JP7276960B2

JP7276960B2 - 中継装置、中継方法及び中継プログラム

Info

Publication number: JP7276960B2
Application number: JP2020157150A
Authority: JP
Inventors: 真浩伊藤
Original assignee: NEC Platforms Ltd
Current assignee: NEC Platforms Ltd
Priority date: 2020-09-18
Filing date: 2020-09-18
Publication date: 2023-05-18
Anticipated expiration: 2040-09-18
Also published as: JP2022050946A

Description

本開示は中継装置、中継方法及び中継プログラム中継装置に関する。

近年、情報漏洩や情報セキュリティ確保の観点から、無線ＬＡＮ等のネットワークに外部アクセスを一定の条件により制限することが一般的である。そのため、ネットワークにアクセスするユーザを認証する必要がある。その認証方式は、パスワードや各端末固有のＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスを用いたＭＡＣフィルタによるものが挙げられる。特許文献１には、無線ＬＡＮアクセスポイントに接続する無線クライアント端末のＭＡＣアドレスが登録されているか否かにより接続を許可するか否かを判断する技術が開示されている。

特開２００３－３１８９３９号公報

ＭＡＣフィルタとは、あらかじめ無線ＬＡＮアクセスポイントに登録されたＭＡＣアドレスを有する無線端末のみを接続させるためのフィルタである。つまり、あらかじめ登録されたＭＡＣアドレス以外のＭＡＣアドレスを有する無線端末は、アクセスポイントに接続することができない。

しかし、近年のスマートフォンなどの無線端末においては、中継装置への接続時に使用するＭＡＣアドレスをランダムに変化させる技術が用いられることがある。この場合、ＭＡＣフィルタを用いた接続認証を行う中継装置に、ＭＡＣアドレスがランダム化された無線端末が接続されないという問題が生じることがある。

本開示はこのような問題点を解決するためになされたものであり、ＭＡＣアドレスがランダム化された通信端末に対しても接続させるか否かを判断することが可能である中継装置、中継方法及び中継プログラムを提供することを目的とする。

本開示にかかる中継装置は、通信ネットワークと通信端末との間の通信を中継する中継装置であって、前記通信端末から受信した接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応するか否かを判定する手段と、前記接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応しない場合に、一時接続判定用の接続処理を実行して、当該通信端末からホスト名を取得する手段と、取得したホスト名が登録されたホスト名に対応する場合に接続を許可する手段とを備えたものである。

本開示にかかる中継方法は、通信端末から受信した接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応するか否かを判定するステップと、前記接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応しない場合に、一時接続判定用の接続処理を実行して、当該通信端末からホスト名を取得するステップと、取得したホスト名が登録されたホスト名に対応する場合に接続を許可するステップとを備えたものである。

本開示にかかる中継プログラムは、通信端末から受信した接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応するか否かを判定する処理と、前記接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応しない場合に、一時接続判定用の接続処理を実行して、当該通信端末からホスト名を取得する処理と、取得したホスト名が登録されたホスト名に対応する場合に接続を許可する処理とを情報処理装置に実行させるものである。

本開示によれば、ＭＡＣアドレスがランダム化された通信端末に対しても接続させるか否かを判断することが可能である中継装置、中継方法及び中継プログラムを提供することができる。

本開示における実施の形態１にかかる中継装置の概略構成図である。本開示における実施の形態２にかかる無線アクセスポイントの概略構成図である。本開示における実施の形態２にかかる無線アクセスポイントによる接続判定処理における各構成の動作を示すフロー図である。本開示における実施の形態２にかかる通信端末のホスト名取得処理における各構成の動作を示すタイミングチャートを示す図である。本開示における実施の形態３にかかる無線アクセスポイントの概略構成図である。

以下、図面を参照しつつ、実施の形態について説明する。なお、図面は簡略的なものであるから、この図面の記載を根拠として実施の形態の技術的範囲を狭く解釈してはならない。また、同一の要素には、同一の符号を付し、重複する説明は省略する。

＜実施形態１＞
本実施形態について、図１を用いて説明する。図１は、本実施形態にかかる中継装置１の構成図である。

本実施形態における中継装置１は、通信ネットワーク２と通信端末３との間の通信を中継する。中継装置１は、通信端末３から受信した接続要求に含まれるＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスが登録されたＭＡＣアドレスに対応するか否かを判定する。ここで、接続要求をした通信端末３のＭＡＣアドレスと、登録されたＭＡＣアドレスとの対応関係は、完全一致でもよいし、部分一致でもよい。また、中継装置１は通信端末３からの接続要求に含まれるＭＡＣアドレスが、あらかじめ登録されたＭＡＣアドレスに対応する場合に接続を許可する。

中継装置１は通信端末３からの接続要求に含まれるＭＡＣアドレスが、あらかじめ登録されたＭＡＣアドレスに対応しない場合には、一時接続判定用の接続処理を実行して、通信端末３からホスト名を取得する。中継装置１は、取得した通信端末３のホスト名が登録されたホスト名に対応する場合に接続を許可する。ここで、一時接続判定用の接続処理は、ＳＳＩＤ（ＳｅｒｖｉｃｅＳｅｔＩｄｅｎｔｉｆｉｅｒ）を使用する手法を用いてもよい。また、接続要求をした通信端末３のホスト名と、登録されたホスト名との対応関係は、完全一致でもよいし、部分一致でもよい。

通信端末３は、ＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）、スマートフォンのような携帯用端末、通信機能を備える家電製品でもよいし、中継装置１を経由して通信ネットワーク２にアクセスする機能を有する装置であれば、いかなる装置でもよい。通信端末３は、中継装置１の通信エリアに入った場合、中継装置１に対して接続要求をしてもよい。

本実施形態により、ＭＡＣアドレスがランダム化された通信端末３に対しても接続させるか否かを判断することが可能な中継装置１を提供することができる。

＜実施形態２＞
本実施形態について、図２を用いて説明する。図２は、本実施形態にかかる無線アクセスポイント１０の概略構成図である。ここで、無線アクセスポイント１０は、実施形態１における中継装置１に相当する機能を備える。

無線アクセスポイント１０は、通常接続部１１及び帰属管理部１２を備える。また、無線アクセスポイント１０は、通信端末２０と相互に通信可能である。

通常接続部１１は、帰属管理部１２が無線アクセスポイント１０に接続を許可する判断をした通信端末２０を接続する。通常接続部１１と接続した通信端末２０は、無線アクセスポイント１０との通信ができる。

帰属管理部１２は、通信端末２０が無線アクセスポイント１０に接続要求をした場合に、通信端末２０のＭＡＣアドレスに基づいて通信端末２０を無線アクセスポイント１０に接続することを許可するか否かを判断する。帰属管理部１２は、無線アクセスポイント１０におけるＳＳＩＤ暗号化方式及び暗号キー等を含む通信ネットワーク接続に必要な設定情報を記憶する。さらに、帰属管理部１２は、接続を許可しない判断をした通信端末２０を一時的に接続させる帰属判定用ＳＳＩＤを備える。帰属管理部１２は、通信端末２０を無線アクセスポイント１０に接続することを許可する判断をした場合、通常接続部１１に接続させる。通信端末２０を無線アクセスポイント１０に接続することを許可するか否かを判断する手法は、後に詳しく説明する。

通信端末２０は、ＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）、スマートフォンのような携帯用端末、通信機能を備える家電製品でもよいし、無線アクセスポイント１０を経由して通信ネットワークにアクセスする機能を有する装置であれば、いかなる装置でもよい。通信端末２０は、無線アクセスポイント１０の通信エリアに入った場合、無線アクセスポイント１０に対して接続要求をする。通信端末２０は、無線アクセスポイント１０との接続を許可され、通常接続部１１と接続した場合、無線アクセスポイント１０との通信ができる。また、通信端末２０は、無線アクセスポイント１０との接続を許可されない場合は、帰属判定用ＳＳＩＤに接続する。

（本実施形態における接続判定処理の説明）
本実施形態における無線アクセスポイント１０における通信端末２０の接続判断にかかる動作を、図３を用いて説明する。図３は、本実施形態にかかる無線アクセスポイント１０による接続判定処理における各構成の動作を示すフロー図である。

通信端末２０が無線アクセスポイント１０に接続を要求すると、通信端末２０は帰属管理部１２に接続する（ステップ１００）。帰属管理部１２は、あらかじめ登録されているＭＡＣアドレスと、通信端末２０のＭＡＣアドレスが一致するかを判定する（ステップ１０１）。帰属管理部１２は、登録されているＭＡＣアドレスと通信端末２０のＭＡＣアドレスが一致すると（ステップ１０１のＹＥＳ）、通信端末２０を通常接続部１１に接続させる（ステップ１０２）。なお、登録されているＭＡＣアドレスと通信端末２０のＭＡＣアドレスが一致するか否かの判定は、完全一致としてもよいし部分一致としてもよい。

帰属管理部１２は、登録されているＭＡＣアドレスと通信端末２０のＭＡＣアドレスが一致しない場合（ステップ１０１のＮＯ）、通信端末２０を帰属判定用ＳＳＩＤに接続させる（ステップ１０３）。帰属管理部１２は、通信端末２０を帰属判定用ＳＳＩＤに接続させると、ＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）オプション等のプロトコルを利用して通信端末２０のホスト名を取得する（ステップ１０４）。帰属管理部１２は、取得した通信端末２０のホスト名が登録されたホスト名であるか否かを判定する（ステップ１０５）。帰属管理部１２は、通信端末２０のホスト名が登録されたホスト名であれば（ステップ１０５のＹＥＳ）、通信端末２０のＭＡＣアドレスを、接続を許可するＭＡＣアドレスとして登録し、通常接続部１１に接続させる（ステップ１０６）。なお、ＤＨＣＰオプション等のプロトコルを利用して通信端末２０のホスト名を取得するために、無線アクセスポイント１０と相互に通信可能なＤＨＣＰサーバ（不図示）を備えてもよい。また、無線アクセスポイント１０にＤＨＣＰの機能を内蔵してもよい。なお、登録されているホスト名と通信端末２０のホスト名が一致するか否かの判定は、完全一致としてもよいし部分一致としてもよい。

通信端末２０のホスト名が登録されたホスト名でなければ（ステップ１０５のＮＯ）、通信端末２０は帰属管理部１２と暗号化キーを用いた暗号化通信を行う（ステップ１０７）。帰属管理部１２は、暗号化キーを用いた暗号化通信の結果、無線アクセスポイント１０と通信端末２０の接続を許可する場合は（ステップ１０８のＹＥＳ）、通信端末２０を通常接続部１１に接続させる（ステップ１０９）。暗号化の規格としては、ＷＰＡ２やＷＰＡ３などがあるがこれらに限らず、様々な暗号化規格であってもよい。

通信端末２０は無線アクセスポイント１０との接続を許可されない場合（ステップ１０８のＮＯ）、帰属管理部１２との接続を切断される（ステップ１１０）。この結果、無線アクセスポイント１０は、通信端末２０を一定期間接続させないこととしてもよい。

ここで、通信端末２０のホスト名取得のフローについて、図４を用いて説明する。図４は、本実施形態にかかる通信端末２０のホスト名取得処理における各構成の動作を示すタイミングチャートである。

通信端末２０が無線アクセスポイント１０に接続を要求した結果、接続を許可されない場合、帰属判定用ＳＳＩＤに接続される（ステップ２００、２０１）。このとき、通信端末２０は、例えばＤＨＣＰプロトコルによりホスト名の取得を帰属管理部１２に要求した場合（ステップ２０２）、帰属管理部１２は、例えばＤＨＣＰＯｐｔｉｏｎ１２Ｈｏｓｔｎａｍｅ等のプロトコルを利用して通信端末２０のホスト名を取得する（ステップ２０３、２０４）。

帰属管理部１２は、接続を要求する通信端末２０のホスト名として取得したホスト名と、接続を許可する通信端末２０としてあらかじめ登録しているホスト名とを比較し、一致すれば通信端末２０を無線アクセスポイント１０に接続することを許可する（ステップ２０５）。帰属管理部１２は、無線アクセスポイント１０との接続を許可された通信端末２０を通常接続部１１に接続先を変更させる（ステップ２０６）。通信端末２０は、通常接続部１１と接続する（ステップ２０７）。

本実施形態によれば、接続を許可された通信端末２０のみ通信を行いつつ、ＭＡＣアドレスがランダム化された通信端末２０に対しても接続させるか否かを判断することが可能な無線アクセスポイント１０を提供することができる。

＜実施形態３＞
本実施形態について、図５を用いて説明する。図５は、本実施形態にかかる無線アクセスポイント１０の構成図である。

無線アクセスポイント１０は、通常接続部１１、帰属管理部１２及びパケット管理部１３を備える。また、無線アクセスポイント１０は、通信端末２０と相互に通信可能である。

実施形態２においては、帰属管理部１２は、接続を許可されなかった通信端末２０を帰属判定用ＳＳＩＤに接続させることにより、ホスト名及び暗号化キーを用いて無線アクセスポイント１０に接続させるか否かを判断した。これに対し、本実施形態では無線アクセスポイント１０への接続を許可されなかった通信端末２０を、パケット管理部１３に接続させることにより、ホスト名及び暗号化キーを用いて無線アクセスポイント１０に接続させるか否かを判断する。なお、通常接続部１１及び通信端末２０は実施形態２と同様であるから、その説明を省略する。

帰属管理部１２は通信端末２０を無線アクセスポイント１０への接続を許可しない判断をした場合、パケット管理部１３に通信端末２０からの通信を遮断させる。このとき、パケット管理部１３はホスト名取得や暗号化キーを用いた暗号化通信に関するパケットのみ通信端末２０との送受信を行うことを許可してもよい。

帰属管理部１２は、通信端末２０をパケット管理部１３に接続させると、ＤＨＣＰオプション等のプロトコルを利用して通信端末２０のホスト名を取得する。帰属管理部１２は、取得した通信端末２０のホスト名があらかじめ登録されたホスト名であるか否かを判定する。帰属管理部１２は、通信端末２０のホスト名が登録されたホスト名であれば、通信端末２０のＭＡＣアドレスを、接続を許可するＭＡＣアドレスとして登録し、通常接続部１１に接続させる。

通信端末２０のホスト名があらかじめ登録されたホスト名でなければ、通信端末２０は帰属管理部１２と暗号化キーを用いた暗号化通信を行う。帰属管理部１２は、暗号化キーを用いた暗号化通信の結果、無線アクセスポイント１０と通信端末２０の接続を許可する場合は、通信端末２０を通常接続部１１に接続させる。暗号化の規格としては、ＷＰＡ２やＷＰＡ３などがあるがこれらに限らず、様々な暗号化規格であってもよい。

本実施形態によれば、接続判定に必要なパケットのみを通信させることによって、よりセキュリティレベルを高め、接続を許可された通信端末２０のみ通信を行いつつ、ＭＡＣアドレスがランダム化された通信端末２０に対しても接続させるか否かを判断することが可能な無線アクセスポイント１０を提供することができる。

＜その他の実施形態＞
上述の実施形態では、本開示を、ハードウェアを用いるものとして説明したが、本開示はこれに限定されるものではない。本開示における中継装置１は、例えば、中継方法としての実施形態を備える。すなわち中継方法は、通信端末３から受信した接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応するか否かを判定するステップと、前記接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応しない場合に、一時接続判定用の接続処理を実行して、当該通信端末３からホスト名を取得するステップと、取得したホスト名が登録されたホスト名に対応する場合に接続を許可するステップを備える。

上記の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体は、例えば、磁気記録媒体、光磁気記録媒体、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリを含む。半導体メモリは、例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory）などである。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

上記プログラムは、通信端末３から受信した接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応するか否かを判定する処理と、前記接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応しない場合に、一時接続判定用の接続処理を実行して、当該通信端末３からホスト名を取得する処理と、取得したホスト名が登録されたホスト名に対応する場合に接続を許可する処理を情報処理装置に実行させる中継プログラムである。

なお、本開示は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。

１中継装置
２通信ネットワーク
３、２０通信端末
１０無線アクセスポイント
１１通常接続部
１２帰属管理部
１３パケット管理部

Claims

通信ネットワークと通信端末との間の通信を中継する中継装置であって、
前記通信端末から受信した接続要求に含まれるＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスが登録されたＭＡＣアドレスに対応するか否かを判定する手段と、
前記接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応しない場合に、一時接続判定用の接続処理を実行して、当該通信端末からホスト名を取得する手段と、
取得した前記ホスト名が登録されたホスト名に対応する場合に接続を許可する手段と、
を備え、
前記一時接続判定用の接続処理を実行することによって取得した前記ホスト名が登録されたホスト名に対応しないものとして、前記通信端末が接続を許可されなかった場合に、暗号化キーを用いて前記通信端末と暗号化通信を行い、前記通信端末との接続を許可するか否かを判断する、
中継装置。
前記中継装置は、無線ＬＡＮアクセスポイントである、
請求項１に記載の中継装置。
前記一時接続判定用の接続処理は、
前記通信端末から前記ホスト名を取得するためのＳＳＩＤ（ＳｅｒｖｉｃｅＳｅｔＩｄｅｎｔｉｆｉｅｒ）によって示された接続を用いることによって行われる、
請求項２に記載の中継装置。
前記一時接続判定用の接続処理は、
前記通信端末の前記ホスト名を取得するためのパケットを前記通信端末と送受信することによって行われる、
請求項１又は２に記載の中継装置。
前記パケットにはＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）プロトコルを利用する請求項４に記載の中継装置。
前記中継装置に、前記ＤＨＣＰプロトコルの機能が内蔵されている、請求項５に記載の中継装置。
通信端末から受信した接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応するか否かを判定するステップと、
前記接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応しない場合に、一時接続判定用の接続処理を実行して、当該通信端末からホスト名を取得するステップと、
取得したホスト名が登録されたホスト名に対応する場合に接続を許可するステップと、
取得した前記ホスト名が前記登録されたホスト名に対応しないものとして、前記通信端末が接続を許可されなかった場合に、暗号化キーを用いて前記通信端末と暗号化通信を行い、前記通信端末との接続を許可するか否かを判断するステップと、
を備えた中継方法。
通信端末から受信した接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応するか否かを判定する処理と、
前記接続要求に含まれるＭＡＣアドレスが登録されたＭＡＣアドレスに対応しない場合に、一時接続判定用の接続処理を実行して、当該通信端末からホスト名を取得する処理と、
取得したホスト名が登録されたホスト名に対応する場合に接続を許可する処理と、
取得した前記ホスト名が前記登録されたホスト名に対応しないものとして、前記通信端末が接続を許可されなかった場合に、暗号化キーを用いて前記通信端末と暗号化通信を行い、前記通信端末との接続を許可するか否かを判断する処理と、
を情報処理装置に実行させる中継プログラム。