JP4630296B2

JP4630296B2 - Gateway device and authentication processing method

Info

Publication number: JP4630296B2
Application number: JP2007035048A
Authority: JP
Inventors: 康志高木; 寿一別所; 志郎水野; 恭之市川; 健司沼崎; 真光吉田; 亮一井上
Original assignee: Furukawa Electric Co Ltd; Nippon Telegraph and Telephone Corp; NTT Inc USA
Current assignee: Furukawa Electric Co Ltd; NTT Inc; NTT Inc USA
Priority date: 2007-02-15
Filing date: 2007-02-15
Publication date: 2011-02-09
Anticipated expiration: 2027-02-15
Also published as: JP2008199497A

Description

本発明は、暗号化通信を行うための論理的な回線が確立された端末装置とＶＰＮ事業者に代わり公衆網事業者がユーザの認証を行う際に利用する認証サーバとの間で通信データの中継を行うゲートウェイ装置および認証処理方法に関するものである。 The present invention provides communication data between a terminal device in which a logical line for performing encrypted communication is established and an authentication server used when a public network operator authenticates a user on behalf of a VPN operator. The present invention relates to a gateway device that performs relay and an authentication processing method.

従来では、ユーザが端末装置を用いて公衆網を介してＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）内の事業者の認証サーバにアクセスする場合、公衆網とＶＰＮとの間に介在するゲートウェイ装置と端末装置間で、ＩＫＥプロトコルを用いて論理的な回線を確立させてＩＰｓｅｃ通信を行い、ユーザと通信相手の事業者との間での暗号化通信を可能にしていた（たとえば特許文献１）。さらに、このＩＰｓｅｃ通信では、事業者側の認証サーバと連携することで事業者が直接ゲートウェイを介して端末装置を認証する方法がある。この場合、ＶＰＮ内に設けた認証サーバで認証処理を行うと、ＶＰＮ内でのトラフィックの増大やＶＰＮの事業者側で全ての認証処理を行う煩雑さなどの問題から公衆網側の事業者がＶＰＮ事業者に代わりにユーザの認証を行う場合がある。この公衆網側の事業者がユーザの認証を行う場合には、ＶＰＮ毎に認証サーバを複数設け、各認証サーバでアクセスを要求するユーザの認証を行っていた。 Conventionally, when a user accesses an authentication server of a business operator in a VPN (Virtual Private Network) via a public network using a terminal device, between the gateway device and the terminal device interposed between the public network and the VPN. Then, IPsec communication is performed by establishing a logical line using the IKE protocol, and encrypted communication between a user and a communication partner is enabled (for example, Patent Document 1). Furthermore, in this IPsec communication, there is a method in which a business operator directly authenticates a terminal device via a gateway in cooperation with a business server authentication server. In this case, if the authentication process is performed by the authentication server provided in the VPN, the public network side operator is not allowed due to problems such as an increase in traffic in the VPN and the complexity of performing all the authentication processing on the VPN operator side. A user may be authenticated on behalf of a VPN operator. When a provider on the public network side performs user authentication, a plurality of authentication servers are provided for each VPN, and each authentication server authenticates a user who requests access.

特開２００３−３２２８６号公報JP 2003-32286 A

しかしながら、従来の代行の認証サーバによる認証処理方法では、ＶＰＮ毎に認証サーバを設けているので、ゲートウェイ装置に接続するＶＰＮが多くなると、代行用の認証サーバもそれに合わせて多くなってシステム構成が大規模になってメンテナンスやシステム管理が複雑になるとともに、公衆網内でのデータトラフィックが多くなってデータ通信に支障をきたすことがある。一方、各ＶＰＮへアクセスする端末装置を１台の認証サーバで認証させる場合には、複数のユーザのユーザ名が重複する場合があり、いずれのＶＰＮにアクセスするユーザであるか認証できないことがあった。 However, in the conventional authentication processing method using the proxy authentication server, an authentication server is provided for each VPN. Therefore, when the number of VPNs connected to the gateway device increases, the number of proxy authentication servers increases correspondingly, and the system configuration is increased. As the scale becomes large, maintenance and system management become complicated, and data traffic in the public network increases, which may hinder data communication. On the other hand, when a terminal device accessing each VPN is authenticated by a single authentication server, the user names of a plurality of users may be duplicated, and it may not be possible to authenticate which VPN user is accessing. It was.

本発明は、上記に鑑みてなされたものであって、１台の認証サーバで複数のＶＰＮにアクセスするユーザを認証可能にできるゲートウェイ装置および認証処理方法を提供することを目的とする。 The present invention has been made in view of the above, and an object of the present invention is to provide a gateway device and an authentication processing method capable of authenticating a user who accesses a plurality of VPNs with a single authentication server.

上述した課題を解決し、目的を達成するために、本発明にかかるゲートウェイ装置は、端末装置と当該ゲートウェイ装置との間に接続された公衆網を介して暗号化通信を行うための論理的な回線を確立するとともに、当該ゲートウェイ装置が接続する各ＶＰＮへアクセスする端末装置を認証する認証サーバに前記公衆網を介して接続され、前記端末装置と前記認証サーバとの間で通信データの中継を行うゲートウェイ装置において、前記ゲートウェイ装置を示すアドレス情報と、該ゲートウェイ装置を示すアドレス情報に対応して前記端末装置がアクセスする各ＶＰＮの識別情報を記憶する記憶手段と、前記記憶手段に記憶された記憶内容から前記論理的な回線が確立された端末装置がアクセスするＶＰＮを認識し、前記端末装置への認証要求に対する前記端末装置からの認証応答がある場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行う認証処理手段と、を備えたことを特徴とする。 In order to solve the above-described problems and achieve the object, a gateway device according to the present invention is a logical device for performing encrypted communication via a public network connected between a terminal device and the gateway device. A line is established and connected to an authentication server for authenticating a terminal device accessing each VPN to which the gateway device is connected via the public network, and communication data is relayed between the terminal device and the authentication server. In the gateway device to perform, address information indicating the gateway device, storage means for storing identification information of each VPN accessed by the terminal device corresponding to the address information indicating the gateway device, and stored in the storage means Recognizing the VPN to be accessed by the terminal device with which the logical line is established from the stored contents, it is necessary to authenticate to the terminal device. When there is an authentication response from the terminal device, the VPN identification information accessed by the terminal device is extracted from the stored contents stored in the storage means, and an authentication request including the VPN identification information is sent to the authentication server. And an authentication processing means for performing the processing.

また、本発明にかかるゲートウェイ装置は、上記発明において、前記認証処理手段は、前記端末装置への認証要求に対する前記端末装置からの認証応答に含まれる送信先アドレスが当該ゲートウェイ装置を示すアドレス情報の場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行うことを特徴とする。 The gateway device according to the present invention is the gateway device according to the above invention, wherein the authentication processing means includes a destination address included in an authentication response from the terminal device in response to an authentication request to the terminal device in address information indicating the gateway device. In this case, the identification information of the VPN accessed by the terminal device is extracted from the storage contents stored in the storage means, and an authentication request including the identification information of the VPN is sent to the authentication server.

また、本発明にかかる認証処理方法は、端末装置と当該ゲートウェイ装置との間に接続された公衆網を介して暗号化通信を行うための論理的な回線を確立するとともに、当該ゲートウェイ装置が接続する各ＶＰＮへアクセスする端末装置を認証する認証サーバに前記公衆網を介して接続され、前記端末装置と前記認証サーバとの間で通信データの中継を行う認証処理方法において、前記ゲートウェイ装置を示すアドレス情報と、該ゲートウェイ装置を示すアドレス情報に対応して前記端末装置がアクセスする各ＶＰＮの識別情報を記憶手段に記憶する記憶ステップと、前記記憶ステップで記憶手段に記憶された記憶内容から前記論理的な回線が確立された端末装置がアクセスするＶＰＮを認識し、前記端末装置への認証要求に対する前記端末装置からの認証応答がある場合、前記記憶手段に記憶されたＶＰＮの識別情報の中から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行う認証処理ステップと、を含むことを特徴とする。 Further, the authentication processing method according to the present invention establishes a logical line for performing encrypted communication via a public network connected between a terminal device and the gateway device, and the gateway device connects An authentication processing method connected to an authentication server for authenticating a terminal device accessing each VPN via the public network and relaying communication data between the terminal device and the authentication server. The storage step of storing in the storage means address information and identification information of each VPN accessed by the terminal device corresponding to the address information indicating the gateway device, and the storage content stored in the storage means in the storage step Recognizing a VPN accessed by a terminal device with which a logical line has been established, the terminal in response to an authentication request to the terminal device If there is an authentication response from the device, the VPN identification information accessed by the terminal device is extracted from the VPN identification information stored in the storage means, and an authentication request including the VPN identification information is sent to the authentication server. And an authentication processing step.

また、本発明にかかる認証処理方法は、上記発明において、前記認証処理ステップは、前記端末装置への認証要求に対する前記端末装置からの認証応答に含まれる送信先アドレスが当該ゲートウェイ装置を示すアドレス情報の場合、前記記憶手段に記憶された記憶内容から該端末装置がアクセスするＶＰＮの識別情報を抽出し、該ＶＰＮの識別情報を含む認証要求を前記認証サーバに行うことを特徴とする。 In the authentication processing method according to the present invention as set forth in the invention described above, in the authentication processing step, address information indicating that the transmission destination address included in the authentication response from the terminal device in response to the authentication request to the terminal device indicates the gateway device. In this case, the identification information of the VPN accessed by the terminal device is extracted from the storage contents stored in the storage means, and an authentication request including the identification information of the VPN is sent to the authentication server.

本発明にかかるゲートウェイ装置および認証処理方法は、前記ゲートウェイ装置を示すアドレス情報と、該ゲートウェイ装置を示すアドレス情報に対応して前記端末装置がアクセスする各ＶＰＮの識別情報を記憶手段に記憶し、前記記憶手段に記憶された内容から論理的な回線を確立した端末装置がアクセスするＶＰＮを認識し、端末装置からの認証応答がある場合、記憶手段から抽出したＶＰＮの識別情報を含む認証要求を認証サーバに行い、認証サーバはこの識別情報から端末装置がアクセスするＶＰＮを識別して、このＶＰＮのユーザ情報から端末装置を認証するので、１台の認証サーバで複数のＶＰＮにアクセスするユーザを認証可能にできるという効果を奏する。 The gateway device and the authentication processing method according to the present invention store address information indicating the gateway device and identification information of each VPN accessed by the terminal device corresponding to the address information indicating the gateway device in a storage unit, When the terminal device that established the logical line recognizes the VPN to be accessed from the content stored in the storage means and there is an authentication response from the terminal device, an authentication request including the VPN identification information extracted from the storage means is issued. The authentication server identifies the VPN to be accessed by the terminal device from this identification information, and authenticates the terminal device from the user information of this VPN. Therefore, the user who accesses a plurality of VPNs by one authentication server can be identified. There is an effect that authentication is possible.

以下に、本発明にかかるゲートウェイ装置および認証処理方法の実施の形態を図１〜図４の図面に基づいて詳細に説明する。なお、本発明は、これら実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲で種々の変更実施の形態が可能である。 Embodiments of a gateway device and an authentication processing method according to the present invention will be described below in detail with reference to the drawings of FIGS. The present invention is not limited to these embodiments, and various modified embodiments are possible without departing from the spirit of the present invention.

（実施の形態）
図１は、本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。図１において、認証処理システムは、ユーザの端末装置１ａ，１ｂと、ゲートウェイ装置２と、代行用の認証サーバ３と、端末装置７，８とを備える。端末装置１ａ，１ｂとゲートウェイ装置２と認証サーバ３とは、公衆網４を介して接続され、ゲートウェイ装置２と端末装置７とは、特定事業者の専用網であるＶＰＮａを介して接続され、ゲートウェイ装置２と端末装置８とは、特定事業者の専用網であるＶＰＮｂを介して接続される。 (Embodiment)
FIG. 1 is a system configuration diagram showing the configuration of an embodiment of an authentication processing system according to the present invention. 1, the authentication processing system includes user terminal devices 1 a and 1 b, a gateway device 2, a proxy authentication server 3, and terminal devices 7 and 8. The terminal devices 1a and 1b, the gateway device 2 and the authentication server 3 are connected via a public network 4, and the gateway device 2 and the terminal device 7 are connected via a VPNa that is a dedicated network for a specific operator, The gateway device 2 and the terminal device 8 are connected via VPNb, which is a dedicated network for a specific operator.

端末装置１ａは、ＶＰＮａにアクセスを行う装置で、端末装置１ｂは、ＶＰＮｂにアクセスを行う装置である。これら端末装置１ａ，１ｂは、ゲートウェイ装置２と認証処理を行う認証処理部１１ａ，１１ｂと、データの暗号化または復号化の処理を行う暗号化／復号化処理部１２ａ，１２ｂと、公衆網４を介してゲートウェイ装置２、認証サーバ３を含む他の通信装置と暗号化されたデータの送受信を行う送受信部１３ａ，１３ｂとを備える。認証処理部１１ａ，１１ｂは、ゲートウェイ装置２と所定の認証処理用のプロトコル、たとえばＣＨＡＰ（ＣｈａｌｌｅｎｇｅＨａｎｄｓｈａｋｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ）やＰＡＰ（ＰａｓｓｗｏｒｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ）を用いて、自装置を認証させる認証処理を行い、ＶＰＮａ，ＶＰＮｂへのアクセスを可能にする。暗号化／復号化処理部１２ａ，１２ｂは、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃ（ＩＰｓｅｃｕｒｉｔｙＰｒｏｔｏｃｏｌ）ＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）で作成した鍵とを用いて暗号化して送受信部１３ａ，１３ｂに出力し、また暗号化されたデータを送受信部１３ａ，１３ｂが受信すると、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。 The terminal device 1a is a device that accesses VPNa, and the terminal device 1b is a device that accesses VPNb. These terminal devices 1a and 1b are authentication processing units 11a and 11b that perform authentication processing with the gateway device 2, encryption / decryption processing units 12a and 12b that perform data encryption or decryption processing, and a public network 4 Via the gateway device 2 and other communication devices including the authentication server 3, and transmission / reception units 13a and 13b for transmitting / receiving encrypted data. The authentication processing units 11a and 11b use the gateway device 2 and a predetermined authentication processing protocol, for example, CHAP (Challenge Handshake Authentication Protocol) or PAP (Password Authentication Protocol) to perform authentication processing to authenticate itself, and VPNa , VPNb can be accessed. When data to be encrypted is generated, the encryption / decryption processing units 12a and 12b encrypt the data using an encryption algorithm and a key created by IPsec (IP security Protocol) SA (Security Association). When the encrypted data is received by the transmission / reception units 13a and 13b, the encrypted data and the key are decrypted.

ゲートウェイ装置２は、設定処理部２１と、認証処理手段としての認証処理部２２と、フェーズ情報を記憶するフェーズ用データベース２３と、ＩＰｓｅｃを適用するための方針を示すＳＰＤ情報を記憶する記憶手段としてのＳＰＤ用データベース２４と、データの暗号化または復号化の処理を行う暗号化／復号化処理部２５と、データの中継処理を行う中継処理部２６と、端末装置１ａ，１ｂに対してデータの送受信を行う端末用送受信部２７と、認証サーバ３に対してデータの送受信を行うサーバ用送受信部２８と、ＶＰＮａに接続された端末装置７に対してデータの送受信を行うＶＰＮａ用送受信部２９と、ＶＰＮｂに接続された端末装置８に対してデータの送受信を行うＶＰＮｂ用送受信部３０とを備える。設定処理部２１は、認証サーバ３が認証処理に用いるすべての認証処理の方針を示すポリシーを設定する。設定処理部２１は、たとえば認証サーバ３が用いるＣＨＡＰおよびＰＡＰの認証処理の方針を示すポリシーを設定する。ＳＰＤ用データベース２４は、設定処理部２１で設定されたＣＨＡＰおよびＰＡＰのポリシーと、ＶＰＮＩＤ情報と、ＩＫＥ（ＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ）の終端アドレスとを記録している。なお、このＶＰＮＩＤ情報は、たとえば端末装置１ａ，１ｂのアドレス情報と、端末装置１ａ，１ｂのアドレス情報に対応して端末装置１ａ，１ｂからアクセスするＶＰＮａ，ＶＰＮｂの認証対象である特定事業者を識別するアドレス情報とからなる。ＩＫＥの終端アドレスは、ＶＰＮａ，ＶＰＮｂ毎に予め設定されるゲートウェイ装置２のアドレスである。 The gateway device 2 includes a setting processing unit 21, an authentication processing unit 22 serving as an authentication processing unit, a phase database 23 that stores phase information, and a storage unit that stores SPD information indicating a policy for applying IPsec. SPD database 24, encryption / decryption processing unit 25 that performs data encryption or decryption processing, relay processing unit 26 that performs data relay processing, and data for terminal devices 1 a and 1 b A terminal transceiver unit 27 that performs transmission / reception, a server transmission / reception unit 28 that transmits / receives data to / from the authentication server 3, and a VPNa transceiver unit 29 that transmits / receives data to / from the terminal device 7 connected to the VPNa The VPNb transmission / reception unit 30 performs data transmission / reception with respect to the terminal device 8 connected to the VPNb. The setting processing unit 21 sets a policy indicating all authentication processing policies used by the authentication server 3 for authentication processing. For example, the setting processing unit 21 sets a policy indicating a policy of CHAP and PAP authentication processing used by the authentication server 3. The SPD database 24 records CHAP and PAP policies, VPNID information, and IKE (Internet Key Exchange) termination addresses set by the setting processing unit 21. The VPNID information includes, for example, the address information of the terminal devices 1a and 1b and the specific operator that is the authentication target of VPNa and VPNb accessed from the terminal devices 1a and 1b corresponding to the address information of the terminal devices 1a and 1b. It consists of identifying address information. The termination address of IKE is the address of the gateway device 2 set in advance for each of VPNa and VPNb.

ＳＰＤ情報は、設定により予め作成されるデータであり、端末装置１ａ，１ｂに対してのたとえばＩＳＡＫＭＰ（ＩｎｔｅｒｎｅｔＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎａｎｄＫｅｙＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ）の処理の方針を示すポリシーやＩＳＡＫＭＰに基づいてＩＰｓｅｃで用いるインターネット標準の鍵交換プロトコルであるＩＫＥの処理の方針を示すポリシーである。 The SPD information is data created in advance by setting, for example, an ISAKMP (Internet Security Association and Key Management Protocol) processing policy for the terminal devices 1a and 1b and an Internet used in IPsec based on ISAKMP. This is a policy indicating a policy for processing IKE, which is a standard key exchange protocol.

認証処理部１１ａ，１１ｂ，２２は、公衆網４を介して端末装置１ａ，１ｂとゲートウェイ装置２との間に、ＩＰｓｅｃ（ＩＰｓｅｃｕｒｉｔｙＰｒｏｔｏｃｏｌ）によるデータ通信を可能にするためトンネリング技術を利用してＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）と呼ばれる論理的なコネクション（回線）を確立させる処理を行う。なお、たとえばユーザ側に別の専用網があり、端末装置１ａ，１ｂがこの専用網に接続されている場合には、この専用網と公衆網との間にはデータの中継を行う中継装置（たとえばルータ）が接続されることとなり、ゲートウェイ装置２の認証処理部２２は、この中継装置に対してＳＡを確立させる処理を行うこととなる。また、認証処理部２２，３１は、ゲートウェイ装置２および認証サーバ３に対しても、認証処理部２２，３１によってＳＡを確立させることが可能である。 The authentication processing units 11a, 11b, and 22 use a tunneling technique to enable data communication using IPsec (IP security Protocol) between the terminal devices 1a and 1b and the gateway device 2 via the public network 4. A process of establishing a logical connection (line) called SA (Security Association) is performed. For example, when there is another dedicated network on the user side and the terminal devices 1a and 1b are connected to the dedicated network, a relay device (for relaying data between the dedicated network and the public network ( For example, a router) is connected, and the authentication processing unit 22 of the gateway device 2 performs processing for establishing an SA for the relay device. Further, the authentication processing units 22 and 31 can establish SA with the gateway device 2 and the authentication server 3 by the authentication processing units 22 and 31.

また、認証処理部１１ａ，１１ｂ，２２は、ＣＨＡＰあるいはＰＡＰで認証処理を行う。認証処理部２２は、ＳＡ確立要求開始時にＩＳＡＫＭＰのＩＰｓｅｃＰｈａｓｅ１−１パケットを受信後に、それに対応するＳＰＤ情報を抽出し、Ｐｈａｓｅ１情報を作成して参照可能とする。認証処理部２２は、このＰｈａｓｅ１情報からＳＰＤ用データベース２４内に記憶される認証方式情報をチェックし、ＣＨＡＰ方式であれば、ＣＨＡＰ認証要求を送信し、また認証方式情報がＰＡＰ方式であれば、ＰＡＰ認証要求を送信する。 Further, the authentication processing units 11a, 11b, and 22 perform authentication processing by CHAP or PAP. After receiving the ISAKMP IPsec Phase1-1 packet at the start of the SA establishment request, the authentication processing unit 22 extracts SPD information corresponding to the packet and creates Phase1 information for reference. The authentication processing unit 22 checks the authentication method information stored in the SPD database 24 from the Phase 1 information, and if it is the CHAP method, transmits a CHAP authentication request. If the authentication method information is the PAP method, Send a PAP authentication request.

フェーズ用データベース２３は、Ｐｈａｓｅ１情報を記憶する。このＰｈａｓｅ１情報は、Ｐｈａｓｅ１において装置間でのパケットの通信を調整するためのネゴシエーション情報からなる。 The phase database 23 stores Phase 1 information. This Phase 1 information includes negotiation information for adjusting packet communication between devices in Phase 1.

暗号化／復号化処理部２５は、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃＳＡで作成した鍵とを用いて暗号化して中継処理部２６に出力して各送受信部２７〜３０からの送信を可能にし、また暗号化されたデータを中継処理部２６から取り込むと、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。 When data to be encrypted is generated, the encryption / decryption processing unit 25 encrypts the data using an encryption algorithm and a key created by IPsec SA, and outputs the data to the relay processing unit 26 for transmission / reception. When transmission from the units 27 to 30 is enabled and encrypted data is fetched from the relay processing unit 26, the data is decrypted with the encryption algorithm and the key.

認証サーバ３は、公衆網の事業者がＶＰＮａ，ＶＰＮｂの特定事業者に代わって、ＶＰＮａ，ＶＰＮｂにアクセスする端末装置の認証を行う。この認証サーバ３は、認証処理部３１と、ＶＰＮａ認証用データベース３２と、ＶＰＮｂ認証用データベース３３と、データの暗号化または復号化の処理を行う暗号化／復号化処理部３４と、データの送受信を行う送受信部３５とを備える。認証処理部３１は、ゲートウェイ装置２との間で認証応答があった端末装置の認証処理を行うものである。ＶＰＮａ認証用データベース３２は、ＶＰＮａにアクセス可能な端末装置１ａを含む端末装置を識別するための識別情報や取り扱うすべての認証処理のポリシーなどを記憶する。ＶＰＮｂ認証用データベース３３は、ＶＰＮｂにアクセス可能な端末装置１ｂを含む端末装置を識別するための識別情報や取り扱うすべての認証処理のポリシーなどを記憶する。暗号化／復号化処理部３４は、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃＳＡで作成した鍵とを用いて暗号化して送受信部３５に出力し、また暗号化されたデータを送受信部３５が受信すると、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。 The authentication server 3 authenticates a terminal device that accesses the VPNa and VPNb on behalf of the VPNa and VPNb specific operators by the public network operator. The authentication server 3 includes an authentication processing unit 31, a VPNa authentication database 32, a VPNb authentication database 33, an encryption / decryption processing unit 34 that performs data encryption / decryption processing, and data transmission / reception. And a transmission / reception unit 35. The authentication processing unit 31 performs authentication processing of a terminal device that has received an authentication response with the gateway device 2. The VPNa authentication database 32 stores identification information for identifying terminal devices including the terminal device 1a accessible to VPNa, policies of all authentication processes to be handled, and the like. The VPNb authentication database 33 stores identification information for identifying terminal devices including the terminal device 1b that can access VPNb, policies for all authentication processes to be handled, and the like. When data to be encrypted is generated, the encryption / decryption processing unit 34 encrypts the data using an encryption algorithm and a key created by IPsec SA, and outputs the encrypted data to the transmission / reception unit 35. When the transmission / reception unit 35 receives the processed data, the data is decrypted with the encryption algorithm and the key.

端末装置７，８は、接続されたＶＰＮａ，ＶＰＮｂを介してゲートウェイ装置２とデータ通信を行うための図示しない送受信部と、暗号化／復号化処理部とを備える。 The terminal devices 7 and 8 include a transmission / reception unit (not shown) for performing data communication with the gateway device 2 via the connected VPNa and VPNb, and an encryption / decryption processing unit.

次に、図２のシーケンス図を用いて図１に示した認証処理システムの認証処理の動作を説明する。なお、この実施の形態では、認証処理がＣＨＡＰによって行われるものとする。図２において、まず端末装置１ａの認証処理部１１ａは、ＩＰｓｅｃＰｈａｓｅ１−１において、ＩＫＥプロトコルを用いて自己の保持するキー情報をゲートウェイ装置２に送信する（ステップＳ１０１）。次に、ゲートウェイ装置２の認証処理部２２は、認証処理部１１ａからキー情報を受信すると、ＩＰｓｅｃＰｈａｓｅ１−２において、端末装置１ａを認証して、端末装置１ａに自己の保持するキー情報と、ＶＰＮａに設定されたＩＫＥの終端アドレスとを送信してキー情報の交換を行う（ステップＳ１０２）。次に、認証処理部１１ａは、認証処理部２２からキー情報を受信すると、ＩＰｓｅｃＰｈａｓｅ１−３において、ゲートウェイ装置２を認証した後に、端末装置１ａは、通信相手（ＩＫＥピア）であるゲートウェイ装置２との間でＰｈａｓｅ１を完了して、セキュアなデータ通信を可能にする（ステップＳ１０３）。なお、ＩＰｓｅｃＰｈａｓｅ１−１、ＩＰｓｅｃＰｈａｓｅ１−２およびＩＰｓｅｃＰｈａｓｅ１−３は、ＩＰｓｅｃ通信での１回目、２回目および３回目のＰｈａｓｅ１パケットをそれぞれ示す。 Next, the operation of the authentication processing of the authentication processing system shown in FIG. 1 will be described using the sequence diagram of FIG. In this embodiment, it is assumed that authentication processing is performed by CHAP. In FIG. 2, first, the authentication processing unit 11a of the terminal device 1a transmits the key information held by itself to the gateway device 2 using the IKE protocol in IPsec Phase 1-1 (step S101). Next, when receiving the key information from the authentication processing unit 11a, the authentication processing unit 22 of the gateway device 2 authenticates the terminal device 1a in IPsec Phase 1-2, and stores the key information held by the terminal device 1a. The key information is exchanged by transmitting the IKE end address set in VPNa (step S102). Next, when the authentication processing unit 11a receives the key information from the authentication processing unit 22, after authenticating the gateway device 2 in IPsec Phase 1-3, the terminal device 1a is connected to the gateway device 2 which is a communication partner (IKE peer). Phase 1 is completed between the two and secure data communication is enabled (step S103). Note that IPsec Phase 1-1, IPsec Phase 1-2, and IPsec Phase 1-3 indicate the first, second, and third Phase 1 packets in IPsec communication, respectively.

次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定されたＣＨＡＰによる認証要求のパケットを端末装置１ａに送信する（ステップＳ１０４）。端末装置１ａの認証処理部１１ａは、ＣＨＡＰによる認証処理が可能なプロトコルを有しており、ＣＨＡＰによる認証要求のパケットを受信すると、この要求に対するＣＨＡＰによる認証応答のパケットをゲートウェイ装置２に送信する（ステップＳ１０５）。この認証応答のパケットには、ユーザ名とパスワードとがペイロード内に含まれている。なお、この時認証処理部２２は、ＶＰＮＩＤ情報から端末装置１ａがＶＰＮａにアクセスする端末装置であることを認識している。認証処理部２２は、ＣＨＡＰによる認証応答のパケットを受信すると、このパケットから送信先アドレスを抽出し、この送信先アドレスがゲートウェイ装置２のアドレスの場合には、そのアドレスに対応するＳＰＤ用データベース２４からＶＰＮａの識別情報であるＶＰＮＩＤ情報を抽出し、このＶＰＮＩＤ情報を含む認証要求を作成して認証サーバ３に送信する（ステップＳ１０６）。これにより、実施の形態では、ゲートウェイ装置２を送信先アドレスとする認証応答のパケットを受信した場合にのみ、ＶＰＮＩＤ情報を含む認証要求を作成して認証サーバ３に送信するので、保持するＶＰＮＩＤ情報を的確に抽出して認証要求に付与して認証サーバ３に送信できる。 Next, the authentication processing unit 22 of the gateway device 2 transmits an authentication request packet based on CHAP set by the setting processing unit 21 to the terminal device 1a (step S104). The authentication processing unit 11a of the terminal device 1a has a protocol capable of authentication processing by CHAP, and when receiving an authentication request packet by CHAP, transmits an authentication response packet by CHAP to this request to the gateway device 2. (Step S105). The authentication response packet includes a user name and a password in the payload. At this time, the authentication processing unit 22 recognizes from the VPNID information that the terminal device 1a is a terminal device that accesses VPNa. Upon receiving the CHAP authentication response packet, the authentication processing unit 22 extracts the transmission destination address from this packet. If this transmission destination address is the address of the gateway device 2, the SPD database 24 corresponding to the address is extracted. VPNID information, which is the identification information of VPNa, is extracted, and an authentication request including this VPNID information is created and transmitted to the authentication server 3 (step S106). Thereby, in the embodiment, only when the authentication response packet having the gateway device 2 as the transmission destination address is received, the authentication request including the VPNID information is created and transmitted to the authentication server 3. Can be accurately extracted, added to the authentication request, and transmitted to the authentication server 3.

次に、認証サーバ３の認証処理部３１は、ゲートウェイ装置２からＣＨＡＰ認証要求のパケットが受信されると、このパケットのＶＰＮＩＤ情報を抽出し、このＶＰＮＩＤの値によって参照するデータベースを切り替えて、ＶＰＮａ認証用データベース３２のユーザ情報をもとに端末装置１ａを認証するための認証処理を行い、この端末装置１ａを認証した場合、ＣＨＡＰによる認証成功のパケットをゲートウェイ装置２に送信する（ステップＳ１０７）。次に、ゲートウェイ装置２の認証処理部２２は、ＣＨＡＰ認証成功のパケットが受信されると、このＣＨＡＰ認証成功のパケットを端末装置１ａに送信して（ステップＳ１０８）、その後のフェーズを完了した後に、ＩＰｓｅｃによる暗号化通信を可能にする。 Next, when the CHAP authentication request packet is received from the gateway device 2, the authentication processing unit 31 of the authentication server 3 extracts VPNID information of this packet, switches the database to be referred to according to the value of this VPNID, and switches to the VPNa An authentication process for authenticating the terminal device 1a is performed based on the user information in the authentication database 32. When the terminal device 1a is authenticated, a packet indicating successful authentication by CHAP is transmitted to the gateway device 2 (step S107). . Next, when the CHAP authentication success packet is received, the authentication processing unit 22 of the gateway device 2 transmits the CHAP authentication success packet to the terminal device 1a (step S108), and after completing the subsequent phases. , Enabling encrypted communication by IPsec.

次に、ＩＰｓｅｃＰｈａｓｅ１−１において、端末装置１ｂの認証処理部１１ｂがＩＫＥプロトコルを用いて自己の保持するキー情報をゲートウェイ装置２に送信すると（ステップＳ１０９）、ゲートウェイ装置２の認証処理部２２は、認証処理部１１ｂからキー情報を受信して、ＩＰｓｅｃＰｈａｓｅ１−２において、端末装置１ｂにＶＰＮｂに設定されたＩＫＥの終端アドレスを使用して、自己の保持するキー情報を送信してキー情報の交換を行う（ステップＳ１１０）。次に、認証処理部１１ｂは、認証処理部２２からキー情報を受信すると、ゲートウェイ装置２を認証した後に、ＩＰｓｅｃＰｈａｓｅ１−３において、端末装置１ｂは、通信相手（ＩＫＥピア）であるゲートウェイ装置２との間でＳＡを確立して、その後のフェーズを完了した後に、データ通信を可能にする（ステップ１１１）。 Next, in IPsec Phase 1-1, when the authentication processing unit 11b of the terminal device 1b transmits the key information held by itself to the gateway device 2 using the IKE protocol (step S109), the authentication processing unit 22 of the gateway device 2 The key information is received from the authentication processing unit 11b, and the key information held by itself is transmitted to the terminal device 1b by using the IKE termination address set in the VPNb in the IPsec Phase 1-2. Exchange is performed (step S110). Next, when the authentication processing unit 11b receives the key information from the authentication processing unit 22, after authenticating the gateway device 2, in IPsec Phase 1-3, the terminal device 1b is the gateway device 2 that is a communication partner (IKE peer). After the SA is established and the subsequent phase is completed, data communication is enabled (step 111).

次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定されたＣＨＡＰによる認証要求のパケットを端末装置１ｂに送信する（ステップＳ１１２）。端末装置１ｂの認証処理部１１ｂは、上記ＣＨＡＰによる認証処理が可能なプロトコルを有しており、ＣＨＡＰによる認証要求のパケットが受信されると、この要求に対するＣＨＡＰによる認証応答のパケットをゲートウェイ装置２に送信する（ステップＳ１１３）。この認証応答のパケットには、ユーザ名とパスワードとがペイロード内に含まれている。なお、この時認証処理部２２は、ＶＰＮＩＤ情報から端末装置１ｂがＶＰＮｂにアクセスする端末装置であることを認識している。認証処理部２２は、ＣＨＡＰによる認証応答のパケットが受信されると、このパケットから送信先アドレスを抽出し、この送信先アドレスがゲートウェイ装置２のアドレスの場合には、ＳＰＤ用データベース２４から送信先アドレスに対応したＶＰＮｂの識別情報であるＶＰＮＩＤ情報を抽出し、このＶＰＮＩＤ情報を含む認証要求を作成して認証サーバ３に送信する（ステップＳ１１４）。 Next, the authentication processing unit 22 of the gateway device 2 transmits an authentication request packet based on CHAP set by the setting processing unit 21 to the terminal device 1b (step S112). The authentication processing unit 11b of the terminal device 1b has a protocol capable of authentication processing by CHAP. When an authentication request packet by CHAP is received, an authentication response packet by CHAP in response to this request is received by the gateway device 2. (Step S113). The authentication response packet includes a user name and a password in the payload. At this time, the authentication processing unit 22 recognizes from the VPNID information that the terminal device 1b is a terminal device that accesses the VPNb. When the authentication response packet by CHAP is received, the authentication processing unit 22 extracts the transmission destination address from this packet, and when the transmission destination address is the address of the gateway device 2, the authentication processing unit 22 transmits the transmission destination from the SPD database 24. VPNID information, which is VPNb identification information corresponding to the address, is extracted, and an authentication request including this VPNID information is created and transmitted to the authentication server 3 (step S114).

次に、認証サーバ３の認証処理部３１は、ゲートウェイ装置２からＣＨＡＰ認証要求のパケットが受信されると、このパケットのＶＰＮＩＤ情報を抽出し、このＶＰＮＩＤの値によって参照するデータベースを切り替えて、ＶＰＮｂ認証用データベース３３のユーザ情報をもとに端末装置１ｂを認証するための認証処理を行い、この端末装置１ｂを認証した場合、ＣＨＡＰによる認証成功のパケットをゲートウェイ装置２に送信する（ステップＳ１１５）。次に、ゲートウェイ装置２の認証処理部２２は、ＣＨＡＰ認証成功のパケットが受信されると、このＣＨＡＰ認証成功のパケットを端末装置１ｂに送信して（ステップＳ１１６）、ＩＰｓｅｃによる暗号化通信を可能にする。 Next, when a CHAP authentication request packet is received from the gateway device 2, the authentication processing unit 31 of the authentication server 3 extracts VPNID information of this packet, switches the database to be referred to according to the value of this VPNID, and switches to the VPNb An authentication process for authenticating the terminal device 1b is performed based on the user information in the authentication database 33. When this terminal device 1b is authenticated, a packet indicating successful authentication by CHAP is transmitted to the gateway device 2 (step S115). . Next, when the CHAP authentication success packet is received, the authentication processing unit 22 of the gateway device 2 transmits the CHAP authentication success packet to the terminal device 1b (step S116), and enables encrypted communication by IPsec. To.

ここで、図３のフローチャートを用いてゲートウェイ装置２による認証処理の詳細な動作を説明する。なお、フローチャートは、端末装置１ａまたは１ｂとゲートウェイ装置２との間でＳＡを確立した後の動作を示す。図３において、ゲートウェイ装置２の認証処理部２２は、端末装置１ａまたは１ｂから認証応答パケットを受信すると（ステップＳ３０１）、このパケットから送信先アドレスを抽出し、この送信先アドレスがゲートウェイ装置２のアドレスの場合には、この送信先アドレスに対応したＶＰＮａまたはＶＰＮｂの識別情報であるＶＰＮＩＤ情報が存在するか否か判断する（ステップＳ３０２）。ここで、認証処理部２２は、このパケットにＶＰＮＩＤ情報が存在する場合には（ステップＳ３０２：Ｙｅｓ）、Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤにＶＰＮＩＤ情報を格納して認証要求のパケットを作成して、この認証要求のパケットを認証サーバ３に送信して（ステップＳ３０３）、上記認証処理の動作を終了する。また、認証処理部２２は、ＶＰＮＩＤ情報が存在しない場合には（ステップＳ３０２：Ｎｏ）、Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤを付けずに認証要求のパケットを作成して、認証サーバ３に送信して（ステップＳ３０４）、上記認証処理の動作を終了する。 Here, the detailed operation of the authentication process by the gateway device 2 will be described using the flowchart of FIG. The flowchart shows the operation after the SA is established between the terminal device 1a or 1b and the gateway device 2. 3, when the authentication processing unit 22 of the gateway device 2 receives the authentication response packet from the terminal device 1a or 1b (step S301), it extracts the transmission destination address from this packet, and this transmission destination address is the gateway device 2's address. In the case of an address, it is determined whether there is VPNID information which is VPNa or VPNb identification information corresponding to the destination address (step S302). Here, when VPNID information exists in this packet (step S302: Yes), the authentication processing unit 22 stores the VPNID information in the Tunnel-Private-Group-ID and creates an authentication request packet. The authentication request packet is transmitted to the authentication server 3 (step S303), and the operation of the authentication process is terminated. If VPNID information does not exist (step S302: No), the authentication processing unit 22 creates an authentication request packet without attaching a Tunnel-Private-Group-ID, and transmits it to the authentication server 3. (Step S304), the operation of the authentication process is terminated.

なお、図４は、Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤのフレーム構成を示すフレームフォーマットである。図４において、Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤは、このフレームの種類を示すタイプと、このフレームの長さを示すレングスと、「０」に設定されるタグと、ストリングとからなり、本実施の形態のＶＰＮＩＤ情報は、ストリング内に格納される。 FIG. 4 is a frame format showing the frame structure of Tunnel-Private-Group-ID. In FIG. 4, Tunnel-Private-Group-ID is composed of a type indicating the type of the frame, a length indicating the length of the frame, a tag set to “0”, and a string. The form of VPNID information is stored in a string.

このように、本実施の形態では、ゲートウェイ装置２が端末装置１ａ，１ｂからの認証応答をもとに、この端末装置１ａ，１ｂがアクセスするＶＰＮの識別情報（ＶＰＮＩＤ情報）を含む認証要求を作成して認証サーバ３に送信し、認証サーバ３は認証要求を受信すると、この認証要求内のＶＰＮＩＤ情報から端末装置１ａ，１ｂがアクセスするＶＰＮを識別して、このＶＰＮのユーザ情報から端末装置１ａ，１ｂを認証するので、１台の認証サーバ３で複数のＶＰＮにアクセスするユーザを容易に認証できる。 As described above, in the present embodiment, the gateway device 2 makes an authentication request including the identification information (VPNID information) of the VPN accessed by the terminal devices 1a and 1b based on the authentication response from the terminal devices 1a and 1b. When the authentication server 3 receives the authentication request, the authentication server 3 identifies the VPN accessed by the terminal devices 1a and 1b from the VPNID information in the authentication request, and determines the terminal device from the VPN user information. Since 1a and 1b are authenticated, a user who accesses a plurality of VPNs can be easily authenticated by one authentication server 3.

本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。It is a system configuration figure showing the composition of the embodiment of the authentication processing system concerning the present invention. 図１に示した認証処理システムの認証処理の動作を説明するためのシーケンス図である。It is a sequence diagram for demonstrating the operation | movement of the authentication process of the authentication processing system shown in FIG. ゲートウェイ装置による認証処理の詳細な動作を説明するためのフローチャートである。It is a flowchart for demonstrating the detailed operation | movement of the authentication process by a gateway apparatus. Ｔｕｎｎｅｌ−Ｐｒｉｖａｔｅ−Ｇｒｏｕｐ−ＩＤのフレーム構成を示すフレームフォーマットである。It is a frame format which shows the frame structure of Tunnel-Private-Group-ID.

Explanation of symbols

１ａ，１ｂ，７，８端末装置
２ゲートウェイ装置
３認証サーバ
４公衆網
１１ａ，１１ｂ，２２，３１認証処理部
１２ａ，１２ｂ，３４復号化処理部
１３ａ，１３ｂ，２７〜３０，３５送受信部
２１設定処理部
２２認証処理部
２３フェーズ用データベース
２４ＳＰＤ用データベース
２６中継処理部
３２ＶＰＮａ認証用データベース
３３ＶＰＮｂ認証用データベース
ａ，ｂＶＰＮ 1a, 1b, 7, 8 Terminal device 2 Gateway device 3 Authentication server 4 Public network 11a, 11b, 22, 31 Authentication processing unit 12a, 12b, 34 Decoding processing unit 13a, 13b, 27-30, 35 Transmission / reception unit 21 Setting Processing unit 22 Authentication processing unit 23 Phase database 24 SPD database 26 Relay processing unit 32 VPNa authentication database 33 VPNb authentication database a, b VPN

Claims

Establish a logical line for performing encrypted communication via the public network connected between the terminal device and the gateway device, and authenticate the terminal device accessing each VPN connected to the gateway device In a gateway device connected to an authentication server via the public network and relaying communication data between the terminal device and the authentication server,
Storage means for storing address information indicating the gateway device and identification information of each VPN accessed by the terminal device corresponding to the address information indicating the gateway device;
When the VPN accessed by the terminal device with which the logical line is established is recognized from the storage content stored in the storage means, and there is an authentication response from the terminal device to the authentication request to the terminal device, the storage Authentication processing means for extracting the identification information of the VPN accessed by the terminal device from the storage content stored in the means, and making an authentication request including the identification information of the VPN to the authentication server;
Equipped with a,
When the transmission destination address included in the authentication response from the terminal device in response to the authentication request to the terminal device is address information indicating the gateway device, the authentication processing unit uses the stored content stored in the storage unit to A gateway apparatus characterized by extracting identification information of a VPN accessed by the apparatus and making an authentication request including the identification information of the VPN to the authentication server .

Establish a logical line for performing encrypted communication via the public network connected between the terminal device and the gateway device, and authenticate the terminal device accessing each VPN connected to the gateway device In an authentication processing method connected to an authentication server via the public network and relaying communication data between the terminal device and the authentication server,
  A storage step of storing in the storage means address information indicating the gateway device, and identification information of each VPN accessed by the terminal device corresponding to the address information indicating the gateway device;
  When the VPN accessed by the terminal device established with the logical line is recognized from the storage contents stored in the storage means in the storing step, and there is an authentication response from the terminal device to the authentication request to the terminal device An authentication processing step of extracting VPN identification information accessed by the terminal device from the VPN identification information stored in the storage means, and making an authentication request including the VPN identification information to the authentication server;
  Including
  In the authentication processing step, when the transmission destination address included in the authentication response from the terminal device with respect to the authentication request to the terminal device is address information indicating the gateway device, the authentication processing step uses the stored contents stored in the storage unit to An authentication processing method characterized by extracting identification information of a VPN accessed by a device and making an authentication request including the identification information of the VPN to the authentication server.