JP2010199673A - ユーザ認証システムおよびユーザ認証方法 - Google Patents

Abstract

【課題】高価なＢＲＡＳ装置を複数台設置を避ける。
【解決手段】ＯＮＵには、端末から送出されるフレームのフィルタリングを行う透過フィルタ部と、ＭＡＣアドレスを含むフレームをＯＬＴに定期的に送信する定期フレーム送信部と、ＤＨＣＰパケットをモニタするＯＮＵ側モニタ部と、透過フィルタ部のフィルタリング制御を行うＯＮＵ制御部とを設け、ＯＬＴには、配下の全てのＯＮＵのＭＡＣアドレスが予め記憶された登録済ＯＮＵテーブルと、ＯＮＵからのフレームを受信する定期フレーム受信部と、受信したフレームのＭＡＣアドレスが登録済ＯＮＵテーブルに合致するかを判別し、合致する場合にＯＮＵ及びＭＡＣアドレスを認証済ＯＮＵテーブルに登録する認証済ＯＮＵテーブル登録部と、ＯＮＵからのフレームのフィルタリングを行うフィルタ部と、ＤＨＣＰパケットをモニタするＯＬＴ側モニタ部と、フィルタリング制御を行うＯＬＴ制御部とを設けた。
【選択図】図１

Description

本発明はネットワークにおけるユーザ認証技術に関する。

近年、ブロードバンドアクセスサービスが広く普及している。ブロードバンドアクセスシステムとして、従来は通信事業者が通信局舎に設置する加入者収容装置としてメディアコンバータが用いられていたが、ブロードバンドの普及と料金低廉化に伴い、安価なコストでブロードバンド加入者を収容する方式として、イーサネット（登録商標）規格を用いたＥｔｈｅｒｎｅｔ−ＰＯＮ（Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋ）システムが主流になってきている。

また、通信事業者によるブロードバンドアクセスサービスにおいて、ユーザ認証の仕組みがない場合は、勝手にネットワークを使用されたり、契約外のサービスを使用されるなどの問題が生じるため、ブロードバンドアクセスサービスではユーザ認証を行う認証システムが必須となっている。

そこで、国内の通信事業者によるブロードバンドアクセスサービスでは、ユーザがインターネットヘ接続する時に、例えばＩＥＴＦのＲＦＣ２５１６で標準化されているＰＰＰｏＥ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ）と呼ばれるプロトコルを用いてインターネットバックボーンヘの入り口となる地域アクセスポイントに設置されたＢＲＡＳ（Ｂｒｏａｄｂａｎｄ Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ）に接続し、ユーザ認証を受けるようになっている（例えば、特許文献１参照）。

ところが、ＰＰＰｏＥプロトコルによってユーザ認証を行うＢＲＡＳ装置は、認証処理が可能な１台当たりのユーザ数が限られている。また、全てのユーザデータはＢＲＡＳを通して上位のネットワークへ転送されるので、ＢＲＡＳへのアクセスが集中してＢＲＡＳがネットワークのボトルネックになってしまうという問題がある。そこで、複数台のＢＲＡＳを設置して負荷を分散することが行われているが、高価なＢＲＡＳを複数台設置しなければならず、コスト的或いは局舎のスペース的に通信事業者にとって負荷が重いという問題がある。

本発明の目的は、ユーザ認証装置としてのＢＲＡＳを必要とせず、簡易的なシステムでユーザ認証を実現できるユーザ認証システムおよびユーザ認証方法を提供することである。

本発明のユーザ認証システムは、配下に形成する波長多重ＰＯＮシステムからのアクセスを上位ネットワークに接続するＯＬＴと、ユーザ端末を前記ＯＬＴに接続する複数のＯＮＵと、前記複数のＯＮＵを波長多重して前記ＯＬＴに接続する光カプラと、ユーザ端末にＩＰアドレスの発行を行うＤＨＣＰサーバーとで構成される波長多重ＰＯＮシステムにおけるユーザ認証システムにおいて、前記ＯＮＵには、前記ユーザ端末から送出されるフレームのフィルタリングを行う透過フィルタ部と、自己のＭＡＣアドレスを含む定期フレームを前記ＯＬＴに定期的に送信する定期フレーム送信部と、ユーザ端末と前記ＤＨＣＰサーバとの間で送受信するＤＨＣＰパケットをモニタするＯＮＵ側モニタ部と、前記透過フィルタ部のフィルタリング制御を行うＯＮＵ制御部とを設け、前記ＯＬＴには、自己のＯＬＴの配下に設置された全ての前記ＯＮＵのＭＡＣアドレスが予め記憶された登録済ＯＮＵテーブルと、前記ＯＮＵから送出された定期フレームを受信する定期フレーム受信部と、前記定期フレーム受信部が受信したＣＣフレームのＭＡＣアドレスが前記登録済ＯＮＵテーブルに記憶されたＭＡＣアドレスに合致するか否かを判別し、合致する場合に当該ＯＮＵおよび該ＭＡＣアドレスを認証済ＯＮＵテーブルに登録する認証済ＯＮＵテーブル登録部と、前記ＯＮＵから送出されるフレームのフィルタリングを行うパケットフィルタ部と、ユーザ端末と前記ＤＨＣＰサーバとの間で送受信するＤＨＣＰパケットをモニタするＯＬＴ側モニタ部と、前記パケットフィルタ部のフィルタリング制御を行うＯＬＴ制御部とを設けたことを特徴とする。

また、より好ましくは、前記定期フレームは、Ｅｔｈｅｒｎｅｔ−ＯＡＭのＣＣフレームであることを特徴とする。

また、より好ましくは、前記ＯＬＴ制御部は、前記認証済ＯＮＵテーブルに登録されているＯＮＵのＤＨＣＰフレームのみ前記ＤＨＣＰサーバに通すことを特徴とする。

また、より好ましくは、前記ＯＬＴ側モニタ部は、ＤＨＣＰフレームのＤＨＣＰｒｅｑｕｅｓｔフレームのスヌーピングで前記ユーザ端末のＭＡＣアドレスをモニタし、さらにＤＨＣＰフレームのＤＨＣＰａｃｋフレームのスヌーピングで前記ユーザ端末に割り当てられるＩＰアドレスをモニタし、前記ＯＬＴ制御部は、前記ＯＬＴ側モニタ部がモニタした前記ユーザ端末のＭＡＣアドレスとＩＰアドレスが一致するパケットのみ前記パケットフィルタ部を通過させることを特徴とする。

また、より好ましくは、前記ＯＮＵに前記透過フィルタ部を通過させる前記ユーザ端末のパケットのＭＡＣアドレスとＩＰアドレスの対応を記憶する透過フィルタテーブルを更に設け、前記ＯＮＵ側モニタ部は、ＤＨＣＰフレームのＤＨＣＰｒｅｑｕｅｓｔフレームのスヌーピングにより前記ユーザ端末のＭＡＣアドレスをモニタし、さらにＤＨＣＰフレームのＤＨＣＰａｃｋフレームのスヌーピングにより前記ユーザ端末に割り当てられるＩＰアドレスをモニタし、前記ユーザ端末のＭＡＣアドレスとＩＰアドレスの対応を前記透過フィルタテーブルに登録し、前記ＯＮＵ制御部は、前記透過フィルタテーブルに登録されている前記ユーザ端末のパケットのみ前記透過フィルタ部を通過させることを特徴とする。

本発明のユーザ認証方法は、配下に形成する波長多重ＰＯＮシステムからのアクセスを上位ネットワークに接続するＯＬＴと、ユーザ端末を前記ＯＬＴに接続する複数のＯＮＵと、前記複数のＯＮＵを波長多重して前記ＯＬＴに接続する光カプラと、ユーザ端末にＩＰアドレスの発行を行うＤＨＣＰサーバーとで構成される波長多重ＰＯＮシステムにおけるユーザ認証方法において、前記ＯＮＵは、前記ユーザ端末から送出されるフレームのフィルタリングを行う透過フィルタ手順と、自己のＭＡＣアドレスを含む定期フレームを前記ＯＬＴに定期的に送信する定期フレーム送信手順と、ユーザ端末と前記ＤＨＣＰサーバとの間で送受信するＤＨＣＰパケットをモニタするＯＮＵ側モニタ手順と、前記透過フィルタ手順のフィルタリング制御を行うＯＮＵ制御手順とを有し、前記ＯＬＴは、前記ＯＮＵから送出された定期フレームを受信する定期フレーム受信手順と、前記定期フレーム受信手順で受信したＣＣフレームのＭＡＣアドレスが自己のＯＬＴの配下に設置された全ての前記ＯＮＵのＭＡＣアドレスが予め記憶された登録済ＯＮＵテーブルに記憶されたＭＡＣアドレスに合致するか否かを判別し、合致する場合に当該ＯＮＵおよび該ＭＡＣアドレスを認証済ＯＮＵテーブルに登録する認証済ＯＮＵテーブル登録手順と、前記ＯＮＵから送出されるフレームのフィルタリングを行うパケットフィルタ手順と、ユーザ端末と前記ＤＨＣＰサーバとの間で送受信するＤＨＣＰパケットをモニタするＯＬＴ側モニタ手順と、前記パケットフィルタ手順のフィルタリング制御を行うＯＬＴ制御手順とを有することを特徴とする。

また、より好ましくは、前記定期フレームは、Ｅｔｈｅｒｎｅｔ−ＯＡＭのＣＣフレームで構成し、前記ＯＬＴ側モニタ手順は、ＤＨＣＰフレームのＤＨＣＰｒｅｑｕｅｓｔフレームのスヌーピングで前記ユーザ端末のＭＡＣアドレスをモニタし、さらにＤＨＣＰフレームのＤＨＣＰａｃｋフレームのスヌーピングで前記ユーザ端末に割り当てられるＩＰアドレスをモニタし、前記パケットフィルタ手順は、前記ＯＬＴ側モニタ部がモニタした前記ユーザ端末のＭＡＣアドレスとＩＰアドレスが一致するパケットのみ通過させ、前記ＯＮＵ側モニタ手順は、ＤＨＣＰフレームのＤＨＣＰｒｅｑｕｅｓｔフレームのスヌーピングにより前記ユーザ端末のＭＡＣアドレスをモニタし、さらにＤＨＣＰフレームのＤＨＣＰａｃｋフレームのスヌーピングにより前記ユーザ端末に割り当てられるＩＰアドレスをモニタし、前記ユーザ端末のＭＡＣアドレスとＩＰアドレスの対応を透過フィルタテーブルに登録し、前記透過フィルタ手順は、前記透過フィルタテーブルに登録されている前記ユーザ端末のパケットのみ通過させることを特徴とする。

本発明のユーザ認証システムおよびユーザ認証方法は、ユーザ認証装置としてのＢＲＡＳを必要とせず、簡易的なシステムでユーザ認証を実現できる。

本実施形態に係るユーザ認証システム１００を用いるＥｔｈｅｒｎｅｔ−ＰＯＮシステムの構成例を示すブロック図である。 従来のＥｔｈｅｒｎｅｔ−ＰＯＮシステムの構成例を示すブロック図である。 本実施形態に係るユーザ認証システム１００の構成例を示すブロック図である。 ＤＨＣＰ処理手順を示す説明図である。 透過フィルタテーブルの一例を示す説明図である。 登録済ＯＮＵテーブルの一例を示す説明図である。 認証済ＯＮＵテーブルの一例を示す説明図である。 本実施形態に係るユーザ認証システム１００のユーザ認証手順示すフローチャートである。 本実施形態に係るユーザ認証システム１００のフィルタ状態の遷移を示す説明図である。

本発明に係るユーザ認証システムおよびユーザ認証方法の実施形態について説明する。尚、本実施形態では、通信事業者はＥｔｈｅｒｎｅｔ−ＰＯＮシステムを用いてアクセス系を構成するものとする。また、ＰＯＮシステム設置時に、ユーザ宅側に設置されるＯＮＵ（光加入者装置）のＭＡＣアドレス情報が予め局側のＯＬＴ（光回線終端装置）に登録されているものとする。そして、通信事業者と契約したユーザは、自宅内に設置されたＯＮＵにパソコンなどのユーザ端末を接続してインターネットにアクセスする。

ここで、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスは、ユーザ端末のネットワークインターフェースカードやルーターなどのネットワーク端末固有ののシリアル番号である。通信事業者は、ユーザの宅内にＯＮＵを設置する際に、ユーザの住所や氏名などと共に設置したＯＮＵのＭＡＣアドレスを知ることができる。

また、本実施形態ではＩＥＥＥ８０２．１ａｇ規格のＥｔｈｅｒｎｅｔ−ＯＡＭを使用する。Ｅｔｈｅｒｎｅｔ−ＯＡＭは、レイヤ２ネットワーク内におけるネットワーク機器の保守やネットワークの障害診断のために用いられる。また、ＯＬＴとＯＮＵ間でＥｔｈｅｒｎｅｔ−ＯＡＭ規格のＣＣフレーム（接続性確認フレーム）を送受信することで、ＯＬＴ側でＯＮＵの認証を行う。

以下、本実施形態に係るユーザ認証システムの構成について詳しく説明する。

図１は、ＯＮＵ１０１と、ＯＮＵ１０２と、ＯＮＵ１０３の３つのＯＮＵで構成されるＥｔｈｅｒｎｅｔ−ＰＯＮシステムの構成例を示すブロック図である。図１において、ＯＮＵ１０１とＯＮＵ１０２とＯＮＵ１０３では、それぞれＯＮＵ配下に接続されるＰＣ（ＰＣ１１２、ＯＮＵ１０３およびＰＣ１１３）から送信されるパケットを電気信号から光信号への変換または逆変換を行う。それぞれのＯＮＵで光信号に変換されたパケットは光カプラ１０４にて多重されてＯＬＴ１０５に入力される。それぞれのＯＮＵからＯＬＴ１０５への上り方向光信号が衝突しないように、各ＯＮＵの信号送出タイミングがＯＬＴ１０５によって自動制御される。また、ＯＬＴ１０５からそれぞれのＯＮＵへの下り方向光信号と、前述の上り方向光信号とが衝突しないように波長多重され、上り信号には波長λ１、下り信号には波長λ２がそれぞれ使用される。

逆に、ＤＨＣＰサーバ１０６やバックボーンからＯＬＴ１０５に送られてくるパケットは、全てのＯＮＵへ送信されるが、ＯＮＵ配下に接続される各ＰＣから各ＯＮＵに送信されるデータによってＰＣのＭＡＣアドレスを学習しており、各ＯＮＵでは学習したＭＡＣアドレスと合致する宛先ＭＡＣアドレスを有するパケットのみを各ＯＮＵに接続されたＰＣに送られる。

ここで、ＢＲＡＳを用いた従来のネットワークのユーザ認証について図２を用いて説明する。図２に示すように、従来はＢＲＡＳ２１０を介してバックボーンに接続するようになっている。尚、図２において、本実施形態の図１と同様に、ＯＮＵ２０１と、ＯＮＵ２０２と、ＯＮＵ２０３は、光カプラ２０４と、ＯＬＴ２０５とでＥｔｈｅｒｎｅｔ−ＰＯＮシステムを構成している。また、ユーザ端末のパソコンＰＣ１１１、ＰＣ１１２、ＰＣ１１３およびＤＨＣＰサーバ１０６は図１と同じものである。尚、ＢＲＡＳ２１０は製品によってはＤＨＣＰサーバ１０６の機能を統合している場合もある。ここで、各ユーザ端末は、ＰＰＰｏＥプロトコルによってＢＲＡＳにアクセスし、ユーザ認証を行う。そして、ＢＲＡＳ２１０でユーザ認証が行われた後、認証されたユーザ端末に対してＤＨＣＰサーバ１０６からＩＰアドレスが割り当てられる。ところが、１台当りのＢＲＡＳの配下に接続できるユーザ端末数が限られており、Ｅｔｈｅｒｎｅｔ−ＰＯＮシステムを利用するユーザ端末数が増えると、１台のＢＲＡＳだけでは対応できなくなる。このため、通信事業者は高価なＢＲＡＳを複数台設置しなければならず、設備コストが高くなるという問題があった。

これに対して本実施形態では、高価なＢＲＡＳを必要としないので、通信事業者は安価なコストでＥｔｈｅｒｎｅｔ−ＰＯＮシステムを導入することが可能になる。本実施形態では、ＯＮＵ１０１、ＯＮＵ１０２、ＯＮＵ１０３およびＯＬＴ１０５を用いてユーザ認証を行い、ユーザ認証後にＤＨＣＰサーバ１０６から各ユーザ端末にＩＰアドレスが割り当てるようになっている。このため、従来、ユーザ認証を行っていたＢＲＡＳが不要となる。

次に、本実施形態におけるユーザ認証システム１００の構成について説明する。図３は、ユーザ認証システム１００でユーザ認証を行うための主要部であるＯＬＴ１０５とＯＮＵ１０１の構成を中心に描いたブロック図である。尚、図３ではＯＮＵ１０１のみ描いてあるが、図１のＯＮＵ１０２およびＯＮＵ１０３も図３のＯＮＵ１０１と同じ構成である。

図３において、ＯＮＵ１０１は、透過フィルタ部１２１と、ＯＮＵ制御部１２２と、ＣＣフレーム送出部１２３と、ＤＨＣＰモニタ部１２４と、透過フィルタテーブル記憶部１２５とで構成される。また、ＯＬＴ１０５は、パケットフィルタ部１３１と、ＯＬＴ制御部１３２と、ＣＣフレーム受信部１３３と、ＤＨＣＰモニタ部１３４と、登録済ＯＮＵテーブル記憶部１３５と、認証済ＯＮＵテーブル記憶部１３６と、認証済端末テーブル記憶部１３７とで構成される。尚、図３は、パケットの流れを中心に描いてあり、ＯＮＵ１０１およびＯＬＴ１０５の光変復調部などは省略してある。

先ず、ＯＮＵ１０１の動作について説明する。透過フィルタ部１２１は、ユーザ端末１１１から送信されるパケットのフィルタリングを行う。フィルタリングは、ＯＮＵ制御部１２２の指令に応じて行われ、例えば、全パケットを通さない設定、ＤＨＣＰパケットなどブロードキャストパケットのみ透過する設定、或いは全パケットを通す設定などを有する。尚、本実施形態では、ＯＮＵ１０１の電源投入時の透過フィルタ部１２１は、ＤＨＣＰパケットなどブロードキャストパケットのみ透過する設定になっているものとする。

ここで、ＤＨＣＰパケットについて説明する。ＤＨＣＰパケットは、ＤＨＣＰサーバ１０６とユーザ端末との間で送受信される制御用パケットで、ＤＨＣＰサーバ１０６からＩＰアドレスの割り当てを受けるために使用される。図４は、ユーザ端末のＰＣ１１１がＤＨＣＰサーバ１０６からＩＰアドレスの付与を受ける手順を示した図である。図４において、３０１はＤＨＣＰｄｉｓｃｏｖｅｒフレーム、３０２はＤＨＣＰｏｆｆｅｒフレーム、３０３はＤＨＣＰｒｅｑｕｅｓｔフレーム、３０４はＤＨＣＰａｃｋフレームの流れをそれぞれ示している。最初は、ＰＣ１１１はＤＨＣＰサーバの所在が分からないので、ＤＨＣＰサーバを探すためにＤＨＣＰｄｉｓｃｏｖｅｒフレーム３０１をＩＥＥＥ８０２．３規格のブロードキャスト形式でネットワーク全体に送信する。そして、ＤＨＣＰｄｉｓｃｏｖｅｒフレーム３０１を受信したネットワーク内のＤＨＣＰサーバはＤＨＣＰｏｆｆｅｒフレーム３０２を送信元のＰＣ１１１に返信する。もし、ネットワーク内に複数のＤＨＣＰサーバがあれば、ＰＣ１１１は複数のＤＨＣＰｏｆｆｅｒフレーム３０２を受信することになる。通常は、複数のＤＨＣＰｏｆｆｅｒフレーム３０２を受けた場合は、最も先に受信したものを選択するようになっている。この結果、ＰＣ１１１はＤＨＣＰサーバの所在を知ることができる。そして、ＰＣ１１１は、図４に示すＤＨＣＰサーバ１０６から受けたＤＨＣＰｏｆｆｅｒフレーム３０２により、割り当て可能なＩＰアドレスを得る。次に、ＰＣ１１１はＤＨＣＰサーバ１０６に対してＤＨＣＰｒｅｑｕｅｓｔフレーム３０３を返信し、そのＩＰアドレスの使用を要求する。ＤＨＣＰｒｅｑｕｅｓｔフレーム３０３を受けたＤＨＣＰサーバ１０６は、許可する場合は、許可されたＩＰアドレスが記載されたＤＨＣＰａｃｋフレーム３０４をＰＣ１１１に返信し、許可しない場合は、図には示していないが、許可されなかったことを示すＤＨＣＰｎａｃｋフレームをＰＣ１１１に返信する。尚、ＤＨＣＰサーバ１０６からＤＨＣＰｎａｃｋフレームが送られてきた場合は、ＰＣ１１１はＩＰアドレスの割り当てを受けられず、ネットワークを利用することができないので、再度、ＤＨＣＰ処理を行うことになる。

また、上記で説明した一連のＤＨＣＰ処理は、レイヤ２のデータリンク層のフレーム構造を用いており、データの部分にネットワーク層であるＩＰパケットが、さらにＩＰパケットの上にはトランスポート層であるＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）パケットあるいはＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）パケットが搭載される。上記のＤＨＣＰ処理はＵＤＰパケットで行われ、ブロードキャスト形式で送出する場合は、発信元のＭＡＣアドレスにユーザ端末のＰＣ１１１のＭＡＣアドレスを記載し、宛先ＭＡＣアドレスはＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦに設定する。そして、ネットワーク上の各装置は宛先ＭＡＣアドレスを見てブロードキャスト形式のパケットであるか否かを認識することができる。

ここで、図１のＯＮＵ１０１，ＯＮＵ１０２，ＯＮＵ１０３およびＯＬＴ１０５は、ＰＣ１１１からＤＨＣＰサーバ１０６に送信されるＤＨＣＰｒｅｑｕｅｓｔフレーム３０３をモニタすることにより、ＰＣ１１１のＭＡＣアドレスを知ることができる。同様に、図１のＯＮＵ１０１，ＯＮＵ１０２，ＯＮＵ１０３およびＯＬＴ１０５は、ＤＨＣＰサーバ１０６からＰＣ１１１に送信されるＤＨＣＰａｃｋフレーム３０４をモニタすることにより、ＰＣ１１１に割り当てられるＩＰアドレスを知ることができる。このような機能をスヌーピング機能と呼んでいる。

図３のＯＮＵ１０１のＤＨＣＰモニタ部１２４と、ＯＬＴ１０５のＤＨＣＰモニタ部１３４は、上記で説明したスヌーピング機能を有する。

ＤＨＣＰモニタ部１２４は、スヌーピング機能によって得られたＰＣ１１１のＭＡＣアドレスとＩＰアドレスとをＯＮＵ制御部１２２に出力する。そして、ＯＮＵ制御部１２２は、ＰＣ１１１のＭＡＣアドレスとＩＰアドレスとの対応を透過フィルタテーブル記憶部１２５に記憶する。図５に透過フィルタテーブルの一例を示す。図５において、ユーザ端末のＰＣ１１１に割り当てられているＩＰアドレスは（１９２，１６８，０，２０）、ＭＡＣアドレスは５５−４４−３３−２２−１１−００である。尚、ＯＮＵ１０１の配下に複数のユーザ端末がある場合は、図５のＰＣ１１２のように追加登録される。ＰＣ１１２に割り当てられているＩＰアドレスは（１９２，１６８，０，２１）、ＭＡＣアドレスは６６−５５−４４−３３−２２−１１である。

ＣＣフレーム送出部１２３は、ＩＥＥＥ８０２．１ａｇ規格のＥｔｈｅｒｎｅｔ−ＯＡＭのＣＣフレーム（接続性確認フレーム）を送信する。尚、Ｅｔｈｅｒｎｅｔ−ＯＡＭは、ＰＯＮシステムの保守管理のために搭載されている機能であり、本来はユーザ認証の機能ではないが、本実施形態では、ＯＮＵ１０１、ＯＮＵ１０２、ＯＮＵ１０３の各ＯＮＵとＯＬＴ１０５との間のユーザ認証に利用する。ＣＣフレーム送出部１２３は、ＯＮＵ制御部１２２の指令に応じて、予め設定された間隔（例えば１秒毎など）で定期的にＣＣフレームをＯＬＴ１０５に送信する。

次に、ＯＬＴ１０５の動作について説明する。パケットフィルタ部１３１は、光カプラ１０４を介して送られてくる各ユーザ端末のパケットのフィルタリングを行う。フィルタリングは、ＯＬＴ制御部１３２から設定されたユーザ端末のＭＡＣアドレスとＩＰアドレス毎に行われ、例えば、全パケットを通さない設定、ＤＨＣＰパケットなどブロードキャストパケットのみ透過する設定、或いは全パケットを通す設定などを有する。

ＣＣフレーム受信部１３３は、ＯＮＵ１０１のＣＣフレーム送出部１２３が定期的に送信するＣＣフレームを受信し、ＯＬＴ制御部１３２に出力する。ＯＬＴ制御部１３２は、ＯＮＵ側のＭＡＣアドレスが記載されたＣＣフレームの受信により、ＯＮＵ側のＭＡＣアドレスを知ることができる。そして、ＯＬＴ制御部１３２は、ＣＣフレームに記載されていたＭＡＣアドレスが予め登録済ＯＮＵテーブル記憶部１３５に登録されいるＯＮＵのＭＡＣアドレスに一致するか否かを判別する。図６に登録済ＯＮＵテーブルの一例を示す。図６において、ＯＮＵ１０１のＭＡＣアドレスは００−１１−２２−３３−４４−５５で、ＯＮＵ１０２のＭＡＣアドレスは００−２２−３３−４４−５５−６６で、ＯＮＵ１０３のＭＡＣアドレスは００−３３−４４−５５−６６−７７であることがわかる。ここで、例えば、図３のＯＮＵ１０１から送られてきたＭＡＣアドレスが００−１１−２２−３３−４４−５５である場合は、登録済ＯＮＵテーブル記憶部１３５に予め登録されたＯＮＵ１０１のＭＡＣアドレスに一致するので、ＯＮＵ１０１を正当なＯＮＵと判断し、ＯＮＵ名とそのＭＡＣアドレスを認証済ＯＮＵテーブル記憶部１３６に記憶する。図７に認証済ＯＮＵテーブルの一例を示す。図７において、ＯＮＵ１０１のＭＡＣアドレスが認証されると、ＯＮＵ１０１の欄にＭＡＣアドレス：００−１１−２２−３３−４４−５５が記憶される。この時、認証されていないＯＮＵ１０２やＯＮＵ１０３のＭＡＣアドレス欄は空欄になっている。そして、ＯＬＴ制御部１３２は、認証済ＯＮＵテーブル記憶部１３６に記憶されている認証済みのＯＮＵを介して送られてくるブロードキャストパケットのみ上位ネットワークに通過させるようにパケットフィルタ部１３１に指令する。このようにして、ユーザ端末のＰＣ１１１はＯＮＵ１０１およびＯＬＴ１０５を介して、ＤＨＣＰサーバ１０６との間でＤＨＣＰパケットを送受信することができる。尚、パケットフィルタ部１３１は、入力されるユーザ認証されていないＯＮＵの全パケットを当該ＯＮＵのＭＡＣアドレスの認証が完了するまで上位ネットワークには通さない。

ＤＨＣＰモニタ部１３４は、先に説明したスヌーピング機能によって、得られたＰＣ１１１のＭＡＣアドレスとＩＰアドレスとをＯＬＴ制御部１３２に出力し、認証済端末テーブル記憶部１３７に登録する。この結果、ＯＬＴ制御部１３２は、ＤＨＣＰサーバ１０６からＰＣ１１１にＤＨＣＰａｃｋフレーム３０４が送信されたことを知り、一連のＤＨＣＰ制御の完了を検出する。そして、ＯＬＴ制御部１３２は、ＰＣ１１１のＭＡＣアドレスとＩＰアドレスとを対応させて、認証済端末テーブル記憶部１３７に登録する。認証済端末テーブル記憶部１３７に登録されたユーザ端末のＰＣ１１１から送信される全パケットを上位のネットワークに通すようにパケットフィルタ部１３１に指令する。このようにして、ユーザ端末のＰＣ１１１はＯＮＵ１０１およびＯＬＴ１０５を介して、バックボーンのネットワークにアクセスすることができる。

次に、ユーザ端末のＰＣ１１１がＯＮＵ１０１に接続された後、バックボーンのネットワークにアクセスできるようになるまでの処理の流れについて図８のフローチャートを用いて説明する。尚、図８のフローチャートは、図３に示したユーザ端末のＰＣ１１１と、ＯＮＵ１０１と、ＯＬＴ１０５と、ＤＨＣＰサーバ１０６とのそれぞれの処理関係が分かり易いように描いてある。

（ステップＳ１０１）ＯＮＵ１０１の電源が投入される。電源が投入されたＯＮＵ１０１は、先に説明したように、ＣＣフレーム送信部１２３からＣＣフレーム３００を定期的にＯＬＴ１０５に送信する。

（ステップＳ１０２）ＯＬＴ１０５のＣＣフレーム受信部１３３はＯＮＵ１０１から送られてくるＣＣフレーム３００を受信する。

（ステップＳ１０３）ＯＬＴ１０５のＯＬＴ制御部１３２は、ＣＣフレーム受信部１３３で受信したＣＣフレームの送信元ＭＡＣアドレスが登録済ＯＮＵテーブル記憶部１３５に予め登録されているＯＮＵのＭＡＣアドレスと一致するか否かを判別する。一致する場合はステップＳ１０４に進み、一致しない場合はステップＳ１０２に戻ってＣＣフレーム３００を受信する。尚、実際には、ＣＣフレーム受信部１３３はＯＮＵ１０１から定期的に送られてくるＣＣフレーム３００を常時受信しているので、ステップＳ１０４に進んだ後も受信動作は継続される。

（ステップＳ１０４）ＯＬＴ１０５のＯＬＴ制御部１３２は、ＣＣフレーム受信部１３３で受信したＣＣフレーム３００の送信元ＭＡＣアドレスが登録済ＯＮＵテーブル記憶部１３５に予め登録されているＯＮＵのＭＡＣアドレスと一致したので、当該ＯＮＵ名とＭＡＣアドレスを認証済ＯＮＵテーブル記憶部１３６に記憶する。さらに、ＯＬＴ制御部１３２は、認証済ＯＮＵテーブル記憶部１３６に記憶されている正当なＯＮＵを介して送られてくるブロードキャストパケットを上位のネットワークに通すようにパケットフィルタ部１３１に指令する。この状態で、ＤＨＣＰパケットはパケットフィルタ部１３１を透過できるようになり、ユーザ端末のＰＣ１１１とＤＨＣＰサーバ１０６との間でＤＨＣＰパケットの送受信を行うことができる。

（ステップＳ１０５）ユーザ端末のＰＣ１１１は、ＩＰアドレスの割り当てを受けるためにブロードキャストパケットであるＤＨＣＰｄｉｓｃｏｖｅｒフレーム３０１をＯＮＵ１０１およびＯＬＴ１０５を介してＤＨＣＰサーバ１０６に送信する。尚、この時点までにもＰＣ１１１はＩＰアドレスの割り当てを受けるためにブロードキャストパケットであるＤＨＣＰｄｉｓｃｏｖｅｒフレーム３０１をＯＮＵ１０１およびＯＬＴ１０５側に送信し続けているが、ＯＬＴ１０５でフィルタリングされるため、ＤＨＣＰサーバ１０６には届いていない。

（ステップＳ１０６）ＰＣ１１１から送信されたＤＨＣＰｄｉｓｃｏｖｅｒフレーム３０１を受信したＤＨＣＰサーバ１０６は、使用可能なＩＰアドレスを記載したＤＨＣＰｏｆｆｅｒフレーム３０２をＰＣ１１１に送信する。

（ステップＳ１０７）ＤＨＣＰサーバ１０６から送信されたＤＨＣＰｏｆｆｅｒフレーム３０２を受信したＰＣ１１１は、ＤＨＣＰサーバ１０６から受信したＩＰアドレスの使用許可を要求するＤＨＣＰｒｅｑｕｅｓｔフレーム３０３をＤＨＣＰサーバ１０６に送信する。

（ステップＳ１０８）ＯＮＵ１０１のＤＨＣＰモニタ部１２４は、ＰＣ１１１から送信されたＤＨＣＰｒｅｑｕｅｓｔフレーム３０３をスヌーピングし、ＯＮＵ制御部１２２はＰＣ１１１がＤＨＣＰｒｅｑｕｅｓｔフレーム３０３を送信したことと、ＰＣ１１１のＭＡＣアドレスを知る。

（ステップＳ１０９）ＯＬＴ１０５のＤＨＣＰモニタ部１３４は、ＰＣ１１１から送信されたＤＨＣＰｒｅｑｕｅｓｔフレーム３０３をスヌーピングし、ＯＬＴ制御部１３２はＰＣ１１１がＤＨＣＰｒｅｑｕｅｓｔフレーム３０３を送信したことと、ＰＣ１１１のＭＡＣアドレスを知る。

（ステップＳ１１０）ＰＣ１１１から送信されたＤＨＣＰｒｅｑｕｅｓｔフレーム３０３を受信したＤＨＣＰサーバ１０６は、ＰＣ１１１に許可するＩＰアドレスを記載したＤＨＣＰａｃｋフレーム３０４をＰＣ１１１に送信する。

（ステップＳ１１１）ＯＬＴ１０５のＤＨＣＰモニタ部１３４は、ＤＨＣＰサーバ１０６から送信されたＤＨＣＰａｃｋフレーム３０４をスヌーピングし、ＯＬＴ制御部１３２はＤＨＣＰサーバ１０６がＤＨＣＰａｃｋフレーム３０４を送信したことと、ＰＣ１１１のＩＰアドレスを知る。そして、ＰＣ１１１のＭＡＣアドレスとＩＰアドレスとを認証済端末テーブル記憶部１３７に登録する。

（ステップＳ１１２）ＯＮＵ１０１のＤＨＣＰモニタ部１２４は、ＤＨＣＰサーバ１０６から送信されたＤＨＣＰａｃｋフレーム３０４をスヌーピングし、ＯＮＵ制御部１２２はＤＨＣＰサーバ１０６がＤＨＣＰａｃｋフレーム３０４を送信したことと、ＰＣ１１１のＩＰアドレスを知る。この時点で、ＯＮＵ制御部１２２は、ＰＣ１１１のユーザ認証が完了したことを知り、ＰＣ１１１に許可されたＩＰアドレスと、ステップＳ１０８でモニタしたＰＣ１１１のＭＡＣアドレスとを対応させて、透過フィルタテーブル記憶部１２５に記憶する。以降、ＯＮＵ１０１の透過フィルタ部１２５は、透過フィルタテーブル記憶部１２５に記憶されたＭＡＣアドレスおよびＩＰアドレスを有するユーザ端末からの全パケットを透過する。

（ステップＳ１１３）ＤＨＣＰサーバ１０６から送信されたＤＨＣＰａｃｋフレーム３０４を受信したＰＣ１１１は、許可されたＩＰアドレスを用いてユニキャストやマルチキャストによるバックボーンへのアクセスが可能になる。

このように、Ｅｔｈｅｒｎｅｔ−ＰＯＮシステムを用いたアクセスネットワークにおいて、従来のように高価なＢＲＡＳを設けることなくユーザ端末のＰＣ１１１のユーザ認証を行うことができる。しかも、ＯＮＵ１０１とＯＬＴ１０５との間で送受信されるＥｔｈｅｒｎｅｔ−ＯＡＭのＣＣフレーム３００を利用することにより、ＯＬＴ１０５はＯＮＵ１０１の認証を行うことができ、さらに、ＰＣ１１１とＤＨＣＰサーバとの間で送受信されるＤＨＣＰパケットをスヌーピングすることにより、ＰＣ１１１のパケットを特定して上位ネットワークへの通信を許可することができる。特に、ＯＮＵ１０１でＰＣ１１１のパケットをフィルタリングする透過フィルタ部１２１を設けているので、例えばＯＮＵ１０１でユーザ認証されていないＰＣ１１２にＰＣ１１１と同じＩＰアドレスを設定してＯＮＵ１０１に接続して上位のネットワークにアクセスしようとしても、ＰＣ１１２のＭＡＣアドレスがＰＣ１１１と異なるので、ＯＮＵ１０１の透過フィルタ１２１でＰＣ１１２のパケットが阻止される。これは、ＰＣ１１２のＭＡＣアドレスとＩＰアドレスの対応がＯＮＵ１０１の透過フィルタテーブル記憶部１２５に記憶されていないからである。このようにして、ＯＮＵ１０１に不正端末を接続して不正利用することを防止できる。

同様に、ユーザ認証済でＯＮＵ１０１の透過フィルタテーブル記憶部１２５にＩＰアドレスとＭＡＣアドレスとの対応が記憶されたＰＣ１１１をＯＮＵ１０２に接続した場合、ＯＮＵ１０２の透過フィルタテーブル記憶部１２５に相当する透過フィルタテーブルには、ＰＣ１１１のＭＡＣアドレスとＩＰアドレスの対応が記憶されていないので、上位ネットワークにアクセスすることはできない。もし、各ＯＮＵの透過フィルタ部１２１ではなく、ＯＬＴ１０５のパケットフィルタ部１３１でＰＣ１１１のＭＡＣアドレスとＩＰアドレスの対応をチェックするようにした場合は、同じＯＬＴ１０５の配下にあるＯＮＵ１０１やＯＮＵ１０２或いはＯＮＵ１０３のいずれにＰＣ１１１を接続した場合でも上位ネットワークへのアクセスが可能になってしまうという問題が生じるが、本実施形態のように、各ＯＮＵ側でユーザ端末のＭＡＣアドレスとＩＰアドレスとの対応を確認することにより、同じＯＬＴ１０５の配下にあるＯＮＵ１０２またはＯＮＵ１０３に移動してＰＣ１１１を接続した場合の上位ネットワークへの不正アクセスを防止できる。もちろん、ＯＬＴ１０５とは異なるＯＬＴの配下のＯＮＵに接続した場合は、ＯＮＵ側で阻止されるだけでなく、ＯＬＴ側でもブロードキャストパケット以外のパケットはユーザ認証が完了してユーザ認証済ＯＮＵテーブル記憶部１３６に登録されるまで阻止されるので、上位ネットワークへの不正アクセスを防止することができる。

ここで、ユーザ端末から上位ネットワークへ送信されるパケットのフィルタ状態の遷移について図９を用いて説明する。図９は、ＯＮＵ１０１，ＯＮＵ１０２，ＯＮＵ１０３およびＯＬＴ１０５によってフィルタリングされるユーザ端末のＰＣ１１１，ＰＣ１１２およびＰＣ１１３が送信するパケットのフィルタ状態を中心に描いた図である。従って、図９のフィルタリング処理は、各ＯＮＵの透過フィルタ部１２１およびＯＬＴ１０５のパケットフィルタ部１３１の両方のフィルタリング処理を含んでいる。

以下、図９のフィルタ状態の遷移を順に説明する。

（ステップＳ２０１）この時点では、各ＯＮＵの電源が投入され、各ＯＮＵに接続されるユーザ端末が送出する全パケットは阻止された状態（フィルタ状態）になっている。尚、ブロードキャストパケット以外は各ＯＮＵの透過フィルタ部で阻止され、ブロードキャストパケットはＯＬＴ１０５のパケットフィルタ１３１で阻止される。

この状態では、各ＯＮＵは定期的にＣＣフレームをＯＬＴ１０５に送信し、これを受けたＯＬＴ１０５は、予め登録済ＯＮＵテーブル記憶部１３５に登録されているか否かを確認して、ＣＣフレームを送出したＯＮＵのＭＡＣアドレスを認証する。

（ステップＳ２０２）この時点では、ＯＬＴ１０５のパケットフィルタ１３１のブロードキャストパケットの阻止が解除され、各ユーザ端末から送出されるＤＨＣＰパケットは上位ネットワーク側にあるＤＨＣＰサーバ１０６に送信される。尚、ブロードキャストパケット以外のパケットは、依然として各ＯＮＵの透過フィルタ部１２１で阻止される。

この状態では、各ＯＮＵは各ユーザ端末とＤＨＣＰサーバ１０６との間で送受信されるＤＨＣＰｒｅｑｕｅｓｔフレーム３０３とＤＨＣＰａｃｋフレーム３０４とをモニタして、各ユーザ端末のＭＡＣアドレスとＩＰアドレスとの対応を透過フィルタテーブル記憶部１２５に登録する。同様に、ＯＬＴ１０５においても各ユーザ端末とＤＨＣＰサーバ１０６との間で送受信されるＤＨＣＰｒｅｑｕｅｓｔフレーム３０３とＤＨＣＰａｃｋフレーム３０４とをモニタして、各ユーザ端末のＭＡＣアドレスとＩＰアドレスとの対応を認証済端末テーブル記憶部１３７に登録する。

また、この状態で、各ＯＮＵとＯＬＴ１０５との間で定期的に送受信されるＣＣフレームが一定時間内にＯＬＴ１０５で検出されなかった場合はＣＣフレームタイムアウトとして、ステップＳ２０１の状態に戻り、ユーザ認証をやり直す。或いは、ＯＬＴ１０５の認証済ＯＮＵテーブル記憶部１３６に登録外のＭＡＣアドレスを有するＯＮＵからのＣＣフレームをＯＬＴ１０５が受信した場合は、ＯＮＵのすり替えがあったと判断して、ステップＳ２０１の状態に戻り、ユーザ認証をやり直す。

（ステップＳ２０３）この時点では、各ＯＮＵの透過フィルタ１２１の全パケットの阻止が解除され、さらにＯＬＴ１０５のパケットフィルタ１３１の全パケットの阻止も解除されるので、各ユーザ端末から送出されるブロードキャスト，ユニキャストおよびマルチキャストの全パケットは上位ネットワーク側に送信される。

この状態で、各ＯＮＵとＯＬＴ１０５との間で定期的に送受信されるＣＣフレームが一定時間内にＯＬＴ１０５で検出されなかった場合はＣＣフレームタイムアウトとして、ステップＳ２０１の状態に戻り、ユーザ認証をやり直す。或いは、ＤＨＣＰｄｉｓｃｏｖｅｒフレーム３０１をスヌーピングした場合は、ユーザ端末の電源が再投入されたものと判断して、ステップＳ２０１の状態に戻り、ユーザ認証をやり直す。または、ＯＬＴ１０５の認証済ＯＮＵテーブル記憶部１３６に登録外のＭＡＣアドレスを有するＯＮＵからのＣＣフレームをＯＬＴ１０５が受信した場合は、ＯＮＵのすり替えがあったと判断して、ステップＳ２０１の状態に戻り、ユーザ認証をやり直す。

このようにして、本実施形態に係るユーザ認証システム１００は、ＢＲＡＳを用いることなく、Ｅｔｈｅｒｎｅｔ−ＰＯＮシステムを利用したアクセスネットワークにおけるユーザ認証システムを提供することができる。特に、ＯＮＵ１０１，ＯＮＵ１０２，ＯＮＵ１０３，光カプラ１０４，ＯＬＴ１０５，ＤＨＣＰサーバ１０６の既存の装置を利用して、ＯＮＵやＯＬＴのソフトウェアの変更のみで実現することができるので、安価かつ容易にユーザ認証システムを提供することができる。

１００・・・ユーザ認証システム
１０１・・・ＯＮＵ
１０２・・・ＯＮＵ
１０３・・・ＯＮＵ
１０４・・・光カプラ
１０５・・・ＯＬＴ
１０６・・・ＤＨＣＰサーバ
１２１・・・透過フィルタ部
１２２・・・ＯＮＵ制御部
１２３・・・ＣＣフレーム送出部
１２４・・・ＤＨＣＰモニタ部
１２５・・・透過フィルタテーブル記憶部
１３１・・・パケットフィルタ部
１３２・・・ＯＬＴ制御部
１３３・・・ＣＣフレーム受信部
１３４・・・ＤＨＣＰモニタ部
１３５・・・登録済ＯＮＵテーブル記憶部
１３６・・・認証済ＯＮＵテーブル記憶部
１３７・・・認証済端末テーブル記憶部

特開２００１−２６８１２５号公報

Claims (7)

1. 配下に形成する波長多重ＰＯＮシステムからのアクセスを上位ネットワークに接続するＯＬＴと、
   ユーザ端末を前記ＯＬＴに接続する複数のＯＮＵと、
   前記複数のＯＮＵを波長多重して前記ＯＬＴに接続する光カプラと、
   ユーザ端末にＩＰアドレスの発行を行うＤＨＣＰサーバーと
   で構成される波長多重ＰＯＮシステムにおけるユーザ認証システムにおいて、
   前記ＯＮＵには、
   前記ユーザ端末から送出されるフレームのフィルタリングを行う透過フィルタ部と、
   自己のＭＡＣアドレスを含む定期フレームを前記ＯＬＴに定期的に送信する定期フレーム送信部と、
   ユーザ端末と前記ＤＨＣＰサーバとの間で送受信するＤＨＣＰパケットをモニタするＯＮＵ側モニタ部と、
   前記透過フィルタ部のフィルタリング制御を行うＯＮＵ制御部と
   を設け、
   前記ＯＬＴには、
   自己のＯＬＴの配下に設置された全ての前記ＯＮＵのＭＡＣアドレスが予め記憶された登録済ＯＮＵテーブルと、
   前記ＯＮＵから送出された定期フレームを受信する定期フレーム受信部と、
   前記定期フレーム受信部が受信したＣＣフレームのＭＡＣアドレスが前記登録済ＯＮＵテーブルに記憶されたＭＡＣアドレスに合致するか否かを判別し、合致する場合に当該ＯＮＵおよび該ＭＡＣアドレスを認証済ＯＮＵテーブルに登録する認証済ＯＮＵテーブル登録部と、
   前記ＯＮＵから送出されるフレームのフィルタリングを行うパケットフィルタ部と、
   ユーザ端末と前記ＤＨＣＰサーバとの間で送受信するＤＨＣＰパケットをモニタするＯＬＴ側モニタ部と、
   前記パケットフィルタ部のフィルタリング制御を行うＯＬＴ制御部と
   を設けた
   ことを特徴とするユーザ認証システム。
2. 請求項１記載のユーザ認証システムにおいて、
   前記定期フレームは、Ｅｔｈｅｒｎｅｔ−ＯＡＭのＣＣフレームであることを特徴とするユーザ認証システム。
3. 請求項１または２に記載のユーザ認証システムにおいて、
   前記ＯＬＴ制御部は、前記認証済ＯＮＵテーブルに登録されているＯＮＵのＤＨＣＰフレームのみ前記ＤＨＣＰサーバに通す
   ことを特徴とするユーザ認証システム。
4. 請求項３に記載のユーザ認証システムにおいて、
   前記ＯＬＴ側モニタ部は、ＤＨＣＰフレームのＤＨＣＰｒｅｑｕｅｓｔフレームのスヌーピングで前記ユーザ端末のＭＡＣアドレスをモニタし、さらにＤＨＣＰフレームのＤＨＣＰａｃｋフレームのスヌーピングで前記ユーザ端末に割り当てられるＩＰアドレスをモニタし、
   前記ＯＬＴ制御部は、前記ＯＬＴ側モニタ部がモニタした前記ユーザ端末のＭＡＣアドレスとＩＰアドレスが一致するパケットのみ前記パケットフィルタ部を通過させる
   ことを特徴とするユーザ認証システム。
5. 請求項３または４に記載のユーザ認証システムにおいて、
   前記ＯＮＵに前記透過フィルタ部を通過させる前記ユーザ端末のパケットのＭＡＣアドレスとＩＰアドレスの対応を記憶する透過フィルタテーブルを更に設け、
   前記ＯＮＵ側モニタ部は、ＤＨＣＰフレームのＤＨＣＰｒｅｑｕｅｓｔフレームのスヌーピングにより前記ユーザ端末のＭＡＣアドレスをモニタし、さらにＤＨＣＰフレームのＤＨＣＰａｃｋフレームのスヌーピングにより前記ユーザ端末に割り当てられるＩＰアドレスをモニタし、前記ユーザ端末のＭＡＣアドレスとＩＰアドレスの対応を前記透過フィルタテーブルに登録し、
   前記ＯＮＵ制御部は、前記透過フィルタテーブルに登録されている前記ユーザ端末のパケットのみ前記透過フィルタ部を通過させる
   ことを特徴とするユーザ認証システム。
6. 配下に形成する波長多重ＰＯＮシステムからのアクセスを上位ネットワークに接続するＯＬＴと、
   ユーザ端末を前記ＯＬＴに接続する複数のＯＮＵと、
   前記複数のＯＮＵを波長多重して前記ＯＬＴに接続する光カプラと、
   ユーザ端末にＩＰアドレスの発行を行うＤＨＣＰサーバーと
   で構成される波長多重ＰＯＮシステムにおけるユーザ認証方法において、
   前記ＯＮＵは、
   前記ユーザ端末から送出されるフレームのフィルタリングを行う透過フィルタ手順と、
   自己のＭＡＣアドレスを含む定期フレームを前記ＯＬＴに定期的に送信する定期フレーム送信手順と、
   ユーザ端末と前記ＤＨＣＰサーバとの間で送受信するＤＨＣＰパケットをモニタするＯＮＵ側モニタ手順と、
   前記透過フィルタ手順のフィルタリング制御を行うＯＮＵ制御手順と
   を有し、
   前記ＯＬＴは、
   前記ＯＮＵから送出された定期フレームを受信する定期フレーム受信手順と、
   前記定期フレーム受信手順で受信したＣＣフレームのＭＡＣアドレスが自己のＯＬＴの配下に設置された全ての前記ＯＮＵのＭＡＣアドレスが予め記憶された登録済ＯＮＵテーブルに記憶されたＭＡＣアドレスに合致するか否かを判別し、合致する場合に当該ＯＮＵおよび該ＭＡＣアドレスを認証済ＯＮＵテーブルに登録する認証済ＯＮＵテーブル登録手順と、
   前記ＯＮＵから送出されるフレームのフィルタリングを行うパケットフィルタ手順と、
   ユーザ端末と前記ＤＨＣＰサーバとの間で送受信するＤＨＣＰパケットをモニタするＯＬＴ側モニタ手順と、
   前記パケットフィルタ手順のフィルタリング制御を行うＯＬＴ制御手順と
   を有する
   ことを特徴とするユーザ認証方法。
7. 請求項６に記載のユーザ認証方法において、
   前記定期フレームは、Ｅｔｈｅｒｎｅｔ−ＯＡＭのＣＣフレームで構成し、
   前記ＯＬＴ側モニタ手順は、ＤＨＣＰフレームのＤＨＣＰｒｅｑｕｅｓｔフレームのスヌーピングで前記ユーザ端末のＭＡＣアドレスをモニタし、さらにＤＨＣＰフレームのＤＨＣＰａｃｋフレームのスヌーピングで前記ユーザ端末に割り当てられるＩＰアドレスをモニタし、
   前記パケットフィルタ手順は、前記ＯＬＴ側モニタ部がモニタした前記ユーザ端末のＭＡＣアドレスとＩＰアドレスが一致するパケットのみ通過させ、
   前記ＯＮＵ側モニタ手順は、ＤＨＣＰフレームのＤＨＣＰｒｅｑｕｅｓｔフレームのスヌーピングにより前記ユーザ端末のＭＡＣアドレスをモニタし、さらにＤＨＣＰフレームのＤＨＣＰａｃｋフレームのスヌーピングにより前記ユーザ端末に割り当てられるＩＰアドレスをモニタし、前記ユーザ端末のＭＡＣアドレスとＩＰアドレスの対応を透過フィルタテーブルに登録し、
   前記透過フィルタ手順は、前記透過フィルタテーブルに登録されている前記ユーザ端末のパケットのみ通過させる
   ことを特徴とするユーザ認証方法。

Images