(57)【要約】【課題】無線ＬＡＮシステムにおいて、ＳＴＡ（端末局）とＡＰ（アクセスポイント）との接続の際に、様々な認証方式を混在して使用しても、システム全体のセキュリティを維持することを可能にする。【解決手段】ＳＴＡ（端末局）の加入（帰属）時、ＡＰ（アクセスポイント）２では、認証処理部７が、前記ＳＴＡの認証処理を正常に終了しそれを無線インタフェース部６に伝える際、フィルタ制御部１０に対し、どの認証方式で処理されたかを、前記ＳＴＡのＭＡＣアドレスとともに通知する。フィルタ制御部１０は、前記通知された認証方式に対応したフィルタ情報と前記ＭＡＣアドレスとを中継処理部９に対して登録する。データ通信時、中継処理部９は、前記登録されたＭＡＣアドレスを送信元あるいは宛先とする中継データ、すなわち前記ＳＴＡの通信データを、前記ＳＴＡが加入時に使用した認証方式に応じてフィルタリングする。【選択図】      図２
2005167580.tif 000002
【特許請求の範囲】
【請求項１】
無線ＬＡＮシステムにおけるアクセス制御方法であって、
端末局（ＳＴＡ）は無線によりアクセスポイント（ＡＰ）に対して帰属し、
前記ＡＰは前記ＳＴＡに対応して予め登録されている認証方式により前記ＳＴＡの認証を行い、
前記認証が成功した場合に前記ＡＰは、前記ＳＴＡとの間のデータ通信を、使用された前記認証方式に応じたアクセス制限を加えて中継することを特徴とするアクセス制御方法。
【請求項２】
前記ＡＰには、前記アクセス制限を行うためのフィルタルールの集まりであるフィルタルールセットが登録されていることを特徴とする請求項１に記載のアクセス制御方法。
【請求項３】
前記フィルタルールセットは、予め保守管理端末により登録されることを特徴とする請求項１乃至請求項２に記載のアクセス制御方法。
【請求項４】
前記認証を行う認証サーバを有することを特徴とする請求項１乃至請求項３に記載のアクセス制御方法。
【請求項５】
端末局（ＳＴＡ）とアクセスポイント（ＡＰ）とを有する無線ＬＡＮシステムであって、
前記ＡＰは、前記ＳＴＡが無線により帰属した後に前記ＳＴＡに対応して予め登録されている認証方式により前記ＳＴＡの認証を行い、前記認証が成功した場合に前記ＳＴＡとの間のデータ通信を、使用された前記認証方式に応じたアクセス制限を加えて中継することを特徴とする無線ＬＡＮシステム。
【請求項６】
前記ＡＰは、前記アクセス制限を行うためのフィルタルールの集まりであるフィルタルールセットを登録するフィルタ情報蓄積部を有することを特徴とする請求項５に記載の無線ＬＡＮシステム。
【請求項７】
ネットワーク運用管理者が前記ＡＰに対して前記フィルタルールセットを予め登録するために使用する保守管理端末を有することを特徴とする請求項５乃至請求項６に記載の無線ＬＡＮシステム。
【請求項８】
前記認証の処理を前記ＡＰと協調して行う認証サーバを有することを特徴とする請求項５乃至請求項７に記載の無線ＬＡＮシステム。
【請求項９】
無線ＬＡＮシステムにおけるアクセスポイント（ＡＰ）であって、
端末局（ＳＴＡ）が無線により帰属した後に前記ＳＴＡに対応して予め登録されている認証方式により前記ＳＴＡの認証を行い、前記認証が成功した場合に前記ＳＴＡとの間のデータ通信を、使用された前記認証方式に応じたアクセス制限を加えて中継をすることを特徴とするアクセスポイント（ＡＰ）。
【請求項１０】
前記アクセス制限を行うためのフィルタルールの集まりであるフィルタルールセットを登録するフィルタ情報蓄積部を有することを特徴とする請求項９に記載のアクセスポイント（ＡＰ）。
【請求項１１】
前記フィルタルールセットは、予め保守管理端末により登録されることを特徴とする請求項９乃至請求項１０に記載のアクセスポイント（ＡＰ）。
【請求項１２】
前記認証は、認証サーバで行われることを特徴とする請求項９乃至請求項１１に記載のアクセスポイント（ＡＰ）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線ＬＡＮシステムにおいて、認証技術を用いたアクセス制御方法と、そのシステムを構成する装置に関する。
【背景技術】
【０００２】
無線ＬＡＮシステムは、ＡＰ（アクセスポイント；ＡＣＣＥＳＳ  ＰＯＩＮＴ）とＳＴＡ（端末局；ＳＴＡＴＩＯＮ）との間で、電波の届く範囲であれば、ＳＴＡは、ケーブルの接続による場所の制約を受けることなしにＡＰを中継した通信ができるという特長を有している。
【０００３】
そして、近年、光ファイバやＡＤＳＬ等の技術を利用した高速回線を使ったインターネット等のネットワークへの高速アクセスが普及してきている中で、ＩＥＥＥ８０２．１１仕様に準拠した無線ＬＡＮシステムが、システムを構成する装置の低価格化とともに、急速に普及してきている。
【０００４】
しかし、その一方で、無線ＬＡＮシステムにおけるアクセス制御方式や暗号化方式の欠陥が指摘されており、その結果、セキュリティの問題として、ＡＰに対してアクセスが許可されていないＳＴＡがアクセスするという不正アクセスの問題が表面化してきている。
【０００５】
そして、この不正アクセスの問題に対処するため、ＩＥＥＥ８０２．１１仕様によるだけではなく、他の技術も併用されている。
【０００６】
まず、この不正アクセスの問題に適用される簡易な対策としては、ＭＡＣアドレスフィルタリングがある。図５に示すように、ＭＡＣアドレスフィルタリングを実施することにより、予めＡＰに登録されたＭＡＣアドレスを有するＳＴＡだけが、そのＡＰとの接続を許可される。また、認証対象のＳＴＡが多い場合や、複数のＡＰで認証対象のＭＡＣアドレスを共有する場合を考慮して、認証対象のＭＡＣアドレス群を認証サーバ内に登録して一元管理し、ＡＰがＳＴＡの認証を行う際には、ＡＰが認証サーバにＳＴＡのＭＡＣアドレスを問い合わせる方法もある。（例えば、特許文献１参照。）
更に、進歩した認証技術として、ＩＥＥＥ８０２．１ｘ仕様による認証技術を使った無線ＬＡＮシステムの導入も進んでいる。ＳＴＡは、ＡＰに帰属した後、ＡＰの有線側に接続された端末やサーバとデータ通信を行う前に、ＡＰを介して認証に必要な情報を一元管理する認証サーバと認証メッセージ交換を行い、認証サーバで認証の主な処理が行われる。そして、認証メッセージ交換での処理が成功したときのみ、ＳＴＡからのデータ送信がＡＰで中継される。なお、図６にその認証の手順を示す。
【０００７】
ＩＥＥＥ８０２．１ｘ仕様の認証手順においては、ＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）タイプで示された様々な認証方式が使用される。この方式としては、パスワードを使った単純な認証方式やデジタル証明書を使用した高度な認証方式等、様々なものを使用することが可能である。パスワードは、その運用では配布方法が柔軟であるため広範なユーザに配布することができるが、セキュリティ強度が低いので、不正アクセスを許す危険性が高い。一方、デジタル証明書は、その運用では配布方法が限定されるので広範なユーザに配布することは出来ないが、セキュリティ強度が高いので、不正アクセスを許す危険性が低い。このように各認証方式には運用面やセキュリティ面でそれぞれ長所と短所があるため、実際の無線ＬＡＮシステムで採用される認証方式は、その用途に応じて決定されることになる。
【０００８】
【特許文献１】特開２００１−１１１５４４号公報（第１頁、図３）
【発明の開示】
【発明が解決しようとする課題】
【０００９】
上述したように、無線ＬＡＮシステムにおいては、不正アクセスを防止する為に様々な認証技術が使われるので、システムを構成する装置の一つであるＡＰは、複数の認証方式をサポートしている。そして、セキュリティ上では、以下に説明するような問題点を有している。
【００１０】
（１）使用する目的に応じて、ユーザの有するＳＴＡの認証方式を異なったものにしても、一旦加入（帰属）したＳＴＡは全て同等のアクセスが許可されてしまうことになる。例えば、一時的に無線ＬＡＮシステムを使用しＷｅｂアクセスを行うＳＴＡに対してはパスワードを、常用的に無線ＬＡＮシステムを使用するＳＴＡに対してはデジタル証明書を、というように認証方式を区別したとしても、どちらのＳＴＡも無線ＬＡＮシステムに加入すれば同等にアクセスできてしまう。
【００１１】
（２）各認証方式はセキュリティ強度が異なるため、もし一番セキュリティ強度が低い認証方式が破られてしまえば、無線ＬＡＮシステムとしての不正アクセス対策が破られたことになる。例えば、正当なユーザのＳＴＡのみが使用するようなセキュリティ強度が高いデジタル証明書を入手しなくても、ＭＡＣアドレスフィルタリングによる認証のため登録されているセキュリティ強度が低いＭＡＣアドレスを、何らかの方法で入手してアクセスすれば、ＡＰに加入して自由に通信ができてしまう。
【００１２】
（３）無線ＬＡＮシステムでは、認証によって通信が許可されたＳＴＡには一律に一時的なＩＰアドレスが割り振られることが多い。この場合ＩＰアドレスとＳＴＡの組み合わせが固定しないため、ＳＴＡのデータ通信に対するアクセスの制限、即ちフィルタ処理を行うことが困難である。
【００１３】
本発明は、上記問題を鑑みてなされたものであり、不正アクセスを防止するための認証技術が複数存在している無線ＬＡＮシステムにおいて、セキュリティを維持しながら色々な認証方式を使用するＳＴＡを同時に収容することを目的としており、その結果、セキュリティを維持しながら、より広範なユーザのＳＴＡを取り込むことが可能となるので、システムとしての利便性を向上することができる。
【課題を解決するための手段】
【００１４】
本発明のアクセス制御方法は、無線ＬＡＮシステムにおけるアクセス制御方法であって、端末局（ＳＴＡ）は無線によりアクセスポイント（ＡＰ）に対して帰属し、前記ＡＰは前記ＳＴＡに対応して予め登録されている認証方式により前記ＳＴＡの認証を行い、前記認証が成功した場合に前記ＡＰは、前記ＳＴＡとの間のデータ通信を、使用された前記認証方式に応じたアクセス制限を加えて中継することを特徴とする。
【００１５】
また、本発明の無線ＬＡＮシステムは、端末局（ＳＴＡ）とアクセスポイント（ＡＰ）とを有する無線ＬＡＮシステムであって、前記ＡＰは、前記ＳＴＡが無線により帰属した後に前記ＳＴＡに対応して予め登録されている認証方式により前記ＳＴＡの認証を行い、前記認証が成功した場合に前記ＳＴＡとの間のデータ通信を、使用された前記認証方式に応じたアクセス制限を加えて中継することを特徴とする。
【００１６】
また、本発明のアクセスポイント（ＡＰ）は、無線ＬＡＮシステムにおけるアクセスポイント（ＡＰ）であって、端末局（ＳＴＡ）が無線により帰属した後に前記ＳＴＡに対応して予め登録されている認証方式により前記ＳＴＡの認証を行い、前記認証が成功した場合に前記ＳＴＡとの間のデータ通信を、使用された前記認証方式に応じたアクセス制限を加えて中継をすることを特徴とする。
【発明の効果】
【００１７】
本発明においては、認証方式の種別に応じてＡＰが中継するＳＴＡのデータ通信へのフィルタ条件を設定することができるので、無線ＬＡＮシステムのユーザのＳＴＡが使用した認証方式に応じて、データ通信上の制限を変更することができるという効果がある。
【００１８】
また、本発明においては、認証方式の強度に応じて、ＡＰが中継するＳＴＡのデータ通信へのフィルタ条件を設定することができるので、例えば、認証方式のセキュリティ強度が低い認証方式を使用した場合には、アクセスできるデータ通信の利用範囲を狭く限定することができるという効果がある。
【００１９】
さらに、本発明においては、ＡＰ単位に認証方式とフィルタ条件との組み合わせを設定するので、認証情報を一元管理し、１つの認証サーバを複数のＡＰで利用する場合においても、各ＡＰの設置条件・環境に応じて認証方式に対するフィルタ条件を変更することができるという効果がある。
【発明を実施するための最良の形態】
【００２０】
次に、本発明の好ましい実施の形態について図面を参照して説明する。
【００２１】
図１を参照すると、本発明の第一の実施の形態の無線ＬＡＮシステムの全体構成が示されている。図１において、ＳＴＡ（端末局）１は、ＡＰ（アクセスポイント）２に加入する端末局である。ＳＴＡ１は、例えば、ノート型パーソナルコンピュータ（ＰＣ）等のデータ端末と、そのデータ端末に挿入された無線ＬＡＮカードとで構成される。無線ＬＡＮカードは、ＩＥＥＥ８０２．１１仕様に準拠して無線信号の送受信制御を行うハードウェアとソフトウェアとを搭載し、データ端末のカードスロットに挿入して使用されるのが一般的であるが、このような形態に限定する必要はない。すなわち、ＳＴＡ１は、ＩＥＥＥ８０２．１１仕様に準拠してデータ通信が可能なデータ端末であればよく、例えば、ＳＴＡ１自体が前述の無線ＬＡＮカードの機能を内蔵していてもよい。
【００２２】
ＡＰ２は、ＩＥＥＥ８０２．１１仕様に準拠して無線信号の送受信制御を行うハードウェアとソフトウェアを搭載するとともに、無線ＬＡＮと有線ＬＡＮとのインタフェース機能を有し、加入したＳＴＡ１と、有線ＬＡＮ３側に位置するサーバや端末ＰＣ等との間のデータ通信を中継する。このデータ通信は、保守管理端末５からＡＰ２に登録された認証方式と関連付けられたフィルタルールに従ってフィルタリングされ、許可されたデータのみが中継される。
【００２３】
また、ＳＴＡ１がＡＰ２に加入する際は、保守管理端末５からＡＰ２に登録された認証方式のうちのどれかで認証が行われることになる。ＩＥＥＥ８０２．１ｘ仕様の認証方式を使用する場合は、ＡＰ、ＳＴＡ１においてＩＥＥＥ８０２．１ｘ仕様の認証方式を使用する設定を行い、さらに細かい認証方式、即ちＥＡＰタイプを設定する。ＥＡＰタイプに従った認証方式で認証サーバ４が認証の主な処理を行う。認証サーバ４は、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ  Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ）サーバとして、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）のＲＦＣ２１３８等で定義されているＲＡＤＩＵＳプロトコルに基づいて動作する。保守管理端末５は、有線ＬＡＮ３を介して各ＡＰ２と通信し、複数のＡＰ２や、各ＡＰ２に加入するＳＴＡの監視、制御等を行うとともに、各ＡＰ２に対して許容する認証方式や、許容した認証方式に対するフィルタルールを登録するために使用されるものであり、ＡＰ２とＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）を使用して通信を行うのが一般的である。
【００２４】
図３は、ＡＰに登録される認証方式とフィルタルールの組み合わせ（フィルタルールセット）の例である。各ルールはレイヤ２レベル以上の情報に基づくルールが定義でき、各認証方式はフィルタルールセットと対応づけて登録される。フィルタルールとしては、フィルタルール無し、すなわち全てのデータを中継するという設定もありうる。各フィルタルールにはフィルタ処理の適用条件、即ち前記フィルタ処理を行う中継データとは、データの宛先がＳＴＡのＭＡＣアドレスのものなのか、データの送信元がＳＴＡのＭＡＣアドレスのものなのか、あるいはこれら両方なのかを示すものであり、ＡＰ内でＳＴＡを認証後にフィルタ使用を開始する際には、認証されたＳＴＡのＭＡＣアドレスが前記のフィルタ処理の適用条件に従って各フィルタルールの一部として埋め込まれる。
【００２５】
図２は、ＡＰ２の構成を示した図である。ＡＰ保守管理部８は、保守管理端末５からの監視制御のコマンドを処理し、認証処理部７には対応する認証方式の登録を行い、フィルタ制御部１０にはフィルタルールの設定を行う機能を備える。また、有線インタフェース部１１は、有線ＬＡＮ３との間でデータの送受信を行い、有線ＬＡＮのレイヤ２のプロトコル処理を行う機能を備える。
【００２６】
無線インタフェース部６は、ＳＴＡ１との間で無線信号の送受信を行うとともに、ＩＥＥＥ８０２．１１仕様のプロトコル処理を行う機能を備える。 さらに、プロトコル処理の過程でＳＴＡ１からのＡＰ２への帰属（Ａｓｓｏｃｉａｔｉｏｎ）要求を受け取った場合には、帰属応答を該当ＳＴＡ１に向けて送信するとともに、認証処理部７に該当ＳＴＡ１の認証要求を該当ＳＴＡ１の帰属要求から抽出したＳＴＡ１のＭＡＣアドレスとともに送信して認証結果を受信し、その認証結果が成功であれば、該当ＳＴＡ１のデータ通信を許可し、不成功であれば、直ちに認証解除処理を行う機能を備える。
【００２７】
認証処理部７は、無線インタフェース部６から認証要求を受け取ると該当ＳＴＡ１に対する認証方式を決定して実行し、決定した認証方式によっては認証サーバ４と協調して処理を行う機能を備え、特にＩＥＥＥ８０２．１ｘ仕様に従った認証方式を選択した場合は該当ＳＴＡ１と認証サーバ４と共に前記ＩＥＥＥ８０２．１ｘ仕様のプロトコル処理を行う機能を備える。さらに、最終的に認証が成功すると、その旨を無線インタフェース部６に通知するとともに、フィルタ制御部１０に対してフィルタ設定要求を送信し、認証対象となったＳＴＡ１のＭＡＣアドレスと、使用した認証方式を通知する機能を備える。なお、認証方式を決定する方法については、例えばＡＰ２に許可されている認証方式のうち、セキュリティ強度の高い認証方式から実行を試み、ＳＴＡ１が選択された認証方式に対応していないことを時間経過やネゴシエーションの応答で検出した場合、もしくは認証失敗の場合に、順次セキュリティ強度の弱い認証方式の適用を試みるといった方法をとることができる。
【００２８】
フィルタ制御部１０は認証処理部７からのフィルタ設定要求によって、フィルタルールセットを選択し、フィルタ情報蓄積部１２に登録する機能を備える。すなわち、このフィルタ設定要求を受け取ると、保守管理端末５によって前もって登録されて保持している、認証方式毎に対応付けられたフィルタルールセットを選択して、対象となるＳＴＡのＭＡＣアドレスとともにフィルタ情報蓄積部１２に登録する。
【００２９】
中継処理部９は、有線インタフェース部１１、無線インタフェース部６及びＡＰ保守管理部８の各々から受信するデータを、そのデータに付加されているヘッダ情報に従って有線インタフェース部１１、無線インタフェース部６、ＡＰ保守管理部８に割り振って送るデータ中継機能を備え、中継対象データがフィルタ情報蓄積部１２に保存されているフィルタルールに合致しているかを検査し、該当するフィルタルールが存在する場合にはそのルール内容に従ってデータ廃棄もしくはデータ中継を行う機能を備える。
【００３０】
次に、図４を参照して、第一の実施の形態の無線ＬＡＮシステムの動作について詳細に説明する。
【００３１】
図４には、ＳＴＡ１からの加入要求、すなわち帰属要求（Ａｓｓｏｃｉａｔｉｏｎ  Ｒｅｑｕｅｓｔ）をＡＰが受けてから、ＳＴＡ１の認証に成功し、ＡＰ２内でフィルタルールを登録するまでのフロー及び、ＳＴＡ１の帰属解除の要因発生を検出してから、ＡＰ２内で該当ＳＴＡ１に対するフィルタルールを削除するまでのフローが示されている。
【００３２】
まず、フィルタルールを登録するまでのフローを説明する。ＳＴＡ１を起動して、帰属要求がＡＰ２に送信されると、無線インタフェース部６はＳＴＡ１に対して帰属応答を返すとともに、認証要求をＳＴＡ１のＭＡＣアドレスとともに認証処理部７に送る。これを受けた認証処理部７は認証方式を決定し、認証処理を実行する。認証処理が成功すると、該当ＳＴＡ１のデータ通信を許可してフィルタ制御部１０に対して認証したＳＴＡ１のＭＡＣアドレスと使用した認証方式を含むフィルタ設定要求を送る。これを受けたフィルタ制御部１０は、認証方式に対応するフィルタルールセットを選択し、ＳＴＡ１のＭＡＣアドレスとともにフィルタ情報蓄積部１２に登録する。
【００３３】
次に、フィルタルールを削除するまでのフローを説明する。保守管理端末５からのＳＴＡ１の帰属解除コマンド発行などによって、ＳＴＡ１の帰属解除をＡＰ２内の無線インタフェース部６で認識すると、無線インタフェース部６はフィルタ解除要求を該当ＳＴＡ１のＭＡＣアドレスとともにフィルタ制御部１０に送る。これを受けたフィルタ制御部１０はフィルタ情報蓄積部１２から、要求されたＭＡＣアドレスに関するフィルタルールを削除する。
【００３４】
このように、本発明の無線ＬＡＮシステムでは、認証方式に応じて、ＡＰが中継するＳＴＡのデータ通信のフィルタルールセットを選択して登録したり、解除したりすることが可能である。
【図面の簡単な説明】
【００３５】
【図１】本発明の第一の実施の形態の無線ＬＡＮシステムの全体構成を示す図である。
【図２】本発明の第一の実施の形態のＡＰ（アクセスポイント）の構成を示す図である。
【図３】本発明の第一の実施の形態のＡＰ（アクセスポイント）に登録される認証方式とフィルタルールの組み合わせ（フィルタルールセット）の例を示す図である。
【図４】本発明の第一の実施の形態の無線ＬＡＮシステムの動作を示すフローチャートである。
【図５】ＭＡＣアドレスフィルタリングを説明する図である。
【図６】ＩＥＥＥ８０２．１ｘ仕様による認証を説明する図である。
【符号の説明】
【００３６】
１    ＳＴＡ（端末局）
２    ＡＰ（アクセスポイント）
３    有線ＬＡＮ
４    認証サーバ
５    保守管理端末
６    無線インタフェース部
７    認証処理部
８    ＡＰ保守管理部
９    中継処理部
１０    フィルタ制御部
１１    有線インタフェース部
１２    フィルタ情報蓄積部
【図１】
2005167580.tif 000003
【図２】
2005167580.tif 000004
【図３】
2005167580.tif 000005
【図４】
2005167580.tif 000006
【図５】
2005167580.tif 000007
【図６】
2005167580.tif 000008