(57)【要約】    【課題】  本発明は、端末装置のユーザがネットワークに接続する際に煩雑な操作を行うことなく、端末装置間による通信を可能にするパケット中継装置を提供する。    【解決手段】  本パケット中継装置は、Ｗｅｂサーバやメールサーバ等から成るサーバ２０２と、ＤＨＣＰサーバ２０３と、認証サーバ２０４と、無線端末２０５とで構成された、ＤＨＣＰサーバ２０３によってＩＰアドレス割り当てが行われるネットワークにおいて、無線端末２０５のアクセスポイント（パケット中継装置）１００への接続開始時に認証サーバ２０４によって行われる認証処理では認証されない無線端末であっても、パケット中継装置への接続を許可された無線端末に関してはＩＰアドレスの割り当てが行われるとともに、割り当てられたＩＰアドレスに対するフィルタリングの設定を行う。【選択図】      図３
2005286883.tif 000002
【特許請求の範囲】
【請求項１】
端末装置からのネットワーク接続要求に応じて認証を行う第１のサーバと、前記第１のサーバにより認証された端末装置にＩＰアドレスを割り当てる第２のサーバとを有するネットワークに接続され、前記端末装置から送信されるパケットの中継を行うパケット中継装置において、
前記端末装置の識別情報を記憶する記憶手段と、
前記記憶手段に記憶された識別情報に基づいて、前記端末装置のネットワーク接続を許可するか否かを判断する判断手段と、
前記第１のサーバによる認証に失敗した端末装置であって、前記判断手段によりネットワーク接続を許可すると判断された端末装置に対して、前記ＩＰアドレスの割り当てが行われるように、前記第２のサーバに対してＩＰアドレスの割り当てを要求する要求手段と、
を有することを特徴とするパケット中継装置。
【請求項２】
前記要求手段によるＩＰアドレスの割り当て要求に応じて前記第２のサーバにより割り当てられたＩＰアドレスを、前記端末装置に通知するアドレス通知手段を有することを特徴とする請求項１記載のパケット中継装置。
【請求項３】
前記第１のサーバによる認証に成功した端末装置に対して、認証の成功を通知する認証結果通知手段を有し、
前記認証結果通知手段は、前記第１のサーバによる認証に失敗した端末装置には、認証成功のダミー情報を通知することを特徴とする請求項１又は２記載のパケット中継装置。
【請求項４】
前記記憶手段は、前記端末装置の識別情報として、ＭＡＣアドレスを記憶することを特徴とする請求項１乃至３のいずれか１項に記載のパケット中継装置。
【請求項５】
前記第１のサーバによる認証結果及び前記判断手段による判断に基づいて、前記端末装置から送信されるパケットの中継を制御する制御手段を備えることを特徴とする請求項１乃至４のいずれか１項に記載のパケット中継装置。
【請求項６】
前記制御手段は、パケットの送信元である端末装置とパケットの宛先である端末装置とが同一のネットワークに属するか否かに応じて、パケットの中継を許可することを特徴とする請求項５記載のパケット中継装置。
【請求項７】
前記制御手段は、パケットの送信元である端末装置とパケットの宛先である端末装置とが前記パケット中継装置が構成するサブネットワークに属するか否かに応じて、パケットの中継を許可することを特徴とする請求項５記載のパケット中継装置。
【請求項８】
前記制御手段は、前記第１のサーバによる認証に失敗し、かつ前記判断手段によりネットワーク接続を許可すると判断された端末装置から送信されるパケットを、所定の宛先に限って中継することを特徴とする請求項５記載のパケット中継装置。
【請求項９】
前記ネットワークへの接続を要求した端末装置によるパケット中継装置への接続を許可するか否かを判定する判定工程と、
前記判定工程における判定に基づいて、前記ネットワーク上の第１のサーバによる前記端末装置の認証を行わせる認証工程と、
前記認証工程における認証結果に係わらず、前記端末装置へのネットワークアドレス割り当てをネットワーク上に接続される第２のサーバに行わせるアドレス割り当て工程と、
を有することを特徴とするパケット中継装置のアドレス割り当て方法。
【請求項１０】
前記判定工程における判定と、前記第１のサーバによる認証結果に基づいて、前記第１の端末装置からのパケット中継を制御する中継工程とを有することを特徴とする請求項９記載のパケット中継装置のアドレス割り当て方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットの中継を行うパケット中継装置及びそのアドレス割り当て方法に関するものである。
【背景技術】
【０００２】
情報機器間を相互に接続する手段としては、従来から有線や無線によるＬＡＮ（Local Area Network）が広く普及しており、オフィスや家庭において幅広く用いられるに至っている。
【０００３】
こうしたネットワークでは、一般にＴＣＰ／ＩＰプロトコルが用いられており、このプロトコルに従ったデータパケットを相互に交換することでデータ通信が実現される。また、ネットワークに接続する端末装置には、ネットワーク上で端末装置を識別するためのＩＰアドレスと呼ばれるアドレスが与えられており、データパケットには送信元および宛先のＩＰアドレスが含まれる。すなわち、ＴＣＰ／ＩＰを用いて通信を行うネットワークでは、通信を行うために各端末装置にそれぞれＩＰアドレスが設定されている必要がある。
【０００４】
ＴＣＰ／ＩＰを用いて通信を行うネットワークに接続する端末装置に対してＩＰアドレスを設定する方法としては、あらかじめ端末装置ごとに固定のＩＰアドレスを設定しておく方法のほかに、ＤＨＣＰ（Dynamic Host Configuration Protocol）と呼ばれるプロトコルを用いることにより、新たにネットワークに接続した端末装置に対して適当なＩＰアドレスを自動的に割り当てるという方法がある。
【０００５】
ＤＨＣＰを用いる場合、ＩＰアドレスの管理はＬＡＮ上のＤＨＣＰサーバによって行われる。ＤＨＣＰサーバは、新たにネットワークに接続した端末装置からのＩＰアドレス割り当て要求を受信すると、記憶している複数のＩＰアドレスの中から未使用のＩＰアドレスを一つ選択し、端末装置に対して送信する。ＤＨＣＰを用いると、ネットワークに接続していない端末装置にはＩＰアドレスの割り当ては行われず、ネットワークに接続している端末装置に対してのみＩＰアドレスの割り当てが行われるため、各端末装置に対して固定的なＩＰアドレスを割り当てる場合よりも効率的にＩＰアドレス資源を利用することが可能であるという利点がある。
【０００６】
さらに、ノート型パソコン等の携帯型端末や可搬型の端末装置を利用する場合でも、ＤＨＣＰを用いることにより、接続するネットワークが変わる度に端末装置のＩＰアドレスを変更するための煩雑な操作が必要無くなり、ユーザが端末装置を使用する場所に制限されること無くネットワークを利用することが可能となっている（例えば、特許文献１参照）。
【特許文献１】特開平１０−０１３４４３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、上述したネットワークでは、ネットワークへの接続を認められていない不正なユーザが勝手に端末装置を接続することでネットワークの利用が可能となってしまうため、ＬＡＮ上のサーバ等に対して不正なアクセスが可能となってしまうという問題がある。このような問題を解決するためには、端末装置がネットワークに接続される際に端末装置を使用するユーザの認証を行うことが望ましい。
【０００８】
こうした場合、通常はＬＡＮ上にユーザＩＤやパスワード情報等で構成される認証情報を記憶する認証サーバを準備し、ネットワークへ接続しようとする端末装置から認証サーバへ認証情報を送信することによって認証を行うという方法がしばしば用いられる。こうした認証手段を導入することにより、ネットワークのセキュリティに関する上述した問題については解決することが可能となる。
【０００９】
一方、認証サーバに対して認証情報の登録がなされていない場合、ＬＡＮ上のサーバ等へアクセスする必要は無いが無線アクセスポイントやルータ等のパケット中継装置を介して他の無線端末装置との間でＴＣＰ／ＩＰによる通信を行いたいといった状況下では、認証失敗によりパケットがＤＨＣＰサーバへ中継されず、ＤＨＣＰサーバからのＩＰアドレスの割り当てを受けることができないため、結果的にＴＣＰ／ＩＰベースの通信が行えないという問題点があった。
【００１０】
この点は、端末装置側のＩＰアドレスを固定しておくことにより回避することは可能ではあるが、その分操作が煩雑であり、加えて接続しようとするネットワークの設定情報をあらかじめ知っておく必要があるなどユーザの負担が大きくなるという問題がある。
【００１１】
そこで、本発明は、端末装置のユーザがネットワークに接続する際に煩雑な操作を行うことなく、端末装置による通信を可能にすることを目的とする。
【課題を解決するための手段】
【００１２】
上記目的を達成するために、本発明のパケット中継装置は、認証機能を有するサーバによる認証に失敗した端末装置であっても、端末装置のネットワーク接続を許可すると判断された端末装置であれば、ＩＰアドレスの割り当て機能を有するサーバに対して、該端末装置へのＩＰアドレス割り当てを要求するようにしたことを特徴とする。
【００１３】
上記目的を達成するために、本発明のアドレス割り当て方法は、ネットワークへの接続を要求した端末装置によるパケット中継装置への接続を許可するか否かの判定に基づいて、ネットワーク上の第１のサーバによる端末装置の認証を行わせ、この認証結果に係わらず、端末装置へのネットワークアドレス割り当てをネットワーク上に接続される第２のサーバに行わせるようにしたことを特徴とする。
【発明の効果】
【００１４】
本発明によれば、端末装置のユーザがネットワークに接続する際に煩雑な操作を行うことなく、端末装置の通信が可能となる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の実施の形態について図面を参照しながら説明する。
【００１６】
図１は、本発明の実施の形態に係るパケット中継装置の内部構成を示すブロック図である。本実施の形態では、パケット中継装置は、ＬＡＮ（Local Area Network）上に設置される無線通信機能を有するアクセスポイント１００である。
【００１７】
図１において、アクセスポイント１００は、制御部１０１、ＲＯＭ１０２、ＲＡＭ１０３、無線通信回路部１０４、有線通信回路部１０５、ＥＥＰＲＯＭ１０６、シリアルインターフェース１０７、電源部１０８、及びシステムバス１０９の各部によって構成され、ＥＥＰＲＯＭ１０６及び電源部１０８を除く各ブロックがシステムバス１０９によって相互に接続されている。ＥＥＰＲＯＭ１０６は、シリアルインターフェース１０７を介して制御部１０１と直接接続されている。また、電源部１０８は、上述した各ブロックが動作するのに必要となる電力を供給する。
【００１８】
アクセスポイント１００は、アンテナ１１０を介して不図示の無線通信機能を有する無線端末装置（以下、単に「無線端末」という。）に接続され、また、有線ＬＡＮ上に存在する不図示のサーバやネットワークプリンタ等の機器に接続されている。
【００１９】
制御部１０１は、マイクロプロセッサやその周辺回路などで構成され、アクセスポイント１００全体の制御を行うとともに、図１に示す各ブロックに対するアクセス制御等の処理を行う。
【００２０】
また、制御部１０１は、ＲＯＭ１０２に格納された動作制御プログラムを実行することにより、無線端末および有線ＬＡＮ上に存在するサーバ等の機器との間で送受信されるパケットの中継処理を行うと共に、ＲＡＭ１０３内に格納されている各無線端末に対するフィルタリング設定に基づいて、当該無線端末や有線ＬＡＮ上に存在する当該機器等との間のパケットの転送許可や不許可、接続を試みる無線端末に対する接続可否の判定等を制御する。ここで、フィルタリングを行うための設定には、送信元（無線端末）のＩＰアドレスおよびＭＡＣアドレス、宛先ＩＰアドレス（基幹ＬＡＮ上サーバのＩＰアドレス等）、送信元ポート番号、並びに宛先ポート番号等の各種データが含まれており、これらを用いて各無線端末等に対するパケットの転送許可や不許可、あるいはアクセスポイント１００自体への接続可否等が判断される。
【００２１】
このフィルタリング設定は、アクセスポイント１００の動作中に、新たな無線端末との接続や切断等によって接続している無線端末の変化等に応じて適宜更新される部分と、基幹ＬＡＮ上のサーバ（不図示）のＩＰアドレスやサーバ側の宛先ポート番号といったユーザによって明示的に変更されない限り固定される部分とを含み、固定される部分の情報は、ＥＥＰＲＯＭ１０６に記憶されており、アクセスポイントの電源投入時にＥＥＰＲＯＭ１０６から読み込まれてＲＡＭ１０３上に展開される。
【００２２】
また、制御部１０１は、ＲＯＭ１０２に格納されたプログラムを実行することにより、ＤＨＣＰリレーエージェントとしての機能を実現する。ＤＨＣＰリレーエージェント機能とは、無線端末からブロードキャストパケットとして発せられるＤＨＣＰ要求を受信した際に、これを後述するＤＨＣＰサーバ２０３宛てのユニキャストパケットに変換した上で中継を行う機能である。これにより、ＤＨＣＰサーバ以外のＬＡＮ上の機器が、不要なブロードキャストパケットを受信せずに済むというメリットがある。
【００２３】
ＲＯＭ１０２は、制御部１０１により実行される動作制御プログラムを格納する不揮発性のメモリであり、制御部１０１からの命令に従って格納されている内容をシステムバス１１０上に出力する。
【００２４】
ＲＡＭ１０３は、動作制御プログラムが制御部１０１により実行される際のワークメモリとしての機能を有すると共に、無線端末もしくは有線ＬＡＮ上の機器との間で送受信される各種データを一時的に格納するためのバッファメモリとしての機能を有する。また、ＲＡＭ１０３には、上述のフィルタリング設定のためのデータを格納するための領域が設けられている。
【００２５】
無線通信回路部１０４は、アンテナ１１０を介して無線端末との間でパケットの送受信を行うものであり、これ自体で一つの無線ネットワークインターフェースを構成する。したがって、無線通信回路部１０４を複数備えることで、アクセスポイント１００が有する無線ネットワークインターフェースを複数とすることができる。また、無線通信回路部１０４は、不図示の高周波回路、符号化・復号化回路等によって構成され、同種の無線通信手段を備える無線端末との間で無線通信を実現する。
【００２６】
有線通信回路部１０５は、有線ＬＡＮとの間で信号の送受信を行うものであり、有線ＬＡＮ上に存在する機器との間で実際にパケットの送受信を行う送受信回路および符号化・復号化回路（不図示）等で構成され、これ自体で一つの有線ネットワークインターフェースを構成する。また、無線ネットワークインターフェースの場合と同様に、有線ネットワークインターフェースに関しても有線通信回路部１０５を複数備えることで、有線ネットワークインターフェースを複数とすることができる。
【００２７】
本実施の形態では、有線ＬＡＮ、無線ＬＡＮ上の全ての機器にそれぞれ固有のＭＡＣアドレスが与えられており、データフレームの所定の位置に送信元および宛先のＭＡＣアドレスがそれぞれ設定されることにより、同一ネットワーク内に存在する隣接機器間でデータの送受信を行う際には、データ送受信を行う機器がＭＡＣアドレスを用いて直接に特定される。また、異なるネットワーク上における端末装置同士のデータ通信には、機器に対して割り当てられたＩＰアドレスが用いられる。
【００２８】
ＥＥＰＲＯＭ１０６は、電気的に書き換え可能な不揮発性のメモリであって、アクセスポイント１００の動作を規定する各種設定情報を記憶する。ＥＥＰＲＯＭ１０６は、制御部１０１に対してシリアルインターフェース１０８を介して接続され、制御部１０１からその内容に対する読み込みあるいは書き込みが行われる。また、ＥＥＰＲＯＭ１０６には、上述した制御部１０１においてフィルタリング処理を実行する際に必要となる情報のうち、有線ＬＡＮ上に存在するサーバのＩＰアドレス情報や宛先ポート番号などの固定的な部分およびアクセスポイント自体のネットワーク上におけるＩＰアドレス情報等が格納される。
【００２９】
図２は、図１のアクセスポイント１００を含むネットワークの全体構成を示す図である。
【００３０】
図２において、本ネットワークは、ＬＡＮ２０１上に存在するアクセスポイント１００と、Ｗｅｂサーバやメールサーバ、プリンタサーバ等から成るサーバ２０２と、ＤＨＣＰサーバ２０３と、認証サーバ２０４と、無線端末２０５とで構成される。無線端末２０５は、複数の無線端末２０５ａ，２０５ｂ，・・・であってもよく、図示の数に限られるものではない。
【００３１】
アクセスポイント１００と無線端末２０５ａ，２０５ｂとは、無線によって互いに接続されている。無線端末２０５ａ，２０５ｂは、アクセスポイント１００を経由してＤＨＣＰサーバ２０３に対してＩＰアドレス割り当て要求を行い、ＩＰアドレスの割り当てを受けるように構成されている。
【００３２】
次に、図２のネットワークにおけるアクセスポイント１００の基本的な動作について図３を参照して説明する。
【００３３】
図３は、図１のアクセスポイント１００が無線端末からネットワーク接続要求パケットを受けた際の処理内容を示すシーケンス図である。具体的には、アクセスポイント１００が無線端末２０５からのネットワーク接続要求パケット（以下、単に「接続要求」という。）を受け付け、認証サーバ２０４により無線端末２０５の認証が行われた後に、ＤＨＣＰサーバ２０３によりＤＨＣＰを用いて無線端末２０５に対するＩＰアドレスの割り当てが行われるとともに、アクセスポイント１００におけるＩＰフィルタリングの設定が行われるまでの手順を表す。
【００３４】
図３において、まず、アクセスポイント１００は、無線端末２０５からの接続要求を受信すると（ステップＳ３０１）、接続要求に設定された無線端末２０５のＭＡＣアドレスをＲＡＭ１０３上の所定の領域に記憶するとともに、記憶した無線端末２０５のＭＡＣアドレスに対し、アクセスポイント１００を介した通信の許可または不許可を表す通信許可フラグを設定するためのＭＡＣアドレス登録処理を実行する（ステップＳ３０２）。
【００３５】
ここで、通信許可フラグの設定は、アクセスポイント１００に対する適切な管理権限を有するユーザによって行われる。具体的には、アクセスポイント１００は、当該アクセスポイント１００に接続しているか或いは接続を試みている無線端末のＭＡＣアドレスの一覧を外部の他の端末や機器などから参照できるように構成されているので、当該アクセスポイント１００に対して、外部の他の端末から有線ＬＡＮまたは無線ＬＡＮを経由してアクセスするか或いはアクセスポイント１００に備わる不図示の外部シリアル通信手段を用いてパーソナルコンピュータ等の端末からアクセスすることにより通信許可フラグの設定が行われ、設定された通信許可フラグがＭＡＣアドレスと対応付けられてＲＡＭ１０３上に記憶される。通信許可フラグは、ユーザによって変更されない限り、初期状態では「不許可」に設定されており、アクセスポイント１００を介して他の端末装置やサーバと通信を行うことはできないようになっている。  
【００３６】
外部の他の端末等からアクセスポイントに対して通信を行う際の通信プロトコルとしては、ＳＮＭＰ（Simple Network Management Protocol）やＨＴＴＰ（Hyper Text Transfer Protocol）、telnetといったプロトコルを用いることができる。
【００３７】
また、アクセスポイント１００は、無線端末から送信されるパケットからＭＡＣアドレスを読み取ると共に、ＲＡＭ１０３上に記憶されたＭＡＣアドレスデータに対応する通信許可フラグを参照し、アクセスポイント１００を介した通信が許可されている無線端末以外の接続要求に対してはこれを拒否するように動作することも可能となっている。  
【００３８】
次に、アクセスポイント１００は、通信許可フラグが「許可」に設定された無線端末２０５との間で通信（データ）リンクを確立し、無線端末２０５との間でデータ通信可能な状態へ移行する（ステップＳ３０３）。無線端末２０５との間で通信リンクが確立すると、アクセスポイント１００は、無線端末２０５に対して認証要求を送信し（ステップＳ３０４）、認証処理を起動する。
【００３９】
アクセスポイント１００は、認証要求に対して無線端末２０５から返信される認証応答を受信すると（ステップＳ３０５）、これを認証要求としてＬＡＮ２０１上に存在する認証サーバ２０４に対して転送する（ステップＳ３０６）。ここで無線端末２０５からの認証応答に含まれる認証データ（認証情報）は、例えば認証に必要なユーザＩＤやハッシュ化されたパスワードデータ等によって構成される。
【００４０】
認証サーバ２０４は、アクセスポイント１００から転送された認証要求に含まれる認証データを読み取り、あらかじめ登録されている認証データとの比較を行うことによって無線端末２０５の使用者の認証判断を行い（ステップＳ３０７）、その認証結果をアクセスポイント１００に対して送信する（ステップＳ３０８）。アクセスポイント１００は、認証サーバ２０４から通知される認証結果を受信した後、認証結果を確認する処理を実行する（ステップＳ３０９）。
【００４１】
図４は、図３のステップＳ３０９においてアクセスポイント１００が実行する認証結果確認処理の内容を示すフローチャートである。
【００４２】
図４において、無線端末２０５に対する認証サーバ２０４の認証結果を当該認証サーバ２０４から受信したアクセスポイント１００は、受信した認証結果に基づいて認証が成功したか否かを判別する（ステップＳ４０１）。ここで、無線端末２０５が、認証サーバ２０４が参照する認証データのデータベース（不図示）上に適切な認証登録がなされており、認証サーバ２０４による無線端末２０５の認証が成功した場合は（ステップＳ４０１でＹＥＳ）、アクセスポイント１００は無線端末２０５に対する認証成功通知を選択し（ステップＳ４０２）、本処理を終了する。
【００４３】
一方、無線端末２０５が上述した認証データベース上に認証登録がなされていないか或いはパスワード入力を誤って不正な認証データが送信された場合等によって認証が失敗した場合は（ステップＳ４０１でＮＯ）、アクセスポイント１００は、無線端末２０５（ここでは、ＬＡＮ２０１上の認証サーバ２０４により認証拒否されたが、アクセスポイント１００に対する通信許可フラグが「許可」に設定されている無線端末）に対する認証成功のダミーデータ送信を選択し（ステップＳ４０３）、本処理を終了する。
【００４４】
図３に戻って、図４に示す処理（図３のステップＳ３０９の処理）の終了後、アクセスポイント１００は、無線端末２０５に対してステップＳ３０９の処理結果に基づく認証結果の通知を行う（ステップＳ３１０）。ここで、図４のステップＳ４０３において認証成功のダミーデータ送信が選択されていたときは、認証成功のダミーデータを送信する。
【００４５】
無線端末２０５は、実際の認証成功の通知を受信するか、あるいはアクセスポイント１００による認証成功のダミーデータを受信した時点でネットワークへの接続を許可されたものと判断することが可能となるため、引き続きＬＡＮ２０１上のＤＨＣＰサーバ２０３に対してＩＰアドレスの割り当てを要求する。すなわち無線端末２０５は、認証成功の通知または認証成功のダミーデータを受信した後に、ＩＰアドレスの割り当てを受けるためのＤＨＣＰ要求パケットをネットワークに対してブロードキャストで送信する（ステップＳ３１１）。
【００４６】
アクセスポイント１００は、無線端末２０５から送信されるＤＨＣＰ要求のためのブロードキャストパケットを受信すると、ＤＨＣＰリレーエージェント機能により受信したパケットをユニキャストパケットに変換し、ＬＡＮ２０３上のＤＨＣＰサーバ２０３に対して転送する（ステップＳ３１２）。
【００４７】
ＤＨＣＰサーバ２０３は、アクセスポイント１００によって転送されたＤＨＣＰ要求パケットを受信すると、無線端末２０５に対して割り当て可能な複数のＩＰアドレスの中から一つを選択してアクセスポイント１００に対して送信する（ステップＳ３１３）。なお、ＤＨＣＰサーバ２０３は、サブネット単位でアドレスの一部が一致するようにしてＩＰアドレスの割り当てを行う。つまり、ＩＰアドレスを確認することで、ＬＡＮ２０１に接続する端末か否か、ＬＡＮ２０１に接続し、かつアクセスポイント１００に接続する無線端末か否かを判断できるようにＩＰアドレスの割り当てを行う。
【００４８】
アクセスポイント１００は、ＤＨＣＰサーバ２０３から送信されるアドレス通知のためのパケットを受信すると、受信パケットに含まれる、無線端末２０５に対して割り当てられるＩＰアドレスを読み取ってこれをＲＡＭ１０３に記憶し、ＤＨＣＰ要求を行った無線端末２０５のＭＡＣアドレス宛てにパケットを転送して（ステップＳ３１４）、ＤＨＣＰ要求に関する処理を終了する。
【００４９】
ＤＨＣＰによる無線端末２０５へのＩＰアドレス割り当て完了後、アクセスポイント１００は、無線端末２０５に対して割り当てられるＩＰアドレスを用いてＩＰフィルタリングのための設定（パケットの中継を許可するＩＰアドレスの指定）を行い（ステップＳ３１５）、以降このフィルタリング設定に則ってパケット処理を行う。
【００５０】
また、認証サーバ２０４によって認証された無線端末２０５に対しＬＡＮ２０１上のサーバや他の端末のうち、どの範囲までのアクセスを認めるかを示すアクセス権の設定に関しては、認証サーバ２０４側において上述した認証情報と対応させて記憶させておくことが望ましい。この場合、アクセスポイントにおける、認証が成功した無線端末に対するフィルタリングの設定情報は、認証サーバ２０４から通知を受けることによって設定される。
【００５１】
図５は、アクセスポイント１００が実行するＩＰフィルタリング処理の内容を示すフローチャートである。
【００５２】
アクセスポイント１００は、ＬＡＮ２０１上の認証サーバ２０４により認証された無線端末に対しては通常通りＬＡＮ２０１へのアクセスを許可する。一方、認証サーバ２０４により認証されていないが、アクセスポイント１００に対する通信許可フラグが「許可」に設定されていることによってアクセスポイント１００を介した通信が許可されている無線端末については、アクセスポイント１００は、当該アクセスポイント１００の同一のネットワークインターフェース（この場合はアクセスポイント１００の無線ネットワークインターフェースである無線通信回路部１０４）に対して接続している他の無線端末との通信に限って許可するように動作する。
【００５３】
図５において、アクセスポイント１００は、無線端末からのパケットを受信し（ステップＳ５００）、受信したパケットが接続を許可している無線端末からのパケットであるか否かを、受信したパケットに含まれる送信元ＭＡＣアドレスおよびＲＡＭ１０３に格納されている該当するＭＡＣアドレスの通信許可フラグにより判別する（ステップＳ５０１）。この判別の結果、受信したパケットが通信を許可していない無線端末からのものであると判定した場合は（ステップＳ５０１でＮＯ）、ステップＳ５０２へ進んで受信したパケットを破棄する。一方、受信したパケットが通信を許可している無線端末からのものであると判定した場合は（ステップＳ５０１でＹＥＳ）、ステップＳ５０３へ進む。  
【００５４】
ステップＳ５０３において、アクセスポイント１００は、受信したパケットからパケットの送信元である無線端末のＭＡＣアドレスまたはＩＰアドレスを読み取り、該無線端末が、認証サーバ２０４の認証に失敗した無線端末か、成功した無線端末かを判断する。認証サーバ２０４の認証が成功した無線端末である場合には（ステップＳ５０３でＮＯ）、そのパケットを宛先端末に転送する（ステップＳ５０５）。
【００５５】
また、認証サーバ２０４の認証が失敗した無線端末である場合には（ステップＳ５０３でＹＥＳ）、パケットの宛先が送信元と同一のネットワークインターフェースに接続された端末のものであるか否か、すなわちパケットの送信元の無線端末のＩＰアドレスと宛先のＩＰアドレスとを比較し、同一のネットワークアドレスを有するか否かを判別する。この判別の結果、パケットの宛先が送信元と同一のネットワークインターフェースに接続された端末のものである場合は（ステップＳ５０４でＹＥＳ）、ステップＳ５０４へ進む。なお、パケットの宛先が送信元と同一のネットワークインターフェースに接続された端末のものであるか否かの判別は、宛先のＩＰアドレスが、アクセスポイント１００の構成するサブネットワークを指定する情報を含むか否かを判断するようにしてもよい。
【００５６】
一方、パケットの宛先が送信元とは異なるネットワークインターフェースに接続された端末のもの（ＬＡＮ２０１上のサーバ等）である場合は（ステップＳ５０４でＮＯ）、ステップＳ５０２へ進んで受信したパケットを破棄する。なお、ここではパケットの中継を許可する場合として、宛先の指定が同一の無線インターフェースに接続されている端末である場合であるとしたが、パケットの中継を許可する条件を、送信元と宛先とが、アクセスポイント１００より上位のサブネットワークに属する場合としてもよい。
【００５７】
ステップＳ５０５では、アクセスポイント１００は、宛先に指定された無線端末に対してパケットを転送し、本処理を終了する。
【００５８】
上記実施の形態では、無線端末２０５は、本来ＬＡＮ２０１へのアクセスが許可されていないが、ネットワークに対する適切な管理権限を有する管理者が許可する場合は、例えばＬＡＮ２０１上の特定のサーバに限ってはアクセスを許可するといったことも、上述のＩＰフィルタリングの設定を変更してパケットの転送、破棄の条件を変更することにより行うことは可能である。
【００５９】
上記実施の形態によれば、ＤＨＣＰサーバ２０３によってＩＰアドレス割り当てが行われるネットワークにおいて、無線端末２０５のアクセスポイント（パケット中継装置）１００への接続開始時に認証サーバ２０４によって行われる認証処理では認証されない無線端末であっても、パケット中継装置への接続を許可された無線端末に関してはＩＰアドレスの割り当てが行われるとともに、割り当てられたＩＰアドレスに対するフィルタリングの設定を行うので、ユーザが煩雑な操作を行うことなく、ＴＣＰ／ＩＰベースの通信をフィルタリング設定の範囲内において行うことが可能となる。
【００６０】
このように本発明では、認証サーバによる認証に失敗した端末装置であっても、ＤＨＣＰサーバによるＩＰアドレスの割り当てを行うことができ、端末装置のユーザがネットワークに接続する際に煩雑な操作を行うことなく、端末装置間でＴＣＰ／ＩＰベースの通信を行うことが可能となる。
【００６１】
また、認証サーバによる認証に失敗した端末装置からのパケットを中継する範囲を、認証に成功した端末装置よりも限定することができ、認証サーバによる認証に失敗した端末装置にも通信を許可しつつ、セキュリティを確保することができる。
【００６２】
本発明は、上述した具体的な実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内において様々に変更することが可能である。例えば、上記実施の形態におけるアクセスポイント１００は、有線ＬＡＮに対するネットワークインターフェースと無線ＬＡＮに対するネットワークインターフェースとを各々一つずつ有するものとして説明したが、ネットワークインターフェースの数は上記に限定されるものではない。また、本発明は、有線のネットワークインターフェースのみを複数備える場合や無線のネットワークインターフェースのみを複数備える場合であっても適用可能である。
【００６３】
また、上記実施の形態の形態では、パケット中継装置としてアクセスポイントを例として説明したが、アクセスポイント以外の例えばルータといったようなネットワーク機器に対しても、本発明は適用可能である。
【図面の簡単な説明】
【００６４】
【図１】本発明の実施の形態に係るパケット中継装置の内部構成を示すブロック図である。
【図２】図１のアクセスポイントを含むネットワークの全体構成を示す図である。
【図３】アクセスポイントが無線端末からネットワーク接続要求パケットを受けた際の処理内容を示すシーケンス図である。
【図４】アクセスポイントが実行する認証結果確認処理の内容を示すフローチャートである。
【図５】アクセスポイントが実行するＩＰフィルタリング処理の内容を示すフローチャートである。
【符号の説明】
【００６５】
１００  無線アクセスポイント
１０１  制御部
１０２  ＲＯＭ
１０３  ＲＡＭ
１０４  無線通信回路部
１０５  有線通信回路部
１０６  ＥＥＰＲＯＭ
１０７  シリアルインターフェース
１０８  電源部
１０９  システムバス
【図１】
2005286883.tif 000003
【図２】
2005286883.tif 000004
【図３】
2005286883.tif 000005
【図４】
2005286883.tif 000006
【図５】
2005286883.tif 000007