JP6163808B2 - 無線ネットワークシステム、端末管理装置、および無線中継装置 - Google Patents

Description

この発明は、セキュリティホールを有していないこと等の予め定められたセキュリティポリシを満たす端末のみが無線ネットワークシステムに接続されるようにする技術に関する。

スマートフォンやタブレット端末などのスマートデバイスが急速に普及している。この種のスマートデバイスは、従来のＰＤＡ（Personal Digital Assistant）やノート型パソコンとは異なり、アプリケーションプログラムの実行機能や通信機能、撮像機能などの多様な機能を有している。このため、この種のスマートデバイスは、個人的な用途だけでなく、ユーザの業務遂行にも利用されることが多く、スマートデバイスの普及に伴ってＢＹＯＤ(Bring Your Own Device)の導入が広がりつつある。具体的には、ユーザの勤務先の社屋内に敷設された社内ネットワークが無線ＬＡＮ（Local Area Network）を含んでいる場合には、当該ユーザの所有するスマートデバイスを無線ＬＡＮを介して社内ネットワークに接続し、当該ユーザの業務遂行に利用する、といった具合である。

ＢＹＯＤでは、社内ネットワークへのウィルスの侵入や機密漏えいを防ぐために、予め定められたセキュリティポリシを満たす端末装置に対してのみ社内ネットワークへの接続を許可することが一般的である。スマートデバイスの場合、社内ネットワークに含まれる無線ＬＡＮを介してその社内ネットワークに接続することが一般的である。このため、スマートデバイスを対象とするＢＹＯＤを実現するには、無線ＬＡＮなどの無線ネットワークシステムに対応した検疫システムが必要となる。検疫システムとは、社内ネットワークに接続しようとする端末装置が予め定められたセキュリティポリシを満たしているかをチェックするためのシステムである。この種の検疫システムに関する先行技術としては特許文献１や非特許文献１に開示の技術が挙げられる。

特許文献１には、社内ネットワークをVLAN（Virtual Local Area Network）を用いて論理的に分割し、そのうちの１つに「検疫用VLAN」の役割を担わせることが記載されている。特許文献１に開示の技術によれば、社内ネットワークに端末装置を接続する際には、まず、検疫用VLANに接続してセキュリティポリシを満たすか否かをチェックし、セキュリティポリシを満たす場合には業務遂行用のVLANに接続することで私物端末の検疫が実現される。一方、非特許文献１には、接続先をリアルタイム監視する専用のソフトウェアを端末にインストールし、そして接続先が社内ネットワークであるか一般公衆回線などの他のネットワークであるかを識別し、その識別結果に応じて端末の通信設定等を切り替える（例えば、社内ネットワークに接続されている間は社外へのｗｅｂアクセスを禁止する等）ことで機密情報の漏えいを防止する技術が開示されている。

特開２００６−３３１１２８号公報

日川佳三、"接続先ネットに応じ仕事と私用モードを切り替えるＭＤＭ、ベーシックが発表"、[ｏｎｌｉｎｅ]、平成２４年９月１０日、株式会社 日経ＢＰ、平成２５年３月２１日検索、インターネット<URLhttp://itpro.nikkeibp.co.jp/article/NEWS/20120910/421722/>

特許文献１に開示の技術には、社内ネットワークを複数のVLANに分割する必要があるため、システムが複雑化するといった問題や、初期設定や運用のためのコストが増加するといった問題がある。一方、非特許文献１に開示の技術には、社内ネットワークに接続するまで端末の設定が切り替えられないため、不正な設定のままで社内ネットワークへの接続が為される虞があるといった問題がある。

本発明は上記課題に鑑みて為されたものであり、コストの大幅な増加を招くことなく、セキュリティポリシを満たす無線端末のみが社内ネットワークに接続されるようにする技術を提供することを目的とする。

上記課題を解決するために本発明は、無線中継装置と端末管理装置とを含む無線ネットワークシステムにおいて、前記端末管理装置は、当該無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定する判定手段と、前記セキュリティポリシを満たしていると前記判定手段により判定された無線端末へ前記無線中継装置に接続するための接続情報を送信して記憶させる接続情報送信手段と、を有することを特徴とする無線ネットワークシステム、を提供する。

本発明によれば、無線端末がセキュリティポリシを満たしているか否かが端末管理装置によって判定され、満たしている場合にのみ本発明の無線ネットワークシステムとは異なる通信網経由で端末管理装置から無線端末へ接続情報が送信される。ここで接続情報が無ければ無線端末は無線中継装置（具体的には、無線アクセスポイント装置）に接続することはできないのであるから、セキュリティポリシを満たさない無線端末の接続を確実に回避することができる。また、本発明によれば、無線端末がセキュリティポリシを満たすか否かを判定するための検疫用ＶＬＡＮを設ける必要もないため、コスト増加を招かない。したがって、無線端末を収容するための無線ネットワークシステムとして本発明の無線ネットワークシステムを用いて社内ネットワークを構築すれば、コストの大幅な増加を招くことなく、セキュリティポリシを満たす無線端末のみが当該社内ネットワークに接続されるようにすることを実現することができる。

より好ましい態様としては、無線ネットワークシステムのサービスエリア内に無線端末が入ったことを検知する検知装置を設け、端末管理装置には、当該検知装置により検知された無線端末を対象として判定手段による判定を行わせる態様が考えられる。このような態様によれば、無線ネットワークシステムのサービスエリアに無線端末が入り、当該無線ネットワークシステムへの接続が試みられる直前に当該無線端末の検疫を行うことができ、無線端末の検疫を周期的に行う場合に比較して無線端末のバッテリ消費を抑えることができる。また、さらに好ましい態様としては、無線中継装置に上記検知装置の役割を果たさせる態様が考えられる。例えば、上記無線中継装置が無線アクセスポイント装置である場合には、無線端末から発せられるプローブリクエストの受信を契機として自装置のサービスエリアに無線端末が入ったことを当該無線中継装置（無線アクセスポイント装置）に検知させるのである。このような態様によれば、無線中継装置とは別個に設けたセンサに上記検知装置の役割を担わせる態様に比較して当該センサを設けない分だけコストを低く抑えることができる。

より好ましい態様としては、無線中継装置に接続している無線端末と当該無線中継装置を介して通信して前記判定手段による判定を行う処理を端末管理装置に定期的に実行させ、セキュリティポリシを満たさなくなったと前記判定手段により判定されたことを契機として前記無線端末から前記接続情報を削除する処理を端末管理装置に実行させる態様も考えられる。このような態様によれば、無線中継装置に接続された後に無線端末の設定等が変更されるなどしてセキュリティホールが発生することを防止することができるからである。

また、上記課題を解決するために本発明は、無線中継装置を含む無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定する判定手段と、前記セキュリティポリシを満たしていると前記判定手段により判定された無線端末へ前記無線中継装置に接続するための接続情報を送信して記憶させる接続情報送信手段とを有することを特徴とする端末管理装置、を提供する。また、上記課題を解決するために本発明は、無線端末から受信したリクエストメッセージの電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子が予め登録されたものである場合に当該端末識別子を上位装置へ通知する端末通知手段と、通信相手の無線端末を制限するためのフィルタを前記上位装置から指示に応じて更新する更新手段と、を有することを特徴とする無線中継装置を提供する。なお、上記無線中継装置が無線アクセスポイント装置である場合には、上記端末識別子の具体例としてＭＡＣアドレスを挙げることができ、また、上記フィルタの具体例としてＭＡＣアドレスフィルタを挙げることができる。

例えば、社内ネットワークに含まれる無線ネットワークシステムに、上記無線中継装置として機能する無線アクセスポイント装置と上記端末管理装置とを含めておくことでコストの大幅な増加を招くことなく、セキュリティポリシを満たす無線端末のみが当該無線ネットワークシステムを介して社内ネットワークに接続されるようにすることを実現することができる。

本発明の一実施形態の無線ネットワークシステム１の構成例を示す図である。 同無線ネットワークシステム１に含まれる無線アクセスポイント装置１０の構成例を示す図である。 同無線ネットワークシステム１に含まれる端末管理装置５０の構成例を示す図である。 同実施形態における通信シーケンスを示す図である。 同実施形態における通信シーケンスを示す図である。

以下、図面を参照しつつ、本発明の実施形態について説明する。
（Ａ：構成）
図１は、本発明の一実施形態の無線ネットワークシステム１を含む通信システムの構成例を示すブロック図である。無線ネットワークシステム１は、例えば企業の社屋内に敷設された無線ＬＡＮであり、当該社屋内に敷設された有線ＬＡＮ（図１では図示略）とともに上記企業における社内ネットワークを形成する。図１に示すように、無線ネットワークシステム１は、無線アクセスポイント装置１０−ｎ（ｎ＝１〜Ｎ：Ｎは２以上の整数）、スイッチングハブ２０、ＡＰコントローラ３０、ルータ４０、および端末管理装置５０を含んでいる。なお、以下では、無線アクセスポイント装置１０−ｎ（ｎ＝１〜Ｎ）の各々を区別する必要がない場合には「無線アクセスポイント装置１０」と表記する。

無線アクセスポイント装置１０とＡＰコントローラ３０は各々ＬＡＮケーブルなどの信号線によりスイッチングハブ２０に接続されている。無線アクセスポイント装置１０−ｎ（ｎ＝１〜Ｎ）の各々は、ＩＥＥＥ８０２．１１等に規定されたプロトコルにしたがってスマートデバイスなどの無線端末を接続する装置である。本実施形態では、各無線アクセスポイント装置１０−ｎは、各々の発する通信電波を充分な強度で受信可能な領域（以下、無線アクセスポイント装置のサービスエリア）によって無線ネットワークシステム１の敷設されている社屋内を被覆できるように当該社屋内の各所に配置されている。

図２は、無線アクセスポイント装置１０の構成例を示す図である。図２に示すように無線アクセスポイント装置１０は、制御部１１０、無線通信Ｉ／Ｆ部１２０、記憶部１３０、およびこれら構成要素間のデータ授受を仲介するバス１４０を含んでいる。制御部１１０はＣＰＵ（Central Processing Unit）である。制御部１１０は記憶部１３０（より正確には不揮発性記憶部１３４）に記憶されているプログラムを実行することで無線アクセスポイント装置１０の制御中枢として機能する。無線通信Ｉ／Ｆ部１２０は、アンテナや変調回路・復調回路等を含んでおり（何れも図示略）、制御部１１０から受信したデータを変調して搬送波に重畳し、無線区間へ送出する一方、無線区間から受信した搬送波に重畳されているデータを復調して制御部１１０に与える。

記憶部１３０は、揮発性記憶部１３２と不揮発性記憶部１３４を含んでいる。揮発性記憶部１３２は例えばＲＡＭ（Random Access Memory）である。揮発性記憶部１３２は各種プログラムを実行する際のワークエリアとして制御部１１０によって利用される。不揮発性記憶部１３４は例えばＥＥＰＲＯＭ（Electrically Erasable Programmable
Read-Only Memory）である。不揮発性記憶部１３４には本実施形態の特徴を顕著に示す処理を制御部１１０に実行させるデータおよびプログラムが記憶されている。

不揮発性記憶部１３４に記憶されているデータの一例としては、上記企業の従業者の所有する私物の無線端末のうち、業務遂行にも使用する旨の申請の為された全ての無線端末のＭＡＣアドレスを表すデータの配列であるＭＡＣアドレスリストが挙げられる。また、不揮発性記憶部１３４に格納されているプログラムの一例としては、無線端末の発するプローブリクエストの受信を契機としてその送信元が自装置のサービスエリアに入ったことを検知し、当該無線端末が予め使用申請の為されたものである場合に当該無線端末のＭＡＣアドレスを上位装置（本実施形態では、ＡＰコントローラ３０）へ通知する端末通知処理を制御部１１０に実行させる無線通信プログラムが挙げられる。また、無線通信プログラムにしたがって作動している制御部１１０は、一般的な無線アクセスポイント装置における場合と同様に、ＡＰコントローラ３０から与えられる指示に応じてＭＡＣアドレスフィルタを更新する処理も実行する。

プローブリクエストとは、最寄の無線アクセスポイント装置に対してネットワーク識別子（例えば、ＥＳＳＩＤ）等のブロードキャストを促すために無線端末が送信する通信メッセージのことを言う。本実施形態の無線アクセスポイント装置１０は、定期的なネットワーク識別子のブロードキャストを行わないことは勿論、上記プローブリクエストを受信してもネットワーク識別子等のブロードキャストを行わないように設定されている。これは、ネットワーク識別子が第三者等に漏えいすることに起因する不正アクセスを防止するためである。

ＡＰコントローラ３０は、無線アクセスポイント装置１０−ｎ（ｎ＝１〜Ｎ）に割り当てるネットワーク識別子や各無線アクセスポイント装置１０−ｎの使用周波数（チャネル）、各無線アクセスポイント装置１０−ｎにおけるＭＡＣアドレスフィルタの設定を一元管理するための装置である。ＡＰコントローラ３０は、無線アクセスポイント装置１０−ｎ毎に当該無線アクセスポイント装置１０−ｎに接続している無線端末の端末識別子（当該無線端末を識別するための情報、本実施形態では、ＭＡＣアドレス）を記憶し、無線アクセスポイント装置間の無線端末の移動（所謂ハンドオーバ）を検知する機能を有している。

スイッチングハブ２０はルータ４０に接続されており、このルータ４０には端末管理装置５０が接続されている。なお、無線ネットワークシステム１とともに社内ネットワークを形成する有線ＬＡＮはスイッチングハブ２０に接続されていても良く、また、ルータ４０に接続されていても良い。図１に示すようにルータ４０はインターネット２に接続されている。つまり、無線ネットワークシステム１はルータ４０を介してインターネット２に接続されている。そして、インターネット２には例えば３ＧやＬＴＥ（Long Term Evolution）などの通信規格に準拠したモバイル網３が接続されている。

無線端末６０は、上記企業の従業者の所有するスマートデバイスである。無線端末６０は、モバイル網３の基地局（図示略）との間に無線通信リンクを確立してデータ通信する機能（以下、第１の無線通信機能）と、無線アクセスポイント装置１０−ｎ（ｎ＝１〜Ｎ）に接続してデータ通信する機能（以下、第２の無線通信機能）とを有している。これら２つの無線通信機能のうち、第２の無線通信機能についてはユーザの指示に応じたオン／オフの切り換えが可能であり、当該第２の無線通信機能をオンにすることをユーザにより指示されると、無線端末６０は、前述したプローブリクエストを送信する。また、無線端末６０には、端末管理装置５０に付与されているホスト名を示す情報が予め記憶されており、当該ホスト名に基づいて端末管理装置５０の通信アドレス（ＩＰアドレス）を特定し、前述した第１の無線通信機能によりモバイル網３およびインターネット２経由で端末管理装置５０とデータ通信する。

端末管理装置５０は所謂ＭＤＭ（Mobil Device Management）サーバである。図３は端末管理装置５０の構成例を示す図である。図３に示すように端末管理装置５０は、制御部５１０、通信Ｉ／Ｆ部５２０、記憶部５３０、およびこれら構成要素間のデータ授受を仲介するバス５４０を含んでいる。なお、端末管理装置５０は上記各構成要素の他にも、運用管理者に各種操作を行わせるためのユーザＩ／Ｆ部や他の機器を接続するために外部機器Ｉ／Ｆ部等を有しているが、本実施形態の特徴との関連が薄いため図示および説明を省略する。

制御部５１０は、無線アクセスポイント装置１０における制御部１１０と同様にＣＰＵであり、記憶部５３０（より正確には不揮発性記憶部５３４）に記憶されているプログラムを実行することで端末管理装置５０の制御中枢として機能する。通信Ｉ／Ｆ部５２０は例えばＮＩＣであり、ＬＡＮケーブルなどの信号線を介してルータ４０に接続されている。通信Ｉ／Ｆ部５２０は上記信号線を介してルータ４０から受信したデータを制御部５１０に与える一方、制御部５１０から受け取ったデータを上記信号線を介して送出する。

記憶部５３０は、揮発性記憶部５３２と不揮発性記憶部５３４を含んでいる。揮発性記憶部５３２は例えばＲＡＭである。揮発性記憶部５３２は各種プログラムを実行する際のワークエリアとして制御部５１０によって利用される。不揮発性記憶部５３４は例えばハードディスクである。不揮発性記憶部５３４には本実施形態の特徴を顕著に示す処理を制御部５１０に実行させるデータおよびプログラムが記憶されている。

不揮発性記憶部５３４に記憶されているデータの一例としては、上記企業におけるセキュリティポリシを表すデータ（以下、セキュリティポリシデータ）が挙げられる。セキュリティポリシデータの具体例としては、無線ネットワークシステム１に接続される端末装置にインストールされているべきＯＳ（Operating System）およびアプリケーションソフトウェアの種類やバージョンを示すデータ、同端末装置にインストールされているべきではないアプリケーションソフトウェアを示すデータが挙げられる。詳細については後述するが、セキュリティポリシデータは、プローブリクエストの送信元の無線端末が上記セキュリティポリシを満たすか否かを判定する（すなわち、当該無線端末の検疫を行う）際に利用される。また、不揮発性記憶部５３４には、無線端末を無線アクセスポイント装置１０へ接続する際に必要となる接続情報（無線ネットワークシステム１のネットワーク識別子、無線アクセスポイント装置１０との無線通信にて使用する暗号化方法を示す情報およびその暗号化におけるセキュリティキーを示す情報等）も予め記憶されている（図３では図示略）。

不揮発性記憶部５３４に格納されているプログラムの一例としては、本実施形態の特徴を顕著に示す検疫処理を制御部５１０に実行させる検疫プログラムが挙げられる。詳細については重複を避けるために動作例において明らかにするが、当該検疫プログラムにしたがって作動している制御部５１０は、ＡＰコントローラ３０からのＭＡＣアドレスの通知を契機として当該ＭＡＣアドレスの示す無線端末とインターネット２およびモバイル網３を介して通信し、当該端末の状態を示す状態情報（インストールされているＯＳおよびアプリケーションソフトウェアの種類やバージョンを示すデータ）を取得し、セキュリティポリシデータの示すセキュリティポリシを満たすか否かを判定する判定手段として機能する。また、検疫プログラムにしたがって作動している制御部５１０は、セキュリティポリシを満たすと判定した無線端末に対して上記接続情報をインターネット２およびモバイル網３経由で送信し記憶させる接続情報送信手段としても機能する。
以上が無線ネットワークシステム１の構成である。

（Ｂ： 動作）
次いで、無線端末６０のユーザが出社して業務に従事し、退社するまでの流れに沿って本実施形態の動作を説明する。

無線端末６０は、ユーザにより無線通信機能をオンにする操作が行われると、前述したプローブリクエストを送信する（図４参照）。無線アクセスポイント装置１０の制御部１１０は、無線端末６０から送信されたプローブリクエストの受信を契機として自装置のサービスエリア内に無線端末６０が入ったことを検知し、端末通知処理の実行を開始する。図４に示すように、制御部１１０は、まず、当該プローブリクエストが所定の条件Ａ（すなわち、電波強度が所定の閾値を上回っていること、および送信元が事前に利用申請の為された無線端末であること）を満たすか否かを判定する（ステップＳＡ１１０）。具体的には、プローブリクエストの送信元ＭＡＣアドレスがＭＡＣアドレスリストに登録されている場合に制御部１１０は、事前に利用申請の為された無線端末であると判定する。そして、ステップＳＡ１１０の判定結果が“Ｙｅｓ”である場合に、制御部１１０は、当該プローブリクエストの送信元ＭＡＣアドレスをペイロード部に書き込んだフレーム（以下、ＭＡＣアドレス通知フレーム）をＡＰコントローラ３０へ送信する（ステップＳＡ１２０）。

このようにして無線アクセスポイント装置１０から送信されたＭＡＣアドレス通知フレームはスイッチングハブ２０による中継を経てＡＰコントローラ３０によって受信される。ＡＰコントローラ３０は、受信したＭＡＣアドレス通知フレームに書き込まれているＭＡＣアドレスをスイッチングハブ２０およびルータ４０を介して端末管理装置５０へ通知する（図４参照）。端末管理装置５０の制御部５１０は、当該ＭＡＣアドレスの通知を契機として検疫処理（ステップＳＡ２００）の実行を開始する。

図５は、検疫処理における通信の流れを示すシーケンスフローチャートである。図５に示すように、端末管理装置５０の制御部５１０は、ＡＰコントローラ３０から通知されたＭＡＣアドレスの示す装置（本動作例では、無線端末６０）を相手装置としてインターネット２およびモバイル網３経由で通信コネクションを確立し、状態情報を取得する。次いで、制御部５１０は、無線端末６０から取得した状態情報の示す状態が予め定められたセキュリティポリシ（すなわち、セキュリティポリシデータの示すセキュリティポリシ）を満たしているか否かを判定する（ステップＳＡ２１０）。

そして、制御部５１０は、無線端末６０の状態がセキュリティポリシを満たしている場合（ステップＳＡ２１０の判定結果が“Ｙｅｓ”である場合）のみ、無線アクセスポイント装置１０との間に無線通信コネクションを確立する際に必要となる接続情報をインターネット２およびモバイル網３経由で無線端末６０へ宛てて送信し、記憶させる（ステップＳＡ２２０）。加えて、制御部５１０は、ＡＰコントローラ３０に対して無線端末６０のＭＡＣアドレスを通知する（図５では図示略）。ＡＰコントローラ３０は、端末管理装置５０からＭＡＣアドレスを受け取ると、当該ＭＡＣアドレスにより識別される端末の無線ネットワークシステム１への接続を許可するようにＭＡＣアドレスフィルタの更新することを指示する更新指示を無線アクセスポイント装置１０−ｎ（ｎ＝１〜Ｎ）の各々に与え、無線アクセスポイント装置１０−ｎ（ｎ＝１〜Ｎ）の各々は当該更新指示にしたがってＭＡＣアドレスフィルタを更新する。

無線端末６０は、端末管理装置５０から受信した接続情報を用いて最寄の無線アクセスポイント装置１０に接続する。前述したように、無線アクセスポイント装置１０においては無線端末６０の接続を許可する旨のＭＡＣアドレスフィルタの設定が為されている。このため、無線端末６０は、最寄の無線アクセスポイント装置１０を介して無線ネットワークシステム１に接続される。これに対して、無線端末６０の状態がセキュリティポリシを満たしていない場合には、端末管理装置５０から無線端末６０へ接続情報が送信されることはない。また、端末管理装置５０からＡＰコントローラ３０へ無線端末６０のＭＡＣアドレスが通知されることはなく、無線端末６０の接続が許可されるように無線アクセスポイント装置１０のＭＡＣアドレスフィルタの更新が行われることはない。このため、無線端末６０が無線ネットワークシステム１に接続されることはない。したがって、無線端末６０が予め定められたセキュリティポリシを満たす場合にのみ無線ネットワークシステム１に接続され、セキュリティポリシを満たさない端末が無線ネットワークシステム１を介して社内ネットワークに接続されることを確実に防止することができる。なお、セキュリティポリシを満たさないために無線端末６０が無線ネットワークシステム１に接続されない場合であっても、無線ネットワークシステム１とは異なる他の無線通信網（例えば、ＷＩ−ＦＩなど）に接続することは勿論可能であり、このような他の無線通信網経由或いはモバイル網３経由でインタネット２にアクセスすることも勿論可能である。

上記の要領で無線端末６０が無線ネットワークシステム１に接続されると、端末管理装置５０の制御部５１０は、ルータ４０、スイッチングハブ２０および無線アクセスポイント装置１０を介して無線端末６０から状態情報を定期的に取得し、セキュリティポリシを満たしていることを確認する。そして、無線端末６０の状態がセキュリティポリシを満たさなくなった場合には、制御部５１０は無線ネットワークシステム１の接続情報を無線端末６０から削除し、さらに当該無線端末６０のＭＡＣアドレスをＡＰコントローラ３０へ通知し、当該無線端末６０を接続対象から除外するように各無線アクセスポイント装置１０のＭＡＣアドレスフィルタを再更新させる。セキュリティポリシを満たさなくなった無線端末が接続され続けることはセキュリティ確保の観点から好ましくなく、また、無線アクセスポイント装置への接続完了後に無線端末６０の設定を変更するといった不正を防止するためである。

無線端末６０のユーザが退社するなどして無線端末６０が無線アクセスポイント装置１０のサービスエリア外に移動し、接続が切断されると無線アクセスポイント装置１０は当該無線端末６０のＭＡＣアドレスをＡＰコントローラ３０へ通知してハンドオーバの有無を問い合わせる。ＡＰコントローラ３０は、当該無線端末６０が他の無線アクセスポイント装置１０にハンドオーバしているか否かを確認し、ハンドオーバしていない場合には当該無線端末６０のＭＡＣアドレスを端末管理装置５０に通知する。端末管理装置５０の制御部５１０は、当該ＭＡＣアドレスの示す無線端末とインターネット２およびモバイル網３経由で通信し、当該無線端末に記憶されている接続情報を削除する。これは、セキュリティポリシを満たすことを条件に配布した接続情報が不正利用されることを回避するためである。

ここで注目すべき点は、無線端末６０が予め定められたセキュリティポリシを満たすか否かを判定するための検疫用ＶＬＡＮを別途設ける必要はなく、初期設定や運用のためのコストの増加が発生しないという点である。このように、本実施形態によれば、コストの大幅な増加を招くことなく、セキュリティポリシを満たす端末のみが社内ネットワークに接続されるようにすることを実現することができる。なお、上記実施形態では、セキュリティポリシによる保護の対象の社内ネットワークが無線ネットワークシステム１と有線ＬＡＮとにより構成されている場合について説明したが、社内ネットワークが無線ネットワークシステム１のみで構成されていても勿論良い。

（Ｃ：変形）
以上本発明の実施形態について説明したが、この実施形態を以下のように変形しても勿論良い。
（１）上記実施形態では、無線ネットワークシステム１が敷設された社屋に無線端末６０が入ったことを契機として当該無線端末６０がセキュリティポリシを満たすか否かを判定し、セキュリティポリシを満たす場合に無線アクセスポイント装置１０に接続する際に必要となる接続情報をインターネット２およびモバイル網３経由で端末管理装置５０から無線端末６０に与えた。しかし、無線端末６０が上記社屋内に入る前に（換言すれば、無線アクセスポイント装置１０により無線端末６０が検知される前に）、無線端末６０に接続情報を与えても良い。ただし、この場合は、無線端末６０が予め定められたセキュリティポリシを満たすこと、およびその状態が継続していることを確認するために、インターネット２およびモバイル網３経由で無線端末６０と端末管理装置５０の通信を頻繁に行う必要があり、無線端末６０のバッテリの消費が大きくなるという欠点がある。したがって、上記実施形態のように無線ネットワーク１が敷設された社屋に無線端末６０が入ったことを契機として当該無線端末６０がセキュリティポリシを満たすか否かを判定するようにすることが好ましい。

（２）上記実施形態では、無線ネットワークシステム１が敷設された社屋に無線端末６０が入ったことを検知するセンサの役割を、無線ネットワークシステム１に無線端末を収容するための無線アクセスポイント装置１０に兼ねさせた。しかし、上記実施形態に比較して余分な設備投資が必要となるという欠点はあるものの、無線ネットワークシステム１の敷設された社屋に無線端末６０が入ったことを検知するセンサを無線アクセスポイント装置１０とは別個に設けても勿論良い。

（３）上記実施形態では、ＡＰコントローラ３０と端末管理装置５０とを各々別個の装置として無線ネットワークシステム１を構成したが、両者を一体の装置として通信システムを構成しても勿論良い。この場合、ＡＰコントローラ３０と端末管理装置５０の両者の機能を兼ね備えた装置が無線アクセスポイント装置１０に対する上位装置となる。また、上記実施形態では、事前に利用申請の為された無線端末であるか否かの判定を無線アクセスポイント装置に実行させたが、ＡＰコントローラ３０に当該判定を行わせ、無線アクセスポイント装置には受信したプローブリクエストの電波強度が所定の閾値を上回っているか否かの判定のみを行わせるようにしても良い。

また、上記実施形態では、無線アクセスポイント装置１０に、無線端末から受信したプローブリクエストの電波強度が所定の閾値を上回っており、かつ当該無線端末のＭＡＣアドレス（すなわち、当該無線端末の端末識別子が予め登録されたものである場合に当該ＭＡＣアドレスを上位装置へ通知する端末通知処理と、ＭＡＣアドレスフィルタを上記装置からの指示に応じて更新する処理を実行させた。しかし、これら各処理をスイッチングハブ２０やルータ４０に実行させても良い。例えば、ルータ４０にこれら各処理を実行させる場合には、無線端末から送信されたリクエストメッセージ（例えば、相手装置に対して通信コネクションの確立を要求するＳＹＮメッセージ）を受信したことを契機としてそのリクエストメッセージの電波強度を無線アクセスポイント装置から取得し、その電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子（例えば、リクエストメッセージの送信元のＩＰアドレス）が予め登録されたものである場合に当該端末識別子を上位装置（端末管理装置５０）へ通知する処理を実行する端末通知手段と、自装置を介して通信する無線端末を制限するためのフィルタ（例えば、ＩＰアドレスに関するフィルタ）を当該上位装置から指示に応じて更新する処理を実行する更新手段とをルータ４０に設ければ良い。また、ルータ４０は無線アクセスポイント装置の機能を兼ね備えた無線ルータであっても良く、スイッチングハブ２０についても無線アクセスポイント装置の機能を兼ね備えた無線スイッチングハブであっても良い。要は、無線端末とその通信相手との間の通信を中継する無線中継装置（無線アクセスポイント装置、無線スイッチングハブ、無線ルータなど）に、無線端末から受信したリクエストメッセージの電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子が予め登録されたものである場合に当該端末識別子を上位装置へ通知する端末通知手段と、自装置を介して通信する無線端末を制限するためのフィルタを前記上位装置から指示に応じて更新する更新手段とを設ける態様であれば良い。

（４）上記実施形態では、本発明の端末管理装置特有の機能を端末管理装置５０に実現させるプログラムが端末管理装置５０の不揮発性記憶部５３４に予め記憶されていた。しかし、ＣＤ−ＲＯＭなどのコンピュータ読み取り可能な記録媒体に当該プログラムを書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより当該プログラムを配布しても良い。このようにして配布されるプログラムにしたがって一般的なコンピュータを作動させることで当該コンピュータを上記実施形態の端末管理装置として機能させることが可能になるからである。無線アクセスポイント装置１０の不揮発性記憶部１３４に記憶されている無線通信プログラムについても同様である。

１…無線ネットワークシステム、２…インターネット、３…モバイル網、１０−ｎ（ｎ＝１〜Ｎ），１０…無線アクセスポイント装置、２０…スイッチングハブ、３０…ＡＰコントローラ、４０…ルータ、５０…端末管理装置、６０…無線端末、１１０，５１０…制御部、１２０…無線通信Ｉ／Ｆ部、５２０…通信Ｉ／Ｆ部、１３０，５３０…記憶部、１３２，５３２…揮発性記憶部、１３４，５３４…不揮発性記憶部、５４０…バス。

Claims (8)

1. 無線中継装置と端末管理装置とを含む無線ネットワークシステムにおいて、
   前記端末管理装置は、
   当該無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定する判定手段と、
   前記セキュリティポリシを満たしていると前記判定手段により判定された無線端末へ前記無線中継装置に接続するための接続情報を送信して記憶させる一方、前記無線中継装置には当該無線端末のＭＡＣアドレスを送信し当該無線端末の接続を許可するようにＭＡＣアドレスフィルタを更新させる接続情報送信手段と、を有する
   ことを特徴とする無線ネットワークシステム。
2. 前記無線ネットワークシステムのサービスエリア内に無線端末が入ったことを検知する検知装置を有し、
   前記端末管理装置は、
   前記無線ネットワークシステムのサービスエリア内に入ったことが前記検知装置により検知された無線端末を対象として前記判定手段による判定を行う
   ことを特徴とする請求項１に記載の無線ネットワークシステム。
3. 前記無線中継装置が前記検知装置として機能することを特徴とする請求項２に記載の無線ネットワークシステム。
4. 前記端末管理装置は、
   前記接続情報の送信先の無線端末から当該無線端末の状態を示す状態情報を定期的に取得し、前記セキュリティポリシを満たさなくなった場合には、前記接続情報を無線端末から削除し、当該無線端末を接続対象から除外するように前記無線中継装置にＭＡＣアドレスフィルタを更新させることを特徴とする請求項１〜３の何れか１項に記載の無線ネットワークシステム。
5. 前記端末管理装置は、
   前記接続情報の送信先の無線端末と前記無線中継装置の接続が切断され、かつ他の無線中継装置にハンドオーバしていない場合には、当該無線端末から前記接続情報を削除することを特徴とする請求項１〜４の何れか１項に記載の無線ネットワークシステム。
6. 無線中継装置を含む無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定する判定手段と、
   前記セキュリティポリシを満たしていると前記判定手段により判定された無線端末へ前記無線中継装置に接続するための接続情報を送信して記憶させる一方、前記無線中継装置には当該無線端末のＭＡＣアドレスを送信し当該無線端末の接続を許可するようにＭＡＣアドレスフィルタを更新させる接続情報送信手段と
   を有することを特徴とする端末管理装置。
7. 無線端末から受信したリクエストメッセージの電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子が予め登録されたものである場合に当該端末識別子を上位装置へ通知する端末通知手段と、
   自装置を介して通信する無線端末を制限するためのフィルタを前記上位装置から指示に応じて更新する更新手段と、
   を有することを特徴とする無線中継装置。
8. 前記リクエストメッセージはプローブリクエストであり、前記端末識別子はＭＡＣアドレスであり、前記フィルタはＭＡＣアドレスフィルタであることを特徴とする請求項７に記載の無線中継装置。

Images