を繋ぐ独自管理できるネットワークを所有する通信事業者の閉域網が挙げられる。一つのネットワークであると効率がよいが、プライベートアドレスが異なりルータを介して接続された複数のネットワークからなる場合でも実施可能である。ただし、グローバルＩＰアドレスにより通信するインターネットはこの中間通信網１０２に該当しない。

プライベート網１０３は、プライベート網１０３へ接続する端末から送信されたＩＤ及びパスワードを登録、管理するとともに、ＩＤ及びパスワードの認証、承諾及びアカウンティングを行うＲＡＤＩＵＳサーバである第二認証サーバ１１７を備える。この第二認証サーバ１１７は、その登録したＩＤ及びパスワードを記録し、読み出し可能とするＩＤデータベース１３４を有する。また、上記の中間通信網１０２の第二網終端装置１１６は、中間通信網１０２のプライベートＩＰアドレス（図中、例として示す１２２．０．０．０／１６内のアドレス）だけでなくプライベート網１０３のプライベートＩＰアドレス（図中、例として示す１０．０．０．０／２４内のアドレス）も有しており、プライベート網１０３の網終端装置も兼ねる。このプライベート網１０３の具体例としては、企業が管理する企業内ネットワークが挙げられる。

この発明にかかるシステムが、中間通信網１０２を通じて端末１１１をプライベート網１０３に接続してＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ（ＶＰＮ）の構築を提供するまでの手順を順に説明する。図２はその手順のフローチャートを示し、図３はその手順のシーケンスセッションを示す。ここで、サービスの提供を受ける端末１１１はサービスの提供を受ける個人が有するパソコンや携帯端末等であり、この端末１１１に、プライベート網１０３に接続するための、上記ＩＤデータベース１３４に登録されたＩＤ及びパスワードを登録して送信可能とする。また、端末１１１はそれ自体が発呼装置としての機能を有する。また、図３においてＰＰＰを実施形態としているが、本願発明はＰＰＰに限られるものではなく、例えばＩＰｓｅｃでも可能である。

最初に、端末１１１は第一接続要求手段２１１により、発呼装置としての機能を発揮させて、アクセス網１０１内の第一網終端装置１１３へＩＤ及びパスワードとともに接続要求を送信する第一接続要求手段を実行する（第一接続要求ステップ３１１）。なお、中間通信網１０２が複数ある場合には、第一網終端装置１１３はそれが通じているそれぞれの中間通信網１０２ごとに存在するため、どの中間通信網１０２に通じる第一網終端装置１１３を宛先とするのかを、送信するＩＰアドレスか、ＩＤに附属した網識別情報又はＩＤとともに送信する網識別情報により指定する。図３ではＩＤに附属して網識別情報を送信する形態を示しており、網識別情報を「ｍｉｄ」と示す。実際には中間通信網１０２を管理する企業名などを付すと判別しやすい。

上記の接続要求を受信した第一網終端装置１１３は、接続先である中間通信網１０２の第一認証サーバ１１４へ、上記ＩＤ及びパスワードとともに認証要求を送信する第一認証要求手段２１２を実行する（第一認証要求ステップ３１２）。第一網終端装置１１３が行う処理は、一般的なＲＡＤＩＵＳサーバへのリクエストと同様の認証要求である。この段階では既に、第一網終端装置１１３が選択されており、それと直結する中間通信網１０２も既に選択されていることとなるので、図３では経由する中間通信網１０２を指定する「＠ｍｉｄ」をＩＤから除外して送信している。なお、個々の通信の到達先を概念的に示すと図３のような関係にあるが、実際には、第一網終端装置１１３は、図２のように中間通信網１０２内にアクセス網１０１ごとに設けた発呼装置１１５と直結しており、上記の認証要求は、中間通信網１０２の網終端装置でもある発呼装置１１５を経由して第一認証サーバ１１４へ送信される。

上記の認証要求を受信した第一認証サーバ１１４は、上記のＩＤ及びパスワードについて、自身が管理するデータベースによって判断することはせず、動的に変化する一時データベース１３３に、送信されたＩＤ及びパスワード、又はそれらと接続先のプライベート網１０３を判別するための網識別情報とを一つのレコードとして記録する一時記憶登録手段２１３を実行する（一時レコード登録ステップ３１３）。この一時データベース１３３は、永続的に保持するものではなく、中間通信網１０２を介してこの発明にかかるシステムによりＶＰＮの提供を受けようとする端末１１１及び提供を受けている端末１１１の情報を一時的に保持しておくものである。後述する第二認証サーバ１１７で認証されれば、後述する一時レコード追記ステップ３２３において前記のレコードにＩＰアドレスを追記する。また、認証が拒否されるか、当該端末１１１の接続が切断されたら、当該レコードを一時データベース１３３から削除する。

上記の認証要求を受信した第一認証サーバ１１４は、当該ＩＤ及びパスワードを送信してきた発呼装置１１５に対して、要求されたプライベート網１０３へ通じる第二網終端装置１１６への発呼要求を、上記のＩＤ及びパスワードとともに送信する発呼要求手段２１４を実行する（発呼要求ステップ３１４）。プライベート網１０３が一つの場合、発呼要求先は固定だが、プライベート網１０３が複数ある場合は、ＩＤとともに、又はＩＤに附属して網識別情報を送信して発呼要求先を指示する。

上記の発呼要求を受信した発呼装置１１５は、プライベート網１０３に繋がる一つの第二網終端装置１１６、又は、網識別情報により指定されたプライベート網１０３に繋がる第二網終端装置１１６に、ＩＤ及びパスワードとともに、ＰＰＰを確立させる接続要求する第二接続要求手段２１５を実行する（第二接続要求ステップ３１５）。プライベート網１０３及びそれに繋がる第二網終端装置１１６が複数ある場合には、発呼装置１１５が有する網識別データベース１３１に予め登録された上記網識別情報に従ってその宛先となる第二網終端装置１１６を指定して送信する。例えば図３に示すように、プライベート網１０３を指定する網識別情報を「ｃｏｍ」として、ＩＤである「ＵｓｅｒＡ」の後に附属させており、この「ｃｏｍ」が示すプライベート網１０３に繋がる第二網終端装置１１６を宛先として送信する。この「ｃｏｍ」は、実際にはプライベート網１０３を管理する企業名やグループ名などを付すと判別しやすい。

上記の接続要求を受信した第二網終端装置１１６は、プライベート網１０３内の第二認証サーバ１１７へＩＤ及びパスワードとともに認証要求を送信する第二認証要求手段２１６を実行する（第二認証要求ステップ３１６）。この第二網終端装置１１６に到達していることは、プライベート網１０３が既に指定されているので、図３の例ではプライベート網１０３を指定する網識別情報「＠ｃｏｍ」をＩＤから外し、ＩＤそのものである「ＵｓｅｒＡ」のみをパスワードとまとめて送信する。この認証要求は、一般的なＲＡＤＩＵＳサーバへの認証要求と同様の処理である。
なお、第二網終端装置１１６は、中間通信網１０２の網終端装置であるとともに、プライベート網１０３の網終端装置も兼ねており、第二網終端装置１１６はプライベート網１０３のプライベートＩＰアドレスも付与されている。上記の認証要求はプライベート網１０３内のＩＰ接続により送信する。

上記の認証要求を受信した第二認証サーバ１１７は、受信したＩＤ及びパスワードについて認証する認証手段２１７を実行する。この認証は、プライベート網１０３へのアクセスを認めるためのＩＤ及びパスワードを予め登録しておいたＩＤデータベース１３４を参照して、合致するか否かによって判断する。合致したら承認して、認証の許可（ＡｃｃｅｓｓＡｃｃｅｐｔ）とともに、上記端末１１１をプライベート網１０３へ接続させるためのプライベート網１０３におけるプライベートＩＰアドレスを、識別のためのＩＤとともに、送信元である第二網終端装置１１６へ払い出す（認証ステップ３１７）。一方、ＩＤ及びパスワードがＩＤデータベース１３４の記録と一致しない場合、又は使用中のＩＤと重複する場合は、第二網終端装置１１６へ、端末１１１宛の認証失敗通知を送信する（第一認証拒否ステップ３５１）。また、ＩＤデータベース１３４自体の記録を更新し、払い出すプライベートＩＰアドレスを使用中として他の端末に払い出さないように設定するとともに、当該ＩＤを接続状態として、二重接続を排除する設定に変更する。

上記のプライベートＩＰアドレスの払い出しを受けた第二網終端装置１１６は、上記発呼装置１１５に認証されＰＰＰを確立する旨の応答と当該ＩＤ及びプライベートＩＰアドレスを通知する第二アドレス通知手段２２１を実行し、発呼装置１１５との間でトンネル接続を開始する第二トンネル接続手段２２２を実行する（第二トンネル確立ステップ３２１）。このトンネルは第二網終端装置１１６と発呼装置１１５との間で、フレームをカプセル化、デカプセル化して行うものであり、端末１１１まで直接にトンネル化するものではない点がこの発明の特徴である。このトンネルを確立、利用するために、第二網終端装置１１６は、端末１１１に払い出すプライベートＩＰアドレスと、中間通信網１０２における発呼装置１１５のアドレスとを記録管理するための転送管理テーブル１３５を有する。第二網終端装置１１６は、端末１１１の上記プライベートＩＰアドレスを送信先とするフレームを受け取ると、この転送管理テーブル１３５の記録を参照して、端末１１１に関連づけられた中間通信網１０２における発呼装置１１５のアドレスを読み出し、そのアドレスを送信先とし当該フレームをカプセル化して送信する。

なお、上記の第二網終端装置１１６は、第二トンネル確立ステップ３２１で第二トンネル部分１２３が確立したら、ＲＡＤＩＵＳサーバである第二認証サーバ１１７との間でアカウンティングの応答を行う。図３中、「３２１ａ・Ａｃｃｏｕｎｔｉｎｇ Ｒｅｑｕｅｓｔ」と「３２１ｂ・Ａｃｃｏｕｎｔｉｎｇ Ｒｅｓｐｏｎｓｅ」として示す。

上記のプライベートＩＰアドレスの通知を受信した発呼装置１１５は、自分が有する転送管理テーブル１３２に、上記プライベートＩＰアドレスと、それを送信してきた上記の第二網終端装置１１６のアドレスとを関連づけて登録する転送テーブル登録手段２２３を実行する。以後、当該プライベートＩＰアドレスを付して送信されてきた当該端末１１１からのフレームを受信したら、この転送管理テーブル１３２を参照して宛先となる第二網終端装置１１６のアドレスを読み出し、当該第二網終端装置１１６へカプセル化して送信することで、第二網終端装置１１６との間でトンネル（第二トンネル部分１２３）接続をする第二トンネル通信手段２２４を実行する（第二トンネル確立ステップ３２１）。この転送管理テーブル１３２は発呼装置１１５内に、又はタイムラグが出来るだけ少ないように外部に設けたデータベースである。

上記のプライベートＩＰアドレスの通知を受信した発呼装置１１５は、上記の転送テーブル登録手段２２３及び第二トンネル通信手段２２４と前後して、第一認証サーバ１１４に認証の承諾を告げるアカウンティングと上記のＩＤ及びプライベートＩＰアドレスを通知するアカウンティング手段２２５を実行する（アカウンティングステップ３２２）。なお、図３中でアカウンティングステップ３２２の前に送信する「３１４ａ・ＲＡＤＩＵＳ Ｅｖｅｎｔ Ｒｅｓｐｏｎｓｅ」は、発呼要求ステップ３１４で受信した発呼要求に対する発呼完了の応答である。

上記のプライベートＩＰアドレスの通知を受信した上記第一認証サーバ１１４は、上記先にＩＤ及びパスワード、又はそれらと網識別情報を登録した一時データベース１３３の当該ＩＤのレコードに、受信したプライベートＩＰアドレスを追記する一時記録追記手段２２６を実行する（一時レコード追記ステップ３２３）。この一時データベース１３３に記録されているＩＤ、パスワード、プライベートＩＰアドレスを有する端末１１１が、その時点において中間通信網１０２へのアクセスを許可された端末であり、上記第一認証サーバ１１４が仮想的にＲＡＤＩＵＳサーバとして処理している、認証した端末についての記録である。これらの記録は、後述するように、それぞれの端末１１１が切断されたらそれぞれの端末１１１ごとのレコードを抹消することになる。

上記のプライベートＩＰアドレスの通知を受信した上記第一認証サーバ１１４は、仮想的なＲＡＤＩＵＳサーバとして、承諾した旨のアカウンティングとともに、受信したプライベートＩＰアドレスを、当該端末１１１に繋がる当該第一網終端装置１１３に払い出すアドレス中継手段２２７を実行する（アドレス通知ステップ３２４）。この払い出しは、当該第一網終端装置１１３にとっては、上記の第一認証要求ステップ３１２で送信した認証要求に対する承諾の通知となる。なお、実際には上記第一認証サーバ１１４から第一網終端装置１１３への通知は発呼装置１１５を経由する。

なお、上記第一認証サーバ１１４は、上記のアドレス通知ステップ３２４の後に、アカウンティングステップ３２２の応答（３２２ａ・ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｓｐｏｎｓｅ）を発呼装置１１５に返す。

上記のプライベートＩＰアドレスの払い出しを受信した上記第一網終端装置１１３は、上記端末１１１に承諾した旨のアカウンティングとともに当該プライベートＩＰアドレスを通知する第一アドレス通知手段２２８を実行し、端末１１１との間でトンネル接続を開始する第一トンネル接続手段２２９を実行する（第一トンネル確立ステップ３２５）。このトンネルは、第一網終端装置１１３と端末１１１との間でフレームをカプセル化、デカプセル化して行うものであり、上記の第二トンネル確立ステップ３２１で確立するトンネルとは連続していない。このトンネルを確立、利用するために、第一網終端装置１１３は、端末１１１に払い出すプライベートＩＰアドレスと、アクセス網１０１における端末１１１のアドレスとを記録管理するための転送管理テーブル１３６を有する。第一網終端装置１１３は、端末１１１の上記プライベートＩＰアドレスを送信先とするフレームを受け取ると、この転送管理テーブル１３６の記録を参照して、アクセス網１０１における端末１１１のアドレスを読み出し、そのアドレスを送信先とし当該フレームをカプセル化して送信する。

上記のプライベートＩＰアドレスの通知を受信した上記端末１１１は、以後、そのプライベートＩＰアドレスを使用して、第一網終端装置１１３との間でカプセル化、デカプセル化してフレームを通信するトンネル（第一トンネル部分１２２）を確立する第一トンネル通信手段２３０を実行する（第一トンネル確立ステップ３２５）。

なお、第一網終端装置１１３は、上記の第一トンネル部分１２２が確立した後、第一認証サーバ１１４へアカウンティングを送信し（３２４ａ・ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｑｕｅｓｔ）、応答を受信する（３２４ｂ・ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｓｐｏｎｓｅ）。

こうして二つのトンネルが確立すると、端末１１１は二つのトンネルを経由してプライベート網１０３にアクセス可能となる。端末１１１が送信したフレームは、第一網終端装置１１３との間で第一トンネル部分１２２を経由して、すなわちカプセル化してやりとりされる。第一網終端装置１１３に到達したフレームは、デカプセル化された後、中間通信網１０２のＩＰ接続部分１２１を経由して、発呼装置１１５に到達する。発呼装置１１５は転送管理テーブル１３２を参照して、第二トンネル部分１２３を経由して、すなわち、カプセル化して、第二網終端装置１１６へフレームを送信する。第二網終端装置１１６は、フレームをデカプセル化して、元のフレームでの宛先であるプライベート網１０３内のサーバ１１８や端末１１９等へフレームを送信する。サーバ１１８や端末１１９からの応答はこの逆の順序で送信される。このとき、第一認証サーバ１１４及び第二認証サーバ１１７は、直接的には通信を中継されない。

なお、第二認証サーバ１１７でＩＤ及びパスワードが正しくないと処理され、認証が拒否された場合には、上記と同様の経路で、確立失敗通知が端末１１１まで送信される。すなわち、第二認証サーバ１１７から第二網終端装置１１６に確立失敗通知が伝達され（第一認証拒否ステップ３５１）、以後、発呼装置１１５、第一認証サーバ１１４、第一網終端装置１１３、端末１１１へ順に通知が送信される（第二〜第五認証拒否ステップ３５２〜３５５）。端末１１１を操作するユーザーは、ＩＤ及びパスワードの誤りを確認の上、再度、第一接続要求ステップ３１１から接続を試みる。

端末１１１が上記のようなシステムを上記ステップの順序で実行し、トンネルを通して通信すると、端末１１１にとっては、第一網終端装置１１３へ向かって送信すれば、中間通信網１０２内での処理を設定、処理する必要なく、第一認証サーバ１１４、発呼装置１１５、及び第二網終端装置１１６により中間通信網１０２を適切に経由してプライベート網１０３まで通信することができる。このとき、トンネルを確立しているカプセル化は一段階であり、ルータである網終端装置や発呼装置にかかる負荷は、二重トンネルをする場合よりも小さなものとなり、より高速での通信が可能となる。

次に、端末１１１がプライベート網１０３との通信を終えて、切断する場合の手順を図４に示すフロー図及び図５に示すシーケンス図とともに説明する。まず、端末１１１がプライベート網１０３からの切断を求める切断要求を第一網終端装置１１３に送信する（３４１）。第一網終端装置１１３は、第一認証サーバ１１４とのそれぞれに、切断通知（ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｑｕｅｓｔ（ＳＴＯＰ））をＩＤ及びプライベートＩＰアドレスとともに送信する切断通知送信手段を実行する（３４２）。また、第一網終端装置１１３はその後で、端末１１１へ切断要求に対する応答を送信する（３４１ａ）。端末１１１側の切断確認はこれで終了する。

上記切断通知を受信した上記第一認証サーバ１１４は、発呼装置１１５に対して、端末１１１についての第二網終端装置１１６との間のトンネルについて切断要求（ＲＡＤＩＵＳ Ｄｉｓｃｏｎｎｅｃｔ Ｒｅｑｕｅｓｔ（ＳＴＯＰ））をＩＤ及びプライベートＩＰアドレス送信する第一切断要求送信手段を実行する（３４３）。またその後、第一認証サーバ１１４は、切断通知に対する応答（３４２ａ・ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｓｐｏｎｓｅ）を第一網終端装置１１３に送信する。

上記切断要求を受信した発呼装置１１５は、第二網終端装置１１６に切断要求を、ＩＤ及びプライベートＩＰアドレスとともに送信する第二切断要求送信手段を実行する（３４４）。この段階ではまだ、発呼装置１１５内の転送管理テーブル１３２における端末１１１についてのレコードは削除されておらず、発呼装置１１５はこのレコードを参照して、切断要求を送信する当該第二網終端装置１１６を指定できる。第二網終端装置１１６は、この切断要求に対する切断応答を発呼装置１１５に送信する（３４４ａ）。

上記切断要求を受信した第二網終端装置１１６は、第二認証サーバ１１７にＩＤ及びプライベートＩＰアドレスとともに切断通知（ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｑｕｅｓｔ（ＳＴＯＰ））を送信する切断確認通知送信手段を実行する（３４５）。これを受けて、第二認証サーバ１１７は、ＩＤデータベース１３４を更新し、当該端末１１１に払い出していたプライベートＩＰアドレスの状態を不使用に変更して、他の端末１１１に払い出せる状態とする（３４６）。また、当該ＩＤが切断状態であるように変更して、当該ＩＤによる次の接続要求を承諾可能とする。併せて、第二認証サーバ１１７は、切断通知に対する応答（３４５ａ・ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｓｐｏｎｓｅ）を第二網終端装置１１６に送信する。

第二網終端装置１１６からの切断応答を受け取った発呼装置１１５は、まず、第一認証サーバ１１４から先（３４３）に受信した切断要求に対する切断応答（３４３ａ・ＲＡＤＩＵＳ Ｄｉｓｃｏｎｎｅｃｔ Ａｃｋ）を送信する。また、転送管理テーブル１３２から端末１１１の当該プライベートＩＰアドレスと第二網終端装置１１６のアドレスについてのレコードを削除する転送テーブル削除手段を実行し（３４７）、第一認証サーバ１１４に端末１１１についての切断完了通知（ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｑｕｅｓｔ（ＳＴＯＰ））を送信する切断完了通知送信手段を実行する（３４８）。

上記切断完了通知を受信した第一認証サーバ１１４は、切断完了通知に対する応答（ＲＡＤＩＵＳ Ａｃｃｏｕｎｔｉｎｇ Ｒｅｓｐｏｎｓｅ）を発呼装置１１５に送信する（３４８ａ）。そして、第一認証サーバ１１４は、一時データベース１３３から端末１１１についてのＩＤ、パスワード、網識別情報、プライベートＩＰアドレスを記録したレコードを削除する一時レコードクリア手段を実行する（一時レコード削除ステップ３４９）。以上で、端末１１１についての状態はシステムからクリアされる。このため、すなわち、端末の接続終了後は、第一認証サーバ１１４の一時データベースには永続的な記録が残らず、データベースの管理負荷を、現在接続している端末に限定した必要最小限のものとすることができる。なお、別途履歴を残すことは問題ない。

上記の手段はいずれも、ハードウェア内で実現される信号処理、又は、通信機器を介した信号の授受を行うソフトウェアで実現されるものである。端末及びサーバはいずれも演算装置、記憶装置、通信装置、入出力装置等を有する一般的なハードウェアで実現できる。ただし、サーバの入出力装置は通信装置を介した外部の端末の入出力装置がその機能を担ってもよい。網終端装置及び発呼装置はルータとして一般的な機能を有するハードウェアで実現できる。また、それぞれのデータベースは、それぞれのハードウェアが有する記憶装置中にソフトウェアとして実現できるものであるが、それぞれのハードウェアから独立したハードウェアに実装したソフトウェアでもよい。

次に、この発明で最も特徴的な処理を行う第一認証サーバ１１４の具体的な内部処理について。図６及び図７を用いて説明する。図６は第一認証サーバ１１４の内部及び外部との信号のやりとりを示す概念図であり、図７は一時データベース１３３の例を示すテーブルである。図６の（ａ）〜（ｊ）が、順に、第一認証サーバ１１４内での信号の処理手順を示す。それぞれの処理部１６１〜１６４は、外部との通信装置との間で信号を授受するソフトウェア又は専用のハードウェアである。

上記の第一認証要求ステップ３１２として、通信装置からの入力として認証要求とＩＤ及びパスワード（網識別情報を含んでも良い。以下同じ）を受信する（ａ）と、第一網終端装置認証処理部１６１が一時データベース１３３にＩＤ及びパスワードを送信する（ｂ）。一時データベース１３３では、インデックスに新たなレコードを追加し、ＩＤ及びパスワードを登録する。これは図１に記載の一時記憶登録手段２１３が行う処理である。図７では、ＩＤに網識別情報（「＠」以下の部分である。それぞれ、プライベート網１０３を管理する企業名に相当する。）を附属させている。この時点ではＩＰアドレスの欄は空である。

上記の一時データベース１３３で新規レコードを登録すると、そのＩＤ及びパスワードを発呼装置対向接続要求処理部１６２へ送信して（ｃ）、発呼要求手段２１４を実行し、通信装置からのＩＤ及びパスワードと発呼要求の出力を行う（ｄ）。具体的にはこれは発呼要求ステップ３１４にあたる。これに対する発呼装置１１５からの発呼完了の応答を一旦受信する（ｅ）。これは上記の３１４ａにあたる。

その後、上記の発呼装置１１５，第二網終端装置１１６、及び第二認証サーバ１１７での処理を経て、アカウンティングステップ３２２として、発呼装置１１５から第一認証サーバ１１４の通信装置にＩＤ及びプライベートＩＰアドレスと共にアカウンティングが、発呼装置対向アカウンティング処理部１６３に入力される（ｆ）。発呼装置対向アカウンティング処理部１６３は、発呼装置１１５に応答し（ｇ、３２２ａ）、一時データベース１３３にＩＤ及びプライベートＩＰアドレスを送信する（ｈ）。一時データベース１３３に対して、一時記録追記手段２２６を実行し、図７に記載のように、当該ＩＤに付与されたプライベートＩＰアドレスを、当該レコードに追記する（一時レコード追記ステップ３２３）。ここで、ＩＤが網識別情報を附属されたものとしておくと、異なるプライベート網との間でＩＤ部分だけが重複しても、どのＩＤであるか識別可能となる。

上記の一時データベース１３３でレコードを追記すると、そのＩＰアドレスを、第一網終端装置認証処理部１６１に送信する（ｉ）。第一網終端装置認証処理部１６１は、認証されたアドレスの払い出しとなるアドレス中継手段２２７を実行して、認証完了の旨とプライベートＩＰアドレスとを通信装置から出力する（ｊ・アドレス通知ステップ３２４）。

なお、図示しないが、第二認証サーバ１１７での認証が失敗した場合には、上記の第三認証拒否ステップ３５３で確立失敗通知を受け取った際に（ｆ・ｈに相当する入出力である）、一時データベース１３３から当該ＩＤ及びパスワードを一旦削除し、第四認証拒否ステップ３５４へ移行する。

その後、端末１１１の切断時には、ＩＤ及びプライベートＩＰアドレスとともに切断完了通知を、通信装置からの入力により発呼装置対向切断処理部１６４が受け取ったら（ｘ・３４８）、一時データベース１３３にＩＤ及びプライベートＩＰアドレスを送信し（ｙ）、当該ＩＤ及びプライベートＩＰアドレスについてのレコードを削除する一時レコードクリア手段を実行する（一時レコード削除ステップ３４９）。

上記のような、固有のデータベースを参照せず、外部から送信されたＩＤ、パスワード及びＩＰアドレスを動的に変化する一時データベース１３３で管理することが、本願発明にかかるシステム及びその方法の大きな特徴である。

次に、中間通信網１０２及びプライベート網１０３が複数ある場合に、網識別情報を用いた具体的に接続先を指定する実施形態を図８の概念図を用いて説明する。予め、それぞれの中間通信網１０２と、プライベート網１０３を識別可能な、固有の網識別情報を決定する。図中、二つの中間通信網１０２についてそれぞれ「ｍｉｄ１」「ｍｉｄ２」とし、四つのプライベート網１０３（Ａ〜Ｄ）について、それぞれ「ｃｏｍ１」「ｃｏｍ２」「ｎｅｔ１」「ｎｅｔ２」とする。第一網終端装置１１３は、少なくともそれぞれが繋がる中間通信網１０２に固有の網識別情報（第一網終端装置Ａならば「ｍｉｄ１」）を記録しておき、それ以外の網識別情報を付与された要求は拒否する。また、発呼装置１１５は、その中間通信網１０２に繋がる全てのプライベート網１０３の網識別情報を、それぞれのプライベート網１０３に繋がる第二網終端装置１１６のアドレスとともに記録している。

上記の端末１１１のユーザが接続要求とともに送信するＩＤには、到達先となるプライベート網１０３の網識別情報（ｃｏｍ１〜ｎｅｔ２）と、経由する中間通信網１０２の網識別情報（ｍｉｄ１，ｍｉｄ２）とを「＠」で区切って付与する。ＩＤの次にプライベート網１０３の網識別情報を付し、その後に中間通信網１０２の網識別情報を付与すると、第一網終端装置１１３が必要な情報を処理しやすい。接続要求を受けた第一網終端装置１１３は、ＩＤの末尾を確認し、それが自身に直結する中間通信網１０２の網識別情報と一致しなければ要求を拒否し、一致すれば第一認証要求手段２１２を実行する。このとき、送信するＩＤからは、それ以降は不要となる＠ｍｉｄ１又は＠ｍｉｄ２を外しておき、発呼装置１１５が処理しやすいようにする。

上記の発呼装置１１５は、受信したＩＤの末尾を確認し、その網識別情報が指定しているプライベート網１０３に繋がる第二網終端装置１１６へ、当該要求を送信するようルーティングする。第二網終端装置１１６では、受信した要求に伴うＩＤの末尾を確認し、自身が接続するプライベート網１０３の網識別情報と一致しなければ要求を拒否し、一致すれば、＠以下の網識別情報を外した上で、パスワードとともに第二認証サーバ１１７に送信する。第二認証サーバ１１７での承諾後は、以上の流れを逆にたどり、転送管理テーブルにアドレスを記録しつつ、プライベートＩＰアドレスを端末１１１まで送信する。

なお、アクセス網１０１が複数ある場合には、それぞれのアクセス網１０１が中間通信網１０２に接続して、同様の処理を行うことでこの発明にかかる方法及びシステムを実現できる。

また、この発明は、中間通信網１０２が直列した複数のネットワークからなるものでも実施可能である。すなわち、それぞれの中間通信網１０２について、それぞれが認証サーバ、発呼装置、網終端装置を有し、認証サーバは上記第一認証サーバ１１４と同様に、ＩＤ、パスワード、プライベートＩＰアドレスを自身で管理するのではなく他からの通信に応じて一時的に記録し、中継するものとする。

さらに、接続要求の方式としてＰＰＰを例として記載したが、これに限らなくてもよく、例えばＩＰｓｅｃによっても上記と同様の手順により認証し、ＶＰＮを提供することができる。

１０１，１０１ａ．１０１ｂ アクセス網
１０２ 中間通信網
１０３ プライベート網
１１１，１１１ａ，１１１ｂ 端末
１１３，１１３ａ，１１３ｂ 第一網終端装置
１１４，１１４ａ 第一認証サーバ
１１５，１１５ａ，１１５ｂ 発呼装置
１１６ 第二網終端装置
１１７ 第二認証サーバ
１１８ サーバ
１１９ 端末
１２１ ＩＰ接続部分
１２２ 第一トンネル部分
１２３ 第二トンネル部分
１３１ 網識別データベース
１３２ 転送管理テーブル
１３３ 一時データベース
１３４ ＩＤデータベース
１３５ 転送管理テーブル
１３６ 転送管理テーブル
１６１ 第一網終端装置認証処理部
１６２ 発呼装置対向接続要求処理部
１６３ 発呼装置対向アカウンティング処理部
１６４ 発呼装置対向切断処理部
２１１ 第一接続要求手段
２１２ 第一認証要求手段
２１３ 一時記憶登録手段
２１４ 発呼要求手段
２１５ 第二接続要求手段
２１６ 第二認証要求手段
２１７ 認証手段
２２１ 第二アドレス通知手段
２２２ 第二トンネル接続手段
２２３ 転送テーブル登録手段
２２４ 第二トンネル通信手段
２２５ アカウンティング手段
２２６ 一時記録追記手段
２２７ アドレス中継手段
２２８ 第一アドレス通知手段
２２９ 第一トンネル接続手段
２３０ 第一トンネル通信手段
３１１ 第一接続要求ステップ
３１２ 第一認証要求ステップ
３１３ 一時レコード登録ステップ
３１４ 発呼要求ステップ
３１５ 第二接続要求ステップ
３１６ 第二認証要求ステップ
３１７ 認証ステップ
３２１ 第二トンネル確立ステップ
３２２ アカウンティングステップ
３２３ 一時レコード追記ステップ
３２４ アドレス通知ステップ
３２５ 第一トンネル確立ステップ
３４９ 一時レコード削除ステップ
３５１ 第一認証拒否ステップ
３５２ 第二認証拒否ステップ
３５３ 第三認証拒否ステップ
３５４ 第四認証拒否ステップ
３５５ 第五認証拒否ステップ

Claims (6)

1. プライベートアドレスを付与するアクセス網に端末を接続し、前記アクセス網とは別個独立にプライベートアドレスを付与する中間通信網に、前記アクセス網及び前記中間通信網とは別個独立にプライベートアドレスを付与するプライベート網と、前記アクセス網とを接続し、この中間通信網を介して前記端末が前記プライベート網との間にＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ（ＶＰＮ）を構築するネットワーク認証方法であって、
   上記端末が、アクセス網が備える中間通信網に繋がる第一網終端装置に対して、ＩＤとパスワードを通知して接続要求する第一接続要求ステップ、
   上記第一網終端装置が、上記の端末から送信されたＩＤとパスワードにより、上記中間通信網が備える第一認証サーバに認証要求する第一認証要求ステップ、
   第一認証サーバが、上記のＩＤとパスワードとともに、発呼装置に発呼要求する第一発呼要求ステップ、
   上記発呼装置が、中間通信網が備えるプライベート網へ繋がる第二網終端装置に対して、上記のＩＤとパスワードを送信して接続要求する第二接続要求ステップ、
   上記第二網終端装置が、上記のＩＤとパスワードにより、上記プライベート網が備える第二認証サーバに認証要求する第二認証要求ステップ、
   第二認証サーバが、上記のＩＤとパスワードについて認証を行い、承認すれば上記プライベート網の上記プライベートアドレスを払い出す認証ステップ、
   上記第二網終端装置が、上記発呼装置に上記プライベート網の上記プライベートアドレスを送信して、当該送信された上記発呼装置が上記プライベート網の上記プライベートアドレスと上記第二網終端装置の送信元アドレスとを関連付けて上記発呼装置自身が有する転送管理テーブルに登録し、当該上記第二網終端装置との間で前記転送管理テーブルを参照するＰｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ ｐｒｏｔｏｃｏｌ（ＰＰＰ）又はＩＰｓｅｃによる接続を確立する第二トンネル確立ステップ、
   上記発呼装置が、上記第一認証サーバに上記プライベート網の上記プライベートアドレスを送信するアカウンティングステップ、
   当該送信された上記第一認証サーバが、上記第一網終端装置へ上記プライベート網の上記プライベートアドレスを払い出す第二アドレス通知ステップ、
   当該払い出された上記第一網終端装置が、上記端末に上記プライベート網の上記プライベートアドレスを送信して、当該送信された上記端末とＰＰＰ又はＩＰｓｅｃによる接続を確立する第一トンネル確立ステップ、
   とを順に実行するネットワーク認証方法。
2. 上記中間通信網に複数の上記プライベート網が接続され、上記中間通信網は、それぞれの上記プライベート網に繋がる上記第二網終端装置を備えており、
   上記第一接続要求ステップにおいて、上記端末は、送信するＩＤ及びパスワードとともに、接続先となる上記プライベート網を判別する網識別情報を送信し、
   上記第二接続要求ステップにおいて、上記発呼装置は、上記ＩＤ及びパスワードとともに受信した上記網識別情報により、接続要求する宛先となる上記プライベート網に繋がる上記第二網終端装置を接続要求先として選択する、
   請求項１に記載のネットワーク認証方法。
3. 上記網識別情報が、上記ＩＤの一部として付与されたものであり、
   少なくとも第一接続要求ステップ、第一認証要求ステップ、第一発呼要求ステップでは、上記網識別情報が上記ＩＤに附属して送信される請求項２に記載のネットワーク認証方法。
4. 上記第一認証サーバが、ＩＤ、パスワード及びアドレスを一時的に記録する動的な一時データベースを有し、
   上記第一認証要求ステップの後に、上記第一認証サーバは、上記ＩＤ及びパスワードについてのレコードを、上記一時データベースに記録する一時レコード登録ステップを実行し、
   上記アカウンティングステップの前、又は後に、上記第一認証サーバは、受信した上記プライベート網の上記プライベートアドレスを、上記ＩＤ及びパスワードに対応したレコードに追記する一時レコード追記ステップを実行し、
   上記第二トンネル確立ステップの後に、上記第一認証サーバは、上記端末の切断通知を受信すると、上記一時データベースから当該上記端末についてのレコードを削除する一時レコード削除ステップを実行する、請求項１乃至３のいずれかに記載のネットワーク認証方法。
5. 端末が接続するアクセス網と、プライベート網と、それらを繋ぐ中間通信網とからなる複合した通信網からなり、それら通信網のいずれも、別個独立のプライベートアドレスを使用する複合ネットワークにおいて、上記端末から、上記中間通信網を介して上記プライベート網へ接続してＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ（ＶＰＮ）を構築させるサービス提供システムであって、
   上記アクセス網は、上記中間通信網と繋がる第一網終端装置を備え
   上記中間通信網は、上記プライベート網と繋がる第二網終端装置と、第一認証サーバと、発呼装置とを備え、
   上記プライベート網は、利用者のＩＤ及びパスワードを登録したデータベースと、前記データベースを参照可能でプライベートアドレスを払い出し可能な第二認証サーバを備え、
   上記端末は、上記ＩＤ及びパスワードとともに上記プライベート網への接続要求を上記第一網終端装置に送信する第一接続要求手段と、上記第一網終端装置から通知された上記プライベート網の上記プライベートアドレスにより上記第一網終端装置との間でＰＰＰ又はＩＰｓｅｃによるトンネル接続を確立して通信を行う第一トンネル通信手段とを有し、
   上記第一網終端装置は、上記ＩＤ及びパスワードにより、上記第一認証サーバに認証要求する第一認証要求手段と、上記第一認証サーバから送信された上記プライベート網の上記プライベートアドレスを上記端末に通知する第一アドレス通知手段と、上記端末との間でＰＰＰ又はＩＰｓｅｃによるトンネル接続を確立して通信を行う第一トンネル接続手段と、
   上記第一認証サーバは、上記第一網終端装置から受信した上記ＩＤ及びパスワードとともに、上記発呼装置に発呼要求する発呼要求手段と、上記発呼装置から送信された上記プライベート網の上記プライベートアドレスを上記第一網終端装置に払い出すアドレス中継手段とを有し、
   上記発呼装置は、上記ＩＤ及びパスワードとともに、上記端末の上記プライベート網への接続要求を上記第二網終端装置に送信する第二接続要求手段と、上記プライベート網の上記プライベートアドレスとその送信元である上記第二網終端装置のアドレスとを関連づけて転送管理テーブルに記録する転送テーブル登録手段と、上記第二網終端装置から送信された上記プライベート網のプライベートアドレスを上記第一認証サーバへ通知するアカウンティング手段と、上記第二網終端装置から通知された上記プライベート網の上記プライベートアドレスにより上記第二網終端装置との間で上記転送管理テーブルのレコードに従ってＰＰＰ又はＩＰｓｅｃによるトンネル接続を確立して通信を行う第二トンネル通信手段とを有し、
   上記第二網終端装置は、上記ＩＤ及びパスワードにより、上記第二認証サーバに認証要求する第二認証要求手段と、上記第二認証サーバから払い出された上記プライベート網の上記プライベートアドレスを上記発呼装置に通知する第二アドレス通知手段と、上記発呼装置との間で上記転送管理テーブルのレコードに従ってＰＰＰ又はＩＰｓｅｃによるトンネル接続を確立して通信を行う第二トンネル接続手段と、
   上記第二認証サーバは、上記第二網終端装置から送信された上記ＩＤ及びパスワードを、上記データベースの記録を参照して承認し、上記端末を上記プライベート網へ接続させるための上記プライベート網のプライベートアドレスを上記第二網終端装置に払い出す認証手段を有する、
   サービス提供システム。
6. 上記複合ネットワークは、上記中間通信網に接続された上記プライベート網を複数有し、
   上記発呼装置は、上記プライベート網を識別する網識別情報を記録した網識別データベースを有し、
   上記第一接続要求手段、上記第一認証要求手段、及び上記発呼要求手段は、上記ＩＤ及びパスワードとともに、上記端末が接続する先である上記プライベート網に対応する上記網識別情報を送信し、
   上記第二接続要求手段は、上記ＩＤ及びパスワードとともに受信した上記網識別情報により指定された上記プライベート網に繋がる上記第二網終端装置に対して接続要求を送信するものであり、
   上記第一トンネル接続手段は、上記網識別情報により指定された上記プライベート網に繋がる上記第二網終端装置との間で通信を行うものである、
   請求項５に記載のサービス提供システム。

Images