(57)【要約】【課題】正規のクライアントに対して一つのアドレスのアサインのみを許可し、プールされているアドレスを効率良く的確に割り当てること。【解決手段】ＰＥルータ２０によってＲＡＤＩＵＳアクセスリクエストに付与されるサーキットＩＤに基づき、認証サーバ６０でＰＣ５０の認証を行った後、ＰＣ５０からのＤＨＣＰリクエストのメッセージに付与されたユーザクラスＩＤと、ＰＥルータ２０によって付与されるサーキットＩＤに基づき、ＤＨＣＰサーバ１０によるユーザ設定情報の割り当てを行う。【選択図】      図１
2004207788.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークへの接続要求を端末装置から、該ネットワークに接続されるＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、
前記ネットワークに認証サーバを接続させ、
前記端末装置で、前記要求メッセージにユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、
前記要求メッセージに対応して、前記アクセス制御装置で、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記認証サーバに送信する識別情報送信工程と、
前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、
前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、少なくとも前記ユーザクラスＩＤの識別情報を付与した前記要求メッセージを、前記ＤＨＣＰサーバに送信する要求転送工程と、
前記要求メッセージに付与された識別情報に応じて、前記ＤＨＣＰサーバで、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、前記アクセス制御装置を介して該端末装置に応答するデータ転送工程と、
を含むことを特徴とするアクセス制御方法。
【請求項２】
前記アクセス制御方法では、
前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、
前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程と、
をさらに含むことを特徴とする請求項１に記載のアクセス制御方法。
【請求項３】
前記アクセス制御方法では、前記端末装置で、ＤＨＣＰサーバを検知するためのディスカバーメッセージを送信する検知工程と、
前記アクセス制御装置で、受信した前記ディスカバーメッセージに、該受信したポートを識別するためのサーキットＩＤを付与して、前記ＤＨＣＰサーバに送信するディスカバー転送工程と、
前記ディスカバーメッセージに対応して、前記ＤＨＣＰサーバで、前記サーキットＩＤを付与したオファーメッセージを応答する提供工程と、
をさらに含むことを特徴とする請求項１または２に記載のアクセス制御方法。
【請求項４】
前記アクセス制御方法では、前記アクセス制御装置は、前記端末装置から前記ＤＨＣＰサーバへ転送するメッセージに前記サーキットＩＤを付与して、該ＤＨＣＰサーバへ転送し、前記ＤＨＣＰサーバから前記端末装置へ転送するメッセージから前記サーキットＩＤを削除して、該端末装置へ転送し、
前記ＤＨＣＰサーバは、前記アクセス制御装置から受信したメッセージに対応して、前記応答用のメッセージを送信する際に、当該受信メッセージに付与されていたサーキットＩＤを、当該応答用のメッセージに付与して前記アクセス制御装置へ送信することを特徴とする請求項１〜３のいずれか一つに記載のアクセス制御方法。
【請求項５】
前記認証サーバは、前記アクセス制御装置からのメッセージに応答する際、該応答用のメッセージに該アクセス制御装置からのメッセージに付与されていたサーキットＩＤを、当該応答用のメッセージに付与して前記アクセス制御装置へ送信することを特徴とする請求項１〜４のいずれか一つに記載のアクセス制御方法。
【請求項６】
前記データ転送工程では、前記アクセス制御装置は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置に転送することを特徴とする請求項１〜３のいずれか一つに記載のアクセス制御方法。
【請求項７】
ネットワークへの接続要求を端末装置から、該ネットワークに接続されるＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、
前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、
前記端末装置で、前記要求メッセージにユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、
前記要求メッセージに対応して、前記アクセス制御装置で、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記認証サーバに送信する識別情報送信工程と、
前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、
前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、該端末装置に応答するデータ送信工程と、
を含むことを特徴とするアクセス制御方法。
【請求項８】
前記アクセス制御方法では、前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程をさらに含むことを特徴とする請求項７に記載のアクセス制御方法。
【請求項９】
少なくとも一つの特定ネットワークへの接続要求を端末装置から、前記ネットワークに接続されたＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、
前記端末装置と前記ＤＨＣＰサーバが接続された少なくとも一つの特定ネットワークとの間には、当該特定ネットワークと異なる少なくとも一つの異種ネットワークが介在しており、かつ前記各特定ネットワークには、前記ＤＨＣＰサーバとともに認証サーバをそれぞれ接続させ、
前記端末装置で、前記要求メッセージに、前記特定ネットワークのうち、ある特定ネットワークに対応するユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、
アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記ある特定ネットワークに接続された認証サーバに送信する識別情報送信工程と、
前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、
前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、前記ユーザクラスＩＤの識別情報を付与した前記要求メッセージを、前記ある特定ネットワークに接続されたＤＨＣＰサーバに送信する要求転送工程と、
前記要求メッセージに付与された識別情報に応じて、前記ＤＨＣＰサーバで、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、前記アクセス制御装置を介して該端末装置に応答するデータ転送工程と、
を含むことを特徴とするアクセス制御方法。
【請求項１０】
前記アクセス制御方法では、
前記ＤＨＣＰサーバから前記ネットワーク毎に転送される前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、
前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程と、
をさらに含むことを特徴とする請求項９に記載のアクセス制御方法。
【請求項１１】
前記データ転送工程では、前記アクセス制御装置は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置に転送することを特徴とする請求項９または１０に記載のアクセス制御方法。
【請求項１２】
端末装置とネットワーク間に接続され、該端末装置から送信される該ネットワークへの接続要求のための要求メッセージを、該ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、
前記端末装置から送信されたユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、
前記アクセス要求メッセージを前記認証サーバへ送信させる送信制御手段と、
前記識別情報が付与された要求メッセージを保持する保持手段と、
前記認証サーバからの認証応答に応じて、前記保持された要求メッセージを前記ＤＨＣＰサーバへ転送させるとともに、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、該端末装置へ転送させる転送制御手段と、
を備えたことを特徴とするアクセス制御装置。
【請求項１３】
前記アクセス制御装置は、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を記憶する記憶手段と、
前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段と、
をさらに備えたことを特徴とする請求項１２に記載のアクセス制御装置。
【請求項１４】
前記アクセス制御装置は、
メッセージの受信ポートに対応したサーキットＩＤを記憶するサーキットＩＤ記憶手段と、
前記メッセージに付与されたサーキットＩＤに基づいて、サーキットＩＤ記憶手段を検索して、該メッセージを受信したポートを識別する識別手段をさらに備え、
前記転送制御手段は、前記端末装置から送信される前記ＤＨＣＰサーバを検知するためのディスカバーメッセージに、該ディスカバーメッセージを受信したポートを識別するためのサーキットＩＤを付与して、前記ＤＨＣＰサーバに転送するとともに、該ＤＨＣＰサーバから送信されるオファーメッセージに付与されたサーキットＩＤを削除するとともに、該削除したサーキットＩＤに基づいて、前記識別手段で識別されたポートに、前記オファーメッセージを転送することを特徴とする請求項１２または１３に記載のアクセス制御装置。
【請求項１５】
前記転送制御手段は、前記ＤＨＣＰサーバから送信されるメッセージに付与されたサーキットＩＤを削除した後に、転送することを特徴とする請求項１２〜１４のいずれか一つに記載のアクセス制御装置。
【請求項１６】
前記転送制御手段は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置へ転送させることを特徴とする請求項１２〜１５のいずれか一つに記載のアクセス制御装置。
【請求項１７】
端末装置とネットワーク間に接続され、該端末装置から送信される該ネットワークへの接続要求のための要求メッセージを、該ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、
前記端末装置の接続要求に必要な情報を記憶する記憶手段と、
前記端末装置から送信されたユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、
前記アクセス要求メッセージを前記認証サーバへ送信させるメッセージ送信制御手段と、
前記認証サーバからの認証応答に応じて、予めプールされている情報から、前記端末装置の接続要求に必要な情報を割り当て、前記記憶手段に記憶させる情報割当手段と、
前記割り当てられた情報を前記端末装置に送信させる情報送信制御手段と、
を備えたことを特徴とするアクセス制御装置。
【請求項１８】
前記アクセス制御装置は、前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段をさらに備えたことを特徴とする請求項１７に記載のアクセス制御装置。
【請求項１９】
端末装置と少なくとも一つの特定ネットワーク間に接続され、該端末装置から送信される該特定ネットワークへの接続要求のための要求メッセージを、該特定ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記特定ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、
端末装置からの前記特定ネットワークのうちのある特定ネットワークに対するユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、
前記アクセス要求メッセージを前記ある特定ネットワークに接続された認証サーバへ送信させる送信制御手段と、
前記識別情報が付与された要求メッセージを保持する保持手段と、
前記認証サーバからの認証応答に応じて、前記保持された要求メッセージを前記ある特定ネットワークに接続されたＤＨＣＰサーバへ転送させるとともに、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、該端末装置へ転送させる転送制御手段と、
を備えたことを特徴とするアクセス制御装置。
【請求項２０】
前記アクセス制御装置は、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を記憶する記憶手段と、
前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段と、
をさらに備えたことを特徴とする請求項１９に記載のアクセス制御装置。
【請求項２１】
前記転送制御手段は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置へ転送させることを特徴とする請求項１９または２０に記載のアクセス制御装置。
【請求項２２】
ネットワークへの接続要求に対し、該接続要求に必要な情報の応答を行うアクセス制御システムにおいて、
前記接続要求のための要求メッセージにユーザクラスＩＤの識別情報を付与して送信する端末装置と、
前記ネットワークと端末装置間に接続される請求項１２〜１６のいずれか一つに記載のアクセス制御装置と、
前記ネットワークに接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、
前記ネットワークに接続され、前記要求メッセージに付与された識別情報に応じて、前記端末装置の接続要求に必要な情報を応答するＤＨＣＰサーバと、
を備えたことを特徴とするアクセス制御システム。
【請求項２３】
ネットワークへの接続要求に対し、該接続要求に必要な情報の応答を行うアクセス制御システムにおいて、
前記接続要求のための要求メッセージにユーザクラスＩＤの識別情報を付与して送信する端末装置と、
前記ネットワークと端末装置間に接続される請求項１７または１８に記載のアクセス制御装置と、
前記ネットワークに接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、
を備え、前記認証サーバからの認証応答に応じて、前記アクセス制御装置が、前記端末装置の接続要求に必要な情報を、該端末装置に応答することを特徴とするアクセス制御システム。
【請求項２４】
少なくとも一つの特定ネットワークへの接続要求に対し、該特定ネットワーク毎に接続要求に必要な情報の応答を行うアクセス制御システムにおいて、
前記特定ネットワークのうち、ある特定ネットワークに対応するユーザクラスＩＤの識別情報を付与した前記接続要求のための要求メッセージを送信する端末装置と、
前記各特定ネットワークと端末装置間に接続される請求項１９〜２１のいずれか一つに記載のアクセス制御装置と、
前記特定ネットワーク毎にそれぞれ接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、
前記特定ネットワーク毎にそれぞれ接続され、前記要求メッセージに付与された識別情報に応じて、前記端末装置の接続要求に必要な情報を応答するＤＨＣＰサーバと、
を備え、前記特定ネットワーク毎に端末装置の認証および該端末装置の接続要求に必要な情報の応答を行うことを特徴とするアクセス制御システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、クライアントの端末装置（パーソナルコンピュータ、以下、「ＰＣ」という）を異種ネットワークに接続するために、ＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ：ＲＦＣ２１３１）を用いてネットワーク、サーバへのアクセスを制御するアクセス制御方法、アクセス制御装置およびその装置を用いたアクセス制御システムに関するものである。
【０００２】
【従来の技術】
従来のアクセス制御方法は、たとえば特許文献１に示すように、ＰＣがネットワークに接続する際に、同一ネットワーク内に接続されたＤＨＣＰサーバとの間で、接続要求情報およびこの要求に対する割り当て設定情報の提案をブロードキャストするとともに、認証の要求およびこの要求に対する認証を行うものがあった。
【０００３】
ところが、近年では、通信事業者などが提供する通信サービス（たとえば、動画の配信など）を受けるために、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などのバックボーンネットワークとＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、またはＬＡＮ同士の異種ネットワーク間で認証を行う必要性が生じてきており、この従来例のように、ＰＣとＤＨＣＰサーバが同じユーザのＬＡＮ内に接続させて認証を行う方法では、通信事業者が運用上ユーザに対して通信サービスの管理を正しく行うことが困難であった。また、この方法では、ＤＨＣＰサーバがユーザのネットワーク内に設けられているので、このサーバの運用や管理の面でも問題があった。
【０００４】
そこで、従来では、図４５のアクセス制御システムの構成図に示すように、コアネットワークＡ上にＤＨＣＰサーバ１０を接続させ、リレーエージェントであるＰＥルータ２０や集線装置３０または集線装置３０および４０を介して、接続要求を行うクライアントの各ＰＣ５０の認証およびＩＰアドレスの割り当てを行うものがあった。
【０００５】
このシステムでは、図４６のＤＨＣＰのシーケンス図に示すように、接続要求を行うＰＣ５０は、ＩＰアドレスを持っていないので、送信元アドレスが「０」番で、宛先が「ブロードキャスト」のディスカバー（Ｄｉｓｃｏｖｅｒ）メッセージを送信する。集線装置３０は、ｔａｇＶＬＡＮによる多重伝送によって、このディスカバーメッセージをＰＥルータ２０に転送している。ＰＥルータ２０は、このディスカバーメッセージを取り込むと、送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ＤＨＣＰサーバ１０のＩＰアドレス」に書き換えて、このディスカバーメッセージをコアネットワークＡに転送する。
【０００６】
ＤＨＣＰサーバ１０は、このディスカバーメッセージを受信すると、送信元アドレスが「ＤＨＣＰサーバ１０のＩＰアドレス」で、宛先アドレスが「ＰＥルータ２０のＩＰアドレス」のオファー（Ｏｆｆｅｒ）メッセージをコアネットワークＡに送信して応答する。ＰＥルータ２０は、このオファーメッセージを取り込むと、送信元アドレスを「自装置２０のＩＰアドレス」に、宛先を「ブロードキャスト」に書き換えて、先程ディスカバーメッセージを受信したポートに、このオファーメッセージを転送する。
【０００７】
次に、ＰＣ５０が送信元アドレスが「０」番で、宛先が「ブロードキャスト」のリクエスト（Ｒｅｑｕｅｓｔ）メッセージを送信すると、ＰＥルータ２０は、送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ＤＨＣＰサーバ１０のＩＰアドレス」に書き換えて、このリクエストメッセージをコアネットワークＡに転送する。ＤＨＣＰサーバ１０は、このリクエストメッセージを受信すると、プールしてあるアドレスの中から特定のＩＰアドレスを割り当て、このアドレスを付与したＡｃｋメッセージを作成してＰＣ５０に応答していた。
【０００８】
【特許文献１】
特開２００１−３２６６９６号公報（第２，４，５頁、図１−図３）
【０００９】
【発明が解決しようとする課題】
しかしながら、上記従来例では、クライアントのＰＣからの複数のアドレス要求に答えて、プールしてあるアドレスを割り当ててしまうので、１台のＰＣが複数のＩＰアドレスを取得することが可能となり、アドレスの枯渇化を招くことがあるという問題点があった。
【００１０】
また、この従来例では、不正ユーザが正規クライアントのＩＤやＭＡＣアドレスなどの識別情報を入手し、この情報を用いてＩＰアドレスを取得してデータの配信を受ける場合にも、的確に対応ができないという問題点があった。
【００１１】
この発明は、上記問題点に鑑みなされたもので、正規のクライアントに対して一つのアドレスのアサインのみを許可し、プールされているアドレスを効率良く的確に割り当てることができるアクセス制御方法、アクセス制御装置およびその装置を用いたアクセス制御システムを提供することを目的とする。
【００１２】
【課題を解決するための手段】
上記目的を達成するため、請求項１にかかるアクセス制御方法では、ネットワークへの接続要求を端末装置から、該ネットワークに接続されるＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、前記ネットワークに認証サーバを接続させ、前記端末装置で、前記要求メッセージにユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、前記要求メッセージに対応して、前記アクセス制御装置で、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記認証サーバに送信する識別情報送信工程と、前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、少なくとも前記ユーザクラスＩＤの識別情報を付与した前記要求メッセージを、前記ＤＨＣＰサーバに送信する要求転送工程と、前記要求メッセージに付与された識別情報に応じて、前記ＤＨＣＰサーバで、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、前記アクセス制御装置を介して該端末装置に応答するデータ転送工程とを含むことを特徴とするアクセス制御方法が提供される。
【００１３】
この発明によれば、ユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみの許可とプールされているアドレスの割り当てを行う。
【００１４】
また、請求項２にかかるアクセス制御方法では、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程とをさらに含むことを特徴とする。
【００１５】
この発明によれば、端末装置の接続要求に必要な情報をアクセス制御装置のテーブルに記憶させ、このテーブル内の情報によって、ネットワーク側から受信したパケットの中継の有無を判断し、データ中継のフィルタリングを行う。
【００１６】
また、請求項３にかかるアクセス制御方法では、前記端末装置で、ＤＨＣＰサーバを検知するためのディスカバーメッセージを送信する検知工程と、前記アクセス制御装置で、受信した前記ディスカバーメッセージに、該受信したポートを識別するためのサーキットＩＤを付与して、前記ＤＨＣＰサーバに送信するディスカバー転送工程と、前記ディスカバーメッセージに対応して、前記ＤＨＣＰサーバで、前記サーキットＩＤを付与したオファーメッセージを応答する提供工程とをさらに含むことを特徴とする。
【００１７】
この発明によれば、受信したディスカバーメッセージにサーキットＩＤを付与することで、ＤＨＣＰサーバからのオファーメッセージにこのサーキットＩＤを付与することを可能にし、アクセス制御装置におけるオファーメッセージの転送先ポートの識別を可能にする。
【００１８】
また、請求項４にかかるアクセス制御方法では、前記アクセス制御装置は、前記端末装置から前記ＤＨＣＰサーバへ転送するメッセージに前記サーキットＩＤを付与して、該ＤＨＣＰサーバへ転送し、前記ＤＨＣＰサーバから前記端末装置へ転送するメッセージから前記サーキットＩＤを削除して、該端末装置へ転送し、前記ＤＨＣＰサーバは、前記アクセス制御装置から受信したメッセージに対応して、前記応答用のメッセージを送信する際に、当該受信メッセージに付与されていたサーキットＩＤを、当該応答用のメッセージに付与して前記アクセス制御装置へ送信することを特徴とする。
【００１９】
この発明によれば、端末装置からＤＨＣＰサーバへ転送するメッセージの全てにサーキットＩＤを付与することで、ＤＨＣＰサーバから応答されるメッセージにこのサーキットＩＤを付与することを可能にし、アクセス制御装置におけるメッセージの転送先ポートの識別を可能にし、かつ転送時には不要なサーキットＩＤを削除して転送する。
【００２０】
また、請求項５にかかるアクセス制御方法では、前記認証サーバは、前記アクセス制御装置からのメッセージに応答する際、該応答用のメッセージに該アクセス制御装置からのメッセージに付与されていたサーキットＩＤを、当該応答用のメッセージに付与して前記アクセス制御装置へ送信することを特徴とする。
【００２１】
この発明によれば、認証サーバでも、アクセス制御装置からのメッセージに付与されていたサーキットＩＤを、応答用のメッセージに付与して送信することで、どのポートから接続要求があった端末装置の認証であるかを認識可能にする。
【００２２】
また、請求項６にかかるアクセス制御方法において、前記データ転送工程では、前記アクセス制御装置は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置に転送することを特徴とする。
【００２３】
この発明によれば、端末装置の接続要求に必要な情報に付与された送信元アドレスであるＤＨＣＰサーバのアドレスを、アクセス制御装置のアドレスに書き換えて端末装置に転送することで、端末装置からＤＨＣＰサーバへの更新要求に対して認証サーバでの再認証を可能にする。
【００２４】
また、請求項７にかかるアクセス制御方法では、ネットワークへの接続要求を端末装置から、該ネットワークに接続されるＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、前記端末装置で、前記要求メッセージにユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、前記要求メッセージに対応して、前記アクセス制御装置で、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記認証サーバに送信する識別情報送信工程と、前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、該端末装置に応答するデータ送信工程とを含むことを特徴とする。
【００２５】
この発明によれば、アクセス制御装置にＤＨＣＰサーバの機能を持たせ、ユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のアクセス制御装置による端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００２６】
また、請求項８にかかるアクセス制御方法では、前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程をさらに含むことを特徴とする。
【００２７】
この発明によれば、接続に必要な情報を割り当てる時にテーブルに記憶した情報を利用して、ネットワーク側から受信したパケットの中継の有無を判断し、データ中継のフィルタリングを行う。
【００２８】
また、請求項９にかかるアクセス制御方法では、少なくとも一つの特定ネットワークへの接続要求を端末装置から、前記ネットワークに接続されたＤＨＣＰサーバへ送信する際に、前記接続要求のための要求メッセージをアクセス制御装置を介して前記ＤＨＣＰサーバに転送するアクセス制御方法において、前記端末装置と前記ＤＨＣＰサーバが接続された少なくとも一つの特定ネットワークとの間には、当該特定ネットワークと異なる少なくとも一つの異種ネットワークが介在しており、かつ前記各特定ネットワークには、前記ＤＨＣＰサーバとともに認証サーバをそれぞれ接続させ、前記端末装置で、前記要求メッセージに、前記特定ネットワークのうち、ある特定ネットワークに対応するユーザクラスＩＤの識別情報を付与して送信する要求送信工程と、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与して、前記ある特定ネットワークに接続された認証サーバに送信する識別情報送信工程と、前記アクセス要求メッセージに付与された識別情報に基づき、前記認証サーバで、前記端末装置の認証を行うとともに、該認証の応答を行う認証工程と、前記認証サーバからの認証応答に応じて、前記アクセス制御装置で、前記ユーザクラスＩＤの識別情報を付与した前記要求メッセージを、前記ある特定ネットワークに接続されたＤＨＣＰサーバに送信する要求転送工程と、前記要求メッセージに付与された識別情報に応じて、前記ＤＨＣＰサーバで、予めプールされた情報の中から前記端末装置の接続要求に必要な情報を割り当てて、前記アクセス制御装置を介して該端末装置に応答するデータ転送工程とを含むことを特徴とする。
【００２９】
この発明によれば、たとえば端末装置による接続要求が可能なネットワークが複数ある場合に、端末装置は、ある特定ネットワークに対応するユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して複数のネットワークに一つずつのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００３０】
また、請求項１０にかかるアクセス制御方法では、前記ＤＨＣＰサーバから前記ネットワーク毎に転送される前記端末装置の接続要求に必要な情報を、前記アクセス制御装置で記憶する記憶工程と、前記記憶された情報に応じて、受信したパケットの中継の有無を、前記アクセス制御装置で判断する判断工程とをさらに含むことを特徴とする。
【００３１】
この発明によれば、複数の接続可能なネットワークがある場合は、ネットワーク毎にアサインされる端末装置の接続要求に必要な情報が変わり、この情報をアクセス制御装置のテーブルに記憶させ、このテーブル内の情報によって、ネットワーク側から受信したパケットの中継の有無を判断することで、データ中継のフィルタリングを行う。
【００３２】
また、請求項１１にかかるアクセス制御方法において、前記データ転送工程では、前記アクセス制御装置は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置に転送することを特徴とする。
【００３３】
この発明によれば、端末装置の接続要求に必要な情報に付与された送信元アドレスであるＤＨＣＰサーバのアドレスを、アクセス制御装置のアドレスに書き換えて端末装置に転送することで、端末装置からＤＨＣＰサーバへの更新要求に対して認証サーバでの再認証を可能にする。
【００３４】
また、請求項１２にかかるアクセス制御装置では、端末装置とネットワーク間に接続され、該端末装置から送信される該ネットワークへの接続要求のための要求メッセージを、該ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、前記端末装置から送信されたユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、前記アクセス要求メッセージを前記認証サーバへ送信させる送信制御手段と、前記識別情報が付与された要求メッセージを保持する保持手段と、前記認証サーバからの認証応答に応じて、前記保持された要求メッセージを前記ＤＨＣＰサーバへ転送させるとともに、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、該端末装置へ転送させる転送制御手段とを備えたことを特徴とする。
【００３５】
この発明によれば、アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、認証サーバでの認証を可能にし、さらに認証の応答後にアクセス制御装置から送信される要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、ＤＨＣＰサーバで端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００３６】
また、請求項１３にかかるアクセス制御装置は、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を記憶する記憶手段と、前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段とをさらに備えたことを特徴とする。
【００３７】
この発明によれば、端末装置の接続要求に必要な情報をアクセス制御装置の記憶手段に記憶させ、この記憶手段内の情報によって、ネットワーク側から受信したパケットの中継の有無を判断手段で判断し、データ中継のフィルタリングを行う。
【００３８】
また、請求項１４にかかるアクセス制御装置は、メッセージの受信ポートに対応したサーキットＩＤを記憶するサーキットＩＤ記憶手段と、前記メッセージに付与されたサーキットＩＤに基づいて、サーキットＩＤ記憶手段を検索して、該メッセージを受信したポートを識別する識別手段をさらに備え、前記転送制御手段は、前記端末装置から送信される前記ＤＨＣＰサーバを検知するためのディスカバーメッセージに、該ディスカバーメッセージを受信したポートを識別するためのサーキットＩＤを付与して、前記ＤＨＣＰサーバに転送するとともに、該ＤＨＣＰサーバから送信されるオファーメッセージに付与されたサーキットＩＤを削除するとともに、該削除したサーキットＩＤに基づいて、前記識別手段で識別されたポートに、前記オファーメッセージを転送することを特徴とする。
【００３９】
この発明によれば、受信したディスカバーメッセージにサーキットＩＤを付与して転送し、受信したオファーメッセージに付与されたサーキットＩＤからサーキットＩＤ記憶手段を検索して、ポートを識別し、このポートにオファーメッセージを転送することで、ディスカバーメッセージを受信したポートにオファーメッセージを転送することが可能となる。
【００４０】
また、請求項１５にかかるアクセス制御装置では、前記転送制御手段は、前記ＤＨＣＰサーバから送信されるメッセージに付与されたサーキットＩＤを削除した後に、転送することを特徴とする。
【００４１】
この発明によれば、端末装置では不要のサーキットＩＤを削除した後に、ＤＨＣＰからのメッセージを転送することで、不要なデータ転送を削減する。
【００４２】
また、請求項１６にかかるアクセス制御装置では、前記転送制御手段は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置へ転送させることを特徴とする。
【００４３】
この発明によれば、端末装置の接続要求に必要な情報に付与された送信元アドレスであるＤＨＣＰサーバのアドレスを、転送制御手段が自装置のアドレスに書き換えて端末装置に転送することで、端末装置からＤＨＣＰサーバへの更新要求に対して認証サーバでの再認証を可能にする。
【００４４】
また、請求項１７にかかるアクセス制御装置は、端末装置とネットワーク間に接続され、該端末装置から送信される該ネットワークへの接続要求のための要求メッセージを、該ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、前記端末装置の接続要求に必要な情報を記憶する記憶手段と、前記端末装置から送信されたユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、前記アクセス要求メッセージを前記認証サーバへ送信させるメッセージ送信制御手段と、前記認証サーバからの認証応答に応じて、予めプールされている情報から、前記端末装置の接続要求に必要な情報を割り当て、前記記憶手段に記憶させる情報割当手段と、前記割り当てられた情報を前記端末装置に送信させる情報送信制御手段とを備えたことを特徴とする。
【００４５】
この発明によれば、アクセス制御装置に情報割当手段を設けて、ユーザクラスＩＤの識別情報に基づき、接続要求に必要な情報をプールされている情報から割り当てることで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００４６】
また、請求項１８にかかるアクセス制御装置は、前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段をさらに備えたことを特徴とする
【００４７】
この発明によれば、割り当て時にアサインされる接続に必要な情報をテーブルに記憶させておき、ネットワーク側から受信したパケットの中継の有無をこのテーブルを用いて判断し、データ中継のフィルタリングを行う。
【００４８】
また、請求項１９にかかるアクセス制御装置では、端末装置と少なくとも一つの特定ネットワーク間に接続され、該端末装置から送信される該特定ネットワークへの接続要求のための要求メッセージを、該特定ネットワークに接続されるＤＨＣＰサーバへ転送するとともに、前記特定ネットワークに接続された認証サーバへアクセス要求のためのアクセス要求メッセージを送信するアクセス制御装置において、端末装置からの前記特定ネットワークのうちのある特定ネットワークに対するユーザクラスＩＤの識別情報が付与された要求メッセージに対応して、アクセス要求のためのアクセス要求メッセージに前記ユーザクラスＩＤの識別情報を付与する情報制御手段と、前記アクセス要求メッセージを前記ある特定ネットワークに接続された認証サーバへ送信させる送信制御手段と、前記識別情報が付与された要求メッセージを保持する保持手段と、前記認証サーバからの認証応答に応じて、前記保持された要求メッセージを前記ある特定ネットワークに接続されたＤＨＣＰサーバへ転送させるとともに、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を、該端末装置へ転送させる転送制御手段とを備えたことを特徴とする。
【００４９】
この発明によれば、アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、各ネットワークの認証サーバでの認証を可能にし、さらに認証の応答後にアクセス制御装置から送信される要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、各ネットワークのＤＨＣＰサーバで端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して複数のネットワークに一つずつのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを可能にする。
【００５０】
また、請求項２０にかかるアクセス制御装置は、前記ＤＨＣＰサーバから送信される前記端末装置の接続要求に必要な情報を記憶する記憶手段と、前記記憶手段に記憶された情報に応じて、受信したパケットの中継の有無を判断する判断手段とをさらに備えたことを特徴とする。
【００５１】
この発明によれば、複数の接続可能なネットワークがある場合も、ネットワーク毎にアサインされる情報を記憶手段に記憶させ、受信したパケットの中継の有無を、この記憶手段内の情報によって判断手段が判断することで、データ中継のフィルタリングを行う。
【００５２】
また、請求項２１にかかるアクセス制御装置では、前記転送制御手段は、前記ＤＨＣＰサーバからの前記端末装置の接続要求に必要な情報の送信元アドレスを、自装置のアドレスに変更して前記端末装置へ転送させることを特徴とする。
【００５３】
この発明によれば、端末装置の接続要求に必要な情報に付与された送信元アドレスであるＤＨＣＰサーバのアドレスを、転送制御手段が自装置のアドレスに書き換えて端末装置に転送することで、端末装置からＤＨＣＰサーバへの更新要求に対して認証サーバでの再認証を可能にする。
【００５４】
また、請求項２２にかかるアクセス制御システムでは、ネットワークへの接続要求に対し、該接続要求に必要な情報の応答を行うアクセス制御システムにおいて、前記接続要求のための要求メッセージにユーザクラスＩＤの識別情報を付与して送信する端末装置と、前記ネットワークと端末装置間に接続される請求項１２〜１６のいずれか一つに記載のアクセス制御装置と、前記ネットワークに接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、前記ネットワークに接続され、前記要求メッセージに付与された識別情報に応じて、前記端末装置の接続要求に必要な情報を応答するＤＨＣＰサーバとを備えたことを特徴とする。
【００５５】
この発明によれば、アクセス制御装置によって送信される要求メッセージおよびアクセス要求メッセージに付与されるユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００５６】
また、請求項２３にかかるアクセス制御システムでは、ネットワークへの接続要求に対し、該接続要求に必要な情報の応答を行うアクセス制御システムにおいて、前記接続要求のための要求メッセージにユーザクラスＩＤの識別情報を付与して送信する端末装置と、前記ネットワークと端末装置間に接続される請求項１７または１８に記載のアクセス制御装置と、前記ネットワークに接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバとを備え、前記認証サーバからの認証応答に応じて、前記アクセス制御装置が、前記端末装置の接続要求に必要な情報を、該端末装置に応答することを特徴とする。
【００５７】
この発明によれば、アクセス制御装置にＤＨＣＰサーバの機能を持たせ、アクセス制御装置によって送信されるアクセス要求メッセージに付与されるユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および端末装置で接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して一つのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００５８】
また、請求項２４にかかるアクセス制御システムでは、少なくとも一つの特定ネットワークへの接続要求に対し、該特定ネットワーク毎に接続要求に必要な情報の応答を行うアクセス制御システムにおいて、前記特定ネットワークのうち、ある特定ネットワークに対応するユーザクラスＩＤの識別情報を付与した前記接続要求のための要求メッセージを送信する端末装置と、前記各特定ネットワークと端末装置間に接続される請求項１９〜２１のいずれか一つに記載のアクセス制御装置と、前記特定ネットワーク毎にそれぞれ接続され、前記アクセス制御装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、前記端末装置の認証を行うとともに、該認証の応答を行う認証サーバと、前記特定ネットワーク毎にそれぞれ接続され、前記要求メッセージに付与された識別情報に応じて、前記端末装置の接続要求に必要な情報を応答するＤＨＣＰサーバとを備え、前記特定ネットワーク毎に端末装置の認証および該端末装置の接続要求に必要な情報の応答を行うことを特徴とする。
【００５９】
この発明によれば、たとえば端末装置による接続要求が可能なネットワークが複数ある場合に、ある特定ネットワークに対応するユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うことで、正規のクライアントに対して複数のネットワークに一つずつのアドレスのアサインのみを許可するとともに、プールされているアドレスの割り当てを行う。
【００６０】
【発明の実施の形態】
以下に図１〜図４４の添付図面を参照して、この発明にかかるアクセス制御方法、アクセス制御装置およびその装置を用いたアクセス制御システムの好適な実施の形態を説明する。なお、以下の図において、図４５と同様の構成部分に関しては、説明の都合上、同一符号を付記するものとする。
【００６１】
（実施の形態１）
図１は、この発明にかかるアクセス制御システムの実施の形態１の構成を示す構成図である。図１において、図４５と異なる点は、コアネットワークＡ上に認証サーバを接続させて、ＲＡＤＩＵＳのプロトコルを用いて、接続要求を行うＰＣの認証を行う点と、これに伴いＤＨＣＰサーバ１０、ＰＥルータ２０およびＰＣ５０の構成と動作が異なる点である。
【００６２】
まず、ＤＨＣＰサーバ１０は、図２に示すように、コアネットワークＡと接続されてメッセージなどのパケットの入出力を行うＬＡＮインターフェース１１と、ＬＡＮインターフェース１１と接続されてパケットの送受信を行うパケット送信部１２およびパケット受信部１３と、ＤＨＣＰを用いてメッセージの処理制御を行うＤＨＣＰ制御部１４と、ユーザの設定情報がエントリされるユーザ設定情報テーブル１５とから構成されている。
【００６３】
ＤＨＣＰ制御部１４は、ＤＨＣＰパケットのタイプに応じたパケット処理を行っており、たとえばプールされているＩＰアドレスを、リクエストメッセージにより要求を行ったクライアントのＰＣに割り当てるなどの処理制御を行っている。なお、この処理は後述する。
【００６４】
ユーザ設定情報テーブル１５は、図３に示すように、接続要求を行う各クライアントのＰＣ５０のユーザＩＤと、割り当てられたＩＰアドレスと、サブネットマスクと、中継を行うＰＥルータのＩＰアドレスと、図示しないＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバのＩＰアドレスと、割り当てられたアドレスの利用可能時間とからなるデータによって構成されている。
【００６５】
なお、このシステムにおいて、ＤＨＣＰサーバ１０とＰＣ５０間で伝送されるＤＨＣＰメッセージパケットは、図４のフォーマットに示すように、ＭＡＣヘッダ、ＩＰヘッダおよびＵＤＰヘッダが付与されたＤＨＣＰのメッセージで構成されている。なお、このＤＨＣＰメッセージが、クライアントからＤＨＣＰサーバに送信される場合には、ＵＤＰヘッダ内のＵＤＰポート番号のうち、ｄポートが「６７」の値で、ｓポートが「６８」の値となり、またＤＨＣＰサーバからクライアントに送信される場合には、ｄポートが「６８」の値で、ｓポートが「６７」の値となる。
【００６６】
このＤＨＣＰメッセージは、図５のフォーマットに示すように、ｏｐ、ｈｔｙｐｅ、ｈｌｅｎ、ｈｏｐｓ、ｘｉｄ、ｓｅｃｓ、ｆｌａｇｓ、ｃｉａｄｄｒ、ｙｉａｄｄｒ、ｓｉａｄｄｒ、ｇｉａｄｄｒ、ｃｈａｄｄｒ、ｓｎａｍｅ、ｆｉｌｅおよびｏｐｔｉｏｎｓの各フィールドからなっており、このメッセージのフィールドのうち、この実施の形態で特に関わってくるのは、ｙｉａｄｄｒおよびｏｐｔｉｏｎｓの各フィールドである。
【００６７】
このｙｉａｄｄｒは、ＤＨＣＰサーバから接続アクセス要求を行ったクライアントＰＣに割り当てられるＩＰアドレスであり、ｏｐｔｉｏｎｓフィールドは、オペレーションのパラメータを設定するフィールドからなる。このｏｐｔｉｏｎｓフィールドのうち、この実施の形態で特に関わってくるのは、図６〜図１３のフォーマットに示すように、ＤＨＣＰメッセージタイプ、ユーザクラスＩＤ、リレーエージェント情報、エージェントサーキットＩＤ、サブネットマスク、ルータ、ドメインネームサーバおよびＩＰアドレスリースタイムの各オプションである。
【００６８】
このＤＨＣＰサーバ１０では、図１４のデータ処理動作を説明するためのフローチャートに示すように、パケット受信部１３がＬＡＮインターフェース１１からパケットを受信している（ステップ１０１）。ＤＨＣＰ制御部１４は、この受信パケットがＤＨＣＰパケットの場合には（ステップ１０２）、まずこの受信されたＤＨＣＰパケットがディスカバーメッセージか判断し（ステップ１０３）、ディスカバーメッセージの場合には、オファーメッセージをクライアントへ送信する（ステップ１０４）。このメッセージの判断は、図６に示したコード「５３」で規定されるＤＨＣＰメッセージタイプオプションのタイプ「１−８」によって判断されている。ここで、タイプ「１」はディスカバーメッセージを、タイプ「２」はオファーメッセージを、タイプ「３」はリクエストメッセージを、タイプ「４」はディクライン（ＤＥＣＬＩＮＥ）メッセージを、タイプ「５」はＡＣＫメッセージを、タイプ「６」はＮＡＫメッセージを、タイプ「７」はリリース（ＲＥＬＥＡＳＥ）メッセージを、またタイプ「８」はインフォーム（ＩＮＦＯＲＭ）メッセージをそれぞれ示している。
【００６９】
また、この受信されたＤＨＣＰメッセージがオファーメッセージの場合には（ステップ１０５）、このパケットを廃棄し（ステップ１０６）、リクエストメッセージの場合には（ステップ１０７）、メッセージ中のユーザクラスＩＤオプション（図７参照）を取り出し、そのユーザクラスデータ中のユーザＩＤを抽出してユーザ設定情報テーブル１５で検索し、このユーザＩＤが検索されると、このテーブル１５にエントリされている各情報をＤＨＣＰオプションのフィールドに付加してＡＣＫメッセージを作成し、パケット送信部１２からクライアントに送信する（ステップ１０８）。
【００７０】
また、この受信されたＤＨＣＰメッセージがＡＣＫメッセージの場合には（ステップ１０９）、このパケットを廃棄し（ステップ１１０）、ディクラインメッセージの場合には（ステップ１１１）、ＡＣＫメッセージで割り当てたＩＰアドレスを異常と判断し（ステップ１１２）、ＮＡＫメッセージの場合には（ステップ１１３）、このパケットを廃棄し（ステップ１１４）、リリースメッセージの場合には（ステップ１１５）、クライアントに割り当てていたＩＰアドレスをプールへ返し（ステップ１１６）、インフォームメッセージの場合には（ステップ１１７）、このメッセージを記録する（ステップ１１８）。また、受信されたパケットがこれらのいずれのタイプのメッセージでない場合には、このパケットを廃棄して（ステップ１１９）、上記フローチャートの動作を終了する。
【００７１】
図１５は、図１に示したＰＥルータ２０の構成を示す構成図である。図において、ＰＥルータ２０は、コアネットワークＡまたは集線装置３０と接続されて、パケットの送受信を行うパケット送信部２１およびパケット受信部２２と、パケットのフィルタリング処理や中継処理を行うＩＰ中継制御部２３と、ＤＨＣＰを用いてＤＨＣＰメッセージの処理制御を行うＤＨＣＰ制御部２４と、ＲＡＤＩＵＳを用いてＲＡＤＩＵＳメッセージの処理制御を行う認証制御部２５と、ＩＰ中継制御部２３に接続されるフィルタリング用テーブル２６と、ＤＨＣＰ制御部２４に接続されるサーキットＩＤテーブル２７とから構成されている。
【００７２】
パケット受信部２２は、パケットをコアネットワークＡまたは集線装置３０から受信すると、受信処理を行っている。すなわち、ＰＥルータ２０では、図１６のフローチャートに示すように、パケット受信部２２がパケットを受信すると（ステップ２０１）、パケット受信部２２でのデータ処理に移行し（ステップ２０２）、この受信パケットがＩＰパケットとＡＲＰパケットのいずれかのパケットかどうか判断する（ステップ２０３）。ここで、受信パケットがＩＰ／ＡＲＰのいずれかのパケットの場合には、ＩＰ中継処理部に受信パケットを出力してＩＰ中継制御部２３でのデータ処理に移行し（ステップ２０４）、またこの受信パケットがＩＰ／ＡＲＰのいずれのパケットでもない場合には、パケットを廃棄している（ステップ２０５）。
【００７３】
ＩＰ中継制御部２３は、パケット受信部２２で受信されたパケットの種類判別およびフィルタリング用テーブル２６にエントリされている内容に基づいて、パケットの中継または遮断処理を行う。また、フィルタリング用テーブル２６は、図１７の構成図に示すように、宛先アドレスおよびサブネットマスクの情報と、送信元アドレスおよびサブネットマスクの情報と、パケットの入力ポートと、出力ポートと、パケットの中継／遮断を示す情報とが対応付けられてエントリされている。
【００７４】
ＩＰ中継制御部２３は、図１６に示すように、ＰＥルータ２０での処理動作がＩＰ中継処理部での制御に移行すると（ステップ２０４）、まず受信パケットがＤＨＣＰメッセージパケットかどうか判断し（ステップ２０６）、ＤＨＣＰメッセージパケットの場合には、ＤＨＣＰ制御部２４のデータ処理に移行する（ステップ２０７）。また、この受信パケットがＤＨＣＰメッセージパケットでない場合には、ＲＡＤＩＵＳメッセージパケットかどうか判断し（ステップ２０８）、ＲＡＤＩＵＳメッセージパケットの場合には、認証制御部２５のデータ処理に移行する（ステップ２０９）。
【００７５】
また、この受信パケットがＲＡＤＩＵＳメッセージパケットでない場合には、ＩＰ中継制御部２３は、受信パケット内の宛先アドレス、送信元アドレスを抽出し、この宛先アドレス、送信元アドレスに基づいてフィルタリング用テーブルを検索し（ステップ２１０）、この受信パケットが中継パケットかどうかを、該当するエントリの中継／遮断の情報から判断する（ステップ２１１）。ここで、この受信パケットが中継パケットでない場合には、この受信パケットを廃棄し（ステップ２０５）、また受信パケットが中継パケットの場合には、この受信パケットをパケット送信部２１から送信する（ステップ２１２）。
【００７６】
ＤＨＣＰ制御部２４は、ＤＨＣＰのプロトコルを用いて受信されたＤＨＣＰメッセージを、そのタイプに応じたデータ処理の制御を行うとともに、ディスカバーメッセージを受信した際に、サーキットＩＤテーブル２７を参照してリレーエージェント情報の追加処理を行って、ＤＨＣＰサーバ１０へ転送し、またリクエストメッセージを受信した際に、ユーザクラスＩＤを取り出してＲＡＤＩＵＳメッセージを、認証サーバ６０へ転送している。また、サーキットＩＤテーブル２７は、図１８の構成図に示すように、メッセージが入力する物理ポートと、この物理ポートが所属するＶＬＡＮの番号と、サーキットＩＤの情報とが対応付けられてエントリされている。
【００７７】
なお、このシステムにおいて、ＰＥルータ２０と認証サーバ６０間で伝送されるＲＡＤＩＵＳパケットは、図２１のフォーマットに示すように、ＭＡＣヘッダ、ＩＰヘッダおよびＵＤＰヘッダが付与されたＲＡＤＩＵＳメッセージで構成されている。このＲＡＤＩＵＳメッセージは、図２２のフォーマットに示すように、メッセージのコードと、識別子と、メッセージ長と、メッセージを認証する認証データと、属性値とから構成されており、この属性値は、図２３のフォーマットに示すように、タイプと、メッセージ長と、値などから構成されており、この実施の形態で特に関わってくるのは、タイプを示すユーザネイムとユーザパスワードのフィールドに、ユーザＩＤとパスワードの情報を付与する点である。
【００７８】
このＤＨＣＰ制御部２４では、図１９のデータ処理動作を説明するためのフローチャートに示すように、パケット受信部２２がＤＨＣＰメッセージパケットを受信すると（ステップ３０１）、ＤＨＣＰ制御部２４は、まずこの受信されたＤＨＣＰパケットがディスカバーメッセージか判断し（ステップ３０２）、ディスカバーメッセージの場合には、図２０に示すリレーエージェント情報の追加処理を行う（ステップ３０３）。このメッセージの判断でも、上述したごとく、図６に示したコード「５３」で規定されるＤＨＣＰメッセージタイプオプションのタイプ「１−８」によって判断されている。
【００７９】
図２０では、ＤＨＣＰ制御部２４は、受信したディスカバーメッセージの物理ポートとＶＬＡＮ  ＩＤを取得し（ステップ４０１）、この取得した物理ポートとＶＬＡＮ  ＩＤとからサーキットＩＤテーブル２７を検索し、該当するサーキットＩＤの情報を検出する（ステップ４０２）。そして、サーキットＩＤがあるかどうか判断する（ステップ４０３）。ここで、サーキットＩＤがサーキットＩＤテーブル２７にない場合は、受信されたディスカバーメッセージを廃棄し、以降のデータ処理を行わない（ステップ４０４）。また、サーキットＩＤがある場合には、図８に示したリレーエージェント情報オプション内のエージェント情報に付与されたサーキットＩＤをディスカバーメッセージに追加する（ステップ４０５）。
【００８０】
そして、ＤＨＣＰ制御部２４は、図１９のステップ３０３において、ディスカバーメッセージの宛先アドレスを「ＤＨＣＰサーバ１０のアドレス」に、送信元アドレスを「自装置（ＰＥルータ２０）のＩＰアドレス」に書き換えてＤＨＣＰサーバ１０に送信する。また、受信パケットがオファーメッセージの場合には（ステップ３０４）、オファーメッセージの宛先アドレスを「ブロードキャスト」、送信元アドレスを「自装置２０のＩＰアドレス」に書き換えて、クライアントであるＰＣ５０に送信する（ステップ３０５）。
【００８１】
また、この受信されたＤＨＣＰメッセージがリクエストメッセージの場合には（ステップ３０６）、メッセージ中のユーザクラスＩＤオプション内のユーザクラスデータ（図７参照）に付与されたユーザＩＤと、パスワードとを取り出し、これらを属性値のフィールドに付与してＲＡＤＩＵＳメッセージの中のアクセス−リクエストのメッセージを作成して、認証サーバ６０に送信するとともに、このＤＨＣＰのリクエストメッセージを保存して、ＲＡＤＩＵＳメッセージの中のアクセス−アクセプトのメッセージが受信されるのを待つ（ステップ３０７）。
【００８２】
また、この受信されたＤＨＣＰメッセージがＡＣＫメッセージの場合には（ステップ３０８）、宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置２０のＩＰアドレス」に書き換えてクライアントのＰＣに送信する。同時に、ＰＥルータ２０のフィルタリング用テーブル２６にＤＨＣＰで配布するＩＰアドレスを登録し、中継を許可する。またＡＣＫメッセージ内の利用時間の情報を取得し、装置内の図示しないクライアント監視タイマを再スタートする（ステップ３０９）。この監視タイマには、データ中継を許可する利用時間がクライアント毎に設定されており、ＤＨＣＰ制御部２４は、図２４のフローチャートに示すように、タイマが満了すると（ステップ４１１）、フィルタリング用テーブル２６の中継の許可を遮断する「遮断」に変更し、これ以降、そのクライアントのデータ中継を停止する（ステップ４１２）。
【００８３】
また、図１９において、この受信されたＤＨＣＰメッセージがディクラインメッセージの場合には（ステップ３１０）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバ１０のアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバ１０に送信する（ステップ３１１）。また、ＮＡＫメッセージの場合には（ステップ３１２）、メッセージの宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置２０のＩＰアドレス」に書き換えてクライアントに送信する（ステップ３１３）。
【００８４】
また、この受信されたＤＨＣＰメッセージがリリースメッセージの場合には（ステップ３１４）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスをＤＨＣＰサーバ１０のアドレスに、送信元アドレスを自装置のアドレスに書き換えて、ＤＨＣＰサーバ１０に送信するとともに、該当するフィルタリング用テーブル２６のエントリを削除し、クライアント監視タイマを停止する（ステップ３１５）。
【００８５】
さらに、この受信されたＤＨＣＰメッセージがインフォームメッセージの場合には（ステップ３１６）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバ１０のアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバ１０に送信する（ステップ３１７）。また、受信されたパケットがこれらのいずれのタイプのメッセージでない場合には、このパケットを廃棄して（ステップ３１８）、上記フローチャートの動作を終了する。
【００８６】
次に、認証制御部２５は、ＲＡＤＩＵＳのプロトコルを用いて受信されたＲＡＤＩＵＳメッセージのコードに応じた処理制御を行う。すなわち、認証制御部２５は、図２５のフローチャートに示すように、認証サーバ６０からのＲＡＤＩＵＳパケットが受信されると（ステップ４２１）、この受信パケットのコードから判断して、アクセス−アクセプト（Ａｃｃｅｓｓ−Ａｃｃｅｐｔ）メッセージの場合には（ステップ４２２）、認証が許可されたと判断し、ＤＨＣＰのリクエストメッセージをＤＨＣＰサーバ１０に送信する（ステップ４２３）。
【００８７】
また、受信されたＲＡＤＩＵＳパケットがアクセス−リジェクト（Ａｃｃｅｓｓ−Ｒｅｊｅｃｔ）メッセージの場合には（ステップ４２４）、認証が許可されなかったと判断し、保持しているＤＨＣＰのリクエストメッセージを廃棄して（ステップ４２５）、上記動作を終了する。
【００８８】
図２６は、図１に示したＰＣ５０の構成を示す構成図である。図において、ＰＣ５０は、集線装置３０やレイヤ２のスイッチ４０を介してＰＥルータ２０と接続されて、ＤＨＣＰパケットの入出力を行うＬＡＮインターフェース５１と、パケットの送受信を行うパケット送信部５２およびパケット受信部５３と、ＤＨＣＰのプロトコルを用いてＤＨＣＰメッセージの処理制御を行うＤＨＣＰ処理部５４とから構成されている。
【００８９】
このＰＣ５０では、図２７のフローチャートに示すように、ＰＣ５０の初期化処理またはコマンドによりＤＨＣＰの再起動が行われると（ステップ４３１）、ＤＨＣＰ処理部５４は、ネットワークへの接続アクセス要求を行うために、ディスカバーメッセージを作成して、このディスカバーメッセージをパケット送信部５２からＬＡＮインターフェース５１を介してＰＥルータ２０に送信し（ステップ４３２）、内部に設けた監視タイマを起動させてオファーメッセージの受信待ち状態になる（ステップ４３３）。
【００９０】
そして、このタイマがタイムアウトになるまで（ステップ４３４）、オファーメッセージの受信があったかどうか判断しており（ステップ４３５）、タイマがタイムアウトになると、通信不可能状態に遷移し、コマンドによりＰＣ５０がＤＨＣＰ再起動待ちの状態なる（ステップ４３６）。次に、オファーメッセージの受信がなされると、ユーザクラスＩＤを付加したリクエストメッセージを作成して、このリクエストメッセージをＰＥルータ２０に送信して（ステップ４３７）、監視タイマを起動させてＡＣＫメッセージの受信待ち状態に遷移する（ステップ４３８）。
【００９１】
そして、このタイマがタイムアウトになるまで、ＡＣＫメッセージの受信があったかどうか判断しており（ステップ４４０）、タイマがタイムアウトになると（ステップ４３９）、通信不可能状態に遷移し、コマンドによりＰＣ５０がＤＨＣＰ再起動待ちの状態なる（ステップ４３６）。次に、ＡＣＫメッセージの受信がなされると（ステップ４４０）、このメッセージから得られたＩＰアドレス、ルータアドレス、ＤＮＳサーバアドレスなどの情報を、図示しない内部テーブルに設定し、アドレス利用タイマをスタートさせる（ステップ４４１）。次に、このアドレス利用タイマが満了すると（ステップ４４２）、ユーザクラスＩＤを付加して、リクエストメッセージをＰＥルータに送信する。
【００９２】
図２８は、認証サーバ６０の構成を示す構成図である。図において、認証サーバ６０は、コアネットワークＡと接続されてメッセージなどのパケットの入出力を行うＬＡＮインターフェース６１と、ＬＡＮインターフェース６１と接続されてパケットの送受信を行うパケット送信部６２およびパケット受信部６３と、ＲＡＤＩＵＳのプロトコルを用いて認証の処理制御を行う認証制御部６４と、アクセスネットワークユーザ認証テーブル６５とから構成されている。
【００９３】
認証制御部６４は、アクセスネットワークユーザ認証テーブル６５にエントリされているユーザ認証情報に基づいて、受信されたＲＡＤＩＵＳメッセージの認証を行っている。アクセスネットワークユーザ認証テーブル６５は、図２９の構成図に示すように、クライアントのユーザＩＤとパスワードが予め対応付けられてエントリされている。
【００９４】
このような構成において、認証サーバ６０は、図３０のフローチャートに示すように、パケット受信部６３がＬＡＮインターフェース６１を介してパケットを受信すると（ステップ４５１）、このパケットがＲＡＤＩＵＳメッセージかどうか判断される（ステップ４５２）。ここで、このパケットがＲＡＤＩＵＳメッセージでない場合には、受信パケットが廃棄され（ステップ４５３）、またＲＡＤＩＵＳメッセージの場合には、このメッセージ内のユーザ認証情報からアクセスネットワークユーザ認証テーブル６５を検索して認証制御部６４の認証処理動作によるユーザの認証がなされる（ステップ４５４）。
【００９５】
そして、認証制御部６４は、受信したアクセス−リクエストのメッセージ中のユーザＩＤとパスワードが、アクセスネットワークユーザ認証テーブル６５にエントリされている内容と一致すると、認証の許可を与えており、認証が許可された場合には（ステップ４５５）、認証制御部６４は、ＲＡＤＩＵＳメッセージのアクセス−アクセプトのメッセージを作成し（ステップ４５６）、また認証が許可されなかった場合には（ステップ４５５）、アクセス−リジェクトのメッセージを作成して（ステップ４５７）、パケット送信部６２からＬＡＮインターフェース６１を介してコアネットワークＡに送信する（ステップ４５８）。
【００９６】
次に、図３１の認証対応のＤＨＣＰのプロトコルシーケンスを示すシーケンス図と、図３２のシステム全体における実施の形態１のメッセージの流れを示すフローチャートに基づいて、アクセス制御システムでのアクセス制御の動作を説明する。
【００９７】
図３１、図３２において、まず、初期化処理などでネットワークへの接続アクセス要求を行うＰＣ５０は、送信元アドレスが「０」で、宛先アドレスが「ブロードキャスト」のＤＨＣＰのディスカバーメッセージを作成し、集線装置３０または集線装置３０および４０を介して、ＰＥルータ２０に送信する。
【００９８】
このディスカバーメッセージを受信したＰＥルータ２０は、このメッセージを受信した物理ポートとＶＬＡＮ  ＩＤを取得し、この物理ポートとＶＬＡＮ  ＩＤの情報からサーキットＩＤテーブル２７を検索して、該当するサーキットＩＤを抽出する。そして、このディスカバーメッセージに、この抽出したサーキットＩＤが付与されたリレーエージェント情報オプションを追加し、かつ送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ＤＨＣＰサーバ１０のＩＰアドレス」に書き換えて、コアネットワークＡを介して、ＤＨＣＰサーバ１０に転送する。
【００９９】
自装置宛のディスカバーメッセージを受信したＤＨＣＰサーバ１０は、ＤＨＣＰメッセージのタイプオプションのタイプ情報から、メッセージがディスカバリーであることを認識し、かつサーキットＩＤを認識する。次に、ＤＨＣＰサーバ１０は、応答用のオファーメッセージに、サーキットＩＤが付与されたリレーエージェント情報オプション（受信したディスカバーメッセージに追加されていたリレーエージェント情報オプション）を追加し、かつ送信元アドレスを「自装置１０のＩＰアドレス」に、宛先アドレスを「ＰＥルータ２０のＩＰアドレス」に設定し、コアネットワークＡを介して、ＰＥルータ２０に送信する。
【０１００】
ＰＥルータ２０は、このオファーメッセージを受信すると、このオファーメッセージの送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ブロードキャスト」に書き換える。さらにＰＥルータは、この受信したオファーメッセージに付与されたサーキットＩＤを抽出し、このサーキットＩＤからサーキットＩＤテーブル２７を検索して、該当する物理ポートを抽出し、作成したこのオファーメッセージを、この抽出した物理ポート（以前にディスカバーメッセージを受信した物理ポート）を介してＰＣ５０に送信する。
【０１０１】
ＰＣ５０は、このオファーメッセージを受信すると、ユーザＩＤとパスワードが付与されたユーザクラスＩＤオプションを追加し、かつ送信元アドレスが「０」で、宛先アドレスが「ブロードキャスト」のＤＨＣＰのリクエストメッセージを作成し、このリクエストメッセージをＰＥルータ２０に送信する。
【０１０２】
このリクエストメッセージを受信したＰＥルータ２０は、メッセージ中のユーザクラスＩＤに付与されたユーザＩＤとパスワード（図７参照）を抽出し、これらを属性値のフィールド（図２１、図２２参照）に付与して、ＲＡＤＩＵＳのアクセス−リクエストのメッセージを作成し、このアクセス−リクエストのメッセージを認証サーバ６０に送信する。さらに、ＰＥルータ２０は、このリクエストメッセージを受信した物理ポートとＶＬＡＮを取得し、この物理ポートとＶＬＡＮの情報からサーキットＩＤテーブル２７を検索して、該当するサーキットＩＤを抽出する。次に、ＰＥルータ２０は、このリクエストメッセージに、この抽出したサーキットＩＤが付与されたリレーエージェント情報オプションを追加して、たとえば内部のバッファなどに保持する。
【０１０３】
認証サーバ６０は、このアクセス−リクエストのメッセージを受信すると、このメッセージ中のユーザクラスＩＤを抽出し、このユーザクラスＩＤの内容がアクセスネットワークユーザ認証テーブル６５にエントリされている内容と一致すると、この抽出したユーザクラスＩＤを属性値のフィールド（図２１、図２２参照）に付与して、アクセス−アクセプトのメッセージを作成し、このメッセージをＰＥルータ２０に送信する。
【０１０４】
このアクセス−アクセプトのメッセージを受信すると、ＰＥルータ２０は、アクセス−アクセプトのメッセージに付与されたユーザクラスＩＤ（図２１〜図２３参照）を抽出する。次に、ＰＥルータ２０は、内部に保持していたＤＨＣＰのリクエストメッセージの送信元アドレスを「自装置２０のＩＰアドレス」に、宛先アドレスを「ＤＨＣＰサーバ１０のＩＰアドレス」に設定し、コアネットワークＡを介して、リレーエージェント情報オプションとユーザクラスＩＤとが付与されたリクエストメッセージをＤＨＣＰサーバ１０に送信する。
【０１０５】
ＤＨＣＰサーバ１０は、このリクエストメッセージを受信すると、ユーザクラスＩＤオプション中のユーザＩＤを抽出し、このユーザＩＤからユーザ設定情報テーブル１５を検索し、割り当てられたＩＰアドレスを含む該当エントリの各情報が付与されたＤＨＣＰオプションのフィールドに追加して、ＡＣＫメッセージを作成し、このＤＨＣＰオプションと、サーキットＩＤが付与されたリレーエージェント情報オプション（受信したリクエストメッセージに追加されていたリレーエージェント情報オプション）が追加されたＡＣＫメッセージをＰＥルータ２０に送信する。
【０１０６】
ＰＥルータ２０は、このＡＣＫメッセージを受信すると、このＡＣＫメッセージからリレーエージェント情報オプションを削除し、このＡＣＫメッセージを集線装置３０または集線装置３０および４０を介してＰＣ５０に送信する。また、課金サーバなどがネットワーク上に接続されている場合には、ＰＥルータと課金サーバ間で、ＲＡＤＩＵＳのアカウンティングリクエストとアカウンティングアクセプトを送受信して課金に関する情報をやり取りすることも可能である。
【０１０７】
また、ＰＣ５０が、一旦ＩＰアドレスを取得した後で、リースタイムが満了する前にＩＰアドレスの再取得を行う場合も考えられるが、この場合には、図３２の▲５▼に示したユーザクラスＩＤが付与されたＤＨＣＰリクエストを、ＰＣ５０からＤＨＣＰサーバ１０宛に送信することになる。そして、図３２の▲５▼以降の動作を繰り返すシーケンスを行うことで、継続した通信サービスの提供を受けることが可能となる。
【０１０８】
このように、この実施の形態では、クライアントからのクラスＩＤと、ＰＥルータのサーキットＩＤとの組み合わせによって、ＤＨＣＰサーバからアサインするアドレスを決定するので、一つのクラスＩＤに対して一つのアドレスのみをアサインすることが可能となり、プールされているアドレスを的確に割り当てることができる。このため、たとえば異なるアクセスポイントからネットワークに接続しても、このクラスＩＤとサーキットＩＤとの組み合わせで一意的にクライアントを特定することができるので、異なるアクセスポイントからの接続アクセス要求に対しても、正規のクライアントを特定して、容易にアドレスをアサインすることができる。
【０１０９】
また、この実施の形態では、クライアントへのアドレスの配布と同時に、ＰＥルータでアサインするアドレス宛のパケットのみ通過させるフィルタを自動設定するので、正規のクライアントにのみにコンテンツ配信などの通信サービスを提供することができ、クライアントがアドレス詐称などを行って、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）アタック（サービス不能攻撃）を行うことを排除することができる。
【０１１０】
また、この実施の形態では、タグＶＬＡＮを用いて多重化しているので、どのＶＬＡＮかによって、接続されている回線がわかる。そこで、この発明では、たとえば図９に示したエージェントサーキットＩＤサブオプションの値（Ｖａｌｕｅ）のフィールドに、ＶＬＡＮの識別子であるＶＬＡＮ  ＩＤを付与して、サーキットＩＤとの組み合わせによって、ＤＨＣＰサーバからアサインするアドレスを決定するように構成することも可能である。この場合には、アクセスポイント固定で使用することで、上記の効果を得ることができる。
【０１１１】
なお、この実施の形態では、クライアントのＰＣ５０からはＤＨＣＰディスカバーメッセージのみを送信するようにしたが、この発明はこれに限らず、このディスカバーメッセージにユーザクラスＩＤを付与して送ることも可能である。この場合には、このディスカバーメッセージをＤＨＣＰサーバ１０に転送する前に、ＰＥルータ２０からアクセス−リクエストのメッセージを認証サーバ６０へ送信することが可能となり、この結果、認証サーバ６０での認証の問い合わせを行うことが可能となる。従って、この場合において、認証が不可のときには、ＤＨＣＰサーバ１０へのアクセスが不要となり、不必要なメッセージ転送を削減することができる。
【０１１２】
また、この発明では、ＡＣＫメッセージの転送時に、ＰＥルータ２０のＩＰ中継制御部２３が、このＡＣＫメッセージの送信元アドレスを、ＤＨＣＰサーバ１０のＩＰアドレスから自ルータ２０のＩＰアドレスに変更して、クライアントであるＰＣ５０に転送することも可能である。この場合には、次にＰＣ５０からＤＨＣＰサーバ１０への更新要求がなされた際に、認証制御部２５の認証制御によってアクセス−リクエストのメッセージを認証サーバ６０に送信できるようにして、この認証サーバ６０で、このＰＣ５０に対する再認証を可能にすることができ、クライアント認証の信頼性を高めることができる。
【０１１３】
また、ユーザクラスＩＤとサーキットＩＤは、上述したＤＨＣＰメッセージのｏｐｔｉｏｎｓの他に、たとえばＤＨＣＰメッセージのｏｐｔｉｏｎｓの一つであるベンダー拡張インフォメーションに定義することも可能である。この場合には、ユーザクラスＩＤオプションとサーキットＩＤオプションを、このベンダー拡張インフォメーションの値（Ｖａｌｕｅ）に、それぞれ定義されたコードで連続して付与することが可能となる。
【０１１４】
（実施の形態２）
図３３は、実施の形態２にかかるＰＥルータの構成を示す構成図である。なお、以下の図において、図１５および図３２と同様な構成部分に関しては、説明の都合上、同一符号を付記するものとする。
【０１１５】
図３３において、実施の形態１に示したＰＥルータと異なる点は、ルータにＤＨＣＰサーバの機能を内蔵させた点で、すなわち、ＤＨＣＰ制御部２４にこのサーバの機能を組み込むとともに、図３のユーザ設定情報テーブルと同一構成のユーザ設定情報テーブル２８をＤＨＣＰ制御部２４に接続させるものである。
【０１１６】
このＤＨＣＰ制御部２４では、図３４のデータ処理動作を説明するためのフローチャートに示すように、パケット受信部２２がＤＨＣＰメッセージパケットを受信すると（ステップ５０１）、ＤＨＣＰ制御部２４は、まずこの受信されたＤＨＣＰパケットがディスカバーメッセージかどうか判断し（ステップ５０２）、ディスカバーメッセージの場合には、オファーメッセージをクライアントのＰＣ５０に送信する（ステップ５０３）。
【０１１７】
また、受信パケットがオファーメッセージの場合には（ステップ５０４）、オファーメッセージを廃棄し（ステップ５０５）、またリクエストメッセージの場合には（ステップ５０６）、メッセージ中のユーザクラスＩＤオプションのユーザクラスＩＤ（図７参照）に付与されたユーザＩＤと、パスワードとを取り出し、これらを属性値のフィールドに付与してＲＡＤＩＵＳメッセージの中のアクセス−リクエストのメッセージを作成して、認証サーバ６０に送信するとともに、このＤＨＣＰのリクエストメッセージを保存して、ＲＡＤＩＵＳアクセス−アクセプトが受信されるのを待つ（ステップ５０７）。
【０１１８】
また、この受信されたＤＨＣＰメッセージがＡＣＫメッセージの場合には（ステップ５０８）、ＡＣＫメッセージを廃棄し（ステップ５０９）、ディクラインメッセージの場合には（ステップ５１０）、割り当てたアドレスを異常と判断する（ステップ５１１）。また、ＮＡＫメッセージの場合には（ステップ５１２）、ＮＡＫメッセージを廃棄し（ステップ５１３）、またリリースメッセージの場合には（ステップ５１４）、割り当てたアドレスをプールに返す（ステップ５１５）。さらに、この受信されたＤＨＣＰメッセージがインフォームメッセージの場合には（ステップ５１６）、このメッセージを記録する（ステップ５１７）。また、受信されたパケットがこれらのいずれのタイプのメッセージでない場合には、このパケットを廃棄して（ステップ５１８）、上記フローチャートの動作を終了する。
【０１１９】
次に、認証制御部２５は、ＲＡＤＩＵＳのプロトコルを用いて受信されたＲＡＤＩＵＳメッセージのコードに応じた処理制御を行う。すなわち、認証制御部２５は、図３５のフローチャートに示すように、認証サーバ６０からのＲＡＤＩＵＳパケットが受信されると（ステップ５５１）、この受信パケットのコードから判断して、アクセス−アクセプトメッセージの場合には（ステップ５５２）、認証が許可されたと判断し、ＤＨＣＰのＡＣＫメッセージをクライアントのＰＣ５０に送信する（ステップ５５３）。
【０１２０】
また、受信されたＲＡＤＩＵＳパケットがアクセス−リジェクトメッセージの場合には（ステップ５５４）、認証が許可されなかったと判断し、保持しているＤＨＣＰのリクエストメッセージを廃棄して（ステップ５５５）、上記動作を終了する。
【０１２１】
次に、図３６のシステム全体における実施の形態２のメッセージの流れを示すフローチャートに基づいて、アクセス制御システムでのアクセス制御の動作を説明する。
【０１２２】
ＰＣ５０からディスカバーメッセージを受信すると、ＰＥルータ２０は、ディスカバーメッセージを受信したポートを介してＰＣ５０にオファーメッセージを送信する。
【０１２３】
ＰＣ５０は、このオファーメッセージを受信すると、ユーザＩＤとパスワードが付与されたユーザクラスＩＤオプションを追加したリクエストメッセージを作成し、このリクエストメッセージをＰＥルータ２０に送信する。
【０１２４】
このリクエストメッセージを受信したＰＥルータ２０は、メッセージ中のユーザクラスＩＤに付与されたユーザＩＤとパスワードを抽出し、これらを属性値のフィールドに付与して、ＲＡＤＩＵＳのアクセス−リクエストのメッセージを作成し、このアクセス−リクエストのメッセージを認証サーバ６０に送信する。
【０１２５】
認証サーバ６０は、このアクセス−リクエストのメッセージを受信すると、このメッセージ中のユーザクラスＩＤを抽出し、このユーザクラスＩＤの内容がアクセスネットワークユーザ認証テーブル６５にエントリされている内容と一致すると、この抽出したユーザクラスＩＤを属性値のフィールドに付与して、アクセス−アクセプトのメッセージを作成し、このメッセージをＰＥルータ２０に送信する。
【０１２６】
ＰＥルータ２０は、アクセス−アクセプトのメッセージを受信すると、認証が許可されたと判断し、リクエストメッセージの中のユーザクラスＩＤオプションのユーザＩＤを抽出し、このユーザＩＤからユーザ設定情報テーブル２８を検索し、割り当てられたＩＰアドレスを含む該当エントリの各情報が付与されたＤＨＣＰオプションのフィールドを追加したＡＣＫメッセージを作成し、このＡＣＫメッセージをＰＣ５０に送信する。
【０１２７】
このように、この実施の形態では、ＰＥルータにＤＨＣＰサーバを内蔵し、クライアントからのクラスＩＤのみによって、ＰＥルータがアサインするアドレスを決定するので、サーキットＩＤの設定やこれを記憶するテーブルが不要となり、処理手順がほぼ半分となり、ＰＥルータから迅速に、かつ容易にアドレスをアサインすることができ、プールされているアドレスを的確に割り当てることができる。
【０１２８】
また、この実施の形態では、ＤＨＣＰサーバやサーキットＩＤに関わるテーブルなどの構成要件がなくなるので、アクセス制御システムの部品点数が削減されるとともに、製作コストが削減されたアクセス制御システムを提供することができる。
【０１２９】
（実施の形態３）
図３７は、この発明にかかるアクセス制御システムの実施の形態３の構成を示す構成図である。図３７では、コアネットワークＡに接続されたＰＥルータ７０に、たとえば通信事業者である各ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）１〜３のバックボーンネットワークが接続されており、さらにこのバックボーンネットワークに認証サーバ８０，８２，８４と、ＤＨＣＰサーバ８１，８３，８５がそれぞれ対をなして接続されている。これら認証サーバおよびＤＨＣＰサーバは、実施の形態１で示した認証サーバ６０およびＤＨＣＰサーバ１０と同様の構成になっており、これら認証サーバ８０，８２，８４およびＤＨＣＰサーバ８１，８３，８５は、各ＩＳＰのバックボーンネットワークに接続アクセス要求を行うクライアントの認証およびＩＰアドレスの割り当てを行っている。
【０１３０】
また、ＰＥルータ２０，７０間は、ＭＰＬＳ（Ｍｕｌｔｉ  ＰｒｏｔｏｃｏｌＬａｂｅｌ  Ｓｗｉｔｃｈｉｎｇ）を用いてネットワーク上にトンネリングを張ってデータ中継を行う透過接続サービスを提供している。
【０１３１】
このようなシステム構成において、ＰＥルータ２０は、実施の形態１に示したＰＥルータに、ＭＰＬＳ中継制御部３１と、ＭＰＬＳラベルテーブル３２を加え、かつサーキットＩＤテーブルを削除した構成になっている。このＭＰＬＳ中継制御部３１は、コアネットワークＡ上にトンネリングを張ってデータ中継の制御を行っており、このＭＰＬＳラベルテーブル３２には、ラベルと、対応するＶＰＮのグループ番号と、所属ポートの情報がエントリされている。
【０１３２】
ＰＥルータ２０では、図４０のフローチャートに示すように、パケット受信部２２がパケットを受信すると（ステップ６０１）、パケット受信部２２でのデータ処理に移行し（ステップ６０２）、この受信パケットがＩＰパケットとＡＲＰパケットのいずれかのパケットかどうか判断する（ステップ６０３）。ここで、受信パケットがＩＰ／ＡＲＰのいずれのパケットでもない場合、ＭＰＬＳのパケットかどうか判断し（ステップ６０４）、ＭＰＬＳのパケットの場合には、ＭＰＬＳ中継制御部３１による中継処理に移行し（ステップ６０５）、またＭＰＬＳのパケットでない場合には、パケットを廃棄している（ステップ６０６）。
【０１３３】
このＭＰＬＳ中継制御部３１では、図４１のＭＰＬＳの中継処理に示すように、受信パケットのラベル値をＭＰＬＳラベルテーブルで検索し（ステップ６５１）、ヒットするエントリがある場合には（ステップ６５２）、ラベルをはずして、所属しているポートにデータを中継する（ステップ６５３）。また、ヒットするエントリがない場合には、パケットを廃棄する（ステップ６５４）。
【０１３４】
図４０において、ＩＰ中継制御部２３は、ＰＥルータ２０での処理動作がＩＰ中継処理部での制御に移行すると（ステップ６０７）、まず受信パケットがＤＨＣＰメッセージパケットかどうか判断し（ステップ６０８）、ＤＨＣＰメッセージパケットの場合には、ＤＨＣＰ制御部２４のデータ処理に移行する（ステップ６０９）。また、この受信パケットがＤＨＣＰメッセージパケットでない場合には、ＲＡＤＩＵＳメッセージパケットかどうか判断し（ステップ６１０）、ＲＡＤＩＵＳメッセージパケットの場合には、認証制御部２５のデータ処理に移行する（ステップ６１１）。
【０１３５】
また、この受信パケットがＲＡＤＩＵＳメッセージパケットでない場合には、ＩＰ中継制御部２３は、受信パケット内の宛先アドレスを抽出し、この宛先アドレスに基づいてフィルタリング用テーブルを検索し（ステップ６１２）、この受信パケットが中継パケットかどうかを、該当するエントリの中継／遮断の情報から判断する（ステップ６１３）。ここで、この受信パケットが中継パケットでない場合には、この受信パケットを廃棄し（ステップ６０６）、また受信パケットが中継パケットの場合には、この受信パケットにラベルを付加し、パケット送信部２１から送信する（ステップ６１４）。
【０１３６】
ＤＨＣＰ制御部２４では、図４２のデータ処理動作を説明するためのフローチャートに示すように、パケット受信部２２がＤＨＣＰメッセージパケットを受信すると（ステップ７０１）、ＤＨＣＰ制御部２４は、まずこの受信されたＤＨＣＰパケットがディスカバーメッセージか判断し（ステップ７０２）、ディスカバーメッセージの場合には、リレーエージェント情報の追加処理を行う。そして、ＤＨＣＰ制御部２４は、ディスカバーメッセージの宛先アドレスをＤＨＣＰサーバのアドレスに、送信元アドレスを自装置（ＰＥルータ２０）のＩＰアドレスに書き換えてＤＨＣＰサーバに送信する（ステップ７０３）。なお、認証サーバやＤＨＣＰサーバにメッセージを送信する場合には、ユーザクラスＩＤの値に応じて、ＩＳＰ毎に管理しているサーバに送信する。これによって、ユーザ管理、アドレス管理を各ＩＳＰが行うことが可能になる。
【０１３７】
また、受信パケットがオファーメッセージの場合には（ステップ７０４）、オファーメッセージの宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置のＩＰアドレス」に書き換えて、ＰＣ５０に送信する（ステップ７０５）。また、この受信されたＤＨＣＰメッセージがリクエストメッセージの場合には（ステップ７０６）、メッセージ中のユーザクラスＩＤオプションに付与されたユーザＩＤと、パスワードとを取り出し、これらを属性値のフィールドに付与してＲＡＤＩＵＳメッセージの中のアクセス−リクエストのメッセージを作成して、認証サーバ６０に送信するとともに、このＤＨＣＰのリクエストメッセージを保存して、ＲＡＤＩＵＳアクセス−アクセプトが受信されるのを待つ（ステップ７０７）。
【０１３８】
また、この受信されたＤＨＣＰメッセージがＡＣＫメッセージの場合には（ステップ７０８）、宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置のＩＰアドレス」に書き換えてクライアントのＰＣに送信する。（ステップ７０９）。また、この受信されたＤＨＣＰメッセージがディクラインメッセージの場合には（ステップ７１０）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバのアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバに送信する（ステップ７１１）。また、ＮＡＫメッセージの場合には（ステップ７１２）、メッセージの宛先アドレスを「ブロードキャスト」に、送信元アドレスを「自装置のＩＰアドレス」に書き換えてクライアントに送信する（ステップ７１３）。
【０１３９】
また、この受信されたＤＨＣＰメッセージがリリースメッセージの場合には（ステップ７１４）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバのアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバに送信する（ステップ７１５）。
【０１４０】
さらに、この受信されたＤＨＣＰメッセージがインフォームメッセージの場合には（ステップ７１６）、ディスカバーメッセージと同様に、オプションフィールドにリレーエージェント情報を追加する追加処理を行い、宛先アドレスを「ＤＨＣＰサーバのアドレス」に、送信元アドレスを「自装置のアドレス」に書き換えて、ＤＨＣＰサーバに送信する（ステップ７１７）。また、受信されたパケットがこれらのいずれのタイプのメッセージでない場合には、このパケットを廃棄して（ステップ７１８）、上記フローチャートの動作を終了する。
【０１４１】
次に、認証制御部２５は、ＲＡＤＩＵＳのプロトコルを用いて受信されたＲＡＤＩＵＳメッセージのコードに応じた処理制御を行う。すなわち、認証制御部２５は、図４３のフローチャートに示すように、認証サーバ６０からのＲＡＤＩＵＳパケットが受信されると（ステップ８０１）、この受信パケットのコードから判断して、アクセス−アクセプトメッセージの場合には（ステップ８０２）、認証が許可されたと判断し、ＤＨＣＰのリクエストメッセージをＤＨＣＰサーバに送信する（ステップ８０３）。
【０１４２】
また、受信されたＲＡＤＩＵＳパケットがアクセス−リジェクトメッセージの場合には（ステップ８０４）、認証が許可されなかったと判断し、保持しているＤＨＣＰのリクエストメッセージを廃棄して（ステップ８０５）、上記動作を終了する。
【０１４３】
次に、図４４ののシステム全体における実施の形態３のメッセージの流れを示すフローチャートに基づいて、アクセス制御システムでのアクセス制御の動作を説明する。なお、図４４では、ＩＳＰ１の認証サーバ８０とＤＨＣＰサーバ８１に接続アクセス要求を行う場合を説明する。
【０１４４】
まず、接続アクセス要求を行うＰＣ５０は、ユーザＩＤとパスワードが付与されたユーザクラスＩＤオプションを追加したディスカバーメッセージを作成し、集線装置３０、または集線装置３０および４０を介して、ＰＥルータ２０に送信する。この場合、ＰＣ５０は、アクセス要求を行うＩＳＰ毎に異なるユーザクラスＩＤを予め設定しているので、この場合には、たとえばＩＳＰ１に対応したユーザクラスＩＤをディスカバーメッセージに付与して送信する。
【０１４５】
このディスカバーメッセージを受信したＰＥルータ２０は、このメッセージに付与されたユーザクラスＩＤからＩＳＰ１のＤＨＣＰサーバ８１宛のディスカバーメッセージと判断して、このメッセージをＤＨＣＰサーバ８１に転送する。
【０１４６】
自装置宛のディスカバーメッセージを受信したＤＨＣＰサーバ８１は、このディスカバーメッセージからユーザクラスＩＤを抽出し、この抽出したユーザクラスＩＤを付与して、応答用のオファーメッセージを作成し、ＰＥルータ２０に送信する。ＰＥルータ２０は、このオファーメッセージを受信すると、ディスカバーメッセージを受信したポートを介してＰＣ５０にこのオファーメッセージを転送する。
【０１４７】
ＰＣ５０はこのオファーメッセージを受信すると、ユーザクラスＩＤオプション（図７参照）を追加したリクエストメッセージをＰＥルータに送信し、ＰＥルータ２０は、メッセージ中のユーザクラスＩＤに付与されたユーザＩＤとパスワードを抽出し、これらを属性値のフィールドに付与して、ＲＡＤＩＵＳのアクセス−リクエストのメッセージを作成し、このアクセス−リクエストのメッセージを認証サーバ８０に送信する。
【０１４８】
認証サーバ８０は、このアクセス−リクエストのメッセージを受信すると、このメッセージ中のユーザクラスＩＤを抽出し、このユーザクラスＩＤの内容がアクセスネットワークユーザ認証テーブルにエントリされている内容と一致すると、アクセス−アクセプトのメッセージを作成し、このメッセージをＰＥルータ２０に送信する。このアクセス−アクセプトのメッセージを受信すると、ＰＥルータ２０は、保持していたＤＨＣＰのリクエストメッセージ（ユーザクラスＩＤオプションが追加されたメッセージ）をＤＨＣＰサーバ８１に送信する。
【０１４９】
ＤＨＣＰサーバ８１は、このリクエストメッセージを受信すると、ユーザクラスＩＤオプション中のユーザＩＤを抽出し、このユーザＩＤからユーザ設定情報テーブルを検索し、割り当てられたＩＰアドレスを含む該当エントリの各情報が付与されたＤＨＣＰオプションのフィールドを追加したＡＣＫメッセージを作成し、このＤＨＣＰオプションが追加されたＡＣＫメッセージをＰＥルータ２０に送信する。ＰＥルータ２０は、受信したこのＡＣＫメッセージを、集線装置３０または集線装置３０および４０を介してＰＣ５０に送信する。
【０１５０】
このように、この実施の形態では、クライアントからのＩＳＰ毎に設定されたクラスＩＤによって、ＤＨＣＰサーバからアサインするアドレスを決定するので、ＩＳＰ毎に一つのアドレスのみをアサインすることが可能となり、プールされているアドレスをＩＳＰが的確に割り当てることができる。これによって、ユーザ管理、アドレス管理を各ＩＳＰが行うことが可能になる。
【０１５１】
また、この実施の形態の場合も、上述した実施の形態と同様に、クライアントへのアドレスの配布と同時に、ＰＥルータでアサインするアドレス宛のパケットのみ通過させるフィルタを自動設定するので、正規のクライアントにのみにコンテンツ配信などの通信サービスを提供することができる。
【０１５２】
なお、この実施の形態では、ＰＥルータ２０，７０間は、ＭＰＬＳを用いてネットワーク上にトンネリングを張ってデータ中継を行う透過接続サービスを提供しているが、この発明はこれに限らず、他の方式、例えばＩＰ  ｉｎ  ＩＰ  Ｔｕｎｎｅｌｉｎｇ  Ｐｒｏｔｏｃｏｌ（ＲＦＣ１８５３）や、ＩＰ  ｉｎ  ＩＰｖ６（Ｇｅｎｅｒｉｃ  Ｐａｃｋｅｔ  Ｔｕｎｎｅｌｉｎｇ  ｉｎ  ＩＰｖ６：ＲＦＣ２４７３）や、ＧＲＥ（Ｇｅｎｅｒａｌ  Ｒｏｕｔｉｎｇ  Ｅｎｃａｐｓｕｌａｔｉｏｎ：ＲＦＣ１７０１）を用いてネットワーク上にトンネリングを張ってデータ中継を行う透過接続サービスを提供している場合においても、同様の通信サービスを提供することができる。
【０１５３】
この発明は、これら実施形態に限定されるものではなく、この発明の要旨を逸脱しない範囲で種々の変形実施が可能である。たとえば、認証サーバへの問い合わせは、オプションにより、問い合わせをする／しないの選択が可能なように構成することも可能である。また、認証サーバの機能とＤＨＣＰサーバの機能を１台のサーバに併用して設けることも可能である。
【０１５４】
また、この発明では、コアネットワークに、たとえばコンテンツの配信を行う配信サーバを接続させ、ＤＨＣＰサーバから得たＩＰアドレスなどの接続情報に基づいて、配信サーバとＰＥルータ間をＩＰ接続させるように構成することも可能であり、これによりマルチキャストで配信サーバからクライアントまでコンテンツ配信を行うことができる。
【０１５５】
また、この発明では、たとえば実施の形態１または２のシステムと、実施の形態３のシステムを組み合わせることも可能であり、この場合にもネットワーク毎にユーザクラスＩＤの識別情報が異なる値に設定されているので、同一ＰＣでもネットワーク毎に異なるＩＰアドレスを取得することが可能になる。
【０１５６】
【発明の効果】
以上説明したように、この発明では、端末装置から送信される要求メッセージおよびアクセス制御装置によってアクセス要求メッセージにそれぞれ付与されるユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のＤＨＣＰサーバによる端末装置の接続要求に必要な情報の割り当てを行うので、正規のクライアントに対して一つのアドレスのアサインのみを許可し、プールされているアドレスを効率良く的確に割り当てることができる。
【０１５７】
また、この発明では、ＤＨＣＰサーバによって割り当てられる端末装置の接続要求に必要な情報をアクセス制御装置の記憶手段に記憶させ、この記憶手段内の情報によって、アクセス制御装置が受信したパケットの中継の有無を判断するので、適切にデータ中継のフィルタリングを行うことができ、クライアントがアドレス詐称などを行って、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）アタック（サービス不能攻撃）を行うことを排除することができる。
【０１５８】
また、この発明では、アクセス制御装置が受信したディスカバーメッセージにサーキットＩＤを付与してＤＨＣＰサーバに転送することで、ＤＨＣＰサーバからのオファーメッセージにこのサーキットＩＤを付与することを可能にするので、このオファーメッセージの転送先ポートの識別が容易になる。
【０１５９】
また、この発明では、アクセス制御装置にＤＨＣＰの情報割当機能を持たせ、ユーザクラスＩＤの識別情報に基づき、認証サーバでの認証および認証の応答後のアクセス制御装置による端末装置の接続要求に必要な情報の割り当てを行うので、正規のクライアントに対して一つのアドレスのアサインのみを許可し、プールされているアドレスを効率良く的確に割り当てることができる。
【０１６０】
また、この発明では、端末装置による接続要求が可能なネットワークが複数ある場合に、端末装置からのアクセス要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、各ネットワークの認証サーバでの認証を可能にし、さらに認証の応答後にアクセス制御装置から送信される要求メッセージに付与されたユーザクラスＩＤの識別情報に基づき、各ネットワークのＤＨＣＰサーバで端末装置の接続要求に必要な情報の割り当てを可能とするので、正規のクライアントに対して複数のネットワークに一つずつのアドレスのアサインを許可し、プールされているアドレスを効率良く的確に割り当てることができる。
【図面の簡単な説明】
【図１】この発明にかかるアクセス制御システムの実施の形態１の構成を示す構成図である。
【図２】図１に示したＤＨＣＰサーバの構成を示す構成図である。
【図３】図２に示したユーザ設定情報テーブルの構成の一例を示す構成図である。
【図４】ＤＨＣＰパケットの構成を示すフォーマットの図である。
【図５】図４に示したＤＨＣＰメッセージの構成を示すフォーマットの図である。
【図６】ＤＨＣＰメッセージタイプオプションの構成を示すフォーマットの図である。
【図７】ユーザクラスＩＤオプションの構成を示すフォーマットの図である。
【図８】リレーエージェント情報オプションの構成を示すフォーマットの図である。
【図９】エージェントサーキットＩＤサブオプションの構成を示すフォーマットの図である。
【図１０】サブネットマスクオプションの構成を示すフォーマットの図である。
【図１１】ルータオプションの構成を示すフォーマットの図である。
【図１２】ドメインネームサーバオプションの構成を示すフォーマットの図である。
【図１３】ＩＰアドレスリースタイムオプションの構成を示すフォーマットの図である。
【図１４】図２に示したＤＨＣＰサーバのデータ処理動作を説明するためのフローチャートである。
【図１５】図１に示したＰＥルータの構成を示す構成図である。
【図１６】図１５に示したＰＥルータのデータ処理動作を説明するためのフローチャートである。
【図１７】図１５に示したフィルタリング用テーブルの構成を示す構成図である。
【図１８】同じく、図１５に示したサーキットＩＤテーブルの構成を示す構成図である。
【図１９】同じく、図１５に示したＤＨＣＰ制御部のデータ処理動作を説明するためのフローチャートである。
【図２０】図１９に示したリレーエージェント情報の追加処理動作を説明するためのフローチャートである。
【図２１】ＲＡＤＩＵＳパケットの構成を示すフォーマットの図である。
【図２２】図２１に示したＲＡＤＩＵＳメッセージの構成を示すフォーマットの図である。
【図２３】図２２に示した属性値の構成を示すフォーマットの図である。
【図２４】図１５に示したＤＨＣＰ制御部のクライアント監視タイマの動作を説明するためのフローチャートの図である。
【図２５】図１５に示した認証制御部のデータ処理動作を説明するためのフローチャートである。
【図２６】図１に示したＰＣの構成を示す構成図である。
【図２７】図２６に示したＰＣの初期化またはＤＨＣＰ再起動時の動作を説明するためのフローチャートの図である。
【図２８】図１に示した認証サーバの構成を示す構成図である。
【図２９】図２８に示したアクセスネットワークユーザ認証テーブルの構成を示す構成図である。
【図３０】図２８に示した認証サーバの認証動作を説明するためのフローチャートである。
【図３１】認証対応のＤＨＣＰのプロトコルシーケンスを示すシーケンス図である。
【図３２】アクセス制御システム全体における実施の形態１のメッセージの流れを示すフローチャートの図である。
【図３３】実施の形態２にかかるＰＥルータの構成を示す構成図である。
【図３４】図３３に示したＤＨＣＰ制御部のデータ処理動作を説明するためのフローチャートである。
【図３５】図３３に示した認証制御部のデータ処理動作を説明するためのフローチャートである。
【図３６】アクセス制御システム全体における実施の形態２のメッセージの流れを示すフローチャートである。
【図３７】この発明にかかるアクセス制御システムの実施の形態３の構成を示す構成図である。
【図３８】図３７に示したＰＥルータの構成を示す構成図である。
【図３９】図３８に示したＭＰＬＳラベルテーブルの構成を示す構成図である。
【図４０】図３８に示したＰＥルータのデータ処理動作を説明するためのフローチャートである。
【図４１】同じく、図３８に示したＭＰＬＳ中継制御部のＭＰＬＳ中継処理動作を説明するためのフローチャートである。
【図４２】同じく、図３８に示したＤＨＣＰ制御部のデータ処理動作を説明するためのフローチャートである。
【図４３】図３８に示した認証制御部のデータ処理動作を説明するためのフローチャートである。
【図４４】アクセス制御システム全体における実施の形態３のメッセージの流れを示すフローチャートである。
【図４５】従来のアクセス制御システムの構成に示す構成図である。
【図４６】図４５に示したアクセス制御システムにおけるＤＨＣＰのプロトコルシーケンスを示すシーケンス図である。
【符号の説明】
１〜３  ＩＳＰ
１０，８１，８３，８５  ＤＨＣＰサーバ
１１，５１，６１  ＬＡＮインターフェース
１２，２１，５２，６２  パケット送信部
１３，２２、５３，６３  パケット受信部
１４，２４  ＤＨＣＰ制御部
１５  ユーザ設定情報テーブル
２０，７０  ルータ
２３  ＩＰ中継制御部
２５，４６，６４  認証制御部
２６  フィルタリング用テーブル
２７  サーキットＩＤテーブル
２８  ユーザ設定情報テーブル
３０  集線装置
３１  ＭＰＬＳ中継制御部
３２  ＭＰＬＳラベルテーブル
５０  ＰＣ
５４  ＤＨＣＰ処理部
６０，８０，８２，８４  認証サーバ
６５  アクセスネットワークユーザ認証テーブル
７０  ＰＥルータ
Ａ  コアネットワーク
【図１】
2004207788.tif 000003
【図２】
2004207788.tif 000004
【図３】
2004207788.tif 000005
【図４】
2004207788.tif 000006
【図５】
2004207788.tif 000007
【図６】
2004207788.tif 000008
【図７】
2004207788.tif 000009
【図８】
2004207788.tif 000010
【図９】
2004207788.tif 000011
【図１０】
2004207788.tif 000012
【図１１】
2004207788.tif 000013
【図１２】
2004207788.tif 000014
【図１３】
2004207788.tif 000015
【図１４】
2004207788.tif 000016
【図１５】
2004207788.tif 000017
【図１６】
2004207788.tif 000018
【図１７】
2004207788.tif 000019
【図１８】
2004207788.tif 000020
【図１９】
2004207788.tif 000021
【図２０】
2004207788.tif 000022
【図２１】
2004207788.tif 000023
【図２２】
2004207788.tif 000024
【図２３】
2004207788.tif 000025
【図２４】
2004207788.tif 000026
【図２５】
2004207788.tif 000027
【図２６】
2004207788.tif 000028
【図２７】
2004207788.tif 000029
【図２８】
2004207788.tif 000030
【図２９】
2004207788.tif 000031
【図３０】
2004207788.tif 000032
【図３１】
2004207788.tif 000033
【図３２】
2004207788.tif 000034
【図３３】
2004207788.tif 000035
【図３４】
2004207788.tif 000036
【図３５】
2004207788.tif 000037
【図３６】
2004207788.tif 000038
【図３７】
2004207788.tif 000039
【図３８】
2004207788.tif 000040
【図３９】
2004207788.tif 000041
【図４０】
2004207788.tif 000042
【図４１】
2004207788.tif 000043
【図４２】
2004207788.tif 000044
【図４３】
2004207788.tif 000045
【図４４】
2004207788.tif 000046
【図４５】
2004207788.tif 000047
【図４６】
2004207788.tif 000048