JP2009258965A

JP2009258965A - 認証システム、認証装置、通信設定装置および認証方法

Info

Publication number: JP2009258965A
Application number: JP2008106797A
Authority: JP
Inventors: Seiichi Sakatani; 精一坂谷
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2008-04-16
Filing date: 2008-04-16
Publication date: 2009-11-05
Anticipated expiration: 2028-04-16
Also published as: JP4965499B2

Abstract

【課題】端末装置４への接続を許可する前の利用者の認証を、当該接続の終了に伴って無効化する。
【解決手段】ＳＳＥ２１は、端末装置４と通信先との接続の許可を要求する接続要求信号をＳＳＣ３１へ送信する。ＳＳＣ３１は、当該接続要求信号内の端末装置４のＩＰアドレスが加入者データ蓄積部３１４に記憶されている場合、端末装置４と通信先との接続を許可するようＳＳＥ２１へ指示する。また、ＳＳＣ３１は、当該接続の切断を要求する切断要求信号がＳＳＥ２１から送信されてきた場合、当該接続を禁止するようＳＳＥ２１に指示する。ＳＳＥ２１は、ＳＳＣ３１からの指示に従って、端末装置４と通信先との接続を許可または禁止に設定する。
【選択図】図１

Description

本発明は、認証システム、認証装置、通信設定装置および認証方法に関する。

ネットワークの加入者に対して、各種の情報通信サービスを提供するための基盤ネットワークの普及が進んでいる。このような基盤ネットワークの１つとしては、例えば、ＮＧＮ（Next Generation Network）がある。なお、ＮＧＮとは、電話サービスをはじめ、固定通信と移動通信とを融合したサービスや将来的な情報通信サービスを提供するためのネットワークである。

このような基盤ネットワークでは、各種の情報通信サービスを提供する際の安全性を向上させることが重要な課題の１つとなる。安全性を向上させることとは、例えば、なりすまし等による第３者による不正な侵入を防止することにより、正当な利用者のみが基盤ネットワークや情報通信サービスを提供するアプリケーションにアクセスできるようにすることである。そのためには、利用者の認証をどのように行うかが重要になる。

利用者を認証する方法としては、例えば、利用者が使用する端末装置とその通信先の装置（例えば、アプリケーションサーバやコンテンツサーバなどのサービス提供サーバ）との接続に先立って、利用者の認証を行う一般的な方法がある。このような一般的な認証方法を用いる場合、端末装置とサービス提供サーバとの間に利用者を認証するための認証サーバを設けることが多い。

このような認証サーバは、例えば、利用者が入力したユーザＩＤとパスワードとに基づいて、当該利用者の認証を行う。そして、利用者の認証が成功した場合、認証サーバは、認証が成功したことを示す証明書を生成し、生成した証明書を端末装置へと送信する。

端末装置は、認証サーバから送信されてきた証明書を受信し、受信した証明書をサービス提供サーバへと送信する。サービス提供サーバは、端末装置から送信されてきた証明書に基づいて、当該端末装置にサービスを提供してもよいかどうかを判別する。サービスを提供してもよいと判別した場合、サービス提供サーバは、端末装置に対してサービス提供サーバへの接続を許可する。

また、上述の一般的な認証方法を用いる認証システムにおいて、安全性をさらに向上させるための様々な技術が考えられている。

例えば、利用者や利用者のロケーションに応じたパケットフィルタリングやアクセス制御を行い、無線ＬＡＮや移動体通信網を用いた企業ネットワークにおける不正なアクセスを抑制することができる認証サーバ装置が考えられている（例えば、特許文献１参照。）。

特許文献１に開示された技術によれば、利用者の認証が成功した場合、認証サーバは、ユーザＩＤに基づいて利用者を特定するとともに、端末装置から送信されてきた認証要求信号に含まれる送信元のＩＰアドレスなどに基づいて端末装置のロケーションを特定する。そして、特定したロケーションに対応する接続許可設定情報をデータベースから検索し、検索された接続許可設定情報を、サービス提供用のサービス提供サーバに対して設定する。さらに、認証サーバは、認証の成功を示す証明書を端末装置へと送信する。端末装置は、サービス提供サーバに対してサービスの提供を要求する際、認証サーバからの証明書をサービス提供サーバへと送信する。サービス提供サーバが当該証明書に基づいて端末装置に対して接続を許可した場合、認証サーバが設定した接続許可設定情報が示す設定内容に従った接続を用いて、端末装置とサービス提供サーバとが通信を実行する。

また、例えば、安全性を高く維持しつつ、サービス提供サーバが認証機能を有しているかどうかに関わらずスループットの低下を起こりにくくする認証アクセス制御サーバ装置が考えられている（例えば、特許文献２参照。）。

特許文献２に開示された技術によれば、認証アクセス制御サーバ装置は、端末装置から接続が要求されたサービス提供サーバと端末装置との接続を許可するための認証が以前に行われているかどうかを判別する。当該認証が以前に１度も行われていない場合、認証アクセス制御サーバ装置は、端末装置の利用者を認証するための認証用情報を端末装置から受信する。そして、認証アクセス制御サーバ装置は、端末装置から接続が要求されたサービス提供サーバが認証機能を有していない場合、端末装置からの認証用情報を用いて利用者の認証を行う。また、認証アクセス制御サーバ装置は、接続が要求されたサービス提供サーバが認証機能を有している場合、当該サービス提供サーバに対して、端末装置からの認証用情報を用いて利用者を認証するように要求する。なお、サービス提供サーバと端末装置との接続を許可するための認証が一旦行われてしまえば、それ以降、サービス提供サーバと端末装置とは、認証アクセス制御サーバ装置を介することなく直接通信を行う。
特開２００４−０６２４１７号公報特開２００３−２４２１０９号公報

しかしながら、特許文献１に開示された技術によれば、端末装置すべてとサービス提供サーバとが証明書の送受信を行わなければならない。そのため、端末装置すべてとサービス提供サーバすべてとに、証明書を処理するための手段を設けなければ、端末装置へのサービスの提供ができないという問題点がある。また、各端末装置および各サービス提供サーバそれぞれに証明書の処理用の手段を設けることにより、認証システムの構成が複雑化するとともに、構成の複雑化に伴って、認証システム全体の価格も高くなってしまうという問題点がある。

また、利用者の認証をすることにより安全性を高めるためには、端末装置へのサービス提供を行うたびに、利用者を認証することが望ましい。

しかしながら、特許文献１に開示された技術によれば、端末装置が認証サーバから証明書を一旦取得してしまえば、当該端末装置が複数のサービス提供サーバそれぞれと接続する場合でも、同一の証明書を用いて各サービス提供サーバに接続することができてしまうという問題点がある。これは、証明書は、有効期限が経過するまで無効とならないため、サービス提供サーバと接続するための通信セッションの終了ごとに無効とならないためである。

また、特許文献２に開示された技術によれば、端末装置とサーバ提供装置との接続を許可するための利用者の認証を認証サーバが一旦実行してしまえば、それ以降は、端末装置の利用者の認証が行われないまま、端末装置とサービス提供サーバとの接続が可能となってしまう。そのため、特許文献２に開示された技術でも、端末装置へのサービス提供を行うごとに、利用者を認証することができないという問題点がある。

本発明は、上述した課題を解決する認証システム、認証装置、通信設定装置および認証方法を提供することを目的とする。

上記課題を解決するために、本発明の認証システムは、利用者が使用する端末装置と、該利用者を認証する認証装置と、該端末装置と該認証装置とに接続されており該端末装置と該端末装置の通信先との接続を制御する通信設定装置とを具備する認証システムであって、前記認証装置は、前記端末装置を識別するための識別情報を記憶する加入者データ蓄積部と、前記端末装置と前記通信先との接続の許可を要求するための接続要求信号を、前記通信設定装置から受信する受信部と、前記受信部が受信した前記接続要求信号に含まれている前記識別情報が、前記加入者データ蓄積部に記憶されているかどうかを判別する認証部と、前記識別情報が前記加入者データ蓄積部に記憶されていると前記認証部が判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示する接続制御指示部と、を有し、前記通信設定装置は、前記端末装置から送信されてきた前記接続要求信号を、前記認証装置へと送信する送信部と、前記接続制御指示部から前記端末装置と前記通信先との接続を許可するよう指示された場合に、該端末装置と該通信先との接続を許可するように設定し、該接続制御指示部から該端末装置と該通信先との接続を禁止するよう指示された場合に、該端末装置と該通信先との接続を禁止するように設定する設定部とを有する。

また、本発明の認証システムは、通信設定装置から送信された接続要求信号の所定箇所に含まれている識別情報に対して識別情報変換を施し、識別情報変換された識別情報を含む接続要求信号を認証装置へと送信する識別情報変換装置、を有し、加入者データ蓄積部は、端末装置の識別情報と、識別情報変換装置にて識別情報変換された識別情報とを対応付けてあらかじめ記憶しており、認証部は、識別情報変換装置から送信されてきた接続要求信号に含まれる識別情報と、識別情報変換装置にて識別情報変換された識別情報とが、加入者データ蓄積部にて対応付けられて記憶されているかどうかを判別し、接続制御指示部は、接続要求信号に含まれる識別情報と識別情報変換された識別情報とが加入者データ蓄積部にて対応付けられて記憶されていると認証部が判別した場合、通信設定装置に対して、端末装置と通信先との接続を許可するように指示し、端末装置と通信先との接続の切断を要求するための切断要求信号が通信設定装置から送信されてきた場合、通信設定装置に対して、端末装置と通信先との接続を禁止するように指示してもよい。

上記課題を解決するために、本発明の認証装置は、利用者が使用する端末装置と該端末装置の通信先との接続を制御する通信設定装置と接続された認証装置であって、前記端末装置を識別するための識別情報を記憶する加入者データ蓄積部と、前記端末装置と前記通信先との接続の許可を要求するための接続要求信号を、前記通信設定装置から受信する受信部と、前記受信部が受信した前記接続要求信号に含まれている前記識別情報が、前記加入者データ蓄積部に記憶されているかどうかを判別する認証部と、前記識別情報が前記加入者データ蓄積部に記憶されていると前記認証部が判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示する接続制御指示部とを有する。

また、本発明の認証装置は、識別情報が加入者データ蓄積部に記憶されていると認証部が判別した場合、通信設定装置が端末装置と通信先とを接続するためのポート番号を含む接続許可設定情報を生成し、切断要求信号が通信設定装置から送信されてきた場合、通信設定装置が端末装置と通信先との接続を切断するためのポート番号を含む接続禁止設定情報を生成する設定情報生成部と、接続制御指示部が通信設定装置に対して端末装置と通信先との接続を許可するように指示した場合、接続許可設定情報を通信設定装置へと送信し、接続制御指示部が通信設定装置に対して端末装置と通信先との接続を禁止するように指示した場合、接続禁止設定情報を通信設定装置へと送信する設定情報送信部と、を有してもよい。

また、本発明の認証装置は、通信設定装置から送信された接続要求信号の所定箇所に含まれている識別情報に対して識別情報変換を施し、識別情報変換された識別情報を含む接続要求信号を認証装置へと送信する識別情報変換装置と接続されており、加入者データ蓄積部は、端末装置の識別情報と、識別情報変換装置にて識別情報変換された識別情報とを対応付けてあらかじめ記憶しており、認証部は、識別情報変換装置から送信されてきた接続要求信号に含まれる識別情報と、識別情報変換装置にて識別情報変換された識別情報とが、加入者データ蓄積部にて対応付けられて記憶されているかどうかを判別し、接続制御指示部は、接続要求信号に含まれる識別情報と識別情報変換された識別情報とが加入者データ蓄積部にて対応付けられて記憶されていると認証部が判別した場合、通信設定装置に対して、端末装置と通信先との接続を許可するように指示し、端末装置と通信先との接続の切断を要求するための切断要求信号が通信設定装置から送信されてきた場合、通信設定装置に対して、端末装置と通信先との接続を禁止するように指示してもよい。

上記課題を解決するために、本発明の通信設定装置は、利用者が使用する端末装置と、該利用者を認証する認証装置とに接続された通信設定装置であって、前記端末装置から送信されてきた該端末装置と該端末装置の通信先との接続の許可を要求するための接続要求信号を、前記認証装置へと送信する送信部と、前記認証装置から前記端末装置と前記通信先との接続を許可するよう指示された場合に、該端末装置と該通信先との接続を許可するように設定し、該認証装置から該端末装置と該通信先との接続を禁止するよう指示された場合に、該端末装置と該通信先との接続を禁止するように設定する設定部とを有する。

また、本発明の通信設定装置の設定部は、認証装置から送信されてきた端末装置と通信先とを接続するためのポート番号を含む接続許可設定情報を用いて端末装置と通信先との接続を許可するように設定し、認証装置から送信されてきた端末装置と通信先との接続を切断するためのポート番号を含む接続禁止設定情報を用いて、端末装置と通信先との接続を禁止するように設定してもよい。

上記課題を解決するために、本発明の認証方法は、利用者が使用する端末装置と、該利用者を認証する認証装置と、該端末装置と該認証装置とに接続されており該端末装置と該端末装置の通信先との接続を制御する通信設定装置とを具備する認証システムにおける認証方法であって、前記通信設定装置が、前記端末装置から送信されてきた該端末装置と前記通信先との接続の許可を要求するための接続要求信号を、前記認証装置へと送信する送信処理と、前記認証装置が、前記端末装置を識別するための識別情報を記憶する加入者データ蓄積処理と、前記認証装置が、前記送信処理にて送信されてきた前記接続要求信号を前記通信設定装置から受信する受信処理と、前記認証装置が、前記受信処理にて受信した前記接続要求信号に含まれている前記端末装置を識別するための識別情報が、前記加入者データ蓄積処理にて記憶されているかどうかを判別する認証処理と、前記認証装置が、前記識別情報が前記加入者データ蓄積処理にて記憶されていると前記認証処理にて判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示する接続制御指示処理と、前記通信設定装置が、前記接続制御指示処理にて前記端末装置と前記通信先との接続を許可するよう前記認証装置から指示された場合に、該端末装置と該通信先との接続を許可するように設定し、該接続制御指示処理にて該端末装置と該通信先との接続を禁止するよう該認証装置から指示された場合に、該端末装置と該通信先との接続を禁止するように設定する設定処理とを有する。

また、本発明の認証方法は、認証システムが、通信設定装置から送信された接続要求信号の所定箇所に含まれている識別情報に対して識別情報変換を施し、識別情報変換された識別情報を含む接続要求信号を認証装置へと送信する識別情報変換装置、を具備している場合、加入者データ蓄積処理では、端末装置の識別情報と、識別情報変換装置にて識別情報変換された識別情報とを対応付けてあらかじめ記憶し、認証処理では、識別情報変換装置から送信されてきた接続要求信号に含まれる識別情報と、識別情報変換装置にて識別情報変換された識別情報とが、加入者データ蓄積処理にて対応付けられて記憶されているかどうかを判別し、接続制御指示処理では、接続要求信号に含まれる識別情報と識別情報変換された識別情報とが加入者データ蓄積処理にて対応付けられて記憶されていると認証処理にて判別した場合、通信設定装置に対して、端末装置と通信先との接続を許可するように指示し、端末装置と通信先との接続の切断を要求するための切断要求信号が通信設定装置から送信されてきた場合、通信設定装置に対して、端末装置と通信先との接続を禁止するように指示してもよい。

本発明によれば、利用者が使用する端末装置と、利用者を認証する認証装置と、端末装置と認証装置とに接続されており端末装置と端末装置の通信先との接続を制御する通信設定装置とを具備する認証システムにおいて、通信設定装置が、端末装置から送信されてきた端末装置と通信先との接続の許可を要求するための接続要求信号を、認証装置へと送信し、認証装置が、端末装置を識別するための識別情報を記憶し、送信されてきた接続要求信号を通信設定装置から受信し、受信した接続要求信号に含まれている端末装置を識別するための識別情報が記憶されているかどうかを判別し、識別情報が記憶されていると判別した場合、通信設定装置に対して、端末装置と通信先との接続を許可するように指示し、端末装置と通信先との接続の切断を要求するための切断要求信号が通信設定装置から送信されてきた場合に、通信設定装置に対して、端末装置と通信先との接続を禁止するように指示し、通信設定装置が、端末装置と通信先との接続を許可するよう認証装置から指示された場合に、端末装置と通信先との接続を許可するように設定し、端末装置と通信先との接続を禁止するよう認証装置から指示された場合に、端末装置と通信先との接続を禁止するように設定する構成としたため、端末装置と当該端末装置の通信先とを接続する前に行われた利用者の認証を、当該接続を用いた通信の終了に伴って無効化できる。

（実施形態１）
以下、本発明の実施形態１に従った認証システム（認証装置、通信設定装置、認証方法およびプログラムを含む）を説明する。

まず、実施形態１の認証システムの全体構成を説明する。

図1に示すように、この認証システムは、ネットワーク１と、端末装置４とから構成される。

ネットワーク１は、端末装置４から送信されてきたパケットを当該端末装置４の通信先である他の装置（図示せず）へと送信する。また、ネットワーク１は、端末装置４の通信先から送信されてきたパケットを端末装置４へと送信する。

ここでいう通信先とは、例えば、端末装置４に対して各種の情報通信サービスなどを提供するサービス提供サーバでもよい。また、例えば、認証システム内に複数の端末装置４が存在する場合、パケットを送信する端末装置４と異なる他の端末装置４でもよい。

なお、ネットワーク１の形態については特に限定しないが、この説明例では、ネットワーク１が、ＮＧＮである場合を例に挙げて説明する。

また、以下では、ネットワーク１が端末装置４とその通信先とを接続するセッション（呼）を制御するための呼制御プロトコルとして、ＳＩＰ（Session Initiation Protocol）を用いる場合を例に挙げて説明する。

また、ネットワーク１と端末装置４との間の通信方式については、特に限定しない。例えば、通信方式が無線通信方式である場合、一般的な無線通信インタフェースを介した無線通信を行ってもよい。また、例えば、通信方式が有線通信方式である場合、イーサネット（登録商標）を介した有線通信を行ってもよい。

ネットワーク１（ＮＧＮ）は、例えば、パケットベースのネットワークであって、パケット転送層２とサービス制御層３とから構成される。

パケット転送層２は、パケットの転送機能を果たす論理的な層である。パケット転送層２は、ＳＳＥ（Subscriber Service Edge）２１と、ＩＢＥ（Intermediate Border gateway Equipment）２２とから構成される。

ＳＳＥ２１は、例えば、ルータで構成され、端末装置４と端末装置４の通信先との間で送受信されるパケットを中継する。つまり、ＳＳＥ２１は、端末装置４の利用者（つまり、ネットワーク１の加入者）側のルータとして機能する。

また、ＳＳＥ２１は、端末装置４と端末装置４の通信先との間の接続を許可と禁止とのどちらか一方に設定する一般的なファイアウォールの機能も具備する「通信設定装置」である。

ＩＢＥ２２は、例えば、ルータで構成され、ネットワーク１と、ネットワーク１以外の他のネットワーク（図示せず）との間で、パケットの送受信を行う。

サービス制御層３は、各種サービスの制御機能を果たす論理的な層である。サービス制御層３は、ＳＳＣ（Subscriber Session Control server）３１と、ＩＳＣ（Intermediate Session Control server）３２との２階梯の制御装置によって構成される。

ＳＳＣ３１は、端末装置４からの発信時に、当該端末装置４から送信されてくる後述の「接続要求信号」内の端末装置４の「識別情報」を用いて、利用者の認証を行う「認証装置」である。

この説明例では、端末装置４の「識別情報」が、端末装置４のＩＰアドレスやポート番号である場合を例に挙げて説明する。

また、ＳＳＣ３１は、利用者の認証が成功した場合、端末装置４の通信先となる端末装置４以外の他の装置を呼び出す。

さらに、ＳＳＣ３１は、自己が呼び出した通信先が応答した場合、端末装置４を収容しているＳＳＥ２１に対して、端末装置４と応答した通信先との接続を許可するように指示する。例えば、ＳＳＣ３１は、ＳＳＥ２１に、ファイアウォールの設定の変更により、端末装置４からその通信先へのパケットを送信可能なセッションに対応するポート番号を開くように指示する。

また、ＳＳＣ３１は、端末装置４とその通信先との接続を用いた通信が終了した場合（例えば、終話時）、ＳＳＥ２１に対して、端末装置４とその通信先との接続を禁止するように、つまり、当該接続を切断するように指示する。例えば、ＳＳＣ３１は、ＳＳＥ２１に、ファイアウォールの設定の変更により、接続が許可されているセッションに対応するポート番号を閉じるように指示する。

ＩＳＣ３２は、ネットワーク１と他のネットワークとの間の接続を制御するサーバである。

端末装置４は、例えば、所定の情報処理装置で構成され、「ＳＩＰクライアント」に相当するものである。

端末装置４は、利用者が行う操作に応じて、各種の処理を実行する。

例えば、端末装置４は、「接続要求信号」を送信することにより、ＳＳＣ３１に対して認証を要求する。なお、この説明例では、接続要求信号が、ＩＮＶＩＴＥパケットＰＩである場合を例に挙げて説明する。

ここでいう「ＩＮＶＩＴＥパケットＰＩ」とは、例えば、ＲＦＣ３３１１の定義に従った場合、ＳＩＰクライアント（この例では、端末装置４）がその通信先（例えば、サービス提供サーバなど）への接続を要求するためのパケットである。

なお、ＳＳＥ２１、ＩＢＥ２２、ＳＳＣ３１、ＩＳＣ３２および端末装置４それぞれの台数は、任意でよい。また、ＳＳＥ２１、ＩＢＥ２２、ＳＳＣ３１およびＩＳＣ３２は、それぞれ独立した筺体で構成するに限らず、同一の筺体内に収容された構成を有していてもよい。

つぎに、「通信設定装置」であるＳＳＥ２１の構成について、詳細に説明する。

図２に示すように、ＳＳＥ２１は、パケット送受信部２１１と、設定部２１２とを有する。

パケット送受信部２１１は、例えば、通信モジュールで構成され、端末装置４、ＳＳＣ３１およびＩＢＥ２２との間でパケットの送受信を行う。例えば、パケット送受信部２１１は、端末装置４やＳＳＣ３１から送信されてきた各種のＳＩＰ信号を受信する。

ＳＩＰ信号を受信する場合、例えば、パケット送受信部２１１は、端末装置４とその通信先との接続を要求するための接続要求信号（ＩＮＶＩＴＥパケットＰＩ）を端末装置４から受信する。

さらに、パケット送受信部２１１（「送信部」）は、「送信処理」を実行し、端末装置４から送信されてきた接続要求信号を、ＳＳＣ３１（認証装置）へと送信する。

また、例えば、パケット送受信部２１１は、端末装置４とその通信先との接続を切断するよう要求するための「切断要求信号」を端末装置４から受信する。以下では、「切断要求信号」がＢＹＥパケットＰＢである場合を例に挙げて説明する。

ここでいうＢＹＥパケットＰＢとは、例えば、ＲＦＣ２０６０などに従った場合、端末装置４がその通信先との間の接続の切断を要求していることを示すパケットである。

また、パケット送受信部２１１は、ＳＳＣ３１から送信されてきた接続指示信号ＣＡまたは切断指示信号ＣＣを受信する。

なお、「接続指示信号ＣＡ」とは、端末装置４とその通信先との接続を許可することを指示する信号である。また、「切断指示信号ＣＣ」とは、端末装置４とその通信先との接続を禁止することを指示する信号である。

さらに、パケット送受信部２１１（「設定情報受信部」）は、ＳＳＣ３１から送信されてきた後述の接続許可設定情報４０１または接続禁止設定情報４０２を受信する。

設定部２１２は、ＳＳＣ３１からの接続指示信号ＣＡに従って、端末装置４とその通信先との接続を許可する。この場合、設定部２１２は、パケット送受信部２１１が受信した接続許可設定情報４０１に基づいて、端末装置４とその通信先とを接続する。

また、設定部２１２は、ＳＳＣ３１からの切断指示信号ＣＣに従って、端末装置４とその通信先との接続を禁止する。この場合、設定部２１２は、パケット送受信部２１１が受信した接続禁止設定情報４０２に基づいて、端末装置４とその通信先との接続を切断する。

より具体的には、設定部２１２は、接続許可設定情報４０１と接続禁止設定情報４０２とのいずれかに従って、自己が記憶している接続可否設定情報４０５を書き換える。そして、書き換えた接続可否設定情報４０５を用いて、ファイアウォールの開閉を制御する。

設定部２１２は、例えば、接続許可設定情報４０１が示す設定内容に従って、端末装置４とその通信先とを接続するセッションに対応するポート番号を開くようにファイアウォールの設定を変更する。

また、設定部２１２は、接続禁止設定情報４０２が示す設定内容に従って、端末装置４とその通信先とを接続するセッションに対応するポート番号を閉じるようにファイアウォールの設定を変更する。

つぎに、「認証装置」であるＳＳＣ３１の構成について詳細に説明する。

図３に示すように、ＳＳＣ３１は、パケット送受信部３１１と、パケット識別部３１２と、認証部３１３と、加入者データ蓄積部３１４と、設定情報生成部３１５と、接続制御指示部３１６と、規制条件記憶部３１７と、規制部３１８と、通知部３１９とを有する。

パケット送受信部３１１は、例えば、通信モジュールで構成され、ＳＳＥ２１またはＩＳＣ３２との間でパケットの送受信を行う。

パケット送受信部３１１（「受信部」）は、「受信処理」を実行し、ＳＳＥ２１またはＩＳＣ３２から送信されてきた各種のＳＩＰ信号を受信する。

この「受信処理」において、パケット送受信部３１１（受信部）は、例えば、ＳＳＥ２１が端末装置４から受信して送信してきた接続要求信号（ＩＮＶＩＴＥパケットＰＩ）をＳＳＥ２１から受信する。

また、例えば、パケット送受信部３１１は、端末装置４から接続要求信号が送信された場合、ＩＳＣ３２からの「接続許可信号」を受信する。

以下では、「接続許可信号」が、端末装置４から送信された接続要求信号に対応するＯＫパケットＰＯである場合を例に挙げて説明する。

ここでいう「ＯＫパケットＰＯ」とは、例えば、クライアントからの要求がその要求先にて受信および識別されたことを示すパケットである。なお、ＯＫパケットＰＯの状態をＲＦＣ（Request For Comment）２６１６が定義するステータスコードで表わした場合、ステータスコード「２００」に相当する。

また、例えば、パケット送受信部３１１は、ＳＳＥ２１が端末装置４から受信して送信してきた切断要求信号（ＢＹＥパケットＰＢ）をＳＳＥ２１から受信する。

また、例えば、パケット送受信部３１１は、端末装置４から切断要求信号が送信された場合、ＩＳＣ３２からの「切断許可信号」を受信する。

以下では、「切断許可信号」が、端末装置４から送信された切断要求信号（ＢＹＥパケットＰＢ）に対応するＯＫパケットＰＯである場合を例に挙げて説明する。

また、パケット送受信部３１１は、ＳＳＥ２１またはＩＳＣ３２へと各種のＳＩＰ信号などを送信する。

例えば、パケット送受信部３１１は、認証部３１３による利用者の認証が成功した場合、端末装置４とその通信先との接続を要求するＩＮＶＩＴＥパケットＰＩをＩＳＣ３２へと送信する。

また、パケット送受信部３１１は、端末装置４とその通信先との接続を許可するようにＳＳＥ２１に対して指示する接続指示信号ＣＡ、または、当該接続を禁止するようにＳＳＥ２１に対して指示する切断指示信号ＣＣを、ＳＳＥ２１へと送信する。

さらに、パケット送受信部３１１（「設定情報送信部」）は、設定情報生成部３１５が生成した接続許可設定情報４０１または接続禁止設定情報４０２を、ＳＳＥ２１（通信設定装置）へと送信する。

パケット識別部３１２は、ＳＳＥ２１またはＩＳＣ３２からそれぞれ送信されてきたパケットの種類を識別する。

より具体的には、パケット識別部３１２は、ＳＳＥ２１またはＩＳＣ３２からの各パケットが、ＩＮＶＩＴＥパケットＰＩ（接続要求信号）と、ＩＮＶＩＴＥパケットＰＩに対応するＯＫパケットＰＯ（接続許可信号）と、ＢＹＥパケットＰＢ（切断要求信号）と、ＢＹＥパケットＰＢに対応するＯＫパケットＰＯ（切断許可信号）と、後述するＲＥＧＩＳＴＥＲパケットＰＲ（登録要求信号）とのうちのいずれであるかを識別する。

認証部３１３は、「認証処理」を実行し、端末装置４からの接続要求信号（ＩＮＶＩＴＥパケットＰＩ）に含まれている「識別情報」が加入者データ蓄積部３１４内の「登録識別情報４０３」に登録されているかどうかに基づいて、利用者の認証が成功したかどうか（つまり、認証の成功または失敗）を判別する。

なお、認証部３１３が認証に用いる端末装置４からのＩＮＶＩＴＥパケットＰＩに含まれている識別情報については、特に限定しないが、以下の説明例では、ＩＮＶＩＴＥパケットＰＩのヘッダに含まれている識別情報（端末装置４のＩＰアドレスやポート番号）である場合を例に挙げて説明する。なお、ここでいうＩＰアドレスとは、グローバルアドレスとプライベートアドレスとのいずれであってもよい。

認証部３１３は、端末装置４からのＩＮＶＩＴＥパケットＰＩに含まれている識別情報が登録識別情報４０３に登録されている場合、利用者の認証が成功した、つまり、認証した者は登録識別情報４０３に登録された正当な利用者であると判別する。

また、認証部３１３は、端末装置４からのＩＮＶＩＴＥパケットＰＩに含まれている識別情報が登録識別情報４０３に登録されていない場合、利用者の認証が成功しなかった、つまり、認証が失敗し、認証した者は登録識別情報４０３に登録されていない不正な利用者であると判別する。

加入者データ蓄積部３１４は、「加入者データ蓄積処理」を実行し、端末装置４のＩＰアドレスやポート番号を、登録識別情報４０３へと記憶する。

ここでいう「登録識別情報４０３」とは、利用者が使用する端末装置４それぞれを一意に識別するためにあらかじめ登録された、端末装置４の識別情報（端末装置４のＩＰアドレスおよびポート番号）を示す情報である。

さらに、登録識別情報４０３に登録されているＩＰアドレスとは、グローバルアドレスとプライベートアドレスとのどちらか一方でもよい。

また、認証システムでは、端末装置４におけるＩＰアドレスの設定を簡素化する観点から、ネットワーク１へとアクセスしてきた端末装置４に対してＩＰアドレスを自動的に割り当てるＤＨＣＰ（Dynamic Host Configuration Protocol）サーバが設けられている場合もある。

この場合、パケット送受信部３１１は、端末装置４のＩＰアドレスを当該ＤＨＣＰサーバから受信する。加入者データ蓄積部３１４は、受信したＩＰアドレスを登録識別情報４０３のうちに記憶する。

なお、加入者データ蓄積部３１４は、「登録要求信号」によって登録が要求された端末装置４のＩＰアドレスやポート番号を、登録識別情報４０３へと記憶する。この説明例では、「登録要求信号」が、ＳＩＰ信号のうちの１つである「ＲＥＧＩＳＴＥＲパケットＰＲ」である場合を例に挙げて説明する。

設定情報生成部３１５は、端末装置４とその通信先との接続を許可する設定の際にＳＳＥ２１が用いる接続許可設定情報４０１、または、当該接続を禁止する設定の際にＳＳＥ２１が用いる接続禁止設定情報４０２を生成する。

より具体的には、設定情報生成部３１５は、ＳＳＥ２１が端末装置４とその通信先とを接続するためのポート番号を開くための「接続許可設定情報４０１」を生成する。

例えば、接続許可設定情報４０１は、図４（ａ）に示すように、送信元と、送信先と、当該送信元と当該送信先との間の接続を確立するためのポート番号とを対応付ける情報である。

また、設定情報生成部３１５は、ＳＳＥ２１が端末装置４とその通信先とを接続するためのポート番号を閉じるための「接続禁止設定情報４０２」を生成する。

例えば、接続禁止設定情報４０２は、図４（ｂ）に示すように、送信元と、送信先と、当該送信元と当該送信先との間の接続を切断するためのポート番号とを対応付ける情報である。

接続制御指示部３１６は、「接続制御指示処理」を実行し、利用者の認証が成功したと認証部３１３が判別した場合、ＳＳＥ２１（通信設定装置）に対して、端末装置４とその通信先との接続を許可するように指示する。この場合、パケット送受信部３１１は、接続指示信号ＣＡをＳＳＥ２１へと送信する。

また、「接続制御指示処理」において、接続制御指示部３１６は、端末装置４とその通信先との接続の切断を要求するための切断要求信号がＳＳＥ２１から送信されてきた場合に、ＳＳＥ２１に対して、端末装置４とその通信先との接続を禁止するように指示する。この場合、パケット送受信部３１１は、切断指示信号ＣＣをＳＳＥ２１へと送信する。

規制条件記憶部３１７は、規制条件情報４０４を記憶する。

規制条件情報４０４は、認証部３１３による利用者の認証が失敗した場合、つまり、認証した者が不正な利用者であると認証部３１３が判別した場合に、端末装置４によるネットワーク１の利用に関して規制をかけるための規制条件を示す情報である。なお、規制条件情報４０４のデータ構造については、特に限定しない。また、規制条件情報４０４は、管理者により編集可能でもよい。

規制部３１８は、規制条件情報４０４が示す規制条件に基づいて、認証部３１３により不正な利用者であると判別された利用者に対して、ネットワーク１の使用に関する各種の規制（例えば、ロックアウト）をかけるための処理を実行する。

なお、規制部３１８は、規制条件情報４０４が示す規制条件を端末装置４の利用者が満たしているかどうかに基づいて、不正な利用者に対する規制を行う。この規制条件とは、例えば、端末装置４の利用者の認証の失敗回数に応じてネットワーク１の使用に規制をかけるための所定回数などである。この場合、当該所定回数よりも認証の失敗回数が大きくなった場合、規制部３１８は、不正な利用者に対する規制をかける。

通知部３１９は、認証部３１３による認証により判別された不正な利用者に対して規制をかけた場合、当該規制をかけた旨を管理者へと通知する。ここで、管理者へと通知するための方法については特に限定しないが、例えば、通知用のアラーム音の出力、通知用の画面の表示および通知用のメッセージの送信などの一般的な通知方法でよい。なお、通知部３１９からの通知を受けた管理者は、規制部３１８による規制を解除するための操作を行ってもよい。

つぎに、上記構成を有する実施形態１の認証システムが、利用者の認証結果に基づいて、端末装置４とその通信先との間の接続を許可または禁止する動作を説明する。

まず、端末装置４と、端末装置４からのパケットの送信先である他の装置（図示せず）との接続を許可する場合について説明する。

図５に示すように、端末装置４は、パケットの送信先との接続を許可することを要求するためのＩＮＶＩＴＥパケットＰＩ（接続要求信号）を、ＳＳＥ２１へと送信する。

ＳＳＥ２１のパケット送受信部２１１は、端末装置４からのＩＮＶＩＴＥパケットＰＩを受信して、受信したＩＮＶＩＴＥパケットＰＩをＳＳＣ３１へと送信する。

ＳＳＣ３１のパケット送受信部３１１（受信部）は、ＳＳＥ２１から送信されてきたＩＮＶＩＴＥパケットＰＩを受信する。

認証部３１３は、ＳＳＥ２１からのＩＮＶＩＴＥパケットＰＩのヘッダに含まれている端末装置４のＩＰアドレスが、加入者データ蓄積部３１４内の登録識別情報４０３に登録されているかどうかに基づいて、利用者を認証する（ステップＳ１）。端末装置４のＩＰアドレスが登録識別情報４０３に登録されている場合、認証部３１３は、利用者の認証が成功したと判別する。

認証が成功したと判別した場合、ＳＳＣ３１のパケット送受信部３１１は、ＩＮＶＩＴＥパケットＰＩをＩＳＣ３２へと送信する。

ＩＳＣ３２は、ＳＳＣ３１からのＩＮＶＩＴＥパケットＰＩ（接続要求信号）を受信した場合、当該接続要求信号が通信先にて受信され識別されたことを示すＯＫパケットＰＯ（接続許可信号）をＳＳＣ３１へと送信する。

ＳＳＣ３１の設定情報生成部３１５は、ＩＳＣ３２からのＯＫパケットＰＯをパケット送受信部３１１が受信した場合、接続要求信号の送信元である端末装置４とその通信先との接続を許可する設定をＳＳＥ２１が行うための接続許可設定情報４０１を生成する。

また、ＳＳＣ３１の接続制御指示部３１６は、ＳＳＥ２１に対して、端末装置４とその通信先との接続を許可するように指示する（ステップＳ２）。

なお、接続の許可を指示する際、ＳＳＣ３１のパケット送受信部３１１は、接続指示信号ＣＡと接続許可設定情報４０１とをＳＳＥ２１へと送信する。

ＳＳＥ２１の設定部２１２は、ＳＳＣ３１からの接続指示信号ＣＡに従い、端末装置４とその通信先との接続を許可する。例えば、設定部２１２は、ＳＳＣ３１からの接続許可設定情報４０１を用いて、端末装置４とその通信先とを接続するセッションのポート番号を開けるようにファイアウォールの設定を変更する。

以上で、実施形態１の認証システムが、端末装置４とその通信先との接続を許可するための一連の動作が終了する。

つぎに、実施形態１の認証システムが、端末装置４とその通信先との間の接続を切断する場合について説明する。

図６に示すように、端末装置４は、その通信先と接続されている場合において当該接続を用いた通信が終了した場合（例えば、終話時）、当該接続を切断することを要求するためのＢＹＥパケットＰＢ（切断要求信号）をＳＳＥ２１へと送信する。

ＳＳＥ２１は、端末装置４からのＢＹＥパケットＰＢを受信して、受信したＢＹＥパケットＰＢをＳＳＣ３１へと送信する。

ＳＳＣ３１のパケット送受信部３１１は、ＳＳＥ２１から受信したＢＹＥパケットＰＢを、ＩＳＣ３２へと送信する。

ＩＳＣ３２は、ＳＳＣ３１からのＢＹＥパケットＰＢを受信した場合、当該ＢＹＥパケットＰＢ（切断要求信号）に対応するＯＫパケットＰＯ（切断許可信号）をＳＳＣ３１へと送信する。

ＳＳＣ３１の設定情報生成部３１５は、ＩＳＣ３２からのＯＫパケットＰＯ（切断許可信号）を受信した場合、端末装置４とその通信先との接続を禁止する設定をＳＳＥ２１が行うための接続禁止設定情報４０２を生成する。

また、ＳＳＣ３１の接続制御指示部３１６は、ＳＳＥ２１に対して、端末装置４とその通信先との接続を禁止するように指示する（ステップＳ３）。

なお、接続の禁止を指示する際、ＳＳＣ３１のパケット送受信部３１１は、切断指示信号ＣＣと接続禁止設定情報４０２とをＳＳＥ２１へと送信する。

ＳＳＥ２１の設定部２１２は、ＳＳＣ３１からの切断指示信号ＣＣに従い、端末装置４とその通信先との接続を禁止する。例えば、設定部２１２は、ＳＳＣ３１からの接続禁止設定情報４０２を用いて、端末装置４とその通信先とを接続するセッションのポート番号を閉じるようにファイアウォールの設定を変更する。

以上で、実施形態１の認証システムが、端末装置４とその通信先との接続を禁止するための一連の動作が終了する。

つぎに、ＳＳＥ２１またはＩＳＣ３２から送信されてきたパケットを受信したときのＳＳＣ３１の動作について、詳細に説明する。

図７に示すように、パケット送受信部３１１は、ＳＳＥ２１とＩＳＣ３２とのいずれかからそれぞれ送信されてきたパケットを受信する（ステップＳ１１）。

パケット識別部３１２は、ＳＳＥ２１またはＩＳＣ３２からのパケットの種類を識別する（ステップＳ１２）。

先ず、ステップＳ１２において、ＳＳＥ２１からのパケットがＩＮＶＩＴＥパケットＰＩ（接続要求信号）であるとパケット識別部３１２が識別した場合の動作について説明する。

ＩＮＶＩＴＥパケットＰＩであると識別した場合、認証部３１３は、ＳＳＥ２１からのＩＮＶＩＴＥパケットＰＩのヘッダに登録されているＩＰアドレスが、加入者データ蓄積部３１４内の登録識別情報４０３に登録されているかどうかに基づいて、利用者の認証が「成功」したかどうかを判別する（ステップＳ１３）。

認証部３１３は、ＩＮＶＩＴＥパケットＰＩのヘッダ内のＩＰアドレスが登録識別情報４０３に登録されている場合、利用者の認証が成功したと判別する。この場合、パケット送受信部３１１は、図５に示したＩＮＶＩＴＥパケットＰＩ（接続要求信号）をＩＳＣ３２へと送信する（ステップＳ１４）。

一方、ステップＳ１３において利用者の認証が失敗したと認証部３１３が判別した場合、規制部３１８は、規制条件記憶部３１７内の規制条件情報４０４が示す規制条件を満たしているかどうかを判別する（ステップＳ１５）。規制条件を満たしていると規制部３１８が判別した場合（例えば、認証の失敗回数が所定回数以下の場合）、パケット送受信部３１１がステップＳ１１の処理を再度実行する。

一方、規制条件を満たしていないと規制部３１８が判別した場合、規制部３１８は、規制条件情報４０４が示す規制条件に基づいて、不正な利用者であると判別された者に対して、ネットワーク１の使用に関する各種の規制（例えば、ロックアウト）をかける（ステップＳ１６）。

さらに、通知部３１９は、規制部３１８が不正な利用者に対して規制をかけたことを管理者へと通知する（ステップＳ１７）。

つぎに、ステップＳ１２において、ＩＳＣ３２からのパケットがＯＫパケットＰＯであるとパケット識別部３１２が識別した場合の動作について説明する。

ＯＫパケットであると識別した場合、パケット識別部３１２は、当該ＯＫパケットが、端末装置４からの接続要求信号（ＩＮＶＩＴＥパケットＰＩ）に対応するＯＫパケットＰＯ（接続許可信号）であるか、それとも、端末装置４からの切断要求信号（ＢＹＥパケットＰＢ）に対応するＯＫパケット（切断許可信号）であるかをさらに判別する。

設定情報生成部３１５は、パケット識別部３１２によるＯＫパケットの種類の判別結果に応じて、接続許可設定情報４０１と接続禁止設定情報４０２とのどちらか一方を生成する（ステップＳ１８）。

より具体的には、ステップＳ１８にて、設定情報生成部３１５は、ＩＳＣ３２からのＯＫパケットが「接続許可信号」であるとパケット識別部３１２が判別した場合、端末装置４と通信先との接続を許可するための接続許可設定情報４０１を生成する。

また、ステップＳ１８にて、設定情報生成部３１５は、ＩＳＣ３２からのＯＫパケットが「切断許可信号」であるとパケット識別部３１２が判別した場合、端末装置４と通信先との接続を禁止するための接続禁止設定情報４０２を生成する。

パケット送受信部３１１（設定情報送信部）は、設定情報生成部３１５が生成した接続許可設定情報４０１または接続禁止設定情報４０２を、ＳＳＥ２１へと送信する（ステップＳ１９）。

つぎに、ステップＳ１２において、ＳＳＥ２１またはＩＳＣ３２からのパケットが「ＲＥＧＩＳＴＥＲパケットＰＲ」（登録要求信号）であるとパケット識別部３１２が識別した場合の動作について説明する。

ＲＥＧＩＳＴＥＲパケットＰＲであると識別した場合、パケット識別部３１２は、端末装置４の識別情報（ＩＰアドレスやポート番号）を登録識別情報４０３へと書込むことにより、当該識別情報を登録識別情報４０３へと登録する。なお、加入者データ蓄積部３１４は、登録が要求された端末装置４の識別情報が新たに書き込まれた登録識別情報４０３を記憶する（ステップＳ２０）。以上で、ＳＳＣ３１による一連の処理が終了する。

つぎに、実施形態１の認証システムが、利用者の認証結果に基づいて、端末装置４と、ネットワーク１以外の他のネットワークに存在する通信先との接続を許可する場合の動作について説明する。なお、この説明例においては、ＩＮＶＩＴＥパケットＰＩ（接続要求信号）に含まれているＩＰアドレスは、他のネットワークにて端末装置４を識別可能なＩＰアドレスであるグローバルアドレスである。

図８に示すように、先ず、端末装置４が、通信先との接続を要求するために、ＩＮＶＩＴＥパケットＰＩ（接続要求信号）をＳＳＥ２１へと送信する。

ＳＳＥ２１は、端末装置４からのＩＮＶＩＴＥパケットＰＩを受信して、受信したＩＮＶＩＴＥパケットＰＩをＳＳＣ３１へと送信する。

ＳＳＣ３１では、ＳＳＥ２１からのＩＮＶＩＴＥパケットＰＩをパケット送受信部３１１が受信した場合、パケット識別部３１２がＩＮＶＩＴＥパケットＰＩであると識別する。

このとき、認証部３１３は、ＳＳＥ２１からのＩＮＶＩＴＥパケットＰＩのヘッダに登録されている識別情報が登録識別情報４０３に登録されているかどうかに基づいて、利用者の認証が「成功」したかどうかを判別する（ステップＳ３１）。

ＩＮＶＩＴＥパケットＰＩのヘッダＨＤ内の識別情報が登録識別情報４０３に登録されている場合、認証部３１３は、利用者の認証が成功したと判別する。この場合、パケット送受信部３１１は、ＳＳＥ２１からのＩＮＶＩＴＥパケットＰＩをＩＳＣ３２へと送信する。

ＩＳＣ３２は、ＳＳＣ３１からのＩＮＶＩＴＥパケットＰＩを受信する。なお、この説明例においては、当該ＩＮＶＩＴＥパケットＰＩの送信先がネットワーク１以外の他のネットワークである。そのため、ＩＳＣ３２は、受信したＩＮＶＩＴＥパケットＰＩをＩＢＥ２２へと送信する。

ＩＢＥ２２は、ＩＳＣ３２から受信したＩＮＶＩＴＥパケットＰＩを、その送信先である他のネットワーク内に存在する通信先へと送信する。

その後、ＩＢＥ２２は、ＩＮＶＩＴＥパケットＰＩに応答して他のネットワーク内に存在する通信先から送信されてきたＯＫパケットＰＯ（接続許可信号）を、受信する。続いて、ＩＢＥ２２は、他のネットワークからのＯＫパケットＰＯをＩＳＣ３２へと送信する。

ＩＳＣ３２は、ＩＢＥ２２からのＯＫパケットＰＯを受信し、受信したＯＫパケットＰＯをＳＳＣ３１へと送信する。

ＳＳＣ３１では、パケット送受信部３１１が、ＩＳＣ３２からのＯＫパケットＰＯ（接続許可信号）を受信する。

この場合、設定情報生成部３１５は、ＳＳＥ２１がファイアウォールを開くことにより端末装置４とその通信先との接続を許可するための接続許可設定情報４０１を生成する（ステップＳ３２）。

また、接続制御指示部３１６は、ＳＳＥ２１に対して、端末装置４とその通信先との接続を許可するように指示する。パケット送受信部３１１は、設定情報生成部３１５が生成した接続許可設定情報４０１と接続指示信号ＣＡとを、ＳＳＥ２１へと送信する。

ＳＳＥ２１のパケット送受信部２１１は、ＳＳＣ３１からの接続指示信号ＣＡと接続許可設定情報４０１とを受信する。

ＳＳＥ２１の設定部２１２は、パケット送受信部２１１が受信した接続指示信号ＣＡに従い、端末装置４とその通信先との接続を許可する（ステップＳ３３）。例えば、設定部２１２は、ＳＳＣ３１からの接続許可設定情報４０１を用いて、端末装置４とその通信先との間のセッションを確立するためのポート番号を開けるようにファイアウォールの設定を変更する。

以上で、実施形態１の認証システムが、利用者の認証結果に基づいて、端末装置４と、ネットワーク１以外の他のネットワークに存在する通信先との接続を許可するための一連の動作が終了する。

つぎに、実施形態１の認証システムが、端末装置４と、ネットワーク１以外の他のネットワークに存在する通信先との接続を切断する場合の動作について説明する。

図９に示すように、先ず、端末装置４が、自己と通信先との接続の切断を要求するために、ＢＹＥパケットＰＢ（切断要求信号）をＳＳＥ２１へと送信する。

ＳＳＥ２１は、端末装置４からのＢＹＥパケットＰＢを受信して、当該ＢＹＥパケットＰＢをＳＳＣ３１へと送信する。

ＳＳＣ３１は、ＳＳＥ２１から受信したＢＹＥパケットＰＢを、ＩＳＣ３２へと送信する。

ＩＳＣ３２は、ＳＳＣ３１からのＢＹＥパケットＰＢを受信する。なお、この説明例では、当該ＢＹＥパケットＰＢの送信先がネットワーク１以外の他のネットワークである。そのため、ＩＳＣ３２は、受信したＢＹＥパケットＰＢをＩＢＥ２２へと送信する。

ＩＢＥ２２は、ＩＳＣ３２からのＢＹＥパケットＰＢを、他のネットワークに存在する送信先へと送信する。

その後、ＩＢＥ２２は、ＢＹＥパケットＰＢ（接続要求信号）に応答して他のネットワーク内に存在する通信先から送信されてきたＯＫパケットＰＯ（切断許可信号）を、受信する。続いて、ＩＢＥ２２は、受信したＯＫパケットＰＯを、ＩＳＣ３２へと送信する。

ＳＳＣ３１では、パケット送受信部３１１が、ＩＳＣ３２からのＯＫパケットＰＯ（切断許可信号）を受信する。

この場合、設定情報生成部３１５は、ＳＳＥ２１がファイアウォールを閉じることにより端末装置４とその通信先との接続を禁止するための接続禁止設定情報４０２を生成する（ステップＳ４１）。

また、ＳＳＣ３１の接続制御指示部３１６は、ＳＳＥ２１に対して、端末装置４とその通信先との接続を禁止するように指示する。パケット送受信部３１１は、設定情報生成部３１５が生成した接続禁止設定情報４０２と切断指示信号ＣＣとを、ＳＳＥ２１へと送信する。

ＳＳＥ２１のパケット送受信部２１１は、ＳＳＣ３１からの切断指示信号ＣＣと接続禁止設定情報４０２とを受信する。

続いて、ＳＳＥ２１の設定部２１２は、パケット送受信部２１１が受信した切断指示信号ＣＣに従い、端末装置４とその通信先との接続を禁止する（ステップＳ４２）。例えば、設定部２１２は、ＳＳＣ３１からの接続禁止設定情報４０２を用いて、端末装置４とその通信先とを接続するセッションのポート番号を閉じるようにファイアウォールの設定を変更する。

以上で、実施形態１の認証システムが、端末装置４と、ネットワーク１以外の他のネットワークに存在する通信先との接続を切断するための一連の動作が終了する。

以上説明したように、実施形態１の認証システムによれば、ＳＳＣ３１は、認証部３１３による利用者の認証が成功した場合、利用者の端末装置４を収容したＳＳＥ２１に対して、端末装置４とその通信先との接続を許可するように指示する。また、ＳＳＣ３１は、端末装置４とその通信先との接続を用いた通信が終了した場合（例えば、終話時）、端末装置４とその通信先との接続を禁止するようＳＳＥ２１に対して指示する。

つまり、端末装置４とその通信先とを接続するためのセッションが、当該接続を用いた通信の終了と同時に切断される。そのため、端末装置４とその通信先とを接続する前に行われた利用者の認証を、当該接続の終了に伴って無効化できる。これにより、利用者の認証を厳密に行うことができ、認証システムの安全性が向上する。

また、実施形態１によれば、端末装置４とその通信先との接続を許可または禁止するための制御（例えば、ファイアウォールの開閉制御）が、ネットワーク１内のＳＳＣ３１とＳＳＥ２１との連携のみで行うことが可能である。

これにより、端末装置４とその通信先（例えば、サービス提供サーバ）との接続を許可するための認証や当該接続の制御に伴う処理を行うための構成要素を、端末装置４またはその通信先に設けなくてもよくなる。
（実施形態２）
つぎに、実施形態２の認証システムについて説明する。

図１０に示すように、実施形態２の認証システムの構成は、実施形態１において図１に示した例とほぼ同じである。

ただし、実施形態２の認証システムは、実施形態１のＳＳＣ３１に代えて、ＳＳＣ３１Ａを有している。

また、実施形態２の認証システムでは、ＳＳＣ３１ＡとＳＳＥ２１との間に、ＮＡＴ（Network Address Translation）装置２３が設けられている。ここで、ＮＡＴ装置２３が設けられているのは、安全性の観点やグローバルアドレスの数を節約する観点からである。

ＮＡＴ装置２３は、ネットワーク１内の所定範囲（例えば、サブネット）でのみ用いられるＩＰアドレス（プライベートアドレス）と、インターネット上などで端末装置４を識別するためのＩＰアドレス（グローバルアドレス）とを相互に変換する役割を果たす「識別情報変換装置」である。

つまり、ＮＡＴ装置２３は、ＳＳＥ２１から送信されてきた端末装置４からの接続要求信号の所定箇所に含まれている識別情報（端末装置４のプライベートアドレスや旧ポート番号）に対して、「識別情報変換」（ネットワークアドレス変換）を施す。この識別情報変換により、ＮＡＴ装置２３は、新たな識別情報（端末装置４のグローバルアドレスや新ポート番号）を生成する。

さらに、ＮＡＴ装置２３は、識別情報変換された識別情報を含む接続要求信号をＳＳＣ３１Ａへと送信する。

なお、ＮＡＴ装置２３がＩＮＶＩＴＥパケットＰＩに対してネットワークアドレス変換を施した場合、図１１に示すように、ＩＮＶＩＴＥパケットＰＩのうちで送信先などの付加情報が登録されるヘッダＨＤ（「所定箇所」）には、端末装置４の識別情報として、ネットワークアドレス変換後の端末装置４のグローバルアドレスが登録されている。

一方、ＩＮＶＩＴＥパケットＰＩのうちからヘッダＨＤを除いたデータ本体であるペイロードＲＤ内の端末装置４の識別情報には、ＮＡＴ装置２３によるネットワークアドレス変換が施されない。

そのため、ペイロードＲＤでは、端末装置４の識別情報として、端末装置４のプライベートアドレスが登録されている。なお、この説明例において、ペイロードＲＤに登録されている情報はＳＩＰ信号そのものである。

実施形態２では、ＳＳＣ３１ＡとＮＡＴ装置２３との協働により、後述の登録識別情報４０３Ａに端末装置４のグローバルアドレスとプライベートアドレスとの両方が登録されている。

また、ＳＳＣ３１Ａは、接続要求信号におけるグローバルアドレスとプライベートアドレスとが、加入者データ蓄積部３１４内の登録識別情報４０３Ａにて適正に対応付けられていることを判別した上で、利用者を認証する。

つぎに、実施形態２のＳＳＣ３１Ａの構成について詳細に説明する。

図１２に示すように、ＳＳＣ３１Ａは、実施形態１において図３に示したＳＳＣ３１の構成と基本的に同じである。

ただし、実施形態２のパケット送受信部３１１は、端末装置４のプライベートアドレスやグローバルアドレスを当該ＮＡＴ装置２３から受信する。なお、この際、パケット送受信部３１１は、ＮＡＴ装置２３から、プライベートアドレスやグローバルアドレスの登録を要求する登録要求信号（ＲＥＧＩＳＴＥＲパケットＰＲ）も受信する。

さらに、パケット送受信部３１１は、ＮＡＴ装置２３によりポート番号もネットワークアドレス変換される場合、ネットワークアドレス変換後のポート番号である新ポート番号と、ネットワークアドレス変換前の旧ポート番号とをＮＡＴ装置２３から受信する。

また、実施形態２の加入者データ蓄積部３１４は、「加入者データ蓄積処理」を実行し、パケット送受信部３１１が受信したプライベートアドレスとグローバルアドレスとを対応付けた状態で登録識別情報４０３Ａを記憶する。

図１３に示すように、登録識別情報４０３Ａは、ＮＡＴ装置２３によりネットワークアドレス変換される前の端末装置４のプライベートアドレスと、ＮＡＴ装置２３によりネットワークアドレス変換された後の端末装置４のグローバルアドレスとを対応付ける情報である。

なお、端末装置４におけるＩＰアドレスの設定を簡素化する観点よりＤＨＣＰサーバが認証システム内に設けられている場合、加入者データ蓄積部３１４は、パケット送受信部３１１が当該ＤＨＣＰサーバから受信したプライベートアドレスやグローバルアドレスを登録識別情報４０３Ａのうちに記憶する。

また、加入者データ蓄積部３１４は、ＮＡＴ装置２３によりポート番号もネットワークアドレス変換される場合、パケット送受信部３１１が受信したネットワークアドレス変換後の新ポート番号と、ネットワークアドレス変換前の旧ポート番号とを対応付けて、登録識別情報４０３Ａのうちへと記憶する。

認証部３１３は、ＮＡＴ装置２３からの接続要求信号のヘッダＨＤ（所定箇所）内のグローバルアドレスと、当該接続要求信号のうちのペイロードＲＤ内の端末装置４のプライベートアドレスとのそれぞれが、加入者データ蓄積部３１４内の登録識別情報４０３Ａにて対応付けられて登録されているかどうかに基づいて、利用者を認証する。

つまり、認証部３１３は、ＮＡＴ装置２３からの接続要求信号のヘッダＨＤ（所定箇所）内のグローバルアドレスと、当該接続要求信号のうちのペイロードＲＤ内の端末装置４のプライベートアドレスとのそれぞれが、加入者データ蓄積部３１４にて対応付けられて記憶されているかどうかに基づいて、利用者を認証する。

認証部３１３は、接続要求信号のヘッダＨＤ内のグローバルアドレスおよびペイロードＲＤ内のプライベートアドレスそれぞれが登録識別情報４０３Ａにおいて対応付けられて登録されている場合、利用者の認証が成功したと判別する。

つぎに、上記構成を有する実施形態２の認証システムが、利用者の認証結果に基づいて、端末装置４とその通信先との間の接続を許可する動作を説明する。

実施形態２にて、端末装置４とその通信先との間の接続を許可する動作は、実施形態１において図５に示した動作と基本的に同一である。

ただし、ＳＳＥ２１が端末装置４から受信して送信してきたＩＮＶＩＴＥパケットＰＩ（接続要求信号）は、ＮＡＴ装置２３によるネットワークアドレス変換が施されている。

より具体的には、ＳＳＥ２１からのＩＮＶＩＴＥパケットＰＩのヘッダＨＤ（所定箇所）に登録されている送信元のＩＰアドレス（識別情報）が、プライベートアドレスからグローバルアドレスへと変換されている。

このとき、図５に示したステップＳ１において、認証部３１３は、接続要求信号のヘッダＨＤ内のグローバルアドレスおよびペイロードＲＤ内のプライベートアドレスそれぞれが加入者データ蓄積部３１４内の登録識別情報４０３Ａにて対応付けられて登録されているかどうかに基づいて、利用者を認証する（ステップＳ１）。接続要求信号に含まれている端末装置４のプライベートアドレスとグローバルアドレスとが登録識別情報４０３Ａにて対応付けられて登録されている場合、認証部３１３は、利用者の認証が成功したと判別する。

なお、ＮＡＴ装置２３によりヘッダＨＤ内のポート番号も変換されている場合、ＳＳＣ３１は、接続要求信号内の新ポート番号と旧ポート番号とが登録識別情報４０３Ａにて対応付けられて登録されているかどうかに基づいて、利用者を認証する。

認証部３１３による認証が成功した場合、パケット送受信部３１１は、ＩＮＶＩＴＥパケットＰＩ（接続要求信号）をＩＳＣ３２へと送信する。

なお、それ以降の実施形態２の認証システムが行う動作は、図５に示した実施形態１の認証システムの動作と同じである。

すなわち、ＳＳＣ３１Ａの接続制御指示部３１６は、接続要求信号に対応するＯＫパケットＰＯ（接続許可信号）をパケット送受信部３１１がＩＳＣ３２から受信した場合、端末装置４とその通信先との接続を許可するように指示する（ステップＳ２）。なお、接続の許可を指示する際、パケット送受信部３１１は、接続指示信号ＣＡと接続許可設定情報４０１とをＳＳＥ２１へと送信する。

ＳＳＥ２１の設定部２１２は、ＳＳＣ３１Ａからの接続指示信号ＣＡに従い、端末装置４とその通信先との接続を許可する。

以上で、実施形態２の認証システムが、利用者の認証結果に基づいて、端末装置４とその通信先との接続を許可するための一連の動作が終了する。

なお、実施形態２の認証システムが、端末装置４とその通信先との間の接続を禁止する動作は、図６に示した動作と基本的に同一である。

つぎに、実施形態２の認証システムが、利用者の認証結果に基づいて、端末装置４と、ネットワーク１以外の他のネットワーク内に存在する通信先との接続を許可する動作について説明する。

実施形態２にて、端末装置４と、ネットワーク１以外の他のネットワーク内の通信先との間の接続を許可する動作は、実施形態１において図８に示した動作と基本的に同一である。

このとき、図８に示したステップＳ３１の処理において、ＳＳＣ３１Ａの認証部３１３は、ヘッダＨＤ（所定箇所）内のプライベートアドレスおよびペイロードＲＤ内のプライベートアドレスが加入者データ蓄積部３１４内の登録識別情報４０３Ａにて対応付けられて登録されているかどうかに基づいて、利用者を認証する（ステップＳ３１）。

ＩＮＶＩＴＥパケットＰＩのヘッダＨＤ内のグローバルアドレスおよびペイロードＲＤ内のプライベートアドレスが登録識別情報４０３Ａにて対応付けられて登録されている場合、認証部３１３は、利用者の認証が成功したと判別する。この場合、パケット送受信部３１１は、ＳＳＥ２１からのＩＮＶＩＴＥパケットＰＩをＩＳＣ３２へと送信する。

なお、それ以降の実施形態２の認証システムが行う動作は、図８に示した実施形態１の認証システムの動作と同じである。

すなわち、ＩＳＣ３２は、ＳＳＣ３１からのＩＮＶＩＴＥパケットＰＩを、ＩＢＥ２２を介して、ネットワーク１以外の他のネットワーク内の通信先へと送信する。

また、ＩＳＣ３２は、ＩＮＶＩＴＥパケットＰＩに対応するＯＫパケット（接続許可信号）を、ＩＢＥ２２を介して、ネットワーク１以外の他のネットワークから受信する。さらに、ＩＳＣ３２は、当該接続許可信号をＳＳＣ３１Ａへと送信する。

ＳＳＣ３１Ａの設定情報生成部３１５は、パケット送受信部３１１が接続許可信号をＩＳＣ３２から受信した場合、ＳＳＥ２１がファイアウォールを開くことにより端末装置４とその通信先との接続を許可するための接続許可設定情報４０１を生成する（ステップＳ３２）。

また、接続制御指示部３１６は、端末装置４とその通信先との接続を許可するようＳＳＥ２１に対して指示する。なお、接続の許可を指示する際、パケット送受信部３１１は、接続指示信号ＣＡと接続許可設定情報４０１とをＳＳＥ２１へと送信する。

ＳＳＥ２１の設定部２１２は、ＳＳＣ３１Ａからの接続指示信号ＣＡに従い、端末装置４とその通信先との接続を許可する（ステップＳ３３）。なお、このとき、設定部２１２は、ＳＳＣ３１Ａからの接続許可設定情報４０１を用いて、端末装置４とその通信先との間のセッションを確立するためのポート番号を開けるようにファイアウォールの設定を変更する。

以上で、実施形態２において、端末装置４と、ネットワーク１以外の他のネットワークに存在する通信先との接続を許可するための一連の動作が終了する。

なお、実施形態２の認証システムが、端末装置４と、ネットワーク１以外の他のネットワークに存在する通信先との接続を禁止する動作は、図９に示した動作と基本的に同一である。

以上説明したように、実施形態２によれば、ＳＳＣ３１Ａは、接続要求信号におけるグローバルアドレスとプライベートアドレスとが加入者データ蓄積部３１４内の登録識別情報４０３Ａにて適正に対応付けられているかどうかに基づいて、利用者を認証する。これにより、例えば、グローバルアドレスとプライベートアドレスとのどちらか一方を用いて利用者を認証する実施形態１の認証システムよりも厳密な認証を行うことが可能となる。

本発明の実施形態１に従った認証システムの構成を示す図である。図１に示したＳＳＥの構成を示す図である。図１に示したＳＳＣの構成を示す図である。（ａ）図３に示した接続許可設定情報のデータ構造の一例を示す図である。（ｂ）図３に示した接続禁止設定情報のデータ構造の一例を示す図である。実施形態１の認証システムが、認証結果に基づいて、端末装置とその通信先との接続を許可するときのシーケンスを示す図である。実施形態１の認証システムが、端末装置とその送信先との接続を禁止するときのシーケンスを示す図である。ＳＳＥまたはＩＳＣからパケットを受信したときのＳＳＣの動作を示すフローチャートである。実施形態１の認証システムが、認証結果に基づいて、端末装置と、図１に示したネットワーク以外の他のネットワーク内の通信先との接続を許可するときのシーケンスを示す図である。実施形態１の認証システムが、端末装置と、図１に示したネットワーク以外の他のネットワーク内の通信先との接続を禁止するときのシーケンスを示す図である。本発明の実施形態２に従った認証システムの構成を示す図である。ネットワークアドレス変換が施された場合における、ＩＮＶＩＴＥパケット（接続要求信号）のデータ構造を示す図である。図１０に示したＳＳＣの構成を示す図である。図１２に示した登録識別情報のデータ構造の一例を示す図である。

符号の説明

１ネットワーク
２パケット転送層
３サービス制御層
２１ＳＳＥ
２１１パケット送受信部
２１２設定部
２２ＩＢＥ
２３ＮＡＴ装置
３１、３１ＡＳＳＣ
３１１パケット送受信部
３１２パケット識別部
３１３認証部
３１４加入者データ蓄積部
３１５設定情報生成部
３１６接続制御指示部
３１７規制条件記憶部
３１８規制部
３１９通知部
３２ＩＳＣ
４端末装置
４０１接続許可設定情報
４０２接続禁止設定情報
４０３、４０３Ａ登録識別情報
４０４規制条件情報
４０５接続可否設定情報

Claims

利用者が使用する端末装置と、該利用者を認証する認証装置と、該端末装置と該認証装置とに接続されており該端末装置と該端末装置の通信先との接続を制御する通信設定装置とを具備する認証システムであって、
前記認証装置は、
前記端末装置を識別するための識別情報を記憶する加入者データ蓄積部と、
前記端末装置と前記通信先との接続の許可を要求するための接続要求信号を、前記通信設定装置から受信する受信部と、
前記受信部が受信した前記接続要求信号に含まれている前記識別情報が、前記加入者データ蓄積部に記憶されているかどうかを判別する認証部と、
前記識別情報が前記加入者データ蓄積部に記憶されていると前記認証部が判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示する接続制御指示部と、を有し、
前記通信設定装置は、
前記端末装置から送信されてきた前記接続要求信号を、前記認証装置へと送信する送信部と、
前記接続制御指示部から前記端末装置と前記通信先との接続を許可するよう指示された場合に、該端末装置と該通信先との接続を許可するように設定し、該接続制御指示部から該端末装置と該通信先との接続を禁止するよう指示された場合に、該端末装置と該通信先との接続を禁止するように設定する設定部とを有する認証システム。
前記通信設定装置から送信された前記接続要求信号の所定箇所に含まれている前記識別情報に対して識別情報変換を施し、該識別情報変換された前記識別情報を含む該接続要求信号を前記認証装置へと送信する識別情報変換装置、を有し、
前記加入者データ蓄積部は、前記端末装置の識別情報と、前記識別情報変換装置にて前記識別情報変換された識別情報とを対応付けてあらかじめ記憶しており、
前記認証部は、前記識別情報変換装置から送信されてきた前記接続要求信号に含まれる前記識別情報と、該識別情報変換装置にて前記識別情報変換された識別情報とが、前記加入者データ蓄積部にて対応付けられて記憶されているかどうかを判別し、
前記接続制御指示部は、前記接続要求信号に含まれる前記識別情報と前記識別情報変換された識別情報とが前記加入者データ蓄積部にて対応付けられて記憶されていると前記認証部が判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示することを特徴とする請求項１に記載の認証システム。
利用者が使用する端末装置と該端末装置の通信先との接続を制御する通信設定装置と接続された認証装置であって、
前記端末装置を識別するための識別情報を記憶する加入者データ蓄積部と、
前記端末装置と前記通信先との接続の許可を要求するための接続要求信号を、前記通信設定装置から受信する受信部と、
前記受信部が受信した前記接続要求信号に含まれている前記識別情報が、前記加入者データ蓄積部に記憶されているかどうかを判別する認証部と、
前記識別情報が前記加入者データ蓄積部に記憶されていると前記認証部が判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示する接続制御指示部とを有する認証装置。
前記識別情報が前記加入者データ蓄積部に記憶されていると前記認証部が判別した場合、前記通信設定装置が前記端末装置と前記通信先とを接続するためのポート番号を含む接続許可設定情報を生成し、前記切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置が該端末装置と該通信先との接続を切断するためのポート番号を含む接続禁止設定情報を生成する設定情報生成部と、
前記接続制御指示部が前記通信設定装置に対して前記端末装置と前記通信先との接続を許可するように指示した場合、前記接続許可設定情報を前記通信設定装置へと送信し、該接続制御指示部が該通信設定装置に対して該端末装置と該通信先との接続を禁止するように指示した場合、前記接続禁止設定情報を該通信設定装置へと送信する設定情報送信部と、を有することを特徴とする請求項３に記載の認証装置。
前記認証装置は、前記通信設定装置から送信された前記接続要求信号の所定箇所に含まれている前記識別情報に対して識別情報変換を施し、該識別情報変換された前記識別情報を含む該接続要求信号を前記認証装置へと送信する識別情報変換装置と接続されており、
前記加入者データ蓄積部は、前記端末装置の識別情報と、前記識別情報変換装置にて前記識別情報変換された識別情報とを対応付けてあらかじめ記憶しており、
前記認証部は、前記識別情報変換装置から送信されてきた前記接続要求信号に含まれる前記識別情報と、該識別情報変換装置にて前記識別情報変換された識別情報とが、前記加入者データ蓄積部にて対応付けられて記憶されているかどうかを判別し、
前記接続制御指示部は、前記接続要求信号に含まれる前記識別情報と前記識別情報変換された識別情報とが前記加入者データ蓄積部にて対応付けられて記憶されていると前記認証部が判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示することを特徴とする請求項３または４に記載の認証装置。
利用者が使用する端末装置と、該利用者を認証する認証装置とに接続された通信設定装置であって、
前記端末装置から送信されてきた該端末装置と該端末装置の通信先との接続の許可を要求するための接続要求信号を、前記認証装置へと送信する送信部と、
前記認証装置から前記端末装置と前記通信先との接続を許可するよう指示された場合に、該端末装置と該通信先との接続を許可するように設定し、該認証装置から該端末装置と該通信先との接続を禁止するよう指示された場合に、該端末装置と該通信先との接続を禁止するように設定する設定部とを有する通信設定装置。
前記設定部は、前記認証装置から送信されてきた前記端末装置と前記通信先とを接続するためのポート番号を含む接続許可設定情報を用いて前記端末装置と前記通信先との接続を許可するように設定し、該認証装置から送信されてきた該端末装置と該通信先との接続を切断するためのポート番号を含む接続禁止設定情報を用いて、該端末装置と該通信先との接続を禁止するように設定することを特徴とする請求項６に記載の通信設定装置。
利用者が使用する端末装置と、該利用者を認証する認証装置と、該端末装置と該認証装置とに接続されており該端末装置と該端末装置の通信先との接続を制御する通信設定装置とを具備する認証システムにおける認証方法であって、
前記通信設定装置が、前記端末装置から送信されてきた該端末装置と前記通信先との接続の許可を要求するための接続要求信号を、前記認証装置へと送信する送信処理と、
前記認証装置が、前記端末装置を識別するための識別情報を記憶する加入者データ蓄積処理と、
前記認証装置が、前記送信処理にて送信されてきた前記接続要求信号を前記通信設定装置から受信する受信処理と、
前記認証装置が、前記受信処理にて受信した前記接続要求信号に含まれている前記端末装置を識別するための識別情報が、前記加入者データ蓄積処理にて記憶されているかどうかを判別する認証処理と、
前記認証装置が、前記識別情報が前記加入者データ蓄積処理にて記憶されていると前記認証処理にて判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示する接続制御指示処理と、
前記通信設定装置が、前記接続制御指示処理にて前記端末装置と前記通信先との接続を許可するよう前記認証装置から指示された場合に、該端末装置と該通信先との接続を許可するように設定し、該接続制御指示処理にて該端末装置と該通信先との接続を禁止するよう該認証装置から指示された場合に、該端末装置と該通信先との接続を禁止するように設定する設定処理とを有する認証方法。
前記認証システムが、前記通信設定装置から送信された前記接続要求信号の所定箇所に含まれている前記識別情報に対して識別情報変換を施し、該識別情報変換された前記識別情報を含む該接続要求信号を前記認証装置へと送信する識別情報変換装置、を具備している場合、
前記加入者データ蓄積処理では、前記端末装置の識別情報と、前記識別情報変換装置にて前記識別情報変換された識別情報とを対応付けてあらかじめ記憶し、
前記認証処理では、前記識別情報変換装置から送信されてきた前記接続要求信号に含まれる前記識別情報と、該識別情報変換装置にて前記識別情報変換された識別情報とが、前記加入者データ蓄積処理にて対応付けられて記憶されているかどうかを判別し、
前記接続制御指示処理では、前記接続要求信号に含まれる前記識別情報と前記識別情報変換された識別情報とが前記加入者データ蓄積処理にて対応付けられて記憶されていると前記認証処理にて判別した場合、前記通信設定装置に対して、前記端末装置と前記通信先との接続を許可するように指示し、該端末装置と該通信先との接続の切断を要求するための切断要求信号が該通信設定装置から送信されてきた場合、該通信設定装置に対して、該端末装置と該通信先との接続を禁止するように指示することを特徴とする請求項８に記載の認証方法。