(57)【特許請求の範囲】
【請求項１】
ゲストユーザが操作する端末装置と通信する第１の通信部と、
ネットワークを介して通信する第２の通信部と、
前記端末装置からのアクセスに対して、認証情報を入力する認証画面を前記第１の通信部を介して前記端末装置に送信する認証部と、
前記端末装置から前記第１の通信部を介してなされた任意の宛先の通信を前記認証部に接続させる接続誘導部と、
前記接続誘導部により前記認証部に接続され前記認証画面を送信された前記端末装置から出力された、該認証画面に前記ゲストユーザにより入力された前記認証情報を表示する表示部と、
ユーザ情報が登録されたホストユーザからのユーザ入力を受け付ける入力部と、
前記表示に応じて前記入力部に受け付けられた前記ユーザ入力に従い、前記端末装置に対して前記第２の通信部を介した前記ネットワークへの接続を許可する接続制御部と
を備える通信システム。
【請求項２】
前記接続制御部は、
前記接続を許可してから予め定められた時間の経過後に前記第２の通信部を介した接続を終了させる
請求項１に記載の通信システム。
【請求項３】
前記認証部は、
画像により前記認証情報を入力する前記認証画面を送信する
請求項１または請求項２に記載の通信システム。
【請求項４】
前記認証部は、
指示に従い前記第１の通信部による通信の開始および終了を制御する
請求項１乃至請求項３の何れか１項に記載の通信システム。
【請求項５】
前記接続誘導部は、
前記端末装置から前記第１の通信部を介してなされた要求に応じて該端末装置の前記ネットワーク上での位置を示す位置情報を該端末装置に送信し、該位置情報からなされた前記任意の宛先の通信を前記認証部に接続させる
請求項１乃至請求項４の何れか１項に記載の通信システム。
【請求項６】
前記接続制御部は、
前記第２の通信部を介した通信を行うために必要な情報を前記接続を許可する毎にランダムに生成して、前記接続を許可した前記端末装置に対して送信する
請求項１乃至請求項５の何れか１項に記載の通信システム。
【請求項７】
前記接続制御部は、
前記入力部にユーザ入力を行うユーザのアクセスレベルを複数のアクセスレベルから選択可能である
請求項１乃至請求項６の何れか１項に記載の通信システム。
【請求項８】
前記接続制御部は、
前記端末装置に対する前記第２の通信部を介した前記ネットワークへの接続を許可するための通信を、保護された通信により行う
請求項１乃至請求項７の何れか１項に記載の通信システム。
【請求項９】
ゲストユーザが操作する端末装置と通信する第１の通信部と、ネットワークを介して通信する第２の通信部と、を備える通信システムにおける通信方法であって、
前記通信システムの接続誘導部が、前記端末装置から前記第１の通信部を介してなされた任意の宛先の通信を認証部に接続させる接続誘導ステップと、
前記通信システムの前記認証部が、前記端末装置からのアクセスに対して認証情報を入力する認証画面を前記第１の通信部を介して前記端末装置に送信する送信ステップと、
前記通信システムの表示部が、前記接続誘導ステップにより前記認証部に接続され前記認証画面を送信された前記端末装置から出力された、該認証画面に前記ゲストユーザにより入力された前記認証情報を表示する表示ステップと、
前記通信システムの接続表示部が、前記表示に応じて受け付けられたユーザ情報が登録されたホストユーザからのユーザ入力に従い、前記端末装置に対して前記第２の通信部を介した前記ネットワークへの接続を許可する接続制御ステップと
を含む通信方法。
【請求項１０】
ゲストユーザが操作する端末装置からのアクセスに対して認証情報を入力する認証画面を、第１の通信部を介して前記端末装置に送信する認証部と、
前記端末装置から前記第１の通信部を介してなされた任意の宛先の通信を前記認証部に接続させる接続誘導部と、
前記接続誘導部により前記認証部に接続され前記認証画面を送信された前記端末装置から出力された、該認証画面に前記ゲストユーザにより入力された前記認証情報の表示に応じて受け付けられたユーザ情報が登録されたホストユーザからのユーザ入力に従い、前記端末装置に対して第２の通信部を介したネットワークへの接続を許可する接続制御部と
を備える通信装置。
【請求項１１】
通信装置に、
ゲストユーザが操作する端末装置から第１の通信部を介してなされた任意の宛先の通信を認証部に接続させる接続誘導ステップと、
前記認証部が前記端末装置からのアクセスに対して認証情報を入力する認証画面を前記第１の通信部を介して前記端末装置に送信する送信ステップと、
前記接続誘導ステップにより前記認証部に接続され前記認証画面を送信された前記端末装置から出力された、該認証画面に前記ゲストユーザにより入力された前記認証情報を表示する表示ステップと、
前記表示に応じて受け付けられたユーザ情報が登録されたホストユーザからのユーザ入力に従い、前記端末装置に対して第２の通信部を介したネットワークへの接続を許可する接続制御ステップと
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、通信方法、通信装置およびプログラムに関する。
【背景技術】
【０００２】
近年では、企業など組織体内において無線ＬＡＮ(Local  Area  Network)を含むＬＡＮを構築し、組織体内で使用する各情報機器や、ＭＦＰ(Multi  Function  Printer)、プロジェクタ装置といった各機器をＬＡＮを介して互いに接続することが、一般的に行われている。このような組織体内で構築されるＬＡＮを、組織内ＬＡＮと呼ぶ。組織内ＬＡＮに対して組織体外の情報機器を接続させる場合、当該情報機器が接続される際に認証処理を行い、認証が成功した場合に、当該情報機器から組織内ＬＡＮに接続される各機器を利用可能とするのが一般的である。
【０００３】
無線ＬＡＮ接続の際の認証処理を容易とするための技術として、ＷＰＳ(Wi-Fi（登録商標）  Protected  Setup)やＡＯＳＳ(登録商標：AirStation  One-Touch  Secure  System)が知られている。また、特許文献１には、アクセスポイントが、非制限状態において無線端末と通信を確立してセキュリティ通信を行うための設定プログラムを無線端末に送信した後に、状態を制限状態に切り替えることで、無線端末に設定情報を容易に設定可能とした技術が開示されている。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
組織体内ＬＡＮに対して組織体外のゲストユーザが所持する情報機器を接続させる際に、ゲストユーザの情報機器に対する接続の可否を、当該ゲストユーザに対して直接的な応対を行う組織体内のホストユーザの意志に従い柔軟に制御したい場合がある。しかしながら、従来の技術では、ゲストユーザによる接続は容易であるが、接続の可否をホストユーザが制御することが容易ではなかったという問題点があった。
【０００５】
例えば、従来では、ホストユーザは、接続可否の制御を行うためには、アクセスポイントに対して設定の変更操作を行う必要があった。そのため、従来では、個別に接続可否の制御を行う対象のゲストユーザが多数存在するような場合は、その操作が非常に煩雑になるおそれがあった。
【０００６】
本発明は、上記を鑑みてなされたものであって、組織体外のユーザの情報機器を、組織体内のネットワークに、セキュリティを保ちつつ容易に接続可能とすることを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明は、ゲストユーザが操作する端末装置と通信する第１の通信部と、ネットワークを介して通信する第２の通信部と、端末装置からのアクセスに対して、認証情報を入力する認証画面を第１の通信部を介して端末装置に送信する認証部と、端末装置から第１の通信部を介してなされた任意の宛先の通信を認証部に接続させる接続誘導部と、接続誘導部により認証部に接続され認証画面を送信された端末装置から出力された、認証画面にゲストユーザにより入力された認証情報を表示する表示部と、ユーザ情報が登録されたホストユーザからのユーザ入力を受け付ける入力部と、表示に応じて入力部に受け付けられたユーザ入力に従い、端末装置に対して第２の通信部を介したネットワークへの接続を許可する接続制御部とを備える。
【発明の効果】
【０００８】
本発明によれば、組織体外のユーザの情報処理機器を、組織体内のネットワークに、セキュリティを保ちつつ容易に接続可能となるという効果を奏する。
【図面の簡単な説明】
【０００９】
【図１】図１は、第１の実施形態に適用可能なネットワークシステムの一例の構成を示すブロック図である。
【図２】図２は、第１の実施形態に適用可能な通信制御装置の一例の構成を示すブロック図である。
【図３】図３は、第１の実施形態に係る通信制御装置の機能を示す一例の機能ブロック図である。
【図４】図４は、第１の実施形態に適用可能なゲスト端末の一例の構成を示すブロック図である。
【図５】図５は、第１の実施形態に係るゲスト端末の機能を示す一例の機能ブロック図である。
【図６】図６は、第１の実施形態に適用可能なホスト端末の機能を示す一例の機能ブロック図である。
【図７】図７は、第１の実施形態に係る、管理端末からゲスト端末の通信環境を設定するための通信管理画面の一例を示す図である。
【図８】図８は、第１の実施形態に係る、ゲスト端末のネットワークへの接続処理の例を示すシーケンス図である。
【図９】図９は、ホスト端末が通信制御装置にログインするためのログイン画面の例を示す図である。
【図１０】図１０は、第１の実施形態に係る、ゲスト端末から利用可能な機器を登録するための利用機器登録画面の例を示す図である。
【図１１】図１１は、第１の実施形態に係る、アイコン画像を用いた利用機器登録画面の例を示す図である。
【図１２】図１２は、第１の実施形態に係る、ゲスト端末に表示される認証情報入力画面の例を示す図である。
【図１３】図１３は、第１の実施形態に係る、ホスト端末に表示される認証画面の一例を示す図である。
【図１４】図１４は、第１の実施形態の第１の変形例に係るネットワークシステムの一例の構成を示すブロック図である。
【図１５】図１５は、第１の実施形態の第２の変形例に係るネットワークシステムの一例の構成を示すブロック図である。
【図１６】図１６は、第２の実施形態に係る通信制御装置の機能を示す一例の機能ブロック図である。
【発明を実施するための形態】
【００１０】
以下に添付図面を参照して、通信システム、通信方法、通信装置およびプログラムの実施形態を詳細に説明する。
【００１１】
（第１の実施形態）
図１は、第１の実施形態に適用可能なネットワークシステムの一例の構成を示す。図１において、ネットワークシステム１ａは、各情報機器１１ａ、１１ｂ、１１ｃ、…と、管理サーバ１２と、通信制御装置２０と、ホスト端末３２とを含み、これら各情報機器１１ａ、１１ｂ、１１ｃ、…と、通信制御装置２０と、ホスト端末３２とがネットワーク１０に互いに通信可能に接続されて構成される。また、通信制御装置２０は、認証用アクセスポイント（ＡＰ）４０とゲスト用ＡＰ４１とが接続される。認証用ＡＰ４０およびゲスト用ＡＰ４１は、それぞれゲスト端末３０により無線通信によりアクセスされる。
【００１２】
ネットワーク１０は、例えば、ＴＣＰ／ＩＰ(Transmission  Control  Protocol/Internet  Protocol)をプロトコルとして用いて通信を行うネットワークシステムであって、企業など組織体内で閉じた構成とされる組織内ＬＡＮである。管理サーバ１２は、ネットワーク１０に接続可能なユーザの情報と、ネットワーク１０に接続される各情報機器１１ａ、１１ｂ、１１ｃ、…の情報とを管理する。管理サーバ１２に管理されるユーザ情報は、少なくともユーザ名とパスワードとを含む。管理サーバ１２にユーザ情報が登録されたユーザを、以下、ホストユーザと呼ぶ。また、管理サーバ１２に管理される機器情報は、少なくとも、機器に与えられた名前と、機器のネットワーク１０上でのＩＰアドレスと、機器の種類を示す情報とを含む。
【００１３】
なお、図１の例では、情報機器１１ａ、１１ｂおよび１１ｃは、それぞれ電子黒板（ＩＷＢ）、プロジェクタおよびＭＦＰ(Multi  Function  Printer)となっている。ネットワーク１０に接続される情報機器は、これらＩＷＢ、プロジェクタおよびＭＦＰに限定されない。
【００１４】
認証用ＡＰ４０およびゲスト用ＡＰ４１は、例えばＩＥＥＥ(Institute  of  Electrical  and  Electronics  Engineers)  ８０２．１１規格に準拠した無線ＬＡＮによるアクセスポイントであるものとする。以下、このＩＥＥＥ  ８０２．１１規格に準拠した無線ＬＡＮを、ＩＥＥＥ  ８０２．１１機器に関する業界団体であるＷｉ−Ｆｉ（登録商標）  Ａｌｌｉａｎｃｅによる相互接続性の認定の名称であるＷｉ−Ｆｉ（登録商標）と呼ぶ。
【００１５】
ここで、認証用ＡＰ４０は、Ｗｉ−Ｆｉ（登録商標）による接続において、暗号化鍵の受け渡しなどの認証処理を行うこと無く接続可能なアクセスポイントである。一方、ゲスト用ＡＰ４１は、認証処理により認証された端末装置のみがＷｉ−Ｆｉ（登録商標）による接続が可能とされるアクセスポイントである。例えば、ゲスト用ＡＰ４１は、Ｗｉ−Ｆｉ  Ａｌｌｉａｎｃｅ（登録商標）が推奨するＷＰＡ(Wi-Fi  Protected  Access)２  Ｐｅｒｓｏｎａｌ（登録商標）の暗号化方式に従い暗号化された情報の通信を行う。
【００１６】
ゲスト端末３０は、認証用ＡＰ４０を介した通信では、ネットワーク１０との間での通信は行えない。ゲスト端末３０は、ゲスト用ＡＰ４１を介することで、ネットワーク１０との間で通信を行うことができる。すなわち、認証用ＡＰ４０およびゲスト用ＡＰ４１は、それぞれ、ゲスト端末３０が通信を行うための第１の通信部および第２の通信部である。
【００１７】
ホスト端末３２は、ホストユーザが使用する端末装置であり、ゲスト端末３０は、組織体外のユーザ（以下、ゲストユーザと呼ぶ）が使用する端末装置である。通信制御装置２０は、ゲスト端末３０のネットワーク１０への接続を制御する。
【００１８】
このような構成において、ゲスト端末３０は、ネットワーク１０との間での通信を行いたい場合、先ず認証用ＡＰ４０を介してネットワークシステム１ａと通信して認証処理を行う。ゲスト端末３０は、この認証処理による認証が成功した場合に、ゲスト用ＡＰ４１を介した通信により、ネットワーク１０との間での通信が可能となる。
【００１９】
より具体的には、ゲスト端末３０は、先ず、認証用ＡＰ４０と接続し、認証用ＡＰ４０を介して通信制御装置２０と通信を行う。通信制御装置２０は、この通信に応じて、認証情報を入力するための認証画面をゲスト端末３０に送信する。ゲスト端末３０において、ゲスト端末３０を操作するゲストユーザは、この認証画面に対して所定の認証情報を入力し、入力された認証情報を認証用ＡＰ４０を介して通信制御装置２０に送信する。
【００２０】
通信制御装置２０は、ゲスト端末３０から送信された認証情報をホスト端末３２に送信する。ホスト端末３２は、通信制御装置２０から送信された認証情報を表示デバイスに表示させる。ホスト端末３２を使用するホストユーザは、この認証情報の表示を確認して、ホスト端末３２に対してゲスト端末３０を認証する操作を行う。この操作に応じて、ホスト端末３２は、認証結果を通信制御装置２０に送信する。通信制御装置２０は、この認証結果に応じて、ゲスト用ＡＰ４１に接続するための接続情報を、ゲスト端末３０から取得可能な状態とする。
【００２１】
ゲスト端末３０は、通信制御装置２０から接続情報を取得することで、ゲスト用ＡＰ４１と通信を行うことが可能となり、これにより、ゲスト用ＡＰ４１を介してネットワーク１０と通信を行うことが可能となる。例えば、ゲスト端末３０は、ネットワーク１０を介して各情報機器１１ａ、１１ｂ、１１ｃ、…と通信を行い、各情報機器１１ａ、１１ｂ、１１ｃ、に対して画像の表示や印刷などを実行させることができる。
【００２２】
（第１の実施形態に係るより具体的な構成）
図２は、第１の実施形態に適用可能な通信制御装置２０の一例の構成を示す。図２において、通信制御装置２０は、ＣＰＵ(Central  Processing  Unit)２０１と、ＲＯＭ(Read  Only  Memory)２０２と、ＲＡＭ(Random  Access  Memory)２０３と、ストレージ２０４と、通信Ｉ／Ｆ２０５と、データＩ／Ｆ２０６とを備え、これら各部が、バス２００を介して互いに通信可能に接続される。ストレージ２０４は、情報を不揮発的に記憶可能な記憶媒体であり、ハードディスクドライブや不揮発性の半導体メモリ（フラッシュメモリなど）を用いることができる。
【００２３】
ＣＰＵ２０１は、ストレージ２０４やＲＯＭ２０２に予め記憶されたプログラムに従い、ＲＡＭ２０３をワークメモリとして用いて、この通信制御装置２０全体の動作を制御する。通信Ｉ／Ｆ２０５は、ＣＰＵ２０１の指示に従い、ネットワーク１０との通信を制御する。データＩ／Ｆ２０６は、他の機器とデータの送受信を行うためのインタフェースであって、例えばＵＳＢ(Universal  Serial  Bus)を適用することができる。これに限らず、データＩ／Ｆ２０６としてＢｌｕｅｔｏｏｔｈ（登録商標）といった比較的近距離を対象とした無線通信によりデータ送受信を行うインタフェースをデータＩ／Ｆ２０６として用いてもよい。
【００２４】
通信制御装置２０は、このように、一般的なコンピュータを用いて構成することができる。勿論、通信制御装置２０は、ユーザ入力を受け付ける入力デバイスや、ユーザに対して情報を提示する表示デバイスをさらに備えてもよい。また、通信制御装置２０は、１台のコンピュータで構成するのに限らず、複数のコンピュータを分散的に動作させて構成してもよい。
【００２５】
なお、認証用ＡＰ４０およびゲスト用ＡＰ４１は、例えばデータＩ／Ｆ２０６に接続される。一例として、認証用ＡＰ４０およびゲスト用ＡＰ４１をＵＳＢドングルとして構成し、データＩ／Ｆ２０６に接続することができる。このとき、認証用ＡＰ４０およびゲスト用ＡＰ４１は、それぞれ独立したハードウェアで構成してもよいし、共通のハードウェアで構成してもよい。認証用ＡＰ４０およびゲスト用ＡＰ４１を共通のハードウェアで構成する場合には、認証用ＡＰ４０およびゲスト用ＡＰ４１の機能をＣＰＵ２０１上で動作するプログラムにより切り替えることが可能である。また、認証用ＡＰ４０およびゲスト用ＡＰ４１を、それぞれ通信Ｉ／Ｆ２０５に接続するようにしてもよい。
【００２６】
図３は、第１の実施形態に係る通信制御装置２０の機能を示す一例の機能ブロック図である。図３において、通信制御装置２０は、全体制御部２１１と、接続誘導部２１２と、認証・接続制御部２１３と、通信制御部２１４とを含む。これら全体制御部２１１、接続誘導部２１２、認証・接続制御部２１３および通信制御部２１４は、ＣＰＵ２０１上で動作するプログラムにより構成される。これに限らず、全体制御部２１１、接続誘導部２１２、認証・接続制御部２１３および通信制御部２１４の一部または全部を、互いに協働して動作するハードウェアにより構成してもよい。
【００２７】
全体制御部２１１は、通信制御装置２０の各機能を全体的に制御する。接続誘導部２１２は、任意の宛先（ＵＲＬ(Uniform  Resource  Locator)）への通信を、特定の宛先に強制的に誘導する。ここで、任意の宛先は、ネットワーク１０上の各情報機器１１ａ、１１ｂ、１１ｃ、…に対する宛先を含む。接続誘導部２１２としては、既知のキャプティブポータル(Captive  Portal)の技術を適用することができる。キャプティブポータルは、ＨＴＴＰ(Hypertext  Transfer  Protocol)クライアントがネットワークを利用する際に、ネットワーク上の特定のＷｅｂサイトへの参照を強制する技術である。
【００２８】
また接続誘導部２１２は、ＤＨＣＰ(Dynamic  Host  Configuration  Protocol)の機能を備え、要求に応じて対象の機器などにＩＰアドレスを割り当てることができる。
【００２９】
通信制御部２１４は、通信Ｉ／Ｆ２０５による通信を制御する。認証・接続制御部２１３は、通信制御部２１４、認証用ＡＰ４０およびゲスト用ＡＰ４１間での通信経路の制御を行う接続制御部としての機能を備える。また、認証・接続制御部２１３は、認証用ＡＰ４０を介してなされる認証処理を制御する認証部としての機能も備える。
【００３０】
これら全体制御部２１１、接続誘導部２１２、認証・接続制御部２１３および通信制御部２１４は、例えばストレージ２０４上に記憶され、ＣＰＵ２０１上で動作する認証制御プログラムにより実現される。この認証制御プログラムは、インストール可能な形式また実行可能な形式のファイルでＣＤ(Compact  Disk)、フレキシブルディスク（ＦＤ）、ＤＶＤ(Digital  Versatile  Disk)などのコンピュータで読み取り可能な記録媒体に記録されて提供される。
【００３１】
また、第１の実施形態の通信制御装置２０で実行される認証制御プログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、当該ネットワークを介してダウンロードさせることにより提供するように構成してもよい。また、第１の実施形態の通信制御装置２０で実行されるプログラムをインターネットなどのネットワークを経由して提供または配布するように構成してもよい。さらに、第１の実施形態の認証制御プログラムを、ＲＯＭ２０２などに予め組み込んで提供するように構成してもよい。
【００３２】
第１の実施形態の通信制御装置２０で実行される認証制御プログラムは、上述した各部（全体制御部２１１、接続誘導部２１２、認証・接続制御部２１３および通信制御部２１４）を含むモジュール構成となっている。実際のハードウェアとしては、ＣＰＵ２０１がストレージ２０４やＲＯＭ２０２などの記憶媒体から当該認証制御プログラムを読み出して実行することにより、上述した各部がＲＡＭ２０３などの主記憶装置上にロードされ、全体制御部２１１、接続誘導部２１２、認証・接続制御部２１３および通信制御部２１４が主記憶装置上に生成されるようになっている。
【００３３】
図４は、第１の実施形態に適用可能なゲスト端末３０の一例の構成を示す。ゲスト端末３０は、例えば一般的なコンピュータにより構成され、ＣＰＵ３０１と、ＲＯＭ３０２と、ＲＡＭ３０３と、表示デバイス３０４と、ストレージ３０５と、入力デバイス３０６と、データＩ／Ｆ３０７と、通信Ｉ／Ｆ３０８とを備え、これら各部がバス３００により互いに通信可能に接続される。ストレージ３０５は、例えばハードディスクドライブやフラッシュメモリといった、情報を不揮発的に記憶可能な記憶媒体である。ＣＰＵ３０１は、ストレージ３０５やＲＯＭ３０２に予め記憶されたプログラムに従い、ＲＡＭ３０３をワークメモリとして用いて、このゲスト端末３０の全体の動作を制御する。
【００３４】
表示デバイス３０４は、例えばＬＣＤ(Liquid  Crystal  Display)による表示素子と、ＣＰＵ３０１により生成された表示制御信号に従い表示素子を駆動する駆動部とを含む。入力デバイス３０６は、例えば表示デバイス３０４と一体的に形成されたタッチパネルであって、手指などが接触した位置に応じた信号を出力する入力素子と、入力素子から出力された信号をＣＰＵ３０１が解釈可能な情報に変換する入力制御部とを含む。入力デバイス３０６は、タッチパネルに限られず、マウスなどのポインティングデバイスと、キーボードとにより構成してもよい。
【００３５】
データＩ／Ｆ３０７は、外部の機器との間でデータの送受信を行うためのインタフェースであって、例えばＵＳＢやＢｌｕｅｔｏｏｔｈ（登録商標）などを適用することができる。通信Ｉ／Ｆ３０８は、ＣＰＵ３０１の指示に従い、Ｗｉ−Ｆｉ（登録商標）による無線通信を制御する。
【００３６】
なお、ホスト端末３２は、ゲスト端末３０と同様の構成にて実現できるので、ここでの説明を省略する。
【００３７】
図５は、第１の実施形態に係るゲスト端末３０の機能を示す一例の機能ブロック図である。図５において、ゲスト端末３０は、入力部３１１と、表示部３１２と、全体制御部３１３と、通信制御部３１４とを含む。これら入力部３１１、表示部３１２、全体制御部３１３および通信制御部３１４は、ＣＰＵ３０１上で動作するプログラムにより構成される。
【００３８】
入力部３１１は、入力デバイス３０６に対する入力を受け付け、入力により指定された位置に従った処理を行う。表示部３１２は、表示デバイス３０４に表示させるための表示制御情報を生成する。通信制御部３１４は、通信Ｉ／Ｆ３０８を制御して、ゲスト端末３０の認証に係る通信を行う。全体制御部３１３は、ゲスト端末３０の各機能を全体的に制御する。
【００３９】
ここでは、ゲスト端末３０は、例えばネットワーク上の情報を閲覧するためのブラウザアプリケーション（以下、ブラウザと呼ぶ）が搭載されるものとする。入力部３１１、表示部３１２および通信制御部３１４は、例えば、このブラウザ上で実現される機能である。一例として、ブラウザは、ゲスト端末３０によりネットワークを介してアクセスしたサーバから提供されるプログラムに従い、これら入力部３１１、表示部３１２および通信制御部３１４の機能を実現することができる。また、全体制御部３１３は、このゲスト端末３０の全体の動作を制御するプログラムであるＯＳ(Operating  System)上で実現される機能である。
【００４０】
これに限らず、入力部３１１、表示部３１２、全体制御部３１３および通信制御部３１４を、ゲスト端末３０に搭載されたアプリケーションプログラムにより構成してもよいし、これらを互いに協働して動作するハードウェアにより構成してもよい。
【００４１】
図６は、第１の実施形態に適用可能なホスト端末３２の機能を示す一例の機能ブロック図である。図６において、ホスト端末３２は、入力部３２１と、表示部３２２と、全体制御部３２３とを含む。これら入力部３２１、表示部３２２および全体制御部３２３は、ホスト端末３２が備えるＣＰＵ上で動作するプログラムにより構成される。
【００４２】
上述のゲスト端末３０と同様に、ホスト端末３２にもブラウザが搭載され、入力部３２１および表示部３２２の機能は、ブラウザ上で実現される。これら入力部３２１および表示部３２２の機能は、ゲスト端末３０における入力部３１１および表示部３１２の機能と同等なので、ここでの詳細な説明を省略する。また、全体制御部３２３の機能は、ホスト端末３２に搭載されるＯＳ上で実現される機能である。この全体制御部３２３の機能も、上述したゲスト端末３０における全体制御部３１３の機能と同等なので、ここでの詳細な説明を省略する。
【００４３】
これに限らず、入力部３２１、表示部３２２および全体制御部３２３を、ホスト端末３２に搭載されたアプリケーションプログラムにより構成してもよいし、これらを互いに協働して動作するハードウェアにより構成してもよい。
【００４４】
（第１の実施形態に係る認証処理）
次に、第１の実施形態に係る、ゲスト端末３０の認証処理の例について、より詳細に説明する。ゲスト端末３０の認証処理を行うに当たり、ゲスト端末３０の通信環境を予め設定する。例えば、ネットワークシステム１ａのシステム管理者は、ネットワーク１０に接続される管理端末から、ゲスト端末３０の通信環境を設定するための通信管理画面を用いてゲスト端末３０の通信環境を設定する。図７は、この通信管理画面の一例を示す。
【００４５】
図７において、通信管理画面４２０は、領域４２１、４２２および４２３と、設定ボタン４２４およびキャンセルボタン４２５とを含む。領域４２１では、入力部４２１０が含まれ、ゲスト端末３０に対する無線通信に関する設定および表示が行われる。領域４２１において、無線ＬＡＮおよび近距離無線が有効とされている。これらの設定は、別途で予め設定される。
【００４６】
領域４２１において、入力部４２１０は、ゲスト端末３０用の無線ＬＡＮの設定をランダム設定するか否かを指定する。入力部４２１０において、ランダム設定を指定することで、例えば、通信制御装置２０は、ゲスト用ＡＰ４１に接続する際に用いる接続設定ファイルのファイル名を、ゲスト端末３０の接続毎にランダムに生成することができる。これにより、ゲスト用ＡＰ４１を介した通信のセキュリティを向上させることができる。これに限らず、ゲスト用ＡＰ４１に接続する際に用いるパスワードを、ゲスト端末３０の接続毎にランダムに生成することもできる。
【００４７】
領域４２２は、入力部４２２１〜４２２３が含まれ、ゲスト用ＡＰ４１に対する固定接続情報が設定される。入力部４２２１は、ゲスト用ＡＰ４１のＳＳＩＤ(Service  Set  Identifier)を設定する。入力部４２２２は、ゲスト用ＡＰ４１の認証方式および暗号方式を指定し、セキュリティ設定を行う。入力部４２２３は、ゲスト用ＡＰ４１のための暗号化鍵であるＰＳＫ(Pre-Shared  Key)を設定する。
【００４８】
領域４２３は、入力部４２３１〜４２３６が含まれ、管理者権限が設定される。入力部４２３１は、無線ＬＡＮによるネットワーク１０への接続をゲスト端末３０に許可するか否かを設定する。
【００４９】
入力部４２３２は、ＷＰＳ(登録商標：Wi-Fi  Protected  Setup)やキャプティブポータルを利用したゲスト端末３０のアクセスに対する許可権限を与える対象を指定する。例えば、入力部４２３２において「招待者」を指定することで、ゲストユーザをネットワークシステム１ａに招待したホストユーザを、許可権限を与える対象とする。この場合、具体的には、ホスト端末３２からネットワークシステム１ａにログインしたホストユーザに対して許可権限を与えることになる。
【００５０】
この入力部４２３２では、ゲスト端末３０のアクセスに対する許可権限を与える対象を、複数のアクセスレベルから選択することができる。一例として、第１のアクセスレベルを、ゲストユーザに対して各情報機器１１ａ、１１ｂ、１１ｃ、…の利用を一時的に許可するアクセス権限のレベル（図７の例「招待者」）とする。また、第１のアクセスレベルより高い第２のアクセスレベルを、ネットワーク１０の設定やゲスト用ＡＰ４１による無線ＬＡＮの設定などを変更可能なアクセス権限のレベル（例えば「運用者」）とする。入力部４２３２において、これら「招待者」および「運用者」から、ゲスト端末３０のアクセスに対する許可権限を与える対象を選択する。
【００５１】
入力部４２３３は、ゲスト端末３０の近距離無線通信によるネットワーク１０への簡単セットアップを許可するか否かを設定する。
【００５２】
入力部４２３４は、ゲスト端末３０がゲスト用ＡＰ４１に接続を開始してからの、接続時間の上限を設定する。入力部４２３５は、ゲスト端末３０のネットワーク１０への接続を、時間で終了させるか否かを設定する。例えば、ネットワークシステム１ａは、入力部４２３５において「する」が設定された場合、ゲスト端末３０がゲスト用ＡＰ４１に接続開始してからの接続時間が、入力部４２３４にて設定された上限に達した場合に、ゲスト端末３０に対するネットワーク１０への接続を終了させる。
【００５３】
入力部４２３６は、ネットワーク１０に接続したゲスト端末３０が利用可能な機器の登録を、ネットワークシステム１ａの管理者に限定するか否かを設定する。入力部４２３６において、「しない」を指定することで、利用可能機器登録を、ホスト端末３２からネットワークシステム１ａにログインしたホストユーザからも実行可能とすることができる。
【００５４】
設定ボタン４２４は、上述のように通信管理画面４２０に対して設定された各設定内容を、ネットワークシステム１ａに設定する。例えば、管理端末は、設定ボタン４２４に対する操作に応じて、通信管理画面４２０に対して設定された各設定内容を、管理サーバ１２に登録する。キャンセルボタン４２５は、通信管理画面４２０に対してなされた各設定をキャンセルし、この通信管理画面４２０を閉じる。
【００５５】
次に、第１の実施形態に係る、ゲスト端末３０のネットワーク１０への接続処理の例について、図８のシーケンス図を用いてより詳細に説明する。なお、図８において、上述した図１および図３と共通する部分には同一の符号を付して、詳細な説明を省略する。図８において、無線ＬＡＮ制御モジュール２１５は、通信制御装置２０に含まれる機能であって、認証用ＡＰ４０およびゲスト用ＡＰ４１の動作を制御する。無線ＬＡＮ制御モジュール２１５は、通信制御装置２０のＣＰＵ２０１上で動作するプログラムにより実現される。
【００５６】
図８のシーケンス図による処理の開始に先立って、ホストユーザからゲストユーザに対して、ホストユーザがゲストユーザを認証するための認証情報が何らかの方法で伝えられる。第１の実施形態では、ホストユーザ本人からゲストユーザ本人に対して、識別情報が直接的に通知される。識別情報を通知する方法は、特に限定されず、口頭でもよいし、メモなどでもよい。識別情報を、電子メールなどを用いて通知してもよい。識別情報の通知は、ゲスト端末３０がネットワーク１０に接続する毎に行うようにすると、好ましい。
【００５７】
また、ホスト端末３２は、予め、ネットワーク１０に対して通信可能に接続されているものとする。
【００５８】
ステップＳ１００で、ホスト端末３２は、ホストユーザの操作に従い通信制御装置２０にログインする。例えば、ホスト端末３２は、ホストユーザの操作に従い通信制御装置２０にアクセスする。通信制御装置２０は、ホスト端末３２に対して、通信制御装置２０にログインするためのログイン画面を送信する。図９は、このログイン画面の一例を示す。図９において、ログイン画面４００は、それぞれユーザ名およびパスワードを入力するための入力部４０１および４０２と、通信制御装置２０に対してログインを要求するためのログインボタン４０３と、ログイン処理をキャンセルするキャンセルボタン４０４とを備える。
【００５９】
ホスト端末３２は、通信制御装置２０から送信されたログイン画面４００を、表示部３２２により表示デバイス上に表示させる。ホストユーザは、ホスト端末３２に表示されたログイン画面４００に従いユーザ名およびパスワードを入力し、ログインボタン４０３を操作する。ホスト端末３２は、このログインボタン４０３の操作に応じて、入力されたユーザ名およびパスワードを認証情報として通信制御装置２０に送信する。通信制御装置２０は、ホスト端末３２から送信された認証情報に対して認証処理を行う。
【００６０】
例えば、通信制御装置２０は、ホスト端末３２から送信された認証情報を管理サーバ１２に渡す。管理サーバ１２は、通信制御装置２０から渡された認証情報と一致する認証情報が登録されているか否かを判定し、登録されていると判定した場合に、認証成功を通信制御装置２０に通知する。
【００６１】
このとき、管理サーバ１２は、通信制御装置２０から渡された認証情報に基づき、当該認証情報に係るユーザの権限が、図７の入力部４２３２で選択されたアクセスレベルに対応するか否かを確認することができる。管理サーバ１２は、例えば、認証情報に係るユーザの権限が、図７の入力部４２３２で選択されたアクセスレベルに対応すると確認した場合に、認証が成功したと判定する。
【００６２】
通信制御装置２０は、管理サーバ１２から認証成功の通知を受け取ると、ステップＳ１０１で、ホスト端末３２に対してホスト用画面を送信する。ホスト用画面は、ゲスト端末３０に利用可能とさせる情報機器を登録するための利用機器登録画面を含む。通信制御装置２０は、ホスト端末３２に対して、ホスト用画面と共に、ホスト用画面において諸設定および登録に用いるための情報を送信する。
【００６３】
一例として、通信制御装置２０は、ストレージ２０４などに予め記憶された、通信管理画面において通信環境を設定するための各情報を、ホスト用画面と共にホスト端末３２に送信する。さらに、通信制御装置２０は、管理サーバ１２から、利用機器登録画面において情報機器を選択するための情報機器のリストを取得し、取得した情報機器リストを、ホスト用画面と共にホスト端末３２に送信する。
【００６４】
ホスト端末３２は、表示部３２２により、ステップＳ１０１で通信制御装置２０から送信されたホスト用画面を表示デバイス上に表示させる。ホスト端末３２は、このホスト用画面に従いステップＳ１０２で入力された設定情報および登録情報を、通信制御装置２０に送信する（ステップＳ１０３）。
【００６５】
図１０は、第１の実施形態に係るホスト用画面に含まれる、ゲスト端末３０から利用可能な機器を登録するための利用機器登録画面４１０の例を示す。例えば、上述した図８の通信管理画面４２０の入力部４２３６において、「しない」が指定された場合に、この利用機器登録画面４１０がホスト端末３２に表示される。利用機器登録画面４１０は、選択ボタン４１１ａ〜４１１ｃおよび削除ボタン４１１ｄを含むボタン群４１１と、入力部４１２および４１３と、登録ボタン４１４とを含む。
【００６６】
選択ボタン４１１ａ〜４１１ｃは、例えば、それぞれ情報機器の名前、ＩＰアドレスおよび機器種類から、利用可能機器を選択するためのボタンである。例えば、選択ボタン４１１ａおよび４１１ｂは、それぞれ情報機器の名前およびＩＰアドレスに対して選択を行うため、情報機器を１つずつ選択することになる。一方、選択ボタン４１１ｃは、情報機器の種類に対して選択を行うため、種類が一致する複数の情報機器を一度に選択することができる。
【００６７】
一例として、ホスト端末３２は、選択ボタン４１１ａを操作することで、情報機器リストに含まれる各情報機器の名前のリストをドロップダウンリストなどにより表示させる。ホストユーザは、ホスト端末３２を操作して、このリスト表示に基づき利用可能としたい情報機器の名前を選択する。選択された情報機器の名前は、選択状態とされる。情報機器の名前は、複数を選択することができる。
【００６８】
ホスト端末３２は、登録ボタン４１４が操作されると、利用機器登録画面４１０において選択状態とされた情報機器を示す選択機器情報を、通信制御装置２０に送信する。通信制御装置２０において、認証・接続制御部２１３は、ホスト端末３２から送信された選択機器情報に従い、ゲスト用ＡＰ４１に対する転送制御情報を設定する。
【００６９】
なお、上述では、情報機器の機器情報をリスト表示するように説明したが、これはこの例に限定されない。例えば、利用機器登録画面４１０において、情報機器を示すアイコン画像を表示させ、このアイコン画像を指定することで、利用可能としたい情報機器を選択するようにしてもよい。
【００７０】
図１１は、第１の実施形態に係る、アイコン画像を用いた利用機器登録画面４１０’の例を示す。図１１の例では、利用機器登録画面４１０’は、利用許可可能な情報機器１１ａ、１１ｂおよび１１ｃが、アイコン画像１１ａ’、１１ｂ’および１１ｃ’として表示されている。
【００７１】
ホスト端末３２は、アイコン画像１１ａ’、１１ｂ’および１１ｃ’のうち所望のアイコン画像が選択された後、登録ボタン４１４’が操作されると、選択されたアイコン画像に対応する情報機器の機器情報を通信制御装置２０に送信する。また、利用機器登録画面４１０’において、アイコン画像１１ａ’、１１ｂ’および１１ｃ’のうち複数のアイコン画像を選択することができ、複数の情報機器の機器情報を通信制御装置２０に送信してもよい。
【００７２】
次に、ホスト端末３２は、ホスト端末３２に対する操作に応じて、認証用ＡＰ４０の起動要求を通信制御装置２０に送信する（ステップＳ１０４）。通信制御装置２０は、この起動要求に応じて、無線ＬＡＮモジュール２１５に対して認証用ＡＰ４０の起動を指示する（ステップＳ１０５）。無線ＬＡＮモジュール２１５は、この起動指示に応じて認証用ＡＰ４０を起動させる（ステップＳ１０６）。
【００７３】
ホスト端末３２は、認証用ＡＰ４０の起動要求を送信した後に、認証・接続制御部２１３に対して、ゲスト端末３０の認証を行うための認証画面を要求する（ステップＳ１２０）。この要求に応じて、認証・接続制御部２１３からホスト端末３２に対して認証画面が送信される（ステップＳ１２１）。ホスト端末３２は、この認証画面を受信して表示部３２２により表示デバイスに表示させる。認証画面の具体的な例については、後述する。
【００７４】
認証用ＡＰ４０が起動された後に、ゲスト端末３０による認証用ＡＰ４０への、Ｗｉ−Ｆｉ（登録商標）による無線通信を用いた接続が行われる（ステップＳ１０７）。ここで、認証用ＡＰ４０のＳＳＩＤは、ホストユーザからゲストユーザに対して予め通知されるものとする。また、認証用ＡＰ４０は、ＷＥＰ(Wired  Equivalent  Privacy)キーなどを用いた暗号化を行わなくてもよい。
【００７５】
例えば、ゲストユーザは、ゲスト端末３０を操作して接続可能機器から認証用ＡＰ４０を選択し、ゲスト端末３０に表示される認証用ＡＰ４０のログイン画面に、通知された認証用ＡＰ４０のＳＳＩＤを入力し、入力したＳＳＩＤを認証用ＡＰ４０に向けて送信する。これにより、ゲスト端末３０と認証用ＡＰ４０との間で認証処理が行われ、ゲスト端末３０と認証用ＡＰ４０との接続が確立される。
【００７６】
ゲスト端末３０は、認証用ＡＰ４０との接続が確立されると、ＩＰアドレス要求を送信し、ゲスト端末３０のネットワーク１０におけるＩＰアドレスを要求する。このＩＰアドレス要求は、認証用ＡＰ４０を介して通信制御装置２０の接続誘導部２１２に受信される（ステップＳ１０８、ステップＳ１０９）。接続誘導部２１２は、このＩＰアドレス要求に応じてＩＰアドレスを生成し、生成したＩＰアドレスをゲスト端末３０に配布する（ステップＳ１１０、ステップＳ１１１）。ゲスト端末３０は、通信制御装置２０から配布されたＩＰアドレスを、自身のＩＰアドレスとして記憶する。
【００７７】
次に、例えばゲストユーザの操作に応じて、ゲスト端末３０から任意のＵＲＬに対するＨＴＴＰ(Hypertext  Transfer  Protocol)によるアクセスが実行されるものとする（ステップＳ１３０）。ゲスト端末３０から送信された、任意のＵＲＬに対するアクセス要求は、通信制御装置２０に受信され、接続誘導部２１２に取得される。接続誘導部２１２は、取得したアクセス要求を認証・接続制御部２１３に渡し、ゲスト端末３０からのアクセスを、強制的に認証・接続制御部２１３に誘導する（ステップＳ１３２）。
【００７８】
認証・接続制御部２１３は、接続誘導部２１２から誘導されて渡されたアクセス要求に応じて、認証情報入力画面をゲスト端末３０に送信する。認証・接続制御部２１３から送信された認証情報入力画面は、認証用ＡＰ４０を介してゲスト端末３０に受信される（ステップＳ１３３、ステップＳ１３４）。
【００７９】
ゲスト端末３０は、認証・接続制御部２１３から送信された認証情報入力画面を表示部３１２により表示デバイス３０４に表示させる。ゲストユーザは、ゲスト端末３０を操作して、この認証情報入力画面に対して認証情報を入力する（ステップＳ１３５）。ここでゲストユーザが入力する認証情報は、上述した、図８のシーケンス図による処理に先立ってホストユーザから通知された認証情報である。
【００８０】
図１２は、第１の実施形態に係る、ゲスト端末３０の表示デバイス３０４に表示される認証情報入力画面の例を示す。図１２において、認証情報入力画面４３０は、情報表示領域４３０１と、入力領域４３０２とを備える。情報表示領域４３０１は、例えば、ゲスト端末３０の現在のネットワークシステム１ａにおける現在のステータスと、この認証情報入力画面４３０に係る現在の処理を示す情報とが表示される。
【００８１】
入力領域４３０２は、例えばゲスト端末３０の入力デバイス３０６に対する操作に応じて描画を行う描画領域４３１０と、送信ボタン４３１１と、クリアボタン４３１２とを備える。ゲストユーザは、描画領域４３１０に対して、ホストユーザから予め通知された認識情報に基づく描画を行う。描画の内容は、ゲストユーザとホストユーザとの間で認識が共有できれば特に限定されず、絵でもよいし、文字や記号でもよい。送信ボタン４３１１が操作されると、例えば描画領域４３１０に描画された認証情報（認証画像）がゲスト端末３０から送信される（ステップＳ１３６）。
【００８２】
なお、認証情報入力画面４３０において、クリアボタン４３１２を操作することで、描画領域４３１０の描画内容を消去することができる。また、描画領域４３１０は、描画により認証情報を入力する入力方式に限られず、例えば文字列により認証情報を入力するようにしてもよい。
【００８３】
ゲスト端末３０から送信された認証情報（認証画像）は、認証用ＡＰ４０を介して認証・接続制御部２１３に受信される（ステップＳ１３７）。認証・接続制御部２１３は、受信した認証情報を、ホスト端末３２に送信する（ステップＳ１３８）。ホスト端末３２は、受信した認証情報を、ステップＳ１２１で認証・接続制御部２１３から取得した認証画面に表示させる（ステップＳ１３９）。
【００８４】
図１３は、第１の実施形態に係る、ホスト端末３２に表示される認証画面の一例を示す。図１３において、認証画面４４０は、情報表示領域４４０１と、認証領域４４０２とを備える、情報表示領域４４０１は、ゲスト端末３０のネットワーク１０へのアクセスに対する設定情報やなどが表示される。
【００８５】
認証領域４４０２は、端末情報表示部４４０５と、認証情報表示部４４０６と、認証ボタン４４０７と、接続情報表示部４４０８とを備える。端末情報表示部４４０５は、認証対象のゲスト端末３０の情報（ＩＰアドレスなど）が表示される。認証情報表示部４４０６は、ゲスト端末３０から送信された認証情報（認証画像）が表示される。認証ボタン４４０７は、認証対象のゲスト端末３０を認証するためのボタンである。接続情報表示部４４０８は、ゲスト端末３０の接続状態を表示する。
【００８６】
例えば、ホストユーザが、認証情報表示部４４０６に表示される認証情報（認証画像）に応じて認証ボタン４４０７を操作すると、ホスト端末３２は、ゲスト端末３０の認証を示す認証ＯＫ通知を認証・接続制御部２１３に送信する（ステップＳ１４０）。認証・接続制御部２１３は、ホスト端末３２から認証ＯＫ通知を受信すると、ゲスト端末３０がゲスト用ＡＰ４１に接続するために用いる接続情報を含む接続情報ファイルを生成する。
【００８７】
認証・接続制御部２１３は、例えば、ゲスト用ＡＰ４１のＳＳＩＤと、暗号化鍵（ＰＳＫ）とを含む接続情報ファイル作成し、この接続情報ファイルのファイル名をランダムに生成する。認証・接続制御部２１３は、このランダムに生成されたファイル名を含む、接続情報ファイルのネットワーク１０上での位置を示すＵＲＬを、認証用ＡＰ４０を介してゲスト端末３０に送信する（ステップＳ１４１、ステップＳ１４２）。
【００８８】
ゲスト端末３０は、認証・接続制御部２１３から送信されたＵＲＬを受信すると、受信したＵＲＬに従い、ゲスト用ＡＰ４１に接続するための接続情報ファイルを、認証用ＡＰ４０を介して認証・接続制御部２１３に要求する（ステップＳ１５０、ステップＳ１５１）。認証・接続制御部２１３は、この要求に応じて、接続情報ファイルを認証用ＡＰ４０を介してゲスト端末３０に送信し、接続情報ファイルをゲスト端末３０に配布する（ステップＳ１５２、ステップＳ１５３）。ゲスト端末３０は、認証・接続制御部２１３から送信された接続情報ファイルを自身にインストールして、接続情報を設定する（ステップＳ１５４）。
【００８９】
ホスト端末３２は、上述のステップＳ１４０で認証ボタン４４０７が操作された後に、さらにホストユーザのホスト端末３２に対する操作により認証用ＡＰ４０の終了指示がなされると、認証用ＡＰ４０の終了要求を認証・接続制御部２１３に送信する（ステップＳ１６０）。認証・接続制御部２１３は、この終了要求に応じて、無線ＬＡＮ制御モジュール２１５に対して、認証用ＡＰ４０の終了を指示する（ステップＳ１６１）。無線ＬＡＮ制御モジュール２１５は、この終了指示に応じて認証用ＡＰ４０の動作を終了させる（ステップＳ１６２）。
【００９０】
ゲスト端末３０は、認証用ＡＰ４０の動作終了に伴い認証用ＡＰ４０との接続が切断されたことを認識し、認証用ＡＰ４０の終了を確認する（ステップＳ１６３）。認証用ＡＰ４０の終了確認後、ゲスト端末３０は、ステップＳ１５４で設定された接続情報に従い、ゲスト用ＡＰ４１に接続する（ステップＳ１７０）。これにより、ゲスト端末３０は、ネットワーク１０へのアクセスが可能となる。
【００９１】
このように、第１の実施形態では、ゲスト端末３０から任意の宛先に対するアクセスを認証・接続制御部２１３に強制的に誘導し、認証・接続制御部２１３からゲスト端末３０に、認証情報の入力画面を送信している。そして、ゲスト端末３０とネットワーク１０との接続を許可するか否かを、ゲストユーザが認証情報入力画面に入力した、予め通知した認証情報に基づき、ホストユーザが判定するようにしている。そのため、ゲスト端末３０を容易にネットワーク１０に接続することができる。また、ネットワーク１０に対する組織体外からの悪意による侵入を抑止することができる。また、第１の実施形態では、ゲスト端末３０とネットワーク１０との接続を許可するか否かを、ホストユーザが判定するようにしているため、ゲスト端末３０に対する接続可否の制御を、アクセスポイントなどの設定を変更すること無く行うことが可能である。
【００９２】
（第１の実施形態の第１の変形例）
次に、第１の実施形態の第１の変形例について説明する。図１４は、第１の実施形態の第１の変形例に係るネットワークシステムの一例の構成を示す。なお、図１４において、上述の図１と共通する部分には同一の符号を付して、詳細な説明を省略する。
【００９３】
図１４において、第１の実施形態の第１の変形例に係るネットワークシステム１ｂは、ホスト端末３２が無線ＬＡＮにより、ホスト用ＡＰ４２を介して通信制御装置２０に接続される。ホスト用ＡＰ４２は、通信制御装置２０における認証・接続制御部２１３にさらに接続される。また、ホスト端末３２は、ＷＰＡ２  Ｐｅｒｓｏｎａｌなどに規定される暗号化方式に従いホスト用ＡＰ４２との間の通信を行う。ゲスト端末３０のネットワーク１０への接続処理は、図８を用いて説明した第１の実施形態に係る接続処理と同様であるので、ここでの説明を省略する。
【００９４】
（第１の実施形態の第２の変形例）
次に、第１の実施形態の第２の変形例について説明する。図１５は、第１の実施形態の第２の変形例に係るネットワークシステムの一例の構成を示す。なお、図１５において、上述の図１と共通する部分には同一の符号を付して、詳細な説明を省略する。
【００９５】
図１５において、第１の実施形態の第２の変形例に係るネットワークシステム１ｃは、ゲスト端末３０が通信を行う認証用ＡＰ４０’およびゲスト用ＡＰ４１’と、ホスト端末３２が通信を行うホスト用ＡＰ４２’とがネットワーク１０に接続されている。この場合、上述した第１の実施形態の第１の変形例と同様に、ホスト端末３２は、ＷＰＡ２  Ｐｅｒｓｏｎａｌなどに規定される暗号化方式に従いホスト用ＡＰ４２’との間の通信を行う。
【００９６】
また、ゲスト端末３０は、図８を用いて説明した第１の実施形態に係る接続処理と同様に、ＷＰＡ２  Ｐｅｒｓｏｎａｌによる暗号化を行わない通信により認証用ＡＰ４０’に接続して認証用ＡＰ４０’を介して認証処理を行う。そして、ゲスト端末３０は、認証成功後に、ＷＰＡ２  Ｐｅｒｓｏｎａｌによる暗号化方式に従いゲスト用ＡＰ４１’を介してネットワーク１０との通信を行う。
【００９７】
これら第１の実施形態の第１の変形例および第２の変形例に係る構成によっても、ゲスト端末３０から任意の宛先に対するアクセスを認証・接続制御部２１３に強制的に誘導してゲスト端末３０に認証情報の入力画面を表示させ、ゲスト端末３０の認証の可否を、ゲストユーザが認証情報入力画面に入力した予め通知した認証情報に基づきホストユーザが判定するようにしている。そのため、ゲスト端末３０を容易にネットワーク１０に接続することができ、また、ネットワーク１０に対する組織体外からの悪意による侵入を抑止することができる。さらに、第１の実施形態の各変形例では、ゲスト端末３０とネットワーク１０との接続を許可するか否かを、ホストユーザが判定するようにしているため、ゲスト端末３０に対する接続可否の制御を、アクセスポイントなどの設定を変更すること無く行うことが可能である。
【００９８】
（第２の実施形態）
次に、第２の実施形態について説明する。上述した第１の実施形態による通信制御装置２０上で実行される各機能は、ＳＤＮ(Software-Defined  Network)の概念に基づき構成することができる。ここで、ＳＤＮについて概略的に説明する。
【００９９】
従来、組織体内で閉じた構成の組織内ＬＡＮなどのネットワーク環境は、各ベンダが提供するＬＡＮスイッチや無線ＬＡＮアクセスポイントの設定・運用を熟知した専任の担当者が構築するのが一般的であった。このようなネットワーク環境は、ベンダのソリューションによる認証手段や運用方法しか提供されない、所謂「ベンダロックイン」の状態であり、組織体が自在に認証手段や運用方法を設定することが困難であった。
【０１００】
これに対して、近年では、ユーザである組織体が独自のネットワークを構築できるようにするため、ネットワーク上のデータの動きをソフトウェアだけで制御可能とするＳＤＮと呼ばれる概念が注目されている。このＳＤＮに関連して、注目を集めている代表的な構成技術要素として「ネットワークの仮想化」と、その仮想化されたネットワーク上での通信を制御する手法（プロトコル）の一つでありベンダに依存しないオープンな仕様である「ＯｐｅｎＦｌｏｗ」とがある。
【０１０１】
ネットワーク仮想化は、例えば、一つの物理インタフェースを複数に（若しくは複数の物理インタフェースを一つに）見せるような仮想インタフェース技術や、仮想インタフェースを接続中継する仮想スイッチ技術などに至る、複数の構成要素を含む技術の集合体である。ネットワーク仮想化は、物理ネットワーク機器と仮想ネットワーク部品、プロトコル技術の組合せによって、物理的なネットワーク構成から論理的なネットワーク構成を仮想的に分離し、物理構成に縛られない柔軟なネットワーク構成を実現する。
【０１０２】
ＯｐｅｎＦｌｏｗは、通信をエンド・ツー・エンドのフローとして捉えて、そのフロー単位に経路制御、負荷分散、最適化などを行うことができる。具体的には、ＯｐｅｎＦｌｏｗは、データ通信経路の中継機器などにおいて自立分散的に各データパケットを解析して転送するのではなく、集中制御型に変えることで実現する。
【０１０３】
ＯｐｅｎＦｌｏｗでは、データの解析と転送先判断および決定制御とを行う「コントロール・プレーン」と、単なるパケットの物理的な伝送を担う部分である「データ・プレーン」とを分離する。ＯｐｅｎＦｌｏｗでは、コントロール・プレーンを司るＯＦＣ（ＯｐｅｎＦｌｏｗコントローラ）が転送ルールを指示し、データ・プレーンを担うＯＦＳ（ＯｐｅｎＦｌｏｗスイッチ）は、ＯＦＣの指示に従ってパケットの転送を行う。より具体的には、ＯＦＳは、ＯＦＣが追加および書き換えを行う、ＯＦＳが持つフローテーブルに従って、パケットの転送を行う。この仕組みを用いることで、上述したネットワーク仮想化を制御するためのツールなどとしてＯｐｅｎＦｌｏｗを活用できる。
【０１０４】
図１６は、第２の実施形態に係る通信制御装置の機能を示す一例の機能ブロック図である。図１６において、通信制御装置２０’は、第１の実施形態に係る通信制御装置２０を、ＳＤＮの概念を適用して構成した場合の例である。なお、第２の実施形態では、上述した第１の実施形態の第１の変形例に係るネットワークシステム１ｂを適用可能である。これに限らず、第２の実施形態に、上述した第１の実施形態に係るネットワークシステム１ａを適用させてもよい。
【０１０５】
図１６において、通信制御装置２０’は、Ｗｅｂサーバ部２０００と、コントローラ２００１と、ＲＡＤＩＵＳサーバ部２００２と、キャプティブポータル部２００３と、Ｉ／Ｏ部２００４と、スイッチ２００５とを含む。これらＷｅｂサーバ部２０００、コントローラ２００１、ＲＡＤＩＵＳサーバ部２００２、キャプティブポータル部２００３、Ｉ／Ｏ部２００４およびスイッチ２００５は、ＣＰＵ２０１上で動作するプログラムにより構成される。
【０１０６】
また、図１６において、認証用ＡＰ４０”、ゲスト用ＡＰ４１”およびホスト用ＡＰ４２”は、それぞれＷｉ−Ｆｉ（登録商標）に対応したアクセスポイントである。これら認証用ＡＰ４０”、ゲスト用ＡＰ４１”およびホスト用ＡＰ４２”は、それぞれ独立したハードウェアにより構成してもよいし、プログラムにより仮想的に構成してもよい。この場合、例えば、通信制御装置２０’において、ＣＰＵ２０１が、１つの無線ＬＡＮのアクセスポイントに対して、認証用ＡＰ４０”、ゲスト用ＡＰ４１”およびホスト用ＡＰ４２”のＳＳＩＤをプログラムに従い切り替える。有線ＬＡＮ部４３は、通信制御装置２０’とネットワーク１０との間の通信を制御する。
【０１０７】
図１６において、認証用ＡＰ４０”およびゲスト用ＡＰ４１”は、それぞれ第１の実施形態に係る認証用ＡＰ４０およびゲスト用ＡＰ４１に対応する。すなわち、認証用ＡＰ４０”は、ＷＰＡ２  Ｐｅｒｓｏｎａｌなどによる暗号化無しでゲスト端末３０と通信を行い、ゲスト用ＡＰ４１”は、例えばＷＰＡ２  Ｐｅｒｓｏｎａｌに規定される暗号化方式に従いゲスト端末３０と通信を行う。また、図１６において、ホスト用ＡＰ４２”は、第１の実施形態の第１の変形例のホスト用ＡＰ４２に対応し、ＷＰＡ２  Ｐｅｒｓｏｎａｌに規定される暗号化方式に従いホスト端末３２と通信を行う。
【０１０８】
図１６において、Ｗｅｂサーバ部２０００は、例えばゲスト用ＡＰ４１”およびホスト用ＡＰ４１”を介してゲスト端末３０およびホスト端末３２それぞれとＨＴＴＰに従った通信を行い、ゲスト端末３０およびホスト端末３２に対してそれぞれＷｅｂページを提供することができる。ＲＡＤＩＵＳサーバ部２００２は、例えばホスト端末３２やゲスト端末３０の認証処理を行う。
【０１０９】
図１６において、キャプティブポータル部２００３は、例えば第１の実施形態における接続誘導部２１２に対応し、受信したパケットを特定の宛先に強制的に誘導する機能と、ＤＨＣＰ機能とを備える。Ｗｅｂサーバ部２０００、コントローラ２００１およびＲＡＤＩＵＳサーバ部２００２は、それぞれ第１の実施形態における認証・接続制御部２１３に含まれる。コントローラ２００１は、上述したＯＦＣの機能は、例えばコントローラ２００１により実現される。Ｉ／Ｏ部２００４は、入力されたデータの経路を、例えば当該データに付加される宛先を示す情報に従い制御する。
【０１１０】
スイッチ部２００５は、ゲスト用ＡＰ４１”、ホスト用ＡＰ４２”および有線ＬＡＮ部４３が接続される。スイッチ部２００５は、上述したＯＦＳに対応し、フローテーブルと、仮想ブリッジの機能とを含む。仮想ブリッジは、有線ＬＡＮ部４３により接続されるネットワーク１０と、ゲスト用ＡＰ４１”およびホスト用ＡＰ４２”による無線ＬＡＮ通信との間でパケットの中継を行うブリッジを、プログラムにより仮想的に実現する。スイッチ部２００５は、例えばコントローラ２００１によりフローテーブルに書き込まれた、処理対象となるパケットの条件と当該パケットの転送先を示す情報とを含む転送制御情報に従い、中継するパケットの振る舞いを制御する。
【０１１１】
次に、第２の実施形態に係る、ゲスト端末３０のネットワーク１０への接続処理の例について、上述した図８のシーケンス図を参照しながら説明する。ホスト端末３２は、ＲＡＤＩＵＳサーバ部２００２による認証が成功すると（図８のステップＳ１００〜ステップＳ１０３）、認証用ＡＰ４０”の起動をコントローラ２００１に対して要求する（図８のステップＳ１０４）。コントローラ２００１は、この要求に応じて認証用ＡＰ４０”を起動させる（図８のステップＳ１０５、ステップＳ１０６）。
【０１１２】
また、ホスト端末３２は、通信制御装置２０’に対して認証画面を要求する（図８のステップＳ１２０）。この認証画面要求は、ホスト用ＡＰ４１”を介してスイッチ部２００５に入力される。スイッチ部２００５は、コントローラ２００１により、フローテーブルにホスト端末３２とＷｅｂサーバ部２００５との間で、ゲスト用ＡＰ４２”を介してパケット転送可能とする転送制御情報が書き込まれている。スイッチ部２００５は、この転送制御情報に従い、ホスト用ＡＰ４１”から入力された認証画面要求をＷｅｂサーバ部２０００に渡す（図８のステップＳ１２１）。
【０１１３】
一方、ゲスト端末３０は、起動された認証用ＡＰ４０”に接続し（図８のステップＳ１０７）、通信制御装置２０’に対してＩＰアドレスを要求する（図８のステップＳ１０８、ステップＳ１０９）。このＩＰアドレス要求は、キャプティブポータル部２００３に受け取られる。
【０１１４】
キャプティブポータル部２００３は、受け取ったＩＰアドレス要求に応じてＩＰアドレスを発行し、認証用ＡＰ４０”を介してゲスト端末３０に送信し、ゲスト端末３０に対してＩＰアドレスを配布する（図８のステップＳ１１０、ステップＳ１１１）。
【０１１５】
この時点でゲスト端末３０から通信制御装置２０’に対して、任意のＵＲＬでのＨＴＴＰによるアクセスが実行された場合、アクセス要求は、認証用ＡＰ４０”からキャプティブポータル部２００３に渡される（図８のステップＳ１３０、ステップＳ１３１）。キャプティブポータル部２００３は、渡されたアクセス要求を、Ｉ／Ｏ部２００４を介してＷｅｂサーバ部２０００に渡す（図８のステップＳ１３２）。Ｗｅｂサーバ部２０００は、渡されたアクセス要求に応じて、例えば図１２を用いて説明したような認証情報入力画面を、ゲスト端末３０に送信する（図８のステップＳ１３３、ステップＳ１３４）。
【０１１６】
ゲスト端末３０は、認証情報入力画面に従い入力された認証情報を通信制御装置２０’に送信する（図８のステップＳ１３６）。認証情報は、認証用ＡＰ４０”に受け取られ、認証用ＡＰ４０”からキャプティブポータル部２００３を介してＷｅｂサーバ部２０００に渡される（図８のステップＳ１３７）。Ｗｅｂサーバ部２０００は、渡された認証情報を、スイッチ部２００５に入力する。スイッチ部２００５は、フローテーブルに書き込まれた転送制御情報に従い、入力された認証情報を、ホスト用ＡＰ４１”を介してホスト端末３２に送信する（図８のステップＳ１３８）。ホスト端末３２は、認証情報を受信し、受信した認証情報を既に取得した認証画面に表示させる（図８のステップＳ１３９）。
【０１１７】
ホスト端末３２において、認証画面に表示された認証情報に対してユーザ操作などにより認証がなされると、認証ＯＫ情報を送信する（図８のステップＳ１４０）。認証ＯＫ通知は、ホスト用ＡＰ４１”からスイッチ部２００５に渡され、スイッチ部２００５により、フローテーブルに書き込まれた転送制御情報に従い、認証ＯＫ通知をＷｅｂサーバ部２０００に渡される。Ｗｅｂサーバ部２０００は、認証ＯＫ通知に応じて、例えばゲスト用ＡＰ４１”のＳＳＩＤと、暗号化鍵とを含む接続情報ファイルを作成し、この接続情報ファイルのファイル名をランダムに生成するＷｅｂサーバ部２０００は、このランダムに生成されたファイル名を含む、接続情報ファイルのネットワーク１０上での位置を示すＵＲＬを、認証用ＡＰ４０”を介してゲスト端末３０に送信する（ステップＳ１４１、ステップＳ１４２）。
【０１１８】
ゲスト端末３０は、通信制御装置２０’から送信されたＵＲＬに従い、ゲスト用ＡＰ４１”に接続するための接続情報ファイルを、認証用ＡＰ４０”を介して通信制御装置２０’に要求する（図８のステップＳ１５０）。この要求は、キャプティブポータル部２００３に渡され、キャプティブポータル部２００３からＷｅｂサーバ部２０００に渡される（図８のステップＳ１５２）。Ｗｅｂサーバ部２０００は、この要求に応じて、接続情報ファイルを認証用ＡＰ４０”を介してゲスト端末３０に送信する（図８のステップＳ１５２、ステップＳ１５３）。これにより、接続情報ファイルが通信制御装置２０’からゲスト端末３０に配布される。ゲスト端末３０は、通信制御装置２０’から送信された接続情報ファイルを自身にインストールして、接続情報を設定する（図８のステップＳ１５４）。
【０１１９】
また、ホスト端末３２は、認証ＯＫ通知の送信後、ホストユーザのホスト端末３２に対する操作により認証用ＡＰ４０の終了指示がなされると、認証用ＡＰ４０の終了要求を送信する。この終了要求は、Ｗｅｂサーバ部２０００、Ｉ／Ｏ部２００４およびキャプティブポータル部２００３を介して認証用ＡＰ４０”に受信され、認証用ＡＰ４０”の機能が停止される（図８のステップＳ１６０〜ステップＳ１６２）。
【０１２０】
ゲスト端末３０は、認証用ＡＰ４０”の終了を確認すると（図８のステップＳ１６３）、ステップＳ１５４で設定された接続情報に従い、ゲスト用ＡＰ４１”に接続する（図８のステップＳ１７０）。また、通信制御装置２０’において、コントローラ２００１は、スイッチ部２００５のフローテーブルに、ゲスト端末３０とネットワーク１０との間で、ゲスト用ＡＰ４１”および有線ＬＡＮ部４３を介してパケット転送可能とする転送制御情報が書き込まれている。これにより、ゲスト端末３０は、通信制御装置２０’を介してのネットワーク１０へのアクセスが可能となる。
【０１２１】
なお、第２の実施形態では、ゲスト端末３０とＷｅｂサーバ部２０００との間でなされる各通信（図８のステップＳ１３０〜ステップＳ１５３）のうち、少なくとも接続情報ファイルの配布に関する各通信（例えば図８のステップＳ１４１〜ステップＳ１５３）は、保護された通信により行うことが望ましい。例えば、ゲスト端末３０とＷｅｂサーバ部２０００との間でなされる、接続情報ファイルの配布に関する各通信を、ＨＴＴＰＳ(Hypertext  Transfer  Protocol  Secure)を通信プロトコルとして用いて行う。接続情報ファイルの配布に関する各通信をＨＴＴＰＳを用いて行うことで、接続情報ファイルの配布をよりセキュアに実行できる。
【０１２２】
第２の実施形態によれば、上述した第１の実施形態による構成にＯｐｅｎＦｌｏｗを適用しているため、ゲスト端末３０とネットワーク１０との接続を許可するか否かを、組織体外の人（ゲストユーザ）が入力した、予め通知した認証情報に基づき、組織体内の人（ホストユーザ）が判定するシステムを、より柔軟且つ容易に構成することが可能である。
【符号の説明】
【０１２３】
１ａ，１ｂ，１ｃ  ネットワークシステム
１０  ネットワーク
１１ａ，１１ｂ，１１ｃ  情報機器
１２  管理サーバ
２０，２０’  通信制御装置
３０  ゲスト端末
３２  ホスト端末
４０，４０’，４０”  認証用ＡＰ
４１，４１’，４１”  ゲスト用ＡＰ
４２，４２’，４２”  ホスト用ＡＰ
４３  有線ＬＡＮ部
２０１，３０１  ＣＰＵ
２０４，３０５  ストレージ
２１２  接続誘導部
２１３  認証・接続制御部
２１４  通信制御部
２１５  無線ＬＡＮ制御モジュール
３０４  表示デバイス
３０６  入力デバイス
３１１，３２１  入力部
３１２，３２２  表示部
４００  ログイン画面
４１０  利用機器登録画面
４２０  通信管理画面
４３０  認証情報入力画面
４４０  認証画面
２０００  Ｗｅｂサーバ部
２００１  コントローラ
２００２  ＲＡＤＩＵＳサーバ部
２００３  キャプティブポータル部
２００４  Ｉ／Ｏ部
２００５  スイッチ部
【先行技術文献】
【特許文献】
【０１２４】
【特許文献１】特開２０１３−０３８４９８号公報
【図１】
0006728574.tif 000002
【図２】
0006728574.tif 000003
【図３】
0006728574.tif 000004
【図４】
0006728574.tif 000005
【図５】
0006728574.tif 000006
【図６】
0006728574.tif 000007
【図７】
0006728574.tif 000008
【図８】
0006728574.tif 000009
【図９】
0006728574.tif 000010
【図１０】
0006728574.tif 000011
【図１１】
0006728574.tif 000012
【図１２】
0006728574.tif 000013
【図１３】
0006728574.tif 000014
【図１４】
0006728574.tif 000015
【図１５】
0006728574.tif 000016
【図１６】
0006728574.tif 000017