JP2015033037A - 無線ｌａｎシステム - Google Patents

Abstract

【課題】利用者が他の利用者にもアクセスポイントの帯域を解放して利用可能にする無線ＬＡＮシステムにおいて、利用者がオーナーであるアクセスポイントに接続する場合とゲストであるアクセスポイントに接続する場合とで、携帯端末の設定をわざわざ変更する必要なくシームレスに無線ＬＡＮを活用できるようにしながら、オーナーである利用者が利用する携帯端末に対して優先的に帯域を割り当て可能にする。
【解決手段】認証サーバが事前に識別情報とともに、利用者がオーナーであるアクセスポイントのＩＰアドレスを関連付けて登録する。認証要求の際には、当該関連付けとも一致するかを判定する。一致すればオーナーであり、一致しなければゲストである。ゲストに対しては、ＭＡＣアドレスを登録して、アクセスポイントで帯域制限をかける。
【選択図】図３

Description

この発明は、無線ＬＡＮの利用に関し、特に、家庭用無線ＬＡＮのためのアクセスポイントを公衆無線ＬＡＮインフラとして携帯電話のトラフィックデータをオフロードさせる際の、帯域制御方法に関する。

近年、フィーチャーフォンからスマートフォンへの移行が進んだり、データ通信専用端末が急速に普及したりしたことで、携帯電話網を利用するトラフィックデータが急激に増加している。これに対応するために携帯電話キャリア各社は単純に携帯電話網の設備を増強させるだけではなく、無線ＬＡＮを通じて光ファイバーインターネット回線へトラフィックデータをオフロードすることを検討している。そのために、新規にアクセスポイントを設置し、オフロードさせる固定回線を敷設し、認証サーバを設置する作業が進行している。しかし、携帯電話網に比べて到達距離の短い無線ＬＡＮによりオフロードを実現させるためには、大量のアクセスポイントを設置しなければならない。

これに対して、既に固定回線を敷設してそれにアクセスポイントを接続させている一般家庭や事業所の無線ＬＡＮ環境を、他のユーザにも解放して利用することが行われている。

しかし、無線LAN環境を他の利用者（ゲスト）にも無制限に拡大してしまうと、元々の無線LAN環境の所有者（オーナー）が本来受けるべきサービスを受けられなくなってしまう。そのような不利な条件では、アクセスポイントを解放しようとする者の意欲を減退させてしまうため、何らかの方法でオーナーを優先させたり、他の者の利用の際には何らかの制限を掛けながら限定的に解放することが検討されている。

特許文献１には、帯域を解放するアクセスポイントの所有者と、解放される帯域の情報をサーバに登録しておき、アクセスポイントにおける利用度をカウントする方法が記載されている。その上でオーナーに対するインセンティブが検討されており、提供したアクセスポイントの利用度に応じて、オーナーに会費収入を還元させる手段も記載されている（請求項２）。また、アクセスポイントを提供したオーナーであれば、他のアクセスポイントにおいても同様の帯域を保証する方式も記載されている（請求項６）。

一方、携帯電話の利用者を認証するシステムとしては、３ＧＰＰで規定される認証方式のＥＡＰと、一般端末で利用可能なｗｅｂ認証とを組み合わせ、３ＧＰＰ接続に未対応の端末、例えば無線ＬＡＮ接続専用のタブレットなどでも３ＧＰＰへの接続を可能にする方式が特許文献２に記載されている。

また、特許文献３には、パケットサイズ指定の齟齬によりパケットが届かなくなる所謂ブラックホール問題を解決するために、パケットのＭＳＳ（ＭａｘＳｅｇｍｅｎｔＳｉｚｅ）を調整する手法が記載されている。

特開２００４−６４５３６号公報 特開２００６−４１９６２号公報 特開２００７−１８０６８６号公報

しかしながら、特許文献１の方式はあくまでも、アクセスポイントを提供した者であれば、他のアクセスポイントでも同様の恩恵を受けることができるだけであり、オーナーとゲストとの間で利用できる状況に差を付けることができるわけではない。すなわち、オーナーはゲストと同様の帯域で利用することになる。

逆に、オーナーとして利用する場合と、オーナーではないゲストとして利用する場合に享受できる帯域に差を付けようとすると、アクセスポイントに送信するＩＤ及びパスワードを変えてゲストとして特有の設定に変更して認証しなければならず、利用者にとって利用がシームレスにいかず、手間がかかるものであった。特許文献２に記載のようなｗｅｂ認証では、あくまでも端末によらない認証を可能にして、利用可能であるか否かを判断することはできても、オーナーとゲストとの違いを判別することは想定されていない。

さらに、特許文献３に記載の方式は、あくまで通信ができなくなる状況を解決するためにＭＳＳを自動調整するものであり、帯域制限をかけることは想定されていない。

そこでこの発明は、利用者が他の利用者にもアクセスポイントの帯域を解放して利用可能にする無線ＬＡＮシステムにおいて、利用者がオーナーであるアクセスポイントに接続する場合とゲストであるアクセスポイントに接続する場合とで、携帯端末の設定をわざわざ変更する必要なくシームレスに無線ＬＡＮを活用できるようにしながら、オーナーである利用者が利用する携帯端末に対して優先的に帯域を割り当て可能にして、不公平感を低減し、利用者の拡大を図ることを目的とする。

この発明は、携帯端末からの無線接続を受け付けるアクセスポイントと、上記アクセスポイントが認証要求を送る認証サーバとについて、
上記認証サーバが、
利用者に払い出す識別情報と、当該利用者がオーナーとして優先使用されるアクセスポイント経由でアクセスする際の当該アクセスポイントのグローバルアドレスとを関連付けて登録する事前ユーザ情報等登録機能部と、
上記アクセスポイントから送信された上記識別情報と上記アクセスポイントの送信元ＩＰアドレスとを含む認証要求に対して、上記識別情報の認証とともに、上記関連付けられたグローバルアドレスと上記送信元ＩＰアドレスとが一致するか否かを返答する第一サーバ認証機能部と、を有し、
上記アクセスポイントが
接続要求を受けた携帯端末から、当該携帯端末の使用者の識別情報を受信して、当該識別情報とともに自身のＩＰアドレスを上記認証サーバへ送信して認証要求する認証機能部と、
上記認証が許可された上記携帯端末の接続を許可するにあたり、上記関連付けが一致しなかった携帯端末との通信に対してゲストとして帯域制限を設ける、ゲスト端末帯域制限部とを有することで、上記の課題を解決したのである。

すなわち、利用者は自宅等の自分が管理する地点に設置したインターネット接続可能なアクセスポイントを解放するにあたり、そのアクセスポイントからインターネットに接続する際のグローバルアドレスも、認証サーバに登録するようにしておく。ただし、この登録の際に、どの識別番号を有する利用者が提供したアクセスポイントが、どのグローバルアドレスとして認識されるかを、関連付ける。グローバルアドレスはＩＳＰから払い出されるために更新されることがあるが、それは認証サーバが用いるデータベースに随時反映させる。

上記アクセスポイントは、認証サーバからの回答により、接続してきた携帯端末がオーナーのものかゲストのものかを判別したら、その結果を当該携帯端末のMACアドレスとともに記憶する。以降は携帯端末からの通信を通過させる際に、ゲストのものであると判別できるMACアドレスからの通信を通過させる際にはＭＳＳを低減させ、オーナーのものであると判別できるＭＡＣアドレスからの通信を通過させる際にはＭＳＳをそのままで通過させると、オーナーが利用する通信に優先的に帯域が割り当てられる。低減の比率としては例えば半分にすることが挙げられ、その他状況に応じて適宜調整すればよい。この調整は、アクセスポイントと一体化、又はアクセスポイントが接続されている、外部ネットワークに通じるルータ側で帯域制御を行う必要なく、アクセスポイント側からの発信段階の調整だけで帯域を制御することができるので、ルータ側のソフトウェアを更新する必要なく導入できる。

また、上記アクセスポイントは、オーナーの携帯端末に対しては有線ＬＡＮと同一のサブネットに属するＩＰアドレスを払い出して、オーナーの管理下にあるネットワークに接続されるＰＣ，プリンタ、レコーダなどの機器に接続可能とするとともに、ゲストの携帯端末に対しては有線ＬＡＮとは異なるサブネットに属するＩＰアドレスを払い出して、それらの機器へアクセスできないようにすることで、オーナーとなる利用者が安心してアクセスポイントを提供できる。なお、この払い出しの設定は、上記アクセスポイント自身がＤＨＣＰサーバ機能を有するルータを兼ねている場合は上記アクセスポイント自身により行われる。一方、上記アクセスポイント自身はＤＨＣＰサーバ機能を持たずに上記アクセスポイントが接続される別の機器であるルータがＤＨＣＰサーバ機能を持っている場合は、ルータにより割り振られるアドレスを中継する上記アクセスポイントが携帯端末に払い出す。

さらに、この発明の第二の形態として、上記の関連付けとの一致の検証を認証サーバではなく、アクセスポイントが行う形態でも、基本的には同様の解決が可能となる。すなわち、上記第一サーバ認証機能部の代わりに、アクセスポイントから送信された識別情報を含む認証要求に対して、認証し、当該識別情報に上記関連付けられたグローバルアドレスを認証結果とともに返答する第二サーバ認証機能部を有するものとする。一方で、上記アクセスポイントには、携帯端末の使用者の識別情報を認証サーバへ送信して認証要求する認証要求機能部とともに、上記認証が許可された上記携帯端末の接続を許可するにあたり、上記認証サーバから返答された上記グローバルアドレスが上記アクセスポイントのＩＰアドレスと一致しなかった携帯端末との通信に対してゲストとして帯域制限を設ける、第二ゲスト端末帯域制限部を有するものとする。

ただし、認証要求機能部も、実質的には送信元IPアドレスとともに送信するので、発明の第一の形態における上記認証機能部と実際の処理は変わらない。その送信元IPアドレスを認証サーバで用いるか否かの違いとなる。

この第二の形態により、アクセスポイントが認証サーバとの間で通信する際に、アクセスポイント自身に払い出されたＩＰアドレスではなく、ネットワークのどこかでＮＡＴ変換、ＮＡＰＴ変換されてしまい、認証サーバがパケットを受信してもアクセスポイントの大元の送信元ＩＰアドレスがわからない場合でも本発明を実施できる。当該識別情報のユーザがオーナーであるアクセスポイントに払い出されたグローバルアドレスを認証サーバから受け取れば、アクセスポイント自身はそのグローバルアドレスが自身に割り振られたＩＰアドレスと一致するか否かを判別できるからである。

この発明により、既に光ファイバなどの固定回線を敷設して無線ＬＡＮ環境を構築している一般利用者は、自身の帯域を確保しながら他の利用者にアクセスポイントを開放することで、自身がオーナーであるアクセスポイントと、自身がゲストとなる他のオーナーによるアクセスポイントとの両方において、携帯端末の設定をそれぞれに合わせて変更する必要なく、シームレスに利用することができる。

この発明にかかる無線ＬＡＮシステムを実行する環境の概略図 この発明にかかる無線ＬＡＮシステムの主要部の機能ブロック例図 この発明にかかる無線ＬＡＮシステムの実施形態を示すシーケンス図 （ａ）図３のフローＡを示すサブフロー図、（ｂ）端末情報格納ＤＢの例図 （ａ）図３のフローＢを示すサブフロー図、（ｂ）認証判定ＤＢの例図 （ａ）図３のフローＣを示すサブフロー図、（ｂ）端末情報格納ＤＢの例図 図３のフローＤを示すサブフロー図

以下、この発明について詳細に説明する。
この発明は、一般家庭や事業所等に設置されているアクセスポイントを、他の利用者にも利用可能に開放する際に利便性及び安全性を発揮させる無線ＬＡＮシステムである。
この発明を実施する無線ＬＡＮシステムを構築するネットワークと、アクセスポイント設置場所を、図１にしめす実施形態を用いて説明する。なお、実際の実施形態はこれに限定されるものではない。

まず、この発明に参加する各家屋１０（１０ａ、１０ｂ）には、光ファイバなどを用いた固定回線が引かれている。なお、別に一戸建ての一般家屋に限らず、集合住宅でも、飲食店や小売店、遊興施設、鉄道会社などその他の事業者の建築物であってもよい。ここでは、オーナーとゲストの説明を容易にするため家屋を例にとる。家屋１０ａの所有者をＡ，家屋１０ｂの所有者をＢとする。上記の固定回線には、複数のＳＳＩＤによる無線ネットワークを同時に構築可能なアクセスポイント１２（図中、「ＡＰ１２」と略記する。）が繋がっている。以下の例では主に、このアクセスポイント１２が事業者網２０に対してルータ機能も内蔵する実施形態を中心に説明するが、アクセスポイント１２が、事業者網２０に接続される各々の家屋用ルータに接続されて無線ネットワークを構築するものでもよい。

アクセスポイント１２ａ，１２ｂには、無線ＬＡＮ接続機能を有する携帯端末１１（１１ａ〜）が接続される。この携帯端末１１としては、フィーチャーフォン、スマートフォンの区別を問わない携帯電話や、無線ＬＡＮアクセス機能を有するノートパソコン、携帯ゲーム機などが挙げられる。

アクセスポイント１２は自身のルータ機能又は接続した家屋用ルータの機能により、事業者網２０にアクセス可能である。事業者網２０は、回線事業者が管理する閉域網であり、ＩＳＰ網３０に通じるＩＳＰルータ２５を通じて、ＩＳＰ網３０の先にあるインターネットに接続可能である。その場合、アクセスポイント１２とＩＳＰルータ２５との間はＰＰＰｏＥなどによりトンネルされる。

また、事業者網２０には、この発明で用いる認証サーバ２１、ｃｏｎｆｉｇバンドルサーバ２２、ＡＰ管理サーバ２３が、事業者の管理の下で設置されている。それぞれの機能は後述する。さらに、認証サーバ２１に対して接続可能なサービスオーダーサーバ２４が設けてある。

このうち、携帯端末１１とアクセスポイント１２と認証サーバ２１との機能ブロック図を図２に示す。
携帯端末１１は、無線ネットワークにアクセスするためのアンテナなどである端末側無線インターフェース１１１（図中、インターフェースを「ＩＦ」と略記する。）と、その端末側無線インターフェース１１１を介して、認証のための情報を送信して認証を受ける認証処理部１１２と、認証後にＩＳＰ網３０及びその先のインターネットとデータ通信する通信部１１３とを備える。認証処理部１１２は、接続するべき無線ネットワークのＳＳＩＤと、そこへ接続するための暗号方式及び暗号鍵、そして、本発明を提供する事業者から払い出された識別情報を保存しておく認証情報データベース１１４を有し、これを用いてアクセスポイント１２の無線ネットワークを構築するＡＰ側無線インターフェース１２１に接続する。ここで、識別情報とは、ＩＤだけでもよいが、パスワードと対になっていると好ましい。これらの情報は、本発明にかかる無線ＬＡＮシステムを利用する際に、事業者から通知され、利用者が携帯端末１１に入力し、登録する。通信部１１３は、後述する認証手順が全て終わった後、データ通信を行う。

アクセスポイント１２は、所定のＳＳＩＤを含む無線ネットワークをブロードキャストし、携帯端末１１と無線通信可能なアンテナを含むＡＰ側無線インターフェース１２１を有する。また、この実施形態では、アクセスポイント１２の無線ネットワークを含むローカルエリアネットワークと、事業者網２０との間のルータとして機能するルータ機能部１２２を有する。また、携帯端末１１の認証処理部１１２から送られてきた認証のための情報を中継するとともに、自身でも認証を行う認証機能部１２３を有する。この認証機能部１２３には、携帯端末１１のＭＡＣアドレス及びオーナー又はゲストの判別情報などのを記録する端末情報格納データベース１２４にアクセス可能である。また、これらの機能部は実際に演算処理を行う演算装置を含む動作制御部１２６により動作する。一方、事業者網２０側には事業者網２０に属するサーバ、ルータ類と通信するための転送インターフェース１２７を有する。またこれ以外に、携帯端末１１以外の有線で接続されるＬＡＮを構成する有線インターフェース１２８を有してもよい。一方、図１には記載していないが、転送インターフェース１２７の先には、事業者網２０に対してＡＤＳＬ回線や光回線などの回線終端装置１４（図中「ＯＮＵ１４」と略記する。）がある。

認証サーバ２１は、事業者網２０に接続して、アクセスポイント１２や、他のサーバ２２，２３と通信する有線機能部１３１を有する。基本的には一般的な有線ＬＡＮポートとそのための通信チップからなる。また、アクセスポイント１２から送られてきた認証要求に対して、認証判定データベース１３３を参照して、送られてきた識別情報が登録された利用者のものであるか否かと、当該送信の発信元であるＩＰアドレスと当該識別情報との組み合わせが予め登録された関連付けと一致するか否かとをチェックするサーバ認証機能部１３２を有する。ここでチェックするための認証判定データベース１３３に登録される情報は、ユーザーに払い出した識別情報とユーザー登録についての情報を統括するサービスオーダーサーバ２４から送られたものを、事前ユーザ情報等登録機能部１３４が登録するものである。また、有線機能部１３１とは別個のネットワークインターフェースであるサーバ側転送インターフェース１３５を有している。このサーバ側転送インターフェース１３５を介してサービスオーダーサーバ２４やＩＳＰ事業者のＡＡＡサーバなどの外部の認証サーバへ認証パケットをプロキシ中継する。これらのサーバは事業者網２０とは独立したネットワークに設けられるためである。

この他に、この発明にかかる無線ＬＡＮシステムを大規模に運用するのであれば、次のサーバ群が有する機能を、単一のサーバに、又は複数のサーバに分散させて実行させると、個々のアクセスポイント１２の設定や、個々人の識別情報などの扱いが容易になり、アクセスポイント１２や認証サーバ２１の負荷を低減できる。

まず、この発明にかかる無線ＬＡＮシステムに参加するアクセスポイント１２の事業者網２０におけるＩＰアドレスを常に把握し、変更になった場合はその旨と変更後のＩＰアドレスを受信して速やかにＡＰアドレスデータベース１４２を更新する、アドレス管理部１４１を有するＡＰ管理サーバ２３を設けておくと好ましい。また、それぞれのアクセスポイント１２に対して、それぞれのアクセスポイントが帯域の解放にあたって設定するＳＳＩＤや暗号化方式、暗号鍵などの無線ネットワーク設定情報を受信するように、アクセスポイント１２に指示するバンドル受信支持部１４３を設け、個々のアクセスポイント１２の設定を最適な状態に統一して管理できるとなおよい。

上記の無線ネットワーク設定情報は、ＡＰ管理サーバ２３が要求に対して送信してもよいが、ＡＰ管理サーバ２３とは別個に、最新の上記無線ネットワーク設定情報を送信する専用のサーバであるｃｏｎｆｉｇバンドルサーバ２２を設けてもよい。

さらに、認証サーバ２１やｃｏｎｆｉｇバンドルサーバ２２などのサーバ群に対して、それらが扱う情報を統括的に管理し、更新すべきユーザの情報やアクセスポイント１２における無線ネットワーク設定情報の拡張更新などを通知する、サービスオーダーサーバ２４を設けておくと好ましい。このサービスオーダーサーバ２４は事業者網２０に設置してもよいが、事業者網２０から独立して、インターネットなどの外部からアクセス可能な場所に設けておくと、外部ユーザが容易にサービスへの加入ができ、本発明を利用しやすくなるので好ましい。

すなわち、サービスオーダーサーバ２４は、顧客である利用者の種種の情報を管理する。利用者に払い出したＩＤ及びパスワードからなる認証用の識別情報を管理するとともに、その利用者が開放したアクセスポイント１２が事業者網２０に対して有するＩＰアドレスも最初に割り当て、以後は管理把握する。この場合、アクセスポイント１２がインターネット接続環境を構築するにあたり、事業者網２０を利用するため、その情報を通知することを許諾するようにするとよい。これらを登録する顧客データベース（図示せず）において、識別情報とＩＰアドレスとを関連付けて記録する。この記録した情報のうち、ＩＰアドレスは、ＩＳＰ網３０に対して、当該利用者に払い出すＩＰアドレスとして告知するＩＰアドレス配布手段を実行する。また、ＡＰ管理サーバ２３に対しては、上記識別情報と当該アクセスポイント１２が事業者網２０に対して利用するＩＰアドレスとを関連付けて通知する関連済情報通知手段を実行する。

この最初の設定から始まる本発明の一連のシーケンスを図３と、図４〜図７に記載のサブフロー図を用いて順に説明する。ここでは、図中家屋１０ａの所有者である利用者が、自宅のアクセスポイント１２ａを開放した上で、家屋１０ｂのアクセスポイント１２ｂを利用する場合を例に取る。

まず、家屋１０ａ、１０ｂの所有者それぞれは、自宅に固定回線を引くとともに、アクセスポイント１２を設置して、本件発明にかかる無線ＬＡＮシステムの利用を申し込む。申込を受けた事業者は、サービスオーダーサーバ２４に利用者の契約情報を登録し、それぞれの利用者宅のゲートウェイ（ルータ、又はルータ機能部）に割り振るＩＰアドレスを、利用者が契約するＩＳＰに通知するＩＰアドレス配布手段を実行して（Ｓ１１１）、固定回線を開通可能にさせる。ここでは、アクセスポイント１２がゲートウェイを兼ねているとして説明する。

また、認証サーバ２１に対して、その開通したゲートウェイのＩＰアドレス（HomeIPaddr）と、そのＩＰアドレスをホームとして接続するオーナーになる利用者に払い出した識別情報（ＩＤ。パスワードを含んでもよい）とを関連付けて通知する関連済情報通知手段を実行する（Ｓ１１２）。この通知は、図中では家屋１０ａの利用者のＩＰアドレスとＩＤのみを記載しているが、実際には複数の利用者のＩＰアドレスとＩＤとの組み合わせを同時に複数送信してもよい。これを受信した認証サーバ２１では、事前ユーザ情報等登録機能部１３４が、認証判定データベース１３３にこれらの情報を関連付けて登録する。

また、サービスオーダーサーバ２４は、この発明を担うアクセスポイント１２が設定するＳＳＩＤ等の無線ネットワーク設定情報（バンドル）を、ｃｏｎｆｉｇバンドルサーバ２２に登録させる設定情報登録手段を実行する（Ｓ１１３）。このとき、無線ネットワーク設定情報だけでなく、個々のＩＰアドレスであるゲートウェイに対して、それぞれ異なる無線ネットワーク設定情報を送信するように指示してもよい。

上記のｃｏｎｆｉｇバンドルサーバ２２は、サービスオーダーサーバ２４から登録指示を受けた無線ネットワーク設定情報を登録し、管理するとともに、ＡＰ管理サーバ２３に対して必要に応じて無線ネットワーク設定情報を送信する（Ｓ１１４）。なお、ＡＰ管理サーバ２３とｃｏｎｆｉｇバンドルサーバ２２が一体のサーバである場合には、サーバ内でのデータの受け渡しと登録を行うこととなる。

さらにサービスオーダーサーバ２４は、ＡＰ管理サーバ２３に対して、全てのユーザの識別情報と、当該ユーザがオーナーであるアクセスポイント１２のグローバルアドレスとを関連付けて通知しておく（Ｓ１１５）。サービスオーダーサーバ２４は、これらを関連付けて保存しておく。

一方、契約したそれぞれの利用者は、アクセスポイント１２又はそれに通じるルータと有線又は無線で接続した端末から、アクセスポイント１２又はそれに通じるルータ（ここでは内蔵するルータ機能部１２２）に対してＩＳＰ網３０に接続するための設定を行う（Ｓ１２１）。ここでは家屋１０ｂのみ記載しているが、当然に家屋１０ａのオーナーも同様の作業を行う。ゲートウェイとなるこの装置は、ＩＳＰ網３０に対してＰＰＰｏＥなどによるトンネルを確立して、ＩＳＰ網３０の先のインターネットと通じる回線を確立する（Ｓ１２２）。なお、図では携帯端末１１ｂから行っているが、別に携帯端末ではなく、デスクトップＰＣなどの固定端末から行ってもよい。

回線を確立したアクセスポイント１２は、ＡＰ管理サーバ２３に対して、ゲートウェイとして機能するルータ機能部１２２自身のＩＰアドレスを通知する（Ｓ１２３）。
その上で、アクセスポイント１２は動作制御部１２６が無線機能部１２９を実行しＡＰ側無線インターフェース１２１の設定情報を決定させるために、ＡＰ管理サーバ２３に無線ネットワーク設定情報の確認を行う（Ｓ１２４）。この確認により、当該アクセスポイント１２が参加する無線ネットワーク設定情報が確定していない、すなわち当該アクセスポイント１２がその時点では他社へのアクセス環境提供に参加する設定になっていなければ、バンドルを取得しにいくことなく処理はここで終了する（Ｓ１２５の返答まで）。一方、参加する無線ネットワーク設定情報が確定していたら、ＡＰ管理サーバ２３はその旨とともに、無線ネットワーク設定情報を受信するようにアクセスポイント１２に指示出す（Ｓ１２５）。

ＡＰ管理サーバ２３は、アクセスポイント１２に対して、無線ネットワーク設定情報を受信するように指示する（Ｓ１２５）。指示を受けたアクセスポイント１２の動作制御部１２６は、改めてｃｏｎｆｉｇバンドルサーバ２２に対して、自身が利用する無線ネットワーク設定情報を問い合わせる（Ｓ１２６）。この問い合わせが来る前に既にＡＰ管理サーバ２３の認証が終わっている（Ｓ１２４）ので、ｃｏｎｆｉｇバンドルサーバ２２はその問い合わせに対して無線ネットワーク設定情報を配信する（Ｓ１２７）。これを受信した動作制御部１２６は、ＡＰ側無線ＩＦ１２１に受信した無線ネットワーク設定情報を登録し、それらの設定通りにＳＳＩＤ等を有する無線ネットワークを展開する（Ｓ１３１）。

なお、図示しないが、図１中に一のアクセスポイント１２から複数のＳＳＩＤにかかる無線ネットワークが発せられているように、上記の無線ネットワーク設定情報に従った無線ネットワークと並行して、それぞれの所有者が別途ＳＳＩＤ等の異なる、自分専用の無線ネットワークを展開していてもよい。この自分専用の無線ネットワークは、アクセスポイント１２と有線ＬＡＮで接続される、部外者に侵入されたくないレコーダやゲーム機などのその他の情報機器と同一のサブネットに属するようにＩＰアドレスを払い出すことが望ましい。すなわち、上記のＡＰ管理サーバ２３から指示されて展開される無線ネットワークは、それとは異なるサブネットに属するように次のようにＩＰアドレスを払い出すのが好ましい。

上記の、利用可能な無線ネットワークが構築されれば、利用者Ａ、Ｂのどちらも、共通して利用可能な無線ネットワーク設定情報に対応したＳＳＩＤ及び暗号化方式、暗号鍵を携帯端末１１ａ，１１ｂに登録して、その無線ネットワーク設定情報に対応した無線ネットワークへの接続が可能になる。これらの情報は、契約の際にサービスオーダーサーバ２４を運営する事業者から利用者に郵送などで伝達されているものである。

設定された携帯端末１１は、認証処理部１１２が、ＩＥＥＥ８０２．１ｘなどの認証クライアント機能を発揮して、ＥＡＰ認証要求をアクセスポイント１２に送る（Ｓ１３２）。このとき、携帯端末１１ａは、予め当該利用者Ａに払い出された識別情報（ＩＤ＝ＡＡ、及びパスワード）を入力の上で、認証要求を送ることになる。なお、ここではゲストが認証要求を送ったケースを記載しているが、オーナーが送る場合もここでの処理は同様になる。

この認証要求を受けたアクセスポイント１２の処理「フローＡ」を図４（ａ）のサブフローを用いて説明する（Ｓ１３３）。まず、携帯端末１１ａからＥＡＰ認証要求フレームを受信したら、ルータ機能部１２２は認証機能部１２３へそのフレームを渡す。認証機能部１２３は、携帯端末１１ａのＭＡＣアドレスを当該フレームから取り出し、端末情報格納データベース１２４に登録する（Ｓ２１２）。このときの端末情報格納データベース１２４の例を図４（ｂ）に示す。未登録のＭＡＣアドレスからの通信を、新たなレコードとして登録する。その上で、認証機能部１２３は、認証サーバ２１に対して、当該フレームに含まれていた上記識別情報を送信して認証要求を行う（Ｓ２１３）。図では例として、ＥＡＰ ｏｖｅｒ ＲａｄｉｕｓによるＩＥＥＥ８０２．１ｘ認証処理を示しているが、方式は特にこれに限定されない。

説明を図３に戻す。こうして送信された認証要求（Ｓ１４１）は、事業者網２０がＩＰベースのネットワークであれば、認証要求のＩＰパケットに、当然にゲートウェイとしてのアクセスポイント１２のＩＰアドレスが含まれる。認証サーバ２１では、認証要求に含まれる上記識別情報だけでなく、この発信元ＩＰアドレスも用いて次のような認証判断を行う。この「フローＢ」を図５（ａ）のサブフローを用いて説明する（Ｓ１４２）。認証要求のパケット（ここでは例としてＲａｄｉｕｓパケット）を受信したサーバ認証機能部１３２は（Ｓ３１１）、まず、認証判定データベース１３３のレコードと対比する。認証判定データベース１３３の例を図５（ｂ）に示す（Ｓ３１２）。受信したＲａｄｉｕｓパケットに含まれる識別情報（ＩＤ／Ｐａｓｓ）や、当該パケットの送信元ＩＰアドレスから判別できる帰属ＡＰアドレスを、事前投入された識別情報と一致するレコード（ここでは契約Ａ）に記録する。

このうち、サービスオーダーサーバ（ＳＯＳ）２４より事前投入とある表中左側の項目は、上記のＳ１１２の段階でサービスオーダーサーバ２４から通知された際に、識別情報と払い出すＩＰアドレスとを関連付けて記録したものである。この識別情報によって、個々の契約者を識別できる。認証要求のパケットを受信したら、識別情報（図５の例では「携帯端末ＩＤ／Ｐａｓｓ」と記載。）が一致しているレコードがあるか否かを判断する（Ｓ３１３）。事前投入の欄に、当該パケットに含まれる識別情報と共通する項目が見あたらなければ、当該パケットの認証要求は認められないので、認証は失敗となる（Ｓ３１４）。この場合、図３には図示しないが、アクセスポイント１２に認証失敗の旨が通知され、アクセスポイント１２の認証機能部１２３は、認証失敗の旨を携帯端末１１へ送る。携帯端末１１は、必要に応じて入力情報の修正などを行い、Ｓ１３２以降の認証を繰り返すことになる。

一方、事前投入の欄に、当該パケットに含まれる識別情報と共通する項目が見つかれば（Ｓ３１３）、そのパケットの識別情報とともに、送信元のＩＰアドレス（携帯端末帰属ＡＰアドレス）を認証判定データベース１３３に記録する。図５（ｂ）に記載の例はこのときの状態例である。このとき、図５（ｂ）のように、自宅ＡＰアドレスと、携帯端末帰属ＡＰアドレスが一致しない場合は、当該携帯端末１１ａの利用者は、認証を許可されるべき契約した利用者ではあるが、自身がオーナーではなく、ゲストであるアクセスポイント１２を経由してアクセスしていることがわかる（Ｓ３２１）。この場合、アクセスポイント１２を通じて携帯端末１１ａへ、認証が成功した旨の結果を転送するとともに、この接続をゲスト扱いとすることをアクセスポイント１２に通知する（Ｓ３２３）。逆に、図５（ｂ）とは異なり、自宅ＡＰアドレスと携帯端末帰属ＡＰアドレスとが一致する場合は、当該携帯端末１１ａの利用者は、認証を許可されるべき契約した利用者であり、なおかつ、自身が提供しているアクセスポイントから接続しているオーナーであることがわかる（Ｓ３２１）。この場合、アクセスポイント１２を通じて携帯端末１１ａへ、認証が成功した旨の結果を転送するとともに、この接続をオーナー扱いとすることをアクセスポイント１２に通知する（Ｓ３２２）。いずれにせよ、認証が成功したら、無線接続を許可する旨の返答がアクセスポイント１２に送られる（Ｓ１４３）。このパケットにゲストかオーナーかのどちらかと判定されたかの情報も含まれる。

なお、図示しないが、この認証サーバ２１への認証要求の際に、携帯端末１１が送信する情報に、要求する接続先のＩＳＰを判別する情報を含めていてもよい。例えば、ＩＤ及びパスワードに続いて「＠」マーク以下にＩＳＰのドメインを付属するといった方法で指定できる。これにより、事業者としては、当該携帯端末１１がインターネットへアクセスする際に、選択するＩＳＰ網３０及びそこへのトンネルをあとで選択できるようにすることまで同時に認証判断を行うことができる。その場合、当然に予め投入しておく情報にはＩＳＰを判別する情報も含まれることとなる。

次に、そのパケットを受信したアクセスポイント１２における「フローＣ」を、図６（ａ）を用いて説明する。認証要求に対する返答のパケットを受け取ったら（Ｓ２３１）、その結果が成功か失敗かで処理が分岐する（Ｓ２３２）。上記の通り、認証失敗である場合には、単純にその結果を携帯端末１１に転送する（Ｓ２３３）。この場合は再度の認証要求を受信することが多い。

一方、認証が成功していれば（Ｓ２３２）、端末情報格納データベース１２４へ、認証結果に同伴する情報を記録する（Ｓ２４１）。この記録には、当然に上記のオーナーかゲストかの判定が含まれる。また、接続先のＩＳＰも含めた認証がされていれば、そのＩＳＰ（接続事業者）のドメインも記載する。その記載例を図６（ｂ）のテーブルに示す。

このオーナーかゲストかの判定により、帯域制限を行うか否かのフローが異なる（Ｓ２４２）。ゲストと判定されていた場合（Ｓ２４２→Ｇｕｅｓｔ）、折り返し通信、すなわちアクセスポイント１２を経由して、アクセスポイント１２に接続している他の端末への通信を許可しないものとする（Ｓ２５１）。ゲストがオーナーの所有機器にアクセス出来てしまっては都合が悪いからである。さらにこれに併せて、ゲストの携帯端末についての帯域制限を設定する帯域制限手段を実行する。帯域制限の方法は特に限定されないが、アクセスポイント１２のみで好適に行える処理として、ＭＳＳ（ＭａｘＳｅｇｍｅｎｔＳｉｚｅ）を、オーナーである利用者の携帯端末の通信に比して低減させる手法が挙げられる。具体的には、ＭＳＳをオーナーに比べて半分とすると、ＷｉｎｄｏｗＳｉｚｅが半分になり、実質的にゲストの帯域は半分となる（ＲＷＩＮ／２）。この処理も、判定結果データベースに記録するとよい。図６（ｂ）のテーブルはこれを記録した状態を示している。また、場合によってはＩＳＰの種類などのその他の情報に応じて、処理の条件を変更してもよい。

以上のようなデータベースへの登録が終わったら、ＤＨＣＰサーバ機能を有効にする（Ｓ２５２）。ただし、このＤＨＣＰサーバ機能で払い出すアドレスは、オーナーの機器が接続されたアドレスにはアクセスできない、別のサブネットを有するものと設定しておく。さらに、登録された情報に応じて、接続するＩＳＰ網３０を選択する（Ｓ２５３）。ＩＳＰ網３０についての情報が無ければ、単純にオーナーが利用するＩＳＰ網３０に同伴することとなる。以上のような設定を完了した上で、携帯端末１１に認証結果を転送する（Ｓ２５４）。その後、携帯端末１１からＤＨＣＰ要求があれば、上記のような限定されたサブネットでのアドレスを払い出すこととなる。図では有線ＬＡＮのアドレスとは違うローカルアドレスを付与する例を示す。

一方、オーナーと判定されていた場合（Ｓ２４２→Ｏｗｎｅｒ）、当該携帯端末１１は当然にオーナーの所有機器にアクセスできるようにするため、折り返し通信を許可する（Ｓ２４３）。また、ＤＨＣＰサーバ機能を有効にするにあたって、当該携帯端末１１からの要求に対しては、有線ＬＡＮインターフェースに払い出すアドレスと同じサブネットを有するアドレスを払い出すように設定する（Ｓ２４４）。また、接続先事業者は、オーナーが元々利用するＩＳＰ網３０に対応させればよい（Ｓ２４５）。以上のような設定を完了した上で、携帯端末１１に認証結果を転送する（Ｓ２４６）。その後、携帯端末１１からＤＨＣＰ要求があれば、上記のような有線ＬＡＮと通信可能で、かつ、ゲストに科せられている帯域制限の存在しない設定での無線アクセスが可能となる。

ＥＡＰ認証の許可の旨が携帯端末１１に転送されると（Ｓ１５１）、併せてアクセスポイント１２は、当該携帯端末１１の接続を許可した旨を認証サーバ２１に通知する（Ｓ１５２）。許可を受けた携帯端末１１は、ＤＨＣＰ要求をアクセスポイント１２に送り、アクセスポイント１２は上記の設定の通りにＤＧＣＰ応答をしてサブネットを定めて、アドレスを払い出す（Ｓ１５４）。これにより、携帯端末１１はアクセスポイント１２との無線通信が可能となる。

以後、携帯端末１１からのデータ送信があれば（Ｓ１５５）、アクセスポイント１２は、「フローＤ」のように動作する。このフローＤを図７（ａ）に示す。携帯端末１１からＴＣＰのｓｙｎパケットを受信した時点で（Ｓ２６１）、端末情報格納データベース１２４に記録されている判定結果を参照する（Ｓ２６２）。ゲストであれば、設定した通りにＭＳＳを半分にすることで、Ｒｗｉｎを半分にするように、パケットを書き換える（Ｓ２６３）。一方、オーナーであればそのような処理は行わずに、そのまま通過させる（Ｓ２６４）。その上で、それぞれの端末について登録された接続事業者（ＩＳＰ網３０に対応）に対応する仮想的なＷＡＮ側インターフェース（転送インターフェース１２７中に仮想的に存在する）に転送させる。以後、それぞれのトンネルを通じて、ＩＳＰ網３０とアクセスする。ゲストの通信はオーナーよりも制限されており、オーナーは自ら設置したアクセスポイント１２の帯域を優先して利用することが出来る（Ｓ１５７）。

また、第２の実施形態として、ゲストとオーナーとの判定をアクセスポイント１２で行ってもよい。この場合、図５のＳ３２１からＳ３２２，Ｓ３２３に分岐する判定は行わず、携帯端末１１へ認証成功の旨を通知するとともに、認証要求された識別情報（ＩＤ／ｐａｓｓ）について、サービスオーダーサーバ２４より認証判定データベース１３３に登録されていた自宅ＡＰアドレス（グローバルアドレス）をアクセスポイント１２に返送する（Ｓ１４３）第二サーバ認証機能部を実行する。これを受けたアクセスポイント１２では、図６のＳ２４１の代わりに、アクセスポイント１２自身のＩＰアドレスと、返送されてきたグローバルアドレスを比較し、一致すればオーナーと、一致しなければゲストと判断して、Ｓ２４２以下のフローを行う。

この実施形態では、アクセスポイント１２の送信元IPアドレスを認証サーバ２１がそのまま受け取ることができないＮＡＴ変換、ＮＡＰＴ変換が介在する場合に有効である。一方で、アクセスポイントのみで判定を実施する場合には、アクセスポイントでしたゲスト／オーナー情報を持たないため、ネットワーク側やサーバ側で通信トラフィックがゲストのものか、オーナーのものかを知る術がない。このため、ポリシールーティングなどのユーザ種別によって、何らかのさらなる制御を行おうとする場合は上記の第一の実施形態の方が有効である。また、セキュリティ上もサーバで管理する第一の実施形態の方が扱いやすい。

１０，１０ａ，１０ｂ 家屋
１１，１１ａ，１１ｂ 携帯端末
１２，１２ａ，１２ｂ アクセスポイント
１３ 無線ネットワーク
１４ 回線終端装置
１５ 事業者側ルータ
２０ 事業者網
２１ 認証サーバ
２２ ｃｏｎｆｉｇバンドルサーバ
２３ ＡＰ管理サーバ
２４ サービスオーダーサーバ
２５，２５ａ，２５ｂ ＩＳＰルータ
３０ ＩＳＰ網
１１１ 端末側無線インターフェース
１１２ 認証処理部
１１３ 通信部
１１４ 認証情報データベース
１２１ ＡＰ側無線インターフェース
１２２ ルータ機能部
１２３ 認証機能部
１２４ 端末情報格納データベース
１２５ ゲスト端末帯域制限部
１２６ 動作制御部
１２７ 転送インターフェース
１２８ 有線インターフェース
１２９ 無線機能部
１３１ 有線機能部
１３２ サーバ認証機能部
１３３ 認証判定データベース
１３４ 事前ユーザ情報等登録機能部
１３５ サーバ側転送インターフェース
１４１ アドレス管理部
１４２ ＡＰアドレスデータベース
１４３ バンドル受信支持部

Claims (4)

1. 携帯端末からの無線接続を受け付けるアクセスポイントと、上記アクセスポイントが認証要求を送る認証サーバとを有し、
   上記認証サーバは、
   利用者に払い出す識別情報と、当該利用者がオーナーとして優先使用されるアクセスポイント経由でアクセスする際の当該アクセスポイントのグローバルアドレスとを関連付けて登録する事前ユーザ情報等登録機能部と、
   上記アクセスポイントから送信された上記識別情報と上記アクセスポイントの送信元ＩＰアドレスとを含む認証要求に対して、上記識別情報の認証とともに、上記関連付けられたグローバルアドレスと上記送信元ＩＰアドレスとが一致するか否かを返答する第一サーバ認証機能部と、
   を有し、
   上記アクセスポイントは、
   接続要求を受けた携帯端末から、当該携帯端末の使用者の識別情報を受信して、当該識別情報とともに自身のＩＰアドレスを上記認証サーバへ送信して認証要求する認証機能部と、
   上記認証が許可された上記携帯端末の接続を許可するにあたり、上記関連付けが一致しなかった携帯端末との通信に対してゲストとして帯域制限を設ける、ゲスト端末帯域制限部と、
   を有する、
   アクセスポイントの帯域をオーナーである利用者の携帯端末に優先させながら、ゲストである利用者の携帯端末も使用可能とした無線ＬＡＮシステム。
2. 携帯端末からの無線接続を受け付けるアクセスポイントと、上記アクセスポイントが認証要求を送る認証サーバとを有し、
   上記認証サーバは、
   利用者に払い出す識別情報と、当該利用者がオーナーとして優先使用されるアクセスポイント経由でアクセスする際の当該アクセスポイントのグローバルアドレスとを関連付けて登録する事前ユーザ情報等登録機能部と、
   上記アクセスポイントから送信された上記識別情報含む認証要求に対して、上記識別情報を認証し、当該識別情報に上記関連付けられたグローバルアドレスを認証結果とともに返答する第二サーバ認証機能部と、
   を有し、
   上記アクセスポイントは、
   接続要求を受けた携帯端末から、当該携帯端末の使用者の識別情報を受信して、当該識別情報を上記認証サーバへ送信して認証要求する認証要求機能部と、
   上記認証が許可された上記携帯端末の接続を許可するにあたり、上記認証サーバから返答された上記グローバルアドレスが上記アクセスポイントのＩＰアドレスと一致しなかった携帯端末との通信に対してゲストとして帯域制限を設ける、第二ゲスト端末帯域制限部
   を有する、
   アクセスポイントの帯域をオーナーである利用者の携帯端末に優先させながら、ゲストである利用者の携帯端末も使用可能とした無線ＬＡＮシステム。
3. 上記アクセスポイントは、
   上記関連付けが一致しなかったゲストである利用者の携帯端末の通信を通過させる際に、ＭＳＳ（ＭａｘＳｅｇｍｅｎｔＳｉｚｅ）を、オーナーである利用者の携帯端末の通信に比して低減させることで、上記の帯域制限を実現する請求項１又は２に記載の無線ＬＡＮシステム。
4. 上記アクセスポイントは、上記認証が許可された上記携帯端末の接続を許可するにあたり、上記識別情報に関連付けられたグローバルアドレスが上記アクセスポイント自身のＩＰアドレスと一致した携帯端末に対しては、有線ＬＡＮと同一のサブネットに属するＩＰアドレスを払い出し、一致しなかった携帯端末に対しては、有線ＬＡＮと異なるサブネットに属するＩＰアドレスを払い出す、サブネット制限手段を有する、
   請求項１乃至３のいずれかに記載の無線ＬＡＮシステム。

Images