JP2016053967A - 中継機、無線通信システムおよび無線通信方法 - Google Patents

Abstract

【課題】無線通信端末を認証する機能を中継機に持たせずに、セキュリティが高くかつユーザ利便性の高い無線接続システムを提供すること。【解決手段】中継機２０は、無線通信端末１０から、その無線通信端末１０に固有の端末番号を受信する受信手段２１と、端末番号を含む認証要求を認証サーバ７０に送信する認証要求手段２２と、端末番号に基づき認証サーバ７０において判定された認証結果を受信する受信手段２３と、認証結果を用いて、無線通信端末１０を外部ネットワークに接続してよいか判断する判断手段２４と、外部ネットワークへの接続を留保すべきと判断手段２４によって判断された場合、その無線通信端末１０にダミーの識別アドレスを付与する付与手段２５とを有する。【選択図】図１０

Description

本発明は、無線通信における中継機、認証装置、および認証システムに関し、より具体的には、ＩＥＥＥ８０２．１ｘ機能を搭載している無線ＬＡＮ端末が、宅内網、企業内網、モバイル網のいずれの網に属する無線ＬＡＮアクセスポイントのサービスエリアに在圏する際に、無線ＬＡＮ端末が指定するＵＲＬへの接続を可能にする中継機、認証装置、および認証システムに関する。

無線通信のシステム、例えば、ＩＥＥＥ８０２．１ｘに準拠した無線ＬＡＮシステムにおいては、無線通信機器（例えばパーソナルコンピュータ、スマートフォン、タブレット端末）と、無線通信における中継機（例えばアクセスポイント）又は認証サーバ（ＩＥＥＥ８０２．１ｘに対応したＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
Ｄｉａｌ−ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバ）との間で認証の処理が行われた後、無線通信機器はインターネットへの接続が可能となる。

こうした認証の処理については、特許文献１では、無線ＬＡＮユーザ端末と、前記ユーザ端末の無線ＬＡＮ通信を中継するアクセスポイントと、前記アクセスポイントからのユーザ認証要求に応答してユーザ認証処理を実行する認証サーバとを含んだ公衆無線ＬＡＮサービスシステムにおけるユーザ認証方法において、（ａ）前記ユーザ端末が前記アクセスポイントに対して公衆無線ＬＡＮへのアクセスを要求するステップと、（ｂ）前記アクセスポイント自身が貯蔵しているユーザ認証に関する情報を、当該アクセスポイントが検索するステップと、（ｃ）前記ステップ（ｂ）において前記ユーザ認証に関する情報が検索された場合には、前記アクセスポイントがユーザ認証を行うステップと、（ｄ）前記ステップ（ｂ）において前記ユーザ認証に関する情報が検索されなかった場合には、前記アクセスポイントが前記認証サーバに認証を要求し、前記認証サーバがユーザ認証処理を行うステップとを含むことを特徴とする、公衆無線ＬＡＮサービスシステムにおけるユーザ認証方法が記載されている。

また、特許文献２には、無線端末と所定のプロトコルを用いて無線通信を行う無線部と、前記無線端末との無線通信に用いる認証方式および暗号化方式に係る複数のセキュリティパラメータセットのうちいずれか一つを所定のタイミングで選択して前記無線部を介して前記無線端末に供給する制御部と、を備えることを特徴とする基地局装置が記載されている。

さらに、特許文献３には、端末局が提供する第１種の認証情報に基づいて認証する第１認証手段と、端末局が提供する第２種の認証情報に基づいて認証する第２認証手段と、端末局認証用の第２種の認証情報を記憶する記憶手段と、認証サーバと通信する通信手段とを有し、前記通信手段は、前記端末局の提供する第２種の認証情報に基づく認証に関し前記認証サーバに問い合わせ、前記第２認証手段は、前記問い合わせに対する認証サーバからの応答に基づいて認証することを特徴とする無線と有線のインターフェイス装置が記載されている。

特開２００４−１６４５７６号公報（請求項２、段落００２０、段落００２６、段落００２９） 特開２００６−３３２７８８号公報（請求項１） 特開２００４−３０４８２４号公報（請求項１、段落０００６）

しかしながら、特許文献１に記載の技術は、アクセスポイントがユーザ認証を行うためにアクセスポイントに付加的な機能を設ける必要があり、コストアップとなるだけでなく、認証サーバを利用する場合もＩＤ、パスワード（以下「ＰＷＤ」ということがある。）で認証判断を行っており、ユーザがＩＤやパスワードを入力する必要があって処理が煩雑になりやすく、同じＩＤやパスワードが他のユーザに使用された場合には、この他のユーザを認証してしまうことになりセキュリティの確保が容易でない。

また、特許文献２に記載の技術は、アクセスポイントが複数のセキュリティパラメータセットを保持して必要に応じてセキュリティパラメータセットの切替えを行う方式ゆえ、アクセスポイント毎に付加的な機能を設ける必要がありコストアップとなるだけでなく、煩雑となりやすい。

さらに、特許文献３に記載の技術は、アクセスポイントで無線信号制御等のファームウェアやＭＡＣアドレス認証機能を搭載するようにしており、アクセスポイントに付加的な機能を設ける必要があり、コストアップとなるだけでなく、煩雑となりやすい。

本発明は、上記課題を解決することを目的としており、新しい機能の付加が不要で、ユーザにとっての利便性がよく、セキュリティにも優れる、中継機および認証サーバを提供することを目的とする。さらに、本発明は、宅内網、企業網、モバイル網に依存しないトランスペアレントなネットワークを構築可能な中継機および認証サーバを提供することを目的とする。

本発明の第一の要旨は、無線通信端末から、当該無線通信端末に設定されている端末番号を受信する無線通信手段と、前記端末番号を認証サーバに送信し、前記端末番号に基づき当該認証サーバにおいて判断された認証結果を受信する認証処理手段と、を有することを特徴とする中継機にある。

本発明においては、前記認証処理手段における前記端末番号の認証サーバへの送信が、端末番号を暗号化した上でインターネットを介してなされる中継機とすることが好ましい。

また、本発明においては、前記認証処理手段が、前記判断の結果に基づきインターネットへの接続を留保すべきと判断した場合には、前記無線通信手段を介して前記無線通信端末にダミーの識別アドレスを付与する中継機とすることが好ましい。

さらに、本発明においては、前記認証処理手段が、前記判断の結果に基づき、前記端末番号の前記認証サーバへの登録処理、前記無線通信端末の利用者の識別符合又はパスワードの入力処理、および指定のウェブサイトの表示処理の少なくとも一つの処理を行う中継機とすることが好ましい。

本発明の第二の要旨は、無線通信端末に設定されている端末番号を受信し、当該端末番号に基づきインターネットへの接続の可否を判断する制御手段を有することを特徴とする認証サーバにある。

本発明においては、前記端末番号がインターネットを介して暗号化されて送信され、当該暗号化された前記端末番号を復号化した上で、前記制御手段が前記判断を行う認証サーバとすることが好ましい。

また、本発明においては、前記判断の結果に基づき、前記端末番号の認証サーバへの登録処理、前記無線通信端末の利用者の識別符合又はパスワードの受信処理、および指定のウェブサイトの表示を指示する処理の少なくとも一つの処理を行う認証サーバとすることが好ましい。

本発明によれば、新しい機能の付加が不要で、ユーザにとっての利便性がよく、セキュリティにも優れる、中継機および認証サーバを提供することができる。また、本発明によれば、宅内網、企業網、モバイル網に依存しないトランスペアレントなネットワークを構築可能な中継機および認証サーバを提供することをできる。

本発明の中継機および認証サーバを用いたネットワークの構成例の概念図 図１のアクセスポイントの機能例を示した図 図１のプラットフォームの機能例を示した図 図１のネットワークを用いたシーケンスの一例を示す図（１／３） 図１のネットワークを用いたシーケンスの一例を示す図（２／３） 図１のネットワークを用いたシーケンスの一例を示す図（３／３） 図４〜６のシーケンスで用いられるシーケンスパターンの一例を示す図 図７のシーケンスパターンを導くためのフロー図 認証結果の信号構成を図式化した図 本実施形態に係る無線通信システムの機能構成を示す図

以下、具体的な実施形態を用いて本発明をより詳しく説明するが、本発明が下記実施形態に限定されないことはいうまでもない。

１．中継機、認証サーバ、およびネットワークの構成例
図１は、本発明の中継機および認証サーバを用いたネットワークの構成例の概念図である。同図は、ＡＰサーバ７０１、Ｗｅｂサーバ７０２、ログサーバ７０３、および認証サーバとしてのＲａｄｉｕｓサーバ７０４を有するプラットフォーム７００が、インターネット６００を介して、宅内のアクセスポイント（ＡＰ）２０１、ＳＭＢ（サーバ メッセージ ブロック）アクセスポイント（ＡＰ）２０２、企業網のアクセスポイント（ＡＰ）２０３、２０４、およびモバイル網のアクセスポイント（ＡＰ）２０５に接続されている状態を示している。より具体的には、宅内のアクセスポイント（ＡＰ）２０１は、インターネットサービスプロバイダ（ＩＳＰ）４０３、地域網４０１、ルータ３０１を介してインターネット６００に接続されている。また、ＳＭＢアクセスポイント（ＡＰ）２０２は、インターネットサービスプロバイダ（ＩＳＰ）４０３、地域網４０１、ルータ３０２を介してインターネット６００に接続されている。そして、企業網のアクセスポイント（ＡＰ）２０３、２０４は、インターネットサービスプロバイダ（ＩＳＰ）４０４、企業網４０２、地域網４０１、ルータ３０３を介してインターネット６００に接続されている。さらに、モバイル網のアクセスポイント（ＡＰ）２０５は、インターネットサービスプロバイダ（ＩＳＰ）４０５、モバイル網５０１、ルータ３０４を介してインターネット６００に接続されている。

さらに、端末（ＳＴＡ）１０１、１０２、１０３は、アクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、２０５と無線で通信できる無線通信端末である。ＳＴＡはステーションの略であるが、端末（ＳＴＡ）としては、例えば、パーソナルコンピュータ、スマートフォン、およびタブレット端末を挙げることができるが、これに限られるものではない。無線通信の方式も特に限定はないが、ＩＥＥＥ８０２．１ｘに準拠した無線通信、例えば、無線ＬＡＮ（ＷｉＦｉ）やＷｉＭＡＸ等を挙げることができる。

本発明における中継機は、無線通信端末から、この無線通信端末に設定されている端末番号を受信する無線通信手段と、上記端末番号を認証サーバに送信し、上記端末番号に基づき認証サーバにおいて判断された認証結果を受信する認証処理手段と、を有する。図１では、中継機としてアクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、および２０５を用いている。アクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、および２０５は、図１中では図示していないが、端末（ＳＴＡ）１０１、１０２、１０３からの無線通信を受信する無線通信手段を有している。そして、無線通信手段は、端末（ＳＴＡ）１０１、１０２、１０３の端末番号（例えばＭＡＣアドレス）を受信できるようになっている。また、アクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、および２０５は、図１中では図示していないが、端末（ＳＴＡ）１０１、１０２、１０３の端末番号（例えばＭＡＣアドレス）を認証サーバであるＲａｄｉｕｓサーバ７０４に送信し、この端末番号に基づきＲａｄｉｕｓサーバ７０４において判断された認証結果を受信する認証処理手段も有している。なお、図１では、中継機としてアクセスポイントを用いているが、無論、中継機はこれに限られるものではない。

本発明における認証サーバは、無線通信端末に設定されている端末番号を受信し、この端末番号に基づき、例えばインターネットへの接続の可否を判断する制御手段を有する。図１では、認証サーバとしてプラットフォーム７００内のＲａｄｉｕｓサーバ７０４を用いているところ、Ｒａｄｉｕｓサーバ７０４は、図１では図示していないが、無線通信端末である、端末（ＳＴＡ）１０１、１０２、１０３に設定されている端末番号（例えばＭＡＣアドレス）を受信し、この端末番号に基づきインターネットへの接続の可否を判断する制御手段を有している。なお、図１では、認証サーバとしてＲａｄｉｕｓサーバ７０４を用いているが、無論、認証サーバはこれに限られるものではない。例えば、ＡＰサーバ７０１およびＲａｄｉｕｓサーバ７０４を合わせて認証サーバとしてもよいし、プラットフォーム７００全体を認証サーバとして扱ってもよい。

以下、図１のネットワークについてさらに説明する。

クライアント端末（ＳＴＡ）１０１〜１０３は、移動型のクライアント端末で、宅内設置のアクセスポイント（ＡＰ）２０１、ＳＭＢ（サーバ メッセージ ブロック）のアクセスポイント（ＡＰ）２０２、企業網内のアクセスポイント（ＡＰ）２０３、２０４、モバイル網内のアクセスポイント（ＡＰ）２０５間を移動し、在圏するそれぞれのアクセスポイントと接続する。モバイル網は第３世代移動網やＷｉＭＡＸを含む。

図１中のアクセスポイント２０１は、ルータ３０１、地域ネットワーク４０１、インターネットサービスプロバイダ（ＩＳＰ）４０３経由でインターネット６００に、ＳＭＢ（サーバ メッセージ ブロック）のアクセスポイント２０２は、ルータ３０２、地域網（地域ネットワーク）４０１、インターネットサービスプロバイダ（ＩＳＰ）４０３経由でインターネット６００に接続される。また、アクセスポイント２０３、２０４は、ルータ３０３、地域網（地域ネットワーク）４０１、企業網４０２、インターネットサービスプロバイダ（ＩＳＰ）４０４経由でインターネット６００に接続される。さらに、アクセスポイント２０５は、ルータ３０４、モバイル網５０１、インターネットサービスプロバイダ（ＩＳＰ）４０５経由でインターネット６００に接続される。なお、ルータはブロードバンドルータでもよく、地域ネットワークはＣＡＴＶ網を含んでもよい。また、アクセスポイント（ＡＰ）２０５はドングルでモバイル網と接続してもよい。

プラットフォーム７００はＡＰ制御サーバ７０１、Ｗｅｂサーバ７０２、ログサーバ７０３、Ｒａｄｉｕｓサーバ７０４を含み、インターネット６００に接続されており前記の地域網（地域ネットワーク）４０１、企業網４０２、モバイル網５０１とインターネットサービスプロバイダ（ＩＳＰ）４０３、４０４、４０５を経由してアクセスポイントと接続する。

図２は、図１のアクセスポイントの機能例を示した図である。具体的には、同図には、アクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、２０５の機能が示されている。アクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、２０５は、Ｌ２ＴＰ／ＰＰＴＰ／ＩＰＳｅｃプロトコルのブリッジ機能を用いてプラットフォーム７００内のＡＰサーバ７０１との間でのトンネリングにより、直接認証に必要な情報を授受する機能、端末（ＳＴＡ）１０１、１０２、１０３からのＤＩＳＣＯＶＥＲ情報からＭＡＣアドレス情報を取り出してＡＰサーバ７０１に中継する機能、端末（ＳＴＡ）１０１、１０２、１０３からのＨＴＴＰ接続情報を強制的にリダイレクトする機能、ダミーのＩＰアドレスを割り当ててフィルタリング機能（端末（ＳＴＡ）１０１、１０２、１０３がインターネットへ接続するのを留保する機能）を含む。さらに、アクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、２０５は、障害分析やトラフィック分析に用いるための接続ログの転送機能、保守用装置から自動的にファームウェアをアップグレードする機能を含む。

図３は、図１のプラットフォームの機能例を示した図である。具体的には、同図に示すように、プラットフォーム７００の各サーバはＬ２ＴＰまたはＰＰＴＰまたはＩＰｓｅｃプロトコルを用いており、ＡＰサーバ（ＡＰ制御サーバ）７０１は認証情報取得機能、Ｒａｄｉｕｓサーバ７０４への情報転送機能、各アクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、２０５への認証結果通知機能を含み、Ｒａｄｉｕｓサーバ７０４はＭＡＣアドレス認証機能、アカウンティング開始／終了機能を含み、Ｗｅｂサーバ７０２は、ＭＡＣアドレス登録画面、リダイレクショナルＵＲＬ表示機能を含み、ログサーバ７０３は接続ログ収集機能やファームウェアの自動転送機能を含む保守運用機能を含む。なお、Ｒａｄｉｕｓサーバ７０４のアカウンティング終了機能はＤＨＣＰリリースタイムが終了したことを確認してストップをかけることでダミーのＩＰアドレスの枯渇を回避する。

２．中継機、認証サーバの動作、およびシーケンスの一例
本発明においては、中継機の認証処理手段における端末番号の認証サーバへの送信が、端末番号を暗号化した上でインターネットを介してなされることが好ましい。また、本発明においては、端末番号がインターネットを介して暗号化されて認証サーバに送信され、この暗号化された端末番号を復号化した上で認証サーバの制御手段での判断が行われることが好ましい。ＭＡＣアドレス等の端末番号は無線通信端末毎に付与された固有の番号であるところ、無線通信端末の端末番号として別の無線通信端末の端末番号が使用されたりすると、犯罪等の温床になりかねずセキュリティ上問題となる。すなわち、端末番号をインターネット経由で認証サーバに送信する場合は、端末番号がハッキングされて盗用されるリスクがあるので、これを極力避ける必要がある。こうしたリスクに備え、端末番号は暗号化された上でインターネットを経由して送信されることが望ましい。

本発明においては、中継機は、認証処理手段が、認証サーバでの判断結果に基づきインターネットへの接続を留保すべきと判断した場合には、無線通信手段を介して無線通信端末にダミーの識別アドレスを付与する機能を有していることが好ましい。認証サーバにおいて無線通信端末を認証できないとの判断結果が中継機に送信された場合、認証されるまでは無線通信端末をインターネットに接続することを避ける必要がある。そこで、このような場合には、認証処理手段が無線通信手段を介して無線通信端末にダミーの識別アドレスを付与して、無線通信端末のインターネットへの接続を留保するようにすることが好ましい。こうした識別アドレスとしては、例えばＩＰアドレスが挙げられ、以下では識別アドレスとしてＩＰアドレスを用いる場合を説明する。

本発明においては、認証処理手段が、認証サーバでの判断の結果に基づき、端末番号の認証サーバへの登録処理、無線通信端末の利用者の識別符合又はパスワードの入力処理、および指定のウェブサイトの表示処理の少なくとも一つの処理を行うようにすることが好ましい。また、本発明においては、認証サーバでの判断の結果に基づき、端末番号の認証サーバへの登録処理、無線通信端末の利用者の識別符合又はパスワードの受信処理、および指定のウェブサイトの表示を指示する処理の少なくとも一つの処理を行うようにすることが好ましい。これらの処理を少なくとも一つ設けることにより、認証システムのネットワーク全体のセキュリティをさらに上げることができるようになる。ここで、利用者の識別符合として例えばＩＤが挙げられ、以下では利用者の識別符号としてＩＤを用いる場合を説明する。

図４〜６は、それぞれ、図１のネットワークを用いたシーケンスの一例を示す図（１／３）、図１のネットワークを用いたシーケンスの一例を示す図（２／３）、図１のネットワークを用いたシーケンスの一例を示す図（３／３）であって、上記好ましい態様の一例を示すシーケンスとなっている。

図４〜６に示されるシーケンスでは、図１のアクセスポイント（ＡＰ）２０１、２０２、２０３、２０４、２０５と、ＡＰサーバ７０１間でＩＰＳｅｃ接続を行った後、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）により、例えば端末（ＳＴＡ）１０１と、プラットフォーム７００との間でＳＴＡ／ＡＰのＭＡＣアドレス認証、ＩＤ（識別子）／ＰＷＤ（パスワード）認証、指定サイト利用許可の可否の判断を行い、それぞれの判断結果に基づき所定のシーケンスパターンを設定し、それぞれのパターンに応じたシーケンスを設定している。

図７は、図４〜６のシーケンスで用いられるシーケンスパターンの一例を示す図である。同図には、それぞれの判断結果に基づく上記所定のシーケンスパターンの一例を示している。具体的には、同図に示すとおり、ここでは＃１から＃８の８つのシーケンスパターンを設けている。同図をみて分かるように、ＭＡＣアドレス認証が不良（ＮＧ）の場合、ＭＡＣアドレスを投入（登録）するシーケンスを設定し、ＩＤ／ＰＷＤ認証が不良（ＮＧ）の場合、ＩＤ／ＰＷＤ投入（登録）シーケンスを設定し、指定サイト利用許可が否（ＮＧ）の場合、指定サイト投入（登録）シーケンスを設定が設定される。図８は、図７のシーケンスパターンを導くためのフロー図である。これらの図についての詳細は後述する。

以上を踏まえ、図４〜６に従い、端末（ＳＴＡ）の無線でのインターネット接続のシーケンスの一例を説明する。

まず、ＤＨＣＰ手順（ステップＳ１００）について説明する。ステップＳ１０１で、ＡＰ（例えば、図１のアクセスポイント（ＡＰ）２０１）から、インターネット（例えば、図１のインターネット６００）を経由してＡＰサーバ（例えば、図１のＡＰサーバ７０１）にＩＰＳｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の接続要求信号を送信する。次に、ステップＳ１０２で、ＡＰとＡＰサーバ間にＩＰｓｅｃによる暗号技術を用いてＩＰパケット単位でデータの改ざん防止や秘匿機能を有する通信路を設定する。これによって、端末番号（この実施態様ではＭＡＣアドレス）を暗号化してインターネットを介してＡＰサーバに送信することが可能となる。その結果、ＭＡＣアドレスという各端末（ＳＴＡ）にとって重要な情報をインターネット上で安全に送信することが可能となる。なお、本実施態様では、暗号化技術としてＩＰｓｅｃを用いた。ＩＰｓｅｃは、中継路を論理路に分割して暗号化する技術であるが、本発明における暗号化技術はＩＰｓｅｃに限られるものではなく、適宜他の暗号化の技術を用いてもよい。こうした技術としては、ＩＰｓｅｃとＬ２ＴＰとの組合せやＰＰＴＰを挙げることができる。

次いで、ステップＳ１０３で、ＳＴＡ（例えば、図１の端末（ＳＴＡ）１０１）は在圏するＡＰとＳＳＩＤを用いてＳＳＩＤ（ネットワーク）接続を行った後、ステップＳ１０４で、ＡＰにＤＨＣＰＤＩＳＣＯＶＥＲ信号を放送する。ＤＨＣＰＤＩＳＣＯＶＥＲ信号には、ＳＴＡのＭＡＣアドレスを示す情報が含まれる。

そして、ステップＳ１０５で、ＡＰは、ＳＴＡのＭＡＣアドレスを取得し、ＭＡＣアドレスを暗号化した情報、ＳＴＡ／ＡＰ ＭＡＣアドレス認証要求、ＩＤ／ＰＷＤ要不要確認要求、指定サイト利用許可可否判断要求を含む暗号化された認証要求情報をＡＰサーバに送信する。

ステップＳ１０６で、ＡＰサーバは認証要求情報を受信し、暗号化された認証要求情報を復号化した上でＲａｄｉｕｓサーバ（例えば、図１のＲａｄｉｕｓサーバ７０４）に送信する。ステップＳ１０７で、Ｒａｄｉｕｓサーバは、復号化された認証要求信号を受信し、Ｒａｄｉｕｓサーバでの判断を行った後、ステップＳ１０８で、認証結果（１）をＡＰサーバに返す。ステップＳ１０９で、ＡＰサーバは、認証結果（１）を受信し、ＭＡＣアドレス認証、ＩＤ／ＰＷＤ認証、指定サイト利用許可判断結果に基づいて、図８に示す通信パターン識別手順で＃１〜＃８の８つのシーケンスパターン（後述する図９参照）を作成し、それぞれのシーケンスパターンに対応して認証結果（２）を、暗号化した上でＡＰに返信する。図９は、認証結果の信号構成を図式化した図であり、ＭＡＣアドレス認証のシーケンスをステップＳ１００に従って行った場合の認証結果の信号構成である。

次に、ステップＳ１１０で、ＡＰは認証結果（２）を分析し、ステップＳ１１１で、ＭＡＣアドレス投入（登録）の要否、ＩＤ／ＰＷＤ投入（登録）の要否、および指定されたウェブサイトの表示の要否が全て“否（Ｎｏ）”の場合（図７の＃８）と、少なくともいずれか１つが“要（Ｙｅｓ）”の場合（図７の＃１〜＃７）に分類する。

ここで、認証される対象となるＳＴＡについて、ＭＡＣアドレス投入（登録）の要否、ＩＤ／ＰＷＤ投入（登録）の要否、および指定されたウェブサイトの表示の要否が全て“否（Ｎｏ）”と判断された場合（図７の＃８に分類された場合）は、ＭＡＣアドレスの投入（登録）が不要となり、ＳＴＡの端末番号であるＭＡＣアドレスが認証されたことになる。そうすると、このＳＴＡについてはインターネット接続を準備するステップが行われる。そして、ここまでの一連の処理は、ＳＴＡのユーザの入力操作を介することなく行われるので、自動で行われる認証手続として操作性に優れたものとなる。本実施形態では、認証できないＭＡＣアドレスを有するＳＴＡについても新たに認証できるようにするためにＭＡＣアドレスの投入等シーケンスが用意され、セキュリティをさらに高めるためにＩＤ／ＰＷＤの投入、指定されたウェブサイト（例えば、ホテルの宿泊者がＷｉＦｉでのインターネット接続をする場合における当該ホテルのフロントページ）を表示させるシーケンスが用意されている。もっとも、こうしたＭＡＣアドレス、ＩＤ／ＰＷＤの投入、指定ウェブサイトの表示の各シーケンスを設ける必要は必ずしもない。例えば、認証サーバであるＲａｄｉｕｓサーバであらかじめ登録されたＭＡＣアドレスを有するＳＴＡのみを認証するような場合（例えば、高いセキュリティを確保することを目的として、企業で従業員についてあらかじめ登録したＳＴＡについてのみＷｉＦｉでのインターネット接続を許容する場合）、には、上記各シーケンスを設けなくてもよい。

本実施形態では、ステップＳ１１１で図７に示す♯８のシーケンスパターンと判断された場合、ステップＳ１１２で、ＡＰはＳＴＡからのＤＨＣＰＤＩＳＣＯＶＥＲ信号をルータ（例えば、図１のルータ３０１）に送信する。ステップＳ１１３で、ルータはＳＴＡに対して割り付け可能なＩＰアドレスを含むＯＦＦＥＲパケットを返送する。ＳＴＡは返送されたＯＦＦＥＲパケットを受信し、ステップＳ１１４で、ＯＦＦＥＲパケットから取り出したユーザＩＰアドレスを含むＲＥＱＵＥＳＴパケットをルータに送信する。次いで、ルータは、ＲＥＱＵＥＳＴパケットを受信し、ＯＦＦＥＲパケットに含めて送信したユーザＩＰと同じユーザＩＰの場合、ステップＳ１１５で、ＰＡＣＫパケットをＳＴＡに送信する。ＰＡＣＫパケットを受信したＳＴＡはＯＦＦＥＲで指定されたユーザＩＰアドレスを自分のＩＰアドレスとして保存し、保存したＩＰアドレスを用いてＡＰにＳ１１９でターゲットＵＲＬ（例えば、ＳＴＡのユーザが接続したいと考えているウェブサイトのＵＲＬ）接続情報を送信する。もっとも、本実施形態では、後述するＭＡＣアドレス導入（登録）の要否等の一連のシーケンスを実施するため、この段階ではインターネットを経由して上記ターゲットＵＲＬへの接続は留保される。具体的には、ステップＳ１１９で、ＡＰはターゲットＵＲＬ接続情報を受信するが、ステップＳ１２０で、リダイレクト情報を返信して接続ＵＲＬの変更を留保する。

他方、ステップＳ１１１で、認証される対象となるＳＴＡについて、ＭＡＣアドレス投入（登録）の要否、ＩＤ／ＰＷＤ投入（登録）の要否、および指定されたウェブサイトの表示の要否のいずれかが“要（Ｙｅｓ）”と判断された場合、すなわち、図７のシーケンスパターンが＃１２３４５６７である場合は、以下のような処理が行われる。

ステップＳ１１１で、ＭＡＣアドレス投入（登録）の要否、ＩＤ／ＰＷＤ投入（登録）の要否、および指定されたウェブサイトの表示の要否のいずれかが“要（Ｙｅｓ）”と判断された場合、ＡＰ（より具体的にはＡＰの認証処理手段）はＳＴＡのインターネットへの接続を留保すべきと判断し、ＳＴＡにダミーのＩＰアドレスを割り付ける。具体的には、ステップＳ１０４で、放送されたＤＩＳＣＯＶＥＲパケットを受信したＡＰは、ステップＳ１１６でＳＴＡに対して割り付け可能なＩＰアドレスを含むＯＦＦＥＲパケットを返送する。ＳＴＡは返送されたＯＦＦＥＲパケットを受信し、ステップＳ１１７で、ＯＦＦＥＲパケットから取り出したユーザＩＰアドレスを含むＲＥＱＵＥＳＴパケットを送信する。ＡＰは、ＲＥＱＵＥＳＴパケットを受信し、ステップＳ１１６でＯＦＦＥＲパケットに含めて送信したユーザＩＰと同じユーザＩＰの場合、ステップＳ１１８でＰＡＣＫパケットをＳＴＡに送信する。ＰＡＣＫパケットを受信したＳＴＡは、ＯＦＦＥＲで指定されたユーザＩＰアドレスを自分のＩＰアドレスとして保存し、保存したＩＰアドレスを用いてＡＰにステップＳ１１９でターゲットＵＲＬ接続情報を送信するが、ダミーのＩＰアドレスゆえインターネットに接続することはされず、ＡＰは、ステップＳ１１９でターゲットＵＲＬ接続情報を受信するものの、ステップＳ１２０でリダイレクト情報を返信し、接続ＵＲＬの変更を留保する。このように、ＳＴＡにダミーのＩＰアドレスを付与することで、図４〜６に示す一連のシーケンスが完了するまではＳＴＡがインターネット接続できないようにしている。

次いで、図５に示すステップＳ１２１で、ＭＡＣアドレス登録要否の判断を行う。具体的には、認証の対象となるＳＴＡについて図７のシーケンスパターンが＃１２３４である場合は、ステップＳ１２１でＹｅｓ（ＭＡＣアドレス登録要）と判断し、ステップＳ２００のＭＡＣアドレス投入（登録）のシーケンスが実施される。ＭＡＣアドレスの登録は、例えば、新しいＳＴＡについて無線通信でのインターネット接続を許可するような場合（認証サーバであるＲａｄｉｕｓサーバにインターネット接続を許可するＳＴＡを追加する場合）に必要となる処理である。

例えば、認証の対象となるＳＴＡについて図７のシーケンスパターンを＃１とする判断がされた場合は、ステップＳ２０１で、ＡＰは、ｗｅｂサーバ（例えば、図１のｗｅｂサーバ７０２）に対し、接続ＵＲＬをＷｅｂサーバに変更しＭＡＣアドレス登録画面要求情報を送信する。Ｗｅｂサーバは、ＭＡＣアドレス登録画面要求情報を受信し、ステップＳ２０２でＭＡＣアドレス登録画面をＳＴＡに送信する。ＳＴＡは、ＭＡＣアドレス登録画面を受信し、ステップＳ２０３でＭＡＣアドレス登録画面入力データとしてのＭＡＣアドレスを送信する。なお、ＭＡＣアドレスは暗号化されたインターネット経由で送信される。また、この一連の処理もＳＴＡのユーザを介することなく自動で行うようにしてもよい。

次いで、ステップＳ２０４で、ＭＡＣアドレス登録画面入力データ（ＭＡＣアドレス登録情報）を受信したＷｅｂサーバは、受信したＭＡＣアドレス登録情報を復号した上で、Ｒａｄｉｕｓサーバに当該登録情報を送信する。ＲａｄｉｕｓサーバはＭＡＣアドレス登録情報を受信し、ステップＳ２０５でＭＡＣアドレスの登録を行い、ステップＳ２０６でＷｅｂサーバに登録ＯＫ（完了）の情報を送信する。Ｗｅｂサーバは、登録ＯＫ（完了）の情報を受信し、これを暗号化した上で、ステップＳ２０７でＳＴＡにＭＡＣアドレス登録完了画面を送信する。ＡＰにて復号化が行われた後に、ＳＴＡでＭＡＣアドレス登録完了画面の内容を確認し、ＯＫならステップＳ２０８で、ＭＡＣアドレス登録完了確認の情報をＡＰで暗号化した上でＷｅｂサーバに送信する。ＷｅｂサーバはＭＡＣアドレス登録完了確認情報を受信し、これを復号し、ステップＳ２０９でＡＰサーバにＭＡＣアドレスの登録完了情報を送信する。そして、ＡＰサーバは、登録完了情報を受信し、ステップＳ２１０で、暗号化したＭＡＣ登録確認通知の情報をＡＰに送信しＭＡＣアドレス登録を終了する。

認証の対象となるＳＴＡについて、ＭＡＣアドレスの登録が必要となる図７のシーケンスパターンの＃２３４についても同様に、ステップＳ２０１からステップＳ２１０の各ステップを実行することでＭＡＣアドレス登録をすることができる。

ＡＰは、ＭＡＣアドレス登録終了後、ステップＳ２１１でＩＤ／ＰＷＤ投入の要否を判断し、認証の対象となるＳＴＡがＩＤ／ＰＷＤ投入につき要（Ｙｅｓ）と判断された図７のシーケンスパターンの＃１３５７については、ステップＳ３００で、ＩＤ／ＰＷＤの投入（登録）を行う。このＩＤ／ＰＷＤの投入（登録）は、認証サーバのセキュリティをさらに上げたい場合に用いられる処理である。また、例えば、企業で部署毎に従業員が保有するＳＴＡの認証状況を管理したい場合に用いられる処理である。

具体的には、ステップＳ３０１で、ＡＰからリダイレクト情報をＳＴＡに送信し、ステップＳ３０２で、リダイレクト情報を受信したＳＴＡは、ＷｅｂサーバにＩＤ／ＰＷＤ画面表示ＵＲＬにリダイレクトし、ステップＳ３０３で、リダイレクトしたＵＲＬからＩＤ／ＰＷＤ入力画面を取得する。次いで、ＳＴＡは、ＩＤ／ＰＷＤ入力画面を参照し、ＳＴＡのユーザによって入力されたＩＤ／ＰＷＤのデータを、ステップＳ３０４でＷｅｂサーバに送信する。ここで、ＩＤ／ＰＷＤの入力データは、ＡＰで暗号化された上でインターネットを経由してＷｅｂサーバに送信される。ＷｅｂサーバはＳＴＡから送信されたＩＤ／ＰＷＤを復号した上で、Ｒａｄｉｕｓサーバに認証要求を送信する。Ｒａｄｉｕｓサーバは、ステップ３０６でＷｅｂサーバからのＩＤ／ＰＷＤを認証し、ステップ３０７で認証（ＯＫ）結果をＷｅｂサーバに返信する。Ｗｅｂサーバは、ＩＤ／ＰＷＤ認証（ＯＫ）結果を受信して、ステップＳ３０８で、ＡＰサーバに中継する。ＡＰサーバは、ＩＤ／ＰＷＤ認証（ＯＫ）結果を受信し、この結果を暗号化した上でＩＤ／ＰＷＤ認証ＯＫ完了通知をＡＰに送信してＩＰ／ＰＷＤ登録を終了する。なお、ＳＴＡのユーザにより入力されたＩＤ／ＰＷＤのデータが誤っていた場合、Ｒａｄｉｕｓサーバでの認証はＮＧと判断され、ＩＤ／ＰＷＤのデータの再入力を確認する画面がＳＴＡに表示される。その後ユーザが誤ったＩＤ／ＰＷＤのデータを所定回数入力した場合、Ｒａｄｉｕｓサーバに認証ＮＧと判断した上で認証処理を終了し、ＳＴＡの無線でのインターネット接続を拒否するようにしてもよい。

その後、ステップＳ３１０で、ＭＡＣアドレス再認証の要否の判断処理が行われる。この判断処理は、新たに登録したＭＡＣアドレスを再度認証するための処理である。具体的には、認証の対象となるＳＴＡについて図７のシーケンスパターンの＃１２３４と判断された場合には、ステップＳ２００においてＭＡＣアドレスを新規に登録しているので、図６に示すとおり、新規登録のＭＡＣアドレスの認証をステップＳ４００のシーケンスを用いて行う。

ステップＳ４０１で、ＡＰは、ＡＰサーバにＳＴＡ／ＡＰ ＭＡＣアドレスを含むＳＴＡ／ＡＰ情報を暗号化した上で送信する。ＡＰサーバは、ＳＴＡ／ＡＰ情報を受信した上でこれを復号し、ステップＳ４０２で、ＲａｄｉｕｓサーバにＭＡＣアドレス認証要求を送信する。Ｒａｄｉｕｓサーバは、ＭＡＣアドレス認証要求を受信し、ステップＳ４０３で認証を行い、ステップＳ４０４でＡＰサーバに認証（ＯＫ）の情報を返信する。ＡＰサーバは認証（ＯＫ）の情報を受信し、ステップＳ４０５でＳＴＡに指定サイトを投入（表示）させることの要否を判断し、指定サイト投入（表示）が要の場合、すなわち、認証の対象となるＳＴＡについて図７のシーケンスパターンが＃１２である場合、ステップＳ４０６で認証（ＯＫ）の情報を暗号化した上でＡＰに送信し、ＭＡＣアドレス再認証シーケンスを終了する。他方、ステップＳ４０５で指定サイト投入（表示）が否の場合、すなわち、認証の対象となるＳＴＡについて図７のシーケンスパターンが＃３４である場合、ＭＡＣアドレス再認証シーケンスを終了し、ステップＳ６００のＩＰアドレス取得シーケンスを実行する。

ＡＰは、ステップＳ４０７で認証ＯＫの情報を受信後、ステップＳ４０８でＡＰが割り当てたダミーのＩＰアドレスを解放して、新しいＩＰアドレスの取得要求が必要か否かを判断する。もっとも、すでにルータからＩＰアドレスが割り当てられているＳＴＡの場合（認証の対象となるＳＴＡについて図７のシーケンスパターンが＃８と判断された場合、すなわち、ＳＴＡのＭＡＣアドレスがＲａｄｉｕｓサーバで認証された場合）は、新しいＩＰアドレスの取得要求は不要（Ｎｏ）と判断され、ステップＳ７００の指定ＵＲＬ接続シーケンスへ移動する。

他方、ダミーのＩＰアドレスが割り当てられているＳＴＡの場合（認証の対象となるＳＴＡについて図７のシーケンスパターンが＃１２３４５６７と判断された場合）は、新たにＩＰアドレスの取得要求が必要（Ｙｅｓ）と判断する。この場合、ＡＰは、ステップＳ４０９で指定サイトの投入（表示）の要否を判断し、指定サイト投入（表示）が要（Ｙｅｓ）と判断された場合（認証の対象となるＳＴＡについて図７のシーケンスパターンが＃１２５６と判断された場合）、ステップＳ５００の指定サイト投入シーケンスを実行する。これに対して、指定サイト投入（表示）が否（Ｎｏ）と判断された場合（認証の対象となるＳＴＡについて図７のシーケンスパターンが＃３４７と判断された場合）、ステップＳ５００の指定サイト投入シーケンスを実行せずにステップＳ６００のＩＰアドレス取得シーケンスを実行する。

ステップ５００の指定サイト投入シーケンスは、例えば、学校やホテルのインターネット接続環境を経由してインターネット接続を行うような場合に、学校のフロントページ又はホテルのフロントページを表示させるシーケンスである。こうしたシーケンスを行うことにより、インターネット接続のセキュリティをより確保しやすくなる。

以下、ステップ５００の指定サイト投入シーケンスについて説明する。ＡＰは、指定サイト投入（表示）の際、ステップＳ５０１でＳＴＡにリダイレクト情報を送信し、ＳＴＡはリダイレクト情報を受信して、ステップＳ５０２でＷｅｂサーバに指定サイトのＵＲＬ要求情報を送信する。Ｗｅｂサーバは指定サイトのＵＲＬ要求情報を受信、ステップ５０３でＳＴＡに認証完了・利用許諾画面表示の指定サイトを送信する。ＳＴＡは、ステップＳ５０４で利用承諾の入力データを送信してステップＳ５００の指定サイト投入シーケンスを終了する。

次いで、ステップＳ１００のシーケンスでＡＰがＳＴＡに設定したダミーのＩＰアドレスを解放して、ＳＴＡが新たにルータからＩＰアドレスを取得するためのステップＳ６００のＩＰアドレス取得シーケンスを実行する。これにより、ダミーのＩＰアドレスが付与されたＳＴＡについて、無線でのインターネット接続が可能になる。

ステップＳ６００のＩＰアドレス取得シーケンスは、以下のようにして行われる。すなわち、ステップＳ６０１で、Ｗｅｂサーバは、Ｆｉｌｔｅｒ 解除情報をＡＰサーバに送信する。ＡＰサーバは、Ｆｉｌｔｅｒ 解除情報を受信し、ステップ６０２でこれをＡＰに中継する。ＡＰはＦｉｌｔｅｒ 解除情報を受信し、ステップＳ６０３でダミーのＩＰアドレス解放要求情報をＳＴＡに送信する。ＳＴＡは、ダミーのＩＰアドレス解放要求情報を受信し、ステップＳ６０４でルータにＩＰアドレス取得（ＤＨＣＰＤＩＳＣＯＶＥＲ／ＲＥＱＵＥＳＴ）要求を送信する。ルータは、ＩＰアドレス取得（ＤＨＣＰＤＩＳＣＯＶＥＲ／ＲＥＱＵＥＳＴ）要求を受信し、ステップＳ６０５でＩＰアドレス（ＤＨＣＰＯＦＦＥＲ／ＰＡＣＫ）を払い出す。そして、ＳＴＡは、ルータから払い出されたＩＰアドレスを取得してステップＳ６００のＩＰアドレス取得シーケンスを終了する。

ここで、ステップＳ４０４で指定サイト投入（表示）の要否判断が否（Ｎｏ）、すなわち、指定サイト投入（表示）を行わない場合（認証の対象となるＳＴＡについて図７のシーケンスパターンが＃３４と判断された場合）は、ステップＳ５００の指定サイト投入シーケンスを行わずに、Ｗｅｂサーバは、ステップＳ６０２のＦｉｌｔｅｒ 解除情報をＡＰに送信し、ステップＳ６００のＩＰアドレス取得シーケンスを実行する。同様に、ステップＳ４０７で指定サイト投入（表示）の要否判断が否（Ｎｏ）、すなわち、指定サイト投入（表示）を行わない場合（認証の対象となるＳＴＡについて図７のシーケンスパターンが＃７と判断された場合）についても、同様のシーケンスを実行する。

以上のシーケンスを経て、ＳＴＡは、Ｒａｄｉｕｓサーバにより、無線でＡＰを介してインターネット接続が認証された状態となる。以後は、ＳＴＡのユーザが所望するウェブサイト（指定ＵＲＬ）への接続のシーケンスであるステップＳ７００（指定ＵＲＬ接続）を示す。

具体的には、ステップＳ１１９でＳＴＡより受信したターゲットＵＲＬ接続情報を用い、ステップＳ７０１で、ＡＰはインターネットにターゲットＵＲＬ要求を送信し、ステップＳ７０２で、ＳＴＡはインターネットからターゲットＵＲＬ表示を取得し、ステップＳ７００の指定ＵＲＬ接続シーケンスを終了し、ＳＴＡは、ＳＴＡが指定するターゲットＵＲＬと接続される。ここで、ステップＳ４０６でＩＰアドレスの取得を行わない（Ｎｏ）と判断された、認証の対象となるＳＴＡについて図７のシーケンスパターンが＃８と判断された場合（ＳＴＡのＭＡＣアドレスがＲａｄｉｕｓサーバで認証された場合）に関してはステップＳ５００の指定サイト投入、ステップＳ６００のアドレス取得シーケンスを実行せずにステップＳ７００の指定ＵＲＬ接続を行う。これは、認証の対象となるＳＴＡについて図７のシーケンスパターンが＃８と判断された場合は、すでに指定サイト投入やルータからのＩＰアドレス取得を行っているためである。

ＳＴＡが無線でのインターネット接続を終了した後（ステップＳ７００で指定ＵＲＬ接続を終了した後）は、ＡＰはステップＳ８００でログ情報をＡＰサーバに送信する。そして、ＡＰサーバはログ情報をログサーバ（例えば、図１のログサーバ７０３）に登録する。これによってＡＰのメモリ負担を軽減できると共に、ＳＴＡのユーザのログ情報の管理をすることができるようになる。

３．まとめ
以下、上記で説明した本実施形態の無線通信システムの構成および動作を簡単にまとめる。

図１０は、本実施形態に係る無線通信システムの機能構成を示す図である。無線通信システムは、無線通信端末１０、中継機２０、およびサーバ７０を有する。ここでは図面を簡単にするため、無線通信端末１０、中継機２０、およびサーバ７０はそれぞれ１台だけ図示している。無線通信端末１０は図１のＳＴＡ１０１〜１０３に、中継機２０はＡＰ２０１〜２０４に、サーバ７０はサーバ７０１〜７０４に、それぞれ対応する。また、以下の説明においては、実施形態のフロー（図４〜６）のうち対応するステップを併せて記載する。

無線通信端末１０は、送信手段１１および接続要求手段１２を有する。送信手段１１は、自機に固有の端末番号（実施形態の例ではＭＡＣアドレス）を中継機２０に送信する（ステップＳ１０４）。

中継機２０は、受信手段２１、認証要求手段２２、受信手段２３、判断手段２４、付与手段２５、およびリダイレクト手段２６を有する。受信手段２１は、無線通信端末１０から、その無線通信端末１０に固有の端末番号を受信する。認証要求手段２２は、受信した端末番号を含む認証要求をサーバ７０に送信する（ステップＳ１０５、Ｓ１０６）。

サーバ７０は、記憶手段７１、認証手段７２、送信手段７３、判断手段７４、および追加手段７５を有する。記憶手段７１は、データベース７１１を記憶している。データベース７１１は、外部ネットワーク（例えばインターネット）へのアクセスを許可する無線通信端末１０の端末番号の一覧を含んでいる。データベース７１１は、外部ネットワークへのアクセスを許可する無線通信端末１０の端末番号の一覧を、中継機２０の識別子とともに記憶していてもよい。

認証手段７２は、その無線通信端末１０を認証する（ステップＳ１０７）。具体的には、認証手段７２は、中継機２０から受信した認証要求に含まれる端末番号を用いて、その端末番号で特定される無線通信端末１０に対して外部ネットワークへのアクセスを許可してよいか判断する。具体的には、認証手段７２は、データベース７１１を検索し、その端末番号を探す。データベース７１１にその端末番号が登録されていた場合、認証手段７２は、その無線通信端末１０に対して外部ネットワークへのアクセスを許可してよいと判断する。データベース７１１にその端末番号が登録されていない場合、認証手段７２は、その無線通信端末１０に対して外部ネットワークへのアクセスを許可しないと判断する。

なお、データベース７１１が、外部ネットワークへのアクセスを許可する無線通信端末１０の端末番号の一覧を、中継機２０の識別子とともに記憶している場合、認証手段７２は、その無線通信端末１０に対して、その中継機２０を介した外部ネットワークへのアクセスを許可してよいか判断してもよい。この場合、認証要求手段２２は、無線通信端末１０の端末番号および中継機２０に固有の識別番号（例えばＭＡＣアドレス）をサーバ７０に送信する。データベース７１１にその端末番号がその中継機２０の識別番号とともに登録されていた場合、認証手段７２は、その無線通信端末１０に対してその中継機２０を介した外部ネットワークへのアクセスを許可してよいと判断する。

送信手段７３は、認証手段７２による認証の結果を、認証要求の送信元である無線通信端末１０に送信する（ステップＳ１０８、Ｓ１０９）。認証結果は、外部ネットワークへの接続を許可するか否かを示す情報を含んでいる。

中継機２０の受信手段２３は、認証要求に対する応答として、サーバ７０から認証結果を受信する。判断手段２４は、受信手段２３により受信された認証結果を用いて、その無線通信端末１０を外部ネットワークに接続してよいか判断する（ステップＳ１１０）。具体的には、外部ネットワークへの接続を許可することを示す情報が認証結果に含まれていた場合、判断手段２４は、その無線通信端末１０を外部ネットワークに接続してよいと判断する。外部ネットワークへの接続を許可しないことを示す情報が認証結果に含まれていた場合、判断手段２４は、その無線通信端末１０の外部ネットワークへの接続を留保すると判断する。

その無線通信端末１０の外部ネットワークへの接続を留保すると判断手段２４により判断された場合、付与手段２５は、ダミーの識別アドレス（実施形態の例ではＩＰアドレス）をその無線通信端末１０に付与する。付与手段２５は、ダミーの識別アドレスを生成するアルゴリズムまたはダミーの識別アドレスを有しており、このアルゴリズムまたは一覧を用いて、その無線通信端末１０に割り当てるダミーの識別アドレスを決定する。付与手段２５は、その無線通信端末１０の端末番号と、割り当てたダミーの識別アドレスとを記憶する。付与手段２５は、割り当てたダミーの識別アドレスを、その無線通信端末１０に送信する（ステップＳ１１６）。

なお、その無線通信端末１０の外部ネットワークへの接続を許可すると判断手段２４により判断された場合、付与手段２５は、ダミーではない正規の識別アドレス（例えばＩＰアドレス）をその無線通信端末１０に割り当て、割り当てた識別アドレスをその無線通信端末１０に送信する。正規の識別アドレスは、例えば、中継機２０の上位のルータ（図１のルータ３０１〜３０３）により割り当てられる。

中継機２０からダミーの識別アドレスを受信すると、無線通信端末１０の接続要求手段１２は、そのダミーの識別アドレスを自機の識別アドレスとして用いて、外部ネットワークへのアクセスを、中継機２０に対して要求する（ステップＳ１１９）。具体的には、接続要求手段１２は、接続要求を中継機２０に送信する。この接続要求には、無線通信端末１０の識別アドレスが含まれている。

無線通信端末１０から接続要求を受信すると、リダイレクト手段２６は、その接続要求に含まれる識別アドレスがダミーであるか正規のものであるか判断する。無線通信端末１０に割り当てたダミーの識別アドレスを付与手段２５が記憶しているので、リダイレクト手段２６は、この情報に基づいて、識別アドレスがダミーであるか正規のものであるか判断する。接続要求に含まれる識別アドレスがダミーの識別アドレスであった場合、リダイレクト手段２６は、その無線通信端末１０を所定の接続先にリダイレクトする（ステップＳ１２０）。接続要求に含まれる識別アドレスが正規の識別アドレスであった場合、リダイレクト手段２６は、その無線通信端末１０をダミーの場合とは別の所定の接続先にリダイレクトする。あるいは、リダイレクト手段は、その無線通信端末１０をリダイレクトせず、接続要求に含まれる接続先に接続してもよい。

リダイレクト手段２６によるリダイレクト先は、例えば、その無線通信端末１０の端末番号をデータベース７１１に登録（追加）する処理を行うサーバ７０（例えば図１のＲａｄｉｕｓサーバ７０４）である。

サーバ７０の判断手段７４は、リダイレクトされてきた無線通信端末１０の端末番号を新たにデータベース７１１に登録するか判断する。判断手段７４は、具体的には、その無線通信端末１０が登録条件を満たしたか否かに応じて登録の可否を判断する。登録条件は、サーバ７０の管理者が任意に設定することができる。登録条件は、例えば、所定の個人情報（メールアドレス、氏名、所属等）がサーバ７０に登録されていること、所定の契約（料金の支払いを伴うものであっても無料のものであってもよい）が締結されていること等である。登録条件が満たされていると判断された場合、追加手段７５は、その無線通信端末１０の端末番号をデータベース７１１に追加（登録）する（ステップＳ２０５）。端末番号をデータベース７１１に追加すると、追加手段７５は、その旨を中継機２０に通知する（Ｓ２０９、Ｓ２１０）。

無線通信端末１０の端末番号が登録された旨の通知を受信すると、中継機２０の認証要求手段２２は、その無線通信端末１０の端末番号を含む認証要求をサーバ７０に送信する。その端末番号はデータベース７１１に登録されているので、ここでは接続を許可することを示す認証結果が得られる。

なお図１０でサーバ７０が有する機能は、実施形態で説明したように複数の装置（サーバ７０１〜７０４）に分散して実装されてもよい。

本発明は、例えば、ＩＥＥＥ８０２．１ｘ機能を搭載している無線ＬＡＮ端末が、宅内網、企業内網、モバイル網のいずれの網に属するアクセスポイントのサービスエリアに在圏する際も、それぞれのアクセスポイントとの認証手順を設定する機能を追加することで無線ＬＡＮ端末が指定するＵＲＬへの接続を可能にする中継機、認証サーバ、プラットフォーム、認証システム、および認証方法を提供することができる。

１０１〜１０３：端末（ＳＴＡ）、２０１〜２０５：アクセスポイント（ＡＰ）、３０１〜３０４：ルータ、４０１：地域網、４０２：企業網、４０３〜４０５：インターネットサービスプロバイダ（ＩＳＰ）、５０１：モバイル網、６００：インターネット、７００：プラットフォーム、７０１：ＡＰサーバ、７０２：ｗｅｂサーバ、７０３：ログサーバ、７０４：Ｒａｄｉｕｓサーバ

Claims (5)

1. 無線通信端末から、当該無線通信端末に固有の端末番号を受信する第１受信手段と、
   前記端末番号を含む認証要求を認証サーバに送信する認証要求手段と、
   前記端末番号に基づき当該認証サーバにおいて判定された認証結果を受信する第２受信手段と、
   前記認証結果を用いて、前記無線通信端末を外部ネットワークに接続してよいか判断する判断手段と、
   前記外部ネットワークへの接続を留保すべきと前記判断手段によって判断された場合、前記無線通信端末にダミーの識別アドレスを付与する付与手段と
   を有する中継機。
2. 前記無線通信端末が前記ダミーの識別アドレスを用いて前記外部ネットワークへのアクセスを要求してきた場合、当該無線通信端末を所定の接続先にリダイレクトするリダイレクト手段
   を有する請求項１に記載の中継機。
3. サーバと、
   無線通信端末と、
   中継機と
   を有し、
   前記無線通信端末は、
   自機に固有の端末番号を前記中継機に送信する第１送信手段
   を有し、
   前記中継機は、
   前記無線通信端末から、当該無線通信端末に固有の端末番号を受信する第１受信手段と、
   前記端末番号を含む認証要求を認証サーバに送信する認証要求手段と、
   前記端末番号に基づき当該認証サーバにおいて判定された認証結果を受信する第２受信手段と、
   前記認証結果を用いて、前記無線通信端末を外部ネットワークに接続してよいか判断する第１判断手段と、
   前記外部ネットワークへの接続を留保すべきと前記第１判断手段によって判断された場合、前記無線通信端末にダミーの識別アドレスを付与する付与手段と
   を有し、
   前記無線通信端末はさらに、
   前記ダミーの識別アドレスを用いて前記外部ネットワークへのアクセスを要求する要求手段
   を有し、
   前記中継機はさらに、
   前記無線通信端末が前記ダミーの識別アドレスを用いて前記外部ネットワークへのアクセスを要求してきた場合、当該無線通信端末を前記サーバにリダイレクトするリダイレクト手段と
   を有し、
   前記サーバは、
   前記無線通信端末の端末番号を新たに登録するか判断する第２判断手段
   を有する
   無線通信システム。
4. 前記サーバは、
   外部ネットワークへのアクセスを許可する無線通信端末の端末番号を記憶する記憶手段と、
   前記リダイレクト手段によりリダイレクトされた無線通信端末の端末番号を新たに登録すると前記第２判断手段により判断された場合、当該無線通信端末の端末番号を前記記憶手段に追加する追加手段と
   を有する請求項３に記載の無線通信システム。
5. 無線通信端末が、当該無線通信端末に固有の端末番号を中継機に送信するステップと、
   前記中継機が、前記端末番号を認証サーバに送信するステップと、
   前記認証サーバが、前記端末番号に基づいて認証を行うステップと、
   前記中継機が、前記認証の結果を用いて、前記無線通信端末を外部ネットワークに接続してよいか判断するステップと、
   前記外部ネットワークへの接続を留保すべきと判断された場合、前記中継機が、前記無線通信端末にダミーの識別アドレスを付与するステップと
   を有する無線通信方法。

Images