(57)【特許請求の範囲】
【請求項１】
プロトコルスタックにおいてデータリンク層で定義されたIEEE802.1Xと、前記プロトコルスタックにおいてUDP(User Datagram Protocol)/IP(Internet Protocol)層またはTCP(Transmission Control Protocol)/IP(Internet Protocol)層より上位層で定義された上位層プロトコルとの両方の上で動作可能なある認証プロトコルに従った認証を、前記IEEE802.1Xと前記上位層プロトコルとの両方に対して受ける端末装置に対する認証を行うための認証装置であって、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記端末装置から取得する第１の取得手段と、
前記第１の取得手段により取得された前記第１のメッセージにあらかじめ定められた認証識別子が含まれるとき、前記IEEE802.1Xに対する認証が成功したとみなし、前記IEEE802.1Xに対する認証が成功したことを通知する成功メッセージを前記端末装置に返す返送手段と、
前記成功メッセージを返した前記端末装置との間に前記データリンク層のデータリンクを設定するデータリンク設定手段と、
前記端末装置から前記データリンク上で送られてくる、前記UDP/IPまたは前記TCP/IPのパケットのフィルタリングを行うフィルタリング手段と、
前記第１の取得手段により取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記端末装置から送信される前記パケットのうち前記上位層プロトコルに対する認証を受けるために通過させるべき第１のパケットは通過させ前記第１のパケットと異なる第２のパケットは遮断するように前記フィルタリング手段を設定する第１のフィルタ設定手段と、
前記端末装置から前記上位層プロトコルに対する認証を受けるために必要な、前記第１のパケットによって運ばれる第２のメッセージを、前記フィルタリング手段を介して取得する第２の取得手段と、
前記第２のメッセージを送った前記端末装置に対して前記上位層プロトコルに対する認証を行う認証手段と、
前記認証手段により前記上位層プロトコルに対する認証が成功したとき、前記端末装置から前記データリンク上で送られてくる前記第２のパケットを通過させるように前記フィルタリング手段を設定する第２のフィルタ設定手段と、
を備えた認証装置。
【請求項２】
前記第２の取得手段は、前記第１の取得手段により取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記第２のメッセージの到来を前記端末装置から待機し、
前記第１のフィルタ設定手段は、前記第２の取得手段によって前記第２のメッセージが一定期間取得されないときは、前記端末装置からの前記第１のパケットを遮断するように前記フィルタリング手段を設定する、
ことを特徴とする請求項１に記載の認証装置。
【請求項３】
前記第１のフィルタ設定手段は、前記認証手段による前記認証が失敗したとき、前記端末装置からの前記第１のパケットを遮断するように前記フィルタリング手段を設定する、
ことを特徴とする請求項１または２に記載の認証装置。
【請求項４】
前記認証手段により前記端末装置に対して許可された認証が終了したとき、
前記第２のフィルタ設定手段は、前記端末装置からの第２のパケットを遮断するように前記フィルタリング手段を設定し、
前記第１のフィルタ設定手段は、前記端末装置からの前記第１のパケットを遮断するように前記フィルタリング手段を設定する、
ことを特徴とする請求項１ないし３のいずれか一項に記載の認証装置。
【請求項５】
前記認証手段は、前記第１の取得手段により取得された前記第１のメッセージに前記認証識別子が含まれないとき、前記１のメッセージを送った前記端末装置に対して前記IEEE 802.1Xに対する認証を行い、
前記返送手段は、前記認証手段による前記IEEE 802.1Xに対する認証が成功したとき、前記IEEE802.1Xに対する認証が成功したことを通知する前記成功メッセージを前記端末装置に返す、
ことを特徴とする請求項１ないし４のいずれか一項に記載の認証装置。
【請求項６】
前記認証手段は、前記ある認証プロトコルに基づく認証を行う認証サーバにアクセスすることにより前記上位層プロトコルに対する認証および前記IEEE 802.1Xに対する認証を行うことを特徴とする請求項５に記載の認証装置。
【請求項７】
前記ある認証プロトコルは、EAP （Extensible Authentication Protocol）であることを特徴とする請求項１ないし６のいずれか一項に記載の認証装置。
【請求項８】
前記上位層プロトコルは、PANA（Protocol for Carrying Authentication For Network Access）であることを特徴とする請求項１ないし７のいずれか一項に記載の認証装置。
【請求項９】
プロトコルスタックにおいてデータリンク層で定義されたIEEE802.1Xと、前記プロトコルスタックにおいてUDP/IP層またはTCP/IP層より上位層で定義された上位層プロトコルとの両方の上で動作可能なある認証プロトコルに従った認証を、前記IEEE802.1Xと前記上位層プロトコルとの両方に対して受ける端末装置に対する認証を行うための認証方法であって、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記端末装置から取得し、
前記端末装置から取得された前記第１のメッセージにあらかじめ定められた認証識別子が含まれるとき、前記IEEE802.1Xに対する認証が成功したとみなし、前記IEEE802.1Xに対する認証が成功したことを通知する成功メッセージを前記端末装置に返し、
前記成功メッセージを返した前記端末装置との間に前記データリンク層のデータリンクを設定し、
前記端末装置から前記データリンク上で送られてくる、前記UDP/IPまたは前記TCP/IPのパケットを、前記パケットのフィルタリングを行うフィルタリング手段を用いてフィルタリングし、
前記端末装置から取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記端末装置から送信される前記パケットのうち前記上位層プロトコルに対する認証を受けるために通過させるべき第１のパケットは通過させ前記第１のパケットと異なる第２のパケットは遮断するように前記フィルタリング手段を設定し、
前記端末装置から前記上位層プロトコルに対する認証を受けるために必要な、前記第１のパケットによって運ばれる第２のメッセージを前記フィルタリングを介して取得し、
前記第２のメッセージを送った前記端末装置に対して前記上位層プロトコルに対する認証を行い
前記上位層プロトコルに対する認証が成功したとき、前記端末装置から前記データリンク上で送られてくる前記第２のパケットを通過させるように前記フィルタリング手段を設定する、
ことを特徴とする認証方法。
【請求項１０】
プロトコルスタックにおいてデータリンク層で定義されたIEEE802.1Xと、前記プロトコルスタックにおいてUDP/IP層またはTCP/IP層より上位層で定義された上位層プロトコルとの両方の上で動作可能なある認証プロトコルに従った認証を、前記IEEE802.1Xと前記上位層プロトコルとの両方に対して受ける端末装置に対する認証を行うための認証プログラムであって、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記端末装置から取得するステップと、
前記端末装置から取得された前記第１のメッセージにあらかじめ定められた認証識別子が含まれるとき、前記IEEE802.1Xに対する認証が成功したとみなし、前記IEEE802.1Xに対する認証が成功したことを通知する成功メッセージを前記端末装置に返すステップと、
前記成功メッセージを返した前記端末装置との間に前記データリンク層のデータリンクを設定するステップと、
前記端末装置から前記データリンク上で送られてくる、前記UDP/IPまたは前記TCP/IPのパケットを、前記パケットのフィルタリングを行うフィルタリング手段を用いてフィルタリングするステップと、
前記端末装置から取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記端末装置から送信される前記パケットのうち前記上位層プロトコルに対する認証を受けるために通過させるべき第１のパケットは通過させ前記第１のパケットと異なる第２のパケットは遮断するように前記フィルタリング手段を設定するステップと、
前記端末装置から前記上位層プロトコルに対する認証を受けるために必要な、前記第１のパケットによって運ばれる第２のメッセージを前記フィルタリングを介して取得するステップと、
前記第２のメッセージを送った前記端末装置に対して前記上位層プロトコルに対する認証を行うステップと、
前記上位層プロトコルに対する認証が成功したとき、前記端末装置から前記データリンク上で送られてくる前記第２のパケットを通過させるように前記フィルタリング手段を設定するステップと、
をコンピュータに実行させるための認証プログラム。
【請求項１１】
プロトコルスタックにおいてデータリンク層で定義されたIEEE802.1Xと、前記プロトコルスタックにおいてUDP/IP層またはTCP/IP層より上位層で定義された上位層プロトコルとの両方の上で動作可能なある認証プロトコルに従った認証を、前記IEEE802.1Xと前記上位層プロトコルとの両方に対して受ける端末装置と、前記端末装置に対する認証を行う認証装置とを備えたネットワークアクセス認証システムであって、
前記認証装置は、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記端末装置から取得する第１の取得手段と、
前記第１の取得手段により取得された前記第１のメッセージにあらかじめ定められた認証識別子が含まれるとき、前記IEEE802.1Xに対する認証が成功したとみなし、前記IEEE802.1Xに対する認証が成功したことを通知する成功メッセージを前記端末装置に返す返送手段と、
前記成功メッセージを返した前記端末装置との間に前記データリンク層のデータリンクを設定するデータリンク設定手段と、
前記端末装置から前記データリンク上で送られてくる、前記UDP/IPまたは前記TCP/IPのパケットのフィルタリングを行うフィルタリング手段と、
前記第１の取得手段により取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記端末装置から送信される前記パケットのうち前記上位層プロトコルに対する認証を受けるために通過させるべき第１のパケットは通過させ前記第１のパケットと異なる第２のパケットは遮断するように前記フィルタリング手段を設定する第１のフィルタ設定手段と、
前記端末装置から前記上位層プロトコルに対する認証を受けるために必要な、前記第１のパケットによって運ばれる第２のメッセージを、前記フィルタリング手段を介して取得する第２の取得手段と、
前記第２のメッセージを送った前記端末装置に対して前記上位層プロトコルに対する認証を行う認証手段と、
前記認証手段により前記上位層プロトコルに対する認証が成功したとき、前記端末装置から前記データリンク上で送られてくる前記第２のパケットを通過させるように前記フィルタリング手段を設定する第２のフィルタ設定手段と、を有し、
前記端末装置は、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記あらかじめ定められた認証識別子を含めて前記認証装置に送出する送出手段を有する、
ことを特徴とするネットワークアクセス認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証装置およびネットワーク認証システム、ならびに端末装置を認証するための方法およびプログラムに関する。
【背景技術】
【０００２】
ネットワークアクセス認証プロトコルとしてIEEE 802.1X（非特許文献１参照）が広く普及している。しかし、IEEE 802.1X はリンク層のプロコトルでありイーサネット（登録商標）のみが対象であるため様々なデータリンク層に対応できないという問題点がある。これを解決するためIETF ではPANA（Protocol for Carrying Authentication For Network Access）（非特許文献4参照） というUDP(User Datagram Protocol)/IP(Internet Protocol) 上で動作するネットワークアクセス認証プロトコルが提案/標準化されている。
【０００３】
このようなPANA をネットワークアクセス認証プトコロルとして、IEEE 802.1Xがすでに運用されているネットワークに導入するときには、IEEE 802.1Xと共存しつつスムーズに移行することが望まれる。IEEE 802.1X とPANA とが共存してもそれぞれが独立したレイヤに存在する為邪魔をすることはないが、IEEE 802.1X に加えPANA の認証を行うシステムでは(すでにIEEE 802.1X のネットワークが敷かれている状態でIEEE 802.1X を残しつつPANA を必要とする機器を導入する場合)には、端末装置は、IEEE 802.1X とPANA の両方に対応して、認証サーバ(AAA) に対して複数回の認証を行う必要がある為、端末装置のサービスを開始できるまでの時間が遅くなってしまう問題がある。また、認証サーバには複数回の認証要求が発生するため負荷が高くなる。
【０００４】
図４はIEEE 802.1X とPANA を同時に運用しているシステムにおいてIEEE 802.1X とPANA の両方に対応の端末装置が認証プロトコルとして、EAP（Extensible Authentication Protocol）による認証（EAP認証）を受けるまで手順を概略的に示す。
【０００５】
図４から理解されるように、この端末装置は、まずIEEE 802.1XによるEAP認証１０１を受け、次にPANA によるEAP認証１０２を受ける。このように端末装置がサービスを使えるようになるまでにはIEEE 802.1X とPANA とによる２つの認証を行う必要があるため、端末装置がサービスを開始できるまでの時間が遅くなるとともに、認証サーバの負荷が高くなる。
【０００６】
したがって、IEEE 802.1X が広まっているネットワークにおいてPANA を導入する場合、
・IEEE 802.1X とPANA 対応の端末装置においてIEEE 802.1X とPANA 対応の端末装置の認証にかかる時間を軽減すること
・IEEE 802.1X のみの対応の端末装置および装置の動作に影響を与えないこと
が望まれる。
【特許文献１】特開2005-109823公報
【非特許文献１】IEEE802. IEEE-Std802.1X-2001, 2001. http://standards.ieee.org/getieee802/download/802.1X2001.pdf.
【非特許文献２】B. Aboba and M. Beadles. The Network Access Identifier. rfc 2486, IETF, January 1999.
【非特許文献３】B. Aboba, L. Blunk, J. Vollbrecht, J. Carlson, H. Levkow etz, and Ed. Extensible Authentication Protocol(EAP). rfc 3748, IETF, June 2004.
【非特許文献４】Dan Forsberg. Protocol for Carrying Authentication for Network Access (PANA). Internet Draft, March 2007. <draft-ietf-pana-pana-14.txt>.
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明は、IEEE802.1Xと、UDP/IP層またはTCP/IP層より上位層で定義された上位層プロトコル（たとえばPANA）との両方の上で動作可能なある認証プロトコル（たとえばEAP）に従った認証を、IEEE802.1Xと上位層プロトコルとの両方に対して受ける端末装置に対する認証を、短時間で行うことを可能とした認証装置およびネットワーク認証システム、ならびに端末装置を認証するための方法およびプログラムを提供する。
【課題を解決するための手段】
【０００８】
本発明の一態様としての認証装置は、
プロトコルスタックにおいてデータリンク層で定義されたIEEE802.1Xと、前記プロトコルスタックにおいてUDP(User Datagram Protocol)/IP(Internet Protocol)層またはTCP(Transmission Control Protocol)/IP(Internet Protocol)層より上位層で定義された上位層プロトコルとの両方の上で動作可能なある認証プロトコルに従った認証を、前記IEEE802.1Xと前記上位層プロトコルとの両方に対して受ける端末装置に対する認証を行うための認証装置であって、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記端末装置から取得する第１の取得手段と、
前記第１の取得手段により取得された前記第１のメッセージにあらかじめ定められた認証識別子が含まれるとき、前記IEEE802.1Xに対する認証が成功したとみなし、前記IEEE802.1Xに対する認証が成功したことを通知する成功メッセージを前記端末装置に返す返送手段と、
前記成功メッセージを返した前記端末装置との間に前記データリンク層のデータリンクを設定するデータリンク設定手段と、
前記端末装置から前記データリンク上で送られてくる、前記UDP/IPまたは前記TCP/IPのパケットのフィルタリングを行うフィルタリング手段と、
前記第１の取得手段により取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記端末装置から送信される前記パケットのうち前記上位層プロトコルに対する認証を受けるために通過させるべき第１のパケットは通過させ前記第１のパケットと異なる第２のパケットは遮断するように前記フィルタリング手段を設定する第１のフィルタ設定手段と、
前記端末装置から前記上位層プロトコルに対する認証を受けるために必要な、前記第１のパケットによって運ばれる第２のメッセージを、前記フィルタリング手段を介して取得する第２の取得手段と、
前記第２のメッセージを送った前記端末装置に対して前記上位層プロトコルに対する認証を行う認証手段と、
前記認証手段により前記上位層プロトコルに対する認証が成功したとき、前記端末装置から前記データリンク上で送られてくる前記第２のパケットを通過させるように前記フィルタリング手段を設定する第２のフィルタ設定手段と、
を備える。
【０００９】
本発明の一態様としての認証方法は、
プロトコルスタックにおいてデータリンク層で定義されたIEEE802.1Xと、前記プロトコルスタックにおいてUDP/IP層またはTCP/IP層より上位層で定義された上位層プロトコルとの両方の上で動作可能なある認証プロトコルに従った認証を、前記IEEE802.1Xと前記上位層プロトコルとの両方に対して受ける端末装置に対する認証を行うための認証方法であって、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記端末装置から取得し、
前記端末装置から取得された前記第１のメッセージにあらかじめ定められた認証識別子が含まれるとき、前記IEEE802.1Xに対する認証が成功したとみなし、前記IEEE802.1Xに対する認証が成功したことを通知する成功メッセージを前記端末装置に返し、
前記成功メッセージを返した前記端末装置との間に前記データリンク層のデータリンクを設定し、
前記端末装置から前記データリンク上で送られてくる、前記UDP/IPまたは前記TCP/IPのパケットを、前記パケットのフィルタリングを行うフィルタリング手段を用いてフィルタリングし、
前記端末装置から取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記端末装置から送信される前記パケットのうち前記上位層プロトコルに対する認証を受けるために通過させるべき第１のパケットは通過させ前記第１のパケットと異なる第２のパケットは遮断するように前記フィルタリング手段を設定し、
前記端末装置から前記上位層プロトコルに対する認証を受けるために必要な、前記第１のパケットによって運ばれる第２のメッセージを前記フィルタリングを介して取得し、
前記第２のメッセージを送った前記端末装置に対して前記上位層プロトコルに対する認証を行い
前記上位層プロトコルに対する認証が成功したとき、前記端末装置から前記データリンク上で送られてくる前記第２のパケットを通過させるように前記フィルタリング手段を設定する、
ことを特徴とする。
【００１０】
本発明の一態様としての認証プログラムは、
プロトコルスタックにおいてデータリンク層で定義されたIEEE802.1Xと、前記プロトコルスタックにおいてUDP/IP層またはTCP/IP層より上位層で定義された上位層プロトコルとの両方の上で動作可能なある認証プロトコルに従った認証を、前記IEEE802.1Xと前記上位層プロトコルとの両方に対して受ける端末装置に対する認証を行うための認証プログラムであって、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記端末装置から取得するステップと、
前記端末装置から取得された前記第１のメッセージにあらかじめ定められた認証識別子が含まれるとき、前記IEEE802.1Xに対する認証が成功したとみなし、前記IEEE802.1Xに対する認証が成功したことを通知する成功メッセージを前記端末装置に返すステップと、
前記成功メッセージを返した前記端末装置との間に前記データリンク層のデータリンクを設定するステップと、
前記端末装置から前記データリンク上で送られてくる、前記UDP/IPまたは前記TCP/IPのパケットを、前記パケットのフィルタリングを行うフィルタリング手段を用いてフィルタリングするステップと、
前記端末装置から取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記端末装置から送信される前記パケットのうち前記上位層プロトコルに対する認証を受けるために通過させるべき第１のパケットは通過させ前記第１のパケットと異なる第２のパケットは遮断するように前記フィルタリング手段を設定するステップと、
前記端末装置から前記上位層プロトコルに対する認証を受けるために必要な、前記第１のパケットによって運ばれる第２のメッセージを前記フィルタリングを介して取得するステップと、
前記第２のメッセージを送った前記端末装置に対して前記上位層プロトコルに対する認証を行うステップと、
前記上位層プロトコルに対する認証が成功したとき、前記端末装置から前記データリンク上で送られてくる前記第２のパケットを通過させるように前記フィルタリング手段を設定するステップと、
をコンピュータに実行させる。
【００１１】
本発明の一態様としてのネットワークアクセス認証システムは、
プロトコルスタックにおいてデータリンク層で定義されたIEEE802.1Xと、前記プロトコルスタックにおいてUDP/IP層またはTCP/IP層より上位層で定義された上位層プロトコルとの両方の上で動作可能なある認証プロトコルに従った認証を、前記IEEE802.1Xと前記上位層プロトコルとの両方に対して受ける端末装置と、前記端末装置に対する認証を行う認証装置とを備えたネットワークアクセス認証システムであって、
前記認証装置は、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記端末装置から取得する第１の取得手段と、
前記第１の取得手段により取得された前記第１のメッセージにあらかじめ定められた認証識別子が含まれるとき、前記IEEE802.1Xに対する認証が成功したとみなし、前記IEEE802.1Xに対する認証が成功したことを通知する成功メッセージを前記端末装置に返す返送手段と、
前記成功メッセージを返した前記端末装置との間に前記データリンク層のデータリンクを設定するデータリンク設定手段と、
前記端末装置から前記データリンク上で送られてくる、前記UDP/IPまたは前記TCP/IPのパケットのフィルタリングを行うフィルタリング手段と、
前記第１の取得手段により取得された前記第１のメッセージに前記認証識別子が含まれるとき、前記端末装置から送信される前記パケットのうち前記上位層プロトコルに対する認証を受けるために通過させるべき第１のパケットは通過させ前記第１のパケットと異なる第２のパケットは遮断するように前記フィルタリング手段を設定する第１のフィルタ設定手段と、
前記端末装置から前記上位層プロトコルに対する認証を受けるために必要な、前記第１のパケットによって運ばれる第２のメッセージを、前記フィルタリング手段を介して取得する第２の取得手段と、
前記第２のメッセージを送った前記端末装置に対して前記上位層プロトコルに対する認証を行う認証手段と、
前記認証手段により前記上位層プロトコルに対する認証が成功したとき、前記端末装置から前記データリンク上で送られてくる前記第２のパケットを通過させるように前記フィルタリング手段を設定する第２のフィルタ設定手段と、を有し、
前記端末装置は、
前記IEEE802.1Xに対する認証を受けるために必要な第１のメッセージを前記あらかじめ定められた認証識別子を含めて前記認証装置に送出する送出手段を有する、
ことを特徴とする。
【発明の効果】
【００１２】
本発明により、IEEE802.1Xと、UDP/IP層またはTCP/IP層より上位層で定義された上位層プロトコル（たとえばPANA）との両方の上で動作可能なある認証プロトコル（たとえばEAP）に従った認証を、IEEE802.1Xと上位層プロトコルとの両方に対して受ける端末装置に対する認証を、短時間で行うことが可能となる。
【発明を実施するための最良の形態】
【００１３】
本実施形態は、IEEE 802.1X がすでに敷かれているネットワークにおいてPANA を導入する場合において、IEEE 802.1X とPANAとの両方に対応の端末装置がネットワークアクセス認証を認証エージェント装置（認証装置）に要求したとき、認証エージェント装置がIEEE 802.1Xの認証に関しては、IEEE802.1X のシーケンスの仕様に違反しないようにかつ認証サーバに問い合わせることなくIEEE802.1Xの認証が成功したとみなす処理を行い、その後、実際にPANAでの認証のみを行うことを大きな特徴の１つとするものである。本実施形態では、IEEE 802.1X がすでに敷かれているネットワークにおいてPANA を導入する場合を想定しているため、該ネットワークに参加する端末装置としては、IEEE 802.1X のみの対応の端末装置と、IEEE 802.1X とPANA との両方に対応の端末装置との２種類を想定し、PANA のみ対応の端末装置は考えないものとする。
【００１４】
以下図面を参照しながら、本発明の実施の形態について詳細に説明する。
【００１５】
図１は、本発明の一実施の形態としての認証エージェント装置（認証装置）１１の構成を示すブロック図である。図２は、図１の認証エージェント装置を適用したネットワーク認証システムの概略構成を示す図である。
【００１６】
図２に示すように、本ネットワーク認証システムは、IEEE 802.1X とPANAとの両方に対応の端末装置１２がネットワークアクセス認証を認証エージェント装置１１に要求したとき、認証エージェント装置１１は、IEEE 802.1Xの認証に関しては、IEEE802.1X のシーケンスの仕様に違反しないようにかつ認証サーバ１３に問い合わせることなくIEEE802.1Xの認証が成功したとみなす処理を行い、その後、認証エージェント装置１１は、PANAでのネットワークアクセス認証を、認証サーバ１３にアクセスして行う。つまり、図２から理解できるように、このシステムでは、図４の従来のシステムに比べIEEE 802.1X の認証を実質的に行わない点が、大きく異なっている。このようにして本システムでは、認証の回数を実質的に従来の２回から１回に低減できるため、認証に要する時間を大きく短縮することができる。
【００１７】
以下、このようなネットワーク認証システムにおいて本発明の大きな特徴の１つとなる認証エージェント装置の実施形態について詳細に説明し、その後、図２を用いて本ネットワーク認証システムの動作概要を説明するとともに図３を用いて本システムの詳細な動作説明を行う。
【００１８】
図１に示すように、この認証エージェント装置１１は、IP（Internet Protocol：インターネットプロトコル）フィルタ部２１と、EAP(Extensible Authentication Protocol：拡張認証プロトコル)処理部２２と、PANA（Protocol for Carrying Authentication For Network Access）処理部２３と、IEEE 802.1X Authenticator （IEEE 802.1Xオーセンティケータ）２４とを備える。
【００１９】
［IPフィルタ部２１］
IP フィルタ部２１は、 TCP(Transmission Control Protocol)/IP(Internet Protocol)パケットまたはUDP(User Datagram Protocol)/IP(Internet Protocol)パケット等のパケットのフィルタリングを行うＩＰフィルタ機能を有し、たとえばポート単位またはＩＰアドレス単位で、パケットのフィルタリングを行う。本実施形態では、IPフィルタ部２１は、EAP処理部２２およびPANA処理部２３から指定されたポート／プロトコルをもつパケットの通過および遮断を制御する。より詳細には、IPフィルタ部２１は端末装置から送られていたパケットを通過させるか否かをフィルタ設定に基づき判断し、通過させると判断したパケットはそのフィルタ設定に応じたアプリケーションまたはブロックに渡し、通過させないと判断したパケットについては廃棄するかまたはエラーメッセージを返す。たとえばIPフィルタ部２１は、PANAに関連するパケット（第１のパケット）を通過させる場合はPANA処理部（PANAアプリケーション）２３に渡し、インターネット等へのネットワークアクセスのパケット（第２のパケット）を通過させる場合は、インターネット側へのパケット送信を行う図示しない送信部（送信ブロック）に渡す。
【００２０】
ここで、PANAは、プロトコルスタックにおいてTCP/IPまたはUDP/IP層よりも上位層で定義された上位層プロトコルに相当し、IEEE 802.1XはTCP/IPまたはUDP/IP層よりも下層のデータリンク層で定義されたものである。EAPは、IEEE 802.1Xと上位層プロトコルとの両方の上で動作可能なある認証プロトコルに相当する。
【００２１】
［IEEE 802.1X オーセンティケータ２４］
IEEE 802.1X オーセンティケータ２４は、端末装置ごとに、fouceAuthorized（強制認証）状態とauto（オート）状態のいずれかの状態を保持し、状態の設定を、EAP処理部２２からの指示により変更可能になっている。
【００２２】
IEEE 802.1X オーセンティケータ２４は、auto状態のときは、端末装置から認証要求（たとえば第１のメッセージに相当するEAP-Response/Identity）を含むフレームを受信したら、受信したフレームから認証要求を取得して、EAP処理部２２に渡す。EAP処理部２２では、この認証要求に基づき、従来の手順にしたがったIEEE 802.1X認証（IEEE 802.1X上で行うEAP認証）を行うことを決定するか、またはIEEE 802.1X オーセンティケータ２４をfouceAuthorized（強制認証）状態に設定する。
【００２３】
EAP処理部２２においてIEEE 802.1X認証を行うことが決定された場合は、従来と同様に、IEEE 802.1X オーセンティケータ２４は、EAP処理部２２と協調して、認証サーバ１３を用いて認証を行う。そして、IEEE 802.1X オーセンティケータ２４は、端末装置に対する認証が許可された場合は、IEEE 802.1X認証（IEEE 802.1X上で行うEAP認証）が許可されたことを示すEAP Successメッセージ（成功メッセージ）EAP処理部２２から受けて端末装置に返送する。以降、IEEE 802.1X オーセンティケータ２４は、端末装置から送られてくるフレームを通過させる（すなわち端末装置との間にデータリンク層のデータリンクを設定し）。通過したフレームはたとえばIPフィルタ部２１に渡される。また、IEEE 802.1X オーセンティケータ２４は、端末装置に対する認証が許可されなかった場合は、以降、端末装置からフレームが送られてきても、該フレームを自身より先に通過させない（ただし認証要求を含むフレームを受信した場合は上記と同様の処理を行う）。
【００２４】
一方、IEEE 802.1X オーセンティケータ２４は、EAP処理部２２によりfouceAuthorized（強制認証）状態に設定された場合は、IEEE 802.1X認証を行うことなく、認証が許可された旨を通知するEAP Successメッセージ（成功メッセージ）をEAP処理部２２から受けて端末装置に返送するとともに、以降、その端末装置から送られてくるフレームを通過させる（すなわち端末装置との間にデータリンク層のデータリンクを設定する）。IEEE802.1Xオーセンティケータ２４はたとえば第１の取得手段、返送手段、およびデータリンク設定手段を含んでいる。
【００２５】
［EAP 処理部２２］
EAP 処理部２２は、従来のEAP処理を行う。さらに、EAP処理部２２は、端末装置から送られてくる認証要求、すなわちEAP-Response/Identity メッセージ（第１のメッセージ）をIEEE 802.1Xオーセンティケータ２４から受けたら、このメッセージのusernameフィールド（ユーザネーム・フィールド）に、通常のusername（図２のuser@realm）の他に、あらかじめ定められたネットワーク認証プロコトル識別子（PID）が含まれるかどうかを判断する。ネットワーク認証プロコトル識別子は、本発明による認証を要求することを示す。ネットワーク認証プロトコル識別子はたとえば認証識別子に相当する。
【００２６】
なおusernameフィールドのフォーマットはEAP Identity（非特許文献３参照）, NAI（非特許文献２参照）およびIEEE 802.1X（非特許文献１参照）に従うようにネットワーク認証プロトコル識別子を記述することで、IEEE 802.1X認証のみを行う従来のIEEE 802.1Xオーセンティケータに影響を与えない。ただし、従来のIEEE 802.1Xオーセンティケータに対し、ネットワーク認証プロトコル識別子を含むEAP-Response/Identity メッセージを送ってもIEEE 802.1Xの認証は成功しないので、その場合、端末装置はusernameフィールドからネットワーク認証プロコトル識別子を除いた(user@realmのみを含めた)メッセージを送ってIEEE 802.1Xの認証を受け、さらにその後、PANAで認証を行う必要がある（すなわち２度の認証を受ける必要がある）。
【００２７】
EAP処理部２２は、EAP-Response/Identity メッセージのusernameフィールドにネットワーク認証プロコトル識別子が含まれる場合、以下の手順１〜４にしたがった処理を行う。
1. PANA 処理部２３に対して、PANA認証（PANA上で行うEAP認証）のため、usernameフィールドに含まれるusername（すなわちuser@realm）とネットワーク認証プロトコル識別子とを通知する。
2. IP フィルタ部２１に対してネットワーク認証プロコトル識別子に対してあらかじめ対応づけられたポート／プロトコルのパケット（第１のパケット）のみ通過させるようフィルタ設定を行うことを通知する（IPフィルタ部２１に「ネットワーク認証プロトコル識別子に関連するフィルタ設定」を行わせる）。すなわちPANA認証を受けるために必要なポート/プロトコルのパケット（第１のパケット）のみを通過させるようIPフィルタ部２１に指示する。
3. IEEE 802.1X オーセンティケータ２４の状態をforceAuthrized（強制認証）状態に変更する。
【００２８】
上記1-3 のいずれかが失敗した場合は、後述する、EAP-Response/Identity メッセージのusernameフィールドにネットワーク認証プロトコル識別子が含まれない場合と同じ処理を行う。その際、1-3のうち成功していた処理についてはキャンセルする。
【００２９】
EAP処理部２２は、PANA処理部２３からusername の認証（後述するPANA認証）が無効であることを通知された場合、手順2,3の処理をキャンセルし、この場合、さらに、EAP認証状態からログオフしたことを示すEAP Logoff メッセージをIEEE 802.1X オーセンティケータ２４を通じて端末装置に送信する。
4. 上記1-3のすべてが成功した場合には、EAP処理部２２は、IEEE 802.1X 上でEAP認証が成功したことを示すEAP Success メッセージ（成功メッセージ）をIEEE 802.1X オーセンティケータ２４を通じて端末装置に送信する。
【００３０】
一方、EAP処理部２２は、EAP-Response/Identity メッセージのusernameフィールドにネットワーク認証プロコトル識別子が含まれない場合は、usernameフィールドに含まれるusername（すなわちuser@realm）に対してIEEE 802.1X上での通常のEAP認証（IEEE 802.1X認証）を行う。この認証では、たとえばusernameから導かれる認証サーバに対して、上記EAP-Response/Identity のメッセージを送信する。なお認証サーバに相当する機能が認証エージェント装置１１内に含まれてもよく、この場合はこの機能を用いてEAP認証を行う。
【００３１】
上述したEAP処理部２２は、たとえば認証手段および第１のフィルタ設定手段に相当する。
【００３２】
［PANA処理部２３］
PANA処理部２３は、PANAのメッセージを処理する。PANA処理部２３は、PANA認証（PANA上でのEAP認証）を受けようとする端末装置（IEEE 802.1Xの強制認証または通常認証をすでに受けている）から送られるEAP-Response/Identity （第２のメッセージ）のusernameフィールドに含まれるusername （すなわちuser@realm）がEAP処理部２２から通知されたものに一致するかどうか確認する。
【００３３】
上述したようにIEEE 802.1Xの強制認証が行われた場合、IPフィルタ部２１に対してはネットワーク認証プロコトル識別子に対してあらかじめ対応づけられたポート／プロトコルのパケット（第１のパケット）のみ通過させるフィルタ設定が成されている（なお、IEEE 802.1Xの通常認証が行われた場合は、IPフィルタ部２１では、デフォルトのフィルタ設定に従い、基本的にすべてのパケット（第１のパケットと第２のパケット）が通過させられる）。上記EAP-Response/Identity （第２のメッセージ）は、第１のパケットで運ばれ、PANA処理部２３は、IPフィルタ２１を介して第１のパケットを受信し、受信した第１のパケットから上記EAP-Response/Identity （第２のメッセージ）を取得する。
【００３４】
PANA処理部２３は、EAP-Response/Identity （第２のメッセージ）のusernameフィールドに含まれるusername がEAP処理部２２から通知されたものに一致しない場合は、通常のPANAの処理を行う。一致しない場合とは、たとえば端末装置がIEEE 802.1XとPANAとでそれぞれ異なるusernameでEAP認証を行おうとする場合であり、この場合端末装置はネットワーク認証プロトコル識別子を送らずに、通常のIEEE 8021.1X認証を受けている。したがってこの端末装置は、従来と同様に、IEEE 8021.1Xの認証と、PANAの認証とそれぞれ別個に受けることとなる。
【００３５】
一方、PANA処理部２３は、EAP-Response/Identity のusernameフィールドに含まれるusername がEAP処理部２２から通知されたものに一致する場合は、通常のPANAの処理に加えて、以下の処理をさらに行う。
【００３６】
上記通常のPANAの処理においてusername の認証が成功した場合は、PANA処理部２３は、IP フィルタ部２１に対してusernameに関連づけられたサービスのポート/プロトコルのパケット（第２のパケット）を通過させるようにフィルタ設定を行うことを通知する（「Identityに関連するフィルタ設定」をIPフィルタ部２１に行わせる）。すなわちPANA認証に成功したusernameをもつ端末装置から、以降に送られてくるパケット（第２のパケット）を通過させることをIPフィルタ部２１に指示する。
【００３７】
上記通常のPANAの処理においてusernameの認証が失敗した場合、または一定時間usernameに対する認証要求（第２のメッセージ）がこない(Timeout)場合、またはPANA認証（PANA上でのEAP認証）を終了(termination) する場合、PANA 処理部２３は以下の処理を行う。 
1. EAP 処理部２２にusername の認証が無効であることを通知し、username についてのデータをEAP処理部２２に消去させる。たとえば前述したEAP処理部２２の処理手順2,3をキャンセルさせる。
2. IP フィルタ部２１に対してusernameに関連づけられたサービスのポート/プロトコルのパケット（第２のパケット）を遮断させることを通知する（「Identityに関連するフィルタ設定」をIPフィルタ部２１に解除させる）。
【００３８】
上述したPANA処理部２３はたとえば第２の取得手段および第２のフィルタ設定手段に相当する。
【００３９】
以下、図２を用いて本実施形態に係わるネットワークアクセス認証システムの動作概要について説明し、その後、図３を用いて本システムの詳細な動作について説明する。
【００４０】
図２に示すように、本実施形態に係わるネットワークアクセス認証システムでは、IEEE 802.1X とPANAとの両方に対応の端末装置１２に対して認証を行う時に、IEEE 802.1X認証に関しては、認証サーバ１３に問い合わせを行わずに成功したとみなし、その後、PANA認証のみを行っている。端末装置１２はIEEE802.11X認証を省略してPANA認証のみを受けるために、EAP-Response/Identityのusernameフィールド に、通常のusername（すなわちuser@realm）に加えて、ネットワーク認証プロコトル識別子を含ませて送信している。ここでEAPOL-start にネットワーク認証プロコトル識別子を含めないのは、EAPOL-start には拡張する余地がなく、ここに含ませてしまうとIEEE 802.1X のみをサポートする装置が扱う事ができなくなってしまう為である。
【００４１】
IEEE 802.1X認証が成功した後、端末装置１２はDHCP（Dynamic Host Configuration Protocol）に従ってIP アドレスを取得し、さらにPANA認証を受けるが、このDHCPによるIPアドレス取得および PANA認証の為のポートは、IPフィルタ部２１によってあけられたものである。通常のIEEE 802.1Xではリンクのポートの開閉しか行わないが、上位層プロトコル(ここではPANA)のパケットを通過させるためのフィルタ設定をIPフィルタ部２１に依頼することで、DHCPおよびPANAの通信のみを許可し、PANA 認証が通った段階で、他の通信（たとえばインタネットへのアクセス）のパケットをIPフィルタ部２１へのフィルタ設定によって通すようにしている。
【００４２】
図３は、図２のネットワーク認証システムの詳細な動作を説明するフローチャートである。
【００４３】
（１） 端末装置がEAPOL-startを送信し(EAPOL-startは通常のIEEE 802.1X手順で送信される)、IEEE 802.1Xを開始する（S11）。S11はスキップすることも可能である。
【００４４】
（２）認証エージェント装置におけるIEEE 802.1X オーセンティケータ２４がEAP の手順に従いEAP-Request/Identity を送信する（S12）。EAP-Request/Identityは、端末装置を認証するために、端末装置のIdentityを送ることを要求するメッセージである。
【００４５】
（３）端末装置はEAP の手順に従いEAP-Response/Identity（第１のメッセージ）を認証エージェント装置に返す（S13）。端末装置がPANA を認証手段として用いる場合、Identity のusernameフィールドに対し、通常のusername（図２のuser@realmを参照） に加え、ネットワーク認証プロコトル識別子 (図３ではPID と表記)を記述して、EAPOLフレームを送信する。端末装置は、第１のメッセージにネットワーク認証プロトコル識別子（認証識別子）を含めて認証エージェント装置に送出する送出手段を有している。
【００４６】
（４）IEEE802.1Xオーセンティケータ２４はEAPOLフレームを受信し、その中のEAP-Response/Identityを抽出して、通常のIEEE802.1Xの手順通り、EAP処理部２２へ渡す（S14）。
【００４７】
（５）EAP処理部２２は、IEEE802.1Xオーセンティケータ２４から取得したEAP-Response/Identityに基づき、Identityのusernameフィールドにネットワーク認証プロコトル識別子（PID）が含まれているかを確認する（S15）。含まれていない場合は（NO）、従来における EAP認証を行う（S16）。これはIEEE 802.1X認証のみを行う端末装置のために必要な動作である。
【００４８】
（６）ネットワーク認証プロコトル識別子がusernameフィールドに含まれている場合（YES）、EAP処理部２２は、PANA処理部２３に対してusernameフィールドに含まれるusernameとネットワーク認証プロトコル識別子（PID）とを通知する（S17）。ここでusernameを通知することでPANA処理部２３はIEEE 802.1Xによる認証をスキップしているとの判断が可能になる。PANA処理部２３はusernameの認証状態を管理する(たとえばPANAの認証状態（許可されているか否か）を保持し、また上記usernameをもつ端末装置から一定時間中にPANA 認証の要求があるかどうか確認する)。PANA処理部２３では一定時間usernameに対応するPANAの認証要求（第２のメッセージ）が端末装置からこない場合、後述する（１５）および（１６）の処理を行う。
【００４９】
（７）またネットワーク認証プロコトル識別子がusernameフィールドに含まれている場合（S15のYES）、EAP処理部２２はネットワーク認証プロコトル識別子に関連するパケット、より詳細にはPANAによる認証を受けるために通過させる必要のあるパケットを通過させるようにIPフィルタ部２１に通知する（S18）。IPフィルタ部２１はネットワーク認証プロコトル識別子に関連するパケット（第１のパケット）を通過させるようにフィルタ設定（「PIDに関連するフィルタの設定」）を行う。後述する、PANA理部２３が手順S30で行うフィルタ設定（「Identityに関連するフィルタの設定」）は、PANA認証が許可された端末装置からのパケット（第２のパケット）を通過させるためのものであり、本手順S18のフィルタ設定とは異なることに注意する。
【００５０】
（８）またネットワーク認証プロコトル識別子がusernameフィールドに含まれている場合（S15のYES）、EAP処理部２２はIEEE802.1Xオーセンティケータ２４の状態を(たいていはauto（オート）の状態から)、forceAuthrized（強制認証）状態に遷移させる（S19）。これにより端末装置はIEEE 802.1X上では常に認証された状態にされ、このようにすることで端末装置は以後IEEE 802.1X認証に関する処理を行わなくて済むようになる。EAP 処理部２２は、一定時間の間にPANA処理部２２からusernameに対応する認証が成功している旨の通知を受けない場合、後述する（１５）の処理を行う(この確認は定期的に行うものとする)。このような認証が成功している旨の通知を受けない場合としては、たとえば、一定時間の間にusernameに対応するPANAへの認証要求がない場合、またはPANA認証が成功しない場合、または、なんらかの理由で端末装置が通信を行わない場合があり得る。
【００５１】
（９）EAP処理部２２は、上記（３）の手順（S13）で端末から送信されたEAP-Response/Identity（第１のメッセージ）に対する処理が成功すると、認証が成功したことを、IEEE 802.1Xオーセンティケータ２４を経由して、EAP Success メッセージを使って端末装置に通知する（S20、S21）。
【００５２】
（１０）EAP Success メッセージを受けた端末装置はDHCP に従ってIPアドレスを取得する（S22）。またはユーザが手動でIPアドレスの設定を行う。
【００５３】
（１１）端末装置がPANA PCI (PANA-Client-Initiation)(通常のPANA の初期開始の手順)を認証エージェント装置に送ることにより、PANA認証が開始する（S23）。
【００５４】
（１２） PANA 処理部２３は、PANA認証フェーズ中で、EAP処理部２２と協働して、EAP の処理を行う。IEEE 802.1Xの時と同様に端末装置にEAP-Request/Identityを送信する（S24）。EAP-Request/Identity を受けた端末装置からEAP-Response/Identity（第２のメッセージ）が返され（S25）、PANA処理部２３は、端末装置から返されたEAP-Response/Identityのusernameフィールドに含まれるusernameがEAP処理部２２から通知されたものと一致するかどうかを確認する。一致しない場合は、EAP処理部２２はEAP-Response/Identityを（たとえばラディウスプロトコルで）認証サーバに送り（S26）、従来同様、PANA を経由するEAP認証を行う（S27）。一致する場合も、EAP処理部２２は、EAP-Response/Identityを認証サーバに送り（S26）、従来同様、PANA を経由するEAP認証を行う（S27）。一致する場合、PANA処理部２３は、以降、usernameの認証状態を、EAP処理部２２の保持する情報と連携するため、別途、自身でも管理する。
【００５５】
（１３）認証サーバでのPANA認証が成功すると(S28)（EAP Success）（成功処理の流れは、認証サーバ→EAP処理部→PANA 処理部→端末装置（PANA Client）という流れになる)、PANA処理部２３はPANAアクセスフェーズに遷移する。
【００５６】
PANAアクセスフェーズに遷移するとPANA処理部２３は、EAP処理部２２に対して、認証が成功したことを通知する（S29）。EAP処理部２２に対して成功の通知を行うことでEAP 処理部２２でのusernameに関するデータの保持が継続される。また、PANA処理部２３は、PANAに従った定期的なキープアライブのパケットの送信を契機にして定期的にEAP処理部２２に対してusernameが認証許可の状態であることを通知する。またこの契機でPANA処理部２３自身の保持するusernameに関するデータを継続して保持する。
【００５７】
またPANA処理部２３は、IPフィルタ部２１に対してusername に関連するパケット（第２のパケット）を通過させるように通知を行う（S30）。なお、これはPANA のEP（Enforcement Point）制御フレームワークにのっとり行なってもよい。IPフィルタ２１は、PANA処理部２３からの通知を受けてusernameに関するパケットを通過させるようフィルタ設定（「Identityに関連するフィルタの設定」）を行う。これにより端末装置はたとえばインターネット上のWebサーバにアクセスするなどの外部との通信を行うことができる。
【００５８】
（１４）PANA処理部２３は、username に関連づけられたPANA 認証が解除(Termination) される場合、または、認証が失敗した場合、または何らかの理由でPANA のセッションが終了する場合、または、一定時間内に認証要求（第２のメッセージ）を端末装置から受けない場合、PANA終了フェーズに遷移し、以下の処理を行う。
【００５９】
（１５）
[１]PANA処理部２３はIPフィルタ部２１に対してusernameに関連づけられたパケット（第２のパケット）を通過させないように通知を行う。すなわちIdentityに関連するフィルタの設定の解除をIPフィルタ部２１に要求する（S31）。
[２]PANA処理部２３はEAP処理部２２にusernameの認証が無効であることを通知する（S32）。
[３]EAP処理部２２はIPフィルタ部２１に対してネットワーク認証プロトコル識別子（PID）に関連づけられたパケット（第１のパケット）を通過させないように通知を行う（S33）。
[４]EAP処理部２２は、IEEE 802.1X オーセンティケータ２４の状態を(たいていは
forceAuthorized（強制認証）状態から)、auto（オート）へ遷移させて、端末装置をIEEE 802.1X認証（通常認証または強制認証）を必要とする状態にする（S34）。
[５]EAP処理部２２はIEEE 802.1X オーセンティケータ２４を経由して認証が完全に
解けたことをEAP-LogOff メッセージを使って端末装置に通知する（S35）。
[６]EAP処理部２２は上記の後、自身が保持するusernameに関するデータを消去する。
【００６０】
（１６）PANA処理部２３は、自身が保持するusernameに関連するデータを消去する。
【００６１】
なお、上記認証エージェント装置（認証装置）は、例えば、汎用のコンピュータ装置を基本ハードウェアとして用いることでも実現することが可能である。すなわち、IPフィルタ部、EAP処理部、PANA処理部およびIEEE802.1Xオーセンティケータは、上記のコンピュータ装置に搭載されたプロセッサにプログラムを実行させることにより実現することができる。このとき、認証エージェント装置は、上記のプログラムをコンピュータ装置にあらかじめインストールすることで実現してもよいし、ＣＤ−ＲＯＭなどの記憶媒体に記憶して、あるいはネットワークを介して上記のプログラムを配布して、このプログラムをコンピュータ装置に適宜インストールすることで実現してもよい。
【図面の簡単な説明】
【００６２】
【図１】本発明の一実施の形態としての認証エージェント装置の構成を示すブロック図。
【図２】図１の認証エージェントを適用したネットワーク認証システムの構成例を示す図。
【図３】図２のネットワーク認証システムの動作例を説明する図。
【図４】従来においてIEEE 802.1X とPANA を同時に運用しているネットワーク認証システムの構成例を示す図。
【符号の説明】
【００６３】
２１：IPフィルタ部
２２：EAP処理部
２３：PANA処理部
２４：IEEE 802.1Xオーセンティケータ
【図１】
0004970189.tif 000002
【図２】
0004970189.tif 000003
【図３】
0004970189.tif 000004
【図４】
0004970189.tif 000005