处理分发系统、认证服务器、分发服务器及处理分发方法.pdf

《处理分发系统、认证服务器、分发服务器及处理分发方法.pdf》由会员分享，可在线阅读，更多相关《处理分发系统、认证服务器、分发服务器及处理分发方法.pdf（18页珍藏版）》请在专利查询网上搜索。

1、10申请公布号CN101939751A43申请公布日20110105CN101939751ACN101939751A21申请号200980104489422申请日20090122200803333320080214JPG06F21/20200601H04L9/3220060171申请人日本电气株式会社地址日本东京都72发明人稻叶胜74专利代理机构北京东方亿思知识产权代理有限责任公司11258代理人李晓冬南霆54发明名称处理分发系统、认证服务器、分发服务器及处理分发方法57摘要在利用最初被获取的TLS参数通过隧道中的TLS认证来与终端执行认证处理以对使用该终端的用户进行认证的认证服务器中，用户标。

2、识信息和TLS参数被包括在传送请求信号中，并且当从终端发送来的用户标识信息未存在于认证数据库中时，该用户标识信息和TLS参数被发送给分发服务器。在分发服务器数据库中对与包括在传送请求信号中的用户标识信息相关联的认证服务器标识信息进行搜索。用户标识信息和TLS参数被发送给被指派有搜索到的认证服务器标识信息的认证服务器。30优先权数据85PCT申请进入国家阶段日2010080686PCT申请的申请数据PCT/JP2009/0509232009012287PCT申请的公布数据WO2009/101848JA2009082051INTCL19中华人民共和国国家知识产权局12发明专利申请权利要求书3页说明。

3、书9页附图5页CN101939754A1/3页21一种处理分发系统，包括由用户操作的终端；认证服务器，这些认证服务器使用已经预先获得的TLS参数利用隧道中的TLS认证来与所述终端执行认证处理以对用户进行认证；以及分发服务器，所述分发服务器将所述认证处理分发给所述认证服务器中的一个认证服务器，其中，所述认证服务器判断已经经由所述分发服务器从所述终端发送来的被唯一地指派给所述用户的用户标识信息是否存在于连接到所述认证服务器的认证数据库中，并且将所述用户标识信息和所述TLS参数包括在指示对所述用户标识信息的传送请求的传送请求信号中，并且当所述认证服务器判定所述用户标识信息未存在于所述认证数据库中时，。

4、将该信号发送给所述分发服务器，并且所述分发服务器基于从所述认证服务器发送来的所述传送请求信号中所包括的所述用户标识信息，在连接到所述分发服务器的分发服务器数据库中搜索与所述用户标识信息相关联的认证服务器标识信息，并且将所述用户标识信息和所述TLS参数发送给被指派有搜索到的认证服务器标识信息的认证服务器。2根据权利要求1所述的处理分发系统，其中，所述认证服务器从经由所述分发服务器从所述终端发送来的请求认证的所述认证请求信号中提取所述用户标识信息，并且判断所提取出的用户标识信息是否存在于所述认证数据库中。3根据权利要求2所述的处理分发系统，其中，所述认证服务器包括加密器/解密器，所述加密器/解密器。

5、对经由所述分发服务器从所述终端发送来的所述认证请求信号进行解密，并且从经解密的认证请求信号中提取所述用户标识信息；认证器，所述认证器判断由所述加密器/解密器提取出的所述用户标识信息是否存在于所述认证数据库中；以及分发服务器接口，所述分发服务器接口将所述用户标识信息和所述TLS参数包括在所述传送请求信号中，并且当所述分发服务器接口判定所述用户标识信息未存在于所述认证数据库中时，则将该信号发送给所述分发服务器，所述分发服务器包括认证服务器接口，所述认证服务器接口从发送自所述认证服务器的传送请求信号中提取所述用户标识信息；服务器选择器，所述服务器选择器基于由所述认证服务器接口提取出的所述用户标识信息。

6、，在连接到所述分发服务器的分发服务器数据库中搜索与所述用户标识信息相关联的认证服务器标识信息，并且所述认证服务器接口将所述用户标识信息和所述TLS参数发送给被指派有被所述服务器选择器搜索到的所述认证服务器标识信息的认证服务器。4根据权利要求1或2所述的处理分发系统，其中，所述认证服务器包括所述认证服务器数据库。5根据权利要求1或2所述的处理分发系统，其中，所述分发服务器包括所述分发服务器数据库。6一种认证服务器，所述认证服务器使用已经预先获得的TLS参数利用隧道中的TLS权利要求书CN101939751ACN101939754A2/3页3认证，来与终端执行认证处理以对操作所述终端的用户进行认证。

7、，所述认证服务器包括加密器/解密器，所述加密器/解密器对从所述终端发送来的请求认证的认证请求信号进行解密，并且从经解密的认证请求信号中提取被唯一地指派给所述用户的用户标识信息；认证器，所述认证器判断由所述加密器/解密器提取出的所述用户标识信息是否存在于连接到所述认证服务器的认证数据库中；以及分发服务器接口，所述分发服务器接口将所述用户标识信息和所述TLS参数包括在指示对所述用户标识信息的传送请求的传送请求信号中，并且当所述分发服务器接口判定所述用户标识信息未存在于所述认证数据库中时，则将该信号发送给连接到所述认证服务器的分发服务器。7根据权利要求6所述的认证服务器，包括所述认证服务器数据库。8。

8、一种分发服务器，所述分发服务器连接到由用户操作的终端，并连接到使用已经预先获得的TLS参数利用隧道中的TLS认证来与所述终端执行认证处理以对所述用户进行认证的认证服务器，并且所述分发服务器将所述认证处理分发给所述认证服务器中的一个认证服务器，所述分发服务器包括认证服务器接口，该认证服务器接口从发送自所述认证服务器的指示对用户标识信息的传送请求的传送请求信号中提取被唯一地指派给所述用户的所述用户标识信息；以及服务器选择器，所述服务器选择器基于由所述认证服务器接口提取出的所述用户标识信息，在连接到所述分发服务器的分发服务器数据库中搜索与所述用户标识信息相关联的认证服务器标识信息，其中，所述认证服务。

9、器接口将从所述认证服务器发送来的所述用户标识信息和所述TLS参数发送给被指派有被所述服务器选择器搜索到的所述认证服务器标识信息的认证服务器。9根据权利要求8所述的分发服务器，包括所述分发服务器数据库。10一种处理分发系统中的处理分发方法，所述处理分发系统包括由用户操作的终端、使用已经预先获得的TLS参数利用隧道中的TLS认证来与所述终端执行认证处理以认证所述用户的认证服务器、以及将所述认证处理分发给所述认证服务器中的一个认证服务器的分发服务器，其中，所述认证服务器判断经由所述分发服务器从所述终端发送来的被唯一地指派给所述用户的用户标识信息是否存在于连接到所述认证服务器的认证数据库中，所述认证服。

10、务器将所述用户标识信息和所述TLS参数包括在指示对所述用户标识信息的传送请求的传送请求信号中，并且当所述认证服务器判定所述用户标识信息未存在于所述认证数据库中时，所述认证服务器将该信号发送给所述分发服务器，所述分发服务器基于从所述认证服务器发送来的所述传送请求信号中所包括的所述用户标识信息，在连接到所述分发服务器的分发服务器数据库中搜索与所述用户标识信息相关联的认证服务器标识信息，并且所述分发服务器将所述用户标识信息和所述TLS参数发送给被指派有被搜索到的认权利要求书CN101939751ACN101939754A3/3页4证服务器标识信息的认证服务器。11根据权利要求10所述的处理分发方法，。

11、包括所述认证服务器从经由所述分发服务器从所述终端发送来的请求认证的认证请求信号中提取所述用户标识信息的处理；以及所述认证服务器判断提取出的用户标识信息是否存在于所述认证数据库中的处理。权利要求书CN101939751ACN101939754A1/9页5处理分发系统、认证服务器、分发服务器及处理分发方法技术领域0001本发明涉及分发认证处理的处理分发系统，以及认证服务器、分发服务器和处理分发方法。背景技术0002近年来，已开发出了越来越多的这样的技术，这些技术用来执行用于对接入网络或系统以使用该网络或系统的用户进行认证的认证处理并且仅准许经成功认证的用户使用该网络或系统。0003用于认证多个用户。

12、的认证处理给认证服务器造成了繁重的处理负担。因此，为了减轻处理负担，存在这样的方案，其中，多个认证服务器被提供，用户简档数据库被划分，认证服务器存储数据库的各个经划分的部分，并且相对应的认证服务器执行认证处理。0004例如，已开发出了将用于认证用户的认证处理划分到与从终端发送来的用户ID相对应的认证服务器中的技术例如参见JP200611989A。0005图1示出了典型处理分发系统的配置。0006在图1所示的处理分发系统中，用户的用户简单数据预先被分发在分别连接到RADIUS服务器40001至40003的数据库50001至50003中。因此，存储在数据库50001至50003中的各条用户简档数据。

13、不是冗余的。0007认证请求由使用该系统的用户从客户端1000发出给图1所示的处理分发系统箭头AA。为了该认证请求，分发服务器2000接收从客户端1000发送来的认证请求信号。分发服务器2000提取用户ID，用户ID是用于标识用户的用户标识信息并且存储在所接收认证请求信号中所包括的RADIUS中的USERNAME属性中。用于认证该用户的认证服务器连接到存储用户的用户简档数据的数据库是基于提取出的用户ID从RADIUS服务器40001至40003中选出的。该选择是基于预先存储在连接到分发服务器2000的数据库3000中的认证服务器标识信息与用户ID之间的关联性作出的，认证服务器标识信息用于标识R。

14、ADIUS服务器40001至40003的每个。0008这里以对发出认证请求的用户进行认证的认证服务器为RADIUS服务器40001的情况为例。分发服务器2000选择RADIUS服务器40001。从客户端1000发送来的认证请求被传送给RADIUS服务器40001箭头BB。RADIUS服务器40001随后对用户进行认证。0009然而，根据上面的技术，在将伪ID存储在RADIUS的USERNAME属性中的情况中，如利用EAP可扩展认证协议TTLS隧道传输层安全认证方案时，认证服务器无法识别用户ID。即，如果伪ID被存储在RADIUS的USERNAME属性中，则分发服务器不能识别客户的原始用户ID。。

15、因此，这带来的问题在于分发服务器不能选出作为目的地的、用于标识出发送了认证请求信号的用户的认证服务器。0010在继RADIUS协议之后的DIAMETER协议中，开发出了一种通过REDIRECTHOSTAVP来将认证分组或认证请求信号传送给另一认证服务器的机制。该机制可以解决上面的问题。然而，该认证处理的认证过程必须从开始起重复；因此这带来了认证处理的效率受到损说明书CN101939751ACN101939754A2/9页6害的问题。发明内容0011本发明的一个目的是提供解决了上面的问题的处理分发系统、认证服务器、分发服务器和处理分发方法。0012为了实现上面的目的，根据本发明，0013一种处理。

16、分发系统包括由用户操作的终端；认证服务器，这些认证服务器利用已经预先获得的TLS参数通过隧道中的TLS认证来与终端执行认证处理以对用户进行认证；以及分发服务器，该分发服务器将认证处理分发给认证服务器中的一个，0014其中，认证服务器判断被唯一地指派给用户的并且经由分发服务器从终端发送来的用户标识信息是否存在于连接到认证服务器的认证数据库中，并且将用户标识信息和TLS参数包括在指示对用户标识信息的传送请求的传送请求信号中，并且当认证服务器判定用户标识信息未存在于认证数据库中时，则将该信号发送给分发服务器，并且0015分发服务器基于从认证服务器发送来的传送请求信号中所包括的用户标识信息，在连接到分。

17、发服务器的分发服务器数据库中搜索与用户标识信息相关联的认证服务器标识信息，并且将用户标识信息和TLS参数发送给被指派有搜索到的认证服务器标识信息的认证服务器。0016一种利用已经预先获取的TLS参数通过与终端进行隧道中的TLS认证来执行认证处理以对操作终端的用户进行认证的认证服务器包括0017加密器/解密器，该加密器/解密器对从终端发送来的认证请求信号进行解密，并且从经解密的认证请求信号中提取被唯一地指派给用户的用户标识信息；0018认证器，该认证器判断由加密器/解密器提取出的用户标识信息是否存在于连接到认证服务器的认证数据库中；以及0019分发服务器接口，该分发服务器接口将用户标识信息和TL。

18、S参数包括在表示对用户标识信息的传送请求的传送请求信号中，并且当分发服务器接口判定用户标识信息未存在于认证数据库中时，则将该信号发送给连接到认证服务器的分发服务器。0020一种分发服务器，该分发服务器连接到由用户操作的终端以及利用已经预先获取的TLS参数通过隧道中的TLS认证来与该终端执行认证处理以对用户进行认证的认证服务器，并且该分发服务器将认证处理分发给认证服务器中的一个认证服务器，该分发服务器包括0021认证服务器接口，该认证服务器接口从自认证服务器发送来的并且表示对被唯一地指派给用户的用户标识信息的传送请求的传送请求信号中提取用户标识信息；0022服务器选择器，该服务器选择器基于由认证。

19、服务器接口提取出的用户标识信息来在连接到分发服务器的分发服务器数据库中搜索与用户标识信息相关联的认证服务器标识信息，以及0023其中，认证服务器接口将从认证服务器发送来的用户标识信息和TLS参数发送给被指派有被服务器选择器搜索到的认证服务器标识信息的认证服务器。0024一种处理分发系统中的处理分发方法，该处理分发系统包括由用户操作的终端、利用已经预先获得的TLS参数通过隧道中的TLS认证来与终端执行认证处理以对用户进说明书CN101939751ACN101939754A3/9页7行认证的认证服务器，以及将认证处理分发给认证服务器中的一个认证服务器的分发服务器，0025认证服务器判断被唯一地指派。

20、给用户的并且经由分发服务器从终端发送来的用户标识信息是否存在于连接到认证服务器的认证数据库中，0026认证服务器将用户标识信息和TLS参数包括在指示对用户标识信息的传送请求的传送请求信号中，并且当认证服务器判定用户标识信息未存在于认证数据库中时，则将该信号发送给分发服务器，0027分发服务器基于从认证服务器发送来的传送请求信号中所包括的用户标识信息，在连接到分发服务器的分发服务器数据库中搜索与用户标识信息相关联的认证服务器标识信息，并且0028分发服务器将用户标识信息和TLS参数发送给被指派有搜索到的认证服务器标识信息的认证服务器。0029如上所述，本发明采用了这样的配置，其中，利用已经预先获。

21、得的TLS参数通过隧道中的TLS认证来与终端执行认证处理以对使用该终端的用户进行认证的认证服务器将用户标识信息和TLS参数包括在传送请求信号中，并且当从终端发送来的用户标识信息未存在于连接到认证服务器的认证数据库中时，则将该信号发送给分发服务器，并且分发服务器在连接到分发服务器的分发服务器数据库中搜索与包括在传送请求信号中的用户标识信息相关联的认证服务器标识信息，并且将用户标识信息和TLS参数发送给被指派有搜索到的认证服务器标识信息的认证服务器。这种配置能够执行高效的认证处理分发。附图说明0030图1示出了典型处理分发系统的配置；0031图2是示出本发明的处理分发系统的示例性实施例的示图；00。

22、32图3是示出图2所示的分发服务器的配置示例的示图；0033图4是示出存储在图2所示的数据库中的关联信息的示例的示图；0034图5是示出存储在图2所示的数据库中的认证服务器信息的示例的示图；0035图6是示出图2所示的RADIUS服务器的配置示例的示图；0036图7是示出存储在图2所示的数据库中的信息的示例的示图；0037图8是示出存储在图2所示的数据库中的信息的示例的示图；0038图9是示出存储在图2所示的数据库中的信息的示例的示图；0039图10是用于图示出在图2至图9所示的配置中的处理分发方法中用户具有用户ID“用户1”的情况中的处理分发方法的时序图；以及0040图11是用于图示出在图2。

23、至图9所示的配置中的处理分发方法中用户具有用户ID“用户4”的情况中的处理分发方法的时序图。具体实施方式0041下面将参考附图描述本发明的示例性实施例。0042图2是示出本发明的处理分发系统的示例性实施例的示图。0043如图2所示，本示例性实施例包括客户端100、分发服务器200、数据库300、RADIUS说明书CN101939751ACN101939754A4/9页8服务器4001至4003，以及数据库5001至5003。这里，描述包括三个RADIUS服务器4001至4003以及三个数据库5001至5003的示例。然而，无须说，对于每类元件，元件的数目可以为两个或者四个或更多个。0044客户。

24、端100是用户操作来发出认证请求的终端，并且包括用于输入信息的输入功能和用于执行通信的通信功能。0045分发服务器200将用来认证用户的认证处理分发到RADIUS服务器4001至4003中。0046图3是示出图2所示的分发服务器200的配置示例的示图。0047图2所示的分发服务器200包括客户端接口201、RADIUS服务器接口202和服务器选择器203，如图3所示。图3仅示出了与本发明有关的元件。0048客户端接口201包括与图2所示的客户端进行接口连接的接口功能，并且向客户端100发送信号并从客户端100接收信号。客户端接口201将从客户端100发送来的信号输出给RADIUS服务器接口20。

25、2。客户端接口201将从RADIUS服务器接口202输出的信号中将要被发送给客户端100的信号发送给客户端100。0049RADIUS服务器接口202包括与图2所示的RADIUS服务器4001至4003进行接口连接的接口功能，并且是向RADIUS服务器4001至4003发送信号并从RADIUS服务器4001至4003接收信号的认证服务器接口。当从RADIUS服务器4001至4003发送来指示针对认证请求信号的传送请求的传送请求信号时，RADIUS服务器接口202提取用户ID并且将用户ID发送给服务器选择器203，用户ID是包括在传送请求信号中的用于标识用户的用户标识信息。RADIUS服务器接口。

26、202基于在服务器选择器203处对RADIUS服务器的搜索结果，将认证请求信号传送给RADIUS服务器4001至4003中的任一个。RADIUS服务器接口202将从客户端接口201输出的信号发送给RADIUS服务器4001至4003中的适当服务器。RADIUS服务器接口202将从RADIUS服务器4001至4003发送来的传送请求信号以外的信号输出给客户端接口201。0050服务器选择器203基于从RADIUS服务器接口202输出的用户ID对存储在数据库300中的信息进行搜索，并且从RADIUS服务器4001至4003中选出认证请求信号将被传送给的RADIUS服务器。0051数据库300连接到。

27、分发服务器200，并且是存储了用于确定分发服务器200将用于认证用户的认证处理分发给RADIUS服务器4001至4003中的哪个服务器的信息的分发服务器数据库。数据库300将关联信息和认证服务器信息存储作为该信息。0052图4是示出存储在图2所示的数据库300中的关联信息的示例的示图。图5是示出存储在图2所示的数据库300中的认证服务器信息的示例的示图。0053如图4所示，存储在图2所示的数据库300中的关联信息将用户ID与认证服务器编号彼此相关联，用户ID是唯一地被指派给用户以用于标识该用户的用户标识信息，认证服务器编号是唯一地被指派给RADIUS服务器以用于标识RADIUS服务器4001至。

28、4003的认证服务器标识信息。该信息指示出连接到各自的RADIUS服务器4001至4003的数据库5001至5003中哪个数据库存储了该用户的用户简档数据。即，该信息指示出RADIUS服务器4001至4003中用户可在其处被认证的服务器。0054例如，用户ID“用户1”被与认证服务器编号“服务器1”相关联；这表明将对用户说明书CN101939751ACN101939754A5/9页9ID为“用户1”的用户进行认证的RADIUS服务器是认证服务器编号为“服务器1”的RADIUS服务器。用户ID“用户2”被与认证服务器编号“服务器1”相关联；这表明将对用户ID为“用户2”的用户进行认证的RADIU。

29、S服务器是认证服务器编号为“服务器1”的RADIUS服务器。用户ID“用户3”被与认证服务器编号“服务器1”相关联；这表明将对用户ID为“用户3”的用户进行认证的RADIUS服务器是认证服务器编号为“服务器1”的RADIUS服务器。用户ID“用户4”被与认证服务器编号“服务器2”相关联；这表明将对用户ID为“用户4”的用户进行认证的RADIUS服务器是认证服务器编号为“服务器2”的RADIUS服务器。用户ID“用户5”被与认证服务器编号“服务器2”相关联；这表明将对用户ID为“用户5”的用户进行认证的RADIUS服务器是认证服务器编号为“服务器2”的RADIUS服务器。用户ID“用户6”被与认。

30、证服务器编号“服务器3”相关联；这表明将对用户ID为“用户6”的用户进行认证的RADIUS服务器是认证服务器编号为“服务器3”的RADIUS服务器。用户ID“用户7”被与认证服务器编号“服务器3”相关联；这表明将对用户ID为“用户7”的用户进行认证的RADIUS服务器是认证服务器编号为“服务器3”的RADIUS服务器。用户ID“用户8”被与认证服务器编号“服务器3”相关联；这表明将对用户ID为“用户8”的用户进行认证的RADIUS服务器是认证服务器编号为“服务器3”的RADIUS服务器。0055服务器选择器203参考该关联信息，由此可以基于从RADIUS服务器接口202输出的用户ID来选择允许。

31、对具有该用户ID的用户进行认证的RADIUS服务器。0056存储在图2所示的数据库300中的认证服务器信息将上面提到的认证服务器编号与该认证服务器的IP地址相关联，如图5所示。该信息指示出执行用于对用户进行认证的认证处理的RADIUS服务器的IP地址。0057例如，认证服务器编号“服务器1”被与IP地址“XYZW1”相关联；这表明认证服务器编号为“服务器1”的RADIUS服务器的IP地址为“XYZW1”。认证服务器编号“服务器2”被与IP地址“XYZW2”相关联；这表明认证服务器编号为“服务器2”的RADIUS服务器的IP地址为“XYZW2”。认证服务器编号“服务器3”被与IP地址“XYZW3。

32、”相关联；这表明认证服务器编号为“服务器3”的RADIUS服务器的IP地址为“XYZW3”。0058服务器选择器203参考该关联信息，并且选择利用所关注的用户ID来选择用于认证该用户的RADIUS服务器。然后，所关注的RADIUS服务器的IP地址可被获取。0059RADIUS服务器4001至4003是用于对用户进行认证的认证服务器。0060图6是示出图2所示的RADIUS服务器4001的配置示例的示图。注意，图2所示的RADIUS服务器4002至4003具有与RADIUS服务器4001相同的配置。0061如图6所示，图2所示的RADIUS服务器4001包括分发服务器接口411、加密器/解密器4。

33、12以及认证器413。图6仅示出了与本发明有关的元件。0062分发服务器接口411包括与图2所示的分发服务器200进行接口连接的接口功能，并且向分发服务器200发送信号并从分发服务器200接收信号。当分发服务器接口411执行与客户端100的TLS传输层安全隧道通信其是加密通信时，分发服务器接口411将已被加密的并经由分发服务器200从客户端100发送来的认证请求信号输出给加密器/解密器412。分发服务器接口411将TLS参数以及从认证器413输出的用户ID包括在上述传送请求信号中，并且将该信号发送给服务器200。这里，TLS参数已经在认证之前通过RADIUS服务器4001与客户端100之间的T。

34、LS握手而被获取，该参数是用于在说明书CN101939751ACN101939754A6/9页10TLS隧道通信期间对诸如认证请求信号之类的信号进行加密和解密的参数。例如，可以使用MASTERSECRET用于生成密钥的随机数、CIPHERSUITE加密算法和哈希算法对和COMPRESSIONMETHOD压缩方法。分发服务器接口411将从加密器/解密器412输出的信号经由分发服务器200发送隧道传输给客户端100。0063加密器/解密器412利用TLS参数来对诸如从分发服务器接口411输出的认证请求信号之类的信号进行解密。加密器/解密器412从经解密的认证请求信号中提取用户ID，并且将用户ID输。

35、出给认证器413。加密器/解密器412对从认证器413输出的认证响应信号进行加密，并且将该信号输出给分发服务器接口411。0064认证器413对从加密器/解密器412输出的认证请求信号进行认证。更具体地，认证器413参考数据库5001，并且当与包括在认证请求信号中的用户ID相同的用户ID存在于数据库5001中时，则将请求口令的口令请求信号作为认证响应信号之一发送给加密器/解密器412。当根据口令请求信号的口令从加密器/解密器412输出时，认证器413通过判断该口令是否与数据库5001中的用户ID相关联来认证用户ID。当从加密器/解密器412输出的口令与数据库5001中的用户ID相关联时，认证器。

36、413将指示成功认证的认证响应信号输出给加密器/解密器412。当与包括在认证请求信号中的用户ID相同的用户ID未存在于数据库5001中时，认证器413将用户ID输出给分发服务器接口411。0065数据库5001至500N是存储用户的用户ID以及与各个用户相关联的口令的认证服务器数据库。这里，将描述图2所示的数据库300存储图4所示的关联信息的情况作为示例。0066图7是示出存储在图2所示的数据库5001中的信息的示例的示图。0067存储在图2所示的数据库5001中的信息将用户ID“用户1”与口令“口令1”相关联，如图7所示；这表明用户ID为“用户1”的用户的口令是“口令1”。用户ID“用户2”。

37、被与口令“口令2”相关联；这表明用户ID为“用户2”的用户的口令是“口令2”。用户ID“用户3”被与口令“口令3”相关联；这表明用户ID为“用户3”的用户的口令是“口令3”。数据库5001存储用户1、用户2和用户3的用户简档数据。0068图8是示出存储在图2所示的数据库5002中的信息的示例的示图。0069存储在图2所示的数据库5002中的信息将用户ID“用户4”与口令“口令4”相关联，如图8所示；这表明用户ID为“用户4”的用户的口令是“口令4”。用户ID“用户5”被与口令“口令5”相关联；这表明用户ID为“用户5”的用户的口令是“口令5”。数据库5002存储用户4和用户5的用户简档数据。0。

38、070图9是示出存储在图2所示的数据库5003中的信息的示例的示图。0071存储在图2所示的数据库5003中的信息将用户ID“用户6”与口令“口令6”相关联，如图9所示；这表明用户ID为“用户6”的用户的口令是“口令6”。用户ID“用户7”被与口令“口令7”相关联；这表明用户ID为“用户7”的用户的口令是“口令7”。用户ID“用户8”被与口令“口令8”相关联；这表明用户ID为“用户8”的用户的口令是“口令8”。数据库5003存储用户6、用户7和用户8的用户简档数据。0072下面将描述上述示例性实施例中的处理分发方法。首先，将描述正操作客户端100的用户是用户ID为“用户1”的用户的情况作为示例。

39、。0073图10是用于图示出在图2至9所示的处理分发方法中用户具有用户ID“用户1”说明书CN101939751ACN101939754A7/9页11的情况中的处理分发方法的时序图。0074首先，在客户端100与RADIUS服务器4001至4003中的任一个服务器之间初步建立TLS握手。这是针对客户端100与RADIUS服务器4001至4003之间的称为TLS隧道通信的加密通信所做的准备。当作为请求信号的ACCESSREQUEST接入请求从客户端100被发送给分发服务器200时，分发服务器200的RADIUS服务器接口202从RADIUS服务器4001至4003中确定一个RADIUS服务器来作。

40、为将作为ACCESSREQUEST的目的地的RADIUS服务器，并且在步骤1和3中ACCESSREQUEST被传送给已被确定为目的地的RADIUS服务器。由于在此阶段使用了伪ID，因此，访问数据库300将不能确定哪个RADIUS服务器保存了用户1的数据。因此，确定目的地的方法可以是随机确定方法或者具有诸如循环ROUNDROBIN之类的所规定的规则的确定方法。这里，将描述目的地被确定为RADIUS服务器4001的情况作为示例。0075当所传送的ACCESSREQUEST由RADIUS服务器4001接收到时，在步骤2和4中，作为与所接收ACCESSREQUEST相对应的响应信号的ACCESSCHA。

41、LLENGE接入质疑从RADIUS服务器4001经由分发服务器200被发送给客户端100。TLS握手与典型的TLS握手类似。当TLS握手时，作为执行TLS隧道通信所需的TLS参数的MASTERSECRET、CIPHERSUITE和COMPRESSIONMETHOD在客户端100与RADIUS服务器4001之间被交换，并被客户端100和RADIUS服务器4001获取。0076接下来，在客户端100和RADIUS服务器4001之间执行隧道中的认证处理。在步骤5中，当作为认证请求信号的ACCESSREQUEST从客户端100经由分发服务器200被发送时，由RADIUS服务器4001的分发服务器接口4。

42、11接收到的认证请求信号由加密器/解密器412利用TLS参数进行解密。用户ID从经加密器/解密器412解密的认证请求信号中被提取出来；该用户ID在此阶段中第一次被标识。所提取的用户ID从加密器/解密器412被输出给认证器413。0077认证器413参考数据库5001，并且在数据库5001中搜索与从加密器/解密器412输出的用户ID相同的用户ID。这里，由于是以用户具有用户ID“用户1”的情况为例，因此该用户ID从数据库5001被搜索到。0078当认证器413从数据库5001搜索用户ID时，在步骤6中，ACCESSCHALLENGE作为认证响应信号从分发服务器接口411经由分发服务器200被发送。

43、给客户端100。0079然后，在步骤7和8中，包括口令的分组在客户端100与RADIUS服务器4001之间被交换，并且认证完成。0080接下来，将描述操作客户端100的用户是用户ID为“用户4”的用户的情况作为示例。0081图11是用于图示出在图2至9所示的处理分发方法中用户具有用户ID“用户4”的情况中的处理分发方法的时序图。这里，假设存储在数据库300中的认证服务器编号为“服务器2”的服务器是RADIUS服务器4002。0082首先，与步骤1至4一样，在步骤11至14中，在客户端100与RADIUS服务器4001至4003中的任一个服务器之间执行用于称为TLS隧道通信的加密通信的准备。这些。

44、处理与上面步骤1至4中的处理相同。与上面的示例一样，将描述目的地被确定为RADIUS服务器4001的情况作为示例。说明书CN101939751ACN101939754A8/9页120083接下来，在客户端100与RADIUS服务器4001之间执行隧道中的认证处理。在步骤15中，当作为认证请求信号的ACCESSREQUEST从客户端100经由分发服务器200被发送时图2所示的箭头A和B，由RADIUS服务器4001的分发服务器接口411接收到的认证请求信号由加密器/解密器412利用TLS参数进行解密。用户ID从经加密器/解密器412解密的认证请求信号中被提取出来。所提取的用户ID从加密器/解密器。

45、412被输出给认证器413。0084认证器413参考数据库5001，并且在数据库5001中搜索与从加密器/解密器412输出的用户ID相同的用户ID。这里，由于是以用户具有用户ID“用户4”的情况为例，因此该用户ID未从数据库5001被搜索到。0085该用户ID从认证器413被输出给分发服务器接口411。在步骤16，其中指示传送请求的属性被添加到包括用户ID和上面的TLS参数的ACCESSREJECT的传送请求信号从分发服务器接口411被发送给分发服务器200图2所示的箭头C。由于这里的属性不被RADIUS的标准属性支持，因此使用依特定于厂商的属性而定的属性。所需属性的内容如下0086当ACCE。

46、SSREJECT伴随时指示传送请求类似于DIAMETERREDIRECTHOSTAVP；0087存储TLSMASTERSECRET；0088存储TLSCIPHERSUITE；0089存储TLSCOMPRESSIONMETHOD；以及0090存储在隧道中的TLS认证中接收到的用户ID。0091当分发服务器200的RADIUS服务器接口202接收到从RADIUS服务器4001的分发服务器接口411发送来的传送请求信号时，RADIUS服务器接口202从所接收的传送请求信号中提取用户ID。所提取的用户ID从RADIUS服务器接口202被输出给服务器选择器203。0092服务器选择器203基于所提取的用。

47、户ID从RADIUS服务器4001至4003中搜索作为目的地的RADIUS服务器。更具体地，服务器选择器203参考数据库300，并且从数据库300的关联信息中获取与所提取的用户ID相关联的认证服务器编号。服务器选择器203从数据库300的认证服务器信息中获取所获得的认证服务器编号的IP地址。这里，由于用户ID是“用户4”，因此认证服务器编号“服务器2”RADIUS服务器4002被获取。由于“服务器2”被获取作为认证服务器编号，因此IP地址“XYZW2”被获取。所获取的IP地址从服务器选择器23被输出给RADIUS服务器接口202。0093RADIUS服务器接口202将存储TLS参数的属性以及存。

48、储用户ID的属性添加到ACCESSREQUEST中。然后，在步骤17，该ACCESSREQUEST从RADIUS服务器接口202被发送给具有从服务器选择器203输出的IP地址的RADIUS服务器4002图2所示的箭头D。0094当RADIUS服务器4002确定所添加的属性存在时，对被添加在一起的TLS参数的转移DIVERSION消除了对在客户端100与RADIUS服务器4002之间重新建立握手的需要；TLS握手之后的认证分组被当作是隧道中的TLS认证的开始。在步骤18，认证结果从RADIUS服务器4002经由分发服务器200被发送给客户端100图2所示的箭头E和F。随后，在步骤19和20，在客。

49、户端100、分发服务器200和RADIUS服务器4002间交换分组，说明书CN101939751ACN101939754A9/9页13随后认证完成。0095用户ID是利用用户ID被唯一地指派的示例来描述的。然而，还可以以依客户端100的终端而定的方式来指派用户ID。0096数据库300可以包括在分发服务器200中。数据库5001至5003可以分别包括在RADIUS服务器4001至4003中。0097如上所述，在用户ID不能在消息交换的早期阶段被标识出的情况中，如在EAPTTLS认证方案中，对通过TLS握手获得的信息的传送消除了对从开始起重复认证过程的需要，并且可以继续由另一认证服务器进行的认证，由此使得处理的分发能够被高效地执行。0098上面已参考示例性实施例描述了本发明。然而，本发明不限于上面的示例性实施例。可在本发明的范围内对本发明的配置和细节作出本领域技术人员可理解的各种修改。0099本申请要求2008年2月14日提交的日本专利申请NO2008033333的优先权，该申请的全部公开通过引用结合于此。说明书CN101939751ACN101939754A1/5页14图1说明书附图CN101939751ACN101939754A2/5页15图2图3说明书附图CN101939751ACN101939754A3/5页16图4图5图6图7图8说明书附图CN101939751A。