(57)【特許請求の範囲】
【請求項１】
認証方法であって、
ブロードバンドリモートアクセスサーバ（ＢＲＡＳ）転送・制御分離アーキテクチャにおけるＢＲＡＳ制御プレーン（ＣＰ）設備が、前記ＢＲＡＳ転送・制御分離アーキテクチャにおけるＢＲＡＳデータプレーン（ＤＰ）設備との間のＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された制御パケットを受信することを備え、前記ＶＸＬＡＮカプセル化は、前記ＢＲＡＳ ＤＰ設備によって決定されたＶＸＬＡＮ ＩＤおよび前記ＶＸＬＡＮ ＩＤに関連する前記ＶＸＬＡＮトンネルに基づいて前記制御パケット上で前記ＢＲＡＳ ＤＰ設備によって生成されたものであり、前記ＶＸＬＡＮ ＩＤは前記ＶＸＬＡＮカプセル化において搬送され、
前記制御パケットがユーザを認証するためのパケットである場合に、前記ＢＲＡＳ ＣＰ設備が、前記ＶＸＬＡＮカプセルにおけるＶＸＬＡＮ ＩＤに対応するユーザアクセスポートのポート情報をローカルに検索し、前記ポート情報は以前の前記ＢＲＡＳ ＤＰ設備からのものであり、前記ユーザアクセスポートは、前記ＢＲＡＳ ＤＰ設備に存在することと、
前記ＢＲＡＳ ＣＰ設備が、前記ポート情報と前記制御パケットに付加される前記ユーザの身分情報とを認証サーバへ送信して認証させることと、を含むことを特徴とする認証方法。
【請求項２】
前記ＢＲＡＳ ＣＰ設備が、ユーザ制御マネージメント（ＵＣＭ）ネットワーク要素から配信された前記ポート情報を受信することと、
前記ＢＲＡＳ ＣＰ設備が、ローカルに作成された、前記ＶＸＬＡＮ ＩＤに対応する仮想インターフェース（ＶＳＩ）に前記ポート情報を配置することと、を更に含むことを特徴とする請求項１に記載の認証方法。
【請求項３】
前記ＶＸＬＡＮ ＩＤに対応するユーザアクセスポートのポート情報をローカルに検索することは、
前記ＢＲＡＳ ＣＰ設備が、前記ＶＸＬＡＮ ＩＤに対応するＶＳＩをローカルの全てのＶＳＩから検索することと、
前記ＢＲＡＳ ＣＰ設備が、検索したＶＳＩに配置されている前記ポート情報を、前記ＶＸＬＡＮ ＩＤに対応するユーザアクセスポートのポート情報として特定することと、を含むことを特徴とする請求項２に記載の認証方法。
【請求項４】
前記ＢＲＡＳ ＣＰ設備がＶＸＬＡＮトンネルコンフィグレーションを受信し、前記ＶＸＬＡＮトンネルコンフィグレーションは、前記ＵＣＭネットワーク要素が、前記ＢＲＡＳ ＤＰ設備における前記ユーザアクセスポートを配置してＢＲＡＳサービスをイネーブルするという命令を受信したときに配信したものであることと、
前記ＢＲＡＳ ＣＰ設備が、前記ＶＸＬＡＮトンネルコンフィグレーションに基づいて前記ＶＸＬＡＮトンネルを作成することと、
前記ＢＲＡＳ ＣＰ設備が、前記ＵＣＭネットワーク要素から配信された第２ＶＳＩ作成指令を受信し、前記第２ＶＳＩ作成指令は、前記ＢＲＡＳ ＣＰ設備が前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを作成するよう指示するために用いられることと、
前記ＢＲＡＳ ＣＰ設備が、前記第２ＶＳＩ作成指令に基づいて前記ＶＸＬＡＮ ＩＤに対応するＶＳＩをローカルに作成することと、を更に含むことを特徴とする請求項２に記載の認証方法。
【請求項５】
前記ポート情報は、
前記ユーザアクセスポートの所在するサブスロット番号、
前記サブスロット番号の所属するスロット番号、
前記ユーザアクセスポートのポート番号、
および前記ユーザアクセスポートのタイプを含むことを特徴とする請求項１に記載の認証方法。
【請求項６】
認証方法であって、
ブロードバンドリモートアクセスサーバ（ＢＲＡＳ）転送・制御分離アーキテクチャにおけるＢＲＡＳデータプレーン（ＤＰ）設備が、ローカルのユーザアクセスポートを介して、ユーザ設備から送信された、ユーザを認証するための制御パケットを受信することと、
前記ＢＲＡＳ ＤＰ設備によって、前記ＢＲＡＳ ＤＰ設備とＢＲＡＳ制御プレーン（ＣＰ）設備との間にＶＸＬＡＮトンネルを作成することと、
前記ＢＲＡＳ ＤＰ設備が前記ユーザアクセスポートに対応しかつ前記ＶＸＬＡＮトンネルに関連付けられたＶＸＬＡＮ ＩＤを特定することと、
前記ＢＲＡＳ ＤＰ設備が、前記ＶＸＬＡＮ ＩＤと前記ＶＸＬＡＮ ＩＤに関連付けられたＶＸＬＡＮトンネルとに基づいて、前記制御パケットに対してＶＸＬＡＮカプセル化を行い、前記ＶＸＬＡＮカプセルには、前記ＶＸＬＡＮ ＩＤが付加されていることと、
前記ＢＲＡＳ ＤＰ設備が、前記ＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された前記制御パケットを、前記ＶＸＬＡＮトンネルの反対側に存在する前記ＢＲＡＳＣＰ設備へ送信することにより、前記ＢＲＡＳ ＣＰ設備が、前記ＶＸＬＡＮカプセル化内の前記ＶＸＬＡＮ ＩＤに基づいて、前記ユーザアクセスポートに対応するポート情報を、前記ＢＲＡＳ ＤＰ設備からの以前の前記ポート情報において検索することと、を含むことを特徴とする認証方法。
【請求項７】
前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤを特定することは、
前記ＢＲＡＳ ＤＰ設備が、前記ユーザアクセスポートに関連付けられた仮想インターフェース（ＶＳＩ）を特定することと、
前記ＢＲＡＳ ＤＰ設備が、前記ＶＳＩに対応するＶＸＬＡＮ ＩＤを前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤとして特定することと、を含むことを特徴とする請求項６に記載の認証方法。
【請求項８】
前記ＢＲＡＳ ＤＰ設備がＶＸＬＡＮトンネルコンフィグレーションおよび第１ＶＳＩ作成指令を受信し、前記ＶＸＬＡＮトンネルコンフィグレーションおよび前記第１ＶＳＩ作成指令は、ユーザ制御マネージメント（ＵＣＭ）ネットワーク要素が、前記ユーザアクセスポートを配置してＢＲＡＳサービスをイネーブルするという命令を受信したときに配信したものであり、前記第１ＶＳＩ作成指令は、前記ＢＲＡＳ ＤＰ設備が前記ユーザアクセスポートに関連付けられた、且つ前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを作成するよう指示するために用いられることと、
前記ＢＲＡＳ ＤＰ設備が、前記ＶＸＬＡＮトンネルコンフィグレーションに基づいて前記ＶＸＬＡＮトンネルを作成することと、
前記ＢＲＡＳ ＤＰ設備が、前記第１ＶＳＩ作成指令に基づいて前記ＶＳＩを作成することと、を更に含むことを特徴とする請求項６に記載の認証方法。
【請求項９】
前記ＢＲＡＳ ＤＰ設備が前記ユーザアクセスポートのポート情報をユーザ制御マネージメント（ＵＣＭ）ネットワーク要素へ報告することにより、前記ＵＣＭネットワーク要素に、前記ＶＸＬＡＮ ＩＤに対応する前記ユーザアクセスポートのポート情報を前記ＢＲＡＳ ＣＰ設備へ送信させることを更に含むことを特徴とする請求項６に記載の認証方法。
【請求項１０】
前記ユーザアクセスポートのポート情報は、
前記ユーザアクセスポートの所在するサブスロット番号、
前記サブスロット番号の所属するスロット番号、
前記ユーザアクセスポートのポート番号、
および前記ユーザアクセスポートのタイプを含むことを特徴とする請求項９に記載の認証方法。
【請求項１１】
ブロードバンドリモートアクセスサーバ（ＢＲＡＳ）転送・制御分離アーキテクチャにおけるＢＲＡＳ制御プレーン（ＣＰ）設備に用いられる認証装置であって、
受信モジュールと処理モジュールとを備え、
前記受信モジュールは、前記ＢＲＡＳ転送・制御分離アーキテクチャにおけるＢＲＡＳデータプレーン（ＤＰ）設備との間のＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された制御パケットを受信し、前記ＶＸＬＡＮカプセル化は、前記ＢＲＡＳ ＤＰ設備によって決定されたＶＸＬＡＮ ＩＤおよび前記ＶＸＬＡＮ ＩＤに関連する前記ＶＸＬＡＮトンネルに基づいて前記制御パケット上で前記ＢＲＡＳ ＤＰ設備によって生成されたものであり、前記ＶＸＬＡＮ ＩＤは前記ＶＸＬＡＮカプセル化において搬送され、
前記処理モジュールは、前記制御パケットがユーザを認証するためのパケットであることを検出した場合に、前記ＶＸＬＡＮカプセルにおけるＶＸＬＡＮ ＩＤに対応するユーザアクセスポートのポート情報を前記ＢＲＡＳ ＣＰ設備において検索し、前記ポート情報は以前の前記ＢＲＡＳ ＤＰ設備からのものであり、前記ポート情報と前記制御パケットに付加される前記ユーザの身分情報とを認証サーバへ送信して認証させ、
前記ユーザアクセスポートは、前記ＢＲＡＳ ＤＰ設備に存在することを特徴とする認証装置。
【請求項１２】
前記処理モジュールは、更に、
ユーザ制御マネージメント（ＵＣＭ）ネットワーク要素から配信された前記ポート情報を受信し、前記ＢＲＡＳ ＣＰ設備で作成された、前記ＶＸＬＡＮ ＩＤに対応する仮想インターフェース（ＶＳＩ）に前記ポート情報を配置することを特徴とする請求項１１に記載の認証装置。
【請求項１３】
前記処理モジュールが前記ＶＸＬＡＮ ＩＤに対応するポート情報を前記ＢＲＡＳ ＣＰ設備において検索することは、具体的に、
前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを前記ＢＲＡＳ ＣＰ設備の全てのＶＳＩから検索することと、
当該検索したＶＳＩに配置されている前記ポート情報を、前記ＶＸＬＡＮ ＩＤに対応するポート情報として特定することと、を含むことを特徴とする請求項１２に記載の認証装置。
【請求項１４】
ブロードバンドリモートアクセスサーバ（ＢＲＡＳ）転送・制御分離アーキテクチャにおけるＢＲＡＳデータプレーン（ＤＰ）設備に用いられる認証装置であって、
ユーザポートモジュールと送信モジュールとを備え、
前記ユーザポートモジュールは、前記ＢＲＡＳ ＤＰ設備におけるユーザアクセスポートを介して、ユーザ設備から送信された、ユーザを認証するための制御パケットを受信し、前記ＢＲＡＳ ＤＰ設備とＢＲＡＳ制御プレーン（ＣＰ）設備との間にＶＸＬＡＮトンネルを作成し、前記ユーザアクセスポートに対応しかつ前記ＶＸＬＡＮトンネルに関連付けられたＶＸＬＡＮ ＩＤを特定し、
前記送信モジュールは、前記ＶＸＬＡＮ ＩＤと前記ＶＸＬＡＮ ＩＤに関連付けられたＶＸＬＡＮトンネルとに基づいて、前記制御パケットに対してＶＸＬＡＮカプセル化を行い、前記ＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された前記制御パケットを、前記ＶＸＬＡＮトンネルの反対側に存在する前記ＢＲＡＳ ＣＰ設備へ送信することにより、前記ＢＲＡＳ ＣＰ設備が、前記ＶＸＬＡＮカプセル化内の前記ＶＸＬＡＮ ＩＤに基づいて、前記ユーザアクセスポートに対応するポート情報を、前記ＢＲＡＳ ＤＰ設備からの以前の前記ポート情報において検索し、
前記ＶＸＬＡＮカプセルには、前記ＶＸＬＡＮ ＩＤが付加されていることを特徴とする認証装置。
【請求項１５】
前記ユーザポートモジュールが前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤを特定する際、
前記ユーザアクセスポートに関連付けられた仮想インターフェース（ＶＳＩ）を特定し、
前記ＶＳＩに対応するＶＸＬＡＮ ＩＤを前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤとして特定することを特徴とする請求項１４に記載の認証装置。
【請求項１６】
当該認証装置は、作成モジュールを更に備え、
前記作成モジュールは、ＶＸＬＡＮトンネルコンフィグレーションおよび第１ＶＳＩ作成指令を受信し、前記ＶＸＬＡＮトンネルコンフィグレーションおよび前記第１ＶＳＩ作成指令は、ユーザ制御マネージメント（ＵＣＭ）ネットワーク要素が、前記ユーザアクセスポートを配置してＢＲＡＳサービスをイネーブルするという命令を受信したときに配信したものであり、前記第１ＶＳＩ作成指令は、前記ＢＲＡＳ ＤＰ設備が前記ユーザアクセスポートに関連付けられた、且つ前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを作成するよう指示するために用いられ、
前記作成モジュールは、
前記ＶＸＬＡＮトンネルコンフィグレーションに基づいて前記ＶＸＬＡＮトンネルを作成し、
前記第１ＶＳＩ作成指令に基づいて前記ＶＳＩを作成することを特徴とする請求項１４に記載の認証装置。
【請求項１７】
前記送信モジュールは、更に、前記ユーザアクセスポートのポート情報をユーザ制御マネージメント（ＵＣＭ）ネットワーク要素へ報告することにより、前記ＵＣＭネットワーク要素に、前記ＶＸＬＡＮ ＩＤに対応する前記ユーザアクセスポートのポート情報を前記ＢＲＡＳ ＣＰ設備へ送信させ、
前記ユーザアクセスポートのポート情報は、前記ユーザアクセスポートの所在するサブスロット番号、前記サブスロット番号の所属するスロット番号、前記ユーザアクセスポートのポート番号、および前記ユーザアクセスポートのタイプを含むことを特徴とする請求項１４に記載の認証装置。
【請求項１８】
ブロードバンドリモートアクセスサーバ（ＢＲＡＳ）転送・制御分離アーキテクチャにおけるＢＲＡＳ制御プレーン（ＣＰ）設備に用いられる認証装置であって、
機械実行可能な指令が記憶される非一時的機械可読記憶媒体と、
プロセッサと、を備え、
前記プロセッサは、前記機械実行可能な指令を実行することにより、
前記ＢＲＡＳ転送・制御分離アーキテクチャにおけるＢＲＡＳデータプレーン（ＤＰ）設備との間のＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された制御パケットを受信することを備え、前記ＶＸＬＡＮカプセル化は、前記ＢＲＡＳ ＤＰ設備によって決定されたＶＸＬＡＮ ＩＤおよび前記ＶＸＬＡＮ ＩＤに関連する前記ＶＸＬＡＮトンネルに基づいて前記制御パケット上で前記ＢＲＡＳ ＤＰ設備によって生成されたものであり、前記ＶＸＬＡＮ ＩＤは前記ＶＸＬＡＮカプセル化において搬送され、
前記制御パケットがユーザを認証するためのパケットである場合に、前記ＶＸＬＡＮカプセルにおけるＶＸＬＡＮ ＩＤに対応するユーザアクセスポートのポート情報を前記ＢＲＡＳ ＣＰ設備において検索し、前記ポート情報は以前の前記ＢＲＡＳ ＤＰ設備からのものであり、前記ユーザアクセスポートは、前記ＢＲＡＳ ＤＰ設備に存在することと、
前記ポート情報と前記制御パケットに付加される前記ユーザの身分情報とを認証サーバへ送信して認証させることと、を実施させることを特徴とする認証装置。
【請求項１９】
前記プロセッサは、更に、前記機械実行可能な指令により、
ユーザ制御マネージメント（ＵＣＭ）ネットワーク要素から配信された前記ポート情報を受信することと、
前記ＢＲＡＳ ＣＰ設備で作成された、前記ＶＸＬＡＮ ＩＤに対応する仮想インターフェース（ＶＳＩ）に前記ポート情報を配置することと、を実施させることを特徴とする請求項１８に記載の認証装置。
【請求項２０】
前記ＶＸＬＡＮ ＩＤに対応するポート情報を前記ＢＲＡＳ ＣＰ設備において検索する際には、前記プロセッサは、前記機械実行可能な指令により、
前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを前記ＢＲＡＳ ＣＰ設備の全てのＶＳＩから検索することと、
当該検索したＶＳＩに配置されている前記ポート情報を前記ＶＸＬＡＮ ＩＤに対応するポート情報として特定することと、を実施させることを特徴とする請求項１９に記載の認証装置。
【請求項２１】
ブロードバンドリモートアクセスサーバ（ＢＲＡＳ）転送・制御分離アーキテクチャにおけるＢＲＡＳデータプレーン（ＤＰ）設備に用いられる認証装置であって、
機械実行可能な指令が記憶される非一時的機械可読記憶媒体と、
プロセッサと、を備え、
前記プロセッサは、前記機械実行可能な指令を実行することにより、
前記ＢＲＡＳ ＤＰ設備におけるユーザアクセスポートを介して、ユーザ設備から送信された、ユーザを認証するための制御パケットを受信し、前記ＢＲＡＳ ＤＰ設備とＢＲＡＳ制御プレーン（ＣＰ）設備との間にＶＸＬＡＮトンネルを作成し、前記ユーザアクセスポートに対応しかつ前記ＶＸＬＡＮトンネルに関連付けられたＶＸＬＡＮ ＩＤを特定することと、
前記ＶＸＬＡＮ ＩＤと前記ＶＸＬＡＮ ＩＤに関連付けられたＶＸＬＡＮトンネルとに基づいて、前記制御パケットに対してＶＸＬＡＮカプセル化を行い、前記ＶＸＬＡＮカプセルには、前記ＶＸＬＡＮ ＩＤが付加されていることと、
前記ＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された前記制御パケットを、前記ＶＸＬＡＮトンネルの反対側に存在する前記ＢＲＡＳＣＰ設備へ送信することにより、前記ＢＲＡＳ ＣＰ設備が、前記ＶＸＬＡＮカプセル化内の前記ＶＸＬＡＮ ＩＤに基づいて、前記ユーザアクセスポートに対応するポート情報を、前記ＢＲＡＳ ＤＰ設備からの以前の前記ポート情報において検索することと、を実施させることを特徴とする認証装置。
【請求項２２】
前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤを特定する際には、前記プロセッサは、前記機械実行可能な指令により、
前記ユーザアクセスポートに関連付けられた仮想インターフェース（ＶＳＩ）を特定することと、
前記ＶＳＩに対応するＶＸＬＡＮ ＩＤを前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤとして特定することと、を実施させることを特徴とする請求項２１に記載の認証装置。
【請求項２３】
前記プロセッサは、更に、前記機械実行可能な指令により、
ＶＸＬＡＮトンネルコンフィグレーションおよび第１ＶＳＩ作成指令を受信し、前記ＶＸＬＡＮトンネルコンフィグレーションおよび前記第１ＶＳＩ作成指令は、ユーザ制御マネージメント（ＵＣＭ）ネットワーク要素が、前記ユーザアクセスポートを配置してＢＲＡＳサービスをイネーブルするという命令を受信したときに配信したものであり、前記第１ＶＳＩ作成指令は、前記ＢＲＡＳ ＤＰ設備が前記ユーザアクセスポートに関連付けられた、且つ前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを作成するよう指示するために用いられることと、
前記ＶＸＬＡＮトンネルコンフィグレーションに基づいて前記ＶＸＬＡＮトンネルを作成することと、
前記第１ＶＳＩ作成指令に基づいて前記ＶＳＩを作成することと、を実施させることを特徴とする請求項２１に記載の認証装置。
【請求項２４】
前記プロセッサは、更に、前記機械実行可能な指令により、
前記ユーザアクセスポートのポート情報をユーザ制御マネージメント（ＵＣＭ）ネットワーク要素へ報告することにより、前記ＵＣＭネットワーク要素に、前記ＶＸＬＡＮ ＩＤに対応する前記ユーザアクセスポートのポート情報を前記ＢＲＡＳ ＣＰ設備へ送信させることを実施させ、
前記ユーザアクセスポートのポート情報は、前記ユーザアクセスポートの所在するサブスロット番号、前記サブスロット番号の所属するスロット番号、前記ユーザアクセスポートのポート番号、および前記ユーザアクセスポートのタイプを含むことを特徴とする請求項２１に記載の認証装置。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願の相互引用］
本願は、出願日が２０１７年８月３日であり、出願番号が２０１７１０６５５４９１．７であり、発明名称が「認証方法および装置」である中国特許出願の優先権を主張し、当該出願の全文が引用により本願に組み込まれる。
【背景技術】
【０００２】
本発明は、ブロードバンドリモートアクセスサーバ（ＢＲＡＳ：Ｂｒｏａｄｂａｎｄ Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ）の、転送機能と制御機能とを互いに分離するアーキテクチャでの認証に関する。
【０００３】
「集中的な制御、効率的な転送、簡単なインタラクション、柔軟・拡張可能」の原則に従い、ＢＲＡＳの転送機能と制御機能とを互いに分離（以下では、「転送・制御分離」とも略称されてもよい）することにより、高いリソース利用率、動的伸縮可能性、インターフェース標準化の新型メトロポリタンエリアネットワークを実現する。
【０００４】
ＢＲＡＳ転送・制御分離のアーキテクチャには、主にＢＲＡＳ制御プレーン（ＣＰ：Ｃｏｎｔｒｏｌ Ｐｌａｎｅ）設備およびＢＲＡＳデータプレーン（ＤＰ：Ｄａｔａ Ｐｌａｎｅ）設備がある。ＢＲＡＳ ＣＰ設備は、主に制御機能、例えば、ユーザセッション管理、パケット制御の処理、外部サービスシステム（例えば、認証サーバ）とのインタラクション、アドレスプール管理及び割当等を担う。ＢＲＡＳ ＤＰ設備は、主に転送機能の処理、例えば、制御パケットとデータパケットとの区分、制御パケットのＢＲＡＳ ＣＰ設備への送信、仮想拡張可能ローカルエリアネットワーク（ＶＸＬＡＮ：Ｖｉｒｔｕａｌ ｅＸｔｅｎｓｉｂｌｅ ＬＡＮ）のカプセル化・デカプセル化、データパケット転送、ユーザのサービス品質（ＱｏＳ：Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）に基づくポリシー処理等を担う。
【図面の簡単な説明】
【０００５】
【図１】ＢＲＡＳ転送・制御分離アーキテクチャの模式図である。
【図２】プライベートヘッダを追加することでユーザアクセスポートのポート情報を付加する制御パケットの構造の模式図である。
【図３】本発明に係るＢＲＡＳ ＤＰ設備側においてユーザ認証を行う方法の模式的なフローチャートである。
【図３Ａ】図３に示す方法におけるステップ３０２の模式的なフローチャートである。
【図３Ｂ】ＢＲＡＳ ＤＰ設備がＶＸＬＡＮトンネルおよびＶＳＩを作成する模式的なフローチャートである。
【図４】本発明に係るＢＲＡＳ ＣＰ設備側においてユーザ認証を行う方法の模式的なフローチャートである。
【図４Ａ】ＢＲＡＳ ＣＰ設備がＶＸＬＡＮトンネルおよびＶＳＩを作成する模式的なフローチャートである。
【図５】本発明に係る実施例の模式図である。
【図６】本発明に係る装置構造の模式図である。
【図７】本発明に係る図６に示す装置のハードウェア構造の模式図である。
【図８】本発明に係る別の装置構造の模式図である。
【発明を実施するための形態】
【０００６】
図１は、ＢＲＡＳ転送・制御分離アーキテクチャを簡単に示す模式図である。具体的な応用時に、ＢＲＡＳ転送・制御分離アーキテクチャには、複数のＢＲＡＳ ＤＰ設備および複数のＢＲＡＳ ＣＰ設備があってもよい。図１は、単に、１つのＢＲＡＳ ＤＰ設備１１０および１つのＢＲＡＳ ＣＰ設備１２０を例とし、ＢＲＡＳ ＤＰ設備１１０およびＢＲＡＳ ＣＰ設備１２０が如何にやり取りしてユーザ認証を完成するかを概略的に示す。
【０００７】
図１に示すように、ＢＲＡＳ ＤＰ設備１１０は、ユーザ設備からの認証要求パケットを受信し、当該認証要求パケットが制御パケットであると認識した場合に、当該認証要求パケットを対応するＢＲＡＳ ＣＰ設備１２０へ送信する。認証要求パケットには、ユーザ身分に関する情報、例えばユーザ名、パスワードが付加されている。
【０００８】
ＢＲＡＳ ＣＰ設備１２０は、認証要求パケットに付加されるユーザ身分に関する情報、例えばユーザ名およびパスワードを認証サーバ２００へ送信する。認証サーバ２００は、受信されたユーザ身分に関する情報を、予めローカルに配置された前記ユーザ設備のユーザ身分に関する情報と照合し、合致すれば、認証通過と見なす。それ相応に、認証サーバ２００は、認証通過を指示するための制御応答パケットをＢＲＡＳ ＣＰ設備１２０へ返信し、ＢＲＡＳ ＣＰ設備１２０は、制御応答パケットをＢＲＡＳ ＤＰ設備１１０へ返信する。最終的に、制御応答パケットは、ＢＲＡＳ ＤＰ設備１１０からユーザ設備へ転送される。認証が通過した後、ＢＲＡＳ ＣＰ設備１２０は、ユーザフローテーブルをＢＲＡＳ ＤＰ設備１１０へ配信する。後で、ユーザ設備から送信されたデータパケットは、ＢＲＡＳ ＣＰ設備１２０を経由せず、ＢＲＡＳ ＤＰ設備１１０が受信されたユーザフローテーブルに基づいて転送するものである。
【０００９】
ユーザ認証手順において、ユーザ身分に関する情報を認証する以外、ＢＲＡＳ ＤＰ設備におけるユーザ設備へアクセスためのポート（以下では、「ユーザアクセスポート」と略称してもよい）のポート情報もよく認証する。このように、ＢＲＡＳ ＤＰ設備における指定ポートにアクセスした指定ユーザのみに対して、オンラインが許容され（以下では、「ユーザのアクセス制限」とも呼称されてもよい）、ユーザが非登録位置においてネットワークへアクセスすることは回避される。しかし、図１に示すＢＲＡＳ転送・制御分離アーキテクチャにおいて、ＢＲＡＳ ＣＰ設備１２０が認証サーバ２００とのインタラクションを担う。一方、上記ユーザアクセスポートのポート情報がＢＲＡＳ ＤＰ設備１１０に存在するが、ＢＲＡＳ ＣＰ設備１２０に存在しないし、ユーザ設備から送信された認証要求パケットに付加されていないため、ＢＲＡＳ ＣＰ設備１２０が上記ユーザアクセスポートのポート情報を取得できなくなり、ユーザのアクセス制限も実現できない。
【００１０】
ユーザのアクセス制限を実現するために、一実施例として、ＢＲＡＳ ＤＰ設備からＢＲＡＳ ＣＰ設備へ送信される制御パケットに１つのプライベートヘッダを追加する。図２は、制御パケットに追加されたプライベートヘッダの構造を例示する。当該プライベートヘッダには、上記ユーザアクセスポートのポート情報が付加されている。このように、ＢＲＡＳ ＣＰ設備は、受信された制御パケットのプライベートヘッダに付加されるユーザアクセスポートのポート情報も認証サーバへ送信して認証させ、ユーザのアクセス制限を実現することができる。
【００１１】
しかし、プライベートヘッダが標準なものではないし、ＢＲＡＳ ＤＰ設備がスイッチングチップを転送用の重要な構成として用いるときに、ハードウェアでプライベートヘッダの増減を自動的に実施できず、ＣＰＵでしか処理できないため、処理効率が大きく影響され、ユーザのオンラインの速度が明らかに低減する恐れがある。
【００１２】
本発明の別の実施例として、本発明は、ユーザアクセス制限を実施するもう１つの方法を更に提供する。
【００１３】
図３を参照すると、図３は、本発明に係る方法フローチャートである。当該フローは、ＢＲＡＳ ＤＰ設備に適用され、以下のステップを含む。
【００１４】
ステップ３０１では、ＢＲＡＳ ＤＰ設備は、ローカルのユーザアクセスポートを介して、ユーザ設備から送信された、ユーザを認証するための制御パケットを受信する。
【００１５】
本発明では、ＢＲＡＳ ＤＰ設備は、ローカルのユーザアクセスポートを介してユーザ設備からのパケットを受信したときに、当該パケットにおけるパケットタイプフィールドに基づいて、当該パケットが制御パケットであるかそれともデータパケットであるかを特定する。当該パケットが制御パケットであると特定されたときに、当該パケットがユーザに対する認証のためのものであることを意味し、ステップ３０２を実行する。当該パケットがデータパケットであると特定されたときに、当業者でよく知られるデータパケット転送フローに従って実行する。本発明では、具体的に限定しない。
【００１６】
ステップ３０２では、ＢＲＡＳ ＤＰ設備は、ユーザアクセスポートに対応するＶＸＬＡＮ 識別子ＩＤを特定する。
【００１７】
ステップ３０３では、ＢＲＡＳ ＤＰ設備は、前記ＶＸＬＡＮ ＩＤと、前記ＶＸＬＡＮ ＩＤに関連付けられた、本ＢＲＡＳ ＤＰ設備とＢＲＡＳ ＣＰ設備との間のＶＸＬＡＮトンネルに基づいて、前記制御パケットに対してＶＸＬＡＮカプセル化を行う。前記ＶＸＬＡＮカプセルには、前記ＶＸＬＡＮ ＩＤが付加されている。
【００１８】
ステップ３０４では、ＢＲＡＳ ＤＰ設備は、前記ＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された前記制御パケットを前記ＢＲＡＳ ＣＰ設備へ送信する。
【００１９】
一実施例として、図３Ａに示すように、ＢＲＡＳ ＤＰ設備がユーザアクセスポートに対応するＶＸＬＡＮ ＩＤを特定することは、以下のステップ３０２ａ１およびステップ３０２ａ２を含んでもよい。
【００２０】
ステップ３０２ａ１では、ＢＲＡＳ ＤＰ設備は、前記ユーザアクセスポートに関連付けられた仮想インターフェース（ＶＳＩ：Ｖｉｒｔｕａｌ Ｓｗｉｔｃｈ Ｉｎｔｅｒｆａｃｅ）を特定する。
【００２１】
本発明では、ユーザアクセスポートに関連付けられたＶＳＩは、ＢＲＡＳ ＤＰ設備が動的に作成したものであり、１つのＶＳＩは、１つのＶＸＬＡＮ ＩＤに唯一に対応する。
【００２２】
ステップ３０２ａ２では、ＢＲＡＳ ＤＰ設備は、前記ＶＳＩに対応するＶＸＬＡＮ ＩＤを前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤとして特定する。
【００２３】
これで、ステップ３０２ａ１およびステップ３０２ａ２にて、ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤを特定する。
【００２４】
一実施例として、図３に示すフローを実行する前に、図３Ｂに示す以下のステップを含んでもよい。
【００２５】
ステップ３００ｂ１では、ＢＲＡＳ ＤＰ設備は、ユーザ制御マネージメント（ＵＣＭ：Ｕｓｅｒ Ｃｏｎｔｒｏｌ Ｍａｎａｇｅｍｅｎｔ）ネットワーク要素が、前記ユーザアクセスポートを配置してＢＲＡＳサービスをイネーブルするという命令を受信したときに配信したＶＸＬＡＮトンネルコンフィグレーションおよび第１ＶＳＩ作成指令を受信する。前記第１ＶＳＩ作成指令は、前記ＢＲＡＳ ＤＰ設備が前記ユーザアクセスポートに関連付けられた、且つ前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを作成するよう指示するために用いられる。
【００２６】
ステップ３００ｂ２では、ＢＲＡＳ ＤＰ設備は、前記ＶＸＬＡＮトンネルコンフィグレーションに基づいて前記ＶＸＬＡＮトンネルを作成する。
【００２７】
ステップ３００ｂ３では、ＢＲＡＳ ＤＰ設備は、前記第１ＶＳＩ作成指令に基づいて前記ＶＳＩを作成する。
【００２８】
ステップ３００ｂ１〜ステップ３００ｂ３にて、上記ＶＳＩ、ＶＸＬＡＮトンネルの確立を実現する。図３Ｂに、ステップ３００ｂ１においてＶＸＬＡＮトンネルコンフィグレーションを第１ＶＳＩ作成指令とともに送信することが示されたが、当業者であれば理解できるように、ＶＸＬＡＮトンネルコンフィグレーションを第１ＶＳＩ作成指令と別々で送信してもよい。例えば、ＶＸＬＡＮトンネルコンフィグレーションを送信してから第１ＶＳＩ作成指令を送信し、または第１ＶＳＩ作成指令を送信してからＶＸＬＡＮトンネルコンフィグレーションを送信する。
【００２９】
本発明の実施例の応用では、１つのＶＸＬＡＮトンネルが複数の異なるＶＸＬＡＮ ＩＤに同時に関連付けることができるが、１つのＶＸＬＡＮ ＩＤが１つのＶＸＬＡＮトンネルに唯一に関連付けられる。上記ＶＸＬＡＮ ＩＤに関連付けられたＶＸＬＡＮトンネルが複数のＶＸＬＡＮ ＩＤに同時に関連付けられるとすれば、上記ステップ３０３においてＶＸＬＡＮ ＩＤと前記ＶＸＬＡＮ ＩＤに関連付けられたＶＸＬＡＮトンネルとに基づいて、前記制御パケットに対してＶＸＬＡＮカプセル化を行うとき、ＶＸＬＡＮカプセルにおけるＶＮＩフィールドには、前記ＶＸＬＡＮ ＩＤが付加され、ＶＸＬＡＮカプセルにおけるトンネルソースアドレスは、ＢＲＡＳ ＤＰ設備のＩＰアドレスであり、トンネル宛先アドレスは、ＢＲＡＳ ＣＰ設備のＩＰアドレスである。
【００３０】
ＵＣＭネットワーク要素は、ＢＲＡＳ転送・制御分離アーキテクチャにおけるＢＲＡＳ ＣＰ設備、ＢＲＡＳ ＤＰ設備を配置して管理する。例えば、ＵＣＭネットワーク要素は、統一のユーザインターフェース（ＵＩ：Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）においてＢＲＡＳ転送・制御分離アーキテクチャにおけるＢＲＡＳ ＣＰ設備、ＢＲＡＳ ＤＰ設備を配置して管理する。図５に示すネットワーキングでは、ＵＣＭネットワーク要素、ＢＲＡＳ ＣＰ設備、ＢＲＡＳ ＤＰ設備の接続構造が例示されている。
【００３１】
これで、図３に示すフローは完了する。
本発明の１つの例示では、ＢＲＡＳ ＤＰ設備は、更に、ＵＣＭネットワーク要素へ上記ユーザアクセスポートのポート情報を報告してもよい、このように、前記ＵＣＭネットワーク要素が前記ＶＸＬＡＮ ＩＤに対応する前記ユーザアクセスポートのポート情報を前記ＢＲＡＳ ＣＰ設備へ送信する。前記ユーザアクセスポートのポート情報は、前記ユーザアクセスポートの所在するサブスロット番号、前記サブスロット番号の所属するスロット番号、ポート番号、およびポートタイプを含む。後文では、ＢＲＡＳ ＣＰ設備が如何に当該ユーザアクセスポートのポート情報を取得して認証サーバへ送信して認証させるかを記述する。
【００３２】
ＢＲＡＳ ＤＰ設備がＶＸＬＡＮトンネルを介してＶＸＬＡＮカプセル化された制御パケットを転送した後、当該ＢＲＡＳ ＤＰ設備とは前記ＶＸＬＡＮトンネルを確立したＢＲＡＳ ＣＰ設備は、前記ＶＸＬＡＮトンネルを介して当該ＶＸＬＡＮカプセル化された制御パケットを受信し、図４に示すフローを実行する。
【００３３】
図４を参照すると、図４は、本発明に係る別の方法フローチャートであり、当該フローは、ＢＲＡＳ ＣＰ設備に用いられる。図４に示すように、当該フローは、以下のステップを含んでもよい。
【００３４】
ステップ４０１では、ＢＲＡＳ ＣＰ設備は、ＢＲＡＳ ＤＰ設備との間のＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された制御パケットを受信する。
【００３５】
ステップ４０２では、ＢＲＡＳ ＣＰ設備は、前記制御パケットがユーザを認証するためのパケットであるか否かを判断する。前記制御パケットがユーザを認証するためのパケットであることを検出した場合に、ステップ４０３を引き続き実行する。
【００３６】
一実施例として、パケット属性フィールドに基づいて、制御パケットがユーザを認証するためのパケットであるか否かをチェックする。
【００３７】
ステップ４０３では、ＢＲＡＳ ＣＰ設備は、前記ＶＸＬＡＮカプセルにおけるＶＸＬＡＮ ＩＤに対応する、前記ＢＲＡＳ ＤＰ設備におけるユーザアクセスポートのポート情報をローカルに検索する。
【００３８】
ステップ４０４では、ＢＲＡＳ ＣＰ設備は、前記ユーザアクセスポートのポート情報と、前記制御パケットに付加されるユーザ身分情報とを認証サーバへ送信して認証させる。
【００３９】
ここでのポート情報は、上述したＢＲＡＳ ＤＰ設備から報告された、ＢＲＡＳ ＤＰ設備における上記ユーザ設備へアクセスするためのポートのポート情報であり、ＵＣＭネットワーク要素が動的にＢＲＡＳ ＣＰ設備に配置したものである。一実施例として、上記ポート情報は、指定フォーマットで文字列を構築し、認証文字列と略称される。ここでの指定フォーマットは、認証サーバによって便利に認識されるためのフォーマットである。ポート情報が指定ポートの所在するサブスロット番号、前記サブスロット番号の所属するスロット番号、ポート番号およびポートタイプを含むことを例とすると、ポート情報が指定フォーマットで構築した認証文字列は以下のように例が挙げられる。
【００４０】
ユーザアクセスポートの所在するサブスロット番号／サブスロット番号の所属するスロット番号／ユーザアクセスポートのポート番号／ポートタイプ。
【００４１】
字符「／」は、接続記号を表す。
これで、図４に示すフローは完了する。
【００４２】
図４に示すフローでは、上記ステップ４０３において、ＢＲＡＳ ＣＰ設備は、前記ＶＸＬＡＮカプセルのうちのＶＸＬＡＮ ＩＤに対応する、前記ＢＲＡＳ ＤＰ設備におけるユーザアクセスポートのポート情報をローカルに検索する前に、図４Ａに示すように以下のステップを実行する。
【００４３】
ステップ４００ｃ１では、ＢＲＡＳ ＣＰ設備は、ＵＣＭネットワーク要素から配信された前記ポート情報を受信し、ローカルに作成された、前記ＶＸＬＡＮ ＩＤに対応するＶＳＩに前記ポート情報を配置する。
【００４４】
ステップ４００ｃ１、ステップ４０３において、ＢＲＡＳ ＣＰ設備が前記ＶＸＬＡＮカプセルにおけるＶＸＬＡＮ ＩＤに対応する、前記ＢＲＡＳ ＤＰ設備におけるユーザアクセスポートのポート情報をローカルに検索することは、前記ＶＸＬＡＮ ＩＤに対応するＶＳＩをローカルの全てのＶＳＩから検索することと、当該検索したＶＳＩに配置されている前記ポート情報を、前記ＶＸＬＡＮ ＩＤに対応する、前記ＢＲＡＳ ＤＰ設備におけるユーザアクセスポートのポート情報として特定することと、を含む。
【００４５】
一実施例として、本発明では、ＢＲＡＳ ＣＰ設備は、ステップ４００ｃ１の前に、図４Ａに示すように、以下のステップを実行する。
【００４６】
ステップ４００ｄ１では、ＢＲＡＳ ＣＰ設備は、前記ＵＣＭネットワーク要素が、前記ＢＲＡＳ ＤＰ設備における前記ユーザアクセスポートを配置してＢＲＡＳサービスをイネーブルするという命令を受信したときに配信したＶＸＬＡＮトンネルコンフィグレーションを受信する。
【００４７】
ステップ４００ｄ２では、ＢＲＡＳ ＣＰ設備は、前記ＶＸＬＡＮトンネルコンフィグレーションに基づいて前記ＶＸＬＡＮトンネルを作成する。
【００４８】
ステップ４００ｄ３では、ＢＲＡＳ ＣＰ設備は、前記ＵＣＭネットワーク要素から配信された第２ＶＳＩ作成指令を受信する。前記第２ＶＳＩ作成指令は、ＢＲＡＳ ＣＰ設備が前記ＶＸＬＡＮ ＩＤに対応するＶＳＩの指令を作成するよう指示するために用いられる。
【００４９】
ステップ４００ｄ４では、ＢＲＡＳ ＣＰ設備は、前記第２ＶＳＩ作成指令に基づいて前記ＶＳＩを作成する。
【００５０】
ステップ４００ｄ１〜ステップ４００ｄ２にて、前記ＶＸＬＡＮ ＩＤに対応するＶＳＩ、およびＢＲＡＳ ＣＰ設備〜ＢＲＡＳ ＤＰ設備のＶＸＬＡＮトンネルをＢＲＡＳ ＣＰ設備に作成することが実現でき、且つ作成されたＶＸＬＡＮトンネルが上記ＶＸＬＡＮ ＩＤに関連付けられる。図４Ａは、先にステップ４００ｄ１においてＶＸＬＡＮトンネルコンフィグレーションを送信し、ステップ４００ｄ３において第２ＶＳＩ作成指令を送信することを示したが、当業者であれば理解できるように、第２ＶＳＩ作成指令を先に送信し、それからＶＸＬＡＮトンネルコンフィグレーションを送信してもよく、引いてはＶＸＬＡＮトンネルコンフィグレーションを第２ＶＳＩ作成指令とともに送信してもよい。
【００５１】
図３、図４に示すフローから分かるように、本発明では、ＶＸＬＡＮ ＩＤによってＢＲＡＳ ＤＰ設備におけるユーザアクセスポートのポート情報を暗示的にマークする。これにより、ユーザアクセスポートのポート情報がユーザ身分情報とともにユーザの認証に関与し、ユーザのアクセス制限は実現される。
【００５２】
また、本発明では、ＢＲＡＳ ＣＰ設備とＢＲＡＳ ＤＰ設備との間のパケット伝送は、標準ＶＸＬＡＮカプセル化が使用され、プライベートヘッダを別途追加してユーザアクセスポートのポート情報を付加する必要がない。このように、ＢＲＡＳ ＤＰ設備は、機能が相対的に簡単であるが値段が安価であるスイッチングチップを用いてユーザのアクセス制限を実現できる。
【００５３】
また、本発明では、ＢＲＡＳ ＤＰ設備におけるユーザアクセスポートのポート情報に対する認証が実現されつつ、認証サーバ（例えば、ＡＡＡサーバ）に対してなんの改良もする必要がないため、実施が相対的に簡単になる。
【００５４】
以下では、１つの実施例を組み合わせて図３、図４に示すフローを説明する。
図５を参照すると、図５は、本発明に係る実施例応用ネットワーキング図である。図５は、２つのＢＲＡＳ ＣＰ設備５２１、５２２を例示する。図５は、更に、３つのＢＲＡＳ ＤＰ設備５３１、５３２、５３３を例示する。
【００５５】
図５において、ＢＲＡＳ ＤＰ設備５３１、ＢＲＡＳ ＤＰ設備５３２、ＢＲＡＳ ＤＰ設備５３３は、それぞれ図５に示すＵＣＭネットワーク要素１００へローカルのユーザアクセスポートのポート情報を報告する。図５は、単に、ＢＲＡＳ ＤＰ設備５３１がＵＣＭネットワーク要素１００へローカルのユーザアクセスポートのポート情報を報告することを示す。
【００５６】
図５において、ＵＣＭネットワーク要素１００は、ＵＩを提供する。当該ＵＩには、ＢＲＡＳ ＣＰ設備５２１、ＢＲＡＳ ＣＰ設備５２２のコンフィグレーションオプションがあるし、ＢＲＡＳ ＤＰ設備５３１、ＢＲＡＳ ＤＰ設備５３２、ＢＲＡＳ ＤＰ設備５３３のコンフィグレーションオプションもある。
【００５７】
ＢＲＡＳ ＤＰ設備５３１を例とすると、ＢＲＡＳ ＤＰ設備５３２とＢＲＡＳ ＤＰ設備５３３とが類似する。ユーザは、サービス需要に応じて、ＵＩに示すＢＲＡＳ ＤＰ設備５３１のコンフィグレーションオプションにおいて、ＢＲＡＳ ＤＰ設備５３１のユーザアクセスポートに対してサービスコンフィグレーションを行う。ユーザが、サービス需要に応じてＵＣＭネットワーク要素１００から供給されたＵＩにおいて、ＢＲＡＳ ＤＰ設備５３１のユーザアクセスポートｇ１／０／１を配置してＢＲＡＳサービスをイネーブルする必要があると仮定すれば、ＵＣＭネットワーク要素１００は、ユーザアクセスポートｇ１／０／１のＢＲＡＳサービスへ１つのグローバルＶＸＬＡＮ ＩＤ（ＶＸＬＡＮ４００と記す）を割り当て、ＢＲＡＳ ＣＰ設備５２１、ＢＲＡＳ ＣＰ設備５２２のうちに１つを選択してＢＲＡＳ ＤＰ設備５３１とＶＸＬＡＮトンネルを確立する。ここで、ＢＲＡＳ ＣＰ設備を選択する方式は、複数種がある。例えば、負荷の一番軽いものを選択することや、帯域幅の冗長の多いものを選択すること等がある。本実施例では、具体的にバインディングしない。
【００５８】
ＵＣＭネットワーク要素１００がＢＲＡＳ ＣＰ設備５２１を選択したとすれば、ＵＣＭネットワーク要素１００は、ＶＸＬＡＮトンネルコンフィグレーションをＢＲＡＳ ＤＰ設備５３１およびＢＲＡＳ ＣＰ設備５２１へ配信することにより、ＢＲＡＳ ＤＰ設備５３１とＢＲＡＳ ＣＰ設備５２１の間でＶＸＬＡＮトンネルを確立させる。ＢＲＡＳ ＤＰ設備５３１とＢＲＡＳ ＣＰ設備５２１の間でＶＸＬＡＮトンネルを確立する方式は、当業者でよく知られる何れか１種の技術であってもよく、本文で繰り返し説明しない。確立されたＶＸＬＡＮトンネルは、ＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に関連付けられる。ＢＲＡＳ ＤＰ設備５３１とＢＲＡＳ ＣＰ設備５２１の間でＶＸＬＡＮトンネルが確立されたとすれば、上記ＢＲＡＳ ＣＰを選択するステップ、トンネルコンフィグレーションを配信するステップを省略し、直接既存のＶＸＬＡＮトンネルをＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に関連付けられる。記述の便宜上、ＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に関連付けられたＶＸＬＡＮトンネルは、ＶＸＬＡＮトンネルａと記される。
【００５９】
ＵＣＭネットワーク要素１００は、第１ＶＳＩ作成指令をＢＲＡＳ ＤＰ設備５３１へ配信する。ＢＲＡＳ ＤＰ設備５３１は、第１ＶＳＩ作成指令を受信し、当該第１ＶＳＩ作成指令に基づいてＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に対応する仮想インターフェース５５１を作成し、作成された仮想インターフェース５５１をユーザアクセスポートｇ１／０／１に関連付ける。応用において、ＢＲＡＳ ＤＰ設備５３１の仮想インターフェース５５１は、ＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に唯一に関連付けられる。
【００６０】
ＵＣＭネットワーク要素１００は、第２ＶＳＩ作成指令をＢＲＡＳ ＣＰ設備５２１へ配信する。ＢＲＡＳ ＣＰ設備５２１は、第２ＶＳＩ作成指令を受信し、当該第２ＶＳＩ作成指令に基づいてＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に対応する仮想インターフェース５５２を作成する。応用において、ＢＲＡＳ ＣＰ設備５２１の仮想インターフェース５５２は、ＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に唯一に関連付けられる。本実施例において、ＵＣＭネットワーク要素１００がＶＸＬＡＮトンネルコンフィグレーション、第１ＶＳＩ作成指令、第２ＶＳＩ作成指令を配信することは、固定の時間前後順を有さない。
【００６１】
ＵＣＭネットワーク要素１００は、前にＢＲＡＳ ＤＰ設備５３１から報告された全てのユーザアクセスポートのポート情報から、ユーザアクセスポートｇ１／０／１のポート情報を見つけ出す。ユーザアクセスポートｇ１／０／１のポート情報は、ポートの所在するサブスロット番号、サブスロット番号の所属するスロット番号、ポート番号およびポートタイプを含んでもよい。
【００６２】
ＵＣＭネットワーク要素１００は、見つけ出されたユーザアクセスポートｇ１／０／１のポート情報を指定フォーマットに応じて並べ、ユーザアクセスポートｇ１／０／１を介して、アクセスしたユーザ６１０に対して正確に関連付けるための認証文字列を構築する。例えば、構築された認証文字列は、ｅｔｈ １／０／１である。
【００６３】
ＵＣＭネットワーク要素１００は、構築された認証文字列をＢＲＡＳ ＣＰ設備５２１の仮想インターフェース５５２に配置する。
【００６４】
ＵＣＭネットワーク要素１００がＢＲＡＳ ＤＰ設備５３１、ＢＲＡＳ ＣＰ設備５２１に対してのコンフィグレーションは、上述されている。
【００６５】
ユーザ６１０は、オンラインし、認証を要求するための認証要求パケットを送信する。認証要求パケットは、ユーザ６１０に対して認証を行うためのパケットであり、ユーザ６１０の身分に関する情報、例えば、ユーザ名およびパスワードを付加する。
【００６６】
ＢＲＡＳ ＤＰ設備５３１は、ローカルのユーザアクセスポートｇ１／０／１を介して当該認証要求パケットを受信し、当該認証要求パケットが制御パケットに属すると認識した後、ローカルのユーザアクセスポートｇ１／０／１に関連付けられる仮想インターフェースを検索する。
【００６７】
ＢＲＡＳ ＤＰ設備５３１は、ローカルのユーザアクセスポートｇ１／０／１に関連付けられる仮想インターフェースが仮想インターフェース５５１であり、当該仮想インターフェース５５１に対応するＶＸＬＡＮ ＩＤがＶＸＬＡＮ４００であると発見した場合に、ＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」と、ＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に関連付けられるＶＸＬＡＮトンネルａとに基づいて当該認証要求パケットに対してＶＸＬＡＮカプセル化を行い、ＶＸＬＡＮトンネルａを介してＶＸＬＡＮカプセル化された認証要求パケットを転送する。ＶＸＬＡＮカプセルにおけるＶＮＩフィールドには、ＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」が付加されている。
【００６８】
ＢＲＡＳ ＣＰ設備５２１は、ＶＸＬＡＮトンネルａを介してＶＸＬＡＮカプセル化された認証要求パケットを受信した後、ＶＸＬＡＮカプセルにおけるＶＮＩフィールドに付加されるＶＸＬＡＮ ＩＤ「ＶＸＬＡＮ４００」に対応する仮想インターフェースをローカルの全ての仮想インターフェースから検索する。
【００６９】
ＢＲＡＳ ＣＰ設備５２１は、仮想インターフェース５５２を見つけ出し、仮想インターフェース５５２に配置されている認証文字列ｅｔｈ １／０／１を取得し、認証文字列ｅｔｈ １／０／１と認証要求パケットに付加されるユーザ６１０の身分に関する情報とを予定のフォーマットで認証サーバ（ＡＡＡサーバ２００を例とする）へ送信して認証させる。具体的に、ＢＲＡＳ ＣＰ設備５２１は、新たなＲａｄｉｕｓパケットを生成し、認証文字列ｅｔｈ １／０／１と認証要求パケットに付加されるユーザ６１０の身分に関する情報とを予定のフォーマットでＲａｄｉｕｓパケットに付加してＡＡＡサーバ２００へ送信する。
【００７０】
ＡＡＡサーバ２００は、受信された認証文字列ｅｔｈ １／０／１およびユーザ６１０の身分に関する情報に対して認証を行う。具体的な認証手順は、当業者でよく知られる任意の認証技術を参照すればよく、ここで繰り返し説明しない。
【００７１】
これから分かるように、本実施例において、ＶＸＬＡＮ ＩＤによってＢＲＡＳ ＤＰ設備におけるユーザアクセスポートのポート情報を暗示的にマークし、ＢＲＡＳ ＤＰ設備がＢＲＡＳ ＣＰ設備へ制御パケットを伝送する際、ＶＸＬＡＮ ＩＤによって、制御パケットがＢＲＡＳ ＤＰ設備におけるユーザアクセスポートのポート情報を付加することは間接に実現される。このように、ユーザアクセスポートのポート情報もユーザの認証に関与し、ユーザの正確な認証は実現される。
【００７２】
また、ＢＲＡＳ ＣＰ設備とＢＲＡＳ ＤＰ設備との間のパケット伝送は、標準ＶＸＬＡＮカプセル化が使用され、プライベートヘッダを別途追加することでユーザに対してアクセス制限を行うための認証情報（例えば、ユーザアクセスポートのアクセス制限情報）を付加する必要はない。このように、ＢＲＡＳ ＤＰ設備は、機能が相対的に簡単であるが値段が安価であるスイッチングチップを用いてユーザのアクセス制限を実現できる。
【００７３】
また、本実施例において、認証サーバがユーザアクセスポートのポート情報に対して認証を行う際、認証サーバ（例えば、ＡＡＡサーバ）に対する如何なる改良も必要がないため、実施は、相対的に簡単になる。
【００７４】
以上は、本発明に係る方法を記述した。以下では、本発明に係る装置を記述する。
図６を参照すると、図６は、本発明に係る認証装置の機能構造図である。当該装置は、ＢＲＡＳ転送・制御分離アーキテクチャにおけるＢＲＡＳ ＣＰ設備に適用され、以下のモジュールを備える。
【００７５】
受信モジュール６０１は、前記ＢＲＡＳ転送・制御分離アーキテクチャにおけるＢＲＡＳ ＤＰ設備との間のＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された制御パケットを受信する。
【００７６】
処理モジュール６０２は、前記制御パケットがユーザを認証するためのパケットであると検出された場合に、前記ＶＸＬＡＮカプセルにおけるＶＸＬＡＮ ＩＤに対応するユーザアクセスポートのポート情報を前記ＢＲＡＳ ＣＰ設備において検索し、前記ポート情報と前記制御パケットに付加される前記ユーザの身分情報とを認証サーバへ送信して認証させる。前記ユーザアクセスポートは、前記ＢＲＡＳ ＤＰ設備に存在する。
【００７７】
一実施例として、前記処理モジュール６０２は、更に、ＵＣＭネットワーク要素から配信された前記ポート情報を受信し、前記ＢＲＡＳ ＣＰ設備で作成された、前記ＶＸＬＡＮ ＩＤに対応するＶＳＩに前記ポート情報を配置する。このような場合に、前記処理モジュール６０２が前記ＢＲＡＳ ＣＰ設備において前記ＶＸＬＡＮ ＩＤに対応するユーザアクセスポートのポート情報を検索することは、前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを前記ＢＲＡＳ ＣＰ設備の全てのＶＳＩから検索することと、当該検索したＶＳＩに配置されている前記ポート情報を、前記ＶＸＬＡＮ ＩＤに対応するユーザアクセスポートのポート情報として特定することと、を含む。
【００７８】
一実施例として、受信モジュール６０１は、更に、ＶＸＬＡＮトンネルコンフィグレーションと前記ＵＣＭネットワーク要素が配信した前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを作成するための第２ＶＳＩ作成指令とを受信し、前記ＶＸＬＡＮトンネルコンフィグレーションと前記第２ＶＳＩ作成指令は、前記ＵＣＭネットワーク要素が、前記ＢＲＡＳ ＤＰ設備における前記ユーザアクセスポートを配置してＢＲＡＳサービスをイネーブルするという命令を受信したときに配信したものである。それ相応に、前記処理モジュール６０２は、前記ＶＸＬＡＮトンネルコンフィグレーションに基づいて前記ＶＸＬＡＮトンネルを作成し、且つ前記第２ＶＳＩ作成指令に基づいて前記ＶＳＩを作成する。
【００７９】
一実施例として、前記ユーザアクセスポートのポート情報は、前記ユーザアクセスポートの所在するサブスロット番号、前記サブスロット番号の所属するスロット番号、前記ユーザアクセスポートのポート番号および前記ユーザアクセスポートのタイプを含む。
【００８０】
これで、図６に示す装置の構造記述は完了する。
それ相応に、本発明は、図６に示す装置に対応するハードウェアの構造図を更に提供する。図７に示すように、ハードウェアは、機械可読記憶媒体７０１とプロセッサ７０２を含む。機械可読記憶媒体７０１とプロセッサ７０２とは、システムバスを介して互いに通信する。機械可読記憶媒体７０１は、上記受信モジュール６０１および処理モジュール６０２によって実行される操作に対応する機械実行可能な指令を記憶し、プロセッサ７０２は、機械実行可能な指令をロードし実行することで、上記認証方法を実施させる。
【００８１】
一実施例として、機械可読記憶媒体７０１は、如何なる電気的なもの、磁気的なもの、光学的なものまたは他の物理的記憶装置であってもよく、情報（例えば、実行可能な指令、データ等）を含むか記憶可能である。例えば、機械可読記憶媒体は、揮発性メモリ、不揮発性メモリまたは類似する記憶媒体であってもよい。具体的に、機械可読記憶媒体４１０は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ、ランダムアクセスメモリ）、フラッシュメモリ、記憶ドライバ（例えば、ハードディスクドライバ）、ソリッド・ステート・ディスク、如何なるタイプの記憶ディスク（例えば、光ディスク、ＤＶＤ等）またはそれらの組み合わせであってもよい。
【００８２】
これで、図７に示すハードウェア構造の記述は完了する。
図８を参照すると、図８は、本発明に係る別の装置構造図である。図８に示すように、当該装置は、ＢＲＡＳ転送・制御分離アーキテクチャにおけるＢＲＡＳ ＤＰ設備に適用され、以下のモジュールを備える。
【００８３】
ユーザポートモジュール８０１は、前記ＢＲＡＳ ＤＰ設備におけるユーザアクセスポートを介して、ユーザ設備から送信された、ユーザを認証するための制御パケットを受信し、前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤを特定する。
【００８４】
送信モジュール８０２は、前記ＶＸＬＡＮ ＩＤと前記ＶＸＬＡＮ ＩＤに関連付けられたＶＸＬＡＮトンネルとに基づいて、前記制御パケットに対してＶＸＬＡＮカプセル化を行い、前記ＶＸＬＡＮトンネルを介して、ＶＸＬＡＮカプセル化された前記制御パケットを、前記ＶＸＬＡＮトンネルの反対側に存在するＢＲＡＳ ＣＰ設備へ送信する。前記ＶＸＬＡＮカプセルには、前記ＶＸＬＡＮ ＩＤが付加されている。このように、前記ＢＲＡＳ ＣＰ設備は、前記ＶＸＬＡＮ ＩＤに対応する前記ユーザアクセスポートのポート情報をローカルに検索し、前記ポート情報と前記制御パケットに付加される前記ユーザの身分情報とを認証サーバへ送信して認証させる。
【００８５】
一実施例として、ユーザポートモジュール８０１が前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤを特定するとき、具体的に、前記ユーザアクセスポートに関連付けられた仮想インターフェース（ＶＳＩ）を特定することと、前記仮想インターフェースに対応するＶＸＬＡＮ ＩＤを前記ユーザアクセスポートに対応するＶＸＬＡＮ ＩＤとして特定することと、を含む。
【００８６】
一実施例として、図８に示すように、当該装置は、作成モジュール８０３を更に備える。前記作成モジュール８０３は、前記作成モジュールは、ＶＸＬＡＮトンネルコンフィグレーションおよび第１ＶＳＩ作成指令を受信し、前記ＶＸＬＡＮトンネルコンフィグレーションおよび前記第１ＶＳＩ作成指令は、ユーザ制御マネージメント（ＵＣＭ）ネットワーク要素が、前記ユーザアクセスポートを配置してＢＲＡＳサービスをイネーブルするという命令を受信したときに配信したものであり、前記第１ＶＳＩ作成指令は、前記ユーザアクセスポートに関連付けられた、且つ前記ＶＸＬＡＮ ＩＤに対応するＶＳＩを作成するために用いられる。前記作成モジュール８０３は、前記ＶＸＬＡＮトンネルコンフィグレーションに基づいて前記ＶＸＬＡＮトンネルを作成し、前記第１ＶＳＩ作成指令に基づいて前記ＶＳＩを作成する。
【００８７】
一実施例として、前記送信モジュール８０２は、更にＵＣＭネットワーク要素へ前記ユーザアクセスポートのポート情報を報告する。このように、前記ＵＣＭネットワーク要素は、前記ＶＸＬＡＮ ＩＤに対応する前記ユーザアクセスポートのポート情報を前記ＢＲＡＳ ＣＰ設備へ送信する。前記ユーザアクセスポートの情報は、前記ユーザアクセスポートの所在するサブスロット番号、前記サブスロット番号の所属するスロット番号、前記ユーザアクセスポートのポート番号、および前記ユーザアクセスポートのタイプを含む。
【００８８】
これで、図８に示す装置の構造の記述は完了する。
それ相応に、本発明は、図８に示す装置に対応するハードウェア構造図を更に提供する。当該ハードウェア構造は、機械可読記憶媒体と、プロセッサとを含んでもよく、具体的な構造が図７に示すハードウェア構造図と類似する。機械可読記憶媒体とプロセッサとは、システムバスを介して互いに通信する。機械可読記憶媒体は、上記ユーザポートモジュール、送信モジュールおよび作成モジュールによって実行される操作に対応する機械実行可能な指令を記憶し、プロセッサは、機械実行可能な指令をロードし実行することで、上記認証方法を実施させる。
【００８９】
一実施例として、機械可読記憶媒体は、如何なる電気的なもの、磁気的なもの、光学的なものまたは他の物理的記憶装置であってもよく、情報（例えば、実行可能な指令、データ等）を含むか記憶可能である。例えば、機械可読記憶媒体は、揮発性メモリ、不揮発性メモリまたは類似する記憶媒体であってもよい。具体的に、機械可読記憶媒体４１０は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ、ランダムアクセスメモリ）、フラッシュメモリ、記憶ドライバ（例えば、ハードディスクドライバ）、ソリッド・ステート・ディスク、如何なるタイプの記憶ディスク（例えば、光ディスク、ｄｖｄ等）またはそれらの組み合わせであってもよい。
【００９０】
上述したのは、本発明の好適な実施例に過ぎず、本発明を制限するためのものではない。本発明の精神及び原則内でなされた如何なる変更、均等物による置換、改良等も、本発明の保護範囲内に含まれる。
【図１】
0006920537.tif 000002
【図２】
0006920537.tif 000003
【図３】
0006920537.tif 000004
【図３Ａ】
0006920537.tif 000005
【図３Ｂ】
0006920537.tif 000006
【図４】
0006920537.tif 000007
【図４Ａ】
0006920537.tif 000008
【図５】
0006920537.tif 000009
【図６】
0006920537.tif 000010
【図７】
0006920537.tif 000011
【図８】
0006920537.tif 000012