(57)【要約】【課題】  企業などでは、通信システムにFirewallを設置し、不正な通信を遮断している。しかし、ノートPCなどのモバイル機器は、人間の手によってFirewall内に持ち込まれ、正規利用者であれば、認証を通り、Firewall内において正当に接続した状態になる。つまり、セキュリティの壁を超えた後の正当端末の振る舞いが問題となる。【解決手段】  複数のレイヤ２機能を備える無線基地局において、報知情報に無線セルの識別子を含めず、無線端末の管理表を備え、無線端末からの無線セル有無の問い合わせに対し、管理表の状態に応じて第一のレイヤ２アドレスで応答し、無線端末の無線セル内における通信状態に応じて、無線端末の管理表を変更し、無線端末を切断し、その後の無線端末の無線セル有無の問い合わせに対し、第二のレイヤ２アドレスで応答する。【選択図】  図１
2006217198.tif 000002
【特許請求の範囲】
【請求項１】
複数のレイヤ２機能を備える無線基地局において、
報知情報に無線セルの識別子を含めず、
無線端末の管理表を備え、
無線端末からの無線セル有無の問い合わせに対し、
管理表の状態に応じて第一のレイヤ２アドレスで応答し、
無線端末の無線セル内における通信状態に応じて、
無線端末の管理表を変更し、
無線端末を切断し、
その後の無線端末の無線セル有無の問い合わせに対し、
第二のレイヤ２アドレスで応答することを特徴とする
複数のレイヤ２機能を備える無線基地局。
【請求項２】
前記請求項１において、
第一のMACアドレスで運用する無線基地局が使用するチャネルと第二のMACアドレスで運用する無線基地局が使用するチャネルが異なることを特徴とした
複数のネットワークへの接続手段を備える無線基地局。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、Firewallの内側にウィルス感染した端末が持ち込まれ、無線アクセスポイントに接続しようとしたときの運用や制御に関するものである。
【背景技術】
【０００２】
現在、無線LANのセキュリティ対応は、
・WEP（Wired Equivalent Privacy）
・WPA（Wi-Fi protected access）として総称されるIEEE 802.1xユーザー認証、TKIP（Temporal Key Integrity Protocol）やAES（Advanced Encryption Standard）などの暗号化方式
・IEEE802.11i
などによっておこなわれている。
【０００３】
これらは、一見しただけでは誰が接続しているのかが解らない無線通信において、資格のない利用者や機器からのアクセスを制限したり、通信の到達範囲を制御できない無線通信において、その内容を簡単には判読できないようにしたりするものである。
【０００４】
又、別の従来例としては、例えば特許文献１と特許文献２と特許文献３をあげることが出来る。
【特許文献１】特開２００３−１０１５５３号公報
【特許文献２】特開２００１−３２０３７３号公報
【特許文献３】特開２００４−０３２６６４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところで、近年、ノートPCなどからのウイルス侵入が問題となっている。
【０００６】
企業などでは、通信システムにFirewallを設置し、不正な通信を遮断している。しかし、ノートPCなどのモバイル機器は、人間の手によってFirewall内に持ち込まれ、正規利用者であれば、認証を通り、Firewall内において正当に接続した状態になる。つまり、前述したセキュリティの壁を超えた後の正当に通信の解読資格を持った端末の振る舞いが問題となる。
【０００７】
よって、新たなFirewallの運用が必要となってきており、検疫システムなどが提案されている。例えば、検疫専用のネットワークを構築し、接続を要求してきた端末をその検疫ネットワークでチェックしてから、実際の所望のネットワークに接続する試みがなされている。（参考文書Nikkei Internet Solutions 2003.12 pp.77-pp.90）
なお、ここでの「検疫」とは、ウィルスなどに汚染されていないかをチェックし、可能ならばそのウィルスを駆除したり、ネットワークに異常な負荷をかけないかを検知したりすることを指す。
【課題を解決するための手段】
【０００８】
前述した参考文書においては、端末を検疫ネットワークに引き込む手段として、以下の方法が紹介されている。
【０００９】
・未検疫状態と検疫状態とで、DHCPサーバーが割り当てるIPアドレスや通知するDNSサーバーアドレスを工夫して、端末からの通信相手のあて先を全て検疫ネットワークアドレスとする。
【００１０】
・VLANスイッチを利用して、最初は、検疫サーバーのみに接続させる。
【００１１】
これらは、有線の場合は、物理的な線のつなぎ変えやポート設定の変更によっておこなわれる。一方、無線の場合は、通信媒体を共有しているので、線の接続やポート設定変更以外の制御も必要となるが、前記文書では、無線LAN特にアクセスポイントで実現する手段は、記述されていない。
【００１２】
本発明は、ノートPCなどでは有線手段よりも無線手段の方が多く利用されることを鑑み、無線アクセスポイントで検疫システムを実現させるための課題を解決することを目的とする。
【００１３】
さらに言えば、本発明は、ノートPCなどの端末側において新たな操作を必要とせずに実現するものである。
【００１４】
そのために、本発明では、複数のレイヤ２機能を備える無線基地局において、報知情報に無線セルの識別子を含めず、無線端末の管理表を備え、無線端末からの無線セル有無の問い合わせに対し、管理表の状態に応じて第一のレイヤ２アドレスで応答し、無線端末の無線セル内における通信状態に応じて、無線端末の管理表を変更し、無線端末を切断し、その後の無線端末の無線セル有無の問い合わせに対し、第二のレイヤ２アドレスで応答するようにしたものである。
【発明の効果】
【００１５】
以上、第１の実施例では、複数のレイヤ２機能を備える無線基地局において、報知情報に無線セルの識別子を含めず、無線端末の管理表を備え、無線端末からの無線セル有無の問い合わせに対し、管理表の状態に応じて第一のレイヤ２アドレスで応答し、無線端末の無線セル内における通信状態に応じて、無線端末の管理表を変更し、無線端末を切断し、その後の無線端末の無線セル有無の問い合わせに対し、第二のレイヤ２アドレスで応答するようにしたので、以前に接続したESSIDを自動的に選択する端末では、端末側で操作することなく、検疫ネットワークへの切替をおこない、安全な運用をおこなうことができる。その際、検疫ネットワークを別チャネルで動作させることにより、円滑な無線セルの運用も可能になる。
【００１６】
また、第２の実施例によれば、アクセスポイント自身の管理テーブルを参照可能にして、社内利用者の信頼できる端末などの場合は、自身での検疫処理を省略することで、社内利用者に素早く対応できるようになる。
【００１７】
さらに、また、第３の実施例によれば、実施例２とは逆に、社内利用者の端末だからといって信頼することなく、検疫処理をおこなう一方、いったんアクセスポイント自身で検疫した社外利用者には、イントラネットへのアクセスを制限する代償として、通信毎には検疫しないようにし、不便を感じさせないように運用できる。
【発明を実施するための最良の形態】
【００１８】
（第１の実施例）
本発明システムの基本構成を、図１に示す。各構成要素は、IEEE802.11の規定に従って動作するものとし、ここでは、IEEE802.11の詳細については記載しない。
【００１９】
１は本発明の中心となる無線アクセスポイントで、ひとつのESSIDによって無線セルを制御している。また、STA（STAtion：無線端末）のMACアドレスをキーとして、その端末が未検疫か検疫済みかの情報を保持する管理表テーブル（図４）を備えている。さらに、複数の有線端末を収容するためのHUBポートを備えている。２は検疫機能でウィルスチェック手段などを備える。３と４はSTA（無線端末）で、予め設定されているESSIDの無線アクセスポイントに自動的に接続する機能を備えている。
【００２０】
なお、本発明は、IEEE802.11の枠組みに限定されるものではなく、MACアドレスやESSIDの概念を持つシステムに適用可能である。
【００２１】
以下、図２を用いて、本発明の特徴的な動作を説明する。
【００２２】
＜STEP-00＞
アクセスポイント１は、運用開始時に管理テーブルを初期状態で立ち上げる。初期状態とは、何の情報も持っていない状態で、全ての端末を未検疫とみなす状態である。
【００２３】
また、BeaconにはESSIDを含めないようにし、端末に対し、BeaconからESSIDを選択できないようにしておく。
【００２４】
さらに、未検疫用には、チャネル１で、検疫用には、チャネル７で、probe要求に応答するようにしておく。これらの設定情報は、図５のように保持している。
【００２５】
＜STEP-01＞
端末３（MACアドレス=33:33:33:33:33:33）が、IEEE802.11で規定されるprobe要求を全てのチャネルについて、順次送出する。
【００２６】
＜STEP-02＞
このとき、アクセスポイント１は、チャネル１とチャネル７で、probe要求を認識する。管理表を見て、未検疫と判断することになる。
【００２７】
＜STEP-03＞
アクセスポイント１は、未検疫用のチャネル１において、probe応答を返す。このprobe応答には、ESSIDを含める。
【００２８】
＜STEP-04＞
従来と同じようにIEEE802.11で規定される authentication 手順をおこなう。
【００２９】
＜STEP-05＞
従来と同じようにIEEE802.11で規定される association 手順をおこなう。
【００３０】
＜STEP-06＞
端末３からの全ての通信を検疫機能に向ける。
【００３１】
これを実現するには、以下の方法が考えられる。
【００３２】
ひとつは、アクセスポイントにDHCPサーバー機能とDNSサーバー機能を内蔵して、端末３のIPアドレスを検疫機能と同じネットワーク番号に割り当て、端末３からのDNS問い合わせの結果を全て検疫機能のアドレスで応答する方法である。
【００３３】
もうひとつは、アクセスポイントで、ブリッジのフォワード機能のみを動作させ、検疫機能が全ての通信を監視し（promiscuous モード）、必要な応答を端末３に返す方法である。
【００３４】
＜STEP-07＞
アクセスポイント１は、検疫機能と連携して、検疫後、管理表を更新する。このとき、日時情報なども保持する。
【００３５】
＜STEP-8＞
アクセスポイント１は、端末３にIEEE802.11で規定されるdisassociationを送出し、いったん、切断状態にする。
【００３６】
＜STEP-09＞
端末３が、再度、probe要求を送出する。
【００３７】
＜STEP-10＞
アクセスポイント１は、チャネル１とチャネル７で、probe要求を認識する。管理表を見て、今回は、検疫済みと判断することになる。
【００３８】
＜STEP-11＞
アクセスポイント１は、検疫用のチャネル７において、MACアドレス=AP2で、probe応答を返す。このprobe応答には、ESSIDを含める。
【００３９】
＜STEP-12＞
端末３で、以前に接続したESSIDが自動的、または、優先的に選択されるようになっていれば、利用者の操作なしに、アクセスポイント１と接続手順を進めることになる。
【００４０】
＜STEP-13＞
従来と同じauthentication手順をおこなう。
【００４１】
＜STEP-14＞
従来と同じ association 手順をおこなう。
【００４２】
＜STEP-15＞
端末３に対し、通常の通信（例えば端末５との通信）を可能にする。
【００４３】
＜STEP-16＞
端末３が通信を終了したら、管理テーブルを未検疫状態にする。
【００４４】
通信終了の判断方法は、以下のものから選択的に決定しておく。
【００４５】
（あ）端末３からIEEE802.11 disasociationの受信したとき。
【００４６】
（い）アクセスポイント１がブリッジとして機能している場合は、ブリッジテーブルから消滅したとき。
【００４７】
（う）上記に関わりなく、ある一定時間が経過したとき、など。
【００４８】
（第２の実施例）
図３は、図１の基本システムの応用で、会議システムに適用したものである。図１のシステムとの差異は、ユーザー認証をおこなう認証サーバー６、会議サーバー７、イントラネット上の端末８（メールサーバーやＷＥＢサーバーなど）が存在することである。
【００４９】
ここで、会議システムとは、会社の会議室などで、社内利用者と社外利用者が無線端末によって会議サーバー上のファイルなどを共有しながら、会議を進めるものである。会議開催時に認証サーバー６によって、社内利用者か社外利用者かを区別し、社外利用者には、イントラネットへのアクセスを許可しないなどの制御をおこなうものである。
【００５０】
認証手順としては、例えば、IEEE802.1Xを用い、認証サーバーとしてRADIUSサーバーを用いる。
【００５１】
イントラネットへのアクセス制限は、IPフィルタリングなどによっておこない、アクセスポイント１が、端末のイントラネットへのアクセス有無を判断できるようにしておく。
【００５２】
さらに、イントラネット上にfirewall９が存在して、そのfirewall９とアクセスポイント１が連携できるようになっているとする。
【００５３】
この場合の特徴的な動作は、以下のようになる。
【００５４】
アクセスポイント１は、実施例の（STEP-02）の段階において、端末のMACアドレスをキーにして、この端末が検疫済みであるかをfirewall9に問い合わせる。
【００５５】
検疫済みであれば、STEP-11に進む。
【００５６】
未検疫であれば、実施例１と同じ動作をおこなう。
【００５７】
さらに、新しいウィルスが発生するなどして、検疫機能のチェックパターンが変更になった場合は、全ての端末を未検疫の状態にする。
【００５８】
（第３の実施例）
第２の実施例との相違は、firewall９が存在しない、または、存在してもそのfirewall９とアクセスポイント１が連携できないことである。
【００５９】
この場合の特徴的な動作は、以下のようになる。
【００６０】
STEP-15までは、実施例１と同じである。
【００６１】
＜STEP-16a＞
端末３がイントラネットへの通信を行おうとしたら、社内利用者か社外利用者かを判断する。
【００６２】
＜STEP-17＞
社内利用者であれば、その通信を許可する。
【００６３】
＜STEP18＞
端末３とイントラネットとの通信の終了を検出したら、制御の状態をSTEP-00として、未検疫状態とする。
【００６４】
＜STEP-19＞
もし、STEP-16aで、端末が社外利用者のものであれば、実施例１と同じように制御する。
【図面の簡単な説明】
【００６５】
【図１】本発明の基本システム図。
【図２】本発明のフロー図。
【図３】会議システムへの応用。
【図４】管理テーブル。
【図５】動作設定データテーブル。
【符号の説明】
【００６６】
１  無線アクセスポイント
２  検疫機能
３  無線端末
４  無線端末
５  通信端末
６  認証サーバー
７  会議サーバー
８  メール／WWWサーバー
９  firewall
【図１】
2006217198.tif 000003
【図２】
2006217198.tif 000004
【図３】
2006217198.tif 000005
【図４】
2006217198.tif 000006
【図５】
2006217198.tif 000007