JP6973326B2

JP6973326B2 - 通信システム及び通信方法

Info

Publication number: JP6973326B2
Application number: JP2018152994A
Authority: JP
Inventors: 伸也河野
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2018-08-15
Filing date: 2018-08-15
Publication date: 2021-11-24
Anticipated expiration: 2038-08-15
Also published as: US11374793B2; WO2020036117A1; JP2020028069A; US20210351957A1

Description

本発明は、通信システム及び通信方法に関する。

宅内の端末がインターネット接続を行うためには、端末が通信事業者の回線へ接続してから、インターネットへ接続することが一般的である。通信事業者の回線接続においては、より柔軟な接続サービスが求められている。

通常、加入者の端末が通信事業者の回線に接続する際には、通信事業者の回線認証が行われ、認証に成功した場合に、接続がなされる。当該回線認証時に、加入者毎のサービス条件が確認され、当該サービス条件が適用される。

ここで、通信事業者による柔軟かつタイムリーなサービス提供を実現するために、ＨＧＷ（Home Gate Way）等の機能をネットワーク上に一部配備するｖＣＰＥ（virtual Customer Premise Equipment）技術が提案され、実用化されている（例えば、非特許文献１，２参照）。このうち、ｖＣＰＥ技術は、柔軟にサービスを追加・削除可能な方法として適用されている。

さらに、ｖＣＰＥを活用して、宅外から宅内ネットワークへの接続を実現し、宅外から、容易に宅内ネットワークを使用可能とする方法が提案されている（非特許文献３，４参照）。この方法は、宅外のｖＣＰＥが、宅内のｖＣＰＥと接続し、ｖＣＰＥ上のＮＡＴ（Network Address Translation）機能による転送を行い、ｖＣＰＥ同士を連携している。この方法によれば、加入者は、複雑な設定なしに、宅外でも宅内と同様のサービスを使用可能とする。

NEC，vCPE virtualized Customer Premises Equipment，［online］，［平成３０年７月３０日検索］，インターネット＜ＵＲＬ：http://jpn.nec.com/tcs/vCPE/index.html＞ JUNIPER，Virtualized CPE -Juniper Networks，［online］，［平成３０年７月３０日検索］，インターネット＜ＵＲＬ：https://www.juniper.net/jp/jp/solutions/nfv/vCPE/＞河野，宮本，木村，本間，土屋，岡田，佐藤，"ｖＣＰＥを活用したロケーションフリーな回線接続サービス提供方式の提案"，信学技報，vol. 118，no.6，pp. 19-24，Apr. 2018. ALAXALA, ダイナミックＶＬＡＮモード，［online］，［平成３０年７月３０日検索］、インターネット＜ＵＲＬ：https://www.alaxala.com/jp/techinfo/archive/manual/AX2400S/HTML/11_7/CFGUIDE2/0199.HTM#ID00707＞

非特許文献３の技術では、宅外のｖＣＰＥ（他者ｖＣＰＥ）が、他者ｖＣＰＥに接続した加入者端末が所属するｖＣＰＥ（加入者ｖＣＰＥ）を判別している。このため、非特許文献３の技術では、他者ｖＣＰＥまでは、加入者端末と、他者ｖＣＰＥに元々接続する他者端末とで共通のネットワークセグメントとなっていた。

ここで、ネットワーク提供者それぞれが、加入者端末と他者端末との間の接続性を適切にコントロールしたいという要求がある。具体的には、接続する加入者端末の使用者からは、接続先の他者の宅内ネットワークに、悪意のあるソフトウェアがインストールされた端末等が接続されている可能性があるため、他者端末とネットワークセグメントを分離したいという要望がある。また、接続される側の他者端末の使用者からは、加入者端末に、脆弱性を持つ可能性や、悪意のあるソフトウェアがインストールされている可能性があるため、加入者端末とネットワークセグメントを分離したいという要望がある。

しかしながら、他者ｖＣＰＥまでは、加入者端末と、他者ｖＣＰＥに元々接続する他者端末とで共通のネットワークセグメントであるため、端末間でネットワークセグメントの分離が困難であった。

本発明は、上記に鑑みてなされたものであって、加入者端末が他者ｖＣＰＥに接続する場合に、加入者端末と、他者ｖＣＰＥに接続する他者端末との間の接続関係を柔軟に変更することができる通信システム及び通信方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る通信システムは、第１の端末が所属する第１のｖＣＰＥ（virtual Customer Premise Equipment）、第２の端末が接続する第２のｖＣＰＥ、及び、認証サーバを有する通信システムであって、第１の端末が第２のｖＣＰＥに接続する場合に、第２のｖＣＰＥ及び第１の端末における接続許容条件を基に、第２の端末及び第２のｖＣＰＥの間の接続と、第１の端末及び第２のｖＣＰＥの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する判定部を有し、第２のｖＣＰＥは、認証サーバにおいて第１の端末が登録されている場合には、認証サーバにより通知された第１のｖＣＰＥのアドレスを基に、第１のｖＣＰＥとトンネル接続を行う接続部と、第２の端末及び第２のｖＣＰＥの間の接続と、第１の端末及び第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、第１の端末に対して第２の端末に割り当てたネットワークセグメントと異なるネットワークセグメントを割り当て、第２の端末及び第２のｖＣＰＥの間の接続と、第１の端末及び第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、第１の端末に対して第２の端末に割り当てたネットワークセグメントを割り当てる割り当て部と、を有することを特徴とする。

本発明によれば、加入者端末が他者ｖＣＰＥに接続する場合に、加入者端末と、他者ｖＣＰＥに接続する他者端末との間の接続関係を柔軟に変更することができる。

図１は、実施の形態に係る通信システムの構成の一例を示す図である。図２は、図１に示す通信システムにおける通信処理の流れを説明する図である。図３は、ネットワークセグメントの割り当てを説明する図である。図４は、ネットワークセグメントの割り当てを説明する図である。図５は、ネットワークセグメントの割り当ての他の例を説明する図である。図６は、図１に示す他者ＶＣＰＥの構成の一例を示す図である。図７は、ＶＬＡＮ払出し情報テーブルのデータ構成の一例を示す図である。図８は、図１に示す認証サーバの構成の一例を示す図である。図９は、端末情報テーブルのデータ構成の一例を示す図である。図１０は、ｖＣＰＥ管理テーブルのデータ構成の一例を示す図である。図１１は、連携実施有無テーブルのデータ構成を示す図である。図１２は、図１に示す他者ＣＰＥの構成の一例を示す図である。図１３は、図１に示す他者ＣＰＥの概要を示す図である。図１４は、ＶＬＡＮ管理テーブルのデータ構成の一例を示す図である。図１５は、実施の形態に係る通信処理の処理手順を示すシーケンス図である。図１６は、実施の形態１の変形例１における他者ｖＣＰＥの構成の一例を示す図である。図１７は、実施の形態１の変形例１における認証サーバの構成の一例を示す図である。図１８は、実施の形態の変形例１に係る通信処理の処理手順を示すシーケンス図である。図１９は、実施の形態１の変形例２における他者ＣＰＥの構成の一例を示す図である。図２０は、実施の形態の変形例２に係る通信処理の処理手順を示すシーケンス図である。図２１は、プログラムが実行されることにより、ｖＣＰＥ、ｖＣＰＥ、認証サーバが実現されるコンピュータの一例を示す図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［実施の形態］
本発明の実施の形態について説明する。図１は、実施の形態に係る通信システムの構成の一例を示す図である。

図１に示すように、実施の形態に係る通信システム１は、加入者Ａの宅内ネットワークの端末１００Ａ、または、加入者Ｂの宅内ネットワークの端末１００Ｂが、回線事業者網を介して、インターネット通信網に接続する構成を有する。

加入者Ａの宅内ネットワークは、端末１００Ａと、ＣＰＥ１１０Ａとを有する。加入者Ａの宅内ネットワークは、ルータ２００Ａを介して回線事業者網に接続する。また、加入者Ｂの宅内ネットワークは、端末１００Ｂと、ＣＰＥ１１０Ｂとを有する。加入者Ａの宅内ネットワークは、ルータ２００Ｂを介して回線事業者網に接続する。

回線事業者網には、認証サーバ４００と、端末１００Ａが所属するｖＣＰＥ３１０Ａと、端末１００Ｂが所属する３１０Ｂが設けられる。ｖＣＰＥ３１０Ａ，３１０Ｂは、実際には、サーバ装置（不図示）内で動作する。以下、端末１００Ａ及び端末１００Ｂを総称する際には端末１００とする。ｖＣＰＥ３１０Ａ及びｖＣＰＥ３１０Ｂを総称する際にはｖＣＰＥ３１０とする。ＣＰＥ１１０Ａ及びＣＰＥ１１０Ｂを総称する際にはＣＰＥ１１０とする。

認証サーバ４００は、端末１００の登録を行い、端末１００と当該端末１００が所属するｖＣＰＥとの組を記憶する。また、認証サーバ４００は、各ｖＣＰＥ３１０の接続許容条件及び各端末１００における接続許容条件を記憶する。認証サーバ４００は、端末１００によるｖＣＰＥ３１０を介した問い合わせを受けた場合、この端末１００が未登録の場合には登録を行う。また、認証サーバは、端末１００によるｖＣＰＥ３１０を介した問い合わせを受けた場合、この端末１００の登録情報を確認するための認証手続きを行う。

ｖＣＰＥ３１０は、端末１００接続時のアドレスの払い出し、及び、ＣＰＥ１１０からのトンネルを終端する等の機能を有する。また、ＣＰＥ１１０は、ｖＣＰＥ３１０へのトンネル接続機能を有する。

本実施の形態では、加入者Ａの端末１００Ａが、他者である加入者Ｂの宅内ネットワークに接続する場合について説明する。この場合、加入者Ｂの端末１００Ｂが所属するｖＣＰＥ３１０Ｂと、加入者Ａの端末１００Ａが所属するｖＣＰＥ３１０Ａとの間のトンネルＴ１を介して、端末１００Ａは、ｖＣＰＥ３１０Ａと接続する。

そこで、以降においては、加入者Ａの端末１００Ａを加入者端末１００Ａ（第１の端末）とし、加入者Ａの拠点のＣＰＥ１１０Ａを加入者ＣＰＥ１１０Ａとし、加入者Ａの拠点のｖＣＰＥ３１０Ａを加入者ｖＣＰＥ３１０Ａ（第１のｖＣＰＥ）として説明する。そして、加入者Ｂの端末１００Ｂを他者端末１００Ｂ（第２の端末）とし、加入者Ｂの拠点のＣＰＥ１１０Ｂを他者ＣＰＥ１１０Ｂとし、加入者Ｂの拠点のｖＣＰＥ３１０Ｂを他者ｖＣＰＥ（第２のｖＣＰＥ）として説明する。

本実施の形態では、認証サーバ４００は、加入者端末１００Ａが他者ｖＣＰＥ３１０Ｂに接続する場合に、接続許容条件を参照し、加入者端末１００Ａの接続許容内容、及び、他者ｖＣＰＥ３１０Ｂの接続許容内容に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する。通信システム１では、この判定に応じて他者ｖＣＰＥ３１０Ｂがネットワークセグメントを設定することによって、他者ｖＣＰＥ３１０Ｂに接続する加入者端末１００Ａと、他者端末１００Ｂとの間の接続関係の変更を可能にする。

［通信処理の流れ］
次に、通信システム１における通信処理の流れを説明する。図２は、図１に示す通信システム１における通信処理の流れを説明する図である。図２を参照し、他者ｖＣＰＥ３１０Ｂに接続する加入者端末１００Ａと、他者端末１００Ｂとの間のネットワークセグメントを設定するまでの処理の流れについて説明する。

まず、図２に示すように、認証サーバ４００は、加入者の端末の端末情報（例えば、ＭＡＣ（Media Access Control address）アドレス）と、加入者の端末が所属するｖＣＰＥの識別情報（例えば、ＩＰ（Internet Protocol）アドレス）とを有している。加入者Ａの加入者端末１００Ａの端末情報が認証サーバ４００に登録される際に、加入者端末１００Ａについての相互接続の許可の可否も登録される（図２の（１）参照）。許可登録の方法の一例を説明する。例えば、認証サーバ４００による端末情報登録時に、初期設定として不許可が自動登録される。加入者は、宅外からの接続を許可したい場合、ＷｅｂインタフェースやＡＰＩを経由して許可設定を行う。

加入者Ａの加入者端末１００Ａが、加入者Ｂ（宅外）の宅内ネットワークに接続する（図２の（２）参照）。このとき、加入者端末１００Ａは、他者ｖＣＰＥ３１０Ｂに対してアドレス要求を行う（図２の（３）参照）。他者ｖＣＰＥ３１０Ｂは、認証サーバに対して加入者端末１００Ａの認証を求める（図２の（４）参照）。

認証サーバ４００は、認証要求に応じて、加入者端末１００Ａの認証を行う（図２の（４）参照）。さらに、認証サーバ４００は、接続許容条件を参照し、加入者端末１００Ａと他者端末１００Ｂとの相互接続判定を行う（図２の（５）参照）。認証サーバ４００は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とに対して、適用するネットワークセグメントを設定する（図２の（５）参照）。言い換えると、認証サーバ４００は、接続許容条件に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントに設定する。或いは、接続許容条件に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、異なるネットワークセグメントに設定する。

そして、他者ｖＣＰＥ３１０Ｂは、加入者端末１００Ａが所属する加入者ｖＣＰＥ３１０ＡのＩＰアドレスを認証サーバ４００から取得して（図２の（６）参照）、加入者ｖＣＰＥ３１０Ａとの間をトンネルＴ１（Ｌ３トンネル）で接続する（図２の（７）参照）。そして、他者ｖＣＰＥ３１０Ｂは、加入者端末１００ＡによるトラフィックをトンネルＴ１へ転送するように設定する。

続いて、他者ｖＣＰＥ３１０Ｂは、認証サーバ４００によるネットワークセグメントの設定にしたがったＶＬＡＮ（Virtual Local Area Network）設定を行う（図２の（６）参照）。図３及び図４は、ネットワークセグメントの割り当てを説明する図である。図３及び図４は、通信システム１の要部のみを示す。

具体的に、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行すると設定された場合について説明する。この場合、他者ｖＣＰＥ３１０Ｂは、加入者端末１００Ａに対して他者端末１００Ｂに割り当てたＶＬＡＮ（図２及び図３のＶ１）を割り当てる。これによって、加入者端末１００Ａと他者端末１００Ｂとの間で同じＶＬＡＮでの接続が可能になる。

また、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、異なるネットワークセグメントで実行すると設定された場合について説明する。この場合、ｖＣＰＥ３１０Ｂは、加入者端末１００Ａについて、他者端末１００Ｂに割り当てたＶＬＡＮ（図２及び図４のＶ１）とは異なるＶＬＡＮ（図２及び図４のＶ２）を割り当てる。これによって、加入者端末１００Ａと他者端末１００Ｂとの間では分離が可能になる。

なお、ＶＬＡＮを用いずに、他者ＣＰＥ１１０ＢのＬ２フォワーディングの際の設定により、加入者端末１００Ａと他者端末１００Ｂとの間の分離を実現することも可能である。また、図５は、ネットワークセグメントの割り当ての他の例を説明する図である。例えば、ｖＣＰＥ３１０Ｂは、他者端末１００ＢにＬＥトンネルＴ２−１を割り当てた場合には、加入者端末１００Ａについて、トンネルＴ２−１とは異なるＬ３トンネルＴ２−２を割り当てることによって、加入者端末１００Ａと他者端末１００Ｂとの間を分離してもよい。

このような処理を実行することによって、通信システム１では、加入者端末１００Ａが他者ｖＣＰＥ３１０Ｂに接続する場合に、加入者端末１００Ａと他者端末１００Ｂとの間の接続関係（接続性の有無）を柔軟に変更することができる（図２の（８）参照）。

［他者ｖＣＰＥの構成］
続いて、通信システム１を構成する各装置の構成について説明する。まず、他者ｖＣＰＥ３１０Ｂの構成について説明する。図６は、図１に示す他者ＶＣＰＥ３１０Ｂの構成の一例を示す図である。図６に示すように、他者ｖＣＰＥ３１０Ｂは、通信部３１１、記憶部３１２及び制御部３１３を有する。前述したように、ｖＣＰＥ３１０は、実サーバ装置内で動作する。

通信部３１１は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する。通信部３１１は、動作するサーバ装置内のＮＩＣ（Network Interface Card）等の通信インタフェースで実現され、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した他の装置と制御部３１３（後述）との間の通信を行う。

記憶部３１２は、動作するサーバ装置内のＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、他者ｖＣＰＥ３１０Ｂを動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部３１２は、ＶＬＡＮ払出し情報テーブル３１２１を有する。

ＶＬＡＮ払出し情報テーブル３１２１は、他者ｖＣＰＥ３１０ＢによるＶＬＡＮの払出し状態を示す。図７は、ＶＬＡＮ払出し情報テーブル３１２１のデータ構成の一例を示す図である。

図７に示すように、ＶＬＡＮ払い出し情報テーブル３１２１は、ＶＬＡＮ番号、払い出し状態、接続加入者ＩＤ、接続端末のＩＰアドレス、許可ＶＬＡＮの項目を有する。例えば、ＶＬＡＮ番号「1」のＶＬＡＮについては、「IP addr 1」の接続端末に既に割り当てられているため、払い出し状態が「1」にアップデータされている。また、ＶＬＡＮ番号「3」のＶＬＡＮについては、未払い出しのため、払い出し状態は「0」のままである。ＶＬＡＮ払出し情報テーブル３１２１は、セグメント割当部３１３２（後述）のＶＬＡＮ割り当てに応じて更新される。

制御部３１３は、他者ｖＣＰＥ３１０Ｂ全体を制御する。制御部３１３は、各種の処理手順などを規定したプログラム及び所要データによって種々の処理を実行する。例えば、制御部３１３は、動作するサーバ装置内のＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路である。また、制御部３１３は、各種のプログラムが動作することにより各種の処理部として機能する。

制御部３１３は、問い合わせ部３１３１、セグメント割当部３１３２（割り当て部）、ＩＰアドレス配布を行うＤＨＣＰ機能部３１３３、トンネル終端機能部３１３４（接続部）、及び、ＮＡＴ処理を行うＮＡＴ機能部３１３５を有する。

問い合わせ部３１３１は、認証サーバ４００に対して加入者端末１００Ａの登録の有無を問い合わせる。問い合わせ部３１３１は、加入者端末１００Ａの登録の有無の問い合わせに対して、認証サーバ４００から、加入者ｖＣＰＥ３１０ＡのＩＰアドレス、及び、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とについてのネットワークセグメントの設定指示を受ける。

セグメント割当部３１３２は、認証サーバ４００によるネットワークセグメントの設定指示に従い、他者ｖＣＰＥ３１０Ｂに接続した加入者端末１００ＡにＶＬＡＮ（ネットワークセグメント）を割り当てる。

例えば、セグメント割当部３１３２は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行すると設定された場合には、加入者端末１００Ａに対して他者端末１００Ｂに割り当てたＶＬＡＮを割り当てる。

また、セグメント割当部３１３２は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、異なるネットワークセグメントで実行すると設定された場合には、加入者端末１００Ａについて、他者端末１００Ｂに割り当てたＶＬＡＮとは異なるＶＬＡＮを割り当てる。セグメント割当部３１３２は、他者ｖＣＰＥ３１０Ｂと他者ＣＰＥ１１０Ｂとの間で新規にＶＬＡＮの設定を行う。なお、セグメント割当部３１３２は、端末１００に応じてトンネルを振り分ける機能を有していてもよい。

トンネル終端機能部３１３４は、トンネル終端を行う。トンネル終端機能部３１３４は、複数拠点からのトンネル接続を行う。トンネル終端機能部３１３４は、認証サーバ４００において加入者端末１００Ａが登録されている場合には、認証サーバ４００により通知された加入者ｖＣＰＥ３１０Ａのアドレスを基に、加入者ｖＣＰＥ３１０Ａとトンネル接続を行う。

なお、加入者ｖＣＰＥ３１０Ａは、他者ｖＣＰＥ３１０Ｂと同様の構成であってもよい。加入者ｖＣＰＥ３１０Ａは、少なくとも、複数拠点からのトンネル接続を行う機能と、端末１００に応じてトンネルを振り分ける機能があれば足りる。

［認証サーバの構成］
次に、認証サーバ４００について説明する。図８は、図１に示す認証サーバ４００の構成の一例を示す図である。図８に示すように、認証サーバ４００は、通信部４１０、記憶部４２０及び制御部４３０を有する。

通信部４１０は、ＮＩＣ等の通信インタフェースで実現され、ＬＡＮやインターネットなどの電気通信回線を介した他の装置と制御部４２０（後述）との間の通信を行う。

記憶部４２０は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、認証サーバ４００を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部４２０は、端末情報テーブル４２１、ｖＣＰＥ管理テーブル４２２及び連携実施有無テーブル４２３を有する。

端末情報テーブル４２１は、端末１００の接続許容条件を示す情報である。端末情報テーブル４２１は、端末１００のＭＡＣアドレスと、端末１００を収容するｖＣＰＥ３１０の識別情報と、端末１００の加入者ＩＤと、端末１００が接続を許容するｖＣＰＥ３１０の識別情報とを対応付ける。端末１００の接続許容条件は、予めＷｅｂインタフェース（例えば、ＳＯＡＰ（Simple Object Access Protocol））を介して、端末１００を使用する加入者が設定を行う。

図９は、端末情報テーブル４２１のデータ構成の一例を示す図である。図９に示すように、端末情報テーブル４２１は、端末１００のＭＡＣアドレス、端末１００を収容するｖＣＰＥ３１０のＩＰアドレス、端末１００の加入者ＩＤ、端末１００が接続を許容するｖＣＰＥ３１０のＩＰアドレスの項目を有する。

例えば、ＭＡＣアドレスが「MAC addr 1」である端末１００については、ＩＰアドレスが「IP addr 1」のｖＣＰＥ３１０がこの端末１００を収容する加入者ｖＣＰＥ３１０Ａである。さらに、この「MAC addr 1」である端末１００は、加入者ＩＤが「ID1」であり、ＩＰアドレスが「IP addr 2」であるｖＣＰＥ３１０に接続を許容する。また、ＭＡＣアドレスが「MAC addr 2」である端末１００については、「MAC addr 1」である端末１００と同じ加入者ｖＣＰＥ３１０Ａ及び加入者ＩＤを有するが、接続許容ｖＣＰＥ欄は「0」であり、接続を許容するｖＣＰＥ３１０は設定されていない。

ｖＣＰＥ管理テーブル４２２は、ｖＣＰＥ３１０の接続許容条件を示す情報である。ｖＣＰＥ管理テーブル４２２は、ｖＣＰＥ３１０の識別情報と、該ｖＣＰＥ３１０が接続を許容する加入者ＩＤとを対応付ける。ｖＣＰＥ３１０の接続許容条件は、予めＷｅｂインタフェース（例えば、ＳＯＡＰ）を介して、ｖＣＰＥ３１０を管理する管理者等が設定を行う。

図１０は、ｖＣＰＥ管理テーブル４２２のデータ構成の一例を示す図である。図１０に示すように、ｖＣＰＥ管理テーブル４２２は、ｖＣＰＥ３１０のＩＰアドレスと、該ｖＣＰＥ３１０が接続を許容する加入者ＩＤとの項目を有する。例えば、ＩＰアドレスが「IP addr 1」であるｖＣＰＥ３１０については、「ID1」及び「ID2」の加入者ＩＤであれば、接続が許容される。

そして、連携実施有無テーブル４２３について説明する。図１１は、連携実施有無テーブル４２３のデータ構成を示す図である。連携実施有無テーブル４２３は、ｖＣＰＥ３１０のＩＰアドレス、該ｖＣＰＥ３１０に収容される端末１００による宅外接続の有無、及び、該ｖＣＰＥ３１０に対する他ｖＣＰＥ３１０からの接続を許可するか否かの情報を示す。

認証サーバ４００は、宅外からの自宅接続の有無もしくは自宅からの他ｖＣＰＥ接続を、加入者が、新規加入時の登録メニュー等を介して設定する場合にのみ、この連携実施有無テーブル４２３を記憶する。例えば、いずれのｖＣＰＥ３１０についても、ｖＣＰＥ３１０に収容される端末１００による宅外接続、及び、該ｖＣＰＥ３１０に対する他ｖＣＰＥ３１０からの接続を許可することが決まっている場合には、認証サーバ４００には、連携実施有無テーブル４２３が記憶されない。

制御部４３０は、他者ｖＣＰＥ３１０Ｂ全体を制御する。例えば、制御部３１３は、ＣＰＵやＭＰＵなどの電子回路であり、各種のプログラムが動作することにより各種の処理部として機能する。制御部４３０は、加入者情報取得部４３１、接続判定部４３２、セグメント設定部４３３及び払い出し部４３４を有する。

加入者情報取得部４３１は、他者ｖＣＰＥ３１０Ｂの問い合わせを基に、他者ｖＣＰＥ３１０Ｂに接続する加入者端末１００Ａの識別情報を取得する。加入者情報取得部４３１は、加入者端末１００ＡのＭＡＣアドレスを取得する。

接続判定部４３２は、他者ｖＣＰＥ３１０Ｂ及び加入者端末１００Ａにおける接続許容条件を基に、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する。接続判定部４３２は、端末情報テーブル４２１とｖＣＰＥ管理テーブル４２２とを基に、ネットワークセグメントに関する判定を行う。

具体的には、接続判定部４３２は、接続する加入者端末１００Ａの加入者ＩＤが、問い合わせ元の他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであるか否かを判定する第１の判定を行う。さらに、接続判定部４３２は、問い合わせ元の他者ｖＣＰＥ３１０Ｂが、接続する加入者端末１００Ａが接続を許容するｖＣＰＥ３１０であるか否かを判定する第２の判定を行う。

まず、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであり、かつ、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０である場合について説明する。

例として、他者ｖＣＰＥ３１０ＢがＩＰアドレス「IP addr 2」であり、加入者端末１００ＡのＭＡＣアドレスが「MAC addr 1」であり、加入者端末１００Ａの加入者ＩＤが「ID1」である場合を例に説明する。この場合、ＣＰＥ管理テーブル（図１０参照）では、加入者端末１００Ａの加入者ＩＤ「ID1」は、ＩＰアドレス「IP addr 2」である他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであることが示されている。そして、端末情報テーブル（図９参照）では、ＩＰアドレス「IP addr 2」である他者ｖＣＰＥ３１０Ｂが、ＭＡＣアドレスが「MAC addr 1」である加入者端末１００Ａが接続を許容するｖＣＰＥ３１０であることが示されている。

この場合、接続判定部４３２は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを同一のネットワークセグメントで実行すると判定する。

一方、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤでない、または、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０でない場合について説明する。

例として、他者ｖＣＰＥ３１０ＢがＩＰアドレス「IP addr 2」であり、加入者端末１００ＡのＭＡＣアドレスが「MAC addr 2」であり、加入者端末１００Ａの加入者ＩＤが「ID1」である場合を例に説明する。この場合、ＣＰＥ管理テーブル（図１０参照）では、加入者端末１００Ａの加入者ＩＤ「ID1」は、ＩＰアドレス「IP addr 2」である他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであることが示されている。これに対し、端末情報テーブル（図９参照）では、ＩＰアドレス「IP addr 2」である他者ｖＣＰＥ３１０Ｂが、ＭＡＣアドレスが「MAC addr 2」である加入者端末１００Ａが接続を許容するｖＣＰＥ３１０でない。

このため、この場合には、接続判定部４３２は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを異なるネットワークセグメントで実行すると判定する。

セグメント設定部４３３は、接続判定部４３２の判定に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とに対するネットワークセグメントの設定を行い、ＶＬＡＮの設定指示を他者ｖＣＰＥに通知する。

払い出し部４３４は、他者ｖＣＰＥ３１０Ｂに接続する加入者端末１００Ａが所属する加入者ｖＣＰＥ３１０ＡのＩＰアドレスを、他者ｖＣＰＥ３１０Ｂに通知する。

［他者ＣＰＥの構成］
次に、他者ＣＰＥ１１０Ｂの構成について説明する。図１２は、図１に示す他者ＣＰＥ１１０Ｂの構成の一例を示す図である。図１３は、図１に示す他者ＣＰＥの概要を示す図である。

図１２に示す他者ＣＰＥ１１０Ｂは、各種ポートＰ１，Ｐ２，Ｐ３（図１３参照）を含む通信インタフェースで実現される通信部１１１、ＲＡＭやフラッシュメモリによって実現される記憶部１１２、及び、ＣＰＵなどによって実現される制御部１１３を有する。

記憶部１１１は、ＶＬＡＮ管理テーブル１１２１を有する。図１４は、ＶＬＡＮ管理テーブル１１２１のデータ構成の一例を示す図である。図１４に示すように、ＶＬＡＮ管理テーブル１１２１は、ポート番号、他者ｖＣＰＥ３１０Ｂから割り振られたＶＬＡＮ番号及び接続する端末１００のＭＡＣアドレスの項目を有する。設定されたＶＬＡＮ情報は、他者ｖＣＰＥ３１０ＢよりＲＡＤＩＵＳ等のプロトコルを使用して通知される。

制御部１１３は、ポート設定部１１３１を有する。ポート設定部１１３１は、ＶＬＡＮ管理テーブルを基に、他者ｖＣＰＥ３１０Ｂから割り当てられたＶＬＡＮ番号と接続する端末１００のＭＡＣアドレスを、対応する物理ポート或いは論理ポートに割り当てる。例えば、ポート設定部１１３１は、接続する端末１００のＭＡＣアドレスが「aa:bb:cc:dd:ee:ff」である場合には、ｖＣＰＥ３１０Ｂから割り当てられたＶＬＡＮ番号「1」に対応するポート番号「1」のポートに「aa:bb:cc:dd:ee:ff」を割り当てる。

［通信処理の処理手順］
図１５は、実施の形態に係る通信処理の処理手順を示すシーケンス図である。図１５に示すように、加入者端末１００Ａは、他者である加入者Ｂの宅内ネットワークの接続に際し、他者ｖＣＰＥ３１０ＢにＤＨＣＰによるアドレス要求を送信する（ステップＳ１）。他者ｖＣＰＥ３１０Ｂは、ＲＡＤＩＵＳ等により加入者端末１００ＡのＭＡＣアドレス情報を送信し、この加入者端末１００Ａが所属する加入者ｖＣＰＥのＩＰアドレスの要求する（ステップＳ２）。

認証サーバ４００は、端末情報テーブルとｖＣＰＥ管理テーブルを参照する（ステップＳ３，Ｓ４）。そして、認証サーバ４００は、接続する加入者端末１００Ａの加入者ＩＤが、問い合わせ元の他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであるか否かを判定する（ステップＳ５）。認証サーバ４００は、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであると判定した場合（ステップＳ５：Ｙｅｓ）、問い合わせ元の他者ｖＣＰＥ３１０Ｂが、接続する加入者端末１００Ａが接続を許容するｖＣＰＥ３１０であるか否かを判定する（ステップＳ６）。

そして、認証サーバ４００は、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０であると判定した場合（ステップＳ６：Ｙｅｓ）、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを同一のネットワークセグメントで実行すると判定する（ステップＳ７）。そして、認証サーバ４００は、他者ｖＣＰＥ３１０Ｂに、加入者端末１００Ａについて、他者端末１００Ｂと同一のＶＬＡＮ設定を指示するともに、加入者ｖＣＰＥのＩＰアドレスを払い出す（ステップＳ８，Ｓ１１）。

これに対し、認証サーバ４００は、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤでないと判定した場合（ステップＳ５：Ｎｏ）、または、他者ｖＣＰＥ３１０Ｂが、接続する加入者端末１００Ａが接続を許容するｖＣＰＥ３１０でないと判定した場合（ステップＳ６：Ｎｏ）、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを異なるネットワークセグメントで実行すると判定する（ステップＳ９）。そして、認証サーバ４００は、他者ｖＣＰＥ３１０Ｂに、加入者端末１００Ａについて、他者端末１００Ｂと異なるＶＬＡＮ設定を指示するともに、加入者ｖＣＰＥのＩＰアドレスを払い出す（ステップＳ１０，Ｓ１１）。

他者ｖＣＰＥ３１０Ｂは、加入者Ａの端末１００Ａが所属する加入者ｖＣＰＥ３１０Ａと他者ｖＣＰＥ３１０Ｂとをトンネルで接続する。そして、他者ｖＣＰＥ３１０Ｂは、認証サーバ４００による指示が、加入者端末１００Ａが他者端末１００Ｂと同一のＶＬＡＮ（ネットワークセグメント）設定であるか否かを判定する（ステップＳ１２）。

他者ｖＣＰＥ３１０Ｂは、認証サーバ４００による指示が、加入者端末１００Ａが他者端末１００Ｂと同一のＶＬＡＮ設定であると判定した場合（ステップＳ１２：Ｙｅｓ）、加入者端末１００Ａに対して、他者端末１００Ｂに割り当てた割り当て済みのＶＬＡＮを割り当てる（ステップＳ１３）。これに対し、他者ｖＣＰＥ３１０Ｂは、認証サーバ４００による指示が、加入者端末１００Ａが他者端末１００Ｂと同一のＶＬＡＮ設定でないと判定した場合（ステップＳ１２：Ｎｏ）、加入者端末１００Ａについて、他者端末１００Ｂに割り当てたＶＬＡＮとは異なる新規のＶＬＡＮを割り当てる（ステップＳ１４）。

そして、他者ＣＰＥ１１０Ｂは、他者ｖＣＰＥ３１０Ｂから払い出されるＶＬＡＮ情報の通知を受けると（ステップＳ１５）、ＶＬＡＮ管理テーブルを参照し（ステップＳ１６）、ＶＬＡＮ管理テーブルを参照し、加入者端末１１０Ａが接続されたポート番号のエントリに、加入者端末１００ＡのＭＡＣアドレスと払い出されたＶＬＡＮ番号を設定する（ステップＳ１７）。また、他者ｖＣＰＥ３１０Ｂは、加入者端末１００Ａに対して、ＤＨＣＰによるアドレス返答を行う（ステップＳ１８）。

［実施の形態の効果］
このように、通信システム１では、加入者端末１００Ａの他者ｖＣＰＥ３１０Ｂの接続時に、この加入者端末１００Ａの他者ｖＣＰＥ３１０Ｂに対するネットワーク接続ポリシーと、他者ｖＣＰＥ３１０Ｂにおける加入者端末１００Ａに対する接続ポリシーとを確認する。

そして、通信システム１では、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤでない、または、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０でない場合、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とについて、異なるＶＬＡＮを動的設定することによって、ネットワークを分割し、セキュリティを担保することが可能になる。

また、通信システム１では、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであり、かつ、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０である場合、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とについて、同一のＶＬＡＮを動的設定する。

この結果、通信システム１によれば、加入者端末が、他者ｖＣＰＥに接続する場合に、加入者端末と、他者ｖＣＰＥに接続する他者端末との間の接続関係を柔軟に変更することができる。すなわち、通信システム１によれば、端末１００の加入者やｖＣＰＥ単位で接続ポリシーを設定可能とすることによって、柔軟にネットワーク接続性を設定することが可能になる。

そして、通信システム１では、許可したネットワーク及び端末間でのみＶＬＡＮで接続することで、接続先ネットワークの設備の活用や接続性を保ちつつ、同一ネットワークに接続する他者の端末との接続性を制限することを可能とする。

［変形例１］
実施の形態の変形例１では、認証サーバ４００ではなく、他者ｖＣＰＥ３１０Ｂ´が、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを判定及び設定する場合について説明する。なお、変形例１に係る通信システムは、通信システム１の他者ｖＣＰＥ３１０Ｂ及び認証サーバ４００に代えて、他者ｖＣＰＥ３１０Ｂ´及び認証サーバ４００´を有する。

［他者ｖＣＰＥの構成］
図１６は、実施の形態１の変形例１における他者ｖＣＰＥ３１０Ｂ´の構成の一例を示す図である。図１６に示すように、他者ｖＣＰＥ３１０Ｂ´は、図６に示す他者ｖＣＰＥ３１０Ｂと比して、制御部３１３´を有する。制御部３１３´は、制御部３１３と比して、判定用情報受信部３１３６、接続判定部４３２及びセグメント設定部４３３をさらに有する。

判定用情報受信部３１３６は、認証サーバ４００から、接続判定に必要な情報を受信する。すなわち、判定用情報受信部３１３６は、加入者端末１００ＡのＭＡＣアドレスに対応する、加入者ｖＣＰＥのＩＰアドレス、加入者ＩＤ、この加入者端末１００Ａが接続を許容する他者ｖＣＰＥのＩＰアドレスを受信する。そして、判定用情報受信部３１３６は、他者ｖＣＰＥ３１０Ｂ´が接続を許容する加入者ＩＤを受信する。具体的には、判定用情報受信部３１３６は、加入者端末１００ＡのＭＡＣアドレスに該当する端末情報テーブルの（図９参照）と、問い合わせ元である当該他者ｖＣＰＥ３１０ＢのＩＰアドレスに対応するｖＣＰＥ管理テーブル（図１０参照）のエントリを、認証サーバ４００から受信する。

そして、接続判定部４３２は、判定用情報受信部３１３６が受信した情報を基に、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する。セグメント設定部４３３は、接続判定部４３２の判定に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とに対するＶＬＡＮの設定を、セグメント割当部３１３２に指示する。

［認証サーバの構成］
図１７は、実施の形態１の変形例１における認証サーバ４００´の構成の一例を示す図である。図１７に示すように、認証サーバ４００´は、図８に示す認証サーバ４００と比して、制御部４３０´を有する。制御部４３０´は、加入者情報取得部４３１、判定用情報送信部４３５及び、払い出し部４３４を有する。

判定用情報送信部４３５は、他者ｖＣＰＥ３１０Ｂ´に対し、接続判定に必要な情報を受信する。すなわち、判定用情報送信部４３５は、加入者端末１００ＡのＭＡＣアドレスに対応する、加入者ｖＣＰＥのＩＰアドレス、加入者ＩＤ、この加入者端末１００Ａが接続を許容する他者ｖＣＰＥのＩＰアドレスを送信する。そして、判定用情報受信部３１３６は、他者ｖＣＰＥ３１０Ｂ´が接続を許容する加入者ＩＤを送信する。具体的には、判定用情報送信部４３５は、加入者端末１００ＡのＭＡＣアドレスに該当する端末情報テーブルの（図９参照）と、問い合わせ元である当該他者ｖＣＰＥ３１０ＢのＩＰアドレスに対応するｖＣＰＥ管理テーブル（図１０参照）のエントリを、他者ｖＣＰＥ３１０Ｂ´に送信する。

［通信処理の処理手順］
図１８は、実施の形態の変形例１に係る通信処理の処理手順を示すシーケンス図である。図１８に示すステップＳ２１〜ステップＳ２４は、図１５に示すステップＳ１〜ステップＳ４と同じ処理である。認証サーバ４００は、加入者端末１００ＡのＭＡＣアドレスに該当する端末情報テーブルの（図９参照）と、問い合わせ元である当該他者ｖＣＰＥ３１０ＢのＩＰアドレスに対応するｖＣＰＥ管理テーブル（図１０参照）のエントリを、他者ｖＣＰＥ３１０Ｂ´に送信する（ステップＳ２５）。そして、認証サーバ４００は、他者ｖＣＰＥ３１０Ｂに、加入者端末１００Ａについて、加入者ｖＣＰＥのＩＰアドレスを払い出す（ステップＳ２６）。

他者ｖＣＰＥ３１０Ｂ´は、認証サーバ４００からの受信情報を基に接続判定及びセグメント設定を行う。他者ｖＣＰＥ３１０Ｂ´は、ステップＳ２７〜ステップＳ３２において、図１５に示す認証サーバ４００によるステップＳ５〜ステップＳ１０と同じ処理を行う。ステップＳ３３〜ステップＳ３９は、図１５に示すステップＳ１２〜ステップＳ１８と同じ処理である。

この変形例１のように、他者ｖＣＰＥ３１０Ｂ´が、加入者端末１００Ａに対するネットワークセグメントの設定を行ってもよい。

［変形例２］
そして、実施の形態の変形例２では、他者ＣＰＥ１１０Ｂ´が、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを判定及び設定する場合について説明する。なお、変形例２に係る通信システムは、通信システム１の他者１１０Ｂ、他者ｖＣＰＥ３１０Ｂ及び認証サーバ４００に代えて、他者ＣＰＥ１１０´、他者ｖＣＰＥ３１０Ｂ及び認証サーバ４００´とを有する。

［他者ｖＣＰＥの構成］
図１９は、実施の形態１の変形例２における他者ＣＰＥ１１０Ｂ´の構成の一例を示す図である。図１９に示すように、他者ＣＰＥ１１０Ｂ´は、図１２に示す他者ＣＰＥ１１０Ｂと比して、制御部１１３´を有する。制御部１１３´は、制御部１１３と比して、判定用情報受信部３１３６、接続判定部４３２、セグメント設定部４３３、セグメント設定部４３３によるセグメントネットワークの設定指示を他者ｖＣＰＥ３１０Ｂに送信する設定結果送信部１１３２をさらに有する。

［通信処理の流れ］
図２０は、実施の形態の変形例２に係る通信処理の処理手順を示すシーケンス図である。図２０に示すステップＳ４１〜ステップＳ４４は、図１５に示すステップＳ１〜ステップＳ４と同じ処理である。認証サーバ４００は、加入者端末１００ＡのＭＡＣアドレスに該当する端末情報テーブルの（図９参照）と、問い合わせ元である当該他者ｖＣＰＥ３１０ＢのＩＰアドレスに対応するｖＣＰＥ管理テーブル（図１０参照）のエントリを、他者ＣＰＥ１１０Ｂ´に送信する（ステップＳ４５）。ステップＳ４６は、図１８に示すステップＳ２６と同じ処理である。

そして、他者１１０Ｂ´は、認証サーバ４００からの受信情報を基に接続判定及びセグメント設定を行う。他者１１０Ｂ´は、ステップＳ４７〜ステップＳ５２において、図１５に示す認証サーバ４００によるステップＳ５〜ステップＳ１０と同じ処理を行う。そして、他者１１０Ｂ´は、設定結果を他者ｖＣＰＥ３１０Ｂに送信する（ステップＳ５３）。ステップＳ５４〜ステップＳ６０は、図１５に示すステップＳ１２〜ステップＳ１８と同じ処理である。

この変形例２のように、他者ＣＰＥ１１０´が、加入者端末１００Ａに対するネットワークセグメントの設定を行ってもよい。

（バリエーションについて）
上述した例では、認証サーバ４００，４００´における端末認証情報としてＭＡＣアドレスを使用するが、これは一例に過ぎない。ＭＡＣアドレスを用いた認証以外に、証明書、あるいは、ＥＡＰ−ＳＩＭ認証方式におけるＳＩＭ情報を用いた認証を行うこととしてもよい。

＜証明書の場合＞
証明書を用いる場合において、認証サーバ４００，４００´での認証に証明書認証を使用する。具体的には、認証サーバ４００，４００´が端末の証明書情報と収容ｖＣＰＥの組を管理し、当該管理する情報を用いて認証を行う。証明書は、予め取得する必要があるが、例えば、加入者の宅内ネットワーク接続時に証明書の取得を行う。

ｖＣＰＥ３１０におけるアドレス払い出し有無確認の為のＭＡＣアドレス確認に関しては、証明書を使用してもよいし、ＭＡＣアドレスのままでもよいし、実施しなくともよい。

＜ＳＩＭ認証の場合＞
ＳＩＭ認証の場合には、認証サーバ４００，４００´での認証にＥＡＰ−ＳＩＭ認証方式を使用する。具体的には、認証サーバ４００，４００´が、端末のＳＩＭ情報と収容ｖＣＰＥの組を管理し、当該管理する情報を用いて認証を行う。

ｖＣＰＥ３１０におけるアドレス払出し有無確認の為のＭＡＣアドレス確認に関しては、ＳＩＭ認証を使用してもよいし、ＭＡＣアドレスのままでもよいし、実施しなくともよい。

＜ＭＡＣアドレスの認証サーバへの登録について＞
認証サーバ４００，４００´へのＭＡＣアドレスの登録は、所定の端末１００のみに対して実施し、認証サーバ４００への情報登録数を削減してもよい。

＜宅外ネットワークにおける接続承認について＞
通信システム１は、接続先ネットワークの所有者が、ネットワークの利用の許可を与えることができるように、接続承認機能を有してもよい。

通信システム接続承認機能を有する場合において、一例として、接続先ネットワークの所有者が、Ｗｅｂインタフェース経由で接続許可／不許可を選択する。不許可の場合、ｖＣＰＥ３１０は認証サーバ４００，４００´への問合せを停止する。もしくは認証サーバ４００，４００´への問合せは実施するが問合せのみ実施し、問合せ結果を破棄する。許可の場合は、実施の形態（あるいは実施の形態の変形例１，変形例２）のシーケンスと同一の動作を行う。

＜機能使用に関する設定について＞
通信システム１は、接続サービス利用者が、宅外での宅内ネットワーク接続機能を使用するかどうかを選択可能とする機能を有してもよい。

通信システム１が当該機能を有する場合において、一例として、接続サービス利用者が、Ｗｅｂインタフェース経由で機能使用／不使用を選択する。機能不使用時は、認証サーバ４００，４００´への問合せ及びＭＡＣアドレス登録を実施しないように設定するとともに、当該ｖＣＰＥ３１０に接続する端末情報を認証サーバ４００，４００´から削除する。もしくは、認証サーバ４００に当該ｖＣＰＥ３１０に関しては応答をしないよう設定する。このような設定の一例として、図１１に示す連携実施有無テーブルの設定がなされる。例えば、図１１に示すテーブルの１行目は、ＩＰアドレス１のｖＣＰＥに属する端末の宅外接続が有りであり、ＩＰアドレス１のｖＣＰＥは他のｖＣＰＥからの接続を許容しないことを示す。

［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行なうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的に行なうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図２１は、プログラムが実行されることにより、ＣＰＥ１１０、ｖＣＰＥ３１０、認証サーバ４００が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ＣＰＥ１１０、ｖＣＰＥ３１０、認証サーバ４００の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ＣＰＥ１１０、ｖＣＰＥ３１０、認証サーバ４００における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。

１通信システム
１００Ａ加入者端末
１００Ｂ他者端末
１１０Ａ加入者ＣＰＥ
１１０Ｂ，１１０Ｂ´ 他者ＣＰＥ
１１１，３１１，４１０通信部
１１２，３１２，４２０記憶部
１１３，１１３´，３１３，３１３´，４３０，４３０´ 制御部
２００Ａ〜２００Ｃルータ
３１０Ａ加入者ｖＣＰＥ
３１０Ｂ，３１０Ｂ´ 他者ｖＣＰＥ
４００，４１０´ 認証サーバ
４２１端末情報テーブル
４２２ｖＣＰＥ管理テーブル
４２３連携実施有無テーブル
４３１加入者情報取得部
４３２接続判定部
４３３セグメント設定部
４３４払い出し部
４３５判定用情報送信部
１１２１ＶＬＡＮ管理テーブル
１１３１ポート設定部
１１３２判定結果送信部
３１２１ＶＬＡＮ払い出し情報テーブル
３１３１問い合わせ部
３１３２セグメント割当部
３１３３ＤＨＣＰ機能部
３１３４トンネル終端機能部
３１３５ＮＡＴ機能部
３１３６制御用情報受信部

Claims

第１の端末が所属する第１のｖＣＰＥ（virtual Customer Premise Equipment）、第２の端末が接続する第２のｖＣＰＥ、及び、認証サーバを有する通信システムであって、
前記第１の端末が前記第２のｖＣＰＥに接続する場合に、前記第２のｖＣＰＥ及び前記第１の端末における接続許容条件を基に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する判定部
を有し、
前記第２のｖＣＰＥは、
前記認証サーバにおいて前記第１の端末が登録されている場合には、前記認証サーバにより通知された前記第１のｖＣＰＥのアドレスを基に、前記第１のｖＣＰＥとトンネル接続を行う接続部と、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、前記第１の端末に対して前記第２の端末に割り当てたネットワークセグメントと異なるネットワークセグメントを割り当て、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、前記第１の端末に対して前記第２の端末に割り当てたネットワークセグメントを割り当てる割り当て部と、
を有することを特徴とする通信システム。
前記割り当て部は、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、前記第１の端末について前記第２の端末に割り当てたＶＬＡＮとは異なるＶＬＡＮを割り当て、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、前記第１の端末について前記第２の端末に割り当てたＶＬＡＮを割り当てる
ことを特徴とする請求項１に記載の通信システム。
前記割り当て部は、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、前記第１の端末について前記第２の端末とは異なるトンネルを割り当て、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、前記第１の端末について前記第２の端末に割り当てたトンネルを割り当てる
ことを特徴とする請求項１に記載の通信システム。
前記認証サーバは、
端末のＭＡＣアドレスと前記端末を収容するｖＣＰＥの識別情報と前記端末の加入者ＩＤと前記端末が接続を許容するｖＣＰＥの識別情報とを対応付けた端末情報と、前記ｖＣＰＥの識別情報と前記ｖＣＰＥが接続を許容する加入者ＩＤとを対応付けたｖＣＰＥ管理情報と、を記憶する記憶部
を有し、
前記判定部は、前記端末情報と前記ｖＣＰＥ管理情報とを基に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを、同一のネットワークセグメントで実行するか否かを判定することを特徴とする請求項１〜３のいずれか一つに記載の通信システム。
前記判定部は、
前記端末情報と前記ｖＣＰＥ管理情報とを基に、前記第１の端末の加入者ＩＤが、前記第２のｖＣＰＥが接続を許容する加入者ＩＤであり、かつ、前記第２のｖＣＰＥが、前記第１の端末が接続を許容するｖＣＰＥである場合に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定し、
前記第１の端末の加入者ＩＤが、前記第２のｖＣＰＥが接続を許容する加入者ＩＤでない、または、前記第２のｖＣＰＥが、前記第１の端末が接続を許容するｖＣＰＥでない場合に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定することを特徴とする請求項４に記載の通信システム。
第１の端末が所属する第１のｖＣＰＥ（virtual Customer Premise Equipment）、第２の端末が接続する第２のｖＣＰＥ、及び、認証サーバを有する通信システムが実行する通信方法であって、
前記第１の端末が前記第２のｖＣＰＥに接続する場合に、前記第２のｖＣＰＥ及び前記第１の端末における接続許容条件を基に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する工程と、
前記第２のｖＣＰＥが、前記認証サーバにおいて前記第１の端末が登録されている場合には、前記認証サーバにより通知された前記第１のｖＣＰＥのアドレスを基に、前記第１のｖＣＰＥとトンネル接続を行う工程と、
前記第２のｖＣＰＥが、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、前記第１の端末に対して前記第２の端末に割り当てたネットワークセグメントと異なるネットワークセグメントを割り当てる工程と、
前記第２のｖＣＰＥが、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、前記第１の端末に対して前記第２の端末に割り当てたネットワークセグメントを割り当てる工程と、
を含んだことを特徴とする通信方法。