JP3953963B2 - Packet communication device with authentication function, network authentication access control server, and distributed authentication access control system - Google Patents
Packet communication device with authentication function, network authentication access control server, and distributed authentication access control system Download PDFInfo
- Publication number
- JP3953963B2 JP3953963B2 JP2003030674A JP2003030674A JP3953963B2 JP 3953963 B2 JP3953963 B2 JP 3953963B2 JP 2003030674 A JP2003030674 A JP 2003030674A JP 2003030674 A JP2003030674 A JP 2003030674A JP 3953963 B2 JP3953963 B2 JP 3953963B2
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- network
- terminal
- access control
- server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、分散型認証アクセス制御システムに関し、特にコネクションレス型通信網上に構築された仮想閉域網に対して、遠隔の私設網からアクセス（以下、リモートアクセス）するための認証を行ない、その私設網内の端末の仮想閉域網への接続の認証を行なう分散型認証アクセス制御システムに関する。
【０００２】
【従来の技術】
従来、企業通信網など特定の対地のみを接続する閉域網を構築するために、仮想閉域網が導入されている。コネクションレス型通信網における仮想閉域網は、伝送路、転送ノードを共有するのみならず、論理パス、論理回線も共有して、セキュリティを確保した転送制御がなされている。
【０００３】
また、仮想閉域網は特定の対地のみを接続するのではなく、特定の端末、またはルータ等の通信装置からのリモートアクセスを受け付けることができるようになっている。例えば、社員の自宅の端末や、事務所のルータから公衆の電話網あるいはＡＤＳＬ（Asymmetric Digital Subscriber Line）網等を経由して企業の仮想閉域網にアクセスし、会社のホストコンピュータに接続することができる。電話網等と仮想閉域網との間にリモートアクセスサーバが設置されており、端末やルータは、ダイアルアップ等でリモートアクセスサーバに接続し、仮想閉域網にアクセスすることが行なわれている。
【０００４】
リモートアクセスサーバと仮想閉域網とを接続する転送ノードと、リモートアクセスサーバと転送ノードとを制御する閉域網群制御サーバを備え、複数の仮想閉域網の利用者が共用している。リモートアクセスサーバと転送ノードとの間の物理回線を複数の仮想閉域網で利用して、設備の利用効率を向上させることが提案されている（特許文献１）。この特許文献１では、利用者からの接続要求に基づいて、リモートアクセスサーバは、仮想閉域網毎に仮想ルータ（以下、ＶＲ：Virtual Routerと表記）を割り当て、ＶＲを１本の物理回線に接続する。利用者からの切断を契機に、リモートアクセスサーバは、ＶＲを開放し、他の仮想閉域網の利用者に割り当てる。
【０００５】
一方、仮想閉域網に代表される通信網への接続環境が整っていることを前提として、通信網上に接続されている複数のサーバ上のコンテンツへのアクセスを一度の認証で可能にする（以下、シングルサインオンと表記）方法として、網内に認証アクセス制御サーバを設置する方法が知られており、この方法はその処理形態によって、「リバース・プロキシ型」と「エージェント・モジュール型」とに分類される。
【０００６】
リバース・プロキシ型のシングルサインオンでは、サーバへのアクセス要求は全て認証アクセス制御サーバを中継して送信され、認証アクセス制御サーバは、中継時に、内部に持つ利用者毎のアクセスリストを参照してアクセス制御を行なう。
【０００７】
一方、エージェント・モジュール型のシングルサインオンでは、利用者は、まず認証アクセス制御サーバにログインする。認証に成功すると、認証アクセス制御サーバは、当該利用者がアクセス可能なアプリケーションサーバのリストをクッキーに埋め込んで利用者端末に送信する。その後、利用者がアプリケーションサーバにアクセスした時、コンテンツサーバ内のエージェント・モジュールがクッキー内の情報をもとにアクセスの可否を決定する。アプリケーションサーバに対して、認証アクセス制御サーバで認証されていない利用者からのアクセスがあった場合は、当該アプリケーションサーバ内のエージェント・モジュールがアクセス要求を認証アクセス制御サーバに転送して、認証を行なわせる。
【０００８】
なお、現在、企業連合であるＬｉｂｅｒｔｙ Ａｌｌｉａｎｃｅにおいて、エージェント・モジュール型をベースにしたシングルサインオンの方式の標準化が進められている。
【０００９】
【特許文献１】
特開２００２−１８５５３８号公報
【特許文献２】
特願２００３−００３１０８号
【００１０】
【発明が解決しようとする課題】
仮想閉域網に遠隔からアクセスする場合は、通常、仮想閉域網に接続した後、何らかの業務を行なうために、その仮想閉域網内のサーバにアクセスすることが考えられる。このため、本出願人は、遠隔の端末から仮想閉域網に対する接続認証をもって、当該仮想閉域網内の特定のアプリケーションサーバ群に対するアクセス時の認証を兼ねられるようにし、利用者が仮想閉域網への接続時に一度のみ認証手続きを行なうことで仮想閉域網内のアプリケーションサーバへのアクセスを可能とする技術を提案している（特許文献２）。
【００１１】
しかし、端末から直接仮想閉域網に接続するのではなく、既設の私設網からルータを介して仮想閉域網に接続する場合は、仮想閉域網への接続時に行なわれる認証は、当該私設網内で共通のルータとしての認証であり、私設網内の個々の端末の利用者の認証とはなっていないため、ルータの仮想閉域網への接続時の認証のみで私設網内の個々の端末から仮想閉域網内のアプリケーションサーバへのアクセスの認証を兼ねることはセキュリティ上問題がある。
【００１２】
本発明の目的は、遠隔の私設網からルータを介して仮想閉域網に接続する場合に、私設網内の各端末の利用者のセキュリティを損なうことなく、私設網内の端末から一度の認証手続きのみで仮想閉域網内のアプリケーションサーバへのアクセスを可能にする認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システムを提供することにある。
【００１３】
【課題を解決するための手段】
本発明の分散型認証アクセス制御システムは認証機能付きパケット通信装置とネットワーク認証アクセス制御サーバと転送ノードとリモートアクセスサーバとアプリケーション認証アクセス制御サーバとで構成され、遠隔の私設網内の端末が、認証機能付きパケット通信装置とリモートアクセスサーバおよび転送ノードを介して仮想閉域網に接続した上で、私設網内の端末から発行される仮想閉域網内のアプリケーションサーバへのアクセス要求を認証する。
【００１４】
本発明の認証機能付きパケット通信装置は、（１）端末が私設網に接続された時にその端末からの接続要求を受けて端末利用者の認証を行なう手段と、（２）（１）の認証に成功した場合にその端末にアドレスを付与する手段と、（３）（２）で付与したアドレスを管理する手段と、（４）私設網内の端末に付与したアドレスとして既に記録されているアドレスを持つ端末からの接続要求に対しては、その端末の利用者に対して改めて認証を求めないようにする手段と、（５）アドレスを付与済みの端末から仮想閉域網宛ての通信要求を受けて、リモートアクセスサーバに対して接続要求を送信する手段と、（６）リモートアクセスサーバへの接続要求時に、その時点までに認証機能付きパケット通信装置から私設網内の端末に付与済みのアドレスの情報をネットワーク認証アクセス制御サーバに通知する手段と、（７）仮想閉域網との間の接続パスが存在している間に新たに私設網内の端末の認証に成功した場合に、その端末に付与したアドレスをネットワーク認証アクセス制御サーバに通知する手段とを有する。
【００１５】
認証機能付きパケット通信装置は、（８）私設網内の利用者からの切断要求、もしくは自装置から自律的に発する切断要求を契機として、リモートアクセスサーバに対して、該認証機能付きパケット通信装置から私設網内の端末に付与した全アドレスの情報を含んだ切断要求を送信する手段と、（９）アドレスを付与した端末が私設網から切り離された場合に、当該端末用に付与したアドレスを無効にするとともに、ネットワーク認証アクセス制御サーバに対して当該アドレスを持つ端末の認証を無効にするように通知する手段とを任意に有する。
【００１６】
また、ネットワーク認証アクセス制御サーバは、（１）私設網内の認証機能付きパケット通信装置の、仮想閉域網への接続認証の認証状態と、認証機能付きパケット通信装置に払い出したアドレスを管理する手段と、（２）私設網内の端末の、認証機能付きパケット通信装置への接続の認証状態を、認証機能付きパケット通信装置から通知された、認証成功時にその端末に付与されたアドレスの情報をもって管理する手段と、（３）私設網内の端末に付与されたアドレス宛ての経路を転送ノードに設定する手段と、（４）仮想閉域網内のアプリケーションサーバにアクセス要求を行なった端末の送信元アドレスの情報をアプリケーション認証アクセス制御サーバ経由で受信し、認証機能付きパケット通信装置から通知されているアドレスと一致するかどうかで当該利用者の認証状態を判断し、アプリケーション認証アクセス制御サーバに認証状態を応答する手段とを有する。
【００１７】
また、ネットワーク認証アクセス制御サーバは、（５）端末が私設網から切断された場合に、認証機能付きパケット通信装置から切断された端末に付与されていたアドレスの情報を受信し、その端末の認証機能付きパケット通信装置への接続の認証を無効にする手段と、（６）同じ契機で、アプリケーション認証アクセス制御サーバに対して、当該端末に付与されていたアドレスの情報を通知する手段と、（７）同じ契機で、転送ノードに設定済みであった、当該端末に付与されていたアドレス宛ての経路を削除する手段と、（８）私設網内の認証機能付きパケット通信装置とリモートアクセスサーバとの間の接続が切断されたことをリモートアクセスサーバから通知を受けたことを契機に、その認証機能付きパケット通信装置とそれが接続していた仮想閉域網との間の接続パスを削除する手段と、（９）（８）と同じ契機で、ネットワーク認証アクセス制御サーバ内で管理している、該認証機能付きパケット通信装置の認証を無効にする手段と、（１０）（８）と同じ契機で、該認証機能付きパケット通信装置に接続されている全ての端末に対する認証を無効にする手段と、（１１）（８）と同じ契機で、アプリケーション認証アクセス制御サーバに対して、該認証機能付きパケット通信装置に接続されている端末の利用者の認証を無効にするために該認証機能付きパケット通信装置が付与した全てのアドレスの情報を通知する手段と、（１２）（８）と同じ契機で、転送ノードに設定済みであった、私設網内の端末に払い出し済みのアドレス宛ての経路を削除する手段とを任意に有する。
【００１８】
さらに、アプリケーション認証アクセス制御サーバは、（１）端末の利用者からのアプリケーションサーバ群へのアクセス要求を受信した際に、アクセス要求を送信してきた端末からのパケットの送信元アドレスを抽出し、該送信元アドレスをネットワーク認証アクセス制御サーバに送ることで該利用者の認証状態を問い合わせる手段と、（２）ネットワーク認証アクセス制御サーバから認証済みの応答を受けた場合に、該利用者端末に対して利用者の認証に必要な情報を要求することなく、アプリケーションサーバ群へのアクセスを許可する手段と、（３）ネットワーク認証アクセス制御サーバから未認証の応答を受けた場合に、当該利用者端末に対して利用者の認証に必要な情報を要求し、認証に成功した場合に限りアプリケーションサーバ群へのアクセスを許可する手段とを有し、さらに（４）ネットワーク認証アクセス制御サーバからの指示に従って特定の利用者に対する認証を無効にする手段を任意に有する。
【００１９】
次に、このように構成された本発明の分散型認証アクセス制御システムにおける認証処理の流れについて説明する。
【００２０】
認証機能付きパケット通信装置は、私設網に新たに端末が接続されると、端末の利用者に対して認証を要求し、認証に成功すると、その端末に対してアドレスを付与する。その後、アドレスを付与された端末が仮想閉域網宛ての通信を要求すると、認証機能付きパケット通信装置はそれを受けて、公衆網とリモートアクセスサーバを介してネットワーク認証アクセス制御サーバに対して接続要求を行なう。ネットワーク認証アクセス制御サーバは、利用者端末からその仮想閉域網へのアクセスに必要となる認証情報を取得して、それに基づいて、仮想閉域網へのアクセスの認証を行なう。
【００２１】
この認証が得られると、ネットワーク認証アクセス制御サーバは、利用者端末が当該仮想閉域網に接続されるよう、転送ノードとリモートアクセスサーバに対して接続パスの設定を行なう。
【００２２】
また、認証機能付きパケット通信装置からネットワーク認証アクセス制御サーバに接続要求を行なった後に私設網内の端末の新規接続があった場合は、その端末に付与したアドレスを認証機能付きパケット通信装置からネットワーク認証アクセス制御サーバに通知する。端末の切断があった場合には、その端末に付与されていたアドレスの情報をネットワーク認証アクセス制御サーバに通知する。ネットワーク認証アクセス制御サーバは、新規接続の通知を受けると、当該アドレスを持つ端末の認証は完了しているものとして新たに管理し、切断の通知を受けると、当該アドレスを持つ端末の認証を無効にする。
【００２３】
この後、私設網内の端末から仮想閉域網内のアプリケーションサーバに対してアクセス要求を行なうと、そのアクセス要求にはそのアプリケーションサーバにアクセスする権限を有することを示す証明書が含まれていないため、エージェント・モジュール型のシングルサインオンの方式に従い、アクセス要求はアプリケーション認証アクセス制御サーバに転送される。
【００２４】
アプリケーション認証アクセス制御サーバは、受信したアプリケーションサーバへのアクセス要求のパケットから送信元アドレスを抽出し、アクセス要求元の端末の利用者の認証状態を確認するために、ネットワーク認証アクセス制御サーバに対して先に抽出した送信元アドレスの情報を送信する。
【００２５】
ネットワーク認証アクセス制御サーバは、受信した送信元アドレス情報が自サーバ内に保持する認証状態を管理するリスト内で認証済みであるアドレスとして登録されているかを検索する。該送信元アドレスがリスト内に存在した場合は、ネットワーク認証アクセス制御サーバで認証済みである旨をアプリケーション認証アクセス制御サーバに応答し、リスト内にない場合は、ネットワーク認証アクセス制御サーバで未認証であることを応答する。
【００２６】
アプリケーション認証アクセス制御サーバは、認証済みとの応答を受信した場合は、元々利用者端末から送られてきたアクセス要求に対して、パスワード等認証に必要な情報を改めて要求することなく、アプリケーションサーバ群へのアクセス権限を有していることを証明する証明書を付与して利用者端末に送信する。ネットワーク認証アクセス制御サーバから未認証との応答を受信した場合は、元々のアクセス要求に対して、パスワード等認証に必要な情報を利用者に要求し、認証が成功した場合に限り、アプリケーションサーバ群へのアクセス権限を有していることを証明する証明書を付与して利用者端末に送信する。
【００２７】
これ以降に当該利用者端末が仮想閉域網内のアプリケーションサーバ群に対してアクセスを試みた場合は、アプリケーション認証アクセス制御サーバが発行した証明書がアクセス要求に付与されていることをアプリケーションサーバが確認することで認証手続きが完了していることを判別し、自アプリケーションサーバへのアクセスを許可する。
【００２８】
このようにして、私設網内の端末の利用者はただ一度の認証手続きを実行するだけで、仮想閉域網へのリモートアクセスのみならず、仮想閉域網内の複数のアプリケーションサーバに対するセキュアなアクセスが可能になる。
【００２９】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００３０】
図１は本発明の一実施形態の分散型認証アクセス制御システムの構成図である。
【００３１】
分散型認証アクセス制御システム１は認証機能付きパケット通信装置２とネットワーク認証アクセス制御サーバ３とアプリケーション認証アクセス制御サーバ４と転送ノード５とリモートアクセスサーバ６から構成されている。
【００３２】
アプリケーション認証アクセス制御サーバ４はアプリケーションサーバ８ａ，８ｂとともに仮想閉域網７を構成している。また、認証機能付きパケット通信装置２は端末１０ａ，１０ｂ，１０ｃとともに私設網９を構成している。私設網９内の端末１０ａ，１０ｂ，１０ｃからそれぞれ利用者１１ａ，１１ｂ，１１ｃが仮想閉域網７内のアプリケーションサーバ８ａ，８ｂへの試みるものとする。ここで、利用者１１ａ，１１ｂ，１１ｃは、アプリケーションサーバ８ａ，８ｂのいずれにもアクセス権限を有しているものとする。
【００３３】
図２（１）、図２（２）、図２（３）はそれぞれ認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４の構成図である。
【００３４】
認証機能付きパケット通信装置２は接続要求受付／応答部２１と認証部２２と接続／切断要求部２３とアドレス割当テーブル２４とアドレス検索／払い出し／回収部２５から構成されている。
【００３５】
接続要求受付／応答部２１は端末１０ａ〜１０ｃが私設網９に接続された時にその端末からの接続要求を、また切断要求を受け取り、端末１０ａ〜１０ｃに認証結果等を返す。アドレス割当テーブル２４は表１に示すように、認証機能付きパケット通信装置２の配下にこれに接続されている端末１０ａ，１０ｂ，１０ｃの物理識別子（本例ではＭＡＣ（Media Access Control）アドレスとする）と、それぞれの端末１０ａ，１０ｂ，１０ｃに付与されたＩＰ（Internet Protocol）アドレスを管理している。
【００３６】
【表１】
認証部２２は端末からの接続要求を受け端末利用者の認証を行ない、認証に成功すると、その端末にアドレスを付与し、アドレス割当テーブル２４に登録する。接続要求受付／応答部２１はアドレス割当テーブル２４で既にアドレスが付与されている端末からの接続要求に対しては、その端末の利用者に対して改め認証を認証部２２に求めない。接続／切断要求部２３は、接続要求受付／応答部２１を介して、私設網９内の端末から仮想閉域網７宛ての通信要求を受けて、リモートアクセスサーバ６に対して接続要求を送信するとともに、その時点までに端末に付与済みのアドレスの情報をリモートアクセスサーバ６を介してネットワーク認証アクセス制御サーバ３に通知する。また、接続／切断要求部２３は仮想閉域網７との間の接続パスが存在している間に新たに私設網９内の端末の認証に成功した場合に、アドレス割当テーブル２４で管理されている、その端末に付与されたアドレスをネットワーク認証アクセス制御サーバ３にリモートアクセスサーバ６を介して通知する。また、接続／切断要求部２３は、接続要求受付／応答部２１を介した、私設網９内の利用者からの切断要求、もしくは自装置から自律的に発する切断要求を契機として、リモートアクセスサーバ６に対して、認証機能付きパケット通信装置２から私設網９内の端末に付与した全アドレスの情報を含んだ切断要求を送信する。さらに、接続／切断要求部２３は、アドレスが付与されている端末が私設網９から切り離された場合に、ネットワーク認証アクセス制御サーバ３に対して該アドレスを持つ端末の認証を無効にするようにリモートアクセスサーバ６を介して通知する。アドレス検索／払い出し／回収部２５はアドレス割当テーブル２４の検索、認証部２２での利用者の認証が成功した場合、アドレス割当テーブル２４への、端末に付与したアドレスの登録、アドレスが付与された端末が私設網９から切り離された場合の、その端末に付与されたアドレスのアドレス割当テーブル２４からの回収（抹消）を行なう。
【００３８】
ネットワーク認証アクセス制御サーバ３は認証要求受付／応答部３１と認証部３２と接続パス設定／削除部３３とネットワーク認証状態テーブル３４とアドレス払い出し／回収部３５と認証状態応答部３６で構成されている。
【００３９】
ネットワーク認証状態テーブル３４は、表２に示すように、仮想閉域網毎に用意され、リモートアクセスサーバ６経由でネットワーク認証アクセス制御サーバ３に接続要求する端末あるいは認証機能付きパケット通信装置（ここでは認証機能付きパケット通信装置２）が仮想閉域網７に接続しているか接続していないかを示す認証状態と、接続されている場合に当該端末あるいは認証機能付きパケット通信装置２に対して払い出されたＩＰアドレスの情報と、接続要求したのが認証機能付きパケット通信装置であった場合にその認証機能付きパケット通信装置が配下の端末に対して付与したＩＰアドレスの情報を管理する。
【００４０】
【表２】
接続要求受付／応答部３１はリモートアクセスサーバ６を介して認証機能付きパケット通信装置２から仮想閉域網７の接続要求を認証に必要な情報とともに受け取り、またリモートアクセスサーバ６を介して認証機能付きパケット通信装置２に認証結果とＩＰアドレスを返す。また、接続要求受付／応答部３１は、リモートアクセスサーバ６から切断要求を受信する。認証部３２は接続要求受付／応答部３１で接続要求が受信されると、受け取った認証に必要な情報を用いて利用者を認証する。接続パス設定／削除部３３は認証部３２における認証が成功した場合、私設網９内の端末に付与されたアドレス宛ての経路を転送ノード５に設定する。認証状態応答部３６は仮想閉域網７内のアプリケーションサーバにアクセス要求を行なった端末の送信元アドレスの情報をアプリケーション認証アクセス制御サーバ４経由で受信し、認証機能付きパケット通信装置２から通知されている、ネットワーク認証状態テーブル３４内のアドレスと一致するかどうかで当該利用者の認証状態を判断し、アプリケーション認証アクセス制御サーバ４に認証状態を応答する。アドレス払い出し／回収部３５は端末が私設網９から切断された場合に、認証機能付きパケット通信装置２から、切断された端末に付与されていたアドレスを認証要求受付／応答部３１を介して受信し、ネットワーク認証状態テーブル３４における、その端末の認証機能付きパケット通信装置２への接続の認証を無効にする。このとき、認証状態応答部３６はアプリケーション認証アクセス制御サーバ４に対して、当該端末に付与されていたアドレスの情報を通知し、接続パス設定／削除部３３は、転送ノード５に設定済みであった、当該端末に付与されていたアドレス宛ての経路を削除する。認証要求受付／応答部３１が私設網９内の認証機能付きパケット通信装置２とリモートアクセスサーバ６との間の接続が切断されたことをリモートアクセスサーバ６から通知を受けたことを契機に、接続パス設定／削除部３３はその認証機能付きパケット通信装置２とそれが接続していた仮想閉域網７との間の接続パスを削除し、アドレス払い出し／回収部３５は、ネットワーク認証状態テーブル３４で管理している、当該認証機能付きパケット通信装置の認証を回収（無効）にするとともに、当該認証機能付きパケット通信装置に接続されている全ての端末に対する認証を無効にし、認証状態応答部３６はアプリケーション認証アクセス制御サーバ４に対して、当該認証機能付きパケット通信装置に接続されている端末の利用者の認証を無効にするために当該認証機能付きパケット通信装置２が付与した全てのアドレスの情報を通知し、接続パス設定／削除部３３は転送ノード５に設定済みであった、私設網９内の端末に払い出し済みのアドレス宛ての経路を削除する。
【００４２】
アプリケーション認証アクセス制御サーバ４はアクセス要求受付／応答部４１と送信元アドレス抽出部４２と認証状態問合せ部４３とアクセス許可判断部４４から構成される。
【００４３】
アクセス要求受付／応答部４１は、端末の利用者からのアプリケーションサーバ群へのアクセス要求を転送ノード５を介して受信し、また未認証の端末に対してパスワード等の利用者の認証に必要な情報を要求する。送信元アドレス抽出部４２は、アクセス要求受付／応答部４１でアクセス要求が受信されると、アクセス要求を送信してきた端末からのパケットの送信元アドレスを抽出する。認証状態問合せ部４３は抽出された送信元アドレスをネットワーク認証アクセス制御サーバ３に送ることで当該利用者の認証状態を問合わせ、ネットワーク認証アクセス制御サーバ３から認証状態を示す応答を受信する。アクセス許可判断部４４はネットワーク認証アクセス制御サーバ３から認証済みの応答を受けた場合、当該利用者端末に対してパスワード等利用者の認証に必要な情報を要求することなく、アクセス要求受付／応答部４１を介してアプリケーションサーバ群へのアクセスを許可し、ネットワーク認証アクセス制御サーバ３から未認証の応答を受けた場合、アクセス要求受付／応答部４１を介して当該利用者端末に対してパスワード等利用者の認証に必要な情報を要求し、認証に成功した場合に限りアプリケーションサーバ群へのアクセスを許可する。また、アクセス許可判断部４４はネットワーク認証アクセス制御サーバ３からの指示に従って特定の利用者に対する認証を無効にする。
【００４４】
次に、図３、図４、および図５に示すシーケンス図に従って、認証機能付きパケット通信装置２とネットワーク認証アクセス制御サーバ３とアプリケーション認証アクセス制御サーバ４によって、私設網９内の端末１０ａ，１０ｂ，１０ｃを使用する利用者１１ａ，１１ｂ，１１ｃからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ、仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理について説明する。
【００４５】
端末１０ａが私設網９への接続要求を試みると（ステップ１０１）、まず端末１０ａと認証機能付きパケット通信装置２の認証部２２の間で利用者認証が行なわれる（ステップ１０２）。この認証に成功した場合、認証機能付きパケット通信装置２のアドレス検索／払い出し／回収部２５は、端末１０ａに対して、私設網９内での通信を行なうためのＩＰアドレスを付与し、端末１０ａのＭＡＣアドレスとここで付与したＩＰアドレスの組をアドレス割当テーブル２４に格納する（ステップ１０３）。この後、別の端末１０ｂからも私設網９への接続要求があった場合は、端末１０ａの時と同様に認証手続きを行なってＩＰアドレスを付与し、端末１０ｂのＭＡＣアドレスと端末１０ｂに付与したＩＰアドレスの組をアドレス割当テーブル２４に追加する（ステップ１０４〜１０６）。
【００４６】
この状態で端末１０ａが仮想閉域網７内のアプリケーションサーバ（例えばアプリケーションサーバ８ａ）に対してアクセス要求を行なうと（ステップ１０７）、それを受けて認証機能付きパケット通信装置２の接続／切断要求部２３は電話網経由でリモートアクセスサーバ６に対して仮想閉域網７への接続要求を行ない、仮想閉域網７への接続認証に必要な情報（ここではＩＤとパスワードとする）を送信する（ステップ１０８）。リモートアクセスサーバ６は、受信したＩＤとパスワードをネットワーク認証アクセス制御サーバ３に転送し、認証を依頼する（ステップ１０９）。ネットワーク認証アクセス制御サーバ３の認証部３２は、受信したＩＤとパスワードの情報をもとに認証機能付きパケット通信装置２の認証を行ない、認証成功であれば、アドレス払い出し／回収部３５は認証機能付きパケット通信装置２に対して、仮想閉域網７との通信用のＩＰアドレスを払い出し、ネットワーク認証状態テーブル３４に記録する。そして、認証要求受付／応答部３１と接続パス設定／削除部３３はリモートアクセスサーバ６と転送ノード５に対して、仮想閉域網７への接続パスを設定する（ステップ１１０）。そして、認証要求受付／応答部３１は認証結果と、払い出したＩＰアドレスを認証機能付きパケット通信装置２に送信する（ステップ１１１，１１２）。これを受けて認証機能付きパケット通信装置２の接続要求受付／応答部２１は、アドレス割当テーブル２４に登録済みの私設網内端末（ここでは端末１０ａと１０ｂ）のＩＰアドレスをネットワーク認証アクセス制御サーバ３に送信する（ステップ１１３）。ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、受信した端末１０ａと１０ｂのＩＰアドレスをネットワーク認証状態テーブル３４に登録し、接続パス設定／削除部３３は転送ノード５に対して端末１０ａおよび１０ｂ宛ての経路を設定し（ステップ１１４）、認証要求受付／応答部３１は認証機能付きパケット通信装置２に対して登録完了を通知する（ステップ１１５）。
【００４７】
ここまでの処理で認証機能付きパケット通信装置２と、その配下に接続されている端末１０ａおよび１０ｂは仮想閉域網７に接続されたため、利用者１１ａおよび１１ｂは何らかの業務を行なうため、アプリケーションサーバ（ここではアプリケーションサーバ８ａ）に対してアクセス要求を送信するとする（ステップ１１６）。ここでは端末１０ａを例にとって説明する。ステップ１１６の時点では、端末１０ａはアプリケーションサーバ８ａに対するアクセス権限を持っていることを示す証明書を持っていないため、アプリケーションサーバ８ａはアクセス要求に証明書が付いていないことを確認し（ステップ１１７）、アクセス要求をアプリケーション認証アクセス制御サーバ４にリダイレクトするよう、端末１０ａに指示を送信する（ステップ１１８）。
【００４８】
これに基づいて端末１０ａからアプリケーション認証アクセス制御サーバ４にアクセス要求が転送されると（ステップ１１９）、アプリケーション認証アクセス制御サーバ４の送信元アドレス抽出部４２は、受信したアクセス要求のパケットの送信元アドレスを抽出し、認証状態問合せ部４３よりそのアドレス情報をネットワーク認証アクセス制御サーバ３に送信することで、そのアクセス要求を送信してきた利用者（利用者１１ａ）がネットワーク認証アクセス制御サーバ３で認証済みであるかを問い合わせる（ステップ１２０）。
【００４９】
ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、仮想閉域網７のネットワーク認証状態テーブル３４を検索し、アプリケーション認証アクセス制御サーバ４から受信したアドレスが認証済みとして登録されているか否かを判別し、その結果を認証要求受付／応答部３１からアプリケーション認証アクセス制御サーバ４に送信する（ステップ１２１）。認証済みであった場合は、アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、端末１０ａに対して、認証が成功していることを示す証明書を発行し、端末１０ａに対するアクセス応答としてアクセス要求受付／応答部４１から返信する（ステップ１２２）。
【００５０】
これにより端末１０ａから再度アプリケーションサーバ８ａに対してアクセス要求を行なうと（ステップ１２３）、アプリケーションサーバ８ａはアクセス要求に証明書が付いていることを検知して、アクセス要求に応答する（ステップ１２４）。
【００５１】
これ以降は、利用者１１ａがアクセス権限を有する他のアプリケーションサーバ（本実施形態ではアプリケーションサーバ８ｂ）に対しても、改めて認証手続きを求められることなく、アクセスが可能になる。
【００５２】
また、端末１０ｂの利用者１１ｂに対しても、ステップ１１３〜１２１に相当する手順を実施することにより、仮想閉域網７内で利用者１１ｂがアクセス権限を持つアプリケーションサーバ群に対して、改めて認証手続きを求められることなくアクセスが可能になる。
【００５３】
次に、図５により、認証機能付きパケット通信装置２が仮想閉域網７に接続された後に私設網９内に新たに端末（ここでは端末１０ｃ）が接続された場合の処理の流れについて説明する。端末１０ｃが新たに私設網９に接続を試みる（ステップ１２５）と、端末１０ａ，１０ｂの時と同様に利用者認証が実施され（ステップ１２６）、認証成功の場合ＩＰアドレスが付与される（ステップ１２７）。認証機能付きパケット通信装置２は、既に仮想閉域網７への接続は完了していることから、この時点でネットワーク認証アクセス制御サーバ３に対して、端末１０ｃの接続を通知し、付与したＩＰアドレスを送信する（ステップ１２８）。ネットワーク認証アクセス制御サーバ３では、認証機能付きパケット通信装置２が端末１０ｃに付与したＩＰアドレスを、ネットワーク認証状態テーブル３４に登録し、転送ノード５に対して端末１０ｃ宛ての経路を設定する（ステップ１２９）。そして、端末１０ｃの登録完了を認証機能付きパケット通信装置２に通知する（ステップ１３０）。これにより、後は端末１０ｃについてステップ１１３〜１２１に相当する手順を踏むことにより、端末１０ｃの利用者１１ｃは、仮想閉域網７内のアプリケーションサーバ群に対して、改めて認証手続きを求められることなくアクセスが可能になる。
【００５４】
次に、図６、７に示すシーケンス図に従って、認証を無効化する一連の処理について説明する。
【００５５】
まず、認証機能付きパケット通信装置２と仮想閉域網７との間の接続が保たれたまま、端末１０ｃが私設網９から切断された場合について説明する。端末１０ｃからのアドレス解放通知の受信またはアドレス使用期間更新要求の断絶により認証機能付きパケット通信装置２が端末１０ｃの私設網９からの切断を検知すると（ステップ１３１）、アドレス検索／払い出し／回収部２５はアドレス割当テーブル２４から端末１０ｃに付与していたＩＰアドレスを回収し、アドレス割当テーブル２４内のそのエントリを無効化する（ステップ１３２）。次いで、接続／切断要求部２３はネットワーク認証アクセス制御サーバ３に対して、端末１０ｃに付与していたＩＰアドレスを送信し、切断を通知する（ステップ１３３）。これを受けてネットワーク認証アクセス制御サーバ３の認証状態応答部３６は、アプリケーション認証アクセス制御サーバ４に対して、利用者１１ｃのログアウト要求を送信する（ステップ１３４）。アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、アプリケーションサーバ群（本実施形態では、アプリケーションサーバ８ａと８ｂ）に対する利用者１１ｃの認証を無効にし（ステップ１３５）、ログアウト完了通知を認証状態問合せ部４３よりネットワーク認証アクセス制御サーバ３に送信する（ステップ１３６）。ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、これを受けて、ネットワーク認証状態テーブル３４から端末１０ｃのＩＰアドレスの登録を抹消し、転送ノード５に対して端末１０ｃ宛ての経路の削除を行ない（ステップ１３７）、認証要求受付／応答部３１より認証機能付きパケット通信装置２に対して端末１０ｃの切断完了通知を送信する（ステップ１３８）。
【００５６】
さらに、図７によって、認証機能付きパケット通信装置２とリモートアクセスサーバ６との接続回線が切断された場合の処理について説明する。リモートアクセスサーバ６は、認証機能付きパケット通信装置２との間の回線の切断を検知すると（ステップ１３９）、ネットワーク認証アクセス制御サーバ３に対して、認証機能付きパケット通信装置２の切断を通知する（ステップ１４０）。これを受けて、ネットワーク認証アクセス制御サーバ３の認証状態応答部３６は、アプリケーション認証アクセス制御サーバ４に対して、利用者１１ａのログアウト要求を送信する（ステップ１４１）。アプリケーション認証アクセス制御サーバ４のアクセス許可判断部４４は、アプリケーションサーバ群（本実施形態では、アプリケーションサーバ８ａと８ｂ）に対する利用者１１ａの認証を無効にし（ステップ１４２）、ログアウト完了通知をアクセス要求受付／応答部４１よりネットワーク認証アクセス制御サーバ３に送信する（ステップ１４３）。また、端末１０ｂの利用者１１ｂに対しても同様にログアウト処理をアプリケーション認証アクセス制御サーバ４に依頼する（ステップ１４４〜１４６）。
【００５７】
そして、ネットワーク認証アクセス制御サーバ３のアドレス払い出し／回収部３５は、認証機能付きパケット通信装置２に払い出していたＩＰアドレスを回収してネットワーク認証状態テーブル３４から認証機能付きパケット通信装置２に関わるエントリを削除し、接続パス設定／削除部３３によってリモートアクセスサーバ６と転送ノード５に対して、認証機能付きパケット通信装置２およびその配下の端末（この例では端末１０ａと１０ｂ）宛ての経路を削除し（ステップ１４７）、認証要求受付／応答部３１よりリモートアクセスサーバ６に対して切断完了通知を送信する（ステップ１４８）。
【００５８】
なお、認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００５９】
【発明の効果】
以上説明したように、本発明によれば、私設網から仮想閉域網へのリモートアクセスを実現する分散型認証アクセス制御システムにおいて、私設網内の端末の認証機能付きパケット通信装置へのアクセスのための認証で仮想閉域網内のアプリケーションサーバへのアクセスの認証を実現することで、私設網内の端末の利用者に対して一度のみの認証手続きを行なうだけで、セキュリティを保ちつつ効率的に業務を遂行できるという効果がある。
【図面の簡単な説明】
【図１】本発明の一実施形態の分散型認証アクセス制御システムの構成図である。
【図２】図１中の認証機能付きパケット通信装置２、ネットワーク認証アクセス制御サーバ３、アプリケーション認証アクセス制御サーバ４の構成図である。
【図３】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図４】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図５】利用者端末１０ａ〜１０ｂからの一度のみの認証手続きによって仮想閉域網７にアクセスし、かつ仮想閉域網７内のアプリケーションサーバ８ａ，８ｂに対してのシングルサインオンを実現する一連の処理を示すシーケンス図である。
【図６】認証を無効化する一連の処理を示すシーケンス図である。
【図７】認証を無効化する一連の処理を示すシーケンス図である。
【符号の説明】
１ 分散型認証アクセス制御システム
２ 認証機能付きパケット通信装置
３ ネットワーク認証アクセス制御サーバ
４ アプリケーション認証アクセス制御サーバ
５ 転送ノード
６ リモートアクセスサーバ
７ 仮想閉域網
８ａ，８ｂ アプリケーションサーバ
９ 私設網
１０ａ，１０ｂ，１０ｃ 端末
１１ａ，１１ｂ，１１ｃ 利用者
２１ 接続要求受付／応答部
２２ 認証部
２３ 接続／切断要求部
２４ アドレス割当テーブル
２５ アドレス検索／払い出し／回収部
３１ 認証要求受付／応答部
３２ 認証部
３３ 接続パス設定／削除部
３４ ネットワーク認証状態テーブル
３５ アドレス払い出し／回収部
３６ 認証状態応答部
４１ アクセス要求受付／応答部
４２ 送信元アドレス抽出部
４３ 認証状態問合せ部
４４ アクセス許可判断部
１０１〜１４８ ステップ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a distributed authentication access control system, and in particular, performs authentication for access from a remote private network (hereinafter referred to as remote access) to a virtual closed network constructed on a connectionless communication network. The present invention relates to a distributed authentication access control system for authenticating connection of a terminal in a private network to a virtual closed network.
[0002]
[Prior art]
Conventionally, a virtual closed network has been introduced in order to construct a closed network that connects only a specific ground such as a corporate communication network. A virtual closed network in a connectionless communication network not only shares a transmission path and a transfer node, but also shares a logical path and a logical line to perform transfer control that ensures security.
[0003]
Further, the virtual closed network does not connect only a specific ground, but can receive remote access from a specific terminal or a communication device such as a router. For example, an employee's home terminal or office router can access a company's virtual closed network via a public telephone network or an ADSL (Asymmetric Digital Subscriber Line) network and connect to a company's host computer. it can. A remote access server is installed between a telephone network or the like and a virtual closed network, and terminals and routers are connected to the remote access server by dial-up or the like to access the virtual closed network.
[0004]
A transfer node that connects the remote access server and the virtual closed network, and a closed network group control server that controls the remote access server and the transfer node, are shared by users of a plurality of virtual closed networks. It has been proposed to use a physical line between a remote access server and a forwarding node in a plurality of virtual closed networks to improve the utilization efficiency of equipment (Patent Document 1). In this
[0005]
On the other hand, on the premise that a connection environment to a communication network represented by a virtual closed network is prepared, it is possible to access contents on a plurality of servers connected to the communication network by one authentication ( Hereinafter, a method of installing an authentication access control server in the network is known as a single sign-on method. This method is classified as “reverse proxy type” or “agent module type” depending on the processing mode. are categorized.
[0006]
In reverse proxy type single sign-on, all access requests to the server are relayed through the authentication access control server, and the authentication access control server refers to the access list for each user inside when relaying. Perform access control.
[0007]
On the other hand, in the agent module type single sign-on, the user first logs into the authentication access control server. If the authentication is successful, the authentication access control server embeds a list of application servers accessible by the user in a cookie and transmits the cookie to the user terminal. Thereafter, when the user accesses the application server, the agent module in the content server determines whether or not access is possible based on the information in the cookie. If there is an access to the application server from a user who is not authenticated by the authentication access control server, the agent module in the application server transfers the access request to the authentication access control server for authentication. Make it.
[0008]
Currently, standardization of a single sign-on system based on an agent module type is being promoted in the Liberty Alliance, which is a corporate alliance.
[0009]
[Patent Document 1]
JP 2002-185538 A
[Patent Document 2]
Japanese Patent Application No. 2003-003108
[0010]
[Problems to be solved by the invention]
When accessing a virtual closed network from a remote location, it is usually considered to access a server in the virtual closed network in order to perform some work after connecting to the virtual closed network. For this reason, the applicant of the present invention allows the remote terminal to authenticate the connection to the virtual closed network so that it can also serve as authentication at the time of access to a specific application server group in the virtual closed network, and the user can access the virtual closed network. A technique that enables access to an application server in a virtual closed network by performing an authentication procedure only once at the time of connection is proposed (Patent Document 2).
[0011]
However, when connecting to a virtual private network via a router from an existing private network instead of connecting directly from the terminal to the virtual private network, the authentication performed when connecting to the virtual private network is performed within the private network. Since it is an authentication as a common router and is not an authentication of users of individual terminals in the private network, virtual authentication is performed from individual terminals in the private network only by authentication when connecting the router to the virtual closed network. There is a security problem to double authentication for access to the application server in the closed network.
[0012]
An object of the present invention is to perform a one-time authentication procedure from a terminal in a private network without compromising the security of the user of each terminal in the private network when connecting to a virtual closed network through a router from a remote private network. Packet communication device with authentication function and network authentication access control server that enables access to application server in virtual closed network , And providing a distributed authentication access control system.
[0013]
[Means for Solving the Problems]
The distributed authentication access control system of the present invention comprises a packet communication device with an authentication function, a network authentication access control server, a forwarding node, a remote access server, and an application authentication access control server, and a terminal in a remote private network is authenticated. The access request to the application server in the virtual private network issued from the terminal in the private network is authenticated after connecting to the virtual private network through the packet communication device with function, the remote access server and the forwarding node.
[0014]
The packet communication device with an authentication function according to the present invention comprises (1) means for receiving a connection request from a terminal when the terminal is connected to a private network, and (2) authentication of (1). Means for assigning an address to the terminal if successful, (3) means for managing the address assigned in (2), and (4) an address already recorded as an address assigned to the terminal in the private network In response to a connection request from a terminal having a terminal, (5) a communication request addressed to the virtual closed network is received from a terminal to which an address has been assigned, and a means for preventing the user of the terminal from requesting authentication again. Means for transmitting a connection request to the remote access server, and (6) at the time of the connection request to the remote access server, from the packet communication device with an authentication function to the terminal in the private network up to that point. And (7) when a new authentication of a terminal in the private network succeeds while a connection path between the virtual closed network exists and Means for notifying the network authentication access control server of the address assigned to the terminal.
[0015]
The packet communication device with authentication function is (8) a packet communication device with authentication function for a remote access server triggered by a disconnection request from a user in a private network or a disconnection request issued autonomously from the own device. Means for transmitting a disconnection request including information on all addresses assigned to the terminal in the private network, and (9) when the terminal to which the address is assigned is disconnected from the private network, the address assigned for the terminal And a means for notifying the network authentication access control server to invalidate the authentication of the terminal having the address.
[0016]
Further, the network authentication access control server (1) means for managing the authentication status of the connection authentication to the virtual closed network of the packet communication device with authentication function in the private network and the address issued to the packet communication device with authentication function (2) With the information of the address given to the terminal when authentication is successful, the authentication status of the connection of the terminal in the private network to the packet communication device with authentication function notified from the packet communication device with authentication function Means for managing; (3) means for setting a route addressed to an address assigned to a terminal in a private network to a forwarding node; and (4) a source of a terminal that makes an access request to an application server in a virtual closed network. The address information is received via the application authentication access control server, and the address information is the same as the address notified from the packet communication device with an authentication function. Whether in determining the authentication status of the user to, and means for responding the authentication status to the application authentication access control server.
[0017]
The network authentication access control server also receives (5) address information given to the disconnected terminal from the packet communication device with an authentication function when the terminal is disconnected from the private network, and authenticates the terminal. (6) means for notifying the application authentication access control server of the address information given to the terminal at the same time, (6) 7) At the same time, means for deleting the route addressed to the address assigned to the terminal that has been set in the forwarding node; (8) a packet communication device with an authentication function and a remote access server in the private network; When the remote access server receives a notification that the connection has been disconnected, the packet communication device with the authentication function and the connection Means for deleting the connection path to the virtual closed network, and authentication of the packet communication device with authentication function managed in the network authentication access control server at the same opportunity as (9) and (8) Means for disabling, means for disabling authentication for all terminals connected to the packet communication device with authentication function at the same opportunity as (10) and (8), and the same opportunity as (11) and (8) Thus, for the application authentication access control server, information on all addresses given by the packet communication device with authentication function to invalidate the user authentication of the terminal connected to the packet communication device with authentication function. And a means for deleting the route addressed to the address already assigned to the terminal in the private network, which has been set in the forwarding node, at the same opportunity as (12) and (8) A.
[0018]
Further, the application authentication access control server (1), upon receiving an access request to the application server group from a user of the terminal, extracts a source address of a packet from the terminal that has transmitted the access request, Means for inquiring about the authentication status of the user by sending a source address to the network authentication access control server; and (2) when receiving an authenticated response from the network authentication access control server, Means for permitting access to the application server group without requesting information necessary for user authentication; and (3) when an unauthenticated response is received from the network authentication access control server, Requests information required for user authentication to the application, and only if the authentication is successful. And means for permitting access to the bus group, and (4) having means for disabling the authentication for a particular user in accordance with an instruction from the network authentication access control server arbitrarily.
[0019]
Next, the flow of authentication processing in the distributed authentication access control system of the present invention configured as described above will be described.
[0020]
When a terminal is newly connected to the private network, the packet communication device with an authentication function requests authentication of the user of the terminal, and when the authentication is successful, gives an address to the terminal. After that, when the terminal to which the address is assigned requests communication addressed to the virtual closed network, the packet communication device with authentication function receives it and requests connection to the network authentication access control server via the public network and the remote access server. To do. The network authentication access control server acquires authentication information necessary for access to the virtual closed network from the user terminal, and authenticates access to the virtual closed network based on the acquired authentication information.
[0021]
When this authentication is obtained, the network authentication access control server sets a connection path for the transfer node and the remote access server so that the user terminal is connected to the virtual closed network.
[0022]
Also, if there is a new connection of a terminal in the private network after making a connection request from the packet communication apparatus with authentication function to the network authentication access control server, the address assigned to the terminal is transferred from the packet communication apparatus with authentication function to the network. Notify the authentication access control server. When the terminal is disconnected, the network authentication access control server is notified of the address information assigned to the terminal. When the network authentication access control server receives a notification of a new connection, it newly manages that the terminal having the address is completed, and when it receives a disconnection notification, it invalidates the authentication of the terminal having the address. To.
[0023]
After that, when an access request is made from a terminal in the private network to the application server in the virtual closed network, the access request does not include a certificate indicating that it has authority to access the application server. According to the agent module type single sign-on method, the access request is transferred to the application authentication access control server.
[0024]
The application authentication access control server extracts the source address from the received access request packet to the application server, and checks the authentication status of the user of the access request source terminal with respect to the network authentication access control server. The information of the source address extracted earlier is transmitted.
[0025]
The network authentication access control server searches whether the received transmission source address information is registered as an authenticated address in a list for managing the authentication state held in the server. If the source address exists in the list, it responds to the application authentication access control server that it has been authenticated by the network authentication access control server. If it is not in the list, it has not been authenticated by the network authentication access control server. Answer that there is.
[0026]
When the application authentication access control server receives a response indicating that it has been authenticated, the application server group does not request the information required for authentication such as a password in response to the access request originally sent from the user terminal. A certificate certifying that the user has the right to access is sent to the user terminal. When a response indicating unauthenticated is received from the network authentication access control server, the application server group is requested only when the user requests the information required for authentication such as password in response to the original access request and the authentication is successful. A certificate certifying that the user has the right to access is sent to the user terminal.
[0027]
After that, if the user terminal tries to access the application server group in the virtual closed network, the application server confirms that the certificate issued by the application authentication access control server is attached to the access request. By doing so, it is determined that the authentication procedure has been completed, and access to the own application server is permitted.
[0028]
In this way, a user of a terminal in a private network can perform not only remote access to the virtual closed network but also secure access to a plurality of application servers in the virtual closed network by performing a single authentication procedure. It becomes possible.
[0029]
DETAILED DESCRIPTION OF THE INVENTION
Next, embodiments of the present invention will be described with reference to the drawings.
[0030]
FIG. 1 is a configuration diagram of a distributed authentication access control system according to an embodiment of the present invention.
[0031]
The distributed authentication
[0032]
The application authentication
[0033]
2 (1), FIG. 2 (2), and FIG. 2 (3) are configuration diagrams of the
[0034]
The packet communication device with
[0035]
The connection request reception /
[0036]
[Table 1]
Upon receiving a connection request from the terminal, the
[0038]
The network authentication
[0039]
As shown in Table 2, the network authentication status table 34 is prepared for each virtual closed network, and is a terminal that makes a connection request to the network authentication
[0040]
[Table 2]
The connection request reception /
[0042]
The application authentication
[0043]
The access request reception /
[0044]
Next, according to the sequence diagrams shown in FIGS. 3, 4 and 5, the packet communication device with
[0045]
When the terminal 10a attempts a connection request to the private network 9 (step 101), user authentication is first performed between the terminal 10a and the
[0046]
In this state, when the terminal 10a makes an access request to an application server (for example, the application server 8a) in the virtual closed network 7 (step 107), the connection / disconnection request unit of the
[0047]
Since the
[0048]
Based on this, when the access request is transferred from the terminal 10a to the application authentication access control server 4 (step 119), the transmission source
[0049]
The address issuing / collecting unit 35 of the network authentication
[0050]
As a result, when the terminal 10a makes an access request to the application server 8a again (step 123), the application server 8a detects that the access request has a certificate and responds to the access request (step 124). .
[0051]
After this, it becomes possible to access another application server (
[0052]
Further, by executing the procedure corresponding to
[0053]
Next, referring to FIG. 5, the flow of processing when a terminal (here, the terminal 10c) is newly connected in the
[0054]
Next, a series of processing for invalidating authentication will be described with reference to the sequence diagrams shown in FIGS.
[0055]
First, the case where the terminal 10c is disconnected from the
[0056]
Furthermore, the processing when the connection line between the packet communication device with
[0057]
Then, the address issuing / collecting unit 35 of the network authentication
[0058]
Note that the packet communication device with
[0059]
【The invention's effect】
As described above, according to the present invention, in a distributed authentication access control system that realizes remote access from a private network to a virtual closed network, a terminal in the private network can access a packet communication device with an authentication function. By authenticating access to the application server in the virtual closed network with this authentication, it is possible to efficiently operate while maintaining security by performing only one authentication procedure for the terminal user in the private network. There is an effect that can be carried out.
[Brief description of the drawings]
FIG. 1 is a configuration diagram of a distributed authentication access control system according to an embodiment of the present invention.
2 is a configuration diagram of a packet communication device with an
FIG. 3 shows a series of steps for accessing the virtual
FIG. 4 is a series of steps for accessing the virtual
FIG. 5 is a series of steps for accessing the virtual
FIG. 6 is a sequence diagram showing a series of processes for invalidating authentication.
FIG. 7 is a sequence diagram showing a series of processes for invalidating authentication.
[Explanation of symbols]
1 Distributed authentication access control system
2 Packet communication device with authentication function
3 Network authentication access control server
4 Application authentication access control server
5 Forwarding node
6 Remote access server
7 Virtual closed network
8a, 8b Application server
9 Private network
10a, 10b, 10c terminal
11a, 11b, 11c users
21 Connection request reception / response section
22 Authentication Department
23 Connection / disconnection request section
24 Address assignment table
25 Address Search / Payout / Recovery Department
31 Authentication request acceptance / response section
32 Authentication Department
33 Connection path setting / deleting section
34 Network authentication status table
35 Address issue / collection department
36 Authentication status response part
41 Access request reception / response section
42 Source address extraction unit
43 Authentication status inquiry section
44 Access permission judgment part
101-148 steps
Claims (6)
前記私設網内の端末からの接続要求を受けて、端末利用者の認証を行なう手段と、
認証に成功した場合にその端末にアドレスを付与する手段と、
前記私設網内の端末に付与したアドレスを管理する手段と、
前記私設網内の端末に付与したアドレスとして既に記録されているアドレスを持つ端末からの接続要求に対しては、その端末の利用者に対して改めて認証を求めないようにする手段と、
前記私設網内の端末から前記仮想閉域網宛ての通信要求を受けて、前記リモートアクセスサーバに対して接続要求を送信する手段と、
前記リモートアクセスサーバへの接続要求時に、その時点までに該認証機能付きパケット通信装置から前記私設網内の端末に付与済みのアドレスの情報をネットワーク認証アクセス制御サーバに通知する手段と、
前記仮想閉域網との間の接続パスが存在している間に新たに前記私設網内の端末の認証が成功した場合に、当該端末に付与したアドレスを前記ネットワーク認証アクセス制御サーバに通知する手段と
を有する認証機能付きパケット通信装置。The private network is installed at the exit to the public network in the private network, and transmits a connection request to the remote access server via the public network based on a request from a user in the private network. A packet communication device with an authentication function that realizes communication between a terminal in the private network and an application server installed in the virtual closed network.
Means for receiving a connection request from a terminal in the private network and authenticating a terminal user;
Means for assigning an address to the terminal if the authentication is successful;
Means for managing addresses assigned to terminals in the private network;
In response to a connection request from a terminal having an address that is already recorded as an address assigned to a terminal in the private network, a means for preventing the user of the terminal from requesting authentication again;
Means for receiving a communication request addressed to the virtual closed network from a terminal in the private network and transmitting a connection request to the remote access server;
Means for notifying the network authentication access control server of information on addresses already assigned to the terminals in the private network from the packet communication device with authentication function up to that time when requesting connection to the remote access server;
Means for notifying the network authentication access control server of the address assigned to the terminal when authentication of the terminal in the private network is newly succeeded while a connection path to the virtual closed network exists And a packet communication device with an authentication function.
アドレスを付与した端末が私設網から切り離された場合に、当該端末用に付与したアドレスを無効にするとともに、前記ネットワーク認証アクセス制御サーバに対して当該アドレスを持つ端末の認証を無効にするように通知する手段と
をさらに有する、請求項１に記載の認証機能付きパケット通信装置。Granted from the packet communication device with authentication function to the terminal in the private network to the remote access server, triggered by a disconnection request from a user in the private network or a disconnection request issued autonomously from the own device Means for transmitting a disconnection request including information on all addresses,
When the terminal to which the address is assigned is disconnected from the private network, the address assigned for the terminal is invalidated and the authentication of the terminal having the address is invalidated to the network authentication access control server The packet communication device with an authentication function according to claim 1, further comprising means for notifying.
前記私設網内の認証機能付きパケット通信装置の、前記仮想閉域網への接続認証の認証状態と、前記認証機能付きパケット通信装置に払い出したアドレスを管理する手段と、
前記私設網内の端末の、前記認証機能付きパケット通信装置への接続の認証状態を、前記認証機能付きパケット通信装置から通知された、認証成功時に当該端末に付与されたアドレスの情報をもって管理する手段と、
前記私設網内の端末に付与されたアドレス宛ての経路を転送ノードに設定する手段と、
前記仮想閉域網内のアプリケーションサーバにアクセス要求を行なった端末の送信元アドレスの情報をアプリケーション認証アクセス制御サーバ経由で受信し、前記認証機能付きパケット通信装置から通知されているアドレスと一致するかどうかで当該利用者の認証状態を判断し、前記アプリケーション認証アクセス制御サーバに認証状態を応答する手段と、
を有するネットワーク認証アクセス制御サーバ。A connection request to the virtual closed network from the packet communication device with an authentication function installed in the private network is received via the remote access server, and the remote access server and the forwarding node are controlled to control the private network and the virtual closed network. A network authentication access control server that establishes a connection path between networks and realizes communication between a terminal in the private network and an application server in the virtual closed network,
Means for managing the authentication status of connection authentication to the virtual closed network of the packet communication device with an authentication function in the private network, and the address paid out to the packet communication device with the authentication function;
The authentication status of the connection of the terminal in the private network to the packet communication device with authentication function is managed from the information of the address given to the terminal when the authentication is successful, notified from the packet communication device with authentication function Means,
Means for setting a route addressed to an address assigned to a terminal in the private network in a forwarding node;
Whether or not the information of the source address of the terminal that has made an access request to the application server in the virtual closed network is received via the application authentication access control server and matches the address notified from the packet communication device with authentication function Means for determining the authentication status of the user and responding the authentication status to the application authentication access control server;
A network authentication access control server.
同じ契機で、前記アプリケーション認証アクセス制御サーバに対して、当該端末に付与されていたアドレスの情報を通知する手段と、
同じ契機で、転送ノードに設定済みであった、当該端末に付与されていたアドレス宛ての経路を削除する手段と、
前記私設網内の認証機能付きパケット通信装置と前記リモートアクセスサーバとの間の接続が切断されたことを前記リモートアクセスサーバから通知を受けたことを契機に、該認証機能付きパケット通信装置とそれが接続していた仮想閉域網との間の接続パスを削除する手段と、
同じ契機で、前記ネットワーク認証アクセス制御サーバ内で管理している、該認証機能付きパケット通信装置の認証を無効にする手段と、
同じ契機で、該認証機能付きパケット通信装置に接続されている全ての端末に対する認証を無効にする手段と、
同じ契機で、前記アプリケーション認証アクセス制御サーバに対して、該認証機能付きパケット通信装置が付与した全てのアドレスの情報を通知する手段と、
同じ契機で、前記転送ノードに設定済みであった、前記私設網内の端末に払い出し済みのアドレス宛ての経路を削除する手段と、
をさらに有する、請求項３に記載のネットワーク認証アクセス制御サーバ。When the terminal is disconnected from the private network, the terminal receives information on the address assigned to the disconnected terminal from the packet communication apparatus with authentication function, and connects the terminal to the packet communication apparatus with authentication function. Means to disable authentication,
At the same opportunity, means for notifying the application authentication access control server of the address information given to the terminal,
At the same time, a means for deleting the route addressed to the address that has been set in the forwarding node and addressed to the terminal,
Upon receiving notification from the remote access server that the connection between the packet communication device with authentication function in the private network and the remote access server has been disconnected, the packet communication device with authentication function and Means for deleting a connection path with the virtual closed network to which
At the same time, means for invalidating the authentication of the packet communication device with an authentication function managed in the network authentication access control server,
At the same opportunity, means for invalidating authentication for all terminals connected to the packet communication device with authentication function;
At the same opportunity, means for notifying the application authentication access control server of all address information given by the packet communication device with the authentication function,
At the same time, means for deleting the route addressed to the address that has been set up in the forwarding node and that has been paid out to the terminal in the private network;
The network authentication access control server according to claim 3, further comprising:
前記アプリケーション認証アクセス制御サーバは、 The application authentication access control server is
端末の利用者からのアプリケーションサーバ群へのアクセス要求を受信した際に、アクセス要求を送信してきた利用者端末からのパケットの送信元アドレスを抽出し、該送信元アドレスをネットワーク認証アクセス制御サーバに送ることで該利用者の認証状態を問い合わせる手段と、 When a terminal user receives an access request to the application server group, the source address of the packet from the user terminal that has transmitted the access request is extracted, and the source address is stored in the network authentication access control server. Means for inquiring the user's authentication status by sending;
前記ネットワーク認証アクセス制御サーバから認証済みの応答を受けた場合に、該利用者端末に対して利用者の認証に必要な情報を要求することなく、アプリケーションサーバ群へのアクセスを許可する手段と、 Means for permitting access to the application server group without requesting information required for user authentication to the user terminal when an authenticated response is received from the network authentication access control server;
前記ネットワーク認証アクセス制御サーバから未認証の応答を受けた場合に、該利用者端末に対して利用者の認証に必要な情報を要求し、認証に成功した場合に限りアプリケーションサーバ群へのアクセスを許可する手段と、 When an unauthenticated response is received from the network authentication access control server, the user terminal is requested for information necessary for user authentication, and access to the application server group is performed only when the authentication is successful. Means to allow,
を有する分散型認証アクセス制御システム。 A distributed authentication access control system.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003030674A JP3953963B2 (en) | 2003-02-07 | 2003-02-07 | Packet communication device with authentication function, network authentication access control server, and distributed authentication access control system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003030674A JP3953963B2 (en) | 2003-02-07 | 2003-02-07 | Packet communication device with authentication function, network authentication access control server, and distributed authentication access control system |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004240819A JP2004240819A (en) | 2004-08-26 |
| JP3953963B2 true JP3953963B2 (en) | 2007-08-08 |
Family
ID=32957495
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003030674A Expired - Fee Related JP3953963B2 (en) | 2003-02-07 | 2003-02-07 | Packet communication device with authentication function, network authentication access control server, and distributed authentication access control system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3953963B2 (en) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101160839B (en) * | 2005-03-11 | 2013-01-16 | 富士通株式会社 | Access control method, access control system and packet communication apparatus |
| JP4575836B2 (en) * | 2005-05-16 | 2010-11-04 | 株式会社ナカヨ通信機 | Relay server |
| JP5374090B2 (en) | 2008-08-13 | 2013-12-25 | 株式会社日立製作所 | Authentication cooperation system, terminal device, storage medium, authentication cooperation method, and authentication cooperation program |
| WO2011089712A1 (en) * | 2010-01-22 | 2011-07-28 | 富士通株式会社 | Authentication method, authentication system, and authentication program |
| JP6027069B2 (en) * | 2014-09-18 | 2016-11-16 | 富士フイルム株式会社 | VPN access control system, its operating method and program, and VPN router and server |
| JP6868066B2 (en) * | 2019-09-02 | 2021-05-12 | ビッグローブ株式会社 | Authentication system, authentication method and program |
-
2003
- 2003-02-07 JP JP2003030674A patent/JP3953963B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004240819A (en) | 2004-08-26 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3869392B2 (en) | User authentication method in public wireless LAN service system and recording medium storing program for causing computer to execute the method | |
| CN102104592B (en) | Session migration between network policy servers | |
| JP4023240B2 (en) | User authentication system | |
| JP5239341B2 (en) | Gateway, relay method and program | |
| US20050160477A1 (en) | Communication system using home gateway and access server for preventing attacks to home network | |
| WO2007131415A1 (en) | System and method to manage home network | |
| JP2005339093A (en) | Authentication method, authentication system, authentication proxy server, network access authenticating server, program, and storage medium | |
| JPWO2004105333A1 (en) | Secure virtual private network | |
| WO2008022589A1 (en) | A system and method for authenticating the accessing request for the home network | |
| WO2020083288A1 (en) | Safety defense method and apparatus for dns server, and communication device and storage medium | |
| CN112019434B (en) | WEB centralized management method and device for networking equipment | |
| WO2010003354A1 (en) | An authentication server and a control method for the mobile communication terminal accessing the virtual private network | |
| US20100030346A1 (en) | Control system and control method for controlling controllable device such as peripheral device, and computer program for control | |
| WO2006058493A1 (en) | A method and system for realizing the domain authentication and network authority authentication | |
| WO2008034355A1 (en) | The method, device and system for network service authenticating | |
| KR100763131B1 (en) | Access and Registration Method for Public Wireless LAN Service | |
| WO2010000157A1 (en) | Configuration method, device and system for access device | |
| WO2007138663A1 (en) | Network access control method, network access control system, authentication device, access control device, proxy request device, and access request device | |
| WO2005076563A1 (en) | A method for the direct communication between the operation maintenance client-side and the remote devices | |
| JP3953963B2 (en) | Packet communication device with authentication function, network authentication access control server, and distributed authentication access control system | |
| JP3863441B2 (en) | Authentication access control server device, authentication access control method, authentication access control program, and computer-readable recording medium recording the program | |
| JP2013517718A (en) | Method and system for accessing a network in a public facility | |
| JP4152753B2 (en) | Network authentication access control server, application authentication access control server, and integrated authentication access control system | |
| JP4149745B2 (en) | Authentication access control server device, authentication access control method, authentication access control program, and computer-readable recording medium recording the program | |
| JP2003273868A (en) | Authentication access control server device, gateway device, authentication access control method, gateway control method, authentication access control program and recording medium with the program stored, and gateway control program and recording medium with the program stored |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050125 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20050617 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070131 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070323 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070418 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070425 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100511 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110511 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120511 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |