JPH11177582A - パケット転送方法および該方法に用いる基地局 - Google Patents

Abstract

(57)【要約】 【課題】 送信元アドレスの偽造によりユーザＬＡＮへ
不正にアクセスできる問題を解決し、予め登録した端末
のみ特定のユーザＬＡＮとのパケット転送だけを許可す
るパケット転送方法を提供する。 【解決手段】 ユーザＬＡＮを識別するＶＬＡＮ−ＩＤ
を定義しておき、無線パケット網は端末アドレスとＶＬ
ＡＮ−ＩＤと端末認証に必要な情報を対応づけた端末情
報を予め記憶し、通信開始時においてまず無線パケット
端末の認証を行う。次に無線パケット端末は自身が属す
るユーザＬＡＮのＶＬＡＮ−ＩＤを付与した暗号化パケ
ットを送信し、無線パケット網は暗号の復号時に改竄を
調べ、改竄がない場合は送信元アドレスとＶＬＡＮ−Ｉ
Ｄの対応を確認し、端末情報と一致する場合は宛先アド
レスに転送する。端末認証の結果が不正端末であった場
合，復号時に改竄がある場合，送信元アドレスとＶＬＡ
Ｎ−ＩＤの対応が端末情報に不一致している場合はパケ
ットを廃棄する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、無線または有線の
パケット通信におけるパケット転送方法および該方法に
用いる基地局に関する。さらに詳しくは、コネクション
レス型のデータ通信において、パケット網に複数のＬＡ
Ｎ（Local Area Network；ローカルエリアネットワー
ク）を接続して仮想ＬＡＮ（ＶＬＡＮ）を構成したネッ
トワークにおけるパケット転送方法および該方法に用い
る基地局に関するものである。

【０００２】

【従来の技術】インターネットでは、ＩＰ（Internet P
rotocol；インターネットプロトコル）がパケット転送
方法に採用され、このため各端末はＩＰアドレスを有す
る。ＩＰアドレスは３２ｂｉｔで構成され、上位ビット
の一部はデータ網を識別するためのネットワークアドレ
スを示し、残りの下位ビットはデータ網に接続する端末
を識別するためのホストアドレスを示す。

【０００３】端末は、データに宛先アドレスと送信元ア
ドレスを付与したパケットをＩＰネットワークに送信
し、ＩＰネットワークは宛先アドレス中のネットワーク
アドレスで示されるデータ網にパケットを転送する。デ
ータ網は、パケットがユニキャストパケットの場合は宛
先アドレス中のホストアドレスで指定された端末に転送
し、パケットがブロードキャストパケットの場合はデー
タ網に接続する全ての端末に転送する（ＲＦＣ７９１ I
nternet Protocol）。

【０００４】しかしながら、このようなパケット転送方
法によると、送信元の端末が何者であるかを確認せずに
データ網へパケットを転送するため、未知の端末により
データ網が不正にアクセスされる危険性がある。また、
たとえ送信元端末が正規の端末であったとしても、宛先
アドレスを規制していないことから、送信元端末が属す
るデータ網以外の他のデータ網への不正アクセスを防止
できないという問題もある。

【０００５】このような不都合を解消するために、パケ
ット転送時に宛先アドレスと送信元アドレスをチェック
するパケット転送方法が提案されている。

【０００６】このアドレスチェック方法では、転送を許
可する宛先アドレスと送信元アドレスとの組合せをあら
かじめ許可テーブルとしてパケット転送装置に登録して
おく。パケット転送装置は、転送パケットの宛先アドレ
スと送信元アドレスをチェックして、これらアドレスが
許可テーブルに登録済みの場合は転送パケットを転送
し、未登録の場合は転送パケットを転送しない（石坂
隆宏、「ネットワーク・セキュリティ装置」，特開平２
−３０２１３９号公報）。

【０００７】この方法によれば、送信元アドレスを確認
して、あらかじめ許可した端末アドレスの時にだけパケ
ットを転送することにより、データ網への不正アクセス
を防止している。しかし、この方法では送信元アドレス
を偽造することによってデータ網へ不正にアクセスでき
るという問題が生じる。

【０００８】従来の他のパケット転送方法として強制転
送と呼ばれる方法が提案されている。この方法は、コネ
クションオリエンテッド型のパケット網（即ち、Ｘ．２
５に代表され、通信を開始する際にコネクションを設定
するパケット網）に複数のデータ網が接続していると
き、パケット網を通してアクセスしようとする呼をパケ
ット網がセキュリティチェック用のデータベースマシン
に強制転送する。そして、データベースマシンがアクセ
スの正当性をチェックして、正当な場合はアクセス呼を
データ網に転送して端末−データ網間にコネクションを
設定し、不当な場合はアクセス呼を切断するものである
（大吉 章次，「パケット交換網におけるセキュリティ
チェック方式」，特開平５−３２７７７３号公報）。

【０００９】しかしながら、この方法では、パケットに
付与された宛先アドレスにより転送を行うコネクション
レス型のパケット網に適用した場合、セキュリティチェ
ック用のデータベースマシンに全ての転送パケットを強
制転送してアクセスの正当性をチェックする必要があ
る。そのために、セキュリティチェック用のデータベー
スマシンの負荷の増加とパケット転送遅延時間の増加と
いう問題が生じる。

【００１０】さらに、従来の他のパケット転送方法とし
て、不特定多数の端末が接続するインターネット等のネ
ットワーク（以下、「中継ネットワーク」という）を経
由して、リモート端末がデータ網にアクセスすることを
可能にしつつ、データ網への不正アクセスを防止するカ
プセル化方法が提案されている。この方法では、データ
網がゲートウェイを介して中継ネットワークに接続す
る。ゲートウェイは通信開始時にまずリモート端末の認
証を行い、不正端末であることが判明した場合はパケッ
トを破棄する。次に、リモート端末は、宛先アドレスと
送信元アドレスが含まれた送信パケットを暗号化してゲ
ートウェイヘ送信する。この時、暗号化された送信パケ
ットは、ゲートウェイ宛のパケットのデータ部に格納さ
れ、宛先データ網に接続されたゲートウェイのアドレス
と送信元アドレスが付加されて中継ネットワークに転送
される。なおこのようにしてパケットを転送することを
カプセル化と呼んでいる。ゲートウェイは受信パケット
からデータ部を取り出して暗号化されたパケットを復号
する。この復号時に改竄を検出した場合はパケットを破
棄し、改竄されていない場合はパケットをデータ網へ転
送する。一方、データ網からリモート端末に宛てたパケ
ットは、送信元のデータ網に接続されたゲートウェイ
が、宛先アドレスと送信元アドレスを付加して暗号化し
たのち、これに宛先アドレスと自分のゲートウェイアド
レスをさらに付加し、カプセル化してリモート端末に転
送する。

【００１１】この方法によれば、リモート端末を認証し
た後、ゲートウェイとリモート端末間にカプセル化によ
る暗号路を設定してデータ網への不正アクセスを防止し
ている。しかしながら、リモート端末が、中継ネットワ
ーク経由で接続している他のリモート端末にパケットを
送信する場合には、必ずゲートウェイを経由して転送さ
れるため、最適な経路選択が行われず、パケット転送遅
延時間が増加するという問題が生じる。また、ゲートウ
ェイは、自身に接続しているデータ網に属する全ての端
末についてカプセル化／デカプセル化処理を行う必要が
あり、ゲートウェイの処理負荷が増大してしまう。ま
た、この方法では、データ網またはリモート端末がブロ
ードキャストパケットやマルチキャストパケットを転送
する場合に、中継ネットワークに送られるパケットの宛
先アドレスにブロードキャストアドレスやマルチキャス
トアドレスを指定することができない。そのため、ゲー
トウェイはパケットを複製してから各リモート端末にユ
ニキャスト転送するしかなく、中継ネットワークのトラ
ヒック増加とパケット転送遅延時間の増加という問題が
生じるほか、ゲートウェイの負荷が増大するという問題
も生じる。さらに、送信元リモート端末から宛先リモー
ト端末へユニキャストパケットを転送する場合、たとえ
これらリモート端末が中継ネットワークに接続していて
も、必ず当該データ網に接続しているゲートウェイを経
由してから宛先端末にパケットが送られるため、転送遅
延時間が増加するという問題を生じる。

【００１２】

【発明が解決しようとする課題】従って本発明の第１の
目的は、送信元アドレスを偽造することによりユーザＬ
ＡＮへ不正にアクセスできてしまう問題を解決し、あら
かじめ登録した端末に対してだけ特定のデータ網とのパ
ケット転送を許可するパケット転送方法および該方法に
用いる基地局を提供することにある。

【００１３】また、本発明の第２の目的は、パケットの
転送遅延時間，トラヒック，ゲートウェイの負荷が増加
する問題点を解決し、最適な経路選択が可能でなおかつ
効率的なパケット転送方法および該方法に用いる基地局
を提供することにある。

【００１４】

【課題を解決するための手段】以上の課題を解決するた
めに、請求項１記載の発明は、パケット網が基地局と該
基地局を接続するパケットバックボーン網とから構成さ
れており、前記基地局が配下に複数のパケット端末を収
容しており、前記パケットバックボーン網がさらに複数
の他パケット網であるユーザＬＡＮに接続されているネ
ットワークを用いたパケット通信であり、前記各パケッ
ト端末は固有の端末アドレスを有すると共に宛先端末の
前記端末アドレスである宛先アドレスと自己の端末アド
レスである送信元アドレスとを付与したパケットを送信
し、前記ネットワークが前記宛先アドレスを用いて前記
パケットの転送を行うパケット転送方法であって、前記
パケット網は、前記パケット端末が前記基地局を介して
通信を開始する際に前記パケット端末の端末認証を行
い、認証に成功した前記パケット端末は、送信すべきデ
ータを暗号化して、前記宛先端末が属するユーザＬＡＮ
に割り当てられる識別子と前記宛先アドレスと前記送信
元アドレスを該暗号化データに付与したパケットを前記
パケット網へ送信し、前記パケット網は、前記パケット
を受信して該受信パケットに含まれる前記暗号化データ
を復号し、該受信パケットが改竄されていなければ、前
記受信パケットに含まれる前記送信元アドレス及び前記
識別子に基づいて、該識別子を持つユーザＬＡＮに対し
て前記パケット端末が通信を許可されている場合にだけ
前記受信パケットを該ユーザＬＡＮに転送し、該通信が
許可されていない場合には前記受信パケットを廃棄する
ことを特徴としている。

【００１５】また、請求項２記載の発明は、パケット網
が基地局と該基地局を接続するパケットバックボーン網
とから構成されており、前記基地局が配下に複数のパケ
ット端末を収容しており、前記パケットバックボーン網
がさらに複数の他パケット網であるユーザＬＡＮに接続
されているネットワークを用いたパケット通信であり、
前記各パケット端末は固有の端末アドレスを有すると共
に宛先端末の前記端末アドレスである宛先アドレスと自
己の端末アドレスである送信元アドレスとを付与したパ
ケットを送信し、前記ネットワークが前記宛先アドレス
を用いて前記パケットの転送を行うパケット転送方法で
あって、前記ユーザＬＡＮを識別する識別子を前記各ユ
ーザＬＡＮにあらかじめ割り当てておき、前記パケット
網は、前記端末アドレスと通信を許されている１つ以上
のユーザＬＡＮにそれぞれ割り当てられた前記識別子と
端末認証に必要な情報とを対応づけた端末情報をあらか
じめ記憶し、前記パケット網は、前記パケット端末が前
記基地局を介して通信を開始する際に、前記情報を使用
して前記パケット端末の端末認証を行い、前記パケット
端末が正規の端末であれば前記パケット端末に対して通
信許可を通知し、前記パケット端末は、前記通信許可が
通知されたのであれば、１つ以上の前記ユーザＬＡＮの
中から通信するユーザＬＡＮを一つ選択し、送信すべき
データを暗号化して、該選択したユーザＬＡＮに割り当
てられた識別子と前記宛先アドレスと前記送信元アドレ
スを該暗号化データに付与したパケットを前記パケット
網へ送信し、前記パケット網は、前記パケットを受信し
て該受信パケットに含まれる前記暗号化データの復号時
に改竄の有無を判定し、改竄が検出されていれば前記受
信パケットを廃棄し、改竄されていない場合には、前記
受信パケットに含まれる前記送信元アドレスと前記識別
子との対応が前記端末情報に登録されているかどうかを
確認し、該対応が登録済みである場合には前記受信パケ
ットを前記宛先アドレスに転送し、該対応が未登録の場
合には前記受信パケットを廃棄することを特徴としてい
る。

【００１６】また、請求項３記載の発明は、パケット網
が基地局と該基地局を接続するパケットバックボーン網
とから構成されており、前記基地局が配下に複数のパケ
ット端末を収容しており、前記パケットバックボーン網
がさらに複数の他パケット網であるユーザＬＡＮに接続
されているネットワークを用いたパケット通信であり、
前記各パケット端末は固有の端末アドレスを有すると共
に宛先端末の前記端末アドレスである宛先アドレスと自
己の端末アドレスである送信元アドレスとを付与したパ
ケットを送信し、前記ネットワークが前記宛先アドレス
を用いて前記パケットの転送を行うパケット転送方法で
あって、前記ユーザＬＡＮ毎にあらかじめ固有のユーザ
ＬＡＮ名を割り当てておき、前記パケット網は、前記端
末アドレスと通信を許されている１つ以上のユーザＬＡ
Ｎにそれぞれ割り当てられた前記ユーザＬＡＮ名と端末
認証に必要な情報を対応づけた端末情報をあらかじめ記
憶し、前記パケット端末は前記基地局を介して通信を開
始する際に、１つ以上の前記ユーザＬＡＮの中から通信
するユーザＬＡＮを一つ選択し、該選択したユーザＬＡ
Ｎに割り当てられた前記ユーザＬＡＮ名を前記パケット
網へ通知し、前記パケット網は、前記情報を使用して前
記パケット端末の端末認証を行い、前記パケット端末が
正規の端末であれば、前記パケット端末から通知された
前記ユーザＬＡＮ名に対して前記ユーザＬＡＮを識別す
るための識別子を割り当てて前記パケット端末に通知
し、前記パケット端末は、送信すべきデータを暗号化し
て、前記選択したユーザＬＡＮに割り当てられた識別子
と前記宛先アドレスと前記送信元アドレスを該暗号化デ
ータに付与したパケットを前記パケット網へ送信し、前
記パケット網は、前記パケットを受信して該受信パケッ
トに含まれる前記暗号化データの復号時に改竄の有無を
判定し、改竄が検出されていれば前記受信パケットを廃
棄し、改竄されていない場合には、前記受信パケットに
含まれる識別子を割り当てたユーザＬＡＮ名と前記受信
パケットに含まれる送信元アドレスとの対応が前記端末
情報に登録されているかどうかを確認し、該対応が登録
済みである場合には前記受信パケットを前記宛先アドレ
スに転送し、該対応が未登録の場合には前記受信パケッ
トを廃棄し、前記パケット網は、その後に前記パケット
端末が通信を終了した時に前記ユーザＬＡＮ名に割り当
てた前記識別子を解放するようにしたことを特徴として
いる。

【００１７】また、請求項４記載の発明は、請求項２記
載の発明において、前記パケットバックボーン網が、前
記パケットを中継する複数の中継ノードを有し、これら
各中継ノードが前記受信パケットを前記宛先アドレスに
転送するための経路選択の機能を有するネットワークを
用いたパケット転送方法であって、前記パケット網は、
前記経路選択のためのルーチング情報として前記受信パ
ケット中の前記宛先アドレスと前記識別子とを用い、ユ
ニキャストパケットを転送する場合、前記宛先端末が前
記パケット網に接続中であれば、前記宛先アドレスに応
じて前記中継ノードを順次選択しながら該パケットを前
記宛先端末まで転送し、前記宛先端末が前記パケット網
に接続中でなければ、前記識別子に応じて前記中継ノー
ドを順次選択しながら該パケットを前記ユーザＬＡＮま
で転送し、ブロードキャストパケット及びマルチキャス
トパケットを転送する場合は、前記識別子を用いて前記
中継ノードを順次選択して該中継ノードに該パケットを
順次転送してゆき、同じ識別子を用いて通信中の全ての
前記パケット端末及び該識別子により指定される前記ユ
ーザＬＡＮに該パケットを転送することを特徴としてい
る。また、請求項５記載の発明は、請求項２〜４の何れ
かの項記載の発明において、前記パケットバックボーン
網と前記複数のユーザＬＡＮの間をゲートウェイで接続
したネットワークを用いたパケット転送方法であって、
前記ユーザＬＡＮを介して前記受信パケットを前記宛先
アドレスへ転送する際、前記ゲートウェイが前記受信パ
ケットに含まれる前記識別子に応じて前記ユーザＬＡＮ
を選択して該選択されたユーザＬＡＮへ前記受信パケッ
トを転送することを特徴としている。

【００１８】また、請求項６記載の発明は、パケット網
が基地局と該基地局を接続するパケットバックボーン網
とから構成されており、前記基地局が配下に複数のパケ
ット端末を収容しており、前記パケットバックボーン網
がさらに複数の他パケット網であるユーザＬＡＮにゲー
トウェイを介して接続されているネットワークを用いた
パケット通信であり、前記各パケット端末は固有の端末
アドレスを有すると共に宛先端末の前記端末アドレスで
ある宛先アドレスと自己の端末アドレスである送信元ア
ドレスとを付与したパケットを送信し、前記ネットワー
クが前記宛先アドレスを用いて前記パケットの転送を行
うパケット転送方法であって、前記パケット網は、前記
端末アドレスと端末認証に必要な情報とを対応づけた端
末情報をあらかじめ記憶し、前記ゲートウェイは、前記
パケット網と前記ユーザＬＡＮの間でパケットの転送を
許可する送信元の端末アドレスをあらかじめ記憶し、前
記パケット網は、前記パケット端末が前記基地局を介し
て通信を開始する際に、前記情報を使用して前記パケッ
ト端末の端末認証を行い、前記パケット端末が正規の端
末であれば前記パケット端末に通信許可を通知し、前記
パケット端末は、前記通信許可が通知されたのであれ
ば、送信すべきデータを暗号化して前記宛先アドレスと
前記送信元アドレスを付与したパケットを前記パケット
網へ送信し、前記パケット網は、前記パケットを受信し
て該受信パケットに含まれる前記暗号化データの復号時
に改竄の有無を判定し、改竄が検出されていれば前記受
信パケットを廃棄し、改竄されていない場合には前記受
信パケットを前記ゲートウェイに転送し、前記ゲートウ
ェイは、前記パケット網から転送されたパケットに含ま
れる前記送信元アドレスに対する転送が許可されている
場合は該転送パケットを前記ユーザＬＡＮから前記宛先
アドレスに転送し、該転送が許可されていない場合は該
転送パケットを廃棄するようにしたことを特徴としてい
る。

【００１９】また、請求項７記載の発明は、請求項６記
載の発明において、前記パケットバックボーン網が、前
記パケットを中継する複数の中継ノードを有し、これら
各中継ノードが前記パケットを前記宛先アドレスに転送
するための経路選択機能を有するネットワークを用いた
パケット転送方法であって、前記ユーザＬＡＮを識別す
る識別子を前記各ユーザＬＡＮにあらかじめ割り当てて
おき、前記パケット端末は、前記パケットを前記パケッ
ト網へ送信する際に、複数の前記ユーザＬＡＮの中から
接続するユーザＬＡＮを一つ選択して、該選択したユー
ザＬＡＮの識別子を前記パケットにさらに付与して送信
し、前記パケット網は、前記経路選択のためのルーチン
グ情報として送信された前記パケットに含まれる前記宛
先アドレスと前記識別子とを用い、ユニキャストパケッ
トを転送する場合、前記宛先端末が前記パケット網に接
続中であれば、前記宛先アドレスに応じて前記中継ノー
ドを順次選択しながら該パケットを前記宛先端末まで転
送し、前記宛先端末が前記パケット網に接続中でなけれ
ば、前記識別子に応じて前記中継ノードを順次選択しな
がら該パケットを前記ゲートウェイに転送し、ブロード
キャストパケット及びマルチキャストパケットを転送す
る場合は、前記識別子を用いて前記中継ノードを順次選
択して該中継ノードに該パケットを順次転送してゆき、
同じ識別子を用いて通信中の全ての前記パケット端末
と、該識別子により指定される前記ゲートウェイとに転
送することを特徴としている。

【００２０】また、請求項８記載の発明は、請求項４又
は７記載の発明において、前記暗号化及び前記復号化に
際し、前記ユニキャストパケットを転送する場合は、前
記各パケット端末毎に割り当てた暗号鍵を用い、前記ブ
ロードキャストパケット又は前記マルチキャストパケッ
トを転送する場合は、前記各識別子毎に割り当てた暗号
鍵を用いることを特徴としている。また、請求項９記載
の発明は、請求項４又は７記載の発明において、前記暗
号化及び前記復号化に際し、前記ユニキャストパケット
を転送する場合及び前記パケット端末が前記ブロードキ
ャストパケット又は前記マルチキャストパケットを送信
する場合は、前記各パケット端末毎に割り当てた暗号鍵
を用い、前記基地局が前記ブロードキャストパケット又
は前記マルチキャストパケットを送信する場合は、前記
各識別子毎に割り当てた暗号鍵を用いることを特徴とし
ている。また、請求項１０記載の発明は、請求項４又は
７記載の発明において、前記暗号化及び前記復号化に際
し、暗号鍵として前記各識別子毎に割り当てた暗号鍵を
用いることを特徴としている。

【００２１】また、請求項１１記載の発明は、他パケッ
ト網であるユーザＬＡＮが複数接続されたパケットバッ
クボーン網に接続され、かつ、配下に複数のパケット端
末を収容する基地局であって、前記各パケット端末に付
与された固有の端末アドレスと、前記パケット端末が通
信を許されている１つ以上のユーザＬＡＮにそれぞれ割
り当てられた識別子と、端末認証に必要な情報を対応づ
けて記憶する端末情報記憶手段と、前記パケット端末か
らの通信開始要求に応じて前記情報を使用した端末認証
を行い、前記パケット端末に対して認証結果を通知する
端末認証手段と、前記パケットバックボーン網と前記パ
ケット端末の間で授受されるパケット中のデータ部を前
記情報を用いて暗号化して送信するパケット暗号化手段
と、宛先端末の前記端末アドレスである宛先アドレスと
前記パケット端末の端末アドレスである送信元アドレス
と前記ユーザＬＡＮに割り当てられた識別子が暗号化デ
ータに付与されたパケットを前記パケット端末から受信
して該暗号化データを復号するパケット復号化手段と、
前記復号されたデータから改竄を検出して該パケットを
廃棄するパケット改竄検出手段と、前記パケットに含ま
れている前記送信元アドレス及び前記識別子の組が、前
記端末情報記憶手段に記憶されている前記端末アドレス
及び前記識別子の組の中に登録されているかどうかを確
認する比較手段と、前記比較手段による確認結果に基づ
いて、前記登録があることを条件に前記宛先アドレスに
前記パケットを転送し、前記登録が無いことを条件に前
記パケットを廃棄するフィルタリング手段とを具備する
ことを特徴としている。

【００２２】また、請求項１２記載の発明は、他パケッ
ト網であるユーザＬＡＮが複数接続されたパケットバッ
クボーン網に接続され、かつ、配下に複数のパケット端
末を収容する基地局であって、前記各パケット端末に付
与された固有の端末アドレスと、前記パケット端末が通
信を許されている１つ以上のユーザＬＡＮにそれぞれ割
り当てられたユーザＬＡＮ名と、端末認証に必要な情報
を対応づけて記憶する端末情報記憶手段と、前記パケッ
ト端末からの通信開始要求に応じて前記情報を使用した
端末認証を行って、認証結果を前記パケット端末に通知
するとともに、正規のパケット端末に対しては、前記通
信開始要求に伴って前記パケット端末から通知されるユ
ーザＬＡＮ名に前記ユーザＬＡＮを識別するための識別
子を割り当てて通知し、前記パケット端末が通信を終了
したことを条件として前記ユーザＬＡＮ名に割り当てた
前記識別子を解放する端末認証手段と、前記パケットバ
ックボーン網と前記パケット端末の間で授受されるパケ
ット中のデータ部を前記情報を用いて暗号化して送信す
るパケット暗号化手段と、宛先端末の前記端末アドレス
である宛先アドレスと前記パケット端末の端末アドレス
である送信元アドレスと前記識別子が暗号化データに付
与されたパケットを前記パケット端末から受信して該暗
号化データを復号するパケット復号化手段と、前記復号
されたデータから改竄を検出して該パケットを廃棄する
パケット改竄検出手段と、前記受信したパケットに含ま
れる識別子を割り当てたユーザＬＡＮ名と前記受信した
パケットに含まれる送信元アドレスの組が、前記端末情
報記憶手段に記憶されている前記ユーザＬＡＮ名及び前
記端末アドレスの組の中に登録されているかどうかを確
認する比較手段と、前記比較手段による確認結果に基づ
いて、前記登録があることを条件に前記宛先アドレスに
前記パケットを転送し、前記登録が無いことを条件に前
記パケットを廃棄するフィルタリング手段とを具備する
ことを特徴としている。

【００２３】また、請求項１３記載の発明は、請求項１
１記載の発明において、前記パケット暗号化手段は、送
信するパケットがユニキャストパケットであれば、各パ
ケット端末毎に割り当てた暗号鍵を用いて暗号化し、前
記送信するパケットがブロードキャストパケット又はマ
ルチキャストパケットであれば、前記各識別子毎に割り
当てた暗号鍵を用いて暗号化し、前記パケット復号化手
段は、受信したパケットがユニキャストパケットであれ
ば、前記各パケット端末毎に割り当てた暗号鍵を用いて
復号化し、前記受信したパケットがブロードキャストパ
ケット又はマルチキャストパケットであれば、前記各識
別子毎に割り当てた暗号鍵を用いて復号化することを特
徴としている。また、請求項１４記載の発明は、請求項
１１記載の発明において、前記パケット暗号化手段は、
送信するパケットがユニキャストパケットであれば、各
パケット端末毎に割り当てた暗号鍵を用いて暗号化し、
前記送信するパケットがブロードキャストパケット又は
マルチキャストパケットであれば、前記各識別子毎に割
り当てた暗号鍵を用いて暗号化し、前記パケット復号化
手段は、前記各パケット端末毎に割り当てた暗号鍵を用
いて復号化することを特徴としている。また、請求項１
５記載の発明は、請求項１１記載の発明において、前記
パケット暗号化手段は、前記各識別子毎に割り当てた暗
号鍵を用いて送信するパケットのデータ部を暗号化し、
前記パケット復号化手段は、前記各識別子毎に割り当て
た暗号鍵を用いて受信したパケットのデータ部を復号す
ることを特徴としている。

【００２４】

【発明の実施の形態】以下、本発明の種々の実施形態に
ついて、図面を参照して説明する。なお、本発明は無線
パケット網，有線パケット網の何れに対しても適用する
ことができるが、以下では無線パケット網を中心にして
説明を行い、最後に有線パケット網へ適用する場合の実
施形態について説明する。

【００２５】［第１実施形態］この第１実施形態は、請
求項１，２，５記載のパケット転送方法および請求項１
１記載の基地局を適用した場合に相当している。

【００２６】図１は、本実施形態におけるパケット網の
ネットワーク構成を概略的に示している。同図におい
て、複数の無線基地局１−６と、これら無線基地局１−
６を接続する無線パケットバックボーン網１−５とで構
成されるものを無線パケット網とする。各無線基地局１
−６は配下に複数の無線パケット端末１−７を収容して
いる。ユーザＬＡＮ１−４は他パケット網であって、無
線パケットバックボーン網１−５はゲートウェイ１−１
〜１−３を介して複数のユーザＬＡＮ１−４に接続して
いる。ゲートウェイ１−３は後述するＶＬＡＮ−ＩＤに
応じて何れかのユーザＬＡＮ１−４を選択し、パケット
からＶＬＡＮ−ＩＤを削除したのち、選択したユーザＬ
ＡＮへパケットを転送する。無線パケットバックボーン
網１−５とユーザＬＡＮ１−４との間の中継路１−１０
としては、ＡＴＭ（Asynchronous Transfer Mode；非同
期転送モード）網のバーチャルチャネルコネクション
（ＶＣＣ），インターネット上のバーチャルプライベー
トネットワーク（ＶＰＮ）等の各種のものが選択可能で
ある。また、無線パケットバックボーン網１−５は端末
認証サーバ１−８に接続されている。この端末認証サー
バ１−８は端末情報テーブルを記憶しており、無線パケ
ット端末１−７が通信を開始する時に無線基地局１−６
へ端末情報を与える。

【００２７】本実施形態において、端末情報テーブルは
少なくとも端末アドレスと、後述するＶＬＡＮ−ＩＤ
と、端末認証に必要な情報として各端末固有の暗号鍵と
を組にして持っている。端末アドレスとしてはイーサネ
ットにおけるＭＡＣ（Media Access Control）アドレス
を用いる。なお、無線パケット網はあらかじめ各無線パ
ケット端末に暗号鍵を通知しておく。

【００２８】ここで、図２は本実施形態による無線基地
局１−６の構成を示している。無線基地局１−６に設け
られている各手段が有する機能については、これ以後の
説明の中で順次説明してゆく。なお、同図において、実
線は無線パケットバックボーン網１−５又は無線パケッ
ト端末１−７と無線基地局１−６との間で送受信される
パケット信号を意味しており、破線は無線基地局１−６
内の各部間の制御信号を意味している。

【００２９】図３は、本実施形態における無線パケット
端末１−７の認証手順を示している。同図に示すよう
に、無線パケット端末１−７は通信を開始する時に通信
開始要求信号を無線基地局１−６へ送信する（２−
１）。無線基地局１−６では、端末認証手段１０が通信
開始要求信号を受信して、端末認証サーバ１−８に端末
情報要求を行う（２−２）。この端末情報要求に対して
端末認証サーバ１−８が端末情報通知を無線基地局１−
６に行うと、端末認証手段１０はこの端末情報通知を受
けて（２−３）、通知された端末情報を端末情報記憶手
段１１に記憶させる。次に、端末認証手段１０は端末認
証用の乱数を生成したのち、端末情報に含まれている暗
号鍵を用いて暗号化し、暗号化された乱数を認証要求信
号として無線パケット端末１−７に送信する（２−
４）。無線パケット端末１−７は無線パケット網から通
知されている暗号鍵で送信された乱数を復号化し、これ
を認証応答信号として無線基地局１−６に送り返す（２
−５）。無線基地局１−６では、端末認証手段１０が認
証要求信号として送信した乱数と送り返された乱数を比
較する。両者が一致する場合、端末認証手段１０は無線
パケット端末１−７を正規端末と判断し、認証受付信号
を用いて無線パケット端末１−７に通信許可を通知する
（２−６）。これ以後は、パケット暗号化手段１２が端
末認証手段１０から取得した暗号鍵を用いて、データパ
ケット中のヘッダ部を除いたデータ部だけを暗号化して
転送を行う。一方、上記２つの乱数が一致しない場合、
端末認証手段１０は無線パケット端末１−７を不正端末
と判断し、認証受付信号を用いて無線パケット端末１−
７に通信拒否を通知する（２−６）。

【００３０】図４は、本実施形態におけるデータパケッ
トの改竄検出手順を示している。無線パケット端末１−
７は、生起したデータに対する誤り検出符号を計算して
当該データに付与してから暗号化し、さらにヘッダ情報
を付与したデータパケットを無線基地局１−６に送信す
る（３−１）。無線基地局１−６では、パケット復号化
手段１３がデータパケット中の暗号化されたデータ部を
復号してパケット改竄検出手段１４に送出する。パケッ
ト改竄検出手段１４は復号されたデータの誤り検出符号
を計算し、この計算された誤り検出符号と復号によって
パケットから得た誤り検出符号とを比較して、両者が一
致する場合は改竄無しと判断し、両者が一致しない場合
は改竄ありと判断する。

【００３１】表１は、本実施形態における端末情報テー
ブルを示している。端末情報テーブルは、端末アドレス
と、ＶＬＡＮ−ＩＤと、端末認証に必要な情報としての
暗号鍵とからなる端末情報で構成されている。なお、こ
の端末情報は端末認証手段１０が端末情報記憶手段１１
へ記憶させる（図２を参照）。

【００３２】

【表１】

【００３３】このＶＬＡＮ−ＩＤはユーザＬＡＮ１−４
を識別するための識別子として定義され、各ユーザＬＡ
Ｎに固有の値があらかじめ割り当てられている。無線パ
ケット端末１−７は、自分の所属するユーザＬＡＮ１−
４のＶＬＡＮ−ＩＤをそれぞれ端末認証サーバ１−８に
あらかじめ登録している。

【００３４】図５は、本実施形態における無線パケット
網が使用するパケットの信号フォーマットを示してい
る。同図に示すように、パケットはヘッダ情報として宛
先アドレス４−１，送信元アドレス４−２及びＶＬＡＮ
−ＩＤ４−３を持っており、ユーザデータ４−４の部分
は暗号化されている。

【００３５】以下に詳述するように、無線基地局１−６
は、無線パケット端末１−７から受信したパケットの
内、ＶＬＡＮ−ＩＤ４−３が当該無線パケット端末の所
属するユーザＬＡＮ１−４のＶＬＡＮ−ＩＤに一致する
パケットのみを転送し、これらＶＬＡＮ−ＩＤが一致し
ないパケットは廃棄する。

【００３６】図６は、本実施形態におけるパケット転送
手順を示している。無線基地局１−６は通信開始時に図
３に示した認証を行い、無線パケット端末１−７が正規
端末であると判断された場合には通信を開始させる。次
に、無線基地局１−６は図４に示した改竄検出手順を行
い、無線パケット端末１−７から受信したデータパケッ
ト（５−１）の改竄を検出した場合はこのデータパケッ
トを廃棄する。一方で改竄が検出されない場合、無線基
地局１−６では、端末アドレス／ＶＬＡＮ−ＩＤ比較手
段１５が端末情報記憶手段１１に記憶してある端末情報
を参照し、ＶＬＡＮ−ＩＤと送信元アドレス４−２との
対応を確認してその結果をフィルタリング手段１６に送
出する。すなわち、端末アドレス／ＶＬＡＮ−ＩＤ比較
手段１５は、表１に示す端末情報テーブルを検索して、
端末アドレス，ＶＬＡＮ−ＩＤがそれぞれデータパケッ
ト中の送信元アドレス４−２，ＶＬＡＮ−ＩＤ４−３に
等しいものが存在すれば、上記対応が端末情報に一致し
ているものと判断する。フィルタリング手段１６は送ら
れた確認結果に基づき、上記対応が端末情報に一致して
いれば宛先アドレス４−１で指定された宛先端末にデー
タパケットを転送する（５−２）。この時、宛先端末が
ユーザＬＡＮ１−４と接続していれば、データパケット
はゲートウェイ１−３からゲートウェイ１−１又はゲー
トウェイ１−２を介してユーザＬＡＮ１−４に転送され
る。また、宛先端末が無線パケット網と接続している場
合、データパケットはゲートウェイを介することなく宛
先端末に転送される。一方、ＶＬＡＮ−ＩＤと送信元ア
ドレス４−２との対応が端末情報に一致していない場
合、フィルタリング手段１６はデータパケットを廃棄す
る。

【００３７】ここで、ユーザＬＡＮ１−４から無線パケ
ット端末１−７へパケットを転送する場合の手順につい
て簡単に説明しておく。ユーザＬＡＮ１−４が自身に接
続しているゲートウェイ１−１又はゲートウェイ１−２
にパケットを送信すると、これらゲートウェイは送信さ
れたパケットを中継路１−１０からゲートウェイ１−３
に転送する。ゲートウェイ１−３は、パケットが送られ
てきた中継路１−１０に応じて送信元のユーザＬＡＮ１
−４に割り当てられているＶＬＡＮ−ＩＤをパケットに
付与したのちに無線パケットバックボーン網１−５に転
送する。無線基地局１−６は転送されてきたパケットを
受信し、当該パケットのデータ部を暗号化して宛先アド
レスが示す無線パケット端末１−７へ送信し、無線パケ
ット端末１−７は暗号化されたパケットを受信して復号
する。

【００３８】以上のように、本実施形態によれば、通信
開始時に端末認証することによって無線パケット端末を
特定可能であり、未知の端末や端末アドレスを偽造した
端末からの不正アクセスを防止することができる。ま
た、端末固有の暗号鍵により暗号化してパケットを転送
することにより、不正な端末が認証された正規の端末に
なりすますことを防止可能であり、なりすまし端末によ
る不正アクセスを防止することができる。さらに、暗号
の復号時に改竄を検出してパケットを廃棄することによ
り、改竄されたパケットの転送を防止可能であり、改竄
データによる通信の妨害と無線パケット網のトラヒック
増加を防止する効果が得られる。しかも、ＶＬＡＮ−Ｉ
Ｄと送信元アドレスの対応を確認することにより、認証
後の端末が自分の属していないユーザＬＡＮにアクセス
することを防止可能であり、他ユーザＬＡＮに所属して
いる端末からの不正アクセスを防止することができる。

【００３９】［第２実施形態］この第２実施形態は、請
求項１，２，５記載のパケット転送方法および請求項１
１記載の基地局を適用した場合に相当している。

【００４０】本実施形態において、パケット網のネット
ワーク構成，無線基地局の構成，無線パケット端末の認
証手順，データパケットの改竄検出手順及びパケットの
信号フォーマットは、それぞれ図１〜図５に示した第１
実施形態の場合と等しい。

【００４１】第１実施形態と同様に、ＶＬＡＮ−ＩＤは
各ユーザＬＡＮ１−４に固有の値があらかじめ割り当て
られている。

【００４２】各無線パケット端末１−７は、接続を許可
されている複数のユーザＬＡＮ１−４のＶＬＡＮ−ＩＤ
を端末認証サーバ１−８にあらかじめ登録している。

【００４３】表２は、本実施形態における端末情報テー
ブルを示している。例えば、端末アドレスとしてアドレ
ス＃１を持つ無線パケット端末は、ＶＬＡＮ−ＩＤとし
てＶＬＡＮ−ＩＤ＃Ａ又はＶＬＡＮ−ＩＤ＃Ｂを持つユ
ーザＬＡＮ１−４に接続が許可されている。

【００４４】

【表２】

【００４５】以下に詳述するように、無線基地局１−６
は、無線パケット端末１−７から受信したパケットの
内、当該無線パケット端末が接続を許可されているユー
ザＬＡＮのＶＬＡＮ−ＩＤの何れかとＶＬＡＮ−ＩＤ４
−３が一致するパケットのみを転送し、何れのＶＬＡＮ
−ＩＤにも一致しないパケットは廃棄する。

【００４６】図７は、本実施形態におけるパケット転送
手順を示している。無線基地局１−６では端末認証手段
１０が無線パケット端末１−７に対する認証を行い、当
該無線パケット端末が正規の端末であれば暗号通信を開
始する。次に、無線基地局１−６ではパケット復号化手
段１３が無線パケット端末１−７からのデータパケット
を復号（６−１）し、パケット改竄検出手段１４は受信
データパケットの改竄を調べ、改竄が検出された場合は
パケットを廃棄する。なお、これまでの手順は第１実施
形態と同様である。一方、改竄が検出されない場合、無
線基地局１−６では、端末アドレス／ＶＬＡＮ−ＩＤ比
較手段１５が端末情報記憶手段１１に記憶してある端末
情報を参照し、ＶＬＡＮ−ＩＤ４−３と送信元アドレス
４−２との対応が端末情報に登録済みであるかどうか確
認してその結果をフィルタリング手段１６に送出する。
すなわち、端末アドレス／ＶＬＡＮ−ＩＤ比較手段１５
は、端末情報テーブル中の端末アドレスが送信元アドレ
ス４−２に一致し、かつ、当該端末アドレスに対応して
登録されている複数のＶＬＡＮ−ＩＤの中にＶＬＡＮ−
ＩＤ４−３と一致するものが存在していれば、上記対応
が端末情報に登録済みであるものと判断する。そして、
フィルタリング手段１６は送られた確認結果に基づい
て、上記対応が端末情報に登録済みであれば宛先アドレ
ス４−１で指定された宛先端末にデータパケットを転送
する（６−２）。この時、宛先端末がユーザＬＡＮ１−
４と接続しているならば、データパケットはゲートウェ
イ１−３からゲートウェイ１−１又はゲートウェイ１−
２を介してユーザＬＡＮ１−４に転送される。また、宛
先端末が無線パケット網と接続している場合、データパ
ケットはゲートウェイを介することなく宛先端末に転送
される。一方、ＶＬＡＮ−ＩＤと送信元アドレスとの対
応が端末情報に未登録の場合、フィルタリング手段１６
はデータパケットを廃棄する。

【００４７】以上のように、本実施形態によれば、第１
実施形態から得られる効果のほかにさらに以下の効果が
得られる。すなわち、ＶＬＡＮ−ＩＤと送信元アドレス
の対応を確認することにより、認証後の端末が接続の許
可されていないデータ網にアクセスすることを防止可能
であり、接続を許可されている端末から他データ網への
不正アクセスを防止することができる。また、１無線パ
ケット端末あたり複数のＶＬＡＮ−ＩＤを登録すること
により、１つの無線パケット端末で複数のデータ網にア
クセスすることが可能であり、ユーザヘのサービス性が
向上する。

【００４８】［第３実施形態］この第３実施形態は、請
求項１，２，４，５，８記載のパケット転送方法および
請求項１１，１３記載の基地局を適用した場合に相当し
ている。

【００４９】図８は、本実施形態におけるパケット網の
ネットワーク構成を概略的に示している。第１実施形態
と同様に、無線パケット網は、複数の無線基地局７−６
と、これら複数の無線基地局７−６を接続する無線パケ
ットバックボーン網７−５とで構成されている。各無線
基地局７−６はその配下に複数の無線パケット端末７−
７を収容している。無線パケットバックボーン網７−５
は、ゲートウェイ７−１〜７−３を介して、複数のユー
ザＬＡＮ７−４（他パケット網）に接続されている。こ
こで、ゲートウェイ７−３はＶＬＡＮ−ＩＤ４−３に応
じて何れかのユーザＬＡＮ７−４を選択し、パケットか
らＶＬＡＮ−ＩＤを削除したのち、選択したユーザＬＡ
Ｎへパケットを転送する。さらに、本実施形態における
無線パケットバックボーン網７−５はパケットを中継す
る複数の中継ノード７−９を有している。各中継ノード
７−９は、パケット中の宛先アドレス４−１及びＶＬＡ
Ｎ−ＩＤ４−３を用いたルーチング情報を有しており、
このルーチング情報に従って最適な経路を選択してパケ
ットを転送する。例えば、中継ノード７−９は、パケッ
トを受信した時に、受信パケット中の送信元アドレス４
−２が示す端末アドレスと当該パケットを受信したポー
ト、および、受信パケット中のＶＬＡＮ−ＩＤ４−３と
当該パケットを受信したポートを対応づけて記憶する。
次に、中継ノード７−９は、受信パケットがユニキャス
トパケットならば、宛先アドレス４−１が示す端末アド
レスに対応するポートへ受信パケットを送信する。これ
に対し、受信パケットがブロードキャストパケット又は
マルチキャストパケットならば、中継ノード７−９はＶ
ＬＡＮ−ＩＤ４−３に対応する全てのポートへ受信パケ
ットを送信する。なお、ここで言う“ポート”は、中継
ノード７−９が自身に隣接する中継ノード又は無線基地
局との間の通信路を接続するためのインタフェースであ
る。また、中継路７−１０としては、図１に示した中継
路１−１０と同様に各種のものが選択可能である。ま
た、無線パケットバックボーン網７−５は中継ノード７
−９を介して端末認証サーバ７−８に接続されている。
端末認証サーバ７−８は図１に示した端末認証サーバ１
−８と同じく表２に示した端末情報テーブルを記憶して
おり、無線パケット端末７−７が通信を開始する際に無
線基地局７−６に対して端末情報を与える。

【００５０】本実施形態において、この端末情報テーブ
ルに登録された暗号鍵は端末認証及びユニキャストパケ
ットの暗号化に用いられ、以下ではこの暗号鍵を「端末
鍵」という。なお、無線パケット網は各無線パケット端
末７−７に端末鍵をあらかじめ通知しておく。

【００５１】以上に加えて、端末認証サーバ７−８は表
３に示すＶＬＡＮ情報テーブルにＶＬＡＮ情報を持って
いる。

【００５２】

【表３】

【００５３】このＶＬＡＮ情報テーブルは、ＶＬＡＮ−
ＩＤと、同じＶＬＡＮ−ＩＤを持つ全ての端末で共通に
使用する暗号鍵（以下、「ＶＬＡＮ鍵」という）との対
応を記録している。このＶＬＡＮ鍵はブロードキャスト
パケット及びマルチキャストパケットの暗号化に使用さ
れる。なお、無線パケット網は各無線パケット端末７−
７に対してＶＬＡＮ鍵をあらかじめ通知しておく。

【００５４】第１実施形態と同様に、ＶＬＡＮ−ＩＤは
各ユーザＬＡＮ７−４に固有の値があらかじめ割り当て
られている。

【００５５】無線パケット端末７−７は自分の所属する
ユーザＬＡＮ７−４のＶＬＡＮ−ＩＤをそれぞれ端末認
証サーバ７−８の端末情報テーブルにあらかじめ登録し
ている。

【００５６】以下に詳述するように、無線基地局７−６
は、無線パケット端末７−７から受信したパケットの
内、当該無線パケット端末が接続を許可されているユー
ザＬＡＮ７−４のＶＬＡＮ−ＩＤの何れかとＶＬＡＮ−
ＩＤ４−３が一致するパケットのみを転送し、何れのＶ
ＬＡＮ−ＩＤにも一致しないパケットは廃棄する。

【００５７】本実施形態における無線基地局の構成，無
線パケット端末の認証手順，データパケットの改竄検出
手順及びパケットの信号フォーマットは、図２〜図５に
示した第１実施形態の場合とそれぞれ等しい。

【００５８】図９は、本実施形態におけるパケット転送
手順を示している。第１実施形態と同様に、無線基地局
７−６では、端末認証手段１０が通信開始時に無線パケ
ット端末７−７に対する認証を行い、当該無線パケット
端末が正規の端末であれば暗号通信を開始する。なお、
この認証に際して、端末認証手段１０は端末認証サーバ
７−８から端末情報と共にＶＬＡＮ情報を得て端末情報
記憶手段１１に記憶させる。一方、無線パケット端末７
−７は、ユニキャストパケットを送信する時には端末鍵
を選択して暗号化を行い、暗号化されたデータパケット
を無線基地局７−６に送信する（８−１）。一方、無線
パケット端末７−７は、ブロードキャストパケット又は
マルチキャストパケットを送信する時にはＶＬＡＮ鍵を
選択して暗号化を行い、暗号化されたデータパケットを
無線基地局７−６に送信する（８−１）。これらに対応
して、無線基地局７−６のパケット復号化手段１３は、
ユニキャストパケットを受信した時には端末鍵を選択し
てデータパケットを復号し、また、ブロードキャストパ
ケット又はマルチキャストパケットを受信した時にはＶ
ＬＡＮ鍵を選択してデータパケットを復号する。パケッ
ト改竄検出手段１４は、図４に示した改竄検出手順に従
って復号されたデータパケットの改竄の有無を調べ、改
竄が検出された場合にはデータパケットを廃棄する。一
方、データパケットの改竄が検出されない場合、端末ア
ドレス／ＶＬＡＮ−ＩＤ比較手段１５は、第２実施形態
と同様にしてＶＬＡＮ−ＩＤ４−３と送信元アドレス４
−２の対応を確認し、これらの対応が端末情報に登録済
みであれば宛先アドレスで指定された宛先端末にデータ
パケットを転送する（８−２）。この時、本実施形態で
は、宛先端末がユーザＬＡＮ７−４と接続している場
合、各中継ノード７−９はデータパケット中の宛先アド
レス４−１に応じて次の送信ポートを選択してゲートウ
ェイ７−３へデータパケットを転送する。ゲートウェイ
７−３はＶＬＡＮ−ＩＤ４−３に応じてゲートウェイ７
−１又はゲートウェイ７−２の何れかを選択してデータ
パケットをユーザＬＡＮ７−４に転送する。また、宛先
端末が無線パケット網と接続している場合、各中継ノー
ド７ー９は宛先アドレス４−１に応じて次の送信ポート
を選択してデータパケットを宛先端末へ転送する。した
がってこの場合はゲートウェイを介することなくデータ
パケットが転送される。一方、ＶＬＡＮ−ＩＤと送信元
アドレスとの対応が端末情報に登録されていない場合、
フィルタリング手段１６はデータパケットを廃棄する。

【００５９】図１０は、本実施形態におけるブロードキ
ャストパケットの転送手順を示している。送信元端末で
はデータが生起するとブロードキャストパケットを無線
基地局７−６に送信する（９−１）。無線基地局７−６
では、パケット暗号化手段１２が端末認証手段１０から
取得した暗号鍵のうちＶＬＡＮ鍵を選択（９−２）して
ブロードキャストパケットを暗号化（９−３）し、全て
のパケット端末（同図では無線パケット端末＃１，＃
２）へブロードキャストパケットを送信する（９−
４）。各無線パケット端末＃１，＃２では、暗号鍵とし
てＶＬＡＮ鍵を選択（９−５）し、暗号化されたブロー
ドキャストパケットを復号化する（９−６）。このよう
に本実施形態では、暗号化にＶＬＡＮ鍵を用いているた
め、同じＶＬＡＮ−ＩＤを有するパケット端末がブロー
ドキャストパケット及びマルチキャストパケットを復号
化することが可能である。

【００６０】図１１は、ブロードキャストパケットがネ
ットワーク内を転送されてゆく様子を示している。同図
に示すように、ユーザＬＡＮ＃Ａに属する無線パケット
端末７−７ａ（送信端末）がブロードキャストパケット
を無線基地局７−６ａに送信すると、このパケットは無
線パケットバックボーン網７−５に送出される。無線パ
ケットバックボーン網７−５は、ＶＬＡＮ−ＩＤ４−３
に応じて中継ノード７−９ａからゲートウェイ７−３及
び中継ノード７−９ｂにブロードキャストパケットを転
送する。ここで、ゲートウェイ７−３はＶＬＡＮ−ＩＤ
４−３を見て、ユーザＬＡＮ＃Ａに接続されたゲートウ
ェイ７−１へブロードキャストパケットを転送する。一
方、中継ノード７−９ｂはブロードキャストパケットを
さらに中継ノード７−９ｃと転送し、中継ノード７−９
ｃは、ユーザＬＡＮ＃Ａに属する無線パケット端末７−
７ｃが接続された無線基地局７−６ｃにブロードキャス
トパケットを転送する。

【００６１】このように、ＶＬＡＮ−ＩＤを用いたルー
チング情報によって経路が選択されてブロードキャスト
パケットが転送される。また、無線基地局７−６ｂには
ユーザＬＡＮ＃Ｂに属する無線パケット端末７−７ｂの
みが接続されており、ＶＬＡＮ−ＩＤ４−３と同じＶＬ
ＡＮ−ＩＤを有する無線パケット端末を配下に持ってい
ない。したがって、中継ノード７−９ｂは無線基地局７
−６ｂに対してブロードキャストパケットを転送しな
い。

【００６２】なお、上述した説明では第２実施形態を基
にしたパケット転送手順について説明したが、第１実施
形態を基にしても良い。そうした場合、端末情報テーブ
ルとしては表２の代わりに表１を使用することになるほ
か、ＶＬＡＮ−ＩＤと送信元アドレスの対応が端末情報
に登録済みであるか確認する（図９における８−３）代
わりに、この対応が端末情報に一致するかどうか確認す
ることになる（図６における５−３）。

【００６３】以上のように、本実施形態によれば第１〜
第２実施形態に加えて以下の効果が得られる。すなわ
ち、本実施形態では、宛先アドレスに応じて次の中継ノ
ードを選択してパケットを転送するため、無線パケット
端末が他の無線パケット端末にパケット転送する時に
は、ゲートウェイを経由することなく最適な経路を選択
して転送することが可能であって、転送遅延時間の増加
を防止することができる。

【００６４】また、ブロードキャストパケット又はマル
チキャストパケットを転送する場合は、ＶＬＡＮ−ＩＤ
に応じて次の中継ノードを選択して転送するため、同じ
ＶＬＡＮ−ＩＤを用いて通信している全ての無線パケッ
ト端末に対してゲートウェイからユニキャスト転送する
必要がない。したがって、最適な経路選択でパケットを
転送することが可能であり、転送遅延時間，トラヒッ
ク，ゲートウェイの処理負荷の増加をそれぞれ防止する
ことができる。

【００６５】また、ＶＬＡＮ−ＩＤが同じであれば共通
の暗号鍵を用いてブロードキャストパケット又はマルチ
キャストパケットを暗号化しているため、無線基地局
は、同一のＶＬＡＮ−ＩＤを持つ配下の全無線パケット
端末に対して、１回の送信でブロードキャストパケット
又はマルチキャストパケットを転送することが可能とな
る。したがって、各無線パケット端末の暗号鍵を用いて
暗号化したパケットを複数回送信する場合に比べて、ト
ラヒック，転送遅延時間，基地局の負荷を抑制すること
ができる。なお、ＶＬＡＮ鍵は端末固有の暗号鍵ではな
いが、異なるＶＬＡＮ−ＩＤを持つパケット端末は知り
えないため、なりすましによる不正アクセスは生じな
い。

【００６６】［第４実施形態］この第４実施形態は、請
求項１，２，４，５，９記載のパケット転送方法および
請求項１１，１４記載の基地局を適用した場合に相当し
ている。

【００６７】本実施形態におけるパケット網のネットワ
ーク構成は図８に示した第３実施形態の構成に等しい。
また、本実施形態における無線基地局の構成，無線パケ
ット端末の認証手順，デ一タパケットの改竄検出手順及
びパケットの信号フォーマットは、図２〜図５に示した
第１実施形態の場合とそれぞれ等しい。

【００６８】第３実施形態と同様に、ＶＬＡＮ−ＩＤは
各ユーザＬＡＮ７−４に固有の値があらかじめ割り当て
られている。

【００６９】無線パケット端末７−７は、自分の所属す
るユーザＬＡＮ７−４のＶＬＡＮ−ＩＤをあらかじめ端
末認証サーバ７−８の端末情報テーブルに登録してい
る。

【００７０】第３実施形態と同様に、無線基地局７−６
は、無線パケット端末７−７から受信したパケットの
内、当該無線パケット端末が接続を許可されているユー
ザＬＡＮ７−４のＶＬＡＮ−ＩＤの何れかとＶＬＡＮ−
ＩＤ４−３が一致するパケットのみを転送し、何れのＶ
ＬＡＮ−ＩＤにも一致しないパケットは廃棄する。

【００７１】また、端末認証サーバ７−８は表３に示し
た第３実施形態と同じＶＬＡＮ情報テーブルを持ってお
り、ＶＬＡＮ鍵はブロードキャストパケット及びマルチ
キャストパケットの暗号化に使用される、無線パケット
網が各無線パケット端末７−７にＶＬＡＮ鍵をあらかじ
め通知しておくことも第３実施形態と同じである。

【００７２】本実施形態における端末情報テーブルは表
２に示した第２実施形態の端末情報テーブルと等しい。
この端末情報テーブルに登録された暗号鍵（端末鍵）
は、端末認証時，ユニキャストパケットの暗号化時，な
らびに，無線パケット端末によるブロードキャスト及び
マルチキャストパケットの暗号化時にそれぞれ用いられ
る。なお、無線パケット網は各無線パケット端末７−７
に端末鍵をあらかじめ通知しておく。

【００７３】図１２は、本実施形態におけるパケット転
送手順を示している。無線基地局７−６では、第３実施
形態と同様にして、端末認証手段１０が通信開始時にお
いて無線パケット端末７−７に対する認証を行い、当該
パケット端末が正規の端末であれば暗号通信を開始す
る。なお、この認証に際して端末認証手段１０が端末認
証サーバ７−８から端末情報と共にＶＬＡＮ情報を得る
のも第３実施形態と同じである。次に、第３実施形態と
は異なって、無線パケット端末７−７はユニキャストパ
ケット／ブロードキャストパケット／マルチキャストパ
ケットの区別なく端末鍵を用いてデータパケットを暗号
化して無線基地局７−６に送信する（１１−１）。無線
基地局７−６では、パケット復号化手段１３がユニキャ
ストパケット／ブロードキャストパケット／マルチキャ
ストパケットを区別することなく端末鍵を用いてデータ
パケットを復号化する。そしてこれ以後の手順は第３実
施形態と同じである。無線基地局７−６は、受信したデ
ータパケットが改竄されていればデータパケットを廃棄
し、改竄されていなければＶＬＡＮ−ＩＤと送信元アド
レスとの対応が端末情報に登録済みであれば宛先アドレ
ス４−１で指定される宛先端末にデータパケットを転送
する（１１−２）。このとき、データパケットは第３実
施形態と同様に転送されてゆく。一方、ＶＬＡＮ−ＩＤ
と送信元アドレスとの対応が端末情報に登録されていな
い場合、フィルタリング手段１６はデータパケットを廃
棄する。

【００７４】本実施形態では、無線基地局７−６が送信
するブロードキャストパケット及びマルチキャストパケ
ットの暗号化の際には第３実施形態と同様にＶＬＡＮ鍵
を用いるため、同じＶＬＡＮ−ＩＤを有するパケット端
末はブロードキャストパケット及びマルチキャストパケ
ットの復号が可能である。一方、無線パケット端末７−
７が送信するブロードキャストパケット及びマルチキャ
ストパケットの暗号化には端末鍵を用いているため、無
線基地局７−６は第３実施形態のように２種類の暗号鍵
（端末鍵，ＶＬＡＮ鍵）を切り替えて暗号を復号化する
必要がない。

【００７５】また、本実施形態においてブロードキャス
トパケットをパケット網で転送する様子は、図１０〜図
１１に示す第３実施形態の場合に等しい。すなわち、無
線基地局７−６がブロードキャスト又はマルチキャスト
パケットを送信する場合には、ＶＬＡＮ鍵を用いてパケ
ットの暗号化が行われることになる。

【００７６】なお、上述した説明では第２実施形態を基
にしたパケット転送手順について説明したが、第１実施
形態を基にしても良い。その場合には、第３実施形態で
説明したように、表１に示す端末情報テーブルを使用す
るとともに、ＶＬＡＮ−ＩＤと送信元アドレスの対応が
端末情報に一致するかどうか確認することになる。

【００７７】以上のように、本実施形態によれば、第３
実施形態と同様に、無線パケット端末が他の無線パケッ
ト端末にパケット転送する時には、ゲートウェイを経由
することなく最適な経路を選択して転送することが可能
であって、転送遅延時間の増加を防止することができ
る。

【００７８】これに加えて本実施形態では、無線基地局
がブロードキャストパケット又はマルチキャストパケッ
トを転送する際には、ＶＬＡＮ−ＩＤに共通する暗号鍵
を用いて暗号化している。このため、無線基地局は同じ
ＶＬＡＮ−ＩＤを持つ配下の全無線パケット端末に対し
て１回の送信でパケット転送することができる。したが
って、各無線パケット端末の暗号鍵を用いて暗号化して
複数回送信する場合に比べて、トラヒック，転送遅延時
間，基地局の負荷をそれぞれ抑制することができる。

【００７９】また、無線パケット端末がブロードキャス
トパケット又はマルチキャストパケットを転送する際、
ユニキャストパケット用の暗号鍵を用いて暗号化してい
る。したがって、無線基地局は無線パケット端末からパ
ケットを受信した時に暗号鍵を切り替えることなく復号
することが可能となり、ブロードキャストパケット及び
マルチキャストパケット用の暗号鍵を用いて暗号化して
送信する場合に比べて、無線基地局にかかる負荷を抑制
することができる。

【００８０】［第５実施形態］この第５実施形態は、請
求項１，２，４，５，１０記載のパケット転送方法およ
び請求項１１，１５記載の基地局を適用した場合に相当
している。

【００８１】本実施形態におけるパケット網のネットワ
ーク構成は、図８に示す第３実施形態の構成に等しい。
また、本実施形態における無線基地局の構成，無線パケ
ット端末の認証手順，データパケットの改竄検出手順及
びパケットの信号フォーマットは、図２〜図５に示した
第１実施形態の場合とそれぞれ等しい。

【００８２】第３実施形態と同様に、ＶＬＡＮ−ＩＤは
各ユーザＬＡＮ７−４に固有の値があらかじめ割り当て
られている。

【００８３】端末認証サーバ７−８は第３実施形態と同
様に端末情報テーブル及びＶＬＡＮ情報テーブルを有し
ている。

【００８４】第３実施形態と同様に、無線基地局７−６
は、無線パケット端末７−７から受信したパケットの
内、当該無線パケット端末が接続を許可されているユー
ザＬＡＮ７−４のＶＬＡＮ−ＩＤの何れかとＶＬＡＮ−
ＩＤ４−３が一致するパケットのみを転送し、何れのＶ
ＬＡＮ−ＩＤにも一致しないパケットは廃棄する。

【００８５】本実施形態では、ＶＬＡＮ鍵はパケットを
暗号化するときに使用される。なお、無線パケット網は
各無線パケット端末７−７にＶＬＡＮ鍵をあらかじめ通
知しておく。

【００８６】本実施形態における端末情報テーブルは、
表２に示した第２実施形態の端末情報テーブルと等し
い。ここで、本実施形態ではこの端末情報テーブルに登
録する暗号鍵として、各パケット端末が所属するユーザ
ＬＡＮ７−４のＶＬＡＮ鍵を用いる。

【００８７】図１３は、本実施形態におけるパケット転
送手順を示している。第３実施形態と同様に、無線基地
局７−６では端末認証手段１０が通信開始時に無線パケ
ット端末７−７に対する認証を行い、当該パケット端末
が正規の端末であれば暗号通信を開始する。なお、この
認証に際して端末認証サーバ７−８から端末情報と共に
ＶＬＡＮ情報を得るのも第３実施形態と同じである。次
に、第３実施形態及び第４実施形態とは異なって、無線
パケット端末７−７はユニキャストパケット／ブロード
キャストパケット／マルチキャストパケットの区別なく
ＶＬＡＮ鍵を用いてデータパケットを暗号化して無線基
地局７−６に送信する（１２−１）。無線基地局７−６
では、パケット復号化手段１３がユニキャストパケット
／ブロードキャストパケット／マルチキャストパケット
を区別することなくＶＬＡＮ鍵を用いてデータパケット
を復号化する。そしてこれ以後の手順は第３実施形態と
同じである。無線基地局７−６は、受信したデータパケ
ットが改竄されていればパケットを廃棄し、改竄されて
いなければＶＬＡＮ−ＩＤと送信元アドレスとの対応が
端末情報に登録済みであれば宛先アドレス４−１で指定
される宛先端末にデータパケットを転送する（１２−
２）。このとき、データパケットは第３実施形態と同様
に転送されてゆく。一方、ＶＬＡＮ−ＩＤと送信元アド
レスとの対応が端末情報に登録されていない場合、フィ
ルタリング手段１６はデータパケットを廃棄する。

【００８８】本実施形態では、第３実施形態と違って暗
号化にＶＬＡＮ鍵のみを用いるようにして端末鍵を用い
てないため、同じＶＬＡＮ−ＩＤを有する無線パケット
端末が、ブロードキャストパケット及びマルチキャスト
パケットに施された暗号を復号化することが可能であ
る。また、無線基地局及び無線パケット端末は２種類の
暗号鍵を切り替えて暗号化及び復号化を行う必要がない
ため、無線基地局及び無線パケット端末にかかる負荷を
抑制することができる。

【００８９】なお、本実施形態においてブロードキャス
トパケットをパケット網で転送する様子は、図１１に示
す第３実施形態の場合に等しい。また、上述した説明で
は第２実施形態を基にしたパケット転送手順について説
明したが、第１実施形態を基にしても良い。その場合に
は、第３実施形態で説明したように、表１に示す端末情
報テーブルを使用するとともに、ＶＬＡＮ−ＩＤと送信
元アドレスの対応が端末情報に一致するかどうか確認す
ることになる。

【００９０】以上のように、本実施形態によれば、第３
実施形態と同様に、無線パケット端末が他の無線パケッ
ト端末にパケット転送する時には、ゲートウェイを経由
することなく最適な経路を選択して転送することが可能
であって、転送遅延時間の増加を防止することができ
る。

【００９１】これに加えて本実施形態では、パケットを
転送する際、ＶＬＡＮ−ＩＤに共通する暗号鍵を用いて
暗号化しているため、無線基地局は同じＶＬＡＮ−ＩＤ
を有する配下の全無線パケット端末に対して、１回の送
信でブロードキャストパケット及びマルチキャストパケ
ットを転送することができる。したがって、各無線パケ
ット端末の暗号鍵を用いて暗号化して複数回送信する場
合に比べて、トラヒック，転送遅延時間，基地局の負荷
をそれぞれ抑制することができる。

【００９２】また、ＶＬＡＮ−ＩＤに共通する暗号鍵を
用いているため、無線基地局及び無線パケット端末はパ
ケットを受信した時に暗号鍵を切り替えることなく復号
することが可能となる。したがって、２種類の暗号鍵を
用いる場合に比べて、無線基地局及び無線パケット端末
にかかる負荷を抑制することができる。なお、ＶＬＡＮ
鍵は端末固有の暗号鍵ではないが、異なるＶＬＡＮ−Ｉ
Ｄを持つパケット端末は知りえないため、なりすましに
よる不正アクセスは生じない。

【００９３】［第６実施形態］この第６実施形態は、請
求項１，３，５記載のパケット転送方法および請求項１
２記載の基地局を適用した場合に相当している。本実施
形態では第１実施形態に変形を加えて、ＶＬＡＮ−ＩＤ
を通信開始時において動的に割り当てるようにしたもの
である。本実施形態におけるパケット網のネットワーク
構成，無線基地局の構成，データパケットの改竄検出手
順及びパケットの信号フォーマットは、図１，図２，図
４及び図５に示した第１実施形態の場合とそれぞれ等し
い。

【００９４】本実施形態では、ＶＬＡＮ−ＩＤの動的割
り当てを実現するためにユーザＬＡＮ１−４の各々にあ
らかじめ固有の名称（以下、「ユーザＬＡＮ名」とい
う）を割り当てておく。例えば図１において、ＬＡＮ＃
Ａには「ユーザＬＡＮ＃Ａ」を割り当て、ＬＡＮ＃Ｂに
は「ユーザＬＡＮ＃Ｂ」を割り当てるようにする。ま
た、本実施形態ではユーザＬＡＮ名とＶＬＡＮ−ＩＤの
対応関係を保持するために、無線基地局１−６が表４に
示すＶＬＡＮ−ＩＤ割当管理テーブルを記憶している。
さらに本実施形態において、端末認証サーバ１−８の保
持する端末情報テーブルは表５に示す通りであり、ＶＬ
ＡＮ−ＩＤの代わりにユーザＬＡＮ名を使用する点が第
１実施形態（表１）と異なっている。

【００９５】

【表４】

【００９６】

【表５】

【００９７】本実施形態では図３に示した認証手順に一
部変更を加えて図１４に示す無線パケット端末の認証手
順を採用している。図１４に示すように、無線パケット
端末１−７は通信開始要求信号を無線基地局１−６へ送
信する際に、自分の所属しているユーザＬＡＮに割り当
てられたユーザＬＡＮ名（例えば「ユーザＬＡＮ＃
Ａ」）を含めて送信している（１８−１）。無線基地局
１−６では、端末認証手段１０が送られたユーザＬＡＮ
名を内部に記憶しておく。次に、第１実施形態と同様
に、無線基地局１−６は端末認証サーバ１−８に要求
（２−２）を行って端末情報を取得（２−３）してこれ
を端末情報記憶手段１１に記憶し、端末認証用の乱数を
暗号化して無線パケット端末１−７に認証要求信号を送
信（２−４）し、無線パケット端末１−７が送り返す認
証応答信号（２−５）に基づいて認証を行う。

【００９８】この認証によって無線パケット端末１−７
が正規の端末と判断された場合、端末認証手段１０は無
線パケット端末１−７から通知（１８−１）されている
ユーザＬＡＮ名にＶＬＡＮ−ＩＤを割り当てる（１８−
６）。いま、無線パケット端末１−７から通知された例
えばユーザＬＡＮ名が「ユーザＬＡＮ＃Ａ」である場
合、端末認証手段１０はこのユーザＬＡＮに対して例え
ば「ＶＬＡＮ−ＩＤ＃Ａ」を割り当て、表４に示すよう
に「ユーザＬＡＮ＃Ａ」および「ＶＬＡＮ−ＩＤ＃Ａ」
の組をＶＬＡＮ−ＩＤ割当管理テーブルに追加する。次
いで、端末認証手段１０は認証受付信号を用いて無線パ
ケット端末１−７に通信許可を通知するが、このとき端
末認証手段１０はいま割り当てたＶＬＡＮ−ＩＤ＃Ａを
無線パケット端末１−７に通知する（１８−７）。な
お、無線パケット端末１−７が不正端末と判断された場
合の処理は第１実施形態と同じである。

【００９９】一方、図１５は本実施形態におけるパケッ
ト転送手順を示している。まず、本実施形態では認証手
順として図１４に示した認証手順を実行する（１９−
１）。次に、無線パケット端末１−７はデータパケット
を無線基地局１−６に送信するが、その際、ＶＬＡＮ−
ＩＤ４−３としては先に通知されたＶＬＡＮ−ＩＤ（図
１４の１８−７）を用いる。この後は、第１実施形態と
同様にして宛先端末へのデータパケットの転送（５−
２）の処理までを行うが、データパケットが改竄されて
おらず、ユーザＬＡＮ名と送信元アドレスの対応が端末
情報に一致するかどうか確認する際（１９−２）には次
に述べる処理を行う。すなわち、無線基地局１−６で
は、端末アドレス／ＶＬＡＮ−ＩＤ比較手段１５が、送
信元アドレス４−２に対応するユーザＬＡＮ名を表５に
示す端末情報テーブルから取得し、取得したユーザＬＡ
Ｎ名に対応するＶＬＡＮ−ＩＤを表４に示すＶＬＡＮ−
ＩＤ割当管理テーブルから検索し、検索されたＶＬＡＮ
−ＩＤとデータパケット中のＶＬＡＮ−ＩＤ４−３が一
致するかどうか判定する。フィルタリング手段１６はこ
の判定結果に基づいて、両者が一致していれば宛先アド
レス４−１で指定された宛先端末にデータパケットを転
送（５−２）し、両者が一致していなければデータパケ
ットを廃棄する。その後に、無線パケット端末１−７と
宛先端末との間で通信が終了したならば、無線基地局１
−６では端末認証手段１０が表４に示したＶＬＡＮ−Ｉ
Ｄ割当管理テーブルから「ユーザＬＡＮ＃Ａ」および
「ＶＬＡＮ−ＩＤ＃Ａ」の組を削除しそれによって、無
線パケット端末１−７に割り当てたＶＬＡＮ−ＩＤを解
放する（１９−３）。

【０１００】以上のように、本実施形態では無線パケッ
ト端末１−７に対してＶＬＡＮ−ＩＤを動的に割り当て
ているため、限られたＶＬＡＮ−ＩＤを効率的に再利用
することができ、より多くのユーザＬＡＮを収容するこ
とができる。

【０１０１】［第７実施形態］この第７実施形態は、請
求項１，３，５記載のパケット転送方法および請求項１
２記載の基地局を適用した場合に相当している。本実施
形態は、第６実施形態で説明したＶＬＡＮ−ＩＤの動的
割り当てを第２実施形態に適用したものである。したが
って、本実施形態におけるパケット網のネットワーク構
成，無線基地局の構成，データパケットの改竄検出手順
及びパケットの信号フォーマットは、図１，図２，図４
及び図５に示した第１実施形態の場合とそれぞれ等し
い。

【０１０２】本実施形態では、端末認証サーバ１−８が
表６に示す端末情報テーブルを記憶している。表５（第
６実施形態）と比較した場合、一つの端末アドレスにつ
いて、当該端末アドレスを持つパケット端末に通信を許
可するユーザＬＡＮ名が複数登録されている。

【０１０３】

【表６】

【０１０４】本実施形態における無線パケット端末の認
証手順は図１６に示すものとなる。図１６に示す認証手
順と図１４（第６実施形態）との相違は、無線パケット
端末１−７が通信開始要求信号を無線基地局１−６へ送
信する際に、通信相手のユーザＬＡＮ名を指定して無線
基地局１−６に通知する（２０−１）点である。したが
って、この後に行われる認証手順は第６実施形態と同じ
である。

【０１０５】一方、図１７は本実施形態におけるパケッ
ト転送手順を示している。本実施形態では、まず認証手
順として図１６に示した手順を実行する（２１−１）。
次に、無線パケット端末１−７はデータパケットを無線
基地局１−６に送信するが、その際、ＶＬＡＮ−ＩＤ４
−３としては先に通知されたＶＬＡＮ−ＩＤ（図１６の
１８−７）を用いる。この後は、第２実施形態と同様に
して宛先端末へのデータパケットの転送（６−２）の処
理までを行うが、データパケットが改竄されておらず、
ユーザＬＡＮ名と送信元アドレスの対応が端末情報に登
録済みかどうか確認する際（２１−２）には次に述べる
処理を行う。すなわち、無線基地局１−６において、端
末アドレス／ＶＬＡＮ−ＩＤ比較手段１５は、受信パケ
ットに含まれるＶＬＡＮ−ＩＤ４−３に対応するユーザ
ＬＡＮ名を表４に示すＶＬＡＮ−ＩＤ割当管理テーブル
から検索し、検索されたユーザＬＡＮ名と受信パケット
に含まれる送信元アドレス４−２の組が、表６に示す端
末情報テーブル中の端末アドレスとユーザＬＡＮ名の複
数の組の中に存在するかどうかを調べ、この組が端末情
報テーブルに存在していなければ上記対応が端末情報に
未登録であると判断する。一方、この組が端末情報テー
ブルに存在する場合、端末アドレス／ＶＬＡＮ−ＩＤ比
較手段１５は当該ユーザＬＡＮ名に割り当ててあるＶＬ
ＡＮ−ＩＤを表４に示すＶＬＡＮ−ＩＤ割当管理テーブ
ルから取得し、取得したＶＬＡＮ−ＩＤとパケット中の
ＶＬＡＮ−ＩＤ４−３が一致するかどうか調べ、一致し
ていれば上記対応が端末情報に登録済みであると判断
し、一致していなければ上記対応が端末情報に未登録で
あると判断する。フィルタリング手段１６は、この判断
結果に基づいて上記対応が端末情報に登録済みであれば
宛先アドレス４−１で指定された宛先端末にデータパケ
ットを転送（６−２）し、上記対応が端末情報に未登録
であればデータパケットを廃棄する。その後、無線パケ
ット端末１−７と宛先端末の間で通信が終了したなら
ば、第６実施形態と同様にして、端末認証手段１０は無
線パケット端末１−７に割り当てたＶＬＡＮ−ＩＤを解
放する（２１−３）。

【０１０６】［第８実施形態］この第８実施形態は、請
求項１，２，５記載のパケット転送方法および請求項１
１記載の基地局を適用した場合に相当している。これま
で説明した各実施形態では、端末アドレスとしてＭＡＣ
アドレスを用い、ユーザＬＡＮに対してＶＬＡＮ−ＩＤ
を割り当てるようにしていた。これに対して、本実施形
態では端末アドレスとしてＩＰアドレスを用いるととも
に、ユーザＬＡＮには各ユーザＬＡＮ１−４に対して固
有のネットワークアドレスをあらかじめ割り当ててお
く。前述したようにＩＰアドレスは図１８に示す構成を
しているが、本実施形態ではこのＩＰアドレスに含まれ
るネットワークアドレス部をＶＬＡＮ−ＩＤの代わりに
用いる。つまり、本実施形態においてはデータパケット
中の宛先アドレス４−１の上位ビットを抽出することで
ネットワークアドレスが得られることになる。したがっ
て、図５に示したＶＬＡＮ−ＩＤ４−３は不要となり、
本実施形態における信号フォーマットは図１９に示すも
のとなる。

【０１０７】また、本実施形態における端末情報テーブ
ルは表７に示すものとなり、表１で使用されていたＶＬ
ＡＮ−ＩＤの代わりにネットワークアドレスが使用され
る。さらに、本実施形態における無線パケット端末１−
７は、自分の所属するユーザＬＡＮ１−４のネットワー
クアドレスをそれぞれ端末認証サーバ１−８にあらかじ
め登録している。なお、本実施形態におけるパケット網
のネットワーク構成，，無線基地局の構成，無線パケッ
ト端末の認証手順及びデータパケットの改竄検出手順
は、図１〜図４に示した第１実施形態の場合とそれぞれ
等しい。

【０１０８】

【表７】

【０１０９】図２０は本実施形態におけるパケット転送
手順を示しており、図６（第１実施形態）に示したパケ
ット転送手順とは以下の点が相違する。すなわち、無線
基地局１−６では、パケット改竄検出手段１４が受信し
たデータパケット（５−１）の改竄を検出しなかった場
合、端末アドレス／ＶＬＡＮ−ＩＤ比較手段１５は、受
信したデータパケットの宛先アドレス４−１からネット
ワークアドレス部を抽出し、送信元アドレス４−２に基
づいて表７に示した端末情報テーブルから無線パケット
端末１−７の所属するユーザＬＡＮのネットワークアド
レスを取得して、これら２つのネットワークアドレスが
一致するかどうかを確認する（２４−１）。その後、フ
ィルタリング手段１６は送られた確認結果に基づいて、
両ネットワークアドレスが一致していれば第１実施形態
と同様に宛先アドレス４−１で指定された宛先端末にデ
ータパケットを転送する（５−２）。一方、両ネットワ
ークアドレスが一致していなければ、フィルタリング手
段１６はデータパケットを廃棄する。

【０１１０】以上のように、本実施形態では、第１実施
形態のようにデータパケット中にＶＬＡＮ−ＩＤのよう
な余分なフィールドを設ける必要がない。

【０１１１】［第９実施形態］この第９実施形態は、請
求項１，２，５記載のパケット転送方法および請求項１
１記載の基地局を適用した場合に相当している。本実施
形態は、第８実施形態で説明したネットワークアドレス
の使用を第２実施形態に適用したものである。本実施形
態においても、ユーザＬＡＮ１−４に対して各ユーザＬ
ＡＮに固有のネットワークアドレスをあらかじめ割り当
てておく。また、本実施形態における端末情報テーブル
は表８に示す通りであって、表２で使用されていたＶＬ
ＡＮ−ＩＤの代わりにネットワークアドレスが使用され
ている。なお、本実施形態におけるパケット網のネット
ワーク構成，無線基地局の構成，無線パケット端末の認
証手順，データパケットの改竄検出手順及びパケットの
信号フォーマットは、図１〜図４及び図１９に示したも
のとそれぞれ等しい。

【０１１２】

【表８】

【０１１３】図２１は本実施形態におけるパケット転送
手順を示しており、図７（第２実施形態）に示したパケ
ット転送手順とは以下の点が相違する。すなわち、無線
基地局１−６では、パケット改竄検出手段１４が受信し
たデータパケット（６−１）の改竄を検出しなかった場
合、端末アドレス／ＶＬＡＮ−ＩＤ比較手段１５は、受
信したデータパケットの宛先アドレス４−１からネット
ワークアドレス部を抽出し、送信元アドレス４−２に基
づいて無線パケット端末１−７が通信を許されているユ
ーザＬＡＮに割り当てられている全てのネットワークア
ドレスを表８に示した端末情報テーブルから取得する。
次いで、端末アドレス／ＶＬＡＮ−ＩＤ比較手段１５
は、取得したネットワークアドレスの中に宛先アドレス
４−１から抽出されたネットワークアドレスと一致する
ものが登録されているかどうか確認する。フィルタリン
グ手段１６は送られた確認結果に基づいて、一致するネ
ットワークアドレスが存在していれば宛先アドレス４−
１で指定された宛先端末にデータパケットを転送（６−
２）し、一致するネットワークが全く無ければデータパ
ケットを廃棄する。

【０１１４】以上のように、本実施形態においても、第
１実施形態のようにデータパケット中にＶＬＡＮ−ＩＤ
のような余分なフィールドを設ける必要がない。

【０１１５】［第１０実施形態］この第１０実施形態
は、請求項１，２，４，５，８記載のパケット転送方法
および請求項１１，１３記載の基地局を適用した場合に
相当している。本実施形態は、第８実施形態で説明した
ネットワークアドレスの使用を第３実施形態に適用した
ものである。本実施形態においても、ユーザＬＡＮ１−
４には各ユーザＬＡＮに固有のネットワークアドレスを
あらかじめ割り当てておく。本実施形態におけるパケッ
ト網のネットワーク構成は図８に示した第３実施形態の
場合と等しい。また、本実施形態における無線基地局の
構成，無線パケット端末の認証手順，データパケットの
改竄検出手順及びパケットの信号フォーマットは、図２
〜図４及び図１９に示したものとそれぞれ等しい。ま
た、端末認証サーバ７−８には表９に示すＶＬＡＮ情報
テーブルが設けられており、ＶＬＡＮ−ＩＤの代わりに
ネットワークアドレスを使用している点で表３（第３実
施形態）と相違している。なお、本実施形態において
も、第３実施形態と同様に、無線パケット網が各無線パ
ケット端末７−７にＶＬＡＮ鍵をあらかじめ通知してお
く。

【０１１６】

【表９】

【０１１７】図２２は本実施形態におけるパケット転送
手順を示しており、図９に示した第３実施形態の手順と
は以下の点が相違する。まず、受信したデータパケット
（８−１）の改竄が検出されなかった場合、第９実施形
態と同様にして、端末アドレス／ＶＬＡＮ−ＩＤ比較手
段１５は、受信したデータパケットの宛先アドレス４−
１から抽出されるネットワークアドレスが、無線パケッ
ト端末７−７に対して通信が許可されている複数のユー
ザＬＡＮ１−４に割り当てたネットワークアドレスの中
に登録されているかどうかを確認する（２６−１）。そ
してフィルタリング手段１６はこの確認結果に応じてパ
ケットを転送する（８−２）か廃棄するかを決定する。

【０１１８】ここで、データパケットを転送する際（８
−２）に、宛先端末がユーザＬＡＮ７−４と接続してい
る場合、各中継ノード７−９はデータパケット中の宛先
アドレス４−１に応じて次の送信ポートを選択してゲー
トウェイ７−３へデータパケットを転送する。ゲートウ
ェイ７−３は宛先アドレス４−１から抽出されるネット
ワークアドレスに応じてゲートウェイ７−１又はゲート
ウェイ７−２を選択して、データパケットをユーザＬＡ
Ｎ７−４から宛先端末に転送する。一方、宛先端末が無
線パケット網と接続している場合は、第３実施形態と同
様に、各中継ノード７−９は宛先アドレス４−１に応じ
て次の送信ポートを選択して、ゲートウェイを介するこ
となくパケットを宛先端末へ転送する。

【０１１９】本実施形態におけるブロードキャストパケ
ットの転送手順は基本的に第３実施形態（図１０）と同
様であって、ＶＬＡＮ−ＩＤの代わりに宛先アドレスか
ら抽出されるネットワークアドレスを用いて経路選択が
行われる点が相違している。

【０１２０】以上のように、本実施形態においても、第
１実施形態のようにデータパケット中にＶＬＡＮ−ＩＤ
のような余分なフィールドを設ける必要がない。なお、
ここではネットワークアドレスの使用を第３実施形態へ
適用した場合について説明したが、第３実施形態と第４
〜第５実施形態とでは無線パケット端末７−７から無線
基地局７−６へデータパケットを送信する際の暗号鍵の
使い方が異なるだけである。したがって、これら第４〜
第５実施形態においてもＶＬＡＮ−ＩＤの代わりにネッ
トワークアドレスを使用することができる。

【０１２１】［第１１実施形態］この第１１実施形態
は、請求項１，６記載のパケット転送方法を適用した場
合に相当している。

【０１２２】本実施形態におけるパケット網の構成，無
線基地局の構成，無線パケット端末の認証手順及びデー
タパケットの改竄検出手順は、図１〜図４に示した第１
実施形態の場合とそれぞれ等しい。

【０１２３】表１０は、本実施形態における端末情報テ
ーブルを示しており、端末アドレスと、端末認証に必要
な情報としての暗号鍵とで構成されている。

【０１２４】

【表１０】

【０１２５】各ユーザＬＡＮ１−４に接続するゲートウ
ェイ１−１，１−２は、それぞれ許可アドレス情報を許
可アドレステーブルに持っている。表１１はゲートウェ
イ１−１の許可アドレステーブルを示しており、表１２
はゲートウェイ１−２の許可アドレステーブルを示して
いる。ゲートウェイ１−１，１−２は、送信元アドレス
４−２が各ゲートウェイの許可アドレステーブルに登録
されているデータパケットだけをユーザＬＡＮ１−４に
転送する。

【０１２６】

【表１１】

【０１２７】

【表１２】

【０１２８】また、本実施形態における無線パケット網
のパケットの信号フォーマットは、第８実施形態で説明
した図１９のものと同じであって、宛先アドレス４−１
と送信元アドレス４−２をヘッダ情報として持ってお
り、ユーザデータ４−４は暗号化される。

【０１２９】図２３は、本実施形態におけるパケット転
送手順を示している。無線基地局１−６では、端末認証
手段１０が通信開始時に無線パケット端末１−７に対す
る認証を行い、当該パケット端末が正規の端末の場合は
暗号通信を開始する。なお、この認証に際して端末認証
手段１０は端末認証サーバ１−８から端末情報を得る。
次に、無線パケット端末１−７は暗号化されたデータパ
ケットを無線基地局１−６に送信する（１４−１）。無
線基地局１−６ではパケット復号化手段１３がデータパ
ケットを復号化して、パケット改竄検出手段１４が受信
データパケット（１４−１）の改竄を検出した場合はこ
の受信データパケットを廃棄する。なお、これまでの手
順は第１実施形態（図６）と同じである。一方、改竄が
検出されない場合、端末アドレス／ＶＬＡＮ−ＩＤ比較
手段１５は第１実施形態のようにＶＬＡＮ−ＩＤと送信
元アドレスとの対応を確認することはせず、受信データ
パケットをそのままフィルタリング手段１６に送出し、
フィルタリング手段１６は宛先アドレス４−１で指定さ
れた宛先端末にデータパケットを転送する（１４−
２）。この時、宛先端末がユーザＬＡＮ１−４と接続し
ていれば、データパケットはゲートウェイ１−３からゲ
ートウェイ１−１又はゲートウェイ１−２を介してユー
ザＬＡＮ１−４に転送される。その際、選択されたゲー
トウェイはデータパケット中の送信元アドレス４−２を
確認し、当該アドレスが選択されたゲートウェイの許可
アドレステーブルに登録済みであればデータパケットを
ユーザＬＡＮ１−４に転送し、未登録であれば当該デー
タパケットを廃棄する。一方、宛先端末が無線パケット
網と接続している場合、データパケットはゲートウェイ
を介することなく宛先端末に転送される。

【０１３０】以上のように、本実施形態では、通信開始
時に端末認証することによって、無線パケット端末を特
定可能であり、未知の端末や端末アドレスを偽造した端
末からの不正アクセスを防止することができる。また、
暗号化してパケットを転送することにより、不正な端末
が認証された正規の端末になりすますことを防止可能で
あり、なりすまし端末による不正アクセスを防止するこ
とができる。さらに、暗号の復号時に改竄を検出してパ
ケットを廃棄することにより、改竄されたパケットの転
送を防止可能であり、改竄データによる通信の妨害と無
線パケット網のトラヒック増加を防止することができ
る。加えて、ゲートウェイが宛先アドレスと送信元アド
レスに応じてパケットの転送を許可することで、認証さ
れたパケット端末が通信の許可されていないユーザＬＡ
Ｎにアクセスするのを防止可能であり、他ユーザＬＡＮ
に所属している端末からの不正アクセスを防止すること
ができる。

【０１３１】〔第１２実施形態〕この第１２実施形態
は、請求項１，７，８記載のパケット転送方法を適用し
た場合に相当している。

【０１３２】本実施形態におけるパケット網の構成は図
８に示す第３実施形態の構成に等しい。また、本実施形
態における無線基地局の構成，無線パケット端末の認証
手順，データパケットの改竄検出手順及びパケットの信
号フォーマットは、図２〜図５に示した第１実施形態の
場合とそれぞれ等しい。

【０１３３】第３実施形態と同様に、ＶＬＡＮ−ＩＤは
各ユーザＬＡＮ７−４に固有の値があらかじめ割り当て
られている。

【０１３４】端末認証サーバ７−８は第３実施形態と同
様に端末情報テーブルとＶＬＡＮ情報テーブルを有して
いる。本実施形態におけるＶＬＡＮ情報テーブルは、表
３に示す第３実施形態におけるＶＬＡＮ情報テーブルに
等しい。本実施形態では、ＶＬＡＮ鍵がブロードキャス
トパケット及びマルチキャストパケットの暗号化に使用
される。なお、無線パケット網は各無線パケット端末７
−７にＶＬＡＮ鍵をあらかじめ通知しておく。

【０１３５】本実施形態における端末情報テーブルは、
表１０に示す第１１実施形態における情報テーブルと等
しい。この端末情報テーブルに登録した暗号鍵（端末
鍵）は、端末認証及びユニキャストパケットの暗号化に
用いられる。なお、無線パケット網は各無線パケット端
末７−７に端末鍵をあらかじめ通知しておく。

【０１３６】各ユーザＬＡＮ７−４に接続するゲートウ
ェイ７−１，７−２は、第１１実施形態におけるゲート
ウェイ１−１，１−２と同様に、許可アドレス情報を表
１１，表１２に示した許可アドレステーブルに持ってい
る。

【０１３７】図２４は、本実施形態におけるパケット転
送手順を示している。第３実施形態と同様に、無線基地
局７−６では端末認証手段１０が通信開始時に無線パケ
ット端末７−７に対する認証を行い、当該パケット端末
が正規の端末であれば暗号通信を開始する。なお、この
認証に際して端末認証手段１０が端末認証サーバ７−８
から端末情報と共にＶＬＡＮ情報を得るのも第３実施形
態と同じである。次に、無線パケット端末７−７は第３
実施形態と同様にパケットに応じた暗号鍵としてＶＬＡ
Ｎ鍵又は端末鍵を選択し、暗号化されたデータパケット
を無線基地局７−６に送信する（１５−１）。無線基地
局７−６は第３実施形態と同様にパケットに応じた復号
鍵を選択してデータパケットを復号化する。そして、パ
ケット改竄検出手段１４が受信データパケット（１５−
１）の改竄を検出した場合はこの受信データパケットを
廃棄する。一方、改竄が検出されない場合、端末アドレ
ス／ＶＬＡＮ−ＩＤ比較手段１５は第３実施形態のよう
にＶＬＡＮ−ＩＤと送信元アドレスとの対応を確認する
ことはせず、受信データパケットをそのままフィルタリ
ング手段１６に送出し、フィルタリング手段１６は宛先
アドレス４−１で指定される宛先端末に転送するために
データパケットを無線パケット網へ送信する（１５−
２）。この時、宛先端末がユーザＬＡＮ７−４と接続し
ている場合、各中継ノード７−９はデータパケット中の
宛先アドレス４−１に応じて次の送信ポートを選択して
ゲートウェイ７−３へデータパケットを転送する。ゲー
トウェイ７−３は宛先アドレス４−１から抽出されるネ
ットワークアドレスに応じてゲートウェイ７−１又はゲ
ートウェイ７−２を選択し、選択されたゲートウェイに
接続するユーザＬＡＮ７−４から宛先端末にデータパケ
ットを転送する（１５−３）。その際、選択されたゲー
トウェイはデータパケット中の送信元アドレス４−２を
確認し、当該アドレスが選択されたゲートウェイの許可
アドレステーブルに登録済みであればデータパケットを
ユーザＬＡＮ７−４に転送し、未登録であれば当該デー
タパケットを廃棄する。一方、宛先端末が無線パケット
網と接続している場合は、第３実施形態と同様に、各中
継ノード７−９は宛先アドレス４−１に応じて次の送信
ポートを選択して、ゲートウェイを介することなくデー
タパケットを宛先端末へ転送する。

【０１３８】本実施形態におけるブロードキャストパケ
ットの転送手順は、図１０に示す第３実施形態の場合と
等しい。本実施形態では、暗号化にＶＬＡＮ鍵を用いて
いるため、第３実施形態と同様に、ＶＬＡＮ−ＩＤの同
じパケット端末は、ブロードキャストパケット及びマル
チキャストパケットの復号が可能である。

【０１３９】また、本実施形態においてブロードキャス
トパケットをパケット網が転送する様子は、図１１に示
す第３実施形態の場合と等しい。

【０１４０】以上のように、本実施形態によれば、第１
１実施形態によって得られる効果に加えて次に述べる効
果が得られる。すなわち、宛先アドレスに応じて次の中
継ノードを選択してパケットを転送するため、無線パケ
ット端末が他の無線パケット端末にパケット転送する時
には、ゲートウェイを経由することなく最適な経路を選
択して転送することが可能であって、転送遅延時間の増
加を防止することができる。また、ブロードキャストパ
ケット及びマルチキャストパケットを転送する場合は、
ＶＬＡＮ−ＩＤにより次の中継ノードを選択してパケッ
トを転送するため、同じＶＬＡＮ−ＩＤを用いて通信中
の全ての無線パケット端末に対してゲートウェイがユニ
キャスト転送する必要がなくなり、最適な経路選択で転
送することが可能であって、転送遅延時間，トラヒッ
ク，ゲートウェイの処理負荷の増加を防止することがで
きる。また、ブロードキャストパケット又はマルチキャ
ストパケットを転送する際は、ＶＬＡＮ−ＩＤに共通す
る暗号鍵を用いて暗号化しているため、無線基地局は同
じＶＬＡＮ−ＩＤを持つ配下の全無線パケット端末に対
して１回の送信でこれらパケットを転送することができ
る。したがって、各無線パケット端末の暗号鍵を用いて
暗号化して複数回送信する場合に比べて、トラヒック，
転送遅延時間，基地局の負荷をそれぞれ抑制することが
できる。なお、ＶＬＡＮ鍵は端末固有の暗号鍵ではない
が、異なるＶＬＡＮ−ＩＤを持つパケット端末は知りえ
ないため、なりすましによる不正アクセスは生じない。

【０１４１】〔第１３実施形態〕この第１３実施形態
は、請求項１，７，９記載のパケット転送方法を適用し
た場合に相当している。

【０１４２】本実施形態におけるパケット網の構成は図
８に示す第３実施形態の構成に等しい。また、本実施形
態における無線基地局の構成，無線パケット端末の認証
手順，データパケットの改竄検出手順及びパケットの信
号フォーマットは、図２〜図５に示した第１実施形態の
場合とそれぞれ等しい。

【０１４３】第３実施形態と同様に、ＶＬＡＮ−ＩＤは
各ユーザＬＡＮに固有の値があらかじめ割り当てられて
いる。端末認証サーバ７−８は第３実施形態と同様に端
末情報テーブルとＶＬＡＮ情報テーブルを有している。
本実施形態におけるＶＬＡＮ情報テーブルは、表３に示
す第３実施形態におけるＶＬＡＮ情報テーブルに等し
い。

【０１４４】本実施形態において、ＶＬＡＮ鍵は無線基
地局７−６がブロードキャストパケット及びマルチキャ
ストパケットを暗号化するときに使用される。なお、無
線パケット網は各無線パケット端末７−７にＶＬＡＮ鍵
をあらかじめ通知しておく。

【０１４５】また、本実施形態における端末情報テーブ
ルは表１０に示す第１１実施形態の端末情報テーブルと
等しい。この端末情報テーブルに登録した暗号鍵（端末
鍵）は、端末認証時，ユニキャストパケットの暗号化
時，ならびに，無線パケット端末７−７によるブロード
キャスト及びマルチキャストパケットの暗号化時におい
てそれぞれ用いられる。なお、無線パケット網は各無線
パケット端末７−７に端末鍵をあらかじめ通知してお
く。

【０１４６】ゲートウェイ７−１，７−２は第１１実施
形態におけるゲートウェイ１−１，１−２と同様に、表
１１，表１２に示す許可アドレステーブルをそれぞれ有
している。

【０１４７】図２５は、本実施形態におけるパケット転
送手順を示している。第３実施形態と同様に、無線基地
局７−６では端末認証手段１０が通信開始時に無線パケ
ット端末７−７に対する認証を行い、当該パケット端末
が正規の端末であれば暗号通信を開始する。なお、この
認証に際して端末認証手段１０が端末認証サーバ７−８
から端末情報と共にＶＬＡＮ情報を得るのも第３実施形
態と同じである。次に、無線パケット端末７−７は第４
実施形態と同様にユニキャストパケット／ブロードキャ
ストパケット／マルチキャストパケットの区別なく端末
鍵を用いてデータパケットを暗号化して無線基地局７−
６に送信する（１６−１）。無線基地局７−６では、パ
ケット復号化手段１３がユニキャストパケット／ブロー
ドキャストパケット／マルチキャストパケットを区別す
ることなく端末鍵を用いてデータパケットを復号化す
る。これ以後は、第１２実施形態と同様に、無線基地局
７−６は受信したデータパケットが改竄されていればパ
ケットを廃棄し、改竄されていない場合は、ＶＬＡＮ−
ＩＤと送信元アドレスとの対応を確認することなく、第
１２実施形態と同様にして宛先アドレス４−１で指定さ
れる宛先端末までデータパケットを転送する（１６−
３）。すなわち、宛先端末がユーザＬＡＮ７−４と接続
しているならば、データパケットは各中継ノード７−
９，ゲートウェイ７−３，ゲートウェイ７−１又はゲー
トウェイ７−２，ユーザＬＡＮ７−４を経て宛先端末に
転送される。その際、ゲートウェイ７−１又は７−２は
データパケット（１６−２）の送信元アドレス４−２が
許可アドレステーブルに登録済みであればデータパケッ
トをユーザＬＡＮ７−４に転送し、未登録であれば当該
データパケットを廃棄する。一方、宛先端末が無線パケ
ット網と接続している場合、データパケットはゲートウ
ェイを介することなく宛先端末へ転送される。

【０１４８】また、本実施形態においてブロードキャス
トパケットをパケット網が転送する様子は図１１に示す
第３実施形態の場合に等しい。

【０１４９】本実施形態によれば、第１１実施形態によ
って得られる効果に加えて次に述べる効果が得られる。
すなわち、宛先アドレスに応じて次の中継ノードを選択
してパケットを転送するため、無線パケット端末が他の
無線パケット端末にパケット転送する時には、ゲートウ
ェイを経由することなく最適な経路を選択して転送する
ことが可能であって、転送遅延時間の増加を防止するこ
とができる。また、ブロードキャストパケット及びマル
チキャストパケットを転送する場合は、ＶＬＡＮ−ＩＤ
により次の中継ノードを選択してパケットを転送するた
め、同じＶＬＡＮ−ＩＤを用いて通信中の全ての無線パ
ケット端末に対してゲートウェイがユニキャスト転送す
る必要がなくなり、最適な経路選択で転送することが可
能であって、転送遅延時間，トラヒック，ゲートウェイ
の処理負荷の増加を防止することができる。また、無線
基地局が送信するブロードキャストパケット及びマルチ
キャストパケットの暗号化の際にはＶＬＡＮ鍵を用いる
ため、ＶＬＡＮ−ＩＤの同じパケット端末は暗号の復号
が可能である。また、無線基地局がブロードキャストパ
ケット又はマルチキャストパケットを転送する際は、Ｖ
ＬＡＮ−ＩＤに共通する暗号鍵を用いて暗号化している
ため、無線基地局は同じＶＬＡＮ−ＩＤを持つ配下の全
無線パケット端末に対して１回の送信でこれらパケット
を転送することができる。したがって、各無線パケット
端末の暗号鍵を用いて暗号化して複数回送信する場合に
比べて、トラヒック，転送遅延時間，基地局の負荷をそ
れぞれ抑制することができる。さらに、無線パケット端
末は、送信するブロードキャストパケット及びマルチキ
ャストパケットの暗号化に際して、ユニキャストパケッ
ト用の暗号鍵である端末鍵を用いている。そのため、第
１２実施形態などとは異なり、無線基地局はパケットの
受信時に２種類の暗号鍵を切り替えることなく暗号を復
号することが可能となる。したがって、ブロードキャス
トパケット及びマルチキャストパケット用の暗号鍵を用
いて暗号化して送信する場合に比べて、無線基地局の負
荷を抑制することができる。

【０１５０】〔第１４実施形態〕この第１４実施形態
は、請求項１，７，１０記載のパケット転送方法を適用
した場合に相当している。

【０１５１】本実施形態におけるパケット網の構成は図
８に示す第３実施形態の構成に等しい。また、本実施形
態における無線基地局の構成，無線パケット端末の認証
手順，データパケットの改竄検出手順及びパケットの信
号フォーマットは、図２〜図５に示した第１実施形態の
場合とそれぞれ等しい。

【０１５２】第３実施形態と同様に、ＶＬＡＮ−ＩＤは
各ユーザＬＡＮに対して固有の値があらかじめ割り当て
られている。端末認証サーバ７−８は第３実施形態と同
様に端末情報テーブルとＶＬＡＮ情報テーブルを有して
いる。本実施形態におけるＶＬＡＮ情報テーブルは、表
３に示す第３実施形態におけるＶＬＡＮ情報テーブルに
等しい。本実施形態では、第５実施形態と同様に、ＶＬ
ＡＮ鍵はパケットを暗号化するときに使用される。な
お、無線パケット網は各無線パケット端末７−７にＶＬ
ＡＮ鍵をあらかじめ通知しておく。

【０１５３】本実施形態における端末情報テーブルは表
１０に示した第１１実施形態の端末情報テーブルと等し
い。また、端末情報テーブルに登録した暗号鍵として
は、各端末が所属するユーザＬＡＮ７−４のＶＬＡＮ鍵
を用いる。

【０１５４】ゲートウェイ７−１，７−２は第１１実施
形態におけるゲートウェイ１−１，１−２と同様に、そ
れぞれ表１１，表１２に示す許可アドレステーブルを有
している。

【０１５５】図２６は、本実施形態におけるパケット転
送手順を示している。第３実施形態と同様に、無線基地
局７−６では端末認証手段１０が通信開始時に無線パケ
ット端末７−７に対する認証を行い、当該パケット端末
が正規の端末であれば暗号通信を開始する。なお、この
認証に際して端末認証手段１０が端末認証サーバ７−８
から端末情報と共にＶＬＡＮ情報を得るのも第３実施形
態と同じである。次に、無線パケット端末７−７は第５
実施形態と同様にユニキャストパケット／ブロードキャ
ストパケット／マルチキャストパケットの区別なくＶＬ
ＡＮ鍵を用いてデータパケットを暗号化して無線基地局
７−６に送信する（１７−１）。無線基地局７−６で
は、パケット復号化手段１３がユニキャストパケット／
ブロードキャストパケット／マルチキャストパケットを
区別することなくＶＬＡＮ鍵を用いてデータパケットを
復号化する。これ以後は、第１２実施形態と同様に、無
線基地局７−６は受信したデータパケットが改竄されて
いればパケットを廃棄し、改竄されていない場合は、Ｖ
ＬＡＮ−ＩＤと送信元アドレスとの対応を確認すること
なく、第１２実施形態と同様にして宛先アドレス４−１
で指定される宛先端末までデータパケットを転送する
（１７−３）。すなわち、宛先端末がユーザＬＡＮ７−
４と接続しているならば、データパケットは各中継ノー
ド７−９，ゲートウェイ７−３，ゲートウェイ７−１又
はゲートウェイ７−２，ユーザＬＡＮ７−４を経て宛先
端末に転送される。その際、ゲートウェイ７−１又は７
−２はデータパケット（１７−２）の送信元アドレス４
−２が許可アドレステーブルに登録済みであればデータ
パケットをユーザＬＡＮ７−４に転送し、未登録であれ
ば当該データパケットを廃棄する。一方、宛先端末が無
線パケット網と接続している場合、データパケットはゲ
ートウェイを介することなく宛先端末へ転送される。

【０１５６】本実施形態においてブロードキャストパケ
ットをパケット網が転送する様子は、図１１に示す第３
実施形態の場合と等しい。

【０１５７】以上のように、本実施形態によれば、第１
１実施形態によって得られる効果に加えて次に述べる効
果が得られる。すなわち、宛先アドレスに応じて次の中
継ノードを選択してパケットを転送するため、無線パケ
ット端末が他の無線パケット端末にパケット転送する時
には、ゲートウェイを経由することなく最適な経路を選
択して転送することが可能であって、転送遅延時間の増
加を防止することができる。また、ブロードキャストパ
ケット及びマルチキャストパケットを転送する場合は、
ＶＬＡＮ−ＩＤにより次の中継ノードを選択してパケッ
トを転送するため、同じＶＬＡＮ−ＩＤを用いて通信中
の全ての無線パケット端末に対してゲートウェイがユニ
キャスト転送する必要がなくなり、最適な経路選択で転
送することが可能であって、転送遅延時間，トラヒッ
ク，ゲートウェイの処理負荷の増加を防止することがで
きる。また、本実施形態では、暗号化にＶＬＡＮ鍵のみ
を用いるようにして端末鍵を用いないため、ＶＬＡＮ−
ＩＤの同じパケット端末はブロードキャスト及びマルチ
キャストパケットの暗号を復号することが可能である。
また、ＶＬＡＮ−ＩＤに共通する暗号鍵を用いているた
め、無線基地局及び無線パケット端末はパケット受信時
に２種類の暗号鍵を切り替えて暗号化及び復号する必要
がない。したがって、２種類の暗号鍵を用いる場合に比
べて、無線基地局及び無線パケット端末の負荷を抑制す
ることができる。また、パケットを転送する際は、ＶＬ
ＡＮ−ＩＤに共通する暗号鍵を用いて暗号化しているた
め、無線基地局は同じＶＬＡＮ−ＩＤを持つ配下の全無
線パケット端末に対して１回の送信でこれらパケットを
転送することができる。したがって、各無線パケット端
末の暗号鍵を用いて暗号化して複数回送信する場合に比
べて、トラヒック，転送遅延時間，基地局の負荷をそれ
ぞれ抑制することができる。なお、ＶＬＡＮ鍵は端末固
有の暗号鍵ではないが、異なるＶＬＡＮ−ＩＤを持つパ
ケット端末は知りえないため、なりすましによる不正ア
クセスは生じない。

【０１５８】［第１５実施形態］上述した各実施形態で
は本発明を無線パケット網へ適用した場合について説明
してきたが、本発明は無線パケット網に限らず有線パケ
ット網に適用しても良い。図２７は、前述した第１実施
形態を有線パケット網で実現した場合のネットワーク構
成を示している。同図では、無線パケットバックボーン
網１−５と同等の機能を有するパケットバックボーン網
２７−５，無線／有線の違いを除いて無線基地局１−６
と同等の機能を有するアクセスサーバ（有線接続装置）
２７−６，および無線／有線の違いを除いて無線パケッ
ト端末１−７と同等の機能を有するパケット端末２７−
７がそれぞれ設けられている。これら以外の構成は全て
第１実施形態（図１）と同じである。本実施形態による
パケット転送手順は、アクセスサーバ２７−６とパケッ
ト端末２７−７の間を含めた全ての通信が有線で行われ
る点を除けば、第１実施形態と全く同じになる。また、
図８に示したネットワーク構成を用いる場合にも、無線
パケットバックボーン網７−５，無線基地局７−６，無
線パケット端末７−７をそれぞれパケットバックボーン
網２７−５，アクセスサーバ２７−６，パケット端末２
７−７に置き換えれば良い。したがって、上述した全て
の実施形態に対して有線パケット網のネットワーク構成
を適用することができる。

【０１５９】以上述べた実施形態は全て本発明を例示的
に示すものであって限定的に示すものではなく、本発明
は他の種々の変形態様及び変更態様で実施することがで
きる。従って本発明の範囲は特許請求の範囲及びその均
等範囲によってのみ規定されるものである。

【０１６０】例えば、上記各実施形態では、パケット網
への入口である無線基地局（あるいはアクセスサーバ）
が端末認証やパケット改竄検出などを行うことによっ
て、最も効率的な転送を実現することができる。しかし
ながら、パケット網の構成によっては無線基地局を統括
する制御局などが設けられている場合もあり、そうした
場合には、この制御局が端末認証やパケット改竄検出を
行うようにしても良い。

【０１６１】

【発明の効果】以上説明したように、本発明によれば、
通信開始時に端末認証することによってパケット端末を
特定可能であり、未知の端末や端末アドレスを偽造した
端末からの不正アクセスを防止する効果が得られる。ま
た、暗号化してパケットを転送することにより、不正な
端末が認証された正規の端末になりすますことを防止可
能であり、なりすまし端末による不正アクセスを防止す
る効果が得られる。さらに、暗号の復号時に改竄を検出
してパケットを廃棄することにより、改竄されたパケッ
トの転送を防止可能であり、改竄データによる通信の妨
害とパケット網のトラヒック増加を防止する効果が得ら
れる。

【０１６２】従って、送信元アドレスを偽造することに
よりデータ網（ユーザＬＡＮ）へ不正にアクセスできる
問題を解決し、あらかじめ登録した端末に対してだけ特
定のデータ網との通信を許可するパケット転送方法を提
供することが可能となる。また、パケットの転送遅延時
間，トラヒック，ゲートウェイの負荷が増加する問題を
解決し、最適な経路選択が可能でなおかつ効率的なパケ
ット転送方法を提供することが可能となる。

【０１６３】また、請求項２，３，１１又は１２記載の
発明によれば、識別子又はユーザＬＡＮ名と送信元アド
レスの対応を確認することにより、認証された端末が自
分が接続の許可されていない（あるいは自分の属してい
ない）データ網にアクセスすることを防止可能であり、
あるデータ網に接続を許可されている（あるいは所属し
ている）端末から他データ網への不正アクセスを防止す
る効果が得られる。さらにまた、１パケット端末あたり
複数の識別子又はユーザＬＡＮ名を登録することによ
り、１つのパケット端末で複数のデータ網にアクセスす
ることが可能であり、ユーザヘのサービス性が向上する
という効果が得られる。

【０１６４】また、請求項４又は７記載の発明によれ
ば、宛先アドレスに応じて次の中継ノードを選択してパ
ケットを転送するため、パケット端末が他のパケット端
末にパケット転送する時には、ゲートウェイを経由する
ことなく最適な経路を選択して転送することが可能であ
り、転送遅延時間の増加を防止する効果が得られる。ま
た、ブロードキャストパケット及びマルチキャストパケ
ットを転送する場合は、識別子に応じて次の中継ノード
を選択してパケットを転送するため、同じ識別子を用い
て通信している全てのパケット端末に対してゲートウェ
イからユニキャスト転送する必要がない。したがって、
最適な経路選択でパケットを転送することが可能であ
り、転送遅延時間，トラヒック，ゲートウェイの処理負
荷の増加をそれぞれ防止する効果が得られる。

【０１６５】また、請求項６記載の発明によれば、ゲー
トウェイが宛先アドレスと送信元アドレスに応じてパケ
ットの転送を許可することで、認証されたパケット端末
が通信の許可されていないユーザＬＡＮにアクセスする
ことを防止可能であり、他ユーザＬＡＮに所属している
パケット端末からの不正アクセスを防止する効果が得ら
れる。

【０１６６】また、請求項８又は１３記載の発明によれ
ば、識別子が同じであれば共通の暗号鍵を用いてブロー
ドキャストパケット及びマルチキャストパケットを暗号
化しているため、基地局は同一の識別子を持つ配下の全
パケット端末に対して１回の送信でこれらパケットを転
送することが可能となる。したがって、各パケット端末
の暗号鍵を用いて暗号化して複数回送信する場合に比べ
て、トラヒック，転送遅延時間，基地局の負荷を抑制す
る効果が得られる。

【０１６７】また、請求項９又は１４記載の発明によれ
ば、基地局がブロードキャストパケット及びマルチキャ
ストパケットを転送する際には、識別子に共通する暗号
鍵を用いて暗号化している。このため、基地局は同じ識
別子を持つ配下の全パケット端末に対して１回の送信で
これらパケットを転送することが可能となる。したがっ
て、各パケット端末の暗号鍵を用いて暗号化して複数回
送信する場合に比べて、トラヒック，転送遅延時間，基
地局の負荷をそれぞれ抑制する効果が得られる。また、
パケット端末がブロードキャストパケット及びマルチキ
ャストパケットを転送する際には、ユニキャストパケッ
ト用の暗号鍵を用いて暗号化している。したがって、基
地局はパケット端末からパケットを受信した時に暗号鍵
を切り替えることなく復号することが可能となり、ブロ
ードキャストパケット及びマルチキャストパケット用の
暗号鍵を用いて暗号化して送信する場合に比べて、基地
局にかかる負荷を抑制する効果が得られる。

【０１６８】また、請求項１０又は１５記載の発明によ
れば、パケットを転送する際、識別子に共通の暗号鍵を
用いて暗号化しているため、基地局は同じ識別子を有す
る配下の全パケット端末に対して１回の送信でブロード
キャストパケット及びマルチキャストパケットを転送す
ることが可能となる。したがって、各パケット端末の暗
号鍵を用いて暗号化して複数回送信する場合に比べて、
トラヒック，転送遅延時間，基地局の負荷をそれぞれ抑
制する効果が得られる。また、識別子に共通する暗号鍵
を用いているため、基地局及びパケット端末はパケット
の受信時において暗号鍵を切り替えることなく復号する
ことが可能となる。したがって、２種類の暗号鍵を用い
る場合に比べて、基地局及びパケット端末にかかる負荷
を抑制する効果が得られる。

【図面の簡単な説明】

【図１】 本発明の第１実施形態における無線パケット
通信のネットワーク構成を示すブロック図である。

【図２】 本発明の各実施形態における無線基地局の構
成を示すブロック図である。

【図３】 本発明の第１実施形態における無線パケット
通信の認証手順を示す図である。

【図４】 同実施形態におけるデータパケットの改竄検
出手順を示す図である。

【図５】 同実施形態におけるパケットの信号フォーマ
ットを示す図である。

【図６】 同実施形態におけるパケット転送手順を示す
図である。

【図７】 本発明の第２実施形態におけるパケット転送
手順を示す図である。

【図８】 本発明の第３実施形態における無線パケット
通信のネットワーク構成を示すブロック図である。

【図９】 同実施形態におけるパケット転送手順を示す
図である。

【図１０】 同実施形態におけるブロードキャストパケ
ットの転送手順を示す図である。

【図１１】 同実施形態におけるブロードキャストパケ
ットの転送の様子を示す図である。

【図１２】 本発明の第４実施形態におけるパケット転
送手順を示す図である。

【図１３】 本発明の第５実施形態におけるパケット転
送手順を示す図である。

【図１４】 本発明の第６実施形態における無線パケッ
ト通信の認証手順を示す図である。

【図１５】 同実施形態におけるパケット転送手順を示
す図である。

【図１６】 本発明の第７実施形態における無線パケッ
ト通信の認証手順を示す図である。

【図１７】 同実施形態におけるパケット転送手順を示
す図である。

【図１８】 ＩＰアドレスの構成を示す図である。

【図１９】 本発明の第８実施形態におけるパケットの
信号フォーマットを示す図である。

【図２０】 同実施形態におけるパケット転送手順を示
す図である。

【図２１】 本発明の第９実施形態におけるパケット転
送手順を示す図である。

【図２２】 本発明の第１０実施形態におけるパケット
転送手順を示す図である。

【図２３】 本発明の第１１実施形態におけるパケット
転送手順を示す図である。

【図２４】 本発明の第１２実施形態におけるパケット
転送手順を示す図である。

【図２５】 本発明の第１３実施形態におけるパケット
転送手順を示す図である。

【図２６】 本発明の第１４実施形態におけるパケット
転送手順を示す図である。

【図２７】 本発明の第１５実施形態における有線パケ
ット通信のネットワーク構成を示すブロック図である。

【符号の説明】

１−１、１−２、１−３、７−１、７ー２、７−３ ゲ
ートウェイ １−４、７−４ ユーザＬＡＮ １−５、７−５ 無線パケットバックボーン網 １−６、７−６、７−６ａ〜７−６ｃ 無線基地局 １−７、７−７、７−７ａ〜７−７ｃ 無線パケット端
末 １−８、７−８ 端末認証サーバ １−１０、７−１０ 中継路 ４−１ 宛先アドレス ４−２ 送信元アドレス ４−３ ＶＬＡＮ−ＩＤ ４−４ ユーザデータ ７−９、７−９ａ〜７−９ｃ 中継ノード １０ 端末認証手段 １１ 端末情報記憶手段 １２ パケット暗号化手段 １３ パケット復号化手段 １４ パケット改竄検出手段 １５ 端末アドレス／ＶＬＡＮ−ＩＤ比較手段 １６ フィルタリング手段 ２７−５ パケットバックボーン網 ２７−６ アクセスサーバ（有線接続装置） ２７−７ パケット端末

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 ＦＩ Ｈ０４Ｌ 12/66 Ｈ０４Ｌ 9/00 ６７３Ｃ 12/56 11/20 Ｂ １０２Ｚ (72)発明者 高梨 斉 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 (72)発明者 守倉 正博 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内

Claims (15)

【特許請求の範囲】
1. 【請求項１】 パケット網が基地局と該基地局を接続す
   るパケットバックボーン網とから構成されており、前記
   基地局が配下に複数のパケット端末を収容しており、前
   記パケットバックボーン網がさらに複数の他パケット網
   であるユーザＬＡＮに接続されているネットワークを用
   いたパケット通信であり、前記各パケット端末は固有の
   端末アドレスを有すると共に宛先端末の前記端末アドレ
   スである宛先アドレスと自己の端末アドレスである送信
   元アドレスとを付与したパケットを送信し、前記ネット
   ワークが前記宛先アドレスを用いて前記パケットの転送
   を行うパケット転送方法であって、 前記パケット網は、前記パケット端末が前記基地局を介
   して通信を開始する際に前記パケット端末の端末認証を
   行い、 認証に成功した前記パケット端末は、送信すべきデータ
   を暗号化して、前記宛先端末が属するユーザＬＡＮに割
   り当てられる識別子と前記宛先アドレスと前記送信元ア
   ドレスを該暗号化データに付与したパケットを前記パケ
   ット網へ送信し、 前記パケット網は、前記パケットを受信して該受信パケ
   ットに含まれる前記暗号化データを復号し、該受信パケ
   ットが改竄されていなければ、前記受信パケットに含ま
   れる前記送信元アドレス及び前記識別子に基づいて、該
   識別子を持つユーザＬＡＮに対して前記パケット端末が
   通信を許可されている場合にだけ前記受信パケットを該
   ユーザＬＡＮに転送し、該通信が許可されていない場合
   には前記受信パケットを廃棄することを特徴とするパケ
   ット転送方法。
2. 【請求項２】 パケット網が基地局と該基地局を接続す
   るパケットバックボーン網とから構成されており、前記
   基地局が配下に複数のパケット端末を収容しており、前
   記パケットバックボーン網がさらに複数の他パケット網
   であるユーザＬＡＮに接続されているネットワークを用
   いたパケット通信であり、前記各パケット端末は固有の
   端末アドレスを有すると共に宛先端末の前記端末アドレ
   スである宛先アドレスと自己の端末アドレスである送信
   元アドレスとを付与したパケットを送信し、前記ネット
   ワークが前記宛先アドレスを用いて前記パケットの転送
   を行うパケット転送方法であって、 前記ユーザＬＡＮを識別する識別子を前記各ユーザＬＡ
   Ｎにあらかじめ割り当てておき、 前記パケット網は、前記端末アドレスと通信を許されて
   いる１つ以上のユーザＬＡＮにそれぞれ割り当てられた
   前記識別子と端末認証に必要な情報とを対応づけた端末
   情報をあらかじめ記憶し、 前記パケット網は、前記パケット端末が前記基地局を介
   して通信を開始する際に、前記情報を使用して前記パケ
   ット端末の端末認証を行い、前記パケット端末が正規の
   端末であれば前記パケット端末に対して通信許可を通知
   し、 前記パケット端末は、前記通信許可が通知されたのであ
   れば、１つ以上の前記ユーザＬＡＮの中から通信するユ
   ーザＬＡＮを一つ選択し、送信すべきデータを暗号化し
   て、該選択したユーザＬＡＮに割り当てられた識別子と
   前記宛先アドレスと前記送信元アドレスを該暗号化デー
   タに付与したパケットを前記パケット網へ送信し、 前記パケット網は、前記パケットを受信して該受信パケ
   ットに含まれる前記暗号化データの復号時に改竄の有無
   を判定し、改竄が検出されていれば前記受信パケットを
   廃棄し、改竄されていない場合には、前記受信パケット
   に含まれる前記送信元アドレスと前記識別子との対応が
   前記端末情報に登録されているかどうかを確認し、該対
   応が登録済みである場合には前記受信パケットを前記宛
   先アドレスに転送し、該対応が未登録の場合には前記受
   信パケットを廃棄することを特徴とするパケット転送方
   法。
3. 【請求項３】 パケット網が基地局と該基地局を接続す
   るパケットバックボーン網とから構成されており、前記
   基地局が配下に複数のパケット端末を収容しており、前
   記パケットバックボーン網がさらに複数の他パケット網
   であるユーザＬＡＮに接続されているネットワークを用
   いたパケット通信であり、前記各パケット端末は固有の
   端末アドレスを有すると共に宛先端末の前記端末アドレ
   スである宛先アドレスと自己の端末アドレスである送信
   元アドレスとを付与したパケットを送信し、前記ネット
   ワークが前記宛先アドレスを用いて前記パケットの転送
   を行うパケット転送方法であって、 前記ユーザＬＡＮ毎にあらかじめ固有のユーザＬＡＮ名
   を割り当てておき、 前記パケット網は、前記端末アドレスと通信を許されて
   いる１つ以上のユーザＬＡＮにそれぞれ割り当てられた
   前記ユーザＬＡＮ名と端末認証に必要な情報を対応づけ
   た端末情報をあらかじめ記憶し、 前記パケット端末は前記基地局を介して通信を開始する
   際に、１つ以上の前記ユーザＬＡＮの中から通信するユ
   ーザＬＡＮを一つ選択し、該選択したユーザＬＡＮに割
   り当てられた前記ユーザＬＡＮ名を前記パケット網へ通
   知し、 前記パケット網は、前記情報を使用して前記パケット端
   末の端末認証を行い、前記パケット端末が正規の端末で
   あれば、前記パケット端末から通知された前記ユーザＬ
   ＡＮ名に対して前記ユーザＬＡＮを識別するための識別
   子を割り当てて前記パケット端末に通知し、 前記パケット端末は、送信すべきデータを暗号化して、
   前記選択したユーザＬＡＮに割り当てられた識別子と前
   記宛先アドレスと前記送信元アドレスを該暗号化データ
   に付与したパケットを前記パケット網へ送信し、 前記パケット網は、前記パケットを受信して該受信パケ
   ットに含まれる前記暗号化データの復号時に改竄の有無
   を判定し、改竄が検出されていれば前記受信パケットを
   廃棄し、改竄されていない場合には、前記受信パケット
   に含まれる識別子を割り当てたユーザＬＡＮ名と前記受
   信パケットに含まれる送信元アドレスとの対応が前記端
   末情報に登録されているかどうかを確認し、該対応が登
   録済みである場合には前記受信パケットを前記宛先アド
   レスに転送し、該対応が未登録の場合には前記受信パケ
   ットを廃棄し、 前記パケット網は、その後に前記パケット端末が通信を
   終了した時に前記ユーザＬＡＮ名に割り当てた前記識別
   子を解放するようにしたことを特徴とするパケット転送
   方法。
4. 【請求項４】 前記パケットバックボーン網が、前記パ
   ケットを中継する複数の中継ノードを有し、これら各中
   継ノードが前記受信パケットを前記宛先アドレスに転送
   するための経路選択の機能を有するネットワークを用い
   たパケット転送方法であって、 前記パケット網は、前記経路選択のためのルーチング情
   報として前記受信パケット中の前記宛先アドレスと前記
   識別子とを用い、 ユニキャストパケットを転送する場合、前記宛先端末が
   前記パケット網に接続中であれば、前記宛先アドレスに
   応じて前記中継ノードを順次選択しながら該パケットを
   前記宛先端末まで転送し、前記宛先端末が前記パケット
   網に接続中でなければ、前記識別子に応じて前記中継ノ
   ードを順次選択しながら該パケットを前記ユーザＬＡＮ
   まで転送し、 ブロードキャストパケット及びマルチキャストパケット
   を転送する場合は、前記識別子を用いて前記中継ノード
   を順次選択して該中継ノードに該パケットを順次転送し
   てゆき、同じ識別子を用いて通信中の全ての前記パケッ
   ト端末及び該識別子により指定される前記ユーザＬＡＮ
   に該パケットを転送することを特徴とする請求項２記載
   のパケット転送方法。
5. 【請求項５】 前記パケットバックボーン網と前記複数
   のユーザＬＡＮの間をゲートウェイで接続したネットワ
   ークを用いたパケット転送方法であって、 前記ユーザＬＡＮを介して前記受信パケットを前記宛先
   アドレスへ転送する際、前記ゲートウェイが前記受信パ
   ケットに含まれる前記識別子に応じて前記ユーザＬＡＮ
   を選択して該選択されたユーザＬＡＮへ前記受信パケッ
   トを転送することを特徴とする請求項２〜４の何れかの
   項記載のパケット転送方法。
6. 【請求項６】 パケット網が基地局と該基地局を接続す
   るパケットバックボーン網とから構成されており、前記
   基地局が配下に複数のパケット端末を収容しており、前
   記パケットバックボーン網がさらに複数の他パケット網
   であるユーザＬＡＮにゲートウェイを介して接続されて
   いるネットワークを用いたパケット通信であり、前記各
   パケット端末は固有の端末アドレスを有すると共に宛先
   端末の前記端末アドレスである宛先アドレスと自己の端
   末アドレスである送信元アドレスとを付与したパケット
   を送信し、前記ネットワークが前記宛先アドレスを用い
   て前記パケットの転送を行うパケット転送方法であっ
   て、 前記パケット網は、前記端末アドレスと端末認証に必要
   な情報とを対応づけた端末情報をあらかじめ記憶し、 前記ゲートウェイは、前記パケット網と前記ユーザＬＡ
   Ｎの間でパケットの転送を許可する送信元の端末アドレ
   スをあらかじめ記憶し、 前記パケット網は、前記パケット端末が前記基地局を介
   して通信を開始する際に、前記情報を使用して前記パケ
   ット端末の端末認証を行い、前記パケット端末が正規の
   端末であれば前記パケット端末に通信許可を通知し、 前記パケット端末は、前記通信許可が通知されたのであ
   れば、送信すべきデータを暗号化して前記宛先アドレス
   と前記送信元アドレスを付与したパケットを前記パケッ
   ト網へ送信し、 前記パケット網は、前記パケットを受信して該受信パケ
   ットに含まれる前記暗号化データの復号時に改竄の有無
   を判定し、改竄が検出されていれば前記受信パケットを
   廃棄し、改竄されていない場合には前記受信パケットを
   前記ゲートウェイに転送し、 前記ゲートウェイは、前記パケット網から転送されたパ
   ケットに含まれる前記送信元アドレスに対する転送が許
   可されている場合は該転送パケットを前記ユーザＬＡＮ
   から前記宛先アドレスに転送し、該転送が許可されてい
   ない場合は該転送パケットを廃棄するようにしたことを
   特徴とするパケット転送方法。
7. 【請求項７】 前記パケットバックボーン網が、前記パ
   ケットを中継する複数の中継ノードを有し、これら各中
   継ノードが前記パケットを前記宛先アドレスに転送する
   ための経路選択機能を有するネットワークを用いたパケ
   ット転送方法であって、 前記ユーザＬＡＮを識別する識別子を前記各ユーザＬＡ
   Ｎにあらかじめ割り当てておき、 前記パケット端末は、前記パケットを前記パケット網へ
   送信する際に、複数の前記ユーザＬＡＮの中から接続す
   るユーザＬＡＮを一つ選択して、該選択したユーザＬＡ
   Ｎの識別子を前記パケットにさらに付与して送信し、 前記パケット網は、前記経路選択のためのルーチング情
   報として送信された前記パケットに含まれる前記宛先ア
   ドレスと前記識別子とを用い、 ユニキャストパケットを転送する場合、前記宛先端末が
   前記パケット網に接続中であれば、前記宛先アドレスに
   応じて前記中継ノードを順次選択しながら該パケットを
   前記宛先端末まで転送し、前記宛先端末が前記パケット
   網に接続中でなければ、前記識別子に応じて前記中継ノ
   ードを順次選択しながら該パケットを前記ゲートウェイ
   に転送し、 ブロードキャストパケット及びマルチキャストパケット
   を転送する場合は、前記識別子を用いて前記中継ノード
   を順次選択して該中継ノードに該パケットを順次転送し
   てゆき、同じ識別子を用いて通信中の全ての前記パケッ
   ト端末と、該識別子により指定される前記ゲートウェイ
   とに転送することを特徴とする請求項６記載のパケット
   転送方法。
8. 【請求項８】 前記暗号化及び前記復号化に際し、前記
   ユニキャストパケットを転送する場合は、前記各パケッ
   ト端末毎に割り当てた暗号鍵を用い、前記ブロードキャ
   ストパケット又は前記マルチキャストパケットを転送す
   る場合は、前記各識別子毎に割り当てた暗号鍵を用いる
   ことを特徴とする請求項４又は７記載のパケット転送方
   法。
9. 【請求項９】 前記暗号化及び前記復号化に際し、前記
   ユニキャストパケットを転送する場合及び前記パケット
   端末が前記ブロードキャストパケット又は前記マルチキ
   ャストパケットを送信する場合は、前記各パケット端末
   毎に割り当てた暗号鍵を用い、前記基地局が前記ブロー
   ドキャストパケット又は前記マルチキャストパケットを
   送信する場合は、前記各識別子毎に割り当てた暗号鍵を
   用いることを特徴とする請求項４又は７記載のパケット
   転送方法。
10. 【請求項１０】 前記暗号化及び前記復号化に際し、暗
    号鍵として前記各識別子毎に割り当てた暗号鍵を用いる
    ことを特徴とする請求項４又は７記載のパケット転送方
    法。
11. 【請求項１１】 他パケット網であるユーザＬＡＮが複
    数接続されたパケットバックボーン網に接続され、か
    つ、配下に複数のパケット端末を収容する基地局であっ
    て、 前記各パケット端末に付与された固有の端末アドレス
    と、前記パケット端末が通信を許されている１つ以上の
    ユーザＬＡＮにそれぞれ割り当てられた識別子と、端末
    認証に必要な情報を対応づけて記憶する端末情報記憶手
    段と、 前記パケット端末からの通信開始要求に応じて前記情報
    を使用した端末認証を行い、前記パケット端末に対して
    認証結果を通知する端末認証手段と、 前記パケットバックボーン網と前記パケット端末の間で
    授受されるパケット中のデータ部を前記情報を用いて暗
    号化して送信するパケット暗号化手段と、 宛先端末の前記端末アドレスである宛先アドレスと前記
    パケット端末の端末アドレスである送信元アドレスと前
    記ユーザＬＡＮに割り当てられた識別子が暗号化データ
    に付与されたパケットを前記パケット端末から受信して
    該暗号化データを復号するパケット復号化手段と、 前記復号されたデータから改竄を検出して該パケットを
    廃棄するパケット改竄検出手段と、 前記パケットに含まれている前記送信元アドレス及び前
    記識別子の組が、前記端末情報記憶手段に記憶されてい
    る前記端末アドレス及び前記識別子の組の中に登録され
    ているかどうかを確認する比較手段と、 前記比較手段による確認結果に基づいて、前記登録があ
    ることを条件に前記宛先アドレスに前記パケットを転送
    し、前記登録が無いことを条件に前記パケットを廃棄す
    るフィルタリング手段とを具備することを特徴とする基
    地局。
12. 【請求項１２】 他パケット網であるユーザＬＡＮが複
    数接続されたパケットバックボーン網に接続され、か
    つ、配下に複数のパケット端末を収容する基地局であっ
    て、 前記各パケット端末に付与された固有の端末アドレス
    と、前記パケット端末が通信を許されている１つ以上の
    ユーザＬＡＮにそれぞれ割り当てられたユーザＬＡＮ名
    と、端末認証に必要な情報を対応づけて記憶する端末情
    報記憶手段と、 前記パケット端末からの通信開始要求に応じて前記情報
    を使用した端末認証を行って、認証結果を前記パケット
    端末に通知するとともに、正規のパケット端末に対して
    は、前記通信開始要求に伴って前記パケット端末から通
    知されるユーザＬＡＮ名に前記ユーザＬＡＮを識別する
    ための識別子を割り当てて通知し、前記パケット端末が
    通信を終了したことを条件として前記ユーザＬＡＮ名に
    割り当てた前記識別子を解放する端末認証手段と、 前記パケットバックボーン網と前記パケット端末の間で
    授受されるパケット中のデータ部を前記情報を用いて暗
    号化して送信するパケット暗号化手段と、 宛先端末の前記端末アドレスである宛先アドレスと前記
    パケット端末の端末アドレスである送信元アドレスと前
    記識別子が暗号化データに付与されたパケットを前記パ
    ケット端末から受信して該暗号化データを復号するパケ
    ット復号化手段と、 前記復号されたデータから改竄を検出して該パケットを
    廃棄するパケット改竄検出手段と、 前記受信したパケットに含まれる識別子を割り当てたユ
    ーザＬＡＮ名と前記受信したパケットに含まれる送信元
    アドレスの組が、前記端末情報記憶手段に記憶されてい
    る前記ユーザＬＡＮ名及び前記端末アドレスの組の中に
    登録されているかどうかを確認する比較手段と、 前記比較手段による確認結果に基づいて、前記登録があ
    ることを条件に前記宛先アドレスに前記パケットを転送
    し、前記登録が無いことを条件に前記パケットを廃棄す
    るフィルタリング手段とを具備することを特徴とする基
    地局。
13. 【請求項１３】 前記パケット暗号化手段は、送信する
    パケットがユニキャストパケットであれば、各パケット
    端末毎に割り当てた暗号鍵を用いて暗号化し、前記送信
    するパケットがブロードキャストパケット又はマルチキ
    ャストパケットであれば、前記各識別子毎に割り当てた
    暗号鍵を用いて暗号化し、 前記パケット復号化手段は、受信したパケットがユニキ
    ャストパケットであれば、前記各パケット端末毎に割り
    当てた暗号鍵を用いて復号化し、前記受信したパケット
    がブロードキャストパケット又はマルチキャストパケッ
    トであれば、前記各識別子毎に割り当てた暗号鍵を用い
    て復号化することを特徴とする請求項１１記載の基地
    局。
14. 【請求項１４】 前記パケット暗号化手段は、送信する
    パケットがユニキャストパケットであれば、各パケット
    端末毎に割り当てた暗号鍵を用いて暗号化し、前記送信
    するパケットがブロードキャストパケット又はマルチキ
    ャストパケットであれば、前記各識別子毎に割り当てた
    暗号鍵を用いて暗号化し、 前記パケット復号化手段は、前記各パケット端末毎に割
    り当てた暗号鍵を用いて復号化することを特徴とする請
    求項１１記載の基地局。
15. 【請求項１５】 前記パケット暗号化手段は、前記各識
    別子毎に割り当てた暗号鍵を用いて送信するパケットの
    データ部を暗号化し、 前記パケット復号化手段は、前記各識別子毎に割り当て
    た暗号鍵を用いて受信したパケットのデータ部を復号す
    ることを特徴とする請求項１１記載の基地局。