(57)【要約】【課題】トンネルを設定することなく、より簡易にネットワーク間でセキュアな通信路を確保するための技術を提供すること。【解決手段】本発明の一態様は、第１ネットワーク上のエッジルータであって、当該エッジルータとの接続が回線認証された終端装置に対してデータを送受信するルーティング部と、前記回線認証された終端装置に対して付与された第１ビット列と、前記終端装置に接続されるユーザ装置を識別する第２ビット列とから構成されるソースアドレスを格納するアドレス格納部とを有し、前記ルーティング部は、前記ユーザ装置が第２ネットワークによって認証されると、前記ユーザ装置のソースアドレスと前記第２ネットワークとの間のトラヒックを疎通するエッジルータに関する。【選択図】図４
2014042144.tif 000002
【特許請求の範囲】
【請求項１】
第１ネットワーク上の中継装置であって、
当該中継装置との接続が回線認証された終端装置に対してデータを送受信するルーティング部と、
前記回線認証された終端装置に対して付与された第１ビット列と、前記終端装置に接続されるユーザ装置を識別する第２ビット列とから構成されるソースアドレスを格納するアドレス格納部と、
を有し、
前記ルーティング部は、前記ユーザ装置が第２ネットワークによって認証されると、前記ユーザ装置のソースアドレスと前記第２ネットワークとの間のトラヒックを疎通する中継装置。
【請求項２】
前記ルーティング部は、前記終端装置を介し前記ユーザ装置から前記第２ネットワークに対するコンテンツ取得要求を受信すると、前記ユーザ装置のソースアドレスを参照して前記ユーザ装置が前記第２ネットワークによって認証されているか確認し、認証されている場合には前記第２ネットワークから要求されているコンテンツを取得し、認証されていない場合には前記要求されているコンテンツを提供するサーバを検出し、前記検出されたサーバから前記コンテンツを取得する、請求項１記載の中継装置。
【請求項３】
前記コンテンツは、マルチキャストコンテンツであり、
前記ルーティング部により検出されたサーバは、前記第２ネットワークにより提供されるマルチキャストコンテンツと同一内容のマルチキャストコンテンツを提供する、請求項２記載の中継装置。
【請求項４】
前記ルーティング部は、前記ユーザ装置が第２ネットワークによって認証されると、前記ユーザ装置に対して、前記第２ネットワークとの疎通を許可することを規定した装置設定情報を適用し、前記適用された装置設定情報に基づき前記ユーザ装置のソースアドレスと前記第２ネットワークとの間のトラヒックを疎通する、請求項１記載の中継装置。
【請求項５】
前記ルーティング部は、前記ユーザ装置の特定のタイプのトラヒックの疎通のみが前記第２ネットワークによって認証されると、前記ユーザ装置に対して、前記第２ネットワークとの疎通が許可された前記特定のタイプのトラヒックを前記装置設定情報に規定し、前記適用された装置設定情報に基づき、前記ユーザ装置のソースアドレスと前記第２ネットワークとの間で前記特定のタイプのトラヒックのみを疎通する、請求項４記載の中継装置。
【請求項６】
中継装置と回線認証サーバとを有する第１ネットワークと、
前記第１ネットワークに通信接続される第２ネットワークと、
を有する通信システムであって、
前記回線認証サーバは、前記中継装置に接続した終端装置を回線認証し、前記回線認証された終端装置に対して第１ビット列を生成し、前記中継装置を介し前記終端装置に送信し、
前記中継装置は、
前記中継装置との接続が回線認証された終端装置に対してデータを送受信するルーティング部と、
前記回線認証された終端装置に対して付与された第１ビット列と、前記終端装置に接続されるユーザ装置を識別する第２ビット列とから構成されるソースアドレスを格納するアドレス格納部と、
を有し、
前記ルーティング部は、前記ユーザ装置が前記第２ネットワークによって認証されると、前記ユーザ装置のソースアドレスと前記第２ネットワークとの間のトラヒックを疎通する通信システム。
【請求項７】
通信システムにおける認証方法であって、
第１ネットワーク上の中継装置に接続した終端装置を回線認証するステップと、
前記回線認証された終端装置に対して第１ビット列を生成し、前記生成した第１ビット列を前記終端装置に送信するステップと、
前記終端装置に接続されるユーザ装置から、前記第１ビット列と前記ユーザ装置を識別する第２ビット列とから構成されるソースアドレスを含む第２ネットワークへの接続要求を受信し、前記ユーザ装置が前記第２ネットワークに接続可能であるか前記第２ネットワークに照会するステップと、
前記ユーザ装置が前記第２ネットワークに接続可能であると通知されると、前記ユーザ装置のソースアドレスと前記第２ネットワークとの間のトラヒックを疎通するステップとを有する認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、回線認証を利用したネットワーク間の認証処理に関する。
【背景技術】
【０００２】
近年、携帯電話などのユーザ端末は、自らが契約する携帯電話事業者による認証を受け、固定網経由で通信することが可能になってきている。これに関連する技術として、非特許文献１は、無線ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）アクセスポイントや宅内ルータなどからトンネルを設定することでセキュアな通信を実現する技術について提案している。
【０００３】
また、固定回線網では、加入者ＩＤと物理回線とを対応付けて認証する回線認証が行われるようになってきている。これに関連して、非特許文献２は、ＩＰｖ６におけるＰｒｅｆｉｘによる認証について記載している。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】ALCATEL-LUCENT lightRadio WI-FI SOLUTION (http://www.alcatel-lucent.com/wps/DocumentStreamerServlet?LMSG_CABINET=Docs_and_Resource_Ctr&LMSG_CONTENT_FILE=White_Papers/LightRadio_Wi-Fi_EN_TechWhitePaper.pdf)
【非特許文献２】Question 6 "NTTのNGNはどんなしくみ？"(http://itpro.nikkeibp.co.jp/article/COLUMN/20070125/259673/)
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来、ＩＰＳｅｃなどの何れの方法を利用しても、固定網と携帯電話網との間でセキュアな通信を実現するため、トンネルを設定したり、事業者間でトンネルを接続するためのテストが必要であり、相互試験など大きな負担が必要とされた。
【０００６】
また、セキュアな通信路を確保するためトンネルが利用され、これが実装上の課題となっていた。
【０００７】
上記問題点に鑑み、本発明の課題は、トンネルを設定することなく、より簡易にネットワーク間でセキュアな通信路を確保するための技術を提供することである。
【課題を解決するための手段】
【０００８】
上記課題を解決するため、本発明の一態様は、第１ネットワーク上のエッジルータであって、当該エッジルータとの接続が回線認証された終端装置に対してデータを送受信するルーティング部と、前記回線認証された終端装置に対して付与された第１ビット列と、前記終端装置に接続されるユーザ装置を識別する第２ビット列とから構成されるソースアドレスを格納するアドレス格納部とを有し、前記ルーティング部は、前記ユーザ装置が第２ネットワークによって認証されると、前記ユーザ装置のソースアドレスと前記第２ネットワークとの間のトラヒックを疎通するエッジルータに関する。
【発明の効果】
【０００９】
本発明によると、トンネルを設定することなく、より簡易にネットワーク間でセキュアな通信路を確保するための技術を提供することが可能になる。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明の一実施例による通信システムの概略図である。
【図２】図２は、本発明の一実施例によるエッジルータのハードウェア構成を示す図である。
【図３】図３は、本発明の一実施例によるエッジルータの機能構成を示す図である。
【図４】図４は、本発明の一実施例による通信システムにおける認証処理の概略図である。
【図５】図５は、本発明の一実施例によるユーザ端末のソースアドレスを示す図である。
【図６】図６は、本発明の第１実施例による通信システムにおける認証処理を示すシーケンス図である。
【図７】図７は、本発明の第２実施例による通信システムにおける認証処理を示すシーケンス図である。
【発明を実施するための形態】
【００１１】
以下、図面に基づいて本発明の実施の形態を説明する。
【００１２】
以下の実施例では、携帯電話などのユーザ端末が契約先の携帯電話事業者による認証を受け、回線認証された固定網経由でセキュアな通信を実現するための技術が開示される。すなわち、固定網上の中継装置に接続した終端装置が回線認証され、回線認証された終端装置に対してアドレスＰｒｅｆｉｘが生成され、終端装置に送信される。固定網経由によりモバイル網と通信することを所望するユーザ端末が終端装置に接続されると、アドレスＰｒｅｆｉｘとユーザ端末を識別するユーザアドレスとから構成されるソースアドレスを含むモバイル網に対する接続要求が中継装置に送信される。接続要求を受信すると、中継装置は、ユーザ端末がモバイル網に接続可能であるか判断するため、モバイル網にユーザ端末の認証を要求する。ユーザ端末がモバイル網によって認証されると、中継装置は、ユーザ端末のソースアドレスとモバイル網との間の以降のトラヒックを疎通する。このようにして、固定網による回線認証とモバイル網による証明書認証とを組み合わせることによって、トンネルを設定することなくアドレスによる識別のみを利用することによって、セキュアな通信路を確保することが可能になる。
【００１３】
まず、図１を参照して、本発明の一実施例による通信システムを説明する。図１は、本発明の一実施例による通信システムの概略図である。
【００１４】
図１に示されるように、通信システム１０は、インターネット２００を介し相互接続されるネットワークＡとネットワークＢとを有する。ネットワークＡは、例えば、接続するネットワーク装置を回線認証方式により認証する固定網であり、エッジルータ１００と回線認証サーバ１５０とを有する。ネットワークＢは、例えば、固定網経由による通信に対応したモバイル網であり、ゲートウェイ３００と認証サーバ３５０とを有する。モバイル網の契約者のユーザ端末６０は、ネットワークＡにより回線認証された宅内終端装置５０を介しネットワークＢとのセキュアな通信を実現する。
【００１５】
宅内終端装置５０は、１以上のユーザ端末６０と通信接続し、インターネット２００上の各種ネットワーク装置とユーザ端末６０との間でデータを中継する。例えば、宅内終端装置５０は、ユーザ宅に設置されているルータ、ホームゲートウェイ、無線ＬＡＮアクセスポイント、セットトップボックスなどであってもよい。
【００１６】
ユーザ端末６０は、インターネット２００上の各種サーバ又はネットワーク装置と通信し、各種データを送受信する。例えば、ユーザ端末６０は、典型的には、ネットワークＢの事業者と契約しているユーザの携帯電話、スマートフォン、タブレットなどであるが、本発明はこれに限定されるものでない。ユーザ端末６０は、例えば、パーソナルコンピュータ、テレビ装置、ビデオ装置などの何れかのユーザ装置であってもよい。ユーザ端末６０が宅内終端装置５０に接続されると、宅内終端装置５０は、ローカルＩＰアドレスなど、ユーザ端末６０を識別するための所定のビット長のビット列をユーザアドレスとしてユーザ端末６０に付与する。
【００１７】
エッジルータ１００は、宅内終端装置５０とネットワークＡとの境界に配設されたルータであり、回線認証サーバ１５０により回線認証された宅内終端装置５０と通信し、宅内終端装置５０に接続されたユーザ端末６０とネットワークＢとの間のトラヒックを中継する。エッジルータ１００については、以下においてより詳細に説明する。なお、図示された実施例では、エッジルータ１００は、インターネット２００に直接接続されているが、実際にはエッジルータ１００の上位にさらなるルータ及び／又はネットワーク装置が配設されており、これらを介しインターネット２００に接続される。エッジルータ１００を用いて、以下の実施例が説明される。しかしながら、本発明は、エッジルータ１００に限定されるものでなく、他の何れか適切な中継装置に適用されてもよい。
【００１８】
回線認証サーバ１５０は、ネットワークＡの各加入者の加入者ＩＤと、各加入者に使用が許可されている回線の回線認証ＩＤとのペアをデータベースに保持している。エッジルータ１００を介し宅内終端装置５０から回線認証リクエストを受信すると、回線認証サーバ１５０は、回線認証リクエストから接続要求元の宅内終端装置５０の発信者ＩＤと、宅内終端装置５０が接続する物理回線の回線認証ＩＤとを抽出する。回線認証サーバ１５０は、抽出した発信者ＩＤと回線認証ＩＤとのペアが、データベースに格納されている加入者ＩＤと当該加入者に使用許可されている回線の回線認証ＩＤとのペアに一致するか判断する。
【００１９】
抽出した発信者ＩＤと回線認証ＩＤとのペアが、データベースに格納されている加入者ＩＤと当該加入者に使用許可されている回線の回線認証ＩＤとのペアに一致する場合、回線認証サーバ１５０は、回線認証が成功したと判断し、ＩＰアドレスを宅内終端装置５０に払い出すと共に、何れかの方法により所定のビット長のビット列を生成し、生成したビット列をアドレスＰｒｅｆｉｘとしてエッジルータ１００に返す。他方、抽出した発信者ＩＤと回線認証ＩＤとのペアが、データベースに格納されている加入者ＩＤと当該加入者に使用許可されている回線の回線認証ＩＤとのペアに一致しない場合、回線認証サーバ１５０は、回線認証が失敗したと判断し、宅内終端装置５０によるエッジルータ１００への接続を拒絶する。
【００２０】
ゲートウェイ３００は、ネットワークＢとインターネット２００との間の配置され、ネットワークＢとインターネット２００との間のデータ通信におけるプロトコル変換などの各種変換処理を実行する。また、ゲートウェイ３００は、ネットワークＢとの接続を所望するユーザ端末６０との接続を許可すべきか判断するため、認証サーバ３５０にユーザ端末６０を認証させる。
【００２１】
認証サーバ３５０は、ゲートウェイ３００からの認証要求に応答して、何れかの認証方法を利用して、ユーザ端末６０がネットワークＢに接続可能か判断する。ユーザ端末６０がネットワークＢに接続可能であると判断すると、認証サーバ３５０は、ゲートウェイ３００にユーザ端末６０がネットワークＢに接続することを許可するよう通知する。他方、ユーザ端末６０がネットワークＢに接続不可であると判断すると、認証サーバ３５０は、ゲートウェイ３００にユーザ端末６０がネットワークＢに接続することを拒絶するよう通知する。例えば、認証サーバ３５０は、ユーザ端末６０から送信された発信者ＩＤ、ログインＩＤ、端末固有識別子などの識別情報に基づきユーザ端末６０を認証するようにしてもよい。
【００２２】
次に、図２〜３を参照して、本発明の一実施例によるエッジルータを説明する。図２は、本発明の一実施例によるエッジルータのハードウェア構成を示す図である。
【００２３】
図２に示されるように、エッジルータ１００は、バスＢを介し相互接続されるドライブ装置１０１、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１０４、ユーザ側インタフェース装置１０５及びオペレータ側インタフェース装置１０６を有する。
【００２４】
エッジルータ１００における後述される各種機能及び処理を実現するプログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｋ−Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）などの記録媒体１０７によって提供されてもよい。プログラムを記憶した記録媒体１０７がドライブ装置１０１にセットされると、プログラムが記録媒体１０７からドライブ装置１０１を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０７により行う必要はなく、サーバなどからダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータなどを格納する。
【００２５】
メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムやデータを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムやプログラムを実行するのに必要なパラメータなどの各種データに従って、後述されるようなサーバの各種機能及び処理を実行する。
【００２６】
ユーザ側インタフェース装置１０５は、宅内終端装置５０がネットワークＡに接続するための通信インタフェースとして用いられる。ユーザ側インタフェース装置１０５は、宅内終端装置５０と有線及び／又は無線接続可能とされてもよい。
【００２７】
オペレータ側インタフェース装置１０６は、オペレータが運営するネットワークＡ上の各種ネットワーク装置との接続のための通信インタフェースとして用いられる。
【００２８】
図３は、本発明の一実施例によるエッジルータの機能構成を示す図である。図３に示されるように、エッジルータ１００は、ルーティング部１１０とアドレス格納部１２０とを有する。
【００２９】
ルーティング部１１０は、宅内終端装置５０と回線認証サーバ１５０などのネットワークＡ上の各種ネットワーク装置との間でデータを送受信する。典型的には、宅内終端装置５０がネットワークＡの回線に初めて接続されたときなどに宅内終端装置５０から回線認証リクエスト（ＰＰＰ、ＤＨＣＰリクエストなど）を受信すると、ルーティング部１１０は、宅内終端装置５０を回線認証するため、受信した回線認証リクエストを回線認証サーバ１５０に送信する。この回線認証リクエストには、宅内終端装置５０を特定する発信者ＩＤと、宅内終端装置５０とエッジルータ１００とを接続する物理回線を特定する回線認証ＩＤとが含まれる。
【００３０】
回線認証サーバ１５０によって宅内終端装置５０が回線認証されると、ルーティング部１１０は、回線認証サーバ１５０からアドレスＰｒｅｆｉｘを受信し、宅内終端装置５０に回線認証されたことを通知すると共に、受信したアドレスＰｒｅｆｉｘを送信する。
【００３１】
その後、回線認証された宅内終端装置５０に接続されたユーザ端末６０から宅内終端装置５０を介しネットワークＢへの認証要求を受信すると、ルーティング部１１０は、受信した認証要求から、アドレスＰｒｅｆｉｘと、ユーザ端末６０を識別するため宅内終端装置５０によって割り当てられたユーザアドレスとから構成されるソースアドレスを抽出し、抽出したソースアドレスをアドレス格納部１２０に格納する。
【００３２】
その後、ルーティング部１１０は、ユーザ端末６０がネットワークＢに認証されているか確認するため、受信した認証要求をネットワークＢのゲートウェイ３００に送信する。ユーザ端末６０がネットワークＢによって認証されると、ルーティング部１１０は、ネットワークＢによって認証されたことをユーザ端末６０に通知すると共に、アドレス格納部１２０に格納されているユーザ端末６０のソースアドレスを信頼できるものであると設定する。他方、ユーザ端末６０がネットワークＢによって認証されなかった場合、ルーティング部１１０は、ネットワークＢによって認証されなかったことをユーザ端末６０に通知すると共に、アドレス格納部１２０に格納されているユーザ端末６０のソースアドレスを信頼できるものでないと設定する。
【００３３】
その後、認証成功の通知を受けたユーザ端末６０からトラヒック要求を受信すると、ルーティング部１１０は、ユーザ端末６０のソースアドレスが信頼できるものであるか確認し、ソースアドレスが信頼できるものである場合、ユーザ端末６０とネットワークＢとのトラヒックを疎通する。
【００３４】
アドレス格納部１２０は、ルーティング部１１０により受信されたユーザ端末６０のソースアドレスを格納する。その後、ユーザ端末６０がネットワークＢによって認証されると、アドレス格納部１２０は、ユーザ端末６０のソースアドレスを信頼できるものとして設定する。
【００３５】
次に、図４を参照して、本発明の一実施例による通信システムにおける認証処理を説明する。図４は、本発明の一実施例による通信システムにおける認証処理の概略図である。
【００３６】
図４に示されるように、ステップＳ１０１において、宅内終端装置５０は、ネットワークＡに接続するため、エッジルータ１００に回線認証リクエスト（ＰＰＰ、ＤＨＣＰリクエストなど）を送信する。当該処理は、典型的には、宅内終端装置５０がネットワークＡの回線に初めて接続されたときなどに行われる。宅内終端装置５０から回線認証リクエストを受信すると、エッジルータ１００は、受信した回線認証リクエストを回線認証サーバ１５０に送信する。回線認証リクエストには、宅内終端装置５０を特定する発信者ＩＤと、宅内終端装置５０とエッジルータ１００とを接続する回線を特定する回線認証ＩＤとが含まれる。
【００３７】
ステップＳ１０２において、回線認証サーバ１５０は、受信した回線認証リクエストから発信者ＩＤと回線認証ＩＤとを抽出し、抽出した発信者ＩＤと回線認証ＩＤとのペアが、データベースに登録されている加入者のＩＤと当該加入者に許可されている回線のＩＤとのペアに一致しているか判断する。抽出した発信者ＩＤと回線認証ＩＤとのペアがデータベースに登録されている加入者ＩＤと回線認証ＩＤとのペアに一致している場合、回線認証サーバ１５０は、宅内終端装置５０がネットワークＡに接続することを許可する。さらに、回線認証サーバ１５０は、何れかの方法により所定のビット長のビット列を生成し、生成したビット列を宅内終端装置５０に払い出すアドレスＰｒｅｆｉｘとしてエッジルータ１００に送信する。回線認証サーバ１５０によって宅内終端装置５０との接続が認証され、アドレスＰｒｅｆｉｘを受信すると、エッジルータ１００は、受信したアドレスＰｒｅｆｉｘを接続要求元の宅内終端装置５０に送信する。ステップＳ１０１，Ｓ１０２によって、宅内終端装置５０とエッジルータ１００とが通信可能となる。
【００３８】
ステップＳ１０３において、宅内終端装置５０の配下にあるユーザ端末６０が、ネットワークＡを経由して他の事業者のネットワークＢに接続するため、宅内終端装置５０を介しエッジルータ１００に認証要求を送信する。このとき、宅内終端装置５０は、ステップＳ１０２において払い出されたアドレスＰｒｅｆｉｘと、宅内終端装置５０により付与されたユーザ端末６０のユーザアドレスとを合成することによってソースアドレスを生成し、生成したソースアドレスを含む認証要求をエッジルータ１００を介し接続先のネットワークＢに送信する。
【００３９】
例えば、図５に示されるように、ソースアドレスは、アドレスＰｒｅｆｉｘとユーザアドレスとを連接することによって生成されてもよい。ここで、ユーザアドレスは、例えば、宅内終端装置５０によりユーザ端末６０に付与されるローカルＩＰアドレスなどであってもよく、以降にネットワークＢによってユーザ端末６０が認証されると、ネットワークＢによって信頼されたアドレスとして認識される。また、アドレスＰｒｅｆｉｘは、ステップＳ１０２において回線認証サーバ１５０によって回線認証されたものであり、ネットワークＡに信頼されたものである。
【００４０】
ステップＳ１０４において、エッジルータ１００は、受信した認証要求を接続先のゲートウェイ３００に送信すると共に、認証要求に含まれるユーザ端末６０のソースアドレスを格納する。
【００４１】
ステップＳ１０５において、エッジルータ１００から認証要求を受信すると、ゲートウェイ３００は、受信した認証要求などに基づき認証サーバ３５０にユーザ端末６０を認証させる。ユーザ端末６０の認証が成功すると、認証サーバ３５０は、ユーザ端末６０のソースアドレスとネットワークＢとの間のパケットの疎通を許可するようゲートウェイ３００に通知する。
【００４２】
ステップＳ１０６において、ゲートウェイ３５０は、ユーザ端末６０が認証されたことをエッジルータ１００に通知する。当該通知を受信すると、エッジルータ１００は、ユーザ端末６０がネットワークＢに認証されたことを通知すると共に、ステップＳ１０４において格納されたユーザ端末６０のソースアドレスとネットワークＢとの間の以降のパケットの疎通を許可する。
【００４３】
ステップＳ１０７において、エッジルータ１００は、ユーザ端末６０のソースアドレスとネットワークＢとの間のトラヒックを疎通する。
【００４４】
次に、図６を参照して、本発明の第１実施例による通信システムにおける認証処理を説明する。図６は、本発明の第１実施例による通信システムにおける認証処理を示すシーケンス図である。本実施例では、ユーザ端末６０がマルチキャストコンテンツを受信することを所望する場合、エッジルータ１００が、図５を参照して上述した認証処理を利用して、認証結果に応じて異なるコンテンツソースからマルチキャストコンテンツを取得し、取得したユーザ端末６０に提供する。例えば、ユーザ端末６０とネットワークＢとの接続が認証された場合には、エッジルータ１００は、ネットワークＢのコンテンツサーバ（ソース１）から相対的に高品質なコンテンツを受信し、受信した高品質のコンテンツをユーザ端末６０に提供する。他方、ユーザ端末６０とネットワークＢとの接続が認証されなかった場合には、エッジルータ１００は、他のコンテンツサーバから異なる品質の同一内容のコンテンツを受信し、受信したコンテンツをユーザ端末６０に提供する。
【００４５】
本実施例によると、ユーザ端末６０がネットワークＢによって認証されず、高品質なコンテンツを取得できない場合でも、例えば、接続認証が不要なサーバから標準品質の同一内容のコンテンツをユーザ端末６０に提供することが可能になる。
【００４６】
図６に示されるように、ステップＳ２０１において、宅内終端装置５０がエッジルータ１００を介しネットワークＡに接続するため、上述した回線認証が実行される。宅内終端装置５０がエッジルータ１００を介しネットワークＡに接続することが許可されると、宅内終端装置５０は、エッジルータ１００からアドレスＰｒｅｆｉｘを受信する。
【００４７】
ステップＳ２０２において、ユーザ端末６０が、ネットワークＢに接続するためユーザ端末６０のユーザアドレスを含む接続要求を宅内終端装置５０に送信すると、宅内終端装置５０は、受信したユーザ端末６０のユーザアドレスと、ステップＳ２０１において受信したアドレスＰｒｅｆｉｘとを含む認証要求をエッジルータ１００に送信する。
【００４８】
ステップＳ２０３において、エッジルータ１００は、受信したユーザアドレスとアドレスＰｒｅｆｉｘから構成される認証要求元のユーザ端末６０のソースアドレスを格納する。
【００４９】
ステップＳ２０４において、エッジルータ１００は、当該ソースアドレスを含む認証要求をネットワークＢに送信する。エッジルータ１００から認証要求を受信すると、ネットワークＢのゲートウェイ３００と認証サーバ３５０とは、何れかの認証方法を利用して、ユーザ端末６０との接続を許可すべきか判断し、認証結果をエッジルータ１００に通知する。ユーザ端末６０が認証された場合、ゲートウェイ３００は、認証要求に含まれるユーザ端末６０のソースアドレスを格納し、以降において当該ソースアドレスとネットワークＢとの間のパケットを疎通する。
【００５０】
ステップＳ２０５において、ユーザ端末６０がネットワークＢにより認証された場合、エッジルータ１００は、ステップＳ２０３において格納したユーザ端末６０のソースアドレスが信頼されたものであると判断し、ユーザ端末６０のソースアドレスとネットワークＢとの以降の通信を許可する。他方、ユーザ端末６０がネットワークＢにより認証されなかった場合、エッジルータ１００は、ユーザ端末６０のソースアドレスとネットワークＢとの以降の通信を遮断する。
【００５１】
ステップＳ２０６において、ユーザ端末６０がネットワークＢにより認証された場合、エッジルータ１００は、ユーザ端末６０がネットワークＢにより認証されたことを宅内終端装置５０に通知する。
【００５２】
ステップＳ２０７において、ユーザ端末６０とネットワークＢのゲートウェイ３００との間のトラヒックが開始される。
【００５３】
ステップＳ２０８において、ユーザ端末６０が、ネットワークＢから配信されるマルチキャストコンテンツを取得するため、宅内終端装置５０を介しエッジルータ１００にマルチキャスト要求を送信する。
【００５４】
ステップＳ２０９において、エッジルータ１００は、要求元のユーザ端末６０のソースアドレスを確認し、ユーザ端末６０がネットワークＢに接続許可されているか判断する。
【００５５】
ステップＳ２１０において、ユーザ端末６０がネットワークＢに接続許可されている場合、エッジルータ１００は、ユーザ端末６０のマルチキャスト要求をゲートウェイ３００に送信し、ネットワークＢのコンテンツサーバ（ソース１）から、ユーザ端末６０により要求されたマルチキャストコンテンツを受信し、ユーザ端末６０に転送する。他方、ユーザ端末６０がネットワークＢに接続許可されていない場合、エッジルータ１００は、同一内容のマルチキャストコンテンツを提供する他のネットワーク又はコンテンツサーバを検索する。同一内容のマルチキャストコンテンツを提供する他のネットワーク又はコンテンツサーバを検出すると、エッジルータ１００は、検出した他のネットワークにマルチキャスト要求を送信し、他のネットワークのコンテンツサーバ（ソース２）から要求したマルチキャストコンテンツを受信してユーザ端末６０に転送する。
【００５６】
次に、図７を参照して、本発明の第２実施例による通信システムにおける認証処理を説明する。図７は、本発明の第２実施例による通信システムにおける認証処理を示すシーケンス図である。本実施例では、ユーザ端末６０がネットワークＢに接続許可された場合、エッジルータ１００は、ネットワークＢとの疎通許可を規定した装置設定情報をユーザ端末６０に対して適用し、ユーザ端末６０に適用した装置設定情報を参照して、ユーザ端末６０からの以降のネットワークＢとの接続要求の可否を決定する。ここで、装置設定情報は、コンフィギュレーションとも呼ばれ、エッジルータ１００に接続する各ユーザ端末６０に対して設定される。装置設定情報では、例えば、フィルタリングが有効又は無効であるか、あるサービスが有効又は無効であるか、あるタイプのトラヒックが疎通可能であるか否かなど、ユーザ端末６０に対する各種通信設定が記述されている。
【００５７】
本実施例によると、例えば、ネットワークＢの認証サーバ３５０が、ユーザ端末６０とすべてのトラヒックを疎通することは認めず、一部のトラヒックの疎通のみを認める状況などにおいて、ソースアドレスのみによる疎通判定と比較して、より詳細な疎通設定を行うことが可能になる。このように、ユーザ端末６０がネットワークＢと一部のトラヒックの疎通のみ認められる場合、エッジルータ１００は、装置設定情報に疎通可能なトラヒックのタイプなどを規定することによって、疎通が認められているトラヒックを簡易に特定することが可能である。
【００５８】
図７に示されるように、ステップＳ３０１〜Ｓ３０５における処理は、図６のステップＳ２０１〜Ｓ２０５における処理と同様であるため、重複した説明は省略する。
【００５９】
ステップＳ３０６において、ユーザ端末６０がネットワークＢにより認証された場合、エッジルータ１００は、ユーザ端末６０に対して、ネットワークＢとの疎通を許可することを規定した装置設定情報１を適用する。ここで、ユーザ端末６０の一部のタイプのトラヒックの疎通のみがネットワークＢの認証サーバ３５０により許可されている場合、エッジルータ１００は、ユーザ端末６０に対して、疎通可能なトラヒックのタイプを規定した装置設定情報１を適用してもよい。この場合、エッジルータ１００は、ユーザ端末６０の装置設定情報１を参照して、疎通可能なタイプのトラヒックのみを疎通し、それ以外のタイプのトラヒックを遮断することが可能となる。他方、ユーザ端末６０がネットワークＢにより認証されなかった場合、エッジルータ１００は、ユーザ端末６０に対して、ネットワークＢとの疎通を許可しないことを規定した装置設定情報２を適用する。
【００６０】
ステップＳ３０７において、ユーザ端末６０がネットワークＢにより認証された場合、エッジルータ１００は、ユーザ端末６０がネットワークＢにより認証されたことを宅内終端装置５０に通知する。
【００６１】
ステップＳ３０８において、エッジルータ１００は、装置設定情報１を参照して、装置設定情報１で許可されたタイプのトラヒックのみをネットワークＢのゲートウェイ３００から取得し、取得したトラヒックをユーザ端末６０に送信する。
【００６２】
以上、本発明の実施例について詳述したが、本発明は上述した特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【００６３】
１０  通信システム
５０  宅内終端装置
６０  ユーザ端末
１００  エッジルータ
１５０  回線認証サーバ
２００  インターネット
３００  ゲートウェイ
３５０  認証サーバ
【図１】
2014042144.tif 000003
【図２】
2014042144.tif 000004
【図３】
2014042144.tif 000005
【図４】
2014042144.tif 000006
【図５】
2014042144.tif 000007
【図６】
2014042144.tif 000008
【図７】
2014042144.tif 000009