(57)【要約】【課題】  ユーザレベルに応じたネットワークサービスを、簡単な構成で実現できるようにするとともに、クライアント端末ユーザには大きな負担をかけることなく実現できるようにする。【解決手段】  上位ネットワーク１とローカルネットワーク２との組合せで構成され、前記各ネットワーク１、２間の接続コントロールを無線アクセスポイント１０が司り、少なくとも前記ローカルネットワーク２側に無線通信媒体を利用した無線ローカルネットワーク３が存在し、前記無線ローカルネットワーク２上で無線端末１０１〜１０３の通信アソシエーションを形成する際に、前記ローカルネットワーク２内に存在する認証サーバー１２との間で前記無線端末１０１〜１０３に対するユーザ認証シーケンスのメッセージをモニタしてログインユーザに係わる所定の情報を取得して、ログインユーザレベルを判定する。【選択図】  図１
2005268936.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワーク間の接続コントロールを司るアクセスポイントであって、
前記アクセスポイントが形成するネットワーク上で通信装置の通信アソシエーションを形成する際に、前記通信装置と、第１のネットワーク内に存在する認証サーバーとの間のユーザ認証シーケンスのメッセージをモニタし、前記ユーザ認証の結果に基づいて、ログインユーザに係わる所定の情報を取得する認証結果取得手段を有することを特徴とするアクセスポイント。
【請求項２】
前記認証シーケンスのメッセージをモニタし、必要な情報を読み出して内部データベースに記憶する情報記憶手段を有することを特徴とする請求項１に記載のアクセスポイント。
【請求項３】
前記情報記憶手段は、前記認証シーケンスのメッセージをモニタし、ユーザ認証用のユーザ識別情報を読み出し、内部データベースに記憶することを特徴とする請求項２に記載のアクセスポイント。
【請求項４】
前記情報記憶手段は、前記認証シーケンスのメッセージをモニタし、通信装置の識別情報を読み出し、内部データベースに記憶することを特徴とする請求項２に記載のアクセスポイント。
【請求項５】
前記情報記憶手段は、前記認証シーケンスのメッセージをモニタし、前記ユーザ認証の成否を認識し、内部データベースに記憶することを特徴とする請求項２に記載のアクセスポイント。
【請求項６】
前記情報記憶手段は、前記認証シーケンスのメッセージをモニタし、前記通信装置とのローカル接続を司るアクセスポイントの識別の情報を読み出し、内部データベースに記憶することを特徴とする請求項２に記載のアクセスポイント。
【請求項７】
前記情報記憶手段により記憶した情報を用いて、前記通信装置の識別情報をインデックスにした情報記憶テーブルを機器内部にて生成する情報記憶テーブル生成手段を有することを特徴とする請求項２〜６の何れか１項に記載のアクセスポイント。
【請求項８】
前記情報記憶テーブルを更新する情報記憶テーブル更新手段を有し、前記情報記憶テーブル更新手段は、前記ユーザ認証の成否認識タイミングで前記情報記憶テーブルを更新することを特徴とする請求項７に記載のアクセスポイント。
【請求項９】
前記情報記憶テーブル更新手段は、機器内部で自立的に生成されるデータベースの更新タイミングで前記情報記憶テーブルを更新することを特徴とする請求項７に記載のアクセスポイント。
【請求項１０】
前記情報記憶テーブルが更新されるタイミング毎に、前記通信装置の識別情報について更新の有無を検索し、更新された通信装置の識別情報を識別して抽出する識別情報抽出手段と、前記識別情報抽出手段により抽出された通信装置の識別情報に対応して、前記通信装置に対するＩＰフィルタリングの設定情報を更新する設定情報更新手段とを具備することを特徴とする請求項７〜９の何れか１項に記載のアクセスポイント。
【請求項１１】
前記情報記憶テーブルが更新されるタイミング毎に、前記通信装置の識別情報について更新の有無を検索し、更新された通信装置の識別情報を識別して抽出する識別情報抽出手段と、前記識別情報抽出手段により抽出された通信装置の識別情報に対応して、前記通信装置に対するＭＡＣアドレスフィルタリングの設定情報を更新する設定情報更新手段とを具備することを特徴とする請求項７〜９の何れか１項に記載のアクセスポイント。
【請求項１２】
前記情報記憶テーブルが更新されるタイミング毎に、前記通信装置の識別情報について更新の有無を検索し、更新された通信装置の識別情報を識別して抽出する識別情報抽出手段と、前記識別情報抽出手段により抽出された通信装置の識別情報に対応して、前記通信装置に対するＮＡＴ機能に関する設定情報を更新する設定情報更新手段とを具備することを特徴とする請求項７〜９の何れか１項に記載のアクセスポイント。
【請求項１３】
前記情報記憶テーブルが更新されるタイミング毎に、前記通信装置の識別情報について更新の有無を検索し、更新された通信装置の識別情報を識別して抽出する識別情報抽出手段と、前記識別情報抽出手段により抽出された情報に対応して、前記通信装置に対するＩＰマスカレード機能に関する設定情報を更新する設定情報更新手段とを具備することを特徴とする請求項７〜９の何れか１項に記載のアクセスポイント。
【請求項１４】
前記情報記憶テーブルが更新されるタイミング毎に、前記通信装置の識別情報について更新の有無を検索し、更新された通信装置の識別情報を識別して抽出する識別情報抽出手段と、前記識別情報抽出手段により抽出された情報に対応して、通信装置に対して提供するＩＰアドレスの付与方法に関する設定情報を更新する設定情報更新手段とを具備することを特徴とする請求項７〜９の何れか１項に記載のアクセスポイント。
【請求項１５】
前記複数のネットワークは、上位ネットワークと、ローカルネットワークとを含み、前記アクセスポイントが形成するネットワークは無線ネットワークであることを特徴とする請求項１〜１４の何れか１項に記載のアクセスポイント。
【請求項１６】
前記請求項１〜１５の何れか１項に記載のアクセスポイントを有することを特徴とするネットワークシステム。
【請求項１７】
上位ネットワークとローカルネットワークとの組合せで構成され、前記各ネットワーク間の接続コントロールを無線アクセスポイントが司り、少なくとも前記ローカルネットワーク側に無線通信媒体を利用した無線ローカルネットワークが存在し、前記無線ローカルネットワーク上で通信アソシエーションを形成する際に、前記上位ネットワーク内に存在する認証サーバーとの間で前記無線端末に対するユーザ認証を行い、前記ユーザ認証が成功した端末にのみ前記通信アソシエーションを形成するネットワークシステムであって、
前記認証サーバーとの間の認証シーケンスのメッセージをモニタし、前記通信アソシエーションの形成に先立って行われる前記ユーザ認証の結果に基づいて、ログインユーザに係わる所定の情報を取得する認証結果取得手段を有することを特徴とするネットワークシステム。
【請求項１８】
複数のネットワーク間の接続コントロールを司るアクセスポイントを有するネットワークシステムにおけるサービス提供方法であって、
前記アクセスポイントが形成するネットワーク上で通信装置の通信アソシエーションの形成に先立って行われる前記通信装置と第１のネットワーク上の認証サーバーとの間の認証シーケンスのメッセージをモニタし、前記ユーザ認証の結果に基づいて、ログインユーザに係わる所定の情報を取得する認証結果取得工程を有することを特徴とするネットワークサービス提供方法。
【請求項１９】
複数のネットワーク間の接続コントロールを司るアクセスポイントを有するネットワークシステムにおけるサービス提供方法をコンピュータに実行させるプログラムであって、
前記アクセスポイントが形成するネットワーク上で通信装置の通信アソシエーションの形成に先立って行われる前記通信装置と第１のネットワーク上の認証サーバーとの間の認証シーケンスのメッセージをモニタし、前記ユーザ認証の結果に基づいて、ログインユーザに係わる所定の情報を取得する認証結果取得工程をコンピュータに実行させることを特徴とするコンピュータプログラム。
【請求項２０】
前記請求項１９に記載のコンピュータプログラムを記録したことを特徴とするコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はアクセスポイント、ネットワークシステム及びネットワークサービス提供方法に関し、特に、複数のネットワーク間の接続コントロールを司るアクセスポイントに関するものである。
【背景技術】
【０００２】
近年、無線ＬＡＮ等の無線ネットワークシステムの普及に伴い、ローカルネットワークに、無線ネットワークを用い、上位ネットワークとの接続を司るフィルタ機能付無線アクセスポイントが製品化されている。
【０００３】
また、ネットワークアクセスのセキュリティ担保のために利用ユーザ認証処理を行い、成功した無線機器にのみネットワークへの接続を認めるEAP(Extended Authentication Protocol)が導入されつつある。
【０００４】
IPネットワークを介したホーム網、ビジター網のシームレスな接続を実施するために、ビジター網からホーム網の認証サーバーに認証情報を転送し、端末の正当性を確認するとともに、認証パケットをビジター網のルーターがスニファ（傍受）し、ローミングのための最適ルートを検索する手法として（特許文献１、特許文献２）が提案されていた。
【０００５】
複数の無線通信ユニットを具備し、そのユニット間でのセキュリティ強度が異なる無線ルーターにおいて、ユニット毎に提供するネットワークサービスレベルに差異を設ける手法として（引用文献３）が提案されていた。
【０００６】
【特許文献１】特開平１１−２７５１５７号公報
【特許文献２】特開平１１−２８４６６６号公報
【特許文献２】特開２００２−３５９６３１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、前記の従来例では以下のような問題点があった。すなわち、ビジター網での接続コントロールのための条件として、ユーザ認証処理の成否のみで判断しているため、ビジター網側で提供するネットワークサービスを段階的に提供することが困難であった。
【０００８】
また、無線通信ユニット毎に提供するネットワークサービスレベルに差異を設ける手法では、提供サービスレベル数分の無線通信ユニットの実装が必要となり、フィルタ機能付無線アクセスポイントのコストアップ要因となるとともに、適切な提供サービスレベルの無線通信ユニットとの間で無線リンクを設定するための処理が必要となり、クライアント端末ユーザには大きな負担となっていた。
【０００９】
本発明はこのような状況のもとでなされたものであり、ユーザレベルに応じたネットワークサービスを、簡単な構成で実現できるようにするとともに、クライアント端末ユーザには大きな負担をかけることなく実現できるようにすることを目的としている。
【課題を解決するための手段】
【００１０】
本発明のアクセスポイントは、複数のネットワーク間の接続コントロールを司るアクセスポイントであって、前記アクセスポイントが形成するネットワーク上で通信装置の通信アソシエーションを形成する際に、前記通信装置と、第１のネットワーク内に存在する認証サーバーとの間のユーザ認証シーケンスのメッセージをモニタし、前記ユーザ認証の結果に基づいて、ログインユーザに係わる所定の情報を取得する認証結果取得手段を有することを特徴としている。
【００１１】
また、本発明のネットワークシステムは、前記の何れかに記載のアクセスポイントを有することを特徴としている。
また、本発明の他の特徴とするところは、上位ネットワークとローカルネットワークとの組合せで構成され、前記各ネットワーク間の接続コントロールを無線アクセスポイントが司り、少なくとも前記ローカルネットワーク側に無線通信媒体を利用した無線ローカルネットワークが存在し、前記無線ローカルネットワーク上で通信アソシエーションを形成する際に、前記上位ネットワーク内に存在する認証サーバーとの間で前記無線端末に対するユーザ認証を行い、前記ユーザ認証が成功した端末にのみ前記通信アソシエーションを形成するネットワークシステムであって、前記認証サーバーとの間の認証シーケンスのメッセージをモニタし、前記通信アソシエーションの形成に先立って行われる前記ユーザ認証の結果に基づいて、ログインユーザに係わる所定の情報を取得する認証結果取得手段を有することを特徴としている。
【００１２】
本発明のネットワークサービス提供方法は、複数のネットワーク間の接続コントロールを司るアクセスポイントを有するネットワークシステムにおけるサービス提供方法であって、前記アクセスポイントが形成するネットワーク上で通信装置の通信アソシエーションの形成に先立って行われる前記通信装置と第１のネットワーク上の認証サーバーとの間の認証シーケンスのメッセージをモニタし、前記ユーザ認証の結果に基づいて、ログインユーザに係わる所定の情報を取得する認証結果取得工程を有することを特徴としている。
【００１３】
本発明のコンピュータプログラムは、複数のネットワーク間の接続コントロールを司るアクセスポイントを有するネットワークシステムにおけるサービス提供方法をコンピュータに実行させるプログラムであって、前記アクセスポイントが形成するネットワーク上で通信装置の通信アソシエーションの形成に先立って行われる前記通信装置と第１のネットワーク上の認証サーバーとの間の認証シーケンスのメッセージをモニタし、前記ユーザ認証の結果に基づいて、ログインユーザに係わる所定の情報を取得する認証結果取得工程をコンピュータに実行させることを特徴としている。
【００１４】
本発明の記録媒体は、前記に記載のコンピュータプログラムを記録したことを特徴としている。
【発明の効果】
【００１５】
本発明によれば、アクセスポイントが形成するネットワーク上で通信装置の通信アソシエーションを形成する際に、通信装置と認証サーバーとの間のユーザ認証シーケンスのメッセージをモニタしてログインユーザに係わる所定の情報を取得して、ログインユーザレベルを判定するようにしたので、ログインしたユーザが正規利用ユーザであるか、一時利用ユーザであるかを判定することができ、ユーザレベルに応じたネットワークサービスの提供を動的に実現することができる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明のフィルタ機能付無線アクセスポイント、ネットワークシステム、ネットワークサービス提供方法、コンピュータプログラム及び記録媒体の実施の形態について、添付の書面を参照し説明する。
(第１の実施の形態)
本発明のフィルタ機能付無線アクセスポイントの実施の形態の一例として、無線ローカルネットワーク用通信媒体にIEEE802.11系無線LANとBlue toothを利用し、上位ネットワークとローカルネットワークとの組合せで構成されるネットワークシステムの下で利用する際のフィルタ機能付無線アクセスポイントの動作例を示す。
【００１７】
図１は、本実施の形態におけるネットワーク構成の概念を示す図である。
図１において、１は上位ネットワーク、２は有線ローカルネットワーク、３は無線ローカルネットワーク、１０は本実施の形態のフィルタ機能付無線アクセスポイント、１１はローカルネット用データサーバー、１２はローカルネット用のProxy機能を具備するRADIUS（Remote Authentication Dial-In User Service）サーバー、１３は上位ネット用データサーバー、１４は上位ネット用RADIUSサーバー、１００は有線接続クライアント端末、１０１〜１０３は無線接続クライアント端末（Ａ〜Ｃ）である。
【００１８】
図２は、本実施の形態のフィルタ機能付無線アクセスポイントの機能構成の階層を説明する図である。本実施の形態のフィルタ機能付無線アクセスポイントを実現するための構成要素機能として、ＩＰパケットスニファ（傍受）機能ブロックが、有線ローカルネットワーク２に接続されるローカルネット用RADIUSサーバー１２と、フィルタ機能付無線アクセスポイント１０との間の認証シーケンスをモニタする構造となっている。
【００１９】
図３に、図１のネットワーク構成において、上位ネット用のRADIUSサーバーにてユーザ認証を行う際の認証シーケンス例を示す。また、図４にRADIUSデータフォーマット構成を示し、図５にRADIUS-Access Request メッセージのAttribute情報の構成例を示し、図６に本実施の形態の処理で収集した前記無線接続クライアント端末毎の認証結果例を示し、ログインユーザ識別情報、ログイン無線端末識別情報等、認証関連情報パラメータを関連付けて内部記憶する手段の１実施の形態である、前記接続クライアント毎のネットワーク情報記憶テーブルの構成例を示す。
【００２０】
図７に、RADIUSサーバー宛てのＩＰパケットスニファ（傍受）時の処理概念を説明するフローチャートを示し、図８にRADIUSサーバー発のＩＰパケットスニファ（傍受）時の処理概念を説明するフローチャートを示し、図９に前記クライアント毎のネットワーク情報記憶テーブル（図６）の更新処理概念を説明するフローチャートを示し、図１０にＲＡＤＩＵＳサーバー宛てのＩＰパケットスニファ（傍受）からRADIUSサーバー発のＩＰパケットスニファ（傍受）までの応答待ち時間タイムアップ時の処理概念を説明するフローチャートを示す。
【００２１】
次に、前記各フローチャート（図７〜１０）を用いて前記接続クライアント毎のネットワーク情報記憶テーブル（図６）の更新手順に関して説明する。
本実施の形態のフィルタ機能付無線アクセスポイントに事前設定されている、ローカルネット用RADIUSサーバー１２に割り当てられるＩＰアドレスを認識し、当該ＩＰアドレスに対して送受信されるＩＰパケットをスニファ（図７、図８）する。
【００２２】
ローカルネット用RADIUSサーバー１２宛てのＩＰパケットを受信した際、本実施の形態のフィルタ機能付無線アクセスポイントに事前設定されている、ローカルネット用RADIUSサーバー１２に割り当てられるＴＣＰポート番号と、受信パケットの宛先ポート番号とを比較（ステップＳ７０１）し、一致した場合は、受信パケットのRADIUSメッセージコード（４００）が「Access Request」（0x01）であるか否かの比較（ステップＳ７０２）を行い、一致しない場合は直ちに１処理単位を終了する。
【００２３】
受信パケットのRADIUSメッセージコード４００が「Access Request」（0x01）である場合、RADIUSメッセージシーケンスの識別番号である「Identifier」値４０１を一時記憶する。
【００２４】
また、規定時間の固定長タイマである、当該メッセージに対応する応答メッセージの受信応答待ちタイマをスタート（ステップＳ７０３）させるとともに、「Access Request」（0x01）メッセージ内のRADIUSメッセージアトリビュート（４ｎｎ、図５）にて通知される情報の中から、ログインユーザ名（User Name）、オーセンティケータのＩＰアドレス（NAS-IP-Address）、オーセンティケータのＭＡＣアドレス（Called-Station-ID）、ログイン端末機器のＭＡＣアドレス（Calling-Station-ID）、等の情報を一時的に記憶（ステップＳ７０４）した後、１処理単位を終了する。
【００２５】
ローカルネット用RADIUSサーバー１２発のＩＰパケットを受信した際、本実施の形態のフィルタ機能付無線アクセスポイントに事前設定されている、ローカルネット用RADIUSサーバー１２に割り当てられるＴＣＰポート番号と受信パケットの送信元ポート番号を比較（ステップＳ８０１）し、一致しない場合は、直ちに１処理単位を終了し、一致した場合は、受信パケットのメッセージシーケンスの識別番号である「Identifier」値（４０１）が、一時記憶中のものと合致するか比較（ステップＳ８０２）し、一致しない場合は、直ちに１処理単位を終了し、一致した場合は、受信パケットのRADIUSメッセージコード（４００）タイプの判定（ステップＳ８０３、ステップＳ８０５）を行う。
【００２６】
前記パケットのRADIUSメッセージコード４００のタイプが「Access Reject」(0x03)であるか、或は「Access Accept」 (0x02)である場合、前記ローカルネット用RADIUSサーバー１２宛てのＩＰパケットを受信処理において一時記憶している、対応する「Access Request」（0x01）メッセージ内のRADIUSメッセージアトリビュート（４ｎｎ、図５）にて通知される情報の中から、ログインユーザ名（User Name）、オーセンティケータのＩＰアドレス（NAS-IP-Address）、オーセンティケータのＭＡＣアドレス（Called-Station-ID）、ログイン端末機器のＭＡＣアドレス（Calling-Station-ID）、等の情報に従って、前記接続クライアント毎のネットワーク情報記憶テーブル（図６）を更新（ステップＳ８０４、ステップＳ８０６）する。
【００２７】
また、前記RADIUSメッセージコード（４００）タイプ以外である場合は、一時記憶している前記情報を抹消（ステップＳ８０７）した後、受信パケットのメッセージシーケンスの識別番号である「Identifier」値の前記一時記憶情報を抹消し、前記応答メッセージの受信応答待ちタイマをクリア（ステップＳ８０８）した後、１処理単位を終了する。
【００２８】
前記RADIUSパケットスニファ処理による前記接続クライアント毎のネットワーク情報記憶テーブル（図６）の更新が生起した場合、更新されたログイン機器（MACアドレスベースで管理）に対して、図９の判定処理を実行する。
【００２９】
先ず、RADIUS認証結果の成否判定（ステップＳ９０１）を行い、成功であれは、ログインユーザ名より、所属（認証先）ドメイン情報を読み出（ステップＳ９０２）し、本実施の形態のフィルタ機能付無線アクセスポイントに事前設定されているアクセス制限対象ドメイン情報との比較判定（ステップＳ９０３）を行う。
【００３０】
また、アクセス制限対象ドメインでなければアクセス制限を施さず、アクセス制限対象ドメインであれば、本実施の形態のフィルタ機能付無線アクセスポイントに事前設定されている制限条件を該当するログイン機器の登録テーブルに設定（本実施の形態ではIPフィルタリングによる、IPパケットレベルでのフィルタリングを設定）した後（ステップＳ９０４）１処理単位を終了する。
【００３１】
前記RADIUS認証結果の成否判定（ステップＳ９０１）を行い、失敗であれは、今回の認証の失敗が、本実施の形態のフィルタ機能付無線アクセスポイントに事前設定されている規定回数以上の連続失敗であるかの判定（ステップＳ９０５）を行い、規定回数以内であればそのまま、規定回数を越えた場合にはあれば、該当機器の接続拒否（本実施の形態ではMACフィルタリングによる、無線パケットレベルでのフィルタリング）した後（ステップＳ９０６）１処理単位を終了する。
【００３２】
前記応答メッセージの受信応答待ちタイマがタイムアップした際には、前記一時記憶している、対応する「Access Request」（0x01）メッセージ内のRADIUSメッセージアトリビュート（４ｎｎ、図５）にて通知される情報の中から、ログインユーザ名（User Name）、オーセンティケータのＩＰアドレス（NAS-IP-Address）、オーセンティケータのＭＡＣアドレス（Called-Station-ID）、ログイン端末機器のＭＡＣアドレス（Calling-Station-ID）、等の情報を認証タイムアウト端末として更新（１００１）した後、受信パケットのメッセージシーケンスの識別番号である「Identifier」値の前記一時記憶情報を抹消し、前記応答メッセージの受信応答待ちタイマをクリア（１００２）した後、１処理単位を終了する。
【００３３】
前記処理により、前記認証サーバーとの間の認証シーケンスのメッセージをモニタし、通信アソシエーション形成に先立って行われる前記ユーザ認証の結果と、ユーザ認証用のユーザ識別情報、端末識別の情報、前記ユーザ認証の成否、前記無線ローカル接続を司るアクセスポイントの識別の情報を入手し、無線接続した前記端末識別情報（本実施の形態ではMACアドレス）をインデックスにして情報記憶テーブルを機器内部にて自動生成する内部データベースに記憶する。
【００３４】
前記情報記憶テーブルの自動更新タイミング毎に、更新された情報記憶テーブルの更新タイミングで前記更新された情報に対応して、認証ユーザID毎に所属（認証先）ドメイン情報を認識し前記所属（認証先）ドメイン情報対応するIPフィルタリング、MACアドレスフィルタリング、ＮＡＴ（network address translator）機能、IPマスカレード（IP Masquerade）機能、ＩＰアドレスの付与方法等の設定情報を、設定条件に応じて自動更新することを可能にしている。
【００３５】
(第２の実施の形態)
図１１に、第２の実施の形態におけるネットワーク構成の概念を示す。
図１１において、１は上位ネットワーク、２は有線ローカルネットワーク、３は無線ローカルネットワーク、１０は本実施の形態のフィルタ機能付無線アクセスポイント、１１はローカルネット用データサーバー、１４は上位ネットワーク用のProxy機能を具備するRADIUSサーバー（xDSLプロバイダ等の認証サーバー）、１３は上位ネット用データサーバー、１５〜１ｎは上位ネット用RADIUSサーバー（ISP等のユーザ認証サーバー）、１００は有線接続クライアント端末、１０１〜１０３は無線接続クライアント端末である。
【００３６】
図１２は、本実施の形態のフィルタ機能付無線アクセスポイントの機能構成階層を説明する図である。
本実施の形態の機能の実現のための構成要素機能として、ＩＰパケットスニファ（傍受）機能ブロックが、上位ネットワークインタフェース１に接続される上位ネットワーク用RADIUSサーバー１１４と本実施の形態のフィルタ機能付無線アクセスポイントと間の認証シーケンスをモニタする構造となっている。
【００３７】
図１３は、図１１のネットワーク構成において上位ネット用のRADIUSサーバーにてユーザ認証を行う際の認証シーケンス例を説明する図である。図１４は、本実施の形態の処理で収集した前記無線接続クライアント端末毎の認証結果例を示す図であり、ログインユーザ識別情報、ログイン無線端末識別情報等、認証関連情報パラメータを関連付けて内部記憶する手段の一例である、第２の実施の形態における前記接続クライアント毎のネットワーク情報記憶テーブルの構成例を示す。
【００３８】
前記図１４で示した、ネットワーク情報テーブルの更新方法に関しては、本実施の形態においても、第１の実施の形態にて説明した手法（図７〜１０のフローチャートにて示した手法）を用いて、前記広域ネットワーク上の認証サーバーとの間の認証シーケンスのメッセージをWANインタフェース上でモニタし、通信アソシエーション形成に先立って行われる前記ユーザ認証の結果と、ユーザ認証用のユーザ識別情報、端末識別の情報、前記ユーザ認証の成否、前記無線ローカル接続を司るアクセスポイントの識別の情報を入手し、無線接続した前記端末識別情報（本実施の形態ではMACアドレス）をインデックスにして情報記憶テーブルを機器内部にて自動生成する内部データベースに記憶することが可能である。
【００３９】
前記情報記憶テーブルの自動更新タイミング毎に、更新された情報記憶テーブルの更新タイミングで前記更新された情報に対応して、認証ユーザID毎に所属（認証先）ドメイン情報を認識し前記所属（認証先）ドメイン情報対応するIPフィルタリング、MACアドレスフィルタリング、NAT機能、IPマスカレード機能、IPアドレスの付与方法等の設定情報を、設定条件に応じて自動更新することを可能にしている。
【００４０】
(第３の実施の形態)
図１５は、第３の実施の形態におけるネットワーク構成の概念を示す図である。
図１５において、１は上位ネットワーク、２は有線ローカルネットワーク、３は無線ローカルネットワーク、１０は本実施の形態のフィルタ機能付無線アクセスポイント、１１はローカルネット用データサーバー、１４は上位ネットワーク用のProxy機能を具備するRADIUSサーバー（xDSLプロバイダ等の認証サーバー）、１３は上位ネット用データサーバー、１５〜１ｎは上位ネット用RADIUSサーバー（ISP等のユーザ認証サーバー）、２０はIEEE802.1x EAP機能搭載の無線アクセスポイント、１００は有線接続クライアント端末、１０１は無線接続クライアント端末Ａ、１０２は無線接続クライアント端末Ｂ、１０３は無線接続クライアント端末Ｃ、２０１は無線接続クライアント端末α、２０２は無線接続クライアント端末βである。
【００４１】
本実施の形態においても、図１２に示すようなフィルタ機能付無線アクセスポイントの機能構成階層を適用し、ＩＰパケットスニファ（傍受）機能ブロックが、上位ネットワークインタフェース１に接続される、上位ネットワーク用RADIUSサーバー（１）１４と、本実施の形態のフィルタ機能付無線アクセスポイントとの間の認証シーケンス、及び前記有線ローカルネットワーク２に接続されたIEEE802.1ｘEAP機能搭載の無線アクセスポイントとの間の認証シーケンスをモニタすることが可能となっている。
【００４２】
図１６は、図１５のネットワーク構成において、上位ネット用のRADIUSサーバー（１）１４にてユーザ認証を行う際の認証シーケンス例を示している。また、図１７は、本実施の形態の処理で収集した前記無線接続クライアント端末毎の認証結果、ログインユーザ識別情報、ログイン無線端末識別情報等、認証関連情報パラメータを関連付けて内部記憶する手段の実施形態である、第三実施の形態における前記接続クライアント毎のネットワーク情報記憶テーブルの構成例を示す。
【００４３】
前記図１７のネットワーク情報テーブルの更新方法に関しては、本実施の形態においても、第１の実施の形態にて説明した手法（図７〜１０のフローチャートにて示した手法）を用いている。
【００４４】
そして、前記広域ネットワーク上の認証サーバーとの間の認証シーケンスのメッセージをWANインタフェース上でモニタし、通信アソシエーション形成に先立って行われる前記ユーザ認証の結果と、ユーザ認証用のユーザ識別情報、端末識別の情報、前記ユーザ認証の成否、前記無線ローカル接続を司るアクセスポイントの識別の情報を入手し、前記有線ローカルネットワーク２に接続された無線アクセスポイント２０への接続を含めて、無線接続した前記端末識別情報（本実施の形態ではMACアドレス）をインデックスにして情報記憶テーブルを機器内部にて自動生成する内部データベースに記憶することが可能である。
【００４５】
前記情報記憶テーブルの自動更新タイミング毎に、更新された情報記憶テーブルの更新タイミングで前記更新された情報に対応して、認証ユーザID毎に所属（認証先）ドメイン情報を認識し前記所属（認証先）ドメイン情報対応するIPフィルタリング、NAT機能、IPマスカレード機能、IPアドレスの付与方法等の設定情報を、設定条件に応じて自動更新することを可能にしている。
【００４６】
（他の実施の形態)
前記実施の形態においては、フィルタ機能付無線アクセスポイントの一実施の形態として、無線ローカルネットワーク用通信媒体にIEEE802.11系無線LANとBlue toothを利用し、上位ネットワークとローカルネットワークの組合せで構成されるネットワークシステム下で利用する際の本実施の形態のフィルタ機能付無線アクセスポイントの動作例を示したが、この無線ローカルネットワークを構成する通信ネットワーク媒体は一意的に固定されるものではなく、有線/無線LANを含むIPネットワークであり、且つネットワークへの参加に先立ってユーザ認証（認証サーバーに対する認証処理）が必要なシステムである場合にも、同様の効果を得ることが可能である。
【００４７】
（本発明の他の実施形態）
前述した実施形態の機能を実現するべく各種のデバイスを動作させるように、前記各種デバイスと接続された装置あるいはシステム内のコンピュータに対し、前記実施形態の機能を実現するためのソフトウェアのプログラムコードを供給し、そのシステムあるいは装置のコンピュータ（ＣＰＵあるいはＭＰＵ）に格納されたプログラムに従って前記各種デバイスを動作させることによって実施したものも、本発明の範疇に含まれる。
【００４８】
また、この場合、前記ソフトウェアのプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコード自体、およびそのプログラムコードをコンピュータに供給するための手段、例えば、かかるプログラムコードを格納した記録媒体は本発明を構成する。かかるプログラムコードを記録する記録媒体としては、例えばフレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ等を用いることができる。
【００４９】
また、コンピュータが供給されたプログラムコードを実行することにより、前述の実施形態の機能が実現されるだけでなく、そのプログラムコードがコンピュータにおいて稼働しているＯＳ（オペレーティングシステム）あるいは他のアプリケーションソフト等と共同して前述の実施形態の機能が実現される場合にもかかるプログラムコードは本発明の実施形態に含まれる。
【００５０】
さらに、供給されたプログラムコードがコンピュータの機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに格納された後、そのプログラムコードの指示に基づいてその機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合にも本発明に含まれる。
【図面の簡単な説明】
【００５１】
【図１】第１の実施の形態におけるネットワーク構成概念図である。
【図２】第１の実施の形態におけるフィルタ機能付無線アクセスポイントの機能構成階層を説明する図である。
【図３】第１の実施の形態のネットワーク構成において上位ネット用のRADIUSサーバーにてユーザ認証を行う際の認証シーケンス例を示す図である。
【図４】RADIUSメッセージデータフォーマット構成を説明する図である。
【図５】RADIUS-Access Request メッセージのAttribute情報の構成例を説明する図である。
【図６】第１の実施の形態における接続クライアント毎のネットワーク情報記憶テーブルの構成例を説明する図である。
【図７】RADIUSサーバー宛てのＩＰパケットスニファ（傍受）時の処理概念を説明するフローチャートである。
【図８】RADIUSサーバー発のＩＰパケットスニファ（傍受）時の処理概念を説明するフローチャートである。
【図９】クライアント毎のネットワーク情報記憶テーブルの更新処理概念を説明するフローチャートである。
【図１０】RADIUSサーバー宛てのＩＰパケットスニファ（傍受）からRADIUSサーバー発のＩＰパケットスニファ（傍受）までの応答待ち時間タイムアップ時の処理概念を説明するフローチャートである。
【図１１】第２の実施の形態におけるネットワーク構成概念図である。
【図１２】第２、第３の実施の形態におけるフィルタ機能付無線アクセスポイントの機能構成階層を説明する図である。
【図１３】第２の実施の形態のネットワーク構成において上位ネット用のRADIUSサーバーにてユーザ認証を行う際の認証シーケンス例を説明する図である。
【図１４】第２の実施の形態における接続クライアント毎のネットワーク情報記憶テーブルの構成例を説明する図である。
【図１５】第３の実施の形態におけるネットワーク構成概念図である。
【図１６】第３の実施の形態のネットワーク構成において上位ネット用のRADIUSサーバーにてユーザ認証を行う際の認証シーケンス例を説明する図である。
【図１７】第３の実施の形態における接続クライアント毎のネットワーク情報記憶テーブルの構成例を説明する図である。
【符号の説明】
【００５２】
１  上位ネットワーク
２  有線ローカルネットワーク
３  無線ローカルネットワーク
１０  フィルタ機能付無線アクセスポイント
１１  ローカルネット用データサーバー
１２  ローカルネット用RADIUSサーバー
１３  上位ネット用データサーバー
１４  上位ネット用RADIUSサーバー
１５〜１n  上位ネット用RADIUSサーバー
２０  ＥＡＰ搭載無線アクセスポイント
１００  有線クライアント端末
１０１〜１０３  無線クライアント端末
２０１〜２０２  無線クライアント端末
【図１】
2005268936.tif 000003
【図２】
2005268936.tif 000004
【図３】
2005268936.tif 000005
【図４】
2005268936.tif 000006
【図５】
2005268936.tif 000007
【図６】
2005268936.tif 000008
【図７】
2005268936.tif 000009
【図８】
2005268936.tif 000010
【図９】
2005268936.tif 000011
【図１０】
2005268936.tif 000012
【図１１】
2005268936.tif 000013
【図１２】
2005268936.tif 000014
【図１３】
2005268936.tif 000015
【図１４】
2005268936.tif 000016
【図１５】
2005268936.tif 000017
【図１６】
2005268936.tif 000018
【図１７】
2005268936.tif 000019