(57)【特許請求の範囲】
【請求項１】
複数のクライアントを接続してＬＡＮを構築するＬＡＮ装置であって、
前記クライアントから、前記ＬＡＮの他のクライアントや他のネットワークへの通信の要求を受け付ける通信受付部と、
前記ＬＡＮのクライアントのうち一部のクライアントである指定クライアントを登録している登録部と、
前記通信の要求が、前記指定クライアントへの通信の要求であるかどうかを判断する判断部と、
前記判断部により、前記指定クライアントへの通信の要求ではないと判断された場合には、前記通信の制限を行なわず、前記判断部により指定クライアントへの通信であると判断された場合に、前記通信のプロトコルを制限することにより前記通信を制限する制限部と
を備えたＬＡＮ装置。
【請求項２】
請求項１記載のＬＡＮ装置であって、
前記登録部は、前記指定クライアントをそのＩＰアドレスにより登録する手段であり、
前記判断部は、前記通信の要求に記録されたＩＰアドレスにより、前記判断をする手段である
ＬＡＮ装置。
【請求項３】
請求項１または２記載のＬＡＮ装置であって、前記通信の要求をしたクライアントを判別する判別部と、前記判別部のだした判別結果により前記プロトコルの制限内容をかえる前記制限部を備えたＬＡＮ装置。
【請求項４】
請求項３記載のＬＡＮ装置であって、前記判別部は、前記クライアントに搭載されているネットワーク機器のＭＡＣアドレスにより前記クライアントを判別するＬＡＮ装置。
【請求項５】
請求項３記載のＬＡＮ装置であって、前記判別部は、前記クライアントのＩＰアドレスにより前記クライアントを判別するＬＡＮ装置。
【請求項６】
請求項１ないし５のいずれか記載のＬＡＮ装置であって、前記通信の要求が、前記他のネットワークへの通信の要求である場合、前記通信のプロトコルを制限することにより前記通信を制限するＷＡＮ制限部を備えたＬＡＮ装置。
【請求項７】
請求項３ないし５のいずれか記載のＬＡＮ装置であって、
前記通信の要求が前記他のネットワークへの通信の要求である場合、前記判別部の出した判別結果により前記通信のプロトコルの制限内容を変えて前記通信を制限するＷＡＮ制限部を備えたＬＡＮ装置。
【請求項８】
請求項１ないし７のいずれか記載のＬＡＮ装置であって、前記プロトコルの制限は、通信可能なプロトコルを限定することにより行なうＬＡＮ装置。
【請求項９】
複数のクライアントを接続したＬＡＮを統括する方法であって、
前記クライアントから、前記ＬＡＮの他のクライアントや他のネットワークへの通信の要求を受け付け、
前記ＬＡＮのクライアントのうち一部のクライアントである指定クライアントを登録し、
前記通信の要求が、前記指定クライアントへの通信の要求であるかどうかを判断し、
前記判断により、前記指定クライアントへの通信の要求ではないと判断された場合には、前記通信の制限を行なわず、前記判断により指定クライアントへの通信であると判断された場合に、前記通信のプロトコルを制限することにより前記通信を制限する
方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、複数のクライアントを接続したＬＡＮ装置に関する。
【０００２】
【従来の技術】
従来、インターネットのような常時接続を前提としたネットワークでは、会社、大学などの施設内に、イントラネットなどのローカルエリアネットワーク（ＬＡＮ）を構築し、これをルータやゲートウェイを介してインターネットなどの広域ネットワーク（ＷＡＮ）に常時接続する環境を用意している。こうしたＬＡＮでは、ＬＡＮに接続されるクライアント（コンピュータや使用者）を特定しておくことができる。これに対して、近年、狭い範囲の公衆エリアにおいて、高速無線ＬＡＮへの接続を不特定のものに提供するサービス（いわゆるホットスポット（登録商標）サービス）が提供されている。これは、店舗内などにＬＡＮを構築し、来店者などが自由に接続して、外部のインターネットなどに接続できるというものである。最近では、無線ＬＡＮの普及により、コンピュータをいちいちネットワークにケーブルで接続することなく、この種のサービスを受けられるようになっている。
【０００３】
こうしたホットスポットサービスは、小規模のものであれば、無線ＬＡＮ用のルータを利用して容易に構築することができる。通常、無線ＬＡＮ装置は、数台から十数台のクライアントを接続可能であり、更に有線で何台かのコンピュータを接続可能なものも知られている。従って、喫茶店や美容院など、小規模な店舗内に無線ＬＡＮ装置を設置し、有線で接続したコンピュータをＬＡＮ制御用の管理サーバとして用い、無線による接続を、店内の利用者に開放するといった使い方が可能である。
【０００４】
【発明が解決しようとする課題】
しかしながら、こうしたホットスポットサービスを実現する場合、セキュリティをどのようにして実現するかが問題となる。通常のイントラネットなどでは、接続するクライアントは固定的であり、その使用者名などは管理者により認識されている。ネットワークに接続する機器には、ハード的なＭＡＣアドレスというユニークな符号が振られているが、このＭＡＣアドレスを使えば、ＬＡＮに接続された機器を識別することができ、予め特定のサービスを、ＭＡＣアドレスを確認して許可・不許可とすることも容易である。ところが、ホットスポットサービスでは、接続するクライアントは不特定なので、こうしたＭＡＣアドレスの登録による管理は現実的ではない。かといって、無制限な接続を、クライアントに許してしまうと、管理用のサーバ内のデータへのアクセスも可能となり、場合によっては、トラブルの原因となることも考えられた。
【０００５】
こうした問題に対して、管理用のサーバを、ホットスポットサービス用のＬＡＮとは別のネットワークに用意したり、管理用のサーバをＲＡＭに接続する箇所にＶＬＡＮスイッチやファイアーウォールを設けるという対応も考えられるが、いずれも新たな機器の設置が必要となり、手軽に小規模なホットスポットサービスを提供しようとする目的に反してしまう。
【０００６】
本発明は、上記の課題を解決し、ＬＡＮ装置への簡易な接続とセキュリティの確保という二つの要請を満足するＬＡＮ装置を提供することを目的とする。
【０００７】
【課題を解決するための手段およびその作用・効果】
上記課題の少なくとも一部を解決する本発明の装置は、
複数のクライアントを接続してＬＡＮを構築するＬＡＮ装置であって、
前記クライアントから、前記ＬＡＮの他のクライアントや他のネットワークへの通信の要求を受け付ける通信受付部と、
前記ＬＡＮのクライアントのうち所定のクライアントである指定クライアントを登録している登録部と、
前記通信の要求が、前記指定クライアントへの通信の要求であるかどうかを判断する判断部と、
前記判断部により指定クライアントへの通信であると判断された場合に、前記通信のプロトコルを制限することにより前記通信を制限する制限部と
を備えることを要旨としている。
【０００８】
また、この装置に対応した方法の発明は、
複数のクライアントを接続したＬＡＮを統括する方法であって、
前記クライアントから、前記ＬＡＮの他のクライアントや他のネットワークへの通信の要求を受け付け、
前記ＬＡＮのクライアントのうち所定のクライアントである指定クライアントを登録し、
前記通信の要求が、前記指定クライアントへの通信の要求であるかどうかを判断し、
前記判断により指定クライアントへの通信であると判断された場合に、前記通信のプロトコルを制限することにより前記通信を制限すること
を要旨としている。
【０００９】
かかるＬＡＮ装置および方法によれば、ＬＡＮを構成する端末から所定の端末へのアクセスを制限することが可能である。また、通信を要求した端末に応じてプロトコルの制限内容をかえれば、様々なアクセス制限を行なうことが可能となる。更に、通信を要求された端末によってプロトコルの制限内容をかえても、様々なアクセス制限を行なうことが可能となる。
【００１０】
【発明の実施の形態】
＜第一実施例＞
（１）構成
以下、本発明の実施の形態について、図を参照しつつ説明する。図１は、いわゆるホットスポットサービスを提供するシステム（以下、ホットスポットシステム２２と呼ぶ）を表わす全体構成図である。ホットスポットサービスとは、ＬＡＮ装置２０により構成したＬＡＮから、ＷＡＮ５０に接続する環境を提供するサービスのことである。ホットスポットシステム２２は、ＬＡＮ装置２０，管理サーバ３０，業者クライアント３５，一般クライアント４０により構成されている。管理サーバ３０は、ホットスポットシステム２２を管理するために使用する端末である。業者クライアントは、ホットスポットシステム２２を提供している喫茶店や美容院などの業者の端末であり、業者自身がホットスポットシステムを利用してＷＡＮ５０に接続する場合に使用する。一般クライアントは、ホットスポットシステム２２を利用する利用者の端末である。管理サーバ３０と業者クライアント３５と一般クライアント４０を総称してホットスポット端末とよぶ。ホットスポット端末は皆同一物理セグメントに属している。
【００１１】
ＬＡＮ装置２０は、ＡＤＳＬ回線２５によりプロバイダに接続し、更にプロバイダを介してＷＡＮ５０に接続している。ホットスポット端末は、有線あるいは無線でＬＡＮ装置２０に接続し、ＬＡＮ装置２０を介してＷＡＮ５０に接続することができる。また、他のホットスポット端末にお互い通信することもＬＡＮ装置２０を介すれば可能となる。ただし、通信のプロトコルにはＴＣＰ／ＩＰを使用し、インターネット層においてはＩＰプロトコルを、トランスポート層においてはＴＣＰプロトコルを用いる。また、管理サーバ３０と業者クライアント３５のプライベートＩＰアドレスは固定であるが、一般クライアント４０のプライベートＩＰアドレスはＬＡＮ装置２０から動的に割り当てる。ＬＡＮ装置２０は、ホットスポット端末がＷＡＮ５０と通信するときは、プライベートＩＰアドレスをグローバルＩＰアドレスに変換して通信させる。
【００１２】
次に、管理サーバ３０の内部構成を、図２に基づいて説明する。管理サーバ３０は、ＬＡＮ装置２０を介してＷＡＮ５０とのデータのやり取りを制御するネットワークインターフェース（ＮＴ−Ｉ／Ｆ）７０，処理を行なうＣＰＵ８０，処理プログラムや固定的なデータを記憶するＲＯＭ９０，ワークエリアとしてのＲＡＭ１００，時間を管理するタイマ１１０，モニタ１６５への表示を司る表示回路１３０，テキストデータをデータベースとして蓄積しているハードディスク（ＨＤ）１２０，キーボード１５０やマウス１６０とのインターフェースを司る入力インターフェース（Ｉ／Ｆ）１４０等を備える。
【００１３】
なお、ハードディスク１２０は固定式のものとして記載したが、着脱式のものでも良いし、着脱式の記憶装置（例えばＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ，ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，フレキシブルディスクなど）を併用することも可能である。また、本実施例では管理サーバ３０の処理プログラムはＲＯＭ９０内に記憶されているものとしたが、ハードディスク１２０に記憶しておき、起動時にＲＡＭ１００上に展開して実行するものとしても良い。あるいは、上述した着脱式の記録媒体から読み込むものとしても良い。更には、ＬＡＮ装置２０を介して他の端末から読み込んで実行するものとしても良い。同様に、ハードディスク１２０に必要なデータのすべてが記憶されている必要はなく、ＬＡＮ装置２０により接続される他の端末に膨大なデータを分散して記憶，更新，管理する構成としても良い。なお、業者クライアント３５や一般クライアント４０も、内部構成は管理サーバ３０とほぼ同様である。
【００１４】
図３は、ＬＡＮ装置２０の内部構成を示す説明図である。ＬＡＮ装置２０は、コントローラ９５とメモリ１０５と入出力部６５で構成されている。メモリ１０５には、本実施例で使用する２つのデータベースが保存されている。業者データベース７５と送信データベース８５である。これらのデータベースにデータの登録・削除を行なうには、ホットスポットシステム２２の管理者のパスワードを必要とする。また、これらのデータベースの管理（データの登録・削除など）は管理サーバ３０からのみ行なうことができる。
【００１５】
業者データベース７５の一例を図４に示す。業者データベース７５は、管理サーバ３０と業者クライアント３５のＭＡＣアドレスとＬＡＮ内部のＩＰアドレス、つまりプライベートＩＰアドレスを登録したデータベースである。
【００１６】
送信データベース８５を図５に示す。送信データベース８５は、一般クライアント４０が通信に使用できるプロトコルを登録したデータベースである。ホットスポットシステム２２のホットスポット端末は、１つのプロトコルに対して予め定まった１つのポートを使用するので、送信データベース８５ではプロトコルとポート番号を対にして保存してある。なお、これ以下でいうプロトコルは、ＴＣＰ／ＩＰプロトコルにおける、アプリケーション層のプロトコルをさしている。
【００１７】
図３の入出力部６５は、ＷＡＮ５０との入出力を司るＷＡＮ部４５と、無線通信の入出力を司る無線部５５と、有線通信の入出力を司る有線部６０で構成されている。無線部５５や有線部６０は、ホットスポットシステム２２のホットスポット端末との入出力を司っている。コントローラ９５は、ＬＡＮ装置２０の内部の動きを統括している。
【００１８】
（３）処理
第一実施例では、管理サーバ３０と業者クライアント３５へのホットスポット端末からの通信のプロトコルを制限するＬＡＮ装置２０の処理について、図６を用いて説明する。ＬＡＮ装置２０は、無線部５５あるいは有線部６０でデータを受信すると（ステップＳ１５）、受信データのヘッダに記載されている送信元のＭＡＣアドレスで、業者データベース７５のＭＡＣアドレスフィールドを検索する（ステップＳ２０）。該当するＭＡＣアドレスが存在すれば（ステップＳ２５）、受信したデータは管理サーバ３０か業者クライアント３５からの通信である。よって、通信のプロトコルを何ら制限することなく、受信データを送信先として指定されている端末のアドレスにむけて送信する（ステップＳ３０）。送信したデータが、データの返信を要求する返信要求データ（例えばインターネットにおけるＵＲＬ）である場合は、返信要求データに応答して返信データ（上記例ではＵＲＬに該当するウェブページを表示するためのデータ）が送信されてくるので、返信データを受信する（ステップＳ３２）。そして、返信要求データをだした管理サーバあるいは業者クライアントのアドレスにむけて返信データを送信する（ステップＳ３２）。
【００１９】
ＭＡＣアドレスが業者データベース７５に存在しなければ（ステップＳ２５）、受信したデータは一般クライアント４０からの通信である。よって次に、受信データのヘッダに記載されている送信先のＩＰアドレスで、業者データベース７５のＩＰアドレスフィールドを検索する（ステップＳ３５）。該当するＩＰアドレスが存在しなければ（ステップＳ４０）、受信データはＷＡＮ５０あるいはホットスポットシステム２２の一般クライアント４０宛のデータである。よって、通信のプロトコルを何ら制限することなく、受信データを送信先として指定されている端末のアドレスにむけて送信する（ステップＳ３０）。送信したデータが返信要求データである場合は、返信データを受信し、返信要求データをだした一般クライアント４０のアドレスにむけて返信データを送信する（ステップＳ３２）。
【００２０】
該当するＩＰアドレスが存在するとき（ステップＳ４０）、受信データは、管理サーバ３０か業者クライアント３５への通信である。よって、プロトコルを制限するため、受信データのヘッダに記載されているポート番号で、送信データベース８５のポート番号フィールドを検索する（ステップＳ４５）。該当するポート番号が存在しないときは（ステップＳ５０）、そのプロトコルによる通信は禁止されているので、受信データは送信しないで終了する。ポート番号が存在するときは（ステップＳ５０）、受信データを送信先として指定されている端末のアドレスにむけて送信する（ステップＳ３０）。送信したデータが返信要求データである場合は、返信データを受信し、返信要求データをだした一般クライアント４０のアドレスにむけて返信データを送信する（ステップＳ３２）。
【００２１】
以上説明した実施例によれば、ＬＡＮ装置２０を使用するシステムにおいて、他のルータやファイアーウォールなどの機器を設置することなく、管理サーバ３０や業者クライアント３５への一般クライアント４０からのアクセスを制限することが可能となる。
【００２２】
＜第二実施例＞
第二実施例では、一般クライアント４０のタイプによって、プロトコルの制限内容を変更するホットスポットシステム２２の例を示す。ホットスポットシステム２２の管理者は、一般クライアント４０を上位クライアントと下位クライアントの２種類に選別する。プロトコルの制限を厳しくしない方を上位クライアントとし、厳しくする方を下位クライアントとする。例えば、ホットスポットシステム２２の利用料金を多く支払っている場合には上位クライアントとしたり、良心的な利用者である場合は上位クライアントとしたりする。そして、上位クライアントに搭載されたネットワーク機器のＭＡＣアドレスを、ＬＡＮ装置２０内のメモリ１０５にある上位データベース１１５に保存する。この保存には管理者のパスワードが必要であり、管理サーバ３０からのみ行なうことが可能である。また、上位クライアントと下位クライアントの使用可能なプロトコルは、ほとんどの場合異なる。
【００２３】
第二実施例における送信データベース８５の一例を図７に示す。上位プロトコルは、上位クライアントが管理サーバ３０または業者クライアント３５に対して通信する際使用可能なプロトコルである。上位ポート番号は、上位プロトコルによる通信で使用される予め定まったポート番号である。また、下位プロトコルは、下位クライアントが管理サーバ３０または業者クライアント３５に対して通信する際使用可能なプロトコルである。下位ポート番号は、下位プロトコルによる通信で使用される予め定まったポート番号である。
【００２４】
図８は、第二実施例におけるＬＡＮ装置２０の処理を表わすフローチャートである。図６における判断処理（ステップＳ５５）の後、送信先が管理サーバ３０か業者クライアント３５であるときは（図６の▲３▼）、まず受信データを送信した一般クライアント４０が上位クライアントであるか下位クライアントであるか判別する。そのため、受信データのヘッダに記録されている送信元の端末のＭＡＣアドレスで、上位データベース１１５を検索する（ステップＳ６０）。
【００２５】
上位データベース１１５にＭＡＣアドレスが存在するとき、つまり送信元の端末が上位クライアントのときは（ステップＳ６５）、受信データのヘッダに記載されているポート番号で、送信データベース８５の上位ポート番号フィールドを検索する（ステップＳ７０）。該当するポート番号が存在しないときは（ステップＳ７５）、そのプロトコルによる通信は禁止されているので、受信データは送信しないで終了する。ポート番号が存在するときは（ステップＳ７５）、受信データを送信先として指定されている端末のアドレスにむけて送信する（ステップＳ８０）。送信したデータが返信要求データである場合は、返信データを受信し、返信要求データをだした上位クライアントのアドレスにむけて返信データを送信する（ステップＳ８２）。
【００２６】
上位データベース１１５にＭＡＣアドレスが存在しないとき、つまり送信元の端末が下位クライアントのときは（ステップＳ６５）、受信データのヘッダに記載されているポート番号で、送信データベース８５の下位ポート番号フィールドを検索する（ステップＳ８５）。該当するポート番号が存在しないときは（ステップＳ９０）、そのプロトコルによる通信は禁止されているので、受信データは送信しないで終了する。ポート番号が存在するときは（ステップＳ９０）、受信データを送信先として指定されている端末のアドレスにむけて送信する（ステップＳ８０）。送信したデータが返信要求データである場合は、返信データを受信し、返信要求データをだした下位クライアントのアドレスにむけて返信データを送信する（ステップＳ８２）。
【００２７】
以上説明した第二実施例によれば、第一実施例と同様な作用効果を奏する上、更に、一般クライアント４０を選別して、それぞれが使用可能なプロトコルを別個に指定することで、管理サーバ３０や業者クライアント３５に対するセキュリティを段階的に設定することが可能となる。
【００２８】
＜第三実施例＞
第三実施例では、管理サーバ３０や業者クライアント３５に対してだけではなく、ＷＡＮ５０側への通信も制限する。第三実施例における送信データベース８５を図９に示す。上位ＷＡＮプロトコルは、上位クライアントがＷＡＮ５０に対して通信する際使用可能なプロトコルである。上位ＷＡＮポート番号は、上位ＷＡＮプロトコルによる通信で使用される予め定まったポート番号である。また、下位ＷＡＮプロトコルは、下位クライアントがＷＡＮ５０に対して通信する際使用可能なプロトコルである。下位ＷＡＮポート番号は、下位ＷＡＮプロトコルによる通信で使用される予め定まったポート番号である。
【００２９】
図１０は、第三実施例におけるＬＡＮ装置２０の処理を表わすフローチャートである。図６における判断処理（ステップＳ５５）の後、送信先が管理サーバ３０でも業者クライアント３５でもない場合は（図６の▲２▼）、送信先のＩＰアドレスがプライベートＩＰアドレスであるかどうか、つまりホットスポット端末のＩＰアドレスであるかどうかを判別する（ステップＳ１００）。プライベートＩＰアドレスである場合は（ステップＳ１００）、何らプロトコルを制限することなく、受信データを、送信先として指定されている端末のアドレスにむけて送信する（ステップＳ１０５）。送信したデータが返信要求データである場合は、返信データを受信し、返信要求データをだした一般クライアント４０のアドレスにむけて返信データを送信する（ステップＳ１０７）。プライベートＩＰアドレスではない場合は（ステップＳ１００）、第二実施例で行なった上位・下位送信処理を行なう（ステップＳ９５）。なお、その際上位・下位送信処理において送信データベースを検索するときは、上位クライアントであるときは上位ＷＡＮポート番号を、下位クライアントであるときは下位ＷＡＮポート番号を検索する。
【００３０】
以上説明した第三実施例によれば、第一実施例，第二実施例と同様な作用効果を奏する上、更に、ＷＡＮ５０側への通信も制限することが可能となる。
【００３１】
以上、本発明の実施の形態について説明したが、本発明はこうした実施の形態に何ら限定されるものではなく、本発明の要旨を逸脱しない範囲内において、更に様々な形態で実施しうることは勿論である。例えば、管理サーバ３０や業者クライアント３５にホットスポット端末から通信するとき、管理サーバ３０や業者クライアント３５を選別して、それぞれ異なるプロトコルで通信できるようにすることも可能である。管理サーバ３０と業者クライアント３５では異なる設定にしたい場合などに有効である。
【００３２】
また、一般クライアント４０から一般クライアント４０への通信プロトコルを制限することも可能である。一般クライアント４０同士のアクセスを制限したい場合に有効である。更に、実施例ではプロトコルの分類は２種類にしてあるが、その必要はなく、ホットスポット端末に応じて何種類でも分類することが可能である。
【００３３】
また、第二実施例，第三実施例においては、上位クライアントを上位データベースに保有したが、必ずしもその必要はなく、下位クライアントを下位データベースとして保有しても良いし、ホットスポット端末を更に詳細にランク分けするような情報を保有しても良い。
【図面の簡単な説明】
【図１】ホットスポットシステム２２を示す説明図である。
【図２】管理サーバ３０の内部構成を示す説明図である。
【図３】ＬＡＮ装置２０の内部構成を示す説明図である。
【図４】業者データベース７５を示す説明図である。
【図５】第一実施例における送信データベース８５を示す説明図である。
【図６】第一実施例におけるＬＡＮ装置２０の処理を示すフローチャートである。
【図７】第二実施例における送信データベース８５を示す説明図である。
【図８】第二実施例におけるＬＡＮ装置２０の処理を示すフローチャートである。
【図９】第三実施例における送信データベース８５を示す説明図である。
【図１０】第三実施例におけるＬＡＮ装置２０の処理を示すフローチャートである。
【符号の説明】
２０…ＬＡＮ装置
２２…ホットスポットシステム
２５…ＡＤＳＬ回線
３０…管理サーバ
３５…業者クライアント
４０…一般クライアント
４５…ＷＡＮ部
５０…ＷＡＮ
５５…無線部
６０…有線部
６５…入出力部
７５…業者データベース
８０…ＣＰＵ
８５…送信データベース
９０…ＲＯＭ
９５…コントローラ
１００…ＲＡＭ
１０５…メモリ
１１０…タイマ
１１５…上位データベース
１２０…ハードディスク
１３０…表示回路
１５０…キーボード
１６０…マウス
１６５…モニタ
【図１】
0003564117.tif 000002
【図２】
0003564117.tif 000003
【図３】
0003564117.tif 000004
【図４】
0003564117.tif 000005
【図５】
0003564117.tif 000006
【図６】
0003564117.tif 000007
【図７】
0003564117.tif 000008
【図８】
0003564117.tif 000009
【図９】
0003564117.tif 000010
【図１０】
0003564117.tif 000011