JP2005142848A - 無線ｌａｎシステム、およびその通信制御方法、ならびにアクセスポイント - Google Patents

Abstract

【課題】 セキュリティを高めると共に認証サーバとネットワークの負担を軽減し、無線ＬＡＮに接続されるクライアントを認証する無線ＬＡＮシステムを実現する。
【解決手段】 アクセスポイント３が、クライアント２の認証をするための認証情報をキャッシュメモリに記憶、および参照して、認証サーバ１に代わって無線ＬＡＮ５へのアクセス要求をしてきたクライアント２の認証を実行するのでアクセスポイント３と認証サーバ１との間でセキュリティ情報の伝送が削減され、セキュリティが向上すると共に認証サーバ１とネットワーク４の負担が軽減した無線ＬＡＮシステムが実現できる。
【選択図】 図１

Description

本発明は、無線ＬＡＮシステム、およびその通信制御方法、ならびにアクセスポイントに関する。

パーソナルコンピュータ等を無線ＬＡＮを介してインターネットや企業内ＬＡＮ等のネットワークに接続するネットワークが増えている。一方、これら無線ＬＡＮの無線区間における盗聴、なりすましも増え、これらの第３者による不正アクセスを防ぐため、無線ＬＡＮに接続するクライアント（無線端末）の認証、またクライアントとアクセスポイント（無線親局）との間の通信で暗号化などを行う。

その代表例として、ＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｏｔｏｃｏｌ）があり、アクセスポイントにアクセスできるクライアントをクライアントのＥＳＳＩＤ（Ｅｎｈａｎｃｅｄ Ｓｅｒｖｉｃｅ Ｓｅｔ−Ｉｄｅｎｔｉｆｉｅｒ）によるフィルタ（弁別）と暗号化による認証を行っている。そして、ユーザの利便性を増すために認証の成功、不成功の通知を行う方法が考案されている（例えば、この特許文献１参照。）。

しかし、ＷＥＰによる認証方法や暗号化通信は、セキュリティが不足するため、セキュリティを更に向上するための認証サーバをネットワーク上に設けて認証サーバとクライアントとの間で認証情報を交換し、アクセスポイントから上位のネットワークへのアクセスを許可する方法の導入が図られている。

ＩＥＥＥ８０２．１ｘは、現在標準化が進められている認証手続きであって、認証サーバとクライアントとの間で公開鍵による認証など高度な認証手段が可能になる。しかし、無線ＬＡＮでは、クライアントと認証サーバが認証手続きの通信を行うために、アクセスポイントで一度、無線通信から、ケーブル伝送へのメディア変換が行われる。また、高度な認証を行うほどアクセスポイントと認証サーバとの間で送受信する認証情報のデータ量が多くなり、アクセス要求から接続完了まで時間がかかったり、認証サーバが接続されているネットワークのスループットの低下を招くことなどが問題になってきた。
特開２００２―３１４５２９号公報 （第１１ページ、第１図） ＩＥＥＥ８０２．１ｘ（Institute of Electrical and Electronics Engineers Port based network access control）

ＩＥＥＥ８０２．１ｘは、現在標準化が進められている認証手続きで様々な高度な認証手段が可能になるが、無線ＬＡＮのアクセスポイントと認証サーバとの間で送受信する認証情報のデータ量が増えるので、アクセス要求から接続完了まで時間がかかったり、ネットワーク上でのデータのスループット低下を来すなどの問題があった。

本発明は上記問題を解決するためになされたもので、セキュリティを高めると共に認証サーバとネットワークの負担を軽減し、無線ＬＡＮにアクセスするクライアントの認証をする無線ＬＡＮシステムを実現することを目的とする。

上記目的を達成するために、本発明の無線ＬＡＮシステムは、ネットワークに接続される１つ、又は複数の無線ＬＡＮのアクセスポイントと、前記無線ＬＡＮの前記アクセスポイントと通信する１つ、又は複数のクライアントと、前記ネットワークに接続される認証サーバと、からなる無線ＬＡＮシステムであって、前記クライアントは、固有の識別子が割り当てられ、前記認証サーバは、前記クライアントの前記識別子と認証情報とを記憶し、前記アクセスポイントを介して前記クライアントとの間で前記認証情報を送受信して前記クライアントに前記ネットワークにアクセス権が有るか否かを認証し、前記無線ＬＡＮのアクセスポイントは、前記認証情報を一時記憶するキャッシュメモリと、前記無線ＬＡＮを介して前記ネットワークとの間で行う前記クライアントの通信を制御する制御手段とを備え、前記制御手段は、前記クライアントから前記ネットワークへの接続要求を受信すると、前記クライアントの識別子を判読すると共に前記認証情報を前記キャッシュメモリから読み出し、前記認証サーバに代わり、前記接続要求をしたクライアントとの間で前記認証情報を送受信して前記クライアントに前記ネットワークへのアクセス権が有るか否かの認証をすることを特徴とする。

また、本発明の無線ＬＡＮシステムの通信制御方法は、ネットワークに接続されるサーバが、前記ネットワークに接続された無線ＬＡＮのアクセスポイントを介して、前記アクセスポイントにアクセスする固有の識別子を割り当てられたクライアントを認証する無線ＬＡＮシステムの通信制御方法であって、前記認証サーバは、前記各クライアントの前記識別子と認証情報を記憶し、前記アクセスポイントを介して前記クライアントから接続要求を受信すると、前記識別子と前記記憶した認証情報を照合して前記接続要求をしたクライアントとの間で前記認証情報を送受信することにより前記クライアントが前記ネットワークへのアクセス権が有るか否かの認証を行い、前記無線ＬＡＮのアクセスポイントは、前記認証サーバが記憶する前記認証情報のうち、自装置に接続要求を行う前記クライアントの前記認証情報を一時記憶するキャッシュメモリと、前記無線ＬＡＮを介して前記ネットワークとの間で行う前記クライアントの通信を制御する制御手段とを具備し、前記制御手段は、前記クライアントから前記ネットワークへの接続要求を受信すると、前記クライアントの識別子を判読し、その判読した識別子に対応した前記クライアントの前記認証情報が前記キャッシュメモリに記憶されている場合は、前記認証サーバに代わり、前記接続要求をしたクライアントとの間で前記認証情報を送受信して前記クライアントが前記ネットワークへのアクセス権が有るか否かの認証を行うことを特徴とする。

本発明によれば、アクセスポイントが、認証サーバがクライアントの認証するのに用いるものと同じ認証情報をキャッシュメモリに記憶して、認証サーバに代わって無線ＬＡＮにアクセス要求してきたクライアントの認証を実行するのでネットワーク上での認証情報の伝送が削減されてセキュリティが向上すると共に、認証サーバとネットワークの負担を軽減してクライアントを認証する無線ＬＡＮシステムが実現できる。

以下、図面を参照して本発明を説明する。

以下、図面を参照して本発明の実施の形態を説明する。

図１は、本発明の無線ＬＡＮシステムの実施例の１例の構成図である。

図１において、無線ＬＡＮシステムは、認証サーバ１、クライアント２（＃１〜＃ｎ）、アクセスポイント３（＃１〜＃ｎ）、および認証サーバ１とアクセスポイント３（＃１〜＃ｎ）が接続されているネットワーク４から構成される。また、アクセスポイント３（例えば、（＃１）とクライアント２（例えば、（＃１）、（＃２））との間の通信により無線ＬＡＮ５（＃１〜＃ｎ）が構成される。

図２は、クライアント２とアクセスポイント３との間で送受信される無線パケットのフォーマットを示す図で、無線ＬＡＮの国際標準ＩＥＥＥ８０２．１１に準じている。

図２において無線パケットは、ＰＬＣＰプリアンブルとＰＬＣＰヘッダ、およびＭＡＣヘッダｍｈとデータフレームｄｆ、およびエラー制御のＦＣＳフレームとから構成される。

ＰＬＣＰプリアンブルとＰＬＣＰヘッダは、物理的接続条件を設定するもので無線パケットの同期確立や伝送速度の設定に使用される。クライアント２と認証サーバ１、およびアクセスポイント３との間の認証に係わる情報やデータは、ＭＡＣヘッダｍｈとデータフレームｄｆに設定される。

クライアント２のＭＡＣアドレス、およびＥＳＳＩＤ等はＭＡＣヘッダｍｈに設定され、クライアント２の認証に係わる認証サーバと送受信する手順、認証パスワードに付いての情報とデータ、またメッセージデータ等は、データフレームｄｆに設定される。

また、ネットワーク４では、この無線パケットに類似のフレーム構成を持つＬＡＮパケットが、例えば、アクセスポイント３と認証サーバ１等との間で伝送される。無線パケットは、このＬＡＮパケットをデータフレームｄｆにカプセル化したものであって、両者は、ＰＬＣＰヘッダの詳細構造や伝送速度が異なる。

無線パケットのＭＡＣヘッダｍｈには、無線パケットの無線ＬＡＮにおける送信元と宛先のアドレスとして、クライアント２（例えば、（＃１））とアクセスポイント３（例えば、（＃１））のＭＡＣアドレスが設定される。そして無線パケットのデータフレームｄｆには、認証を受けるクライアント２（＃１）のＭＡＣアドレスと認証先の認証サーバ１のＭＡＣアドレスが送信元と宛先（言い換えると、認証関係）のアドレスとして設定されている。

ＬＡＮパケットでは、ＭＡＣヘッダｍｈにネットワーク４における送信元と宛先のアドレスとしてアクセスポイント３（＃１）のＭＡＣアドレスと認証サーバ１のＭＡＣアドレスとが設定され、データフレームｄｆにクライアント２（＃１）のＭＡＣアドレスと認証先の認証サーバ１のＭＡＣアドレスが認証関係のアドレスとして設定されている。

図３、図４は、それぞれクライアント２、アクセスポイント３の機能構成を示すブロック図である。

図３において、クライアント２は、無線端末２１とパーソナルコンピュータ２７の組合せからなるユーザ端末である。無線端末２１は、内部でバス接続された端末インタフェース２２、ＭＡＣ処理部２４、ＲＦ部２３、制御部２５、メモリ２６を備えている。

無線端末２１は、無線ＬＡＮカードが代表的であり、パーソナルコンピュータ２７とＰＣカードバス、１００Ｂａｓｅ―Ｔ等の規格による端末インタフェース２２を介してアクセスポイントとの間で通信する信号を送受信する。

端末インタフェース２２で受信したパーソナルコンピュータ２７からのパケットはＭＡＣ処理部２４に送信され、制御部２５がＭＡＣ処理部３２を制御してＲＦ部２３が送信する無線パケットの構成に組み立てて（フォーマット変換して）、ＲＦ部２３からアクセスポイント３へ送信される。

また、メモリ２６は、無線端末２１が無線パケットを送受信するためのプログラムや、クライアント２、即ち、無線端末２１のＭＡＣアドレス、識別子、認証情報、例えば、ＥＳＳＩＤ、暗号鍵情報等が記憶される。これらの記憶された識別子や情報等は、アクセスポイント３に送信される無線パケットにＭＡＣ処理部２３で各々所定のＭＡＣヘッダｍｈ、およびデータフレームｄｆに設定される。

無線端末２１は、無線ＬＡＮカードの様にパーソナルコンピュータ２７に一体化して組み込まれており、クライアント２は無線端末２１とパーソナルコンピュータ２７が不可分で有ることが大半である。以下、必要が無い限り本発明の実施例のクライアント２の動作説明にあたっては、無線端末２１の内部構成の詳細な動作説明は省略し、クライアント２として纏めて動作説明を行う。

ＲＦ部２３がアクセスポイント３から無線パケットを受信すると、そのパケットはＭＡＣ処理部２４に送信され、制御部２５は、それをＬＡＮパケットのフォーマットに変換する制御をＭＡＣ処理部２４に行い、そのフォーマット変換されたＬＡＮパケットを端末インタフェース２２を介してパーソナルコンピュータ２７に送信する。

制御部２５は、ＭＡＣ処理部２４が送受信する信号を監視し、パーソナルコンピュータ２７から、ネットワーク４への接続要求が有ると認証サーバ１との間で必要な認証情報をメモリ２６から読み出して認証手続きを行う信号送受信の制御を行う。例えば、クライアント２（＃１）のＭＡＣアドレスを送信したり、認証サーバ１からアクセスポイント３を介して認証のために暗号化された試験データの送受信要求があるとその認証のための暗号化処理を制御する。

図４において、アクセスポイント３は、内部でバス接続されたネットワークインタフェース３１、ＭＡＣ処理部３２、ＲＦ部３３、ＣＰＵ３４、メモリ３５、キャッシュメモリ３６を備えている。

アクセスポイント３は、１００Ｂａｓｅ―Ｔ等の規格によるネットワークインタフェース２２を介してネットワーク４との間で信号を送受信し、クライアント２と認証サーバ１との間で認証に係わる中継通信を行う。また、アクセスポイント３は、後述の条件下で認証サーバ１に代わって、ネットワーク４に接続された、例えば、ホストコンピュータ（図１には、図示せず。）等との通信を行うためにネットワーク４への接続要求を行ったクライアント２の認証を行う。

ＣＰＵ３４は、クライアント２がアクセスポイント３を介してネットワークにアクセスする通信を制御する制御手段である。

ＲＦ部３３は、クライアント２から受信した無線パケットをＭＡＣ処理部３２に送信し、ＣＰＵ３４は、ＭＡＣ処理部３２を制御して、その無線パケットのＭＡＣヘッダｍｈとデータフレームｄｆをＬＡＮパケットのフォーマットに変換する。ＣＰＵ３４は、そのＬＡＮパケットを更にネットワークインタフェース３１を介してネットワーク４に接続された認証サーバ１等の装置等に送信する制御を行う。

一方、ネットワークインタフェース３１で受信した認証サーバ１からのＬＡＮパケットはＭＡＣ処理部３２に送信され、ＣＰＵ３４は、ＭＡＣ処理部３２を制御してＭＡＣヘッダｍｈ、およびデータフレームｄｆの内容を変換設定することによってそのＬＡＮパケットを無線パケットのフォーマットに変換して、ＲＦ部３３からアクセスポイント３へ送信する制御を行う。

また、ＣＰＵ３４は、アクセスポイント３が認証サーバ１に代わってクライアント２を認証する場合、認証サーバ１のミラーとなってその認証手順を制御する。この制御は、メモリ３５で記憶されたプログラムおよび、キャッシュメモリ３６に記憶された認証情報を参照して実行される。

認証に必要なクライアント２のＭＡＣアドレス、および識別子等の認証情報は、予め、キャッシュメモリ３６に設定されるか、又は、ＣＰＵ３４がＭＡＣ処理部３２を通過するパケットを監視してＭＡＣアドレスや識別子を読出すか、もしくは、ＣＰＵ３４が認証サーバ１から自装置に通知された認証情報を読出して取得したデータがキャッシュメモリ３６に設定される。

メモリ３５には、ＣＰＵ３４が無線パケットをクライアント２との間で送受信したり、ネットワーク４との間で無線パケットをＬＡＮパケットのフォーマットに変換して送受信する通信制御、および認証制御等のプログラム、ならびにそれらのプログラムの実行に係わる諸データが記憶されている。例えば、アクセスポイント３のＭＡＣアドレス、ＥＳＳＩＤ、およびクライアント２との間の無線通信の盗聴防止の暗号鍵情報（後述の認証用の暗号鍵ではない）等が記憶され、ＣＰＵ３４は、それらの記憶データを参照して、ＭＡＣ処理部３２で無線パケットをＬＡＮパケットにフォーマット変換する制御を行う。

キャッシュメモリ３６は、本発明の実施例における無線ＬＡＮシステムのアクセスポイント３の特有な機能構成要素であって、認証サーバ１が記憶している各クライアント２（＃１〜＃ｎ）のうち、自装置にアクセスする可能性のあるクライアント２についての認証情報を一時的に記憶する。その記憶データは、例えば、ネットワーク４にアクセス権限があるクライアント２の識別子、ユーザ情報（ユーザＩＤパスワード等）、認証に用いる暗号情報、認証手順に係わるプログラム等である。

図５は、本発明の実施例に係わる無線ＬＡＮシステムにおける認証手順を説明するフローチャートである。

図５において、左側のフローは、アクセスポイント３の動作手順を示し、右側のフローは、認証サーバ１の動作手順を示す。

認証サーバ１は、ネットワーク４にアクセス（接続）権のあるクライアント２の認証情報のデータがその内部メモリに初期設定されている。この初期設定は、例えば、認証サーバ１のキーボード（図示せず。）等の入力装置等により所定の設定情報を入力すればよい。または、別途準備された認証情報のデータを内部メモリにダウンロードすることによって行われてもよい（ステップｓ１０−１）。

また、アクセスポイント３（ここでは、（＃１）とする。）は、予め自装置への接続要求が想定されるクライアント２（＃１〜＃ｎ）についての認証情報を初期設定によりキャッシュメモリ３６に記憶する。この初期設定は、メモリライタによってデータを書き込まれたキャッシュ用のメモリデバイスをアクセスポイント３（＃１）の回路に取り付けるか、また不正アクセスが無い環境の下で、アクセスポイント３（＃１）がパーソナルコンピュータのキーボード等の入力装置等から所定の設定情報を入力してキャッシュメモリ３６に書き込む等の方法によって行われる（ステップｓ１０）。

アクセスポイント３のキャッシュメモリ３６に設定される認証情報は、認証サーバ１の内部メモリが記憶している認証情報の一部であって、テーブル化されている。

図６は、キャッシュメモリ３６に設定された認証情報のテーブルの１例である。

図６のテーブルにおいて認証情報は、各クライアント２（ここでは、（＃１）とする。）の識別子として、ＭＡＣアドレス（識別子は、当該クライアントを特定できる装置名称、装置番号等であるが以下の説明では、ＭＡＣアドレスによって説明する。）、ＥＳＳＩＤ「ｑａｚｗｓｘ」、認証情報として、認証に使用される「ユーザＩＤパスワード」、「暗号方式」、「暗号鍵Ａ」、「暗号鍵Ｂ」が設定され、このＭＡＣアドレスに対応した接続情報として「接続回数」、「接続時間」、「最終接続時刻」、「プライオリティ」「順位」が付属データとして記憶されている。

これらの付属データは、「接続情報」としてアクセスポイント３のＣＰＵ３４が、認証サーバ１に代わって認証を行った各クライアント２毎に「接続回数」、「接続時間」、および「最終接続時間」データを取得し、そのデータをキャッシュメモリ３６に記憶したものである。また、「接続情報」には、これらの取得したデータを基に複数のクライアント２について認証作業を行う優先度を持たせたり、キャッシュしたデータの記憶条件等を定めた「プライオリティ」、「順位」が初期設定されている。

さて、図５に戻り、アクセスポイント３（＃１）は、クライアント２（＃１）から接続要求の無線パケットを受信する。アクセスポイント３（＃１）のＣＰＵ３４はＭＡＣ処理部３２を監視してＭＡＣヘッダｍｈにアクセスポイント３（＃１）に接続して良いＥＳＳＩＤ（ここでは、「ｑａｚｗｓｘ」とする。）が設定されていることを確認するとフィルタ結果は良い（フィルタＯＫ）と判断して（ステップｓ２がＹｅｓ）、アクセスポイント３（＃１）は、クライアント２（＃１）との間で認証のための手続きを開始する。

このＥＳＳＩＤによる弁別手順はフィルタと呼ばれ、アクセスポイント３が通信相手以外のクライアント２からの接続要求が有った場合にアクセス処理を行わないで負荷を少なくするものであって、本来は認証を目的にしたものではないが認証の前処理として利用される。

（認証サーバでクライアントを認証する認証手順）
最初に本発明の実施例における認証手順の基本動作である認証サーバ１がクライアント２を認証する手順を説明する。

アクセスポイント３（＃１）のＣＰＵ３４は、認証サーバ１に代わって認証手続きを開始するか否かを判断するためにＣＰＵ３４の負荷状態を自己モニタする。そして、所定の負荷率、例えば５０％以上である場合には、認証を代行する余裕がＣＰＵ３４に無いので代行モードでないと判断する（ステップｓ１２がＮｏ）。

そして、通常通り認証サーバ１で認証を実施するため、更にＭＡＣ処理部３２がクライアント２（＃１）からの無線パケットをＬＡＮパケットに変換し、ネットワーク４を介して認証サーバ１へ送信する制御を行う（ステップｓ１２−１）。

認証サーバ１は、受信したＬＡＮパケットのデータフレームｄｆから接続要求をしてきたクライアントのＭＡＣアドレス「００：１１：２２：３３：４４：５５」を判読する。そして、キャッシュメモリのテーブルと照合して「００：１１：２２：３３：４４：５５」がテーブルに記載されている（ステップｓ１３がＹｅｓ）と、内部メモリの認証情報を参照して認証を行う手順を実施する。そして、認証するとアクセスポイント３（＃１）にその認証通知を送信し（ステップｓ１５）、それを受信したアクセスポイント３（＃１）は、クライアント２（＃１）にアクセス許可の通知を送信する（ステップｓ８―２）。

図７は、本発明の実施例に係わる無線ＬＡＮシステムにおける認証手順を示すシーケンス図であって、図５におけるステップｓ１１、ｓ１３の手順およびｓ１５の内部手順に相当する。

図７において、クライアント２（＃１）は、認証サーバ１との間で認証手続きを行いネットワーク４へのアクセス（接続）許可を取得するためにクライアント２（＃１）は、接続要求の無線パケット、即ち、ＭＡＣヘッダｍｈにＭＡＣアドレス「００：１１：２２：３３：４４：５５」とＥＳＳＩＤ（例えば、「ｑａｚｗｓｘ」）を設定した無線パケットをアクセスポイント３（＃１）に送信する（ステップｓ１）。

アクセスポイント３（＃１）は、クライアント２（＃１）から接続要求の無線パケットを受信すると、ＣＰＵ３４がＭＡＣ処理部３２のパケットを監視しているのでクライアント２のＭＡＣアドレス「００：１１：２２：３３：４４：５５」、およびＥＳＳＩＤ「ｑａｚｗｓｘ」をＭＡＣヘッダｍｈから判読する。そして、それがメモリ３５に設定されているＥＳＳＩＤ「ｑａｚｗｓｘ」と照合して一致していると、ＭＡＣアドレス「００：１１：２２：３３：４４：５５」のクライアントは、アクセスポイント３（＃１）にアクセスするグループに属したクライアント２であると判断する。

即ち、ＣＰＵ３４は、クライアント２（＃１）をフィルタ結果が良い（フィルタＯＫ）と判断するとクライアント２（＃１）に対して更に認証手続きを行うための送信許可のコマンド「Ａ」をデータフレームｄｆに設定した無線パケットを生成して返送する（ステップｓ２）。

なお、このフィルタ動作は、通常アクセスポイント３（＃１）が実施するが、必要で有れば、更に認証情報としてアクセスポイント３（＃１）は、そのデータを中継して認証サーバ１へその接続要求を送信（ステップｓ１−１）して、認証サーバ１が送信許可をアクセスポイント３（＃１）を介してクライアント２（＃１）に返信（ステップｓ２−１）しても良い。

この送信許可のコマンド「Ａ」が設定された無線パケットを受信したクライアント２（＃１）では、制御部２５が送信許可のコマンド「Ａ」を判読して認証サーバ１との間で認証手続きを行うため、認証に必要なユーザ情報（例えば、ＭＡＣアドレスの「００：１１：２２：３３：４４：５５」と認証要求コマンド「Ｃ」をＭＡＣヘッダｍｈに、およびユーザＩＤパスワード「Ｐ１」をデータフレームｄｆに設定する。）を設定した認証要求の無線パケットを生成しする。そしてその認証要求の無線パケットをアクセスポイント３（＃１）を介して認証サーバ１に送信する（ステップｓ３）。

なお、クライアント２と認証サーバ１との間で行われる認証方法や手順はＥＡＰ−ＴＬＳ（Ｅｘｔｅｎｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）はじめ各種のものが提案され適用可能だが、ここでは理解を容易にするため、手順が簡単なクライアント２と認証サーバ１との間で秘密鍵を用いた認証手続きの例によって説明する。

アクセスポイント３（＃１）は、この無線パケットを受信すると、ＣＰＵ３４が認証要求コマンド「Ｃ」、ＭＡＣアドレス「００：１１：２２：３３：４４：５５」、およびユーザＩＤパスワード「Ｐ１」をデータフレームｄｆに設定したＬＡＮパケットに変換設定する制御をＭＡＣ処理部３２に行い、そのＬＡＮパケットをネットワーク４を介して認証サーバ１に送信する（ステップｓ４）。

認証サーバ１は、受信したＬＡＮパケットのＭＡＣヘッダｍｈとデータフレームｄｆの内容を読み出す。そして、予め内部メモリに記憶しているＭＡＣアドレス「００：１１：２２：３３：４４：５５」、およびユーザＩＤパスワード「Ｐ１」と受信したＭＡＣアドレス「＃１」、およびユーザパスワード「Ｐ１」とが一致すると、アクセスポイント３（＃１）を介してクライアント２（＃１）へ送信継続コマンド「ＣＱ」を送信し（ステップｓ５）する。

認証サーバ１は、引き続いてユーザＩＤパスワード「Ｐ１」と対応した認証のための暗号鍵「ＡＫ１」で、例えば「ＤＥＳ」（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）の暗号化方法により暗号化（スクランブル）した試験パタンデータをデータフレームｄｆに設定した認証試験用のＬＡＮパケットをアクセスポイント３（＃１）を介してクライアント２（＃１）へ送信する（ステップｓ６）。なお、ステップ５とステップ６は１つに纏められたパケット送信手順であっても良い。

アクセスポイント３（＃１）は、この２つのＬＡＮパケットを受信すると、それらを無線パケットに変換してクライアント２（＃１）へ送信する。

クライアント２（＃１）では、制御部２５が送信継続コマンド「ＣＱ」を受信すると（ステップｓ５−２）、認証試験の準備のために暗号鍵「ＡＫ１」をメモリ２６から読み出して待機する。そして、認証試験用のパケットを受信する（ステップｓ６−２）と制御部２５は、スクランブルされた試験パタンデータを「ＡＫ１」で平文に一度復元する。

更に制御部２５は、この平文の試験パタンデータをメモリ２６から読み出したユーザＩＤパスワード「Ｐ１」に対応する暗号化鍵「ＡＫ２」で暗号化（スクランブル）し、そのスクランブルされた試験パタンデータをデータフレームｄｆに設定した認証応答用の無線パケットを生成する。そして、そのパケットをアクセスポイント３（＃１）を介して認証サーバ１へ送信する（ステップｓ７−２）。

アクセスポイント３（＃１）では、認証応答用の無線パケットをＬＡＮパケットに変換し、その認証応答用のＬＡＮパケットを認証サーバ１に送信する。認証サーバ１は、この認証応答用のＬＡＮパケットを受信する（ステップｓ７）と、ＭＡＣアドレス「００：１１：２２：３３：４４：５５」を判読して、そのユーザＩＤパスワード「Ｐ１」に対応した暗号鍵「ＡＫ２」を内部メモリから読み出す。そして暗号鍵「ＡＫ２」によってスクランブルされた試験パタンデータを平文に復元し、送信したパタンデータと比較し両者が一致すると、認証関係があるものでなければ暗号通信はできないので、クライアント２（＃１）にアクセス権が有ると判断して認証する。そして認証サーバ１は、アクセス許可の応答「ＡＲ」をアクセスポイント３（＃１）を介してクライアント２（＃１）に送信する（ステップｓ８）。

クライアント２（＃１）は、このアクセス許可の応答「ＡＲ」を受信する（ステップｓ８−２）と、それ以降はアクセスポイント３（＃１）を介してネットワーク４に接続されている所望のホストコンピュータ等へログオンして通信を行うことが可能になる（ステップｓ９）。

（アクセスポイントが認証サーバを代行して認証を行う場合の動作手順）
アクセスポイント３が、認証サーバ１に代わってクライアント２を認証する動作手順を以下に説明する。

図７におけるステップｓ４からｓ８の手順は、認証手続きのサブルーチンｓｒであってアクセスポイント３が認証サーバ１の代行をして認証手続きを行う場合、アクセスポイント３のＣＰＵ３４は、認証サーバ１のミラーとしてこのサブルーチンｓｒの認証手順を実行する。この時、ＣＰＵ３４は、ＭＡＣ処理部３２でクライアント２との間で認証情報を送受信する通信を折り返し、ＣＰＵ３４が認証手続きを行う。そして、キャッシュメモリ３６、またはメモリ３５にはＣＰＵ３４が認証サーバ１のミラーとして機能して認証サブルーチンｓｒを実行するための認証用の暗号化のアルゴリズム、および「ＡＫ１」、「ＡＫ２」等の暗号鍵情報や、ユーザＩＤ、パスワードの情報等が設定されている。

さて、図５において、アクセスポイント３（＃１）は、クライアント２（＃１）から送信要求を受信したときにＣＰＵ３４の負荷率が５０％以下である（ステップｓ１２がＹｅｓ）と、アクセスポイント３（＃１）が認証サーバ１の代理になって認証手順を実行できると判断する。

図８は、アクセスポイントが認証サブルーチンｓｒを実行してクライアントを認証している場合の無線ＬＡＮシステムの認証シーケンスを示す図である。

図８において、アクセスポイント３（＃１）のＣＰＵ３４は、クライアント２（＃１）との間のＥＳＳＩＤによるフィルタ結果が良ければ送信許可をする（ステップｓ２）。

引き続き、ＣＰＵ３４は、クライアント２（＃１）から受信した無線パケットのＭＡＣアドレス「００：１１：２２：３３：４４：５５」を判読してキャッシュメモリ３６のテーブルと照合し、そのＭＡＣアドレスがテーブルに記載されていると続けてクライアント２（＃１）についての認証サブルーチンｓｒを開始する。

アクセスポイント３（＃１）のＣＰＵ３４がクライアント２（＃１）を認証した場合、アクセスポイント３は、クライアント２（＃１）にアクセス許可を通知すると共に、認証サーバ１にクライアント２（＃１）にアクセス許可を行った通知する（ステップｓ８−３）。

もし、認証サーバ１がこの通知を必要としなければこのアクセス許可通知を行う手順は省略されても良い。

ここで再び図５に戻り、アクセスポイント３（＃１）が受信した無線パケットがクライアント２（＃２）からの接続要求であって、フィルタ結果が良い（フィルタＯＫ）にも拘わらず、そこに設定されたＭＡＣアドレス「００：００：１１：２２：３３：４４」がキャッシュメモリ３６に記載されていなかったとする（ステップｓ１２−２がＮｏ）。

するとＣＰＵ３４は、更に認証サーバ１による認証が必要と判断して通常の認証手続きを行うために、受信した無線パケットをＬＡＮパケットに変換して認証サーバ１に送信する（ステップｓ１２−１）。また、アクセスポイント３（＃１）は、クライアント２（＃２）のＭＡＣアドレス「００：００：１１：２２：３３：４４」をキャッシュメモリ３６にキャッシュ（一時記憶）する（ステップｓ１９）。

認証サーバ１は、このパケットを受信すると図５のステップｓ１３以降の手順を実行する。そして、認証する（ステップｓ１３がＹｅｓ、ステップｓ１５）と、認証通知と内部メモリに記憶していたクライアント２（＃２）を認証するために必要な認証情報をアクセスポイント３（＃１）に送信する（ステップｓ１５）。

そしてアクセスポイント３（＃１）のＣＰＵ３４は、このクライアント２（＃２）のＭＡＣアドレス「００：００：１１：２２：３３：４４」に対応する認証情報をキャッシュメモリ３６にコピー（記憶）（ステップｓ２１）し、再びクライアント２（＃２）から接続要求を受信すると、このキャッシュされた認証情報を利用して認証手順を実行する。コピーされる認証情報は、図６に示されるユーザパスワード、認証鍵情報等である。

また、アクセスポイント３（＃１）は、認証通知を受信するとクライアント２（＃１）にアクセス許可の通知を送信する（ステップｓ８―２）。

一方、認証サーバ１は、クライアント２（＃２）のＭＡＣアドレス「００：００：１１：２２：３３：４４」のＭＡＣアドレスが内部メモリに設定されていないか（ステップｓ１３がＮｏ）、または、認証できないと判断した場合は、クライアント２（＃２）の認証否定をアクセスポイント３（＃１）に送信する（ステップｓ１４）。

すると、アクセスポイント３（＃１）は、キャッシュメモリ３６からクライアント２（＃２）のＭＡＣアドレス「００：００：１１：２２：３３：４４」、およびそれに対応してキャッシュしていたデータをクリヤ（消去）する（ステップｓ２２）。

（アクセスポイントが代行認証を行う場合の応用例）
アクセスポイント３は、以上の様な認証手順により認証サーバ１に代わってクライアント２の代行認証を実行するので認証サーバ１やネットワーク４の負荷やトラフィックを軽減できる。また、認証情報がネットワーク４の上を流れることを減らすので、無線ＬＡＮシステムのセキュリティ向上の効果がある。

しかし、アクセスポイント３のキャッシュメモリ３６には記憶容量に制限があるので、キャッシュメモリ３６がキャッシュするクライアント２の数を制限をしたり、また所定の時間が経過した情報はクリヤした方がセキュリティ上好ましい。本発明の実施例においては、キャッシュメモリ３６の利用形態を様々に変えた代行モードの応用動作が可能である。

図９は、アクセスポイント３が、クライアント２にプライオリティを設けて、プライオリティを満たしたクライアント２だけを代行認証する場合の動作手順を示すフローチャートである。

第１の応用例は、アクセスポイント３がネットワークへのアクセス度が高い、即ち、利用回数、もしくは、利用時間が長い順にクライアント２をプライオリティの高いクライアント２（ここでは、（＃１）とする。）として設定し、代行認証を行う相手とし、プライオリティの低いクライアント２（ここでは、（＃４）とする。）を通常通り認証サーバ１が認証を行う例である。このプライオリティの設定例は、図６（ａ）のテーブルで示されている。

図９において、アクセスポイント３（＃１）がクライアント２（＃１）から接続要求の無線パケットを受信し、ＭＡＣアドレス「００：１１：２２：３３：４４：５５」を判読しキャッシュメモリ３６（図６（ａ）のテーブル）を参照して接続回数が、「１０２４」回であることを判読する。そして「プライオリティ」を参照すると「１」となっており、「順位」が「１」であることを判読する。するとアクセスポイント３（＃１）は、クライアント２（＃１）の認証手続きをサーバ１に代わって開始する（図９のステップｓ１２−３がＹｅｓ）。

一方アクセスポイント３（＃１）がクライアント２（ここでは、（＃４）とする。）から接続要求の無線パケットを受信し、ＭＡＣアドレス「００：１３：２４：３５：４６：５７」を判読すると図６（ａ）のキャッシュメモリ３６のテーブルを参照して接続回数が、「６２１」回であることを判読する。そして「プライオリティ」を参照すると「２」となっており、「順位」が「４」であることを判読する。ここで、「プライオリティ」「２」は、優先度が低く設定され、所定のプライオリティに該当しないクライアントであると判断される（図９のステップｓ１２−３がＮｏ）。

また、アクセスポイント３は、クライアント２（＃４）の認証を認証サーバ１に実行させるため、受信した無線パケットのフォーマットをＬＡＮパケットに変換して認証サーバ１に送信する（図９のステップｓ１２−１）。

このプライオリティに対して認証を認証サーバ１で行うかアクセスポイント３で行うかの判断基準は、上記の様な基準でも良いが、更にＣＰＵ３４の負荷率と連動するものであっても良い。例えば、プライオリティ「２」については、ＣＰＵ３４の負荷が４０％以下の場合は認証サーバ１が認証を通常通り行うことがアクセスポイント３のメモリ３５に記憶された認証手順のプログラムに設定され、プライオリティ「１」では、負荷率が６０％以下の場合に認証をアクセスポイント３で行う様に設定されるものである。

また、上記説明ではプライオリティを接続回数によって設定しているが、接続回数の代わりに接続時間の長いものに高いプライオリティを設定しても良い。

また、第２の応用例として、図６（ｂ）の様に、接続回数が多いクライアント２が逆にプライオリティが下がる例である。図６（ｂ）では、プライオリティ「１」はクライアント２（＃３）と（＃４）で、プライオリティ「２」はクライアント２（＃１）と（＃２）である。この第２の応用例では、例えば、アクセスポイント３（＃１）はクライアント２（＃１）から接続要求の無線パケットを受信した場合、もしＣＰＵ３４の負荷率が４０％を超えていた（図９でステップｓ１２−３がＮｏ）場合、その無線パケットはＬＡＮパケットに変換されて（図９でステップｓ１２−１）認証は、認証サーバ１が行う。

このプライオリティ設定は、接続回数が多いか、それとも一定の回数（例えば、９００回以上）を超えると、なりすましを防ぐために一度キャッシュメモリ３６が記憶する認証情報をクリヤして、改めて、認証サーバ１が当該クライアント２（ここでは、（＃１）と（＃２）とする。）を認証する方法としても良い。このクリヤは、所定の回数になると自動的に実行されるか、または、接続時間が予め定めた所定の時間を超過すると、ＣＰＵ３４がキャッシュメモリ３６のリセット制御を行い、所定の回数または、時間を超えて接続しているクライアント２（＃１）、（＃２）のキャッシュ内容をクリヤ、又は書き換えを行う。

クリヤする場合は、該当するクライアントのＭＡＣアドレス、ＥＳＳＩＤを含めて記憶内容を全てクリヤ（消去）してもよい。書き換えの場合は、該当するクライアントのＭＡＣアドレス、ＥＳＳＩＤは保存され、認証情報と接続情報がクリヤ、又は、書き換えられる。

例えば、この書き換えを行う際には、認証サーバから、「暗号鍵Ａ」、「暗号鍵Ｂ」の再設定を促す案内がクライアント２（＃１）に通知され、クライアント２（＃１）は、初期設定と同様にその暗号鍵等の再設定を行う様にする。このクリヤ、又は、書き換え処理によってそのアクセスポイント３に関するセキュリティが向上する。

また、上記説明ではプライオリティを接続回数によって設定しているが、接続回数の代わりに接続時間の短いものに高いプライオリティを設定しても良い。

第３の応用例として、図６（ｃ）の様に、最終接続時刻からの経過時間か短い方のクライアント２がプライオリティを高くなる例である。図６（ｃ）では、プライオリティ「１」が設定されているのはクライアント２（＃３）と（＃４）で、プライオリティ「２」が設定されているのはクライアント２（＃１）と（＃２）である。このプライオリティ設定は、最終接続時刻から所定の時間（ここでは、１０時間以上とする。）が経過すると認証情報の陳腐化を防ぐために一度キャッシュメモリ３６が記憶する認証情報をクリヤ、又は、書き換えをして、改めて、認証サーバ１が当該クライアント２（ここでは、（＃１）、（＃２）とする。）の認証を行う方法である。

このプライオリティに従ってクライアント２を選別して認証を行う手順、およびクリヤ、又は、書き換えの実施内容は、第２の応用例と同様である。

本発明のプライオリティの設定方法や基準については、以上の実施例、応用例に制限されることなく、プライオリティ設定に対応して、認証を実行する装置を設定したり、又キャッシュメモリ３６の内容をクリヤしたり、又は書き換えるものであれば良い。

本発明の実施例に係わる無線ＬＡＮシステムの構成図。 無線ＬＡＮで伝送される無線パケットのフォーマットを説明する図。 本発明の実施例に係わる無線ＬＡＮシステムのクライアントの機能構成を示すブロック図。 本発明の実施例に係わる無線ＬＡＮシステムのアクセスポイントの機能構成を示すブロック図。 本発明の実施例に係わる無線ＬＡＮシステムのクライアント認証手続きを示すフローチャート。 キャッシュされた認証情報のテーブルの１例の図。 本発明の実施例に係わる無線ＬＡＮシステムにおける認証手順を示すシーケンス図。 本発明の実施例に係わる無線ＬＡＮシステムにおける認証手順を示すシーケンス図。 本発明の実施例に係わる無線ＬＡＮシステムにおけるプライオリティを設けた認証手順を示すシーケンス図。

符号の説明

１ 認証サーバ
２ クライアント
３ アクセスポイント
３１ネットワークインタフェース
３２ ＭＡＣ処理部
３３ ＲＦ部
３４ ＣＰＵ
３５ メモリ
３６ キャッシュメモリ
４ ネットワーク
５ 無線ＬＡＮ
ｓｒ 認証サブルーチン

Claims (19)

1. ネットワークに接続される１つ、又は複数の無線ＬＡＮのアクセスポイントと、
   前記無線ＬＡＮの前記アクセスポイントと通信する１つ、又は複数のクライアントと、
   前記ネットワークに接続される認証サーバと、
   からなる無線ＬＡＮシステムであって、
   前記クライアントは、
   固有の識別子が割り当てられ、
   前記認証サーバは、
   前記クライアントの前記識別子と認証情報とを記憶し、前記アクセスポイントを介して前記クライアントとの間で前記認証情報を送受信して前記クライアントに前記ネットワークへのアクセス権が有るか否かを認証し、
   前記無線ＬＡＮのアクセスポイントは、
   前記認証情報を一時記憶するキャッシュメモリと、
   前記無線ＬＡＮを介して前記ネットワークとの間で行う前記クライアントの通信を制御する制御手段とを備え、
   前記制御手段は、前記クライアントから前記ネットワークへの接続要求を受信すると、前記クライアントの識別子を判読すると共に前記認証情報を前記キャッシュメモリから読み出し、前記認証サーバに代わり、前記接続要求をしたクライアントとの間で前記認証情報を送受信して前記クライアントに前記ネットワークへのアクセス権が有るか否かの認証をすることを特徴とする無線ＬＡＮシステム。
2. ネットワークに接続されるサーバが、前記ネットワークに接続された無線ＬＡＮのアクセスポイントを介して、前記アクセスポイントにアクセスする固有の識別子を割り当てられたクライアントを認証する無線ＬＡＮシステムの通信制御方法であって、
   前記認証サーバは、
   前記各クライアントの前記識別子と認証情報を記憶し、
   前記アクセスポイントを介して前記クライアントから接続要求を受信すると、前記識別子と前記記憶した認証情報を照合して前記接続要求をしたクライアントとの間で前記認証情報を送受信することにより前記クライアントが前記ネットワークへのアクセス権が有るか否かの認証を行い、
   前記無線ＬＡＮのアクセスポイントは、
   前記認証サーバが記憶する前記認証情報のうち、自装置に接続要求を行う前記クライアントの前記認証情報を一時記憶するキャッシュメモリと、
   前記無線ＬＡＮを介して前記ネットワークとの間で行う前記クライアントの通信を制御する制御手段とを具備し、
   前記制御手段は、前記クライアントから前記ネットワークへの接続要求を受信すると、前記クライアントの識別子を判読し、その判読した識別子に対応した前記クライアントの前記認証情報が前記キャッシュメモリに記憶されている場合は、前記認証サーバに代わり、前記接続要求をしたクライアントとの間で前記認証情報を送受信して前記クライアントに前記ネットワークへのアクセス権が有るか否かの認証を行うことを特徴とする無線ＬＡＮシステムの通信制御方法。
3. 前記制御手段は、
   前記判読した識別子に対応した前記クライアントの前記認証情報が前記キャッシュメモリに記憶されていない場合は、前記接続要求を前記認証サーバに送信し、
   前記認証サーバは、
   前記接続要求をしたクライアントとの間で前記アクセスポイントを介して前記認証情報を送受信して前記クライアントに前記ネットワークまたは、および前記無線ＬＡＮへのアクセス権が有るか否かの認証を行い、
   前記クライアントにアクセス権が有ることを認証した場合、前記クライアントの前記認証情報を前記アクセスポイントに送信し、
   前記アクセスポイントは前記送信された認証情報を受信してその認証情報を前記認証されたクライアントの認証情報として前記キャッシュメモリに記憶する
   ことを特徴とする請求項２に記載の無線ＬＡＮシステムの通信制御方法。
4. 前記アクセスポイントは、
   前記制御手段であるＣＰＵの動作の負荷率が予め定められた負荷率より低い場合に、前記認証サーバに代わり、前記クライアントが前記ネットワークまたは、および前記無線ＬＡＮへのアクセス権が有るか否かの認証を行うことを特徴とする請求項２に記載の無線ＬＡＮシステムの通信制御方法。
5. 前記キャッシュメモリは、
   前記認証情報に含まれる前記複数のクライアントの各識別子を記憶するとともに、
   各識別子に対応した前記クライアントを認証してアクセスを許可した接続回数、通信の接続時間、最終接続時刻を記憶し、
   前記制御手段は、
   前記記憶された前記接続回数、前記通信の接続時間、前記最終接続時刻の少なくとも１つをパラメータにして前記クライアントを認証する優先度を設定し、
   前記クライアントから接続要求があった場合、前記設定された優先度を満たす前記クライアントのみ、前記アクセスポイントが前記接続要求を行う前記クライアントの認証を行い、
   それ以外の場合は、前記認証サーバが前記接続要求を行う前記クライアントの認証を行うよう制御することを特徴とする請求項２に記載の無線ＬＡＮシステムの通信制御方法。
6. 前記優先度は、
   前記制御手段であるＣＰＵの動作の予め定めた負荷率に対応して前記アクセスポイントが前記接続要求を行う前記クライアントの認証を行う様に設定されていることを特徴とする請求項５に記載の無線ＬＡＮシステムの通信制御方法。
7. 前記優先度は、
   前記接続回数が多いかまたは、前記通信の接続時間が長いほど高く設定されていることを特徴とする請求項５に記載の無線ＬＡＮシステムの通信制御方法。
8. 前記優先度は、
   前記接続回数が少ないか、または、前記通信の接続時間が短いほど高く設定されていることを特徴とする請求項５に記載の無線ＬＡＮシステムの通信制御方法。
9. 前記優先度は、
   前記最終接続時刻からの経過時間が短いほど高く設定されていることを特徴とする請求項５に記載の無線ＬＡＮシステムの通信制御方法。
10. 前記キャッシュメモリは、
    前記認証情報に含まれる前記複数のクライアントの各識別子を記憶するとともに、
    各識別子に対応した前記クライアントを認証してアクセスを許可した接続回数、通信の接続時間、最終接続時刻を記憶し、
    予め前記キャッシュメモリに設定された前記接続回数、前記接続時間から超過するか、又は最終の前記接続時刻から所定の時間を経過したクライアントに対応して記憶された内容がクリヤされるか、又は書き換えられることを特徴とする請求項２記載の無線ＬＡＮシステムの通信制御方法。
11. ネットワークに接続されたサーバが、前記ネットワークに接続された無線ＬＡＮのアクセスポイントを介して、前記アクセスポイントにアクセスする固有の識別子を割り当てられたクライアントを認証する無線ＬＡＮシステムのアクセスポイントであって、
    前記無線ＬＡＮの各アクセスポイントは、
    自装置を介して接続要求を行う前記クライアントの前記認証情報を一時記憶するキャッシュメモリと、
    前記無線ＬＡＮを介して前記ネットワークとの間で行う前記クライアントの通信を制御する制御手段とを備え、
    前記制御手段は、前記クライアントから前記無線ネットワークへの接続要求を受信すると、前記クライアントの識別子を判読し、
    前記判読した識別子に対応した前記クライアントの前記認証情報が前記キャッシュメモリに記憶されている場合は、前記認証サーバに代わり、前記接続要求をしたクライアントとの間で前記認証情報を送受信して前記クライアントに前記ネットワークへのアクセス権が有るか否かの認証をすることを特徴とする無線ＬＡＮシステムのアクセスポイント。
12. 前記制御手段は、
    前記クライアントから前記無線ＬＡＮへの接続要求を受信すると、前記クライアントの識別子を判読し、
    前記判読した識別子に対応した前記クライアントの前記認証情報が前記キャッシュメモリに記憶されていない場合は、前記接続要求を前記認証サーバに送信し、
    前記認証サーバが、前記接続要求のあった前記クライアントにアクセス権があると認証した場合に、前記認証サーバから自アクセスポイントに送信された前記クライアントの前記認証情報を受信し、
    前記受信した認証情報を前記認証されたクライアントの認証情報として前記キャッシュメモリに記憶することを特徴とする請求項１１に記載の無線ＬＡＮシステムのアクセスポイント。
13. 前記アクセスポイントは、
    前記制御手段であるＣＰＵの動作の負荷率が予め定めた負荷率より低い場合に前記認証サーバに代わり、前記クライアントが前記ネットワーク、又は、および前記無線ＬＡＮへのアクセス権が有るか否かの認証を行うことを特徴とする請求項１１に記載の無線ＬＡＮシステムのアクセスポイント。
14. 前記キャッシュメモリは、
    前記認証情報に含まれる前記複数のクライアントの各識別子を記憶するとともに、
    各識別子に対応したクライアントを認証してアクセスを許可した接続回数、通信の接続時間、最終接続時刻を記憶し、
    前記制御手段は、
    前記記憶された前記接続回数、前記通信の接続時間、前記最終接続時刻の少なくとも１つをパラメータにしてクライアントを認証する優先度を設定し、
    前記クライアントから接続要求があった場合、前記設定された優先度を満たす前記クライアントのみ、前記アクセスポイントが前記接続要求を行う前記クライアントの認証を行い、
    それ以外の場合は、前記認証サーバが前記接続要求を行う前記クライアントの認証を行うよう制御することを特徴とする請求項１１に記載の無線ＬＡＮシステムのアクセスポイント。
15. 前記優先度は、
    前記制御手段であるＣＰＵの動作に予め定められた負荷率に対応して前記アクセスポイントが前記接続要求を行う前記クライアントの認証を行う様に設定されていることを特徴とする請求項１４に記載の無線ＬＡＮシステムのアクセスポイント。
16. 前記優先度は、
    前記接続回数が多いか、又は、前記通信の接続時間が長いほど高く設定されていることを特徴とする請求項１４に記載の無線ＬＡＮシステムのアクセスポイント。
17. 前記優先度は、
    前記接続回数が少ないか、又は、前記通信の接続時間が短いほど高く設定されていることを特徴とする請求項１４に記載の無線ＬＡＮシステムのアクセスポイント。
18. 前記優先度は、
    前記最終接続時刻からの経過時間が短いほど高く設定されていることを特徴とする請求項５に記載の無線ＬＡＮシステムのアクセスポイント。
19. 前記キャッシュメモリは、
    前記認証情報に含まれる前記複数のクライアントの各識別子を記憶するとともに、
    各識別子に対応したクライアントを認証してアクセスを許可した接続回数、通信の接続時間、最終接続時刻を記憶し、
    予め前記キャッシュメモリに設定された前記接続回数、前記接続時間から超過するか、又は最終の前記接続時刻から所定の時間を経過したクライアントに対応して記憶された内容がクリヤされるか、又は書き換えられることを特徴とする請求項１１記載の無線ＬＡＮシステムのアクセスポイント。

Images