JP3895146B2 - サービス制御ネットワーク、サーバ装置、ネットワーク装置、サービス情報配布方法、及びサービス情報配布プログラム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、加入者ごとに或いは端末ごとに個別のサービスを提供するサービス制御ネットワーク、サーバ装置、ネットワーク装置、サービス情報配布方法、及びサービス情報配布プログラムに係わる。
【０００２】
【従来の技術】
近年、インターネットの普及に伴い、膨大な数の端末装置がネットワークに接続できるようになっている。特に、ネットワークに接続可能な移動端末の数は急激に増加してきている。そして、このことに伴い、ネットワーク上に設けられるネットワーク装置（主に、ルータ装置）の数も増加してきている。
【０００３】
一方、加入者に通信サービスを提供するサービス提供業者は、各加入者との契約により、加入者ごとに異なったサービスを提供するようになってきている。例えば、端末ごとにＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ：サービス品質制御）などを配布できるようになっている。
【０００４】
ところで、各加入者または端末に対して個別のサービスを提供するためには、モバイル環境を考慮すると、ネットワーク上のすべての通信ノードに加入者ごとのサービス制御情報を配布しておくことが望ましい。しかし、ネットワーク上に設けられている通信ノードの数は膨大であり、その全てに各加入者のサービス制御情報を配布しておくことは実質的に不可能である。
【０００５】
このため、ネットワーク上の全ての通信ノードに各加入者のサービス制御情報を配布することなく、必要最小限の通信ノード（例えば、実際に配布される通信経路上の通信ノード）のみに対応する加入者のサービス制御情報を動的に配布する方式が提案されている。この方式は、例えば、移動端末がある通信ノードの通信エリアから他の通信ノードに通信エリアに移動した際に、その移動端末を新たに収容することとなった通信ノードにその移動端末のサービス制御情報を配布することにより実現される。
【０００６】
【発明が解決しようとする課題】
ところで、ＩＰｖ４（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ４）を基盤技術とするインターネットの世界では、ＩＰｖ４アドレスの枯渇から、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ：動的ホスト構成プロトコル）などにより動的にＩＰアドレスを取得し、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの有効利用を図るような仕組みが広く採用されている。インターネットの次世代基盤プロトコルであるＩＰｖ６（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ６）は、広大なアドレス空間を提供する一方で、動的アドレス生成の仕組みを標準機能として組み込んでおり、インターネット上の通信は今後、動的アドレスに対応することが課題となる。
【０００７】
また、近年のインターネットでは、サーバ装置がネットワークを集中管理し、ネットワークにＩＰアドレス指定でセキュリティ、ＱｏＳ、経路配布等を行なうことが実現可能となったが、制御対象のネットワーク機器は固定アドレスを持っている必要があり、動的なアドレスを持つネットワーク機器の制御ができなかった。
【０００８】
本願の発明者らが日本国特許庁に出願し、出願公開された特開２００１−１６９３４１号は、Ｍｏｂｉｌｅ ＩＰ技術を応用したものである。上記出願特許において、ネットワーク管理システムＮＭＳ（NETWORK MANAEMENT SYSTEM）（以下、サーバ装置と呼ぶ）は、移動端末を考慮したネットワークの制御が困難であり、位置登録手順と連携したサービス制御情報の配布手段が必要であることを述べ、サービスプロファイルをエッジルータに転送する技術が開示されている。
【０００９】
本発明は、動的アドレス構成の仕組みと連携したサービス制御情報の配布手段を用意することで、アドレスが不定なネットワーク機器にもネットワークの制御情報の配布を可能にするサービス制御ネットワーク、サーバ装置、ネットワーク装置、サービス情報配布方法、及びサービス情報配布プログラムを提供することを目的とする。
【００１０】
また、一般にアドレス自動構成手段と共に採用される非認証ユーザの規制サービスに関して、サービス制御情報の配布手段を利用した効率的なフィルタリングサービス及びネットワークサービスを提供することを目的とする。
【００１１】
【課題を解決するための手段】
本発明は、上記課題を解決するため、下記のような構成を採用した。
すなわち、本発明の一態様によれば、本発明のサービス制御ネットワークは、端末装置（ホスト、クライアント、ユーザ端末、アプリケーションサーバ）の識別情報として、ネットワークアクセス識別子（ＲＦＣ２４８６）を用いて記載されたサービス制御情報データベースと、クライアントがオンラインになったのを契機にネットワークアクセス識別子とクライアントのネットワーク装置により上記端末装置に付与されたＩＰアドレスを対応付け、ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布するサーバ装置と、ＩＰアドレスをクライアントの識別としてサーバ装置から配布されたサービス制御情報（ポリシー）に基づいてパケットの転送制御を行うネットワーク装置から構成される。
【００１２】
また、本発明のサーバ装置は、上記サービス制御ネットワークにおいて、端末装置（クライアント）のネットワーク装置により上記端末装置に付与されたＩＰアドレスとネットワークアクセス識別子とを対応付けるアドレスキャッシュを持ち、サーバ装置自身、又は他のエンティティ（ネットワーク装置、サーバ、アプリケーション）からのネットワークアクセス識別子を指定したネットワーク制御要求に対して、管理下のネットワーク装置が理解できる形式にサービス制御情報を変換するサービスプロファイル制御部と、そのサービスプロファイルの配布先を特定し配布するサービスプロファイル配布部とを持つ。
【００１３】
さらに、上記サーバ装置は、ユーザの認証手順実行により、クライアントのネットワークアクセスを検出し、認証要求を行ったユーザのネットワーク識別子とネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と、要求ユーザのネットワーク識別子からＩＰアドレスを求めるためのインタフェースを認証制御部に提供するサービスプロファイル生成部と、ネットワークプレフィックスとネットワーク装置の対応表を持ち、サービスプロファイル生成部によりＩＰアドレス変換されたサービスプロファイルの始点アドレスよりサービスプロファイルの配布先を決定するサービスプロファイル配布部を持つ。
【００１４】
さらに、上記サーバ装置は、サービスプロファイル配布部が、ネットワーク装置に理解できる形式に変換されたサービスプロファイルを始点アドレスから求められたネットワーク装置毎のキューに蓄積し、認証制御部が、各ネットワーク装置からの認証要求メッセージに対する認証応答メッセージを生成時に、送出先ネットワーク装置に対応するキューから、そのネットワーク装置へ配布するサービスプロファイルを抽出し、メッセージ上に複数のサービスプロファイルを多重化することを特徴とする。
【００１５】
また、上記ネットワーク装置は、サーバ装置の認証制御部と認証要求及び認証応答のメッセージを交換することで、認証要求ユーザへのネットワークアクセスの認可とＩＰアドレスの割り当てを許容するアテンダント部と、サーバ装置により通知された多重化されたサービス制御情報をユーザ単位に分割し管理するサービス制御部とを備える。
【００１６】
また、上記サーバ装置は、サービスプロファイル配布部は他ドメイン宛のキューを持ち、他ドメインからの認証要求時には、ドメイン毎のキューに蓄積する。
認証制御部は、認証要求メッセージに対する認証応答メッセージを生成時に、認証要求ドメインに対応するキューから、そのネットワーク装置へ配布するサービス制御情報を抽出して認証応答メッセージとして送出する。
【００１７】
認証要求元のサーバ装置は、認証応答メッセージで通知されたサービスプロファイルを抽出し、自管理ドメイン配下のネットワーク装置配下のキューに蓄積する。
【００１８】
また、上記ネットワーク装置は、クライアントからの認証要求が一定期間無い場合に、自律的にサーバ装置へサービス要求メッセージを送出し、サービス応答メッセージで自サーバ装置に関係あるサービス制御情報をダウンロードするアテンダントを持つ。
【００１９】
さらに、サービス制御ネットワークにおいては、サービスプロファイルを静的な制御情報と動的な制御情報とにわけ、静的なものは、認証終了直後、動的なものはパケットの送出を契機に適用する。
【００２０】
また、上記ネットワーク装置は、上記静的なサービス制御方式を効率的に行うために、割り当て可能なＩＰアドレスをＩＰアドレスの始点アドレスを参照してフィルタリングする静的パケットフィルタに登録し、パケットフィルタの帰結部としてパケット棄却を登録する。
【００２１】
さらに、上記ネットワーク装置は、ホストの認証手順実行時に、帰結部をサーバ装置から認証応答メッセージで返されるクライアントに割り当てたアドレスに対応するサービスプロファイル、具体的にはクライアント毎にカスタマイズされたＱｏＳ情報で置換することにより、ハードウェア資源を有効利用する。
【００２２】
また、上記ネットワーク装置は、上記動的なサービス制御方式を効率的に行うために、ＩＰアドレスの始点アドレスを参照してフィルタリングするパケットフィルタに不一致時は、パケットのＩＰアドレスの始点アドレスが割り当て中であるかチェックし、割り当て中であれば、サーバ装置により配布されたサービス制御情報をパケットフィルタとポリシーテーブルに登録する。
【００２３】
さらに、割り当て中でなければ、パケット棄却を指定したサービス制御情報をパケットフィルタとポリシーテーブルに登録する。
また、上記ネットワーク装置は、パケット棄却のサービスプロファイルを配布した、パケットフィルタを通過したパケットをロギングし、規定回数以上のアクセスがあった場合、管理者に警告を発するアクセス監視部を持つ。
【００２４】
さらに、サービス制御ネットワークにおいては、サービスプロフィアルを更に、ユーザの上り方向と下り方向のＱｏＳを一律に配布する基本サービス情報と、上り方向の終点アドレス、下り方向の始点アドレスを個別に配布可能な拡張サービス情報とに分け、ハードウェア資源をより消費する拡張サービス情報について、課金等へ反映することを可能とする。
【００２５】
さらに、サービス制御ネットワークにおいては、特定のアドレスを指定しないようなサービス制御情報をサーバ装置配下の全ネットワーク装置に配布することを避けるために、下り方向のサービス制御情報をＩＰｖ６の中継点オプションに載せて、目的とするネットワーク装置に通知する。
【００２６】
また、上記ネットワーク装置は、静的パケットフィルタ又は動的パケットフィルタの帰結部に、パケット転送時トラフィッククラスフィールドの編集と共に、下り方向のサービスプロファイルをＩＰｖ６の中継点オプションに設定し挿入する制御コードを設定し、このオプションを持つパケットを受信した場合は、動的パケットフィルタに設定する。
【００２７】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照しながら説明する。なお、図中の丸付数字の代わりに｛｝付数字を用いることもある。
【００２８】
なお、実施の形態のサービス制御ネットワークは、ＩＰｖ６ネットワークを含むことを前提とする。また、実施の形態のサービス制御ネットワークは、端末装置を認証するＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ， Ａｕｔｈｏｒｉｚａｔｉｏｎ， ａｎｄ Ａｃｃｏｕｎｔｉｎｇ）サーバ、ＩＰｖ６ネットワークを構成する通信ノードとしてのネットワーク装置（例えば、ＩＰｖ６ルータ装置により実現、エッジノード（ＥＮ）ともいう）、ＩＰｖ６ネットワークと端末装置とを接続するアクセス網、および端末装置としてのＩＰｖ６ホストを含む。
【００２９】
また、本発明のうち、位置登録手順（Ｍｏｂｉｌｔ ＩＰ）に依存しない手法を本発明の手法Ａとして説明しているが、これについては、本出願人が出願した特願２００１−１８９４９７号に詳述している。
【００３０】
図１は、本発明の原理を説明するためのサービス制御ネットワークの構成図である。
図１において、サービス制御ネットワークは、ＱｏＳ保証された通信を行なうＩＰネットワークに接続されたネットワーク装置２と、ＩＰネットワークを介してネットワーク装置２を管理するサーバ装置３と、ローカル網を介してネットワーク装置２と通信するホスト１とを備えている。
【００３１】
このような構成を採用することにより、ネットワーク上を自由に移動するユーザがネットワークのどこからアクセスしても常に同じネットワークサービスを享受することが可能となる。
【００３２】
図２は、本発明にかかるサービス制御ネットワークを実現するために解決しようとする問題点を示す図である。
図１で示したようなネットワークを実現するためには、図２で示すような３つの課題を解決する必要がある。
【００３３】
すなわち、▲１▼ネットワーク機器へのサービス制御情報（ポリシー、サービスプロファイル）配布の契機、▲２▼動的なアドレスを持つホストへのポリシー設定方法、▲３▼通信に関与するエッジノード（ＥＮ）へのポリシー配布方法、の３つである。
【００３４】
以下、それぞれの解決方法の概要を述べる。
図３は、本発明の手法Ｂによる課題の解決方法を示したものである。
▲１▼については上記特開２００１−１６９３４１号では、Ｍｏｂｉｌｅ ＩＰの位置登録手順を契機としている。本発明の手法Ａではアドレス自動構成手順を契機としており、本発明の手法Ｂでもアドレス自動構成手順を契機とする。
【００３５】
▲２▼については本発明の手法Ａでは、ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔｓ）２４８６で規定されているＮＡＩ（Ｎｅｔｗｏｒｋ ＡｃｃｅｓｓＩｄｅｎｔｉｆｉｅｒ：ネットワークアクセス識別子）をＩＰアドレスの代りにホストの識別子として用いる方法を提案している。本発明の手法Ｂも同様にＮＡＩを用いる。
【００３６】
▲３▼については、特開２００１−１６９３４１号はＭｉｂｉｌｅ ＩＰの位置登録手順に関与した移動性エージェントとデータパケット送受信時の経路最適化手順を利用することで、通信に関与するＥＮを特定しポリシーを配布している。本発明の手法ＡではＥＮがデータパケットを受信時に通信先ホストを収容しているＥＮへＮＡＩ解決及びサービスプロファイル配布を要求することで、通信に関与するＥＮへポリシーを配布している。本発明の手法Ｂは、アドレス自動構成手順に連携した認証手順にてサーバ装置（ＮＭＳ）がアドレス要求ユーザのＮＡＩで記述されたサービスプロファイルをＩＰアドレスで記述されたポリシーへと変換し、ＩＰアドレスから参照されるネットワーク装置へ直接ポリシーを配布する。この部分が本発明の手法Ｂ独自の処理方式であり、本発明の手法Ａと異なる部分である。本発明の手法Ａと本発明の手法Ｂとの相違の詳細は後述する。
【００３７】
本発明の手法Ｂの基本動作として、静的なサービス制御情報設定（図４）と動的なサービス制御情報設定（図５）がある。以下ポリシーとサービスプロファイルは同義語として用いる。
【００３８】
まず図４を参照しながら静的なサービス制御情報設定の原理を説明する。（１）ユーザは通信に用いる端末（ホスト：ｈｏｓｔ１）からサーバ装置（ＮＭＳ）で管理されているデータベースにＮＡＩ指定でサービス登録を行なう。（２）上記ホスト（ｈｏｓｔ１）はネットワークとのリンク確立を契機にアドレス自動構成手順を行なう。（３）アドレス割当要求を受信したネットワーク装置（ＥＮ１）は、要求されたアドレスを割り付け、ホスト（ｈｏｓｔ１）のネットワーク接続を許容するか判断するためにサーバ装置（ＮＭＳ）へ認証要求を行なう。（４）認証要求を受信したサーバ装置（ＮＭＳ）は、ホストの認証を行なうとともに、認証要求メッセージに設定されたＮＡＩからサービスプロファイルデータベースを検索する。抽出されたサービスプロファイルのＮＡＩで記述されている部分を、サーバ装置（ＮＭＳ）が管理しているアドレスキャッシュを参照してＩＰアドレスに置換した配布用のサービスプロファイルを生成し、認証応答メッセージを返す。（５）認証応答メッセージを受信したネットワーク装置（ＥＮ１）は、認証が成功であれば、割り付けたアドレスが利用可能なようにパケットフィルタを設定し、アドレス割付要求メッセージに対する応答メッセージを返す。（６）サーバ装置（ＮＭＳ）は、サービスプロファイル条件部分の始点アドレスを参照して、サービスプロファイルを配布するネットワーク装置（ＥＮ１、ＥＮ２）を特定し、サービスプロファイルを配布する。これらの配布は、ネットワーク装置（ＥＮ１、ＥＮ２）への認証応答メッセージ又はサービス応答メッセージで行なわれる。（７）この段階で、ネットワーク上で通信可能なホスト（ｈｏｓｔ２）についてのサービスプロファイルは既にネットワーク上に設定済みであるので、ホスト（ｈｏｓｔ１）はユーザが登録したホスト（ｈｏｓｔ２）との間で、ユーザが所望する品質で通信を行なうことができる。
【００３９】
静的にサービスを設定する方法は、本発明の手法Ｂの根幹となる部分であり、特定のアプリケーションサーバにのみに特別なサービス品質を指定するような通信においてサービスプロファイルの配布の最適化に効果が期待できる。
【００４０】
一方、特定の通信相手を指定しない、全ての通信について同一のサービス品質を求めるような場合は、静的に設定する方式では、結局、全てのＥＮへサービスプロファイルを配布せねばならず、通信に関与するネットワーク機器にのみポリシーに配布するといった特開２００１−１６９３４１号の長所が失われてしまう。
【００４１】
図５は、このような通信に対するサービス制御を、本発明の手法Ａとは別の手段で実現する方式であり、本発明の手法Ｂの２つ目の要点である。
図５を参照しながら動的なサービス制御情報設定の原理を説明する。（１）〜（５）については、図４で説明したのと同一である。（６）サーバ装置（ＮＭＳ）は、サービスプロファイル条件部分の始点アドレスを参照して、サービスプロファイルを配布するネットワーク装置（ＮＥ１）を特定し、サービスプロファイルを配布する。この例の場合は、通信相手が特定されないため、始点アドレスからエッジノードが特定できるネットワーク装置（ＥＮ１）へのみサービスプロファイルが配布される。（７）ホスト（ｈｏｓｔ１）からホスト（ｈｏｓｔ２）へデータパケットを送信するとネットワーク装置（ＥＮ１）は、（６）で配布されたサービスプロファイルに従って、マーキングやキュー制御を行なった後、ネットワーク装置（ＥＮ２）へ送出するデータパケットに下り方向に適用するサービスプロファイル情報を設定した中継点オプションを付加する。ネットワーク装置（ＥＮ２）は中継点オプションを付加されたデータパケットを受信すると、中継点オプションに設定されている情報をフィルタに設定し、ホスト（ｈｏｓｔ２）からの後続の通信に備える。（８）ホスト（ｈｏｓｔ２）からホスト（ｈｏｓｔ１）へデータパケットが送出されると、ネットワーク装置（ＥＮ２）では（７）で設定されたフィルタに従ってマーキングやキュー制御を行なった後、ネットワーク装置（ＥＮ１）へデータパケットを転送する。
【００４２】
以下、図６〜図９を参照しながら本発明の手法Ａと本発明の手法Ｂとの相違点を説明する。
図６は、ホスト（ｈｏｓｔ１）がホスト（ｈｏｓｔ２）との双方向の通信に対してＤｉｆｆｓｅｒｖｅのＡＦ１クラスを適用するようなサービス設定を行なった場合の、ホスト（ｈｏｓｔ１）がネットワークに接続されてから、ホスト（ｈｏｓｔ２）へデータパケットを送出するまでのサービスプロファイルの適用処理を示したもので、（ａ）が手法Ａの処理、（ｂ）が手法Ｂの処理である。
【００４３】
なお、ホスト（ｈｏｓｔ１）がネットワークに接続される前に、ホスト（ｈｏｓｔ２）は既にネットワークに接続されサーバ装置（ＮＭＳ）により認証済みであるとする。
【００４４】
まず本発明の手法Ａの処理を説明する。▲１▼ホスト（ｈｏｓｔ１）はサーバ装置（ＮＭＳ）に認証要求を行なう。▲２▼サーバ装置（ＮＭＳ）はホスト（ｈｏｓｔ１）に関する双方向のサービスプロファイルをＮＡＩ形式のままネットワーク装置（ＥＮ１）へ通知する（図６（ａ）でＮＭＳ（サーバ装置）に示されたＳＰ（サービスプロファイル）をＥＮ１（ネットワーク装置）のＳＰとして送付する。）。▲３▼ネットワーク装置（ＥＮ１）はホスト（ｈｏｓｔ１）からデータパケットを受信すると、サービスプロファイルが有効になっているか調べる。この段階ではホスト２のＮＡＩに対応するＩＰアドレスがわかっていないとサービスプロファイルは有効でないので、そのままデータパケットをＩＰネットワークに転送する。▲４▼サービスプロファイルが有効でない場合は、データパケット送出先ホスト収容のネットワーク装置（ＥＮ２）へＮＡＩの解決とサービスプロファイルの配布を要求する。これは、ＮＡＩとＩＰアドレスを対応付ける情報であるアドレスキャッシュを、アドレスを割り付けたノードすなわちここではＥＮ２のみが管理しているためである。この例では、ホスト（ｈｏｓｔ２）はネットワーク装置（ＥＮ１）が以下のホストに対して何もサービスは登録していないのでサービスプロファイルは無しであり、ネットワーク装置（ＥＮ２）の下に図示したアドレスキャッシュよりホスト（ｈｏｓｔ２）のＩＰアドレスに対応するＮＡＩがネットワーク装置（ＥＮ１）へ返される。これにより、ホスト（ｈｏｓｔ２）のＮＡＩに対するＩＰアドレスが解決されるので、ホスト（ｈｏｓｔ１）からホスト（ｈｏｓｔ２）への上り方向のサービスプロファイルを有効化できるため、サービスプロファイルを有効にする。▲５▼ホスト（ｈｏｓｔ１）からホスト（ｈｏｓｔ２）への後続のデータパケットに対してサービスプロファイルが適用される。すなわち、ホスト（ｈｏｓｔ１）からホスト（ｈｏｓｔ２）へＱｏＳがＡＦ１にて後続のデータパケットの送信が行われる。
【００４５】
次に本発明の手法Ｂの処理を説明する。▲１▼ホスト（ｈｏｓｔ１）はサーバ装置（ＮＭＳ）に認証要求を行なう。▲２▼サーバ装置（ＮＭＳ）はホスト（ｈｏｓｔ１）に関するサービスプロファイルをＮＡＩ形式からＩＰアドレス形式に変換し、それぞれの始点アドレスのネットワークプレフィックスから求められるネットワーク装置へサービスプロファイルを配布する。具体的にはホスト（ｈｏｓｔ１）からホスト（ｈｏｓｔ２）への上り方向のサービスプロファイルはネットワーク装置（ＥＮ１）へ、ホスト（ｈｏｓｔ２）からホスト（ｈｏｓｔ１）への下り方向のサービスプロファイルはネットワーク装置（ＥＮ２）へ配布される。本発明の手法Ａと異なり、本発明の手法Ｂではアドレスキャッシュをサーバ装置（ＮＭＳ）も保持しているので、アドレス解決手順を行うことなくＩＰアドレスへの変換が可能である。これらの配布されたサービスプロファイルは有効化の必要条件を満たしているため、受信後直ぐに有効化される。▲３▼ホスト（ｈｏｓｔ１）からホスト（ｈｏｓｔ２）へのデータパケットに対してサービスプロファイルが適用される。
【００４６】
図７は、図６と同じ条件で、ホスト（ｈｏｓｔ２）がホスト（ｈｏｓｔ１）へデータパケットを送出した時のサービスプロファイルの適用処理を示したものである。（ａ）が手法Ａの処理、（ｂ）が手法Ｂの処理である。
【００４７】
本発明の手法Ａの処理を説明する。▲１▼ネットワーク装置（ＥＮ２）はホスト（ｈｏｓｔ２）からデータパケットを受信すると、サービスプロファイルが有効になっているか調べる。この段階では有効でないので、そのままデータパケットを転送する。▲２▼サービスプロファイルが有効でない場合は、データパケット送出先ホスト収容のネットワーク装置へＮＡＩの解決とサービスプロファイルの配布を要求する。この例では、ホスト（ｈｏｓｔ１）がホスト（ｈｏｓｔ２）に対してサービスを登録しているので、ホスト（ｈｏｓｔ２）からホスト（ｈｏｓｔ１）への下り方向のサービスプロファイルと、ホスト（ｈｏｓｔ１）のＩＰアドレスに対応するＮＡＩがネットワーク装置（ＥＮ２）へ返される。通知されたサービスプロファイルのＮＡＩに対するＩＰアドレスが解決されると、ホスト（ｈｏｓｔ２）からホスト（ｈｏｓｔ１）方向のサービスプロファイルを有効化できるため、サービスプロファイルを有効にする。▲３▼ホスト（ｈｏｓｔ２）からホスト（ｈｏｓｔ１）への後続のデータパケットに対してサービスプロファイルが適用される。
【００４８】
本発明の手法Ｂの処理を説明する。▲１▼ホスト（ｈｏｓｔ２）からホスト（ｈｏｓｔ１）へのサービスプロファイルは、既に有効なので、データパケットに対してサービスプロファイルが適用される。
【００４９】
以上本発明の手法Ａと本発明の手法Ｂの相違を示した。図６、図７からわかる通り、本発明の手法Ｂはサービス配布方式としては本発明の手法Ａより単純化されており、ネットワーク装置（ＥＮ）の処理負荷の軽減効果が期待できる。又、本発明の手法Ａが初回送出パケットにサービス適用ができないのに対して、本発明の手法Ｂでは初回送出パケットに対してもサービス適用が可能である。
【００５０】
一方、本発明の手法Ａは、通信時のみにしかサービスプロファイルが有効にならないので、ネットワーク資源の有効利用という点では優れている。本発明の手法Ｂでは、ユーザ端末のアドレス期限が有効な間は、通信を行なっているか否かに関係無く、常にサービスプロファイルが有効となり、ネットワーク資源の有効利用という点では劣る。しかし非認証ユーザの規制サービスを考慮した場合、アクセス規制フィルタを作成する必要があり、これらのフィルタとサービスプロファイルを適用するためのフィルタを連携することにより、本発明の手法Ｂによってもネットワーク資源の有効利用が可能となる。フィルタの連携方式については後述する。
【００５１】
図８は、ホスト（ｈｏｓｔ１）が関与する全ての通信に対してサービス品質（ＱｏＳ）たとえばＤｉｆｆｓｅｒｖｅのＡＦ１クラスを適用するようなサービス設定を行なった場合の、ホスト（ｈｏｓｔ１）がネットワークに接続されてから、ホスト（ｈｏｓｔ２）へデータパケットを送出するまでのサービスプロファイルの適用処理を示したものである。（ａ）が手法Ａの処理、（ｂ）が手法Ｂの処理である。
【００５２】
なお、ホスト（ｈｏｓｔ１）がネットワークに接続される前に、ホスト（ｈｏｓｔ２）は既にネットワークに接続されサーバ装置（ＮＭＳ）により認証済みであるとする。
【００５３】
本発明の手法Ａについては図６と同一である。通信相手の指定がないためサービスプロファイルの有効化に特別な工夫があるが、サービスプロファイルの配布処理については同一である。本発明の手法Ｂについても、図６の処理で行なうことは可能であるが、既に述べたように、このような設定のもとでは全てのネットワーク装置へのサービスプロファイルをサーバ装置（ＮＭＳ）から配布することが必要になり、通信に関与するネットワーク機器へのみ設定するという、発明の利点が失われてしまう。
【００５４】
ここでは、サーバ装置（ＮＭＳ）でアドレス解決を行うことで可能になる動的なサービスプロファイル配布方式について説明する。
▲１▼ホスト（ｈｏｓｔ１）はサーバ装置（ＮＭＳ）に認証要求を行なう。▲２▼サーバ装置（ＮＭＳ）はホスト（ｈｏｓｔ１）に関するサービスプロファイルをサーバ装置（ＮＭＳ）に存在するアドレスキャッシュを使ってＮＡＩ形式からＩＰアドレス形式に変換する。通信相手が不定である場合は、双方向のサービスプロファイルを、認証要求を送出したネットワーク装置（ＥＮ１）へ配布する。通信相手が不定のサービスプロファイルは始点アドレスのみが条件となるサービスフィルタであるので、有効化が可能である。▲３▼ネットワーク装置（ＥＮ１）がホスト（ｈｏｓｔ１）からホスト（ｈｏｓｔ２）へのルーティングされるべきデータパケットを受信すると、ネットワーク装置（ＥＮ１）は有効化されたサービスプロファイルに従い、パケットの制御を行い、ホスト（ｈｏｓｔ２）を収容するネットワーク装置（ＥＮ２）に、ホスト（ｈｏｓｔ１）への下り方向に適用されるサービスプロファイル（図８（ｂ）でＥＮ２の下部に示したＳＰ）を前記データパケットのＩＰヘッダの中継オプションにネットワーク装置（ＥＮ１）が設定して付加する。▲４▼ネットワーク装置（ＥＮ２）は中継オプションを受信すると、受信したサービスプロファイルを有効化する。▲５▼中継オプションを取り除き前記データパケットをホスト（ｈｏｓｔ２）へ転送する。
【００５５】
図９は、図８と同じ条件で、ホスト（ｈｏｓｔ２）がホスト（ｈｏｓｔ１）へデータパケットを送出した場合の処理を示す。（ａ）が手法Ａの処理、（ｂ）が手法Ｂの処理である。この図についての説明は図７と同じである。
【００５６】
本発明の手法Ｂでは、静的なサービス制御情報の設定方法と動的なサービス制御情報の設定方法の２つを考案し、それぞれが特開２００１−１６９３４１号と実現手段において異なることを示している。本発明の手法Ｂの２つの方式を組み合わせることでネットワーク資源の有効利用も考慮したサービス制御が可能となる。提供サービスの一例としては、ユーザの基本サービス制御情報は動的なサービス制御情報として配布し、ユーザの認証フィルタでの棄却ポリシーと置換することでネットワーク装置のハードウェア資源を節約し、かつ不要なノードへのサービスプロファイル配布を避ける。また静的情報は、特定の通信先に対する規制サービスやユーザの拡張用サービスとして提供し、消費するネットワーク資源に応じてユーザに課金するようなことが可能となる。
【００５７】
ここで、システム機能の概要を説明する。
図１０は、本発明の手法Ｂの機能ブロック図である。以下に機能概要を述べる。
「ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ：インターネット制御メッセージプロトコル）」
ＩＣＭＰは、アドレス自動構成に用いるプロトコルであり、将来規定される全てのアドレス自動構成に用いるメッセージを利用可能である。現状ＩＰｖ６でのアドレス自動構成のプロトコルとしてはＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ：インターネット技術特別調査委員会）ドラフトとしてｄｒａｆｔ−ｐｅｒｋｉｎｓ−ａａａｖ６-０３．ｔｘｔが規定されている。
【００５８】
ＩＣＭＰプロトコルの詳細を図１１〜図１５に示す。
「ＡＡＡプロトコル」
ＡＡＡプロトコルは、サーバ装置が使用するプロトコルであり、本発明の手法Ｂでは、使用するプロトコルを特定しないが、実施の形態では現在ＩＥＴＦで検討中のＤＩＡＭＥＴＥＲプロトコル（旧仕様のＤＩＡＭＥＴＥＲプロトコルに関しては、特開２００１−１６９３４１号に記載）の使用を想定する。ＡＡＡプロトコルは認証、認可、課金、ポリシーに関する情報を伝達可能なあらゆるプロトコルで実装可能である。
【００５９】
ＤＩＡＭＥＴＥＲプロトコルの詳細を図１６〜図２２に示す。図中のＡＭＲ（ＡＡＡ Ｍｏｂｉｌｅ Ｎｏｄｅ Ｒｅｑｕｅｓｔ）、ＡＭＡ（ＡＡＡ Ｍｏｂｉｌｅ Ｎｏｄｅ Ａｎｓｗｅｒ）は実施例のＡＨＲ（ＡＡＡ Ｃｌｉｅｎｔ Ｒｅｑｕｅｓｔ）、ＡＨＡ（ＡＡＡ Ｃｌｉｅｎｔ Ａｎｓｗｅｒ）メッセージに相当する。ｄｒａｆｔ−ｐｅｒｋｉｎｓ−ａａａｖ６-０３．ｔｘｔではＡＨＲ、ＡＨＡメッセージの詳細を規定しておらず、本発明の手法Ｂでは説明のため便宜的に既存メッセージであるＡＭＲ、ＡＭＡをメッセージ構成の例として示す。
「ホスト」
ホスト１は、ＰＣ、ＰＤＡ、携帯電話等のＩＰプロトコルを用いて通信する端末である。
「ネットワーク装置（Ｅｄｇｅ Ｎｏｄｅ：ＥＮ）」
ネットワーク装置２は、ホストを収容するルータであり、一般にエッジノードと呼ばれる。本発明の手法Ｂのネットワーク装置２は、ホスト１からのアドレス自動構成手順と認証手順を連携するアテンダント２２、受信したＩＰパケットの転送制御を行なうパケット制御部２０、認証成功時にサーバ装置３から通知されたサービスプロファイルをパケット制御部２０に静的に設定するサービス制御部２３、パケット制御部２０からのパケット受信を契機にサービスプロファイルを動的に設定するアクセス監視部２１から構成される。
【００６０】
「サーバ装置」
サーバ装置３は、ネットワークを監視し、管理下のネットワーク装置２にオペレータの操作により、または、予め設定された条件に従い自動的にネットワーク装置２にＩＰパケット制御情報を設定する装置である。一般にはポリシーサーバやＡｕｔｈｅｎｔｉｃａｔｉｏｎ（認証）、Ａｕｔｈｏｒｉｚａｔｉｏｎ（認可）、Ａｃｃｏｕｎｔｉｎｇ（課金）を行うＡＡＡサーバが相当する。本発明の手法Ｂのサーバ装置３はホスト１の認証を行なう認証制御部３０、認証のための情報を格納する認証データベース３１、ホスト１に適用するサービスプロファイル情報を格納したサービスプロファイル（ＳＰ）原本３２、ＮＡＩで記述されたサービスプロファイルをＩＰアドレスで記述されたサービスプロファイルに変換するサービスプロファイル制御部３３、サービスプロファイル設定先のネットワーク装置２を特定するサービスプロファイル配布部３４から構成される。
【００６１】
次に、機能エンティティについて詳細に説明する。
「ネットワーク装置」
パケット制御部２０は、認証関連プロトコルを識別する認証フィルタと、データパケットの受信により動的に設定される動的フィルタと、ホストの認証時に静的に設定される静的フィルタとを備える。
【００６２】
フィルタの構成を図２３に示す。フィルタは、フィルタの登録・削除時にフィルタを一意に特定するためのフィルタ番号、制御するパケットを特定するための条件である、始点アドレス、始点プレフィックス長、始点ポート番号、終点アドレス、終点プレフィックス長、終点ポート番号、トラフィッククラスとパケットの制御情報であるＴＯＳ（Ｔｙｐｅ Ｏｆ Ｓｅｒｖｉｃｅ）値、このフィルタの有効期間であるライフタイム、パケットの制御方法を指定する制御コードから構成される。
【００６３】
アクセス監視部２１は、パケット制御部より通知されたパケットに対してパケット制御部の動的フィルタを設定する。
アテンダント２２は、割り当てたＩＰアドレスの有効期間を管理するアドレスキャッシュ（図２４）とＩＣＭＰメッセージ及びＡＡＡプロトコルメッセージを処理する認証要求監視部から構成される。
【００６４】
サービス制御部２３はサーバ装置から通知されたサービスプロファイルをサービスプロファイルキャッシュ（図２５）に登録し、静的フィルタを生成する。サービスプロファイルキャッシュは、静的な設定か、動的な設定かを示すプロファイルタイプ、このサービスプロファイルの一意な識別子であるプロファイル番号、制御するパケットを特定するための条件である、始点アドレス、始点プレフィックス長、始点ポート番号、終点アドレス、終点プレフィックス長、終点ポート番号、トラフィッククラスとパケットの制御情報であるＴＯＳ値、生成したフィルタを索引するためのフィルタ番号で構成される。
【００６５】
ここで、本発明の機能概要を纏めると、以下のようになる。
すなわち、本発明のサービス制御ネットワークは、ホスト（端末装置）１を収容するネットワーク装置２および上記ホスト１を認証するサーバ装置３を備え、上記ホスト１に対してサービスを提供する。
【００６６】
上記サーバ装置３は、ネットワークアクセス識別子を用いて、上記ホスト１の識別情報を格納したサービス制御情報データベース（ＳＰ原本３２）を備える。そして、上記ホスト１との接続を契機に、上記ネットワークアクセス識別子と上記ホスト１を収容するネットワーク装置２により上記ホスト１に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布する。
【００６７】
上記ネットワーク装置２は、上記ＩＰアドレスを上記ホスト１の識別として上記サーバ装置３に配布された上記サービス制御情報に基づいて、パケットの転送制御を行なう。
【００６８】
上記サービス制御ネットワークは、上記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、静的サービス制御情報が、上記ホスト１を認証する認証手順実行直後に必要な経路上に配布され、動的サービス制御情報が、パケットの送出を契機に必要な経路上に配布される。
【００６９】
また、上記サービス制御ネットワークは、上記サービスプロフィアルを、上記ホスト１に対する上り方向及び下り方向のＱｏＳを一律に設定する基本サービス情報と、上り方向の終点アドレス、下り方向の始点アドレスを個別に設定可能な拡張サービス情報とに分ける。
【００７０】
さらに、上記サービス制御ネットワークは、特定のアドレスを指定しないようなサービス制御情報をサーバ装置３配下の全ネットワーク装置２に配布することを避けるために、上記下り方向のサービス制御情報をＩＰｖ６の中継点オプションに載せて、目的とするネットワーク装置２に通知する。
【００７１】
サーバ装置３は、ネットワークアクセス識別子を用いて、上記ホスト１の識別情報を格納したＳＰ原本３２と、上記ホスト１を収容する上記ネットワーク装置２により上記ホスト１に付与されたＩＰアドレスと上記ネットワークアクセス識別子とを対応付けるアドレスキャッシュを有し、上記ネットワークアクセス識別子を指定したネットワーク制御要求に対して、管理下のネットワーク装置２が理解できる形式にサービス制御情報を変換するサービスプロファイル制御部３３と、上記サービス制御情報の配布先を特定し配布するサービスプロファイル配布部３４とを備える。
【００７２】
そして、上記ホスト１との接続を契機に、上記ネットワークアクセス識別子と上記ホスト１を収容するネットワーク装置２により上記ホスト１に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布する。
【００７３】
また、上記サーバ装置３は、ホスト１を認証する認証手順実行により、上記ホスト１からのネットワークアクセスを検出し、上記認証要求を行ったホスト１のネットワークアクセス識別子と上記ネットワーク装置２から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部３０と、上記認証要求を行ったホスト１のネットワークアクセス識別子からＩＰアドレスを求めるためのインタフェースを上記認証制御部３０に提供するサービスプロファイル生成部とを備える。
【００７４】
上記サービスプロファイル配布部３４は、ネットワークプレフィックスとネットワーク装置２との対応表（ネットワークプレフィックス−ＥＮ対応表）を有し、上記サービスプロファイル生成部によりＩＰアドレス変換されたサービスプロファイルの始点アドレスよりサービスプロファイルの配布先を決定する。
【００７５】
さらに、上記サーバ装置３は、上記サービスプロファイル配布部３４が、上記ネットワーク装置２に理解できる形式に変換されたサービスプロファイルを始点アドレスから求められたネットワーク装置２毎のキューに蓄積し、上記認証制御部３０が、上記ネットワーク装置２からの認証要求メッセージに対する認証応答メッセージの生成時に、送出先ネットワーク装置２に対応するキューから、上記送出先ネットワーク装置２へ配布するサービスプロファイルを抽出し、上記メッセージ上に複数のサービスプロファイルを多重化する。
【００７６】
さらに、上記サーバ装置３は、上記サービスプロファイル配布部３４が、他のネットワーク装置２宛のキューを有し、上記他のネットワーク装置２からの認証要求時には、ネットワーク装置２毎のキューに蓄積し、上記認証制御部３０が、認証要求メッセージに対する認証応答メッセージの生成時に、認証要求ドメインに対応するキューから、上記ネットワーク装置２へ配布するサービス制御情報を抽出して認証応答メッセージとして送出し、認証要求元のサーバ装置３が、認証応答メッセージで通知されたサービスプロファイルを抽出し、管理下のネットワーク装置２配下のキューに蓄積する。
【００７７】
上記ネットワーク装置２は、上記ホスト１を認証するサーバ装置３が、ネットワークアクセス識別子を用いて、上記ホスト１の識別情報を格納したサービス制御情報データベースを備え、上記ホスト１との接続を契機に、上記ネットワークアクセス識別子と上記ホスト１を収容するネットワーク装置２により上記ホスト１に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布し、上記ＩＰアドレスを上記ホスト１の識別として上記サーバ装置３に配布された上記サービス制御情報に基づいて、パケットの転送制御を行なう。
さらに、上記ホスト１を認証する認証手順実行により、上記ホスト１からのネットワークアクセスを検出し、上記認証要求を行ったホスト１のネットワークアクセス識別子と上記ネットワーク装置２から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部３０と認証要求及び認証応答のメッセージを交換することで、認証要求ユーザへのネットワークアクセスの認可とＩＰアドレスの割り当てを許容するアテンダント部２２と、上記サーバ装置３により通知された多重化されたサービス制御情報を上記ホスト１単位に分割し管理するサービス制御部２３とを備える。
【００７８】
また、上記ネットワーク装置２は、上記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分けられ、静的サービス制御情報が、上記ホスト１を認証する認証手順実行直後に必要な経路上に配布され、動的サービス制御情報が、パケットの送出を契機に必要な経路上に配布される。
【００７９】
そして、上記ネットワーク装置２は、割り当て可能なＩＰアドレスをＩＰアドレスの始点アドレスを参照してフィルタリングする静的パケットフィルタに登録し、上記静的パケットフィルタの帰結部としてパケット棄却を登録し、上記ホスト１の認証手順実行時に上記帰結部を上記サーバ装置３から認証応答メッセージで返されるホスト１に割り当てたアドレスに対応するサービスプロファイルで置換する。
【００８０】
また、上記ネットワーク装置２は、ＩＰアドレスの始点アドレスを参照してフィルタリングする上記静的パケットフィルタに不一致時は、上記パケットのＩＰアドレスの始点アドレスが割り当て中であるか否かを判断し、割り当て中であると判断された場合は、上記サーバ装置３により設定されたサービス制御情報を上記静的パケットフィルタと上記アドレスキャッシュに登録し、割り当て中でないと判断された場合は、パケット棄却を指定したサービス制御情報を上記静的パケットフィルタと上記アドレスキャッシュに登録する。
【００８１】
さらに、上記ネットワーク装置２は、パケット棄却のサービスプロファイルを設定した、上記静的パケットフィルタを通過したパケットをロギングし、規定回数以上のアクセスがあった場合、警告を発するアクセス監視部２１を備える。
【００８２】
また、上記ネットワーク装置２は、上記ホスト１からの認証要求が一定期間無い場合に、上記サーバ装置３へサービス要求メッセージを送出し、サービス応答メッセージで上記サーバ装置３に関係あるサービス制御情報をダウンロードするアテンダント２２を備える。
【００８３】
さらに、上記ネットワーク装置２は、上記パケットの受信により動的に設定される動的パケットフィルタ又は上記ホスト１の認証時に静的に設定される上記静的パケットフィルタの帰結部に、パケット転送時トラフィッククラスフィールドの編集と共に、上記下り方向のサービスプロファイルをＩＰｖ６の中継点オプションに設定し挿入する制御コードを設定し、上記中継点オプションを有するパケットを受信した場合は、上記動的パケットフィルタに設定する。
【００８４】
図２６から図３１はネットワーク装置２の処理フローである。以下、これらのフローを用いてネットワーク装置２の処理を説明する。
図２６はパケット制御部２０の処理フローである。
【００８５】
ステップＳ２０１〜ステップＳ２０８（図２６（ａ））は、パケットの受信処理である。
ステップＳ２０１において、パケット制御部２０は、ＩＰパケットを受信するとＩＰヘッダの中継オプションにＱｏＳオブジェクトが設定されているかを調べる。この通知用のＩＰヘッダオプションは、例えばＩＥＴＦドラフトｄｒａｆｔ−ｃｈａｓｋａｒ−ｍｏｂｉｌｅｉｐ−ｑｏｓ−０１.ｔｘｔで規定されているようなＱｏＳオブジェクト（図２７）を適用できる。ＱｏＳ通知がある場合は、ステップＳ２０８へＱｏＳ通知が無い場合はステップＳ２０２へ処理を分岐する。
【００８６】
ステップＳ２０２において、受信パケットを認証フィルタで検索し、ＩＣＭＰ又はＡＡＡプロトコルの場合はステップＳ２０７へ処理を分岐する。それ以外のパケットであれば、ステップＳ２０３へ処理を分岐する。認証フィルタはフィルタの終点アドレスにネットワーク装置自身のアドレス、終点プレフィックス長に１２８、次ヘッダにＩＣＭＰのプロトコル番号、又は終点ポート番号にＤＩＡＭＥＴＥＲのポート番号を設定し、帰結部にアプリケーション通知を設定することで実現される。
【００８７】
ステップＳ２０３において、受信パケットを動的フィルタで検索し、フィルタの条件部に一致した場合は、ステップＳ２０６に不一致時はステップＳ２０４へ処理を分岐する。
【００８８】
ステップＳ２０４において、受信パケットを静的フィルタで検索し、フィルタの条件部に一致した場合は、ステップＳ２０６に不一致時はステップＳ２０５へ処理を分岐する。
【００８９】
ステップＳ２０５において、いずれのフィルタにも一致しなかった場合は、このパケットをアクセス監視部２１に通知する。
ステップＳ２０６において、動的フィルタ又は静的フィルタのいずれかに一致、又はアクセス監視部２１で動的フィルタが作成された場合は、プロファイルの帰結部の制御コードに従いパケットの制御を行なう。制御コードの例は、パケット棄却、Ｄｉｆｆｓｅｒｖｅ適用、中継オプション付加等である。
【００９０】
ステップＳ２０７において、ＩＣＭＰ又はＤＩＡＭＥＴＥＲメッセージの場合は、認証要求監視部に認証要求イベントを通知しパケットを通知する。
ステップＳ２０８において、中継オプションでＱｏＳ通知があった場合は、通知された情報をもとに動的フィルタを生成する。
【００９１】
ステップＳ２０９〜ステップＳ２１１（図２６（ｂ））は、周期処理でありパケットの受信処理とは独立に動作している。
ステップＳ２０９において、動的フィルタのエントリを周期的に監視しフィルタのライフタイムを減算する。
【００９２】
ステップＳ２１０において、ライフタイムが満了（ライフタイム値が０）であればステップＳ２１１に、満了でなければステップＳ２０９に処理を分岐する。
ステップＳ２１１において、動的フィルタの該当エントリを解放し、ステップＳ２０９以降の処理を繰り返す。
【００９３】
図２８、図２９はアテンダント２２の処理フローである。
図２８のステップＳ２２１〜ステップＳ２２１３、ステップＳ２２１８は、ＩＣＭＰ、ＤＩＡＭＥＴＥＲメッセージの受信処理である。
【００９４】
ステップＳ２２１において、イベント受信タイマを設定して、パケット制御部２０からの認証要求イベントを監視する。
ステップＳ２２２において、認証要求受信ならステップＳ２２３へ、イベント受信タイマ満了ならステップＳ２２１３へ処理を分岐する。
【００９５】
ステップＳ２２３において、イベントで通知されたパケットのメッセージ種別により処理を分岐する。ＡＨＡ（図１８）ならステップＳ２２４へ、ＳＴＡ（Ｓｅｓｓｉｏｎ Ｔｅｒｍｉｎａｔｉｏｎ Ａｎｓｗｅｒ）（図２２）ならステップＳ２２５へ、ＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｓｔ（図１１、図１２）ならステップＳ２２８へ、ＡＳＡ（ＡＡＡ Ｓｅｒｖｉｃｅ Ａｎｓｗｅｒ）（図２０）ならステップＳ２２１２へ処理を分岐する。
【００９６】
ステップＳ２２４において、ＡＨＡメッセージからサービスプロファイルを抽出してサービス制御部へ設定イベントを通知する。
ステップＳ２２１８において、ＩＣＭＰ ＡＡＡ Ｒｅｐｌｙメッセージ（図１３、図１４）を編集しホスト１へ送出し、認証要求監視処理（ステップＳ２２１）に戻る。
【００９７】
ステップＳ２２５において、サービス制御部２３へ設定イベントを通知する。
ステップＳ２２６において、ＩＣＭＰ ＡＡＡ Ｒｅｐｌｙメッセージ（図１３、図１４）を編集しホスト１へ送出する。
【００９８】
ステップＳ２２７において、該当ホスト１のアドレスキャッシュを解放する。
ステップＳ２２８において、ＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｓｔメッセージ（図１１、図１２）のライフタイムオプションを判定し、ライフタイムが０ならステップＳ２２１１へ、０でなければステップＳ２２９に処理を分岐する。
【００９９】
ステップＳ２２９において、ＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｓｔメッセージの送出元ホスト１についてアドレスを有効にするために、アドレスキャッシュにＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｓｔメッセージで通知されたアドレスとアテンダント２２が決定したライフタイムを設定する。
【０１００】
ステップＳ２２１０において、サーバ装置３へＡＨＲメッセージ（図１７）を送出し、認証要求監視処理（ステップＳ２２１）に戻る。
ステップＳ２２１１において、サーバ装置３へＳＴＲ（Ｓｅｓｓｉｏｎ Ｔｅｒｍｉｎａｔｉｏｎ Ｒｅｑｕｅｓｔ）メッセージ（図２１）を送出し、認証要求監視処理（ステップＳ２２１）に戻る。
【０１０１】
ステップＳ２２１２において、ＡＳＡメッセージからサービスプロファイルを抽出してサービス制御部２３へ設定イベントを通知し、認証要求監視処理（ステップＳ２２１）に戻る。
【０１０２】
ステップＳ２２１３において、サーバ装置３へＡＳＲ（ＡＡＡ Ｓｅｒｖｉｃｅ Ｒｅｑｕｅｓｔ）メッセージ（図１９）を送出し、認証要求監視処理（ステップＳ２２１）に戻る。
【０１０３】
図２９のステップＳ２２１４〜ステップＳ２２１７は、アテンダント２２の周期処理でありパケットの受信処理とは独立に動作している。
ステップＳ２２１４において、アドレスキャッシュのエントリを周期的に監視しキャッシュのアドレスライフタイムを減算する。
【０１０４】
ステップＳ２２１５において、アドレスライフタイムが満了（ライフタイム値が０）であればステップＳ２２１６に、満了でなければステップＳ２２１４に処理を分岐する。
【０１０５】
ステップＳ２２１６において、サービス制御部２３へ解放イベントを通知する。
ステップＳ２２１７において、アドレスキャッシュの該当エントリを解放し、ステップＳ２２１４以降の処理を繰り返す。
【０１０６】
図３０はサービス制御部２３の処理フローである。
ステップＳ２３１〜ステップＳ２３５（図３０（ａ））は、フィルタの設定・解除処理である。
【０１０７】
ステップＳ２３１において、サービス制御部２３への要求イベントを調べ、設定であればステップＳ２３２へ、解除であればステップＳ２３４へ処理を分岐する。
【０１０８】
ステップＳ２３２において、イベントで通知されたサービスプロファイルの制御コードが、設定であればサービスプロファイルキャッシュに登録し、解除であればサービスプロファイルキャッシュから削除する。
【０１０９】
ステップＳ２３３において、イベントで通知されたサービスプロファイルに基づいてパケット制御部２０の静的フィルタを設定・解除し処理を終了する。
ステップＳ２３４において、イベントで通知されたＩＰアドレスでサービスプロファイルキャッシュを検索し、該当するサービスプロファイルを削除する。
【０１１０】
ステップＳ２３５において、削除したサービスプロファイルにリンクされたパケット制御部２０の静的フィルタを削除し処理を終了する。
ステップＳ２３６〜ステップＳ２３９（図３０（ｂ））は、サービス制御部２３の周期処理でありサービスプロファイルの設定・解除処理とは独立に動作している。
【０１１１】
ステップＳ２３６において、サービスプロファイルキャッシュのエントリを周期的に監視しキャッシュのアドレスライフタイムを減算する。
ステップＳ２３７において、サービスプロファイルキャッシュのキャッシュライフタイムが満了（ライフタイム値が０）であればステップＳ２３８に分岐し、満了でなければステップＳ２３６に処理を分岐する。
【０１１２】
ステップＳ２３８において、サービスプロファイルキャッシュの該当エントリを削除する。
ステップＳ２３９において、削除したサービスプロファイルにリンクされたパケット制御部の静的フィルタを削除し、ステップＳ２３６以降の処理を繰り返す。
【０１１３】
図３１はアクセス監視部２１の処理フローである。
ステップＳ２１１において、パケット制御部２０より通知されたパケットの始点アドレスで、アテンダント部が管理しているアドレスキャッシュを検索する。
【０１１４】
ステップＳ２１２において、該当エントリが有る場合はステップＳ２１３へ、無い場合はステップＳ２１５へ処理を分岐する。
ステップＳ２１３において、始点アドレスで、サービス制御部２３が管理しているサービスプロファイルキャッシュを検索する。
【０１１５】
ステップＳ２１４において、該当サービスプロファイルが有りでかつ、サービスプロファイルの設定タイプが動的であれば、パケット制御部２０の動的フィルタに設定を行ない処理を終了する。サービスプロファイルが無い場合は、Ｂｅｓｔ Ｅｆｆｏｒｔを設定した動的フィルタを作成する。
【０１１６】
ステップＳ２１５において、このパケットの情報をログとして記録する。
ステップＳ２１６において、このパケットについてパケットを棄却するポリシーを生成する。ポリシーの有効期限は管理者により決定される。
【０１１７】
ステップＳ２１７において、パケット制御部２０の動的フィルタに設定を行ない処理を終了する。
「サーバ装置」
認証制御部３０は、ＡＡＡプロトコルの処理を行い、ホスト１の認証と認証されたホストのためにネットワーク装置へ配布するサービスプロファイルを生成する。
【０１１８】
認証データベース３１及びポリシーサーバ（ＳＰ）原本３２は、ＮＡＩで検索されるユーザ情報である。図３２に認証ＤＢ３１及びＳＰ原本３２の構成例を示す。データベースはＮＡＩをキーとして検索され、ユーザ名や端末種別などの一般的なユーザ情報、ネットワークの状態やサービス条件によりサービスプロファイルの適用可否を決定するためのポリシー情報、認証鍵や認証情報の復号方法を識別するためのＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒ Ｉｎｄｅｘ）等の認証情報、通信相手のＮＡＩやポート番号等のユーザが所望するパケットにサービスを適用するためのサービスプロファイルから構成される。
【０１１９】
サービスプロファイル制御３３はアドレスキャッシュとサービスプロファイルキャッシュから構成される。アドレスキャッシュ（図３３）は、認証済みホストのＮＡＩ、認証時にＮＡＩに割り付けられたＩＰアドレスと、ライフタイムから構成される。サービスプロファイルキャッシュ（図３４）は、静的な設定か、動的な設定かを示すプロファイルタイプ、このサービスプロファイルの一意な識別子であるプロファイル番号、制御するパケットを特定するための条件である、始点アドレス、始点プレフィックス長、始点ポート番号、終点アドレス、終点プレフィックス長、終点ポート番号、トラフィッククラスとパケットの制御情報であるＴＯＳ値、ネットワーク装置２に配布済みであるかどうか示す状態で構成される。
【０１２０】
サービスプロファイル配布部３４はネットワークプレフィックス−ＥＮ対応表と配布キューから構成される。ネットワークプレフィックス−ＥＮ対応表（図３５）は、ネットワークプレフィックスと、それに対応するネットワーク装置２のＩＰアドレスで構成される。配布キューは、サーバ装置３の管理下にあるネットワーク装置２毎に用意され、ネットワーク装置２に配布するサービスプロファイルキャッシュをキューイングするためのキューテーブルである。
【０１２１】
図３６から図３９はサーバ装置３の処理フローである。以下、これらのフローを用いてサーバ装置３の処理を説明する。
図３６は認証制御部３０の処理フローである。
【０１２２】
ステップＳ３０１において、受信したメッセージにより処理を分岐する。ＡＨＲ（図１７）ならステップＳ３０２へ、ＡＳＲ（図１９）ならステップＳ３０９へ、ＡＨＡ（図１８）、ＳＴＡ（図２２）ならステップＳ３０１０へ、ＳＴＲ（図２１）ならステップＳ３０１６へ処理を分岐する。
【０１２３】
ステップＳ３０２において、ＡＨＲメッセージのＵｓｅｒ−Ｎａｍｅ ＡＶＰ（Ａｔｔｒｉｂｕｔｅ Ｖａｌｕｅ Ｐａｉｒ）に設定されているホストのＮＡＩのｒｅａｌｍ部分を判断して認証ユーザが自ドメインのユーザか判定する（ＮＡＩはユーザ名＠ｒｅａｌｍの形式で記述される。ｒｅａｌｍはドメインを示す部分であり、例えばａｂｃｓｙａ．ｃｏｍのように記述される。）。ＮＡＩが自ドメインであればステップＳ２０３へ、自ドメインでなければステップＳ３０８へ処理を分岐する。
【０１２４】
ステップＳ３０３において、ＮＡＩで認証ＤＢ３１を検索し、認証ＤＢ３１より抽出した認証情報から認証要求をしてきたホストを認証する。
ステップＳ３０４において、認証が成功であればステップＳ３０６へ、失敗であればステップＳ３０５へ処理を分岐する。
【０１２５】
ステップＳ３０５において、ＡＨＡメッセージ（図２０）を編集し、ＡＨＲ送出元のネットワーク装置２へ送信し処理を終了する。
ステップＳ３０６において、サービスプロファイル制御部３３に生成イベントを通知する。
【０１２６】
ステップＳ３０７において、サービスプロファイル配布部３４のＡＨＲ送出元のネットワーク装置２に対応する配布キューを参照して、ＡＨＡメッセージ（図１８）を編集しＰｒｏｆｉｌｅ−Ｃａｃｈｅ ＡＶＰにキューからデタッチしたサービスプロファイルを設定する。ＡＨＲ送出元のネットワーク装置２へメッセージを送信し処理を終了する。
【０１２７】
ステップＳ３０８において、ＡＨＲメッセージをＮＡＩのｒｅａｌｍが示すドメインのサーバ装置３へ転送する。
ステップＳ３０９において、サービスプロファイル配布部３４のＡＳＲ送出元のネットワーク装置２に対応する配布キューを参照して、ＡＳＡメッセージ（図２０）を編集し、Ｐｒｏｆｉｌｅ−Ｃａｃｈｅ ＡＶＰにキューからデタッチしたサービスプロファイルを設定する。ＡＳＲ送出元のネットワーク装置２へメッセージを送信し処理を終了する。
【０１２８】
ステップＳ３０１０において、サービスプロファイル制御部３３に登録イベントを通知する。
ステップＳ３０１１において、プロファイル配布部３４のＡＨＲ又はＳＴＲ送出元のネットワーク装置２に対応する配布キューを参照して、ＡＨＡメッセージ（図２０）、又はＳＴＡメッセージ（図２２）を編集し、Ｐｒｏｆｉｌｅ−Ｃａｃｈｅ ＡＶＰにキューからデタッチしたサービスプロファイルを設定する。ＡＨＲ又はＳＴＲ送出元のネットワーク装置２へメッセージを送信し処理を終了する。
【０１２９】
ステップＳ３０１２において、ＳＴＲメッセージのＵｓｅｒ−Ｎａｍｅ ＡＶＰに設定されているホストのＮＡＩのｒｅａｌｍ部分を判断して認証ユーザが自ドメインのユーザか判定する。ＮＡＩが自ドメインであればステップＳ３０１３へ、自ドメインでなければステップＳ３０１５へ処理を分岐する。
【０１３０】
ステップＳ３０１３において、サービスプロファイル制御部３３に削除イベントを通知する。
ステップＳ３０１４において、プロファイル配布部３４のＳＴＲ送出元のネットワーク装置２に対応する配布キューを参照して、ＳＴＡメッセージ（図２２）を編集し、Ｐｒｏｆｉｌｅ−Ｃａｃｈｅ ＡＶＰにキューからデタッチしたサービスプロファイルを設定する。ＳＴＲ送出元のネットワーク装置２へメッセージを送信し処理を終了する。
【０１３１】
ステップＳ３０１５において、ＳＴＲメッセージをＮＡＩのｒｅａｌｍが示すドメインのサーバ装置３へ転送し、処理を終了する。
図３７はサービスプロファイル制御部３３の処理フローである。
【０１３２】
ステップＳ３３１〜ステップＳ３３１０（図３７（ａ））は、アドレスキャッシュとサービスプロファイルに関する制御処理である。
ステップＳ３３１において、受信したイベントにより処理を分岐する。生成イベントならステップＳ３３２へ、削除イベントならステップＳ３３６へ、登録イベントならステップＳ３３９へ処理を分岐する。
【０１３３】
ステップＳ３３２において、イベントで通知されたＮＡＩ、ＩＰアドレス、ライフタイムよりアドレスキャシュを生成する。
ステップＳ３３３において、イベントで通知されたＮＡＩよりＳＰ原本３２を読み出し、サービス情報を抽出する。
【０１３４】
ステップＳ３３４において、抽出したサービス情報よりサービスプロファイルキャッシュを生成する。生成処理の詳細については後述する。
ステップＳ３３５において、該当のサービスプロファイルをサービスプロファイル配布部３４に通知し処理を終了する。
【０１３５】
ステップＳ３３６において、イベントで通知されたＮＡＩのアドレスキャッシュを削除する。
ステップＳ３３７において、該当アドレスキャッシュのＩＰアドレスで、サービスプロファイルキャッシュの始点アドレスと終点アドレスを検索し、該当するエントリをサービスプロファイルキャッシュから削除する。但し、実際の削除は該当サービスプロファイルが配布キューからデタッチされた後に実行される。
【０１３６】
ステップＳ３３８において、該当のサービスプロファイルをサービスプロファイル配布部３４に通知し処理を終了する。
ステップＳ３３９において、メッセージで通知されたサービスプロファイルをサービスプロファイルキャッシュに登録する。通知されたサービスプロファイルのＩＰアドレスが、まだ未解決であれば、アドレス解決を行い、アドレス解決が済みであれば、配布対象サービスプロファイルとする。
【０１３７】
ステップＳ３３１０において、該当のサービスプロファイルをサービスプロファイル配布部３４に通知し処理を終了する。
ステップＳ３３１１〜ステップＳ３３１３（図３７（ｂ））は、サービスプロファイル制御部３３の周期処理でありサービスプロファイルキャッシュの設定・解除処理とは独立に動作している。
【０１３８】
ステップＳ３３１１において、アドレスキャッシュのエントリを周期的に監視しキャッシュのアドレスライフタイムを減算する。
ステップＳ３３１２において、アドレスキャッシュのキャッシュライフタイムが満了（ライフタイム値が０）であればステップＳ３３１３に、満了でなければステップＳ３３１１に処理を分岐する。
【０１３９】
ステップＳ３３１３において、該当アドレスキャッシュのＩＰアドレスでサービスプロファイルキャッシュの該当エントリを特定し削除する。
図３８は図３７のステップＳ３３４（サービスプロファイル生成処理）の処理フローである。
【０１４０】
ステップＳ３３４０１において、ＳＰ原本３２より抽出したサービス制御情報よりサービスプロファイルを生成し、ホストの識別として設定されたＮＡＩに対応するＩＰアドレスを設定する。
【０１４１】
ステップＳ３３４０２において、生成したサービスプロファイルをサービスプロファイルキャッシュに登録する。
ステップＳ３３４０３において、サービスプロファイルキャッシュを検索して、まだＩＰアドレスが設定されていない（ＩＰアドレスが０である）サービスプロファイルについてアドレスキャッシュを参照しながらアドレス解決を行う。
【０１４２】
ステップＳ３３４０４において、サービスプロファイルの始点アドレスと終点アドレスが共にアドレス解決済みかチェックする。アドレス解決済みであればステップＳ３３４０５へ、未解決であればステップＳ３３４０７へ処理を分岐する。
【０１４３】
ステップＳ３３４０５において、サービスプロファイルの状態を調べ、配布済みであればステップＳ３３４０７へ、未配布であればステップＳ３３４０６へ処理を分岐する。
【０１４４】
ステップＳ３３４０６において、該当サービスプロファイルへのポインタをサービスプロファイル配布部への入力情報として設定し、サービスプロファイルの状態に配布済みを設定する。
【０１４５】
ステップＳ３３４０７において、サービスプロファイルキャッシュの全エントリの検索が完了したか調べ、検索完了であれば処理を終了する。検索完了でなければステップＳ３３４０３に戻って処理を続行する。
【０１４６】
図３９はサービスプロファイル配布部３４の処理フローである。
ステップＳ３４１において、サービスプロファイル制御部３３より通知されたサービスプロファイルの始点アドレスよりネットワークプレフィックスを抽出し、ネットワークプレフィックス−ＥＮ対応表を索引して、サービスプロファイル配布先のネットワーク装置を２特定する。
【０１４７】
ステップＳ３４２において、ネットワーク装置２に対応する配布キューにサービスプロファイルをアタッチし、処理を終了する。
以下、本発明の手法Ｂの具体的な実施例としてＩＰｖ６のステートレスアドレス構成の例を示す。ＩＰｖ６を用いたアドレス自動構成とＡＡＡサーバの連携方法はＩＥＴＦドラフトｄｒａｆｔ−ｐｅｒｋｉｎｓ−ａａａｖ６−０３．ｔｘｔにて、連携方法が提案されている。以下、このドラフトの方式に本発明の手法Ｂを適用した場合の動作を詳細に説明していく。
【０１４８】
図４０は、本発明の実施の形態（ＡＡＡを用いたＩＰｖ６ネットワークアクセスによる例）におけるシステム構成図である。
ネットワーク装置（Ｅｄｇｅ Ｎｏｄｅ１、Ｅｄｇｅ Ｎｏｄｅ２）はルータシステムに相当し、アテンダントは機能的にはｄｒａｆｔ−ｐｅｒｋｉｎｓ−ａａａｖ６−０３．ｔｘｔで規定しているものと同じである。パケットフィルタは、図１０に示したパケット制御部２０に相当する、但しフィルタの種類や制御方法は本発明の手法Ｂ固有である。ｄｒａｆｔ−ｐｅｒｋｉｎｓ−ａａａｖ６−０３．ｔｘｔで規定されていない本発明の手法Ｂ固有のアクセス監視部２１（図１０参照）やサービス制御部２３（図１０参照）は、拡張制御部として記している。サーバ装置（ＮＭＳ）はＡＡＡサーバに相当する。ホスト（ホスト１、ホスト２）とエッジルータ（Ｅｄｇｅ Ｎｏｄｅ１、Ｅｄｇｅ Ｎｏｄｅ２）間のプロトコルは、ｄｒａｆｔ−ｐｅｒｋｉｎｓ−ａａａｖ６−０３．ｔｘｔ規定のＩＣＭＰ ＡＡＡプロトコルを用いる。エッジルータとＡＡＡサーバ間はＩＰｖ６用ＡＡＡプロトコルを用いることが、ｄｒａｆｔ−ｐｅｒｋｉｎｓ−ａａａｖ６−０３．ｔｘｔでは規定されているが、本プロトコルは、現時点では標準化されたものが無いので、ＩＰｖ６でも利用可能であり、想定プロトコルと同機能を持つＤＩＡＭＥＴＥＲプロトコルを用いる。従って、ｄｒａｆｔ−ｐｅｒｋｉｎｓ−ａａａｖ６−０３．ｔｘｔのＡＨＲ、ＡＨＡメッセージはＤＩＡＭＥＴＥＲのＡＭＲ、ＡＭＡと同一のものとして説明を行なう。
１．サービスプロファイル原本設定
本発明の手法Ｂによるサービスを実行するためには、ユーザは自分が所属しているドメインやＩＳＰの管理サーバにサービスを登録する必要がある。
【０１４９】
図４１は、サービス登録のシーケンス（サービスプロファイル原本設定の例）を示す図である。
▲１▼ユーザは、ホストからｈｔｔｐプロトコルを介してＷＥＢサーバにアクセスし、サービスを登録する。ＷＥＢサーバのアプリケーションはユーザにサービス種別や対象とするホスト名、規制条件や上り、下り方向に適用するサービス品質等の項目を示し、ユーザに必要な情報の設定を促す。
▲２▼ＷＥＢサーバのアプリケーションは、入力された情報を図３２に示すような形式に情報を正規化しサービスプロファイル原本に登録する。この実施の形態ではホスト１のユーザが通信相手を特定しない基本サービスとして上り、下りのサービス品質にＤｉｆｆｓｅｒｖｅのＡＦ３１を、通信相手を特定する拡張サービスとして、ホスト２に対する上り、下りのサービス品質にＤｉｆｆｓｅｒｖｅのＡＦ２１を設定したと想定する。
２．ホスト１のアドレス取得時のサービスプロファイル配布
図４２は、ホスト１がアドレス取得をする時の全体シーケンス（サービスプロファイル配布の例）を示す図であり、図４３は、ネットワーク装置動作の詳細処理シーケンスを示す図であり、図４４は、サーバ装置の詳細処理シーケンスを示す図である。
【０１５０】
図４２を参照しながら、適宜、図４３、図４４を参照して全体の流れを説明する。
▲１▼ホスト１はネットワークに接続されるとＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｔメッセージをエッジノードへ送出してアドレス取得要求を行なう。
▲２▼エッジノードはＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｔメッセージの受信を契機にＡＨＲメッセージをＡＡＡサーバに送信する。このメッセージでエッジノードはホスト１のＮＡＩ（ホスト１＠ｅｎ１１．ｎｅｔ１）とＩＰアドレス（２００１：４００：１：１：ａａ：ａａ：ａａ：ａａ）を通知する（図４３▲１▼〜▲４▼、▲１▼−図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０７、▲２▼▲３▼▲４▼−図２８アテンダントステップＳ２２１→ステップＳ２２２→ステップＳ２２３→ステップＳ２２８→ステップＳ２２９→ステップＳ２２１０）。
▲３▼ＡＡＡサーバは、ＡＨＲメッセージを受信するとＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）で認証ＤＢを検索し、このホストを認証する（図４４▲１▼〜▲２▼、▲１▼▲２▼−図３６認証制御部ステップＳ３０１→ステップＳ３０２→ステップＳ３０３→ステップＳ３０４→ステップＳ３０６）。
▲４▼認証成功であればＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）でＳＰ原本を検索する（図４４▲３▼〜▲５▼、▲３▼▲４▼▲５▼−図３７サービスプロファイル制御部ステップＳ３３１→ステップＳ３３２→ステップＳ３３３→ステップＳ３３４）。
▲５▼抽出したサービスプロファイルよりサービスプロファイルキャッシュを設定する。この実施例の場合、ＳＰ原本よりＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）で抽出されるサービスプロファイルはＳｒｃＮＡＩ＝ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１が設定された基本ＳＰと拡張ＳＰであり、それぞれ上り、下り方向の通信用に計４つのサービスプロファイルＳＰ１からＳＰ４が生成されサービスプロファイルキャッシュに設定される。又、この時ＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）のＩＰアドレスが通知されているので、該当するアドレスフィールドにアドレス２００１：４００：１：１：ａａ：ａａ：ａａ：ａａを設定する（図４４▲６▼、▲６▼−図３８サービスプロファイル制御部ステップＳ３３４０１→ステップＳ３３４０２→ステップＳ３３４０３）。
▲６▼ＡＡＡサーバはＳＰＣ（Ｓｅｒｖｉｃｅ Ｐｒｏｆｉｌｅ Ｃａｃｈｅ）を参照して始点アドレスと終点アドレスが共に解決済みのＳＰが存在するか調べる。この段階では、ＳＰ１とＳＰ２がアドレス解決済みである。ＳＰ３とＳＰ４はＮＡＩ＝ｈｏｓｔ２＠ｅｎ２１．ｎｅｔ２のアドレスが未解決である（図４４▲６▼、▲６▼−図３８サービスプロファイル制御部ステップＳ３３４０４→ステップＳ３３４０５→ステップＳ３３４０６→ステップＳ３３４０７）。
▲７▼アドレスが解決済みのＳＰ１とＳＰ２の配布先を、ネットワークプレフィックス−ＥＮ対応表を参照して決定する。ＳＰ１の始点アドレスのネットワークプレフィックは２００１：４００：１：１であるので、ＥＮ１が配布先として決定される。ＳＰ１の始点アドレスのネットワークプレフィックは０であるので、全てのＥＮが対象となるが、終点アドレスのネットワークプレフィックが配布先ＥＮと同一の場合は、そのＥＮへの配布は対象外とする。理由はエッジノードのローカルネットワークのサービス制御は、本発明の手法Ｂの対象外であるからである。従ってＳＰ２に対してはＥＮ２のみが配布先となる。配布先が決定されたサービスプロファイルを配布キューにアタッチする（図４４▲７▼〜▲９▼、▲７▼▲８▼▲９▼−図３９サービスプロファイル配布部ステップＳ３４１→ステップＳ３４２）。
▲８▼ＡＨＲメッセージへの応答としてＡＨＡメッセージを編集する。この時、送出先の配布キューにアタッチされているサービスプロファイルをデタッチしてＡＨＡメッセージに付加する。この例では、ＡＨＡ送出先はＥＮ１であるのでＳＰ１がキューからデタッチされＡＨＡメッセージに付加される（図４４｛１０｝、｛１０｝−図３６認証制御部ステップＳ３０７）。
▲９▼ＡＨＡメッセージでサービスプロファイル（ＳＰ１）を配布する。
｛１０｝ＡＨＡメッセージで通知されたサービスプロファイルをサービスプロファイルキャッシュに登録する（図４３▲５▼〜▲７▼、▲５▼−図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０７、▲６▼▲７▼−図２８アテンダントステップＳ２２１→ステップＳ２２２→ステップＳ２２３→ステップＳ２２４）。
｛１１｝サービスプロファイルを参照して静的フィルタに設定を行なう。ネットワークへの不正アクセスを規制する方法として、エッジノードでパケットの始点アドレスをフィルタ条件としてパケットを棄却する方法がある（一般にソースフィルタリングとして知られている）。ソースフィルタリングはパケットの始点アドレスの完全一致検索が必要であるので、通常そのエッジノードが割り当てる可能性のあるアドレス全てについてフィルタリングを用意する必要がある。またサービスを実行するための検索テーブルは、このフィルタリング処理とは別に存在するため、エッジノードは大量の記録領域を必要とする。本発明の手法Ｂでは、図２３に示すフィルタを用いることで、ソースフィルタリングとサービスプロファイルの適用処理を統合し、記録領域の削減を行えるようにしている。ソースフィルタリングの方法としては、（１）最初にエッジノード配下の全てのアドレスを始点とするパケットを棄却する設定にしておき、認証されたユーザのアドレスを始点とするパケットのみを透過とする方法と、（２）最初は全てのパケットを透過にしておき、ソースフィルタに一致しない始点アドレスを持つパケットを受信した場合に、そのアドレスが認証済みかどうかを調べ、認証済みでなければそのアドレスを始点とするパケットを棄却するフィルタを動的に作成する方法である。（１）の方法の場合、本発明の手法Ｂでは、エッジノードは予め図２３に示すフィルタの始点アドレスに２００１：４００：１：１：ａａ：ａａ：ａａ：ａａ、始点プレフィックス長に１２８、帰結部にパケット棄却が設定されている。他のパラメータは特に指定されない。認証後サービスプロファイルが通知されると、該サービスプロファイルに従い、上記フィルタの帰結部をＴＯＳマーキングかつ相手ノードに通知を設定する。（２）の方法の場合は、（１）の方法で説明した始点アドレス２００１：４００：１：１：ａａ：ａａ：ａａ：ａａを条件とする初期設定フィルタが存在しないので、新たに帰結部をＴＯＳマーキングかつ相手ノードに通知を設定したフィルタを生成する（図４３▲８▼、▲８▼−図３０サービス制御部ステップＳ２３１→ステップＳ２３２→ステップＳ２３３）。
｛１２｝ＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｓｔに対してＩＣＭＰ ＡＡＡ Ｒｅｐｌｙメッセージを送出する（図４３▲９▼、▲９▼−図２８アテンダントステップＳ２２１８）。
３．ホスト２のアドレス取得時のサービスプロファイル配布
図４５は、ホスト１のアドレス取得後、ホスト２がアドレス取得をする時の全体シーケンス（サービスプロファイル配布の例）を示す図である。
【０１５１】
図４５を参照しながら、適宜、図４３、図４４を参照して全体の流れを説明する。
▲１▼ホスト２はネットワークに接続されるとＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｔメッセージをエッジノードへ送出してアドレス取得要求を行なう。
▲２▼エッジノードはＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｔメッセージの受信を契機にＡＨＲメッセージをＡＡＡサーバに送信する。このメッセージでエッジノードはホスト２のＮＡＩ（ｈｏｓｔ２＠ｅｎ２１．ｎｅｔ２）とＩＰアドレス（２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂ）を通知する（図４３▲１▼〜▲４▼、▲１▼−図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０７、▲２▼▲３▼▲４▼−図２８アテンダントステップＳ２２１→ステップＳ２２２→ステップＳ２２３→ステップＳ２２８→ステップＳ２２９→ステップＳ２２１０）。
▲３▼ＡＡＡサーバは、ＡＨＲメッセージを受信するとＮＡＩ（ｈｏｓｔ２＠ｅｎ２１．ｎｅｔ２）で認証ＤＢを検索し、このホストを認証する（図４４▲１▼〜▲２▼、▲１▼▲２▼−図３６認証制御部ステップＳ３０１→ステップＳ３０２→ステップＳ３０３→ステップＳ３０４→ステップＳ３０６）。
▲４▼認証成功であればＮＡＩ（ｈｏｓｔ２＠ｅｎ２１．ｎｅｔ２）でＳＰ原本を検索する（図４４▲３▼〜▲５▼、▲３▼▲４▼▲５▼−図３７サービスプロファイル制御部ステップＳ３３１→ステップＳ３３２→ステップＳ３３３→ステップＳ３３４）。
▲５▼抽出したサービスプロファイルよりサービスプロファイルキャッシュを設定する。この実施例の場合、ホスト２についてはサービス登録をしていないと想定する。従って新たなサービスプロアイルは生成されない。又、この時ＮＡＩ（ｈｏｓｔ２＠ｅｎ２１．ｎｅｔ２）のＩＰアドレスが通知されているので、サービスプロファイルキャッシュに登録済みのサービスプロファイルの該当するアドレスフィールドにアドレス２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂを設定する（図４４▲６▼、▲６▼−図３８サービスプロファイル制御部ステップＳ３３４０１→ステップＳ３３４０２→ステップＳ３３４０３）。
▲６▼ＡＡＡサーバはＳＰＣを参照して始点アドレスと終点アドレスが共に解決済みのＳＰが存在するか調べる。この段階では、全てのサービスプロファイルがアドレス解決済みである（図４４▲６▼、▲６▼−図３８サービスプロファイル制御部ステップＳ３３４０４→ステップＳ３３４０５→ステップＳ３３４０６→ステップＳ３３４０７）。
▲７▼新たにアドレスが解決されたＳＰ３とＳＰ４の配布先をネットワークプレフィックス−ＥＮ対応表を参照して決定する。ＳＰ３の始点アドレスのネットワークプレフィックは２００１：４００：１：１であるので、ＥＮ１が配布先として決定される。ＳＰ４の始点アドレスのネットワークプレフィックは２００１：４００：２：１であるので、ＥＮ２が配布先として決定される。ＳＰ１とＳＰ２は既に配布済みなので配布対象外となる。配布先が決定されたサービスプロファイルを配布キューにアタッチする（図４４▲７▼〜▲９▼、▲７▼▲８▼▲９▼−図３９サービスプロファイル配布部ステップＳ３４１→ステップＳ３４２）。
▲８▼ＡＨＲメッセージへの応答としてＡＨＡメッセージを編集する。この時、送出先の配布キューにアタッチされているサービスプロファイルをデタッチしてＡＨＡメッセージに付加する。この例では、ＡＨＡ送出先はＥＮ２であるのでホスト１認証時にアタッチされたＳＰ２と今回アタッチされたＳＰ４がキューからデタッチされＡＨＡメッセージに付加される（図４４｛１０｝、｛１０｝−図３６認証制御部ステップＳ３０７）。
▲９▼ＡＨＡメッセージでサービスプロファイル（ＳＰ２，ＳＰ４）を配布する。｛１０｝ＡＨＡメッセージで通知されたサービスプロファイルをサービスプロファイルキャッシュに登録する（図４３▲５▼〜▲７▼、▲５▼−図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０７、▲６▼▲７▼−図２８アテンダントステップＳ２２１→ステップＳ２２２→ステップＳ２２３→ステップＳ２２４）。
｛１１｝サービスプロファイルを参照して静的フィルタに設定を行なう。パケットの規制フィルタとして始点アドレス２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂの帰結部にパケット棄却が設定されたフィルタがあれば、帰結部にＢｅｓｔ Ｅｆｆｏｒｔで転送を設定する。動的に規制を行なう方式の場合は、始点アドレス２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂを条件とする初期設定フィルタが存在しないので、新たに帰結部をＢｅｓｔ Ｅｆｆｏｒｔで転送に設定したフィルタを生成する。又、メッセージで通知された２つのサービスプロファイルに対応するフィルタを設定する。１つはフィルタの条件として終点アドレスが２００１：４００：１：１：ａａ：ａａ：ａａ：ａａで帰結部がＴＯＳにＡＦ３１マーキングであり、もう一つは条件が始点アドレス２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂ、終点アドレス２００１：４００：１：１：ａａ：ａａ：ａａ：ａａで帰結部がＴＯＳにＡＦ２１マーキングである（図４３▲８▼、▲８▼−図３０サービス制御部ステップＳ２３１→ステップＳ２３２→ステップＳ２３３）。
｛１２｝ＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｓｔに対してＩＣＭＰ ＡＡＡ Ｒｅｐｌｙメッセージを送出する（図４３▲９▼、▲９▼−図２８アテンダントステップＳ２２１８）。
４．サービスプロファイルの自律取得
図４２、図４５で説明したようにサービスプロファイルは、認証応答メッセージ（ＡＨＡ）に付加されてエッジノードへと配布されるが、図４５の説明が終わった段階では、ＳＰ３がまだエッジノード１に配布されておらず、エッジノード１から認証要求があるまでは、配布されない。ここでは、エッジノードが一定時間、認証要求を出さない場合にサービスプロファイルを自律的に取得する方法について述べる。
【０１５２】
図４６は、エッジノード１がサービスプロファイルを自律的に取得する場合の全体シーケンスを示す図であり、図４７は、ネットワーク装置動作の詳細処理シーケンスを示す図であり、図４８は、サーバ装置の詳細処理シーケンスを示す図である。
【０１５３】
図４６を参照しながら、適宜、図４７、図４８を参照して全体の流れを説明する。
▲１▼エッジノードのアテンダントは、パケットフィルタからの認証要求イベントを監視し、一定時間、認証要求イベントがなければＡＳＲメッセージを編集してＡＡＡサーバへ送信する（図４７▲１▼▲２▼、▲１▼▲２▼−図２８アテンダントステップＳ２２１→ステップＳ２２２→ステップＳ２２１３）。
▲２▼ＡＡＡサーバはＡＳＲメッセージを受信する（図４８▲１▼、▲１▼−図２９認証制御部 ステップＳ３０１）。
▲３▼ＡＡＡサーバはＡＳＡメッセージを編集し、配布キューを参照して該当のキューからサービスプロファイルをデタッチし、ＡＳＡメッセージに付加してＡＳＲ送出元エッジノードへ送出する。この実施例ではＳＰ３がデタッチされエッジノード１へ配布される（図４８▲２▼▲３▼、▲２▼▲３▼−図３６認証制御部ステップＳ３０９）。
▲４▼ＡＳＡメッセージでサービスプロファイル（ＳＰ３）を配布する。
▲５▼ＡＳＡメッセージで通知されたサービスプロファイルをサービスプロファイルキャッシュに登録する（図４７▲３▼〜▲５▼、▲３▼−図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０７、▲４▼▲５▼−図２８アテンダントステップＳ２２１→ステップＳ２２２→ステップＳ２２３→ステップＳ２２１２）。
▲６▼サービスプロファイルを参照して静的フィルタに設定を行なう。メッセージで通知されたＳＰ３に対応するフィルタを設定する。フィルタの条件が始点アドレス２００１：４００：１：１：ａａ：ａａ：ａａ：ａａ、終点アドレス２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂで帰結部がＴＯＳにＡＦ２１マーキングである（図４７▲６▼、▲６▼−図３０サービス制御部ステップＳ２３１→ステップＳ２３２→ステップＳ２３３）。
５．アドレスライフタイムの終了
ここまでは、サービスプロファイルの設定例について説明してきたが、ここではサービスプロファイルの削除方法について説明する。
【０１５４】
図４９は、ホスト１のアドレスライフタイムが満了した時の全体の処理シーケンスを示す図であり、図５０は、ネットワーク装置動作の詳細処理シーケンスを示す図であり、図５１は、サーバ装置の詳細処理シーケンスを示す図である。
【０１５５】
図４９を参照しながら、適宜、図５０、図５１を参照して全体の流れを説明する。
サービスプロファイルの解放は、基本的にはサービスプロファイル配布時に設定された同期タイマで、各装置で自律的に削除される。従って、ここでは各装置ごとにサービスプロファイルの解除処理を示す。
「エッジノード１」
ホスト１収容のエッジノードはホスト１のアドレスキャッシュをもっており、アドレスキャッシュに登録されているアドレスキャッシュライフタイムの満了を契機にホスト１に関するサービスプロファイルを削除する。
【０１５６】
アドレスキャッシュを監視し、アドレスキャッシュのライフタイムが満了であれば、サービスプロファイル制御部へサービスプロファイル解除イベントを通知する（図５０▲１▼、▲１▼−図２９アテンダントステップＳ２２１４→ステップＳ２２１５→ステップＳ２２１６→ステップＳ２２１７）。
【０１５７】
イベントで通知されたＩＰアドレス（この例では２００１：４００：１：１：ａａ：ａａ：ａａ：ａａ）、のサービスプロファイルを検索する。この実施例ではＳＰ１、ＳＰ２が検索される（図５０▲２▼、▲２▼−図３０サービス制御部ステップＳ２３１→ステップＳ２３４）。
【０１５８】
該当サービスプロファイルに対応する静的フィルタを削除する（図５０▲３▼、▲３▼−図３０サービス制御部ステップＳ２３５）。
「エッジノード２」
エッジノード２はホスト１のサービスプロファイルを配布されているが、ホスト１に関するアドレスキャッシュをもたないため、サービスプロファイル時に設定されたサービスプロファイルのライフタイムの満了を契機にホスト１に関するサービスプロファイルを削除する。サービスプロファイルのライフタイムはＡＡＡサーバにより、始点アドレスと終点アドレスのいずれかのライフタイムの残タイムが少ないものが設定される。
▲１▼サービスプロファイルキャッシュを監視し、エントリのライフタイムが満了か調べる（図５０▲１▼、▲１▼−図３０サービスプロファイル制御部ステップＳ２３６→ステップＳ２３７→ステップＳ２３８）。
▲２▼該当サービスプロファイルに対応する静的フィルタを削除する（図５０▲２▼、▲２▼−図３０サービス制御部ステップＳ２３９）。
「ＡＡＡサーバ」
▲１▼アドレスキャッシュを監視し、キャッシュのライフタイムが満了か調べる（図５１▲１▼、▲１▼−図３７サービスプロファイル制御部ステップＳ３３１１→ステップＳ３３１２）。
▲２▼該当アドレスキャッシュのＩＰアドレスに対応するサービスプロファイルキャッシュを削除する（図５１▲２▼、▲２▼−図３７サービスプロファイル制御部ステップＳ３３１３）。
６．ホスト１による明示的なアドレス解放
図５２は、ホスト１がアドレス解放する時の全体シーケンスを示す図であり、図５３は、ネットワーク装置動作の詳細処理シーケンスを示す図であり、図５４は、サーバ装置の詳細処理シーケンスを示す図である。
【０１５９】
図５２を参照しながら、適宜、図５３、図５４を参照して全体の流れを説明する。
▲１▼ホスト１は、通信を終了する時に、ＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｔメッセージのライフタイムに０を設定してエッジノードへ送出することで、アドレス解放要求を行なう。
▲２▼エッジノードはＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｔメッセージの受信を契機にＳＴＲメッセージをＡＡＡサーバに通知する。このメッセージでエッジノードはホスト１のＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ネット１）を通知する（図５３▲１▼〜▲３▼、▲１▼−図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０７、▲２▼▲３▼−図２８アテンダントステップＳ２２１→ステップＳ２２２→ステップＳ２２３→ステップＳ２２８→ステップＳ２２１１）。
▲３▼ＡＡＡサーバは、ＳＴＲメッセージを受信すると通知されたＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）でアドレスキャッシュを特定し、関連するサービスプロファイルキャッシュの削除を行なう。また、エッジノードの配布用に制御コードに解除を設定したサービスプロファイルを設定する。この実施例では、ＳＰ１，ＳＰ２，ＳＰ３，ＳＰ４が対象であり、それぞれの制御コードに削除が設定されたサービスプロファイルが新たに生成される（図５４▲１▼〜▲５▼、▲１▼▲２▼−図３６認証制御部ステップＳ３０１→ステップＳ３０１２→ステップＳ３０１３、▲３▼▲４▼−図３７サービスプロファイル制御部ステップＳ３３１→ステップＳ３３６→ステップＳ３３７）。
▲４▼ＡＡＡサーバはＳＰＣを参照して始点アドレスと終点アドレスが共に解決済みのＳＰが存在するか調べる。この段階では、ＳＰ１，ＳＰ２，ＳＰ３，ＳＰ４がアドレス解決済みである（図５４▲５▼、▲５▼−図３７サービスプロファイル制御部ステップＳ３３８）。
▲５▼アドレスが解決済みのＳＰ１，ＳＰ２，ＳＰ３，ＳＰ４の配布先をネットワークプレフィックス−ＥＮ対応表を参照して決定する。ＳＰ１，ＳＰ３の始点アドレスのネットワークプレフィックは２００１：４００：１：１であるので、ＥＮ１が配布先として決定される。ＳＰ２の始点アドレスのネットワークプレフィックは０であるが、既に述べた理由によりＥＮ２が配布先として決定される。ＳＰ４の始点アドレスのネットワークプレフィックは２００１：４００：２：１であるので、ＥＮ２が配布先として決定される。配布先が決定されたサービスプロファイルを配布キューにアタッチする（図５４▲６▼▲７▼、▲６▼▲７▼−図３９サービスプロファイル配布部ステップＳ３４１→ステップＳ３４２）。
▲６▼ＳＴＲメッセージへの応答としてＳＴＡメッセージを編集する。この時、送出先の配布キューにアタッチされているサービスプロファイルをデタッチしてＳＴＡメッセージに付加する。この例では、ＳＴＡ送出先はＥＮ１であるのでＳＰ１、ＳＰ３がキューからデタッチされＳＴＡメッセージに付加される（図５４▲８▼▲９▼、▲８▼▲９▼−図３６認証制御部ステップＳ３０１４）。
▲７▼ＳＴＡメッセージでサービスプロファイル（ＳＰ１，ＳＰ３）を配布する。
▲８▼ＳＴＡメッセージで通知されたサービスプロファイルをサービスプロファイルキャッシュに登録する（図５３▲４▼〜▲７▼、▲４▼▲５▼−図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０７、▲６▼▲７▼−図２８アテンダントステップＳ２２１→ステップＳ２２２→ステップＳ２２３→ステップＳ２２５）。
▲９▼通知されたサービスプロファイルの制御コードに従って、サービスプロファイルの登録・解除を行なう。この実施例では、通知されたサービスプロファイルＳＰ１，ＳＰ３には制御コードに解放が設定されているので、同じプロファイル番号を持つサービスプロファイルをサービスプロファイルキャッシュから索引し削除する（図３０サービス制御部ステップＳ２３１→ステップＳ２３２）。
｛１０｝サービスプロファイルを参照して静的フィルタに設定を行なう。ＳＰ１はサービスタイプが基本サービスであるので、規制フィルタとして静的フィルタを用いている場合はＳＰ１に該当する静的フィルタの帰結部をパケット棄却に書き換える。ＳＰ３はサービスタイプが拡張サービスであるので、静的フィルタを解除する（図５２｛１０｝、｛１０｝−図３０サービス制御部ステップＳ２３３）。
｛１１｝ＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｓｔに対してＩＣＭＰ ＡＡＡ Ｒｅｐｌｙメッセージを送出し、アドレスキャッシュを削除する（図５３▲９▼、▲９▼−図２８アテンダントステップＳ２２６→ステップＳ２２７）。
【０１６０】
図５５は、ドメイン間で通信を行なう場合の実施例におけるシステム構成図である。
ＡＡＡサーバは、管理ドメイン毎に存在し、ＡＡＡサーバ間は単一ドメインと同じＡＡＡプロトコルを用いて通信される。
７．ドメイン間でのサービスプロファイル配布
図５６は、ホスト１が自分の管理ドメインネットワークｎｅｔ１（ｎｅｔ１ドメイン：サーバ装置）では無く、ｎｅｔ１とローミング契約をしているｎｅｔ２（ｎｅｔ２ドメイン：サーバ装置）でネットワークに接続しアドレス取得をする時の全体シーケンスを示す図であり、図５７は、ｎｅｔ２ドメインのサーバ装置の詳細を示す図である。
【０１６１】
図５６を参照しながら、適宜、図５７を参照して全体の流れを説明する。ドメイン間通信で処理が異なる部分以外は、既に説明済みであるので、細部の説明は省略する。又、この例ではＳＰ原本にはホスト１は基本サービスのみを登録しているものと想定する。
▲１▼ホスト１はネットワークに接続されるとＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｔメッセージをエッジノードへ送出してアドレス取得要求を行なう。
▲２▼エッジノードはＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｔメッセージの受信を契機にＡＨＲメッセージを通知する。このメッセージでエッジノードはホスト１のＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）とＩＰアドレス（２００１：４００：２：１：ａａ：ａａ：ａａ：ａａ）を通知する。
▲３▼ＡＡＡサーバは、ＡＨＲメッセージを受信するとＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）を調べ、自ドメインのホストでは無いので、ＡＨＲをホスト１のホームドメインnet１のＡＡＡサーバへ転送する（図５７▲１▼、▲１▼−図３６認証制御部 ステップＳ３０１→ステップＳ３０２→ステップＳ３０８）。
▲４▼ホームのＡＡＡサーバは、ＡＨＲメッセージを受信するとＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）で認証ＤＢを検索し、このホストを認証する。
▲５▼認証成功であればＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）でＳＰ原本を検索する。
▲６▼抽出したサービスプロファイルよりサービスプロファイルキャッシュを設定する。この実施例の場合、ＳＰ原本よりＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）で抽出されるサービスプロファイルはＳｒｃＮＡＩ＝ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１が設定された基本ＳＰであり、それぞれ上り、下り方向の通信用に計２つのサービスプロファイルＳＰ１，ＳＰ２が生成されサービスプロファイルキャッシュに設定される。又、この時ＮＡＩ（ｈｏｓｔ１＠ｅｎ１１．ｎｅｔ１）のＩＰアドレスが通知されているので、該当するアドレスフィールドにアドレス２００１：４００：２：１：ａａ：ａａ：ａａ：ａａを設定する。
▲７▼ＡＡＡサーバはＳＰＣを参照して始点アドレスと終点アドレスが共に解決済みのＳＰが存在するか調べる。この段階では、ＳＰ１とＳＰ２がアドレス解決済みである。
▲８▼アドレスが解決済みのＳＰ１とＳＰ２の配布先をネットワークプレフィックス-ＥＮ対応表を参照して決定する。ＳＰ１の始点アドレスのネットワークプレフィックは２００１：４００：２：１であり、このネットワークプレフィックスは、この例ではこの管理ドメインが管理しているエッジノードでは無いので、外部キューが配布先として決定される。ＳＰ２の始点アドレスのネットワークプレフィックは０であるので、終点アドレスのネットワークプレフィックが配布先ＥＮと同一の場合を除く全てのＥＮと外部キューが配布先となる。配布先が決定されたサービスプロファイルを配布キューにアタッチする。
▲９▼ＡＨＲメッセージへの応答としてＡＨＡメッセージを編集する。この時、送出先の配布キューにアタッチされているサービスプロファイルをデタッチしてＡＨＡメッセージに付加する。この例では、ＡＨＡ送出先は外部ドメインのＡＡＡサーバであるのでＳＰ１，ＳＰ２が外部キューからデタッチされＡＨＡメッセージに付加される。
｛１０｝ＡＨＡメッセージでサービスプロファイル（ＳＰ１）を配布する。
｛１１｝ＡＨＡメッセージで通知されたサービスプロファイルをサービスプロファイルキャッシュに登録する（図５７▲２▼〜▲５▼、▲２▼〜▲５▼−図３６認証制御部ステップＳ３０１→ステップＳ３０１０、図３７サービスプロファイル制御部ステップＳ３３１→ステップＳ３３９→ステップＳ３３１０）。
｛１２｝アドレスが解決済みのＳＰ１とＳＰ２の配布先をネットワークプレフィックス−ＥＮ対応表を参照して決定する。ＳＰ１の始点アドレスのネットワークプレフィックは２００１：４００：２：１であり、ＥＮ２が配布先として決定される。ＳＰ２の始点アドレスのネットワークプレフィックは０であるので、終点アドレスのネットワークプレフィックが配布先ＥＮと同一の場合、即ちＥＮ２を除くＥＮが配布先となる。配布先が決定されたサービスプロファイルを配布キューにアタッチする（図５７▲６▼▲７▼、▲６▼▲７▼−図３９サービスプロファイル配布部ステップＳ３４１→ステップＳ３４２）。
｛１３｝ＡＨＲメッセージへの応答としてＡＨＡメッセージを編集する。この時、送出先の配布キューにアタッチされているサービスプロファイルをデタッチしてＡＨＡメッセージに付加する。この例では、ＡＨＡ送出先はＥＮ２であるのでＳＰ１がＥＮ２キューからデタッチされＡＨＡメッセージに付加される。
｛１４｝ＡＨＡメッセージでサービスプロファイル（ＳＰ１）を配布する。
｛１５｝ＡＨＡメッセージで通知されたサービスプロファイルをサービスプロファイルキャッシュに登録する。
｛１６｝サービスプロファイルを参照して静的フィルタに設定を行なう。パケットの規制フィルタとして始点アドレス２００１：４００：２：１：ａａ：ａａ：ａａ：ａａの帰結部にパケット棄却が設定されたフィルタがあれば、通知されたサービスプロファイルに従い、帰結部をＴＯＳマーキングかつ相手ノードに通知を設定する。動的に規制を行なう方式の場合は、始点アドレス２００１：４００：２：１：ａａ：ａａ：ａａ：ａａを条件とする初期設定フィルタが存在しないので、新たに帰結部をＴＯＳマーキングかつ相手ノードに通知を設定したフィルタを生成する。
｛１７｝ＩＣＭＰ ＡＡＡ Ｒｅｑｕｅｓｔに対してＩＣＭＰ ＡＡＡ Ｒｅｐｌｙメッセージを送出する。
８．データパケットへのサービス適用
図５８は、エッジノード１に静的フィルタが設定済みの場合にホスト１がホスト２へパケットを送出する場合のシーケンス（データパケットへのサービス適用を示す例）を示す図である。
▲１▼ホスト１がホスト２へデータパケットを送出する。これは始点アドレスが２００１：４００：１：１：ａａ：ａａ：ａａ：ａａ、終点アドレスが２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂとなるパケットである。
▲２▼パケットフィルタは、それぞれのフィルタを順番に調べていく、このパケットはＩＣＭＰ、ＤＩＡＭＥＴＥＲパケットではないので認証フィルタには一致しない、動的フィルタは設定されていないのでこれにも一致しない、静的フィルタは認証前、認証後いずれの場合においても始点アドレス２００１：４００：１：１：ａａ：ａａ：ａａ：ａａに一致するパケットが存在する。認証前であれば帰結部にパケット棄却が設定されたフィルタが存在するため、認証前のホストからのパケットはここで棄却される。認証後であれば帰結部にＴＯＳマーキングかつ相手ノードに通知が設定されたフィルタが存在するため、この帰結部に設定された指示に従いパケットの制御を行なう（図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０３→ステップＳ２０４→ステップＳ２０６）。
８．データパケットへの動的サービス適用
図５９は、エッジノード１からのデータパケットに基本サービスを適用して通信先ホスト収容エッジノードにサービスプロファイルを配布する場合のシーケンス（データパケットへの動的サービス適用を実施例）を示す図である。
▲１▼ホスト１がホスト２へデータパケットを送出する。これは始点アドレスが２００１：４００：１：１：ａａ：ａａ：ａａ：ａａ、終点アドレスが２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂとなるパケットである。
▲２▼パケットフィルタは、それぞれのフィルタを順番に調べていく、このパケットはＩＣＭＰ、ＤＩＡＭＥＴＥＲパケットではないので認証フィルタには一致しない、動的フィルタは設定されていないのでこれにも一致しない、静的フィルタは認証前、認証後いずれの場合においても始点アドレス２００１：４００：１：１：ａａ：ａａ：ａａ：ａａに一致するパケットが存在する。認証前であれば帰結部にパケット棄却が設定されたフィルタが存在するため、認証前のホストからのパケットはここで棄却される。認証後であれば帰結部にＴＯＳマーキングかつ相手ノードに通知が設定されたフィルタが存在するため、この帰結部に設定された指示に従いパケットの制御を行なう（図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０３→ステップＳ２０４→ステップＳ２０６）。
▲３▼ここでは認証後のアクセスであるのでパケットはＴＯＳマーキングされた後、データパケットに中継点オプションが付加される。この実施例では中継点オプションのＱｏＳ ＲｅｑｕｉｒｍｅｎｔにＡF３１を設定する。
▲４▼中継点オプションが設定されたデータパケットを受信したエッジノード２は中継点オプションの内容を参照して動的フィルタを設定する。具体的には始点アドレスにデータパケットの終点アドレスを、終点アドレスにデータパケットの始点アドレスを、帰結部にＴＯＳ値にＡF３１マーキングを設定する。
９．動的パケットフィルタリング
図６０は、動的にパケットフィルタリングを行なう場合のシーケンスを示す図である。
▲１▼ホスト１がホスト２へデータパケットを送出する。これは始点アドレスが２００１：４００：１：１：ａａ：ａａ：ａａ：ａａ、終点アドレスが２００１：４００：２：１：ｂｂ：ｂｂ：ｂｂ：ｂｂとなるパケットである。
▲２▼パケットフィルタは、それぞれのフィルタを順番に調べていく、このパケットはＩＣＭＰ、ＤＩＡＭＥＴＥＲパケットではないので認証フィルタには一致しない、動的フィルタは設定されていないのでこれにも一致しない、この実施例では動的に規制フィルタを作成するので、静的フィルタは予め設定されていないとする。従って静的フィルタにも一致しないので、アクセス監視部へパケット不一致のイベントを通知する（図２６パケット制御部ステップＳ２０１→ステップＳ２０２→ステップＳ２０３→ステップＳ２０４→ステップＳ２０５）。
▲３▼アクセス監視部は通知されたパケットの始点アドレスでアドレスキャッシュを検索し、該当エントリがあれば、サービスプロファイルを参照して動的フィルタを生成する。（図３１アクセス監視部ステップＳ２１１→ステップＳ２１２→ステップＳ２１３→ステップＳ２１４）該当エントリが無ければこのパケットのログ情報をとり、このパケットを規制するための規制ポリシーを生成し、動的フィルタに設定する（図３１アクセス監視部ステップＳ２１１→ステップＳ２１２→ステップＳ２１５→ステップＳ２１６→ステップＳ２１７）。
▲４▼設定されたフィルタの帰結部に従いパケットを制御する。
▲５▼動的フィルタは生成時に、図２３に示すライフタイムに動的フィルタの有効時間が設定され、有効時間が満了するとパケット制御部により動的フィルタは削除される（図２６パケット制御部 ステップＳ２０９→ステップＳ２１０→ステップＳ２１１）。
【０１６２】
上述のように、本発明の実施の形態を、図面を参照しながら説明してきたが、本発明が適用されるネットワーク装置またはサーバ装置は、その機能が実行されるのであれば、上述の実施の形態に限定されることなく、単体の装置であっても、複数の装置からなるシステムあるいは統合装置であっても、ＬＡＮ、ＷＡＮ等のネットワークを介して処理が行なわれるシステムであってもよいことは言うまでもない。
【０１６３】
また、図６１に示しように、バス６１０９に接続されたＣＰＵ６１０１、ＲＯＭやＲＡＭのメモリ６１０２、入力装置６１０３、出力装置６１０４、外部記録装置６１０５、媒体駆動装置６１０６、可搬記録媒体６１１０、ネットワーク接続装置６１０７で構成されるシステムでも実現できる。すなわち、前述してきた実施の形態のシステムを実現するソフトェアのプログラムコードを記録したＲＯＭやＲＡＭのメモリ６１０２、外部記録装置６１０５、可搬記録媒体６１１０を、ネットワーク装置またはサーバ装置に供給し、そのネットワーク装置またはサーバ装置のコンピュータがプログラムコードを読み出し実行することによっても、達成されることは言うまでもない。
【０１６４】
この場合、可搬記録媒体１４６等から読み出されたプログラムコード自体が本発明の新規な機能を実現することになり、そのプログラムコードを記録した可搬記録媒体６１１０等は本発明を構成することになる。
【０１６５】
プログラムコードを供給するための可搬記録媒体６１１０としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、磁気テープ、不揮発性のメモリーカード、ＲＯＭカード、電子メールやパソコン通信等のネットワーク接続装置６１０７（言い換えれば、通信回線）を介して記録した種々の記録媒体などを用いることができる。
【０１６６】
また、図６２に示すように、コンピュータ６２００がメモリ６２０１上に読み出したプログラムコードを実行することによって、前述した実施の形態の機能が実現される他、そのプログラムコードの指示に基づき、コンピュータ６２００上で稼動しているＯＳなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施の形態の機能が実現される。
【０１６７】
さらに、可搬型記録媒体６２１０から読み出されたプログラムコードやプログラム（データ）提供者から提供されたプログラム（データ）が、コンピュータ６２００に挿入された機能拡張ボードやコンピュータ６２００に接続された機能拡張ユニットに備わるメモリ６２０１に書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施の形態の機能が実現され得る。
【０１６８】
すなわち、本発明は、以上に述べた実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の構成または形状を取ることができる。
ここで、上述した実施の形態の特徴を列挙すると、以下の通りである。
（付記１） 端末装置を収容するネットワーク装置および上記端末装置を認証するサーバ装置を備え、上記端末装置に対してサービスを提供するサービス制御ネットワークであって、
上記サーバ装置は、
ネットワークアクセス識別子を用いて、上記端末装置の識別情報を格納したサービス制御情報データベースを備え、
上記端末装置との接続を契機に、上記ネットワークアクセス識別子と上記端末装置を収容するネットワーク装置により上記端末装置に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布し、
上記ネットワーク装置は、
上記ＩＰアドレスを上記端末装置の識別として上記サーバ装置から配布された上記サービス制御情報に基づいて、パケットの転送制御を行なうことを特徴とするサービス制御ネットワーク。
（付記２） 付記１に記載のサービス制御ネットワークにおいて、
上記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、
静的サービス制御情報は、上記端末装置を認証する認証手順実行直後に必要な経路上に配布され、
動的サービス制御情報は、パケットの送出を契機に必要な経路上に配布されることを特徴とする付記１に記載のサービス制御ネットワーク。
（付記３） 付記２に記載のサービス制御ネットワークにおいて、
上記サービスプロフィアルを、上記端末装置に対する上り方向及び下り方向のＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）を一律に配布する基本サービス情報と、上り方向の終点アドレス、下り方向の始点アドレスを個別に配布可能な拡張サービス情報とに分けることを特徴とする付記２に記載のサービス制御ネットワーク。
（付記４） 付記３に記載のサービス制御ネットワークにおいて、
特定のアドレスを指定しないようなサービス制御情報をサーバ装置配下の全ネットワーク装置に配布することを避けるために、上記下り方向のサービス制御情報をＩＰｖ６（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ６）の中継点オプションに載せて、目的とするネットワーク装置に通知することを特徴とする付記３に記載のサービス制御ネットワーク。
（付記５） ネットワーク装置が収容する端末装置を認証するサーバ装置において、
ネットワークアクセス識別子を用いて、上記端末装置の識別情報を格納したサービス制御情報データベースと、
上記端末装置を収容する上記ネットワーク装置により上記端末装置に付与されたＩＰアドレスと上記ネットワークアクセス識別子とを対応付けるアドレスキャッシュを有し、上記ネットワークアクセス識別子を指定したネットワーク制御要求に対して、管理下のネットワーク装置が理解できる形式にサービス制御情報を変換するサービスプロファイル制御部と、
上記サービス制御情報の配布先を特定し配布するサービスプロファイル配布部とを備え、
上記端末装置との接続を契機に、上記ネットワークアクセス識別子と上記端末装置を収容するネットワーク装置により上記端末装置に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布することを特徴とするサーバ装置。
（付記６） 付記５に記載のサーバ装置において、
端末装置を認証する認証手順実行により、上記端末装置からのネットワークアクセスを検出し、上記認証要求を行った端末装置のネットワークアクセス識別子と上記ネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と、
上記認証要求を行った端末装置のネットワークアクセス識別子からＩＰアドレスを求めるためのインタフェースを上記認証制御部に提供するサービスプロファイル生成部とを備え、
上記サービスプロファイル配布部は、ネットワークプレフィックスとネットワーク装置との対応表を有し、上記サービスプロファイル生成部によりＩＰアドレス変換されたサービスプロファイルの始点アドレスよりサービスプロファイルの配布先を決定することを特徴とする付記５に記載のサーバ装置。
（付記７） 付記６に記載のサーバ装置において、
上記サービスプロファイル配布部は、上記ネットワーク装置に理解できる形式に変換されたサービスプロファイルを始点アドレスから求められたネットワーク装置毎のキューに蓄積し、
上記認証制御部は、上記ネットワーク装置からの認証要求メッセージに対する認証応答メッセージの生成時に、送出先ネットワーク装置に対応するキューから、上記送出先ネットワーク装置へ配布するサービスプロファイルを抽出し、上記メッセージ上に複数のサービスプロファイルを多重化することを特徴とする付記６に記載のサーバ装置。
（付記８） 付記６に記載のサーバ装置において、
上記サービスプロファイル配布部は、他のネットワーク装置宛のキューを有し、上記他のネットワーク装置からの認証要求時には、ネットワーク装置毎のキューに蓄積し、
上記認証制御部は、認証要求メッセージに対する認証応答メッセージの生成時に、認証要求ドメインに対応するキューから、上記ネットワーク装置へ配布するサービス制御情報を抽出して認証応答メッセージとして送出し、
認証要求元のサーバ装置が、認証応答メッセージで通知されたサービスプロファイルを抽出し、管理下のネットワーク装置配下のキューに蓄積することを特徴とする付記６に記載のサーバ装置。
（付記９） 端末装置を収容するネットワーク装置において、
上記端末装置を認証するサーバ装置が、ネットワークアクセス識別子を用いて、上記端末装置の識別情報を格納したサービス制御情報データベースを備え、上記端末装置との接続を契機に、上記ネットワークアクセス識別子と上記端末装置を収容するネットワーク装置により上記端末装置に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布し、
上記ＩＰアドレスを上記端末装置の識別として上記サーバ装置から配布された上記サービス制御情報に基づいて、パケットの転送制御を行ない、
上記サーバ装置が備え、上記端末装置を認証する認証手順実行により、上記端末装置からのネットワークアクセスを検出し、上記認証要求を行った端末装置のネットワークアクセス識別子と上記ネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と認証要求及び認証応答のメッセージを交換することで、認証要求ユーザへのネットワークアクセスの認可とＩＰアドレスの割り当てを許容するアテンダント手段と、
上記サーバ装置により通知された多重化されたサービス制御情報を上記端末装置単位に分割し管理するサービス制御部とを備えることを特徴とするネットワーク装置。
（付記１０） 付記９に記載のネットワーク装置において、
上記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、静的サービス制御情報は、上記端末装置を認証する認証手順実行直後に必要な経路上に配布され、動的サービス制御情報は、パケットの送出を契機に必要な経路上に配布され、
割り当て可能なＩＰアドレスをＩＰアドレスの始点アドレスを参照してフィルタリングする静的パケットフィルタに登録し、
上記静的パケットフィルタの帰結部としてパケット棄却を登録し、
上記端末装置の認証手順実行時に上記帰結部を上記サーバ装置から認証応答メッセージで返される端末装置に割り当てたＩＰアドレスに対応するサービスプロファイルで置換することを特徴とする付記９に記載のネットワーク装置。
（付記１１） 付記１０に記載のネットワーク装置において、
ＩＰアドレスの始点アドレスを参照してフィルタリングする上記静的パケットフィルタに不一致時は、上記パケットのＩＰアドレスの始点アドレスが割り当て中であるか否かを判断し、
割り当て中であると判断された場合は、上記サーバ装置により配布されたサービス制御情報を上記静的パケットフィルタと上記アドレスキャッシュに登録し、割り当て中でないと判断された場合は、パケット棄却を指定したサービス制御情報を上記静的パケットフィルタと上記アドレスキャッシュに登録することを特徴とする付記１０に記載のネットワーク装置。
（付記１２） 付記１０または１１に記載のネットワーク装置において、
パケット棄却のサービスプロファイルを配布した、上記静的パケットフィルタを通過したパケットをロギングし、規定回数以上のアクセスがあった場合、警告を発するアクセス監視部を備えることを特徴とする付記１０または１１に記載のネットワーク装置。
（付記１３） 端末装置を収容するネットワーク装置において、
上記端末装置からの認証要求が一定期間無い場合に、付記６に記載のサーバ装置へサービス要求メッセージを送出し、サービス応答メッセージで上記サーバ装置に関係あるサービス制御情報をダウンロードするアテンダントを備えることを特徴とするネットワーク装置。
（付記１４） 付記９乃至１３の何れか１項に記載のネットワーク装置において、
上記パケットの受信により動的に配布される動的パケットフィルタ又は上記端末装置の認証時に静的に配布される上記静的パケットフィルタの帰結部に、パケット転送時トラフィッククラスフィールドの編集と共に、上記下り方向のサービスプロファイルをＩＰｖ６の中継点オプションに設定し挿入する制御コードを設定し、
上記中継点オプションを有するパケットを受信した場合は、上記動的パケットフィルタに設定することを特徴とする付記９乃至１３の何れか１項に記載のネットワーク装置。
（付記１５） 端末装置を収容するネットワーク装置において実行させるためのサービス情報配布プログラムを格納したコンピュータ読み取り可能な記録媒体であって、
上記端末装置を認証するサーバ装置が、ネットワークアクセス識別子を用いて、上記端末装置の識別情報を格納したサービス制御情報データベースを備え、上記端末装置との接続を契機に、上記ネットワークアクセス識別子と上記端末装置を収容するネットワーク装置により上記端末装置に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布する機能と、
上記ＩＰアドレスを上記端末装置の識別として上記サーバ装置から配布された上記サービス制御情報に基づいて、パケットの転送制御を行なう機能と、
上記サーバ装置が備え、上記端末装置を認証する認証手順実行により、上記端末装置からのネットワークアクセスを検出し、上記認証要求を行った端末装置のネットワークアクセス識別子と上記ネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と認証要求及び認証応答のメッセージを交換することで、認証要求ユーザへのネットワークアクセスの認可とＩＰアドレスの割り当てを許容する機能と、
上記サーバ装置により通知された多重化されたサービス制御情報を上記端末装置単位に分割し管理する機能と、
を実現させるためのサービス情報配布プログラムを格納したコンピュータ読み取り可能な記録媒体。
（付記１６） 付記１５に記載のコンピュータ読み取り可能な記録媒体において、
上記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、静的サービス制御情報は、上記端末装置を認証する認証手順実行直後に必要な経路上に配布され、動的サービス制御情報は、パケットの送出を契機に必要な経路上に配布される機能と、
割り当て可能なＩＰアドレスをＩＰアドレスの始点アドレスを参照してフィルタリングする静的パケットフィルタに登録する機能と、
上記静的パケットフィルタの帰結部としてパケット棄却を登録する機能と、
上記端末装置の認証手順実行時に上記帰結部を上記サーバ装置から認証応答メッセージで返される端末装置に割り当てたＩＰアドレスに対応するサービスプロファイルで置換する機能と、
を実現させるためのサービス情報配布プログラムを格納した付記１５に記載のコンピュータ読み取り可能な記録媒体。
（付記１７） 端末装置を収容するネットワーク装置において実行させるためのサービス情報配布プログラムであって、
上記端末装置を認証するサーバ装置が、ネットワークアクセス識別子を用いて、上記端末装置の識別情報を格納したサービス制御情報データベースを備え、上記端末装置との接続を契機に、上記ネットワークアクセス識別子と上記端末装置を収容するネットワーク装置により上記端末装置に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布する機能と、
上記ＩＰアドレスを上記端末装置の識別として上記サーバ装置から配布された上記サービス制御情報に基づいて、パケットの転送制御を行なう機能と、
上記サーバ装置が備え、上記端末装置を認証する認証手順実行により、上記端末装置からのネットワークアクセスを検出し、上記認証要求を行った端末装置のネットワークアクセス識別子と上記ネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と認証要求及び認証応答のメッセージを交換することで、認証要求ユーザへのネットワークアクセスの認可とＩＰアドレスの割り当てを許容する機能と、
上記サーバ装置により通知された多重化されたサービス制御情報を上記端末装置単位に分割し管理する機能と、
を実現させるためのサービス情報配布プログラム。
（付記１８） 付記１７に記載のサービス情報配布プログラムにおいて、
上記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、静的サービス制御情報は、上記端末装置を認証する認証手順実行直後に必要な経路上に配布され、動的サービス制御情報は、パケットの送出を契機に必要な経路上に配布される機能と、
割り当て可能なＩＰアドレスをＩＰアドレスの始点アドレスを参照してフィルタリングする静的パケットフィルタに登録する機能と、
上記静的パケットフィルタの帰結部としてパケット棄却を登録する機能と、
上記端末装置の認証手順実行時に上記帰結部を上記サーバ装置から認証応答メッセージで返される端末装置に割り当てたＩＰアドレスに対応するサービスプロファイルで置換する機能と、
を実現させるための付記１７に記載のサービス情報配布プログラム。
（付記１９） 端末装置を収容するネットワーク装置において実行されるサービス情報配布方法であって、
上記端末装置を認証するサーバ装置が、ネットワークアクセス識別子を用いて、上記端末装置の識別情報を格納したサービス制御情報データベースを備え、上記端末装置との接続を契機に、上記ネットワークアクセス識別子と上記端末装置を収容するネットワーク装置により上記端末装置に付与されたＩＰアドレスとを対応付け、上記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布し、
上記ＩＰアドレスを上記端末装置の識別として上記サーバ装置から配布された上記サービス制御情報に基づいて、パケットの転送制御を行ない、
上記サーバ装置が備え、上記端末装置を認証する認証手順実行により、上記端末装置からのネットワークアクセスを検出し、上記認証要求を行った端末装置のネットワークアクセス識別子と上記ネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と認証要求及び認証応答のメッセージを交換することで、認証要求ユーザへのネットワークアクセスの認可とＩＰアドレスの割り当てを許容し、
上記サーバ装置により通知された多重化されたサービス制御情報を上記端末装置単位に分割し管理することを特徴とするサービス情報配布方法。
（付記２０） 付記１９に記載のサービス情報配布方法において、
上記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、静的サービス制御情報は、上記端末装置を認証する認証手順実行直後に必要な経路上に配布され、動的サービス制御情報は、パケットの送出を契機に必要な経路上に配布し、
割り当て可能なＩＰアドレスをＩＰアドレスの始点アドレスを参照してフィルタリングする静的パケットフィルタに登録し、
上記静的パケットフィルタの帰結部としてパケット棄却を登録し、
上記端末装置の認証手順実行時に上記帰結部を上記サーバ装置から認証応答メッセージで返される端末装置に割り当てたＩＰアドレスに対応するサービスプロファイルで置換することを特徴とする付記１９に記載のサービス情報配布方法。
【０１６９】
【発明の効果】
以上、説明したように本発明によれば、
（１）ＩＰアドレスに依存しないホストの識別を用いることで、可変アドレスを持つホストに対してサービス制御情報の設定・配布が可能になる。
（２）ホストはネットワークの任意の接続点に接続し、常に同じ条件のサービス品質が保証されたサービスをネットワークから受けることが可能になる。
（３）既存の同等の効果を持つ発明と比較して、サービス適用の即時性が高い。
（４）規制フィルタとの連携を行なうことで、効率的なネットワーク資源の利用が可能になる。
等の効果を有する。
【図面の簡単な説明】
【図１】本発明の原理を説明するためのサービス制御ネットワークの構成図である。
【図２】本発明にかかるサービス制御ネットワークを実現するために解決しようとする問題点を示す図である。
【図３】本発明の手法Ｂによる解決方法を示す図である。
【図４】静的なサービス制御情報設定の基本動作を示す図である。
【図５】動的なサービス制御情報設定の基本動作を示す図である。
【図６】本発明の手法Ａと本発明の手法Ｂとの相違点を説明するための図（その１）である。
【図７】本発明の手法Ａと本発明の手法Ｂとの相違点を説明するための図（その２）である。
【図８】本発明の手法Ａと本発明の手法Ｂとの相違点を説明するための図（その３）である。
【図９】本発明の手法Ａと本発明の手法Ｂとの相違点を説明するための図（その４）である。
【図１０】本発明の手法Ｂの機能ブロック図である。
【図１１】ＡＡＡ Ｒｅｑｕｅｓｔメッセージのフォーマットを示す図（その１）である。
【図１２】ＡＡＡ Ｒｅｑｕｅｓｔメッセージのフォーマットを示す図（その２）である。
【図１３】ＡＡＡ Ｒｅｐｌｙメッセージのフォーマットを示す図（その１）である。
【図１４】ＡＡＡ Ｒｅｐｌｙメッセージのフォーマットを示す図（その２）である。
【図１５】ＡＡＡ Ｔｅａｄｏｗｎメッセージのフォーマットを示す図である。
【図１６】ＤＩＡＭＥＴＥＲメッセージのフォーマットを示す図である。
【図１７】ＡＭＲメッセージのフォーマットを示す図である。
【図１８】ＡＭＡメッセージのフォーマットを示す図である。
【図１９】ＡＳＲメッセージのフォーマットを示す図である。
【図２０】ＡＳＡメッセージのフォーマットを示す図である。
【図２１】ＳＴＲメッセージのフォーマットを示す図である。
【図２２】ＳＴＡメッセージのフォーマットを示す図である。
【図２３】フィルタの例を示す図である。
【図２４】ネットワーク装置のアドレスキャッシュの例を示す図である。
【図２５】ネットワーク装置のサービスプロファイルキャッシュの例を示す図である。
【図２６】ネットワーク装置のパケット制御部の処理フローを示すフローチャートである。
【図２７】中継点オプションのフォーマットを示す図である。
【図２８】ネットワーク装置のアテンダントの処理フローを示すフローチャート（その１）である。
【図２９】ネットワーク装置のアテンダントの処理フローを示すフローチャート（その２）である。
【図３０】ネットワーク装置のサービス制御部の処理フローを示すフローチャートである。
【図３１】ネットワーク装置のアクセス監視部の処理フローを示すフローチャートである。
【図３２】認証データベース／サービスプロファイル原本の例を示す図である。
【図３３】サーバ装置のアドレスキャッシュの例を示す図である。
【図３４】サーバ装置のサービスプロファイルキャッシュの例を示す図である。
【図３５】ネットワークプレフィックス−ＥＮ対応表の例を示す図である。
【図３６】サーバ装置の認証制御部の処理フローを示すフローチャートである。
【図３７】サーバ装置のサービスプロファイル制御部の処理フローを示すフローチャート（その１）である。
【図３８】サーバ装置のサービスプロファイル制御部の処理フローを示すフローチャート（その２）である。
【図３９】サーバ装置のサービスプロファイル配布部の処理フローを示すフローチャートである。
【図４０】本発明の実施の形態（ＡＡＡを用いたＩＰｖ６ネットワークアクセスによる例）におけるシステム構成図である。
【図４１】サービス登録のシーケンス（サービスプロファイル原本設定の例）を示す図である。
【図４２】ホスト１がアドレス取得をする時の全体シーケンス（サービスプロファイル配布の例）を示す図である。
【図４３】ネットワーク装置の詳細処理シーケンスを示す図である。
【図４４】サーバ装置の詳細処理シーケンスを示す図である。
【図４５】ホスト１のアドレス取得後、ホスト２がアドレス取得をする時の全体シーケンス（サービスプロファイル配布の例）を示す図である。
【図４６】エッジノード１がサービスプロファイルを自律的に取得する場合の全体シーケンスを示す図である。
【図４７】ネットワーク装置動作の詳細処理シーケンスを示す図である。
【図４８】サーバ装置の詳細処理シーケンスを示す図である。
【図４９】ホスト１のアドレスライフタイムが満了した時の全体の処理シーケンスを示す図である。
【図５０】ネットワーク装置動作の詳細処理シーケンスを示す図である。
【図５１】サーバ装置の詳細処理シーケンスを示す図である。
【図５２】ホスト１がアドレス解放する時の全体シーケンスを示す図である。
【図５３】ネットワーク装置動作の詳細処理シーケンスを示す図である。
【図５４】サーバ装置の詳細処理シーケンスを示す図である。
【図５５】ドメイン間で通信を行なう場合の実施例におけるシステム構成図である。
【図５６】ｎｅｔ１とローミング契約をしているｎｅｔ２でネットワークに接続しアドレス取得をする時の全体シーケンスを示す図である。
【図５７】ｎｅｔ２ドメインのサーバ装置の詳細を示す図である。
【図５８】エッジノード１に静的フィルタが設定済みの場合にホスト１がホスト２へパケットを送出する場合のシーケンス（データパケットへのサービス適用を示す例）を示す図である。
【図５９】エッジノード１からのデータパケットに基本サービスを適用して通信先ホスト収容エッジノードにサービスプロファイルを配布する場合のシーケンス（データパケットへの動的サービス適用を実施例）を示す図である。
【図６０】動的にパケットフィルタリングを行なう場合のシーケンスを示す図である。
【図６１】ネットワーク装置またはサーバ装置の構成図である。
【図６２】本発明におけるプログラムのコンピュータへのローディングを説明する図である。
【符号の説明】
１ ホスト
２ ネットワーク装置
３ サーバ装置
２０ パケット制御部
２１ アクセス監視部
２２ アテンダント
２３ サービス制御部
３０ 認証制御部
３１ 認証データベース（ＤＢ）
３２ ポリシーサーバ（ＳＰ）原本
３３ サービスプロファイル制御部
３４ サービスプロファイル配布部
６１０１ ＣＰＵ
６１０２ メモリ
６１０３ 入力装置
６１０４ 出力装置
６１０５ 外部記録装置
６１０６ 媒体駆動装置
６１０７ ネットワーク接続装置
６１０９ バス
６１１０ 可搬記録媒体
６２００ コンピュータ
６２０１ メモリ
６２１０ 可搬型記録媒体

Claims (10)

1. 端末装置を収容するネットワーク装置および前記端末装置を認証するサーバ装置を備え、上記端末装置に対してサービスを提供するサービス制御ネットワークであって、
   前記サーバ装置は、
   ネットワークアクセス識別子を用いて、前記端末装置の識別情報を格納したサービス制御情報データベースを備え、
   前記端末装置との接続を契機に、前記ネットワークアクセス識別子と前記端末装置を収容するネットワーク装置により前記端末装置に付与されたＩＰアドレスとを対応付け、前記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布し、
   前記ネットワーク装置は、
   前記ＩＰアドレスを前記端末装置の識別として前記サーバ装置から配布された前記サービス制御情報に基づいて、パケットの転送制御を行なうことを特徴とするサービス制御ネットワーク。
2. 請求項１に記載のサービス制御ネットワークにおいて、
   前記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、
   静的サービス制御情報は、前記端末装置を認証する認証手順実行直後に必要な経路上に配布され、
   動的サービス制御情報は、パケットの送出を契機に必要な経路上に配布されることを特徴とする請求項１に記載のサービス制御ネットワーク。
3. ネットワーク装置が収容する端末装置を認証するサーバ装置において、
   ネットワークアクセス識別子を用いて、前記端末装置の識別情報を格納したサービス制御情報データベースと、
   前記端末装置を収容する前記ネットワーク装置により前記端末装置に付与されたＩＰアドレスと前記ネットワークアクセス識別子とを対応付けるアドレスキャッシュを有し、前記ネットワークアクセス識別子を指定したネットワーク制御要求に対して、サービス制御情報をＩＰアドレスに変換するサービスプロファイル制御部と、
   前記サービス制御情報の配布先を特定し配布するサービスプロファイル配布部とを備え、前記端末装置との接続を契機に、前記ネットワークアクセス識別子と前記端末装置を収容するネットワーク装置により前記端末装置に付与されたＩＰアドレスとを対応付け、前記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布することを特徴とするサーバ装置。
4. 請求項３に記載のサーバ装置において、端末装置を認証する認証手順実行により、前記端末装置からのネットワークアクセスを検出し、前記認証要求を行った端末装置のネットワークアクセス識別子と前記ネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と、
   前記認証要求を行った端末装置のネットワークアクセス識別子からＩＰアドレスを求めるためのインタフェースを前記認証制御部に提供するサービスプロファイル生成部とを備え、
   前記サービスプロファイル配布部は、ネットワークプレフィックスとネットワーク装置との対応表を有し、前記サービスプロファイル生成部によりＩＰアドレス変換されたサービスプロファイルの始点アドレスよりサービスプロファイルの配布先を決定することを特徴とする請求項３に記載のサーバ装置。
5. 端末装置を収容するネットワーク装置において、
   前記端末装置を認証するサーバ装置が、ネットワークアクセス識別子を用いて、前記端末装置の識別情報を格納したサービス制御情報データベースを備え、前記端末装置との接続を契機に、前記ネットワークアクセス識別子と前記端末装置を収容するネットワーク装置により前記端末装置に付与されたＩＰアドレスとを対応付け、前記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布し、
   前記ＩＰアドレスを前記端末装置の識別として前記サーバ装置から配布された前記サービス制御情報に基づいて、パケットの転送制御を行ない、
   前記サーバ装置が備え、前記端末装置を認証する認証手順実行により、前記端末装置からのネットワークアクセスを検出し、前記認証要求を行った端末装置のネットワークアクセス識別子と前記ネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と認証要求及び認証応答のメッセージを交換することで、認証要求ユーザへのネットワークアクセスの認可とＩＰアドレスの割り当てを許容するアテンダント手段と、
   前記サーバ装置により通知された多重化されたサービス制御情報を前記端末装置単位に分割し管理するサービス制御部とを備えることを特徴とするネットワーク装置。
6. 請求項５に記載のネットワーク装置において、
   前記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、静的サービス制御情報は、前記端末装置を認証する認証手順実行直後に必要な経路上に配布され、
   動的サービス制御情報は、パケットの送出を契機に必要な経路上に配布され、割り当て可能なＩＰアドレスをＩＰアドレスの始点アドレスを参照してフィルタリングする静的パケットフィルタに登録し、
   前記静的パケットフィルタの帰結部としてパケット棄却を登録し、
   前記端末装置の認証手順実行時に前記帰結部を前記サーバ装置から認証応答メッセージで返される端末装置に割り当てたＩＰアドレスに対応するサービスプロファイルで置換することを特徴とする請求項５に記載のネットワーク装置。
7. 請求項６に記載のネットワーク装置において、
   ＩＰアドレスの始点アドレスを参照してフィルタリングする前記静的パケットフィルタに不一致時は、前記パケットのＩＰアドレスの始点アドレスが割り当て中であるか否かを判断し、
   割り当て中であると判断された場合は、前記サーバ装置により配布されたサービス制御情報を前記静的パケットフィルタと前記アドレスキャッシュに登録し、
   割り当て中でないと判断された場合は、パケット棄却を指定したサービス制御情報を前記静的パケットフィルタと前記アドレスキャッシュに登録することを特徴とする請求項６に記載のネットワーク装置。
8. 請求項６または７に記載のネットワーク装置において、
   パケット棄却のサービスプロファイルを配布した、前記静的パケットフィルタを通過したパケットをロギングし、規定回数以上のアクセスがあった場合、警告を発するアクセス監視部を備えることを特徴とする請求項６または７に記載のネットワーク装置。
9. 端末装置を収容するネットワーク装置および前記端末装置を認証するサーバ装置を備え、前記端末装置に対してサービスを提供するサービス制御ネットワークにおいて実行させるためのサービス情報配布プログラムであって、
   前記端末装置を認証するサーバ装置が、ネットワークアクセス識別子を用いて、前記端末装置の識別情報を格納したサービス制御情報データベースを備え、前記端末装置との接続を契機に、前記ネットワークアクセス識別子と前記端末装置を収容するネットワーク装置により前記端末装置に付与されたＩＰアドレスとを対応付け、前記ネットワークアクセス識別子をＩＰアドレスに変換したサービス制御情報を必要な経路上に配布する機能と、
   前記ＩＰアドレスを前記端末装置の識別として前記サーバ装置から配布された前記サービス制御情報に基づいて、パケットの転送制御を行なう機能と、
   前記サーバ装置が備え、前記端末装置を認証する認証手順実行により、前記端末装置からのネットワークアクセスを検出し、前記認証要求を行った端末装置のネットワークアクセス識別子と前記ネットワーク装置から通知されたＩＰアドレスを、アドレスキャッシュに登録する認証制御部と認証要求及び認証応答のメッセージを交換することで、認証要求ユーザへのネットワークアクセスの認可とＩＰアドレスの割り当てを許容する機能と、
   前記サーバ装置により通知された多重化されたサービス制御情報を前記端末装置単位に分割し管理する機能と、
   を実現させるためのサービス情報配布プログラム。
10. 請求項９に記載のサービス情報配布プログラムにおいて、
    前記サービス制御情報を静的サービス制御情報と動的サービス制御情報とに分け、静的サービス制御情報は、前記端末装置を認証する認証手順実行直後に必要な経路上に配布され、動的サービス制御情報は、パケットの送出を契機に必要な経路上に配布される機能と、
    割り当て可能なＩＰアドレスをＩＰアドレスの始点アドレスを参照してフィルタリングする静的パケットフィルタに登録する機能と、
    前記静的パケットフィルタの帰結部としてパケット棄却を登録する機能と、
    前記端末装置の認証手順実行時に前記帰結部を前記サーバ装置から認証応答メッセージで返される端末装置に割り当てたＩＰアドレスに対応するサービスプロファイルで置換する機能と、
    を実現させるための請求項９に記載のサービス情報配布プログラム。

Images