JP5002337B2 - ネットワークアクセスを認証または中継する通信システム、中継装置、認証装置、および通信方法 - Google Patents

Description

この発明は、ネットワークに対するアクセス認証を行う通信システム、アクセス認証に関する通信を中継する中継装置、アクセス認証を行う認証装置、および通信方法に関するものである。

従来から、あるネットワークシステムに対して認証された端末に対してのみネットワークアクセスを許可するためのプロトコルとして、ネットワークアクセス認証プロトコルが利用されている。

例えば、非特許文献１では、ＰＡＮＡ（Protocol for Carrying Authentication for Network Access）と呼ばれるネットワークアクセス認証プロトコルが提案されている。ＰＡＮＡは、ＵＤＰ（User Datagram Protocol）プロトコル上で動作する、ＩＥＴＦ（Internet Engineering Task Force）で標準化中のネットワークアクセス認証プロトコルである。ＰＡＮＡでは、認証後に多様な認可ポリシを設定することができる。例えば、対象となる端末機器のＩＰアドレスに対して複数のルータ機器へのフィルタ設定を行うことなどを、認可ポリシとして設定可能である。

また、ＩＥＥＥ（Institute of Electrical and Electronic Engineers）８０２．１Ｘと呼ばれるネットワークアクセス認証プロトコルも広く知られている。ＩＥＥＥ８０２．１Ｘは、ＬＡＮ上で動作する、ＩＥＥＥで標準化されたネットワークアクセス認証プロトコルである。ＩＥＥＥ８０２．１Ｘは、認可ポリシとしては、対象となる端末機器の機器アドレスに対するＬＡＮのポートの開閉のみが設定可能である。

このように、ネットワークアクセス認証プロトコルには複数の種類が存在するが、これらは互いに相互運用性がない。ところが、異なるネットワークアクセス認証プロトコルを相互に接続して動作させる必要が生じる場合がある。

例えば、（１）異なるネットワークアクセス認証プロトコルを利用していたネットワークシステムを１つに統合する場合、（２）ネットワークアクセス認可ポリシを変更するためにネットワークアクセス認証プロトコルを移行する場合、（３）単純な認可ポリシのネットワークアクセス認証プロトコルにのみ対応した端末を、より複雑な認可ポリシを採用するネットワークアクセス認証プロトコルを採用したネットワークシステムに接続する場合、などが挙げられる。

このように、複数のネットワークアクセス認証プロトコルを統合して統一的なネットワークアクセス認証を実現するためには、通常、ある１つのネットワークアクセス認証プロトコルを採用し、ネットワークシステムを構成する全ての構成要素を、採用した１つのネットワークアクセス認証プロトコルに対応させる必要がある。

また、このようにネットワークアクセス認証プロトコルを統合する場合、（１）ネットワークシステムに接続する端末の変更を不要とすること、（２）複数のネットワークアクセス認証プロトコルに対応した場合であっても、１つの認証サーバと認証データベースを利用して、統一的に認証できること、（３）ネットワークシステム自体への改変が少ないこと、などが要求される。

"Protocol for carrying Authentication for Network Access (PANA)" 、[online]、 retrieved from the Internet: <URL:http://www.ietf.org/html.charters/PANA-charter.html>

しかしながら、ネットワークシステムを構成する全ての構成要素を、同一のネットワークアクセス認証プロトコルに対応させることは困難である。例えば、ネットワークシステムに求められる構成要素や採用可能な認可ポリシは、ネットワークアクセス認証プロトコルごとに異なっている。このため、他のプロトコルに統合するときに、構成要素が不足する場合や、認可ポリシが実現不可能となる場合が生じうる。

ネットワークを統合する方法の１つとして、一方のプロトコル（例えばＰＡＮＡ）の終端機能と、他方のプロトコル（例えばＩＥＥＥ８０２．１Ｘ）の中継機能とを備えたスイッチ装置を、端末装置とネットワークシステムとの間に設置する方法が考えられる。

ところが、この方法では、スイッチ装置を介してＩＥＥＥ８０２．１Ｘによるネットワークアクセスの認可が可能となるが、認可ポリシの相違を考慮していないため、ＩＥＥＥ８０２．１Ｘのみに対応した端末に対してＰＡＮＡの認可ポリシを適用することができない。すなわち、上述のように、認可ポリシが実現不可能となり、端末装置からネットワークシステムへのアクセスが制限されるという問題が生じる。

本発明は、上記に鑑みてなされたものであって、認可ポリシが異なる場合であっても、異なるネットワークアクセス認証プロトコルによるネットワークシステムを相互に接続可能とする通信システム、中継装置、認証装置、および通信方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、第１ネットワークを介して接続された端末装置から第２ネットワークへの通信を中継する第１中継装置と、前記第１中継装置に前記第２ネットワークを介して接続され、前記端末装置を第１認証プロトコルにより認証する第１認証装置への通信を中継する第２中継装置と、前記第１中継装置に第２ネットワークを介して接続され、第２認証プロトコルにより前記第２ネットワークに対する前記第１中継装置のためのアクセス認証を行う第２認証装置と、を備えた通信システムであって、前記第１中継装置は、前記第１中継装置が前記第２ネットワークに対してアクセスする通信を識別する識別情報を記憶可能な識別情報記憶部と、前記第１中継装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第１要求メッセージを前記第２認証装置に送信する要求送信部と、前記第１要求メッセージに対する応答であって、前記第２ネットワークに対する前記第１中継装置のアクセス認否の判断結果を前記第２認証装置から受信する結果受信部と、前記第２ネットワークに対する前記第１中継装置のアクセスを認可する前記判断結果を受信した場合に、前記第１中継装置から前記第２ネットワークに対する通信を確立し、確立した通信の前記識別情報を前記識別情報記憶部に保存する通信確立部と、前記端末装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第２要求メッセージを前記端末装置から受信する第１要求受信部と、前記第２要求メッセージを受信した場合に、前記識別情報記憶部から前記識別情報を取得し、取得した前記識別情報を前記第２要求メッセージに付加して前記第２中継装置に転送する転送部と、を備え、前記第２中継装置は、前記識別情報が付加された前記第２要求メッセージを前記第１中継装置から受信し、受信した前記第２要求メッセージを前記第１認証装置に中継する中継部と、前記第２要求メッセージの送信元の前記端末装置が前記第１認証装置に認証された場合に、認証された前記端末装置のアドレス情報に、前記第２要求メッセージに付加された前記識別情報を対応づけて前記第２認証装置に通知する通知部と、を備え、前記第２認証装置は、前記第１要求メッセージを前記第１中継装置から受信する第２要求受信部と、受信した前記第１要求メッセージに基づいて前記第１中継装置の前記第２ネットワークに対するアクセス認否を判断し、アクセスを認可した前記第１中継装置に対して、前記第１中継装置ごとに予め定められたアクセス方法を決定する判断部と、前記判断部による判断結果を前記第１中継装置に送信する結果送信部と、前記識別情報が対応づけられた前記アドレス情報を前記第２中継装置から受信するアドレス受信部と、受信した前記アドレス情報の前記端末装置に対して、受信した前記アドレス情報に対応づけられた前記識別情報で識別される通信を確立した前記第１中継装置について決定された前記アクセス方法による前記第２ネットワークへのアクセスを認可する認可部と、を備えたこと、を特徴とする。

また、本発明は、上記装置を実行することができる方法である。

また、本発明は、第１ネットワークを介して接続された端末装置から第２ネットワークへの通信を中継する第１中継装置と、前記端末装置を第１認証プロトコルにより認証する外部認証装置への通信を中継する第２中継装置と、に前記第２ネットワークを介して接続され、第２認証プロトコルにより前記第２ネットワークに対するアクセス認証を行う認証装置であって、前記第１中継装置が前記第２ネットワークに対してアクセスを要求するアクセス認証を要求する要求メッセージを前記第１中継装置から受信する要求受信部と、受信した前記要求メッセージに基づいて前記第１中継装置の前記第２ネットワークに対するアクセス認否を判断し、アクセスを認可した前記第１中継装置に対して、前記第１中継装置ごとに予め定められたアクセス方法を決定する判断部と、前記判断部による判断結果を前記第１中継装置に送信する結果送信部と、前記第２ネットワークへのアクセスが認可された前記第１中継装置との間の通信を識別する識別情報が対応づけられた前記端末装置のアドレス情報を前記第２中継装置から受信するアドレス受信部と、受信した前記アドレス情報の前記端末装置に対して、受信した前記アドレス情報に対応づけられた前記識別情報で識別される通信を確立した前記第１中継装置について決定された前記アクセス方法による前記第２ネットワークへのアクセスを認可する認可部と、を備えたこと、を備えたことを特徴とする。

また、本発明は、端末装置に第１ネットワークを介して接続されるとともに、前記端末装置を第１認証プロトコルにより認証する第１認証装置への通信を中継する外部装置と第２認証プロトコルにより前記第２ネットワークへのアクセス認証を行う第２認証装置とに前記第２ネットワークを介して接続され、前記端末装置から前記第２ネットワークへの通信を中継する中継装置であって、前記中継装置が前記第２ネットワークに対してアクセスする通信を識別する識別情報を記憶可能な識別情報記憶部と、前記中継装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第１要求メッセージを前記第２認証装置に送信する要求送信部と、前記第１要求メッセージに対する応答であって、前記第２ネットワークに対する前記中継装置のアクセス認否の判断結果を前記第２認証装置から受信する結果受信部と、前記第２ネットワークに対する前記中継装置のアクセスを認可する前記判断結果を受信した場合に、前記第２ネットワークに対する通信を確立し、確立した通信の前記識別情報を前記識別情報記憶部に保存する通信確立部と、前記端末装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第２要求メッセージを前記端末装置から受信する要求受信部と、前記第２要求メッセージを受信した場合に、前記識別情報記憶部から前記識別情報を取得し、取得した前記識別情報を前記第２要求メッセージに付加して前記外部装置に転送する転送部と、を備えたことを特徴とする。

また、本発明は、第１ネットワークを介して接続された端末装置から第２ネットワークへの通信を中継する外部装置と、第２認証プロトコルにより前記第２ネットワークに対するアクセス認証を行う第２認証装置と、に前記第２ネットワークを介して接続され、前記端末装置を第１認証プロトコルにより認証する第１認証装置への通信を中継する中継装置であって、前記端末装置の前記第２ネットワークに対するアクセス認証を要求するメッセージであって、前記外部装置から前記第２ネットワークに対してアクセスする通信を識別する識別情報が付加された要求メッセージを前記外部装置から受信し、受信した前記要求メッセージを前記第１認証装置に中継する中継部と、前記要求メッセージの送信元の前記端末装置が前記第１認証装置に認証された場合に、認証された前記端末装置のアドレス情報に、前記要求メッセージに付加された前記識別情報を対応づけて前記第２認証装置に通知する通知部と、を備えたことを特徴とする。

本発明によれば、認可ポリシが異なる場合であっても、異なるネットワークアクセス認証プロトコルによるネットワークシステムを相互に接続することができるという効果を奏する。

以下に添付図面を参照して、この発明にかかる通信する通信システム、中継装置、認証装置、および通信方法の最良な実施の形態を詳細に説明する。

本実施の形態にかかる通信システムは、第１認証プロトコルとして８０２．１Ｘを用いたネットワークを、第２認証プロトコルとしてＰＡＮＡを用いたネットワークに統合し、８０２．１Ｘのみに対応した端末に対してもＰＡＮＡの認証ポリシを適用可能とするものである。

まず、本実施の形態にかかる通信システムの構成について図１を用いて説明する。図１は、本実施の形態の通信システムの構成を示す説明図である。

まず、本実施の形態にかかる通信システムの構成要素について説明する。本実施の形態にかかる通信システムは、インフラネットワークシステム１０と、インフラネットワークシステム１０の外部のネットワークに接続されている端末装置７００と、端末装置７００のインフラネットワークシステム１０に対する通信を中継するスイッチ装置６００とを備えている。スイッチ装置６００および端末装置７００は複数存在してもよい。以下に、各構成要素の概要を説明する。

インフラネットワークシステム１０は、統合したネットワークシステムそのものを表すものであり、ネットワークアクセス認証プロトコルとしてＰＡＮＡを採用する。ネットワークアクセス認証プロトコルとしてＰＡＮＡに対応した端末は、インフラネットワークシステム１０に接続し、ネットワークアクセスの認可を受けることができる。

同図では省略しているが、インフラネットワークシステム１０では、接続された端末に対して情報サービスを提供する複数のサーバが運用されている。インフラネットワークシステム１０は、単一の装置として実現することも可能であるが、通常、複数のサーバ装置からなるネットワークとして構成される。

インフラネットワークシステム１０には、Ｒａｄｉｕｓ（Remote Authentication Dial In User Service） Ｓｅｒｖｅｒ１００と、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００と、ＤＨＣＰ（Dynamic Host Configuration Protocol） Ｓｅｒｖｅｒ３００と、ＰＡＮＡ ＰＡＡ（PANA Authentication Agent）４００と、ＰＡＮＡ ＥＰ５００ａ、５００ｂと、が含まれる。これらのうち、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００以外は複数存在することもありうる。

スイッチ装置６００は、端末装置７００とインフラネットワークシステム１０との通信を仲介するものである。また、スイッチ装置６００は、ネットワークアクセス認証プロトコルとして８０２．１Ｘを採用している端末装置７００を、ネットワークアクセス認証プロトコルとしてＰＡＮＡを採用しているインフラネットワークシステム１０に対して接続させる役割を有する。このため、同図に示すように、スイッチ装置６００は、ＰＡＮＡ ＰａＣ（PANA Client）機能と、１ｘ Ａｕｔｈｅｎｔｉｃａｔｏｒ機能とを有する。

ＰＡＮＡ ＰａＣ機能とは、ネットワークアクセス認証プロトコルＰＡＮＡの終端機能である。すなわち、ＰＡＮＡによるネットワークアクセス認証を開始し、ネットワークアクセスの認可を受ける機能である。

１ｘ Ａｕｔｈｅｎｔｉｃａｔｏｒ機能とは、ネットワークアクセス認証プロトコル８０２．１Ｘの中継機能である。すなわち、端末装置７００との間でＥＡＰｏＬ（Extensible Authentication Protocol over LAN）プロトコルを実行し、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００またはＲａｄｉｕｓ Ｓｅｒｖｅｒ１００との間でＲＡＤＩＵＳプロトコルを実行することで、端末装置７００のネットワークアクセス認証を行う機能である。また、１ｘ Ａｕｔｈｅｎｔｉｃａｔｏｒ機能は、ネットワークアクセス認証の結果に従って端末装置７００のネットワークアクセス認可を設定するため、端末装置７００が接続されたポートの開閉を行う機能を含む。

端末装置７００は、ネットワークアクセス認証プロトコルとして８０２．１Ｘにのみ対応した装置である。端末装置７００は、ＰＡＮＡに対応したその他の端末（図示せず）と同様に、インフラネットワークシステム１０に接続し、インフラネットワークシステム１０で運用されているサーバからサービスを受けることを要求する。インフラネットワークシステム１０への接続を行うためには、ネットワークアクセス認証が必要である。しかし、端末装置７００は、８０２．１Ｘにのみ対応しているため、そのままでは、ＰＡＮＡを採用したインフラネットワークシステム１０に接続してネットワークアクセス認証を受けることができない。

本実施の形態では、後述するように、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００、ＰＡＮＡ ＰＡＡ４００、およびスイッチ装置６００の機能によって、８０２．１Ｘにのみ対応した端末装置７００に対して、ＰＡＮＡによるネットワークアクセス認証を適用可能としている。

なお、端末装置７００は、８０２．１Ｘプロトコルを実行するため、１ｘＳｕｐｐｌｉｃａｎｔ機能を有する。これは、ネットワークアクセス認証プロトコル８０２．１Ｘの終端機能である。すなわち、８０２．１Ｘによるネットワークアクセス認証を開始し、ネットワークアクセスの認可を受ける機能である。また、端末装置７００は、スイッチ装置６００を介することで、インフラネットワークシステム１０に接続する。

Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００は、ネットワークアクセス認証のための認証プロトコルである、ＲＡＤＩＵＳプロトコルを処理するためのサーバ装置である。ＰＡＮＡおよび８０２．１Ｘのいずれのプロトコルであっても、ネットワークアクセス認証を行う場合は、このＲａｄｉｕｓ Ｓｅｒｖｅｒ１００で端末装置７００の認証可否を決定する。

１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００は、８０２．１ＸのためのＲＡＤＩＵＳプロトコルをＲａｄｉｕｓ Ｓｅｒｖｅｒ１００に中継するためのサーバ装置である。また、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００は、８０２．１Ｘによる認証が成功した場合、端末装置７００に対して、インフラネットワークシステム１０で採用されているＰＡＮＡによるネットワークアクセス認可を行うため、ＤＨＣＰ Ｓｅｒｖｅｒ３００やＰＡＮＡ ＰＡＡ４００との間でデータを送受信する。

ＤＨＣＰ Ｓｅｒｖｅｒ３００は、認証された端末装置７００に対して、ＩＰアドレスを割り当てるサーバ装置である。

ＰＡＮＡ ＰＡＡ４００は、ネットワークアクセス認証プロトコルＰＡＮＡの中継サーバ装置である。ＰＡＮＡ ＰＡＡ４００は、スイッチ装置６００のＰＡＮＡ ＰａＣ機能との間でＰＡＮＡプロトコルを実行し、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００との間でＲＡＤＩＵＳプロトコルを実行することで、ＰＡＮＡ ＰａＣ機能を有するスイッチ装置６００のネットワークアクセス認証を行う。また、ＰＡＮＡ ＰＡＡ４００は、ネットワークアクセス認証の結果に従ってネットワークアクセス認可を設定するため、ＰＡＮＡ ＥＰ５００に対して通信を行う。

ＰＡＮＡ ＥＰ５００は、ネットワークアクセス認証の結果に対応する認可ポリシが設定される装置である。具体的には、ＰＡＮＡ ＥＰ５００は、ＩＰアドレスを指定してネットワークアクセスの許可または不許可を設定することによりネットワークアクセスの認可を行うルータまたはスイッチとして構成される。

なお、本実施の形態の通信システムは上記構成に限られるものではない。例えば、インフラネットワークシステム１０に含まれる複数の装置のうちいずれかを、同一の筐体として実現する構成などが可能である。また、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００の機能などのインフラネットワークシステム１０の一部の装置の機能を、スイッチ装置６００に配置する構成なども可能である。

次に、上記のように構成された各装置によるアクセス認証処理のシーケンスの概要について説明する。図１は、各装置間の矢印に付された番号により、アクセス認証処理のシーケンスを表している。このシーケンスは、スイッチ装置６００をインフラネットワークシステム１０に接続し、８０２．１Ｘにのみ対応している端末装置７００を、スイッチ装置６００に接続することで、ＰＡＮＡに対応し、ＰＡＮＡによる認可ポリシを採用しているインフラネットワークシステム１０に端末装置７００を接続し、インフラネットワークシステム１０内で、端末装置７００のネットワークアクセスを正しく認可するための手順を表している。

なお、８０２．１Ｘでは、端末装置７００は、端末装置７００の機器アドレスによって認証されるものとする。

（１）インフラネットワークシステム１０に対して、スイッチ装置６００を接続する。このとき、スイッチ装置６００のＰＡＮＡ ＰａＣ機能とＰＡＮＡ ＰＡＡ４００との間で、ネットワークアクセス認証プロトコルＰＡＮＡが実行される。

（２）スイッチ装置６００のネットワークアクセス認証を開始したＰＡＮＡ ＰＡＡ４００は、スイッチ装置６００の認証を実行するため、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００との間でＲＡＤＩＵＳプロトコルを実行する。これにより、スイッチ装置６００のネットワークアクセスがＰＡＮＡ ＰＡＡ４００によって認可され、ＰＡＮＡ ＰＡＡ４００とスイッチ装置６００との間ではＰＡＮＡセッションが確立される。

（３）ＰＡＮＡプロトコルおよびＲＡＤＩＵＳプロトコルの実行結果により、スイッチ装置６００のネットワークアクセスの認可がされた場合、ＰＡＮＡ ＰＡＡ４００に設定された認可ポリシに従って、ＰＡＮＡ ＥＰ５００に対して、ＳＮＭＰプロトコルなどにより、スイッチ装置６００のＩＰアドレスを通知する。通知を受けたＰＡＮＡ ＥＰ５００は、指定されたスイッチ装置６００のＩＰアドレスを認可する。これにより、スイッチ装置６００によるインフラネットワークシステム１０へのネットワークアクセスが許可される。

（４）スイッチ装置６００に対して、端末装置７００を接続する。このとき、端末装置７００の１ｘＳｕｐｐｌｉｃａｎｔ機能と、スイッチ装置６００の１ｘ Ａｕｔｈｅｎｔｉｃａｔｏｒ機能との間で、ネットワークアクセス認証プロトコル８０２．１ＸのためのＥＡＰｏＬプロトコルが実行される。なお、スイッチ装置６００に対して端末装置７００が接続された時点で、スイッチ装置６００が１〜３のシーケンスを開始し、その後に、ＥＡＰｏＬプロトコルの処理を開始するように構成してもよい。

（５）スイッチ装置６００内で、１ｘ Ａｕｔｈｅｎｔｉｃａｔｏｒ機能に対して、ＰＡＮＡ ＰａＣ機能に関連するＰＡＮＡセッション情報が通知される。これにより、スイッチ装置６００で、ＰＡＮＡセッション情報が８０２．１Ｘ認証プロトコルに関連づけられる。

（６）端末装置７００のネットワークアクセス認証を開始したスイッチ装置６００は、端末装置７００の８０２．１Ｘ認証を実行するため、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００との間でＲＡＤＩＵＳプロトコルを実行する。このとき、スイッチ装置６００のＰＡＮＡ ＰａＣ機能に関連するＰＡＮＡセッション情報が、通常のＲＡＤＩＵＳプロトコルのメッセージに付加されて送信される。

（６’）１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００は、ＲＡＤＩＵＳプロトコルのメッセージに付加されているＰＡＮＡセッション情報を保持するとともに、ＰＡＮＡセッション情報を削除したＲＡＤＩＵＳプロトコルのメッセージを、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００に対して中継する。ＰＡＮＡセッション情報を削除するのは、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００が通常のＲＡＤＩＵＳプロトコルの処理を扱うのみとし、本実施の形態による拡張を意識しない構成とするためである。これにより、端末装置７００のネットワークアクセスがスイッチ装置６００で認可される。この結果、スイッチ装置６００は、端末装置７００が接続されたポートの開閉を行い、これ以後、端末装置７００からの通常のネットワークアクセスを、インフラネットワークシステム１０に対して中継する。

（７）スイッチ装置６００でネットワークアクセスが認可された端末装置７００は、ＤＨＣＰプロトコルを実行し、自身に対するＩＰアドレスの割り当てをＤＨＣＰ Ｓｅｒｖｅｒ３００に要求する。これに対して、ＤＨＣＰ Ｓｅｒｖｅｒ３００は、端末装置７００に対してＩＰアドレスを割り当てる。

（７’）１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００は、端末装置７００のネットワークアクセス認証が完了すると、端末装置７００のネットワークアクセス認証の際に把握した端末装置７００の機器アドレスをキーとして、端末装置７００に割り当てられたＩＰアドレスをＤＨＣＰ Ｓｅｒｖｅｒ３００に問い合わせる。そして、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００は、ＤＨＣＰ Ｓｅｒｖｅｒ３００から返信された端末装置７００のＩＰアドレスを取得する。

（８）１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００は、上記（７）で取得した端末装置７００のＩＰアドレスと、上記（６）で取得した端末装置７００に関連するＰＡＮＡセッション情報を、ＰＡＮＡ ＰＡＡ４００に通知する。これにより、端末装置７００のネットワークアクセスを許可するために必要なＰＡＮＡによるネットワークアクセス認可をＰＡＮＡ ＰＡＡ４００に依頼する。ＰＡＮＡ ＰＡＡ４００は、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００から通知された情報により、８０２．１Ｘにより認証された端末装置７００のＩＰアドレスと、ＰＡＮＡ ＰＡＡ４００に設定された認可ポリシに従い、端末装置７００が接続されているＰＡＮＡで認証されたスイッチ装置６００を特定する。ＰＡＮＡ ＰＡＡ４００は、さらに、特定したスイッチ装置６００より、８０２．１Ｘにより認証された端末装置７００に対してＰＡＮＡによるネットワークアクセス認可を行うために設定が必要なＰＡＮＡ ＥＰ５００を特定する。

（９）ＰＡＮＡ ＰＡＡ４００は、８０２．１Ｘにより認証された端末装置７００に対してＰＡＮＡによるネットワークアクセス認可を行うため、設定が必要なＰＡＮＡ ＥＰ５００に対して、ＳＮＭＰプロトコルなどにより、端末装置７００のＩＰアドレスを通知する。これを受けたＰＡＮＡ ＥＰ５００は、指定された端末装置７００の通信を許可する。このようにして、端末装置７００によるインフラネットワークシステム１０へのネットワークアクセスが認可される。

（１０）以後、端末装置７００は、スイッチ装置６００を経由してインフラネットワークシステム１０へのネットワークアクセスが可能となる。

次に、本実施の形態の通信システムを構成する各装置の詳細な構成について説明する。まず、スイッチ装置６００の構成について図２を用いて説明する。図２は、本実施の形態にかかるスイッチ装置６００の構成を示すブロック図である。

図２に示すように、スイッチ装置６００は、インフラネットワークインタフェース（Ｉ／Ｆ）６０１と、端末装置インタフェース（Ｉ／Ｆ）６０２と、ＰＡＮＡプロトコル処理部６０３と、８０２．１Ｘプロトコル処理部６０４と、中継制御部６０５と、記憶部６１０と、を備えている。

記憶部６１０は、アクセス認証に関する情報を記憶するものであり、端末認証状態テーブル６１１と、セッション情報テーブル６１２とを格納している。

端末認証状態テーブル６１１は、端末装置７００ごとの認証状態を記憶するものである。図３は、端末認証状態テーブル６１１に記憶されるデータのデータ構造の一例を示す説明図である。図３に示すように、端末認証状態テーブル６１１は、端末装置７００が接続されている物理ポートを識別する番号と、端末装置７００の機器アドレスと、端末装置７００の認証状態（８０２．１Ｘ認証状態）とを対応づけて格納している。認証状態としては、例えば、認証されているときに「Ａｃｃｅｐｔ」を設定し、認証されていないときに「Ｒｅｊｅｃｔ」を設定する。

図２に戻り、セッション情報テーブル６１２は、スイッチ装置６００のＰＡＮＡ ＰＡＡ４００による認証状態および認証された場合のＰＡＮＡセッションに関するＰＡＮＡセッション情報を記憶するものである。図４は、セッション情報テーブル６１２に記憶されるデータのデータ構造の一例を示す説明図である。

図４に示すように、セッション情報テーブル６１２は、スイッチ装置６００のＰＡＮＡ ＰＡＡ４００による認証状態と、ＰＡＮＡセッション情報としてＰＡＮＡセッションを識別するＰＡＮＡセッションＩＤとを格納している。なお、ＰＡＮＡセッション情報はこれに限られるものではなく、例えば、スイッチ装置６００のＩＰアドレスなど、セッションに関連するその他の情報を含めるように構成してもよい。

図２に戻り、インフラネットワークＩ／Ｆ６０１は、インフラネットワークシステム１０内の各装置との間で通信するときに利用するネットワークインタフェースである。端末装置Ｉ／Ｆ６０２は、端末装置７００と物理的に接続するイーサネット（登録商標）ポートである。

ＰＡＮＡプロトコル処理部６０３は、インフラネットワークシステム１０に対して、スイッチ装置６００のネットワークアクセスを認可させるため、インフラネットワークシステム１０内のＰＡＮＡ ＰＡＡ４００との間でＰＡＮＡプロトコルを実行するものである。すなわち、ＰＡＮＡプロトコル処理部６０３は、一般にＰＡＮＡ ＰａＣと呼ばれるＰＡＮＡプロトコルの終端機能を備えている。

また、ＰＡＮＡプロトコル処理部６０３は、要求送信部６０３ａと、結果受信部６０３ｂと、通信確立部６０３ｃとを備えている。

要求送信部６０３ａは、スイッチ装置６００のネットワークアクセス認証を要求するメッセージをＰＡＮＡ ＰＡＡ４００に対して送信するものである。結果受信部６０３ｂは、ＰＡＮＡ ＰＡＡ４００からネットワークアクセス認証の認証結果を受信するものである。通信確立部６０３ｃは、ネットワークアクセスが認可された場合に、ＰＡＮＡ ＰＡＡ４００との間でＰＡＮＡセッションを確立し、確立したＰＡＮＡセッションに関する情報（ＰＡＮＡセッション情報）を、記憶部６１０のセッション情報テーブル６１２に保存するものである。

８０２．１Ｘプロトコル処理部６０４は、端末装置Ｉ／Ｆ６０２に接続した端末装置７００の、インフラネットワークシステム１０に対するネットワークアクセス認証プロトコルを中継するために、８０２．１Ｘプロトコルを実行するものである。具体的には、８０２．１Ｘプロトコル処理部６０４は、端末装置７００との間でＥＡＰｏＬプロトコルを実行し、インフラネットワークシステム１０内の１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００との間でＲＡＤＩＵＳプロトコルを実行する。

また、８０２．１Ｘプロトコル処理部６０４は、要求受信部６０４ａと、転送部６０４ｂとを備えている。要求受信部６０４ａは、端末装置７００から、インフラネットワークシステム１０に対するアクセス認証を要求するメッセージを受信するものである。

転送部６０４ｂは、アクセス認証を要求するメッセージに、セッション情報テーブル６１２に記憶されているＰＡＮＡセッション情報を付加して１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００に転送するものである。

図５は、転送されるＲＡＤＩＵＳプロトコルのメッセージの一例を示した説明図である。図５は、ＰＡＮＡセッション情報をＲＡＤＩＵＳアトリビュートとして追加したＲＡＤＩＵＳプロトコルのパケット構成例を示している。ＲＡＤＩＵＳパケットは、ＲＡＤＩＵＳヘッダと、複数のＲＡＤＩＵＳアトリビュートとを含んでいる。ＲＡＤＩＵＳヘッダには、メッセージの種類を示すコード、メッセージの識別子、パケット長、および認証のための認証符号が含まれる。個々のＲＡＤＩＵＳアトリビュートは、アトリビュートの種類を表すＴｙｐｅ、アトリビュートの長さ、および値を含んでいる。

ＲＡＤＩＵＳプロトコルの仕様では、Ｔｙｐｅ２６のＲＡＤＩＵＳアトリビュートを利用することで、標準化されたＲＡＤＩＵＳアトリビュート以外のベンダ拡張アトリビュートを追加することが規定されている。そこで、本実施の形態では、Ｔｙｐｅ２６のＲＡＤＩＵＳアトリビュートにＰＡＮＡセッション情報を追加する。

図２に戻り、中継制御部６０５は、端末装置７００とインフラネットワークシステム１０との間の通信の中継を制御するものである。中継制御部６０５は、端末装置７００ごとにポートの開閉を管理しており、８０２．１Ｘネットワークアクセス認証が成功するまで端末装置７００の通信は許可しない。

次に、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００の構成について図６を用いて説明する。図６は、本実施の形態にかかる１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００の構成を示すブロック図である。

図６に示すように、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００は、ＲＡＤＩＵＳプロトコル中継部２０１と、通知部２０３と、アドレス取得部２０４と、制御部２０５と、記憶部２１０と、を備えている。

記憶部２１０は、８０２．１Ｘによって認証される端末装置７００の情報と、関連するＰＡＮＡセッション情報とを記憶するものであり、端末−ＰＡＮＡ対応テーブル２１１を格納している。図７は、端末−ＰＡＮＡ対応テーブル２１１に格納されるデータのデータ構造の一例を示す説明図である。

図７に示すように、端末−ＰＡＮＡ対応テーブル２１１は、８０２．１Ｘによって認証される端末装置７００の機器アドレスと、８０２．１Ｘの認証状態と、８０２．１Ｘ認証が利用しているスイッチ装置６００に対応するＰＡＮＡセッション情報と、８０２．１Ｘによって認証された端末装置７００に割り当てられたＩＰアドレスと、を対応づけて格納している。

図６に戻り、ＲＡＤＩＵＳプロトコル中継部２０１は、スイッチ装置６００とＲａｄｉｕｓ Ｓｅｒｖｅｒ１００との間でＲＡＤＩＵＳプロトコルのメッセージを中継するものである。なお、ＲＡＤＩＵＳプロトコル中継部２０１は、メッセージを中継するとき、ＰＡＮＡセッション情報に関するＲＡＤＩＵＳアトリビュートの削除を行う。

通知部２０３は、ＰＡＮＡ ＰＡＡ４００に対して、８０２．１Ｘプロトコルによって認証された端末装置７００に対応するＰＡＮＡセッション情報と、８０２．１Ｘプロトコルによって認証された端末装置７００のＩＰアドレスを通知するものである。

アドレス取得部２０４は、ＤＨＣＰ Ｓｅｒｖｅｒ３００との間でデータ送受信を行い、８０２．１Ｘプロトコルによって認証された端末装置７００に割り当てられたＩＰアドレスを取得するものである。

制御部２０５は、アドレス取得部２０４、ＲＡＤＩＵＳプロトコル中継部２０１、通知部２０３、および記憶部２１０を制御するものである。また、制御部２０５は、必要に応じて、記憶部２１０に格納されている端末−ＰＡＮＡ対応テーブル２１１を更新する。

次に、ＰＡＮＡ ＰＡＡ４００の構成について図８を用いて説明する。図８は、本実施の形態にかかるＰＡＮＡ ＰＡＡ４００の構成を示すブロック図である。

図８に示すように、ＰＡＮＡ ＰＡＡ４００は、アドレス受信部４０１と、ＰＡＮＡ−ＥＰ通信部４０２と、ＲＡＤＩＵＳプロトコル処理部４０３と、ＰＡＮＡプロトコル処理部４０４と、制御部４０５と、記憶部４１０と、を備えている。

アドレス受信部４０１は、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００から、８０２．１Ｘプロトコルによって認証された端末装置７００に対応するＰＡＮＡセッション情報と、８０２．１Ｘプロトコルによって認証された端末装置７００のＩＰアドレスの通知を受けるものである。

ＰＡＮＡ−ＥＰ通信部４０２は、ＰＡＮＡ ＥＰ５００に対して、ＰＡＮＡプロトコルによって認証されたスイッチ装置６００のＩＰアドレス、または８０２．１Ｘプロトコルによって認証された端末装置７００のＩＰアドレスを通知するものである。これにより、ＰＡＮＡ ＥＰ５００でのネットワークアクセス認可の設定が可能となる。

ＲＡＤＩＵＳプロトコル処理部４０３は、ＰＡＮＡプロトコル処理部４０４と共に動作し、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００との間でＲＡＤＩＵＳプロトコルによるメッセージを交換し、スイッチ装置６００の認証処理を行うものである。

ＰＡＮＡプロトコル処理部４０４は、インフラネットワークシステム１０に対して、スイッチ装置６００のネットワークアクセスを認可させるため、スイッチ装置６００との間でＰＡＮＡプロトコルを実行するものである。すなわち、ＰＡＮＡプロトコル処理部４０４は、一般にＰＡＡと呼ばれるＰＡＮＡプロトコルの中継機能を備えている。

ＰＡＮＡプロトコル処理部４０４は、要求受信部４０４ａと、判断部４０４ｃと、結果送信部４０４ｂと、認可部４０４ｄとを備えている。

要求受信部４０４ａは、スイッチ装置６００から、ＰＡＮＡによるネットワークアクセス認証を要求するメッセージを受信するものである。

判断部４０４ｃは、要求受信部４０４ａが受信したメッセージに従いＰＡＮＡによるネットワークアクセス認証を実行し、アクセス認否を判断するものである。また、判断部４０４ｃは、アクセスを許可した場合は、ＰＡＮＡ−ＥＰ対応テーブル４１２（後述）を参照して設定された認可ポリシに従ってスイッチ装置６００のネットワークアクセスを認可する。

結果送信部４０４ｂは、アクセス認証の結果をスイッチ装置６００に送信するものである。認可部４０４ｄは、アドレス受信部４０１によってＩＰアドレスを通知された端末装置７００に対して、ＰＡＮＡセッションＩＤによって関連付けられたスイッチ装置６００と同様の認可ポリシを適用するものである。

制御部４０５は、アドレス受信部４０１、ＰＡＮＡ−ＥＰ通信部４０２、ＲＡＤＩＵＳプロトコル処理部４０３、ＰＡＮＡプロトコル処理部４０４、および記憶部４１０の動作を制御するものである。また、制御部４０５は、必要に応じて、記憶部２１０に格納されている各テーブルを更新する。

記憶部４１０は、端末装置７００をＰＡＮＡによって認証するための各種情報を記憶するものであり、ＰＡＮＡ認証状態テーブル４１１と、ＰＡＮＡ−ＥＰ対応テーブル４１２と、認可アドレス管理テーブル４１３とを格納している。以下に、各テーブルの構成例について図９〜図１１を用いて説明する。

図９は、ＰＡＮＡ認証状態テーブル４１１に格納されるデータのデータ構造の一例を示す説明図である。ＰＡＮＡ認証状態テーブル４１１は、ＰＡＮＡで認証されたスイッチ装置６００に関する情報を保持するものである。具体的には、ＰＡＮＡ認証状態テーブル４１１は、ＰＡＮＡで認証されたスイッチ装置６００のＩＤ（例えば、機器アドレス）と、ＰＡＮＡセッションＩＤと、ＰＡＮＡの認証状態とを対応づけて格納している。

図１０は、ＰＡＮＡ−ＥＰ対応テーブル４１２に格納されるデータのデータ構造の一例を示す説明図である。ＰＡＮＡ−ＥＰ対応テーブル４１２は、スイッチ装置６００と、スイッチ装置６００が認証された際に認可設定が必要となるＰＡＮＡ ＥＰ５００との関連を保持するものであり、ＰＡＮＡ ＰＡＡ４００が保持する認可ポリシに相当する。具体的には、ＰＡＮＡ−ＥＰ対応テーブル４１２は、スイッチ装置６００のＩＤと、ＩＤおよびＩＰアドレスで識別されるＰＡＮＡ ＥＰ５００ごとの認可要否を表す情報（○：認可設定要、×：認可設定不要）とを対応づけて格納している。なお、ＰＡＮＡ−ＥＰ対応テーブル４１２には、システム設置時などに事前に定められたデータが格納される。

図１１は、認可アドレス管理テーブル４１３に格納されるデータのデータ構造の一例を示す説明図である。認可アドレス管理テーブル４１３は、ＰＡＮＡセッションＩＤと、このＰＡＮＡセッションＩＤで識別されるＰＡＮＡセッションに関連して認可を行うＩＰアドレスの情報を保持するものである。具体的には、ＰＡＮＡセッション情報と、対応するＩＰアドレスのリストとを対応づけて格納している。

すなわち、認可アドレス管理テーブル４１３には、まず、ＰＡＮＡによりスイッチ装置６００のアクセスが認可されたときに、スイッチ装置６００のＩＰアドレスがＰＡＮＡセッションＩＤとともに格納される。さらに、認可アドレス管理テーブル４１３には、８０２．１Ｘにより端末装置７００のアクセスが認可されたときに、端末装置７００のＩＰアドレスが、関連するＰＡＮＡセッションＩＤに対応するアドレスとして追加される。

なお、上記各装置の記憶部（記憶部６１０、記憶部２１０、記憶部４１０）は、ＨＤＤ（Hard Disk Drive）、光ディスク、メモリカード、ＲＡＭ（Random Access Memory）などの一般的に利用されているあらゆる記憶媒体により構成することができる。

次に、このように構成された本実施の形態にかかる通信システムによる通信処理について図１２を用いて説明する。図１２は、本実施の形態における通信処理の全体の流れを示すシーケンス図である。

まず、インフラネットワークシステム１０に対して、スイッチ装置６００が接続される。具体的には、まず、スイッチ装置６００の要求送信部６０３ａが、ネットワークアクセス認証を要求するメッセージを送信して、ＰＡＮＡによる認証を開始する（ステップＳ１２０１）。

ＰＡＮＡ ＰＡＡ４００のＰＡＮＡプロトコル処理部４０４は、スイッチ装置６００のＰＡＮＡプロトコル処理部６０３との間で、ＰＡＮＡプロトコルを実行することでスイッチ装置６００のネットワークアクセス認証処理を行う。なお、スイッチ装置６００はＰＡＮＡプロトコルを実行する前に、ＤＨＣＰ Ｓｅｒｖｅｒ３００などを利用して自装置のＩＰアドレスを取得しているものとする。

具体的には、まず、ＰＡＮＡプロトコル処理部４０４の要求受信部４０４ａが、認証を要求するメッセージを受信する。そして、ＰＡＮＡプロトコル処理部４０４の判断部４０４ｃは、認証処理を実行するため、必要に応じて、制御部４０５を経由して、ＲＡＤＩＵＳプロトコル処理部４０３を起動し、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００との間でＲＡＤＩＵＳプロトコルによる認証を実行する（ステップＳ１２０２）。

結果送信部４０４ｂは、ネットワークアクセス認証処理の認証結果をスイッチ装置６００に送信する。認証結果は、スイッチ装置６００の結果受信部６０３ｂによって受信される。認証が成功すると、スイッチ装置６００のＰＡＮＡプロトコル処理部６０３（通信確立部６０３ｃ）と、ＰＡＮＡ ＰＡＡ４００のＰＡＮＡプロトコル処理部４０４との間でＰＡＮＡセッションが確立される（ステップＳ１２０３）。このとき、通信確立部６０３ｃは、中継制御部６０５を経由して、記憶部６１０のセッション情報テーブル６１２に、ＰＡＮＡセッションＩＤを格納し、ＰＡＮＡ認証状態を認証済みに変更する。

また、ＰＡＮＡ ＰＡＡ４００のＰＡＮＡプロトコル処理部４０４は、制御部４０５を経由して、記憶部４１０のＰＡＮＡ認証状態テーブル４１１に、スイッチ装置６００のＩＤおよびＰＡＮＡセッションＩＤを対応づけて格納し、ＰＡＮＡ認証状態を認証済みに変更する。また、ＰＡＮＡプロトコル処理部４０４は、制御部４０５を経由して、認可アドレス管理テーブル４１３に、ＰＡＮＡセッションＩＤとスイッチ装置６００のＩＰアドレスと対応づけて格納する。

ＰＡＮＡによる認証が完了したため、ＰＡＮＡ ＰＡＡ４００の制御部４０５は、認証されたスイッチ装置６００のためのネットワークアクセス認可処理を開始する。具体的には、まず、判断部４０４ｃが、認証されたスイッチ装置６００のＩＤをキーとして、事前に設定されているＰＡＮＡ−ＥＰ対応テーブル４１２を参照し、スイッチ装置６００に対応するＰＡＮＡ ＥＰ５００のＩＤを取得する。

次に、制御部４０５は、取得したＩＤのＰＡＮＡ ＥＰ５００に対して、スイッチ装置６００のネットワークアクセスが認可されるように、ＰＡＮＡ−ＥＰ通信部４０２を経由してスイッチ装置６００のＩＰアドレスを通知する（ステップＳ１２０４）。制御部４０５は、例えば、ＳＮＭＰプロトコルなどによりスイッチ装置６００のＩＰアドレスを通知する。

これを受けたＰＡＮＡ ＥＰ５００は、指定されたスイッチ装置６００のＩＰアドレスを認可する（ステップＳ１２０５）。これにより、スイッチ装置６００によるインフラネットワークシステム１０へのネットワークアクセスが許可される。

この後、スイッチ装置６００の端末装置Ｉ／Ｆ６０２に対して、端末装置７００が接続される。具体的には、まず、端末装置７００が、ネットワークアクセス認証を要求するメッセージを送信して、８０２．１ＸのためのＥＡＰｏＬプロトコルによる認証を開始する（ステップＳ１２０６）。スイッチ装置６００の要求受信部６０４ａは、端末装置Ｉ／Ｆ６０２および中継制御部６０５を経由して端末装置７００から送信されたＥＡＰｏＬプロトコルのメッセージを受信する。

なお、ＥＡＰｏＬプロトコル以外のメッセージを受信した場合、８０２．１Ｘプロトコル処理部６０４は、受信したメッセージの送信元機器アドレスをキーとして、端末認証状態テーブル６１１から端末装置７００の認証状態を取得する。そして、端末装置７００の認証状態が存在しない、または「Ｒｅｊｅｃｔ」である場合、８０２．１Ｘプロトコル処理部６０４は、受信したメッセージを破棄する。端末装置７００の認証状態が「Ａｃｃｅｐｔ」である場合は、８０２．１Ｘプロトコル処理部６０４は、受信したメッセージをインフラネットワークＩ／Ｆ６０１に送出する。

転送部６０４ｂは、中継制御部６０５を経由してセッション情報テーブル６１２からＰＡＮＡ認証状態を取得する。そして、転送部６０４ｂは、ＰＡＮＡ認証状態が「認証済み」であることを確認して、ＰＡＮＡセッションＩＤをセッション情報テーブル６１２から取得する（ステップＳ１２０７）。

次に、転送部６０４ｂは、取得したＰＡＮＡセッションＩＤを、ＲＡＤＩＵＳプロトコルのアトリビュートとして追加する（ステップＳ１２０８）。そして、転送部６０４ｂは、端末装置７００の認証処理を実行するため、インフラネットワークＩ／Ｆ６０１を経由して、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００との間でＲＡＤＩＵＳプロトコルを実行する（ステップＳ１２０９）。

１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００のＲＡＤＩＵＳプロトコル中継部２０１は、スイッチ装置６００から受信したＲＡＤＩＵＳプロトコルのメッセージから、アトリビュートとして付加されたＰＡＮＡセッションＩＤを取り除く。また、ＲＡＤＩＵＳプロトコル中継部２０１は、アトリビュートとして付加されたＰＡＮＡセッションＩＤをＲＡＤＩＵＳプロトコルによるメッセージに含まれる端末装置７００の機器アドレスと対応づけ、制御部２０５を経由して、端末−ＰＡＮＡ対応テーブル２１１に格納する（ステップＳ１２１０）。

次に、ＲＡＤＩＵＳプロトコル中継部２０１は、ＰＡＮＡセッションＩＤを取り除いたＲＡＤＩＵＳプロトコルのメッセージを、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００に中継する（ステップＳ１２１１）。また、ＲＡＤＩＵＳプロトコル中継部２０１は、Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００から受信したＲＡＤＩＵＳプロトコルのメッセージをスイッチ装置６００に中継する。

このようにして、端末装置７００とＲａｄｉｕｓ Ｓｅｒｖｅｒ１００との間で、スイッチ装置６００および１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００を経由して８０２．１Ｘプロトコルが実行されることで、端末装置７００のネットワークアクセス認証が行われる。

Ｒａｄｉｕｓ Ｓｅｒｖｅｒ１００は、認証結果を１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００に通知し（ステップＳ１２１２）、アクセスが認可された場合は、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００の制御部２０５は、端末−ＰＡＮＡ対応テーブル２１１の対応する機器アドレスの認証状態を「Ａｃｃｅｐｔ」に更新する（ステップＳ１２１３）。

１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００のＲＡＤＩＵＳプロトコル中継部２０１は、認証結果をスイッチ装置６００に中継し（ステップＳ１２１４）、スイッチ装置６００の中継制御部６０５が、端末認証状態テーブル６１１の対応する端末装置７００の認証状態を「Ａｃｃｅｐｔ」に変更する（ステップＳ１２１５）。なお、認証結果は、スイッチ装置６００を経由して端末装置７００に通知される（ステップＳ１２１６）。

ここまでの処理により、スイッチ装置６００における端末装置７００のネットワークアクセス認可が行われた。これにより、この後、端末装置Ｉ／Ｆ６０２に接続している端末装置７００がスイッチ装置６００に対してメッセージを送信した場合、スイッチ装置６００の中継制御部６０５は、端末装置７００の認証状態が「Ａｃｃｅｐｔ」であることを確認し、受信したメッセージをインフラネットワークＩ／Ｆ６０１に中継する。

スイッチ装置６００でネットワークアクセスが認可された端末装置７００は、ＤＨＣＰプロトコルを実行し、自装置に対するＩＰアドレスの割り当てをＤＨＣＰ Ｓｅｒｖｅｒ３００に要求する（ステップＳ１２１７）。これに対して、ＤＨＣＰ Ｓｅｒｖｅｒ３００が、端末装置７００に対してＩＰアドレスを割り当てる（ステップＳ１２１８）。なお、ＤＨＣＰ Ｓｅｒｖｅｒ３００は、割り当てたＩＰアドレスと機器アドレスとの対応関係を記憶装置等に保持する。

一方、８０２．１Ｘプロトコルによる認証と認可が完了した後、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００のアドレス取得部２０４は、８０２．１Ｘプロトコルによって認証された端末装置７００の機器アドレスを端末−ＰＡＮＡ対応テーブル２１１から取得する。そして、アドレス取得部２０４は、取得した機器アドレスをキーとして、対応するＩＰアドレスをＤＨＣＰ Ｓｅｒｖｅｒ３００に問い合わせることにより、端末装置７００に割り当てられたＩＰアドレスを取得する（ステップＳ１２１９）。

アドレス取得部２０４は、制御部２０５を経由して、取得した端末装置７００のＩＰアドレスを、端末−ＰＡＮＡ対応テーブル２１１の対応する端末装置７００の端末装置ＩＰアドレスとして登録する（ステップＳ１２２０）。

次に、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００の通知部２０３は、制御部２０５を介して、登録したＩＰアドレスに対応するＰＡＮＡセッションＩＤを端末−ＰＡＮＡ対応テーブル２１１から取得し、登録したＩＰアドレスとともにＰＡＮＡ ＰＡＡ４００に対して通知する（ステップＳ１２２１）。これにより、通知部２０３は、８０２．１Ｘプロトコルにより認証された端末装置７００に対するＰＡＮＡによるネットワークアクセス認可をＰＡＮＡ ＰＡＡ４００に依頼する。

ＰＡＮＡ ＰＡＡ４００のアドレス受信部４０１は、通知されたＩＰアドレスおよびＰＡＮＡセッションＩＤを受け取り、受け取った情報を、制御部４０５を介して、認可アドレス管理テーブル４１３に格納する（ステップＳ１２２２）。具体的には、ＰＡＮＡセッションＩＤと、これに対応する８０２．１Ｘにより認証された端末装置７００のＩＰアドレスとが、認可アドレス管理テーブル４１３に追加される。

ＰＡＮＡセッションに対して認可するＩＰアドレスが追加されると、追加されたＩＰアドレスの端末装置７００に対して認可するアクセス方法が決定される。本実施の形態では、以下のように、端末装置７００に対応するスイッチ装置６００に認可したアクセス方法と同様のアクセス方法が、端末装置７００に対して認可される。

まず、認可部４０４ｄは、ＩＰアドレスが追加されたＰＡＮＡセッションＩＤをキーとして、ＰＡＮＡ認証状態テーブル４１１から対応するスイッチ装置６００のＩＤ（スイッチ装置ＩＤ）を特定する。また、認可部４０４ｄは、対応するスイッチ装置６００のＰＡＮＡ認証状態が認証済みであることを確認する。さらに、認可部４０４ｄは、スイッチ装置６００のＩＤをキーとして、ＰＡＮＡ−ＥＰ対応テーブル４１２から、対応するＰＡＮＡ ＥＰ５００のＩＰアドレスを取得する。

次に、ＰＡＮＡ−ＥＰ通信部４０２は、取得したＩＰアドレスのＰＡＮＡ−ＥＰ５００に対して、認可アドレス管理テーブル４１３に追加したＩＰアドレス（これはすなわち端末装置７００のＩＰアドレスである）をＳＮＭＰプロトコルなどによって通知する（ステップＳ１２２３）。

通知を受けたＰＡＮＡ ＥＰ５００は、指定された端末装置７００のＩＰアドレスを認可する（ステップＳ１２２４）。このような処理により、スイッチ装置６００だけでなく、８０２．１Ｘプロトコルにより認証された端末装置７００に対しても、ＰＡＮＡの認証ポリシを適用してインフラネットワークシステム１０へのアクセスを認可することができる。

以後、端末装置７００は、スイッチ装置６００を経由してインフラネットワークシステム１０へのネットワークアクセスが可能となる。なお、８０２．１Ｘプロトコルによって認証された端末装置７００のネットワークアクセス認可は、スイッチ装置６００のＰＡＮＡセッションに依存している。このため、スイッチ装置６００のＰＡＮＡセッションが破棄された場合は、８０２．１Ｘプロトコルによって認証された端末装置７００のネットワークアクセス認可も同時に破棄される。

ここで、本実施の形態との比較のため、ＰＡＮＡの終端機能と８０２．１Ｘの中継機能とを備えただけのスイッチ装置を用いた通信システム（以下、通信システムＡという。）によるアクセス認証処理の概要について説明する。図１３は、通信システムＡの構成例を示す説明図である。

図１３に示すように、システムの構成要素に関しては、通信システムＡは、１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ２００に相当する装置が存在しない点が本実施の形態と異なっている。

通信システムＡによるアクセス認証処理では、スイッチ装置をインフラネットワークシステムに接続し、８０２．１Ｘにのみ対応している端末装置を、スイッチ装置に接続することで、ＰＡＮＡに対応し、ＰＡＮＡによる認可ポリシを採用しているインフラネットワークシステムに端末装置を接続する。

ただし、インフラネットワークシステム内で、端末装置に対してＰＡＮＡの認可ポリシが設定できないため、端末装置は、インフラネットワークシステムの一部にのみしかアクセスできない状態になる。

図１３の１〜４までの処理（スイッチ装置の認可処理、端末装置からの認証開始処理）は、図１で説明した（１）から（４）までと同様の処理であるため説明を省略する。

端末装置の１ｘＳｕｐｐｌｉｃａｎｔ機能と、スイッチ装置の１ｘ Ａｕｔｈｅｎｔｉｃａｔｏｒ機能との間でＥＡＰｏＬプロトコルが開始された後（４）、通信システムＡのスイッチ装置では、ＰＡＮＡセッション情報の関連づけ処理（図１の（５））が行われず、以下のような処理が実行される。

（５）端末装置のネットワークアクセス認証を開始したスイッチ装置は、端末装置の８０２．１Ｘ認証を実行するため、Ｒａｄｉｕｓ Ｓｅｒｖｅｒとの間でＲＡＤＩＵＳプロトコルを実行する。これにより、端末装置のネットワークアクセスがスイッチ装置で認可される。この結果、スイッチ装置は、端末装置が接続されたポートの開閉を行い、これ以後、端末装置からの通常のネットワークアクセスを、インフラネットワークシステムに対して中継する。

（６）スイッチ装置でネットワークアクセスが認可された端末装置は、ＤＨＣＰプロトコルを実行し、自身に対するＩＰアドレスの割り当てをＤＨＣＰ Ｓｅｒｖｅｒに要求する。これに対して、ＤＨＣＰ Ｓｅｒｖｅｒは、端末装置に対してＩＰアドレスを割り当てる。

（７）以後、端末装置は、スイッチ装置を経由してインフラネットワークシステムへアクセス可能となる。ただし、端末装置に対してＰＡＮＡ ＥＰでのネットワーク認可が設定されていないため、端末装置は、ＰＡＮＡ ＥＰを介してインフラネットワークシステムに接続されたインフラネットワークシステム内のサービスにはアクセスできない。

このように、単にＰＡＮＡの終端機能と８０２．１Ｘの中継機能とを備えたスイッチ装置を用いるだけでは、８０２．１Ｘのみに対応した端末装置に対して、ＰＡＮＡの認証ポリシを適用してネットワークへのアクセスを認可することができない。

以上のように、本実施の形態にかかる通信システムでは、第１認証プロトコル（例えば８０２．１Ｘ）を採用したネットワークを、第２認証プロトコル（例えばＰＡＮＡ）を採用したネットワークに統合した場合に、第１認証プロトコルのみに対応した端末に対しても第２認証プロトコルの認可ポリシを適用することができる。すなわち、認可ポリシが異なる場合であっても、異なるネットワークアクセス認証プロトコルによるネットワークシステムを相互に接続することが可能となる。

次に、本実施の形態にかかる通信システムを構成する各装置（１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ、ＰＡＮＡ ＰＡＡ、スイッチ装置）のハードウェア構成について図１４を用いて説明する。図１４は、本実施の形態の各装置のハードウェア構成を示す説明図である。

本実施の形態の各装置は、ＣＰＵ（Central Processing Unit）５１などの制御装置と、ＲＯＭ（Read Only Memory）５２やＲＡＭ５３などの記憶装置と、ネットワークに接続して通信を行う通信Ｉ／Ｆ５４と、各部を接続するバス６１を備えている。

なお、１ｘ Ｒａｄｉｕｓ ＰｒｏｘｙおよびＰＡＮＡ ＰＡＡは、さらに、ＨＤＤ（Hard Disk Drive）、ＣＤ（Compact Disc）ドライブ装置などの外部記憶装置と、ディスプレイ装置などの表示装置と、キーボードやマウスなどの入力装置と、を備えており、通常のコンピュータを利用したハードウェア構成となっている。

本実施の形態の各装置で実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ（Compact Disk Recordable）、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録されて提供される。

また、本実施の形態の各装置で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、本実施の形態の各装置で実行されるプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。

また、本実施の形態のプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

本実施の形態の各装置で実行されるプログラムは、それぞれ上述した構成部を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ５１（プロセッサ）が上記記憶媒体からプログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、上述した各部が主記憶装置上に生成されるようになっている。

以上のように、本発明にかかる通信する通信システム、中継装置、認証装置、および通信方法は、認証ポリシの異なる複数のネットワークシステムを統合した通信システムに適している。

本実施の形態の通信システムの構成を示す説明図である。 本実施の形態にかかるスイッチ装置の構成を示すブロック図である。 端末認証状態テーブルに記憶されるデータのデータ構造の一例を示す説明図である。 セッション情報テーブルに記憶されるデータのデータ構造の一例を示す説明図である。 ＲＡＤＩＵＳプロトコルのメッセージの一例を示した説明図である。 本実施の形態にかかる１ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙの構成を示すブロック図である。 端末−ＰＡＮＡ対応テーブルに格納されるデータのデータ構造の一例を示す説明図である。 本実施の形態にかかるＰＡＮＡ ＰＡＡの構成を示すブロック図である。 ＰＡＮＡ認証テーブルに格納されるデータのデータ構造の一例を示す説明図である。 ＰＡＮＡ−ＥＰ対応テーブルに格納されるデータのデータ構造の一例を示す説明図である。 認可アドレス管理テーブルに格納されるデータのデータ構造の一例を示す説明図である。 本実施の形態における通信処理の全体の流れを示すシーケンス図である。 通信システムの他の構成例を示す説明図である。 本実施の形態の各装置のハードウェア構成を示す説明図である。

符号の説明

５１ ＣＰＵ
５２ ＲＯＭ
５３ ＲＡＭ
５４ 通信Ｉ／Ｆ
６１ バス
１０ インフラネットワークシステム
１００ Ｒａｄｉｕｓ Ｓｅｒｖｅｒ
２００ １ｘ Ｒａｄｉｕｓ Ｐｒｏｘｙ
２０１ ＲＡＤＩＵＳプロトコル中継部
２０３ 通知部
２０４ アドレス取得部
２０５ 制御部
２１０ 記憶部
２１１ 端末−ＰＡＮＡ対応テーブル
３００ ＤＨＣＰ Ｓｅｒｖｅｒ
４００ ＰＡＮＡ ＰＡＡ
４０１ アドレス受信部
４０２ ＰＡＮＡ−ＥＰ通信部
４０３ ＲＡＤＩＵＳプロトコル処理部
４０４ ＰＡＮＡプロトコル処理部
４０４ａ 要求受信部
４０４ｂ 判断部
４０４ｃ 結果送信部
４０４ｄ 認可部
４０５ 制御部
４１０ 記憶部
４１１ ＰＡＮＡ認証状態テーブル
４１２ ＰＡＮＡ−ＥＰ対応テーブル
４１３ 認可アドレス管理テーブル
５００ ＰＡＮＡ ＥＰ
６００ スイッチ装置
６０１ インフラネットワークＩ／Ｆ
６０２ 端末装置Ｉ／Ｆ
６０３ ＰＡＮＡプロトコル処理部
６０３ａ 要求送信部
６０３ｂ 結果受信部
６０３ｃ 通信確立部
６０４ ８０２．１Ｘプロトコル処理部
６０４ａ 要求受信部
６０４ｂ 転送部
６０５ 中継制御部
６１０ 記憶部
６１１ 端末認証状態テーブル
６１２ セッション情報テーブル
７００ 端末装置

Claims (11)

1. 第１ネットワークを介して接続された端末装置から第２ネットワークへの通信を中継する第１中継装置と、前記第１中継装置に前記第２ネットワークを介して接続され、前記端末装置を第１認証プロトコルにより認証する第１認証装置への通信を中継する第２中継装置と、前記第１中継装置に第２ネットワークを介して接続され、第２認証プロトコルにより前記第２ネットワークに対する前記第１中継装置のためのアクセス認証を行う第２認証装置と、を備えた通信システムであって、
   前記第１中継装置は、
   前記第１中継装置が前記第２ネットワークに対してアクセスする通信を識別する識別情報を記憶可能な識別情報記憶部と、
   前記第１中継装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第１要求メッセージを前記第２認証装置に送信する要求送信部と、
   前記第１要求メッセージに対する応答であって、前記第２ネットワークに対する前記第１中継装置のアクセス認否の判断結果を前記第２認証装置から受信する結果受信部と、
   前記第２ネットワークに対する前記第１中継装置のアクセスを認可する前記判断結果を受信した場合に、前記第１中継装置から前記第２ネットワークに対する通信を確立し、確立した通信の前記識別情報を前記識別情報記憶部に保存する通信確立部と、
   前記端末装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第２要求メッセージを前記端末装置から受信する第１要求受信部と、
   前記第２要求メッセージを受信した場合に、前記識別情報記憶部から前記識別情報を取得し、取得した前記識別情報を前記第２要求メッセージに付加して前記第２中継装置に転送する転送部と、を備え、
   前記第２中継装置は、
   前記識別情報が付加された前記第２要求メッセージを前記第１中継装置から受信し、受信した前記第２要求メッセージを前記第１認証装置に中継する中継部と、
   前記第２要求メッセージの送信元の前記端末装置が前記第１認証装置に認証された場合に、認証された前記端末装置のアドレス情報に、前記第２要求メッセージに付加された前記識別情報を対応づけて前記第２認証装置に通知する通知部と、を備え、
   前記第２認証装置は、
   前記第１要求メッセージを前記第１中継装置から受信する第２要求受信部と、
   受信した前記第１要求メッセージに基づいて前記第１中継装置の前記第２ネットワークに対するアクセス認否を判断し、アクセスを認可した前記第１中継装置に対して、前記第１中継装置ごとに予め定められたアクセス方法を決定する判断部と、
   前記判断部による判断結果を前記第１中継装置に送信する結果送信部と、
   前記識別情報が対応づけられた前記アドレス情報を前記第２中継装置から受信するアドレス受信部と、
   受信した前記アドレス情報の前記端末装置に対して、受信した前記アドレス情報に対応づけられた前記識別情報で識別される通信を確立した前記第１中継装置について決定された前記アクセス方法による前記第２ネットワークへのアクセスを認可する認可部と、を備えたこと、
   を特徴とする通信システム。
2. 第１ネットワークを介して接続された端末装置から第２ネットワークへの通信を中継する第１中継装置と、前記端末装置を第１認証プロトコルにより認証する外部認証装置への通信を中継する第２中継装置と、に前記第２ネットワークを介して接続され、第２認証プロトコルにより前記第２ネットワークに対するアクセス認証を行う認証装置であって、
   前記第１中継装置が前記第２ネットワークに対してアクセスを要求するアクセス認証を要求する要求メッセージを前記第１中継装置から受信する要求受信部と、
   受信した前記要求メッセージに基づいて前記第１中継装置の前記第２ネットワークに対するアクセス認否を判断し、アクセスを認可した前記第１中継装置に対して、前記第１中継装置ごとに予め定められたアクセス方法を決定する判断部と、
   前記判断部による判断結果を前記第１中継装置に送信する結果送信部と、
   前記第２ネットワークへのアクセスが認可された前記第１中継装置との間の通信を識別する識別情報が対応づけられた前記端末装置のアドレス情報を前記第２中継装置から受信するアドレス受信部と、
   受信した前記アドレス情報の前記端末装置に対して、受信した前記アドレス情報に対応づけられた前記識別情報で識別される通信を確立した前記第１中継装置について決定された前記アクセス方法による前記第２ネットワークへのアクセスを認可する認可部と、を備えたこと、
   を備えたことを特徴とする認証装置。
3. 前記第２認証プロトコルはＰＡＮＡ（Protocol for Carrying Authentication for Network Access）であり、
   前記アドレス受信部は、前記第２ネットワークへのアクセスが認可された前記第１中継装置との間のＰＡＮＡセッションのセッションＩＤである前記識別情報が対応づけられた前記端末装置のアドレス情報を前記第２中継装置から受信し、
   前記認可部は、受信した前記アドレス情報の前記端末装置に対して、受信した前記アドレス情報に対応づけられた前記セッションＩＤで識別されるＰＡＮＡセッションを確立した前記第１中継装置について決定された前記アクセス方法による前記第２ネットワークへのアクセスを認可すること、
   を特徴とする請求項２に記載の認証装置。
4. 前記アドレス受信部は、前記識別情報が対応づけられた前記端末装置のＩＰアドレスである前記アドレス情報を前記第２中継装置から受信し、
   前記認可部は、受信した前記ＩＰアドレスの前記端末装置に対して、受信した前記ＩＰアドレスに対応づけられた前記識別情報で識別される通信を確立した前記第１中継装置について決定された前記アクセス方法による前記第２ネットワークへのアクセスを認可すること、
   を特徴とする請求項２に記載の認証装置。
5. 前記判断部は、前記外部認証装置を用いて前記第１中継装置の前記第２ネットワークに対するアクセス認否を判断すること、
   を特徴とする請求項２に記載の認証装置。
6. 端末装置に第１ネットワークを介して接続されるとともに、前記端末装置を第１認証プロトコルにより認証する第１認証装置への通信を中継する外部装置と第２認証プロトコルにより前記第２ネットワークへのアクセス認証を行う第２認証装置とに前記第２ネットワークを介して接続され、前記端末装置から前記第２ネットワークへの通信を中継する中継装置であって、
   前記中継装置が前記第２ネットワークに対してアクセスする通信を識別する識別情報を記憶可能な識別情報記憶部と、
   前記中継装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第１要求メッセージを前記第２認証装置に送信する要求送信部と、
   前記第１要求メッセージに対する応答であって、前記第２ネットワークに対する前記中継装置のアクセス認否の判断結果を前記第２認証装置から受信する結果受信部と、
   前記第２ネットワークに対する前記中継装置のアクセスを認可する前記判断結果を受信した場合に、前記第２ネットワークに対する通信を確立し、確立した通信の前記識別情報を前記識別情報記憶部に保存する通信確立部と、
   前記端末装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第２要求メッセージを前記端末装置から受信する要求受信部と、
   前記第２要求メッセージを受信した場合に、前記識別情報記憶部から前記識別情報を取得し、取得した前記識別情報を前記第２要求メッセージに付加して前記外部装置に転送する転送部と、
   を備えたことを特徴とする中継装置。
7. 前記第１認証プロトコルはＩＥＥＥ８０２．１Ｘであり、
   前記第２認証プロトコルはＰＡＮＡ（Protocol for Carrying Authentication for Network Access）であり、
   前記通信確立部は、前記第２ネットワークに対する前記中継装置のアクセスを認可する前記判断結果を受信した場合に、前記第２認証装置との間にＰＡＮＡセッションを確立し、確立した前記ＰＡＮＡセッションのセッションＩＤである前記識別情報を前記識別情報記憶部に保存し、
   前記要求受信部は、ＩＥＥＥ８０２．１ＸにおけるＥＡＰｏＬ（Extensible Authentication Protocol over LAN）プロトコルによる前記第２要求メッセージを前記端末装置から受信し、
   前記転送部は、前記第２要求メッセージを受信した場合に、前記識別情報記憶部から前記セッションＩＤを取得し、取得した前記セッションＩＤをＩＥＥＥ８０２．１ＸにおけるＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロトコルのアトリビュートとして前記第２要求メッセージに付加して前記外部装置に転送すること、
   を特徴とする請求項６に記載の中継装置。
8. 第１ネットワークを介して接続された端末装置から第２ネットワークへの通信を中継する外部装置と、第２認証プロトコルにより前記第２ネットワークに対するアクセス認証を行う第２認証装置と、に前記第２ネットワークを介して接続され、前記端末装置を第１認証プロトコルにより認証する第１認証装置への通信を中継する中継装置であって、
   前記端末装置の前記第２ネットワークに対するアクセス認証を要求するメッセージであって、前記外部装置から前記第２ネットワークに対してアクセスする通信を識別する識別情報が付加された要求メッセージを前記外部装置から受信し、受信した前記要求メッセージを前記第１認証装置に中継する中継部と、
   前記要求メッセージの送信元の前記端末装置が前記第１認証装置に認証された場合に、認証された前記端末装置のアドレス情報に、前記要求メッセージに付加された前記識別情報を対応づけて前記第２認証装置に通知する通知部と、
   を備えたことを特徴とする中継装置。
9. 前記第１認証プロトコルはＩＥＥＥ８０２．１Ｘであり、
   前記第２認証プロトコルはＰＡＮＡ（Protocol for Carrying Authentication for Network Access）であり、
   前記中継部は、前記端末装置の前記第２ネットワークに対するアクセス認証を要求するＩＥＥＥ８０２．１ＸにおけるＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロトコルによるメッセージであって、ＰＡＮＡセッションのセッションＩＤである前記識別情報がＲＡＤＩＵＳプロトコルによるアトリビュートとして付加された前記要求メッセージを前記外部装置から受信し、受信した前記要求メッセージを前記第１認証装置に中継し、
   前記通知部は、前記要求メッセージの送信元の前記端末装置が前記第１認証装置に認証された場合に、認証された前記端末装置のアドレス情報に、前記要求メッセージに付加された前記セッションＩＤを対応づけて前記第２認証装置に通知すること、
   を特徴とする請求項８に記載の中継装置。
10. 前記第２ネットワークを介して接続されたアドレス管理装置から、前記端末装置のＩＰアドレスである前記アドレス情報を取得するアドレス取得部をさらに備え、
    前記通知部は、前記要求メッセージの送信元の前記端末装置が前記第１認証装置に認証された場合に、認証された前記端末装置に対して取得された前記ＩＰアドレスに、前記要求メッセージに付加された前記識別情報を対応づけて前記第２認証装置に通知すること、
    を特徴とする請求項８に記載の中継装置。
11. 第１ネットワークを介して接続された端末装置から第２ネットワークへの通信を中継する第１中継装置と、前記第１中継装置に前記第２ネットワークを介して接続され、前記端末装置を第１認証プロトコルにより認証する第１認証装置への通信を中継する第２中継装置と、前記第１中継装置に第２ネットワークを介して接続され、第２認証プロトコルにより前記第２ネットワークに対する前記第１中継装置のためのアクセス認証を行う第２認証装置と、を備えた通信システムによる通信方法であって、
    前記第１中継装置によって、前記第１中継装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第１要求メッセージを前記第２認証装置に送信する要求送信ステップと、
    前記第２認証装置によって、前記第１要求メッセージを前記第１中継装置から受信する第２要求受信ステップと、
    前記第２認証装置によって、受信した前記第１要求メッセージに基づいて前記第１中継装置の前記第２ネットワークに対するアクセス認否を判断し、アクセスを認可した前記第１中継装置に対して、前記第１中継装置ごとに予め定められたアクセス方法を決定する判断ステップと、
    前記第２認証装置によって、前記判断ステップによる判断結果を前記第１中継装置に送信する結果送信ステップと、
    前記第１中継装置によって、前記判断結果を前記第２認証装置から受信する結果受信ステップと、
    前記第１中継装置によって、前記第２ネットワークに対する前記第１中継装置のアクセスを認可する前記判断結果を受信した場合に、前記第１中継装置から前記第２ネットワークに対する通信を確立し、確立した通信を識別する識別情報を記憶部に保存する保存ステップと、
    前記第１中継装置によって、前記端末装置が前記第２ネットワークに対してアクセスするためのアクセス認証を要求する第２要求メッセージを前記端末装置から受信する要求受信ステップと、
    前記第１中継装置によって、前記第２要求メッセージを受信した場合に、前記記憶部から前記識別情報を取得し、取得した前記識別情報を前記第２要求メッセージに付加して前記第２中継装置に転送する転送ステップと、
    前記第２中継装置によって、前記識別情報が付加された前記第２要求メッセージを前記第１中継装置から受信し、受信した前記第２要求メッセージを前記第１認証装置に中継する中継ステップと、
    前記第２中継装置によって、前記第２要求メッセージの送信元の前記端末装置が前記第１認証装置に認証された場合に、認証された前記端末装置のアドレス情報に、前記第２要求メッセージに付加された前記識別情報を対応づけて前記第２認証装置に通知する通知ステップと、
    前記第２認証装置によって、前記識別情報が対応づけられた前記アドレス情報を前記第２中継装置から受信するアドレス受信ステップと、
    前記第２認証装置によって、受信した前記アドレス情報の前記端末装置に対して、受信した前記アドレス情報に対応づけられた前記識別情報で識別される通信を確立した前記第１中継装置について決定された前記アクセス方法による前記第２ネットワークへのアクセスを認可する認可ステップと、
    を備えたことを特徴とする通信方法。

Images