(57)【特許請求の範囲】
【請求項１】
一つの無線通信ポート及び複数のネットワーク通信ポートを有するネットワーク間接続装置であって、
前記無線通信ポートに接続されるネットワークノードの機器認証を行う機器認証手段と、
前記機器認証手段による認証結果に基づき、前記無線通信ポートと前記複数のネットワーク通信ポートの各々との間における通信の可否を制御し、前記無線通信ポートに接続されるネットワークノードが前記機器認証手段によって機器認証されていないものであっても、特定のネットワーク通信ポートを介した通信の場合には、その通信を可能にする制御手段と
を具備し、前記無線通信ポートと前記複数のネットワークとの間でのデータ通信の中継機能を有することを特徴とするネットワーク間接続装置。
【請求項２】
一つの無線通信ポート及び複数のネットワーク通信ポートを有するネットワーク間接続装置であって、
前記無線通信ポートは無線ＬＡＮ（Local Area Network）通信ポートであり、前記複数の通信ポートは有線ＬＡＮ通信ポート及びＬＡＮ以外のネットワーク通信ポートを含んでおり、
前記無線通信ポートに接続されるネットワークノードの機器認証を行う機器認証手段と、
前記機器認証手段による認証結果に基づき、前記無線通信ポートと前記複数のネットワーク通信ポートの各々との間における通信の可否を制御し、前記無線ＬＡＮ通信ポートに接続されるネットワークノードが前記機器認証手段によって機器認証されていないものであっても、前記有線ＬＡＮ通信ポートを介した通信の場合には、その通信を可能にする制御手段と
を具備し、前記無線通信ポートと前記複数のネットワークとの間でのデータ通信の中継機能を有することを特徴とするネットワーク間接続装置。
【請求項３】
無線通信手段と、複数のネットワークに接続するネットワーク通信手段とを有し、これらの間のデータ通信の中継機能を有するネットワーク間接続装置であって、
前記無線通信手段は無線ＬＡＮ（Local Area Network）に接続され、前記ネットワーク通信手段は有線ＬＡＮ及びＬＡＮ以外のネットワークに接続されており、
前記無線通信手段と前記ネットワーク通信手段との間に介在し、前記無線通信手段によって接続する無線端末及び前記ネットワーク通信手段に接続するネットワークノードのＭＡＣ（Media Access Control）アドレスを記憶する記憶手段と、
前記記憶手段に記憶している前記ＭＡＣアドレスに基づき、前記無線端末と認証処理を行う認証手段と、
前記記憶手段に記憶している認証結果に基づいて、前記ネットワークノードから前記無線端末へ転送するパケット、もしくは前記無線端末から前記ネットワークノードへ転送するパケットの転送可否を決定し、前記無線通信手段に接続される無線端末が前記認証手段によって機器認証されていないものであっても、前記有線ＬＡＮを介した通信の場合には、その通信を可能にする制御手段と
を具備することを特徴とするネットワーク間接続装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク間の接続を行うネットワーク間接続装置及びネットワーク接続制御方法に関する。
【０００２】
【従来の技術】
近年、ネットワーク間の通信を最適化するために、様々なネットワーク間接続方式が提案されている。例えば、米国Ｍｉｃｒｏｓｏｆｔ社及びＣｉｓｃｏ社は、ＩＥＥＥ８０２．１ｘと呼ばれるポートベースでのネットワーク間接続方式を提案している。
【０００３】
ネットワーク間の通信管理においては、セキュリティ面から、通信ポートに接続されるネットワーク上のネットワークノード（端末など）に対して機器認証を行うことが必要となる。そこで、ＩＥＥＥ８０２．１ｘでは、ネットワーク上のネットワークノードに対する機器認証の方式の一つとして、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ−Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ）を利用することが挙げられている。ＲＡＤＩＵＳは、米国Ｌｉｖｉｎｇｓｔｏｎ  Ｅｎｔｅｒｐｒｉｓｅｓ社が開発した認証システムである。
【０００４】
例えばネットワーク間接続装置の一種である無線ＬＡＮ用アクセスポイントに上記ＩＥＥＥ８０２．１ｘを適用する場合、当該アクセスポイントは、無線ＬＡＮ通信ポートに接続される無線ＬＡＮ上のネットワークノード（端末など）に対する機器認証を行う。この場合、アクセスポイントはＡｕｔｈｅｎｔｉｃａｔｏｒとして動作し、有線ＬＡＮなどを介して別途接続されたＡｕｔｈｅｎｔｉｃａｔｉｏｎサーバであるＲＡＤＩＵＳサーバと連携して、無線ＬＡＮ通信端末の認証と通信管理を行う。これにより認証が成功した無線ＬＡＮ上のネットワークノードは、有線ＬＡＮなどのネットワーク上のネットワークノードとのパケット通信を行えるようになる。
【０００５】
上述の技術としては、特開２００１−１１１５４４号公報に、無線端末、アクセスポイント、ＲＡＤＩＵＳサーバ間での認証処理手法に関する技術が開示されている。
【０００６】
【発明が解決しようとする課題】
しかしながら、ＲＡＤＩＵＳサーバを用いる方式では、機器認証されない無線ＬＡＮ上のネットワークノードは、アクセスポイントに実装されている全てのネットワーク通信ポートを経由した通信を行うことができなくなるという問題がある。
【０００７】
この問題を解決するために、ＲＡＤＩＵＳをアクセスポイントに内包し、このＲＡＤＩＵＳによる機器認証結果に基づいて無線ＬＡＮ上のネットワークノードが通信可能なネットワーク通信ポートを個々に制御できるようにすることも考えられるが、ＲＡＤＩＵＳは高価であり、またその扱いが難しく、アクセスポイントのユーザにとっては多大な負担がかかるため、望ましい方法とは言いない。
【０００８】
また、無線ＬＡＮと有線ＬＡＮとを接続するＬＡＮ内通信だけにとどまらず、インターネットなどの外部のネットワークとの通信をも含めた通信管理を、高いセキュリティを維持しつつ単一の機器で行えるようにすることが望まれる。
【０００９】
本発明は上記実状に鑑みてなされたものであり、一つの無線通信ポート及びこれ以外の複数のネットワーク通信ポートを備え、安価かつ簡易な構成で高いセキュリティのネットワーク間接続を実現するネットワーク間接続装置を提供することを目的とする。
【００１０】
【課題を解決するための手段】
本発明に係るネットワーク間接続装置は、一つの無線通信ポート及び複数のネットワーク通信ポートを有するネットワーク間接続装置であって、前記無線通信ポートに接続されるネットワークノードの機器認証を行う機器認証手段と、前記機器認証手段による認証結果に基づき、前記無線通信ポートと前記複数のネットワーク通信ポートの各々との間における通信の可否を制御し、前記無線通信ポートに接続されるネットワークノードが前記機器認証手段によって機器認証されていないものであっても、特定のネットワーク通信ポートを介した通信の場合には、その通信を可能にする制御手段とを具備し、前記無線通信ポートと前記複数のネットワークとの間でのデータ通信の中継機能を有することを特徴とする。
【００１１】
また、本発明に係るネットワーク間接続装置は、一つの無線通信ポート及び複数のネットワーク通信ポートを有するネットワーク間接続装置であって、前記無線通信ポートは無線ＬＡＮ（Local Area Network）通信ポートであり、前記複数の通信ポートは有線ＬＡＮ通信ポート及びＬＡＮ以外のネットワーク通信ポートを含んでおり、前記無線通信ポートに接続されるネットワークノードの機器認証を行う機器認証手段と、前記機器認証手段による認証結果に基づき、前記無線通信ポートと前記複数のネットワーク通信ポートの各々との間における通信の可否を制御し、前記無線ＬＡＮ通信ポートに接続されるネットワークノードが前記機器認証手段によって機器認証されていないものであっても、前記有線ＬＡＮ通信ポートを介した通信の場合には、その通信を可能にする制御手段とを具備し、前記無線通信ポートと前記複数のネットワークとの間でのデータ通信の中継機能を有することを特徴とする。
【００１２】
また、本発明に係るネットワーク間接続装置は、無線通信手段と、複数のネットワークに接続するネットワーク通信手段とを有し、これらの間のデータ通信の中継機能を有するネットワーク間接続装置であって、前記無線通信手段は無線ＬＡＮ（Local Area Network）に接続され、前記ネットワーク通信手段は有線ＬＡＮ及びＬＡＮ以外のネットワークに接続されており、前記無線通信手段と前記ネットワーク通信手段との間に介在し、前記無線通信手段によって接続する無線端末及び前記ネットワーク通信手段に接続するネットワークノードのＭＡＣ（Media Access Control）アドレスを記憶する記憶手段と、前記記憶手段に記憶している前記ＭＡＣアドレスに基づき、前記無線端末と認証処理を行う認証手段と、前記記憶手段に記憶している認証結果に基づいて、前記ネットワークノードから前記無線端末へ転送するパケット、もしくは前記無線端末から前記ネットワークノードへ転送するパケットの転送可否を決定し、前記無線通信手段に接続される無線端末が前記認証手段によって機器認証されていないものであっても、前記有線ＬＡＮを介した通信の場合には、その通信を可能にする制御手段とを具備することを特徴とする。
【００１３】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態を説明する。
【００１４】
図１は、本発明の一実施形態に係るネットワーク間接続装置を実現するハードウェアの構成を示す図である。
【００１５】
ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１は、システム全体の制御を司るものであり、例えばメモリ３内にロードされた制御プログラムに従って各種ドライバやプロトコルの処理を行う。
【００１６】
バスブリッジ（Ｎｏｒｔｈ  Ｂｒｉｄｇｅ）２は、ＣＰＵ１、メモリ３、各種コントローラ４〜７間のデータ通信を管理する。
【００１７】
メモリ３は、動作手続きを記述した制御プログラムを記憶すると共に、各種コントローラ５〜７間でやり取りされるパケットデータを一時的に保管する。
【００１８】
ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）コントローラ４は、ＨＤＤ４１を制御するためのコントローラであり、ＨＤＤ４１に格納される制御用プログラムの読出しや機器認証用のデータの格納・読出しを行う。
【００１９】
ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ  Ｄｉｇｉｔａｌ  Ｓｕｂｓｃｒｉｂｅｒ  Ｌｉｎｅ）コントローラ５は、ＡＤＳＬ通信ポート５１を介してインターネットに通じるＡＤＳＬへの接続を制御するコントローラである。なお、ＡＤＳＬではなく、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ  Ｔｒａｎｓｆｅｒ  Ｍｏｄｅ）や、ＩＳＤＮ（Ｉｎｔｅｇｒａｔｅｄ  Ｓｅｒｖｉｃｅｓ  Ｄｉｇｉｔａｌ  Ｎｅｔｗｏｒｋ）、ＦＴＴＨ（Ｆｉｂｅｒ  Ｔｏ  Ｔｈｅ  Ｈｏｍｅ）等の方式に対応するコントローラ及び通信ポートを採用してもよい。
【００２０】
ＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）コントローラ６は、有線ＬＡＮ通信ポート６１を介して有線ＬＡＮ（イーサネットなど）に通じるＮＩＣを制御するためのコントローラである。有線ＬＡＮ通信ポート６１に対しては、有線ＬＡＮ上のネットワークノードである有線ＬＡＮ通信端末が接続可能である。
【００２１】
無線ＬＡＮコントローラ７は、無線ＬＡＮ通信ポート７１を介して無線ＬＡＮへの接続を制御するためのコントローラである。無線ＬＡＮ通信ポート７１に対しては、無線ＬＡＮ上のネットワークノードである無線ＬＡＮ通信端末が接続可能である。
【００２２】
図２は、同実施形態に係るネットワーク間接続装置を実現するソフトウェアの構成を示す図である。
【００２３】
機器認証部１１は、ＩＥＥＥ８０２．１ｘの規定に基づく機器認証を行うものである。すなわち、機器認証部１１は、接続制御部１２からの要求に応じて無線ＬＡＮ通信端末の機器認証を行ったり、無線ＬＡＮ通信端末に対する機器認証応答を接続制御部１２に要求したりする。また、機器認証に成功した無線ＬＡＮ通信端末に対しては、機器認証部１１は、通信されるパケットに適用する暗号化処理に必要な情報を上記機器認証応答に含めて提供する。
【００２４】
接続制御部１２は、上記制御プログラムに従って、ＩＥＥＥ８０２．１ｘの規定に基づく接続制御を行うものであり、無線ＬＡＮ制御部１３と機器認証部１１との間での機器認証の手続きを行うと共に、ブリッジ制御部１５と無線ＬＡＮ制御部１３との間を行き交うパケットを監視し、無線ＬＡＮ通信端末を示すＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを元にその無線ＬＡＮ通信端末が認証済みか否かを判定し、条件に合致したパケットのみを転送し、それ以外のパケットを破棄する。
【００２５】
無線ＬＡＮ制御部１３は、図１における無線ＬＡＮコントローラ７に対応する要素であり、無線ＬＡＮ通信ポート７１に接続される無線ＬＡＮ上の無線ＬＡＮ通信端末からの機器認証要求やパケット転送要求を接続制御部１２に対して行ったり、無線ＬＡＮ通信端末への機器認証結果やパケット処理要求を接続制御部１２から受けたりする。
【００２６】
ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）制御部１４は、ブリッジ制御部１５とＡＤＳＬ制御部１８との間でのＩＰルーティング処理を行う。
【００２７】
ブリッジ制御部１５は、接続制御部１２と有線ＬＡＮ制御部１７との間でのブリッジ処理を実施し、条件に合致したパケットをＩＰ制御部１４へ転送すると共に、有線ＬＡＮと無線ＬＡＮに接続されるネットワークノード（無線／有線ＬＡＮ通信端末）の状態をＭＡＣ  ＬＵＴ１６に反映させる。
【００２８】
ＭＡＣ  ＬＵＴ（Ｌｏｏｋ  Ｕｐ  Ｔａｂｌｅ）１６は、有線ＬＡＮと無線ＬＡＮに接続されるネットワークノードの情報（ＭＡＣアドレス、認証結果など）を格納しており、ブリッジ制御部１５によって内容を更新され、接続制御部１２から参照される。
【００２９】
有線ＬＡＮ制御部１７は、図１におけるＮＩＣコントローラ６に対応する要素であり、有線ＬＡＮ通信ポート６１に接続される有線ＬＡＮ上の有線ＬＡＮ通信端末から受けたパケットをブリッジ制御部１５へ送ったり、逆に、ブリッジ制御部１５から受けたパケットを有線ＬＡＮ上の有線ＬＡＮ通信端末へ送ったりする。
【００３０】
ＡＤＳＬ制御部１８は、図１におけるＡＤＳＬコントローラ５に対応する要素であり、ＡＤＳＬ上から受けたパケットをＩＰ制御部１４へ送ったり、逆に、ＩＰ制御部１４から受けたパケットをＡＤＳＬ上へ送ったりする。
【００３１】
なお、無線ＬＡＮ通信端末の機器認証と暗号化方式として、例えばＩＥＥＥ８０２．１１ｉの技術を適用するようにしてもよい。また、無線通信方式にＩＥＥＥ８０２．１１やＩＥＥＥ８０２．１１ａ、ＩＥＥＥ８０２．１１ｂ、ＩＥＥＥ８０２．１１ｇ等の技術を適用してもよい。また、無線ＬＡＮの技術ではなく、Ｂｌｕｅｔｏｏｔｈの技術を採用することも可能である。
【００３２】
次に、図３のフローチャートを参照して、本実施形態における接続制御の処理手順を説明する。
【００３３】
ある処理要求元（機器認証部１１、無線ＬＡＮ制御部１３、ブリッジ制御部１５のいずれか）から接続制御部１２に対し、処理要求が行われる。すると、接続制御部１２は、処理要求元が無線ＬＡＮ制御部１３であるか否かを判定する（ステップＳ１）。
【００３４】
上記ステップＳ１において処理要求元が無線ＬＡＮ制御部１３でないと判定された場合、接続制御部１２は、その処理要求元が機器認証部１１であるか否かを判定する（ステップＳ２）。
【００３５】
上記ステップＳ２において処理要求元が機器認証部１１であると判定された場合、その処理要求は機器認証部１１からの機器認証応答の要求である。この場合、接続制御部１２は、機器認証部１１からの機器認証応答の要求に従って無線ＬＡＮ端末への応答パケットを生成し（ステップＳ３）、そのパケットの処理要求を無線ＬＡＮ制御部１３に対して行う（ステップＳ４）。
【００３６】
一方、上記ステップＳ２において処理要求元が機器認証部１１でないと判定された場合は、その処理要求元はブリッジ制御部１５である。この場合、ブリッジ制御部１５からの処理要求は、無線ＬＡＮ端末に対するパケット転送要求である。そこで、接続制御部１２は、ＭＡＣ  ＬＵＴ１６を参照し、そのパケット転送要求に示される送信先のＭＡＣアドレスが認証済みの無線ＬＡＮ端末を示しているか否かを判定する（ステップＳ５）。
【００３７】
上記ステップＳ５において送信先のＭＡＣアドレスが認証済みの無線ＬＡＮ端末を示している場合、接続制御部１２は、ブリッジ制御部１５からのパケットの処理要求を無線ＬＡＮ制御部１３に対して行う（ステップＳ４）。一方、上記ステップＳ５において送信先のＭＡＣアドレスが認証済みの無線ＬＡＮ端末を示していない場合、即ち、送信先のＭＡＣアドレスが未認証の無線ＬＡＮ端末を示している場合、接続制御部１２は、送信元のＭＡＣアドレスが有線ＬＡＮ通信端末のＭＡＣアドレスであるか否かを判定する（ステップＳ６）。すなわち、ここではＬＡＮ内の通信であるか否かの判定を行っている。
【００３８】
上記ステップＳ６において送信元のＭＡＣアドレスが有線ＬＡＮ通信端末のＭＡＣアドレスである場合（ＬＡＮ内通信である場合）、接続制御部１２は、ブリッジ制御部１５からのパケットの処理要求を無線ＬＡＮ制御部１３に対して行う（ステップＳ４）。一方、上記ステップＳ６において送信元のＭＡＣアドレスが有線ＬＡＮ通信端末のＭＡＣアドレスでない場合（ＬＡＮ内通信でない場合）、接続制御部１２は、ブリッジ制御部１５からのパケットを破棄する（ステップＳ７）。
【００３９】
また、上記ステップＳ１において処理要求元が無線ＬＡＮ制御部１３であると判定された場合、その処理要求は無線ＬＡＮ端末からのパケット転送要求である。そこで、接続制御部１２は、ＭＡＣ  ＬＵＴ１６を参照し、そのパケット転送要求に示される送信元のＭＡＣアドレスが認証済みの無線ＬＡＮ端末を示しているか否かを判定する（ステップＳ８）。
【００４０】
上記ステップＳ８において送信元のＭＡＣアドレスが認証済みの無線ＬＡＮ端末を示している場合、接続制御部１２は、無線ＬＡＮ制御部１３からのパケットの処理要求をブリッジ制御部１５に対して行う（ステップＳ９）。一方、上記ステップＳ８において送信元のＭＡＣアドレスが認証済みの無線ＬＡＮ端末を示していない場合、接続制御部１２は、無線ＬＡＮ制御部１３からのパケットが機器認証手続きパケットであるか否かを判定する（ステップＳ１０）。
【００４１】
上記ステップＳ１０において無線ＬＡＮ制御部１３からのパケットが機器認証手続きパケットである場合、接続制御部１２は、無線通信端末の機器認証を認証部１１に要求する（ステップＳ１１）。一方、無線ＬＡＮ制御部１３からのパケットが機器認証手続きパケットでない場合（機器認証手続きパケット以外のパケットである場合）、接続制御部１２は、送信先のＭＡＣアドレスが有線ＬＡＮ通信端末のＭＡＣアドレスであるか否かを判定する（ステップＳ１２）。すなわち、ここではＬＡＮ内の通信であるか否かの判定を行っている。
【００４２】
上記ステップＳ１２において送信先のＭＡＣアドレスが有線ＬＡＮ通信端末のＭＡＣアドレスである場合（ＬＡＮ内通信である場合）、接続制御部１２は、無線ＬＡＮ制御部１３からのパケットの処理要求を有線ＬＡＮ制御部１７に対して行う（ステップＳ９）。一方、上記ステップＳ１２において送信先のＭＡＣアドレスが有線ＬＡＮ通信端末のＭＡＣアドレスでない場合（ＬＡＮ内通信でない場合）、接続制御部１２は、無線ＬＡＮ制御部１３からのパケットを破棄する（ステップＳ１３）。
【００４３】
このように本実施形態によれば、無線通信アクセスポイント機能（ブリッジ機能）を有すると共に無線ＬＡＮ通信端末の機器認証機能を有し、ルータとして動作する（一つの無線通信ポートと複数のネットワークとの間でのデータ通信の中継機能を有する）ネットワーク間接続装置を効率的に実現することができる。特に、無線通信ポートに接続される無線ＬＡＮ通信端末の機器認証を行うための機器認証機能をネットワーク間接続装置に内包し、その機器認証の結果に基づいて当該無線ＬＡＮ通信端末からインターネット等への通信の可否などをパケット毎に判別できるようにしているため、安価かつ簡易な構成で高いセキュリティのネットワーク間接続を、単一のネットワーク間接続装置で実現することが可能となる。
【００４４】
また、機器認証部１１から、機器認証に成功した無線ＬＡＮ通信端末に対し、通信されるパケットに適用する暗号化処理に必要な情報を提供することにより、パケットを秘匿化し、セキュリティをより一層高めた通信管理を実現することが可能となる。
【００４５】
また、無線ＬＡＮ通信端末が機器認証部１１によって機器認証されていないものであっても、特定のネットワーク通信ポート（例えば、有線ＬＡＮ通信ポート）を介した通信の場合にはその通信を可能とするように制御することにより、一層効率的且つ迅速な通信を実現することが可能となる。
【００４６】
なお、本発明は、上述した実施形態に限定されるものではなく、その要旨を逸脱しない範囲内で種々変形して実施することが可能である。
【００４７】
【発明の効果】
以上詳記したように本発明によれば、一つの無線通信ポート及びこれ以外の複数のネットワーク通信ポートを有するネットワーク間接続装置において、安価かつ簡易な構成で高いセキュリティのネットワーク間接続を実現することが可能となる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るネットワーク間接続装置を実現するハードウェアの構成を示す図。
【図２】同実施形態に係るネットワーク間接続装置を実現するソフトウェアの構成を示す図。
【図３】同実施形態における接続制御の処理手順を説明するためのフローチャート。
【符号の説明】
１…ＣＰＵ
２…バスブリッジ
３…メモリ
４…ＨＤＤコントローラ
５…ＡＤＳＬコントローラ
６…ＮＩＣコントローラ
７…無線ＬＡＮコントローラ
１１…機器認証部
１２…接続制御部
１３…無線ＬＡＮ制御部
１４…ＩＰ制御部
１５…ブリッジ制御部
１６…ＭＡＣ  ＬＵＴ
１７…有線ＬＡＮ制御部
１８…ＡＤＳＬ制御部
４１…ＨＤＤ
５１…ＡＤＳＬ通信ポート
６１…有線ＬＡＮ通信ポート
７１…無線ＬＡＮ通信ポート
【図１】
0003563714.tif 000002
【図２】
0003563714.tif 000003
【図３】
0003563714.tif 000004