(57)【要約】【課題】端末から固定網を介してサービス事業者網へ接続する際に、サービス事業者網との認証・接続のために端末機能の実装やユーザによる設定作業が不要である通信サービス提供システム及びその方法を提供する。【解決手段】固定網(103)にトラヒック振り分け機能部(200)を設け、トラヒック振り分け機能部(200)によって、端末(101A,101B,101C)と固定網(103)との間では端末によって使用可能な通信方式で接続し、その先のサービス事業者網(104A,104B,104C)とはサービスの要求にあった接続ポリシで接続する。これにより、多様な端末(101A,101B,101C)が固定網(103)との接続だけで簡易にサービス事業者網(104A,104B,104C)のサービス提供を受けることが可能となる。これによって、将来的には固定網(103)上で提供されるサービスの多様化が可能となる。【選択図】図１
2014154966.tif 000002
【特許請求の範囲】
【請求項１】
第１通信網に接続される端末を該第１通信網を介して複数の第２通信網の中のいずれかの接続対象となる第２通信網に接続する通信サービス提供システムであって、
前記第１通信網は、認証処理部と接続処理部とトラヒック振り分け部とを備えたトラヒック振り分け機能部を備え、
前記第２通信網は、認証サーバと接続ポリシ管理サーバとトンネル終端装置とを備え、
前記認証処理部は、
前記端末からの接続要求を受信し、該接続要求を接続対象となる第２通信網の前記認証サーバへ転送する機能と、
接続対象となる第２通信網の前記認証サーバから送信された認証要求を前記端末に転送する機能と、
前記端末から認証応答を受信し、該認証応答を接続対象となる第２通信網の前記認証サーバに転送する機能と、
接続対象となる第２通信網の前記認証サーバから認証結果を受信したときに、該認証結果を確認し、該認証結果を前記端末に通知するとともに前記端末と接続対象となる第２通信網との接続のために必要な接続情報を前記接続処理部に通知する機能と、
前記接続処理部から接続処理が完了した通知を受信したときに、通信の識別情報と認証完了を前記端末に通知する機能とを有し、
前記接続処理部は、
前記認証処理部から前記接続情報を受信したときに、該接続情報に基づいて接続対象となる第２通信網の接続ポリシ管理サーバに接続ポリシ情報を問い合わせる機能と、
接続対象となる第２通信網の前記接続ポリシ管理サーバから接続条件を受信したときに、該接続条件によって接続対象となる第２通信網へ接続するようにトラヒック振り分け部に対してトンネル通信路の設定を指示する機能と、
前記トラヒック振り分け部から接続処理完了の通知を受信したときに、前記端末に付与する前記識別情報を決定し、トラヒック振り分け部に対して当該識別情報によるパケット通信時には前記トンネル通信路を介して接続対象となる第２通信網へ転送するように振り分け条件の設定を要求する機能と、
前記トラヒック振り分け部から振り分け条件設定完了通知を受信したときに、接続処理が完了したことを前記認証処理部に対して通知する機能とを有し、
前記トラヒック振り分け部は、
前記接続処理部からトンネル通信路の設定を指示されたときに、接続対象となる第２通信網のトンネル終端装置へ接続してトンネル通信路を設定するとともに前記接続処理部に接続処理が完了したことを通知する機能と、
前記接続処理部から振り分け条件の設定を要求されたときに、指定された振り分け条件によるパケットのヘッダ情報の書き換えを設定し、前記接続処理部に対して振り分け条件設定完了通知を送信する機能とを有し、
前記認証サーバは、
前記認証処理部から接続要求を受信したときに、該認証処理部に対して認証処理を要求する機能と、
前記認証処理部から送信された認証応答を受信し、該認証応答から前記端末のユーザの本人性を確認し、この認証結果を前記認証処理部に送信する機能を有し、
前記接続ポリシ管理サーバは、
前記接続処理部から前記接続ポリシ情報の問い合わせを受けたときに、接続条件を応答する機能を有し、
前記端末は、
前記認証処理部から受信した認証要求に対する認証応答を前記認証処理部に送信する機能と、
前記認証処理部から通知された識別情報を用いて通信を行う機能とを有する
ことを特徴とする通信サービス提供システム。
【請求項２】
前記認証処理部は前記端末から受信した接続要求に含まれるＩＤ情報によって接続対象となる第２通信網を特定する機能を有し、
前記端末が送信する認証応答は、前記ＩＤ情報とその正当なユーザであることを証明する認証情報とを含む
ことを特徴とする請求項１に記載の通信サービス提供システム。
【請求項３】
前記接続処理部は、複数の前記トンネル通信路の接続状態を管理する機能を有する
ことを特徴とする請求項１又は２に記載の通信サービス提供システム。
【請求項４】
前記接続ポリシ管理サーバが送信する接続条件は、トンネル通信路の種別とユーザに割り当てられる接続帯域とセキュリティ条件と課金条件が含まれる
ことを特徴とする請求項１乃至３の何れかに記載の通信サービス提供システム。
【請求項５】
第１通信網に接続される端末を該第１通信網を介して複数の第２通信網の中のいずれかの接続対象となる第２通信網に接続する通信サービス提供システムにおいて、前記第１通信網にトラヒック振り分け機能部を備え、該トラヒック振り分け機能部によって前記端末と前記第２通信網を接続する通信サービス提供方法であって、
前記トラヒック振り分け機能部は、
前記端末から前記接続対象となる第２通信網への接続要求を受信すると、前記接続対象となる第２通信網に対して前記接続要求を転送し、
前記接続対象となる第２通信網から前記接続要求に対する認証要求を受信したときに、該認証要求を前記端末に転送し、
前記端末から前記認証要求に対する認証応答を受信したときに、該認証応答を前記接続対象となる第２通信網に転送し、
前記接続対象となる第２通信網から前記認証応答に対する認証結果を受信したときに、該認証結果を確認し、該認証結果を前記端末に通知するとともに、前記端末と前記接続対象となる第２通信網との接続のための接続条件に基づいて前記接続対象となる第２通信網との間にトンネル通信路を設定し、
前記端末に付与する識別情報を決定し、該識別情報による前記端末のパケット通信時には通信パケットを前記トンネル通信路を介して前記接続対象となる第２通信網に転送するように振り分け条件の設定を行い、
前記端末に対して前記識別情報と認証完了を通知する
ことを特徴とする通信サービス提供方法。
【請求項６】
前記トラヒック振り分け機能部は、前記端末から受信した接続要求に含まれるＩＤ情報によって接続対象となる第２通信網を特定し、
前記端末が送信する認証応答は、ＩＤ情報とその正当なユーザであることを証明する認証情報とを含む
ことを特徴とする請求項５に記載の通信サービス提供方法。
【請求項７】
前記トラヒック振り分け機能部は、複数の前記トンネル通信路の接続状態を管理する
ことを特徴とする請求項５又は６に記載の通信サービス提供方法。
【請求項８】
前記接続対象となる第２通信網が送信する接続条件は、トンネル通信路の種別とユーザに割り当てられる接続帯域とセキュリティ条件と課金条件とを含む
ことを特徴とする請求項５乃至７の何れかに記載の通信サービス提供方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末が接続する通信網とサービスが提供される通信網とを接続した形態で提供される通信サービスに関し、特に、複数の通信網への自動接続及び適切な通信路設定を行う通信サービス提供システム及びその方法に関するものである。
【背景技術】
【０００２】
従来、固定網ではISP(Internet Services Provider)とのトンネル接続にL2TP(Layer 2 Tunneling Protocol、RFC2661)技術を利用している。L2TPはLAC (L2TP Access Concentrator)が要求元回線とユーザ名とパスワード等から接続先となるISPを判定し、適切な接続先ISPの認証装置に対してこれらの情報を中継して送信し、認証装置から認証された場合にトンネル接続する技術である。
【０００３】
3GPP(Third Generation Partnership Project)では、WiFi(Wireless Fidelity)などの非3GPPアクセスを利用したEPC(Evolved Packet Core)コア接続技術を規定している(TS23.402)。ここでは、WiFiAP(Wi-Fiアクセスポイント)や端末をSIM(Subscriber Identity Module)カードにより認証し、EPCコア網の接続ゲートウェイに対して、GTP(GPRS Tunneling Protocol )/IPSec(Security Architecture for Internet Protocol)のトンネル接続を構築して通信のセキュリティ確保等を行っている。
【０００４】
また、企業のユーザが自社の社内網に対して接続する際にもIPSec等のセキュリティの担保されたトンネル通信路を構築して接続している。この際の認証には、社内でのみ取得可能な電子証明書を用いることで自社ユーザ以外のユーザからのアクセスを防いでいる。
【０００５】
上記技術の具体例としての構成を図７に示して説明する。
【０００６】
既存技術ではISP(104A)との接続時には、HGW(Home GateWay)(102A)やパソコンなどの端末(101A)が固定網(103)に接続した際、固定網(103)は回線情報とユーザＩＤからユーザが契約中のISP事業者(104A)を特定し、当該ISP事業者(104A)と固定網(103)の接続点を判別して接続信号を転送する。このとき、認証が同時並行に進められユーザＩＤとパスワード(111A)がISP事業者(104A)に転送される。認証処理が完了するとL2TP(105A)によるトンネル通信路がHGW(102A)とISP事業者(104A)のGW(107A)間に設定され、ユーザ端末(101A)とISP事業者(104A)はIP(Internet Protocl)で接続した状態となる。
【０００７】
企業網(104C)に固定網(103)を介して接続する場合、端末(101C)上に保存された証明書(111C)などを使って企業網(104C)のGW(107C)にアクセスし、ユーザＩＤと証明書(111C)の情報により認証する。認証が無事に完了すると、IPSec(105C)によるトンネル通信路を端末(101C)が企業網(104C)のGW(107C)に対して確立し、企業網(104C)が管理するアドレスを端末(101C)に払いだし、IPSec(105C)のトンネル通信路により端末(101C)と企業網(104C)の通信は暗号化されるため、仮想的に端末(101C)は企業システムの管理する企業網(104C)のネットワークに接続する。
【０００８】
モバイル網(104B)との接続に関しても、企業システムと同様にモバイル網(104B)と端末(101B)の間でSIM(111B)による認証が完了した後にePDG(107B)と端末(101B)の間でIPSec/GTP(105B)のトンネル通信路を確立し、モバイル網(104B)が払いだしたアドレスを使って端末(101B)はモバイル網(104B)と通信する。
【０００９】
HGW(102A,102B,102C)はいずれの場合においても固定網(103)内のAAAサーバ(106)との間で認証して、HGW(102A,102B,102C)から固定網(103)を介して各種装置への接続性を提供する。
【先行技術文献】
【非特許文献】
【００１０】
【非特許文献１】http://www.ietf.org/rfc/rfc2661.txt 「Layer Two Tunneling Protocol "L2TP"」
【非特許文献２】3GPP TS23.402 V11.40 (2012-09)
【発明の概要】
【発明が解決しようとする課題】
【００１１】
図７に示すように、ISP(104A)、企業網(104C)、モバイル網(104B)などのサービス事業者網への接続は、端末(101A,101B,101C)が直接各サービスのAAAサーバ(108A,108B,108C)との間で認証及びトンネル接続処理を実施しているので、サービス事業者網との認証・接続のために端末機能の実装やユーザによる設定が必要だった。このため、端末(101A,101B,101C)やHGW(102A,102B,102C)において接続先のネットワークに対する認証情報だけでなく、トンネル通信路を介する接続に必要なトンネル通信路の生成機能及び終端機能を具備する必要がある。このため、端末処理が多くなることによるアプリケーション処理の低下や、端末へのトンネル生成機能及び終端機能の実装が必要となることによる端末コストの上昇、ユーザによる設定作業の必要性などの問題があった。
【００１２】
本発明は上記の問題点に鑑み、端末から固定網を介してサービス事業者網へ接続する際に、サービス事業者網との認証・接続のために端末機能の実装やユーザによる設定作業が不要である通信サービス提供システム及びその方法を提供することである。
【課題を解決するための手段】
【００１３】
本発明は上記の目的を達成するために、第１通信網に接続される端末を該第１通信網を介して複数の第２通信網の中のいずれかの接続対象となる第２通信網に接続する通信サービス提供システムであって、前記第１通信網は、認証処理部と接続処理部とトラヒック振り分け部とを備えたトラヒック振り分け機能部を備え、前記第２通信網は、認証サーバと接続ポリシ管理サーバとトンネル終端装置とを備え、前記認証処理部は、前記端末からの接続要求を受信し、該接続要求を接続対象となる第２通信網の前記認証サーバへ転送する機能と、接続対象となる第２通信網の前記認証サーバから送信された認証要求を前記端末に転送する機能と、前記端末から認証応答を受信し、該認証応答を接続対象となる第２通信網の前記認証サーバに転送する機能と、接続対象となる第２通信網の前記認証サーバから認証結果を受信したときに、該認証結果を確認し、該認証結果を前記端末に通知するとともに前記端末と接続対象となる第２通信網との接続のために必要な接続情報を前記接続処理部に通知する機能と、前記接続処理部から接続処理が完了した通知を受信したときに、通信の識別情報と認証完了を前記端末に通知する機能とを有し、前記接続処理部は、前記認証処理部から前記接続情報を受信したときに、該接続情報に基づいて接続対象となる第２通信網の接続ポリシ管理サーバに接続ポリシ情報を問い合わせる機能と、接続対象となる第２通信網の前記接続ポリシ管理サーバから接続条件を受信したときに、該接続条件によって接続対象となる第２通信網へ接続するようにトラヒック振り分け部に対してトンネル通信路の設定を指示する機能と、前記トラヒック振り分け部から接続処理完了の通知を受信したときに、前記端末に付与する前記識別情報を決定し、トラヒック振り分け部に対して当該識別情報によるパケット通信時には前記トンネル通信路を介して接続対象となる第２通信網へ転送するように振り分け条件の設定を要求する機能と、前記トラヒック振り分け部から振り分け条件設定完了通知を受信したときに、接続処理が完了したことを前記認証処理部に対して通知する機能とを有し、前記トラヒック振り分け部は、前記接続処理部からトンネル通信路の設定を指示されたときに、接続対象となる第２通信網のトンネル終端装置へ接続してトンネル通信路を設定するとともに前記接続処理部に接続処理が完了したことを通知する機能と、前記接続処理部から振り分け条件の設定を要求されたときに、指定された振り分け条件によるパケットのヘッダ情報（宛先、送信元等）の書き換えを設定し、前記接続処理部に対して振り分け条件設定完了通知を送信する機能とを有し、前記認証サーバは、前記認証処理部から接続要求を受信したときに、該認証処理部に対して認証処理を要求する機能と、前記認証処理部から送信された認証応答を受信し、該認証応答から前記端末のユーザの本人性を確認し、この認証結果を前記認証処理部に送信する機能を有し、前記接続ポリシ管理サーバは、前記接続処理部から前記接続ポリシ情報の問い合わせを受けたときに、接続条件を応答する機能を有し、前記端末は、前記認証処理部から受信した認証要求に対する認証応答を前記認証処理部に送信する機能と、前記認証処理部から通知された識別情報を用いて通信を行う機能とを有することを特徴とする通信サービス提供システムを提案する。
【００１４】
さらに、本発明は上記の問題点を解決するために、第１通信網に接続される端末を該第１通信網を介して複数の第２通信網の中のいずれかの接続対象となる第２通信網に接続する通信サービス提供システムにおいて、前記第１通信網にトラヒック振り分け機能部を備え、該トラヒック振り分け機能部によって前記端末と前記第２通信網を接続する通信サービス提供方法であって、前記トラヒック振り分け機能部は、前記端末から前記接続対象となる第２通信網への接続要求を受信すると、前記接続対象となる第２通信網に対して前記接続要求を転送し、前記接続対象となる第２通信網から前記接続要求に対する認証要求を受信したときに、該認証要求を前記端末に転送し、前記端末から前記認証要求に対する認証応答を受信したときに、該認証応答を前記接続対象となる第２通信網に転送し、前記接続対象となる第２通信網から前記認証応答に対する認証結果を受信したときに、該認証結果を確認し、該認証結果を前記端末に通知するとともに、前記端末と前記接続対象となる第２通信網との接続のための接続条件に基づいて前記接続対象となる第２通信網との間にトンネル通信路を設定し、前記端末に付与する識別情報を決定し、該識別情報による前記端末のパケット通信時には通信パケットを前記トンネル通信路を介して前記接続対象となる第２通信網に転送するように振り分け条件の設定を行い、前記端末に対して前記識別情報と認証完了を通知することを特徴とする通信サービス提供方法を提案する。
【発明の効果】
【００１５】
本発明の通信サービス提供システム及びその方法によれば、端末と第１通信網との間では端末によって使用可能な通信方式で接続し、その先の第２通信網とは当該第２通信網のサービスの要求にあった接続ポリシで接続することが可能となるため、多様な端末が第１通信網との接続だけで簡易に第２通信網のサービス提供を受けることが可能となる。これによって、将来的には第１通信網上で提供されるサービスの多様化が可能となる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態における通信サービス提供システムを説明する図
【図２】本発明の一実施形態におけるトラヒック振り分け機能部(200)の概要及び接続処理の流れの概要を説明する図
【図３】本発明の一実施形態におけるトラヒック振り分け機能部の詳細な構成を説明する図
【図４】本発明の一実施形態におけるトラヒック振り分け判定を説明する図
【図５】本発明の一実施形態におけるトラヒック振り分け処理に係る通信処理を説明する図
【図６】本発明の一実施形態におけるトラヒック振り分け処理に係る通信処理を説明する図
【図７】従来例の通信サービス提供システムを説明する図
【発明を実施するための形態】
【００１７】
以下、図面を参照して本発明の一実施形態の通信サービス提供システムを説明する。
【００１８】
図１において、ISP(104A)のAAAサーバ(108A)、企業網(104C)のAAAサーバ(108C)、モバイル網(104B)のAAAサーバ(108B)は、端末(101A,101B,101C)がISP(104A)、企業網(104C)、モバイル網(104B)へ接続するときに、GW(107A,107C)やePDG(107B)を介して端末(101A,101B,101C)との間でユーザＩＤ、認証情報を交換して認証、認可、アカウンティングを行う。本実施形態においては、ISP(104A)のAAAサーバ(108A)、企業網(104C)のAAAサーバ(108C)、モバイル網(104B)のAAAサーバ(108B)は、認証サーバであり、主に認証のためのデータを管理し、認証データに基づいてユーザを認証する機能を有する。
【００１９】
固定網(103)のAAAサーバ(106)は、HGW(102A,102B,102C)と通信して、当該の固定回線からの接続を認証する機能を有する。また、AAAサーバ(106)は、回線の物理的な情報を元に、当該回線の契約状況を管理して、非契約の回線からの接続については認証結果に応じて接続の可否を決定する。
【００２０】
HGW(102A,102B,102C)は、固定網(103)の固定回線による通信サービスにおいて、公衆回線網と家庭内ネットワークの橋渡しを行なうネットワーク機能を有する。また、HGW(102A,102B,102C)には、ISP(インターネットサービスプロバイダ)への接続や家庭内のパーソナルコンピュータなどへのIPアドレスの割り当て、無線LANアクセスポイントなど一般的なブロードバンドルータの機能に加え、回線終端装置(ONUやケーブルモデム)の機能などが統合されている
GW(107A,107C)は、ISP(104A)や企業網(104C)と他の網の境界に設置されるゲートウェイで利用するプロトコルの変換やセキュリティ確保のためのファイヤウォール機能を持つ。さらに、GW(107A,107C)は自社のユーザからの接続時には、接続ユーザを認証し、認証されたユーザに対してのみ通信を許可する。
【００２１】
ePDG(107B)は、公衆無線LANなどのセキュリティ上信頼できない非3GPP無線アクセス（Untrusted Non-3GPP IP Access）をモバイル事業者のコア網(104B)に収容する場合に、モバイル網(104B)内で他の網との境界に設置するゲートウェイ機能を有する。さらに、ePDG(107B)は、移動体事業者が独自にセキュリティを確保するため、IPSecやGTPなどの暗号化トンネル通信路(105B)を端末(101B)との間に設定する。さらに、ePDG(107B)は、認証信号等も受信するため、AAAサーバ(108B)に接続し認証信号を中継する。(3GPP TS 23.402)
HSS(109)はモバイル網(104B)における加入者データベース機能を有し、HSS(109)には加入者関連情報（プロファイル）が格納されており、この情報に基づいてHSS(109)はユーザーの認証と認可を実施し、加入者の位置情報やIP情報を管理する。
【００２２】
トラヒック振り分け機能部(200)は、ISP(104A)や企業網(104C)或いはモバイル網(104B)などの各サービスへの接続要求を端末(101A,101B,101C)から受信し、適切な宛先を解決して接続信号を適切なサービスのGW(107A,107C)或いはePDG(107B)へ中継する。
【００２３】
本実施形態では、固定網(103)において各種端末(101A,101B,101C)からの接続を集約し、端末(101A,101B,101C)とISP(104A)や企業網(104C)或いはモバイル網(104B)などの各種サービスとの認証処理と連動して、各種サービスに必要なトンネル通信路を用いた接続処理を行うトラヒック振り分け機能を、端末(101A,101B,101C)上ではなく固定網(103)に配備している。
【００２４】
トラヒック振り分け機能部(200)は、端末(101A,101B,101C)の認証信号を各種サービスに中継するとともに端末(101A,101B,101C)と各種サービスとの間の認証処理を仲介する。この認証方式は、ID/Pass、証明書、SIMカードなど多様な認証技術に対応する。また、認証処理の過程でサービスを利用するユーザの契約内容、サービス事業者側のサービス提供ポリシ（セキュリティ、品質、課金）に応じてL2TP、IPSec、GTPなど複数のトンネル通信路をサービス事業者網(104A,104B,104C)との間に設定する。さらに、端末(101A,101B,101C)とサービス間の通信を中継して、適切なトンネル通信路に端末(101A,101B,101C)の通信を収容するトラヒック振り分け機能部(200)を有する。
【００２５】
なお、本実施形態においては、トラヒック振り分け機能部(200)は、各回線／ユーザからの通信を識別して振り分けるため、固定網(103)においてIPレイヤでユーザを収容し、ユーザ毎の個別制御をおこなうエッジルータに設けられている。ただし、トラヒック振り分け機能部(200)における後述する認証処理部および接続処理部はエッジルータに設けても良いし、或いは、エッジルータに接続した他の装置（制御サーバ装置等）に設けても良い。
【００２６】
次に、図２を参照して本実施形態におけるトラヒック振り分け機能部(200)の概要及び接続処理の流れの概要を説明する。
【００２７】
まず、接続処理の流れを以下に述べる。
【００２８】
各端末(101A,101B,101C)が契約中のISP(104A)や企業網(104C)或いはモバイル網(104B)などのサービス事業者網に接続する際、トラヒック振り分け機能部(200)は各サービス事業者網への接続要求を端末(101A,101B,101C)から受信し、適切な宛先を解決して接続信号を適切なGW(107A,107C)或いはePDG(107B)へ中継する。このとき、端末(101A,101B,101C)はトラヒック振り分け機能部(200)に信号を送信するだけでよい。
【００２９】
接続信号を受けた各サービス事業者網(104A,104B,104C)のGW(107A,107C)或いはePDG(107B)は、AAAサーバ(108A,108B,108C)に接続要求を送信すると、これを受信したAAAサーバ(108A,108B,108C)はGW(107A,107C)或いはePDG(107B)を介して認証要求をトラヒック振り分け機能部(200)に対して送信する。
【００３０】
トラヒック振り分け機能部(200)は受信した認証要求を接続要求元の端末(101A,101B,101C)に送信して、認証処理を開始する。
【００３１】
トラヒック振り分け機能部(200)は、各端末(101A,101B,101C)からの認証及び接続などの処理の全てを中継し、トラヒック振り分け機能部(200)側でISP(104A)や企業網(104C)或いはモバイル網(104B)などの各種サービスとの接続において必要な処理(トンネル制御、帯域制御等の処理)を行う。さらに、トラヒック振り分け機能部(200)は、端末(101A,101B,101C)とサービス事業者網(104A,104B,104C)間の通信トラヒックを収容して、端末(101A,101B,101C)やサービス事業者網(104A,104B,104C)との接続が可能となるように適切なプロトコル変換を行って端末(101A,101B,101C)側に特殊なトンネル制御等の処理を行わせることなく各種サービスを利用するための通信を実現する。
【００３２】
次にトラヒック振り分け機能部(200)の概要を説明する。
【００３３】
図に示すように、トラヒック振り分け機能部(200)は、認証処理部(210)と接続処理部(220)、トラヒック振り分け部(230)から構成されている。認証処理部(210)は、端末(101A,101B,101C)と各種サービス事業者網(104A,104B,104C)との接続時に、端末(101A,101B,101C)からの接続信号を受信して、ユーザ名等から適切なサービス事業者網(104A,104B,104C)に中継する機能を有する。接続処理部(220)は、端末(101A,101B,101C)とトラヒック振り分け部(230)との間のパケット通信を管理・制御し、適切なサービス事業者網(104A,104B,104C)へのトンネル通信路の確立解除と各トンネル通信路への振り分け設定を行う機能を有する。
【００３４】
すなわち、認証処理部(210)では、端末(101A,101B,101C)からの認証要求を判別し、認証方式、認証先を特定して適切な認証先の認証サーバ（AAAサーバ）との間の認証信号を中継し、認証OKの場合、接続処理部(220)に当該サービス網(104A,104B,104C)と端末(101A,101B,101C)との間の接続処理を要求する。
【００３５】
接続処理部(220)は認証処理部(210)から要求された、認証ユーザとサービスの情報から接続処理に必要な接続ポリシ情報を各サービス事業者網(104A,104B,104C)から取得する。これには、トンネル種別（L2TP／IPSec／GTP／IPネイティブ）と必要帯域、セキュリティ要件、課金ポリシなどの情報をもとに、トラヒック振り分け部(230)と各種サービス網(104A,104B,104C)との間にトンネル通信路を設定する。また、当該トンネル通信路と端末識別子（IPアドレス等）の対応関係をトラヒック振り分け部(230)に設定する。
【００３６】
トラヒック振り分け部(230)は、接続処理部(220)が設定した振り分け条件に従って、通信の振り分け処理を実施する。
【００３７】
次に、図３を参照して本実施形態におけるトラヒック振り分け機能部(200)の詳細な構成を説明する。
【００３８】
図に示すように、認証機能部(210)は、認証信号受信部(211)、認証信号送信部(212)、認証信号解析部(213)、認証信号送信部(214)、認証信号受信部(215)から構成されており、端末内のSIMカード、電子証明書、ID/パスワードなどの認証情報を使ってサービス事業者の認証システムにユーザ名、認証情報を送信して、ユーザの本人性を証明する機能を有する。
【００３９】
認証信号受信部(211)は、端末(101(101A,101B,101C))の認証機能部(121)から送信された認証信号を受信する機能を有する。
【００４０】
認証信号送信部(212)は、端末(101(101A,101B,101C))の認証機能部(121)に対して認証信号を送信する機能を有する。
【００４１】
認証信号解析部(213)は、認証方式解析部(213a)と、認証情報・結果解析部(213b)、識別情報管理部(213c)から構成されており、端末(101(101A,101B,101C))やサービス事業者網(104(104A,104B,104C))の認証サーバ（AAAサーバ(108(108A,108B,108C))）から送信された認証信号の内容を解析し、認証状態を監視する機能を有する。また、認証信号解析部(213)は、認証完了時には、接続処理部(220)に接続プロセスの最初の認証が完了したことを通知する機能を持つ。
【００４２】
認証方式解析部(213a)は、認証信号解析開始時にプロトコル、ＩＤと認証情報の表現形式などから認証プロトコル等を特定する機能を有する。
【００４３】
認証情報・結果解析部(213b)は、認証方式解析部(213a)で特定されたプロトコル等にしたがって、ユーザＩＤ、認証要求／認証応答の内容を抽出する機能を有する。
【００４４】
識別情報管理部(213c)は、認証解析時にどの端末(101(101A,101B,101C))とどのサービス事業者網(104(104A,104B,104C))の認証が処理中なのかを管理する機能を有する。さらに、識別情報管理部(213c)は、認証開始／認証要求送信済み／認証応答受信／認証済等の各端末(101(101A,101B,101C))とサービス網(104(104A,104B,104C))との間の認証プロセスの進行状態を管理する。
【００４５】
認証接続先情報DB(240)は、認証信号解析部(213)で抽出されたユーザＩＤ、サービス事業者網(104(104A,104B,104C))の情報から当該サービス事業者網(104(104A,104B,104C))との認証で用いられるプロトコルや接続先のGW(107A,107C)或いはePDG(107B)やAAAサーバ(108A,108B,108C)の接続に必要な情報を保持するデータベースである。
【００４６】
接続処理部(220)は、接続処理要求受信部(221)と、接続処理決定部(222)、ポリシ情報取得部(223)、接続状態管理ＤＢ(224)、IPSec接続制御部(225)、GTP接続制御部(226)、L2TP接続制御部(227)、IPネイティブ接続制御部(228)から構成されている。
【００４７】
接続処理要求受信部(221)は、認証処理部(210)で認証が完了したユーザの接続要求を受信する機能を有する。
【００４８】
接続処理決定部(222)は、接続要求元のユーザにつて、ユーザの契約内容、サービス事業者網(104(104A,104B,104C))の接続ポリシ等の情報を総合的に判定して必要なトンネル通信路による接続処理、帯域制御、アクセス制御などの接続制御内容を決定する機能を有する。また、接続処理決定部(222)は、認証された端末(101(101A,101B,101C))に対して通信に必要な識別情報を割り当てるとともに、トラヒック振り分け部(230)に対して当該情報に基づく端末識別を指示する。
【００４９】
ポリシ情報取得部(223)は、サービス事業者網(104(104A,104B,104C))に対して、接続処理中のユーザ名を使って接続ポリシ情報を問い合わせる機能を有する。
【００５０】
接続状態管理ＤＢ(224)は、端末(101(101A,101B,101C))とサービス事業者網(104(104A,104B,104C))の接続状態、すなわち端末(101(101A,101B,101C))とサービス事業者網(104(104A,104B,104C))との間に設定された複数のトンネル通信路の接続状態を管理するデータベースである。
【００５１】
IPSec/GTP/L2TP/IPネイティブ接続制御部(225,226,227,228)は、接続処理決定部(222)からの指示によってトラヒック振り分け部(230)で必要なトンネル通信路の設定や解放を制御する機能を有する。
【００５２】
トラヒック振り分け部(230)は、端末識別部(231)と振り分け先判定部(232)から構成されている。
【００５３】
端末識別部(231)は、接続処理部(220)から指定された端末識別子により端末(101(101A,101B,101C))を識別する機能を有する。
【００５４】
振り分け先判定部(232)は、接続処理部(220)が指定した振り分け条件を記憶して、この条件にしたがって端末(101(101A,101B,101C))からの通信をサービス事業者網(104(104A,104B,104C))と接続したトンネル通信路に振り分ける機能を有する。
【００５５】
また、端末(101(101A,101B,101C))の接続機能部(122)は、端末(101(101A,101B,101C))においてユーザがサービスを利用する際に、サービス事業者網(104(104A,104B,104C))と通信するために必要な接続処理を実施する機能を有する。また、接続機能部(122)は、接続処理部(220)との間で制御信号を送受信し、トラヒック振り分け部(230)に対して実際のデータパケットを送受信する。
【００５６】
ISP(104A)や企業網(104C)或いはモバイル網(104B)などのサービス事業者網(104(104A,104B,104C))は、AAAサーバ(108(108A,108B,108C))の他に接続ポリシ管理サーバ(131)とトンネル終端装置(132)を備えている。
【００５７】
接続ポリシ管理サーバ(131)は、サービス事業者が自社のユーザの接続に関してどのような接続方式で、どの程度の品質（帯域、遅延、ロス率）で接続するかの情報、及びアクセス可能／不可として扱う接続先の情報を管理するサーバである。
【００５８】
トンネル終端装置(132)は、トラヒック振り分け部(230)のトンネル通信路(105A,105B,105C)を終端して、サービス事業者網(104(104A,104B,104C))内のプロトコルに変換する機能を有する。
【００５９】
上記構成のトラヒック振り分け機能部(200)において、認証処理部(210)は、端末(101(101A,101B,101C))からの認証信号を中継し、ユーザＩＤ等から適切なサービス事業者網(104(104A,104B,104C))に対して転送する機能を提供する。このため、認証信号を内部で解析し、中継に必要な識別情報を付与して、解析の結果特定した認証データを持つサービス事業者網(104(104A,104B,104C))に対して認証要求信号を中継する。また、サービス事業者網(104(104A,104B,104C))から認証応答信号を受信すると内部の識別情報を確認して、要求元の端末に当該の認証応答信号を転送する。
【００６０】
接続処理部(220)は、認証処理部(210)と連動して、認証が成功した場合に各サービス事業者網(104(104A,104B,104C))との通信に必要な接続処理を行う。各サービス事業者網(104(104A,104B,104C))の多様な要件に対応するため、複数のトンネル通信路接続制御部（IPSec、GTP、L2TP、IPネイティブ等）(225,226,227,228)を持ち、各サービス事業者網(104(104A,104B,104C))とユーザ毎に決められたポリシ情報を、サービス事業者網(104(104A,104B,104C))から取得して適切な接続処理を決定し、その決定に応じて必要なトンネル通信路接続制御と接続状態の管理を実施する。
【００６１】
トラヒック振り分け部(230)は、端末(101(101A,101B,101C))とサービス事業者網(104(104A,104B,104C))の通信を中継して、サービス事業者網(104(104A,104B,104C))との通信に必要なトンネル通信路(105A,105B,105C)に端末(101(101A,101B,101C))との通信を変換／載せ替える処理をおこなう。このため、端末(101(101A,101B,101C))の接続情報（端末識別子、接続方式、接続先網）を保持して、その情報により、通信中の端末識別、サービス事業者網(104(104A,104B,104C))の特定、通信方式（トンネル通信路、暗号化）を識別して、変換・載せ替え処理を実施する。
【００６２】
本実施形態では、図４に示すように、端末１(101A)については接続網をISP、接続方式をL2TP、トンネルＩＤをL2TP、端末識別子をIP#Aとし、端末２(101B)については接続網をモバイル網、接続方式をIPSec/GTP、トンネルＩＤをIPSec/GTP、端末識別子をIP#Bとし、端末３(101C)については接続網を企業網、接続方式をIPSec、トンネルＩＤをIPSec2、端末識別子をIP#Cとして、以下に図５及び図６を参照して通信処理の詳細を説明する。
【００６３】
パーソナルコンピュータやHGW等の端末１(101A)はISP接続端末であり、固定網(103)を介してISP事業者網(104A)に接続する。認証処理部(210)は端末１(101A)から接続要求(501)を受信するとＩＤ情報からその発行元であるISP事業者を特定し、ISP事業者網(104A)のAAAサーバ（認証サーバ）(108A)に対してユーザからの接続要求(502)を転送する。このとき、認証処理部(210)内でどのユーザの認証情報を中継したのか管理するためのＩＤ情報を接続要求信号に付加する。
【００６４】
ISP事業者網(104A)のAAAサーバ（認証サーバ）(108A)は、接続要求に対してRADIUS等の認証プロトコルを使い、認証処理部(210)に対して認証処理を要求する(503)。認証処理部(210)はこの認証要求を中継して、端末１(101A)に転送する(504)。
【００６５】
端末１(101A)は、認証処理部(210)から受信した認証要求(504)に対して、ＩＤ情報とその正当なユーザであることを証明する認証情報（パスワード等）を認証応答(505)として認証処理部(210)に送信する。
【００６６】
認証処理部(210)は、端末１(101A)から認証応答(505)を受信するとそれをISP事業者網(104A)のAAAサーバ(08A)に対して転送する(506)。ISP網(104A)のAAAサーバ(108A)は受信した認証応答(506)からユーザの本人性を確認し、認証結果(507)を認証処理部(210)に送信する。
【００６７】
認証処理部(210)はAAAサーバ(108A)から受信した認証結果(507)を確認し、この認証結果を端末１(101A)に通知する(508)とともに、端末１(101A)とISP網(104A)との接続のために必要な情報（L2TPトンネル通信路のユーザＩＤ等）を接続処理部(220)に通知する(509)。
【００６８】
接続処理部(220)は、端末１(101A)の接続ユーザＩＤによってISP網(104A)の接続ポリシ管理サーバ(131A)に接続ポリシ情報を問い合わせる(510)。
【００６９】
接続ポリシ管理サーバ(131A)は、ISP網(104A)との接続条件を応答する(511)。この接続条件には、トンネル種別(IPSec)や当該ユーザに割り当てられる接続帯域、セキュリティ条件(アクセス制限リスト)、課金条件が含まれる。
【００７０】
上記接続条件を受信した接続処理部(220)は、指定された接続条件によって接続するようにトラヒック振り分け部(230)にトンネル通信路の設定を指示する(512)。トラヒック振り分け部(230)は、ISP網(104A)のトンネル終端装置(132A)に向けて端末１(101A)のユーザＩＤと認証情報、暗号化鍵により接続し、当該ユーザ向けのトンネル化された通信路を設定する(513)。トンネル通信路の設定が終わると、トラヒック振り分け部(230)は接続処理部(220)に対して接続処理が完了したことを通知する(514)。
【００７１】
トラヒック振り分け部(230)から接続処理完了の通知を受けた接続処理部(220)は、端末１(101A)に付与する識別情報、すなわちトラヒック振り分け部(230)において端末１(101A)からのパケットがISP網(104A)向けであることを識別するための情報(IPアドレス等)を決定し、トラヒック振り分け部(230)に対して、当該の識別情報によるパケット通信時には、前のステップで設定したトンネル通信路を介してISP網(104A)に転送するように、振り分け条件の設定を要求する(515)。
【００７２】
振り分け条件の設定を要求されたトラヒック振り分け部(230)は、指定された振り分け条件によるパケットのヘッダ情報（宛先、送信元等）の書き換えを設定し、接続処理部(220)に対して振り分け条件設定完了通知(516)を送信する。接続処理部(220)はこれを受けて、認証処理部(210)に、接続処理が完了したことを通知する(517)。
【００７３】
最後に認証処理部(210)は、端末１(110A)に対して、通信の識別情報(IPアドレス等)とともに認証完了を通知する(518)。この後、端末１(101A)とISP網(104A)との間で実際の通信が行われる(519,520)。
【００７４】
スマートフォン等の端末２(101B)はモバイル網(104B)への接続端末であり、固定網(103)とWiFiを利用してモバイル事業者網(104B)のＩＤで接続する。認証処理部(210)は端末２(101B)から接続要求(601)を受信するとＩＤ情報からその発行元であるモバイル事業者網(104B)を特定し、モバイル事業者網(104BのAAAサーバ(108B)に対してユーザからの接続要求を転送する(602)。このとき、認証処理部(210)内でどのユーザの認証情報を中継したのかを管理するためのＩＤ情報を接続要求信号に付加する。
【００７５】
モバイル事業者網(104B)のAAAサーバ(108B)は、接続要求に対して、EAP-SIM/AKA等の認証プロトコルを使い、認証処理部(210)に対して事前の認証処理を要求する(603)。認証処理部(210)はこの認証要求を中継して、端末２(101B)に転送する(604)。
【００７６】
端末２(101B)は、認証処理部(210)から認証要求を受信すると、ＩＤ情報とその正当なユーザであることを証明する認証情報（パスワード、鍵情報等）を認証処理部(210)に対して認証応答として送信する(605)。認証処理部(210)は、端末２(101B)から認証応答を受信するとそれをモバイル事業者網(104B)のAAAサーバ(108B)に対して転送する(606)。
【００７７】
モバイル網(104B)のAAAサーバ(108B)は受信した認証応答からユーザの本人性を確認し、認証結果を認証処理部(210)に送信する(607)。認証処理部(210)は認証結果を確認し、認証結果を端末２(101B)に通知する(608)とともに、端末２(101B)とモバイル網(104B)との接続のために必要な情報（ＩＤ、暗号化鍵等）を接続処理部(220)に通知する(609)。
【００７８】
この情報を受信した接続処理部(220)は、端末２(101B)の接続ユーザＩＤによってモバイル網(104B)の接続ポリシ管理サーバ(131B)に接続ポリシ情報を問い合わせる(610)。
【００７９】
接続ポリシ情報の問い合わせを受けた接続ポリシ管理サーバ(131B)は、モバイル網(104B)との接続条件を接続処理部(220)に応答する(611)。この接続条件には、トンネル種別（IPSec、GTP等）や当該ユーザに割り当てられる接続帯域、セキュリティ条件（アクセス制限リスト）、課金条件が含まれる。
【００８０】
接続ポリシ管理サーバ(131B)からの応答を受けた接続処理部(220)は、指定された接続条件によって接続するようにトラヒック振り分け部(230)に対してトンネル通信路の設定を指示する(612)。
【００８１】
トンネル通信路の設定を指示されたトラヒック振り分け部(230)は、モバイル網(104B)のトンネル終端装置(132B)に向けて端末２(101B)のユーザＩＤと認証情報、暗号化鍵により接続し(613)、当該ユーザ向けのトンネル化された通信路を設定する。トンネル通信路の設定が終わると、トラヒック振り分け部(230)は接続処理部(220)に対して接続処理が完了したことを通知する(614)。
【００８２】
トラヒック振り分け部(230)から接続処理完了の通知を受けた接続処理部(220)は、端末２(101B)に付与する識別情報、すなわちトラヒック振り分け部(230)において端末２(101B)からのパケットがモバイル網(104B)向けであることを識別するための情報（IPアドレス等）を決定し、トラヒック振り分け部(230)に対して、当該識別情報によるパケット通信の発生時には、前のステップで設定したトンネル通信路を介してモバイル網に転送するように、振り分け条件の設定を要求する(615)。
【００８３】
振り分け条件の設定を要求されたトラヒック振り分け部(230)は、指定された振り分け条件によるパケットのヘッダ情報（宛先、送信元等）の書き換えを設定し、接続処理部(220)に対して振り分け条件設定完了通知を送信する(616)。接続処理部(220)はこれを受けて、認証処理部(210)に、接続処理が完了したことを通知する(617)。最後に認証処理部(210)は、端末２(101B)に対して、通信の識別情報（IPアドレス等）とともに認証完了を通知する(618)。この後、端末２(101B)とモバイル網(104B)との間で実際の通信が行われる(619,620)。
【００８４】
パーソナルコンピュータ等の端末３(101C)は企業網(104C)の接続端末であり、固定網(103)を介して企業網(104C)に接続する。このとき、認証処理部(210)は端末３(101C)から接続要求を受信する(701)とＩＤ情報からその発行元である企業網(104C)を特定し、企業網(104C)のAAAサーバ(108C)に対してユーザからの接続要求を転送する(702)。このとき、認証処理部(210)内でどのユーザの認証情報を中継したのかを管理するためのＩＤ情報を接続要求信号に付加する。
【００８５】
企業網(104C)のAAAサーバ(108C)は、接続要求に対してRADIUS/EAP-TLS等の認証プロトコルを使い、認証処理部(210)に対して認証処理を要求する(703)。認証処理部(210)はこの認証要求を中継して、端末３(101C)に転送する(704)。
【００８６】
端末３(101C)は、認証処理部(210)からの認証要求に対してＩＤ情報とその正当なユーザであることを証明する認証情報（パスワード等）を認証応答として認証処理部(210)に送信する(705)。認証処理部(210)は、端末３(101C)から認証応答を受信するとそれを企業網(104C)のAAAサーバ(108C)に対して転送する(706)。
【００８７】
企業網(104C)のAAAサーバ(108C)は受信した認証応答からユーザの本人性を確認し、認証結果を認証処理部(210)に送信する(707)。認証処理部(210)は認証結果を確認し、認証結果を端末３(101C)に通知する(708)とともに、端末３(101C)と企業網(104C)との接続のために必要な情報（IPSecトンネルのユーザＩＤ等）を接続処理部(220)に通知する(709)。
【００８８】
認証処理部(210)からの通知を受けた接続処理部(220)は、端末３(101C)の接続ユーザＩＤによって企業網(104C)の接続ポリシ管理サーバ(131C)に接続ポリシ情報を問い合わせる(710)。
【００８９】
接続処理部(220)から問い合わせを受けた接続ポリシ管理サーバ(131C)は、企業網(104C)との接続条件を接続処理部(220)に応答する(711)。これには、トンネル種別(IPSec)や当該ユーザに割り当てられる接続帯域、セキュリティ条件(アクセス制限リスト)、課金条件が含まれる。
【００９０】
上記接続条件を受信した接続処理部(220)は、指定された接続条件によって接続するようにトラヒック振り分け部(230)にトンネル通信路の設定を指示する(712)。
【００９１】
トンネル通信路の設定を指示されたトラヒック振り分け部(230)は、企業網(104C)のトンネル終端装置(132C)に向けて端末３(101C)のユーザＩＤと認証情報、暗号化鍵により接続し、当該ユーザ向けのトンネル化された通信路を設定する(713)。トンネル通信路の設定が終わると、トラヒック振り分け部(230)は接続処理部(220)に対して接続処理が完了したことを通知する(714)。
【００９２】
トラヒック振り分け部(230)から接続処理完了の通知を受けた接続処理部(220)は、端末３(101C)に付与する識別情報、すなわちトラヒック振り分け部(230)において端末３(101C)からのパケットが企業網(104C)向けであることを識別するための情報（IPアドレス等）を決定し、トラヒック振り分け部(230)に対して、当該識別情報によるパケット通信が発声した場合には、前のステップで設定したトンネル通信路を介して企業網(104C)に転送するように、振り分け条件の設定を要求する(715)。
【００９３】
トラヒック振り分け部(230)は、指定された振り分け条件によるパケットのヘッダ情報（宛先、送信元等）の書き換えを設定し、接続処理部(220)に対して振り分け条件設定完了通知を送信する(716)。
【００９４】
接続処理部(220)はこれを受けて、認証処理部(210)に、接続処理が完了したことを通知する(717)。最後に認証処理部(210)は、端末３(101C)に対して、通信の識別情報(IPアドレス等)とともに認証完了を通知する(718)。この後、端末３(101C)と企業網(104C)との間で実際の通信が行われる(719,720)。
【００９５】
以上説明したように、本実施形態の通信サービス提供システムによれば、端末(101A,101B,101C)と固定網(103)との間では端末によって使用可能な通信方式で接続し、その先のサービス提供事業者網(104A,104B,104C)とは当該サービスの要求にあった接続ポリシで接続することが可能となるため、多様な端末(101A,101B,101C)が固定網(103)との接続だけで簡易にサービス提供を受けることが可能となる。これによって、将来的には固定網(103)上で提供されるサービスの多様化を可能にすることができる。
【産業上の利用可能性】
【００９６】
本発明は、端末と第１通信網との間では端末によって使用可能な通信方式で接続し、その先の第２通信網とは当該第２通信網のサービスの要求にあった接続ポリシで接続することが可能となるため、多様な端末が第１通信網との接続だけで簡易に第２通信網のサービス提供を受けることが可能となる。これによって、将来的には第１通信網上で提供されるサービスの多様化が可能となる。
【符号の説明】
【００９７】
101,101A,101B,101C…端末、102A,102B,102C…ＨＧＷ、103…固定網（第１通信網）、104…サービス事業者網（第２通信網）、104A…ＩＳＰ（第２通信網）、104B…モバイル網（第２通信網）、104C…企業網（第２通信網）、105A…L2TP（トンネル通信路）、105B…IPSec/GTP（トンネル通信路）、105C…IPSec（トンネル通信路）、106…AAAサーバ、107A…ＧＷ、107B…ePDG、107C…ＧＷ、108,108A,108B,108C…AAAサーバ（認証サーバ）、109…ＨＳＳ、111A…ID/Pass、111B…SIM、111C…証明書、121…認証機能部、122…接続機能部、131,131A,131B,131C…接続ポリシ管理サーバ、132,132A,132B,132C…トンネル終端装置、200…トラヒック振り分け機能部、210…認証処理部、211…認証信号受信部、212…認証信号送信部、213…認証信号解析部、213a…認証方式解析部、213b…認証情報・結果解析部、213c…識別情報管理部、214…認証信号送信部、215…認証信号受信部、220…接続処理部、221…接続処理要求受信部、222…接続処理決定部、223…ポリシ情報取得部、224…接続状態管理ＤＢ、225…IPSec接続制御部、226…GTP接続制御部、227…L2TP接続制御部、228…IPネイティブ接続制御部、230…トラヒック振り分け部、231…端末識別部、232…振り分け先判定部。
【図１】
2014154966.tif 000003
【図２】
2014154966.tif 000004
【図３】
2014154966.tif 000005
【図４】
2014154966.tif 000006
【図５】
2014154966.tif 000007
【図６】
2014154966.tif 000008
【図７】
2014154966.tif 000009