(57)【要約】【課題】複数の回線終端装置のうちの１つに接続して認証した端末を、他の回線終端装置に接続したならば、自動で再認証できるようにする。【解決手段】端末認証システム１は、ユーザ端末７と接続可能な回線終端装置３ａ，３ｂと、回線終端装置３ａ，３ｂに接続するエッジルータ２と、エッジルータ２に接続され回線終端装置３ａ，３ｂとエッジルータ２間の回線を認証する回線認証サーバ４と、ユーザ端末７を認証する端末認証サーバ５とを備える。端末認証サーバ５は、ユーザ端末７に付与されたアドレスプリフィックスと、ユーザ端末７に固有のユーザアドレスとを組み合わせた識別子により、ユーザ端末７を認証し、エッジルータ２は、識別子を記憶し、この識別子が含む固有のユーザアドレスが送信元であるパケットが、認証済みの前記ユーザ端末７のパケットであることを識別する。【選択図】図１
2015041801.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ端末と接続可能な回線終端装置と、
前記回線終端装置に接続されるエッジルータと、
前記エッジルータに接続され、前記回線終端装置と前記エッジルータ間の回線を認証する回線認証サーバと、
前記ユーザ端末を認証する端末認証サーバと、
を備える端末認証システムが実行する端末認証方法であって、
前記端末認証サーバは、前記ユーザ端末に付与されたアドレスプリフィックスと、前記ユーザ端末に固有のユーザアドレスとを組み合わせた識別子により、前記ユーザ端末を認証し、
前記エッジルータは、前記識別子を記憶し、当該識別子が含む固有のユーザアドレスが送信元であるパケットが、認証済みの前記ユーザ端末のパケットであることを識別する、
ことを特徴とする端末認証方法。
【請求項２】
前記ユーザ端末に固有のユーザアドレスとは、ＩＰｖ６（Internet Protocol version 6）のインタフェースＩＤ（Identification）またはＭａｃ（Media Access Control）アドレスである、
ことを特徴とする請求項１に記載の端末認証方法。
【請求項３】
前記端末認証システムは、当該エッジルータとインターネットとを接続するゲートウェイを更に備えており、
前記端末認証サーバは、
前記ユーザ端末を認証したならば、前記識別子の固有のユーザアドレスを含むトラヒックを、前記ゲートウェイを介してインターネットに疎通させる、
ことを特徴とする請求項１または請求項２に記載の端末認証方法。
【請求項４】
前記回線終端装置は、前記識別子の情報の保持時間を超えた際に当該識別子の情報を削除し、その旨を前記エッジルータに通知する、
ことを特徴とする請求項３に記載の端末認証方法。
【請求項５】
前記エッジルータは、第１のＶＬＡＮにおける前記識別子の情報を保持している状態で、第２のＶＬＡＮを介して前記ユーザ端末のパケットを検知したならば、前記第１のＶＬＡＮを介して前記ユーザ端末の存在を確認する、
ことを特徴とする請求項３に記載の端末認証方法。
【請求項６】
前記エッジルータは、前記第１のＶＬＡＮにおける前記識別子の情報が保持されている状態で、前記第２のＶＬＡＮを介して前記ユーザ端末のパケットを検知したならば、前記第１のＶＬＡＮにおける前記ユーザ端末の情報を削除する、
ことを特徴とする請求項５に記載の端末認証方法。
【請求項７】
第１のエッジルータに前記識別子の情報が保持されている状態で、第２のエッジルータが前記ユーザ端末のパケットを検知したならば、
前記端末認証サーバは、前記ユーザ端末の認証を再度行い、
前記第１のエッジルータは、前記ユーザ端末の情報を削除する、
ことを特徴とする請求項３に記載の端末認証方法。
【請求項８】
ユーザ端末と接続可能な回線終端装置と、
前記回線終端装置に接続されるエッジルータと、
前記エッジルータに接続され、前記回線終端装置と前記エッジルータ間の回線を認証する回線認証サーバと、
前記ユーザ端末を認証し、前記ユーザ端末に付与されたアドレスプリフィックスと、前記ユーザ端末に固有のユーザアドレスとを組み合わせた識別子により、前記ユーザ端末を認証する端末認証サーバと、
を備える端末認証システムであって、
前記エッジルータは、
前記識別子を記憶する記憶部と、
当該識別子の固有のユーザアドレスが送信元であるパケットが、認証済みの前記ユーザ端末のパケットであることを識別するパケット識別部と、
を備えることを特徴とする端末認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ端末を認証する端末認証方法および端末認証システムに関する。
【背景技術】
【０００２】
従来、無線ＬＡＮ（Local Area Network）アクセスポイントや家庭内ルータからセキュアな通信を行うため、トンネルを設定する方法が提案されている。非特許文献１に記載の技術は、ユーザが無線ネットワークに接続するときに、ネットワークの検出と登録とプロビジョニング、および、ネットワーク接続を自動化することを目的とするものである。
【０００３】
固定回線網では、アドレスと物理回線とを対応付ける回線認証が行われている。非特許文献２に記載の技術は、ブロードバンド・ルータを起動したのち、ＰＰＰｏＥ（Point-to-Point Protocol over Ethernet（登録商標））によって接続を要求し、同時に認証を要求するものである。この認証情報は、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）というプロトコルを使って、バックボーンにある認証サーバに送られて認証される。
ＩＰｖ６（Internet Protocol version 6）ネットワークにおいて回線認証は、回線終端装置がエッジルータに接続されたときに、アドレスプリフィックスによる認証が行われる。このＩＰｖ６ネットワークにおける回線認証は、タイムアウト以外の方法では、エッジルータが記憶する低レイヤの端末識別情報が消去されないという問題があった。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】「Light Radio WI-FI SOLUTION」、［online］、平成２４年１月、Alcatel-Lucent、検索日［平成２５年７月２７日］、インターネット<URL:http://www.alcatel-lucent.com/wps/DocumentStreamerServlet?LMSG_CABINET=Docs_and_Resource_Ctr&LMSG_CONTENT_FILE=White_Papers/LightRadio_Wi-Fi_EN_TechWhitePaper.pdf>
【非特許文献２】高橋健太郎、「[Question６]ＮＴＴのＮＧＮはどんなしくみ？」、［online］、２００７年１月、日経NETWORK、検索日［平成２５年７月２７日］、インターネット<URL:http://itpro.nikkeibp.co.jp/article/COLUMN/20070125/259673/>
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ユーザ端末がアドレスプリフィックスやＭａｃ（Media Access Control）アドレスなどによって識別されて認証されたならば、エッジルータは、これらの識別情報を保持して、このユーザ端末を接続する。エッジルータは、接続タイムアウトによって識別情報を消去したり、設定変更などによって識別情報を消去したりしない限り、これら識別情報を保持する。このとき、エッジルータのいずれかのＶＬＡＮ（Virtual LAN）に接続されて認証された端末は、タイムアウトや設定変更により消去されない限り、同一のエッジルータの他のＶＬＡＮに接続できないという問題がある。また、エッジルータは、タイムアウトや設定変更まで識別情報を保持することにより、メモリリソースを消費するという問題がある。
【０００６】
次に、端末認証システムが、テーブルを有さない回線終端装置を備えていた場合を考える。端末認証システムが第１の回線終端装置に接続された端末を認証したのち、第２の回線終端装置に同端末を接続した場合、同端末の認証情報を第１の回線終端装置が保持しているので、端末認証システムは、同端末について二重認証であると判断する。よって、第１の回線終端装置が同端末の認証情報を消去するまで、第２の回線終端装置への同端末の接続は、認証されないという問題がある。
【０００７】
本発明は、前記した問題を解決し、複数の回線終端装置のうちの１つに接続して認証した端末を他の回線終端装置に接続したならば、自動で再認証可能な端末認証方法および端末認証システムを提供することを課題とする。
【課題を解決するための手段】
【０００８】
前記課題を解決するため、請求項１に記載の発明は、ユーザ端末と接続可能な回線終端装置と、前記回線終端装置に接続されるエッジルータと、前記エッジルータに接続され、前記回線終端装置と前記エッジルータ間の回線を認証する回線認証サーバと、前記ユーザ端末を認証する端末認証サーバと、を備える端末認証システムが実行する端末認証方法であって、前記端末認証サーバは、前記ユーザ端末に付与されたアドレスプリフィックスと、前記ユーザ端末に固有のユーザアドレスとを組み合わせた識別子により、前記ユーザ端末を認証し、前記エッジルータは、前記識別子を記憶し、当該識別子が含む固有のユーザアドレスが送信元であるパケットが、認証済みの前記ユーザ端末のパケットであることを識別する、ことを特徴とする端末認証方法とした。
【０００９】
このようにすることで、エッジルータは、端末認証サーバで認証することなく、このパケットを送信したユーザ端末を自動で再認証し、トラヒックをインターネットに疎通させることができる。
【００１０】
請求項２に記載の発明では、前記ユーザ端末に固有のユーザアドレスとは、ＩＰｖ６（Internet Protocol version 6）のインタフェースＩＤ（Identification）またはＭａｃ（Media Access Control）アドレスである、ことを特徴とする請求項１に記載の端末認証方法とした。
【００１１】
このようにすることで、ＩＰｖ６ネットワークに限られず、ＩＰｖ４（Internet Protocol version 4）ネットワークにも本発明を適用することができる。
【００１２】
請求項３に記載の発明では、前記端末認証システムは、当該エッジルータとインターネットとを接続するゲートウェイを更に備え、前記端末認証サーバは、前記ユーザ端末を認証したならば、前記識別子の固有のユーザアドレスを含むトラヒックを、前記ゲートウェイを介してインターネットに疎通させる、ことを特徴とする請求項１または請求項２に記載の端末認証方法とした。
【００１３】
このようにすることで、端末認証システムは、認証したユーザ端末のトラヒックを、ゲートウェイを介してインターネットに疎通させることができる。
【００１４】
請求項４に記載の発明では、前記回線終端装置は、前記識別子の情報の保持時間を超えた際に当該識別子の情報を削除し、その旨を前記エッジルータに通知する、ことを特徴とする請求項３に記載の端末認証方法とした。
【００１５】
このようにすることで、エッジルータは、不要な認証情報を削除して、自身のメモリを解放することができる。
【００１６】
請求項５に記載の発明では、前記エッジルータは、第１のＶＬＡＮにおける前記識別子の情報を保持している状態で、第２のＶＬＡＮを介して前記ユーザ端末のパケットを検知したならば、前記第１のＶＬＡＮを介して前記ユーザ端末の存在を確認する、ことを特徴とする請求項３に記載の端末認証方法とした。
【００１７】
このようにすることで、エッジルータは、端末認証サーバに認証要求を送信することなく、このユーザ端末を再認証することができる。
【００１８】
請求項６に記載の発明では、前記エッジルータは、前記第１のＶＬＡＮにおける前記識別子の情報が保持されている状態で、前記第２のＶＬＡＮを介して前記ユーザ端末のパケットを検知したならば、前記第１のＶＬＡＮにおける前記ユーザ端末の情報を削除する、ことを特徴とする請求項５に記載の端末認証方法とした。
【００１９】
このようにすることで、エッジルータは、このユーザ端末の情報を格納していた自身の物理リソースを解放することができる。
【００２０】
請求項７に記載の発明では、第１のエッジルータに前記識別子の情報が保持されている状態で、第２のエッジルータが前記ユーザ端末のパケットを検知したならば、前記端末認証サーバは、前記ユーザ端末の認証を再度行い、前記第１のエッジルータは、前記ユーザ端末の情報を削除する、ことを特徴とする請求項３に記載の端末認証方法とした。
【００２１】
このようにすることで、端末認証サーバは、この通信パケットが含んだユーザアドレスを自身のデータベースと照合することなく、このユーザ端末を認証することができる。また、エッジルータは、このユーザ端末の情報を格納していた自身の物理リソースを解放することができる。
【００２２】
請求項８に記載の発明では、ユーザ端末と接続可能な回線終端装置と、前記回線終端装置に接続されるエッジルータと、前記エッジルータに接続され、前記回線終端装置と前記エッジルータ間の回線を認証する回線認証サーバと、前記ユーザ端末を認証し、前記ユーザ端末に付与されたアドレスプリフィックスと、前記ユーザ端末に固有のユーザアドレスとを組み合わせた識別子により、前記ユーザ端末を認証する端末認証サーバと、を備え、前記エッジルータは、前記識別子を記憶する記憶部と、当該識別子の固有のユーザアドレスが送信元であるパケットが、認証済みの前記ユーザ端末のパケットであることを識別するパケット識別部と、を備えることを特徴とする端末認証システムとした。
【００２３】
このようにすることで、エッジルータのパケット識別部は、端末認証サーバで認証することなく、このユーザ端末を自動で再認証してトラヒックをインターネットに疎通させることができる。
【発明の効果】
【００２４】
本発明によれば、複数の回線終端装置のうちの１つに接続して認証した端末を他の回線終端装置に接続したならば、自動で再認証可能な端末認証方法および端末認証システムを提供することができる。
【図面の簡単な説明】
【００２５】
【図１】第１の実施形態における端末認証システムを示す概略の構成図である。
【図２】第１の実施形態における回線認証動作を示すシーケンス図である。
【図３】第１の実施形態におけるハンドオーバ動作を示すシーケンス図である。
【図４】第１の実施形態における回線終端装置のタイムアウト動作を示すシーケンス図である。
【図５】第１の実施形態の変形例におけるハンドオーバ動作を示すシーケンス図である。
【図６】第２の実施形態における端末認証システムを示す概略の構成図である。
【図７】第２の実施形態におけるハンドオーバ動作を示すシーケンス図である。
【図８】第２の実施形態の変形例におけるハンドオーバ動作を示すシーケンス図である。
【発明を実施するための形態】
【００２６】
次に、本発明を実施するための形態（「実施形態」という）について、適宜図面を参照しながら詳細に説明する。
（第１の実施形態）
図１は、第１の実施形態における端末認証システムを示す概略の構成図である。
図１に示すように、端末認証システム１は、エッジルータ２と、回線終端装置３ａ，３ｂと、回線認証サーバ４と、端末認証サーバ５と、ゲートウェイ６とを備え、インターネット９に接続されている。この端末認証システム１は、ユーザ端末７を認証し、トラヒックをインターネット９に疎通させるものである。この端末認証システム１において各部は、ＩＰｖ６の通信パケットで相互に通信可能である。
【００２７】
回線終端装置３ａ，３ｂは、例えば、無線通信機能と有線通信機能とを備え、ユーザの宅内に設置されて、ユーザ端末７と接続可能である。回線終端装置３ａ，３ｂは、ユーザ端末７を加入者回線に接続するものである。
エッジルータ２は、加入者回線を介して回線終端装置３ａ，３ｂと接続されており、加入者回線や、この加入者回線に接続されたユーザ端末７を、ゲートウェイ６に接続するものである。エッジルータ２は、情報を格納する記憶部２１と、パケット識別部２２と、複数のＶＬＡＮ２３ａ，２３ｂとを備えている。ＶＬＡＮ２３ａ（第１のＶＬＡＮ）には、回線終端装置３ａが論理的に接続されている。ＶＬＡＮ２３ｂ（第２のＶＬＡＮ）には、回線終端装置３ｂが論理的に接続されている。これらＶＬＡＮ２３ａとＶＬＡＮ２３ｂとは、それぞれ異なるアドレスプリフィックスで運用されている。
【００２８】
回線認証サーバ４は、エッジルータ２と通信可能に接続されており、例えば、回線終端装置３ａの接続要求に応じて、回線終端装置３ａとエッジルータ２間の加入者回線を認証するものである。
【００２９】
端末認証サーバ５は、加入者回線に接続されたユーザ端末７を認証し、このユーザ端末７のトラヒックをインターネット９に疎通させるものである。端末認証サーバ５は、ユーザ端末７に付与されたアドレスプリフィックスと、ユーザ端末７に固有のユーザアドレスとを組み合わせた識別子により、ユーザ端末７を認証する。ここでユーザ端末７に固有のユーザアドレスとは、ＩＰｖ６のインタフェースＩＤである。
ゲートウェイ６は、例えば、他事業者網などであるインターネット９と、エッジルータ２との間に接続されて、端末認証サーバ５の指示に応じて、ユーザ端末７のトラヒックをインターネット９に疎通させるか否かを切り替えるものである。
ユーザ端末７は、無線通信機能を備え、回線終端装置３ａ，３ｂのいずれかと無線で接続可能である。図１に示すように、ユーザ端末７は、回線終端装置３ａに無線で接続したのちに、このユーザ端末７の所有者の移動によってハンドオーバして、回線終端装置３ｂに接続している。しかし、これに限られず、ユーザ端末７は、有線通信機能を備え、回線終端装置３ａ，３ｂのいずれかと有線で接続可能であってもよい。このとき、回線終端装置３ａに有線接続されていたユーザ端末７は、その接続を解除され、新たに回線終端装置３ｂに有線接続される。
【００３０】
図２は、第１の実施形態における回線認証動作を示すシーケンス図である。
シーケンスＱ１０ａ〜Ｑ１４ａの動作は、回線終端装置３ａに係る回線認証のシーケンスを示している。シーケンスＱ１０ｂ〜Ｑ１４ｂの動作は、回線終端装置３ｂに係る回線認証のシーケンスを示している。
シーケンスＱ１０ａにおいて、回線終端装置３ａは、回線認証要求をエッジルータ２のＶＬＡＮ２３ａへ送信する。この回線認証要求は、発信者ＩＤを含むＤＨＣＰ（Dynamic Host Configuration Protocol）リクエストである。
シーケンスＱ１１ａにおいて、エッジルータ２は、この回線認証要求を回線認証サーバ４へ中継する。
シーケンスＱ１２ａにおいて、回線認証サーバ４は、回線認証要求が含んだ発信者ＩＤを自身のデータベース（不図示）と照合し、その要求を認証するか否かを判断する。このシーケンスＱ１２ａにおいて回線認証サーバ４は、この回線認証要求を認証して、アドレスプリフィックスを払い出す。
【００３１】
シーケンスＱ１３ａにおいて、回線認証サーバ４は、このアドレスプリフィックスを含むＤＨＣＰリプライをエッジルータ２へ送信する。
シーケンスＱ１４ａにおいて、エッジルータ２のＶＬＡＮ２３ａは、このアドレスプリフィックスを含むＤＨＣＰリプライを回線終端装置３ａへ中継する。これにより、回線終端装置３ａは、ユーザ端末７が接続されたときに、自身のアドレスプリフィックスを払い出して、このユーザ端末７に係る回線を認証することができるので、以降、エッジルータ２を介して通信させることが可能である。回線終端装置３ａは、ユーザ端末７に係る回線を認証すると共に、その認証情報を不図示の記憶部に記憶する。
シーケンスＱ１０ｂ〜Ｑ１４ｂの動作は、シーケンスＱ１０ａ〜Ｑ１４ａの動作と同様である。この動作により、回線終端装置３ｂは、自身のアドレスプリフィックスを払い出して回線を認証することができるので、以降、エッジルータ２を介して通信可能である。
【００３２】
図３は、第１の実施形態におけるハンドオーバ動作を示すシーケンス図である。
図３に示すハンドオーバ動作の当初において、ユーザ端末７は、回線終端装置３ａの配下であり、その後、シーケンスＱ４１において回線終端装置３ｂの配下にハンドオーバする。以下の図では、ユーザ端末７のことを、単に「端末」と記載している場合がある。
シーケンスＱ２０〜Ｑ３０の動作は、通信パケットによってユーザ端末７を認証して、そのトラヒックをインターネット９に疎通させるシーケンスを示している。このユーザ端末７は、回線終端装置３ｂから、図２で示す回線認証動作で払い出されたアドレスプリフィックスの払い出しを受けている。
シーケンスＱ２０において、ユーザ端末７は、回線認証動作で払い出されたアドレスプリフィックスと下位ビットであるユーザアドレスとを繋げたＩＰアドレスを含む認証要求を、回線終端装置３ａへ送信する。シーケンスＱ２０におけるＩＰアドレスは、ＩＰｖ６であり、下位ビットであるユーザアドレスは、ユーザ端末７が備える固有のユーザアドレスである。
【００３３】
シーケンスＱ２１において、回線終端装置３ａは、この認証要求を、エッジルータ２へ中継する。
シーケンスＱ２２において、エッジルータ２は、このＶＬＡＮ２３ａと関連づけて、この認証要求が含むユーザアドレスを自身の記憶部２１（図１参照）に記憶する。
シーケンスＱ２３において、エッジルータ２のＶＬＡＮ２３ａは、この認証要求を端末認証サーバ５へ中継する。
シーケンスＱ２４において、端末認証サーバ５は、この認証要求が含んだユーザアドレスを自身のデータベース（不図示）と照合し、このユーザアドレスを含むパケットを疎通許可できるか否かを判断する。このシーケンスＱ２４において端末認証サーバ５は、このユーザアドレスを含むパケットを疎通許可するように、自身を設定する。
シーケンスＱ２５において、端末認証サーバ５は、認証ＯＫをエッジルータ２のＶＬＡＮ２３ａへ送信する。
シーケンスＱ２６において、端末認証サーバ５は、疎通許可をゲートウェイ６へ送信する。
【００３４】
シーケンスＱ２７において、エッジルータ２のＶＬＡＮ２３ａは、認証ＯＫを受信したので、以降は、このユーザアドレスを含むパケットを疎通許可するように、自身を設定する。
シーケンスＱ２８において、エッジルータ２のＶＬＡＮ２３ａは、認証情報を生成する。
シーケンスＱ２９において、エッジルータ２のＶＬＡＮ２３ａは、認証ＯＫを回線終端装置３ａへ送信する。
シーケンスＱ３０において、回線終端装置３ａは、認証ＯＫをユーザ端末７へ中継する。以降、ユーザ端末７は、自身のトラヒックをインターネット９に疎通させることができる。
【００３５】
シーケンスＱ４０〜Ｑ４７の動作は、ユーザ端末７をハンドオーバした後に、そのトラヒックをインターネット９に疎通させるシーケンスを示している。
シーケンスＱ４０において、ユーザ端末７は、回線終端装置３ａの配下から外れる。これにより、回線終端装置３ａは、このユーザ端末７と通信不能となる。
シーケンスＱ４１において、ユーザ端末７は、ハンドオーバにより、回線終端装置３ｂの配下となる。これにより、回線終端装置３ｂは、ハンドオーバしたユーザ端末７に、自身のアドレスプリフィックスを払い出して、このユーザ端末７に係る回線を認証するので、以降、エッジルータ２を介して通信させることが可能である。回線終端装置３ｂは、ユーザ端末７に係る回線を認証すると共に、その認証情報を不図示の記憶部に記憶する。
【００３６】
シーケンスＱ４２において、ユーザ端末７は、インターネット９における任意のノードを送信先とする通信パケットを、回線終端装置３ｂへ送信する。
シーケンスＱ４３において、回線終端装置３ｂは、この通信パケットを、エッジルータ２へ中継する。
シーケンスＱ４４において、エッジルータ２のＶＬＡＮ２３ｂは、この通信パケットが含むアドレスプリフィックスとユーザアドレスとを、ＶＬＡＮ２３ａに確認する。これにより、端末認証システム１のエッジルータ２は、端末認証サーバ５に認証要求を送信することなく、このユーザ端末７を再認証することができる。
シーケンスＱ４５において、エッジルータ２のＶＬＡＮ２３ｂは、この通信パケットが含むアドレスプリフィックスおよびユーザアドレスが、回線終端装置３ｂに払い出したアドレスプリフィックスおよび既にＶＬＡＮ２３ａで認証されたユーザーアドレスと同一であるため、ハンドオーバを許容して認証ＯＫと判断する。これにより、エッジルータ２は、端末認証サーバ５で認証することなく、このユーザ端末７を自動で再認証して、そのトラヒックをインターネット９に疎通させることができる。
【００３７】
シーケンスＱ４６において、エッジルータ２のＶＬＡＮ２３ｂは、認証情報を生成する。
シーケンスＱ４７において、エッジルータ２のＶＬＡＮ２３ｂは、シーケンスＱ４３において受信した通信パケットを、ゲートウェイ６へ送信する。この通信パケットは、ゲートウェイ６を介して、インターネット９上の宛先ノードに転送される。ユーザ端末７がハンドオーバにより、認証元のＶＬＡＮ２３ａから他のＶＬＡＮ２３ｂの配下になったときでも、端末認証システム１は、明示的な認証要求無しに、ユーザ端末７のトラヒックをゲートウェイ６を介してインターネット９に疎通させることができる。
シーケンスＱ４８において、エッジルータ２のＶＬＡＮ２３ａは、認証情報を削除する。これにより、エッジルータ２は、この認証情報を格納していた自身の物理リソースを解放することができる。
以降、ユーザ端末７は、自身のトラヒックをインターネット９に疎通させることができる。
【００３８】
図４は、第１の実施形態における回線終端装置のタイムアウト動作を示すシーケンス図である。
このタイムアウト動作の実行前は、ユーザ端末７が認証され、トラヒックをインターネット９に疎通させている状態である。この状態において、例えば、ユーザ端末７が検知できなくなった場合に、回線終端装置３ａとエッジルータ２とは、このユーザ端末７の認証情報を削除する。
シーケンスＱ５０において、ユーザ端末７は、電源オフにより、回線終端装置３ａの配下から外れる。
【００３９】
シーケンスＱ５１は、シーケンスＱ５０から所定のタイムアウト時間が経過したときである。このシーケンスＱ５１において、回線終端装置３ａは、このユーザ端末７の認証情報を削除する。これにより、回線終端装置３ａは、不要な認証情報を削除して、自身のメモリを解放することができる。
シーケンスＱ５２において、回線終端装置３ａは、このユーザ端末７の認証情報の削除通知を、エッジルータ２へ送信する。
シーケンスＱ５３において、エッジルータ２は、このユーザ端末７の認証情報を削除し、図４の処理を終了する。これにより、エッジルータ２は、不要な認証情報を削除して、自身のメモリを解放することができる。
【００４０】
図５は、第１の実施形態の変形例におけるハンドオーバ動作を示すシーケンス図である。
このハンドオーバ動作の実行前は、ユーザ端末７が認証されて自身のトラヒックをインターネット９に疎通させている状態である。
シーケンスＱ４０，Ｑ４１の動作は、図３に示すシーケンスＱ４０，Ｑ４１の動作と同様である。
【００４１】
シーケンスＱ６０おいて、ユーザ端末７は、自らの認証を要求する認証要求を、回線終端装置３ｂへ送信する。
シーケンスＱ６１において、回線終端装置３ｂは、この認証要求を、エッジルータ２へ中継する。
シーケンスＱ６２において、エッジルータ２のＶＬＡＮ２３ｂは、この認証要求のパケットが含むアドレスプリフィックスとユーザアドレスとを、ＶＬＡＮ２３ａに確認する。
シーケンスＱ６３において、エッジルータ２のＶＬＡＮ２３ｂは、この認証要求パケットが含むアドレスプリフィックスおよびユーザアドレスとが、回線終端装置３ｂに払い出したアドレスプリフィックスおよび既にＶＬＡＮ２３ａで認証されたユーザーアドレスと同一であるため、ハンドオーバを許容して認証ＯＫと判断する。これにより、エッジルータ２のＶＬＡＮ２３ｂは、この認証要求パケットを端末認証サーバ５へ送信することなく、ユーザ端末７を認証することができる。
【００４２】
シーケンスＱ６４において、エッジルータ２のＶＬＡＮ２３ｂは、認証情報を生成する。ユーザ端末７は、ハンドオーバにより、認証元のＶＬＡＮ２３ａから他のＶＬＡＮ２３ｂの配下になったとき、明示的な認証要求によっても、ユーザ端末７のトラヒックをインターネット９に疎通させることができる。
シーケンスＱ６５において、エッジルータ２のＶＬＡＮ２３ａは、認証情報を削除する。これにより、この認証情報に係るエッジルータ２の物理リソースを解放することができる。
【００４３】
シーケンスＱ６６において、エッジルータ２のＶＬＡＮ２３ｂは、認証ＯＫの応答を回線終端装置３ｂへ送信する。
シーケンスＱ６７において、回線終端装置３ｂは、認証ＯＫの応答をユーザ端末７へ中継する。
以降、ユーザ端末７は、自身のトラヒックをインターネット９に疎通させることができる。
【００４４】
（第２の実施形態）
図６は、第２の実施形態における端末認証システム１Ａを示す概略の構成図である。図１に示す第１の実施形態の端末認証システム１と同一の要素には同一の符号を付与している。
図６に示すように、第２の実施形態の端末認証システム１Ａは、第１の実施形態の端末認証システム１とは異なり、複数のエッジルータ２ｃ、２ｄを備え、それらには回線終端装置３ｃ，３ｄがそれぞれ接続されている。エッジルータ２ｃは、第１の実施形態と同様に、記憶部２１ｃとパケット識別部２２ｃとを備えている。エッジルータ２ｄは、第１の実施形態と同様に、記憶部２１ｄとパケット識別部２２ｄとを備えている。
第２の実施形態の端末認証システム１Ａは、第１の実施形態とは異なる端末認証サーバ５Ａを備えている。それ以外は、第１の実施形態の端末認証システム１と同様に構成されている。
ユーザ端末７は、異なるエッジルータ２ｄに係る回線終端装置３ｄにハンドオーバしても、第１の実施形態と同様に、自身のトラヒックをインターネット９に疎通させることができる。
【００４５】
図７は、第２の実施形態におけるハンドオーバ動作を示すシーケンス図である。
図７に示すハンドオーバ動作の当初において、ユーザ端末７は、回線終端装置３ｃの配下であり、その後、シーケンスＱ９１においてハンドオーバして回線終端装置３ｄの配下となる。
シーケンスＱ７０〜Ｑ８０の動作は、通信パケットによってユーザ端末７を認証して、そのトラヒックをインターネット９に疎通させるシーケンスを示している。
シーケンスＱ７０において、ユーザ端末７は、回線認証動作で払い出されたアドレスプリフィックスと下位ビットであるユーザアドレスとを繋げたＩＰアドレスを含む認証要求を、回線終端装置３ｃへ送信する。シーケンスＱ７０におけるＩＰアドレスは、ＩＰｖ６であり、下位ビットであるユーザアドレスは、ユーザ端末７が備える固有のユーザアドレスである。
【００４６】
シーケンスＱ７１において、回線終端装置３ｃは、この認証要求を、エッジルータ２ｃへ中継する。
シーケンスＱ７２において、エッジルータ２ｃは、この認証要求が含むユーザアドレスを自身の記憶部２１ｃ（図６参照）に記憶する。
シーケンスＱ７３において、エッジルータ２ｃは、この認証要求を端末認証サーバ５Ａへ送信する。
シーケンスＱ７４において、端末認証サーバ５Ａは、この認証要求が含んだユーザアドレスを自身のデータベース（不図示）と照合し、このユーザアドレスを含むパケットを疎通許可できるか否かを判断する。このシーケンスＱ７４において端末認証サーバ５Ａは、このユーザアドレスを含むパケットを疎通許可するように、自身を設定する。
【００４７】
シーケンスＱ７５において、端末認証サーバ５Ａは、認証ＯＫをエッジルータ２ｃへ送信する。
シーケンスＱ７６において、端末認証サーバ５Ａは、疎通許可をゲートウェイ６へ送信する。
シーケンスＱ７７において、エッジルータ２ｃは、認証ＯＫを受信すると、以降は、このユーザアドレスを含むパケットを疎通許可するように、自身を設定する。
【００４８】
シーケンスＱ７８において、エッジルータ２ｃは、認証情報を生成する。
シーケンスＱ７９において、エッジルータ２ｃは、認証ＯＫを回線終端装置３ｃへ送信する。
シーケンスＱ８０において、回線終端装置３ｃは、認証ＯＫをユーザ端末７へ中継する。以降、ユーザ端末７は、自身のトラヒックをインターネット９に疎通させることができる。
【００４９】
シーケンスＱ９０〜Ｑ１０２の動作は、ユーザ端末７をハンドオーバした後に、そのトラヒックをインターネット９に疎通させるシーケンスを示している。
シーケンスＱ９０，Ｑ９１の動作は、図３に示したシーケンスＱ４０，Ｑ４１の動作と同様であり、ユーザ端末７は、ハンドオーバにより、回線終端装置３ｃの配下から外れて、回線終端装置３ｄの配下となる。これにより、回線終端装置３ｂは、ハンドオーバしたユーザ端末７に、自身のアドレスプリフィックスを払い出して、このユーザ端末７に係る回線を認証するので、以降、エッジルータ２を介して通信させることが可能である。回線終端装置３ｂは、ユーザ端末７に係る回線を認証すると共に、その認証情報を不図示の記憶部に記憶する。
【００５０】
シーケンスＱ９２において、ユーザ端末７は、インターネット９における任意のノードを送信先とする通信パケットを、回線終端装置３ｄへ送信する。
シーケンスＱ９３において、回線終端装置３ｄは、この通信パケットを、エッジルータ２ｄへ中継する。
シーケンスＱ９４において、エッジルータ２ｃは、この通信パケットが含むユーザアドレスを自身の記憶部２１ｃ（図６参照）に記憶する。
【００５１】
シーケンスＱ９５において、エッジルータ２ｄは、新たな認証要求を、端末認証サーバ５Ａへ送信する。エッジルータ２ｄは、この認証要求が含むアドレスプリフィックスとユーザアドレスの組合せを、シーケンスＱ９３で受信した通信パケットが含むアドレスプリフィックスとユーザアドレスの組合せと同一に設定する。
シーケンスＱ９６において、端末認証サーバ５Ａは、この認証要求のパケットが含むアドレスプリフィックスおよびユーザアドレスが、既に自身で認証したものであるため、認証ＯＫと判断する。これにより、端末認証サーバ５Ａは、この認証要求のパケットが含んだユーザアドレスを自身のデータベース（不図示）と照合することなく、ユーザ端末７を認証することができる。
シーケンスＱ９７において、端末認証サーバ５Ａは、認証ＯＫの応答をエッジルータ２ｄへ送信する。
【００５２】
シーケンスＱ９８において、エッジルータ２ｄは、認証ＯＫを受信すると、以降は、このユーザアドレスを疎通許可するように、自身を設定する。
シーケンスＱ９９において、エッジルータ２ｄは、このユーザ端末７の認証情報を生成する。
シーケンスＱ１００において、エッジルータ２ｄは、シーケンスＱ９４で受信した通信パケットを、ゲートウェイ６へ送信する。この通信パケットは、ゲートウェイ６を介して、インターネット９上の宛先ノードに転送される。以降、ユーザ端末７は、自身のトラヒックをインターネット９に疎通させることができる。
【００５３】
シーケンスＱ１０１において、端末認証サーバ５Ａは、このユーザ端末７の認証削除の指示をエッジルータ２ｃへ送信する。
シーケンスＱ１０２において、エッジルータ２ｃは、このユーザ端末７の認証情報を削除する。これにより、エッジルータ２ｃは、このユーザ端末７の認証情報を格納していた自身の物理リソースを解放することができる。
以降、ユーザ端末７は、ハンドオーバにより、認証元のエッジルータ２ｃから他のエッジルータ２ｄの配下になったときでも、明示的な認証要求無しに、ユーザ端末７のトラヒックをインターネット９に疎通させることができる。
【００５４】
図８は、第２の実施形態の変形例におけるハンドオーバ動作を示すシーケンス図である。
このハンドオーバ動作の実行前は、ユーザ端末７が認証されてトラヒックをインターネット９に疎通させている状態である。
シーケンスＱ９０，Ｑ９１の動作は、図７に示すシーケンスＱ９０，Ｑ９１の動作や、図３に示すシーケンスＱ４０，Ｑ４１の動作と同様である。
【００５５】
シーケンスＱ１１０おいて、ユーザ端末７は、自らの認証を要求する認証要求を、回線終端装置３ｄへ送信する。
シーケンスＱ１１１において、回線終端装置３ｄは、この認証要求を、エッジルータ２ｄへ中継する。
シーケンスＱ１１２において、エッジルータ２ｄは、この認証要求のパケットが含むユーザアドレスを、自身の記憶部２１ｄ（図６参照）に記憶する。
シーケンスＱ１１３において、エッジルータ２ｄは、この認証要求を端末認証サーバ５Ａへ送信する。
【００５６】
シーケンスＱ１１４において、端末認証サーバ５Ａは、この認証要求のパケットが含むアドレスプリフィックスおよびユーザアドレスが、既に自身で認証されたものであるため、認証ＯＫと判断する。これにより、端末認証サーバ５Ａは、この認証要求のパケットが含んだユーザアドレスを自身のデータベース（不図示）と照合することなく、ユーザ端末７を認証することができる。
シーケンスＱ１１５において、端末認証サーバ５Ａは、認証ＯＫをエッジルータ２ｄへ送信する。
【００５７】
シーケンスＱ１１６において、エッジルータ２ｄは、認証ＯＫを受信すると、以降は、このユーザアドレスを含むパケットを疎通許可するように、自身を設定する。
シーケンスＱ１１７において、エッジルータ２ｄは、認証情報を生成する。
シーケンスＱ１１８において、エッジルータ２ｄは、認証ＯＫを回線終端装置３ｄへ送信する。
シーケンスＱ１１９において、回線終端装置３ｄは、認証ＯＫをユーザ端末７へ中継する。以降、ユーザ端末７は、自身のトラヒックをインターネット９に疎通させることができる。
【００５８】
シーケンスＱ１２０において、端末認証サーバ５Ａは、このユーザ端末７の認証削除の指示をエッジルータ２ｃへ送信する。
シーケンスＱ１２１において、エッジルータ２ｃは、このユーザ端末７の認証情報を削除する。これにより、この認証情報に係るエッジルータ２ｃの物理リソースを解放することができる。
ユーザ端末７は、ハンドオーバにより、認証元の回線終端装置３ｃの配下から他の回線終端装置３ｄの配下になったとき、明示的な認証要求によっても、ユーザ端末７のトラヒックをインターネット９に疎通させることができる。
【００５９】
（変形例）
本発明は、上記実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲で、変更実施が可能であり、例えば、次の（ａ），（ｂ）のようなものがある。
【００６０】
（ａ）  第１、第２の実施形態では、各装置がＩＰｖ６ネットワークで接続されている。しかし、これに限られず、各装置がＩＰｖ４ネットワークで接続されていてもよい。この場合、ユーザ端末７を認証するには、アドレスプリフィックスとＭａｃアドレスとの組合せ情報を用いる。
【００６１】
（ｂ）  第１、第２の実施形態において、ユーザ端末７は、このユーザ端末７のアドレスプリフィックスとユーザアドレスとの組合せによって認証される。しかし、これに限られず、ユーザ端末７は、ユーザアドレスのみで認証されてもよい。
【符号の説明】
【００６２】
１，１Ａ  端末認証システム
２，２ｃ，２ｄ  エッジルータ
２１，２１ｃ，２１ｄ  記憶部
２２，２２ｃ，２２ｄ  パケット識別部
２３ａ  ＶＬＡＮ  （第１のＶＬＡＮ）
２３ｂ  ＶＬＡＮ  （第２のＶＬＡＮ）
３ａ〜３ｄ  回線終端装置
４  回線認証サーバ
５，５Ａ  端末認証サーバ
６  ゲートウェイ
７  ユーザ端末
９  インターネット
【図１】
2015041801.tif 000003
【図２】
2015041801.tif 000004
【図３】
2015041801.tif 000005
【図４】
2015041801.tif 000006
【図５】
2015041801.tif 000007
【図６】
2015041801.tif 000008
【図７】
2015041801.tif 000009
【図８】
2015041801.tif 000010