(57)【要約】  本発明は、オーセンティケータ、ＥＡＰｏＬ通過スイッチ等を各所に配置することなく、ユーザ・クライアント毎のアクセス制御を行うことのできる構成を提供する。転送ノードは、設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する。前記認証装置は、前記被認証装置と所定の認証手続きを行ない、その結果を制御サーバに通知する。前記認証装置との認証手続きに成功した場合、前記制御サーバは、前記被認証装置と宛先ノードとの間の第１の転送経路を作成し、前記第１の転送経路上の少なくとも１つの転送ノードに対し、前記第１の転送経路に従って前記被認証装置と宛先ノードとの間で送受信されるパケットの処理規則を送信する。
2011081104.tif 000002
【特許請求の範囲】
【請求項１】
設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する転送ノードと、
前記被認証装置と所定の認証手続きを行ない、その結果を制御サーバに通知する認証装置と、
前記認証装置との認証手続きに成功した場合、前記被認証装置と宛先ノードとの間の第１の転送経路を作成し、前記第１の転送経路上の少なくとも１つの転送ノードに、前記第１の転送経路に従って前記被認証装置と宛先ノードとの間で送受信されるパケットの処理規則を設定する制御サーバと、
を含む通信システム。
【請求項２】
前記転送ノードは、処理規則が不明である受信パケットを前記制御サーバに転送する機能を有し、
前記制御サーバは、前記転送ノードから転送されたパケットに認証用パケットであるとの情報が含まれている場合、前記被認証装置と前記所定の認証装置との間の第２の転送経路を作成し、少なくとも前記転送されたパケットの送信元の転送ノードに対し、以後被認証装置と所定の認証装置との間で送受信される認証用パケットに対し当該転送ノードが適用すべき処理規則を送信する請求項１の通信システム。
【請求項３】
前記認証装置は、前記制御サーバに対し、前記認証結果の通知として、アクセスポリシまたはアクセスコントロールリストを送信し、
前記制御サーバは、前記アクセスポリシまたはアクセスコントロールリストを用いて、前記転送装置から問い合わせを受けたパケットに対し第１の転送経路を作成するか否か判断する請求項２の通信システム。
【請求項４】
前記認証装置は、認証サーバと、前記被認証装置から受信したメッセージに基づいて前記被認証装置に代わって認証サーバとの認証手順を実行するオーセンティケータとにより構成されている請求項１から３いずれか一の通信システム。
【請求項５】
前記第２の転送経路は、制御サーバを経由する経路であり、
前記制御サーバも、前記認証用パケットの中継に参加する請求項１から４いずれか一の通信システム。
【請求項６】
前記認証装置は、前記被認証装置から接続解除要求を受けた場合に、前記制御サーバに通知し、
前記通知を受けた制御サーバは、前記第１の転送経路上の転送ノードに対し、前記被認証装置からのパケットについて作成した第１の転送経路に対応する処理規則の削除を指示する請求項１から５いずれか一の通信システム。
【請求項７】
設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する転送ノードと、前記転送ノードに前記処理規則を設定する制御サーバと、に接続され、
前記転送ノードを介して、前記被認証装置と所定の認証手続きを行ない、その結果を前記制御サーバに通知する認証装置。
【請求項８】
前記制御サーバに対し、前記認証結果の通知として、アクセスポリシまたはアクセスコントロールリストを送信する請求項７の認証装置。
【請求項９】
設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する転送ノードと、
前記転送ノードを介して前記被認証装置と所定の認証手続きを行ない、その結果を制御サーバに通知する認証装置と、に接続され、
前記認証装置との認証手続きに成功した場合、前記被認証装置と宛先ノードとの間の第１の転送経路を作成し、前記第１の転送経路上の少なくとも１つの転送ノードに、前記第１の転送経路に従って前記被認証装置と宛先ノードとの間で送受信されるパケットの処理規則を設定する制御サーバ。
【請求項１０】
前記転送ノードから、処理規則が不明であるとして転送されたパケットに認証用パケットであるとの情報が含まれている場合、前記被認証装置と前記所定の認証装置との間の第２の転送経路を作成し、少なくとも前記転送されたパケットの送信元の転送ノードに対し、以後被認証装置と所定の認証装置との間で送受信される認証用パケットに対し当該転送ノードが適用すべき処理規則を送信する請求項９の制御サーバ。
【請求項１１】
前記認証装置から前記認証結果の通知として送信されたアクセスポリシまたはアクセスコントロールリストを用いて、前記転送装置から問い合わせを受けたパケットに対し第１の転送経路を作成するか否か判断する請求項１０の制御サーバ。
【請求項１２】
第２の転送経路として、自装置を経由する経路を作成し、
前記認証用パケットの中継に参加する請求項９から１１いずれか一の制御サーバ。
【請求項１３】
前記認証装置を介して、前記被認証装置からの接続解除要求の通知を受けた場合、
前記第１の転送経路上の転送ノードに対し、前記被認証装置からのパケットについて作成した第１の転送経路に対応する処理規則の削除を指示する請求項９または１２の制御サーバ。
【請求項１４】
転送ノードが、設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理するステップと、
前記認証装置が、前記被認証装置と所定の認証手続きを行ない、その結果を制御サーバに通知するステップと、
前記認証装置との認証手続きに成功した場合、前記制御サーバが、前記被認証装置と宛先ノードとの間の第１の転送経路を作成し、前記第１の転送経路上の少なくとも１つの転送ノードに、前記第１の転送経路に従って前記被認証装置と宛先ノードとの間で送受信されるパケットの処理規則を設定するステップと、を含む通信方法。
【請求項１５】
設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する転送ノードと、前記転送ノードに前記処理規則を設定する制御サーバと、に接続された認証装置を構成するコンピュータに実行させるプログラムであって、
前記転送ノードを介して、前記被認証装置と所定の認証手続きを行なう処理と、
前記認証手続きの結果を、前記制御サーバに通知する処理とを実行させるプログラム。
【請求項１６】
設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する転送ノードと、前記転送ノードを介して被認証装置と所定の認証手続きを行う認証装置と、に接続された制御サーバを構成するコンピュータに実行させるプログラムであって、
前記認証装置から通知された認証手続きの結果が前記認証装置との認証手続きに成功したことを通知するものである場合、前記被認証装置と宛先ノードとの間の第１の転送経路を作成し、前記第１の転送経路上の少なくとも１つの転送ノードに、前記第１の転送経路に従って前記被認証装置と宛先ノードとの間で送受信されるパケットの処理規則を設定する処理を実行させるプログラム。
【請求項１７】
さらに、
前記転送ノードから、処理規則が不明であるとして転送されたパケットに認証用パケットであるとの情報が含まれている場合、前記被認証装置と前記所定の認証装置との間の第２の転送経路を作成し、少なくとも前記転送されたパケットの送信元の転送ノードに対し、以後被認証装置と所定の認証装置との間で送受信される認証用パケットに対し当該転送ノードが適用すべき処理規則を送信する請求項１６のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願についての記載）
本発明は、日本国特許出願：特願２０１０−００００５３号（２０１０年１月４日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。【０００２】
本発明は、通信システム、認証装置、制御サーバ、通信方法およびプログラムに関し、特に、ネットワークに配置された転送ノードによりパケットを転送して通信を実現する通信システム、ノード、制御サーバ、通信方法およびプログラムに関する。
【背景技術】
【０００３】
ネットワーク経由で認証を行う認証規格の一つとしてＩＥＥＥ８０２．１ｘが知られている。ＩＥＥＥ８０２．１ｘでは、図２０に示すように、オーセンティケータ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）機能を備えたスイッチ９０１がＡｕｔｈｅｎｔｉｃａｔｉｏｎサーバと呼ばれる認証サーバ９００と連携し、アクセス制御を行う構成が知られている。また図２１に示すように、初期状態（非認証状態）ではＥＡＰｏＬ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ  ｏｖｅｒ  ＬＡＮ）フレームのみを通過させるＥＡＰｏＬ通過スイッチ９０４を配置し、Ａｕｔｈｅｎｔｉｃａｔｏｒ９０１へのアクセスを許容する構成も知られている。【０００４】
なお、ＥＡＰｏＬフレームは、図２２に示すように、ＭＡＣフレームのＴＹＰＥフィールドの値が“８８８Ｅ”であることにより識別でき、また、Ｐｔｙｐｅフィールドの値により、メッセージのタイプを識別することが可能になっている。例えば、Ｐｔｙｐｅフィールドの値が“０”であれば、ＥＡＰパケットであると識別され、Ｐｔｙｐｅフィールドの値が“１”であれば、ＥＡＰｏＬ  Ｓｔａｒｔメッセージであると識別される。【０００５】
近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（非特許文献１参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。転送ノードとして機能するオープンフロースイッチは、オープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するルール（ＦｌｏｗＫｅｙ）と、処理内容を定義したアクション（Ａｃｔｉｏｎ）と、フロー統計情報（Ｓｔａｔｓ）との組が定義される（図４参照）。【０００６】
図２３に、非特許文献２に定義されているアクション名とアクションの内容を例示する。ＯＵＴＰＵＴは、指定ポート（インタフェース）に出力するアクションである。ＳＥＴ＿ＶＬＡＮ＿ＶＩＤからＳＥＴ＿ＴＰ＿ＤＳＴは、パケットヘッダーのフィールドを修正するアクションである。【０００７】
例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するルール（ＦｌｏｗＫｅｙ）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対して受信パケットを転送し、受信パケットの送信元・送信先に基づいたパケットの経路の決定を依頼し、これを実現するフローエントリを受け取ってフローテーブルを更新する。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】Nick McKeownほか７名、“OpenFlow: Enabling Innovation in Campus Networks”、［online］、［平成21年12月14日検索］、インターネット〈URL：http://www.openflowswitch.org//documents/openflow-wp-latest.pdf〉
【非特許文献２】"OpenFlow Switch Specification" Version 0.9.0. (Wire Protocol 0x98) ［平成21年12月14日検索］ 、インターネット〈URL：http://www.openflowswitch.org/documents/openflow-spec-v0.9.0.pdf〉
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上記非特許文献の記載内容は、引用をもって本文に繰り込み記載されているものとする。以下の分析は、本発明者によってなされたものである。【００１０】
上記オープンフロースイッチで構成されたネットワークにてユーザに応じたアクセス制御を行う場合、図２０に示すようなオーセンティケータ、あるいは、図２１に示すように、認証に係るフローを通過させるスイッチを必要数各所に配置することが必要となってしまうという問題点がある。【００１１】
この点、非特許文献１においても、その「３．２  Ｍｏｒｅ  Ｅｘａｍｐｌｅｓ」のＥｘａｍｐｌｅ  １、２に、上記オープンフローコントローラに認証機能を備えること、これにより、ＶＬＡＮ相当の仮想ネットワークを構成できることが記載されているに止まっている。【００１２】
本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、オーセンティケータ、ＥＡＰｏＬ通過スイッチ等を各所に配置することなく、ユーザ・クライアント毎のアクセス制御を行うことのできる通信システムを提供することにある。
【課題を解決するための手段】
【００１３】
本発明の第１の視点によれば、設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する転送ノードと、前記被認証装置と所定の認証手続きを行ない、その結果を制御サーバに通知する認証装置と、前記認証装置との認証手続きに成功した場合、前記被認証装置と宛先ノードとの間の第１の転送経路を作成し、前記第１の転送経路上の少なくとも１つの転送ノードに、前記第１の転送経路に従って前記被認証装置と宛先ノードとの間で送受信されるパケットの処理規則を設定する制御サーバと、を含む通信システムが提供される。【００１４】
本発明の第２の視点によれば、設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する転送ノードと、前記転送ノードに前記処理規則を設定する制御サーバと、に接続され、前記転送ノードを介して、前記被認証装置と所定の認証手続きを行ない、その結果を前記制御サーバに通知する認証装置が提供される。【００１５】
本発明の第３の視点によれば、設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理する転送ノードと、前記転送ノードを介して前記被認証装置と所定の認証手続きを行ない、その結果を制御サーバに通知する認証装置と、に接続され、前記認証装置との認証手続きに成功した場合、前記被認証装置と宛先ノードとの間の第１の転送経路を作成し、前記第１の転送経路上の少なくとも１つの転送ノードに、前記第１の転送経路に従って前記被認証装置と宛先ノードとの間で送受信されるパケットの処理規則を設定する制御サーバが提供される。【００１６】
本発明の第４の視点によれば、転送ノードが、設定された処理規則に従って、被認証装置と所定の認証装置との間のパケットを処理するステップと、前記認証装置が、前記被認証装置と所定の認証手続きを行ない、その結果を制御サーバに通知するステップと、前記認証装置との認証手続きに成功した場合、前記制御サーバが、前記被認証装置と宛先ノードとの間の第１の転送経路を作成し、前記第１の転送経路上の少なくとも１つの転送ノードに、前記第１の転送経路に従って前記被認証装置と宛先ノードとの間で送受信されるパケットの処理規則を設定するステップと、を含む通信方法が提供される。本方法は、認証装置およびフロー制御を行う制御サーバという、特定の機械に結びつけられている。【００１７】
本発明の第５の視点によれば、上記した認証装置および転送ノードを制御する制御サーバを構成するコンピュータに実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１８】
本発明によれば、オーセンティケータやＥＡＰｏＬ通過スイッチ等を各所に配置することなく、ユーザ・クライアント毎のアクセス制御を行うことが可能になる。その理由は、認証パケットであるとの情報が含まれたパケットについては認証装置に送信するようにするとともに、認証成功を条件に、制御サーバが転送経路の作成・設定を行う構成を採用したことにある。
【図面の簡単な説明】
【００１９】
【図１】本発明の概要を説明するための図である。
【図２】本発明の第１の実施形態の構成を表したブロック図である。
【図３】本発明の第１の実施形態の転送ノードの構成を表したブロック図である。
【図４】本発明の第１の実施形態の転送ノードの処理規則記憶部に記憶される情報の一例である。
【図５】本発明の第１の実施形態の制御サーバの構成を表したブロック図である。
【図６】本発明の第１の実施形態の認証サーバに保持される認証用データの例である。
【図７】本発明の第１の実施形態の動作（認証成功まで）を説明するための図である。
【図８】図６の続図である。
【図９】図７の続図である。
【図１０】図８の続図である。
【図１１】図９の続図である。
【図１２】本発明の第１の実施形態の動作（認証成功後）を説明するための図である。
【図１３】図１１の続図である。
【図１４】図１２の続図である。
【図１５】図１３の続図である。
【図１６】本発明の第２の実施形態の構成を表したブロック図である。
【図１７】本発明の第２の実施形態の動作（認証成功まで）を説明するための図である。
【図１８】ＷｉＭＡＸネットワークにおける認証系を表した図である。
【図１９】本発明の第３の実施形態の構成を表したブロック図である。
【図２０】ＩＥＥＥ８０２．１ｘを用いた認証ネットワークの例である。
【図２１】ＩＥＥＥ８０２．１ｘを用いた認証ネットワークの別の例である。
【図２２】ＥＡＰｏＬフレームの構成を表した図である。
【図２３】オープンフロースイッチが実行するアクションを例示した図である。
【発明を実施するための形態】
【００２０】
はじめに、本発明の概要を説明する。本発明に係る通信システムは、図１に示すように、被認証装置１００と所定の認証装置３３０との間の第２の転送経路（図１の破線）に従って、認証パケットであるとの情報が含まれたパケットを中継する転送ノード２００Ａと、前記第２の転送経路（図１の破線）を介して被認証装置１００と所定の認証手続きを行ない、その結果を制御サーバ３００に通知する認証装置３３０と、前記被認証装置１００が認証装置３３０との認証手続きに成功した場合、被認証装置１００と宛先ノード６００との間の第１の転送経路（図１の太実線）を作成し、前記第１の転送経路（図１の太実線）上の転送ノード２００Ａ、２００Ｂに、第１の転送経路（図１の太実線）に従って被認証装置１００と宛先ノード６００との間で送受信されるパケットを中継させる制御サーバ３００と、を含んで構成される。なお、この概要に付記した図面参照符号は、専ら理解を助けるための例示であり、図示の態様に限定することを意図するものではない。
【００２１】
転送ノード２００Ａ、２００Ｂおよび制御サーバ３００は、それぞれ非特許文献１、２のオープンフロースイッチおよびオープンフローコントローラにて実現することができる。また、認証フローを認証装置３３０に転送する仕組みとしては、転送ノード２００Ａ（または２００Ｂ）から、認証パケットであるとの情報が含まれたパケットの経路設定要求を受けた制御サーバ３００がその都度、当該認証フローについて転送経路を指示する方法（図７〜図９参照）と、個々の転送ノード２００Ａ、２００Ｂに、当該転送経路を実現する処理規則（フローエントリ）を予め設定しておく方法（図７、図９参照）が考えられる。
【００２２】
認証パケットを受信した認証装置３３０は、被認証装置１００との認証手続きを実行し、その結果を制御サーバ３００に通知する（図１１参照）。制御サーバ３００は、前記認証手続きの結果に応じて、被認証装置１００と宛先ノード６００との間の第１の転送経路（図１の太実線）を設定するか否かを判断する。例えば、前記認証手続きに成功した場合、制御サーバ３００は、被認証装置１００と宛先ノード６００との間の転送経路（図１の太実線）を作成し、該転送経路を実現する処理規則（フローエントリ）を当該転送経路上にある転送ノード２００Ａ、２００Ｂに通知（指示）する。
【００２３】
以上により、処理規則（フローエントリ）に基づいたパケット転送動作を行う転送ノードを用いて、図２０、図２１の構成と同じように認証処理を行うとともに、その後のきめ細かいアクセス制御を行うことが可能になる。
【００２４】
本発明において以下の形態が可能である。
【００２５】
［形態１］
前記第１の視点に記載の通信システムのとおり。
【００２６】
［形態２］
前記転送ノードは、処理規則が不明である受信パケットを前記制御サーバに転送する機能を有し、
前記制御サーバは、前記転送ノードから転送されたパケットに認証用パケットであるとの情報が含まれている場合、前記被認証装置と前記所定の認証装置との間の第２の転送経路を作成し、少なくとも前記転送されたパケットの送信元の転送ノードに対し、以後被認証装置と所定の認証装置との間で送受信される認証用パケットに対し当該転送ノードが適用すべき処理規則を送信することが好ましい。
【００２７】
［形態３］
前記認証装置は、前記制御サーバに対し、前記認証結果の通知として、アクセスポリシまたはアクセスコントロールリストを送信し、
前記制御サーバは、前記アクセスポリシまたはアクセスコントロールリストを用いて、前記転送装置から問い合わせを受けたパケットに対し第１の転送経路を作成するか否か判断することが好ましい。
【００２８】
［形態４］
前記認証装置は、認証サーバと、前記被認証装置から受信したメッセージに基づいて前記被認証装置に代わって認証サーバとの認証手順を実行するオーセンティケータとにより構成されていることが好ましい。
【００２９】
［形態５］
前記第２の転送経路は、制御サーバを経由する経路であり、
前記制御サーバも、前記認証用パケットの中継に参加することが好ましい。
【００３０】
［形態６］
前記認証装置は、前記被認証装置から接続解除要求を受けた場合に、前記制御サーバに通知し、
前記通知を受けた制御サーバは、前記第１の転送経路上の転送ノードに対し、前記被認証装置からのパケットについて作成した第１の転送経路に対応する処理規則の削除を指示することが好ましい。
【００３１】
［形態７］
前記第２の視点に記載の認証装置のとおり。
【００３２】
［形態８］
前記第３の視点に記載の制御サーバのとおり。
【００３３】
［形態９］
前記第４の視点に記載の通信方法のとおり。
【００３４】
［形態１０］
前記第５の視点に記載の各プログラムのとおり。
【００３５】
なお、上記第２〜第５の視点に記載の認証装置、制御サーバ、通信方法およびプログラムは、形態１の通信システムと同様に、形態２〜形態６の内容に展開することが可能である。
【００３６】
［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図２は、本発明の第１の実施形態の構成を表したブロック図である。図２を参照すると、所定のネットワークトポロジに従って配置され、被認証装置（Ｓｕｐｐｌｉｃａｎｔ）１００とノード６００とを接続する複数の転送ノード２００Ａ、２００Ｂと、これら転送ノード２００Ａ、２００Ｂを制御する制御サーバ３００と、制御サーバ３００にそれぞれ接続されたオーセンティケータ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）３１０および認証サーバ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｅｒｖｅｒ）３２０が示されている。なお、図１の例では、２つの転送ノード２００Ａ、２００Ｂを示しているが、これは説明を簡単にするためであり、転送ノードの数は２つに限られるものではない。
【００３７】
図３は、転送ノード２００Ａ、２００Ｂ（以下、転送ノードを特に区別しないときは転送ノード２００とする。）の構成を表したブロック図である。図３を参照すると、転送ノード２００は、専用のセキュアなチャネル５００を介して制御サーバ３００と通信するサーバ通信部２０１と、処理規則記憶部２０３に記憶された処理規則を参照して、受信パケットの転送や、制御サーバ３００に対し処理規則が不明である受信パケットを転送し転送経路の作成や処理規則の設定等を要求する制御部２０２とを備えて構成される。
【００３８】
図４は、上記転送ノード２００の処理規則記憶部２０３に記憶された処理規則の構成例であり、非特許文献１、２のオープンフローテーブルに登録されるフローエントリと同等のものである。このような処理規則を用いる場合、転送ノード２００は、処理規則記憶部２０３から、受信したパケットのヘッダと適合するＦｌｏｗＫｅｙを持つエントリを検索し、Ａｃｔｉｏｎｓフィールド（可変長）に記載されたアクションを実行する。また、オープンフローにおけるフローエントリと同様に、個々の処理規則に有効期限を設けることもできる。また、処理内容として、非特許文献１、２のオープンフローと同等の内容とする場合、アクションとして図２３の「ＯＵＴＰＵＴ」を設定することで、指定したインタフェース（ポート）から受信パケットを転送させることが可能である。その他、図２３の各種アクションを設定し、あるいは、アクションフィールドを空欄とすることで、特定のフローのＭＡＣアドレスやＩＰアドレスを変更したり、特定のフローを廃棄（ｄｒｏｐ）させることが可能である。
【００３９】
例えば、宛先アドレス（ＩＰ  ＤＡ）が特定のノード（図１のオーセンティケータ３１０やノード６００など）であるパケットについて、転送経路上の次ホップへの転送アクションを実行させる処理規則を各転送ノード２００にそれぞれ設定することで、当該特定のノードへのパケット転送が実現される。同様に、当該特定のノード（図１のオーセンティケータ３１０やノード６００など）からユーザ（図１の非認証装置１００）へ向けられたパケットについて、反対方向への転送アクションを実行させる処理規則を転送ノード２００にそれぞれ設定することで、逆方向のパケット転送が実現される。
【００４０】
図５は、制御サーバ３００の構成を表したブロック図である。図５を参照すると、制御サーバ３００は、チャネル５００を介して各転送ノード２００からの処理規則の設定要求を受け付けて、処理規則を送信することにより処理規則を設定する処理規則要求処理部３０２と、ネットワークトポロジ記憶部３０４に記憶されたネットワークトポロジおよびアクセス制御情報管理部３０５に記憶されたアクセス制御情報を参照し、経路設定要求を受けたパケットの転送経路を計算し、当該転送経路に対応する処理規則を作成する経路計算部３０１と、前記作成された転送経路情報を記録する経路情報記録部３０３とを備えて構成される。また、経路計算部３０１は、ＥＡＰｏＬ  Ｓｔａｒｔフレームを含んだパケットについては、被認証装置１００からオーセンティケータ３１０に到る転送経路を実現する処理規則を作成する。なお、これら制御サーバ３００の経路計算部３０１や処理規則要求処理部３０２は、制御サーバ３００を構成するコンピュータにそれぞれに該当する処理を実行させるコンピュータプログラムにより実現することもできる。
【００４１】
オーセンティケータ３１０は、被認証装置１００と認証サーバ３２０との間の認証メッセージのヘッダ等を付け替えて、中継する処理を行う装置である。例えば、認証サーバ３２０がＩＥＥＥ８０２．１ｘに対応したＲＡＤＩＵＳ（またはＤＩＡＭＥＴＥＲ）サーバである場合、ＩＥＥＥ８０２．１ｘに対応したスイッチを用いることができる。
【００４２】
認証サーバ３２０は、ユーザ毎に予め設定されたパスワード等の認証情報およびアクセス制御情報を保持し（図６参照）、認証手続きを実行し、認証に成功した場合、制御サーバ３００に対し、アクセス制御情報を通知する。アクセス制御情報については、後に詳述する。
【００４３】
また、認証サーバ３２０は、ユーザから接続解除要求を受け付けると、制御サーバ３００に対し、その旨を通知する。前記通知を受けた制御サーバ３００は、アクセス制御情報管理部３０５に保持されている、該当ユーザのアクセス制御情報を削除するとともに、経路情報記録部３０３に記録されている該当ユーザの転送経路を抽出し、当該転送経路上にある転送ノード２００に対して、当該転送経路に対応する処理規則の削除を指示する。以上により、認証前の状態に戻ることになる。
【００４４】
なお、認証サーバ３２０より通知されるアクセス制御情報とは、ＭＡＣアドレス等により特定されるユーザ毎に、接続を許可するサブネットサービスやポート群を記述したものであり、例えば、アクセスポリシやアクセスコントロールリスト（ＡＣＬ）の形態を採ることができる。例えば、図６に示すように、特定ホストとの通信の許可／禁止、特定ポートとの通信の許可／禁止、特定サブネットとの通信の許可／禁止、外部ネットワークとの通信の許可／禁止といった内容を定めた種々のアクセスポリシが設定される。制御サーバ３００は、アクセス制御情報を参照して、経路設定要求を受けているパケットの転送経路を作成してよいかどうかを判定する。
【００４５】
続いて、本実施形態の動作について図面を参照して詳細に説明する。なお、以下の説明では、各転送ノード２００Ａ、２００Ｂに、ＥＡＰｏＬフレームをオーセンティケータ３１０に転送する処理規則が予め設定されていないものとする。ＥＡＰｏＬフレームをオーセンティケータ３１０に転送する処理規則が予め設定されている場合については、以下説明する処理規則の登録までの手順を省略することができる。また、以下の説明では、被認証装置１００が認証を受けて、ノード６００に対しパケットを送信するものとして説明する。
【００４６】
図７は、被認証装置１００が、ＥＡＰｏＬ  Ｓｔａｒｔフレームを含むパケットを送信した状態を示している。この時点では、転送ノード２００Ａに、ＥＡＰｏＬ  Ｓｔａｒｔフレームを含んだパケットとマッチする処理規則が設定されていない。
【００４７】
このため、前記パケットを受信した転送ノード２００Ａは、図８に示すように、制御サーバ３００に対して、当該ＥＡＰｏＬ  Ｓｔａｒｔフレームを含んだパケットを送信し、経路の作成と、処理規則の設定を要求する。
【００４８】
処理規則の設定要求を受けた制御サーバ３００は、前記パケットのＭＡＣフレームのＴＹＰＥフィールドの値から、ＥＡＰｏＬ  Ｓｔａｒｔフレームを含んだパケットであると判別し、被認証装置１００からオーセンティケータ３１０に到る転送経路を実現する処理規則を作成する。
【００４９】
ここでは、図８の被認証装置１００、転送ノード２００Ａ、オーセンティケータ３１０の順の転送経路（第２の転送経路；図１参照）が作成されるものとする。このとき、制御サーバ３００は、図８の左側の転送ノード２００Ａに対し、被認証装置１００からＥＡＰｏＬフレーム（ＴＹＰＥフィールド＝８８８Ｅ）を含んだパケットを受信した場合、オーセンティケータ３１０に接続されたポートから転送するアクションを定めた処理規則と、オーセンティケータ３１０から被認証装置１００宛てのＥＡＰｏＬフレーム（ＴＹＰＥフィールド＝８８８Ｅ）を含んだパケットを受信した場合、被認証装置１００に宛てて（図４のＥｔｈｅｒ  ＤＡを用いる）転送するアクションを定めた処理規則を作成する。
【００５０】
なお、図８の転送ノード２００Ａとオーセンティケータ３１０とが直接接続されているものとしているが、両者の間に、第３の転送ノードが配置されていてもよい。この場合、当該第３の転送ノードにも、両者を中継する処理規則を設定することにより、ＥＡＰｏＬフレームを含んだパケットを中継させることができる。
【００５１】
図９に示すように、制御サーバ３００が、上記のようにして作成した処理規則を転送ノード２００Ａに送信すると、転送ノード２００Ａは、受信した処理規則を処理規則記憶部２０３に登録するとともに、被認証装置１００から受信したＥＡＰｏＬ  Ｓｔａｒｔフレームを含んだパケットをオーセンティケータ３１０に転送する。
【００５２】
以降、図１０に示すように、処理規則が登録された転送ノード２００Ａを介して、被認証装置１００とオーセンティケータ３１０、および、オーセンティケータ３１０と認証サーバ３２０の間で、認証手続きが実行される。
【００５３】
認証の手順としては、種々の方式を採用することが可能であるが、ＯＴＰ（Ｏｎｅ  Ｔｉｍｅ  Ｐａｓｓｗｏｒｄ）を用いてＲＡＤＩＵＳサーバとの認証に成功した例を挙げると以下のとおりとなる。
被認証装置１００＝＞オーセンティケータ３１０  :
ＥＡＰｏＬ−Ｓｔａｒｔ
オーセンティケータ３１０＝＞被認証装置１００  ：
ＥＡＰ−ＲＥＱＵＥＳＴ／Ｉｄｅｎｔｉｔｙ
被認証装置１００＝＞オーセンティケータ３１０  ：
ＥＡＰ−Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙ
オーセンティケータ３１０＝＞認証サーバ３２０  ：
ＲＡＤＩＵＳ  Ａｃｃｅｓｓ−ＲＥＱＵＥＳＴ
認証サーバ３２０＝＞オーセンティケータ３１０  ：
ＲＡＤＩＵＳ  Ａｃｃｅｓｓ−Ｃｈａｌｅｎｇｅ
オーセンティケータ３１０＝＞被認証装置１００  ：
ＥＡＰ−ＲＥＱＵＥＳＴ／ＯＴＰ
被認証装置１００＝＞オーセンティケータ３１０  ：
ＥＡＰ−Ｒｅｓｐｏｎｓｅ／ＯＴＰ
オーセンティケータ３１０＝＞認証サーバ３２０  ：
ＲＡＤＩＵＳ  Ａｃｃｅｓｓ−ＲＥＱＵＥＳＴ
認証サーバ３２０＝＞オーセンティケータ３１０  ：
ＲＡＤＩＵＳ  Ａｃｃｅｓｓ−Ａｃｃｅｐｔ
オーセンティケータ３１０＝＞被認証装置１００  ：
ＥＡＰ−Ｓｕｃｃｅｓｓ
【００５４】
認証に成功した場合、認証サーバ３２０は、図１１に示すように、制御サーバ３００に対し、該当するユーザのアクセス制御情報を通知する。通知されたアクセス制御情報は、認証サーバ３２０のアクセス制御情報管理部３０５にて保持される。
【００５５】
図１２は、前記認証に成功した被認証装置１００が、目的とするノード６００に宛ててパケットを送信した状態を示している。この時点では、転送ノード２００Ａに、ノード６００に宛てられたパケットとマッチする処理規則が設定されていない（転送ノード２００Ｂも同様。）。
【００５６】
このため、前記パケットを受信した転送ノード２００Ａは、図１３に示すように、制御サーバ３００に対して、当該パケットを送信し、経路の作成と、処理規則の設定を要求する。
【００５７】
処理規則の設定要求を受けた制御サーバ３００は、まず、アクセス制御情報管理部３０５に保持されているアクセス制御情報を参照して、送信元のユーザがノード６００と通信する権限を有しているか否かを確認する。ここで、送信元のユーザがノード６００と通信する権限を有していない場合、以降の転送経路の作成は行われず、当該パケットは破棄される。
【００５８】
一方、前記アクセス制御情報を確認した結果、送信元のユーザがノード６００と通信する権限を有していることが確認された場合、制御サーバ３００は、ネットワークトポロジを参照して、被認証装置１００からノード６００に到る転送経路を算出し、当該転送経路を実現するために各転送ノード２００Ａ、２００Ｂに設定すべき処理規則を作成する。
【００５９】
ここでは、被認証装置１００から、転送ノード２００Ａ、転送ノード２００Ｂを経て、ノード６００に到る転送経路（第２の転送経路）が算出されたものとする。このとき、制御サーバ３００は、図１３の左側の転送ノード２００Ａに対し、被認証装置１００（が接続されているポート）からノード６００に宛てたパケットを受信した場合、図１３の右側の転送ノード２００Ｂと接続されたポートから転送するアクションを定めた処理規則と、ノード６００から被認証装置１００に宛てられたパケットを図１３の右側の転送ノード２００Ｂ（が接続されているポート）から受信した場合、被認証装置１００に宛てて（図４のＥｔｈｅｒ  ＤＡ）転送するアクションを定めた処理規則を作成する。
【００６０】
図１３の右側の転送ノード２００Ｂについても同様に、制御サーバ３００は、被認証装置１００がノード６００に宛てたパケットを図１３の左側の転送ノード２００Ａ（が接続されているポート）から受信した場合、ノード６００と接続されたポートから転送するアクションを定めた処理規則と、ノード６００（が接続されているポート）から被認証装置１００に宛てられたパケットを受信した場合、図１３の左側の転送ノード２００Ａと接続されたポートから転送するアクションを定めた処理規則を作成する。
【００６１】
図１４に示すように、制御サーバ３００が、上記のようにして作成した処理規則を転送ノード２００Ａ、２００Ｂに送信すると、転送ノード２００Ａは、受信した処理規則を処理規則記憶部２０３に登録するとともに、被認証装置１００から受信したパケットを転送ノード２００Ｂに転送する。転送ノード２００Ｂも同様に、受信した処理規則を処理規則記憶部２０３に登録するとともに、転送ノード２００Ａから受信したパケットをノード６００に転送する。
【００６２】
なお、図１４の例では、制御サーバ３００が、転送経路上の転送ノード２００Ａ、２００Ｂに同時に処理規則を送信しているが、処理規則の設定要求を受けた転送ノード２００Ａだけに処理規則を送信するものとしてもよい。この場合、当該パケットを受信した転送ノード２００Ｂにおいて、再度制御サーバ３００に対し、処理規則の設定要求が行われることになる。
【００６３】
上記のように、転送経路上の転送ノード２００Ａ、２００Ｂに処理規則が設定されると、図１５に示すように、転送ノード２００Ａ、２００Ｂを介して、被認証装置１００とノード６００間でパケット通信が可能な状態となる。
【００６４】
その後、被認証装置１００が、ＥＡＰＯＬ−Ｌｏｇｏｆｆフレームを含んだパケットを送信すると、当該パケットは、転送ノード２００Ａおよびオーセンティケータ３１０経由で認証サーバ３２０に到達する。ＥＡＰＯＬ−Ｌｏｇｏｆｆフレームを受信した認証サーバ３２０は、制御サーバ３００に対し接続解除を通知する。前記通知を受けた制御サーバ３００は、該当する転送経路上の転送ノード２００Ａ、２００Ｂに対し、該当する処理規則の削除を指示する。以上により、その後のパケット通信は遮断される。
【００６５】
以上のように、本実施形態によれば、転送ノード２００ＡをＥＡＰｏＬ通過スイッチ等と同等に動作させるとともに、認証成功後は、アクセス制御情報に準じた転送動作を行わせることが可能になる。
【００６６】
なお、本実施形態では、被認証装置１００が、転送ノード２００Ａに最初にパケットを送信するものとして説明したが、被認証装置１００が、転送ノード２００Ｂに接続され、パケットを送信した場合においても、転送ノード２００Ｂ、転送ノード２００Ａ、オーセンティケータ３１０の順で結ばれた転送経路（別の第２の転送経路）を設定し、認証を行うことが可能である。つまり、本発明によれば、任意の転送ノード２００を、図２１に示したＥＡＰｏＬ通過スイッチ化（図２１のＥＡＰｏＬ通過スイッチ９０４参照）し、オーセンティケータ３１０との間にパスを設定することが可能であり、また、これら任意の転送ノード２００を用いて、目的ノードとの転送経路も実現することが可能になる。
【００６７】
［第２の実施形態］
続いて、本発明の第２の実施形態について図面を参照して詳細に説明する。図１６は、本発明の第２の実施形態の構成を表したブロック図である。図２に表した第１の実施形態との相違点は、転送ノード２００Ａと、オーセンティケータ３１０が直接接続されていない点である。本実施形態は、認証パケットであるとの情報が含まれたパケットの転送経路が異なるのみで、その他構成や動作は第１の実施形態と同様であるので、以下の相違点を中心に説明する。
【００６８】
認証パケットであるとの情報が含まれたパケットを受信した転送ノード２００Ａが、制御サーバ３００に対して、当該パケットを送信し、経路の作成と、処理規則の設定を要求するまでの動作は、上記第１の実施形態と同様である。
【００６９】
前記処理規則の設定要求を受けた制御サーバ３００は、図１７に示すように、被認証装置１００、転送ノード２００Ａ、制御サーバ３００の順で、オーセンティケータ３１０に到る転送経路を作成し、当該転送経路を実現する処理規則を作成する。
【００７０】
即ち、制御サーバ３００は、図１７の左側の転送ノード２００Ａに対し、被認証装置１００から前記認証パケットであるとの情報が含まれたパケットを受信した場合、制御サーバ３００に転送するアクションを定めた処理規則と、制御サーバ３００から前記被認証装置１００の認証パケットであるとの情報が含まれたパケットを受信した場合、被認証装置１００に宛てて（図４のＥｔｈｅｒ  ＤＡ）転送するアクションを定めた処理規則を作成する。また、制御サーバ３００は、オーセンティケータ３１０と、転送ノード２００Ａとの間で送受信される前記認証パケットであるとの情報が含まれたパケットを中継する動作を行う。
【００７１】
認証に成功した後の動作は、上記した第１の実施形態と同等であるので、以下の説明は省略する。
【００７２】
［第３の実施形態］
本発明は、その他の種々のネットワーク構成にも対応することが可能である。例えば、図１８に示すＷｉＭＡＸネットワークにおける認証系と同等の動作をするネットワークも構成可能である。
【００７３】
図１９は、本発明を移動通信ネットワークに適用した第３の実施形態の構成を表した図である。図１９の被認証装置１０１は、移動端末であり、転送ノード２００以下の構成を用いて、基地局装置７００を介してネットワーク８００に接続しようする場合の認証処理を行うことが可能である。この場合も、転送ノード２００は、認証パケットであるとの情報が含まれたパケットをオーセンティケータ３１０に転送する。被認証装置１０１が、認証サーバ３２０との対話により、認証に成功すると、制御サーバ３００にアクセス制御情報が通知される。
【００７４】
その後、制御サーバ３００が、転送ノード２００にネットワーク８００へのパケット転送を許可する処理規則を設定することで、被認証装置１０１は、ネットワーク８００にアクセスすることが可能になる。またその際に、認証サーバ３２０または制御サーバ３００に、図１８の認証サーバ（ＡＡＡサーバ）９０７と同様に、認証（ａｕｔｈｅｎｔｉｃａｔｉｏｎ）、認可（ａｕｔｈｏｒｉｚａｔｉｏｎ）、 課金（ａｃｃｏｕｎｔｉｎｇ）を行わせるようにしてもよい。
【００７５】
以上、本発明の好適な実施形態およびその具体的な動作を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。
【００７６】
例えば、上記した実施形態では、転送ノードが１つまたは２つの例を挙げて説明したが、転送ノードの数は、特に限定するものではない。それぞれの転送ノードに処理規則を設定しておくことで、転送ノードを特定の認証フローだけをオーセンティケータに向けて転送するスイッチ相当の動作はもちろん、アクセス制御情報に従った複雑なフロー制御を行うスイッチ相当の動作を行わせることができる。
【００７７】
また例えば、上記した実施形態では、制御サーバ３００と認証サーバ３２０が、それぞれ独立しているものとして説明したが、これらを統合した形態も採用可能である。
【００７８】
本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【符号の説明】
【００７９】
１００  被認証装置（Ｓｕｐｐｌｉｃａｎｔ）
１０１  被認証装置（移動端末／Ｓｕｐｐｌｉｃａｎｔ）
２００、２００Ａ、２００Ｂ  転送ノード
２０１  サーバ通信部
２０２  制御部
２０３  処理規則記憶部
３００  制御サーバ
３０１  経路計算部
３０２  処理規則要求処理部
３０３  経路情報記憶部
３０４  ネットワークトポロジ記憶部
３０５  アクセス制御情報管理部
３１０、９０１Ａ  オーセンティケータ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）
３２０、９００  認証サーバ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｅｒｖｅｒ）
３３０  認証装置
５００  チャネル
６００、９０３  ノード
７００  基地局装置
８００  ネットワーク
９０１  スイッチ＋オーセンティケータ
９０２  スイッチ
９０４  ＥＡＰｏＬ通過スイッチ
９０５  基地局
９０６  アクセスサービスゲートウェイ
９０７  認証サーバ（ＡＡＡサーバ）
【図１】
2011081104.tif 000003
【図２】
2011081104.tif 000004
【図３】
2011081104.tif 000005
【図４】
2011081104.tif 000006
【図５】
2011081104.tif 000007
【図６】
2011081104.tif 000008
【図７】
2011081104.tif 000009
【図８】
2011081104.tif 000010
【図９】
2011081104.tif 000011
【図１０】
2011081104.tif 000012
【図１１】
2011081104.tif 000013
【図１２】
2011081104.tif 000014
【図１３】
2011081104.tif 000015
【図１４】
2011081104.tif 000016
【図１５】
2011081104.tif 000017
【図１６】
2011081104.tif 000018
【図１７】
2011081104.tif 000019
【図１８】
2011081104.tif 000020
【図１９】
2011081104.tif 000021
【図２０】
2011081104.tif 000022
【図２１】
2011081104.tif 000023
【図２２】
2011081104.tif 000024
【図２３】
2011081104.tif 000025
【国際調査報告】
2011081104.tif 000026
2011081104.tif 000027
2011081104.tif 000028
2011081104.tif 000029
2011081104.tif 000030
2011081104.tif 000031
2011081104.tif 000032
2011081104.tif 000033
2011081104.tif 000034
2011081104.tif 000035
2011081104.tif 000036
2011081104.tif 000037