(57)【要約】【課題】ＩＳＰによって提供されるネットワークに接続された端末装置の通信に、当該端末装置が属する企業の接続ポリシーを適用する。【解決手段】インターネットと、第１ネットワークと、複数の第２ネットワークと、を備える計算機システムであって、前記第１ネットワークは、アクセスポイントと、第１通信装置と、ＤＨＣＰサーバと、第１認証サーバと、を含み、前記第２ネットワークは、第２端末装置を含み、前記第１認証サーバは、第１端末装置からアクセス要求を受信すると、当該第１端末装置に対応する第２ネットワークを特定し、前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を、前記第１通信装置に送信し、前記第１通信装置は、前記第１認証サーバから受信したアクセス制御情報に基づいて、前記第１端末装置の通信を制御する。【選択図】図１
2008160709.tif 000002
【特許請求の範囲】
【請求項１】
インターネットと、前記インターネットに接続される第１ネットワークと、前記インターネットに接続される複数の第２ネットワークと、を備える計算機システムであって、
前記第１ネットワークは、第１端末装置に無線又は有線で接続されるアクセスポイントと、前記アクセスポイントに接続され、前記第１端末装置の通信を制御する第１通信装置と、前記第１端末装置にＩＰアドレスを割り当てるＤＨＣＰサーバと、前記第１端末装置を認証する第１認証サーバと、を含み、
前記第２ネットワークは、第２端末装置を含み、
前記第１認証サーバは、
前記第１端末装置からアクセス要求を受信すると、当該第１端末装置に対応する第２ネットワークを特定し、
前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を、前記第１通信装置に送信し、
前記第１通信装置は、前記第１認証サーバから受信したアクセス制御情報に基づいて、前記第１端末装置の通信を制御することを特徴とする計算機システム。
【請求項２】
前記第１ネットワークは、ＩＳＰによって提供されるネットワークであり、
前記第２ネットワークは、企業に構築されたネットワークであり、
当該第１端末装置に対応する前記第２ネットワークは、前記第１端末装置からのアクセスが許可された第２ネットワークであることを特徴とする請求項１に記載の計算機システム。
【請求項３】
前記第２ネットワークは、更に、ＶＰＮ通信を提供するＶＰＮサーバを含み、
前記第１通信装置は、前記第１端末装置と前記ＶＰＮサーバとの通信を許可するように、前記第１端末装置の通信を制御することを特徴とする請求項１に記載の計算機システム。
【請求項４】
前記第２ネットワークは、更に、前記第２端末装置を認証する第２認証サーバを含み、
前記第１認証サーバは、前記特定された第２ネットワークに含まれる第２認証サーバから、前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を取得することを特徴とする請求項１に記載の計算機システム。
【請求項５】
前記第２ネットワークは、更に、ＶＰＮ通信を提供するＶＰＮサーバを含み、
前記第１認証サーバは、前記ＶＰＮサーバによって提供されるＶＰＮ通信を用いて、前記特定された第２ネットワークに含まれる第２認証サーバから、前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を取得することを特徴とする請求項４に記載の計算機システム。
【請求項６】
前記第１認証サーバは、
前記第１端末装置からアクセス要求を受信すると、前記第１通信装置によって通信が制御されている第１端末装置の数を特定し、
前記特定された第１端末装置の数が閾値以上の場合には、当該アクセス要求の送信元である第１端末装置からのアクセスを許可しないことを特徴とする請求項１に記載の計算機システム。
【請求項７】
インターネットと、前記インターネットに接続される第１ネットワークと、前記インターネットに接続される複数の第２ネットワークと、前記インターネットに接続される第３ネットワークと、を備える計算機システムであって、
前記第１ネットワークは、第１端末装置に無線又は有線で接続されるアクセスポイントと、前記アクセスポイントに接続され、前記第１端末装置の通信を制御する第１通信装置と、前記第１端末装置にＩＰアドレスを割り当てるＤＨＣＰサーバと、前記第１端末装置を認証する第１認証サーバと、を含み、
前記第２ネットワークは、第２端末装置を含み、
前記第３ネットワークは、第３認証サーバを含み、
前記第１認証サーバは、
前記第１端末装置からアクセス要求を受信すると、当該第１端末装置に対応する第２ネットワークを特定し、
前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を、前記第３認証サーバから取得し、
前記取得されたアクセス制御情報を、前記第１通信装置に送信し、
前記第１通信装置は、前記第１認証サーバから受信したアクセス制御情報に基づいて、前記第１端末装置の通信を制御することを特徴とする計算機システム。
【請求項８】
前記第２ネットワークは、企業に構築されたネットワークであり、
前記第３ネットワークは、前記企業が契約しているＩＳＰによって提供されるネットワークであり、
前記第１ネットワークは、前記第３ネットワークを提供するＩＳＰとローミング契約を結ぶＩＳＰによって提供されるネットワークであり、
当該第１端末装置に対応する前記第２ネットワークは、前記第１端末装置からのアクセスが許可された第２ネットワークであることを特徴とすることを特徴とする請求項７に記載の計算機システム。
【請求項９】
前記第２ネットワークは、更に、ＶＰＮ通信を提供するＶＰＮサーバを含み、
前記第１通信装置は、前記第１端末装置と前記ＶＰＮサーバとの通信を許可するように、前記第１端末装置の通信を制御することを特徴とする請求項７に記載の計算機システム。
【請求項１０】
前記第２ネットワークは、更に、前記第２端末装置を認証する第２認証サーバを含み、
前記第３認証サーバは、第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を予め記憶していることを特徴とする請求項７に記載の計算機システム。
【請求項１１】
前記第２ネットワークは、更に、前記第２端末装置を認証する第２認証サーバを含み、
前記第３認証サーバは、前記特定された第２ネットワークに含まれる第２認証サーバから、前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を取得することを特徴とする請求項１０に記載の計算機システム。
【請求項１２】
前記第１認証サーバは、
前記第１端末装置からアクセス要求を受信すると、前記第１通信装置によって通信が制御されている第１端末装置の数を特定し、
前記特定された第１端末装置の数が閾値以上の場合には、当該アクセス要求の送信元である第１端末装置からのアクセスを許可しないことを特徴とする請求項７に記載の計算機システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＳＰによって提供されるネットワークに接続される端末装置の通信を制御する技術に関する。
【背景技術】
【０００２】
従来、端末装置の通信を制御する技術が知られている。例えば、端末装置の機能が制限されることによって、企業イントラネットと端末装置との間では、ＶＰＮ通信以外のすべての通信が禁止される。そのため、端末装置は、企業イントラネット以外のリソースへアクセスする場合にも、企業イントラネットを経由してアクセスする。これによって、端末装置と企業イントラネット以外のリソースとの通信に対しても、企業の接続ポリシーが適用される。
【０００３】
なお、非特許文献１には、８０２．１Ｘ認証シーケンスの一つであるＥＡＰ−ＴＬＳ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ−Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）を用いての認証処理が記載されている。
【非特許文献１】ＩＥＴＦ  ＲＦＣ３７４８
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、前述した従来技術では、端末装置の通信を制限するため、出先などでのＷｅｂ利用も制限されてしまう。そのため、端末装置の利便性が低下してしまう。
【０００５】
例えば、端末装置が、国際会議の会場内の無線ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を利用して配布資料をサーバからダウンロードする場合を考える。この場合であっても、端末装置は、当該端末装置が属する企業のイントラネットとＶＰＮ接続を行う必要がある。その後、社内イントラネットのリソースが、サーバから配布資料を取得し、取得した配布資料を端末装置に送信する。このため、配布資料の取得に多くの時間を要する可能性がある。
【０００６】
本発明は、前述した問題点に鑑みてなされたものであって、ＩＳＰによって提供されるネットワークに接続された端末装置の通信に、当該端末装置が属する企業の接続ポリシーを適用する計算機システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の代表的な形態は、インターネットと、前記インターネットに接続される第１ネットワークと、前記インターネットに接続される複数の第２ネットワークと、を備える計算機システムであって、前記第１ネットワークは、第１端末装置に無線又は有線で接続されるアクセスポイントと、前記アクセスポイントに接続され、前記第１端末装置の通信を制御する第１通信装置と、前記第１端末装置にＩＰアドレスを割り当てるＤＨＣＰサーバと、前記第１端末装置に対する認証を行う第１認証サーバと、を含み、前記第２ネットワークは、第２端末装置を含み、前記第１認証サーバは、前記第１端末装置からアクセス要求を受信すると、当該第１端末装置に対応する第２ネットワークを特定し、前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を、前記第１通信装置に送信し、前記第１通信装置は、前記第１認証サーバから受信したアクセス制御情報に基づいて、前記第１端末装置の通信を制御する。
【発明の効果】
【０００８】
本発明の代表的な形態によれば、ＩＳＰによって提供されるネットワークに接続された端末装置の通信に、当該端末装置が属する企業の接続ポリシーを適用できる。
【発明を実施するための最良の形態】
【０００９】
本発明の実施の形態を図面を参照して説明する。
【００１０】
（第１の実施の形態）
図１は、本発明の第１の実施の形態の計算機システムの構成のブロック図である。
【００１１】
計算機システムは、企業Ｈ網１１、ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）Ａ網１２、インターネット１３及び外部リソース１４を備える。
【００１２】
ＩＳＰＡ網１２は、ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）の「Ａ」によって提供されるネットワークである。なお、ＩＳＰは、ユーザ端末装置（ユーザＰＣ）１１６にインターネットへの接続サービスを提供する業者である。また、ＩＳＰは、公衆無線ＬＡＮ事業者（Ｗｉｒｅｌｅｓｓ  ＩＳＰ：Ｗ−ＩＳＰ）をも含む。
【００１３】
ＩＳＰＡ網１２は、一つ以上のＡＰＡ１１５に接続される。ＡＰＡ１１５は、有線又は無線でユーザＰＣ１１６に接続される中継局（ＡＰ：ａｃｃｅｓｓ  ｐｏｉｎｔ）である。ユーザＰＣ１１６は、ＣＰＵ、メモリ及びインタフェースを備え、ユーザによって操作される計算機である。
【００１４】
ＩＳＰＡ網１２は、ポリシーエンフォーサ１１４、ＤＨＣＰサーバＡ１１３、ＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ａｕｔｈｏｒｉｚａｔｉｏｎ  Ａｃｃｏｕｎｔｉｎｇ）サーバＡ１１２及びルータＡ１１１を備える。なお、当該ブロック図では、ポリシーエンフォーサ１１４、ＤＨＣＰサーバＡ１１３、ＡＡＡサーバＡ１１２及びルータＡ１１１は、ＩＳＰＡ網１２に一つずつ備わっているが、複数備わっていてもよい。
【００１５】
ポリシーエンフォーサ１１４は、ユーザＰＣ１１６の通信に対して、接続ポリシー制御を行う。なお、ポリシーエンフォーサ１１４については、図２で詳細を説明する。
【００１６】
ＤＨＣＰサーバＡ１１３は、ＣＰＵ、メモリ及びインタフェースを備える計算機である。また、ＤＨＣＰサーバＡ１１３は、ＩＰアドレスなどを含む必要な情報を、ユーザＰＣ１１６に自動的に割り当てる。
【００１７】
ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６に対する認証を行う。なお、ＡＡＡサーバＡ１１２については、図４で詳細を説明する。
【００１８】
ルータＡ１１１は、インターネット１３に接続される。また、ルータＡ１１１は、パケットを受信し、受信したパケットを転送する。
【００１９】
企業Ｈ網１１は、企業Ｈに備わる内部ネットワークである。また、企業Ｈ網１１は、ルータＨ１７、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバ１１０、ＡＡＡサーバＨ１８、ユーザＰＣ１１６及びサービス提供サーバ１９を備える。
【００２０】
ルータＨ１７は、インターネット１３に接続される。また、ルータＨ１７は、パケットを受信し、受信したパケットを転送する。
【００２１】
ＡＡＡサーバＨ１８は、ＣＰＵ、メモリ及びインタフェースを備える計算機である。また、ＡＡＡサーバＨ１８は、ユーザＰＣ１１６に対する認証を行う。更に、ＡＡＡサーバＨ１８は、ユーザＰＣ１１６の通信に適用される接続ポリシーを管理する。
【００２２】
ＶＰＮサーバ１１０は、ＣＰＵ、メモリ及びインタフェースを備える計算機である。また、ＶＰＮサーバ１１０は、パケットのヘッダの変換及びパケットの暗号化を行う。これによって、ＶＰＮサーバ１１０は、ＶＰＮを利用した通信を提供する。
【００２３】
ユーザＰＣ１１６は、ＣＰＵ、メモリ及びインタフェースを備え、ユーザによって操作される計算機である。例えば、ユーザＰＣ１１６は、移動可能な計算機である。企業Ｈ網１１内に備わるユーザＰＣ１１６は、ユーザに持ち運ばれることによって、ＡＰＡ１１５に接続されてもよい。本実施の形態では、ユーザＰＣ１１６がＡＰＡ１１５に接続されている場合であっても、企業Ｈ網１１内に備わる場合であっても、ユーザＰＣの通信には同一の接続ポリシーが適用される。
【００２４】
サービス提供サーバ１９は、ＣＰＵ、メモリ及びインタフェースを備える計算機である。また、サービス提供サーバ１９は、ユーザＰＣ１１６に各種アプリケーションを提供する。例えば、サービス提供サーバ１９は、Ｗｅｂサーバ又はメールサーバなどである。
【００２５】
外部リソース１４は、プロセッサ、メモリ及びインタフェースを備える計算機である。また、外部リソース１４は、ＷＥＢサービスをユーザＰＣ１１６に提供する。
【００２６】
図２は、本発明の第１の実施の形態のＩＳＰＡ網１２に備わるポリシーエンフォーサ１１４の構成のブロック図である。
【００２７】
ポリシーエンフォーサ１１４は、ＣＰＵ２１、メモリ２２、接続ポリシー設定テーブル２６及び外部インタフェース２７を備える。
【００２８】
外部インタフェース２７は、外部の装置と接続されるインタフェースである。例えば、外部インタフェース２７は、ＡＰＡ１１５、ＤＨＣＰサーバＡ１１３、ＡＡＡサーバＡ１１２及びルータＡ１１１などに接続される。
【００２９】
ＣＰＵ２１は、メモリ２２に記憶されるプログラムを実行することによって、各種処理を行う。メモリ２２は、ＣＰＵ２１によって実行されるプログラム及びＣＰＵ２１によって必要とされる情報などを記憶する。具体的には、メモリ２２は、ポリシー設定テーブル制御プログラム２３、ポリシー制御プログラム２４及びルーティングプログラム２５を記憶する。
【００３０】
ポリシー設定テーブル制御プログラム２３は、接続ポリシー設定テーブル２６を更新する。ポリシー制御プログラム２４は、ユーザＰＣ１１６の通信に接続ポリシーを適用する。
【００３１】
ルーティングプログラム２５は、パケットを受信し、受信したパケットを転送する。
【００３２】
接続ポリシー設定テーブル２６は、ユーザＰＣ１１６の通信に適用される接続ポリシーを管理する。なお、接続ポリシー設定テーブル２６については、図３で詳細を説明する。
【００３３】
図３は、本発明の第１の実施の形態のポリシーエンフォーサ１１４に備わる接続ポリシー設定テーブル２６の構成図である。
【００３４】
接続ポリシー設定テーブル２６に含まれる一つのレコードは、一つの接続ポリシーを示す。また、接続ポリシー設定テーブル２６は、送信元ＩＰアドレス３１、送信先ＩＰアドレス３２、その他の条件３３及び動作３４を含む。
【００３５】
送信元ＩＰアドレス３１は、当該レコードに対応する接続ポリシーが適用されるパケットの送信元のＩＰアドレスである。送信先ＩＰアドレス３２は、当該レコードに対応する接続ポリシーが適用されるパケットの送信先のＩＰアドレスである。
【００３６】
その他の条件３３は、当該レコードに対応する接続ポリシーが適用されるパケットの条件を示す。例えば、その他の条件３３には、当該レコードに対応する接続ポリシーが適用されるパケットのプロトコルの種類、送信先ＵＲＬ、送信元ＵＲＬ、送信元ポート番号及び送信先ポート番号のうちの少なくとも一つが格納される。
【００３７】
動作３４は、当該レコードに対応する接続ポリシーの内容を示す。例えば、動作３４には、転送又は廃棄が格納される。
【００３８】
図４は、本発明の第１の実施の形態のＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２の構成のブロック図である。
【００３９】
ＡＡＡサーバＡ１１２は、ＣＰＵ４１、メモリ４２、ユーザデータテーブル４５、法人契約企業リスト４６及び外部インタフェース４７を備える。
【００４０】
外部インタフェース４７は、外部の装置と接続されるインタフェースである。例えば、外部インタフェース４７は、ポリシーエンフォーサ１１４、ＤＨＣＰサーバＡ１１３及びルータＡ１１１などに接続される。
【００４１】
ＣＰＵ４１は、メモリ４２に記憶されるプログラムを実行することによって、各種処理を行う。メモリ４２は、ＣＰＵ４１によって実行されるプログラム及びＣＰＵ４１によって必要とされる情報などを記憶する。具体的には、メモリ４２は、認証処理プログラム４３及び通知プログラム４４を記憶する。
【００４２】
認証処理プログラム４３は、ユーザＰＣ１１６に対する認証を行う。通知プログラム４４は、各種情報を、ポリシーエンフォーサ１１４、ＤＨＣＰサーバＡ１１３及びルータＡ１１１などに通知する。
【００４３】
ユーザデータテーブル４５は、ＩＳＰの「Ａ」のユーザに関する情報を管理する。なお、ユーザデータテーブル４５については、図５で詳細を説明する。法人契約企業リスト４６は、ＩＳＰの「Ａ」と法人契約を結ぶ企業に関する情報を管理する。なお、法人契約企業リスト４６については、図６で詳細を説明する。
【００４４】
図５は、本発明の第１の実施の形態のＡＡＡサーバＡ１１２に備わるユーザデータテーブル４５の構成図である。
【００４５】
ユーザデータテーブル４５は、ユーザＩＤ５１、パスワード５２、企業名５３及び課金情報５４を含む。
【００４６】
ユーザＩＤ５１は、ＩＳＰの「Ａ」のユーザの一意な識別子である。パスワード５２は、当該レコードのユーザＩＤ５１によって識別されるユーザに設定されたパスワードである。企業名５３は、当該レコードのユーザＩＤ５１によって識別されるユーザが所属する企業の一意な識別子である。課金情報５４は、当該レコードのユーザＩＤ５１によって識別されるユーザに課された金額である。
【００４７】
図６は、本発明の第１の実施の形態のＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６の構成図である。
【００４８】
法人契約企業リスト４６は、企業名６１、ＡＡＡサーバアドレス６２、公開鍵６３及び課金情報６４を含む。
【００４９】
企業名６１は、ＩＳＰの「Ａ」と法人契約を結ぶ企業の一意な識別子である。ＡＡＡサーバアドレス６２は、当該レコードの企業名６１によって識別される企業の内部ネットワークに備わるＡＡＡサーバＨ１８のＩＰアドレスである。公開鍵６３は、当該レコードの企業名６１によって識別される企業の内部ネットワークに備わるＡＡＡサーバＨ１８の公開鍵である。課金情報６４は、当該レコードの企業名６１によって識別される企業に課された金額である。
【００５０】
図７は、本発明の第１の実施の形態の計算機システムのユーザアクセス処理のシーケンス図である。
【００５１】
本シーケンス図は、ユーザＰＣ１１６の認証に成功した場合である。
【００５２】
また、企業Ｈは、ＩＳＰの「Ａ」と法人契約を結んでいる。そのため、ＡＡＡサーバＡ１１２に備わるユーザデータテーブル４５には、企業Ｈに属するユーザに関する情報が格納されている。また、ＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６には、企業Ｈに関する情報が格納されている。
【００５３】
まず、ユーザＰＣ１１６は、ＡＰＡ１１５及びポリシーエンフォーサ１１４を介してＡＡＡサーバＡ１１２に、接続要求を送信する（７０１）。ＡＡＡサーバＡ１１２は、接続要求を受信する。すると、ＡＡＡサーバＡ１１２は、ポリシーエンフォーサ１１４及びＡＰＡ１１５を介して、接続要求の送信元であるユーザＰＣ１１６に、認証情報要求を送信する（７０２）。
【００５４】
ユーザＰＣ１１６は、認証情報要求を受信する。すると、ユーザＰＣ１１６は、ＡＰＡ１１５及びポリシーエンフォーサ１１４を介してＡＡＡサーバＡ１１２に、ユーザＩＤ及びパスワードを含む認証情報を送信する（７０３）。
【００５５】
ＡＡＡサーバＡ１１２は、ユーザＩＤ及びパスワードを含む認証情報を受信する。このとき、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６のＭＡＣアドレスを取得する。次に、ＡＡＡサーバＡ１１２は、受信したユーザＩＤとユーザデータテーブル４５のユーザＩＤ５１とが一致するレコードを、ユーザデータテーブル４５から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードからパスワード５２及び企業名５３を抽出する。
【００５６】
次に、ＡＡＡサーバＡ１１２は、受信したパスワードと抽出したパスワード５２とが一致するか否かを判定することによって、ユーザＰＣ１１６に対する認証を行う（７０４）。
【００５７】
受信したパスワードと抽出したパスワード５２とが一致しない場合、ＡＡＡサーバＡ１１２は、認証失敗と判断する。この場合、ＡＡＡサーバＡ１１２は、認証失敗を、ＡＰＡ１１５及びユーザＰＣ１１６に通知する。
【００５８】
一方、受信したパスワードと抽出したパスワード５２とが一致した場合、ＡＡＡサーバＡ１１２は、認証成功と判断する。この場合、ＡＡＡサーバＡ１１２は、抽出した企業名５３に値が格納されているか否かを判定する。
【００５９】
抽出した企業名５３に値が格納されていない場合、受信したユーザＩＤによって識別されるユーザが法人ユーザでない。そこで、ＡＡＡサーバＡ１１２は、認証成功を、ＡＰＡ１１５及びユーザＰＣ１１６に通知する。
【００６０】
一方、抽出した企業名５３に値が格納されている場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約を結んでいる。そこで、ＡＡＡサーバＡ１１２は、取得したユーザＰＣ１１６のＭＡＣアドレスを、ＤＨＣＰサーバＡ１１３に送信する（７０５）。
【００６１】
ＤＨＣＰサーバＡ１１３は、ＭＡＣアドレスを受信する。すると、ＤＨＣＰサーバＡ１１３は、当該受信したＭＡＣアドレスを持つユーザＰＣ１１６に配布予定のＩＰアドレスを、ＡＡＡサーバＡ１１２に送信する（７０６）。なお、ＤＨＣＰサーバＡ１１３は、当該受信したＭＡＣアドレスと配布予定のＩＰアドレスとの対応を記憶する。
【００６２】
ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６に配布予定のＩＰアドレスを受信する。すると、ＡＡＡサーバＡ１１２は、抽出した企業名５３と法人契約企業リスト４６の企業名６１とが一致するレコードを、法人契約企業リスト４６から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードから、ＡＡＡサーバアドレス６２及び公開鍵６３を抽出する。
【００６３】
次に、ＡＡＡサーバＡ１１２は、抽出したＡＡＡサーバアドレス６２宛てに、接続ポリシー要求を送信する。これによって、ＡＡＡサーバＡ１１２は、接続ポリシー要求を、企業Ｈ網１１に備わるＡＡＡサーバＨ１８に送信する（７０７）。
【００６４】
ＡＡＡサーバＨ１８は、接続ポリシー要求を受信する。すると、ＡＡＡサーバＨ１８は、ユーザＰＣ１１６の通信に適用される接続ポリシーを、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２に送信する（７０８）。
【００６５】
なお、接続ポリシーは、ユーザごとに設定されていてもよいし、企業ごとに設定されてもよい。接続ポリシーがユーザごとに設定されている場合、接続ポリシー要求は、ユーザＩＤを含む。そして、ＡＡＡサーバＨ１８は、受信した接続ポリシー要求に備わるユーザＩＤに対応する接続ポリシーを、ＡＡＡサーバＡ１１２に送信する（７０８）。
【００６６】
なお、接続ポリシー要求の送受信及び接続ポリシーの送受信は、安全に行われる必要がある。例えば、ＡＡＡサーバＡ１１２及びＡＡＡサーバＨ１８は、接続ポリシー要求及び接続ポリシーを公開鍵暗号方式で暗号化してから送受信する（７０９）。
【００６７】
具体的には、ＡＡＡサーバＡ１１２は、抽出した公開鍵６３を使って接続ポリシー要求を暗号化する。次に、ＡＡＡサーバＡ１１２は、暗号化された接続ポリシー要求をＡＡＡサーバＨ１８へ送信する。ＡＡＡサーバＨ１８は、暗号化された接続ポリシー要求を受信する。すると、ＡＡＡサーバＨ１８は、当該ＡＡＡサーバＨ１８の秘密鍵を用いて、受信した接続ポリシー要求を復号化する。
【００６８】
一方、ＡＡＡサーバＨ１８は、ＡＡＡサーバＡ１１２の公開鍵を用いて、ユーザＰＣ１１６の通信に適用される接続ポリシーを暗号化する。次に、ＡＡＡサーバＨ１８は、暗号化された接続ポリシーをＡＡＡサーバＡ１１２に送信する。ＡＡＡサーバＡ１１２は、暗号化された接続ポリシーを受信する。すると、ＡＡＡサーバＡ１１２は、当該ＡＡＡサーバＡ１１２の秘密鍵を用いて、受信した接続ポリシーを復号化する。
【００６９】
なお、ＡＡＡサーバＡ１１２及びＡＡＡサーバＨ１８は、接続ポリシー要求及び接続ポリシーを、公開鍵暗号方式でなく、秘密鍵暗号方式で暗号化してから送受信してもよい。
【００７０】
ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６の通信に適用される接続ポリシーを受信する。すると、ＡＡＡサーバＡ１１２は、受信した接続ポリシー及びステップ７０６で受信したＩＰアドレスを、ポリシーエンフォーサ１１４に送信する（７１０）。
【００７１】
ポリシーエンフォーサ１１４は、接続ポリシー及びＩＰアドレスを受信する。すると、ポリシーエンフォーサ１１４は、受信した接続ポリシー及びＩＰアドレスに基づいて、接続ポリシー設定テーブル２６を更新する（７１１）。
【００７２】
例えば、ポリシーエンフォーサ１１４は、接続ポリシー設定テーブル２６に新たな二つのレコードを作成する。次に、ポリシーエンフォーサ１１４は、作成された一方のレコードの送信元ＩＰアドレス３１に、受信したＩＰアドレスを格納する。次に、ポリシーエンフォーサ１１４は、作成されたもう一方のレコードの送信先ＩＰアドレス３２に、受信したＩＰアドレスを格納する。更に、ポリシーエンフォーサ１１４は、作成された二つのレコードの動作３４に、受信した接続ポリシーに対応する処理の内容を格納する。
【００７３】
一方、ＡＡＡサーバＡ１１２は、ＡＰＡ１１５及びユーザＰＣ１１６に認証成功を通知する（７１２）。なお、従量制課金の場合には、ＡＡＡサーバＡ１１２は、課金に必要な情報の収集を開始する（７１３）。
【００７４】
ＡＰＡ１１５は、認証成功の通知を受ける。すると、ＡＰＡ１１５は、ユーザＰＣ１１６に対するポートを開放する（７１４）。
【００７５】
ユーザＰＣ１１６は、認証成功の通知を受ける。すると、ユーザＰＣ１１６は、ＩＰアドレス割当要求を、ＤＨＣＰサーバＡ１１３に送信する（７１５）。
【００７６】
ＤＨＣＰサーバＡ１１３は、ＩＰアドレス割当要求を受信する。すると、ＤＨＣＰサーバＡ１１３は、ＩＰアドレス割当要求の送信元であるユーザＰＣ１１６のＭＡＣアドレスを取得する。次に、ＤＨＣＰサーバＡ１１３は、取得したＭＡＣアドレスを持つユーザＰＣ１１６に配布予定のＩＰアドレスを特定する。次に、ＤＨＣＰサーバＡ１１３は、特定したＩＰアドレスを、ユーザＰＣ１１６に割り当てる（７１６）。
【００７７】
これによって、ユーザＰＣ１１６は、インターネット１３への接続が可能になる。
【００７８】
ここでは、その後にＶＰＮ通信が行われる場合を説明する。
【００７９】
ユーザＰＣ１１６は、企業Ｈ網１１に備わるＶＰＮサーバ１１０に接続要求を送信する（７１７）。その後、企業Ｈ網１１に備わるＡＡＡサーバＨ１８は、ユーザＰＣ１１６に対する認証処理を行う（７１８）。
【００８０】
認証が失敗の場合、ＡＡＡサーバＨ１８は、認証失敗を、ユーザＰＣ１１６に通知する。この場合、ユーザＰＣ１１６は、企業Ｈ網１１にアクセスできない。
【００８１】
一方、認証が成功の場合、ユーザＰＣ１１６とＶＰＮサーバ１１０との間にＶＰＮトンネルが構築される（７１９）。そして、ユーザＰＣ１１６は、構築されたＶＰＮトンネルを用いて、サービス提供サーバ１９にアクセスする（７２０）。
【００８２】
ＶＰＮ通信終了時には、ユーザＰＣ１１６は、ＶＰＮサーバ１１０との間で切断処理を行う（７２１）。次に、ユーザＰＣ１１６は、ＡＡＡサーバＡ１１２との間で切断処理を行う（７２２）。
【００８３】
なお、従量制課金の場合には、ＡＡＡサーバＡ１１２は、課金に必要な情報の収集を終了する（７２３）。
【００８４】
次に、ＤＨＣＰサーバＡ１１３は、ユーザＰＣ１１６に割り当てられたＩＰアドレスを解放する（７２４）。次に、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６の通信終了をＡＰＡ１１５及びポリシーエンフォーサ１１４に通知する（７２５及び７２７）。
【００８５】
ＡＰＡ１１５は、ユーザＰＣ１１６の通信終了の通知を受ける。すると、ＡＰＡ１１５は、当該ユーザＰＣ１１６に対するポートを閉鎖する（７２６）。
【００８６】
一方、ポリシーエンフォーサ１１４は、ユーザＰＣ１１６の通信終了の通知を受ける。すると、ポリシーエンフォーサ１１４は、接続ポリシー設定テーブル２６を更新する（７２８）。
【００８７】
具体的には、ポリシーエンフォーサ１１４は、通信を終了するユーザＰＣ１１６に割り当てられたＩＰアドレスと接続ポリシー設定テーブル２６の送信元ＩＰアドレス３１とが一致するレコードを、接続ポリシー設定テーブル２６から削除する。次に、ポリシーエンフォーサ１１４は、通信を終了するユーザＰＣ１１６に割り当てられたＩＰアドレスと接続ポリシー設定テーブル２６の送信先ＩＰアドレス３２とが一致するレコードを、接続ポリシー設定テーブル２６から削除する。
【００８８】
そして、計算機システムは、ユーザアクセス処理を終了する。
【００８９】
図８は、本発明の第１の実施の形態のポリシーエンフォーサ１１４のパケット処理のフローチャートである。
【００９０】
ポリシーエンフォーサ１１４は、パケットを受信すると（８１）、パケット処理を開始する。
【００９１】
まず、ポリシーエンフォーサ１１４は、受信したパケットがポリシー制御の対象であるか否かを判定する（８２）。具体的には、ポリシーエンフォーサ１１４は、受信したパケットの送信元ＩＰアドレスと接続ポリシー設定テーブル２６の送信元ＩＰアドレス３１とが一致するレコードを、接続ポリシー設定テーブル２６から選択する。なお、ポリシーエンフォーサ１１４は、送信元ＩＰアドレス３１に値が格納されていないレコードも、受信したパケットの送信元ＩＰアドレスと接続ポリシー設定テーブル２６の送信元ＩＰアドレス３１とが一致するレコードとして選択する。
【００９２】
次に、ポリシーエンフォーサ１１４は、受信したパケットの送信先ＩＰアドレスと接続ポリシー設定テーブル２６の送信先ＩＰアドレス３２とが一致するレコードを、選択したレコードの中から選択する。なお、ポリシーエンフォーサ１１４は、送信先ＩＰアドレス３２に値が格納されていないレコードも、受信したパケットの送信先ＩＰアドレスと接続ポリシー設定テーブル２６の送信先ＩＰアドレス３２とが一致するレコードとして選択する。
【００９３】
次に、ポリシーエンフォーサ１１４は、受信したパケットが接続ポリシー設定テーブル２６のその他の条件３３を満たすレコードを、選択したレコードの中から選択する。ポリシーエンフォーサ１１４は、当該レコードを選択できたか否かを判定する。
【００９４】
当該レコードを選択できなかった場合、ポリシーエンフォーサ１１４は、受信したパケットがポリシー制御の対象でないと判定する。この場合、ポリシーエンフォーサ１１４は、受信したパケットを転送する。そして、ポリシーエンフォーサ１１４は、当該パケット処理を終了する。
【００９５】
一方、当該レコードを選択できた場合、ポリシーエンフォーサ１１４は、受信したパケットがポリシー制御の対象であると判定する。そこで、ポリシーエンフォーサ１１４は、選択したレコードから、動作３４を抽出する。次に、ポリシーエンフォーサ１１４は、受信したパケットに、抽出した動作３４に対応する処理を行う（８３）。
【００９６】
例えば、動作３４に「転送」が格納されている場合、ポリシーエンフォーサ１１４は、受信したパケットを転送する。一方、動作３４に「廃棄」が格納されている場合、ポリシーエンフォーサ１１４は、受信したパケットを廃棄する。
【００９７】
そして、ポリシーエンフォーサ１１４は、当該パケット処理を終了する。
【００９８】
以上のように、ポリシーエンフォーサ１１４は、ユーザＰＣ１１６から送信されたパケット及びユーザＰＣ１１６へ送信されるパケットのうち、接続ポリシーを満たすパケットのみを転送する。更に、ポリシーエンフォーサ１１４は、企業Ｈ網１１に備わるユーザＰＣ１１６の通信へ適用される接続ポリシーを、ＡＰＡ１１５に接続されるユーザＰＣ１１６の通信に対しても適用できる。
【００９９】
本実施の形態によれば、ＩＳＰと法人契約を結ぶ企業に属するユーザＰＣ１１６の通信に対して、当該企業の接続ポリシーを適用できる。また、ＩＳＰが接続ポリシー制御を行うので、ユーザＰＣ１１６と企業網との間のＶＰＮによる通信量を削減できる。
【０１００】
（第２の実施の形態）
第２の実施の形態では、ユーザＰＣ１１６に対してＶＰＮ通信のみが許可される。
【０１０１】
図９は、本発明の第２の実施の形態の計算機システムの構成のブロック図である。
【０１０２】
計算機システムは、企業Ｈ網１１、ＩＳＰＡ網１２、インターネット１３及び外部リソース１４を備える。
【０１０３】
企業Ｈ網１１、インターネット１３及び外部リソース１４は、第１の実施の形態の計算機システムに備わるものと同一である。また、企業Ｈ網１１は、ポリシーエンフォーサ１１４の代わりに、ルータＺ９１を備える点を除き、第１の実施の形態の計算機システムに備わるものと同一である。同一の構成には同一の番号を付すことによって、説明を省略する。
【０１０４】
ルータＺ９１は、ＡＰＡ１１５に接続される。また、ルータＺ９１は、パケットを受信し、受信したパケットを転送する。更に、ルータＺ９１は、ユーザＰＣ１１６の通信に対する接続ポリシー制御を行う。なお、ルータＺ９１については、図１１で詳細を説明する。
【０１０５】
図１０は、本発明の第２の実施の形態のＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６の構成図である。
【０１０６】
法人契約企業リスト４６は、企業名６１、ＶＰＮサーバアドレス６５、制御内容６６及び課金情報６４を含む。
【０１０７】
企業名６１は、ＩＳＰの「Ａ」と法人契約を結ぶ企業の一意な識別子である。ＶＰＮサーバアドレス６５は、当該レコードの企業名６１によって識別される企業の内部ネットワークに備わるＶＰＮサーバ１１０のＩＰアドレスである。
【０１０８】
制御内容６６は、当該レコードの企業名６１によって識別される企業に属するユーザＰＣ１１６の通信に対する制御の内容を示す。なお、本実施の形態では、ＶＰＮ通信のみが許可される。よって、制御内容６６は、ＶＰＮ通信以外のパケットの破棄を示す。
【０１０９】
課金情報６４は、当該レコードの企業名６１によって識別される企業に課された金額である。
【０１１０】
図１１は、本発明の第２の実施の形態のＩＳＰＡ網１２に備わるルータＺ９１の構成のブロック図である。
【０１１１】
ルータＺ９１は、ＣＰＵ１２１、メモリ１２２、フィルタリング設定テーブル１２６及び外部インタフェース１２７を備える。
【０１１２】
外部インタフェース１２７は、外部の装置と接続されるインタフェースである。例えば、外部インタフェース１２７は、ＡＰＡ１１５、ＤＨＣＰサーバＡ１１３、ＡＡＡサーバＡ１１２及びルータＡ１１１などに接続される。
【０１１３】
ＣＰＵ１２１は、メモリ１２２に記憶されるプログラムを実行することによって、各種処理を行う。メモリ１２２は、ＣＰＵ１２１によって実行されるプログラム及びＣＰＵ１２１によって必要とされる情報などを記憶する。具体的には、メモリ１２２は、フィルタリングプログラム１２３、フィルタリング設定テーブル制御プログラム１２４及びルーティングプログラム１２５を記憶する。
【０１１４】
フィルタリングプログラム１２３は、フィルタリング設定テーブル１２６を参照して、受信したパケットをフィルタリングする。フィルタリング設定テーブル制御プログラム１２４は、フィルタリング設定テーブル１２６を更新する。ルーティングプログラム１２５は、パケットを受信し、受信したパケットを転送する。
【０１１５】
フィルタリング設定テーブル１２６は、フィルタリングの対象となるパケットに関する情報を示す。なお、フィルタリング設定テーブル１２６については、図１２で詳細を説明する。
【０１１６】
図１２は、本発明の第２の実施の形態のルータＺ９１に備わるフィルタリング設定テーブル１２６の構成図である。
【０１１７】
フィルタリング設定テーブル１２６は、送信元ＩＰアドレス１３１、送信先ＩＰアドレス１３２及び動作１３３を含む。
【０１１８】
送信元ＩＰアドレス１３１及び送信先ＩＰアドレス１３２は、パケットに対して当該レコードの動作１３３を実行するか否かを判定するための条件である。動作１３３は、当該レコードに該当するパケットに対する処理の内容である。
【０１１９】
例えば、レコード１２６１の送信元ＩＰアドレス１３１には、ユーザＰＣ１１６に割り当てられたＩＰアドレスが格納されている。また、レコード１２６１の送信先ＩＰアドレス１３２には、企業Ｈ網１１に備わるＶＰＮサーバ１１０のＩＰアドレスが格納されている。また、レコード１２６１の動作１３３は、当該レコード１２６１に該当するパケットの廃棄を示す。そのため、ルータＺ９１は、ユーザＰＣ１１６を送信元とするパケットのうち、ＶＰＮサーバ１１０を送信先としないパケットを廃棄する。
【０１２０】
また、レコード１２６２の送信元ＩＰアドレス１３１には、企業Ｈ網１１に備わるＶＰＮサーバ１１０のＩＰアドレスが格納されている。また、レコード１２６２の送信先ＩＰアドレス１３２には、ユーザＰＣ１１６に割り当てられたＩＰアドレスが格納されている。また、レコード１２６２の動作１３３は、当該レコード１２６２に該当するパケットの廃棄を示す。そのため、ルータＺ９１は、ユーザＰＣ１１６を送信先とするパケットのうち、ＶＰＮサーバ１１０を送信元としないパケットを廃棄する。
【０１２１】
図１３は、本発明の第２の実施の形態の計算機システムのユーザアクセス処理のシーケンス図である。
【０１２２】
本シーケンス図は、ユーザＰＣ１１６の認証に成功した場合である。
【０１２３】
また、企業Ｈは、ＩＳＰの「Ａ」と法人契約を結んでいる。そのため、ＡＡＡサーバＡ１１２に備わるユーザデータテーブル４５には、企業Ｈに属するユーザに関する情報が格納されている。また、ＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６には、企業Ｈに関する情報が格納されている。
【０１２４】
まず、ステップ７０１〜７０６が実行される。なお、ステップ７０１〜７０６は、第１の実施の形態の計算機システムのユーザアクセス処理（図７）に含まれるものと同一なので説明を省略する。
【０１２５】
ステップ７０６が終了すると、ＡＡＡサーバＡ１１２は、ステップ７０４で抽出した企業名５３と法人契約企業リスト４６の企業名６１とが一致するレコードを、法人契約企業リスト４６から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードから、ＶＰＮサーバアドレス６５及び制御内容６６を抽出する。
【０１２６】
次に、ＡＡＡサーバＡ１１２は、抽出したＶＰＮサーバアドレス６５、抽出した制御内容６６及びステップ７０６で受信したＩＰアドレスを、ルータＺ９１に送信する（１４１）。
【０１２７】
ルータＺ９１は、ＶＰＮサーバアドレス６５、制御内容６６及びＩＰアドレスを受信する。次に、ルータＺ９１は、受信したＶＰＮサーバアドレス６５、制御内容６６及びＩＰアドレスに基づいて、フィルタリング設定テーブル１２６を更新する（１４２）。
【０１２８】
例えば、ルータＺ９１は、フィルタリング設定テーブル１２６に新たなレコードを作成する。次に、ルータＺ９１は、作成した新たなレコードの送信元ＩＰアドレス１３１に、受信したＶＰＮサーバアドレス６５を格納する。次に、ルータＺ９１は、作成した新たなレコードの送信先ＩＰアドレス１３２に、受信したＩＰアドレスを格納する。次に、ルータＺ９１は、作成した新たなレコードの動作１３３に、受信した制御内容６６を格納する。
【０１２９】
更に、ルータＺ９１は、フィルタリング設定テーブル１２６に新たなレコードを作成する。次に、ルータＺ９１は、作成した新たなレコードの送信元ＩＰアドレス１３１に、受信したＩＰアドレスを格納する。次に、ルータＺ９１は、作成した新たなレコードの送信先ＩＰアドレス１３２に、受信したＶＰＮサーバアドレス６５を格納する。次に、ルータＺ９１は、作成した新たなレコードの動作１３３に、受信した制御内容６６を格納する。
【０１３０】
その後、ルータＺ９１は、更新したフィルタリング設定テーブル１２６に基づいて、フィルタリングを行う。そのため、ルータＺ９１は、法人契約を結ぶ企業に属するユーザＰＣ１１６の通信のうち、ユーザＰＣ１１６と外部リソース１４との通信を遮断する。つまり、ルータＺ９１は、法人契約を結ぶ企業に属するユーザＰＣ１１６の通信のうち、ＶＰＮ通信のみを通過させる。
【０１３１】
その後、ステップ７１２〜７２６が実行される。なお、ステップ７１２〜７２６は、第１の実施の形態の計算機システムのユーザアクセス処理に含まれるものと同一なので説明を省略する。
【０１３２】
ステップ７２６が終了すると、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６の通信終了をルータＺ９１に通知する（１４３）。
【０１３３】
ルータＺ９１は、ユーザＰＣ１１６の通信終了の通知を受ける。すると、ルータＺ９１は、フィルタリング設定テーブル１２６を更新する。これによって、ルータＺ９１は、フィルタリングを終了する（１４４）。
【０１３４】
具体的には、ルータＺ９１は、通信を終了するユーザＰＣ１１６に割り当てられたＩＰアドレスとフィルタリング設定テーブル１２６の送信元ＩＰアドレス１３１とが一致するレコードを、フィルタリング設定テーブル１２６から削除する。次に、ルータＺ９１は、通信を終了するユーザＰＣ１１６に割り当てられたＩＰアドレスとフィルタリング設定テーブル１２６の送信先ＩＰアドレス１３２とが一致するレコードを、フィルタリング設定テーブル１２６から削除する。
【０１３５】
そして、計算機システムは、ユーザアクセス処理を終了する。
【０１３６】
図１４は、本発明の第２の実施の形態のＡＡＡサーバＡ１１２の認証処理のフローチャートである。
【０１３７】
ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６から接続要求を受信すると（１５０１）、当該認証処理を開始する。
【０１３８】
まず、ＡＡＡサーバＡ１１２は、接続要求の送信元であるユーザＰＣ１１６に、認証情報要求を送信する（１５０２）。ユーザＰＣ１１６は、認証情報要求を受信すると、ユーザＩＤ及びパスワードを含む認証情報を送信する。
【０１３９】
ＡＡＡサーバＡ１１２は、ユーザＩＤ及びパスワードを含む認証情報を受信する（１５０３）。このとき、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６のＭＡＣアドレスを取得する。
【０１４０】
次に、ＡＡＡサーバＡ１１２は、受信したユーザＩＤとユーザデータテーブル４５のユーザＩＤ５１とが一致するレコードを、ユーザデータテーブル４５から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードからパスワード５２及び企業名５３を抽出する。
【０１４１】
次に、ＡＡＡサーバＡ１１２は、受信したパスワードと抽出したパスワード５２とが一致するか否かを判定することによって、ユーザＰＣ１１６に対する認証を行う（１５０４）。
【０１４２】
受信したパスワードと抽出したパスワード５２とが一致しない場合、ＡＡＡサーバＡ１１２は、認証失敗と判断する（１５０５）。この場合、ＡＡＡサーバＡ１１２は、認証失敗を、ＡＰＡ１１５及びユーザＰＣ１１６に通知する（１５１３）。
【０１４３】
一方、受信したパスワードと抽出したパスワード５２とが一致した場合、ＡＡＡサーバＡ１１２は、認証成功と判断する（１５０５）。この場合、ＡＡＡサーバＡ１１２は、抽出した企業名５３に値が格納されているか否かを判定する。これによって、ＡＡＡサーバＡ１１２は、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約しているか否かを判定する（１５０６）。
【０１４４】
抽出した企業名５３に値が格納されていない場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約を結んでいない。そこで、ＡＡＡサーバＡ１１２は、そのままステップ１５１０に進む。そして、ＡＡＡサーバＡ１１２は、認証成功を、ＡＰＡ１１５及びユーザＰＣ１１６に通知する。
【０１４５】
一方、抽出した企業名５３に値が格納されている場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約を結んでいる。そこで、ＡＡＡサーバＡ１１２は、取得したユーザＰＣ１１６のＭＡＣアドレスを、ＤＨＣＰサーバＡ１１３に送信する（１５０７）。
【０１４６】
次に、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６に配布予定のＩＰアドレスをＤＨＣＰサーバＡ１１３から受信する（１５０８）。すると、ＡＡＡサーバＡ１１２は、抽出した企業名５３と法人契約企業リスト４６の企業名６１とが一致するレコードを、法人契約企業リスト４６から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードから、ＶＰＮサーバアドレス６５及び制御内容６６を抽出する。
【０１４７】
次に、ＡＡＡサーバＡ１１２は、抽出したＶＰＮサーバアドレス６５、抽出した制御内容６６及び受信したＩＰアドレスを、ルータＺ９１に送信する（１５０９）。
【０１４８】
次に、ＡＡＡサーバＡ１１２は、ＡＰＡ１１５及びユーザＰＣ１１６に認証成功を通知する（１５１０）。更に、従量制課金の場合には、ＡＡＡサーバＡ１１２は、課金に必要な情報の収集を開始する（１５１１）。
【０１４９】
そして、ＡＡＡサーバＡ１１２は、当該認証処理を終了する。
【０１５０】
本実施の形態では、ＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６の制御内容６６には、企業の接続ポリシーが予め登録されているが、予め登録されていなくてもよい。この場合、ＡＡＡサーバＡ１１２は、第１の実施の形態と同様に、企業Ｈ網１１に備わるＡＡＡサーバＨ１８から、接続ポリシーを取得する。
【０１５１】
また、本実施の形態では、企業ごとに接続ポリシーが設定されているが、ユーザごとに接続ポリシーが設定されていてもよい。この場合、ＡＡＡサーバＡ１１２に備わるユーザデータテーブル４５に、接続ポリシーが登録される。
【０１５２】
（第３の実施の形態）
第３の実施の形態では、ＩＳＰの「Ａ」と法人契約を結ぶ企業ごとに、ユーザＰＣ１１６に割り当てられるＩＰアドレスが予め決められている。
【０１５３】
本発明の第３の実施の形態の計算機システムの構成は、第２の実施の形態の計算機システム（図９）と同一なので、説明を省略する。但し、ＤＨＣＰサーバＡ１１３は、ＩＰアドレス予約テーブル１６１を備える。ＩＰアドレス予約テーブル１６１は、企業に属するユーザＰＣ１１６に割り当てられるＩＰアドレスを管理する。
【０１５４】
図１５は、本発明の第３の実施の形態のＤＨＣＰサーバＡ１１３に記憶されるＩＰアドレス予約テーブル１６１の構成図である。
【０１５５】
ＩＰアドレス予約テーブル１６１は、企業名１６２及びＩＰアドレス１６３を含む。
【０１５６】
企業名１６２は、ＩＳＰの「Ａ」と法人契約を結ぶ企業の一意な識別子である。ＩＰアドレス１６３は、当該レコードの企業名６１によって識別される企業に属するユーザＰＣ１１６に割り当てられるＩＰアドレスである。
【０１５７】
ＤＨＣＰサーバＡ１１３は、ユーザＰＣ１１６からＩＰアドレス割当要求を受信すると、当該ユーザＰＣ１１６が属する企業に対応するＩＰアドレスをユーザＰＣ１１６に割り当てる。
【０１５８】
このように、本実施の形態では、ＩＳＰの「Ａ」と法人契約を結ぶ企業ごとに、ユーザＰＣ１１６に割り当てられるＩＰアドレスが予め決められている。そのため、ルータＺ９１に備わるフィルタリング設定テーブル１２６には、情報が予め登録されていてもよい。
【０１５９】
図１６は、本発明の第３の実施の形態のルータＺ９１に備わるフィルタリング設定テーブル１２６の構成図である。
【０１６０】
フィルタリング設定テーブル１２６は、送信元ＩＰアドレス１３１、送信先ＩＰアドレス１３２及び動作１３３を含む。
【０１６１】
送信元ＩＰアドレス１３１及び送信先ＩＰアドレス１３２は、パケットに対して当該レコードの動作１３３を実行するか否かを判定するための条件である。動作１３３は、当該レコードに該当するパケットに対する処理の内容である。
【０１６２】
なお、送信元ＩＰアドレス１３１又は送信先ＩＰアドレス１３２には、企業に属するユーザＰＣ１１６に割り当てられる予定のＩＰアドレスが格納される。
【０１６３】
例えば、レコード１２６３の送信元ＩＰアドレス１３１には、企業Ｈに属するユーザＰＣ１１６に割り当てられる予定のＩＰアドレスが格納されている。また、レコード１２６３の送信先ＩＰアドレス１３２には、企業Ｈ網１１に備わるＶＰＮサーバ１１０のＩＰアドレスが格納されている。また、レコード１２６３の動作１３３は、当該レコード１２６３に該当するパケットの廃棄を示す。そのため、ルータＺ９１は、企業Ｈに属するユーザＰＣ１１６を送信元とするパケットのうち、ＶＰＮサーバ１１０を送信先としないパケットを廃棄する。
【０１６４】
また、レコード１２６４の送信元ＩＰアドレス１３１には、企業Ｈ網１１に備わるＶＰＮサーバ１１０のＩＰアドレスが格納されている。また、レコード１２６４の送信先ＩＰアドレス１３２には、企業Ｈに属するユーザＰＣ１１６に割り当てられる予定のＩＰアドレスが格納されている。また、レコード１２６４の動作１３３は、当該レコード１２６４に該当するパケットの廃棄を示す。そのため、ルータＺ９１は、企業Ｈに属するユーザＰＣ１１６を送信先とするパケットのうち、ＶＰＮサーバ１１０を送信元としないパケットを廃棄する。
【０１６５】
このため、第３の形態の計算機システムの処理では、ステップ１４１及び１４２が省略される。第３の実施の計算機システムのそれ以外の処理は、第２の実施の形態の処理（図１３）と同一なので、説明を省略する。
【０１６６】
（第４の実施の形態）
第２及び第３の実施の形態では、ＩＳＰの「Ａ」と法人契約を結ぶ企業に属するユーザＰＣ１１６に対してはＶＰＮ通信のみが許可された。しかしこの場合、すべての通信をＶＰＮ経由で行うので非効率である。そこで、第４の実施の形態では、ＩＳＰの「Ａ」と法人契約を結ぶ企業に属するユーザＰＣ１１６に対して、ＶＰＮ通信以外の通信も許可される。但し、ＩＳＰの「Ａ」と法人契約を結ぶ企業に属するユーザＰＣ１１６の通信には、当該ユーザＰＣ１１６が属する企業の接続ポリシーが適用された上で、インターネットへのアクセスが許可される。
【０１６７】
図１７は、本発明の第４の実施の形態の計算機システムの構成のブロック図である。
【０１６８】
本発明の第４の実施の形態の計算機システムの構成は、ＩＳＰＡ網１２がプロキシサーバＡ１８１を備えることを除き、第２の実施の形態の計算機システム（図９）と同一である。同一の構成には同一の番号を付すことによって、説明を省略する。
【０１６９】
プロキシサーバＡ１８１は、ＣＰＵ、メモリ、インタフェース及び接続ポリシー設定テーブル２６を備える計算機である。また、プロキシサーバＡ１８１は、ユーザＰＣ１１６から外部リソース１４へのアクセスを一元管理する。これによって、プロキシサーバＡ１８１は、ユーザＰＣ１１６に高度なセキュリティを提供する。
【０１７０】
接続ポリシー設定テーブル２６は、ユーザＰＣ１１６の通信に適用される接続ポリシーを管理する。なお、接続ポリシー設定テーブル２６については、図１９で詳細を説明する。
【０１７１】
また、外部リソース１４は、ＷＥＢサーバ１８２を備える。ＷＥＢサーバ１８２は、ＣＰＵ、メモリ及びインタフェースを備える計算機である。また、ＷＥＢサーバ１８２は、ユーザＰＣ１１６から要求された情報を、当該ユーザＰＣ１１６に送信する。
【０１７２】
図１８は、本発明の第４の実施の形態のルータＺ９１に備わるフィルタリング設定テーブル１２６の構成図である。
【０１７３】
フィルタリング設定テーブル１２６は、送信元ＩＰアドレス１３１、送信先ＩＰアドレス１３２及び動作１３３を含む。
【０１７４】
送信元ＩＰアドレス１３１及び送信先ＩＰアドレス１３２は、パケットに対して当該レコードの動作１３３を実行するか否かを判定するための条件である。動作１３３は、当該レコードに該当するパケットに対する処理の内容である。
【０１７５】
なお、送信元ＩＰアドレス１３１又は送信先ＩＰアドレス１３２には、企業に属するユーザＰＣ１１６に割り当てられているＩＰアドレスが格納される。
【０１７６】
例えば、レコード１２６５の送信元ＩＰアドレス１３１には、ユーザＰＣ１１６に割り当てられているＩＰアドレスが格納されている。また、レコード１２６５の送信先ＩＰアドレス１３２には、企業Ｈ網１１に備わるＶＰＮサーバ１１０のＩＰアドレスが格納されている。また、レコード１２６５の動作１３３は、当該レコード１２６５に該当するパケットの転送先を示す。そのため、ルータＺ９１は、企業Ｈに属するユーザＰＣ１１６を送信元とするパケットのうち、ＶＰＮサーバ１１０を送信先とするパケットを、当該ＶＰＮサーバ１１０に転送する。一方、ルータＺ９１は、企業Ｈに属するユーザＰＣ１１６を送信元とするパケットのうち、ＶＰＮサーバ１１０を送信先としないパケットを、プロキシサーバＡ１８１へ転送する。
【０１７７】
また、レコード１２６６の送信元ＩＰアドレス１３１には、企業Ｈ網１１に備わるＶＰＮサーバ１１０のＩＰアドレス及びＩＳＰＡ網１２に備わるプロキシサーバＡ１８１のＩＰアドレスが格納されている。また、レコード１２６６の送信先ＩＰアドレス１３２には、企業Ｈに属するユーザＰＣ１１６に割り当てられているＩＰアドレスが格納されている。また、レコード１２６６の動作１３３は、当該レコード１２６６に該当するパケットの処理内容を示す。そのため、ルータＺ９１は、企業Ｈに属するユーザＰＣ１１６を送信先とするパケットのうち、ＶＰＮサーバ１１０又はプロキシサーバＡ１８１を送信元とするパケットを、当該ユーザＰＣ１１６に送信する。一方、ルータＺ９１は、企業Ｈに属するユーザＰＣ１１６を送信先とするパケットのうち、ＶＰＮサーバ１１０又はプロキシサーバＡ１８１を送信元としないパケットを廃棄する。
【０１７８】
図１９は、本発明の第４の実施の形態のポリシーエンフォーサ１１４に備わる接続ポリシー設定テーブル２６の構成図である。
【０１７９】
接続ポリシー設定テーブル２６に含まれる一つのレコードは、一つの接続ポリシーを示す。また、接続ポリシー設定テーブル２６は、送信元ＩＰアドレス３１、送信先ＩＰアドレス３２、プロトコル３５、送信元ポート番号３６、送信先ポート番号３７、送信元ＵＲＬ３８、送信先ＵＲＬ３９及び動作３４を含む。
【０１８０】
送信元ＩＰアドレス３１は、当該レコードに対応する接続ポリシーが適用されるパケットの送信元のＩＰアドレスである。送信先ＩＰアドレス３２は、当該レコードに対応する接続ポリシーが適用されるパケットの送信元のＩＰアドレスである。
【０１８１】
プロトコル３５は、当該レコードに対応する接続ポリシーが適用されるパケットのプロトコルである。送信元ポート番号３６は、当該レコードに対応する接続ポリシーが適用されるパケットの送信元のポート番号である。送信先ポート番号３７は、当該レコードに対応する接続ポリシーが適用されるパケットの送信先のポート番号である。送信元ＵＲＬ３８は、当該レコードに対応する接続ポリシーが適用されるパケットの送信先のＵＲＬである。送信先ＵＲＬ３９は、当該レコードに対応する接続ポリシーが適用されるパケットの送信先のＵＲＬである。
【０１８２】
動作３４は、当該レコードに対応する接続ポリシーの処理の内容を示す。例えば、動作３４には、転送又は廃棄が格納される。
【０１８３】
例えば、レコード２６８の送信元ＩＰアドレス３１には、ユーザＰＣ１１６に割り当てられているＩＰアドレスが格納されている。また、レコード２６８のプロトコル３５には、ＨＴＴＰ及びＨＴＴＰＳが格納されている。
【０１８４】
そのため、プロキシサーバＡ１８１は、企業Ｈに属するユーザＰＣ１１６を送信元とするパケットのうち、ＨＴＴＰ又はＨＴＴＰＳをプロトコルとするパケットを、当該パケットの送信先に転送する。一方、プロキシサーバＡ１８１は、企業Ｈに属するユーザＰＣ１１６を送信元とするパケットのうち、ＨＴＴＰ及びＨＴＴＰＳ以外をプロトコルとするパケットを廃棄する。
【０１８５】
つまり、ＩＳＰＡ網１２は、ユーザＰＣ１１６に対するアクセス制御の一部又は全部を行う。本実施の形態のユーザＰＣ１１６には、ＶＰＮサーバ１１０への接続及びＷｅｂプロトコルを用いた外部リソースへの接続が許可される。
【０１８６】
図２０は、本発明の第４の実施の形態の計算機システムのユーザアクセス処理のシーケンス図である。
【０１８７】
本シーケンス図は、ユーザＰＣ１１６の認証に成功した場合である。
【０１８８】
また、企業Ｈは、ＩＳＰの「Ａ」と法人契約を結んでいる。そのため、ＡＡＡサーバＡ１１２に備わるユーザデータテーブル４５には、企業Ｈに属するユーザに関する情報が格納されている。また、ＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６には、企業Ｈに関する情報が格納されている。
【０１８９】
まず、ステップ７０１〜７０６、ステップ１４１及びステップ１４２が実行される。なお、ステップ７０１〜７０６、ステップ１４１及びステップ１４２は、第２の実施の形態の計算機システムのユーザアクセス処理（図１３）に含まれるものと同一なので説明を省略する。
【０１９０】
ステップ１４２が終了すると、ＡＡＡサーバＡ１１２は、ステップ１４１で抽出した制御内容６６及びステップ７０６で受信したＩＰアドレスをプロキシサーバＡ１８１に送信する（２１１）。
【０１９１】
プロキシサーバＡ１８１は、制御内容６６及びＩＰアドレスを受信する。すると、プロキシサーバＡ１８１は、受信した制御内容６６及びＩＰアドレスに基づいて、接続ポリシー設定テーブル２６を更新する（２１２）。
【０１９２】
例えば、プロキシサーバＡ１８１は、接続ポリシー設定テーブル２６に新たなレコードを追加する。次に、プロキシサーバＡ１８１は、追加した新たなレコードの送信元ＩＰアドレス３１に、受信したＩＰアドレスを格納する。次に、プロキシサーバＡ１８１は、追加した新たなレコードのプロトコル３５に、「ＨＴＴＰ」及び「ＨＴＴＰＳ」を格納する。次に、プロキシサーバＡ１８１は、追加した新たなレコードの動作３４に、受信した制御内容６６に対応する情報を格納する。
【０１９３】
更に、プロキシサーバＡ１８１は、接続ポリシー設定テーブル２６に新たなレコードを追加する。次に、プロキシサーバＡ１８１は、追加した新たなレコードの送信先ＩＰアドレス３２に、受信したＩＰアドレスを格納する。次に、プロキシサーバＡ１８１は、追加した新たなレコードのプロトコル３５に、「ＨＴＴＰ」及び「ＨＴＴＰＳ」を格納する。次に、プロキシサーバＡ１８１は、追加した新たなレコードの動作３４に、受信した制御内容６６に対応する情報を格納する。
【０１９４】
その後、ステップ７１２〜７１６が実行される。なお、ステップ７１２〜７１６は、第２の実施の形態の計算機システムのユーザアクセス処理（図１３）に含まれるものと同一なので説明を省略する。
【０１９５】
次に、ユーザＰＣ１１６は、プロキシサーバＡ１８１を介して、外部リソース１４に備わるＷＥＢサーバ１８２へアクセスする（２１３及び２１４）。なぜなら、ルータＺ９１は、ユーザＰＣ１１６を送信元とするパケットのうち、ＶＰＮサーバ１１０を送信先としないパケットを、プロキシサーバＡ１８１へ転送するからである。
【０１９６】
その後、ユーザＰＣ１１６の通信終了時には、ステップ７２２〜７２６、ステップ１４３及びステップ１４４が実行される。なお、ステップ７２２〜７２６、ステップ１４３及びステップ１４４は、第２の実施の形態の計算機システムのユーザアクセス処理（図１３）に含まれるものと同一なので説明を省略する。
【０１９７】
ステップ１４４が終了すると、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６の通信終了をプロキシサーバＡ１８１に通知する（２１５）。
【０１９８】
プロキシサーバＡ１８１は、ユーザＰＣ１１６の通信終了の通知を受ける。すると、プロキシサーバＡ１８１は、接続ポリシー設定テーブル２６を更新する（２１６）。
【０１９９】
具体的には、プロキシサーバＡ１８１は、通信を終了するユーザＰＣ１１６に割り当てられたＩＰアドレスと接続ポリシー設定テーブル２６の送信元ＩＰアドレス３１とが一致するレコードを、接続ポリシー設定テーブル２６から削除する。次に、プロキシサーバＡ１８１は、通信を終了するユーザＰＣ１１６に割り当てられたＩＰアドレスと接続ポリシー設定テーブル２６の送信先ＩＰアドレス３２とが一致するレコードを、接続ポリシー設定テーブル２６から削除する。
【０２００】
そして、計算機システムは、ユーザアクセス処理を終了する。
【０２０１】
なお、ユーザＰＣ１１６は、ＶＰＮ通信及び外部リソース１４への通信を同時に行ってもよい。この場合、ユーザＰＣ１１６がすべての通信を終了すると、ステップ７２２〜７２６、ステップ１４３、ステップ１４４、ステップ２１５及びステップ２１６が実行される。
【０２０２】
本実施の形態では、プロキシサーバＡ１８１は、プロトコルの種類に基づいて、通信を制御したが、ＵＲＬ又はポート番号などに基づいて、通信を制御してもよい。
【０２０３】
また、ＡＰＡ１１５に接続されるユーザＰＣ１１６の通信に適用される接続ポリシーと、企業Ｈ網１１に備わるユーザＰＣ１１６の通信に適用される接続ポリシーと、は同一であってもよいし、異なっていてもよい。
【０２０４】
本実施の形態では、ＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６の制御内容６６に、接続ポリシーが予め登録されている。しかし、ＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６に、接続ポリシーが予め登録されていなくてもよい。この場合、ＡＡＡサーバＡ１１２は、第１の実施の形態と同様に、企業Ｈ網１１に備わるＡＡＡサーバＨ１８から、接続ポリシーを取得する。
【０２０５】
（第５の実施の形態）
第１〜第４の実施の形態では、ユーザＰＣ１１６は、当該ユーザＰＣ１１６が属す企業と法人契約を結ぶＩＳＰ網に接続された。一方、本実施の形態では、ユーザＰＣ１１６が、当該ユーザＰＣ１１６が属す企業と法人契約を結んでいないＩＳＰ網に接続される場合を説明する。
【０２０６】
図２１は、本発明の第５の実施の形態の計算機システムの構成のブロック図である。
【０２０７】
第５の実施の形態の計算機システムは、企業Ｈ網１１、ＩＳＰＡ網１２、ＩＳＰＢ網２２１、インターネット１３及び外部リソース１４を備える。なお、企業Ｈ網１１、ＩＳＰＡ網１２、インターネット１３及び外部リソース１４は、第４の実施の形態の計算機システムに備わるものと同一である。同一の構成には、同一の番号を付すことによって、説明を省略する。
【０２０８】
但し、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２は、更に、ローミング契約ＩＳＰリスト２６１及び法人契約企業ローミング条件リスト２７１を備える。
【０２０９】
ローミング契約ＩＳＰリスト２６１は、ＩＳＰが法人対応機能を備えるか否かを示す。なお、ローミング契約ＩＳＰリスト２６１については、図２２で詳細を説明する。
【０２１０】
法人契約企業ローミング条件リスト２７１は、ローミングを許可するための条件を示す。なお、法人契約企業ローミング条件リスト２７１については、図２３で詳細を説明する。
【０２１１】
ＩＳＰＢ網２２１は、ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）の「Ｂ」によって提供されるネットワークである。なお、本実施の形態では、企業Ｈは、ＩＳＰの「Ａ」と法人契約を結んでいるものとする。また、ＩＳＰの「Ａ」とＩＳＰの「Ｂ」とが、ローミング契約を結んでいるものとする。
【０２１２】
ＩＳＰＢ網２２１は、一つ以上のＡＰＢ２２７に接続される。ＡＰＢ２２７は、有線又は無線でユーザ端末装置（ユーザＰＣ）１１６に接続される中継局（ＡＰ：ａｃｃｅｓｓ  ｐｏｉｎｔ）である。
【０２１３】
ＩＳＰＢ網２２１は、ルータＢ２２２、ＡＡＡサーバＢ２２３、ＤＨＣＰサーバＢ２２４、プロキシサーバＢ２２５及びルータＹ２２６を備える。なお、当該ブロック図では、ルータＢ２２２、ＡＡＡサーバＢ２２３、ＤＨＣＰサーバＢ２２４、プロキシサーバＢ２２５及びルータＹ２２６は、ＩＳＰＢ網２２１に一つずつ備わっているが、複数備わっていてもよい。
【０２１４】
ルータＹ２２６は、ＡＰＢ２２７に接続される。また、ルータＹ２２６は、パケットを受信し、受信したパケットを転送する。更に、ルータＹ２２６は、ユーザＰＣ１１６の通信に対する接続ポリシー制御を行う。なお、ルータＹ２２６の構成は、ルータＺ９１（図１１）と同一なので、説明を省略する。
【０２１５】
ＤＨＣＰサーバＢ２２４は、ＣＰＵ、メモリ及びインタフェースを備える計算機である。また、ＤＨＣＰサーバＢ２２４は、インターネット１３に接続するユーザＰＣ１１６に、ＩＰアドレスなどを含む必要な情報を自動的に割り当てる。
【０２１６】
ＡＡＡサーバＢ２２３は、ユーザＰＣ１１６に対する認証を行う。なお、ＡＡＡサーバＢ２２３の構成は、ＡＡＡサーバＡ１１２（図４）と同一なので、説明を省略する。
【０２１７】
ルータＢ２２２は、インターネット１３に接続される。また、ルータＢ２２２は、パケットを受信し、受信したパケットを転送する。
【０２１８】
プロキシサーバＢ２２５は、ＣＰＵ、メモリ、インタフェース及び接続ポリシー設定テーブル２６（図１９）を備える計算機である。また、プロキシサーバＢ２２５は、ユーザＰＣ１１６から外部リソース１４へのアクセスを一元管理する。これによって、プロキシサーバＢ２２５は、ユーザＰＣ１１６に高度なセキュリティを提供する。
【０２１９】
接続ポリシー設定テーブル２６は、ユーザＰＣ１１６の通信に適用される接続ポリシーを管理する。
【０２２０】
図２２は、本発明の第５の実施の形態のＡＡＡサーバＡ１１２に備わるローミング契約ＩＳＰリスト２６１の構成図である。
【０２２１】
ローミング契約ＩＳＰリスト２６１は、ＩＳＰ名２６２、ネットワークアドレス２６３及び法人対応機能２６４を含む。
【０２２２】
ＩＳＰ名２６２は、ＩＳＰの一意な識別子である。ネットワークアドレス２６３は、当該レコードのＩＳＰ名２６２によって識別されるＩＳＰによって提供されるネットワークのアドレスである。
【０２２３】
法人対応機能２６４は、当該レコードのＩＳＰ名２６２によって識別されるＩＳＰが法人対応機能を備えるか否かを示す。具体的には、法人対応機能２６４は、ＶＰＮ以外廃棄２６５及びポリシー制御２６７を含む。
【０２２４】
ＶＰＮ以外廃棄２６５は、当該レコードのＩＳＰ名２６２によって識別されるＩＳＰがＶＰＮ通信のみを許可という接続ポリシー制御を実行可能であるか否かを示す。例えば、当該ＩＳＰがＶＰＮ通信のみを許可という接続ポリシー制御を実行可能である場合、ＶＰＮ以外廃棄２６５には「○」が格納される。
【０２２５】
ポリシー制御２６７は、当該レコードのＩＳＰ名２６２によって識別されるＩＳＰがすべての接続ポリシー制御を実行可能であるか否かを示す。当該ＩＳＰがすべての接続ポリシー制御を実行可能である場合、ポリシー制御２６７には「○」が格納される。
【０２２６】
図２３は、本発明の第５の実施の形態のＡＡＡサーバＡ１１２に備わる法人契約企業ローミング条件リスト２７１の構成図である。
【０２２７】
法人契約企業ローミング条件リスト２７１は、企業名２７２及びローミング許可２７３を含む。
【０２２８】
企業名２７２は、ＩＳＰの「Ａ」と法人契約を結ぶ企業の一意な識別子である。ローミング許可２７３は、当該レコードの企業名２７２によって識別される企業がローミングによる通信を許可しているか否か示す。具体的には、ローミング許可２７３は、法人対応機能なし２７４、ポリシー制御２７５及びＶＰＮ以外廃棄２７６を含む。
【０２２９】
法人対応機能なし２７４は、法人対応機能を備えていないＩＳＰを用いたローミングを、当該レコードの企業名２７２によって識別される企業が許可しているか否かを示す。例えば、法人対応機能を備えていないＩＳＰを用いたローミングを企業が許可している場合、法人対応機能なし２７４には、「○」が格納される。
【０２３０】
ポリシー制御２７５は、すべての接続ポリシー制御を実行可能なＩＳＰを用いたローミングを、当該レコードの企業名２７２によって識別される企業が許可しているか否かを示す。例えば、すべての接続ポリシー制御を実行可能なＩＳＰを用いたローミングを企業が許可している場合、ポリシー制御２７５には、「○」が格納される。
【０２３１】
ＶＰＮ以外廃棄２７６は、ＶＰＮ通信のみを許可という接続ポリシー制御を実行可能なＩＳＰを用いたローミングを、当該レコードの企業名２７２によって識別される企業が許可しているか否かを示す。例えば、ＶＰＮ通信のみを許可という接続ポリシー制御を実行可能なＩＳＰを用いたローミングを企業が許可している場合、ＶＰＮ以外廃棄２７６には、「○」が格納される。
【０２３２】
図２４は、本発明の第５の実施の形態の計算機システムのユーザアクセス処理のシーケンス図である。
【０２３３】
本シーケンス図は、ユーザＰＣ１１６の認証に成功した場合である。
【０２３４】
また、企業Ｈは、ＩＳＰの「Ａ」と法人契約を結んでいる。そのため、ＡＡＡサーバＡ１１２に備わるユーザデータテーブル４５には、企業Ｈに属するユーザに関する情報が格納されている。また、ＡＡＡサーバＡ１１２に備わる法人契約企業リスト４６には、企業Ｈに関する情報が格納されている。
【０２３５】
まず、ユーザＰＣ１１６は、ＡＰＢ２２７及びルータＹ２２６を介してＡＡＡサーバＢ２２３に、接続要求を送信する（７０１）。ＡＡＡサーバＢ２２３は、接続要求を受信する。すると、ＡＡＡサーバＢ２２３は、ＡＰＢ２２７及びルータＹ２２６を介して接続要求の送信元であるユーザＰＣ１１６に、認証情報要求を送信する（７０２）。
【０２３６】
ユーザＰＣ１１６は、認証情報要求を受信する。すると、ユーザＰＣ１１６は、ＡＰＢ２２７及びルータＹ２２６を介してＡＡＡサーバＢ２２３に、ユーザＩＤ及びパスワードを送信する。ここでは、ユーザＰＣ１１６は、ユーザＩＤの「Ｈ−１＠ＩＳＰＡ」及びパスワードを含む認証情報を、ＡＡＡサーバＢ２２３に送信する（２３１）。なお、ユーザＩＤの「Ｈ−１＠ＩＳＰＡ」は、ＩＳＰの「Ａ」によって付与されたユーザＩＤに、当該ＩＳＰの「Ａ」の識別子が付加されたものである。
【０２３７】
ＡＡＡサーバＢ２２３は、ユーザＩＤ及びパスワードを受信する。このとき、ＡＡＡサーバＢ２２３は、ユーザＰＣ１１６のＭＡＣアドレスを取得する。
【０２３８】
次に、ＡＡＡサーバＢ２２３は、受信したユーザＩＤに基づいて、当該受信したユーザＩＤによって識別されるユーザが属する企業と契約しているＩＳＰを特定する。ここでは、ＡＡＡサーバＢ２２３は、当該受信したユーザＩＤによって識別されるユーザが属する企業の契約先として、ＩＳＰの「Ａ」を特定する。
【０２３９】
そこで、ＡＡＡサーバＢ２２３は、受信したユーザＩＤ及びパスワードを、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２に送信する。そして、ＡＡＡサーバＢ２２３は、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２に認証を依頼する（２３２）。
【０２４０】
ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２は、ユーザＩＤ及びパスワードを受信し、認証の依頼を受けると、認証処理を行う（２３３）。具体的には、ＡＡＡサーバＡ１１２は、受信したユーザＩＤとユーザデータテーブル４５のユーザＩＤ５１とが一致するレコードを、ユーザデータテーブル４５から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードからパスワード５２及び企業名５３を抽出する。
【０２４１】
次に、ＡＡＡサーバＡ１１２は、受信したパスワードと抽出したパスワード５２とが一致するか否かを判定することによって、ユーザＰＣ１１６に対する認証を行う（７０４）。
【０２４２】
受信したパスワードと抽出したパスワード５２とが一致しない場合、ＡＡＡサーバＡ１１２は、認証失敗と判断する。
【０２４３】
一方、受信したパスワードと抽出したパスワード５２とが一致した場合、ＡＡＡサーバＡ１１２は、認証成功と判断する。この場合、ＡＡＡサーバＡ１１２は、抽出した企業名５３と法人契約企業リスト４６の企業名６１とが一致するレコードを、法人契約企業リスト４６から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードから、ＶＰＮサーバアドレス６５及び制御内容６６を抽出する。
【０２４４】
次に、ＡＡＡサーバＡ１１２は、ＩＳＰＢ網２２１に備わるＡＡＡサーバＢ２２３に認証成功を通知する。更に、ＡＡＡサーバＡ１１２は、ＩＳＰＢ網２２１に備わるＡＡＡサーバＢ２２３に、抽出したＶＰＮサーバアドレス６５及び制御内容６６を送信する（２３４）。
【０２４５】
その後の処理は、第４の実施の形態の計算機システム（図２０）の処理と同様なので、説明を省略する。但し、本実施の形態では、ＩＳＰＢ網２２１に備わるルータＢ２２２、ＡＡＡサーバＢ２２３、ＤＨＣＰサーバＢ２２４、プロキシサーバＢ２２５及びルータＹ２２６が、処理を行う。
【０２４６】
また、ユーザＰＣ１１６の通信終了時には、ＡＡＡサーバＢ２２３は、当該ユーザＰＣ１１６の課金情報を、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２へ通知する（２３５）。ＡＡＡサーバＡ１１２は、通知された課金情報に基づいて、課金処理を行う（２３６）。
【０２４７】
そして、計算機システムは、ユーザアクセス処理を終了する。
【０２４８】
図２５は、本発明の第５の実施の形態のＩＳＰＢ網２２１に備わるＡＡＡサーバＢ２２３の認証処理のフローチャートである。
【０２４９】
ＡＡＡサーバＢ２２３は、ユーザＰＣ１１６から接続要求を受信すると（１５０１）、当該認証処理を開始する。
【０２５０】
まず、ＡＡＡサーバＢ２２３は、接続要求の送信元であるユーザＰＣ１１６に、認証情報要求を送信する（１５０２）。ユーザＰＣ１１６は、認証情報要求を受信すると、ユーザＰＣ１１６は、ユーザＩＤ及びパスワードを含む認証情報を送信する。
【０２５１】
ＡＡＡサーバＢ２２３は、ユーザＩＤ及びパスワードを含む認証情報を受信する（１５０３）。このとき、ＡＡＡサーバＢ２２３は、ユーザＰＣ１１６のＭＡＣアドレスを取得する。
【０２５２】
次に、ＡＡＡサーバＢ２２３は、受信したユーザＩＤに基づいて、当該受信したユーザＩＤによって識別されるユーザがローミングを利用しようとしているか否かを判定する。
【０２５３】
当該ユーザがローミングを利用しようとしていない場合、ＡＡＡサーバＢ２２３は、受信したユーザＩＤとユーザデータテーブル４５のユーザＩＤ５１とが一致するレコードを、ユーザデータテーブル４５から選択する。次に、ＡＡＡサーバＢ２２３は、選択したレコードからパスワード５２及び企業名５３を抽出する。
【０２５４】
次に、ＡＡＡサーバＢ２２３は、受信したパスワードと抽出したパスワード５２とが一致するか否かを判定することによって、ユーザＰＣ１１６に対する認証を行う（１５０４）。
【０２５５】
受信したパスワードと抽出したパスワード５２とが一致しない場合、ＡＡＡサーバＢ２２３は、認証失敗と判断する（１５０５）。この場合、ＡＡＡサーバＢ２２３は、認証失敗を、ＡＰＢ２２７及びユーザＰＣ１１６に通知する（１５１３）。そして、ＡＡＡサーバＢ２２３は、当該認証処理を終了する。
【０２５６】
一方、受信したパスワードと抽出したパスワード５２とが一致した場合、ＡＡＡサーバＢ２２３は、認証成功と判断する（１５０５）。この場合、ＡＡＡサーバＢ２２３は、抽出した企業名５３に値が格納されているか否かを判定する。これによって、ＡＡＡサーバＢ２２３は、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ｂ」と法人契約しているか否かを判定する（１５０６）。
【０２５７】
抽出した企業名５３に値が格納されていない場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ｂ」と法人契約を結んでいない。そこで、ＡＡＡサーバＢ２２３は、そのままステップ１５１０に進む。そして、ＡＡＡサーバＢ２２３は、認証成功を、ＡＰＢ２２７及びユーザＰＣ１１６に通知する。
【０２５８】
一方、抽出した企業名５３に値が格納されている場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ｂ」と法人契約を結んでいる。そこで、ＡＡＡサーバＢ２２３は、取得したユーザＰＣ１１６のＭＡＣアドレスを、ＤＨＣＰサーバＢ２２４に送信する（１５０７）。
【０２５９】
次に、ＡＡＡサーバＢ２２３は、ユーザＰＣ１１６に配布予定のＩＰアドレスをＤＨＣＰサーバＢ２２４から受信する（１５０８）。すると、ＡＡＡサーバＢ２２３は、抽出した企業名５３と法人契約企業リスト４６の企業名６１とが一致するレコードを、法人契約企業リスト４６から選択する。次に、ＡＡＡサーバＢ２２３は、選択したレコードから、ＶＰＮサーバアドレス６５及び制御内容６６を抽出する。
【０２６０】
次に、ＡＡＡサーバＢ２２３は、抽出したＶＰＮサーバアドレス６５、抽出した制御内容６６及び受信したＩＰアドレスを、ルータＺ２２６に送信する（１５０９）。
【０２６１】
次に、ＡＡＡサーバＢ２２３は、抽出した制御内容６６及び受信したＩＰアドレスを、プロキシサーバＢ２２５に送信する（２４８）。
【０２６２】
次に、ＡＡＡサーバＢ２２３は、ＡＰＢ２２７及びユーザＰＣ１１６に認証成功を通知する（１５１０）。更に、従量制課金の場合には、ＡＡＡサーバＢ２２３は、課金に必要な情報の収集を開始する（１５１１）。
【０２６３】
そして、ＡＡＡサーバＢ２２３は、当該認証処理を終了する。
【０２６４】
一方、当該ユーザがローミングを利用しようとしている場合、ＡＡＡサーバＢ２２３は、受信したユーザＩＤに基づいて、当該受信したユーザＩＤによって識別されるユーザが属する企業と契約しているＩＳＰを特定する。
【０２６５】
次に、ＡＡＡサーバＢ２２３は、受信したユーザＩＤ及びパスワードを、特定したＩＳＰに備わるＡＡＡサーバに送信する。そして、ＡＡＡサーバＢ２２３は、特定したＩＳＰに備わるＡＡＡサーバに認証を依頼する（２４２）。
【０２６６】
次に、ＡＡＡサーバＢ２２３は、認証結果を受信するまで待機する。そして、認証結果を受信すると（２４３）、ＡＡＡサーバＢ２２３は、当該受信した認証結果が認証成功を示すか否かを判定する（２４４）。
【０２６７】
認証結果が認証失敗を示す場合、ＡＡＡサーバＢ２２３は、認証失敗を、ＡＰＢ２２７及びユーザＰＣ１１６に通知する（２４７）。そして、ＡＡＡサーバＢ２２３は、当該認証処理を終了する。
【０２６８】
認証結果が認証成功を示す場合、ＡＡＡサーバＢ２２３は、受信したユーザＩＤによって識別されるユーザが属する企業がＩＳＰと法人契約しているか否かを判定する。具体的には、ＡＡＡサーバＢ２２３は、認証結果と共に、ＶＰＮサーバアドレス及び制御内容を受信したか否かを判定する。
【０２６９】
ＶＰＮサーバアドレス及び制御内容を受信していない場合、当該ユーザが属する企業がＩＳＰと法人契約していない。この場合、ＡＡＡサーバＢ２２３は、ステップ１５１０に進む。
【０２７０】
一方、ＶＰＮサーバアドレス及び制御内容を受信した場合（２４６）、当該ユーザが属する企業がＩＳＰと法人契約している。この場合、ＡＡＡサーバＢ２２３は、ステップ１５０７に進む。
【０２７１】
図２６は、本発明の第５の実施の形態のＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２の認証処理のフローチャートである。
【０２７２】
ＡＡＡサーバＡ１１２は、他のＩＳＰに備わるＡＡＡサーバ（認証の依頼元のＡＡＡサーバ）から認証の依頼を受ける（２５１）。このとき、ＡＡＡサーバＡ１１２は、認証の依頼元のＡＡＡサーバから、ユーザＩＤ及びパスワードを受信する。
【０２７３】
ＡＡＡサーバＡ１１２は、受信したユーザＩＤとユーザデータテーブル４５のユーザＩＤ５１とが一致するレコードを、ユーザデータテーブル４５から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードからパスワード５２及び企業名５３を抽出する。
【０２７４】
次に、ＡＡＡサーバＡ１１２は、受信したパスワードと抽出したパスワード５２とが一致するか否かを判定することによって、ユーザＰＣ１１６に対する認証を行う（２５２）。
【０２７５】
受信したパスワードと抽出したパスワード５２とが一致しない場合、ＡＡＡサーバＡ１１２は、認証失敗と判断する（２５３）。この場合、ＡＡＡサーバＡ１１２は、認証失敗を、認証の依頼元のＡＡＡサーバに通知する（２５９）。そして、ＡＡＡサーバＡ１１２は、当該認証処理を終了する。
【０２７６】
一方、受信したパスワードと抽出したパスワード５２とが一致した場合、ＡＡＡサーバＡ１１２は、認証成功と判断する（２５３）。この場合、ＡＡＡサーバＡ１１２は、抽出した企業名５３に値が格納されているか否かを判定する。これによって、ＡＡＡサーバＡ１１２は、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約しているか否かを判定する（２５４）。
【０２７７】
抽出した企業名５３に値が格納されていない場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約を結んでいない。そこで、ＡＡＡサーバＡ１１２は、認証成功を、認証の依頼元のＡＡＡサーバに通知する（２５８）。そして、ＡＡＡサーバＡ１１２は、当該認証処理を終了する。
【０２７８】
一方、抽出した企業名５３に値が格納されている場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約を結んでいる。そこで、ＡＡＡサーバＡ１１２は、認証の依頼元のＡＡＡサーバを備えるＩＳＰが、受信したユーザＩＤによって識別されるユーザが属する企業のローミング条件を満たすか否かを判定する（２５５）。
【０２７９】
具体的には、ＡＡＡサーバＡ１１２は、抽出した企業名５３と法人契約企業ローミング条件リスト２７１の企業名２７２とが一致するレコードを、法人契約企業ローミング条件リスト２７１から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードから、法人対応機能なし２７４、ポリシー制御２７５及びＶＰＮ以外廃棄２７６を抽出する。
【０２８０】
次に、ＡＡＡサーバＡ１１２は、認証の依頼元のＡＡＡサーバを備えるＩＳＰの識別子とローミング契約ＩＳＰリスト２６１のＩＳＰ名２６２とが一致するレコードを、ローミング契約ＩＳＰリスト２６１から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードから、ＶＰＮ以外廃棄２６５及びポリシー制御２６７を抽出する。
【０２８１】
次に、ＡＡＡサーバＡ１１２は、抽出した法人対応機能なし２７４に「○」が格納されているか否かを判定する。
【０２８２】
抽出した法人対応機能なし２７４に「○」が格納されている場合、ＡＡＡサーバＡ１１２は、認証の依頼元のＡＡＡサーバを備えるＩＳＰがローミング条件を満たすと判定する。そこで、ＡＡＡサーバＡ１１２は、ステップ２５６に進む。
【０２８３】
一方、抽出した法人対応機能なし２７４に「×」が格納されている場合、ＡＡＡサーバＡ１１２は、抽出したＶＰＮ以外廃棄２６５及び抽出したＶＰＮ以外廃棄２７６の双方に「○」が格納されているか否かを判定する。
【０２８４】
ＶＰＮ以外廃棄２６５及びＶＰＮ以外廃棄２７６の双方に「○」が格納されている場合、ＡＡＡサーバＡ１１２は、認証の依頼元のＡＡＡサーバを備えるＩＳＰがローミング条件を満たすと判定する。そこで、ＡＡＡサーバＡ１１２は、ステップ２５６に進む。
【０２８５】
一方、ＶＰＮ以外廃棄２６５及びＶＰＮ以外廃棄２７６の少なくとも一方に「×」が格納されている場合、ＡＡＡサーバＡ１１２は、抽出したポリシー制御２７５及び抽出したポリシー制御２６７の双方に「○」が格納されているか否かを判定する。
【０２８６】
ポリシー制御２７５及びポリシー制御２６７の双方に「○」が格納されている場合、ＡＡＡサーバＡ１１２は、認証の依頼元のＡＡＡサーバを備えるＩＳＰがローミング条件を満たすと判定する。そこで、ＡＡＡサーバＡ１１２は、ステップ２５６に進む。
【０２８７】
一方、ポリシー制御２７５及びポリシー制御２６７の少なく一方に「×」が格納されている場合、ＡＡＡサーバＡ１１２は、認証の依頼元のＡＡＡサーバを備えるＩＳＰがローミング条件を満たさないと判定する。そこで、ＡＡＡサーバＡ１１２は、認証失敗を、認証の依頼元のＡＡＡサーバに通知する（２５９）。そして、ＡＡＡサーバＡ１１２は、当該認証処理を終了する。
【０２８８】
一方、認証の依頼元のＡＡＡサーバを備えるＩＳＰがローミング条件を満たす場合、ＡＡＡサーバＡ１１２は、抽出した企業名５３と法人契約企業リスト４６の企業名６１とが一致するレコードを、法人契約企業リスト４６から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードから、ＶＰＮサーバアドレス６５及び制御内容６６を抽出する。
【０２８９】
次に、ＡＡＡサーバＡ１１２は、認証成功を、認証の依頼元のＡＡＡサーバに通知する。このとき、ＡＡＡサーバＡ１１２は、抽出したＶＰＮサーバアドレス６５及び抽出した制御内容６６を、認証の依頼元のＡＡＡサーバに送信する（２５６）。そして、ＡＡＡサーバＡ１１２は、当該認証処理を終了する。
【０２９０】
以上のように、本実施の形態によれば、ローミング時であっても、企業の接続ポリシーがユーザＰＣ１１６の通信に適用される。
【０２９１】
（第６の実施の形態）
第５の実施の形態では、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２に企業Ｈの接続ポリシーが事前に登録されていた。一方、第６の実施の形態では、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２は、認証処理時に、企業Ｈ網に備わるＡＡＡサーバＨ１８から接続ポリシーを取得する。
【０２９２】
本発明の第６の実施の形態の計算機システムの構成は、第５の実施の形態の計算機システム（図２１）と同一なので、説明を省略する。
【０２９３】
図２７は、本発明の第６の実施の形態の計算機システムのユーザアクセス処理の一部のシーケンス図である。
【０２９４】
まず、ステップ７０１、ステップ７０２及びステップ２３１〜２３３が実行される。なお、ステップ７０１、ステップ７０２及びステップ２３１〜２３３は、第５の実施の形態の計算機システムのユーザアクセス処理（図２４）に含まれるものと同一なので説明を省略する。
【０２９５】
次に、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２は、企業Ｈ網１１に備わるＡＡＡサーバＨ１８に、接続ポリシー要求を送信する（２８１）。
【０２９６】
ＡＡＡサーバＨ１８は、接続ポリシー要求を受信する。すると、ＡＡＡサーバＨ１８は、ユーザＰＣ１１６の通信に適用される接続ポリシーを、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２に送信する（２８２）。
【０２９７】
ＡＡＡサーバＡ１１２は、ＡＡＡサーバＨ１８から接続ポリシーを受信する。次に、ＡＡＡサーバＡ１１２は、受信した接続ポリシーを、認証成功の通知と共にＩＳＰＢ網２２１に備わるＡＡＡサーバＢ２２３に送信する（２８３）。そして、ステップ７０５以降の処理が実行される。なお、ステップ７０５以降の処理は、第５の実施の形態の計算機システムのユーザアクセス処理（図２４）に含まれるものと同一なので説明を省略する。
【０２９８】
（第７の実施の形態）
第５及び第６の実施の形態では、ＩＳＰ同士が相互にローミング契約を結ぶ。一方、第７の実施の形態では、ローミング仲介サーバ２９１が、ローミングを仲介する。
【０２９９】
第７の実施の形態の計算機システムの構成は、ローミング仲介サーバ２９１を備えることを除き、第５の実施の形態の計算機システム（図２１）と同一である。なお、ローミング仲介サーバ２９１は、ローミング仲介を提供する業者によって運用される。ローミング仲介サーバ２９１は、インターネット１３に接続される。また、ローミング仲介サーバ２９１は、ＣＰＵ、メモリ、インタフェース及びローミング契約ＩＳＰリスト２６１（図２２）を備える計算機である。
【０３００】
図２８は、本発明の第７の実施の形態の計算機システムのユーザアクセス処理の一部のシーケンス図である。
【０３０１】
まず、テップ７０１及びステップ７０２が実行される。なお、ステップ７０１及びステップ７０２は、第５の実施の形態の計算機システムのユーザアクセス処理（図２４）に含まれるものと同一なので説明を省略する。
【０３０２】
次に、ユーザＰＣ１１６は、ＡＰＢ２２７及びルータＹ２２６を介してＡＡＡサーバＢ２２３に、ユーザＩＤ及びパスワードを含む認証情報を送信する（２９０２）。
【０３０３】
ＡＡＡサーバＢ２２３は、ユーザＩＤ及びパスワードを含む認証情報を受信する。このとき、ＡＡＡサーバＢ２２３は、ユーザＰＣ１１６のＭＡＣアドレスを取得する。
【０３０４】
次に、ＡＡＡサーバＢ２２３は、ローミング仲介サーバ２９１に認証を依頼する（２９０３）。このとき、ＡＡＡサーバＢ２２３は、受信したユーザＩＤ及びパスワードをローミング仲介サーバ２９１に送信する。
【０３０５】
ローミング仲介サーバ２９１は、ユーザＩＤ及びパスワードを受信する。次に、ローミング仲介サーバ２９１は、受信したユーザＩＤに基づいて、当該受信したユーザＩＤによって識別されるユーザが属する企業と契約しているＩＳＰを特定する。ここでは、ローミング仲介サーバ２９１は、当該受信したユーザＩＤによって識別されるユーザが属する企業の契約先として、ＩＳＰの「Ａ」を特定する。
【０３０６】
ローミング仲介サーバ２９１は、当該特定したＩＳＰの「Ａ」と当該ローミング仲介業者とが契約を結んでいるか否かを判定する（２９０４）。
【０３０７】
ローミング仲介業者と当該特定されたＩＳＰの「Ａ」とが契約を結んでいない場合、ローミング仲介サーバ２９１は、認証失敗をＡＡＡサーバＢ２２３に通知する（２９０５）。
【０３０８】
一方、ローミング仲介業者と当該特定されたＩＳＰの「Ａ」とが契約を結んでいる場合、ローミング仲介サーバ２９１は、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２に認証を依頼する（２９０６）。このとき、ローミング仲介サーバ２９１は、受信したユーザＩＤ及びパスワードを、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２に送信する。
【０３０９】
ＡＡＡサーバＡ１１２は、ユーザＩＤ及びパスワードを受信する。次に、ＡＡＡサーバＡ１１１２は、受信したユーザＩＤとユーザデータテーブル４５のユーザＩＤ５１とが一致するレコードを、ユーザデータテーブル４５から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードからパスワード５２及び企業名５３を抽出する。
【０３１０】
次に、ＡＡＡサーバＡ１１２は、受信したパスワードと抽出したパスワード５２とが一致するか否かを判定することによって、ユーザＰＣ１１６に対する認証を行う（２９０７）。
【０３１１】
受信したパスワードと抽出したパスワード５２とが一致しない場合、ＡＡＡサーバＡ１１２は、認証失敗と判断する。この場合、ＡＡＡサーバＡ１１２は、認証失敗を、ローミング仲介サーバ２９１に通知する（２９１３）。
【０３１２】
一方、受信したパスワードと抽出したパスワード５２とが一致した場合、ＡＡＡサーバＡ１１２は、認証成功と判断する。この場合、ＡＡＡサーバＡ１１２は、抽出した企業名５３に値が格納されているか否かを判定する。これによって、ＡＡＡサーバＡ１１２は、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約しているか否かを判定する（２９０８）。
【０３１３】
抽出した企業名５３に値が格納されていない場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約を結んでいない。そこで、ＡＡＡサーバＡ１１２は、認証成功を、ローミング仲介サーバ２９１に通知する。
【０３１４】
一方、抽出した企業名５３に値が格納されている場合、受信したユーザＩＤによって識別されるユーザが属する企業が当該ＩＳＰの「Ａ」と法人契約を結んでいる。そこで、ＡＡＡサーバＡ１１２は、ＩＳＰの「Ｂ」に備わる法人対応機能を、ローミング仲介サーバ２９１に問い合わせる（２９０９）。
【０３１５】
ローミング仲介サーバ２９１は、問い合わせを受けると、ローミング契約ＩＳＰリスト２６１から、ＩＳＰの「Ｂ」に備わる法人対応機能を特定する。次に、ローミング仲介サーバ２９１は、特定した法人対応機能を、ＡＡＡサーバＡ１１２に通知する（２９１０）。
【０３１６】
次に、ローミング仲介サーバ２９１は、ＩＳＰの「Ｂ」が、受信したユーザＩＤによって識別されるユーザが属する企業のローミング条件を満たすか否かを判定する（２９１１）。
【０３１７】
ＩＳＰの「Ｂ」がローミング条件を満たさない場合、ＡＡＡサーバＡ１１２は、認証失敗を、ローミング仲介サーバに通知する（２９１３）。
【０３１８】
一方、ＩＳＰの「Ｂ」がローミング条件を満たす場合、ＡＡＡサーバＡ１１２は、抽出した企業名５３と法人契約企業リスト４６の企業名６１とが一致するレコードを、法人契約企業リスト４６から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードから、ＶＰＮサーバアドレス６５及び制御内容６６を抽出する。
【０３１９】
次に、ＡＡＡサーバＡ１１２は、認証成功を、ローミング仲介サーバ２９１に通知する。このとき、ＡＡＡサーバＡ１１２は、抽出したＶＰＮサーバアドレス６５及び抽出した制御内容６６を、ローミング仲介サーバ２９１に送信する（２９１２）。
【０３２０】
ローミング仲介サーバ２９１は、認証結果の通知を受けると、通知された認証結果を、認証の依頼元のＡＡＡサーバＢ２２３に通知する。なお、ＶＰＮサーバアドレス６５及び制御内容６６を受信している場合、ローミング仲介サーバ２９１は、受信したＶＰＮサーバアドレス６５及び制御内容６６を認証の依頼元のＡＡＡサーバＢ２２３に送信する（２９１３）。
【０３２１】
その後、ステップ７０５以降の処理が実行される。なお、ステップ７０５以降の処理は、第５の実施の形態の計算機システムのユーザアクセス処理（図２４）に含まれるものと同一なので説明を省略する。但し、ＡＡＡサーバＢ２２３は、ユーザＰＣ１１６の課金情報を、ＡＡＡサーバＡ１１２でなく、ローミング仲介サーバ２９１へ通知する。すると、ローミング仲介サーバ２９１は、ＡＡＡサーバＢ２２３から通知された課金情報を、ＡＡＡサーバＡ１１２へ通知する。
【０３２２】
（第８の実施の形態）
第８の実施の形態では、ユーザごとでなく、企業ごとにユーザＩＤが付与される。
【０３２３】
なお、第８の実施の形態は、第１〜第７の実施の形態のいずれにも適用できる。
【０３２４】
図２９は、本発明の第８の実施の形態のＡＡＡサーバＡ１１２に記憶されるユーザデータテーブル４５の構成図である。
【０３２５】
ユーザデータテーブル４５は、ユーザＩＤ５１、パスワード５２、企業名５３、課金情報５４、ＶＰＮサーバアドレス５５、制御内容５６、最大同時接続数５７及び接続数５８を含む。
【０３２６】
ユーザＩＤ５１は、ＩＳＰのユーザの一意な識別子である。パスワード５２は、当該レコードのユーザＩＤ５１によって識別されるユーザに設定されたパスワードである。企業名５３は、当該レコードのユーザＩＤ５１が付与された企業の一意な識別子である。課金情報５４は、当該レコードのユーザＩＤ５１によって識別されるユーザに課された金額である。
【０３２７】
ＶＰＮサーバアドレス５５は、当該レコードの企業名５３によって識別される企業の内部ネットワークに備わるＶＰＮサーバ１１０のＩＰアドレスである。制御内容５６は、当該レコードの企業名５３によって識別される企業に属するユーザＰＣ１１６の通信に対する制御の内容を示す。
【０３２８】
最大同時接続数５７は、当該レコードのユーザＩＤ５１を用いて同時に接続可能なユーザＰＣ１１６の台数である。接続数５８は、当該レコードのユーザＩＤ５１を用いて接続中のユーザＰＣ１１６の台数である。
【０３２９】
本実施の形態では、ＡＡＡサーバＡ１１２は、認証処理（７０４）において、受信したユーザＩＤとユーザデータテーブル４５のユーザＩＤ５１とが一致するレコードを、ユーザデータテーブル４５から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードの最大同時接続数５７と接続数５８とを比較する。最大同時接続数５７が接続数５８より小さい場合、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６の接続を許可する。そして、ＡＡＡサーバＡ１１２は、選択したレコードの接続数５８に「１」を加算する。
【０３３０】
一方、最大同時接続数５７と接続数５８とが同一の場合、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６の接続を許可しない。
【０３３１】
また、ユーザＰＣ１１６の通信が終了すると、ＡＡＡサーバＡ１１２は、接続数５８から「１」を減算する。
【０３３２】
第８の実施の形態によると、企業が管理するユーザＩＤの数を減らすことができる。
【０３３３】
なお、ユーザＩＤは、企業ごとでなく、企業の部署ごと又は役職ごとに付与されてもよい。この場合、部署ごと又は役職ごとに異なる接続ポリシーが設定できる。
【０３３４】
（第９の実施の形態）
第１〜第８の実施の形態では、ＩＳＰ網に備わるＡＡＡサーバが、認証を行った。一方、第９の実施の形態では、企業に備わるＡＡＡサーバが、認証を行う。
【０３３５】
図３０は、本発明の第９の実施の形態の計算機システムのユーザアクセス処理の一部のシーケンス図である。
【０３３６】
本シーケンス図は、ユーザＰＣ１１６の認証に成功した場合である。
【０３３７】
また、企業Ｈは、ＩＳＰの「Ａ」とローミング契約を結んでいる。
【０３３８】
まず、ステップ７０１及び７０２が実行される。なお、ステップ７０１及び７０２は、第１の実施の形態の計算機システムのユーザアクセス処理（図７）に含まれるものと同一なので説明を省略する。
【０３３９】
次に、ユーザＰＣ１１６は、ＩＳＰＡ網１２に備わるＡＡＡサーバＡ１１２に、ユーザＩＤ及びパスワードを含む認証情報を送信する（３１１）。なお、ユーザＰＣ１１６からＡＡＡサーバＡ１１２に送信されるユーザＩＤには、企業Ｈの識別子が付加される。
【０３４０】
ＡＡＡサーバＡ１１２は、ユーザＩＤ及びパスワードを受信する。このとき、ＡＡＡサーバＢ２２３は、ユーザＰＣ１１６のＭＡＣアドレスを取得する。
【０３４１】
次に、ＡＡＡサーバＡ１１２は、受信したユーザＩＤに基づいて、当該受信したユーザＩＤによって識別されるユーザが属する企業Ｈを特定する。
【０３４２】
次に、ＡＡＡサーバＡ１１２は、特定した企業Ｈに備わるＡＡＡサーバＨ１８に認証を依頼する（３１２）。このとき、ＡＡＡサーバＡ１１２は、受信したユーザＩＤ及びパスワードを、特定した企業Ｈに備わるＡＡＡサーバＨ１８に送信する。
【０３４３】
ＡＡＡサーバＨ１８は、認証の依頼を受けると、ユーザＰＣ１１６に対する認証を行う（３１３）。そして、ＡＡＡサーバＨ１８は、認証の結果を、ＡＡＡサーバＡ１１２に通知する。なお、認証の結果が認証成功の場合、ＡＡＡサーバＨ１８は、ユーザＰＣ１１６の通信に適用される接続ポリシーをＡＡＡサーバＡ１１２に送信する。
【０３４４】
その後、ステップ７０５以降の処理が実行される。なお、ステップ７０５以降の処理は、第１の実施の形態の計算機システムのユーザアクセス処理（図７）に含まれるものと同一なので説明を省略する。
【０３４５】
（第１０の実施の形態）
第１〜第９の実施の形態では、ユーザＩＤ及びパスワードを用いて認証を行った。一方、第１０の実施の形態では、電子証明書を用いて認証を行う。
【０３４６】
第１０の実施の形態では、８０２．１Ｘ認証シーケンスの一つであるＥＡＰ−ＴＬＳ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ−Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）を用いて認証を行う。なお、ＥＡＰ−ＴＬＳについては、非特許文献１に開示されている。
【０３４７】
図３１は、本発明の第１０の実施の形態の計算機システムの認証処理のシーケンス図である。
【０３４８】
ＡＡＡサーバＡ１１２は、ユーザ証明書を発行する。そして、発行されたユーザ証明書は、ユーザＰＣ１１６又は外部記憶媒体に記憶されている。また、ユーザＰＣ１１６には、ＡＡＡサーバＡ１１２のサーバ証明書が予めインストールされている。
【０３４９】
まず、ユーザＰＣ１１６とＡＰＡ１１５との間で、８０２．１１アソシエーションが行われる（３２０１）。これによって、ＥＡＰＯＬ（ＥＡＰ  ｏｖｅｒ  ＬＡＮ）が開始される（３２０２）。
【０３５０】
次に、ＡＰＡ１１５は、ユーザＰＣ１１６にＩＤを要求する（３２０３）。すると、ユーザＰＣ１１６は、ＡＰＡ１１５を介してＡＡＡサーバＡ１１２に、ＩＤを送信する（３２０４及び３２０５）。
【０３５１】
次に、ＡＡＡサーバＡ１１２は、ＡＰＡ１１５を介してユーザＰＣ１１６に、ＴＬＳの開始を通知する（３２０６及び３２０７）。すると、ＴＬＳネゴシエーションシーケンスが開始される（３２０８）。
【０３５２】
次に、ＴＬＳネゴシエーションシーケンスの中で、ＡＡＡサーバＡ１１２とユーザＰＣ１１６とは、互いの証明書を交換する（３２０９及び３２１０）。つまり、ＡＡＡサーバＡ１１２は、ユーザＰＣ１１６にサーバ証明書を送信する。一方、ユーザＰＣ１１６は、ＡＡＡサーバＡ１１２にユーザ証明書を送信する。そして、交換された証明書に基づいて、認証が行われる。
【０３５３】
その後、ステップ７０５〜７０９、ステップ７１０及びステップ７１１が実行される。なお、ステップ７０５〜７０９、ステップ７１０及びステップ７１１は、第１の実施の形態の計算機システムのユーザアクセス処理（図７）に含まれるものと同一なので説明を省略する。
【０３５４】
その後、ＡＡＡサーバＡ１１２は、ＡＰＡ１１５にＲＡＤＩＵＳアクセスアクセプトを送信する（３２１１）。すると、ＡＰＡ１１５は、ユーザＰＣ１１６にＥＡＰサクセスを通知する（３２１２）。ＥＡＰ−ＴＬＳでは、ＴＬＳネゴシエーションシーケンスの中で暗号化キー（ＥＡＰＯＬ−Ｋｅｙ）が作成される。そこで、ＡＰＡ１１５は、作成された暗号化キーをユーザＰＣ１１６に送信する（３２１３）。
【０３５５】
以上のように、第１０の実施の形態の計算機システムでは、電子証明書を用いた認証が行われる。
【図面の簡単な説明】
【０３５６】
【図１】本発明の第１の実施の形態の計算機システムの構成のブロック図である。
【図２】本発明の第１の実施の形態のＩＳＰＡ網に備わるポリシーエンフォーサの構成のブロック図である。
【図３】本発明の第１の実施の形態のポリシーエンフォーサに備わる接続ポリシー設定テーブル２６の構成図である。
【図４】本発明の第１の実施の形態のＩＳＰＡ網に備わるＡＡＡサーバＡの構成のブロック図である。
【図５】本発明の第１の実施の形態のＡＡＡサーバＡに備わるユーザデータテーブルの構成図である。
【図６】本発明の第１の実施の形態のＡＡＡサーバＡに備わる法人契約企業リストの構成図である。
【図７】本発明の第１の実施の形態の計算機システムのユーザアクセス処理のシーケンス図である。
【図８】本発明の第１の実施の形態のポリシーエンフォーサのパケット処理のフローチャートである。
【図９】本発明の第２の実施の形態の計算機システムの構成のブロック図である。
【図１０】本発明の第２の実施の形態のＡＡＡサーバＡに備わる法人契約企業リストの構成図である。
【図１１】本発明の第２の実施の形態のＩＳＰＡ網に備わるルータＺの構成のブロック図である。
【図１２】本発明の第２の実施の形態のルータＺに備わるフィルタリング設定テーブルの構成図である。
【図１３】本発明の第２の実施の形態の計算機システムのユーザアクセス処理のシーケンス図である。
【図１４】本発明の第２の実施の形態のＡＡＡサーバＡの認証処理のフローチャートである。
【図１５】本発明の第３の実施の形態のＤＨＣＰサーバＡに記憶されるＩＰアドレス予約テーブルの構成図である。
【図１６】本発明の第３の実施の形態のルータＺに備わるフィルタリング設定テーブルの構成図である。
【図１７】本発明の第４の実施の形態の計算機システムの構成のブロック図である。
【図１８】本発明の第４の実施の形態のルータＺに備わるフィルタリング設定テーブルの構成図である。
【図１９】本発明の第４の実施の形態のポリシーエンフォーサに備わる接続ポリシー設定テーブルの構成図である。
【図２０】本発明の第４の実施の形態の計算機システムのユーザアクセス処理のシーケンス図である。
【図２１】本発明の第５の実施の形態の計算機システムの構成のブロック図である。
【図２２】本発明の第５の実施の形態のＡＡＡサーバＡに備わるローミング契約ＩＳＰリストの構成図である。
【図２３】本発明の第５の実施の形態のＡＡＡサーバＡに備わる法人契約企業ローミング条件リストの構成図である。
【図２４】本発明の第５の実施の形態の計算機システムのユーザアクセス処理のシーケンス図である。
【図２５】本発明の第５の実施の形態のＩＳＰＢ網に備わるＡＡＡサーバＢの認証処理のフローチャートである。
【図２６】本発明の第５の実施の形態のＩＳＰＡ網に備わるＡＡＡサーバＡの認証処理のフローチャートである。
【図２７】本発明の第６の実施の形態の計算機システムのユーザアクセス処理の一部のシーケンス図である。
【図２８】本発明の第７の実施の形態の計算機システムのユーザアクセス処理の一部のシーケンス図である。
【図２９】本発明の第８の実施の形態のＡＡＡサーバＡに記憶されるユーザデータテーブルの構成図である。
【図３０】本発明の第９の実施の形態の計算機システムのユーザアクセス処理の一部のシーケンス図である。
【図３１】本発明の第１０の実施の形態の計算機システムの認証処理のシーケンス図である。
【符号の説明】
【０３５７】
１１    企業Ｈ網
１２    ＩＳＰＡ網
１３    インターネット
１４    外部リソース
１７    ルータＨ
１８    ＡＡＡサーバＨ
１９    サービス提供サーバ
２１    ＣＰＵ
２２    メモリ
２３    ポリシー設定テーブル制御プログラム
２４    ポリシー制御プログラム
２５    ルーティングプログラム
２６    接続ポリシー設定テーブル
２７    外部インタフェース
４１    ＣＰＵ
４２    メモリ
４３    認証処理プログラム
４４    通知プログラム
４５    ユーザデータテーブル
４６    法人契約企業リスト
４７    外部インタフェース
９１    ルータＺ
１１０    ＶＰＮサーバ
１１１    ルータＡ
１１２    ＡＡＡサーバＡ
１１３    ＤＨＣＰサーバＡ
１１４    ポリシーエンフォーサ
１１５    ＡＰＡ
１１６    ユーザＰＣ
１２１    ＣＰＵ
１２２    メモリ
１２３    フィルタリングプログラム
１２４    フィルタリング設定テーブル制御プログラム
１２５    ルーティングプログラム
１２６    フィルタリング設定テーブル
１２７    外部インタフェース
【図１】
2008160709.tif 000003
【図２】
2008160709.tif 000004
【図３】
2008160709.tif 000005
【図４】
2008160709.tif 000006
【図５】
2008160709.tif 000007
【図６】
2008160709.tif 000008
【図７】
2008160709.tif 000009
【図８】
2008160709.tif 000010
【図９】
2008160709.tif 000011
【図１０】
2008160709.tif 000012
【図１１】
2008160709.tif 000013
【図１２】
2008160709.tif 000014
【図１３】
2008160709.tif 000015
【図１４】
2008160709.tif 000016
【図１５】
2008160709.tif 000017
【図１６】
2008160709.tif 000018
【図１７】
2008160709.tif 000019
【図１８】
2008160709.tif 000020
【図１９】
2008160709.tif 000021
【図２０】
2008160709.tif 000022
【図２１】
2008160709.tif 000023
【図２２】
2008160709.tif 000024
【図２３】
2008160709.tif 000025
【図２４】
2008160709.tif 000026
【図２５】
2008160709.tif 000027
【図２６】
2008160709.tif 000028
【図２７】
2008160709.tif 000029
【図２８】
2008160709.tif 000030
【図２９】
2008160709.tif 000031
【図３０】
2008160709.tif 000032
【図３１】
2008160709.tif 000033
【手続補正書】
【提出日】平成19年12月6日(2007.12.6)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項１
【補正方法】変更
【補正の内容】
【請求項１】
インターネットに接続される第１ネットワークと、前記インターネットに接続される複数の第２ネットワークと、を備える計算機システムであって、
前記第１ネットワークは、第１端末装置に無線又は有線で接続されるアクセスポイントと、前記アクセスポイントに接続され、前記第１端末装置の通信を制御する第１通信装置と、前記第１端末装置にＩＰアドレスを割り当てるＤＨＣＰサーバと、前記第１端末装置を認証する第１認証サーバと、を含み、
前記第２ネットワークは、第２端末装置を含み、
前記第１認証サーバは、
前記第１端末装置からアクセス要求を受信すると、当該第１端末装置に対応する第２ネットワークを特定し、
前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を、前記第１通信装置に送信し、
前記第１通信装置は、前記第１認証サーバから受信したアクセス制御情報に基づいて、前記第１端末装置の通信を制御することを特徴とする計算機システム。
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項７
【補正方法】変更
【補正の内容】
【請求項７】
インターネットに接続される第１ネットワークと、前記インターネットに接続される複数の第２ネットワークと、前記インターネットに接続される第３ネットワークと、を備える計算機システムであって、
前記第１ネットワークは、第１端末装置に無線又は有線で接続されるアクセスポイントと、前記アクセスポイントに接続され、前記第１端末装置の通信を制御する第１通信装置と、前記第１端末装置にＩＰアドレスを割り当てるＤＨＣＰサーバと、前記第１端末装置を認証する第１認証サーバと、を含み、
前記第２ネットワークは、第２端末装置を含み、
前記第３ネットワークは、第３認証サーバを含み、
前記第１認証サーバは、
前記第１端末装置からアクセス要求を受信すると、当該第１端末装置に対応する第２ネットワークを特定し、
前記特定された第２ネットワークに含まれる第２端末装置の通信の制御に使用されるアクセス制御情報を、前記第３認証サーバから取得し、
前記取得されたアクセス制御情報を、前記第１通信装置に送信し、
前記第１通信装置は、前記第１認証サーバから受信したアクセス制御情報に基づいて、前記第１端末装置の通信を制御することを特徴とする計算機システム。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０１８１
【補正方法】変更
【補正の内容】
【０１８１】
プロトコル３５は、当該レコードに対応する接続ポリシーが適用されるパケットのプロトコルである。送信元ポート番号３６は、当該レコードに対応する接続ポリシーが適用されるパケットの送信元のポート番号である。送信先ポート番号３７は、当該レコードに対応する接続ポリシーが適用されるパケットの送信先のポート番号である。送信元ＵＲＬ３８は、当該レコードに対応する接続ポリシーが適用されるパケットの送信元のＵＲＬである。送信先ＵＲＬ３９は、当該レコードに対応する接続ポリシーが適用されるパケットの送信先のＵＲＬである。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０２８７
【補正方法】変更
【補正の内容】
【０２８７】
一方、ポリシー制御２７５及びポリシー制御２６７の少なくとも一方に「×」が格納されている場合、ＡＡＡサーバＡ１１２は、認証の依頼元のＡＡＡサーバを備えるＩＳＰがローミング条件を満たさないと判定する。そこで、ＡＡＡサーバＡ１１２は、認証失敗を、認証の依頼元のＡＡＡサーバに通知する（２５９）。そして、ＡＡＡサーバＡ１１２は、当該認証処理を終了する。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】０３０９
【補正方法】変更
【補正の内容】
【０３０９】
ＡＡＡサーバＡ１１２は、ユーザＩＤ及びパスワードを受信する。次に、ＡＡＡサーバＡ１１２は、受信したユーザＩＤとユーザデータテーブル４５のユーザＩＤ５１とが一致するレコードを、ユーザデータテーブル４５から選択する。次に、ＡＡＡサーバＡ１１２は、選択したレコードからパスワード５２及び企業名５３を抽出する。