JP2006148564A - 無線ネットワークシステム及び通信装置 - Google Patents

Abstract

【課題】 認証サーバの負荷の軽減と認証時間の短縮とが図れ、かつ高い確率で新しいアクセスポイントから短時間内に通信を開始できるようにすること。
【解決手段】 無線端末１０１が最初に無線端末収容装置１０２ａを介して前記認証サーバ１０４による認証を受ける場合に、無線端末収容装置１０２ａを収容する通信装置１０３ａは、認証サーバ１０４が無線端末１０１宛てに発行する認証応答を無線端末収容装置１０２ａに中継転送する際に、その認証応答から無線端末１０１が用いる認証情報を取り出して保存する。無線端末１０１が無線端末収容装置１０２ｂに移動して認証を受ける場合無線端末収容装置１０２ｂを収容する通信装置１０３ａが認証情報を保持しているので、認証サーバ１０４からではなく、通信装置１０３ａが認証要求を受けてその保持する認証情報を無線端末１０１に与える。
【選択図】 図１

Description

本発明は、ネットワーク上に無線端末の認証を行う認証サーバが配置される無線ネットワークシステム及び通信ネットワークにおいてスイッチを構成する通信装置に関する。

ネットワーク上に無線端末の認証を行う認証サーバが配置される無線ネットワークシステムとしては、例えば、特許文献１に開示されたものが知られている。即ち、特許文献１では、ネットワーク上に認証サーバを有する無線ＬＡＮシステムにおいて、クライアント端末が、最初にネットワークへの接続を行ったアクセスポイントとは異なるアクセスポイントの通信可能範囲に移動した場合に、移動先のアクセスポイントを介した通信が可能になるまでの時間を短縮したり、通信を可能にするための処理を削減したりすることを目的として、クライアント端末が第１のアクセスポイントを介してネットワークに接続することを既に許可された後、クライアント端末が第２のアクセスポイントの通信可能範囲に移動した場合には、クライアント端末は第２のアクセスポイントを介して所定の認証手続きを行うことなく、ネットワークに接続することが許可されるようにした通信システムが開示されている。

図１３は、この認証手続きを適用した無線端末のアクセスを可能にする大規模ネットワークの構成例を示すシステム図である。無線端末のアクセスを可能にする実際の大規模ネットワークは、図１３に例示するように、無線端末１３０１が無線接続する多数のアクセスポイント（ＡＰ）１３０２を収容する公衆ネットワーク１３０３と、この公衆ネットワーク１３０３に接続されるＩＳＰネットワーク１３０４とで構成される。

公衆ネットワーク１３０３は、キャリア（通信事業者）が提供する通信ネットワークであり、多数の通信装置１３０５、１３０６と、それらの間の通信を中継する中継通信装置１３０７とによって構成される。多数の通信装置１３０５、１３０６は、パケットをスイッチングするスイッチであり、所定数のアクセスポイント（ＡＰ）を束ねて収容することができる。

また、ＩＳＰネットワーク１３０４は、インターネット接続業者（ＩＳＰ）が管理する通信ネットワークであり、無線端末１３０１の認証を行う認証サーバ１３０８が配置されている。

この大規模ネットワークにおいては、無線端末１３０１があるアクセスポイント（ＡＰ）に無線接続して、認証サーバ１３０８の認証を受けるために送信するＩＤとパスワードは、公衆ネットワーク１３０３を介してＩＳＰネットワーク１３０４に配信され、認証サーバ１３０８に伝達されることになる。
特開２００３−１８８８８５号公報

そうすると、図１３において、無線端末が頻繁に無線端末収容装置間を移動する状況を考えると、無線端末１３０１がＩＤとパスワードを認証サーバ１３０８向けに送信する動作は、無線端末１３０１がアクセスポイント（ＡＰ）間を移動する度に行われるので、公衆ネットワーク１３０３とＩＳＰネットワーク１３０４との接続ポイントの帯域が狭い場合や、ＩＳＰネットワーク１３０４及び認証サーバ１３０８の処理能力が高くない場合は、トラフィック負荷の増大を招来し、その結果、伝送遅延や処理遅延が増加するので、移動先のアクセスポイント（ＡＰ）において認証を完了し通信が可能となるまでの時間が増大する可能性がある。

本発明は、かかる点に鑑みてなされたものであり、認証サーバの負荷の軽減と認証時間の短縮とが図れ、かつ高い確率で新しいアクセスポイントから短時間内に通信を開始できる機構を備えた無線ネットワークシステムを提供することを目的とする。

また、本発明は、自装置で必要な情報を他の通信装置から取得する場合に、比較的短時間内に入手できるようにする機構を備えた通信装置を提供することを目的とする。

かかる課題を解決するため、本発明に係る無線ネットワークシステムは、無線端末のアクセスポイントである複数の無線端末収容装置と、前記複数の無線端末収容装置を所定数毎に束ねて収容する多数の通信装置と、前記通信装置を含む通信ネットワーク上に配置され前記無線端末収容装置に接続して暗号化通信を企図する無線端末の認証を行う認証サーバとを具備する無線ネットワークシステムにおいて、前記通信装置は、無線端末が最初に無線接続した無線端末収容装置を介して前記認証サーバによる認証を受ける場合に、無線端末が最初に無線接続した前記無線端末収容装置を収容する通信装置であるとき、前記認証サーバが前記無線端末宛てに発行する認証応答を前記無線端末収容装置に中継転送する際に前記認証応答から前記無線端末が用いる認証情報を取り出して保存する手段と、配下に属する前記無線端末収容装置から無線接続した無線端末の認証要求を受けたとき、自装置が前記認証要求した無線端末の認証情報を保持している場合はその認証情報を含む認証応答を前記無線端末収容装置に送信し、保持していない場合はその認証情報を保持している他の通信装置から取得しその認証情報を含む認証応答を前記無線端末収容装置に送信する手段とを具備する構成を採る。

この構成によれば、一度、無線端末の認証が行なわれれば、移動した場合でも認証サーバに問い合わせることがないので、移動後に通信可能となるまでの時間が短縮できる。また、認証サーバの負荷や認証サーバとの接続ポイントでトラフィック負荷が削減されるので、初期認証が行われて通信可能となるまでの時間が短縮できる。

本発明に係る無線ネットワークシステムの前記通信装置は、上記の発明において、配下に属する前記無線端末収容装置から無線接続した無線端末の認証要求を受けたとき自装置が保持していない前記認証要求した無線端末の認証情報を他の通信装置から取得するのに必要なポートを検出する手段と、検出した全てのポートから他の通信装置に対して問い合わせのブロードキャストパケットを送信する手段と、前記問い合わせのブロードキャストパケットを受けたとき自装置にその問い合わせに係る認証情報を保持している場合はその認証情報を含む問い合わせ応答を返送する手段と、前記問い合わせ応答を受けたとき認証情報を含む認証応答を前記無線端末収容装置に送信する手段とを具備する構成を採る。

この構成によれば、通信装置は、自装置が保持していない認証情報を比較的短時間内に他の通信装置から取得して無線端末に付与することができるので、無線端末は、移動先での認証を短時間内に終了することができる。

本発明によれば、認証サーバの負荷の軽減と認証時間の短縮とが図れ、かつ高い確率で新しいアクセスポイントから短時間内に通信を開始できる無線ネットワークシステムを提供することができる。

また、本発明によれば、自装置で必要な情報を他の通信装置から取得する場合に、比較的短時間内に入手できる通信装置を提供することができる。

本発明の骨子は、無線端末が最初のアクセスポイントに無線接続するときに認証サーバとの間で行われる認証手続きにて得られた認証情報を途中経路である通信ネットワークにおいてスイッチを構成する通信装置に保持できるようにし、その後は、移動する無線端末に対する認証情報の付与は、認証サーバを介さずに、当該通信ネットワーク内において認証情報を保持する通信装置から送信して付与できるようにすることである。

また、本発明の骨子は、通信ネットワークにおいてスイッチを構成する各通信装置が、自装置にない情報を他の通信装置に問い合わせるために必要な複数ポートに対して問い合わせ用ブロードキャストパケットを送信し、ブロードキャストパケットによる問い合わせに対し、その問い合わせ内容の情報を持っているときは、その問い合わせ内容の情報を含んだユニキャストパケットを返信することができるようにすることである。

以下、本発明の実施の形態について図面を参照して詳細に説明する。

（実施の形態１）
図１は、本発明の一実施の形態に係る無線ネットワークシステムの全体構成図である。本実施の形態に係る無線ネットワークシステムは、例えば図１に示すように、当該システム内を移動する無線端末１０１のアクセスポイントである複数の無線端末収容装置１０２ａ、１０２ｂ、１０２ｃ、１０２ｄ、１０２ｅ、１０２ｆと、複数の無線端末収容装置１０２ａ〜１０２ｆを所定数毎に束ねて収容する多数の通信装置１０３ａ、１０３ｂ、１０３ｃと、無線端末１０１の認証を行う認証サーバ１０４と、多数の通信装置１０３ａ〜１０３ｃと認証サーバ１０４との間の通信を中継する中継通信装置１０５とを備えている。

図１に示す例では、無線端末収容装置１０２ａ、１０２ｂは通信装置１０３ａに接続され、無線端末収容装置１０２ｃ、１０２ｄは通信装置１０３ｂに接続され、無線端末収容装置１０２ｅ、１０２ｆは通信装置１０３ｃに接続されている。そして、通信装置１０３ａ、１０３ｂ、１０３ｃは、中継通信装置１０５を介して認証サーバ１０４に接続されている。なお、中継通信装置１０５は、汎用のスイッチであり、本発明で言う「通信装置」には含まれない。

通信装置１０３ａ、１０３ｂ、１０３ｃは、それぞれ同様の構成であるが、その構成を説明する前に、図２〜図４を参照して、図１に示す無線ネットワークシステムにおいて無線端末が認証を受けて通信を開始するまでの動作について説明する。なお、図２は、無線端末が最初に認証を受けて通信を開始するまでの動作を説明する初期認証シーケンス図である。図３と図４は、無線端末が認証を受けた後に他の無線端末収容装置に移動して通信を開始するまでの動作を説明する移動時認証シーケンス図である。

図２に示すように、無線端末１０１が最初の無線端末収容装置に無線接続するときは、通信を開始する前に無線端末１０１と認証サーバ１０４の間で認証処理が行われる。そのとき、途中経路に存在する通信装置は、認証サーバ１０４が無線端末１０１に与える認証情報を中継しつつ取り込み記憶するようになっている。この認証情報には、無線端末ＩＤや暗号化のための暗号鍵などが含まれている。

図２では、無線端末１０１が最初に無線接続する無線端末収容装置は、例えば無線端末収容装置１０２ａである場合が示されている。図２において、無線端末１０１が最初に無線端末収容装置１０２ａに無線接続するときは、無線端末１０１と無線端末収容装置１０２ａとの間で無線区間レベルでの認証としてオープン認証処理が行われる（手順Ｔ２０１）。そして、通信を開始する前に、無線端末収容装置１０２ａと通信装置１０３ａと中継通信装置１０５とを中継路とする無線端末１０１と認証サーバ１０４との間で、ＩＥＥＥ８０２．１ｘ等による端末レベルでの認証処理が行われる（手順Ｔ２０２）。

この認証処理（手順Ｔ２０２）で必要となる認証手続きの詳細は、プロトコルによって異なるが、基本的な機能は共通であり、図２示すように、無線端末１０１は認証サーバ１０４宛てに認証要求を送出する。認証サーバ１０４は認証処理を行って無線端末１０１のＩＤや暗号鍵情報などを含む認証情報を作成し、その認証情報を含んだ認証応答を無線端末１０１に送信するようになっている。

この認証処理（手順Ｔ２０２）において、中継路に存在する通信装置１０３ａと無線端末収容装置１０２ａは、認証サーバ１０４が無線端末１０１に送信する認証応答を中継する際に、その認証応答に含まれる認証情報を取り出して記憶することを行うようになっている。

そして、認証処理が完了すると、認証処理によって取得した認証情報を元に、無線端末１０１と無線端末収容装置１０２ａとの間で暗号化通信の準備を行い（手順Ｔ２０３）、暗号通信を開始する（手順Ｔ２０４）。

このように最初の認証動作を行うことで、無線端末１０１が無線接続される無線端末収容装置１０２ａと認証サーバ１０４の間に存在する通信装置１０３ａは、その無線端末１０１の認証情報を保持している状態になる。

次に、無線端末が新しい無線端末収容装置に移動するときは、新しい無線端末収容装置はその無線端末が認証済みかどうかの確認要求を認証サーバに送出する。この確認要求を受信した通信装置は、自身がその無線端末の認証情報を保持している場合は、確認要求に対する認証情報を含む応答を返す。

次に、無線端末が新しい無線端末収容装置に移動するときは、新しい無線端末収容装置はその無線端末が認証済みかどうかの確認要求を認証サーバに送出する。この確認要求を受信した通信装置は、これを認証サーバへは送らずに、他の通信装置にブロードキャストする。

その確認要求を受信した他の通信装置の中で、その無線端末ＩＤの認証情報を持っている通信装置は、確認要求を送信した通信装置に対し認証情報を含む応答を返す。応答を受信した通信装置は、無線端末収容装置に対して認証情報を通知する。これによって新たな無線端末収容装置に移動した無線端末は、その新たな無線端末収容装置を介して通信可能となる。

このように、無線端末が無線端末収容装置間を移動するとき、移動先での無線端末の認証処理は、認証サーバでは行われず、より近くの通信装置で行われることになる。以下、図３と図４を参照して、具体的に説明する。

図３では、移動前後の無線端末収容装置を収容する通信装置が同一の場合での認証シーケンスが示されている。図３において、無線端末１０１は、無線端末収容装置１０２ａと通信中に（手順Ｔ３０１）、移動先の無線端末収容装置１０２ｂと無線接続し（手順Ｔ３０２）、無線端末収容装置１０２ｂとの間で無線区間レベルのオープン認証処理が行う（手順Ｔ３０３）。

そして、無線端末１０１は、移動先において認証サーバ１０４の認証を受けるべく、認証サーバ１０４宛ての認証要求を移動後の無線端末収容装置１０２ｂに対して送信する（手順Ｔ３０４）。これによって本実施の形態によるＩＥＥＥ８０２．１ｘ等による端末レベルでの認証処理が行われる（手順Ｔ３０５）。この場合、無線端末収容装置１０２ｂと認証サーバ１０４との間には、通信装置１０３ａと中継通信装置１０５とが存在する。

即ち、本実施の形態による認証処理（手順Ｔ３０５）では、無線端末収容装置１０２ｂが無線端末１０１から認証要求を受け取ると（手順Ｔ３０４）、それを通信装置１０３ａに転送する（手順Ｔ３０６）。通信装置１０３ａは、受け取った認証要求を認証サーバ１０４向けに転送せず終端し、受け取った認証要求に含まれている無線端末ＩＤに対応する認証情報を保持しているか否かを調べる（手順Ｔ３０７）。

今の例では、通信装置１０３ａは、無線端末１０１の認証情報を保持しているので、無線端末ＩＤに基づき記憶手段を検索して無線端末１０１の認証情報を取り出し、それを含んだ認証応答を生成し、無線端末収容装置１０２ｂに返送する（手順Ｔ３０８）。

無線端末収容装置１０２ｂでは、受信した認証応答から認証情報を取り出して保存するとともに（手順Ｔ３０９）、それを含めた認証応答を無線端末１０１に無線送信する（手順Ｔ３１０）。

認証処理が完了すると、認証処理によって取得した認証情報を元に、無線端末１０１と無線端末収容装置１０２ｂとの間で暗号化通信の準備を行い（手順Ｔ３１１）、暗号通信を開始する（手順Ｔ３１２）。

次に、図４では、移動前後の無線端末収容装置を収容する通信装置が異なる場合での認証シーケンスが示されている。図４において、無線端末１０１は、無線端末収容装置１０２ａと通信中に（手順Ｔ４０１）、移動先の無線端末収容装置１０２ｃと無線接続し（手順Ｔ４０２）、無線端末収容装置１０２ｃとの間で無線区間レベルのオープン認証処理が行う（手順Ｔ４０３）。

そして、無線端末１０１は、移動先において認証サーバ１０４の認証を受けるべく、認証サーバ１０４宛ての認証要求を移動後の無線端末収容装置１０２ｃに対して送信する（手順Ｔ４０４）。これによって本実施の形態によるＩＥＥＥ８０２．１ｘ等による端末レベルでの認証処理が行われる（手順Ｔ４０５）。この場合、無線端末収容装置１０２ｃと認証サーバ１０４との間には、通信装置１０３ｂと中継通信装置１０５とが存在する。

即ち、本実施の形態による認証処理（手順Ｔ４０５）では、無線端末収容装置１０２ｃが無線端末１０１から認証要求を受け取ると（手順Ｔ４０４）、それを通信装置１０３ｂに転送する（手順Ｔ４０６）。通信装置１０３ｂは、受け取った認証要求を認証サーバ１０４向けに転送せず終端し、受け取った認証要求に含まれている無線端末ＩＤに対応する認証情報を保持しているか否かを調べる（手順Ｔ４０７）。

今の例では、通信装置１０３ｂは、無線端末１０１の認証情報を保持していないので、他の通信装置に問い合わせるため、受け取った認証要求から認証情報取得要求を生成し他の通信装置等にブロードキャスト転送する（手順Ｔ４０８）。この認証情報取得要求は通信装置１０３ａにも伝達される（手順Ｔ４０９）。

通信装置１０３ａは、受け取った認証情報取得要求に含まれている無線端末ＩＤに対応する認証情報を保持しているか否かを調べる。今の例では、通信装置１０３ａは、無線端末１０１の認証情報を保持しているので、無線端末ＩＤに基づき記憶手段を検索して無線端末１０１の認証情報を取り出し、それを含んだ認証情報取得応答を生成し、認証情報取得要求の送信元である通信装置１０３ｂにユニキャスト返送する（手順Ｔ４１０）。

通信装置１０３ｂでは、受け取った認証情報取得応答から無線端末１０１の認証情報を取り出して保存するとともに、それを含んだ認証結果通知を生成し、無線端末収容装置１０２ｃに返送する（手順Ｔ４１１）。

無線端末収容装置１０２ｃでは、受信した認証結果通知から認証情報を取り出して保存し（手順Ｔ４１２）、それを含めた認証応答を無線端末１０１に無線送信する（手順Ｔ４１３）。

認証処理が完了すると、認証処理によって取得した認証情報を元に、無線端末１０１と無線端末収容装置１０２ｃとの間で暗号化通信の準備を行い（手順Ｔ４１４）、暗号通信を開始する（手順Ｔ４１５）。

このように、本実施の形態によれば、一度、無線端末の認証が行なわれれば、移動した場合でも認証サーバに問い合わせることがないので、移動後に通信可能となるまでの時間が短縮できる。また、認証サーバの負荷や認証サーバとの接続ポイントでトラフィック負荷が削減されるので、初期認証が行われて通信可能となるまでの時間が短縮できる。

次に、図５〜図１２を参照して、本実施の形態１に係る通信装置の構成例と上記した問い合わせ処理について説明する。

図５は、図１に示す通信装置の構成例を示すブロック図である。図５に示すように、各通信装置は、パケット受信部５０１とパケット転送先判定部５０２と転送テーブル５０３とパケット送信部５０４と認証情報処理部５０５と認証情報テーブル５０６と未認証情報処理部５０７とを備えている。

パケット受信部５０１は、外部からのパケットの受信処理（ヘッダ処理、ペイロード処理等）を行い、その受信処理結果をパケット転送先判定部５０２に与える。転送テーブル５０３は、宛先アドレスと宛先ポートの対応を持つ検索テーブルである。

パケット転送先判定部５０２は、受信したパケットがデータパケットであれば、宛先アドレスを検索キーとして転送テーブル５０３を検索して宛先ポートを決定し、その受信データパケットをパケット送信部５０４に転送する。

また、パケット転送先判定部５０２は、受信したパケットが認証要求や認証応答などの認証制御用パケットであれば、その受信した認証制御用パケットを認証情報処理部５０５に転送する。

また、パケット転送先判定部５０２は、認証情報処理部５０５から認証制御用パケットを受け取ると、それに含まれる宛先アドレスを検索キーに転送テーブル５０３を検索して宛先ポートを決定し、認証情報処理部５０５から受け取った認証制御用パケットをパケット送信部５０４へ転送する。

認証情報テーブル５０６は、認証情報処理部５０５が認証制御用パケットから抽出した認証情報を保持して置くテーブルであり、無線端末ＩＤと認証情報の対応を付けて管理するのに使用される。

認証情報処理部５０５では、無線端末毎に、認証方法に対応した状態管理が行われる。この状態管理方法には、規格に沿った方法、あるいは、運用上簡易化できるのであれば、その簡易化した方法が採用される。認証情報処理部５０５は、この状態管理に応じた認証処理を行い、外部から受信した認証応答から認証情報を抽出し、未認証情報処理部５０７に問い合わせを発行するなどを行い、無線端末毎の認証情報を認証情報テーブル５０６に記憶して管理する動作を行う。以下にその動作内容を示す。

即ち、認証情報処理部５０５では、外部から認証要求を受信すると、無線端末ＩＤを検索キーとして認証情報テーブル５０６を検索し、その無線端末の認証情報が存在するか否かを判定する。その結果、その無線端末の認証情報が存在すると、自ら管理している状態に従って認証処理を行い、認証応答を無線端末に送信する。

一方、判定の結果、その無線端末の認証情報が存在しないときは、受信した認証制御パケットが認証要求であることを未認証情報処理部５０７に提示し、その処理方法について問い合わせる。その後は、認証情報処理部５０５は、未認証情報処理部５０７からの指示に従った処理動作を行う。

即ち、認証情報処理部５０５は、未認証情報処理部５０７から認証応答の送信指示があるときは、認証応答を送信する。また、認証情報処理部５０５は、未認証情報処理部５０７から透過的対応指示があるときは、初期認証動作手続きに従い、認証要求をそのまま認証サーバ１０４に転送する。

そして、未認証情報処理部５０７では、主に、以下に示す３つの処理動作を行われる。

（１）認証情報処理部５０５から、無線端末からの認証要求への対処方法についての問い合わせを受け付けた場合は、認証情報取得要求を生成し、通信装置の全ポートを含む必要な複数のポートに対してブロードキャストを行うため、パケット送信部５０４に送信指示を出す。

（２）一方、認証情報処理部５０５から、他の通信装置からの認証情報取得応答を受け付けると、その認証情報を学習して認証情報を認証情報テーブル５０６に書き込み、認証応答を無線端末に送出するように認証情報処理部５０５に指示を発行する。そして、認証情報処理部５０５から一定時間を過ぎても正常な認証情報取得応答を受信できない場合には、通常の初期認証動作に入るように認証情報処理部５０５に指示を発行する。

（３）逆に、認証情報処理部５０５から、他の通信装置からの認証情報取得要求を受信すると、無線端末ＩＤから認証情報テーブル５０６を検索し、その無線端末が認証されているか否かの判定を行う。認証されている場合は、認証情報を含んだ認証情報取得応答を生成し、認証情報処理部５０５に転送する。

以上のように動作する未認証情報処理部５０７は、認証情報処理部受付機能５１１と認証情報取得要求／応答生成機能５１２と通信装置間問い合わせ／応答状態管理機能５１３とＢＣ送信制御機能（ブロードキャスト送信制御機能）５１４とタイマー機能５１５とを備えている。

認証情報処理部受付機能５１１は、認証情報処理部５０５とのインタフェースを取り、認証情報処理部５０５からの要求を受け付けて分析しその分析結果を通信装置間問い合わせ／応答状態管理機能５１３に与えるとともに、通信装置間問い合わせ／応答状態管理機能５１３からの指示を認証情報処理部５０５に伝える。

認証情報取得要求／応答生成機能５１２は、通信装置間問い合わせ／応答状態管理機能５１３からの指示に従い、認証情報取得要求・応答を生成し、通信装置間問い合わせ／応答状態管理機能５１３に与える。生成する認証情報取得要求は、ブロードキャストパケットである。また、生成する認証情報取得応答は、認証情報取得要求を送信してきた通信装置宛のユニキャストパケットである。

通信装置間問い合わせ／応答状態管理機能５１３は、認証情報処理部受付機能５１１での分析結果に基づき他の通信装置とのメッセージ送受信に関わる状態管理を行い、その状態に従って認証情報取得要求／応答生成機能５１２から認証情報取得要求及び認証情報取得応答を取得し、認証情報取得要求はＢＣ送信制御機能５１４に与え、認証情報取得要求は認証情報処理部受付機能５１１を介して認証情報処理部５０５に与える。

通信装置間問い合わせ／応答状態管理機能５１３では、認証情報取得要求を送出した場合には、タイマー機能５１５に対してタイマー設定指示を出し、その要求に対する認証情報取得応答を受信した場合はタイマー機能５１５に対してタイマー解除指示を出す。タイマー機能５１５からタイマー満了通知を受信した場合は、通常の初期認証処理を行う指示を出すように認証情報処理部受付機能５１１に通知する。

ＢＣ送信制御機能５１４では、通信装置間問い合わせ／応答状態管理機能５１３から認証情報取得要求が入力すると、それを通信装置の全ポートを含む必要な複数のポートに対してブロードキャストすべく、パケット送信部５０４に送信指示が与える。

図６を参照して、未認証情報処理部５０７での処理内容を具体的に説明する。なお、図６は、図５に示す未認証情報処理部の動作を説明するフローチャートである。ここでは、処理手順を示すステップは、単に「ＳＴ」と略記する。

図６において、認証情報処理部受付機能５１１は、認証情報処理部５０５からの要求を分析しその分析結果を通信装置間問い合わせ／応答状態管理機能５１３に与える（ＳＴ６０１）。通信装置間問い合わせ／応答状態管理機能５１３は、受け取った分析結果が示すパケットが、認証要求であるか否か（ＳＴ６０２）、認証情報取得応答であるか否か（ＳＴ６０３）、認証情報取得要求であるか否か（ＳＴ６０４）をそれぞれ判定し、何れでもないときは（ＳＴ６０２：Ｎｏ、ＳＴ６０３：Ｎｏ、ＳＴ６０４：Ｎｏ）、当該分析結果を廃棄する（ＳＴ６０５）。

通信装置間問い合わせ／応答状態管理機能５１３は、認証情報処理部受付機能５１１が受け付けたパケットが認証要求であるときは（ＳＴ６０２：Ｙｅｓ）、認証情報を持っているか否かを他の通信装置に問い合わせる指示を認証情報処理部５０５に与え（ＳＴ６０６）、タイマーを設定する（ＳＴ６０７）。そして、認証情報取得要求／応答生成機能５１２に認証情報取得要求の作成の指示を出し、作成された認証情報取得要求をＢＣ送信制御機能５１４に与える（ＳＴ６０８）。

ＢＣ送信制御機能５１４では、パケット送信部５０４に認証情報取得要求の送信指示を与え、その送信状況を監視し、認証情報取得要求が全てのポートから送出させるようにする（ＳＴ６０９→ＳＴ６１０→ＳＴ６０９）。

また、通信装置間問い合わせ／応答状態管理機能５１３は、認証情報処理部受付機能５１１が受け付けたパケットが認証情報取得応答であるときは（ＳＴ６０３：Ｙｅｓ）、送出した認証情報取得要求に対する応答であるか否かを判定する（ＳＴ６１１）。

通信装置間問い合わせ／応答状態管理機能５１３は、判定の結果、送出した認証情報取得要求に対する応答でない場合は（ＳＴ６１１：Ｎｏ）、当該認証情報取得応答を廃棄するが（ＳＴ６１２）、送出した認証情報取得要求に対する応答である場合は（ＳＴ６１１：Ｙｅｓ）、認証情報テーブル５０６に認証情報を書き込み（ＳＴ６１３）、タイマーを解除し（ＳＴ６１４）、認証要求パケットに対する認証済み応答パケットを無線端末に返送する指示を認証情報処理部５０５に出す（ＳＴ６１５）。

また、通信装置間問い合わせ／応答状態管理機能５１３は、認証情報処理部受付機能５１１が受け付けたパケットが認証情報取得要求であるときは（ＳＴ６０４：Ｙｅｓ）、認証情報テーブル５０６に取得依頼を受けた無線端末の認証情報が存在するか否かを検索する（ＳＴ６１７）。

そして、通信装置間問い合わせ／応答状態管理機能５１３は、認証情報テーブル５０６に認証情報が存在する場合は（ＳＴ６１８：Ｙｅｓ）、認証情報取得要求／応答生成機能５１２に対して「認証情報あり」の認証情報取得応答作成を指示して入手し、認証情報処理部受付機能５１１に与える（ＳＴ６１９）。逆に、通信装置間問い合わせ／応答状態管理機能５１３は、認証情報テーブル５０６に認証情報が存在しない場合は（ＳＴ６１８：Ｎｏ）、認証情報取得要求／応答生成機能５１２に対して「認証情報なし」の認証情報取得応答作成を指示して入手し、認証情報処理部受付機能５１１に与える（ＳＴ６２０）。

認証情報処理部受付機能５１１は、認証情報取得要求に対する認証情報取得応答を通信装置に返送する指示を認証情報処理部５０５に発行する（ＳＴ６２１）。

以上の動作過程で、通信装置間問い合わせ／応答状態管理機能５１３は、ＳＴ６０７にて設定したタイマーを監視し、解除されずに満了すると（ＳＴ６２２）、認証情報処理部受付機能５１１から認証情報処理部５０５に対して、認証要求をそのまま透過的に上位に転送し、初期動作を続ける指示を発行させる（ＳＴ６２３）。

次に、通信ネットワークにおいてスイッチを構成する各通信装置が自装置にない情報を他の通信装置に対して問い合わせる処理動作は、従来でもＡＲＰ（Address Resolution Protocol）を用いて行われているので、図７〜図１２を参照して、本実施の形態に係る問い合わせ処理と、従来の問い合わせ処理（ＡＲＰ処理）との相違について説明する。なお、図７〜図９は、従来の問い合わせ処理を説明する図である。図１０〜図１２は、本実施の形態に係る問い合わせ処理を説明する図である。

まず、従来のＡＲＰ処理について説明する。図７は、従来の問い合わせ処理を説明するために用いる通信装置間関係図である。図８は、従来の問い合わせ処理を説明するシーケンス図である。図９は、従来の問い合わせ処理を実施する通信装置の構成を示すブロック図である。

図７において、通信装置＃０のポート１には通信装置＃１が接続され、ポート２には通信装置＃２が接続され、ポート３には通信装置＃３が接続されている。このような配置関係において、図８に示すように、通信装置＃０に宛先ＩＰアドレスに対するＭＡＣアドレスが不明のパケットが入力した場合（手順Ｔ８００）、通信装置＃０では、宛先ＩＰアドレスによって宛先ポート（ポート２）を検出して問い合わせパケットを送信する（手順Ｔ８０１）。また、宛先ポートの隣接通信装置のＭＡＣアドレスが不明の場合は、ブロードキャストパケット（ＡＲＰパケット）を作り、宛先ポート（ポート２）のみから送信する（手順Ｔ８０１）。

そして、ポート２に接続される通信装置＃２では、ＡＲＰ要求の内容を見て、自分宛ての場合に応答パケット（ＡＲＰ応答）を送信する（手順Ｔ８０２）。通信装置＃０では、通信装置＃２からの応答パケット（ＡＲＰ応答）を解析し、宛先の無線端末のＭＡＣアドレスを学習する（手順Ｔ８０３）。

このようなＡＲＰ処理を行う従来の通信装置は、図９に示すように、パケット受信部９０１、パケット転送先判定部９０２、転送テーブル９０３に対して、ＡＲＰ処理部９０５を備える。ＡＲＰ処理部９０５は、ＡＲＰ要求受付機能９１１とＡＲＰ要求生成機能９１２と送出機能９１３とで構成され、送出機能９１３は、宛先ポートからＡＲＰ要求送出指示機能を備えている。

次に、本実施の形態に係る問い合わせ処理について説明する。図１０は、本発明の一実施の形態に係る問い合わせ処理を説明するために用いる通信装置間関係図である。図１１は、本発明の一実施の形態に係る問い合わせ処理を説明するシーケンス図である。図１２は、本発明の一実施の形態に係る問い合わせ処理を実施する通信装置の構成を示すブロック図である。

図１０において、通信装置＃０のポート１には通信装置＃１が接続され、ポート２には通信装置＃２が接続され、ポート３には通信装置＃３が接続されている。このような配置関係において、図１１に示すように、通信装置＃０に、宛先ＩＰアドレスに対するＭＡＣアドレスが不明のパケットが入力した場合（手順Ｔ１１００）、通信装置＃０では、ブロードキャストパケット（問い合わせパケット）を作り、全ポートから送信する。つまり、通信装置＃１に対するポート１、通信装置＃２に対するポート２、通信装置＃３に対するポート３のそれぞれからブロードキャストパケット（問い合わせパケット）を送信する（手順Ｔ１１０１）。

そして、ポート１に接続される通信装置＃１、ポート２に接続される通信装置＃２、ポート３に接続される通信装置＃３では、それぞれ問い合わせの内容を見て、自装置宛ての場合に応答パケットを送信する（手順Ｔ１１０２）。図１１では、ポート２に接続される通信装置＃２が、問い合わせの内容が自装置宛てであったので、応答パケットを送信するとしている。通信装置＃０では、通信装置＃２からの応答パケットを解析し、情報のＭＡＣアドレスを学習する（手順Ｔ１１０３）。

このような問い合わせ処理を行う本実施の形態に係る通信装置は、図１２に示すように、パケット受信部９０１、パケット転送先判定部９０２、転送テーブル９０３に対して、問い合わせ処理部１２０５を備える。問い合わせ処理部１２０５は、問い合わせ要求受付機能１２１１と問い合わせ要求生成機能１１１２と送出機能１２１３とで構成され、送出機能１２１３は、送出すべき全てのポートを検出する機能と、問い合わせ要求送出指示機能と、必要とする全てのポートからの送出完了判定機能とを備えている。

即ち、従来のＡＲＰ処理と本実施の形態に係る問い合わせ処理との相違点は、従来では問い合わせパケットを宛先ポートのみから送出するのに対し、本実施の形態では送出すべき全てのポートを検出し、その検出したポート全てから問い合わせパケットを送出する点にある。

したがって、本実施の形態に係る問い合わせ処理によれば、通信装置は、必要となる情報が不明な場合に、その情報を保持する他の通信装置を従来よりも比較的短時間内に見つけ出して入手することができる。

本発明は、認証サーバの負荷の軽減と認証時間の短縮とを図り、かつ高い確率で新しいアクセスポイントから短時間内に通信を開始できるようにするのに好適である。また、本発明は、自装置で必要な情報を他の通信装置から取得する場合に、比較的短時間内に入手できるようにするのに好適である。

本発明の一実施の形態に係る無線ネットワークシステムの全体構成図 無線端末が最初に認証を受けて通信を開始するまでの動作を説明する初期認証シーケンス図 無線端末が認証を受けた後に他の無線端末収容装置に移動して通信を開始するまでの動作を説明する移動時認証シーケンス図（その１） 無線端末が認証を受けた後に他の無線端末収容装置に移動して通信を開始するまでの動作を説明する移動時認証シーケンス図（その２） 図１に示す通信装置の構成例を示すブロック図 図５に示す未認証情報処理部の動作を説明するフローチャート 従来の問い合わせ処理を説明するために用いる通信装置間関係図 従来の問い合わせ処理を説明するシーケンス図 従来の問い合わせ処理を実施する通信装置の構成を示すブロック図 本発明の一実施の形態に係る問い合わせ処理を説明するために用いる通信装置間関係図 本発明の一実施の形態に係る問い合わせ処理を説明するシーケンス図 本発明の一実施の形態に係る問い合わせ処理を実施する通信装置の構成を示すブロック図 無線端末のアクセスを可能にする大規模ネットワークの構成例を示すシステム図

符号の説明

１０１ 無線端末
１０２ａ、１０２ｂ、１０２ｃ、１０２ｄ、１０２ｅ、１０２ｆ 無線端末収容装置
１０３ａ、１０３ｂ、１０３ｃ 通信装置
１０４ 認証サーバ
１０５ 中継通信装置
５０１ パケット受信部
５０２ パケット転送先判定部
５０３ 転送テーブル
５０４ パケット送信部
５０５ 認証情報処理部
５０６ 認証情報テーブル
５０７ 未認証情報処理部
５１１ 認証情報処理部受付機能
５１２ 認証情報取得要求／応答生成機能
５１３ 通信装置間問い合わせ／応答状態管理機能
５１４ ＢＣ送信制御機能（ブロードキャスト送信制御機能）
５１５ タイマー機能

Claims (3)

1. 無線端末のアクセスポイントである複数の無線端末収容装置と、前記複数の無線端末収容装置を所定数毎に束ねて収容する多数の通信装置と、前記通信装置を含む通信ネットワーク上に配置され前記無線端末収容装置に接続して暗号化通信を企図する無線端末の認証を行う認証サーバとを具備する無線ネットワークシステムにおいて、前記通信装置は、無線端末が最初に無線接続した無線端末収容装置を介して前記認証サーバによる認証を受ける場合に、無線端末が最初に無線接続した前記無線端末収容装置を収容する通信装置であるとき、前記認証サーバが前記無線端末宛てに発行する認証応答を前記無線端末収容装置に中継転送する際に前記認証応答から前記無線端末が用いる認証情報を取り出して保存する手段と、配下に属する前記無線端末収容装置から無線接続した無線端末の認証要求を受けたとき、自装置が前記認証要求した無線端末の認証情報を保持している場合はその認証情報を含む認証応答を前記無線端末収容装置に送信し、保持していない場合はその認証情報を保持している他の通信装置から取得しその認証情報を含む認証応答を前記無線端末収容装置に送信する手段と、を具備することを特徴とする無線ネットワークシステム。
2. 前記通信装置は、配下に属する前記無線端末収容装置から無線接続した無線端末の認証要求を受けたとき、自装置が保持していない前記認証要求した無線端末の認証情報を他の通信装置から取得するのに必要なポートを検出する手段と、検出した全てのポートから他の通信装置に対して問い合わせのブロードキャストパケットを送信する手段と、前記問い合わせのブロードキャストパケットを受けたとき自装置にその問い合わせに係る認証情報を保持している場合はその認証情報を含む問い合わせ応答を返送する手段と、前記問い合わせ応答を受けたとき認証情報を含む認証応答を前記無線端末収容装置に送信する手段と、を具備することを特徴とする請求項１記載の無線ネットワークシステム。
3. スイッチを構成する複数の通信装置を備える通信ネットワークにおいて、前記通信装置は、自装置に必要な情報を他の通信装置から取得するのに必要なポートを検出する手段と、検出した全てのポートに問い合わせのブロードキャストパケットを送出する手段と、前記問い合わせのブロードキャストパケットを受けたとき自装置にその問い合わせに係る情報を保持している場合はその情報を含む問い合わせ応答を返送する手段と、を具備することを特徴とする通信装置。

Images