(57)【特許請求の範囲】
【請求項１】
固定網によって端末情報が管理される固定網端末、および、移動網によって端末情報が管理される移動網端末がそれぞれ収容されるアクセスポイントと、
前記固定網内に配置され、前記アクセスポイントを収容する振分装置と、
前記移動網内に配置され、前記振分装置と接続される転送装置と、がネットワークで接続されて構成され、
前記振分装置は、
前記アクセスポイントとの間のレイヤ２ネットワーク上に、固定網トンネルをトンネリングするとともに、前記固定網トンネル上に移動網トンネルをトンネリングし、
前記固定網端末を送信元とする上り固定網パケットを、前記固定網トンネルを介して受信したときは、前記固定網内の他装置に転送し、前記固定網端末を送信先とする下り固定網パケットを、前記固定網トンネルを介して前記アクセスポイントへ送信し、
前記移動網端末を送信元とする上り移動網パケットを、前記移動網トンネルを介して受信したときは、前記転送装置に転送し、前記移動網端末を送信先とする下り移動網パケットを、前記移動網トンネルを介して前記アクセスポイントへ送信することを特徴とする
通信システム。
【請求項２】
前記アクセスポイントは、前記移動網トンネルを介して送信する前記上り移動網パケットには、移動網用ヘッダを付加し、
前記振分装置は、受信したパケット内に前記移動網用ヘッダが付加されているときには、受信したパケットを前記上り移動網パケットと判断し、受信したパケット内に前記移動網用ヘッダが付加されていないときには、受信したパケットを前記上り固定網パケットと判断することを特徴とする
請求項１に記載の通信システム。
【請求項３】
前記振分装置は、受信した前記上り移動網パケット内の前記移動網用ヘッダから読み取った、前記移動網端末のIMSI（International Mobile Subscriber Identity）をもとに、受信した前記上り移動網パケットの送信先の前記転送装置を１台に特定することを特徴とする
請求項２に記載の通信システム。
【請求項４】
前記固定網には、さらに、前記アクセスポイントの装置情報を移動網端末のアドレスと対応付けて管理する固定網認証サーバが配置され、
前記移動網には、さらに、移動網端末の端末情報を前記移動網端末のアドレスと対応付けて管理する管理する移動網認証サーバが配置され、
前記固定網認証サーバは、前記移動網端末から認証要求を受信し、その認証要求に含まれる前記移動網端末のアドレスと、前記移動網端末の端末情報との組み合わせを前記移動網認証サーバに問い合わせ、
前記移動網認証サーバは、問い合わせを受けた組み合わせ情報を自身で管理しているときには、認証を許可する旨を前記固定網認証サーバに応答し、
前記固定網認証サーバは、認証を許可され、かつ、前記移動網端末のアドレスを自身で管理しているときに、前記認証要求を受けた前記移動網端末に対して前記移動網トンネルを使用させることを許可することを特徴とする
請求項１ないし請求項３のいずれか１項に記載の通信システム。
【請求項５】
固定網によって端末情報が管理される固定網端末、および、移動網によって端末情報が管理される移動網端末がそれぞれ収容されるアクセスポイントと、
前記固定網内に配置され、前記アクセスポイントを収容する振分装置と、
前記移動網内に配置され、前記振分装置と接続される転送装置と、がネットワークで接続されて構成される通信システムによる通信方法であって、
前記振分装置は、
前記アクセスポイントとの間のレイヤ２ネットワーク上に、固定網トンネルをトンネリングするとともに、前記固定網トンネル上に移動網トンネルをトンネリングし、
前記固定網端末を送信元とする上り固定網パケットを、前記固定網トンネルを介して受信したときは、前記固定網内の他装置に転送し、前記固定網端末を送信先とする下り固定網パケットを、前記固定網トンネルを介して前記アクセスポイントへ送信し、
前記移動網端末を送信元とする上り移動網パケットを、前記移動網トンネルを介して受信したときは、前記転送装置に転送し、前記移動網端末を送信先とする下り移動網パケットを、前記移動網トンネルを介して前記アクセスポイントへ送信することを特徴とする
通信方法。
【請求項６】
請求項５に記載の通信方法を、コンピュータである前記振分装置に実行させるための通信プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、通信方法、および、通信プログラムの技術に関する。
【背景技術】
【０００２】
移動端末などのＵＥ（User Equipment）は、移動体事業者網に収容され、移動体事業者網用のサービスへアクセスする形態が一般的である。しかし、ＵＥの台数増加に伴い、移動体事業者網内を流れるトラヒックの量が増加しており、輻輳の発生により通信サービスの品質が低下する懸念がある。
【０００３】
そこで、ＵＥから移動体事業者網に直接接続する代わりに、ＵＥのユーザが別途使用している固定網事業者網を、ＵＥの接続先として用いる（換言すると、ＵＥのトラヒックをオフロードする）形態が提案されている。そのため、ＵＥをWi-Fi（登録商標）接続により固定網経由で接続し、固定網事業者網と移動体事業者網との間でＵＥの認証を実施し、認証が許可されたＵＥに対して移動体事業者網からＩＰアドレスを払い出すWi-Fiオフロード方式の標準化が議論されている。
【０００４】
このWi-Fiオフロード方式において、固定網事業者網のエッジルータに相当するＴＷＡＧ（Trusted Wireless Access Gateway）と、Wi-Fiアクセスポイントとの間は、様々なトンネリング・プロトコルが想定されており、そのプロトコルを実現するために各装置が備えるべき機能要素も、検討されている。
例えば、非特許文献１には、標準化団体である３ＧＰＰ（3rd Generation Partnership Project）が規定する機能要素が記載されている。
一方、非特許文献２には、標準化団体であるBroadband Forumが規定する機能要素が記載されている。
しかし、非特許文献１，２では、単に機能要素が記載されているだけであり、具体的な方式は決定されていない。
【０００５】
なお、非特許文献３には、ＮＧＮ（Next Generation Network）における回線認証の概要が記載されている。しかし、非特許文献１，２は、非特許文献３のような回線認証は、考慮されていない。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】3GPP（3rd Generation Partnership Project）、"3GPP TR 23.852 V1.4.1"、［online］、2013年2月、3GPP、［平成25年8月12日検索］、インターネット〈URL：http://www.3gpp.org/ftp/Specs/archive/23_series/23.852/23852-141.zip〉、第7.1.2.3章（Reference Points）、p36-37
【非特許文献２】broadband forum、"WT-291 Nodal Requirements for Interworking between Next Generation Fixed and 3GPP Wireless Access"、DRAFT bbf2012.696、April 2013、Revision 04、第７章（Nodal requirements for 3GPP trusted Network-based mobility (S2a)）、p28-32
【非特許文献３】日経NETWORK、"［Question６］NTTのNGNはどんなしくみ？"、［online］、2007年1月30日、ITPro、［平成25年8月12日検索］、インターネット〈URL：http://itpro.nikkeibp.co.jp/article/COLUMN/20070125/259673/〉
【発明の概要】
【発明が解決しようとする課題】
【０００７】
図６は、従来の通信システムの概要を示す説明図である。
Wi-Fiアクセスポイントは、ユーザの端末として、自宅ＰＣと、ＵＥ（User Equipment）とを収容している。自宅ＰＣは、Wi-Fiアクセスポイントから固定網事業者網を経由して、インターネットにＰＣパケットを通信する装置である。
ＵＥは、Wi-Fiアクセスポイントから固定網事業者網→移動体事業者網を経由して、移動体網独自サービスの網にＵＥパケットを通信する装置である。
【０００８】
ＵＥをWi-Fiアクセスポイントに収容する場合、それぞれ異なるセグメントを構築する必要があるために、ＶＬＡＮ（Virtual Local Area Network）トンネルを、事業者網ごとに分ける必要がある。よって、固定網事業者網内と、収容するWi-Fiアクセスポイントとの間に、２本のＶＬＡＮトンネルが構築される。１本目のＶＬＡＮトンネルは、ＰＣパケットの通信用に用いるトンネルであり、２本目のＶＬＡＮトンネルは、ＵＥパケットの通信用に用いるトンネルである。
【０００９】
このように、固定網事業者網用のＶＬＡＮトンネルに加え、Wi-Fiアクセスポイントに収容されるＵＥの台数分のＶＬＡＮトンネルを事前に用意することとなる。そのため、１台のWi-Fiアクセスポイントが提供するＶＬＡＮの数が増加してしまい、ＮＧＮ（Next Generation Network）における回線認証の管理が煩雑化してしまったり、ネットワーク別パケット振分装置のリソースが消費されることで、Wi-Fiアクセスポイントの収容可能数が減ってしまったりする。
【００１０】
そこで、本発明は、固定網事業者網内を経由する移動体事業者網への通信を、低コストで実現することを、主な課題とする。
【課題を解決するための手段】
【００１１】
前記課題を解決するために、本発明は、固定網によって端末情報が管理される固定網端末、および、移動網によって端末情報が管理される移動網端末がそれぞれ収容されるアクセスポイントと、前記固定網内に配置され、前記アクセスポイントを収容する振分装置と、前記移動網内に配置され、前記振分装置と接続される転送装置と、がネットワークで接続されて構成され、前記振分装置が、前記アクセスポイントとの間のレイヤ２ネットワーク上に、固定網トンネルをトンネリングするとともに、前記固定網トンネル上に移動網トンネルをトンネリングし、前記固定網端末を送信元とする上り固定網パケットを、前記固定網トンネルを介して受信したときは、前記固定網内の他装置に転送し、前記固定網端末を送信先とする下り固定網パケットを、前記固定網トンネルを介して前記アクセスポイントへ送信し、前記移動網端末を送信元とする上り移動網パケットを、前記移動網トンネルを介して受信したときは、前記転送装置に転送し、前記移動網端末を送信先とする下り移動網パケットを、前記移動網トンネルを介して前記アクセスポイントへ送信することを特徴とする。
【００１２】
これにより、アクセスポイントが構築する固定網トンネルは１つで済むので、固定網事業者網内を経由する移動体事業者網への通信を、低コストで実現することができる。
【００１３】
本発明は、前記アクセスポイントが、前記移動網トンネルを介して送信する前記上り移動網パケットには、移動網用ヘッダを付加し、前記振分装置が、受信したパケット内に前記移動網用ヘッダが付加されているときには、受信したパケットを前記上り移動網パケットと判断し、受信したパケット内に前記移動網用ヘッダが付加されていないときには、受信したパケットを前記上り固定網パケットと判断することを特徴とする。
【００１４】
これにより、２種類のトンネルのいずれかを通過したかを、ヘッダから判断できる。
【００１５】
本発明は、前記振分装置が、受信した前記上り移動網パケット内の前記移動網用ヘッダから読み取った、前記移動網端末のIMSI（International Mobile Subscriber Identity）をもとに、受信した前記上り移動網パケットの送信先の前記転送装置を１台に特定することを特徴とする。
【００１６】
これにより、振分装置に複数台の転送装置が接続されている構成でも、適切な転送装置へとパケットを転送することができる。
【００１７】
本発明は、前記固定網には、さらに、前記アクセスポイントの装置情報を移動網端末のアドレスと対応付けて管理する固定網認証サーバが配置され、前記移動網には、さらに、移動網端末の端末情報を前記移動網端末のアドレスと対応付けて管理する管理する移動網認証サーバが配置され、前記固定網認証サーバが、前記移動網端末から認証要求を受信し、その認証要求に含まれる前記移動網端末のアドレスと、前記移動網端末の端末情報との組み合わせを前記移動網認証サーバに問い合わせ、前記移動網認証サーバが、問い合わせを受けた組み合わせ情報を自身で管理しているときには、認証を許可する旨を前記固定網認証サーバに応答し、前記固定網認証サーバが、認証を許可され、かつ、前記移動網端末のアドレスを自身で管理しているときに、前記認証要求を受けた前記移動網端末に対して前記移動網トンネルを使用させることを許可することを特徴とする。
【００１８】
これにより、移動網認証サーバの認証を行うことで、移動網端末のアドレスの詐称を防止することができる。
【発明の効果】
【００１９】
本発明によれば、固定網事業者網内を経由する移動体事業者網への通信を、低コストで実現することができる。
【図面の簡単な説明】
【００２０】
【図１】本発明の一実施形態に関する通信システムの概要を示す説明図である。
【図２】本発明の一実施形態に関する通信システムを示す構成図である。
【図３】本発明の一実施形態に関する各事業者の網内装置の詳細を示す構成図である。
【図４】本発明の一実施形態に関する事業者網に収容されるユーザ網内装置の詳細を示す構成図である。
【図５】本発明の一実施形態に関するＵＥの通信前準備処理を示す処理説明図である。
【図６】従来の通信システムの概要を示す説明図である。
【発明を実施するための形態】
【００２１】
以下、本発明の一実施形態について、図面を参照して詳細に説明する。
【００２２】
図１は、通信システムの概要を示す説明図である。まず、パケットの呼び方を定義する。
自宅ＰＣ８（下流）からインターネット７ｄ（上流）へ流れるパケット（図１の破線矢印で示すパケット）を、以下では「上りＰＣパケット（上り固定網パケット）」と呼ぶ。一方、「上りＰＣパケット」とは逆方向に流れる（つまり、上流から下流に流れる）パケットを、以下では「下りＰＣパケット（下り固定網パケット）」と呼ぶ。上りＰＣパケットと下りＰＣパケットとを合わせて、「ＰＣパケット」と呼ぶ。
Wi-Fiアクセスポイント３に収容されるＵＥ４（下流）から移動体事業者網７ｂやその先の移動体網独自サービス（上流）へ流れるパケット（図６の破線矢印で示すパケット）を、以下では「上りＵＥパケット」と呼ぶ。一方、「上りＵＥパケット（上り移動網パケット）」とは逆方向に流れる（つまり、上流から下流に流れる）パケットを、以下では「下りＵＥパケット（下り移動網パケット）」と呼ぶ。上りＵＥパケットと下りＵＥパケットとを合わせて、「ＵＥパケット」と呼ぶ。
【００２３】
図１（ａ）の通信システムと図６の通信システムとを比較すると、インターネット７ｄ、移動体網独自サービス、固定網事業者網７ａ、移動体事業者網７ｂ、Wi-Fiアクセスポイント３、自宅ＰＣ８（固定網端末）、ＵＥ４（移動網端末）などの大まかな構成要素では共通する。
しかし、図１（ａ）の通信システムは、図６の通信システムとは異なり、ＶＬＡＮトンネル（固定網トンネル）の数は、ＵＥ４の数に関係なく、１台のWi-Fiアクセスポイント３あたり１つ用意される。そして、図１のＶＬＡＮトンネルは、ＰＣパケットを通過させるとともに、ＵＥ用トンネル（移動網トンネル）が貫通（カプセリング）している。ＵＥ用トンネルも、ＵＥ４の数に関係なく１台のWi-Fiアクセスポイント３あたり１つだけ用意される。ＵＥ用トンネルは、ＵＥパケットを通過させるためのトンネルである。
【００２４】
図１（ｂ）は、図１（ａ）の通信システムを流れる各パケットの構成図である。ＶＬＡＮトンネルは、ＰＣパケットもＵＥパケットも収容する。
ＶＬＡＮトンネルを流れるＰＣパケットには、パケットの外側（先頭側）から順に、Ethernet（登録商標）のヘッダ、Wi-Fi AP/UE  共用VLANの情報（レイヤ２の回線識別子であり、適宜「ＶＬＡＮ」と略す）、パケットのデータ内容を示すペイロードが順に連結されている。なお、Ethernetは、図２で示すネットワーク別パケット振分装置２ａとWi-Fiアクセスポイント３との間のネットワークであり、そのEthernet上にＶＬＡＮが構築されている。
ＵＥ用トンネルを流れるＵＥパケットには、パケットの外側から順に、Ethernetのヘッダ、Wi-Fi AP/UE  共用VLANの情報、ＵＥ用ヘッダ（移動網用ヘッダ）、パケットのデータ内容を示すペイロードが順に連結されている。ＵＥパケットの構成要素として、ＵＥ用ヘッダ以外は、ＰＣパケットの構成要素と同じである。なお、ＵＥ用ヘッダは、例えば、ＲＦＣ（Request for Comments）２７８４に規定されるＧＲＥ（Generic Routing Encapsulation）の形式で記述される。
【００２５】
以上、図１で説明したように、ネットワーク別パケット振分装置２ａとWi-Fiアクセスポイント３との間のネットワークとして、第１層（Ethernetなどのレイヤ２ネットワーク）と、その第１層の上に構築される第２層（ＶＬＡＮトンネルの層）と、その第２層の上に構築される第３層（ＵＥ用トンネルの層）とがトンネリング（カプセリング）される階層ネットワークが構築される。
【００２６】
図２は、通信システムを示す構成図である。この通信システムを構成する各装置は、ＣＰＵ（Central Processing Unit）とメモリとハードディスク（記憶手段）とネットワークインタフェースを有するコンピュータとして構成され、このコンピュータは、ＣＰＵが、メモリ上に読み込んだプログラムを実行することにより、各処理部を動作させる。
【００２７】
固定網事業者網７ａには、インターネット７ｄへのゲートウェイであるネットワーク中継装置９ａに加え、Wi-Fiアクセスポイント３を収容するネットワーク別パケット振分装置２ａと、固定網事業者網７ａへのアクセスに伴う認証を行う回線認証サーバ１ａとが備えられている。
移動体事業者網７ｂには、インターネット７ｄへのゲートウェイであるネットワーク中継装置９ｂに加え、ネットワーク別パケット振分装置２ａとＳ２ａ  Ｉ／Ｆ（Interface）で接続されるパケット転送装置２ｂと、回線認証サーバ１ａとＳＷｄ  Ｉ／Ｆで接続されるUE管理サーバ１ｂとが備えられている。
【００２８】
まず、固定網事業者網７ａ配下のWi-Fiアクセスポイント３に収容される自宅ＰＣ８は、固定網事業者網７ａからインターネット７ｄにアクセス可能である。なお、Wi-Fiアクセスポイント３は、ＮＡＴ（Network Address Translation）で構築された宅内ＬＡＮ（図２の下部の破線領域）に、自宅ＰＣ８を収容する。
一方、固定網事業者網７ａ配下のWi-Fiアクセスポイント３に収容されるＵＥ４が、固定網事業者網７ａとは別の移動体事業者網７ｂにアクセス（ＵＥ４→Wi-Fiアクセスポイント３→ネットワーク別パケット振分装置２ａ→パケット転送装置２ｂのルート）するためには、UE管理サーバ１ｂの認証が必要である（各認証処理の詳細は、図４，図５で後記）。
【００２９】
ネットワーク別パケット振分装置２ａは、ＶＬＡＮトンネルを介してWi-Fiアクセスポイント３から受信した上りＰＣパケットを、ネットワーク中継装置９ａを介してインターネット７ｄへ振り分ける。
ネットワーク別パケット振分装置２ａは、ネットワーク中継装置９ａなどを介して受信した下りＰＣパケットを、ＶＬＡＮトンネルを介してWi-Fiアクセスポイント３へ振り分ける。
【００３０】
ネットワーク別パケット振分装置２ａは、ＵＥ用トンネルを介してWi-Fiアクセスポイント３から受信した上りＵＥパケットを、移動体事業者網７ｂのパケット転送装置２ｂへ振り分ける。なお、ネットワーク別パケット振分装置２ａは、２台以上のパケット転送装置２ｂが接続されているときには、ＵＥ用ヘッダのUEの認証識別子であるEAP-AKA/SIM（Extensible Authentication Protocol−Authentication and Key Agreement／Subscriber Identity Module）のIMSI（International Mobile Subscriber Identity）番号を参照することで、上りＵＥパケットの送信先のパケット転送装置２ｂを１台に特定する。
ネットワーク別パケット振分装置２ａは、パケット転送装置２ｂなどを介して受信した下りＵＥパケットを、ＵＥ用トンネルを介してWi-Fiアクセスポイント３へ振り分ける。
【００３１】
図３は、各事業者の網内装置の詳細を示す構成図である。
回線認証サーバ１ａは、回線情報管理部１１ａと、ネットワーク間認証部１２ａと、アドレス払出許可部１３ａとを有する。
UE管理サーバ１ｂは、UE認証情報管理部１１ｂと、ネットワーク間認証部１２ｂとを有する。
ネットワーク別パケット振分装置２ａは、UE用ヘッダ終端部２１ａと、アドレス払出機能部２２ａと、UEアドレス払出中継部２３ａと、UE認証処理中継部２４ａと、Wi-Fi AP発着パケット中継部２５ａと、Wi-Fi AP/UE振分機能部２６ａと、ネットワーク振分機能部２７ａと、VLAN終端部２８ａとを有する。
パケット転送装置２ｂは、UE発着パケット中継部２１ｂと、UEアドレス払出機能部２２ｂとを有する。
【００３２】
以下、各トンネルと、そのトンネルのために払い出されるＩＰアドレスとの詳細を説明することで、図３の各構成要素を明らかにする。
ＶＬＡＮトンネルのためのＩＰアドレスは、固定網事業者網７ａによって払い出され、ＵＥ用トンネルのためのＩＰアドレスは、移動体事業者網７ｂによって払い出される。つまり、２つのＩＰアドレスが、異なる事業者網によって独立して払い出される。
【００３３】
ＶＬＡＮトンネルは、VLAN終端部２８ａとVLAN終端部３４（図４）とを両端とするトンネルである。Wi-Fiアクセスポイント３は、DHCP（Dynamic Host Configuration Protocol） requestを回線認証サーバ１ａに送信する。回線認証サーバ１ａは、Wi-Fiアクセスポイント３のユーザがあらかじめ回線情報管理部１１ａに登録されているときは、アドレス払出許可部１３ａを介して、アドレス払い出しを許可する。
アドレス払出機能部２２ａは、アドレス払出許可部１３ａからの許可を得て、DHCP requestの送信元であるWi-Fiアクセスポイント３に対して、ＶＬＡＮトンネルのためのＩＰアドレスを払い出す。このＩＰアドレスは、固定網事業者網７ａが管理している。
VLAN終端部２８ａおよびVLAN終端部３４は、払い出されたＩＰアドレスを用いて、ＶＬＡＮトンネルを確立する。また、払い出されたＩＰアドレスが使用できなくなったときには、VLAN終端部２８ａおよびVLAN終端部３４は、確立したＶＬＡＮトンネルを除去する。
【００３４】
ＵＥ用トンネルは、UE用ヘッダ終端部２１ａとUE用ヘッダ終端部３１（図４）とを両端とするトンネルである。Wi-Fiアクセスポイント３は、ネットワーク間認証部１２ａとネットワーク間認証部１２ｂとが連携する認証処理に成功すると（詳細は、図５のＳ１１〜Ｓ１５の説明）、DHCP requestをUEアドレス払出機能部２２ｂに送信し、その応答として、ＵＥ用トンネルの確立のためのＩＰアドレスの払い出しを受ける（詳細は、図５のＳ２１〜Ｓ２３の説明）。
【００３５】
以上説明したように確立されたＶＬＡＮトンネルおよびＵＥ用トンネルを用いて、以下に示すように各パケットが転送される。
上りＰＣパケットは、ＶＬＡＮトンネル（VLAN終端部３４→VLAN終端部２８ａ）→Wi-Fi AP/UE振分機能部２６ａ→Wi-Fi AP発着パケット中継部２５ａ→ネットワーク中継装置９ａ→インターネット７ｄのルートで伝送される。上りＰＣパケットや上りＵＥパケット内のＶＬＡＮ（図１の「Wi-Fi AP/UE共用VLAN」）は、VLAN終端部２８ａによって除去される。
下りＰＣパケットは、インターネット７ｄ→ネットワーク中継装置９ａ→Wi-Fi AP発着パケット中継部２５ａ→Wi-Fi AP/UE振分機能部２６ａ→ＶＬＡＮトンネル（VLAN終端部２８ａ→VLAN終端部３４）のルートで伝送される。下りＰＣパケットや下りＵＥパケット内のＶＬＡＮ（図１の「Wi-Fi AP/UE共用VLAN」）は、VLAN終端部２８ａによって付加される。
なお、Wi-Fi AP/UE振分機能部２６ａは、パケット内のＵＥ用ヘッダの有無により、ＰＣパケットかＵＥパケットかを区別することができる。
【００３６】
上りＵＥパケットは、VLAN終端部２８ａ→Wi-Fi AP/UE振分機能部２６ａ→UE用ヘッダ終端部２１ａ→ネットワーク振分機能部２７ａ→UE発着パケット中継部２１ｂのルートで伝送される。ここで、上りＵＥパケット内のUE用ヘッダは、UE用ヘッダ終端部２１ａによって除去される。
下りＵＥパケットは、UE発着パケット中継部２１ｂ→ネットワーク振分機能部２７ａ→UE用ヘッダ終端部２１ａ→Wi-Fi AP/UE振分機能部２６ａ→VLAN終端部２８ａのルートで伝送される。ここで、下りＵＥパケット内のUE用ヘッダは、UE用ヘッダ終端部２１ａによって付加される。
【００３７】
図４は、事業者網に収容されるユーザ網内装置の詳細を示す構成図である。
Wi-Fiアクセスポイント３は、UE用ヘッダ終端部３１と、UE認証処理中継部３２と、Wi-Fi AP/UE振分機能部３３と、VLAN終端部３４と、NAT変換部３５とを有する。NAT変換部３５は、図２で説明した宅内ＬＡＮを構築するための処理部である。
ＵＥ４は、UEパケット終端部４１と、UE認証処理部４２とを有する。
なお、図４の構成要素のうちの認証処理に関する処理部（UE認証処理中継部３２、UE認証処理部４２）は、後記する図５の説明で明らかにし、以下では認証処理に関する処理部以外の処理部を説明する。
【００３８】
図４では、図３と同様に、確立されたＶＬＡＮトンネルおよびＵＥ用トンネルを用いて、以下に示すように各パケットが転送される。
上りＰＣパケットは、自宅ＰＣ８→NAT変換部３５→Wi-Fi AP/UE振分機能部３３→VLAN終端部３４→VLAN終端部２８ａのルートで伝送される。上りＰＣパケットや上りＵＥパケット内のＶＬＡＮ（図１の「Wi-Fi AP/UE共用VLAN」）は、VLAN終端部３４によって付加される。
下りＰＣパケットは、VLAN終端部２８ａ→VLAN終端部３４→Wi-Fi AP/UE振分機能部３３→NAT変換部３５→自宅ＰＣ８のルートで伝送される。下りＰＣパケットや下りＵＥパケット内のＶＬＡＮ（図１の「Wi-Fi AP/UE共用VLAN」）は、VLAN終端部３４によって除去される。
なお、Wi-Fi AP/UE振分機能部３３は、パケット内のＵＥ用ヘッダの有無により、ＰＣパケットかＵＥパケットかを区別することができる。
【００３９】
上りＵＥパケットは、UEパケット終端部４１→UE用ヘッダ終端部３１→Wi-Fi AP/UE振分機能部３３→VLAN終端部３４→VLAN終端部２８ａのルートで伝送される。ここで、上りＵＥパケット内のＵＥ用ヘッダは、UE用ヘッダ終端部３１によって付加される。
下りＵＥパケットは、VLAN終端部２８ａ→VLAN終端部３４→Wi-Fi AP/UE振分機能部３３→UE用ヘッダ終端部３１→UEパケット終端部４１のルートで伝送される。ここで、下りＵＥパケット内のＵＥ用ヘッダは、UE用ヘッダ終端部３１によって除去される。
【００４０】
図５は、ＵＥの通信前準備処理を示す処理説明図である。
Ｓ１０（ＵＥ登録処理）について、説明する。
自宅ＰＣ８は、Wi-Fiアクセスポイント３経由の接続を許可したい、または、許可を取り消したいＵＥ４のＭＡＣ（Media Access Control）アドレスの申請を、ユーザから受け付ける。自宅ＰＣ８は、受け付けた申請を、NAT変換部３５→Wi-Fi AP/UE振分機能部３３→VLAN終端部３４→VLAN終端部２８ａ→Wi-Fi AP/UE振分機能部２６ａ→UE認証処理中継部２４ａ→回線情報管理部１１ａのルートで、送信する。
回線情報管理部１１ａは、受信した申請（ＵＥ４のＭＡＣアドレス）を、Wi-Fiアクセスポイント３の回線情報（VLAN、ポート番号）に対応付けて自身が管理する回線情報に反映（作成・削除・更新）する。
なお、回線情報管理部１１ａは、自宅ＰＣ８から申請を受け付ける代わりに、事前に、固定網事業者網７ａ内のＳＯ（Service Order）投入サーバ（図示省略）から申請内容が記載されたサービス定義ファイルを受信して、自身が管理する回線情報に反映してもよい。
【００４１】
Ｓ１１（802.1x認証処理）について、説明する。ＵＥ４は、802.1xパケット（認証要求）をUE認証処理部４２からUE認証処理中継部３２へと送信することで、802.1x認証（EAP-SIM/AKA認証）を開始する。
【００４２】
Ｓ１２（RADIUS（Remote Authentication Dial In User Service）処理）について、説明する。
UE認証処理中継部３２は、Ｓ１１の802.1xパケットをRADIUSパケットに変換し、ＵＥ４のＭＡＣアドレス、回線情報、および、EAP-SIM/AKA（Extensible Authentication Protocol−Subscriber Identity Module／Authentication and Key Agreement）識別子を、変換したRADIUSパケットに含める。
そして、UE認証処理中継部３２は、RADIUSパケットを、UE認証処理中継部３２→Wi-Fi AP/UE振分機能部３３→VLAN終端部３４→VLAN終端部２８ａ→Wi-Fi AP/UE振分機能部２６ａ→UE認証処理中継部２４ａ→回線情報管理部１１ａ→ネットワーク間認証部１２ａのルートで送信する。
【００４３】
Ｓ１３（認証問い合わせ処理）について、説明する。ネットワーク間認証部１２ａは、ＵＥ４のＭＡＣアドレスの正しさを確認するため、Ｓ１２で受信したRADIUSパケット内のＭＡＣアドレスとEAP-SIM/AKA識別子とを組にし、ＳＷｄ  Ｉ／Ｆを介して、ネットワーク間認証部１２ｂに認証問い合わせを行う。
【００４４】
Ｓ１４（認証応答処理）について、説明する。ネットワーク間認証部１２ｂは、Ｓ１３の認証問い合わせに含まれるＭＡＣアドレスとEAP-SIM/AKA識別子との組が、UE認証情報管理部１１ｂに登録されていれば認証許可、組が登録されていなければ、認証不許可として、その認証結果をネットワーク間認証部１２ａに応答する。なお、UE認証情報管理部１１ｂは、移動体事業者網７ｂにおいて加入者管理を行うＨＳＳ（Home Subscriber Server）である。
【００４５】
Ｓ１５（接続可否処理）について、説明する。ネットワーク間認証部１２ａは、Ｓ１４の返信で認証許可されたＭＡＣアドレスに対応する回線情報が回線情報管理部１１ａ内に登録されているときには、接続許可をWi-Fiアクセスポイント３に通知する。一方、ネットワーク間認証部１２ａは、Ｓ１４の応答で認証不許可、または、認証許可されたＭＡＣアドレスが回線情報管理部１１ａ内に未登録なら、接続不許可をWi-Fiアクセスポイント３に通知する。
これにより、Ｓ１４の応答で認証許可されたＭＡＣアドレスが、詐称されていないＭＡＣアドレスであることが保証されるので、適切なＵＥ４だけを接続許可することができる。
【００４６】
Ｓ２１（ＵＥ接続処理）について、説明する。Wi-Fiアクセスポイント３（UE認証処理中継部３２）は、Ｓ１５で接続許可されたＵＥ４の接続を受け付ける。
Ｓ２２（アドレス要求処理）について、説明する。
UE認証処理中継部３２は、Ｓ２１で受け付けたＵＥ４について、DHCP Requestによりアドレス払い出しをネットワークへ要求する。DHCP Requestは、UE認証処理中継部３２→Wi-Fi AP/UE振分機能部３３→VLAN終端部３４→VLAN終端部２８ａ→Wi-Fi AP/UE振分機能部２６ａ→UE用ヘッダ終端部２１ａ→UEアドレス払出中継部２３ａ→UEアドレス払出機能部２２ｂのルートでリレー（転送）される。
【００４７】
Ｓ２３（アドレス払い出し処理）について、説明する。UEアドレス払出機能部２２ｂは、Ｓ２２のDHCP Requestをもとに、ＵＥ用トンネルのために払い出すアドレスを決定し、そのアドレスをＵＥ４に応答する。なお、応答メッセージのルートは、Ｓ２２のルートを逆流するルートである。
Ｓ３０（通信処理）について、説明する。ＵＥ４は、Ｓ２３で払い出されたアドレスのＵＥ用トンネルを用いて、通信相手（他のＵＥ４など）とデータ通信を開始することができる。
【００４８】
以上説明した本実施形態の通信システムは、回線認証サーバ１ａによる回線認証を考慮したWi-Fiシステムである。
本実施形態では、固定網事業者網７ａの認証により利用できるＶＬＡＮトンネルと、移動体事業者網７ｂの認証により利用できるＵＥ用トンネルとを併用することにより、Wi-Fiアクセスポイント３が１台あたり１つのＶＬＡＮを構築するだけで、インターネットサービスとWi-Fiオフロードサービスとを、Wi-Fiアクセスポイント３のユーザに利用させることができる。
一方、図６に示した従来の場合では、ＶＬＡＮトンネルが複数本必要であり、その本数の増加に伴ってWi-Fiアクセスポイント３の性能や管理コストに負担をかけてしまっていた。
【００４９】
また、本実施形態では、移動体事業者網７ｂへとＭＡＣアドレスの正しさを問い合わせる（図５のＳ１３，Ｓ１４）ことにより、固定網事業者網７ａ（回線情報管理部１１ａ）が管理するＭＡＣアドレスの正しさを保証できるので、Wi-Fiアクセスポイント３は、ＭＡＣアドレスを詐称したＵＥ４を適切に拒否することができる。
さらに、固定網事業者網７ａが、移動体網で管理するユーザ情報（EAP-SIM/AKA）を直接保持せずに、その情報を保持するUE管理サーバ１ｂへの問い合わせを行う本実施形態の構成は、移動体網事業者にとってのセキュリティ観点から望ましい。
一方、移動体網で管理するユーザ情報を使用せずに、ＭＡＣアドレスだけでＵＥ４の認証を行ってしまうと、ＭＡＣアドレスを詐称したＵＥ４まで不正にWi-Fiアクセスポイント３に接続されてしまう。
【符号の説明】
【００５０】
１ａ    回線認証サーバ（固定網認証サーバ）
１ｂ    UE管理サーバ（移動網認証サーバ）
２ａ    ネットワーク別パケット振分装置（振分装置）
２ｂ    パケット転送装置（転送装置）
３      Wi-Fiアクセスポイント（アクセスポイント）
４      ＵＥ（移動網端末）
７ａ    固定網事業者網（固定網）
７ｂ    移動体事業者網（移動網）
７ｄ    インターネット
８      自宅ＰＣ（固定網端末）
１１ａ  回線情報管理部
１２ａ  ネットワーク間認証部
１３ａ  アドレス払出許可部
１１ｂ  UE認証情報管理部
１２ｂ  ネットワーク間認証部
２１ａ  UE用ヘッダ終端部
２１ｂ  UE発着パケット中継部
２２ａ  アドレス払出機能部
２２ｂ  UEアドレス払出機能部
２３ａ  UEアドレス払出中継部
２４ａ  UE認証処理中継部
２５ａ  Wi-Fi AP発着パケット中継部
２６ａ  Wi-Fi AP/UE振分機能部
２７ａ  ネットワーク振分機能部
２８ａ  VLAN終端部
３１    UE用ヘッダ終端部
３２    UE認証処理中継部
３３    Wi-Fi AP/UE振分機能部
３４    VLAN終端部
３５    NAT変換部
４１    UEパケット終端部
４２    UE認証処理部
【図１】
0005947763.tif 000002
【図２】
0005947763.tif 000003
【図３】
0005947763.tif 000004
【図４】
0005947763.tif 000005
【図５】
0005947763.tif 000006
【図６】
0005947763.tif 000007