JP6795160B2 - 無線基地局 - Google Patents

Description

本発明は、無線基地局に関する。

従来、無線通信端末（以降、通信端末とも呼ぶ）と、当該通信端末と無線通信リンク（以降、通信リンクとも呼ぶ）を介して通信する無線基地局（以降、無線アクセスポイントとも呼ぶ）とを用いた無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）が利用されている。通信端末は、無線ＬＡＮを介して、無線アクセスポイントに接続し、ネットワーク上の他の通信装置（Ｗｅｂサーバ、他の通信端末など）と通信することができる。

最近は、学校や病院などでも無線ＬＡＮが導入されて、当該無線ＬＡＮを利用できる通信端末をセキュリティ面から制限することが求められている。例えば、部外者が不正に入手した認証情報（暗号鍵など）を利用してネットワークに接続することを防止しなければならない。

ところで、無線ＬＡＮにおいて、セキュリティ対策の１つとして、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスに基づくフィルタリングによる不正アクセス防止システム（ＭＡＣアドレスフィルタリング）が知られおり、ＭＡＣアドレスフィルタリングを備えた無線アクセスポイントが増えてきている。

ここで、特許文献１には、不正アクセスを防止するために、クライアント側装置のＭＡＣアドレスがサーバ側装置に認証登録され、当該認証登録されたＭＡＣアドレスを有するクライアント装置との接続だけを許可することで、不正な相手からの接続を防止する情報処理装置が開示されている。

また、特許文献２には、認証サーバのなりすましを防止し特定の機器にのみネットワークへの接続を許可する、認証サーバと、アクセスポイントと、照合サーバとを含む機器認証システムが開示されている。

特開２００６−１２０１５１号公報 特開２０１５−１７０２２０号公報

しかしながら、特許文献１の情報処理装置では、ユーザがクライアント側装置の登録ボタンを押下して、サーバ側装置の確認ボタンを押下する。このようにして認証登録情報を個別に記憶させる必要があり、ユーザの利便性を損なうという問題がある。

特許文献２の機器認証システムでは、システム構成が複雑であることに加え、次の問題を抱えている。例えば、本来接続許可がなされるべき通信端末が認証サーバに接続要求をした場合、ユーザが認知しない認証サーバに登録漏れが生じていると、ユーザの利用する通信端末は認証されず、ユーザは接続できない原因を知ることができないという問題がある。

また、ＭＡＣアドレスフィルタリングを備えた無線アクセスポイントのような専用装置では、ＰＣやサーバ装置のように内部に十分な記憶領域（メモリーなど）を備えていないことが多い。つまり、装置内に備えるＭＡＣアドレスフィルタリング用の記憶領域（メモリーなど）には限りがある。

本発明は、上記問題を解決するためになされたものであり、ネットワークへの不正アクセスを防止しつつ簡易なシステム構成により、ネットワークに接続することを許可されている通信端末を利用するユーザの利便性も向上させることを目的とする。

本発明の一態様における無線基地局は、認証サーバと通信ネットワークで接続される無線基地局であって、接続を拒否する通信端末の識別子のうちの少なくとも一部を、認証サーバから複製し格納する接続拒否テーブルと、任意の通信端末から接続要求を受けた際、当該通信端末の識別子が接続拒否テーブルに登録されているか否かの判定（第一の判定）を行う照合部と、通信端末の識別子が接続拒否テーブルに登録されていない場合にのみ、認証サーバに問い合せると共に、当該問い合せの結果に基づき、接続を許可するか否かの判定（第二の判定）を行う登録判定部と、を備える。

これによれば、無線基地局は、通信端末とＬＡＮ上の通信装置との間の通信を中継するときに、通信端末が予め当該通信を許可された通信端末であるか否かを当該通信前に判定し、通信端末のユーザに通信を許可されていないことを提示できる。

また、接続拒否テーブルは、第二の判定の結果、接続を許可しない通信端末の識別子を追加登録する。

これによれば、問合せの結果に基づき、接続を許可しない通信端末のＭＡＣアドレスを接続拒否テーブルに追加登録し、以後、当該通信端末からの接続を第一の判定結果のみで拒否する。

また、接続拒否テーブルは有限の容量の記憶領域に確保されており、接続拒否テーブルの使用領域が有限の容量を超えることなく登録の古い通信端末の識別子から削除される。

これによれば、無線基地局は、有限の記憶領域を有効利用することができる。

さらに、第二の判定の結果接続を許可しない通信端末からの通信を受信した場合、当該通信がＨＴＴＰ言語での記述である場合、当該通信端末に対して所定の画面を表示させる。

これによれば、所定の画面を表示する当該通信端末のユーザは、画面の内容をもとに必要な措置を講ずることができる。例えば、ユーザは、本来接続許可がなされるべき通信端末が接続要求をし、これを拒否された場合、認証サーバに登録漏れが生じている旨を無線基地局の管理者に通知できる。

本発明は、ネットワークへの不正アクセスを防止しつつ、ユーザの利便性も向上する。

図１は、実施の形態に係る無線基地局を含む通信システムの全体図である。 図２は、実施の形態に係る無線基地局のハードウェア構成を示すブロック図である。 図３は、実施の形態に係る無線基地局の機能ブロック図である。 図４は、実施の形態に係る無線基地局の動作フロー図である。 図５は、実施の形態に係る無線基地局を含む通信シーケンスの一例である。 図６は、実施の形態に係る無線基地局を含む通信シーケンスの他の一例である。

以下、実施の形態について、図面を参照しながら具体的に説明する。

以下で説明する実施の形態は、いずれも本発明の好ましい一具体例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、本発明の最上位概念を示す独立請求項に記載されていない構成要素については、より好ましい形態を構成する任意の構成要素として説明される。なお、同一の構成要素には同一の符号を付し、説明を省略する場合がある。

（実施の形態）
図１は、本実施の形態に係る無線基地局１を含む通信システム１００の全体図である。

図１に示されるように、通信システム１００は、無線基地局１、通信端末２、通信端末３、認証サーバ４、およびＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１０と、を備える。通信システム１００は、無線基地局１と認証サーバ４とがＬＡＮ１０で接続されており、通信端末２および３は、無線基地局１を介してＬＡＮ１０上の通信装置（例えば、認証サーバ４および図示しない通信装置など）と接続できる。

無線基地局１は、通信端末２および３と無線通信を行う無線基地局である。無線基地局１は、無線インタフェースを備えており、無線通信可能エリアに存在する通信端末２および３との間でそれぞれ通信リンクＷ１およびＷ２を確立し、無線通信を行う。

無線基地局１は、ＬＡＮ１０と接続されており、通信端末２および３から送信される無線通信に用いられる通信フレームの宛先に応じて、ＬＡＮ１０上の通信装置に当該通信フレームを転送する。また、無線基地局１は、ＬＡＮ１０上の通信装置から送信される無線通信に用いられる通信フレームの宛先に応じて、通信端末２および３に当該通信フレームを転送する。ただし本発明において、これらの転送は、ＬＡＮ１０上の通信装置との接続を許可されている通信端末との間でのみ行われる。その詳細な手順は後述する。

通信端末２は、無線インタフェースを有する通信端末である。本実施形態の説明では、通信端末２は、認証サーバ４が備える認証情報をもとに、無線基地局１を介してＬＡＮ１０上の機器と通信を行うことが許可された通信端末である。ここで、認証情報とは、個々の端末について無線基地局１を介してＬＡＮ１０上の通信装置と通信することを許可されているか否かが、その端末の識別子（例えばＭＡＣアドレスなど。以下、本実施形態の説明では、端末の識別子をＭＡＣアドレスとして説明する。）と紐づけられた情報である。認証情報は、例えば通信システム１００の管理者によって適宜更新される。

通信端末３は、通信端末２と同様に無線インタフェースを有する通信端末である。本実施形態の説明では、通信端末３は、認証サーバ４が備える認証情報をもとに、無線基地局１を介してＬＡＮ１０との通信を行うことを許可されていない通信端末である。つまり、通信端末３は、認証サーバ４が備える認証情報に接続不可として登録されている通信端末である。

認証サーバ４は認証情報を備え、通信端末２や３が無線基地局１を介してＬＡＮ１０上の通信装置との通信を許可された通信端末であるか否かについて無線基地局１から問合せを受けると、認証情報と接続要求してきた通信端末の通知とをもとに判定しその判定結果、すなわち、通信端末２および３が無線基地局１を介してＬＡＮ１０上の通信装置との通信を許可されている端末か否かの接続可否情報を無線基地局１に応答する。

ＬＡＮ１０は、無線基地局１と認証サーバ４とを接続させる通信ネットワーク（ローカルエリアネットワーク）である。実施の形態では、ＬＡＮ１０はＩＥＥＥ８０２．３規格などに適合する有線ＬＡＮとして説明するが、例えば、ＩＥＥＥ８０２．１１ａ、ｂ、ｇ、ｎ規格などに適合する無線ＬＡＮにより実現されてもよい。

このように構成された無線通信システム１００における無線基地局１のハードウェア構成及び機能構成について以下、図２および図３を参照し説明する。

図２は、本実施の形態に係る無線基地局１のハードウェア構成を示すブロック図である。

図２に示されるように、無線基地局１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２１と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２２と、記憶装置２３と、ＷＮＩＣ（Ｗｉｒｅｌｅｓｓ Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）２４と、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）２５と、および内部バス２６と、を備える。

ＣＰＵ２０は、ＲＯＭ２１又は記憶装置２３等に記憶された制御プログラムを実行するプロセッサである。

ＲＯＭ２１は、制御プログラム等を保持する読み出し専用の不揮発性の記憶領域である。

ＲＡＭ２２は、ＣＰＵ２０が制御プログラムを実行するときに使用するワークエリアとして用いられる揮発性の記憶領域である。

記憶装置２３は、制御プログラム、種々の設定情報などを保持する不揮発性の記憶領域である。

ＷＮＩＣ２４は、通信端末２および３との間で通信リンクを確立し、無線通信を行う無線通信インタフェースである。

ＮＩＣ２５は、認証サーバ４との間でＬＡＮ１０を経由して通信を確立し、有線通信を行う有線通信インタフェースである。

なお、無線基地局１は、必ずしもＮＩＣ２５を備えている必要はなく、他の無線通信インタフェースを備えることで、認証サーバ４と無線通信を行うことにしてもよい。

内部バス２６は、ＣＰＵ２０，ＲＯＭ２１、ＲＡＭ２２、記憶装置２３、ＷＮＩＣ２４、ＮＩＣ２５を電気的に接続し、信号のやりとりを行うバスである。

以下に本発明の実施の形態に係る無線基地局１が備える各機能について、図３を用いて説明する。

図３に示す無線基地局１は、第1通信部３１、第２通信部３２、接続拒否テーブル３３、照合部３４、登録判定部３５、通信制御部３６などを備えている。

第１通信部３１は、ＬＡＮ１０を経由して認証サーバ４およびＬＡＮ１０上の通信装置とデータ、制御コマンドなどを送受信する。第１通信部３１は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３、ＮＩＣ２５などにより実現される。

第２通信部３２は、通信端末２および３とデータ、制御コマンドなどを送受信する。第２通信部３２は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３、ＷＮＩＣ２４などにより実現される。

接続拒否テーブル３３は、通信端末が予めＬＡＮ１０上の通信装置と接続許可されていない通信端末の識別子（例えば、ＭＡＣアドレス）の情報が格納されている。この情報は、認証サーバ４に格納された情報のうち、接続を許可されていない端末の情報が全部または一部複製されたものである。無線基地局１の使用開始時において、情報は存在しないか、または管理者により事前複製されてもよい。いずれにせよ、後述するフローにより認証サーバ４から順次複製される。接続拒否テーブル３３のための記憶領域の容量が有限である場合は、登録されているＭＡＣアドレスを古いものから順に消去することとなる。この消去の方法は任意であり、例を挙げれば、○○日間以上格納されているものを消去対象とするなど、定期的に一定の基準に従って消去してもよいし、新規登録の際に割り当てられた記憶領域を使い切るときに、登録の古いものから順に消去してもよい。接続拒否テーブル３３は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３などにより実現される。

照合部３４は、通信制御部３６から接続要求があるとして通知を受けた通信端末のＭＡＣアドレスと接続拒否テーブル３３に登録されたＭＡＣアドレスとを比較照合し、判定を行う（第一の判定）。

ここで、照合の結果、（１）同じＭＡＣアドレスが登録されていると判定した場合は、当該ＭＡＣアドレスを送信元とするデータを破棄する旨を登録判定部３５に通知する。
（２）同じＭＡＣアドレスが登録されていないと判定した場合は、その旨を登録判定部３５に通知する。

照合部３４は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３などにより実現される。

登録判定部３５は、照合部３４の通知を受けて、以下の処理を行う。
（Ａ）照合部３４の（１）からの、通信端末のＭＡＣアドレスが登録されている旨の通知をもとに、記憶装置２３などに留保していたデータを破棄する旨を通信制御部３６に通知する。
（Ｂ）照合部３４の（２）からの、通信端末のＭＡＣアドレスが登録されていない通知をもとに接続要求に対する応答を通信端末に送信する旨を通信制御部３６に通知する。

また、登録判定部３５は、認証サーバ４において、通信端末２が予めＬＡＮ１０上の通信装置と接続許可されている通信端末か否かについて接続可否情報の通知を、通信制御部３６を経由して受ける。登録判定部３５は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３などにより実現される。

通信制御部３６は、通信端末から第２通信部３２を介しての無線通信のための接続要求を受信し、当該接続要求からＭＡＣアドレスを取得する。

通信制御部３６は、登録判定部３５の（Ａ）の通知をもとに記憶装置２３などに留保していたデータを破棄する。また、通信制御部３６は、登録判定部３５の（Ｂ）の通知をもとに第２通信部３２を介して、接続要求に対する応答を通信端末に送信し、同時に第1通信部３１を介してＬＡＮ１０上の認証サーバ４に、取得したＭＡＣアドレスを送信する。

通信制御部３６は、接続要求を行った通信端末が、ＬＡＮ１０上の通信装置との通信を許可されているか否かの接続可否情報を認証サーバ４から受信すると、登録判定部３５にその旨を通知する。

また、通信制御部３６は、登録判定部３５の（Ｂ）の通知をもとに、通信端末から受信したデータがＨＴＴＰプロトコルのデータか否かを判断する。
（Ｃ）ＨＴＴＰプロトコルのデータを受信した場合は、第２通信部３２を介して通信端末に特定のページを表示する旨（例えば、管理者に連絡する旨を要求するページ）を通知する。
（Ｄ）ＨＴＴＰプロトコルのデータを受信していない場合は、当該データを破棄する。

通信制御部３６は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３などにより実現される。

図４は、実施の形態に係る無線基地局が、通信端末から接続要求を受信してから通信端末から受信したデータ（通信フレーム）を処理するまでの動作フロー図である。なお、無線端末が無線基地局に接続している間は、図４の動作フローを繰り返す。

ステップＳ４０１にて、通信制御部３６は、第２通信部３２を介して通信端末から無線通信のための接続要求を受信する。

ステップＳ４０２にて、照合部３４は、通信制御部３６から通信端末のＭＡＣアドレスを取得し、接続拒否テーブル３３を参照して、当該ＭＡＣアドレスが登録されているか否かを判定する（第一の判定）。登録されている場合は、当該ＭＡＣアドレスを送信元するデータを破棄する旨を、登録判定部３５を経由して通信制御部３６に通知する（ステップＳ４０２のＹｅｓ）。登録されていない場合は、無線通信のための接続応答する旨を通信制御部３６に通知する（ステップＳ４０２のＮｏ）。

ステップＳ４０３にて、通信制御部３６は、第２通信部３２を介して通信端末に無線通信のための接続要求に対する応答を送信する。これにより、通信端末と無線基地局１は無線通信を行えるようになる。

ステップＳ４０４にて、通信制御部３６は、第１通信部３１を介して認証サーバ４に通信端末のＭＡＣアドレスを通知し、この通信端末がＬＡＮ１０上の通信装置との接続を許可されているか否かを問い合わせる。ここで、通信端末から無線基地局１を介してＬＡＮ１０上の通信装置に向けてデータ送信があった場合は、記憶装置２３に一時的に記憶しておいてもよい。

ステップＳ４０５にて、通信制御部３６は、ステップＳ４０４の問い合わせに対して認証サーバ４からの応答があるか否かを判断する。応答がある場合は、ステップＳ４０６に遷移する（ステップＳ４０５のＹｅｓ）。応答がない場合は、ステップＳ４０５を繰り返す（ステップＳ４０５のＮｏ）。

ステップＳ４０６にて、登録判定部３５は、通信制御部３６を経由した認証サーバ４からの応答通知を受けて、通信端末が予めＬＡＮ１０上の通信装置と接続許可されている通信端末か否かを判定する（第二の判定）。当該通知により接続許可されていると判定した場合は、ステップＳ４０８に遷移する（ステップＳ４０６のＹｅｓ）。当該通知により接続許可されていないと判定した場合は、ステップＳ４０７に遷移する（ステップＳ４０６のＮｏ）。

ステップＳ４０７にて、登録判定部３５は、通信端末がＬＡＮ１０上の通信装置と接続許可されていない通信端末であることを接続拒否テーブル３３に通知する。そして、接続拒否テーブル３３は、通信端末のＭＡＣアドレスを接続拒否すべき通信端末として追加登録する。

ステップＳ４０８にて、通信制御部３６は、通信端末から第２通信部３２を介して、ＬＡＮ１０上の通信装置宛のデータを受信する。

ステップＳ４０９にて、通信制御部３６は、通信端末のＭＡＣアドレスを照合部３４に通知する。そして、照合部３４は、接続拒否テーブル３３を参照して、当該ＭＡＣアドレスが登録されているか否かを判定する。登録されている場合は、ステップＳ４１１に遷移する（ステップＳ４０９のＹｅｓ）。登録されていない場合は、ステップＳ４１０に遷移する（ステップＳ４０９のＮｏ）。

ステップＳ４１０にて、通信端末から受信したデータをＬＡＮ１０上の通信装置宛に第２通信部３２を介して送信する。

ステップＳ４１１にて、通信制御部３６は、通信端末から受信したデータにＨＴＴＰプロトコル準拠のデータが含まれているか否かを判断する。含まれている場合は、ステップＳ４１３に遷移する（ステップＳ４１１のＹｅｓ）。含まれていない場合は、ステップＳ４１２に遷移する（ステップＳ４１１のＮｏ）。

ステップＳ４１２にて、通信制御部３６は、ステップＳ４１１で受信したデータを破棄する。

ステップＳ４１３にて、通信制御部３６は、第２通信部３２を介して通信端末に特定のページを表示する旨を通知する。

ここから、図５を参照しながら、通信端末２が無線基地局１に接続要求を開始してから認証サーバ４からの接続許可を受けて、通信端末２と無線基地局１を経由してＬＡＮ１０上の通信装置との間で通信が可能となるまでのシーケンスについて説明する。

ステップＳ５０１にて、通信端末２は、無線基地局１に向けて無線通信のために必要な接続要求を行う。通信端末２は、無線基地局１を介してＬＡＮ１０上の機器と通信を行うことが許可された端末である。なお、ここで行われる接続要求とは、例えば、通信端末２が無線基地局１から送信されるビーコン情報をもとに行う認証、アソシエーションなどである。

ステップＳ５０２にて、通信端末２がＬＡＮ１０上の通信装置との間の通信を許可された通信端末か否かの判定（第一の判定）を行う。この判定は、図４のステップＳ４０２のように無線基地局１の接続拒否テーブル３３に通信端末２のＭＡＣアドレスが登録されているか否かを照合部３４が判定する。

ステップＳ５０３にて、無線基地局１は、通信端末２からの接続要求に応答する。以後、無線基地局１は通信端末２との間で無線通信を行える状態になる。

続いて、ステップＳ５０４にて、ステップＳ５０２で無線基地局１の接続拒否テーブル３３に通信端末２のＭＡＣアドレスが登録されていない場合は、認証サーバ４に通信端末２のＭＡＣアドレスを通知し、通信端末２がＬＡＮ１０上の通信装置との間の通信を許可された通信端末であるか否かを問い合わせる。

ステップＳ５０５、Ｓ５０６にて、通信端末２は、ＬＡＮ１０上の通信装置宛に送信したいデータを無線基地局１に向けて送信し続けており、無線基地局１は通信端末２から受信したデータを記憶装置２３に一時的に記憶しており、一定期間が過ぎるとタイムスタンプが古いデータから破棄してもよい。このように、無線基地局１は、認証サーバ４から問い合わせの応答を受信するまでの間は、通信端末２から受信するデータをＬＡＮ１０上の通信装置宛に送信しない（期間Ｓ５１）。

ステップＳ５０７にて、無線基地局１は、認証サーバ４から通信端末２が予めＬＡＮ１０上の通信装置との間の通信を許可された通信端末である旨の応答を受信する。

ステップＳ５０８にて、無線基地局１は、以後、通信端末２から受信したデータを破棄することなく、データ送信先であるＬＡＮ１０上の通信装置に送信するように制御する。このように、無線基地局１は、認証サーバ４から通信端末２が予めＬＡＮ１０上の通信装置との間の通信を許可された通信端末である通信端末２から受信するデータを受信した場合は破棄することなく、通信端末２とＬＡＮ１０上の通信装置との間の通信を中継する。（期間Ｓ５２）。

ステップＳ５０９にて、無線基地局１は、通信端末２からＬＡＮ１０上の通信装置宛に送信したいデータを受信する。

ステップＳ５１０にて、無線基地局１はステップＳ５０９にて受信した通信端末２からのデータをＬＡＮ１０上の通信装置宛に送信する。

つぎに、図６を参照しながら、通信端末３が無線基地局１に接続要求を開始し、無線基地局１が、接続拒否テーブル３３に基づく判定の結果、または認証サーバ４からの接続不許可を受けたことにより、通信端末３とＬＡＮ１０上の通信装置との間で通信不可状態になるまでのシーケンスについて説明する。（通信端末３は、無線基地局１を介してＬＡＮ１０上の機器と通信を行うことが許可されていない通信端末である。）

ステップＳ６０１にて、通信端末３は、無線基地局１に向けて無線通信のために必要な接続要求を行う。

ステップＳ６０２にて、通信端末３が無線基地局１にＬＡＮ１０上の通信装置との間の通信を許可された通信端末か否かの判定（第一の判定）を行う。第一の判定は、図４のステップＳ４０２のように無線基地局１の接続拒否テーブル３３に通信端末３のＭＡＣアドレスが登録されているか否かを登録判定部３５が判定する。ここで、無線基地局１は、通信端末３が接続拒否テーブル３３に登録されていない場合は、ステップＳ６０３に進む。一方、通信端末３が接続拒否テーブル３３に登録されている場合は、通信端末３からのデータを以後、すべて破棄する。つまり、通信端末３とＬＡＮ１０上の通信装置との間で通信不可状態になる。

ステップＳ６０３にて、無線基地局１は、通信端末３からの接続要求に応答する。このようにして、無線基地局１は通信端末３との間で無線通信を行える状態になる。

続いて、ステップＳ６０４にて、ステップＳ６０２で接続拒否テーブル３３に通信端末３のＭＡＣアドレスが登録されていない場合、無線基地局１は、認証サーバ４に通信端末３のＭＡＣアドレスを通知し、通信端末３がＬＡＮ１０上の通信装置との間の通信を許可された通信端末であるか否かを認証サーバ４に問い合わせる。

ステップＳ６０５、Ｓ６０６にて、通信端末３は、ＬＡＮ１０上の通信装置宛に送信したいデータを無線基地局１に向けて送信し続けており、無線基地局１は通信端末３から受信したデータを記憶装置２３に一時的に記憶しており、一定期間が過ぎるとタイムスタンプが古いデータから破棄してもよい。このように、無線基地局１は、認証サーバ４から問い合わせの応答を受信するまでの間は、通信端末３から受信するデータをＬＡＮ１０上の通信装置宛に送信しない（期間Ｓ６１）。

ステップＳ６０７にて、無線基地局１は、認証サーバ４から通信端末３が予めＬＡＮ１０上の通信装置との間の通信を許可されていない通信端末である旨の応答を受信する。

ステップＳ６０８にて、無線基地局１は、期間６１を継続し通信端末３から受信したデータを破棄する。そして、無線基地局１は、ステップＳ６０７の通知をもとに、接続拒否テーブル３３に通信端末３のＭＡＣアドレスを登録する。

ステップＳ６０９にて、無線基地局１は、通信端末３からＬＡＮ１０上の通信装置宛に送信したいデータを受信する。そして、無線基地局１は、照合部３４が送信元の通信端末３のＭＡＣアドレスと接続拒否テーブル３３の情報を照合し、登録判定部３５が通信不許可と判定し、データを破棄する。以後、接続拒否テーブル３３に通信端末３のＭＡＣアドレスが登録されている限り、無線基地局１は通信端末３からＬＡＮ１０上の通信装置宛に送信したいデータを受信すれば、認証サーバ４に接続許可の有無をその都度問い合わせすることなく、データを破棄することができる。（状態Ｓ６２）

ただし、無線基地局１は、通信端末３からＨＴＴＰプロトコルのデータを受信した場合のみ、ステップＳ６１０にて、第２通信部３２を介して通信端末に特定のページを表示する旨の通知を通信端末３に返信する。そして、通信端末３のユーザは特定のページを閲覧することで、例えばシステムの管理者に通知するように促すことができる。このようにすれば、本来接続許可がなされるべき通信端末のユーザは、認証サーバに通信端末３の登録がされていないことを知ることができ、管理者に通知し通信端末３のＭＡＣアドレスを登録してもらうことで、通信端末３とＬＡＮ１０上の通信装置との間の通信が可能となる。

上述のように、無線基地局は、通信端末とＬＡＮ１０上の通信装置との間の通信を中継するときに、通信端末が予め当該通信を許可された通信端末であるか否かを当該通信前に判定し、通信端末のユーザに通信を許可されていないことを提示できる

また、無線基地局は、通信端末からの接続要求に対し、通信端末との無線通信を行う。そして、無線基地局は、自装置に備える接続拒否をすべき通信端末のアドレスが記憶された記憶領域（メモリーなど）に通信端末のＭＡＣアドレスが登録されていないときのみ、認証サーバ（認証サーバ４など）に問い合わせを行うことで、当該記憶領域が有限であっても、無線基地局を介して通信端末とＬＡＮ１０上の通信装置との間の通信可否を迅速かつ適切に処理できる。

本発明は、専用装置（例えば無線アクセスポイントなど）内に備える記憶領域（メモリーなど）が有限である場合でも、不正な端末からの接続を防止するシステムの構築に利用できる。

１ 無線基地局
２、３ 通信端末
４ 認証サーバ
１０ ＬＡＮ
１００ 無線通信システム
２０ ＣＰＵ
２１ ＲＯＭ
２２ ＲＡＭ
２３ 記憶装置
２４ ＷＮＩＣ
２５ ＮＩＣ
３１ 第１通信部
３２ 第２通信部
３３ 接続拒否テーブル
３４ 照合部
３５ 登録判定部
３６ 通信制御部

Claims (4)

1. 認証サーバと通信ネットワークで接続される無線基地局であって、
   接続を拒否する通信端末の識別子のうちの少なくとも一部を、前記認証サーバから複製し格納する接続拒否テーブルと、
   任意の通信端末から接続要求を受けた際、当該通信端末の識別子が前記接続拒否テーブルに登録されているか否かの判定（第一の判定）を行う照合部と、
   前記通信端末の識別子が前記接続拒否テーブルに登録されていない場合にのみ、前記認証サーバに問い合せると共に、当該問い合せの結果に基づき、接続を許可するか否かの判定（第二の判定）を行う登録判定部と、を備える、
   無線基地局。
2. 前記登録判定部は、前記接続拒否テーブルに、前記第二の判定の結果、接続を許可しない通信端末の識別子を追加登録する、
   請求項１記載の無線基地局。
3. 前記接続拒否テーブルは有限の容量の記憶領域に確保されており、前期接続拒否テーブルの使用領域が前記有限の容量を超えることなく登録の古い通信端末の識別子から削除される、
   請求項１または２記載の無線基地局。
4. 前記第二の判定の結果接続を許可しない通信端末からの通信を受信した場合、当該通信がＨＴＴＰ言語での記述である場合、当該通信端末に対して所定の画面を表示させる、
   請求項１〜３のいずれか１項に記載の無線基地局。