JP6664232B2 - 無線ｌａｎアクセスシステム、ルータ装置およびアクセス制御方法 - Google Patents

Description

本発明は、無線ＬＡＮ（Local Area Network）アクセスシステムに関し、特に、不特定多数の加入者の端末に通信アクセスを提供するための技術に関する。

無線ＬＡＮアクセスポイント（以下、単に「アクセスポイント」という）を加入者端末収容装置として用い、不特定多数の加入者（公衆）に通信アクセス（無線ＬＡＮアクセス）を提供する公衆無線ＬＡＮアクセスシステムが知られている。

一般に、公衆無線ＬＡＮアクセスシステムでは、無線ＬＡＮアクセスを要求する端末が加入者のものでどうかの認証を行うために、アクセスポイントが、端末の識別情報（例えばＭＡＣアドレス）を用いて、端末に対する接続許可判定を行う。すでに認証済みの端末に対しては、アクセスポイントは外部網に接続可能なＩＰアドレスを払い出し、外部網へのアクセスを提供する。

一方、未認証の端末に対しては、アクセスポイントは認証サーバにアクセスするためのダミーのＩＰアドレスを払い出すことで、当該端末を認証サーバへリダイレクトする。認証サーバは、リダイレクトされた端末にＩＤおよびパスワードの送信を要求する。認証サーバがＩＤとパスワードを認証して接続を許可した端末は、認証済みの端末としてアクセスポイントに認識される。アクセスポイントは、当該端末に払い出したダミーのＩＰアドレスを解放し、新たに外部網に接続可能なＩＰアドレスを払い出して、当該端末に外部網へのアクセスを提供する（例えば下記の特許文献１）。

また近年では、携帯電話トラフィックの増大に伴い、無線ＬＡＮアクセスシステムを地理的に広範囲なエリアに展開し、携帯電話トラフィックを無線ＬＡＮにシームレスにオフロードすることも求められている。例えば公衆無線ＬＡＮ規格のPasspoint（商標）では、携帯電話が無線ＬＡＮアクセスの提供エリアに入ると、自動的にＥＡＰ−ＳＩＭや、ＥＡＰ−ＡＫＡなどを用いたＩＥＥＥ８０２．１ｘの認証が行われ、携帯電話トラフィックを無線ＬＡＮにオフロードすることができる（例えば特許文献２）。

特開２０１５−１５６６３９号公報 特開２０１５−５３５８２号公報 特開２０１５−２３３０３号公報

携帯電話トラフィックを無線ＬＡＮにオフロードするシステムでは、広範囲の地域に多数のアクセスポイントを設置して、無線ＬＡＮアクセスの提供エリアを拡げることが重要となる。無線ＬＡＮアクセスの提供エリアで携帯電話（端末）から無線ＬＡＮにオフロードされたトラフィックは、最終的に光回線などの広帯域回線を用いて通信されることとなるが、広範囲なエリアに多数設置されたアクセスポイントの全てに広帯域回線を用意するのは不経済である。

一方、近接する複数のアクセスポイントを集線装置（例えばレイヤ２スイッチ（Ｌ２スイッチ））で束ね、さらに複数の集線装置を、大容量広帯域回線を持つ１つの広帯域回線終端装置（例えばルータ）に集約すると、広帯域回線の施設費用および広帯域回線終端装置の設置費用を節約できる。なお、集線装置はさらに上位の集線装置に束ねられることもあり、その場合には、最上位の集線装置が広帯域回線終端装置に接続される。

また、特許文献１，２では、アクセスポイントが端末の認証を行っているが、端末の認証を、広帯域回線の先に存在する例えばＩＳＰ（インターネットサービスプロバイダ）側で行い、アクセスポイント、集線装置および広帯域回線終端装置を端末からのイーサフレームをＩＳＰ側に伝送する“土管（dumb pipe）”として扱う方式も考えられる。

この方式を用いたシステムでは、端末からアクセスポイントへ送信されたイーサフレームは、例えばＶＬＡＮ（Virtual LAN）タグが付与されてアクセスポイントのＷＡＮ（Wide Area Network）側に送出される。イーサフレームにＶＬＡＮタグを付与するのは、端末からのトラフィックを収容する主信号用通信路と、その他の管理用通信路（例えばアクセスポイントと広帯域回線終端装置間の管理用のトラフィック用のもの）を分離するためである。

各アクセスポイントから送出されたイーサフレームは、ＶＬＡＮタグが付与されたイーサフレームのまま広帯域回線終端装置に到達する。しかし、広帯域回線終端装置（ルータ）はイーサフレームをそのまま転送することができない。そのため、広帯域回線終端装置は、イーサフレームを、Ｌ２ＴＰｖ３（Layer 2 Tunneling Protocol version 3）やＧＲＥ（Generic Routing Encapsulation）のようなトンネリングプロトコルを用いて、Ethernet over L2TPv3/GRE over IPの形で、ＩＳＰ側へ転送する。ＩＳＰ側では、イーサフレームの送信元である端末のＭＡＣアドレスから、当該端末が認証済みか否かを識別し、未認証の端末は認証サーバにアクセスさせて認証処理が行われる。

ところで、公衆無線ＬＡＮアクセスシステムでは、不特定多数の端末により、同一のアクセスポイント、同一のイーサネット（「イーサネット」および「Ethernet」は登録商標）、同一のＩＳＰが共有されることになる。そして、端末からのトラフィックは、見かけ上同一の仮想イーサネット回線（ＶＬＡＮ、Ｌ２ＴＰｖ３、Ethernet over GREなどで構成された回線）に相乗りすることになる。逆に言えば、公衆無線ＬＡＮアクセスシステムがアクセスを提供する対象は、不特定多数の端末となる。そのため、公衆無線ＬＡＮアクセスシステムでは、端末間のセキュリティを確保することが重要である。

上記のような公衆無線ＬＡＮアクセスシステムでセキュリティを確保するためには、端末同士の通信は遮断し、且つ、端末とＩＳＰ間の通信は通過させるアクセス制御が必要となる。このアクセス制御を行うためには、（ａ）同一のアクセスポイントに属する端末間の通信を遮断し、さらに、（ｂ）異なるアクセスポイントに属するが同一の広帯域回線終端装置に属する端末間の通信を遮断する、という端末間通信の遮断動作が必要となる。

遮断動作（ａ）は、各アクセスポイント内での端末間の「折り返し通信」を遮断することで実現できる。また、一般的なアクセスポイントは、折り返し通信の遮断機能を有している。

同様に、遮断動作（ｂ）は、広帯域回線終端装置に属する端末間の折り返し通信を遮断することで実現できる。しかし、集線装置として一般的な製品を用いたシステムでは、そのような動作を実現できない場合がある。

例えば、集線装置として物理ハブを用いた場合、動作原理的にブロードキャスト動作しかできないため、特定のポートの遮断動作は不可能である。また、集線装置としてＬ２スイッチを用いる場合でも、一般的なＬ２スイッチは、折り返し通信の遮断機能を持たないものが多い。一般的なＬ２スイッチは信頼できる端末のみを収容することを想定しており、不特定多数の端末を収容することを想定していないためである。もちろん、折り返し通信の遮断機能を持つＬ２スイッチも存在するが、それを採用するとコスト上昇の問題が生じる。なお、広帯域回線終端装置として、ルータ機能とＬＡＮ側ブリッジ機能とを一体化したブリッジ＋ルータ型の製品もあるが、そのＬＡＮ側ブリッジのＬ２スイッチＬＳＩも、折り返し通信の遮断機能を持たないものが多い。

本発明は以上のような課題を解決するためになされたものであり、折り返し通信の遮断機能を持たない集線装置を使用しながら、同一の広帯域回線終端装置に属する端末間の通信を遮断可能な無線ＬＡＮアクセスシステムを提供することを目的とする。

本発明に係る無線ＬＡＮアクセスシステムは、端末に無線ＬＡＮアクセスを提供する端末収容装置と、１つまたは複数の前記端末収容装置が接続された集線装置と、前記集線装置に接続した広帯域回線終端装置と、を備え、前記端末収容装置は、当該端末収容装置に属する端末間の通信を遮断し、前記端末収容装置は、当該端末収容装置に属する端末間の通信を遮断し、前記広帯域回線終端装置は、前記集線装置に接続された前記端末収容装置と前記広帯域回線終端装置との間の通信路として、ポイント・ツー・ポイントの通信が行われる仮想専用線を設定し、異なる前記仮想専用線間の通信を遮断することで、異なる端末収容装置に属する端末間の通信を遮断するものである。

本発明に係る無線ＬＡＮアクセスシステムでは、広帯域回線終端装置と端末収容装置（アクセスポイント）との間でポイント・ツー・ポイントの通信となる仮想専用線が設定されているため、折り返し通信の遮断動作をサポートしていない集線装置が使用されていても、異なる端末収容装置に属する端末間の通信を遮断することができる。同一の端末収容装置に属する端末間の通信の遮断は端末収容装置側で可能なため、当該システムによれば、同一の広帯域回線終端装置に属する端末間の通信を遮断することができる。

本発明の実施の形態１に係る公衆無線ＬＡＮアクセスシステムの構成図である。 本発明の実施の形態１に係る公衆無線ＬＡＮアクセスシステムにおける公衆無線ＬＡＮアクセス網の構成図である。 本発明の実施の形態２に係る公衆無線ＬＡＮアクセスシステムにおける公衆無線ＬＡＮアクセス網の構成図である。 従来の公衆無線ＬＡＮアクセス網の構成図である。

＜実施の形態１＞
図１は、実施の形態１に係る公衆無線ＬＡＮアクセスシステムの構成図である。当該公衆無線ＬＡＮアクセスシステムの公衆無線ＬＡＮアクセス網１００は、不特定多数の公衆無線ＬＡＮ端末１ａ〜１ｆ（以下、単に「端末」という）に無線ＬＡＮアクセスを提供する公衆無線ＬＡＮアクセス網１００と、公衆無線ＬＡＮアクセス網１００に広帯域回線である通信キャリア網２００を介して接続したＩＳＰ網３００とを含んでいる。

公衆無線ＬＡＮアクセス網１００は、端末１ａ〜１ｆを収容する端末収容装置である公衆無線ＬＡＮアクセスポイント１０，２０，３０（以下、単に「アクセスポイント」という）と、アクセスポイント１０，２０，３０を束ねる集線装置４０と、通信キャリア網２００に接続した広帯域回線終端装置５０とを含んでいる。図１には６つの端末と３つのアクセスポイントを示しているが、これらは任意の数でよい。

アクセスポイント１０，２０，３０は、有線ＬＡＮによって集線装置４０に接続されている。具体的には、アクセスポイント１０のＷＡＮ側ポート１１は集線装置４０のポート４１に接続され、アクセスポイント２０のＷＡＮ側ポート２１は集線装置４０のポート４２に接続され、アクセスポイント３０のＷＡＮ側ポート３１は集線装置４０のポート４３に接続されている。

集線装置４０は、有線ＬＡＮによって広帯域回線終端装置５０に接続されている。具体的には、集線装置４０のポート４４が広帯域回線終端装置５０のＬＡＮ側ポート５１に接続されている。また、広帯域回線終端装置５０のＷＡＮ側ポート５２は、通信キャリア網２００に接続されており、広帯域回線終端装置５０は、通信キャリア網２００を介して、ＩＳＰ網３００内の広帯域回線終端装置３０１に接続されている。

ＩＳＰ網３００は、上記の広帯域回線終端装置３０１と、広帯域回線終端装置３０１にルータ３０２を通して接続した認証サーバ３０３およびインターネット網３０４を含んでいる。

通信キャリア網２００は、通常、ＩＰ（インターネットプロトコル）パケットしか通さないので、Ethernet over IPとなる仮想専用線２１０を介して、公衆無線ＬＡＮアクセス網１００とＩＳＰ網３００間で双方向にイーサフレームを通す構成としている。仮想専用線２１０としては、Ｌ２ＴＰｖ３回線やEthernet over GRE回線を使用することができる。

アクセスポイント１０，２０，３０に接続した端末１ａ〜１ｆとＩＳＰ網３００内のルータ３０２との間は、イーサフレームによりＬａｙｅｒ２で通信可能である。また、ルータ３０２は、ＤＨＣＰサーバを内蔵しており、端末１ａ〜１ｆのそれぞれにＩＰアドレスを払い出すことができる。ＩＰアドレスを取得した端末１ａ〜１ｆは、ＩＰパケットによりＬａｙｅｒ３で通信可能となり、ルータ３０２を超えてインターネット網３０４にアクセスできる。

また、ルータ３０２は、端末１ａ〜１ｆの各々を一意に識別できる識別子（例えば、ＭＡＣアドレスなど）を認識でき、その識別子に基づいて、端末１ａ〜１ｆからのＩＰパケットの振り分けを行っている。すなわち、ルータ３０２は、未認証の端末からのＩＰパケットは認証サーバ３０３側へ振り分け、認証サーバ３０３に当該端末の認証処理を行わせる。また、認証済みの端末からのＩＰパケットは、インターネット網３０４側へ振り分け、当該端末にインターネット接続サービスを提供する。このルータ３０２の処理によって、ＩＳＰ網３００は、認証済みの端末１ａ〜１ｆに対してのみ、インターネット接続サービスを提供することになる。

図２は、公衆無線ＬＡＮアクセス網１００のより詳細な構成図である。図２に示すように、アクセスポイント１０は、ＳＳＩＤ（Service Set Identifier）を持つイーサネットインターフェイス１２と、ＷＡＮ側ポート１１上に設定されたＶＬＡＮインターフェイス１４と、その間を接続するブリッジ１３とから構成される。同様に、アクセスポイント２０は、イーサネットインターフェイス２２と、ＷＡＮ側ポート２１上に設定されたＶＬＡＮインターフェイス２４と、その間を接続するブリッジ２３とから構成される。アクセスポイント３０は、イーサネットインターフェイス３２と、ＷＡＮ側ポート３１上に設定されたＶＬＡＮインターフェイス３４と、その間を接続するブリッジ３３とから構成される。

集線装置４０は、各イーサネットポートと、Ｌ２スイッチ４５とから構成される。Ｌ２スイッチ４５は、特定のポートを遮断する機能を持つ必要はない。ここでは、集線装置４０を、Ｌ２スイッチを用いて構成した例を示しているが、本発明では集線装置４０が特定のポートを遮断する機能を持つ必要がないため、ブロードキャスト通信を行うブリッジやハブを用いて構成してもよい。

広帯域回線終端装置５０は、ＨＧＷ（ホームゲートウェイ）、ＯＮＵ（光回線終端装置）、ＡＤＳＬ（非対称デジタル加入者線）ルータなどとして用いられる。広帯域回線終端装置５０は、ＬＡＮ側ポート５１上に設定されたＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃと、Ethernet over IPの仮想専用線２１０上に設定されたＶＬＡＮインターフェイス５５と、ＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃの各々とブリッジ５４とを接続するブリッジ５４とから構成される。

ブリッジ５４は、アクセスポイント１０，２０，３０のＶＬＡＮインターフェイス１４，２４，３４からのパケットを、ＷＡＮ側にて１つのＶＬＡＮインターフェイス５５に集約する。またブリッジ５４は、ＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃの全てにイーサフレームをブロードキャスト送信するのではなく、各端末のＭＡＣアドレスを学習して、特定の端末が属するＶＬＡＮインターフェイスにのみイーサフレームを送信する機能（ＭＡＣ学習機能）を有している。また、広帯域回線終端装置５０は、通常のルータとは異なり、アクセスポイント１０，２０，３０からのパケットを、ＶＬＡＮインターフェイス５５から仮想専用線２１０を通してＩＳＰ網３００側にイーサフレームのまま送信することができる。それにより、端末とＩＳＰ網３００との間の通信への関与が最小限となる。

ここで、集線装置４０を通して行われる、アクセスポイント１０，２０，３０と広帯域回線終端装置５０との間の通信には、それぞれ異なる識別子を有する仮想専用線６１，６２，６３（ＶＬＡＮ回線）が用いられる。仮想専用線６１，６２，６３としては、ＶＬＡＮ回線、Ｌ２ＴＰｖ３回線またはEthernet over GRE回線など、イーサフレームを透過的に転送するイーサＶＰＮ（Virtual Private Network）回線を用いることができる。例えば、仮想専用線がＶＬＡＮ回線であればその識別子はＶＬＡＮ−ＩＤとなり、仮想専用線がＶＬＡＮ回線であればその識別子はＧＲＥ−ＩＤとなる。

仮想専用線６１，６２，６３がそれぞれ異なる識別子を有するため、仮想専用線６１，６２，６３のそれぞれでは、アクセスポイント１０，２０，３０のいずれかと広帯域回線終端装置５０とのポイント・ツー・ポイントの通信（１対１の通信）が行われる。つまり、アクセスポイント１０のＶＬＡＮインターフェイス１４と広帯域回線終端装置５０のＶＬＡＮインターフェイス５３ａとの間に構成される仮想専用線６１は、アクセスポイント１０と広帯域回線終端装置５０との通信にのみ用いられる。アクセスポイント２０のＶＬＡＮインターフェイス２４と広帯域回線終端装置５０のＶＬＡＮインターフェイス５３ｂとの間に構成される仮想専用線６２は、アクセスポイント２０と広帯域回線終端装置５０との通信にのみ用いられる。アクセスポイント３０のＶＬＡＮインターフェイス３４と広帯域回線終端装置５０のＶＬＡＮインターフェイス５３ｃとの間に構成される仮想専用線６３は、アクセスポイント３０と広帯域回線終端装置５０との通信にのみ用いられる。

これにより、集線装置４０がブロードキャスト通信を行う構成（広帯域回線終端装置５０側で信号の物理的な送り先とする端末収容装置を指定できない構成）であったり、集線装置４０がアクセスポイント１０，２０，３０間の折り返し通信を遮断しない構成であったりしても、アクセスポイント１０，２０，３０と広帯域回線終端装置５０との間で、ポイント・ツー・ポイントの通信が可能になる。つまり、アクセスポイント１０，２０，３０と広帯域回線終端装置５０との間の事実上の通信経路は、アクセスポイント１０と広帯域回線終端装置５０との間と、アクセスポイント２０と広帯域回線終端装置５０との間と、アクセスポイント３０と広帯域回線終端装置５０との間とに制限される。よって、例えばアクセスポイント１０と広帯域回線終端装置５０間で送受信されたＶＬＡＮタグ付きイーサフレームは、他のアクセスポイント２０，３０に受信されることはない。

また、広帯域回線終端装置５０において、ブリッジ５４は、ＬＡＮ側のＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃとＷＡＮ側のＶＬＡＮインターフェイス５５との間の通信のみを疎通し、ＬＡＮ側のＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃの間の通信は遮断する。つまり、ブリッジ５４は、ＶＬＡＮインターフェイス５３ａとＶＬＡＮインターフェイス５５との間の通信と、ＶＬＡＮインターフェイス５３ｂとＶＬＡＮインターフェイス５５との間の通信と、ＶＬＡＮインターフェイス５３ｃとＶＬＡＮインターフェイス５５との間の通信とは、疎通させる。しかし、ＶＬＡＮインターフェイス５３ａとＶＬＡＮインターフェイス５３ｂとの間、ＶＬＡＮインターフェイス５３ａとＶＬＡＮインターフェイス５３ｃとの間、および、ＶＬＡＮインターフェイス５３ｂとＶＬＡＮインターフェイス５３ｃとの間では通信が行われないようにする。

以上説明したように、実施の形態１に係る公衆無線ＬＡＮアクセスシステムにおいては、広帯域回線終端装置５０と複数のアクセスポイント１０，２０，３０との間に、それぞれに異なる識別子を有する仮想専用線６１，６２，６３が設定されている。また、広帯域回線終端装置５０においては、仮想専用線６１，６２，６３をそれぞれ構成する複数のＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃが設けられており、ブリッジ５４が、ＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃの間の通信を遮断している。よって、「異なるアクセスポイントに属するが同一の広帯域回線終端装置に属する端末間の通信を遮断する」という動作（上記の遮断動作（ｂ））を実現できる。また、「同一のアクセスポイントに属する端末間の通信を遮断する」という動作（上記の遮断動作（ａ））は、アクセスポイント１０〜３０が有する返し通信遮断機能によって実現される。従って、端末１ａ〜１ｆ間の通信を遮断して高いセキュリティを確保しつつ、端末１ａ〜１ｆのそれぞれに対し、ＩＳＰ網３００を通してのインターネット網３０４へのアクセスを提供することができる。また、集線装置４０が折り返し通信の遮断機能を持つ必要がないため、集線装置４０を一般的なＬ２スイッチまたはハブで構成することができ、コスト削減を図ることができる。

ここで、比較例として、従来の無線ＬＡＮアクセス網１０１の構成を図４に示す。従来の無線ＬＡＮアクセス網１０１の基本的な構成は図２と同じであるが、従来の無線ＬＡＮアクセス網１０１においては、広帯域回線終端装置５０が、ＬＡＮ側ポート５１上に１つのＶＬＡＮインターフェイス５３のみを有している。この場合、広帯域回線終端装置５０のＶＬＡＮインターフェイス５３とアクセスポイント１０のＶＬＡＮインターフェイス１４との間と、広帯域回線終端装置５０のＶＬＡＮインターフェイス５３とアクセスポイント２０のＶＬＡＮインターフェイス２４との間と、広帯域回線終端装置５０のＶＬＡＮインターフェイス５３とアクセスポイント３０のＶＬＡＮインターフェイス３４との間に、全て同じ識別子を有する仮想専用線６０が構成される。

そのため、従来の無線ＬＡＮアクセス網１０１では、集線装置４０のＬ２スイッチ４５がイーサフレームのブロードキャストあるいは折り返し通信をすると、例えばアクセスポイント１０と広帯域回線終端装置５０間で送受信されたＶＬＡＮタグ付きイーサフレームが、他のアクセスポイント２０，３０にも受信され、アクセスポイント２０，３０から不特定の端末に送信されることになる。このため、端末１ａ〜１ｆ間の通信を遮断できず、高いセキュリティを確保することができない。本発明では、このような問題が生じることを防止しているのである。

なお、図１では集線装置４０および広帯域回線終端装置５０を、互いに独立した装置として示したが、集線装置４０と広帯域回線終端装置５０とは一体的に構成されていてもよい。集線装置と広帯域回線終端装置とを一体的に構成して１つの筐体に収めた装置の具体例としては、小型ルータやゲートウェイ（ＧＷ）などがある。

また、ブリッジ５４は、ソフトウェアブリッジ（S/W Bridge）として構成してもよい。例えば、ブリッジ５４としてのソフトウェアブリッジをLinux OS（「Linux」は登録商標）上で実現する場合、「vconfig」コマンドによりＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃ，５４を構成し、「brctl」コマンドによりＶＬＡＮインターフェイス５３ａ，５３ｂ，５３ｃ，５４を収容するブリッジを構成し、「ebtables」コマンドにより各ブリッジポート間のアクセスを遮断すればよい。

ブリッジ５４を、ソフトウェアブリッジとして構成した場合、以下のような利便性が得られる。例えば、集線装置４０と広帯域回線終端装置５０とを一体化した小型ルータを、信頼できる端末のみがアクセスする一般的なアクセスポイントに接続させる場合、小型ルータの配下で折り返し通信が発生してもセキュリティ的な問題が発生しない。よって、小型ルータをそのような用途に用いる場合、図４に示した従来の無線ＬＡＮアクセス網１０１となる安価な小型ルータ（集線装置４０および広帯域回線終端装置５０）を用いることができる。

しかし、その後、上記の小型ルータを、不特定多数の端末がアクセスする公衆無線ＬＡＮ用のアクセスポイントに接続させることになると、端末同士の通信が遮断されなければセキュリティ的に問題がある。そこで、当該小型ルータが有する広帯域回線終端装置５０のブリッジ５４（ソフトウェアブリッジ）のソフトウェアを更新することによって、図２の公衆無線ＬＡＮアクセス網１００を実現できるようにする。それにより、小型ルータの配下での折り返し通信が遮断され、高いセキュリティを確保できる。このように、折り返し通信の遮断機能を持たない従来の小型ルータ（図４の集線装置４０および広帯域回線終端装置５０）から、その機能を持つ本発明の小型ルータ（図２の集線装置４０および広帯域回線終端装置５０）へのバージョンアップを、ハードウェアの交換なしに行うことができ、コストの増大を抑えることができる。

＜実施の形態２＞
実施の形態１では、アクセスポイント１０，２０，３０のそれぞれと広帯域回線終端装置５０との間の仮想専用線６１，６２，６３が、あらかじめ設定されているものとして説明した。実施の形態２では、公衆無線ＬＡＮアクセス網１００にアクセスポイントが新たに導入されると、広帯域回線終端装置５０が仮想専用線（ここではＶＬＡＮ回線とする）を自動的に設定するように構成する。

図３は、実施の形態２に係る公衆無線ＬＡＮアクセス網１００の構成図である。図３の公衆無線ＬＡＮアクセス網１００では、広帯域回線終端装置５０が、ＶＬＡＮなしのＬＡＮ側ポート５１上で動作するＤＨＣＰサーバ５６を有している。また、アクセスポイント１０，２０，３０は、それぞれＶＬＡＮなしのＷＡＮ側ポート１１，２１，３１上で動作するＤＨＣＰクライアント１５，２５，３５を有している。

ここで、公衆無線ＬＡＮアクセス網１００にはアクセスポイント３０が既に導入されており、アクセスポイント１０，２０を新たに導入するものと仮定して、実施の形態２の公衆無線ＬＡＮアクセス網１００の動作を説明する。

アクセスポイント１０のＷＡＮ側ポート１１が集線装置４０に接続されると、当該ポート１１が通信可能な状態になる（リンクアップ）。アクセスポイント１０は、ポート１１のリンクアップを検出すると、ＤＨＣＰクライアント１５を用いて、ポート１１のＩＰアドレスを取得するためのＤＨＣＰ要求メッセージ（DHCP_Req）を、広帯域回線終端装置５０のＤＨＣＰサーバ５６へと送信する。このとき、ＤＨＣＰクライアント１５は、仮想専用線の識別子（ＶＬＡＮ−ＩＤ、以下「ＶＩＤ」と表す）の取得を要求するＤＨＣＰオプション（オプションＩＤは任意）（以下「ＶＬＡＮ取得要求オプション」という）を、ＤＨＣＰ要求メッセージに含ませる。

広帯域回線終端装置５０のＤＨＣＰサーバ５６は、ＤＨＣＰクライアント１５から受信したＤＨＣＰ要求メッセージを精査し、ＶＬＡＮ取得要求オプションを検出する。また、ＤＨＣＰサーバ５６は、ＤＨＣＰクライアントを一意に識別できる識別子（ＤＨＣＰｖ４の場合はＭＡＣアドレス、ＤＨＣＰｖ６の場合ＤＵ−ＩＤなど）により、既に接続済みのアクセスポイント３０を認識しており、接続済みのアクセスポイント３０のポート３１の識別子ＶＩＤ（ＶＩＤ＝ｃ）と重複しない識別子ＶＩＤ（ＶＩＤ＝ａ）を、アクセスポイント１０のポート１１に割り当てる。そして、識別子ＶＩＤ（ＶＩＤ＝ａ）の情報が付与されたＶＬＡＮ取得要求オプションと、アクセスポイント１０のポート１１に払い出すＩＰアドレスとを含むＤＨＣＰ応答メッセージ（DHCP_Req）を、アクセスポイント１０のＤＨＣＰクライアント１５へ送信する。

広帯域回線終端装置５０のＤＨＣＰサーバ５６は、アクセスポイント１０のポート１１に識別子ＶＩＤ（ＶＩＤ＝ａ）を払い出すと、自動的に、広帯域回線終端装置５０のＬＡＮ側ポート５１上に、同じ識別子ＶＩＤ（ＶＩＤ＝ａ）を持つＶＬＡＮインターフェイス５３ａを構成する。一方、アクセスポイント１０のＤＨＣＰクライアント１５は、ＤＨＣＰ応答メッセージを受信すると、ＤＨＣＰ応答メッセージで割り当てられたＩＰアドレスをポート１１に設定する。また、当該ＤＨＣＰ応答メッセージのＶＬＡＮ取得要求オプションから識別子ＶＩＤ（ＶＩＤ＝ａ）を取得する。そして、取得した識別子ＶＩＤ（ＶＩＤ＝ａ）をＶＬＡＮインターフェイス１４に設定する。その結果、広帯域回線終端装置５０とアクセスポイント１０間に、仮想専用線６１が構成される。そして、ブリッジ１３を用いて、ＶＬＡＮインターフェイス１４をイーサネットインターフェイス１２に接続させる。

また、アクセスポイント２０のＷＡＮ側ポート２１が集線装置４０に接続されると、当該ポート２１がリンクアップされる。すると、アクセスポイント２０は、ＤＨＣＰクライアント２５を用いて、ポート２１のＩＰアドレスを取得するためのＤＨＣＰ要求メッセージ（DHCP_Req）を、広帯域回線終端装置５０のＤＨＣＰサーバ５６へと送信する。このとき、ＤＨＣＰクライアント２５は、仮想専用線の識別子ＶＩＤの取得を要求するＶＬＡＮ取得要求オプションを、ＤＨＣＰ要求メッセージに含ませる。

広帯域回線終端装置５０のＤＨＣＰサーバ５６は、ＤＨＣＰクライアント２５から受信したＤＨＣＰ要求メッセージを精査し、ＶＬＡＮ取得要求オプションを検出する。そして、ＤＨＣＰサーバ５６は、接続済みのアクセスポイント１０，３０のポート１１，３１の識別子ＶＩＤ（ＶＩＤ＝ａ、ＶＩＤ＝ｃ）と重複しない識別子ＶＩＤ（ＶＩＤ＝ｂ）を、アクセスポイント２０のポート２１に割り当てる。そして、識別子ＶＩＤ（ＶＩＤ＝ｂ）の情報が付与されたＶＬＡＮ取得要求オプションと、アクセスポイント２０のポート２１に払い出すＩＰアドレスとを含むＤＨＣＰ応答メッセージ（DHCP_Req）を、アクセスポイント２０のＤＨＣＰクライアント２５へ送信する。

広帯域回線終端装置５０のＤＨＣＰサーバ５６は、アクセスポイント２０のポート２１に識別子ＶＩＤ（ＶＩＤ＝ｂ）を払い出すと、自動的に、広帯域回線終端装置５０のＬＡＮ側ポート５１上に、同じ識別子ＶＩＤ（ＶＩＤ＝ｂ）を持つＶＬＡＮインターフェイス５３ｂを構成する。一方、アクセスポイント２０のＤＨＣＰクライアント２５は、ＤＨＣＰ応答メッセージを受信すると、割り当てられたＩＰアドレスをポート２１に設定するとともに、割り当てられた識別子ＶＩＤ（ＶＩＤ＝ｂ）をＶＬＡＮインターフェイス２４に設定する。その結果、広帯域回線終端装置５０とアクセスポイント２０間に、仮想専用線６１が自動的に構成される。そして、アクセスポイント２０は、ブリッジ２３を用いて、ＶＬＡＮインターフェイス２４をイーサネットインターフェイス２２に接続させる。

このように、実施の形態２の公衆無線ＬＡＮアクセス網１００においては、新たに導入したアクセスポイント１０，２０のそれぞれと広帯域回線終端装置５０との間に、固有の識別子ＶＩＤを持つ仮想専用線６１，６２が自動的に構成される。なお、アクセスポイント１０，２０，３０に割り当てられたＩＰアドレスを意図的に（ＤＨＣＰ解放メッセージなどを用いて）解放した場合や、ＤＨＣＰリース時間が満了してＩＰアドレスが解放された場合には、仮想専用線６１，６２，６３は自動的に解放される。

本実施の形態によれば、新たなアクセスポイントを集線装置４０に追加接続するだけで、当該アクセスポイントと広帯域回線終端装置５０との間に、固有の（他の仮想専用線の識別子とは重複しない）識別子ＶＩＤを持つ新たな仮想専用線を自動的に構成することができるので、各仮想専用線の識別子ＶＩＤの管理および設定の手間を省くことができる。

なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１００ 公衆無線ＬＡＮアクセス網、１ａ〜１ｆ 端末、１０，２０，３０ アクセスポイント、１２，２２，３２ イーサネットインターフェイス、１３，２３，３３ ブリッジ、１４，２４，３４ ＶＬＡＮインターフェイス、１５，２５，３５ ＤＨＣＰクライアント、４０ 集線装置、４５ Ｌ２スイッチ、５０ 広帯域回線終端装置、５３ａ，５３ｂ，５３ｃ，５５ ＶＬＡＮインターフェイス、５４ ブリッジ、５６ ＤＨＣＰサーバ、６１〜６３，２１０ 仮想専用線、２００ 通信キャリア網、３００ ＩＳＰ網、３０１ 広帯域回線終端装置、３０２ ルータ、３０３ 認証サーバ、３０４ インターネット網、１０１ 従来の無線ＬＡＮアクセス網。

Claims (21)

1. 端末に無線ＬＡＮアクセスを提供する端末収容装置と、
   １つまたは複数の前記端末収容装置が接続された集線装置と、
   前記集線装置に接続した広帯域回線終端装置と、
   を備え、
   前記端末収容装置は、当該端末収容装置に属する端末間の通信を遮断し、
   前記広帯域回線終端装置は、前記集線装置に接続された前記端末収容装置と前記広帯域回線終端装置との間の通信路として、ポイント・ツー・ポイントの通信が行われる仮想専用線を設定し、異なる前記仮想専用線間の通信を遮断することで、異なる端末収容装置に属する端末間の通信を遮断する
   ことを特徴とする無線ＬＡＮアクセスシステム。
2. 前記集線装置は、ブロードキャスト通信、あるいは、折り返し通信を行うものである
   請求項１に記載の無線ＬＡＮアクセスシステム。
3. 前記集線装置は、ブロードキャスト通信を行うレイヤ２スイッチ、ブリッジまたはハブである
   請求項２に記載の無線ＬＡＮアクセスシステム。
4. 前記広帯域回線終端装置が、ＨＧＷ（ホームゲートウェイ）、ＯＮＵ（光回線終端装置）またはＡＤＳＬルータとして用いられている
   請求項１から請求項３のいずれか一項に記載の無線ＬＡＮアクセスシステム。
5. 前記仮想専用線は、イーサフレームを透過的に転送するイーサＶＰＮ回線である
   請求項１から請求項４のいずれか一項に記載の無線ＬＡＮアクセスシステム。
6. 前記仮想専用線は、ＶＬＡＮ回線、Ｌ２ＴＰｖ３回線またはEthernet over GRE回線である
   請求項５に記載の無線ＬＡＮアクセスシステム。
7. 前記広帯域回線終端装置は、前記集線装置に新たな端末収容装置が接続されると、前記新たな端末収容装置に仮想専用線の識別子を自動的に付与することで、前記新たな端末収容装置との間の仮想専用線を自動的に設定する
   請求項１から請求項６のいずれか一項に記載の無線ＬＡＮアクセスシステム。
8. 前記広帯域回線終端装置は、前記新たな端末収容装置に付与する仮想専用線の識別子を、既に接続済みの端末収容装置に付与した仮想専用線の識別子とは異なるものにする
   請求項７に記載の無線ＬＡＮアクセスシステム。
9. 前記広帯域回線終端装置は、前記新たな端末収容装置に情報を送信するＤＨＣＰサーバを備え、前記仮想専用線の識別子を、ＤＨＣＰオプションを用いて前記新たな端末収容装置へ付与する
   請求項７または請求項８に記載の無線ＬＡＮアクセスシステム。
10. 端末に無線ＬＡＮアクセスを提供する複数の端末収容装置を接続可能な集線装置と、
    前記集線装置に接続した広帯域回線終端装置と、
    を備え、
    前記端末収容装置は、当該端末収容装置に属する端末間の通信を遮断し、
    前記広帯域回線終端装置は、前記集線装置に接続された前記端末収容装置との間の通信路として、ポイント・ツー・ポイントの通信が行われる仮想専用線を設定し、異なる前記仮想専用線間の通信を遮断することで、異なる端末収容装置に属する端末間の通信を遮断する
    ことを特徴とするルータ装置。
11. 前記集線装置は、ブロードキャスト通信、あるいは、折り返し通信を行うものである
    請求項１０に記載のルータ装置。
12. 前記集線装置は、ブロードキャスト通信を行うレイヤ２スイッチ、ブリッジまたはハブである
    請求項１１に記載のルータ装置。
13. 前記広帯域回線終端装置が、ＨＧＷ（ホームゲートウェイ）、ＯＮＵ（光回線終端装置）またはＡＤＳＬルータとして用いられている
    請求項１０から請求項１２のいずれか一項に記載のルータ装置。
14. 前記仮想専用線は、イーサフレームを透過的に転送するイーサＶＰＮ回線である
    請求項１０から請求項１３のいずれか一項に記載のルータ装置。
15. 前記仮想専用線は、ＶＬＡＮ回線、Ｌ２ＴＰｖ３回線またはEthernet over GRE回線である
    請求項１４に記載のルータ装置。
16. 前記広帯域回線終端装置は、前記集線装置に新たな端末収容装置が接続されると、前記新たな端末収容装置に仮想専用線の識別子を自動的に付与することで、前記新たな端末収容装置との間の仮想専用線を自動的に設定する
    請求項１０から請求項１５のいずれか一項に記載のルータ装置。
17. 前記広帯域回線終端装置は、前記新たな端末収容装置に付与する仮想専用線の識別子を、既に接続済みの端末収容装置に付与した仮想専用線の識別子とは異なるものにする
    請求項１６に記載のルータ装置。
18. 前記広帯域回線終端装置は、前記新たな端末収容装置に情報を送信するＤＨＣＰサーバを備え、前記仮想専用線の識別子を、ＤＨＣＰオプションを用いて前記新たな端末収容装置へ付与する
    請求項１６または請求項１７に記載のルータ装置。
19. 端末に無線ＬＡＮアクセスを提供する端末収容装置と、
    １つまたは複数の前記端末収容装置が接続された集線装置と、
    前記集線装置に接続した広帯域回線終端装置と、
    を含む無線ＬＡＮアクセスシステムにおけるアクセス制御方法であって、
    前記広帯域回線終端装置が、前記集線装置に接続された前記端末収容装置との間の通信路として、ポイント・ツー・ポイントの通信が行われる仮想専用線を設定し、
    前記端末収容装置が、当該端末収容装置に属する端末間の通信を遮断し、
    前記広帯域回線終端装置が、異なる前記仮想専用線間の通信を遮断することで、異なる端末収容装置に属する端末間の通信を遮断する
    ことを特徴とするアクセス制御方法。
20. 前記広帯域回線終端装置は、前記集線装置に新たな端末収容装置が接続されると、前記新たな端末収容装置に仮想専用線の識別子を自動的に付与することで、前記新たな端末収容装置との間の仮想専用線を自動的に設定する
    請求項１９に記載のアクセス制御方法。
21. 前記広帯域回線終端装置は、前記新たな端末収容装置に付与する仮想専用線の識別子を、既に接続済みの端末収容装置に付与した仮想専用線の識別子とは異なるものにする
    請求項２０に記載のアクセス制御方法。

Images