(57)【要約】【課題】  干渉・漏洩・盗聴・帯域占有の問題、共用スペースでの自組織へのネットワーク接続の問題を解消して、利便性の高いネットワークおよびその管理方法を提供する。【解決手段】  パケットに付加されるＶＬＡＮタグやＶＰＮヘッダなどの付加情報とＳＳＩＤなどの識別情報との関連付け情報を管理サーバ１に登録し、管理サーバ１はその関連付け情報をすべての無線アクセスポイント３ａ〜３ｄに書き込む。無線端末５ａ〜５ｃ，５ａ′，５ｂ′はいずれかのアクセスポイント３と無線通信することにより、そのＳＳＩＤなどの識別情報に関連付けられたＶＬＡＮタグなどの付加情報をパケットに付加してバックボーンへ送り、逆に、組織内のＬＡＮから受け取ったパケットの付加情報に対応する識別情報を用いて該当の無線端末と通信することにより、端末は自組織内のＬＡＮに接続されているサーバなどと通信が可能となる。【選択図】  図２
2007028084.tif 000002
【特許請求の範囲】
【請求項１】
複数の組織に属する端末と各組織内のＬＡＮとがバックボーンにそれぞれ接続されたネットワークにおいて、
パケットに付加される付加情報と識別情報との関連付け情報を記憶する管理サーバを前記バックボーンに接続するとともに、
前記管理サーバからの関連付け情報を基に、前記端末から送られてくる識別情報に対応する付加情報を、前記端末から受け取ったパケットに付加してバックボーンへ送るとともに、前記組織内のＬＡＮから受け取ったパケットに付加されている付加情報に対応する識別情報を用いて該当の端末と通信する端末通信手段と、
前記組織内のＬＡＮから受け取ったパケットに当該組織を表す付加情報を付加し、前記バックボーンから受け取ったパケットの付加情報を外して当該パケットを前記組織内のＬＡＮへ送り出す組織ＬＡＮ通信手段と、
を備えたことを特徴とするネットワーク。
【請求項２】
前記端末から送られてくる識別情報はユーザＩＤと認証鍵であり、前記管理サーバは前記ユーザＩＤに含まれる組織ドメイン名と前記付加情報との関連付けを記憶するものであり、
前記識別情報を基に認証する認証サーバを前記バックボーンに接続し、
前記端末通信手段は前記端末から送られてくる識別情報を基に前記認証用サーバで認証を行うようにした請求項１に記載のネットワーク。
【請求項３】
前記端末から送られてくる識別情報は当該端末のＭＡＣアドレスを含み、前記管理サーバは、前記認証サーバにより認証された端末の前記ＭＡＣアドレスを前記付加情報に関連付けるようにした請求項２に記載のネットワーク。
【請求項４】
前記端末は無線端末であり、前記端末通信手段は前記無線端末との間で通信する無線アクセスポイントであり、前記識別情報は無線識別符号である請求項１に記載のネットワーク。
【請求項５】
前記バックボーンはインターネットであり、前記管理サーバは前記インターネットに接続されていて、前記端末通信手段は前記インターネットに接続されたＶＰＮ対応の無線ルータである請求項１に記載のネットワーク。
【請求項６】
前記管理サーバは、前記端末通信手段から通信パケット量に関する情報を抽出して該通信パケット量に応じた課金データを求める手段と、該課金データを出力する手段とを備えた請求項１〜５のうちいずれか１項に記載のネットワーク。
【請求項７】
前記端末通信手段は通信品質制御を行う手段を備え、前記管理サーバは前記端末通信手段に対して通信品質に関する情報を設定する手段を備えた請求項１〜６のうちいずれか１項に記載のネットワーク。
【請求項８】
同一の無線空間を利用する複数の無線機器が無線端末との間で互いに干渉しない無線通信環境となるように前記無線機器の配置および設定を行い、
前記無線端末と該無線端末の属する組織内のＬＡＮに接続したノードとの間に、前記無線機器および該無線機器を介して通信を行う仮想回線を構成し、
前記通信の利用状況に応じて課金を行うネットワーク管理方法。
【請求項９】
同一の無線空間を利用する複数の無線機器が無線端末との間で互いに干渉しない無線通信環境となるように前記無線機器の配置および設定を行い、
前記無線端末と該無線端末の属する組織内のＬＡＮに接続したノードとの間に、前記無線機器および該無線機器を介して通信を行う仮想回線を構成し、
前記仮想回線の利用契約に応じて前記無線機器の通信パラメータを設定するネットワーク管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、複数の組織でネットワークの一部を共有して相互に利用可能としたネットワークおよびその管理方法に関するものである。
【背景技術】
【０００２】
一般に、無線ＬＡＮ機器は容易に設置でき、使用開始までの設定作業も簡易に行えるため、近年その利用は急速に拡大している。
【０００３】
例えば、１つのオフィスビル内での各テナントなどの組織、または会社の建物内での各部署などの組織の単位で、それぞれ個別に無線ＬＡＮ機器の設置や設定を行っている。
【０００４】
このような無線機器を用いた無線ＬＡＮにおいては、隣接する他の無線ＬＡＮ機器との相互干渉を避けるため、次のような対策を施していた。
【０００５】
（１）  ＣＤＭＡ／ＣＡ方式によって通信の衝突を回避する。
【０００６】
（２）  他の機器群との区別を行い、混信を避けるためグループ識別子（ＥＳＳＩＤ）の設定を行う（非特許文献１参照）。
【０００７】
（３）  ＦＤＭＡという機能により、周辺の電波状況を自動的に検知して、利用可能な周波数（チャンネル）を自動設定する。またはその機能のない無線ＬＡＮ機器では、あまり利用していないと思われるチャンネルに手動設定する。
【０００８】
（４）  ＷＥＰ／ＷＰＡという暗号化技術により他人に利用されないようにするためにパスワードを設定する。
【非特許文献１】株式会社インセプト、IT用語辞典“ESSID”、[online]、［平成１７年７月７日検索］、インターネット＜http://e-words.jp/w/ESSID.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００９】
ところが、これまでは前述の各組織内での利用を目的として各組織が、互いに他の組織に設置される無線ＬＡＮのことをあまり意識することなく個別に無線ＬＡＮの設定や設置を行っていたので、次のような問題が顕在化してきた。
【００１０】
（１）  前述の従来の無線ＬＡＮ機器の干渉防止のための機能によっても、無線ＬＡＮ機器の増大や運用方法によっては互いの干渉が生じる。
【００１１】
（２）  無線空間が有効に使えず無駄が多い。そのためレスポンスが低下する。
【００１２】
（３）  無線ＬＡＮを用いたネットワークで何らかの問題が生じた時、その調整すべき相手が明確にならない。
【００１３】
（４）  近接する他の無線ＬＡＮ機器との干渉が明らかであっても、相手方との調整の際に互いの秘密が漏れやすい。また、組織の数の組み合わせ数分の調整（契約）を行う必要がある。例えば６つの組織が隣接していれば、６＊５／２＝１５の調整が必要となる。
【００１４】
（５）  無線ＬＡＮの利用状況に応じて帯域（通信速度）などを融通することが困難である。
【００１５】
（６）  ネットワークの動作の維持や安全確保の手間がそれぞれの組織毎に必要であり、正しい知識を持たないままネットワークの拡張や利用を行うと盗聴などの危険を招くことになる。
【００１６】
（７）  通信帯域（速度）は互いに融通しあうことなく利用可能なだけ占有することになるので、例えば電気やガスなどのように使用量に応じてコストを負担するといった仕組みをつくることは困難である。
【００１７】
（８）  例えば複数の組織が共用するスペースで、ネットワークを利用するといったことができない。
【００１８】
上述の問題は、主に無線ＬＡＮを用いることによる問題について示したが、有線ＬＡＮにおいても上記（８）と同様の問題が生じる。
【００１９】
そこで、この発明の目的は、上述の各種問題を解消して利便性を高めたネットワークおよびその管理方法を提供することにある。
【課題を解決するための手段】
【００２０】
この発明は、前述の問題を解決するために、次のように構成する。
（１）  複数の組織に属する端末と各組織内のＬＡＮとがバックボーンにそれぞれ接続されたネットワークにおいて、パケットに付加される付加情報（ＶＬＡＮタグまたはＩＰパケットをカプセル化するＶＰＮ用ヘッダなど）と識別情報（ＳＳＩＤ,ユーザＩＤ）との関連付け情報を記憶する管理サーバを前記バックボーンに接続し、前記管理サーバからの関連付け情報を基に、前記端末から送られてくる識別情報（ＳＳＩＤ,ユーザＩＤ等）に対応する、またはその識別情報を認証する手段からの認証結果（ＭＡＣアドレス等）に対応する付加情報を、前記端末から受け取ったパケットに付加してバックボーンへ送るとともに、前記組織内のＬＡＮから受け取ったパケットに付加されている付加情報に対応する識別情報を用いて該当の端末と通信する端末通信手段（アクセスポイント、認証スイッチングＨＵＢなど）と、前記組織内のＬＡＮから受け取ったパケットに当該組織を表す付加情報を付加し、前記バックボーンから受け取ったパケットの付加情報を外して当該パケットを前記組織内のＬＡＮへ送り出す組織ＬＡＮ通信手段（ＶＬＡＮ対応ＨＵＢ、ＶＰＮ対応ルータなど）と、を備る。
【００２１】
（２）  前記端末から送られてくる識別情報はユーザＩＤと認証鍵とし、管理サーバはユーザＩＤに含まれる組織ドメイン名と前記付加情報との関連付けを記憶するものとし、前記識別情報を基に例えばIEEE802.1Xに従って認証する認証サーバをバックボーンに接続し、端末通信手段は端末から送られてくる識別情報を基に認証用サーバで認証を行うようにする。
【００２２】
（３）  前記端末から送られてくる識別情報は当該端末のＭＡＣアドレスを含み、管理サーバは、認証サーバにより認証された端末のＭＡＣアドレスを前記付加情報に関連付けるようにする。すなわち、ユーザ認証とＭＡＣ認証を組み合わせる。
【００２３】
（４）  前記端末を無線端末とし、前記端末通信手段は前記無線端末との間で通信する無線アクセスポイントとし、前記識別情報は無線識別符号（ＳＳＩＤ）とする。
【００２４】
（５）  前記バックボーンをインターネットとし、前記管理サーバを前記インターネットに接続されたものとし、前記端末通信手段を前記インターネットに接続されたＶＰＮ対応の無線ルータとする。
【００２５】
（６）  前記管理サーバは、前記端末通信手段から通信パケット量に関する情報を抽出して該通信パケット量に応じた課金データを求める手段と、該課金データを出力する手段とを備えたものとする。
【００２６】
（７）  前記端末通信手段は通信品質（ＱｏＳ）制御を行う手段を備え、前記管理サーバは前記端末通信手段に対して通信品質（ＱｏＳ）に関する情報を設定する手段を備える。
【００２７】
（８）  この発明のネットワークの管理方法は、同一の無線空間を利用する複数の無線機器（アクセスポイント）が無線端末との間で互いに干渉が少ない無線通信環境となるように前記無線機器（アクセスポイント）の配置および設定を行い、前記無線端末と該無線端末の属する組織内のＬＡＮに接続したノードとの間に、前記無線機器（アクセスポイント）および該無線機器（アクセスポイント）を介して通信を行う仮想回線を構成し、前記通信の利用状況に応じて課金を行う。
【００２８】
（９）  また、この発明のネットワークの管理方法は、同一の無線空間を利用する複数の無線機器（アクセスポイント）が無線端末との間で互いに干渉が少ない無線通信環境となるように前記無線機器（アクセスポイント）の配置および設定を行い、前記無線端末と該無線端末の属する組織内のＬＡＮに接続したノードとの間に、前記無線機器（アクセスポイント）および該無線機器（アクセスポイント）を介して通信を行う仮想回線を構成し、前記仮想回線の利用契約に応じて前記無線機器（アクアセスポイント）の通信パラメータを設定する。
【発明の効果】
【００２９】
（１）  端末通信手段は、管理サーバからの関連付け情報を基に、端末から送られてくる識別情報に対応する付加情報を端末から受け取ったＩＰパケットに付加してバックボーンへ送り、組織内のＬＡＮから受け取ったパケットに付加されている付加情報に対応する識別情報を用いて該当の端末と通信するようにし、また組織ＬＡＮ通信手段が組織内のＬＡＮから受け取ったＩＰパケットにその組織を表す付加情報を付加し、バックボーンから受け取ったパケットの付加情報を外して当該パケットを組織ＬＡＮへ送り出すようにしたので、端末は端末通信手段と通信するだけで、その端末の属する組織内のＬＡＮに接続することができる。このように、パケットの付加情報と端末の識別情報とを関連付けることによって仮想回線を構成し、各仮想回線の各組織への割り当てが可能となる、
（２）  端末通信手段が端末から送られてくるユーザＩＤと認証鍵を識別情報とし、それを基に認証サーバがその識別情報を基に認証を行い、ユーザＩＤに含まれる組織ドメイン名と前記付加情報とを関連付けることによって、端末はユーザＩＤと認証鍵を用いてどの端末通信手段を介しても自組織内のＬＡＮと接続可能となる。
【００３０】
（３）  端末から送られてくる識別情報にその端末のＭＡＣアドレスを含み、管理サーバが、認証サーバにより認証された端末のＭＡＣアドレスを前記付加情報に関連付けるようにすることにより、認証サーバで一旦認証された後は、端末はそのＭＡＣアドレスを基に前記仮想回線を介しての自組織内のＬＡＮとの接続が可能となる。
【００３１】
（４）  前記端末を、無線端末とし、前記端末通信手段を無線端末との間で通信する無線アクセスポイントとし、前記識別情報を無線識別符号とすることにより、無線アクセスポイントのサービスエリア内で無線端末を用いるだけで、自組織のＬＡＮと接続可能となる。
【００３２】
（５）  前記バックボーンをインターネットとし、前記管理サーバを前記インターネットに接続されたものとし、前記端末通信手段を前記インターネットに接続されたＶＰＮ対応の無線ルータとすることにより、各組織がインターネットに接続された環境下で、各無線端末はＶＰＮを用いて各組織内のＬＡＮに接続可能となる。
【００３３】
（６）  管理サーバが端末通信手段から通信パケット量に関する情報を抽出して、それに応じた課金データを求めるようにしたことにより、その通信の利用状況に応じて課金を行うようなサービスも可能となる。
【００３４】
（７）  端末通信手段が通信品質制御を行うようにし、管理サーバが端末通信手段に対して通信品質に関する情報を設定するように構成することにより、組織毎にネットワークを効率よく使えるようになり、ネットワークの帯域を各組織が有効に利用できるようになる。
【００３５】
（８）  同一の無線空間を利用する複数の無線機器が無線端末との間で互いに干渉しない無線通信環境となるように無線機器の配置および設定を行い、無線端末と該無線端末の属する組織内のＬＡＮに接続したノードとの間に、無線機器および該無線機器を介して通信を行う仮想回線を構成し、その通信の利用状況に応じて課金を行うようにしたので、例えば電気・ガス・電話などと同様にネットワークの切り分け販売のようなサービスが提供できるようになる。
【００３６】
（９）  同一の無線空間を利用する複数の無線機器が無線端末との間で互いに干渉しない無線通信環境となるように前記無線機器の配置および設定を行い、無線端末と該無線端末の属する組織内のＬＡＮに接続したノードとの間に、前記無線機器および該無線機器を介して通信を行う仮想回線を構成し、その仮想回線の利用契約に応じて無線機器の通信パラメータを設定することによって、契約（料金）に応じた通信品質が確保ができ、例えばある１つの組織がネットワークの帯域を使い尽くして他の組織の利用効率（通信品質）が低下するといった問題が解消できる。
【発明を実施するための最良の形態】
【００３７】
第１の実施形態に係るネットワークについて図１〜図１１を参照して説明する。
まず、図１は、例えばある建物内やビルの１つのフロア内での組織の例と無線ＬＡＮの構成例を示している。（Ａ）は従来の例である。このように、人事部、総務部、開発部、研究部、営業部、経営企画部の６つの組織がそれぞれ独自に無線ＬＡＮ機器の導入・設定を行った場合、それらのアクセスポイントと無線端末（ノートパソコンなど）との間で用いるチャンネルが同じである場合、互いの干渉が問題となる。
【００３８】
それに対し、この発明の実施形態では、（Ｂ）に示すように、各組織で用いる無線空間の管理を行い、各組織は隣接する組織の無線機器の状態を知らなくても無線空間を最大限有効に利用できるようにする。
【００３９】
この第１の実施形態に係るネットワークは、ＳＳＩＤとＶＬＡＮを用いて、無線空間を有効に利用して、無線端末とそれが属する組織のＬＡＮに接続されているノードとの間で通信を行うものであり、次のように設定し動作させる。
【００４０】
（１）  切り分けられる組織毎にＳＳＩＤを割り当てる。
（２）  切り分けられる組織毎にバーチャルＬＡＮ（以下、「ＶＬＡＮ」という。）を割り当てる。
（３）  管理サーバに管理用ＶＬＡＮ（例えば、「ＶＬＡＮ２」）を割り当てる。
【００４１】
（４）  無線ＬＡＮ用バックボーンＬＡＮを構築する。
無線アクセスポイント（以下、「ＡＰ」という。）は、ＶＬＡＮタグを認識できる無線ＬＡＮ用の有線通信網の上に一括して設置する。各組織内でも共用スペースでも同じように設置する。ＡＰは組織に縛られることなく、最も良好に無線通信できるように配置・設定する。
【００４２】
（５）  各組織内の有線ＬＡＮと無線ＬＡＮ用バックボーンＬＡＮを接続する。
各組織内の有線ＬＡＮと無線ＬＡＮ用バックボーンＬＡＮの接続点には、所属する組織のＶＬＡＮタグ付きパケットを受け入れ、ＶＬＡＮタグを外して標準的なＬＡＮ上のパケットに戻した状態にして組織内の有線ＬＡＮへ送る機能を持つ装置（通常、ＶＬＡＮ機能付きスイッチングハブまたはＬ３スイッチ）を設置する。また、この装置で、無線ＬＡＮへ送られるパケットに、該当組織のＶＬＡＮタグを付ける。
【００４３】
（６）  ＡＰはＳＳＩＤとＶＬＡＮタグを関連付けて通信する。
ＡＰは、上記「ＶＬＡＮ２」で通信する管理サーバの指示に従い、ＳＳＩＤとＶＬＡＮタグを関連付ける。
例えば、
「ＶＬＡＮ３」からのパケットはＳＳＩＤＡの無線端末へ送り、ＳＳＩＤＡからのパケットは「ＶＬＡＮ３」へ送る。
「ＶＬＡＮ４」からのパケットはＳＳＩＤＢの無線端末へ送り、ＳＳＩＤＢからのパケットは「ＶＬＡＮ４」へ送る。
「ＶＬＡＮ５」からのパケットはＳＳＩＤＣの無線端末へ送り、ＳＳＩＤＣからのパケットは「ＶＬＡＮ５」へ送る。
ＶＬＡＮ２は、管理用通信ＬＡＮとしてＡＰ自身が取り扱う。
【００４４】
（７）  無線端末は所属する組織のＳＳＩＤで通信する。
すなわち、
組織Ａに属する無線端末はＳＳＩＤＡで通信する。
組織Ｂに属する無線端末はＳＳＩＤＢで通信する。
組織Ｃに属する無線端末はＳＳＩＤＣで通信する。
これにより、どのアクセスポイントに接続しても自組織のＬＡＮに接続されることになる。
【００４５】
共用スペースでもこの関係は変わらないため、無線が一括管理されている範囲では組織の部屋内にいるのと変わりなく利用することができる。
【００４６】
（８）  管理サーバは無線の状態と各ＶＬＡＮを管理する。
管理サーバは次のような処理を行う。
バックボーン、ＡＰ、無線空間の管理を行う。
ＳＳＩＤとＶＬＡＮとの関連付けの管理を行う。
各組織に割り当てたＶＬＡＮの利用状況を調べる。
その利用状況から課金データを生成する。
【００４７】
以下、上記の仕組みを実現する具体的な構成を示す。
図２は、ネットワーク全体の構成を示す図である。ここで、ＶＬＡＮ−ＨＵＢ２はバックボーンＬＡＮを構成するＨＵＢであり、このバックボーンＬＡＮに他のＶＬＡＮ−ＨＵＢ４ａ〜４ｄ、無線のアクセスポイント３ａ〜３ｄおよび管理サーバ１を接続している。
【００４８】
ＶＬＡＮ−ＨＵＢ４ａは組織Ａで利用するＨＵＢであり、他の通常の（ＶＬＡＮ対応でない）ＨＵＢやパソコンなどのノードが接続される。ＶＬＡＮ−ＨＵＢ４ｂ，４ｃも同様に組織Ｂ，組織Ｃで用いられ、他の通常のＨＵＢやノードが接続される。ＶＬＡＮ−ＨＵＢ４ｄは共用スペースで用いられるＨＵＢであり、ここに各組織の有線端末（例えばパソコン）が接続される。
【００４９】
無線端末であるノートパソコン５ａ，５ｂ，５ｃ，５ａ′，５ｂ′はアクセスポイント３ａ〜３ｄのいずれかと無線通信し、自組織内のＬＡＮの１つのノードとして作用する。例えばノートパソコン５ａ，５ａ′が組織Ａに属するものであれば、アクセスポイント３ｄを介して通信することにより、組織ＡのＶＬＡＮ−ＨＵＢ４ａに接続されているＬＡＮ上のノード（例えばサーバ）との間で通信を行うことができる。同様に、組織Ｂに属するノートパソコン５ｂ，５ｂ′は、アクセスポイント３ｄを介して通信することにより、組織ＡのＶＬＡＮ−ＨＵＢ４ｂに接続されているＬＡＮ上のノード（例えばサーバ）との間で通信を行うことができる。
【００５０】
図３は、ネットワークの仮想回線について示す図である。無線端末であるノートパソコン５ａ，５ａ′が組織Ａに属するものであれば、仮想回線Ａ（ＶＬＡＮ３）を介して組織Ａ内のＬＡＮにそれぞれ接続される。また、ノートパソコン５ｂ，５ｂ′が組織Ｂに属するものであれば、仮想回線Ｂ（ＶＬＡＮ４）を介して組織Ｂ内のＬＡＮにそれぞれ接続される。同様にノートパソコン５ｃが組織Ｃに属するものであれば、仮想回線Ｃ（ＶＬＡＮ５）を介して組織Ｃ内のＬＡＮに接続される。
【００５１】
このように、バックボーンＬＡＮおよび各組織に設けたＶＬＡＮ−ＨＵＢのＶＬＡＮ機能により、各組織に属する無線端末はそれぞれの組織内のＬＡＮと接続することができる。そのために、各無線ＬＡＮのアクセスポイント３ａ〜３ｄには、ＶＬＡＮタグと無線識別符号ＳＳＩＤとの関連付け情報を書き込んでおく。
【００５２】
図４は、前記管理サーバ１を設定しておくＶＬＡＮタグとＳＳＩＤとの関係を示す図である。この実施形態では３つの組織（組織Ａ〜組織Ｃ）を管理するので、ＶＬＡＮタグとＳＳＩＤの対を３組登録しておく。
【００５３】
図５は、管理サーバ１で管理する組織毎の通信品質（ＱｏＳ）、通信パケット量およびそれらによる課金のデータである。例えば、予め契約した通信品質のグレードに応じてＱｏＳを設定する。また、無線アクセスポイントのパケット量データを抽出してそれに応じた課金データを求める。
【００５４】
図６は、イーサネット（登録商標）上を伝搬する通常のパケットと、ＶＬＡＮを構成するためのパケットの違いについて示している。（Ａ）は通常のパケットであり、基本的にはＩＰヘッダと実データ部からなＩＰパケットにイーサネット（登録商標）ヘッダを付けたものである。これに対し、ＶＬＡＮを構成するためのパケットは、それに更にＶＬＡＮタグを付加している。このＶＬＡＮタグは物理的な接続形態とは独立に、端末の仮想的なグループを設定するためのそのグループ毎の識別のためのタグである。
【００５５】
図７〜図１１は、管理サーバ、アクセスポイントおよび各組織の有線ＬＡＮのノードの主な処理内容をフローチャートとして表したものである。
【００５６】
図７は、ＶＬＡＮタグとＳＳＩＤの関連付け情報の設定についてのフローチャートである。管理サーバは、外部（コンソール）から入力されるＶＬＡＮタグとＳＳＩＤのペアを、図４に示した関連付け情報テーブルに書き込む（更新する）。そして、すべてのアクセスポイント（ＡＰ）へ上記関連付け情報を書き込む。これに応じてアクセスポイントはその関連付け情報を記憶する。
【００５７】
図８は、無線端末とアクセスポイントとの間での通信処理についてのフローチャートである。無線端末は、その無線端末に設定されているＳＳＩＤでアクセスポイントへアクセスして無線通信する。これにより、アクセスポイントはその無線端末から受信したＳＳＩＤに対応したＶＬＡＮタグをパケットに付与してバックボーンＬＡＮへ送る。
【００５８】
図９は、各組織の有線ＬＡＮのノードとアクセスポイントとの間での通信処理の手順を示すフローチャートである。或る組織の有線ＬＡＮのノードからＶＬＡＮタグ付きパケットがアクセスポイントへ送られると、アクセスポイントはそのパケットからＶＬＡＮタグを取り除いて通常のパケットに戻すとともに、該当のＳＳＩＤで無線端末と無線通信する。
【００５９】
このようにして、無線端末はどのアクセスポイントを介しても自組織の有線ＬＡＮのノードとの間で通信を行うことができる。したがって、例えば組織Ａに所属する無線端末を組織Ｂの部屋で用いても、その無線端末は組織Ａの有線ＬＡＮのノードとの間で通信を行うことができる。
【００６０】
図１０は、管理サーバが行う通信品質設定の処理内容を示すフローチャートである。まず、外部（コンソールなど）から入力されるＳＳＩＤ毎のＱｏＳを読み取り、それを図５に示した制御情報テーブルに書き込む（更新する）。そして、すべてのアクセスポイントへ上記ＱｏＳ情報を書き込む。
【００６１】
これにより、無線端末は、そのＳＳＩＤに応じたＱｏＳで無線通信を行うことができる。
【００６２】
図１１は、管理サーバが行う課金管理の処理内容を示すフローチャートである。管理サーバは、ＱｏＳとパケット量に応じて、または料金（コース）に応じて課金の計算を行う。また、外部からの指示など、必要に応じて上記課金情報を顧客が指定したメールアドレスへ送信する。または、顧客が指定した銀行の引き落とし口座から引き落とす。
【００６３】
次に、第２の実施形態に係るネットワークについて図１２〜図１５を参照して説明する。
【００６４】
この第２の実施形態に係るネットワークはＩＥＥＥ８０２．１Ｘによるユーザ認証とＶＬＡＮを組み合わせたものである。そのため、次のように設定し動作させる。
【００６５】
（１）  切り分けられる組織毎にＳＳＩＤを割り当てる。
（２）  切り分けられる組織毎にバーチャルＬＡＮ（以下、「ＶＬＡＮ」という。）を割り当てる。
（３）  管理サーバに管理用ＶＬＡＮ（例えば、「ＶＬＡＮ２」）を割り当てる。
【００６６】
（４）  無線ＬＡＮ用バックボーンＬＡＮを構築する。
無線アクセスポイント（以下、「ＡＰ」という。）は、ＶＬＡＮタグを認識できる無線ＬＡＮ用の有線通信網の上に一括して設置する。各組織内でも共用スペースでも同じように設置する。ＡＰは組織に縛られることなく、最も良好に無線通信できるように配置・設定する。
【００６７】
（５）  各組織内の有線ＬＡＮと無線ＬＡＮ用バックボーンＬＡＮを接続する。
各組織内の有線ＬＡＮと無線ＬＡＮ用バックボーンＬＡＮの接続点には、所属する組織のＶＬＡＮタグ付きパケットを受け入れ、ＶＬＡＮタグを外して標準的なＬＡＮ上のパケットに戻した状態にして組織内の有線ＬＡＮへ送る機能を持つ装置（通常、ＶＬＡＮ機能付きスイッチングハブまたはＬ３スイッチ）を設置する。また、この装置で、無線ＬＡＮへ送られるパケットに、該当組織のＶＬＡＮタグを付ける。
【００６８】
（６）  各ユーザは無線ＬＡＮに接続するためのユーザＩＤと認証鍵を持つ。
各ユーザは、「ユーザ名＠組織ドメイン名」形式のユーザＩＤと認証鍵を持つ。認証鍵はパスワードやパスフレーズ、ワンタイムパスワード、電子証明書などが代表的である。例えば組織Ａに属するユーザＩＤ“ｔａｒｏ”（太郎さん）のユーザＩＤは「ｔａｒｏ＠Ａ」となる。
【００６９】
（７）  ＡＰはユーザＩＤの認証を行う。
無線接続にきた端末をＩＥＥＥ８０２．１Ｘに則って認証する。その際、ユーザＩＤの組織ドメイン名の部分を見て、認証鍵を問い合わせるＲＡＤＩＵＳサーバのあるＶＬＡＮや認証後接続するＶＬＡＮを判定する。ドメイン名とＶＬＡＮとの関係は、「ＶＬＡＮ２」を通じて通信した管理サーバの指示に従う。
【００７０】
組織Ａは、自組織が電子証明書に基づく認証サーバを持っていて、その他はパスワード認証に基づく認証を認証委託しているものとすると、次のようになる。
【００７１】
無線端末が例えばユーザＩＤ「ｔａｒｏ＠Ａ」で接続を求めた場合、ＡＰは組織ドメイン名ＡをＶＬＡＮ２で接続された管理サーバと通信する。これにより、「ＶＬＡＮ３」を通じて認証するように指示され、それに基づきＶＬＡＮ３越しに組織Ａの認証サーバと通信し、認証鍵を判定する。
【００７２】
また例えば、無線端末がユーザＩＤ「ｊｉｒｏ＠Ｂ」で接続を求めた場合、ＡＰは組織ドメイン名Ｂを「ＶＬＡＮ２」に接続された管理サーバと通信する。これにより、「ＶＬＡＮ６」を通じて認証するように指示され、それに基づき、「ＶＬＡＮ６」越しに委託認証用の認証サーバと通信し、認証鍵を判定する。
【００７３】
（８）  ＡＰは組織ドメイン名とＶＬＡＮタグとを関連付けて通信する。
例えば、
「ＶＬＡＮ３」からのパケットは組織ドメインＡで認証された無線端末へ送り、組織ドメインＡで認証された無線端末からのパケットはＶＬＡＮ３へ送る。
「ＶＬＡＮ４」からのパケットは組織ドメインＢで認証された無線端末へ送り、組織ドメインＢで認証された無線端末からのパケットはＶＬＡＮ４へ送る。
「ＶＬＡＮ５」からのパケットは組織ドメインＣで認証された無線端末へ送り、組織ドメインＣで認証された無線端末からのパケットはＶＬＡＮ５へ送る。
ＶＬＡＮ２は管理用通信ＬＡＮとしてＡＰ自身が取り扱う。
【００７４】
（９）  無線端末はユーザＩＤと認証鍵で認証し、共通のＳＳＩＤで通信する。
組織Ａに属する無線端末は組織ドメインＡを含むユーザＩＤで認証し、共通のＳＳＩＤで通信する。これにより、どのアクセスポイントに接続しても、無線端末は自組織のＬＡＮに接続されることになる。
【００７５】
共用スペースでもこの関係は変わらないため、無線が一括管理されている範囲では組織内にいるのと変わりなく利用することができる。
【００７６】
（１０）  管理サーバは無線の状態と各ＶＬＡＮを管理する。
管理サーバは次のような処理を行う。
バックボーン、ＡＰ、無線空間の管理を行う。
組織ドメイン名とＶＬＡＮとの関連付けの管理を行う。
各組織に割り当てたＶＬＡＮの利用状況を調べる。
その利用状況から課金データを生成する。
【００７７】
この第２の実施形態に係るネットワークを図示すれば図２および図３に示したものと同様である。但し、認証サーバ（ＲＡＤＩＵＳサーバ）をバックボーンＬＡＮにつなぐか各組織内のＬＡＮにつなぐことになる。
【００７８】
図１２は、この第２の実施形態に係るネットワークにおける組織ドメイン名とＶＬＡＮタグとの関連付けに関する処理内容を示すフローチャートである。管理サーバは組織ドメイン名とＶＬＡＮタグとの関連付け情報をすべてのアクセスポイントへ送る。この関連付け情報は、第１の実施形態で図４に示したものと同様に、ＶＬＡＮタグとペアとなる組織ドメイン名を管理サーバに登録しておき、その管理サーバがアクセスポイントに対して関連付け情報を転送するものである。
【００７９】
アクセスポイントは、管理サーバから組織ドメイン名とＶＬＡＮタグとの関連付け情報を受けて記憶する。
【００８０】
図１３は、無線端末とアクセスポイントとの間での通信に関する処理内容を示すフローチャートである。無線端末は（アクセスポイントからの要求に従って）ユーザＩＤとパスワードをアクセスポイントへ送る。アクセスポイントはこの無線端末から受け取ったユーザＩＤの組織ドメイン名部分に基づいて、該当の認証サーバ（ＲＡＤＩＵＳサーバ）で認証する。より具体的には、上記組織ドメイン名から、認証可否を問い合わせるＲＡＤＩＵＳサーバのあるＶＬＡＮを判定し、そのＶＬＡＮを介してＲＡＤＩＵＳサーバに接続可否を問い合わせる。
【００８１】
図１４は、各組織の有線ＬＡＮのノードとアクセスポイントとの間での通信について示すフローチャートである。各組織の有線ＬＡＮのノードはＶＬＡＮタグ付きパケットをアクセスポイントへ送る。これにより、アクセスポイントは各ＶＬＡＮからのパケットを、該当の組織ドメイン名で認証された無線端末へ送る。その際、共通のＳＳＩＤを用いる。
【００８２】
図１５は、無線端末とアクセスポイントとの間での認証後の通信について示すフローチャートである。無線端末は共通のＳＳＩＤでアクセスポイントと通信する。アクセスポイントは、認証された組織ドメイン名に対応するＶＬＡＮへパケットを送る。以上のようにしてＩＥＥＥ８０２．１ＸとＶＬＡＮを用いて、どのアクセスポイントからも自組織内のＬＡＮと通信可能となる。
【００８３】
なお、以上に述べた例では、いずれも無線端末と各組織内のＬＡＮのノードとの間で通信を行う例を示したが、有線ＬＡＮについても略同様の枠組みで管理可能である。例えば図２に示した共用スペースに設けたＶＬＡＮ−ＨＵＢ４ｄにノートＰＣ等の端末を接続して、自組織内のＬＡＮに接続されているサーバとの間で通信を行う場合などである。ただし、有線ＬＡＮの場合にはＳＳＩＤはないので、第２の実施形態で示した組織ドメイン名とＶＬＡＮタグとの関連付け情報を、図２に示したＶＬＡＮ−ＨＵＢ４ｄに設定する。そして、無線のアクセスポイントと同様の処理を行う。すなわち、そのＶＬＡＮ−ＨＵＢ４ｄに接続された端末から受け取ったユーザＩＤの組織ドメイン名に基づいて該当の認証サーバで認証する。
【００８４】
なお、この第２の実施形態では、ＩＥＥＥ８０２．１Ｘによる認証としたが、これをユーザ認証＋ＭＡＣ認証の方式で行ってもよい。すなわち、端末（無線端末または有線端末）から送られてくる識別情報にその端末のＭＡＣアドレスを含むものとし、管理サーバは、認証サーバにより認証された端末のＭＡＣアドレスをＶＬＡＮタグと関連付ける。
【００８５】
この方法によれば、ＩＥＥＥ８０２．１Ｘ非対応の端末であって適用できる。すなわち、端末のキーボードからユーザ名とパスワードを入力すれば、管理サーバがその認証を行い、認証可となった端末のＭＡＣアドレスを無線のアクセスポイントやＨＵＢに登録する。以降は、無線のアクセスポイントやＨＵＢが上記ＭＡＣアドレスを見て、有効なパケットのみを通信するように構成すればよい。
【００８６】
次に第３の実施形態に係るネットワークについて図１６・図１７を参照して説明する。
【００８７】
図１６は、ネットワーク全体の構成を示す図である。管理サーバ１はルータ１１を介してインターネットに接続している。組織Ａには無線ルータ１３ａ、通常のＨＵＢ１４ａを備えている。また組織Ｂには無線ルータ１３ｂおよびＨＵＢ１４ｂを備えている。同様に組織Ｃについても無線ルータ１３ｃおよびＨＵＢ１４ｃを備えている。これらのＨＵＢ１４ａ，１４ｂ、１４ｃには、それぞれの組織内で利用するサーバやパソコンなどのノードを接続している。また共用スペースには無線ルータ１３ｄを設けている。これらの無線ルータ１３ａ〜１３ｄは、回線終端器１０を介してインターネットに接続している。
【００８８】
第１・第２の実施形態では、いずれもＶＬＡＮを用いて仮想ＬＡＮを構成したが、この第３の実施形態ではＶＰＮを用いている。無線ルータ１３ａ〜１３ｄおよびルータ１１はいずれもＶＰＮ対応のルータであり、仮想プライベートネットワークを構成可能としている。すなわち、第１・第２の実施形態ではＯＳＩ参照モデルのイヤー２で仮想回線を構成するものであったが、この第３の実施形態では、そのレイヤー３で仮想回線を構成する。したがって、第１・第２の実施形態において示したバックボーンとしてのＬＡＮは、この第３の実施形態ではインターネット、第１・第２の実施形態において示したＶＬＡＮ対応のＨＵＢやアクセスポイントは、この第３の実施形態ではＶＰＮ対応の無線ルータにそれぞれ置き換わることになる。
【００８９】
図１７は、イーサネット（登録商標）上を伝搬する通常のパケットと、ＶＰＮを構成するためのパケットの違いについて示している。（Ａ）は通常のパケットであり、基本的にはＩＰヘッダと実データ部からなＩＰパケットにイーサネット（登録商標）ヘッダを付けたものである。これに対し、ＶＰＮを構成するためのパケットは、パケットを暗号化し、または平文のままとし、それにＶＰＮ情報（グローバルＩＰアドレス）を付加してカプセル化したものである。このＶＰＮ情報は、第１の実施形態で示したＶＬＡＮタグの扱いと同様に、端末の仮想的なグループを設定するための、そのグループ毎の識別のためにも用いる。
【図面の簡単な説明】
【００９０】
【図１】ある建物内やビルの１つのフロア内での組織と無線ＬＡＮの従来構成と本発明構成の例を示す図である。
【図２】第１の実施形態に係るネットワークの構成を示す図である。
【図３】同ネットワークの仮想回線について示す図である。
【図４】管理サーバに備えるＶＬＡＮタグとＳＳＩＤの関連付け情報の例を示す図である。
【図５】同管理サーバに備える制御情報テーブルの内容の例を示す図である。
【図６】ＶＬＡＮと非ＶＬＡＮを伝搬するパケットの例を示す図である。
【図７】関連付け情報の設定に関する管理サーバとアクセスポイントの処理内容を示すフローチャートである。
【図８】無線端末とアクセスポイントとの間での通信の処理内容を示すフローチャートである。
【図９】各組織の有線ＬＡＮのノードとアクセスポイント間での通信処理の内容を示すフローチャートである。
【図１０】通信品質設定に関する管理サーバの処理内容を示すフローチャートである。
【図１１】課金管理に関して管理サーバが行う処理内容を示すフローチャートである。
【図１２】第２の実施形態に係るネットワークにおける管理サーバとアクセスポイント間での通信処理の内容を示すフローチャートである。
【図１３】無線端末とアクセスポイント間での通信処理の内容を示すフローチャートである。
【図１４】各組織の有線ＬＡＮのノードとアクセスポイント間での通信処理の内容を示すフローチャートである。
【図１５】無線端末とアクセスポイント間での通信処理の内容を示すフローチャートである。
【図１６】第３の実施形態に係るネットワークの構成例を示す図である。
【図１７】ＬＡＮ内を伝送するパケットとＶＰＮパケットとの例を示す図である。
【符号の説明】
【００９１】
１−管理サーバ
２−ＶＬＡＮ−ＨＵＢ
３−アクセスポイント
４−ＶＬＡＮ−ＨＵＢ
５−無線端末
【図１】
2007028084.tif 000003
【図２】
2007028084.tif 000004
【図３】
2007028084.tif 000005
【図４】
2007028084.tif 000006
【図５】
2007028084.tif 000007
【図６】
2007028084.tif 000008
【図７】
2007028084.tif 000009
【図８】
2007028084.tif 000010
【図９】
2007028084.tif 000011
【図１０】
2007028084.tif 000012
【図１１】
2007028084.tif 000013
【図１２】
2007028084.tif 000014
【図１３】
2007028084.tif 000015
【図１４】
2007028084.tif 000016
【図１５】
2007028084.tif 000017
【図１６】
2007028084.tif 000018
【図１７】
2007028084.tif 000019