JP3833932B2 - Ｉｐアドレスを端末アイデンティティとして使用可能なｉｐネットワーク - Google Patents
Ｉｐアドレスを端末アイデンティティとして使用可能なｉｐネットワーク Download PDFInfo
- Publication number
- JP3833932B2 JP3833932B2 JP2001369748A JP2001369748A JP3833932B2 JP 3833932 B2 JP3833932 B2 JP 3833932B2 JP 2001369748 A JP2001369748 A JP 2001369748A JP 2001369748 A JP2001369748 A JP 2001369748A JP 3833932 B2 JP3833932 B2 JP 3833932B2
- Authority
- JP
- Japan
- Prior art keywords
- address
- network
- terminal device
- terminal
- data link
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ＩＰネットワークにおいて端末が使用するＩＰアドレスの正当性を保証し、ＩＰアドレスを端末アイデンティティとして使用できるＩＰネットワークに関する。
【０００２】
【従来の技術】
ＩＰネットワーク上の電子商取引サーバ等は注文主のアイデンティティを確認する手段として専らＩＤとパスワードを使用している。また、一部の電子商取引サーバは、ＩＤ／パスワード認証よりも技術的に高度な電子証明書認証等を採用している。回線交換型電話網では発信者電話番号により発信回線に従って注文主のアイデンティティを特定出来るが、ＩＰネットワークにおいては送信元ＩＰアドレスから発信回線または発信端末を特定することができない。これは、ＩＰネットワークではＤＨＣＰによる動的なＩＰアドレス割当、アドレス変換装置、ＩＰアドレス詐称が存在するため、送信元ＩＰアドレスから必ずしも発信者を特定出来ないという事情による。
【０００３】
ＤＨＣＰによる動的なＩＰアドレス割当やアドレス変換はネットワーク設計者が意図的に導入するものであるため、アドレス空間が潤沢でありかつセキュリティ条件が許容すれば、これらは使用しないことも可能である。従って、ＩＰアドレスの正当性を保証しＩＰアドレスを端末アイデンティティとして使用するためには、ＩＰアドレス詐称を排除すればよい。ＬＡＮを構成するハブやルータ等の端末収容装置は端末装置を認証しないので、端末装置に適切なＩＰアドレスと経路情報を設定し端末収容装置に接続するだけでＩＰネットワークを利用できることからＩＰアドレス詐称が発生する。しかしながら、特開２０００−２０１１４３、特開２００１−１１１５４４および特開２００１−２１１１８０に示されるように、近年はＬＡＮにおいても端末装置のＭＡＣアドレスを検査し、不正な端末装置を識別し排除する仕組みが検討されている。しかし、端末装置のＭＡＣアドレスはＩＰパケットがルータを通過する時にルータのＭＡＣアドレスで書き換えられてしまうため、端末装置のＭＡＣアドレスは電子商取引サーバが端末装置を特定する手段としては不適当である。
【０００４】
【発明が解決しようとする課題】
上述したＩＰアドレス詐称のため、ＩＰネットワークではＩＰアドレスを端末アイデンティティとして利用できない。そこで本発明は、ＩＰアドレス詐称を排除し、ＩＰアドレスを端末アイデンティティとして利用可能とすることを目的とする。
【０００５】
【課題を解決するための手段】
本発明のＩＰネットワークは、ルータ等のネットワーク層中継装置、ブリッジ等のデータリンク層中継装置、リピータ等の物理層中継装置、認証サーバおよびＤＨＣＰサーバおよび電子商取引サーバ等のサーバ装置から構成され、ポイント・ツー・ポイント型データリンクを介して端末装置を収容するＩＰネットワークであって、上記課題を解決するため、データリンク確立時に端末装置を認証する端末認証手段と、端末装置が使用するＩＰアドレスを記憶し、ＩＰアドレス登録要求を受けて記憶してある全てのＩＰアドレスと照合して一致するＩＰアドレスが存在しない場合には端末装置のＩＰアドレスとして新たに記憶して登録成功を応答し、一致するＩＰアドレスが存在する場合は登録失敗を応答し、またＩＰアドレス削除要求を受けてＩＰアドレスを削除するＩＰアドレス登録手段と、端末認証手段により認証された端末装置との間にデータリンクを設定し、端末認証手段により認証を否認された端末装置および未だ認証されていない端末装置との間にはデータリンクを設定しないデータリンク層終端手段と、データリンクフレーム内のＩＰパケットを監視し、端末装置のＩＰアドレスを記憶し、端末装置が送信するＩＰパケットの送信元ＩＰアドレスが記憶してあるＩＰアドレスと異なる場合に該ＩＰパケットの転送を保留しＩＰアドレス登録手段へＩＰアドレス登録要求を送信し、ＩＰアドレス登録成功を受信すると該ＩＰパケットの送信元ＩＰアドレスで更新して該ＩＰパケットを転送し、ＩＰアドレス登録失敗を受信するとＩＰアドレスを更新せずに該ＩＰパケットを転送しないＩＰアドレス監視手段を有する。
【０００６】
また、ＩＰアドレスにはＩＰｖ４アドレスやＩＰｖ６アドレス等各種分類が存在し、１台の端末装置がこれら複数種類のＩＰアドレスを同時使用することがあることから、本発明のＩＰネットワークは、ＩＰアドレスを１以上の型に分類するＩＰアドレス分類手段と、ＩＰアドレスの分類手段の分類に従ってＩＰアドレスを記憶し照合するＩＰアドレス登録手順と、ＩＰアドレス分類手段の分類に従ってＩＰアドレスを記憶し照合するＩＰアドレス監視手段を有してもよい。
【０００７】
更に、ＩＰネットワーク内において端末装置が使用することのできるＩＰアドレスの値は予め限定されていることが一般的であるから、本発明のＩＰネットワークは、ＩＰネットワークにおいて端末装置が使用可能な１以上のＩＰアドレスを記憶し、登録要求受信時は記憶してあるＩＰアドレスとの照合に加えて、使用可能なＩＰアドレスである場合に登録して登録成功を応答し、使用可能なＩＰアドレスでなければ登録失敗を応答するＩＰアドレス登録手段を有してもよい。
【０００８】
本発明のＩＰネットワークは外部ネットワークとの相互接続のために、外部ネットワークとの間でＩＰパケットを送受信し、外部ネットワークから受信するＩＰパケットの送信元ＩＰアドレスが使用可能なＩＰアドレスでない場合に該ＩＰパケットをＩＰネットワークに転送し、使用可能なＩＰアドレスである場合は該パケットをＩＰネットワークに転送しない外部ネットワーク接続手段を有してもよい。
【０００９】
また、ＩＰアドレス登録手段は、ＩＰアドレス削除依頼を受信するとＩＰアドレスを削除するとともに、ＩＰアドレスを使用不能ＩＰアドレスとして一定期間記憶し、ＩＰアドレス登録依頼を受信すると端末装置毎に記憶してあるＩＰアドレスと照合するだけではなく、使用不能ＩＰアドレスとも照合するようにしてもよい。
【００１０】
【発明の実施の形態】
本発明のＩＰネットワークの実施形態を図面を用いて詳細に説明する。
［実施の形態１］
［構成の説明］
図１は本発明の第１の実施形態のネットワーク構成図である。本実施形態のＩＰネットワーク１は、ルータ１０、ハブ１１〜１２、ファイアウォール１３、認証サーバ１４から構成され、ハブ１１とハブ１２はルータ１０を介して相互に接続されている。ファイアウォール１３と認証サーバ１４はハブ１２に接続されている。端末装置１５〜１７はハブ１１に接続されている。電子商取引サーバ１８はハブ１２に、外部ネットワーク１９はファイアウォール１３にそれぞれ接続されている。
【００１１】
図２は図１のＩＰネットワーク１を構成するハブ１１の構成を示すブロック図である。ハブ１１は、データリンク層終端手段２０〜２３、データリンクフレーム交換手段２４、ＩＰアドレス監視手段２５〜２７から構成される。データリンク層終端手段２０〜２３は１００ＢＡＳＥ−Ｔイーサネット規格に準拠するデータリンクポートであり、データリンクフレーム交換手段２４により相互に接続される。データリンク層終端手段２１〜２３にはＩＰアドレス監視手段２５〜２７がそれぞれ接続する。ルータ１０はデータリンク層終端手段２０に接続し、端末装置１５〜１７はデータリンク層終端装置２１〜２３にそれぞれ接続される。データリンク層終端手段２１〜２３に接続するＩＰアドレス監視手段２５〜２７は、端末装置１５〜１７のＩＰアドレスを記憶するためのＩＰアドレス記憶域２５０〜２７０を備える。
【００１２】
図３は図１のＩＰネットワーク１を構成するファイアウォール１３の構成を示すブロック図である。ファイアウォール１３はＩＰネットワーク１と外部ネットワーク１９を相互に接続する外部ネットワーク接続手段３０を備える。外部ネットワーク接続手段３０はＩＰネットワーク内で使用可能なＩＰアドレスの記憶域３０１〜３０Ｎを有する。
【００１３】
図４は図１のＩＰネットワーク１を構成する認証サーバ１４の構成を示すブロック図である。認証サーバ１４は、端末認証手段４０とＩＰアドレス登録手段４１を備える。端末認証手段４０は、ＩＰネットワーク１を利用可能な端末装置１５〜１７のＭＡＣアドレス１５０〜１７０を記憶する。ＩＰアドレス登録手段は、端末装置１５〜１７のＩＰアドレスを記憶するため、端末装置１５〜１７に対応してＩＰアドレス記憶域４５０〜４７０を備える。
【００１４】
［動作の説明］
端末装置１５、端末装置１６および端末装置１７のＭＡＣアドレスはそれぞれＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０とし、ＩＰアドレスはそれぞれＩＰアドレス１５１、ＩＰアドレス１６１およびＩＰアドレス１７１を使用するものとする。認証サーバ１４の端末認証手段４０は、ＩＰネットワーク１の正当な端末のＭＡＣアドレスとしてＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０を記憶しているものとする。ファイアウォール１３の外部ネットワーク接続手段３０のＩＰアドレス記憶域３０１〜３０３には、ＩＰネットワーク１内で使用可能なＩＰアドレスとしてそれぞれＩＰアドレス１５１、ＩＰアドレス１６１およびＩＰアドレス１７１を記憶しているものとする。
【００１５】
今、端末装置１５と端末装置１６がそれぞれハブ１１のデータリンク層終端手段２１とハブ１１のデータリンク層終端手段２２に接続されているものとする。ＩＰアドレス記憶域２５０とＩＰアドレス記憶域２６０にはそれぞれ端末１５のＩＰアドレス１５１と端末１６のＩＰアドレス１６１が書き込まれているものとする。認証サーバ１４のＩＰアドレス記憶域４５０とＩＰアドレス記憶域４６０にはそれぞれ端末１５のＩＰアドレス１５１と端末１６のＩＰアドレス１６１が書き込まれているものとする。ハブ１１のデータリンク層終端手段２３には端末装置が接続されておらず、従って、ＩＰアドレス記憶域２７０と認証サーバ１４のＩＰアドレス記憶域４７０には有効なＩＰアドレスが書き込まれていないものとする。
【００１６】
この状態において、端末装置１７をハブ１１のデータリンク層終端手段２３に接続するものとする。データリンク層終端手段２３は端末装置１７とデータリンクフレームを交換し、端末装置１７のＭＡＣアドレス１７０を取得する。データリンク層終端手段２３は端末装置１７を認証するため、認証サーバ１４の端末認証手段４０に対してＭＡＣアドレス１７０を有する端末装置１７がＩＰネットワーク１の正当な端末であるか問い合わせる。端末認証手段４０はＭＡＣアドレス１７０が端末認証手段４０の記憶するＭＡＣアドレスの一つであることを確認し、正当な端末であることを回答する。データリンク層終端手段２３は正当な端末であるとの回答を待って、端末装置１７との間にデータリンクを設定する。仮に正当な端末ではないとの回答を得たとすると、データリンク層終端手段２３は端末装置１７との間にデータリンクを設定しない。
【００１７】
続いて、ＩＰアドレス監視手段２７は端末装置１７がデータリンク上で最初に送信するＩＰパケットを監視し、送信元ＩＰアドレスフィールドからＩＰアドレス１７１を取得する。ＩＰアドレス記憶域２７０には有効なＩＰアドレスが書き込まれておらず従ってＩＰアドレス１７１と一致しないため、データリンク層終端手段２３は認証サーバ１４のＩＰアドレス登録手段４１に対してＩＰアドレス登録依頼を送信する。ＩＰアドレス登録手段４１はＩＰアドレス記憶域４５０〜４７０に書き込まれている有効なＩＰアドレス、即ちＩＰアドレス１５１とＩＰアドレス１６１のいずれともＩＰアドレス１７１が一致しないことを確認すると、登録許可を応答する。ＩＰアドレス監視手段２７は登録許可を待って、ＩＰアドレス１７１をＩＰアドレス記憶域２７０に書き込み、保留していたＩＰパケットを転送する。
【００１８】
外部ネットワーク１９からＩＰアドレス１５１を送信元ＩＰアドレスフィールドに設定されたＩＰパケットを受信すると、ファイアウォール１３の外部ネットワーク接続手段３０はＩＰアドレス１５１がＩＰアドレス記憶域３０１に書き込まれたＩＰアドレスと一致することを検出し、該ＩＰパケットを破棄する。
【００１９】
電子商取引サーバ１８は端末装置１６から物品またはコンテンツまたはサービスの注文を受けると、注文を構成するＩＰパケットの送信元ＩＰパケットフィールドからＩＰアドレス１６１を取得する。電子商取引サーバは認証サーバ１４に対して、ＩＰアドレス１６１に対応する端末装置を問い合わせる。認証サーバ１４はＩＰアドレス記憶域４６０に書き込まれたＩＰアドレスがＩＰアドレス１６１と一致することを確認し、ＩＰアドレス１６１を使用する端末装置が端末装置１６であることを回答する。
【００２０】
［実施の形態２］
［構成の説明］
続いて本発明の第２の実施形態を説明する。ＩＰネットワーク１のネットワーク構成図１、ハブ１１のブロック構成図２、ファイアウォール１３のブロック構成図３は第１の実施形態と共通である。
【００２１】
図５は本発明の認証サーバ１４の構成を示すブロック図である。認証サーバ１４は、端末認証手段４０とＩＰアドレス登録手段４１を備える。端末認証手段４０は、ＩＰネットワーク１を利用可能な端末装置１５〜１７の端末認証情報１５２〜１７２を記憶する。ＩＰアドレス登録手段は、端末装置１５〜１７のＩＰアドレスを記憶するため、端末装置１５〜１７に対応してＩＰアドレス記憶域４５０〜４７０を備える。
【００２２】
［動作の説明］
端末装置１５、端末装置１６および端末装置１７のＭＡＣアドレスはそれぞれＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０とし、ＩＰアドレスはそれぞれＩＰアドレス１５１、ＩＰアドレス１６１およびＩＰアドレス１７１を使用するものとする。認証サーバ１４の端末認証手段４０は、ＩＰネットワーク１の正当な端末の端末認証情報として端末認証情報１５２、端末認証情報１６２および端末認証情報１７２を記憶し、ファイアウォール１３の外部ネットワーク接続手段３０のＩＰアドレス記憶域３０１〜３０３には、ＩＰネットワーク１内で使用可能なＩＰアドレスとしてそれぞれＩＰアドレス１５１、ＩＰアドレス１６１およびＩＰアドレス１７１を記憶しているものとする。
【００２３】
今、端末装置１５と端末装置１６がそれぞれハブ１１のデータリンク層終端手段２１とハブ１１のデータリンク層終端手段２２に接続されているものとする。ＩＰアドレス記憶域２５０とＩＰアドレス記憶域２６０にはそれぞれ端末１５のＩＰアドレス１５１と端末１６のＩＰアドレス１６１が書き込まれているものとする。認証サーバ１４のＩＰアドレス記憶域４５０とＩＰアドレス記憶域４６０にはそれぞれ端末１５のＩＰアドレス１５１と端末１６のＩＰアドレス１６１が書き込まれているものとする。ハブ１１のデータリンク層終端手段２３には端末装置が接続されておらず、従って、ＩＰアドレス記憶域２７０と認証サーバ１４のＩＰアドレス記憶域４７０には有効なＩＰアドレスが書き込まれていないものとする。
【００２４】
この状態において、端末装置１７をハブ１１のデータリンク層終端手段２３に接続するものとする。データリンク層終端手段２３は認証サーバ１４と通信チャネルを設定し、認証サーバ１４と端末装置１７の通信を中継する。認証サーバ１４の端末認証手段４０は端末認証情報１７２を用いて端末１７を認証し、端末装置１７が正当な端末であることを回答する。データリンク層終端手段２３は正当な端末であるとの回答を待って、端末装置１７との間にデータリンクを設定する。仮に正当な端末ではないとの回答を得たとすると、データリンク層終端手段２３は端末装置１７との間にデータリンクを設定しない。認証サーバ１４と端末装置１７の間の認証手順としては本実施例ではＩＥＥＥ８０２．１ｘ規格を想定するが、勿論他の手順でも構わない。
【００２５】
続いて、ＩＰアドレス監視手段２７は端末装置１７がデータリンク上で最初に送信するＩＰパケットを監視し、送信元ＩＰアドレスフィールドからＩＰアドレス１７１を取得する。ＩＰアドレス記憶域２７０には有効なＩＰアドレスが書き込まれておらず従ってＩＰアドレス１７１と一致しないため、データリンク層終端手段２３は認証サーバ１４のＩＰアドレス登録手段４１に対してＩＰアドレス登録依頼を送信する。ＩＰアドレス登録手段４１はＩＰアドレス記憶域４５０〜４７０に書き込まれている有効なＩＰアドレス、即ちＩＰアドレス１５１とＩＰアドレス１６１のいずれともＩＰアドレス１７１が一致しないことを確認すると、登録許可を応答する。ＩＰアドレス監視手段２７は登録許可を待って、ＩＰアドレス１７１をＩＰアドレス記憶域２７０に書き込み、保留していたＩＰパケットを転送する。
【００２６】
外部ネットワーク１９からＩＰアドレス１５１を送信元ＩＰアドレスフィールドに設定されたＩＰパケットを受信すると、ファイアウォール１３の外部ネットワーク接続手段３０はＩＰアドレス１５１がＩＰアドレス記憶域３０１に書き込まれたＩＰアドレスと一致することを検出し、該ＩＰパケットを破棄する。
【００２７】
電子商取引サーバ１８は端末装置１６から物品またはコンテンツまたはサービスの注文を受けると、注文を構成するＩＰパケットの送信元ＩＰパケットフィールドからＩＰアドレス１６１を取得する。電子商取引サーバは認証サーバ１４に対して、ＩＰアドレス１６１に対応する端末装置を問い合わせる。認証サーバ１４はＩＰアドレス記憶域４６０に書き込まれたＩＰアドレスがＩＰアドレス１６１と一致することを確認し、ＩＰアドレス１６１を使用する端末装置が端末装置１６であることを回答する。
【００２８】
本実施例ではＩＰアドレスの種類としてＩＰｖ４アドレスとＩＰｖ６アドレスの２種類のみを採用しているが、ＩＰｖ６グローバルユニキャストアドレス、ＩＰｖ６サイトローカルアドレス、ＩＰｖ６リンクローカルアドレスなど、より詳細な分類を用いることも可能である。
【００２９】
［実施の形態３］
［構成の説明］
続いて本発明の第３の実施形態を説明する。本実施形態のネットワーク構成は第１および第２の実施形態と共通である。本実施形態のＩＰネットワーク１はＩＰｖ４プロトコルとＩＰｖ６プロトコルの２種類のＩＰプロトコルを用いるものとする。ＩＰｖ４プロトコルとＩＰｖ６プロトコルの区別はデータリンクフレームのヘッダ部により弁別できる。
【００３０】
図６は本実施形態ＩＰネットワーク１を構成するハブ１１の構成を示すブロック図である。ハブ１１は、データリンク層終端手段２０〜２３、データリンクフレーム交換手段２４、ＩＰアドレス監視手段２５〜２７から構成される。データリンク層終端手段２０〜２３は１００ＢＡＳＥ−Ｔイーサネット規格に準拠するデータリンクポートであり、データリンクフレーム交換手段２４により相互に接続される。データリンク層終端手段２１〜２３にはＩＰアドレス監視手段２５〜２７がそれぞれ接続する。ルータ１０はデータリンク層終端手段２０に接続し、端末装置１５〜１７はデータリンク層終端装置２１〜２３にそれぞれ接続される。データリンク層終端手段２１〜２３に接続するＩＰアドレス監視手段２５〜２７は、端末装置１５〜１７のＩＰｖ４アドレスを記憶するためのＩＰｖ４アドレス記憶域２５０〜２７０とＩＰｖ６アドレスを記憶するためのＩＰｖ６アドレス記憶域２５１〜２７１を備える。
【００３１】
図７は本実施例のＩＰネットワーク１を構成するファイアウォール１３の構成を示すブロック図である。ファイアウォール１３はＩＰネットワーク１と外部ネットワーク１９を相互に接続する外部ネットワーク接続手段３０を備える。外部ネットワーク接続手段３０はＩＰネットワーク内で使用可能なＩＰｖ４アドレスの記憶域３０１〜３０ＮとＩＰｖ６アドレスの記憶域３１１〜３１Ｍを有する。
【００３２】
図８は本実施例のＩＰネットワーク１を構成する認証サーバ１４の構成を示すブロック図である。認証サーバ１４は、端末認証手段４０とＩＰアドレス登録手段４１を備える。端末認証手段４０は、ＩＰネットワーク１を利用可能な端末装置１５〜１７のＭＡＣアドレス１５０〜１７０を記憶する。ＩＰアドレス登録手段は、端末装置１５〜１７のＩＰｖ４アドレスとＩＰｖ６アドレスを記憶するため、端末装置１５〜１７に対応してＩＰｖ４アドレス記憶域４５０〜４７０とＩＰｖ６アドレス記憶域４５１〜４７１を備える。
【００３３】
［動作の説明］
端末装置１５、端末装置１６および端末装置１７のＭＡＣアドレスはそれぞれＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０とし、ＩＰｖ４アドレスはそれぞれＩＰｖ４アドレス１５１、ＩＰｖ４アドレス１６１およびＩＰｖ４アドレス１７１、ＩＰｖ６アドレスはそれぞれＩＰｖ６アドレス１５２、ＩＰｖ６アドレス１６２、ＩＰｖ６アドレス１７２を使用するものとする。認証サーバ１４の端末認証手段４０は、ＩＰネットワーク１の正当な端末のＭＡＣアドレスとしてＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０を記憶しているものとする。ファイアウォール１３の外部ネットワーク接続手段３０のＩＰｖ４アドレス記憶域３０１〜３０３には、ＩＰネットワーク１内で使用可能なＩＰｖ４アドレスとしてそれぞれＩＰｖ４アドレス１５１、ＩＰｖ４アドレス１６１およびＩＰｖ４アドレス１７１を記憶し、ＩＰネットワーク１内で使用可能なＩＰｖ６アドレスとしてそれぞれＩＰｖ６アドレス１５２、ＩＰｖ６アドレス１６２およびＩＰｖ６アドレス１７２を記憶しているものとする。
【００３４】
今、端末装置１５と端末装置１６がそれぞれハブ１１のデータリンク層終端手段２１とハブ１１のデータリンク層終端手段２２に接続されているものとする。ＩＰｖ４アドレス記憶域２５０とＩＰｖ４アドレス記憶域２６０にはそれぞれ端末１５のＩＰｖ４アドレス１５１と端末１６のＩＰｖ４アドレス１６１が書き込まれ、ＩＰｖ６アドレス記憶域２５１とＩＰｖ６アドレス記憶域２６１にはそれぞれ端末１５のＩＰｖ６アドレス１５２と端末１６のＩＰｖ６アドレス１６２が書き込まれているものとする。認証サーバ１４のＩＰｖ４アドレス記憶域４５０とＩＰｖ４アドレス記憶域４６０にはそれぞれ端末１５のＩＰｖ４アドレス１５１と端末１６のＩＰｖ４アドレス１６１が書き込まれ、ＩＰｖ６アドレス記憶域４５１とＩＰｖ６アドレス記憶域４６１にはそれぞれ端末１５のＩＰｖ６アドレス１５２と端末１６のＩＰｖ６アドレス１６２が書き込まれているものとする。ハブ１１のデータリンク層終端手段２３には端末装置が接続されておらず、従って、ＩＰｖ４アドレス記憶域２７０とＩＰｖ６アドレス記憶域２７１、認証サーバ１４のＩＰｖ４アドレス記憶域４７０とＩＰｖ６アドレス記憶域４７１には有効なＩＰアドレスが書き込まれていないものとする。
【００３５】
この状態において、端末装置１７をハブ１１のデータリンク層終端手段２３に接続するものとする。データリンク層終端手段２３は端末装置１７とデータリンクフレームを交換し、端末装置１７のＭＡＣアドレス１７０を取得する。データリンク層終端手段２３は端末装置１７を認証するため、認証サーバ１４の端末認証手段４０に対してＭＡＣアドレス１７０を有する端末装置１７がＩＰネットワーク１の正当な端末であるか問い合わせる。端末認証手段４０はＭＡＣアドレス１７０が端末認証手段４０の記憶するＭＡＣアドレスの一つであることを確認し、正当な端末であることを回答する。データリンク層終端手段２３は正当な端末であるとの回答を待って、端末装置１７との間にデータリンクを設定する。仮に正当な端末ではないとの回答を得たとすると、データリンク層終端手段２３は端末装置１７との間にデータリンクを設定しない。
【００３６】
続いて、ＩＰアドレス監視手段２７は端末装置１７がデータリンク上で最初に送信するＩＰパケットを監視し、データリンクフレームのヘッダによりＩＰｖ４パケットまたはＩＰｖ６パケットのいずれであるか判定し、送信元ＩＰアドレスフィールドからＩＰｖ４アドレス１７１またはＩＰｖ６アドレス１７２を取得する。ここではＩＰｖ６アドレスを取得するものとする。ＩＰｖ６アドレス記憶域２７１には有効なＩＰｖ６アドレスが書き込まれておらず、従ってＩＰｖ６アドレス１７２と一致しないため、データリンク層終端手段２３は認証サーバ１４のＩＰアドレス登録手段４１に対してＩＰアドレス登録依頼を送信する。ＩＰアドレス登録手段４１はＩＰｖ６アドレス記憶域４５１〜４７１に書き込まれている有効なＩＰｖ６アドレス、即ちＩＰｖ６アドレス１５２とＩＰｖ６アドレス１６２のいずれともＩＰｖ６アドレス１７２が一致しないことを確認すると、登録許可を応答する。ＩＰアドレス監視手段２７は登録許可を待って、ＩＰｖ６アドレス１７２をＩＰアドレス記憶域２７１に書き込み、保留していたＩＰパケットを転送する。
【００３７】
外部ネットワーク１９からＩＰｖ６アドレス１５２を送信元ＩＰアドレスフィールドに設定されたＩＰｖ６パケットを受信すると、ファイアウォール１３の外部ネットワーク接続手段３０はＩＰｖ６アドレス１５２がＩＰアドレス記憶域３１１に書き込まれたＩＰアドレスと一致することを検出し、該ＩＰパケットを破棄する。
【００３８】
電子商取引サーバ１８は端末装置１６から物品またはコンテンツまたはサービスの注文を受けると、注文を構成するＩＰｖ６パケットの送信元ＩＰパケットフィールドからＩＰｖ６アドレス１６２を取得する。電子商取引サーバは認証サーバ１４に対して、ＩＰｖ６アドレス１６２に対応する端末装置を問い合わせる。認証サーバ１４はＩＰｖ６アドレス記憶域４６１に書き込まれたＩＰｖ６アドレスがＩＰｖ６アドレス１６２と一致することを確認し、ＩＰｖ６アドレス１６２を使用する端末装置が端末装置１６であることを回答する。
【００３９】
以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【００４０】
【発明の効果】
本発明のＩＰネットワークは上記のように構成されているので、同時に２台以上の端末装置が同一のＩＰアドレスを使用することが無いため、端末装置が送信するＩＰパケットの送信元ＩＰアドレスから端末装置を特定することができ、従って、ＩＰアドレスを端末アイデンティティとして使用できるという効果がある。
【図面の簡単な説明】
【図１】本発明の第１および第２および第３の実施形態のネットワーク構成図である。
【図２】本発明の第１および第２の実施形態のハブ１１の構成を示すブロック図である。
【図３】本発明の第１および第２の実施形態のファイアウォール１３の構成を示すブロック図である。
【図４】本発明の第１の実施形態の認証サーバ１４の構成を示すブロック図である。
【図５】本発明の第２の実施形態の認証サーバ１４の構成を示すブロック図である。
【図６】本発明の第３の実施形態のハブ１１の構成を示すブロック図である。
【図７】本発明の第３の実施形態のファイアウォール１３の構成を示すブロック図である。
【図８】本発明の第３の実施形態の認証サーバ１４の構成を示すブロック図である。
【符号の説明】
１…ＩＰネットワーク、１０…ルータ、１１…ハブ、１２…ハブ、１３…ファイアウォール、１４…認証サーバ、１５…端末装置、１６…端末装置、１７…端末装置、１５０…端末装置１５のＭＡＣアドレス、１６０…端末装置１６のＭＡＣアドレス、１７０…端末装置１７のＭＡＣアドレス、１８…電子商取引サーバ、１９…外部ネットワーク、２０…データリンク層終端手段、２１…データリンク層終端手段、２２…データリンク層終端手段、２３…データリンク層終端手段、２４…データリンクフレーム交換手段、２５…ＩＰアドレス監視手段、２６…ＩＰアドレス監視手段、２７…ＩＰアドレス監視手段、２５０…ＩＰアドレス記憶域、２６０…ＩＰアドレス記憶域、２７０…ＩＰアドレス記憶域、３０…外部ネットワーク接続手段、３０１〜３０Ｎ…ＩＰネットワーク１内で使用可能なＩＰアドレス、４０…端末認証手段、４１…ＩＰアドレス登録手段、４５０…ＩＰアドレス記憶域、４６０…ＩＰアドレス記憶域、４７０…ＩＰアドレス記憶域。
【発明の属する技術分野】
本発明は、ＩＰネットワークにおいて端末が使用するＩＰアドレスの正当性を保証し、ＩＰアドレスを端末アイデンティティとして使用できるＩＰネットワークに関する。
【０００２】
【従来の技術】
ＩＰネットワーク上の電子商取引サーバ等は注文主のアイデンティティを確認する手段として専らＩＤとパスワードを使用している。また、一部の電子商取引サーバは、ＩＤ／パスワード認証よりも技術的に高度な電子証明書認証等を採用している。回線交換型電話網では発信者電話番号により発信回線に従って注文主のアイデンティティを特定出来るが、ＩＰネットワークにおいては送信元ＩＰアドレスから発信回線または発信端末を特定することができない。これは、ＩＰネットワークではＤＨＣＰによる動的なＩＰアドレス割当、アドレス変換装置、ＩＰアドレス詐称が存在するため、送信元ＩＰアドレスから必ずしも発信者を特定出来ないという事情による。
【０００３】
ＤＨＣＰによる動的なＩＰアドレス割当やアドレス変換はネットワーク設計者が意図的に導入するものであるため、アドレス空間が潤沢でありかつセキュリティ条件が許容すれば、これらは使用しないことも可能である。従って、ＩＰアドレスの正当性を保証しＩＰアドレスを端末アイデンティティとして使用するためには、ＩＰアドレス詐称を排除すればよい。ＬＡＮを構成するハブやルータ等の端末収容装置は端末装置を認証しないので、端末装置に適切なＩＰアドレスと経路情報を設定し端末収容装置に接続するだけでＩＰネットワークを利用できることからＩＰアドレス詐称が発生する。しかしながら、特開２０００−２０１１４３、特開２００１−１１１５４４および特開２００１−２１１１８０に示されるように、近年はＬＡＮにおいても端末装置のＭＡＣアドレスを検査し、不正な端末装置を識別し排除する仕組みが検討されている。しかし、端末装置のＭＡＣアドレスはＩＰパケットがルータを通過する時にルータのＭＡＣアドレスで書き換えられてしまうため、端末装置のＭＡＣアドレスは電子商取引サーバが端末装置を特定する手段としては不適当である。
【０００４】
【発明が解決しようとする課題】
上述したＩＰアドレス詐称のため、ＩＰネットワークではＩＰアドレスを端末アイデンティティとして利用できない。そこで本発明は、ＩＰアドレス詐称を排除し、ＩＰアドレスを端末アイデンティティとして利用可能とすることを目的とする。
【０００５】
【課題を解決するための手段】
本発明のＩＰネットワークは、ルータ等のネットワーク層中継装置、ブリッジ等のデータリンク層中継装置、リピータ等の物理層中継装置、認証サーバおよびＤＨＣＰサーバおよび電子商取引サーバ等のサーバ装置から構成され、ポイント・ツー・ポイント型データリンクを介して端末装置を収容するＩＰネットワークであって、上記課題を解決するため、データリンク確立時に端末装置を認証する端末認証手段と、端末装置が使用するＩＰアドレスを記憶し、ＩＰアドレス登録要求を受けて記憶してある全てのＩＰアドレスと照合して一致するＩＰアドレスが存在しない場合には端末装置のＩＰアドレスとして新たに記憶して登録成功を応答し、一致するＩＰアドレスが存在する場合は登録失敗を応答し、またＩＰアドレス削除要求を受けてＩＰアドレスを削除するＩＰアドレス登録手段と、端末認証手段により認証された端末装置との間にデータリンクを設定し、端末認証手段により認証を否認された端末装置および未だ認証されていない端末装置との間にはデータリンクを設定しないデータリンク層終端手段と、データリンクフレーム内のＩＰパケットを監視し、端末装置のＩＰアドレスを記憶し、端末装置が送信するＩＰパケットの送信元ＩＰアドレスが記憶してあるＩＰアドレスと異なる場合に該ＩＰパケットの転送を保留しＩＰアドレス登録手段へＩＰアドレス登録要求を送信し、ＩＰアドレス登録成功を受信すると該ＩＰパケットの送信元ＩＰアドレスで更新して該ＩＰパケットを転送し、ＩＰアドレス登録失敗を受信するとＩＰアドレスを更新せずに該ＩＰパケットを転送しないＩＰアドレス監視手段を有する。
【０００６】
また、ＩＰアドレスにはＩＰｖ４アドレスやＩＰｖ６アドレス等各種分類が存在し、１台の端末装置がこれら複数種類のＩＰアドレスを同時使用することがあることから、本発明のＩＰネットワークは、ＩＰアドレスを１以上の型に分類するＩＰアドレス分類手段と、ＩＰアドレスの分類手段の分類に従ってＩＰアドレスを記憶し照合するＩＰアドレス登録手順と、ＩＰアドレス分類手段の分類に従ってＩＰアドレスを記憶し照合するＩＰアドレス監視手段を有してもよい。
【０００７】
更に、ＩＰネットワーク内において端末装置が使用することのできるＩＰアドレスの値は予め限定されていることが一般的であるから、本発明のＩＰネットワークは、ＩＰネットワークにおいて端末装置が使用可能な１以上のＩＰアドレスを記憶し、登録要求受信時は記憶してあるＩＰアドレスとの照合に加えて、使用可能なＩＰアドレスである場合に登録して登録成功を応答し、使用可能なＩＰアドレスでなければ登録失敗を応答するＩＰアドレス登録手段を有してもよい。
【０００８】
本発明のＩＰネットワークは外部ネットワークとの相互接続のために、外部ネットワークとの間でＩＰパケットを送受信し、外部ネットワークから受信するＩＰパケットの送信元ＩＰアドレスが使用可能なＩＰアドレスでない場合に該ＩＰパケットをＩＰネットワークに転送し、使用可能なＩＰアドレスである場合は該パケットをＩＰネットワークに転送しない外部ネットワーク接続手段を有してもよい。
【０００９】
また、ＩＰアドレス登録手段は、ＩＰアドレス削除依頼を受信するとＩＰアドレスを削除するとともに、ＩＰアドレスを使用不能ＩＰアドレスとして一定期間記憶し、ＩＰアドレス登録依頼を受信すると端末装置毎に記憶してあるＩＰアドレスと照合するだけではなく、使用不能ＩＰアドレスとも照合するようにしてもよい。
【００１０】
【発明の実施の形態】
本発明のＩＰネットワークの実施形態を図面を用いて詳細に説明する。
［実施の形態１］
［構成の説明］
図１は本発明の第１の実施形態のネットワーク構成図である。本実施形態のＩＰネットワーク１は、ルータ１０、ハブ１１〜１２、ファイアウォール１３、認証サーバ１４から構成され、ハブ１１とハブ１２はルータ１０を介して相互に接続されている。ファイアウォール１３と認証サーバ１４はハブ１２に接続されている。端末装置１５〜１７はハブ１１に接続されている。電子商取引サーバ１８はハブ１２に、外部ネットワーク１９はファイアウォール１３にそれぞれ接続されている。
【００１１】
図２は図１のＩＰネットワーク１を構成するハブ１１の構成を示すブロック図である。ハブ１１は、データリンク層終端手段２０〜２３、データリンクフレーム交換手段２４、ＩＰアドレス監視手段２５〜２７から構成される。データリンク層終端手段２０〜２３は１００ＢＡＳＥ−Ｔイーサネット規格に準拠するデータリンクポートであり、データリンクフレーム交換手段２４により相互に接続される。データリンク層終端手段２１〜２３にはＩＰアドレス監視手段２５〜２７がそれぞれ接続する。ルータ１０はデータリンク層終端手段２０に接続し、端末装置１５〜１７はデータリンク層終端装置２１〜２３にそれぞれ接続される。データリンク層終端手段２１〜２３に接続するＩＰアドレス監視手段２５〜２７は、端末装置１５〜１７のＩＰアドレスを記憶するためのＩＰアドレス記憶域２５０〜２７０を備える。
【００１２】
図３は図１のＩＰネットワーク１を構成するファイアウォール１３の構成を示すブロック図である。ファイアウォール１３はＩＰネットワーク１と外部ネットワーク１９を相互に接続する外部ネットワーク接続手段３０を備える。外部ネットワーク接続手段３０はＩＰネットワーク内で使用可能なＩＰアドレスの記憶域３０１〜３０Ｎを有する。
【００１３】
図４は図１のＩＰネットワーク１を構成する認証サーバ１４の構成を示すブロック図である。認証サーバ１４は、端末認証手段４０とＩＰアドレス登録手段４１を備える。端末認証手段４０は、ＩＰネットワーク１を利用可能な端末装置１５〜１７のＭＡＣアドレス１５０〜１７０を記憶する。ＩＰアドレス登録手段は、端末装置１５〜１７のＩＰアドレスを記憶するため、端末装置１５〜１７に対応してＩＰアドレス記憶域４５０〜４７０を備える。
【００１４】
［動作の説明］
端末装置１５、端末装置１６および端末装置１７のＭＡＣアドレスはそれぞれＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０とし、ＩＰアドレスはそれぞれＩＰアドレス１５１、ＩＰアドレス１６１およびＩＰアドレス１７１を使用するものとする。認証サーバ１４の端末認証手段４０は、ＩＰネットワーク１の正当な端末のＭＡＣアドレスとしてＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０を記憶しているものとする。ファイアウォール１３の外部ネットワーク接続手段３０のＩＰアドレス記憶域３０１〜３０３には、ＩＰネットワーク１内で使用可能なＩＰアドレスとしてそれぞれＩＰアドレス１５１、ＩＰアドレス１６１およびＩＰアドレス１７１を記憶しているものとする。
【００１５】
今、端末装置１５と端末装置１６がそれぞれハブ１１のデータリンク層終端手段２１とハブ１１のデータリンク層終端手段２２に接続されているものとする。ＩＰアドレス記憶域２５０とＩＰアドレス記憶域２６０にはそれぞれ端末１５のＩＰアドレス１５１と端末１６のＩＰアドレス１６１が書き込まれているものとする。認証サーバ１４のＩＰアドレス記憶域４５０とＩＰアドレス記憶域４６０にはそれぞれ端末１５のＩＰアドレス１５１と端末１６のＩＰアドレス１６１が書き込まれているものとする。ハブ１１のデータリンク層終端手段２３には端末装置が接続されておらず、従って、ＩＰアドレス記憶域２７０と認証サーバ１４のＩＰアドレス記憶域４７０には有効なＩＰアドレスが書き込まれていないものとする。
【００１６】
この状態において、端末装置１７をハブ１１のデータリンク層終端手段２３に接続するものとする。データリンク層終端手段２３は端末装置１７とデータリンクフレームを交換し、端末装置１７のＭＡＣアドレス１７０を取得する。データリンク層終端手段２３は端末装置１７を認証するため、認証サーバ１４の端末認証手段４０に対してＭＡＣアドレス１７０を有する端末装置１７がＩＰネットワーク１の正当な端末であるか問い合わせる。端末認証手段４０はＭＡＣアドレス１７０が端末認証手段４０の記憶するＭＡＣアドレスの一つであることを確認し、正当な端末であることを回答する。データリンク層終端手段２３は正当な端末であるとの回答を待って、端末装置１７との間にデータリンクを設定する。仮に正当な端末ではないとの回答を得たとすると、データリンク層終端手段２３は端末装置１７との間にデータリンクを設定しない。
【００１７】
続いて、ＩＰアドレス監視手段２７は端末装置１７がデータリンク上で最初に送信するＩＰパケットを監視し、送信元ＩＰアドレスフィールドからＩＰアドレス１７１を取得する。ＩＰアドレス記憶域２７０には有効なＩＰアドレスが書き込まれておらず従ってＩＰアドレス１７１と一致しないため、データリンク層終端手段２３は認証サーバ１４のＩＰアドレス登録手段４１に対してＩＰアドレス登録依頼を送信する。ＩＰアドレス登録手段４１はＩＰアドレス記憶域４５０〜４７０に書き込まれている有効なＩＰアドレス、即ちＩＰアドレス１５１とＩＰアドレス１６１のいずれともＩＰアドレス１７１が一致しないことを確認すると、登録許可を応答する。ＩＰアドレス監視手段２７は登録許可を待って、ＩＰアドレス１７１をＩＰアドレス記憶域２７０に書き込み、保留していたＩＰパケットを転送する。
【００１８】
外部ネットワーク１９からＩＰアドレス１５１を送信元ＩＰアドレスフィールドに設定されたＩＰパケットを受信すると、ファイアウォール１３の外部ネットワーク接続手段３０はＩＰアドレス１５１がＩＰアドレス記憶域３０１に書き込まれたＩＰアドレスと一致することを検出し、該ＩＰパケットを破棄する。
【００１９】
電子商取引サーバ１８は端末装置１６から物品またはコンテンツまたはサービスの注文を受けると、注文を構成するＩＰパケットの送信元ＩＰパケットフィールドからＩＰアドレス１６１を取得する。電子商取引サーバは認証サーバ１４に対して、ＩＰアドレス１６１に対応する端末装置を問い合わせる。認証サーバ１４はＩＰアドレス記憶域４６０に書き込まれたＩＰアドレスがＩＰアドレス１６１と一致することを確認し、ＩＰアドレス１６１を使用する端末装置が端末装置１６であることを回答する。
【００２０】
［実施の形態２］
［構成の説明］
続いて本発明の第２の実施形態を説明する。ＩＰネットワーク１のネットワーク構成図１、ハブ１１のブロック構成図２、ファイアウォール１３のブロック構成図３は第１の実施形態と共通である。
【００２１】
図５は本発明の認証サーバ１４の構成を示すブロック図である。認証サーバ１４は、端末認証手段４０とＩＰアドレス登録手段４１を備える。端末認証手段４０は、ＩＰネットワーク１を利用可能な端末装置１５〜１７の端末認証情報１５２〜１７２を記憶する。ＩＰアドレス登録手段は、端末装置１５〜１７のＩＰアドレスを記憶するため、端末装置１５〜１７に対応してＩＰアドレス記憶域４５０〜４７０を備える。
【００２２】
［動作の説明］
端末装置１５、端末装置１６および端末装置１７のＭＡＣアドレスはそれぞれＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０とし、ＩＰアドレスはそれぞれＩＰアドレス１５１、ＩＰアドレス１６１およびＩＰアドレス１７１を使用するものとする。認証サーバ１４の端末認証手段４０は、ＩＰネットワーク１の正当な端末の端末認証情報として端末認証情報１５２、端末認証情報１６２および端末認証情報１７２を記憶し、ファイアウォール１３の外部ネットワーク接続手段３０のＩＰアドレス記憶域３０１〜３０３には、ＩＰネットワーク１内で使用可能なＩＰアドレスとしてそれぞれＩＰアドレス１５１、ＩＰアドレス１６１およびＩＰアドレス１７１を記憶しているものとする。
【００２３】
今、端末装置１５と端末装置１６がそれぞれハブ１１のデータリンク層終端手段２１とハブ１１のデータリンク層終端手段２２に接続されているものとする。ＩＰアドレス記憶域２５０とＩＰアドレス記憶域２６０にはそれぞれ端末１５のＩＰアドレス１５１と端末１６のＩＰアドレス１６１が書き込まれているものとする。認証サーバ１４のＩＰアドレス記憶域４５０とＩＰアドレス記憶域４６０にはそれぞれ端末１５のＩＰアドレス１５１と端末１６のＩＰアドレス１６１が書き込まれているものとする。ハブ１１のデータリンク層終端手段２３には端末装置が接続されておらず、従って、ＩＰアドレス記憶域２７０と認証サーバ１４のＩＰアドレス記憶域４７０には有効なＩＰアドレスが書き込まれていないものとする。
【００２４】
この状態において、端末装置１７をハブ１１のデータリンク層終端手段２３に接続するものとする。データリンク層終端手段２３は認証サーバ１４と通信チャネルを設定し、認証サーバ１４と端末装置１７の通信を中継する。認証サーバ１４の端末認証手段４０は端末認証情報１７２を用いて端末１７を認証し、端末装置１７が正当な端末であることを回答する。データリンク層終端手段２３は正当な端末であるとの回答を待って、端末装置１７との間にデータリンクを設定する。仮に正当な端末ではないとの回答を得たとすると、データリンク層終端手段２３は端末装置１７との間にデータリンクを設定しない。認証サーバ１４と端末装置１７の間の認証手順としては本実施例ではＩＥＥＥ８０２．１ｘ規格を想定するが、勿論他の手順でも構わない。
【００２５】
続いて、ＩＰアドレス監視手段２７は端末装置１７がデータリンク上で最初に送信するＩＰパケットを監視し、送信元ＩＰアドレスフィールドからＩＰアドレス１７１を取得する。ＩＰアドレス記憶域２７０には有効なＩＰアドレスが書き込まれておらず従ってＩＰアドレス１７１と一致しないため、データリンク層終端手段２３は認証サーバ１４のＩＰアドレス登録手段４１に対してＩＰアドレス登録依頼を送信する。ＩＰアドレス登録手段４１はＩＰアドレス記憶域４５０〜４７０に書き込まれている有効なＩＰアドレス、即ちＩＰアドレス１５１とＩＰアドレス１６１のいずれともＩＰアドレス１７１が一致しないことを確認すると、登録許可を応答する。ＩＰアドレス監視手段２７は登録許可を待って、ＩＰアドレス１７１をＩＰアドレス記憶域２７０に書き込み、保留していたＩＰパケットを転送する。
【００２６】
外部ネットワーク１９からＩＰアドレス１５１を送信元ＩＰアドレスフィールドに設定されたＩＰパケットを受信すると、ファイアウォール１３の外部ネットワーク接続手段３０はＩＰアドレス１５１がＩＰアドレス記憶域３０１に書き込まれたＩＰアドレスと一致することを検出し、該ＩＰパケットを破棄する。
【００２７】
電子商取引サーバ１８は端末装置１６から物品またはコンテンツまたはサービスの注文を受けると、注文を構成するＩＰパケットの送信元ＩＰパケットフィールドからＩＰアドレス１６１を取得する。電子商取引サーバは認証サーバ１４に対して、ＩＰアドレス１６１に対応する端末装置を問い合わせる。認証サーバ１４はＩＰアドレス記憶域４６０に書き込まれたＩＰアドレスがＩＰアドレス１６１と一致することを確認し、ＩＰアドレス１６１を使用する端末装置が端末装置１６であることを回答する。
【００２８】
本実施例ではＩＰアドレスの種類としてＩＰｖ４アドレスとＩＰｖ６アドレスの２種類のみを採用しているが、ＩＰｖ６グローバルユニキャストアドレス、ＩＰｖ６サイトローカルアドレス、ＩＰｖ６リンクローカルアドレスなど、より詳細な分類を用いることも可能である。
【００２９】
［実施の形態３］
［構成の説明］
続いて本発明の第３の実施形態を説明する。本実施形態のネットワーク構成は第１および第２の実施形態と共通である。本実施形態のＩＰネットワーク１はＩＰｖ４プロトコルとＩＰｖ６プロトコルの２種類のＩＰプロトコルを用いるものとする。ＩＰｖ４プロトコルとＩＰｖ６プロトコルの区別はデータリンクフレームのヘッダ部により弁別できる。
【００３０】
図６は本実施形態ＩＰネットワーク１を構成するハブ１１の構成を示すブロック図である。ハブ１１は、データリンク層終端手段２０〜２３、データリンクフレーム交換手段２４、ＩＰアドレス監視手段２５〜２７から構成される。データリンク層終端手段２０〜２３は１００ＢＡＳＥ−Ｔイーサネット規格に準拠するデータリンクポートであり、データリンクフレーム交換手段２４により相互に接続される。データリンク層終端手段２１〜２３にはＩＰアドレス監視手段２５〜２７がそれぞれ接続する。ルータ１０はデータリンク層終端手段２０に接続し、端末装置１５〜１７はデータリンク層終端装置２１〜２３にそれぞれ接続される。データリンク層終端手段２１〜２３に接続するＩＰアドレス監視手段２５〜２７は、端末装置１５〜１７のＩＰｖ４アドレスを記憶するためのＩＰｖ４アドレス記憶域２５０〜２７０とＩＰｖ６アドレスを記憶するためのＩＰｖ６アドレス記憶域２５１〜２７１を備える。
【００３１】
図７は本実施例のＩＰネットワーク１を構成するファイアウォール１３の構成を示すブロック図である。ファイアウォール１３はＩＰネットワーク１と外部ネットワーク１９を相互に接続する外部ネットワーク接続手段３０を備える。外部ネットワーク接続手段３０はＩＰネットワーク内で使用可能なＩＰｖ４アドレスの記憶域３０１〜３０ＮとＩＰｖ６アドレスの記憶域３１１〜３１Ｍを有する。
【００３２】
図８は本実施例のＩＰネットワーク１を構成する認証サーバ１４の構成を示すブロック図である。認証サーバ１４は、端末認証手段４０とＩＰアドレス登録手段４１を備える。端末認証手段４０は、ＩＰネットワーク１を利用可能な端末装置１５〜１７のＭＡＣアドレス１５０〜１７０を記憶する。ＩＰアドレス登録手段は、端末装置１５〜１７のＩＰｖ４アドレスとＩＰｖ６アドレスを記憶するため、端末装置１５〜１７に対応してＩＰｖ４アドレス記憶域４５０〜４７０とＩＰｖ６アドレス記憶域４５１〜４７１を備える。
【００３３】
［動作の説明］
端末装置１５、端末装置１６および端末装置１７のＭＡＣアドレスはそれぞれＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０とし、ＩＰｖ４アドレスはそれぞれＩＰｖ４アドレス１５１、ＩＰｖ４アドレス１６１およびＩＰｖ４アドレス１７１、ＩＰｖ６アドレスはそれぞれＩＰｖ６アドレス１５２、ＩＰｖ６アドレス１６２、ＩＰｖ６アドレス１７２を使用するものとする。認証サーバ１４の端末認証手段４０は、ＩＰネットワーク１の正当な端末のＭＡＣアドレスとしてＭＡＣアドレス１５０、ＭＡＣアドレス１６０およびＭＡＣアドレス１７０を記憶しているものとする。ファイアウォール１３の外部ネットワーク接続手段３０のＩＰｖ４アドレス記憶域３０１〜３０３には、ＩＰネットワーク１内で使用可能なＩＰｖ４アドレスとしてそれぞれＩＰｖ４アドレス１５１、ＩＰｖ４アドレス１６１およびＩＰｖ４アドレス１７１を記憶し、ＩＰネットワーク１内で使用可能なＩＰｖ６アドレスとしてそれぞれＩＰｖ６アドレス１５２、ＩＰｖ６アドレス１６２およびＩＰｖ６アドレス１７２を記憶しているものとする。
【００３４】
今、端末装置１５と端末装置１６がそれぞれハブ１１のデータリンク層終端手段２１とハブ１１のデータリンク層終端手段２２に接続されているものとする。ＩＰｖ４アドレス記憶域２５０とＩＰｖ４アドレス記憶域２６０にはそれぞれ端末１５のＩＰｖ４アドレス１５１と端末１６のＩＰｖ４アドレス１６１が書き込まれ、ＩＰｖ６アドレス記憶域２５１とＩＰｖ６アドレス記憶域２６１にはそれぞれ端末１５のＩＰｖ６アドレス１５２と端末１６のＩＰｖ６アドレス１６２が書き込まれているものとする。認証サーバ１４のＩＰｖ４アドレス記憶域４５０とＩＰｖ４アドレス記憶域４６０にはそれぞれ端末１５のＩＰｖ４アドレス１５１と端末１６のＩＰｖ４アドレス１６１が書き込まれ、ＩＰｖ６アドレス記憶域４５１とＩＰｖ６アドレス記憶域４６１にはそれぞれ端末１５のＩＰｖ６アドレス１５２と端末１６のＩＰｖ６アドレス１６２が書き込まれているものとする。ハブ１１のデータリンク層終端手段２３には端末装置が接続されておらず、従って、ＩＰｖ４アドレス記憶域２７０とＩＰｖ６アドレス記憶域２７１、認証サーバ１４のＩＰｖ４アドレス記憶域４７０とＩＰｖ６アドレス記憶域４７１には有効なＩＰアドレスが書き込まれていないものとする。
【００３５】
この状態において、端末装置１７をハブ１１のデータリンク層終端手段２３に接続するものとする。データリンク層終端手段２３は端末装置１７とデータリンクフレームを交換し、端末装置１７のＭＡＣアドレス１７０を取得する。データリンク層終端手段２３は端末装置１７を認証するため、認証サーバ１４の端末認証手段４０に対してＭＡＣアドレス１７０を有する端末装置１７がＩＰネットワーク１の正当な端末であるか問い合わせる。端末認証手段４０はＭＡＣアドレス１７０が端末認証手段４０の記憶するＭＡＣアドレスの一つであることを確認し、正当な端末であることを回答する。データリンク層終端手段２３は正当な端末であるとの回答を待って、端末装置１７との間にデータリンクを設定する。仮に正当な端末ではないとの回答を得たとすると、データリンク層終端手段２３は端末装置１７との間にデータリンクを設定しない。
【００３６】
続いて、ＩＰアドレス監視手段２７は端末装置１７がデータリンク上で最初に送信するＩＰパケットを監視し、データリンクフレームのヘッダによりＩＰｖ４パケットまたはＩＰｖ６パケットのいずれであるか判定し、送信元ＩＰアドレスフィールドからＩＰｖ４アドレス１７１またはＩＰｖ６アドレス１７２を取得する。ここではＩＰｖ６アドレスを取得するものとする。ＩＰｖ６アドレス記憶域２７１には有効なＩＰｖ６アドレスが書き込まれておらず、従ってＩＰｖ６アドレス１７２と一致しないため、データリンク層終端手段２３は認証サーバ１４のＩＰアドレス登録手段４１に対してＩＰアドレス登録依頼を送信する。ＩＰアドレス登録手段４１はＩＰｖ６アドレス記憶域４５１〜４７１に書き込まれている有効なＩＰｖ６アドレス、即ちＩＰｖ６アドレス１５２とＩＰｖ６アドレス１６２のいずれともＩＰｖ６アドレス１７２が一致しないことを確認すると、登録許可を応答する。ＩＰアドレス監視手段２７は登録許可を待って、ＩＰｖ６アドレス１７２をＩＰアドレス記憶域２７１に書き込み、保留していたＩＰパケットを転送する。
【００３７】
外部ネットワーク１９からＩＰｖ６アドレス１５２を送信元ＩＰアドレスフィールドに設定されたＩＰｖ６パケットを受信すると、ファイアウォール１３の外部ネットワーク接続手段３０はＩＰｖ６アドレス１５２がＩＰアドレス記憶域３１１に書き込まれたＩＰアドレスと一致することを検出し、該ＩＰパケットを破棄する。
【００３８】
電子商取引サーバ１８は端末装置１６から物品またはコンテンツまたはサービスの注文を受けると、注文を構成するＩＰｖ６パケットの送信元ＩＰパケットフィールドからＩＰｖ６アドレス１６２を取得する。電子商取引サーバは認証サーバ１４に対して、ＩＰｖ６アドレス１６２に対応する端末装置を問い合わせる。認証サーバ１４はＩＰｖ６アドレス記憶域４６１に書き込まれたＩＰｖ６アドレスがＩＰｖ６アドレス１６２と一致することを確認し、ＩＰｖ６アドレス１６２を使用する端末装置が端末装置１６であることを回答する。
【００３９】
以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【００４０】
【発明の効果】
本発明のＩＰネットワークは上記のように構成されているので、同時に２台以上の端末装置が同一のＩＰアドレスを使用することが無いため、端末装置が送信するＩＰパケットの送信元ＩＰアドレスから端末装置を特定することができ、従って、ＩＰアドレスを端末アイデンティティとして使用できるという効果がある。
【図面の簡単な説明】
【図１】本発明の第１および第２および第３の実施形態のネットワーク構成図である。
【図２】本発明の第１および第２の実施形態のハブ１１の構成を示すブロック図である。
【図３】本発明の第１および第２の実施形態のファイアウォール１３の構成を示すブロック図である。
【図４】本発明の第１の実施形態の認証サーバ１４の構成を示すブロック図である。
【図５】本発明の第２の実施形態の認証サーバ１４の構成を示すブロック図である。
【図６】本発明の第３の実施形態のハブ１１の構成を示すブロック図である。
【図７】本発明の第３の実施形態のファイアウォール１３の構成を示すブロック図である。
【図８】本発明の第３の実施形態の認証サーバ１４の構成を示すブロック図である。
【符号の説明】
１…ＩＰネットワーク、１０…ルータ、１１…ハブ、１２…ハブ、１３…ファイアウォール、１４…認証サーバ、１５…端末装置、１６…端末装置、１７…端末装置、１５０…端末装置１５のＭＡＣアドレス、１６０…端末装置１６のＭＡＣアドレス、１７０…端末装置１７のＭＡＣアドレス、１８…電子商取引サーバ、１９…外部ネットワーク、２０…データリンク層終端手段、２１…データリンク層終端手段、２２…データリンク層終端手段、２３…データリンク層終端手段、２４…データリンクフレーム交換手段、２５…ＩＰアドレス監視手段、２６…ＩＰアドレス監視手段、２７…ＩＰアドレス監視手段、２５０…ＩＰアドレス記憶域、２６０…ＩＰアドレス記憶域、２７０…ＩＰアドレス記憶域、３０…外部ネットワーク接続手段、３０１〜３０Ｎ…ＩＰネットワーク１内で使用可能なＩＰアドレス、４０…端末認証手段、４１…ＩＰアドレス登録手段、４５０…ＩＰアドレス記憶域、４６０…ＩＰアドレス記憶域、４７０…ＩＰアドレス記憶域。
Claims (5)
- データリンク確立時に端末装置を認証する端末認証手段と、
端末装置が使用するＩＰアドレスを記憶し、ＩＰアドレス登録要求を受信すると記憶してある全てのＩＰアドレスと照合して一致するＩＰアドレスが存在しない場合には端末装置のＩＰアドレスとして新たに記憶して登録成功を応答し、一致するＩＰアドレスが存在する場合は登録失敗を応答し、またＩＰアドレス削除要求を受信するとＩＰアドレスを削除するＩＰアドレス登録手段と、
を有する認証サーバと、
前記端末認証手段により認証を否認された端末装置および未だ認証されていない端末装置との間にはデータリンクを設定せず前記端末認証手段により認証された端末装置との間にのみデータリンクを設定し、データリンクフレームをネットワーク層中継装置またはデータリンク層中継装置または物理層中継装置に中継するデータリンク層終端手段と、
前記データリンク層終端手段が設定したデータリンク上でＩＰパケットを監視し、端末装置のＩＰアドレスを記憶し、端末装置が送信するＩＰパケットの送信元ＩＰアドレスと記憶してあるＩＰアドレスが異なる場合にＩＰパケットの転送を保留し前記ＩＰアドレス登録手段へＩＰアドレス登録要求を送信し、前記ＩＰアドレス登録手段からＩＰアドレス登録成功を受信すると記憶してあるＩＰパケット値をＩＰパケットの送信元ＩＰアドレスで更新してＩＰパケットを転送し、前記ＩＰアドレス登録手段からＩＰアドレス登録失敗を受信するとＩＰアドレスを更新せずにＩＰパケットを転送しないＩＰアドレス監視手段と、
を有する端末収容装置と、
を有するＩＰネットワークにおいて、
前記認証サーバは、注文を構成するＩＰパケットの送信元ＩＰパケットフィールドから取得されたＩＰアドレスに対応する端末装置の問い合わせを受け、問い合わせを受けたＩＰアドレスと記憶しているＩＰアドレスが一致することを確認し、該ＩＰアドレスを使用する端末装置を回答することを特徴とするＩＰネットワーク。 - 請求項１記載のＩＰネットワークにおいて、
前記ＩＰアドレス登録手段は、ＩＰアドレスの分類に従ってＩＰアドレスを記憶し照合し、
前記ＩＰアドレス監視手段は、前記ＩＰアドレスの分類に従ってＩＰアドレスを登録し削除する、
ことを特徴とするＩＰネットワーク。 - 請求項１または請求項２記載のＩＰネットワークであって、
前記ＩＰアドレス登録手段は、ＩＰネットワークにおいて端末装置が使用可能な１以上のＩＰアドレスを記憶し、登録要求受信時は記憶してあるＩＰアドレスとの照合に加えて、使用可能なＩＰアドレスである場合にのみＩＰアドレスを登録し登録成功を応答し、使用可能なＩＰアドレスでなければＩＰアドレスを登録せずに登録失敗を応答することを特徴とするＩＰネットワーク。 - 請求項３記載のＩＰネットワークであって、
外部ネットワークとの間でＩＰパケットを送受信し、外部ネットワークから受信するＩＰパケットの送信元ＩＰアドレスが自ＩＰネットワーク内で使用可能なＩＰアドレスでない場合にのみＩＰパケットを自ＩＰネットワークに転送し、自ＩＰネットワーク内で使用可能なＩＰアドレスである場合はＩＰパケットを自ＩＰネットワークに転送しない外部ネットワーク接続手段、
を有することを特徴とするＩＰネットワーク。 - 請求項１または請求項２または請求項３または請求項４記載のＩＰネットワークであって、
前記ＩＰアドレス登録手段は、ＩＰアドレス削除依頼を受信するとＩＰアドレスを削除するとともに、ＩＰアドレスを使用不能ＩＰアドレスとして一定期間記憶し、ＩＰアドレス登録依頼を受信すると端末装置毎に記憶してあるＩＰアドレスと照合するだけではなく、使用不能ＩＰアドレスとも照合することを特徴とするＩＰネットワーク。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001369748A JP3833932B2 (ja) | 2001-12-04 | 2001-12-04 | Ｉｐアドレスを端末アイデンティティとして使用可能なｉｐネットワーク |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001369748A JP3833932B2 (ja) | 2001-12-04 | 2001-12-04 | Ｉｐアドレスを端末アイデンティティとして使用可能なｉｐネットワーク |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003169069A JP2003169069A (ja) | 2003-06-13 |
| JP3833932B2 true JP3833932B2 (ja) | 2006-10-18 |
Family
ID=19179088
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001369748A Expired - Fee Related JP3833932B2 (ja) | 2001-12-04 | 2001-12-04 | Ｉｐアドレスを端末アイデンティティとして使用可能なｉｐネットワーク |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3833932B2 (ja) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7733856B2 (en) * | 2004-07-15 | 2010-06-08 | Alcatel-Lucent Usa Inc. | Obtaining path information related to a virtual private LAN services (VPLS) based network |
| CN108668337B (zh) * | 2017-03-31 | 2020-07-28 | 华为技术有限公司 | 关联消息处理装置及方法 |
| JP7148947B2 (ja) * | 2017-06-07 | 2022-10-06 | コネクトフリー株式会社 | ネットワークシステムおよび情報処理装置 |
-
2001
- 2001-12-04 JP JP2001369748A patent/JP3833932B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003169069A (ja) | 2003-06-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7831237B2 (en) | Authenticating mobile network provider equipment | |
| EP1878169B1 (en) | Operator shop selection in broadband access related application | |
| ES2258134T3 (es) | Metodo y aparato para el control del acceso de un dispositivo terminal inalambrico en una red de comunicaciones. | |
| Patel et al. | Securing L2TP using IPsec | |
| CN1722661B (zh) | 认证***、网络线路级联器和认证方法 | |
| US8068414B2 (en) | Arrangement for tracking IP address usage based on authenticated link identifier | |
| US7333482B2 (en) | Route optimization technique for mobile IP | |
| US6907470B2 (en) | Communication apparatus for routing or discarding a packet sent from a user terminal | |
| US7480933B2 (en) | Method and apparatus for ensuring address information of a wireless terminal device in communications network | |
| US20040213237A1 (en) | Network authentication apparatus and network authentication system | |
| US7861076B2 (en) | Using authentication server accounting to create a common security database | |
| WO2011041967A1 (zh) | 匿名通信的方法、注册方法、信息收发方法及*** | |
| US11196702B2 (en) | In-vehicle communication device, and communication control method | |
| WO2015174100A1 (ja) | パケット転送装置、パケット転送システム及びパケット転送方法 | |
| US8819790B2 (en) | Cooperation method and system between send mechanism and IPSec protocol in IPV6 environment | |
| US20100191963A1 (en) | Method for transmission of dhcp messages | |
| JP3833932B2 (ja) | Ｉｐアドレスを端末アイデンティティとして使用可能なｉｐネットワーク | |
| JP5715030B2 (ja) | アクセス回線特定・認証システム | |
| WO2011044807A1 (zh) | 一种匿名通信的注册、通信方法及数据报文的收发*** | |
| JP2010187314A (ja) | 認証機能付きネットワーク中継機器及びそれを用いた端末の認証方法 | |
| JP3678166B2 (ja) | 無線端末の認証方法、無線基地局及び通信システム | |
| Bagnulo et al. | SAVI: The IETF standard in address validation | |
| JP4768547B2 (ja) | 通信装置の認証システム | |
| JP2004072633A (ja) | ＩＰｖ６ノード収容方法およびＩＰｖ６ノード収容システム | |
| WO2011157142A2 (zh) | 报文发送方法和装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060119 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060124 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060327 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20060718 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20060720 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090728 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100728 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100728 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110728 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120728 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130728 Year of fee payment: 7 |
|
| LAPS | Cancellation because of no payment of annual fees |