(57)【要約】【課題】利便性が高く、ユーザの行為によって設置者や管理者が責任を問われる可能性を低減する公衆無線ＬＡＮのアクセスポイントを提供する。【解決手段】無線ＬＡＮ通信手段５０１が、無線ＬＡＮ端末５１０とパケットを送受信する機能を有し、インターネット通信手段５０２が受信したパケットのうち、パケットフィルタリング手段５０３を通過したパケットを無線ＬＡＮ端末５１０に送信する。インターネット通信手段５０２は、インターネット５２０を介してＩＰｓｅｃサーバ５３０とパケットを送受信する機能を有し、無線ＬＡＮ通信手段５０１が受信したパケットのうち、パケットフィルタリング手段５０３を通過したパケットをＩＰｓｅｃサーバ５３０に送信する。そして、インターネット通信手段５０２によって送信されたＩＰｓｅｃパケットは、ＩＰｓｅｃサーバ５３０によって復号されて他の装置５４０に送信される。【選択図】図８
2011119947.tif 000002
【特許請求の範囲】
【請求項１】
無線ＬＡＮ端末とパケットを送受信する無線ＬＡＮ通信手段と、
インターネットを介して、受信したＩＰｓｅｃパケットを復号して前記インターネットに接続された他の装置に送信するＩＰｓｅｃサーバとパケットを送受信するインターネット通信手段と、
前記無線ＬＡＮ通信手段が受信したパケットおよび前記インターネット通信手段が受信したパケットのうち、ＩＫＥパケットとＩＰｓｅｃパケットとが通過可能なパケットフィルタリング手段とを備え、
前記無線ＬＡＮ通信手段は、前記インターネット通信手段が受信したパケットのうち、前記パケットフィルタリング手段を通過したパケットを前記無線ＬＡＮ端末に送信し、
前記インターネット通信手段は、前記無線ＬＡＮ通信手段が受信したパケットのうち、前記パケットフィルタリング手段を通過したパケットを前記ＩＰｓｅｃサーバに送信する
ことを特徴とするアクセスポイント。
【請求項２】
パケットフィルタリング手段を通過したＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとを記憶手段に記憶させるアドレス管理手段を含む
請求項１記載のアクセスポイント。
【請求項３】
パケットフィルタリング手段を通過したＩＰｓｅｃパケットのうち、記憶手段に記憶されていない送信元ＩＰアドレスのＩＰｓｅｃパケットを破棄するパケット破棄手段を含む
請求項２記載のアクセスポイント。
【請求項４】
パケットフィルタリング手段を通過したＩＰｓｅｃパケットのうち、記憶手段に記憶されていない宛先ＩＰアドレスのＩＰｓｅｃパケットを破棄するパケット破棄手段を含む
請求項２記載のアクセスポイント。
【請求項５】
ＮＡＴトラバーサルを終端する機能を有するＩＰｓｅｃサーバを介して他の装置と無線ＬＡＮ端末とのパケットの送受信を中継するアクセスポイントであって、
前記無線ＬＡＮ端末にローカルアドレスを割り当てるアドレス割り当て手段と、
ＮＡＰＴ機能を有するＩＰアドレス変換手段とを含む
請求項１から請求項４のうちいずれか１項記載のアクセスポイント。
【請求項６】
無線ＬＡＮ端末とパケットを送受信する無線ＬＡＮ通信ステップと、
インターネットを介して、受信したＩＰｓｅｃパケットを復号して前記インターネットに接続された他の装置に送信するＩＰｓｅｃサーバとパケットを送受信するインターネット通信ステップと、
前記無線ＬＡＮ通信ステップで受信したパケットおよび前記インターネット通信ステップで受信したパケットのうち、ＩＫＥパケットとＩＰｓｅｃパケットとを通過させる処理を行うパケットフィルタリングステップとを含み、
前記無線ＬＡＮ通信ステップで、前記インターネット通信ステップで受信したパケットのうち、前記パケットフィルタリングステップの処理で通過したパケットを前記無線ＬＡＮ端末に送信し、
前記インターネット通信ステップで、前記無線ＬＡＮ通信ステップで受信したパケットのうち、前記パケットフィルタリングステップの処理で通過したパケットを前記ＩＰｓｅｃサーバに送信する
ことを特徴とするアクセスポイントのパケット中継制御方法。
【請求項７】
フィルタリングステップの処理で通過したＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとを記憶手段に記憶させるアドレス管理ステップを含む
請求項６記載のアクセスポイントのパケット中継制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、公衆無線ＬＡＮに用いられるアクセスポイントおよびアクセスポイントのパケット中継制御方法に関する。
【背景技術】
【０００２】
飲食店や駅などに、無線ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）端末によるインターネットを介した情報の送受信を中継するためのアクセスポイントが設置されている。
【０００３】
そして、公衆が利用可能な無線ＬＡＮである公衆無線ＬＡＮのアクセスポイントには、ユーザの認証を行うものと行わないものとがある。
【０００４】
特許文献１には、公衆無線ＬＡＮのアクセスポイントを介してＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）に接続可能なシステムが記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−２０４０８６号公報（段落００４６〜００７４、図１）
【発明の概要】
【発明が解決しようとする課題】
【０００６】
公衆無線ＬＡＮのアクセスポイントがユーザの認証を行う場合には、アクセスポイントの設置等をした特定のインターネットサービスプロバイダに契約等をしているユーザ以外のユーザは、当該アクセスポイントを利用することができない。よって、ユーザ認証を行うアクセスポイントは、利便性が低い。
【０００７】
特許文献１に記載されているシステムでは、接続認証サーバによって認証されたユーザ以外のユーザは、公衆無線ＬＡＮを利用して情報を送受信することができず、利便性が低い。
【０００８】
また、公衆無線ＬＡＮのアクセスポイントがユーザの認証を行なわない場合には、当該アクセスポイントを利用するユーザを特定することができず、当該アクセスポイントを介してユーザが不正行為等を行っても、そのユーザを追跡することは困難である。
【０００９】
そこで、本発明は、利便性が高く、アクセスポイントがユーザの認証を行わない場合でも、ユーザの不正行為を防止したり、不正行為を行ったユーザの追跡を容易にすることができる公衆無線ＬＡＮのアクセスポイントおよびアクセスポイントのパケット中継制御方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明によるアクセスポイントは、無線ＬＡＮ端末とパケットを送受信する無線ＬＡＮ通信手段と、インターネットを介して、受信したＩＰｓｅｃパケットを復号してインターネットに接続された他の装置に送信するＩＰｓｅｃサーバとパケットを送受信するインターネット通信手段と、無線ＬＡＮ通信手段が受信したパケットおよびインターネット通信手段が受信したパケットのうち、ＩＫＥパケットとＩＰｓｅｃパケットとが通過可能なパケットフィルタリング手段とを備え、無線ＬＡＮ通信手段は、インターネット通信手段が受信したパケットのうち、パケットフィルタリング手段を通過したパケットを無線ＬＡＮ端末に送信し、インターネット通信手段は、無線ＬＡＮ通信手段が受信したパケットのうち、パケットフィルタリング手段を通過したパケットをＩＰｓｅｃサーバに送信することを特徴とする。
【００１１】
本発明によるアクセスポイントのパケット中継制御方法は、無線ＬＡＮ端末とパケットを送受信する無線ＬＡＮ通信ステップと、インターネットを介して、受信したＩＰｓｅｃパケットを復号してインターネットに接続された他の装置に送信するＩＰｓｅｃサーバとパケットを送受信するインターネット通信ステップと、無線ＬＡＮ通信ステップで受信したパケットおよびインターネット通信ステップで受信したパケットのうち、ＩＫＥパケットとＩＰｓｅｃパケットとを通過させる処理を行うパケットフィルタリングステップとを含み、無線ＬＡＮ通信ステップで、インターネット通信ステップで受信したパケットのうち、パケットフィルタリングステップの処理で通過したパケットを無線ＬＡＮ端末に送信し、インターネット通信ステップで、無線ＬＡＮ通信ステップで受信したパケットのうち、パケットフィルタリングステップの処理で通過したパケットをＩＰｓｅｃサーバに送信することを特徴とする。
【発明の効果】
【００１２】
本発明によれば、ユーザ認証を行わない利便性の高いアクセスポイントを提供することができる。
【００１３】
また、アクセスポイントがユーザの認証を行わずに、ユーザの不正行為を防止したり、不正行為を行ったユーザの追跡を容易にすることができる。
【図面の簡単な説明】
【００１４】
【図１】本発明によるアクセスポイントの第１の実施形態の接続例を示す説明図である。
【図２】本発明の第１の実施形態のアクセスポイントの構成例を示すブロック図である。
【図３】ＩＰｓｅｃサーバの構成例を示すブロック図である。
【図４】アクセスポイントにおける上り方向のパケットの処理を示すフローチャートである。
【図５】上り方向のＩＰｓｅｃパケットを受信したＩＰｓｅｃサーバの動作を示すフローチャートである。
【図６】下り方向のＩＰｓｅｃパケットを受信したＩＰｓｅｃサーバの動作を示すフローチャートである。
【図７】本発明によるアクセスポイントの第２の実施形態の構成例を示すブロック図である。
【図８】本発明の概要を示すブロック図である。
【発明を実施するための形態】
【００１５】
実施形態１．
本発明によるアクセスポイントの第１の実施形態について、図面を参照して説明する。図１は、本発明によるアクセスポイント１０３の第１の実施形態の接続例を示す説明図である。
【００１６】
図１に示すように、本発明の第１の実施形態のアクセスポイント１０３は、公衆無線ＬＡＮ１０６を介して端末１０４に接続され、インターネット１０１を介してＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）サーバ１０２に接続されている。また、インターネット１０１には、当該インターネット１０１を介してサービスを提供するサービス提供サーバ１０５が接続されている。サービス提供サーバ１０５は、例えば、一般的なＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）サーバや電子メールサーバである。
【００１７】
なお、端末１０４は、無線ＬＡＮ接続機能を有し、アクセスポイント１０３およびインターネット１０１を介してＩＰｓｅｃの規格にもとづいてＩＰｓｅｃサーバ１０２とＩＰｓｅｃパケットを送受信可能なように予め設定されている。なお、端末１０４がアクセスポイント１０３と無線ＬＡＮ接続可能な範囲にいることを、公衆無線ＬＡＮ１０６の中にいるという。
【００１８】
図２は、本発明の第１の実施形態のアクセスポイント１０３の構成例を示すブロック図である。
【００１９】
図２に示すように、本発明の第１の実施形態のアクセスポイント１０３は、無線ＬＡＮ通信部２０２、フィルタ２０３，２０６、ＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）パケット処理部２０４、ＩＰｓｅｃパケット処理部２０５、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）側通信部２０７、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）サーバ機能部２０８、テーブル管理部２０９、およびログ保存部２１０を含む。
【００２０】
無線ＬＡＮ通信部２０２は、端末１０４と無線ＬＡＮ接続し、パケットを送受信する。ＷＡＮ側通信部２０７は、インターネット１０１を介してＩＰｓｅｃサーバ１０２とパケットを送受信する。
【００２１】
また、無線ＬＡＮ通信部２０２は、端末１０４から受信したＤＨＣＰのパケットをＤＨＣＰサーバ機能部２０８に入力する。ＤＨＣＰサーバ機能部２０８は、無線ＬＡＮ通信部２０２に接続され、無線ＬＡＮ通信部２０２が入力したＤＨＣＰのパケットを処理して無線ＬＡＮ通信部２０２に入力する。
【００２２】
なお、ＤＨＣＰサーバ機能部２０８は、ＲＦＣ（Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔｓ）２１３１で定義された「ＤＨＣＰ  ｓｅｒｖｅｒ」の仕様にもとづいてＤＨＣＰのパケットを処理する。また、本実施形態において当該処理で割り当てられるＩＰアドレスは、インターネット１０１で使用可能なグローバルアドレスである。
【００２３】
フィルタ２０３は、無線ＬＡＮ通信部２０２に接続され、無線ＬＡＮ通信部２０２が端末１０４から受信したパケットを解析して、ＩＫＥパケット、ＩＰｓｅｃパケットおよびその他のパケットに分類する。そして、フィルタ２０３は、ＩＫＥパケットをＩＫＥパケット処理部２０４に入力し、ＩＰｓｅｃパケットをＩＰｓｅｃパケット処理部２０５に入力し、その他のパケットを破棄する。
【００２４】
フィルタ２０６は、ＷＡＮ側通信部２０７に接続され、ＷＡＮ側通信部２０７がインターネット１０１を介して受信したパケットを解析して、ＩＫＥパケット、ＩＰｓｅｃパケットおよびその他のパケットに分類する。そして、フィルタ２０３は、ＩＫＥパケットをＩＫＥパケット処理部２０４に入力し、ＩＰｓｅｃパケットをＩＰｓｅｃパケット処理部２０５に入力し、その他のパケットを破棄する。
【００２５】
ＩＫＥパケット処理部２０４は、フィルタ２０３が入力したＩＫＥパケットを後述する処理（ステップＳ１０６，Ｓ１０８）で、破棄、またはフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。また、ＩＫＥパケット処理部２０４は、フィルタ２０６が入力したＩＫＥパケットをフィルタ２０３を介して無線ＬＡＮ通信部２０２に入力し、端末１０４への転送を指示する。
【００２６】
また、ＩＫＥパケット処理部２０４は、後述する処理（ステップＳ１０５）で、ＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとをテーブル管理部２０９が管理するテーブルに登録する。
【００２７】
ＩＰｓｅｃパケット処理部２０５は、フィルタ２０３が入力したＩＰｓｅｃパケットを後述する処理（ステップＳ１１０，Ｓ１１１の処理）で、破棄、またはフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。また、ＩＰｓｅｃパケット処理部２０５は、フィルタ２０６が入力したＩＰｓｅｃパケットをフィルタ２０３を介して無線ＬＡＮ通信部２０２に入力し、端末１０４への転送を指示する。
【００２８】
テーブル管理部２０９は、ＩＫＥパケット処理部２０４によってＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとが登録されるテーブルを管理する。具体的には、例えば、テーブル管理部２０９は、アクセスポイント１０３のＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）によって実現され、テーブルはキャッシュメモリによって実現される。そして、ＩＫＥパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスは、キャッシュメモリにテーブル形式で記憶される。すなわち、テーブルに登録される。テーブル管理部２０９は、所定のタイミングで、テーブルに登録されたＩＫＥパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスを削除する。
【００２９】
ログ保存部２１０は、テーブル管理部２０９が管理するテーブルに登録されたＩＫＥパケットの送信元ＩＰアドレス、および宛先ＩＰアドレスと、それらＩＰアドレスがテーブルに登録された日時、およびテーブルから削除された日時とを記録する。具体的には、例えば、記憶手段に記憶させる。
【００３０】
図３は、ＩＰｓｅｃサーバ１０２の構成例を示すブロック図である。図３に示すように、ＩＰｓｅｃサーバ１０２は、ＩＫＥ処理部３０２、ＩＰｓｅｃ処理部３０３、ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）処理部３０４、およびインターネット接続部３０５，３０６を含む。
【００３１】
インターネット接続部３０５は、インターネット１０１を介してアクセスポイント１０３とパケットを送受信する。インターネット接続部３０６は、インターネット１０１を介してサービス提供サーバ１０５とパケットを送受信する。
【００３２】
インターネット接続部３０５は、インターネット１０１を介して受信したパケットを解析して、ＩＫＥパケット、ＩＰｓｅｃパケットおよびその他のパケットに分類する。そして、ＩＫＥパケットをＩＫＥ処理部３０２に入力し、ＩＰｓｅｃパケットをＩＰｓｅｃ処理部３０３に入力し、その他のパケットを破棄する。
【００３３】
また、インターネット接続部３０５は、ＩＫＥ処理部３０２またはＩＰｓｅｃ処理部３０３が入力したパケットをインターネット１０１を介して当該パケットの宛先に送信する。
【００３４】
ＩＰｓｅｃ処理部３０３は、インターネット接続部３０５が入力したＩＰｓｅｃパケットを復号し、ＮＡＴ処理部３０４に入力する。また、ＮＡＴ処理部３０４が入力したＩＰパケットをＩＰｓｅｃの仕様にもとづいて暗号化し、インターネット接続部３０３に入力する。なお、ＩＰｓｅｃ処理部３０３が行うパケットの暗号化の処理および復号の処理であるＩＰｓｅｃ処理は、ＲＦＣ４３０１およびＲＦＣ２４０１で定義されたＩＰｓｅｃの仕様にもとづいて行われる。また、ＩＰｓｅｃ処理部３０３は、ＩＰｓｅｃ処理のために使用される鍵情報をＩＫＥ処理部３０３から受け取る。
【００３５】
ＮＡＴ処理部３０４は、ＩＰｓｅｃ処理部３０３が入力したＩＰパケットの送信元ＩＰアドレスを端末１０４のＩＰアドレスから自ＩＰアドレスに書き換えて、インターネット接続部３０６に入力する。
【００３６】
また、ＮＡＴ処理部３０４は、インターネット接続部３０６が入力したＩＰパケットの宛先ＩＰアドレスを自ＩＰアドレスから端末１０４のＩＰアドレスに書き換えて、ＩＰｓｅｃ処理部３０３に入力する。なお、ＮＡＴ処理部３０４が行うＩＰアドレスの書き換え処理は、ＲＦＣ２６６３で定義されたＮＡＰＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｐｏｒｔ  Ｔｒａｎｓｌａｔｉｏｎ）の仕様にもとづいて行われる。
【００３７】
ＩＫＥ処理部３０２は、インターネット接続部３０５が入力した端末１０４から受信したＩＫＥパケットを処理する。また、インターネット接続部３０５にインターネット１０１を介した端末１０４へのＩＫＥパケットの送信を指示する。
【００３８】
ＩＫＥ処理部３０２は、ＩＫＥパケットを処理して得られた鍵情報をＩＰｓｅｃ処理部３０３に渡す。ＩＰｓｅｃ処理部３０３は、渡された鍵情報をＩＰｓｅｃ処理に使用する。なお、ＩＫＥ処理部３０２が行うＩＫＥパケットの処理は、ＲＦＣ４３０１およびＲＦＣ２４０１で定義されたＩＰｓｅｃの仕様にもとづいて行われる。
【００３９】
次に、本発明の第１の実施形態のアクセスポイント１０３を含む公衆無線ＬＡＮシステムの動作について説明する。まず、公衆無線ＬＡＮシステムの動作の概要について説明する。以下、端末１０４から、アクセスポイント１０３、インターネット１０１、ＩＰｓｅｃサーバ１０２、およびインターネット１０１を介してサービス提供サーバ１０５に送信されるパケットを上り方向のパケットという。また、サービス提供サーバ１０５から、インターネット１０１、ＩＰｓｅｃサーバ１０２、インターネット１０１、およびアクセスポイント１０３を介して端末１０４に送信されるパケットを下り方向のパケットという。
【００４０】
ＩＰｓｅｃサーバ１０２と端末１０４との間でトンネルモードのＩＰｓｅｃの通信ができるように、予め両者の設定が行われる。
【００４１】
端末１０４は、公衆無線ＬＡＮ１０６の中にいる場合に、アクセスポイント１０３と情報を送受信して、無線ＬＡＮの通信を確立する。そして、端末１０４は、アクセスポイント１０３にＤＨＣＰ要求を送信し、アクセスポイント１０３からＩＰアドレスの割り当てを受ける。なお、送信されるＤＨＣＰ要求は、具体的には、例えば、ＤＨＣＰ  ｄｉｓｃｏｖｅｒメッセージである。
【００４２】
次に、端末１０４は、アクセスポイント１０３およびインターネット１０１を介して、ＩＰｓｅｃサーバ１０２との間でＩＫＥの交渉を行い、ＩＰｓｅｃによる通信路を確立する。ＩＫＥの交渉は、前述したＲＦＣ４３０１およびＲＦＣ２４０１に定義されている。アクセスポイント１０３の動作については後述する。
【００４３】
そして、端末１０４は、インターネット１０１に接続されたサービス提供サーバ１０５が提供するサービスを利用する場合に、ＩＰｓｅｃサーバ１０２との間で確立した通信路を介して送受信されるパケットであるＩＰｓｅｃパケットを送受信する。
【００４４】
ＩＰｓｅｃサーバ１０２は、端末１０４が送信したＩＰｓｅｃパケットを復号し、ＮＡＰＴの仕様にもとづいて送信元のＩＰアドレスを書き換えて、インターネット１０１を介してサービス提供サーバ１０５に送信する。
【００４５】
ＩＰｓｅｃサーバ１０２が送信したパケットを受信したサービス提供サーバ１０５は、当該パケットの送信元ＩＰアドレスにもとづいて、送信元が端末１０４ではなく、ＩＰｓｅｃサーバ１０２であると認識する。
【００４６】
サービス提供サーバ１０５は、端末１０４に応答するパケットを送信する場合には、受信したパケットの送信元であると認識しているＩＰｓｅｃサーバ１０２にパケットを送信する。ＩＰｓｅｃサーバ１０２は、サービス提供サーバ１０５が送信したパケットの宛先ＩＰアドレスをＮＡＰＴの仕様にもとづいて変換し、ＩＰｓｅｃの仕様にもとづいて暗号化して、インターネット１０１およびアクセスポイント１０３を介して端末１０４に送信する。
【００４７】
次に、端末１０４とＩＰｓｅｃサーバ１０２との間で行われるＩＫＥの交渉について説明する。端末１０４とＩＰｓｅｃサーバ１０２との間で行われるＩＫＥの交渉は、端末１０４がＩＰｓｅｃサーバ１０２にＩＫＥパケットを送信し、その後、ＩＰｓｅｃによる通信路が確立するまで互いにＩＫＥパケットを送信することにより行われる。
【００４８】
図４は、アクセスポイント１０３における上り方向のパケットの処理を示すフローチャートである。なお、図４に示すステップＳ１０１〜Ｓ１０８の処理は、端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立するために行われる。また、図４に示すステップＳ１０１，Ｓ１０２，Ｓ１０９〜Ｓ１１１の処理は、端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立した後に行われる。
【００４９】
端末１０４がＩＫＥパケットをＩＰｓｅｃサーバ１０２宛に送信した場合に、アクセスポイント１０３の無線ＬＡＮ通信部２０２が当該ＩＫＥパケットを受信する（ステップＳ１０１）。フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットを解析してパケット種別を判断する（ステップＳ１０２）。
【００５０】
フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットを解析してＤＨＣＰパケットであると判断した場合に（ステップＳ１０２）、ＤＨＣＰサーバ機能部２０８に当該ＤＨＣＰパケットを入力する。ＤＨＣＰサーバ機能部２０８は、端末１０４に「ＤＨＣＰ  ｓｅｒｖｅｒ」の仕様にもとづいてＩＰアドレスを割り当て（ステップＳ１０３）、当該ＤＨＣＰパケットを破棄する。
【００５１】
フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットがＩＫＥパケットであると判断した場合に（ステップＳ１０２）、当該ＩＫＥパケットをＩＫＥパケット処理部２０４に入力する。ＩＫＥパケット処理部２０４は、テーブル管理部２０９が管理するテーブルに、入力されたＩＫＥパケットの送信元ＩＰアドレスに合致するデータが登録されているか否か判断する（ステップＳ１０４）。
【００５２】
当該ＩＫＥパケットが端末１０４から最初に送信されていた場合には、テーブル管理部２０９が管理するテーブルに当該ＩＫＥパケットの送信元ＩＰアドレスに合致するデータが登録されていないので（ステップＳ１０４のＮ）、ＩＫＥパケット処理部２０４は、送信元ＩＰアドレスと宛先ＩＰアドレスとをテーブル管理部２０９が管理するテーブルに登録する（ステップＳ１０５）。なお、ステップＳ１０５の処理でテーブルに登録される送信元ＩＰアドレスは端末１０４のＩＰアドレスであり、宛先ＩＰアドレスはＩＰｓｅｃサーバ１０２のＩＰアドレスである。
【００５３】
そして、ＩＫＥパケット処理部２０４は、ＩＫＥパケットをフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。ＷＡＮ側通信部２０７は、当該指示に応じて、ＩＫＥパケットをインターネット１０１を介してＩＰｓｅｃサーバ１０２に転送する（ステップＳ１０６）。すなわち、送信する。
【００５４】
その後、端末１０４がＩＫＥパケットをＩＰｓｅｃサーバ１０２宛に送信した場合に、上述したステップＳ１０１，Ｓ１０２，Ｓ１０４の処理と同様な処理が行われる。そして、上述したステップＳ１０４の処理で、送信元ＩＰアドレスと宛先ＩＰアドレスとがテーブル管理部２０９が管理するテーブルに登録されているので、ＩＫＥパケット処理部２０４は、フィルタ２０３が入力したＩＫＥパケットの送信元ＩＰアドレスに合致するデータが登録されていると判断する（ステップＳ１０４のＹ）。
【００５５】
そして、ＩＫＥパケット処理部２０４は、テーブル管理部２０９が管理するテーブルに登録されているＩＫＥパケットの送信元ＩＰアドレスに対応する宛先ＩＰアドレスと、入力されたＩＫＥパケットの宛先ＩＰアドレスとが合致するか否か判断する（ステップＳ１０７）。
【００５６】
ＩＫＥパケット処理部２０４は、ステップＳ１０７の処理で、合致しないと判断した場合に（ステップＳ１０７のＮ）、入力されたＩＫＥパケットを破棄する（ステップＳ１０８）。
【００５７】
ＩＫＥパケット処理部２０４は、ステップＳ１０７の処理で、合致すると判断した場合に（ステップＳ１０７のＹ）、ＩＫＥパケットをフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。ＷＡＮ側通信部２０７は、当該指示に応じて、ＩＫＥパケットをインターネット１０１を介してＩＰｓｅｃサーバ１０２に転送する（ステップＳ１０６）。すなわち、送信する。
【００５８】
なお、アクセスポイント１０３は、端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立するために、下り方向のＩＫＥパケットを以下のように処理する。すなわち、アクセスポイント１０３のＷＡＮ側通信部２０７が、ＩＰｓｅｃサーバ１０２が送信したＩＫＥパケットを受信して、フィルタ２０６に入力する。フィルタ２０６は、当該ＩＫＥパケットをＩＫＥパケット処理部２０４に入力する。ＩＫＥパケット処理部２０４は、ＩＫＥパケットをフィルタ２０３を介して無線ＬＡＮ通信部２０２に入力し、端末１０４への転送を指示する。無線ＬＡＮ通信部２０２は、入力されたＩＫＥパケットを端末１０４に送信する。
【００５９】
また、ＩＰｓｅｃサーバ１０２は、端末１０４との間で通信路を確立するために、下り方向のＩＫＥパケットを以下のように処理する。すなわち、ＩＰｓｅｃサーバ１０２のインターネット接続部３０５が、下り方向のＩＫＥパケットを受信して、ＩＫＥ処理部３０２に入力する。ＩＫＥ処理部３０２は、前述したＩＫＥパケットの処理を行い、インターネット接続部３０５にインターネット１０１を介した端末１０４へのＩＫＥパケットの送信を指示する。インターネット接続部３０５は、指示に応じて、インターネット１０１を介してＩＫＥパケットを端末１０４宛に送信する。また、ＩＫＥ処理部３０２は、ＩＫＥパケットの処理で鍵情報が得られた場合には、当該鍵情報をＩＰｓｅｃ処理部３０３に渡す。
【００６０】
上述したステップＳ１０１〜Ｓ１０８の処理と、アクセスポイント１０３およびＩＰｓｅｃサーバ１０２における下り方向のＩＫＥパケットの処理とによって、端末１０４とＩＰｓｅｃサーバ１０２とがＩＫＥによる交渉を完了し、ＩＰｓｅｃによる通信路が確立した。
【００６１】
端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立した後のアクセスポイント１０３の処理について説明する。
【００６２】
端末１０４とＩＰｓｅｃサーバ１０２とがＩＫＥによる交渉を完了し、ＩＰｓｅｃによる通信路を確立した場合、端末１０４は、インターネット１０１に接続されたサービス提供サーバ１０５が提供するサービスを利用開始する。
【００６３】
端末１０４は、ＩＰｓｅｃサーバ１０２との間で確立した通信路を用いてサービス提供サーバ１０５にパケットを送信するために、当該パケットを暗号化し、暗号化したパケットであるＩＰｓｅｃパケットをＩＰｓｅｃサーバ１０２宛にアクセスポイント１０３に送信する。
【００６４】
アクセスポイント１０３の無線ＬＡＮ通信部２０２は、端末１０４が送信したＩＰｓｅｃパケットを受信する（ステップＳ１０１）。フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットを解析してパケット種別を判断する（ステップＳ１０２）。
【００６５】
フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットがＩＰｓｅｃパケットであると判断した場合に、当該ＩＰｓｅｃパケットをＩＰｓｅｃパケット処理部２０５に入力する。ＩＰｓｅｃパケット処理部２０５は、テーブル管理部２０９が管理するテーブルに、入力されたＩＰｓｅｃパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとに合致するデータが登録されているか否か判断する（ステップＳ１０９）。
【００６６】
本例では、上述したように、既にＩＫＥでの交渉が行われ、ステップＳ１０５の処理で、送信元ＩＰアドレスと宛先ＩＰアドレスとがテーブル管理部２０９が管理するテーブルに登録されているので（ステップＳ１０９のＹ）、ＩＰｓｅｃパケット処理部２０５は、ＩＰｓｅｃパケットをフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。ＷＡＮ側通信部２０７は、当該指示に応じて、ＩＰｓｅｃパケットをインターネット１０１を介してＩＰｓｅｃサーバ１０２に転送する（ステップＳ１１０）。すなわち、送信する。
【００６７】
なお、送信元ＩＰアドレスがテーブル管理部２０９が管理するテーブルに登録されていない場合や、当該テーブルに登録されている送信元ＩＰアドレスとＩＰｓｅｃパケット処理部２０５に入力されたＩＰｓｅｃパケットの送信元ＩＰアドレスとが合致しない場合には（ステップＳ１０９のＮ）、ＩＰｓｅｃパケット処理部２０５は、当該ＩＰｓｅｃパケットを破棄する（ステップＳ１１１）。
【００６８】
また、ステップＳ１０２の処理で、フィルタ２０３が、無線ＬＡＮ通信部２０２が受信したパケットを解析して、当該パケットが、ＩＫＥパケット、ＩＰｓｅｃパケット、およびＤＨＣＰパケットではないと判断した場合に、当該パケットを破棄する（ステップＳ１１２）。
【００６９】
なお、アクセスポイント１０３は、端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立した後の下り方向のＩＰｓｅｃパケットを以下のように処理する。すなわち、ＷＡＮ側通信部２０７が、ＩＰｓｅｃサーバ１０２が送信したＩＰｓｅｃパケットを受信して、フィルタ２０６に入力する。フィルタ２０６は、当該ＩＰｓｅｃパケットをＩＰｓｅｃパケット処理部２０５に入力する。ＩＰｓｅｃパケット処理部２０５は、ＩＰｓｅｃパケットをフィルタ２０３を介して無線ＬＡＮ通信部２０２に入力し、端末１０４への転送を指示する。無線ＬＡＮ通信部２０２は、入力されたＩＰｓｅｃパケットを端末１０４に送信する。
【００７０】
また、アクセスポイント１０３は、端末１０４とＩＰｓｅｃサーバ１０２との通信終了後に、以下の処理を行う。すなわち、端末１０４がＩＰｓｅｃサーバ１０２との通信を終了した場合には、端末１０４からＩＰｓｅｃサーバ１０２宛に送信されるＩＰｓｅｃパケットがアクセスポイント１０３に送信されなくなる。そして、テーブル管理部２０９は、端末１０４からＩＰｓｅｃサーバ１０２宛に送信されるＩＰｓｅｃパケットがアクセスポイント１０３に送信されなくなってから所定の期間経過後に、テーブルに登録されたデータを削除する。なお、テーブルに登録されたデータとは、ＩＫＥパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスである。また、「所定の期間」は、登録されたデータ量がキャッシュメモリの記憶容量を超えない期間に予め設定される。
【００７１】
次に、ＩＰｓｅｃサーバ１０２の動作について説明する。図５は、上り方向のＩＰｓｅｃパケットを受信したＩＰｓｅｃサーバ１０２の動作を示すフローチャートである。
【００７２】
ＩＰｓｅｃサーバ１０２のインターネット接続部３０５は、端末１０４がアクセスポイント１０３およびインターネット１０１を介して送信したＩＰｓｅｃパケットを受信して（ステップＳ２０１）、ＩＰｓｅｃ処理部３０３に入力する。
【００７３】
ＩＰｓｅｃ処理部３０３は、インターネット接続部３０５が受信したＩＰｓｅｃパケットを復号し（ステップＳ２０２）、ＮＡＴ処理部３０４に入力する。ＮＡＴ処理部３０４は、入力されたＩＰパケットの送信元ＩＰアドレスを端末１０４のＩＰアドレスから自ＩＰアドレスに書き換えて（ステップＳ２０３）、インターネット接続部３０６に入力する。
【００７４】
インターネット接続部３０６は、入力されたＩＰパケットをインターネット１０１を介してサービス提供サーバ１０５に送信する（ステップＳ２０４）。
【００７５】
図６は、下り方向のＩＰｓｅｃパケットを受信したＩＰｓｅｃサーバ１０２の動作を示すフローチャートである。
【００７６】
ＩＰｓｅｃサーバ１０２のインターネット接続部３０６は、サービス提供サーバ１０５が送信したＩＰパケットをインターネット１０１を介して受信し（ステップＳ３０１）、ＮＡＴ処理部３０４に入力する。
【００７７】
ＮＡＴ処理部３０４は、インターネット接続部３０６が入力したＩＰパケットの宛先ＩＰアドレスを自ＩＰアドレスから端末１０４のＩＰアドレスに書き換えて（ステップＳ３０２）、ＩＰｓｅｃ処理部３０３に入力する。ＩＰｓｅｃ処理部３０３は、入力されたＩＰパケットを暗号化する（ステップＳ３０３）。そして、ＩＰｓｅｃ処理部３０３は、暗号化したＩＰパケット（ＩＰｓｅｃパケット）をインターネット接続部３０３に入力する。インターネット接続部３０３は、当該ＩＰｓｅｃパケットをインターネット１０１およびアクセスポイント１０３を介して、端末１０４に送信する（ステップＳ３０４）。
【００７８】
本実施形態によれば、アクセスポイント１０３は、いずれかのインターネットサービスプロバイダによってＩＰｓｅｃサーバ１０２の設置が認められた信頼できるユーザ以外のユーザによる利用を不可能にしている。
【００７９】
具体的には、アクセスポイント１０３は、ステップＳ１０２，Ｓ１１２の処理で、ＩＰｓｅｃによる通信路を確立するためのＩＫＥパケットを除き、ＩＰｓｅｃパケット以外のパケットを通過させないように構成されている。従って、端末１０４のユーザは、アクセスポイント１０３を利用するために、インターネット１０１に接続されたＩＰｓｅｃサーバ１０２を予め用意することが必要になる。
【００８０】
そして、アクセスポイント１０３の設置者や管理者は、アクセスポイント１０３のユーザが誰であるのかを利用前、利用中および利用直後に把握することは困難であるが、いずれかのインターネットサービスプロバイダがＩＰｓｅｃサーバ１０２の設置を許可していることから、ある程度の信頼ができるユーザであることを期待できる。つまり、そのようなユーザ以外のユーザによるアクセスポイント１０３の利用を不可能にしている。そして、不正利用を未然に防止することができる。
【００８１】
また、本実施形態によれば、インターネット１０１に接続されたサービス提供サーバ１０５がユーザの身元を追跡しようとしたときに、アクセスポイント１０３の設置者や管理者の負担を軽減させることができる。
【００８２】
アクセスポイント１０３は、インターネット１０１を介して送信されたパケットについてもＩＰｓｅｃパケット以外のパケットを通過させないように構成されている。なお、ここでは、ＩＰｓｅｃによる通信路を確立するためのＩＫＥパケットを除く。
【００８３】
従って、端末１０４がインターネット１０１に接続されたサービス提供サーバ１０５と相互に通信を行なうためには、サービス提供サーバ１０５が送信したパケットをＩＰｓｅｃで暗号化するためにＩＰｓｅｃサーバ１０２がＮＡＰＴ処理を行い、サービス提供サーバ１０５に端末１０４によって行われている通信をＩＰｓｅｃサーバ１０２自身が行なっているかのように認識させる必要がある。
【００８４】
仮に、ＩＰｓｅｃサーバ１０２がＮＡＰＴによるＩＰアドレスの変換を行なわなかった場合には、インターネット１０１に接続されたサービス提供サーバ１０５には、アクセスポイント１０３が端末１０４にＤＨＣＰで割り当てたＩＰアドレスがＩＰパケットの送信元のＩＰアドレスであると認識することになる。すると、インターネット１０１に接続されたサービス提供サーバ１０５から送信された応答のＩＰパケットはＩＰｓｅｃサーバ１０２を介さずに端末１０４宛に送信されることになる。
【００８５】
しかし、送信されたＩＰパケットは、ＩＰｓｅｃサーバ１０２によるＩＰｓｅｃパケットへのカプセル化（ＩＰｓｅｃ処理）が行なわれていない通常のＩＰパケットであるので、アクセスポイント１０３によって破棄され、端末１０４によって受信されない。
【００８６】
つまり、端末１０４がサービス提供サーバ１０５によって送信されたパケットを受信するためには、ＩＰｓｅｃサーバ１０２を介する必要があり、サービス提供サーバ１０５に、ＩＰｓｅｃサーバ１０２のＩＰアドレスを認識させる必要がある。
【００８７】
従って、サービス提供サーバ１０５に対して端末１０４によって不正行為が行われた場合、サービス提供サーバ１０５の管理者は、アクセスポイント１０３の設置者や管理者ではなく、端末１０４によって使用されるＩＰｓｅｃサーバ１０２の管理者に対して責任を問うと考えられる。なお、サービス提供サーバ１０５に対して端末１０４によって行われる不正行為とは、具体的には、端末１０４を用いて当該端末１０４のユーザが行った不正行為である。
【００８８】
よって、アクセスポイント１０３の設置者や管理者が責任を問われる可能性を低減することができる。
【００８９】
また、本実施形態によれば、アクセスポイント１０３の設置者や管理者が、端末１０４のユーザの身元を調査することができる。
【００９０】
端末１０４がサービス提供サーバ１０５に一方的にＩＰパケットを送信するだけであれば、ＩＰｓｅｃサーバ１０２はＮＡＰＴ処理を省略することができるが、ＩＰｓｅｃサーバ１０２がＮＡＰＴ処理を省略した場合にも、上述したように、ＩＰｓｅｃサーバ１０２がＩＰパケットを中継する必要があることに変わりはない。
【００９１】
従って、アクセスポイント１０３の設置者や管理者は、端末１０４のユーザはインターネットサービスプロバイダからＩＰｓｅｃサーバ１０２の設置の認証を受けることをできる関係者であると推定して、ログ保存部２１０が記録した端末１０４のＩＰアドレスとＩＰｓｅｃサーバ１０２のＩＰアドレスとにもとづいて、端末１０４のユーザの身元を調査することができる。
【００９２】
以上に述べたように、アクセスポイント１０３がユーザの認証を行わずに利用を開放した場合であっても、不正利用の防止および不正利用者の追跡調査をすることができるので、アクセスポイント１０３の設置者は、インターネットサービスプロバイダによって認証を受けることなく安心してアクセスポイント１０３を設置することができるようになり、公衆無線ＬＡＮの利便性を向上させることができる。
【００９３】
実施形態２．
本発明によるアクセスポイントの第２の実施形態について、図面を参照して説明する。本発明の第２の実施形態のアクセスポイント７０１は、第１の実施形態のアクセスポイント１０３の各機能に加え、ＮＡＰＴ機能を有する。図７は、本発明によるアクセスポイント７０１の第２の実施形態の構成例を示すブロック図である。
【００９４】
図７に示すように、本発明の第２の実施形態のアクセスポイント７０１は、ＷＡＮ側通信部２０７とフィルタ２０６との間にＮＡＰＴ機能部７１１を含む。その他の構成は、図２に示す第１の実施形態の公衆無線ＬＡＮシステムのアクセスポイント１０３の構成と同様なため、図２と同じ符号を付し、説明を省略する。
【００９５】
なお、フィルタ２０３は、ＩＰｓｅｃ処理部２０５に、ＩＰｓｅｃパケットではなく、例えば、無線ＬＡＮ通信部２０２によってＩＰｓｅｃパケットをＵＤＰ（Ｕｓｅｒ  Ｄａｔａ  Ｐｒｏｔｏｃｏｌ）にもとづいてカプセル化された宛先ポート番号が４５００であるＵＤＰパケットを入力する機能を有する。
【００９６】
また、フィルタ２０６は、ＩＰｓｅｃ処理部２０５に、ＩＰｓｅｃパケットではなく、例えば、ＮＡＰＴ機能部７１１によってＩＰｓｅｃパケットをＵＤＰにもとづいてカプセル化された送信元ポート番号が４５００であるＵＤＰパケットを入力する機能を有する。
【００９７】
ＮＡＰＴ機能部７１１は、ＮＡＰＴ機能を有し、上り方向のパケットの送信元ＩＰアドレスと送信元ＵＤＰポート番号とを変換する。また、ＮＡＰＴ機能部７１１は、下り方向のパケットの宛先ＩＰアドレスと宛先ＵＤＰポート番号とを変換する。
【００９８】
ＤＨＣＰサーバ機能部２０８は、端末１０４に、インターネット１０１で使用可能なグローバルアドレスを割り当てる必要はなく、公衆無線ＬＡＮ１０６内でのみ使用可能なローカルアドレスを割り当ててよい。
【００９９】
なお、ＩＰｓｅｃサーバ１０２では、ＩＫＥ処理部３０２は、ＲＦＣ３９４７で定義されたＮＡＴトラバーサルの交渉を理解する機能を有し、ＩＰｓｅｃ処理部３０３は、ＮＡＴトラバーサルを終端する機能を有する。
【０１００】
本実施形態によれば、ＤＨＣＰサーバ機能部２０８が端末１０４に公衆無線ＬＡＮ１０６内でのみ使用可能なローカルアドレスを割り当てて、公衆無線ＬＡＮ１０６をローカルアドレスで運用することができる。
【０１０１】
次に、本発明の概要について説明する。図８は、本発明の概要を示すブロック図である。図８に示すように、本発明によるアクセスポイント５００は、無線ＬＡＮ通信手段（図２に示された無線ＬＡＮ通信部２０２に相当）５０１、インターネット通信手段（図２に示されたＷＡＮ側通信部２０７に相当）５０２、およびパケットフィルタリング手段（図２に示されたフィルタ２０３，２０６に相当）５０３を含む。
【０１０２】
無線ＬＡＮ通信手段５０１は、無線ＬＡＮ端末５１０とパケットを送受信する機能を有し、インターネット通信手段５０２が受信したパケットのうち、パケットフィルタリング手段５０３を通過したパケットを無線ＬＡＮ端末５１０に送信する。
【０１０３】
インターネット通信手段５０２は、インターネット５２０を介してＩＰｓｅｃサーバ５３０とパケットを送受信する機能を有し、無線ＬＡＮ通信手段５０１が受信したパケットのうち、パケットフィルタリング手段５０３を通過したパケットをＩＰｓｅｃサーバ５３０に送信する。
【０１０４】
そして、インターネット通信手段５０２によって送信されたＩＰｓｅｃパケットは、ＩＰｓｅｃサーバ５３０によって復号されて他の装置５４０に送信される。
【０１０５】
そのような構成により、アクセスポイント５００はユーザ認証を行わずに無線ＬＡＮ端末５１０とインターネット５２０に接続された他の装置５４０とのパケットの送受信を中継し、本発明は、特定のインターネットサービスプロバイダと契約等していないユーザが利用可能な利便性の高いアクセスポイントを提供することができる。
【０１０６】
また、アクセスポイント５００は、ＩＰｓｅｃサーバ５３０を介して他の装置５４０とパケットフィルタリング手段５０３を通過したパケットを送受信するので、いずれかのインターネットサービスプロバイダによってＩＰｓｅｃサーバ５３０の設置が認められた信頼できるユーザ以外のユーザによる利用を不可能にすることができる。
【０１０７】
また、アクセスポイント５００は、ＩＰｓｅｃサーバ５３０を介して、他の装置５４０とパケットを送受信するように構成され、当該他の装置５４０にパケットの送受信相手が当該ＩＰｓｅｃサーバ５３０であるように認識させるので、無線ＬＡＮ端末５１０を用いて不正行為が行われた場合には、当該他の装置５４０の管理者は当該ＩＰｓｅｃサーバ５３０の管理者に責任を問うと考えられ、当該アクセスポイント５００の設置者や管理者が責任を問われる可能性を低減することができる。
【０１０８】
上記の各実施形態には、以下のようなアクセスポイントも開示されている。
【０１０９】
パケットフィルタリング手段５０３を通過したＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとを記憶手段に記憶させるアドレス管理手段（図２に示されたテーブル管理部２０９、およびログ保存部２１０に相当）を含むアクセスポイント。そのような構成によれば、アクセスポイント５００の設置者や管理者が、無線ＬＡＮ端末５１０のユーザの身元を調査することができる。
【０１１０】
パケットフィルタリング手段５０３を通過したＩＰｓｅｃパケットのうち、記憶手段に記憶されていない送信元ＩＰアドレスのＩＰｓｅｃパケットを破棄するパケット破棄手段（図２に示されたＩＰｓｅｃパケット処理部２０５に相当）を含むアクセスポイント、およびパケットフィルタリング手段５０３を通過したＩＰｓｅｃパケットのうち、記憶手段に記憶されていない宛先ＩＰアドレスのＩＰｓｅｃパケットを破棄するパケット破棄手段（図２に示されたＩＰｓｅｃパケット処理部２０５に相当）を含むアクセスポイント。
【０１１１】
そのような構成によれば、記憶手段に記憶されていない送信元ＩＰアドレスまたは宛先ＩＰアドレスのＩＰｓｅｃパケットを破棄し、無線ＬＡＮ端末５１０のユーザによる不正利用を防止することができる。
【０１１２】
ＮＡＴトラバーサルを終端する機能を有するＩＰｓｅｃサーバ５３０を介して他の装置５４０と無線ＬＡＮ端末５１０とのパケットの送受信を中継するアクセスポイント５００であって、無線ＬＡＮ端末５１０にローカルアドレスを割り当てるアドレス割り当て手段と、ＮＡＰＴ機能を有するＩＰアドレス変換手段とを含むアクセスポイント。
【０１１３】
そのような構成によれば、アクセスポイント５００による公衆無線ＬＡＮをローカルアドレスで運用することができる。
【０１１４】
以上に述べたように、本発明によれば、アクセスポイント５００はユーザ認証を行わずに無線ＬＡＮ端末５１０とインターネット５２０に接続された他の装置５４０とのパケットの送受信を中継するので、特定のインターネットサービスプロバイダと契約等していないユーザが利用可能な利便性の高いアクセスポイントを提供することができる。
【０１１５】
また、アクセスポイント５００は、ＩＰｓｅｃサーバ５３０を介して他の装置５４０とパケットを送受信するので、いずれかのインターネットサービスプロバイダによってＩＰｓｅｃサーバ５３０の設置が認められた信頼できるユーザ以外のユーザによる利用を不可能にすることができる。
【０１１６】
また、アクセスポイント５００は、ＩＰｓｅｃサーバ５３０を介して他の装置５４０とパケットを送受信するように構成され、当該他の装置５４０にパケットの送受信相手が当該ＩＰｓｅｃサーバ５３０であるように認識させるので、無線ＬＡＮ端末５１０を用いて不正行為が行われた場合には、当該他の装置５４０の管理者は当該ＩＰｓｅｃサーバ５３０の管理者に責任を問うと考えられ、当該アクセスポイント５００の設置者や管理者が責任を問われる可能性は低い。
【産業上の利用可能性】
【０１１７】
本発明を、公衆無線ＬＡＮに用いられるアクセスポイントに適用することができる。
【符号の説明】
【０１１８】
１０１，５２０  インターネット
１０２，５３０  ＩＰｓｅｃサーバ
１０３，５００，７０１  アクセスポイント
１０４，５１０  端末
１０５  サービス提供サーバ
１０６  公衆無線ＬＡＮ
２０２  無線ＬＡＮ通信部
２０３，２０６  フィルタ
２０４  ＩＫＥパケット処理部
２０５  ＩＰｓｅｃパケット処理部
２０７  ＷＡＮ側通信部
２０８  ＤＨＣＰサーバ機能部
２０９  テーブル管理部
２１０  ログ保存部
３０２  ＩＫＥ処理部
３０３  ＩＰｓｅｃ処理部
３０４  ＮＡＴ処理部
３０５，３０６  インターネット接続部
５０１  無線ＬＡＮ通信手段
５０２  インターネット通信手段
５０３  パケットフィルタリング手段
５４０  他の装置
７１１  ＮＡＰＴ機能部
【図１】
2011119947.tif 000003
【図２】
2011119947.tif 000004
【図３】
2011119947.tif 000005
【図４】
2011119947.tif 000006
【図５】
2011119947.tif 000007
【図６】
2011119947.tif 000008
【図７】
2011119947.tif 000009
【図８】
2011119947.tif 000010