JP2003318939A

JP2003318939A - 通信システムおよびその制御方法

Info

Publication number: JP2003318939A
Application number: JP2002119344A
Authority: JP
Inventors: Norihiro Ikeda; 宣弘池田
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2002-04-22
Filing date: 2002-04-22
Publication date: 2003-11-07

Abstract

(57)【要約】【課題】通信システムにおける認証処理等に係る負荷
の集中を回避すること。【解決手段】アクセスポイント(105)が、無線ネット
ワーク経由で有線ネットワークにアクセスすることを許
可しうる無線通信端末(106)のMACアドレスを登録した登
録リストを記憶し、受信したアドレス割当て要求に含ま
れる無線通信端末(106)のMACアドレスが登録リストに含
まれているときは、そのアドレス割当て要求をDHCPサー
バ(102)に送信し、受信したアドレス割当て要求に含ま
れる無線通信端末(106)のMACアドレスが登録リストに登
録されていないときは、そのアドレス割当て要求を拒否
する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は通信システムに関
し、特に、無線ネットワークを含む無線通信システムに
おけるネットワーク負荷の制御技術、およびセキュリテ
ィ管理技術に関する。

【０００２】

【従来の技術】一般にＬＡＮ（ローカルエリアネットワ
ーク）は、ファイルサーバ、プリントサーバ、ＦＡＸサ
ーバ等のサービスを提供する各種サーバ装置とサービス
を受けて情報の修正や登録を行うクライアント端末とで
構成される。そして、このようなＬＡＮシステムにおい
ては、ネットワーク上で予めアドレス割当ての登録をす
るＤＨＣＰサーバ（アドレス割当てサーバ）に対してク
ライアント端末がＭＡＣ（Media Access Control）アド
レスを含むアドレス割当て要求を送信することで、自動
的に登録済アドレスの割当てがなされるものが知られて
いる。

【０００３】その一例を、図１１を用いて説明する。図
１１は、クライアント−ＤＨＣＰサーバ間におけるシー
ケンスを示す図である。始めに、クライアントがアドレ
ス割当てサーバを特定するメッセージDHCPDISCOVER（M1
101）をブロードキャスト（同報通信）する。ＤＨＣＰ
サーバはこれに応答して、割当ててもよいＩＰアドレス
を含むメッセージDHCPOFFER（M1102）を返す。次に、ク
ライアントは、受信したそのメッセージDHCPOFFER（M11
02）により割当てられたＩＰアドレスを利用する旨のメ
ッセージであるDHCPREQEST（M1103）をブロードキャス
トする。ＤＨＣＰサーバは、確認メッセージDHCPACK（M
1104）を返し、割当てたＩＰアドレスを保持する。

【０００４】クライアントは、割当てられたＩＰアドレ
スを用いてＩＰデータの送受信（M1105）を行い、その
後、ＩＰアドレスを必要としなくなるとアドレスの解放
メッセージDHCPRELEASE（M1106）をブロードキャストす
る。ＤＨＣＰサーバは、割当てたＩＰアドレスが返却さ
れたことを認識し、そのアドレスを再びアドレス割当て
に利用できるようにする。

【０００５】ところで、このようなＬＡＮシステムで
は、データベース等への不正アクセスを防止するため、
パスワードによる利用者管理、ファイルのリードオンリ
ー等の設定による使用者制限等を行うことによりＬＡＮ
システムに対する不正使用を防止している。不正アクセ
スの防止を強化することは近年の要請であり、不正アク
セスの防止を強化するためのさまざまな手法が従来より
提案されている。

【０００６】例えば、特開平7−56795号公報には、ホス
トコンピュータとしてサービスを提供するサーバによっ
て、パスワード（暗証番号）およびユーザＩＤ（識別番
号）によるユーザチェック（相手認証処理）だけでなく
各端末に固有の端末ＩＤ（ＭＡＣアドレス）による端末
チェック（端末認証処理）を施し、強制アクセス制御に
よるセキュリティ管理機能を実現することが開示されて
いる。

【０００７】また、特開平9−130397号公報によれば、
端末認証サービスを提供するＤＨＣＰサーバによって、
ネットワーク内の無線クライアント端末のアドレス割当
ての認証時の情報要素もしくはパスワード（暗証番号）
と端末ＩＤとの対応表を用いたユーザチェック（相手認
証処理）を施し、異なるネットワークへのアクセス（セ
キュリティ）レベルを決定することが開示されている。

【０００８】また、特開平11−284231号公報に示される
無線LANシステムにおける認証処理では、アクセスポイ
ントが、認証サービスを提供するＤＨＣＰサーバに適合
するプロトコルに変換して認証要求を行い、そのＤＨＣ
Ｐサーバが、認証要求を起動した無線端末局のMACアド
レスに基づき認証し、アクセスポイントにチャレンジテ
キストを送出し、そのアクセスポイントが、認証要求を
起動した無線端末局との間で、所定の暗号化アルゴリズ
ムに基づく暗号化認証を行う。このように共通鍵認証方
式を拡張してＭＡＣアドレス認証を行う方法によりセキ
ュリティを確保している。

【０００９】さらに、特開平11−327252号公報に示す無
線LANシステムにおける無線端末の認証処理方式では、
ワイヤレスＬＡＮのゲートウェイのＩＰアドレスと当該
ワイヤレスＬＡＮに接続すべきワイヤレスＩＰ端末のＩ
Ｄとの対応リストを登録し保有するＩＰ端末管理サーバ
を用いて、ゲートウェイが、ワイヤレスＩＰ端末からの
ＩＤを含む接続要求に応じてワイヤレスＩＰ端末のＩＤ
と当該ゲートウェイのＩＰアドレスとの組み合わせ情報
をＩＰ端末管理サーバに通知する。ＩＰ端末管理サーバ
は、通知された組み合わせを対応リストと照合し、一致
した場合には接続を許可し、一致しない場合には接続を
拒否することによりセキュリティを確保している。

【００１０】また、IEEE802.11において標準化されてい
る一般的な無線ネットワークシステムでは、無線クライ
アント端末を収容する無線ＡＰ（アクセスポイント）
は、サービスエリア固有の識別子（ＥＳＳＩＤ）やＷＥ
Ｐ（認証）キーを用いて不正アクセスの防止を実施して
いる。

【００１１】

【発明が解決しようとする課題】しかしながら、このよ
うな無線通信システムにおけるアプリケーションレベル
での不正使用防止を目的とする無線クライアント端末の
認証処理は、ＤＨＣＰサーバによって実行される。その
ため、有線クライアント端末の認証処理に比較して煩雑
な無線クライアント端末の認証処理機能もＤＨＣＰサー
バに必要とされ、ネットワークにおける負荷が集中する
という問題がある。

【００１２】また、認証処理に用いられるパスワードや
クライアント端末を特定するためのＭＡＣアドレス、あ
るいはサービスエリア固有の識別子（ＥＳＳＩＤ）やＷ
ＥＰ（認証）キー等のアクセス管理に重要な情報が、無
線伝送路を使用して送受信されるため、漏洩または傍受
等により第三者に知得される可能性があり、不正アクセ
スを確実になくすことができないという問題もある。

【００１３】本発明はこのような問題点を解決するため
になされたものであり、無線ネットワークを含む通信シ
ステムにおいて認証処理等に係る負荷の集中を回避する
ことを目的とする。

【００１４】さらに本発明は、不正アクセスを確実に防
止することのできる通信システムを提供することを目的
とする。

【００１５】

【課題を解決するための手段】本発明の第１の側面は、
無線ネットワークおよび有線ネットワークを含み、その
無線ネットワークと有線ネットワークとの中継を行う１
または２以上の無線基地局と、その有線ネットワークに
アクセスしようとする端末に必要な情報を提供するサー
バ装置とを備える通信システムに関し、前記サーバ装置
にかかる負荷を軽減するための構成を提供する。すなわ
ち、この通信システムは、前記無線基地局が、前記無線
ネットワークを経由して前記有線ネットワークにアクセ
スすることを許可しうる無線通信端末の識別子を登録し
た登録リストと、前記無線ネットワークを経由して前記
有線ネットワークにアクセスしようとする無線通信端末
が送信したその無線通信端末の識別子を含むアドレス割
当て要求を受信する受信手段と、受信した前記アドレス
割当て要求に含まれる前記無線通信端末の識別子が前記
登録リストに含まれているときは、そのアドレス割当て
要求を前記サーバ装置に送信し、受信した前記アドレス
割当て要求に含まれる前記無線通信端末の識別子が前記
登録リストに含まれていないときは、そのアドレス割当
て要求を拒否する制御手段とを備えることを特徴とす
る。

【００１６】本発明の第２の側面は、無線ネットワーク
および有線ネットワークを含み、その無線ネットワーク
と有線ネットワークとの中継を行う１または２以上の無
線基地局と、その有線ネットワークにアクセスしようと
する端末に必要な情報を提供するサーバ装置とを備える
通信システムおいて、前記サーバ装置にかかる負荷を軽
減するための方法に関する。この方法は、前記無線基地
局が、前記無線ネットワークを経由して前記有線ネット
ワークにアクセスすることを許可しうる無線通信端末の
識別子を登録した登録リストをあらかじめ記憶してお
き、前記無線ネットワークを経由して前記有線ネットワ
ークにアクセスしようとする無線通信端末が送信したそ
の無線通信端末の識別子を含むアドレス割当て要求を受
信する受信ステップと、受信した前記アドレス割当て要
求に含まれる前記無線通信端末の識別子が前記登録リス
トに含まれているときは、そのアドレス割当て要求を前
記サーバ装置に送信し、受信した前記アドレス割当て要
求に含まれる前記無線通信端末の識別子が前記登録リス
トに含まれていないときは、そのアドレス割当て要求を
拒否するように制御する制御ステップと、を有すること
を特徴とする。この方法は、前記無線基地局によって実
行されるプログラムによっても実現されうる。

【００１７】本発明の第３の側面は、無線ネットワーク
および有線ネットワークを含み、その無線ネットワーク
と有線ネットワークとの中継を行う無線基地局と、その
有線ネットワークにアクセスしようとする端末に必要な
情報を提供する第１のサーバ装置と、所定の通信サービ
スを提供する第２のサーバ装置とを備える通信システム
に関し、前記第２のサーバ装置への不正アクセスを防止
するための構成を提供する。このシステムにおいて、前
記第１のサーバ装置は、前記有線ネットワークに有線接
続された有線通信端末には、第１のアドレス候補グルー
プからいずれかのアドレスを割り当て、前記無線基地局
を介して前記有線ネットワークにアクセスする無線通信
端末には、前記第１のアドレス候補グループとは異なる
第２のアドレス候補グループからいずれかのアドレスを
割り当てるアドレス割当て手段を備える。また、前記第
２のサーバ装置は、前記無線通信端末または前記有線通
信端末が送信した、前記通信サービスの提供を受けるた
めのアクセス要求を受信する受信手段と、受信した前記
アクセス要求の送信元アドレスが前記第１または第２の
アドレス候補グループのどちらに含まれるかに応じて、
その送信元が無線通信端末であるか有線通信端末である
かを判断する判断手段と、前記アクセス要求の送信元が
有線通信端末であると判断したときは、そのアクセス要
求を許可し、前記アクセス要求の送信元が無線通信端末
であると判断したときは、そのアクセス要求を破棄して
そのアクセスを拒否するアクセス制御手段とを備えるこ
とを特徴とする。

【００１８】

【発明の実施の形態】以下、図面を参照して本発明の好
適な実施形態について詳細に説明する。

【００１９】（実施形態１）図１は、本実施形態におけ
る通信システムの構成を概略的に示す図である。有線ネ
ットワークを構成するネットワーク１０１には、ＤＨＣ
Ｐサーバ１０２、ＨＰサーバ１０３、１または２以上の
有線クライアント端末１０４（同図においては２台の有
線クライアント端末）、およびアクセスポイント１０５
が有線接続されている。

【００２０】ＤＨＣＰサーバ１０２は、ＤＨＣＰ（Dyna
mic Host Configuration Protocol: 動的ホスト構成プ
ロトコル）に従いネットワーク１０１にアクセスしよう
とする端末に必要な情報を提供する。典型的には、ＩＰ
アドレスの集中管理を行うものであり、アドレス割り当
てサーバともよばれる。ＨＰ（ホームページ）サーバ１
０３は例えば諸種のデータベースを保持し、これを用い
て各端末にＷｅｂ閲覧およびデータベースアクセス等の
サービスを提供する。ＨＰサーバ１０３は、ＤＨＣＰサ
ーバ１０２によって認証が成立したクライアント端末だ
けが利用できるサーバである。

【００２１】アクセスポイント１０５は無線ネットワー
クと有線ネットワークとの中継を行う無線基地局として
機能するものであり、１または２以上の無線クライアン
ト端末１０６との無線通信リンクを確立し、ネットワー
クにおけるデータ搬送制御／経路選択機能を提供する。
また、アクセスポイント１０５は、図５Ａに示すような
構造の、ネットワークにアクセス許可がされうるクライ
アント端末のＭＡＣアドレスがあらかじめ登録された登
録アドレスリストを記憶している。この登録アドレスリ
ストは無線クライアント端末からアドレス割当て要求が
あったときに、そのアドレス割当て要求をＤＨＣＰサー
バ１０２に転送するか否かを判断するのに用いられる。
この判断処理については後述する。

【００２２】ＤＨＣＰサーバ１０２は、ネットワーク１
０１内における任意のクライアント端末との間でアドレ
ス割当て／認証処理に関する要求／応答メッセージの送
受信を行う。ＤＨＣＰサーバ１０２は、図１０に示すよ
うな構造のＩＰアドレス管理テーブルを記憶している。
図１０の例によるＩＰアドレス管理テーブルは、有線ク
ライアントには第１のアドレス候補グループ（例えば12
8.0.0.1〜128.0.0.127の範囲のＩＰアドレス）のうちの
いずれかを割り当て、無線クライアントには第２のアド
レス候補グループ（例えば128.0.0.128〜128.0.0.255の
範囲のＩＰアドレス）のうちのいずれかを割り当てるこ
とを規定している。したがって、いったんＩＰアドレス
を割り当てた端末からアクセスがあったときに、その端
末は有線端末であるのか無線端末であるのかを容易に判
断することができる。これを利用した応用例については
後述することにする。

【００２３】さらに、ＤＨＣＰサーバ１０２は、図５Ｂ
に示すような構造の、コネクションを確立したクライア
ント端末のＭＡＣアドレスとその端末の形態（有線／無
線）とを対応付けて記述したＭＡＣアドレス管理テーブ
ルも記憶している。

【００２４】次に、上記した構成の本実施形態における
通信システムの動作について説明する。図４は、無線ク
ライアント端末１０６、アクセスポイント１０５、ＤＨ
ＣＰサーバ１０２相互間におけるシーケンスを示す図で
あり、これを参照しながら動作を説明する。

【００２５】はじめに、無線クライアント端末１０６
は、自身のＭＡＣアドレスを含んだアドレス割当て要求
メッセージＭ４０１を送信する。これはいったんアクセ
スポイント１０５で受信される。アクセスポイント１０
５は、受信したアドレス割当て要求メッセージからＭＡ
Ｃアドレスを抽出し、そのＭＡＣアドレスが登録アドレ
スリスト（図５Ａ）に登録されているかどうかを解析す
る。

【００２６】ＭＡＣアドレスが未登録の場合には、ＩＰ
アドレスの割当て処理は中断され終了する。つまり、そ
のアドレス割当て要求を拒否する。一方、ＭＡＣアドレ
スが登録されている場合には、アドレス割当て要求メッ
セージＭ４０２をＤＨＣＰサーバ１０２に送信する。し
たがって、本実施形態では、ＭＡＣアドレスによる端末
チェック（端末認証処理）がＤＨＣＰサーバ１０２では
なく、アクセスポイント１０５において行われることに
なる。

【００２７】アドレス割当て要求メッセージＭ４０２を
受信したＤＨＣＰサーバ１０２は、ＩＰアドレス管理テ
ーブル（図１０）を参照して無線クライアント用のＩＰ
アドレス（128.0.0.128〜128.0.0.255の範囲）で未使用
のＩＰアドレスを選択する。そして、そのＩＰアドレス
を認証要求メッセージＭ４０３に含めて、アクセスポイ
ント１０５を経由して無線クライアント端末１０６に送
信する。

【００２８】認証要求メッセージＭ４０３を受信した無
線クライアント端末１０６は、認証データを含む応答メ
ッセージとして、認証応答メッセージＭ４０４をＤＨＣ
Ｐサーバ１０２に送信する。認証応答メッセージＭ４０
４を受信したＤＨＣＰサーバ１０２は、各クライアント
端末のＭＡＣアドレスと接続形態に関する管理テーブル
（図５Ｂ）を更新し、ＩＰアドレス割当てメッセージＭ
４０５を無線クライアント端末１０６に送信し、ＩＰア
ドレスの割当て処理を完了する。

【００２９】ＩＰアドレス割当てメッセージＭ４０５を
受信した無線クライアント端末１０６は、認証要求メッ
セージＭ４０３に含まれているＩＰアドレスを自身のＩ
Ｐアドレスとして設定し、以後ＩＰデータ通信を開始す
る。このように、アクセスポイントに登録された無線ク
ライアント端末だけがＤＨＣＰサーバ機能の恩恵に与る
ことが可能である。アクセスポイントに登録されていな
い無線クライアント端末は別途、手動でＩＰアドレスを
自身の端末およびアクセスポイントにそれぞれ設定しな
いかぎり有線ネットワークにアクセスすることができ
ず、これによってセキュリティが確保されている。

【００３０】以上が本実施形態に係る通信システムの概
略シーケンスであるが、次に、この動作シーケンスに従
うアクセスポイント１０５およびＤＨＣＰサーバの処理
をそれぞれ、図２および図３のフローチャートを用いて
説明する。

【００３１】まず、図２のフローチャートを用いてアク
セスポイント１０５の処理を説明する。

【００３２】アクセスポイント１０５は、まず、無線ク
ライアント端末１０６から、その端末のＭＡＣアドレス
を含むアドレス割当て要求メッセージＭ４０１を受信し
たかどうかを判断する（ステップＳ２０１）。無線クラ
イアント１０６からアドレス割当て要求メッセージＭ４
０１を受信すると、そのメッセージに含まれている送信
元ＭＡＣアドレスを抽出し、そのアドレスが登録アドレ
スリストに登録されているか否かを解析する（ステップ
Ｓ２０２）。送信元ＭＡＣアドレスが登録アドレスリス
トに登録されていない場合（ステップＳ２０３：ＮＯ）
には、この送信元の端末はネットワークへのアクセスが
許され得ないものであると判断してそのままこの処理を
終了する。一方、送信元ＭＡＣアドレスが登録アドレス
リストに登録されている場合（ステップＳ２０３：ＹＥ
Ｓ）には、ＩＰアドレスの割当てを行うべく、アドレス
割当て要求メッセージＭ４０２をＤＨＣＰサーバ１０２
に送信する（ステップＳ２０４）。

【００３３】次に、図３のフローチャートを用いてＤＨ
ＣＰサーバ１０２の処理を説明する。

【００３４】ＤＨＣＰサーバ１０２は、まず、アドレス
割当て要求メッセージＭ４０２を受信したかどうかを判
断する（ステップＳ３０１）。アドレス割当て要求メッ
セージＭ４０２を受信すると、そのアドレス割当て要求
メッセージＭ４０２の送信元がアクセスポイント１０５
であるか否かを確認する（ステップＳ３０２）。これは
一般に、メッセージに含まれている送信元ＩＤフィール
ドをチェックすることで確認できる。アクセスポイント
１０５であった場合は、無線クライアント端末１０６か
らのアドレス割当て要求があったと判断することがで
き、ＩＰアドレス管理テーブル（図１０）を参照し、無
線クライアント用のＩＰアドレス（128.0.0.128〜128.
0.0.255の範囲）で未使用のアドレスを選択する（ステ
ップＳ３０３）。また、受信したアドレス割当て要求が
アクセスポイント１０５経由でなかった場合には、無線
クライアント端末１０６からのアドレス割当て要求では
なく有線クライアント端末１０４からのアドレス割当て
要求であると判断し、同様にＩＰアドレス管理テーブル
（図１０）を参照して有線クライアント用のＩＰアドレ
ス（128.0.0.1〜128.0.0.127の範囲）で未使用のアドレ
スを選択する（ステップＳ３０４）。

【００３５】次に、ＤＨＣＰサーバ１０２は、認証処理
を行うために、選択したＩＰアドレスを含んだ認証要求
メッセージＭ４０３をアクセスポイント１０５を経由し
て無線クライアント端末１０６に送信する（ステップＳ
３０５）。次に、認証要求メッセージＭ４０３を受信し
た無線クライアント端末１０６から認証データを含む認
証応答メッセージＭ４０４が送信されてくるのを待機す
る。認証応答メッセージＭ４０４を受信すると（ステッ
プＳ３０６：ＹＥＳ）、ＭＡＣアドレス管理テーブル
（図５Ｂを参照）を更新し（すなわち、クライアント端
末１０６のＭＡＣアドレスの接続形態を無線クライアン
トとして登録する。）、その後、ＩＰアドレス割当てメ
ッセージＭ４０５を無線クライアント端末１０６に送信
し（ステップＳ３０７）、ＩＰアドレスの割当て処理を
完了する。なお、ステップＳ３０６において、認証応答
メッセージＭ４０４が所定時間内に受信できない場合、
または認証に失敗した場合には、ＩＰアドレスの割当て
処理は中断され終了する。

【００３６】上記説明のごとく、本実施形態によれば、
従来ＤＨＣＰサーバ１０２において実施されていた無線
クライアント端末の収容可否の判断処理がアクセスポイ
ント１０５において行われる。その結果、ＤＨＣＰサー
バに集中していたアドレス割当て／認証処理に要する負
荷が分散されることになる。

【００３７】（実施形態２）上記した実施形態１では、
アクセスポイント１０５が無線クライアント端末の収容
可否の判断処理を行うようにしたが、本実施形態では、
ＩＰアドレスの割り当て／認証処理をもアクセスポイン
トに行わせる。

【００３８】本実施形態における無線通信システムの構
成は実施形態１と同様であり、図１に示すとおりであ
る。したがって、以下の説明でも同図中の参照番号をそ
のまま使用する。ただし、アクセスポイント１０５は、
図５Ａに示したような登録アドレスリストを記憶してい
る他、実施形態１ではＤＨＣＰサーバ１０２が保持して
いた図１０に示したようなＩＰアドレス管理テーブルを
も記憶している。ＤＨＣＰサーバ１０２にはＩＰアドレ
ス管理テーブルは必要ない。

【００３９】次に、本実施形態における通信システムの
動作について説明する。図８は、無線クライアント端末
１０６、アクセスポイント１０５、ＤＨＣＰサーバ１０
２相互間におけるシーケンスを示す図であり、これを参
照しながら動作を説明する。

【００４０】はじめに、無線クライアント端末１０６
は、自身のＭＡＣアドレスを含んだアドレス割当て要求
メッセージＭ８０１を送信する。アクセスポイント１０
５は、受信したアドレス割当て要求メッセージからＭＡ
Ｃアドレスを抽出し、そのＭＡＣアドレスが登録アドレ
スリスト（図５Ａ）に登録されているかどうかを解析す
る。

【００４１】ＭＡＣアドレスが未登録の場合には、ＩＰ
アドレスの割当て処理は中断され終了する。一方、ＭＡ
Ｃアドレスが登録されている場合には、ＩＰアドレス管
理テーブル（図１０）を参照して無線クライアント用の
ＩＰアドレス（128.0.0.128〜128.0.0.255の範囲）で未
使用のＩＰアドレスを選択する。そして、アクセスポイ
ント１０５は、そのＩＰアドレスを認証要求メッセージ
Ｍ８０２に含めて無線クライアント端末１０６に送信す
る。

【００４２】認証要求メッセージＭ８０２を受信した無
線クライアント端末１０６は、認証データを含む応答メ
ッセージとして、認証応答メッセージＭ８０３をアクセ
スポイント１０５に送信する。認証応答メッセージＭ８
０３を受信したアクセスポイント１０５は、ＩＰアドレ
ス割当てメッセージＭ８０４を無線クライアント端末１
０６に送信することで無線クライアント端末１０６への
ＩＰアドレスの割当てがなされる。

【００４３】続いてアクセスポイント１０５は、無線ク
ライアント端末１０６のＭＡＣアドレスと割り当てたＩ
Ｐアドレスとを含んだＩＰアドレス通知メッセージＭ８
０５をＤＨＣＰサーバ１０２に送信する。ＩＰアドレス
通知メッセージＭ８０５を受信したＤＨＣＰサーバ１０
２は、各クライアント端末のＭＡＣアドレスと接続形態
に関する管理テーブル（図５Ｂ）を更新する。

【００４４】以上の処理を経て、無線クライアント端末
１０６は、受信したＩＰアドレスを自身のＩＰアドレス
として設定した後、ＩＰデータ通信を開始することがで
きる。

【００４５】以上が本実施形態に係る通信システムの概
略シーケンスであるが、次に、この動作シーケンスに従
うアクセスポイント１０５の処理を図６のフローチャー
トを用いて説明する。

【００４６】アクセスポイント１０５は、まず、無線ク
ライアント端末１０６から、その端末のＭＡＣアドレス
を含むアドレス割当て要求メッセージＭ８０１を受信し
たかどうかを判断する（ステップＳ６０１）。無線クラ
イアント１０６からアドレス割当て要求メッセージＭ８
０１を受信すると、そのメッセージに含まれている送信
元ＭＡＣアドレスを抽出し、そのアドレスが登録アドレ
スリストに登録されているか否かを解析する（ステップ
Ｓ６０２）。送信元ＭＡＣアドレスが登録アドレスリス
トに登録されていない場合（ステップＳ６０３：ＮＯ）
には、この送信元の端末はネットワークへのアクセスが
許され得ないものであると判断してそのままこの処理を
終了する。一方、送信元ＭＡＣアドレスが登録アドレス
リストに登録されている場合（ステップＳ６０３：ＹＥ
Ｓ）には、ＩＰアドレス管理テーブル（図１０）を参照
し、無線クライアント用のＩＰアドレス（128.0.0.128
〜128.0.0.255の範囲）で未使用のアドレスを選択する
（ステップＳ６０４）。

【００４７】次に、アクセスポイント１０５は、認証処
理を行うために、選択したＩＰアドレスを含んだ認証要
求メッセージＭ８０２を無線クライアント端末１０６に
送信する（ステップＳ６０５）。次に、認証要求メッセ
ージＭ８０２を受信した無線クライアント端末１０６か
ら認証データを含む認証応答メッセージＭ８０３が送信
されてくるのを待機する。認証応答メッセージＭ８０３
を受信すると（ステップＳ６０６：ＹＥＳ）、ＭＡＣア
ドレス管理テーブル（図５Ｂを参照）を更新し（すなわ
ち、クライアント端末１０６のＭＡＣアドレスの接続形
態を無線クライアントとして登録する。）、その後、Ｉ
Ｐアドレス割当てメッセージＭ８０４を無線クライアン
ト端末１０６に送信する（ステップＳ６０７）。

【００４８】そして、アクセスポイント１０５は、無線
クライアント端末１０６のＭＡＣアドレスと割り当てた
ＩＰアドレスを含んだＩＰアドレス通知メッセージＭ８
０５をＤＨＣＰサーバ１０２に送信する（ステップＳ６
０8）。なお、ステップＳ６０６において、認証応答メ
ッセージＭ８０３が所定時間内に受信できない場合、ま
たは認証に失敗した場合には、ＩＰアドレスの割当て処
理は中断され終了する。

【００４９】このように、アクセスポイント１０５が、
予めシステムに収容可能な無線クライアント端末である
か否かを識別する他、従来ＤＨＣＰサーバ１０２におい
て実施していた無線クライアント端末に対するＩＰアド
レスの割当て／認証処理をも実施する。このため、ＤＨ
ＣＰサーバ１０２は、有線クライアント端末に対するＩ
Ｐアドレスの割当て／認証処理だけを行えばよく、無線
クライアント端末に対するＩＰアドレスの割当て／認証
処理を行う必要がなくなる。よって、ＩＰアドレス割当
て／認証処理等に要するネットワーク内の負荷が分散さ
れる。

【００５０】（実施形態３）続いて、図１に示した通信
システムおいて、ネットワーク・リソースであるＨＰサ
ーバ１０３にクライアント端末（ＩＰアドレスは既に割
り当てられている）がアクセスする場合のアクセス制御
について説明する。

【００５１】先述したとおり、ＤＨＣＰサーバ１０２
は、図１０に示すような構造のＩＰアドレス管理テーブ
ルを記憶している。図１０の例によるＩＰアドレス管理
テーブルは、有線クライアントには第１のアドレス候補
グループ（例えば128.0.0.1〜128.0.0.127の範囲のＩＰ
アドレス）のうちのいずれかを割り当て、無線クライア
ントには第２のアドレス候補グループ（例えば128.0.0.
128〜128.0.0.255の範囲のＩＰアドレス）のうちのいず
れかを割り当てることを規定している。したがって、い
ったんＩＰアドレスを割り当てた端末からアクセスがあ
ったときに、その端末は有線端末であるのか無線端末で
あるのかを容易に判断することができる。

【００５２】図９は、無線クライアント端末１０６、有
線クライアント端末１０４、アクセスポイント１０５、
ＨＰサーバ１０３相互間におけるシーケンスを示す図で
ある。

【００５３】まず、無線クライアント端末１０６が、自
身のＩＰアドレスを送信元アドレスとして含むアクセス
要求メッセージＭ９０１をアクセスポイント１０５を経
由してＨＰサーバ１０３に送信した場合について説明す
る。ＨＰサーバ１０３は、受信したアクセス要求メッセ
ージＭ９０１から送信元アドレス（すなわち無線クライ
アント端末１０６のＩＰアドレス）を抽出し、ＩＰアド
レス管理テーブル（図１０）と対照することで送信元が
無線クライアントであるか有線クライアントであるかを
判断する。すなわち、抽出したＩＰアドレスが128.0.0.
128〜128.0.0.255の範囲内にある場合には無線クライア
ントであると判断し、128.0.0.1〜128.0.0.127の範囲内
にある場合には有線クライアントであると判断する。送
信元が無線クライアントであると判断された場合にはＨ
Ｐサーバ１０３に対するアクセス制御処理は中断され終
了する。

【００５４】次に、有線クライアント端末１０４が、自
身のＩＰアドレスを送信元アドレスとして含むアクセス
要求メッセージＭ９０２をＨＰサーバ１０３に送信した
場合について説明する。この場合、ＨＰサーバ１０３
は、送信元が有線クライアントであると判断することに
なり、パスワード要求メッセージＭ９０３を有線クライ
アント端末１０４に送信する。

【００５５】パスワード要求メッセージＭ９０３を受信
した有線クライアント端末１０４は、パスワードデータ
を含むメッセージとして、パスワード認証メッセージＭ
９０４をＨＰサーバ１０３に送信する。ＨＰサーバ１０
３は、パスワード認証メッセージＭ９０４を受信する
と、アクセス確認メッセージＭ９０５を有線クライアン
ト端末１０４に送信する。

【００５６】こうして、有線クライアント端末１０４は
アクセス確認メッセージＭ９０５を受信すると、ＨＰサ
ーバ１０３との間でデータ通信Ｍ９０６を開始できる。

【００５７】この動作シーケンスに従うＨＰサーバ１０
３の処理は、図７に示すフローチャートにより説明でき
る。

【００５８】ＨＰサーバ１０３は、まず、アドレス割当
て要求メッセージを受信したかどうかを判断する（ステ
ップＳ７０１）。アドレス割当て要求メッセージを受信
すると（ステップＳ７０１：ＹＥＳ）、次に送信元のク
ライアント端末のＩＰアドレスを解析する（ステップＳ
７０２）。具体的には、上記したように、受信したアク
セス要求メッセージから送信元のＩＰアドレスを抽出
し、ＩＰアドレス管理テーブル（図１０）と対照するこ
とで送信元が有線クライアントであるか無線クライアン
トであるかを判断する。すなわち、抽出したＩＰアドレ
スが128.0.0.128〜128.0.0.255の範囲内にある場合には
無線クライアントであると判断し、128.0.0.1〜128.0.
0.127の範囲内にある場合には有線クライアントである
と判断する。

【００５９】送信元が無線クライアントであると判断さ
れた場合には（ステップＳ７０３：ＮＯ）、ＨＰサーバ
１０３に対するアクセスを許可することなくそのまま本
処理を終了する。

【００６０】一方、送信元が有線クライアントであると
判断された場合には（ステップＳ７０３：ＹＥＳ）、パ
スワード要求メッセージを送信元の有線クライアント端
末に送信する（ステップＳ７０４）。

【００６１】次に、有線クライアント端末からパスワー
ド認証メッセージが送信されてくるのを待機する。パス
ワード認証メッセージを受信すると（ステップＳ７０
５：ＹＥＳ）、アクセス確認メッセージを有線クライア
ント端末１０４に送信する（ステップＳ７０６）。ステ
ップＳ７０５において、パスワード認証メッセージが一
定時間内に受信できない場合、または認証に失敗した場
合には、ＨＰサーバ１０３へのアクセス処理は中断され
終了する。

【００６２】このように本実施形態によれば、機密性の
高いＨＰサーバに対しては、セキュリティレベルが低い
無線伝送路を使用する無線クライアント端末からのアク
セスを不許可にすることで、不正アクセスを容易かつ確
実に防止することができ、ネットワークのセキュリティ
と利便性が向上する。

【００６３】（その他の実施形態）上述の各実施形態に
おいては、典型的に、アクセスポイントが１つだけの場
合について説明したが、アクセスポイントがネットワー
ク内に複数存在する場合には、それぞれのアクセスポイ
ントに備えられた登録アドレスリストの整合性を確保す
るために、ネットワークシステムの再起動時、または、
ＭＡＣアドレス内容の変更、更新時に、各アクセスポイ
ントにＭＡＣアドレス情報を通知し、各アクセスポイン
トは受信したＭＡＣアドレス情報に基づき登録アドレス
リストを更新するように構成することが好ましい。

【００６４】また、ＭＡＣアドレス情報はＤＨＣＰサー
バ１０２に集中管理させ、ＭＡＣアドレス情報の更新時
等に、ＤＨＣＰサーバ１０２によって各アクセスポイン
トにＭＡＣアドレス情報を通知するように構成してもよ
い。

【００６５】なお、上述の各実施形態では、クライアン
ト端末を識別するための情報としてＭＡＣアドレスを用
いたが、端末固有の識別子であればこれに限るものでは
ない。

【００６６】なお、本発明は、前述した実施形態の機能
を実現するソフトウェアのプログラム（図２および図３
のフローチャートに対応したプログラム、図６のフロー
チャートに対応したプログラム、または図７のフローチ
ャートに対応したプログラム）を、システムあるいは装
置に直接あるいは遠隔から供給し、そのシステムあるい
は装置のコンピュータがその供給されたプログラムを読
み出して実行することによっても達成される場合を含
む。

【００６７】したがって、本発明の機能処理をコンピュ
ータで実現するために、そのコンピュータにインストー
ルされるプログラムコード自体も本発明を実現するもの
である。つまり、本発明の特許請求の範囲には、本発明
の機能処理を実現するためのコンピュータプログラム自
体も含まれる。

【００６８】その場合、プログラムの機能を有していれ
ば、オブジェクトコード、インタプリタにより実行され
るプログラム、ＯＳに供給するスクリプトデータ等、プ
ログラムの形態を問わない。

【００６９】プログラムを供給するための記憶媒体とし
ては、例えば、フレキシブルディスク、光ディスク（CD
-ROM、CD-R、CD-RW、DVD等）、光磁気ディスク、磁気テ
ープ、メモリカード等がある。

【００７０】その他、プログラムの供給方法としては、
インターネットを介して本発明のプログラムをファイル
転送によって取得する態様も含まれる。

【００７１】また、本発明のプログラムを暗号化してCD
-ROM等の記憶媒体に格納してユーザに配布し、所定の条
件をクリアしたユーザに対し、インターネットを介して
暗号化を解く鍵情報を取得させ、その鍵情報を使用する
ことで暗号化されたプログラムを実行してコンピュータ
にインストールさせて実現することも可能である。

【００７２】また、コンピュータが、読み出したプログ
ラムを実行することによって、前述した実施形態の機能
が実現される他、そのプログラムの指示に基づき、コン
ピュータ上で稼働しているＯＳ等が実際の処理の一部ま
たは全部を行い、その処理によって前述した実施形態の
機能が実現され得る。

【００７３】さらに、記憶媒体から読み出されたプログ
ラムが、コンピュータに挿入された機能拡張ボードやコ
ンピュータに接続された機能拡張ユニットに備わるメモ
リに書き込まれた後、そのプログラムの指示に基づき、
その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ
等が実際の処理の一部または全部を行い、その処理によ
っても前述した実施形態の機能が実現される。

【００７４】

【発明の効果】本発明によれば、無線ネットワークを含
む通信システムにおいて、認証処理等に係る負荷の集中
を回避することができる。さらに、本発明によれば、不
正アクセスを確実に防止することも可能になる。

【図面の簡単な説明】

【図１】実施形態における通信システムの構成を概略的
に示す図である。

【図２】実施形態１におけるアクセスポイントの処理を
示す図である。

【図３】実施形態１におけるＤＨＣＰサーバの処理を示
す図である。

【図４】実施形態１における無線クライアント端末、ア
クセスポイント、ＤＨＣＰサーバ相互間におけるシーケ
ンスを示す図である。

【図５Ａ】登録アドレスリストの構造例を示す図であ
る。

【図５Ｂ】ＭＡＣアドレス管理テーブルの構造例を示す
図である。

【図６】実施形態２におけるアクセスポイントの処理を
示す図である。

【図７】実施形態３におけるＨＰサーバの処理を示す図
である。

【図８】実施形態２における無線クライアント端末、ア
クセスポイント、ＤＨＣＰサーバ相互間におけるシーケ
ンスを示す図である。

【図９】実施形態３における無線クライアント端末、有
線クライアント端末、アクセスポイント、ＨＰサーバ相
互間におけるシーケンスを示す図である。

【図１０】ＩＰアドレス管理テーブルの構造例を示す図
である。

【図１１】従来のクライアント端末−ＤＨＣＰサーバ間
におけるシーケンスを示す図である。

Claims

【特許請求の範囲】

【請求項１】無線ネットワークおよび有線ネットワー
クを含み、その無線ネットワークと有線ネットワークと
の中継を行う１または２以上の無線基地局と、その有線
ネットワークにアクセスしようとする端末に必要な情報
を提供するサーバ装置とを備える通信システムであっ
て、前記サーバ装置にかかる負荷を軽減するために、前記無線基地局が、前記無線ネットワークを経由して前記有線ネットワーク
にアクセスすることを許可しうる無線通信端末の識別子
を登録した登録リストと、前記無線ネットワークを経由して前記有線ネットワーク
にアクセスしようとする無線通信端末が送信したその無
線通信端末の識別子を含むアドレス割当て要求を受信す
る受信手段と、受信した前記アドレス割当て要求に含まれる前記無線通
信端末の識別子が前記登録リストに含まれているとき
は、そのアドレス割当て要求を前記サーバ装置に送信
し、受信した前記アドレス割当て要求に含まれる前記無
線通信端末の識別子が前記登録リストに含まれていない
ときは、そのアドレス割当て要求を拒否する制御手段
と、を備えることを特徴とする通信システム。
【請求項２】前記制御手段は、受信した前記アドレス割当て要求に含まれる前記無線通
信端末の識別子が前記登録リストに含まれているときに
は、その無線通信端末の認証を行う認証手段を含むこと
を特徴とする請求項１に記載の通信システム。
【請求項３】前記無線基地局は、更に、前記登録リストの内容を変更したときは、その変更に係
る変更情報を他の無線基地局に報知する報知手段と、他の無線基地局から前記変更情報を受信したときに、そ
の変更情報に基づき前記登録リストの内容を更新する更
新手段と、を備えることを特徴とする請求項１または２に記載の無
線通信システム。
【請求項４】無線ネットワークおよび有線ネットワー
クを含み、その無線ネットワークと有線ネットワークと
の中継を行う１または２以上の無線基地局と、その有線
ネットワークにアクセスしようとする端末に必要な情報
を提供するサーバ装置とを備える通信システムおいて、
前記サーバ装置にかかる負荷を軽減するための方法であ
って、前記無線基地局が、前記無線ネットワークを経由して前記有線ネットワーク
にアクセスすることを許可しうる無線通信端末の識別子
を登録した登録リストをあらかじめ記憶しておき、前記無線ネットワークを経由して前記有線ネットワーク
にアクセスしようとする無線通信端末が送信したその無
線通信端末の識別子を含むアドレス割当て要求を受信す
る受信ステップと、受信した前記アドレス割当て要求に含まれる前記無線通
信端末の識別子が前記登録リストに含まれているとき
は、そのアドレス割当て要求を前記サーバ装置に送信
し、受信した前記アドレス割当て要求に含まれる前記無
線通信端末の識別子が前記登録リストに含まれていない
ときは、そのアドレス割当て要求を拒否するように制御
する制御ステップと、を有することを特徴とする方法。
【請求項５】前記制御ステップは、受信した前記アドレス割当て要求に含まれる前記無線通
信端末の識別子が前記登録リストに含まれているときに
は、その無線通信端末の認証を行う認証ステップを含む
ことを特徴とする請求項４に記載の方法。
【請求項６】前記無線基地局は、更に、前記登録リストの内容を変更したときは、その変更に係
る変更情報を他の無線基地局に報知する報知ステップ
と、他の無線基地局から前記変更情報を受信したときに、そ
の変更情報に基づき前記登録リストの内容を更新する更
新ステップと、を有することを特徴とする請求項４または５に記載の方
法。
【請求項７】無線ネットワークおよび有線ネットワー
クを含み、その無線ネットワークと有線ネットワークと
の中継を行う１または２以上の無線基地局と、その有線
ネットワークにアクセスしようとする端末に必要な情報
を提供するサーバ装置とを備える通信システムおいて、
前記サーバ装置における負荷を軽減するために前記無線
基地局により実行されるプログラムであって、前記無線ネットワークを経由して前記有線ネットワーク
にアクセスすることを許可しうる無線通信端末の識別子
を登録した登録リストをあらかじめ当該無線基地局の記
憶手段に記憶させておき、前記無線ネットワークを経由して前記有線ネットワーク
にアクセスしようとする無線通信端末が送信したその無
線通信端末の識別子を含むアドレス割当て要求を受信
し、受信した前記アドレス割当て要求に含まれる前記無線通
信端末の識別子が前記登録リストに含まれているとき
は、そのアドレス割当て要求を前記サーバ装置に送信
し、受信した前記アドレス割当て要求に含まれる前記無
線通信端末の識別子が前記登録リストに含まれていない
ときは、そのアドレス割当て要求を拒否するように制御
する、処理を実行させるプログラム。
【請求項８】無線ネットワークおよび有線ネットワー
クを含み、その無線ネットワークと有線ネットワークと
の中継を行う無線基地局と、その有線ネットワークにア
クセスしようとする端末に必要な情報を提供する第１の
サーバ装置と、所定の通信サービスを提供する第２のサ
ーバ装置とを備える通信システムであって、前記第１のサーバ装置は、前記有線ネットワークに有線接続された有線通信端末に
は、第１のアドレス候補グループからいずれかのアドレ
スを割り当て、前記無線基地局を介して前記有線ネット
ワークにアクセスする無線通信端末には、前記第１のア
ドレス候補グループとは異なる第２のアドレス候補グル
ープからいずれかのアドレスを割り当てるアドレス割当
て手段を備え、前記第２のサーバ装置は、前記無線通信端末または前記有線通信端末が送信した、
前記通信サービスの提供を受けるためのアクセス要求を
受信する受信手段と、受信した前記アクセス要求の送信元アドレスが前記第１
または第２のアドレス候補グループのどちらに含まれる
かに応じて、その送信元が無線通信端末であるか有線通
信端末であるかを判断する判断手段と、前記アクセス要求の送信元が有線通信端末であると判断
したときは、そのアクセス要求を許可し、前記アクセス
要求の送信元が無線通信端末であると判断したときは、
そのアクセス要求を破棄してそのアクセスを拒否するア
クセス制御手段と、を備えることを特徴とする通信システム。
【請求項９】無線ネットワークおよび有線ネットワー
クを含み、その無線ネットワークと有線ネットワークと
の中継を行う無線基地局と、その有線ネットワークにア
クセスしようとする端末に必要な情報を提供する第１の
サーバ装置と、所定の通信サービスを提供する第２のサ
ーバ装置とを備える通信システムにおける、前記第２の
サーバ装置への不正アクセスを防止する方法であって、前記第１のサーバ装置は、前記有線ネットワークに有線接続された有線通信端末に
は、第１のアドレス候補グループからいずれかのアドレ
スを割り当て、前記無線基地局を介して前記有線ネット
ワークにアクセスする無線通信端末には、前記第１のア
ドレス候補グループとは異なる第２のアドレス候補グル
ープからいずれかのアドレスを割り当てるアドレス割り
当てステップを有し、前記第２のサーバ装置は、前記無線通信端末または前記有線通信端末が送信した、
前記通信サービスの提供を受けるためのアクセス要求を
受信する受信ステップと、受信した前記アクセス要求の送信元アドレスが前記第１
または第２のアドレス候補グループのどちらに含まれる
かに応じて、その送信元が無線通信端末であるか有線通
信端末であるかを判断する判断ステップと、前記アクセス要求の送信元が有線通信端末であると判断
したときは、そのアクセス要求を許可し、前記アクセス
要求の送信元が無線通信端末であると判断したときは、
そのアクセス要求を破棄してそのアクセスを拒否するア
クセス制御ステップと、を有することを特徴とする方法。