(57)【特許請求の範囲】
【請求項１】
アクセスポイントを有する無線ローカルアクセスネットワークへのクレジットに基づくアクセスのユーザ要求を処理する方法であって、
前記アクセスポイントが、認証プロトコルに従ってユーザアクセスの前記ユーザ要求を受信し、
前記アクセスポイントが、前記ユーザ要求に応じてユーザ証明書を認証サーバに転送し、
前記アクセスポイントが、前記クレジットに基づくネットワークアクセスを認証する前記認証サーバからアクセス応答を受信し、前記アクセス応答は、残りのユーザクレジットに基づく利用可能な継続ネットワークアクセスの長さを示すクレジット値を有するパラメータを有し、
前記アクセスポイントが、前記クレジットのパラメータ値が閾値に到達したことに応じて、再認証要求をユーザに送信し、再認証を生じさせ、
前記アクセスポイントが、前記ユーザによる前記ネットワークへの更なるアクセスを許可する前に、ユーザ証明書を前記ユーザから受信して前記認証サーバに転送することを有する方法。
【請求項２】
請求項１に記載の方法であって、
前記パラメータは、ＩＥＥＥ８０２．１Ｘ認証プロトコルに関連するセッションタイムアウトのパラメータを有する方法。
【請求項３】
請求項１に記載の方法であって、
前記アクセスポイントが、前記クレジットのパラメータ値に基づいて、前記ネットワークアクセスを再確立する再認証応答を前記ユーザから受信することを更に有する方法。
【請求項４】
請求項３に記載の方法であって、
前記再認証応答は、前記閾値と前記クレジットのパラメータ値との比較の結果に基づく方法。
【請求項５】
請求項１に記載の方法であって、
前記アクセス応答のメッセージに含まれる前記クレジットのパラメータ値は、ａ）使用時間とｂ）使用トラヒックボリュームとのうち１つに基づく方法。
【請求項６】
無線ローカルエリアネットワーク（ＷＬＡＮ）が、クレジットに基づくネットワークアクセスのユーザ要求を処理する方法であって、
前記ＷＬＡＮのアクセスポイントが、クレジットに基づくネットワークアクセスの前記ユーザ要求に関連するユーザ証明書を認証サーバから受信し、
前記アクセスポイントが、前記ユーザ証明書に応じて、残りのユーザクレジットとネットワークの料金とに基づいてセッションタイムアウトのパラメータ値を計算し、前記セッションタイムアウトのパラメータ値は、利用可能な継続ネットワークアクセスの長さを示し、
前記認証サーバが、前記クレジットに基づくネットワークアクセスを認証するアクセス応答メッセージに前記セッションタイムアウトのパラメータ値を埋め込み、
前記アクセスポイントが、残りのユーザクレジットバランスを示す値を有するクレジットタイマを起動し、前記クレジットタイマは、時間的アクセス使用に従って減少し、
前記アクセスポイントが、前記アクセス応答メッセージをユーザに転送し、
前記アクセスポイントが、前記クレジットに基づくネットワークアクセスを再認証する再認証要求に応じて、前記ユーザ証明書を前記ユーザから受信し、
前記アクセスポイントが、前記クレジットタイマ値と所定の閾値とを比較し、前記比較に応じて前記ネットワークアクセスが更なるネットワークアクセスから認証解除されるか否かを決定することを有する方法。
【請求項７】
請求項６に記載の方法であって、
前記クレジットタイマ値が前記所定の閾値より下になったときに、前記アクセスポイントが、認証解除応答メッセージを前記ユーザに送信することを更に有する方法。
【請求項８】
請求項６に記載の方法であって、
前記クレジットタイマ値が前記所定の閾値より上になったときに、前記アクセスポイントが、再認証応答メッセージを前記ユーザに送信することを更に有する方法。
【請求項９】
請求項６に記載の方法であって、
前記セッションタイムアウトのパラメータ値は、ＩＥＥＥ８０２．１ｘ認証プロトコルに関連する方法。
【請求項１０】
クレジットに基づくネットワークアクセスのユーザ要求を処理するシステムであって、
ネットワークと関連するアクセスポイントを有し、
前記アクセスポイントは、認証プロトコルに従った認証に応じて前記クレジットに基づくネットワークアクセスを提供し、
前記アクセスポイントは、残りのユーザクレジットを示す値を有するパラメータを有するアクセス応答メッセージに応答し、それにより、更なるクレジットに基づくネットワークアクセスを許可又は拒否する前に、クライアント装置に関連するユーザが再認証を許可するユーザ証明書を再提供することを求めることにより、前記パラメータ値に対応するタイマの終了時に、前記アクセスポイントに再認証処理を開始させるシステム。
【請求項１１】
クレジットに基づくネットワークアクセスのユーザ要求を処理するシステムであって、
認証サーバを有し、
前記認証サーバは、ユーザ証明書を有するアクセス要求メッセージに応答し、
前記認証サーバは、残りのユーザクレジットの指標に応じて利用可能な継続ネットワークアクセスの長さを示す値を有するパラメータを有するアクセス応答メッセージをアクセスポイントに送信し、それにより、更なるクレジットに基づくネットワークアクセスを許可又は拒否する前に、クライアント装置に関連するユーザが再認証を許可するユーザ証明書を再提供することを求めることにより、前記パラメータ値に対応するタイマの終了時に、前記アクセスポイントに再認証処理を開始させるシステム。
【請求項１２】
請求項１０に記載のシステムであって、
前記パラメータ値は、セッションタイムアウトのパラメータを有するシステム。
【請求項１３】
請求項１１に記載のシステムであって、
前記認証サーバは、ＲＡＤＩＵＳ認証サーバであり、
更に、前記認証サーバは、前記残りのユーザクレジットの指標を格納するメモリを有するシステム。
【請求項１４】
請求項１１に記載のシステムであって、
前記アクセス応答メッセージに含まれる前記パラメータ値は、ａ）使用時間とｂ）使用トラヒックボリュームとのうち１つに基づくシステム。
【請求項１５】
請求項１１に記載のシステムであって、
前記再認証処理に応じて、前記認証サーバは、前記残りのユーザクレジットの指標を取り出し、前記残りのユーザクレジットの指標が閾値より下になったときに、前記クライアント装置の再認証を拒否するシステム。
【請求項１６】
請求項１５に記載のシステムであって、
前記残りのユーザクレジットの指標は、残りのクレジットバランスを示すクレジットタイマを有し、
前記クレジットタイマは、時間的アクセス使用に従って減少するシステム。
【請求項１７】
請求項１５に記載のシステムであって、
前記認証サーバは、ａ）時間及びｂ）トラヒックボリュームの単位で前記クレジットタイマを定期的に更新するシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、２００３年７月２２日に出願された米国仮特許出願第６０／４８９，３０７号の利益を主張し、その内容が参照として取り込まれる。
【０００２】
本発明は、無線ネットワークでのアクセス及び認証制御に関する。特に、本発明は、無線ローカルエリアネットワーク（ＷＬＡＮ）へのアクセスを取得するためにユーザにより使用されているクレジットの終了に基づいて公衆又はプライベートの無線ローカルエリアネットワーク（ＷＬＡＮ）からユーザを認証解除又は分離することに関する。
【背景技術】
【０００３】
無線ローカルエリアネットワーク（ＷＬＡＮ）は、有線又は他の物理通信回線を通じてではなく、概して、無線周波数（ＲＦ）又は光信号を使用したコンピュータ間、又はコンピュータと他の通信システムとの間でデータ通信を可能にする通信ネットワークを表す。ＷＬＡＮは、インターネットサービス及び無線通信技術の急速な発展により、かなり最近に開発されてきている。ネットワーキング及び維持管理の利便性のため、ＷＬＡＮは、ビル〜ビル間のネットワークや、大規模事務所又は物流センタのネットワーキング等のように、特に有線又は他の物理通信回線が実現可能でない領域に、ますます使用されている。
【０００４】
近年、通信サービスプロバイダはまた、主に屋内プライベートネットワーキングに使用されているＷＬＡＮ技術を屋外公衆ネットワーキングに適応させることにより、高速無線インターネットサービスを導入してきている。インターネットサービスは、所定の登録処理を通じて自分の識別（ＩＤ）コード及びパスワードを登録している認証ユーザにより、いわゆるホットスポット領域でアクセス可能である。休憩場所やカフェやショッピングモールや空港や図書館のようなこのような公衆アクセス可能な施設により、モバイル通信装置は、有料で会社のイントラネット又はインターネットのようなプライベートデータネットワーク又は公衆データネットワークにアクセスすることが可能になる。このような公衆アクセス可能な施設に入ると、モバイル通信装置は、一般的に無線チャネルで、アクセスポイント（ＡＰ）と通信リンクを確立し、無線ＬＡＮ及びその先の公衆又はプライベートネットワークにアクセスする。現在、無線ＬＡＮ（ＷＬＡＮ）環境でのユーザ認証は、ＷＬＡＮ標準に基づく８０２．１ｘ拡張認証プロトコル（ＥＡＰ：ｅｘｔｅｎｓｉｂｌｅ  ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ｐｒｏｔｏｃｏｌ）であるアクセス制御ソフトウェアと共に、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ−Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ）サーバのような認証サーバの使用を含む。他の例示的な実装は、有線通信プロトコルと無線通信プロトコルとの双方を含む。ここでは、ユーザは、認証処理の後にアクセスを取得し得る。
【０００５】
従来の公衆ＷＬＡＮサービスシステムでは、認証処理は、ユーザがネットワークにアクセスしようとしたときに実行され、ユーザがネットワークにアクセスしようとすると常に認証サーバを通じて繰返し実行される認証確認処理を含む。ＩＥＥＥ８０２．１ｘ標準によれば、ユーザが認証サーバからアクセスポイント（ＡＰ）の物理ポートの使用をするための許可を取得した後にのみ、ユーザはアクセスポイント（ＡＰ）の物理ポートを使用することができる。
【０００６】
ＷＬＡＮ接続を通じたネットワークへのアクセスを制御する方法は、サービスプロバイダの中央課金機能に依存している。このようなプロバイダの顧客は、月毎であれ、日毎であれ、また、使用制限の有無にかかわらず、一般的に申込み毎にネットワークへのアクセスに対して支払を行う。顧客アカウントは、サービスプロバイダの中央データベースで維持されている。認証チャレンジに応答するネットワークの部分（例えばＲＡＤＩＵＳサーバ）は、前払いについてであれ、特定の期間内の滞納金の支払についてであれ、アカウントがサービスプロバイダの支払条件に一致している顧客の識別情報で維持されている。空港から１日のアクセス（又は時間毎）のようなアドホック・アクセスを提供するサービスプロバイダですら、中央課金及び決済システムに依存しており、その認証データベースに対して更新をバッチ処理する。
【０００７】
前述のような構成では、ＡＰは、モバイル通信装置のユーザと認証サーバとの中間又は“仲介”として動作する。ユーザがＷＬＡＮ環境でＡＰと無線接続を確立するときに、ＡＰは、ユーザクレジット情報を要求することにより、認証処理を開始する。次に、ＡＰは、ＷＬＡＮアクセス用の確認及び許可のため、ユーザクレジット情報を認証サーバに転送する。認証サーバは、受信したクレジットに基づいてＡＰに成功又は失敗メッセージを返信し、この結果に基づいて、ＡＰはユーザへのアクセスを許可又は拒否する。
【０００８】
クレジットバランス、認証情報等のようなユーザアカウント情報は、ＲＡＤＩＵＳサーバのような認証サーバによりアクセス可能なデータベースに格納されている。しかし、このようなクレジットに基づくＷＬＡＮアクセスは、ユーザのアカウントバランスがＷＬＡＮアクセスにもはや十分でなくなったときに、ユーザアクセスを終了することを必要とする。現時点では、現在のプロトコルは、ＲＡＤＩＵＳサーバのような認証サーバが未承認メッセージをＡＰに送信することを許可しない。
【発明の開示】
【発明が解決しようとする課題】
【０００９】
従って、クレジット情報に基づいてＷＬＡＮから以前に認証されたユーザの認証解除及び分離を提供することを可能にする方法及びシステムを提供することが望ましい。
【課題を解決するための手段】
【００１０】
クレジットに基づくアクセス制御に基づいてネットワークからモバイル通信装置（“クライアント”と呼ばれることがある）を認証解除する方法は、ネットワークのアクセスポイント（ＡＰ）により、認証プロトコルに従ってクライアント装置からユーザアクセスのユーザ要求を受信し、ＡＰにより、ユーザ要求に応じて認証サーバにアクセス要求を送信し、ＡＰにより、クライアント装置についてのユーザアクセスを認証する認証サーバからのアクセス応答を受信し、アクセス応答は、残りのユーザクレジットに基づいてネットワークへのクライアント装置の利用可能アクセス量を示す値を有するパラメータを有し、クライアント装置によるネットワークの使用とそのパラメータとに応じてクライアント装置の残りの利用可能アクセス量を決定し、ＡＰにより、残りの利用可能アクセス量が閾値に到達したことに応じてクライアント装置に第１の再認証要求を送信し、ネットワークとのクライアント装置の再認証を生じさせ、ＡＰにより、第１の再認証要求に応じてクライアント装置から第１の再認証応答を受信し、クライアント装置によるネットワークへの更なるアクセスを許可する前に、ＡＰにより認証サーバに再認証要求を送信することを有する。ネットワークは、特にＷＬＡＮでもよく、クライアントは、特にモバイル通信装置でもよい。
【００１１】
ネットワークは、通信チャネルを通じて複数のクライアント装置のうち１つと通信するアクセスポイントを有し、アクセスポイントは、認証プロトコルに従った認証サーバを介したクライアント装置の認証に基づいて、ネットワークへのアクセスを提供する。アクセスポイントは、ネットワークにアクセスを要求しているクライアント装置のうち１つを認証する認証サーバからのアクセス応答に更に応答する。その要求は、アクセスポイントを介して認証サーバに転送されている。アクセス応答は、残りのユーザクレジットに基づいてクライアント装置の利用可能な継続アクセスの長さを示す値を有し、それにより、パラメータ値に対応する期間の終了時にアクセスポイントに際認証処理を開始させ、それによって、クライアント装置のネットワークへの更なるアクセスを許可する前にクライアント装置の再認証を要求する。ネットワークは、特にＷＬＡＮでもよく、クライアント装置は、特にモバイル通信装置でもよい。
【発明を実施するための最良の形態】
【００１２】
本発明は、詳細な説明及び図面を考慮してよく理解される。
【００１３】
１つ以上の例示的な実施例の形式で本発明について説明する。図１は、本発明の例示的な実施例を示したブロック図である。図１を参照すると、例示的な実施例は、内部にアクセス制御ソフトウェア又はロジック１４があるアクセスポイント１２を有するシステム１０を含む。一例の実装では、アクセスポイント１２は、ＷＬＡＮ（無線ローカルエリアネットワーク）アクセスポイントであり、アクセス制御ソフトウェア１４は、８０２．１ｘ拡張認証プロトコル（ＥＡＰ）である。ここに提供される開示及び教示に基づいて、当業者は本発明を実装するために使用され得る他の通信プロトコルを理解するであろう。動作中のときに、アクセス制御ソフトウェア１４は、アクセスポイント１２がＷＬＡＮ１６へのユーザのアクセスを可能又は不可能にすることができる複数の機能を提供する。
【００１４】
作動すると、アクセス制御ソフトウェア１４は、複数のモバイル通信装置（１８１，１８２，．．．１８ｎ）のうち１つのユーザからアクセス要求を受信する。このとき、特定の無線クライアント又はモバイル通信装置１８１はアクセスポイント１２にコンタクトし、ＷＬＡＮのような通信ネットワーク１６へのアクセスを確立しようとしている。ＡＰ１２は、クレジット情報（アカウントバランス、プリペイド型クレジット料金等）に基づいてユーザを認証するように構成された対応の認証サーバ２０に、要求を転送する。例えば、有線、無線及び衛星ネットワークを含み、無線ネットワーク１６と認証サーバ２０との間に更なるネットワークが存在してもよい点に留意すべきである。認証サーバに関連するデータベース２４は、ユーザ基準のクレジットバランス情報を格納して維持する。１つの構成では、認証サーバ２０は、アカウント情報に直接アクセスしてもよい。任意選択で、サーバ２０は、ネットワーク２６（プライベートデータネットワーク又はＰＤＮ等）での他のアカウント／認証サーバ２８、２９のプロキシとして動作してもよく、サーバ２８、２９はユーザクレジット記録にアクセスを有する最終的な認証サーバ（例えば、クレジットカード型の発行エージェンシー又はプリペイド型データカード発行者により制御されるサーバ）として動作する。ユーザを認証する認証サーバ２０からアクセス承認応答メッセージがＡＰにより受信されると、ＡＰ１２は、ＷＬＡＮへの関連のクライアント装置１８のアクセスを可能にする。
【００１５】
本発明の態様によれば、認証サーバ２０は、オペレータの使用を測定し、及び／又は対応の通信セッションをパラメータ化する制御サーバロジック２２を有する。制御サーバロジック２２は、例えば、（ａ）最大セッション時間（例えば時間単位又は通貨単位）、（ｂ）最大データボリューム（増加又は減少）、（ｃ）帯域（アップリンク及び／又はダウンリンク）（例えばバイト単位又は通貨単位）、（ｄ）ポップアップ、警告及び支払猶予期間、（ｅ）１日のうちの時間、曜日での料金の変化（例えば混雑時間中に請求を多くする）、及び（ｆ）１日のうち特定の時間、曜日、又は例えばユーザクレジット情報に基づく複数の期間に対するアクセスの制限を含み、複数の基準に基づく使用パラメータ及び／又はビジネスルールを有する。１つの構成では、ユーザを認証してＷＬＡＮへのアクセスを許可するＡＰを対象にするアクセス応答メッセージに関連するパラメータは、パラメータ値が所定の閾値に到達したときに、ＡＰからの認証（又は再認証）要求を起動し、クレジット情報に基づいてモバイル通信装置又はクライアントのユーザを再認証するために使用される。例示的な実施例では、ＲＦＣ２８６５に記載されたパケットフォーマット及びプロトコルを有するＲＡＤＩＵＳ認証サーバのセッションタイムアウト（Ｓｅｓｓｉｏｎ−Ｔｉｍｅｏｕｔ）のパラメータ又はアトリビュート２１０ａ（図２Ｂ）が、この結果を得るために使用される。特に、制御サーバロジック２２（図１）は、１）ＷＬＡＮの請求料金のような様々な使用コストを決定し、ユーザが有するクレジットバランスの量に基づいて、特定のユーザについてある単位（例えば、日、時間、分、秒等）で最大利用可能アクセス時間を計算する。その値の一部（全体の値を含んでもよい）は、ＡＰに返信されるアクセス応答メッセージに備えられるセッションタイムアウトのパラメータに含まれる。ＡＰにより受信されたアクセス応答メッセージに含まれるセッションタイムアウト期間の終了時に、ＡＰのアクセス制御ロジック１４は、ユーザに送信される８０２．１Ｘ再認証要求メッセージ２１６（図２Ａ参照）を起動し、ネットワークへのアクセスを維持するために再認証を開始する。
【００１６】
例えば、ユーザがサーバ２０によりアクセス可能なアカウントデータベース２４に格納されている＄２０のアカウントバランスを有し、無線ＬＡＮの請求料金が１時間毎に＄２である場合、ユーザがＷＬＡＮに所属し続けることができる最大可能時間は１０時間であると計算される。認証サーバ制御ロジック２２は、利用可能な最大１０時間の一部として（例えば１時間のセッションタイムアウト値として）、セッションタイムアウトのパラメータを設定してもよい。セッションタイムアウトのパラメータ又はアトリビュート２１０ａは、ＲＦＣ２８６５に記載されたＲＡＤＩＵＳプロトコルに従って、アクセス承認メッセージ２１０の一部としてＲＡＤＩＵＳサーバ２０によりＡＰ１２に送信される。１つの構成では、このアトリビュートは、セッション又はプロンプトの終了前にユーザに提供されるサービスの最大の秒数を設定する。ＲＦＣ２８６５プロトコルに従った好ましい実施例では、ＲＡＤＩＵＳ要求の終了動作（Ｔｅｒｍｉｎａｔｉｏｎ−Ａｃｔｉｏｎ）値と共にアクセス承認メッセージで送信されるセッションタイムアウトのアトリビュート２１０ａは、再認証の前に提供されるサービスの最大の秒数を指定する。この場合、セッションタイムアウトのアトリビュートは、８０２．１Ｘの再認証タイマ状態機械に定まった再認証期間（ｒｅＡｕｔｈＰｅｒｉｏｄ）をロードするために使用される。これは、アクセス承認（Ａｃｃｅｓｓ−Ａｃｃｅｐｔ）（又はアクセスチャレンジ（Ａｃｃｅｓｓ−Ｃｈａｌｌｅｎｇｅ））メッセージで認証サーバによりＡＰに送信される。図２Ｂは、ＲＦＣ２８６５に従ったセッションタイムアウトのパラメータ又はアトリビュート２１０ａのフォーマットを示している。
【００１７】
セッションタイムアウトのパラメータ値２１０ａは、ユーザに対する再認証要求を起動するために使用され、それにより、セッションタイムアウト期間の毎回の終了時に、又はセッションタイムアウトのパラメータ値が閾値の下になったときに、ＡＰはモバイル通信装置１８のユーザに再認証要求を送信する。閾値はセッションタイムアウトのパラメータ値の比率でもよい。通常の動作で、ユーザ証明書が確認用にサーバに再送信され、認証処理が繰り返される。
【００１８】
図２Ａは、本発明の形態に従ってクレジット情報に基づいてアクセスを制御する時間を基準とした再認証シナリオにおける、クライアント／ユーザとＡＰと認証／アカウントサーバとの間でのメッセージの例示的な動作フローを示している。プロキシサーバがＡＰと認証／アカウントサーバとの間に追加されてもよいが、この構成は交換されるメッセージを変更せず、この図では省略されている。
【００１９】
図２Ａを参照すると、モバイル通信装置のクライアント／ユーザ１８とＡＰ１２との間の動作として、クライアント装置のユーザ１８は、ＩＥＥＥ８０２．１ｘ機能に組み込まれたＡＰへのＥＡＰ＿ＳＴＡＲＴメッセージ（２０１）を送信し、公衆ＷＬＡＮ１６へのアクセスを要求する。応答として、ＡＰはユーザ装置にＲＥＱＵＥＳＴ＿ＩＤメッセージ（２０２）を送信し、ユーザ装置は、ＡＰに対するＲＥＳＰＯＮＳＥ＿ＩＤメッセージ（２０４）としてユーザ識別（ＩＤ）コードで応答する。ユーザ装置からＲＥＳＰＯＮＳＥ＿ＩＤメッセージを受信した後に、ＡＰは、ＲＡＤＩＵＳ認証／アカウントサーバ２０にＲＡＤＩＵＳアクセス要求メッセージ（２０６）を送信する。認証／アカウントサーバは、ユーザパスワード及び／又は他のユーザ証明書（例えば、名前、クライアントＩＤ、ポートＩＤ等）を確認すること、並びにユーザクレジットバランス、ＷＬＡＮ料金又は他の割増料金を含む利用可能なクレジット情報に基づいてユーザに利用可能なアクセス時間／ボリュームの量を決定することを含み、ユーザ装置を確認するように動作する。
【００２０】
ＲＡＤＩＵＳ認証／アカウントサーバ（ＡＳ）２０は、ユーザクレジット情報（前述のように、最大利用可能アクセス時間／ボリュームの一部でもよい）に基づいてセッションタイムアウトのパラメータ値を計算し（２０８）、認証時に、ＡＰへのセッションタイムアウトのパラメータ値２１０ａを含み、ＡＰに結果のアクセス承認メッセージ２１０を送信する。
【００２１】
それに応じて、ＡＰは認証成功メッセージをユーザ装置に送信してもよく、ネットワークへのユーザのアクセスを許可する。１つの構成では、ＡＰはセッションタイムアウトのパラメータ値を示す値を格納する。ＷＬＡＮアクセス制御ソフトウェアロジック内のカウンタは、いつセッションタイムアウトのパラメータ値が終了するか（２１４）を決定し、終了時に、制御ロジックは、ネットワークへの更なるアクセスを許可する前にユーザ装置がそれ自体を再認証することを要求するＲＥ−ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ＿ＲＥＱＵＥＳＴメッセージ（２１６）をユーザ装置に送信する。
【００２２】
ユーザ装置は、関連の証明情報を含むＲＥ−ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ＿ＲＥＳＰＯＮＳＥメッセージ（２１８）でＡＰに応答し、ＡＰは再認証要求（２２０）でＡＳ２０に転送する。ＡＳ２０は、再認証要求に応じて、最大利用可能クレジットに基づいて全体のセッション時間／ボリュームの期間が終了したか否かを決定する。そうである場合、認証の失敗を示すアクセス拒否応答メッセージ２２４がＡＰに返信される。ＡＰは失敗メッセージをユーザ装置に送信し（例えばＥＡＰ＿ｆａｉｌ）、ＷＬＡＮへの更なるアクセスからユーザを分離する。そうでない場合、ユーザはサーバ２０により再認証され、セッションタイムアウトのパラメータ値がＡＰに送信されるアクセス承認メッセージ（２１０）で計算及び提供され（２１０ａ）、ユーザ装置はＷＬＡＮへの継続のアクセスを許可される。
【００２３】
本発明の例示的な実施例では、認証／アカウントサーバ２０の制御サーバロジック２２は、ユーザのアクセスに利用可能な全体時間量を決定し、図２Ａのステップ２２２でタイムアウト期間が終了したか否かを決定するために、各認証ユーザに関連するタイマモジュール３００（図３参照）を有する。図３は、図２Ａのメッセージ交換図と共に、タイマモジュールの動作に関連する例示的なフローを示している。タイマモジュールは、ユーザアカウントの残りのクレジットバランスに対応するクレジットタイマを有する。認証／アカウントサーバ２０は、利用可能なＷＬＡＮアクセス時間クレジットを決定し、最大利用可能クレジットバランスに関連するタイマ又は他のそのようなカウンタを起動する（ステップ３１０）。一実施例では、図２Ａのステップ２０８で計算されたセッションタイムアウトのパラメータ値２１０ａ（図２Ａ）は、クレジットタイマ値に対応してもよく、全体のクレジットタイマ値の一部でもよい。クレジットタイマ値は、時間単位とトラヒックボリューム単位とのうち１つの経過に基づいて更新される（例えば減少する）。図２Ａのステップ２２０で再認証要求がＲＡＤＩＵＳ認証／アカウントサーバにより受信されたとき（ステップ３２５）、サーバはクレジットタイマモジュールを検査し、タイマが終了しているか否かを決定する（ステップ３３０）。そうである場合、サーバは、ＡＰ１２へのアクセス拒否、認証解除メッセージ（図２Ａの２２４）のような認証失敗メッセージを自動的に送信する（ステップ３４０）。次に、これはＷＬＡＮへのユーザのアクセスを終了する。関連のクレジットタイマモジュールの終了前にＲＡＤＩＵＳ認証／アカウントサーバにより受信された所定のユーザの再認証要求は、単にユーザを再認証することで通常通り扱われ、それによってＷＬＡＮへのユーザの継続アクセスを可能にする。
【００２４】
認証サーバがクレジットタイマを実行することを必要としない代替の実装について、図４に関して説明する。ユーザが何らかの形式の証明書を提供することによりＷＬＡＮにログインしようとすると、認証サーバ２０は、特定の単位（例えば、時間単位、トラヒックボリューム）で残りのユーザクレジットバランスを計算する（ステップ４１０）。サーバ２０は、ＡＰから定期的に（例えば時間単位又はトラヒックボリュームで）アカウントメッセージを受信する（ステップ４２０）。このようなメッセージ及びメッセージフォーマットは、ＡＰからサーバ２０（アカウントサーバでもよく、アカウントサーバに対するプロキシとして動作してもよい）へのアカウント要求メッセージ／パケットを含み、ＲＦＣ２８６６に従って送信され、ユーザに提供されるサービスについての更新アカウント情報を提供する。更新アカウントレコードの受信及び記録の成功時に、サーバ２０はアカウント応答メッセージ／パケットをＡＰに提供する。クレジットが所定の閾値（例えばゼロ又は負のバランス）に到達するまで、サーバは、受信したアカウント情報に基づいてクレジット単位を更新する（例えば減少する）。ユーザの再認証が生じる毎に（ステップ４２５）、サーバは残りのクレジット単位バランスを調べ、クレジットバランス単位が閾値の下になったときに、ＡＰに認証失敗メッセージを送信する（ステップ４３０、４４０）。アクセス制御ソフトウェア１４は、クライアント１８との通信セッションを終了（又は分離）するように、アクセスポイント１２に指示する。その他の場合には、ユーザは再認証され、セッションタイムアウトのパラメータ値が計算され、ユーザ装置がＷＬＡＮへの継続アクセスを許可される（ステップ４５０）。
【００２５】
前述のように、本発明は、ＷＬＡＮのユーザアクセスのアカウントが時間単位に基づくシステムに適切な用途を見出すが、例えば、使用帯域、トラヒックボリューム又はユーザにより使用される他のリソース量を含み、他のアカウント単位も使用され得る。ボリュームに基づくアカウントユーザでは、セッションタイムアウト期間（パラメータ値）は、ＡＰを通過するトラヒックボリュームに基づいて期間毎に変化してもよい。この場合、セッションタイムアウト期間は、ユーザが（例えばバイトで）固定量のトラヒックを転送する可変の持続時間として定められてもよい。セッションタイムアウト期間は、トラヒックボリュームの所定量のバイト（例えば１ＭＢ毎）毎に終了するように設定されてもよい。１つの構成では、ＡＰ１２のアクセスロジック１４は、ユーザが１ＭＢのトラヒックを転送したときに、再送信要求を送信し、ＡＰロジック内でバイトカウンタをリセットする。
【００２６】
前述の本発明は、ソフトウェア、ファームウェア又はこれらの実装の組み合わせを使用して、分散又は統合して実装され得ることがわかる。特に、本発明は、コンピュータにより読取可能なプログラム／コードでコンピュータにより読取可能な記録媒体に実装され得る。コンピュータにより読取可能な記録媒体は、コンピュータによる読取可能なデータが格納されている如何なる種類の記録装置をも有し得る。記録媒体の例は、ＲＯＭ、ＲＡＭ、ＣＤ−ＲＯＭ、磁気テープ、ハードディスク、フロッピーディスク、フラッシュメモリ、光データ記憶装置を含み、搬送波（例えばインターネットでの伝送）も含む。更に、記録媒体は、ネットワークを通じて相互接続されているコンピュータシステムに分散されてもよく、本発明は、分散システムのプログラム／コードとして格納及び実装されてもよい。ここに提供される開示及び教示に基づいて、当業者は、本発明を実装するために使用され得る他の方法及び／又は方式を認識するであろう。
【００２７】
ここに記載された例及び実施例は、例示目的に過ぎず、その観点で様々な変更又は変形が当業者にわかり、この出願の要旨及び視野と特許請求の範囲とに含まれることがわかる。ここに記載されている全ての刊行物、特許及び特許出願は、その全てが参照として取り込まれる。
【図面の簡単な説明】
【００２８】
【図１】本発明の原理を使用した例示的なアーキテクチャを示すブロック図
【図２Ａ】本発明の実施例によるＷＬＡＮへのユーザアクセスを認証／認証解除するために、図１のシステムの無線ＬＡＮと認証サーバとモバイル通信装置構成要素との間で生じた通信を示したメッセージ交換図
【図２Ｂ】本発明に具現される原理に従ってモバイル通信装置の再認証を起動するアクセス応答メッセージの一部として形成される例示的なセッションタイムアウトのパラメータのパケットフォーマット
【図３】本発明に具現される原理に従ってセッションタイムアウトのデータを計算する測定方法の動作を示した例示的なフローチャート
【図４】本発明に具現される原理に従ってセッションタイムアウトのデータを計算する測定方法の動作を示した代替の例示的なフローチャート
【図１】
0004563385.tif 000002
【図２Ａ】
0004563385.tif 000003
【図２Ｂ】
0004563385.tif 000004
【図３】
0004563385.tif 000005
【図４】
0004563385.tif 000006