認証システム、通信機器、接続制御方法および接続制御プログラム
【課題】ＬＡＮへの接続認証と広域ネットワークへの接続認証とを分離し、広域ネットワークへのきめ細かい接続制御を実現し、正当なユーザ以外の広域ネットワークへ接続を防止する。
【解決手段】通信機器２０は、ＬＡＮ１０に接続された端末１１から受信した認証情報を、広域ネットワーク３０に接続された認証サーバ４０に送信する接続処理手段と、認証サーバ４０から受信した認証結果に基づいて端末１１の経路情報をルーティングプロトコル間で再配布する経路再配布手段とを備え、経路再配布手段は、認証成功の認証結果の場合に前記端末１１の経路情報を前記広域ネットワーク３０のルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【解決手段】通信機器２０は、ＬＡＮ１０に接続された端末１１から受信した認証情報を、広域ネットワーク３０に接続された認証サーバ４０に送信する接続処理手段と、認証サーバ４０から受信した認証結果に基づいて端末１１の経路情報をルーティングプロトコル間で再配布する経路再配布手段とを備え、経路再配布手段は、認証成功の認証結果の場合に前記端末１１の経路情報を前記広域ネットワーク３０のルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク接続の認証技術に関し、特に広域ネットワーク接続の認証技術に関する。
【背景技術】
【０００２】
ネットワーク接続に関する認証規格として、ＩＥＥＥ８０２．１Ｘがある。ＩＥＥＥ８０２．１Ｘは、あらかじめ定めた端末以外は、ＬＡＮ（Local Area Network）に接続できないように制限する規格である。このＩＥＥＥ８０２．１Ｘでは、端末がＬＡＮスイッチに接続されると、端末からの認証メッセージがＬＡＮスイッチを介して認証サーバに送信され、認証サーバでの認証後に端末はＬＡＮに接続され通信が可能となる。ＩＥＥＥ８０２．１Ｘについては、例えば、非特許文献１に記載されている。
【非特許文献１】“IEEE802.1X - Port Based Network Access Control”、［online］、［平成２０年２月１８日検索］、インターネット＜URL: http://standards.ieee.org/getieee802/download/802.1X-2001.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ＩＥＥＥ８０２．１Ｘは、前述のとおりＬＡＮへの接続を認証により制限する規格である。そのため、ＬＡＮを介して広域ネットワークに接続する場合や、離れた拠点にある別のＬＡＮに広域ネットワークを介して接続する場合において、ＬＡＮへの接続は許可するが、広域ネットワークへの接続は許可しないなど、ＬＡＮと広域ネットワークとで異なる認証（接続規制）を行う場合、ＩＥＥＥ８０２．１Ｘでは対応できない。
【０００４】
また、ＬＡＮや広域ネットワークで用いられるＩＰ(Internet Protocol)の経路制御技術では、複数のルーティングプロトコル（例えば、ＲＩＰ、ＯＳＰＦ、ＩＳＩＳ、ＢＧＰ等）が使用されており、あるルーティングプロトコルの経路を他のルーティングプロトコルの経路として利用したい場合、この経路を他のルーティングプロトコルに再配布することにより、他のルーティングプロトコルの経路として利用可能となるものである。経路再配布では、特定の経路のみを再配布する場合、手動で再配布の設定を行う必要があり、認証に成功したユーザの経路を選択して再配布しようとすると、当該経路を手動でひとつひとつ設定しなければならず、作業負荷が大きい。
【０００５】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、ＬＡＮへの接続認証と広域ネットワークへの接続認証とを分離し、広域ネットワークへのきめ細かい接続制御を実現し、正当なユーザ以外の広域ネットワークへ接続を防止することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明は、認証システムであって、ＬＡＮに接続された少なくとも１つの端末と、広域ネットワークに接続された認証サーバと、前記ＬＡＮおよび前記広域ネットワークに接続された通信機器と、を有し、前記通信機器は、前記端末から前記ＬＡＮを介して受信した認証情報を、前記広域ネットワークを介して認証サーバに送信する接続処理手段と、前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布手段とを備え、前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【０００７】
また、本発明は、ＬＡＮおよび広域ネットワークに接続された通信機器であって、前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する接続処理手段と、前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布手段と、を備え、前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【０００８】
また、本発明は、ＬＡＮおよび広域ネットワークに接続された通信機器が行う、前記広域ネットワークへの接続制御方法であって、前記通信機器は、前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する送信ステップと、前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布ステップとを行い、前記経路再配布ステップは、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【０００９】
また、本発明は、ＬＡＮおよび広域ネットワークに接続された通信機器が実行する、前記広域ネットワークへの接続制御プログラムであって、前記通信機器に、前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する送信ステップと、前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布ステップとを実行させ、前記経路再配布ステップは、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【発明の効果】
【００１０】
本発明により、ＬＡＮへの接続認証と広域ネットワークの接続認証とを分離して、広域ネットワークへのきめ細かい接続制御を行い、正当なユーザ以外の広域ネットワークへ接続を防止することができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について説明する。
【００１２】
図１は、本発明の一実施形態が適用された認証システムの全体構成図である。本実施形態では、インターネットなどの広域ネットワーク３０に、ルータ（通信機器）２０を介して複数のＬＡＮ１０が接続されている。
【００１３】
そして、各ＬＡＮ１０には、少なくとも１つの端末１１（例えば、ＰＣ（Personal Computer）等）が接続されている。端末１１は、ＬＡＮ１０内の他の端末と通信するとともに、広域ネットワーク３０および広域ネットワーク３０を介して他のＬＡＮの端末１１と通信する。
【００１４】
広域ネットワーク３０に接続された認証サーバ４０は、広域ネットワークへ接続する端末１１のユーザが、正規のユーザか否かの認証を行う。図示する認証サーバ４０は、正規のユーザの認証情報が記憶された認証ＤＢ４１を備える。
【００１５】
ルータ２０は、ＬＡＮ１０と広域ネットワーク３０の両端に設置され、異なるネットワーク１０、３０間を相互接続するゲートウェイの機能を有する機器である。
【００１６】
図２は、ルータのブロック図を示すものである。
【００１７】
図示するルータは、接続処理部２１と、経路再配布部２２と、フォワーディング部（中継部）２３と、広域ネットワーク用ルーティングテーブル２５と、ＬＡＮ用ルーティングテーブル２６と、認証結果テーブル２７とを備える。
【００１８】
接続処理部２１は、端末１１がＬＡＮ１０を介して送信した認証情報を受信し、当該認証情報を広域ネットワーク３０を介して認証サーバ４０に送信する。また、接続処理部２１は、認証サーバ４０から受信した認証結果を認証結果テーブル２７に登録する。経路再配布部２２は、認証サーバ４０が認証した認証結果に基づいて、端末１１の経路情報を広域ネットワーク３０のルーティングプロトコルに再配布する。フォワーディング部２３は、広域ネットワーク用ルーティングテーブル２５およびＬＡＮ用ルーティングテーブル２６を参照して、端末１１などから送信されたデータを広域ネットワーク３０またはＬＡＮ１０に中継する。
【００１９】
本実施形態では、ＬＡＮ１０で利用するルーティングプロトコルと、広域ネットワーク３０で利用するルーティングプロトコルとは、異なる。そのため、ルータ２０は、広域ネットワーク用ルーティングテーブル２５とＬＡＮ用ルーティングテーブル２６とを備える。そして、認証に成功したユーザ（端末１１）の経路のみを、ＬＡＮ用ルーティングテーブル２６から広域ネットワーク用ルーティングテーブル２５に再配布する。
【００２０】
そのため、本実施形態のＬＡＮ用ルーティングテーブル２６および広域ネットワーク用ルーティングテーブル２５は、ユーザ（端末１１）単位で経路情報が設定されている。具体的には、各ルーティングテーブル２５、２６は、端末１１のＩＰアドレス（端末識別情報）毎に、経路情報が設定されているものとする。
【００２１】
なお、図１には図示されていないが、前述のＩＥＥＥ８０２．１Ｘに従ってＬＡＮ１０への接続を認証する認証サーバおよびＬＡＮスイッチが、各ＬＡＮ１０に備えられている。そして、本実施形態では、ＬＡＮ１０でのＩＥＥＥ８０２．１Ｘに従った認証と、ルータ２０および認証サーバ４０を用いた広域ネットワーク３０での認証とは、分離して行われるものとする。
【００２２】
上記説明した、端末１１、ルータ２０および認証サーバ４０は、いずれも、ＣＰＵと、メモリと、ネットワークと接続するための通信制御装置とを備えた機器を用いることができる。この機器において、ＣＰＵがメモリ上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。
【００２３】
例えば、端末１１、ルータ２０および認証サーバ４０の各機能は、端末１１用のプログラムの場合は端末１１のＣＰＵが、ルータ２０用のプログラムの場合はルータ２０のＣＰＵが、そして、認証サーバ４０用のプログラムの場合は認証サーバ４０のＣＰＵがそれぞれ実行することにより実現される。なお、ルータ２０の各テーブル２５、２６、２７には、ルータ２０のメモリが用いられ、認証サーバ４０の認証テーブル４１には、認証サーバ４０のメモリまたは外部記憶装置が用いられる。なお、各装置は、必要に応じて入力装置、出力装置、外部記憶装置を備えるものとする。
【００２４】
次に、本実施形態の処理について説明する。
【００２５】
図３は、本実施形態の処理を示すシーケンス図である。図示する処理は、ＩＥＥＥ８０２．１Ｘに従ったＬＡＮ１０での認証に成功した後に行われる。
【００２６】
端末１１は、ユーザの指示を受け付けて、広域ネットワーク３０への接続要求を、ＬＡＮ１０を介してルータ２０に送信する（Ｓ１１）。ルータ２０の接続処理部２１は、接続要求を受信すると、認証要求を要求元の端末１１に送信する（Ｓ１２）。端末１１は、認証要求を受信すると、ユーザＩＤ、パスワード等の認証情報を、ルータ２０に送信する（Ｓ１３）。なお、認証情報には、当該端末１１のＩＰアドレスが付加されている。
【００２７】
ルータ２０の接続処理部２１は、端末１１から受信した認証情報を、広域ネットワーク３０を介して認証サーバ４０に送信する（Ｓ１４）。認証サーバ４０は、認証ＤＢ４１を参照し、受信した認証情報が正当か否かを判別する（Ｓ１５）。例えば、認証情報がユーザＩＤおよびパスワードの場合、受信した認証情報に一致するユーザＩＤおよびパスワードが認証ＤＢ４１に存在する場合に正当なユーザ（または端末）であると認証する。なお、認証サーバ４０は、ＩＣカード、生体情報などを用いた認証を行うことも考えられる。そして、認証サーバ４０は、認証結果（認証ＯＫ、認証ＮＧ）をルータ２０に送信する（Ｓ１６）。
【００２８】
ルータ２０の接続処理部２１は、認証サーバ４０から受信した認証結果を当該端末１１のＩＰアドレスとともに認証結果テーブル２７に登録する（Ｓ１７）。すなわち、認証結果テーブル２７は、端末毎に認証ＯＫまたは認証ＮＧの認証結果が記憶されるものとする。
【００２９】
認証結果が認証ＯＫの場合（Ｓ１８：ＹＥＳ）、経路再配布部２２は、広域ネットワーク用ルーティングテーブル２５に当該端末１１の経路情報を登録し、当該端末１１の経路情報を広域ネットワーク３０のルーティングプロトコルに再配布する（Ｓ１９）。すなわち、一般的な経路再配布の技術を用いて、端末の経路情報については、対応するＩＰアドレスの経路情報をＬＡＮ用ルーティングテーブル２６から取得するものとする。
【００３０】
広域ネットワーク用ルーティングテーブル２５に登録された経路情報は、広域ネットワーク３０のルーティングプロトコルにより広告され、広域ネットワーク３０での当該端末１１の通信が可能となる。なお、当該端末１１の経路情報が既に広域ネットワーク用ルーティングテーブル２５に登録されている場合、経路再配布部２２は広域ネットワーク用ルーティングテーブル２５への登録を行わず、次の処理に進む。
【００３１】
そして、接続処理部２１は、認証に成功した旨を示す認証応答を、端末１１に送信する（Ｓ２０）。これにより、端末１１は、ルータ２０を介して、広域ネットワーク３０への接続が可能となり、ルータ２０のフォワーディング部２３は、当該端末１１のデータ（パケット）を広域ネットワーク３０に中継する。
【００３２】
また、本実施形態では、端末１１が広域ネットワーク３０に接続している間、所定のタイミング（有効時間間隔）でＳ１２に戻り、繰り返し認証を行うものとする。すなわち、接続処理部２１は、Ｓ１９で当該端末１１の経路情報の再配布を行ってから所定の有効時間が経過したか否かを監視する（Ｓ２１）。有効時間が経過した場合（Ｓ２１：ＹＥＳ）、接続処理部２１は、Ｓ１２に戻り、当該端末１１に認証要求を送信し、以降の処理を行う。
【００３３】
なお、有効時間は、ルータ２０のメモリまたは外部記憶装置にあらかじめ記憶されているものとする。また、端末毎に個別に有効時間を設定すること、あるいは、全ての端末１１に対して同じ有効時間を設定することなどが考えられる。
【００３４】
一方、認証結果が認証ＮＧの場合（Ｓ１８：ＮＯ）、経路再配布部２２は、広域ネットワーク３０のルーティングプロトコルへの経路情報の再配布を停止する（Ｓ２５）。すなわち、経路再配布部２２は、広域ネットワーク用ルーティングテーブル２５に当該端末１１の経路情報が登録されている場合は、当該経路情報を広域ネットワーク用ルーティングテーブル２５から削除する。これにより、広域ネットワーク３０のルーティングプロトコルによる、当該端末の経路情報の再配布が停止される。なお、当該端末１１の経路情報が広域ネットワーク用ルーティングテーブル２５に登録されていない場合、広域ネットワーク用ルーティングテーブル２５への削除を行わず、次の処理に進む。
【００３５】
そして、接続処理部２１は、認証に失敗した旨を示す認証応答を、端末１１に送信する（Ｓ２６）。これにより、認証に失敗した端末１１から、広域ネットワーク３０に所定のデータを送信した場合であっても、広域ネットワーク３０では当該端末の経路情報が広告されていないため、広域ネットワーク３０へ通信できず、当該端末１１のデータ（パケット）は広域ネットワーク３０に中継されない。
【００３６】
以上説明した本実施形態では、ＬＡＮで利用されるＩＥＥＥ８０２．１Ｘの認証とは別に、広域ネットワークへの接続を規制するための認証を新たに導入した。これにより、本実施形態では、ＬＡＮへの接続認証と広域ネットワークへの接続認証とを分離し、広域ネットワークへのきめ細かい接続制御を実現し、正当なユーザ以外の広域ネットワークへ接続を防止することができる。すなわち、広域ネットワークの利用が許可された正規ユーザ以外の経路情報を広域ネットワークのルーティングプロトコルに再配布させないことにより、経路制御の観点から不正使用を防止することができる。
【００３７】
また、本実施形態では、広域ネットワークでの認証に成功したユーザ（端末）のみの経路情報が、広域ネットワーク用ルーティングテーブルに自動的に登録される。これにより、ネットワーク管理者等が手動で再配布する経路情報を個別に設定する場合に比べて、作業負荷が大幅に軽減され、また、手動で設定する場合に発生する人為的なミスを防止することができる。すなわち、ネットワークの信頼性をより向上させることができる。
【００３８】
また、本実施形態の広域ネットワーク用ルーティングテーブルは、ユーザ（端末１１）単位で経路情報が設定されているため、柔軟できめ細かい経路制御を行うことができる。
【００３９】
また、本実施形態では、所定の有効時間間隔で繰り返し認証を行うことにより、セキュリティをより強化することができる。
【００４０】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【図面の簡単な説明】
【００４１】
【図１】本発明の一実施形態が適用された認証システムの全体構成を示す図である。
【図２】ルータの機能ブロック図である。
【図３】認証システムの処理を示すシーケンス図である。
【符号の説明】
【００４２】
１０：ＬＡＮ
１１：端末
２０：ルータ
２１：接続処理部
２２：経路再配布部
２３：フォワーディング部
２５：広域ネットワーク用ルーティングテーブル
２６：ＬＡＮ用ルーティングテーブル
２７：認証結果テーブル
３０：広域ネットワーク
４０：認証サーバ
４１：認証ＤＢ
【技術分野】
【０００１】
本発明は、ネットワーク接続の認証技術に関し、特に広域ネットワーク接続の認証技術に関する。
【背景技術】
【０００２】
ネットワーク接続に関する認証規格として、ＩＥＥＥ８０２．１Ｘがある。ＩＥＥＥ８０２．１Ｘは、あらかじめ定めた端末以外は、ＬＡＮ（Local Area Network）に接続できないように制限する規格である。このＩＥＥＥ８０２．１Ｘでは、端末がＬＡＮスイッチに接続されると、端末からの認証メッセージがＬＡＮスイッチを介して認証サーバに送信され、認証サーバでの認証後に端末はＬＡＮに接続され通信が可能となる。ＩＥＥＥ８０２．１Ｘについては、例えば、非特許文献１に記載されている。
【非特許文献１】“IEEE802.1X - Port Based Network Access Control”、［online］、［平成２０年２月１８日検索］、インターネット＜URL: http://standards.ieee.org/getieee802/download/802.1X-2001.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ＩＥＥＥ８０２．１Ｘは、前述のとおりＬＡＮへの接続を認証により制限する規格である。そのため、ＬＡＮを介して広域ネットワークに接続する場合や、離れた拠点にある別のＬＡＮに広域ネットワークを介して接続する場合において、ＬＡＮへの接続は許可するが、広域ネットワークへの接続は許可しないなど、ＬＡＮと広域ネットワークとで異なる認証（接続規制）を行う場合、ＩＥＥＥ８０２．１Ｘでは対応できない。
【０００４】
また、ＬＡＮや広域ネットワークで用いられるＩＰ(Internet Protocol)の経路制御技術では、複数のルーティングプロトコル（例えば、ＲＩＰ、ＯＳＰＦ、ＩＳＩＳ、ＢＧＰ等）が使用されており、あるルーティングプロトコルの経路を他のルーティングプロトコルの経路として利用したい場合、この経路を他のルーティングプロトコルに再配布することにより、他のルーティングプロトコルの経路として利用可能となるものである。経路再配布では、特定の経路のみを再配布する場合、手動で再配布の設定を行う必要があり、認証に成功したユーザの経路を選択して再配布しようとすると、当該経路を手動でひとつひとつ設定しなければならず、作業負荷が大きい。
【０００５】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、ＬＡＮへの接続認証と広域ネットワークへの接続認証とを分離し、広域ネットワークへのきめ細かい接続制御を実現し、正当なユーザ以外の広域ネットワークへ接続を防止することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明は、認証システムであって、ＬＡＮに接続された少なくとも１つの端末と、広域ネットワークに接続された認証サーバと、前記ＬＡＮおよび前記広域ネットワークに接続された通信機器と、を有し、前記通信機器は、前記端末から前記ＬＡＮを介して受信した認証情報を、前記広域ネットワークを介して認証サーバに送信する接続処理手段と、前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布手段とを備え、前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【０００７】
また、本発明は、ＬＡＮおよび広域ネットワークに接続された通信機器であって、前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する接続処理手段と、前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布手段と、を備え、前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【０００８】
また、本発明は、ＬＡＮおよび広域ネットワークに接続された通信機器が行う、前記広域ネットワークへの接続制御方法であって、前記通信機器は、前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する送信ステップと、前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布ステップとを行い、前記経路再配布ステップは、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【０００９】
また、本発明は、ＬＡＮおよび広域ネットワークに接続された通信機器が実行する、前記広域ネットワークへの接続制御プログラムであって、前記通信機器に、前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する送信ステップと、前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布ステップとを実行させ、前記経路再配布ステップは、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止する。
【発明の効果】
【００１０】
本発明により、ＬＡＮへの接続認証と広域ネットワークの接続認証とを分離して、広域ネットワークへのきめ細かい接続制御を行い、正当なユーザ以外の広域ネットワークへ接続を防止することができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について説明する。
【００１２】
図１は、本発明の一実施形態が適用された認証システムの全体構成図である。本実施形態では、インターネットなどの広域ネットワーク３０に、ルータ（通信機器）２０を介して複数のＬＡＮ１０が接続されている。
【００１３】
そして、各ＬＡＮ１０には、少なくとも１つの端末１１（例えば、ＰＣ（Personal Computer）等）が接続されている。端末１１は、ＬＡＮ１０内の他の端末と通信するとともに、広域ネットワーク３０および広域ネットワーク３０を介して他のＬＡＮの端末１１と通信する。
【００１４】
広域ネットワーク３０に接続された認証サーバ４０は、広域ネットワークへ接続する端末１１のユーザが、正規のユーザか否かの認証を行う。図示する認証サーバ４０は、正規のユーザの認証情報が記憶された認証ＤＢ４１を備える。
【００１５】
ルータ２０は、ＬＡＮ１０と広域ネットワーク３０の両端に設置され、異なるネットワーク１０、３０間を相互接続するゲートウェイの機能を有する機器である。
【００１６】
図２は、ルータのブロック図を示すものである。
【００１７】
図示するルータは、接続処理部２１と、経路再配布部２２と、フォワーディング部（中継部）２３と、広域ネットワーク用ルーティングテーブル２５と、ＬＡＮ用ルーティングテーブル２６と、認証結果テーブル２７とを備える。
【００１８】
接続処理部２１は、端末１１がＬＡＮ１０を介して送信した認証情報を受信し、当該認証情報を広域ネットワーク３０を介して認証サーバ４０に送信する。また、接続処理部２１は、認証サーバ４０から受信した認証結果を認証結果テーブル２７に登録する。経路再配布部２２は、認証サーバ４０が認証した認証結果に基づいて、端末１１の経路情報を広域ネットワーク３０のルーティングプロトコルに再配布する。フォワーディング部２３は、広域ネットワーク用ルーティングテーブル２５およびＬＡＮ用ルーティングテーブル２６を参照して、端末１１などから送信されたデータを広域ネットワーク３０またはＬＡＮ１０に中継する。
【００１９】
本実施形態では、ＬＡＮ１０で利用するルーティングプロトコルと、広域ネットワーク３０で利用するルーティングプロトコルとは、異なる。そのため、ルータ２０は、広域ネットワーク用ルーティングテーブル２５とＬＡＮ用ルーティングテーブル２６とを備える。そして、認証に成功したユーザ（端末１１）の経路のみを、ＬＡＮ用ルーティングテーブル２６から広域ネットワーク用ルーティングテーブル２５に再配布する。
【００２０】
そのため、本実施形態のＬＡＮ用ルーティングテーブル２６および広域ネットワーク用ルーティングテーブル２５は、ユーザ（端末１１）単位で経路情報が設定されている。具体的には、各ルーティングテーブル２５、２６は、端末１１のＩＰアドレス（端末識別情報）毎に、経路情報が設定されているものとする。
【００２１】
なお、図１には図示されていないが、前述のＩＥＥＥ８０２．１Ｘに従ってＬＡＮ１０への接続を認証する認証サーバおよびＬＡＮスイッチが、各ＬＡＮ１０に備えられている。そして、本実施形態では、ＬＡＮ１０でのＩＥＥＥ８０２．１Ｘに従った認証と、ルータ２０および認証サーバ４０を用いた広域ネットワーク３０での認証とは、分離して行われるものとする。
【００２２】
上記説明した、端末１１、ルータ２０および認証サーバ４０は、いずれも、ＣＰＵと、メモリと、ネットワークと接続するための通信制御装置とを備えた機器を用いることができる。この機器において、ＣＰＵがメモリ上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。
【００２３】
例えば、端末１１、ルータ２０および認証サーバ４０の各機能は、端末１１用のプログラムの場合は端末１１のＣＰＵが、ルータ２０用のプログラムの場合はルータ２０のＣＰＵが、そして、認証サーバ４０用のプログラムの場合は認証サーバ４０のＣＰＵがそれぞれ実行することにより実現される。なお、ルータ２０の各テーブル２５、２６、２７には、ルータ２０のメモリが用いられ、認証サーバ４０の認証テーブル４１には、認証サーバ４０のメモリまたは外部記憶装置が用いられる。なお、各装置は、必要に応じて入力装置、出力装置、外部記憶装置を備えるものとする。
【００２４】
次に、本実施形態の処理について説明する。
【００２５】
図３は、本実施形態の処理を示すシーケンス図である。図示する処理は、ＩＥＥＥ８０２．１Ｘに従ったＬＡＮ１０での認証に成功した後に行われる。
【００２６】
端末１１は、ユーザの指示を受け付けて、広域ネットワーク３０への接続要求を、ＬＡＮ１０を介してルータ２０に送信する（Ｓ１１）。ルータ２０の接続処理部２１は、接続要求を受信すると、認証要求を要求元の端末１１に送信する（Ｓ１２）。端末１１は、認証要求を受信すると、ユーザＩＤ、パスワード等の認証情報を、ルータ２０に送信する（Ｓ１３）。なお、認証情報には、当該端末１１のＩＰアドレスが付加されている。
【００２７】
ルータ２０の接続処理部２１は、端末１１から受信した認証情報を、広域ネットワーク３０を介して認証サーバ４０に送信する（Ｓ１４）。認証サーバ４０は、認証ＤＢ４１を参照し、受信した認証情報が正当か否かを判別する（Ｓ１５）。例えば、認証情報がユーザＩＤおよびパスワードの場合、受信した認証情報に一致するユーザＩＤおよびパスワードが認証ＤＢ４１に存在する場合に正当なユーザ（または端末）であると認証する。なお、認証サーバ４０は、ＩＣカード、生体情報などを用いた認証を行うことも考えられる。そして、認証サーバ４０は、認証結果（認証ＯＫ、認証ＮＧ）をルータ２０に送信する（Ｓ１６）。
【００２８】
ルータ２０の接続処理部２１は、認証サーバ４０から受信した認証結果を当該端末１１のＩＰアドレスとともに認証結果テーブル２７に登録する（Ｓ１７）。すなわち、認証結果テーブル２７は、端末毎に認証ＯＫまたは認証ＮＧの認証結果が記憶されるものとする。
【００２９】
認証結果が認証ＯＫの場合（Ｓ１８：ＹＥＳ）、経路再配布部２２は、広域ネットワーク用ルーティングテーブル２５に当該端末１１の経路情報を登録し、当該端末１１の経路情報を広域ネットワーク３０のルーティングプロトコルに再配布する（Ｓ１９）。すなわち、一般的な経路再配布の技術を用いて、端末の経路情報については、対応するＩＰアドレスの経路情報をＬＡＮ用ルーティングテーブル２６から取得するものとする。
【００３０】
広域ネットワーク用ルーティングテーブル２５に登録された経路情報は、広域ネットワーク３０のルーティングプロトコルにより広告され、広域ネットワーク３０での当該端末１１の通信が可能となる。なお、当該端末１１の経路情報が既に広域ネットワーク用ルーティングテーブル２５に登録されている場合、経路再配布部２２は広域ネットワーク用ルーティングテーブル２５への登録を行わず、次の処理に進む。
【００３１】
そして、接続処理部２１は、認証に成功した旨を示す認証応答を、端末１１に送信する（Ｓ２０）。これにより、端末１１は、ルータ２０を介して、広域ネットワーク３０への接続が可能となり、ルータ２０のフォワーディング部２３は、当該端末１１のデータ（パケット）を広域ネットワーク３０に中継する。
【００３２】
また、本実施形態では、端末１１が広域ネットワーク３０に接続している間、所定のタイミング（有効時間間隔）でＳ１２に戻り、繰り返し認証を行うものとする。すなわち、接続処理部２１は、Ｓ１９で当該端末１１の経路情報の再配布を行ってから所定の有効時間が経過したか否かを監視する（Ｓ２１）。有効時間が経過した場合（Ｓ２１：ＹＥＳ）、接続処理部２１は、Ｓ１２に戻り、当該端末１１に認証要求を送信し、以降の処理を行う。
【００３３】
なお、有効時間は、ルータ２０のメモリまたは外部記憶装置にあらかじめ記憶されているものとする。また、端末毎に個別に有効時間を設定すること、あるいは、全ての端末１１に対して同じ有効時間を設定することなどが考えられる。
【００３４】
一方、認証結果が認証ＮＧの場合（Ｓ１８：ＮＯ）、経路再配布部２２は、広域ネットワーク３０のルーティングプロトコルへの経路情報の再配布を停止する（Ｓ２５）。すなわち、経路再配布部２２は、広域ネットワーク用ルーティングテーブル２５に当該端末１１の経路情報が登録されている場合は、当該経路情報を広域ネットワーク用ルーティングテーブル２５から削除する。これにより、広域ネットワーク３０のルーティングプロトコルによる、当該端末の経路情報の再配布が停止される。なお、当該端末１１の経路情報が広域ネットワーク用ルーティングテーブル２５に登録されていない場合、広域ネットワーク用ルーティングテーブル２５への削除を行わず、次の処理に進む。
【００３５】
そして、接続処理部２１は、認証に失敗した旨を示す認証応答を、端末１１に送信する（Ｓ２６）。これにより、認証に失敗した端末１１から、広域ネットワーク３０に所定のデータを送信した場合であっても、広域ネットワーク３０では当該端末の経路情報が広告されていないため、広域ネットワーク３０へ通信できず、当該端末１１のデータ（パケット）は広域ネットワーク３０に中継されない。
【００３６】
以上説明した本実施形態では、ＬＡＮで利用されるＩＥＥＥ８０２．１Ｘの認証とは別に、広域ネットワークへの接続を規制するための認証を新たに導入した。これにより、本実施形態では、ＬＡＮへの接続認証と広域ネットワークへの接続認証とを分離し、広域ネットワークへのきめ細かい接続制御を実現し、正当なユーザ以外の広域ネットワークへ接続を防止することができる。すなわち、広域ネットワークの利用が許可された正規ユーザ以外の経路情報を広域ネットワークのルーティングプロトコルに再配布させないことにより、経路制御の観点から不正使用を防止することができる。
【００３７】
また、本実施形態では、広域ネットワークでの認証に成功したユーザ（端末）のみの経路情報が、広域ネットワーク用ルーティングテーブルに自動的に登録される。これにより、ネットワーク管理者等が手動で再配布する経路情報を個別に設定する場合に比べて、作業負荷が大幅に軽減され、また、手動で設定する場合に発生する人為的なミスを防止することができる。すなわち、ネットワークの信頼性をより向上させることができる。
【００３８】
また、本実施形態の広域ネットワーク用ルーティングテーブルは、ユーザ（端末１１）単位で経路情報が設定されているため、柔軟できめ細かい経路制御を行うことができる。
【００３９】
また、本実施形態では、所定の有効時間間隔で繰り返し認証を行うことにより、セキュリティをより強化することができる。
【００４０】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【図面の簡単な説明】
【００４１】
【図１】本発明の一実施形態が適用された認証システムの全体構成を示す図である。
【図２】ルータの機能ブロック図である。
【図３】認証システムの処理を示すシーケンス図である。
【符号の説明】
【００４２】
１０：ＬＡＮ
１１：端末
２０：ルータ
２１：接続処理部
２２：経路再配布部
２３：フォワーディング部
２５：広域ネットワーク用ルーティングテーブル
２６：ＬＡＮ用ルーティングテーブル
２７：認証結果テーブル
３０：広域ネットワーク
４０：認証サーバ
４１：認証ＤＢ
【特許請求の範囲】
【請求項１】
認証システムであって、
ＬＡＮに接続された少なくとも１つの端末と、広域ネットワークに接続された認証サーバと、前記ＬＡＮおよび前記広域ネットワークに接続された通信機器と、を有し、
前記通信機器は、
前記端末から前記ＬＡＮを介して受信した認証情報を、前記広域ネットワークを介して認証サーバに送信する接続処理手段と、
前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布手段と、を備え、
前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止すること
を特徴とする認証システム。
【請求項２】
請求項１記載の認証システムであって、
前記通信機器は、前記広域ネットワーク用のルーティングテーブルを有し、
前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を、前記ルーティングテーブルに登録することにより当該端末の経路情報を再配布し、認証エラーの認証結果の場合に前記端末の経路情報を、前記ルーティングテーブルから削除することにより当該端末の経路情報の再配布を停止すること
を特徴とする認証システム。
【請求項３】
請求項２記載の認証システムであって、
前記経路再配布手段は、端末毎に、前記ルーティングテーブルへ登録または削除を行うこと
を特徴とする認証システム。
【請求項４】
請求項１から請求項３のいずれか１項に記載の認証システムであって、
前記接続処理手段は、認証成功の端末に対して、所定の有効時間毎に前記認証情報を取得し、当該認証情報を認証サーバに送信し、
前記経路再配布手段は、前記所定の有効時間毎に前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報の再配布または再配布停止を行うこと
を特徴とする認証システム。
【請求項５】
ＬＡＮおよび広域ネットワークに接続された通信機器であって、
前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する接続処理手段と、
前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布手段と、を備え、
前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止すること
を特徴とする通信機器。
【請求項６】
請求項５記載の通信機器であって、
前記広域ネットワーク用のルーティングテーブルを有し、
前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を、前記ルーティングテーブルに登録することにより当該端末の経路情報を再配布し、認証エラーの認証結果の場合に前記端末の経路情報を、前記ルーティングテーブルから削除することにより当該端末の経路情報の再配布を停止すること
を特徴とする通信機器。
【請求項７】
請求項６記載の通信機器であって、
前記経路再配布手段は、端末毎に、前記ルーティングテーブルへ登録または削除を行うこと
を特徴とする通信機器。
【請求項８】
請求項５から請求項７のいずれか１項に記載の通信機器であって、
前記接続処理手段は、認証成功の端末に対して、所定の有効時間毎に前記認証情報を取得し、当該認証情報を認証サーバに送信し、
前記経路再配布手段は、前記所定の有効時間毎に前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報の再配布または再配布停止を行うこと
を特徴とする通信機器。
【請求項９】
ＬＡＮおよび広域ネットワークに接続された通信機器が行う、前記広域ネットワークへの接続制御方法であって、
前記通信機器は、
前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する送信ステップと、
前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布ステップと、を行い、
前記経路再配布ステップは、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止すること
を特徴とする接続制御方法。
【請求項１０】
ＬＡＮおよび広域ネットワークに接続された通信機器が実行する、前記広域ネットワークへの接続制御プログラムであって、
前記通信機器に、
前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する送信ステップと、
前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布ステップと、を実行させ、
前記経路再配布ステップは、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止すること
を特徴とする接続制御プログラム。
【請求項１】
認証システムであって、
ＬＡＮに接続された少なくとも１つの端末と、広域ネットワークに接続された認証サーバと、前記ＬＡＮおよび前記広域ネットワークに接続された通信機器と、を有し、
前記通信機器は、
前記端末から前記ＬＡＮを介して受信した認証情報を、前記広域ネットワークを介して認証サーバに送信する接続処理手段と、
前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布手段と、を備え、
前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止すること
を特徴とする認証システム。
【請求項２】
請求項１記載の認証システムであって、
前記通信機器は、前記広域ネットワーク用のルーティングテーブルを有し、
前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を、前記ルーティングテーブルに登録することにより当該端末の経路情報を再配布し、認証エラーの認証結果の場合に前記端末の経路情報を、前記ルーティングテーブルから削除することにより当該端末の経路情報の再配布を停止すること
を特徴とする認証システム。
【請求項３】
請求項２記載の認証システムであって、
前記経路再配布手段は、端末毎に、前記ルーティングテーブルへ登録または削除を行うこと
を特徴とする認証システム。
【請求項４】
請求項１から請求項３のいずれか１項に記載の認証システムであって、
前記接続処理手段は、認証成功の端末に対して、所定の有効時間毎に前記認証情報を取得し、当該認証情報を認証サーバに送信し、
前記経路再配布手段は、前記所定の有効時間毎に前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報の再配布または再配布停止を行うこと
を特徴とする認証システム。
【請求項５】
ＬＡＮおよび広域ネットワークに接続された通信機器であって、
前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する接続処理手段と、
前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布手段と、を備え、
前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止すること
を特徴とする通信機器。
【請求項６】
請求項５記載の通信機器であって、
前記広域ネットワーク用のルーティングテーブルを有し、
前記経路再配布手段は、認証成功の認証結果の場合に前記端末の経路情報を、前記ルーティングテーブルに登録することにより当該端末の経路情報を再配布し、認証エラーの認証結果の場合に前記端末の経路情報を、前記ルーティングテーブルから削除することにより当該端末の経路情報の再配布を停止すること
を特徴とする通信機器。
【請求項７】
請求項６記載の通信機器であって、
前記経路再配布手段は、端末毎に、前記ルーティングテーブルへ登録または削除を行うこと
を特徴とする通信機器。
【請求項８】
請求項５から請求項７のいずれか１項に記載の通信機器であって、
前記接続処理手段は、認証成功の端末に対して、所定の有効時間毎に前記認証情報を取得し、当該認証情報を認証サーバに送信し、
前記経路再配布手段は、前記所定の有効時間毎に前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報の再配布または再配布停止を行うこと
を特徴とする通信機器。
【請求項９】
ＬＡＮおよび広域ネットワークに接続された通信機器が行う、前記広域ネットワークへの接続制御方法であって、
前記通信機器は、
前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する送信ステップと、
前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布ステップと、を行い、
前記経路再配布ステップは、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止すること
を特徴とする接続制御方法。
【請求項１０】
ＬＡＮおよび広域ネットワークに接続された通信機器が実行する、前記広域ネットワークへの接続制御プログラムであって、
前記通信機器に、
前記ＬＡＮに接続された端末から受信した認証情報を、前記広域ネットワークに接続された認証サーバに送信する送信ステップと、
前記認証サーバから受信した認証結果に基づいて、前記端末の経路情報をルーティングプロトコル間で再配布する経路再配布ステップと、を実行させ、
前記経路再配布ステップは、認証成功の認証結果の場合に前記端末の経路情報を前記広域ネットワークのルーティングプロトコルに再配布し、認証エラーの認証結果の場合に前記端末の経路情報の再配布を停止すること
を特徴とする接続制御プログラム。
【図１】
【図２】
【図３】
【図２】
【図３】
【公開番号】特開２００９−２１２５８５（Ｐ２００９−２１２５８５Ａ）
【公開日】平成２１年９月１７日（２００９．９．１７）
【国際特許分類】
【出願番号】特願２００８−５０９０８（Ｐ２００８−５０９０８）
【出願日】平成２０年２月２９日（２００８．２．２９）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１９年度、独立行政法人情報通信研究機構、「λアクセス技術の研究開発」委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（３９９０３５７６６）エヌ・ティ・ティ・コミュニケーションズ株式会社 (321)
【Ｆターム（参考）】
【公開日】平成２１年９月１７日（２００９．９．１７）
【国際特許分類】
【出願日】平成２０年２月２９日（２００８．２．２９）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１９年度、独立行政法人情報通信研究機構、「λアクセス技術の研究開発」委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（３９９０３５７６６）エヌ・ティ・ティ・コミュニケーションズ株式会社 (321)
【Ｆターム（参考）】
[ Back to top ]