JP4584776B2 - ゲートウェイ装置およびプログラム - Google Patents

Description

本発明は、パケット通信技術に関し、特にゲートウェイ装置により無線ＬＡＮクライアント端末に対してパケット通信の可否を制御するパケット通信制御技術に関する。

近年、パケット通信技術さらには無線通信技術の発展に伴い、無線ＬＡＮクライアント端末からインターネットに代表されるパケット通信網を介してパケット通信を行う無線ＬＡＮシステムが構築され、商用サービスが提供されている。このような無線ＬＡＮシステムを用いた無線通信サービスとしては、例えばホットスポット（登録商標）などの公衆無線ＬＡＮサービスがある。

この種の無線ＬＡＮシステムでは、無線ＬＡＮクライアント端末が、無線区間を介して無線ＬＡＮアクセスポイント装置に接続され、さらにゲートウェイ装置を介してパケット通信網に接続されて、所望のホスト装置とパケット通信網を行う構成となる。
したがって、パケット通信開始時には、無線ＬＡＮ通信方式における無線ＬＡＮクライアント端末に対するレイヤ２（ＯＳＩ参照モデル）での認証処理と、ゲートウェイ装置における無線ＬＡＮクライアント端末に対するレイヤ３（ＯＳＩ参照モデル）での認証処理の２つの認証処理が行われる（例えば、非特許文献１など参照）。

例えば、IEEE(The Institute of Electrical and Electronics Engineers, Inc.：米国電気電子学会)で策定されたIEEE802.1X認証手順を用いた無線ＬＡＮと、ＩＰパケットの通過許可／不許可を判定するゲートウェイ装置を組み合わせた従来の無線ＬＡＮシステムでは、次のような認証手順となる。
まず、無線ＬＡＮクライアント端末が無線ＬＡＮアクセスポイント装置に対してIEEE802.1X認証手順にしたがった認証要求を送信し、この認証要求を受信した無線ＬＡＮアクセスポイント装置が認証サーバに対して認証要求を送信する。これに応じて認証サーバから認証成功という認証応答を受信した場合、無線ＬＡＮアクセスポイント装置は、その無線ＬＡＮクライアント端末について認証成功とする。

次に、無線ＬＡＮアクセスポイント装置は、無線ＬＡＮクライアント端末のＩＰアドレスを取得し、ＩＰアドレスを用いた通信が可能になった後、その無線ＬＡＮクライアント端末とパケット通信網上のホスト間のパケット通信をゲートウェイ装置に許可してもらうため、無線ＬＡＮクライアント端末がウェブブラウザを立ち上げて認証用ウェブサイトにアクセスし、ＩＤおよびパスワードを入力する。
このようにしてＩＤおよびパスワードの正当性が確認された場合、ゲートウェイ装置は無線ＬＡＮクライアント端末について認証成功とし、無線ＬＡＮクライアント端末とホスト間の通信を許可する。

http://www.hotspot.ne.jp，「設定＆接続サポート−配布ソフトウェア／マニュアル−IEEE802.1Xクライアント（専用端末ソフト）−詳細」，エヌ・ティ・ティ・コミュニケーションズ株式会社

しかしながら、このような従来技術では、無線ＬＡＮシステムにおいて、レイヤ２での認証手順とレイヤ３での認証手順とを組み合わせて、無線ＬＡＮクライアント端末に対するパケット通信可否制御を行うためには、無線ＬＡＮクライアント端末により２度の認証処理を行う必要があり、円滑かつ効率よく接続制御できないという問題点があった。

すなわち、無線ＬＡＮクライアント端末は、パケット通信開始時に、無線ＬＡＮアクセスポイント装置での通信可否を判断するためにIEEE802.1X認証手順にしたがったレイヤ２での認証処理を行うとともに、この認証成功の後、ゲートウェイ装置での通信可否を判断するために無線ＬＡＮクライアント端末のＩＤおよびパスワードを用いたレイヤ３での認証処理を行う必要があり、通信開始までに時間を要したり、利用者が操作負担を感じたりするものとなっていた。

本発明はこのような課題を解決するためのものであり、無線ＬＡＮクライアント端末に対して円滑かつ効率よく通信可否制御を行うことができるゲートウェイ装置およびプログラムを提供することを目的としている。

このような目的を達成するために、本発明にかかるゲートウェイ装置は、無線ＬＡＮクライアント端末を収容する無線ＬＡＮアクセスポイント装置、相手先ホスト装置が接続されているパケット通信網、無線ＬＡＮクライアント端末について認証処理を行う認証サーバ装置、および認証処理の認証成功後に無線ＬＡＮクライアント端末によるパケット通信網を介したパケット通信で用いる端末ＩＰアドレスのアドレス割当処理を行うＩＰアドレス割当装置に接続されて、認証処理の結果に応じて無線ＬＡＮクライアント端末によるパケット通信の可否を制御するゲートウェイ装置であって、無線ＬＡＮクライアント端末に対するパケット通信制御に用いる各種情報を記憶する記憶部と、無線ＬＡＮクライアント端末もしくは無線ＬＡＮアクセスポイント装置と認証サーバ装置およびＩＰアドレス割当装置との間で認証処理やアドレス割当処理で用いる各種制御用パケットを相互に転送し、認証処理で用いる制御用パケットから無線ＬＡＮクライアント端末に関する端末識別情報および認証処理の認証結果を取得して記憶部へ格納し、認証処理の認証成功に応じた無線ＬＡＮアクセスポイント装置でのパケット転送許可後に行われたアドレス割当処理で用いる制御用パケットから、無線ＬＡＮクライアント端末に割り当てられた端末ＩＰアドレスを取得して記憶部へ格納するパケット処理部と、無線ＬＡＮクライアント端末と相手先ホスト装置との間のパケット通信でやり取りする通信用パケットを相互に転送する際、記憶部の端末識別情報、認証結果、およびＩＰ端末アドレスから生成したフィルタポリシー情報に基づいて、通信用パケットに含まれている当該無線ＬＡＮクライアント端末の端末識別情報および端末ＩＰアドレスに応じた転送可否制御を行うフィルタ処理部とを備えている。

この際、パケット処理部に、無線ＬＡＮアクセスポイント装置からの制御用パケットから当該無線ＬＡＮクライアント端末に固有の端末識別情報を取得し記憶部へ格納する端末識別情報取得部と、認証サーバ装置からの制御用パケットから無線ＬＡＮクライアント端末に対する認証結果を取得して記憶部へ格納する認証情報取得部と、ＩＰアドレス割当装置からのアドレス通知用のための制御用パケットから端末ＩＰアドレスを取得して記憶部へ格納するＩＰアドレス取得部とを設けてもよい。

また、パケット処理部で、無線ＬＡＮアクセスポイント装置からの制御用パケットから認証処理のための認証情報を取得し認証サーバ装置で用いる認証用パケットに格納して転送し、認証サーバ装置からの認証用パケットから認証結果を取得し制御用パケットに格納して転送するようにしてもよい。

また、フィルタ処理部で、端末識別情報または端末ＩＰアドレスが一致しない場合、当該通信用パケットを破棄するようにしてもよい。

また、記憶部で、無線ＬＡＮクライアント端末が通信可能な相手先ホスト装置を示す通信相手先情報を記憶し、フィルタ処理部で、通信用パケットに含まれている通信相手先情報と記憶部の通信相手先情報とを比較し、その比較結果に応じて当該通信用パケットの転送可否制御を行うようにしてもよい。

また、本発明にかかるプログラムは、無線ＬＡＮクライアント端末を収容する無線ＬＡＮアクセスポイント装置、相手先ホスト装置が接続されているパケット通信網、無線ＬＡＮクライアント端末について認証処理を行う認証サーバ装置、および認証処理の認証成功後に無線ＬＡＮクライアント端末によるパケット通信網を介したパケット通信で用いる端末ＩＰアドレスのアドレス割当処理を行うＩＰアドレス割当装置に接続されて、認証処理の結果に応じて無線ＬＡＮクライアント端末によるパケット通信の可否を制御するゲートウェイ装置のコンピュータに、無線ＬＡＮクライアント端末に対するパケット通信制御に用いる各種情報を記憶部で記憶する記憶ステップと、無線ＬＡＮクライアント端末もしくは無線ＬＡＮアクセスポイント装置と認証サーバ装置およびＩＰアドレス割当装置との間で認証処理やアドレス割当処理で用いる各種制御用パケットを相互に転送する制御用パケット転送ステップと、認証処理で用いる制御用パケットから無線ＬＡＮクライアント端末に関する端末識別情報および認証処理の認証結果を取得して記憶部へ格納し、認証処理の認証成功に応じた無線ＬＡＮアクセスポイント装置でのパケット転送許可後に行われたアドレス割当処理で用いる制御用パケットから、無線ＬＡＮクライアント端末に割り当てられた端末ＩＰアドレスを取得して記憶部へ格納するパケット処理ステップと、無線ＬＡＮクライアント端末と相手先ホスト装置との間のパケット通信でやり取りする通信用パケットを相互に転送するフィルタ処理ステップと、記憶部の端末識別情報、認証結果、およびＩＰ端末アドレスから生成したフィルタポリシー情報に基づいて、通信用パケットに含まれている当該無線ＬＡＮクライアント端末の端末識別情報および端末ＩＰアドレスに応じた転送可否制御を行う転送可否制御ステップとを実行させる。

本発明によれば、ゲートウェイ装置により、無線ＬＡＮクライアント端末もしくは無線ＬＡＮアクセスポイント装置と認証サーバ装置およびＩＰアドレス割当装置との間で認証処理やアドレス割当処理で用いる各種制御用パケットを相互に転送する際、認証処理で用いる制御用パケットから無線ＬＡＮクライアント端末に固有の端末識別情報および認証処理の認証結果が取得されるとともに、アドレス通知用パケットから無線ＬＡＮクライアント端末に割り当てられた端末ＩＰアドレスが取得され、無線ＬＡＮクライアント端末と相手先ホスト装置との間のパケット通信でやり取りする通信用パケットを相互に転送する際、記憶部の端末識別情報、認証結果、およびＩＰ端末アドレスから生成したフィルタポリシー情報に基づいて、通信用パケットに含まれている当該無線ＬＡＮクライアント端末の端末識別情報および端末ＩＰアドレスに応じて、当該通信用パケットの転送可否制御が行われる。

これにより、レイヤ２での認証手順とレイヤ３での認証手順とを容易に連携させることができ、無線ＬＡＮクライアント端末に対して円滑かつ効率よく通信可否制御を行うことができる。
したがって、無線ＬＡＮアクセスポイント装置での通信可否を判断するためにIEEE802.1X認証手順にしたがったレイヤ２での認証処理と、ゲートウェイ装置での通信可否を判断するために無線ＬＡＮクライアント端末のＩＤおよびパスワードを用いたレイヤ３での認証処理とを別個に行う場合と比較して、パケット通信開始までに時間を大幅に短縮できるとともに、利用者の操作負担を軽減できる。

次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかるゲートウェイ装置について説明する。図１は、本発明の第１の実施の形態にかかるゲートウェイ装置が適用される無線ＬＡＮシステムの構成を示すブロック図である。
この無線ＬＡＮシステムは、ゲートウェイ装置１、無線ＬＡＮクライアント端末２、無線ＬＡＮアクセスポイント装置３、スイッチ４、認証サーバ装置５、ＩＰアドレス割当装置６、ルータ７、相手先ホスト装置８、およびパケット通信網９から構成されている。

無線ＬＡＮクライアント端末２は、パーソナルコンピュータやＰＤＡなど無線通信機能を有する情報処理端末からなり、相手先ホスト装置８とパケット通信を行うことにより所望の情報通信サービスを利用する機能を有している。
無線ＬＡＮアクセスポイント装置３は、無線通信機能を有するパケット転送装置からなり、無線区間を介して無線ＬＡＮクライアント端末２を収容する機能と、無線ＬＡＮクライアント端末２で送受信するパケットを相互に転送する機能と、IEEE802.1X認証手順にしたがった認証処理を行う機能とを有している。

パケット通信網９は、インターネットなどの公衆パケット通信網や特定の区域で用いられる社内ＬＡＮなどのようなプライベートなパケット通信網などの各種ＩＰ通信網からなり、パケット通信を提供する機能を有している。
相手先ホスト装置８は、パケット通信機能を有するサーバ装置からなり、パケット通信網９を介してパケット通信を行う機能と、このパケット通信により接続された無線ＬＡＮクライアント端末２などの通信端末に対して各種情報通信サービスを提供する機能とを有している。

認証サーバ装置５は、パケット通信機能を有するサーバ装置からなり、無線ＬＡＮアクセスポイント装置３と制御用パケットをやり取りすることにより無線ＬＡＮクライアント端末２に対する認証処理を行う機能を有している。
ＩＰアドレス割当装置６は、パケット通信機能を有するサーバ装置からなり、認証サーバ装置５での認証が得られた無線ＬＡＮクライアント端末２に対して、パケット通信網９を介したパケット通信に用いるＩＰアドレスの割当処理を行う機能を有している。

ゲートウェイ装置１は、無線ＬＡＮアクセスポイント装置３、認証サーバ装置５、ＩＰアドレス割当装置６、およびパケット通信網９と接続されたパケット転送装置であり、認証サーバ装置５での無線ＬＡＮクライアント端末２に対する認証処理の結果に応じて、パケット通信網９を介した無線ＬＡＮクライアント端末２と相手先ホスト装置８とのパケット通信の可否を制御する機能を有している。

スイッチ４は、レイヤ２（ＯＳＩ参照モデル）でのスイッチング処理を行うパケット転送装置であり、無線ＬＡＮアクセスポイント装置３をゲートウェイ装置１に接続する際、必要に応じて用いられる。
ルータ７は、レイヤ３（ＯＳＩ参照モデル）でのスイッチング処理を行うパケット転送装置であり、認証サーバ装置５やＩＰアドレス割当装置６をゲートウェイ装置１に接続する際、必要に応じて用いられる。

本実施の形態では、ゲートウェイ装置１により、無線ＬＡＮクライアント端末２もしくは無線ＬＡＮアクセスポイント装置３と認証サーバ装置５およびＩＰアドレス割当装置６との間で認証処理やアドレス割当処理で用いる各種制御用パケットを相互に転送する際、これら制御用パケットから無線ＬＡＮクライアント端末２に固有の端末識別情報や認証結果を取得するとともに、アドレス通知用パケットから端末ＩＰアドレスを取得しておき、無線ＬＡＮクライアント端末と相手先ホスト装置との間のパケット通信でやり取りする通信用パケットを相互に転送する際、各通信パケットの端末識別情報および端末ＩＰアドレスに対応する認証結果に基づいて、当該通信用パケットの転送可否制御を行うようにしたものである。

［ゲートウェイ装置］
次に、図２を参照して、本発明の第１の実施の形態にかかるゲートウェイ装置の構成について詳細に説明する。図２は、本発明の第１の実施の形態にかかるゲートウェイ装置の構成を示すブロック図である。
このゲートウェイ装置１には、パケット受信部１１、フィルタ処理部１２、パケット処理部１３、フィルタ制御部１５、ルーティング処理部１６、およびパケット送信部１７が設けられている。またパケット処理部１３は、パケット受信処理部１３Ａ、認証情報取得部１３Ｂ、ＩＰ情報取得部１３Ｃ、およびパケット送信処理部１３Ｄから構成されている。

ゲートウェイ装置１において、上記各機能部は、専用回路部や演算処理部、さらには記憶部により実現される。このうち、演算処理部はＣＰＵおよびその周辺回路を有し、ＣＰＵ内部や周辺回路のメモリあるいは記憶部からプログラムを読み込んで実行することにより各種機能部を実現する。また、記憶部はハードディスクやメモリなどの記憶装置からなり、専用回路部や演算処理部で用いる各種処理情報やプログラムを記憶する。

パケット受信部１１は、専用回路部からなり、無線ＬＡＮアクセスポイント装置３、認証サーバ装置５、ＩＰアドレス割当装置６、およびパケット通信網９から各種パケットを受信する機能と、受信したパケットをフィルタ処理部１２へ引き渡す機能とを有している。

フィルタ処理部１２は、専用回路部や演算処理部からなり、パケット受信部１１で受信されたパケットに含まれる各種情報を参照する機能と、各種情報に基づき当該パケットをパケット受信処理部１３Ａ、認証情報取得部１３Ｂ、またはＩＰ情報取得部１３Ｃのいずれかへ引き渡す機能（パケット振り分け手段）と、無線ＬＡＮクライアント端末２と相手先ホスト装置８との間のパケット通信でやり取りする通信用パケットをルーティング処理部１６を介して相互に転送する機能と、予め設定されているフィルタポリシー情報に基づいて通信用パケットに含まれている各種情報に応じた当該通信用パケットの転送可否制御を行う機能と、転送不可の場合は当該通信用パケットを廃棄する機能とを有している。

パケット処理部１３は、演算処理部からなり、フィルタ処理部１２から引き渡された、無線ＬＡＮクライアント端末２と認証サーバ装置５およびＩＰアドレス割当装置６との間で認証処理やアドレス割当処理で用いる各種制御用パケットについて、それぞれの内容に応じた処理を行う機能と、無線ＬＡＮクライアント端末２と認証サーバ装置５およびＩＰアドレス割当装置６との間で認証処理やアドレス割当処理で用いる各種制御用パケットを相互に転送する機能とを有している。

このうち、パケット処理部１３のパケット受信処理部１３Ａは、無線ＬＡＮアクセスポイント装置３からの制御用パケットについてIEEE802.1X認証手順に応じた終端処理を行う機能と、無線ＬＡＮクライアント端末２からの制御用パケットから当該無線ＬＡＮクライアント端末２に固有の端末識別情報、例えば、ＭＡＣアドレス(Media Access Control Address)を取得し記憶部へクライアント情報１４Ａとして格納する機能（端末識別情報取得手段）と、各種制御用パケットの内容をパケット送信処理部１３Ｄへ引き渡す機能とを有している。

また、パケット受信処理部１３Ａは、無線ＬＡＮクライアント端末２との間でやり取りする制御用パケットを送受信する機能と、認証サーバ装置５との間でやり取りする認証用パケットを送受信する機能と、これら制御用パケットと認証用パケットとの間で認証処理に用いるＩＤやパスワードなどの認証情報やこれに対する認証結果を載せ換える機能とを有している。
例えばIEEE802.1X認証手順としてＥＡＰ−ＴＴＬＳ(Extensible Authentication Protocol−Ｔunneled Transport Layer Security)方式を用いる場合、無線ＬＡＮクライアント端末２との間についてはこのＴＬＳトンネルを介して制御用パケットにより認証情報や認証結果がやり取りされる。また、認証サーバ装置５とは認証用パケットを用いてこれら認証情報や認証結果がやり取りされる。

認証情報取得部１３Ｂは、フィルタ処理部１２から引き渡された、認証サーバ装置５からの認証結果通知のための制御用パケットである認証用パケットから無線ＬＡＮクライアント端末２に対する認証結果を取得して記憶部へクライアント情報１４Ａとして格納する機能と、この制御用パケットの内容をパケット送信処理部１３Ｄへ引き渡す機能とを有している。

ＩＰ情報取得部１３Ｃは、フィルタ処理部１２から引き渡された、ＩＰアドレス割当装置６からのアドレス通知のための制御用パケット（ＤＨＣＰパケット：Dynamic Host Configuration Protocol）から、無線ＬＡＮクライアント端末２のＭＡＣアドレス、新たに割り当てられる端末ＩＰアドレスを取得して記憶部へクライアント情報１４Ａとして格納する機能と、この制御用パケットの内容をパケット送信部１７へ引き渡す機能と、クライアント情報１４Ａへ格納後にＭＡＣアドレスと端末ＩＰアドレスとフィルタ制御部１５へ通知する機能とを有している。

パケット送信処理部１３Ｄは、パケット受信処理部１３Ａおよび認証情報取得部１３Ｂから引き渡された制御用パケットの内容からパケットを組み立てる機能と、組み立てたパケットをパケット送信部１７へ引き渡す機能とを有している。

フィルタ制御部１５は、ＩＰ情報取得部１３ＣからのＭＡＣアドレスと端末ＩＰアドレスの通知に応じて、記憶部のクライアント情報１４Ａから無線ＬＡＮクライアント端末２の端末識別情報、認証結果、および端末ＩＰアドレスを取得する機能と、無線ＬＡＮクライアント端末２で送受信する通信パケットに対するフィルタリングのためのフィルタポリシー情報をこれら端末識別情報、認証結果、および端末ＩＰアドレスに基づき生成する機能と、生成したフィルタポリシー情報をフィルタ処理部１２へ設定する機能とを有している。

ルーティング処理部１６は、専用回路部や演算処理部からなり、フィルタ処理部１２から引き渡されたパケットの送信先ＩＰアドレスに応じた転送先を決定する機能と、その転送先の機器に固有のＭＡＣアドレスを当該パケットに設定してパケット送信部１７へ引き渡す機能とを有している。
パケット送信部１７は、専用回路部からなり、ＩＰ情報取得部１３Ｃ、パケット送信処理部１３Ｄ、およびルーティング処理部１６から引き渡された各種パケットを、無線ＬＡＮアクセスポイント装置３、認証サーバ装置５、ＩＰアドレス割当装置６、およびパケット通信網９へそれぞれ送信する機能を有している。

［パケット振り分け動作］
次に、図３を参照して、本発明の第１の実施の形態にかかるゲートウェイ装置の動作として、フィルタ処理部１２におけるパケット振り分け動作について詳細に説明する。図３は、フィルタ処理部でのパケット振り分け処理を示すフローチャートである。

フィルタ処理部１２は、パケット受信部１１から引き渡されたパケットについて、当該パケットに含まれる各種情報を参照し、その情報に基づき当該パケットをパケット受信処理部１３Ａ、認証情報取得部１３Ｂ、またはＩＰ情報取得部１３Ｃのいずれかへ引き渡すパケット振り分け処理を実行する。振り分け処理で参照する情報としては、パケットのＩＰアドレス、ＭＡＣアドレス、プロトコル種別、パケット種別などがある。

まず、フィルタ処理部１２は、引き渡されたパケットが無線ＬＡＮアクセスポイント装置３から送信された認証処理のための制御用パケットである場合（ステップ１００：ＹＥＳ）、そのパケットをパケット受信処理部１３Ａに引き渡し（ステップ１０１）、一連のパケット振り分け処理を終了する。
また、当該パケットが認証サーバ装置５から送信された認証処理のための制御用パケットである場合（ステップ１０２：ＹＥＳ）、そのパケットを認証情報取得部１３Ｂに引き渡し（ステップ１０３）、一連のパケット振り分け処理を終了する。

また、当該パケットがＩＰアドレス割当装置から送信されたＩＰアドレス割当パケットである場合（ステップ１０４：ＹＥＳ）、そのパケットをＩＰ情報取得部１３Ｃに引き渡し（ステップ１０５）、一連のパケット振り分け処理を終了する。
また、当該パケットの送信元アドレスあるいは送信先アドレスがフィルタ制御部からフィルタをオープンするように指定されたアドレスである場合（ステップ１０６：ＹＥＳ）、そのパケットをパケット送信部１７に引き渡し（ステップ１０７）、一連のパケット振り分け処理を終了する。
また、当該パケットが上記の４つの条件のいずれにも合致しないパケットの場合（ステップ１０６：ＮＯ）、そのパケットを廃棄し（ステップ１０８）、一連のパケット振り分け処理を終了する。

［パケット通信制御動作］
次に、図４および図５を参照して、本発明の第１の実施の形態にかかるゲートウェイ装置のパケット通信制御動作について詳細に説明する。図４は、本発明の第１の実施の形態にかかるゲートウェイ装置のパケット通信制御動作を示すシーケンス図である。図５は、本発明の第１の実施の形態にかかるゲートウェイ装置のパケット通信制御動作（続き）を示すシーケンス図である。以下では、IEEE802.1X認証手順としてＥＡＰ−ＴＴＬＳ方式を用いる場合を例として説明する。

無線ＬＡＮアクセスポイント装置３は、無線区間を介して接続された無線ＬＡＮクライアント端末２との間で、IEEE802.1X認証手順に基づいて、ＥＡＰ開通通知、ＥＡＰｏＬ開始、ＥＡＰリクエストなどの制御用パケットをやり取りする。
これに応じて無線ＬＡＮクライアント端末２から送信されたＥＡＰレスポンスに応じて（ステップ１１０）、無線ＬＡＮアクセスポイント装置３は、Radiusアクセスリクエストを制御用パケットによりゲートウェイ装置１へ送信する（ステップ１１１）。

ゲートウェイ装置１は、無線ＬＡＮアクセスポイント装置３からのRadiusアクセスリクエストを受信し、フィルタ処理部１２によりパケット受信処理部１３Ａに引き渡す。パケット受信処理部１３Ａは、Radiusアクセスリクエストの制御用パケットから、当該無線ＬＡＮクライアント端末２に固有の端末識別情報（ＭＡＣアドレス）を取得し記憶部へクライアント情報１４Ａとして格納する（ステップ１１２）。この際に用いられる制御用パケットのＥＡＰフォーマットを図６に示す。
この後、パケット受信処理部１３Ａは、ＴＬＳ手順の開始を通知するRadiusアクセスチャレンジの内容をパケット送信処理部１３Ｄへ引き渡し、パケット送信部１７から無線ＬＡＮアクセスポイント装置３に対して送信する（ステップ１１３）。

無線ＬＡＮクライアント端末２は、無線ＬＡＮアクセスポイント装置３を介してＴＬＳ手順の開始をＥＡＰリクエストにより受信する（ステップ１１４）。これ以降、無線ＬＡＮクライアント端末２は、無線ＬＡＮアクセスポイント装置３を介してゲートウェイ装置１との間で各種制御用パケットをやり取りすることにより、無線ＬＡＮクライアント端末２と無線ＬＡＮアクセスポイント装置３、さらにはゲートウェイ装置１との間で用いるＴＬＳトンネルのための暗号鍵(マスターセッションキー)生成のためのＴＬＳ手順を開始する（ステップ１２０）。

ゲートウェイ装置１のパケット受信処理部１３Ａは、ＴＬＳ手順に基づき無線ＬＡＮクライアント端末２と制御パケットをやり取りして暗号鍵の生成を行い、無線ＬＡＮアクセスポイント装置３および無線ＬＡＮクライアント端末２へ通知して、ＴＬＳ手順を終了する。

無線ＬＡＮクライアント端末２は、ＴＬＳ手順の終了後、無線ＬＡＮアクセスポイント装置３を介してゲートウェイ装置１との間で各種制御用パケットをやり取りすることにより、認証用のＩＤおよびパスワードによるクライアント認証手順を開始する（ステップ１３０）。この際、無線ＬＡＮアクセスポイント装置３は、ゲートウェイ装置１から通知された暗号鍵を用いて各種制御用パケットを暗号化／復号することによりＴＬＳトンネルを確立して、クライアント認証手順を保護する。

ゲートウェイ装置１のパケット受信処理部１３Ａは、暗号鍵を用いて各種制御用パケットを暗号化／復号することによりＴＬＳトンネルを確立し、無線ＬＡＮクライアント端末２との間でクライアント認証手順を開始する。そして、無線ＬＡＮクライアント端末２から通知されたＩＤおよびパスワードを認証用パケットに載せ換えてRadiusアクセスリクエストとして認証サーバ装置５へ送信する（ステップ１３１）。

認証サーバ装置５は、ゲートウェイ装置１からのRadiusアクセスリクエストに応じて、そのＩＤおよびパスワードに基づき認証処理を行い、予め設定されているクライアント情報に基づき正当なクライアントかどうか判断する。そして認証サーバ装置５は、その認証成功／失敗を示す認証結果をRadiusアクセスアクセプトの認証用パケットによりゲートウェイ装置１へ送信する（ステップ１４０）。

ゲートウェイ装置１は、認証サーバ装置５からのRadiusアクセスアクセプトの認証用パケットを受信し、フィルタ処理部１２により認証情報取得部１３Ｂに引き渡す。認証情報取得部１３Ｂは、この認証用パケットから無線ＬＡＮクライアント端末２に対する認証結果を取得して記憶部へクライアント情報１４Ａとして格納する（ステップ１４１）。そして、この認証用パケットの内容と鍵情報とをパケット送信処理部１３Ｄへ引き渡して制御用パケットに載せ換え、パケット送信部１７から無線ＬＡＮアクセスポイント装置３へ送信する（ステップ１４２）。

無線ＬＡＮアクセスポイント装置３は、ゲートウェイ装置１からのRadiusアクセスアクセプトの制御用パケットを受信し、無線ＬＡＮクライアント端末２に対する認証結果を取得する。ここで、認証結果が認証成功を示す場合、無線ＬＡＮアクセスポイント装置３は、無線ＬＡＮクライアント端末２で送受信される通信用パケットについてパケット転送を許可し（ステップ１４３）、その旨をＥＡＰアクセスの制御用パケットで無線ＬＡＮクライアント端末２へ通知する（ステップ１４４）。これにより、ＴＬＳトンネルを用いた一連のクライアント認証手順が終了する。

その後、無線ＬＡＮアクセスポイント装置３は、無線ＬＡＮクライアント端末２でのパケット通信に用いる暗号鍵のための情報を含むＥＡＰｏＬ−ＫＥＹ通知を制御パケットにより無線ＬＡＮクライアント端末２へ送信する（ステップ１４５）。
これにより、無線ＬＡＮクライアント端末２と無線ＬＡＮアクセスポイント装置３の間で用いる暗号鍵(WEPキー)を両者で共有することになる。

この後、無線ＬＡＮクライアント端末２は、無線ＬＡＮアクセスポイント装置３を介してゲートウェイ装置１との間で、所望の相手先ホスト装置８とのパケット通信に用いる自端末のＩＰアドレスを取得するため、ディスカバー、オファー、リクエスト、Ａｃｋなどの制御用パケットをやり取りすることによりＤＨＣＰ手順を開始する（ステップ１５０）。
ゲートウェイ装置１は、無線ＬＡＮクライアント端末２からのＤＨＣＰ手順に応じた制御用パケットを受信し、フィルタ処理部１２によりルーティング処理部１６を介してパケット送信部１７からＩＰアドレス割当装置６へ転送する。また、ＩＰアドレス割当装置６からのＤＨＣＰ手順に応じた制御用パケットを受信し、フィルタ処理部１２によりルーティング処理部１６を介してパケット送信部１７から無線ＬＡＮクライアント端末２へ転送する。

このようにしてゲートウェイ装置１はＤＨＣＰ手順を実行し、ＩＰアドレス割当装置６からのＩＰアドレス割当パケット（Ａｃｋ）を受信した場合、フィルタ処理部１２によりＩＰ情報取得部１３Ｃへ引き渡す。ＩＰ情報取得部１３Ｃは、この制御用パケットから無線ＬＡＮクライアント端末２のＭＡＣアドレスと新たに割り当てられる端末ＩＰアドレスとを取得するとともに（ステップ１５１）、その認証結果を取得し（ステップ１５２）、記憶部へクライアント情報１４Ａとして格納する。またこの制御用パケットの内容をパケット送信部１７へ引き渡し、無線ＬＡＮクライアント端末２へ転送する。

フィルタ制御部１５は、ＩＰ情報取得部１３ＣからのＭＡＣアドレスと端末ＩＰアドレスの通知に応じて、記憶部のクライアント情報１４Ａから無線ＬＡＮクライアント端末２の端末識別情報、認証結果、および端末ＩＰアドレスを取得する。そして、無線ＬＡＮクライアント端末２で送受信する通信パケットに対するフィルタリングのためのフィルタポリシー情報をこれら端末識別情報、認証結果、および端末ＩＰアドレスに基づき生成し、生成したフィルタポリシー情報をフィルタ処理部１２へ設定する（ステップ１５３）。

図７は、クライアント情報の構成例である。ここでは、端末識別情報として無線ＬＡＮクライアント端末２のＭＡＣアドレスが用いられ、この端末識別情報、無線ＬＡＮクライアント端末２に割り当てられたＩＰアドレス、および認証結果が組として関連付けられている。

このクライアント情報１４Ａのうち、エントリ２００については、ＩＰアドレスの割り当てまで完了しており、図５のステップ１５４におけるパケット通信開始の状態を示している。またエントリ２０１は、認証成功しているもののＩＰアドレスは未割当のままであり、図５のステップ１５０においてＤＨＣＰ手順を実行している状態を示している。またエントリ２０２は、認証結果が未認証のままであり、図４のステップ１３０におけるクライアント認証手順での認証結果が得られていない、あるいは認証失敗の状態を示している。

これにより、フィルタ処理部１２は、設定されたフィルタポリシー情報に基づいて通信用パケットに含まれている各種情報に応じた当該通信用パケットの転送可否制御を行う。この場合、フィルタ処理部１２は、パケット受信部１１から引き渡された、無線ＬＡＮクライアント端末２と相手先ホスト装置８との間のパケット通信でやり取りする通信用パケットについて、当該通信用パケットに含まれている端末識別情報および端末ＩＰアドレスとフィルタポリシー情報の端末識別情報および端末ＩＰアドレスとを比較し、その比較結果に応じて当該通信用パケットの転送可否制御を行う。

したがって、通信用パケットとフィルタポリシー情報の端末識別情報および端末ＩＰアドレスがすべて一致した場合、フィルタ処理部１２からルーティング処理部１６からパケット送信部１７を介して転送される。これにより、ゲートウェイ装置１おいて、無線ＬＡＮクライアント端末２からの通信用パケットが相手先ホスト装置８へ転送されるとともに、相手先ホスト装置８からの通信用パケットが無線ＬＡＮクライアント端末２へ転送され、両者間でパケット通信が開始される（ステップ１５４）。

このように、本実施の形態では、ゲートウェイ装置１により、無線ＬＡＮクライアント端末２もしくは無線ＬＡＮアクセスポイント装置と認証サーバ装置５およびＩＰアドレス割当装置６との間で認証処理やアドレス割当処理で用いる各種制御用パケットを相互に転送し、この際、これら制御用パケットから無線ＬＡＮクライアント端末２に固有の端末識別情報や認証結果を取得するとともに、アドレス通知用パケットから端末ＩＰアドレスを取得しておき、無線ＬＡＮクライアント端末と相手先ホスト装置との間のパケット通信でやり取りする通信用パケットを相互に転送するとともに、その端末識別情報および端末ＩＰアドレスに応じて通信用パケットの転送可否制御を行う。

これにより、レイヤ２での認証手順とレイヤ３での認証手順とを容易に連携させることができ、無線ＬＡＮクライアント端末に対して円滑かつ効率よく通信可否制御を行うことができる。
したがって、無線ＬＡＮアクセスポイント装置での通信可否を判断するためにIEEE802.1X認証手順にしたがったレイヤ２での認証処理と、ゲートウェイ装置での通信可否を判断するために無線ＬＡＮクライアント端末のＩＤおよびパスワードを用いたレイヤ３での認証処理とを別個に行う場合と比較して、パケット通信開始までに時間を大幅に短縮できるとともに、利用者の操作負担を軽減できる。

また、パケット処理部１３により、無線ＬＡＮクライアント端末２からの制御用パケットから認証処理のための認証情報を取得し認証サーバ装置５で用いる認証用パケットに格納して転送し、認証サーバ装置５からの認証用パケットから認証結果を取得し制御用パケットに格納して転送するようにしたので、ゲートウェイ装置１により無線ＬＡＮクライアント端末２から認証サーバ装置５に対する認証処理を容易に中継することができる。

また、フィルタ処理部１２では、通信用パケットの転送可否制御において、端末識別情報および端末ＩＰアドレスのいずれかが一致しない場合、当該通信用パケットを破棄するようにしたので、許可されていないパケット通信を確実に拒否することができる。

［第２の実施の形態］
次に、図８を参照して、本発明の第２の実施の形態にかかるゲートウェイ装置について説明する。図８は、第２の実施の形態にかかるゲートウェイ装置の構成を示すブロック図であり、図２と同じまたは同等部分には同一符号を付してある。
前述の図２と比較して、通信相手先情報１４Ｂが追加されている。この通信相手先情報１４Ｂは、無線ＬＡＮクライアント端末２がゲートウェイ装置１を介してパケット通信可能な相手先を情報を示す情報であり、記憶部に予め格納されている。なお、このほかの構成については、第１の実施の形態と同様であり、ここでの詳細な説明は省略する。

本実施の形態は、フィルタ制御部１５で、この通信相手先情報１４Ｂを参照してフィルタポリシー情報を生成し、フィルタ処理部１２へ設定するようにしたものである。
図９は、アドレス情報を用いた通信相手先情報の構成例である。ここでは、グループごとに、無線ＬＡＮクライアント端末２が接続可能な相手先ホスト装置８を示す通信相手先情報として、相手先ホスト装置８のＩＰアドレスさらにはそのポート番号からなるアドレス情報が１つ以上設定されている。

図１０は、ポート番号を用いた通信相手先情報の構成例である。ここでは、グループごとに、無線ＬＡＮクライアント端末２が接続可能な相手先ホスト装置８を示す通信相手先情報として、相手先ホスト装置８のポート番号の範囲からなるアドレス情報が１つ以上設定されている。
なお、通信相手先情報１４Ｂについては、これらアドレス情報やポート番号に限定されるものではなく、他の情報を用いてもよい。また、通信相手先情報１４Ｂは１種類だけ用いてもよく、例えばアドレス番号とポート番号など複数の組み合わせてもよい。

また、通信相手先情報１４Ｂをグループで管理する場合、クライアント情報１４Ａにおいて、図１１に示すように、無線ＬＡＮクライアント端末２ごとに適用する通信相手先情報１４Ｂのグループ番号を設定しておけばよい。
フィルタ制御部１５は、図５のステップ１５３においてフィルタポリシー情報を生成する際、当該無線ＬＡＮクライアント端末２のクライアント情報１４Ａからグループ番号を取得して、そのグループに対応する通信相手先情報１４を参照し、フィルタポリシー情報を生成する。

したがって、フィルタ処理部１２では、通信相手先情報が含まれるフィルタポリシー情報に基づき、無線ＬＡＮクライアント端末２と相手先ホスト装置８との間のパケット通信でやり取りする通信用パケットについての転送可否制御が行われることになり、より詳細な転送可否制御を行うことができる。

本発明の第１の実施の形態にかかるゲートウェイ装置が適用される無線ＬＡＮシステムの構成を示すブロック図である。 本発明の第１の実施の形態にかかるゲートウェイ装置の構成を示すブロック図である。 フィルタ処理部でのパケット振り分け処理を示すフローチャートである。 本発明の第１の実施の形態にかかるゲートウェイ装置のパケット通信制御動作を示すシーケンス図である。 本発明の第１の実施の形態にかかるゲートウェイ装置のパケット通信制御動作（続き）を示すシーケンス図である。 制御用パケットのＥＡＰフォーマットを示す説明図である。 クライアント情報の構成例である。 第２の実施の形態にかかるゲートウェイ装置の構成を示すブロック図である。 アドレス情報を用いた通信相手先情報の構成例である。 ポート番号を用いた通信相手先情報の構成例である。 クライアント情報の他の構成例である。

符号の説明

１…ゲートウェイ装置、１１…パケット受信部、１２…フィルタ処理部、１３…パケット処理部、１３Ａ…パケット受信処理部、１３Ｂ…認証情報取得部、１３Ｃ…ＩＰ情報取得部、１３Ｄ…パケット送信処理部、１４Ａ…クライアント情報、１４Ｂ…通信相手先情報、１５…フィルタ制御部、１６…ルーティング処理部、１７…パケット送信部、２…無線ＬＡＮクライアント端末、３…無線ＬＡＮアクセスポイント装置、４…スイッチ、５…認証サーバ装置、６…ＩＰアドレス割当装置、７…ルータ、８…相手先ホスト装置、９…パケット通信網。

Claims (6)

1. 無線ＬＡＮクライアント端末を収容する無線ＬＡＮアクセスポイント装置、相手先ホスト装置が接続されているパケット通信網、前記無線ＬＡＮクライアント端末について認証処理を行う認証サーバ装置、および前記認証処理の認証成功後に前記無線ＬＡＮクライアント端末による前記パケット通信網を介したパケット通信で用いる端末ＩＰアドレスのアドレス割当処理を行うＩＰアドレス割当装置に接続されて、前記認証処理の結果に応じて前記無線ＬＡＮクライアント端末によるパケット通信の可否を制御するゲートウェイ装置であって、
   前記無線ＬＡＮクライアント端末に対するパケット通信制御に用いる各種情報を記憶する記憶部と、
   前記無線ＬＡＮクライアント端末もしくは前記無線ＬＡＮアクセスポイント装置と前記認証サーバ装置および前記ＩＰアドレス割当装置との間で前記認証処理や前記アドレス割当処理で用いる各種制御用パケットを相互に転送し、前記認証処理で用いる前記制御用パケットから前記無線ＬＡＮクライアント端末に関する端末識別情報および前記認証処理の認証結果を取得して前記記憶部へ格納し、前記認証処理の認証成功に応じた前記無線ＬＡＮアクセスポイント装置でのパケット転送許可後に行われた前記アドレス割当処理で用いる前記制御用パケットから、前記無線ＬＡＮクライアント端末に割り当てられた前記端末ＩＰアドレスを取得して前記記憶部へ格納するパケット処理部と、
   前記無線ＬＡＮクライアント端末と前記相手先ホスト装置との間のパケット通信でやり取りする通信用パケットを相互に転送する際、前記記憶部の前記端末識別情報、前記認証結果、および前記ＩＰ端末アドレスから生成したフィルタポリシー情報に基づいて、前記通信用パケットに含まれている当該無線ＬＡＮクライアント端末の端末識別情報および端末ＩＰアドレスに応じた転送可否制御を行うフィルタ処理部と
   を備えることを特徴とするゲートウェイ装置。
2. 請求項１に記載のゲートウェイ装置において、
   前記パケット処理部は、前記無線ＬＡＮアクセスポイント装置からの制御用パケットから当該無線ＬＡＮクライアント端末に固有の端末識別情報を取得し前記記憶部へ格納する端末識別情報取得部と、前記認証サーバ装置からの制御用パケットから前記無線ＬＡＮクライアント端末に対する認証結果を取得して前記記憶部へ格納する認証情報取得部と、前記ＩＰアドレス割当装置からのアドレス通知用のための制御用パケットから前記端末ＩＰアドレスを取得して前記記憶部へ格納するＩＰアドレス取得部とを有する
   ことを特徴とするゲートウェイ装置。
3. 請求項１に記載のゲートウェイ装置において、
   前記パケット処理部は、前記無線ＬＡＮアクセスポイント装置からの制御用パケットから前記認証処理のための認証情報を取得し前記認証サーバ装置で用いる認証用パケットに格納して転送し、前記認証サーバ装置からの認証用パケットから認証結果を取得し制御用パケットに格納して転送する
   ことを特徴とするゲートウェイ装置。
4. 請求項１に記載のゲートウェイ装置において、
   前記フィルタ処理部は、前記端末識別情報または端末ＩＰアドレスが一致しない場合、当該通信用パケットを破棄することを特徴とするゲートウェイ装置。
5. 請求項１に記載のゲートウェイ装置において、
   前記記憶部は、前記無線ＬＡＮクライアント端末が通信可能な相手先ホスト装置を示す通信相手先情報を記憶し、
   前記フィルタ処理部は、前記通信用パケットに含まれている通信相手先情報と前記記憶部の通信相手先情報とを比較し、その比較結果に応じて当該通信用パケットの転送可否制御を行う
   ことを特徴とするゲートウェイ装置。
6. 無線ＬＡＮクライアント端末を収容する無線ＬＡＮアクセスポイント装置、相手先ホスト装置が接続されているパケット通信網、前記無線ＬＡＮクライアント端末について認証処理を行う認証サーバ装置、および前記認証処理の認証成功後に前記無線ＬＡＮクライアント端末による前記パケット通信網を介したパケット通信で用いる端末ＩＰアドレスのアドレス割当処理を行うＩＰアドレス割当装置に接続されて、前記認証処理の結果に応じて前記無線ＬＡＮクライアント端末によるパケット通信の可否を制御するゲートウェイ装置のコンピュータに、
   前記無線ＬＡＮクライアント端末に対するパケット通信制御に用いる各種情報を記憶部で記憶する記憶ステップと、
   前記無線ＬＡＮクライアント端末もしくは前記無線ＬＡＮアクセスポイント装置と前記認証サーバ装置および前記ＩＰアドレス割当装置との間で前記認証処理や前記アドレス割当処理で用いる各種制御用パケットを相互に転送する制御用パケット転送ステップと、
   前記認証処理で用いる前記制御用パケットから前記無線ＬＡＮクライアント端末に関する端末識別情報および前記認証処理の認証結果を取得して前記記憶部へ格納し、前記認証処理の認証成功に応じた前記無線ＬＡＮアクセスポイント装置でのパケット転送許可後に行われた前記アドレス割当処理で用いる前記制御用パケットから、前記無線ＬＡＮクライアント端末に割り当てられた前記端末ＩＰアドレスを取得して前記記憶部へ格納するパケット処理ステップと、
   前記無線ＬＡＮクライアント端末と前記相手先ホスト装置との間のパケット通信でやり取りする通信用パケットを相互に転送するフィルタ処理ステップと、
   前記記憶部の前記端末識別情報、前記認証結果、および前記ＩＰ端末アドレスから生成したフィルタポリシー情報に基づいて、前記通信用パケットに含まれている当該無線ＬＡＮクライアント端末の端末識別情報および端末ＩＰアドレスに応じた転送可否制御を行う転送可否制御ステップと
   を実行させるプログラム。

Images