(57)【要約】【課題】ホームゲートウェイ装置に接続した宅内の通信機器、通信装置が、ネットワーク上のサーバとIPにて通信する場合において、その物理的な接続箇所が正規の場所からであることをサーバが確認し、通信を確立することを可能とする。【解決手段】DHCPサーバ１３がIPアドレスをホームゲートウェイ装置１０に払い出す際に、回線IDを元にした識別子をホームゲートウェイ装置１０に渡すと共に、DHCPサーバ１３がネットワーク１１上のサーバ（フェルトセル基地局GW）１４にも識別子およびホームゲートウェイ装置１０の情報を送信する。この識別子をホームゲートウェイ装置１０経由にて受取った宅内の携帯電話端末１６が、識別子と自身が接続するホームゲートウェイ装置１０の情報を用いてサーバ１４と通信路を確立するように要求する。これによりサーバ１４は、接続要求を行った通信機器１６の接続経路が正しいか否かを確認すること可能となる。【選択図】図１
2010118752.tif 000002
【特許請求の範囲】
【請求項１】
DHCP（Dynamic Host Configuration Protocol）サーバ装置、DHCPクライアント装置、及びアプリケーションサーバ装置がネットワークを介して接続されるネットワークシステムであって、
前記DHCPサーバ装置は、
前記DHCPクライアント装置の個体識別情報と前記DHCPクライアント装置が接続される接続経路情報のペアを記憶する記憶部を備え、
前記DHCPクライアント装置にIP(Internet Protocol)アドレスを払い出す際に、前記DHCPクライアント装置から受信した個体識別情報と前記DHCPクライアント装置の接続経路情報と、前記記憶部上の情報とを比較し、比較結果が正しい場合のみ、前記DHCPクライアント装置に前記IPアドレスと、前記接続経路情報から生成した識別子を前記DHCPクライアント装置に送信し、且つ
前記識別子と前記DHCPクライアント装置の前記個体識別情報を前記アプリケーションサーバ装置に送信し、
前記DHCPクライアント装置は、
前記アプリケーションサーバ装置との通信路を確立する際に、前記DHCPサーバ装置から受信した前記識別子と前記個体識別情報を前記アプリケーションサーバ装置に送信し、
前記アプリケーションサーバ装置は、
前記DHCPクライアント装置が送信した前記識別子及び前記個体識別情報と、前記DHCPサーバ装置から送信された前記識別子及び前記個体識別情報とを比較し、比較結果が正しい場合のみ前記DHCPクライアント装置との通信路を確立する、
ことを特徴とするネットワークシステム。
【請求項２】
請求項１記載のネットワークシステムであって、
前記DHCPクライアント装置と前記アプリケーションサーバ装置間の通信路を確保する際の暗号鍵として、前記識別子を利用する、
ことを特徴とするネットワークシステム。
【請求項３】
請求項１記載のネットワークシステムであって、
前記DHCPクライアント装置と前記アプリケーションサーバ装置間の通信路を確保する際のIKE(Internet Key Exchange)の事前共有鍵として、前記識別子を利用する、
ことを特徴とするネットワークシステム。
【請求項４】
請求項３記載のネットワークシステムであって、
前記DHCPクライアント装置と前記アプリケーションサーバ装置間の前記通信路がIPSec VPN（IP Security Virtual Private Network）よって実現される、
ことを特徴とするネットワークシステム。
【請求項５】
請求項１記載のネットワークシステムであって、
前記DHCPクライアント装置はフェムトセル基地局モジュールを内蔵したゲートウェイであり、前記アプリケーションサーバ装置はフェムトセル基地局ゲートウェイである、
ことを特徴とするネットワークシステム。
【請求項６】
DHCPサーバ装置と、DHCPクライアント装置、アプリケーションサーバ装置、及びDHCPクライアント装置をゲートウェイとして前記ネットワークに接続する通信装置から構成されるネットワークシステムであって、
前記DHCPサーバ装置は、
前記DHCPクライアント装置の個体識別情報と前記DHCPクライアントが接続する接続経路情報を保存する記憶部を備え、
前記DHCPクライアント装置にIPアドレスを払い出す際に、前記DHCPクライアント装置から受信した個体識別情報と前記DHCPクライアント装置の接続経路情報と、前記記憶部に保存された情報とを比較し、比較結果が正しい場合のみ前記DHCPクライアント装置に前記IPアドレスと、前記接続経路情報から生成した識別子を前記DHCPクライアント装置に送信し、
前記識別子と前記DHCPクライアント装置の前記個体識別情報を前記アプリケーションサーバ装置に送信し、
前記DHCPクライアント装置は、
前記通信装置から前記IPアドレスの払出しを要求された場合に、前記通信装置の識別情報を確認し、前記通信装置の識別情報から前記DHCPクライアント装置の前記個体識別情報および前記識別子を送信する必要があると判断した場合に、前記DHCPクライアント装置の前記個体識別情報および前記識別子を付与して前記IPアドレスを払い出し、
前記通信装置が前記アプリケーションサーバ装置との通信路の確立する際に、前記DHCPクライアント装置の前記個体識別情報および前記識別子を前記アプリケーションサーバ装置に送信し、
前記アプリケーションサーバ装置は、
前記DHCPクライアント装置が送信した前記識別子および前記DHCPクライアント装置の前記個体識別情報と、前記DHCPサーバ装置から送信された前記識別子および前記DHCPクライアント装置の前記個体識別情報とを比較し、
前記比較結果が正しい場合のみ前記通信装置との通信路を確立する、
ことを特徴とするネットワークシステム。
【請求項７】
請求項６記載のネットワークシステムであって、
前記通信装置はフェムトセル基地局装置、前記DHCPクライアント装置はゲートウェイ、及び前記アプリケーションサーバ装置はフェムトセル基地局ゲートウェイである、
ことを特徴とするネットワークシステム。
【請求項８】
請求項６記載のネットワークシステムであって、
前記DHCPクライアント装置と前記アプリケーションサーバ装置間の通信路を確保する際の暗号鍵として、前記識別子を利用する、
ことを特徴とするネットワークシステム。
【請求項９】
請求項６記載のネットワークシステムであって、
前記DHCPクライアント装置と前記アプリケーションサーバ装置間の通信路を確保する際のIKEの事前共有鍵として、前記識別子を利用する、
ことを特徴とするネットワークシステム。
【請求項１０】
請求項６記載のネットワークシステムであって、
前記DHCPクライアント装置と前記アプリケーションサーバ装置間の前記通信路がIPSec VPNよって実現される、
ことを特徴とするネットワークシステム。
【請求項１１】
DHCPクライアント装置とネットワークを介して接続されるDHCPサーバ装置であって、
前記DHCPクライアント装置の個体識別情報と前記DHCPクライアントが接続する接続経路情報のペアを保存する記憶部と処理部を備え、
前記処理部は、
前記DHCPクライアント装置にIPアドレスを払い出す際に、前記DHCPクライアント装置から受信した個体識別情報と前記DHCPクライアントの接続経路情報と、前記記憶部に保存する情報とを比較し、比較結果が正しい場合のみ前記DHCPクライアント装置に前記IPアドレスを払い出すと共に、
前記DHCPクライアント装置の前記接続経路情報から生成した識別子を前記DHCPクライアント装置に送信し、且つ
前記識別子と前記DHCPクライアント装置の前記固体識別情報をアプリケーションサーバ装置に送信する、
ことを特徴とするDHCPサーバ装置。
【請求項１２】
請求項１１記載のDHCPクライアント装置であって、
前記記憶部は、前記DHCPクライアント装置の前記個体識別情報、前記DHCPクライアントが接続する前記接続経路情報、前記DHCPクライアント装置に払い出した前記IPアドレス、及び前記DHCPクライアント装置に送信した前記識別子からなるテーブルを有する、
ことを特徴とするDHCPサーバ装置。
【請求項１３】
処理部と記憶部を備え、DHCPサーバ装置とネットワークを介して接続されるDHCPクライアント装置であって、
前記記憶部は、
前記DHCPサーバ装置から前記DHCPクライアント装置にIPアドレスを払い出す際に送信された、前記DHCPクライアント装置の前記接続経路情報から生成された識別子を格納し、
前記処理部は、
前記ネットワーク上のアプリケーションサーバ装置に接続する際に、前記記憶部に保存した前記識別子を用いて通信路を確保する、
ことを特徴とするDHCPクライアント装置。
【請求項１４】
請求項１３記載のDHCPクライアント装置であって、
前記アプリケーションサーバ装置はフェムトセル基地局ゲートウェイであり、フェムトセル基地局モジュールを内蔵したゲートウェイとして機能することを特徴とするDHCPクライアント装置。
【請求項１５】
処理部と記憶部を備え、DHCPサーバ装置とネットワークを介して接続されるDHCPクライアント装置であって、
前記記憶部は、
前記DHCPサーバ装置から前記DHCPクライアント装置にIPアドレスを払い出す際に送信された、前記DHCPクライアント装置の前記接続経路情報から生成した識別子を格納し、
前記処理部は、
前記DHCPクライアント装置をゲートウェイとして前記ネットワークに接続するフェムトセル基地局装置からIPアドレスの払出しを要求された場合に、前記フェムトセル基地局装置の識別情報を確認し、前記フェムトセル基地局装置の識別情報から前記DHCPクライアント装置の個体識別情報および前記識別子を送信する必要があると判断した場合に、前記DHCPクライアント装置の前記個体識別情報および前記識別子を付与してIPアドレスを払い出し、
前記ネットワーク上のフェムトセル基地局ゲートウェイに前記フェムトセル基地局装置を接続する際に、前記記憶部に保存した前記識別子を用いて通信路を確保する、
ことを特徴とDHCPクライアント装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、DHCP（Dynamic Host Configuration Protocol）クライアントサーバシステムの認証技術に関する。
【背景技術】
【０００２】
従来のIP（Internet Protocol）層で通信を行う機器間では、機器の物理的な位置の概念が存在せず、機器の論理的な接続によりネットワークが構成されていた。
【０００３】
近年、各家庭に小型の携帯電話基地局（フェムトセル基地局）を設置し、インターネット経由で携帯キャリアネットワーク(NW)へ接続することで、携帯電話の通信不能エリアの解消若しくは減少が期待されている。回線事業者ネットワークを利用し、インターネット経由でトラフィックをオフロードすることにより、携帯キャリアの投資負担の軽減等が期待されている。
【０００４】
また、家庭内と回線事業者ネットワーク間の接続には従来のブロードバンドルータを高機能化し、セキュリティ機能や通信制御機能が向上したホームゲートウェイ装置が導入される。フェムトセル基地局装置が家庭内に配置される場合には、このホームゲートウェイ装置を経由して携帯キャリアNWへ接続する。若しくはフェムトセル基地局機能がホームゲートウェイ装置の一モジュールとして実装されるものと考えられる。
【０００５】
フェムトセル基地局装置を設置する場合は、電波干渉の問題や不正利用されないために、特定の場所以外で利用されないことが必須である。そのためフェムトセル基地局の接続場所の特定および接続経路の認証が必要となる。
【０００６】
特許文献1の「認証方法」では、クライアント端末がIPネットワーク上のアプリケーションサーバから得た個人認証情報を、携帯電話端末を用いて携帯電話のNWを経由してアプリケーションサーバに送付することで、ユーザ認証を実現している。
【０００７】
【特許文献１】特開2007-172053号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
特許文献１において、携帯NW経由で、携帯電話端末の位置情報をアプリケーションサーバに送信することでクライアント端末の接続位置の特定が可能であるが、認証情報取得後に携帯電話端末がクライアント端末と離れてしまう可能性も考えられ正確な位置特定には利用が困難である。また、IPネットワークとは別に他のNWを利用する必要があり、システム複雑化によるコストの増加等が発生すると考えられる。
【０００９】
フェムトセル基地局装置が、FTTH（Fiber To The Home）やADSL(Asymmetric Digital Subscriber Line)といったブロードバンド回線によってインターネット経由で携帯キャリアNWへ接続される場合、単にIPアドレスだけではフェムトセル基地局装置の位置を判断することができず、またIPアドレスの詐称等により、携帯事業者が意図する場所以外で利用される可能性がある。フェムトセル基地局装置の物理的な位置が固定できないことにより、意図しないユーザに利用されることで正規ユーザへの不正な課金が発生したり、盗難、ユーザ間での売買などにより犯罪へ利用される可能性といった問題がある。
【００１０】
また、フェムトセル基地局装置とフェムトセル基地局ゲートウェイ(Gateway：GW)の間では、セキュアな通信路を確保する必要があるが、そのために必要な設定をユーザに任せるのは困難であり、また予めフェムトセル基地局に設定した固定的な情報をセキュアな通信路の確立に利用する場合は、一旦悪意のあるユーザに情報が漏れてしまうと悪用され易くなってしまうという問題がある。
【００１１】
本発明の目的は、ホームゲートウェイ装置に接続した宅内の通信機器、通信装置が、ネットワーク上のアプリケーションサーバ装置とIPにて通信する場合において、その物理的な接続箇所が正規の場所からであることを確認し、通信を確立することを可能とするネットワークシステム、DHCPサーバ装置、及びホームゲートウェイ装置を提供することにある。
【課題を解決するための手段】
【００１２】
上記の目的を達成するため、本発明においては、DHCPサーバ装置、DHCPクライアント装置、及びアプリケーションサーバ装置がネットワークを介して接続されるネットワークシステムであって、DHCPサーバ装置は、DHCPクライアント装置の個体識別情報とDHCPクライアント装置が接続される接続経路情報のペアを記憶する記憶部を備え、DHCPクライアント装置にIPアドレスを払い出す際に、DHCPクライアント装置から受信した個体識別情報とDHCPクライアント装置の接続経路情報と、記憶部上の情報とを比較し、比較結果が正しい場合のみ、DHCPクライアント装置にIPアドレスと、接続経路情報から生成した識別子をDHCPクライアント装置に送信し、且つ識別子とDHCPクライアント装置の個体識別情報をアプリケーションサーバ装置に送信し、DHCPクライアント装置は、アプリケーションサーバ装置との通信路を確立する際に、DHCPサーバ装置から受信した識別子と個体識別情報をアプリケーションサーバ装置に送信し、アプリケーションサーバ装置は、DHCPクライアント装置が送信した識別子及び個体識別情報と、DHCPサーバ装置から送信された識別子及び個体識別情報を比較し、比較結果が正しい場合のみDHCPクライアント装置との通信路を確立するネットワークシステムを提供する。
【００１３】
また、本発明においては、上記の目的を達成するため、DHCPサーバ装置と、DHCPクライアント装置、アプリケーションサーバ装置、及びDHCPクライアント装置をゲートウェイとしてネットワークに接続する通信装置から構成されるネットワークシステムであって、DHCPサーバ装置は、DHCPクライアント装置の個体識別情報とDHCPクライアントが接続する接続経路情報を保存する記憶部を備え、DHCPクライアント装置にIPアドレスを払い出す際に、DHCPクライアント装置から受信した個体識別情報とDHCPクライアント装置の接続経路情報と、記憶部に保存された情報とを比較し、比較結果が正しい場合のみDHCPクライアント装置にIPアドレスと、接続経路情報から生成した識別子をDHCPクライアント装置に送信し、識別子とDHCPクライアント装置の個体識別情報をアプリケーションサーバ装置に送信し、DHCPクライアント装置は、通信装置からIPアドレスの払出しを要求された場合に、通信装置の識別情報を確認し、通信装置の識別情報からDHCPクライアント装置の個体識別情報および識別子を送信する必要があると判断した場合に、DHCPクライアント装置の個体識別情報および識別子を付与してIPアドレスを払い出し、通信装置がアプリケーションサーバ装置との通信路の確立する際に、DHCPクライアント装置の個体識別情報および識別子をアプリケーションサーバ装置に送信し、アプリケーションサーバ装置は、DHCPクライアント装置が送信した識別子およびDHCPクライアント装置の個体識別情報と、DHCPサーバ装置から送信された識別子およびDHCPクライアント装置の個体識別情報を比較し、比較結果が正しい場合のみ通信装置との通信路を確立するネットワークシステムを提供する。
【００１４】
すなわち、本発明の好適な構成で説明すると、DHCPサーバ装置が、フェムトセル基地局機能を有する、或いは通信装置としてのフェムトセル基地局装置が接続されたDHCPクライアント装置、即ちホームゲートウェイ装置にIPアドレスを払い出すときに含まれる接続経路情報である回線IDを、フェムトセル基地局の物理的な位置を特定するために利用する。DHCPサーバ装置がIPアドレスをホームゲートウェイ装置に払い出す際に、回線IDを元にした識別子をホームゲートウェイ装置に渡すと共に、DHCPサーバ装置がアプリケーションサーバ装置であるフェムトセル基地局GWにも同様の識別子を送信する。この識別子を利用してホームゲートウェイ装置とフェムトセル基地局GW間の通信路を確立することで、フェムトセル基地局GWが、フェムトセル基地局が正規のユーザ宅からアクセスしていることを確認できる。
【００１５】
またフェムトセル回線認証に利用する識別子をフェムトセル基地局とフェムトセル基地局GW間の通信路を確立する際の、共有暗号鍵として用いることで、ユーザが事前に設定することなくセキュアな通信路を確保することが可能となる。
【発明の効果】
【００１６】
本発明によると、IP層で通信を行っている機器における回線認証が可能となる。また、本発明によると回線認証に利用する識別子を暗号鍵として利用することで機器間のセキュアな通信路の確立が可能となる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明の実施形態について図面を参照して説明する。なお、以下の説明において、DHCPクライアント装置及びアプリケーションサーバ装置としてホームゲートウェイ装置、及びフェムトセル基地局GWを例示して説明するが、これに限るものでない。
【実施例１】
【００１８】
まず、第１の実施例のシステムを図１〜図８、および図１４Ａ〜Ｃを用いて説明する。本実施例では、ホームゲートウェイ機能とフェムトセル基地局機能が同一の装置として実装された場合の、フェムトセル基地局と、フェムトセル基地局GWとしての特定の機能を提供するアプリケーションサーバ間のセッション確立に関して説明する。
【００１９】
図１は本実施例におけるシステムの構成を示す。ホームゲートウェイ装置１０は、宅内のNWと回線事業者NW１１との間に置かれ、宅内に存在する通信機器、通信装置と外部NWとの通信を仲介する。ホームゲートウェイ装置１０は、回線事業者NW１１に置かれたスイッチ１２によりDHCPサーバ１３と接続され、ホームゲートウェイ装置１０からの要求により、ホームゲートウェイ装置１０にIPアドレスを配布する。このときスイッチ１２はDHCPリレー機能が実装され、DHCPのリレーエージェント情報オプション(オプションコード：82)が有効とされているものとする。また、図１ではスイッチ１２は１台しか示していないが、２台以上のスイッチ１２を経由してDHCPサーバ１３と接続されていてもよい。
【００２０】
DHCPサーバ１３には、予めホームゲートウェイ装置１０の個体識別IDと、当該ホームゲートウェイ装置１０が接続されている回線の回線IDとが対となった情報が格納されており、これら個体識別IDと回線IDとのマッチングにより、ホームゲートウェイ装置１０が正規のユーザ宅にて利用されているか否かを確認し、当該ホームゲートウェイ装置１０にIPアドレスを払い出す。
【００２１】
また、本実施例のホームゲートウェイ装置１０には、フェムトセル基地局機能が実装されており、DHCPサーバ１３からホームゲートウェイ装置１０にIPアドレスが割り振られたあと、回線事業者NW１１を経由して、携帯キャリアNW１５との間に置かれているアプリケーションサーバとしてのフェムトセル基地局GW１４との間でセキュアな通信セッションを確立する。宅内に存在する携帯電話端末１６は、ホームゲートウェイ装置１０内に実装されたフェムトセル基地局からフェムトGW１４を介して携帯キャリアNW１５へと接続され、他の携帯端末との通信が可能となる。
【００２２】
なお、DHCPサーバ１３、及びある特定の機能を提供するアプリケーションサーバであるフェムトセル基地局GW１４の構成を特に説明しないが、通常のサーバ構成、或いはコンピュータシステムが備える、処理部として通常のCPU(Central Processing Unit)、記憶部、ネットワークインタフェース、入出力部などが内部バス等で接続された構成を備えていることは言うまでもない。
【００２３】
ホームゲートウェイ装置の構成を図２に示す。ホームゲートウェイ装置１０には宅内NWおよび回線事業者NW１１と通信するための、通信制御部２２を備えている。ホームゲートウェイ装置１０が受信したパケットは通信制御部２２によって処理され、必要に応じて他の機器へと転送される。さらに処理が必要なパケットに関しては制御部２０に送信され、制御部２０にて処理される。この制御部は、通常のCPUである。認証情報記憶部２１は、ホームゲートウェイ装置１０の個体識別IDなどホームゲートウェイ装置１０をDHCPサーバ１３が認証するために必要な情報等を格納しており、ホームゲートウェイ装置１０からDHCPサーバ１３へIPアドレスを要求する際に、読み出され要求パケットに付与して送信される。
【００２４】
ホームゲートウェイ装置１０には、フェムトセル基地局モジュール２３が実装されており、通信インタフェース２４を介して、ホームゲートウェイ装置１０及び外部と通信する。フェムトセル基地局モジュール２３は、フェムトセル基地局制御部２５によって制御されている。記憶部２６にはフェムトセル基地局個体識別IDが格納されている。この識別IDは、フェムトセル基地局GW１４に当該フェムトセル基地局を登録する際に利用される。この識別IDは出荷時に固定の値が割り振られており、ユーザが勝手に読み出し、書き込みが不可能となっているものとする。
【００２５】
図３に、ホームゲートウェイ装置１０へのIPアドレス割り当てのシーケンスを示す。ホームゲートウェイ装置１０は、起動するとIPアドレスを取得するため、DHCP DISCOVERパケットを送信する（S３００）。この時、DHCP DISCOVERパケットにはホームゲートウェイ装置１０を識別するための個体識別IDが認証情報記憶部２１から取得され、付与される。
【００２６】
DHCP DISCOVERパケットは、スイッチ１２を介して、DHCPサーバ１３に転送される（S３０１）。このときスイッチ１２では、DHCPサーバ１３から応答パケットをホームゲートウェイ装置１０に返信するために回線IDが付与される。この回線IDはスイッチ１２のMACアドレス及びポート番号である。また、当該スイッチ１２に予め設定された識別子でも良い。
【００２７】
ホームゲートウェイ装置１０からのDHCP DISCOBERパケットを受信したDHCPサーバ１３は、パケットに付与されたホームゲートウェイ装置１０の個体識別IDと回線IDの組と、予め記憶されているホームゲートウェイ装置１０の個体識別IDと回線IDとの組とを比較し、ホームゲートウェイ装置１０が正規の装置であり、さらに正規の場所から接続しているか否かを確認する。比較の結果、問題がなければ、ホームゲートウェイ装置１０に配布するIPアドレスを決定し、DHCP OFFERパケットとしてホームゲートウェイ装置１０に返信する（S３０２）。当該DHCP OFFERパケットには途中のスイッチで付与された回線IDがそのまま付与されており、ホームゲートウェイ装置１０にパケットを返送するために利用される。またパケットがスイッチ１２を経由する際に、スイッチ１２が付与した回線IDに関してはスイッチ１２がパケットを転送する際に削除してから、当該パケットを転送する（Ｓ３０３）。
【００２８】
DHCP OFFERパケットを受信したホームゲートウェイ装置１０は、DHCPサーバ１３から付与されたIPアドレスが利用可能かどうかを確認し、問題なければDHCPサーバ１３に対してDHCP REQUESTパケットを送信する（Ｓ３０４、Ｓ３０５）。
【００２９】
DHCP REQUESTパケットを受信したDHCPサーバ１３は、当該パケットの回線IDから暗号鍵を生成し、作成した暗号鍵をDHCP ACKパケットに付与して、ホームゲートウェイ装置１０に返信する（Ｓ３０６、Ｓ３０７）。
【００３０】
DHCP ACKパケットを受信したホームゲートウェイ装置１０は、受信したDHCP ACKパケットからDHCPサーバ１３によって付与された暗号鍵を取り出し、ホームゲートウェイ装置１０内に記憶する。
【００３１】
以上の動作により、ホームゲートウェイ装置１０はDHCPサーバ１３からのアドレス払出し時に、同時にアプリケーションサーバであるフェムト基地局GW１４へのアクセスに必要となる暗号鍵を取得することができる。
【００３２】
図１４Ａ〜図１４Ｃに、回線IDが付与されたDHCPパケットの構成例を示す。回線IDはDHCPパケットのオプションフィールドに含まれる(図１４Ａ)。DHCPオプションフィールドの最後尾にリレーエージェント情報１４３として付与される。リレーエージェント情報１４３は、例えば、装置ごとの要求元の回線を識別するためのIDを示すサーキットID１４４と、装置を識別するためのIDを示すリモートID１４４から構成される(図１４Ｂ)。スイッチ１２を経由する度に最後尾に付与されていく(図１４Ｃ)。
【００３３】
これらDHCPパケットに付与されたリレーエージェント情報の集合は、接続経路毎に唯一のものであり、DHCPサーバ１３は、DHCPパケットのオプションからリレーエージェント情報の集合を取り出し、取り出したリレーエージェント情報の集合をキーとしてWEP(Wired Equivalent Privacy)やAES(Advanced Encryption Standard)といった暗号鍵を作成する。作成する暗号鍵は、その他独自で定義したものでもよい。
【００３４】
図４は、DHCPサーバ１３からホームゲートウェイ装置１０がIPアドレスを取得する場合の処理のフローを示したものである。この処理は上述した制御部であるCPUで実行される。ホームゲートウェイ装置１０は起動すると、DHCPサーバ１３からIPアドレスを取得するために、DHCP DISCOVERパケットを作成する。このときDHCP DISCOVERメッセージには、当該ホームゲートウェイ装置１０を識別するための個体識別IDを付与する。作成したDHCP DISCOVERパケットを通信制御部２２経由で送信する（４０００）。
【００３５】
DHCP DISCOVERパケット送信後、DHCPサーバ１３からDHCP OFFERパケットが送信されているのを待つ（４００１）。DHCPサーバ１３からDHCP OFFERパケットを受信すると、ホームゲートウェイ装置１０は、DHCP OFFERパケット内に格納されたDHCPサーバ１３からホームゲートウェイ装置１０に対して割当てられたIPアドレスに問題がないこと（他の機器が同一のIPアドレスを使用していない等）を確認する（４００２）。DHCPサーバ１３から割当てられたIPアドレスに問題がなければ、DHCP REQUESTパケットを作成し、DHCPサーバ１３に送信する（４００３）。
【００３６】
それから、DHCPサーバ１３からDHCP ACKパケットを受信するのを待ち（４００４）、DHCP ACKパケットを受信したら、DHCPサーバ１３から割り振られたIPアドレスを自身のIPアドレスとして利用する（４００５）。さらに、DHCP ACKパケット内に付与された暗号鍵を取り出し記憶する（４００６）。
【００３７】
図５は、DHCPサーバ１３がホームゲートウェイ装置１０にIPアドレスを払い出す際の処理の動作フローである。この動作フローは、上述した処理部であるCPUで実行されることはいうまでもない。まず、DHCPサーバ１３は、ホームゲートウェイ装置１０からDHCP DISCOVERパケットが送信されてくるのを待つ。ホームゲートウェイ装置１０からDHCP DISCOVERパケットを受信すると（５００１）、DHCP DISCOVERパケット内に格納されたホームゲートウェイ装置１０の個体識別ID及び回線IDを取り出す（５００２）。そしてDHCPサーバ１３は後で説明するように、自身が格納しているホームゲートウェイ装置情報テーブルの内容と、取り出した個体識別ID及び回線IDを比較する（５００３）。DHCP DISCOVERパケットから取り出した個体識別IDと回線IDとの組が、個体識別ID・回線ID対応テーブルに登録されていない場合は、不正なアクセスであると判断し、ホームゲートウェイ装置１０にDHCP NAKパケットを送信する（５００４）。またDHCP NAKパケットを送信するのではなく、単に受信したパケットを廃棄して応答を返さない実装でもよい。
【００３８】
個体識別IDと回線IDの組が、ホームゲートウェイ装置情報テーブルに登録されていた場合は、当該ホームゲートウェイ装置に割当てるIPアドレスを決定し、決定したIPアドレスを指定した、DHCP OFFERパケットを作成し、ホームゲートウェイ装置１０に作成したDHCP OFFERパケットを送信する（５００５）。
【００３９】
それから、DHCPサーバ１３はホームゲートウェイ装置１０からのDHCP REQUESTパケットを受信するのを待つ（５００６）。ホームゲートウェイ装置１０からDHCP REQUESTパケットを受信すると、回線IDより暗号鍵を生成する(５００７)。この暗号鍵は回線IDより一意に生成されるものであり、さらに一時的に生成され、ホームゲートウェイ装置１０にIPアドレスを割り振る度に生成されるものである。
【００４０】
次にDHCP ACKパケットを作成し、作成したパケットに作成した暗号鍵を付与する。それから、暗号鍵を付与したDHCP ACKパケットを当該ホームゲートウェイ装置１０に返信する。
【００４１】
さらに、ホームゲートウェイ装置情報テーブルの当該ホームゲートウェイ装置１０に該当するエントリの情報を更新し、当該ホームゲートウェイ装置１０に割当てたIPアドレスおよび、作成した暗号鍵を格納する。なお、それぞれのホームゲートウェイ装置に割当てるIPアドレスに関しては予め各ホームゲートウェイの個体識別ID毎に決定していても良いし、要求があった時点で利用可能なIPアドレスの中から割当てるのでも良い。
【００４２】
図６は、DHCPサーバ１３が保持するホームゲートウェイ装置情報テーブル６０の構成例である。このテーブル６０は通常のサーバ内の記憶部に形成される。ホームゲートウェイ装置情報テーブル６０は、ホームゲートウェイ装置情報テーブル・エントリ６１の集合から構成する。ホームゲートウェイ装置情報テーブル・エントリ６１は、さらに実際のデータを格納するための複数のフィールドから構成する。個体識別ID６２は、ホームゲートウェイ装置１０の個体識別IDを格納するテーブルであり、ユーザに配布されたホームゲートウェイ装置の個体識別IDが格納される。
【００４３】
回線IDフィールド６３は、当該エントリの個体識別ID６２が接続する回線の情報を記憶している。払出しIPアドレス６４は、当該エントリの個体識別ID６２に対応するホームゲートウェイ装置１０に払い出したIPアドレスを格納するテーブルである。暗号鍵フィールド６５は、当該エントリの回線IDから作成された暗号鍵を格納するためのフィールドである。
【００４４】
図７は、フェムトセル基地局GW１４が保持するフェムトセル基地局情報テーブル７０の構成例である。このテーブル７０も通常のサーバが有する記憶部上に形成される。フェムトセル基地局情報テーブル７０は、フェムトセル基地局情報テーブル・エントリ７１の集合から構成する。フェムトセル基地局情報テーブル・エントリ７１は、さらに実際のデータを格納するため複数のフィールドから構成する。ホームゲートウェイ個体識別ID７２は、フェムト基地局モジュールが実装されているホームゲートウェイ装置１０の個体識別IDを格納するためのフィールドである。フェムトセル基地局識別IDは、フェムトセル基地局を識別するための識別子を格納するためのフィールドである。払出しIPアドレスフィールド７４は、DHCPサーバ１３から当該エントリのホームゲートウェイ個体識別IDに対応したホームゲートウェイ装置１０に払い出されたIPアドレスを格納するためのフィールドである。暗号鍵７５はDHCPサーバ１３が回線IDから生成した暗号鍵を格納するためのフィールドである。
【００４５】
フェムトセル基地局情報テーブル７０は、DHCPサーバ１３から送信された情報を元に更新される。DHCPサーバ１３からの情報送信は、DHCPサーバ１３がホームゲートウェイ装置１０にIPアドレスの配布及び暗号鍵の作成されたことをトリガとする。また、フェムトセル基地局GW１４とDHCPサーバ１３との通信には暗号化等により十分にセキュアな通信経路を使用して実現するものとする。
【００４６】
図８はホームゲートウェイ装置１０内に実装された、フェムトセル基地局モジュール２３がフェムトセル基地局GW１４へ当該フェムトセル基地局を登録する際の動作フローを示す。フェムトセル基地局GW１４側の動作は、詳細は省略するが、上述した処理部であるCPUが担当する。
【００４７】
さて、ホームゲートウェイ装置１０にIPアドレスが割り振られるとホームゲートウェイ装置１０に実装されたフェムトセル基地局モジュール２３のフェムトセル基地局制御部２５より、フェムトセル基地局モジュール２３内に予め設定されているフェムトセル基地局GW１４のIPアドレスを用いて、フェムトセル基地局GW１４に対してセッションの確立を実行する。まず、DHCPサーバ１３から受信した暗号鍵を事前共有鍵として利用し、IKE(Internet Key Exchange)により鍵交換を行う（Ｓ８００）。そして得られた鍵によりIPSec VPNを確立する（Ｓ８０１）。前記確立されたIPSec VPN（IP Security Virtual Private Network）を利用してフェムトセル基地局モジュール２３からフェムトセル基地局GW１４への登録を実行する。さらに、登録の際に、フェムトセル基地局モジュール２３が実装されているホームゲートウェイ装置１０の個体識別IDを併せて送信する。
【００４８】
ここで、IKEに利用された事前共有鍵は、DHCPサーバ装置１３においてホームゲートウェイ装置１０の回線IDを用いて生成されたものであり、フェムトセル基地局モジュール２３とフェムトセル基地局GW１４との間でセッションが確立できたということは、正しい回線からフェムトセル基地局モジュール２３が接続していることの確認となり、不正な回線からのアクセスを排除することが可能である。
【００４９】
また、フェムト基地局GW１４が保持するフェムトセル基地局情報テーブル７０に示すように、ホームゲートウェイ装置１０の個体識別IDとフェムトセル基地局モジュール２３の識別IDの対を管理することにより、正規のフェムトセル基地局モジュールが別の正規のホームゲートウェイ装置に接続され使用されてしまうといった問題を回避可能である。
【００５０】
本実施例ではフェムト基地局GW１４のアドレスはホームゲートウェイ装置１０内に予め設定されるものとしているが、DHCPサーバ１３からのホームゲートウェイ装置１０へのIPアドレス割当ての際に、暗号鍵のほかにフェムト基地局GW１４のアドレス等も併せて、DHCPサーバ１３がDHCP ACKパケットに付与し、そのアドレスを利用してホームゲートウェイ装置１０内のフェムトセル基地局モジュール２３が、フェムトセル基地局GW１４へ自身を登録しにいく実装でもよい。
【００５１】
以上説明した第1の実施例により、DHCPサーバ１３がホームゲートウェイ装置１０にIPアドレスを払い出す際に、回線IDから生成した暗号鍵を付与することで、ホームゲートウェイ装置１０内のフェムトセル基地局モジュール２３がフェムトセル基地局GW１４と通信を確立する際に、セキュアな通信路を確保することと、フェムトセル基地局モジュール２３が正規の回線からアクセスしていることを同時に確認することが可能となる。
【実施例２】
【００５２】
次に、第二の実施例について説明する。本実施例では、ホームゲートウェイ装置とフェムトセル基地局装置が異なる機器として実装されている場合の、フェムトセル基地局装置とフェムトセル基地局GWとの通信路確立に関して説明する。
【００５３】
本実施形態のシステム構成を図９に示す。本実施例において図１に示した実施例１のシステム構成と異なるのは、実施例１ではフェムトセル基地局モジュールがホームゲートウェイ装置と一体化していたのに対して、フェムトセル基地局装置９１としてホームゲートウェイ装置９０とは異なる機器として実装され、フェムトセル基地局装置９１がホームゲートウェイ装置９０に接続されている点が異なる。その他の機器の構成は図１と同じであり、図1と同様の番号を付与している。
【００５４】
本実施例におけるホームゲートウェイ装置９０及びフェムトセル基地局装置９１の構成例を図１０に示す。ホームゲートウェイ装置９１には宅内NWおよび回線事業者NWと通信するための、通信制御部２２を備えている。ホームゲートウェイ装置９１が受信したパケットは通信制御部２２によって処理され、必要に応じて他の機器へと転送される。さらに処理が必要なパケットに関しては制御部２０に送信され、制御部２０にて処理される。認証情報記憶部２１は、ホームゲートウェイ装置９０の個体識別IDなどホームゲートウェイ装置９０をDHCPサーバ１３が認証するために必要な情報等を格納しており、ホームゲートウェイ装置９０からDHCPサーバ１３へIPアドレスを要求する際に、読み出され要求パケットに付与して送信される。
【００５５】
フェムトセル基地局装置９１には、ホームゲートウェイ装置９０と通信するための通信インタフェース２４が実装されており、通信インタフェース２４を介して、ホームゲートウェイ装置９０及び外部NWと通信する。フェムトセル基地局装置９１は、フェムトセル基地局制御部２５によって制御されている。この制御部２５も通常の中央処理部であるCPUで構成されることは言うまでもない。フェムトセル基地局個体識別ID記憶部２６は、フェムトセル基地局GW１４に当該フェムトセル基地局９１を登録する際に利用される識別IDが格納されている記憶装置であり、出荷時に固定の値が割り振られており、ユーザが勝手に読み出し、書き込みが不可能となっている。
【００５６】
ホームゲートウェイ装置９０へのDHCPサーバ１３からのアドレスの割り当て処理に関しては、実施例１と同様であり、ホームゲートウェイ装置９０が起動した際に、ホームゲートウェイ装置９０へDHCPサーバ１３からIPアドレスが割り振られる。またこのときホームゲートウェイ装置９０はDHCPサーバ１３からDHCPサーバ１３が回線IDを用いて生成した暗号鍵を受取っており、前記暗号鍵をホームゲートウェイ装置９０内に格納にしている。
【００５７】
図１１は、ホームゲートウェイ装置９０がフェムトセル基地局装置９１へIPアドレスが割り振る際の処理のシーケンスを示した図である。フェムトセル基地局装置９１が起動すると、IPアドレスを取得するためにDHCP DISCPVERパケットを送信する（Ｓ１１００）。このときフェムトセル基地局装置９１はDHCP DISCOVERパケットにフェムトセル基地局識別IDを付与して送信する。DHCP DISCOVERパケットを受信したホームゲートウェイ装置９０は、フェムトセル基地局装置９１に割当てるIPアドレスを決定し、このIPアドレスを格納したDHCP OFFERパケットをフェムト基地局装置９１へ送信する(Ｓ１１０１)。
【００５８】
DHCP OFFERパケットを受信したフェムトセル基地局装置９１は、DHCP OFFERパケット内からDHCPサーバ１３によって指定されたIPアドレスを取得する。そして取得したIPアドレスが利用可能であるか確認し、問題なければDHCP REQUESTパケットを作成しホームゲートウェイ装置９０に送信する（Ｓ１１０２）。
【００５９】
DHCP REQUESTパケットを受信したホームゲートウェイ装置９０は、DHCP ACKパケットを作成し、フェムトセル基地局装置９１に返信する（Ｓ１１０３）。このときホームゲートウェイ装置９０作成したDHCP ACKパケットにホームゲートウェイ装置９０の個体識別IDとDHCPサーバ１３から送付された暗号鍵を付与する。
【００６０】
図１２は、ホームゲートウェイ装置９０がフェムトセル基地局装置９１にIPアドレスを払い出す際の処理の動作フローである。まず、ホームゲートウェイ装置９０は、フェムトセル基地局装置９１からDHCP DISCOVERパケットが送信されてくるのを待つ。フェムトセル基地局装置９１からDHCP DISCOVERパケットを受信すると（１２００１）、DHCP DISCOVERパケット内に格納された機器情報を取り出し（１２００２）、前記機器情報を利用して、IPアドレスを要求してきた機器が何であるかを確認する（１２００３）。
【００６１】
IPアドレスを要求してきた機器がフェムトセル基地局装置でない場合は、ホームゲートウェイ装置９０内に記憶されているフェムトセル基地局であるか否かを示すフラグを立てずに、IPアドレスの払出しフローに移行する（１２００４）。IPアドレスを要求してきた機器がフェムトセル基地局装置である場合は、ホームゲートウェイ装置９０内に記憶されているフェムトセル基地局であるか否かを示すフラグを立てた後（１２００５）、当該機器に割り振るべきIPアドレスを決定する（１２００６）。ここで決定するIPアドレスに関しては、予め接続する機器毎に割当てるIPアドレスを決定しておいても良いし、IPアドレスを要求された時点で、利用可能なアドレスから選択し、当該機器に割り振るのでもよい。
【００６２】
IPアドレスを要求した機器に割り振るIPアドレスを決定したホームゲートウェイ装置９０は、DHCP OFFERパケットを作成し、要求した機器に送信する（１２００７）。それから機器からDHCP REQUESTパケットが送信されてくるまで待機する（１２００８）。DHCP REQUESTパケットを受信したホームゲートウェイ装置９０は、DHCP ACKパケットを作成する（１２００９）。ここで、ホームゲートウェイ装置９０は、IPアドレスを要求してきた機器がフェムトセル基地局装置９１であるか否かを示すフラグが立っていた場合は、作成したDHCP ACKパケットにホームゲートウェイ装置９０の個体識別ID及びDHCPサーバ１３から送付されたフェムトセル基地局GW１４との通信確立に利用する暗号鍵を付与する。さらにフェムトセル基地局装置９１からホームゲートウェイ装置９０を経由してフェムトセル基地局GW１４に対してパケットの送受信が可能となるようにファイヤーウォールの設定等の設定更新を実施する（１２０１１）。それからホームゲートウェイ装置９０の個体識別ID及び暗号鍵を付与したDHCP ACKパケットを送信する。
【００６３】
IPアドレスを要求してきた機器のフェムトセル基地局装置であるか否かを示すフラグが立っていない場合は、DHCP ACKパケットを返すのみである。
【００６４】
図１３は、フェムトセル基地局装置９１がフェムトセル基地局GW１４に登録する際のシーケンスを示す図である。ここで、ホームゲートウェイ装置９０にはフェムトセル基地局装置９１からフェムトセル基地局GW１４間でIPSec VPNが確立できるように、NAT(Network Address Translator)トラバーサル機能が実装され、ホームゲートウェイ装置９０がフェムトセル基地局装置９１にIPアドレスを払い出した際に、フェムトセル基地局装置９１からフェムトセル基地局GW１４間で送受信されるパケットにNATトラバーサル機能が設定される。
【００６５】
フェムトセル基地局装置９１にIPアドレスが割り振られるとフェムトセル基地局装置９１のフェムトセル基地局制御部２５より、フェムトセル基地局装置９１に予め設定されているフェムトセル基地局GWのIPアドレスを用いて、フェムトセル基地局GWに対してセッションの確立を実行する。まず、DHCPサーバ１３から受信した暗号鍵を事前共有鍵として利用し、IKE(Internet Key Exchange)により鍵交換を行う（Ｓ１３００）。そして得られた鍵によりIPSec VPNを確立する（Ｓ８０１）。前記確立されたIPSec VPNを利用してフェムトセル基地局装置９１からフェムトセル基地局GW１４への登録を実行する。さらに、登録の際に、ホームゲートウェイ装置９０からIPアドレスを払い出されたときに受取ったホームゲートウェイ装置９０の個体識別IDを併せて送信する。
【００６６】
ここで、IKEに利用された事前共有鍵は、DHCPサーバ装置１３からホームゲートウェイ装置９０の回線IDを用いて生成されたものであり、フェムトセル基地局装置９１とフェムトセル基地局GW１４との間でセッションが確立できたということは、正しい回線からフェムトセル基地局装置９１が接続していることの確認となり、不正な回線からのアクセスを排除することが可能である。
【００６７】
また、先の実施例同様、ホームゲートウェイ装置９０の個体識別IDとフェムトセル基地局装置９１の識別IDの対を管理することにより、正規のフェムトセル基地局装置９１が別の正規のホームゲートウェイ装置に接続され使用されてしまうといった問題を回避可能である。
【００６８】
本実施例ではフェムト基地局GW１４のアドレスはホームゲートウェイ装置９０内に予め設定されるものとしているが、前記DHCPサーバ装置１３からのホームゲートウェイ装置９０へのIPアドレス割当ての際に、暗号鍵のほかにフェムト基地局GW１４のIPアドレス等も併せて、DHCPサーバ装置１３がDHCP ACKパケットに付与し、そのIPアドレスをホームゲートウェイ装置９０がフェムトセル基地局装置９１へIPアドレスを割り振る際のパケットに付与することで、動的にフェムトセル基地局装置９１へフェムトセル基地局GW１４のIPアドレスを送付するのでもよい。そのIPアドレスを利用してフェムトセル基地局装置がフェムトセル基地局GWへ自身を登録することで、フェムトセル基地局装置に事前にフェムトセル基地局装置のIPアドレスを設定する手間を省くことが可能である。
【００６９】
以上説明した第二の実施例により、フェムトセル基地局装置がホームゲートウェイと異なる機器として実装されていた場合でも、第一の実施例と同様にDHCPサーバがホームゲートウェイ装置にIPアドレスを払い出す際に、回線IDから生成した暗号鍵を付与し、ホームゲートウェイ装置経由にてフェムトセル基地局装置に暗号鍵を送付し、さらにDHCPサーバ装置がフェムトセル基地局GWへ暗号鍵を送付しておくことで、フェムトセル基地局装置がフェムトセル基地局GWと通信を確立際に、セキュアな通信路を確保することと、フェムトセル基地局モジュールが正規の回線からアクセスしていることを同時に確認することが可能となる。
【００７０】
以上詳述してきた本発明によれば、フェムトセル基地局装置、フェムトセル基地局GWなどのアプリケーションサーバ間のセキュアな通信路の確立に必要な鍵交換を自動的に実行すると当時に、当該フェムトセル基地局装置が正規の地点から接続していることを保証することができる。
【図面の簡単な説明】
【００７１】
【図１】第一の実施例に係わるネットワークシステムの構成図である。
【図２】第一の実施例に係わるフェムトセル基地局機能を実装したホームゲートウェイ装置の構成図である。
【図３】第一の実施例に係わるDHCPサーバからホームゲートウェイ装置へIPアドレスを払い出す際のシーケンス図である。
【図４】第一の実施例に係わるDHCPサーバからホームゲートウェイ装置へIPアドレスを払い出す際のホームゲートウェイ装置の動作フロー図である。
【図５】第一の実施例に係わるDHCPサーバからホームゲートウェイ装置へIPアドレスを払い出す際のDHCPサーバの動作フロー図である。
【図６】第一の実施例に係わるホームゲートウェイ装置情報テーブルの構成例を示す図である。
【図７】第一の実施例に係わるフェムトセル基地局情報テーブルの構成例を示す図である。
【図８】第一の実施例に係わるフェムトセル基地局モジュールがフェムトセル基地局GWへフェムトセル基地局モジュールを登録する際のシーケンス図である。
【図９】第二の実施例に係わるネットワークシステムの構成図である。
【図１０】第二の実施例に係わるフェムトセル基地局装置とホームゲートウェイ装置が異なる機器で実装された場合の構成例を示す図である。
【図１１】第二の実施例に係わるフェムトセル基地局装置がホームゲートウェイ装置からIPアドレスを払い出される際のシーケンス図である。
【図１２】第二の実施例に係わるホームゲートウェイ装置９０がフェムトセル基地局装置９１にIPアドレスを払い出す際の処理の動作フローを示す図である。
【図１３】第二の実施例に係わるフェムトセル基地局装置がフェムトセル基地局GWへフェムトセル基地局装置を登録する際のシーケンス図である。
【図１４Ａ】各実施例における、回線IDが付与されたDHCPパケットの構成例を示す図である。
【図１４Ｂ】各実施例における、回線IDが付与されたDHCPパケットの構成例を示す図である。
【図１４Ｃ】各実施例における、回線IDが付与されたDHCPパケットの構成例を示す図である。
【符号の説明】
【００７２】
１０…ホームゲートウェイ装置
１１…事業者ＮＷ
１２…スイッチ
１３…DHCPサーバ
１４…フェムトセル基地局ＧＷ
１５…携帯キャリアＮＷ
１６…携帯電話端末
２０…ホームゲートウェイ装置の制御部
２１…ホームゲートウェイ装置の認証情報記憶部
２２…ホームゲートウェイ装置の通信制御部
２３…フェムトセル基地局モジュール
２４…フェムトセル基地局モジュールの通信インタフェース
２５…フェムトセル基地局モジュールのフェムトセル基地局制御部
２６…フェムトセル基地局個体識別ID記憶部
９０…ホームゲートウェイ装置
９１…フェムトセル基地局装置。
【図１】
2010118752.tif 000003
【図２】
2010118752.tif 000004
【図３】
2010118752.tif 000005
【図４】
2010118752.tif 000006
【図５】
2010118752.tif 000007
【図６】
2010118752.tif 000008
【図７】
2010118752.tif 000009
【図８】
2010118752.tif 000010
【図９】
2010118752.tif 000011
【図１０】
2010118752.tif 000012
【図１１】
2010118752.tif 000013
【図１２】
2010118752.tif 000014
【図１３】
2010118752.tif 000015
【図１４Ａ】
2010118752.tif 000016
【図１４Ｂ】
2010118752.tif 000017
【図１４Ｃ】
2010118752.tif 000018