JP2008263445A - 接続設定システム、認証装置、無線端末、及び接続設定方法 - Google Patents

Abstract

【課題】無線端末が無線ＬＡＮシステムに接続して他の装置と通信するのに必要な、無線端末における設定情報の設定や更新の作業を、無線端末の数に関わらず容易に行う。
【解決手段】無線端末１０は、認証情報をオープン無線伝送路２０及びオープンＶＬＡＮ５０を介して設定配信装置６０に送信する無線通信部１１を有し、設定配信装置６０は、認証情報に基づいて無線端末１０とサーバ８０との間の通信を許可するか否かを判定する認証処理部６３と、セキュア無線伝送路３０及びセキュアＶＬＡＮ７０を介した当該通信に必要な設定を示す設定情報を無線端末１０に送信するプロトコル処理部６６と、を有し、無線端末１０は、設定配信装置６０から受信した設定情報に基づくセキュア無線伝送路３０及びセキュアＶＬＡＮ７０を介したサーバ８０との間の通信を行う。
【選択図】図２

Description

本発明は、無線端末が情報処理装置と通信を行う際に、当該無線端末が認証装置により認証される場合における、接続設定システム、認証装置、無線端末、及び接続設定方法に関する。

企業などにおける基幹情報処理システムやＶｏＩＰ（Voice over Internet Protocol）システムでは、データ通信や音声通信などの各種通信を可能とするために、ＩＰ（Internet Protocol）ネットワークを用いたＩＰ通信が普及している。これに伴い、ＩＰ通信機能を有する通信端末の利用数が増加している。このため、各システム内の機密情報へのアクセスを制御して利便性を高めつつ、なりすましなどによる不正アクセスを防止してセキュリティを高めるといった高機能化の要請が高まっている。

例えば、下記の特許文献１に開示されたネットワークシステムでは、まず、スイッチが有するポートに物理接続された通信端末のそれぞれについて認証を実行する。そして、認証結果に基づく制御信号を、Ｒａｄｉｕｓ（Remote Authentication Dial In User Service）サーバからスイッチに出力させる。この制御信号により、通信端末のそれぞれは、認証結果に基づくネットワークに論理接続することが可能となる。このようにすることで、認証情報に基づいてアクセスを制御して利便性を確保しつつ、不正アクセスを防止してセキュリティを確保している。また、スイッチにおけるポート単位での契約、管理、各種サービスの提供を可能としている。
特許第３７４６７８２号公報

上記の特許文献１に開示された技術では、どの通信端末を特定のネットワークに接続可能とするかを指示する制御信号を、Ｒａｄｉｕｓサーバからスイッチに出力させる必要がある。ここで、スイッチに物理接続させる通信端末が多数となった場合、通信端末のそれぞれに対するこの出力作業の作業量は膨大になる。更に、一度完了した設定の更新を行う場合、再度、上記の出力作業が必要となる。このため、出力や設定更新の作業のための管理が煩雑となってしまい、通信端末の管理者およびユーザにとって利便性が低いという問題がある。

また、上記以外の従来の技術においても、端末の管理者およびユーザにとって利便性が低いという問題がある。どの端末を接続可能とするかを制御する従来の技術における端末とサーバとの関係を、図１を用いて説明する。図１は、従来の技術を用いた無線ＬＡＮ（Local Area Network）システムにおける、端末とサーバとの関係を説明する説明図である。携帯電話機やパソコンなどの無線端末９１は、セキュア無線伝送路９３を介して無線アクセスポイント９４と通信接続することができ、更に、セキュアＬＡＮ９７を介してＷｅｂサーバ９８や業務用サーバ９９などと通信接続することができる。ただし、Ｗｅｂサーバ９８や業務用サーバ９９などのサーバと通信接続可能な端末は、通常、予め決められている。

ここで、この無線ＬＡＮシステムでは、セキュリティを確保するため、無線端末９１のそれぞれに対してセキュア接続用プロファイルを設定する必要がある。セキュア接続用プロファイルとは、無線端末９１が、セキュア無線伝送路９３を介して無線アクセスポイント９４と通信接続するために必要な、無線区間を暗号化する暗号化キーなどのプロファイルのことである。セキュア接続用プロファイルに示された情報が設定された無線端末９１だけが、セキュア無線伝送路９３を介して無線アクセスポイント９４と通信接続することができる。

しかしながら、無線アクセスポイント９４と通信接続させる無線端末９１が多数となった場合、端末のそれぞれに対する上記プロファイルの設定作業の作業量は膨大になる。更に、一度完了したプロファイル設定の更新を行う場合、無線アクセスポイント９４だけでなく、端末のそれぞれに対する上記プロファイルの更新作業が必要となる。このため、設定や更新の作業のための管理が煩雑となってしまい、端末の管理者およびユーザにとって利便性が低いという問題がある。

そこで、本発明は、上記問題点を解決するためになされたものであり、無線端末が無線ＬＡＮシステムに接続して他の装置と通信するのに必要な、無線端末における設定情報の設定や更新の作業を、無線端末の数に関わらず容易に行うことが可能な、接続設定システム、認証装置、無線端末、及び接続設定方法を提供することを目的とする。

上記目的を達成するために、本発明に係る接続設定システムは、無線端末と、無線端末からの情報を処理する情報処理装置と、無線端末が情報処理装置と通信するために必要な認証を行う認証装置と、を備える接続設定システムであって、無線端末は、情報処理装置と通信するために必要な認証情報を、第一ネットワークを介して認証装置に送信する端末送信手段を有し、認証装置は、無線端末から受信した認証情報に基づいて、無線端末と情報処理装置との間の通信を許可するか否かを判定する装置判定手段と、当該通信を許可すると判定された場合、第二ネットワークを介した当該無線端末と当該情報処理装置との間の通信に必要な設定を示す設定情報を、無線端末に送信する装置送信手段と、を有し、無線端末は、認証装置から受信した設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を行う、ことを特徴とする。

本発明に係る接続設定システムでは、まず、無線端末が、上記の認証情報を第一ネットワークを介して認証装置に送信し、認証装置が、この認証情報に基づいて、上記の通信を許可するか否かを判定する。次に、当該通信を許可すると判定された場合、第二ネットワークを介した当該通信に必要な設定を示す設定情報を、認証装置が無線端末に送信する。そして、無線端末は、この設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を行う。このように、最初に、無線端末による認証情報の送信が第一ネットワークを介して行われると、最終的に、無線端末が情報処理装置と第二ネットワークを介して通信するのに必要な設定が無線端末に対して行われる。これにより、無線端末が無線ＬＡＮシステムに接続して他の装置である情報処理装置と通信するのに必要な、無線端末における設定情報の設定や更新の作業を、無線端末の数に関わらず容易に行うことが可能となる。

上記目的を達成するために、本発明に係る認証装置は、無線端末からの情報を処理する情報処理装置と無線端末とが通信するために必要な認証を行う認証装置であって、情報処理装置と通信するために必要な認証情報を、第一ネットワークを介して無線端末から受信する装置受信手段と、認証情報に基づいて、無線端末と情報処理装置との間の通信を許可するか否かを判定する装置判定手段と、当該通信を許可すると判定された場合、第二ネットワークを介した当該無線端末と当該情報処理装置との間の通信に必要な設定を示す設定情報を、無線端末に送信して、設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を無線端末に許可する装置送信手段と、を備えることを特徴とする。

本発明に係る認証装置では、まず、上記の認証情報を第一ネットワークを介して無線端末から受信し、この認証情報に基づいて、上記の通信を許可するか否かを判定する。次に、当該通信を許可すると判定された場合、第二ネットワークを介した当該通信に必要な設定を示す設定情報を、認証装置が無線端末に送信する。そして、無線端末は、この設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を行う。このように、最初に、無線端末による認証情報の送信が第一ネットワークを介して行われると、最終的に、無線端末が情報処理装置と第二ネットワークを介して通信するのに必要な設定が無線端末に対して行われる。これにより、無線端末が無線ＬＡＮシステムに接続して他の装置である情報処理装置と通信するのに必要な、無線端末における設定情報の設定や更新の作業を、無線端末の数に関わらず容易に行うことが可能となる。

上記目的を達成するために、本発明に係る無線端末は、自端末からの情報を処理する情報処理装置と通信するために必要な認証が認証装置により行われる無線端末であって、情報処理装置と通信するために必要な認証情報を、第一ネットワークを介して認証装置に送信して、認証情報に基づいて、自端末と情報処理装置との間の通信を許可するか否かを認証装置に判定させる端末送信手段と、当該通信を許可すると判定された場合、第二ネットワークを介した自端末と当該情報処理装置との間の通信に必要な設定を示す設定情報を、認証装置から受信する端末受信手段と、設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を行う端末実行手段と、を備えることを特徴とする。

本発明に係る無線端末では、まず、無線端末が、上記の認証情報を第一ネットワークを介して認証装置に送信し、認証装置が、この認証情報に基づいて、上記の通信を許可するか否かを判定する。次に、当該通信を許可すると判定された場合、第二ネットワークを介した当該通信に必要な設定を示す設定情報を、認証装置が無線端末に送信する。そして、無線端末は、この設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を行う。このように、最初に、無線端末による認証情報の送信が第一ネットワークを介して行われると、最終的に、無線端末が情報処理装置と第二ネットワークを介して通信するのに必要な設定が無線端末に対して行われる。これにより、無線端末が無線ＬＡＮシステムに接続して他の装置である情報処理装置と通信するのに必要な、無線端末における設定情報の設定や更新の作業を、無線端末の数に関わらず容易に行うことが可能となる。

また、無線端末は、端末受信手段により受信された設定情報を格納する端末格納手段を更に備え、端末実行手段は、端末送信手段により認証情報が第一ネットワークを介して認証装置に送信される前に、端末格納手段に格納された設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を試行するのも好ましい。これにより、端末格納手段に格納された設定情報がまだ有効である場合、認証装置による認証処理を省略することができるため、無線端末が無線ＬＡＮシステムに接続して他の装置である情報処理装置と通信するまでの時間を短縮することができる。

上記目的を達成するために、本発明に係る接続設定方法は、無線端末と、無線端末からの情報を処理する情報処理装置と、無線端末が情報処理装置と通信するために必要な認証を行う認証装置と、を備える接続設定システムにより行われる接続設定方法であって、情報処理装置と通信するために必要な認証情報を、第一ネットワークを介して認証装置に無線端末が送信する端末送信ステップと、無線端末から受信した認証情報に基づいて、無線端末と情報処理装置との間の通信を許可するか否かを認証装置が判定する装置判定ステップと、当該通信を許可すると判定された場合、第二ネットワークを介した当該無線端末と当該情報処理装置との間の通信に必要な設定を示す設定情報を、無線端末に認証装置が送信する装置送信ステップと、認証装置から受信した設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を無線端末が行う端末実行ステップと、を有することを特徴とする。

本発明に係る接続設定方法では、まず、無線端末が、上記の認証情報を第一ネットワークを介して認証装置に送信し、認証装置が、この認証情報に基づいて、上記の通信を許可するか否かを判定する。次に、当該通信を許可すると判定された場合、第二ネットワークを介した当該通信に必要な設定を示す設定情報を、認証装置が無線端末に送信する。そして、無線端末は、この設定情報に基づく第二ネットワークを介した情報処理装置との間の通信を行う。このように、最初に、無線端末による認証情報の送信が第一ネットワークを介して行われると、最終的に、無線端末が情報処理装置と第二ネットワークを介して通信するのに必要な設定が無線端末に対して行われる。これにより、無線端末が無線ＬＡＮシステムに接続して他の装置である情報処理装置と通信するのに必要な、無線端末における設定情報の設定や更新の作業を、無線端末の数に関わらず容易に行うことが可能となる。

本発明によれば、無線端末が無線ＬＡＮシステムに接続して他の装置と通信するのに必要な、無線端末における設定情報の設定や更新の作業を、無線端末の数に関わらず容易に行うことが可能な、接続設定システム、認証装置、無線端末、及び接続設定方法を提供することができる。

以下、添付図面を参照しながら本発明の好適な実施形態を説明する。なお、図面の説明において同一要素には同一符号を付し、重複する説明を省略する。

（１）接続設定システムの構成
まず、本実施形態である接続設定システムについて、図２を用いて説明する。図２は、無線端末の接続設定を行う接続設定システムの構成を説明するための説明図である。接続設定システム１００は、無線端末１０と、オープン無線伝送路２０と、セキュア無線伝送路３０と、無線アクセスポイント４０と、オープンＶＬＡＮ（Virtual Local Area Network）５０（第一ネットワーク）と、設定配信装置６０（認証装置）と、セキュアＶＬＡＮ７０（第二ネットワーク）と、Ｗｅｂサーバ８０（情報処理装置）と、業務用サーバ９０（情報処理装置）と、を備えて構成されている。ここでは、無線端末は４つあるとして説明するが、無線端末の数は特に限定されない。

ここで、無線端末１０は、オープン無線伝送路２０を介して無線アクセスポイント４０と通信接続することができ、更に、無線アクセスポイント４０及びオープンＶＬＡＮ５０を介して設定配信装置６０と通信接続することができる。また、後述の設定が行われた無線端末１０は、セキュア無線伝送路３０を介して無線アクセスポイント４０と通信接続することができ、更に、無線アクセスポイント４０及びセキュアＶＬＡＮ７０を介してＷｅｂサーバ８０や業務用サーバ９０と通信接続することができる。

無線端末１０は、自端末から送信した情報を処理するＷｅｂサーバ８０や業務用サーバ９０と通信を行う端末である。この通信に必要な認証は、設定配信装置６０と通信を行うことにより行われる。無線端末１０は、無線アクセスポイント４０を介して設定配信装置６０やＷｅｂサーバ８０や業務用サーバ９０と通信を行うことができるように、無線ＩＰ通信機能を有している。無線端末１０は、例えば、携帯電話機やパソコンやＰＤＡなどといった、無線アクセスポイント４０と無線ＩＰ通信が可能な端末である。無線端末１０は、オープン無線伝送路２０又はセキュア無線伝送路３０を介して無線アクセスポイント４０と通信接続する。無線端末１０の物理的構成および機能的構成については、後述する。

オープン無線伝送路２０は、無線端末１０と無線アクセスポイント４０との間で、暗号化されていない情報が伝送されるオープンな（即ち、ＡＮＹ接続が許可された）無線通信路である。オープン無線伝送路２０では、オープンＶＬＡＮ５０に対応した設定となっている。なお、ＡＮＹ接続の許可とは、無線端末１０がＥＳＳＩＤ（Extended Service Set Identifier）を指定しない状態で、無線アクセスポイント４０と通信接続することを許可することを意味する。このため、無線端末１０は、暗号化されていない情報が伝送されるノンセキュアな状態の無線空間を経由した、無線アクセスポイント４０との通信接続を行うことができる。

セキュア無線伝送路３０は、無線端末１０と無線アクセスポイント４０との間で、暗号化された情報が伝送されるセキュアな（即ち、ＡＮＹ接続が拒否された）無線通信路である。セキュア無線伝送路３０では、セキュアＶＬＡＮ７０に対応した設定となっている。なお、ＡＮＹ接続の拒否とは、無線端末１０がＥＳＳＩＤを指定しない状態で、無線アクセスポイント４０と通信接続することを拒否することを意味する。このため、無線端末１０が、暗号化された情報が伝送されるセキュアな状態の無線空間を経由した、無線アクセスポイント４０との通信接続を行うには、後述の設定情報に示されたＥＳＳＩＤを指定して無線アクセスポイント４０と通信接続する必要がある。

無線アクセスポイント４０は、無線端末１０が設定配信装置６０やＷｅｂサーバ８０や業務用サーバ９０と通信接続するために用いられる通信中継点である。無線アクセスポイント４０は、オープンＶＬＡＮ５０を介してノンセキュアな状態で設定配信装置６０と接続されており、また、セキュアＶＬＡＮ７０を介してセキュアな状態でＷｅｂサーバ８０や業務用サーバ９０と接続されている。無線アクセスポイント４０は、オープンＶＬＡＮ５０に接続されるオープン無線伝送路２０と、セキュアＶＬＡＮ７０に接続されるセキュア無線伝送路３０など、複数の無線伝送路を提供する。

オープンＶＬＡＮ５０は、無線アクセスポイント４０と設定配信装置６０とをノンセキュアな状態で接続するＬＡＮである。オープンＶＬＡＮ５０は、オープン無線伝送路２０に対応した設定となっている。

設定配信装置６０は、無線端末１０とＷｅｂサーバ８０や業務用サーバ９０とが通信するために必要な認証を行う装置である。この通信に必要な認証は、無線端末１０と通信を行うことにより行われる。設定配信装置６０は、ホストコンピュータやサーバなどといった、コンピュータとして構成されている。設定配信装置６０は、オープンＶＬＡＮ５０及び無線アクセスポイント４０を介して無線端末１０と通信接続する。設定配信装置６０の物理的構成および機能的構成については、後述する。

セキュアＶＬＡＮ７０は、無線アクセスポイント４０とＷｅｂサーバ８０や業務用サーバ９０とをセキュアな状態で接続するＬＡＮである。設定配信装置６０の認証処理によって、Ｗｅｂサーバ８０や業務用サーバ９０との通信が許可された無線端末１０だけが、当該通信を行うことができる。セキュアＶＬＡＮ７０は、セキュア無線伝送路３０に対応した設定となっている。

Ｗｅｂサーバ８０は、無線端末１０から送信された要求情報に応じて、応答情報を生成する処理を行って、無線端末１０に送信するサーバである。例えば、Ｗｅｂサーバ８０は、所定のサイトのＵＲＬ情報を無線端末１０から受信すると、当該サイトのコンテンツファイルを無線端末１０に送信する。

業務用サーバ９０は、無線端末１０から送信されたリクエスト情報に応じて、リプライ情報を生成する処理を行って、無線端末１０に送信するサーバである。例えば、業務用サーバ９０は、所定の計算を依頼する情報を無線端末１０から受信すると、当該計算の結果に関する情報を無線端末１０に送信する。

（２）無線端末の構成
引き続き、本実施形態である無線端末１０の構成について、図２〜図４を用いて説明する。図３は、無線端末１０のハードウェア構成を示す構成図であり、図４は、無線端末１０に実装されたソフトウェアブロックを示すソフトウェアブロック図である。図３に示すように、無線端末１０は、ＣＰＵ１０１、ＲＡＭ１０２、ＲＯＭ１０３、操作部１０４、無線通信部１０５、ディスプレイ１０６、及びアンテナ１０７等のハードウェアにより構成されている。これらの構成要素が動作することにより、以下に説明する各機能が発揮される。

また、図４に示すように、無線端末１０において、第１ブロック１００１としてＮＩＣ（Network Interface Card）−driverが、第２ブロック１００２としてＩＰ ｓｏｃｋｅｔが、第３ブロック１００３としてＴＣＰ／ＵＤＰが、第４ブロック１００４として上記ブロック１００１〜１００３を含むｋｅｒｎｅｌが、第５ブロック１００５として端末情報送受信プロトコルａが、第６ブロック１００６として端末管理アプリケーションｔ及び設定情報（即ち、無線ＬＡＮ接続プロファイル）が実装されている。ここで、ＩＰ ｓｏｃｋｅｔスタックやＴＣＰ／ＵＤＰスタックは、通常の端末や装置が備えるプロトコルスタックであり、これらが利用される。なお、端末情報送受信プロトコルａは、無線端末１０と設定配信装置６０との間で情報を送受信するために利用されるプロトコルである。また、端末管理アプリケーションｔは、図２に示す機能的な構成要素を含むアプリケーションである。

また、図２に示すように、無線端末１０は、機能的な構成要素として、無線通信部１１（端末送信手段）、プロトコル処理部１２（端末受信手段）、アプリケーション処理部１３（端末実行手段）、設定情報格納部１４（端末格納手段）、認証情報格納部１５、及び端末制御部１６を有している。無線通信部１１は、認証情報を、オープン無線伝送路２０、無線アクセスポイント４０、オープンＶＬＡＮ５０の順に経由させて設定配信装置６０に送信する部分である。認証情報とは、Ｗｅｂサーバ８０や業務用サーバ９０と通信するために必要な認証を行うために必要な情報である。これにより、認証情報に基づいて、無線端末１０と設定配信装置６０との間の通信を許可するか否かが、設定配信装置６０によって判定される。

プロトコル処理部１２は、設定配信装置６０によって無線端末１０との間の通信が許可されると判定された場合、設定情報（即ち、無線ＬＡＮ接続プロファイル）を設定配信装置６０から受信して処理する部分である。プロトコル処理部１２は、設定情報を設定配信装置６０から受信するために、設定配信装置６０と無線端末１０との間で用いられる通信プロトコルを処理する。この設定情報は、セキュア無線伝送路３０、無線アクセスポイント４０、セキュアＶＬＡＮ７０を介した無線端末１０とＷｅｂサーバ８０や業務用サーバ９０との間の通信に必要な設定を示す設定情報である。

アプリケーション処理部１３は、設定情報に基づく、セキュア無線伝送路３０、無線アクセスポイント４０、セキュアＶＬＡＮ７０を介して、Ｗｅｂサーバ８０や業務用サーバ９０との間の通信を行う部分である。

また、アプリケーション処理部１３は、無線通信部１１が認証情報を設定配信装置６０に送信する前に、設定情報格納部１４に格納された設定情報に基づく、Ｗｅｂサーバ８０や業務用サーバ９０との間の通信接続を試行（チャレンジ）する。設定情報に基づく通信接続の試行は、アプリケーション処理部１３が、この設定情報に基づいて、セキュア無線伝送路３０を介して無線アクセスポイント４０に通信接続するのが可能か否かを試す通信試行情報を、無線アクセスポイント４０に送信することにより行われる。ここで、この通信試行情報に応答する応答情報（即ち、Ａｃｋ信号）が無線アクセスポイント４０から得られれば、セキュアＶＬＡＮ７０上のサーバに通信接続するのが可能となる。ここで、この設定情報に基づく通信が不可能であった場合には、無線通信部１１が、認証情報を、オープン無線伝送路２０、無線アクセスポイント４０、オープンＶＬＡＮ５０の順に経由させて設定配信装置６０に送信する。即ち、設定情報に基づくセキュアな通信が不可能であった場合には、無線通信部１１が、認証情報をオープンな通信によって設定配信装置６０に送信して、認証を要求する。

設定情報格納部１４は、プロトコル処理部１２により受信された設定情報を格納する部分である。設定情報格納部１４に格納された設定情報は、アプリケーション処理部１３により抽出されて、セキュアな通信路を介したＷｅｂサーバ８０や業務用サーバ９０との間の通信の試行に用いられる。

認証情報格納部１５は、無線通信部１１が設定配信装置６０に送信する認証情報を格納する部分である。設定配信装置６０によって認証情報の送信が要求されると、認証情報格納部１５に格納された認証情報が、無線通信部１１によって設定配信装置６０に送信される。

端末制御部１６は、無線端末１０全体の動作などを制御する部分である。

（３）設定配信装置の構成
引き続き、本実施形態である設定配信装置６０の構成について、図２、図５、図６を用いて説明する。図５は、設定配信装置６０のハードウェア構成を示す構成図であり、図６は、設定配信装置６０に実装されたソフトウェアブロックを示すソフトウェアブロック図である。図５に示すように、設定配信装置６０は、ＣＰＵ（Central Processing Unit）６０１、主記憶装置であるＲＡＭ（Random Access Memory）６０２及びＲＯＭ(Read Only Memory)６０３、通信を行うための通信モジュール６０４、並びにハードディスク等の補助記憶装置６０５等のハードウェアを備えるコンピュータとして構成される。これらの構成要素が動作することにより、設定配信装置６０の機能が発揮される。

また、図６に示すように、設定配信装置６０において、第１ブロック６００１としてＮＩＣ（Network Interface Card）−driverが、第２ブロック６００２としてＩＰ ｓｏｃｋｅｔが、第３ブロック６００３としてＴＣＰ／ＵＤＰが、第４ブロック６００４として上記ブロック６００１〜６００３を含むｋｅｒｎｅｌが、第５ブロック６００５として端末情報送受信プロトコルａが、第６ブロック６００６として端末管理アプリケーションｓ及び設定情報（即ち、無線ＬＡＮ接続プロファイル）が、第７ブロック６００７としてｈｔｔｐが、第８ブロック６００８としてｗｅｂ ｂｒｏｗｓｅｒが実装されている。また、端末管理アプリケーションｓは、図２に示す機能的な構成要素を含むアプリケーションである。

また、図２に示すように、設定配信装置６０は、機能的な構成要素として、装置受信部６１（装置受信手段）、ＡＰ情報蓄積部６２、認証処理部６３（装置判定手段）、利用者情報格納部６４、設定情報格納部６５、プロトコル処理部６６（装置送信手段）、及び装置制御部６７を有している。装置受信部６１は、認証情報を、オープン無線伝送路２０、無線アクセスポイント４０、オープンＶＬＡＮ５０の順に経由させて無線端末１０から受信する部分である。

ＡＰ情報蓄積部６２は、無線アクセスポイント４０の設置位置やＩＰアドレスといった無線アクセスポイント４０に関するＡＰ情報を蓄積しておく部分である。このＡＰ情報は、後述の認証処理部６３による判定処理の際に用いられる。例えば、無線端末１０がセキュア無線伝送路３０への接続を要求する経路が正当なものかを判定するために、このＡＰ情報は用いられる。

認証処理部６３は、認証情報および上記のＡＰ情報に基づいて、無線端末１０と設定配信装置６０との間の通信を許可するか否かを判定する部分である。認証処理部６３は、セキュア無線伝送路３０への接続を要求する無線端末１０の正当性を判定する。

利用者情報格納部６４は、上記の認証によってセキュア無線伝送路３０への接続が許可される無線端末１０のユーザに関するユーザ情報を、格納する部分である。

設定情報格納部６５は、上記の認証によって、セキュア無線伝送路３０への接続が許可された無線端末１０に対して送信される設定情報（即ち、無線ＬＡＮ接続プロファイル）を格納する部分である。この設定情報が無線端末１０に設定されることにより、無線端末１０は、セキュア無線伝送路３０、無線アクセスポイント４０を経由してセキュアＶＬＡＮ７０へ接続することが可能になる。また、設定情報格納部６５は、セキュア無線伝送路３０に接続された無線端末１０に対して提供される、リッチサービス用のネットワーク機器の設定などに関する情報や、Ｗｅｂサーバ８０や業務用サーバ９０に接続する際に必要な情報（例えばアドレス情報）も格納している。

プロトコル処理部６６は、上記の認証によって無線端末１０がセキュア無線伝送路３０への接続が許可されると、設定情報を無線端末１０に送信する際のプロトコル処理を行う部分である。これにより、設定情報は無線端末１０に送信される。

装置制御部６７は、設定配信装置６０全体の動作などを制御する部分である。

（４）接続設定システムで実行される処理
引き続き、本実施形態である接続設定システム１００で実行される処理（接続設定方法）について、図７を用いて説明する。図７は、接続設定システム１００で実行される処理の流れを説明するためのシーケンス図である。

まず、無線端末１０では、電源がオンされる（Ｓ０１）と、セキュア無線伝送路３０を介した無線アクセスポイント４０への通信接続がアプリケーション処理部１３によって試行（チャレンジ）される（Ｓ０２）。このセキュア無線伝送路３０は、セキュアＶＬＡＮ７０に対応しており、無線アクセスポイント４０によって提供される伝送路である。通信接続の試行の際は、設定情報格納部１４に格納された設定情報（即ち、無線ＬＡＮ接続プロファイル）がアプリケーション処理部１３によって抽出される。そして、この設定情報に基づいて、上記の通信試行情報を無線アクセスポイント４０に送信することにより、上記の試行が行われる。このようにして、セキュア無線伝送路３０への通信接続が試行される。

ここで、セキュア無線伝送路３０への通信接続が可能だったか否かがアプリケーション処理部１３によって判定される（Ｓ０３）。無線端末１０が設定配信装置６０から予め、セキュア無線伝送路３０に接続するための有効な設定情報（即ち、無線ＬＡＮ接続プロファイル）の配信を受けていれば、所定時間内に応答情報（即ち、Ａｃｋ信号）が得られるため、セキュア無線伝送路３０への通信接続が可能だったことが検出される。そして、無線端末１０は、直ちにセキュアＶＬＡＮ７０への通信接続が可能になり、Ｗｅｂサーバ８０や業務用サーバ９０と通信ができるようになる（Ｓ１４）。

一方、無線端末１０がＷｅｂサーバ８０や業務用サーバ９０と通信接続可能な通常のロケーションとは別のロケーションにおいて、無線端末１０がセキュア無線伝送路３０に接続しようとした場合や、通常のロケーションであってもセキュリティ強度を向上させるために上記の設定情報（即ち、無線ＬＡＮ接続プロファイル）が定期的に変更されるセキュア無線伝送路３０に無線端末１０が接続しようとした場合には、ステップＳ０３では、所定時間内に応答情報（即ち、Ａｃｋ信号）が得られず、セキュア無線伝送路３０への通信接続が不可能だったことが検出される。この場合、無線端末１０の無線通信部１１が、既知の無線ＬＡＮプロファイルを用いて、ＡＮＹ接続可能なオープン無線伝送路を提供する無線アクセスポイントをスキャンする（Ｓ０４）。この結果、無線アクセスポイント４０が検出されたとする。

次に、端末制御部１６が無線アクセスポイント４０に接続することによって、無線端末１０にＩＰアドレスが付与される。ＩＰアドレスの付与後、端末制御部１６がオープンＶＬＡＮ５０に接続されているＤＮＳ（Domain Name System）サーバ（図示せず）に問い合わせるか、又は無線端末１０にプリセット（即ち、予め記憶）されている情報を端末制御部１６が参照するか、によって、設定配信装置６０のＩＰアドレスなどに関するアドレス情報を端末制御部１６が取得する。このアドレス情報に基づいて、オープン無線伝送路２０への通信接続がアプリケーション処理部１３によって試行（チャレンジ）される（Ｓ０５）。この通信接続の試行は、オープン無線伝送路２０を介して無線アクセスポイント４０に通信接続するのが可能か否かを試す通信試行情報を無線アクセスポイント４０に送信することにより行われる。所定時間内に応答情報（即ち、Ａｃｋ信号）が得られて、この接続の試行は成功するため、この試行後、端末制御部１６が、無線アクセスポイント４０を介して設定配信装置６０に対して、Ｗｅｂサーバ８０や業務用サーバ９０への通信接続を要求する要求信号を送信する（Ｓ０６）。

これに対して、設定配信装置６０では、無線アクセスポイント４０を介して上記の通信接続の要求を行ってきた無線端末１０の正当性を判定する（Ｓ０７）。具体的には、認証処理部６３が、ＡＰ情報蓄積部６２に蓄積されたＡＰ情報に基づいて、この無線アクセスポイント４０が正当なアクセスポイントであるか否かを判定する。正当であると判定された場合には、装置制御部６７が、認証情報の送信を要求する要求情報を、無線アクセスポイント４０を介して無線端末１０へ送信する（Ｓ０８）。

ここで、無線端末１０がどの無線アクセスポイント４０を経由して通信接続の要求を行ってきたかが、認証処理部６３によって検出される。このため、複数の無線アクセスポイント毎に、既知の無線ＬＡＮプロファイルが異なる場合であっても、無線端末１０が接続している無線アクセスポイント４０に応じた既知の無線ＬＡＮプロファイルの配信を設定配信装置６０が行うことができる。

ステップＳ０８で、無線端末１０が、設定配信装置６０から要求情報を受信すると、認証情報格納部１５に格納されている認証情報が、無線通信部１１によって抽出される。そして、無線通信部１１が、この認証情報を、ＡＮＹ接続が許可されたオープン無線伝送路２０を介して設定配信装置６０に送信する（Ｓ０９、端末送信ステップ）。ここで、認証処理部６３が、利用者情報格納部６４に予め格納されているユーザ情報に基づいて、無線端末１０の正当性の判定を行う（Ｓ１０、装置判定ステップ）。このユーザ情報は、上記の認証によってセキュア無線伝送路３０への接続が許可される無線端末１０のユーザに関する情報である。

ここで、無線端末１０が正当であると判定された場合、プロトコル処理部１２とプロトコル処理部６６との間で、設定情報（即ち、無線ＬＡＮ接続プロファイル）の無線端末１０への配信のためのネゴシエーションが行われる（Ｓ１１）。このネゴシエーションによって、無線端末１０と設定配信装置６０との間で、設定情報の配信のためのパスが確立される。そして、設定配信装置６０から無線端末１０に対して、オープンＶＬＡＮ５０、無線アクセスポイント４０、オープン無線伝送路２０の順に経由させて設定情報が配信される（Ｓ１２、装置送信ステップ）。

ここで、接続設定システム１００のセキュリティ強度向上のため、Ｗｅｂサーバ８０や業務用サーバ９０のアドレス情報などを、無線端末１０側には持たせずに定期的に変更する場合には、設定情報（即ち、無線ＬＡＮ接続プロファイル）だけでなく、設定情報格納部６５に格納されている、Ｗｅｂサーバ８０や業務用サーバ９０に接続する際に必要な情報（例えばアドレス情報）も併せて同時に、無線端末１０に配信することも可能である。

設定情報（即ち、無線ＬＡＮ接続プロファイル）の配信を受けた無線端末１０は、この設定情報を設定情報格納部１４に格納する。更に、端末制御部１６が、この設定情報を無線通信部１１に渡して、この設定情報に基づく無線アクセスポイント４０への接続を指示する。これにより、セキュア無線伝送路３０を介した無線アクセスポイント４０への通信接続がアプリケーション処理部１３によって試行（チャレンジ）される（Ｓ１３）。所定時間内に応答情報（即ち、Ａｃｋ信号）が得られて、セキュア無線伝送路３０へのアクセスが可能になると、アプリケーション処理部１３が、設定配信装置６０から配信された設定情報に示されるＷｅｂサーバ８０や業務用サーバ９０のアドレス情報に基づいて、セキュアＶＬＡＮ７０上に存在するＷｅｂサーバ８０や業務用サーバ９０など各種サーバに通信接続する（Ｓ１４、端末実行ステップ）。そして、このタイミングで、Ｗｅｂサーバ８０や業務用サーバ９０による、通信アプリケーションサービスの提供が可能となる。

以上のように、本発明に係る接続設定システム１００、設定配信装置６０、無線端末１０、及び接続設定方法では、まず、無線端末１０が、上記の認証情報を、オープンＶＬＡＮ５０を介して設定配信装置６０に送信する。そして、設定配信装置６０が、この認証情報に基づいて、上記の通信を許可するか否かを判定する。次に、当該通信を許可すると判定された場合、セキュアＶＬＡＮ７０を介した当該通信に必要な設定を示す設定情報を、設定配信装置６０が無線端末１０に送信する。そして、無線端末１０は、この設定情報に基づいて、セキュアＶＬＡＮ７０を介したＷｅｂサーバ８０や業務用サーバ９０との間の通信を行う。

このように、最初に、無線端末１０による認証情報の送信がオープンＶＬＡＮ５０を介して行われると、最終的に、無線端末１０がＷｅｂサーバ８０や業務用サーバ９０とセキュアＶＬＡＮ７０を介して通信するのに必要な設定が、無線端末１０に対して行われる。これにより、無線端末１０が無線ＬＡＮシステムに接続してＷｅｂサーバ８０や業務用サーバ９０と通信するのに必要な、無線端末１０における設定情報の設定や更新の作業を、無線端末１０の数に関わらず容易に行うことが可能となる。また、無線端末１０は、拠点やポリシーの異なるロケーション間をまたがった通信接続が要求された場合であっても、認証成功後であれば、セキュアなネットワークへの接続ができる。また、無線端末１０のユーザは、メンテナンスフリーで、通信接続サービスを受けることができる。更に、システムの導入および運用に必要なコストを削減することができる。

また、アプリケーション処理部１３は、プロトコル処理部１２により認証情報が設定配信装置６０に送信される前に、設定情報格納部１４に格納された設定情報に基づくセキュアＶＬＡＮ７０を介したＷｅｂサーバ８０や業務用サーバ９０との間の通信を試行する。これにより、設定情報格納部１４に格納された設定情報がまだ有効である場合、設定配信装置６０による認証処理を省略することができるため、無線端末１０が無線ＬＡＮシステムに接続してＷｅｂサーバ８０や業務用サーバ９０と通信するまでの時間を短縮することができる。

また、どの通信端末をセキュアＶＬＡＮ７０へ接続させるかという認証処理は設定配信装置６０で行われ、セキュアＶＬＡＮ７０への接続に必要な設定情報は接続を要求してきた無線端末１０へ認証成功後に配信することにより、セキュアＶＬＡＮ７０への接続が可能となる。この点で、上記の特許文献１のように、ネットワーク上のスイッチへ接続に必要な制御信号を出力する方式とは、異なる。

また、上記の特許文献１の方式では、特定のＭＡＣアドレスを有する端末に対するＶＬＡＮへのポートの開閉をＲａｄｉｕｓサーバから制御する場合に、コンフィグ情報を配信するか、スイッチのコンフィグ情報をＴｅｌｎｅｔを用いて書き換えることになる。このため、Ｒａｄｉｕｓサーバ側で常にスイッチの構成（即ち、ポート数の増減など）を意識してコンフィグ情報を作成する必要がある。一方、本発明に係る接続設定システム１００、設定配信装置６０、無線端末１０、及び接続設定方法のように、無線端末１０に直接、設定情報を与える場合には、無線アクセスポイントや各種ＬＡＮなどのネットワーク側の構成を意識する必要がなく、管理を簡易に実現できるという利点がある。

更に、特許文献１の方式では、スイッチの設定の確認などのために、Ｒａｄｉｕｓサーバ側で設定確認などのためのプログラムを作成する必要があり、スイッチの機材などを更改や更新した場合にはそれらの管理プログラムを作成しなおす必要がある。一方、本発明に係る接続設定システム１００、設定配信装置６０、無線端末１０、及び接続設定方法の場合、設定配信装置６０と無線端末１０との間で、自動で直接、設定情報の送受信が可能であるため、ネットワーク側の更改や更新を意識する必要がなく、容易にネットワークの設定を更改や更新できる利点がある。

更に、特許文献１の方式では、有線での常時接続あるいはＷＬＡＮ（Wireless LAN）であってもＭＡＣレイヤでの接続は許容しつつ、ＩＰレイヤでの接続を制御している。一方、本発明に係る接続設定システム１００、設定配信装置６０、無線端末１０、及び接続設定方法の場合、ＶＬＡＮと無線チャネル（即ち、無線伝送路）を対応させておき、オープンなＶＬＡＮに対応した無線チャネルにはＡＮＹ接続が可能としておくが、各種サービスが提供されるセキュアなＶＬＡＮに対応した無線チャネルへの接続はＭＡＣレイヤでの接続情報を設定配信装置６０から配信されない限り通信接続は不可能である。ＭＡＣレイヤでの制御は、ＩＰレイヤでの制御に比較してセキュリティが高く、また運用上発生し得る人的要因によりポートの設定ミスが発生したため本来は許可されない無線端末の通信接続を許可しまうなどの問題の発生を未然に防ぐことができるという利点がある。

従来の技術を用いた無線ＬＡＮシステムにおける、端末とサーバとの関係を説明する説明図である。 本発明の実施形態における接続設定システムの構成を説明するための説明図である。 実施形態における無線端末のハードウェア構成を示す構成図である。 実施形態における無線端末に実装されたソフトウェアブロックを示すソフトウェアブロック図である。 実施形態における設定配信装置のハードウェア構成を示す構成図である。 実施形態における設定配信装置に実装されたソフトウェアブロックを示すソフトウェアブロック図である。 実施形態における接続設定システムで実行される処理の流れを説明するためのシーケンス図である。

符号の説明

１０，９１…無線端末、１１…無線通信部、１２…プロトコル処理部、１３…アプリケーション処理部、１４…設定情報格納部、１５…認証情報格納部、１６…端末制御部、２０…オープン無線伝送路、３０，９３…セキュア無線伝送路、４０，９４…無線アクセスポイント、５０…オープンＶＬＡＮ、６０…設定配信装置、６１…装置受信部、６２…ＡＰ情報蓄積部、６３…認証処理部、６４…利用者情報格納部、６５…設定情報格納部、６６…プロトコル処理部、６７…装置制御部、７０…セキュアＶＬＡＮ、８０，９８…Ｗｅｂサーバ、９０，９９…業務用サーバ、９７…セキュアＬＡＮ、１００…接続設定システム、１０４…操作部、１０５…無線通信部、１０６…ディスプレイ、１０７…アンテナ、６０４…通信モジュール、６０５…補助記憶装置。

Claims (5)

1. 無線端末と、前記無線端末からの情報を処理する情報処理装置と、前記無線端末が前記情報処理装置と通信するために必要な認証を行う認証装置と、を備える接続設定システムであって、
   前記無線端末は、
   前記情報処理装置と通信するために必要な認証情報を、第一ネットワークを介して前記認証装置に送信する端末送信手段を有し、
   前記認証装置は、
   前記無線端末から受信した前記認証情報に基づいて、前記無線端末と前記情報処理装置との間の通信を許可するか否かを判定する装置判定手段と、
   当該通信を許可すると判定された場合、第二ネットワークを介した当該無線端末と当該情報処理装置との間の通信に必要な設定を示す設定情報を、前記無線端末に送信する装置送信手段と、を有し、
   前記無線端末は、前記認証装置から受信した前記設定情報に基づく前記第二ネットワークを介した前記情報処理装置との間の通信を行う、
   ことを特徴とする接続設定システム。
2. 無線端末からの情報を処理する情報処理装置と前記無線端末とが通信するために必要な認証を行う認証装置であって、
   前記情報処理装置と通信するために必要な認証情報を、第一ネットワークを介して前記無線端末から受信する装置受信手段と、
   前記認証情報に基づいて、前記無線端末と前記情報処理装置との間の通信を許可するか否かを判定する装置判定手段と、
   当該通信を許可すると判定された場合、第二ネットワークを介した当該無線端末と当該情報処理装置との間の通信に必要な設定を示す設定情報を、前記無線端末に送信して、前記設定情報に基づく前記第二ネットワークを介した前記情報処理装置との間の通信を前記無線端末に許可する装置送信手段と、
   を備えることを特徴とする認証装置。
3. 自端末からの情報を処理する情報処理装置と通信するために必要な認証が認証装置により行われる無線端末であって、
   前記情報処理装置と通信するために必要な認証情報を、第一ネットワークを介して前記認証装置に送信して、前記認証情報に基づいて、自端末と前記情報処理装置との間の通信を許可するか否かを前記認証装置に判定させる端末送信手段と、
   当該通信を許可すると判定された場合、第二ネットワークを介した自端末と当該情報処理装置との間の通信に必要な設定を示す設定情報を、前記認証装置から受信する端末受信手段と、
   前記設定情報に基づく前記第二ネットワークを介した前記情報処理装置との間の通信を行う端末実行手段と、
   を備えることを特徴とする無線端末。
4. 前記端末受信手段により受信された前記設定情報を格納する端末格納手段を更に備え、
   前記端末実行手段は、前記端末送信手段により前記認証情報が前記第一ネットワークを介して前記認証装置に送信される前に、前記端末格納手段に格納された前記設定情報に基づく前記第二ネットワークを介した前記情報処理装置との間の通信を試行する、
   ことを特徴とする、請求項３に記載の無線端末。
5. 無線端末と、前記無線端末からの情報を処理する情報処理装置と、前記無線端末が前記情報処理装置と通信するために必要な認証を行う認証装置と、を備える接続設定システムにより行われる接続設定方法であって、
   前記情報処理装置と通信するために必要な認証情報を、第一ネットワークを介して前記認証装置に前記無線端末が送信する端末送信ステップと、
   前記無線端末から受信した前記認証情報に基づいて、前記無線端末と前記情報処理装置との間の通信を許可するか否かを前記認証装置が判定する装置判定ステップと、
   当該通信を許可すると判定された場合、第二ネットワークを介した当該無線端末と当該情報処理装置との間の通信に必要な設定を示す設定情報を、前記無線端末に前記認証装置が送信する装置送信ステップと、
   前記認証装置から受信した前記設定情報に基づく前記第二ネットワークを介した前記情報処理装置との間の通信を前記無線端末が行う端末実行ステップと、
   を有することを特徴とする接続設定方法。

Images