JP2011119947A - Access point and method of controlling packet relay of access point - Google Patents

Access point and method of controlling packet relay of access point Download PDF

Info

Publication number
JP2011119947A
JP2011119947A JP2009274969A JP2009274969A JP2011119947A JP 2011119947 A JP2011119947 A JP 2011119947A JP 2009274969 A JP2009274969 A JP 2009274969A JP 2009274969 A JP2009274969 A JP 2009274969A JP 2011119947 A JP2011119947 A JP 2011119947A
Authority
JP
Japan
Prior art keywords
packet
ipsec
wireless lan
access point
address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2009274969A
Other languages
Japanese (ja)
Other versions
JP5126209B2 (en
Inventor
Hisashi Tokumasu
久司 徳増
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Platforms Ltd
Original Assignee
NEC AccessTechnica Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC AccessTechnica Ltd filed Critical NEC AccessTechnica Ltd
Priority to JP2009274969A priority Critical patent/JP5126209B2/en
Publication of JP2011119947A publication Critical patent/JP2011119947A/en
Application granted granted Critical
Publication of JP5126209B2 publication Critical patent/JP5126209B2/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Mobile Radio Communication Systems (AREA)

Abstract

<P>PROBLEM TO BE SOLVED: To provide an access point of a public wireless LAN with high convenience, which prevents an installer and a manager from being called to account when a user commits a fraudulent act. <P>SOLUTION: A wireless LAN communication means 501 has a function for transmitting/receiving packets to/from a wireless LAN terminal 510, and transmits packets having passed through a packet filtering means 503 to the wireless LAN terminal 510 among the packets received by an Internet communication means 502. The Internet communication means 502 has a function for transmitting/receiving the packets to/from an IPsec server 530 via the Internet 520, and transmits the packets having passed through the packet filtering means 503 to the IPsec server 530 among the packets received by the wireless LAN communication means 501. Then, IPsec packets transmitted by the Internet communication means 502 are decoded by the IPsec server 530 to be transmitted to other device 540. <P>COPYRIGHT: (C)2011,JPO&INPIT

Description

本発明は、公衆無線ＬＡＮに用いられるアクセスポイントおよびアクセスポイントのパケット中継制御方法に関する。   The present invention relates to an access point used for a public wireless LAN and a packet relay control method for the access point.

飲食店や駅などに、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）端末によるインターネットを介した情報の送受信を中継するためのアクセスポイントが設置されている。   An access point for relaying transmission / reception of information via the Internet by a wireless LAN (Local Area Network) terminal is installed in a restaurant or a station.

そして、公衆が利用可能な無線ＬＡＮである公衆無線ＬＡＮのアクセスポイントには、ユーザの認証を行うものと行わないものとがある。   There are public wireless LAN access points, which are publicly available wireless LANs, with and without user authentication.

特許文献１には、公衆無線ＬＡＮのアクセスポイントを介してＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）に接続可能なシステムが記載されている。   Patent Document 1 describes a system that can be connected to a VPN (Virtual Private Network) via an access point of a public wireless LAN.

特開２００５−２０４０８６号公報（段落００４６〜００７４、図１）Japanese Patent Laying-Open No. 2005-204086 (paragraphs 0046 to 0074, FIG. 1)

公衆無線ＬＡＮのアクセスポイントがユーザの認証を行う場合には、アクセスポイントの設置等をした特定のインターネットサービスプロバイダに契約等をしているユーザ以外のユーザは、当該アクセスポイントを利用することができない。よって、ユーザ認証を行うアクセスポイントは、利便性が低い。   When a public wireless LAN access point authenticates a user, a user other than a user who has contracted with a specific Internet service provider who installed the access point cannot use the access point. . Therefore, the access point that performs user authentication is less convenient.

特許文献１に記載されているシステムでは、接続認証サーバによって認証されたユーザ以外のユーザは、公衆無線ＬＡＮを利用して情報を送受信することができず、利便性が低い。   In the system described in Patent Document 1, users other than the user who is authenticated by the connection authentication server cannot transmit / receive information using the public wireless LAN, and convenience is low.

また、公衆無線ＬＡＮのアクセスポイントがユーザの認証を行なわない場合には、当該アクセスポイントを利用するユーザを特定することができず、当該アクセスポイントを介してユーザが不正行為等を行っても、そのユーザを追跡することは困難である。   In addition, when the access point of the public wireless LAN does not authenticate the user, the user who uses the access point cannot be specified. Even if the user performs an illegal act or the like through the access point, It is difficult to track the user.

そこで、本発明は、利便性が高く、アクセスポイントがユーザの認証を行わない場合でも、ユーザの不正行為を防止したり、不正行為を行ったユーザの追跡を容易にすることができる公衆無線ＬＡＮのアクセスポイントおよびアクセスポイントのパケット中継制御方法を提供することを目的とする。   Therefore, the present invention is highly convenient, and even when the access point does not authenticate the user, the public wireless LAN that can prevent the user's fraud and can easily track the user who has performed the fraud. It is an object to provide an access point and a packet relay control method for the access point.

本発明によるアクセスポイントは、無線ＬＡＮ端末とパケットを送受信する無線ＬＡＮ通信手段と、インターネットを介して、受信したＩＰｓｅｃパケットを復号してインターネットに接続された他の装置に送信するＩＰｓｅｃサーバとパケットを送受信するインターネット通信手段と、無線ＬＡＮ通信手段が受信したパケットおよびインターネット通信手段が受信したパケットのうち、ＩＫＥパケットとＩＰｓｅｃパケットとが通過可能なパケットフィルタリング手段とを備え、無線ＬＡＮ通信手段は、インターネット通信手段が受信したパケットのうち、パケットフィルタリング手段を通過したパケットを無線ＬＡＮ端末に送信し、インターネット通信手段は、無線ＬＡＮ通信手段が受信したパケットのうち、パケットフィルタリング手段を通過したパケットをＩＰｓｅｃサーバに送信することを特徴とする。   The access point according to the present invention includes a wireless LAN communication unit that transmits and receives packets to and from a wireless LAN terminal, an IPsec server that decrypts received IPsec packets via the Internet, and transmits packets to other devices connected to the Internet. Internet communication means for transmitting and receiving, packet filtering means through which an IKE packet and an IPsec packet can pass among packets received by the wireless LAN communication means and packets received by the Internet communication means. Of the packets received by the communication means, packets that have passed through the packet filtering means are transmitted to the wireless LAN terminal. And transmitting a packet that has passed to the IPsec server.

本発明によるアクセスポイントのパケット中継制御方法は、無線ＬＡＮ端末とパケットを送受信する無線ＬＡＮ通信ステップと、インターネットを介して、受信したＩＰｓｅｃパケットを復号してインターネットに接続された他の装置に送信するＩＰｓｅｃサーバとパケットを送受信するインターネット通信ステップと、無線ＬＡＮ通信ステップで受信したパケットおよびインターネット通信ステップで受信したパケットのうち、ＩＫＥパケットとＩＰｓｅｃパケットとを通過させる処理を行うパケットフィルタリングステップとを含み、無線ＬＡＮ通信ステップで、インターネット通信ステップで受信したパケットのうち、パケットフィルタリングステップの処理で通過したパケットを無線ＬＡＮ端末に送信し、インターネット通信ステップで、無線ＬＡＮ通信ステップで受信したパケットのうち、パケットフィルタリングステップの処理で通過したパケットをＩＰｓｅｃサーバに送信することを特徴とする。   The access point packet relay control method according to the present invention includes a wireless LAN communication step for transmitting / receiving a packet to / from a wireless LAN terminal, and decrypts the received IPsec packet via the Internet and transmits it to another device connected to the Internet. An Internet communication step for transmitting and receiving packets to and from an IPsec server, and a packet filtering step for performing a process of passing an IKE packet and an IPsec packet out of the packet received in the wireless LAN communication step and the packet received in the Internet communication step, In the wireless LAN communication step, among the packets received in the internet communication step, the packets passed in the packet filtering step are transmitted to the wireless LAN terminal, and the internet communication step. In, among the packets received by the wireless LAN communication step, and transmits the packet through the processing of packet filtering step to the IPsec server.

本発明によれば、ユーザ認証を行わない利便性の高いアクセスポイントを提供することができる。   According to the present invention, it is possible to provide a convenient access point that does not perform user authentication.

また、アクセスポイントがユーザの認証を行わずに、ユーザの不正行為を防止したり、不正行為を行ったユーザの追跡を容易にすることができる。   In addition, it is possible to prevent a user's fraud without the user authenticating the user or to easily track the user who has performed the fraud.

本発明によるアクセスポイントの第１の実施形態の接続例を示す説明図である。It is explanatory drawing which shows the example of a connection of 1st Embodiment of the access point by this invention. 本発明の第１の実施形態のアクセスポイントの構成例を示すブロック図である。It is a block diagram which shows the structural example of the access point of the 1st Embodiment of this invention. ＩＰｓｅｃサーバの構成例を示すブロック図である。It is a block diagram which shows the structural example of an IPsec server. アクセスポイントにおける上り方向のパケットの処理を示すフローチャートである。It is a flowchart which shows the process of the packet of the uplink in an access point. 上り方向のＩＰｓｅｃパケットを受信したＩＰｓｅｃサーバの動作を示すフローチャートである。It is a flowchart which shows operation | movement of the IPsec server which received the IPsec packet of the uplink direction. 下り方向のＩＰｓｅｃパケットを受信したＩＰｓｅｃサーバの動作を示すフローチャートである。It is a flowchart which shows operation | movement of the IPsec server which received the IPsec packet of the downlink direction. 本発明によるアクセスポイントの第２の実施形態の構成例を示すブロック図である。It is a block diagram which shows the structural example of 2nd Embodiment of the access point by this invention. 本発明の概要を示すブロック図である。It is a block diagram which shows the outline | summary of this invention.

実施形態１．
本発明によるアクセスポイントの第１の実施形態について、図面を参照して説明する。図１は、本発明によるアクセスポイント１０３の第１の実施形態の接続例を示す説明図である。 Embodiment 1. FIG.
A first embodiment of an access point according to the present invention will be described with reference to the drawings. FIG. 1 is an explanatory diagram showing a connection example of the first embodiment of the access point 103 according to the present invention.

図１に示すように、本発明の第１の実施形態のアクセスポイント１０３は、公衆無線ＬＡＮ１０６を介して端末１０４に接続され、インターネット１０１を介してＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）サーバ１０２に接続されている。また、インターネット１０１には、当該インターネット１０１を介してサービスを提供するサービス提供サーバ１０５が接続されている。サービス提供サーバ１０５は、例えば、一般的なＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）サーバや電子メールサーバである。   As shown in FIG. 1, the access point 103 according to the first embodiment of the present invention is connected to a terminal 104 via a public wireless LAN 106 and connected to an IPsec (Security Architecture for Internet Protocol) server 102 via the Internet 101. Has been. A service providing server 105 that provides a service via the Internet 101 is connected to the Internet 101. The service providing server 105 is, for example, a general HTTP (Hyper Text Transfer Protocol) server or an e-mail server.

なお、端末１０４は、無線ＬＡＮ接続機能を有し、アクセスポイント１０３およびインターネット１０１を介してＩＰｓｅｃの規格にもとづいてＩＰｓｅｃサーバ１０２とＩＰｓｅｃパケットを送受信可能なように予め設定されている。なお、端末１０４がアクセスポイント１０３と無線ＬＡＮ接続可能な範囲にいることを、公衆無線ＬＡＮ１０６の中にいるという。   The terminal 104 has a wireless LAN connection function, and is set in advance so as to be able to transmit and receive IPsec packets to and from the IPsec server 102 based on the IPsec standard via the access point 103 and the Internet 101. Note that the fact that the terminal 104 is in a range where wireless LAN connection with the access point 103 is possible is said to be in the public wireless LAN 106.

図２は、本発明の第１の実施形態のアクセスポイント１０３の構成例を示すブロック図である。   FIG. 2 is a block diagram illustrating a configuration example of the access point 103 according to the first embodiment of this invention.

図２に示すように、本発明の第１の実施形態のアクセスポイント１０３は、無線ＬＡＮ通信部２０２、フィルタ２０３，２０６、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）パケット処理部２０４、ＩＰｓｅｃパケット処理部２０５、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）側通信部２０７、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ機能部２０８、テーブル管理部２０９、およびログ保存部２１０を含む。   As shown in FIG. 2, the access point 103 according to the first embodiment of the present invention includes a wireless LAN communication unit 202, filters 203 and 206, an IKE (Internet Key Exchange) packet processing unit 204, an IPsec packet processing unit 205, and a WAN. A (Wide Area Network) side communication unit 207, a DHCP (Dynamic Host Configuration Protocol) server function unit 208, a table management unit 209, and a log storage unit 210 are included.

無線ＬＡＮ通信部２０２は、端末１０４と無線ＬＡＮ接続し、パケットを送受信する。ＷＡＮ側通信部２０７は、インターネット１０１を介してＩＰｓｅｃサーバ１０２とパケットを送受信する。   The wireless LAN communication unit 202 connects to the terminal 104 via a wireless LAN and transmits and receives packets. The WAN side communication unit 207 transmits / receives a packet to / from the IPsec server 102 via the Internet 101.

また、無線ＬＡＮ通信部２０２は、端末１０４から受信したＤＨＣＰのパケットをＤＨＣＰサーバ機能部２０８に入力する。ＤＨＣＰサーバ機能部２０８は、無線ＬＡＮ通信部２０２に接続され、無線ＬＡＮ通信部２０２が入力したＤＨＣＰのパケットを処理して無線ＬＡＮ通信部２０２に入力する。   Further, the wireless LAN communication unit 202 inputs the DHCP packet received from the terminal 104 to the DHCP server function unit 208. The DHCP server function unit 208 is connected to the wireless LAN communication unit 202, processes the DHCP packet input by the wireless LAN communication unit 202, and inputs the DHCP packet to the wireless LAN communication unit 202.

なお、ＤＨＣＰサーバ機能部２０８は、ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔｓ）２１３１で定義された「ＤＨＣＰ ｓｅｒｖｅｒ」の仕様にもとづいてＤＨＣＰのパケットを処理する。また、本実施形態において当該処理で割り当てられるＩＰアドレスは、インターネット１０１で使用可能なグローバルアドレスである。   The DHCP server function unit 208 processes the DHCP packet based on the specification of “DHCP server” defined in RFC (Request For Comments) 2131. In the present embodiment, the IP address assigned by this processing is a global address that can be used on the Internet 101.

フィルタ２０３は、無線ＬＡＮ通信部２０２に接続され、無線ＬＡＮ通信部２０２が端末１０４から受信したパケットを解析して、ＩＫＥパケット、ＩＰｓｅｃパケットおよびその他のパケットに分類する。そして、フィルタ２０３は、ＩＫＥパケットをＩＫＥパケット処理部２０４に入力し、ＩＰｓｅｃパケットをＩＰｓｅｃパケット処理部２０５に入力し、その他のパケットを破棄する。   The filter 203 is connected to the wireless LAN communication unit 202, analyzes packets received by the wireless LAN communication unit 202 from the terminal 104, and classifies the packets into IKE packets, IPsec packets, and other packets. The filter 203 inputs the IKE packet to the IKE packet processing unit 204, inputs the IPsec packet to the IPsec packet processing unit 205, and discards the other packets.

フィルタ２０６は、ＷＡＮ側通信部２０７に接続され、ＷＡＮ側通信部２０７がインターネット１０１を介して受信したパケットを解析して、ＩＫＥパケット、ＩＰｓｅｃパケットおよびその他のパケットに分類する。そして、フィルタ２０３は、ＩＫＥパケットをＩＫＥパケット処理部２０４に入力し、ＩＰｓｅｃパケットをＩＰｓｅｃパケット処理部２０５に入力し、その他のパケットを破棄する。   The filter 206 is connected to the WAN-side communication unit 207, analyzes packets received by the WAN-side communication unit 207 via the Internet 101, and classifies the packets into IKE packets, IPsec packets, and other packets. The filter 203 inputs the IKE packet to the IKE packet processing unit 204, inputs the IPsec packet to the IPsec packet processing unit 205, and discards the other packets.

ＩＫＥパケット処理部２０４は、フィルタ２０３が入力したＩＫＥパケットを後述する処理（ステップＳ１０６，Ｓ１０８）で、破棄、またはフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。また、ＩＫＥパケット処理部２０４は、フィルタ２０６が入力したＩＫＥパケットをフィルタ２０３を介して無線ＬＡＮ通信部２０２に入力し、端末１０４への転送を指示する。   The IKE packet processing unit 204 discards the IKE packet input by the filter 203 (steps S106 and S108) or inputs the IKE packet to the WAN side communication unit 207 via the filter 206, and the IPsec server via the Internet 101. Instruct to transfer to 102. Also, the IKE packet processing unit 204 inputs the IKE packet input by the filter 206 to the wireless LAN communication unit 202 via the filter 203 and instructs transfer to the terminal 104.

また、ＩＫＥパケット処理部２０４は、後述する処理（ステップＳ１０５）で、ＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとをテーブル管理部２０９が管理するテーブルに登録する。   Further, the IKE packet processing unit 204 registers the transmission source IP address and the destination IP address of the IKE packet in a table managed by the table management unit 209 in a process (step S105) described later.

ＩＰｓｅｃパケット処理部２０５は、フィルタ２０３が入力したＩＰｓｅｃパケットを後述する処理（ステップＳ１１０，Ｓ１１１の処理）で、破棄、またはフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。また、ＩＰｓｅｃパケット処理部２０５は、フィルタ２０６が入力したＩＰｓｅｃパケットをフィルタ２０３を介して無線ＬＡＮ通信部２０２に入力し、端末１０４への転送を指示する。   The IPsec packet processing unit 205 discards the IPsec packet input by the filter 203 (processing in steps S110 and S111), or inputs it to the WAN side communication unit 207 via the filter 206, via the Internet 101. Instructs transfer to the IPsec server 102. In addition, the IPsec packet processing unit 205 inputs the IPsec packet input by the filter 206 to the wireless LAN communication unit 202 via the filter 203 and instructs transfer to the terminal 104.

テーブル管理部２０９は、ＩＫＥパケット処理部２０４によってＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとが登録されるテーブルを管理する。具体的には、例えば、テーブル管理部２０９は、アクセスポイント１０３のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）によって実現され、テーブルはキャッシュメモリによって実現される。そして、ＩＫＥパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスは、キャッシュメモリにテーブル形式で記憶される。すなわち、テーブルに登録される。テーブル管理部２０９は、所定のタイミングで、テーブルに登録されたＩＫＥパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスを削除する。   The table management unit 209 manages a table in which the transmission source IP address and the destination IP address of the IKE packet are registered by the IKE packet processing unit 204. Specifically, for example, the table management unit 209 is realized by a CPU (Central Processing Unit) of the access point 103, and the table is realized by a cache memory. The source IP address and the destination IP address of the IKE packet are stored in a table format in the cache memory. That is, it is registered in the table. The table management unit 209 deletes the transmission source IP address and the destination IP address of the IKE packet registered in the table at a predetermined timing.

ログ保存部２１０は、テーブル管理部２０９が管理するテーブルに登録されたＩＫＥパケットの送信元ＩＰアドレス、および宛先ＩＰアドレスと、それらＩＰアドレスがテーブルに登録された日時、およびテーブルから削除された日時とを記録する。具体的には、例えば、記憶手段に記憶させる。   The log storage unit 210 includes a source IP address and a destination IP address of an IKE packet registered in a table managed by the table management unit 209, a date and time when the IP address was registered in the table, and a date and time when the IP address was deleted from the table. And record. Specifically, for example, it is stored in the storage means.

図３は、ＩＰｓｅｃサーバ１０２の構成例を示すブロック図である。図３に示すように、ＩＰｓｅｃサーバ１０２は、ＩＫＥ処理部３０２、ＩＰｓｅｃ処理部３０３、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）処理部３０４、およびインターネット接続部３０５，３０６を含む。   FIG. 3 is a block diagram illustrating a configuration example of the IPsec server 102. As shown in FIG. 3, the IPsec server 102 includes an IKE processing unit 302, an IPsec processing unit 303, a NAT (Network Address Translation) processing unit 304, and Internet connection units 305 and 306.

インターネット接続部３０５は、インターネット１０１を介してアクセスポイント１０３とパケットを送受信する。インターネット接続部３０６は、インターネット１０１を介してサービス提供サーバ１０５とパケットを送受信する。   The internet connection unit 305 transmits and receives packets to and from the access point 103 via the internet 101. The Internet connection unit 306 transmits and receives packets to and from the service providing server 105 via the Internet 101.

インターネット接続部３０５は、インターネット１０１を介して受信したパケットを解析して、ＩＫＥパケット、ＩＰｓｅｃパケットおよびその他のパケットに分類する。そして、ＩＫＥパケットをＩＫＥ処理部３０２に入力し、ＩＰｓｅｃパケットをＩＰｓｅｃ処理部３０３に入力し、その他のパケットを破棄する。   The Internet connection unit 305 analyzes packets received via the Internet 101 and classifies them into IKE packets, IPsec packets, and other packets. Then, the IKE packet is input to the IKE processing unit 302, the IPsec packet is input to the IPsec processing unit 303, and other packets are discarded.

また、インターネット接続部３０５は、ＩＫＥ処理部３０２またはＩＰｓｅｃ処理部３０３が入力したパケットをインターネット１０１を介して当該パケットの宛先に送信する。   In addition, the Internet connection unit 305 transmits the packet input by the IKE processing unit 302 or the IPsec processing unit 303 to the destination of the packet via the Internet 101.

ＩＰｓｅｃ処理部３０３は、インターネット接続部３０５が入力したＩＰｓｅｃパケットを復号し、ＮＡＴ処理部３０４に入力する。また、ＮＡＴ処理部３０４が入力したＩＰパケットをＩＰｓｅｃの仕様にもとづいて暗号化し、インターネット接続部３０３に入力する。なお、ＩＰｓｅｃ処理部３０３が行うパケットの暗号化の処理および復号の処理であるＩＰｓｅｃ処理は、ＲＦＣ４３０１およびＲＦＣ２４０１で定義されたＩＰｓｅｃの仕様にもとづいて行われる。また、ＩＰｓｅｃ処理部３０３は、ＩＰｓｅｃ処理のために使用される鍵情報をＩＫＥ処理部３０３から受け取る。   The IPsec processing unit 303 decrypts the IPsec packet input by the Internet connection unit 305 and inputs it to the NAT processing unit 304. Also, the IP packet input by the NAT processing unit 304 is encrypted based on the IPsec specification and input to the Internet connection unit 303. Note that IPsec processing, which is packet encryption processing and decryption processing performed by the IPsec processing unit 303, is performed based on the IPsec specifications defined in RFC4301 and RFC2401. In addition, the IPsec processing unit 303 receives key information used for the IPsec processing from the IKE processing unit 303.

ＮＡＴ処理部３０４は、ＩＰｓｅｃ処理部３０３が入力したＩＰパケットの送信元ＩＰアドレスを端末１０４のＩＰアドレスから自ＩＰアドレスに書き換えて、インターネット接続部３０６に入力する。   The NAT processing unit 304 rewrites the source IP address of the IP packet input by the IPsec processing unit 303 from the IP address of the terminal 104 to its own IP address, and inputs it to the Internet connection unit 306.

また、ＮＡＴ処理部３０４は、インターネット接続部３０６が入力したＩＰパケットの宛先ＩＰアドレスを自ＩＰアドレスから端末１０４のＩＰアドレスに書き換えて、ＩＰｓｅｃ処理部３０３に入力する。なお、ＮＡＴ処理部３０４が行うＩＰアドレスの書き換え処理は、ＲＦＣ２６６３で定義されたＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）の仕様にもとづいて行われる。   Further, the NAT processing unit 304 rewrites the destination IP address of the IP packet input by the Internet connection unit 306 from its own IP address to the IP address of the terminal 104 and inputs the IP address to the IPsec processing unit 303. Note that the IP address rewriting process performed by the NAT processing unit 304 is performed based on the specifications of NAPT (Network Address Port Translation) defined in RFC2663.

ＩＫＥ処理部３０２は、インターネット接続部３０５が入力した端末１０４から受信したＩＫＥパケットを処理する。また、インターネット接続部３０５にインターネット１０１を介した端末１０４へのＩＫＥパケットの送信を指示する。   The IKE processing unit 302 processes the IKE packet received from the terminal 104 input by the Internet connection unit 305. In addition, the Internet connection unit 305 is instructed to transmit an IKE packet to the terminal 104 via the Internet 101.

ＩＫＥ処理部３０２は、ＩＫＥパケットを処理して得られた鍵情報をＩＰｓｅｃ処理部３０３に渡す。ＩＰｓｅｃ処理部３０３は、渡された鍵情報をＩＰｓｅｃ処理に使用する。なお、ＩＫＥ処理部３０２が行うＩＫＥパケットの処理は、ＲＦＣ４３０１およびＲＦＣ２４０１で定義されたＩＰｓｅｃの仕様にもとづいて行われる。   The IKE processing unit 302 passes key information obtained by processing the IKE packet to the IPsec processing unit 303. The IPsec processing unit 303 uses the passed key information for IPsec processing. Note that the IKE packet processing performed by the IKE processing unit 302 is performed based on the IPsec specifications defined in RFC4301 and RFC2401.

次に、本発明の第１の実施形態のアクセスポイント１０３を含む公衆無線ＬＡＮシステムの動作について説明する。まず、公衆無線ＬＡＮシステムの動作の概要について説明する。以下、端末１０４から、アクセスポイント１０３、インターネット１０１、ＩＰｓｅｃサーバ１０２、およびインターネット１０１を介してサービス提供サーバ１０５に送信されるパケットを上り方向のパケットという。また、サービス提供サーバ１０５から、インターネット１０１、ＩＰｓｅｃサーバ１０２、インターネット１０１、およびアクセスポイント１０３を介して端末１０４に送信されるパケットを下り方向のパケットという。   Next, the operation of the public wireless LAN system including the access point 103 according to the first embodiment of this invention will be described. First, an outline of the operation of the public wireless LAN system will be described. Hereinafter, packets transmitted from the terminal 104 to the service providing server 105 via the access point 103, the Internet 101, the IPsec server 102, and the Internet 101 are referred to as uplink packets. A packet transmitted from the service providing server 105 to the terminal 104 via the Internet 101, the IPsec server 102, the Internet 101, and the access point 103 is referred to as a downlink packet.

ＩＰｓｅｃサーバ１０２と端末１０４との間でトンネルモードのＩＰｓｅｃの通信ができるように、予め両者の設定が行われる。   Both settings are performed in advance so that IPsec communication in the tunnel mode can be performed between the IPsec server 102 and the terminal 104.

端末１０４は、公衆無線ＬＡＮ１０６の中にいる場合に、アクセスポイント１０３と情報を送受信して、無線ＬＡＮの通信を確立する。そして、端末１０４は、アクセスポイント１０３にＤＨＣＰ要求を送信し、アクセスポイント１０３からＩＰアドレスの割り当てを受ける。なお、送信されるＤＨＣＰ要求は、具体的には、例えば、ＤＨＣＰ ｄｉｓｃｏｖｅｒメッセージである。   When the terminal 104 is in the public wireless LAN 106, the terminal 104 establishes wireless LAN communication by transmitting / receiving information to / from the access point 103. Then, the terminal 104 transmits a DHCP request to the access point 103 and receives an IP address assignment from the access point 103. The DHCP request to be transmitted is specifically a DHCP discover message, for example.

次に、端末１０４は、アクセスポイント１０３およびインターネット１０１を介して、ＩＰｓｅｃサーバ１０２との間でＩＫＥの交渉を行い、ＩＰｓｅｃによる通信路を確立する。ＩＫＥの交渉は、前述したＲＦＣ４３０１およびＲＦＣ２４０１に定義されている。アクセスポイント１０３の動作については後述する。   Next, the terminal 104 negotiates IKE with the IPsec server 102 via the access point 103 and the Internet 101, and establishes a communication path by IPsec. IKE negotiations are defined in RFC4301 and RFC2401 described above. The operation of the access point 103 will be described later.

そして、端末１０４は、インターネット１０１に接続されたサービス提供サーバ１０５が提供するサービスを利用する場合に、ＩＰｓｅｃサーバ１０２との間で確立した通信路を介して送受信されるパケットであるＩＰｓｅｃパケットを送受信する。   When the terminal 104 uses a service provided by the service providing server 105 connected to the Internet 101, the terminal 104 transmits / receives an IPsec packet, which is a packet transmitted / received through a communication path established with the IPsec server 102. To do.

ＩＰｓｅｃサーバ１０２は、端末１０４が送信したＩＰｓｅｃパケットを復号し、ＮＡＰＴの仕様にもとづいて送信元のＩＰアドレスを書き換えて、インターネット１０１を介してサービス提供サーバ１０５に送信する。   The IPsec server 102 decrypts the IPsec packet transmitted from the terminal 104, rewrites the IP address of the transmission source based on the NAPT specification, and transmits it to the service providing server 105 via the Internet 101.

ＩＰｓｅｃサーバ１０２が送信したパケットを受信したサービス提供サーバ１０５は、当該パケットの送信元ＩＰアドレスにもとづいて、送信元が端末１０４ではなく、ＩＰｓｅｃサーバ１０２であると認識する。   The service providing server 105 that has received the packet transmitted by the IPsec server 102 recognizes that the transmission source is not the terminal 104 but the IPsec server 102 based on the transmission source IP address of the packet.

サービス提供サーバ１０５は、端末１０４に応答するパケットを送信する場合には、受信したパケットの送信元であると認識しているＩＰｓｅｃサーバ１０２にパケットを送信する。ＩＰｓｅｃサーバ１０２は、サービス提供サーバ１０５が送信したパケットの宛先ＩＰアドレスをＮＡＰＴの仕様にもとづいて変換し、ＩＰｓｅｃの仕様にもとづいて暗号化して、インターネット１０１およびアクセスポイント１０３を介して端末１０４に送信する。   When the service providing server 105 transmits a packet in response to the terminal 104, the service providing server 105 transmits the packet to the IPsec server 102 that is recognized as the transmission source of the received packet. The IPsec server 102 converts the destination IP address of the packet transmitted by the service providing server 105 based on the NAPT specification, encrypts the packet based on the IPsec specification, and transmits it to the terminal 104 via the Internet 101 and the access point 103. To do.

次に、端末１０４とＩＰｓｅｃサーバ１０２との間で行われるＩＫＥの交渉について説明する。端末１０４とＩＰｓｅｃサーバ１０２との間で行われるＩＫＥの交渉は、端末１０４がＩＰｓｅｃサーバ１０２にＩＫＥパケットを送信し、その後、ＩＰｓｅｃによる通信路が確立するまで互いにＩＫＥパケットを送信することにより行われる。   Next, an IKE negotiation performed between the terminal 104 and the IPsec server 102 will be described. IKE negotiations performed between the terminal 104 and the IPsec server 102 are performed by the terminal 104 transmitting an IKE packet to the IPsec server 102 and then transmitting IKE packets to each other until a communication path by IPsec is established. .

図４は、アクセスポイント１０３における上り方向のパケットの処理を示すフローチャートである。なお、図４に示すステップＳ１０１〜Ｓ１０８の処理は、端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立するために行われる。また、図４に示すステップＳ１０１，Ｓ１０２，Ｓ１０９〜Ｓ１１１の処理は、端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立した後に行われる。   FIG. 4 is a flowchart showing upstream packet processing at the access point 103. Note that the processing in steps S101 to S108 shown in FIG. 4 is performed to establish a communication path between the terminal 104 and the IPsec server 102. 4 is performed after a communication path is established between the terminal 104 and the IPsec server 102. The processes in steps S101, S102, and S109 to S111 illustrated in FIG.

端末１０４がＩＫＥパケットをＩＰｓｅｃサーバ１０２宛に送信した場合に、アクセスポイント１０３の無線ＬＡＮ通信部２０２が当該ＩＫＥパケットを受信する（ステップＳ１０１）。フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットを解析してパケット種別を判断する（ステップＳ１０２）。   When the terminal 104 transmits the IKE packet to the IPsec server 102, the wireless LAN communication unit 202 of the access point 103 receives the IKE packet (step S101). The filter 203 analyzes the packet received by the wireless LAN communication unit 202 and determines the packet type (step S102).

フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットを解析してＤＨＣＰパケットであると判断した場合に（ステップＳ１０２）、ＤＨＣＰサーバ機能部２０８に当該ＤＨＣＰパケットを入力する。ＤＨＣＰサーバ機能部２０８は、端末１０４に「ＤＨＣＰ ｓｅｒｖｅｒ」の仕様にもとづいてＩＰアドレスを割り当て（ステップＳ１０３）、当該ＤＨＣＰパケットを破棄する。   When the filter 203 analyzes the packet received by the wireless LAN communication unit 202 and determines that the packet is a DHCP packet (step S102), the filter 203 inputs the DHCP packet to the DHCP server function unit 208. The DHCP server function unit 208 assigns an IP address to the terminal 104 based on the “DHCP server” specification (step S103), and discards the DHCP packet.

フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットがＩＫＥパケットであると判断した場合に（ステップＳ１０２）、当該ＩＫＥパケットをＩＫＥパケット処理部２０４に入力する。ＩＫＥパケット処理部２０４は、テーブル管理部２０９が管理するテーブルに、入力されたＩＫＥパケットの送信元ＩＰアドレスに合致するデータが登録されているか否か判断する（ステップＳ１０４）。   When the filter 203 determines that the packet received by the wireless LAN communication unit 202 is an IKE packet (step S102), the filter 203 inputs the IKE packet to the IKE packet processing unit 204. The IKE packet processing unit 204 determines whether data matching the transmission source IP address of the input IKE packet is registered in the table managed by the table management unit 209 (step S104).

当該ＩＫＥパケットが端末１０４から最初に送信されていた場合には、テーブル管理部２０９が管理するテーブルに当該ＩＫＥパケットの送信元ＩＰアドレスに合致するデータが登録されていないので（ステップＳ１０４のＮ）、ＩＫＥパケット処理部２０４は、送信元ＩＰアドレスと宛先ＩＰアドレスとをテーブル管理部２０９が管理するテーブルに登録する（ステップＳ１０５）。なお、ステップＳ１０５の処理でテーブルに登録される送信元ＩＰアドレスは端末１０４のＩＰアドレスであり、宛先ＩＰアドレスはＩＰｓｅｃサーバ１０２のＩＰアドレスである。   If the IKE packet is first transmitted from the terminal 104, data matching the transmission source IP address of the IKE packet is not registered in the table managed by the table management unit 209 (N in step S104). The IKE packet processing unit 204 registers the transmission source IP address and the destination IP address in the table managed by the table management unit 209 (step S105). Note that the source IP address registered in the table in step S105 is the IP address of the terminal 104, and the destination IP address is the IP address of the IPsec server 102.

そして、ＩＫＥパケット処理部２０４は、ＩＫＥパケットをフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。ＷＡＮ側通信部２０７は、当該指示に応じて、ＩＫＥパケットをインターネット１０１を介してＩＰｓｅｃサーバ１０２に転送する（ステップＳ１０６）。すなわち、送信する。   Then, the IKE packet processing unit 204 inputs the IKE packet to the WAN side communication unit 207 via the filter 206 and instructs transfer to the IPsec server 102 via the Internet 101. In response to the instruction, the WAN side communication unit 207 transfers the IKE packet to the IPsec server 102 via the Internet 101 (step S106). That is, it transmits.

その後、端末１０４がＩＫＥパケットをＩＰｓｅｃサーバ１０２宛に送信した場合に、上述したステップＳ１０１，Ｓ１０２，Ｓ１０４の処理と同様な処理が行われる。そして、上述したステップＳ１０４の処理で、送信元ＩＰアドレスと宛先ＩＰアドレスとがテーブル管理部２０９が管理するテーブルに登録されているので、ＩＫＥパケット処理部２０４は、フィルタ２０３が入力したＩＫＥパケットの送信元ＩＰアドレスに合致するデータが登録されていると判断する（ステップＳ１０４のＹ）。   Thereafter, when the terminal 104 transmits an IKE packet to the IPsec server 102, processing similar to the processing in steps S101, S102, and S104 described above is performed. Then, since the transmission source IP address and the destination IP address are registered in the table managed by the table management unit 209 in the process of step S104 described above, the IKE packet processing unit 204 executes the IKE packet input by the filter 203. It is determined that data matching the transmission source IP address is registered (Y in step S104).

そして、ＩＫＥパケット処理部２０４は、テーブル管理部２０９が管理するテーブルに登録されているＩＫＥパケットの送信元ＩＰアドレスに対応する宛先ＩＰアドレスと、入力されたＩＫＥパケットの宛先ＩＰアドレスとが合致するか否か判断する（ステップＳ１０７）。   Then, the IKE packet processing unit 204 matches the destination IP address corresponding to the transmission source IP address of the IKE packet registered in the table managed by the table management unit 209 and the destination IP address of the input IKE packet. Whether or not (step S107).

ＩＫＥパケット処理部２０４は、ステップＳ１０７の処理で、合致しないと判断した場合に（ステップＳ１０７のＮ）、入力されたＩＫＥパケットを破棄する（ステップＳ１０８）。   The IKE packet processing unit 204 discards the input IKE packet (step S108) when it is determined in step S107 that they do not match (N in step S107).

ＩＫＥパケット処理部２０４は、ステップＳ１０７の処理で、合致すると判断した場合に（ステップＳ１０７のＹ）、ＩＫＥパケットをフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。ＷＡＮ側通信部２０７は、当該指示に応じて、ＩＫＥパケットをインターネット１０１を介してＩＰｓｅｃサーバ１０２に転送する（ステップＳ１０６）。すなわち、送信する。   When the IKE packet processing unit 204 determines that they match in the process of step S107 (Y in step S107), the IKE packet processing unit 204 inputs the IKE packet to the WAN side communication unit 207 via the filter 206, and the IPsec server via the Internet 101 Instruct to transfer to 102. In response to the instruction, the WAN side communication unit 207 transfers the IKE packet to the IPsec server 102 via the Internet 101 (step S106). That is, it transmits.

なお、アクセスポイント１０３は、端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立するために、下り方向のＩＫＥパケットを以下のように処理する。すなわち、アクセスポイント１０３のＷＡＮ側通信部２０７が、ＩＰｓｅｃサーバ１０２が送信したＩＫＥパケットを受信して、フィルタ２０６に入力する。フィルタ２０６は、当該ＩＫＥパケットをＩＫＥパケット処理部２０４に入力する。ＩＫＥパケット処理部２０４は、ＩＫＥパケットをフィルタ２０３を介して無線ＬＡＮ通信部２０２に入力し、端末１０４への転送を指示する。無線ＬＡＮ通信部２０２は、入力されたＩＫＥパケットを端末１０４に送信する。   The access point 103 processes the downstream IKE packet as follows in order to establish a communication path between the terminal 104 and the IPsec server 102. That is, the WAN side communication unit 207 of the access point 103 receives the IKE packet transmitted from the IPsec server 102 and inputs it to the filter 206. The filter 206 inputs the IKE packet to the IKE packet processing unit 204. The IKE packet processing unit 204 inputs the IKE packet to the wireless LAN communication unit 202 via the filter 203 and instructs transfer to the terminal 104. The wireless LAN communication unit 202 transmits the input IKE packet to the terminal 104.

また、ＩＰｓｅｃサーバ１０２は、端末１０４との間で通信路を確立するために、下り方向のＩＫＥパケットを以下のように処理する。すなわち、ＩＰｓｅｃサーバ１０２のインターネット接続部３０５が、下り方向のＩＫＥパケットを受信して、ＩＫＥ処理部３０２に入力する。ＩＫＥ処理部３０２は、前述したＩＫＥパケットの処理を行い、インターネット接続部３０５にインターネット１０１を介した端末１０４へのＩＫＥパケットの送信を指示する。インターネット接続部３０５は、指示に応じて、インターネット１０１を介してＩＫＥパケットを端末１０４宛に送信する。また、ＩＫＥ処理部３０２は、ＩＫＥパケットの処理で鍵情報が得られた場合には、当該鍵情報をＩＰｓｅｃ処理部３０３に渡す。   The IPsec server 102 processes the downstream IKE packet as follows in order to establish a communication path with the terminal 104. That is, the Internet connection unit 305 of the IPsec server 102 receives the downstream IKE packet and inputs it to the IKE processing unit 302. The IKE processing unit 302 processes the IKE packet described above, and instructs the Internet connection unit 305 to transmit the IKE packet to the terminal 104 via the Internet 101. The Internet connection unit 305 transmits an IKE packet to the terminal 104 via the Internet 101 in response to the instruction. In addition, when key information is obtained by processing the IKE packet, the IKE processing unit 302 passes the key information to the IPsec processing unit 303.

上述したステップＳ１０１〜Ｓ１０８の処理と、アクセスポイント１０３およびＩＰｓｅｃサーバ１０２における下り方向のＩＫＥパケットの処理とによって、端末１０４とＩＰｓｅｃサーバ１０２とがＩＫＥによる交渉を完了し、ＩＰｓｅｃによる通信路が確立した。   Through the processing in steps S101 to S108 described above and the downstream IKE packet processing in the access point 103 and the IPsec server 102, the terminal 104 and the IPsec server 102 complete the negotiation by IKE, and the communication path by IPsec is established. .

端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立した後のアクセスポイント１０３の処理について説明する。   A process of the access point 103 after establishing a communication path between the terminal 104 and the IPsec server 102 will be described.

端末１０４とＩＰｓｅｃサーバ１０２とがＩＫＥによる交渉を完了し、ＩＰｓｅｃによる通信路を確立した場合、端末１０４は、インターネット１０１に接続されたサービス提供サーバ１０５が提供するサービスを利用開始する。   When the terminal 104 and the IPsec server 102 complete the negotiation by IKE and establish the communication path by IPsec, the terminal 104 starts using the service provided by the service providing server 105 connected to the Internet 101.

端末１０４は、ＩＰｓｅｃサーバ１０２との間で確立した通信路を用いてサービス提供サーバ１０５にパケットを送信するために、当該パケットを暗号化し、暗号化したパケットであるＩＰｓｅｃパケットをＩＰｓｅｃサーバ１０２宛にアクセスポイント１０３に送信する。   In order to transmit a packet to the service providing server 105 using the communication path established with the IPsec server 102, the terminal 104 encrypts the packet, and sends the encrypted IPsec packet to the IPsec server 102. Transmit to the access point 103.

アクセスポイント１０３の無線ＬＡＮ通信部２０２は、端末１０４が送信したＩＰｓｅｃパケットを受信する（ステップＳ１０１）。フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットを解析してパケット種別を判断する（ステップＳ１０２）。   The wireless LAN communication unit 202 of the access point 103 receives the IPsec packet transmitted from the terminal 104 (step S101). The filter 203 analyzes the packet received by the wireless LAN communication unit 202 and determines the packet type (step S102).

フィルタ２０３は、無線ＬＡＮ通信部２０２が受信したパケットがＩＰｓｅｃパケットであると判断した場合に、当該ＩＰｓｅｃパケットをＩＰｓｅｃパケット処理部２０５に入力する。ＩＰｓｅｃパケット処理部２０５は、テーブル管理部２０９が管理するテーブルに、入力されたＩＰｓｅｃパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとに合致するデータが登録されているか否か判断する（ステップＳ１０９）。   When the filter 203 determines that the packet received by the wireless LAN communication unit 202 is an IPsec packet, the filter 203 inputs the IPsec packet to the IPsec packet processing unit 205. The IPsec packet processing unit 205 determines whether data matching the transmission source IP address and destination IP address of the input IPsec packet is registered in the table managed by the table management unit 209 (step S109).

本例では、上述したように、既にＩＫＥでの交渉が行われ、ステップＳ１０５の処理で、送信元ＩＰアドレスと宛先ＩＰアドレスとがテーブル管理部２０９が管理するテーブルに登録されているので（ステップＳ１０９のＹ）、ＩＰｓｅｃパケット処理部２０５は、ＩＰｓｅｃパケットをフィルタ２０６を介してＷＡＮ側通信部２０７に入力し、インターネット１０１を介したＩＰｓｅｃサーバ１０２への転送を指示する。ＷＡＮ側通信部２０７は、当該指示に応じて、ＩＰｓｅｃパケットをインターネット１０１を介してＩＰｓｅｃサーバ１０２に転送する（ステップＳ１１０）。すなわち、送信する。   In this example, as described above, the IKE negotiation has already been performed, and the source IP address and the destination IP address are registered in the table managed by the table management unit 209 in the process of step S105 (step S105). In step S109, the IPsec packet processing unit 205 inputs the IPsec packet to the WAN side communication unit 207 via the filter 206, and instructs transfer to the IPsec server 102 via the Internet 101. In response to the instruction, the WAN-side communication unit 207 transfers the IPsec packet to the IPsec server 102 via the Internet 101 (step S110). That is, it transmits.

なお、送信元ＩＰアドレスがテーブル管理部２０９が管理するテーブルに登録されていない場合や、当該テーブルに登録されている送信元ＩＰアドレスとＩＰｓｅｃパケット処理部２０５に入力されたＩＰｓｅｃパケットの送信元ＩＰアドレスとが合致しない場合には（ステップＳ１０９のＮ）、ＩＰｓｅｃパケット処理部２０５は、当該ＩＰｓｅｃパケットを破棄する（ステップＳ１１１）。   In addition, when the transmission source IP address is not registered in the table managed by the table management unit 209, or the transmission source IP address registered in the table and the transmission source IP of the IPsec packet input to the IPsec packet processing unit 205 If the address does not match (N in Step S109), the IPsec packet processing unit 205 discards the IPsec packet (Step S111).

また、ステップＳ１０２の処理で、フィルタ２０３が、無線ＬＡＮ通信部２０２が受信したパケットを解析して、当該パケットが、ＩＫＥパケット、ＩＰｓｅｃパケット、およびＤＨＣＰパケットではないと判断した場合に、当該パケットを破棄する（ステップＳ１１２）。   In the process of step S102, when the filter 203 analyzes the packet received by the wireless LAN communication unit 202 and determines that the packet is not an IKE packet, an IPsec packet, or a DHCP packet, Discard (step S112).

なお、アクセスポイント１０３は、端末１０４とＩＰｓｅｃサーバ１０２との間で通信路を確立した後の下り方向のＩＰｓｅｃパケットを以下のように処理する。すなわち、ＷＡＮ側通信部２０７が、ＩＰｓｅｃサーバ１０２が送信したＩＰｓｅｃパケットを受信して、フィルタ２０６に入力する。フィルタ２０６は、当該ＩＰｓｅｃパケットをＩＰｓｅｃパケット処理部２０５に入力する。ＩＰｓｅｃパケット処理部２０５は、ＩＰｓｅｃパケットをフィルタ２０３を介して無線ＬＡＮ通信部２０２に入力し、端末１０４への転送を指示する。無線ＬＡＮ通信部２０２は、入力されたＩＰｓｅｃパケットを端末１０４に送信する。   The access point 103 processes the downstream IPsec packet after establishing a communication path between the terminal 104 and the IPsec server 102 as follows. That is, the WAN side communication unit 207 receives the IPsec packet transmitted from the IPsec server 102 and inputs it to the filter 206. The filter 206 inputs the IPsec packet to the IPsec packet processing unit 205. The IPsec packet processing unit 205 inputs the IPsec packet to the wireless LAN communication unit 202 via the filter 203 and instructs transfer to the terminal 104. The wireless LAN communication unit 202 transmits the input IPsec packet to the terminal 104.

また、アクセスポイント１０３は、端末１０４とＩＰｓｅｃサーバ１０２との通信終了後に、以下の処理を行う。すなわち、端末１０４がＩＰｓｅｃサーバ１０２との通信を終了した場合には、端末１０４からＩＰｓｅｃサーバ１０２宛に送信されるＩＰｓｅｃパケットがアクセスポイント１０３に送信されなくなる。そして、テーブル管理部２０９は、端末１０４からＩＰｓｅｃサーバ１０２宛に送信されるＩＰｓｅｃパケットがアクセスポイント１０３に送信されなくなってから所定の期間経過後に、テーブルに登録されたデータを削除する。なお、テーブルに登録されたデータとは、ＩＫＥパケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスである。また、「所定の期間」は、登録されたデータ量がキャッシュメモリの記憶容量を超えない期間に予め設定される。   Further, the access point 103 performs the following processing after the communication between the terminal 104 and the IPsec server 102 is completed. That is, when the terminal 104 ends communication with the IPsec server 102, the IPsec packet transmitted from the terminal 104 to the IPsec server 102 is not transmitted to the access point 103. Then, the table management unit 209 deletes the data registered in the table after a predetermined period has elapsed since the IPsec packet transmitted from the terminal 104 to the IPsec server 102 is not transmitted to the access point 103. Note that the data registered in the table is the source IP address and the destination IP address of the IKE packet. The “predetermined period” is set in advance so that the registered data amount does not exceed the storage capacity of the cache memory.

次に、ＩＰｓｅｃサーバ１０２の動作について説明する。図５は、上り方向のＩＰｓｅｃパケットを受信したＩＰｓｅｃサーバ１０２の動作を示すフローチャートである。   Next, the operation of the IPsec server 102 will be described. FIG. 5 is a flowchart showing the operation of the IPsec server 102 that has received an IPsec packet in the upstream direction.

ＩＰｓｅｃサーバ１０２のインターネット接続部３０５は、端末１０４がアクセスポイント１０３およびインターネット１０１を介して送信したＩＰｓｅｃパケットを受信して（ステップＳ２０１）、ＩＰｓｅｃ処理部３０３に入力する。   The Internet connection unit 305 of the IPsec server 102 receives the IPsec packet transmitted from the terminal 104 via the access point 103 and the Internet 101 (step S201), and inputs it to the IPsec processing unit 303.

ＩＰｓｅｃ処理部３０３は、インターネット接続部３０５が受信したＩＰｓｅｃパケットを復号し（ステップＳ２０２）、ＮＡＴ処理部３０４に入力する。ＮＡＴ処理部３０４は、入力されたＩＰパケットの送信元ＩＰアドレスを端末１０４のＩＰアドレスから自ＩＰアドレスに書き換えて（ステップＳ２０３）、インターネット接続部３０６に入力する。   The IPsec processing unit 303 decrypts the IPsec packet received by the Internet connection unit 305 (step S202) and inputs it to the NAT processing unit 304. The NAT processing unit 304 rewrites the source IP address of the input IP packet from the IP address of the terminal 104 to its own IP address (step S203), and inputs it to the Internet connection unit 306.

インターネット接続部３０６は、入力されたＩＰパケットをインターネット１０１を介してサービス提供サーバ１０５に送信する（ステップＳ２０４）。   The internet connection unit 306 transmits the input IP packet to the service providing server 105 via the internet 101 (step S204).

図６は、下り方向のＩＰｓｅｃパケットを受信したＩＰｓｅｃサーバ１０２の動作を示すフローチャートである。   FIG. 6 is a flowchart showing the operation of the IPsec server 102 that has received a downstream IPsec packet.

ＩＰｓｅｃサーバ１０２のインターネット接続部３０６は、サービス提供サーバ１０５が送信したＩＰパケットをインターネット１０１を介して受信し（ステップＳ３０１）、ＮＡＴ処理部３０４に入力する。   The Internet connection unit 306 of the IPsec server 102 receives the IP packet transmitted from the service providing server 105 via the Internet 101 (step S301), and inputs it to the NAT processing unit 304.

ＮＡＴ処理部３０４は、インターネット接続部３０６が入力したＩＰパケットの宛先ＩＰアドレスを自ＩＰアドレスから端末１０４のＩＰアドレスに書き換えて（ステップＳ３０２）、ＩＰｓｅｃ処理部３０３に入力する。ＩＰｓｅｃ処理部３０３は、入力されたＩＰパケットを暗号化する（ステップＳ３０３）。そして、ＩＰｓｅｃ処理部３０３は、暗号化したＩＰパケット（ＩＰｓｅｃパケット）をインターネット接続部３０３に入力する。インターネット接続部３０３は、当該ＩＰｓｅｃパケットをインターネット１０１およびアクセスポイント１０３を介して、端末１０４に送信する（ステップＳ３０４）。   The NAT processing unit 304 rewrites the destination IP address of the IP packet input by the Internet connection unit 306 from its own IP address to the IP address of the terminal 104 (step S302), and inputs it to the IPsec processing unit 303. The IPsec processing unit 303 encrypts the input IP packet (step S303). Then, the IPsec processing unit 303 inputs the encrypted IP packet (IPsec packet) to the Internet connection unit 303. The Internet connection unit 303 transmits the IPsec packet to the terminal 104 via the Internet 101 and the access point 103 (step S304).

本実施形態によれば、アクセスポイント１０３は、いずれかのインターネットサービスプロバイダによってＩＰｓｅｃサーバ１０２の設置が認められた信頼できるユーザ以外のユーザによる利用を不可能にしている。   According to this embodiment, the access point 103 cannot be used by a user other than a trusted user who is permitted to install the IPsec server 102 by any Internet service provider.

具体的には、アクセスポイント１０３は、ステップＳ１０２，Ｓ１１２の処理で、ＩＰｓｅｃによる通信路を確立するためのＩＫＥパケットを除き、ＩＰｓｅｃパケット以外のパケットを通過させないように構成されている。従って、端末１０４のユーザは、アクセスポイント１０３を利用するために、インターネット１０１に接続されたＩＰｓｅｃサーバ１０２を予め用意することが必要になる。   Specifically, the access point 103 is configured not to pass packets other than the IPsec packet except for the IKE packet for establishing the communication path by IPsec in the processes of steps S102 and S112. Therefore, the user of the terminal 104 needs to prepare an IPsec server 102 connected to the Internet 101 in advance in order to use the access point 103.

そして、アクセスポイント１０３の設置者や管理者は、アクセスポイント１０３のユーザが誰であるのかを利用前、利用中および利用直後に把握することは困難であるが、いずれかのインターネットサービスプロバイダがＩＰｓｅｃサーバ１０２の設置を許可していることから、ある程度の信頼ができるユーザであることを期待できる。つまり、そのようなユーザ以外のユーザによるアクセスポイント１０３の利用を不可能にしている。そして、不正利用を未然に防止することができる。   And it is difficult for the installer or administrator of the access point 103 to know who the user of the access point 103 is before use, during use, or immediately after use. Since the installation of the server 102 is permitted, the user can be expected to be reliable to some extent. That is, the access point 103 cannot be used by users other than such users. And unauthorized use can be prevented in advance.

また、本実施形態によれば、インターネット１０１に接続されたサービス提供サーバ１０５がユーザの身元を追跡しようとしたときに、アクセスポイント１０３の設置者や管理者の負担を軽減させることができる。   Further, according to the present embodiment, when the service providing server 105 connected to the Internet 101 tries to track the identity of the user, the burden on the installer or administrator of the access point 103 can be reduced.

アクセスポイント１０３は、インターネット１０１を介して送信されたパケットについてもＩＰｓｅｃパケット以外のパケットを通過させないように構成されている。なお、ここでは、ＩＰｓｅｃによる通信路を確立するためのＩＫＥパケットを除く。   The access point 103 is configured not to pass packets other than IPsec packets even for packets transmitted via the Internet 101. Here, the IKE packet for establishing the communication path by IPsec is excluded.

従って、端末１０４がインターネット１０１に接続されたサービス提供サーバ１０５と相互に通信を行なうためには、サービス提供サーバ１０５が送信したパケットをＩＰｓｅｃで暗号化するためにＩＰｓｅｃサーバ１０２がＮＡＰＴ処理を行い、サービス提供サーバ１０５に端末１０４によって行われている通信をＩＰｓｅｃサーバ１０２自身が行なっているかのように認識させる必要がある。   Therefore, in order for the terminal 104 to communicate with the service providing server 105 connected to the Internet 101, the IPsec server 102 performs NAPT processing in order to encrypt the packet transmitted by the service providing server 105 with IPsec. It is necessary to make the service providing server 105 recognize the communication performed by the terminal 104 as if the IPsec server 102 itself is performing.

仮に、ＩＰｓｅｃサーバ１０２がＮＡＰＴによるＩＰアドレスの変換を行なわなかった場合には、インターネット１０１に接続されたサービス提供サーバ１０５には、アクセスポイント１０３が端末１０４にＤＨＣＰで割り当てたＩＰアドレスがＩＰパケットの送信元のＩＰアドレスであると認識することになる。すると、インターネット１０１に接続されたサービス提供サーバ１０５から送信された応答のＩＰパケットはＩＰｓｅｃサーバ１０２を介さずに端末１０４宛に送信されることになる。   If the IPsec server 102 did not convert the IP address by NAPT, the IP address assigned by the access point 103 to the terminal 104 by DHCP is transmitted to the service providing server 105 connected to the Internet 101. It will be recognized as the IP address of the transmission source. Then, the response IP packet transmitted from the service providing server 105 connected to the Internet 101 is transmitted to the terminal 104 without passing through the IPsec server 102.

しかし、送信されたＩＰパケットは、ＩＰｓｅｃサーバ１０２によるＩＰｓｅｃパケットへのカプセル化（ＩＰｓｅｃ処理）が行なわれていない通常のＩＰパケットであるので、アクセスポイント１０３によって破棄され、端末１０４によって受信されない。   However, since the transmitted IP packet is a normal IP packet that has not been encapsulated into an IPsec packet (IPsec process) by the IPsec server 102, it is discarded by the access point 103 and is not received by the terminal 104.

つまり、端末１０４がサービス提供サーバ１０５によって送信されたパケットを受信するためには、ＩＰｓｅｃサーバ１０２を介する必要があり、サービス提供サーバ１０５に、ＩＰｓｅｃサーバ１０２のＩＰアドレスを認識させる必要がある。   That is, in order for the terminal 104 to receive a packet transmitted by the service providing server 105, it is necessary to pass through the IPsec server 102, and the service providing server 105 needs to recognize the IP address of the IPsec server 102.

従って、サービス提供サーバ１０５に対して端末１０４によって不正行為が行われた場合、サービス提供サーバ１０５の管理者は、アクセスポイント１０３の設置者や管理者ではなく、端末１０４によって使用されるＩＰｓｅｃサーバ１０２の管理者に対して責任を問うと考えられる。なお、サービス提供サーバ１０５に対して端末１０４によって行われる不正行為とは、具体的には、端末１０４を用いて当該端末１０４のユーザが行った不正行為である。   Therefore, when an illegal act is performed on the service providing server 105 by the terminal 104, the administrator of the service providing server 105 is not the installer or administrator of the access point 103 but the IPsec server 102 used by the terminal 104. It is thought that the responsibility is asked to the manager of. Note that the fraudulent act performed by the terminal 104 with respect to the service providing server 105 is specifically an fraudulent act performed by the user of the terminal 104 using the terminal 104.

よって、アクセスポイント１０３の設置者や管理者が責任を問われる可能性を低減することができる。   Therefore, it is possible to reduce the possibility that the installer or administrator of the access point 103 will be held accountable.

また、本実施形態によれば、アクセスポイント１０３の設置者や管理者が、端末１０４のユーザの身元を調査することができる。   Further, according to the present embodiment, the installer or administrator of the access point 103 can investigate the identity of the user of the terminal 104.

端末１０４がサービス提供サーバ１０５に一方的にＩＰパケットを送信するだけであれば、ＩＰｓｅｃサーバ１０２はＮＡＰＴ処理を省略することができるが、ＩＰｓｅｃサーバ１０２がＮＡＰＴ処理を省略した場合にも、上述したように、ＩＰｓｅｃサーバ１０２がＩＰパケットを中継する必要があることに変わりはない。   If the terminal 104 only unilaterally transmits an IP packet to the service providing server 105, the IPsec server 102 can omit the NAPT process. However, the above-described case is also possible when the IPsec server 102 omits the NAPT process. Thus, the IPsec server 102 still needs to relay IP packets.

従って、アクセスポイント１０３の設置者や管理者は、端末１０４のユーザはインターネットサービスプロバイダからＩＰｓｅｃサーバ１０２の設置の認証を受けることをできる関係者であると推定して、ログ保存部２１０が記録した端末１０４のＩＰアドレスとＩＰｓｅｃサーバ１０２のＩＰアドレスとにもとづいて、端末１０４のユーザの身元を調査することができる。   Accordingly, the installer or administrator of the access point 103 presumes that the user of the terminal 104 is a person who can receive authentication of the installation of the IPsec server 102 from the Internet service provider, and the log storage unit 210 records it. Based on the IP address of the terminal 104 and the IP address of the IPsec server 102, the identity of the user of the terminal 104 can be investigated.

以上に述べたように、アクセスポイント１０３がユーザの認証を行わずに利用を開放した場合であっても、不正利用の防止および不正利用者の追跡調査をすることができるので、アクセスポイント１０３の設置者は、インターネットサービスプロバイダによって認証を受けることなく安心してアクセスポイント１０３を設置することができるようになり、公衆無線ＬＡＮの利便性を向上させることができる。   As described above, even when the access point 103 releases the use without authenticating the user, the unauthorized use can be prevented and the unauthorized user can be traced. The installer can install the access point 103 without an authentication by the Internet service provider and can improve the convenience of the public wireless LAN.

実施形態２．
本発明によるアクセスポイントの第２の実施形態について、図面を参照して説明する。本発明の第２の実施形態のアクセスポイント７０１は、第１の実施形態のアクセスポイント１０３の各機能に加え、ＮＡＰＴ機能を有する。図７は、本発明によるアクセスポイント７０１の第２の実施形態の構成例を示すブロック図である。 Embodiment 2. FIG.
A second embodiment of the access point according to the present invention will be described with reference to the drawings. The access point 701 according to the second embodiment of the present invention has a NAPT function in addition to the functions of the access point 103 according to the first embodiment. FIG. 7 is a block diagram showing a configuration example of the second embodiment of the access point 701 according to the present invention.

図７に示すように、本発明の第２の実施形態のアクセスポイント７０１は、ＷＡＮ側通信部２０７とフィルタ２０６との間にＮＡＰＴ機能部７１１を含む。その他の構成は、図２に示す第１の実施形態の公衆無線ＬＡＮシステムのアクセスポイント１０３の構成と同様なため、図２と同じ符号を付し、説明を省略する。   As illustrated in FIG. 7, the access point 701 according to the second embodiment of this invention includes a NAPT function unit 711 between the WAN side communication unit 207 and the filter 206. Other configurations are the same as the configuration of the access point 103 of the public wireless LAN system according to the first embodiment shown in FIG. 2, and therefore, the same reference numerals as those in FIG.

なお、フィルタ２０３は、ＩＰｓｅｃ処理部２０５に、ＩＰｓｅｃパケットではなく、例えば、無線ＬＡＮ通信部２０２によってＩＰｓｅｃパケットをＵＤＰ（Ｕｓｅｒ Ｄａｔａ Ｐｒｏｔｏｃｏｌ）にもとづいてカプセル化された宛先ポート番号が４５００であるＵＤＰパケットを入力する機能を有する。   Note that the filter 203 does not send an IPsec packet to the IPsec processing unit 205, for example, a UDP packet whose destination port number is 4500, which is obtained by encapsulating the IPsec packet by the wireless LAN communication unit 202 based on UDP (User Data Protocol). Has the function of inputting.

また、フィルタ２０６は、ＩＰｓｅｃ処理部２０５に、ＩＰｓｅｃパケットではなく、例えば、ＮＡＰＴ機能部７１１によってＩＰｓｅｃパケットをＵＤＰにもとづいてカプセル化された送信元ポート番号が４５００であるＵＤＰパケットを入力する機能を有する。   Further, the filter 206 has a function of inputting, to the IPsec processing unit 205, not an IPsec packet, but, for example, a UDP packet whose source port number is 4500 encapsulated by the NAPT function unit 711 based on UDP. Have.

ＮＡＰＴ機能部７１１は、ＮＡＰＴ機能を有し、上り方向のパケットの送信元ＩＰアドレスと送信元ＵＤＰポート番号とを変換する。また、ＮＡＰＴ機能部７１１は、下り方向のパケットの宛先ＩＰアドレスと宛先ＵＤＰポート番号とを変換する。   The NAPT function unit 711 has a NAPT function, and converts the source IP address and source UDP port number of the upstream packet. The NAPT function unit 711 converts the destination IP address and destination UDP port number of the downstream packet.

ＤＨＣＰサーバ機能部２０８は、端末１０４に、インターネット１０１で使用可能なグローバルアドレスを割り当てる必要はなく、公衆無線ＬＡＮ１０６内でのみ使用可能なローカルアドレスを割り当ててよい。   The DHCP server function unit 208 does not need to assign a global address that can be used on the Internet 101 to the terminal 104, and may assign a local address that can be used only within the public wireless LAN 106.

なお、ＩＰｓｅｃサーバ１０２では、ＩＫＥ処理部３０２は、ＲＦＣ３９４７で定義されたＮＡＴトラバーサルの交渉を理解する機能を有し、ＩＰｓｅｃ処理部３０３は、ＮＡＴトラバーサルを終端する機能を有する。   In the IPsec server 102, the IKE processing unit 302 has a function of understanding the NAT traversal negotiation defined in RFC3947, and the IPsec processing unit 303 has a function of terminating the NAT traversal.

本実施形態によれば、ＤＨＣＰサーバ機能部２０８が端末１０４に公衆無線ＬＡＮ１０６内でのみ使用可能なローカルアドレスを割り当てて、公衆無線ＬＡＮ１０６をローカルアドレスで運用することができる。   According to the present embodiment, the DHCP server function unit 208 can allocate a local address that can be used only within the public wireless LAN 106 to the terminal 104 and operate the public wireless LAN 106 with the local address.

次に、本発明の概要について説明する。図８は、本発明の概要を示すブロック図である。図８に示すように、本発明によるアクセスポイント５００は、無線ＬＡＮ通信手段（図２に示された無線ＬＡＮ通信部２０２に相当）５０１、インターネット通信手段（図２に示されたＷＡＮ側通信部２０７に相当）５０２、およびパケットフィルタリング手段（図２に示されたフィルタ２０３，２０６に相当）５０３を含む。   Next, the outline of the present invention will be described. FIG. 8 is a block diagram showing an outline of the present invention. As shown in FIG. 8, the access point 500 according to the present invention includes wireless LAN communication means (corresponding to the wireless LAN communication unit 202 shown in FIG. 2) 501, Internet communication means (WAN side communication unit shown in FIG. 2). And a packet filtering means (corresponding to the filters 203 and 206 shown in FIG. 2) 503.

無線ＬＡＮ通信手段５０１は、無線ＬＡＮ端末５１０とパケットを送受信する機能を有し、インターネット通信手段５０２が受信したパケットのうち、パケットフィルタリング手段５０３を通過したパケットを無線ＬＡＮ端末５１０に送信する。   The wireless LAN communication unit 501 has a function of transmitting and receiving packets to and from the wireless LAN terminal 510, and transmits packets that have passed through the packet filtering unit 503 among the packets received by the Internet communication unit 502 to the wireless LAN terminal 510.

インターネット通信手段５０２は、インターネット５２０を介してＩＰｓｅｃサーバ５３０とパケットを送受信する機能を有し、無線ＬＡＮ通信手段５０１が受信したパケットのうち、パケットフィルタリング手段５０３を通過したパケットをＩＰｓｅｃサーバ５３０に送信する。   The Internet communication unit 502 has a function of transmitting and receiving packets to and from the IPsec server 530 via the Internet 520, and transmits packets that have passed through the packet filtering unit 503 among packets received by the wireless LAN communication unit 501 to the IPsec server 530. To do.

そして、インターネット通信手段５０２によって送信されたＩＰｓｅｃパケットは、ＩＰｓｅｃサーバ５３０によって復号されて他の装置５４０に送信される。   Then, the IPsec packet transmitted by the Internet communication unit 502 is decoded by the IPsec server 530 and transmitted to the other device 540.

そのような構成により、アクセスポイント５００はユーザ認証を行わずに無線ＬＡＮ端末５１０とインターネット５２０に接続された他の装置５４０とのパケットの送受信を中継し、本発明は、特定のインターネットサービスプロバイダと契約等していないユーザが利用可能な利便性の高いアクセスポイントを提供することができる。   With such a configuration, the access point 500 relays packet transmission / reception between the wireless LAN terminal 510 and another device 540 connected to the Internet 520 without performing user authentication. It is possible to provide a highly convenient access point that can be used by users who have not contracted.

また、アクセスポイント５００は、ＩＰｓｅｃサーバ５３０を介して他の装置５４０とパケットフィルタリング手段５０３を通過したパケットを送受信するので、いずれかのインターネットサービスプロバイダによってＩＰｓｅｃサーバ５３０の設置が認められた信頼できるユーザ以外のユーザによる利用を不可能にすることができる。   In addition, since the access point 500 transmits / receives a packet that has passed through the packet filtering unit 503 to / from another device 540 via the IPsec server 530, a reliable user who is permitted to install the IPsec server 530 by any Internet service provider. Use by other users can be made impossible.

また、アクセスポイント５００は、ＩＰｓｅｃサーバ５３０を介して、他の装置５４０とパケットを送受信するように構成され、当該他の装置５４０にパケットの送受信相手が当該ＩＰｓｅｃサーバ５３０であるように認識させるので、無線ＬＡＮ端末５１０を用いて不正行為が行われた場合には、当該他の装置５４０の管理者は当該ＩＰｓｅｃサーバ５３０の管理者に責任を問うと考えられ、当該アクセスポイント５００の設置者や管理者が責任を問われる可能性を低減することができる。   In addition, the access point 500 is configured to transmit and receive packets to and from another device 540 via the IPsec server 530, and allows the other device 540 to recognize that the other party of the packet is the IPsec server 530. When an unauthorized act is performed using the wireless LAN terminal 510, it is considered that the administrator of the other device 540 asks the administrator of the IPsec server 530 for the responsibility. It is possible to reduce the possibility that the administrator will be held accountable.

上記の各実施形態には、以下のようなアクセスポイントも開示されている。   In each of the above embodiments, the following access point is also disclosed.

パケットフィルタリング手段５０３を通過したＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとを記憶手段に記憶させるアドレス管理手段（図２に示されたテーブル管理部２０９、およびログ保存部２１０に相当）を含むアクセスポイント。そのような構成によれば、アクセスポイント５００の設置者や管理者が、無線ＬＡＮ端末５１０のユーザの身元を調査することができる。   Includes address management means (corresponding to the table management unit 209 and log storage unit 210 shown in FIG. 2) for storing in the storage means the source IP address and destination IP address of the IKE packet that has passed through the packet filtering means 503 access point. According to such a configuration, the installer or administrator of the access point 500 can investigate the identity of the user of the wireless LAN terminal 510.

パケットフィルタリング手段５０３を通過したＩＰｓｅｃパケットのうち、記憶手段に記憶されていない送信元ＩＰアドレスのＩＰｓｅｃパケットを破棄するパケット破棄手段（図２に示されたＩＰｓｅｃパケット処理部２０５に相当）を含むアクセスポイント、およびパケットフィルタリング手段５０３を通過したＩＰｓｅｃパケットのうち、記憶手段に記憶されていない宛先ＩＰアドレスのＩＰｓｅｃパケットを破棄するパケット破棄手段（図２に示されたＩＰｓｅｃパケット処理部２０５に相当）を含むアクセスポイント。   Access including a packet discarding unit (corresponding to the IPsec packet processing unit 205 shown in FIG. 2) for discarding an IPsec packet having a source IP address not stored in the storage unit among the IPsec packets that have passed through the packet filtering unit 503 Point and a packet discarding unit (corresponding to the IPsec packet processing unit 205 shown in FIG. 2) for discarding an IPsec packet whose destination IP address is not stored in the storage unit among the IPsec packets that have passed through the packet filtering unit 503 Including access points.

そのような構成によれば、記憶手段に記憶されていない送信元ＩＰアドレスまたは宛先ＩＰアドレスのＩＰｓｅｃパケットを破棄し、無線ＬＡＮ端末５１０のユーザによる不正利用を防止することができる。   According to such a configuration, the IPsec packet of the source IP address or the destination IP address that is not stored in the storage unit can be discarded, and unauthorized use by the user of the wireless LAN terminal 510 can be prevented.

ＮＡＴトラバーサルを終端する機能を有するＩＰｓｅｃサーバ５３０を介して他の装置５４０と無線ＬＡＮ端末５１０とのパケットの送受信を中継するアクセスポイント５００であって、無線ＬＡＮ端末５１０にローカルアドレスを割り当てるアドレス割り当て手段と、ＮＡＰＴ機能を有するＩＰアドレス変換手段とを含むアクセスポイント。   An access point 500 that relays packet transmission / reception between another device 540 and the wireless LAN terminal 510 via the IPsec server 530 having a function of terminating NAT traversal, and assigns a local address to the wireless LAN terminal 510 And an IP address conversion unit having a NAPT function.

そのような構成によれば、アクセスポイント５００による公衆無線ＬＡＮをローカルアドレスで運用することができる。   According to such a configuration, the public wireless LAN by the access point 500 can be operated with a local address.

以上に述べたように、本発明によれば、アクセスポイント５００はユーザ認証を行わずに無線ＬＡＮ端末５１０とインターネット５２０に接続された他の装置５４０とのパケットの送受信を中継するので、特定のインターネットサービスプロバイダと契約等していないユーザが利用可能な利便性の高いアクセスポイントを提供することができる。   As described above, according to the present invention, the access point 500 relays packet transmission / reception between the wireless LAN terminal 510 and another device 540 connected to the Internet 520 without performing user authentication. It is possible to provide a convenient access point that can be used by a user who has not contracted with an Internet service provider.

また、アクセスポイント５００は、ＩＰｓｅｃサーバ５３０を介して他の装置５４０とパケットを送受信するので、いずれかのインターネットサービスプロバイダによってＩＰｓｅｃサーバ５３０の設置が認められた信頼できるユーザ以外のユーザによる利用を不可能にすることができる。   In addition, since the access point 500 transmits and receives packets to and from other devices 540 via the IPsec server 530, the access point 500 cannot be used by a user other than a trusted user who is permitted to install the IPsec server 530 by any Internet service provider. Can be possible.

また、アクセスポイント５００は、ＩＰｓｅｃサーバ５３０を介して他の装置５４０とパケットを送受信するように構成され、当該他の装置５４０にパケットの送受信相手が当該ＩＰｓｅｃサーバ５３０であるように認識させるので、無線ＬＡＮ端末５１０を用いて不正行為が行われた場合には、当該他の装置５４０の管理者は当該ＩＰｓｅｃサーバ５３０の管理者に責任を問うと考えられ、当該アクセスポイント５００の設置者や管理者が責任を問われる可能性は低い。   Further, the access point 500 is configured to transmit / receive a packet to / from another device 540 via the IPsec server 530, and causes the other device 540 to recognize that the packet transmission / reception partner is the IPsec server 530. When an illegal act is performed using the wireless LAN terminal 510, the administrator of the other device 540 is considered to be responsible for the administrator of the IPsec server 530. It is unlikely that the person will be held accountable.

本発明を、公衆無線ＬＡＮに用いられるアクセスポイントに適用することができる。   The present invention can be applied to an access point used for a public wireless LAN.

１０１，５２０ インターネット
１０２，５３０ ＩＰｓｅｃサーバ
１０３，５００，７０１ アクセスポイント
１０４，５１０ 端末
１０５ サービス提供サーバ
１０６ 公衆無線ＬＡＮ
２０２ 無線ＬＡＮ通信部
２０３，２０６ フィルタ
２０４ ＩＫＥパケット処理部
２０５ ＩＰｓｅｃパケット処理部
２０７ ＷＡＮ側通信部
２０８ ＤＨＣＰサーバ機能部
２０９ テーブル管理部
２１０ ログ保存部
３０２ ＩＫＥ処理部
３０３ ＩＰｓｅｃ処理部
３０４ ＮＡＴ処理部
３０５，３０６ インターネット接続部
５０１ 無線ＬＡＮ通信手段
５０２ インターネット通信手段
５０３ パケットフィルタリング手段
５４０ 他の装置
７１１ ＮＡＰＴ機能部 101,520 Internet 102,530 IPsec server 103,500,701 Access point 104,510 Terminal 105 Service providing server 106 Public wireless LAN
202 wireless LAN communication unit 203, 206 filter 204 IKE packet processing unit 205 IPsec packet processing unit 207 WAN side communication unit 208 DHCP server function unit 209 table management unit 210 log storage unit 302 IKE processing unit 303 IPsec processing unit 304 NAT processing unit 305 , 306 Internet connection unit 501 Wireless LAN communication unit 502 Internet communication unit 503 Packet filtering unit 540 Other device 711 NAPT function unit

Claims (7)

無線ＬＡＮ端末とパケットを送受信する無線ＬＡＮ通信手段と、
インターネットを介して、受信したＩＰｓｅｃパケットを復号して前記インターネットに接続された他の装置に送信するＩＰｓｅｃサーバとパケットを送受信するインターネット通信手段と、
前記無線ＬＡＮ通信手段が受信したパケットおよび前記インターネット通信手段が受信したパケットのうち、ＩＫＥパケットとＩＰｓｅｃパケットとが通過可能なパケットフィルタリング手段とを備え、
前記無線ＬＡＮ通信手段は、前記インターネット通信手段が受信したパケットのうち、前記パケットフィルタリング手段を通過したパケットを前記無線ＬＡＮ端末に送信し、
前記インターネット通信手段は、前記無線ＬＡＮ通信手段が受信したパケットのうち、前記パケットフィルタリング手段を通過したパケットを前記ＩＰｓｅｃサーバに送信する
ことを特徴とするアクセスポイント。 Wireless LAN communication means for transmitting and receiving packets to and from the wireless LAN terminal;
Internet communication means for transmitting and receiving packets to and from an IPsec server that decrypts received IPsec packets and transmits them to other devices connected to the Internet via the Internet;
Of the packet received by the wireless LAN communication means and the packet received by the Internet communication means, a packet filtering means capable of passing an IKE packet and an IPsec packet,
The wireless LAN communication means transmits a packet that has passed through the packet filtering means among the packets received by the Internet communication means to the wireless LAN terminal,
The access point, wherein the Internet communication unit transmits a packet that has passed through the packet filtering unit among packets received by the wireless LAN communication unit to the IPsec server. パケットフィルタリング手段を通過したＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとを記憶手段に記憶させるアドレス管理手段を含む
請求項１記載のアクセスポイント。 The access point according to claim 1, further comprising address management means for storing in the storage means the source IP address and the destination IP address of the IKE packet that has passed through the packet filtering means. パケットフィルタリング手段を通過したＩＰｓｅｃパケットのうち、記憶手段に記憶されていない送信元ＩＰアドレスのＩＰｓｅｃパケットを破棄するパケット破棄手段を含む
請求項２記載のアクセスポイント。 The access point according to claim 2, further comprising: a packet discarding unit that discards an IPsec packet having a source IP address that is not stored in the storage unit among the IPsec packets that have passed through the packet filtering unit. パケットフィルタリング手段を通過したＩＰｓｅｃパケットのうち、記憶手段に記憶されていない宛先ＩＰアドレスのＩＰｓｅｃパケットを破棄するパケット破棄手段を含む
請求項２記載のアクセスポイント。 The access point according to claim 2, further comprising: a packet discarding unit that discards an IPsec packet having a destination IP address that is not stored in the storage unit among the IPsec packets that have passed through the packet filtering unit. ＮＡＴトラバーサルを終端する機能を有するＩＰｓｅｃサーバを介して他の装置と無線ＬＡＮ端末とのパケットの送受信を中継するアクセスポイントであって、
前記無線ＬＡＮ端末にローカルアドレスを割り当てるアドレス割り当て手段と、
ＮＡＰＴ機能を有するＩＰアドレス変換手段とを含む
請求項１から請求項４のうちいずれか１項記載のアクセスポイント。 An access point that relays packet transmission / reception between another device and a wireless LAN terminal via an IPsec server having a function of terminating NAT traversal,
Address assignment means for assigning a local address to the wireless LAN terminal;
The access point according to claim 1, further comprising an IP address conversion unit having a NAPT function. 無線ＬＡＮ端末とパケットを送受信する無線ＬＡＮ通信ステップと、
インターネットを介して、受信したＩＰｓｅｃパケットを復号して前記インターネットに接続された他の装置に送信するＩＰｓｅｃサーバとパケットを送受信するインターネット通信ステップと、
前記無線ＬＡＮ通信ステップで受信したパケットおよび前記インターネット通信ステップで受信したパケットのうち、ＩＫＥパケットとＩＰｓｅｃパケットとを通過させる処理を行うパケットフィルタリングステップとを含み、
前記無線ＬＡＮ通信ステップで、前記インターネット通信ステップで受信したパケットのうち、前記パケットフィルタリングステップの処理で通過したパケットを前記無線ＬＡＮ端末に送信し、
前記インターネット通信ステップで、前記無線ＬＡＮ通信ステップで受信したパケットのうち、前記パケットフィルタリングステップの処理で通過したパケットを前記ＩＰｓｅｃサーバに送信する
ことを特徴とするアクセスポイントのパケット中継制御方法。 A wireless LAN communication step for transmitting and receiving packets to and from the wireless LAN terminal;
An Internet communication step of transmitting and receiving packets to and from an IPsec server that decodes received IPsec packets and transmits them to other devices connected to the Internet via the Internet;
A packet filtering step for performing a process of passing an IKE packet and an IPsec packet out of the packet received in the wireless LAN communication step and the packet received in the Internet communication step;
In the wireless LAN communication step, out of the packets received in the Internet communication step, the packet passed in the packet filtering step is transmitted to the wireless LAN terminal,
The packet relay control method for an access point, wherein, in the Internet communication step, a packet that has passed through the packet filtering step among the packets received in the wireless LAN communication step is transmitted to the IPsec server. フィルタリングステップの処理で通過したＩＫＥパケットの送信元ＩＰアドレスと宛先ＩＰアドレスとを記憶手段に記憶させるアドレス管理ステップを含む
請求項６記載のアクセスポイントのパケット中継制御方法。 The access point packet relay control method according to claim 6, further comprising an address management step of storing in a storage means a source IP address and a destination IP address of an IKE packet that has passed through the filtering step.
JP2009274969A 2009-12-02 2009-12-02 Access point and access point packet relay control method Expired - Fee Related JP5126209B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2009274969A JP5126209B2 (en) 2009-12-02 2009-12-02 Access point and access point packet relay control method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2009274969A JP5126209B2 (en) 2009-12-02 2009-12-02 Access point and access point packet relay control method

Publications (2)

Publication Number Publication Date
JP2011119947A true JP2011119947A (en) 2011-06-16
JP5126209B2 JP5126209B2 (en) 2013-01-23

Family

ID=44284742

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2009274969A Expired - Fee Related JP5126209B2 (en) 2009-12-02 2009-12-02 Access point and access point packet relay control method

Country Status (1)

Country Link
JP (1) JP5126209B2 (en)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006121412A (en) * 2004-10-21 2006-05-11 Sharp Corp Identification system
JP2007006248A (en) * 2005-06-24 2007-01-11 Nippon Telegr & Teleph Corp <Ntt> Method and system for remote access
JP2008228012A (en) * 2007-03-14 2008-09-25 Kddi Corp Information management apparatus, message transmitter, and access point device
JP2009213070A (en) * 2008-03-06 2009-09-17 Nippon Telegr & Teleph Corp <Ntt> Communication control system, communication control method and communication control program

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006121412A (en) * 2004-10-21 2006-05-11 Sharp Corp Identification system
JP2007006248A (en) * 2005-06-24 2007-01-11 Nippon Telegr & Teleph Corp <Ntt> Method and system for remote access
JP2008228012A (en) * 2007-03-14 2008-09-25 Kddi Corp Information management apparatus, message transmitter, and access point device
JP2009213070A (en) * 2008-03-06 2009-09-17 Nippon Telegr & Teleph Corp <Ntt> Communication control system, communication control method and communication control program

Also Published As

Publication number Publication date
JP5126209B2 (en) 2013-01-23

Similar Documents

Publication Publication Date Title
Tschofenig et al. Transport layer security (tls)/datagram transport layer security (dtls) profiles for the internet of things
US9369491B2 (en) Inspection of data channels and recording of media streams
JP4666169B2 (en) Method of communication via untrusted access station
JP4737089B2 (en) VPN gateway device and hosting system
JP4346094B2 (en) Packet encryption processing proxy device
US20100119069A1 (en) Network relay device, communication terminal, and encrypted communication method
EP0838930A2 (en) Pseudo network adapter for frame capture, encapsulation and encryption
JP3831364B2 (en) Communication system and security policy distribution method in the communication system
US11297115B2 (en) Relaying media content via a relay server system without decryption
JP2006121510A (en) Encryption communications system
CN106169952B (en) A kind of authentication method that internet Key Management Protocol is negotiated again and device
JP2005204086A (en) Mobile radio communications system, mobile radio terminal, virtual private network repeater, and connection authenticating server
US11388145B2 (en) Tunneling data traffic and signaling over secure etls over wireless local area networks
US20070086462A1 (en) Dynamic tunnel construction method for securely accessing to a private LAN and apparatus therefor
US20150281963A1 (en) Remote wireless adapter
US7571308B1 (en) Method for controlling access to a network by a wireless client
Fossati RFC 7925: Transport Layer Security (TLS)/Datagram Transport Layer Security (DTLS) Profiles for the Internet of Things
WO2009082950A1 (en) Key distribution method, device and system
US20080133915A1 (en) Communication apparatus and communication method
JP2009135875A (en) Bridging system, bridge, and bridging method
JP4630296B2 (en) Gateway device and authentication processing method
JP2007334753A (en) Access management system and method
JP5126209B2 (en) Access point and access point packet relay control method
US20080059788A1 (en) Secure electronic communications pathway
JP2008199420A (en) Gateway device and authentication processing method

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20120717

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20120724

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20120911

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20121002

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20121015

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20151109

Year of fee payment: 3

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313111

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

LAPS Cancellation because of no payment of annual fees