(57)【特許請求の範囲】
【請求項１】
ネットワーク端末にＩＰアドレスの発行を行うＤＨＣＰサーバーと、
前記ＤＨＣＰサーバーと前記ネットワーク端末との間にあって前記ネットワーク端末を接続する回線に対応させた仮想ＬＡＮ番号を前記ネットワーク端末から送出されるパケットに付加する仮想ＬＡＮ番号付加手段と、
を有するネットワーク認証システムにおいて、
前記ネットワーク端末のシリアル番号と前記仮想ＬＡＮ番号とを対比して記憶する記憶手段と、
前記ネットワーク端末から送られてくる前記シリアル番号と前記仮想ＬＡＮ番号とが前記記憶手段に記憶されているものと一致するか否かを識別する識別手段と、
を前記ＤＨＣＰサーバーに設け、
前記ＤＨＣＰサーバーは前記識別手段の識別結果が一致した時だけ前記ネットワーク端末にＩＰアドレスの発行を行う構成としたことを特徴とするネットワーク認証システム。
【請求項２】
請求項１記載のネットワーク認証システムにおいて、
仮想ＬＡＮ番号付加手段に仮想ＬＡＮ番号フィルタ手段を設け、
前記仮想ＬＡＮ番号フィルタ手段は前記ネットワーク端末から受け取るパケットに前記仮想ＬＡＮ番号が付加されている時は前記パケットを破棄するよう動作することを特徴とするネットワーク認証システム。
【請求項３】
請求項２記載のネットワーク認証システムにおいて、
前記仮想ＬＡＮ番号フィルタ手段は前記ネットワーク端末が送出するパケットに前記仮想ＬＡＮ番号が付加されている時は該仮想ＬＡＮ番号を削除し、
仮想ＬＡＮ番号付加手段は予め決められた仮想ＬＡＮ番号を付加し直すよう動作することを特徴とするネットワーク認証システム。
【請求項４】
請求項１、２および３の何れかに記載のネットワーク認証システムにおいて、
前記ネットワーク端末から送られてくる前記シリアル番号と前記仮想ＬＡＮ番号とを対応させて記録するアクセス記録手段を設けたことを特徴とするネットワーク認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はインターネット接続サービスにおける認証方法に関する。
【背景技術】
【０００２】
一般に、インターネットヘの接続を実現するためには、先ず、ユーザーはＰＰＰｏＥ（Ｐoint-to-Ｐoint Ｐrotocol ｏver Ｅthernet（Ｅthernetは登録商標））と呼ばれるプロトコルを用いてインターネットバックボーンヘの入り口となる地域アクセスポイントに設置されたＢＡＳ（Ｂroadband Ａccess Ｓerver）に接続し、認証を受ける必要がある。
この時、インターネット接続事業者が正規に契約したユーザーかどうかを確認するためにＰＡＰ（Ｐassword Ａuthentication Ｐrotocol）やＣＨＡＰ（Ｃhallenge Ｈandshake Ａutbentication Ｐrotocol）の何れかの認証プロトコルを用いて、インターネット接続事業者から予め通知されたユーザーＩＤとパスワードをＢＡＳに送信しなければならない。
【０００３】
これらの認証処理は、ＯＮＵ（Ｏptical Ｎetwork Ｕnit）やＤＳＬ（Ｄigital Ｓubscriber Ｌine）モデムのような回線終端装置に接続されたＰＣ（Ｐersonal Ｃomputer）やルーター或いは無線ＬＡＮ（Ｌocal Ａrea Ｎetwork）ルーターなどがＢＡＳに対して行う必要がある。このような従来の技術による認証処理のためのネットワーク構成を図７に示す。
【０００４】
図７において、７０１は認証処理を行って上位のネットワークに接続するためのＢＡＳ、７０２はＯＬＴ（Ｏptical Ｌine Ｔerminal）やＤＳＬＡＭ（Ｄigital Ｓubscriber Ｌine Ａccess Ｍultiplexer）など中継局側に設置される集合型回線終端装置、７０３は集合型回線終端装置と対になる加入者宅側に設置されるＯＮＵ、メディアコンバーターあるいはＤＳＬモデムなどの回線終端装置、７０４はユーザー側のルーター、７０５はパソコンなどの端末（ＰＣ）をそれぞれ示している。
【０００５】
また、回線終端装置はインターネット接続事業者など中継局側に設置されている集合型回線終端装置などの親装置との間で通信の初期化が行われた後、親装置から回線終端装置までの間はデータ疎通が可能な状態となる。ここで、ユーザーがインターネットに接続しようとすると、ＰＣ７０５をルーター７０４に接続し、回線終端装置７０３、集合型回線終端装置７０２などを介してインターネット接続事業者のＢＡＳ７０１に接続し、予めＰＣ７０５に設定したＰＰＰ認証情報をＰＡＰやＣＨＡＰなどの認証プロトコルを用いてＢＡＳ７０１にアクセスし、ＢＡＳ７０１で認証されると初めて外部のインターネットに接続することができるようになる。つまり、認証を行う際に、ユーザーは予めＰＣ７０５にユーザーＩＤやパスワードなどのＰＰＰ認証情報を設定するなど複雑な作業を行わなければならなかった。
【０００６】
このような複雑な手続きを容易にするため、例えば、ＰＣを自動設定するソフトウエアを配布し、予めユーザーがインストールすることによって設定作業を簡単にする方法や、技術者を派遣してＰＣの設定作業を行う方法などが採られていた。
特許文献１記載の「ネットワーク機器自動設定装置、ネットワーク機器自動設定方法、プログラムおよび記録媒体」では、ＰＰＰｏＥ網のようなアクセス認証を必要とするネットワークにおいて、ユーザーアカウントなどの情報を入力することなく、ネットワーク機器の設定が自動的に行なわれるように工夫している。同文献に紹介されている技術は、ネットワーク機器の製造時に特定のプライベートネットワークに自動的に接続できるように設定しておくもので、ユーザーがネットワーク機器を立ち上げると、プライベートネットワークを介してインターネット接続事業者にアクセスするために必要な情報を取得し、インターネットに接続する技術が紹介されている。
【特許文献１】特開２００５−５５９４０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
従来のＰＰＰ方式によるユーザー認証システムおよび方法は、ユーザーの作業によってＩＤやパスワードなどのＰＰＰ設定情報を予めパソコンに登録しておく必要があったため、ネットワーク知識を持たない初心者ユーザーにとっては難易度の高い作業で、インターネット接続事業者にとっても、複雑な作業をユーザーに強いることは好ましくなく、ユーザー獲得の上で大きな問題となっている。
【０００８】
さらに、どうしてもインターネットの設定作業ができないユーザーに対しては、電話サポートやインターネット事業者から技術者を派遣して設定を行うといった対応も行われているが、リソース的に対応に限界があった。また、インターネット接続事業者がユーザーの機器にリモートで接続して遠隔設定を行う方法も、ネットワークに接続されていない状態では困難であった。
【０００９】
また、特許文献１の方法では、プライベートネットワークに接続するための設定をネットワーク機器の製造時に行う必要があり、コストアップになるだけでなく、一般のＰＣの使用者には対応することができないという問題があった。
さらに、一般的なＰＰＰｏＥ方式でサービスを行う場合は、先ず、ＢＡＳに正規ユーザーであることを認証させる必要があり、インターネット接続事業者はＢＡＳの設置が必要であった。ところが、ＢＡＳはルーター機能を有する高価なサーバーで、ルーティングなどの複雑な処理を行う為、対応できるユーザー数も、例えば１万ユーザーなどと限られており、ユーザー数が多くなると増設しなければならなくなり、益々コストが高くなるという問題があった。
【００１０】
しかも、ＤＨＣＰ方式自体が単純に要求に対してＩＰアドレスの払い出しを行うシステムになっているので、エンドユーザー毎の識別や管理が困難となり、悪意のあるユーザーがインターネット犯罪などを起こすことも考えられ、「いつ」「誰が」「どこから」という基本的なトレーサビリティ性もないので、セキュリティ面で多くの課題があった。
本発明では、自動的にユーザーを識別して自動的にユーザー認証を完了させる事で、ユーザーに複雑な設定作業を強いることなく、セキュリティ面でも安心して、簡易にインターネットに接続できるシステムを提供する。
【課題を解決するための手段】
【００１１】
本発明のネットワーク認証システムは、ネットワーク端末にＩＰアドレスの発行を行うＤＨＣＰサーバーと、前記ＤＨＣＰサーバーと前記ネットワーク端末との間にあって前記ネットワーク端末を接続する回線に対応させた仮想ＬＡＮ番号を前記ネットワーク端末から送出されるパケットに付加する仮想ＬＡＮ番号付加手段とを有するネットワーク認証システムにおいて、前記ネットワーク端末のシリアル番号と前記仮想ＬＡＮ番号とを対比して記憶する記憶手段と、前記ネットワーク端末から送られてくる前記シリアル番号と前記仮想ＬＡＮ番号とが前記記憶手段に記憶されているものと一致するか否かを識別する識別手段とを前記ＤＨＣＰサーバーに設け、前記ＤＨＣＰサーバーは前記識別手段の識別結果が一致した時だけ前記ネットワーク端末にＩＰアドレスの発行を行う構成としたことを特徴とする。
【００１２】
また、仮想ＬＡＮ番号付加手段に仮想ＬＡＮ番号フィルタ手段を設け、前記仮想ＬＡＮ番号フィルタ手段は前記ネットワーク端末から受け取るパケットに前記仮想ＬＡＮ番号が付加されている時は前記パケットを破棄するよう動作することを特徴とする。
或いは、前記仮想ＬＡＮ番号フィルタ手段は前記ネットワーク端末が送出するパケットに前記仮想ＬＡＮ番号が付加されている時は該仮想ＬＡＮ番号を削除し、仮想ＬＡＮ番号付加手段は予め決められた仮想ＬＡＮ番号を付加し直すよう動作することを特徴とする。
【００１３】
さらには、前記ネットワーク端末から送られてくる前記シリアル番号と前記仮想ＬＡＮ番号とを対応させて記録するアクセス記録手段を設けたことを特徴とする。
【発明の効果】
【００１５】
本発明のネットワーク認証システムは、高価なＢＡＳや特別な装置を必要とせず、従来から用いられているＤＨＣＰサーバーを少し変えるだけで、ユーザーの煩わしい設定作業を容易にすることが可能となる。また、ユーザーのネットワーク端末が送信するシリアル番号と仮想ＬＡＮ番号とを参照するだけで、ユーザーの認証を行うことが可能となる。さらに、シリアル番号と仮想ＬＡＮ番号とを対応させて記録しておくことにより、「いつ」「誰が」「どこから」というアクセス履歴の参照が可能となる。
【発明を実施するための最良の形態】
【００１６】
本発明のネットワーク認証システムの実施形態について説明する。本発明のネットワーク認証システムは、ユーザー作業を不要とするために、インターネットサービス事業者が提供するインターネット接続サービスに対して、サービス契約時にユーザーの住所や氏名などの基本情報の他に、接続するＰＣやルーターなどのネットワーク端末のシリアル番号であるＭＡＣ（Ｍedia Ａccess Ｃontrol）アドレスを予め申請する。ＭＡＣアドレスはネットワーク端末機器の付属資料などに記載されており、容易に知ることができる。ユーザーがサービスを受けたいインターネット接続事業者と契約をする際に、ユーザーの住所や氏名などと共に記入してもらうか、付属資料を持参してもらえばよいのでユーザーの負担は重くない。
【００１７】
また、本発明ではＩＥＥＥ８０２．３ｘ規格のオプションであるＶＬＡＮタグ機能を利用する。図３にＩＥＥＥ８０２．３ｘ規格のフレームフォーマットとＩＥＥＥ８０２．１Ｑで定められている仮想ＬＡＮ用のＶＬＡＮタグのオプションを示す。図３において、３０１はデーターリンク層で使用するＭＡＣフレーム、３０２はフレーム同期を取るためのプリアンブル（ＰＡ）、３０３はフレームのスタートを示すデリミタ（ＳＦＤ）、３０４はＭＡＣフレームのヘッダ部分、３０５は受信先のＭＡＣアドレス（ＤＭＡＣ）、３０６は送信元のＭＡＣアドレス（ＳＭＡＣ）、３０７はＶＬＡＮタグ、３０８はフレームタイプ或いはデータ長、３０９はデータ、３１０は誤り検出用のフラグ（ＦＣＳ）をそれぞれ示している。また、ＶＬＡＮタグ３０７において、３１１はフレームタイプ（ＴＰＩＤ）（ＴＰＩＤ＝０ｘ８１００はＶＬＡＮタグであることを示す）、３１２はＶＬＡＮタグ制御情報（ＴＣＩ）をそれぞれ示している。さらにＴＣＩ３１２において、３１３は優先度を示すユーザープライオリティ（ＰＲＩ）、３１４はフォーマット形式（ＣＦＩ）、３１５はＶＬＡＮのＩＤを示すＶＬＡＮ識別子（ＶＩＤ）をそれぞれ示している。
【００１８】
ここで、ＶＬＡＮつまり仮想ＬＡＮについて図２を用いて簡単に説明する。図２はある会社のネットワーク接続状態を描いたもので、２０１はＷＡＮ（Ｗide Ａrea Ｎetwork）、２０２は本社内のネットワーク、２０３、２０４および２０５は支社内のネットワークを示しており、それぞれのネットワークはＷＡＮ２０１を介して接続されている。アクセス制限がなされていない状態では、本社のネットワーク２０２に接続されている端末はＷＡＮ２０１を介して支社のネットワーク２０３に接続されている端末やネットワーク２０５に接続されている端末などと自由に通信することができる。
【００１９】
ところが、図３のＶＬＡＮタグ３０７のオプション機能を使用すると、ＶＬＡＮ−ＩＤ３１５に記載されたＩＤと異なるＩＤをもつ端末は接続できなくなる。つまり、同じＶＬＡＮ−ＩＤを持つ端末同士が物理的なネットワークを跨いだ仮想的なネットワークを構築することができる。本発明は、本来、仮想ＬＡＮを構築する目的のＶＬＡＮタグ機能を利用して、認証処理を簡略化するものである。
【００２０】
さて、図１は本発明のネットワーク認証システムの構成を示した図で、１０１は上位のネットワークのルーターなどに接続されるネットワーク回線、１０２はデータリンク層（Ｌevel２：Ｌ２）で行き先などを振り分けるＬ２スイッチ、１０３および１０４は集合型回線終端装置、１０５および１０６は回線終端装置、１０７および１０９はＰＣ、１０８はローカルなＤＨＣＰ機能を有して複数の端末を接続することができるユーザー側のルーター、１１０はＤＨＣＰサーバー、１１１はＤＨＣＰサーバー１１０に設けられたユーザー登録テーブル、１１２は送信フレームＡ、１１３は送信フレームＡにＶＬＡＮ−ＩＤ＝Ａが付加されたＶＩＤフレームＡ、１１４は送信フレームＢ、１１５は送信フレームＢにＶＬＡＮ−ＩＤ＝Ｂが付加されたＶＩＤフレームＢ、１１６は送信フレームＣ、１１７は送信フレームＣにＶＬＡＮ−ＩＤ＝Ｃが付加されたＶＩＤフレームＣをそれぞれ示している。
【００２１】
今、ＰＣ１０７が送信フレームＡ１１２を送信すると、回線終端装置１０６を通って集合型回線終端装置１０４に送られる。集合型回線終端装置１０４は予め回線終端装置１０６に割り当てられたＶＬＡＮ−ＩＤ＝Ａを付加してＶＩＤフレームＡ１１３としてＬ２スイッチ１０２に送り、ＤＨＣＰサーバー１１０に届けられる。
次に、ＰＣ１０９が送信フレームＢ１１４を送信すると、回線終端装置１０５を通って集合型回線終端装置１０４に送られる。集合型回線終端装置１０４は予め回線終端装置１０５に割り当てられたＶＬＡＮ−ＩＤ＝Ｂを付加してＶＩＤフレームＢ１１５としてＬ２スイッチ１０２に送り、ＤＨＣＰサーバー１１０に届けられる。
【００２２】
同様に、集合型回線終端装置１０３の下位の端末から送信フレームＣ１１６が送られると、集合型回線終端装置１０３は下位の端末に予め割り当てられたＶＬＡＮ−ＩＤ＝Ｃを付加してＶＩＤフレームＣ１１７としてＬ２スイッチ１０２に送り、ＤＨＣＰサーバー１１０に届けられる。
ここで、集合型回線終端装置１０３および１０４は、下位の機器からＶＬＡＮ−ＩＤが付加されて送られてきた場合は、このＶＬＡＮ−ＩＤを破棄し、各回線に割り当てられた本来のＶＬＡＮ−ＩＤに書き換えてＤＨＣＰサーバー１１０に送出するよう動作する。尚、ＶＬＡＮ−ＩＤを付与する機能は集合型回線終端装置が持っており、集合型回線終端装置とペアになっている回線終端装置にも付与されたＶＬＡＮ−ＩＤが知らされる。また、回線終端装置にどのＶＬＡＮ−ＩＤを付与するかは予め接続事業者によって集合型回線終端装置に設定されている。
【００２３】
次に、ＤＨＣＰサーバー１１０の機能について説明する。ＤＨＣＰサーバー１１０は、端末にＩＰアドレスを付与するのが役割りで、図６はＤＨＣＰサーバー１１０によるＩＰアドレスの付与手順について説明した図である。同図において、６０１はＤＨＣＰサーバー１１０側の処理の流れ、６０２はＰＣ１０７或いはルーター１０８側の処理の流れ、６０３はＤＨＣＰ discoverフレーム、６０４はＤＨＣＰ offerフレーム、６０５はＤＨＣＰ Requestフレーム、６０６はＤＨＣＰ ackフレームをそれぞれ示している。
【００２４】
先ず、一般的なＤＨＣＰサーバーの場合のＩＰアドレスの払い出しの流れについて説明する。図６において、ＰＣ１０７が処理の流れ６０２に沿ってＩＰアドレスの払い出しを受ける場合、最初はＰＣ１０７はＤＨＣＰサーバーがどこにあるか分からないので、ＤＨＣＰサーバーを探すためにＤＨＣＰ discoverフレーム６０３をＩＥＥＥ８０２．３規格のブロードキャスト形式でネットワーク全体に送信する。ＤＨＣＰ discoverフレーム６０３を受信したネットワーク内のＤＨＣＰサーバーはＤＨＣＰ offerフレームを送信元のＰＣ１０７に返信する。ＤＨＣＰ offerフレームは割付可能なＩＰアドレスを通知するためのもので、もし、ネットワーク内に複数のＤＨＣＰサーバーがあれば、ＰＣ１０７は複数のＤＨＣＰ offerフレームを受信することになる。通常は、複数のＤＨＣＰ offerフレームを受けた場合は、最も先に受信したものを選択する。
【００２５】
今、図６の場合は、ＰＣ１０７は図１に示すＤＨＣＰサーバー１１０からＤＨＣＰ offerフレーム６０４を受けて、割り当て可能なＩＰアドレスを知る。次に、ＰＣ１０７はＤＨＣＰサーバー１１０に対してＤＨＣＰ Requestフレーム６０５を返信し、そのＩＰアドレスの使用を要求する。ＤＨＣＰ Requestフレーム６０５を受けたＤＨＣＰサーバー１１０は、許可する場合は、ＤＨＣＰ ackフレーム６０６をＰＣ１０７に返信し、許可しない場合は、図には示していないが、ＤＨＣＰ nackフレームをＰＣ１０７に返信する。ＤＨＣＰサーバー１１０からＤＨＣＰ nackフレームが送られてきた場合は、ＰＣ１０７はＩＰアドレスの割り当てを受けられず、ネットワークを利用することができないので、再度、ＤＨＣＰ処理を行うことになる。
【００２６】
また、上記のようなＤＨＣＰ処理は、図３で説明したデータリンク層のＭＡＣフレーム３０１の構造のフレームを用いており、図３のデータ３０９の部分にネットワーク層であるＩＰパケットが、さらにＩＰパケットの上にはトランスポート層であるＴＣＰ（Ｔransmission Ｃontrol Ｐrotocol）パケットあるいはＵＤＰ（Ｕser Ｄatagram Ｐrotocol）パケットが搭載される。上記のＤＨＣＰ処理はＵＤＰパケットで行われ、ブロードキャスト形式で送出する場合は、ＤＭＡＣ３０５をＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦに設定することで、ネットワーク上でブロードキャスト形式であることを認識できるようになっている。
【００２７】
ところで、本発明の場合は、ＤＨＣＰ処理におけるＭＡＣフレーム３０１にＩＥＥＥ８０２．３ｘのオプションであるＶＬＡＮタグの機能を利用している。ここで、本発明のネットワーク認証システムの場合のＤＨＣＰ処理について、図４を用いて詳しく説明する。図４は、ＤＨＣＰサーバー１１０の処理の流れを示した図である。ＤＨＣＰ処理の流れの中で、ＤＨＣＰ discoverフレーム６０３を送って、ＤＨＣＰ offerフレーム６０４を受け取る部分の処理は、図６で説明した通常のＤＨＣＰ処理と同じである。
【００２８】
今、図１の集合型回線終端装置１０４は、予め、回線終端装置１０６のＶＬＡＮ−ＩＤとしてＡを割り当て、回線終端装置１０７のＶＬＡＮ−ＩＤとしてＢを割り当て、ＰＣ１０７のＭＡＣアドレスは１２−３４−５６−７８−９０−１０が、ルーター１０８のＭＡＣアドレスは３４−５６−７８−９０−１２−３４がそれぞれ使用されているものとする。また、予め、ユーザーの登録申請時にそれぞれのＭＡＣアドレスは確認され、ＤＨＣＰサーバー１１０のユーザー登録テーブル１１１に登録されているものとして図４の処理を説明する。
【００２９】
Ｓ４０１において、ＰＣ１０７はＤＨＣＰ Requestフレーム６０５を図１の送信フレームＡ１１２のように送出すると、回線終端装置１０６を介して集合型回線終端装置１０４に届けられる。集合型回線終端装置１０４は回線終端装置１０６に割り当てられたＶＬＡＮ−ＩＤがＡであることを示すＶＬＡＮ−ＩＤを付加してＶＩＤフレームＡ１１３としてＬ２スイッチ１０２に送り、ＤＨＣＰサーバー１１０にＶＩＤフレームＡ１１３が届けられる。
【００３０】
Ｓ４０２において、ＤＨＣＰサーバー１１０は受け取ったＶＩＤフレームＡ１１３の送信元のＭＡＣアドレスとＶＬＡＮ−ＩＤを抽出する。これは、図３におけるＳＭＡＣ３０６およびＶＬＡＮ−ＩＤ３１５の部分を抽出することを意味する。送信元のＭＡＣアドレスはＰＣ１０７が送信時に自己のＭＡＣアドレス＝１２−３４−５６−７８−９０−１０を記入したもので、ＶＬＡＮ−ＩＤは集合型回線終端装置１０４が送信フレームＡ１１２に付加したＶＬＡＮ−ＩＤ＝Ａを示している。
【００３１】
Ｓ４０３において、ＤＨＣＰサーバー１１０はユーザー登録テーブル１１１を参照し、Ｓ４０２で抽出した送信元のＭＡＣアドレスとＶＬＡＮ−ＩＤの組み合わせを確認する。
Ｓ４０４において、ＤＨＣＰサーバー１１０は、ユーザー登録テーブル１１１に、ＰＣ１０７のＭＡＣアドレス＝１２−３４−５６−７８−９０−１０に対応してＶＬＡＮ−ＩＤ＝Ａが登録されているので、ＰＣ１０７のユーザーは正規ユーザーであることを認識し、ステップＳ４０５に進む。もし、ＭＡＣアドレスが登録されていないものである場合、ＶＬＡＮ−ＩＤが登録されていないものである場合、或いはＭＡＣアドレスとＶＬＡＮ−ＩＤの対応が一致しない場合などは、ステップＳ４０６に進む。
【００３２】
Ｓ４０５において、ＤＨＣＰサーバー１１０は、ＰＣ１０７にＤＨＣＰ ackフレーム６０６を返信し、ＩＰアドレスの払い出しを行う。これを受けたＰＣ１０７は、割り当てられたＩＰアドレスを用いて、上位のネットワークに接続することが可能となる。
Ｓ４０６において、ＤＨＣＰサーバー１１０がＰＣ１０７にＤＨＣＰ nackフレームを返信すると、ＰＣ１０７はＩＰアドレスの払い出しが得られなかったことになり、再度、ＤＨＣＰ処理を行わなければネットワークに接続することができない。
【００３３】
図１のルーター１０８の場合も、ＰＣ１０７の場合と同様に、ネットワークに接続するためにＤＨＣＰ discoverフレーム６０３を送信フレームＢ１１４のように送出すると、回線終端装置１０５を介して集合型回線終端装置１０４に送られる。集合型回線終端装置１０４は回線終端装置１０５に割り当てられたＶＬＡＮ−ＩＤがＢであることを示すＶＬＡＮ−ＩＤを付加してＶＩＤフレームＢ１１５としてＬ２スイッチ１０２に送り、ＤＨＣＰサーバー１１０にＶＩＤフレームＢ１１５が届けられる。
【００３４】
これを受け取ったＤＨＣＰサーバー１１０は先に説明したＶＩＤフレームＡ１１３の場合と同様に、図４の処理フローに従って動作し、ユーザー登録テーブル１１１にルーター１０８のＭＡＣアドレス＝３４−５６−７８−９０−１２−３４に対応してＶＬＡＮ−ＩＤ＝Ｂが登録されていることを確認する。ＭＡＣアドレスとＶＬＡＮ−ＩＤの対応が一致して登録されていれば、ＤＨＣＰサーバー１１０はルーター１０８にＩＰアドレスの払い出しを行うためのＤＨＣＰ ackフレーム６０６を返信するので、ルーター１０８は上位のネットワークに接続することが可能となる。また、ルーター１０８に接続されているＰＣ１０９はルーター１０８のＤＨＣＰ機能によってローカルなＩＰアドレスが割り当てられているので、ルーター１０８でＩＰアドレスの変換が行われて、上位のネットワークにアクセスすることができる。ルーター１０８に接続されている他のネットワーク端末もルーター１０８を介して上位のネットワークにアクセスすることができる。
【００３５】
同様に、図１の送信フレームＣ１１６のように別の集合型回線終端装置１０３に接続されているネットワーク端末（図示せず）から送られた送信フレームＣ１１６に対しても、集合型回線終端装置１０３は送信フレームＣ１１６を送出した回線に割り当てたＶＬＡＮ−ＩＤ＝Ｃを付加してＶＩＤフレームＣ１１７のようにＬ２スイッチ１０２を介してＤＨＣＰサーバー１１０に送ることによって、ＩＰアドレスの払い出しを要求することができる。
【００３６】
ここで、ＰＣなどのネットワーク端末が他人のＭＡＣアドレスやＶＬＡＮ−ＩＤを勝手に付加して他人になりすましてネットワークへ接続しようとした場合の動作について図５を用いて説明する。図５と図１との違いは、ＰＣ１０７がルーター１０８のＭＡＣアドレス＝３４−５６−７８−９０−１２−３４とＶＬＡＮ−ＩＤ＝Ｂを用いて、ルーター１０８に成りすましてＶＩＤフレームＢ５０１からなるＤＨＣＰ Requestフレーム６０５を送信したとすると、回線終端装置１０６はこのＶＩＤフレームＢ５０１を集合型回線終端装置１０４に送るが、集合型回線終端装置１０４はこのＶＩＤフレームＢ５０１には既にＶＬＡＮ−ＩＤ＝Ｂが付加されていることを認識し、これを回線終端装置１０６に割り当てられた本来のＶＬＡＮ−ＩＤ＝Ａに置き換えるか、このフレームを破棄するよう動作する。破棄した場合は、ＰＣ１０７には何の応答も返って来ないのでエラーになり、ネットワークに接続できない。仮に、本来のＶＬＡＮ−ＩＤ＝Ａに置き換えられて、ＤＨＣＰサーバー１１０に送られたとしても、ＤＨＣＰサーバー１１０はＭＡＣアドレス＝３４−５６−７８−９０−１２−３４、ＶＬＡＮ−ＩＤ＝Ａとの対応を識別し、ユーザー登録テーブル１１１に登録されているＭＡＣアドレスをＶＬＡＮ−ＩＤの対応と一致しないので、このＤＨＣＰ Requestフレーム６０５は受け付けず、ＤＨＣＰ nackフレームをＰＣ１０７に返送し、ＰＣ１０７はＩＰアドレスの払い出しを受けられないので、上位のネットワークにはアクセスすることができない。
【００３７】
このように、ＭＡＣアドレスやＶＬＡＮ−ＩＤを勝手に書き換える成りすましによる不正アクセスを防止することができる。また、このようなアクセスエラー記録をＤＨＣＰサーバー１１０に残せるようにＤＨＣＰサーバー１１０にユーザー登録テーブル１１１とは別にアクセス記録手段を設けて、アクセス記録の日時やＭＡＣアドレスおよびＶＬＡＮ−ＩＤなどを記録することによって、いつどのような不正アクセスが行われようとしたかを後で確認することが容易になる。特に、エラーの回数、アクセス頻度などを要求が来る度に監視を行うことで、何度も連続して不正アクセスしようとするなど明らかに悪意が見られる場合には、集合型回線終端装置１０４を制御することで該当回線のサービス停止等の処置も行うことができる。従来はＭＡＣアドレスのみによるアクセス認証も考えられたが、ＭＡＣアドレスだけの偽証を防止することは難しかったし、ＭＡＣアドレスだけの場合はどこからアクセスしているのか把握することが困難で、停止処置などを行うことも困難であった。本発明の場合は、ＰＣ１０７とＰＣ１０９が入れ替わったような場合でも、登録されているＶＬＡＮ−ＩＤ下でのＭＡＣアドレスが異なるので、接続は拒絶され、場所を限定した不正アクセスの防止を行うことが可能となる。
【００３８】
また、ＤＨＣＰサーバー１１０は契約ユーザーが該当する契約回線に正しく接続されていることをデータの送受信の際に必ず付加されているＭＡＣアドレスにて確認するので、ユーザー側は接続するＰＣをＤＨＣＰを使用するという設定（通常、このような設定になっているものが殆どである）にしておくだけで、ＰＣやルーターをネットワークに接続して電源を投入すると、自動的にＤＨＣＰ Requestフレームを送出するので、本発明の実施形態で説明したように、特別な設定をすることなくネットワークに接続でき、従来技術のような煩わしいＰＰＰｏＥの認証情報を不要にすることができる。
【００３９】
また、本発明のネットワーク認証システムは、ＰＰＰｏＥによる認証情報を使用しないので、高価なＢＡＳが不要となり、ＢＡＳよりも処理の軽い本発明でのＤＨＣＰサーバーはユーザー数が増えても増設が少なく済み、仮に増設する場合もＢＡＳに比べてコストが掛からないという効果もある。
【図面の簡単な説明】
【００４０】
【図１】本発明の実施形態のネットワーク認証システムの構成を示す説明図である。
【図２】ＶＬＡＮ−ＩＤを使用するネットワークの構成を示す説明図である。
【図３】ＶＬＡＮ−ＩＤを有するフレームフォーマットを示す説明図である。
【図４】ＤＨＣＰサーバー１１０の処理の流れを示すフローチャートである。
【図５】本発明のその他の実施形態であるネットワーク認証システムの構成を示す説明図である。
【図６】ＤＨＣＰ処理の手順を示す説明図である。
【図７】従来の技術のネットワーク認証システムの構成を示す説明図である。
【符号の説明】
【００４１】
１０２・・・Ｌ２スイッチ
１０３、１０４・・・集合型回線終端装置
１０５、１０６・・・回線終端装置
１０７、１０９・・・ＰＣ
１０８・・・ルーター
１１０・・・ＤＨＣＰサーバー
１１１・・・ユーザー登録テーブル
１１３・・・ＶＩＤフレームＡ
３０１・・・ＭＡＣフレーム
３０６・・・送信元ＭＡＣアドレス（ＳＭＡＣ）
３０７・・・ＶＬＡＮタグ
３１５・・・ＶＬＡＮ−ＩＤ
【図１】
0004451362.tif 000002
【図２】
0004451362.tif 000003
【図３】
0004451362.tif 000004
【図４】
0004451362.tif 000005
【図５】
0004451362.tif 000006
【図６】
0004451362.tif 000007
【図７】
0004451362.tif 000008