(57)【特許請求の範囲】
【請求項１】
異なるユーザグループに属する複数の無線基地局と通信し、前記複数の無線基地局の１つを介して前記ユーザグループの１つに属する無線端末からの、ユーザ識別子を含むユーザ認証要求を受信する通信部と、
前記ユーザ認証要求に含まれる前記ユーザ識別子と認証装置とを対応づけて格納する記憶部と、
前記通信部が受信した前記ユーザ認証要求に含まれる前記ユーザ識別子が前記記憶部に含まれる場合、前記ユーザ識別子に対応づけられる前記認証装置へ向けて前記ユーザ認証要求を転送し、前記ユーザ認証要求に対する前記認証装置からの認証結果を、前記複数の無線基地局の一つを介して前記無線端末に送信し、前記通信部が受信した前記ユーザ認証要求に含まれる前記ユーザ識別子が前記記憶部に含まれない場合、前記ユーザ認証要求の転送をしない制御を行う制御部と、
を含む無線網制御装置。
【請求項２】
前記記憶部に格納される前記認証装置は、前記複数の無線基地局の一つが属するユーザグループに対応する認証装置であり、
前記ユーザ認証要求は、前記複数の無線基地局の一つが属するユーザグループに対応する認証装置にて認証処理を行うことができない場合に、少なくとも一つの中継装置を介して前記認証要求に対する認証処理を行うべき認証装置に転送される
請求項１に記載の無線網制御装置。
【請求項３】
ユーザ認証に成功した前記無線端末からのＩＰアドレス取得要求を前記通信部が前記複数の無線基地局の一つを介して受信した場合に、前記制御部は、前記ＩＰアドレス取得要求を前記無線端末の属するユーザグループ用のＩＰアドレスを貸し出す貸出装置に転送し、前記貸出装置から受信されるＩＰアドレスを前記通信部から前記無線端末へ送信する
請求項１または２に記載の無線網制御装置。
【請求項４】
異なるユーザグループに属する複数の無線基地局を収容する無線網制御装置と、
各ユーザグループに属するユーザの無線端末からのユーザ認証要求に対する認証処理を行う複数の認証装置とを含み、
前記無線網制御装置は、前記複数の無線基地局と通信し、前記複数の無線基地局の１つを介して前記ユーザグループの１つに属する無線端末からの、ユーザ識別子を含むユーザ認証要求を受信する通信部と、前記ユーザ認証要求に含まれる前記ユーザ識別子と認証装置とを対応づけて格納する記憶部と、を含み、
前記無線網制御装置は、前記通信部が受信した前記ユーザ認証要求に含まれる前記ユーザ識別子が前記記憶部に含まれる場合、前記ユーザ識別子に対応づけられる前記認証装置へ向けて前記ユーザ認証要求を転送し、
前記無線網制御装置は、前記ユーザ認証要求に対する前記認証装置からの認証結果を、前記複数の無線基地局の1つを介して前記無線端末に送信し、前記通信部が受信した前記
ユーザ認証要求に含まれる前記ユーザ識別子が前記記憶部に含まれない場合、前記ユーザ認証要求の転送をせず、
前記記憶部に格納される前記認証装置は、前記複数の無線基地局の一つが属するユーザグループに対応する認証装置であり、
前記無線網制御装置からのユーザ認証要求を受信する認証装置は、自装置でユーザ認証要求に対する認証処理を実行できない場合に、このユーザ認証要求の転送処理を行い、転送されたユーザ認証要求は、少なくとも一つの中継装置を介してこのユーザ認証要求に対する認証処理を行うべき認証装置に到達する
無線網制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線アクセスシステムにおけるユーザ認証とアクセス制御に関する。
【背景技術】
【０００２】
無線ＬＡＮ(Local Area Network)アクセスポイントの制御機能と、ＬＡＮフレームのスイッチング機能とを有する装置として、一般的に「無線ＬＡＮスイッチ」と呼ばれる装置がある。
【０００３】
図１７は、無線ＬＡＮスイッチが適用された通信システムの構成例を示す。図１７において、無線ＬＡＮスイッチは、複数の無線ＬＡＮアクセスポントを収容する。また、無線ＬＡＮスイッチは、ルータ又はスイッチを介して、認証サーバ(Radius(Remote Authentication Dial-In User Service)サーバ)、ＤＨＣＰ(Dynamic Host Configuration Protocol)サーバ、及びＳＩＰ(Session Initiation Protocol)サーバに接続される。さらに、無線ＬＡＮスイッチは、ルータ又はスイッチ、及び通信事業者の設備を介して、インターネットに接続される。
【０００４】
無線ＬＡＮスイッチは、複数の無線ＬＡＮアクセスポイントを管理する機能を有している。管理機能は、無線ＬＡＮアクセスポイントの一つを用いてネットワークに接続しようとするユーザの認証を一元的に管理する機能を含む。無線ＬＡＮスイッチは、ユーザからの接続要求を受信した場合に、認証サーバと連携してユーザ認証を行う。ユーザ認証が成功すると、無線ＬＡＮスイッチは、ＤＨＣＰサーバからユーザが使用すべきＩＰ(Internet Protocol)アドレスを借り受ける。一旦ユーザにＩＰアドレスが付与されると無線ＬＡＮスイッチを介した通信が可能となる。また、例えば、ユーザがＩＰ電話の利用を望む場合には、ユーザは無線ＬＡＮスイッチを介してＳＩＰサーバと通信し、インターネット上にＩＰ電話呼を確立する。
【０００５】
無線ＬＡＮスイッチは、企業の所属員にインターネットやイントラネットへのアクセスサービスを提供することを目的として、企業ネットワーク内に設置され、企業内に設置された複数の無線ＬＡＮアクセスポントを管理する。企業の所属員は、無線ＬＡＮ端末を無線ＬＡＮアクセスポイントの一つに接続することにより、無線ＬＡＮスイッチを介してインターネットやイントラネットを利用することができる。
【０００６】
上述したように、無線ＬＡＮスイッチは、企業の所属員にインターネットやイントラネットの利用環境を提供するために設置されている。このため、企業の所属員以外の者(他企業の所属員や、企業の顧客)からのアクセスに対して、インターネットやイントラネットの利用環境を提供することは想定されていない。
【０００７】
近年、通信事業者が提供するサービスにおいて、無線ＬＡＮスイッチを利用するニーズが高まっている。サービスの一つは、モバイルセントレックスサービスである。モバイルセントレックスサービスでは、企業内に無線ＬＡＮアクセスポイントが設置され、企業内の内線電話が無線ＩＰ電話で実現される。サービスの他の一つは、ＦＭＣ（Fixed Mobile
Convergence）サービスである。ＦＭＣサービスは、固定通信と移動通信とを融合したサービスである。ＦＭＣサービスにおいて、無線ＬＡＮはアクセス回線のひとつとして位置づけられ、企業内の無線ＬＡＮ、公衆無線ＬＡＮ、一般家庭の無線ＬＡＮは、通信事業者のネットワークに収容される。
【０００８】
本発明に関連する先行技術として、以下の文献に記載された技術がある。
【特許文献１】特開２００４−１７２７８２号公報
【特許文献２】特開２００４−１７９８８２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
モバイルセントレックスサービスやＦＭＣサービスにおいて、企業内に無線ＬＡＮスイッチを設置する第１の形態が考えられる。また、次のような第２の形態も考えられる。すなわち、通信事業者が、無線ＬＡＮスイッチ又は無線ＬＡＮスイッチに相当する機能を有する設備を持ち、当該設備にて、複数の企業内の無線ＬＡＮ、公衆無線ＬＡＮ、一般家庭の無線ＬＡＮを収容し、これらの無線ＬＡＮアクセスポイントを管理するサービスを提供する。
【００１０】
しかしながら、図１７に示したような、現状の無線ＬＡＮスイッチを用いたシステムでは、上記の第２の形態を想定していない。即ち、従来の無線ＬＡＮスイッチに対し、認証ポリシーや貸与されるＩＰアドレスグループ(サブネット)が異なる複数のユーザグループ（例えば、企業のユーザのグループ、公衆無線ＬＡＮのユーザのグループ、一般家庭のユーザのグループ等）を並列に収容することは想定されていない。
【００１１】
従って、無線ＬＡＮスイッチに対して、ユーザグループを識別してユーザの認証要求を適正な認証サーバに振り分ける振り分けポリシーや、各ユーザグループに異なるアクセス制御ポリシーを設定することはできなかった。言い換えれば、例えば、或る無線ＬＡＮスイッチに、複数の企業内無線ＬＡＮを収容し、企業毎に異なる認証サーバに各企業ユーザからの認証要求を分配したり、企業外からのゲストユーザが自由にアクセスできるフリースポットを企業内の無線ＬＡＮシステムに用意したりすることができなかった。
【００１２】
本発明の目的は、認証ポリシー等が異なる複数のユーザグループの無線網を並列に収容することができ、各ユーザグループのユーザからのアクセスに対して適正な通信サービスを提供できる技術を提供することである。
【００１３】
また、本発明の他の目的は、或るユーザグループに属する無線基地局を用いて、他のユーザグループに属するユーザが通信サービスを享受できる技術を提供することである。
【課題を解決するための手段】
【００１４】
本発明は、上記課題を解決するために以下の手段を採用する。
【００１５】
本発明は、異なるユーザグループに属する複数の無線基地局と通信する通信部と、前記複数の無線基地局の一つを介して前記通信部で受信される、前記ユーザグループの一つに属する無線端末からのユーザ認証要求を、このユーザ認証要求に対する認証処理を行うべき認証装置へ向けて転送し、前記ユーザ認証要求に対する前記認証装置からの認証結果を、前記複数の無線基地局の一つを介して前記無線端末に送信する制御を行う制御部と、を含む無線網制御装置である。
【００１６】
また、本発明は、異なるユーザグループに属する複数の無線基地局を収容する無線網制御装置と、各ユーザグループに属するユーザの無線端末からのユーザ認証要求に対する認証処理を行う複数の認証装置とを含み、前記無線網制御装置は、前記複数の無線基地局の一つを介して無線端末からのユーザ認証要求を受信した場合に、前記複数の無線基地局の一つが属するユーザグループに対応する認証装置に前記ユーザ認証を転送し、前記無線網制御装置からのユーザ認証要求を受信する認証装置は、自装置でユーザ認証要求に対する認証処理を実行できない場合に、このユーザ認証要求の転送処理を行い、転送されたユーザ認証要求は、少なくとも一つの中継装置を介してこのユーザ認証要求に対する認証処理
を行うべき認証装置に到達する無線網制御システムである。
【００１７】
本発明によると、異なるユーザグループに属する複数の無線基地局を無線網制御装置に収容し、或るユーザグループに属するユーザが他のユーザグループに属する無線基地局からネットワークに接続できるようになる。
【発明の効果】
【００１８】
本発明によれば、認証ポリシー等が異なる複数のユーザグループの無線網を並列に収容することができ、各ユーザグループのユーザからのアクセスに対して適正な通信サービスを提供できる技術を提供することが可能となる。
【００１９】
また、本発明によれば、或るユーザグループが保有する無線基地局を用いて、他のユーザグループに属するユーザが通信サービスを享受できる技術を提供することが可能となる。
【発明を実施するための最良の形態】
【００２０】
以下、図面を参照して本発明の実施形態について説明する。実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。
【００２１】
〔無線ＬＡＮ制御装置の概要〕
以下の説明において、無線ＬＡＮアクセスポイントの制御機能を実現する機器を「無線ＬＡＮ制御装置」と呼ぶ。無線ＬＡＮ制御装置の実現方法としては、専用のハードウェア(装置)によって実現される形態だけではなく、汎用のサーバとスイッチ機器とを連携させることによって得られる機能として実現することが可能である。すなわち、本発明に係る「無線ＬＡＮ制御装置」の機能は、専用装置のみならず、既存装置の連携により提供されるものであっても良い。
【００２２】
また、以下の実施形態の説明では、無線技術の例として無線ＬＡＮを挙げている。しかし、本発明に適用可能な無線技術は、無線ＬＡＮに限られない。例えば、ＷｉＭＡＸ（Worldwide Interoperability for Microwave Access）等の無線ＭＡＮ(Metropolitan Area Network)について本発明の適用が可能である。この意味において、本発明は、無線ＬＡＮ及び無線ＭＡＮを含む無線網の制御装置(無線網制御装置)と定義することが可能である。
【００２３】
〔実施形態〕
〈システム構成〉
図１は、本発明の実施形態に係る無線ＬＡＮ制御装置が適用された通信システム(「無線ＬＡＮ制御システム」と称する)の構成例を示す図である。図１に示す例では、無線ＬＡＮ制御システムは、次のように構成されている。
【００２４】
通信事業者(「キャリア」と表記することもある)網１１内に、認証サーバ(Ｒａｄｉｕｓサーバ)群２と、ＤＨＣＰサーバ群１とが設置されている。キャリア網１１に、無線ＬＡＮ制御装置３が接続されている。無線ＬＡＮ制御装置３は、キャリアに保有されている。
【００２５】
無線ＬＡＮ制御装置３は、異なるユーザグループに属する複数の無線網の基地局(アクセスポイント)を収容することができる。ユーザグループの種別は、例えば、「企業」、「公衆無線ＬＡＮ」、「一般家庭」からなる。言い換えれば、無線ＬＡＮ制御装置３は、複数の企業、公衆無線ＬＡＮ、一般家庭等を混在させて収容することができる。
【００２６】
図１に示す例では、無線ＬＡＮ制御装置３は、企業Ａ及びＢ、公衆無線ＬＡＮ、並びに
一般家庭のネットワーク(グループユーザ網ＵＧ１、ＵＧ２、ＵＧ３、ＵＧ４)を収容している。企業Ａ、企業Ｂ、公衆無線ＬＡＮ、及び一般家庭内(各ユーザグループ網ＵＧ１〜ＵＧ４内)には、１以上の無線ＬＡＮアクセスポイント(以下、単に「アクセスポイント」と表記)が設置されている(図１では、アクセスポイント４Ａ、４Ｂ、４Ｃ、及び４Ｄを例示。以下、アクセスポイント４Ａ、４Ｂ、４Ｃ、４Ｄを特定しない場合には、「アクセスポイント４」と表記)。
【００２７】
各アクセスポイント４は、キャリア網１１へのアクセス網６を介して無線ＬＡＮ制御装置３と論理的に接続されている。但し、アクセスポイント４は、無線ＬＡＮ制御装置３と物理的に直接接続されることもできる。
【００２８】
無線ＬＡＮ制御装置３のユーザは、企業Ａ及びＢ、公衆無線ＬＡＮ、一般家庭における各無線ＬＡＮのユーザであり、「企業Ａ」、「企業Ｂ」、「公衆無線ＬＡＮ」、「一般家庭」からなる複数のユーザグループのいずれかに属している。
【００２９】
ユーザは、無線ＬＡＮ端末５を用いて、自身が属するユーザグループのアクセスポイント４に接続することができる。無線ＬＡＮ端末５として、無線ＬＡＮを備える無線ＩＰ電話、ＰＤＡ(Personal Digital Assistance)、ＰＣ(Personal Computer)等を適用することができる。
【００３０】
無線ＬＡＮ端末５は、アクセスポイント４に接続し、無線ＬＡＮ制御装置３経由でキャリア網１１に接続される。無線ＬＡＮ端末５は、キャリア網１１を介してインターネット７へ接続される。
【００３１】
企業Ａ及び企業Ｂに属するユーザは、自社のイントラネットにアクセスする場合、無線ＬＡＮ制御装置３経由で接続する。
【００３２】
通信事業者網１１に設置された認証サーバ群２、ＤＨＣＰサーバ群１は、ユーザグループ毎に設置された複数の認証サーバ、複数のＤＨＣＰサーバからなる。図１では、認証サーバ群２は、企業Ａ用の認証サーバ２Ａと、企業Ｂ用の認証サーバ２Ｂと、公衆無線ＬＡＮ／一般家庭用の認証サーバ２Ｃとからなる。また、ＤＨＣＰサーバ群１は、企業Ａ用のＤＨＣＰサーバ１Ａと、企業Ｂ用のＤＨＣＰサーバ１Ｂと、公衆無線ＬＡＮ／一般家庭用のＤＨＣＰサーバ１Ｃとからなる。それぞれのＤＨＣＰサーバは、さらに、１以上のＤＨＣＰサーバからなる。認証サーバ群２は、各ユーザグループのユーザを認証するために設けられており、ＤＨＣＰサーバ群１は、各ユーザグループのアクセスポイント４のユーザにＩＰアドレスを貸与する(払い出す)ために設けられている。
【００３３】
認証サーバ群２及びＤＨＣＰサーバ群１は、ユーザグループ毎に用意された複数のサーバ装置から構成されても良く、物理的に同一のサーバを論理的にユーザグループ毎に分けることで構成してもよい。
【００３４】
また、無線ＬＡＮ制御装置３、認証サーバ群２及びＤＨＣＰサーバ群１は、通信事業者網１１に設置される必要はなく、図１に示すようなネットワークシステム上のどこに置かれてもよい。また、無線ＬＡＮ制御装置３、認証サーバ群２及びＤＨＣＰサーバ群１のすべてが同じ場所に設置される必要はない。
【００３５】
以下、図１に示された各装置について個別に説明する。
【００３６】
《無線ＬＡＮ端末》
無線ＬＡＮ端末５は、無線ＬＡＮ機能、ＩＥＥＥ ８０２．１ｘのクライアント機能、
及びＤＨＣＰクライアント機能を有する。無線ＬＡＮ端末５は、無線ＬＡＮ制御装置３を介してインターネットやイントラネットに接続する場合、認証要求に含まれるパラメータとして、ユーザＩＤ、パスワード、ＥＳＳＩＤ（Extended Service Set Identifier）を設定する。ＥＳＳＩＤは、無線ＬＡＮにおけるネットワーク識別子である。
【００３７】
《無線ＬＡＮアクセスポイント》
アクセスポイント４は、ＩＥＥＥ ８０２．１１ａ／ｂ／ｇの無線ＬＡＮ機能、及び無線ＬＡＮ制御装置とのインタフェース機能を有する。アクセスポイント４は、無線ＬＡＮ端末５と無線ＬＡＮ制御装置３との間の通信を中継する。
【００３８】
《認証サーバ》
各認証サーバ（Radiusサーバ）２Ａ、２Ｂ、２Ｃは、無線ＬＡＮ制御装置３を経由して送信される無線ＬＡＮ端末５のユーザＩＤ及びパスワードを含む認証要求を認証処理のために受信し、認証処理の結果を無線ＬＡＮ制御装置３を経由して無線ＬＡＮ端末５へ送信する。また、認証要求に含まれるユーザＩＤが、認証要求を受信した認証サーバで認証できない場合には、この認証サーバは、あらかじめ指定された別の認証サーバへ認証要求を転送する。
【００３９】
各認証サーバ２Ａ、２Ｂ、２Ｃは、ＩＥＥＥ ８０２．１ｘのサーバ機能とRadius Proxy機能とを有する。Radius Proxy機能により、認証サーバは、自装置内のデータベースに登録されていないユーザの認証に関し、自装置内のデータベースに登録されているRadius
Proxy先リストに従い、認証要求を転送する。
【００４０】
各認証サーバ２Ａ、２Ｂ、２Ｃは、その認証サーバが管理するユーザに対して、認証とともに課金を行うこともできる。
【００４１】
各ユーザグループ単位に設置された認証サーバ（Radiusサーバ）で、ＩＥＥＥ  ８０２．１ｘユーザ認証が実行される。例えば、企業Ａの無線ＬＡＮにおいて企業Ｂのユーザのアクセスを許可する場合、企業Ａの認証サーバで企業Ｂのユーザの企業網の使用に関する認証後、キャリアによるキャリア網使用の認証を受ける。この場合、認証サーバ間のプロキシ接続を使用する。
【００４２】
《ＤＨＣＰサーバ》
各ＤＨＣＰサーバ１Ａ、１Ｂ、１Ｃは、ＩＰアドレスプールを管理する。各ＤＨＣＰサーバ１Ａ、１Ｂ、１Ｃは、無線ＬＡＮ制御装置３を介して無線ＬＡＮ端末５からのＩＰアドレス取得要求を受信した場合に、ＩＰアドレスプール内の未使用のＩＰアドレスを、無線ＬＡＮ端末５へ払い出す。
【００４３】
ＤＨＣＰサーバ１Ａ、１Ｂ、１Ｃは、ユーザグループ毎に用意される。また、ＤＨＣＰサーバは、ユーザグループにおいて、ＥＳＳＩＤ毎に用意することができる。これにより、ＤＨＣＰサーバは、ＥＳＳＩＤに応じて、異なるサブネットのＩＰアドレスを払い出すことができる。
【００４４】
《無線ＬＡＮ制御装置》
無線ＬＡＮ制御装置３は、無線ＬＡＮ制御装置３に接続された各アクセスポイント４と無線ＬＡＮ端末５との接続を制御する。また、無線ＬＡＮ制御装置３は、アクセスポイント４に接続された無線ＬＡＮ端末５のユーザのユーザ認証を制御する。また、無線ＬＡＮ制御装置３は、無線ＬＡＮ端末５へのＩＰアドレスの貸与を制御する。さらに、無線ＬＡＮ制御装置３は、ユーザのアプリケーション等に対するアクセスを制御する。
【００４５】
図２は、無線ＬＡＮ制御装置３の構成例を示す図である。無線ＬＡＮ制御装置３は、無線ＬＡＮ側の送受信部２１と、キャリア網側の送受信部２２と、制御部２３と、記憶部２４とを備えている。制御部２３は、無線ＬＡＮ接続制御部２３Ａと、ユーザ認証制御部２３Ｂと、ＤＨＣＰリレー部２３Ｃと、アクセス制御部２３Ｄとを備えている。記憶部２４には、ユーザグループデータベース(ユーザグループＤＢ)２５が格納されている。
【００４６】
送受信部２１は、通信回線を介して、各アクセスポイント４を収容している。送受信部２２は、キャリア網１１中のＤＨＣＰサーバ群１及び認証サーバ群２に接続されている。
【００４７】
記憶部２４のユーザグループＤＢ２５は、ＢＳＳＩＤ（Basic Service Set Identifier）リストと、ユーザリスト(図５)と、ＥＳＳＩＤリスト(図５)と、アクセスリスト(図１４)とを含んでいる。ＢＳＳＩＤリストは、ＢＳＳＩＤとユーザグループとの対応関係を調べるために設けられる。ユーザリストは、ユーザグループ毎に作成される、ユーザＩＤ及びパスワードを記録している。ＥＳＳＩＤリストは、ＥＳＳＩＤと認証サーバ及びＤＨＣＰサーバとの対応関係を記録している。アクセスリストは、送信元ＩＰアドレスと宛先ＩＰアドレスとの接続の可否及びトラヒックタイプの利用の可否との対応関係を記録している。
【００４８】
ＢＳＳＩＤリストの代わりに、アクセスポイントリスト(ＡＰリスト(図５))を使用することもできる。ＡＰリストは、ユーザグループ毎に各グループに属する無線ＬＡＮアクセスポイントの名称とそのＢＳＳＩＤとの対応関係を記録している。
【００４９】
ＥＳＳＩＤは、ユーザグループ単位で割り当てられる。また、１つのユーザグループ内において、２以上のＥＳＳＩＤを規定することもできる。なお、ＥＳＳＩＤは、ユーザグループ内で一意であればよく、ユーザグループ間では重複してもよい。ＢＳＳＩＤは、無線ＬＡＮにおけるネットワーク識別子の一つであり、通常、無線ＬＡＮアクセスポイントのＭＡＣ(Media Access Control)アドレスが使用される。
【００５０】
制御部２３は、ＣＰＵ、メインメモリ、入出力インタフェース等からなり、ＣＰＵが記憶部２４に記録されたプログラムを実行することによって、無線ＬＡＮ接続制御部２３Ａ、ユーザ認証制御部２３Ｂ、ＤＨＣＰリレー部２３Ｃ、アクセス制御部２３Ｄを実現する。
【００５１】
無線ＬＡＮ接続制御部２３Ａは、各アクセスポイント４に対する無線ＬＡＮ端末５の接続を制御する。無線ＬＡＮ接続制御部２３Ａは、無線ＬＡＮ端末５から送信されるＥＳＳＩＤを、アクセスポイント４を経由して、受信する。また、無線ＬＡＮ接続制御部２３Ａは、アクセスポイント４から送信されるＢＳＳＩＤを受信する。
【００５２】
ＢＳＳＩＤがＢＳＳＩＤリストに記録されている場合には、無線ＬＡＮ接続制御部２３Ａは、そのＢＳＳＩＤに対応するユーザグループのＥＳＳＩＤリストを参照する。ＥＳＳＩＤがＥＳＳＩＤリストに記録されている場合には、無線ＬＡＮ接続制御部２３Ａは、そのＥＳＳＩＤをユーザ認証制御部２３Ｂに通知する。
【００５３】
ＢＳＳＩＤがＢＳＳＩＤリストに記録されていない場合には、そのＢＳＳＩＤを持つアクセスポイントは、無線ＬＡＮ制御装置３に対するアクセス権限を持たないものと判定される。また、ＥＳＳＩＤがＥＳＳＩＤリストに記録されていない場合には、そのＥＳＳＩＤを送信した無線ＬＡＮ端末５が、そのアクセスポイント４を介した無線ＬＡＮ接続を行う権限を有していないと判定される。これにより、その無線ＬＡＮ端末５が、その無線ＬＡＮのエリア内で利用可能なユーザグループのものか否か判別することができる。
【００５４】
ユーザ認証制御部２３Ｂは、アクセスポイント４に接続された無線ＬＡＮ端末５のユーザ認証を制御する。ユーザ認証制御部２３Ｂは、無線ＬＡＮ端末５からの認証要求を認証サーバへ転送する。ユーザ認証制御部２３Ｂは、転送先の認証サーバを決定するために、ＥＳＳＩＤリストを参照する。また、ユーザ認証制御部２３Ｂは、認証サーバからの認証結果を無線ＬＡＮ端末５へ転送する。
【００５５】
ＤＨＣＰリレー部２３Ｃは、無線ＬＡＮ端末５からのＩＰアドレス取得要求をＤＨＣＰサーバへ転送する。ＤＨＣＰリレー部２３Ｃは、転送先のＤＨＣＰサーバを決定するために、ＥＳＳＩＤリストを参照する。また、ＤＨＣＰリレー部２３Ｃは、ＤＨＣＰサーバから送信されたＩＰアドレスを、無線ＬＡＮ端末５へ転送する。これにより、無線ＬＡＮ端末５からネットワーク(イントラネットやインターネット)へのアクセスが可能となる。
【００５６】
アクセス制御部２３Ｄは、無線ＬＡＮ端末が要求する接続先、無線ＬＡＮ端末が使用するアプリケーション（サービス）について、利用の可否を判断する。アクセスリストには、送信元のサブネット毎に、送信先、トラヒックタイプ及びアクセス権限が、記録されている。アクセス制御部２３Ｄは、アクセスリストを参照して、利用の可否を判断する。なお、サブネット単位ではなく、ＩＰアドレス単位でアプリケーションの利用可否を設定することにより、ＩＰアドレス単位でアクセス制御することもできる。
【００５７】
なお、無線ＬＡＮ制御装置３は本発明の「無線網制御装置」に、無線ＬＡＮアクセスポイント４は本発明の「無線基地局」に、無線ＬＡＮ端末５は本発明の「無線端末」に、認証サーバ２は本発明の「認証装置」に、ＤＨＣＰサーバ１は本発明の「貸出装置」に、送受信部２１は本発明の「通信部」に相当する。
【００５８】
〈動作例〉
次に、図１に示したネットワークシステムにおける動作例を説明する。図３は、図１に示したネットワークシステムの動作例を説明するための図である。動作例として、企業Ｂのユーザが、企業Ａのアクセスポイント４Ａから、無線ＬＡＮ端末５Ａを用いて接続する場合の動作を説明する。
【００５９】
図４は、動作例におけるネットワークシステムの動作フローを大略的に示す図である。図４に示すように、企業Ｂのユーザがアクセスポイント４Ａを利用してインターネット等にアクセスする場合、無線ＬＡＮへの接続(ステップＳ１)、ユーザ認証(ステップＳ２)、ＩＰアドレス貸与(ステップＳ３)、アクセス制御(ステップＳ４)が実行される。以下、各ステップＳ１〜Ｓ４の処理内容を詳細に説明する。
【００６０】
《無線ＬＡＮへの接続》
無線ＬＡＮ制御装置３には、ＥＳＳＩＤを、ユーザグループ毎に登録することができ、且つ１つのユーザグループが２以上のＥＳＳＩＤを登録することができる。企業Ａは、あらかじめ、企業Ａのユーザ用のＥＳＳＩＤとゲスト(企業Ａに属さないユーザ)用のＥＳＳＩＤとを、無線ＬＡＮ制御装置３のユーザグループＤＢ２５に登録する。
【００６１】
動作例では、或るユーザグループ(企業Ａ)が３つのＥＳＳＩＤを無線ＬＡＮ制御装置３に設定する。但し、各ユーザグループは、４以上のＥＳＳＩＤを無線ＬＡＮ制御装置３に設定し、ユーザの認証ポリシーを更に細かく設定することが可能である。
【００６２】
図５は、ユーザグループＤＢ２５のデータ構造例を示す図である。図５に示すように、ユーザグループＤＢ２５は、ユーザグループ毎に用意された複数のユーザグループテーブル２５１を含んでいる。ユーザグループテーブル２５１は、ＢＳＳＩＤで検索される。各ユーザグループテーブル２５１は、ＡＰリスト２５２と、ＥＳＳＩＤリスト２５３と、ユ
ーザリスト２５４とを含んでいる。
【００６３】
ＡＰリスト２５２には、ユーザグループが保有するアクセスポイント４の名称及びＢＳＳＩＤが登録されている。ＥＳＳＩＤリスト２５３は、ユーザグループが用意したＥＳＳＩＤに対応するユーザ種別、認証サーバの識別子(例えばＩＰアドレス)、及びＤＨＣＰサーバの識別子(例えばＩＰアドレス)が登録された１以上のレコードからなる。
【００６４】
ユーザリスト２５４には、ユーザグループに属するユーザのユーザＩＤ、パスワード、及びユーザが用いる無線ＬＡＮ端末のＭＡＣアドレスが登録されている。
【００６５】
なお、ＡＰリスト２５１の代わりに、ユーザグループとＢＳＳＩＤとの対応関係を記録したＢＳＳＩＤリストを保持してもよい。
【００６６】
企業Ｂのユーザは、アクセスポイント４Ａを使用する場合、企業Ａが用意したゲスト用ＥＳＳＩＤを自己の無線ＬＡＮ端末５Ａに設定する。企業Ｂのユーザが、アクセスポイント４Ａの無線ＬＡＮエリア内に入ると、無線ＬＡＮ端末５Ａは、アクセスポイント４Ａに接続するとともに、認証要求をアクセスポイント４Ａに送信する。認証要求は、ユーザＩＤ、パスワード、無線ＬＡＮ端末５ＡのＭＡＣアドレス、及びゲスト用ＥＳＳＩＤを含んでいる。
【００６７】
アクセスポイント４Ａは、無線ＬＡＮ端末５Ａからの認証要求を受信すると、この認証要求を無線ＬＡＮ制御装置３に転送する。このとき、アクセスポイント４Ａは、認証要求とともにアクセスポイント４ＡのＢＳＳＩＤ(ＭＡＣアドレス)を送信する。
【００６８】
無線ＬＡＮ制御装置３の送受信部２１がアクセスポイント４Ａからの認証要求及びＢＳＳＩＤを受信すると、認証要求及びＢＳＳＩＤは、無線ＬＡＮ接続制御部２３Ａに与えられる。すると、無線ＬＡＮ接続制御部２３Ａが、無線ＬＡＮ接続制御処理を開始する。
【００６９】
図６は、無線ＬＡＮ接続制御処理の例を示すフローチャートである。無線ＬＡＮ接続制御部２３Ａは、ユーザグループＤＢ２５から、ＢＳＳＩＤに対応するユーザグループテーブル２５１を検索する(ステップＳ００１)。すなわち、無線ＬＡＮ接続制御部２３Ａは、受信されたＢＳＳＩＤが登録されたＡＰリスト２５２を持つユーザグループテーブル２５１を検索する。対応するユーザグループテーブル２５１が検索されない場合(ステップＳ００２；ＮＯ)、そのＢＳＳＩＤを持つアクセスポイント４が無線ＬＡＮ制御装置３に登録されていないものとして、無線ＬＡＮ接続制御処理がエラー終了する。
【００７０】
ユーザグループテーブル２５１が検索されると(ステップＳ００２；ＹＥＳ)、無線ＬＡＮ接続制御部２３Ａは、ユーザグループテーブル２５１中のＥＳＳＩＤリスト２５３を参照し、認証要求に含まれたＥＳＳＩＤと一致するレコードを検索する(ステップＳ００３)。
【００７１】
ＥＳＳＩＤが一致するレコードがない場合(ステップＳ００４；ＮＯ)には、無線ＬＡＮ接続制御部２３Ａは、無線ＬＡＮ端末５Ａのアクセスを拒否することを決定し、当該処理を終了する。これにより、無線ＬＡＮ制御装置は、ゲスト用のＥＳＳＩＤを知らないユーザからの接続を拒否することができる。この場合、アクセス拒否メッセージが無線ＬＡＮ端末５Ａに送信されるようにすることができる。
【００７２】
一方、ＥＳＳＩＤが一致するレコードが検索された場合(ステップＳ００４；ＹＥＳ)には、無線ＬＡＮ接続制御部２３Ａは、無線ＬＡＮ端末５Ａのアクセスを許可することを決定し、当該処理を終了する。このとき、無線ＬＡＮ接続制御部２３Ａは、検索されたレコ
ード中の認証サーバの識別子と、認証要求とをユーザ認証制御部２３Ｂに通知する。
【００７３】
上述した無線ＬＡＮ接続制御処理が、動作例について実行されると、アクセスポイント４ＡのＢＳＳＩＤに対応する企業Ａのユーザグループテーブル２５１が検索され、このユーザグループテーブル２５１中のＥＳＳＩＤリスト２５３から、ゲスト用ＥＳＳＩＤに対応するレコードが検索される。レコードから、ゲスト用ＥＳＳＩＤに対応する認証サーバ(認証サーバ＃１、即ち認証サーバ２Ａ)が特定される。
【００７４】
《ユーザ認証》
無線ＬＡＮ接続制御処理が正常に終了する(ＥＳＳＩＤの登録が確認される)と、続いて、ユーザ認証制御部２３Ｂによるユーザ認証制御処理が実行される。ユーザ認証制御部２３Ｂは、例えば、無線ＬＡＮ接続制御部２３Ａから認証要求及び認証サーバ識別子を受け取ることを契機として、ユーザ認証制御処理を開始する。
【００７５】
図７は、ユーザ認証制御処理の例を示すフローチャートである。図７において、ユーザ認証制御部２３Ｂは、認証要求を認証サーバ識別子に基づいて、対応する認証サーバへ転送する(ステップＳ０１１)。
【００７６】
次に、ユーザ認証制御部２３Ｂは、認証要求に対する応答(認証結果)を待ち受ける状態となる(ステップＳ０１２)。その後、ユーザ認証制御部２３Ｂは、認証結果を受信すると、認証結果が成功(ＯＫ)か失敗(ＮＧ)かを判定する(ステップＳ０１３)。認証結果がＮＧである場合(Ｓ０１３；ＮＧ)には、ユーザ認証制御部２３Ｂは、その認証結果(ＮＧ)を無線ＬＡＮ端末宛てに送信し、当該処理を終了する。その後、無線ＬＡＮ制御装置３は、当該無線ＬＡＮ端末からのアクセスを拒否する状態となる。
【００７７】
これに対し、認証結果がＯＫである場合(Ｓ０１３；ＹＥＳ)には、ユーザ認証制御部２３Ｂは、認証結果(認証ＯＫ)を無線ＬＡＮ端末５宛てに送信し(ステップＳ０１５)、当該処理を終了する。
【００７８】
動作例では、ユーザ認証制御処理におけるステップＳ０１１の処理によって、無線ＬＡＮ端末５Ａからの認証要求が企業Ａの認証サーバ２Ａに転送される。認証サーバ２Ａは、認証要求を受信すると、この認証要求が認証サーバ２Ａで認証処理を行うべきものであれば、認証処理を行い、認証サーバ２Ａと異なる認証サーバで認証処理を行うべきものであれば、異なる認証サーバへ認証要求を転送する。
【００７９】
図３に示すように、認証サーバ２Ａは、記憶装置に格納された企業Ａの認証情報データベース(認証情報ＤＢ)３２を有している。図８は、認証情報ＤＢ３２のデータ構造例を示す図である。
【００８０】
図８に示すように、認証情報ＤＢ３２は、ユーザリスト３２１と、Radius proxy先リスト(認証プロキシ先リスト)３２２とを含んでいる。ユーザリスト３２１は、企業Ａのユーザの認証情報(ユーザＩＤ及びパスワード)を登録している。認証プロキシリスト３２２は、ＦＱＤＮリスト(ドメイン名)と、プロキシ先認証サーバの識別子とが登録されている。
【００８１】
なお、或るユーザグループ(例えば、企業Ａ)の認証サーバは、自己のユーザグループのユーザのユーザ認証を行い、他のユーザグループ（例えば、企業Ｂ）のユーザのユーザ認証は行わない。この場合、認証情報ＤＢ３２には、他のユーザグループに属するユーザのユーザＩＤ及びパスワードを記録しておく必要がない。
【００８２】
図９は、認証サーバによる認証処理の例を示すフローチャートである。この認証処理は
、例えば、認証サーバのＣＰＵがプログラムを実行することによって行われる。認証処理は、認証サーバが認証要求を受信したことを契機として開始される。
【００８３】
図９において、認証サーバ(のＣＰＵ)は、認証要求中のユーザＩＤがユーザリスト３２１に登録されているか否かを判定する(ステップＳ０２１)。ユーザＩＤが登録されている場合(Ｓ０２１；ＹＥＳ)には、認証サーバは、認証処理を行う(ステップＳ０２２)。
【００８４】
すなわち、認証サーバは、認証要求中のユーザＩＤ及びパスワードがユーザリスト３２１(図８)に登録されているか否かを判断する。ユーザＩＤ及びパスワードが登録されていれば、認証結果は成功(ＯＫ)であり、そうでなければ、認証結果は失敗(ＮＧ)となる。
【００８５】
認証サーバは、認証結果(ＯＫ又はＮＧ)を作成し(ステップＳ０２３)、無線ＬＡＮ制御装置３へ送信する(ステップＳ０２４)。送信が終了すると認証処理が終了する。
【００８６】
これに対し、ユーザＩＤがユーザリストに登録されていない場合(Ｓ０２１；ＮＯ)には、認証サーバは、認証プロキシ先リスト３２２(図８)を参照し、認証要求中のユーザＩＤに含まれるドメイン名が認証プロキシ先リスト３２２に登録されているか否かを判定する(ステップＳ０２５)。
【００８７】
このとき、ドメイン名が登録されていない場合(Ｓ０２５；ＮＯ)には、認証要求に対する認証処理を行う認証サーバが存在しないものとして、エラー処理(ステップＳ０２９)が実行され、当該処理が終了する。
【００８８】
これに対し、ドメイン名が登録されている場合(Ｓ０２５；ＹＥＳ)には、認証サーバは、登録されたドメイン名に対応する認証サーバ(プロキシ先認証サーバ)の識別子(例えば、ＩＰアドレス)をリスト３２２から検索する(ステップＳ０２６)。
【００８９】
認証サーバは、プロキシ先認証サーバの識別子を検索すると、この識別子に基づいて、プロキシ先認証サーバへ認証要求を転送する(ステップＳ０２７)。その後、認証サーバは、プロキシ先認証サーバからの認証結果の受信を待つ状態となる(ステップＳ０２８)。認証サーバは、認証結果を受信すると(Ｓ０２８；ＹＥＳ)、この認証結果を無線ＬＡＮ制御装置３へ送信し(Ｓ０２４)、処理を終了する。
【００９０】
上記した認証処理が企業Ａの認証サーバ２Ａで実行される場合、認証サーバ２Ａは、認証要求信号内のユーザＩＤ（例えば、ｘｘｘ＠ｂ．ｃｏｍ）が企業Ａと異なるユーザグループのユーザＩＤであることを確認する。すなわち、認証サーバ２Ａは、ユーザＩＤをユーザリスト３２１から見つけることができない(Ｓ０２１；ＮＯ)。これより、ユーザＩＤが企業Ａ以外のユーザであることが認識される。
【００９１】
企業Ａの認証サーバ２Ａは、企業Ａのユーザ以外のユーザの認証はできない。そこで、認証サーバ２Ａは、この認証要求をRadius proxy先リスト３２２に従ってキャリアの認証サーバ２Ｃに転送する(Ｓ０２５、Ｓ０２６、Ｓ０２７)。認証プロキシ先リストに登録が無い場合はその時点で認証要求は拒否される(Ｓ０２９)。
【００９２】
キャリアの認証サーバ２Ｃ(公衆無線ＬＡＮ／一般家庭用の認証サーバでもある)は、認証要求を受信すると、図９に示した認証処理を実行する。認証サーバ２Ｃは、記憶装置に格納された認証情報ＤＢ３４を有している。認証情報ＤＢ３４は、図８に示した認証情報ＤＢ３２と同様のデータ構造を有している(図１０参照)。
【００９３】
認証処理(図９)において、認証サーバ２Ｃ(のＣＰＵ)は、ユーザリスト３４１(図１０)
から認証要求中のユーザＩＤを見つけることができず(Ｓ０２１；ＮＯ)、認証プロキシ先リスト３４２(図１０)から企業Ｂの認証サーバの識別子を得る(Ｓ０２５、Ｓ０２６)。
【００９４】
これによって、認証サーバ２Ｃは、認証要求元のユーザが企業Ｂのユーザであることを判別し、リスト３４２から得られた認証サーバ識別子に従って、認証要求を更に企業Ｂの認証サーバ２Ｂに転送する。
【００９５】
認証サーバ２Ｂは、認証要求を受信すると、図９に示した認証処理を行う。認証サーバ２Ｂは、記憶装置に格納された認証情報ＤＢ３３を有している。認証情報ＤＢ３３は、図示しないが、図８に示した認証情報ＤＢ３２と同様のデータ構造を有している。
【００９６】
認証処理(図９)において、認証サーバ２Ｂ(のＣＰＵ)は、認証情報ＤＢ３３のユーザリストから認証要求に含まれるユーザＩＤを見つける(Ｓ０２１；ＹＥＳ)。すると、認証サーバ２Ｂは、ユーザリストを用いて認証処理を行い(Ｓ０２２)、認証結果(認証ＯＫ)を作成する(Ｓ０２３)。認証サーバ２Ｂは、認証要求の送信元ＩＰアドレスに基づき、認証結果を認証要求の送信元の認証サーバ(ここでは、認証サーバ２Ｃ)に送信する(Ｓ０２４)。
【００９７】
認証サーバ２Ｃは、認証サーバ２Ｂから認証結果を受信すると、認証処理(図９)を再開し(Ｓ０２８；ＹＥＳ)、認証結果を認証サーバ２Ａに転送する(Ｓ０２４)。認証サーバ２Ａは、認証サーバ２Ｃから認証結果を受信すると(Ｓ０２８；ＹＥＳ)、認証結果を無線ＬＡＮ制御装置３に転送する(Ｓ０２４)。
【００９８】
無線ＬＡＮ制御装置３の送受信部２２で認証サーバ２Ａから認証結果を受信すると、ユーザ認証制御部２３Ｂがユーザ認証制御処理を再開し(図７のＳ０１２；ＹＥＳ)、認証結果(ＯＫ)を送受信部２１から無線ＬＡＮ端末５Ａへ送信する(Ｓ０１３、Ｓ０１５)。
【００９９】
以上のように、本実施形態では、グループユーザ毎に認証サーバが用意され、無線ＬＡＮ制御装置３から認証要求を受信した認証サーバが自装置で認証要求に対する認証処理を行うことができない場合に、認証要求がプロキシ先の認証サーバへ転送される。認証要求は、最終的に認証処理を実行可能な認証サーバに到達し、そこで認証処理が実行される。認証結果は、認証要求の転送経路を逆戻りし、最終的に無線ＬＡＮ制御装置３に到達する。
【０１００】
このような構成によると、企業Ａのユーザの認証情報の管理は企業Ａが、企業Ｂのユーザの認証情報の管理は企業Ｂが行うことが可能となる。また、上記した構成では、通信事業者(キャリア)が企業Ａと企業Ｂとの間を仲介する。これによって、企業Ａと企業Ｂの認証サーバ間で認証情報を直接に受け渡しする必要がない。すなわち、認証要求が認証サーバ間で直接送受信される場合と異なり、認証要求の送信元ＩＰアドレスから認証サーバのＩＰアドレスを伺い知ることはできない(認証要求の送信元ＩＰアドレスはキャリア認証サーバのＩＰアドレスとなる)。また、企業Ａの認証サーバは、企業Ｂの認証サーバのＩＰアドレスを知ることができない。これによって、認証サーバに対するセキュリティが損なわれることが抑えられる。
【０１０１】
また、上述したような構成の代わりに、キャリアの認証サーバが、企業Ｂの認証情報を代行して管理してもよい。すなわち、認証サーバ２Ｂ内の企業Ｂの認証情報ＤＢを認証サーバ２Ｃが管理することができる。この場合、企業Ｂのユーザからの認証要求は、企業Ｂの認証サーバ２Ｂに転送されず、キャリアの認証サーバ２Ｃに転送され、認証サーバ２Ｃによって認証される。また、キャリアの認証サーバ２Ｃの代わりに、第三者の認証サーバが、或るユーザグループの認証処理を代行することもできる。
【０１０２】
図１１は、認証サーバと認証要求のプロキシ先との関係を例示する図である。図１１において、企業Ａのネットワーク(ユーザグループ網)ＵＧ１におけるアクセスポイント４(図示せず)に接続された無線ＬＡＮ端末５Ｅの認証要求は、無線ＬＡＮ制御装置３(図示せず)を介して企業Ａの認証サーバ２Ａに転送される。このとき、認証要求が企業Ｂのユーザの認証要求ＲＢであれば、認証要求ＲＢは、キャリアの認証サーバ２Ｃを経由して、企業Ｂの認証サーバ２Ｂに到達し、認証サーバ２Ｂにて認証処理が実行される。
【０１０３】
これに対し、認証サーバ２Ａで受信された認証要求が公衆無線ＬＡＮ／一般家庭のユーザの認証要求ＲＧであれば、認証要求ＲＧは、認証サーバ２Ｃに転送され、認証処理が実行される。ここでは、「公衆無線ＬＡＮ」や「一般家庭」のユーザグループに属するユーザは、キャリアサービスの加入者であることを前提としている。このため、これらのユーザグループのユーザ認証は認証サーバ２Ｃで実行される。
【０１０４】
また、図１１に示すように、例えば、企業Ｃが企業Ａの関連企業であり、両者が親密な関係を持つ場合には、次の構成を採用可能である。すなわち、企業Ａの認証サーバ２Ａと企業Ｃの認証サーバ２Ｄとの間(企業ＡのネットワークＵＧ１と企業Ｃのネットワーク(ユーザグループネットワーク)ＵＧ５との間)が、ＶＰＮ(Virtual Private Network)で直接に接続される。認証サーバ２Ａで端末５Ｅから受信された企業Ｃのユーザの認証要求ＲＣは、ＶＰＮトンネルを通過して認証サーバ２Ｄへ転送され、認証サーバ２Ｄで認証要求ＲＣに対する認証処理が実行される。その後、例えば、端末５ＥとネットワークＵＧ５内のアクセスポイント４(図示せず)に接続された端末５Ｆとの間で、ＶＰＮを用いた通信を行うことができる。
【０１０５】
《ＩＰアドレス貸与(払い出し)》
無線ＬＡＮ制御装置３から認証結果(ＯＫ)を受信した無線ＬＡＮ端末５Ａは、次にＤＨＣＰを使用し、ＩＰアドレスの取得要求（ＤＨＣＰリクエスト）を送信する。ＩＰアドレス取得要求には、ゲスト用ＥＳＳＩＤが含まれている。ＩＰアドレス取得要求は、アクセスポイント４Ａを経由し(このとき、取得要求にＢＳＳＩＤが付与される)、無線ＬＡＮ制御装置３の送受信部２１で受信され、ＤＨＣＰリレー部２３Ｃに渡される。
【０１０６】
無線ＬＡＮ制御装置は、自装置内に記録されるデータを参照し、ＩＰアドレスの取得要求を転送すべきＤＨＣＰサーバを決定する。転送すべきＤＨＣＰサーバは、認証要求を受信した無線ＬＡＮアクセスポイントが所属するユーザグループおよびＥＳＳＩＤより決定される。
【０１０７】
図１２は、ＤＨＣＰリレー部２３Ｃによる処理(ＤＨＣＰリレー処理)を示すフローチャートである。図１２に示す処理は、例えば、ＩＰアドレス取得要求及びＢＳＳＩＤの受信を契機として開始される。ＤＨＣＰリレー部２３Ｃは、ユーザグループＤＢ２５から、ＢＳＳＩＤに対応するユーザグループテーブル２５１を検索する(ステップＳ０３１)。
【０１０８】
ユーザグループテーブル２５１が検索できない場合(ステップＳ０３２；ＮＯ)には、ＤＨＣＰリレー部２３Ｃは、エラー処理の後、ＤＨＣＰリレー処理を終了する。これに対し、ユーザグループテーブル２５１が検索できた場合(Ｓ０３２；ＹＥＳ)には、ＤＨＣＰリレー部２３Ｃは、ユーザグループテーブル２５１のＥＳＳＩＤリスト２５３から、ＩＰアドレス取得要求中のＥＳＳＩＤと一致するレコードを検索する(ステップＳ０３３)。
【０１０９】
レコードが検索されない場合(ステップＳ０３４；ＮＯ)には、エラー処理の後、ＤＨＣＰリレー処理が終了する。これに対し、レコードが検索された場合(Ｓ０３４；ＹＥＳ)には、ＤＨＣＰリレー部２３Ｃは、レコードに格納されたＤＨＣＰサーバの識別子(例えばＩＰアドレス)に基づき、ＩＰアドレス取得要求を送受信部２２からＤＨＣＰサーバに転
送する(ステップＳ０３５)。
【０１１０】
その後、ＤＨＣＰリレー部２３Ｃは、ＤＨＣＰサーバからのＩＰアドレスの受信を待つ状態となる(ステップＳ０３６)。ＩＰアドレスが送受信部２２で受信されると(Ｓ０３６；ＹＥＳ)、ＤＨＣＰリレー部２３Ｃは、ＩＰアドレスを送受信部２１から無線ＬＡＮ端末５Ａへ送信する(ステップＳ０３７)。その後、ＤＨＣＰリレー処理が終了する。
【０１１１】
動作例では、ＤＨＣＰリレー部２３Ｃは、企業Ａのアクセスポイント４ＡのＢＳＳＩＤに基づき、企業Ａのユーザグループテーブル２５１を検索する(Ｓ０３１、Ｓ０３２；ＹＥＳ)。次に、ＤＨＣＰリレー部２３Ｃは、検索されたユーザグループテーブル２５１のＥＳＳＩＤリストから、ＩＰアドレス取得要求に含まれるＥＳＳＩＤに対応するＤＨＣＰサーバの識別子(ＤＨＣＰサーバ＃２、すなわちＤＨＣＰサーバ１ＡＢ（図１３）)を得る(Ｓ０３３、Ｓ０３４；ＹＥＳ)。ＤＨＣＰリレー部２３Ｃは、ＩＰアドレス取得要求を、ＤＨＣＰサーバ１ＡＢに転送する(Ｓ０３５)。
【０１１２】
ＤＨＣＰサーバ１ＡＢは、ＤＨＣＰクライアントからの要求に応じて貸与可能な複数のＩＰアドレスをＩＰアドレスプール３１にて管理している。ＩＰアドレスプール３１は、ＤＨＣＰサーバ１ＡＢの記憶装置上に作成されている。
【０１１３】
無線ＬＡＮ制御装置３よりＩＰアドレス取得要求を受信したＤＨＣＰサーバ１ＡＢ(のＣＰＵ)は、ＩＰアドレスプール３１の中から未使用のＩＰアドレスを取り出し、無線ＬＡＮ制御装置３へ送信する。
【０１１４】
ＤＨＣＰサーバ１ＡＢから払い出されたＩＰアドレスは、無線ＬＡＮ制御装置３の送受信部２２で受信される。すると、ＤＨＣＰリレー部２３ＣがＤＨＣＰリレー処理を再開し(Ｓ０３６；ＹＥＳ)、ＩＰアドレスを送受信部２１から送信する(Ｓ０３７)。ＩＰアドレスは、アクセスポイント４Ａを経由して、無線ＬＡＮ端末５Ａで受信される。無線ＬＡＮ端末５Ａは、通知されたＩＰアドレスを自装置に登録し、ＩＰ通信用のアドレスとして使用する。
【０１１５】
図１３は、動作例に適用したＩＰアドレスの払い出しの作用説明図である。図１３において、無線ＬＡＮ制御装置３のＤＨＣＰリレー部２３Ｃは、或るユーザグループネットワーク(図１３では企業ＡのネットワークＵＧ１を例示)内のアクセスポイント４Ａから受信される、各ユーザグループ(企業Ａ、企業Ｂ、一般家庭)の無線ＬＡＮ端末５Ｇ、５Ｈ、５ＩからのＩＰアドレス取得要求を受信する。
【０１１６】
すると、ＤＨＣＰリレー部２３Ｃは、無線ＬＡＮ端末５Ｇ、５Ｈ、５Ｉが使用するアクセスポイント４Ａが属するユーザグループ(ＢＳＳＩＤから特定可能)と、そのユーザグループにおいて規定されたＥＳＳＩＤ(ユーザ種別毎に異なるＥＳＳＩＤが定義される)とに基づいて、ＩＰアドレス取得要求を、複数のＤＨＣＰサーバのいずれかに振り分ける。
【０１１７】
例えば、ＤＨＣＰリレー部２３Ｃは、無線ＬＡＮ端末５Ｇ(企業Ａ)からのＩＰアドレス取得要求を、企業Ａのユーザ用のＤＨＣＰサーバ１ＡＡに振り分け、無線ＬＡＮ端末５Ｈ(企業Ｂ)からのＩＰアドレス取得要求を、企業Ｂのユーザ用のＤＨＣＰサーバ１ＡＢに振り分け、無線ＬＡＮ端末５Ｉ(一般家庭)からのＩＰアドレス取得要求を、一般家庭のユーザ用のＤＨＣＰサーバ１ＡＣに振り分ける。このような構成を適用することで、ユーザグループ毎かつＥＳＳＩＤ毎に異なるサブネットのＩＰアドレスを払い出すことが可能となる。例えば、企業Ａのアクセスポイントを利用する企業Ａの社員と、ゲストユーザに対しそれぞれ異なるサブネットのＩＰアドレスを払い出すことが出来る。なお、使用するアプリケーション毎にＥＳＳＩＤを分けることにより、アプリケーション毎に異なるサブネッ
トのＩＰアドレスを利用することもできる。
【０１１８】
なお、振り分け先のＤＨＣＰサーバは、物理的に分離されたＤＨＣＰサーバを設置しても、物理的には同一のサーバを論理的に分離し論理的なＤＨＣＰサーバ毎にアドレスプールを管理してもよい。
【０１１９】
《アクセス制御》
ＩＰアドレスの払い出しが完了した時点で、無線ＬＡＮ端末５ＡはＩＰ通信が可能な状態となる。この状態では、無線ＬＡＮ端末５Ａは、無線ＬＡＮ制御装置３経由で企業ＡのネットワークＵＧ１(イントラネット)及びインターネットに自由にアクセスすることが可能である。このような状態を企業Ａのアクセスポント４Ａに接続した全てのユーザに許容することは、企業Ａのネットワーク・セキュリティの観点から望ましくない。そこで、異なるユーザグループのユーザ(無線ＬＡＮ端末)に対し、アクセス制限が課せられる。
【０１２０】
ＩＰアドレスが無線ＬＡＮ端末５Ａに払い出された後、ユーザが無線ＬＡＮ端末５Ａを用いて接続先(宛先ＩＰアドレス)及び使用アプリケーション(ＨＴＴＰ、ＦＴＰ、ＳＩＰ等)の指定を含むＩＰパケットを送信する。
【０１２１】
ＩＰパケットは、アクセスポイント４Ａを介して無線ＬＡＮ制御装置３の送受信部２１で受信される。すると、アクセス制御部２３Ｄが、ＩＰパケットに対するアクセス制御処理を実行する。
【０１２２】
図１４は、記憶部２４上に格納されているアクセスリストテーブル２５６のデータ構造例を示す図である。図１５は、アクセス制御処理の例を示すフローチャートである。
【０１２３】
図１４に示すように、アクセスリストテーブル２５６は、ユーザグループ毎に用意された複数のアクセスリスト２５７からなる。アクセスリスト２５７は、「送信元」、「送信先」、「トラヒックタイプ」、及び「アクセス権限」を要素とする複数のレコードからなる。各レコードには、送信元から宛先へのトラヒックタイプ(使用アプリケーション)が指定されたＩＰパケット通信に対するアクセス権限(通信の許可／非許可)が定義されている。定義は、リストの上から下に向かって順に適用される。
【０１２４】
図１４中のアクセスリスト２５７における部分Ａは、サブネット“10.1.x.x/24”からのすべてのトラヒックの通過を許可することを意味する。部分Ｂは、サブネット“10.2.x.x/24”からサブネット“10.y.y.y/24”へのトラヒックの通過が許可されず、“10.2.x.x/24”からサブネット“10.y.y.y/24”以外へのトラヒックの通過が許可されることを意味する。部分Ｃは、サブネット“10.3.x.x/24”からサブネット“10.y.y.y/24”へのＳＩＰ／ＲＴＰトラヒックの通過が許可され、サブネット“10.3.x.x/24”からサブネット“10.y.y.y/24”へのＳＩＰ／ＲＴＰトラヒック以外のトラヒックの通過が許可されず、サブネット“10.3.x.x/24”からサブネット“10.y.y.y/24”以外へのトラヒックの通過が許可されることを意味する。部分Ｄは、部分Ａ、Ｂ及びＣで定義されたトラヒックを除くトラヒックの通過が許可されないことを意味する。
【０１２５】
図１５において、アクセス制御部２３Ｄは、ＩＰパケットが受信されると、このＩＰパケットのトラヒックの送信元、送信先(宛先)及びトラヒックタイプ(使用アプリケーション)を特定する(ステップＳ０４１)。
【０１２６】
すなわち、アクセス制御部２３Ｄは、ＩＰパケットのＩＰヘッダから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出するとともに、例えばＩＰパケットのＴＣＰヘッダからポート番号を抽出する。送信元ＩＰアドレスはアクセスを要求するユーザ(送信元)を示し、
宛先ＩＰアドレスはアクセス要求先(宛先)を示し、ポート番号はトラヒックタイプ(使用アプリケーション)を示す。
【０１２７】
次に、アクセス制御部２３Ｄは、ユーザグループＤＢ２５のアクセスリストテーブル２５６(図１４)から、参照すべきアクセスリスト２５７を特定する(ステップＳ０４２)。すなわち、アクセス制御部２３Ｄは、ＩＰパケットとともに、このＩＰパケットを転送したアクセスポイント４(ここではアクセスポイント４Ａ)のＢＳＳＩＤを受け取っており、このＢＳＳＩＤに対応するアクセスリスト２５７を取得する。ここでは、アクセスポイント４に対応する企業Ａ用のアクセスリスト２５７が取得される。
【０１２８】
次に、アクセス制御部２３Ｄは、アクセスリスト２５７から、ステップＳ０４１で得たトラヒックの送信元、送信先及びトラヒックタイプと合致するレコードを検索し、検索されたレコード中に規定されたアクセス権限の内容(許可／非許可)に従って、ＩＰパケットの通過を許可するか否かを決定する(ステップＳ０４３)。
【０１２９】
その後、アクセス制御部２３Ｄは、ＩＰパケットの通過を許可する場合(ステップＳ０４４；許可)には、そのＩＰパケットを転送する。これに対し、ＩＰパケットの通過を許可しない場合(Ｓ０４４；非許可)には、ＩＰパケットの通過を遮断する。これによって、アクセスが許可されていないユーザのアクセスが拒否される。
【０１３０】
図１６は、アクセス制御の作用説明図である。図１６には、企業ＡのネットワークＵＧ１内のアクセスポイント４Ａに接続された無線ＬＡＮ端末５Ｊ、５Ｋ、５Ｌが示されている。無線ＬＡＮ端末５Ｊは企業Ａに属するユーザの端末であり、無線ＬＡＮ端末５Ｋは、例えば企業Ｂに属するユーザの端末であり、無線ＬＡＮ端末５Ｌは、例えば一般家庭に属するユーザの端末である。各無線ＬＡＮ端末５Ｊ、５Ｈ、５Ｌに対するユーザ認証が成功すると、ＤＨＣＰリレー処理により、対応するＤＨＣＰサーバから各端末５Ｊ、５Ｈ、５Ｌが使用すべきＩＰアドレスが貸与される。このとき、ＤＨＣＰサーバは、各端末に対するアクセス権限に応じたＩＰアドレス群(アドレス範囲)をＩＰアドレスプールで管理しており、アクセス権限に応じたＩＰアドレスの一つが、各端末５Ｊ、５Ｈ、５Ｌに貸与される。
【０１３１】
ここでは、例えば、端末５Ｊ(企業Ａユーザ)に対して、すべてのサービス(トラフィック)を許可するためのＩＰアドレス群の一つ(例えば、サブネット“10.1.x.x”に属するネットワークアドレス“10.1.1.1”を含む)が貸与される。また、端末５Ｋ(企業Ｂユーザ)に対し、企業Ａのイントラネットへのアクセスのみを制限するためのＩＰアドレス群の一つ(例えば、サブネット“10.2.x.x”に属するネットワークアドレス“10.2.1.1”を含む)が貸与される。また、端末５Ｌ(一般家庭ユーザ)に対し、音声通信(ＳＩＰ／ＲＴＰトラヒック)のみを許可するためのＩＰアドレス群の一つ(例えば、サブネット“10.3.x.x”に属するネットワークアドレス“10.3.1.1”を含む)が貸与される。
【０１３２】
一方、無線ＬＡＮ制御装置３のアクセスリスト２５７には、次のようなアクセス制御がサブネット単位で定義される。アクセスリスト２５７への定義の設定方法は、例えば、無線ＬＡＮ制御装置３にマニュアルで静的に設定する方法や、ポリシーサーバ等の外部サーバから動的に自動設定する方法を適用可能である。
(１) 送信元ＩＰアドレスがサブネット“10.1.x.x”に属する場合には、そのＩＰパケットの宛先及びトラヒックタイプに拘わらず当該ＩＰパケットの通過を許可する。
(２)送信元ＩＰアドレスがサブネット“10.2.x.x”に属する場合には、例えば、サブネット“10.y.y.y”を含むＩＰアドレス(例えば、企業ＡのネットワークのＩＰアドレス)へのアクセスのみを制限する(ＩＰパケットを破棄する)。
(３)送信元ＩＰアドレスがサブネット“10.3.x.x”に属する場合には、トラヒックタイプ
が“ＳＩＰ／ＲＴＰ”である場合にのみＩＰパケットの通過を許可する。
【０１３３】
以上を前提として、各端末５Ｊ、５Ｋ及び５Ｌが、サブネット“10.y.y.y”を宛先とするＩＰパケットを送信したと仮定する。この場合、無線ＬＡＮ制御装置３において、アクセス制御部２３Ｄが、アクセスリスト２５７の定義に従って、各ＩＰパケットを次のように取り扱う。
(Ａ)端末５ＪからのＩＰパケットの通過を許可する(宛先へ向けて転送する)。
(Ｂ)端末５ＫからのＩＰパケットを破棄する。
(Ｃ)端末５ＬからのＩＰパケットのトラヒックタイプが「ＳＩＰ／ＲＴＰ」であればＩＰパケットの通過を許可し、「ＳＩＰ／ＲＴＰ」以外のトラヒックタイプであれば、ＩＰパケットを破棄する。
【０１３４】
以上の構成によれば、或るユーザグループのユーザが異なるユーザグループのアクセスポイントを用いてネットワークサービスを利用する場合に、異なるユーザグループは、或るユーザグループのユーザに対して、所望のアクセス制限を課することができる。図１５に示す例では、企業Ａは、企業Ｂのユーザに対して、企業ＡのネットワークＵＧ１に対するすべてのアクセスを制限することができる。一方、企業Ａは、一般家庭のユーザに対して、企業ＡのネットワークＵＧ１の利用に関し、音声通信のみを許可することができる。
【０１３５】
このように、ユーザグループ毎に異なるサブネットを持つＩＰアドレスを貸与し、サブネット毎に用意されたアクセス権限の定義を無線ＬＡＮ制御装置３に設定することで、各ユーザグループのユーザに対して適正なアクセス制御を行うことができる。
【０１３６】
なお、図１６に示した例では、ネットワークアドレス単位のアクセス制御を行う方法を記載しているが、特定の無線ＬＡＮ端末のＩＰアドレス単位でアクセス制御を行うなど、アクセス制御を適用する単位は自由に決めることができる。
【０１３７】
〈実施形態の効果〉
キャリアが、無線ＬＡＮサービスを提供する際、複数の企業、公衆無線ＬＡＮ、一般家庭を混在して同一の装置に収容することができる。これにより、加入者の収容効率が上がり、設備コストの削減となる。
【０１３８】
キャリアが、ユーザに新サービスを提供することが可能となる。例えば、企業内のフリースポットや、一般家庭ユーザのアクセスポイントについても、他の一般家庭ユーザが使用できるサービスを提供することが可能となる。アクセスポイントを所有しているユーザに課金するだけでなく、実際に通信を行ったユーザに課金するサービス等、従来提供できなかった新サービスが可能となる。
【０１３９】
キャリアが企業間のユーザ認証を第三者として仲介することにより、企業間の認証サーバ間で直接認証情報を受け渡しする必要がなくなり、セキュリティが損なわれることなくユーザ認証を行うことが可能となる。
【０１４０】
企業が、自社内の無線ＬＡＮアクセスポイントを自社のユーザ用として使用すると同時に、企業外のゲストユーザに対し、フリースポットとして共用し、ゲストユーザへのサービスを向上させることが可能となる。ユーザグループ毎にアクセス制御を行うことが可能であるため、企業内のセキュリティを損なうことなく、例えば、企業内の受付や会議室に設置される無線ＬＡＮアクセスポイントを利用する企業外のユーザに対し、インターネットアクセスを提供すること等が可能となり、利便性が向上する。
【０１４１】
〔その他〕
上述した実施形態は、以下の発明の開示を含む。以下の発明は必要に応じて適宜組み合わせることができる。
（付記１）
異なるユーザグループに属する複数の無線基地局と通信する通信部と、
前記複数の無線基地局の一つを介して前記通信部で受信される、前記ユーザグループの一つに属する無線端末からのユーザ認証要求を、このユーザ認証要求に対する認証処理を行うべき認証装置へ向けて転送し、前記ユーザ認証要求に対する前記認証装置からの認証結果を、前記複数の無線基地局の一つを介して前記無線端末に送信する制御を行う制御部と、
を含む無線網制御装置。（１）
（付記２）
前記制御部は、前記ユーザ認証要求を受信した場合に、前記無線端末が前記複数の無線基地局の一つを使用する権限を有するか否かを判定し、権限を有しない場合には、前記ユーザ認証要求の転送を行わない
付記１に記載の無線網制御装置。（２）
（付記３）
前記制御部は、前記複数の無線基地局の一つが属するユーザグループに対応する認証装置へ前記認証要求を転送し、
前記ユーザ認証要求は、前記複数の無線基地局の一つが属するユーザグループに対応する認証装置にて認証処理を行うことができない場合に、少なくとも一つの中継装置を介して前記認証要求に対する認証処理を行うべき認証装置に転送される
付記１又は２に記載の無線網制御装置。（３）
（付記４）
ユーザ認証に成功した前記無線端末からのＩＰアドレス取得要求を前記通信部が前記複数の無線基地局の一つを介して受信した場合に、前記制御部は、前記ＩＰアドレス取得要求を前記無線端末の属するユーザグループ用のＩＰアドレスを貸し出す貸出装置に転送し、前記貸出装置から受信されるＩＰアドレスを前記通信部から前記無線端末へ送信する
付記１乃至３のいずれか１つに記載の無線網制御装置。（４）
（付記５）
前記制御部は、前記無線端末と前記複数の無線基地局の一つとが異なるユーザグループに属する場合に、前記無線端末が前記複数の無線基地局の一つを用いて利用可能な通信サービスを制限する
付記１乃至４のいずれか１つに記載の無線網制御装置。
（付記６）
前記複数の無線基地局の一つの利用権限を示す利用権限識別子が登録された記憶部を更に含み、
前記制御部は、前記通信部で前記ユーザ認証要求とともに受信される前記無線端末からの利用権限識別子が前期記憶部に登録されていれば前記ユーザ認証要求の転送を行い、そうでなければ前期ユーザ認証要求の転送を行わない
付記２に記載の無線網制御装置。
（付記７）
前記記憶部は、前記利用権限識別子に対応するユーザ認証要求を転送すべき認証装置の識別情報を記憶しており、
前記制御部は、前記認証装置の識別情報に基づいて前記ユーザ認証要求の転送を行う
付記６に記載の無線網制御装置。
（付記８）
前記複数の無線基地局の一つの利用権限を示す利用権限識別子に対応する貸出装置の識別情報を記憶する前記記憶部をさらに含み、
前記制御部は、前記通信部で前記ＩＰアドレス取得要求とともに受信される前記無線端末からの利用権限識別子に対応する貸出装置の識別情報に基づいて、前記ＩＰアドレス取
得要求の転送を行う
付記４に記載の無線網制御装置。
（付記９）
前記利用権限識別子は、ユーザグループ毎に異なる値を有し、
前記利用権限識別子に応じた複数のＩＰアドレス群が用意され、
前記無線端末からの利用権限識別しに応じたＩＰアドレス群からＩＰアドレスが前記無線端末に貸し出される
付記８に記載の無線網制御装置。
（付記１０）
前記複数のＩＰアドレス群は、前記複数の無線基地局の一つが属するユーザグループで管理され、相互に異なるサブネットを有する
付記９に記載の無線網制御装置。
（付記１１）
前記複数の無線基地局の一つは、無線ＬＡＮアクセスポイントであり、
前記無線端末は、無線ＬＡＮ端末であり、
前記利用権限識別子は、ＥＳＳＩＤである
付記６乃至１０のいずれか１つに記載の無線網制御装置。
（付記１２）
前記無線端末に貸し出されたＩＰアドレスに対応する、前記無線端末が利用可能な通信サービスを定義した定義情報を記憶した記憶部をさらに含み、
前記送受信部が前記複数の無線基地局を介して前記無線端末からのＩＰパケットを受信した場合に、前記制御部は、前期ＩＰパケットに設定された送信元ＩＰアドレスに対応する前記定義情報に従って、前期ＩＰパケットの通過の許可／非許可を判定する
付記５に記載の無線網制御装置。
（付記１３）
前記定義情報は、所定宛先へのＩＰパケットの転送を非許可とすることを含む
付記９に記載の無線網制御装置。
（付記１４）
前記定義情報は、所定アプリケーションに係るＩＰパケットの転送を非許可とすることを含む
付記９又は１０に記載の無線網制御装置。
（付記１５）
異なるユーザグループに属する複数の無線基地局を収容する無線網制御装置と、
各ユーザグループに属するユーザの無線端末からのユーザ認証要求に対する認証処理を行う複数の認証装置とを含み、
前記無線網制御装置は、前記複数の無線基地局の一つを介して無線端末からのユーザ認証要求を受信した場合に、前記複数の無線基地局の一つが属するユーザグループに対応する認証装置に前記ユーザ認証を転送し、
前記無線網制御装置からのユーザ認証要求を受信する認証装置は、自装置でユーザ認証要求に対する認証処理を実行できない場合に、このユーザ認証要求の転送処理を行い、転送されたユーザ認証要求は、少なくとも一つの中継装置を介してこのユーザ認証要求に対する認証処理を行うべき認証装置に到達する
無線網制御システム。（５）
（付記１６）
前記無線網制御装置からのユーザ認証要求を受信する認証装置は、自装置でユーザ認証要求に対する認証処理を実行できない場合に、ＶＰＮで直接的に接続された前記ユーザ認証要求に対する認証処理を行うべき認証装置へ前記ユーザ認証要求を転送する
付記１５に記載の無線網制御システム。
（付記１７）
前記各認証装置は、
自装置で認証処理を行うユーザのユーザ情報と、前記ユーザ情報に含まれないユーザからのユーザ認証要求の転送先を示す転送先情報とが登録された記憶部と、
ユーザ認証要求時を受信した場合に、このユーザ認証要求に対応するユーザ情報が記憶部に登録されていればこのユーザ認証要求に対する認証処理を行い、そうでなければ、転送先情報に従ってこのユーザ認証要求を転送する制御部と
を含む付記１５又は１６に記載の無線網制御システム。
【図面の簡単な説明】
【０１４２】
【図１】無線ＬＡＮ制御システムを示す図である。
【図２】無線ＬＡＮ制御装置を示す図である。
【図３】図１に示したネットワークシステムの動作例を説明する図である。
【図４】動作例におけるネットワークシステムの動作フローを大略的に示す図である。
【図５】ユーザグループＤＢのデータ構造例を示す図である。
【図６】無線ＬＡＮ接続制御処理の例を示すフローチャートである。
【図７】ユーザ認証制御処理の例を示すフローチャートである。
【図８】認証情報ＤＢのデータ構造例を示す図である。
【図９】認証サーバによる認証処理の例を示す図である。
【図１０】認証情報ＤＢのデータ構造例を示す図である。
【図１１】認証サーバと認証要求のプロキシ先との関係を例示する図である。
【図１２】ＤＨＣＰリレー部による処理を示すフローチャートである。
【図１３】動作例に適用したＩＰアドレス貸与の作用説明図である。
【図１４】記憶部に格納されているアクセスリストテーブルのデータ構造例を示す図である。
【図１５】アクセス制御処理の例を示すフローチャートである。
【図１６】アクセス制御の作用説明図である。
【図１７】無線ＬＡＮスイッチが適用された通信システムの構成例を示す図である。
【符号の説明】
【０１４３】
１      ＤＨＣＰサーバ群
１Ａ    企業ＡのＤＨＣＰサーバ
１ＡＡ  企業Ａの企業Ａユーザ用のＤＨＣＰサーバ
１ＡＢ  企業Ａのゲストユーザ用のＤＨＣＰサーバ
１Ｂ    企業ＢのＤＨＣＰサーバ
１Ｃ    キャリアのＤＨＣＰサーバ
２      認証サーバ（Ｒａｄｉｕｓサーバ）群
２Ａ    企業Ａの認証サーバ
２Ｂ    企業Ｂの認証サーバ
２Ｃ    キャリアの認証サーバ
２Ｄ    企業Ｃの認証サーバ
３      無線ＬＡＮ制御装置
４      無線ＬＡＮアクセスポイント
４Ａ    企業Ａの無線ＬＡＮアクセスポイント
４Ｂ    企業Ｂの無線ＬＡＮアクセスポイント
４Ｃ    公衆無線ＬＡＮの無線ＬＡＮアクセスポイント
４Ｄ    一般家庭の無線ＬＡＮアクセスポイント
５      無線ＬＡＮ端末
６      キャリア網へのアクセス網
１１      キャリア網
２１      送受信部
２２      送受信部
２３      制御部
２３Ａ    無線ＬＡＮ制御部
２３Ｂ    ユーザ認証制御部
２３Ｃ    ＤＨＣＰリレー部
２３Ｄ    アクセス制御部
２４      記憶部
２５      ユーザグループＤＢ
３１      ＩＰアドレスプール
３２      企業Ａの認証情報データベース
３３      企業Ｂの認証情報データベース
３４      キャリアの認証情報データベース
２５１      ユーザグループテーブル
２５２      ＡＰリスト
２５３      ＥＳＳＩＤリスト
２５４      ユーザリスト
ＲＢ        企業Ｂのユーザの認証要求
ＲＣ        企業Ｃのユーザの認証要求
ＲＧ        公衆無線ＬＡＮ／一般家庭ユーザの認証要求
ＵＧ１      企業Ａのユーザグループ網
ＵＧ２      企業Ｂのユーザグループ網
ＵＧ３      公衆無線ＬＡＮのユーザグループ網
ＵＧ４      一般家庭のユーザグループ網
ＵＧ５      企業Ｃ（関連企業）のユーザグループ網
【図１】
0004754964.tif 000002
【図２】
0004754964.tif 000003
【図３】
0004754964.tif 000004
【図４】
0004754964.tif 000005
【図５】
0004754964.tif 000006
【図６】
0004754964.tif 000007
【図７】
0004754964.tif 000008
【図８】
0004754964.tif 000009
【図９】
0004754964.tif 000010
【図１０】
0004754964.tif 000011
【図１１】
0004754964.tif 000012
【図１２】
0004754964.tif 000013
【図１３】
0004754964.tif 000014
【図１４】
0004754964.tif 000015
【図１５】
0004754964.tif 000016
【図１６】
0004754964.tif 000017
【図１７】
0004754964.tif 000018