JP2006041961A - 通信システム、認証装置、基地局装置、端末装置及びそれらに用いるアクセス制御方法 - Google Patents

Abstract

【課題】 基地局を介してデータ通信を行う全てのユーザに対して一律のアクセス制御のみではなく、ユーザ毎においても異なるアクセス制御を行うことが可能な通信システムを提供する。
【解決手段】 無線基地局１は無線端末装置２−１，２−２からの接続ネゴシエーション要求に応じて接続ネゴシエーションを行い、接続ネゴシエーション完了後、無線端末装置２−１，２−２に対してネットワーク接続のための認証を開始する。無線基地局１はネットワーク接続のための認証装置３による認証結果に伴い、無線端末装置２−１，２−２毎のアクセス制限を行う。アクセス制限に関する情報は認証装置３からの認証成功要求とともに無線基地局１で受信され、無線基地局１が受信した値を基に認証された無線端末装置２−１，２−２からのデータ通信を制御する。
【選択図】 図１

Description

本発明は通信システム、認証装置、基地局装置、端末装置、ゲートウェイ装置及びそれらに用いるアクセス制御方法並びにそのプログラムに関し、特に無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）におけるセキュリティに関する。

近年、無線ＬＡＮセキュリティの脆弱性が指摘されている。つまり、無線ＬＡＮに用いられるＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）キーによって暗号化されたデータも解析されてしまう可能性があると同時に、ＷＥＰキーが解析されることによって、無線ＬＡＮを介するすべてのデータ通信まで解析されてしまう危険性があることが指摘されている。

これらの危険性をできるだけ排除するためには、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）８０２．１Ｘ認証という無線基地局を介してのデータ通信のためにユーザ認証が必要であり（例えば、非特許文献１参照）、また無線ＬＡＮでのデータ暗号化のための暗号化キーを動的に生成及び定期的に変更するという方法が用いられているケースが多々見られるようになってきている。

このＩＥＥＥ８０２．１Ｘでは、ユーザ認証を行うために、接続しようとしている無線端末装置のユーザを認証装置においてもしくは無線基地局において判断することが可能である。もしくは、セキュリティ上の観点から、ユーザ名を隠蔽している場合においても、認証装置においては当然ユーザを判断することが可能であり、無線基地局においては接続しようとしているユーザの所属するドメイン名を判断する値をユーザＩＤ（識別情報）に含むことで、そのドメイン名を判断することが可能である。尚、ユーザの所属するドメイン名はレルムと呼ばれているので、以下、レムルと表記する。

また、インタネット利用の急増に伴い、無線によるインタネットアクセスのニーズが増大しており、無線局免許を要せず、配線がいらない、廉価で手軽にＬＡＮを構築することができる小電力データ通信システムをはじめとする２．４ＧＨｚ帯等を使用する無線ＬＡＮシステムの利用が進んでいる。

一方、ネットワークに接続された機器に対するアクセスを制限する方法としては、当該ネットワーク内に、ユーザ毎に機器単位のアクセス許可情報を持つ管理テーブルを設け、このアクセス許可情報に基づいて、操作させたくない機器に対するアクセスを制限する方法が提案されている（例えば、特許文献１参照）。

また、他のアクセスを制限する方法としては、ネットワークレベルの認証情報に個人レベルの認証情報を付加した認証情報及び個人レベルのアクセス制御情報をネットワークレベル認証サーバに保持し、利用者端末の認証結果にアクセス制御情報を付加してゲートウェイ装置に転送し、利用者端末からの情報サーバへのアクセスをアクセス制御情報に基づいてゲートウェイ装置が制御する方法が提案されている（例えば、特許文献２参照）。

特開２００１−２５１３１２号公報 特開２００３−０８７３３２号公報 "６．Ｐｒｉｎｃｉｐｌｅｓ ｏｆ ｏｐｅｒａｔｉｏｎ"（"Ｐｏｒｔ−Ｂａｓｅｄ Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ"，ＩＥＥＥ８０２．１Ｘ，ｐｐ７−１３，２００１年６月１４日）

上述した従来の伝送媒体に無線を利用した無線ＬＡＮシステムでは、無線区間を暗号化するための仕組みとしてＷＥＰキーによる暗号化が定義されているが、最近、ＷＥＰキーを使用することによる無線ＬＡＮセキュリティの脆弱性が指定されている。この脆弱性を解決する方法としては、ネットワーク接続のための認証、例えば無線端末装置が無線基地局を介するデータ通信を行う際にユーザ認証を必要とする方法（ＩＥＥＥ８０２．１Ｘ認証）が広まり始めている。

また、従来の無線ＬＡＮシステムでは、ＩＥＥＥ８０２．１Ｘを使用することによって、無線基地局に接続する全ての無線端末装置が使用していた同一の暗号鍵を、各無線端末装置毎に及び無線基地局に接続する毎に別々の暗号鍵を自動的に割り当てられる。そのため、従来の無線ＬＡＮシステムでは、セキュリティの向上を図ることが可能となっている。特に、企業での無線ＬＡＮシステムの利用等においてはＩＥＥＥ８０２．１Ｘを使用することが必須の機能であると考えられる。

さらに、従来の無線ＬＡＮシステムでは、接続してきた無線端末装置に対する接続可否に関して、ＩＥＥＥ８０２．１Ｘの認証結果によって行うことが可能である。しかしながら、認証された無線端末装置からの無線基地局を介するデータ通信の内容や通信相手によってアクセス権情報に基づいたフィルタリングにてアクセス制限を行うためには、別途ファイアウォール機能の役割となるゲートウェイ装置を設置し、アクセス権情報を個別に設定する必要がある。特許文献２の技術も、この方法と同様に、別途ファイアウォール機能の役割となるゲートウェイ装置を設置する必要がある。

さらにまた、従来の無線ＬＡＮシステムでは、接続元無線端末装置のＩＰアドレス等をキーとして、ゲートウェイ装置においてアクセス制限を行うことが可能であるが、ユーザ毎にアクセス制限を行おうとした場合、別途何らかの認証機構を必要としなければならないという問題もある。

上記のアクセス制限の要求としては、授業中や講演中等における電話の使用を不可としたり、ある特定のユーザに対してアクセス可能とするが、他のユーザに対してはアクセス不可としたい場合等さまざまな状況において必要となることが考えられる。この問題は上記の特許文献１の技術でも解決することができない。

企業内においては、各拠点や各部署等において多数の無線基地局が設置されたり、公衆無線ＬＡＮスポット接続サービス等のように無線ＬＡＮシステムを利用したサービスが多数の場所で見られるようになっている。しかしながら、それぞれの多数の場所においてアクセス制限を行うために、ユーザ毎もしくは無線端末装置毎にアクセス権情報を設定することは容易ではない。

また、上記の認証機構は、無線端末装置から無線基地局及びゲートウェイ装置を介してＬＡＮ回線もしくはＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）回線へ接続する際のデータ通信を制限する機構であり、ネットワーク接続を使用しない無線端末装置内の機能に関してはまったく制御することができない。

そこで、本発明の目的は上記の問題点を解消し、基地局を介してデータ通信を行う全てのユーザに対して一律のアクセス制御のみではなく、ユーザ毎においても異なるアクセス制御を行うことができる通信システム、認証装置、基地局装置、端末装置、ゲートウェイ装置及びそれらに用いたアクセス制御方法並びにそのプログラムを提供することにある。

本発明による通信システムは、端末装置から基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする通信システムであって、前記認証と連携して前記端末装置に対する認証成功通知とともに前記端末装置に対するアクセス制御情報を前記基地局装置に通知する手段を前記認証装置に備えている。

本発明による認証装置は、端末装置から基地局装置を介してネットワーク接続する際に前記端末装置に対する認証を行う認証装置であって、前記認証と連携して前記端末装置に対する認証成功通知とともに前記端末装置に対するアクセス制御情報を前記基地局装置に通知する手段を備えている。

本発明による基地局装置は、ネットワーク接続する際に認証装置による認証を必要とする端末装置を当該認証結果に応じて前記ネットワークへの接続を行う基地局装置であって、前記認証装置からの認証成功通知とともに通知される前記端末装置に対するアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持する手段を備えている。

本発明による端末装置は、基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする端末装置であって、前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎のデータの通過／破棄のフィルタリング機能を保持する手段を備えている。

本発明によるゲートウェイ装置は、端末装置から基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする通信システムにおいて、前記基地局装置と前記ネットワークとの間に配設されたゲートウェイ装置であって、前記認証装置から通知されたアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持する手段を備えている。

本発明によるアクセス制御方法は、端末装置から基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする通信システムに用いられるアクセス制御方法であって、前記認証装置側に、前記認証と連携して前記端末装置に対する認証成功通知とともに前記端末装置に対するアクセス制御情報を前記基地局装置に通知する処理を備えている。

本発明によるアクセス制御方法のプログラムは、端末装置から基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする通信システムに用いられるアクセス制御方法のプログラムであって、前記認証装置のコンピュータに、前記認証と連携して前記端末装置に対する認証成功通知とともに前記端末装置に対するアクセス制御情報を前記基地局装置に通知する処理を実行させている。

すなわち、本発明の通信システムは、ユーザ毎に接続している基地局を介してやりとりされるデータの種類によってアクセス権を与える場合において、基地局を介してデータをやり取りするに当たりユーザ認証を必要とする状況におけるユーザＩＤ（識別情報）を用いて、例えばＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）８０２．１Ｘ認証のユーザＩＤを用いて解決しようとするものである。

本発明の通信システムでは、認証装置において保持するユーザＩＤに対応するアクセス権情報のリストからユーザ認証時に該ユーザに対応するアクセス権情報を取り出し、認証装置から基地局への認証成功通知とともに、アクセス権情報を基地局へ通知することによって、基地局においてアクセス制限を行うことが可能となる。

あるいは、本発明の通信システムでは、基地局において保持するユーザＩＤに対応するアクセス権情報のリストから基地局が認証成功したユーザに対応するアクセス権情報を取得してアクセス制限を行うことが可能である。

ここでのアクセス制限とは、例えば、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｓｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットのヘッダを検査し、条件を満たしたパケットのみを通過させる機能であり、発信元及び転送先のＩＰアドレスやポート番号やパケットの種類［ＴＣＰ，ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ），ＩＣＭＰ（Ｉｎｔｅｒｎｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｌ）］等の情報やパケットの転送方向等の条件を基に、通過／破棄を行うことである。

また、ユーザＩＤ毎のみではなく、レルム（ユーザの所属するドメイン名）毎にアクセス権を与えたり、さらにグループを作成し、レルム毎にグループに所属させたり、ユーザ毎にグループに所属させることで、グループ毎にアクセス権を与えるといったことが可能となる。

さらに、本発明の通信システムでは、認証装置において、または基地局において、ユーザ毎に設定されるアクセス権に関する情報を基地局から端末装置へ通知することによって、端末装置において該当機能を使用不可とすることも可能となる。

本発明では、ＬＡＮ回線またはＷＡＮ回線に接続して伝送媒体に無線を利用した無線基地局と、ＬＡＮ回線またはＷＡＮ回線に無線基地局を介して伝送媒体に無線を利用して接続する無線端末装置と、ＬＡＮ回線またはＷＡＮ回線に接続して無線基地局を介した無線端末装置からの認証要求を処理する認証装置とから構成されている。

無線端末装置は無線基地局を介して接続するためにユーザ認証もしくは相互認証を必要とする無線ネットワークシステムにおいて、ユーザ認証によって認証された無線端末装置毎に無線端末装置から無線基地局を介してやりとりされるＬＡＮ回線またはＷＡＮ回線へのデータ通信を無線基地局においてデータ通信内容に応じて通信を制限することによって、ユーザＩＤをキーとして無線基地局を介するデータ通信を内容によって制限することが可能となる。

また、本発明では、無線基地局におけるアクセス制御情報を無線端末装置へ通知することによって、無線端末装置内においてアクセス制御情報に沿って機能を制限することが可能となる。

本発明は、以下に述べるような構成及び動作とすることによって、無線基地局を介してデータ通信を行う全てのユーザに対して一律のアクセス制御のみではなく、ユーザ毎においても異なるアクセス制御を行うことができるという効果が得られる。

次に、本発明の実施例について図面を参照して説明する。図１は本発明の第１の実施例による無線通信システムの構成を示すブロック図である。図１において、本発明の第１の実施例による無線通信システムはＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）回線またはＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）回線１００に接続された無線基地局１と、無線基地局１を介して伝送媒体に無線を利用してネットワークに接続する無線端末装置２−１，２−２とを配置し、音声や動画等、その他様々なデータ通信を提供する無線ネットワークのシステム構成としている。

つまり、本発明の第１の実施例による無線通信システムは無線基地局１と、無線端末装置２−１，２−２と、無線基地局１とＬＡＮ回線またはＷＡＮ回線１００で接続された認証装置３と、無線基地局１とＬＡＮ回線またはＷＡＮ回線１００で接続されたユーザ登録データベース装置４と、ＬＡＮ回線またはＷＡＮ回線１００に接続された端末装置５とから構成されている。

無線基地局１は無線端末装置２−１と端末装置５との間でのデータ通信及び無線端末装置２−２と端末装置５との間でのデータ通信を中継する動作を行っている。

無線基地局１は無線端末装置２−１，２−２からの接続ネゴシエーション要求に応じて接続ネゴシエーションを行い、接続ネゴシエーション完了後、無線端末装置２−１，２−２に対してネットワーク接続のための認証を開始する。無線基地局１はネットワーク接続のための認証結果に伴い、無線端末装置２−１，２−２毎のアクセス制限を行うことが可能である。

アクセス制限に関する情報は認証装置３からの認証成功要求とともに無線基地局１で受信され、無線基地局１が受信した値を基に認証された無線端末装置２−１，２−２からのデータ通信を制御することで、以後、無線端末装置２−１，２−２のアクセス制御を行う。

無線端末装置２−１，２−２は無線基地局１を介してＬＡＮ回線またはＷＡＮ回線１００に接続された端末装置５とインタネットプロトコル〔ＩＰ〕を用いて通信が可能である。しかしながら、無線端末装置２−１，２−２はデータ通信が可能となる前に、無線基地局１と無線物理層を用いて接続ネゴシエーションを行い、接続ネゴシエーション完了後、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）８０２．１Ｘ（上記の非特許文献１参照）によるユーザ認証を必要とし、ユーザ認証完了後、本ネットワークの一端末として動作する。

ＩＥＥＥ８０２．１Ｘ認証時には、ユーザＩＤ及びパスワードを必要とするかもしれないし、保持している自身のユーザ証明書を用いるかもしれない。どちらを使用するかはネットワーク接続のための認証時に選択される認証方式しだいである。

認証装置３は無線端末装置２−１，２−２が無線基地局１と接続ネゴシエーション後にネットワーク接続のための認証を行う際に、無線基地局１に代わって無線端末装置２−１，２−２の認証を行う。認証装置３は無線基地局１からのユーザ認証要求に応じて、無線端末装置２−１，２−２のユーザ認証を自身で保持しているユーザ情報を利用し、もしくはユーザ登録データベース装置４と通信することで行い、ユーザ認証結果を無線基地局１へ伝える。

認証装置３はユーザ認証結果が成功である場合、自身で保持する該ユーザに対するアクセス制御情報を一緒に無線基地局１へ通知する。認証装置３は無線基地局１と認証に関する通信及びユーザに対するアクセス制御情報の通知を行い、ユーザ情報の認証に関する通信をユーザ登録データベース装置４と行う。認証装置３は、ネットワーク接続のための認証方式によっては、無線端末装置２−１，２−２から渡される証明書を検証することによってユーザ認証を行う。

ユーザ登録データベース装置４は無線端末装置２−１，２−２を使用しているユーザのアカウント及びパスワードを管理している。この機能は認証装置３内に含まれるかもしれない。

図２は図１の認証装置３の構成を示すブロック図である。図３において、認証装置３は設定インタフェース部３１と、ユーザ情報記憶部３２と、パラメータ記憶部３３と、通信制御部３４と、有線通信インタフェース部３５と、記録媒体３６とから構成されている。

設定インタフェース部３１はユーザ情報記憶部３２及びパラメータ記憶部３３に設定されている情報の確認・設定を行うことを可能にする。ＷＥＢブラウザ経由によるアクセスやシリアルポート接続によるコマンドライン入力等を可能にする。

ユーザ情報記憶部３２は無線端末装置２−１，２−２に対するユーザ認証時に必要となるユーザ名及び典型的にはパスワードの組を保持している。ユーザ情報記憶部３２は、ネットワーク接続のための認証方式によっては、無線端末装置２−１，２−２から渡される証明書を検証する時に使用するルートＣＡ（Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ：認証局）証明書に関する情報を保持するかもしれない。

ユーザ情報記憶部３２は通信制御部３４によって無線基地局１から受信するユーザ認証要求に対しての認証可否の判断の際に使用される。ユーザ情報記憶部３２の値は、設定インタフェース部３１によって設定・変更される。

パラメータ記憶部３３はユーザ情報記憶部３２に登録されているユーザに対する各種パラメータを保持している。各種パラメータとは、ユーザが現在認証されようとしている無線基地局１を介して認証後にデータ通信を行うことができる種類に関する値を含む。パラメータ記憶部３３は通信制御部３４によって、認証可とされたユーザに対するアクセス制御に関する情報を取得する際に使用される。パラメータ記憶部３３の値は設定インタフェース部３１によって設定・変更される。

通信制御部３４は有線通信インタフェース部３５より受信する無線基地局１からのユーザ認証要求の処理を行う。通信制御部３４は受信したユーザ認証要求に応じて、ユーザ情報をユーザ情報記憶部３２から取得し、認証の可否を判断する。ユーザ情報はＬＡＮ回線またはＷＡＮ回線１００に接続するユーザ登録データベース装置４から取得するかもしれない。

通信制御部３４はユーザ認証要求からユーザ承認の判断まで、ネットワーク接続のための認証方式によって、無線基地局１との複数回のやり取りが発生するかもしれない。

通信制御部３４は認証不可と判断した場合、認証不可であることを無線基地局１へ通知し、認証可と判断した場合、該ユーザに対するアクセス制御情報をパラメータ記憶部３３から取得し、アクセス制御情報と認証可であることとを無線基地局１へ一緒に通知する。認証可であることを通知する際に一緒にアクセス制御情報を通知する点が、従来の認証装置とは異なる点である。

有線通信インタフェース部３５はＬＡＮ回線またはＷＡＮ回線１００に接続しており、通信制御部３４から受け取ったデータをＬＡＮ回線またはＷＡＮ回線１００へ送信する処理を行う。また、有線通信インタフェース部３５は受信したデータを通信制御部３４へ渡す処理を行う。

ＩＥＥＥ８０２．１Ｘ認証時には、典型的には無線基地局１と通信が行われ、またＬＡＮ回線またはＷＡＮ回線１００で接続されている端末装置５との通信の際にも使用される。

認証装置３が図示せぬＣＰＵ（中央処理装置）及びＲＡＭ（リードオンリメモリ）を含むコンピュータの場合、ＣＰＵは記録媒体３６に格納されたプログラムを実行することで、上述した各部の処理を実現する。

図３は図１の無線基地局１の構成を示すブロック図である。図３において、無線基地局１は有線通信インタフェース部１１と、アクセス制御情報記憶部１２と、アクセス制御部１３と、通信制御部１４と、無線通信インタフェース部１５と、記録媒体１６とから構成されている。

有線通信インタフェース部１１はＬＡＮ回線またはＷＡＮ回線１００に接続しており，通信制御部１４から受け取ったデータをＬＡＮ回線またはＷＡＮ回線１００で送信する処理を行う。また、有線通信インタフェース部１１は受信したデータを通信制御部１４へ渡す処理を行う。

有線通信インタフェース部１１はネットワーク接続のための認証時に、認証装置３との通信を行い、また有線側に接続されている端末装置５との通信の際にも用いられる。

アクセス制御情報記憶部１２は通信制御部１４からアクセス制御情報が設定され、アクセス制御部１３からデータの通過／破棄の判断を行う際に読出される。アクセス制御部１３は通信制御部１４からアクセス制御情報記憶部１２に対して設定されるアクセス制御情報に基づき、通信制御部１４から渡されるデータの通過／破棄を行う動作を行う。

通信制御部１４は有線通信インタフェース部１１からのデータまたは無線通信インタフェース部１５からのデータを、送信先に応じて有線通信インタフェース部１１または無線通信インタフェース部１５から送信するための制御を行う。また、通信制御部１４は無線端末装置２−１，２−２とのネゴシエーション処理も行う。

通信制御部１４は無線端末装置２−１，２−２からネゴシエーション要求を受けると、オーセンティケーション・アソシエーション動作を完了させる。通信制御部１４はアソシエーション動作の完了後、ネットワーク接続のための認証を開始する。

通信制御部１４はネットワーク接続のための認証を開始すると、典型的には無線端末装置２−１，２−２に対してＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ） Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙを送信し、無線端末装置２−１，２−２からの応答であるＥＡＰ Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙを受信する。

通信制御部１４は受信したＥＡＰ Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙからユーザ名を判断し、認証装置３に対してユーザ認証要求を送信する。通信制御部１４は認証装置３から認証結果を受信すると、認証可否を無線端末装置２−１，２−２へ通知する。通信制御部１４は、ネットワーク接続のための認証方式によっては、認証要求を送信してから認証結果を受信するまでに複数の認証データのやりとりが無線端末装置２−１，２−２と認証装置３との間で発生するかもしれない。

通信制御部１４は無線端末装置２−１，２−２からの認証データを認証装置３に転送する動作を行う。通信制御部１４は認証可であることを認証装置３から通知された場合、認証結果通知と一緒に認証装置３から通知されるアクセス制御情報をアクセス制御情報記憶部１２へ設定する。

以後、認証されたユーザによって無線基地局１を介してやり取りされるデータ通信に対しては、通信制御部１４から一度アクセス制御部１３を介した動作が行う。認証データに関しては、アクセス制御部１３を介さず、直接ＬＡＮ回線またはＷＡＮ回線１００へと接続される。

無線通信インタフェース部１５は通信制御部１４から受け取ったデータを無線で送信する処理を行う。また、無線通信インタフェース部１５は受信したデータを通信制御部１４へ渡す処理を行う。無線通信インタフェース部１５は、主に、無線端末装置２−１，２−２との通信の際に用いられる。

本実施例では、無線基地局１における構成で、アクセス制御情報記憶部１２及びアクセス制御部１３が設けられている。アクセス制御情報記憶部１２には、無線基地局１を介してデータ通信を開始するに当たって行う必要のあるＩＥＥＥ８０２．１Ｘ認証を成功裡に完了した際に、認証装置３から通知されるアクセス制御情報が記憶されている。

無線基地局１にて中継される無線端末装置２−１，２−２のデータは、無線基地局１において各ＩＥＥＥ８０２．１Ｘ認証後に各々にて設定されるアクセス制御情報に基づき、アクセス制御部１３でフィルタリングされることによって、データ通信内容が制御される。これによって、本実施例では、ネットワーク接続のための認証と連携してユーザ毎のデータ通信によるアクセス制限が可能となる。

また、本実施例では、アクセス制御情報を無線基地局１から無線端末装置２−１，２−２へと通知することによって、無線端末装置２−１，２−２内でアプリケーション毎の機能のアクセス制限を行うことが可能となる。

無線基地局１が図示せぬＣＰＵ及びＲＡＭを含むコンピュータの場合、ＣＰＵは記録媒体１６に格納されたプログラムを実行することで、上述した各部の処理を実現する。

図４は図２のパラメータ記憶部３３の構成例を示す図である。図４において、パラメータ記憶部３３はパラメータ（３３０）としてユーザ名“ＡＬＩＣＥ”のアクセス制御情報（３３１）と、ユーザ名“ＢＯＢ”のアクセス制御情報（３３２）と、ユーザ名“ＣＨＡＲＬＩＥ”のアクセス制御情報（３３３）とを保持している。

また、それらパラメータ（３３０）の機能としては電話（３３４）、ＴＶ（テレビ）電話（３３５）、メール（３３６）、ブラウザ（３３７）があり、それぞれに対応して使用可否（「○」または「×」）を保持している。

図５（ａ）は本発明の第１の実施例によるアクセス制御情報フォーマットの構成例を示す図であり、図５（ｂ）は本発明の第１の実施例による属性値フォーマットの構成例を示す図である。図５（ａ）において、アクセス制御情報フォーマットＡは「属性番号（２６番） Ｖｅｎｄｏｒ−Ｓｐｅｃｉｆｉｃ」（Ａ１）と、属性長（Ａ２）と、値（ベンダＩＤ）（Ａ３）と、値（Ａ４）とから構成されている。図５（ｂ）において、属性値フォーマットＢは各々「属性番号」と「属性長」と「値」とからなる複数の組で構成されている。

図６（ａ）は本発明の第１の実施例による独自属性一覧を示す図であり、図６（ｂ）は本発明の第１の実施例による各属性の値を示す図である。図６（ａ）において、独自属性一覧Ｃの属性Ｃ１は＃が「１」で、属性の名前が「電話」で、属性値が「ＥＮＵＭ」であり、属性Ｃ２は＃が「２」で、属性の名前が「ＴＶ電話」で、属性値が「ＥＮＵＭ」であり、属性Ｃ３は＃が「３」で、属性の名前が「メール」で、属性値が「ＥＮＵＭ」であり、属性Ｃ４は＃が「４」で、属性の名前が「ブラウザ」で、属性値が「ＥＮＵＭ」である。

図６（ｂ）において、各属性値に対応する値Ｄの属性Ｄ１０の行Ｄ１１には＃として「１」が、値の名前として「電話ＯＫ」が、対応する属性の属性番号として「１」がそれぞれ保持されており、行Ｄ１２には＃として「２」が、値の名前として「電話ＮＧ」が、対応する属性の属性番号として「１」がそれぞれ保持されている。

属性Ｄ２０の行Ｄ２１には＃として「１」が、値の名前として「ＴＶ電話ＯＫ」が、対応する属性の属性番号として「２」がそれぞれ保持されており、行Ｄ２２には＃として「２」が、値の名前として「ＴＶ電話ＮＧ」が、対応する属性の属性番号として「２」がそれぞれ保持されている。

属性Ｄ３０の行Ｄ３１には＃として「１」が、値の名前として「メールＯＫ」が、対応する属性の属性番号として「３」がそれぞれ保持されており、行Ｄ３２には＃として「２」が、値の名前として「メールＮＧ」が、対応する属性の属性番号として「３」がそれぞれ保持されている。

属性Ｄ４０の行Ｄ４１には＃として「１」が、値の名前として「プラウザＯＫ」が、対応する属性の属性番号として「４」がそれぞれ保持されており、行Ｄ４２には＃として「２」が、値の名前として「ブラウザＮＧ」が、対応する属性の属性番号として「４」がそれぞれ保持されている。

図７は本発明の第１の実施例による無線通信システムの動作を示すシーケンスチャートであり、図８は図３の無線基地局１の動作を示すフローチャートである。これら図１〜図８を参照して本発明の第１の実施例による無線通信システムの動作について説明する。尚、図８に示す処理は無線基地局１を構成するコンピュータのＣＰＵが記録媒体１６のプログラムをＲＡＭに移して実行することで実現される。

無線基地局１を介して無線端末装置２−１がＬＡＮ回線またはＷＡＮ回線１００に接続して通信を行うには、まず、無線端末装置２−１と無線基地局１との間でネゴシエーションを行う（図７のａ１、図８ステップＳ１）。

無線基地局１は無線端末装置２−１からのオーセンティケーションフレームを無線通信インタフェース部１５から通信制御部１４にて受信すると、オープン認証にて無線端末装置２−１を認証し、通信制御部１４は成功裡で認証結果をオーセンティケーションフレームにて無線通信インタフェース部１５から無線端末装置２−１へ送信する。

次に、無線基地局１は無線端末装置２−１からのアソシエーション要求フレームを受信すると、アソシエーション応答を無線端末装置２−１へ送信することで無線基地局１と無線端末装置２−１との間のアソシエーションが完了する。以後、無線端末装置２−１からのデータは無線通信インタフェース部１５を介し通信制御部１４で処理され、また無線端末装置２−１へのデータは無線通信インタフェース部１５を介して送信される。

アソシエーションが完了すると、次にネットワーク接続のための認証が開始される（図７のａ２、図８ステップＳ２）。ネットワーク接続のための認証では、無線基地局１から無線端末装置２−１へＥＡＰ Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙが送信される。無線基地局１は無線端末装置２−１から“ＡＬＩＣＥ”のようにユーザ名を含む形式でメッセージを受信する。受信したユーザ名を使用して無線基地局１は認証装置３との通信を行うことで完了させる。必要に応じて認証データは無線端末装置２−１と認証装置３との間で転送される。

無線基地局１は成功裡な認証結果とともに、該ユーザに対するアクセス制御情報を認証装置３から受け取ると（図８ステップＳ３，Ｓ４）、アクセス制御情報記憶部１２に対して受信したアクセス制御情報を設定する（図７のａ３、図８ステップＳ５）。また、無線基地局１は認証可否を無線端末装置２−１へ通知する（図７のａ４、図８ステップＳ６）。

以後、無線基地局１は、無線基地局１を介する該ユーザからのデータ及び該ユーザへのデータを一度アクセス制御部１３へ渡し、アクセス制御部１３から返ってきたデータを有線通信インタフェース部１１もしくは無線通信インタフェース部１５から送信する動作を行う（図７のａ５，ａ６，ａ７、図８ステップＳ７，Ｓ８）。

さらに、認証装置３から無線基地局１へと通知されるアクセス制御情報と、無線基地局１内のアクセス制御部１３の動作とについて、図４〜図６を参照して説明する。

図４においては、認証装置３におけるパラメータ記憶部３３の構成例を示している。尚、パラメータ記憶部３３の値は予め保持されていてもよいし、設定インタフェース部３１から設定してもよい。

パラメータ記憶部３３にはユーザ名と、ユーザ名に対応する機能一覧とが記載されている。例えば、機能として電話（３３４）、ＴＶ電話（３３５）、メール（３３６）、ブラウザ（３３７）が定義されており、ユーザ“ＡＬＩＣＥ”の例の場合、「電話ＯＫ」、「ＴＶ電話ＯＫ」、「メールＯＫ」、「ブラウザＯＫ」と定義されている。

図５においては、認証装置３から無線基地局１に、認証結果通知とともに通知されるアクセス制御情報のフォーマット例を示している。ＩＥＥＥ８０２．１Ｘでは無線基地局１と認証装置３との間のプロトコルに規定されたものはないが、一般的には、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｖｉｃｅ）というプロトコルが使用される。

アクセス制御情報フォーマットＡはそのＲＡＤＩＵＳプロトコルの中の１つである属性値「２６」として定義されているベンダ独自の属性を運ぶための属性値を使用する。アクセス制御情報フォーマットＡの中の値Ａ４の値において、属性値フォーマットＢに示すように属性値、長さ、値の繰り返しで記述されるフォーマットとし、図６に示すような独自属性一覧Ｃを定義し、「電話」、「ＴＶ電話」、「メール」、「ブラウザ」等に対する値を通知するために使用する。

各属性値に対応する値Ｄにおいて、各属性値と値の内容とを定義し、独自属性番号Ｃ及び各属性値に対応する値Ｄを認証装置３及び無線基地局１において予め保持しておき、実際の認証装置３から無線基地局１へアクセス制御情報通知の際に、属性値番号と属性値とをペアで通知することによって実現する。

独自属性一覧Ｃにおける属性値として、「整数（ＩＮＴＥＲＧＥＲ）」、「選択肢（ＥＮＵＭ）」、「文字列（ＳＴＲＩＮＧ）」、「テキスト（ＴＥＸＴ）」、「ＩＰアドレス（ＩＰＡＤＤＲ）」、「時刻（ＴＩＭＥ）」等の属性型があり、様々な形式の属性値を通知することが可能である。

上記の“ＡＬＩＣＥ”の例の場合、属性番号「１」に対して属性の値「１」を、属性番号「２」に対して属性の値「１」を、属性番号「３」に対して属性の値「１」を、属性番号「４」に対して属性の値「１」をそれぞれセットすることで、認証装置３から無線基地局１へ通知することが可能となる。

無線基地局１はアクセス制御情報を受け取ると、そのアクセス制御情報を無線通信インタフェース部１５から通信制御部１４に渡し、通信制御部１４によってアクセス制御情報記憶部１２に設定する（図８ステップＳ４，Ｓ５）。アクセス制御情報記憶部１２においては、該ユーザに対するアクセス制御情報として通信制御部１４から設定された値を記憶しておく。

ここで、該ユーザを“ＡＬＩＣＥ”とし、無線端末装置２−１からＬＡＮ回線またはＷＡＮ回線１００で接続される端末装置５とのデータ通信を行う場合の動作について説明する。

無線端末装置２−１から端末装置５へのデータは無線基地局１を介して転送されることになるが、この時、無線基地局１は通信制御部１４において、いったんそのデータをアクセス制御部１３へ渡す（図８ステップＳ７）。データが渡されたアクセス制御部１３は該ユーザに対するアクセス制御情報をアクセス制御情報記憶部１２から取得し、そのデータを通過させるか、破棄させるかの判断を行う。

例えば、データがＷＥＢブラウザからのデータであったとすると、アクセス制御情報記憶部１２から取得したアクセス制御情報が“ＡＬＩＣＥ”に対するブラウザでのアクセスがＯＫとなっているので、通過させると判断し、そのまま通信制御部１４へデータを受け渡す（図７のａ５）。

データをＷＥＢブラウザからであると判断する例としては、送信先ポート番号もしくは送信元ポート番号を基に判断することができる。また、ＬＡＮ回線またはＷＡＮ回線１００で接続される端末装置５から無線端末装置２−１へのデータも、上記と同様に、無線基地局１において通信制御部１４を通過する際に一度アクセス制御部１３に渡され、通過／破棄の判断がなされ、通過と判断された時のみ無線端末装置２−１へと無線基地局１から送信される（図７のａ５，ａ６，ａ７）。

このように、本実施例では、無線端末装置２−１，２−２が無線基地局１を介してデータ通信を行うために最初に行うＩＥＥＥ８０２．１Ｘ認証の結果によって、認証装置３から無線基地局１に対して該ユーザに対するアクセス制御情報を通知し、自動的に無線基地局１において該ユーザに対するアクセス制御を行うため、無線端末装置２−１，２−２においてユーザ認証の動作を複数行うことなしに、無線基地局１を介するデータ通信においてユーザ毎に異なったアクセス制御情報を設定することができる。そのため、本実施例では、無線基地局１を介してデータ通信を行う全てのユーザに一律なアクセス制御のみではなく、ユーザ毎においても異なるアクセス制御を行うことができる。

また、本実施例では、認証装置３がユーザ認証結果とともに該ユーザに対するアクセス制御情報を無線基地局１に対して通知することによって、複数の無線基地局が存在する場合でも、認証装置３にのみユーザに対するアクセス制御情報を設定するのみでよいので、複数の無線基地局が存在する場合でも、各無線基地局に対するユーザ毎の設定を容易にすることができる。

さらに、本実施例では、無線基地局１におけるユーザ毎のアクセス制御に関する設定を、認証装置３側の設定のみで、無線端末装置２−１，２−２によらず、自由に変更することができるので、無線基地局１を介してデータ通信を行う際に、ネットワーク接続のための認証対応の無線端末装置２−１，２−２であれば、特別の装置が不要となる。そのため、本実施例では、ネットワーク接続のための認証に対応の無線端末装置全てにおいて使用することができる。

さらにまた、本実施例では、無線基地局１と認証装置３との間のデータのやり取りに、認証に使用される標準のプロトコルにおけるベンダ独自属性を使用しているので、無線基地局１と認証装置３との間に、認証に使用される標準のプロトコルを扱うことができる認証プロキシ装置を複数設置することが可能である。そのため、本実施例では、認証装置３を分散させることが可能である。

尚、本実施例では、図４において、認証装置３におけるパラメータ記憶部３３としてユーザ名と対応する機能についての情報を保持し、無線基地局１へ通知する例について説明したが、これはレルム毎にアクセス制御情報を保持していてもよい。この場合、ユーザ認証要求を受信した認証装置３は、要求に含まれる「ＡＬＩＣＥ＠ＲＥＡＬＭ」や、「ＲＥＡＬＭ￥ＡＬＩＣＥ」等の形式で記述されるユーザＩＤに含まれるレルムから、ユーザの所属するレルムを判断し、レルム毎に設定されたアクセス制御情報をパラメータ記憶部３３から取り出し、無線基地局１へ通知することによって、レルム毎でのアクセス制御が可能となる。

本実施例では、図４において、認証装置３におけるパラメータ記憶部３３としてユーザ名と対応する機能についての情報を保持し、無線基地局１へ通知する例について説明したが、これは経由する無線基地局１毎にアクセス制御情報を保持していてもよい。この場合、ユーザ認証要求に含まれる「ＮＡＳ−Ｉｄｅｎｔｉｆｉｅｒ」、「ＮＡＳ−ＩＰ−Ａｄｄｒｅｓｓ」、「Ｃａｌｌｅｄ−Ｓｔａｔｉｏｎ−Ｉｄ」等から判断し、無線基地局１毎に設定されたアクセス制御情報をパラメータ記憶部３３から取り出し、無線基地局１へ通知することによって、無線基地局１毎でのアクセス制御が可能となる。

また、本実施例では、グループを認証装置３において定義し、グループ毎にアクセス制御情報を保持し、レルム毎にグループに所属させたり、ユーザ毎にグループに所属させたり、無線基地局１毎にグループに所属させることによって、グループ毎でのアクセス制御も可能となる。

本実施例では、図６において、例えば属性として、「電話」、「ＴＶ電話」、「メール」、「ブラウザ」を定義しているが、これら以外にもネットワークを使用する機能であれば、制限なく記述することが可能である。

また、本実施例出は、図６において、属性に対する属性の値の例として「ＯＫ」、「ＮＧ」のみを定義しているが、電話の例でいうと「着信のみＯＫ」やメールの例でいうと「メール受信のみＯＫ」、「メール送信のみＯＫ」等の属性の値を定義することで、無線基地局１において詳細なアクセス制御を行うことが可能となる。

この場合、無線基地局１における詳細なアクセス制御方法としては、電話の例でいうと呼制御のデータのやり取りから判断し、着信については通過させるが、発信は通過させないとしたり、メールの例でいうとＰＯＰ（Ｐｏｓｔ Ｏｆｆｉｃｅ Ｐｒｏｔｏｃｏｌ）等のメール受信に使用するプロトコルは通過させるが、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ ）のようにメール送信に使用するプロトコルは通過させない等とすることによって実現することができる。

本実施例では、図５において、認証装置３から無線基地局１へアクセス制御情報を通知するためのアクセス制御フォーマットＡを定義し、実際に属性と属性の値との組の属性値フォーマットＢとして属性番号、属性長、値とＡＶＰ（Ａｔｔｒｉｂｕｔｅ Ｖａｌｕｅ Ｐａｉｒ）ペアの繰り返しによって実現しているが、属性値フォーマットＢをＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋ−ｕｐ Ｌａｎｇｕａｇｅ）フォーマットでの記述方式“＜Ａｔｔｒｉｂｕｔｅ＞＜Ｎｕｍｂｅｒ＞１＜／Ｎｕｍｂｅｒ＞＜Ｖａｌｕｅ＞２＜／Ｖａｌｕｅ＞＜／Ａｔｔｒｉｂｕｔｅ＞”の繰り返しによる記述に置き換えることで、属性の値の解釈に既存のＸＭＬパーサ（ＸＭＬ変換ソフトウェア）を利用することも可能である。

本実施例では、認証装置３で決定したユーザ毎、もしくはレルム毎、あるいはグループ毎のアクセス制御情報を無線基地局１へ通知し、無線基地局１においてアクセス制御を行うため、無線端末装置２−１，２−２においては実際に行われているアクセス制御に関する情報を得ることができない。

そのため、無線端末装置２−１，２−２と無線基地局１との間でＩＰによる通信が開始された後、無線端末装置２−１，２−２から無線基地局１へＷＥＢアクセスする等することによって、現在、該無線端末装置２−１，２−２になされている無線基地局１でのアクセス制御に関する情報を表示させるようにすることで、ユーザにわかるようにすることも可能である。

本実施例では、図３において、無線基地局１でアクセス制御部１３が通信制御部１４から一度データを受け取り、データの通過／破棄の判断後に、通信制御部１４にデータを渡す流れになっているが、アクセス制御部１３が通信制御部１４と有線通信インタフェース部１１または無線通信インタフェース部１５との間に位置することで、通信制御部１４から受け取ったデータを直接有線通信インタフェース部１１もしくは無線通信インタフェース部１５から送受信するようにすることも可能である。

図９は本発明の第２の実施例による無線基地局の構成を示すブロック図である。図９において、本発明の第２の実施例による無線基地局６は設定インタフェース部６１とパラメータ記憶部６２と記録媒体６３とを追加した以外は図３に示す本発明の第１の実施例と同様の構成となっており、同一構成要素には同一符号を付してある。

図９においては、本発明の第１の実施例における無線基地局１に、認証装置３における設定インタフェース部３１及びパラメータ記憶部３３の機能を追加した機能構成を示している。但し、通信制御部１４は図３に示す通信制御部１４の動作とは一部異なっている。

設定インタフェース部６１はパラメータ記憶部６２に設定されている情報の確認・設定を行うことを可能とし、ＷＥＢブラウザ経由によるアクセスやシリアルポート接続によるコマンドライン入力等を可能としている。

パラメータ記憶部６２はＩＥＥＥ８０２．１Ｘ認証を成功裡に完了し、無線基地局６を介してデータ通信を行うユーザに対する各種パラメータを保持している。各種パラメータとは、ユーザが現在認証されようとしている無線基地局６を介して認証後にデータ通信を行うことができる種類に関する値を含む。

パラメータ記憶部６２は通信制御部１４によって、認証可とされたユーザに対するアクセス制御に関する情報を取得する際に使用される。パラメータ記憶部６２の値は設定インタフェース部６１によって設定・変更される。

通信制御部１４は基本的な機能が上述した本発明の第１の実施例と同様であるが、以下の機能を持っている点で異なる。本発明の第１の実施例においては、ネットワーク接続のための認証において認証可であることを認証装置３から通知された場合、認証結果通知と一緒に通知されるアクセス制御情報をアクセス制御情報記憶部１２へ設定している。

これに対し、本実施例では、認証可とされたユーザに対するアクセス制御情報を無線基地局６において設定されている値をパラメータ記憶部６２から取得し、該ユーザに対するアクセス制御情報が存在する場合、無線基地局６において設定されているアクセス制御情報にてアクセス制御情報記憶部１２へ設定する。以後、認証されたユーザによって無線基地局６を介してやり取りされるデータ通信は通信制御部１４から一度アクセス制御部１３へと渡される動作を行う。

認証データに関しては、アクセス制御部１３を介さず、直接、ＬＡＮ回線またはＷＡＮ回線１００に接続されるという２点に関しては、本発明の第１の実施例における動作と同様である。

ここで、パラメータ記憶部６２の内容を図４に示すパラメータ記憶部３３と同様とし、属性値と属性の値とが図６に示す内容と同様として、本実施例の動作について説明する。

本実施例が上述した本発明の第１の実施例と異なる点は、設定インタフェース部６１及びパラメータ記憶部６２の機能を追加したことと、通信制御部１４での認証されたユーザに対するアクセス制御情報を決定することとが異なる。そこで、これらの異なる点についてのみ説明する。尚、パラメータ記憶部６２に記憶される値は予め保持されていてもよいし、設定インタフェース部６１から設定してもよい。

パラメータ記憶部６２にはユーザ名と、ユーザ名に対応する機能一覧とが記載されている。例えば、機能として電話（３３４）、ＴＶ電話（３３５）、メール（３３６）、ブラウザ（３３７）が定義されており、ユーザ“ＡＬＩＣＥ”の例の場合、「電話ＯＫ」、「ＴＶ電話ＯＫ」、「メールＯＫ」、「ブラウザＯＫ」と定義されている。

通信制御部１４の動作は認証装置３から該ユーザに対する承認とともに該ユーザに対するアクセス制御情報を受け取るところまでは、上述した本発明の第１の実施例と同様である。本発明の第１の実施例では、アクセス制御情報をそのままアクセス制御情報記憶部１２に設定しているが、本実施例では、認証されたユーザに対するアクセス制御情報をパラメータ記憶部６２から取得し、存在する場合にそちらをアクセス制御情報記憶部１２へ設定する動作を行う点で、本発明の第１の実施例とは異なる。

本実施例では、設定インタフェース部６１及びパラメータ記憶部６２を設けることによって、認証装置３のみで設定していたユーザに対するアクセス制御情報が無線基地局６においても設定可能となり、ある特定の場所において使用して欲しくない特定の機能を無線基地局６においてアクセス制御に反映することが可能になるという効果が得られる。

また、認証装置３から通知されるアクセス制御情報と無線基地局６におけるアクセス制御情報のマージ方法について、本実施例では無線基地局６におけるアクセス制御情報で上書きしているが、認証装置３がアクセス制御情報を通知する際に属性値の中に「上書きＮＧ」、「上書きＯＫ」等の属性を付けることによって、無線基地局６において上書き可／不可とすることができるようにしてもよい。

また、本実施例出は、機能において「ＯＫ」であるものを「ＮＧ」にすることは可能だが、「ＮＧ」のものを「ＯＫ」に上書きすることはできない等のルールを決めることも可能である。

さらに、本実施例では、上述した本発明の第１の実施例と同様に、グループを無線基地局６において定義し、グループ毎にアクセス制御情報を保持し、レルム毎にグループに所属させたり、ユーザ毎にグループに所属させることによって、グループ毎でのアクセス制御も可能とすることもできる。尚、本実施例は、上述した本発明の第１の実施例と組み合わせて利用することも可能である。

次に、本発明の第３の実施例について説明する。本発明の第３の実施例による無線基地局は図９に示す本発明の第２の実施例による無線基地局６と同様の構成となっているが、通信制御部１４の動作が上記の本発明の第２の実施例とは一部異なる。

本実施例での無線基地局の通信制御部１４は、該ユーザ認証要求を認証装置３に行う時点で該ユーザに対するアクセス制御情報をパラメータ記憶部６２から取得し、該ユーザ認証要求を送信する際に一緒に、予め図５に示すアクセス制御情報フォーマットで認証装置３に送信する点で異なる。

図５に示すアクセス制御情報フォーマットは、上述した本発明の第１の実施例でのフォーマットと同様である。この場合、通信制御部１４の動作は認証完了後に、認証装置３から通知されるアクセス制御情報を本発明の第１の実施例における通信制御部１４の動作のように、そのままアクセス制御情報記憶部１２へ設定してもよいし、本発明の第２の実施例における通信制御部１４の動作のように、無線基地局６におけるアクセス制御情報と組み合わせてアクセス制御情報記憶部１２へ設定してもよい。

図２において、本発明の第３の実施例による認証装置は、上述した本発明の第１の実施例の認証装置３の構成と同様であるが、通信制御部３４の動作が本発明の第１の実施例とは一部異なる。

本実施例での認証装置は、該ユーザに対する成功裡の認証結果を通知する際に、予め無線基地局６からユーザ認証要求時に送付されているアクセス制御情報と、認証装置で保持しているアクセス制御情報とのどちらを通知するか、もしくはどのようにマージして通知するかを判断する処理が追加されている点で本発明の第１の実施例とは異なる。

本実施例では、予め認証しようとしているユーザに対する無線基地局６において希望するアクセス制御情報を認証装置へ通知する機能を設けており、これによって、認証されたユーザに対する認証装置からのアクセス制御情報と無線基地局６に設定されているアクセス制御情報とのマージに関する設定を無線基地局６において必要とすることなく、無線基地局６における希望を反映させることができるという効果が得られる。また、本実施例は上記の本発明の第１及び第２の実施例各々と組み合わせて利用することも可能である。

図１０は本発明の第４の実施例による無線端末装置の構成を示すブロック図である。図１０において、無線端末装置７は通信アプリケーション部７１と、アクセス制御部７２と、アクセス制御情報記憶部７３と、通信制御部７４と、無線通信インタフェース部７５と、ユーザインタフェース部７６と、記録媒体７７とから構成されている。通信アプリケーション部７１には１つまたは複数の通信アプリケーション７１１，７１２を含んでいる。

本実施例は無線端末装置７の機能構成において、アクセス制御部７２とアクセス制御情報記憶部７３とを有する点で、図示せぬ通常の無線端末装置の機能構成とは異なる。

通信アプリケーション部７１は無線端末装置７内におけるデータ通信を利用するアプリケーションを表しており、図示せぬ外部端末とやり取りされるデータは通信制御部７４に渡され、無線通信インタフェース部７５から送信される。また、無線通信インタフェース部７５から受信したデータは通信制御部７４へと渡され、さらに通信アプリケーション部７１へと渡されることによって、外部とのデータ通信を行う。尚、通信アプリケーション部７１はユーザインタフェース部７６からの起動または終了の指示によって、アプリケーションの起動または終了を行う。

アクセス制御部７２は通信制御部７４からアクセス制御情報記憶部７３に対して設定されるアクセス制御情報に基づき、通信制御部７４から渡されるデータの通過／破棄の動作を行う。アクセス制御情報記憶部７３は通信制御部７４からアクセス制御情報が設定され、アクセス制御部７２からデータの通過／破棄の判断を行う際に読出される。

通信制御部７４は通信アプリケーション部７１からのデータを無線通信インタフェース部７５から送信するための制御を行う。また、通信制御部７４は無線通信インタフェース部７５からのデータを、送信先に応じて通信アプリケーション部７１に渡す制御を行う。さらに、通信制御部７４は無線基地局とのネゴシエーション処理も行う。

通信制御部７４は無線基地局を介してデータ通信を行うために、無線基地局にネゴシエーション要求を送信することによって、オーセンティケーション・アソシエーション動作を完了させる。通信制御部７４はアソシエーション動作の完了後、ネットワーク接続のための認証を開始するために、典型的にはＥＡＰＯＬ−Ｓｔａｒｔと呼ばれるＩＥＥＥ８０２．１Ｘ認証を開始するためのデータを送信する。

ネットワーク接続のための認証が開始されると、通信制御部７４は、典型的には無線基地局からＥＡＰ Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙを受信し、無線基地局へＥＡＰ Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙを自身のユーザ名を含めて送信する。無線基地局より認証結果を受信することで、ネットワーク接続のための認証は完了する。

ネットワーク接続のための認証方式によっては、認証要求を送信してから認証結果を受信するまでに複数の認証データのやりとりが無線端末装置７と認証装置との間で発生するかもしれない。通信制御部７４は受信する認証データに対して必要な処理をし、応答する動作を行う。

認証可であることを無線基地局より通知された場合、通信制御部７４は次に無線基地局と暗号化のための鍵に関するやり取りを行い、無線基地局との間で使用する暗号鍵及び無線基地局配下の無線端末装置との間で共有する暗号鍵が設定されることで、暗号化通信が可能となる。暗号化通信が可能となった後、通信制御部７４は無線基地局より通知されるアクセス制御情報をアクセス制御情報記憶部７３に設定する。

以後、本実施例による無線端末装置７から送受信されるデータは、通信制御部７４から一度アクセス制御部７２へと渡される動作を行う。認証データに関しては、アクセス制御部７２を介さず、直接ＬＡＮ回線またはＷＡＮ回線と接続される。

無線通信インタフェース部７５は通信制御部７４から受け取ったデータを無線で送信する処理を行う。また、無線通信インタフェース部７５は受信したデータを通信制御部７４へと渡す処理を行い、主に無線基地局との通信の際に用いられる。

ユーザインタフェース部７６は通信アプリケーション部７１の各アプリケーションに対して、起動や終了の指示を行う。また、例えば、ユーザインタフェース部７６はメニュー表示等によって現在実行可能なアプリケーションのリスト等を表示させ、ユーザが実行したいアプリケーションを選択することによって起動させることも可能である。

無線端末装置７が図示せぬＣＰＵ及びＲＡＭを含むコンピュータの場合、ＣＰＵは記録媒体７７に格納されたプログラムを実行することで、上述した各部の処理を実現する。

また、図示していないが、本発明の第４の実施例による無線基地局は、上述した本発明の第２の実施例における無線基地局６の構成と同様であるが、アクセス制御情報を無線端末装置７へ通知する点で異なる。この図１０を参照して本実施例の動作について説明する。

無線端末装置７と無線基地局６との間で接続ネゴシエーションを行い、その後ネットワーク接続のための認証を行うところまでは、上述した本発明の第２の実施例と同様である。図９に示す無線基地局６で該ユーザに対するアクセス制御情報をアクセス制御情報記憶部１２へ設定するのではなく、無線端末装置７へ送信する動作を行う点で、本実施例は上記の本発明の第２の実施例とは異なる。

この時、無線基地局６から無線端末装置７に対して送信する際のフォーマット例として、ＩＥＥＥ８０２．１Ｘでの無線端末装置と無線基地局間でＩＥＥＥ８０２．１Ｘ認証データや暗号化鍵に関するデータをやりとりするＥＡＰＯＬ（ＥＡＰ ｏｖｅｒ ＬＡＮｓ）フレームが存在するが、その中で、ＥＡＰＯＬのパケットタイプとして新たにＥＡＰＯＬ−ＥＸＴ（拡張）を定義し、パケットボディ部には、図５に示すようなアクセス制御フォーマットを定義したものを使用する。

このアクセス制御情報を無線端末装置７に対して安全に送付するために、ネットワーク接続のための認証の結果、無線基地局６及び無線端末装置７の両方で共有される暗号鍵を用いて暗号化して送信する。例えば、ＩＥＥＥ８０２．１Ｘ認証の結果、共有される暗号鍵を使用して暗号化したが、鍵配布に用いられるプロトコルのように、ＩＥＥＥ８０２．１Ｘ認証におけるＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）において共有される鍵を利用し、属性に関する部分を暗号化して送信する方法でもよい。

無線端末装置７は受信したアクセス制御情報をアクセス制御情報記憶部７３に設定する。通信制御部７４は通信アプリケーション部７１からのデータ、もしくは通信アプリケーション部７１へのデータを一度アクセス制御部７２へ渡し、アクセス制御部７２において通過／破棄の判断がなされ、通過した時のみ通信制御部７４へと渡され、無線通信インタフェース部７５から無線基地局６へ送信される、もしくは通信アプリケーション部７１へ渡される。無線端末装置７内でユーザインタフェース部７６によって起動され、実行中の通信アプリケーション７１によってデータ通信は発生する。

本実施例では、無線基地局６において該ユーザに対するアクセス制御情報を無線端末装置７へ通知する機能を設け、無線端末装置７においてアクセス制御部７２及びアクセス制御情報記憶部７３を設けることによって、無線端末装置７内でのアクセス制御を可能とすることができるという効果が得られる。また、本実施例は上述した本発明の第１〜第３の実施例各々と組み合わせて利用することが可能である。

図１１は本発明の第５の実施例による無線端末装置の構成を示すブロック図である。図１１において、本発明の第５の実施例による無線端末装置８はアプリケーション部８１及び記憶媒体８２を追加した以外は図１０に示す本発明の第４の実施例による無線端末装置７の構成と同様となっており、同一構成要素には同一符号を付してある。

上述した本発明の第４の実施例では、通信アプリケーション７１１，７１２のみであるが、本実施例では通信アプリケーション８１２のみではなく、ネットワークを使用しないアプリケーション８１１をも含む点で上記の本発明の第４の実施例とは異なる。

また、本実施例では、ユーザインタフェース部７６とアプリケーション部８１との間にアクセス制御部７２が位置する点で、上記の本発明の第４の実施例とは大きく異なり、このアクセス制御部７２の動作についても上記の本発明の第４の実施例とは異なる。以下、上記の本発明の第４の実施例と異なる機能及び動作についてのみ説明する。

アプリケーション部８１は無線端末装置８内におけるアプリケーションを表しており、ユーザインタフェース部７６からの起動または終了の指示をアクセス制御部７２を介して通知されることによって、アプリケーション８１１の起動または終了を行う。

データ通信を利用する通信アプリケーション８１２は、図示せぬ外部端末とやり取りされるデータが通信制御部７４に渡され、無線通信インタフェース部７５から送信される際に用いられる。また、無線通信インタフェース部７５から受信したデータが通信制御部７４へと渡され、通信アプリケーション８１２へと渡されることによって、外部端末とのデータ通信が行われる。

アクセス制御部７２はアクセス制御情報記憶部７３からアクセス制御情報を取得し、取得した値によってユーザインタフェース部７６から実行可能なアプリケーション８１１の制限を行い、アプリケーション８１１の実行可／不可の制御を行うことを可能とする。

通信制御部７４は無線基地局より受信したアクセス制御情報をアクセス制御情報記憶部７３へと設定するところまでの処理は上述した本発明の第４の実施例と同様であるが、通信アプリケーション８１２から渡されたデータをアクセス制御部７２を介さずに無線通信インタフェース部７５を介して送信する、及び無線通信インタフェース部７５から受信したデータをアクセス制御部７２を介さずに通信アプリケーション８１２へ渡す点で異なる。

ユーザインタフェース部７６はアクセス制御部７２を介してアプリケーション８１１に対して起動・終了等の指示を行う。例えば、ユーザインタフェース部７６はメニュー表示等によって現在実行可能なアプリケーションのリスト等を表示させ、ユーザが実行したいアプリケーションを選択することによって起動させることも可能である。

無線端末装置８が図示せぬＣＰＵ及びＲＡＭを含むコンピュータの場合、ＣＰＵは記録媒体８２に格納されたプログラムを実行することで、上述した各部の処理を実現する。

以下、本実施例の動作について説明する。無線端末装置８において、無線基地局とデータ通信を行うためにネゴシエーションを行い、その後、ネットワーク接続のための認証を開始し、暗号鍵が無線端末装置８及び無線基地局において設定され、アクセス制御情報が無線基地局から通知され、通信制御部７４からアクセス制御情報記憶部７３に設定するまでの動作は、上述した本発明の第４の実施例の動作と同様である。

アクセス制御部７２はアクセス制御情報記憶部７３からアクセス制御情報を取得し、その値によってユーザインタフェース部７６からアプリケーション８１１に対する起動要求をブロックする。または、アクセス制御部７２からユーザインタフェース部７６に対してアクセス制御情報を渡し、ユーザインタフェース部７６において該アプリケーションを選択不可とする動作等を行い、該アプリケーションを実行不可とする動作を行う。

例えば、上述したユーザ名“ＢＯＢ”の例について述べると、図４に示すように、アクセス制御情報記憶部７３には「電話ＮＧ」、「ＴＶ電話ＮＧ」、「メールＯＫ」、「ブラウザＯＫ」と記憶される。アクセス制御部７２はアクセス制御情報をユーザインタフェース部７６へと通知する。ユーザインタフェース部７６において、例えば、メニュー表示等でメール、ブラウザの選択が可能であるが、電話、ＴＶ電話を選択不可とすることによって、実行可能なアプリケーションと実行不可のアプリケーションとを実現することが可能となる。

以後、実行された通信アプリケーションにおけるデータ通信において、通信制御部７４は無線通信インタフェース部７５から受信したデータを通信アプリケーション８１２へ、またはその逆の動作を行うことによってデータ通信が行われる。

本実施例では、ユーザインタフェース部７６とアプリケーション部８１との間にアクセス制御部７２を設けることによって、ネットワークを使用しない無線端末装置８内のアプリケーション８１１においてもアクセス制御を可能とすることができるという効果が得られる。また、本実施例は上記の本発明の第１〜第４の実施例各々と組み合わせて利用することが可能である。

図１２は本発明の第６の実施例による無線端末装置の構成を示すブロック図である。図１２において、本発明の第６の実施例による無線端末装置９は上記の本発明の第５の実施例と同様の構成となっているが、アクセス制御部７２においてアプリケーション部８１とやり取りを行う点で、その動作が一部異なる。また、アプリケーション部８１において、アクセス制御に関する機能を持つ点で前途の実施例とは異なる。以下、前途の実施例と動作の異なる構成部分について説明する。

アプリケーション部８１は無線端末装置９内におけるアプリケーション８１１を表しており、ユーザインタフェース部７６からの起動または終了の指示を通知されることによって、アプリケーション８１１の起動または終了を行う。アプリケーション部８１はアクセス制御部７２からアクセス制御情報を受け取り、受け取ったアクセス制御情報にしたがって動作する点が上記の本発明の第５の実施例と異なる点である。

データ通信を利用する通信アプリケーション８１２は外部端末とやり取りされるデータを通信制御部７４に渡し、無線通信インタフェース部７５から送信される。また、無線通信インタフェース部７５から受信したデータは通信制御部７４に渡され、通信アプリケーション８１２へと渡されることによって、外部端末とのデータ通信を行う。

アクセス制御部７２はアクセス制御情報記憶部７３からアクセス制御情報を取得し、取得したアクセス制御情報を各アプリケーション８１１に対応したアクセス制御情報を各々のアプリケーション８１１に対して設定する。

ユーザインタフェース部７６はアプリケーション部８１の各々のアプリケーション８１１に対して、起動や終了の指示を行う。また、例えば、ユーザインタフェース部７６はメニュー表示等によって現在実行可能なアプリケーションのリスト等を表示させ、ユーザが実行したいアプリケーションを選択することによって起動させることも可能である。

無線端末装置９が図示せぬＣＰＵ及びＲＡＭを含むコンピュータの場合、ＣＰＵは記録媒体９１に格納されたプログラムを実行することで、上述した各部の処理を実現する。

図１３は本発明の第６の実施例による独自属性一覧を示す図であり、図１４は本発明の第６の実施例による各属性の値を示す図である。図１３において、独自属性一覧Ｅの属性Ｅ１は＃が「１」で、属性の名前が「電話」で、属性値が「ＥＮＵＭ」であり、属性Ｅ２は＃が「２」で、属性の名前が「ＴＶ電話」で、属性値が「ＥＮＵＭ」であり、属性Ｅ３は＃が「３」で、属性の名前が「メール」で、属性値が「ＥＮＵＭ」であり、属性Ｅ４は＃が「４」で、属性の名前が「ブラウザ」で、属性値が「ＥＮＵＭ」であり、属性Ｅ５は＃が「５」で、属性の名前が「カメラ」で、属性値が「ＥＮＵＭ」であり、属性Ｅ６は＃が「６」で、属性の名前が「ビデオ」で、属性値が「ＥＮＵＭ」であり、属性Ｅ７は＃が「７」で、属性の名前が「録音」で、属性値が「ＥＮＵＭ」である。

図１４において、各属性値に対応する値Ｆの属性Ｆ１０の行Ｆ１１には＃として「１」が、値の名前として「電話ＯＫ」が、対応する属性の属性番号として「１」がそれぞれ保持され、行Ｆ１２には＃として「２」が、値の名前として「電話ＮＧ」が、対応する属性の属性番号として「１」がそれぞれ保持され、行Ｆ１３には＃として「３」が、値の名前として「着信ＯＫ／発信ＮＧ」が、対応する属性の属性番号として「１」がそれぞれ保持されている。

属性Ｆ２０の行Ｆ２１には＃として「１」が、値の名前として「ＴＶ電話ＯＫ」が、対応する属性の属性番号として「２」がそれぞれ保持され、行Ｆ２２には＃として「２」が、値の名前として「ＴＶ電話ＮＧ」が、対応する属性の属性番号として「２」がそれぞれ保持され、行Ｆ２３には＃として「３」が、値の名前として「着信ＯＫ／発信ＮＧ」が、対応する属性の属性番号として「２」がそれぞれ保持されている。

属性Ｆ３０の行Ｆ３１には＃として「１」が、値の名前として「メールＯＫ」が、対応する属性の属性番号として「３」がそれぞれ保持され、行Ｆ３２には＃として「２」が、値の名前として「メールＮＧ」が、対応する属性の属性番号として「３」がそれぞれ保持され、行Ｆ３３には＃として「３」が、値の名前として「受信ＯＫ／送信ＮＧ」が、対応する属性の属性番号として「３」がそれぞれ保持され、行Ｆ３４には＃として「４」が、値の名前として「保存メールＢＯＸ閲覧のみＯＫ」が、対応する属性の属性番号として「３」がそれぞれ保持されている。

属性Ｆ４０の行Ｆ４１には＃として「１」が、値の名前として「プラウザＯＫ」が、対応する属性の属性番号として「４」がそれぞれ保持され、行Ｆ４２には＃として「２」が、値の名前として「ブラウザＮＧ」が、対応する属性の属性番号として「４」がそれぞれ保持され、行Ｆ４３には＃として「３」が、値の名前として「閲覧ＯＫ／保存ＮＧ」が、対応する属性の属性番号として「４」がそれぞれ保持され、行Ｆ４４には＃として「４」が、値の名前として「閲覧ＯＫ／印刷ＮＧ」が、対応する属性の属性番号として「４」がそれぞれ保持されている。

属性Ｆ５０の行Ｆ５１には＃として「１」が、値の名前として「カメラＯＫ」が、対応する属性の属性番号として「５」がそれぞれ保持され、行Ｆ５２には＃として「２」が、値の名前として「カメラＮＧ」が、対応する属性の属性番号として「５」がそれぞれ保持され、行Ｆ５３には＃として「３」が、値の名前として「撮影ＯＫ／保存ＮＧ」が、対応する属性の属性番号として「５」がそれぞれ保持され、行Ｆ５４には＃として「４」が、値の名前として「撮影ＯＫ／転送ＮＧ」が、対応する属性の属性番号として「５」がそれぞれ保持されている。

図１５は本発明の第６の実施例によるパラメータ記憶部の構成例を示す図である。図１５において、パラメータ記憶部２１はパラメータ（２１０）としてユーザ名“ＡＬＩＣＥ”のアクセス制御情報（２１１）と、ユーザ名“ＢＯＢ”のアクセス制御情報（２１２）と、ユーザ名“ＣＨＡＲＬＩＥ”のアクセス制御情報（２１３）とを保持している。

また、それらパラメータ（２１０）の機能としては電話（２１４）、ＴＶ電話（２１５）、メール（２１６）、ブラウザ（２１７）、カメラ（２１８）、ビデオ（２１９）、録音（２２０）があり、それぞれに対応して属性番号を保持している。

以下、本実施例の動作について説明する。無線端末装置９において、無線基地局とデータ通信を行うためにネゴシエーションを行い、その後、ネットワーク接続のための認証を開始し、暗号鍵が無線端末装置９及び無線基地局において設定され、アクセス制御情報が無線基地局から通知され、通信制御部７４からアクセス制御情報記憶部７３へ設定されるまでの動作は、上述した本発明の第４及び第５の実施例の動作と同様である。

アクセス制御部７２はアクセス制御情報記憶部７３からアクセス制御情報を取得し、取得したアクセス制御情報から各アプリケーション８１１毎に設定を取り出し、各々のアプリケーション８１１に設定する。

例えば、無線端末装置９、無線基地局及び認証装置において図１３に示す属性一覧Ｅ及び図１４に示す各属性の値Ｆが定義された一覧を予め保持しているものとし、該ユーザがユーザ名“ＢＯＢ”とし、認証装置において図１５に示すようにユーザ毎の各機能に対するアクセス制御情報に関するパラメータ（２１０）を保持し、ユーザ名“ＢＯＢ”が認証された結果、ユーザ名“ＢＯＢ”に対するアクセス制御情報（２１２）が無線端末装置９へ通知され、無線端末装置９においてアクセス制御情報記憶部７３へ記憶される情報がアクセス制御情報（２１２）であった場合の動作について説明する。

アクセス制御部７２はアクセス制御情報記憶部７３から取得した値を機能毎にアプリケーション８１１に対して設定を行う。つまり、電話アプリケーションに対しては＃が「３」の「着信ＯＫ／発信ＮＧ」を、ＴＶ電話アプリケーションに対しては＃が「３」の「着信ＯＫ／ 発信ＮＧ」を、メールアプリケーションに対しては＃が「１」の「メールＯＫ」を、ブラウザアプリケーションに対しては＃が「３」の「閲覧ＯＫ／保存ＮＧ」を、カメラアプリケーションに対しては３が「２」の「カメラＮＧ」を、ビデオアプリケーションに対しては＃が「２」の「ビデオＮＧ」（図１４に図示せず）を、録音アプリケーションに対しては＃が「２」の「録音ＮＧ」（図１４に図示せず）を各々設定する。

設定された各アプリケーションは設定されたアクセス制御にしたがった動作を行うことによって、ネットワークを利用する／しないアプリケーションに関わらず、またアプリケーション毎に起動可／不可のみではなく、詳細なアクセス制御を行う。

本実施例では、アクセス制御部７２から各アプリケーションに対してアクセス制御情報を設定することを可能とすることによって、無線端末装置９内における各アプリケーション毎に詳細なアクセス制御を可能とすることができるという効果が得られる。また、本実施例は上述した本発明の第１〜第５の実施例各々と組み合わせて利用することが可能である。

図１６は本発明の第７の実施例による無線通信システムのシステム構成を示すブロック図である。図１６において、本発明の第７の実施例では、上述した本発明の第１〜第６の実施例の無線通信システムのシステム構成例において無線基地局１を介してＬＡＮ回線またはＷＡＮ回線１００に接続する端末装置５とデータ通信をやり取りする無線端末装置２−１，２−１との間にゲートウェイ装置４０を設ける点で、本発明の第１〜第６の実施例各々と異なっている。

ゲートウェイ装置４０はファイアウォールと呼ばれ、例えばＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｓｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットのヘッダを検査し、条件を満たしたパケットのみを通過させる機能である。

また、ゲートウェイ装置４０は発信元及び転送先のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスやポート番号やパケットの種類［ＴＣＰ，ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ），ＩＣＭＰ（Ｉｎｔｅｒｎｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｌ）］等の情報やパケットの転送方向等の条件を基に、通過／破棄を行う。

上記の条件はゲートウェイ装置４０の外部の装置から設定され、さらにユーザ毎、レルム毎、グループ毎等の動的にアクセス制御情報が設定可能という特徴を備えている。

認証装置３は上述した本発明の第１〜第６の実施例各々では、無線端末装置２−１，２−２に対する認証成功の通知とともに、アクセス制御情報を無線基地局１へ通知しているのが、本実施例では、認証成功の通知を無線基地局１へ通知するが、認証装置３がアクセス制御情報をゲートウェイ装置４０へ通知する点において異なる。

以下、本実施例の動作について説明する。無線基地局１を介してＬＡＮ回線またはＷＡＮ回線１００に接続する端末装置５とデータ通信を行うために、無線端末装置２−１，２−２と無線基地局１との間で接続ネゴシエーションを行い、その後、ネットワーク接続のための認証を行うところまでは上述した本発明の第１〜第６の実施例各々と同様の動作となっている。

認証が成功すると、認証装置３は無線基地局１へ認証成功を通知することによって、無線端末装置２−１，２−２は無線基地局１を介してのデータ通信が可能となる。

次に、上述した本発明の第１〜第６の実施例各々において、認証装置３から無線基地局１へ通知していた認証に成功した無線端末装置２−１，２−２に対するアクセス制御情報を、認証装置３がゲートウェイ装置４０へと通知する点が、本実施例と上述した本発明の第１〜第６の実施例各々とが異なる点である。

ゲートウェイ装置４０は該無線端末装置２−１，２−２に対するアクセス制御情報を受信すると、以後、アクセス制御情報を基に該無線端末装置２−１，２−２のデータ通信をフィルタリングする動作を行う。

本実施例では、無線基地局１とＬＡＮ回線またはＷＡＮ回線１００に接続するための通信路との間にゲートウェイ装置を設けることによって、特別な無線基地局を必要とせずに、アクセス制御を可能とすることができるという効果が得られる。また、本実施例は上述した本発明の第１〜第６の実施例各々と組み合わせて利用することが可能である。

また、本実施例は無線端末装置２−１，２−２と無線基地局１との間で伝送媒体に無線を利用したシステムにおいて記述しているが、伝送媒体に有線を利用した場合でも、有線基地局と有線端末装置との間でデータ通信を行う場合にネットワーク接続のための認証を必要とするシステムにおいても、本発明のアクセス制御方法が適応可能である。

本発明は、無線ＬＡＮや有線ＬＡＮの端末装置または基地局において、無線ＬＡＮによるデータ通信を行う前にネットワーク接続のための認証が必要となる装置に適用可能である。

本発明の第１の実施例による無線通信システムの構成を示すブロック図である。 図１の認証装置の構成を示すブロック図である。 図１の無線基地局の構成を示すブロック図である。 図２のパラメータ記憶部の構成例を示す図である。 （ａ）は本発明の第１の実施例によるアクセス制御情報フォーマットの構成例を示す図、（ｂ）は本発明の第１の実施例による属性値フォーマットの構成例を示す図である。 （ａ）は本発明の第１の実施例による独自属性一覧を示す図、（ｂ）は本発明の第１の実施例による各属性の値を示す図である。 本発明の第１の実施例による無線通信システムの動作を示すシーケンスチャートである。 図３の無線基地局の動作を示すフローチャートである。 本発明の第２の実施例による無線基地局の構成を示すブロック図である。 本発明の第４の実施例による無線端末装置の構成を示すブロック図である。 本発明の第５の実施例による無線端末装置の構成を示すブロック図である。 本発明の第６の実施例による無線端末装置の構成を示すブロック図である。 本発明の第６の実施例による独自属性一覧を示す図である。 本発明の第６の実施例による各属性の値を示す図である。 本発明の第６の実施例によるパラメータ記憶部の構成例を示す図である。 本発明の第７の実施例による無線通信システムのシステム構成を示すブロック図である。

符号の説明

１，６ 無線基地局
２−１，２−２，７，８，９ 無線端末装置
３ 認証装置
４ ユーザ登録データベース装置
５ 端末装置
１１，３５ 有線通信インタフェース部
１２，７３ アクセス制御情報記憶部
１３，７２ アクセス制御部
１４，３４，７４ 通信制御部
１５ 無線通信インタフェース部
１６，３６，６３，７７，
８２，９１ 記録媒体
２２，３３，６２ パラメータ記憶部
３１，６１ 設定インタフェース部
３２ ユーザ情報記憶部
４０ ゲートウェイ装置
７１ 通信アプリケーション部
７５ 無線通信インタフェース部
７６ ユーザインタフェース部
８１ アプリケーション部
１００ ＬＡＮ回線またはＷＡＮ回線
７１１，７１２，８１２ 通信アプリケーション
８１１ アプリケーション

Claims (64)

1. 端末装置から基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする通信システムであって、前記認証と連携して前記端末装置に対する認証成功通知とともに前記端末装置に対するアクセス制御情報を前記基地局装置に通知する手段を前記認証装置に有することを特徴とする通信システム。
2. 前記アクセス制御情報を通知する手段は、前記アクセス制御情報として前記端末装置におけるアプリケーションに対する起動可／不可の情報を通知することを特徴とする請求項１記載の通信システム。
3. 前記アクセス制御情報を通知する手段は、前記アクセス制御情報として前記端末装置におけるアプリケーション毎に異なる詳細なアクセス制御情報を通知することを特徴とする請求項１記載の通信システム。
4. 前記認証装置は、複数のアクセス制御情報を管理することを特徴とする請求項２または請求項３記載の通信システム。
5. 前記認証装置は、前記端末装置からの認証要求より得られる情報と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項４記載の通信システム。
6. 前記認証要求より得られる情報として、前記端末装置のユーザ名と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項５記載の通信システム。
7. 前記認証要求より得られる情報として、前記端末装置のユーザ名に含まれる当該端末装置が所属するドメイン名と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項５記載の通信システム。
8. 前記認証要求より得られる情報として、前記端末装置がデータ通信を行おうと試みている基地局装置と連携して動的に当該端末装置に対するアクセス制御情報を変更することを特徴とする請求項５記載の通信システム。
9. 前記認証要求より得られる情報として、前記認証装置において前記認証のユーザ単位、前記端末装置が所属するドメイン名単位、前記基地局装置単位で所属するグループ単位を定義し、当該グループ単位で保持するアクセス制御情報を利用して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項５記載の通信システム。
10. 前記認証装置から通知されたアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持する手段を前記基地局装置に含むことを特徴とする請求項６から請求項９のいずれか記載の通信システム。
11. 前記基地局装置において設定した前記端末装置毎のアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持する手段を前記基地局装置に含むことを特徴とする請求項６から請求項９のいずれか記載の通信システム。
12. 前記基地局装置は、自装置で設定した前記端末装置に対するアクセス制御情報を予め前記認証装置へ通知しておくことを特徴とする請求項１１記載の通信システム。
13. 前記基地局装置は、前記認証装置から通知されたアクセス制御情報と自装置において設定されたアクセス制御情報とのどちらを基に前記フィルタリング機能を提供するかを判断することを特徴とする請求項１０または請求項１１記載の通信システム。
14. 前記基地局装置は、前記認証装置から通知されるアクセス制御情報における各項目に対してその内容の変更可及び不可のいずれかの情報を付加して前記フィルタリング機能の提供の有無の判断基準とすることを特徴とする請求項１３記載の通信システム。
15. 前記基地局装置は、前記アクセス制御情報を前記端末装置へ通知することを特徴とする請求項１０から請求項１４のいずれか記載の通信システム。
16. 前記端末装置は、前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎のデータの通過／破棄のフィルタリング機能を保持することを特徴とする請求項１５記載の通信システム。
17. 前記端末装置は、前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎に少なくとも対応するメニューによるユーザインタフェースから起動可／不可とすることを特徴とする請求項１５記載の通信システム。
18. 前記端末装置は、前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎に個別の詳細なアクセス制御情報を設定することで、自装置内のアプリケーションにおける使用可能な機能を制御することを特徴とする請求項１５記載の通信システム。
19. 前記基地局装置と前記ネットワークとの間に配設されたゲートウェイ装置に、前記認証装置から通知されたアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持する手段を含むことを特徴とする請求項６から請求項９のいずれか記載の通信システム。
20. 前記端末装置は、前記基地局装置を介して伝送媒体に無線を利用して接続することを特徴とする請求項１から請求項１９のいずれか記載の通信システム。
21. 端末装置から基地局装置を介してネットワーク接続する際に前記端末装置に対する認証を行う認証装置であって、前記認証と連携して前記端末装置に対する認証成功通知とともに前記端末装置に対するアクセス制御情報を前記基地局装置に通知する手段を有することを特徴とする認証装置。
22. 前記アクセス制御情報を通知する手段は、前記アクセス制御情報として前記端末装置におけるアプリケーションに対する起動可／不可の情報を通知することを特徴とする請求項２１記載の認証装置。
23. 前記アクセス制御情報を通知する手段は、前記アクセス制御情報として前記端末装置におけるアプリケーション毎に異なる詳細なアクセス制御情報を通知することを特徴とする請求項２１記載の認証装置。
24. 複数のアクセス制御情報を管理することを特徴とする請求項２２または請求項２３記載の認証装置。
25. 前記端末装置からの認証要求より得られる情報と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項２４記載の認証装置。
26. 前記認証要求より得られる情報として、前記端末装置のユーザ名と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項２５記載の認証装置。
27. 前記認証要求より得られる情報として、前記端末装置のユーザ名に含まれる当該端末装置が所属するドメイン名と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項２５記載の認証装置。
28. 前記認証要求より得られる情報として、前記端末装置がデータ通信を行おうと試みている基地局装置と連携して動的に当該端末装置に対するアクセス制御情報を変更することを特徴とする請求項２５記載の認証装置。
29. 前記認証要求より得られる情報として、前記認証のユーザ単位、前記端末装置が所属するドメイン名単位、前記基地局装置単位で所属するグループ単位を定義し、当該グループ単位で保持するアクセス制御情報を利用して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項２５記載の認証装置。
30. 前記端末装置が前記基地局装置を介して伝送媒体に無線を利用して接続することを特徴とする請求項２１から請求項２９のいずれか記載の認証装置。
31. ネットワーク接続する際に認証装置による認証を必要とする端末装置を当該認証結果に応じて前記ネットワークへの接続を行う基地局装置であって、前記認証装置からの認証成功通知とともに通知される前記端末装置に対するアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持する手段を有することを特徴とする基地局装置。
32. ネットワーク接続する際に認証装置による認証を必要とする端末装置を当該認証結果に応じて前記ネットワークへの接続を行う基地局装置であって、自装置にて設定した前記端末装置毎のアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持する手段を有することを特徴とする基地局装置。
33. 自装置で設定した前記端末装置に対するアクセス制御情報を予め前記認証装置へ通知しておくことを特徴とする請求項３２記載の基地局装置。
34. 前記認証装置から通知されたアクセス制御情報と自装置において設定されたアクセス制御情報とのどちらを基に前記フィルタリング機能を提供するかを判断することを特徴とする請求項３１または請求項３２記載の基地局装置。
35. 前記認証装置から通知されるアクセス制御情報における各項目に対してその内容の変更可及び不可のいずれかの情報を付加して前記フィルタリング機能の提供の有無の判断基準とすることを特徴とする請求項３４記載の基地局装置。
36. 前記アクセス制御情報を前記端末装置へ通知することを特徴とする請求項３１から請求項３５のいずれか記載の基地局装置。
37. 前記端末装置が自装置を介して伝送媒体に無線を利用して接続することを特徴とする請求項３１から請求項３６のいずれか記載の基地局装置。
38. 基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする端末装置であって、前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎のデータの通過／破棄のフィルタリング機能を保持する手段を有することを特徴とする端末装置。
39. 前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎に少なくとも対応するメニューによるユーザインタフェースから起動可／不可とすることを特徴とする請求項３８記載の端末装置。
40. 前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎に個別の詳細なアクセス制御情報を設定することで、自装置内のアプリケーションにおける使用可能な機能を制御することを特徴とする請求項３８記載の端末装置。
41. 前記基地局装置を介して伝送媒体に無線を利用して接続することを特徴とする請求項３８から請求項４０のいずれか記載の端末装置。
42. 端末装置から基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする通信システムにおいて、前記基地局装置と前記ネットワークとの間に配設されたゲートウェイ装置であって、前記認証装置から通知されたアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持する手段を有することを特徴とするゲートウェイ装置。
43. 前記端末装置が前記基地局装置を介して伝送媒体に無線を利用して接続することを特徴とする請求項４２記載のゲートウェイ装置。
44. 端末装置から基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする通信システムに用いられるアクセス制御方法であって、前記認証装置側に、前記認証と連携して前記端末装置に対する認証成功通知とともに前記端末装置に対するアクセス制御情報を前記基地局装置に通知する処理を有することを特徴とするアクセス制御方法。
45. 前記アクセス制御情報を通知する処理は、前記アクセス制御情報として前記端末装置におけるアプリケーションに対する起動可／不可の情報を通知することを特徴とする請求項４４記載のアクセス制御方法。
46. 前記アクセス制御情報を通知する処理は、前記アクセス制御情報として前記端末装置におけるアプリケーション毎に異なる詳細なアクセス制御情報を通知することを特徴とする請求項４４記載のアクセス制御方法。
47. 前記認証装置が複数のアクセス制御情報を管理することを特徴とする請求項４５または請求項４６記載のアクセス制御方法。
48. 前記認証装置が前記端末装置からの認証要求より得られる情報と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項４７記載のアクセス制御方法。
49. 前記認証要求より得られる情報として、前記端末装置のユーザ名と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項４８記載のアクセス制御方法。
50. 前記認証要求より得られる情報として、前記端末装置のユーザ名に含まれる当該端末装置が所属するドメイン名と連携して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項４８記載のアクセス制御方法。
51. 前記認証要求より得られる情報として、前記端末装置がデータ通信を行おうと試みている基地局装置と連携して動的に当該端末装置に対するアクセス制御情報を変更することを特徴とする請求項４８記載のアクセス制御方法。
52. 前記認証要求より得られる情報として、前記認証装置において前記認証のユーザ単位、前記端末装置が所属するドメイン名単位、前記基地局装置単位で所属するグループ単位を定義し、当該グループ単位で保持するアクセス制御情報を利用して動的に前記端末装置に対するアクセス制御情報を変更することを特徴とする請求項４８記載のアクセス制御方法。
53. 前記基地局装置が、前記認証装置から通知されたアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持することを特徴とする請求項４９から請求項５２のいずれか記載のアクセス制御方法。
54. 前記基地局装置が、前記基地局装置において設定した前記端末装置毎のアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持することを特徴とする請求項４９から請求項５２のいずれか記載のアクセス制御方法。
55. 前記基地局装置が、前記基地局装置で設定した前記端末装置に対するアクセス制御情報を予め前記認証装置へ通知しておくことを特徴とする請求項５４記載のアクセス制御方法。
56. 前記基地局装置が、前記認証装置から通知されたアクセス制御情報と前記基地局装置において設定されたアクセス制御情報とのどちらを基に前記フィルタリング機能を提供するかを判断することを特徴とする請求項５３または請求項５４記載のアクセス制御方法。
57. 前記基地局装置が、前記認証装置から通知されるアクセス制御情報における各項目に対してその内容の変更可及び不可のいずれかの情報を付加して前記フィルタリング機能の提供の有無の判断基準とすることを特徴とする請求項５６記載のアクセス制御方法。
58. 前記基地局装置が、前記アクセス制御情報を前記端末装置へ通知することを特徴とする請求項５３から請求項５７のいずれか記載のアクセス制御方法。
59. 前記端末装置が、前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎のデータの通過／破棄のフィルタリング機能を保持することを特徴とする請求項５８記載のアクセス制御方法。
60. 前記端末装置が、前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎に少なくとも対応するメニューによるユーザインタフェースから起動可／不可とすることを特徴とする請求項５８記載のアクセス制御方法。
61. 前記端末装置が、前記基地局装置から通知されたアクセス制御情報に基づいてアプリケーション毎に個別の詳細なアクセス制御情報を設定することで、前記端末装置内のアプリケーションにおける使用可能な機能を制御することを特徴とする請求項５８記載のアクセス制御方法。
62. 前記基地局装置と前記ネットワークとの間に配設されたゲートウェイ装置が、前記認証装置から通知されたアクセス制御情報に基づいて前記端末装置毎のデータの通過／破棄のフィルタリング機能を保持することを特徴とする請求項４９から請求項５２のいずれか記載のアクセス制御方法。
63. 前記端末装置が、前記基地局装置を介して伝送媒体に無線を利用して接続することを特徴とする請求項４４から請求項６２のいずれか記載のアクセス制御方法。
64. 端末装置から基地局装置を介してネットワーク接続する際に認証装置による認証を必要とする通信システムに用いられるアクセス制御方法のプログラムであって、前記認証装置のコンピュータに、前記認証と連携して前記端末装置に対する認証成功通知とともに前記端末装置に対するアクセス制御情報を前記基地局装置に通知する処理を実行させるためのプログラム。
    

Images