JP4315879B2

JP4315879B2 - 無線通信装置

Info

Publication number: JP4315879B2
Application number: JP2004258526A
Authority: JP
Inventors: 典文吉谷
Original assignee: Sharp Corp
Current assignee: Sharp Corp
Priority date: 2004-09-06
Filing date: 2004-09-06
Publication date: 2009-08-19
Anticipated expiration: 2024-09-06
Also published as: JP2006074680A

Description

本発明は、無線端末との無線通信を行い無線LANを形成する無線アクセスポイント等の無線通信装置に関する。

昨今、有線のLANケーブルで接続していたものを無線に置き換える無線LAN技術の発達と低価格化が進んできている。IEEE802.11と呼ばれる無線LANの規格ができた当初は、潜在的なニーズがありながらも伝送速度が遅いことや機器が高価であったため、それほど普及しなかった。しかしその後、伝送速度を速くした規格IEEE802.11b、IEEE802.11aやIEEE802.11gの登場、TKIP（Temporal Key Integrity Protocol）、AES（Advanced Encryption Standard）などの強固な無線伝送データの暗号化方式の登場や機器の低価格化等により無線LANは徐々に普及してきている。

また、携帯端末やノート型PC等の無線端末の普及により、外出先等、何時何処でもインターネットサービスを利用したいといったニーズが増えてきている。

これらのことから、街中に無線アクセスポイント（以下、無線APと呼ぶ）を設け、無線APに接続された無線端末にインターネットへの接続を提供するHotSpotサービス等の無線サービスが始まっている。HotSpotサービスを利用する場合、ユーザはノート型PC等の無線端末をHotSpotサービスエリア（無線APから電波の届く範囲）に持っていき、無線APに接続して利用する。一般的に、無線による物理的な接続状況は、無線端末の無線接続ユーティリティにより無線端末の画面上に表示され、ユーザが確認できる。

無線サービスの提供者は、不正な方法で接続する端末に対して無線サービスを提供しないことを必要とする。従来、無線AP等の無線通信装置を用いた接続端末に対する制御方法としては、不正接続端末から受信したパケットが有するIPアドレスに基づいて、不正接続端末から受信したパケットを廃棄することが行われている（例えば、特許文献１参照）。
特開２００２−１５８７０１号公報

しかし、上記従来の無線通信装置では次のような問題がある。従来の無線通信装置が、不正接続端末から受信したパケットが有するIPアドレスに基づいて、そのパケットを廃棄した後、再度不正端末からパケットを受信すると再度同じ動作を繰り返す。IPアドレスをパケットから取り出し、その中身を確認するという動作が不正接続端末からパケットを受信する度に繰り返されることになり、無線サービスを受けるべきでない端末によって無線通信装置に無用な負荷がかかり、無線通信装置のパフォーマンスも低下してしまう。また、このようなパケットを大量に無線通信装置が受信した場合は、パフォーマンスが著しく低下し、場合によっては無線LANが不安定となり、サービス提供ができなくなることもある。

また、ユーザがIPアドレスの設定を誤った端末で従来の無線通信装置に接続すると、その端末は不正接続端末と判断され、無線サービスが受けられない。しかし、物理的な接続はされているために、端末の画面上では無線接続完了となっており、ユーザが混乱を起こす。

本発明は上記問題点を鑑みてなされたものであり、無線サービスを受けるべきでない無線端末による無用な負荷を抑え、無線サービスの安定化を図ることができる無線通信装置を提供することを目的とする。

上記目的を達成するため、本発明の無線通信装置は、無線端末からのパケットを受信する受信手段を備える無線通信装置において、第一の記憶手段と、所定の条件に基づき無線端末のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録する登録手段と、前記受信手段が無線端末からパケットを受信すると、該パケット中のＭＡＣアドレスと前記第一の記憶手段に記憶されたテーブルに登録されたＭＡＣアドレスとを比較し、両者が一致するとき該パケットを廃棄する制御手段とを備え、
所定のＭＡＣアドレスと該ＭＡＣアドレスに対応する所定のＩＰアドレスとが登録されたテーブルを記憶する第二の記憶手段をさらに備え、
前記登録手段は、前記受信手段が受信したパケット中のＭＡＣアドレスとＩＰアドレスとの一方のみが一致するようなＭＡＣアドレスとＩＰアドレスとの組が前記第二の記憶手段に記憶されたテーブルに存在するとき該パケット中のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする（以下、第１の構成と呼ぶ）。

このような構成によれば、無線サービスを受けるべきでない無線端末のMACアドレスをテーブルに登録すれば、その無線端末からのパケットは処理の最初の段階で廃棄されるので、無線サービスを受けるべきでない無線端末による無用な負荷を無線通信装置にかけず、安定した無線サービスを提供することができる。

また、本発明の無線通信装置は、第１の構成の無線通信装置において、前記制御手段は、前記パケットを廃棄すると同時に、前記パケットを送信した前記無線端末との接続を切断することを特徴とする（以下、第２の構成と呼ぶ）。

このような構成によれば、無線サービスを受けられないときに無線接続が切断されるため、ユーザは無線端末の画面上で無線接続切断を簡単に確認でき、無線サービスを受けられないときに混乱することもない。

また、本発明の無線通信装置は、第１の構成の無線通信装置において、無線端末との間で接続認証を行う接続認証手段を備える無線通信装置であって、前記登録手段は、前記受信手段が無線端末から接続認証用パケットを受信し、前記接続認証手段が接続認証を行い、該無線端末の接続認証に所定の回数または所定の時間以上失敗したとき、該パケット中のMACアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする（以下、第３の構成と呼ぶ）。

このような構成によれば、無線通信の暗号化の鍵の設定等が誤っている無線端末から接続認証要求を受ける度に暗号化の鍵の判定等の接続認証を繰り返すことを防ぎ、無線通信装置の負荷を抑えられる。

また、本発明の無線通信装置は、第１〜第３の構成のいずれかの無線通信装置において、無線端末との間で当該無線通信装置外部の認証サーバまたは当該無線通信装置内部の認証サーバ機能を用いてユーザ認証を行うユーザ認証手段を備える無線通信装置であって、前記登録手段は、前記受信手段が無線端末からユーザ認証用パケットを受信し、前記ユーザ認証手段がユーザ認証を行い、該無線端末のユーザ認証に所定の回数または所定の時間以上失敗したとき、該パケット中のMACアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする（以下、第４の構成と呼ぶ）。

このような構成によれば、サービス利用のためのID、パスワード等の入力が誤っている無線端末からユーザ認証要求を受けるたびにユーザ認証を繰り返すことを防ぎ、無線通信装置の負荷を抑えられる。

また、本発明の無線通信装置は、第１〜第４の構成のいずれかの無線通信装置において、所定のＩＰアドレスが登録されたテーブルを記憶する第三の記憶手段を備え、前記登録手段は、前記受信手段が受信したパケット中のＩＰアドレスが前記第三の記憶手段に記憶されたテーブル中のＩＰアドレスと一致するとき該パケット中のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする（以下、第５の構成と呼ぶ）。

このような構成によれば、あらかじめ無線LAN全体に悪影響を与えそうなIPアドレスをテーブルに登録しておくことで、故意にまたは誤って前記のIPアドレスが設定された無線端末が無線接続された場合に、その無線端末を無線サービスから排除することができる。

また、本発明の無線通信装置は、第１〜第５の構成のいずれかの無線通信装置において、前記第二の記憶手段に記憶されたテーブルに登録された前記所定のＭＡＣアドレスと前記所定のＩＰアドレスの組は固定的に使用されることを特徴とする（以下、第６の構成と呼ぶ）。

このような構成によれば、特定の無線端末に指定したIPアドレスを割り振って使いたいような状況で、他の無線端末がそのIPアドレスを使用して通信をすることや、特定の無線端末が指定した以外のIPアドレスで通信をすることを防ぐことができる。

また、本発明の無線通信装置は、第１〜第５の構成のいずれかの無線通信装置において、前記第二の記憶手段に記憶されたテーブルに登録された前記所定のＩＰアドレスは、ＤＨＣＰによって無線端末に割り当てられたＩＰアドレスであり、前記第二の記憶手段に記憶されたテーブルに登録された前記所定のＭＡＣアドレスは、ＩＰアドレスが割り当てられた無線端末のＭＡＣアドレスであることを特徴とする（以下、第７の構成と呼ぶ）。

このような構成によれば、DHCPにより既に使用されているIPアドレスと同一のIPアドレスを後から手動で設定した他の無線端末が無線接続してきて、IPアドレスの競合が起こるような場合にも、後から無線接続しようとしてきた無線端末を無線サービスから排除することができる。

また、本発明の無線通信装置は、第１〜第７の構成のいずれかの無線通信装置において、当該無線通信装置に接続された端末と当該無線通信装置との少なくとも一つの動作異常を引き起こすパケットである第一の不正アクセスパケットと、無線端末から当該無線通信装置に接続された端末への侵入を目的とするパケットである第二の不正アクセスパケットとの少なくとも一つを検出する検出手段を備え、前記登録手段は、前記検出手段が、前記受信手段が受信したパケットが前記第一の不正アクセスパケットまたは前記第二の不正アクセスパケットであることを検出したとき該パケット中のMACアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする（以下、第８の構成と呼ぶ）。

このような構成によれば、無線サービスを妨害しようとする無線端末を無線サービスから排除することができ、安定したサービス提供ができる。

また、本発明の無線通信装置は、第１〜第８の構成のいずれかの無線通信装置において、現在時刻を取得する時刻取得手段と、ＤＨＣＰによってＩＰアドレスが割り当てられた無線端末のＭＡＣアドレスと、該ＭＡＣアドレスに対応する前記無線端末に前記ＩＰアドレスが割り当てられた時刻とが登録されたテーブルを記憶する第四の記憶手段とを備え、前記登録手段は、現在時刻までの時間が所定の時間を超えている前記第四の記憶手段に記憶されたテーブル中の無線端末にIPアドレスが割り当てられた時刻に対応するMACアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする（以下、第９の構成と呼ぶ）。

このような構成によれば、設定時間単位での無線端末へのサービス提供をする場合、サービス利用時間が設定時間を超えた無線端末を無線サービスから排除できる。

また、本発明の無線通信装置は、第１〜第９の構成のいずれかの無線通信装置において、前記登録手段は、無線端末のMACアドレスとともに、登録理由を表す情報を前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする（以下、第１０の構成と呼ぶ）。

このような構成によれば、無線端末が無線サービスから排除された理由を表す情報が記録に残るので、無線端末が無線サービスから排除された原因をユーザが追求する時間を削減できる。

また、本発明の無線通信装置は、第１〜第１０の構成のいずれかの無線通信装置において、前記登録手段によって前記第一の記憶手段に記憶されたテーブルに登録されたMACアドレスを、登録から所定時間経過後に削除する削除手段を備えることを特徴とする。

このような構成によれば、無線サービスから排除された無線端末でも、排除された理由を取り除けば、所定時間経過後に再び無線サービスを受けることが可能となる。

本発明の無線通信装置によれば、無線サービスを受けるべきでない無線端末による無用な負荷を抑え、無線サービスの安定化を図ることができる。

本発明は、無線通信機能を持ち、パケット通信を行うすべての通信装置に適用できるが、以下では無線機能付きのルータ（以下、無線ルータと呼ぶ）を例として実施形態を説明する。

図１は、無線LANによる無線端末のインターネット接続形態を示す図である。端末１４および認証サーバ１９はイーサネット（登録商標）ケーブル１８で、また無線端末１５、１６、１７はIEEE802.11a、IEEE802.11bやIEEE802.11g等の規格に則した方法で無線の電波により無線ルータ１２と接続され、ローカルエリアネットワーク１３を形成する。また、無線ルータ１２は外部のネットワークであるインターネット１１とも接続されており、インターネット１１とローカルエリアネットワーク１３との間でのデータの受け渡しを行っている。

端末１４がインターネット１１へのアクセスを行う場合、端末１４から送出されるパケットはイーサネット（登録商標）ケーブル１８を経由して無線ルータ１２のLAN I/Fから無線ルータ１２に入る。無線ルータ１２は入ってきたパケットをWAN I/Fからインターネット１１に送出する。インターネット１１から端末１４に送出されたパケットは無線ルータ１２のWAN I/F、LAN I/Fとイーサネット（登録商標）ケーブル１８を経由して端末１４に届き、端末１４はインターネット１１へのアクセスを実現する。

無線端末１５がインターネット１１へのアクセスを行う場合、無線端末１５から送出されるパケットは変調されアンテナから送出される。無線ルータ１２では無線端末１５からの電波をアンテナで受け取りパケットの形に復調して、WAN I/Fからインターネット１１に送出する。インターネット１１から無線端末１５に送出されたパケットは無線ルータ１２のWAN I/Fから無線ルータ１２に入る。無線ルータ１２では入ってきたパケットを変調してアンテナから送出する。電波を受け取った無線端末１５は、復調してパケットの形に戻す。以上の手順で無線端末１５はインターネット１１へのアクセスを実現する。無線端末１６、１７も同様の手順でインターネット１１へのアクセスを実現する。

認証サーバ１９は無線端末１５、１６、１７がサービスを利用するときに最初に行われる個々のユーザの認証で使用される。ユーザはユーザIDとパスワードを用いて、サービス認証をうける。認証サーバ１９はセキュリティのため、インターネット１１からのアクセスは出来ない。

図２は、本発明の実施の一形態である無線ルータ１２の構成を示すブロック図である。無線ルータ１２は、無線接続制御装置２１、無線部記憶装置２２、I/F制御装置２３、制御装置２４、記憶装置２５、アンテナ２０１、LAN I/F２０２、WAN I/F２０３、LED２０４、初期化スイッチ２０５、スピーカー２０６から構成される。無線ルータ１２は、アンテナ２０１で送受信する電波でローカルエリアネットワーク１３にある無線端末と接続され、LAN I/F２０２でローカルエリアネットワーク１３にある端末と有線で接続される。また、WAN I/F２０３でインターネット１１等の外部ネットワークと接続される。

無線接続制御装置２１は、アンテナ２０１から入って来た電波信号をパケットに復調してI/F制御装置２３に送出し、I/F制御装置２３から入って来たパケットを電波信号に変調してアンテナ２０１から送出することを行う。また、無線接続制御装置２１は、無線部記憶装置２２を用いて無線端末と無線接続を行う制御も行う。無線部記憶装置２２には、無線接続制御装置２１が無線接続制御を行うためのMACアドレス情報、暗号化方式や暗号化の鍵等の情報が記憶されている。

I/F制御装置２３は、無線接続制御装置２１、LAN I/F２０２、WAN I/F２０３のそれぞれから入って来るパケットの宛先情報を確認して、無線接続制御装置２１、LAN I/F２０２、WAN I/F２０３の適当な宛先に送り出す処理を行う。またI/F制御装置２３は、無線接続制御装置２１やLAN I/F２０２からWAN I/F２０３へ送られるパケットや、WAN I/F２０３から無線接続制御装置２１やLAN I/F２０２へ送られるパケットのヘッダーを変換する処理も行う。

制御装置２４は、記憶装置２５とあいなって無線接続制御装置２１やI/F制御装置２３の制御や、LED２０４やスピーカー２０６の制御を行う。制御装置２４が無線ルータ１２の異常状態や不正アクセス等の発生を検知した場合、ユーザに通知するためスピーカー２０６に対して音声出力やメロディ出力指示を出し、スピーカー２０６は音声を発する。また、制御装置２４は、HTML形式での設定画面表示能力を有しており、アンテナ２０１、LAN I/F２０２の先に接続されている各端末のブラウザからHTML方式で作成された設定画面を開き、簡単に無線ルータ１２の設定を変更することができる。

LED２０４は、後述するように制御装置２４の制御により各端末からのアクセス状態や無線ルータ１２の状態を示す。

初期化スイッチ２０５は入力を検知すると、制御装置２４に入力を通知する。制御装置２４は初期化スイッチ２０５からの通知を受けて無線ルータ１２の再起動や登録設定内容を工場出荷状態に戻す等の処理を行う。

図３は、無線ルータ１２の正面外観図である。無線ルータ１２の正面には各LED２０４ａ〜２０４ｈが配置されている。無線用LED２０４ａは無線のアクセス状態を表すLEDである。無線端末との接続が切断時は無線用LED２０４ａのLEDは消灯しており、無線端末との接続時は点灯、データ通信を行っているときは点滅動作を行う。電源用LED２０４ｂは、電源状態を表しており、電源がONの時に点灯する。LAN1用LED２０４ｃ〜LAN4用LED２０４ｆのLEDはそれぞれLAN1 I/F〜LAN4 I/F（後述）での有線のアクセス状態を示しており、LAN1 I/F〜LAN4 I/Fとその先の端末が接続されているときに点灯し、データ通信を行っているときは点滅動作を行う。WAN用LED２０４ｇはWANのアクセス状態を示しており、WAN I/F２０３とその先のネットワーク機器が接続されているときに点灯し、データ通信を行っているときは点滅動作を行う。

アラーム用LED２０４ｈは、無線ルータ１２の異常状態を示すLEDで、異常が無いときは消灯している。システム異常や不正アクセス等を検知した場合は、それぞれ異なった時間間隔での点滅動作や、異なった色での点灯または点滅動作を行う。無線ルータ１２への電力供給は、家庭用コンセントからACアダプタ３０２、電源コネクタ３０１を経由して行われる。

図４は、無線ルータ１２の背面外観図である。LAN1 I/F２０２ａ〜LAN4 I/F２０２ｄやWAN I/F２０３には、10Base-Tや100Base-Tx規格のイーサネット（登録商標）ケーブル１８が接続される。電源端子４１には前述した電源コネクタ３０１が接続される。

以上のような構成の無線ルータ１２の動作を図５および図６に沿って以下説明する。

図５のステップＳ５０１において、無線端末からのパケットをアンテナ２０１を介して無線接続制御装置２１が受信すると、ステップＳ５０２において、無線接続制御装置２１がパケット中のMACアドレスを認識し、無線部記憶装置２２に記憶されたMACアドレステーブルを用いた判定を行う。MACアドレステーブルは図７(d)に示すように、接続を禁止する無線端末のMACアドレスが登録されており、このMACアドレスに対応させて、MACアドレスの登録時刻および拒否理由フラグ（後述）も併せてMACアドレステーブルに登録される。無線接続制御装置２１は受信したパケット中のMACアドレスとMACアドレステーブルのMACアドレスを比較し一致すれば（ステップＳ５０２のYES）、ステップＳ５０９でパケットを廃棄し、無線端末との接続がされている場合は接続を切断し、接続を拒否する。

ステップＳ５０２のMACアドレステーブル判定を通過したパケットが、接続認証用パケットであれば（ステップＳ５０３のYES）、図６のステップＳ６０１で無線接続制御装置２１は接続認証を行う。

図８は、IEEE802.11a/b/gという無線規格における接続処理手順の概略を示す。図８(a)は、IEEE802.11規格の認証手順を含む接続処理手順を示し、図８(b)は、IEEE802.11iというセキュリティ規格で規定されているTKIPやAESでの暗号鍵交換手順を示す。無線通信データの暗号化を行わない場合や、WEPと呼ばれる暗号化方式を使う場合、図８(a)の手順だけが行われる。無線通信データの暗号化にTKIPやAESと呼ばれる方式を使う場合、図８(a)の手順が行われた後続けて、図８(b)の手順が行われる。

図８(a)において、ステップＳ８０１で、無線端末１５は、近くにある無線ルータ１２ら定期的に送信されるビーコンフレームを受け取り、近くにどのような無線ルータが存在するかを知る。無線端末１５が無線ルータ１２に接続しようとした場合、ステップＳ８０２で、無線端末１５は無線ルータ１２に対して、自身のMACアドレスを付加したフレームであるオープン認証要求を送る。オープン認証要求（接続認証用パケット）を受けた無線ルータ１２は、無線端末１５のMACアドレス、暗号化の鍵等の情報から接続可否を判定して接続可であれば、ステップ８０３で、接続可の判定結果を付加したフレームであるオープン認証応答（成功）を無線端末１５に送り、接続認証が完了する。次にステップＳ８０４で、無線端末１５は無線ルータ１２への接続要求を無線ルータ１２に送る。接続要求を受けた無線ルータ１２は、ステップＳ８０５で、接続可の結果と、ユニークなIDとを付加したフレームである接続応答（成功）を無線端末１５に送る。無線通信データの暗号化を行わない場合や、WEPと呼ばれる暗号化方式を使う場合は、ここで接続確立となる。

WEPでは、無線ルータと無線端末の双方で同じ文字列を暗号化の事前共有鍵として設定し、それを使ってデータの暗号化を行う。しかし、TKIPやAESでは、暗号強度を高めるため、事前共有鍵をそのまま暗号化の鍵として使うのではなく、暗号化に使用する一時的な鍵を図８(b)の手順により作り出し、その鍵を使ってデータの暗号化を行う。図８(a)の手順の後、図８(b)において、ステップＳ８０６で、無線ルータ１２は乱数(ANonce)生成を行い、ステップＳ８０７で、ANonceを付加したフレームである拡張認証要求１を無線端末１５に送る。拡張認証要求１を受けた無線端末１５は、ステップＳ８０８で、乱数(SNonce)生成を行い、ステップＳ８０９で、無線ルータ１２から送られてきたANonceと自ら生成したSNonceと自らの事前共有鍵とから一時共有鍵（PTK）生成を行う。そしてステップＳ８１０で、無線端末１５は無線ルータ１２にSNonceを付加したフレームである拡張認証応答２を送る。拡張認証応答２を受けた無線ルータ１２は、ステップＳ８１１で、無線端末１５と同様にANonceとSNonceと自らの事前共有鍵から一時共有鍵（PTK）生成を行う。一時共有鍵（PTK）を生成した無線ルータ１２は、ステップＳ８１２で、拡張認証要求３を無線端末１５に送り一時共有鍵（PTK）の生成を通知する。拡張認証要求３を受けた無線端末１５はステップＳ８１３で、拡張認証応答４を無線ルータ１２に送り返し、接続が確立され、以降、一時共有鍵（PTK）を使って暗号通信を行う。

図６において、上記のように無線接続制御装置２１が接続認証を行い成功した場合は（ステップＳ６０２のYES）、ステップＳ６０３で接続完了となる。暗号化の鍵等の設定ミスで接続認証に失敗した場合は（ステップＳ６０２のNO）、ステップＳ６０４へ進む。

無線接続制御装置２１は無線端末が接続認証に失敗した回数や、無線端末が接続認証に失敗した最初の時刻からの経過時間をカウントしている。接続認証に失敗した回数が設定されている回数の場合や、接続認証に失敗した最初の時刻からの経過時間が設定されている時間以上の場合は（ステップＳ６０４のYES）、無線接続制御装置２１が、パケットに記載されている無線端末のMACアドレスを無線部記憶装置２２に記憶されたMACアドレステーブルに登録する（ステップＳ６０５）。またこのとき、無線部記憶装置２２に記憶された接続拒否理由テーブルを参照して、拒否理由フラグをMACアドレスとともにMACアドレステーブルに登録する。接続拒否理由テーブルは図７(e)に示すように、接続拒否の理由に対応した拒否理由フラグの番号が登録されている。今回の場合であれば、拒否理由フラグは“６”となる。以降、同じ無線端末からのパケットは、図５のステップＳ５０２でのMACアドレステーブル判定で廃棄されるので、接続認証ができなくなり、接続不可能となる。これにより、暗号化の鍵の設定誤り等の理由で接続認証に失敗した無線端末が繰り返し再接続処理を行い、そのために無線ルータ１２に負荷がかかり、処理が遅くなることを防げる。

無線端末と無線ルータ１２との接続後、ユーザはインターネットサービス等のサービスを利用するためにユーザ認証を行い、サービス利用を許可されたユーザであることを証明して初めてサービスを利用できる。図５のステップＳ５０３の判定を通過したパケットが、ユーザ認証用パケットであれば（ステップＳ５０４のYES）、図６のステップＳ６０７で無線ルータ１２は認証サーバ１９（図１）を用いてユーザ認証を行う。

図９は、無線端末１５がサービスを利用する場合に行うユーザ認証処理のシーケンスであり、図９(a)はユーザ認証に成功した場合のシーケンスを、図９(b)はユーザ認証に３回失敗した場合のシーケンスを示す。

図９(a)において、サービスを利用しようとするユーザは無線端末１５のブラウザで認証ページを開く操作を行い、ステップＳ９０１で無線端末１５は、認証ページオープンのパケットを無線ルータ１２に送信する。認証ページオープンのパケットを受け取った無線ルータ１２は、ステップＳ９０２で認証ページ表示データを無線端末１５に送信し、無線端末１５のブラウザ画面にはユーザID、パスワード入力欄を持った認証ページが表示される。ユーザは認証ページにユーザID、パスワードを入力して、ステップＳ９０３で無線ルータ１２へユーザID、パスワードを含むパケットを送信する。ユーザID、パスワードを含むパケット（ユーザ認証用パケット）を受け取った無線ルータ１２は、ステップＳ９０４で、ユーザID、パスワードの情報を認証依頼に組み込んで認証サーバ１９に送信する。認証依頼を受け取った認証サーバ１９は、サーバ内に持っている認証情報から認証判定を行い、ステップＳ９０５で認証応答（成功）を無線ルータ１２に送信する。認証応答（成功）を受け取った無線ルータ１２は、ステップＳ９０６でサービスページ表示データを無線端末１５に送信する。サービスページ表示データを受け取った無線端末１５は、サービスページを表示し、無線端末１５はサービスを利用できるようになる。

図９(b)において、ステップＳ９０７からステップＳ９１０までの処理は、上記図９(a)でのステップＳ９０１からステップＳ９０４までの処理と同じである。認証依頼を受けた認証サーバ１９は認証判定を行い、認証失敗だった場合、ステップＳ９１１で認証応答（失敗１）を無線ルータ１２に送信する。認証応答（失敗１）を受け取った無線ルータ１２は、ステップＳ９１２で接続エラー表示データを無線端末１５に送信する。接続エラー表示データを受け取った無線端末１５は、ユーザIDとパスワード入力欄を持ったエラー表示画面を表示し、サービスを利用できない。

以降、ステップＳ９１３からステップＳ９２０までの処理を行い、ユーザ認証に計３回失敗すると、ステップＳ９２１で無線端末１５のMACアドレスがMACアドレステーブルに登録される。

以上を図６で説明すると、ステップＳ６０７で制御装置２４がアンテナ２０１とLAN I/F２０２を介した無線端末１５と認証サーバ１９との通信によりユーザ認証を行う。もしユーザ認証に成功した場合は（ステップＳ６０８のYES）、ステップＳ６０９で無線端末１５はサービス利用可能となる。また、もしユーザ認証に失敗した場合は（ステップＳ６０８のNO）、ステップＳ６１０へ進む。

制御装置２４は無線端末がユーザ認証に失敗した回数や、無線端末がユーザ認証に失敗した最初の時刻からの経過時間をカウントしており、ユーザ認証に失敗した回数が設定されている回数（図９(b)の場合は３回を設定回数としている）の場合や、ユーザ認証に失敗した最初の時刻からの経過時間が設定されている時間以上の場合は（ステップＳ６１０のYES）、制御装置２４が、パケットに記載されている無線端末のMACアドレスを無線部記憶装置２２に記憶されたMACアドレステーブルに登録する（ステップＳ６１１）。またこのとき、無線部記憶装置２２に記憶された接続拒否理由テーブルを参照して、拒否理由フラグをMACアドレスとともにMACアドレステーブルに登録する。次に同じ無線端末から無線ルータ１２がパケットを受信すると、図５のステップＳ５０２のMACアドレステーブル判定でパケットが廃棄され、接続が切断される。以降、この無線端末は無線ルータ１２に接続不可能となる。

なお、以上のユーザ認証では認証サーバ１９を用いたが、無線ルータ１２が内部に認証サーバ機能を持つ場合は、それを用いてもよい。この認証サーバ機能はセキュリティのためインターネット１１からはアクセスできない。

次に図５のステップＳ５０４の判定でユーザ認証用パケットでないと判定されたパケットは、ステップＳ５０５で制御装置２４の処理により、記憶装置２５に記憶されたテーブル１を用いた判定が行われる。テーブル１は図７(a)に示すように、サービス提供者が使用を禁止するIPアドレスが登録されている。テーブル１の内容は、無線ルータ１２に接続された無線端末や有線端末が表示するHTML等を利用した設定画面から簡単に変更することができる。制御装置２４は受信したパケットのIPアドレスとテーブル１のIPアドレスを比較し一致すれば（ステップＳ５０５のYES）、ステップＳ５１０でパケットを廃棄し、同時にそのパケットに記載されている無線端末のMACアドレスを、接続拒否理由テーブルから参照される拒否理由フラグとともにMACアドレステーブルに登録する。次に同じ無線端末から無線ルータ１２がパケットを受信すると、ステップＳ５０２のMACアドレステーブル判定でパケットが廃棄され、接続が切断される。以降、この無線端末は無線ルータ１２に接続不可能となる。

次にステップＳ５０５の判定を通過したパケットは、ステップＳ５０６で制御装置２４の処理により、記憶装置２５に記憶されたテーブル２を用いた判定が行われる。テーブル２は図７(b)に示すように、サービス提供者が固定的に使用したいIPアドレスとMACアドレスの組が登録されている。テーブル２の内容はテーブル１と同様に、無線ルータ１２に接続された無線端末や有線端末が表示するHTML等を利用した設定画面から簡単に変更することができる。制御装置２４は受信したパケットのIPアドレスとMACアドレスの組と、テーブル２のIPアドレスとMACアドレスの組とを比較し、IPアドレスとMACアドレスとのどちらか一方のみが一致する組がテーブル２に存在する場合（ステップＳ５０６のYES）、ステップＳ５１０でパケットを廃棄し、同時にそのパケットに記載されている無線端末のMACアドレスを、接続拒否理由テーブルから参照される拒否理由フラグとともにMACアドレステーブルに登録する。次に同じ無線端末から無線ルータ１２がパケットを受信すると、ステップＳ５０２のMACアドレステーブル判定でパケットが廃棄され、接続が切断される。以降、この無線端末は無線ルータ１２に接続不可能となる。

次にステップＳ５０６の判定を通過したパケットは、ステップＳ５０７で制御装置２４の処理により、記憶装置２５に記憶されたテーブル３を用いた判定が行われる。テーブル３は図７(c)に示すように、無線ルータ１２内部のDHCPサーバ機能または無線ルータ１２外部のDHCPサーバにより端末に割り当てられたIPアドレス、IPアドレスが割り当てられた端末のMACアドレス、IPアドレスが割り当てられた時刻およびサービス利用可能時間の組が登録されている。DHCPとは端末にIPアドレスを自動的に割り当てる機能のことであり、公知の技術である。制御装置２４は受信したパケットのIPアドレスとMACアドレスの組と、テーブル３のIPアドレスとMACアドレスの組とを比較し、IPアドレスとMACアドレスとのどちらか一方のみが一致する組がテーブル３に存在する場合（ステップＳ５０７のYES）、ステップＳ５１０でパケットを廃棄し、同時にそのパケットに記載されている無線端末のMACアドレスを、接続拒否理由テーブルから参照される拒否理由フラグとともにMACアドレステーブルに登録する。次に同じ無線端末から無線ルータ１２がパケットを受信すると、ステップＳ５０２のMACアドレステーブル判定でパケットが廃棄され、接続が切断される。以降、この無線端末は無線ルータ１２に接続不可能となる。

次にステップＳ５０７の判定を通過したパケットは、ステップＳ５０８で制御装置２４の処理により、無線ルータ１２に接続された端末や無線ルータ１２への不正アクセスパケットかどうかの判定が行われる。

不正アクセスパケットとしては、無線ルータ１２に接続された端末のオペレーティング・システム（OS）のセキュリティホールを狙ったパケットがある。制御装置２４は、無線ルータ１２が受信したパケットと、記憶装置２５に記憶されたOSの脆弱性をつくパケットのパターン情報（特定のプロトコル、ポート番号へのパケット）とを比較することで不正アクセスパケットであることを検出する。また、記憶装置２５に記憶されたRFC（Request for Comment）で決まっているプロトコル規約情報に基づき制御装置２４が規約違反をしているパケットを検出することも行う。この場合、制御装置２４は同じ無線端末から所定の時間以内に所定数以上このようなパケットが送信されたことを検出すると、これらのパケットを不正アクセスパケットと判断する。

また、他の不正アクセスパケットとしては、無線ルータ１２にバッファフローを起こさせるような大量のパケットがある。制御装置２４は、同じ無線端末から特定のパケットが所定の時間以内に所定数以上送信されたことを検出すると、これらのパケットを不正アクセスパケットと判断する。

また、他の不正アクセスパケットとしては、侵入できる無線ルータ１２に接続された端末を探索するためのパケットがある。端末への侵入者はPing(ICMP)パケットやARPパケットを特定のIPアドレスの範囲に送信して、他に接続されている端末のIPアドレスを調べることが多いため、制御装置２４は、同じ無線端末から所定時間以内に所定数以上のIPアドレスへのPing(ICMP)パケットやARPパケットが送信されたことを検出すると、これらのパケットを不正アクセスパケットと判断する。

制御装置２４は、以上のように不正アクセスパケットを検出すると（ステップＳ５０８のYES）、ステップＳ５１０でパケットを廃棄し、同時にそのパケットに記載されている無線端末のMACアドレスを、接続拒否理由テーブルから参照される拒否理由フラグとともにMACアドレステーブルに登録する。次に同じ無線端末から無線ルータ１２がパケットを受信すると、ステップＳ５０２のMACアドレステーブル判定でパケットが廃棄され、接続が切断される。以降、この無線端末は無線ルータ１２に接続不可能となる。

ステップＳ５０８の判定を通過したパケットは、その他ルーティング処理がされ、インターネット１１へ送出されるか、無線ルータ１２に接続された端末へ送出される（ステップＳ５１１）。

次に、時間単位でのサービス提供を行うような状況での、無線端末へのサービス提供終了を判定するサービス利用判定処理について図１０を用いて説明する。

サービス利用判定処理は、制御装置２４が定期的に割り込み処理として起動する。ステップＳ１００１で、制御装置２４は記憶装置２５に記憶された前述のテーブル３の先頭の無線端末データを参照する。次にステップＳ１００２で、制御装置２４は、参照した無線端末データのＩＰアドレス割振り時刻、サービス利用可能時間および制御装置２４内部のタイマ部で取得した現在時刻から、無線端末の利用時間がサービス利用可能時間を超えているかどうかの判定を行う。利用可能時間を超えている場合は（ステップＳ１００２のYES）、ステップＳ１００３で制御装置２４は該当データをテーブル３から削除し、無線部記憶装置２２に記憶されたMACアドレステーブルにMACアドレス、拒否理由フラグ等を登録する。次にステップＳ１００４で、制御装置２４はテーブル３に未参照の無線端末データがあるかの判定を行う。未参照の無線端末データがある場合は（ステップＳ１００４のYES）、ステップＳ１００５で、制御装置２４はテーブル３の次の無線端末データを参照して、再びステップＳ１００２の判定処理を行う。未参照の無線端末データがない場合は（ステップＳ１００４のNO）、サービス利用判定処理の割り込みが終了する。以上の処理でMACアドレステーブルに登録されたMACアドレスを持つ無線端末から無線ルータ１２がパケットを受信すると、図５のステップＳ５０２のMACアドレステーブル判定によりパケットは廃棄され、接続が切断される。以降、この無線端末は無線ルータ１２に接続不可能となる。

以上のようにMACアドレステーブルに登録されたMACアドレスを持つ無線端末は接続を拒否されるが、登録から所定の時間経過後、MACアドレステーブルに登録されたMACアドレスは削除される。制御装置２４は、定期的にMACアドレステーブルの内容をチェックして、MACアドレステーブルに記載のテーブル登録時刻と、制御装置２４内部のタイマ部で取得した無線ルータ１２の現在時刻情報から、登録されてから所定時間経過後のデータをMACアドレステーブルから削除する。これにより、例えば誤った設定の無線端末で接続認証に失敗し、その無線端末のMACアドレスがMACアドレステーブルに登録されて無線ルータ１２に接続できなくなった場合でも、登録から所定時間経過後、正しい設定がされていれば無線ルータ１２に接続することができる。また、MACアドレステーブル中の拒否理由フラグの内容が攻撃パケット送信等である場合は、その拒否理由フラグに対応するMACアドレスは登録から所定時間経過後でも削除しないようにしてもよい。

は、無線LANによる無線端末のインターネット接続形態を示す図である。は、本発明の実施の一形態である無線ルータの構成を示すブロック図である。は、本発明の実施の一形態である無線ルータの正面外観図である。は、本発明の実施の一形態である無線ルータの背面外観図である。は、本発明の実施の一形態である無線ルータの動作フローを示す図である。は、本発明の実施の一形態である無線ルータの動作フローを示す図である。は、本発明の実施の一形態である無線ルータに用いられる各テーブルを示す図である。は、IEEE802.11a/b/g無線規格における接続処理手順の概略を示す図である。は、無線端末がサービスを利用する場合に行うユーザ認証処理のシーケンスを示す図である。は、無線端末へのサービス提供終了を判定するサービス利用判定処理のフローを示す図である。

符号の説明

１１インターネット
１２無線ルータ
１３ローカルエリアネットワーク
１４端末
１５、１６、１７無線端末
１８イーサネット（登録商標）ケーブル
１９認証サーバ
２１無線接続制御装置
２２無線部記憶装置
２３ I/F制御装置
２４制御装置
２５記憶装置
２０１アンテナ
２０２ LAN/IF
２０２ａ LAN1 I/F
２０２ｂ LAN2 I/F
２０２ｃ LAN3 I/F
２０２ｄ LAN4 I/F
２０３ WAN/IF
２０４ LED
２０４ａ無線用LED
２０４ｂ電源用LED
２０４ｃ LAN1用LED
２０４ｄ LAN2用LED
２０４ｅ LAN3用LED
２０４ｆ LAN4用LED
２０４ｇ WAN用LED
２０４ｈアラーム用LED
２０５初期化スイッチ
２０６スピーカー
３０１電源コネクタ
３０２ ACアダプタ
４１電源端子

Claims

無線端末からのパケットを受信する受信手段を備える無線通信装置において、
第一の記憶手段と、所定の条件に基づき無線端末のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録する登録手段と、
前記受信手段が無線端末からパケットを受信すると、該パケット中のＭＡＣアドレスと前記第一の記憶手段に記憶されたテーブルに登録されたＭＡＣアドレスとを比較し、両者が一致するとき該パケットを廃棄する制御手段とを備え、
所定のＭＡＣアドレスと該ＭＡＣアドレスに対応する所定のＩＰアドレスとが登録されたテーブルを記憶する第二の記憶手段をさらに備え、
前記登録手段は、前記受信手段が受信したパケット中のＭＡＣアドレスとＩＰアドレスとの一方のみが一致するようなＭＡＣアドレスとＩＰアドレスとの組が前記第二の記憶手段に記憶されたテーブルに存在するとき該パケット中のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする無線通信装置。
前記制御手段は、前記パケットを廃棄すると同時に、前記パケットを送信した前記無線端末との接続を切断することを特徴とする請求項１に記載の無線通信装置。
無線端末との間で接続認証を行う接続認証手段を備える無線通信装置であって、
前記登録手段は、前記受信手段が無線端末から接続認証用パケットを受信し、前記接続認証手段が接続認証を行い、該無線端末の接続認証に所定の回数または所定の時間以上失敗したとき、該パケット中のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする請求項１に記載の無線通信装置。
無線端末との間で当該無線通信装置外部の認証サーバまたは当該無線通信装置内部の認証サーバ機能を用いてユーザ認証を行うユーザ認証手段を備える無線通信装置であって、
前記登録手段は、前記受信手段が無線端末からユーザ認証用パケットを受信し、前記ユーザ認証手段がユーザ認証を行い、該無線端末のユーザ認証に所定の回数または所定の時間以上失敗したとき、該パケット中のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする請求項１〜請求項３のいずれかに記載の無線通信装置。
所定のＩＰアドレスが登録されたテーブルを記憶する第三の記憶手段を備え、
前記登録手段は、前記受信手段が受信したパケット中のＩＰアドレスが前記第三の記憶手段に記憶されたテーブル中のＩＰアドレスと一致するとき該パケット中のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする請求項１〜請求項４のいずれかに記載の無線通信装置。
前記第二の記憶手段に記憶されたテーブルに登録された前記所定のＭＡＣアドレスと前記所定のＩＰアドレスの組は固定的に使用されることを特徴とする請求項１〜請求項５のいずれかに記載の無線通信装置。
前記第二の記憶手段に記憶されたテーブルに登録された前記所定のＩＰアドレスは、ＤＨＣＰによって無線端末に割り当てられたＩＰアドレスであり、前記第二の記憶手段に記憶されたテーブルに登録された前記所定のＭＡＣアドレスは、ＩＰアドレスが割り当てられた無線端末のＭＡＣアドレスであることを特徴とする請求項１〜請求項５のいずれかに記載の無線通信装置。
当該無線通信装置に接続された端末と当該無線通信装置との少なくとも一つの動作異常を引き起こすパケットである第一の不正アクセスパケットと、無線端末から当該無線通信装置に接続された端末への侵入を目的とするパケットである第二の不正アクセスパケットとの少なくとも一つを検出する検出手段を備え、
前記登録手段は、前記検出手段が、前記受信手段が受信したパケットが前記第一の不正アクセスパケットまたは前記第二の不正アクセスパケットであることを検出したとき該パケット中のＭＡＣアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする請求項１〜請求項７のいずれかに記載の無線通信装置。
現在時刻を取得する時刻取得手段と、
ＤＨＣＰによってＩＰアドレスが割り当てられた無線端末のＭＡＣアドレスと、該ＭＡＣアドレスに対応する前記無線端末に前記ＩＰアドレスが割り当てられた時刻とが登録されたテーブルを記憶する第四の記憶手段とを備え、
前記登録手段は、現在時刻までの時間が所定の時間を超えている前記第四の記憶手段に記憶されたテーブル中の無線端末にIPアドレスが割り当てられた時刻に対応するMACアドレスを前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする請求項１〜請求項８のいずれかに記載の無線通信装置。
前記登録手段は、無線端末のMACアドレスとともに、登録理由を表す情報を前記第一の記憶手段に記憶されたテーブルに登録することを特徴とする請求項１〜請求項９のいずれかに記載の無線通信装置。
前記登録手段によって前記第一の記憶手段に記憶されたテーブルに登録されたMACアドレスを、登録から所定時間経過後に削除する削除手段を備えることを特徴とする請求項１〜請求項１０のいずれかに記載の無線通信装置。