JP2005184463A - 通信装置および通信方法 - Google Patents

Abstract

【課題】複数のネットワークのそれぞれのセキュリティ性を維持しながら、クライアントの当該複数のネットワークのうちのいずれか１つへのアクセスを容易にしかも柔軟に行うことができる通信装置を提供する。
【解決手段】端末から、端末識別子と複数のネットワークのうちの１つへアクセスするためのアクセス情報を受信し、端末の認証結果と端末識別子とアクセス情報とに基づき選択された複数のセキュリティレベルのうちの１つであって最も低い第１のレベルとアクセス情報に対応する第２のレベルとのうちのいずれか一方を取得し、第２のレベルを取得したとき、第２のレベルに対応するネットワークへのアクセスを可能にして、無線区間は当該レベルに対応する暗号アルゴリズムと暗号鍵を用いて暗号化され、第１のレベルを取得したとき、第１のレベルに対応するネットワークへのアクセスを可能にして、無線区間でのデータの暗号化は行わない。
【選択図】 図４

Description

本発明は、無線ＬＡＮシステムに関する。

無線ＬＡＮはネットワークシステムの可用性、柔軟性を大幅に向上させるものであるが、無線であるが故のセキュリティ対策が必須となる。無線ＬＡＮにアクセスするクライアントを制限するためには、クライアントがアクセスポイントに接続要求をする際に、アクセスポイントがそのクライアントを認証する仕組みが必要である。

クライアントを認証するためのサーバである認証サーバを別途用意して、クライアント、アクセスポイント、認証サーバの三者間で認証を行う方式はＩＥＥＥ８０２．１ｘとしてＩＥＥＥで標準化されており、この方式が一般に使われている。

現在、ホットスポットなどの公共環境に無線ＬＡＮシステムを設置する試みが多くなされている。ホットスポット環境においては、クライアントは不特定多数であるため、ホットスポットサービスを提供すべきクライアントであるか否かを判断するための認証に対する重要度は高い。

また、不特定多数のクライアントに対する認証結果によりネットワークアクセスの可否だけを決定するのではなく、クライアントに複数のレベルを与え、クライアント毎に、異なったサービスを提供したいという要求が生じうる。例えば、未登録のクライアント、登録済みのクライアント、課金済みのクライアントのそれぞれに対して提供するサービスを切替えることが考えられる。

課金済みのクライアントが登録済みクライアント用のサービスや、未登録クライアント用のサービスを受けるなど、クライアント自身のレベルに対応するサービスへのアクセスだけでなく、より下位のレベルで提供されるサービスへのアクセスを許可することも考えられる。

例えば、ユーザの認証レベルに応じて携帯電話機から各電子機器へのアクセスを制限する技術がある（例えば、特許文献１参照）。

また、スケジュール管理システムにおいて、認証レベルに応じてスケジュール情報へのアクセス権を制限する技術がある（例えば、特許文献２参照）。
特開２００２−２３２５９７公報 特開２００２−２８８３９４公報

従来の無線ＬＡＮシステムのアクセスポイントは唯一のネットワークに接続し、認証されたクライアントのみが、当該アクセスポイントを介して当該ネットワークを通じて通信が行えるようになっていた。

従って、従来の無線ＬＡＮシステムのアクセスポイントでは、無線接続してきた各クライアントが、セキュリティレベルが異なり、それに伴いサービス等も異なる複数のネットワークのうち当該クライアントに応じたネットワークを通じて通信を行うことはできなかった。例えば、アクセスポイントが接続するネットワークは唯一であるため、認証の成功したクライアントと認証の失敗したクライアントを別々のネットワークへ接続するサービスや、クライアントを認証し、その認証結果に応じて異なるサービスを提供することは困難であった。

そこで、本発明は、上記問題点に鑑み、複数のネットワークのそれぞれに予め定められたセキュリティ性を維持しながら、クライアントの当該複数のネットワークのうちのいずれか１つへのアクセスを容易にしかも柔軟に行うことができる通信装置を提供することを目的とする。

本発明の通信装置は、端末と無線接続するとともに、異なる複数のセキュリティレベルのうちの１つであって最もセキュリティレベルの低い第１のセキュリティレベルの第１のネットワークと前記複数のセキュリティレベルのうちの他の１つである第２のセキュリティレベルの第２のネットワークとを含む前記複数のセキュリティレベルのそれぞれに対応する複数のネットワークに接続された通信装置であって、端末識別子と、前記複数のネットワークのうちの１つであって当該端末識別子に対応する端末がアクセス可能なネットワークのセキュリティレベルと、当該端末が当該セキュリティレベルに対応するネットワークにアクセスする際に必要なアクセス情報とを１組とする複数の登録データを記憶する第１の記憶手段と、少なくとも前記第２のセキュリティレベルに対応する暗号アルゴリズムを記憶する第２の記憶手段と、前記通信装置に無線接続した第１の端末から、第１の端末識別子と第１のアクセス情報を受信する第１の受信手段と、前記第１の端末の認証結果と前記第１の端末識別子と前記第１のアクセス情報とに基づき、前記第１のセキュリティレベルと、前記複数の登録データのうち前記端末識別子が前記第１の端末識別子であり前記アクセス情報が前記第１のアクセス情報である第１の登録データに含まれる前記第２のセキュリティレベルとのうちのいずれか１一方を選択する選択手段と、前記選択手段で前記第２のセキュリティレベルが選択されたとき、前記第１の端末から送信されたデータを前記暗号アルゴリズムを用いて復号して前記第２のネットワークへ出力するとともに、前記第２のネットワークから受信した前記第１の端末宛てのデータを前記暗号アルゴリズムを用いて暗号化して当該第１の端末へ送信する第１の手段と、前記選択手段で前記第１のセキュリティレベルが選択されたとき、前記第１の端末から送信されたデータを前記第１のネットワークへ出力するとともに、前記第１のネットワークから受信した前記第１の端末宛てのデータを当該第１の端末へ送信する第２の手段とを具備したことを特徴とする。

本願発明の通信方法は、端末と、第１のセキュリティレベルの第１のネットワークと当該第１のセキュリティレベルよりセキュリティレベルの高い第２のセキュリティレベルの第２のネットワークとを含む、セキュリティレベルがそれぞれ異なる複数のネットワークのうちの１つとの間の通信方法であって、端末識別子と、前記複数のネットワークのうちの１つであって当該端末識別子に対応する端末がアクセス可能なネットワークのセキュリティレベルと、当該端末が当該セキュリティレベルに対応するネットワークにアクセスする際に必要なアクセス情報とを１組とする複数の登録データを第１の記憶手段に記憶する第１のステップと、少なくとも前記第２のセキュリティレベルに対応する暗号アルゴリズムを第２の記憶手段に記憶する第２のステップと、第１の端末から、第１の端末識別子と第１のアクセス情報を受信する第３のステップと、前記第１の端末の認証結果と前記第１の端末識別子と前記第１のアクセス情報とに基づき、前記第１のセキュリティレベルと、前記複数の登録データのうち前記端末識別子が前記第１の端末識別子であり前記アクセス情報が前記第１のアクセス情報である第１の登録データに含まれる前記第２のセキュリティレベルとのうちのいずれか１一方を選択する第４のステップと、前記第４のステップで前記第２のセキュリティレベルが選択されたとき、前記第１の端末から送信されたデータを前記暗号アルゴリズムを用いて復号して前記第２のネットワークへ出力するとともに、前記第２のネットワークから受信した前記第１の端末宛てのデータを前記暗号アルゴリズムを用いて暗号化して当該第１の端末へ送信する第５のステップと、前記第４のステップで前記第１のセキュリティレベルが選択されたとき、前記第１の端末から送信されたデータを前記第１のネットワークへ出力するとともに、前記第１のネットワークから受信した前記第１の端末宛てのデータを当該第１の端末へ送信する第６のステップとを有することを特徴とする。

本発明によれば、複数のネットワークのそれぞれに予め定められたセキュリティ性を維持しながら、クライアントの当該複数のネットワークのうちのいずれか１つへのアクセスを容易にしかも柔軟に行うことができる。

本発明の実施形態にかかる無線ＬＡＮシステムついて説明する前に、従来の無線ＬＡＮシステムについて簡単に説明する。なお、ここでは、ＩＥＥＥ８０２．１ｘを例にとり説明する。

図１は、従来の無線ＬＡＮシステムの構成例を示したものである。アクセスポイント１００は複数（例えば、ここでは３つの）クライアント端末１１１〜１１３を例えば、有線のネットワーク１０１へと接続するための機器である。認証サーバ１０２は、アクセスポイント１００を経由してネットワーク１０１へのアクセスを許可するクライアントを認証するためのサーバである。各クライアントは無線通信機能を持ち、アクセスポイント１００を経由してネットワーク１０１へとアクセスする端末である。

図２は、アクセスポイント１００の構成例を示したものである。アクセスポイント１００は、大きく分けて無線ＬＡＮ制御部１２１、パケット判断部１２２、認証部１２６、データベース部１２５、ブリッジ部１２３、ネットワークインタフェース部（ネットワークＩ／Ｆ部）１２４から構成されている。

無線ＬＡＮ制御部１２１は、クライアント端末との間の無線通信区間においてパケットの送受信を行うためのものである。パケット判断部１２２は、無線ＬＡＮ制御部１２１で受信されたパケットがクライアント認証用のパケットであるか否かを判断するものである。認証部１２６はクライアントの認証を行うものである。データベース部１２５は、アクセスポイントが認証したクライアント端末の識別子（例えばＭＡＣアドレス）とアクセスポイントと当該クライアントとの間の通信に使用する暗号鍵とを対応させて保持するものである。ブリッジ部１２３は、無線ＬＡＮ制御部１２１とネットワークＩ／Ｆ部１２４との間でパケットを転送するためのものである。ネットワークＩ／Ｆ部１２４は、ネットワーク１０１との間でパケットを送受信するためのものである。

無線ＬＡＮ制御部１２１は、無線インタフェース部（無線Ｉ／Ｆ部）１２１ａ、暗号制御部１２１ｂ、内部ポートｗ０から構成される。無線Ｉ／Ｆ部１２１ａは、クライアント端末との間に無線通信路を確立したり、当該無線通信路を通じてパケットを送受信するためのものである。暗号制御部１２１ｂは、クライアン端末から受信した暗号化パケットの復号化および、クライアント端末へ送信するパケットの暗号化を行うものである。内部ポートｗ０は無線ＬＡＮ制御部１２１からパケットを出力するためのものである。ネットワークＩ／Ｆ部１２４はネットワーク１０１に接続するためのインタフェースである。ブリッジ部１２３は、無線ＬＡＮ制御部１２１の内部ポートｗ０から出力され、パケット判断部１２２を経由したパケットをネットワークＩ／Ｆ部１２４へ転送するためのものである。

このような構成において、まずクライアント端末とアクセスポイント１００との間で無線の通信路を確立する。次に、クライアント端末とアクセスポイント１００と認証サーバ１０２との間で様々なやり取りがなされ、認証が終了すると、認証のプロセスでやりとりした情報などを基に、クライアント端末とアクセスポイント１００がそれぞれ同一の暗号鍵を作る。この暗号鍵を用いて、クライアント端末とアクセスポイント１００との間の無線区間で送受信されるパケットは暗号化される。

無線Ｉ／Ｆ部１２１ａで受信したパケットは暗号制御部１２１ｂに転送される。暗号制御部１２１ｂはパケットが暗号化されていれば復号化を行う。復号化の際には、パケットの送信元クライアント端末が使用する暗号化鍵の情報をデータベース部１２５に問い合わせて取得する。暗号制御部１２１ｂは、パケットを内部ポートｗ０からパケット判断部１２２へと転送する。パケット判断部１２２は内部ポートｗ０から転送されてきたパケットが認証用パケットであるか否かを判断する。パケットが認証用パケットであると判断した場合、パケット判断部１２２は当該パケットを認証部１２６へと転送する。認証用パケットではないと判断した場合はブリッジ部１２３へと転送する。

認証部１２６はパケット判断部１２２からクライアントの認証用パケットを受け取ると、認証サーバ１０２宛てのパケットを作成し、認証サーバ１０２へ送信すべくブリッジ部１２３へ出力する。一方、認証部１２６は、ネットワークＩ／Ｆ部１２４、ブリッジ部１２３を介して受け取った認証サーバ１０２からのクライアント宛の認証用パケットを内部ポートｗ０へ出力する。認証が終了した後、認証部１２６は対象となるクライアントが使用する暗号鍵をデータベース部１２５に登録する。

ブリッジ部１２３は、内部ポートｗ０とネットワークＩ／Ｆ部１２４とを関連づけている。すなわち、内部ポートｗ０からパケット判断部１２２を経由して入力されたパケットや認証部１２６から転送されたパケットをネットワークＩ／Ｆ部１２４へと転送する。また、ネットワークＩ／Ｆ部１２４から入力されたパケットをパケット判断部１２２を経由し、認証部１２６及び内部ポートｗ０へと転送する。

このように、従来のアクセスポイント１００は１つのネットワーク１０１に接続され、当該ネットワーク１０１に接続するためにネットワークＩ／Ｆ部１２４を唯１つ有していた。また、無線ＬＡＮ制御部１２１では、クライアント端末からのパケットをネットワーク１０１へ出力し、ネットワーク１０１から受信されたクライアント端末宛てのパケットを無線ＬＡＮ制御部１２１へ入力するための唯１つの内部ポートｗ０を有し、内部ポートｗ０とネットワークＩ／Ｆ部１２４とを関連づけるためのブリッジ部１２３を唯１つ有していた。

次に、本発明の実施形態にかかる無線ＬＡＮシステムについて説明する。

図３は、本実施形態に係る無線ＬＡＮシステムの構成例を示したもので、アクセスポイント１と当該アクセスポイント１に無線接続する複数（ここでは、例えば３台）のクライアント端末３ａ〜３ｃと、アクセスポイント１に認証用ネットワーク５を介して接続し、アクセスポイント１に無線接続した各クライアント端末（のユーザ）との間の認証手続きを行う認証サーバ２とからなり、アクセスポイント１には、種別の異なる複数（例えば、ここでは５つ）のネットワーク１１〜１５が接続されている。ネットワーク１１〜１５は、例えば、有線のネットワークである。

ネットワーク１１〜１５は、クライアントへのサービス内容等がそれぞれ異なり、そのため、セキュリティレベルがそれぞれ異なる。この違いから、通信速度や通信プロトコル、物理層ネットワーク等が異なっていてもよい。ここでは、ネットワーク１１〜１５のこのような種別の違いを、ここでは、セキュリティレベルの違いで区別する。ネットワーク１１〜１５は、セキュリティレベルがそれぞれ「レベル０」〜「レベル４」に対応する。この数値が高いほどセキュリティレベルが高いことを表す。レベル０ネットワーク１１は、アクセスポイント１に無線接続したクライアント端末であるなら、たとえ、認証の失敗したクライアント端末でも、アクセス可能のネットワークである。レベルの値が高くなればなるほど、当該ネットワークにアクセス可能なクライアント端末が限られてくる。また、レベル１ネットワーク１２〜レベル４ネットワーク１５のいずれかにアクセス可能なクライアント端末は、当該アクセス可能なネットワークのレベルよりも下のレベルのネットワークにもアクセス可能である。例えば、レベル１ネットワーク１２にアクセス可能なクライアント端末は、レベル０ネットワーク１１にもアクセス可能であり、最もレベルの高いレベル４ネットワーク１５にアクセス可能なクライアント端末は、全レベルのネットワーク１１〜１５にアクセス可能である。

複数のクライアント端末のそれぞれには、当該クライアント端末のユーザからの指定や、当該ユーザの所属や支払い済みの金額等などに応じて、上記のようなレベルの異なる複数のネットワークのうちアクセス可能なネットワークのレベルが定められている。

例えば、「レベル２」が定められているクライアント端末は、レベル０〜レベル２ネットワーク１１〜１３へアクセス可能である。

認証サーバ２には、図５に示すように、各クライアント端末について、当該クライアント端末がアクセス可能なネットワークのレベルが記憶されている。すなわち、図５に示すように、各クライアント端末の識別子（例えば、当該クライアント端末のＭＡＣアドレス）ととともに、当該クライアント端末がアクセス可能なネットワークのレベルと、当該ネットワークにアクセスする際に必要なアクセス情報として例えばパスワードが記憶されている。

ここでは、例えば、クライアントに予め定められたレベル値が高ければ、それよりレベルの小さいネットワークもアクセス可能であるから、複数のレベルのネットワークにアクセスすることのできるクライアント端末も存在する。従って、図５のテーブルでは、複数のレベルのネットワークにアクセス可能なクライアント端末には、当該複数のレベルのネットワークにそれぞれ対応する複数のパスワードが記憶されている。当該クライアント端末は、これら複数のパスワードのうちの所望のネットワークに対応するパスワードを用いることにより、当該クライアント端末がアクセス可能な複数のレベルのネットワークのうちの１つの所望のネットワークからサービスを受けることができる。

図３の説明に戻り、アクセスポイント１は、当該アクセスポイント１に無線接続したクライアント端末を、複数のネットワーク１１〜１５のうちのいずれか１つであって、当該クライアント端末がアクセス可能なレベルのネットワークに接続するための通信装置である。

認証サーバ２は、アクセスポイント１を経由してネットワークへのアクセスを許可するクライアント端末を認証するためのサーバである。図１に示したように、従来の認証サーバ１０２は、アクセスポイント１００からの問い合わせに対して、クライアント端末の認証の可否を答えるのみであった。

一方、図３に示す本実施形態の認証サーバ２は、認証対象のクライアント端末との間で認証に必要な情報のやり取りを（アクセスポイント１を介して）行い、認証対象のクライアント端末の認証処理を行い、認証結果と、クライアント端末から受け取ったクライアント識別子（ＭＡＣアドレス）、パスワードなどや、図５に示したテーブルを参照して、当該クライアント端末を接続するネットワークのレベルを選択する。そして、認証結果（失敗あるいは成功）とともに、当該レベルを認証用ネットワーク５を介してアクセスポイント１の認証部２３へに通知する。

クライアント端末３ａ〜３ｃは、無線通信機能を持ち、アクセスポイント１を経由してネットワーク１１〜１５のうちの当該クライアント端末がアクセス可能なネットワーク上の通信相手との間でパケットの送受信を行う。以下、各クライアント端末３ａ〜３ｃに共通し、それぞれを区別する必要がない場合には、クライアント端末３と呼ぶことにする。

クライアント端末３は、認証サーバ２との間の認証が成功すると、当該クライアント端末３が複数のネットワークにアクセス可能であるときには、そのうち、認証サーバ２との認証の際に用いたパスワードにより指定したレベルのネットワークへアクセスすることができる。なお、クライアント端末３のクライアント識別子（ＭＡＣアドレス）、パスワード、レベルなどが、認証サーバ２に登録されていないときや、当該クライアント端末３の認証が失敗したときには、当該クライアント端末３はレベル０ネットワーク１１とであれば通信することができる。

認証サーバ１は、クライアント端末３から送られてきたクライアント識別子とパスワードと、図５に示したテーブルに登録され、当該クライアントに予め定められたアクセス可能なネットワークのレベルと、当該クライアント端末３の認証結果とから、レベル０と当該パスワードに対応するレベルとのうちのいずれか一方を選択する。

認証が成功し、クライアントから送信されたパスワードに対応するレベルが図５のテーブルに登録されている場合には、認証サーバ２は、認証結果（成功）とクライアント端末３から送信された上記パスワードに対応するレベルとをアクセスポイント１へ返す。認証が失敗した場合、クライアント識別子やパスワードが図５のテーブルに登録されていない場合には、認証サーバ２は、認証結果（失敗）とレベル０とをアクセスポイント１へ返す。

アクセスポイント１（後述する認証部２３）では、アクセスポイント１とクライアント端末３との間で送受信されるデータを暗号化する際に用いる暗号化方式であって、認証サーバ２から通知されたレベル（レベル１〜レベル４）に対応する暗号化方式を選択し、さらに、当該選択された暗号化方式に対応する暗号鍵を生成する。選択された暗号化方式と生成された暗号鍵は当該クライアント３へ通知される。

図４は、アクセスポイント１の構成例を示したものである。アクセスポイント１は、大きく分けて、無線部ＬＡＮ制御部２１、パケット判断部２２、認証部２３、データベース部２４、ブリッジ部ｂｒ０〜ｂｒ４、ネットワークインタフェース部（ネットワークＩ／Ｆ部）ｅｔｈ０〜ｅｔｈ５から構成されている。

アクセスポイント１は、前述したように、認証サーバ２の接続されている認証用ネットワーク５と、レベル０〜レベル４のそれぞれに対応するネットワーク１１〜１５に接続されている。ネットワークＩ／Ｆ部ｅｔｈ０〜ｅｔｈ５は、それぞれ、ネットワーク１１〜１５と認証用ネットワーク５を接続し、これら各ネットワークとの間でパケットの送受信を行うためのものである。

なお、認証用ネットワーク５のレベルは、レベル４よりも高いレベル５が設定されており、セキュリティレベルの最も高いネットワークである。認証用ネットワーク５はネットワークＩ／Ｆ部ｅｔｈ５に接続され、ネットワークＩ／Ｆ部ｅｔｈ５を介して、アクセスポイント１は認証サーバ２へアクセスする。なお、認証用ネットワーク５へは、クライアント端末３からのアクセスは起こらない。クライアント端末３からは認証用ネットワーク５へのアクセスは不可能と予め設定されている。

無線ＬＡＮ制御部２１は、クライアント端末との間の無線区間においてパケットの送受信を行うためのものである。ネットワーク５、ネットワーク１１〜１５のそれぞれに対応する５つのレベルにそれぞれ対応する５つの内部ポートｗ０〜ｗ４を有する。

パケット判断部２２は無線ＬＡＮ制御部２１の内部ポートｗ０から出力された（未認証（まだ認証結果の得られていない）クライアント端末３から送信された）パケットが、当該クライアント端末３の認証に必要な情報が含まれている認証用パケットであるか否かを判断するものである。

認証部２３はクライアント端末３の認証を行うために、クライアント端末３との間で認証用パケットの送受信を行うとともに、認証サーバ２との間で認証用パケットの送受信を行う。さらに、認証の結果、認証サーバ２から通知された認証結果やレベルを基に、アクセスポイント１とクライアント端末３との間で送受信されるデータを暗号化する際に用いる暗号化方式であって、認証サーバ２から通知されたレベルに対応する暗号化方式を選択する。認証部２３は、例えば、図８に示すようなテーブルを記憶する。

図８に示すテーブルには、レベル別に予め定められた暗号化方式の識別子が登録されている。例えば、レベルが高いほど暗号強度が高い暗号化方式が対応付けている。また、レベル０の場合には、アクセスポイント１とクライアント３との間の無線区間は暗号化しないので、当該レベル０に対応する暗号化方式はない。

認証部２３は、認証サーバ２から通知されたレベルに対応する暗号化方式の識別子を図８に示したテーブルから読みとる。そして、認証部２３は、この暗号化方式に対応する暗号鍵を生成する、認証部２３は、乱数発生器をもち、この乱数発生器で当該暗号化方式に用いることが可能な乱数を発生し、それを暗号鍵とする。暗号化方式の識別子と生成された暗号鍵は認証対象であったクライアント３へ通知すべく、当該暗号化方式の識別子と暗号鍵と当該暗号鍵の識別子を含むパケットを内部ポートｗ０へ出力する。また、認証サーバ２から通知されたレベルと暗号化方式の識別子と暗号鍵とその識別子（ｋｅｙＩＤ）は、図６に示すように、クライアント端末３のクライアント識別子（ＭＡＣアドレス）とともに、データベース部２４に登録する。

データベース部２４には、アクセスポイント１に無線接続されているクライアント端末３識別するためのクライアント識別子（ＭＡＣアドレス）と、当該クライアント端末３に与えられた暗号鍵とその識別子（ＫｅｙＩＤ）、暗号化方式の識別子、この暗号鍵を用いて通信するネットワークのレベルなどが、認証サーバとの間の認証処理が終了するたびに、認証部１２６により図６に示したように登録される。

ブリッジ部ｂｒ０〜ｂｒ４は、無線ＬＡＮ制御部２１の５つの内部ポートｗ０〜ｗ４と、ネットワークＩ／Ｆ部ｅｔｈ０〜ｅｔｈ４とを対応付けて、無線ＬＡＮ制御部２１とネットワークｉ／Ｆ部ｅｔｈ０〜ｅｔｈ４との間でパケットの転送を行う。ブリッジ部ｂｒ０は、内部ポートｗ０とネットワークＩ／Ｆ部ｅｔｈ０とを対応付け、ブリッジ部ｂｒ１は、内部ポートｗ１とネットワークＩ／Ｆ部ｅｔｈ１とを対応付け、ブリッジ部ｂｒ２は、内部ポートｗ２とネットワークＩ／Ｆ部ｅｔｈ２とを対応付け、ブリッジ部ｂｒ３は、内部ポートｗ３とネットワークＩ／Ｆ部ｅｔｈ３とを対応付け、ブリッジ部ｂｒ４は、内部ポートｗ４とネットワークＩ／Ｆ部ｅｔｈ４とを対応付ける。

図７は、クライアント端末３からアクセスポイント１へ送信されるパケット（フレーム）のデータ構成例を示したものである。図７に示すデータ構成は、大きく分けてヘッダ部２０１とボディ部２０２とフレームチェックシーケンス（ＦＣＳ）部２０３とから構成されている。ボディ部２０２には、ＩＶ（initialization vector）、データ本体、ＩＣＶ（integrity check value）が含まれており、ＩＶには２ビットの上記ＫｅｙＩＤが含まれている。データ本体とＩＣＶとが認証の結果得られた暗号鍵を用いて暗号化される。暗号化ヘッダ部２０１の「８０２．１１ヘッダ」には、１ビットのＷＥＰ（wired equivalent privacy）があり、このＷＥＰにより、データ本体とＩＣＶとが暗号化されているか否かが表されている。当該パケットの送信元であるクライアントのアドレス、すなわち、ＭＡＣアドレスは、８０２．１１ヘッダに含まれている。このＭＡＣアドレスと、ＫｅｙＩＤとから、当該パケットの送信元のクライアント端末が一意に識別することができる。

次に、無線ＬＡＮ制御部２１の内部構成について説明する。

無線ＬＡＮ制御部２１は、無線Ｉ／Ｆ部３１、暗号制御部３２、内部ポートｗ０〜ｗ４から構成されている。

無線Ｉ／Ｆ部３１は、クライアント端末３との間に無線通信路を確立したり、当該無線通信路を通じてパケットを送受信するためのものである。

無線Ｉ／Ｆ部３１で受信されたパケットは、暗号制御部３２へ転送される。暗号制御部３２は、データベース部２４に記憶された図６に示すようなテーブルを参照して（テーブルに記憶されている暗号鍵や暗号化方式を用いて）、クライアン端末３から受信した暗号化パケットの復号化、クライアント端末３へ送信するパケットの暗号化を行うものである。クライアント端末３から送信されてきたパケットが暗号化されていない場合には、（図７のＷＥＰビットが「暗号化なし」を表しているとき）、当該パケットを内部ポートｗ０から出力する。暗号化されているパケット（図７のＷＥＰビットが「暗号化あり」を表しているとき）に対しては、当該パケットに含まれる送信元クライアント端末３のＭＡＣアドレスとＫｅｙＩＤとをキーに、図６に示したテーブルから、レベルと暗号鍵と暗号化方式の識別子を読み出す。そして、当該暗号鍵と、暗号化方式の識別子に対応する暗号化方式のアルゴリズムを用いて暗号化部分を復号する。さらに、図７の「８０２．１１ヘッダ」を「８０２．３ヘッダ」に置き換える。そして、このパケットを当該読み出されたレベルに対応する内部ポート（ｗ１〜ｗ４のいずれか）へ出力する。

なお、暗号制御部３２には異なる複数の暗号化方式のアルゴリズムが記憶されており、これらのうち、上記暗号化方式の識別子に対応する暗号化方式を用いて暗号化、復号化を行う。

内部ポートｗ０から出力されたパケットは、パケット判断部２２へ入力する。パケット判断部２２は、入力されたパケットが認証用パケット（認証サーバ２へ送信すべき情報やメッセージなどが含まれているパケット）であるか否かを判断する。当該パケットが認証用パケットであると判断した場合には、当該パケットを認証部２３へ出力する。認証用パケットではないと判断した場合は、ブリッジ部ｂｒ０へ出力する。

認証部２３は、パケット判断部２２からクライアントからの認証用パケットを受け取ると、認証サーバ２へ送信するクライアント認証のための認証用パケットを作成し、認証サーバ２へ送信すべく、当該作成した認証用パケットをネットワークＩ／Ｆ部ｅｔｈ５へ出力する。一方、ネットワークＩ／Ｆ部ｅｔｈ５から入力した認証サーバ２からのパケットがクライアント端末３の認証用パケット（認証サーバ２から送信され、クライアント端末３が受信すべき情報やメッセージなどが含まれているパケット）であるときには、当該パケットからクライアント端末３宛ての認証用パケット（クライアント端末３が受信すべき情報やメッセージなどが含まれているパケット）を作成し、クライアント端末３へ送信すべく、当該作成したパケットを内部ポートｗ０へ出力する。

ブリッジ部ｂｒ０は、無線ＬＡＮ制御部２１の内部ポートｗ０とネットワークＩ／Ｆ部ｅｔｈ０とを関連づけている。内部ポートｗ０からパケット判断部２２を経由してブリッジ部ｂｒ０に入力されたパケットや、認証部２３から出力されて、パケット判断部２２を経由しブリッジ部ｂｒ０に入力されたパケットはネットワークＩ／Ｆ部ｅｔｈ０へと出力される。一方、ネットワークＩ／Ｆ部ｅｔｈ０からブリッジ部ｂｒ０に入力したパケットは、パケット判断部２２を経由し、認証部２３及び内部ポートｗ０へと転送される。

ブリッジ部ｂｒ１、ｂｒ２、ｂｒ３、ｂｒ４は、それぞれ、無線ＬＡＮ制御部２１の内部ポートｗ１、ｗ２、ｗ３、ｗ４をネットワークＩ／Ｆ部ｅｔｈ１、ｅｔｈ２、ｅｔｈ３、ｅｔｈ４へと対応づけており、これらの間でパケットを転送するためのものである。

ネットワークＩ／Ｆ部ｅｔｈ０はレベル０ネットワーク１１に接続されている。ネットワークＩ／Ｆ部ｅｔｈ１、ｅｔｈ２、ｅｔｈ３、ｅｔｈ４は、レベル１ネットワーク１２、レベル２ネットワーク１３、レベル３ネットワーク１４、レベル４ネットワーク１５へそれぞれ接続されている。ネットワークＩ／Ｆ部ｅｔｈ５は認証用ネットワーク５へ接続されている。

次に、図９を参照して、クライアント端末３ａとアクセスポイント１と認証サーバ２との間の処理動作について説明する。

（ステップｄ１）クライアント端末３ａとアクセスポイント１の無線ＬＡＮ制御部２１との間でアソシエーションを確立し、クライアント端末３ａがアクセスポイント１に無線接続する。

（ステップｄ２）クライアント端末３ａはアクセスポイント１に対してクライアント認証要求パケットを送信する。なお、このパケットのボディ部２０２のデータ部分には、当該クライアント端末３が希望する（当該クライアント端末３で動作可能な）認証プロトコルのリスト(ここには、認証プロトコルがユーザの希望する順序で記述されている)が含まれている。さらに、前述したように、当該クライアント認証要求パケットのヘッダ部２０１内には、当該クライアント端末３ａのクライアント識別子（ＭＡＣアドレス）Ａが含まれている。当該クライアント認証要求パケットはアクセスポイント１の無線ＬＡＮ制御部２１で受信される。当該クライアント認証要求パケットは、クライアント端末３ａから送信された上記認証用パケットであるので（暗号化されていない）、内部ポートｗ０から出力され、パケット判定部２２から認証部２３へと転送される。

（ステップｄ３）認証部２３はこれを受け取ると、認証サーバ２に対し、クライアント端末３ａの認証プロトコルの開始を要求するためサーバ認証要求パケットを作成し、認証サーバ２へ送信すべく、ネットワークＩ／Ｆ部ｅｔｈ５へ渡す。当該サーバ認証要求パケットは、ネットワークＩ／Ｆ部ｅｔｈ５から認証用ネットワーク５を通じて認証サーバ２へ送信される。なお、サーバ認証要求パケットのヘッダ部２０１には、認証を要求しているクライアント端末３ａのクライアント識別子（ＭＡＣアドレス）「Ａ」が含まれていることはもちろんのこと、ボディ部２０２のデータ部分には、上記認証プロトコルのリストが含まれている。

（ステップｄ４）サーバ認証要求パケットを受信した認証サーバ２は、当該サーバ認証要求パケットに含まれるクライアント識別子「Ａ」を認証対象として識別する。以後、クライアント端末３ａ、認証サーバ２、及びアクセスポイント１の三者によるクライアント認証プロトコルが動作する。

この認証プロトコルで、クライアント端末３ａからは、例えば、当該クライアント端末３ａが希望するサービスを受けたいネットワーク（例えば、レベル２ネットワーク１３であるとする）に対応するパスワード「Ａ００３」がアクセスポイント１を介して認証サーバ２へ渡される。

ここで、ステップｄ４の認証プロトコルの処理について一例を挙げて説明する。認証プロトコルには複数の種類があり、認証プロトコルの種類によって、そのシーケンスは異なる。例えば、ＩＥＥＥ８０２．１ｘで使われる認証方式はＥＡＰ（extensible authentication protocol）と呼ばれるものであるが、ＥＡＰにはＥＡＰ−ＴＴＬＳやＰＥＡＰ、ＥＡＰ−ＴＬＳなどの何種類かの方法がある。クライアント端末３と認証サーバ２との間の認証方式は、それらのうちのいずれであってもよい。

ここでは、例えばＥＡＰ−ＭＤ５というハッシュを用いた認証プロトコルを例として説明する。このプロトコルはクライアント端末３ａと認証サーバ２の２者間で行われ、シーケンスは以下の通りとなる。

（ステップｅ１）認証開始に先立ち、認証サーバ２は、サーバ認証要求パケットに含まれていた認証プロトコルのリスト（以下、第１のリストと呼ぶ）と、認証サーバ２自身が当該クライアント端末３ａに対して許可する認証プロトコルのリスト（以下、第２のリストと呼ぶ）より、利用する認証プロトコルを決定する。第２のリストは、例えば、当該クライアント端末３ａに予め定められたレベルに対応する認証プロトコルを記述したものである。レベルが高ければ、第２のリストにはより強度の高い認証プロトコルが含まれている。

認証サーバ２は、第１のリストと第２のリストとをつき合わせて、例えば、両者に共通に含まれている認証プロトコルであって、その中で、より強度が高く、しかもユーザからの希望順位がより高い認証プロトコルを選択する。ここで、認証サーバ２はＥＡＰ−ＭＤ５プロトコルを選択したとする。なお、利用可能な認証プロトコルが存在しない場合、ステップＳｄ４の処理は終了し、認証サーバ２はアクセスポイント１の認証部２３に対して、認証が失敗した旨を通知する。

（ステップｅ２）認証サーバ２は、ある乱数を作成する。

（ステップｅ３）認証サーバ２は、当該乱数を含むＥＡＰ−ＭＤ５チャレンジメッセージをクライアント端末３ａへ送信すべく、当該メッセージを含む認証用パケットを認証部２３へ送信する。認証部２３では、当該パケットから当該メッセージを取出し、当該メッセージを含むクライアント端末３ａ宛ての認証用パケットを生成する。当該生成されたパケットはアクセスポイント１からクライアント端末３ａへ送信される。

（ステップｅ４）クライアント端末３ａは、ＥＡＰ−ＭＤ５チャレンジメッセージを受信することで、認証プロトコルとして、ＥＡＰ−ＭＤ５が選択されたと判断する。クライアント端末３ａは、ＥＡＰ−ＭＤ５メッセージに含まれる乱数と、自身が保持するパスワード「Ａ００３」を掛け合わせ、ハッシュ値を計算する。そして、このハッシュ値を含むレスポンスメッセージを作成する。

（ステップｅ５）このレスポンスメッセージをボディ部２０２に含む認証用パケットは、アクセスポイント１へ送信され、アクセスポイント１では、当該認証用パケットを当該無線ＬＡＮ制御部２１で受信すると、内部ポートｗ０、パケット判定部２２を経て認証部２３へ渡される。認証部２３では、当該認証用パケットからレスポンスメッセージ取出し、当該メッセージを含む認証サーバ２宛ての認証用パケットを作成し、それを認証サーバ２へ送信する。

（ステップｅ６）レスポンスメッセージ含む認証用パケットを受信した認証サーバ２は、図８に示したテーブルからステップｄ３で受け取ったクライアント識別子「Ａ」にとともに登録されている複数のパスワードを読み出し、そのそれぞれと、ステップｅ２で生成した乱数とを掛け合わせて、複数のハッシュ値を算出する。

（ステップｅ７）次に、受信したレスポンスメッセージに含まれるハッシュ値をステップｅ６で算出した複数のハッシュ値のそれぞれと比較する。これら複数のハッシュ値のなかに、レスポンスメッセージに含まれていたハッシュ値と一致するものがあれば、認証が成功したと判断する。そして、一致したハッシュ値に対応するパスワードに対応付けて図８に示したテーブルに記憶されているレベル（すなわち、ここでは「レベル２」）を読み出す。

算出された複数のハッシュ値のなかに、レスポンスメッセージに含まれていたハッシュ値と一致するものがなければ、認証が失敗したと判断する。

（ステップｄ５）認証プロトコルを用いた認証の結果、認証サーバ２にて認証対象がクライアント端末３ａであることが認証されると（認証が成功すると）、認証サーバ２はアクセスポイント１の認証部２３に対して、認証成功の旨と「レベル２」を通知するためのメッセージを含むパケットを送信する。このメッセージには、クライアント端末３ａのクライアント識別子「Ａ」、認証が成功した旨、及び当該クライアント端末３ａからパスワードにて指定された「レベル２」が含まれている。

また、認証が失敗した場合にもその旨と、さらに「レベル０」を通知するためのメッセージを含むパケットを認証部２３へ送信する。

（ステップｄ６）認証部２３は、当該パケットを受け取ると、クライアント端末３ａが認証されたことと「レベル２」を認識する。認証部２３は、認証されたクライアント端末３ａとの無線通信区間を暗号化するための暗号化方式であって、「レベル２」に対応する暗号化方式の識別子（ここでは「方式Ｂ」）を図８に示したテーブルから得る、さらに、当該暗号化方式に利用可能な暗号鍵「Ｋｅｄ１」を生成する。

（ステップｄ７）そして、データベース部２４に、クライアント端末３ａのクライアント識別子「Ａ」とともに、暗号化方式「方式Ｂ」と暗号鍵「Ｋｅｄ１」と当該暗号鍵の識別子（ＫｅｙＩＤ）「ｋＩＤ１」を登録する。

（ステップｄ８）認証部２３は、クライアント端末に対して、認証が成功した旨と暗号化方式「方式Ｂ」と暗号鍵「Ｋｅｄ１」とそのＫｅｙＩＤを通知するための認証用パケットを作成し、当該認証用パケットをクライアント端末３ａへ送信すべく、内部ポートｗ０へ出力する。内部ポートｗ０に入力した当該認証用パケットは、無線ＬＡＮ制御部２１を通じてクライアント端末３ａへ送信される。

（ステップｄ９）クライアント端末３ａで当該パケットが受信された後は、クライアント端末３ａとアクセスポイント１との間の無線通信区間の通信は、当該通知された暗号鍵で暗号化されたパケットが送受信されることになる。

クライアント端末３ａから送信されたレベル２ネットワーク１３上のシステム宛の（暗号化された）パケットは、アクセスポイント１の無線Ｉ／Ｆ制御部３１で受信されて、暗号制御部３２において当該受信されたパケットの暗号化部分が復号される。その際用いられる暗号方式と復号鍵は、認証部２３がステップｄ７でデータベース部２４に当該クライアント端末３ａのクライアント識別子「Ａ」に対応付けて登録した暗号方式「方式Ｂ」と暗号鍵である。すなわち、暗号制御部３２は、当該受信されたパケットに含まれる当該クライアント端末３ａのクライアント識別子「Ａ」とＫｅｙＩＤ「ＫＩＤ１」をキーに、データベース部１２５からレベル「レベル２」と暗号鍵「Ｋｅｄ１」と暗号化方式の識別子「方式Ｂ」を取得する。そして、当該暗号化方式と暗号鍵を用いて当該受信されたオアケットの暗号化部分を復号する。復号した後、図７の「８０２．１１ヘッダ」を「８０２．３ヘッダ」に置き換えて、レベル２に対応する内部ポートｗ２へ出力する。その後、当該パケットは、レベル２に対応するブリッジ部ｂｒ２とネットワークＩ／F部ｅｔｈ２を経由して、レベル２ネットワーク１３上の通信相手であるシステムへと送信される。

一方、レベル２ネットワーク１３上のクライアント端末３ａの通信相手のシステムがクライアント端末３ａ宛に送信するパケットは、アクセスポイント１のネットワークＩ／Ｆ部ｅｔｈ２、ブリッジ部ｂｒ２を経由して無線ＬＡＮ制御部２１に至る。この場合、当該パケットは、内部ポートｗ２から無線ＬＡＮ制御部２１へ入力する。

暗号制御部３２では、パケットが５つの内部ポートｗ０〜ｗ４のうちのどこから入力されたのかに基づき、当該パケットの送信先のクライアント端末に対応するレベルを認識する。例えば、暗号制御部３３は、内部ポートｗ２からパケットが入力した場合には、当該パケットの送信先のクライアント端末のレベルが「レベル２」であることを認識する。また、暗号制御部３２は、当該内部ポートｗ２から入力したパケットのヘッダ部２０１に含まれる宛先アドレスからクライアント端末３ａのクライアント識別子であるＭＡＣアドレス「Ａ」を得る。この得られたクライアント識別子「Ａ」と、認識されたレベル「レベル２」とをキーに、暗号制御部３２はデータベース部２４から、これらに対応つけて記憶されている暗号鍵「Ｋｅｄ１」と暗号化方式の識別子「方式Ｂ」を取得する。そして、この暗号鍵「Ｋｅｄ１」と暗号化方式「方式Ｂ」とを用いて、内部ポートｗ２から入力したパケットの暗号化すべき部分を暗号化する。暗号化されたパケットは、無線Ｉ／Ｆ部３１からクライアント端末３ａへと送信される。

次に、アクセスポイント１のパケット転送方法について詳細に説明する。

図１０は、アクセスポイント１の無線ＬＡＮ制御部２１の詳細構成と、クライアント端末３から送信されたパケットの受信時の無線ＬＡＮ制御部２１内におけるデータの流れを示したものである。図１１は、同じくアクセスポイント１の無線ＬＡＮ制御部２１の詳細構成と、クライアント端末３へのパケットの送信時の無線ＬＡＮ制御部２１内におけるデータの流れを示したものである。

無線ＬＡＮ制御部２１は、前述したように、無線Ｉ／Ｆ部３１、暗号制御部３２及び内部ポートｗ０〜ｗ４から構成されている。

暗号制御部３２は、図１０、１１に示すように、暗号化判断部３２ａ、暗号化・復号化部３２ｂ、振分部３２ｃから構成されている。

暗号化判断部３２ａは、受信したパケットが暗号化されているか否かを判断する。暗号化されているか否かは、図７の無線ＬＡＮフレームの８０２．１１ヘッダに含まれるＷＥＰビットを参照することで判断できる。暗号化・復号化部３２ｂは、無線通信の送信時におけるパケットの暗号化、及び無線通信の受信時におけるパケットの復号を行うものである。暗号化・復号化に用いる暗号鍵の識別子ＫｅｙＩＤは、クライアント端末３から送信されるパケット中に含まれている（図７参照）。

無線ＬＡＮ制御部２１の無線Ｉ／Ｆ部３１で受信したパケットは暗号制御部３２を経由して内部ポートｗ０〜ｗ４のいずれかへ転送される。内部ポートｗ０へ転送されたパケットはパケット判断部２２へと至り、それ以外の内部ポートへ転送されたパケットはブリッジ部へと至る。

暗号制御部３２の暗号化・復号化部３２ｂは、データベース部２４に接続され、パケットの送信元のクライアント端末３から送信されてきたパケットに含まれるクライアント識別子（ＭＡＣアドレス）と上記ＫｅｙＩＤとを基に、データベース部２４にアクセスして、当該クライアント端末３が使用する暗号鍵や暗号化方式の識別子を取得する。

ここで、図１２に示すフローチャートを参照して、クライアント端末３とアクセスポイント１との間の無線通信においてアクセスポイント１でのパケット受信時の処理動作について説明する。

クライアント端末３が送信したパケットは、まず無線Ｉ／Ｆ部３１で受信される。無線Ｉ／Ｆ部３１は受信したパケットは暗号制御部３２の暗号化判断部３２ａへと転送される（ステップＳ１）。暗号化判断部３２ａは、受信したパケットが暗号化されているか否かを判断する。暗号化されているものは暗号化・復号化部３２ｂに転送し、暗号化されていないものは、非暗号化パケットとしてそのまま内部ポートｗ０経由でパケット判断部２２へと転送する（ステップＳ２）。

暗号化・復号化部３２ｂでは、まず、受信したパケットに含まれる送信元アドレス（ＡＭＣアドレス）及びＫｅｙＩＤを基に、データベース部２４からレベルと暗号化に使用している暗号鍵と暗号化方式の識別子を取得する（ステップＳ３）。暗号化・復号化部３２ｂは、当該取得した暗号鍵を用いて当該受信パケットの暗号化部分を復号し（ステップＳ４）、それを振分部３２ｃへと転送する。これと同時に、暗号化・復号化部３２ｂは、当該取得したレベルを振分部３２ｃへ通知する。

振分部３２ｃは、受け取ったパケットの「８０２．１１ヘッダ」を「８０２．３ヘッダ」に置き換える。そして、このパケットを当該通知されたレベルに対応する内部ポート（ｗ１〜ｗ４のいずれか）へ出力する（ステップＳ５）。

内部ポートから出力されたパケットは、当該内部ポートと同じレベルのブリッジ部、ネットワークＩ／Ｆ部へと順次転送されて、当該レベルのネットワークへ出力される（ステップＳ６）。

パケット判断部２２は、無線ＬＡＮ制御部２１の内部ポートｗ０から出力されたパケットを受け取り、当該パケットがクライアント端末３の認証用パケットであると判断した場合には、これを認証部２３へと転送する（ステップＳ７）。

認証部２３は、受け取ったパケットから認証サーバ２へ送るべき情報やメッセージを取出し、取出した情報やメッセージなどを含む認証サーバ２宛ての認証用パケットを新たに作成する（ステップＳ８）。そして、この新たに作成されたパケットは、ネットワークＩ／Ｆ部ｅｔｈ５から認証サーバ２へ送信される（ステップＳ９）。

一方、パケット判断部２２は、内部ポートｗ０から受け取ったパケットが認証用パケットではないと判断した場合（ステップＳ７）、当該パケットは、レベル０ネットワーク１１へ出力すべきパケットであるので、ステップＳ１０へ進み、当該パケットをブリッジ部ｂｒ０へと転送する。

ステップＳ１０では、ブリッジ部ｂｒ０で受け取られたパケットは、ネットワークＩ／Ｆ部ｅｔｈ０からレベル０ネットワーク１１上のシステムへと送信される。

次に、図１３に示すフローチャートに従って、クライアント端末３とアクセスポイント１との間の無線通信においてアクセスポイント１でのパケット送信時の処理動作について図１１を参照して説明する。

まず、レベル０ネットワーク１１上のシステムから、例えばクライアント端末３ａ宛てのパケット送信時の処理動作について説明する。

レベル０ネットワーク１１上のシステムからのパケットは、ネットワークＩ／Ｆ部ｅｔｈ０で受信される（ステップＳ１１）。ネットワークＩ／Ｆ部ｅｔｈ０で受信されたパケットは、ブリッジ部ｂｒ０とパケット判断部２２を経由して、内部ポートｗ０へ転送される（ステップＳ１２）。

内部ポートｗ０に入力されたパケット（クライアント端末への送信パケット）は、（暗号化する必要がないので）暗号制御部３２の暗号化判断部３２ａを通過して、さらに、無線Ｉ／Ｆ部３１を経由し、暗号化されずに未認証のクライアント端末３ａへと送信される（ステップＳ１３、ステップＳ１６）。

次に、レベル２ネットワーク１３上のシステムから、例えばクライアント端末３ａ宛てのパケット送信時の処理動作について説明する。なお、ここでは、レベル２の場合を例にとり説明するが、レベル１、レベル３、レベル４の場合も同様である。

レベル０ネットワーク１３上のシステムからのパケットは、ネットワークＩ／Ｆ部ｅｔｈ２で受信される（ステップＳ１１）。ネットワークＩ／Ｆ部ｅｔｈ２で受信されたパケットは、ブリッジ部ｂｒ２へ転送される。ブリッジ部ｂｒ２は、当該パケットを内部ポートｗ２へ転送する（ステップＳ１２）。

内部ポートｗ２から無線ＬＡＮ制御部２１に入力されたクライアント端末３ａ宛ての送信パケットは、まず、暗号制御部３２の振分部３２ｃに入力される。振分部３２ｃは、当該パケットが内部ポートｗ２から入力されたので、当該パケットに対応するレベルが「レベル２」であることを認識する。振分部３２ｃは、受け取ったパケットの「８０２．３ヘッダ」を「８０２．１１ヘッダ」に置き換える。そして、このパケットを暗号化・復号化部３２ｂへと転送する。この際、当該パケットに対応するレベル、すなわち、この場合「レベル２」を暗号化・復号化部３２ｂへ出力する。

暗号化・復号化部３２ｂでは、振分部３２ｃから受け取ったパケットに含まれる宛先アドレス（ＭＡＣアドレス）「Ａ」と、同じく振分部３２ｃから通知されたレベル「レベル２」を基に、データベース部２４から、これらに対応する暗号化方式の識別子を暗号鍵を得る（ステップＳ１４）。ここでは、暗号化方式の識別子「方式Ｂ」、暗号鍵「Ｋｅｄ１」を得る。暗号化・復号化部３２ｂは、当該取得した暗号化方式と暗号化鍵を用いてクライアント端末３ａに送信すべきパケットを暗号化し、暗号化されたパケット（暗号化パケット）を暗号化判断部３２ａへ転送する（ステップＳ１５）。

暗号化判断部３２ａは、暗号化パケットを無線Ｉ／Ｆ部３１を経由してクライアント端末３ａへと送信する（ステップＳ１６）。

次に、アクセスポイント１が認証サーバ２から認証用ネットワーク１３を通じて、例えばクライアント端末３ａ宛ての認証用パケットを受信したときのアクセスポイント１の処理動作について、図１３に示すフローチャートを参照して説明する。

認証サーバ２から送信される認証用パケットは、ネットワークＩ／Ｆ部ｅｔｈ５で受信される（ステップＳ１７）。そして、当該受信されたパケットは、認証部２３へ渡される。認証部２３では、当該受信したパケットから、クライアント端末３ａが受信すべき情報やメッセージ取出し、取出した情報やメッセージなどを含むクライアント端末３ａ宛ての認証用パケットを新たに作成する（ステップＳ１８）。この新たなに作成されたパケットは、内部ポートｗ０から無線ＬＡＮ制御部２１に入力し、暗号化判断部３２ａを通過して、無線Ｉ／Ｆ部３１を経由し、（暗号化されずに）クライアント端末３ａへと送信される（ステップＳ１６）。

以上説明したように、上記実施形態によれば、アクセスポイント１に認証用ネットワーク５及び、レベルの異なる複数種類のネットワーク１１〜１５を接続し、アクセスポイント１に無線接続してきたクライアント端末３の認証可否及びレベルを、認証用ネットワーク５を通じて認証サーバ２に問い合わせる。認証サーバ２では、クライアント端末３の認証結果と、当該クライアント端末３に予め定められたレベルと、当該クライアント端末３からの要求（パスワード）に基づき、当該クライアント端末３に対するレベルを選択する。

アクセスポイント１は、当該選択されたレベルが「レベル０」以外のレベルであるときには、当該レベルに対応する暗号化方式と暗号鍵を当該クライアント端末３に対して通知する。クライアント端末３が当該暗号化方式と暗号鍵を用いて暗号化したデータをクライアント識別子と当該暗号鍵の識別子（ＫｅｙＩＤ）とともにアクセスポイント１へ送信すると、アクセスポイント１は、クライアント識別子と当該暗号鍵の識別子とから当該レベルを認識し、受け取った暗号化データを当該暗号化方式と暗号鍵を用いて復号し、複数の内部ポートｗ０〜ｗ４のうち当該レベルに対応する内部ポートから、当該レベルに対応するブリッジ部を経て、当該レベルに対応するネットワークＩ／Ｆ部から当該レベルに対応するネットワークへと送信される。

一方、アクセスポイント１は、当該選択されたレベルが「レベル０」であるときには、無線区間を暗号化する必要はないため、暗号化方式や暗号鍵を当該クライアント端末３へ通知しない。そして、アクセスポイント１は、クライアント端末３から暗号化されていないデータを受信すると、（ＷＥＰビットの値から）当該受信データは暗号化されていないことを認識し、レベル０であることを認識する。従って当該受信データは、内部ポートｗ０からブリッジ部ｂｒ０を経て、ネットワークＩ／Ｆ部ｅｔｈ０からレベル０ネットワーク１１へと送信される。

上記実施形態によれば、認証サーバ２で、クライアント端末３から送られてきたクライアント識別子とパスワードと、図５に示したテーブルに登録され、当該クライアント３に予め定められたアクセス可能なネットワークのレベルと、当該クライアント端末３の認証結果とから、レベル０と当該パスワードに対応するレベルとのうちのいずれか一方を選択することにより、クライアント端末３に予め定められたレベルとクライアント端末３の正当性とクライアント端末３から送られてくるパスワードに対応するレベルとを加味して、最適なネットワークのレベル（レベル０あるいはパスワードに対応するレベル）を選択することができる。従って、アクセスポイント１に接続された複数のネットワークのそれぞれに予め定められたセキュリティ性を維持しつつ、クライアント端末３の複数のネットワークのうちのいずれか１つへのアクセスを容易にしかも柔軟に行うことができる。

また、アクセスポイント１は、クライアント端末３からの受信データを、当該クライアント端末３の認証結果とレベルに応じて異なる内部ポート（ｗ０〜ｗ４）からのデータとして扱う事が可能となり、各ネットワークＩ／Ｆ部ｅｔｈ０〜ｅｔｈ４をそのレベルに応じて異なるネットワークへと接続することで、クライアント端末の認証結果とレベルに応じて異なるサービスを提供できる。

また、認証サーバ２をクライアント端末３がアクセス可能なネットワーク１１〜１５とは異なる認証用ネットワーク５上に配置することで、認証システムのセキュリティ耐性が向上する。これらにより、認証結果（認証の成功、失敗）に応じてクライアントに対して異なるレベルのサービスを提供する無線ＬＡＮシステムが実現できる。

なお、図４では、アクセスポイント１は、５つのレベルのネットワーク１１〜１５に接続し、これらネットワークの５つのレベル（レベル０〜レベル４）に対応して、５つの内部ポートｗ０〜ｗ４と、５つのブリッジ部ｂｒ０〜ｂｒ４と、５つのネットワークＩ／Ｆ部ｅｔｈ０〜ｅｔｈ４を有していた。しかし、レベルの数は５つに限るものではなく、いくつあってもよい。例えば、アクセスポイント１は、図１４に示すように、レベル０とレベル１の２つのネットワークに接続し、レベル１のネットワークにアクセスする場合には、無線区間で暗号化を行い、レベル０のネットワークにアクセスする場合には、無線区間で暗号化を行わないとする。この場合、アクセスポイント１は、ネットワークの２つレベル（レベル０〜レベル１）に応じて、２つの内部ポートｗ０、ｗ１と、２つのブリッジ部ｂｒ０、ｂｒ１と、２つのネットワークＩ／Ｆ部ｅｔｈ０、ｅｔｈ１を有している。

図１４に示した構成においても、図４に示した構成の場合の説明と同様であり、図４に示した構成の場合と同様の効果が得られる。

また、図３では、認証サーバ２がアクセスポイント２に認証用ネットワーク５を介して接続されているが、認証サーバ２とアクセスポイント１とを一体化した構成であってもよい。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

１つのネットワークに接続されたアクセスポイントを含む無線ＬＡＮシステムの全体構成を示した図。 図１のアクセスポイントの構成例を示した図。 本発明の実施形態に係る無線ＬＡＮシステムの全体構成を示した図。 図３のアクセスポイントの構成例を示した図。 認証サーバに記憶されたテーブルの一例を示した図。 アクセスポイントのデータベース部に記憶されたテーブルの一例を示した図。 無線ＬＡＮシステムで送受信されるパケットのデータ構成例を示した図。 暗号制御部に記憶されるテーブルの一例を示した図。 クライアント端末とアクセスポイントと認証サーバとの間の処理動作について説明するための図。 無線ＬＡＮ制御部の詳細構成と、クライアント端末から送信されたパケットの受信時の無線ＬＡＮ制御部内におけるデータの流れを示した図。 無線ＬＡＮ制御部の詳細構成と、クライアント端末へのパケットの送信時の無線ＬＡＮ制御部内におけるデータの流れを示した図。 クライアント端末とアクセスポイントとの間の無線通信において、アクセスポイントでのパケット受信時の処理動作について説明するためのフローチャート。 クライアント端末とアクセスポイントとの間の無線通信において、アクセスポイントでのパケット送信時の処理動作について説明するためのフローチャート。 アクセスポイントの他の構成例を示した図。

符号の説明

１…アクセスポイント、２…認証サーバ、３ａ〜３ｃ…クライアント端末、５…認証用ネットワーク、１１…レベル０ネットワーク、１２…レベル１ネットワーク、１３…レベル２ネットワーク、１４…レベル３ネットワーク、１５…レベル４ネットワーク、２１…無線ＬＡＮ制御部、２２…パケット判断部、２３…認証部、２４…データベース部、ｗ０〜ｗ４…内部ポート、ｂｒ０〜ｂｒ４…ブリッジ部、ｅｔｈ０〜ｅｔｈ５…ネットワークＩ／Ｆ部。

Claims (9)

1. 端末と無線接続するとともに、異なる複数のセキュリティレベルのうちの１つであって最もセキュリティレベルの低い第１のセキュリティレベルの第１のネットワークと前記複数のセキュリティレベルのうちの他の１つである第２のセキュリティレベルの第２のネットワークとを含む前記複数のセキュリティレベルのそれぞれに対応する複数のネットワークに接続された通信装置であって、
   端末識別子と、前記複数のネットワークのうちの１つであって当該端末識別子に対応する端末がアクセス可能なネットワークのセキュリティレベルと、当該端末が当該セキュリティレベルに対応するネットワークにアクセスする際に必要なアクセス情報とを１組とする複数の登録データを記憶する第１の記憶手段と、
   少なくとも前記第２のセキュリティレベルに対応する暗号アルゴリズムを記憶する第２の記憶手段と、
   前記通信装置に無線接続した第１の端末から、第１の端末識別子と第１のアクセス情報を受信する第１の受信手段と、
   前記第１の端末の認証結果と前記第１の端末識別子と前記第１のアクセス情報とに基づき、前記第１のセキュリティレベルと、前記複数の登録データのうち前記端末識別子が前記第１の端末識別子であり前記アクセス情報が前記第１のアクセス情報である第１の登録データに含まれる前記第２のセキュリティレベルとのうちのいずれか１一方を選択する選択手段と、
   前記選択手段で前記第２のセキュリティレベルが選択されたとき、前記第１の端末から送信されたデータを前記暗号アルゴリズムを用いて復号して前記第２のネットワークへ出力するとともに、前記第２のネットワークから受信した前記第１の端末宛てのデータを前記暗号アルゴリズムを用いて暗号化して当該第１の端末へ送信する第１の手段と、
   前記選択手段で前記第１のセキュリティレベルが選択されたとき、前記第１の端末から送信されたデータを前記第１のネットワークへ出力するとともに、前記第１のネットワークから受信した前記第１の端末宛てのデータを当該第１の端末へ送信する第２の手段と、
   を具備したことを特徴とする通信装置。
2. 端末と無線接続するとともに、異なる複数のセキュリティレベルのうちの１つであって最もセキュリティレベルの低い第１のセキュリティレベルの第１のネットワークと前記複数のセキュリティレベルのうちの他の１つである第２のセキュリティレベルの第２のネットワークとを含む前記複数のセキュリティレベルのそれぞれに対応する複数のネットワークに接続された通信装置であって、
   少なくとも前記第２のセキュリティレベルに対応する暗号アルゴリズムを記憶する第２の記憶手段と、
   前記端末から、端末識別子とアクセス情報を受信する第１の受信手段と、
   前記端末の認証結果と前記端末識別子と前記アクセス情報とに基づき選択された前記複数のセキュリティレベルのうちの１つであって、前記第１のセキュリティレベルと前記アクセス情報に対応する前記第２のセキュリティレベルのうちのいずれか一方を取得する取得手段と、
   前記第２のセキュリティレベルを取得したとき、前記端末から送信されたデータを前記暗号アルゴリズムを用いて復号して前記第２のネットワークへ出力するとともに、前記第２のネットワークから受信した前記端末宛てのデータを前記暗号アルゴリズムを用いて暗号化して当該端末へ送信する第１の手段と、
   前記第１のセキュリティレベルを取得したとき、前記端末から送信されたデータを前記第１のネットワークへ出力するとともに、前記第１のネットワークから受信した前記端末宛てのデータを当該端末へ送信する第２の手段と、
   を具備したことを特徴とする通信装置。
3. 前記第２の記憶手段には、前記複数のセキュリティレベルから前記第１のセキュリティレベルを除いた各セキュリティレベルに対応して暗号強度が異なる複数の暗号アルゴリズムを記憶することを特徴とする請求項１記載の通信装置。
4. 前記複数の登録データには、前記端末識別子が前記第１の端末識別子である登録データ群を含み、当該登録データ群に属する各登録データは、それぞれ異なる前記セキュリティレベと、それぞれ異なる前記アクセス情報が含まれていることを特徴とする請求項１または２記載の通信装置。
5. 前記第１の手段は、
   前記暗号アルゴリズムで用いる暗号鍵を生成する生成手段と、
   前記暗号鍵と当該暗号鍵の識別子と前記暗号アルゴリズムの識別子を前記第１の端末へ送信する手段と、
   前記第１の端末から送信され、前記暗号アルゴリズムと前記暗号鍵とを用いて暗号化された第１の暗号化データを受信する手段と、
   前記第１の暗号化データを、前記暗号アルゴリズムと前記暗号鍵を用いて復号して復号データを得る手段と、
   前記復号データを前記第２のネットワークへ出力する手段と、
   前記第２のネットワークから受信した前記第１の端末宛ての受信データを前記暗号アルゴリズムと前記暗号鍵を用いて暗号化して、第２の暗号データを得る手段と、
   前記第２の暗号データを前記第１の端末へ送信する手段と、
   を有することを特徴とする請求項１記載の通信装置。
6. 前記第１の手段は、
   前記暗号アルゴリズムで用いる暗号鍵を生成する手段と、
   前記暗号鍵と当該暗号鍵の識別子と前記暗号アルゴリズムの識別子を前記端末へ送信する手段と、
   前記端末から送信され、前記暗号アルゴリズムと前記暗号鍵を用いて暗号化された第１の暗号化データを受信する手段と、
   前記第１の暗号化データを前記暗号アルゴリズムと前記暗号鍵を用いて復号して復号データを得る手段と、
   前記復号データを前記第１のネットワークへ出力する手段と、
   前記第１のネットワークから受信した前記端末宛ての受信データを前記暗号アルゴリズムと前記暗号鍵を用いて暗号化して、第２の暗号データを得る手段と、
   前記第２の暗号データを前記第１の端末へ送信する手段と、
   を有することを特徴とする請求項２記載の通信装置。
7. 前記複数のネットワークのうちの１つであって、前記複数のセキュリティレベルのうちで最もセキュリティレベルの高く、かつ前記端末によるアクセスが不可能な第３のセキュリティレベルの第３のネットワークを介して、前記端末の前記認証結果を受け取ることを特徴とする請求項２記載の通信装置。
8. 端末と、第１のセキュリティレベルの第１のネットワークと当該第１のセキュリティレベルよりセキュリティレベルの高い第２のセキュリティレベルの第２のネットワークとを含む、セキュリティレベルがそれぞれ異なる複数のネットワークのうちの１つとの間の通信方法であって、
   端末識別子と、前記複数のネットワークのうちの１つであって当該端末識別子に対応する端末がアクセス可能なネットワークのセキュリティレベルと、当該端末が当該セキュリティレベルに対応するネットワークにアクセスする際に必要なアクセス情報とを１組とする複数の登録データを第１の記憶手段に記憶する第１のステップと、
   少なくとも前記第２のセキュリティレベルに対応する暗号アルゴリズムを第２の記憶手段に記憶する第２のステップと、
   第１の端末から、第１の端末識別子と第１のアクセス情報を受信する第３のステップと、
   前記第１の端末の認証結果と前記第１の端末識別子と前記第１のアクセス情報とに基づき、前記第１のセキュリティレベルと、前記複数の登録データのうち前記端末識別子が前記第１の端末識別子であり前記アクセス情報が前記第１のアクセス情報である第１の登録データに含まれる前記第２のセキュリティレベルとのうちのいずれか１一方を選択する第４のステップと、
   前記第４のステップで前記第２のセキュリティレベルが選択されたとき、前記第１の端末から送信されたデータを前記暗号アルゴリズムを用いて復号して前記第２のネットワークへ出力するとともに、前記第２のネットワークから受信した前記第１の端末宛てのデータを前記暗号アルゴリズムを用いて暗号化して当該第１の端末へ送信する第５のステップと、
   前記第４のステップで前記第１のセキュリティレベルが選択されたとき、前記第１の端末から送信されたデータを前記第１のネットワークへ出力するとともに、前記第１のネットワークから受信した前記第１の端末宛てのデータを当該第１の端末へ送信する第６のステップと、
   を有することを特徴とする通信方法。
9. 端末と、第１のセキュリティレベルの第１のネットワークと当該第１のセキュリティレベルよりセキュリティレベルの高い第２のセキュリティレベルの第２のネットワークとを含む、セキュリティレベルがそれぞれ異なる複数のネットワークのうちの１つとの間の通信方法であって、
   少なくとも前記第２のセキュリティレベルに対応する暗号アルゴリズムを記憶手段に記憶する第１のステップと、
   前記端末から、端末識別子とアクセス情報を受信する第２のステップと、
   前記端末の認証結果と前記端末識別子と前記アクセス情報とに基づき選択された、前記第１のセキュリティレベルと前記アクセス情報に対応する前記第２のセキュリティレベルのうちのいずれか一方を取得する第３のステップと、
   前記第２のセキュリティレベルを取得したとき、前記端末から送信されたデータを前記暗号アルゴリズムを用いて復号して前記第２のネットワークへ出力するとともに、前記第２のネットワークから受信した前記端末宛てのデータを前記暗号アルゴリズムを用いて暗号化して当該端末へ送信する第４のステップと、
   前記第１のセキュリティレベルを取得したとき、前記端末から送信されたデータを前記第１のネットワークへ出力するとともに、前記第１のネットワークから受信した前記端末宛てのデータを当該端末へ送信する第５のステップと、
   を有することを特徴とする通信方法。

Images