(57)【要約】【課題】無線回線を利用した情報通信において、ユーザ利便性を確保しながら、高いセキュリティを実現することができる。【解決手段】クライアント端末認証システム１では、クライアント端末１０が、トンネルＴ１確立後に、第２ＡＰ８Ｂ間との無線通信を介して、ネットワークにアクセスする場合、認証サーバ３によって付与されたＩＤをアウターヘッダに含めた通信経路確立要求を、アクセス制御装置５Ｂに送信し、アクセス制御装置５Ｂが、通信経路確立要求を受信した場合、該受信した通信経路確立要求のアウターヘッダに含まれるＩＤを、アクセス制御管理装置４に問い合わせ、アクセス制御管理装置４が、アクセス制御リストのＩＤと問い合わせがあったＩＤとが一致した場合、アクセス制御装置５Ｂに対し、クライアント端末１０とｖＶＰＮ−ＧＷ７との間に第２ＡＰ８Ｂを含む新たなトンネルＴ２を流れるパケットの通過を許可する。【選択図】図１
2018029233.tif 000002
【特許請求の範囲】
【請求項１】
アクセスポイント間との無線通信によりネットワークに接続するクライアント端末を認証し、前記クライアント端末による前記ネットワークへのアクセスを許可するクライアント端末認証システムであって、
第１のアクセスポイント間との無線通信を介した前記クライアント端末からのアドレス割当要求を受信してアドレス認証を実行してアドレス認証に成功した場合には前記クライアント端末にアドレスを送信するアドレス割当サーバと、
前記アドレスを割り当てられた前記クライアント端末が送信する証明書を受信して当該証明書の認証を実行し、前記証明書の認証に成功した場合に前記クライアント端末による前記ネットワークへのアクセスを許可し、前記アドレス割当サーバを介して、前記クライアント端末に対応するＩＤ及びパスワードを前記クライアント端末に返却する認証サーバと、
前記認証サーバによってアクセスが許可されたクライアント端末に割り当てられたゲートウェイと、前記第１のアクセスポイントとの間のアクセスを制御し、前記クライアント端末と該ゲートウェイとの間の前記第１のアクセスポイントを含む第１の通信経路を流れるパケットを通過させる第１のアクセス制御装置と、
前記第１のアクセスポイントとは異なる第２のアクセスポイントと前記ゲートウェイとの間のアクセスを制御し、前記第１の通信経路の確立後に、前記クライアント端末から、前記第２のアクセスポイント間との無線通信を介して、前記クライアント端末のＩＤをアウターヘッダに含めた通信経路確立要求を受信した場合、該受信した通信経路確立要求のアウターヘッダに含まれるＩＤを問い合わせ先に問い合わせる第２のアクセス制御装置と、
前記第１のアクセス制御装置に前記第１の通信経路を流れるパケットの通過を許可するとともに、前記認証サーバによってアクセスが許可されたクライアント端末のＩＤと該クライアント端末が接続するアクセスポイントのアドレスと前記クライアント端末の送信先として割り当てられたゲートウェイの送信先アドレスとをアクセス制御装置の識別情報に対応付けたアクセス制御リストを記憶し、前記第２のアクセス制御装置からＩＤの問い合わせがあった場合であって問い合わせがあったＩＤを前記アクセス制御リストから検索した場合には、前記第２のアクセス制御装置に対し、前記クライアント端末と該クライアント端末に割り当てられたゲートウェイとの間の前記第２のアクセスポイントを含む第２の通信経路を流れるパケットの通過を許可するアクセス制御管理装置と、
を有することを特徴とするクライアント端末認証システム。
【請求項２】
前記アドレス割当サーバは、前記アクセス制御管理装置に対し、前記認証サーバによってアクセスが許可されたクライアント端末のＩＤと、該クライアントと無線通信を行う前記第１のアクセスポイントのアドレスと、該クライアント端末に割り当てられた送信先のゲートウェイのアドレスとを、前記第１のアクセス制御装置の識別情報に対応付けて前記アクセス制御リストに設定する依頼を送信することを特徴とする請求項１に記載のクライアント端末認証システム。
【請求項３】
前記アクセス制御管理装置は、前記第２のアクセス制御装置から前記問い合わせがあったＩＤを検索した場合、問い合わせ内容に応じて前記アクセス制御リストを更新し、前記第２のアクセス制御装置に、前記通信経路確立要求の前記ゲートウェイへの通過を許可することを特徴とする請求項１または２に記載のクライアント端末認証システム。
【請求項４】
前記ゲートウェイは、前記通信経路確立要求を送信したクライアント端末を認証できた場合には該クライアント端末との間において前記第２の通信経路を確立し、前記通信経路確立要求を送信したクライアント端末を認証できない場合には認証不可能であった該クライアント端末のＩＤを前記認証サーバに送信し、
前記認証サーバは、前記ゲートウェイから送信されたクライアント端末のＩＤが前記ゲートウェイにおいて所定回数認証が不可能であった場合には、該所定回数認証が不可能であったクライアント端末のＩＤを前記アドレス割当サーバに通知し、
前記アドレス割当サーバは、前記アクセス制御管理装置に対して、前記所定回数認証が不可能であったクライアント端末のＩＤの前記アクセス制御リストからの削除を依頼し、
前記アクセス制御管理装置は、前記アクセス制御リストから前記所定回数認証が不可能であったクライアント端末のＩＤを削除するとともに、該ＩＤに対応するクライアント端末のアクセス拒否を前記第２のアクセス制御装置に指示することを特徴とする請求項３に記載のクライアント端末認証システム。
【請求項５】
ネットワークに配置されるアドレス割当サーバが、第１のアクセスポイント間との無線通信を介したクライアント端末からのアドレス割当要求に応じてアドレス認証を実行し、アドレス認証に成功した場合には前記クライアント端末にアドレスを送信するアドレス割当工程と、
前記ネットワークに配置される認証サーバが、前記アドレスを割り当てられた前記クライアント端末が送信する証明書を受信して当該証明書の認証を実行し、前記証明書の認証に成功した場合に前記クライアント端末による前記ネットワークへのアクセスを許可し、前記アドレス割当サーバを介して、前記クライアント端末に対応するＩＤ及びパスワードを前記クライアント端末に返却する認証工程と、
前記ネットワークに配置されるアクセス制御管理装置が、前記認証サーバによってアクセスが許可されたクライアント端末と該クライアント端末に割り当てられたゲートウェイとの間の前記第１のアクセスポイントを含む第１の通信経路の確立を制御する工程と、
前記アクセス制御管理装置が、前記認証サーバによってアクセスが許可されたクライアント端末のＩＤと該クライアント端末が接続するアクセスポイントのアドレスと前記クライアント端末の送信先として割り当てられたゲートウェイのアドレスとをアクセス制御装置の識別情報に対応付けたアクセス制御リストを記憶する工程と、
前記ネットワークに配置される第１のアクセス制御装置が、前記クライアント端末に割り当てられたゲートウェイと前記第１のアクセスポイントとの間のアクセスを制御し、前記アクセス制御管理装置の指示に基づいて前記第１の通信経路を流れるパケットを通過させる工程と、
前記クライアント端末が、前記第１の通信経路の確立後に、前記第１のアクセスポイントとは異なる第２のアクセスポイント間との無線通信を介して前記ネットワークにアクセスする場合、前記認証サーバによって付与されたＩＤをアウターヘッダに含めた通信経路確立要求を、前記第２のアクセスポイントを介して、該第２のアクセスポイントと該クライアント端末に割り当てられたゲートウェイとの間のアクセスを制御する第２のアクセス制御装置に送信する工程と、
前記第２のアクセス制御装置が、前記通信経路確立要求を受信した場合、該受信した通信経路確立要求のアウターヘッダに含まれるＩＤを、前記アクセス制御管理装置に問い合わせる工程と、
前記アクセス制御管理装置が、前記アクセス制御リストのＩＤと、問い合わせがあったＩＤとが一致した場合、前記第２のアクセス制御装置に対し、前記クライアント端末と該クライアント端末に割り当てられたゲートウェイとの間に前記第２のアクセスポイントを含む第２の通信経路を流れるパケットの通過を許可する工程と、
を含んだことを特徴とするクライアント端末認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線通信におけるクライアント端末認証システム及びクライアント端末認証方法に関する。
【背景技術】
【０００２】
スマートフォンやタブレット端末等、ユーザが携帯可能な情報通信機器が一般化するとともに、無線通信が利用される場面が拡大している。これに伴い、ユーザが携帯情報端末を用いてＷｉ−Ｆｉ（登録商標）等の無線通信ネットワークから固定通信回線に接続し、多様なサービスを利用することも増えている。
【０００３】
ユーザが情報通信端末を用いて固定通信回線にアクセスする場合は、高いセキュリティを実現するために例えば回線認証等の技術が利用される。回線認証とは、ユーザの情報通信端末を一意に識別する発信者ＩＤ（Identifier）と、ホームゲートウェイ（ＨＧＷ）等に接続される通信回線を一意に識別する回線認証ＩＤと、を用いた認証技術である。回線認証により、ユーザが、契約している回線以外からネットワークにアクセスすることを防止することができる。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】小宮  博美、“［上級］無線ＬＡＮの正しい構築法  第８回  ユーザー認証の機能が不可欠  企業では802.1xが主流に（後編）”、[online]、2006年9月21日、[2016年8月4日検索]、インターネット<URL:http://itpro.nikkeibp.co.jp/article/COLUMN/20060914/248050/>
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、ユーザがＷｉ−Ｆｉ等の無線ネットワークを利用する場合は、ユーザがネットワークに接続しようとする場所を予め特定できず、任意の回線が共用されるため、回線認証の技術を用いて高いセキュリティを実現することはできない。
【０００６】
そこで、ネットワークの末端にアドレス割当サーバを設け、このアドレス割当サーバにおいて簡易認証を実行した後に、上流の認証サーバにおいて、クライアント端末の証明書に基づく認証をさらに行うことで、無線回線を利用した情報通信におけるセキュリティを確保した端末認証システムが提案されている。例えば、クライアント端末を二段階にわたって認証した上で、仮想ｖＶＰＮ−ＧＷでＶＰＮ（Virtual  Private  Network）を構成する手法である。また、例えば、ホームゲートウェイを仮想化してネットワーク側へ配置する構成や、公衆Ｗｉ−ＦｉからｖＣＰＥ（virtual  Customer  Premises  Equipment）に接続する構成にも、このクライアント端末認証システムを適用可能であり、図１９及び図２０は、従来のクライアント端末認証システム１Ｐの構成及び処理の流れを示す図である。
【０００７】
図１９に示すように、従来では、クライアント端末１０Ｐが、Ｗｉ−Ｆｉ−ＡＰ（アクセスポイント）（１）を介して、付加価値装置群または外部ネットワーク（ＮＷ）１００Ｐに接続する場合、まず、ネットワークの末端のサービスポータルサーバ２Ｐが、クライアント端末１０Ｐに対し簡易認証を行ってＩＰアドレスを割り当てる。クライアント端末１０Ｐは、このＩＰアドレスを用いて、上流の認証サーバ３Ｐにクライアント証明書を送付する（図１９の（１）参照）。認証サーバ３Ｐでは、クライアント端末１０Ｐの認証を行い（図１９の（２）参照）、認証に成功した場合には、通信フローの送信先のｖＶＰＮ−ＧＷ７Ｐと認証情報の同期を行う（図１９の（３）参照）とともに、サービスポータルサーバ２２Ｐを介して、クライアント端末１０Ｐに、ＩＤ及びパスワード（ＰＷ）を返却する（図１９の（４）参照）。
【０００８】
続いて、サービスポータルサーバ２Ｐは、通信フローを制御するアクセス制御管理装置４Ｐに、このクライアント端末１０Ｐが接続するＷｉ−Ｆｉ−ＡＰ（１）の送信元アドレス（ＳＡ１）と、クライアント端末１０Ｐに割り当てられた、接続先のｖＶＰＮ−ＧＷ７Ｐの送信先アドレス（ＤＡ１）との、アクセス制御リスト（Access  Control  List：ＡＣＬ）への設定依頼を行う（図１９の（５）参照）。
【０００９】
これに従い、アクセス制御管理装置４Ｐは、ＡＣＬの設定を行う。具体的には、枠Ｃ１に示すように、アクセス制御管理装置４Ｐは、Ｗｉ−Ｆｉ−ＡＰ（１）の送信元アドレス（ＳＡ１）と、接続先のｖＶＰＮ−ＧＷ７Ｐの送信先アドレス（ＤＡ１）とを、ＡＰ（１）と、ｖＶＰＮ−ＧＷ７Ｐとの間のアクセス制御装置（Ａ）のアクセス許可対象として、ＡＣＬ（例えば、テーブルＴＰ）に設定する。
【００１０】
そして、アクセス制御管理装置４Ｐは、ＡＣＬの設定内容にしたがって、アクセス制御装置（Ａ）に、アクセス許可を通知する（図１９の（６）参照）。すなわち、アクセス制御管理装置４Ｐは、アクセス制御装置（Ａ）が、アクセス制御管理装置４Ｐから許可されたクライアント端末１０Ｐに関するパケットを通過させる（図１９の（７）参照）ようアクセス制御を行う。これにともない、クライアント端末１０ＰとｖＶＰＮ−ＧＷ７Ｐとの間でトンネルが確立される（図１９の（８）参照）。なお、振分装置６Ｐは、アクセス制御装置（Ａ）から送信されたパケットを、このパケットの送信先となるｖＶＰＮ−ＧＷ７Ｐに振り分ける機能を有する。
【００１１】
ここで、図２０に示すように、クライアント端末１０Ｐが、ＡＰ（１）近辺から、移動し、アクセス制御装置（Ｂ）に接続するＡＰ（２）（送信元アドレス：ＳＡ２）近辺に移動した場合（図２０の（１）参照）について説明する。
【００１２】
この場合、クライアント端末１０Ｐが、移動後のトンネル確立の要求を、ＡＰ（２）を介してアクセス制御装置（Ｂ）に行う（図２０の（２）参照）。この場合、移動後トンネル確立要求のアウターヘッダには、ＡＰ（２）の送信元アドレス（ＳＡ２）と、送信先のｖＶＰＮ−ＧＷ７のアドレス（ＤＡ１）が含まれる。しかしながら、アクセス制御装置（Ｂ）では、移動後トンネル確立要求のアウターヘッダの組み合わせが、アクセスを許可するアウターヘッダのアドレスの組み合わせ（例えば、図２０の枠Ｃ２参照）に含まれていないため、アクセス許可対象にないと判断し（図２０の（３）参照）、トンネル確立を拒否する（図２０の（４）参照）。
【００１３】
このように、クライアント端末１０Ｐが接続するＡＰが変更した場合、クライアント端末１０の送信パケットのアウターヘッダでは、送信元アドレスが変更してしまうことから、変更したＡＰが接続するアクセス制御装置でアクセスが拒否される。したがって、クライアント端末１０Ｐが再度ｖＶＰＮ−ＧＷ７と接続する場合には、サービスポータルサーバ２Ｐへアクセスして、改めて簡易認証から認証を受ける必要があった（図２０の（５）参照）。
【００１４】
したがって、従来のシステムでは、公衆Ｗｉ−Ｆｉにおいて、クライアント端末１０Ｐの移動によってＡＰ変更があった場合に、クライアント端末１０Ｐが接続先に再アクセスするためには、ユーザは、再度、サービスポータルサーバ２Ｐへアクセスして改めて簡易認証から認証を受ける必要があり、ユーザの利便性に欠けるという問題があった。
【００１５】
本発明は、上記に鑑みてなされたものであって、無線回線を利用した情報通信において、ユーザ利便性を確保しながら、高いセキュリティを実現することができるクライアント端末認証システム及びクライアント端末認証方法を提供することを目的とする。
【課題を解決するための手段】
【００１６】
上述した課題を解決し、目的を達成するために、本発明に係るクライアント端末認証システムは、アクセスポイント間との無線通信によりネットワークに接続するクライアント端末を認証し、クライアント端末によるネットワークへのアクセスを許可するクライアント端末認証システムであって、第１のアクセスポイント間との無線通信を介したクライアント端末からのアドレス割当要求を受信してアドレス認証を実行してアドレス認証に成功した場合にはクライアント端末にアドレスを送信するアドレス割当サーバと、アドレスを割り当てられたクライアント端末が送信する証明書を受信して当該証明書の認証を実行し、証明書の認証に成功した場合にクライアント端末によるネットワークへのアクセスを許可し、アドレス割当サーバを介して、クライアント端末に対応するＩＤ及びパスワードをクライアント端末に返却する認証サーバと、認証サーバによってアクセスが許可されたクライアント端末に割り当てられたゲートウェイと、第１のアクセスポイントとの間のアクセスを制御し、クライアント端末と該ゲートウェイとの間の第１のアクセスポイントを含む第１の通信経路を流れるパケットを通過させる第１のアクセス制御装置と、第１のアクセスポイントとは異なる第２のアクセスポイントとゲートウェイとの間のアクセスを制御し、第１の通信経路の確立後に、クライアント端末から、第２のアクセスポイント間との無線通信を介して、クライアント端末のＩＤをアウターヘッダに含めた通信経路確立要求を受信した場合、該受信した通信経路確立要求のアウターヘッダに含まれるＩＤを問い合わせ先に問い合わせる第２のアクセス制御装置と、第１のアクセス制御装置に第１の通信経路を流れるパケットの通過を許可するとともに、認証サーバによってアクセスが許可されたクライアント端末のＩＤと該クライアント端末が接続するアクセスポイントのアドレスとクライアント端末の送信先として割り当てられたゲートウェイの送信先アドレスとをアクセス制御装置の識別情報に対応付けたアクセス制御リストを記憶し、第２のアクセス制御装置からＩＤの問い合わせがあった場合であって問い合わせがあったＩＤをアクセス制御リストから検索した場合には、第２のアクセス制御装置に対し、クライアント端末と該クライアント端末に割り当てられたゲートウェイとの間の第２のアクセスポイントを含む第２の通信経路を流れるパケットの通過を許可するアクセス制御管理装置と、を有することを特徴とする。
【発明の効果】
【００１７】
本発明によれば、無線回線を利用した情報通信において、ユーザ利便性を確保しながら、高いセキュリティを実現することができる。
【図面の簡単な説明】
【００１８】
【図１】図１は、実施の形態に係るクライアント端末認証システムの構成の一例を説明する図である。
【図２】図２は、図１に示すサービスポータルサーバの構成の一例を示すブロック図である。
【図３】図３は、図１に示す認証サーバの構成の一例を示すブロック図である。
【図４】図４は、図１に示すアクセス制御管理装置の構成の一例を示すブロック図である。
【図５】図５は、図４に示すアクセス制御リストのデータ構成の一例を示す図である。
【図６】図６は、図１に示すアクセス制御装置の構成の一例を示すブロック図である。
【図７】図７は、図６に示すアクセス許可リストのデータ構成の一例を示す図である。
【図８】図８は、図１にｖＶＰＮ−ＧＷの構成の一例を示すブロック図である。
【図９】図９は、実施の形態にかかるクライアント端末認証システムにおけるクライアント端末に対する認証処理の流れを示す図である。
【図１０】図１０は、実施の形態に係るクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立の流れを示す図である。
【図１１】図１１は、図４に示すアクセス制御リストの更新を説明する図である。
【図１２】図１２は、実施の形態に係るクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立の流れを示す図である。
【図１３】図１３は、実施の形態に係るクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立の流れを示す図である。
【図１４】図１４は、図４に示すアクセス制御リストの更新を説明する図である。
【図１５】図１５は、図１に示すクライアント端末認証システムにおけるクライアント端末に対する認証処理の流れを説明するシーケンス図である。
【図１６】図１６は、図１に示すクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立処理の流れを説明するシーケンス図である。
【図１７】図１７は、図１に示すクライアント端末認証システムにおけるクライアント端末移動後のトンネル再確立処理の流れを説明するシーケンス図である。
【図１８】図１８は、プログラムが実行されることにより、クライアント端末認証システムの各装置が実現されるコンピュータの一例を示す図である。
【図１９】図１９は、従来のクライアント端末認証システムの構成及び処理の流れを示す図である。
【図２０】図２０は、従来のクライアント端末認証システムの構成及び処理の流れを示す図である。
【発明を実施するための形態】
【００１９】
以下、図面を参照して、本発明の一実施の形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００２０】
［実施の形態］
実施の形態に係るクライアント端末認証システムについて、クライアント端末認証システム全体の概略構成、クライアント端末認証システムを構成する各装置の概略構成、クライアント端末認証システムにおける処理の流れ及び具体例を説明する。なお、以降で説明するアクセス制御装置、ＡＰ等の台数は、あくまで例示であり、これに限定されるものではない。
【００２１】
［クライアント端末認証システムの構成］
まず、図１を参照して、実施の形態に係るクライアント端末認証システムの構成について説明する。図１は、実施の形態に係るクライアント端末認証システムの構成の一例を説明する図である。
【００２２】
図１に示すように、実施の形態に係るクライアント端末認証システム１は、サービスポータルサーバ２（アドレス割当サーバ）、サービスポータルサーバ２よりもネットワークの上流に位置する認証サーバ３、アクセス制御管理装置４、アクセス制御装置５Ａ，５Ｂ、振分装置６、ｖＶＰＮ−ＧＷ７、及び、クライアント端末１０が無線通信を行う第１アクセスポイント（ＡＰ）８Ａ，第２ＡＰ８Ｂを有する。クライアント端末１０は、第１ＡＰ８Ａ，第２ＡＰ８Ｂ間との無線通信によりネットワークに接続して、該クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７を介して、付加価値装置群または外部ネットワーク１００に接続する。付加価値装置群は、例えば、ｖＶＰＮ−ＧＷ７に接続したクライアント端末１０限定のコンテンツ配信や翻訳等の付加価値を提供する映像配信サーバや翻訳サーバを含む。
【００２３】
クライアント端末１０は、第１ＡＰ８Ａ或いは第２ＡＰ８Ｂとの間で無線通信を行う端末であって、スマートフォンやタブレット端末等、例えば、ユーザが携帯可能な情報通信機器である。クライアント端末１０は、予め、サービスを受けるためのクライアント証明書を保持している。クライアント端末１０は、サービスポータルサーバ２にアドレス認証割当要求を行い、サービスポータルサーバ２から割り当てられたＩＰアドレスを用いて、認証サーバ３にクライアント証明書を送信する。或いは、クライアント端末１０は、ログインＩＤ、パスワードを用いて、認証サーバ３への認証を要求することも可能である。
【００２４】
そして、クライアント端末１０は、認証サーバ３からＩＤ（Identifier）及びパスワード（ＰＷ）を返却された場合、第１ＡＰ８Ａ或いは第２ＡＰ８Ｂに対し、電子証明書を含み、例えばＳＳＬ（Secure  Sockets  Layer）により暗号化されたパケットを、無線通信を介して送信する。このＳＳＬは、ＴＣＰ（Transmission  Control  Protocol）／ＩＰ（Internet  Protocol）ネットワークでデータを暗号化して送受信するプロトコルの一つである。この場合、クライアント端末１０は、第１ＡＰ８Ａ或いは第２ＡＰ８Ｂに対し、パケット中継時に該クライアント端末１０のＩＤをアウターヘッダに含ませて送信させる機能を有する。
【００２５】
そして、クライアント端末１０は、移動やＡＰ故障等によって接続するＡＰを変更した場合には、変更後の第２ＡＰ８Ｂが接続するアクセス制御装置５Ｂに移動後トンネル確立要求を行う。この場合も、クライアント端末１０は、第２ＡＰ８Ｂに対し、パケット中継時に該クライアント端末１０のＩＤを移動後トンネル確立要求のアウターヘッダに含ませて送信させる。
【００２６】
サービスポータルサーバ２は、ネットワークの末端に位置し、各種サービスを受け付ける。このサービスの中には、クライアント端末１０に対する簡易認証、簡易認証後の認証サーバ３への認証要求及び認証後のＩＤ、パスワード（ＰＷ）のクライアント端末１０への返却を含む。そして、サービスポータルサーバ２は、認証結果に基づくアクセス管理を実行するよう、アクセスが許可されたクライアント端末１０をアクセス許可対象として設定する依頼を、アクセス制御管理装置４に行う。
【００２７】
認証サーバ３は、簡易認証後のクライアント端末１０が送信する証明書を受信して該クライアント証明書を用いた認証を実行する。認証サーバ３は、このクライアント証明書を用いて認証に成功した場合、クライアント端末１０のネットワークへのアクセスを許可し、サービスポータルサーバ２を介して、ＩＤ及びパスワードをクライアント端末１０に返却する。また、認証サーバ３は、ｖＶＰＮ−ＧＷ７（後述）との間で、認証情報の同期を行う。なお、認証サーバ３は、クライアント端末１０から送信されたログインＩＤ、パスワードを用いて認証処理を行ってもよい。
【００２８】
アクセス制御管理装置４は、アクセス制御装置５Ａ，５Ｂに対してアクセス制御指示を行うことによって、クライアント端末１０ごとに異なるアクセス制御を行う。アクセス制御に関するアクセス制御リスト（ＡＣＬ）を保持する。このＡＣＬは、認証サーバ３によってアクセスが許可されたクライアント端末１０のＩＤと、該クライアント端末１０と無線通信を行うＡＰのアドレス（ＳＡ）と、クライアント端末１０からの通信フローの送信先アドレス（ＤＡ）とを対応付けたリストである。このＡＣＬに設定する情報は、サービスポータルサーバ２から依頼される。
【００２９】
また、アクセス制御管理装置４は、アクセス制御装置５Ａ，５ＢからＩＤの問い合わせがあった場合、ＡＣＬに、このＩＤと合致するＩＤがあった場合に、問い合わせ元のアクセス制御装置５Ａ，５Ｂに、問い合わせ対象のパケットのアクセスを許可する。
【００３０】
アクセス制御装置５Ａ（第１のアクセス制御装置）は、ｖＶＰＮ−ＧＷ７と第１ＡＰ８Ａとの間のアクセスを制御し、アクセスが許可されたパケットを通過させる。例えば、アクセス制御装置５Ａは、第１ＡＰ８Ａを経路に含み、クライアント端末１０と、該クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７との間のトンネルＴ１を流れるパケットを通過させる。
【００３１】
また、アクセス制御装置５Ｂ（第２のアクセス制御装置）は、ｖＶＰＮ−ＧＷ７と第２ＡＰ８Ｂとの間のアクセスを制御し、アクセスが許可されたパケットを通過させる。例えば、アクセス制御装置５Ｂは、第２ＡＰ８Ｂを経路に含み、クライアント端末１０と、該クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７との間のトンネルＴ２を流れるパケットを通過させる。
【００３２】
そして、アクセス制御装置５Ａは，５Ｂは、該アクセス制御装置５Ａ，５Ｂについてアクセスが許可されていないパケットを受信した場合、該パケットのアウターヘッダ内のＩＤを、アクセス制御管理装置４に問い合わせる。そして、アクセス制御装置５Ａ，５Ｂは、アクセス制御管理装置４から、問い合わせたＩＤに対してアクセス許可を指示された場合には、このパケットを通過させる。
【００３３】
振分装置６は、アクセス制御装置５Ａ，５Ｂから送信されたパケットを、該パケットのアウターヘッダ（後述）に含まれたＤＡを参照し、このパケットの送信先となるｖＶＰＮ−ＧＷ７に振り分ける。
【００３４】
ｖＶＰＮ−ＧＷ７は、ネットワーク側に配置され、クライアント端末１０との間に確立されるトンネルの終端点が設定されている。ｖＶＰＮ−ＧＷ７は、物理サーバの仮想環境下において動作する仮想マシンであり、クライアント端末１０が使用するサービスに応じて付加価値装置群または外部ＮＷ１００に接続する。すなわち、ｖＶＰＮ−ＧＷ７は、付加価値装置群または外部ＮＷ１００にアクセスする際の出入口として機能する。そして、ｖＶＰＮ−ＧＷ７は、複数のクライアント端末１０をグループ化し、グループ単位でカスタマイズされた付加価値を提供する。
【００３５】
ｖＶＰＮ−ＧＷ７は、電子証明書を含みＳＳＬにより暗号化されたパケットを、クライアント端末１０から受信する。そして、ｖＶＰＮ−ＧＷ７は、認証サーバ３との間で同期した認証情報を基に、受信したパケットを復号化する。続いて、ｖＶＰＮ−ＧＷ７は、パケット内の電子証明書を用いて通信相手のクライアント端末１０が真正であることを認証した場合には、このクライアント端末１０との間にトンネル（具体的には、暗号化ＩＰトンネルである。）を確立する。その後、ｖＶＰＮ−ＧＷ７は、このトンネルを介して、クライアント端末１０との間でデータを暗号化して通信を行う。
【００３６】
なお、ｖＶＰＮ−ＧＷ７は、通信相手のクライアント端末１０の認証が不可能であった場合には、認証不可能であったクライアント端末１０のＩＤ，ＳＡを認証サーバ３（後述）に通知する。また、ｖＶＰＮ−ＧＷ７は、物理サーバであってもよい。本実施の形態では、ｖＶＰＮ−ＧＷ７でＶＰＮを構成する方式であるが、ＣＰＥ（Customer  Premises  Equipment）を仮想化したｖＣＰＥを構成してもよい。
【００３７】
第１ＡＰ８Ａ及び第２ＡＰ８Ｂは、無線通信にてクライアント端末１０と接続する中継装置であり、例えば、有線ＬＡＮとの接続機能も有する。第１ＡＰ８Ａは、アクセス制御装置５Ａと接続する。第２ＡＰ８Ｂは、アクセス制御装置５Ｂと接続する。
【００３８】
第１ＡＰ８Ａ及び第２ＡＰ８Ｂは、クライアント端末１０から送信されたパケットについて、ＮＡＰＴ（Network  Address  Port  Translation）によりＩＰアドレスおよびポート番号を変換し、第１ＡＰ８Ａ或いは第２ＡＰ８Ｂのアドレス（送信元アドレス：ＳＡ）、送信先のｖＶＰＮ−ＧＷ７のアドレス（宛先アドレス：ＤＡ）及びクライアント端末１０に付与されたＩＤを含めたアウターヘッダを付して、送信先のｖＶＰＮ−ＧＷ７に送信する。この場合、第１ＡＰ８Ａ及び第２ＡＰ８Ｂが送信するパケットのインナーヘッダのアドレスは、ＡＰでＮＡＰＴされた値であり、同じＡＰに接続しているクライアント群については、同じ値となる。このため、アクセス制御管理装置４及びアクセス制御装置５Ａ，５Ｂは、アウターヘッダの情報を認識することによってアクセス制御を行う。
【００３９】
このクライアント端末認証システム１では、認証サーバ３による認証後、クライアント端末１０について、第１ＡＰ８Ａを含むトンネルＴ１を確立した後に、クライアント端末１０の移動によって（図１の矢印参照）、中継するＡＰが、第２ＡＰ８Ｂに変更した場合、サービスポータルサーバ２及び認証サーバ３よりも下位のアクセス制御管理装置４の制御によって、新たなトンネルＴ２をクライアント端末１０について確立している。
【００４０】
具体的には、アクセス制御装置５Ｂは、ＡＰ移動後のクライアント端末１０から、ＩＤを含む移動後通信確立要求を受けた場合、このＩＤを、アクセス制御管理装置４に問い合わせる。アクセス制御管理装置４は、ＡＣＬのＩＤと、問い合わせがあったＩＤとが一致した場合、このアクセス制御装置５Ｂに対し、クライアント端末１０とｖＶＰＮ−ＧＷ７との間に、移動後のクライアント端末１０が無線通信を行う第２ＡＰ８Ｂを含むトンネルＴ２を流れるパケットの通過を許可する。
【００４１】
したがって、本実施の形態では、クライアント端末１０の移動によって中継するＡＰが変更した場合、再度、サービスポータルサーバ２による簡易認証及び認証サーバ３による認証を受けずとも、変更したＡＰを経路に含むトンネルの確立を可能にしている。そこで、本クライアント端末認証システム１の要部装置について詳細に説明する。
【００４２】
［サービスポータルサーバの構成］
まず、サービスポータルサーバ２の構成について説明する。図２は、図１に示すサービスポータルサーバ２の構成の一例を示すブロック図である。図２に示すように、サービスポータルサーバ２は、通信部２１、記憶部２２及び制御部２３を有する。
【００４３】
通信部２１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースである。
【００４４】
記憶部２２は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、サービスポータルサーバ２を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部２２は、アドレス割当を行ったクライアント端末１０のＩＰアドレス、認証サーバ３による認証が成功したクライアント端末１０のＩＤ，ＳＡ，ＤＡを記憶する。
【００４５】
制御部２３は、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部２３は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路である。制御部２３は、認証受付部２３１、アクセス制御リスト設定依頼部２３２及びＩＤ管理部２３３を有する。
【００４６】
認証受付部２３１は、ＡＰとの間の無線通信を介したクライアント端末１０からのアドレス認証割当要求を受け付けて簡易認証を行い、認証に成功すると、クライアント端末１０にＩＰアドレスを割り当てる。なお、この簡易認証については、特に限定せず、ネットワークに要求されるセキュリティのレベルに応じて認証レベルを設定すればよい。たとえば、認証受付部２３１は、回線認証と同様に、発信者ＩＤと回線認証ＩＤを取得し、登録されたユーザの発信者ＩＤが取得された場合のみＩＰアドレスを発行するように設定してもよい。また、発信者ＩＤのほかに、５ｔｕｐｌｅ、ＳＩＭ、トンネルＩＤ等を用いて簡易認証を実現してもよい。
【００４７】
また、認証受付部２３１は、ＩＰアドレスを用いてネットワークにアクセスしたクライアント端末１０による認証要求を受け付けて、認証サーバ３にクライアント証明書を送信する。また、サービスポータルサーバ２は、認証サーバ３による認証結果（ＩＤ，ＰＷ）をクライアント端末１０に返却する。
【００４８】
アクセス制御リスト設定依頼部２３２は、認証サーバ３による認証結果に基づくアクセス管理を実行するよう、アクセスが許可されたクライアント端末１０をアクセス許可対象として設定する依頼を、アクセス制御管理装置４に行う。
【００４９】
例えば、アクセス制御リスト設定依頼部２３２は、アクセスが許可されたクライアント端末１０のＩＤ、該クライアント端末１０と無線送信を行うＡＰの送信元アドレス（ＳＡ）、クライアント端末１０からの通信フローの送信先アドレス（ＤＡ）とを対応付けた情報の設定をアクセス制御管理装置４に依頼する。この場合、送信元アドレス（ＳＡ）は、クライアント端末１０が無線通信を行うＡＰのアドレスとなり、送信先アドレス（ＤＡ）は、クライアント端末１０が接続するｖＶＰＮ−ＧＷ７のアドレスとなる。また、アクセス制御リスト設定依頼部２３２は、認証サーバ３から、ｖＶＰＮ−ＧＷ７による認証不可能であったクライアント端末１０のＩＤ，ＳＡの削除を指示された場合には、アクセス制御管理装置４に対し、アクセス対象から、このクライアント端末１０のＩＤ，ＳＡの削除を依頼する。
【００５０】
ＩＤ管理部２３３は、認証サーバ３によってネットワークへのアクセスが許可されたクライアント端末１０や認証サーバ３によってアクセス許可対象から削除を指示されたクライアント端末１０のＩＤ等を管理し、クライアント端末１０のＩＤ，ＳＡ，ＤＡを対応付けて記憶部２２に記憶させる。
【００５１】
［認証サーバの構成］
次に、認証サーバ３の構成について説明する。図３は、図１に示す認証サーバ３の構成の一例を示すブロック図である。図３に示すように、認証サーバ３は、通信部３１、認証データベース（ＤＢ）３２及び制御部３３を有する。
【００５２】
通信部３１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースである。
【００５３】
認証ＤＢ３２は、認証サーバ３内部のＤＢ、認証サーバ３と専用回線で接続するＤＢ等である。認証ＤＢ３２は、認証サーバ３に認証局から発行されたサーバ証明書、認証用の鍵等を記憶する。また、認証ＤＢ３２は、認証サーバ３によって認証されたクライアント端末１０に関する認証情報をクライアント端末１０ごとに記憶する。例えば、認証情報とは、クライアント端末のＩＤ，ＳＡ，ＤＡ及び認証の成功の可否である。
【００５４】
制御部３３は、制御部２３と同様に、ＣＰＵやＭＰＵなどの電子回路であり、各種の処理手順などを規定したプログラムに従って種々の処理を実行する。制御部３３は、認証部３３１を有する。
【００５５】
認証部３３１は、通信部３１を介して、ＩＰアドレスを割り当てられたクライアント端末１０が送信する証明書を受信し、該クライアント証明書を用いた認証を実行する。例えば、認証サーバ３は、クライアント端末１０からクライアント証明書を受信すると、クライアント証明書に含まれる電子署名を、公開鍵を用いて復号する。これによって、認証部３３１は、クライアント証明書の真正か否かを判定する。認証部３３１は、クライアント証明書の真正を認証し、認証に成功した場合、このクライアント証明書を送信したクライアント端末１０によるネットワークへのアクセスを許可する。
【００５６】
そして、認証部３３１は、サービスポータルサーバ２を介して、アクセス許可を行ったクライアント端末１０に対応するＩＤ及びパスワードをクライアント端末１０に返却する。また、認証部３３１は、ｖＶＰＮ−ＧＷ７（後述）との間で、認証情報の同期を行う。そして、認証部３３１は、ｖＶＰＮ−ＧＷ７から、認証不可能であったクライアント端末１０のＩＤ，ＳＡの通知があった場合には、認証不可能であったクライアント端末のＩＤ及びＳＡをサービスポータルサーバ２に通知し、アクセス許可が設定されているもののうち、認証不可能であったクライアント端末１０のＩＤ及びＳＡの削除を実行させる。
【００５７】
［アクセス制御管理装置の構成］
次に、アクセス制御管理装置４の構成について説明する。アクセス制御管理装置４は、例えば、ＰＣＲＦ（Policy  and  Charging  Rules  Function）である管理装置である。図４は、図１に示すアクセス制御管理装置４の構成の一例を示すブロック図である。図４に示すように、アクセス制御管理装置４は、通信部４１、記憶部４２及び制御部４３を有する。
【００５８】
通信部４１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースである。
【００５９】
記憶部４２は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、アクセス制御管理装置４を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部４２は、アクセス制御リスト４２１を記憶する。
【００６０】
図５は、図４に示すアクセス制御リスト４２１のデータ構成の一例を示す図である。図５に示すように、アクセス制御リスト４２１は、管理対象のアクセス制御装置５Ａ，５Ｂの識別情報に、各アクセス制御装置５Ａ，５Ｂに対してアクセスを許可するパケットのアウターヘッダのアドレス（ＳＡ，ＤＡ）及びアウターヘッダ内に含まれるクライアント端末１０のＩＤを対応づけたものである。
【００６１】
例えば、アクセス制御リスト４２１の１行目には、アクセス制御装置５Ａに対して、アウターヘッダのアドレス「ＳＡ１」，「ＤＡ１」と、クライアント端末１０のＩＤ「１」，「２」，「３」，「４」とが示されている。したがって、アクセス制御管理装置４は、アクセス制御装置５Ａに対し、アウターヘッダに「ＳＡ１」，「ＤＡ１」，「ＩＤ「１」〜「４」」が含まれるパケットの通過を許可している。
【００６２】
また、アクセス制御リスト４２１の２行目には、アクセス制御装置５Ｂに対して、アウターヘッダのアドレス「ＳＡ２」，「ＤＡ１」と、クライアント端末１０のＩＤ「５」，「６」，「７」，「８」とが示されている。したがって、アクセス制御管理装置４は、アクセス制御装置５Ｂに対し、アウターヘッダに「ＳＡ２」，「ＤＡ１」，「ＩＤ「５」〜「８」」が含まれるパケットの通過を許可している。
【００６３】
制御部４３は、制御部２３と同様に、ＣＰＵやＭＰＵなどの電子回路であり、各種の処理手順などを規定したプログラムに従って種々の処理を実行する。制御部４３は、アクセス制御リスト設定部４３１及びアクセス制御部４３２を有する。
【００６４】
アクセス制御リスト設定部４３１は、サービスポータルサーバ２からアクセス制御リスト４２１への設定依頼を受けて、設定を依頼された情報をアクセス制御リスト４２１に設定する。アクセス制御リスト設定部４３１は、サービスポータルサーバ２による依頼に応じて、アクセス制御リスト４２１に新たにアクセスを許可されたクライアント端末１０のＩＤ，ＳＡ，ＤＡの追加、或いは、削除を行う。或いは、アクセス制御リスト設定部４３１は、アクセス制御部４３２の制御内容に応じて、アクセス制御リスト４２１を更新する。
【００６５】
アクセス制御部４３２は、アクセス制御リスト４２１の設定内容に従い、アクセス制御装置５Ａ，５Ｂへのアクセス制御指示を行うことによって、クライアント端末１０ごとにフローを識別して、クライアント端末１０ごとに異なるアクセス制御を行う。
【００６６】
また、アクセス制御部４３２は、アクセス制御装置５Ａ，５ＢからＩＤの問い合わせがあった場合には、アクセス制御リスト４２１を参照し、問い合わせがあったＩＤと合致するＩＤを検索する。
【００６７】
そして、アクセス制御部４３２は、問い合わせがあったＩＤと合致するＩＤをアクセス制御リスト４２１から検索できた場合には、問い合わせ元のアクセス制御装置５Ａ，５Ｂに、問い合わせ対象のＩＤを有するパケットの通過を許可する。これに伴い、アクセス制御リスト設定部４３１は、アクセス制御リスト４２１を、問い合わせ対象のＩＤを、新たに通過を許可したアクセス制御装置５Ａ，５Ｂに対応させる内容に更新する。なお、アクセス制御部４３２は、問い合わせがあったＩＤと合致するＩＤをアクセス制御リスト４２１から検索できない場合には、問い合わせ元のアクセス制御装置５Ａ，５Ｂに、問い合わせ対象のパケットの通過を許可しない。
【００６８】
［アクセス制御装置の構成］
次に、アクセス制御装置５Ａの構成について説明する。図６は、図１に示すアクセス制御装置５Ａの構成の一例を示すブロック図である。なお、アクセス制御装置５Ｂもアクセス制御装置５Ａと同様の構成を有する。図６に示すように、アクセス制御装置５Ａは、通信部５１、記憶部５２及び制御部５３を有する。
【００６９】
通信部５１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースである。
【００７０】
記憶部５２は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、アクセス制御装置５Ａを動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部５２は、アクセス許可リスト５２１を記憶する。
【００７１】
図７は、図６に示すアクセス許可リスト５２１のデータ構成の一例を示す図である。図７に示すように、アクセス許可リスト５２１は、当該アクセス制御装置５Ａが、アクセス制御管理装置４からアクセスを許可されたパケットの、アウターヘッダのアドレス（ＳＡ１，ＤＡ１）及びアウターヘッダ内に含まれるクライアント端末１０のＩＤ「１」，「２」，「３」，「４」を対応づけたものである。
【００７２】
制御部５３は、制御部２３と同様に、ＣＰＵやＭＰＵなどの電子回路であり、各種の処理手順などを規定したプログラムに従って種々の処理を実行する。制御部５３は、アクセス許可リスト設定部５３１、アクセス処理部５３２及びＩＤ問い合わせ部５３３を有する。
【００７３】
アクセス許可リスト設定部５３１は、アクセス制御管理装置４からのアクセス制御を受けて、アクセス許可リスト５２１に対し、当該アクセス制御装置５Ａがアクセスを許可されたクライアント端末１０のＩＤ，ＳＡ，ＤＡの追加、或いは、削除を行う。
【００７４】
アクセス処理部５３２は、アクセス制御装置５Ａが受信したパケットのアウターヘッダを判別し、アクセス許可リスト５２１に参照して、該パケットの通過の可否を判断する。当該アクセス制御装置５Ａは、第１ＡＰ８Ａと接続するため、アクセス処理部５３２は、クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７と第１ＡＰ８Ａとの間のアクセスを制御し、アクセス制御管理装置４の指示に基づいて、アクセスが許可されたパケットを通過させる。具体的には、アクセス処理部５３２は、アクセス許可リスト５２１に設定されている、「ＳＡ１」，「ＤＡ１」，「ＩＤ１」がアウターヘッダに含まれるパケットの通過を許可する。したがって、アクセス制御装置５Ａは、第１ＡＰ８Ａを経路に含み、クライアント端末１０と、該クライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７との間のトンネルＴ１を通過させる。
【００７５】
ＩＤ問い合わせ部５３３は、このアクセス制御装置５Ａについて通過が許可されていないパケットを受信した場合、該パケットのアウターヘッダ内のＩＤを、アクセス制御管理装置４に問い合わせる。そして、アクセス処理部５３２は、アクセス制御管理装置４から、問い合わせたＩＤに対してアクセス許可を指示された場合には、このパケットを通過させる。また、アクセス許可リスト設定部５３１は、アクセス制御管理装置４から、問い合わせたＩＤに対してアクセス許可を指示された場合には、アクセス許可リスト５２１に対し、アクセスを許可されたＩＤに基づく他の情報を更新する。なお、アクセス処理部５３２は、アクセス制御管理装置４から、問い合わせたＩＤに対してアクセスを許可されなかった場合には、このパケットを遮断する。
【００７６】
［ｖＶＰＮ−ＧＷの構成］
次に、図１に示すｖＶＰＮ−ＧＷ７の構成について説明する。図８は、図１にｖＶＰＮ−ＧＷの構成の一例を示すブロック図である。図８に示すように、ｖＶＰＮ−ＧＷ７は、通信部７１、記憶部７２及び制御部７３を有する。
【００７７】
通信部７１は、ネットワークを介して接続された装置と各種情報を送受信する通信インターフェースであり、実際には、該ｖＶＰＮ−ＧＷ７を稼働させる物理サーバに設けられている。
【００７８】
記憶部７２は、ｖＶＰＮ−ＧＷ７を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどを記憶する。記憶部７２は、クライアント端末１０のグループ化があった場合に、グループごとに、グループに属するクライアント端末１０の識別情報を対応付けて記憶する。そして、記憶部７２は、グループごとに、提供する付加価値機能を示す内容、提供先の付加価値装置の情報等を対応付けて記憶する。記憶部７２は、該ｖＶＰＮ−ＧＷ７を稼働させる物理サーバに設けられたＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現される。
【００７９】
制御部７３は、各種の処理手順などを規定したプログラムに従って種々の処理を実行する。制御部７３は、ｖＶＰＮ−ＧＷ７を稼働させる物理サーバに設けられたＣＰＵやＭＰＵなどの電子回路である。制御部７３は、クライアントグループ管理部７３１、付加価値機能提供部７３２及び認証実行部７３３を有する。
【００８０】
クライアントグループ管理部７３１は、複数の任意のクライアント端末１０をグループ化する。クライアントグループ管理部７３１は、例えば、イベント対応等で一時的にクライアントグループを設定する。クライアントグループ管理部７３１は、グループごとに、グループに属するクライアント端末１０の識別情報を対応付けて記憶部７２に記憶させる。
【００８１】
付加価値機能提供部７３２は、クライアント端末１０が使用するサービスに応じて付加価値装置群に接続し、限定コンテンツや翻訳等の付加価値機能をクライアント端末１０に提供する。付加価値機能提供部７３２は、トラヒックを適切な事業者網や付加価値装置群への振り分けを行う、付加価値機能提供部７３２は、クライアントグループ管理部７３１によってグループ化が行なわれた場合には、グループ単位にカスタマイズした付加価値機能を提供する。
【００８２】
認証実行部７３３は、クライアント端末１０との間で、ＳＳＬ認証を実行し、クライアント端末１０との間にトンネルを確立させる。本実施の形態では、ＳＳＬ認証を使用した暗号化トンネル技術、ＳＳＬ−ＶＰＮ（例えば、Ｏｐｅｎ  ＶＰＮ）が用いられている。例えば、ｖＶＰＮ−ＧＷ７と、クライアント端末１０とが、Ｏｐｅｎ  ＶＰＮ実現のために使用されるＳＳＬ／ＴＬＳ認証を用いた暗号化通信を行う場合には、ｖＶＰＮ−ＧＷ７及びクライアントの双方の認証手続きを行う。そして、この認証技術では、ＴＬＳ−ＡＵＴＨ  ＨＭＡＣ共通鍵（以降、共通鍵とする。）を用いて、全てのＳＳＬ／ＴＬＳハンドシェイクパケットについて、ＨＭＡＣ署名によるパケットの整合性チェックを行う。
【００８３】
［クライアント端末に対する認証処理の流れ］
次に、クライアント端末認証システム１におけるクライアント端末１０に対する認証処理の流れについて説明する。図９は、クライアント端末認証システム１におけるクライアント端末１０に対する認証処理の流れを示す図である。
【００８４】
まず、クライアント端末１０は、第１ＡＰ８Ａ（送信元アドレス：ＳＡ１）との無線通信を介して、サービスポータルサーバ２に対して、ＩＰアドレス割当要求を行い、サービスポータルサーバ２が簡易認証に成功すると、ＩＰアドレスが割り当てられる。クライアント端末１０は、割り当てられたＩＰアドレスを用いてネットワークに接続し、クライアント証明書を認証サーバ３に送付する（図９の（１）参照）。
【００８５】
認証サーバ３は、このクライアント証明書を用いた認証に成功した場合（図９の（２）参照）、クライアント端末１０のネットワークへのアクセスを許可し、サービスポータルサーバ２を介して、ＩＤ「１」及びパスワードをクライアント端末１０に返却する（図９の（３）参照）。また、認証サーバ３は、このクライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７（送信先アドレス：ＤＡ１）との間で、認証情報の同期を行う（図９の（４）参照）。
【００８６】
ここで、サービスポータルサーバ２は、認証サーバ３によってアクセスが許可されたクライアント端末１０に対応する「ＳＡ１」，「ＤＡ１」，「ＩＤ１」のアクセス制御リスト（ＡＣＬ）４２１の設定を、アクセス制御管理装置４に依頼する（図９の（５）参照）。この依頼に応じて、アクセス制御管理装置４は、アクセス制御リスト４２１に、依頼されたクライアント端末１０に対応する「ＳＡ１」，「ＤＡ１」，「ＩＤ１」を設定する（図９の（６）参照）。そして、アクセス制御管理装置４は、送信元アドレス「ＳＡ１」である第１ＡＰ８Ａと接続するアクセス制御装置５Ａに対して、クライアント端末１０とｖＶＰＮ−ＧＷ７との間のアクセスを許可する（図９の（７）参照）。
【００８７】
これによって、アクセス制御装置５Ａは、アウターヘッダに「ＳＡ１」，「ＤＡ１」，「ＩＤ１」を含むパケットの通過を許可する。そして、ｖＶＰＮ−ＧＷ７は、クライアント端末１０から受信したパケットを復号化し、パケット内の電子証明書を用いて通信相手のクライアント端末１０を認証した場合には、このクライアント端末１０との間に第１ＡＰ８Ａを経路に含むトンネルＴ１を確立する（図９の（８）参照）。アクセス制御装置５Ａは、アウターヘッダに「ＳＡ１」，「ＤＡ１」，「ＩＤ１」を含むパケットの通過が許可されているため、このトンネルＴ１を通過させることとなる。その後、ｖＶＰＮ−ＧＷ７とクライアント端末１０とは、このトンネルＴ１を介して、データを暗号化して通信を行う。
【００８８】
このように、クライアント端末認証システム１では、サービスポータルサーバ２がアドレス認証を実行することで、不正なクライアント端末１０がネットワークに通信フローを送ることを防止することができる。また、クライアント端末認証システム１では、アドレス認証に成功したクライアント端末１０の証明書に基づく認証をさらに実行することで、アドレス認証だけ実行する場合と比較してネットワークのセキュリティを向上させることができる。このため、クライアント端末認証システム１は、無線回線を利用した情報通信において高いセキュリティを実現することができる。さらに、クライアント端末認証システム１では、認証サーバ３をサービスポータルサーバ２よりも上流に配置しているため、サービスポータルサーバ２と認証サーバ３とをネットワーク上の同じ位置に配置する場合と比較して、認証サーバを集約的に配置することができる。
【００８９】
［クライアント端末移動後のトンネル再確立の流れ］
次に、クライアント端末認証システム１におけるクライアント端末１０移動後のトンネル再確立の流れについて説明する。図１０，図１２，図１３は、クライアント端末認証システム１におけるクライアント端末１０移動後のトンネル再確立の流れを示す図である。図１１、図１４は、アクセス制御管理装置４が有するアクセス制御リスト４２１の更新を説明する図である。
【００９０】
例えば、クライアント端末１０が、第１ＡＰ８Ａ近辺の位置Ｐ１から移動し、アクセス制御装置５Ｂに接続する第２ＡＰ８Ｂ（送信元アドレス：ＳＡ２）近辺の位置Ｐ２に移動した場合（図１０の（１）参照）について説明する。
【００９１】
この場合、クライアント端末１０は、第２ＡＰ８Ｂへの接続変更に伴い、第２ＡＰ８Ｂを経路に含むトンネルをｖＶＰＮ−ＧＷ７との間で改めて確立できるよう、第２ＡＰ８Ｂが接続するアクセス制御装置５Ｂに移動後トンネル確立要求を行う（図１０の（２）参照）。このとき、クライアント端末１０は、第２ＡＰ８Ｂに対し、パケット中継時に該クライアント端末１０のＩＤ「１」を移動後トンネル確立要求のアウターヘッダに含ませて送信させる。この結果、移動後トンネル確立要求のアウターヘッダには、第２ＡＰ８Ｂの送信元アドレス「ＳＡ２」、送信先のｖＶＰＮ−ＧＷ７のアドレス「ＤＡ１」及びクライアント端末１０のＩＤである「ＩＤ１」が含まれる。
【００９２】
ここで、アクセス制御装置５Ｂには、アウターヘッダに「ＳＡ２」，「ＤＡ１」，「ＩＤ「５」〜「８」」が含まれるパケットの通過を許可している。このため、アクセス制御装置５Ｂは、アウターヘッダに「ＳＡ２」，「ＤＡ１」，「ＩＤ１」を含む移動後トンネル確立要求のパケットは、通過が許可されていないパケットであると判断し、この移動後トンネル確立要求のアウターヘッダ内の「ＩＤ１」，「ＳＡ２」，「ＤＡ１」を、アクセス制御管理装置４に問い合わせる（図１０の（３）参照）。
【００９３】
アクセス制御管理装置４は、アクセス制御リスト４２１を参照し、問い合わせがあった「ＩＤ１」と合致するＩＤを検索する（図１０の（４）参照）。ここで、アクセス制御リスト４２１が、図１１に示すテーブルＴａである場合、問い合わせがあった「ＩＤ１」と合致するＩＤが、アクセス制御装置５Ａに対応する１行目から検索できる。
【００９４】
このように、アクセス制御部４３２は、問い合わせがあったＩＤと合致するＩＤをアクセス制御リスト４２１から検索できた場合（図１０の（５）参照）、問い合わせ元のアクセス制御装置５Ｂに、問い合わせ対象である「ＩＤ１」，「ＳＡ２」，「ＤＡ１」をアウターヘッダに含むパケットのアクセスを許可する（図１０の（６）参照）。
【００９５】
なお、この場合には、アクセス制御管理装置４は、アクセス制御リスト４２１を、問い合わせ対象の「ＩＤ１」を、新たに通過を許可したアクセス制御装置５Ｂに対応させる内容に更新する（図１０の（５）参照）。具体的には、アクセス制御管理装置４は、アクセス制御リスト４２１を、図１１に示すテーブルＴａの１行目から、ＩＤ「１」を削除し、アクセス制御装置５Ｂに対応する２行目のＩＤ欄に「１」を新たに追加したテーブルＴｂに更新する。
【００９６】
そして、アクセス制御装置５Ｂによって、アウターヘッダに「ＳＡ２」，「ＤＡ１」，「ＩＤ１」を含む移動後トンネル確立要求の通過が許可されるため、ｖＶＰＮ−ＧＷ７に、該移動後トンネル確立要求が到達する。ｖＶＰＮ−ＧＷ７は、このクライアント端末１０から受信した移動後トンネル確立要求を復号化し、パケット内の電子証明書を用いて通信相手のクライアント端末１０の認証の可否を判断する（図１２の（８）参照）。そして、ｖＶＰＮ−ＧＷ７は、認証可能と判断した場合には（図１２の（８’）参照）、新たな認証情報の同期を認証サーバ３との間で実行するとともに（図１２の（９）参照）、このクライアント端末１０との間に、アクセス制御装置５Ｂ及び第２ＡＰ８Ｂを経路に含むトンネルＴ２を確立する（図１２の（１０）参照）。
【００９７】
このように、クライアント端末認証システム１では、クライアント端末１０の移動によって中継するＡＰが変更した場合、アクセス制御管理装置４の制御によって、新たなトンネルＴ２をクライアント端末１０について確立している。したがって、クライアント端末認証システム１では、再度、サービスポータルサーバ２による簡易認証及び認証サーバ３による認証を受けずとも、変更したＡＰを経路に含むトンネルを確立することができる。
【００９８】
続いて、悪意あるクライアント端末からの移動後トンネル確立要求を受けた場合について説明する。クライアント端末認証システム１では、図１３に示す流れの処理を行うことによって、悪意あるクライアント端末のアクセスを排除している。
【００９９】
例えば、トンネルＴ１をｖＶＰＮ−ＧＷ７との間に確立したクライアント端末１０−１からＩＤを盗み見した（図１３の（１）参照）クライアント端末１０−２から、第２ＡＰ８Ｂを介して、移動後トンネル確立要求があった場合（図１３の（２）参照）を例に説明する。この場合、悪意あるクライアント端末１０−２が送信する移動後トンネル確立要求には、ネットワークへのアクセスが許可されているクライアント端末１０−１のＩＤ「１」、第２ＡＰ８Ｂの送信元アドレスである「ＳＡ２」及び送信先のｖＶＰＮ−ＧＷ７のアドレス（送信先アドレス）である「ＤＡ１」が、アウターヘッダに含まれている。このため、この移動後トンネル確立要求を受信したアクセス制御装置５Ｂは、図１０の（３）の場合と同様に、この移動後トンネル確立要求のアウターヘッダ内の「ＩＤ１」，「ＳＡ２」，「ＤＡ１」を、アクセス制御管理装置４に問い合わせる（図１３の（３）参照）。
【０１００】
この場合も、アクセス制御管理装置４は、アクセス制御リスト４２１を参照し、問い合わせがあったＩＤと合致するＩＤを検索する（図１３の（４）参照）。ここで、認証が成功し既にアクセス制御リスト４２１にＩＤが設定されているクライアント端末１０−１のＩＤ「１」が、問い合わせ対象であるため、問い合わせ対象のＩＤと合致するＩＤがアクセス制御リスト４２１から検索できる。このため、アクセス制御管理装置４は、問い合わせ元のアクセス制御装置５Ｂに、問い合わせ対象である「ＩＤ１」，「ＳＡ２」，「ＤＡ１」をアウターヘッダに有するパケットのアクセスを許可する（図１３の（５）参照）。これによって、悪意あるクライアント端末１０−２による移動後トンネル確立要求は、アクセス制御装置５Ｂを通過し、ｖＶＰＮ−ＧＷ７に到達する。
【０１０１】
ただし、この悪意あるクライアント端末１０−２から受信した移動後トンネル確立要求内に、真正であるクライアント端末１０−１に対応する電子証明書が含まれていない。このため、ｖＶＰＮ−ＧＷ７は、このクライアント端末１０−２の認証が不可能であると判断する（図１３の（６）参照）。そして、ｖＶＰＮ−ＧＷ７は、自身のアドレス（ＤＡ）を付し、この認証不可能であったクライアント端末１０−２のＩＤ，ＳＡを認証サーバ３に通知する（図１３の（７）参照）。
【０１０２】
この通知を受けて、認証サーバ３は、このＩＤ，ＳＡ，ＤＡについて、ｖＶＰＮ−ＧＷ７にて所定回数認証不可能であったか否かを判断し、所定回数認証が不可能であった場合には、このＩＤは、悪意あるクライアント端末に使用されていると判定する。そして、認証サーバ３は、この所定回数認証が不可能であったＩＤを用いたアクセスを排除するため、このＩＤ，ＳＡ，ＤＡをサービスポータルサーバ２に通知する（図１３の（８）参照）。
【０１０３】
サービスポータルサーバ２は、この所定回数認証が不可能であったＩＤ，ＳＡ，ＤＡのアクセス制御リスト４２１からの削除を依頼する（図１３の（９）参照）。これに応じて、アクセス制御管理装置４は、アクセス制御リスト４２１から、このＩＤ，ＳＡ，ＤＡを削除する（図１３の（１０）参照）。具体的には、アクセス制御管理装置４は、アクセス制御リスト４２１を、図１４に示すテーブルＴｂの２行目から、「ＩＤ１」を削除したテーブルＴｃに更新する。
【０１０４】
そして、アクセス制御管理装置４は、アクセス制御装置５Ｂに対しても、このＩＤ，ＳＡを、アクセス許可対象から削除するよう指示する（図１３の（１１）参照）。言い換えると、アクセス制御管理装置４は、該ＩＤに対応するクライアント端末１０−２のアクセス拒否をアクセス制御装置５Ｂに指示する。この結果、クライアント端末認証システム１においては、悪意あるクライアント端末１０−２のネットワークへのアクセスを排除することができる。
【０１０５】
［クライアント端末に対する認証処理］
次に、図１５を参照して、クライアント端末認証システム１におけるクライアント端末に対する認証処理の処理手順について説明する。図１５は、図１に示すクライアント端末認証システム１におけるクライアント端末に対する認証処理の流れを説明するシーケンス図である。
【０１０６】
まず、クライアント端末１０は、第１ＡＰ８Ａを中継して、サービスポータルサーバ２に対して、ＩＰ割当要求を行う（ステップＳ１及びステップＳ２）。サービスポータルサーバ２は、簡易認証に成功すると、ＩＰアドレスをクライアント端末１０に割り当て、割り当てたＩＰアドレスを、第１ＡＰ８Ａを中継して、クライアント端末１０に送信する（ステップＳ３及びステップＳ４）。
【０１０７】
そして、クライアント端末１０は、割り当てられたＩＰアドレスを用いてネットワークに接続し、第１ＡＰ８Ａを中継して、クライアント証明書を認証サーバ３に送付する（ステップＳ５及びステップＳ６）。認証サーバ３は、このクライアント証明書を用いて認証に成功した場合、クライアント端末１０のネットワークへのアクセスを許可し、サービスポータルサーバ２及び第１ＡＰ８Ａを介して、ＩＤ「１」及びパスワードをクライアント端末１０に返却する（ステップＳ７〜ステップＳ９）。また、認証サーバ３は、このクライアント端末１０に割り当てられたｖＶＰＮ−ＧＷ７との間で、認証情報の同期を行う（ステップＳ１０）。
【０１０８】
ここで、サービスポータルサーバ２は、認証サーバ３によってアクセスが許可されたクライアント端末１０に対応するＳＡ，ＤＡ，ＩＤのアクセス制御リスト４２１の設定を、アクセス制御管理装置４に依頼する（ステップＳ１１）。この依頼に応じて、アクセス制御管理装置４は、アクセス制御リスト４２１に、依頼されたＳＡ，ＤＡ，ＩＤを設定する（ステップＳ１２）。そして、アクセス制御管理装置４は、第１ＡＰ８Ａと接続するアクセス制御装置５Ａに対して、クライアント端末１０とｖＶＰＮ−ＧＷ７との間のアクセスを許可する（ステップＳ１３）。そして、ｖＶＰＮ−ＧＷ７がクライアント端末１０を認証した場合には、ｖＶＰＮ−ＧＷ７と、クライアント端末１０との間に第１ＡＰ８Ａを経路に含むトンネルが確立される（ステップＳ１４）。その後、ｖＶＰＮ−ＧＷ７とクライアント端末１０とは、このトンネルを介して、データを暗号化して通信を行う。
【０１０９】
［クライアント端末移動後のトンネル再確立処理］
次に、図１６及び図１７を参照して、クライアント端末認証システム１におけるクライアント端末１０移動後のトンネル再確立処理の処理手順について説明する。図１６及び図１７は、図１に示すクライアント端末認証システム１におけるクライアント端末１０移動後のトンネル再確立処理の流れを説明するシーケンス図である。
【０１１０】
図１６に示すように、クライアント端末１０が、移動等によって、第２ＡＰ８Ｂに接続を変更する場合、第２ＡＰ８Ｂを経路に含むトンネルをｖＶＰＮ−ＧＷ７との間で改めて確立できるよう、第２ＡＰ８Ｂを介して、アクセス制御装置５Ｂに移動後トンネル確立要求を行う（ステップＳ２１及びステップＳ２２）。このとき、クライアント端末１０は、第２ＡＰ８Ｂに対し、パケット中継時に該クライアント端末１０のＩＤを移動後トンネル確立要求のアウターヘッダに含ませて送信させる。
【０１１１】
アクセス制御装置５Ｂは、受信した移動後トンネル確立要求が、通過が許可されていないパケットであると判断し、この移動後トンネル確立要求のアウターヘッダ内のＩＤ，ＳＡ，ＤＡを、アクセス制御管理装置４に問い合わせる（ステップＳ２３）。
【０１１２】
アクセス制御管理装置４は、アクセス制御リスト４２１を参照し、問い合わせがあったＩＤと合致するＩＤを検索する（ステップＳ２４）。そして、アクセス制御部４３２は、問い合わせがあったＩＤと合致するＩＤをアクセス制御リスト４２１から検索できた場合（ステップＳ２５）、アクセス制御リスト４２１を、問い合わせ対象のＩＤ，ＳＡ，ＤＡがアクセス制御装置５Ｂに対応する内容に更新する（ステップＳ２６）。そして、アクセス制御管理装置４は、問い合わせ元のアクセス制御装置５Ｂに、問い合わせ対象であるＩＤ，ＳＡ，ＤＡをアウターヘッダに含むパケットのアクセスを許可する（ステップＳ２７）。
【０１１３】
この結果、アクセス制御装置５Ｂによって、移動後トンネル確立要求の通過が許可されるため、ｖＶＰＮ−ＧＷ７に、該移動後トンネル確立要求が到達する（ステップＳ２８）。ｖＶＰＮ−ＧＷ７は、受信した移動後トンネル確立要求を復号化し、パケット内の電子証明書を用いて通信相手のクライアント端末１０の認証が可能であるか否かを判断する（ステップＳ２９）。
【０１１４】
そして、ｖＶＰＮ−ＧＷ７は、認証可能と判断した場合には（ステップＳ２９：Ｙｅｓ）新たな認証情報の同期を認証サーバ３との間で実行するとともに、このクライアント端末１０との間に、アクセス制御装置５Ｂ及び第２ＡＰ８Ｂを経路に含むトンネルを確立する（ステップＳ３０）。
【０１１５】
一方、ｖＶＰＮ−ＧＷ７は、認証不可能と判断した場合には（ステップＳ２９：Ｎｏ）、この認証不可能であったクライアント端末１０のＩＤ，ＳＡを認証サーバ３に通知する（ステップＳ３１）。この通知を受けて、認証サーバ３は、このＩＤについて、ｖＶＰＮ−ＧＷ７にて所定回数認証不可能であったか否かを判断する（ステップＳ３２）。認証サーバ３は、このＩＤについて、ｖＶＰＮ−ＧＷ７にて所定回数認証不可能でないと判断した場合（ステップＳ３２：Ｎｏ）、認証不可能ＩＤの通知を待つ。
【０１１６】
これに対し、認証サーバ３は、このＩＤについて、ｖＶＰＮ−ＧＷ７にて所定回数認証不可能であったと判断した場合（ステップＳ３２：Ｙｅｓ）、この所定回数認証が不可能であったＩＤ，ＳＡ，ＤＡをサービスポータルサーバ２に通知する（ステップＳ３３）。これに応じて、サービスポータルサーバ２は、アクセス制御管理装置４に、アクセス制御リスト４２１から、通知されたＩＤ，ＳＡ，ＤＡの削除を依頼する（ステップＳ３４）。
【０１１７】
続いて、アクセス制御管理装置４は、アクセス制御リスト４２１から、このＩＤ，ＳＡ，ＤＡを削除する（ステップＳ３５）。そして、アクセス制御管理装置４は、アクセス制御装置５Ｂに対しても、このＩＤ，ＤＡを、アクセス許可対象から削除するよう指示する（ステップＳ３６）によって、悪意あるクライアント端末１０のネットワークへのアクセスを不可とすることができる。
【０１１８】
［実施の形態の効果］
このように、実施の形態に係るクライアント端末認証システム１では、クライアント端末１０の移動によって中継するＡＰが変更した場合、アクセス制御管理装置４の制御によって、新たなトンネルをクライアント端末１０について確立している。したがって、クライアント端末認証システム１では、再度、サービスポータルサーバ２による簡易認証及び認証サーバ３による認証を受けずとも、変更したＡＰを経路に含むトンネルを確立することができ、ユーザ利便性を確保することができる。
【０１１９】
また、実施の形態に係るクライアント端末認証システム１では、ｖＶＰＮ−ＧＷ７において所定回数認証が不可能だったＩＤ及びＳＡをアクセス制御リスト４２１及び該当するアクセス制御装置５Ａ，５Ｂのアクセス許可リスト５２１から削除するよう、サービスポータルサーバ２が依頼する。したがって、クライアント端末認証システム１によれば、悪意あるクライアント端末１０をネットワークから排除することができ、ネットワークのセキュリティを確保することができる。
【０１２０】
もちろん、クライアント端末認証システム１では、サービスポータルサーバ２がアドレス認証を実行することで、不正なクライアント端末がネットワークに通信フローを送ることを防止することができる。また、クライアント端末認証システム１では、アドレス認証に成功したクライアント端末の証明書に基づく認証をさらに実行することで、アドレス認証だけ実行する場合と比較してネットワークのセキュリティを向上させることができる。このため、クライアント端末認証システム１は、無線回線を利用した情報通信において高いセキュリティを実現することができる。
【０１２１】
さらに、クライアント端末認証システム１では、認証サーバ３をサービスポータルサーバ２よりも上流に配置しているため、サービスポータルサーバ２と認証サーバ３とをネットワーク上の同じ位置に配置する場合と比較して、認証サーバを集約的に配置することができる。
【０１２２】
なお、本実施の形態では、アクセス制御管理装置４は、ＡＣＬとして、アクセス制御装置５Ａ，５Ｂの識別情報に、パケットのアウトヘッダーに含まれるクライアント端末１０のＩＤ、ＳＡ、ＤＡを対応付けて設定する例を説明したが、もちろんこれに限らない。アクセス制御管理装置４は、ＡＣＬとして、アクセス制御装置５Ａ，５Ｂの識別情報に、パケットのアウトヘッダーに含まれる５ｔｕｐｌｅ（Source  IP，Destination  IP，Src  Port，Dst  Post，Protocol）を対応付けて設定し、該ＡＣＬに設定された５ｔｕｐｌｅをアウトヘッダーに含むパケットの通過を許可するようにアクセス制御装置５Ａ，５Ｂを制御してもよい。
【０１２３】
［実施の形態のシステム構成について］
図１に示したクライアント端末認証システム１の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、クライアント端末認証システム１の機能の分散および統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散または統合して構成することができる。
【０１２４】
また、クライアント端末認証システム１の各装置において行われる各処理は、全部または任意の一部が、ＣＰＵおよびＣＰＵにより解析実行されるプログラムにて実現されてもよい。また、クライアント端末認証システム１の各装置において行われる各処理は、ワイヤードロジックによるハードウェアとして実現されてもよい。
【０１２５】
また、実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともできる。もしくは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上述および図示の処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて適宜変更することができる。
【０１２６】
［プログラム］
図１８は、プログラムが実行されることにより、クライアント端末認証システム１の各装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【０１２７】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【０１２８】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、クライアント端末認証システム１の各装置の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、クライアント端末認証システム１の各装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【０１２９】
また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【０１３０】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【０１３１】
以上、本発明者によってなされた発明を適用した実施の形態について説明したが、本実施の形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施の形態に基づいて当業者等によりなされる他の実施の形態、実施例及び運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【０１３２】
１  クライアント端末認証システム
２，２Ｐ  サービスポータルサーバ
３，３Ｐ  認証サーバ
４，４Ｐ  アクセス制御管理装置
５Ａ，５Ｂ  アクセス制御装置
６，６Ｐ  振分装置
７，７Ｐ  ｖＶＰＮ−ＧＷ
８Ａ，８Ｂ  アクセスポイント（ＡＰ）
１０，１０−１，１０−２，１０Ｐ  クライアント端末
２１，３１，４１，５１  通信部
２２，４２，５２  記憶部
２３，３３，４３  制御部
３２  認証データベース（ＤＢ）
１００  付加価値装置群または外部ネットワーク（ＮＷ）
２３１  認証受付部
２３２  アクセス制御リスト設定依頼部
２３３  ＩＤ管理部
３３１  認証部
４２１  アクセス制御リスト（ＡＣＬ）
４３１  アクセス制御リスト設定部
４３２  アクセス制御部
５２１  アクセス許可リスト
５３１  アクセス許可リスト設定部
５３２  アクセス処理部
５３３  ＩＤ問い合わせ部
Ｔ１，Ｔ２  トンネル
【図１】
2018029233.tif 000003
【図２】
2018029233.tif 000004
【図３】
2018029233.tif 000005
【図４】
2018029233.tif 000006
【図５】
2018029233.tif 000007
【図６】
2018029233.tif 000008
【図７】
2018029233.tif 000009
【図８】
2018029233.tif 000010
【図９】
2018029233.tif 000011
【図１０】
2018029233.tif 000012
【図１１】
2018029233.tif 000013
【図１２】
2018029233.tif 000014
【図１３】
2018029233.tif 000015
【図１４】
2018029233.tif 000016
【図１５】
2018029233.tif 000017
【図１６】
2018029233.tif 000018
【図１７】
2018029233.tif 000019
【図１８】
2018029233.tif 000020
【図１９】
2018029233.tif 000021
【図２０】
2018029233.tif 000022