(57)【要約】【課題】管理者による無線装置毎の提供サービスに対する自動設定の手間を軽減し、無線装置のネットワークへの接続モードに応じたサービスを提供できるようにする。【解決手段】ネットワークシステムは、上位ネットワーク1上にエンタプライズモード用認証サーバ14を備え、有線ローカルネットワーク2上に無線アクセスポイント10を備え、無線ローカルネットワーク3上に無線端末101〜103を備える。無線アクセスポイント10は、無線区間でアソシエートしている無線端末と認証サーバ14との間の認証シーケンスの監視により、認証サーバ14のユーザ認証の結果を取得し、ARPテーブルの監視により、無線端末のMACアドレスとIPアドレスとの関係を示す情報を取得する。これらの取得した情報を基に無線端末のモードを判定し、モードに応じたサービス（フィルタリング）を設定する。【選択図】図１
2006186968.tif 000002
【特許請求の範囲】
【請求項１】
無線ローカルネットワークと、認証装置を有するネットワークと、の間の接続を制御する無線制御装置であって、
無線装置のMACアドレスとIPアドレスとの関係を示す情報を取得する第１の取得手段と、
前記無線装置と前記認証装置との間の認証シーケンスの監視により、前記認証装置のユーザ認証の結果情報、もしくは、前記無線装置のログイン名情報を取得する第２の取得手段と、
前記第１の取得手段により取得した情報及び前記第２の取得手段により取得した情報に基づいて、前記無線装置と前記無線制御装置との接続モードを判定する判定手段と、
前記判定手段による判定に応じて、前記無線装置に提供するサービスを決定する決定手段と、
を有することを特徴とする無線制御装置。
【請求項２】
前記判定手段は、前記認証装置による認証結果に応じて前記無線装置と前記無線制御装置とを接続するモードか、前記無線制御装置による判断に応じて前記無線装置と前記無線制御装置とを接続するモードかを判定することを特徴とする請求項１記載の無線制御装置。
【請求項３】
前記無線装置のMACアドレスと、ユーザ識別情報と、前記認証装置による認証結果と、IPアドレスとを関連付けて記憶する記憶手段を更に有し、
前記第２の取得手段は、前記認証シーケンスの監視により前記無線装置のユーザ識別情報とMACアドレスをも取得して、前記記憶手段に記憶し、
前記第１の取得手段は、取得したMACアドレスとIPアドレスとの関係を示す情報を前記記憶手段に記憶することを特徴とする請求項１記載の無線制御装置。
【請求項４】
前記判定手段は、前記記憶手段に記憶されている情報に基づいて、前記接続モードを判定することを特徴とする請求項３記載の無線制御装置。
【請求項５】
前記第１の取得手段により取得した情報と、前記第２の取得手段により取得した情報とを記憶する記憶手段を有し、
前記判定手段は、前記記憶手段にMACアドレスとIPアドレスとが記憶されている無線装置に対応して、前記ユーザ認証結果、もしくは、前記ログイン名情報が記憶されているか否かに応じて、前記接続モードを判定することを特徴とする請求項１記載の無線制御装置。
【請求項６】
前記記憶手段の記憶内容を更新するタイミングは、前記ユーザ認証の成否を取得するタイミング、前記MACアドレスとIPアドレスとの関係を示す情報を取得するタイミング、前記無線制御装置内部のデータベースを更新するタイミングの何れかを含むことを特徴とする請求項５記載の無線制御装置。
【請求項７】
前記決定手段は、前記無線装置に対するアクセス制限サービス、アドレス変換サービス、IPアドレスの付与方法の少なくとも何れかのサービスに関する設定を決定することを特徴とする請求項１記載の無線制御装置。
【請求項８】
前記決定手段は、前記判定手段により判定した接続モードと、前記無線制御装置に予め設定されている情報とに基づいて、前記サービスを決定することを特徴とする請求項１記載の無線制御装置。
【請求項９】
前記請求項１乃至８の何れかに記載の無線制御装置と、認証装置と、を備えることを特徴とするシステム。
【請求項１０】
無線ローカルネットワークと、認証装置を有するネットワークとの間の接続を制御する無線制御装置の制御方法であって、
無線装置のMACアドレスとIPアドレスとの関係を示す情報を取得する第１の取得工程と、
前記無線装置と前記認証装置との間の認証シーケンスの監視により、前記認証装置のユーザ認証の結果情報、もしくは、前記無線装置のログイン名情報を取得する第２の取得工程と、
前記第１の取得工程において取得した情報及び前記第２の取得工程において取得した情報に基づいて、前記無線装置と前記無線制御装置との接続モードを判定する判定工程と、
前記判定工程における判定に応じて、前記無線装置に提供するサービスを決定する決定工程と、
を有することを特徴とする制御方法。
【請求項１１】
無線ローカルネットワークと、認証装置を有するネットワークとの間の接続を制御する無線制御装置の制御方法をコンピュータに実行させるプログラムであって、
無線装置のMACアドレスとIPアドレスとの関係を示す情報と、前記無線装置と前記認証装置との間の認証シーケンスの監視により、前記認証装置のユーザ認証の結果情報、もしくは、前記無線装置のログイン名情報とに基づいて、前記無線装置と前記無線制御装置との接続モードを判定する判定モジュールと、
前記判定モジュールにおける判定に応じて、前記無線装置に提供するサービスを決定する決定モジュールと、
を有することを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線装置にサービスを提供する無線制御装置、システム、制御方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、無線ローカルネットワークと有線ネットワークとの接続を司る無線アクセスポイントが製品化されている。
【０００３】
また、無線機器によりネットワーク上のサーバ等にアクセスする際のセキュリティを担保するために、ネットワークを利用するユーザの認証処理を行い、認証が成功したユーザの無線機器にのみネットワークへの接続を認めるEAP（Extended Authentication Protocol）が導入されている。また、WPA（WiFi Protect Access）やIEEE802.11i等のセキュリティ規格が導入されてきている。
【０００４】
他方、端末毎にネットワークサービスを提供するために、ＩＣカード等を用いてネットワーク管理装置に設定した端末毎のアドレスを利用し、端末毎のネットワークコントロールを行うための手法が提案されている（例えば、特許文献１参照）。
【０００５】
また、ネットワーク上のログインユーザ毎の認証情報を基に、端末に、VLAN（Virtual LAN）内で利用する網内識別子VIDを動的に付与し、端末毎にネットワーク接続を行う手法が提案されている（例えば、特許文献２参照）。
【０００６】
また、無線端末を用いてネットワークに参加する際、無線アクセスポイント内に具備した認証プロトコルをリモートで用いることでユーザ認証を行い、ネットワークの安全性を担保する手法が提案されている（例えば、特許文献３参照）。
【特許文献１】特開２００３−６９５７３号公報
【特許文献２】特開２００３−２４９９４７号公報
【特許文献３】特開２００２−３１４５４９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記の従来例では以下のような問題点があった。
【０００８】
事前にネットワーク管理者等が、ネットワークへの接続を許可する機器のアドレスを設定しておく必要がある。そのため、ネットワークへの接続を許可する機器の追加や変更を行う度に、設定を変更する必要がある。
【０００９】
また、ネットワーク上の認証サーバを用いてユーザ認証を行うシステムでは、認証サーバによる認証が必須となる。しかし、無線LANシステムへの適用を考える場合、WPAやIEEE802.11i規格等で定義されるHome-SOHOモード（認証サーバを利用しないモード）とEnterpriseモード（認証サーバを利用するモード）とが共存する場合がある。認証サーバによる認証を必須とするシステムでは、Home-SOHOモードでの接続を許容することができない。従って、Home-SOHOモードで接続した機器へのサービスを管理することが困難となる。
【００１０】
本発明の目的は、管理者が行うべき無線装置毎の提供サービスに対する事前設定の手間を軽減し、無線装置のネットワークへの接続モードに応じたサービスを提供できるようにすることである。
【００１１】
また、本発明の他の目的は、以下の明細書及び図面より明らかとなるであろう。
【課題を解決するための手段】
【００１２】
上記目的を達成するために、本発明は、無線ローカルネットワークと、認証装置を有するネットワークと、の間の接続を制御する無線制御装置が、前記無線装置のMACアドレスとIPアドレスとの関係を示す情報を取得する。更に、前記無線装置と前記認証装置との間の認証シーケンスの監視により、前記認証装置のユーザ認証の結果情報、もしくは、前記無線装置のログイン名情報を取得し、これらの取得した情報に基づいて、前記無線装置と前記無線制御装置との接続モードを判定する。そして、該判定に応じて、前記無線装置に提供するサービスを決定することを特徴とする。
【発明の効果】
【００１３】
本発明によれば、管理者が行うべき無線装置毎の提供サービスに対する事前設定の手間を軽減し、無線装置のネットワークへの接続モードに応じたサービスを提供することができる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の実施の形態を図面に基づき説明する。
【００１５】
［第１の実施の形態］
図１は、本発明の第１の実施の形態に係るネットワークシステムの構成例を示す図である。
【００１６】
図１において、上位ネットワーク１には、上位ネット用データサーバ１３、エンタプライズモード用認証サーバ（RADIUS（Remote Authentication Dial-in User Service）サーバ）１４が接続されている。有線ローカルネットワーク２には、フィルタ機能付無線アクセスポイント（以下、ＡＰと略称）１０、ローカルネット用データサーバ１１、有線接続クライアント端末１００が接続されている。無線ローカルネットワーク３には、無線接続クライアント端末Ａ・１０１、無線接続クライアント端末Ｂ・１０２、無線接続クライアント端末Ｃ・１０３が接続可能である。なお、有線接続クライアント端末を、以下、有線端末と表記し、無線接続クライアント端末を、以下、無線端末と表記する。
【００１７】
上位ネット用データサーバ１３は、FTP（File Transfer Protocol）サーバ或いはHTTP（HyperText Transfer Protocol）サーバとして構成されている。認証サーバ１４は、図５に示す認証シーケンスに従い、各々の無線端末に対する認証を行うサーバである。
【００１８】
ＡＰ１０は、メモリ（不図示）に内部データベースを記憶している。このデータベースには、ARP（Address Resolution Protocol）テーブル、無線端末毎の認証結果（成功／失敗）、ログインユーザの識別情報（ログインユーザ名）等を記憶するネットワーク情報テーブルが格納されている。
【００１９】
ここで、ARPテーブルとは、無線区間にてアソシエートしている無線端末のMAC（Media Access Control）アドレスとIP（Internet Protocol）アドレスとの関係を示す情報を記憶するテーブルである。また、ARPテーブルは、ＡＰ１０がAddress Resolution Protocolに従って無線端末のMACアドレスとIPアドレスとの関係を調査することにより、生成してもよい。また、ARPテーブルは、他の機器が実行しているMACアドレスとIPアドレスとの関係調査のためのパケットを監視することにより、生成してもよい。また、ＡＰ１０は、ARPテーブルの内容をネットワーク情報テーブルに反映する。
【００２０】
ＡＰ１０は、無線端末と認証サーバ１４との間の認証シーケンスのメッセージを監視する。この監視により、通信アソシエーション形成に先立って行われるユーザ認証の結果を入手し、ネットワーク情報テーブルに反映する。また、ＡＰ１０は、ARPテーブルを監視し、無線区間にてアソシエートしている無線端末のMACアドレスとIPアドレスとの関係を示す情報を入手する処理を行う。ＡＰ１０の制御部（不図示）は、メモリ（不図示）に記憶された制御プログラムに基づいて図９〜図１５の各フローチャートに示す処理を実行する。
【００２１】
ローカルネット用データサーバ１１は、FTPサーバ等として構成されている。有線端末１００は、有線ローカルネットワーク２に接続し、サービスの提供を受ける端末である。無線端末Ａ・１０１、無線端末Ｂ・１０２、無線端末Ｃ・１０３は、無線ローカルネットワーク３に接続し、サービスの提供を受ける端末である。
【００２２】
認証サーバ１４による無線端末の認証は、無線ローカルネットワーク３上での通信アソシエーション形成に先立って行われる。
【００２３】
本実施の形態では、ＡＰ１０は、無線通信媒体にIEEE802.11系無線LANとBluetoothを利用する。また、ＡＰ１０は、上位ネットワーク１、有線ローカルネットワーク２、無線ローカルネットワーク３の組み合わせで構成されるネットワークシステム下で利用される。
【００２４】
図２は、ＡＰ１０の機能構成階層を示す図である。
【００２５】
図２において、ＡＰ１０の機能構成階層は、後述するIPパケットスニファ（傍受）処理により、ＡＰ１０と認証サーバ１４間の認証シーケンスをモニタする。また、ARPテーブルを監視し、有線ローカルネットワーク２、無線ローカルネットワーク３にアソシエートしている無線端末のMACアドレスとIPアドレスとの関係を示す情報を収集する構造となっている。
【００２６】
本実施の形態では、ＡＰ１０の機能構成階層として、下記に示すMAC-IP関連情報モニタ２０３とRADIUSメッセージモニタ（パケットモニタ）２０６を新たに設けた点を特徴としている。
【００２７】
ネットワークアプリケーション２０１は、DHCP（Dynamic Host Configuration Protocol）サーバ機能、DHCPクライアント機能、NAT（Network Address Translation）機能、Webサーバ機能を有する。NAT機能とは、プライベートIPアドレスとグローバルIPアドレスとを相互に変換する機能である。IPルーティング・フィルタリング２０２は、IPルーティング機能、IPフィルタリング機能、MACアドレスフィルタリング機能を有する。MAC-IP関連情報モニタ２０３は、ARPテーブルを監視し、無線端末のMACアドレスとIPアドレスとの関連（関係）を示す情報を収集する。
【００２８】
TCP（Transmission Control Protocol）/IP（Internet Protocol）アプリケーション２０４は、データ転送を司る。IEEE802.1xEAP Authenticator（オーセンティケータ）２０５は、認証サーバ１４によるユーザの認証結果が成功と判定されるまで無線端末からの接続を阻止する機能を有する。RADIUSメッセージモニタ（パケットモニタ）２０６は、無線端末と認証サーバ１４間の認証メッセージをモニタし、ユーザのアカウント情報、認証結果等を収集する。
【００２９】
Software AP２０７は、無線LANドライバ２０８、PCカードドライバ２０９、PCカードI/F２１０を管理する。PCカードI/F２１０は、無線LAN-PCカード２１１とのインタフェースを司る。Pan Wrapper２１２は、Bluetoothドライバ２１３、USB（Universal Serial Bus） Hostドライバ２１４、USB Host I/F２１５を管理する。USB Host I/F２１５は、Bluetooth USBドングル２１６とのインタフェースを司る。８０２．１ドライバ２１７は、IEEE８０２．１１規格に対応するドライバである。８０２．３uMACドライバ２１８は、IEEE８０２．３規格に対応するMACドライバである。
【００３０】
図３は、WPA（IEEE802.11i）のEnterpriseモード（認証サーバ１４を利用するモード）の処理概念を示す図である。
【００３１】
図３において、Security Capability Discovery３０１では、ＡＰ１０が無線端末からの問い合わせに対し、ネットワークシステム内に認証サーバが存在するか否かを確認した結果を通知する。IEEE802.1xAuthentication３０２では、認証サーバ１４が無線端末に対し認証を行う。IEEE802.1x Key Management３０３では、ＡＰ１０が無線端末に対し認証サーバ１４から配布された共有秘密鍵の設定を行う。
【００３２】
Key Distribution３０４では、認証サーバ１４がＡＰ１０に共有秘密鍵を配布する。Establishing Pairwise Keys３０５では、ＡＰ１０が無線端末との間で暗号鍵を共有する。Group Key Delivery３０６では、ＡＰ１０が無線端末に対し同報通信用の暗号鍵を配信する。尚、上記の３０２、３０３、３０４は、ネットワークシステム内に認証サーバが存在する場合のみの処理である。
【００３３】
図４は、WPA（IEEE802.11i）のHome-SOHOモード（認証サーバ１４を利用しないモード）の処理概念を示す図である。
【００３４】
図４において、Security Capability Discovery４０１では、ＡＰ１０が無線端末の問い合わせに対し、ネットワークシステム内に認証サーバが存在しないことを通知する。Establishing Pairwise Keys４０２では、ＡＰ１０が無線端末との間で暗号鍵を共有する。Group Key Delivery４０３では、ＡＰ１０が無線端末に対し同報通信用の暗号鍵を配信する。
【００３５】
図５は、IEEE802.1x EAP（Extended Authentication Protocol）処理シーケンス例を示す図である。
【００３６】
図５は、図１のネットワークシステムにおけるエンタプライズモードの処理の過程で認証サーバ１４がユーザ認証を行う際の認証シーケンス例を示している。ステップＳ５００では、ＡＰ１０と無線端末との間で無線区間アソシエートを起動する。ステップＳ５０１では、無線端末からＡＰ１０に対し認証サーバ１４への認証の開始を要求する（EAPOL-Start）。ステップＳ５０２では、ＡＰ１０から無線端末に対し認証の開始要求を受付けた旨を通知する（EAP-Request/Identity）。
【００３７】
ステップＳ５０３では、無線端末からＡＰ１０に対し応答（EAP-Response/Identity）を送信する。ステップＳ５０４では、ＡＰ１０は、受信したEAP-Response/Identityに含まれる情報に基づき、認証アクセス要求（RADIUS-Access Request(0xNN)）を生成する。そして、ＡＰ１０から認証サーバ１４に対し認証アクセス要求（RADIUS-Access Request(0xNN)）を送信する。
【００３８】
ステップＳ５０５では、認証サーバ１４からＡＰ１０に対しRADIUS-Access Challenge#1(0xNN)を送信する。ステップＳ５０６では、ＡＰ１０は、受信したRADIUS-Access Challenge#1(0xNN)に含まれる情報に基づき、EAP-Request#1を生成する。そして、ＡＰ１０から無線端末に対しEAP-Request#1を送信し、認証のための情報送信を要求する。
【００３９】
ステップＳ５０７では、無線端末からＡＰ１０に対しEAP-Response#1を送信し、認証情報を送信する。ステップＳ５０８では、ＡＰ１０は、受信したEAP-Response#1に含まれる情報に基づき、RADIUS-Access Request#1(0xNN+1)を生成する。そして、ＡＰ１０から認証サーバ１４に対しRADIUS-Access Request#1(0xNN+1)を送信し、無線端末から受信した認証情報を送信する。
【００４０】
ステップＳ５０９では、認証サーバ１４からＡＰ１０に対しRADIUS-Access Challenge#n(0xNN+n-1)を送信し、次の認証情報の送信を要求する。ステップＳ５１０では、ＡＰ１０から無線端末に対しEAP-Request#nを送信し、次の認証情報の送信を要求する。
【００４１】
ステップＳ５１１では、無線端末からＡＰ１０に対しEAP-Response#nを送信し、認証情報を送信する。ステップＳ５１２では、ＡＰ１０から認証サーバ１４に対しRADIUS-Access Request#n(0xNN+n)を送信し、無線端末から受信した認証情報を送信する。
【００４２】
認証サーバ１４は、無線端末からの認証情報により認証を行い、該無線端末が正当な端末であることを確認したとする。ステップＳ５１３において、認証サーバ１４からＡＰ１０に対しRADIUS-Access Accept(0xNN+n)（認証受諾）を送信する。ステップＳ５１４では、ＡＰ１０は、RADIUS-Access Accept(0xNN+n)（認証受諾）を受信すると、無線端末に対しEAP-Success（認証成功）を送信する。ステップＳ５１５では、ＡＰ１０から無線端末に対しEAP-Keyを配信する。
【００４３】
図６は、ＡＰ１０から認証サーバ１４に送られるRADIUSメッセージフォーマットの構成例を示す図である。
【００４４】
図６において、RADIUSメッセージフォーマットは、RADIUSメッセージコード６００、メッセージシーケンスの識別番号（Identifier）６０１、Length６０２、Authenticator（オーセンティケータ）６０３、Attribute Type（アトリビュートタイプ）(1)６１０〜(n)６ｎ０、Length(1)６１１〜（n）６ｎ１、Value(1)６１２〜（n）６ｎ２から構成されている。
【００４５】
図７は、RADIUSメッセージ（図６）がRADIUS-Access Requestメッセージとして使用される場合のAttribute情報の構成例を示す図である。 
【００４６】
図７において、User Name(1)は、ログインユーザアカウント名（以下、ログインユーザ名と略称）である。NAS IP Address(4)は、オーセンティケータのIPアドレスである。NAS Port(5)は、オーセンティケータの利用ポートである。Called Station ID(30)は、オーセンティケータのMACアドレスである。Calling Station ID(31)は、ログイン機器（無線端末）のMACアドレスである。Framed MTU(12)は、フレームの最大転送ユニット数である。NAS Port Type(61)は、ログインユーザの利用媒体である。
【００４７】
図８は、ＡＰ１０に記憶されている無線端末毎のネットワーク情報テーブルの構成例を示す図である。
【００４８】
図８において、ネットワーク情報テーブルは、ＡＰ１０に無線接続した無線端末のMACアドレスを指標として下記の各情報を用いてＡＰ１０内部で生成される。ネットワーク情報テーブルは、収集した無線端末毎の認証結果（成功／失敗）、ログインユーザ名、ログイン機器のMACアドレス、ログイン機器利用のIPアドレス、中継機器（ＡＰ１０）のアドレス、提供する接続サービスを関連付けて記憶する。
【００４９】
なお、提供する接続サービスとして記憶する内容は、IPアドレスによりIPフィルタリングを行うアクセス制限の実施、MACアドレスによりMACアドレスフィルタリングを行うアクセス制限の実施、これらフィルタリングによるアクセス制限なしの情報である。
【００５０】
本実施の形態では、Home-SOHOモードでＡＰ１０による認証に成功した無線端末は、認証サーバ１４による認証は行っていない。従って、Home-SOHOモードでＡＰ１０による認証に成功した無線端末は、無線ローカルネットワーク３内の通信が許可され、上位ネットワーク１、有線ローカルネットワーク２の通信は制限（禁止）されるものとする。この制限は、無線端末のIPアドレスを用いたIPアドレスフィルタリングにより実施するが、MACアドレスフィルタリングにより実施することもできる。
【００５１】
また、Enterpriseモードで認証サーバ１４による認証に成功した無線端末は、ネットワーク１、２、３全ての通信が許可されるものとする。さらに、Enterpriseモードで認証サーバ14による認証に失敗した無線端末は、ネットワーク１、２、３全ての通信が制限（禁止）される。この場合、無線端末にはIPアドレスが割り当てられていない可能性が高いので、MACアドレスフィルタリングにより全ての通信を制限する。
【００５２】
ネットワーク情報テーブルの更新タイミングは、ユーザ認証結果の取得タイミング、ARPテーブルの監視によるMACアドレスとIPアドレスとの関係の取得タイミング、ＡＰ１０内部で自立的に生成される更新タイミングの中から設定することが可能である。
【００５３】
次に、上記構成を有する本実施の形態のネットワークシステムにおける無線接続クライアント毎のネットワーク情報テーブル（図８）の更新手順を図９〜図１５のフローチャートを参照しながら詳細に説明する。
【００５４】
図９〜図１１では、ＡＰ１０に事前に設定されている、認証サーバ１４に割り当てられるIPアドレスを認識し、当該IPアドレスに対して送受信されるIPパケットをスニファ（傍受）する。
【００５５】
図９は、エンタプライズモード用認証サーバ宛てのIPパケットスニファ（傍受）時の処理概念を示すフローチャートである。
【００５６】
なお、図５で説明したように、ＡＰ１０は、無線端末から送られてきた各種メッセージに基づき、認証サーバ１４に送るメッセージを生成し、該メッセージを認証サーバ１４に送信する。IPパケットスニファ（傍受）は、ＡＰ１０により生成された上記メッセージ内の情報を傍受することにより実行する。
【００５７】
図９において、ＡＰ１０は、認証サーバ１４宛てのIPパケットを無線端末から受信した際、ＡＰ１０に事前設定されている、認証サーバ１４に割り当てられるTCPポート番号と受信パケットの宛先ポート番号とを比較する（ステップＳ９０１）。TCPポート番号と受信パケットの宛先ポート番号が一致しない場合、直ちに１処理単位を終了する。
【００５８】
TCPポート番号と受信パケットの宛先ポート番号が一致した場合、ＡＰ１０は、認証サーバ１４に送信するメッセージのRADIUSメッセージコード６００が「Access Request」（0x01）であるか否かを判定する（ステップＳ９０２）。RADIUSメッセージコード６００が「Access Request」（0x01）でない場合、直ちに１処理単位を終了する。
【００５９】
RADIUSメッセージコード６００が「Access Request」（0x01）である場合、ＡＰ１０は、RADIUSメッセージシーケンスの識別番号である「Identifier」値６０１をＡＰ内部のワークメモリ（不図示）に一時記憶する。また、規定時間の固定長タイマである、当該メッセージに対応する応答メッセージの受信応答待ちタイマをスタートさせる（ステップＳ９０３）。
【００６０】
更に、ＡＰ１０は、「Access Request」（0x01）メッセージ内のRADIUSメッセージアトリビュート（６nn、図６、図７）にて通知される情報を読み出す。ＡＰ１０は、読み出した情報の中から、User Name、中継機器（ＡＰ１０）のアドレス等の情報をワークメモリに一時的に記憶する（ステップＳ９０４）。前記アドレスは、オーセンティケータのIPアドレス（NAS IP Address）、オーセンティケータのMACアドレス（Called Station ID））、ログイン機器（無線端末）のMACアドレス（Calling Station ID）である。
【００６１】
図１０及び図１１は、エンタプライズモード用認証サーバ発のIPパケットスニファ（傍受）時の処理概念を示すフローチャートである。
【００６２】
ＡＰ１０は、図１０及び図１１の処理は、図９のステップＳ９０３においてセットしたタイマがタイムアップする前に、認証サーバ１４発のIPパケットを受信した場合に実行する。
【００６３】
図１０及び図１１において、ＡＰ１０は、認証サーバ１４発のIPパケットを受信した際、ＡＰ１０に事前に設定されている、認証サーバ１４に割り当てられるTCPポート番号と受信パケットの送信元ポート番号とを比較する（ステップＳ１００１）。TCPポート番号と送信元ポート番号が一致しない場合、直ちに１処理単位を終了する。
【００６４】
TCPポート番号と送信元ポート番号が一致した場合、ＡＰ１０は、受信パケットのメッセージシーケンスの識別番号である「Identifier」値６０１が、ワークメモリに記憶している値と一致するか否かを判定する（ステップＳ１００２）。「Identifier」値６０１が記憶値と一致しない場合、直ちに１処理単位を終了する。
【００６５】
「Identifier」値６０１が記憶値と一致した場合、ＡＰ１０は、受信パケットのRADIUSメッセージコード６００のタイプが「Access-Reject」（0x03）であるかを判定する（ステップＳ１００３）。RADIUSメッセージコード６００のタイプが「Access-Reject」（0x03）でない場合は、ＡＰ１０は、RADIUSメッセージコード６００のタイプが「Access-Accept」（0x02）であるかを判定する（ステップＳ１００５）。
【００６６】
RADIUSメッセージコード６００のタイプが「Access-Reject」（0x03）である場合、ＡＰ１０は、図９のステップＳ９０４において一時記憶した情報を更新する（ステップＳ１００４）。同様に、RADIUSメッセージコード６００のタイプが「Access-Accept」（0x02）である場合も、ＡＰ１０は、図９のステップＳ９０４において一時記憶した情報を更新する（ステップＳ１００６）。つまり、受信パケットの「Identifier」値に対応するUser Name、中継機器（ＡＰ１０）のアドレス（NAS IP Address、Called Station ID）、ログイン機器のMACアドレス（Calling Station ID）等の情報を、「Access-Reject」（0x03）或いは「Access-Accept」（0x02）内の情報に従って更新する。
【００６７】
RADIUSメッセージコード６００のタイプが「Access-Reject」（0x03）、「Access-Accept」（0x02）以外である場合、ＡＰ１０は、ワークメモリに一時記憶しているUser Name、NAS IP Address、Called Station ID、Calling Station ID等の情報を抹消する（ステップＳ１００７）。更に、ＡＰ１０は、受信パケットのメッセージシーケンスの識別番号である「Identifier」値６０１の一時記憶情報を抹消し、応答メッセージの受信応答待ちタイマをクリアする（ステップＳ１００８）。
【００６８】
ＡＰ１０は、上記IPパケットスニファ処理による無線端末毎のネットワーク情報テーブル（図８）の更新が生起した場合、更新されたログイン機器（無線端末：MACアドレスベースで管理）に対して、図１２の判定処理を実行する。
【００６９】
図１２は、ＡＰ１０が、IPパケットスニファ処理により収集した情報に基づくネットワーク情報テーブルの更新時に実行する処理概念を示すフローチャートである。
【００７０】
図１２において、ＡＰ１０は、先ず、認証サーバ１４によるRADIUS認証結果の成否を判定する（ステップＳ１２０１）。RADIUS認証が成功であると判定した場合、ＡＰ１０は、ログインユーザ名より所属（認証先）ドメイン情報（LAN側の認証によるかWAN側の認証によるかを示す情報）を読出す（ステップＳ１２０２）。そして、ＡＰ１０は、読み出した所属（認証先）ドメイン情報と、ＡＰ１０に事前に設定されているアクセス制限対象ドメイン情報とを比較する（ステップＳ１２０３）。
【００７１】
所属（認証先）ドメイン情報がアクセス制限対象ドメインでない場合、ＡＰ１０は、該当するログイン機器（無線端末）にアクセス制限を施さず、１処理単位を終了する。所属（認証先）ドメイン情報がアクセス制限対象ドメインである場合、ＡＰ１０は、ＡＰ１０に事前に設定されているアクセス制限条件を該当するログイン機器（無線端末）の登録テーブルに設定する（ステップＳ１２０４）。本実施の形態では、IPフィルタリングによるIPパケットレベルでのフィルタリングを設定する。
【００７２】
RADIUS認証が失敗であると判定した場合（ステップＳ１２０１）、ＡＰ１０は、今回の認証の失敗が、ＡＰ１０に事前に設定されている規定回数以上の連続失敗であるか否かを判定する（ステップＳ１２０５）。今回の認証の失敗が規定回数以内の場合、１処理単位を終了する。今回の認証の失敗が規定回数を超えた場合、ＡＰ１０は、該当するログイン機器の接続拒否の設定を行う（ステップＳ１２０６）。本実施の形態では、MACアドレスフィルタリングによる、無線パケットレベルでのアクセス制限を設定する。
【００７３】
図１３は、エンタプライズモード用認証サーバ宛てのIPパケットスニファ（傍受）から認証サーバ発のIPパケットスニファ（傍受）までの応答待ち時間タイムアップ時の処理概念を示すフローチャートである。
【００７４】
図９のステップＳ９０３においてセットした応答メッセージの受信応答待ちタイマがタイムアップした際に、ＡＰ１０は、図１３の処理を実行する。
【００７５】
図１３において、ＡＰ１０は、ワークメモリに一時記憶している各種情報をネットワーク情報テーブルに反映させ、当該ログイン機器を認証タイムアウト端末として更新する（ステップＳ１３０１）。つまり、図９のステップＳ９０４において一時記憶したUser Name、NAS IP Address、Called Station ID、Calling Station ID等の情報をネットワーク情報テーブルに反映させる。この場合、当該ログイン機器を認証タイムアウト端末としてネットワーク情報テーブルを更新する（ステップＳ１３０１）。
【００７６】
更に、ＡＰ１０は、受信パケットのメッセージシーケンスの識別番号である「Identifier」値６０１の一時記憶情報を消去し、応答メッセージの受信応答待ちタイマをクリアした後（ステップＳ１３０２）、１処理単位を終了する。
【００７７】
図１４は、ARPテーブル監視により新規MACアドレスを検出或いは既存MACアドレスを再検出した際の処理概念を示すフローチャートである。
【００７８】
図１４において、ＡＰ１０は、ARPテーブルの監視処理により、新規のMACアドレスを検出或いは既存のMACアドレスを再検出した際、検出したMACアドレスを含むパケットの送信元IPアドレスをARPテーブルから読み出す（ステップＳ１４０１）。次に、ＡＰ１０は、検出したMACアドレスが、無線端末毎のネットワーク情報テーブル（図８）のログイン機器MACアドレスに既に登録済みであるか否かを判定する（ステップＳ１４０２）。
【００７９】
検出したMACアドレスが未登録の場合、ＡＰ１０は、ログイン機器MACアドレスと対応する利用IPアドレスとの関係を示す情報を無線端末毎のネットワーク情報テーブル（図８）に追加登録する（ステップＳ１４０６）。また、検出したMACアドレスが登録済みの場合、ＡＰ１０は、今回検出したMACアドレスに対応する利用IPアドレスが、ネットワーク情報テーブルのログイン機器MACアドレスに既に登録済みか否かを判定する（ステップＳ１４０３）。
【００８０】
利用IPアドレスが登録済みの場合、ＡＰ１０は、利用IPアドレスの再割り当てであると判断し、既存のIPアドレスの登録を削除する（ステップＳ１４０４）。利用IPアドレスが未登録の場合、ＡＰ１０は、ログイン機器のMACアドレスに対応する利用IPアドレスとして、ステップＳ１４０１において読み出したIPアドレスをネットワーク情報テーブルに登録する（ステップＳ１４０５）。
【００８１】
上記ARPテーブル監視処理による無線端末毎のネットワーク情報テーブル（図８）の更新が生起した場合、更新されたログイン機器（無線端末：MACアドレスベースで管理）に対して、図１５の判定処理を実行する。
【００８２】
図１５は、図１４で説明した処理によりネットワーク情報テーブルを更新した際の処理概念を示すフローチャートである。
【００８３】
図１５において、ＡＰ１０は、先ず、図１４において更新したネットワーク情報テーブルにおけるMACアドレスに対応する情報に、ログインユーザ名が登録されているかを判定する（ステップＳ１５０１）。ログインユーザ名の登録がある場合、ＡＰ１０は、認証サーバ１４を用いたリモート認証に成功したログイン機器に対するアドレス検出事象であると認識し（ステップＳ１５０２）、ステップＳ１５０３以降の処理を行う。つまり、ステップＳ１５０２では、IEEE802.11i 、WPA等で規定されるEnterpriseモードでの無線端末に対するアドレス検出事象であると認識する。
【００８４】
ログインユーザ名の登録がない場合、ＡＰ１０は、ＡＰ１０の接続許可によるログイン機器に対するアドレス検出事象であると認識し（ステップＳ１５０５）、ステップＳ１５０６以降の処理を行う。つまり、ステップＳ１５０５では、IEEE802.11i 、WPA等で規定されるHome-SOHOモードでの無線端末に対するアドレス検出事象であると認識する。
【００８５】
なお、ステップＳ１５０１では、ログインユーザ名が登録されているか否かを判定したが、認証サーバ１４による認証結果が登録されているか否かを判定するようにしてもよい。判定の結果、認証結果が登録されている場合は、認証サーバ１４を用いたリモート認証に成功したログイン機器に対するアドレス検出事象であると認識する（ステップＳ１５０２）。また、認証結果が登録されていない場合は、ＡＰ１０の接続許可によるログイン機器に対するアドレス検出事象であると認識する（ステップＳ１５０５）。
【００８６】
ステップＳ１５０２の処理後、ＡＰ１０は、ネットワーク情報テーブルのログインユーザ名から所属（認証先）ドメイン情報を読み出す（ステップＳ１５０３）。そして、ＡＰ１０は、読み出した所属（認証先）ドメイン情報と、ＡＰ１０に事前に設定されているアクセス制限対象ドメイン情報とを比較する（ステップＳ１５０４）。
【００８７】
所属（認証先）ドメイン情報がアクセス制限対象ドメインでない場合、ＡＰ１０は、該当するログイン機器（無線端末）にアクセス制限を施さず、１処理単位を終了する。所属（認証先）ドメイン情報がアクセス制限対象ドメインである場合、ＡＰ１０は、ＡＰ１０に事前に設定されているアクセス制限条件を該当するログイン機器（無線端末）の登録テーブルに設定する（ステップＳ１５０７）。本実施の形態では、IPフィルタリングによるIPパケットレベルでのフィルタリングを設定する。
【００８８】
ステップＳ１５０５の処理後、ＡＰ１０は、ＡＰ１０に事前に設定されているＡＰ１０の接続許可端末にアクセス制限を行う設定があるか否かを判定する（ステップＳ１５０６）。
【００８９】
アクセス制限設定がない場合、ＡＰ１０は、アクセス制限を施さず、１処理単位を終了する。アクセス制限設定がある場合、ＡＰ１０は、ＡＰ１０に事前に設定されているアクセス制限条件を該当するログイン機器（無線端末）の登録テーブルに設定する（ステップＳ１５０７）。本実施の形態では、IPフィルタリングによるIPパケットレベルでのフィルタリングを設定する。
【００９０】
以上説明したように、本実施の形態によれば、ＡＰ１０は、無線端末と認証サーバ１４との間の認証シーケンスのメッセージをモニタする。そして、無線接続した無線端末のMACアドレスを指標にしてネットワーク情報テーブルを内部データベースに記憶する。また、ARPテーブルをモニタすることで、無線接続した無線端末が利用するIPアドレスの情報を入手し、ネットワーク情報テーブルに併せて記憶する。
【００９１】
また、ＡＰ１０は、ネットワーク情報テーブルの自動更新タイミング毎に、更新された情報に対応して、ログイン機器（無線端末）のセキュリティモード（Enterpriseモード／Home-SOHOモード）を判定する。Enterpriseモードである場合は、ログインユーザ名毎に所属（認証先）ドメイン情報を認識し、所属（認証先）ドメイン情報に対応して、ＡＰ１０に設定されている条件に応じた設定をログイン機器毎に行う。Home-SOHOモードである場合は、Home-SOHOモードで接続する無線端末に対する設定条件に応じた設定を行う。
【００９２】
例えば、IPフィルタリング、MACアドレスフィルタリング、NAT機能、IPマスカレード機能（プライベートアドレスをグローバルアドレスに変換する機能）、IPアドレスの付与方法等の設定情報を、ＡＰ１０に設定された条件に応じて自動更新することを可能にしている。
【００９３】
これにより、事前にネットワーク管理者等がネットワークへの接続を許可する機器のMACアドレスを設定しておく煩雑な手間を軽減することができる。また、Home-SOHOモードでネットワークに接続した機器を管理する困難性を軽減することもできる。しかも、ユーザレベルに応じたネットワークサービスの提供が可能となる。
【００９４】
また、ＡＰ１０は、ネットワークへの各種の接続モードに対する無線装置（Enterpriseモードの無線端末、Home-SOHOモードの無線端末）を収容でき、これらモードに応じたサービスを提供することができる。また、無線装置のネットワークへの接続モードを効率的、かつ、簡単に判定することができる。
【００９５】
［第２の実施の形態］
図１６は、本発明の第２の実施の形態に係るネットワークシステムの構成例を示す図である。
【００９６】
図１６において、上位ネットワーク１には、上位ネット用データサーバ１６１３、上位ネット用認証サーバ１６１４が接続されている。有線ローカルネットワーク２には、フィルタ機能付無線アクセスポイント（以下、ＡＰと略称）１６１０、ローカルネット用データサーバ１６１１、ローカルネット用認証サーバ１６１２、有線接続クライアント端末１６００が接続されている。無線ローカルネットワーク３には、無線接続クライアント端末Ａ・１６０１、無線接続クライアント端末Ｂ・１６０２、無線接続クライアント端末Ｃ・１６０３、無線接続クライアント端末Ｄ・１６０４が接続可能である。なお、無線接続クライアント端末を、以下、無線端末と表記する。
【００９７】
本実施の形態は、上述した第１の実施の形態に対して、上位ネットワーク１に上位ネット用認証サーバ１６１４を接続し、有線ローカルネットワーク２にローカルネット用認証サーバ１６１２を接続している。ローカルネット用認証サーバ１６１２は、上位ネットワーク１へ認証情報を転送するためのProxy機能（２つのネットワーク間の通信を制御する機能）を有するエンタプライズモード用認証サーバである。本実施の形態のその他の要素は、上述した第１の実施の形態（図１）の対応するものと同一なので、説明を省略する。
【００９８】
図１７は、上位ネット用認証サーバ１６１４或いはローカルネット用認証サーバ１６１２にてIEEE802.1x EAP認証を行う際の認証シーケンス例を示す図である。
【００９９】
図１７において、ステップＳ１７００では、ＡＰ１６１０と無線端末との間で無線区間アソシエートを起動する。ステップＳ１７０１では、無線端末からＡＰ１６１０に対し上位ネット用認証サーバ１６１４への認証要求を開始する（EAPOL-Start）。ステップＳ１７０２では、ＡＰ１６１０から無線端末に対し認証の開始要求を受付けた旨を通知する（EAP-Request/Identity）。
【０１００】
ステップＳ１７０３では、無線端末からＡＰ１６１０に対し応答（EAP-Response/Identity）を送信する。ステップＳ１７０４では、ＡＰ１６１０は、受信したEAP-Response/Identityに含まれる情報に基づき、認証アクセス要求（RADIUS-Access Request(0xNN)）を生成する。そして、ＡＰ１６１０からローカルネット用認証サーバ１６１２に対し認証アクセス要求（RADIUS-Access Request(0xNN)）を送信する。ステップＳ１７０５では、ローカルネット用認証サーバ１６１２は、受信したRADIUS-Access Request(0xNN)に基づき、上位ネット用認証サーバ１６１４に対し認証アクセス要求（RADIUS-Access Request(0xMM)）を送信する。
【０１０１】
ステップＳ１７０６では、上位ネット用認証サーバ１６１４からローカルネット用認証サーバ１６１２に対しRADIUS-Access Challenge#1(0xMM)を送信する。ステップＳ１７０７では、ローカルネット用認証サーバ１６１２は、受信したRADIUS-Access Challenge#1(0xMM)に基づき、ＡＰ１６１０に対しRADIUS-Access Challenge#1(0xNN)を送信する。ステップＳ１７０８では、ＡＰ１６１０は、RADIUS-Access Challenge#1(0xNN) に含まれる情報に基づき、EAP-Request#1を生成する。そして、ＡＰ１６１０から無線端末に対しEAP-Request#1を送信し、認証のための情報送信を要求する。
【０１０２】
ステップＳ１７０９では、無線端末からＡＰ１６１０に対しEAP-Response#1を送信し、認証情報を送信する。ステップＳ１７１０では、ＡＰ１６０１は、受信したEAP-Response#1に含まれる情報に基づき、RADIUS-Access Request#1(0xNN+1)を生成する。そして、ＡＰ１６１０からローカルネット用認証サーバ１６１２に対しRADIUS-Access Request#1(0xNN+1)を送信する。ステップＳ１７１１では、ローカルネット用認証サーバ１６１２は、受信したRADIUS-Access Request#1(0xNN+1)に基づき、上位ネット用認証サーバ１６１４に対しRADIUS-Access Request#1(0xMM+1)を送信する。
【０１０３】
ステップＳ１７１２では、上位ネット用認証サーバ１６１４からローカルネット用認証サーバ１６１２に対しRADIUS-Access Challenge#n(0xMM+n-1)を送信する。ステップＳ１７１３では、ローカルネット用認証サーバ１６１２は、受信したRADIUS-Access Challenge#n(0xMM+n-1)に基づき、ＡＰ１６１０に対しRADIUS-Access Challenge#n(0xNN+n-1)を送信し、次の認証情報の送信を要求する。ステップＳ１７１４では、ＡＰ１６０１は、受信したRADIUS-Access Challenge#n(0xNN+n-1)に基づき、無線端末に対しEAP-Request#nを送信する。
【０１０４】
ステップＳ１７１５では、無線端末からＡＰ１６１０に対しEAP-Response#nを送信し、認証情報を送信する。ステップＳ１７１６では、ＡＰ１６１０からローカルネット用認証サーバ１６１２に対しRADIUS-Access Request#n(0xNN+n)を送信する。ステップＳ１７１７では、ローカルネット用認証サーバ１６１２から上位ネット用認証サーバ１６１４に対しRADIUS-Access Request#n(0xMM+n)を送信する。
【０１０５】
上位ネット用認証サーバ１６１４は、無線端末からの認証情報により認証を行い、該無線端末が正当な端末であることを確認したとする。ステップＳ１７１８では、上位ネット用認証サーバ１６１４からローカルネット用認証サーバ１６１２に対しRADIUS-Access Accept (0xMM+n) （認証受諾）を送信する。ステップＳ１７１９では、ローカルネット用認証サーバ１６１２からＡＰ１６１０に対しRADIUS-Access Accept(0xNN+n) （認証受諾）を送信する。ステップＳ１７２０では、ＡＰ１６１０から無線端末に対しEAP-Success（認証成功）を送信する。ステップＳ１７２１では、ＡＰ１６１０から無線端末に対しEAP-Keyを配信する。
【０１０６】
図１８は、ＡＰ１６１０内部に記憶する無線端末毎のネットワーク情報テーブルの構成例を示す図である。
【０１０７】
図１８において、ネットワーク情報テーブルは、無線端末のMACアドレスを指標として下記の各情報を用いてＡＰ１６１０内部で生成される。ネットワーク情報テーブルは、収集した無線端末毎の認証結果、ログインユーザ名、ログイン機器のMACアドレス、ログイン機器利用IPアドレス、中継機器アドレス（識別情報）、提供する接続サービスを関連付けて記憶する。
【０１０８】
本実施の形態においては、提供する接続サービスとして記憶する内容は、第１の実施の形態のサービスに加え、特定の端末へのアクセス制限、アクセス許可、特定のネットワーク（例えば上位ネットワーク）へのアクセス制限、アクセス許可等の情報も含まれる。もちろん、第１の実施の形態においても、これらの情報を記憶できるようにしてもよい。
【０１０９】
図１８に示す無線端末毎のネットワーク情報テーブルの更新方法に関しては、ＡＰ１６１０は、第１の実施の形態で説明した手法（図９〜図１５参照）を用いて、上位ネット用認証サーバ１６１４との間の認証シーケンスのメッセージをWANインタフェース上でモニタして行う。そして、無線端末のMACアドレスを指標にしてネットワーク情報テーブルを内部データベースに記憶する。また、ARPテーブルをモニタすることで、無線端末のMACアドレス毎に利用IPアドレスを内部データベースに併せて記憶する。 
【０１１０】
また、第１の実施の形態と同様に、ＡＰ１６１０は、ネットワーク情報テーブルの自動更新タイミング毎に、更新された情報に対応して、ログイン機器（無線端末）のセキュリティモード（Enterpriseモード/Home-SOHOモード）を判定する。
【０１１１】
Enterpriseモードである場合は、ログインユーザ名毎に所属（認証先）ドメイン情報を認識し、所属（認証先）ドメイン情報に対応して、ＡＰ１６１０に設定されている条件に応じた設定をログイン機器毎に行う。
【０１１２】
Home-SOHOモードである場合は、Home-SOHOモードで接続する無線端末に対する設定条件に応じた設定を行う。例えば、IPフィルタリング、MACアドレスフィルタリング、NAT機能、IPマスカレード機能、IPアドレスの付与方法等の設定情報を、ＡＰ１６１０に設定された条件に応じて自動更新することを可能にしている。  
【０１１３】
これにより、事前にネットワーク管理者等がネットワークへの接続を許可する機器のMACアドレスを設定しておく煩雑な手間を軽減することができる。また、Home-SOHOモードでネットワークに接続した機器を管理する困難性を軽減することもできる。しかも、ユーザレベルに応じたネットワークサービスの提供が可能となる。
【０１１４】
また、ＡＰ１６１０は、ネットワークへの各種の接続モードに対する無線装置（Enterpriseモードの無線端末、Home-SOHOモードの無線端末）を収容でき、これらモードに応じたサービスを提供することができる。また、無線装置のネットワークへの接続モードを効率的、かつ、簡単に判定することができる。
【０１１５】
［他の実施の形態］
第１及び第２の実施の形態では、無線通信媒体にIEEE802.11系無線LANとBluetoothを利用し、無線アクセスポイントにより上位ネットワークと無線ローカルネットワークとの間の接続を制御するネットワークシステムを例に挙げた。しかし通信媒体は一意的に固定されるものではなく、他の無線、有線通信方式であってもよい。また、Enterpriseモード、Home-SOHOモードに限らず、認証サーバによる認証に基づいてネットワーク接続を行うモードと、当該認証サーバによる認証無しにネットワーク接続を行うモードとが共存するネットワークであれば本発明を適用することができる。
【０１１６】
また、本発明の目的は、前述した各実施の形態の機能を実現するソフトウェアのプログラムコードを記憶した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても達成される。
【０１１７】
この場合、記憶媒体から読み出されたプログラムコード自体が前述した各実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。
【０１１８】
また、プログラムコードを供給するための記憶媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ＤＶＤ＋ＲＷ等の光ディスク、磁気テープ、不揮発性のメモリカード、ＲＯＭ等を用いることができる。または、プログラムコードをネットワークを介してダウンロードしてもよい。
【０１１９】
また、コンピュータが読み出したプログラムコードを実行することにより、前述した各実施の形態の機能が実現されるだけではなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した各実施の形態の機能が実現される場合も含まれる。
【０１２０】
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、次のプログラムコードの指示に基づき、その拡張機能を拡張ボードや拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した各実施の形態の機能が実現される場合も含まれる。
【図面の簡単な説明】
【０１２１】
【図１】本発明の第１の実施の形態に係るネットワークシステムの構成例を示す図である。
【図２】フィルタ機能付無線アクセスポイントの機能構成階層を示す図である。
【図３】WPA（IEEE802.11i）のEnterpriseモードの処理概念を示す図である。
【図４】WPA（IEEE802.11i）のHome-SOHOモードの処理概念を示す図である。
【図５】IEEE802.1x EAP処理シーケンス例を示す図である。
【図６】RADIUSメッセージデータフォーマットの構成例を示す図である。
【図７】RADIUS-Access RequestメッセージのAttribute情報の構成例を示す図である。
【図８】無線接続クライアント端末毎のネットワーク情報テーブルの構成例を示す図である。
【図９】エンタプライズモード用認証サーバ宛てのIPパケットスニファ（傍受）時の処理概念を示すフローチャートである。
【図１０】エンタプライズモード用認証サーバ発のIPパケットスニファ（傍受）時の処理概念を示すフローチャートである。
【図１１】図１０のフローチャートの続きである。
【図１２】IPパケットスニファ処理により収集した情報に基づく無線接続クライアント端末毎のネットワーク情報テーブルを更新する処理概念を示すフローチャートである。
【図１３】エンタプライズモード用認証サーバ宛てのIPパケットスニファ（傍受）からエンタプライズモード用認証サーバ発のIPパケットスニファ（傍受）までの応答待ち時間タイムアップ時の処理概念を示すフローチャートである。
【図１４】ARPテーブル監視により新規MACアドレスを検出或いは既存MACアドレスを再検出した際の処理概念を示すフローチャートである。
【図１５】ARPテーブル監視により収集した情報に基づく無線接続クライアント端末毎のネットワーク情報テーブルを更新した際の処理概念を示すフローチャートである。
【図１６】本発明の第２の実施の形態に係るネットワークシステムの構成例を示す図である。
【図１７】上位ネット用認証サーバ或いはローカルネット用認証サーバにてIEEE802.1x EAP認証を行う際の認証シーケンス例を示す図である。
【図１８】無線接続クライアント端末毎のネットワーク情報テーブルの構成例を示す図である。
【符号の説明】
【０１２２】
１  上位ネットワーク
２  有線ローカルネットワーク
３  無線ローカルネットワーク
１０  フィルタ機能付無線アクセスポイント（無線制御装置、第１の取得手段、第２の取得手段、判定手段、決定手段）
１４  エンタプライズモード用認証サーバ（認証装置）
１０１〜１０３  無線クライアント端末（無線装置）
１６０１〜１６０４  無線クライアント端末（無線装置）
１６１０  フィルタ機能付無線アクセスポイント（無線制御装置、第１の取得手段、第２の取得手段、判定手段、決定手段）
１６１４  上位ネット用認証サーバ（認証装置）
【図１】
2006186968.tif 000003
【図２】
2006186968.tif 000004
【図３】
2006186968.tif 000005
【図４】
2006186968.tif 000006
【図５】
2006186968.tif 000007
【図６】
2006186968.tif 000008
【図７】
2006186968.tif 000009
【図８】
2006186968.tif 000010
【図９】
2006186968.tif 000011
【図１０】
2006186968.tif 000012
【図１１】
2006186968.tif 000013
【図１２】
2006186968.tif 000014
【図１３】
2006186968.tif 000015
【図１４】
2006186968.tif 000016
【図１５】
2006186968.tif 000017
【図１６】
2006186968.tif 000018
【図１７】
2006186968.tif 000019
【図１８】
2006186968.tif 000020