WO2014148448A1 - 無線ネットワークシステム、端末管理装置、無線中継装置、および通信方法 - Google Patents

無線ネットワークシステム、端末管理装置、無線中継装置、および通信方法 Download PDF

Info

Publication number
WO2014148448A1
WO2014148448A1 PCT/JP2014/057206 JP2014057206W WO2014148448A1 WO 2014148448 A1 WO2014148448 A1 WO 2014148448A1 JP 2014057206 W JP2014057206 W JP 2014057206W WO 2014148448 A1 WO2014148448 A1 WO 2014148448A1
Authority
WO
WIPO (PCT)
Prior art keywords
wireless
terminal
network system
wireless terminal
security policy
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2014/057206
Other languages
English (en)
French (fr)
Inventor
貴裕 浅野
俊洋 木村
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Yamaha Corp
Original Assignee
Yamaha Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Yamaha Corp filed Critical Yamaha Corp
Priority to US14/778,921 priority Critical patent/US10575177B2/en
Priority to CN201480017480.0A priority patent/CN105052177B/zh
Publication of WO2014148448A1 publication Critical patent/WO2014148448A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04B—TRANSMISSION
    • H04B7/00—Radio transmission systems, i.e. using radiation field
    • H04B7/14—Relay systems
    • H04B7/15—Active relay systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W16/00—Network planning, e.g. coverage or traffic planning tools; Network deployment, e.g. resource partitioning or cells structures
    • H04W16/24—Cell structures
    • H04W16/26—Cell enhancers or enhancement, e.g. for tunnels, building shadow
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/08—Access restriction or access information delivery, e.g. discovery data delivery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Definitions

  • the present invention relates to a technology that allows only terminals that satisfy a predetermined security policy such as not having a security hole to be connected to a wireless network system.
  • Smart devices such as smartphones and tablet terminals are rapidly spreading.
  • This type of smart device has various functions such as an application program execution function, a communication function, and an imaging function, unlike a conventional PDA (Personal Digital Assistant) or a notebook personal computer.
  • PDA Personal Digital Assistant
  • this type of smart device is often used not only for personal use but also for user performance, and the introduction of BYOD (Bring Your ⁇ Own Device) is spreading with the spread of smart devices. is there.
  • the in-house network laid in the office of the user's office includes a wireless LAN (Local Area Network)
  • the smart device owned by the user is connected to the in-house network via the wireless LAN. For example, it is connected and used for the business execution of the user.
  • BYOD in order to prevent the invasion of viruses and the leakage of confidential information into the in-house network, it is common to permit connection to the in-house network only for terminal devices that satisfy a predetermined security policy.
  • a smart device In the case of a smart device, it is common to connect to a company network via a wireless LAN included in the company network. For this reason, in order to realize BYOD for smart devices, a quarantine system corresponding to a wireless network system such as a wireless LAN is required.
  • the quarantine system is a system for checking whether a terminal device to be connected to an in-house network satisfies a predetermined security policy.
  • Prior art relating to this type of quarantine system includes techniques disclosed in Patent Document 1 and Non-Patent Document 1.
  • Patent Document 1 describes that an in-house network is logically divided using VLAN (Virtual Local Area Network), and one of them is assigned a role of “quarantine VLAN”. According to the technology disclosed in Patent Document 1, when connecting a terminal device to an in-house network, first, it is checked whether the security policy is satisfied by connecting to the quarantine VLAN, and if the security policy is satisfied Quarantine of private terminals is realized by connecting to the VLAN for business execution. On the other hand, in Non-Patent Document 1, dedicated software for real-time monitoring of the connection destination is installed in the terminal, and it is identified whether the connection destination is an in-house network or another network such as a general public line. A technique for preventing leakage of confidential information by switching communication settings of a terminal according to a result (for example, prohibiting web access to the outside while connected to an in-house network) is disclosed.
  • VLAN Virtual Local Area Network
  • Keizo Nichikawa “MDM, Basic announced to switch work and private mode according to connection destination network”, [online], September 10, 2012, Nikkei BP, March 21, 2013 search , Internet ⁇ URL http://itpro.nikkeibp.co.jp/article/NEWS/20120910/421722/>
  • Patent Document 1 has a problem that the system is complicated because the in-house network needs to be divided into a plurality of VLANs, and there is a problem that costs for initial setting and operation increase.
  • the technique disclosed in Non-Patent Document 1 has a problem in that since the terminal settings cannot be switched until connection to the in-house network, there is a possibility that connection to the in-house network may be performed with incorrect settings. .
  • the present invention has been made in view of the above problems, and an object of the present invention is to provide a technology that allows only wireless terminals satisfying a security policy to be connected to an in-house network without causing a significant increase in cost. To do.
  • the present invention provides a wireless network system including a wireless relay device and a terminal management device, wherein the terminal management device communicates with a wireless terminal via a communication network different from the wireless network system, Determining means for determining whether or not the wireless terminal satisfies a predetermined security policy, and for connecting to the wireless relay device to the wireless terminal determined by the determining means that the security policy is satisfied There is provided a wireless network system comprising connection information transmitting means for transmitting connection information.
  • connection information is transmitted from the terminal management apparatus to the wireless terminal only when the wireless terminal satisfies the security policy.
  • the connection information may be transmitted via a communication network different from that of the wireless network system.
  • a wireless terminal cannot connect to a wireless relay device (specifically, a wireless access point device), and therefore it is possible to reliably avoid connection of a wireless terminal that does not satisfy the security policy. it can.
  • an in-house network is constructed using the wireless network system of the present invention as a wireless network system for accommodating wireless terminals, only the wireless terminals satisfying the security policy are associated with the in-house network without causing a significant increase in cost. It can be realized to be connected to.
  • a detection device that detects that a wireless terminal has entered the service area of the wireless network system
  • the terminal management device includes a determination unit that targets the wireless terminal detected by the detection device.
  • a mode in which the wireless relay device plays the role of the detection device can be considered.
  • the wireless relay device when the wireless relay device is a wireless access point device, the wireless relay device (wireless access point) indicates that the wireless terminal has entered the service area of its own device triggered by reception of a probe request issued from the wireless terminal. Device).
  • the wireless relay device wireless access point
  • the terminal management apparatus periodically executes a process of communicating with a wireless terminal connected to the wireless relay apparatus via the wireless relay apparatus and performing the determination by the determination unit, and satisfies the security policy.
  • a mode is also conceivable in which the terminal management apparatus executes processing for deleting the connection information from the wireless terminal triggered by the determination by the determination means as having disappeared. This is because, according to such an aspect, it is possible to prevent a security hole from being generated due to, for example, changing the setting of the wireless terminal after being connected to the wireless relay device.
  • the present invention communicates with a wireless terminal via a communication network different from a wireless network system including a wireless relay device, and whether or not the wireless terminal satisfies a predetermined security policy.
  • a terminal management device is provided.
  • the present invention provides a wireless relay device included in a wireless network system, wherein a radio wave intensity of a request message received from a wireless terminal exceeds a predetermined threshold, and a terminal identifier of the wireless terminal Is registered in advance, a terminal notifying unit for notifying the higher-level device of the terminal identifier, and an updating unit for updating a filter for restricting a wireless terminal of a communication partner according to an instruction from the higher-level device.
  • a wireless relay device is provided.
  • the present invention communicates with a wireless terminal via a communication network different from a wireless network system including a wireless relay device, and whether or not the wireless terminal satisfies a predetermined security policy.
  • the communication method is characterized by transmitting connection information for connecting to the wireless relay device to a wireless terminal determined to satisfy the security policy.
  • the present invention provides a communication method in a wireless relay device included in a wireless network system, wherein a radio wave intensity of a request message received from a wireless terminal exceeds a predetermined threshold, and the wireless terminal If the terminal identifier is registered in advance, the terminal identifier is notified to the host device, and a filter for restricting the wireless terminals that communicate via the wireless relay device is sent from the host device according to the instruction.
  • a communication method characterized by updating.
  • a MAC address can be given as a specific example of the terminal identifier, and a MAC address filter can be given as a specific example of the filter.
  • the wireless relay device is connected to a wireless terminal that has obtained connection information for connecting to the wireless relay device via a communication network different from the wireless network system, and communication between the wireless terminal and the wireless network system is performed. You may further have a communication means to perform.
  • a wireless network system included in an in-house network includes a wireless access point device that functions as the wireless relay device and the terminal management device, so that wireless that satisfies the security policy can be achieved without causing a significant increase in cost. Only the terminal can be connected to the in-house network via the wireless network system.
  • FIG. 1 is a block diagram illustrating a configuration example of a wireless network system 1 according to an embodiment of the present invention.
  • 2 is a block diagram showing a configuration example of a wireless access point device 10 included in the wireless network system 1.
  • FIG. 2 is a block diagram showing a configuration example of a terminal management device 50 included in the wireless network system 1.
  • FIG. It is a figure which shows the communication sequence in the embodiment. It is a figure which shows the communication sequence in the embodiment.
  • FIG. 1 is a block diagram illustrating a configuration example of a communication system including a wireless network system 1 according to an embodiment of the present invention.
  • the wireless network system 1 is, for example, a wireless LAN laid in a company office, and forms a corporate network in the company together with a wired LAN (not shown in FIG. 1) laid in the company office.
  • the wireless access point device 10 and the AP controller 30 are each connected to the switching hub 20 by a signal line such as a LAN cable.
  • each wireless access point device 10-n is laid out in the wireless network system 1 by an area (hereinafter referred to as a service area of the wireless access point apparatus) that can receive each communication radio wave emitted with sufficient intensity. It is arranged in various places inside the company so that the inside of the company can be covered.
  • FIG. 2 is a diagram illustrating a configuration example of the wireless access point device 10.
  • the wireless access point device 10 includes a control unit 110, a wireless communication I / F unit 120, a storage unit 130, and a bus 140 that mediates data exchange between these components.
  • the control unit 110 is a CPU (Central Processing Unit).
  • the control unit 110 functions as a control center of the wireless access point device 10 by executing a program stored in the storage unit 130 (more precisely, the nonvolatile storage unit 134).
  • the wireless communication I / F unit 120 includes an antenna, a modulation circuit, a demodulation circuit, and the like (all not shown), modulates data received from the control unit 110, superimposes it on a carrier wave, and sends it to a wireless section.
  • the data superimposed on the carrier wave received from the wireless section is demodulated and provided to the control unit 110.
  • the storage unit 130 includes a volatile storage unit 132 and a nonvolatile storage unit 134.
  • the volatile storage unit 132 is, for example, a RAM (Random Access Memory).
  • the volatile storage unit 132 is used by the control unit 110 as a work area when executing various programs.
  • the nonvolatile storage unit 134 is, for example, an EEPROM (ElectricallyrErasable Programmable Read-Only Memory).
  • the nonvolatile storage unit 134 stores data and a program for causing the control unit 110 to execute processing that clearly shows the features of the present embodiment.
  • An example of data stored in the non-volatile storage unit 134 is the MAC of all wireless terminals that have been applied for use in business operations among private wireless terminals owned by employees of the company.
  • the wireless terminal detects that the transmission source has entered the service area of its own device upon reception of a probe request issued by the wireless terminal, and the wireless terminal A wireless communication program for causing the control unit 110 to execute terminal notification processing for notifying the host device (in this embodiment, the AP controller 30) of the MAC address of the wireless terminal when a use application has been made in advance. .
  • the control unit 110 operating according to the wireless communication program also executes a process of updating the MAC address filter in accordance with an instruction given from the AP controller 30 as in the case of a general wireless access point device.
  • a probe request refers to a communication message transmitted by a wireless terminal to prompt the nearest wireless access point device to broadcast a network identifier (for example, ESSID).
  • the wireless access point device 10 according to the present embodiment is set not to broadcast the network identifier periodically, but also to not broadcast the network identifier or the like even when the probe request is received. This is to prevent unauthorized access due to leakage of the network identifier to a third party or the like.
  • the AP controller 30 determines, for each wireless access point device 10-n, the terminal identifier of the wireless terminal connected to the wireless access point device 10-n (information for identifying the wireless terminal, in this embodiment, the MAC address ) And a function of detecting movement of a wireless terminal between wireless access point devices (so-called handover).
  • the switching hub 20 is connected to a router 40, and a terminal management device 50 is connected to the router 40.
  • a wired LAN that forms an in-house network together with the wireless network system 1 may be connected to the switching hub 20 or may be connected to the router 40.
  • the router 40 is connected to the Internet 2. That is, the wireless network system 1 is connected to the Internet 2 via the router 40.
  • the Internet 2 is connected to a mobile network 3 compliant with a communication standard such as 3G or LTE (Long Term Evolution).
  • the wireless terminal 60 is a smart device owned by an employee of the above company.
  • a base station not shown
  • a wireless access point device 10-n 10
  • a data communication function hereinafter referred to as a second wireless communication function
  • the second wireless communication function can be switched on / off according to the user's instruction, and the user is instructed to turn on the second wireless communication function. Then, the wireless terminal 60 transmits the probe request described above.
  • the wireless terminal 60 stores information indicating the host name assigned to the terminal management device 50 in advance, specifies the communication address (IP address) of the terminal management device 50 based on the host name, Data communication is performed with the terminal management apparatus 50 via the mobile network 3 and the Internet 2 by the first wireless communication function described above.
  • IP address communication address
  • the terminal management device 50 is a so-called MDM (Mobile Device Management) server.
  • FIG. 3 is a diagram illustrating a configuration example of the terminal management device 50.
  • the terminal management device 50 includes a control unit 510, a communication I / F unit 520, a storage unit 530, and a bus 540 that mediates data exchange between these components.
  • the terminal management device 50 has a user I / F unit for allowing the operation manager to perform various operations, an external device I / F unit for connecting other devices, and the like.
  • the illustration and description are omitted.
  • the control unit 510 is a CPU, similar to the control unit 110 in the wireless access point device 10, and executes a program stored in the storage unit 530 (more precisely, the nonvolatile storage unit 534) to execute the terminal management device 50. Acts as a control center for
  • the communication I / F unit 520 is a NIC, for example, and is connected to the router 40 via a signal line such as a LAN cable.
  • the communication I / F unit 520 gives the data received from the router 40 via the signal line to the control unit 510, and transmits the data received from the control unit 510 via the signal line.
  • the storage unit 530 includes a volatile storage unit 532 and a nonvolatile storage unit 534.
  • the volatile storage unit 532 is, for example, a RAM.
  • the volatile storage unit 532 is used by the control unit 510 as a work area when executing various programs.
  • the nonvolatile storage unit 534 is, for example, a hard disk.
  • the nonvolatile storage unit 534 stores data and a program for causing the control unit 510 to execute processing that clearly shows the features of the present embodiment.
  • An example of data stored in the non-volatile storage unit 534 includes data representing a security policy in the company (hereinafter referred to as security policy data).
  • security policy data As specific examples of the security policy data, OS (Operating System) that should be installed in a terminal device connected to the wireless network system 1, data indicating the type and version of application software, and data that should be installed in the terminal device Data indicating application software that is not.
  • OS Operating System
  • the security policy data is used when it is determined whether or not the wireless terminal that has transmitted the probe request satisfies the security policy (that is, the wireless terminal is quarantined).
  • the non-volatile storage unit 534 uses connection information (a network identifier of the wireless network system 1 and wireless communication with the wireless access point device 10) required when connecting a wireless terminal to the wireless access point device 10.
  • connection information a network identifier of the wireless network system 1 and wireless communication with the wireless access point device 10.
  • Information indicating an encryption method and information indicating a security key for the encryption are also stored in advance (not shown in FIG. 3).
  • a quarantine program that causes the control unit 510 to execute a quarantine process that significantly shows the characteristics of the present embodiment can be cited.
  • the details will be clarified in the operation example to avoid duplication, but the control unit 510 operating according to the quarantine program is triggered by the notification of the MAC address from the AP controller 30 and the wireless terminal indicated by the MAC address.
  • the control unit 510 operating according to the quarantine program also functions as a connection information transmission unit that transmits and stores the connection information via the Internet 2 and the mobile network 3 to the wireless terminal determined to satisfy the security policy. To do.
  • the above is the configuration of the wireless network system 1.
  • the wireless terminal 60 transmits the above-described probe request (see FIG. 4).
  • the control unit 110 of the wireless access point device 10 detects that the wireless terminal 60 has entered the service area of its own device upon reception of the probe request transmitted from the wireless terminal 60, and starts executing the terminal notification process. To do. As shown in FIG. 4, the control unit 110 first determines that the probe request has a predetermined condition A (that is, the radio wave intensity exceeds a predetermined threshold, and that the transmission source has made a use application in advance. It is determined whether it is a terminal) (step SA110).
  • a predetermined condition A that is, the radio wave intensity exceeds a predetermined threshold, and that the transmission source has made a use application in advance. It is determined whether it is a terminal
  • the control unit 110 determines that the wireless terminal has been applied for in advance.
  • the control unit 110 transmits a frame (hereinafter referred to as a MAC address notification frame) in which the transmission source MAC address of the probe request is written in the payload portion to the AP controller 30. (Step SA120).
  • the MAC address notification frame transmitted from the wireless access point device 10 in this way is received by the AP controller 30 via the switching hub 20.
  • the AP controller 30 notifies the terminal management device 50 of the MAC address written in the received MAC address notification frame via the switching hub 20 and the router 40 (see FIG. 4).
  • the control unit 510 of the terminal management device 50 starts executing the quarantine process (step SA200) triggered by the notification of the MAC address.
  • FIG. 5 is a sequence flowchart showing a communication flow in the quarantine process.
  • the control unit 510 of the terminal management device 50 uses the device indicated by the MAC address notified from the AP controller 30 (in this operation example, the wireless terminal 60) as a counterpart device via the Internet 2 and the mobile network 3. Establish a communication connection and acquire status information.
  • control unit 510 determines whether or not the state indicated by the state information acquired from wireless terminal 60 satisfies a predetermined security policy (that is, a security policy indicated by security policy data) (step SA210).
  • a predetermined security policy that is, a security policy indicated by security policy data
  • Control unit 510 establishes a wireless communication connection with wireless access point apparatus 10 only when the state of wireless terminal 60 satisfies the security policy (when the determination result in step SA210 is “Yes”).
  • the connection information necessary for the transmission is transmitted to the wireless terminal 60 via the Internet 2 and the mobile network 3 and stored (step SA220).
  • the control unit 510 notifies the AP controller 30 of the MAC address of the wireless terminal 60 (not shown in FIG. 5).
  • the AP controller 30 receives the MAC address from the terminal management device 50, the AP controller 30 issues an update instruction that instructs to update the MAC address filter so as to permit the connection of the terminal identified by the MAC address to the wireless network system 1.
  • the wireless terminal 60 uses the connection information received from the terminal management device 50 to connect to the nearest wireless access point device 10. As described above, in the wireless access point device 10, a MAC address filter is set to permit the connection of the wireless terminal 60. For this reason, the wireless terminal 60 is connected to the wireless network system 1 via the nearest wireless access point device 10. On the other hand, when the state of the wireless terminal 60 does not satisfy the security policy, connection information is not transmitted from the terminal management device 50 to the wireless terminal 60. In addition, the MAC address of the wireless terminal 60 is not notified from the terminal management device 50 to the AP controller 30, and the MAC address filter of the wireless access point device 10 is updated so that the connection of the wireless terminal 60 is permitted. There is nothing. For this reason, the wireless terminal 60 is not connected to the wireless network system 1.
  • the wireless terminal 60 is connected to the wireless network system 1 only when the predetermined security policy is satisfied, and the terminal that does not satisfy the security policy is reliably prevented from being connected to the internal network via the wireless network system 1. can do. Even when the wireless terminal 60 is not connected to the wireless network system 1 because the security policy is not satisfied, the wireless terminal 60 is connected to another wireless communication network (for example, WI-FI) different from the wireless network system 1. Of course, it is possible to access the Internet 2 via another wireless communication network or the mobile network 3.
  • WI-FI wireless communication network
  • the control unit 510 of the terminal management device 50 receives status information from the wireless terminal 60 via the router 40, the switching hub 20, and the wireless access point device 10. Acquire periodically to confirm that the security policy is satisfied.
  • the control unit 510 deletes the connection information of the wireless network system 1 from the wireless terminal 60 and further transmits the MAC address of the wireless terminal 60 to the AP controller 30.
  • the MAC address filter of each wireless access point device 10 is updated again so as to exclude the wireless terminal 60 from the connection target. It is not preferable from the viewpoint of ensuring security that the wireless terminal that does not satisfy the security policy is continuously connected, and it is to prevent fraud such as changing the setting of the wireless terminal 60 after the connection to the wireless access point apparatus is completed.
  • the wireless access point device 10 assigns the MAC address of the wireless terminal 60 to the AP controller. 30 to inquire about the presence or absence of handover.
  • the AP controller 30 checks whether or not the wireless terminal 60 has been handed over to another wireless access point device 10, and if not handed over, notifies the terminal management device 50 of the MAC address of the wireless terminal 60. .
  • the control unit 510 of the terminal management device 50 communicates with the wireless terminal indicated by the MAC address via the Internet 2 and the mobile network 3 and deletes the connection information stored in the wireless terminal. This is to prevent unauthorized use of connection information distributed on condition that the security policy is satisfied.
  • the wireless terminal 60 and the terminal management device via the Internet 2 and the mobile network 3 50 communication needs to be performed frequently, and there is a drawback in that the battery of the wireless terminal 60 is consumed. Therefore, it is preferable to determine whether or not the wireless terminal 60 satisfies the security policy when the wireless terminal 60 enters the company building where the wireless network system 1 is laid as in the above embodiment.
  • the wireless network system 1 is configured with the AP controller 30 and the terminal management device 50 as separate devices.
  • the communication system may be configured with the two as an integrated device.
  • a device having the functions of both the AP controller 30 and the terminal management device 50 is a host device for the wireless access point device 10.
  • the wireless access point device determines whether or not the wireless terminal has been applied for in advance.
  • the wireless access point device causes the AP controller 30 to perform the determination. May determine whether or not the radio wave intensity of the received probe request exceeds a predetermined threshold value.
  • the radio access point device 10 has the radio wave intensity of the probe request received from the wireless terminal exceeding a predetermined threshold, and the MAC address of the wireless terminal (that is, the terminal identifier of the wireless terminal is When it is registered in advance, terminal notification processing for notifying the host device of the MAC address and processing for updating the MAC address filter in response to an instruction from the device are executed. It may be executed by the hub 20 or the router 40. For example, when the router 40 executes these processes, a request message transmitted from the wireless terminal (for example, a request for establishment of a communication connection is made to the counterpart device).
  • the radio wave of the request message When a SYN message is received, the radio wave of the request message When the radio field strength is higher than a predetermined threshold and the terminal identifier of the wireless terminal (for example, the IP address of the request message transmission source) is registered in advance.
  • the router 40 may be provided with update means for executing processing for updating in accordance with an instruction from the host device, and the router 40 may be a wireless router having the function of a wireless access point device. Also, a wireless switching hub having the function of a wireless access point device may be used.
  • the radio field strength of a request message received from a wireless terminal exceeds a predetermined threshold for a wireless relay device (wireless access point device, wireless switching hub, wireless router, etc.) that relays communication between the terminal and the communication partner.
  • a terminal notifying means for notifying the higher-level apparatus of the terminal identifier and a filter for restricting the wireless terminals communicating via the own apparatus Any mode may be used as long as it includes an updating unit that updates in accordance with an instruction from the apparatus.
  • the wireless network system 1 is configured with the wireless access point device 10 and the terminal management device 50 as separate devices, but the communication system may be configured with both devices as an integrated device. That is, it is not necessary to prepare the terminal management device 50 as separate hardware for terminal management, and it can be set in any device as software, for example.
  • a program for causing the terminal management device 50 to realize the function unique to the terminal management device of the present invention is stored in advance in the nonvolatile storage unit 534 of the terminal management device 50.
  • the program may be distributed by being written on a computer-readable recording medium such as a CD-ROM, or may be distributed by downloading via a telecommunication line such as the Internet. This is because by operating a general computer in accordance with the program distributed in this way, the computer can function as the terminal management apparatus of the above embodiment.
  • the terminal management device 50 in order to enable the wireless terminal 60 to connect to the wireless network system 1 (communication with the wireless access point device 10), the terminal management device 50 connects the wireless terminal 60 via the Internet 2 and the mobile network 3. After the security policy is determined, the connection information necessary for connecting to the wireless access point device 10 when the security policy is satisfied is transmitted from the terminal management device 50 to the wireless terminal 60 via the Internet 2 and the mobile network 3. Gave.
  • the communication for determining the security policy and the transmission of connection information necessary for connecting to the wireless access point device 10 are not limited to the Internet 2 and the mobile network 3, but via other communication means. Also good. For example, infrared rays, Bluetooth (registered trademark), or NFC (Near Field Communication) may be used.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

　コストの大幅な増加を招くことなく、セキュリティポリシを満たす無線端末のみが社内ネットワークに接続されるようにする技術を提供する。社内ネットワークを構成し、所定の接続情報を設定された無線端末を接続する無線アクセスポイント装置を含む無線ネットワークシステムに、当該無線ネットワークシステムとは異なる通信網を介して無線端末と通信して予め定められたセキュリティポリシを満たすか否かを判定する判定手段と、セキュリティポリシを満たすと判定手段により判定された無線端末へ上記接続情報を送信する接続情報送信手段とを有する端末管理装置を設ける。

Description

無線ネットワークシステム、端末管理装置、無線中継装置、および通信方法
　この発明は、セキュリティホールを有していないこと等の予め定められたセキュリティポリシを満たす端末のみが無線ネットワークシステムに接続されるようにする技術に関する。
　スマートフォンやタブレット端末などのスマートデバイスが急速に普及している。この種のスマートデバイスは、従来のＰＤＡ（Personal Digital Assistant）やノート型パソコンとは異なり、アプリケーションプログラムの実行機能や通信機能、撮像機能などの多様な機能を有している。このため、この種のスマートデバイスは、個人的な用途だけでなく、ユーザの業務遂行にも利用されることが多く、スマートデバイスの普及に伴ってＢＹＯＤ(Bring Your Own Device)の導入が広がりつつある。具体的には、ユーザの勤務先の社屋内に敷設された社内ネットワークが無線ＬＡＮ（Local Area Network）を含んでいる場合には、当該ユーザの所有するスマートデバイスを無線ＬＡＮを介して社内ネットワークに接続し、当該ユーザの業務遂行に利用する、といった具合である。
　ＢＹＯＤでは、社内ネットワークへのウィルスの侵入や機密漏えいを防ぐために、予め定められたセキュリティポリシを満たす端末装置に対してのみ社内ネットワークへの接続を許可することが一般的である。スマートデバイスの場合、社内ネットワークに含まれる無線ＬＡＮを介してその社内ネットワークに接続することが一般的である。このため、スマートデバイスを対象とするＢＹＯＤを実現するには、無線ＬＡＮなどの無線ネットワークシステムに対応した検疫システムが必要となる。検疫システムとは、社内ネットワークに接続しようとする端末装置が予め定められたセキュリティポリシを満たしているかをチェックするためのシステムである。この種の検疫システムに関する先行技術としては特許文献１や非特許文献１に開示の技術が挙げられる。
　特許文献１には、社内ネットワークをVLAN（Virtual Local Area Network）を用いて論理的に分割し、そのうちの１つに「検疫用VLAN」の役割を担わせることが記載されている。特許文献１に開示の技術によれば、社内ネットワークに端末装置を接続する際には、まず、検疫用VLANに接続してセキュリティポリシを満たすか否かをチェックし、セキュリティポリシを満たす場合には業務遂行用のVLANに接続することで私物端末の検疫が実現される。一方、非特許文献１には、接続先をリアルタイム監視する専用のソフトウェアを端末にインストールし、そして接続先が社内ネットワークであるか一般公衆回線などの他のネットワークであるかを識別し、その識別結果に応じて端末の通信設定等を切り替える（例えば、社内ネットワークに接続されている間は社外へのｗｅｂアクセスを禁止する等）ことで機密情報の漏えいを防止する技術が開示されている。
日本国特開２００６－３３１１２８号公報
日川佳三、"接続先ネットに応じ仕事と私用モードを切り替えるＭＤＭ、ベーシックが発表"、[ｏｎｌｉｎｅ]、平成２４年９月１０日、株式会社　日経ＢＰ、平成２５年３月２１日検索、インターネット<URL http://itpro.nikkeibp.co.jp/article/NEWS/20120910/421722/>
　特許文献１に開示の技術には、社内ネットワークを複数のVLANに分割する必要があるため、システムが複雑化するといった問題や、初期設定や運用のためのコストが増加するといった問題がある。一方、非特許文献１に開示の技術には、社内ネットワークに接続するまで端末の設定が切り替えられないため、不正な設定のままで社内ネットワークへの接続が為される虞があるといった問題がある。
　本発明は上記課題に鑑みて為されたものであり、コストの大幅な増加を招くことなく、セキュリティポリシを満たす無線端末のみが社内ネットワークに接続されるようにする技術を提供することを目的とする。
　上記課題を解決するために本発明は、無線中継装置と端末管理装置とを含む無線ネットワークシステムにおいて、前記端末管理装置は、当該無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定する判定手段と、前記セキュリティポリシを満たしていると前記判定手段により判定された無線端末へ前記無線中継装置に接続するための接続情報を送信する接続情報送信手段と、を有することを特徴とする無線ネットワークシステム、を提供する。
　本発明によれば、無線端末がセキュリティポリシを満たしているか否かが端末管理装置によって判定され、満たしている場合にのみ端末管理装置から無線端末へ接続情報が送信される。この際、接続情報は当該無線ネットワークシステムとは異なる通信網経由で送信するようにしてもよい。ここで接続情報が無ければ無線端末は無線中継装置（具体的には、無線アクセスポイント装置）に接続することはできないのであるから、セキュリティポリシを満たさない無線端末の接続を確実に回避することができる。また、本発明によれば、無線端末がセキュリティポリシを満たすか否かを判定するための検疫用ＶＬＡＮを設ける必要もないため、コスト増加を招かない。したがって、無線端末を収容するための無線ネットワークシステムとして本発明の無線ネットワークシステムを用いて社内ネットワークを構築すれば、コストの大幅な増加を招くことなく、セキュリティポリシを満たす無線端末のみが当該社内ネットワークに接続されるようにすることを実現することができる。
　別の態様としては、無線ネットワークシステムのサービスエリア内に無線端末が入ったことを検知する検知装置をさらに設け、端末管理装置には、当該検知装置により検知された無線端末を対象として判定手段によるセキュリティポリシの判定を行わせる態様が考えられる。このような態様によれば、無線ネットワークシステムのサービスエリアに無線端末が入り、当該無線ネットワークシステムへの接続が試みられる直前に当該無線端末の検疫を行うことができ、無線端末の検疫を周期的に行う場合に比較して無線端末のバッテリ消費を抑えることができる。
　また、さらに別の態様としては、無線中継装置に上記検知装置の役割を果たさせる態様が考えられる。例えば、上記無線中継装置が無線アクセスポイント装置である場合には、無線端末から発せられるプローブリクエストの受信を契機として自装置のサービスエリアに無線端末が入ったことを当該無線中継装置（無線アクセスポイント装置）に検知させるのである。このような態様によれば、無線中継装置とは別個に設けたセンサに上記検知装置の役割を担わせる態様に比較して当該センサを設けない分だけコストを低く抑えることができる。
　別の態様としては、無線中継装置に接続している無線端末と当該無線中継装置を介して通信して前記判定手段による判定を行う処理を端末管理装置に定期的に実行させ、セキュリティポリシを満たさなくなったと前記判定手段により判定されたことを契機として前記無線端末から前記接続情報を削除する処理を端末管理装置に実行させる態様も考えられる。このような態様によれば、無線中継装置に接続された後に無線端末の設定等が変更されるなどしてセキュリティホールが発生することを防止することができるからである。
　また、上記課題を解決するために本発明は、無線中継装置を含む無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定する判定手段と、前記セキュリティポリシを満たしていると前記判定手段により判定された無線端末へ前記無線中継装置に接続するための接続情報を送信する接続情報送信手段とを有することを特徴とする端末管理装置、を提供する。
　また、上記課題を解決するために本発明は、無線ネットワークシステムに含まれる無線中継装置において、無線端末から受信したリクエストメッセージの電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子が予め登録されたものである場合に、前記端末識別子を上位装置へ通知する端末通知手段と、通信相手の無線端末を制限するためのフィルタを前記上位装置から指示に応じて更新する更新手段と、を有することを特徴とする無線中継装置を提供する。
　また、上記課題を解決するために本発明は、無線中継装置を含む無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定し、前記セキュリティポリシを満たしていると判定された無線端末へ、前記無線中継装置に接続するための接続情報を送信することを特徴とする通信方法を提供する。
　また、上記課題を解決するために本発明は、無線ネットワークシステムに含まれる無線中継装置における通信方法において、無線端末から受信したリクエストメッセージの電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子が予め登録されたものである場合に、前記端末識別子を上位装置へ通知し、前記無線中継装置を介して通信する無線端末を制限するためのフィルタを前記上位装置から指示に応じて更新することを特徴とする通信方法を提供する。
　なお、上記無線中継装置が無線アクセスポイント装置である場合には、上記端末識別子の具体例としてＭＡＣアドレスを挙げることができ、また、上記フィルタの具体例としてＭＡＣアドレスフィルタを挙げることができる。
　また、上記無線中継装置は、前記無線ネットワークシステムとは異なる通信網を介して当該無線中継装置に接続するための接続情報を得た無線端末と接続し、当該無線端末と前記無線ネットワークシステムによる通信を行う通信手段をさらに有してもよい。
　例えば、社内ネットワークに含まれる無線ネットワークシステムに、上記無線中継装置として機能する無線アクセスポイント装置と上記端末管理装置とを含めておくことでコストの大幅な増加を招くことなく、セキュリティポリシを満たす無線端末のみが当該無線ネットワークシステムを介して社内ネットワークに接続されるようにすることを実現することができる。
本発明の一実施形態の無線ネットワークシステム１の構成例を示すブロック図である。 同無線ネットワークシステム１に含まれる無線アクセスポイント装置１０の構成例を示すブロック図である。 同無線ネットワークシステム１に含まれる端末管理装置５０の構成例を示すブロック図である。 同実施形態における通信シーケンスを示す図である。 同実施形態における通信シーケンスを示す図である。
　以下、図面を参照しつつ、本発明の実施形態について説明する。
（Ａ：構成）
　図１は、本発明の一実施形態の無線ネットワークシステム１を含む通信システムの構成例を示すブロック図である。無線ネットワークシステム１は、例えば企業の社屋内に敷設された無線ＬＡＮであり、当該社屋内に敷設された有線ＬＡＮ（図１では図示略）とともに上記企業における社内ネットワークを形成する。図１に示すように、無線ネットワークシステム１は、無線アクセスポイント装置１０－ｎ（ｎ＝１～Ｎ：Ｎは２以上の整数）、スイッチングハブ２０、ＡＰコントローラ３０、ルータ４０、および端末管理装置５０を含んでいる。なお、以下では、無線アクセスポイント装置１０－ｎ（ｎ＝１～Ｎ）の各々を区別する必要がない場合には「無線アクセスポイント装置１０」と表記する。
　無線アクセスポイント装置１０とＡＰコントローラ３０は各々ＬＡＮケーブルなどの信号線によりスイッチングハブ２０に接続されている。無線アクセスポイント装置１０－ｎ（ｎ＝１～Ｎ）の各々は、ＩＥＥＥ８０２．１１等に規定されたプロトコルにしたがってスマートデバイスなどの無線端末を接続する装置である。本実施形態では、各無線アクセスポイント装置１０－ｎは、各々の発する通信電波を充分な強度で受信可能な領域（以下、無線アクセスポイント装置のサービスエリア）によって無線ネットワークシステム１の敷設されている社屋内を被覆できるように当該社屋内の各所に配置されている。
　図２は、無線アクセスポイント装置１０の構成例を示す図である。図２に示すように無線アクセスポイント装置１０は、制御部１１０、無線通信Ｉ／Ｆ部１２０、記憶部１３０、およびこれら構成要素間のデータ授受を仲介するバス１４０を含んでいる。制御部１１０はＣＰＵ（Central Processing Unit）である。制御部１１０は記憶部１３０（より正確には不揮発性記憶部１３４）に記憶されているプログラムを実行することで無線アクセスポイント装置１０の制御中枢として機能する。無線通信Ｉ／Ｆ部１２０は、アンテナや変調回路・復調回路等を含んでおり（何れも図示略）、制御部１１０から受信したデータを変調して搬送波に重畳し、無線区間へ送出する一方、無線区間から受信した搬送波に重畳されているデータを復調して制御部１１０に与える。
　記憶部１３０は、揮発性記憶部１３２と不揮発性記憶部１３４を含んでいる。揮発性記憶部１３２は例えばＲＡＭ（Random Access Memory）である。揮発性記憶部１３２は各種プログラムを実行する際のワークエリアとして制御部１１０によって利用される。不揮発性記憶部１３４は例えばＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）である。不揮発性記憶部１３４には本実施形態の特徴を顕著に示す処理を制御部１１０に実行させるデータおよびプログラムが記憶されている。
　不揮発性記憶部１３４に記憶されているデータの一例としては、上記企業の従業者の所有する私物の無線端末のうち、業務遂行にも使用する旨の申請の為された全ての無線端末のＭＡＣアドレスを表すデータの配列であるＭＡＣアドレスリストが挙げられる。また、不揮発性記憶部１３４に格納されているプログラムの一例としては、無線端末の発するプローブリクエストの受信を契機としてその送信元が自装置のサービスエリアに入ったことを検知し、当該無線端末が予め使用申請の為されたものである場合に当該無線端末のＭＡＣアドレスを上位装置（本実施形態では、ＡＰコントローラ３０）へ通知する端末通知処理を制御部１１０に実行させる無線通信プログラムが挙げられる。また、無線通信プログラムにしたがって作動している制御部１１０は、一般的な無線アクセスポイント装置における場合と同様に、ＡＰコントローラ３０から与えられる指示に応じてＭＡＣアドレスフィルタを更新する処理も実行する。
　プローブリクエストとは、最寄の無線アクセスポイント装置に対してネットワーク識別子（例えば、ＥＳＳＩＤ）等のブロードキャストを促すために無線端末が送信する通信メッセージのことを言う。本実施形態の無線アクセスポイント装置１０は、定期的なネットワーク識別子のブロードキャストを行わないことは勿論、上記プローブリクエストを受信してもネットワーク識別子等のブロードキャストを行わないように設定されている。これは、ネットワーク識別子が第三者等に漏えいすることに起因する不正アクセスを防止するためである。
　ＡＰコントローラ３０は、無線アクセスポイント装置１０－ｎ（ｎ＝１～Ｎ）に割り当てるネットワーク識別子や各無線アクセスポイント装置１０－ｎの使用周波数（チャネル）、各無線アクセスポイント装置１０－ｎにおけるＭＡＣアドレスフィルタの設定を一元管理するための装置である。ＡＰコントローラ３０は、無線アクセスポイント装置１０－ｎ毎に当該無線アクセスポイント装置１０－ｎに接続している無線端末の端末識別子（当該無線端末を識別するための情報、本実施形態では、ＭＡＣアドレス）を記憶し、無線アクセスポイント装置間の無線端末の移動（所謂ハンドオーバ）を検知する機能を有している。
　スイッチングハブ２０はルータ４０に接続されており、このルータ４０には端末管理装置５０が接続されている。なお、無線ネットワークシステム１とともに社内ネットワークを形成する有線ＬＡＮはスイッチングハブ２０に接続されていても良く、また、ルータ４０に接続されていても良い。図１に示すようにルータ４０はインターネット２に接続されている。つまり、無線ネットワークシステム１はルータ４０を介してインターネット２に接続されている。そして、インターネット２には例えば３ＧやＬＴＥ（Long Term Evolution）などの通信規格に準拠したモバイル網３が接続されている。
　無線端末６０は、上記企業の従業者の所有するスマートデバイスである。無線端末６０は、モバイル網３の基地局（図示略）との間に無線通信リンクを確立してデータ通信する機能（以下、第１の無線通信機能）と、無線アクセスポイント装置１０－ｎ（ｎ＝１～Ｎ）に接続してデータ通信する機能（以下、第２の無線通信機能）とを有している。これら２つの無線通信機能のうち、第２の無線通信機能についてはユーザの指示に応じたオン／オフの切り換えが可能であり、当該第２の無線通信機能をオンにすることをユーザにより指示されると、無線端末６０は、前述したプローブリクエストを送信する。また、無線端末６０には、端末管理装置５０に付与されているホスト名を示す情報が予め記憶されており、当該ホスト名に基づいて端末管理装置５０の通信アドレス（ＩＰアドレス）を特定し、前述した第１の無線通信機能によりモバイル網３およびインターネット２経由で端末管理装置５０とデータ通信する。
　端末管理装置５０は所謂ＭＤＭ（Mobile Device Management）サーバである。図３は端末管理装置５０の構成例を示す図である。図３に示すように端末管理装置５０は、制御部５１０、通信Ｉ／Ｆ部５２０、記憶部５３０、およびこれら構成要素間のデータ授受を仲介するバス５４０を含んでいる。なお、端末管理装置５０は上記各構成要素の他にも、運用管理者に各種操作を行わせるためのユーザＩ／Ｆ部や他の機器を接続するために外部機器Ｉ／Ｆ部等を有しているが、本実施形態の特徴との関連が薄いため図示および説明を省略する。
　制御部５１０は、無線アクセスポイント装置１０における制御部１１０と同様にＣＰＵであり、記憶部５３０（より正確には不揮発性記憶部５３４）に記憶されているプログラムを実行することで端末管理装置５０の制御中枢として機能する。通信Ｉ／Ｆ部５２０は例えばＮＩＣであり、ＬＡＮケーブルなどの信号線を介してルータ４０に接続されている。通信Ｉ／Ｆ部５２０は上記信号線を介してルータ４０から受信したデータを制御部５１０に与える一方、制御部５１０から受け取ったデータを上記信号線を介して送出する。
　記憶部５３０は、揮発性記憶部５３２と不揮発性記憶部５３４を含んでいる。揮発性記憶部５３２は例えばＲＡＭである。揮発性記憶部５３２は各種プログラムを実行する際のワークエリアとして制御部５１０によって利用される。不揮発性記憶部５３４は例えばハードディスクである。不揮発性記憶部５３４には本実施形態の特徴を顕著に示す処理を制御部５１０に実行させるデータおよびプログラムが記憶されている。
　不揮発性記憶部５３４に記憶されているデータの一例としては、上記企業におけるセキュリティポリシを表すデータ（以下、セキュリティポリシデータ）が挙げられる。セキュリティポリシデータの具体例としては、無線ネットワークシステム１に接続される端末装置にインストールされているべきＯＳ（Operating System）およびアプリケーションソフトウェアの種類やバージョンを示すデータ、同端末装置にインストールされているべきではないアプリケーションソフトウェアを示すデータが挙げられる。詳細については後述するが、セキュリティポリシデータは、プローブリクエストの送信元の無線端末が上記セキュリティポリシを満たすか否かを判定する（すなわち、当該無線端末の検疫を行う）際に利用される。また、不揮発性記憶部５３４には、無線端末を無線アクセスポイント装置１０へ接続する際に必要となる接続情報（無線ネットワークシステム１のネットワーク識別子、無線アクセスポイント装置１０との無線通信にて使用する暗号化方法を示す情報およびその暗号化におけるセキュリティキーを示す情報等）も予め記憶されている（図３では図示略）。
　不揮発性記憶部５３４に格納されているプログラムの一例としては、本実施形態の特徴を顕著に示す検疫処理を制御部５１０に実行させる検疫プログラムが挙げられる。詳細については重複を避けるために動作例において明らかにするが、当該検疫プログラムにしたがって作動している制御部５１０は、ＡＰコントローラ３０からのＭＡＣアドレスの通知を契機として当該ＭＡＣアドレスの示す無線端末とインターネット２およびモバイル網３を介して通信し、当該端末の状態を示す状態情報（インストールされているＯＳおよびアプリケーションソフトウェアの種類やバージョンを示すデータ）を取得し、セキュリティポリシデータの示すセキュリティポリシを満たすか否かを判定する判定手段として機能する。また、検疫プログラムにしたがって作動している制御部５１０は、セキュリティポリシを満たすと判定した無線端末に対して上記接続情報をインターネット２およびモバイル網３経由で送信し記憶させる接続情報送信手段としても機能する。
　以上が無線ネットワークシステム１の構成である。
（Ｂ： 動作）
　次いで、無線端末６０のユーザが出社して業務に従事し、退社するまでの流れに沿って本実施形態の動作を説明する。
　無線端末６０は、ユーザにより無線通信機能をオンにする操作が行われると、前述したプローブリクエストを送信する（図４参照）。無線アクセスポイント装置１０の制御部１１０は、無線端末６０から送信されたプローブリクエストの受信を契機として自装置のサービスエリア内に無線端末６０が入ったことを検知し、端末通知処理の実行を開始する。図４に示すように、制御部１１０は、まず、当該プローブリクエストが所定の条件Ａ（すなわち、電波強度が所定の閾値を上回っていること、および送信元が事前に利用申請の為された無線端末であること）を満たすか否かを判定する（ステップＳＡ１１０）。具体的には、プローブリクエストの送信元ＭＡＣアドレスがＭＡＣアドレスリストに登録されている場合に制御部１１０は、事前に利用申請の為された無線端末であると判定する。そして、ステップＳＡ１１０の判定結果が“Ｙｅｓ”である場合に、制御部１１０は、当該プローブリクエストの送信元ＭＡＣアドレスをペイロード部に書き込んだフレーム（以下、ＭＡＣアドレス通知フレーム）をＡＰコントローラ３０へ送信する（ステップＳＡ１２０）。
　このようにして無線アクセスポイント装置１０から送信されたＭＡＣアドレス通知フレームはスイッチングハブ２０による中継を経てＡＰコントローラ３０によって受信される。ＡＰコントローラ３０は、受信したＭＡＣアドレス通知フレームに書き込まれているＭＡＣアドレスをスイッチングハブ２０およびルータ４０を介して端末管理装置５０へ通知する（図４参照）。端末管理装置５０の制御部５１０は、当該ＭＡＣアドレスの通知を契機として検疫処理（ステップＳＡ２００）の実行を開始する。
　図５は、検疫処理における通信の流れを示すシーケンスフローチャートである。図５に示すように、端末管理装置５０の制御部５１０は、ＡＰコントローラ３０から通知されたＭＡＣアドレスの示す装置（本動作例では、無線端末６０）を相手装置としてインターネット２およびモバイル網３経由で通信コネクションを確立し、状態情報を取得する。次いで、制御部５１０は、無線端末６０から取得した状態情報の示す状態が予め定められたセキュリティポリシ（すなわち、セキュリティポリシデータの示すセキュリティポリシ）を満たしているか否かを判定する（ステップＳＡ２１０）。
　そして、制御部５１０は、無線端末６０の状態がセキュリティポリシを満たしている場合（ステップＳＡ２１０の判定結果が“Ｙｅｓ”である場合）のみ、無線アクセスポイント装置１０との間に無線通信コネクションを確立する際に必要となる接続情報をインターネット２およびモバイル網３経由で無線端末６０へ宛てて送信し、記憶させる（ステップＳＡ２２０）。加えて、制御部５１０は、ＡＰコントローラ３０に対して無線端末６０のＭＡＣアドレスを通知する（図５では図示略）。ＡＰコントローラ３０は、端末管理装置５０からＭＡＣアドレスを受け取ると、当該ＭＡＣアドレスにより識別される端末の無線ネットワークシステム１への接続を許可するようにＭＡＣアドレスフィルタの更新することを指示する更新指示を無線アクセスポイント装置１０－ｎ（ｎ＝１～Ｎ）の各々に与え、無線アクセスポイント装置１０－ｎ（ｎ＝１～Ｎ）の各々は当該更新指示にしたがってＭＡＣアドレスフィルタを更新する。
　無線端末６０は、端末管理装置５０から受信した接続情報を用いて最寄の無線アクセスポイント装置１０に接続する。前述したように、無線アクセスポイント装置１０においては無線端末６０の接続を許可する旨のＭＡＣアドレスフィルタの設定が為されている。このため、無線端末６０は、最寄の無線アクセスポイント装置１０を介して無線ネットワークシステム１に接続される。これに対して、無線端末６０の状態がセキュリティポリシを満たしていない場合には、端末管理装置５０から無線端末６０へ接続情報が送信されることはない。また、端末管理装置５０からＡＰコントローラ３０へ無線端末６０のＭＡＣアドレスが通知されることはなく、無線端末６０の接続が許可されるように無線アクセスポイント装置１０のＭＡＣアドレスフィルタの更新が行われることはない。このため、無線端末６０が無線ネットワークシステム１に接続されることはない。したがって、無線端末６０が予め定められたセキュリティポリシを満たす場合にのみ無線ネットワークシステム１に接続され、セキュリティポリシを満たさない端末が無線ネットワークシステム１を介して社内ネットワークに接続されることを確実に防止することができる。なお、セキュリティポリシを満たさないために無線端末６０が無線ネットワークシステム１に接続されない場合であっても、無線ネットワークシステム１とは異なる他の無線通信網（例えば、ＷＩ－ＦＩなど）に接続することは勿論可能であり、このような他の無線通信網経由或いはモバイル網３経由でインターネット２にアクセスすることも勿論可能である。
　上記の要領で無線端末６０が無線ネットワークシステム１に接続されると、端末管理装置５０の制御部５１０は、ルータ４０、スイッチングハブ２０および無線アクセスポイント装置１０を介して無線端末６０から状態情報を定期的に取得し、セキュリティポリシを満たしていることを確認する。そして、無線端末６０の状態がセキュリティポリシを満たさなくなった場合には、制御部５１０は無線ネットワークシステム１の接続情報を無線端末６０から削除し、さらに当該無線端末６０のＭＡＣアドレスをＡＰコントローラ３０へ通知し、当該無線端末６０を接続対象から除外するように各無線アクセスポイント装置１０のＭＡＣアドレスフィルタを再更新させる。セキュリティポリシを満たさなくなった無線端末が接続され続けることはセキュリティ確保の観点から好ましくなく、また、無線アクセスポイント装置への接続完了後に無線端末６０の設定を変更するといった不正を防止するためである。
　無線端末６０のユーザが退社するなどして無線端末６０が無線アクセスポイント装置１０のサービスエリア外に移動し、接続が切断されると無線アクセスポイント装置１０は当該無線端末６０のＭＡＣアドレスをＡＰコントローラ３０へ通知してハンドオーバの有無を問い合わせる。ＡＰコントローラ３０は、当該無線端末６０が他の無線アクセスポイント装置１０にハンドオーバしているか否かを確認し、ハンドオーバしていない場合には当該無線端末６０のＭＡＣアドレスを端末管理装置５０に通知する。端末管理装置５０の制御部５１０は、当該ＭＡＣアドレスの示す無線端末とインターネット２およびモバイル網３経由で通信し、当該無線端末に記憶されている接続情報を削除する。これは、セキュリティポリシを満たすことを条件に配布した接続情報が不正利用されることを回避するためである。
　ここで注目すべき点は、無線端末６０が予め定められたセキュリティポリシを満たすか否かを判定するための検疫用ＶＬＡＮを別途設ける必要はなく、初期設定や運用のためのコストの増加が発生しないという点である。このように、本実施形態によれば、コストの大幅な増加を招くことなく、セキュリティポリシを満たす端末のみが社内ネットワークに接続されるようにすることを実現することができる。なお、上記実施形態では、セキュリティポリシによる保護の対象の社内ネットワークが無線ネットワークシステム１と有線ＬＡＮとにより構成されている場合について説明したが、社内ネットワークが無線ネットワークシステム１のみで構成されていても勿論良い。
（Ｃ：変形）
　以上本発明の実施形態について説明したが、この実施形態を以下のように変形しても勿論良い。
（１）上記実施形態では、無線ネットワークシステム１が敷設された社屋に無線端末６０が入ったことを契機として当該無線端末６０がセキュリティポリシを満たすか否かを判定し、セキュリティポリシを満たす場合に無線アクセスポイント装置１０に接続する際に必要となる接続情報をインターネット２およびモバイル網３経由で端末管理装置５０から無線端末６０に与えた。しかし、無線端末６０が上記社屋内に入る前に（換言すれば、無線アクセスポイント装置１０により無線端末６０が検知される前に）、無線端末６０に接続情報を与えても良い。ただし、この場合は、無線端末６０が予め定められたセキュリティポリシを満たすこと、およびその状態が継続していることを確認するために、インターネット２およびモバイル網３経由で無線端末６０と端末管理装置５０の通信を頻繁に行う必要があり、無線端末６０のバッテリの消費が大きくなるという欠点がある。したがって、上記実施形態のように無線ネットワークシステム１が敷設された社屋に無線端末６０が入ったことを契機として当該無線端末６０がセキュリティポリシを満たすか否かを判定するようにすることが好ましい。
（２）上記実施形態では、無線ネットワークシステム１が敷設された社屋に無線端末６０が入ったことを検知するセンサの役割を、無線ネットワークシステム１に無線端末を収容するための無線アクセスポイント装置１０に兼ねさせた。しかし、上記実施形態に比較して余分な設備投資が必要となるという欠点はあるものの、無線ネットワークシステム１の敷設された社屋に無線端末６０が入ったことを検知するセンサを無線アクセスポイント装置１０とは別個に設けても勿論良い。
（３）上記実施形態では、ＡＰコントローラ３０と端末管理装置５０とを各々別個の装置として無線ネットワークシステム１を構成したが、両者を一体の装置として通信システムを構成しても勿論良い。この場合、ＡＰコントローラ３０と端末管理装置５０の両者の機能を兼ね備えた装置が無線アクセスポイント装置１０に対する上位装置となる。また、上記実施形態では、事前に利用申請の為された無線端末であるか否かの判定を無線アクセスポイント装置に実行させたが、ＡＰコントローラ３０に当該判定を行わせ、無線アクセスポイント装置には受信したプローブリクエストの電波強度が所定の閾値を上回っているか否かの判定のみを行わせるようにしても良い。
　また、上記実施形態では、無線アクセスポイント装置１０に、無線端末から受信したプローブリクエストの電波強度が所定の閾値を上回っており、かつ当該無線端末のＭＡＣアドレス（すなわち、当該無線端末の端末識別子が予め登録されたものである場合に当該ＭＡＣアドレスを上位装置へ通知する端末通知処理と、ＭＡＣアドレスフィルタを上記装置からの指示に応じて更新する処理を実行させた。しかし、これら各処理をスイッチングハブ２０やルータ４０に実行させても良い。例えば、ルータ４０にこれら各処理を実行させる場合には、無線端末から送信されたリクエストメッセージ（例えば、相手装置に対して通信コネクションの確立を要求するＳＹＮメッセージ）を受信したことを契機としてそのリクエストメッセージの電波強度を無線アクセスポイント装置から取得し、その電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子（例えば、リクエストメッセージの送信元のＩＰアドレス）が予め登録されたものである場合に当該端末識別子を上位装置（端末管理装置５０）へ通知する処理を実行する端末通知手段と、自装置を介して通信する無線端末を制限するためのフィルタ（例えば、ＩＰアドレスに関するフィルタ）を当該上位装置から指示に応じて更新する処理を実行する更新手段とをルータ４０に設ければ良い。また、ルータ４０は無線アクセスポイント装置の機能を兼ね備えた無線ルータであっても良く、スイッチングハブ２０についても無線アクセスポイント装置の機能を兼ね備えた無線スイッチングハブであっても良い。要は、無線端末とその通信相手との間の通信を中継する無線中継装置（無線アクセスポイント装置、無線スイッチングハブ、無線ルータなど）に、無線端末から受信したリクエストメッセージの電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子が予め登録されたものである場合に当該端末識別子を上位装置へ通知する端末通知手段と、自装置を介して通信する無線端末を制限するためのフィルタを前記上位装置から指示に応じて更新する更新手段とを設ける態様であれば良い。
（４）上記実施形態では、無線アクセスポイント装置１０と端末管理装置５０とを各々別個の装置として無線ネットワークシステム１を構成したが、両者を一体の装置として通信システムを構成しても良い。すなわち、端末管理装置５０を端末管理のために別途ハードウェアとして用意する必要はなく、任意の装置に、例えばソフトウェアとして設定可能である。
（５）上記実施形態では、本発明の端末管理装置特有の機能を端末管理装置５０に実現させるプログラムが端末管理装置５０の不揮発性記憶部５３４に予め記憶されていた。しかし、ＣＤ－ＲＯＭなどのコンピュータ読み取り可能な記録媒体に当該プログラムを書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより当該プログラムを配布しても良い。このようにして配布されるプログラムにしたがって一般的なコンピュータを作動させることで当該コンピュータを上記実施形態の端末管理装置として機能させることが可能になるからである。無線アクセスポイント装置１０の不揮発性記憶部１３４に記憶されている無線通信プログラムについても同様である。
（６）上記実施形態では、無線端末６０が無線ネットワークシステム１に接続（無線アクセスポイント装置１０と通信）できるようにするために、インターネット２およびモバイル網３経由で端末管理装置５０が無線端末６０のセキュリティポリシの判定を行った上で、セキュリティポリシを満たす場合に無線アクセスポイント装置１０に接続する際に必要となる接続情報をインターネット２およびモバイル網３経由で端末管理装置５０から無線端末６０に与えた。しかしながら、セキュリティポリシの判定を行うための通信や無線アクセスポイント装置１０に接続する際に必要となる接続情報の送信は、インターネット２およびモバイル網３経由に限られず、他の通信手段を経由してもよい。例えば、赤外線やBluetooth（登録商標）、NFC（Near Field Communication）を使用してもよい。
　本出願は、２０１３年３月２２日に出願された日本特許出願（特願２０１３－０５９４６４）に基づくものであり、その内容はここに参照として取り込まれる。
　本発明によれば、コストの大幅な増加を招くことなく、セキュリティポリシを満たす無線端末のみが社内ネットワークに接続されるようにすることが可能である。
１…無線ネットワークシステム、２…インターネット、３…モバイル網、１０－ｎ（ｎ＝１～Ｎ），１０…無線アクセスポイント装置、２０…スイッチングハブ、３０…ＡＰコントローラ、４０…ルータ、５０…端末管理装置、６０…無線端末、１１０，５１０…制御部、１２０…無線通信Ｉ／Ｆ部、５２０…通信Ｉ／Ｆ部、１３０，５３０…記憶部、１３２，５３２…揮発性記憶部、１３４，５３４…不揮発性記憶部、５４０…バス。

Claims (10)

  1. 　無線中継装置と端末管理装置とを含む無線ネットワークシステムにおいて、
    　前記端末管理装置は、
    　当該無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定する判定手段と、
    　前記セキュリティポリシを満たしていると前記判定手段により判定された無線端末へ、前記無線中継装置に接続するための接続情報を送信する接続情報送信手段と、を有する
    　ことを特徴とする無線ネットワークシステム。
  2. 　前記接続情報送信手段は、当該無線ネットワークシステムとは異なる前記通信網経由で前記接続情報を送信する
    　ことを特徴とする請求項１に記載の無線ネットワークシステム。
  3. 　前記無線ネットワークシステムのサービスエリア内に無線端末が入ったことを検知する検知装置をさらに有し、
    　前記端末管理装置は、
    　前記無線ネットワークシステムのサービスエリア内に入ったことが前記検知装置により検知された無線端末を対象として前記判定手段によるセキュリティポリシの判定を行う
    　ことを特徴とする請求項１に記載の無線ネットワークシステム。
  4. 　前記無線中継装置が前記検知装置として機能する
    　ことを特徴とする請求項３に記載の無線ネットワークシステム。
  5. 　無線中継装置を含む無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定する判定手段と、
    　前記セキュリティポリシを満たしていると前記判定手段により判定された無線端末へ、前記無線中継装置に接続するための接続情報を送信する接続情報送信手段と
    　を有することを特徴とする端末管理装置。
  6. 　無線ネットワークシステムに含まれる無線中継装置において、
    　無線端末から受信したリクエストメッセージの電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子が予め登録されたものである場合に、前記端末識別子を上位装置へ通知する端末通知手段と、
    　自装置を介して通信する無線端末を制限するためのフィルタを前記上位装置から指示に応じて更新する更新手段と、
    　を有することを特徴とする無線中継装置。
  7. 　前記リクエストメッセージはプローブリクエストであり、前記端末識別子はＭＡＣアドレスであり、前記フィルタはＭＡＣアドレスフィルタである
    　ことを特徴とする請求項６に記載の無線中継装置。
  8. 　前記無線ネットワークシステムとは異なる通信網を介して当該無線中継装置に接続するための接続情報を得た無線端末と接続し、当該無線端末と前記無線ネットワークシステムによる通信を行う通信手段
    　をさらに有することを特徴とする請求項６に記載の無線中継装置。
  9. 　無線中継装置を含む無線ネットワークシステムとは異なる通信網を介して無線端末と通信し、当該無線端末が予め定められたセキュリティポリシを満たしているか否かを判定し、
    　前記セキュリティポリシを満たしていると判定された無線端末へ、前記無線中継装置に接続するための接続情報を送信する
    　ことを特徴とする通信方法。
  10. 　無線ネットワークシステムに含まれる無線中継装置における通信方法において、
    　無線端末から受信したリクエストメッセージの電波強度が所定の閾値を上回っており、かつ前記無線端末の端末識別子が予め登録されたものである場合に、前記端末識別子を上位装置へ通知し、
    　前記無線中継装置を介して通信する無線端末を制限するためのフィルタを前記上位装置から指示に応じて更新する
    　ことを特徴とする通信方法。
PCT/JP2014/057206 2013-03-22 2014-03-17 無線ネットワークシステム、端末管理装置、無線中継装置、および通信方法 Ceased WO2014148448A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US14/778,921 US10575177B2 (en) 2013-03-22 2014-03-17 Wireless network system, terminal management device, wireless relay device, and communications method
CN201480017480.0A CN105052177B (zh) 2013-03-22 2014-03-17 无线网络系统、终端管理装置、无线中继装置及通信方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013059464A JP6163808B2 (ja) 2013-03-22 2013-03-22 無線ネットワークシステム、端末管理装置、および無線中継装置
JP2013-059464 2013-03-22

Publications (1)

Publication Number Publication Date
WO2014148448A1 true WO2014148448A1 (ja) 2014-09-25

Family

ID=51580127

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/057206 Ceased WO2014148448A1 (ja) 2013-03-22 2014-03-17 無線ネットワークシステム、端末管理装置、無線中継装置、および通信方法

Country Status (4)

Country Link
US (1) US10575177B2 (ja)
JP (1) JP6163808B2 (ja)
CN (1) CN105052177B (ja)
WO (1) WO2014148448A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019526843A (ja) * 2016-05-23 2019-09-19 サイトリックス システムズ，インコーポレイテッド ホストされたアプリケーションへの動的アクセス
CN111031545A (zh) * 2019-12-24 2020-04-17 Oppo广东移动通信有限公司 无线网络接入控制方法及装置、中继设备和电子设备

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6550913B2 (ja) 2015-05-13 2019-07-31 富士通株式会社 通信システム
DE102015222308A1 (de) * 2015-11-12 2017-05-18 Volkswagen Aktiengesellschaft Vorrichtung, Verfahren und Computerprogramm zur Frequenzbandauswahl
JP6822180B2 (ja) * 2017-02-02 2021-01-27 セイコーエプソン株式会社 印刷装置、印刷装置の制御方法、及び、通信システム
US10701707B2 (en) * 2017-03-28 2020-06-30 Arris Enterprises Llc Allocation of wireless channels for preferred stations
CN107196837B (zh) * 2017-06-16 2020-06-16 四川省农业科学院服务中心 一种基于vlan划分运用的多数据业务综合组网的方法
JP6680345B2 (ja) * 2018-12-26 2020-04-15 ブラザー工業株式会社 通信機器

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004310581A (ja) * 2003-04-09 2004-11-04 Nec Corp ネットワーク接続方法およびネットワークシステム
JP2004336538A (ja) * 2003-05-09 2004-11-25 Ricoh Co Ltd 無線通信システム、情報処理端末及び赤外線通信装置
JP2005086471A (ja) * 2003-09-09 2005-03-31 Japan Telecom Co Ltd 通信制御方法、および、端末装置
JP2005167884A (ja) * 2003-12-05 2005-06-23 Nec Corp ネットワークへの接続参加受付システム、ネットワークヘのノード接続方法およびノードの設定方法
JP2007006320A (ja) * 2005-06-27 2007-01-11 Nakayo Telecommun Inc 無線ｌａｎシステムおよび通信方法
JP2008263445A (ja) * 2007-04-12 2008-10-30 Docomo Technology Inc 接続設定システム、認証装置、無線端末、及び接続設定方法
JP2012134703A (ja) * 2010-12-21 2012-07-12 Kddi Corp 無線ｌａｎ接続方法、無線ｌａｎクライアント、および無線ｌａｎアクセスポイント
JP2013507077A (ja) * 2009-10-06 2013-02-28 モサイド・テクノロジーズ・インコーポレーテッド セルラーシステムと他の無線システムとの間に相互運用性を実現するシステムおよび方法

Family Cites Families (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5737691A (en) * 1995-07-14 1998-04-07 Motorola, Inc. System and method for allocating frequency channels in a two-way messaging network
US6957067B1 (en) * 2002-09-24 2005-10-18 Aruba Networks System and method for monitoring and enforcing policy within a wireless network
US7448067B2 (en) * 2002-09-30 2008-11-04 Intel Corporation Method and apparatus for enforcing network security policies
US7440573B2 (en) * 2002-10-08 2008-10-21 Broadcom Corporation Enterprise wireless local area network switching system
US7277547B1 (en) * 2002-10-23 2007-10-02 Sprint Spectrum L.P. Method for automated security configuration in a wireless network
US20040213172A1 (en) * 2003-04-24 2004-10-28 Myers Robert L. Anti-spoofing system and method
US7523484B2 (en) * 2003-09-24 2009-04-21 Infoexpress, Inc. Systems and methods of controlling network access
US8230480B2 (en) * 2004-04-26 2012-07-24 Avaya Inc. Method and apparatus for network security based on device security status
US20050266826A1 (en) * 2004-06-01 2005-12-01 Nokia Corporation Method for establishing a security association between a wireless access point and a wireless node in a UPnP environment
US7499438B2 (en) * 2005-01-13 2009-03-03 2Wire, Inc. Controlling wireless access to a network
US20060172736A1 (en) * 2005-02-01 2006-08-03 Intel Corporation Methods and apparatus for operating a wireless electronic device having a plurality of communication platforms
US7706778B2 (en) * 2005-04-05 2010-04-27 Assa Abloy Ab System and method for remotely assigning and revoking access credentials using a near field communication equipped mobile phone
JP2006331128A (ja) 2005-05-26 2006-12-07 Allied Telesis Holdings Kk 認証サーバ、認証方法、及び認証プログラム
EP1860898A4 (en) * 2005-10-15 2008-05-14 Huawei Tech Co Ltd METHOD FOR REALIZING THE SECURE UPDATE OF A MOBILE STATION AND THE CORRELATIVE REACTION SYSTEM
US20070266422A1 (en) * 2005-11-01 2007-11-15 Germano Vernon P Centralized Dynamic Security Control for a Mobile Device Network
US7974249B2 (en) * 2006-03-01 2011-07-05 Dell Products L.P. Virtual access point for configuration of a LAN
KR101359324B1 (ko) * 2006-03-27 2014-02-24 텔레콤 이탈리아 소시에떼 퍼 아찌오니 이동 통신 장치상의 보안 정책 시행 방법
CA2607823C (en) * 2006-10-26 2014-07-29 Research In Motion Limited Transient wlan connection profiles
CN101262670B (zh) * 2007-03-09 2012-01-25 鸿富锦精密工业（深圳）有限公司 移动装置、通信系统及连线建立方法
JP4938520B2 (ja) 2007-03-22 2012-05-23 シャープ株式会社 デジタル放送受信機
CN100594690C (zh) 2007-05-22 2010-03-17 网御神州科技（北京）有限公司 一种安全网关中进行安全策略统一处理的方法及装置
JP5246112B2 (ja) * 2009-09-07 2013-07-24 ブラザー工業株式会社 無線通信装置とコンピュータプログラム
US8925042B2 (en) * 2010-04-30 2014-12-30 T-Mobile Usa, Inc. Connecting devices to an existing secure wireless network
US8699370B2 (en) * 2010-08-24 2014-04-15 Euclid, Inc. Method and apparatus for analysis of user traffic within a predefined area
US8359016B2 (en) * 2010-11-19 2013-01-22 Mobile Iron, Inc. Management of mobile applications
US8937534B2 (en) * 2010-12-08 2015-01-20 At&T Intellectual Property I, L.P. Remote control of electronic devices via mobile device
US8909247B2 (en) * 2011-11-08 2014-12-09 At&T Mobility Ii Llc Location based sharing of a network access credential

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004310581A (ja) * 2003-04-09 2004-11-04 Nec Corp ネットワーク接続方法およびネットワークシステム
JP2004336538A (ja) * 2003-05-09 2004-11-25 Ricoh Co Ltd 無線通信システム、情報処理端末及び赤外線通信装置
JP2005086471A (ja) * 2003-09-09 2005-03-31 Japan Telecom Co Ltd 通信制御方法、および、端末装置
JP2005167884A (ja) * 2003-12-05 2005-06-23 Nec Corp ネットワークへの接続参加受付システム、ネットワークヘのノード接続方法およびノードの設定方法
JP2007006320A (ja) * 2005-06-27 2007-01-11 Nakayo Telecommun Inc 無線ｌａｎシステムおよび通信方法
JP2008263445A (ja) * 2007-04-12 2008-10-30 Docomo Technology Inc 接続設定システム、認証装置、無線端末、及び接続設定方法
JP2013507077A (ja) * 2009-10-06 2013-02-28 モサイド・テクノロジーズ・インコーポレーテッド セルラーシステムと他の無線システムとの間に相互運用性を実現するシステムおよび方法
JP2012134703A (ja) * 2010-12-21 2012-07-12 Kddi Corp 無線ｌａｎ接続方法、無線ｌａｎクライアント、および無線ｌａｎアクセスポイント

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
AKIRA KUBOTA ET AL.: "Development of iNetSec Inspection Center V7.0 -Achieving Smart Device Inspections", PFU TECH. REV., vol. 23, no. 2, 44, November 2012 (2012-11-01), pages 1 - 7 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019526843A (ja) * 2016-05-23 2019-09-19 サイトリックス システムズ，インコーポレイテッド ホストされたアプリケーションへの動的アクセス
CN111031545A (zh) * 2019-12-24 2020-04-17 Oppo广东移动通信有限公司 无线网络接入控制方法及装置、中继设备和电子设备

Also Published As

Publication number Publication date
CN105052177A (zh) 2015-11-11
JP2014187453A (ja) 2014-10-02
JP6163808B2 (ja) 2017-07-19
US20160050567A1 (en) 2016-02-18
CN105052177B (zh) 2018-11-30
US10575177B2 (en) 2020-02-25

Similar Documents

Publication Publication Date Title
JP6163808B2 (ja) 無線ネットワークシステム、端末管理装置、および無線中継装置
EP2561708B1 (en) Method and apparatus for determining access point service capabilities
EP3777270B1 (en) Network address policy information received in a pre-associated state
US9762389B2 (en) Moderation of network and access point selection in an IEEE 802.11 communication system
US7558253B1 (en) Method and system for disrupting undesirable wireless communication of devices in computer networks
US8555364B2 (en) System and method for cloning a wi-fi access point
CN104871598B (zh) 无线接入点
US20170013447A1 (en) Wireless association table denial of service prevention
US20150040194A1 (en) Monitoring of smart mobile devices in the wireless access networks
US20140282905A1 (en) System and method for the automated containment of an unauthorized access point in a computing network
EP1836830B1 (en) Controlling wireless access to a network
US7710933B1 (en) Method and system for classification of wireless devices in local area computer networks
US9794119B2 (en) Method and system for preventing the propagation of ad-hoc networks
EP4022865B1 (en) Autonomous policy enforcement point configuration for role based access control
US8516567B2 (en) Distributed firewalling in a wireless communication network
JP2010016834A (ja) フィルタリング方法
JP6052692B1 (ja) セキュリティ管理方法、プログラム、およびセキュリティ管理システム
US9137663B2 (en) Radio frequency firewall coordination
US10516998B2 (en) Wireless network authentication control
JP6531540B2 (ja) ネットワーク接続装置、ネットワーク接続装置の動作モードを切り替える方法
JP2006217198A (ja) 複数のレイヤ２機能を備える無線基地局
US12149940B2 (en) Wireless communication method between a client object and a server object
JP2018137529A (ja) 無線通信システム、無線基地局、および、無線クライアント

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201480017480.0

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14770209

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14778921

Country of ref document: US

Ref document number: IDP00201505888

Country of ref document: ID

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14770209

Country of ref document: EP

Kind code of ref document: A1