(57)【要約】【課題】  ＯＬＴがＯＮＵを認証するＲＡＤＩＵＳサーバーの機能をＯＬＴにおいて具現し、ＯＬＴとＲＡＤＩＵＳサーバーとの間のＭＤ−５アルゴリズムをＯＮＵ及びＯＬＴに単純化して実現することによって、ＥＰＯＮ構造において使用できる認証方法を提供する。【解決手段】  イーサネット（登録商標）受動型光加入者ネットワークにおける認証方法において、ＯＬＴがＯＮＵから認証プロセス開始を知らせるパケットを受信し、これに応答してＯＮＵに特性値確認要請パケットを伝達する第１段階と、ＯＬＴがＯＮＵから特性値を受信し、この特性値がＯＬＴにある記憶値と一致するか否かを確認するために両者を比較する第２段階と、第２段階の確認結果、特性値と記憶値とが一致する場合、認証成功パケットをＯＮＵに伝達する第３段階と、第２段階の確認結果、特性値と記憶値とが一致しない場合、認証失敗パケットをＯＮＵに伝達する第４段階と、第３段階または第４段階が完了した後、ＯＬＴがＯＮＵに認証過程終了を知らせる第５段階と、を含む。【選択図】  図４
2004274772.tif 000002
【特許請求の範囲】
【請求項１】
イーサネット（登録商標）受動型光加入者ネットワークにおける認証方法において、
ＯＬＴがＯＮＵから認証プロセスの開始を知らせるパケットを受信し、その受信に応答して、ＯＮＵに特性値確認要請パケットを伝達する第１段階と、
ＯＬＴがＯＮＵから特性値を受信し、該特性値がＯＬＴに予め貯蔵されている記憶値と一致するか否かを確認するために、これら特性値と記憶値とを比較する第２段階と、
第２段階の確認結果、ＯＮＵの特性値とＯＬＴの記憶値とが一致する場合、認証成功パケットをＯＮＵに伝達する第３段階と、
第２段階の確認結果、ＯＮＵの特性値とＯＬＴの記憶値とが一致しない場合、認証失敗パケットをＯＮＵに伝達する第４段階と、
第３段階または第４段階が完了した後、ＯＬＴがＯＮＵに認証過程の終了を知らせる第５段階と、
を含むことを特徴とする認証方法。
【請求項２】
ＯＮＵの特性値は、使用者名である請求項１記載の認証方法。
【請求項３】
認証に使用される各パケットは、
パケットの目的地を表示する目的地アドレスフィールドと、
パケットの出発点を表示するソースアドレスフィールドと、
論理リンク識別子を表示する論理リンク識別子フィールドと、
パケットのイーサタイプを表示するタイプフィールドと、
自分のタイプフィールドが他のパケットのタイプフィールドと同一である場合にパケットを識別するためのサブタイプフィールドと、
パケットのバージョン情報を表示するためのバージョンフィールドと、
パケットの認証動作を表示するためのコードフィールドと、
パケットのデータを表示するためのデータ／プロトコルデータユニットと、
情報をフレーム別に伝送する時、各フレームの最後尾に配置されてフレームのエラーを検出するためのフレームチェックシーケンス情報を表示するためのフレームチェックシーケンスフィールドと、
から構成される請求項１または請求項２記載の認証方法。
【請求項４】
コードフィールドは、認証プロセスの開始を表示する“０ｘ００”値と、認証内容を要求する“０ｘ０１”値と、認証内容の伝送を表示する“０ｘ０２”値と、認証プロセスの終了を表示する“０ｘ０３”値と、認証成功を表示する“０ｘ０４”値と、認証失敗を表示する“０ｘ０５”値と、を有する請求項３記載の認証方法。
【請求項５】
イーサネット（登録商標）受動型光加入者ネットワークにおける認証方法において、
ＯＮＵがＯＬＴに認証プロセスの開始を知らせるパケットを伝達し、ＯＬＴからＯＮＵの特性値確認要請パケットを受信する第１段階と、
ＯＮＵがＯＬＴにＯＮＵの特性値を伝達する第２段階と、
第２段階で伝達した特性値に対する応答として、そのＯＮＵの特性値とＯＬＴに予め貯蔵された記憶値とが一致するとＯＬＴで確認された場合にＯＬＴから認証成功パケットをＯＮＵが受信し、その確認によるＯＮＵにおける動作を遂行する第３段階と、
第２段階で伝達した特性値に対する応答として、そのＯＮＵの特性値とＯＬＴに予め貯蔵された記憶値とが一致しないとＯＬＴで確認された場合にＯＬＴから認証失敗パケットをＯＮＵが受信し、その確認によるＯＮＵにおける動作を遂行する第４段階と、
第３段階または第４段階の動作遂行の後、ＯＮＵがＯＬＴから認証過程の終了を知らせるパケットを受信する第５段階と、
を含むことを特徴とする認証方法。
【請求項６】
ＯＮＵの特性値は、使用者名である請求項５記載の認証方法。
【請求項７】
認証に使用される各パケットは、
パケットの目的地を表示する目的地アドレスフィールドと、
パケットの出発点を表示するソースアドレスフィールドと、
論理リンク識別子を表示する論理リンク識別子フィールドと、
パケットのイーサタイプを表示するタイプフィールドと、
自分のタイプフィールドが他のパケットのタイプフィールドと同一である場合にパケットを識別するためのサブタイプフィールドと、
パケットのバージョン情報を表示するためのバージョンフィールドと、
パケットの認証動作を表示するためのコードフィールドと、
パケットのデータを表示するためのデータ／プロトコルデータユニットと、
情報をフレーム別に伝送する時、各フレームの最後尾に配置されてフレームのエラーを検出するためのフレームチェックシーケンス情報を表示するためのフレームチェックシーケンスフィールドと、
から構成される請求項５または請求項６記載の認証方法。
【請求項８】
コードフィールドは、認証プロセスの開始を表示する“０ｘ００”値と、認証内容を要求する“０ｘ０１”値と、認証内容の伝送を表示する“０ｘ０２”値と、認証プロセスの終了を表示する“０ｘ０３”値と、認証成功を表示する“０ｘ０４”値と、認証失敗を表示する“０ｘ０５”値と、を有する請求項７記載の認証方法。
【請求項９】
イーサネット（登録商標）受動型光加入者ネットワークにおける認証装置において、
外部ルータとデータを入出力するためのバスインターフェースと、
認証プロセスによるＯＡＭパケットを受信し、ＯＮＵに対するデータサービスを制御するための制御部と、
この制御部の制御によって、バスインターフェースを通じて受信されたデータをスイッチングするダウンストリーム部と、
を備えることを特徴とする認証装置。
【請求項１０】
制御部は、入力されたＯＡＭフレーム、論理リンク識別子及びＡＣＴに基づいて、ＡＬＴＭによってダウンストリーム部のダウンストリームポートのスイッチング動作を制御する請求項９記載の認証装置。
【請求項１１】
プロセッサを備えたイーサネット（登録商標）受動型光加入者ネットワークのＯＬＴに、
ＯＬＴがＯＮＵから認証プロセスの開始を知らせるパケットを受信し、これに応答してＯＮＵに特性値確認要請パケットを伝達する第１機能と、
ＯＬＴがＯＮＵから特性値を受信し、該特性値とＯＬＴに予め貯蔵されている記憶値とが一致するか否かを確認するために、これら特性値と記憶値とを比較する第２機能と、
ＯＮＵの特性値と記憶値とが一致する場合に認証成功パケットをＯＮＵに伝達する第３機能と、
ＯＮＵの特性値と記憶値とが一致しない場合に認証失敗パケットをＯＮＵに伝達する第４機能と、
第３機能または第４機能の実行後、ＯＬＴがＯＮＵに認証過程の終了を知らせる第５機能と、
を実行させるプログラム。
【請求項１２】
請求項１１に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項１３】
プロセッサを備えたイーサネット（登録商標）受動型光加入者ネットワークのＯＮＵに、
ＯＮＵがＯＬＴに認証プロセスの開始を知らせるパケットを伝達し、ＯＬＴからＯＮＵの特性値確認要請パケットを受信する第１機能と、
ＯＮＵがＯＬＴにＯＮＵの特性値を伝達する第２機能と、
第２機能によって伝達した特性値に対する応答として、その特性値とＯＬＴに予め貯蔵された記憶値とが一致するとＯＬＴで確認された場合にＯＬＴから認証成功パケットをＯＮＵが受信し、その確認によるＯＮＵにおける動作を遂行する第３機能と、
第２機能によって伝達した特性値に対する応答として、その特性値とＯＬＴに予め貯蔵された記憶値とが一致しないとＯＬＴで確認された場合にＯＬＴから認証失敗パケットをＯＮＵが受信し、その確認によるＯＮＵにおける動作を遂行する第４機能と、
第３機能または第４機能の実行後、ＯＮＵがＯＬＴから認証過程の終了を知らせるパケットを受信する第５機能と、
を実行させるプログラム。
【請求項１４】
請求項１３に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＥＥＥ(Institute of Electrical and Electronics Engineers) ８０２．３及び８０２．１ｄを中心にして標準化作業進行中のＩＥＥＥ ８０２において論議されているリンクセキュリティ(link Security)に関する。ここで、リンクセキュリティは、ＩＥＥＥ ８０２．１ｘ(port-based network control)基盤の認証方法またはＩＥＥＥ ８０２．１０基盤のＳＤＥ(Secure Data Exchange)構造を含む。特に、本発明は、ＥＰＯＮ(Ethernet Passive Optical Network)構造における認証に適用され、ＩＥＥＥ ８０２．１ｘ基盤の認証方法に基づいて簡単で効果的な認証方法を具現するための方法である（イーサネット及びEthernetは登録商標、以下同じ）。
【背景技術】
【０００２】
ＩＥＥＥ ８０２．１ｘは、端末とブリッジドＬＡＮ(Bridged-LAN)装備との間の認証プロトコル(EAP(Extensible Authentication Protocol) over Ethernet：ＥＡＰＯＬ)と、ブリッジドＬＡＮ装備とＲＡＤＩＵＳ(Remote Authentication Dial-In User Services)サーバーとの間のプロトコル(EPA over RADIUS：ＲＦＣ２８６９)を両方とも支援する。
【０００３】
現在の構造で認証を遂行するためには、ＲＡＤＩＵＳサーバーを外部に設置すべきである。無線ＬＡＮにおいては、加入者に対する認証を遂行するためにＩＥＥＥ ８０２．１ｘによって提案された認証プロトコルを使用する。現在の認証プロトコルとして、ＰＡＰ(Password Authentication Protocol)、ＣＨＡＰ(Challenge Handshake Authentication Protocol)、ＥＡＰ(Extended Authentication Protocol)などが使用されている。認証において、ＰＤＵ(Protocol Data Unit)部分の暗号化のためのハッシュ(hash)機能を提供するために、ＭＤ−５アルゴリズムを使用する。特に、認証者とＲＡＤＩＵＳサーバーとの間ではＲＡＤＩＵＳフレーム内のパスワードなどに対する暗号化を遂行する。
【０００４】
図１は、従来の技術によるＭＤ−５チャレンジを使用したＥＡＰ認証方法に対する一例の信号フローを示す図である。図１に示すように、一般的なＥＡＰ認証のためのシステムは、クライアントであるＰＣ(Personal Computer)１１、認証サービスを提供する認証サーバー１３及びネットワークアクセスのためのＮＡＳ(Network Access Server)１２から構成され、その信号のフローは以下のようである。
【０００５】
まず、ＰＣ１１とＮＡＳ１２との間に認証プロトコルを決定する(１０１)。ここで、ＮＡＳ１２は、認証サーバー１３へのリレー動作のみを遂行し、認証サーバー１３とＰＣ１１との間の認証結果を利用してポートの使用を許可する。
【０００６】
次に、ＰＣ１１は、認証サーバー１３に使用者名(Username)１０２を利用したＥＡＰ認証を試みる(１０２)。この認証試行に応答して、認証サーバー１３は、ハッシュ関数のためのチャレンジ値を含むＭＤ−５チャレンジをＰＣ１１に伝送する(１０３)。
【０００７】
ＰＣ１１は、認証サーバー１３にハッシュ値を含むＭＤ−５応答(Response)を伝達する(１０４)。前記伝達されたＭＤ−５応答が正しい場合、認証が成功したと判断される。この場合、認証サーバー１３は、認証成功メッセージを伝送する(１０５)。その後、認証サーバー１３は、ＮＡＳ１２を通じて目的地アドレスと連結される。
【０００８】
一方、伝達されたＭＤ−５応答が正しくない場合、認証が失敗したと判断される。この場合、認証サーバー１３は、認証失敗メッセージを伝送し(１０５)、ＰＣ１１の接続は拒否される。
【０００９】
図２は、従来の技術によるＣＨＡＰプロトコルを利用したＥＡＰ認証方法に対する一例の信号フローを示す図である。“ＣＨＡＰ”は、“ＭＤ−５ ＣＨＡＰ”とも称し、チャレンジ(Challenge)−応答(response)方式の認証プロトコルである。“ＣＨＡＰ”は、産業標準ＭＤ−５単一方向構成表を使用して応答を暗号化することによって無断アクセスに対する高い水準のセキュリティを提供する。
【００１０】
アクセスクライアントであるＰＣ２１が使用者名を利用してＲＡＤＩＵＳサーバー２２にログオン(Log-On)する場合(２０１)、ＲＡＤＩＵＳサーバー２２は、セッション(session)ＩＤ及び任意のチャレンジ文字列から構成されるＣＨＡＰチャレンジをＰＣ２１に伝達する(２０２)。
【００１１】
次に、ＰＣ２１は、使用者名及び任意の暗号によって単一方向に暗号化されたチャレンジ文字列、セッションＩＤ及び暗号を含むＣＨＡＰ応答メッセージを伝送する(２０３)。
【００１２】
ＲＡＤＩＵＳサーバー２２は、ＣＨＡＰ応答メッセージを確認し、該ＣＨＡＰ応答メッセージが有効である場合、ＣＨＡＰ成功メッセージを伝達し(２０４)、それによって、ＰＣ２１の接続を許容する。
【００１３】
図３は、一般的なＥＡＰＯＬフレームフォーマットの一例の構造図である。
【００１４】
一般的なＥＡＰＯＬフレームフォーマットは、目的地アドレス(Destination Address：ＤＡ)３０１、ソースアドレス(Source Address：ＳＡ)３０２、イーサタイプ(Ethertype：Etype)３０３、バージョン３０４、パケットタイプ３０５、パケットボディ長３０６及びパケットボディ３０７から構成される。
【００１５】
ここで、Ｅｔｙｐｅ３０３は、“０ｘ８８−８ｅ”を使用するＥＡＰのフレーム構造を示す。しかしながら、このようなイーサタイプ“０ｘ８８−８ｅ”は、現在の無線ＬＡＮにおいて使用中であるので、他のイーサタイプを使用する必要がある。
【００１６】
一方、ＥＰＯＮは、現在ＩＥＥＥ ８０２標準化機構によって活発に標準化されており、既存の点対点(point-to-point)イーサネットとは異なって、点対多点(point-to-multipoint)型の光通信ネットワークにおいて動作するので、点対点方式のネットワークに比べて経済的な利点がある。“ＭＰＣＰ(Multi Point Control Protocol)”と言われる中央集中型ＭＡＣ(media access control)制御プロトコル及びＥＰＯＮ上の点対点伝達をエミュレーション(emulation)する記法に対する活発な研究が進行中である。さらに、前述したようなＥＰＯＮにおいてもセキュリティが問題になるが、現在ＥＰＯＮ構造において対象端末に対する認証方法は標準化に定義されていない。ただ、ポート別の制御構造を有するＩＥＥＥ ８０２．１ｘが標準的な認証方法の基本方向になると予想される。従って、ＥＰＯＮ構造において使用できる認証プロトコルの設計が必要である。
【００１７】
この点について、図１及び図２に示す従来の認証方法は色々な問題点がある。
【００１８】
第１に、少数のＯＮＵ(Optical Network Unit)を認証する時、既存のＲＡＤＩＵＳサーバーを利用した構造は、外部に認証のためのサーバーを追加して備えなければならないので、運用費用及び不要な動作の増加などの問題点がある。
【００１９】
第２に、ＯＮＵとＯＬＴ(Optical Line Terminal)との間にＥＡＰを使用することが困難である。ＯＮＵに既存のイーサネットタイプを重複して使用する場合、無線ＬＡＮ及びＥＰＯＮのイーサネットタイプが同一であるので、それぞれのイーサネットタイプを区分することができないという問題点がある。従って、既存のイーサネットタイプでない新しいイーサタイプや容易に具現できる新しいフォーマットのフレームが必要である。
【００２０】
第３に、ＯＮＵ及びＯＬＴの認証プロトコルを変更または単純化する必要がある。
【００２１】
第４に、従来の技術であるＩＥＥＥ ８０２．１ｘ構造はブリッジ基盤のポート制御機能を基盤にするので、ポート制御のために論理リンク識別子(Logical Link ID：ＬＬＩＤ)を利用するＥＰＯＮ構造には使用することができない。
【発明の開示】
【発明が解決しようとする課題】
【００２２】
本発明は、前述したような問題点を解決するために提案され、その目的は、ＯＬＴがＯＮＵを認証するためにＲＡＤＩＵＳサーバーの機能をＯＬＴにおいて具現し、ＯＬＴとＲＡＤＩＵＳサーバーとの間のＭＤ−５アルゴリズムをＯＮＵ及びＯＬＴに単純化して実現することによって、ＥＰＯＮ構造において使用できる認証方法及び該方法を実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体を提供することにある。
【００２３】
さらに、本発明の目的は、ＭＡＣアドレスを使用してポートを制御する従来の構造に比べて、パスワード及びＬＬＩＤマッピングテーブルを利用してポートを制御することができるようにすることにある。
【課題を解決するための手段】
【００２４】
このような目的を達成するため、本発明によるイーサネット受動型光加入者ネットワークにおける認証方法は、ＯＬＴがＯＮＵから認証プロセスの開始を知らせるパケットを受信し、その受信に応答して、ＯＮＵに特性値確認要請パケットを伝達する第１段階と、ＯＬＴがＯＮＵから特性値を受信し、該特性値がＯＬＴに予め貯蔵されている記憶値と一致するか否かを確認するために、これら特性値と記憶値とを比較する第２段階と、第２段階の確認結果、ＯＮＵの特性値とＯＬＴの記憶値とが一致する場合、認証成功パケットをＯＮＵに伝達する第３段階と、第２段階の確認結果、ＯＮＵの特性値とＯＬＴの記憶値とが一致しない場合、認証失敗パケットをＯＮＵに伝達する第４段階と、第３段階または第４段階が完了した後、ＯＬＴがＯＮＵに認証過程の終了を知らせる第５段階と、を含むことを特徴とする。
【００２５】
あるいは、本発明によるイーサネット受動型光加入者ネットワークにおける認証方法は、ＯＮＵがＯＬＴに認証プロセスの開始を知らせるパケットを伝達し、ＯＬＴからＯＮＵの特性値確認要請パケットを受信する第１段階と、ＯＮＵがＯＬＴにＯＮＵの特性値を伝達する第２段階と、第２段階で伝達した特性値に対する応答として、そのＯＮＵの特性値とＯＬＴに予め貯蔵された記憶値とが一致するとＯＬＴで確認された場合にＯＬＴから認証成功パケットをＯＮＵが受信し、その確認によるＯＮＵにおける動作を遂行する第３段階と、第２段階で伝達した特性値に対する応答として、そのＯＮＵの特性値とＯＬＴに予め貯蔵された記憶値とが一致しないとＯＬＴで確認された場合にＯＬＴから認証失敗パケットをＯＮＵが受信し、その確認によるＯＮＵにおける動作を遂行する第４段階と、第３段階または第４段階の動作遂行の後、ＯＮＵがＯＬＴから認証過程の終了を知らせるパケットを受信する第５段階と、を含むことを特徴とする。
【００２６】
これらの場合のＯＮＵの特性値は、使用者名(Username)とすることができる。また、認証に使用される各パケットは、パケットの目的地を表示する目的地アドレスフィールドと、パケットの出発点を表示するソースアドレスフィールドと、論理リンク識別子を表示する論理リンク識別子フィールドと、パケットのイーサタイプを表示するタイプフィールドと、自分のタイプフィールドが他のパケットのタイプフィールドと同一である場合にパケットを識別するためのサブタイプフィールドと、パケットのバージョン情報を表示するためのバージョンフィールドと、パケットの認証動作を表示するためのコードフィールドと、パケットのデータを表示するためのデータ／プロトコルデータユニットと、情報をフレーム別に伝送する時、各フレームの最後尾に配置されてフレームのエラーを検出するためのフレームチェックシーケンス情報を表示するためのフレームチェックシーケンスフィールドと、から構成することができる。そのコードフィールドは、認証プロセスの開始を表示する“０ｘ００”値と、認証内容を要求する“０ｘ０１”値と、認証内容の伝送を表示する“０ｘ０２”値と、認証プロセスの終了を表示する“０ｘ０３”値と、認証成功を表示する“０ｘ０４”値と、認証失敗を表示する“０ｘ０５”値と、を有するものとする。
【００２７】
さらに、本発明によれば、イーサネット受動型光加入者ネットワークにおける認証装置において、外部ルータとデータを入出力するためのバスインターフェースと、認証プロセスによるＯＡＭパケットを受信し、ＯＮＵに対するデータサービスを制御するための制御部と、この制御部の制御によって、バスインターフェースを通じて受信されたデータをスイッチングするダウンストリーム部と、を備えることを特徴とする。その制御部は、入力されたＯＡＭフレーム、論理リンク識別子及びＡＣＴに基づいて、ＡＬＴＭによってダウンストリーム部のダウンストリームポートのスイッチング動作を制御するものとする。
【００２８】
さらに、本発明によれば、プロセッサを備えたイーサネット受動型光加入者ネットワークのＯＬＴに、ＯＬＴがＯＮＵから認証プロセスの開始を知らせるパケットを受信し、これに応答してＯＮＵに特性値確認要請パケットを伝達する第１機能と、ＯＬＴがＯＮＵから特性値を受信し、該特性値とＯＬＴに予め貯蔵されている記憶値とが一致するか否かを確認するために、これら特性値と記憶値とを比較する第２機能と、ＯＮＵの特性値と記憶値とが一致する場合に認証成功パケットをＯＮＵに伝達する第３機能と、ＯＮＵの特性値と記憶値とが一致しない場合に認証失敗パケットをＯＮＵに伝達する第４機能と、第３機能または第４機能の実行後、ＯＬＴがＯＮＵに認証過程の終了を知らせる第５機能と、を実行させるプログラムが提供される。そして、このようなプログラムを記録したコンピュータ読み取り可能な記録媒体も提供する。
【００２９】
あるいは、本発明によれば、プロセッサを備えたイーサネット受動型光加入者ネットワークのＯＮＵに、ＯＮＵがＯＬＴに認証プロセスの開始を知らせるパケットを伝達し、ＯＬＴからＯＮＵの特性値確認要請パケットを受信する第１機能と、ＯＮＵがＯＬＴにＯＮＵの特性値を伝達する第２機能と、第２機能によって伝達した特性値に対する応答として、その特性値とＯＬＴに予め貯蔵された記憶値とが一致するとＯＬＴで確認された場合にＯＬＴから認証成功パケットをＯＮＵが受信し、その確認によるＯＮＵにおける動作を遂行する第３機能と、第２機能によって伝達した特性値に対する応答として、その特性値とＯＬＴに予め貯蔵された記憶値とが一致しないとＯＬＴで確認された場合にＯＬＴから認証失敗パケットをＯＮＵが受信し、その確認によるＯＮＵにおける動作を遂行する第４機能と、第３機能または第４機能の実行後、ＯＮＵがＯＬＴから認証過程の終了を知らせるパケットを受信する第５機能と、を実行させるプログラムが提供される。そして、このようなプログラムを記録したコンピュータ読み取り可能な記録媒体も提供する。
【発明の効果】
【００３０】
本発明は、ＥＰＯＮにおいてＯＮＵを認証するための簡単なプロトコルを提供し、無線ＬＡＮとのイーサタイプの重複を避けることができる。
【００３１】
さらに、ＲＡＤＩＵＳサーバーを利用せずに既存のアルゴリズムを使用することができ、ＬＬＩＤを利用したポート制御方式によって信頼性のある認証方法を具現することができる。
【００３２】
本発明の方法は、コンピュータで実行可能なプログラムの形態で実現することができ、ＣＤ−ＲＯＭ、ＲＡＭ、フレキシブルディスク、ハードディスク、光磁気ディスクスのような記録媒体に記憶させられる。
【発明を実施するための最良の形態】
【００３３】
以下、本発明の好適な実施形態について添付図を参照しつつ詳細に説明する。下記の説明において、本発明の要旨のみを明確にする目的で、関連した公知機能又は構成に関する具体的な説明は省略する。
【００３４】
ＩＥＥＥ ８０２．１ｘは、それぞれ端末とブリッジ−ＬＡＮ装備との間の認証プロトコル(つまり、ＥＡＰＯＬ)及びブリッジ−ＬＡＮ装備とＲＡＤＩＵＳサーバーとの間のプロトコル(つまり、ＲＦＣ２８６９に記載されているＥＡＰ ｏｖｅｒ ＲＡＤＩＵＳ)を両方とも具現することができるが、本発明は、ＲＡＤＩＵＳ機能をＯＬＴを使用して実現する。
【００３５】
図４は、本発明によるＥＰＯＮにおけるＯＮＵとＯＬＴとの間の認証方法を示すフローチャートである。まず、ＯＮＵは、 認証プロセスの開始を知らせるパケットをＯＬＴに送る(４０１)。ここで、ＯＮＵとＯＬＴとの間のパケットは新しく定義され、その詳細は、以下の図５に関連して説明する。この開始パケットは、認証動作の開始を表示する“Ｓｔａｒｔ”に対するコード値を有する。
【００３６】
認証動作が開始されると、ＯＬＴは、ＯＮＵに使用者名の確認要請パケットを伝達する(４０２)。この時、パケットのコード値は、使用者名の確認要請を表示する“Ｒｅｑｕｅｓｔ”に対応する値を有する。
【００３７】
“Ｒｅｑｕｅｓｔ”に応答して、ＯＮＵは、使用者名をＯＬＴに伝達する(４０３)。この時、パケットのコード値は、応答を表示する“Ｒｅｓｐｏｎｓｅ”に対応する値を有する。
【００３８】
そうすると、ＯＬＴは、ＯＮＵによって認証パケットにのせて送られるＯＮＵの特性値(本実施形態における使用者名(Username))を確認する。ＯＬＴは、ＯＮＵが有効な“Ｕｓｅｒｎａｍｅ”を有すると確認される場合、認証成功パケット(Access Accept Packet)を送る(４０４)。一方、ＯＮＵが無効な“Ｕｓｅｒｎａｍｅ”を有する場合、認証失敗パケット(Access Reject Packet)を送る(４０４)。ＯＮＵは、“Ｕｓｅｒｎａｍｅ”が有効であるかまたは無効であるかという判断に基づいてプロセスを進める。
【００３９】
認証成功または失敗の後(４０４)、ＯＬＴは、ＯＮＵに認証過程の終了を知らせるパケットを伝送する(４０５)。この時、パケットは、“認証終了(Authentication End)”に対応するコード値を有する。
【００４０】
図５は、本発明によるＥＰＯＮにおけるＯＮＵとＯＬＴとの間の認証方法に使用される認証パケットの構造の例を示す図である。図５に示すように、この例の認証パケットは、目的地アドレス(Destination Address：ＤＡ)、ソースアドレス(Source Address：ＳＡ)、ＬＬＩＤ、タイプ、サブタイプ、バージョン、コード、データ／ＰＤＵ(protocol data unit)及びＦＣＳ(frame check sequence)から構成される。
【００４１】
ＤＡフィールド５０１は、パケットの目的地を表示し、ＳＡフィールド５０２は、パケットの出発点を表示し、ＬＬＩＤフィールド５０３は、論理リンク識別子を表示し、タイプフィールド５０４は、パケットのイーサタイプを表示し、サブタイプフィールド５０５は、自分のタイプフィールド５０４と他のパケットのフィールドが同一である場合にパケットを識別し、バージョンフィールド５０６は、パケットのバージョン情報を表示し、コードフィールド５０７は、パケットの認証動作を表示し、データ／ＰＤＵ５０８は、パケットのデータを表示し、ＦＣＳフィールド５０９は、情報をフレーム別に伝送する時、フレームのエラー検出のためのＦＣＳ情報を表示する。ＦＣＳ情報は、フレームの最後尾に配置される。
【００４２】
特に、図５の認証パケットは、既存のＯＡＭ(Operation, Administration, and Maintenance)フレームを利用したフレームフォーマット(サブタイプ“０ｘ０４”)を示す。このフレームフォーマットは、ＩＥＥＥ ８０２．３ａｈがサブタイプ“０ｘ０４”を使用しないので、他のイーサタイプが確定されるまでは使用するのに問題がない。
【００４３】
つまり、本発明による認証パケットは、ＯＮＵに無線ＬＡＮへの機能拡張(Etype=0x888e)を考慮して“Ｅｔｙｐｅ”のみを使用して認証を遂行せず、ＩＥＥＥ ８０２．３ａｈ ＥＦＭにおいて定義されたＯＡＭフレーム(サブタイプ=０ｘ０４)を追加拡張して使用する。従って、無線ＬＡＮの“Ｅｔｙｐｅ”とＥＰＯＮ認証パケットの“Ｅｔｙｐｅ”が同一であることによって発生する誤謬の危険をサブタイプを利用して避けることができる。
【００４４】
コードフィールド５０７は、認証パケットの動作を示し、それぞれの動作は、表１のようである。
【表１】
2004274772.tif 000003
【００４５】
以上のような認証過程によって、ＥＰＯＮのＯＬＴは、ＯＮＵに対する認証を遂行する。ＯＬＴは、ＯＮＵに対する初期登録過程の後、下向(ＯＬＴ→ＯＮＵ)にはまだ認証されていないＯＮＵに対してデータサービスを提供せず且つ上向(ＯＮＵ→ＯＬＴ)にはポートレベルの制御機能を利用して特定のサーバーのポートに対するフラッディング(flooding)攻撃を防止するために、認証プロセスに必要な機能を処理する処理ブロックを必要とする。
【００４６】
図６は、本発明によるＯＬＴのＬＬＩＤ認証処理ブロックの例を示す図である。図６に示すように、本発明によるＬＬＩＤ認証処理ブロックは、外部ルータ６１に対してデータの入出力を遂行するためのバスインターフェース６２、認証プロセスによるＯＡＭパケットを受信してＯＮＵに対するデータサービスを制御する制御部６４、及び制御部６４の制御によってバスインターフェース６２を通じて受信されたデータをスイッチングするダウンストリーム部６３を備えている。
【００４７】
制御部６４は、図５に示すような本発明によるＯＡＭフレームを受信し、“ＡＬＴＭ(Address Lookup Table Management)＋ＡＣＴ(Authentication Control Table)”を使用して、ダウンストリーム部のポートのスイッチング動作を制御する。
【００４８】
ＡＬＴＭを使用する理由は、点対多点ＰＯＮ構造においても共有(shared)ＬＡＮ構造のようにＯＮＵ間の通信を可能にするからである。さらに、ＡＬＴＭは、ＣＡＭ(Contents Address Memory)を利用して具現される。
【００４９】
ＯＬＴに連結されているＯＮＵがＯＬＴにデータを伝送しようとする時、データにＬＬＩＤを挿入した状態で伝送する。ＯＬＴは、目的地ＭＡＣアドレス(Destination MAC Address)を自分のＡＬＴ（アドレスルックアップテーブル）でルックアップ(Lookup)する。ＯＬＴは、目的地ＭＡＣアドレスがＯＬＴ内にあるステーションに対応する場合、伝送しようとするデータの伝送の前にＬＬＩＤを変更する。ＡＬＴＭブロックは、受信されたフレームのＳＡフィールドを新しく変更または削除する機能を遂行する。
【００５０】
この機能を使用すると、学習(Learning)過程において完成されたテーブルをルックアップすることによってＯＬＴ以下のＯＮＵに対するＭＡＣアドレスに基づいて変更されたＬＬＩＤをＯＮＵに再伝送することができる。フィルタリング機能を利用すると、各ＯＮＵは、自分に伝送されるフレームのみを受信することができる。従って、ＯＮＵ間の通信が可能になる。
【００５１】
ＡＣＴの初期登録の後、各ＯＮＵは、ＯＬＴのスケジューラを通じて割り当てられるＬＬＩＤ及び自分のＭＡＣアドレスをＯＬＴのＡＬＴに初期値として入力し、自分の認証を要請する“Ｓｔａｒｔ”フレームをＯＬＴに伝送する。ＭＡＣアドレスは使用者名に含まれた状態でＯＬＴに伝送され、認証に必要なパラメータとして使用されるようになる。
【００５２】
ＯＮＵは、応答(Response)フレームを通じて新しく入力されたＬＬＩＤと前記ＡＬＴに予め割り当てられ入力されたＬＬＩＤとのＭＡＣアドレスを比較する。ＭＡＣアドレスが一致する場合、ＯＬＴは、ポートを制御して所望するするサービスを提供する。
【００５３】
“ＡＬＴＭ＋ＡＣＴ”を使用して遂行される認証動作は、以下のように進行される。まず、制御部６４は、ＯＡＭフレームを受信する。“Ｓｔａｒｔ”フレームにおける“使用者名”がＯＬＴに予め設定された値と同一であると、制御部６４は、“Ｒｅｑｕｅｓｔ”フレームを伝送し、ダウンストリーム部６３にフレームのＬＬＩＤを入力する。ＯＮＵからの“Ｒｅｓｐｏｎｓｅ”フレームを通じて認証が成功した場合、制御部６４がポート一致信号(PORT MATCH)を生成することによって対応するＬＬＩＤのポートは正常に連結される。しかしながら、認証が失敗した場合、制御部６４は、ポート不一致信号(PORT MISMATCH)を生成することによって当該ポートを解除する。
【００５４】
ＡＣＴの例を示すと、表２のようになる。
【表２】
2004274772.tif 000004
【００５５】
以上、本発明を具体的な実施形態を参照して詳細に説明してきたが、本発明の範囲は前述の実施形態によって限られるべきではなく、本発明の範囲内で様々な変形が可能であるということは、当該技術分野における通常の知識を持つ者には明らかである。
【図面の簡単な説明】
【００５６】
【図１】従来の技術によるＭＤ−５チャレンジを使用したＥＡＰ認証方法を示す信号フロー図。
【図２】従来の技術によるＣＨＡＰプロトコルを利用した認証方法を示す信号フロー図。
【図３】一般的なＥＡＰＯＬフレームフォーマットの一例を示す構造図。
【図４】本発明によるＥＰＯＮにおけるＯＮＵとＯＬＴとの間の認証方法の実施形態を示すフローチャート。
【図５】本発明によるＥＰＯＮにおけるＯＮＵとＯＬＴとの間の認証方法に使用される認証パケットの構造の実施形態を示す図。
【図６】本発明による認証過程のためのＯＬＴのＬＬＩＤ認証処理ブロックの実施形態を示すブロック図。
【符号の説明】
【００５７】
６１  ルータ
６２  バスインタフェース
６３  ダウンストリーム部
６４  制御部
【図１】
2004274772.tif 000005
【図２】
2004274772.tif 000006
【図３】
2004274772.tif 000007
【図４】
2004274772.tif 000008
【図５】
2004274772.tif 000009
【図６】
2004274772.tif 000010