JP2006526917A

JP2006526917A - 無線ローカルエリアネットワークにおけるユーザアクセス承認方法

Info

Publication number: JP2006526917A
Application number: JP2006508099A
Authority: JP
Inventors: 張文林
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2003-06-06
Filing date: 2004-06-07
Publication date: 2006-11-24
Also published as: CA2523416A1; CN1553656A; RU2005134506A; US20060109826A1; WO2004109980A1; CN1266891C; US20090158442A1; RU2316903C2; EP1633083A4; US8077688B2; EP1633083A1; US7519036B2

Abstract

【解決手段】本発明は、ＷＬＡＮにおけるユーザアクセスの承認方法に関する。この方法は、ＷＬＡＮユーザがＷＬＡＮ実行ネットワークにアクセスする際に、ＷＬＡＮ実行ネットワークがユーザ端末を認証すると同時に、ＷＬＡＮユーザ端末のアクセスに影響し得る承認基準に従って、ＷＬＡＮユーザ端末のアクセスを許可するか否かを判定することを含む。許可する場合には、ＷＬＡＮユーザ端末のアクセス制限を決定し、許可しない場合には、ユーザ端末に失敗情報を知らせる。本発明の方法は、異なるユーザアクセスを異なるアクセス承認基準に従って制御でき、アクセスしたユーザは、異なるアクセス制限によって制限される。このことにより、ＷＬＡＮのアクセス制御能力が強化され、ネットワーク実行効率が改善される。

Description

本発明は、ネットワークにおける認証及び承認技術に関し、特に、無線ローカルエリアネットワーク（ＷＬＡＮ）のオペレーショナル・ネットワークにおけるユーザのアクセス承認のための方法に関する。

無線アクセス速度に対するユーザの要求がますます高くなるにつれて、時代の要請により、小さなエリア内で高速無線データアクセスを提供できる無線ローカルエリアネットワーク（ＷＬＡＮ）が登場している。ＷＬＡＮは様々な技術を組み込んでおり、それらの中で、広く適用されている技術標準はＩＥＥＥ８０２．１１ｂである。ＩＥＥＥ８０２．１１ｂは２．４ＧＨｚの周波数帯を用いており、最高データ伝送速度は１１Ｍｂｐｓになり得る。ＩＥＥＥ８０２．１１ｇ及びＢｌｕｅｔｏｏｔｈ（登録商標）技術もこの周波数帯を用いており、８０２．１１ｇの最高データ伝送速度は５４Ｍｂｐｓである。ＩＥＥＥ８０２．１１ａ及びＥＴＳＩＢＲＡＮＨｉｐｅｒｌａｎ２のような、他の新たな標準は、５ＧＨｚの周波数帯を用いており、最高伝送速度は同じく５４Ｍｂｐｓになり得る。

様々な無線アクセス技術が存在するが、大半のＷＬＡＮは、インターネットプロトコル（ＩＰ）データパケットを送るために用いられる。無線ＩＰネットワークに関しては、用いられる特定のＷＬＡＮアクセス技術は、上の階層のＩＰに対して透過的である。ユーザは、アクセスポイント（ＡＰ）を介して無線ＩＰネットワークにアクセスし、複数のネットワーク制御及び接続装置が接続されてＩＰ伝送ネットワークを構成する。

ＷＬＡＮ技術の成長及び発展に伴い、ＷＬＡＮと様々な無線モバイル通信ネットワークとの間の相互通信が現在の研究対象となっている。この無線モバイル通信ネットワークは、高域モバイル通信システム（ＧＳＭ）、符号分割多重接続（ＣＤＭＡ）システム、広帯域符号分割多重接続（ＷＣＤＭＡ）システム、時分割同期符号分割多重接続（ＴＤ−ＳＣＤＭＡ）システム、及びＣＤＭＡ２０００システムであり得る。第３世代パートナーシップ・プロジェクト（３ＧＰＰ）標準では、ユーザ端末は、ＷＬＡＮアクセスネットワークを介してインターネット又はイントラネットに接続可能であるか、或いは、ＷＬＡＮアクセスネットワークを介して３ＧＰＰシステムのホームネットワーク又は３ＧＰＰシステムの訪問先ネットワークに接続可能である。具体的には、ＷＬＡＮユーザ端末は、ローカルアクセスの際には、ＷＬＡＮアクセスネットワークを介して３ＧＰＰホームネットワークに接続され、ローミングの際には、ＷＬＡＮアクセスネットワークを介して３ＧＰＰ訪問先ネットワークに接続される。図１に示されるように、３ＧＰＰ訪問先ネットワーク内のエンティティ（構成要素）の幾つかは、３ＧＰＰホームネットワーク内の同じ機能を有する対応するエンティティと相互接続される（例えば、３ＧＰＰ訪問先ネットワーク内の３ＧＰＰ認証、承認及びアカウンティング（ＡＡＡ）プロキシと３ＧＰＰホームネットワーク内の３ＧＰＰ認証、承認及びアカウンティング（ＡＡＡ）サーバや、３ＧＰＰ訪問先のネットワーク内のＷＬＡＮアクセスゲートウェイ（ＷＡＧ）と３ＧＰＰホームネットワーク内のパケットデータゲートウェイ（ＰＤＧ）等）。

図１に示されるように、３ＧＰＰシステムは、主に、ホーム加入者サーバ（ＨＳＳ）／ホームロケーションレジスタ（ＨＬＲ）、３ＧＰＰＡＡＡサーバ、３ＧＰＰＡＡＡプロキシ、ＷＡＧ、パケットデータゲートウェイ、オフライン・チャージ・システム及びオンライン・チャージ・システム（ＯＣＳ）で構成される。ＷＬＡＮユーザ端末（ＷＬＡＮＵＥ）、ＷＬＡＮアクセスネットワーク及び３ＧＰＰ−ＷＬＡＮインターワーキング・ネットワークを構成する３ＧＰＰシステムの全てのエンティティ、並びにこの３ＧＰＰ−ＷＬＡＮインターワーキング・ネットワークは、ＷＬＡＮサービスシステムとして理解することができる。３ＧＰＰＡＡＡサーバは、ユーザの認証、承認（権限付与）及びアカウンティング、並びに、ＷＬＡＮアクセスネットワークによって送られるチャージ（課金）情報の収集、及び収集された情報のチャージシステムへの送信を管理する。パケットデータゲートウェイは、ＷＬＡＮアクセスネットワークから３ＧＰＰネットワーク又は他のパケットネットワークへのユーザデータの送信を管理する。チャージシステムは、主に、ネットワークから送られたユーザのチャージ情報を受信して記録する。ＯＣＳシステムは、オンラインでチャージしたユーザの支出に従ったオンライン・チャージ情報を周期的に送るようネットワークをガイドし、適切な統計及び制御オペレーションを行う。

通常条件では、ＷＬＡＮユーザ端末が、３ＧＰＰ−ＷＬＡＮネットワークへのアクセスを所望する場合には、このユーザ端末は、ＷＬＡＮアクセスネットワークを介して、３ＧＰＰ−ＷＬＡＮネットワーク内の対応するアクセス認証ユニットにアクセス要求を送る。通常は３ＧＰＰＡＡＡサーバであるアクセス認証ユニットは、要求の受信後にその要求を認証する。要求が認証されると、このユーザ端末に対して全てのポートが単純に開かれる。しかし、オペレーショナルＷＬＡＮの構成は、図１に示される簡略化されたネットワーク構成よりも遙かに複雑である。ここで、前記オペレーショナルＷＬＡＮとは、ユーザの認証、承認及びアカウンティングを行うのみでなく、例えば、ローカルのホテルや空港内のＬＡＮやＬＡＮゲームのような様々なローカルエリアネットワーク（ＬＡＮ）サービス、異なるサービスを提供可能なＬＡＮへのアクセス、インターネットアクセス、及び、３ＧＰＰパケットネットワークに基づくサービスといった、１種類以上のネットワークアクセス及びネットワークベースのサービスを提供する、操作及び管理可能なＷＬＡＮのことである。

オペレーショナルＷＬＡＮは、複数の異なるＬＡＮに同時にアクセスでき、運用規則が比較的複雑であるので、ユーザのアカウント及びアクセス時間に従って、異なるアクセス規則が設定され得る。従って、認証結果のみに基づく従来のアクセス許可方法では制御不能であり、運用上不都合である。

従って、本発明の主な目的は、異なる制限条件下でＷＬＡＮにアクセスする複数の異なるユーザ端末を制御でき、それによって、ＷＬＡＮのアクセス制御能力を強化できると共に、ネットワークの運用効率を改善できる、ＷＬＡＮにおけるユーザアクセス承認方法の提供である。

上記目的を達成するための本発明の技術的スキームは、以下の通りである。

無線ＬＡＮにおけるユーザアクセス承認方法は、無線ＬＡＮ（ＷＬＡＮ）ユーザ端末がＷＬＡＮオペレーショナル・ネットワークにアクセスする際に、ＷＬＡＮオペレーショナル・ネットワークは、このＷＬＡＮユーザ端末を認証する間に、このＷＬＡＮユーザ端末のアクセスに影響する承認条件に従って、このＷＬＡＮユーザ端末のアクセスを許可するか否かを判定し、許可する場合には、前記承認条件に従ってこのＷＬＡＮユーザ端末のアクセス規則を決定し、許可しない場合には、ＷＬＡＮユーザ端末にアクセス失敗に関する通知を行うことを含む。

この方法は、ユーザ端末のアクセスに対する制限を実施するために、決定されたアクセス規則を、アクセス規則を実施する１つ以上の関連エンティティに送ることを更に含む。

上記スキームにおける、ＷＬＡＮユーザ端末の認証及び承認処理では、ＷＬＡＮユーザ端末がＷＬＡＮオペレーショナル・ネットワークにアクセス要求を送った後、ＷＬＡＮオペレーショナル・ネットワークが、アクセス中の現在のＷＬＡＮユーザ端末の正当性認証を行い、ＷＬＡＮユーザ端末が認証された場合には、ＷＬＡＮオペレーショナル・ネットワークは、引き続き承認条件に従ってこのＷＬＡＮユーザ端末のアクセスを許可するか否かを判定し、ＷＬＡＮユーザ端末が認証されなかった場合には、ＷＬＡＮオペレーショナル・ネットワークは、このＷＬＡＮユーザ端末にアクセス失敗情報を送る。

ＷＬＡＮユーザ端末のアクセスに影響する前記承認条件は、ユーザアカウントの条件、ユーザ申し込み情報、運用規則、又はこれら３つの任意の組み合わせを含む。前記ユーザ申し込み情報は、ユーザがアクセス可能なネットワークサービスの指定リストを含む。前記アクセス規則は、ＷＬＡＮオペレーショナル・ネットワーク内のＡＡＡサーバによって決定される。

前記アクセス規則は、現在のユーザ端末のアクセスエリア又は経路を決定するために用いられる制限条件であるか、又は、現在のユーザ端末のアクセス時間を決定するために用いられる制限条件であるか、又は、空値（即ち、ユーザ端末のアクセスに対する制限条件が無い）である。

前記アクセス規則の実施エンティティは、ＡＡＡ、ＷＬＡＮアクセスゲートウェイ（ＷＡＧ）、アクセスコントローラ（ＡＣ）、アクセスポイント（ＡＰ）、又はユーザ端末である。実施エンティティがユーザ端末である場合には、この方法は、アクセス規則が決定された後、ネットワークがユーザ端末に、現在のＷＬＡＮユーザ端末のアクセス認証及び承認成功情報と、ユーザ端末に知らせる必要があるアクセス規則とを、同時に送ることを更に含む。

上記スキームにおいて、前記ＷＬＡＮオペレーショナル・ネットワークは、３ＧＰＰ−ＷＬＡＮインターワーキング・ネットワーク、３ＧＰＰ２−ＷＬＡＮインターワーキング・ネットワーク、又は、加入ユーザを有する他のオペレーショナルＷＬＡＮである。

上記スキームから、本発明のキーは、ＷＬＡＮユーザ端末がＷＬＡＮオペレーショナル・ネットワークにアクセスする際に、このユーザ端末を認証する間、ネットワークが、このユーザ端末の承認条件に従って、このユーザ端末のアクセスを許可するか否かを判定し、承認条件に従って、このユーザ端末に対する対応するアクセス規則を決定し、決定されたアクセス規則に従い、次の手順又は次のサービスアプリケーションにおいて、ユーザのアクセスのエリア、経路、又は時間を制限することにあることがわかる。

従って、本発明によって提供される方法では、ユーザ端末に対するアクセス制御は、正当性認証のみでなく、他の承認条件、及び承認条件に従ってカスタマイズされるアクセス規則の決定も含む。従って、複数の異なるＷＬＡＮユーザ端末が、異なる承認条件に従ってＷＬＡＮオペレーショナル・ネットワークにアクセスし、アクセス後は、異なるアクセス規則によって制限される。従って、ＷＬＡＮのアクセス承認能力が強化される。更に、ＷＬＡＮユーザ端末がＷＬＡＮオペレーショナル・ネットワークにサービスを要求する際には、ＷＬＡＮオペレーショナル・ネットワークは、対応するアクセス規則に従ってユーザ端末を扱い、現在アクセスしているユーザ端末に対して、制限されたエリア、経路及び時間のみのサービスを提供する。従って、ネットワークの運用能力及び運用効率を高めることができ、ネットワークが同じユーザ又は異なるユーザに対して、異なるエリア、異なる経路、又は異なる時間のネットワークアクセスを提供でき、これにより、アクセス管理が容易になると共に、多様なサービスが可能になる。

本発明の目的、技術的スキーム及び長所をより明確にするために、以下、添付の図面及び具体的な実施形態を参照し、本発明を詳細に説明する。

図２は、ＷＬＡＮオペレーショナル・ネットワークのネットワーク構成を示す模式図である。図２に示されるように、図２のＷＬＡＮはオペレーショナルＷＬＡＮであり、ここでは、ＷＬＡＮアクセスネットワークは、インターネット、他のイントラネット、及びワイドエリア・プライベート・ネットワーク等のようなワイドエリアネットワークに直接接続されるのみでなく、例えば、ローカルのホテルや空港内のローカルエリアネットワーク、及び３ＧＰＰＰＳドメイン等のモバイル・オペレーショナル・ネットワークといった様々なネットワークにも、直接又はオペレーショナル・ネットワークのアクセスゲートウェイを介して接続される。前記モバイル・オペレーショナル・ネットワークは、ワイドエリアネットワーク又はローカルエリアネットワークであり得る。オペレーショナル・ネットワークのアクセスゲートウェイは、同時に、現在のユーザ端末のホームネットワークや訪問先ネットワークと、例えば３ＧＰＰＡＡＡサーバ等といったＷＬＡＮアクセス認証及び承認ユニットとに接続される。

ＷＬＡＮオペレーショナル・ネットワークを介して或るサービスを所望するＷＬＡＮユーザ端末に対して、このユーザ端末による直接又はゲートウェイを介した或るネットワークへのアクセスが、申し込み時に多様なサービスの原則に基づいて制限されている場合がある。例えば、このユーザ端末は、ＷＬＡＮアクセスネットワークに接続された空港内のイントラネットへのアクセスは許可されていないが、インターネットにはアクセスできる場合がある。或いは、このユーザ端末は、インターネットと、申し込みを介して或るプライベートネットワークとにアクセスしなければならない。或いは、このＷＬＡＮユーザ端末は、このユーザ端末のアカウント情報、運営者の管理規則又は運用規則等といった条件に従い、或る期間又は或るエリアにおいて、何らかの特殊なネットワークへの直接又はアクセスゲートウェイを介したアクセスがダイナミックに制限される。従って、ＷＬＡＮオペレーショナル・ネットワークにアクセスする際には、ユーザ端末は、認証結果のみに従ってアクセスを承認されるのではなく、承認に影響する条件に従ったアクセス規則によって制限されるべきであり、これらのアクセス規則は、ネットワークの該当する交換又はルーティングゲートウェイに適用されるべきである。

実際の用途において、本発明における前記アクセス承認は、モバイルネットワークに関連するサービス承認のことではない。前記アクセス承認は、或るユーザ端末にアクセスを許可するか否かの判定や、サービス承認の前に、或るユーザ端末が或るネットワークにどのような条件下でアクセスできるかの判定に用いられる。現在アクセスしているＷＬＡＮユーザ端末が、該当するサービスを使用できるか否かに関しては、次のサービス承認手順によって判定される。本願明細書におけるアクセス承認とサービス承認との違いを、例を挙げて説明する。或るユーザ端末がインターネットアクセスを申し込み、現在のネットワークが、ＷＬＡＮアクセスネットワークを介したインターネットへの直接アクセスと、ＷＬＡＮアクセスネットワークを介し、次にＷＡＧを介したインターネットへのアクセスとの、２種類のインターネットアクセスを提供可能であると仮定すると、現在のユーザ端末に対するアクセス制限が無い場合には、そのユーザ端末は、２つのアクセスモードの一方を任意に選択できるか、又は、どのアクセスモードを用いるかの決定をサービス承認に任せる。しかし、ＷＬＡＮアクセスネットワークを介したインターネットへの直接アクセスが制限される場合には、現在のユーザ端末は、ＷＡＧを介してのみインターネットにアクセスでき、このユーザ端末にインターネットサービスが許可され得るか否かは、サービス承認によって決定される。

本発明におけるユーザ端末に対するアクセス承認手順は図３に示されており、以下のステップを含む。

ステップ３０１〜３０２：
ＷＬＡＮユーザ端末がネットワークへのアクセスを要求すると、ネットワークは、このユーザ端末に対するアクセス認証を行う。具体的には、ネットワーク内のアクセス認証及び承認ユニットが、アクセス制御ユニットを介して、ユーザ端末とネットワークとの間での正当性認証手順を開始する。ユーザ端末は、アクセス制御ユニットを介してアクセス認証及び承認ユニットに、要求された認証情報を送る。アクセス認証及び承認ユニットは、ユーザ端末の該当する情報を受信したら、アクセス認証を実施し、認証が成功した場合には次のステップに進み、失敗した場合には、ユーザ端末にアクセス認証の失敗に関する通知を行って、現在のアクセス認証手順を終了する。本願明細書におけるアクセス制御ユニットは、ＷＬＡＮアクセスネットワーク内のアクセスコントローラ（ＡＣ）、ＷＬＡＮアクセスゲートウェイ（ＷＡＧ）、又はこれら２つの組み合わせであってよく、アクセス認証及び承認ユニットは、３ＧＰＰＡＡＡサーバであってよい。

ステップ３０３：
ユーザ端末のアクセス認証が成功したら、アクセス認証及び承認ユニットは、現在のユーザ端末の承認条件に従い、このユーザ端末にアクセスを許可するか否かを判定する。許可しない場合には、このユーザ端末に、アクセス承認の失敗に関する通知を行って、現在のアクセス承認手順を終了する。許可する場合には、現在アクセスしているユーザ端末の承認条件に従い、その端末のアクセス規則を決定する。このアクセス規則は、承認されたユーザ端末がアクセスする際に、どの制限原則が発効されるかを示す。前記承認条件には、ユーザアカウント情報、ユーザ申し込みデータ、運営者の運用規則、又はこれら３つの任意の組み合わせが含まれる。前記アクセス規則とは、主に、例えば、アクセス可能なゲートウェイ及びネットワークと接続されたエリア、アクセス用のネットワーク機器等といった、アクセスされるネットワークの範囲又は経路に対する制限のことである。この規則には、アクセス時間に対する制限が含まれてもよい。アクセス認証及び承認ユニットは、アクセス規則を空値（このユーザ端末のアクセスに対して特別な制限が無いことを示す）として直接設定することもできる。

前記ユーザ申し込みデータは、そのユーザが申し込んだアクセス可能なサービスの指定リスト（例えば、インターネット、ローカルゲームネットワーク、スターバックス・チェーン・ネットワーク、ＩＰｖ６−インターネット等）であってもよい。

ステップ３０４：
アクセス規則の決定後、一方では、アクセス認証及び承認ユニットが、ユーザ端末及びアクセス制御ユニットに、そのユーザ端末に対するアクセス認証及び承認の成功に関する通知を行うと共に、決定されたアクセス規則を格納し、他方では、アクセス認証及び承認ユニットが、アクセス規則を実施する各関連エンティティに、決定されたアクセス規則に関する通知を行う。本願明細書における、アクセス規則を実施する関連エンティティとは、３ＧＰＰ−ＡＡＡ、サービス承認ユニット、ＡＣ、ＡＰ、ＤＨＣＰユニット、オペレーショナル・ネットワークのアクセスゲートウェイ等といった、これらの規則を実行可能な１つ以上のネットワークエンティティのことである。アクセス認証及び承認ユニットは、ユーザ端末が前記アクセス規則を知ることができる又は前記アクセス規則の実施を支援できるように、ユーザ端末に、決定されたアクセス規則の全部又は一部に関する通知を行ってもよい。アクセス規則に関する通知は、アクセス認証及び承認の成功に関する通知と一緒に、ユーザ端末に送られてもよい。

ステップ３０５：
図３に示されるサービス承認ユニット等といった、アクセス規則を実施するエンティティは、規則を受信したらそれらを格納し、ユーザ端末がこのエンティティを介してＷＬＡＮネットワークサービスに申し込む際に、アクセス規則を実行する。例えば、アクセス規則に従い、サービス承認ユニットは、現在のユーザ端末にこの期間の特定のネットワークエリアへのアクセスを許可するか否かを判定することができると共に、現在のユーザ端末がどこからアクセスするべきかを決定することができる。サービス承認ユニット及びアクセス承認ユニットは、共にＡＡＡ内に存在するのが一般的である。

具体的なアクセス規則は、フィルタリング技術、ＩＰ割り当てスキーム、バーチャルローカルエリアネットワーク（ＶＬＡＮ）、サブネット分割、バーチャルプライベートネットワーク（ＶＰＮ）、ユーザレイヤ−２分離等といった既存の方法を用いて実装できる。例えば、アクセス制御ユニットは、ＶＬＡＮ技術やＩＰ割り当てにより、サービスに申し込んだ現在のユーザ端末をアクセス規則に従ったサブネットの下に置くか、或いは、サービスに申し込んだ現在のユーザ端末に、このユーザ端末がサブネット又はＶＬＡＮによって指定されたエリアのみにアクセスできるような、独立したサブネットアドレスを割り当てることができる。アクセス規則がサービス承認ユニットによって実施される場合に、ユーザが該当するサービスを要求したら、サービス承認ユニットは、要求されたサービスが、現在のユーザ端末に対応するアクセス規則の要件を満たすか否かを判定する。要求がアクセス規則に従っていない場合には、サービス承認の前にその要求は拒否される。

ステップ３０１〜３０５で説明したように、本発明によるアクセス承認は、ユーザがＷＬＡＮオペレーショナル・ネットワークにアクセスし、一般的にはネットワークが現在アクセスしているユーザ端末のアイデンティティの正当性認証を完了した後に行われる。アクセス承認がユーザの認証前に行われてもよいことは明らかである。即ち、まず現在アクセスしているユーザ端末の承認条件を判定し、アクセス規則を決定し、次に、アイデンティティの正当性の認証を実行するのであるが、この処理は比較的複雑である。ユーザ端末に通知される際には、認証結果及び承認結果は、通常、１つの通知メッセージで通知される（例えば、ＥＡＰプロトコルのＥＡＰ−成功メッセージ等）。例えば、承認結果を知らせる前に認証結果を知らせるというように、認証結果及び承認結果は個別に知らされてもよい。本発明における前記ＷＬＡＮオペレーショナル・ネットワークは、３ＧＰＰ−ＷＬＡＮインターワーキング・ネットワーク、３ＧＰＰ２−ＷＬＡＮインターワーキング・ネットワーク、又は、加入ユーザを有する他のオペレーショナルＷＬＡＮネットワークを含む。

図４は、本発明の一実施形態におけるＷＬＡＮオペレーショナル・ネットワークのネットワーク構成を示す模式図である。図４に示されるように、この３ＧＰＰ−ＷＬＡＮインターワーキング・オペレーショナル・ネットワークでは、３ＧＰＰ−ＡＡＡがアクセス認証及び承認ユニットであり、ＷＬＡＮアクセス部は主にＡＣ及びＡＰで構成され、ＡＣ、ＷＡＧ、又はＡＣとＷＡＧとの組み合わせがアクセス制御ユニットである。空港やホテルのような或るホットスポットにおいて、ＷＬＡＮオペレーショナル・ネットワークは、ＷＬＡＮアクセス部を介して、ＷＬＡＮユーザ端末に対してローカルエリアネットワークサービス４１及びインターネットアクセスサービス４２を直接提供できる。３ＧＰＰオペレーショナル・ネットワークにアクセスすることにより、ＷＬＡＮオペレーショナル・ネットワークはＷＬＡＮアクセス部及びＷＡＧを介して、ＷＬＡＮユーザ端末に対して３ＧＰＰ特定サービス４３も提供できる。このＷＬＡＮオペレーショナル・ネットワークは、申し込み情報等といったユーザ端末の様々な情報を格納するために用いられるＨＳＳ／ＨＬＲも含む。

再び図４を参照すると、ＷＬＡＮユーザ端末がＷＬＡＮオペレーショナル・ネットワークを介して得られる３ＧＰＰ特定サービス４３には、３ＧＰＰネットワーク運営者によってＷＡＧを介して提供されるインターネットアクセスサービス４３１、フィーチャＬＡＮサービス４３２、及び、モバイルネットワークのパケット交換（ＰＳ）ドメインに基づくモバイルサービス（例えば、ＶＰＬＭＮ（Visited Public Land Mobile Network）４３３の様々なサービスやＨＰＬＭＮ４３４の様々なサービス等）が含まれる。インターネットアクセスサービス４３１は、ホットスポットにおけるインターネットへの直接アクセスよりも広い帯域幅を提供できる。換言すれば、同じサービスを提供する場合、インターネットアクセスサービス４３１は、インターネットアクセスサービス４２よりも遙かに速い。しかし、前者は後者よりも高価になり得る。フィーチャＬＡＮサービス４３２とは、主に、運営者のプライベートネットワークが、ユーザ端末に対して、管理やゲーム等といった内部のインタラクティブなフィーチャサービスを提供できることを意味する。前記様々なモバイルサービス４３３及び４３４は、少なくとも、ＩＰマルチメディアサブシステム（ＩＭＳ）サービス、ショートメッセージサービス（ＳＭＳ）、マルチメディアメッセージサービス（ＭＭＳ）、及びロケーションサービス（ＬＣＳ）等といった、モバイルネットワークのフィーチャサービスを含む。

図４に示されるネットワーク構成に基づき、ユーザ端末Ａが、或るホットスポットエリア内のローカルインターネットサービスのみに加入しており、ユーザ申し込み情報のアクセス承認リストにインターネットサービスのみがある場合には、図５に示されるように、ユーザ端末Ａに対するアクセス承認手順は以下の通りである。

ステップ５０１〜５０２：
ユーザ端末Ａは、図４に示されるような３ＧＰＰ−ＷＬＡＮネットワークへのアクセスを要求する際、ＡＣを介して３ＧＰＰ−ＡＡＡに、アクセス要求と、認証に必要な情報とを送る。次に３ＧＰＰ−ＡＡＡは、ユーザ端末Ａのアイデンティティの正当性を認証する。ユーザ端末Ａが認証された場合には、ステップ５０３を実行し、引き続きユーザ端末Ａの承認条件に対する判定を行う。ユーザ端末Ａが認証されなかった場合には、ユーザ端末Ａにアクセス認証失敗情報を返し、手順を終了する。

ステップ５０３：
３ＧＰＰ−ＡＡＡは、ユーザ端末Ａの全ての承認条件に従って、ユーザ端末Ａにアクセスを許可するか否かを判定する。許可されない場合には、３ＧＰＰ−ＡＡＡは、ユーザ端末Ａにアクセス承認失敗情報を返し、手順を終了する。許可された場合には、３ＧＰＰ−ＡＡＡは、ユーザ端末Ａの承認条件に従い、ユーザ端末Ａのアクセス規則を決定する。このように、ユーザ端末Ａの申し込みデータに従い、ユーザ端末Ａのアクセス規則は“ホットスポットエリアのローカルインターネットへのアクセスのみ”と決定される。

ステップ５０４：
３ＧＰＰ−ＡＡＡは、ユーザ端末Ａに、アクセス認証及び承認の成功と、ステップ５０３で決定されたアクセス規則とを通知すると共に、ＷＬＡＮアクセスネットワークのＡＣがこのアクセス規則を実施できるよう、ＡＣに通知する。

ステップ５０５：
ＡＣは、決定されたアクセス規則を受信したら、それを格納し、このユーザ端末がインターネットサービスに申し込んだ際に、ＡＣは、予め格納したアクセス規則に従って、このユーザ端末がホットスポットエリア内のローカルインターネットのみにアクセスできることを知り、このユーザ端末が、現在、ホットスポットエリア内に位置しているか否かを判定する。肯定された場合には、ユーザ端末はＡＣを介してローカルインターネットに直接アクセスし、否定された場合には、ＡＣは、ＶＬＡＮ技術又はＩＰ割り当てを用いて、ユーザ端末を、ホットスポットエリア内のローカルインターネットのみに接続可能なサブネット内に配置するか、又は、ユーザ端末Ａに対して、独立したサブネットアドレスを割り当てる。このサブネットは、ローカルインターネットへのアクセスのみが許可されている。従って、ユーザ端末Ａは、ローカルインターネットのみにアクセスできる。

図４に示されるネットワーク構成に基づき、ユーザ端末Ｂは、ＷＡＧを介したネットワークへのアクセスのみが許可されており、ホットスポットエリア内のローカルアクセスは禁止されていると仮定する。図５に示されるように、ユーザ端末Ｂのアクセス承認手順は、第１実施例におけるユーザ端末Ａのアクセス承認手順と本質的に同じであるが、但し、ステップ５０３において、ユーザ端末Ｂのアクセス規則は、“ＷＡＧを介したアクセスは許可され、ホットスポットエリア内のローカルアクセスは禁止される”と決定される。このようにして、ステップ５０５では、ＡＣは、ユーザ端末Ｂを、ＷＡＧのみにアクセスするよう制御し、端末Ｂが他のネットワークに接続することは許可しない。ユーザ端末Ｂがインターネットサービスに申し込む際には、ユーザ端末Ｂはインターネットアクセスサービス４２を用いることはできず、インターネットアクセスサービス４３１のみを利用できる。即ち、ユーザ端末Ｂは、３ＧＰＰオペレーショナル・ネットワークによって提供されるインターネットアクセスサービスを享受するために、ＷＡＧを介して３ＧＰＰオペレーショナル・ネットワークのみにアクセスできる。

図４に示されるネットワーク構成に基づき、ユーザ端末Ｃは、ＶＰＬＭＮ（Visited Public Land Mobile Network）へのアクセスを許可されていないと仮定する。図５に示されるように、ユーザ端末Ｃのアクセス承認手順は、第１実施例におけるユーザ端末Ａのアクセス承認手順と本質的に同じであるが、但し、ステップ５０３において、ユーザ端末Ｃのアクセス規則は、“ＶＰＬＭＮへのアクセスは許可されない”と決定される。このアクセス規則に基づき、ユーザ端末Ｃは、より多くのアクセス権を有し、そのサービス要求に従って、ＷＬＡＮアクセスネットワークと接続される、ＶＰＬＭＮ以外の様々なネットワークにアクセスできる。このアクセス規則は、ＷＡＧにおいて、ユーザがＶＰＬＭＮにアクセスできないように実施されてもよく、或いは、３ＧＰＰ−ＡＡＡにおいて直接実施されてもよい。例えば、ユーザ端末Ｃが該当するサービスを要求する場合に、ユーザ端末Ｃのアクセス規則に従い、要求されたサービスがそのアクセス規則に従っているか否かが判定される。否定された場合、即ち、ユーザ端末Ｃが、現在、ＶＰＬＭＮ内に位置し、このＶＰＬＭＮによって提供されるサービスを要求している場合には、サービスの承認前に、この要求が拒否される。肯定された場合には、引き続きサービス承認を行う。

上述の説明は、単に本発明の好ましい実施形態であり、本発明の保護範囲の限定には用いられない。

インターワーキングＷＬＡＮ及び３ＧＰＰシステムのネットワーク構成を示す模式図である。ＷＬＡＮオペレーショナル・ネットワークのネットワーク構成を示す模式図である。本発明による、ＷＬＡＮオペレーショナル・ネットワークによるアクセス認証及び承認を示すフローチャートである。本発明の一実施形態におけるＷＬＡＮオペレーショナル・ネットワークのネットワーク構成を示す模式図である。図４に示される実施形態におけるアクセス認証及び承認のフローチャートである。

Claims

無線ローカルエリアネットワーク（ＷＬＡＮ）ユーザ端末がＷＬＡＮオペレーショナル・ネットワークにアクセスする際に、前記ＷＬＡＮオペレーショナル・ネットワークは、前記ＷＬＡＮユーザ端末を認証する間に、前記ＷＬＡＮユーザ端末のアクセスに影響する承認条件に従って、前記ＷＬＡＮユーザ端末のアクセスを許可するか否かを判定し、肯定された場合には、前記承認条件に従って前記ＷＬＡＮユーザ端末のアクセス規則を決定し、否定された場合には、前記ＷＬＡＮユーザ端末にアクセス失敗を通知することを含む、無線ＬＡＮにおけるユーザアクセス承認方法。
前記ＷＬＡＮユーザ端末のアクセスに対する制限を実施するために、決定された前記アクセス規則を、該アクセス規則を実施する１つ以上の関連エンティティに送ることを更に含む、請求項１記載の方法。
前記ＷＬＡＮユーザ端末が前記ＷＬＡＮオペレーショナル・ネットワークにアクセス要求を送った後、前記ＷＬＡＮオペレーショナル・ネットワークが、まず、現在アクセスしているＷＬＡＮユーザ端末の正当性認証を行い、前記ＷＬＡＮユーザ端末が認証された場合には、前記承認条件に従って前記ＷＬＡＮユーザ端末のアクセスを許可するか否かを判定し、前記ＷＬＡＮユーザ端末が認証されなかった場合には、前記ＷＬＡＮユーザ端末にアクセス失敗の情報を送ることを更に含む、請求項１又は２記載の方法。
前記ＷＬＡＮユーザ端末のアクセスに影響する前記承認条件が、ユーザアカウントの条件、ユーザ申し込み情報、運用規則、又はこれら３つの任意の組み合わせを含む、請求項１記載の方法。
前記アクセス規則の決定が、前記ＷＬＡＮオペレーショナル・ネットワーク内の認証、承認及びアカウンティング（ＡＡＡ）サーバによって実施される、請求項１記載の方法。
前記アクセス規則が、現在アクセスしているＷＬＡＮユーザ端末のアクセスエリア又は経路を決定するために用いられる制限条件である、請求項１記載の方法。
前記アクセス規則が、現在アクセスしているＷＬＡＮユーザ端末のアクセス時間を決定するために用いられる制限条件である、請求項１記載の方法。
前記アクセス規則が空値として決定される、請求項１記載の方法。
前記アクセス規則を実施する前記関連エンティティが、ＡＡＡ、ＷＬＡＮアクセスゲートウェイ（ＷＡＧ）、アクセスコントローラ（ＡＣ）、アクセスポイント（ＡＰ）、又はＷＬＡＮユーザ端末を含む、請求項２記載の方法。
前記アクセス規則が決定された後、前記ネットワークが前記ＷＬＡＮユーザ端末に、現在のＷＬＡＮユーザ端末のアクセス認証及び承認の成功に関する情報と、前記ＷＬＡＮユーザ端末に知らせる必要がある前記アクセス規則とを、同時に送ることを更に含む、請求項９記載の方法。
前記ＷＬＡＮオペレーショナル・ネットワークが、３ＧＰＰ−ＷＬＡＮインターワーキング・ネットワーク又は３ＧＰＰ２−ＷＬＡＮインターワーキング・ネットワークである、請求項１記載の方法。
前記ユーザ申し込み情報が、ユーザがアクセス可能なネットワークサービスの指定リストを含む、請求項４記載の方法。