JP2006203300A - 転送装置、アクセス可否判定方法およびプログラム - Google Patents

Abstract

【課題】 ユーザの手間を少なくしつつ通信の健全性をチェックする。
【解決手段】この通信システムのＡＰ４は、端末５から受信される電波の到来方向より端末５の位置情報を取得するアンテナ４６と、取得した位置情報と、端末５から認証サーバ２にアクセスする際に受信された認証情報に含まれる端末５のＭＡＣアドレスとを対応させてＭＡＣアドレス−位置情報管理テーブル３０に登録し、認証後、端末５がＬＡＮ１上の機器にアクセスする際に、ＭＡＣアドレス−位置情報管理テーブル３０に記憶されているＭＡＣアドレスと位置情報に基づいてアクセス可否を判定する位置チェック機能４３とを備える。
【選択図】図１

Description

本発明は、例えば無線ＬＡＮなどで用いられるアクセスポイント、ルータ、ブリッジ、リピータ、スイッチングハブなどの転送装置、アクセス可否判定方法およびプログラムに関する。

ＩＥＥＥ ８０２．１Ｘは、ＯＳＩ参照モデルの７つの階層のうち、データリンク層でユーザ認証を行う通信プロトコルである。
認証装置と無線端末とをアクセスポイントなどの中継装置およびＬＡＮなどのネットワークを介して接続した通信システムにおいて、ＩＥＥＥ８０２．１Ｘでは、端末から認証装置に受信された認証要求情報に含まれるユーザＩＤ、パスワードなどのユーザ認証情報を基に認証装置がユーザ認証処理を実行することで、そのユーザ認証情報の送信元の端末（機器）のＭＡＣアドレスを正当と認める。

現在のユーザ認証方法に用いられるユーザ認証情報は、ユーザＩＤ、パスワードが主流であり、ユーザがネットワークにアクセスを開始する際の認証以外でも、事ある毎に、ユーザＩＤ、パスワードの入力が求められるため、ユーザとしては、これらのユーザ認証情報をいちいち入力するのが至って面倒であるという問題もある。

一方、悪意のユーザによるユーザ詐称（成りすまし）の技術も向上しており、ユーザＩＤ、パスワードだけのユーザ認証には限界がある。

そこで、近年では、ユーザ認証時に端末のＩＰアドレスの認証を加えた技術も考案されている（例えば特許文献１参照）。
特開２００２-８４３０６号公報

しかしながら、ＩＰアドレスは、ＤＨＣＰサーバが自動的に割り当てる（付与する）以外に、手操作によるＩＰアドレスの付与も可能であり、例えば認証後のＩＰアドレスを用いてネットワークを利用するなどの不正行為が行われる可能性があり、ネットワークを利用するユーザの正当性を確認する上で必ずしも安全とは言えない。

本発明はこのような課題を解決するためになされたもので、ユーザの手間が少なく通信の健全性をチェックすることのできる転送装置、アクセス可否判定方法およびプログラムを提供することを目的としている。

上記した目的を達成するために、本発明の転送装置は、認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置およびその他の機器にアクセスするための転送装置において、前記無線端末の物理アドレスとＩＰアドレスとを対応付けて記憶するアドレス記憶手段と、前記無線端末から前記認証装置にアクセスする際の認証情報に含まれる前記無線端末の物理アドレスを前記アドレス記憶手段に登録する手段と、前記無線端末に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記アドレス記憶手段に記憶されている物理アドレスとを比較して検査するアドレス検査手段と、前記アドレス検査手段により正当性が確認されたＩＰアドレスを前記アドレス記憶手段の該当物理アドレスに対応させて登録する手段と、認証後、前記無線端末から前記ネットワーク上の機器へアクセスする際に、前記アドレス記憶手段に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段とを具備したことを特徴とする。

本発明の転送装置は、認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置およびその他の機器にアクセスするための転送装置において、前記無線端末の物理アドレスと前記無線端末の位置情報とを対応付けて記憶する位置アドレス記憶手段と、前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得する位置情報取得手段と、前記位置情報取得手段により取得された位置情報と、前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスとを対応させて前記位置アドレス記憶手段に登録する手段と、認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記位置アドレス記憶手段に記憶されている物理アドレスと位置情報に基づいてアクセス可否を判定する判定手段とを具備したことを特徴とする。

本発明の転送装置は、認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置およびその他の機器にアクセスするための転送装置において、前記無線端末の物理アドレスとＩＰアドレスとを対応付けて記憶するアドレス記憶手段と、前記無線端末の物理アドレスと位置情報とを対応付けて記憶する位置アドレス記憶手段と、前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスを前記アドレス記憶手段に登録する手段と、前記無線端末に対して前記ＩＰアドレス付与装置に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記アドレス記憶手段に記憶されている物理アドレスとを比較して検査するアドレス検査手段と、前記アドレス検査手段により正当性が確認されたＩＰアドレスを該当物理アドレスに対応させて前記アドレス記憶手段に登録する手段と、前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得する位置情報取得手段と、前記位置情報取得手段により取得された位置情報と、前記無線端末の物理アドレスとを前記位置アドレス記憶手段に対応させて登録する手段と、認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記位置アドレス記憶手段に記憶されている物理アドレスと位置情報との対応状況、および／または前記アドレス記憶手段に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段とを具備したことを特徴とする。

本発明のアクセス可否判定方法は、無線端末が転送装置を介してネットワークに接続された認証装置とその他の機器にアクセスする際のアクセス可否判定方法において、前記無線端末から前記認証装置にアクセスする際の認証情報に含まれる前記無線端末の物理アドレスを前記転送装置に登録するステップと、前記無線端末に対して前記ＩＰアドレス付与装置に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記転送装置に記憶されている物理アドレスと比較して検査するステップと、検査により正当性が確認されたＩＰアドレスを該当物理アドレスに対応させて前記転送装置に登録するステップと、認証後、前記無線端末から前記ネットワーク上の機器へアクセスする際に、前記転送装置に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定するステップとを具備したことを特徴とする。

本発明のアクセス可否判定方法は、無線端末が転送装置を介してネットワークに接続された認証装置とその他の機器にアクセスする際のアクセス可否判定方法において、前記無線端末から前記転送装置に受信される電波の到来方向より前記無線端末の位置情報を取得するステップと、取得された位置情報と前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスとを対応させて前記転送装置に登録するステップと、認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記転送装置に記憶されている物理アドレスと位置情報に基づいてアクセス可否を判定するステップとを有することを特徴とする。

本発明のアクセス可否判定方法は、無線端末が転送装置を介してネットワークに接続された認証装置とその他の機器にアクセスする際のアクセス可否判定方法において、前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスを前記転送装置に登録するステップと、前記無線端末に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記転送装置に記憶されている物理アドレスとを比較して検査するステップと、検査により正当性が確認されたＩＰアドレスを該当物理アドレスに対応させて前記転送装置に登録するステップと、前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得するステップと、取得された位置情報と前記無線端末の物理アドレスとを対応させて前記転送装置に登録するステップと、認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記転送装置に記憶されている物理アドレスと位置情報との対応状況、および／または物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定するステップとを有することを特徴とする。

本発明のプログラムは、認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置にアクセスして認証を行うためのパケット転送を行う転送装置に処理を実行させるプログラムにおいて、前記転送装置を、前記無線端末の物理アドレスとＩＰアドレスとを対応付けて記憶するアドレス記憶手段と、前記無線端末から前記認証装置にアクセスする際の認証情報に含まれる前記無線端末の物理アドレスを前記アドレス記憶手段に登録する手段と、前記無線端末に対して前記ＩＰアドレス付与装置に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記アドレス記憶手段に記憶されている物理アドレスとを比較して検査するアドレス検査手段と、前記アドレス検査手段により正当性が確認されたＩＰアドレスを前記アドレス記憶手段の該当物理アドレスに対応させて登録する手段と、認証後、前記無線端末から前記ネットワーク上の機器へアクセスする際に、前記アドレス記憶手段に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段として機能させることを特徴とする。

本発明のプログラムは、認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置にアクセスして認証を行うためのパケット転送を行う転送装置に処理を実行させるプログラムにおいて、前記転送装置を、前記無線端末の物理アドレスと前記無線端末の位置情報とを対応付けて記憶する位置アドレス記憶手段と、前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得する位置情報取得手段と、前記位置情報取得手段により取得された位置情報と、前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスとを対応させて前記位置アドレス記憶手段に登録する手段と、認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記位置アドレス記憶手段に記憶されている物理アドレスと位置情報に基づいてアクセス可否を判定する判定手段として機能させることを特徴とする。

本発明のプログラムは、認証装置とネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置にアクセスして認証を行うためのパケット転送を行う転送装置に処理を実行させるプログラムにおいて、前記転送装置を、前記無線端末の物理アドレスとＩＰアドレスとを対応付けて記憶するアドレス記憶手段と、前記無線端末の物理アドレスと位置情報とを対応付けて記憶する位置アドレス記憶手段と、前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスを前記アドレス記憶手段に登録する手段と、前記無線端末に対して付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記アドレス記憶手段に記憶されている物理アドレスとを比較して検査するアドレス検査手段と、前記アドレス検査手段により正当性が確認されたＩＰアドレスを該当物理アドレスに対応させて前記アドレス記憶手段に登録する手段と、前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得する位置情報取得手段と、前記位置情報取得手段により取得された位置情報と、前記無線端末の物理アドレスとを前記位置アドレス記憶手段に対応させて登録する手段と、認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記位置アドレス記憶手段に記憶されている物理アドレスと位置情報との対応状況、および／または前記アドレス記憶手段に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段として機能させることを特徴とする。

本発明では、無線端末から認証装置にアクセスする際の認証情報に含まれる無線端末の物理アドレスを転送装置に登録しておき、無線端末に付与されたＩＰアドレスの正当性を、転送装置が、無線端末から受信された物理アドレスと予め記憶しておいた物理アドレスとを比較して検査する。そして、正当性が確認されたＩＰアドレスを物理アドレスに対応させて登録する。認証後、無線端末からネットワーク上の機器へアクセスする際に、転送装置は、記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する。つまり、無線端末から自動的に送信される物理アドレスとＩＰアドレス、および／または物理アドレスと位置情報といった異なる階層で取得した情報の組み合わせてアクセス可否判定を行う。これにより、ユーザは、ネットワークにアクセスするたびにユーザＩＤおよびパスワードなどのユーザ認証情報の入力が不要になる。

以上説明したように本発明によれば、ユーザの手間が少なく通信の健全性をチェックすることができる。

以下、本発明の実施の形態を図面を参照して詳細に説明する。
図１は本発明に係る第１実施形態の無線ＬＡＮ通信システムの構成を示す図、図２は図１の無線ＬＡＮ通信システムのＡＰに設定されているＭＡＣアドレス−ＩＰアドレス管理テーブルを示す図、図３は図１の無線ＬＡＮ通信システムのＡＰに設定されているＭＡＣアドレス−位置情報管理テーブルを示す図である。

図１に示すように、この第１実施形態の無線ＬＡＮ通信システムは、転送装置の１つとしてのアクセスポイント４（以下ＡＰ４と称す）と無線端末の１つとしての端末５からなる無線ＬＡＮネットワークと、ＡＰ４、認証サーバ２およびその他の機器（ＤＨＣＰサーバ３など）を接続したＬＡＮ１などの有線ネットワークとから構成されている。

ＡＰ４は、有線側の通信機能であるＥｔｈｅｒｎｅｔ Ｉ/Ｆ４１、ＩＰアドレスチェック機能４２、位置チェック機能４３、認証機能であるＡｕｔｈｅｎｔｉｃａｔｏｒ機能４４、転送機能４５、アンテナ４６、無線側の通信機能である無線ＬＡＮ Ｉ／Ｆ４７などを有している。このＡＰ４は、認証サーバ２にＬＡＮ１を介して接続されており、端末５が無線通信によりＬＡＮ１上の認証サーバ２およびＤＨＣＰサーバ３にアクセスするためのものである。Ｅｔｈｅｒｎｅｔは、登録商標である。

ＡＰ４の各機能は、ＣＰＵ、メモリ、通信用チップなどのハードウェアと、ファームウェアまたはオペレーティングシステムなどのソフトウェアが協動して実現する。
なお、ＩＰアドレスチェック機能４２、位置チェック機能４３、アンテナ４６などは、必要に応じてその機能を用いるものであり、すべての構成が必須とは限らない。ＡＰ４に上記の中の一部の機能が備えられている場合は、以降で述べる個別の機能のうち、関係する機能のみ実現できることになる。

ＩＰアドレスチェック機能４２は、メモリに設けられたアドレス記憶手段としてのＭＡＣアドレス−ＩＰアドレス管理テーブル２０（図２参照）と、このＭＡＣアドレス−ＩＰアドレス管理テーブル２０に基づいてＩＰアドレスとＭＡＣアドレスとの対応関係を管理及びチェックするチェック機能とからなる。
ＩＰアドレスチェック機能４２は、端末５から認証サーバ２にアクセスする際の認証情報に含まれる端末５のＭＡＣアドレスをＭＡＣアドレス−ＩＰアドレス管理テーブル２０に登録する手段として機能する。ＩＰアドレスチェック機能４２は、端末５に付与されたＩＰアドレスの正当性（矛盾がないかどうか）を、端末５から受信されたＭＡＣアドレスとＭＡＣアドレス−ＩＰアドレス管理テーブル２０に記憶されているＭＡＣアドレスとを比較して検査するアドレス検査手段として機能する。
ＩＰアドレスチェック機能４２は、ＭＡＣアドレスの検査により正当性が確認されたＩＰアドレスをＭＡＣアドレス−ＩＰアドレス管理テーブル２０の該当ＭＡＣアドレスに対応させて登録する手段としての機能する。
ＩＰアドレスチェック機能４２は、認証後、端末５からＬＡＮ１上の機器（ＤＨＣＰサーバ３やその他の機器へ）へアクセスする際に、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０に記憶されているＭＡＣアドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段として機能する。ＭＡＣアドレスとＩＰアドレスとの対応状況とは、互いのアドレスが対応しているか、ＭＡＣアドレスしか登録されていないか、などといったことである。

図２に示すように、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０は、例えば端末のＭＡＣアドレス（00:00:03:00:00:01）に対して、ＩＰアドレス（192.168.10.1）を対応させ、ＭＡＣアドレス（00:00:03:00:00:02）に対して、ＩＰアドレス（192.168.10.2）を対応させ、ＭＡＣアドレス（00:00:03:00:00:03）に対して、ＩＰアドレス（192.168.10.3）を対応させる、というように、個々の端末のＭＡＣアドレスとＩＰアドレスとの対応を保持するＭＡＣアドレス／ＩＰアドレス対応関係記憶部である。

つまり、ＩＰアドレスチェック機能４２は、メモリに登録されたＭＡＣアドレスとＩＰアドレスとの対（組）を保持し、以後、ＭＡＣアドレスとＩＰアドレスの対（組）が一致しているか否かにより通信の正当性を検査する機能を有している。

位置チェック機能４３は、メモリに設けられた位置アドレス記憶手段としてのＭＡＣアドレス−位置情報管理テーブル３０（図３参照）と、このＭＡＣアドレス−位置情報管理テーブル３０に基づいて通信中の端末５の位置情報とＭＡＣアドレスとの対応関係を管理及びチェックするチェック機能とからなる。
位置チェック機能４３は、位置情報取得手段により取得された位置情報と、端末５から認証サーバ２にアクセスする際に受信された認証情報に含まれる端末５のＭＡＣアドレスとを対応させてＭＡＣアドレス−位置情報管理テーブル３０に登録する手段として機能する。
位置チェック機能４３は、認証後、端末５がＬＡＮ１上の機器にアクセスする際に、ＭＡＣアドレス−位置情報管理テーブル３０に記憶されているＭＡＣアドレスと、取得した位置情報に基づいてアクセス可否を判定する判定手段として機能する。

図３に示すように、ＭＡＣアドレス−位置情報管理テーブル３０は、例えばＭＡＣアドレス（00:00:03:00:00）に対して、位置情報（Ｘ座標（ｘｘｘｘ）、Ｙ座標（ｙｙｙｙ））を対応させる、というように、端末のＭＡＣアドレスと位置情報との対応を保持するＭＡＣアドレス／位置情報対応関係記憶部である。

つまり、位置チェック機能４３は、メモリに登録されたＭＡＣアドレスと端末５の位置情報との対（組）をテーブルの形態で保持し、以後、ＭＡＣアドレスと端末５の位置情報の対（組）が一致しているか否かにより通信の正当性を検査する機能である。

転送機能４５は、一方の通信インタフェースで受信した通信パケットを他方の通信インタフェースから送信する機能であり、通信パケットの転送処理の際に通信パケットよりＭＡＣアドレス、ＩＰアドレス、位置情報などを取得し、ＩＰアドレスチェック機能４２および位置チェック機能４３へ通知し、それぞれのテーブルに登録する。
転送機能４５は、転送機能として、複数の転送による通信パケットの重複転送を回避するための手順や、ループを回避するための手順などを含む機能を持つものもあるが、本発明では、その点についてはいずれの機能を用いてもよい。

Ａｕｔｈｅｎｔｉｃａｔｏｒ機能４４は、ＩＥＥＥ８０２．１Ｘ認証やＩＥＥＥ８０２．１１ｉ、Ｗｉ−Ｆｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ（ＷＰＡ）などのセキュリティ目的の認証機能の構成要素であり、ＬＡＮ１上で自身に接続してくる端末５を暗号技術に基づくユーザの秘密情報で認証する機能である。

図１に示した第１実施形態の無線ＬＡＮ通信システムおよび図８に示す第２実施形態の無線ＬＡＮ通信システムでは、認証手順としてＩＥＥＥ８０２．１Ｘ、および、それに準ずる認証手順を想定しており、認証は、端末５のＳｕｐｐｌｉｃａｎｔ機能５２、ＡＰ４のＡｕｔｈｅｎｔｉｃａｔｏｒ機能４４、認証サーバ２の３者のハンドシェイクで実施される。

この場合、認証手順の最後に、認証サーバ２からＡＰ４のＡｕｔｈｅｎｔｉｃａｔｏｒ機能４４に承諾メッセージが受信されることで、Ａｕｔｈｅｎｔｉｃａｔｏｒ機能４４は、端末５の接続要求を受け入れ、端末５との通信を開始する。

Ａｕｔｈｅｎｔｉｃａｔｏｒ機能４４における認証方法は、上述の認証手順に限定したものではなく、端末５と同様の端末の認証に関して最終的な認証結果に基づいて接続の受け入れを行なえばよい。

このＡＰ４には、上記ユーザ認証処理による端末の接続の可否判定機能に加え、ＡＰ４のメモリにはＭＡＣアドレス−ＩＰアドレス管理テーブル２０およびＭＡＣアドレス−位置情報管理テーブル３０などのアドレス管理用のテーブルが設けられており、それぞれのテーブルに対して、ＩＰアドレスチェック機能４２または位置チェック機能４３が、転送される通信パケットから得られるＭＡＣアドレス、ＩＰアドレスおよび位置情報の登録と管理を行なう。

アンテナ４６は、例えば複数の無指向性アンテナをアレイ状に並べたスマートアンテナなどが用いられており、それぞれの無指向性アンテナに入る信号を処理することで、到来波の方向を推定し、通信中の端末の位置情報を得ることができる。信号処理には、既知の例えばＭＵＳＩＣ（Ｍｕｌｔｉｐｌｅ Ｓｉｇｎａｌ Ｃｌａｓｓｉｆｉｃａｔｉｏｎ）法，またはＥＳＰＲＩＴ（Ｅｓｔｉｍａｔｉｏｎ ｏｆ Ｓｉｇｎａｌ Ｐａｒａｍｅｔｅｒｓ ｖｉａ Ｒｏｔａｔｉｏｎａｌ Ｉｎｖａｒｉａｎｃｅ Ｔｅｃｈｎｉｑｕｓ）法などの到来波推定技術が利用されている。アンテナ４６および無線ＬＡＮ Ｉ／Ｆ４７は、端末５から受信される電波の到来方向より端末５の位置情報を取得する位置情報取得手段として機能する。

端末５は、無線ＬＡＮ Ｉ／Ｆ５１とＳｕｐｐｌｉｃａｎｔ機能５２とを備えている。無線ＬＡＮ Ｉ／Ｆ５１は、無線ＬＡＮを介してＩＰで通信を行なう装置である。Ｓｕｐｐｌｉｃａｎｔ機能５２は、認証サーバ２、ＡＰ４のＡｕｔｈｅｎｔｉｃａｔｏｒ機能４４とのユーザ認証を実施する。

端末５の具体例としては、例えばコンピュータ（ＰＣ）やＰｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ（ＰＤＡ）などが一般的である。ＰＤＡは、個人用の携帯情報端末であり、手のひらに収まるくらいの大きさの電子機器であり、ＰＣのもつ機能のうちいくつかを実装したものをいう。ＰＤＡは、液晶表示装置や外部との接続端子を搭載し、電池や専用バッテリなどで駆動する。端末５は、特に用途や機能には制限はない。
以後、端末５の無線ＬＡＮ Ｉ／Ｆ５１のＭＡＣアドレスを、仮に00:00:39:01:02:03 として説明する。

認証サーバ２は、ＡＰ４のＡｕｔｈｅｎｔｉｃａｔｏｒ機能４４、端末５のＳｕｐｐｌｉｃａｎｔ機能５２とで、端末５のユーザ認証を実施する認証サーバ２である。認証サーバ２としては、例えばＲＡＤＩＵＳサーバなどが用いられているが、認証機能を備えるサーバであれば、他のサーバであっても良い。

ＤＨＣＰサーバ３は、アドレス付与の要求（ＤＨＣＰ ｒｅｑｕｅｓｔ）を送信してきた端末５に対してＩＰアドレスの自動的な割り付け（ＩＰアドレス自動付与）とそれに関係するネットワーク設定情報の通知を行なうＤＨＣＰ機能を持つサーバである。なお、端末５のＩＰアドレスは、端末５のアドレス設定画面からキー入力することでも付与できる。

以下、この無線ＬＡＮ通信システムの動作を説明する。
この無線ＬＡＮ通信システムの動作としては、端末５による無線ＬＡＮ接続時の動作、端末５のＩＰアドレス設定時の動作、端末５のデータ通信中の動作などがあり、それぞれについて説明する。

まず、図４を参照して端末５による無線ＬＡＮ接続時の動作について説明する。図４は端末５による無線ＬＡＮ接続時の動作を示す通信シーケンス図である。
無線ＬＡＮ接続の際には、端末５のＳｕｐｐｌｉｃａｎｔ機能５２、ＡＰ４のＡｕｔｈｅｎｔｉｃａｔｏｒ機能４４、認証サーバ２の間で認証手順を行なう（Ｓ１０１，Ｓ１０２）。
認証手順では、端末５からの送信情報に少なくとも端末５のＭＡＣアドレスが含まれて送信され、それがＡＰ４を通じて認証サーバ２へ転送される。

そして、３者間での認証が成功すると（Ｓ１０３）、Ａｕｔｈｅｎｔｉｃａｔｏｒ機能４４は、認証時に端末５より取得した端末５の物理アドレスであるＭＡＣアドレスをＩＰアドレスチェック機能４２と位置チェック機能４３へ通知する（Ｓ１０４）。
そして、Ａｕｔｈｅｎｔｉｃａｔｏｒ機能４４とＳｕｐｐｌｉｃａｎｔ機能５２との間で鍵交換手順を行ない（Ｓ１０５）、暗号鍵を生成する。その後、端末５の無線ＬＡＮ Ｉ／Ｆ５１とＡＰ４のアンテナ４６間で暗号通信が開始される（Ｓ１０６）。

つまり、Ａｕｔｈｅｎｔｉｃａｔｏｒ機能４４は、認証成功と鍵交換手順の間に、転送機能４５により転送される通信パケットから端末５のＭＡＣアドレスを取り出して（抽出して）、ＩＰアドレスチェック機能４２と位置チェック機能４３へ通知する。

ＭＡＣアドレスの通知には、当該端末５のＭＡＣアドレスである00:00:39:01:02:03 が含まれる。なお、ＡＰ４の機能構成上、ＩＰアドレスチェック機能４２および位置チェック機能４３のうちいずれかがＡＰ４に備えられていない場合、Ａｕｔｈｅｎｔｉｃａｔｏｒ機能４４は、含まれている機能だけへＭＡＣアドレスを通知する。

Ａｕｔｈｅｎｔｉｃａｔｏｒ機能４４からＩＰアドレスチェック機能４２にＭＡＣアドレスが通知された時点では、そのＭＡＣアドレスに対応するＩＰアドレスの情報は、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０に保持されていないため、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０の情報としては、ＭＡＣアドレスの欄のみに00:00:39:01:02:03というＭＡＣアドレスが入る状態となり、対応するＩＰアドレスが通知されるまでＭＡＣアドレス−ＩＰアドレス管理テーブル２０のＩＰアドレスの欄は空欄のままとなる。

位置チェック機能４３も同様に、ＭＡＣアドレスの通知を受けると、ＭＡＣアドレスと位置情報の対応関係を保持するＭＡＣアドレス−位置情報管理テーブル３０に登録するが、この時点では、当該ＭＡＣアドレスの端末５の位置情報が受信されていないため、ＭＡＣアドレスの欄のみに00:00:39:01:02:03というＭＡＣアドレスが入る状態となり、位置情報の欄は空欄のままとなる。

続いて、図５を参照して端末５のＩＰアドレス設定時の動作について説明する。図５はＤＨＣＰを用いた場合のＩＰアドレス登録動作を示す通信シーケンス図である。
ＬＡＮ１上のＤＨＣＰ機能を利用して端末５のＩＰアドレスを設定する場合、端末５は、ＬＡＮ１上にＤＨＣＰ機能が存在するかどうかを確かめるための要求（ＤＨＣＰ ｄｉｓｃｏｖｅｒ）を、ＡＰ４を通じてＬＡＮ１上のＤＨＣＰサーバ３へ送信する（Ｓ２０１，Ｓ２０２）。

ＤＨＣＰサーバ３は、端末５からの要求（ＤＨＣＰ ｄｉｓｃｏｖｅｒ）が受信されると、要求元の端末５に対して、ＤＨＣＰ機能が存在する旨を申し出るための通知（ＤＨＣＰ ｏｆｆｅｒ）を返信する（Ｓ２０３，Ｓ２０４）。

ＤＨＣＰサーバ３からの通知（ＤＨＣＰ ｏｆｆｅｒ）を受信した端末５は、ＩＰアドレス設定要求（ＤＨＣＰ ｒｅｑｕｅｓｔ）を、ＡＰ４を通じてＬＡＮ１上のＤＨＣＰサーバ３へ送信する（Ｓ２０５，Ｓ２０６）。

ＤＨＣＰサーバ３は、端末５からのＩＰアドレス設定要求（ＤＨＣＰ ｒｅｑｕｅｓｔ）が受信されると、ＤＨＣＰ機能により、自身が保有するＩＰアドレスの中から現在使用されていないＩＰアドレスを端末５用として動的に割り当て、そのメッセージ（ＤＨＣＰ ａｃｋ）を端末５へ返信する（Ｓ２０７，Ｓ２０８）。

このようにして端末５は、ＡＰ４を中継したＤＨＣＰの手順を経てＬＡＮ１上のＤＨＣＰサーバ３によって付与されたＩＰアドレスと、それに関連するネットワーク設定の通知をＡＰ４を通じて受ける。

この際、ＡＰ４では、転送機能４５が、ＤＨＣＰの最後のメッセージＤＨＣＰ ａｃｋを端末５へ転送した後、当該端末５に関するＩＰアドレス登録メッセージを、ＩＰアドレスチェック機能４２に通知する（Ｓ２０９）。

ＩＰアドレス登録メッセージには、端末５のＭＡＣアドレスと端末５に付与されたＩＰアドレスが含まれる。
ＤＨＣＰサーバ３によって付与されたＩＰアドレスが例えば192.169.0.1 とすると、ＩＰアドレス登録メッセージには、ＭＡＣアドレスとして 00:00:39:01:02:03、ＩＰアドレスとして 192.169.0.1か含まれることになる。

ここで、図６を参照してアドレス解決プロトコル（以下ＡＲＰと称す）を使用する場合のＩＰアドレス登録動作について説明する。図６はＡＲＰを使用する場合のＩＰアドレス登録動作を示す通信シーケンス図である。
上記ＩＰアドレス設定動作によってＩＰアドレスが端末５に設定されたときに、端末５は、ＡＲＰリクエストを送信する（Ｓ３０１）。このときＡＰ４の転送機能４５は、端末５から受信したＡＲＰリクエストをＬＡＮ１へ転送した後、当該端末５に関するＩＰアドレス登録メッセージをＩＰアドレスチェック機能４２に通知する（Ｓ３０２）。なお、ＩＰアドレスの登録動作としては、ＤＨＣＰを使用した場合とＡＲＰを使用した場合のどちらか一方でも、また両方を行なっても構わない。

ＩＰアドレス登録メッセージを受け取ったＩＰアドレスチェック機能４２は、メッセージに含まれる端末５のＩＰアドレスとＭＡＣアドレス−ＩＰアドレス管理テーブル２０内の情報とを比較して矛盾がないことを確認した後、当該端末５のＭＡＣアドレスに対応させて、メッセージに含まれていたＩＰアドレスを登録する。なお、矛盾とは、当該ＩＰアドレスは、既に異なるＭＡＣアドレスに対応付けられていることを指す。さらに、管理者の設定により、当該ＭＡＣアドレスには、既に異なるＩＰアドレスが対応付けられていることを矛盾と判定しても差し支えない。これは、一つの端末に複数のＩＰアドレスの設定を許さないことを意味している。

このＩＰアドレス登録動作によって、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０の、ＭＡＣアドレス00:00:39:01:02:03についてＩＰアドレス192.169.0.1が登録されて対応付けられる。
また、一つの端末５に複数のＩＰアドレスの設定が許されているような管理者設定の場合は、１つのＭＡＣアドレス00:00:39:01:02:03について、複数のＩＰアドレス（第１ＩＰアドレス192.169.0.1,第２ＩＰアドレス192.169.0.101のように対応付けられる。

ＭＡＣアドレス−ＩＰアドレス管理テーブル２０の、ＭＡＣアドレスとＩＰアドレスの対応は、当該ＭＡＣアドレスの端末５が無線ＬＡＮ接続を解消するときに破棄される。

次に、図７を参照して端末５のデータ通信中の動作について説明する。図７は通信パケットの転送処理を示す通信シーケンス図である。
図７に示すように、端末５より無線のｄａｔａ ｆｒａｍｅが送信され（Ｓ４０１）、それがＡＰ４のアンテナ４６および無線ＬＡＮ Ｉ／Ｆ４７によって受信されると、転送機能４５によって、受信されたｄａｔａ ｆｒａｍｅがＥｔｈｅｒｎｅｔ Ｉ／Ｆ４１よりＬＡＮ１へ転送される。

このように通信パケットを転送しているときに、転送機能４５は、無線ＬＡＮ Ｉ／Ｆ４７により受信されたｄａｔａ ｆｒａｍｅについて、アンテナ４６が把握した送信元端末の位置の正当性を確認するために、位置チェック機能４３に対して位置検査情報を送る（Ｓ４０２）。位置検査情報には、検査対象の端末である端末５のＭＡＣアドレス、検査対象の端末５の位置情報が含まれる。端末５のＭＡＣアドレスは、Ｄａｔａ ｆｒａｍｅに含まれるヘッダ情報から転送機能４５が取得する。端末５の位置情報は、アンテナ４６の到来波推定の機能により転送機能４５が取得する。
到来波推定の手法については、上述した既知の技術（ＭＵＳＩＣ法またはＥＳＰＲＩＴ法など）のうちいずれかでよいが、位置情報が何らかの方法で数値化されている必要はある。

位置検査情報を受けとった位置チェック機能４３は、ＭＡＣアドレス−位置情報管理テーブル３０の当該ＭＡＣアドレスの位置情報の欄が空欄ならば、当該位置情報をＭＡＣアドレス−位置情報管理テーブル３０に登録する。

ＭＡＣアドレス−位置情報管理テーブル３０の当該ＭＡＣアドレスの位置情報が存在、つまり保持されている場合、位置チェック機能４３は、位置情報に矛盾がないかを検査する（Ｓ４０３）。

位置情報の矛盾の検査の方法は、管理者によって設定されており、例えば端末５が移動しないことを運用の前提とした場合、位置チェック機能４３は、位置情報が変化した場合に矛盾と判定する。

端末５が少々の移動を前提とした場合、位置チェック機能４３は、ＭＡＣアドレス−位置情報管理テーブル３０内の位置情報と位置検査情報の位置情報との差分が予め自身に設定された閾値以上である場合に矛盾と判定する。

また、端末５が一定速度での移動を前提とした場合、位置チェック機能４３は、ＭＡＣアドレス−位置情報管理テーブル３０内の位置情報を位置検査情報の位置情報で毎回更新しながら、ＭＡＣアドレス−位置情報管理テーブル３０の位置情報と位置検査情報の位置情報との差分を検査し、差分が自身に予め設定されていた閾値以上である場合に矛盾と判定する、などの判定方法があり、これらを組み合わせてもよい。

検査後に、位置チェック機能４３は、位置検査結果として、ＭＡＣアドレス、検査のＯＫ／ＮＧを返答する（Ｓ４０４）。
位置検査結果がＯＫ、または位置チェック機能４３がない場合、ｄａｔａ ｆｒａｍｅは、転送機能４５に渡される（Ｓ４０５）。

転送機能４５は、位置検査結果がＯＫの場合、ＩＰアドレス検査情報をＩＰアドレスチェック機能４２に渡す（Ｓ４０６）。ＩＰアドレス検査情報には、当該ｄａｔａ ｆｒａｍｅに含まれる送信元である端末５のＭＡＣアドレス、ＩＰアドレスが含まれている。

ＩＰアドレス検査情報を受け取ったＩＰアドレスチェック機能４２は、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０から当該ＭＡＣアドレスのＩＰアドレスを把握し、ＩＰアドレスの検査処理を行う（Ｓ４０７）。

この検査処理では、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０から得た当該ＩＰアドレスが空欄であり、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０から得た当該ＩＰアドレスに、ＩＰアドレス検査情報内の当該ＩＰアドレスが含まれない場合に矛盾と判定する。
ＩＰアドレス検査処理を終えたＩＰアドレスチェック機能４２は、検査結果を返答する（Ｓ４０８）。

次に、図８、図９を参照してＩＰアドレスチェック機能４２または位置チェック機能４３が検査処理した結果、ＮＧと判定した場合について説明する。図８は位置チェック機能４３が位置検査でＮＧと判定した場合の通信シーケンス図、図９はＩＰアドレスチェック機能４２がＩＰアドレス検査処理でＮＧと判定した場合の通信シーケンス図である。

図８に示すように、端末５より送信されたｄａｔａｆｒａｍｅがＡＰ４のアンテナ４６および無線ＬＡＮ Ｉ／Ｆ４７に受信されると（Ｓ５０１）、位置検査情報を位置チェック機能４３に渡す（Ｓ５０２）。位置検査情報には、検査対象の端末である端末５のＭＡＣアドレス、検査対象の端末５の位置情報が含まれる。

位置チェック機能４３は、位置検査情報を基に位置検査処理を実行し（Ｓ５０３）、検査結果としてＮＧを含めて無線ＬＡＮ Ｉ／Ｆ４７に応答する（Ｓ５０４）。
ＮＧの検査結果を受け取った無線ＬＡＮ Ｉ／Ｆ４７は、当該ｄａｔａ ｆｒａｍｅを破棄する、または当該端末５との接続を解消する、の両方または一方の動作を行う（Ｓ５０５）。

図９に示すように、端末５より無線のｄａｔａ ｆｒａｍｅが送信され（Ｓ６０１）、それがＡＰ４のアンテナ４６および無線ＬＡＮ Ｉ／Ｆ４７によって受信されると、転送機能４５によって、受信されたｄａｔａ ｆｒａｍｅがＥｔｈｅｒｎｅｔ Ｉ／Ｆ４１よりＬＡＮ１へ転送される。

このように通信パケットを転送しているときに、転送機能４５は、無線ＬＡＮ Ｉ／Ｆ４７により受信されたｄａｔａ ｆｒａｍｅについて、アンテナ４６が把握した送信元端末の位置の正当性を確認するために、位置チェック機能４３に対して位置検査情報を送る（Ｓ６０２）。位置検査情報には、検査対象の端末である端末５のＭＡＣアドレス、検査対象の端末５の位置情報が含まれる。端末５のＭＡＣアドレスは、Ｄａｔａ ｆｒａｍｅに含まれるヘッダ情報から転送機能４５が取得する。端末５の位置情報は、アンテナ４６の到来波推定の機能により転送機能４５が取得する。

位置検査情報を受けとった位置チェック機能４３は、ＭＡＣアドレス−位置情報管理テーブル３０の当該ＭＡＣアドレスの位置情報の欄が空欄ならば、当該位置情報をＭＡＣアドレス−位置情報管理テーブル３０に登録する。

ＭＡＣアドレス−位置情報管理テーブル３０の当該ＭＡＣアドレスの位置情報が存在、つまり保持されている場合、位置チェック機能４３は、位置情報に矛盾がないかを検査する（Ｓ６０３）。位置情報の矛盾の検査の方法については、図７の説明で示しており、ここでの説明は省略する。

検査後に、位置チェック機能４３は、位置検査結果として、ＭＡＣアドレス、検査のＯＫ／ＮＧを返答する（Ｓ６０４）。
位置検査結果がＯＫ、または位置チェック機能４３がない場合、ｄａｔａ ｆｒａｍｅは、転送機能４５に渡される（Ｓ６０５）。

転送機能４５は、位置検査結果がＯＫの場合、ＩＰアドレス検査情報をＩＰアドレスチェック機能４２に渡す（Ｓ６０６）。ＩＰアドレス検査情報には、当該ｄａｔａ ｆｒａｍｅに含まれる送信元である端末５のＭＡＣアドレス、ＩＰアドレスが含まれている。

ＩＰアドレス検査情報を受け取ったＩＰアドレスチェック機能４２は、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０から当該ＭＡＣアドレスのＩＰアドレスを把握し、ＩＰアドレスの検査処理を行う（Ｓ６０７）。
この検査処理では、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０から得た当該ＩＰアドレスが空欄であり、ＭＡＣアドレス−ＩＰアドレス管理テーブル２０から得た当該ＩＰアドレスに、ＩＰアドレス検査情報内の当該ＩＰアドレスが含まれない場合に矛盾と判定する。

この場合、ＩＰアドレス検査処理を終えたＩＰアドレスチェック機能４２は、検査結果としてＮＧを転送機能４５に返答する（Ｓ６０８）。
そして、ＮＧの検査結果を受けとった転送機能４５は、当該ｄａｔａ ｆｒａｍｅ破棄する、またはＩＰアドレスチェック機能４２は、無線ＬＡＮ Ｉ／Ｆ４７に対して、当該端末５との接続を解消するための切断指示（当該端末５のＭＡＣアドレスを含む）を送る、の両方または一方の動作を行う（Ｓ６０９）。

このようにこの第１実施形態の無線ＬＡＮ通信システムによれば、ユーザ認証と転送の機能を持ったＡＰ４が、ユーザ認証時に得た信頼できる端末識別子（ＭＡＣアドレス）を保持しておき、これを基に端末５の位置情報、上位プロトコルレイヤの端末識別子（ＩＰアドレス）の少なくとも１つを検査することで、ユーザ認証のためのユーザＩＤ、パスワードなどの入力が不要になり、ユーザの手間が少なく通信の健全性をチェックできる。
また、ＯＳＩ参照モデルのリンク層のＩＥＥＥ ８０２．１Ｘユーザ認証で確認することで、ＡＲＰの整合性、ＩＰヘッダとＭＡＣヘッダの整合性、アンテナ４６から得られる位置情報とＭＡＣヘッダの整合性によって、通信の健全性をチェックすることができる。
すなわち、この無線ＬＡＮ通信システムでは、ユーザの手間が少なく通信の健全性をチェックできると共に、ＩＰアドレスの詐称によるネットワークへの不正アクセスを防止し、安全な通信を行うことができる。

なお、本発明は上記実施形態のみに限定されるものではない。
上記第１実施形態では、無線ＬＡＮ通信システムのＡＰ４に主な機能を持たせたが、図１０に示すように、ＬＡＮ１に接続したスイッチングハブ６にＬＡＮ１ａを介してＡＰ４ａを接続すると共に，ＬＡＮ１ｂを介してＡＰ４ｂを接続するような無線ＬＡＮ通信システム（第２実施形態）において、スイッチングハブ６に有線側の通信機能であるＥｔｈｅｒｎｅｔ Ｉ/Ｆ６１、ＩＰアドレスチェック機能４２、位置チェック機能４３、認証機能であるＡｕｔｈｅｎｔｉｃａｔｏｒ機能４４、転送機能４５、個々のＡＰとの通信機能であるＥｔｈｅｒｎｅｔ Ｉ/Ｆ６２などを設け、スイッチングハブ６において上記第１実施形態と同様の動作を行っても良い。

検査対象の端末５の位置情報について、第１実施形態のように検査対象端末が無線端末の場合は、到来波推定が活用できるが、この第２実施形態では、スイッチングハブ６が位置を検査する対象の端末はＡＰ４ａ，４ｂなどの有線で接続された端末の先にあるものである。

この場合、スイッチングハブ６に設けられている複数のＥｔｈｅｒｎｅｔ Ｉ／Ｆ６２のうち、通信パケットをどのＥｔｈｅｒｎｅｔ Ｉ／Ｆ６２で受信したかという情報で位置情報を代用し、どのＥｔｈｅｒｎｅｔ Ｉ／Ｆ６２かで端末の位置を特定する。

本発明にかかる第１実施形態の無線ＬＡＮ通信システムの構成を示す図。 図１の無線ＬＡＮ通信システムにおいて、ＡＰに記憶されているＭＡＣアドレス−ＩＰアドレス管理テーブルを示す図。 図１の無線ＬＡＮ通信システムにおいて、ＡＰに記憶されているＭＡＣアドレス−位置情報管理テーブルを示す図。 端末５による無線ＬＡＮ接続時の動作を示す通信シーケンス図。 ＤＨＣＰを用いた場合のＩＰアドレス登録動作を示す通信シーケンス図。 ＡＲＰを使用する場合のＩＰアドレス登録動作を示す通信シーケンス図。 通信パケットの転送処理を示す通信シーケンス図。 位置検査でＮＧと判定した場合の通信シーケンス図。 ＩＰアドレス検査処理でＮＧと判定した場合の通信シーケンス図。 本発明にかかる第２実施形態の無線ＬＡＮ通信システムの構成を示す図。

符号の説明

１…ＬＡＮ、２…認証サーバ、３…ＤＨＣＰサーバ、４…アクセスポイント（ＡＰ）、５…端末、６…スイッチングハブ、４１，６１，６２…Ｅｔｈｅｒｎｅｔ Ｉ／Ｆ、４２…ＩＰアドレスチェック機能、４３…位置チェック機能、４４…Ａｕｔｈｅｎｔｉｃａｔｏｒ機能、４６…アンテナ、４５…転送機能、５１…無線ＬＡＮ Ｉ/Ｆ、５２…Ｓｕｐｐｌｉｃａｎｔ機能。

Claims (9)

1. 認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置およびその他の機器にアクセスするための転送装置において、
   前記無線端末の物理アドレスとＩＰアドレスとを対応付けて記憶するアドレス記憶手段と、
   前記無線端末から前記認証装置にアクセスする際の認証情報に含まれる前記無線端末の物理アドレスを前記アドレス記憶手段に登録する手段と、
   前記無線端末に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記アドレス記憶手段に記憶されている物理アドレスとを比較して検査するアドレス検査手段と、
   前記アドレス検査手段により正当性が確認されたＩＰアドレスを前記アドレス記憶手段の該当物理アドレスに対応させて登録する手段と、
   認証後、前記無線端末から前記ネットワーク上の機器へアクセスする際に、前記アドレス記憶手段に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段と
   を具備したことを特徴とする転送装置。
2. 認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置およびその他の機器にアクセスするための転送装置において、
   前記無線端末の物理アドレスと前記無線端末の位置情報とを対応付けて記憶する位置アドレス記憶手段と、
   前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得する位置情報取得手段と、
   前記位置情報取得手段により取得された位置情報と、前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスとを対応させて前記位置アドレス記憶手段に登録する手段と、
   認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記位置アドレス記憶手段に記憶されている物理アドレスと位置情報に基づいてアクセス可否を判定する判定手段と
   を具備したことを特徴とする転送装置。
3. 認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置およびその他の機器にアクセスするための転送装置において、
   前記無線端末の物理アドレスとＩＰアドレスとを対応付けて記憶するアドレス記憶手段と、
   前記無線端末の物理アドレスと位置情報とを対応付けて記憶する位置アドレス記憶手段と、
   前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスを前記アドレス記憶手段に登録する手段と、
   前記無線端末に対して前記ＩＰアドレス付与装置に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記アドレス記憶手段に記憶されている物理アドレスとを比較して検査するアドレス検査手段と、
   前記アドレス検査手段により正当性が確認されたＩＰアドレスを該当物理アドレスに対応させて前記アドレス記憶手段に登録する手段と、
   前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得する位置情報取得手段と、
   前記位置情報取得手段により取得された位置情報と、前記無線端末の物理アドレスとを前記位置アドレス記憶手段に対応させて登録する手段と、
   認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記位置アドレス記憶手段に記憶されている物理アドレスと位置情報との対応状況、および／または前記アドレス記憶手段に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段と
   を具備したことを特徴とする転送装置。
4. 無線端末が転送装置を介してネットワークに接続された認証装置とその他の機器にアクセスする際のアクセス可否判定方法において、
   前記無線端末から前記認証装置にアクセスする際の認証情報に含まれる前記無線端末の物理アドレスを前記転送装置に登録するステップと、
   前記無線端末に対して前記ＩＰアドレス付与装置に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記転送装置に記憶されている物理アドレスと比較して検査するステップと、
   検査により正当性が確認されたＩＰアドレスを該当物理アドレスに対応させて前記転送装置に登録するステップと、
   認証後、前記無線端末から前記ネットワーク上の機器へアクセスする際に、前記転送装置に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定するステップと
   を具備したことを特徴とするアクセス可否判定方法。
5. 無線端末が転送装置を介してネットワークに接続された認証装置とその他の機器にアクセスする際のアクセス可否判定方法において、
   前記無線端末から前記転送装置に受信される電波の到来方向より前記無線端末の位置情報を取得するステップと、
   取得された位置情報と前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスとを対応させて前記転送装置に登録するステップと、
   認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記転送装置に記憶されている物理アドレスと位置情報に基づいてアクセス可否を判定するステップと
   を有することを特徴とするアクセス可否判定方法。
6. 無線端末が転送装置を介してネットワークに接続された認証装置とその他の機器にアクセスする際のアクセス可否判定方法において、
   前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスを前記転送装置に登録するステップと、
   前記無線端末に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記転送装置に記憶されている物理アドレスとを比較して検査するステップと、
   検査により正当性が確認されたＩＰアドレスを該当物理アドレスに対応させて前記転送装置に登録するステップと、
   前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得するステップと、
   取得された位置情報と前記無線端末の物理アドレスとを対応させて前記転送装置に登録するステップと、
   認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記転送装置に記憶されている物理アドレスと位置情報との対応状況、および／または物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定するステップと
   を有することを特徴とするアクセス可否判定方法。
7. 認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置にアクセスして認証を行うためのパケット転送を行う転送装置に処理を実行させるプログラムにおいて、
   前記転送装置を、
   前記無線端末の物理アドレスとＩＰアドレスとを対応付けて記憶するアドレス記憶手段と、
   前記無線端末から前記認証装置にアクセスする際の認証情報に含まれる前記無線端末の物理アドレスを前記アドレス記憶手段に登録する手段と、
   前記無線端末に対して前記ＩＰアドレス付与装置に付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記アドレス記憶手段に記憶されている物理アドレスとを比較して検査するアドレス検査手段と、
   前記アドレス検査手段により正当性が確認されたＩＰアドレスを前記アドレス記憶手段の該当物理アドレスに対応させて登録する手段と、
   認証後、前記無線端末から前記ネットワーク上の機器へアクセスする際に、前記アドレス記憶手段に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段
   として機能させることを特徴とするプログラム。
8. 認証装置にネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置にアクセスして認証を行うためのパケット転送を行う転送装置に処理を実行させるプログラムにおいて、
   前記転送装置を、
   前記無線端末の物理アドレスと前記無線端末の位置情報とを対応付けて記憶する位置アドレス記憶手段と、
   前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得する位置情報取得手段と、
   前記位置情報取得手段により取得された位置情報と、前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスとを対応させて前記位置アドレス記憶手段に登録する手段と、
   認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記位置アドレス記憶手段に記憶されている物理アドレスと位置情報に基づいてアクセス可否を判定する判定手段
   として機能させることを特徴とするプログラム。
9. 認証装置とネットワークを介して接続され、無線端末が無線通信により前記ネットワーク上の前記認証装置にアクセスして認証を行うためのパケット転送を行う転送装置に処理を実行させるプログラムにおいて、
   前記転送装置を、
   前記無線端末の物理アドレスとＩＰアドレスとを対応付けて記憶するアドレス記憶手段と、
   前記無線端末の物理アドレスと位置情報とを対応付けて記憶する位置アドレス記憶手段と、
   前記無線端末から前記認証装置にアクセスする際に受信された認証情報に含まれる前記無線端末の物理アドレスを前記アドレス記憶手段に登録する手段と、
   前記無線端末に対して付与されたＩＰアドレスの正当性を、前記無線端末から受信された物理アドレスと前記アドレス記憶手段に記憶されている物理アドレスとを比較して検査するアドレス検査手段と、
   前記アドレス検査手段により正当性が確認されたＩＰアドレスを該当物理アドレスに対応させて前記アドレス記憶手段に登録する手段と、
   前記無線端末から受信される電波の到来方向より前記無線端末の位置情報を取得する位置情報取得手段と、
   前記位置情報取得手段により取得された位置情報と、前記無線端末の物理アドレスとを前記位置アドレス記憶手段に対応させて登録する手段と、
   認証後、前記無線端末から前記ネットワーク上の機器にアクセスする際に、前記位置アドレス記憶手段に記憶されている物理アドレスと位置情報との対応状況、および／または前記アドレス記憶手段に記憶されている物理アドレスとＩＰアドレスとの対応状況に基づいてアクセス可否を判定する判定手段
   として機能させることを特徴とするプログラム。

Images